JP2024022321A - セキュリティ対策システム、構築装置、実行管理装置、セキュリティ対策方法、及びプログラム - Google Patents

Abstract

【課題】迅速な初動対応を可能とするセキュリティ対策の技術を提供する。
【解決手段】セキュリティアクションの構築を支援する構築装置と、セキュリティアクションの実行を管理する実行管理装置とを有するセキュリティ対策システムであって、前記構築装置が、サイバー脅威の情報、及び、実施可能なセキュリティアクションを含むセキュリティトピックを複数の端末に表示し、前記実行管理装置が、前記セキュリティトピックに対してコミュニケーションツールを用いてなされた会話に基づいて決定されたセキュリティアクションを、実施担当者に通知し、前記実行管理装置が、前記実施担当者から、セキュリティアクションの実施ステータスを示す情報を受信する。
【選択図】図１

Description

本発明は、サイバー脅威に対するセキュリティ対策技術に関連するものである。

近年、マルウェアや脆弱性への攻撃等の様々なサイバー脅威が増加している。このような状況に対応するために、一般的な企業においてセキュリティ専門のチームや組織が存在する場合が多い。このような企業で用いられる従来のセキュリティ対策システムでは、一般に、セキュリティ対策の対象となるシステムを登録し、専門チームによるセキュリティ対策情報に基づいて、各サービス担当者により対象のシステムに対するセキュリティ対策がなされる。

特開2016-218964号公報

しかし、従来のセキュリティ対策システムを用いる場合、初動対応が遅れることがあるという課題があった。

本発明は上記の点に鑑みてなされたものであり、迅速な初動対応を可能とするセキュリティ対策の技術を提供することを目的とする。

開示の技術によれば、セキュリティアクションの構築を支援する構築装置と、セキュリティアクションの実行を管理する実行管理装置とを有するセキュリティ対策システムであって、
前記構築装置が、サイバー脅威の情報、及び、実施可能なセキュリティアクションを含むセキュリティトピックを複数の端末に表示し、
前記実行管理装置が、前記セキュリティトピックに対してコミュニケーションツールを用いてなされた会話に基づいて決定されたセキュリティアクションを、実施担当者に通知し、
前記実行管理装置が、前記実施担当者から、セキュリティアクションの実施ステータスを示す情報を受信する
セキュリティ対策システムが提供される。

開示の技術によれば、迅速な初動対応を可能とするセキュリティ対策の技術を提供することができる。

セキュリティ対策システムの全体構成例を示す図である。 セキュリティアクション構築装置１００の構成例を示す図である。 セキュリティアクション実行管理装置２００の構成例を示す図である。 セキュリティバッジ管理装置３００の構成例を示す図である。 セキュリティ対策システムの動作を説明するためのシーケンス図である。 端末１０に表示されるＵＩ画面の構成例を示す図である。 分析例１を示す図である。 分析例２を示す図である。 セキュリティ対策システムの動作を説明するためのシーケンス図である。 装置のハードウェア構成図である。

以下、図面を参照して本発明の実施の形態（本実施の形態）を説明する。以下で説明する実施の形態は一例に過ぎず、本発明が適用される実施の形態は、以下の実施の形態に限られるわけではない。

なお、以下の説明における「サービス担当者」、「セキュリティ専門家」、及び「セキュリティ対策実施責任者」はそれぞれ、特に断らない限り、個人であってもよいし、複数人からなるチームであってもよい。また、「サービス担当者」を「実施担当者」と呼んでもよい。

（課題について）
前述したとおり、既存のセキュリティ対策システムでは、初動対応が遅れることがある。その理由は下記のとおりである。なお、以下の説明は、サイバー脅威にさらされる一般的な企業において想定される課題の説明である。また、以下の課題の説明は公知ではない。

初動対応が遅れる大きな原因は、情報共有の遅れであると考えられる。すなわち、現場のセキュリティの担当者に対して正確なセキュリティ対策情報の配布を行う必要があるが、正確なセキュリティ対策情報の作成のほうに時間がかかり、情報共有が遅れる。そのため、各組織の初動対応が遅れることが考えられる。

一般的な企業で使用される既存のセキュリティ対策システムでは、正確なセキュリティ対策情報が準備されていることを前提とするため、対策情報の準備に関する時間を考慮していない。それが上述した情報共有の遅れの要因となる。

一方、一般的な企業内では情報共有を迅速にするため、セキュリティ対策情報の配布にチャットが用いられる場合がある。この場合、サイバー脅威を発見した事実は各組織等に素早く共有される。しかし、チャットを用いるだけでは、セキュリティ対策の管理として不十分である。例えば、チャットでは、複数の情報を共有した場合、セキュリティ対策を実施すべき担当者が、どこまでの情報に基づいてセキュリティ対策を行ったのか判断ができない。そのため、対策の根拠に関する認識が組織の中で不明瞭になる場合がある。

（本実施の形態の概要）
本実施の形態では、セキュリティ対策を「サイバー脅威の軽減又は除去を行うためのセキュリティアクションの実施」と定義し、上述した課題を解決するために、セキュリティ対策システムを「セキュリティアクションの構築管理」と「決定されたセキュリティアクションの実施管理」に分けることとしている。これらを分けることで、セキュリティアクションの実施決定前にサイバー脅威の情報共有を行うことが可能になる。

従来のセキュリティ対策システムを用いる場合、セキュリティアクションの実施決定と同時にサイバー脅威の影響範囲やアクション手順の議論を開始することが一般的である。それに対して、本実施の形態に係る技術を用いることにより、セキュリティアクションの実施が決定される前に、各サービス担当者はサイバー脅威の影響範囲や議論中のアクション手順を確認できる。これにより各サービス担当者による迅速な初動対応を実現することができる。

上述した「セキュリティアクションの構築管理」では、情報共有に基づいてセキュリティアクションの構築を支援するのみならず、チャットメッセージを保存し、それを分析することで、サービス運用への影響の度合（影響の有無）を予測したり、脅威の鎮静化はいつ頃になるのかを予測したりすることが可能になっている。

また、「決定されたセキュリティアクションの実施管理」では、セキュリティアクションの実施状況（実施ステータス）を管理することで、セキュリティアクションの実施状況（実行したアクションの数や種類）から、個人やチーム単位でのセキュリティ対処能力の評価を行うことが可能である。また、セキュリティアクションの行動改善提案、登録漏れシステムの検知が可能になっている。

