JP2010182095A

JP2010182095A - リスク分析システム

Info

Publication number: JP2010182095A
Application number: JP2009025032A
Authority: JP
Inventors: Takashi Moriyasu; 隆森安; Soichi Furuya; 聡一古屋; Hiroki Uchiyama; 宏樹内山
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2009-02-05
Filing date: 2009-02-05
Publication date: 2010-08-19

Abstract

【課題】脅威の発生確率情報や情報資産に係る脆弱性情報を他分野に明確に与えることなく、リスク分析する。
【解決手段】第１のコンピュータシステムからの脅威の波及による第２のコンピュータシステムのサービスiへのリスクを分析する方法であって、第１のコンピュータシステムにおける脅威の発生確率に関する情報を第２のコンピュータシステムへ送信し、第２のコンピュータシステムは、サービスiの脅威に対する脆弱性に関する情報を第１のコンピュータシステムへ送信し、第１のコンピュータシステムは、脅威の発生確率のベクトルと受信した脅威に対する脆弱性に関する情報のベクトルとのなす角θの余弦の値を求め、求めた余弦を第２のコンピュータシステムへ送信し、第２のコンピュータシステムは情報資産_、脅威の発生確率、受信した脅威の発生確率に関する情報、及び受信した余弦の値とを用いて、サービスiへのリスク値を求める。
【選択図】図２

Description

本発明は、他分野の脅威情報明示リスク分析方法に関するものである。

国民生活及び社会経済活動の基盤を担う重要インフラの重要性は歴史的に、例えば電気や水道、鉄道等の分野との係合いを例に取っても、ある意味自然に醸成されてきたと言える。以前は各々の分野内で分野独自の設備やシステム等の環境に対し確固たる対策を講じれば、「他分野への伝搬」という形で、大きな問題が生じることは稀であった。これは各分野内の独自性によって分野間をシステム的に接続する要素が殆どなかったためである。

しかしながら、時代の推移に伴い情報通信技術が日進月歩で開発され、社会は、それを取り入れることによって、加速度的に利便性の観点で進化を遂げた結果、情報通信技術は今や社会基盤の枢軸を担うに至っている。これは重要インフラの分野においても例外ではなく、各分野の提供するサービスは全て情報通信技術をベースにしたシステムを利用することによって提供されていると言える。

一方、情報通信技術の発展は新たな脅威を招く一因になったことも否めない。例えば、攻撃手法としてのサイバー化ならびにその高度化や社会の情報通信技術への高い依存度により、社会的なリスクは大きく変化した。特に社会経済活動を支える重要インフラは、その事業継続を全うするために、情報通信技術特有の変化の早いリスクに対して、以前にも増して迅速かつ適切な対応を実施することが求められる。

情報通信技術の急速な普及にリンクして、情報通信技術の利用形態にも大きな変化が見受けられる。重要インフラの分野であっても、各分野のシステムが情報通信技術によって相互に接続されるようになった。このために複数の分野間において、ある分野のシステムに発生した脅威が波及し、他の分野のシステムもしくはサービスに影響が及ぶ可能性がある。したがって、社会的影響の大きな電力や交通などの重要インフラ事業者は、他の分野のシステムに発生した脅威の波及に伴うリスクに対しても先行的な評価に取り組むことに加え、想定外のリスクを効果的に減らし、また予期せぬ事態に陥っても、複雑な事故などの事象に対して適切に回復・復旧することが望まれる。他の分野のシステムに発生した脅威の波及に伴うリスクを分析するためには、分野間における相互依存性を解析し、自分野が他の分野とどのような依存関係にあるのか等を把握することが重要である。

しかしながら、精度の高いリスク分析を実行するにあたっては、自分野における脅威の根本事象である災害/事故/攻撃などの発生やその確率、被害についての把握に加え、他の分野のシステムからの自分野のシステムに対する影響も加味することが必要である。

そこで、個々の重要インフラ分野において、分野間の関係性を考慮した上でのリスク分析手法を、脅威の発生確率情報あるいは守るべき情報資産に係る脆弱性情報を他分野に明確に与えることなく、実現することが必要である。

