JP2003099602A - セキュリティポリシー策定支援方法およびシステム - Google Patents

Abstract

(57)【要約】 【課題】 情報システムの実体と人的組織等の管理状況
を含めた総合的な評価に基づくセキュリティポリシーを
容易に策定可能なように支援すること。 【解決手段】 コンピュータネットワークシステムに関
する設定及び動作状況を実システム上で検査し、評価す
るシステム評価ステップと、人的組織等の管理状況を質
問項目の回答として入力し、評価するチェックリスト評
価ステップと、前記システム評価ステップとチェックリ
スト評価ステップの評価項目における観点の相違を調整
し、両者をまとめた総合的評価結果を作成する評価結果
統合ステップと、前記総合的評価結果に基づいてセキュ
リティポリシー文書の案を生成するポリシー文書案生成
ステップとを備える。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、セキュリティポリ
シー策定支援方法およびシステムに関わり、特に、コン
ピュータネットワークシステム及び人的組織等の管理状
況に対する評価に基づきセキュリティポリシー文書の案
を作成するセキュリティポリシー策定支援方法およびシ
ステムに関するものである。

【０００２】

【従来の技術】情報資産を取扱う組織でのセキュリティ
管理については組織的な対策と技術的な対策の両面から
取り組む必要がある。組織は現状のセキュリティ管理に
ついての対策状況を正しく評価し、その管理方針となる
セキュリティポリシーを明確に文書化することが求めら
れる。このようなセキュリティの評価及びセキュリティ
ポリシーの策定については、これを支援するツールの作
成が進められ、利用されている。このようなツールは主
に２種類ある。１つはチェックリスト形式で組織の状況
等に関する質問を行い、その回答に基づいた評価を行う
もの、もう１つは組織の情報システム上の機器やネット
ワークの設定等を検査し、その結果に基づいた評価を行
うものである。

【０００３】

【発明が解決しようとする課題】前者のツールでは、組
織の人間的な管理の問題なども扱うことができるため、
その結果を基にセキュリティの評価だけでなく、セキュ
リティポリシーの文書案を作成することもできる。その
反面、組織の情報システムの実態を調べてはいないの
で、その点が正確に評価されているとは限らない。

【０００４】一方、後者のツールでは、組織の情報シス
テムの実態を把握できるが、人間的な管理の状況を評価
することはできない。また、前者のツールによる評価結
果はセキュリティ管理の一般化された評価項目で示され
るのに対し、後者のツールによる評価結果は情報システ
ム中の個々の機器やネットワークの設定に関する評価項
目で示される。したがって、２種類の支援ツールの評価
結果を組合せて利用し、総合的な評価に基づくセキュリ
ティポリシーを策定しようとすると、両者の評価観点の
違いを人手で整理する必要があり、容易に総合的な評価
に基づくセキュリティポリシーを策定することができな
いという問題がある。

【０００５】本発明の目的は、情報システムの実体と人
的組織等の管理状況を含めた総合的な評価に基づくセキ
ュリティポリシーを容易に策定可能なように支援するこ
とができるセキュリティポリシー策定支援方法およびシ
ステムを提供することにある。

