JP2006350399A - 重要度取得装置、セキュリティ設計支援システム、関連度取得装置及びプログラム - Google Patents

Abstract

【課題】 セキュリティシステムの構築を支援する技術を提供する。
【解決手段】 情報システムの脅威のリスク値と、当該脅威に対する対策方針と、当該脅威に対する対策方針のセキュリティ機能要件から、当該セキュリティ機能要件の重要度を取得する。また、セキュリティ機能要件の重要度と、当該セキュリティ機能要件と既存の情報関連製品のセキュリティ機能との関連度と、当該情報関連製品のセキュリティ機能の満足度とから、情報システムへ導入する情報関連製品を導出する。
【選択図】 図１

Description

本発明は、セキュリティシステムの構築を支援する技術に関するものである。

近年、インターネットの普及等により、プライバシー情報や企業機密情報の漏洩、改竄などの情報セキュリティに関する脅威が増大している。このため、情報セキュリティの基本設計の段階から、最適なセキュリティ対策を施しておくことが必須の前提条件となってきている。このことは、１９９６年６月に情報システムに関する国際セキュリティ評価基準ＩＳＯ／ＩＥＣ１５４０８（ＣＣ：Common Criteria）が標準化されたことにも現れている。本基準は、情報関連製品や情報システムの調達要件、システム相互接続基準、法制度上の要件などとして活用される見込みであり、今後の情報関連製品・システム開発において、本基準でのセキュリティ設計・開発と評価・認証取得がビジネス上及びシステム運用上の前提条件となる。なお、情報関連製品とは、例えば、ＰＣ等の情報処理装置や当該情報処理装置で実行するプログラム、情報処理装置の周辺機器等である。

ところで、ＩＳＯ／ＩＥＣ１５４０８の認証取得のためには、情報関連製品やシステムのセキュリティ基本設計書（セキュリティターゲット、以下ＳＴとする）を作成することが必須の条件である。ＳＴとは、国際標準で形式や使用言語が統一された、セキュリティに特化した情報システムの基本設計書である。ＳＴには、評価対象の概要、評価対象が利用される環境（前提条件、脅威、組織のセキュリティポリシー）の定義、環境からの脅威等への対抗としてのセキュリティ対策方針やセキュリティ機能要件の定義、セキュリティ機能要件に対応する実現方式等を記述する必要がある。開発者は、まず、ＳＴを作成し、当該ＳＴを元にセキュリティを含むセキュリティ機能設計や設計詳細を行う。即ち、ＳＴ作成は情報製品やネットワークシステムのセキュリティ設計の基盤となる。

上述のＳＴ作成において、セキュリティ機能要件の実現方式はコスト対効果の高いことを望まれる。特に、システムの場合には、既存の情報関連製品の組合せで構築したほうがコスト対効果が高いので、実現方式は既存製品の組合せで決定される。

しかし、セキュリティ機能要件を実現する情報関連製品は多種多様であり、これらの候補の中からコスト対効果の高い製品の組合せを決定するのは困難である。

これに対する解決策として、非特許文献１に記載された方法がある。この方法では、２章「セキュリティ基本設計法」に記載されているように、セキュリティ対策目標（セキュリティ機能要件）の重要度、実現方法の満足度、セキュリティ対策目標と実現方式との関連度を設定し、最適対策目標・実現方式決定問題を定式化したものを解くことにより、情報システムに最適な既存製品の組合せを取得する方法である。

「セキュリティ機能的適合性を考慮した情報システムのセキュリティ基本設計法の提案」情報処理学会論文誌 Vol.45,No.４,Ｐ1163〜1175 2004年

上述の非特許文献１に記載された方法を用いる場合、セキュリティ機能要件の重要度、情報関連製品の持つセキュリティ機能の満足度、セキュリティ機能要件と情報関連製品の持つセキュリティ機能との関連度を設定する必要がある。

ここで、情報関連製品の持つセキュリティ機能の満足度を設定するためには、情報関連製品の備えるセキュリティ機能の各々に対して満足度を示す値を直接設定すればよい。

しかし、セキュリティ機能要件の重要度を取得するためには、設計対象の情報システムの脅威のリスク値を取得する必要がある。脅威のリスク値を取得する方法として、例えば、リスク分析手法がある。リスク分析手法とは、ＦＴＡ（Fault Tree Analysis）手法を情報システム向けに改良したものである。リスク分析方法等により脅威のリスク値を取得した後に、セキュリティ機能要件の重要度を算出するため、重要度を取得するのには工数がかかる。

また、セキュリティ機能要件と情報関連製品のセキュリティ機能との関連度を設定するためには、ＩＳＯ／ＩＥＣ１５４０８で定義された複数のセキュリティ機能要件の各々と、情報関連製品のセキュリティ機能との関連度を、当該情報関連製品の備えるセキュリティ機能ごとに設定する必要がある。情報システムへの導入候補となる市販の情報関連製品の数は多く、また、１の情報関連製品が複数のセキュリティ機能を有する場合もあるので、情報関連製品のセキュリティ機能の各々に、セキュリティ機能要件との関連度を設定するのは工数がかかる。

本発明はこのような事情に鑑みてなされたものでセキュリティシステムの構築を支援する技術を提供することを目的とする。

本発明は上記の目的を達成するためになされたもので、脅威毎のリスク値を、当該脅威の各々に対する対策方針に特定の規則に従って割り振り、当該対策方針の各々に割り振られた脅威のリスク値を、当該対策方針の各々を実現するセキュリティ機能要件に特定の規則に従って割り振ることにより、セキュリティ機能要件毎のリスク値を算出し、当該セキュリティ機能要件毎のリスク値に応じて、各セキュリティ機能要件の重要度を取得するものである。また、予め、セキュリティ機能要件と、セキュリティ機能との関連度を記憶しておき、導入候補となる情報関連製品の有するセキュリティ機能が、セキュリティ機能要件との関連度を記憶したセキュリティ機能のいずれかに該当するかにより、導入候補となる情報関連製品のセキュリティ機能とセキュリティ機能要件との関連度を取得するものである。また、上述のように取得した脅威の対抗となるセキュリティ機能要件の重要度と、当該セキュリティ機能要件と導入候補となる情報関連製品のセキュリティ機能との関連度と、当該情報関連製品のセキュリティ機能の満足度等とから、情報システムへ導入する情報関連製品を選択するものである。

本発明は、例えば、情報システムに想定される脅威に対抗できるセキュリティ機能要件の重要度を取得する重要度取得装置であって、前記脅威毎に、当該脅威に対する対策方針と、当該対策方針を実現するセキュリティ機能要件とを記憶する脅威・対策方針・機能要件記憶手段と、前記脅威毎のリスク値を記憶する脅威リスク値記憶手段と、前記脅威・対策方針・機能要件記憶手段から前記脅威の各々に対する対策方針及び当該対策方針を実現するセキュリティ機能要件を読出し、前記脅威リスク値記憶手段から読み出した脅威毎のリスク値を、当該脅威の各々に対する対策方針に特定の規則に従って割り振り、当該対策方針の各々に割り振られた脅威のリスク値を、当該対策方針の各々を実現するセキュリティ機能要件に特定の規則に従って割り振ることにより、セキュリティ機能要件毎のリスク値を算出するセキュリティ機能要件リスク値取得手段と、前記取得したセキュリティ機能要件毎のリスク値の各々を、１つ以上の特定の閾値と比較し、当該セキュリティ機能要件毎のリスク値の各々が前記特定の閾値の各々より大きいか否かにより、各セキュリティ機能要件の重要度を取得する重要度取得手段と、前記取得した重要度を出力する出力手段と、を備えることを特徴とする。

また、例えば、情報関連製品の有するセキュリティ機能と、セキュリティ機能要件との関連度を取得する関連度取得装置であって、セキュリティ機能要件と、セキュリティ機能との関連度とを記憶する関連度記憶手段と、前記関連度記憶手段内のセキュリティ機能を表示する共通セキュリティ機能表示手段と、前記情報関連製品の各々の有するセキュリティ機能が、前記表示したセキュリティ機能のうちいずれかに該当するかを示す情報が入力されると、当該セキュリティ機能とセキュリティ機能要件との関連度を取得する関連度取得手段と、前記取得した関連度を出力する関連度出力手段と、を備えることを特徴とする。

また、例えば、情報システムに想定される脅威の対策として、セキュリティ機能を有する複数の情報関連製品候補から１又は複数を選択するセキュリティ設計支援システムであって、前記脅威毎に、当該脅威に対する対策方針と、当該対策方針を実現するセキュリティ機能要件とを記憶する脅威・対策方針・機能要件記憶手段と、前記脅威毎のリスク値を記憶する脅威リスク値記憶手段と、前記脅威・対策方針・機能要件記憶手段から前記脅威の各々に対する対策方針及び当該対策方針を実現するセキュリティ機能要件を読出し、前記脅威リスク値記憶手段から読み出した脅威毎のリスク値を、当該脅威の各々に対する対策方針に特定の規則に従って割り振り、当該対策方針の各々に割り振られた脅威のリスク値を、当該対策方針の各々を実現するセキュリティ機能要件に特定の規則に従って割り振ることにより、セキュリティ機能要件毎のリスク値を算出するセキュリティ機能要件リスク値取得手段と、前記取得したセキュリティ機能要件毎のリスク値の各々を、１つ以上の特定の閾値と比較し、当該セキュリティ機能要件毎のリスク値の各々が前記特定の閾値の各々より大きいか否かにより、各セキュリティ機能要件の重要度を取得する重要度取得手段と、セキュリティ機能要件と、セキュリティ機能との関連度とを記憶する関連度記憶手段と、前記関連度記憶手段内のセキュリティ機能を表示する共通セキュリティ機能表示手段と、前記情報関連製品候補の各々の有するセキュリティ機能が、前記表示したセキュリティ機能のうちいずれかに該当するかを示す情報が入力されると、当該セキュリティ機能とセキュリティ機能要件との関連度を取得する関連度取得手段と、前記情報関連製品候補の各々の有するセキュリティ機能の満足度を記憶する情報関連製品満足度記憶手段と、前記脅威の各々へ対抗できるセキュリティ機能要件を全て実現できる情報関連製品候補の組合せを１組以上取得する情報関連製品組合せ取得手段と、前記組み合わせの各々に対し、前記脅威の各々に対抗できるセキュリティ機能要件と、当該組み合わせを構成する情報関連製品候補の各々の有するセキュリティ機能と、当該セキュリティ機能と当該セキュリティ機能要件との関連度と、当該セキュリティ機能の満足度と、当該セキュリティ機能要件の重要度と、当該セキュリティ機能要件の数とから、特定の計算式に従い、当該組み合わせの各々の機能過不足度を算出する過不足度算出手段と、前記取得した機能過不足度と、当該機能過不足度を算出した情報関連製品候補の組み合わせとを出力する出力手段と、を備えることを特徴とする。

