JP2018507641A - システム関連の特性及び事象をサイバーセキュリティリスクアセスメント値に変換するためのルールエンジン - Google Patents

Abstract

本開示は、関連のシステム及び方法を含んで、システム関連の特性及び事象をサイバーセキュリティリスクアセスメント値に変換するためのルールエンジンを提供する。方法は、コンピューティングシステム（１００）内の複数のデバイス（１３０、１３２、１３４）の特性、及び複数のデバイスに関連した複数の事象を特定する情報を受信すること（３０５）を含む。方法は、複数のルールセット（２３０）を使用して情報を分析すること（３１０）を含む。方法は、分析に基づき、少なくとも１つのリスクアセスメント値を生成すること（３１５）を含み、少なくとも１つのリスクアセスメント値は、複数のデバイスの少なくとも１つのサイバーセキュリティリスクを特定する。少なくとも１つのリスクアセスメント値は、複数のデバイスの少なくとも１つのサイバーセキュリティリスクを特定する。方法は、ユーザインタフェース（２５０）に少なくとも１つのリスクアセスメント値を表示すること（３２０）を含む。

Description

関連出願の相互参照
[0001]本出願は、参照により本明細書に組み込まれる、２０１５年２月６日に出願された米国仮特許出願第６２／１１３，０７５号の出願日の利益を主張する。

[0002]本開示は、概して、ネットワークセキュリティに関する。より詳細には、本開示は、システム関連の特性及び事象をサイバーセキュリティリスクアセスメント値に変換するためのルールエンジンに関する。

[0003]処理設備は、産業用プロセス制御及び自動化システムを使用して管理されることが多い。従来の制御及び自動化システムは、決まって、サーバ、ワークステーション、スイッチ、ルータ、ファイアウォール、安全システム、独自のリアルタイムコントローラ、及び産業用フィールドデバイスなど、様々なネットワーク化デバイスを含む。多くの場合、この機器は、いくつかの異なる販売業者から来るものである。産業環境において、サイバーセキュリティへの懸念が高まっており、これらの構成要素のいずれかにおける取り組まれていないセキュリティの脆弱性が、動作に支障を来すか又は産業用設備に危険状態を引き起こすように攻撃者によって付け込まれる可能性がある。

本開示は、上述の課題を解決するものである。

[0004]本開示は、関連のシステム及び方法を含んで、システム関連の特性及び事象をサイバーセキュリティリスクアセスメント値に変換するためのルールエンジンを提供する。方法は、コンピューティングシステム内の複数のデバイスの特性、及び複数のデバイスに関連した複数の事象を特定する情報を受信することを含む。方法は、複数のルールセットを使用して情報を分析することを含む。方法は、分析に基づき、少なくとも１つのリスクアセスメント値を生成することを含む。少なくとも１つのリスクアセスメント値は、複数のデバイスの少なくとも１つのサイバーセキュリティリスクを特定する。方法は、ユーザインタフェースに少なくとも１つのリスクアセスメント値を表示することを含む。

[0005]いくつかの実施形態において、複数のデバイスに関連付けられ、またそれらからデータを収集する、ソースデータ構成要素から、情報が受信される。いくつかの実施形態において、情報は、その情報を情報のタイプに従って共通フォーマットにフォーマットする正規化構成要素によって処理される。いくつかの実施形態において、リスクマネージャシステムがまた、分析に対応して、サイバーセキュリティリスク情報を１つ又は複数のターゲットデータ構成要素に伝送する。いくつかの実施形態において、リスクマネージャシステムがまた、分析に対応して、サイバーセキュリティリスク情報を、それぞれのターゲットデータ構成要素によって処理され得るフォーマットに変換する。いくつかの実施形態において、リスクマネージャシステムがまた、挙動を定義し、その挙動を複数のルールセットに適用し、複数のルールセットは、時間ベースのルール、累積ルール、及びインパクトルールのうちの少なくとも１つを含む。いくつかの実施形態において、リスクマネージャシステムがまた、複数のデバイスの階層にわたってリスクアセスメント値を集約する。

[0006]その他の技術上の特徴は、以下の図面、発明を実施するための形態、及び特許請求の範囲から、当業者には容易に明らかになるであろう。
[0007]本開示のより十分な理解のために、次に、以下の添付図面と併せて取り上げられる、以下の発明を実施するための形態に対して参照が行われる。

[0008]本開示による、例示的な産業用プロセス制御及び自動化システムを示す図である。 [0009]本開示による、産業用プロセス制御及び自動化システム又はその他のシステムにおけるセキュリティ問題を特定するための例示的なルールハンドリングインフラストラクチャを示す図である。 [0010]開示された実施形態による、プロセスのフローチャートを示す図である。

[0011]以下に述べられる図、また本特許書類において本発明の原理を説明するために使用される様々な実施形態は、単に例示としてのものであり、どのような形であれ本発明の範囲を限定するものとして解釈されるべきではない。本発明の原理が、任意のタイプの適切に構成されたデバイス又はシステムにおいて実施され得る、ということが当業者であれば理解するであろう。

[0012]以下の考察では、「ＳＩＥＭ」は、システムにおけるセキュリティ警報のリアルタイム分析を提供するテクノロジーを表す「セキュリティ情報及びイベント管理（Ｓｅｃｕｒｉｔｙ Ｉｎｆｏｒｍａｔｉｏｎ ａｎｄ Ｅｖｅｎｔ Ｍａｎａｇｅｍｅｎｔ）」を指す。また、「ＳＣＯＭ」は、マイクロソフトコーポレーションから入手可能な、Ｓｙｓｔｅｍ Ｃｅｎｔｅｒ Ｏｐｅｒａｔｉｏｎｓ Ｍａｎａｇｅｒのインフラストラクチャ監視ソフトウェアツールを指す。

[0013]図１は、本開示による、例示的な産業用プロセス制御及び自動化システム１００を示す図である。図１に示されるように、システム１００は、少なくとも１つの製品又はその他の材料（ｍａｔｅｒｉａｌ）の生産又は処理を容易にする様々な構成要素を含む。例えば、システム１００は、本明細書では、１つ又は複数のプラント１０１ａ〜１０１ｎ内の構成要素にわたる制御を容易にするために使用される。各プラント１０１ａ〜１０１ｎは、少なくとも１つの製品又はその他の材料を生産するための１つ又は複数の製造設備などの、１つ又は複数の処理設備（又は、その１つ又は複数の部分）に相当する。一般に、各プラント１０１ａ〜１０１ｎは、１つ又は複数のプロセスを実装してもよく、個別に又はまとめてプロセスシステムと呼ばれることが可能である。プロセスシステムは、一般に、１つ又は複数の製品又はその他の材料を何らかの方法で処理するように構成された、任意のシステム又はその一部に相当する。

[0014]図１では、システム１００は、プロセス制御のパデュー（Ｐｕｒｄｕｅ）モデルを使用して実装される。パデューモデルでは、「レベル０」は、１つ又は複数のセンサ１０２ａと１つ又は複数のアクチュエータ（ａｃｔｕａｔｏｒ）１０２ｂを含み得る。センサ１０２及びアクチュエータ１０２ｂは、多種多様な機能のいずれかを果たすことが可能な、プロセスシステム内の構成要素に相当する。例えば、センサ１０２ａは、温度、圧力、又は流量などのプロセスシステムにおける多種多様な特性を測定することができる。また、アクチュエータ１０２ｂは、プロセスシステムにおける多種多様な特性を修正することができる。センサ１０２ａ及びアクチュエータ１０２ｂは、任意の適切なプロセスシステム内の任意のその他の又は追加の構成要素に相当することができる。センサ１０２ａのそれぞれは、プロセスシステムにおける１つ又は複数の特性を測定するのに適した任意の構造を含む。アクチュエータ１０２ｂのそれぞれは、プロセスシステムにおける１つ又は複数の条件下で動作するのに、又は１つ又は複数の条件に影響を及ぼすのに適した任意の構造を含む。

