JP2020524870A - 企業サイバー・セキュリティ・リスク管理及びリソース・プランニング - Google Patents

Abstract

システムは、企業に関連するネットワーク関係セキュリティ・ポリシー５１０とプロシージャ５２０とを記憶するためのメモリと、ディスプレイと、少なくとも１つのデバイスとを含む。デバイスは、企業のネットワークに関連する企業アクティビティを監視すること５６０と、企業アクティビティに基づいて、企業がセキュリティ・ポリシー及びプロシージャを遵守しているかどうかを決定することとを行うように構成される。デバイスはまた、企業アクティビティと、企業がセキュリティ・ポリシー及びプロシージャを遵守しているかどうかとに基づいて、企業の資産についてリスク・エクスポージャ・メトリックを計算すること５３０と、リスク・エクスポージャ・メトリックを識別するグラフィカル・ユーザ・インターフェース（ＧＵＩ）を、ディスプレイに出力することとを行うように構成される。デバイスはまた、企業のネットワーク化デバイスのうちの少なくとも１つに対する変更を開始するための入力、又はネットワーク化デバイスのうちの少なくとも１つに対する変更を行うためのプランの生成を開始するための入力を、ＧＵＩを介して受信すること５４０を行うように構成され得る。【選択図】図５

Description

本出願は、その内容が参照により本明細書に組み込まれる、２０１７年６月２３日に出願された米国仮特許出願第６２／５２３，９４４号、及び２０１８年６月２２日に出願された米国出願第１６／０１５，５２４号に基づいて、米国特許法第１１９条の下での優先権を主張する。

企業は、高度さと複雑さが増した、ますます多くのサイバー脅威にさらされるようになっており、また、強化された規制及びプライバシー法／法令の対象になっている。大半の企業は、セキュリティ・リスク管理の観点から、そのような脅威、規制及びプライバシー法を処理するための態勢を備えていない。

たとえば、企業は、一般に、サイバー・セキュリティを管理するための単一又は複数の信頼すべきロケーション／システムにおいて情報を管理し、記憶するためのセキュリティ・インフラストラクチャの欠如という問題を抱えている。結果として、企業は、それらの有益な会社機密情報又は顧客のデータが、悪意のある意図をもつ部外者及びインサイダーにさらされることに対してますます脆弱になった。さらに、企業は、しばしば、それらの資産に対する全ての脅威に気づいておらず、一般に、そのような脅威に対する企業の潜在的エクスポージャを定量化することができない。その上、企業は、企業のセキュリティ・インフラストラクチャ及び投資の成功又は失敗を攻撃成功の確率低減に関して測定することができない。

本明細書で説明するシステム、デバイス及び方法が実装され得る、例示的な環境を示す図である。 図１のデバイスのうちの１つ又は複数の中に実装された構成要素の例示的な構成を示す図である。 図１のデバイスのうちの１つ又は複数の中に含まれる論理構成要素の例示的な構成を示す図である。 例示的な実装形態に従って生成された、例示的なグラフィカル・ユーザ・インターフェースを示す図である。 例示的な実装形態に従って生成された、例示的なグラフィカル・ユーザ・インターフェースを示す図である。 例示的な実装形態による、図３に示された様々な構成要素による処理を示す流れ図である。 例示的な実装形態における、企業のための例示的な攻撃シナリオ、緩和関係問題及び質問並びに技術的対応を示す図である。 例示的な実装形態における、企業のための例示的な攻撃シナリオ、緩和関係問題及び質問並びに技術的対応を示す図である。 例示的な実装形態における、企業のための例示的な攻撃シナリオ、緩和関係問題及び質問並びに技術的対応を示す図である。 例示的な実装形態における、企業のための例示的な攻撃シナリオ、緩和関係問題及び質問並びに技術的対応を示す図である。 セキュリティ・ステータス情報を閲覧することに関連する例示的な処理を示す流れ図である。 例示的な実装形態による、例示的なグラフィカル・ユーザ・インターフェースを示す図である。 例示的な実装形態による、別の例示的なユーザ・インターフェースを示す図である。 例示的な実装形態による、サイバー・セキュリティ情報を生成し、表示することに関連する例示的なユーザ・インターフェースを示す図である。 例示的な実装形態による、サイバー・セキュリティ情報を生成し、表示することに関連する例示的なユーザ・インターフェースを示す図である。 例示的な実装形態による、サイバー・セキュリティ情報を生成し、表示することに関連する例示的なユーザ・インターフェースを示す図である。 例示的な実装形態による、シミュレーションを動作させることに関連する例示的なユーザ・インターフェースを示す図である。

以下の詳細な説明は、添付の図面を参照する。異なる図面中の同じ参照番号は同じ又は類似の要素を同定し得る。また、以下の詳細な説明は本発明を限定しない。代わりに、本発明の範囲は添付の特許請求の範囲及びそれらの等価物によって定義される。

本明細書で説明する実装形態は、複数のソースからデータを収集し、処理し、様々なサイバー脅威に対する会社の資産のエクスポージャ並びに／又は規制及びプライバシー法のコンプライアンスのレベルを定量化するための方法、システム並びにコンピュータ・プログラム製品を提供する。一実装形態では、企業サイバー・リソース・プランニング（ＥＣＲＰ：ｅｎｔｅｒｐｒｉｓｅ ｃｙｂｅｒ ｒｅｓｏｕｒｃｅ ｐｌａｎｎｉｎｇ）システムは、権限を有する人員が、高い、全体的なレベルにあり、またグラニュラリティの複数のレベル（たとえば、各特定の脅威についての各個別資産についての脅威レベル）にある特定のサイバー脅威に対する会社の資産のエクスポージャ・レベルを閲覧すること、並びに必要とされる規制及びプライバシー法のコンプライアンスのレベルを閲覧することを可能にする、グラフィカル・ユーザ・インターフェース（ＧＵＩ：ｇｒａｐｈｉｃａｌ ｕｓｅｒ ｉｎｔｅｒｆａｃｅ）を提供する。ＥＣＲＰシステムはまた、会社の資産のリスク・エクスポージャを低減するために、並びに／又は規制及びプライバシー法のコンプライアンスのレベルを高めるために、最適化されたサイバー・セキュリティ作業計画を生成し得る。

たとえば、ＥＣＲＰシステムなどの本明細書で説明するシステムは、企業のセキュリティ措置に基づいて会社／企業の資産についての推定リスク・エクスポージャを生成し、そのリスク・エクスポージャをユーザに表示する。一実装形態では、ユーザは、ワークステーション／クライアント・システムを介して、企業の資産に関連するリスクを低減するサイバー・セキュリティ作業計画を要求し得る。システム／サーバは、資産に関連する識別子と、資産についての所望のエクスポージャ・レベルとを含み得る、ユーザ要求を受信する。システムは、要求された資産のエクスポージャ・レベルに基づいて、最適化された作業計画を生成する。システムはまた、要求されたエクスポージャ・レベルを達成するための、時間単位のマンパワー支出と、新しい機器のコストを含み得る金銭的支出などとを含む、リソース支出を推定し得る。

例示的な実装形態では、（本明細書で「システム」又は「プラットフォーム」とも呼ばれる）ＥＣＲＰシステムは、重要企業資産に関する有益なサイバー脅威情報を提供する幾つかの簡略化された様態で、担当情報技術（ＩＴ：ｉｎｆｏｒｍａｔｉｏｎ ｔｅｃｈｎｏｌｏｇｙ）セキュリティ人員に推定リスク・エクスポージャを提示する、グラフィカル・ユーザ・インターフェース（ＧＵＩ）を提供する。ＧＵＩはまた、セキュリティ人員が、単一のロケーション／ユーザ・インターフェースから、及び／又は複数のユーザ・インターフェースを介して複数のロケーションから、企業セキュリティを監督し、管理することを可能にし得る。さらに、システムは、リソースの配置に関する勧告を生成し、また、リスク・エクスポージャを緩和するための措置を開始し得る。記録の単一のプラットフォーム又はシステムを介して、複数のソースからのデータを集約することによって、適切なセキュリティ人員は、会社資産のエクスポージャを最小化する及び／又は防止するために、並びに企業が、準拠法、プライバシー要件及び規制並びに企業の担当セキュリティ管理者によって設定されたセキュリティ・ポリシーに準拠しているようにするために、企業セキュリティ管理の全ての態様を定義し、管理し、コントロールすることができる。

本明細書で使用する用語「資産」は、データ又はインフラストラクチャ要素／機器を含む、任意の企業資産を含むように解釈されるべきである。データは、たとえば、人的資源（ＨＲ：ｈｕｍａｎ ｒｅｓｏｕｒｃｅｓ）データ、企業によって顧客に提供される商品及び／又はサービスのコスト、知的財産、顧客リスト、従業員及び／又は顧客の個人情報などを含み得る。インフラストラクチャは、企業によって所有される又は管理されるサーバ、ルータ、プロセッサ、通信リンク、インターフェース、ネットワーク・デバイス、データベース、アプリケーションなど、ハードウェア及び／又はソフトウェアを含み得る。

本明細書で使用する用語「企業」は、それの中で従業員のコンピュータ／ワークステーションが、ローカル・エリア・ネットワーク（ＬＡＮ：ｌｏｃａｌ ａｒｅａ ｎｅｔｗｏｒｋ）、ワイド・エリア・ネットワーク（ＷＡＮ：ｗｉｄｅ ａｒｅａ ｎｅｔｗｏｒｋ）、インターネット、公衆交換電話網などのネットワークを介して相互接続された、中小企業／会社、教育機関、政府機関、大法人など、任意のエンティティを含むように解釈されるべきである。企業は、複数の物理的ロケーション並びに複数の相互接続された有線及び無線ネットワークを含み得る。企業は、企業に商品及び／又はサービスを供給するサプライヤ及び／又はベンダーをも含み得る。

一実装形態では、ＥＣＲＰシステムは、担当当事者（たとえば、最高情報セキュリティ・オフィス（ＣＩＳＯ：Ｃｈｉｅｆ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｅｃｕｒｉｔｙ Ｏｆｆｉｃｅ）、最高財務責任者（ＣＦＯ：Ｃｈｉｅｆ Ｆｉｎａｎｃｉａｌ Ｏｆｆｉｃｅｒ）、最高経営責任者（ＣＥＯ：Ｃｈｉｅｆ Ｅｘｅｃｕｔｉｖｅ Ｏｆｆｉｃｅｒ）、データ保護責任者（ＤＰＯ：Ｄａｔａ Ｐｒｏｔｅｃｔｉｏｎ Ｏｆｆｉｃｅｒ）、最高リスク責任者（ＣＲＯ：Ｃｈｉｅｆ Ｒｉｓｋ Ｏｆｆｉｃｅｒ）などのチーフ（Ｃ：Ｃｈｉｅｆ）レベル・エグゼクティブ、ボード・メンバー、セキュリティ・マネージャ又は会社のセキュリティを管理することを担当する他の当事者）が、セキュリティ・ポリシー／業務が遵守されているかどうかを決定し、（たとえば、ＩＳＯ２７００１、ペイメント・カード・インダストリー（ＰＣＩ：Ｐａｙｍｅｎｔ Ｃａｒｄ Ｉｎｄｕｓｔｒｙ）規格、欧州一般データ保護規則（ＧＤＰＲ：Ｅｕｒｏｐｅａｎ Ｇｅｎｅｒａｌ Ｄａｔａ Ｐｒｏｔｅｃｔｉｏｎ Ｒｅｇｕｌａｔｉｏｎ）規格、米国標準技術研究所（ＮＩＳＴ：Ｎａｔｉｏｎａｌ Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｓｔａｎｄａｒｄｓ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ）規格、インターネット・セキュリティ・センター（ＣＩＳ：Ｃｅｎｔｅｒ ｏｆ Ｉｎｔｅｒｎｅｔ Ｓｅｃｕｒｉｔｙ）規格などの）規制の会社コンプライアンスを認証し、監査及び評価を実施し、並びに／又は監査／評価が定期的に実行されているかどうかを決定し、リソース・プランニング及びセキュリティ・タスク／アクティビティ優先順位付けを実行し、及び／又は検証し、セキュリティ・リスク管理プロシージャを実行し及び／又は検証し、従業員アウェアネス・プログラムを運営し、及び／又はそれが守られていることを検証し、セキュリティ予算を検証し及び／又は監査し、セキュリティ・コントロールを実施し、及びそれが守られていることを検証し、リアルタイム・サイバー・セキュリティ・ユーザ・インターフェース／ダッシュボードに対するアクセスを与えるなど、日常的なアクティビティを管理することを可能にする。このようにして、（たとえば、ＣＩＳＯ、Ｃレベル・エグゼクティブ、セキュリティ・マネージャなどの）担当当事者は、全て単一のプラットフォームから、セキュリティ問題の部分的又は包括的なエンドツーエンドの理解を得、セキュリティに対する全体的なセキュリティ業務を管理し、リスクを緩和することが可能であり得る。

たとえば、幾つかの実装形態では、ＣＩＳＯなどの担当当事者は、企業セキュリティの完全な又は包括的な概観とは対照的に、企業についてのセキュリティ問題の一部分のみを閲覧することを選択し得る。この状況において、ＣＩＳＯは、セキュリティ業務チームがＣＩＳＯの指示を遵守していることを検証するために、特定のセキュリティ問題に関連する特定のユーザ・インターフェース又はダッシュボードを選択し得る。このようにして、ＣＩＳＯは、セキュリティ・ポリシーが十分に遵守されていないときなどに、介入のために問題分野を速やかに特定することが可能であり得る。

本明細書で説明する実装形態では、システムは、リアルタイムの様態でセキュリティ関係プロシージャを処理し、企業アクティビティを監視する。たとえば、新しい脅威が世界中のいずれかのロケーションで外部企業において（たとえば、グローバルなウイルス又はランサムウェア・プログラムのゼロデイ攻撃）、又は企業の内部で発生し、ＥＣＲＰシステム１３０によって、企業人員によって、又は侵入検知システム（ＩＤＳ：ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ｓｙｓｔｅｍ）若しくは任意の他の手段によって自動的に検出された場合、情報はプラットフォームに入力され得、プラットフォームは、リアルタイム又はほぼリアルタイムで脅威レベル及び資産リスク・エクスポージャを再計算することが可能である。