以下、本実施の形態におけるセキュリティ対策システムの構成と動作について詳細に説明する。

（セキュリティ対策システムの全体構成例）
図１に、本実施の形態におけるセキュリティ対策システムの全体構成例を示す。図１に示すように、本実施の形態におけるセキュリティ対策システムは、セキュリティアクション構築装置１００、セキュリティアクション実行管理装置２００、セキュリティバッジ管理装置３００、チャットシステム４００を有し、これらがネットワーク５００に接続されている。

また、ネットワーク５００には、複数の端末１０が接続されており、各端末１０から、ネットワーク５００を介して、セキュリティアクション構築装置１００、セキュリティアクション実行管理装置２００、セキュリティバッジ管理装置３００、及びチャットシステム４００のいずれにもアクセス可能である。

なお、セキュリティアクション構築装置１００とセキュリティアクション実行管理装置２００とを有するシステムをセキュリティ対策システムと呼んでもよい。また、セキュリティアクション構築装置１００を「構築装置」と呼び、セキュリティアクション実行管理装置２００を「実行管理装置」と呼んでもよい。

本実施の形態では、種々のサービス（主にネットワークサービス）を提供するある企業において、本セキュリティ対策システムが使用されることを想定する。また、本セキュリティ対策システムを使用するユーザ（端末１０のユーザ）として、セキュリティアクションを構築することができるセキュリティ専門家、及び、各サービスのセキュリティの担当者（サービス担当者と呼ぶ）が存在することを想定する。サービス担当者は、セキュリティ専門家により決定されたセキュリティアクションを実行する。なお、セキュリティ専門家は、あるサービスについてのセキュリティ専門家であってもよいし、サービス全般にわたるセキュリティ専門家であってもよい。また、セキュリティ専門家とサービス担当者が同一人物（同一チーム）である場合があってもよい。

例えば、種々のサービスにおいて広く使用されているサーバ上のソフトウェアにおいて発見されたサイバー脅威に対して、セキュリティ専門家が、コミュニケーションツール（ここではチャット）による会話に基づいて、とるべきセキュリティアクションを構築（決定）する。各サービスにおけるサービス担当者は、自身が担当するサービスにおけるサーバのソフトウェアに対して、セキュリティ専門家が決定したセキュリティアクションを実行する。

セキュリティアクション構築装置１００は、「セキュリティアクションの構築管理」を行う装置である。セキュリティアクション実行管理装置２００は、「決定されたセキュリティアクションの実施管理」を行う装置である。また、セキュリティアクション実行管理装置２００は、セキュリティアクションの実施状況に応じてサービス担当者にバッジを付与するかどうかを判断する処理等も実行する。セキュリティバッジ管理装置３００は、サービス担当者に付与されたバッジを登録し、管理する装置である。なお、セキュリティバッジ管理装置３００を「達成管理装置」と呼んでもよい。

なお、セキュリティアクションの実施状況に応じてサービス担当者に付与する評価情報として、「バッジ」を使用することは一例である。「バッジ」に代えて、「番号」、「文章」、「記号」、あるいは、その他の情報を付与してもよい。

チャットシステム４００は、一般的なチャットのシステムである。例えば、チャットシステム４００により、組織ごとや議論のテーマごとなどのルームを形成し、ルーム内でユーザ（具体的には端末１０）間でのチャットを行うことができる。

なお、コミュニケーションツールとしてチャットシステム４００を使用することは一例である。本実施の形態において、セキュリティアクション構築のための会話（議論）等のためにチャットシステム４００以外のコミュニケーションツール（例：電子メール）を使用してもよい。会話のログを残せるコミュニケーションツールであればどのようなコミュニケーションツールを使用してもよい。各端末１０は、例えば、ＰＣ、スマートホン、あるいはタブレット等である。

ネットワーク５００は、インターネット等のパブリックなネットワークであってもよいし、閉域網等のプライベートなネットワークであってもよい。

（各装置の詳細）
セキュリティアクション構築装置１００、セキュリティアクション実行管理装置２００、及びセキュリティバッジ管理装置３００それぞれの機能、及び装置構成例を説明する。なお、装置構成の各機能部の動作について、ここでは概要を説明し、詳細については、シーケンス図を用いて後述する。

＜セキュリティアクション構築装置１００＞
セキュリティアクション構築装置１００は、複数の端末１０に対してＵＩ画面（端末１０に表示される画面）を提供し、セキュリティ専門家によるセキュリティアクションの決定を支援するとともに、サービス担当者への情報共有を行う。複数の端末１０には、セキュリティ専門家の端末１０、サービス担当者の端末１０が含まれる。

セキュリティアクション構築装置１００のＵＩ画面が、各サービス担当者の端末１０にも提供されるので、各セキュリティ専門家のみならず、各サービス担当者にも、セキュリティアクション決定の前の段階で、サイバー脅威の情報を共有することができる。

セキュリティアクション構築装置１００において、サイバー脅威と、実行可能なセキュリティアクションはセットで管理及び表示される。このセットを「セキュリティトピック」と呼ぶ。また、セキュリティアクション構築装置１００には、本セキュリティトピックについてなされたチャットでの会話（会話のログ）が時系列で保存される。この時系列の会話のログを「タイムライン」と呼んでもよい。「セキュリティトピック」の中に、サイバー脅威とセキュリティアクションに加えて、タイムラインが含められてもよい。

セキュリティアクションとは、セキュリティ対策のためのアクション（サイバー脅威をコントロールする行動）であり、その種類をアクションタイプと呼ぶ。アクションタイプとして、例えば、Elimination（脅威の除去）、Mitigation（脅威の緩和）、Detection（脅威の検知）などが存在する。なお、あるサイバー脅威に対して、どのようなアクションタイプのセキュリティアクションをとるかについては、セキュリティ専門家により、例えば他のセキュリティ専門家とのチャットでの会話に基づいて決定される。

図２に、セキュリティアクション構築装置１００の構成例を示す。図２に示すように、セキュリティアクション構築装置１００は、情報取得部１１０、表示処理部１２０、分析部１３０、及び記憶部１４０を有する。

