JP2006350708A - セキュリティ設計支援方法及び支援装置 - Google Patents

Abstract

【課題】ＩＴ製品またはシステムのセキュリティ環境定義、考慮すべき脅威及び実施する対策の決定を支援する。
【解決手段】IT製品またはシステムのセキュリティ環境の構成要素が格納された環境要素ＤＢと、脅威が格納された脅威DBと、セキュリティ環境から脅威を抽出するルールが記述された脅威抽出ルールDBと、脅威に対する対策候補が格納された対策DBとを備え、環境要素DBとＧＵＩとを使用して、ユーザにIT製品またはシステムのセキュリティ環境を定義させ、定義されたセキュリティ環境に基づいて、脅威DBと脅威抽出ルールDBとからIT製品またはシステムにおいて想定される脅威を抽出し、脅威の抽出結果をユーザに提示すると共に、IT製品またはシステムで考慮する脅威としての採用の有無をユーザに選択させ、脅威の選択結果に基づいて、対策DBから対策候補を抽出し、対策候補の抽出結果をユーザに提示すると共に、対策候補の中からIT製品またはシステムで実施する対策をユーザに選択させる。
【選択図】 図１

Description

本発明は、セキュリティ設計支援方法及び支援装置に係り、特に、ＩＴ製品またはシステムのセキュリティ環境定義、考慮すべき脅威及び実施する対策の決定を支援するセキュリティ設計支援方法及び支援装置に関する。

近年、ＩＴ製品及びシステムを構成する要素が急速に増大しており、これら要素間の関連も益々複雑化してきている。また、世の中の基盤・基幹を担うＩＴ製品及びシステムも多く、セキュリティの確保が必要不可欠となっている。一方、ＩＴ製品またはシステムにおける考慮すべきセキュリティ上の脅威及びこれに対する対策を漏れなく、効率よく決定することは益々困難になってきている。

ＩＴ製品及びシステムのセキュリティ設計を行うためには、熟練者の経験・専門技術が必要であるが、従来、セキュリティ設計を通じて得られたノウハウ・スキルを再利用することは困難であった。また、複雑なＩＴ製品及びシステムで考慮すべき脅威を抜け漏れなく洗い出し、矛盾なく有効な対策を決定するためには、多大な労力を要するという問題点を抱えていた。これらの問題に対応することが可能なセキュリティ仕様書作成支援ツールに関する従来技術として、例えば、特許文献１等に記載された技術が知られている。この従来技術は、複数のＩＴ製品を構成する情報ネットワークシステムに対して、国際セキュリティ評価基準ＩＳＯ／ＩＥＣ１５４０８に準拠した既存のセキュリティ仕様書を元にセキュリティ仕様書を作成する方法に関するものである。
特開２００４−３４１６２３号公報

前述した特許文献１に記載の従来技術は、情報ネットワークシステムを構成するＩＴ製品に関する再利用可能なセキュリティ仕様書が充分存在し、また、各ＩＴ製品のセキュリティ仕様書の評価対象が、ユーザが想定している対象と一致することを前提としている。一般に、ＩＴ製品及びシステムのセキュリティ設計を行うためには、対象とするＩＴ製品またはシステムで想定される脅威及び実施すべき対策を過不足なく抽出することが慣用である。

このため、前述した従来技術による方法を使用する場合にも、熟練者の経験・専門技術が必要であり、また、セキュリティ設計を通じて得られたノウハウ・スキルを明文化することが難しく、再利用することが困難であるという問題点を生じていた。

すなわち、前述した従来技術による方法を利用しようとしても、未熟練者にとっては、何が脅威か判らない、どの脅威が深刻なのかが判らない、どのように対策すればよいのかが判らない、どこまで対策すればよいのか判らないといった問題があった。

また、前述した従来技術は、日増しに複雑化していくIT製品及びシステムで考慮すべき脅威を抜け漏れなく洗い出し、矛盾なく有効な対策を決定するためには、多大な労力を必要とするという問題点を有している。

本発明の目的は、前述した従来技術の問題点を解決し、ＩＴ製品またはシステムのセキュリティ環境定義、考慮すべき脅威及び実施する対策の決定を支援することを可能にしたセキュリティ設計支援方法及び支援装置を提供することにある。

本発明によれば前記目的は、ＩＴ製品またはシステムに対するセキュリティ設計を支援するセキュリティ設計支援方法において、前記ＩＴ製品またはシステムのセキュリティ環境の構成要素が格納された環境要素ＤＢと、脅威が格納された脅威ＤＢと、前記セキュリティ環境から脅威を抽出するルールが記述された脅威抽出ルールＤＢと、前記脅威に対する対策候補が格納された対策ＤＢとを備え、前記環境要素ＤＢとＧＵＩとを使用して、ユーザに前記ＩＴ製品またはシステムのセキュリティ環境を定義させ、前記定義されたセキュリティ環境に基づいて、前記脅威ＤＢと脅威抽出ルールＤＢとから前記ＩＴ製品またはシステムにおいて想定される脅威を抽出し、前記脅威の抽出結果をユーザに提示すると共に、前記ＩＴ製品またはシステムで考慮する脅威としての採用の有無をユーザに選択させ、前記脅威の選択結果に基づいて、前記対策ＤＢから対策候補を抽出し、前記対策候補の抽出結果をユーザに提示すると共に、前記対策候補の中から前記ＩＴ製品またはシステムで実施する対策をユーザに選択させることにより達成される。

