JP2017107405A

JP2017107405A - セキュリティ対策立案支援方式

Info

Publication number: JP2017107405A
Application number: JP2015240712A
Authority: JP
Inventors: 千秋太田原; Chiaki Otawara; 宏樹内山; Hiroki Uchiyama
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2015-12-10
Filing date: 2015-12-10
Publication date: 2017-06-15
Anticipated expiration: 2035-12-10
Also published as: JP6663700B2

Abstract

【課題】構成要素が多数存在するシステムのセキュリティ設計におけるセキュリティ対策立案を支援する。【解決手段】セキュリティ対策立案支援装置は、ユーザから情報の入力を受け付ける入力受付部１０１と、セキュリティ対策を表示する出力部１０４と、脅威と対策とを対応付けて格納する脅威‐対策ＤＢ２０１と、セキュリティ対策同士の従属関係を格納する従属対策ＤＢ２０２と、脅威-対策ＤＢから脅威に対応付く複数のセキュリティ対策を抽出し、当該抽出された複数のセキュリティ対策間の従属関係を従属対策ＤＢから抽出する対策立案部１０２と、セキュリティ対策同士の代替関係を格納する代替対策ＤＢ２０３と、対策立案部が提示した複数のセキュリティ対策を、代替関係と、入力部から入力されるコンポーネントの制約条件と、に基づき組み合わせ、出力部に出力する対策精査部１０３と、を備える。【選択図】図２

Description

本発明は、社会インフラシステムをはじめとする構成要素が多数存在するシステムのセキュリティ設計におけるセキュリティ対策立案を支援する方式に関する。

社会インフラシステムの構成要素である制御システムは従来、独自ＯＳ・ネットワークから構成されており外部システムと接続しないため、ウイルス等による攻撃からセキュリティ脅威にさらされることはないと考えられていた。しかし、制御システムのＩＴ化による汎用ＯＳ・標準プロトコルの採用がすすんでいる（オープン化）。こういった背景から、これまで安全とされていた制御システムを対象としたサイバー攻撃報告数も年々増加傾向にある。これを受け、制御システム分野でもセキュリティに関するＩＥＣ６２４４３をはじめとする標準規格・ガイドラインなどの策定が開始されている。これらの標準規格・ガイドラインでは、セキュリティ設計の実施を要求していることから制御システム分野でもセキュリティ設計の重要性が高まっている。

セキュリティ設計とは、セキュアなシステムを構築するため、分析対象システムにおいて価値があるもの（以降、資産と表記する）に対して、発生しうる脅威を洗い出し、各脅威に対して許容リスクになるまで適切なセキュリティ対策をシステムに講じるまでの一連のプロセスである。

情報システム分野では、９０年代後半よりインターネットの発展に伴い脆弱性を狙ったサイバー攻撃が年々増加したことをうけ、９０年代後半から効果的かつ効率的に攻撃を防ぐためセキュリティ設計が重要視されていた。また、情報システム分野の標準規格であるＩＥＣ２７０００でもセキュリティ設計の実施を要求している。こういった背景から、情報システム分野ではセキュリティ設計に関する様々な技術や対策のベストプラクティスが確立されている。そのため、通常セキュリティ設計では発生しうる脅威から適切な対策を抽出するが、特許文献１では、製品の設置箇所の特徴（抽出条件）を入力として、過去の事例から作成した対策ＤＢを参照することで効果的な対策立案を支援している。さらに本対策ＤＢは過去事例をフィードバックすることで、より精度の高い対策立案の支援を実現している。

特開２００５−２５９０１４号公報

現在、社会インフラシステムでは、電力システムにおけるスマートグリッドシステムをはじめとしたシステム改革が急速に発展しており、この改革に伴いシステム規模の拡大、様々な特性を持つコンポーネントの接続等が発生している。

特許文献１は、分析対象コンポーネントの設置箇所の情報（抽出条件）を入力として、過去事例を蓄積した対策ＤＢから効果的な対策立案を実現している。特許文献１における対策ＤＢでは、抽出条件に応じて各対策に優先度が付与されている。優先度とは、実際に適用した事例（以降、過去事例とする）の抽出条件に応じた対策の情報をフィードバックすることで、数値を設定しており、実際に適用した対策ほど優先度は高くなる。よって、効果的な対策を抽出するには、過去事例の情報を構築する必要があるため、これまで適用したことのない抽出条件に適切な結果が出力されない場合がある。そのため、社会インフラシステムを構成するコンポーネントの中には、新規抽出条件のコンポーネントが存在する可能性もあり、対策立案に適用するのは困難であるといえる。また、社会インフラシステムを構成するコンポーネントには制約（ネットワーク帯域が狭い，ＣＰＵリソースが低い等）があるものが存在するため、セキュリティ機能に割けるリソースが潤沢ではないものも存在する。よって、抽出条件からその条件に合った効果的な対策を抽出できたとしても、その対策に対応できないことがある。以上より、社会インフラシステムを対象としたセキュリティ設計の際、抽出条件から効果的な対策を抽出するのは困難である。

