JP2016045736A - セキュリティ設計支援装置およびセキュリティ設計支援方法 - Google Patents

Abstract

【課題】大規模システムに関する効率的なセキュリティ設計を支援可能とする。
【解決手段】セキュリティ設計支援装置１０において、情報セキュリティ上の脅威に対する対策方針の知見を格納したデータベース２０４を記憶する外部記憶装置２００と、対象システムに関して特定されている各脅威の特徴をデータベース２０４に照合して、データベース２０４において各脅威と特徴が類似する類似脅威群を特定し、当該類似脅威群が含む各類似脅威に対応付けされた対策方針群のうち、類似脅威間での出現頻度が所定以上の対策方針を特定し、当該対策方針の情報を所定装置４００に出力する処理を実行する演算装置３００を備える構成とする。
【選択図】図１

Description

本発明は、セキュリティ設計支援装置およびセキュリティ設計支援方法に関するものであり、具体的には、大規模システムに関する効率的なセキュリティ設計を支援可能とする技術に関する。

情報システム分野においては、１９９０年代後半からのインターネット技術の普及、発展に伴い、システムの脆弱箇所を起点に情報漏洩や機能ダウン等を狙ったサイバー攻撃が年々増加した経緯があり、そうしたサイバー攻撃を効果的かつ効率的に防ぐべく、セキュリティ設計が重要視されてきた。また、ＩＥＣ２７０００をはじめとする標準規格においてもセキュリティ設計の実施が要求されることとなり、情報システム分野ではセキュリティ設計を効率的に実施するための様々な技術が提案されている。このセキュリティ設計とは、セキュアなシステムを構築するため、対象システムにおいて価値があるもの（以降、資産とする）に対して、発生しうる脅威の抽出を行い、抽出した脅威に対して適切なセキュリティ対策を講じるためのセキュリティ対策方針の立案を実施する一連のプロセスである。

こうしたセキュリティ設計に関する従来技術としては、例えば、脅威分析から得られたセキュリティ対策方針に関連したセキュリティ目標を確認でき、脅威分析だけではなく、システムの要求仕様から得られたセキュリティ対策方針とセキュリティ機能要件の設計をも支援することを目的として、セキュリティ設計支援装置が、セキュリティ目標毎に、対策方針種別、セキュリティ対策方針識別子、複数のセキュリティ対策方針及び１つ以上のセキュリティ機能要件識別子を含むゴールモデル情報を記憶したゴールモデルＤＢを備え、セキュリティ目標に基づいて読み出されたゴールモデル情報から抽出されたセキュリティ対策方針で脅威分析結果内のセキュリティ対策方針を書き換えて両者を一体化することにより、読み出されたゴールモデル情報と脅威分析結果とを合成する技術（特許文献１参照）などが提案されている。

特開２０１１−４８５６０号公報

一方、上述の情報システム以外の産業用機械や各種社会インフラシステム等におけるＩＴ化も進展し、これに応じた汎用ＯＳ、標準プロトコルの採用も増える傾向にある。こうした状況においては、それまでセキュリティ対策が不十分であった社会インフラシステム等に対するサイバー攻撃も増加傾向にあり、汎用制御システムにおけるセキュリティに関する標準規格ＩＥＣ６２４４３をはじめとする標準規格、ガイドライン等で社会インフラシステムに対するセキュリティ設計の実施を要求することとなった。

ところが、セキュリティ設計の特徴として、対象システムの資産に対して発生しうる脅威を抽出するため、対象が大規模システムであれば、膨大な資産に関して多大な工期と工数が必要となってしまうという課題がある。特に、対象が社会インフラシステムの場合、多くのサブシステムが存在し、そうしたサブシステム間のデータ等のやり取りも複雑なため、脅威の数も膨大となる。また、抽出した脅威に対して適切な対策方針を導出する場合、１つの脅威に対して数個の対策方針が立案される。よって、社会インフラシステムをはじめとする大規模システムにおける膨大な数の脅威に対して対策方針を立案すると、さらに膨大な数の対策方針が導出されることとなる。また、脅威発生箇所毎に多くの対策方針が導出されるため、実施すべき対策方針の選定にも工期、工数を要することとなる。

そこで本発明の目的は、大規模システム(以下、制御システム)に関する効率的なセキュリティ設計を支援可能とする技術を提供することにある。

上記課題を解決する本発明のセキュリティ設計支援装置は、情報セキュリティ上の脅威に対する対策方針の知見を格納したデータベースを記憶する記憶装置と、対象システムに関して特定されている各脅威の特徴を前記データベースに照合して、前記データベースにおいて前記各脅威と特徴が類似する類似脅威群を特定し、当該類似脅威群が含む各類似脅威に対応付けされた対策方針群のうち、前記類似脅威間での出現頻度が所定以上の対策方針を特定し、当該対策方針の情報を所定装置に出力する処理を実行する演算装置と、を備えることを特徴とする。

また、本発明のセキュリティ設計支援方法は、情報セキュリティ上の脅威に対する対策方針の知見を格納したデータベースを記憶する記憶装置を備えた情報処理装置が、対象システムに関して特定されている各脅威の特徴を前記データベースに照合して、前記データベースにおいて前記各脅威と特徴が類似する類似脅威群を特定し、当該類似脅威群が含む各類似脅威に対応付けされた対策方針群のうち、前記類似脅威間での出現頻度が所定以上の対策方針を特定し、当該対策方針の情報を所定装置に出力する処理を実行することを特徴とする。

本発明によれば、大規模システムに関する効率的なセキュリティ設計を支援可能とする。

本実施形態のセキュリティ設計支援装置の構成例１を示す図である。 本実施形態におけるセキュリティ設計支援装置における処理工程の概要と入出力例を示す図である。 本実施形態におけるセキュリティ設計支援方法の手順例１を示すフロー図である。 本実施形態におけるヒアリングシートの例を示す図である。 本実施形態における制御システム特徴指標ＤＢの構成例を示す図である。 本実施形態におけるセキュリティ設計支援方法の手順例２を示すフロー図である。 本実施形態における制御システム特徴ＤＢの構成例を示す図である。 本実施形態におけるセキュリティ設計支援方法の手順例３を示すフロー図である。 本実施形態における脅威分析結果の例を示す図である。 本実施形態におけるサブシステム特徴チェックシートの構成例を示す図である。 本実施形態における脅威特徴比較項目シートの例を示す図である。 本実施形態における脅威特徴分類パターンＤＢの構成例を示す図である。 本実施形態における加工済み脅威分析結果の構成例を示す図である。 本実施形態におけるセキュリティ設計支援方法の手順例４をフロー示す図である。 本実施形態における脅威特徴−対策方針ＤＢの構成例を示す図である。 本実施形態における類似度ＤＢの構成例を示す図である。 本実施形態におけるセキュリティ設計支援方法の手順例５を示すフロー図である。 本実施形態における相関ルールＤＢの構成例を示す図である。 本実施形態における対策方針一覧の例を示す図である。 本実施形態のセキュリティ設計支援装置の構成例２を示す図である。 本実施形態におけるセキュリティ設計支援方法の手順例６を示すフロー図である。

−−−システム構成−−−

以下に本発明の実施形態について図面を用いて詳細に説明する。本実施形態では、セキュリティ設計の対象システムの一例であるスマートグリッドシステムの脅威分析結果を入力とし、過去に実施したセキュリティ設計に伴う分析結果（実績）から、高頻度で導出される対策方針のパターンを対策方針候補として出力する例について説明する。

図１は、本実施形態におけるセキュリティ設計支援装置１０の構成例を示す図である。図１に示すセキュリティ設計支援装置１０は、大規模システムに関する効率的なセキュリティ設計を支援可能とするコンピュータ装置であり、以下のハードウェア構成を備えている。すなわちセキュリティ設計支援装置１０のハードウェア構成は、図１にて示す如く、ＲＡＭなど揮発性記憶素子で構成されるメモリ１００、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）やハードディスクドライブなど適宜な不揮発性記憶素子で構成される外部記憶装置２００、メモリ１００の適宜なプログラムを実行して各機能部１０１〜１０５を実装し、装置自体の統括制御を行なうとともに各種判定、演算及び制御処理を行なう演算装置たるＣＰＵ３００、ユーザからの入力受け付けと処理結果の出力を担う入出力装置４００（例：キーボードやマウス、ディスプレイ）、ネットワークや外部装置等と接続して通信処理を担うＬＡＮカードなどのインターフェイス５００（図中においてＩＦと記述）、を備えている。セキュリティ設計支援装置１０は、１つ以上の公知のパーソナルコンピュータやワークステーションなどの電子計算機により構成される。

なお、外部記憶装置２００内には、本実施形態のセキュリティ設計支援装置１０として必要な処理を行う際に必要となる、制御システム特徴指標ＤＢ２０１、制御システム特徴ＤＢ２０２、脅威特徴分類パターンＤＢ２０３、脅威特徴−対策方針ＤＢ２０４、既存セキュリティ設計結果ＤＢ２０５、相関ルールＤＢ２０６が少なくとも記憶されている。なお、これらの各ＤＢ２０１〜２０６の具体的な構成内容については後述する。