また、前記目的は、ＩＴ製品またはシステムに対するセキュリティ設計を支援するセキュリティ設計支援装置において、前記ＩＴ製品またはシステムのセキュリティ環境の構成要素が格納された環境要素ＤＢと、脅威が格納された脅威ＤＢと、前記セキュリティ環境から脅威を抽出するルールが記述された脅威抽出ルールＤＢと、前記脅威に対する対策候補が格納された対策ＤＢと、前記環境要素ＤＢとＧＵＩとを使用して、ユーザに前記ＩＴ製品またはシステムのセキュリティ環境を定義させる手段と、前記定義されたセキュリティ環境に基づいて、前記脅威ＤＢと脅威抽出ルールＤＢとから前記ＩＴ製品またはシステムにおいて想定される脅威を抽出する手段と、前記脅威の抽出結果をユーザに提示すると共に、前記ＩＴ製品またはシステムで考慮する脅威としての採用の有無をユーザに選択させる手段と、前記脅威の選択結果に基づいて、前記対策ＤＢから対策候補を抽出する手段と、前記対策候補の抽出結果をユーザに提示すると共に、前記対策候補の中から前記ＩＴ製品またはシステムで実施する対策をユーザに選択させる手段とを備えたことにより達成される。

本発明によれば、ＩＴ製品またはシステムのセキュリティ環境を容易に定義することができ、かつ、未熟練者でも容易に、抜け漏れなくセキュリティ設計を行うことができる。

以下、本発明によるセキュリティ設計支援方法及び支援装置の実施形態を図面により詳細に説明する。

図１は本発明の一実施形態によるセキュリティ設計支援装置の機能構成を示すブロック図である。図１において、１００は入出力・編集機能部、２００はセキュリティ環境定義処理部、２０１は環境要素配置処理部、２０２は環境要素属性設定処理部、２０３はアクセスルール設定処理部、２０４は環境要素間関連付け処理部、２０５はデータフロー定義処理部、２０６、３０５は結果出力部、３００は脅威・対策抽出・選定支援機能部、３０１は脅威候補抽出処理部、３０２は脅威候補提示・選択処理部、３０３は対策候補抽出処理部、３０４は対策候補提示・選択処理部、４００はデータベース読み出し機能部、５００はデータベース登録・編集機能部、６１０は環境要素ＤＢ、６２０は脅威抽出ルールＤＢ、６３０は脅威ＤＢ、６４０は対策ＤＢ、７０１はセキュリティ環境データ、７０２は脅威−対策データである。

本発明の実施形態によるセキュリティ設計支援装置は、図１に示すように、入出力・編集機能部１００と、セキュリティ環境データ７０１を生成出力するセキュリティ環境定義処理部２００と、脅威−対策データ７０２を生成出力する脅威・対策抽出・選定支援機能部３００と、データベース読み出し機能部４００と、データベース登録・編集機能部５００と、環境要素ＤＢ６１０と、脅威抽出ルールＤＢ６２０と、脅威ＤＢ６３０と、対策ＤＢ６４０とを備えて構成される。また、セキュリティ環境定義処理部２００は、環境要素配置処理部２０１、環境要素属性設定処理部２０２、アクセスルール設定処理部２０３、環境要素間関連付け処理部２０４、データフロー定義処理部２０６、結果出力部２０６の各処理部を備えて構成され、脅威・対策抽出・選定支援機能部３００は、脅威候補抽出処理部３０１、脅威候補提示・選択処理部３０２、対策候補抽出処理部３０３、対策候補提示・選択処理部３０４、結果出力部３０５の各処理部を備えて構成されている。

前述したような機能構成を備えるセキュリティ設計支援装置は、ＣＰＵ、主メモリ、ハードディスク等の外部記憶装置、入力装置としてのキーボード、マウス、表示装置等を備えて構成されるＰＣ、ワークステーション等を代表としてよく知られている情報処理装置内に構築することができる。そして、前述したセキュリティ設計支援装置を構成する各機能部は、外部記憶装置から主メモリにロードされて、ＯＳの下でＣＰＵにより実行されることによりそれぞれの機能が実行される。また、前述したセキュリティ設計支援装置に含まれる各ＤＢは、外部記憶装置内に格納されて利用される。

前述したセキュリティ設計支援装置を使用してセキュリティ設計を行うユーザは、入出力・編集機能部１００、環境要素ＤＢ６１０、環境要素配置処理部２０１を使用して環境要素である情報資産、アクセスエージェント、物理環境、ネットワーク環境、前提ハードウェア、前提ソフトウェアの配置を行う。また、ユーザは、環境要素属性設定処理部２０２を使用して各環境要素の属性値を設定し、アクセスルール設定処理部２０３を使用して、情報資産とアクセスエージェント間の正当なアクセスルールとを設定する。さらに、ユーザは、要素間関連付け処理部２０４を使用して配置した前提ハードウェアと物理的環境及びネットワーク環境との関連付け、並びに、前提ソフトウェアと前提ハードウェアとの関連付けを行うと共に、データフロー定義処理部２０５を使用して各情報資産のデータフローを前提ソフトウェアに関連付ける。前述で定義されたセキュリティ環境は、結果出力部２０６により、セキュリティ環境データ７０１として出力される。

脅威候補抽出処理部３０１は、脅威抽出ルールＤＢ６２０、脅威ＤＢ６３０、定義されたセキュリティ環境から脅威の候補を抽出する。脅威候補提示・選択処理部３０２は、抽出された脅威候補をユーザに提示し、ユーザは、セキュリティ設計を行う対象システムの脅威として考慮すべきか否かを選定する。対策候補抽出処理部３０３は、対策ＤＢ６４０を検索し、選定された脅威に対応する対策候補を抽出する。対策候補提示・選択処理部３０４は、選定された脅威及び抽出された対策候補をユーザに提示し、ユーザは、対象システムの対策として実施する対策を選定する。選定された脅威及び対策は、結果出力部３０５により、脅威−対策データ７０２として出力される。

図２は本発明の実施形態によるセキュリティ設計支援方法を用いてセキュリティ設計を行う対象システムの構成例を示すブロック図である。図２において、１０００はマシンエリア、１１００はサーバマシン、１１０１、２１０１はＣＰＵ、１１０２、２１０２は主メモリ、１１０３、２１０３はネットワーク装置、１１０４、２１０４は外部記憶装置、１１０５、２１０５は入出力装置、１２０１はサーバＯＳ、１２０２は業務サーバアプリケーション、１２０３はデータベース、１２０４は管理コマンド、１３０１は業務データ、１３０２は認証データ、１３０３は設定データ、１５０１は管理ユーザ、２０００はオフィスエリア、２１００はクライアントマシン、２５０１は正当な業務ユーザ、２５０２、３５０１は不正なユーザ、３０００は社内ネットワークである。

