JP2020173491A - 判断支援装置および判断支援方法 - Google Patents

Abstract

【課題】脆弱性対策の要否判断に好適な参考情報を効率的に提供可能とする。
【解決手段】判断支援装置１００において、定事象に関して過去行われた判断の内容を示す過去事例を保持する記憶装置５０３と、前記過去事例が示す、前記判断における判断根拠の重要度に基づき、各判断根拠から重要判断根拠を特定する処理、前記過去事例のうち、前記重要判断根拠の値に関して、今回判断対象となる対象情報と合致または類似するものを判断支援情報として抽出する処理、および前記判断支援情報を所定装置に出力する処理、を実行する演算装置５０４を含む構成とする。
【選択図】図６

Description

本発明は、判断支援装置および判断支援方法に関する。

近年、ＷａｎｎａｃｒｙやＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉｅｄ ｏｆ Ｓｅｒｖｉｃｅ）といったサイバー攻撃が増加している。これらのサイバー攻撃は、システムや当該システムを構成するハードウェア製品、ソフトウェア製品の脆弱性を狙ったものが多い。そうしたサイバー攻撃を防ぐためには、脆弱性対策（例えばパッチあて）が重要となる。

一般に、脆弱性対策を施す場合、対象となるシステムのセキュリティ向上と利便性低下とがトレードオフの関係になりやすい。例えば、すべての脆弱性に対しパッチあて等の対策を施すと、セキュリティが向上してサイバー攻撃の被害を低減しやすくなる。しかし、パッチあてに際しては、当該システムやアプリケーションの停止が必要となる場合が多い。そのため、当該システムにおけるユーザの利便性は損なわれる。

そこでシステム担当者は、Ｗｅｂ上などで公開された脆弱性情報を確認する。そして、脆弱性の内容やシステムの特性などを考慮し、脆弱性対策の要否や対策の時期を判断する。

ここで、脆弱性情報は、あらゆる製品に存在し、またその種類は多様である。そのため、新しく公開された脆弱性情報に対し、担当者が脆弱性対策の要否や対策時期を適切かつ迅速に判断することは難しい。一方で、脆弱性情報は日々大量に公開されているため、脆弱性情報１件にかかる担当者の判断時間を少なくし、迅速に脆弱性対策を可能とする判断支援技術が求められている。

なお、提起された問題に対して適切な回答を効率的に行うべき状況において、それを支援する技術としては、例えば、ユーザからの質問に回答するオペレータを支援する質問回答支援装置であって、少なくとも１文を含む前記ユーザの質問に基づく質問文字列を取得する取得部と、前記質問文字列から質問データを導出する導出部と、蓄積された過去の複数の質問に対応する参照用データ群、及び蓄積された過去の複数の回答に対応する回答文字列群が記憶されたデータベースと、前記質問データと、前記参照用データ群との類似度を算出し、前記類似度に基づき前記参照用データ群の有する第１参照用データを選択する算出部と、前記第１参照用データに基づき前記回答文字列群の有する第１回答文字列を選択する選択部と、前記第１回答文字列を出力する出力部とを備えることを特徴とする質問回答支援装置（特許文献１参照）などが提案されている。

これによれば、質問データに類似する過去の質問データの回答データを担当者に示すことで、担当者がキーワード等に基づいて回答を検索する場合に比べて、ユーザの質問に対して精度の高い回答を得ることができ、適切な回答をユーザへ早期に提供できるとしている。

特開２０１８−１８１０３３号公報

従来技術のごとき手法を脆弱性対策に適用すると、検討対象の脆弱性情報と類似する過去の脆弱性情報を、担当者向けの参考情報として提示することとなる。

しかし脆弱性対策の観点においては、脆弱性情報間で全体として類似度が高くとも、そのまま当該脆弱性情報が参考情報となりうるとは限らない。例えば、全体としてほぼ同一内容だが特定項目の値のみ異なっている脆弱性情報間で、脆弱性対策の要否判断が異なるケースもある。

例えば、脆弱性情報の項目“攻撃元区分”が、“ローカル”か“ネットワーク”の観点でのみ異なる脆弱性情報が存在したとする。その場合、“攻撃元区分”が“ローカル”であれば、該当システムはネットワーク接続しておらず、物理的にアクセスされなければ攻撃を受けにくいため、脆弱性対策は“不要”と判断されうる。一方、“攻撃元区分”が“ネットワーク”であれば、該当システムはネットワーク接続する不特定多数の端末から攻撃を受ける可能性があり、脆弱性対策は“必要”と判断されうる。

つまり、脆弱性対策の観点において、単純に、検討対象の脆弱性情報と類似度の高い過去の脆弱性情報を参考情報としても、脆弱性の性質やシステム毎に重視する防御観点などが異なるため、適切な過去の脆弱性情報および要否判断を提示出来ない。
そこで本発明の目的は、脆弱性対策の要否判断に好適な参考情報を効率的に提供可能とする技術を提供することにある。

上記課題を解決する本発明の判断支援装置は、所定事象に関して過去行われた判断の内容を示す過去事例を保持する記憶装置と、前記過去事例が示す、前記判断における判断根拠の重要度に基づき、各判断根拠から重要判断根拠を特定する処理、前記過去事例のうち、前記重要判断根拠の値に関して、今回判断対象となる対象情報と合致または類似するものを判断支援情報として抽出する処理、および前記判断支援情報を所定装置に出力する処理、を実行する演算装置と、を備える。

また、本発明の判断支援方法は、情報処理装置が、所定事象に関して過去行われた判断の内容を示す過去事例を保持する記憶装置を備え、前記過去事例が示す、前記判断における判断根拠の重要度に基づき、各判断根拠から重要判断根拠を特定する処理、前記過去事例のうち、前記重要判断根拠の値に関して、今回判断対象となる対象情報と合致または類似するものを判断支援情報として抽出する処理、および前記判断支援情報を所定装置に出力する処理、を実行するものである。

本発明によれば、脆弱性対策の要否判断に好適な参考情報を、効率的に提供可能となる。

本実施形態における判断支援システムの概略構成例を示す図である。 本実施形態における新脆弱性情報の一例を示す図である。 本実施形態における過去事例情報の一例を示す図である。 本実施形態における判断支援装置の機能構成例を示す図である。 本実施形態における判断根拠管理情報の一例を示す図である。 本実施形態における判断支援装置のハードウェア構成例を示す図である。 本実施形態における判断根拠管理処理の一例を示すフロー図である。 本実施形態における判断支援処理の一例を示すフロー図である。 本実施形態における判断支援情報（類似過去事例）の表示例を示す図である。 本実施形態における判断支援情報抽出処理の一例を示すフロー図である。 本実施形態における判断支援情報（調査すべき判断根拠）の表示例を示す図である。 本実施形態における判断根拠類似度管理情報の一例を示す図である。 本実施形態における判断根拠類似度管理処理の一例を示すフロー図である。 本実施形態における類似分類判断支援情報抽出処理の一例を示すフロー図である。 本実施形態における判断支援情報（判断根拠類似度を用いた類似過去事例）の表示例を示す図である。 本実施形態における過去事例学習情報の一例を示す図である。 本実施形態における判断ルール作成処理の一例を示すフロー図である。 本実施形態における推奨判断算出処理の一例を示すフロー図である。 本実施形態における判断支援情報（推奨判断）の表示例を示す図である。

−−−実施例１−−−
＜システム構成の例＞

以下に本発明の実施形態について図面を用いて詳細に説明する。図１は、本実施形態の判断支援装置１００を含むネットワーク構成図である。図１に示す判断支援装置１００は、脆弱性対策の要否判断に好適な参考情報を、効率的に提供可能とするコンピュータ装置である。

図１で例示する判断支援システム１０は、コンピュータシステム１Ａ、１Ｂ、判断支援装置１００、および対策管理装置４００から構成されている。このうち判断支援装置１００は、適宜なネットワーク４を介してコンピュータシステム１Ａ、１Ｂおよび対策管理装置４００と相互通信可能に接続されている。