さらに、システムは、担当当事者がリアルタイム又はほぼリアルタイムで企業の資産に関連するリスク・エクスポージャ情報を閲覧することを可能にする、幾つかのＧＵＩを提供する。本明細書で説明するシステムは、処理／通信データ、電子メールなどのための会社ルール／プロシージャなどの企業に関連する入力、並びに企業が配置するＩＤＳ、侵入防止システム（ＩＰＳ：ｉｎｔｒｕｓｉｏｎ ｐｒｅｖｅｎｔｉｏｎ ｓｙｓｔｅｍ）、ファイアウォールなどのセキュリティのタイプに関する情報を受信する。プラットフォーム／システムは、次いで、受信されたデータに基づいて、企業の資産のリスク・エクスポージャを計算し、及び／又は予測し得る。

システムはまた、セキュリティ人員が、新しいネットワーク・セキュリティ・リソースを配置すること、既存のネットワーク・セキュリティ・リソースを再構成すること、並びに／又は新しいセキュリティ・コントロール及び／若しくはプロシージャを実施することによってなど、リスク管理が改善される必要がある分野のより完全なアイデアを得ることを可能にするために、規模、業種などの企業の特性を識別するプロファイリング機構を使用して、資産のリスク・エクスポージャを事業／活動の同じ一般領域における他社と比較し得る。一実装形態では、リスク・エクスポージャは、０〜１００パーセントにわたるパーセンテージ値として定義され得、０パーセントは無リスク又は極めて低いリスクに対応し、１００パーセントは非常に高いリスクに対応する。他の実装形態では、リスク・エクスポージャは、非常に低い、低い、中間、高い、非常に高いなどの相対語で定義され得る。本明細書で説明する実装形態では、システムは、ＧＵＩを介して、脅威を緩和するための勧告を与え、及び／又は自動的に、ネットワーク・セキュリティ設備を再配置し、新しいセキュリティ設備（たとえば、ファイアウォール）を配置し、適切な人員にアラート／通信を送り、全ての若しくは特定のユーザ・デバイス１１０から企業資産を隔離し、若しくはそれらへのアクセスをブロックするなど、脅威を緩和するための措置を自動的に開始し得る。幾つかの実装形態では、「非常に低い」若しくは「低い」と決定されたリスク・エクスポージャについては、勧告が生成されることもされないこともあり、及び／又は「高い」若しくは「非常に高い」と決定されたリスク・エクスポージャについては、緩和措置が自動的に開始され得る。

本明細書で説明する実装形態は、ＣＩＳＯ、Ｃレベル・エグゼクティブなどの担当当事者に、企業のネットワーク・リソースについてのサイバー関係の意思決定を行うための重要な業務上の知識を身に付けさせるために、技術ベース・ソリューション、及び論理ベース・ソリューションを提供する。本明細書で使用する用語「リソース」は、ハードウェア・デバイス／システム、ソフトウェア・デバイス／システム、ネットワーク資産、セキュリティ・デバイスなどを含むように解釈されるべきである。本明細書で説明するシステムはまた、企業の許容エクスポージャ・レベルに基づいてセキュリティを最適化しながら、日常のセキュリティ業務を管理するための強力な全企業規模ツールの効率向上をもたらす。

図１は、それの中に本明細書で説明するシステム及び方法が実装され得る、例示的な環境１００のブロック図である。環境１００は、ユーザ・デバイス１１０−１〜１１０−Ｎ、ネットワーク・デバイス１２０、企業サイバー・リソース・プランニング（ＥＣＲＰ）システム１３０、ＥＲＣＰシステム・エージェント１３２、ネットワーク１４０及び１５０並びに悪意のあるデバイス１６０−１〜１６０−Ｎを含み得る。ネットワーク１４０に関連付けられる／接続されているものとして示されている要素（たとえば、ユーザ・デバイス１１０−１〜１１０−Ｎ、ネットワーク・デバイス１２０及びＥＣＲＰシステム・エージェント１３２）は、企業のデバイス及び資産の一部分を表し得る。ネットワーク１４０に関連するものとして図１に示されたデバイスの番号は、簡略化のために与えられている。企業は、企業の資産の一部である数千のデバイスを含み得ることを理解されたい。用語「企業」及び「会社」は、以下の説明において互換的に使用される。

（個別にユーザ・デバイス１１０−ｘ又は１１０と呼ばれ、総称してユーザ・デバイス１１０と呼ばれる）ユーザ・デバイス１１０−１〜１１０−Ｎは、それぞれ、無線又はセルラー電話デバイス（たとえば、データ処理機能をもつ従来型の携帯電話）、スマート・フォン、無線電話を含むことができるパーソナル・デジタル・アシスタント（ＰＤＡ：ｐｅｒｓｏｎａｌ ｄｉｇｉｔａｌ ａｓｓｉｓｔａｎｔ）などのモバイル・デバイスを含み得る。ユーザ・デバイス１１０は、パーソナル・コンピュータ（ＰＣ：ｐｅｒｓｏｎａｌ ｃｏｍｐｕｔｅｒ）、ラップトップ、タブレット・コンピュータ、ノートブック、ネットブック、ウェアラブル・コンピュータ（たとえば、腕時計、眼鏡など）、ゲーム・プレイ・デバイス、音楽再生デバイス、テレビジョン、家庭用電気器具デバイス、住宅監視デバイス、カメラなど、任意のタイプのコンピュータ・デバイス又はシステムをも含み得る。ユーザ・デバイス１１０は、通信機能を含み得るセンサー、アクチュエータ、ホーム・オートメーション・デバイスなど、モノのインターネット（ＩｏＴ：Ｉｎｔｅｒｎｅｔ ｏｆ Ｔｈｉｎｇｓ）デバイス又は「スマート」デバイスをさらに含み得る。たとえば、ＩｏＴデバイスは、マシンツーマシン（Ｍ２Ｍ：ｍａｃｈｉｎｅ−ｔｏ−ｍａｃｈｉｎｅ）インターフェースを介して、他のデバイスと無線で通信するマシン・タイプ通信（ＭＴＣ：ｍａｃｈｉｎｅ ｔｙｐｅ ｃｏｍｍｕｎｉｃａｔｉｏｎ）デバイスを含み得る。

ユーザ・デバイス１１０は、会社電子メール・サーバ、プリンタ又はプリント・サーバ、ファイアウォール（ＦＷ：ｆｉｒｅｗａｌｌ）、ネットワーク・アクセス制御（ＮＡＣ：ｎｅｔｗｏｒｋ ａｃｃｅｓｓ ｃｏｎｔｒｏｌ）デバイス、侵入検出システム（ＩＤＳ）、侵入防止システム（ＩＰＳ）、ウェブ／電子メール・フィルタリング・デバイス、アンチウイルス・ソフトウェアを動作させるデバイス、契約情報、知的財産情報、内部通信、人的資源情報、財務情報、所有権戦略情報などの会社の機密情報を記憶するデータベースなど、他の会社デバイス／資産をも含み得る。

ユーザ・デバイス１１０は、事業、法人、教育機関などに関連する企業ローカル・エリア・ネットワーク（ＬＡＮ）又はワイド・エリア・ネットワーク（ＷＡＮ）であり得るネットワーク１４０など、ＬＡＮ又はＷＡＮの一部であり得る。ユーザ・デバイス１１０は、有線、無線、光接続又はこれらの技法の組合せなど、任意の従来の技法を介して、環境１００中のネットワーク１４０及び他のデバイス（たとえば、ネットワーク・デバイス１２０、ＥＣＲＰシステム１３０、ＥＣＲＰシステム・エージェント１３２、ネットワーク１５０など）に接続し得る。ユーザ・デバイス１１０及びユーザ・デバイス１１０に関連する者（たとえば、ユーザ・デバイス１１０を保持又は使用する当事者、ユーザ・デバイス１１０の所有者）は、以下の説明において、総称してユーザ・デバイス１１０と呼ばれることがある。

ネットワーク・デバイス１２０は、ネットワーク１５０などの外部ネットワークと通信するためにネットワーク１４０を介して接続されたデバイスのためのゲートウェイとして働く、ブロードバンド・ルータ又はゲートウェイ・デバイスに対応し得る。ネットワーク・デバイス１２０は、企業ネットワーク１４０への／からの通信のためのハブとして働き得る。たとえば、ネットワーク・デバイス１２０は、ネットワーク１４０及び／又は１５０を介してユーザ・デバイス１１０からの通信をそれらの適切な宛先にルーティングし、ネットワーク１４０及び／又は１５０からの通信を受信し、通信を適切なユーザ・デバイス１１０にルーティングするためのローカル・ルータとして働き得る。ネットワーク・デバイス１２０は、サイバー攻撃をブロックすることを試みるためのファイアウォール、侵入検知システム及び／又は侵入防止システムをも含み得る。

（本明細書でシステム１３０又はプラットフォーム１３０とも呼ばれる）ＥＣＲＰシステム１３０は、ネットワーク１４０及び／又はネットワーク１５０に関連する企業のために企業セキュリティを管理することに関連する１つ又は複数のコンピューティング・デバイスを含み得る。たとえば、ＥＣＲＰシステム１３０は、セキュリティ人員（たとえば、ＣＩＳＯ）が、企業セキュリティを管理し、企業が企業セキュリティに関する会社ポリシー及びプロシージャに従っているようにすることを可能にする、企業セキュリティ管理（ＥＳＭ：ｅｎｔｅｒｐｒｉｓｅ ｓｅｃｕｒｉｔｙ ｍａｎａｇｅｍｅｎｔ）プラットフォームに対応し得る。ＥＣＲＰシステム１３０は、セキュリティ人員が、単一のプラットフォームを介してリスクを容易に管理し、緩和することを可能にする、サイバー・リソース・プランニング機能をも含み得る。

たとえば、ＥＣＲＰシステム１３０は、以下で詳細に説明するように、セキュリティ人員が、リアルタイムで閲覧すべき企業の資産／システムの部分を（たとえば、粒度の細かいレベルで）選択し、レポートを実行し、日常のセキュリティ業務が実行されているかどうかを決定し、会社セキュリティ・ポリシー及び／又はセキュリティ・コントロールが守られているかどうかを決定することなどを可能にし得る。ＥＣＲＰシステム１３０は、管理人員（たとえば、ＣＩＳＯ）及び／又は様々なセキュリティ業務チームの間の協調のためのプラットフォームをさらに提供し得る。

ＥＣＲＰシステム１３０は、（たとえば、ネットワーク１５０及び／又は１４０を介して環境１００中の他のデバイスに接続された）「クラウド内に」常駐し、サービスとしてのソフトウェア（ＳａａＳ：Ｓｏｆｔｗａｒｅ ａｓ ａ Ｓｅｒｖｉｃｅ）モデルを介して、ネットワーク１４０に関連する企業、及び／又は他の企業に提供され得る。この実装形態では、ＥＣＲＰシステム・エージェント１３２は、以下でより詳細に説明するように、それを介して企業における人員が、リスク・エクスポージャ、脅威レベル、作業計画などを取得するためにＥＣＲＰシステム１３０と通信することができる、コンピュータ（たとえば、ラップトップ・コンピュータ、パーソナル・コンピュータ、モバイル・コンピューティング・デバイスなど）、ワークステーション、又は通信機能をもつ任意のデバイスを含む。

一実装形態では、ＥＣＲＰシステム１３０は、２つの主要な論理構成要素又は機能要素、すなわち、１）グラフィカル・ユーザ・インターフェース（ＧＵＩ）及びＧＵＩをサポートする全ての論理構成要素／モジュール、データベースなど、並びに２）ＥＣＲＰシステム・エージェント１３２など、企業ネットワーク１４０に結合されたエージェントを含む。ＥＣＲＰシステム・エージェント１３２は、アクティブ・ディレクトリ、セキュリティ・デバイス及びアプリケーション、チケッティング・システム（たとえば、問題に対処するためのトラブル・チケッティング・システム）、企業リソース・プランニング（ＥＲＰ：ｅｎｔｅｒｐｒｉｓｅ ｒｅｓｏｕｒｃｅ ｐｌａｎｎｉｎｇ）システム、セキュリティ走査デバイスなど、企業上のインフラストラクチャに接続するように構成される。ＥＣＲＰシステム・エージェント１３２はまた、ＥＣＲＰエンジン／モジュールに入力データを与えるために、企業ネットワーク上の要素のセキュリティ・ステータスを精査／監視することを目的とするシミュレータを管理し、実行し得る。

例示的な実装形態では、ＥＣＲＰシステム１３０によって実行されるそのようなシミュレーションは、たとえば、以下を含み得る。
１）メール攻撃シミュレーション − 悪意のある電子メールに対する防御
メール攻撃シミュレーションの目的は、企業の現在のソリューションが企業を保護しているかどうか及びどの程度保護しているかなど、企業の電子メール・セキュリティ仮定を試すことである。そのようなシミュレーションを実行することは、企業人員が保護されていると考えるものと比較して、実際に何が保護又は防御されているかを企業人員が識別することを可能にする。このシミュレーションでは、ＥＣＲＰシステム１３０は、既知の現実の攻撃をシミュレートする複数のタイプの電子メールを送ることによって、電子メール・セキュリティ・コントロール及び／又は企業電子メール・ポリシーをテストする。ＥＣＲＰシステム１３０は、様々なシナリオにおけるリスク・レベルを決定するために、たとえば、ユーザ・デバイス１１０のメール・ボックスにどの電子メールが到着するかを決定する。

２）ウェブ攻撃シミュレーション − 悪意のあるウェブサイトに対する防御
ウェブ攻撃シミュレーションの目的は、企業の現在のソリューションが企業を保護しているかどうか及びどの程度保護しているかなど、企業のブラウジング・セキュリティ仮定を試すことである。これは、企業人員が保護されていると考えるものと比較して、様々なシナリオにおけるリスクを識別することを含めて、実際に何が保護又は防御されているかを企業人員が識別することを可能にする。このシミュレーションでは、ＥＣＲＰシステム１３０は、ウェブから様々なタイプのファイルをダウンロードし、暗号化されたトラフィック、及び規格外トラフィック／ポートを用いて何が起こるかをチェックすることによってなど、悪意のあるウェブサイトへのアクセスをシミュレートすることによって、企業のブラウジング・セキュリティ・コントロール及び／又はポリシーをテストする。ＥＣＲＰシステム１３０は、様々なシナリオにおけるリスク・レベルを決定するために、どの攻撃が成功するかを決定する。

