JP2022079717A - Information processing device, information processing method, and program - Google Patents

Information processing device, information processing method, and program Download PDF

Info

Publication number
JP2022079717A
JP2022079717A JP2022061551A JP2022061551A JP2022079717A JP 2022079717 A JP2022079717 A JP 2022079717A JP 2022061551 A JP2022061551 A JP 2022061551A JP 2022061551 A JP2022061551 A JP 2022061551A JP 2022079717 A JP2022079717 A JP 2022079717A
Authority
JP
Japan
Prior art keywords
terminal
information
countermeasure
information processing
unit
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2022061551A
Other languages
Japanese (ja)
Inventor
良夫 安留
Yoshio Yasutome
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NEC Corp
Original Assignee
NEC Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NEC Corp filed Critical NEC Corp
Priority to JP2022061551A priority Critical patent/JP2022079717A/en
Publication of JP2022079717A publication Critical patent/JP2022079717A/en
Pending legal-status Critical Current

Links

Images

Landscapes

  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

PROBLEM TO BE SOLVED: To make it easier to draw up a plan on how to deal with security risks.
SOLUTION: An information processing method disclosed herein is designed to be implemented by an information processing device managing a first terminal, and comprises storing risk information including security risks and handling methods therefor, and identifying that a first handling method associated with a first security risk included in the risk information is applicable to the first terminal.
SELECTED DRAWING: Figure 1
COPYRIGHT: (C)2022,JPO&INPIT

Description

本発明は、情報処理装置、情報処理方法、プログラムに関する。 The present invention relates to an information processing apparatus, an information processing method, and a program.

ネットワーク上の端末には、ハードウエアやソフトウエアに存在する脆弱性や、外部からの攻撃により生じる脅威などのセキュリティリスクが存在する。セキュリティリスクには、複数の対処が存在するのが一般的である。 Terminals on the network have security risks such as vulnerabilities in hardware and software and threats caused by external attacks. Security risks generally have multiple addresses.

しかし、脆弱性に対するパッチ適用以外の対処は、端末毎に通信制限、設定変更などが異なるため、全ての端末に対して適用することはできない。そのため、多数の端末に対して対処を行う場合、対処を立案するのにコストがかかっていた。 However, measures other than patch application for vulnerabilities cannot be applied to all terminals because communication restrictions, setting changes, etc. differ for each terminal. Therefore, when dealing with a large number of terminals, it is costly to plan the dealings.

そこで、最近は、各端末に存在するセキュリティリスクに対する対処（対応）の立案を支援する発明が提案されている。例えば、特許文献１には、運用中のシステムの状態に基づいてセキュリティリスクを分析し、セキュリティリスクを軽減するための対策候補から、運用中のシステムに生じる各種制約を考慮した上で、最適な対策方法を提示する発明が開示されている。 Therefore, recently, an invention has been proposed to support the planning of countermeasures (responses) to the security risks existing in each terminal. For example, Patent Document 1 analyzes security risks based on the state of the operating system, considers various restrictions that occur in the operating system from candidate measures for reducing the security risks, and is optimal. Inventions that present countermeasures are disclosed.

特許第５３０４２４３号公報Japanese Patent No. 5304243

上述したように、特許文献１に開示された発明は、端末にセキュリティリスクが存在する場合、最適な対策方法を提示するものである。しかし、提示された対処を適用することによる端末やシステムへの影響などが不明であるため、セキュリティ管理者は、提示された対処をただちに適用するべきか、また、複数の対処が提示された場合に、最適な対処はどれかを判断することができなかった。そのため、セキュリティ管理者がセキュリティリスクに対する対処を立案することが困難となっていた。 As described above, the invention disclosed in Patent Document 1 presents an optimum countermeasure method when a security risk exists in a terminal. However, since the impact on the terminal and system by applying the presented countermeasures is unknown, should the security administrator apply the presented countermeasures immediately, or if multiple countermeasures are presented? In addition, it was not possible to determine which was the best solution. Therefore, it has been difficult for the security manager to formulate a countermeasure against the security risk.

本発明の目的は、上述した課題を解決することができる技術を提供することにある。 An object of the present invention is to provide a technique capable of solving the above-mentioned problems.

本発明の一態様によれば、情報処理装置は、
セキュリティリスクを有する端末に適用可能な複数の対処の中から少なくとも１つの対処が選択されたことを示す入力を受け付ける選択受付部と、
前記セキュリティリスクに対して前記端末毎に適用可能な対処を示す端末別対処情報と、前記端末の稼働情報の種類と前記セキュリティリスクに対する対処との対応関係を定義する定義情報と、を用いて、前記端末に適用可能な対処に対応する稼働情報の種類を特定する稼働情報特定部と、
前記端末の稼働情報のうち前記稼働情報特定部が特定した種類の稼働情報を取得する稼働情報取得部と、
前記端末別対処情報に基づいて、前記選択受付部が受け付けた対処を適用した場合に、前記セキュリティリスクが残る端末である残存端末を特定する残存端末特定部と、
前記稼働情報取得部が取得した稼働情報に基づいて、未来時刻における前記残存端末の数を予測する予測部と、
前記予測部が予測した予測結果を提示する提示部と、
を備える。 According to one aspect of the present invention, the information processing apparatus is
A selection reception unit that accepts an input indicating that at least one countermeasure has been selected from a plurality of countermeasures applicable to terminals having a security risk.
Using the terminal-specific countermeasure information indicating the countermeasures applicable to the security risk for each terminal, and the definition information defining the correspondence relationship between the type of operation information of the terminal and the countermeasure against the security risk, An operation information identification unit that specifies the type of operation information corresponding to the measures applicable to the terminal, and
An operation information acquisition unit that acquires the type of operation information specified by the operation information identification unit among the operation information of the terminal, and an operation information acquisition unit.
Based on the terminal-specific handling information, when the handling received by the selection reception unit is applied, the remaining terminal specifying unit that identifies the remaining terminal that is the terminal for which the security risk remains, and the remaining terminal specifying unit.
A prediction unit that predicts the number of remaining terminals at a future time based on the operation information acquired by the operation information acquisition unit.
A presentation unit that presents the prediction result predicted by the prediction unit, and a presentation unit.
To prepare for.

本発明の一態様によれば、情報処理方法は、
情報処理装置が行う情報処理方法であって、
セキュリティリスクを有する端末に適用可能な複数の対処の中から少なくとも１つの対処が選択されたことを示す入力を受け付けるステップと、
前記セキュリティリスクに対して前記端末毎に適用可能な対処を示す端末別対処情報と、前記端末の稼働情報の種類と前記セキュリティリスクに対する対処との対応関係を定義する定義情報と、を用いて、前記端末に適用可能な対処に対応する稼働情報の種類を特定するステップと、
前記端末の稼働情報のうち前記特定した種類の稼働情報を取得するステップと、
前記端末別対処情報に基づいて、前記受け付けた対処を適用した場合に、前記セキュリティリスクが残る端末である残存端末を特定するステップと、
前記取得した稼働情報に基づいて、未来時刻における前記残存端末の数を予測する予測ステップと、
前記予測した予測結果を提示する提示ステップと、
を含む。 According to one aspect of the present invention, the information processing method is
It is an information processing method performed by an information processing device.
A step that accepts an input indicating that at least one action has been selected from multiple actions applicable to terminals with security risks.
Using the terminal-specific countermeasure information indicating the countermeasures applicable to the security risk for each terminal, and the definition information defining the correspondence relationship between the type of operation information of the terminal and the countermeasure against the security risk, A step to identify the type of operation information corresponding to the countermeasure applicable to the terminal, and
The step of acquiring the operation information of the specified type among the operation information of the terminal, and
Based on the terminal-specific countermeasure information, the step of identifying the remaining terminal, which is the terminal on which the security risk remains when the accepted countermeasure is applied, and
A prediction step for predicting the number of the remaining terminals in the future time based on the acquired operation information,
A presentation step for presenting the predicted prediction result and
including.

本発明の一態様によれば、プログラムは、
コンピュータに、
セキュリティリスクを有する端末に適用可能な複数の対処の中から少なくとも１つの対処が選択されたことを示す入力を受け付ける手順と、
前記セキュリティリスクに対して前記端末毎に適用可能な対処を示す端末別対処情報と、前記端末の稼働情報の種類と前記セキュリティリスクに対する対処との対応関係を定義する定義情報と、を用いて、前記端末に適用可能な対処に対応する稼働情報の種類を特定する手順と、
前記端末の稼働情報のうち前記特定した種類の稼働情報を取得する手順と、
前記端末別対処情報に基づいて、前記受け付けた対処を適用した場合に、前記セキュリティリスクが残る端末である残存端末を特定する手順と、
前記取得した稼働情報に基づいて、未来時刻における前記残存端末の数を予測する予測手順と、
前記予測した予測結果を提示する提示手順と、
を実行させるためのプログラムである。 According to one aspect of the invention, the program
On the computer
A procedure for accepting input indicating that at least one countermeasure has been selected from a plurality of countermeasures applicable to a terminal having a security risk, and a procedure for accepting an input indicating that at least one countermeasure has been selected.
Using the terminal-specific countermeasure information indicating the countermeasures applicable to the security risk for each terminal, and the definition information defining the correspondence relationship between the type of operation information of the terminal and the countermeasure against the security risk, A procedure for identifying the type of operation information corresponding to the countermeasure applicable to the terminal, and
The procedure for acquiring the specified type of operation information among the operation information of the terminal, and
Based on the terminal-specific countermeasure information, the procedure for identifying the remaining terminal, which is the terminal for which the security risk remains when the accepted countermeasure is applied, and the procedure.
A prediction procedure for predicting the number of the remaining terminals in the future time based on the acquired operation information, and
The presentation procedure for presenting the predicted prediction result and the presentation procedure.
It is a program to execute.

本発明によれば、セキュリティ管理者がセキュリティリスクに対する対処の立案を容易に行うことができる。 According to the present invention, a security manager can easily plan a countermeasure against a security risk.

実施の形態１に係る情報処理装置の処理構成を概念的に示す図である。It is a figure which conceptually shows the processing structure of the information processing apparatus which concerns on Embodiment 1. FIG. 実施の形態１に係る情報処理装置が生成する画面の一例を示す図である。It is a figure which shows an example of the screen generated by the information processing apparatus which concerns on Embodiment 1. FIG. 実施の形態１，２に係る端末別対処情報の一例を示す図である。It is a figure which shows an example of the coping information for each terminal which concerns on Embodiments 1 and 2. 実施の形態１，２に係る定義情報の一例を示す図である。It is a figure which shows an example of the definition information which concerns on Embodiments 1 and 2. 実施の形態１，２に係る稼働情報の一例を示す図である。It is a figure which shows an example of the operation information which concerns on Embodiments 1 and 2. 実施の形態１に係る予測部が予測する予測結果の一例を示す図である。It is a figure which shows an example of the prediction result predicted by the prediction unit which concerns on Embodiment 1. FIG. 実施の形態１に係る提示部が提示する画面の一例を示す図である。It is a figure which shows an example of the screen which the presentation part which concerns on Embodiment 1 presents. 実施の形態１に係る提示部が提示する画面の他の例を示す図である。It is a figure which shows the other example of the screen which the presentation part which concerns on Embodiment 1 presents. 実施の形態１に係る情報処理装置のハードウエア構成を概念的に示す図である。It is a figure which conceptually shows the hardware composition of the information processing apparatus which concerns on Embodiment 1. FIG. 実施の形態１に係る情報処理装置の処理の流れを示すフローチャートである。It is a flowchart which shows the flow of processing of the information processing apparatus which concerns on Embodiment 1. 実施の形態２に係る情報処理システムのシステム構成を概念的に示す図である。It is a figure which conceptually shows the system structure of the information processing system which concerns on Embodiment 2. 実施の形態２に係る情報取得部が取得した端末情報の一例を示す図である。It is a figure which shows an example of the terminal information acquired by the information acquisition part which concerns on Embodiment 2. FIG. 実施の形態２に係る分類情報格納部が格納する分類情報の一例を示す図である。It is a figure which shows an example of the classification information stored in the classification information storage part which concerns on Embodiment 2. FIG. 実施の形態２に係る表示処理部が生成する画面の一例を示す図である。It is a figure which shows an example of the screen generated by the display processing unit which concerns on Embodiment 2. FIG. 実施の形態２に係る予測部が予測する予測結果の一例を示す図である。It is a figure which shows an example of the prediction result predicted by the prediction unit which concerns on Embodiment 2. FIG. 実施の形態２に係る提示部が提示する画面の一例を示す図である。It is a figure which shows an example of the screen which the presentation part which concerns on Embodiment 2 presents. 実施の形態２に係る提示部が提示する画面の他の例を示す図である。It is a figure which shows the other example of the screen which the presentation part which concerns on Embodiment 2 presents. 実施の形態２に係る情報処理装置の処理の流れを示すフローチャートである。It is a flowchart which shows the flow of processing of the information processing apparatus which concerns on Embodiment 2.

以下、本発明の実施の形態について、図面を用いて説明する。尚、全ての図面において、同様な構成要素には同様の符号を付し、適宜説明を省略する。 Hereinafter, embodiments of the present invention will be described with reference to the drawings. In all the drawings, similar components are designated by the same reference numerals, and the description thereof will be omitted as appropriate.

［実施の形態１］
［処理構成］
図１は、本発明の実施の形態１に係る情報処理装置１０の処理構成を概念的に示す図である。図１に示されるように、本実施の形態１に係る情報処理装置１０は、選択受付部１１０、稼働情報特定部１２０、稼働情報取得部１３０、残存端末特定部１４０、予測部１５０、及び提示部１６０を備える。 [Embodiment 1]
[Processing configuration]
FIG. 1 is a diagram conceptually showing a processing configuration of the information processing apparatus 10 according to the first embodiment of the present invention. As shown in FIG. 1, the information processing apparatus 10 according to the first embodiment has a selection reception unit 110, an operation information identification unit 120, an operation information acquisition unit 130, a remaining terminal identification unit 140, a prediction unit 150, and a presentation unit. A unit 160 is provided.