なお、判断支援装置１００に接続されるコンピュータシステムの台数は、特に制限されるものではない。また、ネットワーク４は、例えばインターネット等の公衆網の他、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）など、システム構成等の状況に応じた適宜なものを想定できる。

また、コンピュータシステム１Ａ、１Ｂは、例えば脆弱性対策を実施したい企業あるいは脆弱性対策サービスの提供企業などが保有する物理的なコンピュータハードウェアであるサーバ装置などである。

このうちコンピュータシステム１Ａは、新脆弱性情報２を有している。新脆弱性情報２は、新たに脆弱性対策の判断をすべき脆弱性に関する情報である。具体的には、新脆弱性情報２は、例えばＣＶＳＳ（Ｃｏｍｍｏｎ Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ｓｃｏｒｉｎｇ Ｓｙｓｔｅｍ）といった脆弱性を記述するための規格に沿った脆弱性情報、ないし製品ベンダが独自に提供する形式の脆弱性情報や、脆弱性を持つシステムや製品の特性に関する情報である。

図２に上述の新脆弱性情報２の一例を示す。具体的には、新脆弱性情報２は、タイトル２Ａをキーとして、ＣＶＳＳ値２Ｂ、必要な特権レベル２Ｃ、重要資産２Ｄ、ネットワーク環境２Ｅ、および管理コンソール２Ｆ、といった値が対応付けられたレコードを有して
いる。

このうちタイトル２Ａは、脆弱性の名前やＩＤといった脆弱性を特定する識別情報である。また、ＣＶＳＳ値２Ｂは、脆弱性に対し規格ＣＶＳＳで示されるＣＶＳＳ基本値を示す情報である。
また、必要な特権レベル２Ｃは、脆弱性に対し規格ＣＶＳＳで示される必要な特権レベルを示す情報である。

また、重要資産２Ｄは、脆弱性を持つシステムまたは製品が重要資産か否かを示す情報である。また、ネットワーク環境２Ｅは、脆弱性を持つ製品がどのネットワークに接続しているか示す情報である。
また、管理コンソール２Ｆは、脆弱性が管理コンソールに関するものか否かを示す情報である。

例えば、図２におけるレコードは、「“ＪＶＮ＃ＡＡＡ”という脆弱性は、ＣＶＳＳ値が“７．２”で、必要な特権レベルは“低”で、管理コンソールに関する脆弱性ではなく、“ＪＶＮ＃ＡＡＡ”という脆弱性を持つシステムまたは製品は重要資産として指定しており、“インターネット”に接続している」ことを示している。

ここで、新脆弱性情報２が有する情報は、例示された情報に限られるものではない。例えばタイトル２ＡやＣＶＳＳ値２Ｂ、必要な特権レベル２Ｃのように、公開情報から得られる情報を含んでも良い。また、重要資産２Ｄやネットワーク環境２Ｅのように、担当者があらかじめ任意に設定したシステムまたは製品に関する情報を含んでも良い。また、管理コンソール２Ｆのように、担当者が公開情報を元に調査し追加した情報を含んでも良い。いずれにしても、情報源や情報源からの情報の取得方法は限定されない。

一方、コンピュータシステム１Ｂは、過去事例情報３を有している。過去事例情報３は、過去発生した脆弱性情報に対する担当者の要否判断の結果や判断理由を有する情報である。

図３に、上述の過去事例情報３の一例を示す。具体的には、過去事例情報３は、タイトル３Ａをキーとして、ＣＶＳＳ値３Ｂ、必要な特権レベル３Ｃ、重要資産３Ｄ、ネットワーク環境３Ｅ、管理コンソール３Ｆ、ローカル環境ログイン３Ｇ、要否判断３Ｈ、および判断理由３Ｉといった値が対応付けられたレコードを有している。

こうした過去事例情報３におけるタイトル３Ａと、ＣＶＳＳ値３Ｂと、必要な特権レベル３Ｃと、重要資産３Ｄと、ネットワーク環境３Ｅおよび管理コンソール３Ｆは、それぞれ図２で示したタイトル２Ａと、ＣＶＳＳ値２Ｂと、必要な特権レベル２Ｃと、重要資産２Ｄと、ネットワーク環境２Ｅおよび管理コンソール２Ｆと同じであるため、差分のみ説明する。

ローカル環境ログイン３Ｇは、脆弱性が利用されるためには製品に直接接続してログインが必要か否かを示す情報である。また、要否判断３Ｈは、脆弱性に対し対策が必要か否か担当者が判断した結果を示す情報である。また、判断理由３Ｉは、脆弱性に対し対策が必要か否か担当者が判断した理由を示す情報である。

例えば、図３の例では、「“ＪＶＮ＃Ｘ”という、ＣＶＳＳ値が“７．２”で、必要な特権レベルは“低”で、管理コンソールに関する脆弱性ではなく、ローカル環境ログインが“不要”で、“ＪＶＮ＃Ｘ”という脆弱性を持つ製品は重要資産として指定しており、“インターネット”に接続している脆弱性に対し、対策は“必要”と判断し、判断理由は
脆弱性をもつ製品は“重要資産”として指定しているため」ということを示している。

ここで、過去事例情報３が有する情報は、図３で例示した情報に限られるものではない。例えば、脆弱性に対し実際に行った対策方法に関する情報が含まれていて良い。

また、記述が例示された内容に限られるものではない。例えば、判断理由は自由記述でも良いし、あらかじめ設定された判断理由群から選択することで記述しても良い。

さらに、過去事例情報３は複数保持していても良い。例えば、過去事例情報３を、システム毎に保持しても良いし、類似するシステム毎のまとまりで保持しても良いし、脆弱性毎に複数のシステムで判断した結果をまとめて保持しても良い。

なお、新脆弱性情報２と過去事例情報３は、同じコンピュータシステム１Ａまたはコンピュータシステム１Ｂに格納されていても良いし、判断支援装置１００に格納されていても良い。

ここで図１に戻って説明する。対策管理装置４００は、例えば脆弱性対策を実施する企業や、脆弱性対策サービスの提供企業に設置された物理的なコンピュータハードウェアであるサーバ装置である。

この対策管理装置４００は、上述のネットワーク４を介して判断支援装置１００に相互通信可能に接続されている。よって対策管理装置４００は、判断支援装置１００から所定情報（例えば、後述の類似過去事例の表示画面情報など）を取得する。また、対策管理装置４００は、取得した情報をディスプレイ等の適宜な表示装置に表示する。
続いて、判断支援装置１００の機能構成について説明する。図４は、本実施形態における判断支援装置１００の機能構成例を示した機能ブロック図である。
図示するように、判断支援装置１００は、入力部１１０、出力部１２０、記憶部１３０、演算部１４０、および通信部１５０を有している。

このうち入力部１１０は、入力情報を受け付ける機能部である。具体的には、入力部１１０は、判断支援装置１００が備えるキーボードやマウスといった入力装置を介して入力されたユーザの入力情報を受け付ける。また、入力部１１０は、受け付けた入力情報を演算部１４０に出力する。

また、出力部１２０は、ディスプレイ等の表示装置に表示する画面情報などを生成する機能部である。具体的には、出力部１２０は、判断支援装置１００が備えるディスプレイといった表示装置に表示する画面情報を生成する。また、出力部１２０は、生成した画面情報を表示装置に出力する。
また、記憶部１３０は、様々な情報を格納する機能部である。具体的には、記憶部１３０は、少なくとも判断根拠管理情報２００を有している。

ここで図５に判断根拠管理情報２００の一例を示す。判断管理根拠情報２００には、上述の過去事例情報３から抽出した判断根拠の重要度に関する情報が含まれている。具体的には、分類２００Ａと、判断根拠２００Ｂと、重要度２００Ｃといった情報が対応付けられたレコードを有している。

このうち分類２００Ａは、判断根拠の重要度を管理するまとまりを示す情報である。この分類２００Ａは、過去事例の分類基準となる属性と換言できる。この属性は、図５で例示する形態の場合、脆弱性対策の適用対象となったシステムの種類を一例として想定できる。