対象システムは、図２に示すように、マシンエリア１０００にサーバマシン１１００が設置され、オフィスエリア２０００にクライアントマシン２１００が設置されてコマンドされているものとする。サーバマシン１１００は、ＣＰＵ１１０１、主メモリ１１０２、ネットワーク装置１１０３、外部記憶装置１１０４、入出力装置１１０５を備え、クライアントマシン２１００は、ＣＰＵ２１０１、主メモリ２１０２、ネットワーク装置２１０３、外部記憶装置２１０４、入出力装置２１０５を備えている。サーバマシン１１００とクライアントマシン２１００とは、社内ネットワーク３０００で接続されている。

サーバマシン１１００の主メモリ１１０２には、サーバＯＳ１２０１と、業務サーバアプリケーション１２０２と、データベース１２０３と、管理コマンド１２０４とが格納され、ＣＰＵ１１０１に制御されて動作する。また、クライアントマシン２１００の主メモリ２１０２には、クライアントＯＳ２２０１と、業務クライアントアプリケーション２２０２とが格納されて、ＣＰＵ２１０１に制御されて動作する。業務データ１３０１及び認証データ１３０２は、データベース１２０３として、外部記憶装置１１０４内に格納されている。

前述のようにコマンドされる対象システムにおいて、正当な業務ユーザ２５０１は、入出力装置２１０５を使用して、業務クライアントアプリケーション２２０２、クライアントＯＳ２２０１、社内ネットワーク３０００、サーバＯＳ１２０１、業務サーバアプリケーション１２０２、データベース１２０３を介して教務データ１３０１にアクセスすることができる。また、管理ユーザ１５０１は、メンテナンスのために、入出力装置１１０５を使用して、管理コマンド１２０４、データベース１２０３を介して業務データ１３０１及び認証データ１３０２にアクセスすることができる。

設定データ１３０３は、サーバマシン１１００の主メモリ１１０３にファイルの形式で格納され、業務サーバアプリケーション１２０２から利用される。また、設定データ１３０３は、管理ユーザ１５０１からメンテナンスのためにアクセスされる。マシンエリア１０００には、管理ユーザ１５０１のみが立ち入ることができるが、オフィスエリア２０００には、正当な業務ユーザ２５０１及び不正なユーザ２５０２が立ち入る可能性がある。また、ネットワーク３０００に対して不正なユーザ３５０１がアクセスする可能性がある。管理ユーザ１５０１は、信頼できるものとし、正当な業務ユーザ２５０１は、自分の業務の遂行に関して、信頼できるものとする。

図３、図４は各環境要素の雛型の例を示す図であり、次に、各環境要素の雛型の例について説明する。すでに説明したように、環境要素には、情報資産、アクセスエージェント、物理環境、ネットワーク環境、前提ソフトウェア、前提ハードウェアがある。

情報資産の雛形６１１は、図３（ａ）に示すように、属性名として、環境要素ＩＤ、種別、名称、説明、機密レベル、脅威の項目があり、これらに属性値が設定できるように構成され、アクセスエージェントの雛形６１２は、図３（ｂ）に示すように、属性名として、環境要素ＩＤ、役割、名称、説明、責任、信頼度合いの項目があり、これらに属性が設定できるように構成され、また、物理環境の雛形６１３は、図３（ｂ）に示すように、属性名として、環境要素ＩＤ、種別、名称、説明の項目がありこれらに属性値が設定できるように構成される。ネットワーク環境の雛形６１４は、図４（ａ）に示すように、属性名として、環境要素ＩＤ、種別、名称、説明、インタフェースの項目があり、これらに属性値が設定できるように構成され、前提ソフトウェアの雛形６１５は、図４（ｂ）に示すように、属性名として、環境要素ＩＤ、種別、名称、説明、インタフェース、セキュリティ機能の項目があり、これらに属性値が設定できるように構成され、また、前提ハードウェアの雛形６１６は、図４（ｃ）に示すように、属性名として、環境要素ＩＤ、種別、名称、説明の項目があり、これらに属性値が設定できるように構成される。

前述した各環境要素は、セキュリティ設計を行うユーザにより、入出力・編集機能部１００、環境要素ＤＢ６１０、環境要素配置処理部２０１を使用して環境要素である情報資産、アクセスエージェント、物理環境、ネットワーク環境、前提ハードウェア、前提ソフトウェアの配置が行われ、また、環境要素属性設定処理部２０２を使用して各環境要素の属性値を含む項目が設定される。これらの項目の設定は、図２に示したセキュリティ設計を行う対象システムのブロック構成を、ＧＵＩ(Graphical User Interface)を使用して表示させて行われる。次に、前述した各環境要素の雛型に対して各属性値を設定した例について説明する。

図５は図２に示したセキュリティ設計を行う対象システムの情報資産に属性値を設定した例を示す図である。対象システムには、図２から判るように、情報資産として、業務データ１３０１、認証データ１３０２、設定データ１３０３があり、これらのそれぞれに対して属性値が設定される。

業務データの情報資産６１１１には、図５（ａ）に示すように、環境要素ＩＤに＜１３０１＞、種別に［ユーザデータ］、名称に＜業務データ＞、説明に＜業務で使用するデータである＞、機密レベルに［中］、脅威に［改竄、盗聴、破壊］の属性値が設定される。認証データの情報資産６１１２には、図５（ｂ）に示すように、環境要素ＩＤに＜１３０２＞、種別に［セキュリティデータ］、名称に＜認証データ＞、説明に＜業務ユーザを認証するためのデータである＞、機密レベルに［高］、脅威に［改竄、盗聴］の属性値が設定される。設定データの情報資産６１１３には、図５（ｃ）に示すように、環境要素ＩＤに＜１３０３＞、種別に［設定データ］、名称に＜設定データ＞、説明に＜業務サーバアプリケーションを動作させるためのデータである＞、機密レベルに［低］、脅威に［改竄］の属性値が設定される。