[0015]少なくとも１つのネットワーク１０４は、センサ１０２ａとアクチュエータ１０２ｂに結合される。ネットワーク１０４は、センサ１０２ａ及びアクチュエータ１０２ｂとの相互作用を容易にする。例えば、ネットワーク１０４は、センサ１０２ａからの測定データを伝送し、制御信号をアクチュエータ１０２ｂに提供することができる。ネットワーク１０４は、任意の適切なネットワーク又はネットワークの組合せに相当することができる。特定の例として、ネットワーク１０４は、イーサネット（登録商標）ネットワーク、電気信号ネットワーク（ＨＡＲＴ又はＦＯＵＮＤＡＴＩＯＮ Ｆｉｅｌｄｂｕｓネットワークなど）、空気制御信号ネットワーク、又は任意のその他のもしくは追加型のネットワークに相当することができる。

[0016]パデューモデルでは、「レベル１」は、ネットワークに１０４に結合される１つ又は複数のコントローラ１０６を含み得る。各コントローラ１０６は、特に、１つ又は複数のセンサ１０２ａからの測定値を使用して、１つ又は複数のアクチュエータ１０２ｂの動作を制御し得る。例えば、コントローラ１０６は、１つ又は複数のセンサ１０２ａから測定データを受信し、その測定データを使用して、１つ又は複数のアクチュエータ１０２ｂ用の制御信号を生成することができる。各コントローラ１０６は、１つ又は複数のセンサ１０２ａと相互作用し、かつ１つ又は複数のアクチュエータ１０２ｂを制御するのに適した任意の構造を含む。コントローラ１０６は、例えば、比例−積分−微分（ＰＩＤ：Ｐｒｏｐｏｒｔｉｏｎａｌ−ｉｎｔｅｇｒａｌ−ｄｅｒｉｖａｔｉｖｅ）コントローラ、あるいは、ロバスト多変数予測制御テクノロジー（ＲＭＰＣＴ：Ｒｏｂｕｓｔ Ｍｕｌｔｉｖａｒｉａｂｌｅ Ｐｒｅｄｉｃｔｉｖｅ Ｃｏｎｔｒｏｌ Ｔｅｃｈｎｏｌｏｇｙ）コントローラ、又はモデル予測制御（ＭＰＣ：Ｍｏｄｅｌ Ｐｒｅｄｉｃｔｉｖｅ Ｃｏｎｔｒｏｌ）もしくはその他の先進的予測制御（ＡＰＣ：Ａｄｖａｎｃｅｄ Ｐｒｅｄｉｃｔｉｖｅ Ｃｏｎｔｒｏｌ）を実装するその他のタイプのコントローラなどの多変数コントローラに相当する可能性がある。特定の例として、各コントローラ１０６は、リアルタイムオペレーティングシステムを実行するコンピューティングデバイスに相当することができる。

[0017]２つのネットワーク１０８は、コントローラ１０６に結合される。ネットワーク１０８は、コントローラ１０６との間でデータのやり取りを行うなどによって、コントローラ１０６との相互作用を容易にする。ネットワーク１０８は、任意の適切なネットワーク又はネットワークの組合せに相当することができる。特定の例として、ネットワーク１０８は、ハネウェル・インターナショナル社（Ｈｏｎｅｙｗｅｌｌ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｉｎｃ．）からのフォルトトレラントイーサネット（登録商標）（ＦＴＥ：Ｆａｕｌｔ Ｔｏｌｅｒａｎｔ Ｅｔｈｅｒｎｅｔ）ネットワークなどの、冗長ペアのイーサネット（登録商標）ネットワークに相当することができる。

[0018]少なくとも１つのスイッチ／ファイアウォール１１０は、ネットワーク１０８を、２つのネットワーク１１２に結合する。このスイッチ／ファイアウォール１１０は、１つのネットワークからのトラフィックを、もう一方のネットワークに伝送し得る。スイッチ／ファイアウォール１１０はまた、１つのネットワーク上のトラフィックが、もう一方のネットワークに達することを阻止し得る。スイッチ／ファイアウォール１１０は、ハネウェル制御ファイアウォール（ＣＦ９）デバイスなどの、ネットワーク間での通信を提供するのに適した任意の構造を含む。ネットワーク１１２は、ＦＴＥネットワークなどの任意の適切なネットワークに相当することができる。

[0019]パデューモデルにおいて、「レベル２」は、ネットワーク１１２に結合された１つ又は複数の機械レベルのコントローラ１１４を含み得る。機械レベルのコントローラ１１４は、特定の産業用機器（ボイラ又はその他の機械など）に関連付けられることが可能な、コントローラ１０６、センサ１０２ａ、及びアクチュエータ１０２ｂの動作及び制御をサポートするために、様々な機能を果たす。例えば、機械レベルのコントローラ１１４は、センサ１０２ａからの測定データ又はアクチュエータ１０２ｂ用の制御信号などの、コントローラ１０６によって収集又は生成された情報のログを作成することができる。機械レベルのコントローラ１１４は、コントローラ１０６の動作を制御し、それによってアクチュエータ１０２ｂの動作を制御するアプリケーションを実行することもできる。さらに、機械レベルのコントローラ１１４は、コントローラ１０６へのセキュアなアクセスを提供することができる。機械レベルのコントローラ１１４のそれぞれは、１つの機械もしくはその他の個々の機器へのアクセスを提供するのに、それらの制御に、又はそれらに関する動作に適した任意の構造を含む。機械レベルのコントローラ１１４のそれぞれは、例えば、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓオペレーティングシステムを実行するサーバコンピューティングデバイスに相当することができる。示されていないが、種々の機械レベルのコントローラ１１４が、プロセスシステム内の種々の機器を制御するために使用され得る（この場合、各機器は、１つ又は複数のコントローラに１０６、センサ１０２ａ、及びアクチュエータ１０２ｂに関連付けられる）。

[0020]１つ又は複数のオペレータステーション１１６は、ネットワーク１１２に結合される。オペレータステーション１１６は、機械レベルのコントローラ１１４へのユーザアクセスを提供し、それによって、コントローラ１０６（また、場合によっては、センサ１０２ａ及びアクチュエータ１０２ｂ）へのユーザアクセスを提供することのできる、コンピューティング又は通信デバイスに相当する。特定の例として、オペレータステーション１１６は、ユーザに、コントローラ１０６及び／又は機械レベルのコントローラ１１４によって収集された情報を使用して、センサ１０２ａ及びアクチュエータ１０２ｂの動作上の履歴を見直すことを可能にさせることができる。オペレータステーション１１６は、ユーザに、センサ１０２ａ、アクチュエータ１０２ｂ、コントローラ１０６、又は機械レベルのコントローラ１１４の動作を調整することを可能にさせることもできる。さらに、オペレータステーション１１６は、コントローラ１０６又は機械レベルのコントローラ１１４によって生成された、警告、警報、又はその他のメッセージもしくは表示を受信し、表示することができる。オペレータステーション１１６のそれぞれは、システム１００内の１つ又は複数の構成要素のユーザアクセス及び制御をサポートするのに適した任意の構造を含む。オペレータステーション１１６のそれぞれは、例えば、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓオペレーティングシステムを実行するコンピューティングデバイスに相当することができる。