本発明は、ネットワークを介して接続する第１のコンピュータシステムからの脅威の波及による第２のコンピュータシステムのサービスiへのリスクを分析するリスク分析方法であって、第１のコンピュータシステムは、第１のコンピュータシステムにおける脅威の発生確率（h_ix ^(s)，h_iX ^(d)）からsqrt（{h_ix ^(s)}²＋{h_ix ^(d)}²）を生成し、生成したsqrt（{h_ix ^(s)}²＋{h_ix ^(d)}²）を第２のコンピュータシステムへネットワークを介して送信し、第２のコンピュータシステムは、サービスiの脅威に対する脆弱性v_iY ^(s)及びネットワークを介したデータの送受信に係る脅威に対するサービスiの脆弱性v_iY ^(d)に任意の実数αを乗じて（αv_iY ^(s), αv_iY ^（d））を生成し、生成した（αv_iY ^(s), αv_iY ^（d））をネットワークを介して第１のコンピュータシステムへ送信し、第１のコンピュータシステムは、脅威の発生確率（h_ix ^(s)，h_iX ^(d)）のベクトルと第２のコンピュータシステムから受信した（αv_iY ^(s), αv_iY ^（d））のベクトルとのなす角θの余弦の値を求め、求めた余弦を第２のコンピュータシステムへネットワークを介して送信し、第２のコンピュータシステムは、第２のコンピュータシステムの情報資産A_iY、第２のコンピュータシステムにおける脅威の発生確率（t_iY ^(s)，t_iY ^(d)）、受信したsqrt（{h_ix ^(s)}²＋{h_ix ^(d)}²）、及び受信した余弦の値とを用いて、サービスiへのリスク値を求める。

本発明によれば、脅威の発生確率情報あるいは守るべき情報資産に係る脆弱性情報を他分野に明確に与えることなく、リスク分析できる。

重要インフラ分野間のリスク分析対象のコンピュータシステムである。重要インフラ分野間の関係性を考慮した分野間での直接のやり取りによるリスク算出方法（実施例１）である。重要インフラ分野間の関係性を考慮した分野間に信頼おけるセンターを介したリスク算出方法（実施例２）である。

電力や交通などに限らず、社会保障や住民登録などの重要インフラ分野では、それらの各分野で用いられる情報処理システムに蓄積される情報とそのような情報を対象とする処理により、その分野の全貌を把握できる。このような情報処理システムは、典型的には情報を蓄積するための記憶装置と、情報を処理(加工)するためのコンピュータとを含むコンピュータシステムである。このようなコンピュータシステムは、他の分野との情報交換のために通信ネットワークによって接続される。したがって、通信ネットワークを介して交換（場合によっては、単方向の情報流）される情報及びその意味は、接続するコンピュータシステム間では既知である。交換（場合によっては、単方向の情報流）される情報がコンピュータシステム間、すなわち分野間の関係を定義していると言っても良い。

そこで、以下の実施例では、ある分野のコンピュータシステムと他の分野のコンピュータシステムとが接続され、それらのコンピュータシステム間において、一方に発生した脅威が他方に波及することを前提として、脅威が発生したコンピュータシステムが秘匿している情報を直接的に取得せずに、脅威が波及する他方のコンピュータシステムのリスクを分析することを説明する。最も簡単に、図１に示すような２分野間の関係を対象に説明する。図１は、各分野X、Yのコンピュータシステム100、101がネットワーク3を介して接続している。コンピュータシステム100、101の各々は、コンピュータ10、20及び記憶装置11、21を有する。コンピュータシステム100、101の接続は、他のコンピュータシステム202を介しても良い。

なお、以下の説明ではある分野のコンピュータシステムを単に分野と呼ぶ。

図２を用いて、実施例1を説明する。上述したように、分野間の関係に係る情報は、ネットワーク3により接続する際に取り決められるので、既にそれらの分野間において既知である。脅威により生じる波及の元となる分野を分野X（100）とし、この波及を受ける分野すなわちリスク分析を実施する分野を分野Y（101）とする。なお、脅威による波及は、分野Yにおいて提供される、コンピュータシステム101によるサービスに深く関与する。ここで波及の種類としては、分野間でのサービスに係る波及及び不当なデータの送受信に係る波及の２種類を想定する。またコンピュータシステム101が提供するサービスが複数存在するものとし、その一つをiとする。