３）データ漏洩シミュレーション − データ漏洩に対する防御
データ漏洩シミュレーションの目的は、企業の現在のソリューションが企業を保護しているかどうか及びどの程度保護しているかなど、企業のデータ・セキュリティ仮定を試すことである。これは、企業人員が保護／防御されていると考えるものと比較して、データ漏洩に対するリスクを識別することを含めて、実際に何が保護又は防御されているかを企業人員が識別することを可能にする。

４）エンドポイント攻撃シミュレーション
エンドポイント攻撃シミュレーションの目的は、企業の現在のソリューション及びハードニング構成がエンドポイント及びネットワークを保護しているかどうか並びにどの程度保護しているかなど、企業のエンドポイント・セキュリティ仮定を試すことである。これは、企業人員が保護／防御されていると考えるものと比較して、リスクを識別することを含めて、実際に何が保護されているかを企業人員が識別することを可能にする。このシミュレーションでは、ＥＣＲＰシステム１３０は、ユーザのエンドポイント上に足がかりを得たハッカーによって実行され得る可能なラテラル・ムーブメントをシミュレートすることによって、設定されている企業のエンドポイント・セキュリティ・ハードニング並びにコントロール及びポリシーをテストする。ＥＣＲＰシステム１３０は、成功した攻撃に基づいて、様々なシナリオにおけるリスク・レベルを決定する。

５）アウェアネス・シミュレーション
アウェアネス・シミュレーションの目的は、企業の現在のアウェアネスの状態が、企業が仮定する通りであるかどうかなど、企業のユーザ・アウェアネス仮定を試すことである。このシミュレーションでは、ＥＣＲＰシステム１３０は、たとえば、仮定に基づいて、フィッシング電子メール・キャンペーンのセットを選定する。ＥＣＲＰシステム１３０はフィッシング・キャンペーンを実行し、結果を追跡する。

６）資産セグメント化シミュレーション
資産セグメント化シミュレーションの目的は、資産が、違反の可能性を低減する方法でセグメント化されているかどうかをテストすることである。このシミュレーションでは、ＥＣＲＰシステム１３０は、特定の企業資産を選定し、資産が、資産関係情報を取得するために幾つかのセキュリティ違反を必要とするのとは対照的に、単一の違反によって発見されやすいかどうかを決定する。

図１に戻ると、ネットワーク１５０は、データ、音声及び／又はビデオ信号を受信及び送信することが可能である１つ又は複数の有線、無線及び／又は光ネットワークを含み得る。たとえば、上記で説明したように、ネットワーク１５０は、ネットワーク１４０を介して接続されたユーザ・デバイス１１０にインターネット・アクセスを与えるインターネット・サービス・プロバイダ（ＩＳＰ：Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）に関連し得る。一実装形態では、ネットワーク１５０は、１つ又は複数の公衆交換電話網（ＰＳＴＮ：ｐｕｂｌｉｃ ｓｗｉｔｃｈｅｄ ｔｅｌｅｐｈｏｎｅ ｎｅｔｗｏｒｋ）又は他のタイプの交換ネットワークを含み得る。ネットワーク１５０は、１つ又は複数の無線ネットワークをも含み得、また、無線信号を受信し、無線信号を意図された宛先に向けて転送するための幾つかの送信タワーを含み得る。ネットワーク１５０は、１つ又は複数の衛星ネットワーク、インターネット・プロトコル（ＩＰ：Ｉｎｔｅｍｅｔ ｐｒｏｔｏｃｏｌ）ベース・ネットワーク、ＬＡＮ、ＷＡＮ、パーソナル・エリア・ネットワーク（ＰＡＮ：ｐｅｒｓｏｎａｌ ａｒｅａ ｎｅｔｗｏｒｋ）、ＷｉＦｉネットワーク、Ｂｌｕｅｔｏｏｔｈ（登録商標）ネットワーク、イントラネット、インターネット、又はデータを送信することが可能である別のタイプのネットワークなど、１つ又は複数のパケット交換ネットワークをさらに含み得る。ネットワーク１５０は、たとえば、データ、音声、及び／又はマルチメディア・サービスを提供するために、ユーザ・デバイス１１０に無線パケット交換サービスと無線インターネット・プロトコル（ＩＰ）接続とを提供する。

（個別に悪意のあるデバイス１６０−ｘ又は１６０と呼ばれ、総称して悪意のあるデバイス１６０と呼ばれる）悪意のあるデバイス１６０−１〜１６０−Ｎは、たとえば、ネットワーク１４０を介して、サイバー攻撃又は企業に関連する情報を不正に取得する試みに関与し得る、任意のタイプのデバイスを含み得る。たとえば、悪意のあるデバイス１６０は、それぞれ、無線又はセルラー電話デバイス（たとえば、データ処理機能をもつ従来型の携帯電話）、スマート・フォン、無線電話を含むことができるパーソナル・デジタル・アシスタント（ＰＤＡ）、パーソナル・コンピュータ（ＰＣ）、ラップトップ、タブレット・コンピュータ、ノートブック、ネットブック、ウェアラブル・コンピュータ（たとえば、腕時計、眼鏡など）、ゲーム・プレイ・デバイス、音楽再生デバイス、テレビジョン、家庭用電気器具デバイス、住宅監視デバイス、カメラ、通信機能を含み得るセンサー、アクチュエータ、ホーム・オートメーション・デバイスなどのモノのインターネット（ＩｏＴ）デバイス又は「スマート」デバイスなどの任意のタイプのコンピュータ・デバイス又はシステムなどのモバイル・デバイスを含み得る。さらに、幾つかの事例では、ユーザ・デバイス１１０のうちの１つ又は複数は、（たとえば、ボットネット攻撃において別のエンティティによって乗っ取られる、不満を抱く従業員に関連するなど）悪意のあるデバイスとして働き得る。

図１に示された例示的な構成は簡略化のために与えられる。一般的な環境は、図１に示されたよりも多い又は少ないデバイスを含み得ることを理解されたい。たとえば、上記で説明したように、環境１００は、多数の（数百又はそれを超える）ユーザ・デバイス１１０、ネットワーク・デバイス１２０、ＥＣＲＰシステム１３０、ＥＣＲＰシステム・エージェント１３２、ネットワーク１４０及び１５０並びに悪意のあるデバイス１６０を含み得る。さらに、環境１００は、ユーザ・デバイス１１０にデータ／通信をルーティングすることを支援するｅノードＢ、基地局、スイッチ、ゲートウェイ、ルータ、監視デバイスなど、追加の要素を含み得る。

環境１００中の特定の構成要素によって実行されるものとして、様々な機能について以下で説明する。他の実装形態では、１つのデバイスによって実行されるものとして説明されている様々な機能は別のデバイス若しくは複数の他のデバイスによって実行され得、及び／又は複数のデバイスによって実行されるものとして説明されている様々な機能は単一のデバイスによって組み合わせられ、実行され得る。さらに、ネットワーク１４０とネットワーク１５０とは別個のネットワークとして示されているが、他の実装形態では、これらのネットワーク又はこれらのネットワークの部分は単一のネットワーク中に含まれ得る。

図２は、ＥＣＲＰシステム１３０の例示的な構成を示す。ユーザ・デバイス１１０、ネットワーク・デバイス１２０、ＥＣＲＰシステム・エージェント１３２など、環境１００中の他のデバイスは同様の様態で構成され得る。図２を参照すると、ＥＣＲＰシステム１３０は、バス２１０と、プロセッサ２２０と、メモリ２３０と、入力デバイス２４０と、出力デバイス２５０と、通信インターフェース２６０とを含み得る。バス２１０は、システム１３０の要素間の通信を可能にする経路を含み得る。

プロセッサ２２０は、命令を解釈し、実行し得る１つ又は複数のプロセッサ、マイクロプロセッサ、又は処理論理を含み得る。メモリ２３０は、プロセッサ２２０による実行のための情報及び命令を記憶し得るランダム・アクセス・メモリ（ＲＡＭ：ｒａｎｄｏｍ ａｃｃｅｓｓ ｍｅｍｏｒｙ）又は別のタイプの動的記憶デバイスを含み得る。メモリ２３０は、プロセッサ２２０による使用のための静的情報及び命令を記憶し得る読取り専用メモリ（ＲＯＭ：ｒｅａｄ ｏｎｌｙ ｍｅｍｏｒｙ）デバイス又は別のタイプの静的記憶デバイスをも含み得る。メモリ２３０はソリッド・ステート・ドライブ（ＳＤＤ：ｓｏｌｉｄ ｓｔａｔｅ ｄｒｉｖｅ）をさらに含み得る。メモリ２３０は、磁気及び／又は光記録媒体（たとえば、ハード・ディスク）並びにそれの対応するドライブをも含み得る。

入力デバイス２４０は、キーボード、キーパッド、マウス、ペン、マイクロフォン、タッチ・スクリーン、音声認識及び／又はバイオメトリック機構など、ユーザが情報を入力することを可能にする機構を含み得る。入力デバイス２４０は、アンチウイルス・システム／プラットフォーム、ネットワーク・アクセス制御（ＮＡＣ）システム、脆弱性スキャナ、セキュリティ情報及びイベント管理（ＳＩＥＭ：Ｓｅｃｕｒｉｔｙ Ｉｎｆｏｒｍａｔｉｏｎ ａｎｄ Ｅｖｅｎｔ Ｍａｎａｇｅｍｅｎｔ）システムなど、他のセキュリティ・プラットフォームからの入力を可能にする機構をも含み得る。出力デバイス２５０は、ディスプレイ（たとえば、液晶ディスプレイ（ＬＣＤ：ｌｉｑｕｉｄ ｃｒｙｓｔａｌ ｄｉｓｐｌａｙ）、プリンタ、スピーカーなどを含む、ユーザに情報を出力する機構を含み得る。幾つかの実装形態では、タッチ・スクリーン・ディスプレイが入力デバイスと出力デバイスの両方として働き得る。

通信インターフェース２６０は、システム１３０（又は図１中の他の構成要素）が有線、無線又は光機構を介して他のデバイスと通信するために使用する１つ又は複数のトランシーバを含み得る。たとえば、通信インターフェース２６０は、ネットワーク１４０及び／又は１５０を介して無線周波数（ＲＦ：ｒａｄｉｏ ｆｒｅｑｕｅｎｃｙ）データを送信及び受信するための１つ又は複数のＲＦ送信機、受信機及び／又はトランシーバ並びに１つ又は複数のアンテナを含み得る。通信インターフェース２６０は、ネットワーク１４０又は別のネットワークなどのネットワーク中の要素（たとえば、ユーザ・デバイス１１０、ネットワーク・デバイス１２０、ＥＣＲＰシステム・エージェント１３２）と通信するためのモデム若しくはＬＡＮへのイーサネット（登録商標）・インターフェース又は他の機構をも含み得る。

図２に示された例示的な構成は簡略化のために与えられる。システム１３０は、図２に示されたよりも多いか又は少ないデバイスを含み得ることを理解されたい。例示的な実装形態では、システム１３０（又はＥＣＲＰシステム・エージェント１３２など、環境１００中の他のデバイス）は、メモリ２３０などのコンピュータ可読媒体中に含まれた命令のシーケンスを実行するプロセッサ２２０に応答して動作を実行する。コンピュータ可読媒体は物理又は論理メモリ・デバイスとして定義され得る。ソフトウェア命令は、通信インターフェース２６０を介して、別のコンピュータ可読媒体（たとえば、ハード・ディスク・ドライブ（ＨＤＤ：ｈａｒｄ ｄｉｓｋ ｄｒｉｖｅ）、ＳＳＤなど）から、又は別のデバイスから、メモリ２３０中に読み込まれ得る。代替的に、本明細書で説明する実装形態によるプロセスを実装するために、ハードワイヤード回路がソフトウェア命令の代わりに又はそれと組み合わせて使用され得る。したがって、本明細書で説明する実装形態はハードウェア回路とソフトウェアとの特定の組合せに限定されない。

図３は、ＥＣＲＰシステム１３０中に実装された論理構成要素又はモジュールの例示的な機能ブロック図である。例示的な実装形態では、図３に示された構成要素の全て又はそれらのうちの幾つかは、メモリ２３０中に記憶されたソフトウェア命令を実行するプロセッサ２２０によって実装され得る。

図３を参照すると、ＥＣＲＰシステム１３０は、ユーザ・インターフェース／ダッシュボード論理３１０と、セキュリティ・ポリシー及びプロシージャ論理３２０と、サイバー・リスク管理及び戦略プランニング論理３３０と、監査及びセキュリティ・コントロール論理３４０と、セキュリティ業務論理３５０と、ガバナンス、規制及びコンプライアンス（ＧＲＣ：ｇｏｖｅｒｎａｎｃｅ，ｒｅｇｕｌａｔｉｏｎｓ ａｎｄ ｃｏｍｐｌｉａｎｃｅ）論理、障害回復（ＤＲ：ｄｉｓａｓｔｅｒ ｒｅｃｏｖｅｒｙ）／事業継続性プランニング（ＢＣＰ：ｂｕｓｉｎｅｓｓ ｃｏｎｔｉｎｕｉｔｙ ｐｌａｎｎｉｎｇ）論理及び従業員アウェアネス論理３６０と、知識ベース及び報告論理３７０と、機械学習及びプロファイリング論理３８０と、通信論理３９０とを含む。代替実装形態では、これらの構成要素又はこれらの構成要素の一部分はＥＣＲＰシステム１３０に対して外部に位置し得る。