[0021]少なくとも１つのルータ／ファイアウォール１１８は、ネットワーク１１２を２つのネットワーク１２０に結合する。このルータ／ファイアウォール１１８は、セキュアなルータ又は組合せルータ／ファイアウォールなどの、ネットワーク間での通信を提供するのに適した任意の構造を含む。ネットワーク１２０は、ＦＴＥネットワークなどの任意の適切なネットワークに相当することができる。

[0022]パデューモデルにおいて、「レベル３」は、ネットワーク１２０に結合された１つ又は複数のユニットレベルのコントローラ１２２を含み得る。各ユニットレベルのコントローラ１２２は、通常、１つのプロセスの少なくとも一部を実装するために共に動作する種々の機械の集合体に相当する、プロセスシステム内の１つのユニットに関連付けられる。ユニットレベルのコントローラ１２２は、下位レベル内の構成要素の動作及び制御をサポートするために様々な機能を果たす。例えば、ユニットレベルのコントローラ１２２は、下位レベル内の構成要素によって収集又は生成された情報のログを作成し、下部レベル内の構成要素を制御するアプリケーションを実行し、かつ下部レベル内の構成要素へのセキュアなアクセスを提供することができる。ユニットレベルのコントローラ１２２のそれぞれは、１つのプロセスユニット内の１つ又は複数の機械もしくはその他の機器へのアクセスを提供するのに、それらの制御に、又はそれらに関する動作に適した任意の構造を含む。ユニットレベルのコントローラ１２２のそれぞれは、例えば、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓオペレーティングシステムを実行するサーバコンピューティングデバイスに相当することができる。示されていないが、種々のユニットレベルのコントローラ１２２が、１つのプロセスシステム内の種々のユニットを制御するために使用され得る（この場合、各ユニットは、１つ又は複数の機械レベルのコントローラ１１４、コントローラ１０６、センサ１０２ａ、及びアクチュエータ１０２ｂに関連付けられる）。

[0023]ユニットレベルのコントローラ１２２へのアクセスは、１つ又は複数のオペレータステーション１２４によって提供され得る。オペレータステーション１２４のそれぞれは、システム１００内の１つ又は複数の構成要素のユーザアクセス及び制御をサポートするのに適した任意の構造を含む。オペレータステーション１２４のそれぞれは、例えば、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓオペレーティングシステムを実行するコンピューティングデバイスに相当することができる。

[0024]少なくとも１つのルータ／ファイアウォール１２６は、ネットワーク１２０を２つのネットワーク１２８に結合する。このルータ／ファイアウォール１２６は、セキュアなルータ又は組合せルータ／ファイアウォールなどの、ネットワーク間での通信を提供するのに適した任意の構造を含む。ネットワーク１２８は、ＦＴＥネットワークなどの任意の適切なネットワークに相当することができる。

[0025]パデューモデルにおいて、「レベル４」は、ネットワーク１２８に結合された１つ又は複数のプラントレベルのコントローラ１３０を含み得る。各プラントレベルのコントローラ１３０は、通常、同一、同様、又は種々のプロセスを実装する１つ又は複数のプロセスユニットを含み得る、プラント１０１ａ〜１０１ｎのうちの１つに関連付けられる。プラントレベルのコントローラ１３０は、下位レベル内の構成要素の動作及び制御をサポートするために様々な機能を果たす。特定の例として、プラントレベルのコントローラ１３０は、１つ又は複数の製造実行システム（ＭＥＳ：Ｍａｎｕｆａｃｔｕｒｉｎｇ Ｅｘｅｃｕｔｉｏｎ Ｓｙｓｔｅｍ）アプリケーション、スケジューリングアプリケーション、又は任意のその他のもしくは追加のプラントもしくはプロセス制御アプリケーションを実行することができる。プラントレベルのコントローラ１３０のそれぞれは、１つのプロセスプラント内の１つ又は複数のプロセスユニットへのアクセスを提供するのに、それらの制御に、又はそれらに関する動作に適した任意の構造を含む。プラントレベルのコントローラ１３０のそれぞれは、例えば、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓオペレーティングシステムを実行するサーバコンピューティングデバイスに相当することができる。

[0026]プラントレベルのコントローラ１３０へのアクセスは、１つ又は複数のオペレータステーション１３２によって提供され得る。オペレータステーション１３２のそれぞれは、システム１００内の１つ又は複数の構成要素のユーザアクセス及び制御をサポートするのに適した任意の構造を含む。オペレータステーション１３２のそれぞれは、例えば、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓオペレーティングシステムを実行するコンピューティングデバイスに相当することができる。

[0027]少なくとも１つのルータ／ファイアウォール１３４は、ネットワーク１２８を１つ又は複数のネットワーク１３６に結合する。このルータ／ファイアウォール１３４は、セキュアなルータ又は組合せルータ／ファイアウォールなどの、ネットワーク間での通信を提供するのに適した任意の構造を含む。ネットワーク１３６は、エンタープライズ全体のイーサネット（登録商標）もしくはその他のネットワーク、又はより大型のネットワーク（インターネットなど）の全体もしくは一部などの、任意の適したネットワークに相当することができる。

[0028]パデューモデルにおいて、「レベル５」は、ネットワーク１３６に結合された１つ又は複数のエンタープライズレベルのコントローラ１３８を含み得る。各エンタープライズレベルのコントローラ１３８は、通常、複数のプラント１０１ａ〜１０１ｎ用のプランニング動作を行い、かつそれらのプラント１０１ａ〜１０１ｎの様々な側面を制御することができる。エンタープライズレベルのコントローラ１３８はまた、プラント１０１ａ〜１０１ｎ内の構成要素の動作及び制御をサポートするために様々な機能を果たす。特定の例として、エンタープライズレベルのコントローラ１３８は、１つ又は複数の注文処理アプリケーション、エンタープライズリソースプランニング（ＥＲＰ：Ｅｎｔｅｒｐｒｉｓｅ Ｒｅｓｏｕｒｃｅ Ｐｌａｎｎｉｎｇ）アプリケーション、先進的プランニング及びスケジューリング（ＡＰＳ：Ａｄｖａｎｃｅｄ Ｐｌａｎｎｉｎｇ ａｎｄ Ｓｃｈｅｄｕｌｉｎｇ）アプリケーション、又はその他のもしくは追加のエンタープライズ制御アプリケーションを実行することができる。エンタープライズレベルのコントローラ１３８のそれぞれは、１つ又は複数のプラントの制御部へのアクセスを提供するのに、それの制御に、又はそれに関する動作に適した任意の構造を含む。エンタープライズレベルのコントローラ１３８のそれぞれは、例えば、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓオペレーティングシステムを実行するサーバコンピューティングデバイスに相当することができる。本書類において、「エンタープライズ」という用語は、管理されるべき１つ又は複数のプラントもしくはその他の処理設備を有する組織を指す。１つのプラント１０１ａが管理されるべきである場合、エンタープライズレベルのコントローラ１３８の機能性は、プラントレベルのコントローラ１３０に組み入れられることが可能である、ということに留意されたい。