選択受付部１１０は、セキュリティリスクを有する管理対象端末に適用可能な複数の対処の中から少なくとも１つの対処が選択されたことを示す入力を受け付ける。ここで、セキュリティリスクとは、管理対象端末に存在する脆弱性、又は、管理対象端末に対する外部からの攻撃によって生じる脅威を含む。また、管理対象端末とは、ネットワークを介して情報処理装置１０と接続され、セキュリティの状態を監視されている端末である。管理対象端末は、ネットワーク上のクライアント端末、サーバ、スイッチやルータなどの通信機器だけではなく、ネットワークに接続する機能やネットワークを介して通信する手段を有するあらゆる物（所謂ＩｏＴ（Internet of Things）に含まれる物）である。また、対処とは、脆弱性や脅威を解消、回避、又は低減させる措置であり、適用可能な対処とは、脆弱性や脅威に対する措置の中で管理対象端末に講じることができる措置のことをいう。選択受付部１１０は、例えば図２に示されるような画面を介して、セキュリティリスク（ここでは、脆弱性Ａ）に対する対処の選択入力を受け付ける。 The selection reception unit 110 receives an input indicating that at least one countermeasure is selected from a plurality of countermeasures applicable to the managed terminal having a security risk. Here, the security risk includes a vulnerability existing in the managed terminal or a threat caused by an external attack on the managed terminal. The managed terminal is a terminal that is connected to the information processing device 10 via a network and whose security status is monitored. Managed terminals are not limited to communication devices such as client terminals, servers, switches and routers on the network, but also anything that has a function to connect to the network and a means to communicate via the network (so-called IoT (Internet of Things)). (Included). In addition, countermeasures are measures to eliminate, avoid, or reduce vulnerabilities and threats, and applicable countermeasures are measures that can be taken on managed terminals among the measures against vulnerabilities and threats. Say. The selection reception unit 110 accepts selection input for dealing with a security risk (here, vulnerability A) via a screen as shown in FIG. 2, for example.

図２は、情報処理装置１０が生成し、情報処理装置１０に接続された表示装置（不図示）に表示させる画面の一例を示す図である。尚、図２は、セキュリティリスクが脆弱性Ａである場合の画面の例である。図２の画面には、脆弱性Ａのある管理対象端末の台数（「リスクあり」）と、各対処を仮に実行した場合の対処後の残存リスク（脆弱性Ａの残る管理対象端末）の数（「対処後残存リスク」）と、未来時刻（ここでは、一週間後）における残存リスクの予測値（「残存リスク予測値」）と、脆弱性Ａに対する各対処（「対処（１）」、「対処（２）」、及び「対処（３）」）と、が対応付けて表示されている。各対処の列の欄のかっこ内に記載されている数字は、その列に対応する対処を適用可能な管理対象端末の台数を示している。図２の画面には、脆弱性Ａの概要や、脆弱性Ａに対する各対処の内容も表示されている。図２の画面例では、脆弱性Ａのある９０台の管理対象端末のうち、「対処（１）」を適用可能な管理対象端末が２８台であり、「対処（２）」を適用可能な管理対象端末が６９台であり、「対処（３）」を適用可能な管理対象端末が１５台であることを示している。尚、対処別の端末数を合算した値が、母数となる端末数（９０台）と異なるのは、複数の対処を適用可能な管理対象端末が存在するためである。また、図２の画面では、「残存リスクの予測値」の下向きの黒三角形をクリックすると、選択可能な未来時刻（例えば、即時、翌日、一週間後、一か月後など）を示すドロップダウンリストが表示されるようになっている。ドロップダウンリストの中から未来時刻が選択されると、残存リスクの予測値には、選択された未来時刻（ここでは、一週間後）における予測値が表示されるようになっている。 FIG. 2 is a diagram showing an example of a screen generated by the information processing device 10 and displayed on a display device (not shown) connected to the information processing device 10. Note that FIG. 2 is an example of a screen when the security risk is vulnerability A. On the screen of FIG. 2, the number of managed terminals with vulnerability A (“risk”) and the number of residual risks after countermeasures (managed terminals with vulnerability A remaining) if each countermeasure is tentatively executed. (“Residual risk after countermeasures”), predicted value of residual risk at future time (here, one week later) (“predicted residual risk”), and countermeasures for vulnerability A (“Countermeasure (1)”, “Countermeasure (2)” and “Countermeasure (3)”) are displayed in association with each other. The number in parentheses in the column of each action indicates the number of managed terminals to which the action corresponding to that column can be applied. On the screen of FIG. 2, an outline of the vulnerability A and the contents of each countermeasure against the vulnerability A are also displayed. In the screen example of FIG. 2, out of 90 managed terminals having vulnerability A, 28 managed terminals to which "countermeasure (1)" can be applied, and "countermeasure (2)" can be applied. It shows that there are 69 managed terminals and 15 managed terminals to which "Countermeasure (3)" can be applied. The value obtained by adding up the number of terminals for each countermeasure is different from the number of terminals (90) as a parameter because there are managed terminals to which a plurality of countermeasures can be applied. Also, on the screen of FIG. 2, clicking the downward black triangle of "Predicted value of residual risk" will show a dropdown showing the future time that can be selected (for example, immediate, next day, one week, one month, etc.). A list is displayed. When a future time is selected from the drop-down list, the predicted value of the residual risk is displayed with the predicted value at the selected future time (here, one week later).

図２の画面は、例えば、図３に示されるような、脆弱性Ａに対して管理対象端末毎に適用可能な対処を示す情報（端末別対処情報）を基に情報処理装置１０によって生成される。図３は、端末別対処情報の一例を示す図である。尚、図３は、セキュリティリスクが脆弱性Ａである場合の端末別対処情報の例である。端末別対処情報は、各管理対象端末を識別する端末識別情報（例えば、ＭＡＣ（Media Access Control）アドレスなど）と、それぞれの管理対象端末に適用可能な対処を示す情報と、を含む。端末別対処情報は、例えば、各ベンダーなどから提供される、セキュリティリスク及びその対処法などを示す情報（リスク情報）に基づいて管理対象端末を予め調査することで生成され、所定の格納部（不図示）に格納される。図３の例では、脆弱性Ａに対して、端末Ａは「対処（１）」及び「対処（３）」が適用可能であり、端末Ｂは「対処（２）」が適用可能であり、端末Ｃは「対処（３）」が適用可能となっている。図３に示されるような端末別対処情報を格納する格納部は、情報処理装置１０に備えられていても良いし、情報処理装置１０と通信可能に接続された他の装置に格納されていても良い。 The screen of FIG. 2 is generated by the information processing apparatus 10 based on information (terminal-specific countermeasure information) indicating measures applicable to each managed terminal for vulnerability A, as shown in FIG. 3, for example. To. FIG. 3 is a diagram showing an example of countermeasure information for each terminal. Note that FIG. 3 is an example of countermeasure information for each terminal when the security risk is vulnerability A. The terminal-specific handling information includes terminal identification information (for example, a MAC (Media Access Control) address) that identifies each managed terminal, and information indicating a handling applicable to each managed terminal. The terminal-specific handling information is generated by investigating the managed terminal in advance based on information (risk information) indicating security risks and countermeasures provided by each vendor, for example, and is a predetermined storage unit (predetermined storage unit). Stored in (not shown). In the example of FIG. 3, for the vulnerability A, "countermeasure (1)" and "countermeasure (3)" can be applied to the terminal A, and "countermeasure (2)" can be applied to the terminal B. "Countermeasure (3)" can be applied to the terminal C. The storage unit for storing the terminal-specific handling information as shown in FIG. 3 may be provided in the information processing device 10, or may be stored in another device communicably connected to the information processing device 10. Is also good.

残存端末特定部１４０は、所定の格納部（不図示）から端末別対処情報を読み出し、読み出した端末別対処情報に基づいて、選択受付部１１０の受け付けた選択入力が示す対処を仮に実行した場合に、セキュリティリスクが残る管理対象端末（以下、残存端末とも表記）を特定する。上述したように、端末別対処情報は、セキュリティリスクに対して管理対象端末毎に適用可能な対処を示す情報であり、図３に示されるような形式で格納部に格納されている。残存端末特定部１４０は、選択入力が示す対処を適用可能な管理対象端末を、図３に示されるような端末別対処情報の端末識別情報と適用可能な対処との対応関係から特定することができる。同時に、残存端末特定部１４０は、セキュリティリスクが残る管理対象端末（残存端末）を特定することができる。 When the remaining terminal specifying unit 140 reads the terminal-specific handling information from a predetermined storage unit (not shown) and temporarily executes the handling indicated by the selection input received by the selection receiving unit 110 based on the read terminal-specific handling information. In addition, the managed terminal (hereinafter, also referred to as the remaining terminal) in which the security risk remains is specified. As described above, the terminal-specific countermeasure information is information indicating countermeasures applicable to each managed terminal for security risks, and is stored in the storage unit in the format as shown in FIG. The remaining terminal specifying unit 140 may specify the managed terminal to which the countermeasure indicated by the selection input can be applied from the correspondence relationship between the terminal identification information of the terminal-specific countermeasure information as shown in FIG. 3 and the applicable countermeasure. can. At the same time, the remaining terminal specifying unit 140 can specify the managed terminal (residual terminal) for which the security risk remains.

稼働情報特定部１２０は、上述の端末別対処情報と、管理対象端末の稼働情報の種類とセキュリティリスクに対する対処との対応関係を定義する定義情報と、を用いて、管理対象端末に適用可能な対処に対応する稼働情報の種類を特定する。稼働情報とは、管理対象端末で実際に行われた動作や処理の履歴を示す情報（稼働履歴情報）、又は、管理装置でこれから行われる予定の動作や処理を示す情報（稼働予定情報）の少なくとも一方を含む情報である。これらの稼働情報は、各管理対象端末での所定の動作や処理の実行又は所定の動作や処理の実行予定の入力に応じて、各管理対象端末で生成されてその管理対象端末の記憶部に記憶される。また「稼働情報の種類」とは、各稼働情報が属する分類を意味する。例えば、「稼働履歴情報の種類」の具体例としては、「パッチ適用履歴」、「再起動履歴」、「連続稼働時間」、「ポート利用履歴」、「プロセス稼働履歴」、「アプリケーション利用履歴」などが挙げられる。また例えば、「稼働予定情報の種類」の具体例としては、「パッチ適用予定日時」、「再起動予定日時」、「アプリケーション起動予定日時」などが挙げられる。但し、稼働情報の種類はここで挙げた例に限定されない。 The operation information specifying unit 120 can be applied to a managed terminal by using the above-mentioned terminal-specific countermeasure information and definition information that defines a correspondence relationship between the type of operation information of the managed terminal and the countermeasure against a security risk. Identify the type of operation information that corresponds to the action. The operation information is information indicating the history of operations and processes actually performed on the managed terminal (operation history information), or information indicating the operations and processes scheduled to be performed on the management device (operation schedule information). Information that includes at least one. These operation information are generated in each managed terminal in response to the execution of a predetermined operation or process in each managed terminal or the input of the execution schedule of the predetermined operation or process, and are stored in the storage unit of the managed terminal. It will be remembered. Further, the "type of operation information" means the classification to which each operation information belongs. For example, specific examples of "type of operation history information" include "patch application history", "restart history", "continuous operation time", "port usage history", "process operation history", and "application usage history". And so on. Further, for example, specific examples of the "type of scheduled operation information" include "scheduled patch application date and time", "scheduled restart date and time", and "scheduled application startup date and time". However, the types of operation information are not limited to the examples given here.

定義情報は、例えば図４に示されるような形式で所定の格納部（不図示）に格納されている。図４は、定義情報の一例を示す図である。尚、図４は、セキュリティリスクが脆弱性Ａである場合の定義情報の例である。図４では、脆弱性Ａに対する対処（「対処（１）」、「対処（２）」、及び「対処（３）」）と、その対処を適用するか否かを決定する際に参考となる、管理対象端末の稼働情報の種類と、が対応付けて格納されている。図４の例では、「対処（１）」は、パッチＡＡＡＡを適用し、再起動するという対処である。また、「対処（２）」は、プロセスＺＺＺＺを停止するという対処である。また、「対処（３）」は、ポート１０２７をブロックするという対処である。また、「対処（１）」に対応する「稼働情報の種類」は、「パッチ適用履歴」、「再起動履歴」、及び「連続稼働時間」である。また、「対処（２）」に対応する「稼働情報の種類」は、「プロセスＺＺＺＺの利用履歴」である。また、「対処（３）」に対応する「稼働情報の種類」は、「ポート１０２７の利用履歴」である。図４に示されるような定義情報を格納する格納部は、情報処理装置１０に備えられていても良いし、情報処理装置１０と通信可能に接続された他の装置に格納されていても良い。 The definition information is stored in a predetermined storage unit (not shown) in a format as shown in FIG. 4, for example. FIG. 4 is a diagram showing an example of definition information. Note that FIG. 4 is an example of definition information when the security risk is vulnerability A. FIG. 4 serves as a reference when deciding whether or not to apply the countermeasures (“Countermeasures (1)”, “Countermeasures (2)”, and “Countermeasures (3)”) for Vulnerability A. , And the type of operation information of the managed terminal are stored in association with each other. In the example of FIG. 4, "action (1)" is a measure of applying the patch AAAAA and restarting. Further, "countermeasure (2)" is a countermeasure of stopping the process ZZZZ. Further, "countermeasure (3)" is a countermeasure of blocking port 1027. The "type of operation information" corresponding to "action (1)" is "patch application history", "restart history", and "continuous operation time". Further, the "type of operation information" corresponding to the "countermeasure (2)" is the "use history of process ZZZZ". Further, the "type of operation information" corresponding to the "countermeasure (3)" is the "usage history of port 1027". The storage unit for storing the definition information as shown in FIG. 4 may be provided in the information processing device 10 or may be stored in another device communicably connected to the information processing device 10. ..