続いて、本実施形態のセキュリティ設計支援装置１０が備える機能部について説明する。上述したように、以下に説明する機能部は、例えばセキュリティ設計支援装置１０がメモリ１００に備える該当プログラムを実行することで実装される機能と言える。従って、各機能部に対応するプログラムがメモリ１００（ないし外部記憶装置２００であってもよい）に保持されている。

このうちシステム特徴抽出部１０１は、入出力装置４００より、セキュリティ設計支援の対象システムにおける脅威による悪影響に関するユーザの回答結果を含むヒアリングシート３０４（図５）を受信し、このヒアリングシート３０４が含む値に基づいて制御システム特徴指標ＤＢ２０１（図４）からシステム特徴の値を抽出し、この値を類似システム抽出部１０２に送信する機能を備えている。なお、上述のヒアリングシート３０４および制御システム特徴指標ＤＢ２０１の具体的な構成等については後述する。

また、類似システム抽出部１０２は、上述のシステム特徴抽出部１０１より受信したシステム特徴の値に基づき、制御システム特徴ＤＢ２０２（図７）から、対象システムと類似する制御システム、すなわち類似システムを特定し、その類似システムの値をパターンマッチング部１０４に送信する機能を備えている。なお、上述の制御システム特徴ＤＢ２０２の具体的な構成等については後述する。

また、データ加工部１０３は、入出力装置４００より、上述の対象システムに関する脅威分析結果３０１（図９）、サブシステム特徴チェックシート３０２（図１０）、および脅威特徴比較項目３０３（図１１）の各データを受信し、ここで受信した脅威分析結果３０１およびサブシステム特徴チェックシート３０２に基づき、脅威特徴分類パターンＤＢ２０３（図１２）を参照し、加工済み脅威分析結果１３００（図１４）を生成する機能を備えている。また、データ加工部１０３は、生成した加工済み脅威分析結果１３００および脅威特徴比較項目３０３をパターンマッチング部１０４に送信する機能を備えている。なお、上述の脅威分析結果３０１、サブシステム特徴チェックシート３０２、および脅威特徴比較項目３０３、脅威特徴分類パターンＤＢ２０３、加工済み脅威分析結果１３００、の具体的な構成等について後述する。

また、パターンマッチング部１０４は、類似システム抽出部１０２から類似システムの値を受信し、またデータ加工部１０３から加工済み脅威分析結果１３００および脅威特徴比較項目３０３を受信し、ここで受信した類似システムの値に該当する制御システム１３０１のレコードを脅威特徴−対策方針ＤＢ２０４（図１５）において特定し、該当レコードが示す脅威に関して、加工済み脅威分析結果１３００と脅威特徴比較項目３０３に基づき、対象システムにおける脅威と所定基準以上類似する類似脅威を特定し、脅威特徴−対策方針ＤＢ２０４にて上述の類似脅威に対応付けられた対策方針を頻出パターン抽出部１０５に送信する機能を備えている。なお、脅威特徴−対策方針ＤＢ２０４の具体的な構成等については後述する。

また、頻出パターン抽出部１０５は、パターンマッチング部１０４より受信した類似脅威に関連する対策方針から、類似脅威間での出現頻度が所定以上の対策方針を特定し、当該対策方針の情報を入出力装置４００に送信する機能を備えている。

ここで、こうした各処理部１０１〜１０５の間の処理やデータの授受関係について図２に基づき概説しておく。なお、既に上述したように、セキュリティの設計者が作成した、脅威分析結果３０１、サブシステム特徴チェックシート３０２、脅威特徴比較項目３０３、およびヒアリングシート３０４を入力とするものとする。

この場合、ライン１において、設計者は入出装置４００を利用して、セキュリティ設計支援装置１０に対して、脅威分析結果３０１、サブシステム特徴チェックシート３０２、および脅威特徴比較項目３０３の各データを入力する。セキュリティ設計支援装置１０ではデータ加工部１０３がこれら各データを受信し、メモリ１００などに保持する。

またライン２において、データ加工部１０３は、入出装置４００を介して設計者から得た脅威特徴比較項目３０３に記載の脅威特徴項目を取得し、サブシステム特徴チェックシート３０２と脅威特徴分類パターン２０３のデータを基に、脅威特徴分類パターンＤＢ２０３に記録されたデータを参照し、脅威分析結果３０１のデータを加工して加工済み脅威分析結果１３００を生成する。

またライン３において、データ加工部１０３は、加工済み脅威分析結果１３００と脅威特徴比較項目３０３を、パターンマッチング部１０４に送信する。

またライン４において、設計者は入出装置４００を介して、セキュリティ設計支援装置１０に対してヒアリングシート３０４を入力する。セキュリティ設計支援装置１０ではシステム特徴抽出部１０１がこのヒアリングシート３０４を受信し、メモリ１００などに保持する。

またライン５において、システム特徴抽出部１０１は、ヒアリングシート３０４に記載のデータを基に、制御システム特徴指標ＤＢ２０１を参照し、対象システムの特徴を取得する。

またライン６において、システム特徴抽出部１０１は、上述の対象システムの特徴を類似システム抽出部１０２に送信する。

またライン７において、類似システム抽出部１０２は、システム特徴抽出部１０１から受信した対象システムの特徴を基に、制御システム特徴ＤＢ２０１を参照し、システム特徴が一致する類似システムを特定する。

またライン８において、類似システム抽出部１０２は、ここまでで対象システムに関し特定した類似システムをパターンマッチング部１０４に送信する。

またライン９において、パターンマッチング部１０４は、データ加工部１０３から受信した脅威特徴比較項目３０３と、類似システム抽出部１０２から受信した対象システムとの類似システムの各情報を基に、類似度ＤＢ２０５を参照して類似度閾値を取得する。

またライン１０において、パターンマッチング部１０４は、類似システム抽出部１０２から受信した類似システムの値を基に、脅威特徴−対策方針ＤＢ２０４を参照し、比較対象となる脅威特徴を取得し、データ加工部１０３から受信した加工済み脅威分析結果１３００の各脅威との類似度を算出し、類似度閾値以上の類似度である類似脅威を取得する。

またライン１１において、パターンマッチング部１０４は、取得した類似脅威に関連する対策方針と、類似システムと脅威特徴比較項目３０３を頻出パターン抽出部１０５に送信する。

またライン１２において、頻出パターン抽出部１０５は、パターンマッチング部１０４から取得した類似システムと脅威特徴比較項目３０３を基に、相関ルールＤＢ２０６を参照し、頻出度閾値を取得する。また、受信した類似脅威に関連する対策方針の中から、頻出度閾値以上かつ最頻出度の対策方針パターンを抽出する。

またライン１３において、頻出パターン抽出部１０５は、各脅威に対する対策方針パターンを対策方針一覧として入出力装置４００に出力する。
−−−処理手順例１−−−

以下、本実施形態におけるセキュリティ設計支援方法の実際手順について図に基づき説明する。以下で説明するセキュリティ設計支援方法に対応する各種動作は、セキュリティ設計支援装置１０がメモリ１００で実行する該当プログラムによって実現される（以下同様）。そして、このプログラムは、以下に説明される各種の動作を行うためのコードから構成されている（以下同様）。

図３は、本実施形態におけるセキュリティ設計支援方法の処理手順例１を示すフロー図であり、具体的には、システム特徴抽出部１０１で実行されるシステム特徴抽出のフロー図である。

この場合、処理Ｓ２１０１において、システム特徴抽出部１０１は、制御システム特徴指標ＤＢ２０１にて記述されている例えば９個の脅威タイプに対応した質問回答表であるヒアリングシート３０４（設計者により回答済みのもの）を、入出力装置４００より受信する。このヒアリングシート３０４は、対象システムにおいて発生しうる脅威タイプを明らかにすることにより、対象システムの特徴（以下、分析対象システム特徴）を抽出することを目的とした入力情報である。

図４にて、このヒアリングシート３０４の具体例について示す。図４で例示するヒアリングシート３０４は、セキュリティ設計支援装置１０が予めメモリ１００または外部記憶装置２００にて保持して、入出力装置４００に出力し、ユーザたる設計者による回答を受け付ける入力シートである。そのシート構成は、Ｑ１〜Ｑ９までの質問項目とその回答用のインターフェイスのセットからなっている。質問項目としては、「Ｑ１：広範囲もしくは５年以上に及ぶ健康被害を引き起こす事故が発生する可能性はあるか？」３００１、「Ｑ２：中規模もしくは１年以上に及ぶ健康被害を引き起こす事故が発生する可能性はあるか？」３００２、「Ｑ９：行政への報告限度を下回る小規模、限定的な損傷が発生する可能性はあるか？」３００３などであり、これらの各項目は、制御システム特徴指標ＤＢ２０１に記述されている９個の脅威タイプに対応した質問となる。なお、本実施形態では、こうした９個の質問によりシステム特徴を選定するが、質問数に制限はない。

