JP2015204061A - システムセキュリティ設計支援装置、システムセキュリティ設計支援方法、及びシステムセキュリティ設計支援プログラム - Google Patents

Abstract

【課題】システムのセキュリティ設計において、取り扱われる情報の重要度を勘案した適切なセキュリティ対策を適用可能とするとともに、システムに設定すべきセキュリティ要件の抜け漏れを防止する。【解決手段】要件定義・対策立案支援において、設計対象システムを複数のゾーンで表し、前記ゾーン間を情報伝送可能に接続する経路４２０と、経路４２０と各ゾーンとの接続部分であるゾーン境界４１９と、ゾーン内４１８とに分類し、それぞれに、セキュリティ要件４０３と、とるべき対策をレベル分けしたセキュリティ対策４１３とを関連付けて登録する。経路４２０には伝送データのレベルも対応付けられており、対応するゾーン境界４１９のレベル４０９は経路の伝送データレベルに応じて決定される。【選択図】 図４

Description

本発明は、システムセキュリティ設計支援装置、システムセキュリティ設計支援方法、及びシステムセキュリティ設計支援プログラムに関する。

近年、標準化団体や様々な業界団体において、システムのセキュリティ基準が定められており、その中でシステムが対応すべきセキュリティ要件がリストアップされている。標準的なセキュリティ基準（以下「標準規格」とも記述する）の例としては、米国標準技術研究所（National Institute of Standards and Technology: NIST）が定める「連邦政府情報システムにおける推奨セキュリティ管理策（SP800-53）」や「スマートグリッド・サイバーセキュリティに関するガイドライン（NISTIR 7628）」、北米電力信頼性評議会（North American Electric Reliability Council: NERC）が定める「重要インフラ保護基準（NERC CIP）」などがあげられる。

これら標準規格に準拠した形でシステムのセキュリティ設計を行うために、セキュリティ設計者は、１．当該対象システムの明確化とゾーン分け、２．標準規格に基づき各ゾーンの重要度を定義、３．標準規格に基づき各ゾーンで満たすべきセキュリティ要件を定義、４．セキュリティ要件を満たすためのセキュリティ対策の立案、５．システムのリスク分析の実施とそれに基づくセキュリティ要件及び対策内容の見直し、のステップを実施する。

このようなセキュリティ設計作業は、システムの規模が大きくなると作業量が爆発的に増加し、セキュリティ設計の生産性効率の低下を招く。

このような問題に対して、例えば特許文献１においては、分析対象となるシステムの構成要素からアクセス点（インタフェースや通信経路上などのアクセス可能な点）を抽出し、抽出したアクセス点についてセキュリティ脅威情報を入力する、セキュリティ脅威分析支援システムが開示されている。このようなアクセス点に基づくセキュリティ脅威分析を支援するシステムにより、網羅的なセキュリティ脅威分析が可能となるとしている。

特開２００８−２３４４０９号公報

上記特許文献１のような、アクセス点に着目したセキュリティ脅威分析を利用して、アクセス点におけるセキュリティ要件やセキュリティ対策を整理する方式を用いれば、全てのゾーンのアクセス点における要件定義及び対策立案が可能となることが考えられる。

しかしながら、大規模システムのように、複数のゾーンからなるシステムを設計対象とした場合、ゾーン間でのデータ通信が複数経路存在することから、アクセスポイントに着目した方式では、過剰なセキュリティ対策を実施する要因となる場合があることが問題となる。

例えば、スマートグリッドのような、複数種類のフィールド機器や、データセンタが互
いにデータを通信するシステムにおいては、同一ネットワーク上に複数種類のデータ通信が存在し、そこでやり取りされるデータの重要度も様々なレベルが存在する。特許文献１のようにアクセスポイントに着目する場合、アクセスポイントとして「ネットワーク」を抽出し、ネットワークに対する脅威や、それに対する要件や対策は検討可能であるが、ネットワーク上の全ての経路に対して同じセキュリティ対策が適用されることから、扱うデータの重要度レベルに関わりなく全てのフィールド機器で高いレベルのセキュリティ対策を実施することになる。この結果、重要度の低い情報を通信する経路については、実際に必要なセキュリティ対策よりも過剰な対策をとることとなり、コスト増大につながるおそれがある。

また、大規模システムのセキュリティ設計に既存技術を適用した場合、アクセスポイントに着目した方式では、データ通信に関するセキュリティ対策の実施箇所が不明確であり、要件や対策の抽出漏れが発生する場合があることも問題となる。

例えば、二つのゾーン間でデータを通信する場合、当該通信データのセキュリティ対策は、送信元ゾーンと送信先ゾーンの両方のゾーンで対となる対策をする必要がある。具体的には、「認証すること」という要件に対しては、送信先ゾーンで認証機能を、送信元ゾーンで被認証機能を実装する必要がある。

しかしながら、アクセスポイントに着目した方式では、例えばサーバのアクセスポイントに対して「認証すること」というセキュリティ要件を抽出できるが、そこにアクセスするクライアントに対する「認証される機能を有すること」という要件が抽出されず、要件及び対策が漏れてしまう恐れがある。

このような要件や対策の抽出漏れはシステム設計作業の手戻りの原因となり、その後の設計開発工程に大きな影響を与え、コスト増大につながる恐れがあるという問題があった。

本発明は、上記の及び他の課題を解決するためになされたもので、その一つの目的は、システムのセキュリティ設計において、取り扱われる情報の重要度を勘案した適切なセキュリティ対策を適用可能とするとともに、システムに設定すべきセキュリティ要件の抜け漏れを防止することができるシステムセキュリティ設計支援装置、システムセキュリティ設計支援方法、及びシステムセキュリティ設計支援プログラムを提供することである。

上記の目的を達成するための本発明の一態様は、システムのセキュリティ設計における要件定義、対策立案を支援するためのシステムセキュリティ設計支援装置であって、
設計対象システムを、それぞれがセキュリティ設定区画である複数のゾーンと、前記ゾーン間を情報伝送可能に接続する経路と、前記経路と前記各ゾーンとの接続部分であるゾーン境界とに分類し、前記各ゾーン、前記各経路、及び前記各ゾーン境界に、前記設計対象システムに要求されるセキュリティ上の要件に関する情報であるセキュリティ要件情報と、前記セキュリティ要件を満たすためにとるべき対策を対策強度レベルに分類して示す情報であるセキュリティ対策情報とを関連付けて登録した要件−対策情報保持部と、
前記各ゾーン及び前記各ゾーン境界に対応する前記対策強度レベルを関連付けるとともに、前記各経路には前記対策強度レベル及び当該経路を流通する情報に対応する前記対策強度レベルを関連付けて保持するシステム構成情報保持部と、

前記システム構成情報保持部から前記設計対象システムを構成する前記ゾーン、前記ゾーン境界、及び前記経路の情報を取得し、各前記経路に関する送信元の前記ゾーン境界と送信先の前記ゾーン境界の情報を特定し、前記送信元ゾーン及び送信先ゾーン境界に対し
ては、対応する前記経路に関連付けられている前記対策強度レベルを適用し、それらの対応関係を含む情報を出力する要件定義対策立案処理部と、
を備えることを特徴とする。