稼働情報特定部１２０は、例えば、図３の端末別対処情報と図４の定義情報とを基に、管理対象端末毎に、適用可能な対処とそれに対応する稼働情報の種類とを特定する。具体的には、稼働情報特定部１２０は、図３の端末別対処情報を基に、脆弱性Ａに対して、端末Ａは「対処（１）」及び「対処（３）」が適用可能であることを特定する。そして、稼働情報特定部１２０は、図４の定義情報を基に、「対処（１」」に対応する「稼働情報の種類」を「パッチ適用履歴」、「再起動履歴」、及び「連続稼働時間」と特定する。また、稼働情報特定部１２０は、図４の定義情報を基に、「対処（３）」に対応する「稼働情報の種類」を「ポート１０２７の利用履歴」と特定する。稼働情報特定部１２０は、端末Ａと同様に、端末Ｂについても適用可能な対処（「対処（２）」のみ）とそれに対応する稼働情報の種類（「プロセスＺＺＺＺの利用履歴」）とを特定する。 The operation information specifying unit 120 specifies applicable measures and types of operation information corresponding to each managed terminal, for example, based on the terminal-specific handling information of FIG. 3 and the definition information of FIG. Specifically, the operation information specifying unit 120 can apply "countermeasure (1)" and "countermeasure (3)" to the vulnerability A based on the countermeasure information for each terminal in FIG. Identify that. Then, based on the definition information in FIG. 4, the operation information specifying unit 120 sets the "operation information type" corresponding to "action (1"" to "patch application history", "restart history", and "continuous operation". The operation information specifying unit 120 specifies the "type of operation information" corresponding to the "action (3)" as the "usage history of port 1027" based on the definition information of FIG. Similar to the terminal A, the operation information specifying unit 120 determines the countermeasures applicable to the terminal B (only "countermeasure (2)") and the types of operation information corresponding to the countermeasures ("use history of process ZZZZ"). Identify.

稼働情報取得部１３０は、稼働情報特定部１２０が特定した種類の稼働情報を取得する。稼働情報取得部１３０は、例えば以下に示すようにして、管理対象端末の稼働情報の中から稼働情報特定部１２０が特定した種類の稼働情報を取得する。 The operation information acquisition unit 130 acquires the type of operation information specified by the operation information identification unit 120. The operation information acquisition unit 130 acquires the type of operation information specified by the operation information specifying unit 120 from the operation information of the managed terminal, for example, as shown below.

稼働情報取得部１３０は、例えば、稼働情報特定部１２０が特定した稼働情報の種類を管理対象端末に通知し、管理対象端末からの応答としてその種類の稼働情報を受け取る。又は、稼働情報取得部１３０は、管理対象端末に格納されている稼働情報を取得し、その中から稼働情報特定部１２０が特定した種類の稼働情報を抽出しても良い。ここで、稼働情報取得部１３０は、管理対象端末に格納されている全ての稼働情報の中から必要な稼働情報を取得しても良いし、管理対象端末に格納されている所定期間（例えば一ヶ月分など）内の稼働情報の中から必要な稼働情報を取得しても良い。稼働情報の一例は、過去の所定期間（例えば過去一ヶ月分など）内に行われた稼働履歴に関する情報、すなわち、過去に行われた再起動に関する情報や、過去にアクセスされたポート番号に関する情報、過去に実行されたプロセスに関する情報を含んでいても良い。稼働情報の他の一例は、未来の所定期間（例えば将来一ヵ月分など）に予定される稼働予定に関する情報、すなわち、将来に実行が予定される再起動に関する情報や、将来アクセスされるポート番号に関する情報、将来に実行が予定されるプロセスに関する情報を含んでいても良い。また、稼働情報は、これらの組み合わせであっても良い。未来の稼働予定は、管理対象端末を管理するサブシステムが存在する場合、そこから取得するようにしても良い。 For example, the operation information acquisition unit 130 notifies the management target terminal of the type of operation information specified by the operation information identification unit 120, and receives the operation information of that type as a response from the management target terminal. Alternatively, the operation information acquisition unit 130 may acquire the operation information stored in the managed terminal and extract the operation information of the type specified by the operation information specifying unit 120 from the operation information. Here, the operation information acquisition unit 130 may acquire necessary operation information from all the operation information stored in the managed terminal, or may acquire necessary operation information from all the operation information stored in the managed terminal, or may acquire necessary operation information for a predetermined period stored in the managed terminal (for example, one). You may acquire the necessary operation information from the operation information in (months, etc.). An example of operation information is information on the history of operations performed within a predetermined period in the past (for example, for the past month), that is, information on restarts performed in the past and information on port numbers accessed in the past. , May contain information about processes that have been executed in the past. Another example of operational information is information about upcoming operations scheduled for a given period in the future (for example, one month in the future), that is, information about upcoming restarts and port numbers that will be accessed in the future. May include information about, and processes that are planned to run in the future. Further, the operation information may be a combination of these. If there is a subsystem that manages the managed terminal, the future operation schedule may be acquired from there.

具体的には、稼働情報取得部１３０は、図５に示されるような稼働情報を取得する。図５は、稼働情報取得部１３０が取得する稼働情報の一例を示す図である。尚、図５は、セキュリティリスクが脆弱性Ａである場合の稼働情報の例である。稼働情報取得部１３０は、稼働情報特定部１２０が特定した稼働情報の種類に基づいて、端末Ａで適用可能な「対処（１）」については、「パッチ適用履歴」、「再起動履歴」、及び「連続稼働時間」の稼働情報を端末Ａから取得する。また、稼働情報取得部１３０は、稼働情報特定部１２０が特定した稼働情報の種類に基づいて、端末Ａで適用可能な「対処（３）」については、「ポート１０２７の利用履歴」の稼働情報を端末Ａから取得する。稼働情報取得部１３０は、端末Ａと同様に、端末Ｂについても、端末Ｂで適用可能な「対処（２）」について、「プロセスＺＺＺＺの利用履歴」の稼働情報を端末Ｂから取得する。稼働情報が過去の稼働履歴に関する場合、稼働情報の日付は過去となる。稼働情報が未来の稼働予定に関する場合、稼働情報の日付は未来となる。 Specifically, the operation information acquisition unit 130 acquires operation information as shown in FIG. FIG. 5 is a diagram showing an example of operation information acquired by the operation information acquisition unit 130. Note that FIG. 5 is an example of operation information when the security risk is vulnerability A. Based on the type of operation information specified by the operation information specifying unit 120, the operation information acquisition unit 130 has "patch application history", "restart history", and "reaction history" for "action (1)" applicable to the terminal A. And, the operation information of "continuous operation time" is acquired from the terminal A. Further, the operation information acquisition unit 130 uses the operation information of the "port 1027 usage history" for the "action (3)" applicable to the terminal A based on the type of operation information specified by the operation information identification unit 120. Is obtained from the terminal A. Similar to the terminal A, the operation information acquisition unit 130 acquires the operation information of the “process ZZZZ usage history” from the terminal B for the “action (2)” applicable to the terminal B. If the operation information is related to the past operation history, the date of the operation information is in the past. If the operation information relates to a future operation schedule, the date of the operation information will be in the future.

予測部１５０は、稼働情報取得部１３０が取得した稼働情報に基づいて、未来時刻において、セキュリティリスクが残る管理対象端末（残存端末）の数を予測する。例えば、図５に示される稼働情報によれば、予測部１５０は、端末Ａについて次のような予測をすることができる（尚、ここでは予測部１５０が図５の稼働情報を２０１５年５月２７日（水）の時点で確認しているものとする）。予測部１５０は、「対処（１）」に対応付けられた「再起動履歴」を参照することにより、定期的な再起動の実行タイミングを判断することができる。「再起動履歴」の欄と共に、又は、「再起動履歴」の欄に替えて、「再起動予定」の欄が設けられ、「再起動予定」の欄に将来の再起動予定の情報が格納されている場合には、「再起動予定」を参照することにより再起動の実行タイミングを判断することができる。例えば、予定日時が最も近い再起動予定を、再起動の実行タイミングであると予測乃至判断しても良い。また、予測部１５０は、「対処（１）」に対応付けられた「パッチ適用履歴」を参照することにより、定期的なパッチの適用タイミングを判断することができる。具体的には、端末Ａについて、毎週木曜日の午前中に、定期的にパッチが適用されて端末Ａが再起動されていることが読み取れる。ここから、予測部１５０は、「対処（１）」の適用タイミング、つまり、パッチＡＡＡＡを適用し、再起動するタイミングを、「次の木曜日の午前中」、つまり、「２０１５年５月２８日（木）の午前中」と予測することができる。なぜならば、過去の再起動履歴によれば、過去３回の再起動のうち３回が木曜日の１０時に行われているため、この周期性に基づいて、次の再起動も木曜日の１０時と予測することができるからである。別の方法では、再起動の回数を曜日ごとに集計して、集計した数が多い順に再起動が行われやすい曜日であると予測しても良い。また、予測部１５０は、「対処（３）」に対応付けられた「ポート１０２７の利用履歴」を参照することにより、ポート１０２７の利用履歴を判断することができる。具体的には、端末Ａについて、前々日と前日の２日連続でポート１０２７を利用していることが読み取れる。このように、「ポート１０２７の利用履歴」に複数の利用日時の情報が格納されている場合は、予測部１５０は、ポート１０２７が今後も利用される可能性があると判断し、「対処（３）」の適用タイミング、つまり、ポート１０２７をブロックするタイミングを、長めに設定された所定日数が経過した後のタイミングとしても良い。又は、予測部１５０は、端末Ａについて、「対処（３）」を日時予測の対象から除外、つまり、端末Ａには「対処（３）」を適用しないと判断しても良い。本実施の形態１においては、予測部１５０は、前者のように、ポート１０２７をブロックするタイミングを、長めに設定された所定日数が経過した後のタイミング、例えば、一週間後の「２０１５年６月３日（水）」と予測するものとする。尚、上述の所定日数を何日にするかは、予め決められた日数とすれば良い。このように、対処に対応する稼働情報を参照することによって、予測部１５０は、その対処を実行するタイミングを容易に予測することができる。 The prediction unit 150 predicts the number of managed terminals (remaining terminals) for which security risk remains at a future time based on the operation information acquired by the operation information acquisition unit 130. For example, according to the operation information shown in FIG. 5, the prediction unit 150 can make the following predictions for the terminal A (here, the prediction unit 150 can make the operation information of FIG. 5 in May 2015. It is assumed that it has been confirmed as of Wednesday, 27th). The prediction unit 150 can determine the execution timing of the periodic restart by referring to the "restart history" associated with the "action (1)". Along with the "Restart history" column or in place of the "Restart history" column, a "Restart schedule" column is provided, and information on future restart plans is stored in the "Restart schedule" column. If so, the restart execution timing can be determined by referring to "Restart Schedule". For example, the restart schedule closest to the scheduled date and time may be predicted or determined to be the execution timing of the restart. Further, the prediction unit 150 can determine the periodic patch application timing by referring to the "patch application history" associated with the "action (1)". Specifically, it can be read that the patch is periodically applied to the terminal A every Thursday morning and the terminal A is restarted. From here, the prediction unit 150 sets the application timing of "Countermeasure (1)", that is, the timing of applying the patch AAAA and restarting, to "next Thursday morning", that is, "May 28, 2015". It can be predicted that "Thursday morning". This is because, according to the past restart history, three of the past three restarts were performed at 10 o'clock on Thursday, so based on this periodicity, the next restart will also be at 10 o'clock on Thursday. Because it can be predicted. In another method, the number of restarts may be aggregated for each day of the week, and it may be predicted that the restarts are likely to occur in descending order of the aggregated number. Further, the prediction unit 150 can determine the usage history of the port 1027 by referring to the "usage history of the port 1027" associated with the "action (3)". Specifically, it can be read that the terminal A is using the port 1027 for two consecutive days, the day before the previous day and the day before. In this way, when a plurality of usage date and time information is stored in the "usage history of port 1027", the prediction unit 150 determines that the port 1027 may be used in the future, and "takes action ( The application timing of "3)", that is, the timing of blocking the port 1027 may be set as the timing after a predetermined number of days set longer has elapsed. Alternatively, the prediction unit 150 may determine that the "countermeasure (3)" is excluded from the target of the date and time prediction for the terminal A, that is, the "countermeasure (3)" is not applied to the terminal A. In the first embodiment, as in the former case, the prediction unit 150 sets the timing of blocking the port 1027 to a timing after a predetermined number of days set longer has elapsed, for example, "2015 6" one week later. It is expected to be "Wednesday, March 3". The number of days to be set as the above-mentioned predetermined number of days may be a predetermined number of days. In this way, by referring to the operation information corresponding to the countermeasure, the prediction unit 150 can easily predict the timing of executing the countermeasure.