このヒアリングシート３０４上で、設計者は、質問項目３００１〜３００３に関して該当するか否かをプルダウンメニューなど適宜なインターフェイスで選択可能となっている。ヒアリングシート３０４における設計者による選択結果は、システム特徴抽出部１０１によって用いられる。システム特徴抽出部１０１は、ヒアリングシート３０４から得た値を基に、発生しうる脅威タイプを明らかにすることで、分析対象システム特徴を抽出することとなる。例えば、設計者がヒアリングシート３０４における質問項目３００２に関して「該当する」と回答した場合、制御システム特徴指標ＤＢ２０１における「脅威タイプＨ２：中規模もしくは１年以上に及ぶ健康被害」を発生しうる脅威タイプの１つとして取得する。ヒアリングシート３０４における質問項目３００１〜３００３に関する設計者の回答、すなわち選択結果はシステム特徴抽出部１０１にフォームデータとして送信される。

ここで図３のフローの説明に戻る。次に、処理Ｓ２１０２において、システム特徴抽出部１０１は、入出力装置４００より得たヒアリングシート３０４における各設問の回答結果を基に、制御システム特徴ＤＢ２０１を参照し、該当する脅威タイプを分析対象システム特徴として抽出する。具体的には、本実施形態におけるヒアリングシート３０４の質問項目３００１〜３００３の９個の設問への回答結果である、例えば、「Ａ１．該当しない」、「Ａ２．該当する」、「Ａ３．該当しない」、「Ａ４．該当しない」、「Ａ５．該当する」、「Ａ６．該当しない」、「Ａ７．該当する」、「Ａ８．該当する」、「Ａ９．該当する」の各値の組み合わせを、制御システム特徴ＤＢ２０１に照合して、対象システムであるスマートグリッドシステムで発生しうる脅威タイプを分析対象システム特徴と見なし、「分析対象システム特徴：Ｈ２、Ｓ２、Ｅ１」を抽出する。

ここで、上述の制御システム特徴指標ＤＢ２０１の具体的な構成について説明する。図５に例示する制御システム特徴指標ＤＢ２０１において、列１００１〜１００３の各列には脅威タイプが記述されている。そのうち列１００１には、産業活動から健康面へどのような影響が発生するか（健康（Ｈｅａｌｔｈ））の観点から、脅威タイプが記述されている。また、列１００２には、産業活動から安全面へどのような影響が発生するか（安全（Ｓａｆｅｔｙ））の観点から、脅威タイプが記述されている。また、列１００３には、産業活動から環境面へどのような影響が発生するか（環境（Ｅｎｖｉｒｏｎｍｅｎｔａｌ））の観点から脅威タイプが記述されている。

一方、行１００４〜１００６の各行には各脅威タイプの影響度毎の脅威タイプの定義が記述されている。そのうち行１００４には、各脅威タイプにおける影響度「大」の定義が記述されている。具体的には、脅威タイプ１００１の健康の影響度「大」は、「広範囲もしくは５年以上に及ぶ重大な健康被害」と記述されている。

また、行１００５には、各脅威タイプにおける影響度「中」の定義が記述されている。具体的には、脅威タイプ１００１の健康の影響度「中」は、「中規模もしくは１年以上に及ぶ健康被害」と記述されている。

また、行１００６には、各脅威タイプにおける影響度「小」の定義が記述されている。具体的には、脅威タイプ１００１の健康の影響度「小」は、「小規模もしくは１年未満に及ぶ健康被害」と記述されている。

なお、本実施形態の制御システム特徴指標ＤＢ２０１では、システムの特徴指標として、どのような脅威が発生しうるか（脅威タイプ）という点に着目したが、業務の特徴やシステムの特徴を他の指標で評価する構成としても良い。また本実施形態では、脅威タイプとして、健康、安全、環境（ＨＳＥ）の観点から評価を行ったが、脅威発生時のコストや影響範囲などシステムの特徴を抽出可能な他の指標を用いた構成としても良い。

ここで図３のフローの説明に戻る。また、処理Ｓ２１０３において、システム特徴抽出部１０１は、上述の処理Ｓ２１０２で抽出した分析対象システム特徴を、類似システム抽出部１０２に送信する。具体的には、処理Ｓ２１０２で抽出したスマートグリッドシステムの脅威タイプを分析対象システム特徴と見なし、「分析対象システム特徴：Ｈ２、Ｓ２、Ｅ１」の値を類似システム抽出部１０２に送信する。
−−−処理手順例２−−−

次に、類似システム抽出部１０２での処理について図に基づき説明する。図６は、本実施形態のセキュリティ設計支援方法の処理手順例２を示すフロー図であり、具体的には、類似システム抽出部１０２で実行される類似システム抽出処理のフロー図である。

この場合、処理Ｓ２２０１において、類似システム抽出部１０２は、上述のシステム特徴抽出部１０１より、分析対象システム特徴の値を受信する。具体的には、システム特徴抽出部１０１がヒアリングシート３０４を基に抽出した、スマートグリッドシステムの分析対象システム特徴「Ｈ２、Ｓ２、Ｅ１」となる。

続いて処理Ｓ２２０２において、類似システム抽出部１０２は、上述の処理Ｓ２２０１で受信した分析対象システム特徴を基に、制御システム特徴ＤＢ２０２を参照し、類似システムを抽出する。具体的には、受信したスマートグリッドシステムの分析対象システム特徴「Ｈ２、Ｓ２、Ｅ１」を、制御システム特徴ＤＢ２０２におけるシステム特徴１１０２の各値に照合し、システム特徴が一致する「水」の制御システムを類似システムとして抽出する。

なお、上述の制御システム特徴ＤＢ２０２の具体的な構成は図７に例示するとおりである。本実施形態における制御システム特徴ＤＢ２０２において、各列のうち列１１０１には、これまでにセキュリティ設計を実施した制御システムが記述されている。具体的には、セキュリティ設計の実績がある制御システムとして、水システム、鉄道システム、ガスシステム等が記述されている。また、列１１０２には、制御システム１１０１で記述されている各制御システムにおいて発生しうる脅威タイプとしてシステム特徴の値が記述されている。例えば、制御システム１１０１のうち「水」システムに対応するシステム特徴１１０２として、「Ｈ２、Ｓ２、Ｅ１」の値が述されている。

ここで図６のフローの説明に戻る。続いて処理２２０３において、類似システム抽出部１０２は、上述の処理２２０２で取得した類似システムの情報をパターンマッチング部１０４へ送信する。具体的には、スマートグリッドシステムの類似システム「水システム」をパターンマッチング部１０４に送信する。

なお、上述の処理Ｓ２２０２において、入力となる分析対象システム特徴が、制御システム特徴ＤＢ２０２に記載されているシステム特徴と一致しない場合、精度が落ちる場合があるが、類似システム抽出をせずに、データ加工部１０３、パターンマッチング部１０４、頻出パターン抽出部１０５による類似脅威の抽出と高頻度で関連する対策方針の抽出を実施するとしてもよい。
−−−処理手順例３−−−

次に、データ加工部１０３の処理について図に基づき説明する。図８は、本実施形態におけるセキュリティ設計支援方法の手順例３を示すフロー図であり、具体的には、データ加工部１０３におけるデータ加工処理のフロー図である。

この場合、処理Ｓ２３０１において、データ加工部１０３は、入出力装置４００より、脅威分析結果３０１、サブシステム特徴チェックシート３０２、および脅威特徴比較項目３０３の各データを取得する。具体的には、図９に示す脅威分析結果３０１、図１０に示すサブシステム特徴チェックシート３０２、図１１に示す脅威特徴比較項目３０３の各データを受信する。

このうち図９に示す脅威分析結果３０１についてまず説明する。この脅威分析結果３０１は、セキュリティ設計の対象システムに対してなされた脅威分析の結果例であり、設計者が手動で作成したもの、或いは既存の脅威分析支援ツール等によって自動生成されたものなどを想定出来る。

例示する脅威分析結果３０１において、各列３１０１〜３１０９のうち、列３１０１には、脅威（列３１０２に対応）を一意に識別するためのＩＤが記述されている。具体的には、各脅威３１０２の値に対応した、「制御システム名＿Ｔ_００Ｎ（Ｎ：脅威数）」といったＩＤである。

また、列３１０２には、列３１０３〜３１０９の要因から構成される脅威内容が記述されている。具体的には、スマートグリッドシステムにおける脅威分析によって抽出された脅威の１つ、例えば脅威ＩＤ３１０１：ＳＧ＿Ｔ_００１に該当する脅威として「第三者がフィールドからメーターデータマネジメントシステムになりすまし、不正な制御コマンドを送信し、不正な送電停止が発生する」といった内容が記述されている。

また、列３１０３には、列３１０４に規定した資産に対して発生しうる脅威カテゴリが記述されている。具体的には、例えば資産３１０４のうち資産名「制御コマンド」に対して発生しうる脅威カテゴリ３１０３として、「完全性：なりすましでの不正データ送付」といった値が記述されている。

また、列３１０４には、対象システムにおける脅威を引き起こす資産の値が記述されている。具体的には、例えば、スマートグリッドシステムにおける脅威ＳＧ＿Ｔ_００１について、システムにおける情報資産「制御コマンド」といった値が記述されている。

また、列３１０５には、資産３１０４を保持する脅威発生箇所が記述されている。具体的には、例えば、スマートグリッドシステムにおける脅威ＳＧ＿Ｔ_００１について、資産３１０４となる「制御コマンド」を保持する「メーターデータマネジメントシステム」といった値が記述されている。