本発明によれば、システムのセキュリティ設計において、取り扱われる情報の重要度を勘案した適切なセキュリティ対策を適用可能とするとともに、システムに設定すべきセキュリティ要件の抜け漏れを防止することができる。

図１は、本発明の一実施形態における要件定義・対策立案支援装置１０の概略構成を示す図である。 図２は、要件定義・対策立案支援装置１０のソフトウェア構成例を示す図である。 図３は、図２に示す要件定義・対策立案支援装置１０のハードウェア構成例を示す図である。 図４は、要件−対策データベース１２の構成例を示す図である。 図５は、適用タイプの種類テーブル５０の構成例を示す図である。 図６は、要件の依存関係を説明するための模式図である。 図７は、要件定義・対策立案支援装置１０による要件抽出・対策立案の全体処理例を示すフローチャートである。 図８は、要件定義・対策立案支援装置１０が分析する設計対象のシステム構成例を示す図である。 図９は、システム構成テーブル１００の構成例を示す図である。 図１０は、システム構成テーブル２００の構成例を示す図である。 図１１は、図７の要件抽出・対策立案処理のうちの、ゾーン内及びゾーン境界の機能要件・対策抽出処理例を示すフローチャートである。 図１２は、図７の要件抽出・対策立案処理のうちの、経路に関する機能要件・対策抽出処理例を示すフローチャートである。 図１３は、図７の要件抽出・対策立案処理のうちの、管理要件・対策抽出処理例を示すフローチャートである。 図１４は、図７の要件抽出・対策立案処理のうちの、環境要件・対策抽出処理例を示すフローチャートである。 図１５は、図７の要件抽出・対策立案処理のうちの、依存関係の確認及び要件・対策の追加処理例を示すフローチャートである。 図１６は、図７の要件抽出・対策立案処理の結果作成される機能要件・対策テーブル３００の構成例を示す図である。 図１７は、図７の要件抽出・対策立案処理の結果作成される機能要件・対策テーブル４００の構成例を示す図である。 図１８は、図７の要件抽出・対策立案処理の結果作成される管理要件・対策テーブル５００の構成例を示す図である。 図１９は、図７の要件抽出・対策立案処理の結果作成される環境要件・対策テーブル６００の構成例を示す図である。 図２０は、機能要件・対策テーブル１、機能要件・対策テーブル２、管理要件・対策テーブル、環境要件・対策テーブルを、ゾーン毎にまとめた、ゾーン毎の要件・対策一覧テーブルの構成例及びその出力画面イメージを示す図である。

以下に、本発明の一実施形態について説明する。まず、本実施形態の構成について、図１を用いて説明する。図１は、本実施形態に関わる要件定義・対策立案支援装置１０（シ
ステムセキュリティ設計支援装置）の構成を例示する図である。本実施形態の要件定義・対策立案支援装置１０は、要件−対策データベース１２を保持している。要件−対策データベース１２は、データベース管理者が構築して管理を行う。セキュリティ設計者は、要件定義・対策立案支援装置１０を用いて対象システムの要件定義、対策立案を実施する。なお、以下、本明細書では、「データベース」を「ＤＢ」と略称する。

次に、図２を用いて、図１の要件定義・対策立案支援装置１０について説明する。図２は、要件定義・対策立案支援装置１０のソフトウェア構成例を示す図である。

要件定義・対策立案支援装置１０は、処理部２０ａと、記憶部２０ｂと、ＤＢ管理者やセキュリティ設計者からの指示やデータの受付等を行う入出力部２０ｃとを有する。

処理部２０ａは、ＤＢ管理者からの指示に基づき要件−対策ＤＢ１２の構築や追加、削除等の管理を行うための要件−対策ＤＢ管理部２１と、セキュリティ設計者から入力された情報と要件−対策ＤＢ１２のデータとに基づき要件及び対策の抽出を行うための要件定義・対策立案処理部２２と、要件定義・対策立案支援装置１０の各部を統括的に制御するための制御部２３とを有する。

記憶部２０ｂには、前記の要件−対策ＤＢ１２を保持するための記憶領域である要件−対策ＤＢ保持部２４と、入出力部２０ｃから入力されるデータを保持するための記憶領域である入力データ保持部２５と、入出力部２０ｃから出力されるデータを保持するための記憶領域である出力データ保持部２６とが設けられる。

図２に示す要件定義・対策立案支援装置１０は、例えば図３に示すようなハードウェア構成により実現することができる。要件定義・対策立案支援装置１０は、ＣＰＵ（Central Processing Unit）等の演算デバイスを含むプロセッサ３１と、ＲＡＭ（Random Access
Memory）、フラッシュメモリ等の記憶デバイスを含むメモリ３２と、ハードディスクド
ライブ（ＨＤＤ）、半導体ドライブ等の記憶デバイスを含む補助記憶装置３３と、各種光ディスク、ＵＳＢ（Universal Serial Bus）メモリ等の可搬性を有する記憶媒体３８から情報を読み取るための読み取り装置３４と、キーボードやマウス等の入力装置３５と、表示モニタやプリンタ等の出力装置３６と、これらの各装置間のデータ伝送路である内部通信線３７とを備えた、一般的なコンピュータ上に構築することができる。

プロセッサ３１が補助記憶装置３３からメモリ３２上にロードされた所定のプログラムを実行することにより、上述の処理部２０ａの各機能をプロセッサ３１のプロセスとして実現できる。入出力部２０ｃは、プロセッサ３１が入力装置３５、出力装置３６、あるいは読み取り装置３４を利用することにより実現される。また、記憶部２０ｂは、メモリ３２や補助記憶装置３３が提供する論理記憶領域として実現される。

上記所定のプログラムは、予め補助記憶装置３３に格納されていてもよいし、上記コンピュータが利用可能な記憶媒体３８に格納しておき、読み取り装置３４を介して、必要に応じて読み出され、補助記憶装置３３に導入されるものであってもよい。また、要件定義・対策立案支援装置１０は、適宜のネットワークを介して他の外部装置と通信可能に接続されていても構わない。

次に、上記構成の要件定義・対策立案支援装置１０の動作を説明する。本実施形態の要件定義・対策立案支援装置１０の動作の前提として、要件−対策ＤＢ１２が構築される。要件定義・対策立案支援装置１０は、構築された要件−対策ＤＢ１２を利用して要件抽出・対策立案ステップを実行する。

まず、要件−対策ＤＢ構築について説明する。図４は、要件−対策ＤＢ１２の構成例を示す図である。要件−対策ＤＢ１２は、要件定義・対策立案支援装置１０が利用する基礎データであり、あらかじめＤＢ管理者がデータを入力して要件−対策ＤＢ保持部２４に格納しておく。要件−対策ＤＢ１２の各レコードには、セキュリティ要件４０３と、それに対するセキュリティ対策４１３とが含まれる。なお、図４の要件−対策ＤＢ１２に記録されている各欄の内容は説明のための例示であり、いかなる意味でも本実施形態の発明を限定するものではない。このことは、後出の他のＤＢ、テーブル類についても同様である。

