JP5148442B2 - 脆弱性対応優先度表示装置及びプログラム - Google Patents

Description

本発明は、複数のシステムを管理するシステム管理者に対して、脆弱性への効率的な保守対応を支援し得る脆弱性対応優先度表示装置及びプログラムに関する。

近年、あらゆる企業において複数の製品から構成される情報システムが導入されている。情報システムでは、個々の構成装置に複数のソフトウェア製品がインストールされている。そのため、情報システムを安定稼動させるためには、脆弱性が予想されるソフトウェアに対して、随時修正パッチを適用することが必要となる。

しかしながら、複数の情報システムを管理するシステム管理者にとっては、個々のソフトウェア製品に対する脆弱性の修正パッチを確認する作業は煩雑である。

具体的には、システム管理者は、多くの工数を要する作業を行ない、システムにインストールされているソフトウェア製品に該当する全ての脆弱性情報を取得し、その対策としての修正パッチを取得し、修正パッチをインストールした後に動作確認をしなければならない。また、システムの特性によっては、ソフトウェア製品に脆弱性があっても対応しなくてもよい場合もある。

そこで、対象製品の顧客の利用頻度や、ベンダ提供の修正パッチのダウンロード実績に応じて、修正パッチを選別する予防保守装置が提案されている（例えば、特許文献1参照）。この特許文献1に係る予防保守装置では、利用頻度の高いソフトウェア製品に優先的に修正パッチを適用したり、多くの顧客が必要としているという前提でダウンロード率が高い修正パッチを適用したりしている。
特開２００５−９９９６７号公報

しかしながら、上述した特許文献１の装置では、修正パッチを適用するシステム側の脆弱性を考慮しておらず、保守対応する必要がない修正パッチが選択される場合もある。

この点、本発明者らの検討によれば、1ヶ月あたり１００件前後の脆弱性情報があり、システム管理者の保守対応の負荷が高いものとなっている。

本発明は上記実情に鑑みてなされたものであり、複数のシステムを管理するシステム管理者に対して、脆弱性への効率的な保守対応を支援し得る脆弱性対応優先度表示装置及びプログラムを提供することを目的とする。

本発明は上記課題を解決するために、複数のシステムの監視項目毎に劣化レベルを算出し、セキュリティ劣化の防止を支援するセキュリティ劣化防止支援装置と、製品名毎に脆弱性影響情報を提供する脆弱性情報提供サーバと、の両装置と接続可能に接続する脆弱性対応優先度表示装置であって、前記セキュリティ劣化防止支援装置から各システムの監視項目毎の劣化レベルを取得するシステム毎監視項目毎劣化レベル取得手段と、前記各システムの監視項目毎の劣化レベルを記憶するシステム毎監視項目毎劣化レベル記憶手段と、前記各システムを構成する製品名の情報と該各システムとを関連付けて記憶するシステム毎構成情報記憶手段と、前記脆弱性情報提供サーバから前記製品名に対応する脆弱性影響情報を収集する脆弱性情報収集手段と、前記脆弱性情報収集手段により収集した脆弱性影響情報を製品名と関連付けて記憶する脆弱性情報記憶手段と、前記システムの各監視項目と、前記脆弱性影響情報及び影響度とを対応付けて記憶する監視項目毎影響度記憶手段と、前記システム毎監視項目毎劣化レベル記憶手段に記憶された各システムの監視項目毎の劣化レベルを読み出す第１読出手段と、前記第1読出手段により劣化レベルが読み出された各監視項目に対応する脆弱性影響情報及び影響度を前記監視項目毎影響度記憶手段から読み出す第２読出手段と、前記第２読出手段により読み出された脆弱性影響情報に対応する製品名を前記脆弱性情報記憶手段から読み出す第３読出手段と、前記第３読出手段により読み出された製品名が、前記第1読出手段により劣化レベルが読み出されたシステムに含まれているか否かを、前記システム毎構成情報記憶手段を検索することで判定する判定手段と、前記判定手段により含まれていると判定された場合、前記第1読出手段により読み出された劣化レベルと前記第２読出手段により読み出された影響度との積を求め、該システムを構成する製品名に対応させて脆弱性対応優先度を算出する脆弱性対応優先度算出手段と、前記脆弱性対応優先度算出手段により算出された脆弱性対応優先度順に、前記各システムの製品名を表示する脆弱性対応優先度表示手段と、を備えた脆弱性対応優先度表示装置を提供する。

＜作用＞
従って、本発明は、システム毎監視項目毎劣化レベル記憶手段に記憶された各システムの監視項目毎の劣化レベルを読み出す第１読出手段と、第1読出手段により劣化レベルが読み出された各監視項目に対応する脆弱性影響情報及び影響度を監視項目毎影響度記憶手段から読み出す第２読出手段と、第２読出手段により読み出された脆弱性影響情報に対応する製品名を脆弱性情報記憶手段から読み出す第３読出手段と、第３読出手段により読み出された製品名が、第1読出手段により劣化レベルが読み出されたシステムに含まれているか否かを、システム毎構成情報記憶手段を検索することで判定する判定手段と、判定手段により含まれていると判定された場合、第1読出手段により読み出された劣化レベルと第２読出手段により読み出された影響度との積を求め、システムを構成する製品名に対応させて脆弱性対応優先度を算出する脆弱性対応優先度算出手段と、脆弱性対応優先度順に各システムの製品名を表示する脆弱性対応優先度表示手段とを備えているので、複数のシステムを管理するシステム管理者に対して、脆弱性への効率的な保守対応を支援し得る脆弱性対応優先度表示装置を提供できる。

本発明によれば、複数のシステムを管理するシステム管理者に対して、脆弱性への効率的な保守対応を支援することが可能となる。

以下、図面を参照して本発明の実施形態を説明する。

＜第１の実施形態＞
（脆弱性対応優先度表示装置の構成）
図１は本発明の第１の実施形態に係る脆弱性対応優先度表示装置１０の構成を示す模式図である。

前提として、脆弱性対応優先度表示装置１０は、複数のシステムＡ〜Ｃの監視項目Ｗ１〜Ｗ４毎に劣化レベルを算出し、セキュリティ劣化の防止を支援するセキュリティ劣化防止支援装置５と、製品名毎に脆弱性影響情報を提供する脆弱性情報提供サーバ６と、の両装置と接続可能に接続する。なお、以下の説明において、システム数、監視項目の内容、脆弱性影響情報の内容等は例示であり、これに限るものではない。