また、列３１０６には、資産３１０４に対して、攻撃者３１０８が攻撃を仕掛ける場所、つまり攻撃者の存在箇所が記述される。具体的には、例えば、スマートグリッドシステムにおける脅威ＳＧ＿Ｔ_００１について、攻撃者が存在しうる箇所「フィールド」といった値が記述されている。

また、列３１０７には、資産３１０４に対して、攻撃者３１０８がいつ攻撃を仕掛けるのか、つまり攻撃の発生タイミングが記述されている。具体的には、例えば、スマートグリッドシステムにおける脅威ＳＧ＿Ｔ_００１について、「運用時」が記述されている。

また、列３１０８には、対象システムにおける資産に対し、攻撃を行える者、つまり攻撃者が記述されている。具体的には、例えば、スマートグリッドシステムにおける脅威ＳＧ＿Ｔ_００１について、「第三者」が記述されている。

また、列３１０９には、攻撃者３１０８がどのような動機で攻撃を行うのかが記述されている。具体的には、例えば、スマートグリッドシステムにおける脅威ＳＧ＿Ｔ_００１について、「故意」が記述されている。

こうした本実施形態においては、上述の脅威特徴分類パターンＤＢ２０３における脅威特徴と各脅威特徴における分類パターンに基づいて脅威分析を実施するものとする（但し、脅威発生箇所の特徴以外）。なお、脅威分析結果３０１の入力として、リスクレベルは含まない例を示しているが、追加することも可能である。しかし、より詳細、もしくは簡易的な脅威分析結果３０１を入力する場合、脅威特徴分類パターンＤＢ２０３に記述されている脅威特徴の追加、削除、変更や、各脅威特徴における分類パターンの追加、削除、変更が必要となる。さらに、その場合、新しい脅威特徴分類パターンＤＢ２０３に合わせて既存のセキュリティ設計結果から、新しい脅威特徴−対策方針ＤＢ２０４を作成するものとする。

続いて、図１０に基づいてサブシステム特徴チェックシート３０２について説明する。本実施形態におけるサブシステム特徴チェックシート３０２は、脅威分析結果３０１を、既存のセキュリティ設計結果と比較可能な形式にデータ加工する際に必要となる情報である。また、サブシステムの特徴を確認することが目的のシートとなる。

図１０に例示するサブシステム特徴チェックシート３０２おいて、名称３２０１には、対象システムのサブシステム名称の入力を受け付けるインターフェイスであり、該当サブシステムの特徴をプルダウンメニュー等のインターフェイス３２０２において選択可能な構成となっている。

また、サブシステムの特徴を示すインターフェイス３２０２の各項目は、脅威特徴分類パターンＤＢ２０３（図１２）に記述されている「脅威発生箇所の特徴」に対応したものとなる。具体的には、インターフェイス３２０２の項目では、例えば「機器：構造が複雑」、「機器：構造が単純」、「ＮＷ：有線」、「ＮＷ：無線」、といった選択肢が構成に含まれている。こうした構成のシート上で、設計者は入出力装置４００を用いて、対象システムにおける全サブシステムの名称を名称３２０１を入力し、該当サブシステムの特徴をインターフェイス３２０２にて選択することとなる。例えば、設計者がサブシステム特徴チェックシート３０２における名称３２０１にて「メーターデータマネジメントシステム」を入力し、インターフェイス３２０２にて「機器：構造が複雑」を選択した場合、データ加工部１０３は、「メーターデータマネジメントシステム」は「機器：構造が複雑」と認識する。

なお、上述のようなサブシステム特徴チェックシート３０２のインターフェイス３２０２で選択可能な特徴は、サブシステムのリソースや通信速度などの性能に着目したものとしてもよい。また、サブシステム特徴チェックシート３０２のインターフェイス３２０２において選択可能な特徴を変更した場合、脅威特徴分類パターンＤＢ２０３の脅威発生箇所の特徴を変更する必要がある。その場合、新しい脅威特徴分類パターンＤＢ２０３に合わせて既存のセキュリティ設計結果から、新しい脅威特徴−対策方針ＤＢ２０４を作成する必要がある。設計者によって、入出力装置４００を用いて、サブシステム特徴チェックシート３０２における項目３２０１〜３２０２に対する顧客からの回答が選択されると、インターフェイス５００を介してデータ加工部１０３にフォームデータが送信される。

次に、図１１に基づいて脅威特徴比較項目３０３について説明する。脅威特徴比較項目３０３は、データ加工を行う脅威特徴項目が記述されている。図１１に例示する脅威特徴比較項目３０３において、「脅威カテゴリ」、「保護資産の特徴」、「脅威発生箇所」、「発生タイミング」、および「動機」のそれぞれについて比較項目とするか否かの選択を受け付けるインターフェイス３３０１〜３３０５を含んでいる。設計者がこれらインターフェイス３３０１〜３３０５のそれぞれで比較項目とするか否かを回答することで、既存のセキュリティ設計結果と比較する脅威特徴項目が明らかになる。設計者による、各インターフェイス３３０１〜３３０５での選択結果は、データ加工部１０３によって脅威特徴比較項目として用いられる。

例えば、上述の設計者が、脅威比較項目３０３におけるインターフェイス３３０１〜３３０５の全てにて比較項目とする旨を回答した場合、既存セキュリティ設計結果が記録されている脅威特徴−対策方針ＤＢ２０４における脅威特徴と比較する際、全脅威特徴項目で比較を行うということになる。なお、本実施形態では、全ての脅威特徴項目を比較対象として説明を行うが、比較する脅威特徴項目を低減するとしてもよい。また、各脅威特徴項目に重みを持たせ、重視する脅威特徴項目の重要度をつけることも可能である。設計者による、脅威特徴比較項目３０３における各インターフェイス３３０１〜３００５での選択結果は、インターフェイス５００を介してデータ加工部１０３にフォームデータが送信される。

ここで図８のフローの説明に戻る。続いて処理Ｓ２３０２において、データ加工部１０３は、受信した脅威特徴比較項目３０３の値を取得、確認する。本実施形態における脅威特徴比較項目３０３では、設計者が全ての脅威特徴比較項目を選択している内容となっているため、「比較対象：全項目」との値を取得、確認する。

また、処理Ｓ２３０３において、データ加工部１０３は、脅威発生箇所毎に脅威分析結果３０１の各値を抽出してまとめ、上述の処理Ｓ２３０２で確認した脅威特徴比較項目３０３と、サブシステム特徴チェックシート３０２を基に、脅威特徴分類パターンＤＢ２０３に格納されている各脅威特徴項目に記載のデータを参照し、データ加工を行う。具体的には、入出力装置４００より受信した脅威分析結果３０１における脅威発生箇所３１０５に着目し、脅威発生箇所毎に脅威をまとめる。次に、上述の処理Ｓ２３０２で確認した脅威特徴比較項目「比較対象：全項目」とサブシステム特徴チェックシート３０２における各サブシステム名称３２０１「サブシステム１＝メーターデータマネジメントシステム、・・・」と各サブシステム特徴３２０２「サブシステム１＝機器：構造が複雑、・・・」のデータを基に、受信した脅威分析結果３０１の脅威ＩＤ３１０１の「ＳＧ＿Ｔ_００１」の脅威発生箇所３１０５：メーターデータマネジメントシステムは、「構造が複雑な機器」と変換される。なお、本実施形態では、脅威分析結果３０１のフォーマットをデータ加工がしやすいデータ構成、入力形態としているため、上述のように「全項目比較」であっても脅威発生箇所の特徴３１０５のみのデータ加工を行えば良い。

ここで図１２に基づき、上述の脅威特徴分類パターンＤＢ２０３の具体例について説明する。本実施形態の脅威特徴分類パターンＤＢ２０３において、各列１２０１、１２０２のうち列１２０１には、脅威特徴を表す項目が記述されている。具体的には、脅威発生箇所の特徴、保護資産の特徴、保護資産の重要性、脅威カテゴリ、発生タイミング、および動機といった値が記述されている。

また、列１２０２には、上述の列１２０１が示す各脅威特徴の分類が記述されている。この列１２０２の値として、例えば行１２０６では、脅威特徴「脅威カテゴリ」の分類として「機密性」、「完全性」、「可用性」のそれぞれに関する値が記述されている。具体的には、「脅威カテゴリ」に関する「機密性」として、「保存されているデータの取得」、「なりすましでのデータ取得」、「通信中のデータの取得」、また「完全性」として、「意図しないデータの書き込み」、「なりすましで不正データ送付」、また、「可用性」として、「意図しないデータの書き込み」、「なりすましでのデータの取得・廃棄」、「通信路中のデータの破壊」などが記述されている。なお、脅威カテゴリ１２０６には、他の脅威カテゴリを用いることも可能である。例えば、Ｍｉｃｒｏｓｏｆｔが提唱している脅威手法ＳＴＲＩＤＥ法を適用し、なりすまし、改ざん、否認、情報漏えい、サービス拒否、特権昇格を脅威カテゴリとして用いることも可能である。

同様に、行１２０５では、脅威特徴「保護資産の重要性」の分類として、保護資産に対して損害が発生した際の影響度が記録されている。具体的には、影響度「３」：社会的な影響を生じる、影響度「２」：業務継続に支障をきたす、影響度「１」：業務効率が低下する、などの値が記述されている。なお、保護資産の重要性１２０５では、保護資産における機密性、可用性、完全性喪失時に分割した、より詳細な指標を用いることも可能である。