[0029]エンタープライズレベルのコントローラ１３８へのアクセスは、１つ又は複数のオペレータステーション１４０によって提供され得る。オペレータステーション１４０のそれぞれは、システム１００内の１つ又は複数の構成要素のユーザアクセス及び制御をサポートするのに適した任意の構造を含む。オペレータステーション１４０のそれぞれは、例えば、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓオペレーティングシステムを実行するコンピューティングデバイスに相当することができる。

[0030]パデューモデルの様々なレベルは、１つ又は複数のデータベースなどのその他の構成要素を含むことができる。各レベルに関連したデータベースは、システム１００のそのレベル又は１つもしくは複数のその他のレベルに関連した任意の適切な情報を格納することができる。例えば、ヒストリアン１４１が、ネットワーク１３６に結合されることが可能である。ヒストリアン１４１は、システム１００についての様々な情報を格納する構成要素に相当することができる。ヒストリアン１４１は、例えば、生産のスケジューリング及び最適化の最中に使用される情報を格納することができる。ヒストリアン１４１は、情報を格納し、かつ情報の検索を容易にするのに適した任意の構造に相当する。ヒストリアン１４１は、ネットワーク１３６に結合された単一の集中型構成要素として示されているが、システム１００内の他の場所に位置することが可能であり、又は複数のヒストリアンが、システム１００内の様々な位置に分散されることが可能である。

[0031]特定の実施形態において、図１での様々なコントローラ及びオペレータステーションは、コンピューティングデバイスに相当してもよい。例えば、コントローラ１０６、１１４、１２２、１３０、１３８のそれぞれは、１つ又は複数の処理デバイス１４２と、処理デバイス１４２によって使用され、生成され、又は収集される命令及びデータを格納するための１つ又は複数のメモリ１４４を含むことができる。コントローラ１０６、１１４、１２２、１３０、１３８のそれぞれは、１つ又は複数のイーサネット（登録商標）インタフェースもしくは無線トランシーバなどの、少なくとも１つのネットワークインタフェース１４６も含むことができる。また、オペレータステーション１１６、１２４、１３２、１４０のそれぞれは、１つ又は複数の処理デバイス１４８と、処理デバイス１４８によって使用され、生成され、又は収集される命令及びデータを格納するための１つ又は複数のメモリ１５０を含むことができる。オペレータステーション１１６、１２４、１３２、１４０のそれぞれは、１つ又は複数のイーサネット（登録商標）インタフェースもしくは無線トランシーバなどの少なくとも１つのネットワークインタフェース１５２も含むことができる。

[0032]上記で示されたように、産業用プロセス制御及び自動化システムに関してサイバーセキュリティへの懸念が高まっている。システム１００内の構成要素のいずれかにおける取り組まれていないセキュリティの脆弱性が、動作に支障を来すか又は産業用設備に危険状態を引き起こすように攻撃者によって付け込まれる可能性がある。しかしながら、多くの場合、オペレータは、特定の産業現場において稼動する全ての機器の完全な理解又は一覧表を有していない。結果として、制御及び自動化システムへの潜在的なリスク源を素早く決定するのがしばしば難しくなる。

[0033]本開示は、様々なシステムにおける潜在的な脆弱性を理解し、システム全体へのリスクに基づき脆弱性に優先順位を付け、さらに脆弱性を軽減するようユーザを導く、ソリューションの必要性を認識している。これは、図１における例では、リスクマネージャ１５４を用いて実装又はサポートされる、「ルールハンドリングインフラストラクチャ」を使用することにより（数ある方法の中でも）達成される。リスクマネージャ１５４は、システム関連の特性及び事象をサイバーセキュリティリスクアセスメント値に変換するためのルールエンジンを含む任意の適切な構造を含む。ここでは、リスクマネージャ１５４は、１つ又は複数の処理デバイス１５６、処理デバイス１５６によって使用、生成、又は収集される命令及びデータを格納するための１つ又は複数のメモリ１５８、及び少なくとも１つのネットワークインタフェース１６０を含む。各処理デバイス１５６は、マイクロプロセッサ、マイクロコントローラ、デジタル信号処理、フィールドプログラマブルゲートアレイ、特定用途向け集積回路、又は個別論理（ｄｉｓｃｒｅｔｅ ｌｏｇｉｃ）に相当する可能性がある。各メモリ１５８は、ランダムアクセスメモリ又はフラッシュメモリなど、揮発性又は不揮発性格納検索デバイスに相当する可能性がある。各ネットワークインタフェース１６０は、イーサネット（登録商標）インタフェース、無線トランシーバ、又は外部通信を容易にするその他のデバイスに相当する可能性がある。リスクマネージャ１５４の機能性は、任意の適切なハードウェア、又はハードウェアとソフトウェア／ファームウェア命令との組合せを使用して実装される可能性がある。

[0034]図１は、産業用プロセス制御及び自動化システム１００の１つの例を示すが、図１に対して、様々な変更が行われ得る。例えば、制御及び自動化システムは、任意の個数のセンサ、アクチュエータ、コントローラ、サーバ、オペレータステーション、ネットワーク、リスクマネージャ及びその他の構成要素を含むことができる。また、図１でのシステム１００の構成及び配置は、単に例示としてのものである。構成要素は、特定の必要性に従って、任意のその他の適切な構成において、追加され、除外され、組み合わせられ、又は配置されることが可能である。さらに、特定の機能が、システム１００の特定の構成要素によって果たされるとして、説明されている。このことは、単に例示としてのものである。一般に、制御及び自動化システムは、高度に構成可能であり、特性の必要性に従って、任意の適切な方法で構成されることが可能である。さらに、図１は、リスクマネージャ１５４の機能が使用されることが可能である、例示的な環境を示す。この機能性は、任意のその他の適切なデバイス又はシステムにおいて使用されることが可能である。

[0035]図２は、本開示による、産業用プロセス制御及び自動化システムにおけるセキュリティ問題を特定するための例示的なルールハンドリングインフラストラクチャ２００を示す。インフラストラクチャ２００は、リスクマネージャ１５４又は本明細書に開示されるように行うように構成されたその他の処理デバイスを使用して、サポート又は実装される可能性がある。このインフラストラクチャ２００は、収集されたリスクデータを分析し、様々なリスク項目に対するルールに基づきリスク値を動的に生み出す。リスク値は、そこにおいてリスクが生じたか又は存在する、コンピューティングシステム内のデバイスに関連付けられる。

[0036]より危険な状態にある範囲を特定するのに役立つよう、複数のリスク値が、デバイス階層に集約され得る。様々な実施形態において、インフラストラクチャ２００は、ユーザが、ルールインフラストラクチャを修正する必要なしに、セキュリティ製品（マカフィー又はシマンテック製品など）を追加かつ削除できるように構成される。ルールセットは、様々な実施形態において、同様なタイプの製品（アンチウィルス製品など）に対する同じルールが、ルールを修正する必要なく、その製品タイプのいずれの製品にも適用することができるように、一般的であり得る。

[0037]図２に示される例では、ルールハンドリングインフラストラクチャ２００は、ソースデータ構成要素２１０、ターゲットデータ構成要素２２０、エンドポイントルールセット２３０、及びルールエンジンフレームワーク２４０を含んだ、論理的構成要素を含む。ルールハンドリングインフラストラクチャ２００は、本明細書に説明されるような、情報を表示し、ユーザと対話するためのユーザインタフェース（ＧＵＩ）２５０も含む。ＧＵＩ２５０は、ルールエンジンフレームワーク２４０と直接インタフェースで接続するデバイス又はアプリケーションを介してルールハンドリングインフラストラクチャ２００によって、ターゲットデータ構成要素２２０として機能するか又はそれに接続されるデバイス又はアプリケーションによって、又はその他の方法によってもたらされるようなデータを表示することができる。