予測部１５０は、残存端末特定部１４０が特定した残存端末以外の管理対象端末について、上述のようにして、適用可能な対処を適用する適用タイミングを予測する。詳細には、予測部１５０は、残存端末以外の各管理対象端末について、図３の端末別対処情報を基に、適用可能な対処を特定し、図５の稼働情報を基に、適用可能な対処の適用タイミングを予測する。予測部１５０は、残存端末以外の各管理対象端末について、予測した適用タイミングで適用可能な対処が実行され、脆弱性Ａが無くなったと仮定する。例えば、端末Ａについては、上述したように、「対処（１）」の適用タイミングを「２０１５年５月２８日（木）の午前中」と予測し、「対処（３）」の適用タイミングを「２０１５年６月３日（水）」と予測している。そのため、予測部１５０は、端末Ａについて、早い方の「２０１５年５月２８日（木）の午前中」に脆弱性Ａが無くなったと仮定する。このような仮定に従い、予測部１５０は、残存端末の数が所定数（例えば、０台）以下になる未来時刻まで、時系列的に、各未来時刻（例えば、即時、翌日、一週間後、一か月後など）毎に、その時点で脆弱性Ａが残っている管理対象端末（残存端末）の数を集計し、この集計値を残存リスク（脆弱性Ａの残る管理対象端末）の数の予測値とする。図６は、予測部１５０が予測する予測結果の一例を示す図である。尚、図６は、セキュリティリスクが脆弱性Ａである場合の予測結果の例である。図６の予測結果は、選択受付部１１０が、「対処（１）」、「対処（２）」、及び「対処（３）」が選択されたことを示す入力を受け付けた場合の予測結果である。図６の例は、所定数が０台である場合の例であり、予測部１５０は、残存端末の数が０台以下になる「三か月後」まで、時系列的に、残存端末の数を予測している。具体的には、図６の例では、残存端末の数は、「即時実行後」に２２台になり、「翌日」に１３台になり、「一週間後」に６台になり、「一か月後」に２台になり、「三か月後」に０台になると予測されている。 As described above, the prediction unit 150 predicts the application timing to which the applicable countermeasures are applied to the managed terminals other than the residual terminals specified by the residual terminal identification unit 140. Specifically, the prediction unit 150 identifies applicable countermeasures for each managed terminal other than the remaining terminals based on the terminal-specific countermeasure information of FIG. 3, and is applicable based on the operation information of FIG. Predict the timing of application of countermeasures. It is assumed that the prediction unit 150 takes applicable measures at the predicted application timing for each managed terminal other than the remaining terminals, and the vulnerability A disappears. For example, for terminal A, as described above, the application timing of "countermeasure (1)" is predicted to be "in the morning of May 28, 2015 (Thursday)", and the application timing of "countermeasure (3)" is set. It is predicted to be "Wednesday, June 3, 2015". Therefore, the prediction unit 150 assumes that the vulnerability A disappears in the earlier terminal A "in the morning of May 28, 2015 (Thursday)". According to such an assumption, the prediction unit 150 determines each future time (for example, immediate, next day, one week later) in chronological order until the future time when the number of remaining terminals becomes a predetermined number (for example, 0) or less. For each (one month later, etc.), the number of managed terminals (residual terminals) for which vulnerability A remains at that time is totaled, and this aggregated value is the number of residual risks (managed terminals with remaining vulnerability A). It is the predicted value of. FIG. 6 is a diagram showing an example of the prediction result predicted by the prediction unit 150. Note that FIG. 6 is an example of the prediction result when the security risk is vulnerability A. The prediction result of FIG. 6 is a prediction result when the selection reception unit 110 receives an input indicating that "countermeasure (1)", "countermeasure (2)", and "countermeasure (3)" are selected. be. The example of FIG. 6 is an example in the case where the predetermined number is 0, and the prediction unit 150 determines the remaining terminals in chronological order until "three months later" when the number of remaining terminals becomes 0 or less. I'm predicting the number. Specifically, in the example of FIG. 6, the number of remaining terminals becomes 22 "after immediate execution", 13 "next day", 6 "one week later", and "1". It is predicted that the number will be two in "months later" and zero in "three months later".

提示部１６０は、予測部１５０が予測した予測結果を、例えば情報処理装置１０に接続された表示装置（不図示）などに提示する。例えば、提示部１６０は、図７に示すように、予測部１５０が予測した予測結果（「残存リスク予測値」）と、残存端末特定部１４０が特定した残存端末の数を集計した結果（「対処後残存リスク」）と、を図２の画面に反映させる。図７は、提示部１６０が提示する画面の一例を示す図である。尚、図７は、セキュリティリスクが脆弱性Ａである場合の画面の例である。図７では、図２の画面で「対処（１）」、「対処（２）」、及び「対処（３）」が全て選択された場合の画面を例示している。図７の画面では、「残存リスクの予測値」のドロップダウンリストにおいて、「一週間後」が選択されている。そのため、「一週間後」における「残存リスクの予測値」が表示されている。但し、別の未来時刻が選択された場合は、選択された未来時刻（例えば、「翌日」）における「残存リスクの予測値」が表示される。このように、情報処理装置１０によって提示される画面においてセキュリティリスクに対する対処が選択されると、その対処を仮に実行した場合の結果がその画面に反映される。 The presentation unit 160 presents the prediction result predicted by the prediction unit 150 to, for example, a display device (not shown) connected to the information processing device 10. For example, as shown in FIG. 7, the presentation unit 160 aggregates the prediction result (“residual risk prediction value”) predicted by the prediction unit 150 and the number of remaining terminals specified by the residual terminal identification unit 140 (“remaining risk prediction value”). "Residual risk after coping") is reflected in the screen of FIG. FIG. 7 is a diagram showing an example of a screen presented by the presentation unit 160. Note that FIG. 7 is an example of a screen when the security risk is vulnerability A. FIG. 7 illustrates a screen when all of “Countermeasure (1)”, “Countermeasure (2)”, and “Countermeasure (3)” are selected on the screen of FIG. On the screen of FIG. 7, "one week later" is selected in the drop-down list of "predicted value of residual risk". Therefore, the "predicted value of residual risk" in "one week later" is displayed. However, when another future time is selected, the "predicted value of residual risk" at the selected future time (for example, "next day") is displayed. As described above, when the countermeasure for the security risk is selected on the screen presented by the information processing apparatus 10, the result of the provisional execution of the countermeasure is reflected on the screen.

又は、提示部１６０は、図７の画面の代わりに、図８に示されるような、各未来時刻における「残存リスクの予測値」を、時系列的にグラフ化したグラフを表す画面を表示しても良い。図８は、提示部１６０が提示する画面の他の例を示す図である。尚、図８は、セキュリティリスクが脆弱性Ａである場合の画面の例である。また、図８は、現時点の残存リスク（脆弱性Ａの残る管理対象端末）の数も合わせて表示しているが、現時点の残存リスクの数を表示するか否かは特に限定されない。 Alternatively, instead of the screen of FIG. 7, the presentation unit 160 displays a screen showing a graph in which the “predicted value of residual risk” at each future time is graphed in chronological order, as shown in FIG. May be. FIG. 8 is a diagram showing another example of the screen presented by the presentation unit 160. Note that FIG. 8 is an example of a screen when the security risk is vulnerability A. Further, FIG. 8 also displays the number of residual risks at the present time (managed terminals with remaining vulnerability A), but it is not particularly limited whether or not to display the number of residual risks at the present time.

［ハードウエア構成］
図９は、本実施の形態１に係る情報処理装置１０のハードウエア構成を概念的に示す図である。図９に示されるように、本実施の形態１に係る情報処理装置１０は、プロセッサ１０１、メモリ１０２、ストレージ１０３、入出力インタフェース（入出力Ｉ／Ｆ）１００４、及び通信インタフェース（通信Ｉ／Ｆ）１０５などを備える。プロセッサ１０１、メモリ１０２、ストレージ１０３、入出力インタフェース１０４、及び通信インタフェース１０５は、相互にデータを送受信するためのデータ伝送路で接続されている。 [Hardware configuration]
FIG. 9 is a diagram conceptually showing the hardware configuration of the information processing apparatus 10 according to the first embodiment. As shown in FIG. 9, the information processing apparatus 10 according to the first embodiment includes a processor 101, a memory 102, a storage 103, an input / output interface (input / output I / F) 1004, and a communication interface (communication I / F). ) 105 and the like. The processor 101, the memory 102, the storage 103, the input / output interface 104, and the communication interface 105 are connected by a data transmission line for transmitting and receiving data to and from each other.

プロセッサ１０１は、例えばＣＰＵ（Central Processing Unit）やＧＰＵ（Graphics Processing Unit）などの演算処理装置である。メモリ１０２は、例えばＲＡＭ（Random Access Memory）やＲＯＭ（Read Only Memory）などのメモリである。ストレージ１０３は、例えばＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、又はメモリカードなどの記憶装置である。また、ストレージ１０３は、ＲＡＭやＲＯＭなどのメモリであっても良い。 The processor 101 is, for example, an arithmetic processing unit such as a CPU (Central Processing Unit) or a GPU (Graphics Processing Unit). The memory 102 is, for example, a memory such as a RAM (Random Access Memory) or a ROM (Read Only Memory). The storage 103 is, for example, a storage device such as an HDD (Hard Disk Drive), an SSD (Solid State Drive), or a memory card. Further, the storage 103 may be a memory such as a RAM or a ROM.

ストレージ１０３は、情報処理装置１０が備える各処理部（選択受付部１１０、稼働情報特定部１２０、稼働情報取得部１３０、残存端末特定部１４０、予測部１５０、及び提示部１６０など）の機能を実現するプログラムを記憶している。プロセッサ１０１は、これら各プログラムを実行することで、各処理部の機能をそれぞれ実現する。ここで、プロセッサ１０１は、上記各プログラムを実行する際、これらのプログラムをメモリ１０２上に読み出してから実行しても良いし、メモリ１０２上に読み出さずに実行しても良い。 The storage 103 functions as each processing unit (selection reception unit 110, operation information identification unit 120, operation information acquisition unit 130, remaining terminal identification unit 140, prediction unit 150, presentation unit 160, etc.) included in the information processing device 10. I remember the program to be realized. The processor 101 realizes the function of each processing unit by executing each of these programs. Here, when executing each of the above programs, the processor 101 may read these programs onto the memory 102 and then execute the programs, or the processor 101 may execute the programs without reading them onto the memory 102.

入出力インタフェース１０４は、表示装置１０４１や入力装置１０４２などと接続される。表示装置１０４１は、ＬＣＤ（Liquid Crystal Display）やＣＲＴ（Cathode Ray Tube）ディスプレイのような、プロセッサ１０１により処理された描画データに対応する画面を表示する装置である。入力装置１０４２は、オペレータの操作入力を受け付ける装置であり、例えば、キーボード、マウス、及びタッチセンサなどである。表示装置１０４１及び入力装置１０４２は一体化され、タッチパネルとして実現されていても良い。 The input / output interface 104 is connected to a display device 1041 or an input device 1042. The display device 1041 is a device such as an LCD (Liquid Crystal Display) or a CRT (Cathode Ray Tube) display that displays a screen corresponding to drawing data processed by the processor 101. The input device 1042 is a device that receives an operator's operation input, and is, for example, a keyboard, a mouse, a touch sensor, and the like. The display device 1041 and the input device 1042 may be integrated and realized as a touch panel.

通信インタフェース１０５は、外部の装置との間でデータを送受信する。例えば、通信インタフェース１０５は、有線ネットワーク又は無線ネットワークを介して外部装置と通信する。 The communication interface 105 transmits / receives data to / from an external device. For example, the communication interface 105 communicates with an external device via a wired network or a wireless network.

尚、情報処理装置１０のハードウエア構成は、図９に示される構成に制限されない。 The hardware configuration of the information processing apparatus 10 is not limited to the configuration shown in FIG.

［動作例］
図１０を用いて、本実施の形態１に係る情報処理装置１０の動作例を説明する。図１０は、本実施の形態１に係る情報処理装置１０の処理の流れを示すフローチャートである。以下では、セキュリティリスクが脆弱性Ａである場合の動作例を説明する。 [Operation example]
An operation example of the information processing apparatus 10 according to the first embodiment will be described with reference to FIG. FIG. 10 is a flowchart showing a processing flow of the information processing apparatus 10 according to the first embodiment. The following describes an operation example when the security risk is vulnerability A.

まず、選択受付部１１０は、図２に示されるような画面を介して、セキュリティ管理者の入力を受け付ける（Ｓ１０１）。セキュリティ管理者の入力は、画面に提示された脆弱性Ａに対する複数の対処のうち少なくとも１つの対処を選択する入力である。 First, the selection reception unit 110 accepts the input of the security administrator via the screen as shown in FIG. 2 (S101). The input of the security administrator is an input for selecting at least one countermeasure among a plurality of countermeasures for the vulnerability A presented on the screen.

次に、残存端末特定部１４０は、選択受付部１１０で受け付けた入力が示す対処をキーとして、端末別対処情報を格納する格納部を参照し、脆弱性Ａの残る残存端末を特定する（Ｓ１０２）。例えば、格納部が図３の端末別対処情報を格納しており、選択受付部１１０が、「対処（１）」が選択されたことを示す入力を受け付けたとする。この場合、残存端末特定部１４０は、少なくとも「端末Ｂ」及び「端末Ｃ」を「対処（１）」を適用できない端末（残存端末）として特定する。 Next, the remaining terminal specifying unit 140 refers to the storage unit that stores the terminal-specific handling information, using the response indicated by the input received by the selection receiving unit 110 as a key, and identifies the remaining terminal in which the vulnerability A remains (S102). ). For example, it is assumed that the storage unit stores the countermeasure information for each terminal shown in FIG. 3, and the selection reception unit 110 receives an input indicating that "countermeasure (1)" is selected. In this case, the remaining terminal specifying unit 140 specifies at least "terminal B" and "terminal C" as terminals (residual terminals) to which "countermeasure (1)" cannot be applied.