セキュリティ要件４０３は、対象システムのセキュリティ確保のために必要とされる機能を意味し、要件の識別子である要件ＩＤ４０４、要件の内容４０５、当該要件がどの標準規格で求められるものかを示す対応規格４０６、及び当該要件が他のどの要件と依存関係があるかを示す依存関係４１０の各項目を備えて構成される。対応規格４０６は、当該規格の識別子である規格名４０７と、当該要件がどのタイプのゾーンに求められる要件かを示す適用タイプ４０８と、当該要件がどのレベルのゾーンに求められる要件かを示す適用レベル４０９から構成される。適用タイプ４０８の種類は、後述する図５の適用タイプの種類テーブル５０に示している。依存関係４１０は、当該要件を満たすためには他の要件を必ず満たす必要があることを示す必須４１０と、当該要件を満たすためには他の要件を満たすことが推奨されることを示すオプション４１２とを備えて構成される。依存関係のイメージは、図６に関して後述する。

ＤＢ管理者は、対象システムについて適用すべき標準規格の情報を基に、要件の内容４０５と対応規格４０６とを入力する。また、ＤＢ管理者は、依存関係４１０には、当該ＤＢ管理者が検討した依存関係に関する検討結果を入力する。

セキュリティ対策４１３には、対応するセキュリティ要件４０３を満たすための対策として、どのレベルの対策が必要かを、Ｈｉｇｈ４１３、Ｍｉｄｄｌｅ４１５、Ｌｏｗ４１６の３つのレベルに分けて記述している。セキュリティ対策４１３には、ＤＢ管理者が検討した結果が入力される。

図４に示すように、要件−対策ＤＢ１２の各レコードは、機能要件４１７と、管理要件４２１と、環境要件４２２との３つの大分類に分けて登録される。機能要件４１７には、機能の開発や製品購入など、システム的に対応が必要な要件を配置する。管理要件４２１には、運用員による作業や、手順書の準備など、運用・管理上の対応が必要な要件を配置する。環境要件４２２には、データセンタの設備やフィールド機器の配置環境など、環境上の対応が必要な要件を配置する。なお、上記３つの大分類のうち、複数に関連する要件は、複数の分類に要件を配置する。

機能要件４１７は、更に３つの中分類であるゾーン内４１８、ゾーン境界４１９、及び経路４２０に分類される。ゾーン内４１８には、内部不正など、内部の攻撃に対する対策が必要な要件を配置する。ゾーン境界４１９には、標的型攻撃など外部からの攻撃に対する対策が必要な要件を配置する。経路４２０には、２つのゾーン間で情報を通信する場合において、両ゾーンで対となる対策が必要な要件を配置する。なお、上記３つの中分類のうち、複数に関連する要件は、複数の分類に要件を配置する。ゾーン境界４１９は、一つのゾーンとそこに接続される経路４２０との接続部分であると位置づけることができる。

ＤＢ管理者は、標準規格で記述される各要件を、大分類４０１及び中分類４０２のどこに配置するかを検討し、検討した結果を入力する。

図５に、適用タイプ４０８の種類を示すテーブル５０の構成例を示している。本適用タイプの種類テーブル５０は、標準規格５０１、適用タイプの識別子である適用タイプＩＤ
５０２、及び適用タイプの種類を示すゾーンのタイプ５０３を備えて構成される。ＤＢ管理者は、予め標準規格の情報を基に本テーブルを作成しておく。図５に示している各レコードは、ＮＥＲＣ、ＮＩＳＴ等が規定しているセキュリティ規格に関して例示している。

次に、要件の依存関係について説明する。図６は、要件−対策ＤＢ１２に記録される依存関係４１０の関係がどのような意味を持つのかをイメージで示した図である。図６の矩形で示す各要素は要件を示しており、要素間を結合する矢印はその要素間に依存関係があることを示している。実線矢印は必須の依存関係を、破線矢印はオプションの依存関係であることを示す。例えば、「［機能］認証（リモート）」から「［機能］パスワード変更」への破線矢印は、認証を実施する場合には、パスワード変更も同時に適用することが推奨されることを意味する。また「［運用］パスワード定期更新」から「［機能］パスワード変更」への実線矢印は、パスワード定期更新の運用を実施する場合には、パスワード変更機能が必ず必要になることを意味する。

以上の要件−対策ＤＢ１２の構築は、要件定義・対策立案支援装置１０の処理部２０ａに設けられている要件・対策ＤＢ管理部２１を介して、基本的に、ＤＢ管理者が、要件定義・対策立案支援装置１０の構築時に一度だけ実施すればよい。いったん構築後に標準規格の内容に変更が生じたり、新たな標準規格の情報を要件−対策ＤＢ１２に追加する場合にも、ＤＢ管理者が上記要件−対策ＤＢ１２構築と同様の処理を行うことになる。

次に、要件定義・対策立案支援装置１０によって実行される要件抽出・対策立案処理について説明する。図７は、この要件抽出・対策立案全体処理例を説明するためのフローチャートである。

まず、要件定義・対策立案支援装置１０に要件抽出・対策立案処理を実行させる前段階で、セキュリティ設計者は、設計対象のシステムに関して、システム構成情報を作成する。システム構成情報の作成方法の例を、図８〜１０を用いて説明する。

図８は、設計対象のシステム構成の例を示す図である。本事例では、対象システムはゾーン１〜ゾーン４の４つのゾーンから構成され、ゾーン１は重要度がＨｉｇｈのコントロールセンタ、ゾーン２と４は重要度がＬｏｗのフィールド機器、ゾーン３は重要度がＭｉｄｄｌｅのフィールド機器となっている。ゾーン１と２、ゾーン１と３、ゾーン３と４は、各ゾーン間でデータ通信を行い、それぞれ経路２−１、経路３−１、経路４−３と名前がつけられている。各経路のデータ通信で流れる情報は、それぞれ重要度がＬｏｗ、Ｍｉｄｄｌｅ、Ｌｏｗとなっている。

セキュリティ設計者は、このような設計対象システムの情報を基に、システム構成情報を作成する。システム構成情報は、図９のシステム構成テーブル１００と、図１０のシステム構成テーブル２００とを含んで構成される。

システム構成テーブル１００はシステムに含まれる各ゾーンのセキュリティ上の属性を示しており、各ゾーンの識別子であるゾーン９０１、当該ゾーンの重要度を示すレベル９０２、当該ゾーンのタイプを示すゾーンタイプ９０３、及び当該ゾーンがどのようなゾーン内やゾーン境界から構成されるのかを示す構成情報９０４の各項目を備えて構成される。セキュリティ設計者は、図８の情報を基にゾーン９０１、レベル９０２、及び構成情報９０４の各項目を入力する。また、図８の情報及び図５の適用タイプの種類テーブル５０を基に、各ゾーンのタイプに当てはまるゾーンタイプの適用タイプＩＤ５０２を、システム構成テーブル１００のゾーンタイプ９０３に入力する。