本発明による技術によれば、セキュリティ機能要件の重要度を容易に取得することができる。また、セキュリティ機能要件と情報関連製品の有するセキュリティ機能との関連度を取得する時間を短縮することができる。また、情報システムに最適な情報関連製品を選択することが容易となる。

以下、本発明の一実施形態を図面を参照して詳細に説明する。本実施形態では、ＳＴに記載する情報のうち、設計対象の情報システムの評価対象の概要、評価対象が利用される環境（前提条件、脅威、組織のセキュリティポリシー）の定義、当該情報システムの脅威の対抗としてのセキュリティ対策方針、当該対策方針を実現するセキュリティ機能要件の定義を既に取得している。ここでは、ＳＴに記載するセキュリティ機能要件の実現方式を取得するために、当該セキュリティ機能要件を実現する１又は複数の情報関連製品を、既存の複数の情報関連製品から選択するものとする。
＜第１の実施形態＞
まず、第１の実施形態を説明する。

図１は、情報システムセキュリティ設計装置１の構成を示す図である。図１において、情報システムセキュリティ設計装置１は、メモリ１１、記憶装置１２、バス１３、ＣＰＵ（Central Processing Unit）１４、端末入出力インタフェース１５、通信インタフェース１８等を備える。端末入出力インタフェース１５には、キーボード、マウス等の入力装置１６と、ディスプレイ、プリンタ、スピーカ等の出力装置１７とが接続される。

記憶装置１２は、ここではＨＤＤ（Hard Disk Drive）であるものとするが、これに限られるわけではなく、例えば、ＣＤ（Compact Disc）−ＲＡＭ（Random Access Memory）、ＤＶＤ（Digital Versatile Disk）−ＲＡＭ等書き込み及び読出し可能な記憶メディアでもよい。記憶装置１２には、機能固有名称・共通名称対応テーブル５０、機能共通名称テーブル５１、関連度テーブル５２、脅威・対策方針対応テーブル５３、対策方針・機能要件対応テーブル５４、脅威リスク値テーブル５５、機能要件重要度変換テーブル５６、情報関連製品群導出テーブル５７、データ設計支援プログラム８０、システムセキュリティ設計プログラム８１等を備える。

機能固有名称・共通名称対応テーブル５０は、既存の情報関連装置の備えるセキュリティ機能の固有名称と、当該セキュリティ機能に対応する共通名称とを記憶するテーブルである。機能共通名称テーブル５１は、セキュリティ機能の共通名称を記憶するテーブルである。関連度テーブル５２は、セキュリティ機能要件と、セキュリティ機能との関連度を示すテーブルである。脅威・対策方針対応テーブル５３は、設計対象の情報システムの脅威（以下、単に脅威とする）と、対策方針との対応関係の有無を示すテーブルである。対策方針・機能要件対応テーブル５４は、脅威に対する対策方針と、セキュリティ機能要件との対応関係の有無を示すテーブルである。脅威リスク値テーブル５５は、脅威と、当該脅威毎の被害の大きさと、当該脅威毎の発生可能性と、当該脅威毎のリスク値とを記憶するテーブルである。機能要件重要度変換テーブル５６は、セキュリティ機能要件が脅威に対抗できるリスク値（以下、単にセキュリティ機能要件のリスク値という）に応じて、当該セキュリティ機能要件の重要度を取得するためのテーブルである。情報関連製品群導出テーブル５７は、設計対象の情報システムに最適な情報関連製品の組み合わせを導出するためのテーブルである。

データ設計支援プログラム８０は、上述のテーブルに格納するデータを取得するためのプログラムである。システムセキュリティ設計プログラム８１は、複数の既存の情報関連製品の中から、設計対象の情報システムに最適な情報関連製品を選択するためのプログラムである。

ＣＰＵ１４は、機能固有名称・共通名称対応取得処理部７０、関連度導出処理部７１、脅威・対策方針・機能要件対応取得処理部７２、脅威リスク値算出データ取得処理部７３、リスク値算出処理部７４、機能要件重要度導出処理部７５、情報関連製品導出処理部７６、情報関連製品出力処理部７７等を有する。

機能固有名称・共通名称対応取得処理部７０は、既存の情報関連製品の有するセキュリティ機能の固有名称と、当該セキュリティ機能の共通名称とを対応付ける処理を行う。関連度導出処理部７１は、セキュリティ機能要件と、情報関連製品の有するセキュリティ機能との関連度を取得する。脅威・対策方針・機能要件対応取得処理部７２は、ＳＴのＲａｔｉｏｎａｌｅから、設計対象の情報システムの脅威と、当該脅威の各々に対する対策方針と、当該対策方針毎のセキュリティ機能要件とを取得する。脅威リスク値算出データ取得処理部７３は、設計対象の情報システムの脅威毎の大きさと、当該脅威の発生可能性とを取得する。リスク値算出処理部７４は、脅威リスク値算出データ取得処理部７３により取得された脅威の大きさ及び脅威の発生可能性から、当該脅威のリスク値を取得する。機能要件重要度導出処理部７５は、設計対象の情報システムの脅威と、当該脅威毎のリスク値と、当該脅威の各々に対する対策方針と、当該対策方針の各々を実現するセキュリティ機能要件とから、当該セキュリティ機能要件毎のリスク値を取得し、当該セキュリティ機能要件のリスク値に応じて、当該セキュリティ機能要件の重要度を取得する。情報関連製品導出処理部７６は、設計対象の情報システムの脅威の各々に対抗できるセキュリティ機能要件の全てを実現するセキュリティ機能を網羅する情報関連製品の組合せを取得し、当該情報関連製品の組合せの各々に、関連度と、満足度と、重要度等とから機能過不足度を算出し、機能過不足度が最小であり、且つ、コストが最も低い情報関連製品の組合せを、最適な情報関連製品であると判定する。情報関連製品出力処理部７７は、情報関連製品導出処理部７６により取得された情報関連製品の組合せ及び機能過不足度を出力する。

なお、機能固有名称・共通名称対応取得処理部７０、関連度導出処理部７１、脅威・対策方針・機能要件対応取得処理部７２、脅威リスク値算出データ取得処理部７３、リスク値算出処理部７４、機能要件重要度導出処理部７５は、メモリ１１にロードしたデータ設計支援プログラム８０をＣＰＵ１４が実行することにより実現する。また、情報関連製品導出処理部７６、情報関連製品出力処理部７７は、メモリ１１にロードしたシステムセキュリティ設計プログラム８１をＣＰＵ１４が実行することにより実現する。

ここで、各テーブルを詳細に説明する。

機能固有名称・共通名称対応テーブル５０の一例を図２に示す。図２において、機能固有名称・共通名称対応テーブル５０は、列５０１が既存の情報関連製品の製品名、列５０２が当該情報関連製品の有するセキュリティ機能の固有名称、列５０３が当該固有名称に対応する共通名称を示す。図２の例では、製品Ａはカタログ上では識別・認識機能、アクセス制御機能、監査ログ取得機能を備えており、これらのセキュリティ機能を共通名称で置き換えると、ＩＤ／パスワード機能、アプリケーションレベルアクセス制御機能、監査機能となることを示している。

機能共通名称テーブル５１の一例を図３に示す。図３において、機能共通名称テーブル５１は、列５１１がセキュリティ機能の分類、列５１２がセキュリティ機能の共通名称を示す。

関連度テーブル５２の一例を図４に示す。図４において、関連度テーブル５２は、列５２１がセキュリティ機能要件の識別子、列５２２が機能要件コンポーネント識別子、行５２３がセキュリティ機能の分類、行５２４がセキュリティ機能の共通名称を示し、行と列の交差する値は、セキュリティ機能要件とセキュリティ機能との関連度を示す。

列５２１のセキュリティ機能要件の識別子及び列５２２の機能要件コンポーネント識別子は、ＩＳＯ／ＩＥＣ１５４０８で定義されたセキュリティ機能要件の識別子である。行５２３に示すセキュリティ機能の分類は、上述した機能共通名称テーブル５１内の列５１１のセキュリティ機能の分類のいずれかである。列５２２に示すセキュリティ機能要件は、上述した機能共通名称テーブル５１内の列５１２のセキュリティ機能のいずれかである。関連度とは、セキュリティ機能要件とセキュリティ機能との対応関係の強さの度合いである。図４に示す例では、関連度「１」は直接対応する、関連度「０．７５」は関連が強い、関連度「０．５」は関連がある、関連度「０．２５」は少し関連がある、関連度「０」は関連無を示す。例えば、共通名称「ＩＤ／パスワード」というセキュリティ機能と、機能要件コンポーネント識別子「ＦＩＡ＿ＵＩＤ．１」というセキュリティ機能要件との関連度は「０．５」であることを示す。

図５は、本実施形態で用いるセキュリティ機能要件の識別子と、ＩＳＯ／ＩＥＣ１５４０８で規定する機能要件との対応関係を示す図である。図５において、テーブル５９は、列５９１が本実施形態で使用するセキュリティ機能要件の識別子、列５９２が機能要件コンポーネント識別子、列５９３が機能要件コンポーネント名である。列５９２の機能要件コンポーネント識別子及び列５９３の機能要件コンポーネント名は、ＩＳＯ／ＩＥＣ１５４０８で定められたものである。

脅威・対策方針対応テーブル５３の一例を図６に示す。図６において、脅威・対策方針対応テーブル５３は、列５３２が設計対象の情報システムの脅威、列５３１が当該脅威の識別子、行５３３が当該脅威に対する対策方針の識別子を示し、マトリクス部分は、脅威と対策方針との対応関係の有無を示す。図６に示す例では、「１」が対応関係有を示し、「０」が対応関係無を示す。例えば、識別子が「Ｔ１」である脅威と、識別子が「Ｏ３」である対策方針は対応関係が有ることを示す。