また同様に 行１２０３では、脅威特徴「脅威発生箇所の特徴」の分類として、攻撃が発生しうる箇所における特徴の分類が記述されている。具体的には、「機器」に関して、「構造が複雑な機器」、「構造が単純な機器」、また、「ネットワーク」に関して、「有線」、「無線」といった値が記述されている。なお、脅威発生箇所の特徴１２０５には、機器のリソースやネットワークの通信速度などの性能に着目した指標を用いることも可能である。

また同様に、行１２０４では、脅威特徴「保護資産の特徴」の分類が記述されている。具体的には、「情報」、「機器」、「業務フロー」などの値が記述されている。なお、保護資産の特徴１２０４には、情報、機器、業務フロー以外にも、文書や組織イメージ、サービス、環境設備などを追加することも可能である。

また同様に、行１２０７では、脅威特徴「発生タイミング」の分類が記述されている。具体的には、「運用」、「保守」などの値が記述されている。なお、発生タイミング１２０７には、企画、開発製品設計、中古運用、廃棄なども追加することが可能である。

また、行１２０８では、脅威特徴「動機」の分類が記述されている。具体的には、「故意」、「過失」などの値が記述されている。なお、動機１２０８では、利益取得のため故意に、嫌がらせとして故意に、愉快犯として故意に、といったより詳細な指標を用いることも可能である。

なお、本実施形態の脅威特徴分類パターンＤＢ２０３における脅威特徴１２０１の項目は、脅威発生箇所の特徴、保護資産の特徴、保護資産の重要性、脅威カテゴリ、発生タイミング、動機だけでなく、攻撃者の存在箇所の特徴等をはじめとする脅威を表現する他の項目を用いることも可能である。脅威特徴分類パターンＤＢ２０３の脅威特徴項目の追加、変更、削除、または各脅威特徴項目の分類の追加、変更、削除が生じた場合、新しい脅威特徴分類パターンＤＢ２０３に合わせて既存のセキュリティ設計結果から、新しい脅威特徴−対策方針ＤＢ２０４を作成する必要がある。また、脅威特徴項目の脅威発生箇所の特徴１２０６を変更した場合には、サブシステム特徴チェックシート３０２におけるサブシステム特徴３２０２の変更も必要となる。

ここで図８のフローの説明に戻る。次に処理２３０４において、データ加工部１０３は、上述の処理Ｓ２３０３で得た加工済み脅威分析結果１３００（図１３）と脅威特徴比較項目３０３の各値をパターンマッチング部１０４に送信する。具体的には、図９における脅威分析結果３０１を、サブシステム特徴チェックシート３０２を基に脅威特徴分類パターンＤＢ２０３に記述されたデータに加工した加工済み脅威分析結果１３００（図１３）と、脅威特徴比較項目３０３における「比較対象：全項目」の各値をパターンマッチング部１０４に送信する。
−−−処理手順例４−−−

次に、パターンマッチング部１０４の処理について図に基づき説明する。図１４は、本実施形態におけるセキュリティ設計支援方法の手順例４を示すフロー図であり、具体的には、パターンマッチング部１０４で実行される、脅威特徴のパターンマッチング処理のフロー図である。

この場合まず、処理Ｓ２４０１において、パターンマッチング部１０４は、類似システム抽出部１０２より類似システム（上述の処理Ｓ２２０３で送信されたもの）を受信し、また、データ加工部１０３より加工済み脅威分析結果１３００と脅威特徴比較項目３０３の各値（上述の処理Ｓ２３０４で送信されたもの）を受信する。具体的には、類似システム抽出部１０２よりスマートグリッドシステムの類似システムとして「水」システムの値を受信し、データ加工部１０３より図１３に例示する加工済み脅威分析結果１３００の各値と脅威特徴比較項目３０３における「比較対象：全項目」の値を受信する。

続いて処理Ｓ２４０２において、パターンマッチング部１０４は、上述の処理Ｓ２４０１で受信した類似システムの値に基づいて、脅威特徴−対策方針ＤＢ２０４を参照し、類似脅威候補を抽出する。具体的には、スマートグリッドシステムの類似システムは「水」システムであったことから、この「水」システムに関して脅威特徴−対策方針ＤＢ２０４にて記録されている知見、すなわち脅威とそれに対する対策方針の実績情報について検索し、該当知見のうち、脅威特徴の「脅威発生箇所の特徴」の項目が、加工済み脅威分析結果１３００と同一の脅威特徴を特定する。例えば、制御システム１３０１が「水」システムである各レコードにおいて、「サブシステム１＝メーターデータマネジメントシステム」で発生しうる脅威における類似脅威候補は、「脅威発生箇所の特徴＝構造が複雑な機器」で発生する脅威特徴となる。

図１５にて上述の脅威特徴−対策方針ＤＢ２０４の具体的構成例を示す。この脅威特徴−対策方針ＤＢ２０４は、上述のパターンマッチング部１０４により参照されるＤＢであり、加工済み脅威分析結果１３００に記述されている各脅威に対して、比較対象となる脅威が記述されたデータベースである。図１５に例示する脅威特徴−対策方針ＤＢ２０４における各列のうち、列１３０１はこれまでセキュリティ設計を実施した制御システムの識別情報たるシステム名が記述されている。具体的には、水のシステムや鉄道システム、ガスシステムなどが記述されている。

また、列１３０２は、列１３０１の値が示す制御システムでの各脅威特徴を一意に識別する脅威ＩＤが記述されている。具体的には、例えば「水」システムにおける脅威ＩＤとして「水＿Ｔ_００１、水＿Ｔ_００２・・・」といった値が記述されている。

また、列１３０３は、列１３０２の値が示す各脅威における脅威特徴が記述されている。その詳細は列１３０４〜１３０９に関して記述する。

このうち列１３０４は、脅威ＩＤ１３０２に対応する脅威発生箇所の特徴が記述されている。具体的には、例えば「水」システムにおける脅威「水＿Ｔ_００１」における脅威発生箇所１３０４として「構造が複雑な機器」といった値が記述されている。

また、列１３０５は、各脅威ＩＤ１３０２に対応する脅威から保護されるべき資産すなわち保護資産の特徴が記述されている。具体的には、例えば「水」システムにおける脅威「水＿Ｔ_００１」に対する保護資産の特徴１３０５として、「情報」といった値が記述されている。また、また列１３０６は、上述の保護資産の特徴１３０５が示す保護資産の重要性が記述されている。具体的には、例えば「水」システムにおける脅威「水＿Ｔ_００１」に対する保護資産の重要性１３０６として「重要性レベル：３」といった値が記述されている。

また、列１３０７は、各脅威ＩＤ１３０２に対応する脅威の脅威カテゴリが記述されている。具体的には、例えば「水」システムにおける脅威「水＿Ｔ_００１」が該当する脅威カテゴリ１３０７として「完全性：なりすましでの不正データ送付」といった値が記述されている。

また、列１３０８は、各脅威ＩＤ１３０２に対応する脅威の発生タイミングが記述されている。具体的には、例えば「水」システムにおける脅威「水＿Ｔ_００１」の発生タイミング１３０８として、システム運用中を意味する「運用」といった値が記述されている。

また、列１３０９は、各脅威ＩＤ１３０２に対応する脅威の動機が記述される。具体的には、例えば「水」システムにおける脅威「水＿Ｔ_００１」の動機１３０９として、悪意の第三者等が対象システムに対して該当脅威を意図的に及ぼす「故意」といった値が記述されている。

また、列１３１０は、各脅威ＩＤ１３０２に対応する脅威に対して実施された対策方針が記述されている。具体的には、例えば「水」システムにおける脅威「水＿Ｔ_００１」に対して実施された対策方針１３１０として、「機器間認証」、「ユーザ認証」、「アカウント管理」といった値が記述されている。

なお、この脅威特徴−対策方針ＤＢ２０４における脅威特徴の各項目は、脅威特徴分類パターンＤＢ２０３と同様の分類構成となっており、脅威特徴の項目は脅威特徴分類パターンＤＢ２０３に合わせて変更可能である。また、脅威特徴分類パターンＤＢ２０３における脅威特徴項目の追加、変更、削除等が発生した場合、脅威特徴−対策方針ＤＢ２０４を更新する必要がある。

ここで図１４のフローの説明に戻る。次に、処理Ｓ２４０３において、パターンマッチング部１０４は、処理Ｓ２４０１で受信している類似システムと脅威特徴比較項目３０３の各値を基に類似度ＤＢ２０５（図１６）を参照し、対応する類似度閾値を取得する。具体的には、スマートグリッドシステムの類似システムが「水」システムであったことから、類似度ＤＢ２０５におけるレコードのうち、制御システム１４０１が「水」システムに該当するものを参照し、脅威特徴比較項目１４０２が「比較対象：全項目」（処理Ｓ２４０１で受信しているもの）に該当する「類似度閾値＝０．７」を取得する。

図１６にて上述の類似度ＤＢ２０５の具体的な構成等について示す。本実施形態における類似度ＤＢ２０５は、パターンマッチング部１０４により参照されるＤＢであり、対象システムにおける脅威と脅威特徴−対策方針ＤＢ２０４に格納されている脅威との類似度を算出した際に、類似脅威と見なす判断基準となる閾値が記述されている。