システム構成テーブル２００は、システムに含まれるデータ通信経路に関する情報を示
しており、経路１００１、アクセス元及びアクセス先の構成情報１００２、当該構成情報１００２が含まれるゾーンの重要度を示すレベル１００３、当該構成情報１００２が含まれるゾーンのタイプを示すゾーンタイプ１００４、及び当該経路を流れる情報のレベル１００５の各項目を備えて構成される。セキュリティ設計者は、図８の情報を基に、経路１００１と、アクセス元及びアクセス先の構成情報１００２と、流れる情報のレベル１００５とをシステム構成テーブル２００に入力する。また、レベル１００３とゾーンタイプ１００４は、システム構成テーブル１００と対応づけられている情報をシステム構成テーブル２００にも入力する。例えば、アクセス元の構成情報１００２が「ゾーン境界２」である場合、システム構成テーブル１００の構成情報９０４から「ゾーン境界２」を検索し、対応するレコードのレベル９０２及びゾーンタイプ９０３を、システム構成テーブル２００のレベル１００３及びゾーンタイプ１００４へ入力する。

以上の処理を実施することで、セキュリティ設計者はシステム構成テーブル１００及び２００が作成され、システムに含まれるゾーンごとのセキュリティ対策レベル等が整理される。

ここまでの準備を終えると、セキュリティ設計者は、要件定義・対策立案支援装置１０に対して入力情報をインプットし、要件定義・対策立案処理を要求する。入力されるデータは、すでに作成されたシステム構成テーブル１００及び２００の内容である。

以下、図７に従って、要件定義・対策立案支援装置１０の要件定義・対策立案処理について説明する。要件定義・対策立案処理は、要件定義・対策立案支援装置１０の要件定義・対策立案処理部２２が動作主体となって実行されるが、煩雑さを避けるため、要件定義・対策立案処理部２２のことを、以下「装置１０」と略称することとする。まず、装置１０は、入力情報であるシステム構成テーブル１００及び２００に記録されている情報を入力データとして受信し、入力データ保持部２５に保持する（Ｓ７０１）。装置１０は、それを基に要件−対策ＤＢ１２から、当該システムの各ゾーンで対応すべきセキュリティ要件と、それに対する対策を抽出する。具体的には、装置１０は、ゾーン内及びゾーン境界に関する機能要件・対策の抽出処理（Ｓ７０２）、経路に関する機能要件・対策の抽出処理（Ｓ７０３）、各ゾーンの管理要件・対策抽出処理（Ｓ７０４）、各ゾーンの環境要件・対策抽出処理（Ｓ７０５）、及び依存関係の確認及び要件・対策の追加処理（Ｓ７０６）を実施する。そして、装置１０は、これらの処理の結果、図１６〜図１９に例示する要件・対策テーブルを作成して提示し、処理を終了する（Ｓ７０７）。

次に、図７のＳ７０２〜Ｓ７０６の各処理の具体的な処理フロー例を、それぞれ図１１〜１５に示すフローチャートを用いて説明する。

まず、ゾーン内及びゾーン境界の機能要件・対策抽出の処理について説明する。図１１は、図７のＳ７０２のゾーン内及びゾーン境界の機能要件・対策抽出の処理例を説明するフローチャートである。まず、装置１０は、システム構成テーブル１００の先頭のレコードから、ゾーンの情報であるゾーン９０１、レベル９０２、及びゾーンタイプ９０３を取得する（Ｓ１１０１）。具体的には、図９を参照し、「ゾーン１」、「Ｈｉｇｈ」、「ＮＣ‐０１，ＮＣ‐０３，ＮＣ‐０５」という値を取得する。取得した情報のうち、ゾーン９０１の情報を、図１６に示す機能要件・対策テーブル３００へ格納する（Ｓ１１０２）。具体的には、図１６の機能要件・対策テーブル３００のゾーン１６０１に「ゾーン１」を格納する。図１６の機能要件・対策テーブル３００は、装置１０の構築時に、例えば出力データ保持部２６にあらかじめ用意しておく。

次に、装置１０は、システム構成テーブル１００から、現在のゾーン（ゾーン１）に対応する構成情報９０４を１項目取得し、機能要件・対策テーブル３００の構成情報１６０
２へ格納する（Ｓ１１０３）。具体的には、装置１０は、機能要件・対策テーブル３００の構成情報１６０２に、「ゾーン内１」を格納する。

そして、装置１０は、要件−対策ＤＢ１２の大分類４０１が「機能要件」であり、中分類４０２がＳ１１０３で取得した構成情報９０４と同じ分類であるレコードについて、１レコード取得する（Ｓ１１０４）。具体的には、装置１０は、大分類４０１が「機能要件」、中分類４０２が「ゾーン内」の分類のレコードから一つ目のレコードである要件ＩＤが「ＦＺ００１」で特定される１行のレコードを取得する。

次いで、装置１０は、Ｓ１１０４で取得したレコードについて、当該ゾーンの要件・対策として抽出すべきかどうかを判断する（Ｓ１１０５）。抽出するか否かの判断は、（１）Ｓ１１０４で取得したレコードの適用タイプ４０８の中に、Ｓ１１０１で取得したゾーンタイプ９０３のいずれかが含まれていること、かつ（２）Ｓ１１０４で取得したレコードの適用レベル４０９の中に、Ｓ１１０１で取得したレベル９０２が含まれていること、の条件が満たされているかをチェックすることで行う。具体的には、装置１０は、要件ＩＤが「ＦＺ００１」で特定される要件には、Ｓ１１０１で取得した「Ｈｉｇｈ」と「ＮＣ−０１，ＮＣ−０３」が含まれる為、抽出すべき要件と判断する。前記のＡＮＤ条件を満たさない場合は、抽出すべき要件とは判断されない。

Ｓ１１０５で、当該レコードを抽出すべきだと判断した場合、装置１０は、当該レコードを機能要件・対策テーブル３００へ格納する（Ｓ１１０６）。具体的には、装置１０は、Ｓ１１０４で取得したレコードのうち、セキュリティ要件４０３の情報を、機能要件・対策テーブル３００のセキュリティ要件１６０３に格納する。また、Ｓ１１０４で取得したレコードのうち、セキュリティ対策４０３の部分については、Ｓ１１０１で取得したレベル９０２と同じレベル（今回の例では「Ｈｉｇｈ」）に記述された対策を、機能要件・対策テーブル３００のセキュリティ対策１６１０へ格納する。

装置１０は、以上のＳ１１０４〜Ｓ１１０６の処理を、要件−対策ＤＢ１２の対象レコード全てについて実施し、当該ゾーンの各構成要素で要求される要件及び対策を抽出する。なお、対象レコードとは、要件−対策ＤＢ１２の大分類４０１が「機能要件」であり、中分類４０２がＳ１１０３で取得した構成情報９０４と同じ分類であるレコードである。

対象レコード全てについてチェックが終了したと判定した場合（Ｓ１１０７，Ｙｅｓ）、装置１０はシステム構成テーブル１００をチェックし、当該ゾーンに対応する構成情報がまだあるかどうかをチェックする（Ｓ１１０８）。処理していない構成情報があると判定した場合（Ｓ１１０８，Ｎｏ）、装置１０はＳ１１０３に戻り、次の構成情報９０４を取得する。