[0038]ソースデータ構成要素２１０には、上りデータ（ｉｎｃｏｍｉｎｇ ｄａｔａ）用の個々の入力処理ユニット（データソース提供元２１２）が含まれる。上りデータは、それぞれが図２においてデータソース提供元２１２と表される、コンピューティングシステム（システム１００などの）内の複数のデバイスの特性、及びその複数のデバイスに関連した複数の事象を特定する情報を含むことができる。ソースデータ構成要素２１０は、例えば、図１に示される様々なコンピューティング及びネットワーキング構成要素に関連付けられ、またそれらからデータを収集する可能性がある。色々な実装形態において、サポートされ得るデータソース提供元の個数に対する理論限界がある場合もあり、又はない場合もある。もちろん、データソース提供元の総個数を制限する可能性のあるハードウェアメモリ又はプロセッサスピードに基づく物理的限界があり得る。上りデータは、コンピューティングシステム内のデバイスのいずれも含んで、ルールエンジンがアクセスすることのできるいずれのソースからも来る可能性がある。上りデータは、以下からのデータを含む可能性がある（しかし、それらに限定されない）：
・セキュリティソフトウェア（アンチウィルス、ホワイトリスティングなど）
・データ捕捉サブシステム（ＳＩＥＭ、ＳＣＯＭなど）
・デバイス（ルータ、スイッチなど）
・コンピュータ（事象、動作など）
・データソース（データベース及びファイルを含むがそれらに限定されない）
・データを注入するアプリケーション（テスト、シミュレーションの際など）
・Ｗｅｂアプリケーション（Ｗｅｂ ＡＰＩ）
[0039]データソース提供元２１２は、そこから彼らがデータを手に入れているデバイス、ソフトウェア、又はその他の入力ソースについて特定であるとすることができる。それぞれは、入力ソースからどのようにデータを手に入れるかが分かるカスタムコードを含むことができる。データは、上りデータを受け取り、それをデータタイプに関連付けられた共通フォーマットにフォーマットする正規化構成要素２１４に渡され、それによって処理され得る。例えば、色々なアンチウィルスソフトウェア製品からのデータは、同様のデータ項目にグループ化され得、値は、共通値にフォーマットされ得る（アンチウィルスインストール済み、アンチウィルス有効など）。このデータは、ルールエンジンフレームワーク２４０が入手できるようにされ、エンドポイントルールセット２３０により使用される。

[0040]ターゲットデータ構成要素２２０は、ルールエンジンフレームワーク２４０によって生成された情報に関連付けられ、その情報を様々なデバイス又はシステムに提供することができる。例えば、システム１００におけるセキュリティを管理するのに責任を負う担当者のモバイル又は固定コンピューティングデバイスと対話するのに、ターゲットデータ構成要素２２０が使用され得る。ターゲットデータ構成要素２２０には、サイバーセキュリティリスク情報など、ルールエンジンフレームワーク２４０によって生成された情報をそれぞれのターゲットデータ構成要素２２０によって処理され得るフォーマットに変換する、データソースアダプタ２２２が含まれ得る。一般に、ルールエンジンフレームワーク２４０への入力は、データソース提供元２１２からであり、ルールエンジンフレームワーク２４０からの出力は、ターゲットデータ構成要素２２０に提供される。

[0041]エンドポイントルールセット２３０は、ソースデータ構成要素２１０からのデータに適用される色々なルールを定義する。色々なデバイスの特性、及びデバイス（図１における様々なデバイスなど）に関わって起こる色々な事象を分析するのに、エンドポイントルールセット２３０内のルールが使用される。ルールは、また、ソースデータ構成要素２１０に関連するセキュリティの脆弱性又はその他の問題を示す値も生成することができる。例えば、デバイスの少なくとも１つのサイバーセキュリティリスクを特定する少なくとも１つのリスクアセスメント値を生成するのに、ルールが使用され得る。

[0042]様々な実施形態において、エンドポイントルールセット２３０は、ユーザによって定義される値を介してルールに対応付けられた構成データを手に入れる。これは、彼らが望めば、特定の現場の実装形態に、彼らの現場の必要性に合うようにルールを修正することを可能にさせる。例えば、現場は、そのゾーン内のデバイスがプラント運転又はその他の機能にとって絶対不可欠ではない、デバイスの色々な群又はゾーンを有する可能性がある。この場合、普通は高い値にランク付けされ得るあるタイプのリスクが、値がその高さではないように修正される可能性がある。これは、それほど重要ではないゾーンがより重要であり得るその他のゾーンを目立たなくすることを防ぐであろう。エンドポイントルールセット２３０は、任意の特定のデバイス又はサイバーセキュリティリスクに関連付けられたリスクアセスメント値を上げる又は下げるのに適用される特定のルールの一部として、重み付け係数又はその他のユーザ定義可能な構成データを含むことができる。

[0043]ルールエンジンフレームワーク２４０は、ルールハンドリングインフラストラクチャ２００にとって主要な構成要素である。それは、ルールエンジン用のスタートアップタスクを統御し、このタクスは、以下を含む可能性がある。

・エンドポイントルールセット２３０を読み込むこと
・ソースデータ構成要素２１０を読み込むこと
・ターゲットデータ構成要素２２０を読み込みこと
・ルールごとの構成項目を手に入れること
・データモデルを初期化すること
[0044]デバイス用のデータモデルは、システムがセットアップされたときデータがどのように構成されたかに基づきデータをグループ化する階層ツリーを含むことができる。これは、リスク項目をグループ化し、インパクトリスクを階層ツリー内のその他の項目に割り当てることを可能にする。ルールエンジンが初期化されると、ルールエンジンは、それぞれの独立したソースデータ構成要素２１０の処理を統御するためになど、スレッドを始めることができる。ルールエンジンフレームワーク２４０は、ルールエンジン内の個々の構成要素に渡される内部データフォーマットを特定する、共通データアダプタのインターロップ（ｉｎｔｅｒｏｐ）構成要素も含む。これは、ルールエンジンフレームワーク２４０の内部のデータと、データソース提供元、データソースアダプタ、及びエンドポイントルールセット間で渡されるデータとを含む。

[0045]ルールエンジンフレームワーク２４０は、挙動２４２をルールセットにおいて定義されたルールを基に定義するための個々の特徴も含む。挙動２４２は、時間ベースのルール、累積ルール、及びインパクトルールをサポートするための挙動を含むことができるが、これらに限定されるものではない。時間ベースの挙動は、時間の経過に基づく何らかの特別な処理を有するルールを定義することを可能にする。累積ベースの挙動は、ルールのデータが何回処理されているかに基づくデータへの特別な処理を有するルールを定義することを可能にする。インパクトルールは、ルールが処理しているデバイスの階層ツリー内のその他のデバイスに対するリスクにインパクトを及ぼすルールを定義することを可能にする。