対策方針・機能要件対応テーブル５４の一例を図７に示す。図７において、対策方針・機能要件対応テーブル５４は、列５４２が対策方針、列５４１が当該対策方針の識別子、行５４３がセキュリティ機能要件の識別子を示し、マトリクス部分は対策方針とセキュリティ機能要件との対応関係の有無を示す。列５４１の対策方針の識別子は、脅威・対策方針対応テーブル５３の行５３３の対策方針の識別子のいずれかである。行５４３のセキュリティ機能要件の識別子とは、テーブル５９の列５９１のセキュリティ機能要件の識別子である。図７に示す例では「１」が対応関係有りを示し、「０」が対応関係無を示す。例えば、識別子が「Ｏ１」である対策方針と、識別子が「ＦＲ１」であるセキュリティ機能要件とは、対応関係が有ることを示す。

脅威リスク値テーブル５５の一例を図８に示す。図８において、脅威リスク値テーブル５５は、列５３２が設計対象の情報システムの脅威、列５３１が当該脅威の識別子、列５５１が当該脅威の被害の大きさ、列５５２が当該脅威の発生可能性、列５５３が当該脅威のリスク値を示す。列５３１の脅威の識別子及び列５３２の脅威は、脅威・対策方針対応テーブル５３の列５３１の脅威の識別子及び列５３２の脅威のいずれかである。例えば、脅威の識別子「Ｔ１」の「管理者が不正利益取得のために顧客情報にアクセスして改竄する」という脅威の被害の大きさは「２」、当該脅威の発生可能性は「１」、当該脅威のリスク値は「２」を示す。

機能要件重要度変換テーブル５６の一例を図９に示す。図９において、機能要件重要度変換テーブル５６は、列５６２がセキュリティ機能要件のリスク値の範囲、列５６１が当該セキュリティ機能要件のリスク値の範囲に対応する重要度を示す。例えば、ある情報システムにおいて、当該情報システムの脅威に対抗するセキュリティ機能要件が複数であり、各々のセキュリティ機能要件のリスク値のうち最大値が「Ｚ」である場合、他のセキュリティ機能要件のリスク値が「（１／５）Ｚ以上（２／５）Ｚ未満」である場合、当該セキュリティ機能要件の重要度は「０．２５」であることを示す。

情報関連製品群導出テーブル５７の一例を図１０に示す。図１０において、情報関連製品群導出テーブル５７は、列５７１がセキュリティ機能要件の識別子、列５７２が当該セキュリティ機能要件の重要度、行５７３が既存の情報関連製品の製品名、行５７４が既存の情報関連製品のコスト、行５７５が既存の情報関連製品の備えるセキュリティ機能の共通名称、行５７６がセキュリティ機能の満足度を示し、マトリクス部分はセキュリティ機能要件とセキュリティ機能との関連度を示す。列５７１のセキュリティ機能要件の識別子は、上述した対策方針・機能要件対応テーブル５４の行５４３のセキュリティ機能要件の識別子のいずれかである。行５７３の情報関連製品名称及び行５７５のセキュリティ機能の共通名称は、上述した機能固有名称・共通名称対応テーブル５０の列５０１の情報関連製品の製品名及び列５０３の共通名称のいずれかである。図１０に示す例では、満足度「１」は十分使える、満足度「０．７５」は結構使える、満足度「０．５」は使える、満足度「０．２５」はあまり使えない、満足度「０」は全く使えないことを示す。重要度は、後述する動作により取得し、格納される。図１０の例では、例えば、情報関連製品名称「製品Ａ」のセキュリティ機能の共通名称「ＩＤ／パスワード」は満足度「０．５」であり、当該セキュリティ機能と、識別子が「ＦＲ１」であるセキュリティ機能要件との関連度は「０．５」であることを示す。

なお、上述の機能共通名称テーブル５１、関連度テーブル５２、機能要件重要度変換テーブル５６は、予め記憶装置１２に格納しておくものとする。また、上述の機能固有名称・共通名称対応テーブル５０、脅威・対策方針対応テーブル５３、対策方針・機能要件対応テーブル５４、情報関連製品群導出テーブル５７、脅威リスク値テーブル５５は、後述する動作により追記され、格納されるものとする。

また、上述のテーブルにおいて、満足度及び関連度は、客観データの入力が困難であり、且つ、計算も複雑になることから、設計者の主観データに基づき定めておくものとする。

次に、情報システムセキュリティ設計装置１の動作を説明する。

まず、設計対象の情報システムへの導入候補である情報関連製品の備えるセキュリティ機能の固有名称と、当該セキュリティ機能の共通名称とを対応付ける動作を、図１１を参照して説明する。ここでは、予め、機能固有名称・共通名称対応テーブル５０は、既存の情報関連製品の製品名（列５０１）と、当該情報関連製品の有するセキュリティ機能の固有名称（列５０２）とを格納しており、以下に説明する動作で、各セキュリティ機能の固有名称に対応する共通名称を追加格納する。

情報システムセキュリティ設計装置１の機能固有名称・共通名称対応取得処理部７０は、既存の情報関連製品の各々のセキュリティ機能の固有名称に対応する共通名称を、機能共通名称テーブル５１内の共通名称（列５１２）から取得し、各々の情報関連製品のセキュリティ機能毎の固有名称と共通名称とを対応付けて機能固有名称・共通名称対応テーブル５０に格納する（図１１におけるステップ１１０１）。具体的には、例えば、機能固有名称・共通名称対応取得処理部７０は、機能共通名称テーブル５１と、機能固有名称・共通名称対応テーブル５０とを参照し、特定のフォーマットに基づく等して、図１２に一例を示すような画面１２０１を出力装置１７に出力する。図１２の例では、機能固有名称・共通名称対応取得処理部７０は、機能固有名称・共通名称対応テーブル５０の情報関連製品の製品名（列５０１）と、当該製品の備えるセキュリティ機能の固有名称（列５０２）とを出力し、プルダウン等により、セキュリティ機能の固有名称毎に、機能共通名称テーブル５１内のセキュリティ機能の共通名称（列５１２）を出力する。利用者がキーボードやマウス等の入力装置１６を用いて表示された共通名称の何れかを指定し格納を指示すると、機能固有名称・共通名称対応取得処理部７０は、当該指示に従い、各々の情報関連製品の備えるセキュリティ機能の固有名称毎の共通名称を取得し、取得した共通名称を機能固有名称・共通名称対応テーブル５０に格納する。

ステップ１１０２については後述する。

次に、セキュリティ機能要件の重要度を取得する動作例を、図１３を参照して説明する。

上述したように、本実施形態では、設計対象の情報システムに関し、セキュリティ機能要件の実現方式以外の情報は明確となっている。情報システムセキュリティ設計装置１の脅威・対策方針・機能要件対応取得処理部７２は、ＳＴのＲａｔｉｏｎａｌｅから、設計対象の情報システムの脅威と、当該脅威の各々に対する対策方針と、各脅威と対策方針との対応関係の有無と、各対策方針とセキュリティ機能要件との対応関係の有無とを取得し、取得した情報を脅威・対策方針対応テーブル５３、対策方針・機能要件対応テーブル５４に格納する（図１３におけるステップ１３０１）。脅威・対策方針・機能要件対応取得処理部７２は、例えば、利用者が入力装置１６を操作して入力した情報から、設計対象の情報システムの脅威と、当該脅威の各々に対する対策方針と、各対策方針を実現するセキュリティ機能要件と、脅威と対策方針との対応関係の有無と、対策方針とセキュリティ機能要件との対応関係の有無とを取得してもよく、また、特定フォーマットに基づき記載され記憶されたＳＴから特定箇所の情報を読み出すことにより、当該情報を取得しても良い。

脅威リスク値算出データ取得処理部７３は、脅威毎の被害の大きさ及び脅威毎の発生可能性を取得し、リスク値算出処理部７４は、脅威毎の被害の大きさ及び脅威毎の発生可能性から、脅威毎のリスク値を算出する（図１３におけるステップ１３０２）。具体的には、例えば、脅威リスク値算出データ取得処理部７３は、脅威・対策方針対応テーブル５３に含まれる脅威の各々に対し、当該脅威の被害の大きさと、当該脅威の発生可能性とを入力させるための画面データをディスプレイ等の出力装置１７に出力する。脅威リスク値算出データ取得処理部７３は、利用者に入力された脅威毎の被害の大きさと発生可能性とを脅威リスク値テーブル５５に格納する。リスク値算出処理部７４は、脅威リスク値テーブル５５に格納された被害の大きさ（列５５１）と発生可能性（列５５２）とを積算し、脅威のリスク値を算出する。例えば、図８に一例を示す脅威リスク値テーブル５５の場合、識別子が「Ｔ１」である脅威は、被害の大きさが「２」であり、脅威の発生可能性が「１」であるので、積算により、当該脅威のリスク値は「２」となる。

なお、脅威の被害の大きさ及び発生可能性は、予め不特定の情報システムに想定される脅威と、当該脅威毎の被害の大きさと、当該脅威毎の発生可能性とを対応付けるテーブルを作成しておき、当該テーブルを参照することにより、利用者又は情報システムセキュリティ設計装置１が、設計対象の情報システムの脅威の被害の大きさ及び発生可能性を取得してもよい。

機能要件重要度導出処理部７５は、設計対象の情報システムの脅威のリスク値と、当該脅威の各々に対する対策方針と、当該対策方針を実現するセキュリティ機能要件とから、セキュリティ機能要件毎のリスク値を取得し、当該セキュリティ機能要件のリスク値に応じて、当該セキュリティ機能要件の重要度を算出する。具体的には、例えば、機能要件重要度導出処理部７５は、まず、各々の脅威のリスク値を、当該脅威の各々に対する対策方針に均等に割り振り、当該対策方針に割り振られたリスク値の合計を、当該対策方針が脅威に対抗できるリスク値とする（図１３におけるステップ１３０３）。以下、対策方針が脅威に対抗できるリスク値を、単に対策方針のリスク値という。次に、機能要件重要度導出処理部７５は、各々の対策方針のリスク値を、各対策方針を実現するセキュリティ機能要件に均等に割り振った値を、当該セキュリティ機能要件のリスク値とする（図１３におけるステップ１３０４）。