ユーザから情報の入力を受け付ける入力部と、セキュリティ対策を表示する出力部と、脅威と対策とを対応付けて格納する脅威‐対策ＤＢと、セキュリティ対策同士の従属関係を格納する従属対策ＤＢと、脅威-対策ＤＢから脅威に対応付く複数のセキュリティ対策を抽出し、当該抽出された複数のセキュリティ対策間の従属関係を従属対策ＤＢから抽出する対策立案部と、セキュリティ対策同士の代替関係を格納する代替対策ＤＢと、対策立案部が提示した複数のセキュリティ対策を、代替関係と、入力部から入力されるコンポーネントの制約条件と、に基づき組み合わせ、出力部に出力する対策精査部と、を備えるセキュリティ対策立案支援装置。

本発明では、社会インフラシステムの業務において多数のコンポーネントが連携し合う特徴に着目し、両者のコンポーネントが備えることで実現する対策に関しては、各コンポーネントの連携先の対策と発生しうる脅威を考慮することで、過不足なく効果的な対策立案を可能とする。

装置全体の物理構成を示す図。処理工程の概要と入出力を示す図。対策の選別方針を入力する画面例を示す図。システム構成情報を入力する画面例を示す図。コンポーネント連携情報を入力する画面例を示す図。脅威分析結果を入力する画面例を示す図。制約条件を入力する画面例を示す図。入力である脅威分析結果例を示す図。脅威‐対策ＤＢの一例を示す図。従属対策ＤＢの一例を示す図。代替対策ＤＢの一例を示す図。対策一覧の一例を示す図。推奨対策一覧の一例を示す図。対策立案部のフローチャートを示す図。対策精査部のフローチャートを示す図。連携関係の考慮例を示す図。対策精査の一例を示す図。

図１は、本発明を実施するためのセキュリティ対策立案支援装置全体の物理構成を示す図である。本装置のハードウェア構成は、例えば、メモリ１００、外部記憶装置２００、ＣＰＵ３００、入出力装置４００、インターフェース５００を備えており、例えば１つ以上の公知のパーソナルコンピュータやワークステーションなどの電子計算機により構成される。

メモリ１００は、分析者からの入力用のユーザーインターフェースを表示する入力受付部１０１、入力された脅威分析結果と分析対象システムを構成するコンポーネント連携情報から対策を立案する対策立案部１０２、抽出した対策の精査を行う対策精査部１０３、推奨対策一覧をユーザに表示する出力部１０４から構成される。

外部記憶装置２００は、ＨＤＤ（ＨＡＲＤＤＩＳＫＤＲＩＶＥ）などの記憶媒体から構成され、脅威‐対策ＤＢ２０１、従属対策ＤＢ２０２、代替対策ＤＢ２０３を格納する。これらの情報の具体的内容については後述する。

ＣＰＵ３００は処置を実行するための演算装置である。メモリ１００はＣＰＵ３００で実行する命令のセットがプログラムとして記述されたデータを含む記憶媒体である。

入出力装置４００は、設計者によるデータの入出力を行うための装置である。入出力装置の一例としては、キーボードやマウス、ディスプレイがある。具体的な出力内容については後述する。

インターフェース５００は、セキュリティ設計装置が外部と通信をするための通信装置である。ＬＡＮカードなどの通信機器がこれに対応する。インターフェース５００は、図中においてＩＦと記述することがある。

また、図示は省略したが、電子計算機上には、ネットワークを介して他装置と相互に通信するための通信制御部なども構築される。

図２に、セキュリティ対策立案支援装置における処理工程と概要と入出力を示す。各部の詳細な処理工程は後述する。

本装置は、システム構成情報６０１、コンポーネント連携情報６０２、脅威分析結果６０３、制約条件６０４を入力とする。処理の概要は以下で説明する。

入力受付部１０１は、対策の選別方針６００、システム構成情報６０１、コンポーネント連携情報６０２、制約条件６０４を入力してもらうためのユーザーインターフェースを表示し、分析者に入力された対策の選別方針６００、システム構成情報６０１、コンポーネント連携情報６０２と、受信した脅威分析結果６０３、制約条件６０４を対策立案部１０２に送信する。なお、脅威分析結果６０３もシステム構成情報６０１と同様にユーザーインターフェースから入力してもらう形式でも良い。対策の選別方針６００を入力するためのユーザーインターフェースは図３にて後述する。システム構成情報６０１を入力するためのユーザーインターフェースは図４にて後述する。コンポーネント連携情報６０２を入力するためのユーザーインターフェースは図５にて後述する。脅威分析結果６０３を入力するためのユーザーインターフェースは図６にて後述する。