【０００６】

【課題を解決するための手段】上記目的を達成するため
に、本発明は、システムの検査に基づく支援ツールが出
力する「個別の機器やシステムの評価項目」をチェック
リストの回答に基づく支援ツールが出力する「組織に関
する一般的な評価項目」に置き換えた上で両者を統合
し、その統合された評価結果を基にポリシー文書案の生
成を行うようにしたものである。すなわち、本発明のセ
キュリティポリシー策定支援方法は、コンピュータネッ
トワークシステム及び人的組織等の管理状況に対する評
価に基づきセキュリティポリシー文書の案を作成するセ
キュリティポリシー策定支援方法であって、コンピュー
タネットワークシステムに関する設定及び動作状況を実
システム上で検査し、評価するシステム評価ステップ
と、人的組織等の管理状況を質問項目の回答として入力
し、評価するチェックリスト評価ステップと、前記シス
テム評価ステップとチェックリスト評価ステップの評価
項目における観点の相違を調整し、両者をまとめた総合
的評価結果を作成する評価結果統合ステップと、前記総
合的評価結果に基づいてセキュリティポリシー文書の案
を生成するポリシー文書案生成ステップとを備えること
を特徴とする。そして、前記評価結果統合ステップは、
前記システム評価ステップで得られた個別の機器やシス
テムの評価項目を前記チェックリスト評価ステップで得
られる評価出力と同等の人的組織での一般的な評価項目
に置換することにより、評価項目の観点の相違を調整す
るものであることを特徴とする。また、前記システム評
価ステップで得られる評価項目の置換を、前記チェック
リスト評価ステップにおける評価項目の観点調整用のデ
ータを用いて行うことを特徴とする。また、前記ポリシ
ー文書案生成ステップは、前記総合的評価結果の評価項
目とポリシー文書を構成する文の間の対応関係を示すデ
ータを用いてセキュリティポリシー文書の案を生成する
ものであることを特徴とする。また、前記ポリシー文書
案生成ステップで生成したセキュリティポリシー文書の
案に対し、セキュリティポリシーの策定に関わる料金を
課金するステップをさらに備えることを特徴とする。

【０００７】本発明に係るセキュリティポリシー策定支
援システムは、コンピュータネットワークシステムに関
する設定及び動作状況を実システム上で検査し、評価す
るシステム評価手段と、人的組織等の管理状況を質問項
目の回答として入力し、評価するチェックリスト評価手
段と、前記システム評価手段とチェックリスト評価手段
の評価項目における観点の相違を調整し、両者をまとめ
た総合的評価結果を作成する評価結果統合手段と、前記
総合的評価結果に基づいてセキュリティポリシー文書の
案を生成するポリシー文書案生成手段とを備えることを
特徴とする。そして、前記評価結果統合手段は、前記シ
ステム評価手段から出力される個別の機器やシステムの
評価項目を前記チェックリスト評価手段から出力される
評価出力と同等の人的組織での一般的な評価項目に置換
することにより、評価項目の観点の相違を調整するもの
であることを特徴とする。また、前記評価結果統合手段
は、前記システム評価手段と前記チェックリスト評価手
段における評価項目の観点調整用のデータテーブルを備
え、前記システム評価手段から出力される評価項目の置
換を、前記観点調整用のデータテーブルを用いて行うこ
とを特徴とする。また、前記ポリシー文書案生成手段
は、前記総合的評価結果の評価項目とポリシー文書を構
成する文の間の対応関係を示すデータテーブルを備え、
前記総合的評価結果を前記データテーブルを用いてセキ
ュリティポリシー文書の案を生成するものであることを
特徴とする。また、前記ポリシー文書案生成手段で生成
したセキュリティポリシー文書の案に対し、セキュリテ
ィポリシーの策定に関わる料金を課金する課金手段をさ
らに備えることを特徴とする。また、前記評価結果統合
手段と前記ポリシー文書案生成手段で２回目以降の総合
的評価結果作成およびポリシー文書案生成を行う場合
に、前回と今回の総合的評価結果の変化した箇所を抽出
し、そこに対応するポリシー文書案の文をポリシー文書
の修正候補箇所として提示する手段を備えることを特徴
とする。

【０００８】

【発明の実施の形態】以下、図を用いて本発明の一実施
形態について説明する。図１は、本発明のセキュリティ
ポリシー策定支援方法を実現する情報処理システムの一
実施の形態を示すブロック図である。この実施形態のシ
ステムは、システム評価ツール１、チェックリスト評価
ツール２、統合評価・ポリシー案作成ツール３の３個ツ
ールからなり、これらのツール１〜３が取扱うデータ及
び情報システムとして、セキュリティ管理対象システム
４、チェックリスト項目回答５、システム評価結果６、
チェックリスト評価結果７、ポリシー文書案８、統合評
価結果９がある。

