JP2008287496A - セキュリティ設計・評価支援システム、装置及びプログラム - Google Patents

Abstract

【課題】 設計者にとってはＳＴの論理的な一貫性を容易に保持でき、評価者にとってはＳＴの理解及び解析に要する時間を短縮する。
【解決手段】 ＩＳＯ／ＩＥＣ１５４０８に準拠したセキュリティターゲット情報Ｆ４を設計する前に、当該セキュリティターゲット情報に含まれる、脅威、セキュリティ対策方針及びＴＯＥセキュリティ機能という３つの情報の対応関係を示した図面情報を含むセキュリティシナリオ情報Ｆ１を作成し、このセキュリティシナリオ情報に対する評価を予めＳＴ設計前に受ける構成により、設計者にとってはＳＴの論理的な一貫性を容易に保持でき、評価者にとってはＳＴの理解及び解析に要する時間を短縮することができる。
【選択図】 図２

Description

本発明は、ＩＴ製品のセキュリティ機能を保証する国際規格であるセキュリティ国際標準（ＩＳＯ／ＩＥＣ１５４０８）の評価認証におけるセキュリティターゲット（ＳＴ）の設計と評価を支援するためのセキュリティ設計・評価支援システム、装置及びプログラムに関する。

ＩＴ製品のセキュリティ機能を保証する国際規格としてセキュリティ国際標準（ＩＳＯ／ＩＥＣ１５４０８）がある。このセキュリティ国際標準（ＩＳＯ／ＩＥＣ１５４０８）においては、ＩＴ製品のセキュリティ基本仕様となるセキュリティターゲット（以下、ＳＴともいう）を始めとして、機能設計、詳細設計などのセキュリティ設計と評価が課せられている。

ここで、設計者は、脅威や対策方針を予見して適切なセキュリティ機能要件を設定し、これらの脅威、対策方針及びセキュリティ機能要件を文書化し、また、対策方針やセキュリティ機能要件の根拠を文書化してＳＴを作成し、得られたＳＴを評価者に送る。

評価者は、ＳＴを受けると、ＳＴを読んで対象製品のセキュリティ機能を理解し、例えば、設計者が予見した脅威や対策方針に対して、セキュリティ機能要件が適切か、セキュリティ機能要件の記述内容が正しいか、根拠を含めて文書に一貫性があるか、ということを解析して評価する。

このとき、評価者は、設計者との間でＳＴの理解・解釈が大きく異ならないように、設計者に何回か質問やコメントを送り、それに対する回答を参照しながら解析を行う。

このようなセキュリティ設計と評価は、膨大な作業工数がかかるため、効率化を図る必要がある。ここで、セキュリティ設計の効率化を図る技術として、過去のＳＴ作成事例を再利用又は参照する方式が開示されている（例えば、特許文献１参照。）。
特開２００１−２２２２４０号公報

しかしながら、特許文献１記載の技術は、過去のＳＴ作成事例を再利用又は参照する方式であるので、ＳＴを作成する設計者には効率化が図られるが、作成されたＳＴを理解及び解析する評価者にとっては効率化が図られていない。

このため、評価者においては、依然として、ＳＴ文書の理解・解析に多大な時間を要することに変わりはない。また、設計者にとっても、評価者の指摘事項を受け、修正するＳＴの論理的な一貫性を保つことは難しい。

本発明は上記実情を考慮してなされたもので、設計者にとってはＳＴの論理的な一貫性を容易に保持でき、評価者にとってはＳＴの理解及び解析に要する時間を短縮し得るセキュリティ設計・評価支援システム、装置及びプログラムを提供することを目的とする。

第１の発明は、ＩＳＯ／ＩＥＣ１５４０８に準拠したセキュリティターゲット情報の設計を支援するための設計者用端末と、前記セキュリティターゲット情報の評価を支援するための評価者用端末と、前記各端末からアクセス可能なデータベース部を有するサーバ装置とを備えたセキュリティ設計・評価支援システムであって、前記設計者用端末としては、設計者の操作により、前記セキュリティターゲット情報に含まれる、脅威、セキュリティ対策方針及びＴＯＥセキュリティ機能という３つの情報の対応関係を示した図面情報と、当該セキュリティターゲット情報に含まれる前記３つの情報以外の文書情報とからなるセキュリティシナリオ情報を作成するセキュリティシナリオ作成手段と、前記設計者の操作により、前記セキュリティシナリオ情報を前記サーバ装置のデータベース部に書込む手段と、前記データベース部内の最新のセキュリティシナリオ情報に対する確認依頼を前記評価者用端末に送信する手段と、前記評価者用端末から受けたセキュリティシナリオ確認終了通知を表示する確認終了通知表示手段と、前記設計者の操作によって前記データベース部内の最新のセキュリティシナリオ情報が入力されると、このセキュリティシナリオ情報に含まれる前記図面情報及び文書情報を並べ替えてセキュリティターゲット情報を生成するセキュリティターゲット生成手段と、前記設計者の操作により、前記生成したセキュリティターゲット情報を前記サーバ装置のデータベース部に書込む手段と、前記データベース部内の最新のセキュリティターゲット情報に対する評価依頼を前記評価者用端末に送信する手段と、前記評価者用端末から受けたセキュリティターゲット評価終了通知を表示する評価終了通知表示手段と、前記設計者の操作により、評価済みのセキュリティターゲット情報を前記サーバ装置のデータベース部に書き込む手段とを備えており、前記評価者用端末としては、前記設計者用端末から受けた確認依頼を表示する確認依頼表示手段と、評価者の操作により、前記データベース部内の最新のセキュリティシナリオ情報を表示するセキュリティシナリオ表示手段と、前記評価者の操作により、セキュリティシナリオ確認終了通知を前記設計者用端末に送信する手段と、前記設計者用端末から受けた評価依頼を表示する評価依頼表示手段と、前記評価者の操作により、前記データベース部内の最新のセキュリティターゲット情報を表示するセキュリティターゲット表示手段と、前記評価者の操作により、セキュリティターゲット評価終了通知を前記設計者用端末に送信する手段と、を備えたセキュリティ設計・評価支援システムである。

なお、第１の発明は、各装置の集合体を「システム」として表現したが、これに限らず、各装置の集合体又は各装置を「装置」、「プログラム」、「プログラムを記憶したコンピュータ読み取り可能な記憶媒体」又は「方法」として表現することができる。

（作用）
第１の発明では、ＩＳＯ／ＩＥＣ１５４０８に準拠したセキュリティターゲット情報を設計する前に、当該セキュリティターゲット情報に含まれる、脅威、セキュリティ対策方針及びＴＯＥセキュリティ機能という３つの情報の対応関係を示した図面情報を含むセキュリティシナリオ情報を作成し、このセキュリティシナリオ情報に対する評価を予めＳＴ設計前に受ける構成により、設計者にとってはＳＴの論理的な一貫性を容易に保持でき、評価者にとってはＳＴの理解及び解析に要する時間を短縮することができる。

以上説明したように本発明によれば、設計者にとってはＳＴの論理的な一貫性を容易に保持でき、評価者にとってはＳＴの理解及び解析に要する時間を短縮できる。

以下、本発明の各実施形態について図面を用いて説明する。なお、以下の各装置は、装置毎に、ハードウェア構成、又はハードウェア資源とソフトウェアとの組合せ構成のいずれでも実施可能となっている。組合せ構成のソフトウェアとしては、予めネットワーク又は記憶媒体から対応する装置のコンピュータにインストールされ、対応する装置の機能を実現させるためのプログラムが用いられる。

（第１の実施形態）
図１及び図２は本発明の第１の実施形態に係るセキュリティ設計・評価支援システムの構成を示す模式図であり、図３乃至図６は同システムに適用される各種の情報の関係を示す模式図である。

このセキュリティ設計・評価支援システムは、設計者側組織における設計者側ネットワーク１が組織外ネットワーク２を介して評価者側組織における評価者側ネットワーク３に接続されている。設計者側ネットワーク１には、ＤＢ(database)サーバ装置１０、設計者用端末２０、システム管理者用端末４０及びプリンタ装置５０が接続されている。評価者側ネットワーク３には、評価者用端末６０及びプリンタ装置８０が接続されている。

ここで、ＤＢサーバ装置１０は、ＣＣ／ＣＥＭ記憶部１１、データベース部１２、通信部１３、識別認証部１４、アクセス制御部１５及び履歴管理部１６を備えている。

ＣＣ／ＣＥＭ記憶部１１は、アクセス制御部１５に読出／書込制御され、ＩＳＯ／ＩＥＣ１５４０８のコモンクライテリアＣＣ及び共通評価方法ＣＥＭの文書情報が記憶されている。