[0046]ルールエンジンフレームワーク２４０は、リスク範囲、ＰＣ、ゾーン、及び現場からのリスク項目を１つ又は複数の集約セット２４４に集約する能力をサポートしている。ルールセット計算に基づき、ルールエンジンフレームワーク２４０は、確認された最も高いリスクを特定のレベルに割り当て、例えば、それを、例えばＧＵＩ２５０に表示することができるようにすることができる。例えば、ゾーン集約記録は、ゾーン内で確認されたＰＣ及びデバイス間で計算された最も高いリスク項目を表示する可能性がある。集約及び集約セット２４４の計算は全てのルール間で共通であり、したがって、エンドポイントルールセット２３０をより単純に、また軽量に（それほど複雑ではなく）することは、ルールエンジンフレームワーク２４０の役割である。

[0047]ルールエンジンフレームワークは、本明細書に説明されるような様々なプロセスを実行する、１つ又は複数のプロセッサ又はコントローラを使用して実装され得る、実行エンジン２４６を含む。これらは、機械可読媒体に格納された実行可能命令の制御下で実行され得る。

[0048]特に、このインフラストラクチャ２００は、いくつかの独特な特徴を含むことができる。例えば、様々な実施形態において、ルールエンジンフレームワーク２４０又はエンドポイントルールセット２３０に対するいかなる変更も必要とせず、ソースデータ構成要素２１０及びターゲットデータ構成要素２２０が、必要に応じて追加され、また削除され得る。様々な実施形態において、ルールエンジンフレームワーク２４０に対するいかなる変更も必要とせず、エンドポイントルールセット２３０が追加されるか又は削除され得る。様々な実施形態において、ルールエンジンフレームワーク２４０は、統御する時間ベースのルール、累積ルール、インパクトルールなどを提供するルールセット２３０に適用され得る挙動を定義する。

[0049]いくつかの実施形態において、エンドポイントルールセット２３０は、一般的であり得、新しいソースデータ提供元を追加することは、ルールセットがそのデータソースタイプ（アンチウィルスなど）用にすでに存在する場合、エンドポイントルールセット２３０が修正されるよう要求することを必要としない。様々な実施形態において、ルールエンジンフレームワーク２４０は、最下レベル（ＰＣ又はデバイスレベルなど）からずっと最上（ゾーン、現場など）まで集約され得る、集約リスクアセスメント値を計算するための特徴を提供する。様々な実施形態において、データは、個々の項目に分割され、リスク項目として特定される。リスク項目は、それらに適用された個々のリスク係数を有し、それにより、いくつかのリスク項目がその他より重要であるようにさせる。

[0050]いくつかの実施形態において、ルールエンジンも、リスクを計算する（ただデータを収集するだけに加えて）。様々な実施形態において、リスク計算は、ＩＳＯ２７００５のリスク管理規格（ＩＳＯ／ＩＥＣ２７００５：２０１１）又はその他の規格に基づくことがある。

[0051]図２は、産業用プロセス制御及び自動化システム又はその他のシステムにおけるセキュリティ問題を特定するためのルールハンドリングインフラストラクチャ２００の一例を示すが、図２に様々な変更がなされてもよい。例えば、構成要素２１０〜２５０の機能的分割及び各構成要素２１０〜２５０内の機能的分割は、単に例示のためのものである。様々な構成要素又は下位構成要素が組み合わされ、さらにより小さく分割され、再構成され、又は省略される可能性があり、追加の構成要素又は下位構成要素が、特定の必要性に従って追加される可能性がある。

[0052]図３は、以下に総称して「リスクマネージャシステム」と呼ばれる、説明される通りに行うように構成された、例えば、リスクマネージャ１５４、ルールハンドリングインフラストラクチャ２００、又はその他のデバイスによって行われ得る、開示された実施形態によるプロセス３００のフローチャートを示す。

[0053]リスクマネージャシステムは、コンピューティングシステム内の複数のデバイスの特性、及び複数のデバイスに関連した複数の事象を特定する情報を受信する（３０５）。いくつかの実施形態において、情報は、複数のデバイスに関連付けられ、それらからデータを収集するソースデータ構成要素から受信される。いくつかの実施形態において、情報は、その情報を、その情報のタイプに従って共通フォーマットにフォーマットする正規化構成要素により処理される。

[0054]リスクマネージャシステムは、複数のルールセットを使用して情報を分析する（３１０）。いくつかの実施形態において、リスクマネージャシステムはまた、分析に対応して、サイバーセキュリティリスク情報を１つ又は複数のターゲットデータ構成要素に伝送する。いくつかの実施形態において、リスクマネージャシステムはまた、分析に対応して、サイバーセキュリティリスク情報を、それぞれのターゲットデータ構成要素によって処理され得るフォーマットに変換する。いくつかの実施形態において、リスクマネージャシステムはまた、挙動を定義し、その挙動を複数のルールセットに適用し、複数のルールセットは、時間ベースのルール、累積ルール、及びインパクトルールのうちの少なくとも１つを含む。

[0055]リスクマネージャシステムは、分析に基づき、少なくとも１つのリスクアセスメント値を生成し、少なくとも１つのリスクアセスメント値は、複数のデバイスの少なくとも１つのサイバーセキュリティリスクを特定する（３１５）。いくつかの実施形態において、リスクマネージャシステムはまた、複数のデバイスの階層にわたってリスクアセスメント値を集約する。

[0056]リスクマネージャシステムは、少なくとも１つのリスクアセスメント値を格納し、それをユーザに表示する（３２０）。
[0057]ここに示されるリスクマネージャ１５４及び／又はルールハンドリングインフラストラクチャ２００は、以下の先に出願された特許出願及び同時出願の特許出願（それらの全てが参照により本明細書に組み込まれる）に説明されている様々な特徴の任意の組合せ又は全てと共に使用又は動作する可能性があることに留意されたい。