図６は図２に示したセキュリティ設計を行う対象システムのアクセスエージェントに属性値を設定した例を示す図である。対象システムには、図２から判るように、アクセスエージェントとして、管理ユーザ１５０１、一般ユーザとしての正当な業務ユーザ２５０１、不正なユーザ２５０２、３５０１があり、これらのそれぞれに対して属性値が設定される。

管理ユーザのアクセスエージェント６１２１には、図６（ａ）に示すように、環境要素ＩＤに＜１５０１＞、種別に［管理ユーザ］、名称に＜管理ユーザ＞、説明に＜サーバマシンのメンテナンスを行う。マシンエリアに立ち入ることができる。＞、責任に＜マシンエリア内のサーバマシンの安定稼働に責任を持つ＞、信頼度合いに［高］の属性値が設定される。一般ユーザのアクセスエージェント６１２２には、図６（ｂ）に示すように、環境要素ＩＤに＜２５０１＞、種別に［一般ユーザ］、名称に＜正当な業務クライアント＞、説明に＜クライアントマシンから業務を行う、オフィスエリアに立ち入ることができる。マシンエリアに立ち入ることはできない。＞、責任に＜自分に課せられた業務に対しては責任を持つ＞、信頼度合いに［中］の属性値が設定される。

オフィスエリア内の不正なユーザのアクセスエージェント６１２３には、図６（ｃ）に示すように、環境要素ＩＤに＜２５０２＞、種別に［不正ユーザ］、名称に＜不正なユーザ＞、説明に＜業務システムに対してアカウントを持たない。オフィスエリアには立ち入ることができる。＞、責任に＜業務システム及び業務に対して何の責任も持たない＞、信頼度合いに［低］の属性値が設定される。外部に居る不正なユーザのアクセスエージェント６１２４には、図６（ｄ）に示すように、環境要素ＩＤに＜３５０１＞、種別に［不正ユーザ］、名称に＜不正なユーザ＞、説明に＜社内のネットワークにアクセスすることができる＞、責任に＜業務システム及び業務に対して何の責任も持たない＞、信頼度合いに［低い］の属性値が設定される。

図７は図２に示したセキュリティ設計を行う対象システムの物理環境に属性値を設定した例を示す図である。対象システムには、図２から判るように、物理環境として、マシンエリア１０００、オフィスエリア２０００、社内ネットワーク３０００のあるネットワーク環境があり、これらのそれぞれに対して属性値が設定される。

マシンエリアの物理環境６１３１には、図７（ａ）に示すように、環境要素ＩＤに＜１０００＞、種別に［マシンエリア］、名称に＜マシンエリア＞、説明に＜入退出管理が行われており、許可された人物しか立ち入ることができない。＞の属性値が設定される。オフィスエリアの物理環境６１３２には、図７（ｂ）に示すように、環境要素ＩＤに＜２０００＞、種別に［オフィスエリア］、名称に＜オフィスエリア＞、説明に＜入退出管理が行われていない。＞の属性値が設定される。また、ネットワーク環境の物理環境６１３３には、図７（ｃ）に示すように、環境要素ＩＤに＜３０００＞、種別に［イントラネット］、名称に＜社内ネットワーク＞、説明に＜入力＞、インタフェースに＜物理的なアクセス＞の属性値が設定される。

図８、図９は図２に示したセキュリティ設計を行う対象システムの前提ソフトウェアに属性値を設定した例を示す図である。対象システムには、図２から判るように、前提ソフトウェアとして、サーバＯＳ１２０１、業務サーバアプリケーション１２０２、データベース１２０３、クライアントＯＳ２２０１、業務クライアントアプリケーション２２０２があり、これらのそれぞれに対して属性値が設定される。

サーバＯＳの前提ソフトウェア６１５１には、図８（ａ）に示すように、環境要素ＩＤに＜１２０１＞、種別に［ＯＳ］、名称に＜サーバＯＳ＞、説明に＜サーバマシンで稼働するＯＳ＞、インタフェースに＜サーバＯＳコマンド＞、セキュリティ機能に＜識別・認証機能、アクセス制御機能、ファイル暗号化機能＞の属性値が設定される。業務サーバアプリケーションの前提ソフトウェア６１５２には、図８（ｂ）に示すように、環境要素ＩＤに＜１２０２＞、種別に［アプリケーション］、名称に＜業務サーバアプリケーション＞、説明に＜業務を処理するサーバアプリケーション＞、インタフェースに＜サーバＯＳインタフェース、データベースインタフェース＞の属性値が設定される。

データベースの前提ソフトウェア６１５３には、図９（ａ）に示すように、環境要素ＩＤに＜１２０３＞、種別に［ＤＢＭＳ］、名称に＜データベース＞、説明に＜業務で使用するデータベース＞、インタフェースに＜データベースコマンド＞、セキュリティ機能に＜識別・認証機能、アクセス制御機能、テーブル暗号化機能＞の属性値が設定される。クライアントＯＳの前提ソフトウェア６１５４には、図９（ｂ）に示すように、環境要素ＩＤに＜２２０１＞、種別に［ＯＳ］、名称に＜クライアントＯＳ＞、説明に＜クライアントマシンで稼働するＯＳ＞、インタフェースに＜クライアントＯＳコマンド＞、セキュリティ機能に＜識別・認証機能、アクセス制御機能、ファイル暗号化機能＞の属性値が設定される。また、業務クライアントアプリケーションの前提ソフトウェア６１５５には、図９（ｃ）に示すように、環境要素ＩＤに＜２２０２＞、種別に［アプリケーション］、名称に＜業務クライアントアプリケーション＞、説明に＜業務で使用するクライアントアプリケーション＞、インタフェースに＜クライアントＯＳインタフェース＞の属性値が設定される。