ユーザ・インターフェース論理３１０は、ユーザ（たとえば、ＣＩＳＯ、ネットワーク・セキュリティ・マネージャ、事業主など）が、企業のセキュリティ・ポリシー、規制及びプライバシー法のコンプライアンスを決定するために企業のセキュリティの様々な態様を閲覧することを可能にするための論理を含み得る。たとえば、ＣＩＳＯは、企業資産のセキュリティ／保護に関連するポリシーが適切に守られているかどうかに関する情報を閲覧すること、企業のセキュリティ予算に関する予算情報（たとえば、監査が定時に割り当てられた予算内で実行されているかどうか）を閲覧すること、企業セキュリティ・コンプライアンスに関連するデータ／知識ベースを閲覧し、現在又は過去のサイバー脅威のステータスと、サイバー脅威の処理に関する企業ポリシーが企業のポリシーに従って実行されたかどうかとを閲覧することなどを望むことがある。ユーザ・インターフェース論理３１０はまた、ＣＩＳＯが、ファイアウォール、ネットワーク・アクセス制御デバイス、アンチウイルス・ソフトウェア、侵入検知システムなど、企業における様々なセキュリティ・システム／デバイス、又は会社の企業ネットワーク中の資産のいずれかに関する検索クエリを入力し、担当セキュリティ人員／チームが、リスクを緩和するための会社ポリシー／プロシージャに従って彼らのタスク／機能を実行しているかどうかを識別することを可能にし得る。

幾つかの実装形態では、ユーザ・インターフェース論理３１０はまた、適切なセキュリティ業務チームが、セキュリティ業務チームによって実行された特定のタスク／機能に関する情報を入力することを可能にする。たとえば、あるセキュリティ業務チームが、ユーザ・デバイス１１０のためのソフトウェアのマンスリー・アップグレードを実行した（たとえば、アンチウイルス・ソフトウェアをアップグレードした）場合、その特定のセキュリティ業務チームは、ユーザ・インターフェース論理３１０にアクセスし、その情報をシステム１３０に入力し得る。別の実例として、別のセキュリティ業務チームが、ネットワーク資産へのアクセスを制限するためにそのネットワーク資産のそれのセグメント化を完了した場合、セキュリティ業務チームはユーザ・インターフェース論理３１０を介してその情報を入力し得る。このようにして、ＥＣＲＰシステム１３０は、セキュリティ業務チームとセキュリティ・マネージャ（たとえば、ＣＩＳＯ）との間の協調を可能にし得る。すなわち、ユーザ・インターフェース論理３１０を介して情報が入力されると、ＣＩＳＯは、様々なセキュリティ・チームによって実行されたタスク／機能を認識し得る。他の実装形態では、図３に示されたユーザ・インターフェース論理３１０及び他の論理／モジュールは、（図３に示されていない）他のデバイス／システムから、企業に関連する様々なセキュリティ業務チームによって実行されたセキュリティ・タスク／アクティビティに関する情報を取得し、情報を処理し、情報をＣＩＳＯ又は他の管理人員に利用可能にし得る。

実例として、特定のネットワーク資産を保護するためにファイアウォールの使用を要求し、権限を有する人員がデータにアクセスすることのみを可能にするように、企業内の特定のタイプのデータをセグメント化することを要求する、特定のセキュリティ規格（たとえば、ＰＣＩ規格）に企業が従っていると仮定する。この場合、ＣＩＳＯは、企業が適切な企業セキュリティ規格を遵守しているようにするために、ファイアウォール及びネットワーク・セグメント化コンプライアンスに関する情報を検索し得る。そのような場合、ＣＩＳＯは、ファイアウォール及び／又はネットワーク・セグメント化に関連するユーザ・インターフェース／ダッシュボード論理３１０によって与えられるグラフィカル・ユーザ・インターフェース（ＧＵＩ）又はダッシュボードを使用し、企業が特定のセキュリティ・ポリシー／規格を遵守しているかどうかに関する情報を取得し得る。

例示的な一実装形態では、ユーザ・インターフェース／ダッシュボード論理３１０は、担当当事者が企業の資産に関連するリスク・エクスポージャ情報を閲覧することを可能にするグラフィカル・ユーザ・インターフェース（ＧＵＩ）を与え得る。たとえば、図４Ａは、ユーザ・インターフェース／ダッシュボード論理３１０によって生成された例示的なＧＵＩ／ダッシュボード４００を示す。図４Ａを参照すると、ＧＵＩ４００は、企業（たとえば、この例ではＡｃｍｅ Ｃｏｒｐ． Ｌｔｄ）の高レベル・エグゼクティブによって閲覧されることが意図された「エグゼクティブ・ダッシュボード」である。ＧＵＩ４００は、ユーザが、ダッシュボード・ビューと、作業計画ビューと、資産ビューと、脅威ビューと、コンプライアンス・ビューと、リスク管理ビューと、違反ビューと、セキュリティ・コントロール・ビューと、セキュリティ・レイヤ・ビューと、アウェアネス・ビュー、ポリシー及びプロシージャ・ビューと、同僚勧誘ビューと、ＣＩＳＯ ｅストア・ビューとを選択することを可能にする選択エリア４１０を含む。ユーザ・インターフェース論理３１０によって与えられる他のＧＵＩでは、選択エリア４１０は追加の及び／又は異なる選択を含み得る。この実例では、ダッシュボード・ビューが選択されている。

ダッシュボード・ビューは、ユーザが、投資対エクスポージャ・ビューと、資産リスク・エクスポージャ・ビューと、同業他社との比較ビューとを選択することを可能にするタブ・エリア４２０を含む。ＧＵＩ４００では、同業他社との比較ビューが選択されている。ＧＵＩ４００のエリア４３０は、最高スコア及び同業他社のスコアについて、資産エクスポージャ、アウェアネス、防御レイヤ、ポリシー及びプロシージャ、規制及びプライバシー・コンプライアンス、セキュリティ及び業務並びに脅威など、様々なリスクのグラフィカル表現を含む。エリア４４０は、表形式のエリア４３０と同様の情報を含む。エリア４３０及び４４０中に表示されている情報は、以下で説明するように、図３に示された他の論理によって実行される動作とともにユーザ・インターフェース／ダッシュボード論理３１０によって生成される。

図４Ａを参照すると、Ａｃｍｅ Ｃｏｒｐ．の資産エクスポージャ・スコアは、７６パーセントの産業スコアと比較して、４２パーセントである。上記で説明したように、０パーセントのスコアは脅威なし／ほとんどなしを示し得、１００パーセントのスコアは最も高い脅威レベルを示し得る。脅威、規制及びプライバシー・コンプライアンス、従業員のアウェアネス、防御レイヤ、セキュリティ業務、ポリシー及びプロシージャのスコアは、それぞれ、６２、３３、２４、２７、２１及び７５であり、それぞれ、８３、１６、５０、４９、５１及び４６である同業他社の値（たとえば、平均値）とともに示されている。資産のエクスポージャ対同業他社／平均を示すグラフィカルと表の両方を与えることは、資産エクスポージャなどの様々な分野に関して、企業が不十分であり得るところをセキュリティ人員が速やかに決定することを可能にする。たとえば、図４Ａでは、ポリシー及びプロシージャについての企業のスコアは、産業スコアの４６よりもかなり高い７５である。このことは、企業が、そのカテゴリーについての企業の脅威レベルを低減するためのアクションを起こす必要があることを意味し得る。

ＥＣＲＰシステム１３０は、たとえば、同様のタイプの事業を識別することに関連するプロファイリング論理／機構を使用して、複数のソースから同じ／類似のタイプの事業における他社についての資産エクスポージャ情報を取得し得る。たとえば、ＥＣＲＰシステム１３０は、特定の企業／システム・オーナーによって実施された数千の監査及び浸入テストからのデータを集約することによって、セキュリティ・インシデント、配置などに関する情報／データを収集し、比較する第三者を介して、他社からの情報を取得し得る。ＥＣＲＰシステム１３０はまた、企業におけるＥＣＲＰシステム１３０の各配置から他社情報を取得し得る。この場合、ＥＣＲＰシステム１３０を使用／配置している企業は、この様態で企業のデータのいずれかが使用されるより前に、ＥＣＲＰシステム１３０が同業他社資産リスク及び脅威情報を生成する目的のために、ＥＣＲＰシステム１３０との集約された未認識／匿名データの共有の承認を与えることを要求される。

図４Ｂは、ユーザ・インターフェース／ダッシュボード論理３１０によって生成された別の例示的なＧＵＩを示す。図４Ｂを参照すると、ＧＵＩ４５０は、投資対エクスポージャ・エリア４６０と、資産エクスポージャ・エリア４６２と、セキュリティの状態対他社エリア４６４と、脅威エリア４６６と、コンプライアンス・ステータス・エリア４６８とを含む。年次投資対エクスポージャ・エリア４６０は、支出を増加させることが、どのようにエクスポージャを低減することができるかをグラフィカルに示す。資産エクスポージャ・エリア４６２は、顧客のデータ、内部人的資源（ＨＲ：ｈｕｍａｎ ｒｅｓｏｕｒｃｅｓ）データ、財務データ、実施予定のキャンペーン、生産公式、企業リソース・プランニング（ＥＲＰ）データセンター及びオフィス３６５などの様々な資産タイプについてのパーセンテージ・リスク・エクスポージャを示す棒グラフを与える。エリア４６４は、企業リスク・エクスポージャ及び平均産業リスク・エクスポージャのグラフィカル表現を与える。エリア４６６は、ランサムウェア、フィッシング、インサイダー脅威、データ漏洩、サービス妨害、ワーム、及びウェブサイト改ざんなどの様々なタイプの脅威、並びにそれらの発生する確率を示す。コンプライアンス・エリア４６８は、ＩＳＯ２７００１、ＧＤＰＲ、ＳＯＸ（セキュリティ）、ＰＣＩ−ＤＳＳ及びＮＩＳＴなど、様々な規格のパーセント・コンプライアンスを示す。

ＧＵＩ４００及び／又は４５０を閲覧することによって、企業に関連する担当当事者は、複数の異なるシステムへのアクセスを要求すること及び／又は企業セキュリティの特定の態様を担当する人々を呼び出すことなしに、効率的な方法で、脅威レベル、エクスポージャ・レベルなどを速やかに確認することができる。さらに、システム１３０によって与えられるＧＵＩはまた、有利には、企業セキュリティを担当する当事者が、必要とされる情報を取得するために異なる当事者に接触するのにかなりの時間を費やす必要なしに、企業セキュリティに対する任意の必要な変更を行うことを可能にする。

セキュリティ・ポリシー及びプロシージャ論理３２０は、企業のためのセキュリティ業務／プロシージャに関連する論理を含み得る。たとえば、サイバー・リスク管理並びにセキュリティ・ポリシー及びプロシージャ論理３２０は、特定のユーザ・デバイス１１０が、会社機密情報／データベースにアクセスすること、外部ネットワークにアクセスすることなどを許可されているかどうかなど、ポリシー情報を記憶し得る。セキュリティ・ポリシー及びプロシージャ論理３２０はまた、ユーザが、電子メールに添付されたファイルをダウンロードし、実行すること、企業の外部に位置するウェブサイトからダウンロードされたファイルを実行すること、社外の個人からの未承諾の通信を受信することなどを許可されているかどうかなど、企業ネットワーク中のユーザ行動に関するポリシー情報を記憶し得る。セキュリティ・ポリシー及びプロシージャ論理３２０はまた、企業が遵守する特定の産業セキュリティ規格を識別する情報を記憶し得る。セキュリティ・ポリシー及びプロシージャ論理３２０は、企業／会社のための企業プロシージャが遵守されているかどうかを決定するために、図３に示された他の論理又はモジュールによって使用され得る。たとえば、サイバー・リスク管理及び戦略プランニング論理３３０並びに／又は機械学習及びプロファイリング論理３８０は、当該の情報を表示するためのユーザ・インターフェース論理／ダッシュボード論理３１０（たとえば、ＧＵＩ４００、ＧＵＩ４５０など）によって使用される資産リスク・エクスポージャ及び脅威エクスポージャ措置を生成するために、セキュリティ・ポリシー及びプロシージャ論理３２０中に記憶された情報を使用し得る。

（本明細書において、サイバー・リスク管理論理３３０及び／又は戦略プランニング論理３３０とも呼ばれる）サイバー・リスク管理及び戦略プランニング論理３３０は、サイバー攻撃を緩和すること、特定のセキュリティ規格に従うことなどを含む、リスクを計算し、セキュリティを管理することに関する企業の戦略を識別するための論理を含み得る。サイバー・リスク管理及び戦略プランニング論理３３０中に記憶された情報は、企業の戦略的セキュリティ計画が遵守されているかどうかを決定するために、ＣＩＳＯ又は他の上級経営陣によって使用され得る。たとえば、サイバー・リスク管理及び戦略プランニング論理３３０並びに／又は監査及びセキュリティ・コントロール論理３４０は、企業が最新のアンチウイルス・ソフトウェアをインストールしているかどうか、適正な場所にファイアウォールを設置しているかどうかなどを決定するために、サイバー・リスク管理及び戦略プランニング論理３３０中に記憶された情報を使用し得る。別の実例として、サイバー・リスク管理及び戦略プランニング論理３３０は、特定のユーザ・デバイス１１０又は全体的なネットワーク・セキュリティに対するアップグレードが、セキュリティ・ポリシー及びプロシージャ論理３２０中に記憶された情報に従って定期的に実行されたかどうかを識別し得る。

例示的な実装形態では、サイバー・リスク管理及び戦略プランニング論理３３０は、企業が、企業のサイバー作業計画とセキュリティ投資とを所望の重要事業資産のリスク・エクスポージャに整合させること、企業のリスク・エクスポージャを同業他社及び競合者と比較すること、企業全体の脅威レベルを評価すること、継続的なリアルタイムのサイバー・セキュリティ・リスク・ステータスを閲覧すること、行動方針（たとえば、作業計画、緩和措置、予算）を提言し、優先順位を付けること、コンプライアンス・アクティビティ及び規制コントロールを統制すること、インシデント・フォローアップ、アウェアネス・プログラム、セキュリティ・コントロール、ポリシー及びプロシージャを含む日常のＣＩＳＯのタスク及び職責を管理することなどを可能にするために、機械学習及びプロファイリング論理３８０とインターフェースし得る。