対策立案部１０２は、入力受付部１０１より受信した、システム構成情報６０１、コンポーネント連携情報６０２、脅威分析・リスク評価結果６０３を受信した後、脅威‐対策ＤＢ２０１を参照する。各コンポーネントで発生しうる脅威を防ぐための対策を脅威‐対策ＤＢ２０１より抽出する。本ＤＢから抽出した対策を以降、脅威ベース対策とする。抽出した脅威ベース対策に従属する対策を抽出するため、各脅威ベース対策に紐付く従属対策を従属対策ＤＢ２０２より抽出する。抽出した対策一覧を対策精査部１０３に送信する。対策立案部１０２が出力する対策一覧を以降では主対策[従属]とする。また主対策[従属]に紐づく対策を従属対策とする。対策立案部１０２の詳細は図１４にて後述する。対策立案部１０２が参照する脅威‐対策ＤＢ２０１の詳細は図９に、従属対策ＤＢ２０２の詳細は図１０に後述する。

対策精査部１０３は、対策立案部１０２より受信した対策一覧６０５に記載された各従属関係考慮対策の充足性を確認し、過剰な対策が存在する場合精査する。精査する際、入力部１０１で分析者が選択した対策の選別方針に基づいて、脅威に対応する主対策一覧が記載された代替対策ＤＢ２０３を参照し、対策を精査する。精査の際、例えば各コンポーネントで起こりうる脅威と従属関係考慮対策の関係から、同等の脅威に対応する対策が複数存在している場合、より効果的な方を採用し残りは削除する等をして精査する。対策精査部１０３の出力である推奨対策一覧６０６を出力部１０４へ送信する。対策精査部１０３の詳細は図１５にて後述する。対策精査部１０３が参照する代替対策ＤＢ２０３は図１１にて後述する。

出力部１０４は、受信した推奨対策一覧６０６を入出力装置４００のモニタ等に出力等をする。

図３では、入力部が分析者に表示する分析対象システムの名称と対策の選別方針に関する入力フォーマットについて説明する。

分析対象システム名称１１０１の入力では、分析対象システムの名称を分析者が記述する。具体的には、分析対象システム名称１１０２に「○○電力システム」と記述する。対策の選別方針１１０３の入力では、分析対象システムの対策を選別する際の方針を選択する。具体的には、「全脅威をカバーできる最小数の対策の組合せ」を選択する。その他の選択肢としては、「多層防御可能な対策を選別」「選別しない」等の複数の選択肢が存在する。編集ボタン１１０３を押下する場合、本入力フォーマットの編集が開始し、次へボタン１１０４を押下する場合、図４を表示する。

図４では、入力部が分析者に表示するシステム構成情報の入力フォーマットについて説明する。

システム構成情報１２０１の入力では、コンポーネントの情報を分析者が記述する。具体的には、分析対象システムを構成するコンポーネント数１２０２を分析者に選択させる。そして選択したコンポーネント数１２０２に応じて、コンポーネント名称１２０３を分析者が記述する。編集ボタン１２０７を押下する場合、本入力フォーマットの編集が開始する。戻るボタン１２０８を押下する場合、図３の分析システム名称１１０１入力フォーマットが表示される。次へボタン１２０９を押下する場合、図５のコンポーネント連携情報１３０１の入力フォーマットが表示される。なお、本例ではコンポーネントへの対策立案を取り扱っているが、脅威‐対策ＤＢ２０１や従属対策ＤＢ２０２や代替対策ＤＢ２０３をコンポーネントとネットワーク毎に作成し、本入力フォーマットにコンポーネント間のネットワーク情報を入力させることで、ネットワークへの脅威への対策立案も可能である。

図５では、入力部が分析者に表示するコンポーネント連携情報の入力フォーマットについて説明する。コンポーネント連携情報１３０１の入力では、分析対象システムに登場するコンポーネント間の連携情報を分析者が記述する。具体的には、コンポーネント連携情報１３０２を星取り表で表現し、直接やりとりする（連携している）コンポーネントには「○」を、直接やりとりしていない（連携していない）コンポーネントには「×」を分析者は記述する。なお、コンポーネントの連携情報は表形式の入力ではなく、テキストベースの入力でも構わない。編集ボタン１３０３を押下する場合、本入力フォーマットの編集が開始する。戻るボタン１３０４を押下する場合、図４のシステム構成情報１２０１入力フォーマットが表示される。次へボタン１３０５を押下する場合、図５のコンポーネント連携情報１３０１の入力フォーマットが表示される。

図６では、入力部が分析者に表示する脅威分析結果の入力フォーマットについて説明する。脅威分析・リスク評価結果１４０１の入力では、分析対象システムの脅威分析・リスク評価結果を入力する。具体的には、脅威分析・リスク評価結果のファイルを読み込ませるため、ファイル参照１４０２し登録する。なお、入力フォーマットを表示し、各コンポーネントで発生しうる脅威を入力する形式でも構わない。編集ボタン１４０３を押下する場合、本入力フォーマットの編集が開始する。戻るボタン１４０４を押下する場合、図５のコンポーネント連携情報１３０１入力フォーマットが表示される。終了ボタン１４０５を押下する場合、対策立案に必要な情報の入力が完了したことになり、分析者が入力した情報が対策立案部へ送信される。