図１６にて示す類似度ＤＢ２０５における各列のうち、列１４０１は、これまでセキュリティ設計を実施した制御システムの識別情報たるシステム名が記述されている。具体的には、水のシステムや鉄道システム、ガスシステムなどが記述されている。

また、列１４０２は、脅威特徴−対策方針ＤＢ２０４を参照する際に比較する脅威特徴比較項目の値が記述されている。具体的には、例えば「全項目」、または「脅威カテゴリ、保護資産の特徴、脅威発生箇所の特徴、発生タイミング」、「脅威カテゴリ、保護資産の特徴、脅威発生箇所の特徴、動機」といった値が記録される。

また、列１４０３は、上述の制御システム１４０１および脅威特徴比較項目１４０２の各値の組み合わせから定まる類似度閾値が記録される。具体的には、例えばスマートグリッドシステムの類似システムが「水」システムであったことから、制御システム１４０１の「水」システムに該当するレコードを特定し、さらに脅威特徴比較項目１４０２が「全項目」に該当する類似度閾値を「０．７」と特定することとなる。

ここで図１４のフローの説明に戻る。次に、処理Ｓ２４０４において、パターンマッチング部１０４は、対象システムである、例えばスマートグリッドシステムに関する加工済み脅威特徴分析結果１３００における各脅威発生箇所の脅威と、上述のスマートグリッドシステムの類似システムたる「水」システムに関して処理Ｓ２４０２で脅威特徴−対策方針ＤＢ２０４から特定した類似脅威候補との類似度を算出する。

本実施形態では、上述の類似度の算出にあたり、一例として、コサイン類似度を用いる類似度算出のアルゴリズム等を用いるものとする。コサイン類似度を用いた類似度算出の処理においては、今次のセキュリティ設計支援の対象システムに関する加工済み脅威分析結果１３００が示す脅威と、実績としてのセキュリティ設計結果である脅威特徴−対策方針ＤＢ２０４での類似脅威候補とのうち、脅威特徴分類パターンＤＢ２０３に記録されている各項目の分類パターンに該当するものを「１」、該当しないものを「０」とすることでベクトル表現する。

具体的には、例えば「水」システムにおける脅威「水＿Ｔ_００１」における各脅威特徴項目をベクトル表現すると、「脅威発生箇所の特徴＝１，０，０，０」、「保護資産の特徴＝１，０，０」、「保護資産の重要性＝０，０，１」、「脅威カテゴリ＝０，０，０，０，１，０，０，０」、「発生タイミング＝１，０」、「動機＝１，０」となる。

よって、「水＿Ｔ_００１」のベクトル表現は、

「水＿Ｔ_００１＝（１，０，０，０，１，０，０，０，０，１，０，０，０，０，１，０，０，０，１，０，１，０）」、となる。

このように、上述の対象システム（例：スマートグリッドシステム）における各脅威と、脅威特徴−対策方針ＤＢ２０４から特定した類似脅威候補、の各ベクトル表現値の間のコサイン類似度を計算する。

コサイン類似度算出は、ｃｏｓ（入力＿Ｔｎ，制御システム＿Ｔｋ）＝入力＿Ｔｎ・制御システム＿Ｔｋ ／ ｜入力＿Ｔｎ｜｜制御システム＿Ｔｋ｜、の式により算出可能である。

続いて処理Ｓ２４０５において、パターンマッチング部１０４は、上述の類似度閾値以上の類似脅威候補が存在するか判定する。具体的には、上述の処理Ｓ２４０４で算出した各類似度が、処理Ｓ２４０３で取得した「類似度閾値＝０．７」以上であるか否かを判定する。

次に処理Ｓ２４０６において、パターンマッチング部１０４は、上述の判定の結果、類似度閾値以上の類似脅威候補を特定した場合（Ｓ２４０５：ＹＥＳ）、これを類似脅威とし、当該類似脅威に関して実績のある対策方針を脅威特徴−対策方針ＤＢ２０４から特定して、これを頻出パターン抽出部１０５に送信する。本実施形態では、「サブシステム１＝メーターデータマネジメントシステム」で発生する脅威の類似脅威として、「水＿Ｔ_００１、水＿Ｔ_００２、水＿Ｔ_００５、水＿Ｔ_０１２、水＿Ｔ_０２２」が類似脅威に該当したと仮定する。よってこの場合、類似脅威に関連する対策方針「「水＿Ｔ_００１に該当する対策方針集合：機器間認証、ユーザ認証、アカウント管理」、「水＿Ｔ_００２に該当する対策方針集合：ログ管理、機器間認証」、「水＿Ｔ_００５に該当する対策方針集合＝ログ管理、アカウント管理、ログイン回数の制限」、「水＿Ｔ_０１２に該当する対策方針集合＝機器間認証、ユーザ認証、アカウント管理」、「水＿Ｔ_０２２に該当する対策方針集合＝機器間認証、アカウント管理」」を頻出パターン抽出部１０５に送信する。

他方、上述の判定の結果、類似度閾値以上の類似脅威が存在しないことが判明した場合（Ｓ２４０５：ＮＯ）、処理Ｓ２４０７において、パターンマッチング部１０４は、類似度閾値以上の類似脅威が存在しない旨を頻出パターン抽出部１０５に送信し、処理を終了する。なお、上述の所定Ｓ２４０４等におけるパターンマッチングの際、コサイン類似度を用いた手法以外にもデータマイニング技術における類似度算出のアルゴリズムの適用が可能である。
−−−処理手順例５−−−

次に、頻出パターン抽出部１０５での処理について図に基づき説明する。図１７は、本実施形態におけるセキュリティ設計支援方法の手順例５を示すフロー図であり、具体的には、頻出パターン抽出部１０５で実行される頻出パターン抽出処理のフロー図である。

この場合、処理Ｓ２５０１において、頻出パターン抽出部１０５は、パターンマッチング部１０４より、類似システム、脅威特徴比較項目、および類似脅威に関連する対策方針、の各値を受信する。具体的には、例えばスマートグリッドシステムの類似システムである「水」システムの値、脅威特徴比較項目３０３として「比較対象：全項目」の値、類似脅威に関連する対策方針「「水＿Ｔ_００１に該当する対策方針集合：機器間認証、ユーザ認証、アカウント管理」、「水＿Ｔ_００２に該当する対策方針集合：ログ管理、機器間認証」、「水＿Ｔ_００５に該当する対策方針集合＝ログ管理、アカウント管理、ログイン回数の制限」、「水＿Ｔ_０１２に該当する対策方針集合＝機器間認証、ユーザ認証、アカウント管理」、「水＿Ｔ_０２２に該当する対策方針集合＝機器間認証、アカウント管理」」の各値を受信する。

続いて処理Ｓ２５０２において、頻出パターン抽出部１０５は、パターンマッチング部１０４から受信した、類似システムと脅威特徴比較項目の各値に基づいて相関ルールＤＢ２０６を参照し、対応する頻出度閾値を取得する。具体的には、例えば「水」システムと脅威特徴比較項目「全項目」に該当する頻出度閾値「０．４」を取得する。

図１８に上述の相関ルールＤＢ２０５の具体的な構成例について示す。この相関ルールＤＢ２０５は、頻出パターン抽出部２０５により参照されるＤＢであり、頻出パターンを抽出する際に頻出と見なす閾値が記述されている。図１８で例示する相関ルールＤＢ２０５において、各列のうち列１５０１は、これまでセキュリティ設計を実施した制御システムの識別情報たるシステム名が記述されている。具体的には、水のシステムや鉄道システム、ガスシステムなどが記録される。

また、列１５０２は、脅威特徴−対策方針ＤＢ２０４で類似脅威に関して参照する際のキーとなる脅威特徴比較項目が記述されている。具体的には、「全項目」、または「脅威カテゴリ、保護資産の特徴、脅威発生箇所の特徴、発生タイミング」、「脅威カテゴリ、保護資産の特徴、脅威発生箇所の特徴、動機」など）が記録される。

また、列１５０３は、制御システム１５０１と脅威特徴比較項目１５０２から決まる類似度閾値が記録される。具体的には、例えばスマートグリッドシステムの類似システムである「水」システムに関し、脅威特徴比較項目１５０２が「全項目」である場合、該当する頻出度閾値は「０．４」となる。

ここで図１７のフローの説明に戻る。次に、処理Ｓ２５０３において、頻出パターン抽出部１０５は、上述の処理Ｓ２５０２で得た頻出度閾値以上の頻出パターンが存在するか判定する。すなわち、各類似脅威に対応付けされた対策方針群のうち、類似脅威間での出現頻度が頻出度閾値以上の対策方針の有無を判定する。本実施形態では、例えばＡｐｒｉｏｒｉアルゴリズムを適用した頻出パターンの判定を行う。

具体的には、処理Ｓ２５０１で受信した類似脅威の対策方針集合に着目し、１個で構成される、１−候補アイテム集合Ｃ１＝｛｛ログ管理｝、｛機器間認証｝、｛ユーザ認証｝、｛アカウント管理｝、｛ログイン回数の制限｝｝、を導出する。