図１０は図２に示したセキュリティ設計を行う対象システムの前提ハードウェアに属性値を設定した例を示す図である。対象システムには、図２から判るように、前提ハードウェアとして、サーバマシン１１００、クライアントマシン２１００があり、これらのそれぞれに対して属性値が設定される。

サーバマシンの前提ハードウェア６１６１には、図１０（ａ）に示すように、環境要素ＩＤに＜１１００＞、種別に［サーバマシン］、名称に＜サーバマシン＞、説明に＜業務サーバアプリケーションが稼働するハードウェア＞の属性値が設定される。クライアントマシンの前提ハードウェア６１６２には、図１０（ｂ）に示すように、環境要素ＩＤに＜２１００＞、種別に［クライアントマシン］、名称に＜クライアントマシン＞、説明に＜業務クライアントアプリケーションが稼働するハードウェア＞の属性値が設定される。

図１１は図２に示したセキュリティ設計を行う対象システムの例に対して、アクセスルール設定処理部２０３により設定した、情報資産とアクセスエージェントのアクセスルールとの例を説明する図である。

アクセスルール２１１は、情報資産である業務データ１３０１、認証データ１３０２、設定データ１３０３と、アクセスエージェントである管理ユーザ１５０１、正当な業務ユーザ２５０１、不正なユーザ２５０２との間の通常の業務におけるアクセスルールを定めたものである。図１１に示すように、管理ユーザ１５０１は、業務データ１３０１、認証データ１３０２、設定データ１３０３に対して、読み、書き、削除を行うことができ、また、正当な業務ユーザ２５０１は、業務データ１３０１、認証データ１３０２に対して、読み、書きを行うことができるが、設定データに対してはアクセスすることができない。一方、不正なユーザ２５０２は、業務データ、認証データ、設定データに対してアクセスすることができない。

図１２は図２に示したセキュリティ設計を行う対象システムの例に対して、環境要素間関連付け処理部２０４により関連付けられた前提ハードウェアと物理的環境とネットワーク環境との各環境要素間の関連の例を説明する図である。

図１２（ａ）に示すように、マシンエリア１０００は、管理ユーザ１５０１、サーバマシン１１００と関連付けられ、サーバマシン１１００は、ＣＰＵ１１０１、メモリ１１０２、ネットワーク装置１１０３、外部記憶装置１１０４、入出力装置１１０５と関連付けられる。また、図１２（ｂ）に示すように、オフィスエリア２０００は、正当なユーザ２５０１、不正なユーザ２５０２、クライアントマシン２１００と関連付けられ、クライアントマシン２１００は、ＣＰＵ２１０１、メモリ２１０２、ネットワーク装置２１０３、外部記憶装置２１０４、入出力装置２１０５と関連付けられる。さらに、図１２（ｃ）に示すように、社内ネットワーク３０００は、サーバマシン１１００内のネットワーク装置１１０３と、クライアントマシン２１００内のネットワーク装置２１０３と、不正なユーザ３５０１と関連付けられる。

図１３は図２に示したセキュリティ設計を行う対象システムの例に対して、環境要素間関連付け処理部２０４により関連付けられた前提ハードウェアと前提ソフトウェアとの各環境要素間の関連の例を説明する図である。

図１３（ａ）に示すように、サーバマシン１１００は、サーバＯＳ１２０１、業務サーバアプリケーション１２０２、管理コマンド１２０３、データベース１２０４と関連付けられ、また、図１３（ｂ）に示すように、クライアントマシン２１００は、クライアントＯＳ２２０１、業務クライアントアプリケーション２２０２と関連付けられる。

図１４は図２に示したセキュリティ設計を行う対象システムの例に対して、データフロー定義処理部２０５により定義されたデータフローの例を説明する図である。

図１４に示すデータフロー２０５１は、業務データ１３０１が、データベース１２０３、業務サーバアプリケーション１２０２、サーバＯＳ１２０１、サーバマシン１１００、社内ネットワーク３０００、クライアントマシン２１００、クライアントＯＳ２２０１、業務クライアントアプリケーション２２０２を介して正当な業務ユーザ２５０１へと流れるフローを示している。このフローは、正当な業務ユーザ２５０１が、業務データの要求を行う場合、前述とは逆の方向に要求データが流れることになる。

図１５は脅威ＤＢ６３０に格納される脅威の雛形としてのテーブルの構成例を説明する図である。脅威ＤＢ６３０に格納されるテーブルのは、脅威の対象毎に備えられており、各テーブルは、脅威ＩＤ、脅威の対象、脅威の内容、対策ＩＤから構成されている。なお、各テーブルで、＜割当：＞となっている部分の意味については後述する。

図１５（ａ）に示すテーブルは、着脱可能なメディアに格納されたデータを脅威の対象としたテーブルであり、脅威の内容として、「アクセスエージェントが不正にメディアを取り外すことにより、情報資産が漏洩するかもしれない。」が格納され、対策ＩＤとして、対策ＤＢ６４０に格納された対策のＩＤが示されている。

図１５（ｂ）に示すテーブルは、マシン内部のメモリ、外部記憶装置等のメディアに格納されたデータを脅威の対象としたテーブルであり、脅威の内容として、「アクセスエージェントがインタフェースを使用して、情報資産を参照／改変／削除／追加するかもしれない。」が格納され、対策ＩＤとして、対策ＤＢ６４０に格納された対策のＩＤが示されている。

図１５（ｃ）に示すテーブルは、通信回線上のデータを脅威の対象としたテーブルであり、脅威の内容として、「アクセスエージェントが通信回線を流れてくる情報資産を参照するかもしれない。」が格納され、対策ＩＤとして、対策ＤＢ６４０に格納された対策のＩＤが示されている。

図１６〜図１８は対策ＤＢ６４０に格納されるテーブルの構成例を説明する図である。対策ＤＢ６４０に格納されるテーブルは、脅威の対象毎の複数の対策のそれぞれに対応して備えられており、各テーブルは、対策ＩＤ、種別、効果、対策の内容から構成されている。