図７では、入力部が分析者に表示する制約条件の入力フォーマットについて説明する。制約条件１５０１の入力では、分析対象システムを構成するコンポーネントの制約条件を入力してもらう。具体的には、コンポーネント名称１５０２は、システム構成情報１２０１で分析者が入力したコンポーネントを選択し全コンポーネントに対して制約条件があるのかないのかを含め選択させる。選択したコンポーネントに制約条件がある場合は、制約条件１５０３（例えば、ＣＰＵリソースが低い、ネットワーク帯域が狭いなど）を選択させる。編集ボタン１５０３を押下する場合、本入力フォーマットの編集が開始する。戻るボタン１５０４を押下する場合、図５のコンポーネント連携情報１４０１入力フォーマットが表示される。終了ボタン１５０５を押下する場合、対策立案に必要な情報の入力が完了したことになり、分析者が入力した情報が対策立案部と対策精査部へ送信される。

図８では、入力される脅威分析・リスク評価結果６０３の一例を示す。資産名称列６３０１には、分析対象システムの資産が記述されている。具体的には、分析対象システムの資産となりうる業務「遠隔地からの検針」が記述されている。攻撃経路６３０２には、資産６３０１に対する攻撃が生じる可能性のある経路が記述される。攻撃経路６３０２では、攻撃元列６３０３と攻撃先列６３０４により表現される。具体的には攻撃経路として６３０２「コンポーネントＡからコンポーネントＢ」と記述されている。資産６３０１に対する攻撃を起こしうる攻撃者列６３０５が記述される。具体的には「外部者」などが記述されている。脅威事象列６３０６には、資産６３０１と攻撃経路６３０２と攻撃者６３０５の組合せから発生しうる脅威事象６３０６が記述される。具体的には、「不正機器接続し攻撃先へ不正なパケットを大量送信する」等が記述されている。

図９では、脅威‐対策ＤＢ２０１の一例を示す。脅威列２１０１では、脅威分析・リスク評価結果６０３に記載された脅威に関連する脅威行２１０１を記載している。本例では、脅威事象２１０２と脅威イベント２１０３の総称として脅威２１０１という用語を用いる。脅威事象２１０２には、どのような脅威が発生するか記載される。具体的には「不正機器接続し、攻撃先へ不正パケットを大量送信」等と記載されている。脅威イベント２１０３では、脅威事象２１０２を攻撃元と攻撃先で起こりうる脅威イベントに細分化したものが記載される。具体的には、脅威事象２１０２「不正機器接続し、攻撃先へ不正パケットを大量送信」を細分化した脅威イベントとして、攻撃元で発生する脅威イベント２１０３には「不正機器接続」、攻撃先で発生する脅威イベント２１０３には「ＤｏＳ攻撃」が記載されている。そして、これらの脅威イベント２１０３を防ぎうる対策２１０４が判断可能となるよう、脅威行２１０１に対応する対策列２１０４には「○」と記載されている。具体的には、攻撃元で発生する脅威２１０２「不正機器接続」に対する対策として挙げられる「システム境界の保護」と「デバイスの認証と識別」の対策列に「○」を記載している。これにより、各コンポーネントで発生しうる脅威事象を防ぐための対策が抽出可能となる。さらに、コンポーネント同士の連携要行２１０５では、コンポーネント同士で連携することで実現する対策に関して「○」を記載している。脅威‐対策ＤＢ２０１を参照する手順等の詳細は、対策立案部の処理部の説明（図１４）にて後述する。

制約条件２１０６では、制約条件によっては選択できない対策に「×」が記載される。具体的には、CＰＵリソースが低いコンポーネントに対して、「保存情報の暗号化」と「通信路の暗号化」は実施できないことが判断可能となる。

なお、本実施例では脅威発生箇所をコンポーネントのみとしているため、上記のような構造になっているが、コンポーネント間を接続するネットワークも脅威発生箇所と見なす場合、脅威‐対策ＤＢ２０１もコンポーネントとネットワークで分けることで対応が可能となる。さらに、本例では扱う脅威を具体的な事象を描写した脅威事象２１０２と、脅威事象２１０２を細分化した脅威イベント２１０３で記載しているが、どちらか一方でも構わない。

図１０では、従属対策ＤＢ２０２の一例として制約条件がないコンポーネントが参照する従属対策ＤＢ２０２を示す。なお、点線で示す矢印（２２０４、２２０５、２２０７、２２０８、２２１０）は、「参照」という処理を示したものである。

従属対策ＤＢ２０２では、各対策の従属関係にある対策が判断可能なＤＢである。従属ＤＢ２０２を参照することにより、脅威に対応する対策だけではなく、それに紐づく実施すべき対策の抽出が可能となる。このような従属関係（ＡＮＤ）を判断するため、本例の従属対策ＤＢ２０２は主対策[従属]の実施にあたり従属して実施する必要がある対策（つまり主対策[従属]から一方向の関係性にあたる対策に関して判断可能な形式をしている。以下で本例に基づいた具体例を記載する。