・「ＤＹＮＡＭＩＣ ＱＵＡＮＴＩＦＩＣＡＴＩＯＮ ＯＦ ＣＹＢＥＲ−ＳＥＣＵＲＩＴＹ ＲＩＳＫＳ ＩＮ Ａ ＣＯＮＴＲＯＬ ＳＹＳＴＥＭ（制御システムにおけるサイバーセキュリティリスクの動的定量化）」という名称の米国特許出願第１４／４８２，８８８号
・「ＡＮＡＬＹＺＩＮＧ ＣＹＢＥＲ−ＳＥＣＵＲＩＴＹ ＲＩＳＫＳ ＩＮ ＡＮ ＩＮＤＵＳＴＲＩＡＬ ＣＯＮＴＲＯＬ ＥＮＶＩＲＯＮＭＥＮＴ（産業制御環境におけるサイバーセキュリティリスクの分析）」という名称の米国仮特許出願第６２／０３６，９２０号
・「ＮＯＴＩＦＩＣＡＴＩＯＮ ＳＵＢＳＹＳＴＥＭ ＦＯＲ ＧＥＮＥＲＡＴＩＮＧ ＣＯＮＳＯＬＩＤＡＴＥＤ，ＦＩＬＴＥＲＥＤ，ＡＮＤ ＲＥＬＥＶＡＮＴ ＳＥＣＵＲＩＴＹ ＲＩＳＫ−ＢＡＳＥＤ ＮＯＴＩＦＩＣＡＴＩＯＮＳ（統合され、フィルタ処理された、該当するセキュリティリスクベースの通知を生成するための通知サブシステム）」という名称の米国仮特許出願第６２／１１３，２２１号、及び当該出願と同時に出願された同様の名称（整理番号Ｈ００４８９３７−０１１５）の対応する非仮米国特許出願第１４／８７１，５２１号
・「ＴＥＣＨＮＩＱＵＥ ＦＯＲ ＵＳＩＮＧ ＩＮＦＲＡＳＴＲＵＣＴＵＲＥ ＭＯＮＩＴＯＲＩＮＧ ＳＯＦＴＷＡＲＥ ＴＯ ＣＯＬＬＥＣＴ ＣＹＢＥＲ−ＳＥＣＵＲＩＴＹ ＲＩＳＫ ＤＡＴＡ（インフラストラクチャ監視ソフトウェアを使用してサイバーセキュリティリスクデータを収集するための技法）」という名称の米国仮特許出願第６２／１１３，１００号、及び当該出願と同時に出願された同様の名称（整理番号Ｈ００４８９４３−０１１５）の対応する非仮米国特許出願第１４／８７１，８５５号
・「ＩＮＦＲＡＳＴＲＵＣＴＵＲＥ ＭＯＮＩＴＯＲＩＮＧ ＴＯＯＬ ＦＯＲ ＣＯＬＬＥＣＴＩＮＧ ＩＮＤＵＳＴＲＩＡＬ ＰＲＯＣＥＳＳ ＣＯＮＴＲＯＬ ＡＮＤ ＡＵＴＯＭＡＴＩＯＮ ＳＹＳＴＥＭ ＲＩＳＫ ＤＡＴＡ（産業用プロセス制御及び自動化システムリスクデータを収集するためのインフラストラクチャ監視ツール）」という名称の米国仮特許出願第６２／１１３，１８６号、及び当該出願と同時に出願された同様の名称（整理番号Ｈ００４８９４５−０１１５）の対応する非仮米国特許出願第１４／８７１，７３２号
・「ＰＡＴＣＨ ＭＯＮＩＴＯＲＩＮＧ ＡＮＤ ＡＮＡＬＹＳＩＳ（パッチ監視及び分析）」という名称の米国仮特許出願第６２／１１３，１６５号、及び当該出願と同時に出願された同様の名称（整理番号Ｈ００４８９７３−０１１５）の対応する非仮米国特許出願第１４／８７１，９２１号
・「ＡＰＰＡＲＡＴＵＳ ＡＮＤ ＭＥＴＨＯＤ ＦＯＲ ＡＵＴＯＭＡＴＩＣ ＨＡＮＤＬＩＮＧ ＯＦ ＣＹＢＥＲ−ＳＥＣＵＲＩＴＹ ＲＩＳＫ ＥＶＥＮＴＳ（サイバーセキュリティリスクイベントの自動ハンドリング用の装置及び方法）」という名称の米国仮特許出願第６２／１１３，１５２号、及び当該出願と同時に出願された同様の名称（整理番号Ｈ００４９０６７−０１１５）の対応する非仮米国特許出願第１４／８７１，５０３号
・「ＡＰＰＡＲＡＴＵＳ ＡＮＤ ＭＥＴＨＯＤ ＦＯＲ ＤＹＮＡＭＩＣ ＣＵＳＴＯＭＩＺＡＴＩＯＮ ＯＦ ＣＹＢＥＲ−ＳＥＣＵＲＩＴＹ ＲＩＳＫ ＩＴＥＭ ＲＵＬＥＳ（サイバーセキュリティリスク項目ルールの動的カスタマイゼーション用の装置及び方法）」という名称の米国仮特許出願第６２／１１４，９２８号、及び当該出願と同時に出願された同様の名称（整理番号Ｈ００４９０９９−０１１５）の対応する非仮米国特許出願第１４／８７１，６０５号
・「ＡＰＰＡＲＡＴＵＳ ＡＮＤ ＭＥＴＨＯＤ ＦＯＲ ＰＲＯＶＩＤＩＮＧ ＰＯＳＳＩＢＬＥ ＣＡＵＳＥＳ，ＲＥＣＯＭＭＥＮＤＥＤ ＡＣＴＩＯＮＳ，ＡＮＤ ＰＯＴＥＮＴＩＡＬ ＩＭＰＡＣＴＳ ＲＥＬＡＴＥＤ ＴＯ ＩＤＥＮＴＩＦＩＥＤ ＣＹＢＥＲ−ＳＥＣＵＲＩＴＹ ＲＩＳＫ ＩＴＥＭＳ（特定されたサイバーセキュリティリスク項目に関連した考えられる原因、推奨される動作、及び潜在的なインパクトを提供するための装置及び方法）」という名称の米国仮特許出願第６２／１１４，８６５号、及び当該出願と同時に出願された同様の名称（整理番号Ｈ００４９１０３−０１１５）の対応する非仮米国特許出願第１４／８７１，８１４号
・「ＡＰＰＡＲＡＴＵＳ ＡＮＤ ＭＥＴＨＯＤ ＦＯＲ ＴＹＩＮＧ ＣＹＢＥＲ−ＳＥＣＵＲＩＴＹ ＲＩＳＫ ＡＮＡＬＹＳＩＳ ＴＯ ＣＯＭＭＯＮ ＲＩＳＫ ＭＥＴＨＯＤＯＬＯＧＩＥＳ ＡＮＤ ＲＩＳＫ ＬＥＶＥＬＳ（サイバーセキュリティリスク分析を共通リスク方法論及びリスクレベルに結び付けるための装置及び方法）」という名称の米国仮特許出願第６２／１１４，９３７号、及び当該出願と同時に出願された同様の名称（整理番号Ｈ００４９１０４−０１１５）の対応する非仮米国特許出願第１４／８７１，１３６号
・「ＲＩＳＫ ＭＡＮＡＧＥＭＥＮＴ ＩＮ ＡＮ ＡＩＲ−ＧＡＰＰＥＤ ＥＮＶＩＲＯＮＭＥＮＴ（空隙環境におけるリスク管理）」という名称の米国仮特許出願第６２／１１６，２４５号、及び当該出願と同時に出願された同様の名称（整理番号Ｈ００４９０８１−０１１５）の対応する非仮米国特許出願第１４／８７１，５４７号
[0058]いくつかの実施形態において、本特許書類において説明された様々な機能が、コンピュータ可読プログラムコードから形成され、かつコンピュータ可読媒体に埋め込まれたコンピュータプログラムによって実装又はサポートされる。「コンピュータ可読プログラムコード」という成句は、ソースコード、オブジェクトコード、及び実行可能コードを含む、任意のタイプのコンピュータコードを含む。「コンピュータ可読媒体」という成句は、読み取り専用メモリ（ＲＯＭ：Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ランダムアクセスメモリ（ＲＡＭ：Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ハードディスクドライブ、コンパクトディスク（ＣＤ：Ｃｏｍｐａｃｔ Ｄｉｓｃ）、デジタルビデオディスク（ＤＶＤ：Ｄｉｇｉｔａｌ Ｖｉｄｅｏ Ｄｉｓｃ）、又は任意のその他のタイプのメモリなどの、コンピュータによってアクセスされることが可能な任意のタイプの媒体を含む。「非一時的」コンピュータ可読媒体は、一時的電気信号又はその他の信号を伝送する、有線、無線、光、又はその他の通信リンクを含まない。非一時的コンピュータ可読媒体は、データが永続的に格納され得る媒体と、書き換え可能光ディスク又は消去可能メモリデバイスなどの、データが格納され、後で上書きされることが可能な媒体を含む。