当該ゾーンに対応する構成情報９０４全てに対して処理が終了したと判定した場合（Ｓ１１０８，Ｙｅｓ）、装置１０はシステム構成テーブル１００をチェックし、次のゾーン９０１がまだあるかどうかをチェックする（Ｓ１１０９）。処理していないゾーンがあると判定した場合（Ｓ１１０９，Ｎｏ）、装置１０はＳ１１０１に移動し、次のゾーン９０１を取得する。全てのゾーンに対する処理が終了したと判定した場合（Ｓ１１０９，Ｙｅｓ）、装置１０は、ゾーン内及びゾーン境界の機能要件・対策抽出処理を終了する。以上の処理により、要件−対策ＤＢ１２に規定されている各ゾーンについてのセキュリティ要件及び対策が、漏れなく抽出されることになる。

次に、図７の全体処理フローのＳ７０３の処理である経路に関する機能要件・対策抽出の処理について説明する。図１２は、経路に関する機能要件・対策抽出の処理例を説明するためのフローチャートである。まず、装置１０は、システム構成テーブル２００の１つ
目の経路に関するレコードから、経路の情報である経路１００１、アクセス元構成情報１００２、アクセス先構成情報１００２、アクセス先構成情報のレベル１００３、アクセス先構成情報のゾーンタイプ１００４、及び流れる情報のレベル１００５を取得する（Ｓ１２０１）。具体的には、図１０の例では、「経路２−１」、「ゾーン境界２」、「ゾーン境界１−１」、「Ｌｏｗ」、「Ｈｉｇｈ」、「ＮＣ‐０１，ＮＣ‐０３，ＮＣ‐０５」、「Ｌｏｗ」という値を取得する。取得した情報のうち、経路１００１、アクセス元構成情報１００２、アクセス先構成情報１００２の情報を、図１７に示す機能要件・対策テーブル４００へ格納する（Ｓ１２０２）。具体的には、機能要件・対策テーブル４００の経路１７０２に「経路２−１」を、構成情報（アクセス元／アクセス先）１７０２に「ゾーン境界２」と「ゾーン境界１−１」とを格納する。図１７の機能要件・対策テーブル４００は、装置１０の構築時に、例えば出力データ保持部２６にあらかじめ用意しておく。

次に、装置１０は、図４の要件−対策ＤＢ１２の大分類４０１が「機能要件」であり、中分類４０２が「経路」であるレコードについて、１レコード取得する（Ｓ１２０３）。具体的には、大分類４０１が「機能要件」、中分類４０２が「経路」の分類のレコードから一つ目のレコードである要件ＩＤが「ＦＣ００１」で特定される１行のレコードを取得する。

ここで、装置１０は、Ｓ１２０３で取得したレコードについて、当該経路の要件・対策として抽出すべきかどうかを判断する（Ｓ１２０４）。抽出するかどうかの判断は、（１）Ｓ１２０３で取得したレコードの適用タイプ４０８の中に、Ｓ１２０１で取得したアクセス先構成要素のゾーンタイプ９０３のどれかが含まれていること、かつ（２）Ｓ１２０３で取得したレコードの適用レベル４０９の中に、Ｓ１２０１で取得したアクセス先構成情報のレベル９０２が含まれていることの条件が成立するかをチェックすることで行う。具体的には、図４の例では、要件ＩＤが「ＦＣ００１」の要件には、Ｓ１２００１で取得した「Ｈｉｇｈ」（適用レベル４０９には「Ｈ／Ｍ」すなわち「ＨｉｇｈまたはＭｉｄｄｌｅ」と記録されている）と「ＮＣ−０１」が含まれるため、抽出すべき要件として判断される。前記どちらかの条件を満たさない場合は、抽出すべき要件とは判断されない。

Ｓ１２０４で、当該レコードを抽出すべきだと判断した場合（Ｓ１２０４，Ｙｅｓ）、装置１０は、当該レコードを機能要件・対策テーブル４００へ格納する（Ｓ１２０５）。具体的には、Ｓ１２０３で取得したレコードのうち、セキュリティ要件４０３の情報を、機能要件・対策テーブル４００のセキュリティ要件１７０３に格納する。このとき、アクセス元構成情報１７０２である「ゾーン境界２」と、アクセス先構成情報１７０２である「ゾーン境界１−１」の両方のレコードに対して、セキュリティ要件４０３の情報を格納する。

また、Ｓ１２０３で取得したレコードのうち、セキュリティ対策４１３の部分については、Ｓ１２０１で取得した流れる情報のレベル１００５と同じレベル（今回の例では「Ｌｏｗ」）に記述された対策を、機能要件・対策テーブル４００のセキュリティ対策１７１０へ格納する。Ｓ１２０４で、当該レコードを抽出すべきでない判断した場合（Ｓ１２０４，Ｎｏ）、装置１０は、Ｓ１２０６の処理に移る。

装置１０は、以上のＳ１２０３〜Ｓ１２０５の処理を、要件−対策ＤＢ１２の対象レコード全てについて実施し、当該経路で要求される要件及び対策を抽出する（Ｓ１２０６がＮｏの場合、Ｓ１２０３に戻る）。なお、対象レコードとは、要件−対策ＤＢ１２の大分類４０１が「機能要件」であり、中分類４０２が「経路」であるレコードである。

対象レコード全てについてチェックが終了したと判定した場合（Ｓ１２０６，Ｙｅｓ）、装置１０は、システム構成テーブル２００をチェックし、経路１００１のデータがまだ
あるかどうかをチェックする（Ｓ１２０７）。処理していない経路１００１があると判定した場合（Ｓ１２０７，Ｎｏ）、装置１０はＳ１２００１に移動し、次の経路１００１を取得する。全ての経路に対する処理が終了したと判定した場合（Ｓ１２０７，Ｙｅｓ）、装置１０は、経路に関する機能要件・対策抽出処理を終了する。以上の処理により、要件−対策ＤＢ１２に規定されている各経路についてのセキュリティ要件及び対策が、漏れなく抽出されることになる。

次に、図７の全体処理フローのＳ７０４の処理である管理要件・対策抽出の処理について説明する。図１３は、管理要件・対策抽出の処理例を説明するフローチャートである。本処理を開始すると、まず、装置１０は、システム構成テーブル１００から、ゾーンの情報であるゾーン９０１と、レベル９０２と、ゾーンタイプ９０３とを取得する（Ｓ１３０１）。具体的には、装置１０は、図９を参照して、「ゾーン１」、「Ｈｉｇｈ」、および「ＮＣ‐０１，ＮＣ‐０３，ＮＣ‐０５」という値を取得する。取得した情報のうち、ゾーン９０１の情報を、図１８に示す管理要件・対策テーブル５００へ格納する（Ｓ１３０２）。具体的には、管理要件・対策テーブル５００のゾーン１８０１に「ゾーン１」を格納する。図１８の管理要件・対策テーブル５００は、装置１０の構築時に、例えば出力データ保持部２６にあらかじめ用意しておく。