主対策２２０１と従属対策２２０２には、脅威‐対策ＤＢ２０１と同じ対策を記載している。主対策２２０１の各列の対策に従属する対策には「○」を記載している。具体的には、主対策２２０１のうち、「対策：ユーザ認証と識別」２２０３を参照２２０４、２２０５すると「対策：ユーザＩＤ/デバイスＩＤ管理」２２０６に「○」が記載されている。よって、「対策：ユーザ認証と識別」２２０３を参照２２０４に従属する対策は「対策：ユーザＩＤ/デバイスＩＤ管理」２２０６だと判る。さらに従属する対策が存在するか調べるため、「対策：ユーザＩＤ/デバイスＩＤ管理」２２０６を参照２２０７、２２０８すると、「対策：強固なパスワード/パスワードの定期的な変更」２２０９に「○」が記載されている。同様の処理を繰り返し、「対策：強固なパスワード/パスワードの定期的な変更」２２０９に従属する対策が存在するか調べるため、参照２２１０する。すると「○」が記載されている行が存在しないため、ここで「対策：ユーザ認証と識別」２２０３をキーとした従属対策の検索は終了となる。従属対策ＤＢ２０２を参照する対策立案部１０２の処理説明（図１４）にて後述する。なお、従属対策ＤＢ２０２は、可視化できるグラフ表現でも構わない。また、本例では制約条件がない例をあげた。制約条件毎に従属対策ＤＢ２０２を作成する必要がある。

図１１では、代替対策ＤＢ２０３の一例として制約条件がないコンポーネントが参照する代替対策ＤＢ２０３を示す。

代替対策ＤＢ２０３は、各対策の代替案となりうる対策が判断可能なＤＢである。代替対策ＤＢ２０３を参照することにより、代替関係（ＯＲ）にある対策が抽出可能となる。このような代替関係の対策を抽出するため、対策同士（ここでは主対策、従属対策は問わない）同じ脅威に対応する（効果が同じ）対策同士のものが判断できるよう記載する。以下、具体例を説明する。

主対策２３０１と代替対策２３０２には、従属対策ＤＢ２０２と同様に脅威‐対策ＤＢ２０１と同じ対策を記載している。主対策２３０１の各列の対策の代替対策にあたる対策には「○」を記載している。具体的には、主対策２３０１のうち、「対策：通信フィルタリング」２３０３を参照２３０４すると、「対策：ネットワークの分離（ＤＭＺの構築）」２３０５に「○」が記載されている。よって、「対策：通信フィルタリング」２３０３の変わりとなりうる対策は「対策：ネットワークの分離（ＤＭＺの構築）」２３０５だと判断可能である。

代替対策ＤＢ２０３は、対策精査部１０３が、OR関係にある対策の中から入力部１０１が分析者に選択させた分析対象システム・対策の選別方針６００における対策の選別方針１１０３に沿って対策を精査する際に参照するＤＢとなる。なお、代替対策ＤＢ２０３も従属対策ＤＢ２０２と同様に、可視化できるグラフ表現のＤＢでも構わない。また、本例では制約条件なない例をあげた。制約条件毎に代替対策ＤＢ２０３を作成する必要がある。

図１２では、対策一覧６０５の一例を示す。対策一覧６０５は対策立案部１０３の出力である。よって、脅威発生箇所となりうるコンポーネントで発生しうる脅威に対応した対策が記載される。

対策箇所列６４０１には、脅威発生箇所であり対策をうたねばならないコンポーネント名が記入される。

脅威事象６４０２には、対策箇所６４０１に記載されているコンポーネントで起こりうる脅威が記述されている。本例では文章で表現した脅威事象６４０３と、文章化した脅威事象６４０３を攻撃元と攻撃先で起こりうるものに細分化した脅威６４０が記述されるが、どちらか一方の記述でも構わない。

主対策[従属]６４０５には、対象箇所６４０１と脅威事象６４０２に応じた主対策[従属]が記述されている。具体的には「脅威：[攻撃元]不正機器接続」に対抗するための対策「デバイス認証と識別」「ネットワークの分離（ＤＭＺの構築）」が記述される。

従属対策６４０６、６４０７には、主対策[従属]６４０５の従属関係にある対策が記述される。具体的には「主対策[従属]：デバイス認証と識別」の従属関係にある「ユーザＩＤ/デバイスＩＤの管理」「強固なパスワード/パスワードの定期的な変更」が記述される。

なお、対策一覧６０５は、各コンポーネントで実施すべき対策が記載されていれば良い。脅威事象６４０２の記述があることで対策を選択した理由が判断できるため、ある方が望ましいが、脅威事象６４０２の記述は省略し、下記コンポーネントで実施すべき対策のみの記述でも構わない。
図１３では、推奨対策一覧６０６の一例を示す。推奨対策一覧６０６は、対策精査部１０３の出力であり、本装置の最終的な出力である。

対策箇所列６５０１には、対策一覧６０５と同様、脅威発生箇所であり対策をうたねばならないコンポーネント名が記入される。

脅威事象６５０２には、対策箇所６５０１に記載されているコンポーネントで起こりうる脅威が記述されている。本例では文章で表現した脅威事象６５０３と、文章化した脅威事象６５０３を攻撃元と攻撃先で起こりうるものに細分化した脅威６５０４が記述されるが、どちらか一方の記述でも構わない。