セキュリティ劣化防止支援装置５は、セキュリティに関して、ポリシーとして決めた設定値と実際に運用するシステムの設定値とが異なる場合、セキュリティ強度が劣化していると判定し、劣化の度合いを示す「劣化レベル」を表示する装置である。具体的には、セキュリティ劣化防止支援装置５は、対象となるシステムＡ〜Ｃにおいて、セキュリティ的にどの程度弱くなっているかを予め決めた監視項目Ｗ１〜Ｗ４ごとに判定し、システム毎監視項目毎の劣化レベルを求める。ここでは、監視項目Ｗ１〜Ｗ４はそれぞれ、「許可されていないユーザの数」、「許可されていないサービスの稼働数」、「アクセスコントロールの変更数」、「FWの設定が変更されている数」とする。なお、ここでは、説明の便宜上、「許可されていないユーザの数」といった実際の内容で監視項目を表記しているが、実際のシステム上では記号で管理される。また、劣化レベルの値は高いほど劣化が進んでいる、つまりシステムが危険な状態にあることを示す。なお、セキュリティ劣化防止支援装置５の詳しい構成は、特願２００７−３０６０９２号明細書に開示されている。

脆弱性情報提供サーバ６は、ネットワーク等を介して脆弱性対応優先度表示装置１０と接続し、製品名に対応する脆弱性情報を提供する。例えばＪＶＮ（Japan Vulnerability Notes）などのサイトを脆弱性情報提供サーバ６として用いることができる。また、例えば、ＪＶＮからは、脆弱性情報ID： JVNDB-2005-000804，製品名：Apache Tomcat 4.0.6，およびそれ以前、想定される影響：「任意のコードを実行される可能性があります。」等の形式で脆弱性情報が提供される。なお、「製品名」は各システムを構成するソフトウェア製品の名称を示している。

脆弱性対応優先度表示装置１０は、システム毎監視項目毎劣化レベル記憶部１１・システム毎構成情報記憶部１２・脆弱性情報記憶部１３・監視項目毎影響度記憶部１４・脆弱性対応優先度記憶部１５・システム毎監視項目毎劣化レベル取得部１６・システム毎構成情報取得部１７・脆弱性情報収集部１８・脆弱性対応優先度算出部１９・脆弱性対応優先度表示部２０を備えている。

なお、脆弱性対応優先度表示装置１０は、ハードウェア構成とソフトウェア構成との組合せにより実現可能である。ソフトウェア構成は、予めコンピュータ読み取り可能な記憶媒体またはネットワークから得られた「プログラム」がコンピュータのメモリにインストールされることにより、脆弱性対応優先度表示装置１０としての各機能を実現する。

システム毎監視項目毎劣化レベル記憶部１１は、図２に示すように、各システムＡ〜Ｃの監視項目Ｗ１〜Ｗ４毎の「劣化レベル」を記憶する記憶装置である。要するに、劣化レベルは、システム毎及び監視項目毎に区分けされて設定される。

システム毎構成情報記憶部１２は、図３に示すように、システム毎構成情報取得部１７により取得した各システムを構成する製品名の情報をシステム毎に記憶する記憶装置である。ここでいう製品名とは、各システムＡ〜Ｃに使用されているＯＳ（operating system），ＭＷ（middleware），使用しているツールなどが挙げられる。なお、図３において「ＭＷ ｂ」などと表記しているが、実際は、「Adobe Reader 7.0」，「Apache Tomcat 6.0」のように、バージョンを示す番号とともに記憶される。

脆弱性情報記憶部１３は、図４に示すように、脆弱性情報収集部１８により収集した脆弱性影響情報を製品名と関連付けて記憶する記憶装置である。なお、ここでは、製品名と脆弱性影響情報とが脆弱性情報ＩＤで一意に識別されて、脆弱性情報として記憶される。また、脆弱性影響情報は、「Ｄｏｓ攻撃」、「第三者による任意のコード実行」といった表現で表される。

監視項目毎影響度記憶部１４は、図５に示すように、システムの各監視項目Ｗ１〜Ｗ４と、脆弱性影響情報及び「影響度」とを対応付けて記憶する記憶装置である。例えば、監視項目毎影響度記憶部１４は、劣化の状況として、許可されていないユーザが登録されている度合いが高い場合は、悪意のある第三者によりシステムを操作される可能性が高いので、「許可されていないユーザの数」という監視項目Ｗ１と、「第三者による任意のコード実行」という脆弱性情報とを対応付けて記憶する。さらに、監視項目毎影響度記憶部１４では、監視項目「許可されていないユーザの数」が増えることが脆弱性影響情報「第三者による任意のコード実行」へ、どの程度影響を及ぼすかを数値化した影響度を記憶する。

脆弱性対応優先度記憶部１５は、図６に示すように、脆弱性対応優先度算出部１９により算出された脆弱性対応優先度を各システムＡ〜Ｃを構成する製品名毎に記憶する記憶装置である。

システム毎監視項目毎劣化レベル取得部１６は、セキュリティ劣化防止支援装置５から各システムＡ〜Ｃの監視項目Ｗ１〜Ｗ４毎の劣化レベルを取得し、システム毎監視項目毎劣化レベル記憶部１１に書き込むものである。

システム毎構成情報取得部１７は、各システムＡ〜Ｃを構成する製品情報を取得し、システム構成情報記憶部１２に書き込むものである。

脆弱性情報収集部１８は、脆弱性情報提供サーバ６から製品名に対応する脆弱性影響情報を収集し、脆弱性情報記憶部１３に書き込むものである。

脆弱性対応優先度算出部１９は、各システムＡ〜Ｃを構成する製品情報毎に「脆弱性対応優先度」を算出し、脆弱性対応優先度記憶部１５に書き込むものである。詳しくは、脆弱性対応優先度算出部１９は、第１読出機能１９Ａ・第２読出機能１９Ｂ・第３読出機能１９Ｃ・判定機能１９Ｄ・第１算出機能１９Ｅを有している。

第１読出機能１９Ａは、システム毎監視項目毎劣化レベル記憶部１１に記憶された各システムの監視項目毎に対応する劣化レベルを読み出す機能である。

第２読出機能１９Ｂは、第1読出機能１９Ａにより劣化レベルが読み出されたシステムの監視項目に対応する脆弱性影響情報及び影響度を監視項目毎影響度記憶部１４から読み出す機能である。

第３読出機能１９Ｃは、第２読出機能１９Ｂにより読み出された脆弱性影響情報に対応する製品名を脆弱性情報記憶部１３から読み出す機能である。

判定機能部１９Ｄは、第３読出機能１９Ｃにより読み出された製品名が、第1読出機能１９Ａにより劣化レベルが読み出されたシステムに含まれるか否かを、システム毎構成情報記憶部１２を検索することで判定する機能である。

第1算出機能１９Ｅは、判定機能１９Ｄにより含まれていると判定された場合、第1読出機能１９Ａにより読み出された劣化レベルと第２読出機能１９Ｂにより読み出された影響度との積を求めて、各システムＡ〜Ｃを構成する製品名毎の脆弱性対応優先度を算出する機能である。