上述のステップ１３０３及びステップ１３０４の動作を、図１４を参照して具体的に説明する。図１４において、脅威の識別子１４０１は、図６に一例を示す脅威・対策方針対応テーブル５３の脅威の識別子「Ｔ１」〜「Ｔ３」を示す。対策方針の識別子１４０２は、図６に一例を示す脅威・対策方針対応テーブル５３及び図７に一例を示す対策方針・機能要件対応テーブル５４の対策方針の識別子「Ｏ１」〜「Ｏ３」を示す。セキュリティ機能要件の識別子１４０３は、図７に一例を示す対策方針・機能要件対応テーブル５４のセキュリティ機能要件の識別子「ＦＲ１」〜「ＦＲ７」を示す。識別子が「Ｔ１」である脅威は、脅威・対策方針対応テーブル５３から、識別子が「Ｏ３」である対策方針との対応関係を有する。識別子が「Ｏ３」である対策方針は、対策方針・機能要件対応テーブル５４から、識別子が「ＦＲ６」及び「ＦＲ７」であるセキュリティ機能要件との対応関係を有する。同様に、識別子が「Ｔ２」である脅威は、識別子が「Ｏ１」である対策方針と対応関係を有し、当該対策方針は、識別子が「ＦＲ１」及び「ＦＲ２」であるセキュリティ機能要件と対応関係を有する。識別子が「Ｔ３」である脅威は、識別子が「Ｏ１」、「Ｏ２」、「Ｏ３」である対策方針と対応関係を有し、当該対策方針は、各々、識別子が「ＦＲ１」及び「ＦＲ２」、「ＦＲ３」〜「ＦＲ５」、「ＦＲ６」及び「ＦＲ７」であるセキュリティ機能要件と対応関係を有する。

識別子が「Ｔ１」である脅威のリスク値は、図８に一例を示す脅威リスク値テーブル５５から「２」であるので、当該リスク値を当該脅威に対する対策方針に均等に割り振ると「Ｏ３」に「２」となる。同様に、識別子が「Ｔ２」である脅威のリスク値は「６」であるので、当該リスク値を当該脅威に対する対策方針に均等に割り振ると「Ｏ１」に「６」となる。識別子が「Ｔ３」である脅威のリスク値は「４」であるので、当該リスク値を当該脅威に対する対策方針に均等に割り振ると「Ｏ１」〜「Ｏ３」の各々に「１．３」となる。従って、識別子「Ｏ１」の対策方針のリスク値は「Ｔ２」からの「６」と「Ｔ３」からの「１．３」との和になるので「７．３」となる。同様に、識別子「Ｏ２」の対策方針のリスク値は「１．３」となる。識別子「Ｏ３」の対策方針のリスク値は「３．３」となる。

識別子「Ｏ１」の対策方針と対応関係のあるセキュリティ機能要件の識別子は「ＦＲ１」及び「ＦＲ２」であるので、この対策方針のリスク値「７．３」を均等に割り振ると、識別子「ＦＲ１」及び「ＦＲ２」のセキュリティ機能要件のリスク値は「３．６５」となる。同様に、識別子「Ｏ２」の対策方針と対応関係のあるセキュリティ機能要件の識別子は「ＦＲ３」〜「ＦＲ５」であるので、当該対策方針のリスク値「１．３」を均等に割り振った値「０．４」が、識別子「ＦＲ３」〜「ＦＲ５」のセキュリティ機能要件のリスク値となる。識別子「Ｏ３」の対策方針と対応関係のあるセキュリティ機能要件の識別子は「ＦＲ６」及び「ＦＲ７」であるので、当該対策方針のリスク値「３．３」を均等に割り振った値「１．６５」が、識別子「ＦＲ６」及び「ＦＲ７」のセキュリティ機能要件のリスク値となる。

上述のようにセキュリティ機能要件のリスク値を取得した後、機能要件重要度導出処理部７５は、機能要件重要度変換テーブル５６を参照し、セキュリティ機能要件のリスク値に応じて、当該セキュリティ機能要件の重要度を取得する（図１３におけるステップ１３０５）。

図１４の例で説明すると、識別子「ＦＲ１」〜「ＦＲ７」のセキュリティ機能要件のリスク値の最大値はＦＲ１及びＦＲ２の「３．６５」であるので、当該最大値を図９に示す機能要件重要度変換テーブル５６に適用すると、図１５のテーブル１５０１となる。テーブル１５０１に従い、図１４の識別子「ＦＲ１」〜「ＦＲ７」のセキュリティ機能要件のリスク値を判定すると、識別子「ＦＲ１」及び「ＦＲ２」のセキュリティ機能要件のリスク値は「３．６５」であるので、重要度は「１」となる。また、識別子「ＦＲ３」〜「ＦＲ５」のセキュリティ機能要件のリスク値は「０．４」であるので、重要度は「０」となる。また、識別子「ＦＲ６」及び「ＦＲ７」のセキュリティ機能要件のリスク値は「１．６５」であるので、重要度は「０．５」となる。

次に、情報関連製品群導出テーブル５７に各情報を格納する動作を説明する。

情報システムセキュリティ設計装置１の関連度導出処理部７１は、既存の情報関連製品の製品名と、当該情報関連製品の有するセキュリティ機能の共通名称と、当該セキュリティ機能とセキュリティ機能要件との関連度等を情報関連製品群導出テーブル５７に追加格納する。

具体的には、例えば、脅威・対策方針・機能要件対応取得処理部７２は、上述のように脅威・対策方針対応テーブル５３及び対策方針・機能要件対応テーブル５４に各情報を格納した後、脅威・対策方針対応テーブル５３及び対策方針・機能要件対応テーブル５４に格納したセキュリティ機能要件を、情報関連製品群導出テーブル５７に格納しておく。関連度導出処理部７１は、機能固有名称・共通名称対応テーブル５０を参照し、既存の情報関連製品の製品名、当該製品の備えるセキュリティ機能の共通名称等を取得する。さらに、関連度導出処理部７１は、情報関連製品群導出テーブル５７からセキュリティ機能要件を取得し、当該セキュリティ機能要件と、導入候補となる情報関連製品のセキュリティ機能との関連度を関連度テーブル５２から取得する（図１１におけるステップ１１０２）。次に、関連度導出処理部７１は、情報関連製品群導出テーブル５７に、取得した既存の情報関連製品の製品名、当該情報関連製品の有するセキュリティ機能の共通名称、当該セキュリティ機能とセキュリティ機能要件との関連度等を格納する。さらに、関連度導出処理部７１は、利用者から入力された情報又は予め記憶装置１２等に格納された情報により、既存の情報関連製品のコストを情報関連製品群導出テーブル５７に格納する。

機能要件重要度導出処理部７５は、上述の動作により取得したセキュリティ機能要件毎の重要度を情報関連製品群導出テーブル５７に格納する。

情報関連製品導出処理部７６は、既存の情報関連製品の有するセキュリティ機能毎の満足度を取得し、情報関連製品群導出テーブル５７に格納する。この満足度は、例えば、利用者から入力された情報により取得してもよく、また、予め記憶装置１２等に格納された情報を読み出すことにより取得してもよい。

情報システムセキュリティ設計装置１は、上述のように情報関連製品群導出テーブル５７に情報を格納した後、設計対象の情報システムに最適な情報関連製品を導出する。最適な情報関連製品を導出する動作例を、図１６を参照して説明する。

なお、後述するステップ１６０１及びステップ１６０２は、設計対象の情報システムの脅威に対抗できるセキュリティ機能要件の組み合わせを取得する動作であるが、上述したように、本実施形態では、ＳＴのＲａｔｉｏｎａｌｅから、当該条件を満たすセキュリティ機能要件の組み合わせ「ＦＲ１」〜「ＦＲ７」を取得しているので、当該ステップを省略してもよい。

情報関連製品導出処理部７６は、セキュリティ機能要件の組み合わせを取得する（図１６におけるステップ１６０１）。具体的には、例えば、情報関連製品導出処理部７６は、記憶装置１２等に格納しているセキュリティ機能要件一覧のリスト等から１以上の任意のセキュリティ機能要件を取得する。

次に、情報関連製品導出処理部７６は、当該セキュリティ機能要件の組合せが、設計対象の情報システムの脅威に対抗できるセキュリティ機能要件の全てを網羅しているか否か判定する（図１６におけるステップ１６０２）。具体的には、例えば、情報関連製品導出処理部７６は、脅威・対策方針対応テーブル５３及び対策方針・機能要件対応テーブル５４等から、設計対象の情報システムの全て脅威と、当該脅威の各々に対抗できるセキュリティ機能要件とを読出し、ステップ１６０１の処理により取得したセキュリティ機能要件の組合せが、読み出したセキュリティ機能要件の全てを網羅しているか否か判定する。

当該判定の結果、取得したセキュリティ機能要件の組合せが、脅威に対抗できるセキュリティ機能要件の全てを網羅していない場合、再度ステップ１６０１の処理を行い、別のセキュリティ機能要件の組み合わせを取得する。

当該判定の結果、取得したセキュリティ機能要件の組合せが、脅威に対する対策方針のセキュリティ機能要件の全てを網羅している場合、情報関連製品導出処理部７６は、既存の情報関連製品の組み合わせの全てを取得する（図１６におけるステップ１６０３）。具体的には、例えば、情報関連製品導出処理部７６は、情報関連製品群導出テーブル５７内の情報関連製品のうち１以上の任意の製品を情報関連製品の組合せとし、考えられる情報関連製品の組合せの全てを取得する。

次に、情報関連製品導出処理部７６は、ステップ１６０３の処理で取得した情報関連製品の組合せから、任意の１組を選択する（図１６におけるステップ１６０４）。

次に、情報関連製品導出処理部７６は、ステップ１６０４の処理で選択した組み合わせを構成する各々の情報関連製品の有するセキュリティ機能が、上述のステップ１６０１及びステップ１６０２の処理で取得したセキュリティ機能要件の全てを実現できるか否かを判定する（図１６におけるステップ１６０５）。具体的には、例えば、情報関連製品導出処理部７６は、情報関連製品群導出テーブル５７を参照し、各情報関連製品の有するセキュリティ機能が、識別子が「ＦＲ１」〜「ＦＲ７」であるセキュリティ機能要件のいずれかと関連度を有している場合、当該情報関連製品は関連度を有するセキュリティ機能要件を実現できるものと判定する。情報関連製品導出処理部７６は、この判定を、上述のステップ１６０４の処理で選択した組み合わせを構成する情報関連製品の各々に対して行い、当該情報関連製品の組み合わせ全体で、識別子が「ＦＲ１」〜「ＦＲ７」であるセキュリティ機能要件の全てを実現できるか否か判定する。