情報取得部１１０は、チャットシステム４００からチャットメッセージ（会話のログ）を取得する。情報取得部１１０により取得された情報は記憶部１４０に格納される。

表示処理部１２０は、記憶部１４０に格納された情報に基づいて、ＵＩ画面（表示画面）を生成し、端末１０へＵＩ画面を提供する。また、表示処理部１２０は、ＵＩ画面上で端末１０に入力され、端末１０から送信された情報を取得し、記憶部１４０に格納する。

分析部１３０は、記憶部１４０に格納された情報に基づいて、分析を行う。分析の内容については後述する。

＜セキュリティアクション実行管理装置２００＞
セキュリティアクション実行管理装置２００は、サービス担当者によるセキュリティアクションの実行（実施）を管理する。

本実施の形態では、「システムタグ」を使用する。「システムタグ」は、企業において種々のサービスを提供しているシステムを構成するソフトウェア、ライブラリ、製品等を識別するタグである。また、「システムタグ」はサービス（あるいはサービス担当者）も識別する。

例えば、サービスＰとサービスＱがあり、両サービスでソフトウェアＡを使用している場合、それぞれのサービスにはシステムタグとして「ソフトウェアＡ」が登録される。サービスＰにおけるソフトウェアＡの脅威レベルは「Ｐ－Ａ」で識別され、サービスＱにおけるソフトウェアＡの脅威レベルは「Ｑ－Ａ」で識別される。

例えば、セキュリティ専門家により、あるセキュリティトピックにおいて、ソフトウェアＡに対するセキュリティアクションが決定されたとすると、セキュリティ専門家は、セキュリティアクション実行管理装置２００に対して、「システムタグ」と、当該セキュリティトピック（具体的にはソフトウェアＡ）とのマッチング（紐づけ）を指示する。これにより、セキュリティアクション実行管理装置２００は、当該セキュリティトピックについてのセキュリティアクションは、「ソフトウェアＡ」に紐づくシステムタグに対応するサービス担当者が実施すべきと判断できる。

上記サービスＰとサービスＱの例において、セキュリティアクション実行管理装置２００は、サービスＰとサービスＱのそれぞれのサービス担当者へ「ソフトウェアＡ」に対するセキュリティアクションの内容を通知することができる。

動作としては、各サービス担当者は端末１０から、事前にセキュリティアクション実行管理装置２００に対して、自身のサービスに関するシステムを構成するライブラリや製品を「システムタグ」として登録する。

上記のようにセキュリティトピックはシステムタグと紐づけられることで、当該セキュリティトピックにおけるセキュリティアクションが、そのセキュリティトピックに該当するサービス担当者に通知される。

また、セキュリティアクション実行管理装置２００は、サービス担当者によるセキュリティアクションの実施状況を管理し、その実施状況に応じて、サービス担当者にバッジを付与することができる（あるいはバッジを付与することを判断できる）。このバッジ付与により、貢献の見える化を行うことができる。なお、前述したように、セキュリティアクションの実施状況に応じてサービス担当者に付与する評価情報として、「バッジ」を使用することは一例である。「バッジ」に代えて、「番号」、「文章」、「記号」、あるいは、その他の情報を付与してもよい。

すなわち、セキュリティアクション実行管理装置２００は、セキュリティアクションの実施を管理しており、誰がどのタイプのアクションをどれだけ実行したのかを管理することができる。また、セキュリティアクション実行管理装置２００において、セキュリティ資格や経歴の登録が可能になっている。それによって、セキュリティアクション実行管理装置２００は、セキュリティアクションの習熟度を含めた個人単位又はチーム単位でのセキュリティ対処能力を評価することが可能である。この評価の利用によって、セキュリティ対処能力の低いチームあるいは個人とのミスコミュニケーションを防ぐことが可能となる。

図３に、セキュリティアクション実行管理装置２００の構成例を示す。図３に示すように、セキュリティアクション実行管理装置２００は、情報取得部２１０、セキュリティアクション処理部２２０、セキュリティバッジ登録処理部２３０、記憶部２４０を備える。

情報取得部２１０は、登録情報の取得、セキュリティトピックの取得等を行う。情報取得部２１０により取得された情報は記憶部２４０に格納される。

セキュリティアクション処理部２２０は、セキュリティアクションの通知、セキュリティアクションの実行結果（実施ステータス等）の取得等を行う。セキュリティバッジ登録処理部２３０は、セキュリティバッジの付与のための処理を行う。

＜セキュリティバッジ管理装置３００＞
セキュリティバッジ管理装置３００は、セキュリティアクション実行管理装置２００により付与すると判断されたバッジを登録し、管理する。また、セキュリティバッジ管理装置３００は、セキュリティ運用の詳細を隠しながら、サービス担当者の業績を第三者へ開示することができる。

図４に、セキュリティバッジ管理装置３００の構成例を示す。図４に示すように、セキュリティバッジ管理装置３００は、セキュリティバッジ登録部３１０、セキュリティバッジ公開部３２０、及び記憶部３３０を有する。セキュリティバッジ登録部３１０は、セキュリティバッジの情報を記憶部３３０に格納することにより、セキュリティバッジの登録を行う。セキュリティバッジ公開部３２０は、登録されたセキュリティバッジの公開を行う。

（セキュリティ対策システムの動作）
以下、シーケンス図を参照して、セキュリティ対策システムの動作を説明する。セキュリティ対策システムの動作は、セキュリティアクション構築段階の動作、セキュリティアクション実行段階の動作、セキュリティバッジ付与段階の動作に大きく分けることができるので、それぞれについて説明する。

＜セキュリティアクション構築段階の動作＞
まず、図５のシーケンス図の手順に沿って、セキュリティアクション構築段階の動作を説明する。なお、図５のＳ１０～Ｓ１３については、セキュリティアクション実行段階の動作であると考えてもよい。

まず、Ｓ１において、各サービス担当者は、端末１０からシステムタグを送信することで、システムタグの登録を行う。セキュリティアクション実行管理装置２００の情報取得部２１０は、システムタグを受信し、受信したシステムタグを記憶部２４０に格納する。前述したように、システムタグにより、サービス（あるいはサービス担当者、あるいはチーム）と、そのサービスを提供するシステムを構成する部分（特定のソフトウェア等）を識別できる。