分野X（100）と分野Y（101）との間で直接情報のやり取りを行うケースを考える。分野Xからのサービスiへの波及が生じる確率をh_ix ^(s)とし、不当なデータの送受信に係るiへの波及が生じる確率をh_iX ^(d)とする。

一方、分野Y（101）内において、サービスiへの脅威及びデータの送受信に係るiへの脅威の発生確率を各々t_iY ^(s)，t_iY ^(d)（111）とし、さらにサービスiの脅威に対する脆弱性及びデータの送受信に係る脅威に対するサービスiの脆弱性を各々v_iY ^(s)，v_iY ^(d)（112）とする。さらに当該システムiに対する情報資産をA_iY（110）と仮定する。

この時、分野Y（101）におけるサービスiに係るリスク（118）は以下に記述できる。
A_iY｛（ t_iY ^(s)＋ h_iX ^(s)） v_iY ^(s) ＋（ t_iY ^（d）＋ h_iX ^（d）） v_iY ^（d）｝・・・（１）
式（１）を変形することにより、
A_iY｛ t_iY ^(s) v_iY ^(s) ＋ t_iY ^（d） v_iY ^（d）＋h_iX ^(s) v_iY ^(s) ＋ h_iX ^（d） v_iY ^（d）｝・・・（２）
式（２）において、A_iY、t_iY ^(s) 、v_iY ^(s)、t_iY ^（d）、v_iY ^（d）は、分野Y（101）にとっては既知情報であるが、h_ix ^(s)、h_iX ^(d)は、分野X（100）にとって他分野には出したくない(秘匿したい)センシティブな情報である。

ここでh_ix ^(s)、h_iX ^(d)のベクトル表現102すなわち、h_iX＝（h_ix ^(s)，h_iX ^(d)）と、v_iY ^(s)，v_iY ^(d)のベクトル表現112すなわちｖ_iY＝（v_iY ^(s)，v_iY ^(d)）を考える。式（２）のh_iX ^(s) v_iY ^(s) ＋ h_iX ^（d） v_iY ^（d）部分は、内積h_iX・v_iYを表しており、これは別表現で以下のように記述できる。
h_iX・v_iY＝sqrt（{h_ix ^(s)}²＋{h_ix ^(d)}²）×sqrt（{v_iY ^(s)}²＋{v_iY ^(d)}²）×cosθ・・・（３）
但し、sqrtは平方根、cosθはベクトルh_iXとv_iYのなす角θの余弦をそれぞれ意味する。よって式（３）より、分野Y（101）では
sqrt（{h_ix ^(s)}²＋{h_ix ^(d)}²）×cosθ・・・（４）
に関する情報がわかれば、式（１）を演算することが可能となる。

sqrt（{h_ix ^(s)}²＋{h_ix ^(d)}²）部については、分野X（100）において演算部（103）によりh_iX（102）をsqrt（{h_ix ^(s)}²＋{h_ix ^(d)}²）に演算した結果（104）を、ネットワーク3による通信路（105）を介して分野Y（101）に送信する。この時、sqrt（{h_ix ^(s)}²＋{h_ix ^(d)}²）からh_iXの情報を一意に選ぶことはできない。すなわち、分野X（100）は秘匿すべき情報h_iXの代わりに、sqrt（{h_ix ^(s)}²＋{h_ix ^(d)}²）を分野Y（101）に出力しても、分野Y（101）はsqrt（{h_ix ^(s)}²＋{h_ix ^(d)}²）からh_iXを一意に求めることはできないので、h_iXが秘匿される。

cosθ部（116）に関しては、まず任意の実数をαとして、分野Y（101）が演算部（113）によりv_iYのα倍であるαv_iY＝（αv_iY ^(s), αv_iY ^（d））（114）を分野X（100）に通信路（107）を介し送信する。但しαは分野X（100）に対し、容易に類推されない数（例えば、無理数等）であることが望ましい。分野X（100）では受け取ったαv_iYに対し内積αv_iY・h_iXを算出し、次にsqrt（{h_ix ^(s)}²＋{h_ix ^(d)}²）及びsqrt（{αv_iY ^(s)}²＋{αv_iY ^(d)}²）を算出する。