判定の結果、選択した情報関連製品の組合せが、セキュリティ機能要件の全てを実現していない場合、再度ステップ１６０４の処理を行い、別の情報関連製品の組み合わせを選択する。

判定の結果、選択した情報関連製品の組み合わせが、セキュリティ機能要件の全てを実現できる場合、情報関連製品導出処理部７６は、ステップ１６０３の処理で取得した全ての情報関連製品の組合せに対しステップ１６０５の判定をした否か判定する（図１６におけるステップ１６０６）。具体的には、例えば、情報関連製品導出処理部７６は、ステップ１６０５の判定を行った数をカウントし、ステップ１６０３の処理で取得した全ての情報関連製品の組合せの数と、カウントした数とが一致する場合、全ての情報関連製品の組合せに対し判定したと判定する。

判定の結果、全ての情報関連製品の組合せに対しステップ１６０５の判定をしていない場合、再度ステップ１６０４の処理を行い、別の情報関連製品の組み合わせを選択する。

判定の結果、全ての情報関連製品の組合せに対しステップ１６０５の判定をした場合、情報関連製品導出処理部７６は、上述のステップで取得した、設計対象の情報システムの脅威に対抗できるセキュリティ機能要件の全てを実現できる１組以上の情報関連製品の組合せから、任意の１組を選択する（図１６におけるステップ１６０７）。

次に、情報関連製品導出処理部７６は、選択した情報関連製品の組合せに対し、情報関連製品群導出テーブル５７内の関連度と、満足度と、重要度等とから、情報関連製品の組み合わせ毎の機能過不足度を算出する（図１６におけるステップ１６０８）。具体的には、例えば、情報関連製品導出処理部７６は、まず、情報関連製品群導出テーブル５７を参照し、選択された組み合わせを構成する情報関連製品のセキュリティ機能の各々の満足度（行５７６）と、当該セキュリティ機能とセキュリティ機能要件との関連度とを読出し、ファジイ合成演算を用いて、取得した満足度及び関連度からセキュリティ機能要件に対するセキュリティ機能の達成度を算出する。達成度を算出する式の例を具体的に説明すると、セキュリティ機能要件「ｓ」の集合を「Ｓ」、情報関連製品の備えるセキュリティ機能「ｆ」の集合を「Ｆ」、セキュリティ機能要件と情報関連製品の備えるセキュリティ機能との関連度「ｍＲ（ｓ,ｆ）」、情報関連製品の備えるセキュリティ機能の満足度「ｍＦ（ｆ）」とすると、関連度をファジイ関係とする以下の写像関数式により、セキュリティ機能要件「ｓ」に対するセキュリティ機能の達成度「ｍＩ’（ｓ）」を算出することができる。

次に、情報関連製品導出処理部７６は、情報関連製品群導出テーブル５７を参照してセキュリティ機能要件毎の重要度（列５７２）を取得し、セキュリティ機能要件毎に、当該セキュリティ機能要件の重要度と、上述の数１により算出したセキュリティ機能の達成度との差分の絶対値を算出する。次に、情報関連製品導出処理部７６は、算出した差分の絶対値を合計し、当該合計値をセキュリティ機能要件の数で割った値を機能過不足度として取得する。機能過不足度を算出する式の例を具体的に説明すると、セキュリティ機能要件「ｓ」の重要度を「ｍＩ（ｓ）」、セキュリティ機能要件「ｓ」の集合「Ｓ」に含まれるセキュリティ機能要件の個数を「ｔ」とすると、情報関連製品の組合せの機能過不足度「ｘ」の値は以下の式で算出される。

図１０に一例を示す情報関連製品群導出テーブル５７を一例として説明すると、上述のように、設計対象の情報システムの脅威の全てに対抗できるセキュリティ機能要件は「ＦＲ１」〜「ＦＲ７」である。既存の情報関連製品は「製品Ａ」、「製品Ｂ」、「製品Ｃ」であるので、これらの情報関連製品の組合せとして、「製品Ａ」、「製品Ｂ」、「製品Ｃ」、「製品Ａ及び製品Ｂ」、「製品Ａ及び製品Ｃ」、「製品Ｂ及び製品Ｃ」、「製品Ａ及び製品Ｂ並びに製品Ｃ」が考えられる。これらの組合せの各々のうち、セキュリティ機能要件「ＦＲ１」〜「ＦＲ７」全てを実現する情報関連製品の組み合わせは「製品Ａ」、「製品Ａ及び製品Ｂ」、「製品Ａ及び製品Ｃ」、「製品Ｂ及び製品Ｃ」、「製品Ａ及び製品Ｂ並びに製品Ｃ」である。情報関連製品の組み合わせ「製品Ａ及び製品Ｂ」を例にして説明すると、セキュリティ機能要件「ＦＲ１」の重要度は「１」、当該機能要件の達成度は「０．７５」であるので、これらの差分の絶対値は「０．２５」である。同様に、「ＦＲ２」〜「ＦＲ７」に関し、重要度と達成度との差分の絶対値を取得すると、「０．２５」、「０．２５」、「０．２５」、「０．２５」、「０」、「０」となる。これらの差分の合計を、セキュリティ機能要件の数である「７」（ＦＲ１〜ＦＲ７）で割ると「０．１８」となるので、この値が、情報関連製品の組み合わせ「製品Ａ及び製品Ｂ」の機能過不足度となる。同様に、他の情報関連製品の組み合わせ「製品Ａ」、「製品Ａ及び製品Ｃ」、「製品Ｂ及び製品Ｃ」、「製品Ａ及び製品Ｂ並びに製品Ｃ」に関し機能過不足度を算出すると、「０．２５」、「０．３９」、「０．３９」、「０．３２」となる。

次に、情報関連製品導出処理部７６は、選択された情報関連製品の組合せのコストを算出する（図１６におけるステップ１６０９）。具体的には、例えば、情報関連製品導出処理部７６は、情報関連製品群導出テーブル５７を参照し、当該組合せを構成する情報関連製品の各々のコストを取得し、当該コストを合計することにより、当該組合せのコストを産出する。

次に、情報関連製品導出処理部７６は、選択された情報関連製品の組み合わせに、当該組み合わせの機能過不足度と、当該組み合わせのコストとを対応付けて、メモリ１１等の特定の記憶エリアに格納する（図１６におけるステップ１６１０）。

次に、情報関連製品導出処理部７６は、上述のステップ（Ｓ１６０１〜Ｓ１６０６）で取得した設計対象の情報システムの脅威に対抗できるセキュリティ機能要件の全てを実現できる情報関連製品の組合せの全てに対し、機能過不足度及びコストを算出したか否か判定する（図１６におけるステップ１６１１）。この判定の具体例は、上述のステップ１６０６と同様である。

判定の結果、全ての情報関連製品の組合せに対し機能過不足度及びコストの算出をしていない場合、情報関連製品導出処理部７６は、再度ステップ１６０７の処理を行い、別の情報関連製品の組み合わせを選択する。

判定の結果、全ての情報関連製品の組合せに対し機能過不足度及びコストの算出した場合、情報関連製品導出処理部７６は、予め設定され記憶装置１２等に記憶された優先順位に基づいて、メモリ１１等の特定の記憶エリアに格納した、各情報関連製品の組み合わせをソートする（図１６におけるステップ１６１２）。

図１６に一例を示す処理が終了すると、情報関連製品出力処理部７７は、特定の記憶エリア等を参照し、結果をディスプレイ等の出力装置１７に出力する。ディスプレイ等の出力装置１７への表示例を図１７に示す。図１７の画面１７０１は、ソートする優先順位を機能過不足度、コストの順とし、機能過不足度及びコストの小さい順にソートして表示した例である。

これにより、機能過不足度やコストのみではなく、システム運用者や設計者の意見等も考慮して導入する情報関連製品を決定することができる。
＜第２の実施形態＞
次に、第２の実施形態を説明する。第２の実施形態と第１の実施形態との差異は、図１３を参照して説明したセキュリティ機能要件の重要度を算出する機能要件重要度導出処理部７５の動作である。他の動作は第１の実施形態と同じであるので、異なる動作のみ詳細に説明する。以下、第２の実施形態の機能要件重要度導出処理部７５の動作を、図１８を参照して説明する。

上述したように、設計対象の情報システムのＳＴは、セキュリティ機能要件の実現方式以外は作成されている。情報システムセキュリティ設計装置１の脅威・対策方針・機能要件対応取得処理部７２は、上述の実施例と同様に、ＳＴのＲａｔｉｏｎａｌｅから、設計対象の情報システムの脅威と、当該脅威の各々に対する対策方針と、各対策方針を実現するセキュリティ機能要件とを取得し、取得した情報を脅威・対策方針対応テーブル５３、対策方針・機能要件対応テーブル５４に格納する（図１８におけるステップ１８０１）。

脅威リスク値算出データ取得処理部７３は、設計対象の情報システムの脅威毎に、当該脅威の被害の大きさと、当該脅威の発生可能性とを取得する。リスク値算出処理部７４は、脅威毎の被害の大きさ及び発生可能性から、脅威毎のリスク値を算出する（図１８におけるステップ１８０２）。

機能要件重要度導出処理部７５は、脅威・対策方針対応テーブル５３及び対策方針・機能要件対応テーブル５４を参照し、設計対象の情報システムの脅威と、当該脅威の各々に対する対策方針と、当該対策方針毎のセキュリティ機能要件とを取得する（図１８におけるステップ１８０３）。次に、機能要件重要度導出処理部７５は、取得した脅威毎のリスク値を、当該脅威の各々に対する対策方針にそのまま割り振り、各々の対策方針に割り振った脅威のリスク値のうち最大値を、当該対策方針を実現するセキュリティ機能要件のリスク値とする（図１８におけるステップ１８０４）。

ステップ１８０３及びステップ１８０４の動作を、図１９を参照して詳細に説明する。上述と同様に、識別子が「Ｔ１」である脅威のリスク値は、図８に一例を示す脅威リスク値テーブル５５から「２」であるので、当該脅威に対する対策方針にそのまま割り振ると、識別子が「Ｏ３」である対策方針に「２」となる。同様に、識別子が「Ｔ２」である脅威のリスク値は「６」であるので、当該脅威に対する対策方針にそのまま割り振ると、識別子が「Ｏ１」である対策方針に「６」となる。識別子が「Ｔ３」である脅威のリスク値は「４」であるので、当該脅威に対する対策方針にそのまま割り振ると識別子が「Ｏ１」〜「Ｏ３」である対策方針に「４」となる。各々の対策方針のリスク値は、割り振られた脅威のリスク値のうち最大値となるので、識別子「Ｏ１」の対策方針のリスク値は「６」となる。同様に、識別子「Ｏ２」の対策方針のリスク値は「４」となる。識別子「Ｏ３」の対策方針のリスク値は「４」となる。