導出したＣ１より、１個で構成される、１−頻出アイテム集合Ｆ１を導出する。この時、支持度（Ｘ）＝Ｘを含むアイテム集合／全集合、を算出し、その支持度が頻出度閾値以上となるものを頻出とみなす。各アイテムの支持度を算出して、例えば｛ログ管理｝＝２／５＝０．４、｛機器間認証｝＝４／５＝０．８、｛ユーザ認証｝＝２／５＝０．４、｛アカウント管理｝＝４／５＝０．８、｛ログイン回数の制限｝＝１／５＝０．２、などといった値を得る。

本実施形態では、頻出度閾値＝０．４であるため、１−頻出アイテム集合Ｆ１＝｛｛ログ管理｝、｛機器間認証｝、｛ユーザ認証｝、｛アカウント管理｝｝、となる。さらに、１−頻出アイテム集合Ｆ１による全組み合わせを、２つのアイテム集合から構成される、２−候補アイテム集合Ｃ２＝｛｛ログ管理、機器間認証｝、｛ログ管理、ユーザ認証｝、｛ログ管理、アカウント管理｝、｛機器間認証、ユーザ認証｝、｛機器間認証、アカウント管理｝、｛ユーザ認証、アカウント管理｝｝、を導出する。導出したＣ２の支持度を算出し、頻出度閾値以上のものを頻出とみなす。

よって、２−頻出アイテム集合Ｆ２＝｛｛機器間認証、ユーザ認証｝、｛機器間認証、アカウント管理｝、｛ユーザ認証、アカウント管理｝｝、となる。Ｆ２から、３つのアイテムから構成される、３−候補アイテム集合Ｃ３＝｛機器間認証、ユーザ認証、アカウント管理｝、

を導出する。導出したＣ３の支持度を算出し、頻出度閾値以上のものを頻出とみなす。

よって、３−頻出アイテムＦ３＝｛機器間認証、ユーザ認証、アカウント管理｝、となる。この工程をｎ−候補集合Ｃｎが空になるまで繰り返す。上述の例では、４−候補集合Ｃ４は空になるため、３−頻出アイテム集合Ｆ３＝｛機器間認証、ユーザ認証、アカウント管理｝、が頻出パターンとして導出される。

なお、頻出パターン抽出に際し、本実施形態では、頻出パターン抽出アルゴリズムの１つであるＡｐｒｉｏｒｉアルゴリズムを用いたが、Ａｐｒｉｏｒｉアルゴリズム以外にもＦＰ−Ｔｒｅｅをはじめとする他の頻出パターン抽出アルゴリズムの適用が可能である。

上述の判定の結果、頻出度閾値以上の頻出パターンが存在することが判明した場合（Ｓ２５０３：ＹＥＳ）、処理Ｓ２５０４において、頻出パターン抽出部１０５は、導出した高頻度で関連する対策方針パターンを、例えばメモリ１００において対策方針一覧として記述する。具体的には、例えば、「サブシステム１＝メーターデータマネジメントシステム」で実施すべき対策方針として、処理Ｓ２５０３で導出した頻出パターン｛機器間認証、ユーザ認証、アカウント管理｝を、メーターデータマネジメントシステムで発生しうる脅威の対策方針として記述する。

他方、上述の判定の結果、頻出度閾値以上の頻出パターンが存在しなかった場合（Ｓ２５０３：ＮＯ）、処理Ｓ２５０５において、頻出パターン抽出部１０５は、頻出度閾値以上の対策方針パターンが存在しないことを、上述の対策方針一覧３０５に記述する。

続いて処理Ｓ２５０６において、頻出パターン抽出部１０５は、上述の処理Ｓ２５０４と処理Ｓ２５０５により作成した対策方針一覧３０５を入出力装置４００に送信する。出力データである対策方針一覧３０５の詳細は図１９に示す。

図１９に本実施形態における出力となる対策方針一覧３０５の例を示す。この対策方針一覧３０５は、頻出パターン抽出部１０５の出力となる情報であり、対象システムにおける脅威分析結果から、脅威発生箇所毎に実施すべき対策方針を記述した情報であり、セキュリティ設計支援の情報となる。

図１９に示す対策方針一覧３０５において、列３５０１には、対象システムの名称が記述されている。具体的には、例えば本実施形態の対象システム「スマートグリッド」の名称が記述される。

また、列３５０２において、対象システムにおいて攻撃が発生しうる場所、すなわち脅威発生箇所の情報が記載されている。具体的には、例えば、スマートグリッドシステムに対する脅威分析にて導出された「メーターデータマネジメントシステム」などの名称が記述される。

また、列３５０３において、上述の脅威発生箇所３５０２で発生する脅威ＩＤが記述されている。具体的には、例えば、メーターデータマネジメントシステムで発生しうる脅威ＩＤとして、「ＳＧ＿Ｔ_００１、ＳＧ＿Ｔ_００２、ＳＧ＿Ｔ_００４・・・」といった値が記述されている。

また、列３５０４において、上述の脅威発生箇所３５０２で発生しうる脅威から抽出した類似脅威に関連した対策方針集合から導出した対策方針の頻出パターンが記述されている。具体的には、例えば、スマートグリッドシステムにおけるサブシステムであるメーターデータマネジメントシステムで発生しうる脅威の類似脅威から導出した、「機器間認証、ユーザ認証、アカウント認証」の各値が記述されている。なお、こうした対策方針一覧３０５で記述する項目として、類似脅威に関連する対策方針集合をすべて記述してもよい。
−−−その他の例−−−

上述で示した形態に加え、対策方針の特定精度を継続的に改善し続けるフィードバック部１０６をセキュリティ設計支援装置１０が備える構成について図に基づき説明する。図２０は、本実施形態におけるセキュリティ設計支援装置の構成例２を示す図である。

この場合のセキュリティ設計支援装置１０は、図２０にて例示するようにフィードバック部１０６を更に備えている。このフィードバック部１０６は、対象システムに関して出力した、上述の対策方針一覧３０５の正否評価を、入出力装置４００にて設計者等のユーザから受け付け、この正否評価が対策方針一覧３０５を否定するものであった場合、上述の類似脅威を特定する類似判断の基準値たる類似度閾値と、類似脅威間での出現頻度に関する基準値たる頻出度閾値との少なくともいずれかを所定値分変更し、当該変更以降に、対象システムに関して受け付けた正否評価が（新たな）対策方針一覧３０５を肯定するものとなるまで上述の変更を繰り返す、フィードバック処理を更に実行するものである。すなわち、類似度閾値と頻出度閾値を継続的に改善する機能である。

図２１にてその処理フローの例を示す。図２１は本実施形態におけるセキュリティ設計支援方法の手順例６を示すフロー図である。この場合、例えば、入出力装置４００にて出力した対策方針一覧３０５を設計者が目視確認し、その結果、誤った対策方針が提示されたと設計者が判断した場合、この設計者が入出力装置４００を介して、上述の脅威特徴―対策方針ＤＢ２０４における対策方針の検索要求を入力したとする。この検索要求は、正しい対策方針の存在を脅威特徴―対策方針ＤＢ２０４で確認する意図でなされるものである。

一方、フィードバック部１０６は、処理Ｓ２６０１において、上述の検索要求を入出力装置４００にて受け付けて、当該検索要求が示す検索条件に基づき、脅威特徴―対策方針ＤＢ２０４における対策方針の検索処理を実行し、検索結果を入出力装置４００に表示する。

他方、設計者は入出力装置４００にて上述の検索結果を閲覧、確認し、上述の対象システムにおける脅威に関して、脅威特徴―対策方針ＤＢ２０４に正しい対策方針が含まれているか確認する。この確認の結果、正しい対策方針が含まれていた場合、入出力装置４００より、例えば対象システムにおける脅威特徴、誤った対策方針、正しい対策方針、および脅威特徴比較項目３０３の各値を入力する。

この場合、フィードバック部１０６は、処理Ｓ２６０２において、入出力装置４００より脅威特徴、誤った対策方針、正しい対策方針、脅威特徴比較項目３０３の各値を受信する。また、フィードバック部１０６は、処理Ｓ２６０３において、上述の処理Ｓ２６０２で受信した対象システムの脅威特徴比較項目３０３の値に基づき、類似度ＤＢ２０５と相関ルールＤＢ２０６を参照し、現状の類似度閾値と頻出度閾値を抽出する。

続いてフィードバック部１０６は、処理Ｓ２６０４において、上述の処理Ｓ２６０２で設計者から受け付けた正しい対策方針が、処理結果である対策方針一覧３０５に含まれるような類似度閾値と頻出度閾値を算出し、当該算出した新しい類似度閾値を類似度ＤＢ２０５に、新しい頻出度閾値を相関ルールＤＢ２０６に記録する。

なお、新たな類似度閾値と頻出度閾値を算出するにあたっては、例えば、既存の類似度閾値と頻出度閾値の少なくともいずれかに所定値を加算して基準を厳しくする方向に変更し、この変更以降に上述の対象システムに関して受けた正否評価が該当対策方針を肯定するものとなるまで、上述の所定値の加算を繰り返す処理を実行することを想定出来る。或いは、設計者から受け付けた正しい対策方針が、処理結果である対策方針一覧３０５に含まれる類似度閾値と頻出度閾値を算出するアルゴリズムを予め用意しておき、フィードバック部１０６がこれを用いて新しい類似度閾値、頻出度閾値を算出するとしてもよい。