[0059]本特許書類を通して使用されるいくつかの単語及び成句の定義を示すことは有益であり得る。「アプリケーション」及び「プログラム」という用語は、１つ又は複数のコンピュータプログラム、ソフトウェア構成要素、命令セット、手順、機能、オブジェクト、クラス、インスタンス、関連データ、又は適切なコンピュータコード（ソースコード、オブジェクトコード、又は実行可能コードを含む）での実装形態に適合されるそれらの一部を指す。「ｃｏｍｍｕｎｉｃａｔｅ（通信する）」という用語及びそれの派生語は、直接、間接両方の通信を含む。「ｉｎｃｌｕｄｅ（含む）」、「ｃｏｍｐｒｉｓｅ（含む、備える）」という用語、及びそれらの派生語は、制限なしの包含を意味する。「ｏｒ（又は）」という用語は、包含的であり、「ａｎｄ／ｏｒ（及び／又は）」を意味する。「ａｓｓｏｃｉａｔｅｄ ｗｉｔｈ（に関連する）」という成句及びそれの派生語は、含む、〜内に含まれる、〜と相互接続する、包含する、〜内に包含される、〜に又は〜と接続する、〜に又は〜と結合する、〜と通信可能である、〜と連携する、相互配置する、並置する、〜に近接する、〜に又は〜と結び付けられる、有する、〜の特性を有する、〜への又は〜との関係を有する、あるいは同様のものを含むことを意味し得る。「ａｔ ｌｅａｓｔ ｏｎｅ ｏｆ（少なくとも１つの）」という成句は、項目リストで使用される場合、列挙された項目のうちの１つ又は複数の種々の組合せが使用され得る、またリスト内のただ１つの項目が必要とされ得ることを意味する。例えば、「ａｔ ｌｅａｓｔ ｏｎｅ ｏｆ： Ａ，Ｂ，ａｎｄ Ｃ（Ａ、Ｂ、及びＣのうちの少なくとも１つの）」は、Ａ、Ｂ、Ｃ、ＡとＢ、ＡとＣ、ＢとＣ、ＡとＢとＣの組合せのうちのいずれかを含む。

[0060]本開示は、特定の実施形態と、それに一般に関連する方法を説明したが、これらの実施形態及び方法の修正、置換が、当業者には明らかであろう。従って、例示的な実施形態の上の説明は、本開示を定義又は制約するものではない。その他の変更、代用、及び修正もまた、以下の特許請求の範囲によって定義されるような、本開示の趣旨及び範囲から外れない限り、可能である。

Claims (15)

1. コンピューティングシステム（１００）内の複数のデバイス（１３０、１３２、１３４）の特性、及び前記複数のデバイスに関連した複数の事象を特定する情報を受信するステップ（３０５）と、
   複数のルールセット（２３０）を使用して、前記情報を分析するステップ（３１０）と、
   前記分析に基づき、少なくとも１つのリスクアセスメント値を生成するステップ（３１５）であって、前記少なくとも１つのリスクアセスメント値が、前記複数のデバイスの少なくとも１つのサイバーセキュリティリスクを特定する、ステップ（３１５）と、
   ユーザインタフェース（２５０）に前記少なくとも１つのリスクアセスメント値を表示するステップ（３２０）とを含む方法。
2. 前記情報が、前記複数のデバイスに関連付けられ、かつそれらからデータを収集するソースデータ構成要素（２１０）から受信される、請求項１に記載の方法。
3. 前記情報が、前記情報を、前記情報のタイプに従って共通フォーマットにフォーマットする正規化構成要素（２１４）によって処理される、請求項１に記載の方法。
4. 前記分析に対応して、サイバーセキュリティリスク情報を１つ又は複数のターゲットデータ構成要素（２２０）に伝送するステップをさらに含む、請求項１に記載の方法。
5. 前記分析に対応して、サイバーセキュリティリスク情報を、それぞれのターゲットデータ構成要素（２２０）によって処理され得るフォーマットに変換するステップをさらに含む、請求項１に記載の方法。
6. 挙動を定義し、前記挙動を前記複数のルールセット（２３０）に適用するステップであって、前記複数のルールセットが、時間ベースのルール、累積ルール、及びインパクトルールのうちの少なくとも１つを含む、ステップをさらに含む、請求項１に記載の方法。
7. 前記複数のデバイス（１３０、１３２、１３４）の階層にわたってリスクアセスメント値を集約するステップをさらに含み、前記リスクアセスメント値がユーザ定義可能な構成データに従って重み付けされる、請求項１に記載の方法。
8. コントローラ（１５６）と、
   ディスプレイ（２５０）とを備え、
   コンピューティングシステム（１００）内の複数のデバイス（１３０、１３２、１３４）の特性、及び前記複数のデバイスに関連した複数の事象を特定する情報を受信するステップ（３０５）と、
   複数のルールセット（２３０）を使用して前記情報を分析するステップ（３１０）と、
   前記分析に基づき、少なくとも１つのリスクアセスメント値を生成するステップ（３１５）であって、前記少なくとも１つのリスクアセスメント値が前記複数のデバイスの少なくとも１つのサイバーセキュリティリスクを特定する、ステップ（３１５）と、
   ユーザインタフェース（２５０）に前記少なくとも１つのリスクアセスメント値を表示するステップ（３２０）とを行うように構成される、リスクマネージャシステム。
9. 前記情報が、前記複数のデバイスに関連付けられ、かつそれらからデータを収集するソースデータ構成要素（２１０）から受信される、請求項８に記載のリスクマネージャシステム。
10. 前記情報が、前記情報を、前記情報のタイプに従って共通フォーマットにフォーマットする正規化構成要素（２１４）によって処理される、請求項８に記載のリスクマネージャシステム。
11. 前記リスクマネージャシステムがまた、前記分析に対応して、サイバーセキュリティリスク情報を１つ又は複数のターゲットデータ構成要素（２２０）に伝送する、請求項８に記載のリスクマネージャシステム。
12. 前記リスクマネージャシステムがまた、前記分析に対応して、サイバーセキュリティリスク情報を、それぞれのターゲットデータ構成要素（２２０）によって処理され得るフォーマットに変換する、請求項８に記載のリスクマネージャシステム。
13. 前記リスクマネージャシステムがまた、挙動を定義し、前記挙動を前記複数のルールセット（２３０）に適用し、前記複数のルールセットが、時間ベースのルール、累積ルール、及びインパクトルールのうちの少なくとも１つを含む、請求項８に記載のリスクマネージャシステム。
14. 前記リスクマネージャシステムがまた、前記複数のデバイス（１３０、１３２、１３４）の階層にわたってリスクアセスメント値を集約し、前記リスクアセスメント値がユーザ定義可能な構成データに従って重み付けされる、請求項８に記載のリスクマネージャシステム。
15. 実行されると、リスクマネージャシステムの１つ又は複数のプロセッサに、
    コンピューティングシステム（１００）内の複数のデバイス（１３０、１３２、１３４）の特性、及び前記複数のデバイスに関連した複数の事象を特定する情報を受信するステップ（３０５）と、
    複数のルールセット（２３０）を使用して、前記情報を分析するステップ（３１０）と、
    前記分析に基づき、少なくとも１つのリスクアセスメント値を生成するステップ（３１５）であって、前記少なくとも１つのリスクアセスメント値が、前記複数のデバイスの少なくとも１つのサイバーセキュリティリスクを特定する、ステップ（３１５）と、
    ユーザインタフェース（２５０）に前記少なくとも１つのリスクアセスメント値を表示するステップ（３２０）とを行わせる、実行可能命令で符号化された非一時的機械可読媒体（１５８）。

Images