脆弱性対応優先度表示部２０は、脆弱性対応優先度記憶部１５により記憶された脆弱性対応優先度順にソートして、各システムの製品名を表示するものである。このときに示される脆弱性対応優先度の値によって、システムを運用管理するユーザは対応する脆弱性情報の優先順位を判断できるようになる。

（脆弱性対応優先度表示装置の動作）
次に本実施形態に係る脆弱性対応優先度表示装置１０の動作を図７のフローチャートを用いて説明する。

前提として、セキュリティ劣化防止支援装置５により複数のシステムＡ〜Ｃにおけるセキュリティ強度の劣化が判定されると、監視項目Ｗ１〜Ｗ４毎に劣化レベルが求められる。また、脆弱性情報提供サーバ６により製品名毎に脆弱性影響情報が提供される。

かかる前提のもと、脆弱性対応優先度表示装置１０において、ユーザの操作により、脆弱性対応優先度表示命令が送出されると、システム毎構成項目毎劣化レベル取得部１６により、セキュリティ劣化防止支援装置５から各システムＡ〜Ｃの監視項目毎Ｗ１〜Ｗ４の劣化レベルが取得され、システム毎監視項目毎記憶部１１に書き込まれる（Ｓ１）。

次に、脆弱性対応優先度表示装置１０では、システム毎構成情報取得部１７により、システム毎監視項目毎劣化レベル取得部１６により劣化レベルが取得されたシステムＡ〜Ｃを構成する製品名の情報が取得され、システム毎構成情報記憶部１２に書き込まれる（Ｓ２）。例えば、システム毎構成情報取得部１７により、各システムＡ〜ＣからＯＳ，ＭＷ（middleware），使用しているツールなどの構成情報が取得される。

次に、脆弱性対応優先度表示装置１０では、脆弱性情報収集部１８を介して、システムＡ〜Ｃを構成する製品名（ＯＳ ａ，ＯＳ ｃ，ＭＷ ｂ，ツールｄ，ツールｅ）の情報に対応する脆弱性情報が脆弱性情報提供サーバ６から収集される（Ｓ３）。収集された脆弱性情報は、脆弱性情報記憶部１３に書き込まれる。

この後、脆弱性対応優先度表示装置１０では、脆弱性対応優先度算出部１９により後述する図８の手順で「脆弱性対応優先度」の算出処理が実行される（Ｓ４）。脆弱性対応優先度表示装置１０により脆弱性対応優先度が算出されると、この脆弱性対応優先度順に各システムを構成する製品名が脆弱性優先度記憶部１５に書き込まれる。

そして、ユーザの操作に応じて、脆弱性対応優先度記憶部１５に記憶された脆弱性対応優先度順にソートされた各システムの製品名が脆弱性対応優先度表示部２０に表示される（Ｓ５）。

図８は脆弱性対応優先度算出部１９による「脆弱性対応優先度」の算出手順を示すフローチャートである。

まず、脆弱性対応優先度算出部１９の第１読出機能１９Ａにより、各システムＡ〜Ｃの監視項目Ｗ１〜Ｗ４毎の劣化レベルがシステム毎監視項目毎劣化レベル記憶部１１から劣化レベルの値が０より大きい監視項目が読み出される（Ｔ１，Ｔ２）。例えば、システムＡの監視項目Ｗ１の「許可されていないユーザの数」の劣化レベルは１０であり、監視項目Ｗ２の「許可されていないサービスの稼動数」の劣化レベルは５であるので、０より大きく、読み出されることになる。

続いて、第２読出機能１９Ｂにより、第1読出機能１９Ａにより劣化レベルが読み出された監視項目が読み出され（Ｔ３）、その監視項目に対応する脆弱性影響情報及び影響度が監視項目毎影響度記憶部１４から読み出される（Ｔ４）。前記の監視項目Ｗ１に対しては、「第三者による任意のコード実行１」を示す脆弱性影響情報と影響度０．５とが読み出される。また監視項目Ｗ２に対しては、「Ｄｏｓ攻撃１」及び影響度０．８と、「スパムメールの発信の踏み台１」及び影響度０．５とが読み出される。

続いて、脆弱性対応優先度算出部１９の第３読出機能１９Ｃにより、第２読出機能１９Ｂで読み出された脆弱性影響情報に対応する製品名が脆弱性情報記憶部１３から読み出される（Ｔ５）。例えば、「第三者による任意のコード実行１」に対して、脆弱性情報ＩＤ「v08050002」に該当する製品名OS bが読み出される。また、「Ｄｏｓ攻撃１」と「スパムメールの発信の踏み台１」とに対して、それぞれ、脆弱性情報ＩＤ「v08050001」と「v08050004」とに該当する製品名OS a とＭＷ ｂとが読み出される。

次に、脆弱性対応優先度算出部１９の判定機能１９Ｄにより、第３読出機能１９Ｃで読み出された製品名が、第1読出機能１９Ａにより劣化レベルが読み出されたシステムに含まれているか否かが、システム毎構成情報記憶部１２に記憶された情報に基づいて判定される（Ｔ６）。前記の例では、第３読出機能１９Ｃにより、システムＡの監視項目Ｗ１に対して、OS ｂが製品名として読み出されているが、システム毎構成情報記憶部１２にはOS ｂはシステムＡに関連付けられていないので、“含まれていない”と判定される。一方、監視項目Ｗ２に関連して読み出された製品名OS a及びMW bはいずれもシステムＡの構成情報に“含まれている”と判定される。

脆弱性対応優先度算出部１９では、判定機能１９Ｄにより“含まれている”と判定された場合、第1読出機能１９Ａにより読み出された劣化レベルと第２読出機能１９Ｂにより読み出された影響度との積が第1算出機能１９Ｅにより求められる（Ｔ６−Ｙｅｓ，Ｔ７）。前記の例では、まず、システムＡの監視項目Ｗ２「許可されていないサービスの稼働数」の劣化レベル５と、脆弱性情報ＩＤ「v08050001」の製品名OS aに対応する「Ｄｏｓ攻撃１」の影響度０．８及び脆弱性情報ＩＤ「v08050004」の製品名MW bに対応する「スパムメールの発信の踏み台１」の影響度０．５とが読み出される。そして、製品名OS aに関しては、５×０．８＝４と脆弱性対応優先度が求められ、製品名MW bに関しては、５×０．５＝２．５と脆弱性対応優先度が求められる。

このようにして、システムを構成する製品名に対応して脆弱性対応優先度が算出され、この脆弱性対応優先度順に各システムを構成する製品名が脆弱性対応優先度記憶部１５に書き込まれる。