データベース部１２は、アクセス制御部１５に読出／書込制御され且つ履歴管理部１６により履歴管理され、各端末２０，４０からアクセスされる記憶装置であり、セキュリティシナリオ情報Ｆ１，Ｆ１ａ〜Ｆ１ｅ、コメント文書情報Ｆ２、返信付コメント情報Ｆ３、セキュリティターゲット（ＳＴ）情報Ｆ４、指摘事項付ＳＴ情報Ｆ５、所見報告書情報Ｆ６、セキュリティシナリオ確認通知Ｍ１及びＳＴ評価終了通知Ｍ２が時系列に沿って記憶される。

ここで、各情報Ｆ１〜Ｆ６，Ｍ１，Ｍ２は、図３及び図４に示すような関係がある。
セキュリティシナリオ情報Ｆ１は、ファイル名、バージョン情報及び文書データからなる電子ファイルであり、設計者の操作により、シナリオ作成部２３からファイル名、バージョン情報及び文書データが入力されて作成される。

概略的には、セキュリティシナリオ情報Ｆ１は、ＳＴ評価に必要なセキュリティ課題、対策方針、ＴＯＥセキュリティ機能の対応関係を示した図面情報とＴＯＥ（評価対象）の利用環境、保護資産、ＴＯＥ記述、ＴＯＥ物理構成およびＴＯＥ論理構成、ＴＯＥ自体の保護に関する要約仕様を記述したデータ、評価保証レベル（ＥＡＬ）、適合するＰＰ（Protection Profile）やＣＣ（情報技術セキュリティ評価のためのコモンクライテリア）などの文書データを含む電子ファイルである。

詳しくは、セキュリティシナリオ情報Ｆ１は、図５の左側及び図６に示すように、課題・対策方針・機能の対応図i1ss、課題i1.1ss、対策方針i1.2ss、機能i1.3ss、評価対象（ＴＯＥ）の利用環境i2ss、保護資産i3ss、評価対象（ＴＯＥ）の記述i4ss、ＴＯＥ概要i4.1ss、ＴＯＥ関係者i4.2ss、ＳＴ名称・ＳＴバージョン・ＳＴ作成者i4.3ss、評価対象（ＴＯＥ）の論理構成i5ss、評価対象（ＴＯＥ）の物理構成i6ss、セキュリティ機能要件（ＳＥＲ）i7ss、評価保証レベル（ＥＡＬ）i8ss、プロテクションプロファイル（ＰＰ）の情報i9ss、ＰＰ主張i9.1ss、ＰＰ根拠i9.2ss、共通基準（ＣＣ）の情報i10ssの各項目に沿って記述された文書データを含む電子ファイルである。

ここで、セキュリティ機能要件（ＳＦＲ）i7ssは、対策方針i1.2ssとＴＯＥセキュリティ機能i1.3ssとの間に位置づけされる情報であり、対応図i1ssに基づいて、設計者の操作により、コモンクライテリアＣＣパート２から選択されて記述される。補足すると、セキュリティ機能要件（ＳＦＲ）i7ssは、セキュリティターゲットＳＴにおけるＴＯＥセキュリティ機能要件i5.1stに相当する情報であり、具体的には、ＣＣパート２に規定された機能要件コンポーネント毎に、コンポーネント識別子、各コンポーネントのエレメントの［操作］に関する記述、対応する対策方針、対応するセキュリティ機能が記述される。このようなセキュリティ機能要件（ＳＦＲ）i7ssは、ＣＣパート２とリンク付けされ、後述するＳＴ生成部２６によるセキュリティターゲットＳＴの自動生成に用いられる。特に、セキュリティターゲットＳＴにおけるＴＯＥセキュリティ機能要件i5.1st及び各根拠i8.1st〜i8.3st（根拠の必要性の表と十分性の記述、依存性の表など）の自動生成に用いられる。

コメント付セキュリティシナリオ情報Ｆ１ａは、ファイル名、バージョン情報、文書データ及びコメント情報からなる電子ファイルであり、評価者の操作により、セキュリティシナリオ情報Ｆ１に対し、コメント追記部６３からコメント情報が追記されて作成される。

コメント文書情報Ｆ２は、ファイル名、バージョン情報及びコメント情報からなる電子ファイルであり、コメント文書生成部６５により、コメント付セキュリティシナリオ情報Ｆ１ａからコメント情報が抽出されて作成される。なお、コメント文書情報Ｆ２は、既存の文書フォーマットに成形され、読取専用で表示、印刷可能となっている。

修正したセキュリティシナリオ情報Ｆ１ｂは、ファイル名、バージョン情報、修正済み文書データ、チェック付コメント情報及び返信コメント情報からなる電子ファイルであり、設計者の操作により、コメント付セキュリティシナリオ情報Ｆ１ａに対し、シナリオ修正部２４から修正済み文書データ、チェック付コメント情報及び返信コメント情報が入力されて作成される。

返信付コメント情報Ｆ３は、ファイル名、バージョン情報、コメント情報及び返信コメント情報からなる電子ファイルであり、コメント文書生成部２５により、修正したセキュリティシナリオ情報Ｆ１ｂからチェック付コメント情報及び返信コメント情報が抽出され、且つチェック付コメント情報からコメント情報が抽出されて作成される。返信付コメント情報Ｆ３は、既存の文書フォーマットに成形され、読取専用で表示、印刷可能となっている。

修正済みセキュリティシナリオ情報Ｆ１ｃは、ファイル名、バージョン情報及び修正済み文書データからなる電子ファイルであり、コメント情報生成部２５により、修正したセキュリティシナリオ情報Ｆ１ｂからチェック付コメント情報及び返信コメント情報が削除されて作成される。

確認終了通知Ｍ１は、セキュリティシナリオ情報Ｆ１，Ｆ１ｃに対する確認終了を通知するメッセージ情報であり、評価者の操作により、通信部６１から設計者用端末２０に送信される。

確認済みセキュリティシナリオ情報Ｆ１ｄは、ファイル名、バージョン情報及び確認済み文書データからなる電子ファイルであり、確認終了通知Ｍ１を受けた時点での最新のセキュリティシナリオ情報Ｆ１ｃを意味している。

ＳＴ情報Ｆ４は、ファイル名、バージョン情報及び文書データからなる電子ファイルであり、ＳＴ生成部２６により、確認済みセキュリティシナリオ情報Ｆ１ｄ又は修正済みセキュリティシナリオ情報Ｆ１ｅに含まれる文書データ（図形情報及び文書情報）を図５に示すように並べ替えて生成される。

補足すると、ＳＴ情報Ｆ４は、図５の右側に示すように、ＳＴ概説i1st、ＳＴ識別・ＳＴ概要i1.1st、ＣＣ適合の主張i1.2st、ＥＡＬ適合i1.2.1st、ＴＯＥ記述i2st、ＴＯＥ概要・利用者役割i2.1st、ＴＯＥの論理的範囲i2.2st、ＴＯＥの物理的範囲i2.3st、ＴＯＥ資産i2.4st、ＴＯＥセキュリティ環境i3st、前提条件i3.1st、脅威i3.2st、組織のセキュリティ方針i3.3st、セキュリティ対策方針i4st、ＩＴセキュリティ要件i5st、ＴＯＥセキュリティ機能要件i5.1st、ＴＯＥセキュリティ保証要件i5.2st、ＴＯＥ要約仕様i6st、ＰＰ主張i7st、根拠i8st、セキュリティ対策方針根拠i8.1st、セキュリティ要件根拠i8.2st、ＴＯＥ要約仕様根拠i8.3st及びＰＰ根拠i8.4stの各項目に沿って記述された文書データを含む電子ファイルである。なお、各項目の詳細な仕様は、ＩＳＯ／ＩＥＣ１５４０８に定められている。また、ＳＴ情報Ｆ４は、既存の文書フォーマットに成形され、読取専用で表示、印刷可能となっている。

指摘事項付ＳＴ情報Ｆ５は、ファイル名、バージョン情報、文書データ、リンク情報（ブックマーク指定情報）及び指摘事項情報からなる電子ファイルであり、評価者の操作により、ＳＴ情報Ｆ４に対し、指摘事項追記部６７から指摘事項情報が追記されると共に、リンク付け部６８からリンク情報が付加されて作成される。

ＣＣ情報Ｆｃｃは、ファイル名、バージョン情報、文書データ及びブックマーク情報からなる電子ファイルであり、評価者の操作により、ＣＣ／ＣＥＭ文書記憶部１１内のＣＣの文書情報に対し、リンク付け部６８からブックマーク情報が付加されて作成される。

ＣＥＭ情報Ｆｃｅｍは、ファイル名、バージョン情報、文書データ及びブックマーク情報からなる電子ファイルであり、評価者の操作により、ＣＣ／ＣＥＭ記憶部１１内のＣＥＭの文書情報に対し、リンク付け部６８からブックマーク情報が付加されて作成される。