主対策[代替]６５０５には、対策一覧６０５に記載された対策の代替関係を考慮し、さらに入力部１０１で分析者が選択した対策選別方法１１０３に応じて代替対策ＤＢ２０３を参照し、精査した結果が記述される。具体的には「脅威：[攻撃元]不正機器接続」に対抗するための対策「デバイス認証と識別」が記述される。

従属対策６５０６、６５０７には、主対策[代替]６５０５に記載された対策の代替対策が記述される。具体的には、「主対策[代替]：デバイス認証と識別」の従属関係にある「ユーザＩＤ/デバイスＩＤの管理」「強固なパスワード/パスワードの定期的な変更」が記述される。

なお、推奨対策一覧６０６は、対策一覧６０５と同様に、各コンポーネントで実施すべき対策が記載されていれば良い。脅威事象６５０２の記述があることで対策を選択した理由が判断できるため、ある方が望ましいが、脅威事象６５０２の記述は省略し、下記コンポーネントで実施すべき対策のみの記述でも構わない。

図１４では、対策立案部１０２の処理について説明する。

処理Ｓ５２０１では、入力受付部１０１から、分析者が入力した分析対象システム名称１１０１と、システム構成情報１２０１と、コンポーネント連携情報１３０１と、脅威分析結果１４０１、制約条件１５０１を受信する。

処理Ｓ５２０２では、対策抽出のループL５２１が開始される。

処理Ｓ５２０３では、脅威発生箇所となるコンポーネントを１つ選択する。具体的には「コンポーネントＡ」を選択する。

処理Ｓ５２０４では、処理Ｓ５２０３で選択されたコンポーネントで発生する脅威を確認する。そして、これらの脅威に対応する対策を脅威‐対策ＤＢ２０１から抽出する作業を実行する。なお、脅威‐対策ＤＢ２０１を参照する際、制約条件６０４を加味する。

処理Ｓ５２０５では、全てのコンポーネントに対して、処理Ｓ５２０３と処置Ｓ５２０４が完了した際にループが停止する。

処理Ｓ５２０６では、対策の整合性確認のループL５２２が開始される。ここでは、コンポーネント同士で連携することで実現する対策に着目する。

処理Ｓ５２０７では、脅威発生箇所となるコンポーネントを１つ選択する。例えば、ここではコンポーネントＡを選択する。

処理Ｓ５２０８では、対策の中に「コンポーネント同士の連携要」に「○」が記載された対策が含まれている確認する。もしも含まれていた場合は処理Ｓ５２０９へ、含まれていない場合は処理Ｓ５２０６へ分岐する。

処理Ｓ５２０９では、受信したコンポーネント連携情報６０１を参照し、現在選択しているコンポーネントがどのコンポーネントと連携し合うかを確認する。そして連携先のコンポーネントの脅威ベース対策の情報を取得する。例えば、ここではコンポーネントＡの連携先を取得するためコンポーネント連携情報入力フォーム１３０１を参照し、「コンポーネントＡの連携先はコンポーネントＢとコンポーネントＤである」という情報を取得する。次に連携先であるコンポーネントＢとコンポーネントＤの対策を取得する。なお、対策の整合性確認方法の詳細は従属対策２０２の説明に記述する。

処理Ｓ５２１０では、連携先の対策を考慮した結果、コンポーネント同士の連携要の対策が存在するか確認する。もし存在する場合は処理Ｓ５２１１へ、存在しない場合は処理Ｓ５２０６へと分岐する。

処理Ｓ５２１１では、処理Ｓ５２１０で確認した不足している対策を追加する。具体的には、コンポーネントＡには脅威から抽出した対策の中に「通信路の暗号化」が含まれておらず、連携先であるコンポーネントＢに対策「通信路の暗号化」が含まれていた場合、コンポーネントＡの対策に「通信路の暗号化」を追加する。

処理Ｓ５２１２では、全てのコンポーネントに対して、処理Ｓ５２０７〜処理Ｓ５２１１が完了した際にループが停止する。

処理Ｓ５２１３では、従属対策の抽出ループL５２３が開始する。これまでの処理で抽出した対策の従属対策を抽出し、さらに処理Ｓ５２１２の出力である対策に関しても従属関係で整理する。

処理Ｓ５２１４では、脅威発生箇所となるコンポーネントを選択する。例えば、ここではコンポーネントＡを選択する。

処理Ｓ５２１５では、従属対策ＤＢ２０２を参照し、選択したコンポーネントで実施すべき対策に従属する対策（従属対策とする）を取得する。なお、従属対策ＤＢ２０２を参照する際、制約条件６０４を考慮する。詳細については図１３にて記述する。

処理Ｓ５２１６では、全てのコンポーネントに対して、処理Ｓ５２１４〜処理Ｓ５２１５が完了した際にループが停止する。

処理Ｓ５２１７では、対策一覧６０５を対策精査部１０３へと送信する。

図１５では、対策精査部１０３の処理の一例を示す。対策精査部１０３は過剰な対策立案を防ぐため、発生しうる脅威に対応する対策を精査する。その際、分析者が選択した対策の選別方針１１０３に則って精査する。