（脆弱性対応優先度表示装置の効果）
以上説明したように、本実施形態に係る脆弱性対応優先度表示装置１０は、システム毎監視項目毎劣化レベル記憶部１１に記憶された各システムＡ〜Ｃの監視項目Ｗ１〜Ｗ４毎の「劣化レベル」を読み出す第１読出機能１９Ａと、第1読出機能１９Ａにより劣化レベルが読み出された各監視項目Ｗ１〜Ｗ４に対応する脆弱性影響情報及び「影響度」を監視項目毎影響度記憶部１４から読み出す第２読出機能１９Ｂと、第２読出機能１９Ｂにより読み出された脆弱性影響情報に対応する製品名を脆弱性情報記憶部１３から読み出す第３読出機能１９Ｃと、第３読出機能１９Ｃにより読み出された製品名が、第1読出機能１９Ａにより劣化レベルが読み出されたシステムに含まれるか否かを、システム毎構成情報記憶部１２を検索することで判定する判定機能１９Ｄと、判定機能１９Ｄにより含まれていると判定された場合、第1読出機能１９Ａにより読み出された劣化レベルと第２読出機能１９Ｂにより読み出された影響度との積を求め、システムを構成する製品名に対応させて「脆弱性対応優先度」を算出する第１算出機能１９Ｅを有する脆弱性対応優先度算出部１９と、脆弱性対応優先度順に各システムの製品名を表示する脆弱性対応優先度表示部２０とを備えているので、複数のシステムを管理するシステム管理者に対して、脆弱性への効率的な保守対応を支援することができる。

＜第２の実施形態＞
図９は本発明の第２の実施形態に係る脆弱性対応優先度表示装置１０Ｓの構成を示す模式図である。なお、既に説明した部分と同一部分には同一符号を付し、特に説明がない限りは重複した説明を省略することがある。同様に、以下の各実施形態においても重複した説明を省略することがある。

本実施形態に係る脆弱性対応優先度表示装置１０Ｓは、第１の実施形態に係る脆弱性対応優先度表示装置１０がシステム重要度記憶部２１をさらに備えている。このシステム重要度記憶部２１は、図１０に示すように、各システムＡ〜Ｃの重要度を記憶する記憶装置である。ここでは、数値が高いほど重要であることを示しており、システムＡ，Ｂ，Ｃの重要度はそれぞれ３，２，１とする。

また、本実施形態では、脆弱性対応優先度算出部１９Ｓが、脆弱性対応優先度と重要度との積を求めて、新たな脆弱性対応優先度を算出する第２算出機能１９Ｆを有している。この第２算出機能１９Ｆによれば、たとえば、システムＡの重要度が３なので、第１の実施形態に係る脆弱性対応優先度算出部１９により算出された、システムＡにおける脆弱性情報ＩＤ「v08050001」の脆弱性対応優先度の４に対し３が掛けられて、４×３＝１２が新たな脆弱性対応優先度として算出される。同様に、システムＡに対する脆弱性情報ＩＤ「v08050004」の脆弱性対応優先度の値は、２．５×３＝７．５と新たに算出される。

システムＢ，Ｃについても同様に計算され、脆弱性対応優先度は図１１（Ａ）に示す値から図１１（Ｂ）に示す値に更新される。この結果、脆弱性対応優先度記憶部１５では、図１２に示すようにデータがソートされる。

以上説明したように、本実施形態に係る脆弱性対応優先度表示装置１０Ｓは、各システムＡ〜Ｃの重要度を記憶するシステム重要度記憶部２１をさらに備え、脆弱性対応優先度算出部１９Ｓが、脆弱性対応優先度と重要度との積を求めて、新たな脆弱性対応優先度を算出するので、より精度の高い脆弱性対応優先度をシステム管理者に示すことができる。例えば、脆弱性対応優先度表示装置１０Ｓでは、重要な保護資産を保存している等の重要度の高いシステムの脆弱性対応優先度が高く表示されることになる。

＜第３の実施形態＞
図１３は本発明の第３の実施形態に係る脆弱性対応優先度表示装置１０Ｔの構成を示す模式図である。

本実施形態に係る脆弱性対応優先度表示装置１０Ｔは、第1の実施形態に係る脆弱性対応優先度表示装置１０が、システム毎特性情報記憶部３１・システム毎対応先送脆弱性情報記憶部３２をさらに備えたものである。

システム毎特性情報記憶部３１は、図１４に示すように、各システムの特性を示す「特性情報」を該システム毎に記憶する記憶装置である。例えば、システム毎特性情報記憶部３１は、システムの特性情報として「保護資産の重要度が低い」や、「社内ＬＡＮで閉じられた環境にある」等の内容を示す情報を記憶する。

システム毎対応先送脆弱性情報記憶部３２は、図１５に示すように、各システムの特性情報と、保守作業の対応を先送りしてもよい脆弱性影響情報のキーワード及び影響係数とを対応付けて記憶する記憶装置である。補足すると、システムの特性情報として、「社内LANで閉じられた環境にある」が記憶されている場合は、そのシステムを構成する製品の脆弱性影響情報に「Dos攻撃」や「踏み台」というキーワードがあっても、外部から攻撃を受けることが無いので、その対応を先送りしてよいことになる。そこで、システム毎対応先送脆弱性情報記憶部３２では、「保護資産の重要度が低い」の特性情報と「情報漏洩」という脆弱性影響情報のキーワードとを関連付けて記憶する。他にも、システム毎対応先送脆弱性情報記憶部３２では、「社内ＬＡＮで閉じられた環境にある」の特性情報と「Dos攻撃」や「踏み台」という脆弱性影響情報のキーワードとを関連付けて記憶する。なお、ここでは影響係数はすべて０とする。

また、本実施形態に係る脆弱性対応優先度算出部１９Ｔは、第１の実施形態に係る脆弱性対応優先度算出部１９が、第４読出機能１９Ｇ・第５読出機能１９Ｈ・第３算出機能１９Ｉをさらに有しているものである。

第４読出機能１９Ｇは、システム毎特性情報記憶部３１からシステムの特性情報を読み出す機能である。

第５読出機能１９Ｈは、第４読出機能１９Ｇにより読み出した特性情報に対応する脆弱性影響情報と影響係数とをシステム毎対応先送脆弱性情報記憶部３２から読み出す機能である。

第３算出機能１９Ｉは、第５読出機能１９Ｈから読み出した脆弱性影響情報が、第２読出機能１９Ｂにより読み出した脆弱性影響情報に含まれる場合、第1算出機能１９Ｅにより算出された脆弱性対応優先度に影響係数を掛けて、新たな脆弱性対応優先度を算出する機能である。なお、ここでは、影響係数が全て０なので、新たな脆弱性対応優先度は０となる。