Ｓ２において、セキュリティ専門家により、チャットシステム４００により提供されるチャットを用いることで、サービスのセキュリティに関する情報収集が行われる。この情報収集に基づき、セキュリティ専門家によりサイバー脅威が発見されたとすると、セキュリティ専門家は、セキュリティアクション構築装置１００の表示処理部１２０により端末１０に表示されるＵＩ画面から、セキュリティトピックの入力（作成）を行う。

作成されたセキュリティトピックは、表示処理部１２０により記憶部２４０に格納される。Ｓ４において、セキュリティトピックが作成されたことを示す通知が、セキュリティアクション構築装置１００から、チャットシステム４００を介して、複数の端末１０に送られる。

この段階では、セキュリティトピックとして、発見されたサイバー脅威の情報（概要説明等）と、実行可能なセキュリティアクションが作成され、記憶部１４０に格納される。実行可能なセキュリティアクションとは、前述したElimination（脅威の除去）、Mitigation（脅威の緩和）、Detection（脅威の検知）などであり、それぞれについて、発見されたサイバー脅威に対する具体的なアクションが記述されている。

セキュリティトピックの作成が完了した時点で、当該セキュリティトピックに係るサイバー脅威の情報は、サービス担当者を含む関係者全員に共有される。つまり、例えば、セキュリティ専門家ではないサービス担当者は、端末１０から、セキュリティアクション構築装置１００にアクセスすることで、セキュリティトピックの内容を見ることができる。サイバー脅威の情報の共有は、チャットシステム４００によりチャットでなされてもよい。

Ｓ６において、複数のセキュリティ専門家の間で、今回作成されたセキュリティトピックのサイバー脅威について、チャットを用いた対策方法の議論がなされる。その際、議論におけるチャットメッセージが情報取得部１１０により取得され、記憶部１４０に格納される（Ｓ５、Ｓ７）。

また、分析部１３０は、記憶部１４０に保存されたチャットメッセージ等に基づき、後述する分析を行って、分析結果をチャットシステム４００に通知する。チャットシステム４００により、例えば、複数のセキュリティ専門家に対して分析結果が通知される。なお、分析部１３０から特定の端末１０に対して分析結果が通知されてもよい。なお、Ｓ８の分析の段階で、実行すべきセキュリティアクションが決定されていてもよい。

セキュリティ専門家により、今回のセキュリティアクションに対してとるべきセキュリティアクションが決定されると、その決定されたセキュリティアクションの情報がセキュリティ専門家の端末１０からセキュリティアクション構築装置１００に通知され、セキュリティアクション構築装置１００の記憶部１４０に、決定されたセキュリティアクションがセキュリティトピックとともに保存される。

Ｓ１０において、セキュリティ専門家は、端末１０から、セキュリティアクション実行管理装置２００に対してセキュリティトピックを登録する。このセキュリティトピックは、Ｓ９まででセキュリティアクションが決定されているセキュリティトピック（名前でもよいしＩＤでもよい）である。セキュリティアクション実行管理装置２００において、情報取得部２１０が当該セキュリティトピックを取得し、記憶部２４０に格納する。

Ｓ１１において、情報取得部２１０は、セキュリティトピックの情報（トピックの概要、決定されたセキュリティアクション等）の要求をセキュリティアクション構築装置１００に送信し、Ｓ１２において、セキュリティトピックの情報（トピックの概要、決定されたセキュリティアクション等）を取得する。取得したセキュリティトピック及びその中のセキュリティアクションにはユニークなＩＤが付与され、ＩＤとともに記憶部２４０に格納される。

Ｓ１３において、セキュリティ専門家が、端末１０からセキュリティアクション実行管理装置２００にアクセスすることで、セキュリティトピックとシステムタグの紐付けを行う。紐付けの情報は記憶部２４０に格納される。

例えば、セキュリティ専門家が、今回のセキュリティトピックは、「ソフトウェアＡ」に対するアクションが必要なトピックであると判断した場合、当該セキュリティトピックを、「ソフトウェアＡ」のシステムタグに紐付ける。

＜ＵＩ画面の構成例＞
表示処理部１２０により端末１０に表示されるＵＩ画面の構成例を図６に示す。図６に示すように、ＵＩ画面には、トピックの概要、実行可能なアクションの一覧、及び、アクション決定の経緯が含まれる。

トピックの概要として、脅威の対象、影響範囲、原因、及び主な対策などが文章で記載される。実行可能なアクションの一覧は、脅威をコントロール（主に軽減）するアクションの一覧であり、その内容は前述したとおりである。アクション決定の経緯として、脅威の分析・対処に関する会話のタイムライン（時系列の会話のログ）が表示される。このタイムラインを見ることで、セキュリティトピックに対して、どのような議論の経緯により、セキュリティ専門家が、実施すべきセキュリティアクションを決定したのかを把握することができる。

また、タイムラインには、各組織に存在する脅威の情報が、複数の組織を横断して集約されるので、組織間あるいはチーム間での分析の重複や認識のずれを防ぐことができる。例えば、組織ＡのチャットルームＡで議論された会話ログと、組織ＢのチャットルームＢで議論された会話ログとがともにタイムラインに表示される。組織Ａの人と組織Ｂの人はともにタイムラインを見ることができるので、分析の重複や認識のずれを把握するこができる。すなわち、従来のチャットを用いたセキュリティ対策では、複数のチーム／チャンネルで同時多発的にある製品についてのサイバー脅威が観測された場合、バラバラに分析と対応をしていることがあったが、それを防ぐことができる。

トピックの概要と実行可能なアクションの一覧は、セキュリティ専門家により作成される。アクション決定の経緯については、トピックに関連するキーワードから関連する会話を抽出することで自動的に作成してもよいし、人手（システム管理者、セキュリティ専門家等）により作成してもよい。なお、チャットシステムからメッセージを取得して、取得したメッセージをまとめる等の処理を行う既存のツールがあるので、そのようなツールを用いてもよい。

また、実行可能な複数のセキュリティアクションの中で、セキュリティ専門家が推奨するアクションについて、そのことを示すマーク（例えば星印）を該当のセキュリティアクションに付与してもよい。

また、図６に示すＵＩ画面におけるは、トピックの概要、実行可能なアクションの一覧、及び、アクション決定の経緯はいずれも、セキュリティトピックに関する議論の進行に応じて、随時更新される。「アクション決定の経緯」は、アクションが決定される前の会話ログであってもよい。