所見報告書情報Ｆ６は、ファイル名、バージョン情報及び指摘事項情報からなる電子ファイルであり、所見報告書生成部６９により、指摘事項付ＳＴ情報Ｆ５から指摘事項情報が抽出されて作成される。また、所見報告書情報Ｆ６は、既存の文書フォーマットに成形され、読取専用で表示、印刷可能となっている。

修正済みセキュリティシナリオ情報Ｆ１ｅは、ファイル名、バージョン情報及び修正済み文書データからなる電子ファイルであり、設計者の操作により、確認済みセキュリティシナリオ情報Ｆ１ｄの確認済み文書データをシナリオ修正部２４が修正済み文書データに修正して作成される。

ＳＴ評価終了通知Ｍ２は、ＳＴ情報Ｆ４に対する評価終了を通知するメッセージ情報であり、評価者の操作により、通信部６１から設計者用端末２０に送信される。

評価済みＳＴ情報Ｆ４ａは、ファイル名、バージョン情報及び評価済み文書データからなる電子ファイルであり、ＳＴ評価終了通知Ｍ２を受けた時点での最新のＳＴ情報Ｆ４を意味している。

通信部１３は、ＤＢサーバ装置１０内部と、各端末２０，６０との間の通信を実行するものである。

識別認証部１４は、設計者及び評価者の識別情報と認証情報が予め登録されており、設計者及び評価者の識別認証を実行する機能と、識別認証結果が正当性を示すとき、設計者又は評価者の識別情報をアクセス制御部１５に通知する機能とをもっている。

アクセス制御部１５は、予め設計者及び評価者の識別情報と、データベース部１２に対するアクセス権限と、ＣＣ／ＣＥＭ記憶部１１に対するアクセス権限とが設定されており、識別認証部１４から受けた識別情報に基づいて、アクセス制御を実行する機能をもっている。例えば、データベース部１２については、設計者及び評価者とも読出／書込権限があり、ＣＣ／ＣＥＭ記憶部１１については、評価者には読出／書込権限があり、設計者には読出権限のみあるというようにアクセス権限が設定されている。

履歴管理部１６は、アクセス制御部１５に制御され、設計者用端末２０又は評価者用端末６０から書き込まれる各情報Ｆ１〜Ｆ６及び各通知Ｍ１，Ｍ２に対し、書込時の日時情報及びバージョン情報を付加してデータベース部１２に書き込む履歴管理機能をもっている。

設計者用端末２０は、記憶部２１、通信部２２、シナリオ作成部２３、シナリオ修正部２４、コメント文書生成部２５、ＳＴ生成部２６、ＳＴ・所見報告書表示部２７、リンク表示部２８及びチェック済み指摘事項消去部２９を備えている。

記憶部２１は、各部２２〜２９から各種情報が読出／書込されるワークメモリであり、例えばセキュリティシナリオ情報Ｆ１，Ｆ１ａ〜Ｆ１ｅ、コメント文書情報Ｆ２、返信付コメント文書情報Ｆ３、ＳＴ情報Ｆ４、指摘事項付ＳＴ情報Ｆ５、所見報告書情報Ｆ６及び各通知Ｍ１，Ｍ２が一時的に記憶される。

通信部２２は、設計者の操作により、データベース部１２内の最新のセキュリティシナリオ情報Ｆ１又はＦ１ｃに対する確認依頼を評価者用端末６０に送信する機能と、データベース部１２内の最新のＳＴ情報Ｆ４に対する評価依頼を評価者用端末６０に送信する機能とをもっている。

シナリオ作成部２３は、設計者の操作により、セキュリティターゲット情報に含まれる、脅威i1.1ss、セキュリティ対策方針i1.2ss及びＴＯＥセキュリティ機能i1.3ssという３つの情報i1.1ss〜i1.3ssの対応関係を示した図面情報i1ssと、当該セキュリティターゲット情報に含まれる３つの情報以外の文書情報i2ss〜i10ssとからなるセキュリティシナリオ情報Ｆ１を作成する機能と、設計者の操作により、セキュリティシナリオ情報Ｆ１をＤＢサーバ装置１０のデータベース部１２に書込む機能とをもっている。

シナリオ修正部２４は、評価者用端末６０から受けたコメント文書情報Ｆ２を表示する機能と、コメント文書Ｆ２の表示中、設計者の操作により、最新のコメント付セキュリティシナリオ情報Ｆ１ａを修正する機能と、修正の際にコメント情報をチェックしてチェック付コメント情報にする機能と、コメントに対する修正を行わない場合にはその旨をコメント返信欄に返信コメント情報として追記し、コメントをチェックする機能と、評価者用端末６０から受けたセキュリティシナリオ確認終了通知Ｍ１を表示する機能と、指摘事項付ＳＴ情報Ｆ５の表示中、設計者の操作により、最新のセキュリティシナリオ情報Ｆ１ｄを修正して得られた修正済みセキュリティシナリオ情報Ｆ１ｅをＳＴ生成部２６に入力する機能とをもっている。

コメント文書生成部２５は、セキュリティシナリオ情報Ｆ１ａ内のコメント情報からなる返信付コメント文書情報Ｆ３を作成する機能をもっている。

ＳＴ生成部２６は、設計者の操作によってデータベース部１２内の最新のセキュリティシナリオ情報Ｆ１ｄが入力されると、図５に示すように、このセキュリティシナリオ情報Ｆ１ｄに含まれる図面情報i1ss及び文書情報i2ss〜i10ssを並べ替えて文書情報i1st〜i8stからなるＳＴ情報Ｆ４を生成する機能と、設計者の操作により、生成したＳＴ情報Ｆ４をＤＢサーバ装置１０のデータベース部１２に書込む機能とをもっている。なお、ＳＴ情報Ｆ４は、読取専用の既存の文書フォーマットで生成される。

ＳＴ・所見報告書表示部２７は、評価者の操作により、データベース部１２内の指摘事項付ＳＴ情報Ｆ５を表示する機能と、評価者用端末６０から受けた所見報告書情報Ｆ６を表示する機能と、評価者用端末６０から受けたＳＴ評価終了通知Ｍ２を表示する機能と、設計者の操作により、評価済みのセキュリティターゲット情報をＤＢサーバ装置１０のデータベース部１２に書き込む機能とをもっている。

リンク表示部２８は、指摘事項情報及びリンク情報（ブックマーク指定情報）が付加された指摘事項付ＳＴ情報Ｆ５の表示中、設計者の操作により、リンク情報の指定に応じてＣＣ／ＣＥＭ記憶部１１内のコモンクライテリアＣＣ又は共通評価方法ＣＥＭの文書情報を表示する機能をもっている。

チェック済み指摘事項消去部２９は、指摘事項を含む指摘事項付ＳＴ情報Ｆ５の表示中、設計者の操作により、指摘事項にチェック情報を付加する機能と、設計者の操作により、指摘事項付ＳＴ情報Ｆ５からチェック情報が付加された指摘事項を消去する機能とをもっている。

システム管理者用端末４０は、システム管理者により操作される端末であり、例えば、システム管理者の操作により、予め識別認証部１４に識別情報と認証情報とを登録する機能と、システム管理者の操作により、アクセス制御部１５に識別情報とアクセス権限とを設定する機能とをもっている。

プリンタ装置５０は、設計者用ネットワーク１に接続された通常のプリンタであり、設計者用端末２０又は管理者用端末４０から制御され、設計者用端末２０又は管理者用端末４０から送信された情報を印刷出力する機能をもっている。

評価者用端末６０は、記憶部６１、通信部６２、セキュリティシナリオ表示部６３、コメント追記部６４、コメント文書生成部６５、ＳＴ表示部６６、指摘事項追記部６７、リンク付け部６８及び所見報告書生成部６９を備えている。

記憶部６１は、各部６２〜６９から各種情報が読出／書込されるワークメモリであり、例えばセキュリティシナリオ情報Ｆ１，Ｆ１ａ，Ｆ１ｃ，Ｆ１ｅ、コメント文書情報Ｆ２、返信付コメント文書情報Ｆ３、ＳＴ情報Ｆ４、指摘事項付ＳＴ情報Ｆ５、所見報告書情報Ｆ６及び各通知Ｍ１，Ｍ２が一時的に記憶される。

通信部６２は、評価者の操作により、記憶部６１内のコメント付セキュリティシナリオ情報Ｆ１ａ及びコメント文書情報Ｆ２をデータベース部１２に書き込む機能と、評価者の操作により、記憶部６１内のコメント文書情報Ｆ２を設計者用端末２０に送信する機能と、評価者の操作により、記憶部６１内の指摘事項付ＳＴ情報Ｆ５及び所見報告書情報Ｆ６を設計者用端末２０に送信する機能とをもっている。