監査及びセキュリティ・コントロール論理３４０は、企業のセキュリティ・ポリシーが適切に執行され、検証されているかどうかを識別すること、並びに脆弱度及び資産のエクスポージャを検出するためのセキュリティ調査、監査及び浸入テストを管理することのための論理を含み得る。そのような監査及び調査は、発見及び勧告を報告する目的のためにＥＣＲＰシステム１３０に対するアクセスを与えられる第三者によって実施され得る。たとえば、監査及びセキュリティ・コントロール論理３４０は、サイバー攻撃への企業の対応が、サイバー・リスク管理及び戦略プランニング論理３３０中に記憶された企業の戦略ポリシーに従って処理されたかどうかを決定し得る。監査及びセキュリティ・コントロール論理３４０はまた、特定のセキュリティ業務チームが、企業ポリシーに従って及び／又はセキュリティ規格（たとえば、ＩＳＯ２７００１、ＰＣＩ、ＮＩＳＴ、ＧＤＰＲなど）に従って、十分なセキュリティ（たとえば、ファイアウォール、ＩＤＳなど）をもたらしたかどうかを示す情報を与え得る。監査及びセキュリティ・コントロール論理３４０は、ソフトウェア・アップグレード又はパッチが、企業ポリシーに従って周期的に（たとえば、３０日ごとに）インストールされたかどうか、従業員セキュリティ・アウェアネス・プログラムが企業ポリシーに従って運営されているかどうかなどをさらに決定し得る。

セキュリティ業務論理３５０は、企業に関するセキュリティ業務情報を記憶し、企業のセキュリティ業務人員が企業のセキュリティ業務ポリシーを遵守しているかどうかを決定し得る。たとえば、セキュリティ業務論理３５０は、潜在的に悪意のあるデバイス１６０及び（たとえば、ユーザ・デバイス１１０からの）内部のサイバー脅威が、会社秘密／機密情報を取得できないようにするために、適切なセキュリティ業務チーム／人員が様々なセキュリティ・デバイス、ユーザ・デバイス１１０などに対するアップグレードなどのルーチン・タスクを適切に実行しているかどうかを決定し得る。セキュリティ業務論理３５０はまた、ＣＩＳＯ又は他のネットワーク・セキュリティ人員が各セキュリティ・チームの企業セキュリティ・ポリシーの業務上のコンプライアンスを検討することを可能にするための情報をログ記録し得る。

企業ガバナンス、規制、管理及びコンプライアンス（ＧＲＣ）、障害回復及び事業継続性プランニング（ＤＲ／ＢＣＰ）、並びに従業員アウェアネス論理３６０は、企業資産の脅威及びエクスポージャを識別すること、並びに企業人員が単一のプラットフォーム／システムからリスクを管理及び緩和することを可能にすることに関連する論理を含み得る。たとえば、ＧＲＣ論理３６０は、企業のリスク・コンプライアンス・ポリシーが遵守されているかどうかを決定するための論理を含み得る。実例として、ＧＲＣ論理３６０は、新たに特定されたマルウェアを緩和するために、様々なユーザ・デバイス１１０にソフトウェア及び／又はハードウェア・アップグレードが定期的にインストールされているかどうかを決定し得る。さらに、ＤＲ／ＢＣＰ論理３６０は、バックアップ電子メール・サーバが動作可能であり、定期的にテストされているかどうかなど、企業の障害回復及び事業継続性プランニング・ポリシーが設定及び遵守されているかどうかを決定し得る。

知識ベース及び報告論理３７０は、企業セキュリティを管理することに関する会社の専門知識を記憶する論理を含み得る。知識ベース論理３７０は、作業計画とレポートとを生成するために機械学習論理及びプロファイリング論理３８０とインターフェースし得る。たとえば、知識ベース及び報告論理３７０は、ＣＩＳＯ又は他の人員がカスタマイズされたレポートを生成することを可能にすることを含む、様々なレポートを生成し、記憶するための論理を含み得る。たとえば、報告論理３７０は、（たとえば、毎日、毎週、毎月など）周期的にセキュリティ・データベースに記憶された情報にアクセスし、セキュリティ・レポートを自動的に生成し得る。報告論理３７０はまた、ユーザ（たとえば、ＣＩＳＯ）が企業の特定のセキュリティ・コンプライアンス問題を識別するレポートをカスタマイズすることを可能にし得る。

機械学習論理及びプロファイリング論理３８０は、入力、ルール（たとえば、セキュリティ・ポリシー及びプロシージャ論理３２０と、サイバー・リスク管理及び戦略プランニング論理３３０と、知識ベース及び報告論理３７０とに記憶されたルール）を分析し、たとえば、企業の資産についての資産リスク・エクスポージャ・レベル及び特定の脅威についての脅威エクスポージャ・レベルを特定するリスク予測情報を生成するためのベイズ統計及び／又はモデルなどの機械学習アルゴリズムを含み得る。機械学習論理及びプロファイリング論理３８０はまた、以下で詳細に説明するように、資産のリスク・エクスポージャと、脅威エクスポージャと、規制及びプライバシー法コンプライアンスとを計算又は予測し、サイバー脅威を低減するための作業計画を生成するために、図３に示された他の論理からの入力、並びにユーザ・インターフェース／ダッシュボード論理３１０を介して入力された人間の人員からの入力など、受信された入力に基づいてリスク及び資産エクスポージャ・レベルを緩和することに関連する作業計画を生成し得る。機械学習及びプロファイリング論理３８０はまた、産業、規模、従業員の数、セキュリティ・エクスポージャなど、共通の属性をもつ企業のプロファイルのクラスタ又はグループを用いて企業をプロファイリングし得る。

通信論理３９０は、環境１００中の他のデバイスに／から情報を送信及び受信するための論理を含み得る。たとえば、通信論理３９０は、複数のソース（たとえば、図３に示されていないセキュリティ管理チーム／システム）からデータを収集し、適切なセキュリティ人員によるそれの使用を促進する様態でデータを処理し、提示するために、図３に示された論理要素３１０〜３８０に情報を与え得る。

通信論理３９０はまた、企業人員に／からセキュリティ・アラートを送信及び受信し得る。たとえば、通信論理３９０は、新しいサイバー脅威発生に応答して全てのユーザ・デバイス１１０／企業人員にセキュリティ・アラートを送信し得る。通信論理３９０はまた、特定の脅威レベル又は資産エクスポージャ・レベルに応答して企業マネージャにセキュリティ・アラートを送信し得る。

図３はシステム１３０の例示的な構成要素を示すが、他の実装形態では、システム１３０は、図３に示されているよりも少ない構成要素、異なる構成要素、異なって配列された構成要素、又は追加の構成要素を含み得る。さらに、図３中の構成要素のうちの１つによって実行されるものとして説明された機能は、システム１３０の構成要素のうちの別の１つ又は複数によって代替的に実行され得る。

図５は、一実装形態による、システム１３０によって実行される例示的な処理を示す流れ図である。処理は、１つ又は複数のセキュリティ・ポリシーを生成し、記憶することで開始し得る（ブロック５１０）。たとえば、セキュリティ人員は、企業内でセキュリティ・ポリシーを検討するためにセキュリティ・ポリシー及びプロシージャ論理３２０を使用し得る。そのようなセキュリティ・ポリシーは、通信のタイプ、通信に関連するデータの量、アクセス・レベル情報などを定義するテンプレートを与え得る。ＣＩＳＯ又は他の担当セキュリティ人員は、企業の資産及びネットワークのための特定のセキュリティ・ポリシー及びプロシージャを生成するために、これらのテンプレートを使用し得る。他の実装形態では、セキュリティ・ポリシー及びプロシージャ論理３２０は、（図３に示されていない）他のシステム／デバイスから、特定のセキュリティ規格（たとえば、ＩＳＯ２７００１、ＰＣＩ、ＮＩＳＴ、ＧＤＰＲ）に関連するポリシー、企業セキュリティ・チームなどによって使用される様々な資産／システムに関連するポリシーなど、セキュリティ・ポリシー及びセキュリティ・コントロールを取得し、セキュリティ・ポリシーを記憶し得る。

処理は、続いてセキュリティ・プロシージャを生成し、記憶することを行い得る（ブロック５２０）。たとえば、セキュリティ人員は、サイバー・リスク管理及び戦略プランニング論理３３０並びに／又はルーチン・セキュリティ監査業務がどのように実行されるべきであるかから、サイバー脅威への対応がどのように処理されるべきであるかまでにわたる、企業セキュリティ・プロシージャを記憶するためにサイバー・リスク管理及び戦略プランニング論理３３０を使用することができる。一実装形態では、ポリシー及びプロシージャ論理３２０は、企業プロシージャを設定することに関連するＧＵＩを介してＣＩＳＯ又は他のセキュリティ人員によって与えられる情報に基づいて、セキュリティ・プロシージャのためのテンプレートを自動的に生成し得る。他の実装形態では、セキュリティ・ポリシー及びプロシージャ論理３２０は、（図３に示されていない）他のシステム／デバイスから企業のセキュリティ・ポリシーに関連するセキュリティ・プロシージャを取得し、セキュリティ・プロシージャを記憶し得る。

システム１３０は様々な脅威を識別し得る（ブロック５３０）。たとえば、企業に直面する数百の潜在的なサイバー脅威があり得る。例示的な実装形態では、企業に関連する人員は、一定数の最も危険な及び／又は起こりやすい脅威を特定し得る。たとえば、セキュリティ人員は、１０から２０までのいずれかで最も危険な及び／又は起こりやすい脅威を特定し得る。各脅威シナリオは、次いで、企業資産の機密性、完全性及び可用性に対するそれの「悪」影響に関する０〜１００（又は１〜５）のスケールで測定され得、０のスコアは全く／ほとんど影響なしに対応し、１００のスコアは最大の影響に対応する。実例として、ランサムウェア攻撃は、成功した場合、企業自体の資産への企業のアクセスをブロックし得るので、ランサムウェア攻撃は、機密性に関して０のスコアを、完全性に関して０のスコアを、可用性に関して１００のスコアを有し得る。

さらに、脅威が発生するためには、脅威は、一般に、幾つかのステップ（たとえば、Ｓ１〜Ｓｎ、ここでｎはステップの数を表す）を踏んで発生する。一般に、脅威の悪影響は、完全な影響を生じるある点に到達するまで脅威の進行を通じて高められる。影響が完全になると、システム１３０は損害を決定し、回復措置を特定する。たとえば、一実装形態では、攻撃の各ステップＳ１〜Ｓｎについて、システム１３０は、幾つかの防止アクティビティＰ（Ｓ１）_１…Ｐ（Ｓ１）_ｘ、Ｐ（Ｓ２）_１…Ｐ（Ｓ２）_ｙ…、Ｐ（Ｓｎ）_１…Ｐ（Ｓｎ）_ｚを特定し、ここでｘ、ｙ及びｚは、各それぞれのステップについての防止アクティビティの数を表し、並びにｘ、ｙ及びｚは、特定の防止ステップに応じて、同じ数又は異なる数であることができる。各防止アクティビティは、攻撃の対応するステップに影響を与え、及び／又はそれの発生を防ぎ得る。そのような事例では、防止アクティビティは機密性、完全性及び／又は可用性スコアを低下させる。

さらに、Ｐ（Ｓ１）_１からＰ（Ｓ１）_ｎまでの各防止アクティビティについて、システム１３０は、防止アクティビティのそれらの値／影響を決定するために使用されるコントロールに関連する、質問に対する応答又は測定を与える、質問又はチェック／コントロールＱ（Ｃ１）…Ｑ（Ｃｎ）のリストを記憶し得る。

例示的な実装形態では、システム１３０は、各資産を、以下のタイプ、すなわち、データ、インフラストラクチャ又はアプリケーションのうちの１つとして定義する。システム１３０はまた、各資産に、機密性、完全性及び可用性に関する「重大度」のレベルを割り当て得る。たとえば、システム１３０は、人的資源（ＨＲ）データに、機密性について高いレベルの重大度（たとえば、１〜５のスケールで５）を、可用性に関して重大でないレベル（たとえば、１〜５のスケールで１）を、完全性に関して大いに重要なレベルの重大度（たとえば、１〜５のスケールで４）を割り当て得る。

サイバー・リスク管理及び戦略プランニング論理３３０は、このようにして選択された脅威（たとえば、１０〜２０の特定された脅威）の各々を処理し、各脅威についてスコアを生成し得る（ブロック５３０）。サイバー・リスク管理及び戦略プランニング論理３３０はまた、企業によって実施された防止アクティビティに基づいて、機密性、完全性及び可用性についてのスコアを低減し得る。たとえば、電子メール攻撃についての初期脅威スコアは、（そのような脅威が発生する可能性が非常に高いことを示す）９５のスコアを与えられ得る。企業が、電子メールを介して受信されたファイルをダウンロードし、実行することを禁止する、厳格な電子メール・ポリシーを採用した場合、サイバー・リスク管理及び戦略プランニング論理３３０は、スコアを、たとえば、３５に低減し得る。

