Microsoft wil duidelijkere aanduiding van ernst bugs

InternetNews maakt er melding van dat Microsoft de berichtgeving over beveiligingsproblemen wil verduidelijken. Veel consumenten die niet gespecialiseerd zijn in techniek vinden de 'security bulletins' te gedetailleerd en te ingewikkeld. Om dit op te lossen zal er een speciale End User Security Notification Service komen, waarmee eindgebruikers eenvoudiger op de hoogte worden gesteld van belangrijke problemen. Daarnaast zal niet iedere bug zomaar het label 'critical' meekrijgen, aangezien gebruikers anders veel te vaak in paniek kunnen raken door iets wat in feite betrekkelijk onbelangrijk is. Dat er vlak na deze mededeling alweer een nieuwe patch met de benaming 'critical' online gekomen is, is in dit verband een wat ongelukkige toevalligheid:

The Redmond-based software giant also plans to limit the "critical" rating on security alerts to customers because of fears that too many high-level alerts were being issued. Instead of issuing a "critical" rating on vulnerability warnings, Microsoft has modified its Severity Rating Criteria to specify clearly which bugs needed to be addressed immediately.

"There is also a widespread feeling that the Severity Ratings are difficult to understand and apply. For these reasons, we have modified (the criteria) to help customers more easily evaluate the impact of security issues," Lipner explained. So far this year, almost half of Microsoft's 64 vulnerability alerts were tagged with the 'critical' rating and security experts have warned about a potential "cry wolf" situation if too many insignificant patches came with the highest-level rating.