次に、稼働情報特定部１２０は、管理対象端末に適用可能な対処に対応する稼働情報の種類を特定し（Ｓ１０３）、稼働情報取得部１３０は、稼働情報特定部１２０が特定した種類の稼働情報を、管理対象端末から取得する（Ｓ１０４）。例えば、格納部が図３の端末別対処情報及び図４の定義情報を有していたとする。この場合、稼働情報特定部１２０は、端末Ａについては、「対処（１）」及び「対処（３）」が適用可能であることと、「対処（１）」に対応する稼働情報の種類が「パッチ適用履歴」、「再起動履歴」、及び「連続稼働時間」であり、また、「対処（３）」に対応する稼働情報の種類が「ポート１０２７の利用履歴」であることと、を特定する。そのため、稼働情報取得部１３０は、端末Ａについては、端末Ａの稼働情報の中から、「パッチ適用履歴」、「再起動履歴」、「連続稼働時間」、及び「ポート１０２７の利用履歴」を取得する。 Next, the operation information specifying unit 120 specifies the type of operation information corresponding to the countermeasure applicable to the managed terminal (S103), and the operation information acquisition unit 130 is the operation of the type specified by the operation information specifying unit 120. Information is acquired from the managed terminal (S104). For example, it is assumed that the storage unit has the terminal-specific handling information of FIG. 3 and the definition information of FIG. In this case, the operation information specifying unit 120 can apply "countermeasure (1)" and "countermeasure (3)" to the terminal A, and the type of operation information corresponding to "countermeasure (1)" is "Patch application history", "restart history", and "continuous operation time", and the type of operation information corresponding to "action (3)" is "port 1027 usage history". Identify. Therefore, for the terminal A, the operation information acquisition unit 130 obtains the "patch application history", the "restart history", the "continuous operation time", and the "usage history of the port 1027" from the operation information of the terminal A. get.

次に、予測部１５０は、稼働情報取得部１３０が取得した稼働情報に基づいて、未来時刻における残存端末の数を予測する（Ｓ１０５）。例えば、格納部が図３の端末別対処情報を格納し、稼働情報取得部１３０が図５の稼働情報を取得していたとする。この場合、予測部１５０は、残存端末特定部１４０が特定した残存端末以外の管理対象端末について、図３の端末別対処情報を基に、適用可能な対処を特定し、図５の稼働情報を基に、適用可能な対処の適用タイミングを予測し、各未来時刻毎に、その時点での残存端末の数を集計することで、図６のような予測結果を得る。
その後、提示部１６０は、予測部１５０が予測した予測結果を提示する（Ｓ１０６）。提示部１６０は、図７に示されるように、図２の画面に予測結果を反映させた画面を提示しても良いし、図８に示されるように、予測結果を時系列にグラフ化したグラフの画面を提示しても良い。 Next, the prediction unit 150 predicts the number of remaining terminals in the future time based on the operation information acquired by the operation information acquisition unit 130 (S105). For example, it is assumed that the storage unit stores the terminal-specific handling information of FIG. 3, and the operation information acquisition unit 130 acquires the operation information of FIG. In this case, the prediction unit 150 identifies applicable countermeasures for the managed terminals other than the residual terminals specified by the residual terminal identification unit 140 based on the terminal-specific countermeasure information of FIG. 3, and obtains the operation information of FIG. Based on this, the application timing of the applicable countermeasure is predicted, and the number of remaining terminals at that time is totaled for each future time to obtain the prediction result as shown in FIG.
After that, the presentation unit 160 presents the prediction result predicted by the prediction unit 150 (S106). As shown in FIG. 7, the presentation unit 160 may present a screen that reflects the prediction result on the screen of FIG. 2, or the prediction result is graphed in chronological order as shown in FIG. You may present the screen of the graph.

［実施の形態１の作用と効果］
以上、本実施の形態１によれば、未来時刻における、選択された対処を仮に実行した場合の残存端末（残存リスク）の数を予測し、その予測結果を提示する。この提示を見たセキュリティ管理者は、複数の対処のうちのどの対処を実行すると、未来時刻にどれだけの残存端末が残るかといったことを把握することができる。これにより、セキュリティ管理者は、提示された対処をただちに適用するべきか、また、複数の対処が提示された場合に、最適な対処はどれかを判断することができる。すなわち、本実施の形態１によれば、セキュリティ管理者がセキュリティリスクに対する対処の立案を容易に行うことができる。 [Action and effect of Embodiment 1]
As described above, according to the first embodiment, the number of remaining terminals (residual risk) when the selected countermeasure is tentatively executed in the future time is predicted, and the prediction result is presented. The security administrator who sees this presentation can understand which of the multiple measures should be taken to determine how many remaining terminals will remain in the future time. This allows the security administrator to determine whether the suggested action should be applied immediately, and if multiple actions are offered, which is the best action. That is, according to the first embodiment, the security manager can easily plan a countermeasure against a security risk.

［実施の形態２］
本実施の形態２は、実施の形態１をより具体化したものである。 [Embodiment 2]
The second embodiment is a more specific version of the first embodiment.

［システム構成］
図１１は、本実施の形態２に係る情報処理システム１のシステム構成を概念的に示す図である。図１１に示されるように、本実施の形態２に係る情報処理システム１は、情報処理装置１０、管理者端末２０、及び管理対象端末３０を含んで構成される。管理者端末２０は、セキュリティ管理者が操作する端末であり、据え置き型のＰＣ（Personal Computer）やタブレット端末などである。管理対象端末３０は、ネットワーク上のクライアント端末、サーバ、スイッチやルータなどの通信機器だけではなく、ネットワークに接続する機能やネットワークを介して通信する手段を有するあらゆる物（所謂ＩｏＴ（Internet of Things）に含まれる物）である。 [System configuration]
FIG. 11 is a diagram conceptually showing the system configuration of the information processing system 1 according to the second embodiment. As shown in FIG. 11, the information processing system 1 according to the second embodiment includes an information processing device 10, an administrator terminal 20, and a managed terminal 30. The administrator terminal 20 is a terminal operated by a security administrator, such as a stationary PC (Personal Computer) or a tablet terminal. The managed terminal 30 is not limited to communication devices such as client terminals, servers, switches and routers on the network, but also anything having a function for connecting to the network and a means for communicating via the network (so-called IoT (Internet of Things)). Included in).

［処理構成］
図１１に示されるように、本実施の形態２に係る情報処理装置１０は、実施の形態１の稼働情報取得部１３０に代えて情報取得部１７０を備え、更に、リスク調査部１８０、表示処理部１９０、リスク情報格納部１９２、分類情報格納部１９４、及び定義情報格納部１９６を備える。尚、情報取得部１７０は、稼働情報取得部１３０に相当する役割を果たす他、後述の他の役割も果たす。 [Processing configuration]
As shown in FIG. 11, the information processing apparatus 10 according to the second embodiment includes an information acquisition unit 170 instead of the operation information acquisition unit 130 of the first embodiment, and further includes a risk investigation unit 180 and a display process. A unit 190, a risk information storage unit 192, a classification information storage unit 194, and a definition information storage unit 196 are provided. The information acquisition unit 170 plays a role corresponding to the operation information acquisition unit 130, and also plays other roles described later.

情報取得部１７０は、管理対象端末３０の各々から端末情報を取得し、図１２に示されるような情報を得る。図１２は、情報取得部１７０が取得した端末情報の一例を示す図である。端末情報は、例えば、管理対象端末３０のＯＳ（Operating System）の種別、ＯＳのバージョン、管理対象端末３０にインストールされている各種アプリケーションなどを含む。但し、端末情報は、図１２に例示するような情報に制限されない。情報取得部１７０は、実施の形態１に係る稼働情報取得部１３０の動作、すなわち、管理対象端末３０の各々から、稼働情報特定部１２０が特定した種類の稼働情報を取得する動作も行う。 The information acquisition unit 170 acquires terminal information from each of the managed terminals 30, and obtains information as shown in FIG. FIG. 12 is a diagram showing an example of terminal information acquired by the information acquisition unit 170. The terminal information includes, for example, the type of OS (Operating System) of the managed terminal 30, the version of the OS, various applications installed in the managed terminal 30, and the like. However, the terminal information is not limited to the information illustrated in FIG. The information acquisition unit 170 also performs the operation of the operation information acquisition unit 130 according to the first embodiment, that is, the operation of acquiring the operation information of the type specified by the operation information identification unit 120 from each of the managed terminals 30.

リスク調査部１８０は、情報取得部１７０が取得した端末情報と、各ベンダーなどから提供されるセキュリティリスクに関する情報などとを照らし合わせて、セキュリティリスクのある管理対象端末３０を調査し、図３に示されるような端末別対処情報を含むリスク情報を生成する。例えば、セキュリティリスクが脆弱性Ａである場合、リスク情報は、図３に示されるような端末別対処情報に加え、脆弱性Ａの概要や、各対処の説明といった情報を更に含んでいても良い。リスク調査部１８０は、生成したリスク情報をリスク情報格納部１９２に格納する。 The risk investigation unit 180 investigates the managed terminal 30 having a security risk by comparing the terminal information acquired by the information acquisition unit 170 with the information on the security risk provided by each vendor and the like, and FIG. 3 shows. Generate risk information, including terminal-specific action information as shown. For example, when the security risk is Vulnerability A, the risk information may further include information such as an outline of Vulnerability A and an explanation of each countermeasure in addition to the terminal-specific countermeasure information as shown in FIG. .. The risk investigation unit 180 stores the generated risk information in the risk information storage unit 192.

表示処理部１９０は、リスク情報格納部１９２に格納されているリスク情報を用いて、管理者端末２０の表示部（不図示）に表示する画面を生成し、管理者端末２０に出力する。本実施の形態２では、表示処理部１９０は、例えば、図１３に示されるような分類情報格納部１９４の分類情報を用いて、例えば、図１４に示すような、脆弱性Ａのある端末を分類して表示する画面を生成する。分類情報を用いることにより、残存端末の傾向を判断することができる。図１３は、分類情報格納部１９４が格納する分類情報の一例を示す図であり、図１４は、表示処理部１９０が生成する画面の一例を示す図である。尚、図１４は、セキュリティリスクが脆弱性Ａである場合の画面の例である。図１３の例では、分類情報格納部１９４は、各管理対象端末を識別する端末識別情報（例えば、ＭＡＣアドレスなど）と２種類の分類情報（端末の種別、優先度）とを対応付けて格納している。詳細には、管理対象端末３０は、まず「サーバ」と「クライアント」に分類され、更に、「クライアント」に属する管理対象端末３０は優先度の大小によって分類されている。表示処理部１９０は、図１３に示される分類情報を用いて、図１４に示されるように、管理対象端末３０を、分類（「サーバ」又は「クライアント」、また「クライアント」であればその優先度の「大／中／小」）して表示する画面を生成し、管理者端末２０の表示部（不図示）に表示させる。 The display processing unit 190 uses the risk information stored in the risk information storage unit 192 to generate a screen to be displayed on the display unit (not shown) of the administrator terminal 20 and outputs the screen to the administrator terminal 20. In the second embodiment, the display processing unit 190 uses the classification information of the classification information storage unit 194 as shown in FIG. 13, for example, to display a terminal having the vulnerability A as shown in FIG. Generate a screen to classify and display. By using the classification information, the tendency of the remaining terminals can be determined. FIG. 13 is a diagram showing an example of classification information stored in the classification information storage unit 194, and FIG. 14 is a diagram showing an example of a screen generated by the display processing unit 190. Note that FIG. 14 is an example of a screen when the security risk is vulnerability A. In the example of FIG. 13, the classification information storage unit 194 stores terminal identification information (for example, MAC address, etc.) for identifying each managed terminal and two types of classification information (terminal type, priority) in association with each other. is doing. Specifically, the managed terminal 30 is first classified into a "server" and a "client", and further, the managed terminal 30 belonging to the "client" is classified according to the degree of priority. The display processing unit 190 uses the classification information shown in FIG. 13 to classify the managed terminal 30 as shown in FIG. 14 (“server” or “client”, or if it is a “client”, its priority). A screen to be displayed is generated by "large / medium / small"), and is displayed on the display unit (not shown) of the administrator terminal 20.

セキュリティ管理者は、管理者端末２０に表示される画面（例えば、図１４の画面）を確認し、脆弱性Ａに対して適用する対処の選択入力を行う。ここで入力された結果が、選択受付部１１０に送信される。選択受付部１１０は、分類毎の選択入力を図１４に示されるような画面を介して受け付け、残存端末特定部１４０は、その分類毎の選択入力に基づいて、分類毎に選択された対処を仮に実行した場合の残存端末を分類毎に特定する。また、予測部１５０は、分類毎に選択された対処を仮に実行した場合の未来時刻における残存端末の数を分類毎に予測する。このとき、予測部１５０は、例えば、図１５に示されるような予測を行う。図１５は、予測部１５０が予測する予測結果の一例を示す図である。尚、図１５は、セキュリティリスクが脆弱性Ａである場合の予測結果の例である。図１５の予測結果は、選択受付部１１０が、「サーバ」については、「対処（１）」、「対処（２）」、及び「対処（３）」が選択され、「クライアント」については、優先度が「大」、「中」、及び「小」の全てにおいて、「対処（１）」及び「対処（２）」が選択されたことを示す入力を受け付けた場合の予測結果である。図１５の例は、所定数が０台である場合の例であり、予測部１５０は、全体の残存端末の数が０台以下になる「三か月後」まで、時系列的に、残存端末の数を予測している。具体的には、図１５の例では、全体の残存端末の数は、「即時実行後」に２２台になり、「翌日」に１３台になり、「一週間後」に６台になり、「一か月後」に２台になり、「三か月後」に０台になると予測されている。 The security administrator confirms the screen displayed on the administrator terminal 20 (for example, the screen of FIG. 14), and inputs the selection of the countermeasure to be applied to the vulnerability A. The result input here is transmitted to the selection reception unit 110. The selection reception unit 110 accepts the selection input for each classification via the screen as shown in FIG. 14, and the remaining terminal identification unit 140 takes measures selected for each classification based on the selection input for each classification. The remaining terminals when executed are specified for each classification. Further, the prediction unit 150 predicts the number of remaining terminals in the future time for each classification when the countermeasure selected for each classification is tentatively executed. At this time, the prediction unit 150 makes a prediction as shown in FIG. 15, for example. FIG. 15 is a diagram showing an example of the prediction result predicted by the prediction unit 150. Note that FIG. 15 is an example of the prediction result when the security risk is vulnerability A. As for the prediction result of FIG. 15, the selection reception unit 110 selects "action (1)", "action (2)", and "action (3)" for the "server", and selects "action (3)" for the "client". It is a prediction result when the input indicating that "countermeasure (1)" and "countermeasure (2)" are selected is accepted in all of the priority "large", "medium", and "small". The example of FIG. 15 is an example when the predetermined number is 0, and the prediction unit 150 remains in chronological order until "three months later" when the total number of remaining terminals becomes 0 or less. Predicting the number of terminals. Specifically, in the example of FIG. 15, the total number of remaining terminals is 22 "after immediate execution", 13 "next day", and 6 "one week later". It is predicted that the number will be 2 in "1 month" and 0 in "3 months".