【０００９】システム評価ツール１は、セキュリティ管
理対象システム４上の機器やネットワークの設定等を検
査し、その結果に基づいた評価をシステム評価結果６と
して出力するものである。このシステム評価ツール１は
例えばＳｙｍａｎｔｅｃ社のセキュリティ管理ツールを
用いることができる。チェックリスト評価ツール２は、
チェックリスト項目回答５の内容に基づいた評価をチェ
ックリスト評価結果７として出力するものである。この
チェックリスト評価ツール２は、既に内部ツールとして
実現されているものを用いることができる。統合評価・
ポリシー案作成ツール３は、システム評価結果６とチェ
ックリスト評価結果７を基に統合評価結果９及びポリシ
ー文書案８を出力するものである。ここで、システム評
価ツール１とチェックリスト評価ツール２は、従来技術
で挙げた２種類の支援ツールに相当するものであり、統
合評価・ポリシー案作成ツール３は本発明に独自のもの
である。

【００１０】統合評価・ポリシー案作成ツール３につい
て詳しく説明する。図２は統合評価・ポリシー案作成ツ
ール３の構成図である。統合評価・ポリシー案作成ツー
ル３は項目観点調整部３１、項目観点調整用データテー
ブル３２、評価統合部３３、文案作成部３４、文案作成
用データテーブル３５からなる。統合評価・ポリシー案
作成ツール３に対する入力データはシステム評価結果６
とチェックリスト評価結果７である。システム評価結果
６の一例を図３に示す。システム評価結果６は問題範囲
３０１、問題箇所３０２、問題点３０３の３項目からな
り、例えば、問題範囲３０１が「クライアントＢ」、問
題箇所３０２が「ＯＳ」、問題点３０３が「システムの
パッチが最新でない」といった個別の機器等に関する評
価データが含まれている。

【００１１】一方、チェックリスト評価結果７は、図４
にその一例を示すように、評価内容４０１、判定４０２
の２項目からなり、例えば、評価内容４０１が「使用す
るソフトウェア／パッチのバージョンが最新である」、
判定４０２が「○」といった組織の管理一般に関する評
価データが含まれている。このような入力データに対
し、まず項目観点調整部３１ではシステム評価結果６の
個別的な評価項目のデータをチェックリスト評価結果７
のような一般的な評価項目のデータに変換し、項目の観
点を調整する。項目の観点の調整には項目観点調整用デ
ータテーブル３２を用いる。

【００１２】項目観点調整用データテーブル３２は、図
５に一例を示すように、問題箇所５０１、問題点５０
２、評価内容５０３の３項目からなり、例えば、問題箇
所５０１が「ＯＳ」、問題点５０２が「システムのパッ
チが最新でない」、評価内容５０３が「使用するソフト
ウェア／パッチのバージョンが最新でない」のようにシ
ステム評価結果６の項目（個別の機器等に関わる「問題
範囲」の項目を除く）とチェックリスト評価結果７の項
目（評価内容）を対応付けるデータが含まれている。

【００１３】一方、評価統合部３３ではチェックリスト
評価結果７の評価データと項目観点調整部３１で評価観
点の調整（あるいは整合）を行ったシステム評価結果６
の評価データを統合し、統合評価結果９を作成する。統
合評価結果９の一例を図６に示す。統合評価結果９は形
式としてはチェックリスト評価結果７と同様に、評価内
容６０１と判定６０２の２項目で構成されている。な
お、ここでは評価観点の調整を行ったシステム評価結果
６に基づく評価データは、評価内容の末尾に「（システ
ム評価）」の記述を付けて区別している。このことによ
って、「システム評価にしかない項目をチェックリスト
評価では漏れていた項目として追加する」、「チェック
リスト評価がシステム評価（実態）と食い違うものを指
摘する」、「チェックリスト評価がシステム評価（実
態）と合っていることを確認する」といった効用があ
る。