なお、本実施形態にて例示したセキュリティ設計支援装置１０においては、システム特徴抽出部１０１によって対象システムの特徴を抽出し、類似システム抽出部１０２によって類似システムを抽出することで、膨大な量の既存セキュリティ設計結果が記録されている脅威特徴−対策方針ＤＢ２０４の参照先を限定し、また対策方針抽出精度の向上を図っている。しかし、これらのシステム特徴抽出部１０１、類似システム抽出部１０２を使用しなくとも、例えばデータ加工部１０３により既存のセキュリティ設計結果（脅威特徴−対策方針ＤＢ２０４の格納データ）と比較可能なように、脅威分析結果３０１のデータ加工を行い、パターンマッチング部１０４によって加工済み脅威分析結果１３００と既存のセキュリティ設計結果の脅威とを比較して類似脅威を抽出し、頻出パターン抽出部１０５によりパターンマッチング部１０４で抽出した類似脅威から高頻度で関連する対策方針の頻出パターンを抽出する、といった一連の処理を構成することで、対策方針立案の支援を実施することは可能である。

また、本実施形態にて例示した脅威特徴−対策方針ＤＢ２０４は、既存のセキュリティ設計結果を利活用するため、既存のセキュリティ設計結果を基に構成されている。しかしながら、セキュリティ設計に際して準拠すべき規格やガイドラインにて指定されている情報を、脅威特徴−対策方針ＤＢ２０４にて格納、構成することで、セキュリティ設計支援装置１０において該当規格等に準拠した対策方針を特定し、設計者に提示することが可能となる。

以上、本発明を実施するための最良の形態などについて具体的に説明したが、本発明はこれに限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能である。

こうした本実施形態によれば、大規模システムに関する効率的なセキュリティ設計を支援可能となる。

本明細書の記載により、少なくとも次のことが明らかにされる。すなわち、本実施形態のセキュリティ設計支援装置において、前記演算装置は、前記類似脅威群を特定するに際し、対象システムに関して特定されている各脅威の特徴と前記データベースに格納されている各脅威の特徴との類似度を算定し、当該算定した類似度が所定閾値以上の脅威群を類似脅威群として特定するものである、としてもよい。

これによれば、対策方針の実績が既にある数多くの脅威のうち、設計対象となるシステムにおける脅威と類似するものを効率的に特定し、ひいてはその類似脅威に対応する対策方針を効率的に特定出来ることとなる。

また、本実施形態のセキュリティ設計支援装置において、前記記憶装置は、前記対象システムに関して特定されている各脅威の特徴に関する情報の構成と、前記データベースにおける前記脅威の特徴に関する情報の構成との間の変換用の情報を更に記憶するものであり、前記演算装置は、前記類似脅威群を特定するに際し、前記対象システムに関して特定されている各脅威の特徴に関する情報と前記変換用の情報とに基づき、前記データベースにおける前記脅威の特徴に関する情報の構成に加工し、当該加工後の脅威の特徴に関する情報を前記データベースに照合するものである、としてもよい。

これによれば、セキュリティ設計対象のシステムに関して特定されている脅威の情報に基づき、上述のデータベースから類似脅威とその対策方針を特定する処理を効率的で精度の良いものと出来る。

また、本実施形態のセキュリティ設計支援装置において、 前記記憶装置は、システム毎に脅威により生じうる影響の特徴パターンを更に記憶するものであり、前記演算装置は、前記類似脅威群を特定するに際し、前記対象システムに関して特定されている脅威の特徴に関する情報のうち、脅威により生じうる影響に関する情報を前記特徴パターンに照合して、前記対象システムの類似システムを特定し、前記データベースのうち前記類似システムに関する知見を検索し、該当知見が示す各脅威の特徴と、前記加工後の脅威の特徴との類似度を算定し、当該算定した類似度が所定閾値以上の脅威群を類似脅威群として特定するものである、としてもよい。

これによれば、脅威に対する対策方針の実績たる上述の知見のうち、設計対象のシステムと、特に社会的影響等の面で特徴が類似し、例えば社会インフラシステムに対するセキュリティ設計に関して有意義であるものを特定した上で、上述の類似脅威群を特定し、ひいては精度良好な対策方針を効率的に提案することが可能となる。

また、本実施形態のセキュリティ設計支援装置において、前記演算装置は、前記対象システムに関して前記出力した対策方針の正否評価を入力装置にて受け付け、前記正否評価が前記対策方針を否定するものであった場合、前記類似脅威群を特定する類似判断の基準値と、前記類似脅威間での出現頻度に関する基準値との少なくともいずれかを所定値分変更し、当該変更以降に前記対象システムに関して受け付けた正否評価が前記対策方針を肯定するものとなるまで前記変更を繰り返す、フィードバック処理を更に実行するものである、としてもよい。

これによれば、例えば上述の対策方針の実績数が十分でない状況などであっても、対策方針の特定精度を継続的に改善し続け、ひいては効率的で精度良好なセキュリティ設計が継続可能となる。

１０ セキュリティ設計支援装置
１００ メモリ
１０１ システム特徴抽出部
１０２ 類似システム抽出部
１０３ データ加工部
１０４ パターンマッチング部
１０５ 頻出パターン抽出部
１０６ フィードバック部
２００ 外部記憶装置
２０１ 制御システム特徴指標ＤＢ
２０２ 制御システム特徴ＤＢ
２０３ 脅威特徴分類パターンＤＢ
２０４ 脅威特徴−対策方針ＤＢ
２０５ 既存セキュリティ設計結果ＤＢ
２０６ 相関ルールＤＢ
３００ ＣＰＵ（演算装置）
４００ 入出力装置
５００ インターフェイス

Claims (6)

1. 情報セキュリティ上の脅威に対する対策方針の知見を格納したデータベースを記憶する記憶装置と、
   対象システムに関して特定されている各脅威の特徴を前記データベースに照合して、前記データベースにおいて前記各脅威と特徴が類似する類似脅威群を特定し、当該類似脅威群が含む各類似脅威に対応付けされた対策方針群のうち、前記類似脅威間での出現頻度が所定以上の対策方針を特定し、当該対策方針の情報を所定装置に出力する処理を実行する演算装置と、
   を備えることを特徴とするセキュリティ設計支援装置。
2. 前記演算装置は、
   前記類似脅威群を特定するに際し、対象システムに関して特定されている各脅威の特徴と前記データベースに格納されている各脅威の特徴との類似度を算定し、当該算定した類似度が所定閾値以上の脅威群を類似脅威群として特定するものである、
   ことを特徴とする請求項１に記載のセキュリティ設計支援装置。
3. 前記記憶装置は、
   前記対象システムに関して特定されている各脅威の特徴に関する情報の構成と、前記データベースにおける前記脅威の特徴に関する情報の構成との間の変換用の情報を更に記憶するものであり、
   前記演算装置は、
   前記類似脅威群を特定するに際し、前記対象システムに関して特定されている各脅威の特徴に関する情報と前記変換用の情報とに基づき、前記データベースにおける前記脅威の特徴に関する情報の構成に加工し、当該加工後の脅威の特徴に関する情報を前記データベースに照合するものである、
   ことを特徴とする請求項２に記載のセキュリティ設計支援装置。
4. 前記記憶装置は、
   システム毎に脅威により生じうる影響の特徴パターンを更に記憶するものであり、
   前記演算装置は、
   前記類似脅威群を特定するに際し、前記対象システムに関して特定されている脅威の特徴に関する情報のうち、脅威により生じうる影響に関する情報を前記特徴パターンに照合して、前記対象システムの類似システムを特定し、前記データベースのうち前記類似システムに関する知見を検索し、該当知見が示す各脅威の特徴と、前記加工後の脅威の特徴との類似度を算定し、当該算定した類似度が所定閾値以上の脅威群を類似脅威群として特定するものである、
   ことを特徴とする請求項３に記載のセキュリティ設計支援装置。
5. 前記演算装置は、
   前記対象システムに関して前記出力した対策方針の正否評価を入力装置にて受け付け、前記正否評価が前記対策方針を否定するものであった場合、前記類似脅威群を特定する類似判断の基準値と、前記類似脅威間での出現頻度に関する基準値との少なくともいずれかを所定値分変更し、当該変更以降に前記対象システムに関して受け付けた正否評価が前記対策方針を肯定するものとなるまで前記変更を繰り返す、フィードバック処理を更に実行するものである、
   ことを特徴とする請求項１に記載のセキュリティ設計支援装置。
6. 情報セキュリティ上の脅威に対する対策方針の知見を格納したデータベースを記憶する記憶装置を備えた情報処理装置が、
   対象システムに関して特定されている各脅威の特徴を前記データベースに照合して、前記データベースにおいて前記各脅威と特徴が類似する類似脅威群を特定し、当該類似脅威群が含む各類似脅威に対応付けされた対策方針群のうち、前記類似脅威間での出現頻度が所定以上の対策方針を特定し、当該対策方針の情報を所定装置に出力する処理を実行することを特徴とするセキュリティ設計方法。