また、判断根拠２００Ｂは、過去事例情報３から抽出した判断根拠を示す情報である。判断根拠の抽出は、判断支援装置１００が、過去事例情報３の判断理由３Ｉの値を形態素解析して単語や文節を抽出し、過去事例情報３における、これら単語や文節の出現頻度が一定基準を超えるもの（例：全ての単語や文節の出現頻度の平均値より高いものや、上位１割以内のもの等）を特定したものを想定できる。

また、重要度２００Ｃは、上述のように過去事例情報３から抽出した判断根拠２００Ｂの重要度を示す情報である。重要度２００Ｃの値は、判断支援装置１００が、当該判断根拠が過去事例情報３において出現した頻度や累積回数、の大きさや或いは増加ごとにインクリメントして管理するものとする。換言すれば、出現の頻度や累積回数が増加しないと、重要度２００Ｃの値も高まらないか、却って減少しうる。

例えば、図５は、「“システムＡ”では、判断根拠“重要資産”の重要度は“１０”であり、判断根拠“管理コンソール”の重要度は“８”であり、判断根拠“ローカル環境ログイン”の重要度は“５”である」ことが示されている。

ここで、判断根拠管理情報２００の分類２００Ａは、例示する分類に限定されるものではない。例えば、類似する複数の案件のまとまりで判断根拠２００Ｂと重要度２００Ｃを保持しても良いし、脆弱性毎に複数の案件から抽出される判断根拠２００Ｂと重要度２００Ｃを保持しても良い。
図４に戻って説明する。判断支援装置１００における演算部１４０は、判断根拠管理部３００と、判断支援部３１０と、情報提示部３２０とを有している。

このうち判断根拠管理部３００は、判断根拠管理情報２００を更新する機能部である。具体的には、判断根拠管理部３００は、通信部１５０を介して過去事例情報３を取得し、取得した過去事例情報３を用いて判断根拠管理情報２００を更新する。判断根拠管理情報２００を更新する処理の詳細については後述する。また、後述する判断根拠類似度管理処理や判断ルール作成処理を実行する。

また、判断支援部３１０は、新脆弱性情報２に示される新脆弱性情報２に対する対策の要否判断を支援する情報を特定する機能部である。具体的には、判断支援部３１０は、通信部１５０を介して新脆弱性情報２を取得し、取得した新脆弱性情報２と、判断根拠管理情報２００とを用いて当該新脆弱性情報２に対する対策の要否判断を支援する情報を特定する。

新脆弱性情報２に対する対策の要否判断を支援する情報を特定する処理の詳細については後述する。また、判断支援部３１０は、後述する判断支援情報抽出処理や、類似分類判断支援情報抽出処理や、推奨判断算出処理を実行する。

また、情報提示部３２０は、判断支援部３１０で特定した新脆弱性情報２に対する対策の要否判断を支援する情報を提示する機能部である。具体的には、新脆弱性情報２に対する対策の要否判断を支援する情報を、ユーザに提示する画面情報の生成指示を出力部１２０に対して行う。

また、通信部１５０は、判断支援装置１００が、ネットワーク４を介して外部装置との間で情報の送受信を行う機能部である。具体的には、通信部１５０は、コンピュータシステム１Ａから新脆弱性情報２を、コンピュータシステム１Ｂから過去事例情報３を取得する。また、通信部１５０は、新脆弱性情報に対する判断を支援する情報の画面情報を対策管理装置４００に送信する。以上、特徴選択装置１００の機能ブロックについて説明した
。
＜ハードウェア構成＞

続いて、本実施形態における判断支援装置１００のハードウェア構成例について説明する。図６は、本実施形態における判断支援装置１００のハードウェア構成例を示す図である。判断支援装置１００は、例えば物理的なコンピュータハードウェアであるサーバ装置により実現される。

本実施形態における判断支援装置１００は、入力装置５０１と、表示装置５０２と、外部記憶装置５０３と、演算装置５０４と、主記憶装置５０５と、通信装置５０６と、これらを電気的に相互接続するバス５０７とを有している。
このうち入力装置５０１は、キーボードやマウス、タッチパネルなどのポインティングデバイス、あるいは音声入力装置であるマイクなどを想定する。
また、表示装置５０２は、ディスプレイや音声出力装置であるスピーカなどを想定する。

また、外部記憶装置５０３は、デジタル情報を記憶可能ないわゆるハードディスク（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）やＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）あるいはフラッシュメモリなどの不揮発性記憶装置である。
また、演算装置５０４は、例えばＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。
また、主記憶装置５０５は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）やＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）などのメモリ装置である。

また、通信装置５０６は、ネットワークケーブルを介して有線通信を行う有線の通信装置、またはアンテナを介して無線通信を行う無線通信装置である。この通信装置５０６は、ネットワーク４に接続されている外部装置との間で情報通信を行う。

なお、判断支援装置１００の演算部１４０は、演算装置５０４に処理を行わせるプログラム５１０によって実現される。このプログラム５１０は、主記憶装置５０５あるいは外部記憶装置５０３に記憶され、プログラム５１０の実行にあたって主記憶装置５０５上にロードされ、演算装置５０４により実行される。

また、記憶部１３０は、主記憶装置５０５または外部記憶装置５０３あるいはこれらの組合せにより実現される。また、通信部１５０は、通信装置５０６により実現される。
ただし、判断支援装置１００のハードウェア構成は、前述の構成に限定されるものではない。

また、判断支援装置１００の上記の各構成、機能、処理部および処理手段等は、それらの一部または全部を、例えば集積回路で設計する等によりハードウェアで実現しても良い。また、上記構成、機能は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現しても良い。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリやハードディスク、ＳＳＤ等の記憶装置またはＩＣカード、ＳＤカードおよびＤＶＤ等の記録媒体に置くことができる。

また、特徴選択装置１００のハードウェア構成はこれらに限られるものではなく、その他のハードウェアを用いて構成されるものであっても良い。例えば、インターネットを介して入出力を受け付ける装置であっても良い。

なお、判断支援装置１００は、図示しないが、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅ
ｍ）、ミドルウェア、アプリケーションなどの公知の要素を有し、特にディスプレイなどの入出力装置にＧＵＩ画面を表示するための既存の処理機能を備える。以上、特徴選択装置１００のハードウェア構成について説明した。
＜フロー例１＞

以下、本実施形態における判断支援方法の実際手順について図に基づき説明する。以下で説明する判断支援方法に対応する各種動作は、判断支援装置１００が主記憶装置５０５等に読み出して実行するプログラム５１０によって実現される。そして、このプログラム５１０は、以下に説明される各種の動作を行うためのコードから構成されている。

図７は、本実施形態における判断根拠管理処理の一例を示したフロー図である。かかるフローは、例えば判断支援装置１００において、入力部１１０を介してユーザから処理の実行指示を受け付けた場合、あるいは定期的（例えば、毎分または各日所定の時刻など）に実行される。

こうして判断支援装置１００において判断根拠管理処理が開始されると、判断根拠管理部３００は、過去事例情報３に変更があるか否か判定する（ステップＳ１０１）。

具体的には、判断根拠管理部３００は、通信部１５０を介して過去事例情報３を取得する。また、判断根拠管理部３００は、所定のタイミング（例えば、前回の判断根拠管理処理の実行時など）に取得し一時的に保存しておいた（つまり過去の時点の）過去事例情報３（不図示）と、新たに取得した過去事例情報とを比較する。

そして、過去事例情報３に脆弱性情報の追加または削除または修正を示す内容が含まれる場合（ステップＳ１０１：Ｙｅｓ）、判断根拠管理部３００は、過去事例情報３に変更があると判定し、処理をステップＳ１０２に移行する。

一方、過去事例情報３に脆弱性情報の追加または削除または修正を示す内容が含まれていない場合（ステップＳ１０１：Ｎｏ）、判断根拠管理部３００は、変更がないと判定して処理をステップＳ１０１に戻す。