また、上記のように随時更新されていくＵＩ画面の情報（トピックの概要、実行可能なアクションの一覧、及び、アクション決定の経緯）を記憶部１４０に格納することで、ユーザ（セキュリティ専門家でもよいし、サービス担当者でもよい）が、ＵＩ画面の情報（トピックの概要、実行可能なアクションの一覧、及び、アクション決定の経緯）を振り返ることができるようにしてもよい。

例えば、時刻１、時刻２、時刻３それぞれのＵＩ画面の情報（トピックの概要、実行可能なアクションの一覧、及び、アクション決定の経緯）が記憶部１４０に格納されているとする。

例えば、時刻３が経過した後に、ユーザが端末１０から、時刻１を表示処理部１２０に対して指定することで、端末１０に時刻１のＵＩ画面の情報（トピックの概要、実行可能なアクションの一覧、及び、アクション決定の経緯）を表示させることができる。

＜分析部１３０による分析の例＞
次に、セキュリティアクション構築装置１００における分析部１３０による分析の例として分析例１と分析例２を説明する。分析例１と分析例２は両方とも実行してもよいし、いずれか１つを実行してもよい。

分析例１：
分析例１において、分析部１３０は、サービス運用への影響の有無を自動で判定する。分析例１の処理イメージを図７に示す。なお、ここでは、便宜上、サービス運用へ大きな（あるいは深刻な）影響があることを、サービス運用への影響が「有」とし、そうでない場合を「無」とする。

サービス運用への影響の有無の自動判定は、主に影響範囲の大きなゼロデイ攻撃を想定したものであり、分析部１３０は、記憶部１４０に格納されている情報に基づいて、例えば下記の判定ロジックを用いて判定を行う。

「（保存された）チャットのメッセージ数の流量がＸメッセージ／時以上である」、かつ、「該当セキュリティトピックに関することに言及されたチャットルームの数がＹ以上である」、かつ、「決定されたアクションのうちのeliminationのアクションの数が０である」場合に、サービス運用への影響が「有」と判断する。

上記のＸは例えば２０であり、Ｙは例えば３である。上記のロジックは一例である。例えば、上記は３つの条件のＡＮＤをとっているが、３つのうちの少なくともいずれかの１つの条件が満たされれば、サービス運用への影響が「有」であると判断してもよい。

分析例２：
分析例２の処理イメージを図８に示す。分析例２において、分析部１３０は、現時点（例：セキュリティアクションが決定された時点）から脅威が鎮静化するまでの時間を予測する。ここでは、脅威が鎮静化するまでの時間として、セキュリティトピックについての議論がいつまで続くのか（議論が終わるまでの時間であり、議論継続時間と呼んでもよい）を、当該セキュリティトピックに類似する過去事例における議論継続時間の実績から推定する。なお、議論が終了するとは、例えは、チャットのメッセージ数の流量がＺメッセージ／時以下になったことである。Ｚは予め定めた数であり、例えば、１あるいは２である。なお、過去のセキュリティトピックについての情報も記憶部１４０に保存されていると想定する。

分析部１３０は、例えば、議論継続時間の予測対象のセキュリティトピック（本セキュリティトピックと呼ぶ）に類似する過去のセキュリティトピックにおける議論継続時間が７日であれば、本セキュリティトピックの議論継続時間を７日と予測する。

分析部１３０は、本セキュリティトピックと、過去セキュリティトピックとが類似するか否かを、例えは、下記のロジックを用いて判断する。

「本セキュリティトピックと過去セキュリティトピックとの間において、（保存された）チャットのメッセージの分散パターンの相関係数がＸ以上である」、かつ、「本セキュリティトピックと過去セキュリティトピックとの間において、言及されたチャットルーム数の相関係数がＹ以上である」、かつ、「本セキュリティトピックと過去セキュリティトピックとの間において、アクションタイプの相関係数がＺ以上である」場合に、本セキュリティトピックと過去セキュリティトピックとが類似すると判断する。

なお、セキュリティトピックに関するチャットのメッセージの出現頻度（流量）に関して、常時同じではなく、ある期間において多く出現し、別の期間において少なく出現するといったパターンが繰り返され、次第に流量が減少している。このような出現のしかた（多く出現する期間と少なく出現する期間のパターン）を「分散パターン」と呼んでいる。

上記のＸは例えば０．７であり、Ｙは例えば０．９であり、Ｚは例えば０．７である。上記のロジックは一例である。例えば、上記は３つの条件のＡＮＤをとっているが、３つのうちの少なくともいずれか１つの条件が満たされれば、本セキュリティトピックと過去セキュリティトピックとが類似すると判断してもよい。

図５のＳ８において、分析例１では、サービス運用への影響の有無がチャットシステム４００に通知され、分析例２では、議論継続時間の推定値がチャットシステム４００に通知される。

＜セキュリティアクション実行段階の動作＞
次に、図９のシーケンス図の手順（Ｓ１４～Ｓ１８）に沿って、セキュリティアクション実行段階の動作を説明する。ここでのセキュリティアクション実行の動作は、上述したセキュリティアクション構築段階でセキュリティアクションが決定されたセキュリティトピックについての動作である。セキュリティアクション実行段階では、サービス担当者の他に、セキュリティ対策実施責任者が登場する。

Ｓ１４において、セキュリティアクション実行管理装置２００のセキュリティアクション処理部２２０は、記憶部２４０を参照することにより、セキュリティトピックに紐づけられている各システムタグを抽出し、抽出した各システムタグにより識別される各サービス担当者に向けて、チャットシステム４００に対して通知を行う。

この通知の情報は、例えば、「この通知を受けたサービス担当者が担当するサービスに関連するサイバー脅威があり、それに対してセキュリティアクションとらなければならない」ことを示す情報である。

この情報は、チャットシステム４００により各サービス担当者の端末１０へ通知される。なお、この情報は、セキュリティアクション処理部２２０により、各サービス担当者の端末１０に対して直接に通知されてもよい。

上記通知の情報の中に、具体的なセキュリティアクションの内容が含まれていてもよい。また、通知を受けたサービス担当者が、端末１０からセキュリティアクション実行管理装置２００にアクセスすることで、セキュリティアクション実行管理装置２００から当該端末１０に対して、具体的なセキュリティアクションの内容が表示されることとしてもよい。