セキュリティシナリオ表示部６３は、設計者用端末２０から受けたセキュリティシナリオ情報Ｆ１，Ｆ１ｃに対する確認依頼を表示する機能と、評価者の操作により、データベース部１３内の最新のセキュリティシナリオ情報Ｆ１，Ｆ１ｃを表示する機能と、評価者の操作により、セキュリティシナリオ確認終了通知Ｍ１を設計者用端末２０に送信する機能とをもっている。

コメント追記部６４は、評価者の操作により、確認中のセキュリティシナリオ情報Ｆ１，Ｆ１ｃにコメント情報を追記し、コメント付セキュリティシナリオ情報Ｆ１ａを作成する機能をもっている。

コメント文書生成部６５は、コメント追記部６４により作成されたコメント付セキュリティシナリオ情報Ｆ１ａからコメント情報を抽出してなるコメント文書情報Ｆ２を生成する機能と、作成したコメント文書情報Ｆ２を記憶部６１に書き込む機能とをもっている。

ＳＴ表示部６６は、設計者用端末２０から受けたＳＴ評価依頼を表示する機能と、評価者の操作により、データベース部１２内の最新のＳＴ情報Ｆ４を表示する機能と、評価者の操作により、セキュリティターゲット評価終了通知Ｍ２を設計者用端末２０に送信する機能とをもっている。

指摘事項追記部６７は、評価者の操作により、評価中のＳＴ情報Ｆ４に指摘事項情報を追記し、指摘事項付ＳＴ情報Ｆ５を作成する機能と、指摘事項付ＳＴ情報Ｆ５を記憶部６１に書き込む機能とをもっている。

リンク付け部６８は、評価者の操作により、ＣＣ／ＣＥＭ記憶部１１内のコモンクライテリアＣＣ又は共通評価方法ＣＥＭの文書情報にブックマーク情報を付加し、ブックマーク情報を指定するリンク情報（ブックマーク指定情報）を指摘事項付ＳＴ情報Ｆ５内の指摘事項情報又は指摘事項情報近傍に付加することにより、当該指摘事項情報をコモンクライテリアＣＣ又は共通評価方法ＣＥＭの文書情報にリンク付けする機能をもっている。

所見報告書生成部６９は、指摘事項付ＳＴ情報Ｆ５内の指摘事項情報からなる所見報告書情報Ｆ６を作成する機能と、この所見報告書情報Ｆ６を記憶部６１に書き込む機能とをもっている。

プリンタ装置８０は、評価者用ネットワーク３に接続された通常のプリンタであり、評価者用端末６０から制御され、評価者用端末６０から送信された情報を印刷出力する機能をもっている。

次に、以上のように構成されたセキュリティ設計・評価支援システムの動作を図７乃至図１０のフローチャートを用いて説明する。始めに、本実施形態の前提となる設計・評価工程を図７に沿って説明し、続いて、本実施形態に係る設計・評価工程の概要を図８に沿って述べる。最後に、図８に述べた概要を図９及び図１０により詳細に説明する。なお、図７に示す前提となる工程は、公知技術ではなく、セキュリティシナリオ情報を用いる点で公知技術よりも優れているが、セキュリティシナリオ情報を事前に確認しない点と、設計者・評価者間がオフラインで書類を授受する点と、ＳＴ情報を自動生成しない点とで本実施形態よりも劣っているという位置付けにある。また、図７に示す工程は、図１に示すネットワーク構成とは異なり、設計者及び評価者が互いにネットワーク接続されていないパーソナルコンピュータ装置を用いて実行する。

（前提：図７）
設計者は、通常のパーソナルコンピュータ装置の操作により、１ヶ月程度でセキュリティシナリオを作成し（ｔ１）、続いて、セキュリティシナリオに基づき、２ヶ月程度でＳＴ情報を設計する（ｔ２）。なお、このパーソナルコンピュータ装置は、前述した設計者用端末２０とは異なる、通常のコンピュータ装置である。

しかる後、設計者は、例えば電子メールにより、セキュリティシナリオ及びＳＴ情報を評価者に送付し、ＳＴ評価を依頼する（ｔ３）。

評価者は、セキュリティシナリオ及びＳＴ情報を受取ると、１ヶ月程度でセキュリティシナリオを理解してＳＴ評価を行い（ｔ４，ｔ５）、質問・コメント及び指摘事項を記載した文書を電子メール等により設計者に提示する。

設計者は、指摘事項に沿ってＳＴ情報を修正し（ｔ６）、電子メールにより、修正後のＳＴ情報を評価者に送付する。

評価者は、修正後のＳＴ情報を評価し、必要により、再度、質問・コメント及び指摘事項を記載した文書を電子メール等により設計者に提示することにより、ＳＴ評価ｔ５及びＳＴ修正ｔ６が繰り返される。

評価者は、指摘事項が収束したと評価すると（ｔ７）、ＳＴ評価が完了し（ｔ８）、ＳＴ評価完了を設計者に通知する。なお、最初のＳＴ評価（ｔ５）からＳＴ評価完了（ｔ８）までは、通常、２ヶ月程度かかる。すなわち、セキュリティシナリオ作成開始（ｔ１）からＳＴ評価完了（ｔ９）までは、約５ヶ月かかる。

設計者は、この通知を受けると、最新のＳＴ情報を評価済みのＳＴ情報として確定する（ｔ９）。

（本実施形態の概要：図８）
設計者用端末２０は、設計者の操作により、１ヶ月程度でセキュリティシナリオ情報Ｆ１を作成し（ｔ１０）、セキュリティシナリオ情報Ｆ１の確認依頼を評価者用端末６０に送信する。

評価者用端末６０は、評価者の操作により、セキュリティシナリオ情報Ｆ１を確認し（ｔ２０）、コメント付セキュリティシナリオ情報Ｆ１ａ及びコメント文書情報Ｆ２を作成し、コメント文書情報Ｆ２を設計者用端末２０に送信する。

設計者用端末２０は、設計者の操作により、コメント付セキュリティシナリオ情報Ｆ１ａ及びコメント文書情報Ｆ２に基づいて、修正したセキュリティシナリオ情報Ｆ１ｂ及び返信付コメント文書情報Ｆ３を作成し、工程ｔ１０に戻って修正済みセキュリティシナリオ情報Ｆ１ｃについて評価者に確認を依頼する。

修正済みセキュリティシナリオ情報Ｆ１ｃに特に問題が無ければ、評価者用端末６０は、評価者の操作により、確認終了通知Ｍ１を設計者用端末２０に送信する。

設計者用端末２０は、確認終了通知Ｍ１を受けると、確認済みセキュリティシナリオ情報Ｆ１ｄからＳＴ情報Ｆ４を生成し（ｔ４０）、ＳＴ評価依頼を評価者用端末６０に送信する。

評価者用端末６０は、ＳＴ評価依頼に基づいて、評価者の操作により、ＳＴ評価を開始する（ｔ５０）。なお、最初のセキュリティシナリオ確認（ｔ２０）からＳＴ評価の開始（ｔ５０）までは、１ヶ月程度かかる。

ＳＴ評価の結果、指摘事項があれば（ｔ６０：ＹＥＳ）、評価者用端末６０は、評価者の操作により、ＳＴ情報Ｆ４に指摘事項を追記して（ｔ７０）、指摘事項付ＳＴ情報Ｆ５及び指摘事項情報を抽出した所見報告書情報Ｆ６を作成し、指摘事項を設計者用端末２０に提示する。

設計者用端末２０は、設計者の操作により、指摘事項付ＳＴ情報Ｆ５及び所見報告書情報Ｆ６を表示し、指摘事項に沿って、確認済みセキュリティシナリオ情報Ｆ１ｄを修正して（ｔ８０）、得られた修正済みセキュリティシナリオ情報Ｆ１ｅから新たなＳＴ情報Ｆ４を生成し（ｔ４０）、再度、ＳＴ評価依頼を評価者用端末６０に送信して前述した工程ｔ５０〜ｔ７０を繰り返す。

一方、ＳＴ評価を開始し（ｔ５０）、指摘事項が無ければ（ｔ６０：ＮＯ）、評価者用端末６０は、評価者の操作により、ＳＴ評価を完了し（ｔ９０）、ＳＴ情報Ｆ４に対する評価終了通知Ｍ２を設計者用端末２０に送信する。なお、最初のＳＴ評価の開始（ｔ５０）からＳＴ評価完了（ｔ９０）までは、１ヶ月程度で済む。これは、予めセキュリティシナリオ情報Ｆ１を確認済みのため、ＳＴ情報Ｆ４に大幅な修正が生じないからである。また、セキュリティシナリオ作成開始（ｔ１０）からＳＴ評価完了（ｔ９０）までは、約３ヶ月かかる。