識別子「Ｏ１」の対策方針と対応関係のあるセキュリティ機能要件の識別子は「ＦＲ１」及び「ＦＲ２」であるので、当該対策方針のリスク値「６」をそのまま割り振ると、識別子が「ＦＲ１」及び「ＦＲ２」のセキュリティ機能要件のリスク値は「６」となる。同様に、識別子「Ｏ２」の対策方針と対応関係のあるセキュリティ機能要件の識別子は「ＦＲ３」〜「ＦＲ５」であり、当該セキュリティ機能要件のリスク値は「４」となる。識別子「Ｏ３」の対策方針と対応関係のあるセキュリティ機能要件の識別子は「ＦＲ６」及び「ＦＲ７」であり、当該セキュリティ機能要件のリスク値は「４」となる。

上述のようにセキュリティ機能要件毎のリスク値を取得した後、機能要件重要度導出処理部７５は、機能要件重要度変換テーブル５６とセキュリティ機能要件毎のリスク値とにより、セキュリティ機能要件毎の重要度を取得する（図１８におけるステップ１８０５）。図１９の例で具体的に説明すると、識別子「ＦＲ１」〜「ＦＲ７」のセキュリティ機能要件のリスク値の最大値がＦＲ１及びＦＲ２の「６」であるので、当該最大値を図９に示す機能要件重要度変換テーブル５６に適用すると、図２０のテーブル２００１となる。テーブル２００１に従い、図１９の識別子「ＦＲ１」〜「ＦＲ７」のセキュリティ機能要件のリスク値を判定すると、「ＦＲ１」及び「ＦＲ２」のセキュリティ機能要件のリスク値は「６」であるので、重要度は「１」となる。また、「ＦＲ３」〜「ＦＲ５」のセキュリティ機能要件のリスク値は「４」であるので、重要度は「０．７５」となる。また、「ＦＲ６」及び「ＦＲ７」のセキュリティ機能要件のリスク値は「４」であるので、重要度は「０．７５」となる。
＜第３の実施形態＞
次に、第３の実施形態を説明する。第３の実施形態と上述した第１の実施形態及び第２の実施形態との差異は、セキュリティ機能要件の重要度を算出する機能要件重要度導出処理部７５の動作である。以下、上述した第１の実施形態及び第２の実施形態と異なる構成及び動作のみ詳細に説明する。

図２１は、第３の実施形態の情報システムセキュリティ設計装置１の構成を示す図である。図２１における情報システムセキュリティ設計装置１は、図１に示す情報システムセキュリティ設計装置１の各部に加え、記憶装置１２に、対策種別・効果対応テーブル５８をさらに有する。

対策種別・効果対応テーブル５８とは、脅威に対する対策方針及びセキュリティ機能要件の種別と、当該種別毎の効果とを対応付けるためのテーブルである。本実施形態では、セキュリティ対策方針／セキュリティ機能要件の種別は、後述する２つのテーブルの一方が選択され、選択されたテーブル内のセキュリティ対策方針／セキュリティ機能要件の種別の何れかが重要度の算出に適用されるものとする。以下、この２つのテーブルを特に区別して説明する場合、対策種別・効果対応テーブル５８ａ、対策種別・効果対応テーブル５８ｂとして説明する。

対策種別・効果対応テーブル５８の一例を図２２及び図２３に示す。図２２及び図２３において、対策種別・効果対応テーブル５８ａ及び対策種別・効果対応テーブル５８ｂは、列２２０１及び列２３０１がセキュリティ対策方針／セキュリティ機能要件の種別、列２２０２及び列２３０２が当該種別の効果の大きさを示す。図２２及び図２３の例では、数値が大きいほど効果が大きいことを示している。なお、対策種別・効果対応テーブル５８は、予め記憶装置１２に格納されているものとする。

次に、図２４を参照し、セキュリティ機能要件の重要度を算出する動作を説明する。

上述したように、設計対象の情報システムのＳＴは、セキュリティ機能要件の実現方式以外は作成されている。情報システムセキュリティ設計装置１の脅威・対策方針・機能要件対応取得処理部７２は、上述の実施例と同様に、ＳＴのＲａｔｉｏｎａｌｅから、設計対象の情報システムの脅威と、当該脅威の各々に対する対策方針と、各脅威と対策方針との対応関係の有無と、各対策方針とセキュリティ機能要件との対応関係の有無とを取得し、取得した情報を脅威・対策方針対応テーブル５３、対策方針・機能要件対応テーブル５４に格納する（図２４におけるステップ２４０１）。

脅威リスク値算出データ取得処理部７３は、脅威毎に、当該脅威の被害の大きさと、当該脅威の発生可能性とを取得する。リスク値算出処理部７４は、脅威毎の被害の大きさ及び発生可能性から、脅威毎のリスク値を算出する（図２４におけるステップ２４０２）。

機能要件重要度導出処理部７５は、脅威のリスク値の割り振り方法を取得する（図２４におけるステップ２４０３）。具体的には、例えば、機能要件重要度導出処理部７５は、予め記憶装置１２に格納したテーブル等により、図２５に一例を示すような画面データを出力装置１７に出力し、脅威から対策方針へのリスク値割り振り方法、及び、対策方針からセキュリティ機能要件へのリスク値割り振り方法の指示を受け付ける。

図２５の例を参照して、脅威リスク値の割り振り方法の一例を詳細に説明する。機能要件重要度導出処理部７５は、「（１）脅威から対策方針へのリスク割り振り方法」と「（２）対策方針からセキュリティ機能要件へのリスクの割り振り方法」とを選択させる。また、（１）、（２）各々の選択肢として、「方法１：対策方針毎／機能要件毎にリスク値を均等に割り振る」、「方法２：対策方針種別／機能要件種別に応じた割合でリスク値を割り振る（１）、（２）」、「方法３：対策方針内容／機能要件内容に応じて自由にリスク値を割り振る」という４つを設定する。

ここで、「（１）脅威から対策方針へのリスク割り振り方法」とは、設計対象の情報システムの脅威毎のリスク値を、当該脅威の各々に対する対策方針にどのように割り振るかを示す方法であり、例えば、図２８の例において、識別子「Ｔ３」の脅威のリスク値「４」を、識別子「Ｏ１」〜「Ｏ３」である対策方針にどのように割り振るかを示すものである。また、「（２）対策方針からセキュリティ機能要件へのリスクの割り振り方法」とは、各々の対策方針のリスク値を、当該対策方針を実現するセキュリティ機能要件にどのように割り振るべきかを示す方法であり、例えば、図２８の例において、識別子「Ｏ１」の対策方針のリスク値を、識別子が「ＦＲ１」及び「ＦＲ２」であるセキュリティ機能要件にどのように割り振るかを示すものである。

なお、ここでは、方法２は、「方法２−１：対策方針種別／機能要件種別に応じた割合でリスク値を割り振る（１）」と「方法２−２：対策方針種別／機能要件種別に応じた割合でリスク値を割り振る（２）」との２つが選択可能であり、「方法２−１」は、図２２に一例を示す対策種別・効果対応テーブル５８ａ内の種別のうち何れかを選択し、「方法２−２」は、図２３に一例を示す対策種別・効果対応テーブル５８ｂ内の種別のうち何れかを選択することにより、種別を指定するものとする。

上述のように脅威のリスク値の割り振り方法を取得した後、機能要件重要度導出処理部７５は、対策方針へのリスク値割り振り方法の指示がどの方法を指示するものであるか判定する（図２４におけるステップ２４０４）。図２５の例では、「（１）脅威から当該脅威に対する対策方針へのリスク割り振り方法」が、どの方法を指示するものであるか判定する。

ステップ２４０４の判定の結果、方法１の対策方針を指示している場合、機能要件重要度導出処理部７５は、上述した第１の実施形態と同様に、各脅威のリスク値を、当該脅威に対する対策方針の各々に均等に割り振り、各対策方針に割り振られたリスク値の合計を、当該対策方針のリスク値とする（図２４におけるステップ２４０５）。

ステップ２４０４の判定の結果、方法２の対策方針を指示している場合、機能要件重要度導出処理部７５は、対策方針毎の対策方針種別を取得する（図２４におけるステップ２４０６）。具体的には、例えば、機能要件重要度導出処理部７５は、図２６に一例を示すような画面２６０１を出力装置１７に出力する。図２６は、図２５の例に示す画面２５０１において、「（１）脅威から対策方針へのリスク値割り振り方法」の「方法２−２」を選択した場合の例である。この場合、機能要件重要度導出処理部７５は、図７に一例を示す対策方針・機能要件対応テーブル５４を参照して脅威に対する対策方針（列５４１及び列５４２）を取得し、さらに、図２３に一例を示す対策種別・効果対応テーブル５８ｂから取得した対策方針の種別（列２３０１）をプルダウン等により出力する。利用者が、出力装置１７に表示された対策方針の種別のうち１つを指定すると、機能要件重要度導出処理部７５は、対策種別・効果対応テーブル５８ｂを参照し、指定された対策方針種別に対応する効果の大きさ（列２３０２）を取得する。

次に、機能要件重要度導出処理部７５は、脅威毎のリスク値を、当該脅威の各々に対する対策方針の種別に対応する効果の大きさに応じて割り振り、各対策方針に割り振られたリスク値の合計を、当該対策方針のリスク値とする（図２４におけるステップ２４０７）。