上述した構成により、脆弱性対応優先度表示装置１０Ｔでは、システムの特性に応じて、保守対応を先送りしてよい脆弱性影響情報がある場合、影響係数を乗じて、その脆弱性対応優先度を下げることができる。例えば、システムＡには「社内LANで閉じている」の特性情報が対応付けられており、構成製品であるOS a やMW bの脆弱性影響情報に「Dos攻撃」や「踏み台」というキーワードがあっても、外部から攻撃を受けることが無いので、脆弱性対応優先度が下がることになる。同様に、システムＢには「保護資産の重要度が低い」の特性情報が対応付けられており、構成製品であるOS cの脆弱性影響情報に「情報漏洩」というキーワードがあっても、保守対応の緊急度が低く、脆弱性対応優先度が下がることになる。なお、ここでは、影響係数が全て０なので、システムＡの構成製品のうち、脆弱性影響情報「Dos攻撃」に対応する製品名OS aや脆弱性影響情報「スパムメールの踏み台」に対応する製品名MW bの脆弱性対応優先度は０となる。

換言すると、脆弱性対応優先度表示装置１０Ｔによれば、各システムの特性を考慮し、保守対応を先延ばしにしてよい製品名の脆弱性対応優先度を低くするので、より効果的な脆弱性対応優先度をユーザに示すことができる。

＜第４の実施形態＞
図１６は本発明の第４の実施形態に係るセキュリティ劣化防止支援装置５１の構成を示す模式図である。第１〜第３の実施形態に係る脆弱性対応優先度表示装置１０・１０Ｓ・１０Ｔは、前述のセキュリティ劣化防止支援装置５として、本実施形態に係るセキュリティ劣化防止支援装置５１を適用し、劣化レベルを取得することができる。なお、以下の説明において監視項目を単に「項目」と呼ぶ。また、以下の説明における「差異」を規格化した値が「劣化レベル」に相当する。

セキュリティ劣化防止支援装置５１は、コンピュータからなり、企業や団体内などに構築された情報システム５２におけるセキュリティに関する各項目の設定値を監視して、セキュリティ上の劣化事象（現象）が生じた時、セキュリティ劣化解消の指示を出力するものである。

監視対象の情報システム５２は、例えば、図１７（ａ）に示すように、当該情報システムを用いて主たる業務を行うための業務サーバ５２ａ、ＤＢ（データベース）サーバ５２ｂ、担当者端末５２ｃ、管理者端末５２ｄ、上長端末５２ｅ、インターネット５２ｆなどに接続されたＦＷとしてのルータ５２ｇ、セキュリティ劣化防止支援装置５１に接続された通信ＩＦ５２ｈなどが、社内ＬＡＮ５２ｉなどに組み入れられている。

そして、この情報システム５２のセキュリティを確保するために、上記業務サーバ５２ａやＤＢサーバ５２ｂなどに対して、サーバ毎に、当該サーバにアクセス許可される担当者（ユーザ）のリストがこの情報システム５２の管理者にて、各サーバ内に設定されている。例えば図１７（ｂ）に主業務サーバ５２ａに対するアクセスが許可されたユーザリスト５２ｊを示す。このユーザリスト５２ｊには、図１７（ｂ）に示すように現在時点で８人のユーザが設定されているものとする。

同様に、社内ＬＡＮ５２ｉとインターネット５２ｆとの間には、ルータ５２ｇにＦＷ（ファイァ・ウォール）の機能が組み入れられており、このルータ５２ｇ（ＦＷ）を通過する各種情報の許可された送信者のリストが当該ＦＷ（ファイア・ウォール）に設定されている。

さらに、業務サーバ５２ａ、ＤＢサーバ５２ｂ、ＦＷなどは、多数の入出力ポートを有しているが、そのうちで有効なポートのポート番号を設定しており、設定されていないポート番号のポートに各種信号を印加しても、この業務サーバ５２ａ、ＤＢサーバ５２ｂ、ＦＷなどをアクセスできない。

セキュリティ劣化防止支援装置５１内には、図１６に示すように、管理者が各種の指示を入力するためのキーボードやマウスなどからなる操作部５３、現在時刻（月日）を計時する時計回路５４、算出された「差異」や「傾きＫ（増加量）」を経過時間（日）を横軸としてグラフィック表示する表示器５５、各種情報を記憶する例えばＨＤＤなどで構成された記憶部５６などのハードウェア資源が設けられている。

この記憶部５６内には、セキュリティ劣化防止支援装置５１が実行する各種の処理動作のアプリケーション・プログラムを記憶するプログラムメモリ５７、基準設定値メモリ５８、設定リスト５９、セキュリティ劣化テーブル６０、対応処理メモリ６１が設けられている。

さらに、このセキュリティ劣化防止支援装置５１内には、前記プログラムメモリ５７のアプリケーション・プログラム上に形成された、設定部６２、現状セキュリティ検出部６３、差異検出部６４、セキュリティ劣化テーブル書込部６５、傾き算出部６６、対応処理決定部６７、対応処理実行部６８、編集部６９、表示制御部７０、現状設定値変更部７１、基準設定値変更部７２などが形成されている。

以下各部の詳細構成及び動作を順番に説明する。
基準設定値メモリ５８内には、図１８に示すように、情報システム５２におけるセキュリティの図１７（ａ）、（ｂ）で説明した各項目７３の基準設定値が記憶されている。この実施形態においては１〜７の項目番号が付された７個の項目７３が記憶されている。

項目番号「１」の項目７３には、「業務サーバアクセスユーザ」の項目名、「業務サーバに対するアクセスを許可されたユーザ」の内容、実際に設定値のデータが格納されている「業務サーバユーザリスト」のファイル名が設定されている。このファイルは、設定リスト５９内に、図１９（ａ）の形式で示される。具体的には、業務サーバ５２ａに対して山田一郎を含み５名が許可されたユーザとして設定されている。したがって、この１番の項目７３の基準設定値は「５」となる。

これに対して、情報システム５２に現時点（ある時点）で業務サーバ５２ａに対してアクセス許可されたユーザ数は図１７（ｂ）に示したように８名であるので、現状設定値は「８」となり、セキュリティ劣化の量を示す「差異」は「３」となる。

なお、基準設定値メモリ５８内に設定されている人数と、情報システム５２における現状設定値の人数がたとえ一致していたとしても、設定されている氏名が異なる場合は、異なる氏名の数を「差異」とすることも可能である。例えば、基準設定値メモリ５８内に「山田、鈴木、高橋」と設定されていて、情報システム５２における現状設定として「山田、鈴木、大阪」である場合は、１名が異なるので、「差異」＝１となる。