ステップＳ１０２において、判断根拠管理部３００は、過去事例情報３の判断理由３Ｉから判断根拠を抽出する。この場合、例えば、図３に示す過去事例情報３の例では、判断根拠管理部３００は、判断理由３Ｉに格納された文章“重要資産のため”に、公知の形態素解析技術を適用するか、或いはあらかじめ用意した判断根拠として用いられる単語の辞書を照合することで、“重要資産”を判断根拠として抽出する。勿論、判断理由３Ｉの値が長分で多くの文節を含む場合、上述の形態素解析等で得た単語を、上述の辞書に適用して該当する語彙を判断根拠と特定すればよい。他にも、形態素解析等で得た単語群の中から、その出現頻度が最も高いものを判断根拠として抽出する形態等も想定できる。
いずれにしても、過去事例情報３から判断根拠を抽出する方法は特に限定されるものではない。
なお、過去事例情報３の判断理由３Ｉに格納されている文字列をそのままの形式で判断根拠として抽出しても良いし、運用管理者が任意に抽出しても良い。

次に、判断根拠管理部３００は、Ｓ１０２で抽出した判断根拠の重要度を算出する（ステップＳ１０３）。例えば、判断根拠管理部３００は、ステップＳ１０２で抽出した判断根拠が過去事例情報３の判断理由３Ｉに記載された回数の多いほど或いは頻度が高いほど、当該判断根拠の重要度を高いものと特定する。例えば、記載の回数が全判断根拠中で一位の場合、重要度を予め定めた上限値とする、といった算出手法や、記載の回数や頻度が高まるに応じて、その増大程度に応じて重要度の値を高めるといった手法も想定出来る。

なお、判断根拠の重要度の算出方法は特に限定されるものではない。例えば、判断根拠が過去事例情報３の判断理由３Ｉに記載された回数に重み付け係数をかけて算出しても良いし、担当者が任意に重要度を算出しても良い。

また、判断根拠の重要度は、システム毎に過去事例情報３から算出しても良いし、類似する複数のシステム毎に過去事例情報３から算出しても良い。或いは、脆弱性毎に過去事例情報３から算出しても良い。

また、判断根拠の重要度は、過去事例情報３に格納されるすべてのレコードから算出しても良いし、過去事例情報３に格納されるレコードのうち格納された時刻を元に指定したレコードから算出しても良い。

次に、判断根拠管理部３００は、ステップＳ１０２で抽出した判断根拠と、ステップＳ１０３で算出した判断根拠の重要度とを対応付けて判断根拠管理情報２００に保存する（ステップＳ１０４）。

なお、判断根拠管理情報２００に保存する判断根拠と重要度の形態としては、特に限定されるものではない。例えば、あらかじめ設定した重要度の値以上の重要度値を持つ判断根拠を保存しても良いし、あらかじめ設定した数の判断根拠を重要度が高いものから保存しても良い。また、判断根拠管理部３００は、かかる処理を行うと、本フローの処理を終了する。以上、判断根拠管理処理について説明した。
＜フロー例２＞

図８は、判断支援処理の一例を示したフロー図である。かかる処理は、例えば入力部１１０を介してユーザから処理の実行指示を受け付けた場合あるいは定期的（例えば、毎分または各日所定の時刻など）に、判断支援装置１００が実行する。

こうして判断支援処理が開始されると、判断支援部３１０は、対策要否判断をすべき新たな脆弱性情報を取得する（ステップＳ２０１）。具体的には、判断支援部３１０は、通信部１５０を介して新脆弱性情報２（例えばタイトル２Ａが“ＪＶＮ＃ＡＡＡ”の脆弱性情報）を取得する。

次に、判断支援部３１０は、判断を支援するために用いる重要判断根拠を選択する（ステップＳ２０２）。例えば、判断支援部３１０は、図５に例示する判断根拠管理情報２００から、“システムＡ”において、最も重要度の高い判断根拠“重要資産”を重要判断根拠として選択する。

なお、判断根拠管理情報２００から重要判断根拠を選択する方法は、特に限定されるものではない。例えば、重要度の高い複数の判断根拠を選択しても良い。或いは、担当者があらかじめ指定した判断根拠を選択しても良い。また、他の分類２００Ａの判断根拠から選択しても良いし、脆弱性毎の判断根拠（不図示）から選択しても良い。

次に、判断支援部３１０は、ステップＳ２０１で取得した新しい脆弱性情報と、ステップＳ２０２で選択した重要判断根拠とを用いて、新しい脆弱性情報に対する対策要否の判断を支援する情報（以下、判断支援情報）を抽出する（ステップＳ２０３）。

例えば、判断支援部３１０は、ステップＳ２０２で選択した重要判断根拠“重要資産”に関して、ステップＳ２０１で取得した新しい脆弱性情報（タイトル２Ａが“ＪＶＮ＃ＡＡＡ”の脆弱性情報）では、“該当”と一時保存する。

また、判断支援部３１０は、過去事例情報３において、“重要資産”が、新しい脆弱性情報が保持する“該当”という値と合致する過去事例（タイトル３Ａが“ＪＶＮ＃Ｘ”と“ＪＶＮ＃Ｚ”の過去事例）を、判断支援情報として抽出する。

なお、判断支援情報の抽出方法は特に限定されない。例えば、レーベンシュタイン距離を用いて新しい脆弱性情報が保持する重要判断根拠の値と類似する値を保持する過去事例を抽出しても良い。或いは、あらかじめ設定した閾値を用いて新しい脆弱性情報が保持する重要判断根拠の値に近い値を保持する過去事例を抽出しても良い。または、あらかじめ設定した類似辞書を用いて新しい脆弱性情報が保持する重要判断根拠の値と類似する値を保持する過去事例を抽出しても良い。

次に、情報提示部３２０は、ステップＳ２０３で抽出した判断支援情報を、表示装置５０２や対策管理装置４００等の適宜な装置に配信し表示させる（ステップＳ２０４）。

図９は、判断支援情報を示した画面例６００である。ここで図示するように、かかる画面例６００には、判断支援情報として、ステップＳ２０２で選択した重要判断根拠の値が新しい脆弱性情報の値と合致または類似する値を持つ過去事例（タイトルが“ＪＶＮ＃Ｘ”と“ＪＶＮ＃Ｚ”の過去事例）が、他の過去事例（タイトルが“ＪＶＮ＃Ｙ”の過去事例）より上位に表示されている。

具体的には、判断支援情報は、タイトル、ＣＶＳＳ値、必要な特権レベル、重要資産、ネットワーク環境、管理コンソール、ローカル環境ログイン、要否判断、および判断理由といった過去事例情報３に格納されているレコードを有している。

このような判断支援情報は、過去事例情報３と、判断支援処理のステップＳ２０１〜ステップＳ２０３で抽出した判断支援情報とを用いて情報提示部３２０により生成される。

具体的には、情報提示部３２０は、例えば入力部１１０を介してユーザから判断支援情報の表示要求を受け付けた場合など、所定のタイミングで判断支援情報を生成する。
また、情報提示部３２０は、出力部１２０に対して、生成した判断支援情報を表示するための画面情報の生成指示を行う。

出力部１２０は、情報提示部３２０からの指示に基づき判断支援情報の画面情報を生成（例：判断支援情報たる過去事例の情報を、予め確保しておいた雛形の画面フォーマットに適用して画面生成）し、これを表示装置５０２に出力する。なお、出力部１２０は、通信部１５０を介して判断支援情報の画面情報を対策管理装置４００に送信し、対策管理装置４００上にかかる画面情報を表示させても良い。なお、判断支援情報の構成は、上記の構成に限定されるものではない。以上、判断支援処理について説明した。

以上のような本実施形態に係る判断支援装置１００によれば、新しい脆弱性情報に対し、参考となる可能性の高い判断支援情報を表示することで担当者の迅速な判断を支援することができる。

特に、判断支援装置１００では、判断根拠管理処理の実行により過去の脆弱性情報を元に重要な判断根拠を抽出し、判断支援処理の実行により重要な判断根拠の値が新しい脆弱性情報の値と合致または類似する過去事例を抽出することで、新しい脆弱性情報に対し判断結果が類似する可能性の高い過去事例を表示することができる。