これらより、コンピュータ10の演算部（108）により
（αh_iX ^(s) v_iY ^(s) ＋ αh_iX ^（d） v_iY ^（d））/ ［sqrt（{h_ix ^(s)}²＋{h_ix ^(d)}²）×sqrt（{αv_iY ^(s)}²＋{αv_iY ^(d)}²）］・・・（５）
を計算する。ここで式（５）の結果（109）はcosθに他ならない。これはベクトルをα倍してもベクトル自体のなす角度は不変であることから明らかである。また分野X（100）はαv_iYからv_iYの値を算出することは困難であり、さらにはsqrt（{αv_iY ^(s)}²＋{αv_iY ^(d)}²）からもv_iYを算出することは不可能である。しかしながら、式（５）によりαは割算処理により相殺されるため、結果として、分野X（100）は分野Y（101）の守るべき資産に係る脆弱性情報を知ることなく、cosθを算出することが可能となる。

分野X（100）で算出されたcosθ（109）は通信路（115）を通じ分野Y（101）に送信され、分野Y（101）は式（３）及び式（４）より、分野X（100）における脅威の発生確率（102）を直接知ることなく、サービスiに対するリスク値（118）を算出することが可能となる。

なお、説明を簡便にするために、各分野X、Yのコンピュータシステム100、101のコンピュータ10、20が実行する演算を演算部による実行とし、演算前の値が記憶装置11又は記憶装置21に格納され、演算結果も記憶装置11又は記憶装置21に格納されることを省略した。

図３を用いて、実施例２を説明する。実施例２では、分野X（100）及び分野Y（101）に加え、十分に信頼できるセンター（202）を仮定する。この時、分野X（100）が当該センター（202）に対し、h_ix ^(s)、h_iX ^(d)のベクトル表現（102）であるh_iXの情報を通信路（204）を通じて送信し、一方、分野Y（101）もv_iY ^(s)，v_iY ^(d)のベクトル表現（112）であるv_iYを通信路（209）を通じて当該センター（202）に送信する。この時、当該センター（202）は演算部（205）を用いることにより内積h_iX・v_iYを算出し、その演算結果h_iX ^(s) v_iY ^(s) ＋ h_iX ^（d） v_iY ^（d）（210）を分野Y（101）に通信路（211）を通じ送信する。ここで分野Y（101）では当該演算結果（210）からh_iX＝（h_ix ^(s)，h_iX ^(d)）の組合せを一意に選ぶことはできないことに留意する。

当該演算結果（210）及び情報資産A_iY（110）、脅威の発生確率t_iY ^(s)，t_iY ^(d)（111）、脆弱性v_iY ^(s)，v_iY ^(d)（112）を演算部（213）に入力することにより、分野Y（101）は分野X（100）における脅威の発生確率（102）を直接知ることなく、リスク値（118）を算出することが可能となる。

重要インフラ分野における当該分野のサービスの提供に深く関わるシステムが機能不全を起こす等によって、当該分野のサービスの低下・停止が発生する確率は当該分野にとってセンシティブな情報であるため、分野外に出すことが困難であることが予想されることから、それを陽に出すことなく、脅威の波及先の分野（すなわちリスク分析を実施する分野）が分野の関係性を踏まえたより実態に即した精度の高いリスク分析を実施することを可能となる。