図１６（ａ）〜図１６（ｃ）に示すテーブルは、図１５（ａ）により説明したような着脱可能なメディアに格納されたデータへの脅威に対する対策を格納しており、これらのテーブルには、対策の内容として「メディアの取り外しができないような機器を使用する。」、「データを暗号かする。」、「ストレージメディアの有無を定期的にチェックする。」が格納されている。

図１７（ａ）〜図１７（ｃ）に示すテーブルは、図１５（ｂ）により説明したようなマシン内部のメモリ、外部記憶装置等のメディアに格納されたデータへの脅威に対する対策を格納しており、これらのテーブルには、対策の内容として「アプリケーションの実行を制限する。」、「データへのアクセス制御を実施する。」、「アプリケーションの操作ログを監視する。」が格納されている。

図１８（ａ）〜図１８（ｃ）に示すテーブルは、図１５（ｃ）により説明したような通信回線上のデータへの脅威に対する対策を格納しており、これらのテーブルには、対策の内容として「通信回線を物理的に保護する。」、「回線が制御された装置を管理する。」、「盗聴・改ざんを防止する前提ソフトウェアを使用する。」が格納されている。

図１９は脅威候補抽出処理部３０１が脅威抽出ルールＤＢ６２０と脅威ＤＢ６３０とを使用して脅威を抽出する処理動作を説明するフローチャートであり、次に、これについて説明する。

（１）脅威候補抽出処理部３０１は、脅威ＤＢ６３０に格納されている図１５に示すような脅威の雛形６３００１〜６３００３に記述された＜割当：＞となっている部分に、セキュリティ環境で定義されたすべてのアクションエージェント、情報資産、インタフェースを当てはめた脅威候補のリストを作成する（ステップ６２００１）。

（２）ステップ６２００１のリストの１つ１つについて、アクセスルールとして正当なアクセスとして定義された操作は、脅威とはならないので、その候補リストの脅威が図１１に示すアクセスルールに定義されているか否かを判定する（ステップ６２００２、６２００３）。

（３）ステップ６２００３の判定で、その候補リストの脅威が図１１に示すアクセスルールに定義されていなかった場合、その候補リストの脅威は、脅威とはならないので、ステップ６００２からの処理に戻って次の候補リストについての処理を続け、定義されていた場合、図１４に示したデータフロー２０５１で定義された環境要素が持つインタフェースの内、環境要素間の関連からアクセスエージェントがアクセスできないインタフェースに関連した脅威は、脅威とはならないので、その候補リストのアクセスエージェントが、データフロー２０５１内の各インタフェースにアクセスできないものであるか否かをアクセスルールに基づいて判定する（ステップ６２００４、６２００５）。

（４）ステップ６２００５の判定で、アクセスエージェントが、データフロー２０５１内の各インタフェースにアクセスできないものであった場合、その候補リストの脅威は、脅威とはならないので、ステップ６００２からの処理に戻って次の候補リストについての処理を続け、アクセスできるものであった場合、図１４に示したデータフロー２０５１で定義された環境要素が持つインタフェースの内、環境要素自身がが持つ属性値から存在し得ない脅威は、脅威とはならないので、その候補リストについて、環境要素の属性値として脅威とならないか否かを判定する（ステップ６２００６、６２００７）。

（５）ステップ６２００７の判定で、環境要素の属性値として脅威とならないものであった場合、その候補リストの脅威は、脅威とはならないので、ステップ６００２からの処理に戻って次の候補リストについての処理を続け、環境要素の属性値として脅威となるものであった場合、その候補リストの脅威は、脅威となるものであるので、その候補リスト脅威としてユーザに提示すると共に、その脅威を格納し、脅威が残っているか否かを判定する（ステップ６２００８、６２００９）。

（６）ステップ６２００９の判定で、脅威が残っていれば、ステップ６００２からの処理に戻って次の候補リストについての処理を続け、脅威が残っていなければ、ここでの処理を終了する。

脅威候補抽出処理部３０１は、図１１に示したアクセスルール、図１２、図１３に示した環境要素の関連、図１４に示したデータフローに基づいて、前述で説明したような処理を行うことにより脅威を抽出することができる。

前述した本発明の実施形態での処理は、プログラムとして構成して装置内に備えられているＣＰＵに実行させることができ、また、このプログラムは、ＦＤ、ＣＤ、ＭＯ、ＤＶＤＲＯＭ等の記録媒体に格納して提供することができ、また、ネットワークを介してディジタル情報により提供することができる。

図２０は脅威候補抽出処理部３０１による処理により得られた脅威候補の例について説明する図である。

図２０には、図２０（ａ）〜図２０（ｅ）に５つの脅威候補５０００１〜５０００５を示している。そして、図２０（ａ）に示す脅威候補５０００１は、「不正なユーザ２５０２が、業務クライアントアプリケーション２２０２を使用して、業務データ１３０１を参照、改変、削除するかもしれない。」となっており、図２０（ｂ）に示す脅威候補５０００２は、「不正なユーザ２５０２が、クライアントＯＳ２２０１のコマンドを使用して、業務データ１３０１を参照、改変、削除するかもしれない。」となっている。また、図２０（ｃ）に示す脅威候補５０００３は、「正当な業務ユーザ２５０１が、業務クライアントアプリケーション２２０２を使用して、業務データ１３０１を削除するかもしれない。」となっており、図２０（ｄ）に示す脅威候補５０００４は、「不正なユーザ３５０１が、社内ネットワーク３０００を流れる業務データ１３０１を参照するかもしれない。」となっている。

さらに、図２０（ｅ）に示す脅威候補５０００５は、「不正なユーザ２５０２が、不正にメディアを取り外すことにより、業務データ１３０１が漏洩するかもしれない。」となっているが、この脅威候補５０００５は、図１９に示すフローのステップ６２００４の処理における脅威抽出ルールの参照により排除される。