処理Ｓ５３０１では、入力部から制約条件６０４、対策立案部１０２から対策一覧６０５を受信する。

処理Ｓ５３０２では、対策の精査を行うループL５３１が開始する。

処理Ｓ５３０３では、入力部１０１から送信された分析者が選択した対策の選別方針１１０３を参照する。

処理Ｓ５３０４では、コンポーネントを選択する。例えば、ここではコンポーネントＡを選択する。

処理Ｓ５３０５では、選択したコンポーネントで実施すべき対策を基に代替対策ＤＢ２０３を参照する。なお、代替対策ＤＢ２０３を参照する際、制約条件６０４を考慮する。例えば、選択したコンポーネントＡの対策一覧６０５を参照する。対策一覧６０５に記載されている各対策に関して代替対策ＤＢを参照する。

処理Ｓ５３０６では、過剰な対策があるかどうかを確認する。過剰な対策がある場合には処理Ｓ５３０７へ、過剰な対策がない場合には処理Ｓ５３０２へ分岐する。ここで、過剰な対策が存在するかの判断は分析者が選択した対策の選別方針１１０３に依存する。例えば、本例では「全脅威をカバーできる最小数の対策の組合せ」という対策の選別方針であるため、１つの対策で対応可能な脅威が多いものを優先して残し、各脅威に対して１つの対策を選出することとなる。

処理Ｓ５３０７では、分析者が選択した対策の選別方針１１０３に則って、対策を抽出/削除する。例えば、本例で分析者が選択した対策の選別方針１１０３に則って、コンポーネントＡで発生しうる脅威毎に抽出した対策を確認する。１つ以上の対策が紐づいているものに関しては、それらの中から１つに絞る。その際、対策可能な脅威数が多い対策を優先的に選択することで対策の絞り込みを行う。本例では、「全脅威をカバーできる最小数の対策の組合せ」という選別方針に則り、対策の絞り込みを実施した。セキュリティ分野では多重防御が重要視されていることから、各脅威に対して様々な観点（例えば、予防系対策、検知系対策、拡大防止系対策、復旧系対策など）から対策を絞り込むことも可能である。また、絞り込み（と削除）はせずに、全ての対策を出力することも可能である。

処理Ｓ５３０８では、すべてのコンポーネントに対して、分析者が選択した対策の選別方針１１０３に則って対策の精査が完了したらループを完了する。

処理Ｓ５３０９では、上記の処理結果である推奨対策一覧６０６を出力部１０４へと送信する。

図１６では、コンポーネント同士が連携することで実現する対策を抽出する一例を図示した。なお、本処理は対策立案部１０２の対策の整合性確認L５２２にあたる。

具体的に以下で説明する。本例の入力であるコンポーネント連携情報６０１をベースに、コンポーネント同士の連携関係６００１を図示した。ここで、コンポーネントＡでは、コンポーネント同士の連携が必要となる対策「通信路の暗号化」が抽出されたとする（６００２）。しかし、コンポーネントＡの連携先であるコンポーネントBでは、発生しうる脅威から対策「通信路の暗号化」が抽出されたとする（６００３）。そうなるとコンポーネントＢにだけ対策「通信路の暗号化」をしても機能が発揮されない。そこで、連携先であるコンポーネントＡに新たに対策「通信路の暗号化」を追加する（６００４）。