これにより、担当者は判断にかかる時間を短縮することが出来る。また、過去事例が日
々蓄積されると重要判断根拠が更新されるため、脆弱性情報のトレンドや担当者が重要視する判断根拠の変更といった変化に追従することが可能となる。また、これにより、常に参考となる可能性の高い判断支援情報を表示することができ、担当者は判断にかかる時間を短縮することが出来る。
−−−実施例２−−−
＜フロー例３＞

本実施形態は、第１の実施形態の変形例に該当する。従って、第１の実施形態との相違点を中心に説明する。図１０は、判断支援情報抽出処理の一例を示したフロー図である。かかる処理は、図８に示す判断支援処理のステップＳ２０３を実行する場合に、判断支援装置１００により実行される。

処理が開始されると、判断支援部３１０は、ステップＳ２０２で選択した重要判断根拠から判断根拠を１つ選択する（ステップＳ３０１）。例えば、図５に例示する判断根拠管理情報２００で、判断根拠２００Ｂ“ローカル環境ログイン”を選択する。
次に、判断支援部３１０は、新しい脆弱性情報において、ステップＳ３０１で選択した重要判断根拠の値が含まれているか否か判定する（ステップＳ３０２）。

具体的には、ステップＳ２０１で取得した新しい脆弱性情報であるタイトル２Ａが“ＪＶＮ＃ＡＡＡ”の脆弱性情報に対し、“ローカル環境ログイン”に関する情報が含まれているか判定する。
そして、当該値が含まれている場合（ステップＳ３０２：Ｙｅｓ）、判断支援部３１０は、処理をステップＳ３０５に移行する。
一方、上述の判定の結果、当該値が含まれていない場合（ステップＳ３０２：Ｎｏ）、判断支援部３１０は、処理をステップＳ３０３に移行する。

ステップＳ３０３では、判断支援部３１０は、新しい脆弱性情報に関する重要判断根拠の値の入力を受け付ける。具体的には、判断支援部３１０は、情報掲示部３２０を介して、出力部１２０に対して、ステップＳ３０１で選択した重要判断根拠に関する値の入力画面の生成指示を行う。また、判断支援部３１０は、生成された入力画面において担当者が入力した値を取得する。

次に、判断支援部３１０は、ステップＳ２０２で選択した重要判断根拠のすべてをステップＳ３０１で選択したか否かを判定する（ステップＳ３０４）。すべての重要判断根拠を選択していないと判定した場合（ステップＳ３０４：Ｎｏ）、判断支援部３１０は、処理をステップＳ３０１に戻す。
一方で、すべての重要判断根拠を選択したと判定した場合（ステップＳ３０４：Ｙｅｓ）、判断支援部３１０は、処理をステップＳ３０５に移行する。

ステップＳ３０５では、判断支援部３１０は、上述のステップＳ３０１〜ステップＳ３０４で取得した重要判断根拠の値を用いて、判断支援情報を抽出する。例えば、図２に例示する新脆弱性情報２のタイトル２Ａ“ＪＶＮ＃ＡＡＡ”の新脆弱性情報に関して、図５に例示する判断根拠管理情報２００の分類２００Ａ“システムＡ”の判断根拠から “重要資産”と、“管理コンソール”と、“ローカル環境ログイン”とを重要判断根拠とし、判断支援情報を抽出することを考える。

判断支援部３１０は、新脆弱性情報に関して、重要判断根拠“重要資産”、“管理コンソール”、“ローカル環境ログイン”の各値を、新脆弱性情報２およびステップＳ３０３で取得した値から、それぞれ“該当”、“否”、“要”とする。

また、判断支援部３１０は、図３に例示する過去事例情報３から、これらの値に、より合致または類似する重要判断根拠の値を持つ過去事例として“ＪＶＮ＃Ｚ”（重要判断根拠３つが合致）、“ＪＶＮ＃Ｘ”（重要判断根拠”重要資産”と”管理コンソール”の２つが合致）、“ＪＶＮ＃Ｙ”（重要判断根拠”管理コンソール”の１つが合致）を順に、判断支援情報として抽出する。

また、判断支援部３１０は、かかる処理を行うと、本フローを終了する。なお、判断支援情報の抽出するタイミングは特に限定されるものではない。例えば、ステップＳ３０１で重要判断根拠を１つ選択し、ステップＳ３０３で重要判断根拠の値の入力を受け付けた度に判断支援情報を抽出し、その後に実行されるステップＳ２０４で担当者に判断支援情報を表示しても良い。以上、判断支援情報抽出処理について説明した。

図１１は、ステップＳ３０３で新しい脆弱性情報に関する重要判断根拠の値の入力を受け付ける画面、および図１０に例示する判断支援情報抽出処理の後実行されるステップＳ２０４で表示される判断支援情報の画面の一例を示す。

図示するように、画面例７００には、入力を受け付ける、新しい脆弱性情報に関する重要判断根拠と、入力欄が表示されている。例えば、重要判断根拠の値を受け付けるため“「ローカル環境ログイン」を入力してください。”と表示７０１がなされており、また、担当者が“要”という値を入力した欄が表示されている。
なお、重要判断根拠の受け付け方法は特に限定されるものではない。例えば、あらかじめ回答がプルダウン形式で用意されており担当者が選択する形でも良い。

また、画面例７００には、ステップＳ３０５により、入力を受け付けた重要判断根拠の値を用いて抽出された判断支援情報が表示されている。図示するように、かかる画面例７００には、判断支援情報として、ステップＳ２０２で選択した重要判断根拠の値が新しい脆弱性情報の値と合致または類似する値としてより多く持つ過去事例が、他の過去事例より上位に表示されている。

具体的には、ステップＳ３０５で説明したように、新脆弱性情報“ＪＶＮ＃ＡＡＡ”に対して、重要判断根拠“重要資産”、“管理コンソール”、“ローカル環境ログイン”の値がより多く合致または類似する過去事例として、“ＪＶＮ＃Ｚ”、“ＪＶＮ＃Ｘ”、“ＪＶＮ＃Ｙ”の順に上位に表示されている。

以上のような本実施形態に係る判断支援装置によれば、新しい脆弱性情報に対し、参考となる可能性が高い判断支援情報を表示することで担当者の迅速な判断を支援することができる。

特に、判断支援装置では、担当者に重要判断根拠の値の入力を促すことで、担当者に過去事例から想定されるまだ値が確認されていない調査すべき判断根拠を示すことができる。これにより、担当者は判断に必要な情報の取得にかかる時間、結果として判断にかかる時間を短縮することが出来る。
−−−実施例３−−−

本実施例３は、第１の実施形態の変形例に該当する。従って、第１の実施形態との相違点を中心に説明する。ここで図１２は、記憶部１３０に保持される判断根拠類似度管理情報２１０の一例を示した図である。

判断根拠類似度管理情報２１０には、判断根拠管理情報２００で保持される分類２００Ａの各間の判断根拠の類似度が格納される。具体的には、判断根拠類似度管理情報２１０
は、分類２１０Ａと、比較分類２１０Ｂと、類似度２１０Ｃとが対応付けられたレコードを有している。

このうち分類２１０Ａは、判断根拠の重要度を管理するまとまりを示す情報である。比較分類２１０Ｂは、上述の分類２１０Ａと比較する判断根拠の重要度を管理するまとまりを示す情報である。

また、類似度２１０Ｃは、分類２１０Ａおよび比較分類２１０Ｂにそれぞれ格納された判断根拠の重要度を管理するまとまりに関して、判断根拠の類似度を示す情報である。
例えば、図１２のレコード２１０Ｄは、「システムＡから見たシステムＢとの判断根拠の類似度は８である」ことを示している。
＜フロー例４＞

図１３は、判断根拠類似度管理処理の一例を示したフロー図である。かかる処理は、例えば入力部１１０を介してユーザから処理の実行指示を受け付けた場合、あるいは定期的（例えば、毎分または各日所定の時刻など）に、判断支援装置１００が実行する。

ここで判断根拠類似度管理処理が開始されると、判断根拠管理部３００は、判断根拠管理情報２００に変更があるか否か判定する（ステップＳ４０１）。具体的には、判断根拠管理部３００は、所定のタイミング（例えば、前回の判断根拠類似度管理処理の実行時など）に取得し一時的に保存しておいた判断根拠管理情報２００（不図示）と、記憶部１３０に格納されている判断根拠情報２００とを比較する。