脅威候補提示・選択処理部３０２は、抽出された脅威候補をユーザに提示し、ユーザに、セキュリティ設計を行う対象システムの脅威として考慮すべきかどうかを選定させる。そして、対策候補抽出処理部３０３は、ユーザにより選定された脅威に対応付けられた対策ＩＤを元に、対策ＤＢ６４０を検索し、該当する対策候補を抽出する。対策候補提示・選択処理部３０４は、選定された脅威及び抽出された対策候補をユーザに提示し、ユーザに、対象システムの対策として実施する対策を選定させる。

図２１は結果出力部３０５から出力された脅威−対策データ７０２の例を説明する図である。この脅威−対策データ７０２は、脅威候補抽出処理部３０１による処理により得られた脅威候補に対して、前述した対策候補抽出処理部３０３が対策ＤＢ６４０を検索して得られた結果からユーザに選択させたものである。

図２１（ａ）〜図２１（ｄ）に示す脅威−対策データ７０２は、図２０（ａ）〜図２０（ｄ）に示す脅威候補に対する対策データを示しており、図２１（ａ）に示す脅威−対策データ６０００１は、図２０（ａ）に示す脅威候補５０００１の「不正なユーザ２５０２が、業務クライアントアプリケーション２２０２を使用して、業務データ１３０１を参照、改変、削除するかもしれない。」という脅威に対して、「・クライアントＯＳ２２０１で、業務クライアントアプリケーションの実行を制限することで防止できる。」及び「・業務サーバアプリケーション１２０２の機能により業務データ１３０１に対するアクセス制御を実施することで防止できる。」という対策を示し、また、図２１（ｂ）に示す脅威−対策データ６０００２は、図２０（ｂ）に示す脅威候補５０００２の「不正なユーザ２５０２が、クライアントＯＳ２２０１のコマンドを使用して、業務データ１３０１を参照、改変、削除するかもしれない。」という脅威に対して、「・クライアントＯＳ２２０１で、クライアントＯＳコマンドの実行を制限することで防止できる。」という対策を示している。

また、図２１（ｃ）に示す脅威−対策データ６０００３は、図２０（ｃ）に示す脅威候補５０００３の「正当な業務ユーザ２５０１が、業務クライアントアプリケーション２２０２を使用して、業務データ１３０１を削除するかもしれない。」という脅威に対して、「・業務サーバアプリケーション１２０２の機能により業務データ１３０１に対するアクセス制御を実施することで防止できる。」及び「・業務サーバアプリケーション１２０２、業務クライアントアプリケーション２２０２の操作ログを監視することで検出できる。」という対策を示し、図２１（ｄ）に示す脅威−対策データ６０００４は、図２０（ｄ）に示す脅威候補５０００４の「不正なユーザ３５０１が、社内ネットワーク３０００を流れる業務データ１３０１を参照するかもしれない。」という脅威に対して、「・盗聴・改ざんを防止する前提ソフトウェアを使用することで防止することができる。」という対策を示している。

前述したように、本発明の実施形態により、ＩＴ製品またはシステムに対するセキュリティ設計を行うことができるが、本発明は、前記のようなセキュリティ設計を通じて得られた事例・ルールを、環境要素ＤＢ、脅威抽出ルールＤＢ、脅威ＤＢ、対策ＤＢに登録・編集することができる。

前述した本発明の実施形態によれば、ＩＴ製品またはシステムのセキュリティ環境を、ＧＵＩを使用して容易に定義することができ、かつ、定義されたセキュリティ環境に基づいて、対象としているＩＴ製品またはシステムで考慮すべき脅威の抽出・選択、実施する対策の抽出・決定を支援することができるため、未熟練者でも容易に、抜け漏れなくセキュリティ設計を行うことができ、また、セキュリティ設計を通じて得られた事例・ルールを、環境要素ＤＢ、脅威抽出ルールＤＢ、脅威ＤＢ、対策ＤＢとして登録・編集することにより、ノウハウを再利用することができる。

本発明の一実施形態によるセキュリティ設計支援装置の機能構成を示すブロック図である。 本発明の実施形態によるセキュリティ設計支援方法を用いてセキュリティ設計を行う対象システムの構成例を示すブロック図である。 各環境要素の雛型の例（その１）を示す図である。 各環境要素の雛型の例（その２）を示す図である。 図２に示したセキュリティ設計を行う対象システムの情報資産に属性値を設定した例を示す図である。 図２に示したセキュリティ設計を行う対象システムのアクセスエージェントに属性値を設定した例を示す図である。 図２に示したセキュリティ設計を行う対象システムの物理環境に属性値を設定した例を示す図である。 図２に示したセキュリティ設計を行う対象システムの前提ソフトウェアに属性値を設定した例（その１）を示す図である。 図２に示したセキュリティ設計を行う対象システムの前提ソフトウェアに属性値を設定した例（その２）を示す図である。 図２に示したセキュリティ設計を行う対象システムの前提ハードウェアに属性値を設定した例を示す図である。 図２に示したセキュリティ設計を行う対象システムの例に対して、アクセスルール設定処理部により設定した、情報資産とアクセスエージェントのアクセスルールとの例を説明する図である。 図２に示したセキュリティ設計を行う対象システムの例に対して、環境要素間関連付け処理部により関連付けられた前提ハードウェアと物理的環境とネットワーク環境との各環境要素間の関連の例を説明する図である。 図２に示したセキュリティ設計を行う対象システムの例に対して、環境要素間関連付け処理部により関連付けられた前提ハードウェアと前提ソフトウェアとの各環境要素間の関連の例を説明する図である。 図２に示したセキュリティ設計を行う対象システムの例に対して、データフロー定義処理部により定義されたデータフローの例を説明する図である。 脅威ＤＢに格納される脅威の雛形としてのテーブルの構成例を説明する図である。 対策ＤＢに格納されるテーブルの構成例（その１）を説明する図である。 対策ＤＢに格納されるテーブルの構成例（その２）を説明する図である。 対策ＤＢに格納されるテーブルの構成例（その３）を説明する図である。 脅威候補抽出処理部が脅威抽出ルールＤＢと脅威ＤＢとを使用して脅威を抽出する処理動作を説明するフローチャートである。 脅威候補抽出処理部による処理により得られた脅威候補の例について説明する図である。 結果出力部から出力された脅威−対策データの例を説明する図である。