そして、提示部１６０は、例えば図１６に示されるように、分類毎の残存端末の数及びそれら全体の残存端末の数（「対処後残存リスク」）と、分類毎の未来時刻における残存端末の数の予測値及びそれら全体の残存端末の数の予測値（残存リスク予測値）と、を表示する画面を提示する。図１６は、提示部１６０が提示する画面の一例を示す図である。尚、図１６は、セキュリティリスクが脆弱性Ａである場合の画面の例である。図１６の画面で、各対処の列の欄のかっこ内に記載されている数字は、その列に対応する対処を仮に実行した場合に脆弱性Ａが無くなる管理対象端末３０の台数を示しており、他の対処の選択に応じて変化する。例えば、優先度が「大」の「クライアント」について、「対処（２）」の列の欄のかっこ内に記載されている数字は、図１４の画面では「５」であるが、図１６の画面では「２」である。これは、「対処（２）」のみを単独で適用した場合は脆弱性Ａが無くなる優先度が「大」の「クライアント」の台数は５台であるが、「対処（１）」及び「対処（２）」を併用して適用した場合は、その５台のうち３台は「対処（１）」の適用により脆弱性Ａが無くなり、残りの２台が「対処（２）」の適用により脆弱性Ａが無くなることを意味している。 Then, as shown in FIG. 16, for example, the presentation unit 160 includes the number of remaining terminals for each classification, the total number of remaining terminals (“residual risk after coping”), and the remaining terminals at the future time for each classification. A screen for displaying the predicted value of the number and the predicted value of the total number of remaining terminals (residual risk predicted value) is presented. FIG. 16 is a diagram showing an example of a screen presented by the presentation unit 160. Note that FIG. 16 is an example of a screen when the security risk is vulnerability A. On the screen of FIG. 16, the numbers in parentheses in the column of each countermeasure indicate the number of managed terminals 30 for which vulnerability A disappears if the countermeasure corresponding to that column is tentatively executed. , Varies according to other coping options. For example, for a "client" with a priority of "large", the number in parentheses in the column of "action (2)" is "5" on the screen of FIG. 14, but in FIG. It is "2" on the screen. This is because if only "Countermeasure (2)" is applied independently, the number of "clients" whose priority is "Large" to eliminate vulnerability A is 5, but "Countermeasure (1)" and "Countermeasure". When "(2)" is applied together, 3 out of 5 units will have the vulnerability A eliminated by applying "Countermeasure (1)", and the remaining 2 units will be applied by applying "Countermeasure (2)". It means that the vulnerability A will disappear.

又は、提示部１６０は、図１６の画面の代わりに、図１７に示されるような、各未来時刻における分類毎の「残存リスクの予測値」を、時系列的にグラフ化したグラフを表す画面を表示しても良い。図１７は、提示部１６０が提示する画面の他の例を示す図である。図１７は、提示部１６０が提示する画面の他の例を示す図である。尚、図１７は、セキュリティリスクが脆弱性Ａである場合の画面の例である。また、図１７は、現時点の残存リスク（脆弱性Ａの残る管理対象端末）の数も合わせて表示しているが、現時点の残存リスクの数を表示するか否かは特に限定されない。 Alternatively, instead of the screen of FIG. 16, the presentation unit 160 is a screen showing a graph in which the “predicted value of residual risk” for each classification at each future time is graphed in chronological order, as shown in FIG. May be displayed. FIG. 17 is a diagram showing another example of the screen presented by the presentation unit 160. FIG. 17 is a diagram showing another example of the screen presented by the presentation unit 160. Note that FIG. 17 is an example of a screen when the security risk is vulnerability A. Further, FIG. 17 also displays the number of residual risks at the present time (managed terminals with remaining vulnerability A), but it is not particularly limited whether or not to display the number of residual risks at the present time.

尚、提示部１６０が提示する図１６又は図１７の画面は、表示処理部１９０によって管理者端末２０に出力され、管理者端末２０の表示部（不図示）に表示される。 The screen of FIG. 16 or FIG. 17 presented by the presentation unit 160 is output to the administrator terminal 20 by the display processing unit 190 and displayed on the display unit (not shown) of the administrator terminal 20.

定義情報格納部１９６は、管理対象端末３０の稼働情報の種類とセキュリティリスクに対する対処との対応関係を定義する定義情報（例えば、図４の定義情報）を格納する。定義情報は、例えば、サーバ装置（不図示）から情報処理装置１０に配信することとして良い。稼働情報特定部１２０は、定義情報格納部１９６に格納されている定義情報を用いて、稼働情報の種類を特定する。 The definition information storage unit 196 stores definition information (for example, definition information in FIG. 4) that defines a correspondence relationship between the type of operation information of the managed terminal 30 and the response to a security risk. The definition information may be distributed, for example, from the server device (not shown) to the information processing device 10. The operation information specifying unit 120 specifies the type of operation information by using the definition information stored in the definition information storage unit 196.

［ハードウエア構成］
本実施の形態２に係る情報処理装置１０は、実施の形態１と同様のハードウエア構成を有する。ストレージ１０３は、本実施の形態２に係る各処理部（情報取得部１７０、リスク調査部１８０、及び表示処理部１９０）の機能を実現するプログラムを更に格納しており、プロセッサ１０１がこれらのプログラムを実行することにより、本実施の形態２に係る各処理部が実現される。また、メモリ１０２やストレージ１０３は、リスク情報格納部１９２、分類情報格納部１９４、及び定義情報格納部１９６としての役割も果たす。 [Hardware configuration]
The information processing apparatus 10 according to the second embodiment has the same hardware configuration as that of the first embodiment. The storage 103 further stores a program that realizes the functions of each processing unit (information acquisition unit 170, risk investigation unit 180, and display processing unit 190) according to the second embodiment, and the processor 101 further stores these programs. By executing the above, each processing unit according to the second embodiment is realized. The memory 102 and the storage 103 also serve as a risk information storage unit 192, a classification information storage unit 194, and a definition information storage unit 196.

［動作例］
図１８を用いて、本実施の形態２に係る情報処理装置１０の動作例を説明する。図１８は、本実施の形態２に係る情報処理装置１０の処理の流れを示すフローチャートである。以下では、セキュリティリスクが脆弱性Ａである場合の動作例を説明する。 [Operation example]
An operation example of the information processing apparatus 10 according to the second embodiment will be described with reference to FIG. FIG. 18 is a flowchart showing a processing flow of the information processing apparatus 10 according to the second embodiment. The following describes an operation example when the security risk is vulnerability A.

情報取得部１７０は、例えば、管理者端末２０からの画面表示要求に応じて、各管理対象端末３０の端末情報を取得する（Ｓ２０１）。そして、リスク調査部１８０は、例えば、取得した各管理対象端末３０の端末情報に基づいて、脆弱性Ａのある管理対象端末３０を調査し、リスク情報を生成する（Ｓ２０２）。リスク調査部１８０は、例えば、取得した各管理対象端末３０の端末情報と各ベンダーなどから提供される脆弱性Ａに関する情報とを照らし合わせて、脆弱性Ａのある管理対象端末３０及び適用可能な対処などを特定することができる。尚、Ｓ２０１及びＳ２０２の処理は、管理者端末２０からの画面表示要求を受ける前に予め実行されていても良い。この場合、管理者端末２０からの画面表示要求に応じて、以下のＳ２０３の処理が実行される。 The information acquisition unit 170 acquires terminal information of each management target terminal 30 in response to a screen display request from the administrator terminal 20, for example (S201). Then, the risk investigation unit 180 investigates the managed terminal 30 having the vulnerability A based on the acquired terminal information of each managed terminal 30, and generates the risk information (S202). The risk investigation unit 180 compares, for example, the acquired terminal information of each managed terminal 30 with the information about the vulnerability A provided by each vendor or the like, and the managed terminal 30 having the vulnerability A and the applicable one. It is possible to specify the countermeasures. The processes of S201 and S202 may be executed in advance before receiving the screen display request from the administrator terminal 20. In this case, the following processing of S203 is executed in response to the screen display request from the administrator terminal 20.

表示処理部１９０は、Ｓ２０２で生成されたリスク情報と、分類情報格納部１９４に格納されている分類情報とに基づいて、脆弱性Ａのある端末を調査した結果を表示する画面（例えば、図１４の画面）を生成し、管理者端末２０の表示部（不図示）に表示させる（Ｓ２０３）。管理者端末２０を操作するセキュリティ管理者は、表示された画面の内容を確認し、複数の対処の少なくとも１つを選択する入力操作を行う。そして、選択受付部１１０は、管理者端末２０での入力操作によって選択された対処を示す情報を管理者端末２０から受け付ける（Ｓ２０４）。残存端末特定部１４０は、管理者端末２０で選択された対処を示す情報と端末別対処情報とに基づいて、分類毎に残存端末を特定する（Ｓ２０５）。例えば、リスク情報格納部１９２が図３の端末別対処情報を格納しており、選択受付部１１０が、「サーバ」について、「対処（１）」及び「対処（２）」が選択されたことを示す入力を受け付けたとする。この場合、残存端末特定部１４０は、少なくとも「端末Ｃ」を「対処（１）」及び「対処（２）」のいずれも適用できない端末（残存端末）として特定する。 The display processing unit 190 displays a screen (for example, a figure) for displaying the result of investigating a terminal having vulnerability A based on the risk information generated in S202 and the classification information stored in the classification information storage unit 194. 14 screens) are generated and displayed on the display unit (not shown) of the administrator terminal 20 (S203). The security administrator who operates the administrator terminal 20 confirms the contents of the displayed screen and performs an input operation for selecting at least one of a plurality of countermeasures. Then, the selection reception unit 110 receives information from the administrator terminal 20 indicating the action selected by the input operation on the administrator terminal 20 (S204). The remaining terminal specifying unit 140 identifies the remaining terminal for each classification based on the information indicating the countermeasure selected by the administrator terminal 20 and the countermeasure information for each terminal (S205). For example, the risk information storage unit 192 stores the terminal-specific countermeasure information shown in FIG. 3, and the selection reception unit 110 selects “countermeasure (1)” and “countermeasure (2)” for the “server”. It is assumed that the input indicating the above is accepted. In this case, the remaining terminal specifying unit 140 specifies at least "terminal C" as a terminal (residual terminal) to which neither "countermeasure (1)" nor "countermeasure (2)" can be applied.

次に、稼働情報特定部１２０は、管理対象端末３０に適用可能な対処に対応する稼働情報の種類を特定し（Ｓ２０６）、稼働情報取得部１３０は、稼働情報特定部１２０が特定した種類の稼働情報を、管理対象端末３０から取得する（Ｓ２０７）。例えば、リスク情報格納部１９２が図３の端末別対処情報を格納し、定義情報格納部１９６が図４の定義情報を格納していたとする。この場合、稼働情報特定部１２０は、端末Ａについては、「対処（１）」及び「対処（３）」が適用可能であることと、「対処（１）」に対応する稼働情報の種類が「パッチ適用履歴」、「再起動履歴」、及び「連続稼働時間」であり、また、「対処（３）」に対応する稼働情報の種類が「ポート１０２７の利用履歴」であることと、を特定する。そのため、稼働情報取得部１３０は、端末Ａについては、端末Ａの稼働情報の中から、「パッチ適用履歴」、「再起動履歴」、「連続稼働時間」、及び「ポート１０２７の利用履歴」を取得する。 Next, the operation information specifying unit 120 specifies the type of operation information corresponding to the measures applicable to the managed terminal 30 (S206), and the operation information acquisition unit 130 is the type specified by the operation information specifying unit 120. The operation information is acquired from the managed terminal 30 (S207). For example, it is assumed that the risk information storage unit 192 stores the terminal-specific countermeasure information of FIG. 3, and the definition information storage unit 196 stores the definition information of FIG. In this case, the operation information specifying unit 120 can apply "countermeasure (1)" and "countermeasure (3)" to the terminal A, and the type of operation information corresponding to "countermeasure (1)" is "Patch application history", "restart history", and "continuous operation time", and the type of operation information corresponding to "action (3)" is "port 1027 usage history". Identify. Therefore, for the terminal A, the operation information acquisition unit 130 obtains the "patch application history", the "restart history", the "continuous operation time", and the "usage history of the port 1027" from the operation information of the terminal A. get.