実例として、ある脅威又は攻撃シナリオは、それの中で悪意のある者が会社機密情報を取得することを試みる電子メール攻撃であり得る。この実例では、サイバー・リスク管理及び戦略プランニング論理３３０は、図６Ａに示されているように、電子メール攻撃に関連するステップを特定し得る。図６Ａを参照すると、表６００、列６１０において８つのステップが特定されている。サイバー・リスク管理及び戦略プランニング論理３３０は、様々な実装形態におけるサブステップを含む、より多い又はより少ないステップを特定し得ることを理解されたい。ステップ１（Ｓ１）は、添付ファイルをもつ電子メールを受信するユーザ・デバイス１１０のうちの１つを含み得、ステップ２は、ビジュアル・ベーシック（ＶＢ：ｖｉｓｕａｌ ｂａｓｉｃ）スクリプトを実行するユーザ・デバイス１１０を含み得る。ステップ３は、Ｍｉｍｉｋａｔｚなどの悪意のあるプログラムをダウンロードし、実行するユーザ・デバイス１１０を含み得る。ステップ４では、悪意のあるプログラム（たとえば、この例ではＭｉｍｉｋａｔｚ）がローカル管理者パスワードを収集する。ステップ５は、Ｍｉｍｉｋａｔｚが、ローカル管理者パスワードをもつウィンドウズ（登録商標）・マネジメント・インフラストラクチャ（ＷＭＩ：Ｗｉｎｄｏｗｓ（登録商標） Ｍａｎａｇｅｍｅｎｔ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）を用いて企業のネットワークを走査し、アクセス可能なデバイス（たとえば、ユーザ・デバイス１１０のうちの１つ）上でＭｉｍｉｋａｔｚを実行することを含む。ステップ６では、Ｍｉｍｉｋａｔｚがドメイン管理者認証情報を取得し、ステップ７は、ドメイン・ネーム・サーバ（ＤＮＳ：ｄｏｍａｉｎ ｎａｍｅ ｓｅｒｖｅｒ）トンネリングによるコマンド・アンド・コントロール（Ｃ＆Ｃ：ｃｏｍｍａｎｄ ａｎｄ ｃｏｎｔｒｏｌ）サーバを介したデータの漏洩を含む。ステップ８は、ローカル・サーバ上に高度持続的脅威（ＡＰＴ：ａｄｖａｎｃｅｄ ｐｅｒｓｉｓｔｅｎｔ ｔｈｒｅａｔ）ウェブシェルを作成することを含む。図６Ａを参照すると、ステップの各々は、列６２０に示された対応するエクスポージャ・レベルを含み得る。システム１３０は、各ステップが発生する可能性に基づいてエクスポージャ・レベルを生成し得る。たとえば、企業は外部エンティティ／クライアントとインターフェースし得、したがって、図６Ａに示されているように、ステップ１の可能性は１００％になり得る。したがって、電子メール攻撃シナリオ中の各ステップの可能性は特定の企業に基づく。

サイバー・リスク管理及び戦略プランニング論理３３０はまた、図６Ｂに示されているように、電子メール攻撃に関連する緩和関係問題を特定し得る（ブロック５４０）。図６Ｂを参照すると、サイバー・リスク管理及び戦略プランニング論理３３０は、表６４０、列６４２中に緩和関係問題を記憶し得る。たとえば、ステップ１に関して、列６４２はセキュリティ・アウェアネスを示す。セキュリティ・アウェアネスは、企業がセキュリティ・アウェアネス行動又は措置を定期的に議論し、及び／又は促進しているかどうかを指し得る。Ｓ２に関して、列６４２は、実行／マクロ・ファイルをブロックするためのウェブの厳格な電子メール・ポリシーを示す。Ｓ３に関して、列６４２は、実行ファイルのダウンロードをブロックするためのウェブ・ポリシーを示す。Ｓ４に関して、列６４２は、パワーシェルの実行を拒否するための厳格なエンドポイント・ハードニングを示す。Ｓ５に関して、列６４２は、ラテラル・ムーブメントをブロックするように構成された内部ファイアウォール（ＦＷ）及び／又はホスト侵入防止システム（ＨＩＰＳ：ｈｏｓｔ ｉｎｔｒｕｓｉｏｎ ｐｒｅｖｅｎｔｉｏｎ ｓｙｓｔｅｍ）を有することを示す。Ｓ６に関して、列６４２は、厳格にセキュリティ保護されたジャンプ・サーバ上でのみドメイン管理者認証情報の使用を可能にすることを示す。Ｓ７に関して、列６４２は、境界ＦＷに、アプリケーション・レベルでＤＮＳトラフィックをチェックさせ、実ＤＮＳトラフィックのみを許可させることを示す。Ｓ８に関して、列６４２は、インターネット・アクセスをもつサーバ上でファイル整合性監視を実施することを示す。これらの緩和関係アクションは、電子メール攻撃についての脅威エクスポージャ・レベルを低減するために企業によって検討及び／又は実行され得る。たとえば、実行／マクロ・ファイルをブロックするための電子メール・ポリシーを実施することは、電子メール攻撃の脅威レベルをかなりの量だけ（たとえば、９５パーセントから１０パーセントにまで）低減し得る。

サイバー・リスク管理及び戦略プランニング論理３３０はまた、各脅威について緩和のレベルを決定する、攻撃に関連する質問を記憶し得る（ブロック５４０）。たとえば、図６Ｃを参照すると、サイバー・リスク管理及び戦略プランニング論理３３０は、列６５２及び６５４を含む表６５０を記憶し得る。図６Ｃを参照すると、列６５２は、企業が継続的なアウェアネス・プログラムを有するかどうかと、企業がマクロ／実行ファイルを承諾するための電子メール・ポリシーを有するかどうかと、企業が全ての実行可能なダウンロードをブロックするかどうかとを問う質問を記憶し得る。列６５２はまた、ユーザがパワーシェルを実行することができるかどうかと、企業がＨＩＰＳを有するかどうかと、ＩＴチームが、ユーザが彼らのデスクトップ・コンピュータ／ワークステーションにログインするときには使用されない、専用ドメイン管理者アカウントを有するかどうかと、境界ＦＷが、プロキシがある場合でも、全てのトラフィックが通過することを可能にするように構成されているかどうかと、安全な情報及びイベント管理／安全なオペレーション・センター（ＳＩＥＭ／ＳＯＣ：ｓｅｃｕｒｅ ｉｎｆｏｒｍａｔｉｏｎ ａｎｄ ｅｖｅｎｔ ｍａｎａｇｅｍｅｎｔ／ｓｅｃｕｒｅ ｏｐｅｒａｔｉｏｎｓ ｃｅｎｔｅｒ）が実装されているかどうかとの質問を記憶し得る。

列６５４は、企業が周期的に（たとえば、四半期に１度）フィッシング・シミュレーションを実行しているかどうか、企業が電子メール・サンドボックス・ソリューションを有するか、企業が共有ウェブ・ストレージへのアクセスをブロックするか、サーバ・メッセージ・ブロック（ＳＭＢ：ｓｅｒｖｅｒ ｍｅｓｓａｇｅ ｂｌｏｃｋ）サイニングが無効にされているか、及び企業がユーザからのＷＭＩアクセスを拒否するように構成された内部ＦＷを有するかなど、追加の質問を記憶し得る。列６５４は、ＩＴチームが、インフラストラクチャを管理するためにセキュリティ保護されたジャンプ・サーバを使用しているか、境界ＦＷがアプリケーション・レベルでＤＮＳトラフィックをチェックするように構成されているか、及び企業が異常検出システムを有するかなどの質問をさらに含み得る。

サイバー・リスク管理及び戦略プランニング論理３３０は、質問への回答と電子メール攻撃のステップとに基づいて、技術評価、セキュリティ監査、浸入テスト及び他の類似のプロシージャを生成し得る。代替的に、サイバー・リスク管理及び戦略プランニング論理３３０は、質問への特定の回答には関係しないが、図６Ｂ、列６４２中で言及される緩和のレベルを検出する必要に基づく技術評価を生成し得る。図６Ｄを参照すると、サイバー・リスク管理及び戦略プランニング論理３３０は、電子メール攻撃のステップに関連する情報を記憶する列６７２を含む表６７０を記憶し得る。ステップ１（Ｓ１）について、フィッシング監査が必要とされ得、Ｓ２について、プラットフォームは、添付ファイルをもつ幾つかの異なるタイプの電子メールを送り、何が受信されたかを決定する必要があり得る。Ｓ３について、プラットフォームは、複数のタイプのファイルをダウンロードする／悪意のあるサイトにアクセスすることを試みる必要があり得る。Ｓ４について、プラットフォームは、パワーシェル・ファイルを実行することを試み、次いで、ウェブからファイル・タイプをダウンロードすることを試みる必要があり得る。Ｓ５について、プラットフォームは、ローカル管理者認証情報を要求し、次いで、ネットワーク上でラテラル・ムーブメントを模倣する必要があり得る。Ｓ７について、プラットフォームは、ＤＮＳトンネリングを用いてネットワークから接続を実行することを試みる必要があり得る。この例では、ステップ６及び８は特定の技術評価情報を含まないことがある。このようにして、システム１３０は、企業がそのような攻撃を実際にどのように処理するかを決定するために、可能なアクション／応答として、攻撃の様々なステップに関連する技術評価を生成し得る。

システム１３０は、セキュリティ責任者、マネージャなどの企業に関連する人員に、表６５０（図６Ｃ）中に示された質問を与え、たとえば、ユーザ・インターフェース／ダッシュボード論理３１０を介してシステム１３０に回答を入力し得る（ブロック５５０）。サイバー・リスク管理及び戦略プランニング論理３３０は、次いで、ＨＲ資産、知的財産資産、専有情報、組織情報、契約情報、財務データ、顧客データなど、資産の各々について資産リスク・エクスポージャ・スコアを生成し得る（ブロック５５０）。サイバー・リスク管理及び戦略プランニング論理３３０はまた、企業アクティビティと、緩和関係アクティビティに関連する回答とに基づいて、特定された脅威の各々について脅威エクスポージャ・スコアを生成し得る（ブロック５５０）。たとえば、上記で説明したように、サイバー・リスク管理及び戦略プランニング論理３３０が、表６５０中に記憶された質問への回答が、企業が実行ファイルをブロックするための電子メール・ポリシーを執行していることを示すと決定した場合、サイバー・リスク管理及び戦略プランニング論理３３０は、電子メール攻撃についての脅威スコアを著しく低減し得る。サイバー・リスク管理及び戦略プランニング論理３３０並びに／又は機械学習及びプロファイリング論理３８０は、各脅威についての最終的な脅威スコアを生成するために、特定された脅威の各々について同様の計算を実行し得る。

システム１３０はまた、記憶されたセキュリティ・ポリシー及びプロシージャに従って、セキュリティ・コンプライアンスについて企業を自動的に監視し得る（ブロック５６０）。たとえば、監査及びセキュリティ・コントロール論理３４０及びセキュリティ業務論理３５０は、適切なセキュリティ・チームが企業ポリシー及びプロシージャに従って彼らのタスクを実行しているかどうかを決定するために、記憶されたセキュリティ・ポリシー／プロシージャに基づいてリアルタイムで企業のセキュリティを監視し得る。実例として、企業ポリシーは、企業についてのセキュリティの潜在的ギャップを特定するために、外部の会社が６ヶ月ごとにセキュリティ調査を実行すべきことを示し得る。この場合、適切なセキュリティ・チームは、外部の会社によって特定された問題を検討し、深刻度に従って問題に優先度を付け、特定された問題を修正するための勧告を与えることになる。ＣＩＳＯ又は他のセキュリティ・マネージャは、次いで、セキュリティ問題／ギャップを修正及び／又は緩和するために、適切なセキュリティ業務チームにタスクを割り当て得る。監査及びセキュリティ・コントロール論理３４０は、外部の会社が適切な周期内で（たとえば、６ヶ月ごとに）セキュリティ評価調査を実行したかどうか、セキュリティ業務チームに割り当てられた緩和タスクが実行されたかどうか、及び／又はタスクが定時に与えられた予算内で実行されたかどうかを決定し得る。特定の業務／プロシージャが、企業ポリシー／プロシージャに従って実行されていない状況では、ユーザ・インターフェース／ダッシュボード論理３１０は、電子メールを介してＣＩＳＯにシグナリングする、テキスト・アラート、スクリーン・ポップを介してなど、適切なアラートを与え得る。

別の実例として、企業ポリシーは、いかなるユーザ（たとえば、ユーザ・デバイス１１０）も（たとえば、セキュリティ保護されていないネットワークを介して）リモートでネットワーク１４０に接続することができないことを示し得る。この場合、適切なセキュリティ・チームは、いかなるユーザも、リモート・アクセスを可能にするソフトウェアをインストールすることができないようにファイアウォールを構成すべきである。監査及びセキュリティ・コントロール論理３４０は、適切なセキュリティ・チームがリモート・アクセス禁止を明示するポリシーを遵守しており、コンプライアンスを確保するために、企業のための全てのデバイスがチェックされたことを適切に文書化したことを検証し得る。

システム１３０はまた、セキュリティ人員が単一のロケーション又は複数のロケーションからネットワーク・セキュリティ・コンプライアンスを閲覧し、全体的な企業セキュリティを管理すること及び／又は問題を特定することを可能にし得る。図７は、一実装形態による、システム１３０によって実行される例示的な処理を示す流れ図である。ＣＩＳＯがシステム１３０とインターフェースしており、企業についての全体的なリスクを閲覧する、監査が周期的に行われているかどうか、ネットワーク１４０中に十分なセキュリティ・デバイスが配置されているかどうか、従業員セキュリティ・アウェアネス・プログラムが運営されているかどうかなどを決定するなど、企業におけるリスクが企業ポリシーに従って管理されているかどうかを決定することを望んでいると仮定する。この場合、ＣＩＳＯは、ユーザ・インターフェース／ダッシュボード論理３１０にアクセスし、企業セキュリティに関連するダッシュボード又はインターフェース・スクリーンを閲覧し得る（ブロック７１０）。

図８は、ユーザ・インターフェース／ダッシュボード論理３１０によって出力された例示的なＧＵＩ／ダッシュボード８００を示す。図８を参照すると、ＧＵＩ８００は、エリア８１０において幾つかの選択可能なアイコン／インターフェース要素を含み、ホーム・アイコン／要素と、セキュリティ業務アイコン／要素と、資産アイコン／要素と、ＧＲＣアイコン／要素と、監査アイコン／要素と、アウェアネス・アイコン／要素と、ＤＲ／ＢＣＰアイコン／要素とを含む。ＣＩＳＯは、特定の項目に関する追加の情報を取得するために、エリア８１０におけるこれらのアイコン／要素のいずれかを選択し得る。たとえば、ＧＵＩ８００は、ＧＲＣ要素の選択に関連するエリア８２０におけるグラフを含む。この場合、グラフ８２０は、一般的な産業脅威ステータスと比較した、時間期間（すなわち、この例では１ヶ月）にわたる企業脅威ステータスの比較を与える。このようにして、ＣＩＳＯ、事業主又はＣレベル・エグゼクティブは、ベンチマーク／一般的な産業脅威レベルと比較した、企業における脅威ステータスの簡略な概観を取得することが可能であり得る。