各サービス担当者は、セキュリティアクションの内容を把握すると、セキュリティアクションを実行する。

その後、各サービス担当者は、端末１０から、セキュリティアクションを実施したことをセキュリティアクション実行管理装置２００に対して登録する。セキュリティアクション実行管理装置２００の記憶部２４０には、アクションの実行がログとして登録（格納）される。このログをアクションログと呼び、アクションログにはアクションログＩＤ（Action_Log_ID）が付与される。また、記憶部２４０には、アクションログＩＤと紐づけてトピックステータスが格納される。なお、トピックステータスを「ステータス」、「実施ステータス」等と呼んでもよい。Ｓ１５、Ｓ１６により例を説明する。

Ｓ１５では、サービスＰ担当者は端末１０から「Status: Completed, 実施者:サービス担当者A, Action_Type: Mitigation, Action_ID:XXX」を送信する。この情報はセキュリティ処理部２２０が受信する。セキュリティ処理部２２０は、アクションログＩＤを発行し、上記の情報に基づいて、アクションログをアクションログＩＤとともに記憶部２４０に格納する。ここでは、例えば、下記の情報が格納される。

「実施者（アクションの実施者）:サービス担当者A, Action_Type: Mitigation, Action_ID:XXX」
続いて、セキュリティ処理部２２０は、アクションログＩＤと紐づけてトピックステータスを更新する。記憶部２４０における更新後のトピックステータスの例は下記のとおりである。

「Status: Completed, 実施者（トピックステータスの変更者）:サービス担当者A, Action_Log_ID:XXX」
記憶部２４０におけるトピックステータスが更新される際には、更新の時刻が付与される。あるいは、端末１０から送信される上記情報に時刻（タイムスタンプ）が付加され、そのタイムスタンプが更新後のトピックステータスに付与されてもよい。上記の時刻はいずれもアクションを実行した時刻であると見なしてもよい。

同様に、Ｓ１６では、サービスＱ担当者は端末１０から「Status: Completed, 実施者: サービス担当者B, Action_Type: Elimination, Action_ID:YYY」を送信する。これにより、上記の場合と同様に、アクションログの追加、及び、トピックステータスの更新が行われる。

なお、「Status: Completed」は、アクションによる対処が完了したことを示す。また、ステータスとして「Completed」以外にも「Alerted（未対応のセキュリティトピック）」、「Acknowledged（着手開始）」、「Scheduled（計画済み）」などがある。

各サービス担当者は、例えば、それぞれのステータスに該当する時点で、該当のステータスを付した情報（例：「Status: Acknowledged, 実施者:サービス担当者A, Action_Type: Mitigation, Action_ID:XXX」）をセキュリティ実行管理装置２００に送信する。セキュリティ実行管理装置２００のセキュリティアクション処理部２２０は、受信した情報に基づいて、アクションログの追加、トピックステータスの更新を行う。

また、セキュリティアクション処理部２２０は、Ｓ１７において、セキュリティ対策実施責任者の端末１０から情報取得要求を受けた際には、当該端末１０に対して、ステータス付きの情報を提供することができる（Ｓ１８）。

Ｓ１８の例では、「サービスP：Completed, Mitigation, 実施者: サービス担当者A (脅威の緩和済)」、「サービスQ： Completed, Elimination, 実施者: サービス担当者B（脅威の排除済）」がセキュリティ対策実施責任者の端末１０に返されている。

上記のようにセキュリティアクションの実施状況を示すステータスを用いることで、セキュリティ対策実施責任者は、対象のセキュリティトピックに関して、セキュリティアクションの実施状況と残存するサイバー脅威を把握することができる。

また、セキュリティアクション実行管理装置２００のセキュリティアクション処理部２２０は、着目するサービスのサービス担当者（あるいはチーム）により登録されたシステムタグと、着目するサービスと類似するサービスの他のサービス担当者（あるいはチーム）により登録されたシステムタグとの類似性に基づいて、着目するサービスのサービス担当者（あるいはチーム）により登録が漏れているシステムタグを検知することも可能である。

＜セキュリティバッジ付与段階の動作＞
次に、図９のシーケンス図の手順（Ｓ１９～Ｓ２２）に沿って、セキュリティアバッジ付与段階の動作を説明する。

Ｓ１９において、例えば、セキュリティバッジ登録を要望するサービス担当者（サービス担当者Ｓとする）が、端末１０から、セキュリティバッジ管理装置３００へのバッジの登録を依頼する登録依頼をセキュリティアクション実行管理装置２００に送信する。セキュリティアクション実行管理装置２００のセキュリティバッジ登録処理部２３０は、上記登録依頼を受信する。

セキュリティバッジ登録処理部２３０は、記憶部２４０を参照することにより、サービス担当者Ｓによるセキュリティアクションの実施状況に基づき、サービス担当者Ｓに対するバッジの登録を推奨するか否かを判断する。「バッジの登録を推奨するか否かを判断する」ことを、「バッジの付与を推奨するか否かを判断する」ことに言い換えてもよい。

ここではバッジの登録を推奨するものとし、Ｓ２０において、セキュリティバッジ登録処理部２３０は、チャットシステム４００に対して、セキュリティ対策実施責任者に向けて、セキュリティバッジの登録承認依頼を送信する。チャットシステム４００により、セキュリティバッジの登録承認依頼はセキュリティ対策実施責任者の端末１０に送信される。なお、セキュリティバッジ登録処理部２３０は、セキュリティ対策実施責任者の端末１０に対して直接にセキュリティバッジの登録承認依頼を送信してもよい。

セキュリティバッジの登録承認依頼を受信したセキュリティ対策実施責任者は、例えば、Ｓ１７，Ｓ１８を実行することで、サービス担当者Ｓのセキュリティ実施状況を確認し、サービス担当者Ｓに対するセキュリティバッジの登録を承認するか否かを判断する。ここでは承認するものとし、Ｓ２１において、セキュリティ対策実施責任者は、端末１０から、サービス担当者Ｓに対するセキュリティバッジの登録承認をセキュリティバッジ登録処理部２３０に送信する。Ｓ２２において、セキュリティバッジ登録処理部２３０は、セキュリティバッジ管理装置３００に対して、サービス担当者Ｓに対するセキュリティバッジの登録を行う。これにより、セキュリティバッジ管理装置３００のセキュリティバッジ登録部３１０は、サービス担当者Ｓに対するセキュリティバッジを記憶部３３０に登録（格納）する。