次に、予測部１５０は、稼働情報取得部１３０が取得した稼働情報に基づいて、分類毎に、未来時刻における残存端末の数を予測する（Ｓ２０８）。例えば、リスク情報格納部１９２が図３の端末別対処情報を格納し、情報取得部１７０が図５の稼働情報を取得していたとする。この場合、予測部１５０は、残存端末特定部１４０が特定した残存端末以外の管理対象端末３０について、図３の端末別対処情報を基に、適用可能な対処を特定し、図５の稼働情報を基に、適用可能な対処の適用タイミングを予測し、各未来時刻毎に、その時点での残存端末の数を集計する。この処理を、分類毎に行うことで、図１５のような予測結果を得る。
その後、提示部１６０は、予測部１５０が予測した予測結果を提示する（Ｓ２０９）。提示部１６０は、図１６に示されるように、図１４の画面に予測結果を反映させた画面を提示しても良いし、図１７に示されるように、予測結果を時系列にグラフ化したグラフの画面を提示しても良い。 Next, the prediction unit 150 predicts the number of remaining terminals in the future time for each classification based on the operation information acquired by the operation information acquisition unit 130 (S208). For example, it is assumed that the risk information storage unit 192 stores the terminal-specific countermeasure information of FIG. 3, and the information acquisition unit 170 acquires the operation information of FIG. In this case, the prediction unit 150 identifies applicable countermeasures for the managed terminals 30 other than the residual terminals specified by the residual terminal identification unit 140 based on the terminal-specific countermeasure information of FIG. 3, and the operation information of FIG. Based on, predict the application timing of applicable measures, and total the number of remaining terminals at that time for each future time. By performing this process for each classification, the prediction result as shown in FIG. 15 is obtained.
After that, the presentation unit 160 presents the prediction result predicted by the prediction unit 150 (S209). As shown in FIG. 16, the presentation unit 160 may present a screen that reflects the prediction result on the screen of FIG. 14, or the prediction result is graphed in chronological order as shown in FIG. You may present the screen of the graph.

以上、本実施の形態２によれば、実施の形態１と同様の効果を得ることができる。 As described above, according to the second embodiment, the same effect as that of the first embodiment can be obtained.

以上、実施の形態を参照して本発明を説明したが、本発明は上記によって限定されるものではない。本発明の構成や詳細には、発明のスコープ内で当業者が理解し得る様々な変更をすることができる。 Although the present invention has been described above with reference to the embodiments, the present invention is not limited to the above. Various changes that can be understood by those skilled in the art can be made to the structure and details of the present invention within the scope of the invention.

例えば、上述の各実施の形態において、画面で選択された内容に基づいて各管理対象端末に対処を実行させるボタンが画面上に更に設けられていても良い。当該ボタンが押下されると、情報処理装置１０は、選択された内容に従って各端末に対処を実行させる命令を生成し、各端末に向けて出力する。 For example, in each of the above-described embodiments, a button for causing each managed terminal to take action based on the content selected on the screen may be further provided on the screen. When the button is pressed, the information processing apparatus 10 generates an instruction to cause each terminal to execute a countermeasure according to the selected content, and outputs the command to each terminal.

また、上述の各実施の形態においては、未来時刻における残存端末の数を提示する態様について説明した。しかし、残存端末に関する指標を提示することもできる。残存端末に関する指標には、例えば、セキュリティリスクのある端末の数に対する残存端末の数の割合や当該割合に応じた色などが含まれる。 Further, in each of the above-described embodiments, an aspect of presenting the number of remaining terminals at a future time has been described. However, it is also possible to present an index regarding the remaining terminal. The index relating to the remaining terminals includes, for example, the ratio of the number of remaining terminals to the number of terminals having a security risk, the color corresponding to the ratio, and the like.

また、上述の各実施の形態においては、セキュリティリスクに対する対処の選択入力に応じて未来時刻における残存端末の数を提示する態様について説明した。しかし、例えば適用しうる対処の数が少ない場合などは、選択入力にかかわらず全ての対処を適用した場合の残存端末の数をはじめから提示することもできる。 Further, in each of the above-described embodiments, an aspect of presenting the number of remaining terminals in the future time according to the selective input of the countermeasure against the security risk has been described. However, for example, when the number of applicable countermeasures is small, the number of remaining terminals when all the countermeasures are applied regardless of the selection input can be presented from the beginning.

また、上述の各実施の形態においては、管理対象端末に対して予め調査することで生成した端末別対処情報を読み出し、読み出した端末別対処情報に基づいて未来時刻における残存端末の数を提示する態様ついて説明した。しかし、未来時刻における残存端末の数を提示する前に、管理対象端末に対して調査することで端末別対処情報を取得することもできる。 Further, in each of the above-described embodiments, the terminal-specific handling information generated by investigating the managed terminal in advance is read, and the number of remaining terminals in the future time is presented based on the read terminal-specific handling information. Aspects have been described. However, it is also possible to acquire countermeasure information for each terminal by investigating the managed terminal before presenting the number of remaining terminals in the future time.

また、上述の実施の形態２においては、管理対象端末を、まず、サーバとクライアントに分類し、更に、クライアントを優先度の大小で分類した。しかし、分類の方法はこれに限定されず、サーバとクライアントに分類するに留めたり、サーバ又はクライアントにかかわらず、優先度の大小で分類したりすることもできる。また、その他の方法で分類することもできる。 Further, in the second embodiment described above, the managed terminals are first classified into servers and clients, and the clients are further classified according to the degree of priority. However, the classification method is not limited to this, and the classification can be limited to the server and the client, or can be classified according to the priority level regardless of the server or the client. It can also be classified by other methods.

また、上述の説明で用いた複数のフローチャートでは、複数の工程（処理）が順番に記載されているが、各実施の形態で実行される工程の実行順序は、その記載の順番に制限されない。各実施の形態では、図示される工程の順番を内容的に支障のない範囲で変更することができる。また、上述の各実施の形態は、内容が相反しない範囲で組み合わせることができる。 Further, in the plurality of flowcharts used in the above description, a plurality of steps (processes) are described in order, but the execution order of the steps executed in each embodiment is not limited to the order of description. In each embodiment, the order of the illustrated steps can be changed within a range that does not hinder the contents. Further, the above-described embodiments can be combined as long as the contents do not conflict with each other.

上記実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
（付記１）
セキュリティリスクを有する端末に適用可能な複数の対処の中から少なくとも１つの対処が選択されたことを示す入力を受け付ける選択受付部と、
前記セキュリティリスクに対して前記端末毎に適用可能な対処を示す端末別対処情報と、前記端末の稼働情報の種類と前記セキュリティリスクに対する対処との対応関係を定義する定義情報と、を用いて、前記端末に適用可能な対処に対応する稼働情報の種類を特定する稼働情報特定部と、
前記端末の稼働情報のうち前記稼働情報特定部が特定した種類の稼働情報を取得する稼働情報取得部と、
前記端末別対処情報に基づいて、前記選択受付部が受け付けた対処を適用した場合に、前記セキュリティリスクが残る端末である残存端末を特定する残存端末特定部と、
前記稼働情報取得部が取得した稼働情報に基づいて、未来時刻における前記残存端末の数を予測する予測部と、
前記予測部が予測した予測結果を提示する提示部と、
を備える情報処理装置。
（付記２）
前記予測部は、
未来時刻における前記残存端末の数を時系列的に予測し、
前記提示部は、
未来時刻における前記残存端末の数を時系列的にグラフ化したグラフを提示する、
付記１に記載の情報処理装置。
（付記３）
前記予測部は、
前記残存端末の数が所定数以下になる未来時刻まで、前記残存端末の数を時系列的に予測する、
付記２に記載の情報処理装置。
（付記４）
前記端末を分類する分類情報を格納する分類情報格納部を更に備え、
前記予測部は、
前記端末の分類毎に、未来時刻における前記残存端末の数を予測する、
付記１から３のいずれか１項に記載の情報処理装置。
（付記５）
情報処理装置が行う情報処理方法であって、
セキュリティリスクを有する端末に適用可能な複数の対処の中から少なくとも１つの対処が選択されたことを示す入力を受け付けるステップと、
前記セキュリティリスクに対して前記端末毎に適用可能な対処を示す端末別対処情報と、前記端末の稼働情報の種類と前記セキュリティリスクに対する対処との対応関係を定義する定義情報と、を用いて、前記端末に適用可能な対処に対応する稼働情報の種類を特定するステップと、
前記端末の稼働情報のうち前記特定した種類の稼働情報を取得するステップと、
前記端末別対処情報に基づいて、前記受け付けた対処を適用した場合に、前記セキュリティリスクが残る端末である残存端末を特定するステップと、
前記取得した稼働情報に基づいて、未来時刻における前記残存端末の数を予測する予測ステップと、
前記予測した予測結果を提示する提示ステップと、
を含む情報処理方法。
（付記６）
前記予測ステップでは、
未来時刻における前記残存端末の数を時系列的に予測し、
前記提示ステップでは、
未来時刻における前記残存端末の数を時系列的にグラフ化したグラフを提示する、
ことを含む付記５に記載の情報処理方法。
（付記７）
前記予測ステップでは、
前記残存端末の数が所定数以下になる未来時刻まで、前記残存端末の数を時系列的に予測する、付記６に記載の情報処理方法。
（付記８）
前記端末を分類する分類情報を格納する分類情報格納部を更に備え、
前記予測ステップでは、
前記端末の分類毎に、未来時刻における前記残存端末の数を予測する、付記５から７のいずれか１項に記載の情報処理方法。
（付記９）
コンピュータに、
セキュリティリスクを有する端末に適用可能な複数の対処の中から少なくとも１つの対処が選択されたことを示す入力を受け付ける手順と、
前記セキュリティリスクに対して前記端末毎に適用可能な対処を示す端末別対処情報と、前記端末の稼働情報の種類と前記セキュリティリスクに対する対処との対応関係を定義する定義情報と、を用いて、前記端末に適用可能な対処に対応する稼働情報の種類を特定する手順と、
前記端末の稼働情報のうち前記特定した種類の稼働情報を取得する手順と、
前記端末別対処情報に基づいて、前記受け付けた対処を適用した場合に、前記セキュリティリスクが残る端末である残存端末を特定する手順と、
前記取得した稼働情報に基づいて、未来時刻における前記残存端末の数を予測する予測手順と、
前記予測した予測結果を提示する提示手順と、
を実行させるためのプログラム。
（付記１０）
前記予測手順では、
未来時刻における前記残存端末の数を時系列的に予測し、
前記提示手順では、
未来時刻における前記残存端末の数を時系列的にグラフ化したグラフを提示する、
ことを含む付記９に記載のプログラム。
（付記１１）
前記予測手順では、
前記残存端末の数が所定数以下になる未来時刻まで、前記残存端末の数を時系列的に予測する、付記１０に記載のプログラム。
（付記１２）
前記コンピュータに、
前記端末を分類する分類情報を格納する手順を更に実行させ、
前記予測手順では、
前記端末の分類毎に、未来時刻における前記残存端末の数を予測する、付記９から１１のいずれか１項に記載のプログラム。 Some or all of the above embodiments may be described as in the appendix below, but are not limited to the following.
(Appendix 1)
A selection reception unit that accepts an input indicating that at least one countermeasure has been selected from a plurality of countermeasures applicable to terminals having a security risk.
Using the terminal-specific countermeasure information indicating the countermeasures applicable to the security risk for each terminal, and the definition information defining the correspondence relationship between the type of operation information of the terminal and the countermeasure against the security risk, An operation information identification unit that specifies the type of operation information corresponding to the measures applicable to the terminal, and
An operation information acquisition unit that acquires the type of operation information specified by the operation information identification unit among the operation information of the terminal, and an operation information acquisition unit.
Based on the terminal-specific handling information, when the handling received by the selection reception unit is applied, the remaining terminal specifying unit that identifies the remaining terminal that is the terminal for which the security risk remains, and the remaining terminal specifying unit.
A prediction unit that predicts the number of remaining terminals at a future time based on the operation information acquired by the operation information acquisition unit.
A presentation unit that presents the prediction result predicted by the prediction unit, and a presentation unit.
Information processing device equipped with.
(Appendix 2)
The prediction unit
Predict the number of the remaining terminals in the future time in chronological order,
The presentation unit is
Presenting a graph in which the number of the remaining terminals in the future time is graphed in chronological order.
The information processing apparatus according to Appendix 1.
(Appendix 3)
The prediction unit
Predict the number of remaining terminals in chronological order until a future time when the number of remaining terminals becomes a predetermined number or less.
The information processing device according to Appendix 2.
(Appendix 4)
A classification information storage unit for storing classification information for classifying the terminal is further provided.
The prediction unit
For each classification of the terminals, the number of the remaining terminals at the future time is predicted.
The information processing apparatus according to any one of Supplementary note 1 to 3.
(Appendix 5)
It is an information processing method performed by an information processing device.
A step that accepts an input indicating that at least one action has been selected from multiple actions applicable to terminals with security risks.
Using the terminal-specific countermeasure information indicating the countermeasures applicable to the security risk for each terminal, and the definition information defining the correspondence relationship between the type of operation information of the terminal and the countermeasure against the security risk, A step to identify the type of operation information corresponding to the countermeasure applicable to the terminal, and
The step of acquiring the operation information of the specified type among the operation information of the terminal, and
Based on the terminal-specific countermeasure information, the step of identifying the remaining terminal, which is the terminal on which the security risk remains when the accepted countermeasure is applied, and
A prediction step for predicting the number of the remaining terminals in the future time based on the acquired operation information,
A presentation step for presenting the predicted prediction result and
Information processing methods including.
(Appendix 6)
In the prediction step,
Predict the number of the remaining terminals in the future time in chronological order,
In the presentation step,
Presenting a graph in which the number of the remaining terminals in the future time is graphed in chronological order.
The information processing method according to Appendix 5, which includes the above.
(Appendix 7)
In the prediction step,
The information processing method according to Appendix 6, wherein the number of remaining terminals is predicted in chronological order until a future time when the number of remaining terminals becomes a predetermined number or less.
(Appendix 8)
A classification information storage unit for storing classification information for classifying the terminal is further provided.
In the prediction step,
The information processing method according to any one of Supplementary note 5 to 7, which predicts the number of the remaining terminals in the future time for each classification of the terminals.
(Appendix 9)
On the computer
A procedure for accepting input indicating that at least one countermeasure has been selected from a plurality of countermeasures applicable to a terminal having a security risk, and a procedure for accepting an input indicating that at least one countermeasure has been selected.
Using the terminal-specific countermeasure information indicating the countermeasures applicable to the security risk for each terminal, and the definition information defining the correspondence relationship between the type of operation information of the terminal and the countermeasure against the security risk, A procedure for identifying the type of operation information corresponding to the countermeasure applicable to the terminal, and
The procedure for acquiring the specified type of operation information among the operation information of the terminal, and
Based on the terminal-specific countermeasure information, the procedure for identifying the remaining terminal, which is the terminal for which the security risk remains when the accepted countermeasure is applied, and the procedure.
A prediction procedure for predicting the number of the remaining terminals in the future time based on the acquired operation information, and
The presentation procedure for presenting the predicted prediction result and the presentation procedure.
A program to execute.
(Appendix 10)
In the prediction procedure,
Predict the number of the remaining terminals in the future time in chronological order,
In the presentation procedure,
Presenting a graph in which the number of the remaining terminals in the future time is graphed in chronological order.
The program described in Appendix 9 including the above.
(Appendix 11)
In the prediction procedure,
The program according to Appendix 10, which predicts the number of remaining terminals in chronological order until a future time when the number of remaining terminals becomes a predetermined number or less.
(Appendix 12)
To the computer
Further execution of the procedure for storing the classification information for classifying the terminal is performed.
In the prediction procedure,
The program according to any one of Supplementary note 9 to 11, which predicts the number of the remaining terminals in the future time for each classification of the terminals.