ＧＵＩ８００は、会社の上位資産のエクスポージャ、重要プロセスのエクスポージャ、及び上位の脅威など、特定のタイプのエクスポージャを示すエリア８３０をさらに含み得る。例示的な実装形態では、エクスポージャはパーセンテージとしてＧＲＣ論理３６０によって生成され得、１００％が全面的なエクスポージャ（たとえば、保護なし）であり、０％がエクスポージャなしである。たとえば、エリア８３０は、上位資産が４１％のエクスポージャを有し、重要プロセスが６１％のエクスポージャを有し、上位の脅威が３２％のエクスポージャを有することを示している。ＣＩＳＯは、上位資産エクスポージャに関する追加の情報を得るためにエリア８３２中のドロップダウン・メニューをクリックし得る。

ＧＵＩ８００は、以下でより詳細に説明するように、当事者がスライダー８４２を移動／ドラッグすることによって特定の資産のエクスポージャを変更することの影響を判断することを可能にする、エリア８４０におけるエクスポージャ・スライダーをも含み得る。

ユーザが追加の情報を得るためにエリア８３２において選択を与えると仮定する。この場合、ユーザ・インターフェース／ダッシュボード論理３１０は追加の情報を与える。たとえば、図９は、人的資源資産が５０％、知的財産（ＩＰ：ｉｎｔｅｌｌｅｃｔｕａｌ ｐｒｏｐｅｒｔｙ）が７０％、契約が３５％、財務データが２０％、顧客のデータベースが３０％など、上位資産についてのエクスポージャを示すＧＵＩ９００を示している。幾つかの実装形態では、ＣＩＳＯは、特定の資産／資産クラス及び対応するエクスポージャに関するさらなる情報を得るために、ＧＵＩ８００中に示された特定の資産のいずれかを選択し得る。

図７に戻ると、処理は、続いてＣＩＳＯがセキュリティ・ステータスと、タスクと、潜在的アクションとを検討することを行い得る（ブロック７２０）。たとえば、セキュリティ業務論理３５０は、特定の企業資産（たとえば、給与情報を含む従業員個人情報などの会社機密情報を記憶するデータベース）に対する適切なネットワーク・セグメント化が企業ポリシーに従って実行されていないことを決定し得る。この場合、ＣＩＳＯは、是正を必要とする及び／又は追加の注意を要する企業セキュリティ問題を速やかに閲覧することが可能であり得る。

ＣＩＳＯが上位１０資産についてのエクスポージャの変更をシミュレートすることを望んでいると仮定する（ブロック７３０）。この場合、ＣＩＳＯは、スライダー８４２を選択し、エクスポージャ・レベルの低減をシミュレートするためにはスライダーを左側に向かって、又はエクスポージャ・レベルの増加をシミュレートするためには右側に向かって移動し得る。この実例では、ＣＩＳＯが上位１０資産のエクスポージャ・レベルの４１％から１５％への低減をシミュレートすることを望んでいると仮定する。サイバー・リスク管理及び戦略プランニング論理３３０は、入力を受け、エクスポージャ・レベルを１５％のレベルに低減するためにどのステップが関わるかを示す作業計画を生成するために、機械学習及びプロファイリング論理３８０とインターフェースし得る（ブロック７４０）。作業計画は、新しい機器（たとえば、ファイアウォール、侵入検知システムなど）を配置しなければならないこと、並びに計画を実施するための時間及びコストのリソースを示し得る。ユーザ・インターフェース論理３１０は、次いで、別のＧＵＩを介して作業計画を出力し得る（ブロック７４０）。このようにして、ＣＩＳＯは、作業計画を生成するためにかなりのリソースを費やす必要なしに、脅威エクスポージャ・レベルに対する変更が実現可能であるかどうかを確認することが可能であり得る。

ＥＣＲＰシステム１３０はまた、ＥＣＲＰシステム１３０又は他のデバイスを介して閲覧するためのレポートを自動的に生成し、出力し得る（ブロック７５０）。たとえば、知識ベース及び報告論理３７０は、ユーザ・インターフェース／ダッシュボード論理３１０を介した出力のために周期的にレポートを生成し得る。報告論理３７０はまた、通信論理３９０を介して適切な当事者にレポートを送信し得る。ＣＩＳＯは、ダッシュボード８００を介してレポートを閲覧し、カスタマイズされたレポートを作成するためのオプションをも有し得る。さらに、ＥＣＲＰシステム１３０は、ＣＩＳＯが企業セキュリティの部分的又は包括的なエンドツーエンド・ビューを得ることを可能にし、それによって、企業セキュリティ・コンプライアンス及び是正を必要とする問題の１日当たり２４時間監視を実現する、様々なセキュリティ管理及び／又は監査関係機能を自動的に（たとえば、人的介入なしに）実行するように構成され得る。このようにして、ＣＩＳＯは、ダッシュボード８００を介して特定の企業セキュリティ問題のステータスを検討することが可能であり得る。すなわち、ＣＩＳＯは単一のプラットフォーム（たとえば、システム１３０）から当該の情報を閲覧し得る。有利には、このことは企業セキュリティを管理することに関連する単一のプラットフォーム又は記録のシステムをＣＩＳＯに与える。

幾つかの実装形態では、ユーザ・インターフェース論理３１０は、ポリシーを変更すること、ファイアウォールを追加することなど、実行され得る特定のアクティビティをユーザが識別することを可能にし得る。サイバー・リスク管理及び戦略プランニング論理３３０は、次いで、実行されているアクティビティに基づいて資産のエクスポージャにおける予測される変化を計算し得る。このようにして、ＣＩＳＯは、企業内で企図され得る特定のアクティビティを識別し、アクティビティが実際に実行された場合に、資産リスク・レベル低減を決定し得る。

さらに、ＣＩＳＯは、セキュリティ・ポリシー及びプロシージャを遵守していない企業内の特定の分野又は部門を特定することが可能であり得る。幾つかの実装形態では、システム１３０は、そのような条件が検出されたときに、適切な人員への通信を自動的に生成し、送信し得る。

またさらに、幾つかの実装形態では、ユーザ・インターフェース論理３１０は、人員が特定のユーザに表示されるべきインターフェース／ＧＵＩをカスタマイズすることを可能にし得る。たとえば、ＨＲデータに関連する当事者は、ＨＲデータについての資産エクスポージャ・パーセンテージと、産業平均エクスポージャ・パーセンテージと、エクスポージャ・パーセンテージを低減することに関連する作業計画とを表示するように、ＨＲ資産エクスポージャに関連するＧＵＩをカスタマイズすることが可能であり得る。このようにして、ユーザ・インターフェース論理３１０は、ユーザが、その特定のユーザのためにどのデータが表示されるべきであるかを（たとえば、ドロップダウン・メニューを介して）選択することを可能にする。

上記で説明したように、ＥＣＲＰシステム１３０は、企業に関連する人員がネットワーク１３０を介したＥＣＲＰシステム・エージェント１３２を介してＥＣＲＰシステム１３０にアクセスすることを可能にし得る。他の実装形態では、ＥＣＲＰシステム１３０は企業においてローカルにインストールされ得、その場合、企業人員はＥＣＲＰシステム１３０にローカルにアクセスし得る。

また上記で説明したように、ＥＣＲＰシステム１３０は、企業人員が資産エクスポージャ及びリスク情報を取得することを可能にするための幾つかのＧＵＩを含み得る。図１０〜図１２は、エクスポージャ及び脅威レベル情報を生成し、表示することを支援するためのユーザ・インターフェース／ダッシュボード論理３１０を介して与えられ得る例示的なＧＵＩを示す。図１０を参照すると、ＧＵＩ１０００は、質問エリア１０１０と、サイバー・エクスポージャ・エリア１０２０とを含む。質問エリア１０１０は、「あなたはどのくらい頻繁にフィッシング・テスト／キャンペーンを実施しているか」、「あなたはサイバー・インシデントに遭遇したか」など、企業人員に与えられる幾つかの質問を含む。サイバー・エクスポージャ・エリア１０２０は、資産エクスポージャと、アウェアネスと、防御レイヤと、ポリシー及びプロシージャと、規制コンプライアンスと、セキュリティ・コンプライアンスと、脅威とのグラフィカル表現を含む。サイバー・エクスポージャ・エリア１０２０はまた、表形式の情報を含む。この実例では、ＥＣＲＰシステム１３０によって生成された、それぞれ、５０、２２及び４５の緩和コンプライアンス・スコア、セキュリティ業務スコア及び脅威スコアが表示されている。

図１１は、たとえば、ユーザがＧＵＩ１０００中の「次に」ボタンを選択したことに応答して、ユーザ・インターフェース／ダッシュボード論理３１０によって与えられる別のＧＵＩを示す。図１１を参照すると、ＧＵＩ１１００は、質問エリア１１１０と、サイバー・エクスポージャ・エリア１１２０とを含み得る。質問エリア１１１０は、「会社に幾つのサーバがあるか」、「あなたはネットワーク・セグメント化を有するか」など、追加の質問を含む。質問エリア１１１０はまた、ファイアウォール、ＮＡＣ、コンテンツ・フィルタリング、ＳＩＥＭ／ＳＯＣなど、企業によってインストールされたセキュリティ・デバイスのタイプに関する質問を含む。サイバー・エクスポージャ・エリア１１２０は、ＧＵＩ１０００のエリア１０２０中に表示される項目と同様のグラフィカル表現及び表形式を含む。この例では、システム１３０によって生成された６２の資産エクスポージャ・スコアが表示されている。

図１２は、たとえば、ユーザがＧＵＩ１１００上の「次に」ボタンを選択したことに応答して、ユーザ・インターフェース／ダッシュボード論理３１０によって与えられる別のＧＵＩを示す。図１２を参照すると、ＧＵＩ１２００は、産業エクスポージャ・エリア１２１０と、企業エクスポージャ・エリア１２２０とを含む。産業エクスポージャ・エリア１２１０は、産業／他社会社平均を表示し、企業サイバー・エクスポージャ・エリア１２２０は、資産、アウェアネス、防御レイヤ、ポリシー及びプロシージャ、規制コンプライアンス、セキュリティ業務及び脅威についての企業のエクスポージャ及びリスク・スコアを、全体的な総スコアとともに表示する。このようにして、担当セキュリティ人員は、ＧＵＩ１２００を閲覧し、たとえば、個別スコア及び／又は他社スコアとの比較に基づいて、即時の注意を必要とし得る分野を速やかに識別し得る。さらに、産業エクスポージャ・エリア１２１０を企業エクスポージャ・エリア１２２０と比較することによって、企業人員（たとえば、Ｃレベル・エグゼクティブ）は、企業人員のパフォーマンス及び／又は有効性を測定することが可能であり得る。たとえば、エリア１２１０における産業／他社スコアがエリア１２２０における企業のスコアを上回っている場合、このことは、企業人員が十分にパフォーマンスを上げていないことを示し得る。

また上記で説明したように、ＥＣＲＰシステム１３０は様々なシミュレーションを実行し得る。図１３は、ユーザ・インターフェース／ダッシュボード論理３１０によって与えられる例示的なＧＵＩを示す。図１３を参照すると、ＧＵＩ１３００は、シミュレーション・エリア１３１０と、サイバー・エクスポージャ・エリア１３２０とを含む。シミュレーション・エリア１３１０は、電子メール攻撃と、ウェブ攻撃と、データ漏洩と、アウェアネスと、資産セグメント化とについての選択入力を含む。これらの入力のいずれかを選択することによって、企業人員は対応するシミュレーションを実行し得る。応答して、ＥＣＲＰシステム１３０は、シミュレーションを実行し、別のＧＵＩを介して結果を表示する。サイバー・エクスポージャ・エリア１３２０は、上位１０資産と、作業計画ステータスと、脅威と、規制と、企業対他社ステータスと、予算使用とについてのエクスポージャを含む。

上記で説明したように、幾つかの実装形態では、ＥＣＲＰシステム１３０は、新しいセキュリティ機器（たとえば、ファイアウォール、ＩＤＳ、ＩＰＳなど）を配置する、ネットワーク・セキュリティ機器などを再配置する、新しいプロシージャ及び／又はポリシーなどを自動的に開始するなど、脅威を緩和するための措置を自動的に開始し得る。さらに、幾つかの実装形態では、ＥＣＲＰシステム１３０は、資産エクスポージャ情報が潜在的な問題を特定したときに、自動的に措置を開始し得る。たとえば、しきい値レベルを上回る特定の資産のエクスポージャ・レベルを特定したことに応答して、ＥＣＲＰシステム１３０はまた、資産エクスポージャを緩和するために、新しいセキュリティ機器（たとえば、ファイアウォール、ＩＤＳ、ＩＰＳ）を配置すること、適切な人員にアラート／通信を送ること、エクスポージャがしきい値レベルを上回っている特定の企業資産を隔離すること又はそれへのアクセスをブロックすることなどを自動的に行い得る。このようにして、ＥＣＲＰシステム１３０は、企業が特定の問題を潜在的に特定することが可能になるまで、自動的に措置を取り得る。

さらに、本明細書で説明する実装形態は、小会社から大法人までを含み得る企業からの入力を受信することに言及する。さらに、幾つかの実装形態では、ＥＣＲＰシステム１３０は、機械学習及びプロファイリング論理３８０を使用する各企業のためのプロファイリング機構／論理を含む。ＥＣＲＰシステム１３０は、共通の基準／特性と類似のサイバー・リスク・エクスポージャとをもつクラスタに企業をプロファイリングする。たとえば、ＥＣＲＰシステム１３０にアクセスする新しい企業に関連する「オンボーディング」プロセスの一部として、ＥＣＲＰシステム１３０は、たとえば、産業／業種、規模、地理的位置、事務所の数、ＩＴ人員の数、セキュリティ予算、競合者などに基づいて、企業に幾つかの質問を与え、企業についてのプロファイルを作成する。このようにして、ＥＣＲＰ１３０は、企業の他社を識別するためにプロファイルを使用する。

