筆者は先日，「OSのリリースを急ぐのは最悪の選択」というコラムを執筆した。リリース間隔が空く方が，OS開発のセキュリティ面ではむしろプラスになるのではないか，というのが筆者の考えである。新機能の開発に，より時間を費やせるからだというのが根拠だ。これに対して，筆者とは違う考えを持つ読者からメールをいただいたので紹介したい。

　この読者は，「OSのリリースを素早く行うことは，むしろセキュリティ面でプラスではないのか」という考えの持ち主だ。「セキュリティ上の脅威は急速に進化する。だから，われわれの対応も急速に進化しなければならない。品質の悪いものを出荷してもいいと言っているわけではない。しかし，OSのアップグレードを素早く行うことで，開発者は刻一刻と変化する状況に対応できる柔軟性を得られるのではないだろうか。だが，それと同時に，短い期間で革新的なものを創造するのは難しい。従って，OSの進化における創造的な側面を許容できるだけの長いサイクルも必要だろう」と彼は主張する。

　彼はさらに続ける。「他にも考えるべきことがある。リリースの間隔が空くと，アップグレードは困難になる。そして，エンドユーザーは長い間にわたって古いバージョンを使い続けることになる。人々がWindows NT 4.0から離れるのに，恐ろしいほど長い時間がかかった。移行に時間がかかった主な原因は，NT 4.0からWin2Kまでにかなり長い間隔が空いたからである。さらに，ユーザー・インターフェースの刷新や管理モデルの変更など，多くの変更点もあった。こういった大幅な変更点があったために，エンドユーザーは古いOSを必要以上に長い間使い続けたのだ。セキュリティという観点から見ると，これはいいことではない。従ってセキュリティを優先するのなら，われわれはアップグレード・サイクルを短縮するべきであって，延長するべきではないように思われる」

　この読者はさらに，Microsoft Officeについての見解も述べてくれた。「まず第一に，セキュリティ問題に発展したかもしれない欠陥を見つけるためにコードの検査を行ったことも含めて，MicrosoftはOfficeスィートのアップグレードを見事にやってのけた。Officeスィートのセキュリティに関しては重点的な取り組みが行われてきたため，ここ2年間ぜい弱性はあまり発見されていない」。

　しかし一方で，セキュリティ業界では，いくつか重要な変化が起きたとこの読者は指摘した。「攻撃者たちはビジネス・モデルを持っている。ぜい弱性は2万5000ドルで売れる。そして，彼らはかなり洗練されたfuzzer（ぜい弱性検知ツール）を使っている」（fuzzerは，ぜい弱性を見つけるために，ありとあらゆるデータをアプリケーションに注入するプログラムである）。

　「Officeのリリースサイクルが短かったら，防御という点ではプラスになるだろう。だが，新バージョンのOfficeを見ても分かるように，Microsoftは短いサイクルでは創造性にあふれるものを作ることができない」とこの読者は述べている。さて，どうだろうか。筆者の意見とはかなり異なる考え方であった。非常に意義深い意見を寄せてくれたことを，この読者（匿名を希望している）に感謝したい。