セキュリティバッジ管理装置３００は、公開可能なセキュリティ業績の管理を行うための装置であり、セキュリティバッジ公開部３２０が、承認をもらったセキュリティの業績をバッジとして外部へ公開する。

セキュリティ業務の詳細は場合によって外部発表が難しい場合がある。そこで、本実施の形態では、セキュリティの業績をバッジに紐づけて管理することで外部に公表してよい情報（例：経歴や業績）のみをバッジに係る情報として、公開することができる。なお、バッジの具体的な管理方法としてはどのような方法を使用してもよいが、例えば、譲渡不可のNFTに紐づけてバッジを管理してもよい。

上記のＳ２０に関連する、セキュリティバッジ登録処理部２３０によるバッジ登録推奨の判断に関して、セキュリティバッジ登録処理部２３０は、例えば、サービス担当者（あるいはサービス担当者のチーム）についてのセキュリティアクションの実施状況のステータスと、ステータスの変化時間を利用することで、どのようなセキュリティバッジの取得推薦を行うかを判断する。例えば、アクションの着手開始から完了までに１時間以上かかった場合、「アクションの実施の１時間以内を目指すことを示すバッジ」の取得を推薦することを決定できる。これにより、セキュリティ対策の行動改善を実現することができる。

（ハードウェア構成例）
セキュリティアクション構築装置１００、セキュリティアクション実行管理装置２００、セキュリティバッジ管理装置３００はいずれも、例えば、コンピュータにプログラムを実行させることにより実現できる。このコンピュータは、物理的なコンピュータであってもよいし、クラウド上の仮想マシンであってもよい。以下、セキュリティアクション構築装置１００、セキュリティアクション実行管理装置２００、セキュリティバッジ管理装置３００を総称して「装置」と呼ぶ。

すなわち、当該装置は、コンピュータに内蔵されるＣＰＵやメモリ等のハードウェア資源を用いて、当該装置で実施される処理に対応するプログラムを実行することによって実現することが可能である。上記プログラムは、コンピュータが読み取り可能な記録媒体（可搬メモリ等）に記録して、保存したり、配布したりすることが可能である。また、上記プログラムをインターネットや電子メール等、ネットワークを通して提供することも可能である。

図１０は、上記コンピュータのハードウェア構成例を示す図である。図１０のコンピュータは、それぞれバスＢＳで相互に接続されているドライブ装置１０００、補助記憶装置１００２、メモリ装置１００３、ＣＰＵ１００４、インタフェース装置１００５、表示装置１００６、入力装置１００７、出力装置１００８等を有する。なお、これらのうち、一部の装置を備えないこととしてもよい。例えば、表示を行わない場合、表示装置１００６を備えなくてもよい。

当該コンピュータでの処理を実現するプログラムは、例えば、ＣＤ－ＲＯＭ又はメモリカード等の記録媒体１００１によって提供される。プログラムを記憶した記録媒体１００１がドライブ装置１０００にセットされると、プログラムが記録媒体１００１からドライブ装置１０００を介して補助記憶装置１００２にインストールされる。但し、プログラムのインストールは必ずしも記録媒体１００１より行う必要はなく、ネットワークを介して他のコンピュータよりダウンロードするようにしてもよい。補助記憶装置１００２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。

メモリ装置１００３は、プログラムの起動指示があった場合に、補助記憶装置１００２からプログラムを読み出して格納する。ＣＰＵ１００４は、メモリ装置１００３に格納されたプログラムに従って、当該装置に係る機能を実現する。インタフェース装置１００５は、ネットワークに接続するためのインタフェースとして用いられ、送信部及び受信部として機能する。表示装置１００６はプログラムによるＧＵＩ（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）等を表示する。入力装置１００７はキーボード及びマウス、ボタン、又はタッチパネル等で構成され、様々な操作指示を入力させるために用いられる。出力装置１００８は演算結果を出力する。

（実施の形態のまとめ、効果）
以上説明したように、本実施の形態に係る技術では、セキュリティ対策システムを「セキュリティアクションの構築管理」と「決定されたセキュリティアクションの実施管理」に分けることとしたので、セキュリティアクションの実施決定前にサイバー脅威の情報共有を行うことができ、結果として、迅速な初動対応を実現できる。

（付記）
本明細書には、少なくとも下記の各項に記載したセキュリティ対策システム、構築装置、実行管理装置、セキュリティ対策方法、及びプログラムが記載されている。
（付記項１）
セキュリティアクションの構築を支援する構築装置と、セキュリティアクションの実行を管理する実行管理装置とを有するセキュリティ対策システムであって、
前記構築装置が、サイバー脅威の情報、及び、実施可能なセキュリティアクションを含むセキュリティトピックを複数の端末に表示し、
前記実行管理装置が、前記セキュリティトピックに対してコミュニケーションツールを用いてなされた会話に基づいて決定されたセキュリティアクションを、実施担当者に通知し、
前記実行管理装置が、前記実施担当者から、セキュリティアクションの実施ステータスを示す情報を受信する
セキュリティ対策システム。
（付記項２）
前記セキュリティトピックは、前記コミュニケーションツールを用いてなされた会話のログを更に含み、
前記構築装置は、前記会話のログを保存し、保存された前記会話のログに基づいて、前記サイバー脅威によるサービス運用への影響、又は、前記サイバー脅威が鎮静化する時期を予測する
付記項１に記載のセキュリティ対策システム。
（付記項３）
前記実行管理装置は、前記セキュリティトピックに紐づけられたシステムタグに対応する実施担当者にセキュリティアクションを通知する
付記項１又は２に記載のセキュリティ対策システム。
（付記項４）
前記実行管理装置は、前記実施担当者から受信した実施ステータスを示す情報に基づいて、前記実施担当者に対して、評価情報を付与するか否かを判断する
付記項１ないし３のうちいずれか１項に記載のセキュリティ対策システム。
（付記項５）
セキュリティアクションの構築を支援する構築装置と、セキュリティアクションの実行を管理する実行管理装置とを有するセキュリティ対策システムにおける前記構築装置であって、
サイバー脅威の情報、及び、実施可能なセキュリティアクションを含むセキュリティトピックを複数の端末に表示する表示処理部と、
前記セキュリティトピックに対してコミュニケーションツールを用いてなされた会話のログを格納する記憶部と、
前記記憶部に格納された会話のログに基づいて、前記サイバー脅威によるサービス運用への影響、又は、前記サイバー脅威が鎮静化する時期を予測する分析部と
を備える構築装置。
（付記項６）
セキュリティアクションの構築を支援する構築装置と、セキュリティアクションの実行を管理する実行管理装置とを有するセキュリティ対策システムにおける前記実行管理装置であって、
前記構築装置は、サイバー脅威の情報、及び、実施可能なセキュリティアクションを含むセキュリティトピックを複数の端末に表示し、
前記セキュリティトピックに対してコミュニケーションツールを用いてなされた会話に基づいて決定されたセキュリティアクションを、実施担当者に通知し、前記実施担当者から、セキュリティアクションの実施ステータスを示す情報を受信するセキュリティアクション処理部と、
前記セキュリティアクションの実施ステータスを格納する記憶部と
を備える実行管理装置。
（付記項７）
セキュリティアクションの構築を支援する構築装置と、セキュリティアクションの実行を管理する実行管理装置とを有するセキュリティ対策システムにおけるセキュリティ対策方法であって、
前記構築装置が、サイバー脅威の情報、及び、実施可能なセキュリティアクションを含むセキュリティトピックを複数の端末に表示するステップと、
前記実行管理装置が、前記セキュリティトピックに対してコミュニケーションツールを用いてなされた会話に基づいて決定されたセキュリティアクションを、実施担当者に通知するステップと、
前記実行管理装置が、前記実施担当者から、セキュリティアクションの実施ステータスを示す情報を受信するステップと
を備えるセキュリティ対策方法。
（付記項８）
コンピュータを、付記項５に記載の構築装置における各部として機能させるためのプログラム。
（付記項９）
コンピュータを、付記項６に記載の実行管理装置における各部として機能させるためのプログラム。