項目番号「２」の項目７３は、図１７（ａ）のＤＢサーバ５２ｂに対するアクセス許可されたユーザ名が前述した設定リスト５９に設定されている。したがって、この項目７３の基準設定値は設定されたユーザの人数である。

項目番号「３」の項目７３は、図１７（ａ）の前述したＦＷ（ファイア・ウォール）を各種情報が通過するための条件情報が前述した設定リスト５９に設定されている。例えば、ここでいう条件情報とは、当該ＦＷを通過する各種情報を発信（送信）した送信者のユーザ名が該当する。したがって、この項目７３の基準設定値は設定されたユーザの人数である。

項目番号「４」の項目７３は、ＦＷ（ルータ５２ｇ）を通過可能な情報の種別であり、設定リスト５９に、図１９（ｂ）に示す状態で設定されている。この項目７３の基準設定値は設定された通過可能な情報の種別の数である。たとえば、ここで「データ削除要求」に関しては、ＦＷ（ルータ５２ｇ）は通過しないという条件となっていることがわかる。

項目番号「５」の項目７３は、業務サーバ５２ａにおける有効なポートのポート番号であり、設定リスト５９に、図１９（ｃ）に示す状態で設定されている。この項目７３の基準設定値は有効に設定されたポート番号の総数であり、この実施形態においては、基準設定値は「５」である。

項目番号「６」の項目７３は、ＤＢサーバ５２ｂにおける有効なポートのポート番号であり、設定リスト５９に設定されている。この項目７３の基準設定値は有効に設定されたポート番号の総数である。

項目番号「７」の項目７３は、ＦＷにおける有効なポートのポート番号であり、設定リスト５９に設定されている。この項目７３の基準設定値は有効に設定されたポート番号の総数である。

この業務システム５２の管理責任者又はセキュリティ劣化防止支援装置５１の管理責任者が操作部５３を介して操作入力すると、設定部６２は基準設定値メモリ５８内の各基準設定値を基準設定値メモリ５８に設定する。

セキュリティ劣化テーブル６０内には、図２０に示すように、前述した「１」番から「７」番までの７つのセキュリティの項目７３毎に、１０月１日から１０月８まで１日（期間）毎に監視、算出された「差異」、「傾き」が書込まれている。

現状セキュリティ検出部６３は、時計回路５４の例えば１日などの一定期間毎の時間割込に応じて、監視対象の情報システム５２に対して、前述した「１」番から「７」番までの７つの項目７３に対して、現時点において、当該情報システム５２に設定されている現状設定値を読出して、差異検出部６４へ送出する。

差異検出部６４は、検出された情報システム５２の各項目７３の「現状設定値」から、基準設定値メモリ５８に記憶されている同一項目７３の「基準設定値」を減算して、セキュリティ劣化を示す「差異」を算出する。

「（設定値の）差異」＝「現状設定値」―「基準設定値」
但し、「現状設定値」が「基準設定値」に等しい場合、又は下回る場合は、該当項目７３に対して、セキュリティ劣化事象（現象）は生じていないので、強制的に、「差異」＝０としている。セキュリティ劣化テーブル書込部６５は、算出された各項目７３の差異をセキュリティ劣化テーブル６０内の当該日付の差異欄に書込む。例えば、今日が１０月２日の場合、項目番号「１」の項目７３の業務サーバ５２ａの基準設定値は図１９（ａ）に示す「５（人）」であるのに対して、実際の業務サーバ５２ａの現状設定値は図１７（ｂ）に示す「８（人）」であるので、セキュリティ劣化を示す「差異」は、８−５＝３となる。

増加量算出手段としての傾き算出部６６は、１日などの一定期間毎に算出される各「差異」の一つ前の期間における「差異」からの当該差異が増加する方向の「増加量」を「傾きＫ」として算出する。この場合、差異が減少した場合は、セキュリティ劣化が改善されたので、「増加量」を示す「傾きＫ」＝０とする。

例えば、今日が１０月２日の場合、「１」番の項目７３の業務サーバ５２ａの差異＝３で、前日（１０月１日）の差異＝０であるので、「増加量」を示す「傾きＫ」＝３となる。１０月３日に実際の業務サーバ５２ａの現状設定値が５に設定変更されたとすると、差異＝０となるので、「増加量」を示す「傾きＫ」＝０となる。

対応処理メモリ６１内には、図２１に示すように、この算出されたセキュリティ劣化の「増加量」を示す「傾きＫ」に対応したセキュリティ劣化解消の指示（対策）が記憶されている。傾きＫ＝１に対しては管理者端末５２ｄへの通知を指示し、傾きＫ＝２に対しては管理者端末５２ｄ及び上長端末５２ｅへの通知を指示し、傾きＫ≧３に対しては、当該機器（端末）をＬＡＮなどのネットワークから強制的に切り離す指示を出す。

対応処理決定部６７は、傾き算出部６６で、１以上の傾きＫが算出されると、対応処理メモリ６１から傾きＫに対応するセキュリティ劣化解消の指示を決定する。対応処理実行部６８は、この決定した対応処理を情報システム５２に対して実行する。

編集部６９は、操作者の指示に基づいて、図２０に示すセキュリティ劣化テーブル６０における１日毎の７つの項目７３の「合計差異」と「合計傾きＫ」とを算出する。表示制御部７０は、編集部６９で編集された、セキュリティ劣化テーブル６０に書込まれた各項目７３の「差異」、「傾きＫ」を、図２２、図２３に示すように、表示器５５に、日付を横軸にグラフィック表示する。

さらに、現状設定値変更部７１は、操作者の指示に基づいて、前述した図１７（ａ）で示した、「差異」が検出された情報システム５２のセキュリティに関する各項目７３の現状設定値を基準設定値メモリ５８に記憶された当該項目７３の基準設定値に変更する。

また、逆に、基準設定値変更部７２は、操作者の指示に基づいて、「差異」が検出された基準設定値メモリ５８に記憶された項目の基準設定値を情報システム５２の当該項目の現状設定値に変更する。

このように、必要に応じて、基準設定値メモリ５８に記憶された項目の基準設定値と情報システム５２の各項目の現状設定値とをいずれか一方の設定値に書き替えることによって、両者を同一値とすることが可能である。

図２４は、このような構成のセキュリティ劣化防止支援装置５１の全体動作を示す流れ図である。１日の期間ΔＴが経過すると、（ステップＷ１）、項目７３の番号ｍを１に初期設定（Ｗ２）し、項目番号ｍの項目７３の情報システム５２における現状のセキュリティ値である現状設定値を読取る（Ｗ３）。