図１７では、従属対策抽出ループＬ５２３の一例について説明する。本ループでは、コンポーネント上で発生しうる脅威から実施すべき対策を立案していた。しかし、対策の中には複数の脅威に対応するものも存在する。実際のシステム設計ではコストという制約が存在する。そのため、本処理では必要最小限の対策立案が求められる。そこで、従属対策抽出ループＬ５２３では、コンポーネントで起こりうる全脅威イベント６１０２と対策６１０３を網羅的にみて、分析者が選択した対策の選出条件１１０３に基づいて対策を精査することを目的としている。具体的には、対策実施箇所６１０１であるコンポーネントＡで発生しうる脅威イベント６１０２と各脅威イベント６１０２に対応する対策６１０３を全て抽出する。そして対策６１０３に着目すると１つの対策６１０３で複数の脅威イベント６１０２に対応するものが存在する。本例では、分析者が対策の選別方針１１０３として「全脅威をカバーできる最小数の対策の組合せ」を選択していることから、これら６個の推奨対策６１０３のうち一番少ない組合せで４つの脅威イベント６１０２を防止することが可能な対策を抽出する（６１０４）。本例では、推奨対策６１０５「デバイス認証と識別」「ユーザ権限の設定」の２つの対策を行うことで４つの脅威イベント６１０２を防ぐことが可能となる。本例では、２つのコンポーネントの連携状況しか考慮していないが、全コンポーネントの連携状況を考慮した上で対策の追加/削除を行う。なお、前述の通り、分析者が選択した対策の選別方針１１０３に応じて選別方法は異なる。また、今回は各脅威に対して１つの対策を抽出しているが、セキュリティの脅威を防ぐためには多層防御という考えを導入することが望ましいとされている。そのため多層防御の考えを導入し、対策を抽出する場合には、脅威‐対策ＤＢ２０１と従属対策ＤＢ２０２と代替対策ＤＢ２０３を構成する際に各対策は予防系対策、検知系対策、拡大防止系対策、復旧系対策のどれに分類されるのかを考慮する必要がある。
［変更例１］
実施例１に加え、本支援装置の出力結果をフィードバックするフィードバック部を備える構成について説明する。この場合、新たにフィードバック部と代替対策ＤＢに「優先度」項目を設ける必要がある。フィードバック部は実際に用いた対策に関する情報を入力として、入力された対策に該当するものに関しては優先度を付与する。これにより、実際に過去に導入された実績のある対策が抽出可能となる。また、各ＤＢの精度向上へとつながる。
［変更例２］
実施例１において、複数の対策群の選択肢を表示する構成について説明する。本支援装置では対策精査部において、対策を精査して対策の絞り込みをしている。実システム設計の現場において複数の対策候補が欲しい場合、対策立案部が抽出した結果を出力する形式でも構わない。
［変更例３］
実施例１において、準拠すべき規格・ガイドラインに則った対策立案を行う構成について説明する。脅威‐対策ＤＢ２０１、従属対策ＤＢ２０２、代替対策ＤＢ２０３において、各種規格・ガイドラインの情報を付与する。その場合、対策のマスターデータを用意し、各種規格・ガイドラインに記載されている対策が判断できるようＤＢ構造を変更する（例えば星取表形式など）。これにより、各種規格・ガイドラインに準拠した対策の抽出が可能となる。

１００：メモリ２００：外部記憶装置３００：ＣＰＵ４００：入出力装置５００：インターフェース１０１：入力受付部１０２：対策立案部１０３：対策精査部、１０４出力部、２０１脅威‐対策ＤＢ、２０２従属対策ＤＢ、２０３包含対策ＤＢ、６００対策の選別方針、６０１システム構成情報、６０２コンポーネント連携情報、６０３脅威分析結果、６０４制約条件、６０５対策一覧、６０６推奨対策一覧、１１０１対策の選別方針入力フォーム、１１０２分析対象システム名称、１１０３対策の選別方針、１１０４編集ボタン、１１０５次へボタン、１２０１システム構成情報入力フォーム、１２０２コンポーネント数、１２０３コンポーネント名称、１３０１コンポーネント連携情報入力フォーム、１３０２コンポーネント連携情報、１３０３編集ボタン、１３０４戻るボタン、１３０５次へボタン、１４０１脅威分析結果入力フォーム、１４０２参照ボタン、１４０３編集ボタン、１４０４戻るボタン、１４０５次へボタン、１５０１制約条件入力フォーム、１５０２コンポーネント名称、１５０３制約条件、１５０４編集ボタン、１５０５戻るボタン、１５０６終了ボタン、

Claims

複数のコンポーネントから構成される情報システムのセキュリティ対策立案を支援するセキュリティ対策立案支援装置において、
ユーザから情報の入力を受け付ける入力部と、
セキュリティ対策を表示する出力部と、
脅威と対策とを対応付けて格納する脅威‐対策ＤＢと、
セキュリティ対策同士の従属関係を格納する従属対策ＤＢと、
前記脅威-対策ＤＢから脅威に対応付く複数のセキュリティ対策を抽出し、当該抽出された複数のセキュリティ対策間の従属関係を前記従属対策ＤＢから抽出する対策立案部と、
セキュリティ対策同士の代替関係を格納する代替対策ＤＢと、
前記対策立案部が提示した複数のセキュリティ対策を、前記代替関係と、前記入力部から入力されるコンポーネントの制約条件と、に基づき組み合わせ、前記出力部に出力する対策精査部と、を備えるセキュリティ対策立案支援装置。
請求項１に記載のセキュリティ対策立案支援装置において、
前記対策立案部は、キーとなるセキュリティ対策に対して一方的な依存関係となっているセキュリティ対策を従属対策ＤＢから抽出する、セキュリティ対策立案支援装置。
請求項２に記載のセキュリティ対策立案支援装置において、
前記対策精査部は、前記脅威-対策ＤＢから抽出した対策に関して、前記複数のセキュリティ対策を組み合わせる処理を複数回実施し、複数の組み合わせを前記出力部に出力する、セキュリティ対策支援装置。
請求項１乃至３に記載のセキュリティ対策立案支援装置において、
前記対策精査部は、キーとなるセキュリティ対策と相互に依存し合うセキュリティ対策を前記代替対策ＤＢから抽出する、セキュリティ対策立案支援装置。
請求項４に記載のセキュリティ対策立案支援装置において、
前記対策立案部は、コンポーネント間の連携情報に基づき複数のセキュリティ対策を抽出する、対策立案支援装置。