次に、装置１０は、要件−対策ＤＢ１２の大分類４０１が「管理要件」であるレコードについて、１レコード取得する（Ｓ１３０３）。具体的には、大分類４０１が「管理要件」の分類のレコードから一つ目のレコードである要件ＩＤが「ＯＰ００１」で特定される１行のレコードを取得する。

装置１０は、Ｓ１３００３で取得したレコードについて、当該ゾーンの要件・対策として抽出すべきかどうかを判断する（Ｓ１３０４）。抽出するかどうかの判断は、（１）Ｓ１３０３で取得したレコードの適用タイプ４０８の中に、Ｓ１３０１で取得したゾーンタイプ９０３のどれかが含まれていること、かつ（２）Ｓ１３０３で取得したレコードの適用レベル４０９の中に、Ｓ１３０１で取得したゾーンのレベル９０２が含まれていることの条件が成立するかチェックすることで行う。具体的には、要件ＩＤが「ＯＰ００１」の要件には、Ｓ１３００１で取得した「Ｈｉｇｈ」と「ＮＣ−０１，ＮＣ−０３」とが含まれる為、抽出すべき要件として判断される。前記のどちらかの条件を満たさない場合は、抽出すべき要件とは判断されない。

Ｓ１３０４で、当該レコードを抽出すべきだと判断した場合（Ｓ１３０４，Ｙｅｓ）、装置１０は、当該レコードを管理要件・対策テーブル５００へ格納する（Ｓ１３０５）。具体的には、装置１０は、Ｓ１３０３で取得したレコードのうち、セキュリティ要件４０３の情報を、管理要件・対策テーブル５００のセキュリティ要件１８０２に格納する。

また、装置１０は、Ｓ１３０３で取得したレコードのうち、セキュリティ対策４１３の部分については、Ｓ１３０１で取得したレベル９０２と同じレベル（今回の例では「Ｈｉｇｈ」）に記述された対策を、管理要件・対策テーブル５００のセキュリティ対策１８０９へ格納する。

装置１０は、Ｓ１３０６で要件−対策ＤＢ１２の対象レコードについてチェックが終了したか判定し、終了していないと判定した場合（Ｓ１３０６，Ｎｏ）、以上のＳ１３０３〜Ｓ１３０５の処理を、要件−対策ＤＢ１２の対象レコード全てについて実施し、当該ゾーンで要求される要件及び対策を抽出する。なお、対象レコードとは、要件−対策ＤＢ１２の大分類４０１が「管理要件」であるレコードである。

対象レコード全てについてチェックが終了したと判定した場合（Ｓ１３０６，Ｙｅｓ）
、装置１０はシステム構成テーブル１００をチェックし、ゾーン９０１のデータがまだあるかどうかをチェックする（Ｓ１３０７）。処理していないゾーン９０１があると判定した場合（Ｓ１３０７,Ｎｏ）、Ｓ１３０１に移動し、次のゾーン９０１を取得する。全て
のゾーン９０１に対する処理が終了したと判定した場合（Ｓ１３０７，Ｙｅｓ）、装置１０は管理要件・対策抽出処理を終了する。以上の処理により、要件−対策ＤＢ１２に規定されている管理要件についてのセキュリティ要件及び対策が、漏れなく抽出されることになる。

次に、図７のＳ７０５の処理である環境要件・対策抽出の処理について説明する。図１４は、環境要件・対策抽出の処理例を説明するフローチャートである。装置１０は、処理を開始すると、まず、システム構成テーブル１００から、ゾーンの情報であるゾーン９０１と、レベル９０２と、ゾーンタイプ９０３とを取得する（Ｓ１４０１）。具体的には、装置１０は、図９を参照して、「ゾーン１」、「Ｈｉｇｈ」、「ＮＣ‐０１，ＮＣ‐０３，ＮＣ‐０５」という値を取得する。取得した情報のうち、ゾーン９０１の情報を、図１９に示す環境要件・対策テーブル６００へ格納する（Ｓ１４００２）。具体的には、装置１０は、環境要件・対策テーブル６００のゾーン１９０１に「ゾーン１」を格納する。図１９の環境要件・対策テーブル６００は、装置１０の構築時に、例えば出力データ保持部２６にあらかじめ用意しておく。

次に、装置１０は、要件−対策ＤＢ１２の大分類４０１が「環境要件」であるレコードについて、１レコード取得する（Ｓ１４０３）。具体的には、装置１０は、大分類４０１が「環境要件」の分類のレコードから一つ目のレコードである要件ＩＤが「ＥＮ００１」で特定される１行のレコードを取得する。

装置１０は、Ｓ１４００３で取得したレコードについて、当該ゾーンの要件・対策として抽出すべきかどうかを判断する（Ｓ１４０４）。抽出かどうかの判断は、（１）Ｓ１４０３で取得したレコードの適用タイプ４０８の中に、Ｓ１４０１で取得したゾーンタイプ９０３のどれかが含まれていること、かつ（２）Ｓ１４０３で取得したレコードの適用レベル４０９の中に、Ｓ１４０１で取得したゾーンのレベル９０２が含まれていることの条件が成立するかをチェックすることで行う。具体的には、図４を参照すると、要件ＩＤが「ＥＮ００１」のレコードには、Ｓ１４０１で取得した「Ｈｉｇｈ」と「ＮＣ−０１」が含まれるため、抽出すべき要件として判断される。どちらかの条件を満たさない場合は、抽出すべき要件とは判断されない。

Ｓ１４０４で、当該レコードを抽出すべきだと判断した場合（Ｓ１４０４，Ｙｅｓ）、装置１０は、当該レコードを環境要件・対策テーブル６００へ格納する（Ｓ１４０５）。具体的には、装置１０は、Ｓ１４０３で取得したレコードのうち、セキュリティ要件４０３の情報を、環境要件・対策テーブル６００のセキュリティ要件１９０２に格納する。

また、Ｓ１４０３で取得したレコードのうち、セキュリティ対策４１３の部分については、Ｓ１４０１で取得したレベル９０２と同じレベル（今回の例では「Ｈｉｇｈ」）に記述された対策を、環境要件・対策テーブル６００のセキュリティ対策１９０９へ格納する。

装置１０は、Ｓ１４０６で要件−対策ＤＢ１２の対象レコードについてチェックが終了したか判定し、終了していないと判定した場合（Ｓ１４０６，Ｎｏ）、以上のＳ１４０３〜Ｓ１４０５の処理を、要件−対策ＤＢ１２の対象レコード全てについて実施し、当該ゾーンで要求される要件及び対策を抽出する（ステップＳ１４０６）。なお、対象レコードとは、要件−対策ＤＢ１２の大分類４０１が「環境要件」であるレコードである。