そして、上述の比較の結果、判断根拠管理情報２００に脆弱性情報の追加または削除または修正を示す内容が含まれる場合（ステップＳ４０１：Ｙｅｓ）、判断根拠管理部３００は、過去事例情報３に変更があると判定し、処理をステップＳ４０２に移行する。
他方、上述の比較の結果、変更がないと判定した場合（ステップＳ４０１：Ｎｏ）、判断根拠管理部３００は、処理をステップＳ４０１に戻す。

続いてステップＳ４０２では、判断根拠管理部３００は、判断根拠の重要度を管理するまとまりである分類を選択する。例えば、判断根拠管理部３００は、図５に例示する判断根拠管理情報２００の分類２００Ａから、例えばテーブル中で最上位に配置されている“システムＡ”を選択する。

次に、判断根拠管理部３００は、ステップＳ４０２で選択した分類と比較するための判断根拠の重要度を管理するまとまりとして比較分類を選択する。例えば、判断根拠管理部３００は、図５に例示する判断根拠管理情報２００の分類２００Ａから、例えばテーブル中で最上位に配置されている“システムＢ”を選択する。

次に、判断根拠管理部３００は、ステップＳ４０２とステップＳ４０３で選択した分類と比較分類との間の判断根拠の類似度を算出する（ステップＳ４０４）。例えば、図５に例示する判断根拠管理情報２００で、システムＡとシステムＢの判断根拠の類似度を算出することを考える。

例えば、判断根拠管理情報２００において、分類と比較分類における判断根拠の内容が同じかつ重要度の順位が同じ場合に類似度を「５」、判断根拠の内容が同じで重要度の順位が異なる場合に類似度を「３」とすると、“システムＡ”と“システムＢ”とでは、判断根拠“重要資産”が類似度「５」で、“管理コンソール”が類似度「３」となり、類似度は合計「８」と算出される。

同様に、“システムＡ”と“システムＣ”の類似度を算出すると、“ローカル環境ログイン”が、判断根拠の内容が同じかつ重要度の順位が同じのため類似度が「５」と算出される。

なお、分類と比較分類の類似度の算出方法は特に限定されるものではない。例えば、判断根拠の内容の順位順にレーベンシュタイン距離を計算し類似度を算出しても良いし、担当者が任意に算出方法を定めても良いし、担当者があらかじめ類似度を設定しても良い。
次に、判断根拠管理部３００は、ステップＳ４０２およびステップＳ４０３ですべての比較分類および分類を選択したか否か判定する（ステップＳ４０５）。

すべての比較分類および分類を選択していないと判定した場合（ステップＳ４０５：Ｎｏ）、判断根拠管理部３００は、処理をステップＳ４０２に戻す。一方、すべての比較分類および分類を選択していると判定した場合（ステップＳ４０５：Ｙｅｓ）、判断根拠管理部３００は、処理をステップＳ４０６に移行する。

ステップＳ４０６では、判断根拠管理部３００は、ステップＳ４０４で算出した分類と比較分類の類似度を判断根拠類似度管理情報２１０に保存する。また、判断根拠管理部３００は、かかる処理を行うと、本フローを終了する。以上、判断根拠類似度管理処理について説明した。
＜フロー例５＞

図１４は、類似分類判断支援情報抽出処理の一例を示したフロー図である。かかる処理は、図８に例示する判断支援処理のステップＳ２０３を実行する場合に、判断支援装置１００が実行する。

処理が開始されると、判断支援部３１０は、重要判断根拠を用いて判断支援情報を抽出する（ステップ５０１）。例えば、上述のステップＳ２０３と同様に、新しい脆弱性情報（タイトル２Ａが“ＪＶＮ＃ＡＡＡ”の脆弱性情報）に対し、判断根拠“重要資産”が“該当”で一致する過去事例（タイトル３Ａが“ＪＶＮ＃Ｘ”と“ＪＶＮ＃Ｚ”の過去事例）を、判断支援情報として抽出する。

次に、判断支援部３１０は、判断根拠類似度管理情報２１０を用いて、判断支援情報を抽出する（ステップＳ５０２）。例えば、図３に例示する過去事例情報３で、タイトル３Ａが“ＪＶＮ＃Ｘ”のレコードは“システムＣ”が対応した過去事例、タイトル３Ａが“ＪＶＮ＃Ｙ”のレコードは“システムＣ”が対応した過去事例、タイトル３Ａが“ＪＶＮ＃Ｚ”のレコードは“システムＢ”が対応した過去事例とする。

判断支援部３１０は、判断根拠類似度管理情報２１０を用いて、“システムＡ”は“システムＣ”より“システムＢ”との類似度が高いと判定し、ステップ５０１で抽出したタイトル３Ａが“ＪＶＮ＃Ｘ”と“ＪＶＮ＃Ｚ”の過去事例の中で、“システムＢ”が対応した過去事例“ＪＶＮ＃Ｚ”がより参考になる可能性が高い判断支援情報として抽出する。以上、類似分類判断支援情報抽出処理について説明した。

図１５は、図１４に示す類似分類判断支援情報抽出処理の後、実行されるステップＳ２０４で判断支援情報を表示する画面の一例を示す。図示するように、画面例８００には、判断支援情報として、ステップＳ２０２で選択した重要判断根拠の値が、新しい脆弱性情報の値と合致または類似する値を持つ過去事例（タイトルが“ＪＶＮ＃Ｘ”と“ＪＶＮ＃Ｚ”の過去事例）が、他の過去事例（タイトルが“ＪＶＮ＃Ｙ”の過去事例）より上位に表示されている。

さらに、判断根拠類似度管理情報２１０に格納されている分類と比較分類の類似度に基づき、“システムＡ”と類似度の高い“システムＢ”に関する過去事例（タイトル“ＪＶＮ＃Ｚ”）が、“システムＣ”に関する過去事例（タイトル“ＪＶＮ＃Ｘ”）よりも上位に表示されている。

画面例８００は、具体的には、判断支援情報として、タイトル、分類、ＣＶＳＳ値、必要な特権レベル、重要資産、ネットワーク環境、管理コンソール、ローカル環境ログイン、要否判断、判断理由といったレコードを有している。
なお、表示される判断支援情報は特に限定されるものではない。例えば、判断根拠類似度管理情報２１０に格納される類似度２１０Ｃが表示されても良い。

以上のような本実施形態に係る判断支援装置によれば、新しい脆弱性情報に対し、参考となる可能性が高い判断支援情報を表示することで担当者の迅速な判断を支援することができる。

特に、判断支援装置では、判断根拠が類似する他の分類、具体的には、判断根拠が類似する他のシステムが対応した過去事例をより上位に表示することができる。これにより、担当者は、新しい脆弱性情報に対し判断結果が類似する可能性の高い過去事例を参考にし、判断にかかる時間を短縮することが出来る。
−−−実施例４−−−

本実施例は、第１の実施例の変形例に該当する。従って、第１の実施例との相違点を中心に説明する。図１６は、記憶部１３０に保持される過去事例学習情報２２０の一例を示した図である。

過去事例学習情報２２０には、重要判断根拠に対する過去事例の具体的な値と要否判断の結果が含まれている。具体的には、重要資産２２０Ａと、管理コンソール２２０Ｂと、要否判断２２０Ｃとが対応付けられたレコードを有している。

重要資産２２０Ａは、重要判断根拠として抽出された“重要資産”に対する過去事例での値を示す情報である。管理コンソール２２０Ｂは、重要判断根拠として抽出された“管理コンソール”に対する過去事例での値を示す情報である。要否判断２２０Ｃは、過去事例における要否判断の結果を示す情報である。