符号の説明

１００ 入出力・編集機能部
２００ セキュリティ環境定義処理部
２０１ 環境要素配置処理部
２０２ 環境要素属性設定処理部
２０３ アクセスルール設定処理部
２０４ 環境要素間関連付け処理部
２０５ データフロー定義処理部
２０６、３０５ 結果出力部
３００ 脅威・対策抽出・選定支援機能部
３０１ 脅威候補抽出処理部
３０２ 脅威候補提示・選択処理部
３０３ 対策候補抽出処理部
３０４ 対策候補提示・選択処理部
４００ データベース読み出し機能部
５００ データベース登録・編集機能部
６１０ 環境要素ＤＢ
６２０ 脅威抽出ルールＤＢ
６３０ 脅威ＤＢ
６４０ 対策ＤＢ
７０１ セキュリティ環境データ
７０２ 脅威−対策データ
１０００ マシンエリア
１１００ サーバマシン
１１０１、２１０１ ＣＰＵ
１１０２、２１０２ 主メモリ
１１０３、２１０３ ネットワーク装置
１１０４、２１０４ 外部記憶装置
１１０５、２１０５ 入出力装置
１２０１ サーバＯＳ
１２０２ 業務サーバアプリケーション
１２０３ データベース
１２０４ 管理コマンド
１３０１ 業務データ
１３０２ 認証データ
１３０３ 設定データ
１５０１ 管理ユーザ
２０００ オフィスエリア
２１００ クライアントマシン
２５０１ 正当な業務ユーザ
２５０２、３５０１ 不正なユーザ
３０００ 社内ネットワーク

Claims (5)

1. ＩＴ製品またはシステムに対するセキュリティ設計を支援するセキュリティ設計支援方法において、前記ＩＴ製品またはシステムのセキュリティ環境の構成要素が格納された環境要素ＤＢと、脅威が格納された脅威ＤＢと、前記セキュリティ環境から脅威を抽出するルールが記述された脅威抽出ルールＤＢと、前記脅威に対する対策候補が格納された対策ＤＢとを備え、前記環境要素ＤＢとＧＵＩとを使用して、ユーザに前記ＩＴ製品またはシステムのセキュリティ環境を定義させ、前記定義されたセキュリティ環境に基づいて、前記脅威ＤＢと脅威抽出ルールＤＢとから前記ＩＴ製品またはシステムにおいて想定される脅威を抽出し、前記脅威の抽出結果をユーザに提示すると共に、前記ＩＴ製品またはシステムで考慮する脅威としての採用の有無をユーザに選択させ、前記脅威の選択結果に基づいて、前記対策ＤＢから対策候補を抽出し、前記対策候補の抽出結果をユーザに提示すると共に、前記対策候補の中から前記ＩＴ製品またはシステムで実施する対策をユーザに選択させることを特徴とするセキュリティ設計支援方法。
2. 前記環境要素ＤＢには、環境要素として、前記ＩＴ製品またはシステムで保護すべき情報資産及びこの属性の雛型、前記ＩＴ製品またはシステムが稼動する物理的環境及びこの属性の雛型、前記ＩＴ製品またはシステムのネットワーク環境及びこの属性の雛型、前記情報資産にアクセスし得るアクセスエージェント及びこの属性の雛型、前記ＩＴ製品またはシステムを構成する前提ハードウェア及びこの属性の雛型、前記ＩＴ製品またはシステムを構成する前提ソフトウェア及びこの属性の雛型が格納されていることを特徴とする請求項１記載のセキュリティ設計支援方法。
3. 前記ユーザによるセキュリティ環境の定義のために、前記環境要素ＤＢから前記環境要素を読み出す処理、ＧＵＩを使用して前記環境要素を配置する処理、前記環境要素の属性値を設定する処理、前記保護すべき情報資産と前記アクセスエージェントとのアクセスルールを設定する処理、前記前提ハードウェアと前記アクセスエージェント、前記物理的環境、前記ネットワーク環境とを関連付ける処理、前記前提ソフトウェアと前記ハードウェアとを関連付ける処理、前記保護すべき情報資産のデータフローと経路上の環境要素とを関連付ける処理を有することを特徴とする請求項１記載のセキュリティ設計支援方法。
4. 前記環境要素ＤＢに対して環境要素を登録・編集し、前記脅威ＤＢに対して、脅威を登録・編集し、前記脅威抽出ルールＤＢに対して、脅威を抽出するためのルールを登録・編集し、前記対策ＤＢに対して、脅威に対する対策候補を登録・編集することを特徴とする請求項１記載のセキュリティ設計支援方法。
5. ＩＴ製品またはシステムに対するセキュリティ設計を支援するセキュリティ設計支援装置において、前記ＩＴ製品またはシステムのセキュリティ環境の構成要素が格納された環境要素ＤＢと、脅威が格納された脅威ＤＢと、前記セキュリティ環境から脅威を抽出するルールが記述された脅威抽出ルールＤＢと、前記脅威に対する対策候補が格納された対策ＤＢと、前記環境要素ＤＢとＧＵＩとを使用して、ユーザに前記ＩＴ製品またはシステムのセキュリティ環境を定義させる手段と、前記定義されたセキュリティ環境に基づいて、前記脅威ＤＢと脅威抽出ルールＤＢとから前記ＩＴ製品またはシステムにおいて想定される脅威を抽出する手段と、前記脅威の抽出結果をユーザに提示すると共に、前記ＩＴ製品またはシステムで考慮する脅威としての採用の有無をユーザに選択させる手段と、前記脅威の選択結果に基づいて、前記対策ＤＢから対策候補を抽出する手段と、前記対策候補の抽出結果をユーザに提示すると共に、前記対策候補の中から前記ＩＴ製品またはシステムで実施する対策をユーザに選択させる手段とを備えたことを特徴とするセキュリティ設計支援装置。

Images