この処理を図２８を参照して具体的に説明する。図２８は、図２５に一例を示す画面２５０１において「（１）脅威から対策方針へのリスク値割り振り方法」の「方法２−２」を選択し、図２６に一例を示す画面２６０１において、対策方針の識別子「Ｏ１」及び「Ｏ２」の対策方針の種別が「防止」、対策方針の識別子「Ｏ３」の対策方針の種別が「検知」と指定された場合の例である。この場合、機能要件重要度導出処理部７５は、対策種別・効果対応テーブル５８ｂを参照し、対策方針の種別「防止」の効果の大きさ「３」と、対策方針の種別「検知」の効果の大きさ「１」とを取得する。次に、機能要件重要度導出処理部７５は、脅威・対策方針対応テーブル５３を参照し、設計対象の情報システムの脅威と、当該脅威の各々と対応関係を有する対策方針とを取得する。識別子が「Ｔ３」である脅威の場合の例を説明すると、識別子が「Ｔ３」である脅威と対応関係を有する対策方針の識別子は「Ｏ１」〜「Ｏ３」である。機能要件重要度導出処理部７５は、各々の対策方針の効果の大きさに応じて、脅威のリスク値「４」を割り振る。上述のように、識別子が「Ｏ１」及び「Ｏ２」である対策方針の効果の大きさは「３」、識別子が「Ｏ３」である対策方針の効果の大きさは「１」であるので、機能要件重要度導出処理部７５は、各々の対策方針の効果の大きさに応じて、「Ｔ３」の脅威のリスク値「４」を割り振り、対抗できるリスク値として、対策方針「Ｏ１」及び「Ｏ２」が「１．７」、対策方針「Ｏ３」が「０．６」を取得する。上述と同様に、識別子が「Ｔ１」及び「Ｔ２」である脅威のリスク値を割り振ると、識別子が「Ｔ１」である脅威と対応関係を有する対策方針は「Ｏ３」のみであるので、「Ｏ３」には「Ｔ１」の脅威のリスク値「２」をそのまま割り振る。識別子が「Ｔ２」である脅威と対応関係を有する対策方針は「Ｏ１」のみであるので、「Ｏ１」には「Ｔ２」の脅威のリスク値「６」をそのまま割り振る。従って、識別子「Ｏ１」の対策方針のリスク値は、「Ｔ２」からの「６」と「Ｔ３」からの「１．７」との和になるので「７．７」となる。同様に、識別子「Ｏ２」の対策方針のリスク値は「１．７」となる。識別子「Ｏ３」の対策方針のリスク値は「２．６」となる。

ステップ２４０４の判定の結果、方法３の対策方針を指示している場合、機能要件重要度導出処理部７５は、対策方針ごとの効果の大きさを取得する（図２４におけるステップ２４０８）。具体的には、例えば、機能要件重要度導出処理部７５は、図２７に一例を示すような画面２７０１を出力する。図２７は、図２５に一例を示す画面２５０１において、「（１）脅威から対策方針へのリスク値割り振り方法」の「方法３」を選択した場合の例である。この場合、機能要件重要度導出処理部７５は、図６に一例を示す脅威・対策方針対応テーブル５３を参照し、設計対象の情報システムの脅威（列５３１及び列５３２）と、当該脅威の各々に対する対策方針（行５３３）とを取得して出力する。図２７の例では、行の脅威と、列の対策方針とのマトリクス部分２７０２が、当該脅威に対する対策方針の効果の大きさを示す。従って、例えば、図２７の例において、脅威「Ｔ３」に対する対策方針「Ｏ１」の効果の大きさは「５」である。利用者は、入力装置１６等を用いて図２７の例のマトリクス部分２７０２に効果の大きさを入力等して、対策方針毎の効果の大きさを指示する。機能要件重要度導出処理部７５は、当該指示に従い、対策方針毎の効果の大きさを取得する。

次に、機能要件重要度導出処理部７５は、脅威毎のリスク値を、上述した方法２と同様に、当該脅威の各々に対する対策方針毎の効果の大きさに応じて割り振り、当該対策方針の各々に割り振られたリスク値の合計を、当該対策方針のリスク値とする（図２４におけるステップ２４０９）。

次に、機能要件重要度導出処理部７５は、対策方針からセキュリティ機能要件へのリスク値割り振り方法がどの方法を指示するものであるか判定する（図２４におけるステップ２４１０）。図２５の例では、「（２）対策方針から機能要件へのリスク割り振り方法」が、どの方法を指示するものであるか判定する。

ステップ２４１０の判定の結果、方法１を選択している場合、機能要件重要度導出処理部７５は、上述した第１の実施形態と同様に、対策方針毎のリスク値を、当該対策方針を実現できるセキュリティ機能要件毎に均等に割り振って、セキュリティ機能要件毎のリスク値を算出する（図２４におけるステップ２４１１）。

ステップ２４１０の判定の結果、方法２を選択している場合、機能要件重要度導出処理部７５は、セキュリティ機能要件毎の対策種別を取得する（図２４におけるステップ２４１２）。具体的には、例えば、上述のステップ２４０６と同様に、図２６に一例を示すような対策種別の指示を受け付けるための画面を出力装置１７に出力し、利用者の指示に応じて、セキュリティ機能要件毎の対策種別を取得する。次に、機能要件重要度導出処理部７５は、対策方針毎のリスク値を、当該対策方針を実現できるセキュリティ機能要件の対策種別に応じて割り振り、セキュリティ機能要件毎のリスク値を算出する（図２４におけるステップ２４１３）。この処理は、上述したステップ２４０７と同様である。

ステップ２４１０の判定の結果、方法３を選択している場合、機能要件重要度導出処理部７５は、セキュリティ機能要件毎の効果の大きさを取得する（図２４におけるステップ２４１４）。具体的には、例えば、上述のステップ２４０８と同様に、図２７に一例を示すようなセキュリティ機能要件毎の効果の大きさの指示を受け付けるための画面を出力装置１７に出力し、利用者の指示に応じて、セキュリティ機能要件毎の効果の大きさを取得する。次に、機能要件重要度導出処理部７５は、対策方針毎のリスク値を、当該対策方針を実現できるセキュリティ機能要件毎の効果の大きさに応じて割り振り、各セキュリティ機能要件のリスク値を算出する（図２４におけるステップ２４１５）。この処理は、上述したステップ２４０９と同様である。

次に、機能要件重要度導出処理部７５は、取得したセキュリティ機能要件のリスク値と、機能要件重要度変換テーブル５６とから、セキュリティ機能要件の重要度を算出する（図２４におけるステップ２４１６）。図２８の例で具体的に説明すると、識別子「ＦＲ１」〜「ＦＲ７」のセキュリティ機能要件１４０３が対抗できるリスク値の最大値がＦＲ１及びＦＲ２の「６」であるので、当該最大値を図９に示す機能要件重要度変換テーブル５６に適用すると、図２９のテーブル２９０１となる。テーブル２９０１に従い、図２８の識別子「ＦＲ１」〜「ＦＲ７」のセキュリティ機能要件のリスク値を判定すると、「ＦＲ１」及び「ＦＲ２」のセキュリティ機能要件のリスク値は「６」であるので、重要度は「１」となる。また、「ＦＲ３」〜「ＦＲ５」のセキュリティ機能要件のリスク値は「４」であるので、重要度は「０．７５」となる。また、「ＦＲ６」及び「ＦＲ７」のセキュリティ機能要件のリスク値は「４」であるので、重要度は「０．７５」となる。

以上、この発明の実施形態を図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計変更等も含まれる。

例えば、図１、図２１に示す各処理部又はテーブルの一部を他装置が備えてもよい。この場合、複数人で同時に上述の動作を行うことが可能となる。

また、上述の実施形態では、入力された脅威の被害の大きさ及び脅威の発生可能性から当該脅威のリスク値を算出するものとしたが、これに限られるわけではなく、予め、設計対象の情報システムの脅威と当該脅威のリスク値とを記憶しておいても良い。

また、上述の第１の実施形態、第２の実施形態、第３の実施形態は、いずれか１つを行うものでもよく、利用者が選択できるようにしてもよい。

また、上述の第３の実施形態において、脅威から対策方針へのリスク値割り振り方法、及び、対策方針からセキュリティ機能要件へのリスク値割り振り方法は、両方が選択できるものとしたが、いずれか一方を選択できるようにしてもよい。また、同実施形態において、第２の実施形態に記載の脅威から対策方針へのリスク値割り振り方法、及び、対策方針からセキュリティ機能要件へのリスク値割り振り方法少なくとも一方を選択できるようにしてもよい。

本発明の一実施形態において、情報システムセキュリティ設計支援装置の構成を示す図である。 同実施形態において、機能固有名称・共通名称対応テーブルの一例を示す図である。 同実施形態において、機能共通名称テーブルの一例を示す図である。 同実施形態において、関連度テーブルの一例を示す図である。 同実施形態において、セキュリティ機能要件の識別子の内容を説明する図である。 同実施形態において、脅威・対策方針対応テーブルの一例を示す図である。 同実施形態において、対策方針・機能要件対応テーブルの一例を示す図である。 同実施形態において、脅威リスク値テーブルの一例を示す図である。 同実施形態において、機能要件重要度変換テーブルの一例を示す図である。 同実施形態において、情報関連製品の組み合わせ導出テーブルの一例を示す図である。 同実施形態において、情報関連製品の備えるセキュリティ機能の共通名称を取得する動作例を説明する図である。 同実施形態において、情報関連製品の備えるセキュリティ機能の共通名称を取得する動作例を説明する図である。 同実施形態において、セキュリティ機能要件の重要度を取得する動作例を説明する図である。 同実施形態において、セキュリティ機能要件の重要度を取得する動作例を説明する図である。 同実施形態において、セキュリティ機能要件の重要度を取得する動作例を説明する図である。 同実施形態において、最適な情報関連製品の組み合わせを取得する動作例を説明する図である。 同実施形態において、最適な情報関連製品の組み合わせの候補を出力する例である。 同実施形態において、セキュリティ機能要件の重要度を取得する動作例を説明する図である。 同実施形態において、セキュリティ機能要件の重要度を取得する動作例を説明する図である。 同実施形態において、セキュリティ機能要件の重要度を取得する動作例を説明する図である。 同実施形態において、情報システムセキュリティ設計装置の構成を示す図である。 同実施形態において、対策種別・効果対応テーブルの一例を示す図である。 同実施形態において、対策種別・効果対応テーブルの一例を示す図である。 同実施形態において、セキュリティ機能要件の重要度を取得する動作例を説明する図である。 同実施形態において、セキュリティ機能要件の重要度を取得する動作例を説明する図である。 同実施形態において、セキュリティ機能要件の重要度を取得する動作例を説明する図である。 同実施形態において、セキュリティ機能要件の重要度を取得する動作例を説明する図である。 同実施形態において、セキュリティ機能要件の重要度を取得する動作例を説明する図である。 同実施形態において、セキュリティ機能要件の重要度を取得する動作例を説明する図である。