３：ネットワーク、１０，２０：コンピュータ、１１、２１：記憶装置、１００：重要インフラ分野X、１０１：重要インフラ分野Y、１０２：分野Xからの分野Yへのサービスに係る波及もしくはデータの送受信に係る波及の発生確率情報に関するベクトル値、１０３：１０２のベクトルに対し、各成分の自乗和の平方根を計算する演算部、１０４：１０２のベクトルに対し、演算部１０３を通じた演算値、１０５：演算値１０４を分野Xから分野Yに送信する際の通信路、１０７：分野Yにおいて守るべき情報資産に対し、サービスに係るもしくはデータの送受信に係る脆弱性に関する情報のベクトル表現をα倍（任意の定数倍）したベクトル値を分野Xに送信する際の通信路、１０８：分野Yにおいて守るべき情報資産に対し、サービス及びデータの送受信に係る脆弱性に関する確率情報のベクトル表現をα倍（任意の定数倍）したベクトル値及びベクトル値１０２から、ベクトル間の余弦（cosθ）を求めるための演算部、１０９：演算部１０８によって得られた演算値、１１０：分野Yの情報資産iに対する情報、１１１：分野Y内における情報資産iに対するサービス及びデータの送受信に係る脅威の発生確率情報に関するベクトル値、１１２：分野Yにおいて守るべき情報資産iに対し、サービス及びデータの送受信に係る脆弱性に関する確率情報のベクトル値、１１３：ベクトル値１１２をα倍（任意の定数倍）する演算部、１１４：ベクトル値１１２をα倍（任意の定数倍）したベクトル値、１１５：分野Xで得られた演算値１０９を分野Yに送信する際の通信路１１６：ベクトル値１０２及びベクトル値１０８から得られる余弦（cosθ）、１１７：情報１１６及び情報１０４、情報１００、情報１０１を基にリスク値を算出する演算部、１１８：分野Yにおける分野Xとの関係性を考慮した情報資産iに対するリスク値、２０２：信頼できるセンター、２０４：ベクトル値１０２を分野Xからセンターに送信する際の通信路、２０５：ベクトル値１０２及びベクトル値１１２から内積を演算するための演算部、２０９：ベクトル値１１２を分野Yからセンターに送信する際の通信路、２１０：演算部２０５によって得られた演算結果、２１３：演算結果２１０及び情報１１０、情報１１１、情報１１２を基にリスク値を算出する演算部。

Claims

ネットワークを介して接続する第１のコンピュータシステムからの脅威の波及による第２のコンピュータシステムのサービスiへのリスクを分析するリスク分析方法であって、
前記第１のコンピュータシステムは、前記第１のコンピュータシステムにおける前記脅威の発生確率（h_ix ^(s)，h_iX ^(d)）からsqrt（{h_ix ^(s)}²＋{h_ix ^(d)}²）を生成し、前記生成したsqrt（{h_ix ^(s)}²＋{h_ix ^(d)}²）を前記第２のコンピュータシステムへ前記ネットワークを介して送信し、
前記第２のコンピュータシステムは、前記サービスiの前記脅威に対する脆弱性v_iY ^(s)及び前記ネットワークを介したデータの送受信に係る脅威に対するサービスiの脆弱性v_iY ^(d)に任意の実数αを乗じて（αv_iY ^(s), αv_iY ^（d））を生成し、前記生成した（αv_iY ^(s), αv_iY ^（d））を前記ネットワークを介して前記第１のコンピュータシステムへ送信し、
前記第１のコンピュータシステムは、前記脅威の発生確率（h_ix ^(s)，h_iX ^(d)）のベクトルと前記第２のコンピュータシステムから受信した（αv_iY ^(s), αv_iY ^（d））のベクトルとのなす角θの余弦の値を求め、前記求めた余弦を前記第２のコンピュータシステムへ前記ネットワークを介して送信し、
前記第２のコンピュータシステムは、前記第２のコンピュータシステムの情報資産A_iY、
前記第２のコンピュータシステムにおける前記脅威の発生確率（t_iY ^(s)，t_iY ^(d)）、前記受信したsqrt（{h_ix ^(s)}²＋{h_ix ^(d)}²）、及び前記受信した余弦の値とを用いて、サービスiへのリスク値を求めることを特徴とするリスク分析方法。
前記脅威の発生確率（h_ix ^(s)，h_iX ^(d)）のベクトルと、前記脅威に対する脆弱性（v_iY ^(s), v_iY ^（d））のベクトルとの内積を用いて前記リスク値を求めることを特徴とする請求項1記載のリスク分析方法。