設計者用端末２０は、ＳＴ情報Ｆ４に対する評価終了通知Ｍ２を受けると、最新のＳＴ情報Ｆ４を評価済みのＳＴ情報Ｆ４として確定する（ｔ１００）。

（本実施形態の詳細：図９及び図１０）
設計者端末２０においては、設計者の操作により、シナリオ作成部２３がセキュリティシナリオ情報Ｆ１を作成し、セキュリティシナリオ情報Ｆ１をＤＢサーバ装置１０のデータベース部１２に書き込む（ｔ１１）。このとき、ＤＢサーバ装置１０の履歴管理部１６は、この書込日時及びバージョン情報をセキュリティシナリオ情報Ｆ１に付加してデータベース部１２に保存する。

しかる後、設計者端末２０においては、設計者の操作により、通信部２２が、データベース部１２内の最新のセキュリティシナリオ情報Ｆ１に対する確認依頼を評価者用端末６０に送信する（ｔ１２）。

評価者用端末６０においては、確認依頼を受信すると（ｔ２１）、評価者の操作により、セキュリティシナリオ表示部６３が確認依頼を表示する機能と、評価者の操作により、データベース部１２内の最新のセキュリティシナリオ情報Ｆ１を表示する。

評価者用端末６０は、評価者の操作により、セキュリティシナリオ情報Ｆ１を確認し（ｔ２２）、指摘事項があれば（ｔ２３：ＹＥＳ）、コメント追記部６４が確認中のセキュリティシナリオ情報Ｆ１にコメント情報を追記し（ｔ２５）、コメント付セキュリティシナリオ情報Ｆ１ａを作成する。また、コメント文書生成部６５がコメント付セキュリティシナリオ情報Ｆ１ａからコメント情報を抽出してなるコメント文書情報Ｆ２を生成する（ｔ２５）。

評価者用端末６０においては、評価者の操作により、通信部６１がコメント付セキュリティシナリオ情報Ｆ１ａ及びコメント文書情報Ｆ２をデータベース部１２に書き込む。このとき、ＤＢサーバ装置１０の履歴管理部１６は、この書込日時及びバージョン情報をセキュリティシナリオ情報Ｆ１ａ及びコメント文書情報Ｆ２に付加してデータベース部１２に保存する。

また、評価者用端末６０においては、評価者の操作により、通信部６１がコメント文書情報Ｆ２を設計者用端末２０に送信する（ｔ２６）。

設計者用端末２０は、コメント文書情報Ｆ２を受信すると（ｔ３１）、設計者の操作により、シナリオ修正部２５が、データベース部１２内のコメント付セキュリティシナリオ情報Ｆ１ａ及び受信したコメント文書情報Ｆ２に基づいて、コメント付セキュリティシナリオ情報Ｆ１ａに対してコメント情報のチェックや返信コメント情報の追記を行う（ｔ３２）。

これにより、設計者用端末２０は、修正済みセキュリティシナリオ情報Ｆ１ｃ及び返信付コメント文書情報Ｆ３を作成し（ｔ３３）、修正済みセキュリティシナリオ情報Ｆ１ｃ及び返信付コメント文書情報Ｆ３をＤＢサーバ装置１０のデータベース部１２に書き込む。このとき、ＤＢサーバ装置１０の履歴管理部１６は、この書込日時及びバージョン情報を修正済みセキュリティシナリオ情報Ｆ１ｃ及び返信付コメント文書情報Ｆ３に付加してデータベース部１２に保存する。

しかる後、設計者用端末２０は、設計者の操作により、工程ｔ１２に戻って修正済みセキュリティシナリオ情報Ｆ１ｃについて評価者用端末６０に確認依頼を送信する。

評価者用端末６０においては、セキュリティシナリオ表示部６３が修正済みセキュリティシナリオ情報Ｆ１ｃを表示し、修正済みセキュリティシナリオ情報Ｆ１ｃについて特に指摘事項が無ければ（ｔ２３）、評価者の操作により、確認終了通知Ｍ１を設計者用端末２０に送信する（ｔ２７）。

設計者用端末２０は、確認終了通知Ｍ１を受けると（ｔ３４）、修正済みセキュリティシナリオ情報Ｆ１ｃを確認済みセキュリティシナリオ情報Ｆ１ｄとしてデータベース部１２に書き込む（ｔ３５）。このとき、ＤＢサーバ装置１０の履歴管理部１６は、この書込日時及びバージョン情報を確認済みセキュリティシナリオ情報Ｆ１ｄに付加してデータベース部１２に保存する。

設計者用端末２０においては、設計者の操作によってデータベース部１２内の最新のセキュリティシナリオ情報Ｆ１ｄをＳＴ生成部２６に入力する（ｔ４１）。

ＳＴ生成部２６は、図５に示すように、このセキュリティシナリオ情報Ｆ１ｄに含まれる図面情報i1ss及び文書情報i2ss〜i10ssを並べ替えて文書情報i1st〜i8stからなるＳＴ情報Ｆ４を生成する機能と、設計者の操作により、生成したＳＴ情報Ｆ４をＤＢサーバ装置１０のデータベース部１２に書込む（ｔ４２）。このとき、ＤＢサーバ装置１０の履歴管理部１６は、この書込日時及びバージョン情報をＳＴ情報Ｆ４に付加してデータベース部１２に保存する。

しかる後、設計者用端末２０においては、設計者の操作により、ＳＴ評価依頼を評価者用端末６０に送信する（ｔ４３）。

評価者用端末６０は、ＳＴ評価依頼を受信すると（ｔ５１）、ＳＴ表示部６６がＳＴ評価依頼を表示し、評価者の操作により、データベース部１２内の最新のＳＴ情報Ｆ４を表示し、評価者の操作により、ＳＴ評価を開始する（ｔ５２）。

ＳＴ評価の結果、指摘事項があれば（ｔ６０：ＹＥＳ）、評価者用端末６０は、評価者の操作により、指摘事項追記部６７がＳＴ情報Ｆ４に指摘事項を追記して指摘事項付ＳＴ情報Ｆ５を作成し、所見報告書生成部６９が指摘事項情報を抽出した所見報告書情報Ｆ６を作成する（ｔ７１）。

また、リンク付け部６８は、評価者の操作により、ＣＣ／ＣＥＭ記憶部１１内のコモンクライテリアＣＣ又は共通評価方法ＣＥＭの文書情報にブックマーク情報を付加し、ブックマーク情報を指定するリンク情報を指摘事項付ＳＴ情報Ｆ５内の指摘事項情報又は指摘事項情報近傍に付加することにより、当該指摘事項情報をコモンクライテリアＣＣ又は共通評価方法ＣＥＭの文書情報にリンク付けする（ｔ７２）。

しかる後、評価者用端末６０は、評価者の操作により、指摘事項付ＳＴ情報Ｆ５及び所見報告書情報Ｆ６をデータベース部１２に書き込む。なお、ＤＢサーバ装置１０の履歴管理部１６は、この書込日時及びバージョン情報を指摘事項付ＳＴ情報Ｆ５及び所見報告書情報Ｆ６に付加してデータベース部１２に保存する。

また、評価者用端末６０は、評価者の操作により、所見報告書情報Ｆ６を設計者用端末２０に送信する（ｔ７３）。

設計者用端末２０においては、所見報告書情報Ｆ６を受信すると（ｔ８１）、設計者の操作により、ＳＴ・所見報告書表示部２７が指摘事項付ＳＴ情報Ｆ５及び所見報告書情報Ｆ６を表示し、シナリオ修正部２４が指摘事項に沿って確認済みセキュリティシナリオ情報Ｆ１ｄを修正して（ｔ８２）、得られた修正済みセキュリティシナリオ情報Ｆ１ｅからＳＴ生成部２６が新たなＳＴ情報Ｆ４を生成し（ｔ４２）、再度、ＳＴ評価依頼を評価者用端末６０に送信して前述した工程ｔ５１〜ｔ７３を繰り返す。

一方、ＳＴ評価を開始し（ｔ５２）、指摘事項が無ければ（ｔ６０：ＮＯ）、評価者用端末６０は、評価者の操作により、ＳＴ評価を完了し、ＳＴ情報Ｆ４に対する評価終了通知Ｍ２を設計者用端末２０に送信する（ｔ９０）。

設計者用端末２０は、ＳＴ情報Ｆ４に対する評価終了通知Ｍ２を受けると（ｔ１０１）、最新のＳＴ情報Ｆ４を評価済みのＳＴ情報Ｆ４ａとしてデータベース部１２に書き込む（ｔ１０２）。ＤＢサーバ装置１０の履歴管理部１６は、この書込日時及びバージョン情報を評価済みのＳＴ情報Ｆ４ａに付加してデータベース部１２に保存する。