次に、基準設定値メモリ５８に記憶された同一項目７３の基準設定値を読取り（Ｗ４）、両者の差異Ｄを算出する（Ｗ５）。算出した差異をセキュリティ劣化テーブル６０に書込む（Ｗ６）。そして、一つ前の期間における「差異」からの当該差異が増加する方向の「増加量」を「傾きＫ」（Ｋ＝Ｄ―Ｄ-1）として算出する（Ｗ７）。

そして、「傾きＫ」が、０でなく、１以上の場合（Ｗ８）で、傾きＫ＝１のとき（Ｗ９）、管理者端末５２ｄへの通知を指示する（Ｗ１０）。また、傾きＫ＝２のとき（Ｗ１１）、管理者端末５２ｄ及び上長端末５２ｅへの通知を指示する（Ｗ１２）。最後に、傾きＫ≧３のとき（Ｗ１３）、当該機器（端末）をＬＡＮなどのネットワークから強制的に切り離す指示を出す（Ｗ１４）。

以上で、項目番号ｍの項目７３の設定値に対する処理が終了したので、項目番号ｍを更新し（Ｗ１５）、更新後の項目番号ｍが最大値７（本実施例の場合は最大値７）を超えていないことを確認する（Ｗ１６）。そして、Ｗ３へ戻り、次の項目７３に対する処理を開始する。なお、Ｗ８にて、「傾きＫ」が０の場合は、Ｗ１５へ進み、項目番号ｍを更新する。

Ｗ１６にて、全部の項目７３に対する１日分の処理が終了すると、合計差異、合計傾きを算出して、セキュリティ劣化テーブル６０に書込む（Ｗ１７）。そして、操作者から表示指示が操作入力された場合は（Ｗ１８）、セキュリティ劣化テーブル６０に書込まれている現在時刻（日）までの差異Ｄ、傾きＫを表示器５５にグラフィック表示する（Ｗ１９）。そして、終了指示が入力されないと（Ｗ２０）、Ｗ１へ戻り、１日待って、次の日にセキュリティ監視処理を開始する。

このように構成されたセキュリティ劣化防止支援装置５１においては、１日などの一定期間毎に情報システム５２におけるセキュリティの１番から７番までの各項目７３の現状設定値が検出され、セキュリティ劣化防止支援装置５１内の記憶部５６内に設けられた基準設定値メモリ５８に記憶された同一項目７３の基準設定値からの差異Ｄが計算される。

さらに、この「差異」の一つ前の期間（１日前）における差異Ｄ-1からの増加量がセキュリティ劣化の加速度を示す「傾きＫ」（Ｋ＝Ｄ―Ｄ-1）として算出され、この「傾きＫ」（Ｋ＝１、Ｋ＝２、Ｋ≧３）に対応した、図２１に示す３種類のセキュリティ劣化解消の指示が出力される。

このように差異が増加する毎に、より効果的なセキュリティ劣化解消の指示が出力されるので、長期間に亘って、大きな差異が生じたままで放置されることが防止される。

前述したように、図２２は、セキュリティに関する各項目の「差異」の経時変化を示し、図２３は、セキュリティに関する各項目の「差異」の増加量（傾きＫ）の経時変化を示した図である。管理者は、この傾きＫの変遷を確認することにより、前記「傾きＫ」に対応したセキュリティ劣化解消の対策が実施されずに放置されたことが明確に解る。要するに、管理者に対する注意を喚起できる。

さらに、傾きＫ≧３に対しては、当該機器（端末）をＬＡＮなどのネットワークから切り離す実力行使となるので、最低限のセキュリティは確保される。

＜その他＞
なお、本発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。更に、異なる実施形態に構成要素を適宜組み合わせてもよい。

なお、上記実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。

また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。

また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が上記実施形態を実現するための各処理の一部を実行しても良い。

さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。

また、記憶媒体は１つに限らず、複数の媒体から上記実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。

尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、上記実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。

また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。

本発明の第１の実施形態に係る脆弱性対応優先度表示装置１０の構成を示す模式図である。 同実施形態に係るシステム毎監視項目毎劣化レベル記憶部１１の構成を示す模式図である。 同実施形態に係るシステム毎構成情報記憶部１２の構成を示す模式図である。 同実施形態に係る脆弱性情報記憶部１３の構成を示す模式図である。 同実施形態に係る監視項目毎影響度記憶部１４の構成を示す模式図である。 同実施形態に係る脆弱性対応優先度記憶部１５の構成を示す模式図である。 同実施形態に係る脆弱性対応優先度表示装置１０の動作を説明するためのフローチャートである。 同実施形態に係る脆弱性対応優先度算出部１９による「脆弱性対応優先度」の算出手順を示すフローチャートである。 本発明の第２の実施形態に係る脆弱性対応優先度表示装置１０Ｓの構成を示す模式図である。 同実施形態に係るシステム重要度記憶部２１の構成を示す模式図である。 同実施形態に係る脆弱性対応優先度表示装置１０Ｓの作用を説明するための図である。 同実施形態に係る脆弱性対応優先度表示装置１０Ｓの作用を説明するための図である。 本発明の第３の実施形態に係る脆弱性対応優先度表示装置１０Ｔの構成を示す模式図である。 同実施形態に係るシステム毎特性情報記憶部３１の構成を示す模式図である。 同実施形態に係るシステム毎対応先送脆弱性情報記憶部３２の構成を示す模式図である。 本発明の第４実施形態に係わるセキュリティ劣化防止支援装置５１の概略構成を示す模式図である。 同実施形態に係るセキュリティ劣化防止支援装置５１の監視対象の情報システムの模式図である。 同実施形態に係るセキュリティ劣化防止支援装置５１の記憶部に形成された基準設定値メモリの記憶内容を示す図である。 同実施形態に係る記憶部に形成された基準設定値メモリの設定リストの記憶内容を示す図である。 同実施形態に係るセキュリティ劣化防止支援装置５１の記憶部に形成されたセキュリティ劣化テーブルの記憶内容を示す図である。 同実施形態に係るセキュリティ劣化防止支援装置５１の記憶部に形成された対応処理メモリの記憶内容を示す図である。 同実施形態に係るセキュリティ劣化防止支援装置５１の表示器に表示された差異の経時変化を示す図である。 同実施形態に係るセキュリティ劣化防止支援装置５１の表示器に表示された傾きの経時変化を示す図である。 同実施形態に係るセキュリティ劣化防止支援装置５１の全体動作を示す流れ図である。