【００１４】そして、文案作成部３４では評価統合部３
３が作成した統合評価結果９からポリシー文書案８を作
成する。文案の作成には文案作成用データテーブル３５
を用いる。文案作成用データテーブル３５の一例を図７
に示す。文案作成用データテーブル３５は評価項目７０
１、ポリシー文案７０２の２項目からなり、例えば、評
価項目７０１が「使用するソフトウェア／パッチのバー
ジョンが最新である」、ポリシー文案７０２が「使用す
るソフトウェア及びそこに適用するパッチのバージョン
は最新に保つ」のように統合評価結果９の項目（評価内
容）とポリシー文書案８の項目（ポリシー文案）を対応
付けるデータが含まれている。ポリシー文書案８の一例
を図８に示す。ポリシー文書案８は、例えば「使用する
ソフトウェア及びそこに適用するパッチのバージョンは
最新に保つ」のような文案データの集合となっている。
項目観点調整部３１での評価項目の観点の調整と、評価
統合部３３での評価項目の統合による、２種類の評価結
果の統合的な利用が本発明の特徴である。

【００１５】次に、統合評価結果９の作成に関する処理
の詳細について説明する。図９は統合評価結果９を作成
する処理を示すフローチャートである。まず、評価統合
部３３でチェックリスト評価結果７の内容を統合評価結
果９へとコピーする（ステップ９０１）。すなわち、チ
ェックリスト評価結果７の項目は全て統合評価結果９の
項目として反映されることになる。次に、項目レベル調
整部３１でシステム評価結果６の未処理の行データがあ
るかどうかをチェックし（ステップ９０２）、残りがな
ければ（ステップ９０２でＮ）処理を終了する。

【００１６】一方、残りがある場合は（ステップ９０２
でＹ）システム評価結果６から未処理の１行分のデータ
を読み込む（ステップ９０３）。例えば、図３のシステ
ム評価結果に列挙されている「クライアントＢ」、「サ
ーバＢ」、「ドメインＡ」、「クライアントＣ」といっ
た問題範囲の項目を持つ各行のデータを１行分読み込
む。そして、読み込んだシステム評価結果６の内容に対
応するチェックリストレベルの内容を項目観点調整用デ
ータテーブル３２から取り出す（ステップ９０４）。具
体的には、読み込んだシステム評価結果６の問題箇所３
０２および問題点３０３と一致する問題箇所５０１及び
問題点５０２が記述されている評価内容５０３の欄の値
（文）を取り出す。例えば、図３のシステム評価結果に
列挙されている「クライアントＢ」といった行のデータ
を読み込んだ場合、この「クライアントＢ」の問題箇所
３０２として記述されている「ＯＳ」と問題点３０３と
して記述されている「システムのパッチが最新でない」
という内容と一致する問題箇所５０１および問題点５０
２の項目内容が設定されている観点調整用データテーブ
ル３２の「評価内容」５０３の欄の値（文）である「使
用するソフトウェア／パッチのバージョンが最新でな
い」を取り出す。

【００１７】次に、このようにして取り出したチェック
リストレベルの項目（上記例における「使用するソフト
ウェア／パッチのバージョンが最新でない」など）を、
項目観点調整部３１から評価統合部３３を介して統合評
価結果９の項目として書き出し（ステップ９０５）、ス
テップ９０２へ戻る。以上が統合評価結果９の作成処理
である。

【００１８】ここで、本実施形態のシステム評価結果６
は問題点だけを出力する形式になっており、全ての項目
（図３のテーブルの全てのデータ行）についてステップ
９０３からステップ９０５の処理を行ってよい。もし、
システム評価結果６が問題のない、良好な評価箇所につ
いてのデータも出力する形式（例えば、図４のチェック
リスト評価結果７のように問題のない項目を判定「○」
で、問題のある項目を判定「×」で表す形式）であった
場合は問題点のある評価項目についてだけ上記の処理を
すればよい。