上述したように本実施形態によれば、ＩＳＯ／ＩＥＣ１５４０８に準拠したセキュリティターゲット情報を設計する前に、当該セキュリティターゲット情報に含まれる、脅威、セキュリティ対策方針及びＴＯＥセキュリティ機能という３つの情報の対応関係を示した図面情報を含むセキュリティシナリオ情報を作成し、このセキュリティシナリオ情報に対する評価を予めＳＴ設計前に受ける構成により、設計者にとってはＳＴの論理的な一貫性を容易に保持でき、評価者にとってはＳＴの理解及び解析に要する時間を短縮することができる。

補足すると、ＩＳＯ／ＩＥＣ１５４０８評価におけるＳＴ評価を行うにあたって、脅威と対策方針とセキュリティ機能との３つの対応関係を示した図面情報により、評価者にとって早い段階でＳＴの理解を深め、設計者にとって評価の指摘事項を受け修正するＳＴの一貫性を保ち、ＳＴ設計と評価を効率的に進めることができる。

すなわち、設計者と評価者の作業負担を軽減し、効率的にセキュリティ設計と評価を進めるためにはどのような手順で、何を自動化、効率化すればよいかという課題を解決することができる。

また、ＳＴ評価の前に、評価者に評価対象（ＴＯＥ）の特徴やセキュリティ設計の骨子を述べたセキュリティシナリオを事前に確認することで、評価者のＳＴ骨子に対する理解を助け、設計者の手戻りを少なくするという効果がある。

具体的な１つめの効果として、図７に示した前提方式ではセキュリティシナリオ策定からＳＴ設計評価完了まで約５ヶ月を要していたが、本実施形態方式では図８に示すように３ヶ月程度が見込まれコスト削減が期待できる。

２つめの効果として、セキュリティシナリオ、ＳＴ、コメント文書、所見報告書をシステムで一元管理することにより、更新履歴やバージョン管理が容易になり、データの可用性が保たれる。

３つめの効果として、設計者、評価者間で合意が取れたセキュリティシナリオからＳＴを自動生成することにより、設計者がＳＴ文書を直接編集しないので、ＳＴの一貫性を保つことができる。

ＩＳＯ／ＩＥＣ１５４０８のＩＴセキュリティ評価におけるＳＴ設計と評価を支援するシステム及び装置である。ＳＴ評価を完成したＳＴだけで行うのではなく、ＳＴ設計者がＴＯＥのセキュリティ骨子となる情報（セキュリティシナリオ）を作成した段階で、ＳＴ事前評価を行い、セキュリティシナリオからＳＴを自動生成し、ＳＴ評価を行うという3ステップでＳＴ設計と評価を行うことで、評価者の理解を助け、設計者の手戻りを削減し、ＳＴ設計及び評価を効率的に行う。

（第２の実施形態）
図１１は本発明の第２の実施形態に係るセキュリティ設計・評価支援システムの構成を示す模式図であり、図２と同一部分には同一符号を付してその詳しい説明を省略し、ここでは異なる部分について主に述べる。なお、以下の各実施形態も同様にして重複した説明を省略する。

すなわち、本実施形態は、送受信情報および保存情報を暗号化することにより、情報の機密性を保つものであり、具体的にはＤＢサーバ装置１０に付加された暗号化／復号部１７と、設計者用端末２０に付加された暗号化／復号部３０と、評価者用端末６０に付加された暗号化／復号部７０とを備えている。

ここで、暗号化／復号部１７は、設計者用端末２０又は評価者用端末６０から受信した暗号化された情報を復号する機能と、復号した情報を暗号化してデータベース部１２に保存する機能とをもっている。

暗号化／復号部３０は、ＤＢサーバ装置１０又は評価者用端末６０から通信部２２により受信した暗号化された情報を復号する機能と、送信対象の情報を暗号化して通信部２２を介して送信する機能とをもっている。

暗号化／復号部７０は、ＤＢサーバ装置１０又は設計者用端末２０から通信部６２により受信した暗号化された情報を復号する機能と、送信対象の情報を暗号化して通信部６２を介して送信する機能とをもっている。

ここで、各暗号化／復号部１７，３０，７０としては、共通鍵あるいは公開鍵のいずれのアルゴリズムを用いてもよく、暗号鍵の生成および配布、保存は一般的なソフトウェア実装方法を用いて実現可能となっている。

以上のような構成によれば、図１２及び図１３に示すように、第１の実施形態における各ステップの処理を行う際に、各種の情報Ｆ１〜Ｆ６や通知Ｍ１，Ｍ２の送受信時、およびＤＢサーバ装置１０への保存時に暗号化し、情報の表示、作成・修正時に復号することができる。

このように、ネットワーク１〜３上及びデータベース部１２内の情報が暗号化されることにより、セキュリティシナリオ情報Ｆ１やＳＴ情報Ｆ４、所見報告書Ｆ６等といった設計資料、評価資料の機密性を保つことができる。

（第３の実施形態）
図１４は本発明の第３の実施形態に係るセキュリティ設計・評価支援システムの構成を示す模式図である。

本実施形態は、第１の実施形態の変形例であり、送受信情報にメッセージ認証子ＭＡＣ（massage authentication code）と設計者および評価者の電子署名を付けることにより、情報の完全性を保つものであり、具体的にはＤＢサーバ装置１０に付加された署名生成／検証部１８と、設計者用端末２０に付加された署名生成／検証部３１と、評価者用端末６０に付加された署名生成／検証部７１とを備えている。

ここで、署名生成／検証部１８は、設計者用端末２０又は評価者用端末６０から受信した署名付情報の電子署名及びＭＡＣを検証する機能と、検証した署名付情報をデータベース部１２に保存する機能とをもっている。

署名生成／検証部３１は、ＤＢサーバ装置１０又は評価者用端末６０から通信部２２により受信した署名付情報の電子署名及びＭＡＣを検証する機能と、送信対象の情報にＭＡＣ及び電子署名を付加して得られた署名付情報を通信部２２により送信する機能とをもっている。

署名生成／検証部７１は、ＤＢサーバ装置１０又は設計者用端末２０から通信部６２により受信した署名付情報の電子署名及びＭＡＣを検証する機能と、送信対象の情報にＭＡＣ及び電子署名を付加して得られた署名付情報を通信部６２により送信する機能とをもっている。

ここで、各署名生成／検証部１８，３１，７１は、信頼できるＣＡから発行された公開鍵証明書や一般的なＰＫＩシステムを利用して署名を生成／検証可能となっている。

以上のような構成によれば、図１５及び図１６に示すように、第１の実施形態における各ステップの処理を行う際に、各種の情報Ｆ１〜Ｆ６や通知Ｍ１，Ｍ２の送受信時、およびＤＢサーバ装置１０への保存時に署名生成及び検証を実行し、データが改ざんされていないことが確認できる（メッセージ認証）ため、セキュリティシナリオ情報Ｆ１やＳＴ情報Ｆ４、所見報告書Ｆ６等といった設計資料、評価資料の完全性を保つことができる。

また、第２及び第３の実施形態は互いに組み合わせて実施することもできる。すなわち、図１に示した構成に対し、ＤＢサーバ装置１０に付加された暗号化／復号部１７及び署名生成／検証部１８と、設計者用端末２０に付加された暗号化／復号部３０及び署名生成／検証部３１と、評価者用端末６０に付加された暗号化／復号部７０及び署名生成／検証部７１とを備えた構成を実施してもよい。このような構成としても、第２及び第３の実施形態の作用効果を同時に得ることができる。

なお、上記実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。

また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。

また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が上記実施形態を実現するための各処理の一部を実行しても良い。

さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。

また、記憶媒体は１つに限らず、複数の媒体から上記実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。

尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、上記実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。

また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。

なお、本願発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。更に、異なる実施形態に亘る構成要素を適宜組合せてもよい。

本発明の第１の実施形態に係るセキュリティ設計・評価支援システムの構成を示す模式図である。 同実施形態におけるセキュリティ設計・評価支援システムの構成を示す模式図である。 同実施形態における各種の情報の関係を示す模式図である。 同実施形態における各種の情報の関係を示す模式図である。 同実施形態におけるセキュリティシナリオ情報とＳＴ情報との関係を示す模式図である。 同実施形態におけるセキュリティシナリオ情報の一部を示す模式図である。 同実施形態における前提となる動作を説明するためのフローチャートである。 同実施形態における概略動作を説明するためのフローチャートである。 同実施形態における詳細動作を説明するためのフローチャートである。 同実施形態における詳細動作を説明するためのフローチャートである。 本発明の第２の実施形態に係るセキュリティ設計・評価支援システムの構成を示す模式図である。 同実施形態における詳細動作を説明するためのフローチャートである。 同実施形態における詳細動作を説明するためのフローチャートである。 本発明の第３の実施形態に係るセキュリティ設計・評価支援システムの構成を示す模式図である。 同実施形態における詳細動作を説明するためのフローチャートである。 同実施形態における詳細動作を説明するためのフローチャートである。