１ 情報処理システム
１０ 情報処理装置
１０１ プロセッサ
１０２ メモリ
１０３ ストレージ
１０４ 入出力インタフェース
１０４１ 表示装置
１０４２ 入力装置
１０５ 通信インタフェース
１１０ 選択受付部
１２０ 稼働情報特定部
１３０ 稼働情報取得部
１４０ 残存端末特定部
１５０ 予測部
１６０ 提示部
１７０ 情報取得部
１８０ リスク調査部
１９０ 表示処理部
１９２ リスク情報格納部
１９４ 分類情報格納部
１９６ 定義情報格納部
２０ 管理者端末
３０ 管理対象端末 1 Information processing system 10 Information processing device 101 Processor 102 Memory 103 Storage 104 Input / output interface 1041 Display device 1042 Input device 105 Communication interface 110 Selection reception unit 120 Operation information identification unit 130 Operation information acquisition unit 140 Remaining terminal identification unit 150 Prediction unit 160 Presentation unit 170 Information acquisition unit 180 Risk investigation unit 190 Display processing unit 192 Risk information storage unit 194 Classification information storage unit 196 Definition information storage unit 20 Administrator terminal 30 Management target terminal

Claims (13)

第１の端末を管理する情報処理装置が行う情報処理方法であって、
セキュリティリスク及びその対処法を含むリスク情報を記憶し、
前記第１の端末に対し、前記リスク情報に含まれる第１のセキュリティリスクに関連する第１の対処法が適用可能であることを特定する、
情報処理方法。 It is an information processing method performed by the information processing device that manages the first terminal.
Memorize risk information, including security risks and how to deal with them,
Identify that the first remedy related to the first security risk included in the risk information is applicable to the first terminal.
Information processing method. 前記第１の端末に対し、さらに前記第１のセキュリティリスクに関連する第２の対処法が適用可能であることを特定する、
請求項１に記載の情報処理方法。 It is specified that the second countermeasure related to the first security risk is applicable to the first terminal.
The information processing method according to claim 1. 前記情報処理装置はさらに第２の端末を管理し、
前記第２の端末に対し、前記第１の対処法が適用可能であることを特定する、
請求項１に記載の情報処理方法。 The information processing device further manages the second terminal and
Identify that the first remedy is applicable to the second terminal.
The information processing method according to claim 1. 前記情報処理装置はさらに第２の端末を管理し、
前記第２の端末に対し、前記第１の対処法が適用可能であることを特定する、
請求項２に記載の情報処理方法。 The information processing device further manages the second terminal and
Identify that the first remedy is applicable to the second terminal.
The information processing method according to claim 2. 前記第２の端末に対し、前記リスク情報に含まれる前記第２の対処法が適用可能であることを特定する、
請求項４に記載の情報処理方法。 It is specified that the second countermeasure included in the risk information is applicable to the second terminal.
The information processing method according to claim 4. 前記第１の端末の稼働情報をさらに記憶し、
前記稼働情報に基づいて、前記第１の対処法の適用タイミングを判断する、
請求項１に記載の情報処理方法。 Further memorize the operation information of the first terminal,
Based on the operation information, the timing of applying the first countermeasure is determined.
The information processing method according to claim 1. 第１の端末を管理する情報処理装置であって、
セキュリティリスク及びその対処法を含むリスク情報を記憶する記憶部と、
前記第１の端末に対し、前記リスク情報に含まれる第１のセキュリティリスクに関連する第１の対処法が適用可能であることを特定する特定部と、
を備える情報処理装置。 An information processing device that manages the first terminal.
A storage unit that stores risk information including security risks and countermeasures,
A specific unit that specifies that the first countermeasure related to the first security risk included in the risk information is applicable to the first terminal, and
Information processing device equipped with. 前記特定部は、前記第１の端末に対し、さらに前記第１のセキュリティリスクに関連する第２の対処法が適用可能であることを特定する、
請求項７に記載の情報処理装置。 The specific unit specifies that the second countermeasure related to the first security risk is applicable to the first terminal.
The information processing apparatus according to claim 7. 前記情報処理装置はさらに第２の端末を管理し、
前記特定部は、前記第２の端末に対し、前記第１の対処法が適用可能であることを特定する、
請求項７に記載の情報処理装置。 The information processing device further manages the second terminal and
The specific unit specifies that the first countermeasure is applicable to the second terminal.
The information processing apparatus according to claim 7. 前記情報処理装置はさらに第２の端末を管理し、
前記特定部は、前記第２の端末に対し、前記第１の対処法が適用可能であることを特定する、
請求項８に記載の情報処理装置。 The information processing device further manages the second terminal and
The specific unit specifies that the first countermeasure is applicable to the second terminal.
The information processing apparatus according to claim 8. 前記特定部は、前記第２の端末に対し、前記リスク情報に含まれる前記第２の対処法が適用可能であることを特定する、
請求項１０に記載の情報処理装置。 The specific unit specifies that the second countermeasure included in the risk information is applicable to the second terminal.
The information processing apparatus according to claim 10. 前記記憶部は、前記第１の端末の稼働情報をさらに記憶し、
前記特定部は、前記稼働情報に基づいて、前記第１の対処法の適用タイミングを判断する、
請求項７に記載の情報処理装置。 The storage unit further stores the operation information of the first terminal, and stores the operation information of the first terminal.
The specific unit determines the application timing of the first countermeasure based on the operation information.
The information processing apparatus according to claim 7. 第１の端末を管理するコンピュータに、
セキュリティリスク及びその対処法を含むリスク情報を記憶する手順と、
前記第１の端末に対し、前記リスク情報に含まれる第１のセキュリティリスクに関連する第１の対処法が適用可能であることを特定する手順と、
を実行させるためのプログラム。 To the computer that manages the first terminal,
Procedures for storing risk information, including security risks and countermeasures, and
A procedure for identifying that the first countermeasure related to the first security risk included in the risk information is applicable to the first terminal, and
A program to execute.
JP2022061551A 2020-07-28 2022-04-01 Information processing device, information processing method, and program Pending JP2022079717A (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2022061551A JP2022079717A (en) 2020-07-28 2022-04-01 Information processing device, information processing method, and program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2020127127A JP7226819B2 (en) 2020-07-28 2020-07-28 Information processing device, information processing method, program
JP2022061551A JP2022079717A (en) 2020-07-28 2022-04-01 Information processing device, information processing method, and program

Related Parent Applications (1)

Application Number Title Priority Date Filing Date
JP2020127127A Division JP7226819B2 (en) 2020-07-28 2020-07-28 Information processing device, information processing method, program

Publications (1)

Publication Number Publication Date
JP2022079717A true JP2022079717A (en) 2022-05-26

Family

ID=73045225

Family Applications (2)

Application Number Title Priority Date Filing Date
JP2020127127A Active JP7226819B2 (en) 2020-07-28 2020-07-28 Information processing device, information processing method, program
JP2022061551A Pending JP2022079717A (en) 2020-07-28 2022-04-01 Information processing device, information processing method, and program

Family Applications Before (1)

Application Number Title Priority Date Filing Date
JP2020127127A Active JP7226819B2 (en) 2020-07-28 2020-07-28 Information processing device, information processing method, program

Country Status (1)

Country Link
JP (2) JP7226819B2 (en)

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2008004498A1 (en) * 2006-07-06 2008-01-10 Nec Corporation Security risk management system, device, method, and program
JP2009110177A (en) * 2007-10-29 2009-05-21 Ntt Data Corp Unit and method for supporting information security measure decision, and computer program
JP2009140041A (en) * 2007-12-04 2009-06-25 Nec Corp Security operation management system, method, and program
JP4469910B1 (en) * 2008-12-24 2010-06-02 株式会社東芝 Security measure function evaluation program
JP2011066834A (en) * 2009-09-18 2011-03-31 Sony Corp Information processing apparatus, method for processing information, communication apparatus, method of communication, program, and mutual authentication system
US20120210434A1 (en) * 2011-02-11 2012-08-16 Achilles Guard, Inc., D/B/A Critical Watch Security countermeasure management platform
JP2012208863A (en) * 2011-03-30 2012-10-25 Hitachi Ltd Vulnerability determination system, vulnerability determination method and vulnerability determination program
WO2015114791A1 (en) * 2014-01-31 2015-08-06 株式会社日立製作所 Security management device

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011014094A (en) * 2009-07-06 2011-01-20 Toshiba Corp Software update information management device and program
JP2014023137A (en) * 2012-07-24 2014-02-03 Mitsubishi Electric Corp Communication system, route control device, user terminal and route control method
JP2015138509A (en) * 2014-01-24 2015-07-30 株式会社日立システムズ Vulnerability risk diagnostic system and vulnerability risk diagnostic method

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2008004498A1 (en) * 2006-07-06 2008-01-10 Nec Corporation Security risk management system, device, method, and program
JP2009110177A (en) * 2007-10-29 2009-05-21 Ntt Data Corp Unit and method for supporting information security measure decision, and computer program
JP2009140041A (en) * 2007-12-04 2009-06-25 Nec Corp Security operation management system, method, and program
JP4469910B1 (en) * 2008-12-24 2010-06-02 株式会社東芝 Security measure function evaluation program
JP2011066834A (en) * 2009-09-18 2011-03-31 Sony Corp Information processing apparatus, method for processing information, communication apparatus, method of communication, program, and mutual authentication system
US20120210434A1 (en) * 2011-02-11 2012-08-16 Achilles Guard, Inc., D/B/A Critical Watch Security countermeasure management platform
JP2012208863A (en) * 2011-03-30 2012-10-25 Hitachi Ltd Vulnerability determination system, vulnerability determination method and vulnerability determination program
WO2015114791A1 (en) * 2014-01-31 2015-08-06 株式会社日立製作所 Security management device

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
堀澤 楽優: "セキュリティのプロが実践をふまえて指南する企業セキュリティ", Ｎ＋Ｉ ＮＥＴＷＯＲＫ, vol. 第4巻，第1号, JPN6016032017, 1 January 2004 (2004-01-01), JP, pages 120 - 123, ISSN: 0005077816 *
神田 真奈: "電子商取引システムにおけるリスク分析の考察", 情報処理学会第５５回（平成９年後期）全国大会講演論文集, vol. ５Ｍ−６, JPN6017016806, 24 September 1997 (1997-09-24), JP, pages 4 - 455, ISSN: 0005077817 *

Also Published As

Publication number Publication date
JP2020184377A (en) 2020-11-12
JP7226819B2 (en) 2023-02-21

Similar Documents

Publication Publication Date Title
US10003547B2 (en) Monitoring computer process resource usage
CN111538634B (en) Computing system, method, and storage medium
US9479527B2 (en) Methods and systems for automated network scanning in dynamic virtualized environments
US9270694B2 (en) Systems and methods for assessing security for a network of assets and providing recommendations
JP6891583B2 (en) Information processing equipment, information processing methods, programs
US8869154B1 (en) Controlling processor usage on a computing device
US11822671B2 (en) Information processing device, information processing method, and non-transitory computer readable medium for identifying terminals without security countermeasures
JP2007164465A (en) Client security management system
JP7255636B2 (en) Terminal management device, terminal management method, and program
JP2009217321A (en) Information processor and information processing program
JP2022079717A (en) Information processing device, information processing method, and program
US8200953B1 (en) Method and system to automatically update a configuration scheme
JP6746084B2 (en) Information processing device, information processing method, and program
JP2020184372A (en) Information processing apparatus, security information distribution method, and program
JP2020095459A (en) History monitoring method, monitoring processor and monitoring processing program
JP2008305313A (en) Remote defragmentation system, service device, program and remote defragmentation method
JP6716995B2 (en) Information processing apparatus, information processing method, and program
WO2021024415A1 (en) Policy evaluation device, control method, and program
WO2020240766A1 (en) Evaluation device, system, control method, and program
JP2013130984A (en) Serial computer switching system and serial computer switching method

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20220401

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20230606

A02 Decision of refusal

Free format text: JAPANESE INTERMEDIATE CODE: A02

Effective date: 20231128