【００１９】最後に、セキュリティポリシー文書案８の
作成に関する文案作成部３４での処理の詳細について説
明する。図１０はポリシー文書案８を作成する処理を示
すフローチャートである。まず、統合評価結果９の未処
理の行データがあるかどうかをチェックし（ステップ１
００１）、残りがなければ（ステップ１００１でＮ）処
理を終了する。一方、残りがある場合は（ステップ１０
０１でＹ）統合評価結果９から未処理の１行分のデータ
を読み込む（ステップ１００２）。そして、読み込んだ
統合評価結果９の内容に対応するポリシー文案を文案作
成用データテーブル３５から取り出す（ステップ１００
３）。これは、読み込んだ統合評価結果９の評価内容と
「評価項目」が一致するデータの「ポリシー文案」の欄
の値（文）を取り出せばよい。さらに、取り出したポリ
シー文案を、セキュリティポリシー文書案８の項目とし
て書き出し（ステップ１００４）、ステップ１００１へ
戻る。以上がポリシー文書案８の作成処理である。

【００２０】なお、本実施形態では、各評価結果の項目
やポリシー文案を単純な対応付けで表現しているが、こ
れらをもっと構造化し、処理の効率化や柔軟な文書作成
を実現することも可能である。また、セキュリティポリ
シー文書案８と統合評価結果９をセキュリティ管理対象
システム４の運用組織の管理者に提示するに際して、セ
キュリティポリシー文書案８と統合評価結果９の作成に
関わる費用を課金するように構成することができる。

【００２１】図１１は、図１の構成に対し、課金処理１
０を付加したシステムの例を示す構成図であり、セキュ
リティポリシー文書案８と統合評価結果９の作成処理が
終了したならば、統合評価・ポリシー作成ツール３が課
金処理１０を起動し、セキュリティポリシー文書案８と
統合評価結果９の作成に関わる費用を算出させる。この
費用の算出に際しては、課金テーブル１１に設定された
データを用いる。課金テーブル１１には、セキュリティ
ポリシー文書案８と統合評価結果９の項目数、管理対象
範囲などに応じて異なる課金データが設定されている。
課金処理１０は、課金テーブル１１に設定された課金デ
ータに基づいてセキュリティポリシー文書案８と統合評
価結果９の作成に関わる費用を算出したならば、料金請
求書１２を出力する。

【００２２】また、本発明を用いた２回目以降の統合評
価結果作成およびポリシー文書案生成を行う場合に、前
回と今回の評価結果の変化した箇所を抽出し、そこに対
応するポリシー文書案の文をポリシー文書の修正候補箇
所として提示するように構成することができる。

【００２３】図１２は、図２の構成に対し、差分処理部
３６を付加したツールの例を示す構成図であり、セキュ
リティポリシー文書案８と統合評価結果９の作成処理が
終了したならば、差分処理部３６にて統合評価結果９と
前回統合評価結果１０の比較を行い、評価結果の変化し
た項目についてポリシー文書修正候補を作成し、ポリシ
ー文書修正候補一覧１１に出力する処理を行う。

【００２４】ポリシー文書修正候補一覧１１は、図１３
に示すように、評価内容１３０１、前回判定１３０２、
今回判定１３０３、ポリシー文案１３０４の４項目から
なる。評価内容１３０１の形式は統合評価結果９の評価
内容６０１と、前回判定１３０２および今回判定１３０
３の形式は統合評価結果９の判定６０２と、ポリシー文
案１３０４の形式は文案作成用データテーブル３５のポ
リシー文案７０２と、それぞれ同様である。続いて、ポ
リシー文書修正候補一覧１１の作成に関する差分処理部
３６での処理の詳細について説明する。