符号の説明

１…設計者側ネットワーク、２…組織外ネットワーク、３…評価者側ネットワーク、１０…ＤＢサーバ装置、１１…ＣＣ／ＣＥＭ記憶部、１２…データベース部、１３…通信部、１４…識別認証部、１５…アクセス制御部、１６…履歴管理部、１７，３０，７０…暗号化／復号部、１８，３１，７１…署名生成／検証部、２０…設計者用端末、２１，６１…記憶部、２２，６２…通信部、２３…シナリオ作成部、２４…シナリオ修正部、２５，６５…コメント文書生成部、２６…ＳＴ生成部、２７…ＳＴ・所見報告書表示部、２８…リンク表示部、２９…チェック済み指摘事項消去部、４０…システム管理者用端末、５０，８０…プリンタ装置、６０…評価者用端末、６３…セキュリティシナリオ表示部、６４…コメント追記部、６６…ＳＴ表示部、６７…指摘事項追記部、６８…リンク付け部、６９…所見報告書生成部、Ｆ１，Ｆ１ａ〜Ｆ１ｅ…セキュリティシナリオ情報、Ｆ２…コメント文書情報、Ｆ３…返信付コメント情報、Ｆ４…セキュリティターゲット（ＳＴ）情報、Ｆ５…指摘事項付ＳＴ情報、Ｆ６…所見報告書情報、Ｍ１，Ｍ２…通知。

Claims (8)