対象レコード全てについてチェックが終了したと判定した場合（Ｓ１４０６，Ｙｅｓ）、装置１０は、システム構成テーブル１００を参照し、ゾーン９０１のデータがまだあるかどうかをチェックする（Ｓ１４０７）。処理していないゾーン９０１があると判定した場合（Ｓ１４０７，Ｎｏ）、装置１０はＳ１４０１に移動し、次のゾーン９０１を取得する。全てのゾーン９０１に対する処理が終了したと判定した場合（Ｓ１４０７，Ｙｅｓ）、装置１０は環境要件・対策抽出処理を終了する。以上の処理により、要件−対策ＤＢ１２に規定されている環境要件についてのセキュリティ要件及び対策が、漏れなく抽出されることになる。

次に、図７のＳ７０６の処理である依存関係の確認及び要件・対策の追加処理について説明する。図１５は、依存関係の確認及び要件・対策の追加処理例を説明するフローチャートである。処理を開始すると、まず、装置１０は、機能要件・対策テーブル３００、機能要件・対策テーブル４００、管理要件・対策テーブル５００、及び環境要件・対策テーブル６００（以下、これら４つのテーブルを「要件・対策テーブル」と総称する）から、１レコードを取得する（Ｓ１５０１）。例えば、機能要件・対策テーブル４００から、１つ目の要件である要件ＩＤが「ＦＣ００１」で特定される１行のレコードを、ゾーン境界２の要件として取得する。

次に、装置１０は、Ｓ１５０１で取得したレコードの依存関係に書かれた要件ＩＤの要件が、同じゾーンの要件として要件・対策テーブルに記述されているかどうかを確認する（Ｓ１５０２）。具体的には、装置１０は、Ｓ１５０１で取得したレコードの依存関係の項目（例えば機能要件・対策テーブル４００の符号１７０７）から、依存関係がある要件の要件ＩＤとその種別（必須またはオプション）として、「ＦＧ００２，ＯＰ００１」と「オプション」という値を取得する。当該要件ＩＤと、当該レコードが属するゾーン（この場合は「ゾーン２」）をキーにして、全ての要件・対策テーブルを検索する。キーがマッチする要件が検出された場合（Ｓ１５０２，Ｙｅｓ）、装置１０は、次のＳ１５０４に進む。キーがマッチする要件が検出されなかった場合（Ｓ１５０２，Ｎｏ）、装置１０は、当該要件ＩＤをキーに、要件−対策ＤＢ１２を検索し、当該要件ＩＤに対応するセキュリティ要件４０３とセキュリティ対策４１３を、要件・対策テーブルに追加する（Ｓ１５０３）。このとき、要件−対策ＤＢ１２の依存関係による追加情報欄に依存関係の種別（必須又はオプション）に応じて、符号１または２を記述する。具体的には、要件−対策ＤＢ１２からＦＧ００２で特定されるレコードを取得し、機能要件・対策テーブル３００のゾーン境界２の要件と対策に追加する。また、当該追加レコードの依存関係による追加情報１６１１に、オプションの依存関係で追加したことを示す「２」を格納する。

装置１０は、Ｓ１５０１〜Ｓ１５０３の処理を、要件・対策テーブルの全てのレコードについて実施し、全てのレコードについて処理を実施したと判定した場合（Ｓ１５０４，Ｙｅｓ）、依存関係の確認および要件・対策の追加処理を終了する。

以上で、装置１０は、要件−対策ＤＢ１２とシステム構成テーブル１００、２００に基づいて、項目漏れや抜けのない要件・対策テーブルを完成する。また、セキュリティ要件間の依存関係に基づいて追加したセキュリティ要件にはそれがシステム設計上必須なのかオプション扱いなのかに応じて識別符号が付されているので、追加されたセキュリティ要件の属性が一目で判別できるようになる。

図７の全体処理フローに戻ると、装置１０は、Ｓ７０２〜Ｓ７０６の処理で作成した要件・対策テーブル（機能要件・対策テーブル３００、４００、管理要件・対策テーブル５００、及び環境要件・対策テーブル６００の４つのテーブル）について、図８のようにシステムを構成しているゾーンを軸にした一覧形式に整理し、入出力部２０ｃから出力装置３６を通じて表示等の出力処理を行う（Ｓ７０７）。図２０に、ゾーン毎に整理した要件
・対策一覧テーブル７００の構成例を示している。

システムのセキュリティ設計者は、装置１０から出力されるゾーン毎の要件・対策一覧テーブル７００を参照しつつ問題点の有無等を検討し、その後の設計工程を推進することができる。

なお、上記実施形態では、要件−対策ＤＢ１２には標準規格の要件を基に要件と対策を登録することを前提としているが、標準規格ではなく、ＤＢ管理者が独自に定める要件と対策を登録するようにしてもよい。

また、図４に例示した要件−対策ＤＢ１２の適用レベル４０９やセキュリティ対策４１３等のレベルは、Ｈｉｇｈ、Ｍｉｄｄｌｅ、Ｌｏｗの３段階を設定しているが、レベル分けの態様はこれに限るものではない。

以上説明したように、本発明の実施形態によれば、二つのゾーン間で実施されるデータ通信に関る要件を「経路」に関する要件として分けて考え、経路の要件に対するセキュリティ対策は、ゾーンのレベルではなく、流れる情報のレベルに応じて対策のレベルを選択することにより、経路毎に必要なレベルでの対策が可能となる。この結果過剰・過小対策を防止し、全体的に整合性の取れた対策を設計者に提示可能となる。ゾーン間でのデータ通信に対するセキュリティ対策を、ゾーンのレベルでなく、経路を流れる情報のレベルに応じて決定することで、過剰なセキュリティ対策を防止でき、コストの効率化が図れる。

また、二つのゾーンに関る要件を、「経路」という分類に分けて考え、当該要件を送信元および送信先ゾーンの要件及び対策として抽出することにより、要件および対策の抜け漏れを防ぐことができ、スムーズな設計・開発の推進が可能となる。

また、経路の要件及び対策は、アクセス元ゾーン及びアクセス先ゾーンのそれぞれに対して抽出することにより、従来技術の課題であったアクセス元ゾーンにおける要件の抽出漏れを防止可能となる。

以上のような効果は、設計作業の手戻りを防止するため、セキュリティ設計作業の効率化に寄与することとなる。

なお、本発明は上記した実施形態に限定されるものではなく、様々な変形例が含まれる。例えば，上記した実施形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、実施形態の構成の一部を他の構成に置き換えることが可能であり、また、ある実施形態の構成に他の構成を加えることも可能である。

１０：要件定義・対策立案支援装置
１２：要件−対策データベース
２０ａ：処理部 ２０ｂ：記憶部 ２０ｃ：入出力部
２１：要件−対策ＤＢ管理部
２２：要件定義・対策立案処理部 ２３：制御部
２４：要件−対策ＤＢ保持部
２５：入力データ保持部 ２６：出力データ保持部
３１：プロセッサ ３２：メモリ
３３：補助記憶装置 ３４：読み取り装置
３５：入力装置 ３６：出力装置
３７：内部通信線 ３８：可搬性を有する記憶媒体

Claims (7)