例えば、図１６のレコード２２０Ｄは、「“重要資産”が“該当”で、“管理コンソール”が“否”の過去事例において、“要否判断”は“要”」であったことを示している。

ここで、過去事例学習情報２２０に含まれる値は特に限定されない。例えば、他の重要判断根拠として“ローカル環境ログイン”の値が含まれていても良いし、各レコードに対応する過去事例における判断後の対策方法が含まれていても良いし、分類に関する情報を含み分類毎にレコードを保持しても良い。
＜フロー例６＞

図１７は、判断ルール作成処理の一例を示したフロー図である。かかる処理は、例えば入力部１１０を介してユーザから処理の実行指示を受け付けた場合あるいは定期的（例えば、毎分または各日所定の時刻など）に、判断支援装置１００が実行する。

判断ルール作成処理が開始されると、判断根拠管理部３００は、過去事例情報３または判断根拠管理情報２００に変更があるか否か判定する（ステップＳ６０１）。

具体的には、判断根拠管理部３００は、所定のタイミング（例えば、前回の判断ルール作成処理の実行時など）に取得し一時的に保存しておいた過去事例情報３（不図示）または判断根拠管理情報２００（不図示）と、新たに取得した過去事例情報３または記憶部１３０に格納されている判断根拠情報２００を比較する。

そして、過去事例情報３または判断根拠管理情報２００に脆弱性情報の追加または削除または修正を示す内容が含まれる場合（ステップＳ６０１：Ｙｅｓ）、判断根拠管理部３００は、過去事例情報３または判断根拠管理情報２００に変更があると判定し、処理をステップＳ６０２に移行する。
一方、上述の判定の結果、変更がないと判定した場合（ステップＳ６０１：Ｎｏ）、判断根拠管理部３００は、処理をステップＳ６０１に戻す。

ステップＳ６０２では、判断根拠管理部３００は、判断ルールを作成するための重要判断根拠を判断根拠管理情報２００から抽出する。例えば、図５に図示する例では、分類２００Ａが“システムＡ”のレコードに関して、重要判断根拠として判断根拠２００Ｂから“重要資産”と“管理コンソール”を抽出する。

なお、抽出する重要判断根拠は特に限定されない。例えば、最も重要度の高い判断根拠を抽出しても良いし、あらかじめ設定した数の判断根拠を重要度の高い順に抽出しても良いし、担当者が任意に判断根拠を抽出しても良い。

次に、判断根拠管理部３００は、判断ルールを作成するための過去事例学習情報を保存する（ステップＳ６０３）。例えば、判断根拠管理部３００は、ステップＳ６０１で抽出した重要判断根拠“重要資産”と“管理コンソール”と、“要否判断”に関して、過去事例情報３からレコード毎に値を抽出する。

具体的には、判断根拠管理部３００は、図３に図示する過去事例情報３から、タイトル３Ａ“ＪＶＮ＃Ｘ”のレコードに対し、“重要資産”の値として“該当”、“管理コンソール”の値として“否”、“要否判断”の値として“要”を抽出する。そして、判断根拠管理部３００は、抽出した値を過去事例学習情報２２０に保存する。

次に、判断根拠管理部３００は、過去事例の重要判断根拠に関する値を元に、新たな脆弱性情報の推奨要否判断を推定するための判断ルールを作成する（ステップＳ６０４）。例えば、判断根拠管理部３００は、過去事例学習情報２２０で保持される値を用いて、ｋ近傍法といった分類アルゴリズムを適用する判断ルールを作成する。

なお、作成する判断ルールは特に限定されるものではない。例えば、ニューラルネットワークといった機械学習手法を用いても良いし、担当者が設定した重要判断根拠とその値の組み合わせによる要否判断の決定ルールでも良いし、判断ルールは複数作成されても良い。また、判断根拠管理部３００は、かかる処理を行うと、本フローの処理を終了する。以上、判断ルール作成処理について説明した。
＜フロー例７＞

図１８は、推奨判断算出処理の一例を示したフロー図である。かかる処理は、図８に例示する判断支援処理のステップＳ２０３を実行する場合に、判断支援装置１００により実行される。

処理が開始されると、判断支援部３１０は、ステップＳ６０１〜ステップＳ６０４で作成した判断ルールから、推奨要否判断を推定するための判断ルールを選択する（ステップＳ７０１）。

例えば、判断支援部３１０は、“新しい脆弱性情報の重要判断根拠の値に関して、すべての値が合致する過去事例学習情報２２０のレコードの要否判断を推奨判断とする”という判断ルールを選択する。

なお、選択する判断ルールは特に限定されない。例えば、あらかじめシステム毎に選択する判断ルールを設定しておいても良いし、複数の判断ルールを選択しても良い。

次に、判断支援部３１０は、新しい脆弱性情報とステップＳ７０１で選択した判断ルールとを用いて、推奨される要否判断を判断支援情報として抽出する（ステップＳ７０２）。

例えば、新しい脆弱性情報を図２で例示するタイトル２Ａ“ＪＶＮ＃ＡＡＡ”とし、重要判断根拠を“重要資産”と“管理コンソール”とし、判断ルールを“新しい脆弱性情報の重要判断根拠の値に関して、すべての値が合致する過去事例学習情報２２０のレコードの要否判断を推奨判断とする”とした場合を考える。

新しい脆弱性情報における重要判断根拠“重要資産”と“管理コンソール”の値は“該当”と“否”であり、図１６で例示する過去事例学習情報２２０のレコード２２０Ｄと合致するため、推奨される要否判断をレコード２２０Ｄにおける要否判断２２０Ｃの値“要”とする。また、判断支援部３１０は、かかる処理を行うと、本フローを終了する。以上、推奨判断算出処理について説明した。

図１９は、図１８に示す推奨判断算出処理の後実行されるステップＳ２０４で判断支援情報を表示する画面の一例を示す。図示するように、画面例９００には、判断支援情報として、ステップＳ７０２で算出した推奨判断９０２が表示されている。

画面例９００は、具体的には、判断支援情報として、タイトル、ＣＶＳＳ値、必要な特権レベル、重要資産、ネットワーク環境、管理コンソール、推奨判断９０２が対応付けられたレコードを有している。

例えばレコード９０１は、「タイトルが“ＪＶＮ＃ＡＡＡ”で、ＣＶＳＳ値が“７．２”で、必要な特権レベルが“低”で、重要資産が“該当”で、ネットワーク環境が“インターネット”で、管理コンソールが“否”の新たな脆弱性情報に対し、推奨される判断は“要”」すなわち「対策要」であることを示している。
なお、表示される判断支援情報は特に限定されるものではない。例えば、ステップＳ７０２で算出した推奨要否判断の合致度や類似度を表示しても良い。

以上、本発明を実施するための最良の形態などについて具体的に説明したが、本発明はこれに限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能である。

こうした本実施形態によれば、新しい脆弱性情報に対し、参考となる可能性が高い判断支援情報を表示することで担当者の迅速な判断を支援することができる。特に、重要判断根拠に基づき、過去事例から想定される推奨の要否判断を表示することができる。これにより担当者は、判断にかかる時間を短縮することが出来る。
すなわち、脆弱性対策の要否判断に好適な参考情報を効率的に提供可能となる。

本明細書の記載により、少なくとも次のことが明らかにされる。すなわち、本実施形態の判断支援装置において、前記演算装置は、前記過去事例が示す情報から所定ルールにより前記判断根拠を抽出し、前記過去事例における出現程度に基づいて当該判断根拠の重要
度を算出する処理を更に実行するものである、としてもよい。

これによれば、判断支援情報の抽出根拠の一つとなる重要度を、効率的かつ精度良く算定可能となる。ひいては、脆弱性対策の要否判断に好適な参考情報をより効率的に提供可能となる。

また、本実施形態の判断支援装置において、前記演算装置は、前記判断支援情報を抽出する処理に際し、前記重要判断根拠のうち前記対象情報に値が含まれていないものを特定し、当該重要判断根拠に関して値の入力を促す通知を所定装置に出力し、当該重要判断根拠の値を前記装置から取得する処理を更に実行するものである、としてもよい。

これによれば、判断支援情報の抽出精度に影響を与える重要判断根拠の値を効率的かつ的確に収集することが可能となる。ひいては、脆弱性対策の要否判断に好適な参考情報をより効率的に提供可能となる。