【００２５】図１４はポリシー文書修正候補一覧１１を
作成する処理を示すフローチャートである。まず、統合
評価結果９の未処理の行データがあるかどうかをチェッ
クし（ステップ１４０１）、残りがなければ（ステップ
１４０１でＮ）処理を終了する。一方、残りがある場合
は（ステップ１４０１でＹ）統合評価結果９から未処理
の１行分のデータを読み込む（ステップ１４０２）。こ
こで前回統合評価結果１０の同じ評価項目と判定の結果
を比較し（ステップ１４０３）、同じであれば（ステッ
プ１４０３でＹ）ステップ１４０１へ戻る。一方、結果
が異なる場合は（ステップ１４０３でＮ）読み込んだ統
合評価結果９の内容に対応するポリシー文案を文案作成
用データテーブル３５から取り出す（ステップ１４０
４）。さらに、取り出したポリシー文案と統合評価結果
９の処理中の行の内容および前回統合評価結果１０の判
定の結果からポリシー文書修正候補の行を作成し、これ
をポリシー文書修正候補一覧１１の項目として書き出し
て（ステップ１４０５）、ステップ１４０１へ戻る。以
上がポリシー文書修正候補一覧１１の作成処理である。

【００２６】

【発明の効果】以上の説明から明らかなように、本発明
によれば、チェックリスト評価とシステム評価という２
種類の評価項目間の評価観点の調整と両者の統合の機能
を持った、セキュリティ評価とセキュリティポリシー文
書の案を作成するツールを導入することで、２種類の評
価ツールの特長を生かした総合的な評価に基づくセキュ
リティポリシー策定支援を、人手による作業を伴わずに
一貫したツール利用によって実現することができる。ま
た、評価と文案作成の再実行を行う場合には再評価結果
に基づくポリシー文書の修正候補項目がスムーズに把握
できる。

【図面の簡単な説明】

【図１】本発明のセキュリティポリシー策定支援方法を
実現する情報処理システムの一実施形態を示す構成図で
ある。

【図２】統合評価・ポリシー案作成ツールの構成例を示
す図である。

【図３】システム評価結果の一例を示す図である。

【図４】チェックリスト評価結果の一例を示す図であ
る。

【図５】項目観点調整用データテーブルの例を示す図で
ある。

【図６】統合評価結果の一例を示す図である。

【図７】文案作成用データテーブルの例を示す図であ
る。

【図８】セキュリティポリシー文書案の一例を示す図で
ある。

【図９】統合評価結果を作成する処理を示すフローチャ
ートである。

【図１０】ポリシー文書案を作成する処理を示すフロー
チャートである。

【図１１】図１の実施形態に対し課金処理を付加した構
成を示す図である。

【図１２】図２のツールの構成に対しポリシー文書の修
正候補一覧の作成処理を付加した構成を示す図である。

【図１３】ポリシー文書修正候補一覧の例を示す図であ
る。

【図１４】ポリシー文書修正候補一覧を作成する処理を
示すフローチャートである。

【符号の説明】

１…システム評価ツール ２…チェックリスト評価ツール ３…統合評価・ポリシー案作成ツール ４…セキュリティ管理対象システム ５…チェックリスト項目回答 ６…システム評価結果 ７…チェックリスト評価結果 ８…ポリシー文書案 ９…統合評価結果 １０…前回統合評価結果 １１…ポリシー文書修正候補一覧 ３１…項目観点調整部 ３２…項目観点調整用データテーブル ３３…評価統合部 ３４…文案作成部 ３５…文案作成用データテーブル ３６…差分処理部

Claims (11)