符号の説明

５・・・セキュリティ劣化防止支援装置、６・・・脆弱性情報提供サーバ、１０，１０Ｓ，１０Ｔ・・・脆弱性対応優先度表示装置、１１・・・システム毎監視項目毎劣化レベル記憶部、１２・・・システム毎構成情報記憶部、１３・・・脆弱性情報記憶部、１４・・・監視項目毎影響度記憶部、１５・・・脆弱性対応優先度記憶部、１６・・・システム毎監視項目毎劣化レベル取得部、１７・・・システム毎構成情報取得部、１８・・・脆弱性情報収集部、１９・・・脆弱性対応優先度算出部、１９Ａ・・・第１読出機能、１９Ｂ・・・第２読出機能、１９Ｃ・・・第３読出機能、１９Ｄ・・・判定機能、１９Ｅ・・・第１算出機能、１９Ｆ・・・第２算出機能、１９Ｇ・・・第４読出機能、１９Ｈ・・・第５読出機能、１９Ｉ・・・第３算出機能、２０・・・脆弱性対応優先度表示部。

Claims (4)

1. 複数のシステムの監視項目毎に劣化レベルを算出し、セキュリティ劣化の防止を支援するセキュリティ劣化防止支援装置と、
   製品名毎に脆弱性影響情報を提供する脆弱性情報提供サーバと、
   の両装置と接続可能に接続する脆弱性対応優先度表示装置であって、
   前記セキュリティ劣化防止支援装置から各システムの監視項目毎の劣化レベルを取得するシステム毎監視項目毎劣化レベル取得手段と、
   前記各システムの監視項目毎の劣化レベルを記憶するシステム毎監視項目毎劣化レベル記憶手段と、
   前記各システムを構成する製品名の情報と該各システムとを関連付けて記憶するシステム毎構成情報記憶手段と、
   前記脆弱性情報提供サーバから前記製品名に対応する脆弱性影響情報を収集する脆弱性情報収集手段と、
   前記脆弱性情報収集手段により収集した脆弱性影響情報を製品名と関連付けて記憶する脆弱性情報記憶手段と、
   前記システムの各監視項目と、前記脆弱性影響情報及び影響度とを対応付けて記憶する監視項目毎影響度記憶手段と、
   前記システム毎監視項目毎劣化レベル記憶手段に記憶された各システムの監視項目毎の劣化レベルを読み出す第１読出手段と、
   前記第1読出手段により劣化レベルが読み出された各監視項目に対応する脆弱性影響情報及び影響度を前記監視項目毎影響度記憶手段から読み出す第２読出手段と、
   前記第２読出手段により読み出された脆弱性影響情報に対応する製品名を前記脆弱性情報記憶手段から読み出す第３読出手段と、
   前記第３読出手段により読み出された製品名が、前記第1読出手段により劣化レベルが読み出されたシステムに含まれているか否かを、前記システム毎構成情報記憶手段を検索することで判定する判定手段と、
   前記判定手段により含まれていると判定された場合、前記第1読出手段により読み出された劣化レベルと前記第２読出手段により読み出された影響度との積を求め、該システムを構成する製品名に対応させて脆弱性対応優先度を算出する脆弱性対応優先度算出手段と、
   前記脆弱性対応優先度算出手段により算出された脆弱性対応優先度順に、前記各システムの製品名を表示する脆弱性対応優先度表示手段と、
   を備えたことを特徴とする脆弱性対応優先度表示装置。
2. 請求項１に記載の脆弱性対応優先度表示装置において、
   前記各システムの重要度を記憶するシステム重要度記憶手段と、
   前記脆弱性対応優先度と前記重要度との積を求めて、新たな脆弱性対応優先度を算出する手段と、
   をさらに備えたことを特徴とする脆弱性対応優先度表示装置。
3. 請求項１又は請求項２のいずれか１項に記載の脆弱性対応優先度表示装置において、
   前記各システムの特性を示す特性情報を該システム毎に記憶するシステム毎特性情報記憶手段と、
   前記各システムの特性情報と、保守作業の対応を先送りしてもよい脆弱性影響情報及び影響係数とを対応付けて記憶するシステム毎対応先送脆弱性情報記憶手段と、
   前記システム毎特性情報記憶手段から前記システムの特性情報を読み出す第４読出手段と、
   前記第４読出手段により読み出した特性情報に対応する脆弱性影響情報及び前記影響係数を前記システム毎対応先送脆弱性情報記憶手段から読み出す第５読出手段と、
   前記第５読出手段から読み出した脆弱性影響情報が、前記第２読出手段により読み出した脆弱性影響情報に含まれる場合、前記脆弱性対応優先度算出手段により算出された脆弱性対応優先度に前記影響係数を掛けて、新たな脆弱性対応優先度を算出する手段と、
   を備えたことを特徴とする脆弱性対応優先度表示装置。
4. 複数のシステムの監視項目毎に劣化レベルを算出し、セキュリティ劣化の防止を支援するセキュリティ劣化防止支援装置と、
   製品名毎に脆弱性影響情報を提供する脆弱性情報提供サーバと、
   の両装置と接続可能に接続する脆弱性対応優先度表示装置のメモリに組み込まれるプログラムであって、
   前記脆弱性対応優先度表示装置のコンピュータを、
   前記セキュリティ劣化防止支援装置から各システムの監視項目毎の劣化レベルを取得するシステム毎監視項目毎劣化レベル取得手段、
   前記各システムの監視項目毎の劣化レベルを記憶するシステム毎監視項目毎劣化レベル記憶手段、
   前記各システムを構成する製品名の情報と該各システムとを関連付けて記憶するシステム毎構成情報記憶手段、
   前記脆弱性情報提供サーバから前記製品名に対応する脆弱性影響情報を収集する脆弱性情報収集手段、
   前記脆弱性情報収集手段により収集した脆弱性影響情報を製品名と関連付けて記憶する脆弱性情報記憶手段、
   前記システムの各監視項目と、前記脆弱性影響情報及び影響度とを対応付けて記憶する監視項目毎影響度記憶手段、
   前記システム毎監視項目毎劣化レベル記憶手段に記憶された各システムの監視項目毎の劣化レベルを読み出す第１読出手段、
   前記第1読出手段により劣化レベルが読み出された各監視項目に対応する脆弱性影響情報及び影響度を前記監視項目毎影響度記憶手段から読み出す第２読出手段、
   前記第２読出手段により読み出された脆弱性影響情報に対応する製品名を前記脆弱性情報記憶手段から読み出す第３読出手段、
   前記第３読出手段により読み出された製品名が、前記第1読出手段により劣化レベルが読み出されたシステムに含まれているか否かを、前記システム毎構成情報記憶手段を検索することで判定する判定手段、
   前記判定手段により含まれていると判定された場合、前記第1読出手段により読み出された劣化レベルと前記第２読出手段により読み出された影響度との積を求め、該システムを構成する製品名に対応させて脆弱性対応優先度を算出する脆弱性対応優先度算出手段、
   前記脆弱性対応優先度算出手段により算出された脆弱性対応優先度順に、前記各システムの製品名を表示する脆弱性対応優先度表示手段、
   として実現させるプログラム。

Images