結論
本明細書で説明する実装形態は、企業資産、コンプライアンス、予算、専門知識などを管理し、企業資産についてのリスク・エクスポージャと、特定のサイバー脅威についてのリスク・エクスポージャとを定量化するための企業サイバー・セキュリティ・リスク管理及びセキュリティ業務管理を与える、記録のシステム（ＳＯＲ：ｓｙｓｔｅｍ ｏｆ ｒｅｃｏｒｄｓ）を含む。このようにして、セキュリティ人員、事業主、ＣＩＳＯ、Ｃレベル・エグゼクティブなどは、スマートなサイバー意思決定、企業セキュリティのリアルタイム監視及び分析、より詳細には、企業の規制、プライバシー法、ポリシー、プロシージャ及びリスク管理目標の企業のコンプライアンスを管理することを可能にする、包括的でフレキシブルなデータ駆動型のプラットフォームを与えられる。この技術実装型ソリューションは、企業が単一のプラットフォームの下にセキュリティ管理を統合し、それによって、より効果的に攻撃を妨害することを可能にし得る。

例示的な実装形態の上記の説明は例及び説明を与えるが、網羅的であること又は実施例を開示されている厳密な形態に限定することを意図するものではない。変更及び変形は、上記説明に照らして可能であり、又は実施例の実施から得られ得る。

たとえば、図３に関して説明した実装形態では、ＥＣＲＰシステム１３０は、「クラウド内に」位置しており、ＳａａＳモデルを介して利用可能であるものとして説明された。他の実装形態では、ＥＣＲＰシステム１３０は企業の構内に与えられ／位置し得る。どちらの場合にも、ＣＩＳＯなどのセキュリティ・マネージャ、及びセキュリティ業務チームは、所望のサイバー・セキュリティ情報を取得するために（たとえば、リモートで又は直接）ＥＣＲＰシステム１３０にアクセスし得る。

さらに、ＣＩＳＯなどのネットワーク人員がＥＣＲＰシステム１３０と対話することを可能にする特徴について上記で説明した。ＥＣＲＰシステム１３０にアクセスする権限を有するユーザ又は当事者は、当該の情報を取得するためにＥＣＲＰシステム１３０と対話し得ることを理解されたい。幾つかの実装形態では、各ユーザによって取得される情報のレベルは企業内又は企業外の自身の地位に基づき得る。たとえば、セキュリティ・マネージャは自身の部門に関する情報を取得することが可能であり得、一方、Ｃレベル・エグゼクティブは企業の全ての部署に関する情報を取得することが可能であり得る。

またさらに、本明細書で説明する実装形態は、サイバー・セキュリティと、リスク管理と、リソース・プランニングとを管理するための単一のプラットフォーム／ロケーションを与えるＥＣＲＰシステム１３０に言及する。幾つかの実装形態では、ＥＣＲＰシステム１３０は、複数のＥＣＲＰシステム・エージェントを介してアクセスされる複数のＥＣＲＰシステム１３０を介して複数のロケーションにわたって広がる様々な当事者にそのような機能を与え得る。

さらに、特定のユーザ・インターフェース、レポート、論理などに関する特徴について上記で説明した。他の実装形態では、異なるユーザ・インターフェース、レポート、論理などが、特定の企業要件に基づいて与えられ得る。

さらに、図５及び図７に関して一連の行為について説明したが、他の実装形態では行為の順序が異なり得、他の行為も可能であり得る。その上、非従属的な行為は並行して実施され得る。

上記で説明した様々な特徴は、図中に示された実装形態において、ソフトウェア、ファームウェア、及びハードウェアの多くの異なる形態で実施され得ることが明らかになろう。様々な特徴を実施するために使用される実際のソフトウェア・コード又は専用制御ハードウェアは限定的なものではない。したがって、特徴の動作及び挙動は、特定のソフトウェア・コードと無関係に説明されたものであり、当業者は、本明細書での説明に基づく様々な特徴を実施するためにソフトウェアと制御ハードウェアとを設計することが可能であろうことを理解されたい。

さらに、本発明の幾つかの部分は、１つ又は複数の機能を実行する「論理」として実装され得る。この論理は、１つ又は複数のプロセッサ、マイクロプロセッサ、特定用途向け集積回路、フィールド・プログラマブル・ゲート・アレイ若しくは他の処理論理などのハードウェア、ソフトウェア、又はハードウェアとソフトウェアの組合せを含み得る。

例示的な実装形態の上記の説明は、例及び説明を与えるが、網羅的であること又は本発明を開示されている厳密な形態に限定することを意図するものではない。変更及び変形は、上記の教示に照らして可能であり、又は本発明の実施から得られ得る。

本出願の説明中で使用されたいかなる要素、行為、又は命令も、そのように明示的に説明されていない限り、本発明に不可欠又は必須であるとして解釈されるべきではない。また、本明細書で使用する際、冠詞「ａ」は、１つ又は複数の項目を含むことが意図されている。さらに、フレーズ「に基づいて」は、別段に明記されていない限り、「に少なくとも部分的に基づいて」を意味することが意図されている。

Claims (20)

1. 企業に関連するネットワーク関係セキュリティ・ポリシー及びプロシージャを記憶するように構成されたメモリと、
   ディスプレイと、
   少なくとも１つのデバイスと
   を備えるシステムであって、前記少なくとも１つのデバイスが、
   前記メモリ中に記憶された前記セキュリティ・ポリシー及びプロシージャに従って、複数の前記企業のネットワーク化デバイスに関連する企業アクティビティを監視し、
   前記企業アクティビティに基づいて、前記企業が前記メモリ中に記憶された前記セキュリティ・ポリシー及びプロシージャを遵守しているかどうかを決定し、
   前記企業アクティビティと、前記企業が前記セキュリティ・ポリシー及びプロシージャを遵守しているかどうかとに基づいて、前記企業の少なくとも１つの資産についてリスク・エクスポージャ・メトリックを計算し、
   前記少なくとも１つの資産に関連する前記リスク・エクスポージャ・メトリックを識別する情報を与えるグラフィカル・ユーザ・インターフェース（ＧＵＩ：ｇｒａｐｈｉｃａｌ ｕｓｅｒ ｉｎｔｅｒｆａｃｅ）を、前記ディスプレイに出力し、
   前記複数の前記企業のネットワーク化デバイスのうちの少なくとも１つに対する変更を開始すること、又は前記複数の前記企業のネットワーク化デバイスのうちの少なくとも１つに対する変更を行うプランの生成を開始することのうちの少なくとも１つを行うための入力を、前記ＧＵＩを介して受信する
   ように構成された、システム。
2. 前記少なくとも１つのデバイスが、
   前記企業アクティビティに基づいて、少なくとも１つのセキュリティ脅威に関連する脅威確率を計算し、
   前記ディスプレイを介して、前記脅威確率を出力する
   ようにさらに構成された、請求項１に記載のシステム。
3. 前記少なくとも１つのセキュリティ脅威が複数のセキュリティ脅威を含み、前記少なくとも１つのデバイスが、
   前記複数のセキュリティ脅威の各々についての脅威確率を生成し、
   前記ディスプレイを介して、前記複数のセキュリティ脅威の各々についての前記脅威確率を出力する
   ようにさらに構成された、請求項２に記載のシステム。
4. 前記少なくとも１つのセキュリティ脅威に関連する前記脅威確率を計算するときに、前記少なくとも１つのデバイスが、
   前記少なくとも１つのセキュリティ脅威にスコアを適用し、
   前記少なくとも１つのセキュリティ脅威に対して、前記企業によって実行された緩和関係行為を識別し、
   前記識別された緩和関係行為に基づいて、前記少なくとも１つのセキュリティ脅威についての前記スコアを低減する
   ように構成された、請求項２に記載のシステム。
5. 前記少なくとも１つのデバイスが、
   他の企業のうちの少なくとも１つについての、又は前記企業に関連する産業についての第２のリスク・エクスポージャ・メトリックを取得し、
   前記ＧＵＩを介して、前記企業についての前記リスク・エクスポージャ・メトリックと前記第２のリスク・エクスポージャ・メトリックとの比較を出力する
   ように構成された、請求項１に記載のシステム。
6. 前記少なくとも１つの資産が複数の資産を備え、前記少なくとも１つのデバイスが、
   前記ＧＵＩを介して、前記複数の資産の各々についての前記リスク・エクスポージャ・メトリックを出力する
   ように構成されたプロセッサを備える、請求項１に記載のシステム。
7. 前記少なくとも１つのデバイスが、
   前記ＧＵＩを介して、ユーザが前記少なくとも１つの資産についての前記リスク・エクスポージャ・メトリックを変更することを可能にするために、選択可能な入力を与え、
   前記選択可能な入力を介して、前記リスク・エクスポージャ・メトリックに対する変更を受信し、
   前記リスク・エクスポージャ・メトリックに対する前記変更を達成するために、前記企業に関連するプランを生成する
   ように構成されたプロセッサを備える、請求項１に記載のシステム。
8. 前記プランを生成するときに、前記プロセッサが、前記ＧＵＩを介して、前記企業についての追加のリソースの配置、又は前記企業についての前記セキュリティ・ポリシー及びプロシージャにおける変更のうちの少なくとも１つを示すように構成された、請求項７に記載のシステム。
9. 前記少なくとも１つのデバイスが、
   新しいセキュリティ脅威を識別する入力を受信し、
   前記入力を受信したことに応答して、前記少なくとも１つの資産についての新しいリスク・エクスポージャ・メトリックを自動的に生成する
   ようにさらに構成された、請求項１に記載のシステム。
10. 前記少なくとも１つのデバイスが、
    実行されるべき前記企業に関連する少なくとも１つのアクティビティを識別し、
    前記少なくとも１つのアクティビティが実行された場合に、前記少なくとも１つの資産についての前記リスク・エクスポージャ・メトリックにおける予想される低減を計算するように構成されたプロセッサを備える、請求項１に記載のシステム。
11. 前記少なくとも１つのデバイスが、
    前記記憶されたセキュリティ・ポリシー及びプロシージャを十分に遵守していない、前記企業に関連する分野又は部門のうちの少なくとも１つを識別し、
    前記記憶されたセキュリティ・ポリシー及びプロシージャを十分に遵守していない分野又は部門の前記識別された少なくとも１つに応答して、通信を自動的に送信する
    ように構成されたプロセッサを備える、請求項１に記載のシステム。
12. 前記プロセッサが、
    前記監視された企業アクティビティに基づいて実行されなかったセキュリティ・アップグレード又は変更を識別する
    ようにさらに構成された、請求項１１に記載のシステム。
13. 前記プロセッサが、
    ユーザが、前記セキュリティ・ポリシー及びプロシージャの企業コンプライアンスを監視することに関連するカスタマイズ可能なディスプレイを生成することを可能にする
    ようにさらに構成された、請求項１１に記載のシステム。
14. セキュリティ監視システムを介して、メモリ中に記憶されたネットワーク関係セキュリティ・ポリシー及びプロシージャに従って企業アクティビティを監視することと、
    前記企業アクティビティに基づいて、前記企業が前記記憶されたセキュリティ・ポリシー及びプロシージャを遵守しているかどうかを決定することと、
    前記企業アクティビティと、前記企業が前記セキュリティ・ポリシー及びプロシージャを遵守しているかどうかとに基づいて、前記企業の少なくとも１つの資産についてリスク・エクスポージャ・メトリックを計算することと、
    前記少なくとも１つの資産に関連する前記リスク・エクスポージャ・メトリックを識別する情報を与えるグラフィカル・ユーザ・インターフェース（ＧＵＩ）を、ディスプレイに出力することと、
    複数の前記企業のネットワーク化デバイスのうちの少なくとも１つに対する変更を開始すること、又は複数の前記企業のネットワーク化デバイスのうちの少なくとも１つに対する変更を行うためのプランの生成を開始することのうちの少なくとも１つを行うための入力を、前記ＧＵＩを介して受信することと
    を含む方法。
15. 前記企業アクティビティに基づいて、少なくとも１つのセキュリティ脅威に関連する脅威確率を計算することと、
    前記ディスプレイを介して、前記脅威確率を出力することと
    をさらに含む、請求項１４に記載の方法。
16. 前記少なくとも１つのセキュリティ脅威が複数のセキュリティ脅威を含み、前記方法が、
    前記複数のセキュリティ脅威の各々についての脅威確率を生成することと、
    前記ディスプレイを介して、前記複数のセキュリティ脅威の各々についての前記脅威確率を出力することと
    をさらに含む、請求項１５に記載の方法。
17. 前記ＧＵＩを介して、ユーザが前記少なくとも１つの資産についての前記リスク・エクスポージャ・メトリックを変更することを可能にするために、選択可能な入力を与えることと、
    前記選択可能な入力を介して、前記リスク・エクスポージャ・メトリックに対する変更を受信することと、
    前記リスク・エクスポージャ・メトリックに対する前記変更を達成するために、前記企業に関連するプランを生成することと
    をさらに含む、請求項１４に記載の方法。
18. 新しいセキュリティ脅威を識別する入力を受信することと、
    前記入力を受信したことに応答して、前記少なくとも１つの資産について新しいリスク・エクスポージャ・メトリックを自動的に生成することと
    をさらに含む、請求項１４に記載の方法。
19. 実行されるべき前記企業に関連する少なくとも１つのアクティビティを識別することと、
    前記少なくとも１つのアクティビティが実行された場合に、前記少なくとも１つの資産についての前記リスク・エクスポージャ・メトリックにおける予想される低減を計算することと
    をさらに含む、請求項１４に記載の方法。
20. プロセッサによって実行されたときに、前記プロセッサに、
    メモリ中に記憶されたネットワーク関係セキュリティ・ポリシー及びプロシージャに従って、複数の企業のネットワーク化デバイスに関連する企業アクティビティを監視することと、
    前記企業アクティビティに基づいて、前記企業が前記記憶されたセキュリティ・ポリシー及びプロシージャを遵守しているかどうかを決定することと、
    前記企業アクティビティと、前記企業が前記セキュリティ・ポリシー及びプロシージャを遵守しているかどうかとに基づいて、前記企業の少なくとも１つの資産についてリスク・エクスポージャ・メトリックを計算することと、
    前記少なくとも１つの資産に関連する前記リスク・エクスポージャ・メトリックを識別する情報を与えるグラフィカル・ユーザ・インターフェース（ＧＵＩ）を、ディスプレイに出力することと
    を行わせる命令を記憶する、非一時的コンピュータ可読媒体。