【特許請求の範囲】
1. 【請求項１】 コンピュータネットワークシステム及び
   人的組織等の管理状況に対する評価に基づきセキュリテ
   ィポリシー文書の案を作成するセキュリティポリシー策
   定支援方法であって、 コンピュータネットワークシステムに関する設定及び動
   作状況を実システム上で検査し、評価するシステム評価
   ステップと、 人的組織等の管理状況を質問項目の回答として入力し、
   評価するチェックリスト評価ステップと、 前記システム評価ステップとチェックリスト評価ステッ
   プの評価項目における観点の相違を調整し、両者をまと
   めた総合的評価結果を作成する評価結果統合ステップ
   と、 前記総合的評価結果に基づいてセキュリティポリシー文
   書の案を生成するポリシー文書案生成ステップとを備え
   ることを特徴とするセキュリティポリシー策定支援方
   法。
2. 【請求項２】 前記評価結果統合ステップは、前記シス
   テム評価ステップで得られた個別の機器やシステムの評
   価項目を前記チェックリスト評価ステップで得られる評
   価出力と同等の人的組織での一般的な評価項目に置換す
   ることにより、評価項目の観点の相違を調整するもので
   あることを特徴とする請求項１に記載のセキュリティポ
   リシー策定支援方法。
3. 【請求項３】 前記システム評価ステップで得られる評
   価項目の置換を、前記チェックリスト評価ステップにお
   ける評価項目の観点調整用のデータを用いて行うことを
   特徴とする請求項２に記載のセキュリティポリシー策定
   支援方法。
4. 【請求項４】 前記ポリシー文書案生成ステップは、前
   記総合的評価結果の評価項目とポリシー文書を構成する
   文の間の対応関係を示すデータを用いてセキュリティポ
   リシー文書の案を生成するものであることを特徴とする
   請求項１に記載のセキュリティポリシー策定支援方法。
5. 【請求項５】 前記ポリシー文書案生成ステップで生成
   したセキュリティポリシー文書の案に対し、セキュリテ
   ィポリシーの策定に関わる料金を課金するステップをさ
   らに備えることを特徴とする請求項１〜４のいずれか一
   項に記載のセキュリティポリシー策定支援方法。
6. 【請求項６】 コンピュータネットワークシステム及び
   人的組織等の管理状況に対する評価に基づきセキュリテ
   ィポリシー文書の案を作成するセキュリティポリシー策
   定支援システムであって、 コンピュータネットワークシステムに関する設定及び動
   作状況を実システム上で検査し、評価するシステム評価
   手段と、 人的組織等の管理状況を質問項目の回答として入力し、
   評価するチェックリスト評価手段と、 前記システム評価手段とチェックリスト評価手段の評価
   項目における観点の相違を調整し、両者をまとめた総合
   的評価結果を作成する評価結果統合手段と、 前記総合的評価結果に基づいてセキュリティポリシー文
   書の案を生成するポリシー文書案生成手段とを備えるこ
   とを特徴とするセキュリティポリシー策定支援システ
   ム。
7. 【請求項７】 前記評価結果統合手段は、前記システム
   評価手段から出力される個別の機器やシステムの評価項
   目を前記チェックリスト評価手段から出力される評価出
   力と同等の人的組織での一般的な評価項目に置換するこ
   とにより、評価項目の観点の相違を調整するものである
   ことを特徴とする請求項６に記載のセキュリティポリシ
   ー策定支援システム。
8. 【請求項８】 前記評価結果統合手段は、前記システム
   評価手段と前記チェックリスト評価手段における評価項
   目の観点調整用のデータテーブルを備え、前記システム
   評価手段から出力される評価項目の置換を、前記観点調
   整用のデータテーブルを用いて行うことを特徴とする請
   求項７に記載のセキュリティポリシー策定支援システ
   ム。
9. 【請求項９】 前記ポリシー文書案生成手段は、前記総
   合的評価結果の評価項目とポリシー文書を構成する文の
   間の対応関係を示すデータテーブルを備え、前記総合的
   評価結果を前記データテーブルを用いてセキュリティポ
   リシー文書の案を生成するものであることを特徴とする
   請求項６に記載のセキュリティポリシー策定支援システ
   ム。
10. 【請求項１０】 前記ポリシー文書案生成手段で生成し
    たセキュリティポリシー文書の案に対し、セキュリティ
    ポリシーの策定に関わる料金を課金する課金手段をさら
    に備えることを特徴とする請求項６〜９のいずれか一項
    に記載のセキュリティポリシー策定支援システム。
11. 【請求項１１】 前記評価結果統合手段と前記ポリシー
    文書案生成手段で２回目以降の総合的評価結果作成およ
    びポリシー文書案生成を行う場合に、前回と今回の総合
    的評価結果の変化した箇所を抽出し、そこに対応するポ
    リシー文書案の文をポリシー文書の修正候補箇所として
    提示する手段を備えることを特徴とする請求項６〜１０
    のいずれか一項に記載のセキュリティポリシー策定支援
    システム。