符号の説明

１：情報システムセキュリティ設計装置、１１：メモリ、１２：記憶装置、１３：バス、１４：ＣＰＵ、１５：端末入出力インタフェース、１６：入力装置、１７：出力装置、１８：通信インタフェース、５０：機能固有名称・共通名称対応テーブル、５１：機能共通名称テーブル、５２：関連度テーブル、５３：脅威・対策方針対応テーブル、５４：対策方針・セキュリティ機能要件対応テーブル、５５：脅威リスク値テーブル、５６：機能要件重要度変換テーブル、５７：情報関連製品の組み合わせ導出テーブル、５８：対策種別・効果対応テーブル、５９：テーブル、７０：セキュリティ機能固有名称・共通名称対応取得処理部、７１：関連度導出処理部、７２：脅威・対策方針・セキュリティ機能要件対応取得処理部、７３：脅威リスク値算出データ取得処理部、７４：リスク値算出処理部、７５：機能要件重要度導出処理部、７６：情報関連製品導出処理部、７７：情報関連製品出力処理部、８０：データ設計支援プログラム、８１：システムセキュリティ設計プログラム、５０１：列、５０２：列、５０３：列、５１１：列、５１２：列、５２１：列、５２２：列、５２３：行、５２４：行、５９１：列、５９２：列、５９３：列、５３１：列、５３２：列、５３３：行、５４１：列、５４２：列、５４３：行、５５１：列、５５２：列、５５３：列、５６１：列、５６２：列、５７１：列、５７２：列、５７３：行、５７４：行、５７５：行、５７６：行、１２０１：画面、１４０１：脅威、１４０２：対策方針、１４０３：セキュリティ機能要件、１５０１：テーブル、１７０１：画面、２００１：テーブル、２２０１：列、２２０２：列、２３０１：列、２３０２：列、２５０１：画面、２６０１：画面、２７０１：画面、２９０１：テーブル

Claims (10)

1. 情報システムに想定される脅威に対抗できるセキュリティ機能要件の重要度を取得する重要度取得装置であって、
   前記脅威毎に、当該脅威に対する対策方針と、当該対策方針を実現するセキュリティ機能要件とを記憶する脅威・対策方針・機能要件記憶手段と、
   前記脅威毎のリスク値を記憶する脅威リスク値記憶手段と、
   前記脅威・対策方針・機能要件記憶手段から前記脅威の各々に対する対策方針及び当該対策方針を実現するセキュリティ機能要件を読出し、前記脅威リスク値記憶手段から読み出した脅威毎のリスク値を、当該脅威の各々に対する対策方針に特定の規則に従って割り振り、当該対策方針の各々に割り振られた脅威のリスク値を、当該対策方針の各々を実現するセキュリティ機能要件に特定の規則に従って割り振ることにより、セキュリティ機能要件毎のリスク値を算出するセキュリティ機能要件リスク値取得手段と、
   前記取得したセキュリティ機能要件毎のリスク値の各々を、１つ以上の特定の閾値と比較し、当該セキュリティ機能要件毎のリスク値の各々が前記特定の閾値の各々より大きいか否かにより、各セキュリティ機能要件の重要度を取得する重要度取得手段と、
   前記取得した重要度を出力する出力手段と、
   を備えることを特徴とする重要度取得装置。
2. 請求項１記載の重要度取得装置であって、
   前記セキュリティ機能要件リスク値取得手段は、前記脅威毎のリスク値を、当該脅威に対する対策方針の各々に均等に割り振り、各対策方針に割り振られたリスク値の合計を、各対策方針を実現するセキュリティ機能要件に均等に割り振ることにより、各セキュリティ機能要件のリスク値を取得することを特徴とする重要度取得装置。
3. 請求項１記載の重要度取得装置であって、
   前記セキュリティ機能要件リスク値取得手段は、前記脅威毎のリスク値を、当該脅威に対する各対策方針の各々にそのまま割り振り、各対策方針に割り振られたリスク値の最大値を、各対策方針を実現するセキュリティ機能要件にそのままに割り振ることにより、各セキュリティ機能要件のリスク値を算出することを特徴とする重要度取得装置。
4. 請求項１記載の重要度取得装置であって、
   前記セキュリティ機能要件リスク値取得手段は、前記脅威毎のリスク値を、当該脅威に対する各対策方針の各々の種別に応じて割り振り、各対策方針に割り振られたリスク値の合計を、各対策方針を実現するセキュリティ機能要件の種別に応じて割り振ることにより、各セキュリティ機能要件のリスク値を算出することを特徴とする重要度取得装置。
5. 請求項１記載の重要度取得装置であって、
   前記セキュリティ機能要件リスク値取得手段は、前記脅威毎のリスク値を、当該脅威に対する対策方針の各々に指定された効果の大きさに応じて割り振り、各対策方針に割り振られたリスク値の合計を、各対策方針を実現するセキュリティ機能要件毎に指定された効果の大きさに応じて割り振ることにより、各セキュリティ機能要件のリスク値を算出することを特徴とする重要度取得装置。
6. 請求項１記載の重要度取得装置であって、
   入力された指示に応じて、脅威から対策方針へのリスク値の割り振り、及び、対策方針からセキュリティ機能要件へのリスク値割り振りの少なくとも一方を、請求項２乃至５いずれかに記載の前記セキュリティ機能要件リスク値取得手段により取得することを特徴とする重要度取得装置。
7. 情報システムに想定される脅威の対策として、セキュリティ機能を有する複数の情報関連製品候補から１又は複数を選択するセキュリティ設計支援システムであって、
   前記脅威毎に、当該脅威に対する対策方針と、当該対策方針を実現するセキュリティ機能要件とを記憶する脅威・対策方針・機能要件記憶手段と、
   前記脅威毎のリスク値を記憶する脅威リスク値記憶手段と、
   前記脅威・対策方針・機能要件記憶手段から前記脅威の各々に対する対策方針及び当該対策方針を実現するセキュリティ機能要件を読出し、前記脅威リスク値記憶手段から読み出した脅威毎のリスク値を、当該脅威の各々に対する対策方針に特定の規則に従って割り振り、当該対策方針の各々に割り振られた脅威のリスク値を、当該対策方針の各々を実現するセキュリティ機能要件に特定の規則に従って割り振ることにより、セキュリティ機能要件毎のリスク値を算出するセキュリティ機能要件リスク値取得手段と、
   前記取得したセキュリティ機能要件毎のリスク値の各々を、１つ以上の特定の閾値と比較し、当該セキュリティ機能要件毎のリスク値の各々が前記特定の閾値の各々より大きいか否かにより、各セキュリティ機能要件の重要度を取得する重要度取得手段と、
   セキュリティ機能要件と、セキュリティ機能との関連度とを記憶する関連度記憶手段と、
   前記関連度記憶手段内のセキュリティ機能を表示する共通セキュリティ機能表示手段と、
   前記情報関連製品候補の各々の有するセキュリティ機能が、前記表示したセキュリティ機能のうちいずれかに該当するかを示す情報が入力されると、当該セキュリティ機能とセキュリティ機能要件との関連度を取得する関連度取得手段と、
   前記情報関連製品候補の各々の有するセキュリティ機能の満足度を記憶する情報関連製品満足度記憶手段と、
   前記脅威の各々へ対抗できるセキュリティ機能要件を全て実現できる情報関連製品候補の組合せを１組以上取得する情報関連製品組合せ取得手段と、
   前記組み合わせの各々に対し、前記脅威の各々に対抗できるセキュリティ機能要件と、当該組み合わせを構成する情報関連製品候補の各々の有するセキュリティ機能と、当該セキュリティ機能と当該セキュリティ機能要件との関連度と、当該セキュリティ機能の満足度と、当該セキュリティ機能要件の重要度と、当該セキュリティ機能要件の数とから、特定の計算式に従い、当該組み合わせの各々の機能過不足度を算出する過不足度算出手段と、
   前記取得した機能過不足度と、当該機能過不足度を算出した情報関連製品候補の組み合わせとを出力する出力手段と、
   を備えることを特徴とするセキュリティ設計支援システム。
8. 請求項７記載のセキュリティ設計支援システムであって、
   前記情報関連製品候補毎の価格を記憶する情報関連製品候補価格記憶手段と、
   前記情報関連製品候補の組み合わせの価格を算出する価格算出手段とをさらに備え、
   前記出力手段は、前記取得した機能過不足度と、当該機能過不足度を算出した情報関連製品候補の組み合わせと、当該情報関連製品候補の組み合わせの価格とを出力することを特徴とするセキュリティ設計支援システム。
9. 情報関連製品の有するセキュリティ機能と、セキュリティ機能要件との関連度を取得する関連度取得装置であって、
   セキュリティ機能要件と、セキュリティ機能との関連度とを記憶する関連度記憶手段と、
   前記関連度記憶手段内のセキュリティ機能を表示する共通セキュリティ機能表示手段と、
   前記情報関連製品の各々の有するセキュリティ機能が、前記表示したセキュリティ機能のうちいずれかに該当するかを示す情報が入力されると、当該セキュリティ機能とセキュリティ機能要件との関連度を取得する関連度取得手段と、
   前記取得した関連度を出力する関連度出力手段と、
   を備えることを特徴とする関連度取得装置。
10. 情報システムに想定される脅威に対抗できるセキュリティ機能要件の重要度を取得するプログラムであって、
    記憶手段を有するコンピュータが、
    前記記憶手段に、前記脅威毎に、当該脅威に対する対策方針と、当該対策方針を実現するセキュリティ機能要件とを記憶する脅威・対策方針・機能要件記憶ステップと、
    前記記憶手段に、前記脅威毎のリスク値を記憶する脅威リスク値記憶ステップと、
    前記記憶手段から前記脅威の各々に対する対策方針及び当該対策方針を実現するセキュリティ機能要件を読出し、前記記憶手段から読み出した脅威毎のリスク値を、当該脅威の各々に対する対策方針に特定の規則に従って割り振り、当該対策方針の各々に割り振られた脅威のリスク値を、当該対策方針の各々を実現するセキュリティ機能要件に特定の規則に従って割り振ることにより、セキュリティ機能要件毎のリスク値を算出するセキュリティ機能要件リスク値取得ステップと、
    前記前記取得したセキュリティ機能要件毎のリスク値の各々を、１つ以上の特定の閾値と比較し、当該セキュリティ機能要件毎のリスク値の各々が前記特定の閾値の各々より大きいか否かにより、各セキュリティ機能要件の重要度を取得する重要度取得ステップと、
    前記取得した重要度を出力する出力ステップと、
    をコンピュータに実行させることを特徴とするプログラム。

Images