1. ＩＳＯ／ＩＥＣ１５４０８に準拠したセキュリティターゲット情報の設計を支援するための設計者用端末と、前記セキュリティターゲット情報の評価を支援するための評価者用端末と、前記各端末からアクセス可能なデータベース部を有するサーバ装置とを備えたセキュリティ設計・評価支援システムであって、
   前記設計者用端末は、
   設計者の操作により、前記セキュリティターゲット情報に含まれる、脅威、セキュリティ対策方針及びＴＯＥセキュリティ機能という３つの情報の対応関係を示した図面情報と、当該セキュリティターゲット情報に含まれる前記３つの情報以外の文書情報とからなるセキュリティシナリオ情報を作成するセキュリティシナリオ作成手段と、
   前記設計者の操作により、前記セキュリティシナリオ情報を前記サーバ装置のデータベース部に書込む手段と、
   前記データベース部内の最新のセキュリティシナリオ情報に対する確認依頼を前記評価者用端末に送信する手段と、
   前記評価者用端末から受けたセキュリティシナリオ確認終了通知を表示する確認終了通知表示手段と、
   前記設計者の操作によって前記データベース部内の最新のセキュリティシナリオ情報が入力されると、このセキュリティシナリオ情報に含まれる前記図面情報及び文書情報を並べ替えてセキュリティターゲット情報を生成するセキュリティターゲット生成手段と、
   前記設計者の操作により、前記生成したセキュリティターゲット情報を前記サーバ装置のデータベース部に書込む手段と、
   前記データベース部内の最新のセキュリティターゲット情報に対する評価依頼を前記評価者用端末に送信する手段と、
   前記評価者用端末から受けたセキュリティターゲット評価終了通知を表示する評価終了通知表示手段と、
   前記設計者の操作により、評価済みのセキュリティターゲット情報を前記サーバ装置のデータベース部に書き込む手段と
   を備えており、
   前記評価者用端末は、
   前記設計者用端末から受けた確認依頼を表示する確認依頼表示手段と、
   評価者の操作により、前記データベース部内の最新のセキュリティシナリオ情報を表示するセキュリティシナリオ表示手段と、
   前記評価者の操作により、セキュリティシナリオ確認終了通知を前記設計者用端末に送信する手段と、
   前記設計者用端末から受けた評価依頼を表示する評価依頼表示手段と、
   前記評価者の操作により、前記データベース部内の最新のセキュリティターゲット情報を表示するセキュリティターゲット表示手段と、
   前記評価者の操作により、セキュリティターゲット評価終了通知を前記設計者用端末に送信する手段と、
   を備えたことを特徴とするセキュリティ設計・評価支援システム。
2. 請求項１に記載のセキュリティ設計・評価支援システムにおいて、
   前記サーバ装置は、
   前記ＩＳＯ／ＩＥＣ１５４０８のコモンクライテリアＣＣ及び共通評価方法ＣＥＭの文書情報が記憶された文書情報記憶部を備えており、
   前記評価者用端末は、
   前記評価者の操作により、評価中のセキュリティシナリオ情報にコメント情報を追記するコメント追記手段と、
   前記セキュリティシナリオ情報に追記されたコメント情報からなるコメント文書情報を作成するコメント文書作成手段と、
   前記評価者の操作により、前記コメント情報を追記したセキュリティシナリオ情報及び前記コメント文書情報を前記データベース部に書き込む手段と、
   前記評価者の操作により、前記コメント文書情報を前記設計者用端末に送信するコメント文書送信手段と、
   前記評価者の操作により、評価中のセキュリティターゲット情報に指摘事項情報を追記する指摘事項追記手段と、
   前記評価者の操作により、前記文書情報記憶部内のコモンクライテリアＣＣ又は共通評価方法ＣＥＭの文書情報にブックマーク情報を付加し、前記ブックマーク情報を指定するブックマーク指定情報を前記セキュリティターゲット情報に追記された指摘事項情報又は指摘事項情報近傍に付加することにより、当該指摘事項情報を前記コモンクライテリアＣＣ又は共通評価方法ＣＥＭの文書情報にリンク付けする手段と、
   前記セキュリティターゲット情報に追記された指摘事項情報からなる所見報告書情報を作成する所見報告書作成手段と、
   前記評価者の操作により、前記指摘事項情報を追記したセキュリティターゲット情報及び前記所見報告書情報を前記データベース部に書き込む手段と、
   前記評価者の操作により、前記所見報告書情報を前記設計者用端末に送信する所見報告書送信手段と
   を備えており、
   前記設計者用端末は、
   前記評価者用端末から受けたコメント文書情報を表示するコメント文書表示手段と、
   前記コメント文書の表示中、前記設計者の操作により、前記最新のセキュリティシナリオ情報を修正する手段と、
   前記評価者用端末から受けた所見報告書情報を表示する所見報告書表示手段と、
   前記指摘事項情報及び前記ブックマーク指定情報が付加されたセキュリティターゲット情報の表示中、前記設計者の操作により、前記ブックマーク指定情報の指定に応じて前記コモンクライテリアＣＣ又は共通評価方法ＣＥＭの文書情報を表示する手段と、
   当該セキュリティターゲット情報の表示中、前記設計者の操作により、前記最新のセキュリティシナリオ情報を修正し、この修正後のセキュリティシナリオ情報を前記セキュリティターゲット生成手段に入力する手段と、
   を備えたことを特徴とするセキュリティ設計・評価支援システム。
3. ＩＳＯ／ＩＥＣ１５４０８に準拠したセキュリティターゲット情報の評価を支援するための評価者用端末と、前記評価者用端末からアクセス可能なデータベース部を有するサーバ装置とに対し、前記評価者用端末及び前記サーバ装置の両者にアクセス可能で前記セキュリティターゲット情報の設計を支援するための設計者用端末であって、
   設計者の操作により、前記セキュリティターゲット情報に含まれる、脅威、セキュリティ対策方針及びＴＯＥセキュリティ機能という３つの情報の対応関係を示した図面情報と、当該セキュリティターゲット情報に含まれる前記３つの情報以外の文書情報とからなるセキュリティシナリオ情報を作成するセキュリティシナリオ作成手段と、
   前記設計者の操作により、前記セキュリティシナリオ情報を前記サーバ装置のデータベース部に書込む手段と、
   前記データベース部内の最新のセキュリティシナリオ情報に対する確認依頼を前記評価者用端末に送信する手段と、
   前記確認依頼の送信の後、前記評価者用端末から受けたセキュリティシナリオ確認終了通知を表示する確認終了通知表示手段と、
   前記設計者の操作によって前記データベース部内の最新のセキュリティシナリオ情報が入力されると、このセキュリティシナリオ情報に含まれる前記図面情報及び文書情報を並べ替えてセキュリティターゲット情報を生成するセキュリティターゲット生成手段と、
   前記設計者の操作により、前記生成したセキュリティターゲット情報を前記サーバ装置のデータベース部に書込む手段と、
   前記データベース部内の最新のセキュリティターゲット情報に対する評価依頼を前記評価者用端末に送信する手段と、
   前記評価依頼の送信の後、前記評価者用端末から受けたセキュリティターゲット評価終了通知を表示する評価終了通知表示手段と、
   前記設計者の操作により、評価済みのセキュリティターゲット情報を前記サーバ装置のデータベース部に書き込む手段と、
   を備えたことを特徴とする設計者用端末。
4. 請求項３に記載の設計者用端末において、
   前記設計者用端末は、
   前記評価者用端末から受けたコメント文書情報を表示するコメント文書表示手段と、
   前記コメント文書の表示中、前記設計者の操作により、前記最新のセキュリティシナリオ情報を修正する手段と、
   前記評価者用端末から受けた所見報告書情報を表示する所見報告書表示手段と、
   前記評価者用端末により指摘事項情報及びブックマーク指定情報が付加されたセキュリティターゲット情報の表示中、前記設計者の操作により、前記ブックマーク指定情報の指定に応じて当該ブックマーク指定情報に対応するブックマーク情報が評価者用端末により付加されたＩＳＯ／ＩＥＣ１５４０８のコモンクライテリアＣＣ又は共通評価方法ＣＥＭの文書情報を前記サーバ装置から読み出して表示する手段と、
   当該セキュリティターゲット情報の表示中、前記設計者の操作により、前記最新のセキュリティシナリオ情報を修正し、この修正後のセキュリティシナリオ情報を前記セキュリティターゲット生成手段に入力する手段と、
   を備えたことを特徴とする設計者用端末。
5. ＩＳＯ／ＩＥＣ１５４０８に準拠したセキュリティターゲット情報の設計を支援するための設計者用端末と、前記設計者用端末からアクセス可能なデータベース部を有するサーバ装置とに対し、前記設計者用端末及び前記サーバ装置の両者にアクセス可能で前記セキュリティターゲット情報の評価を支援するための評価者用端末であって、
   前記設計者用端末から受けた確認依頼を表示する確認依頼表示手段と、
   評価者の操作により、前記設計者用端末によりデータベース部に書き込まれた、前記セキュリティターゲット情報に含まれる、脅威、セキュリティ対策方針及びＴＯＥセキュリティ機能という３つの情報の対応関係を示した図面情報と、当該セキュリティターゲット情報に含まれる前記３つの情報以外の文書情報とからなるセキュリティシナリオ情報を、当該データベース部から読み出して表示するセキュリティシナリオ表示手段と、
   前記評価者の操作により、セキュリティシナリオ確認終了通知を前記設計者用端末に送信する手段と、
   前記設計者用端末から受けた評価依頼を表示する評価依頼表示手段と、
   前記評価者の操作により、前記設計者用端末によりデータベース部に書き込まれた、最新のセキュリティシナリオ情報に含まれる前記図面情報及び文書情報を並べ替えて生成されたセキュリティターゲット情報を、当該データベース部から読み出して表示するセキュリティターゲット表示手段と、
   前記評価者の操作により、セキュリティターゲット評価終了通知を前記設計者用端末に送信する手段と、
   を備えたことを特徴とする評価者用端末。
6. 請求項５に記載の評価者用端末において、
   前記評価者の操作により、評価中のセキュリティシナリオ情報にコメント情報を追記するコメント追記手段と、
   前記セキュリティシナリオ情報に追記されたコメント情報からなるコメント文書情報を作成するコメント文書作成手段と、
   前記評価者の操作により、前記コメント情報を追記したセキュリティシナリオ情報及び前記コメント文書情報を前記データベース部に書き込む手段と、
   前記評価者の操作により、前記コメント文書情報を前記設計者用端末に送信するコメント文書送信手段と、
   前記評価者の操作により、評価中のセキュリティターゲット情報に指摘事項情報を追記する指摘事項追記手段と、
   前記評価者の操作により、前記サーバ装置が有する文書情報記憶部内のＩＳＯ／ＩＥＣ１５４０８のコモンクライテリアＣＣ又は共通評価方法ＣＥＭの文書情報にブックマーク情報を付加し、前記ブックマーク情報を指定するブックマーク指定情報を前記セキュリティターゲット情報に追記された指摘事項情報又は指摘事項情報近傍に付加することにより、当該指摘事項情報を前記コモンクライテリアＣＣ又は共通評価方法ＣＥＭの文書情報にリンク付けする手段と、
   前記セキュリティターゲット情報に追記された指摘事項情報からなる所見報告書情報を作成する所見報告書作成手段と、
   前記評価者の操作により、前記指摘事項情報を追記したセキュリティターゲット情報及び前記所見報告書情報を前記データベース部に書き込む手段と、
   前記評価者の操作により、前記所見報告書情報を前記設計者用端末に送信する所見報告書送信手段と、
   を備えたことを特徴とする評価者用端末。
7. ＩＳＯ／ＩＥＣ１５４０８に準拠したセキュリティターゲット情報の評価を支援するための評価者用端末と、前記評価者用端末からアクセス可能なデータベース部を有するサーバ装置とに対し、前記評価者用端末及び前記サーバ装置の両者にアクセス可能で前記セキュリティターゲット情報の設計を支援するための設計者用端末のプログラムであって、
   前記設計者用端末のコンピュータに、
   設計者の操作により、前記セキュリティターゲット情報に含まれる、脅威、セキュリティ対策方針及びＴＯＥセキュリティ機能という３つの情報の対応関係を示した図面情報と、当該セキュリティターゲット情報に含まれる前記３つの情報以外の文書情報とからなるセキュリティシナリオ情報を作成して前記設計者用端末の記憶部に書き込む機能、
   前記設計者の操作により、前記記憶部内のセキュリティシナリオ情報を前記サーバ装置のデータベース部に書込む機能、
   前記データベース部内の最新のセキュリティシナリオ情報に対する確認依頼を前記評価者用端末に送信する機能、
   前記確認依頼の送信の後、前記評価者用端末から受けたセキュリティシナリオ確認終了通知を表示する機能、
   前記設計者の操作によって前記データベース部内の最新のセキュリティシナリオ情報が入力されると、このセキュリティシナリオ情報に含まれる前記図面情報及び文書情報を並べ替えてセキュリティターゲット情報を生成して前記設計者用端末の記憶部に書き込む機能、
   前記設計者の操作により、前記記憶部内のセキュリティターゲット情報を前記サーバ装置のデータベース部に書込む機能、
   前記データベース部内の最新のセキュリティターゲット情報に対する評価依頼を前記評価者用端末に送信する機能、
   前記評価依頼の送信の後、前記評価者用端末から受けたセキュリティターゲット評価終了通知を表示する機能、
   前記設計者の操作により、評価済みのセキュリティターゲット情報を前記サーバ装置のデータベース部に書き込む機能、
   を実現させるためのプログラム。
8. ＩＳＯ／ＩＥＣ１５４０８に準拠したセキュリティターゲット情報の設計を支援するための設計者用端末と、前記設計者用端末からアクセス可能なデータベース部を有するサーバ装置とに対し、前記設計者用端末及び前記サーバ装置の両者にアクセス可能で前記セキュリティターゲット情報の評価を支援するための評価者用端末のプログラムであって、
   前記評価者用端末のコンピュータに、
   前記設計者用端末から受けた確認依頼を表示する機能、
   評価者の操作により、前記設計者用端末によりデータベース部に書き込まれた、前記セキュリティターゲット情報に含まれる、脅威、セキュリティ対策方針及びＴＯＥセキュリティ機能という３つの情報の対応関係を示した図面情報と、当該セキュリティターゲット情報に含まれる前記３つの情報以外の文書情報とからなるセキュリティシナリオ情報を、当該データベース部から読み出して前記評価者用端末の記憶部に書き込む機能、
   前記評価者の操作により、前記記憶部内のセキュリティシナリオ情報を表示する機能、
   前記評価者の操作により、セキュリティシナリオ確認終了通知を前記設計者用端末に送信する機能、
   前記設計者用端末から受けた評価依頼を表示する機能、
   前記評価者の操作により、前記設計者用端末によりデータベース部に書き込まれた、最新のセキュリティシナリオ情報に含まれる前記図面情報及び文書情報を並べ替えて生成されたセキュリティターゲット情報を、当該データベース部から読み出して前記記憶部に書き込む機能、
   前記評価者の操作により、前記記憶部内のセキュリティターゲット情報を表示する機能、表示する機能、
   前記評価者の操作により、セキュリティターゲット評価終了通知を前記設計者用端末に送信する機能、
   を実現させるためのプログラム。

Images