以上、本実施の形態について説明したが、本発明はかかる特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

１０ 端末
１００ セキュリティアクション構築装置
１１０ 情報取得部
１２０ 表示処理部
１３０ 分析部
１４０ 記憶部
２００ セキュリティアクション実行管理装置
２１０ 情報取得部
２２０ セキュリティアクション処理部
２３０ セキュリティバッジ登録処理部
２４０ 記憶部
３００ セキュリティバッジ管理装置
３１０ セキュリティバッジ登録部
３２０ セキュリティバッジ公開部
３３０ 記憶部
４００ チャットシステム
５００ ネットワーク
１０００ ドライブ装置
１００１ 記録媒体
１００２ 補助記憶装置
１００３ メモリ装置
１００４ ＣＰＵ
１００５ インタフェース装置
１００６ 表示装置
１００７ 入力装置
１００８ 出力装置

Claims (9)

1. セキュリティアクションの構築を支援する構築装置と、セキュリティアクションの実行を管理する実行管理装置とを有するセキュリティ対策システムであって、
   前記構築装置が、サイバー脅威の情報、及び、実施可能なセキュリティアクションを含むセキュリティトピックを複数の端末に表示し、
   前記実行管理装置が、前記セキュリティトピックに対してコミュニケーションツールを用いてなされた会話に基づいて決定されたセキュリティアクションを、実施担当者に通知し、
   前記実行管理装置が、前記実施担当者から、セキュリティアクションの実施ステータスを示す情報を受信する
   セキュリティ対策システム。
2. 前記セキュリティトピックは、前記コミュニケーションツールを用いてなされた会話のログを更に含み、
   前記構築装置は、前記会話のログを保存し、保存された前記会話のログに基づいて、前記サイバー脅威によるサービス運用への影響、又は、前記サイバー脅威が鎮静化する時期を予測する
   請求項１に記載のセキュリティ対策システム。
3. 前記実行管理装置は、前記セキュリティトピックに紐づけられたシステムタグに対応する実施担当者にセキュリティアクションを通知する
   請求項１又は２に記載のセキュリティ対策システム。
4. 前記実行管理装置は、前記実施担当者から受信した実施ステータスを示す情報に基づいて、前記実施担当者に対して、評価情報を付与するか否かを判断する
   請求項１又は２に記載のセキュリティ対策システム。
5. セキュリティアクションの構築を支援する構築装置と、セキュリティアクションの実行を管理する実行管理装置とを有するセキュリティ対策システムにおける前記構築装置であって、
   サイバー脅威の情報、及び、実施可能なセキュリティアクションを含むセキュリティトピックを複数の端末に表示する表示処理部と、
   前記セキュリティトピックに対してコミュニケーションツールを用いてなされた会話のログを格納する記憶部と、
   前記記憶部に格納された会話のログに基づいて、前記サイバー脅威によるサービス運用への影響、又は、前記サイバー脅威が鎮静化する時期を予測する分析部と
   を備える構築装置。
6. セキュリティアクションの構築を支援する構築装置と、セキュリティアクションの実行を管理する実行管理装置とを有するセキュリティ対策システムにおける前記実行管理装置であって、
   前記構築装置は、サイバー脅威の情報、及び、実施可能なセキュリティアクションを含むセキュリティトピックを複数の端末に表示し、
   前記セキュリティトピックに対してコミュニケーションツールを用いてなされた会話に基づいて決定されたセキュリティアクションを、実施担当者に通知し、前記実施担当者から、セキュリティアクションの実施ステータスを示す情報を受信するセキュリティアクション処理部と、
   前記セキュリティアクションの実施ステータスを格納する記憶部と
   を備える実行管理装置。
7. セキュリティアクションの構築を支援する構築装置と、セキュリティアクションの実行を管理する実行管理装置とを有するセキュリティ対策システムにおけるセキュリティ対策方法であって、
   前記構築装置が、サイバー脅威の情報、及び、実施可能なセキュリティアクションを含むセキュリティトピックを複数の端末に表示するステップと、
   前記実行管理装置が、前記セキュリティトピックに対してコミュニケーションツールを用いてなされた会話に基づいて決定されたセキュリティアクションを、実施担当者に通知するステップと、
   前記実行管理装置が、前記実施担当者から、セキュリティアクションの実施ステータスを示す情報を受信するステップと
   を備えるセキュリティ対策方法。
8. コンピュータを、請求項５に記載の構築装置における各部として機能させるためのプログラム。
9. コンピュータを、請求項６に記載の実行管理装置における各部として機能させるためのプログラム。

Images