また、本実施形態の判断支援装置において、前記演算装置は、前記過去事例の分類基準となる所定属性の各間に関して、対応する過去事例間で前記重要判断根拠を照合し、前記各間における前記重要判断根拠の類似度を特定する処理を更に実行し、前記判断支援情報を抽出する処理に際し、前記対象情報における前記属性に関して、前記類似度が所定レベル以上を示す前記過去事例を特定し、当該過去事例を前記判断支援情報として抽出するものである、としてもよい。

これによれば、脆弱性対策の担当者等が対策対象となる自システム等に関して対策要否等を検討する際、その参考となり得る他システム等に関しての過去事例を判断支援情報として提示可能となる。ひいては、脆弱性対策の要否判断に好適な参考情報をより効率的に提供可能となる。

また、本実施形態の判断支援装置において、前記演算装置は、前記過去事例それぞれにおける前記重要判断根拠の値および判断の内容の各情報から、過去事例学習情報を生成し、前記過去事例学習情報を教師データとして機械学習を行うことで判断ルールを生成する処理を更に実行し、前記判断支援情報を抽出する処理に際し、前記対象情報を前記判断ルールに適用して、前記対象情報に関して推奨される判断内容を判断支援情報として特定するものである、としてもよい。

これによれば、例えば膨大な過去事例における要否判断傾向から、今回、脆弱性対策の検討対象とするシステム等に関しての対策要否を、効率的かつ精度よく提示できる。ひいては、脆弱性対策の要否判断に好適な参考情報をより効率的に提供可能となる。

また、本実施形態の判断支援方法において、前記情報処理装置が、前記過去事例が示す情報から所定ルールにより前記判断根拠を抽出し、前記過去事例における出現程度に基づいて当該判断根拠の重要度を算出する処理を更に実行する、としてもよい。

また、本実施形態の判断支援方法において、前記情報処理装置が、前記判断支援情報を抽出する処理に際し、前記重要判断根拠のうち前記対象情報に値が含まれていないものを特定し、当該重要判断根拠に関して値の入力を促す通知を所定装置に出力し、当該重要判断根拠の値を前記装置から取得する処理を更に実行する、としてもよい。

また、本実施形態の判断支援方法において、前記情報処理装置が、前記過去事例の分類基準となる所定属性の各間に関して、対応する過去事例間で前記重要判断根拠を照合し、前記各間における前記重要判断根拠の類似度を特定する処理を更に実行し、前記判断支援
情報を抽出する処理に際し、前記対象情報における前記属性に関して、前記類似度が所定レベル以上を示す前記過去事例を特定し、当該過去事例を前記判断支援情報として抽出する、としてもよい。

また、本実施形態の判断支援方法において、前記情報処理装置が、前記過去事例それぞれにおける前記重要判断根拠の値および判断の内容の各情報から、過去事例学習情報を生成し、前記過去事例学習情報を教師データとして機械学習を行うことで判断ルールを生成する処理を更に実行し、前記判断支援情報を抽出する処理に際し、前記対象情報を前記判断ルールに適用して、前記対象情報に関して推奨される判断内容を判断支援情報として特定する、としてもよい。

１Ａ、１Ｂ コンピュータシステム
２ 新脆弱性情報
３ 過去事例情報
４ ネットワーク
１０ 判断支援システム
１００ 判断支援装置
１１０ 入力部
１２０ 出力部
１３０ 記憶部
１４０ 演算部
１５０ 通信部
２００ 判断根拠管理情報
３００ 判断根拠管理部
３１０ 判断支援部
３２０ 情報提示部
４００ 対策管理装置
５０１ 入力装置
５０２ 表示装置
５０３ 外部記憶装置
５０４ 演算装置
５０５ 主記憶装置
５０６ 通信装置
５０７ バス

Claims (10)

1. 所定事象に関して過去行われた判断の内容を示す過去事例を保持する記憶装置と、
   前記過去事例が示す、前記判断における判断根拠の重要度に基づき、各判断根拠から重要判断根拠を特定する処理、前記過去事例のうち、前記重要判断根拠の値に関して、今回判断対象となる対象情報と合致または類似するものを判断支援情報として抽出する処理、および前記判断支援情報を所定装置に出力する処理、を実行する演算装置と、
   を備える判断支援装置。
2. 前記演算装置は、
   前記過去事例が示す情報から所定ルールにより前記判断根拠を抽出し、前記過去事例における出現程度に基づいて当該判断根拠の重要度を算出する処理を更に実行するものである、
   ことを特徴とする請求項１に記載の判断支援装置。
3. 前記演算装置は、
   前記判断支援情報を抽出する処理に際し、前記重要判断根拠のうち前記対象情報に値が含まれていないものを特定し、当該重要判断根拠に関して値の入力を促す通知を所定装置に出力し、当該重要判断根拠の値を前記装置から取得する処理を更に実行するものである、
   ことを特徴とする請求項１に記載の判断支援装置。
4. 前記演算装置は、
   前記過去事例の分類基準となる所定属性の各間に関して、対応する過去事例間で前記重要判断根拠を照合し、前記各間における前記重要判断根拠の類似度を特定する処理を更に実行し、
   前記判断支援情報を抽出する処理に際し、前記対象情報における前記属性に関して、前記類似度が所定レベル以上を示す前記過去事例を特定し、当該過去事例を前記判断支援情報として抽出するものである、
   ことを特徴とする請求項１に記載の判断支援装置。
5. 前記演算装置は、
   前記過去事例それぞれにおける前記重要判断根拠の値および判断の内容の各情報から、過去事例学習情報を生成し、前記過去事例学習情報を教師データとして機械学習を行うことで判断ルールを生成する処理を更に実行し、
   前記判断支援情報を抽出する処理に際し、前記対象情報を前記判断ルールに適用して、前記対象情報に関して推奨される判断内容を判断支援情報として特定するものである、
   ことを特徴とする請求項１に記載の判断支援装置。
6. 情報処理装置が、
   所定事象に関して過去行われた判断の内容を示す過去事例を保持する記憶装置を備え、
   前記過去事例が示す、前記判断における判断根拠の重要度に基づき、各判断根拠から重要判断根拠を特定する処理、前記過去事例のうち、前記重要判断根拠の値に関して、今回判断対象となる対象情報と合致または類似するものを判断支援情報として抽出する処理、および前記判断支援情報を所定装置に出力する処理、
   を実行する判断支援方法。
7. 前記情報処理装置が、
   前記過去事例が示す情報から所定ルールにより前記判断根拠を抽出し、前記過去事例における出現程度に基づいて当該判断根拠の重要度を算出する処理を更に実行する、
   ことを特徴とする請求項６に記載の判断支援方法。
8. 前記情報処理装置が、
   前記判断支援情報を抽出する処理に際し、前記重要判断根拠のうち前記対象情報に値が含まれていないものを特定し、当該重要判断根拠に関して値の入力を促す通知を所定装置に出力し、当該重要判断根拠の値を前記装置から取得する処理を更に実行する、
   ことを特徴とする請求項６に記載の判断支援方法。
9. 前記情報処理装置が、
   前記過去事例の分類基準となる所定属性の各間に関して、対応する過去事例間で前記重要判断根拠を照合し、前記各間における前記重要判断根拠の類似度を特定する処理を更に実行し、
   前記判断支援情報を抽出する処理に際し、前記対象情報における前記属性に関して、前記類似度が所定レベル以上を示す前記過去事例を特定し、当該過去事例を前記判断支援情報として抽出する、
   ことを特徴とする請求項６に記載の判断支援方法。
10. 前記情報処理装置が、
    前記過去事例それぞれにおける前記重要判断根拠の値および判断の内容の各情報から、過去事例学習情報を生成し、前記過去事例学習情報を教師データとして機械学習を行うことで判断ルールを生成する処理を更に実行し、
    前記判断支援情報を抽出する処理に際し、前記対象情報を前記判断ルールに適用して、前記対象情報に関して推奨される判断内容を判断支援情報として特定する、
    ことを特徴とする請求項６に記載の判断支援方法。

Images