1. システムのセキュリティ設計における要件定義、対策立案を支援するためのシステムセキュリティ設計支援装置であって、
   設計対象システムを、それぞれがセキュリティ設定区画である複数のゾーンで表し、前記各ゾーンを、前記ゾーン間を情報伝送可能に接続する経路と、前記経路と前記各ゾーンとの接続部分であるゾーン境界と、前記ゾーン内部とに分類し、前記各ゾーン内部、前記各経路、及び前記各ゾーン境界に、前記設計対象システムに要求されるセキュリティ上の要件に関する情報であるセキュリティ要件情報と、前記セキュリティ要件を満たすためにとるべき対策を対策強度レベルに分類して示す情報であるセキュリティ対策情報とを関連付けて登録した要件−対策情報保持部と、
   前記各ゾーン内部及び前記各ゾーン境界に対応する前記対策強度レベルを関連付けるとともに、前記各経路には前記対策強度レベル及び当該経路を流通する情報に対応する前記対策強度レベルを関連付けて保持するシステム構成情報保持部と、
   前記システム構成情報保持部から前記設計対象システムを構成する前記ゾーン内部、前記ゾーン境界、及び前記経路の情報を取得し、各前記経路に関する送信元の前記ゾーン境界と送信先の前記ゾーン境界の情報を特定し、前記送信元ゾーン境界及び送信先ゾーン境界に対しては、対応する前記経路に関連付けられている前記対策強度レベルを適用し、それらの対応関係を含む情報を出力する要件定義対策立案処理部と、
   を備えることを特徴とするシステムセキュリティ設計支援装置。
2. 請求項１に記載のシステムセキュリティ設計支援装置であって、
   前記要件−対策情報保持部はさらに、前記セキュリティ要件及び前記セキュリティ対策を、前記各ゾーン内部、前記各経路、及び前記各ゾーン境界が有する機能と関連付けられた機能要件に加え、前記機能を管理するための要件である管理要件情報、及び前記機能を実現するための環境に関する要件である環境要件と関連付けられて保持する
   ことを特徴とするシステムセキュリティ設計支援装置。
3. 請求項２に記載のシステムセキュリティ設計支援装置であって、
   前記要件定義対策立案処理部は、前記各ゾーンについて、前記機能要件、前記管理要件、及び前記環境要件に分類してそれぞれ前記セキュリティ要件情報及び前記セキュリティ対策情報と関連付けるとともに、前記機能要件についてはさらに、前記各ゾーンのゾーン内部と前記ゾーン境界とに分類してそれぞれ前記セキュリティ要件情報及び前記セキュリティ対策情報と対応付けて、入出力部から出力する
   ことを特徴とするシステムセキュリティ設計支援装置。
4. 請求項２に記載のシステムセキュリティ設計支援装置であって、
   前記要件−対策情報保持部はさらに、前記各セキュリティ要件の間において、一の前記セキュリティ要件が他の前記セキュリティ要件の存在に依存しているかを示す情報である依存関係情報を、当該依存関係が必須である、又は必須でないが推奨されるオプションであるという２つの種別で登録し、
   前記要件定義対策立案処理部は、前記要件−対策情報保持部から前記セキュリティ要件と前記セキュリティ対策とを抽出した後で、抽出した前記セキュリティ要件の依存関係を確認し、前記依存関係のある要件がまだ抽出されていないと判定した場合には、前記要件−対策情報保持部から追加で抽出し、
   当該依存関係により追加された前記セキュリティ要件及び前記セキュリティ対策を含めて出力する
   ことを特徴とするシステムセキュリティ設計支援装置。
5. 請求項４に記載のシステムセキュリティ設計支援装置であって、
   前記要件定義対策立案処理部は、前記セキュリティ要件の依存関係により追加した前記セキュリティ要件に対して、必須の前記依存関係により追加された項目なのか、前記オプションの依存関係により追加された項目なのかを示す項目を追加して出力する
   ことを特徴とするシステムセキュリティ設計支援装置。
6. システムのセキュリティ設計における要件定義、対策立案を支援するためのシステムセキュリティ設計支援方法であって、演算処理を行うプロセッサと、前記プロセッサが利用するデータを格納するメモリとを有するコンピュータに、
   設計対象システムを、それぞれがセキュリティ設定区画である複数のゾーンで表し、前記各ゾーンを、前記ゾーン間を情報伝送可能に接続する経路と、前記経路と前記各ゾーンとの接続部分であるゾーン境界と、前記ゾーン内部とに分類し、前記各ゾーン内部、前記各経路、及び前記各ゾーン境界に、前記設計対象システムに要求されるセキュリティ上の要件に関する情報であるセキュリティ要件情報と、前記セキュリティ要件を満たすためにとるべき対策を対策強度レベルに分類して示す情報であるセキュリティ対策情報とが関連付けらられて登録されており、
   前記各ゾーン内部及び前記各ゾーン境界に対応する前記対策強度レベルが関連付けられるとともに、前記各経路には前記対策強度レベル及び当該経路を流通する情報に対応する前記対策強度レベルが関連付けられて保持されており、
   前記コンピュータは、
   前記システム構成情報保持部から前記設計対象システムを構成する前記ゾーン内部、前記ゾーン境界、及び前記経路の情報を取得し、各前記経路に関する送信元の前記ゾーン境界と送信先の前記ゾーン境界の情報を特定し、前記送信元ゾーン境界及び送信先ゾーン境界に対しては、対応する前記経路に関連付けられている前記対策強度レベルを適用し、それらの対応関係を含む情報を出力する、
   ことを特徴とするシステムセキュリティ設計支援方法。
7. システムのセキュリティ設計における要件定義、対策立案を支援するためのシステムセキュリティ設計支援プログラムであって、演算処理を行うプロセッサと、前記プロセッサが利用するデータを格納するメモリとを有するコンピュータに、
   設計対象システムを、それぞれがセキュリティ設定区画である複数のゾーンで表し、前記各ゾーンを、前記ゾーン間を情報伝送可能に接続する経路と、前記経路と前記各ゾーンとの接続部分であるゾーン境界と、前記ゾーン内部とに分類し、前記各ゾーン内部、前記各経路、及び前記各ゾーン境界に、前記設計対象システムに要求されるセキュリティ上の要件に関する情報であるセキュリティ要件情報と、前記セキュリティ要件を満たすためにとるべき対策を対策強度レベルに分類して示す情報であるセキュリティ対策情報とを関連付けられて登録されており、
   前記各ゾーン内部及び前記各ゾーン境界に対応する前記対策強度レベルを関連付けるとともに、前記各経路には前記対策強度レベル及び当該経路を流通する情報に対応する前記対策強度レベルが関連付けられて保持されており、
   前記コンピュータに、
   前記システム構成情報保持部から前記設計対象システムを構成する前記ゾーン内部、前記ゾーン境界、及び前記経路の情報を取得し、各前記経路に関する送信元の前記ゾーン境界と送信先の前記ゾーン境界の情報を特定し、前記送信元ゾーン及び送信先ゾーン境界に対しては、対応する前記経路に関連付けられている前記対策強度レベルを適用し、それらの対応関係を含む情報を出力する処理を実行させる、
   ことを特徴とするシステムセキュリティ設計支援プログラム。

Images