JP4620138B2 - 脅威分析支援装置および脅威分析支援処理プログラム - Google Patents

Description

本発明は、設計対象のシステムや装置に想定されるセキュリティ脅威を抽出するセキュリティ脅威分析を支援する脅威分析支援装置および脅威分析支援処理プログラムに関する。

高度な情報セキュリティが求められるシステムや装置の設計においては、安全なシステム及び装置とするために対象とするシステム及び装置に存在するセキュリティ脅威を網羅的に挙げ、当該脅威に対して対策が施されていることを確認する脅威分析を行なう必要がある。

例えば、情報技術セキュリティの評価基準である「ISO/IEC 15408」では、セキュリティターゲット（ＳＴ）と呼ばれるセキュリティの基本設計書でシステムあるいは装置に想定されるセキュリティ脅威を挙げ、当該脅威に対して技術的あるいは運用的な対策が行われていることを示す事が認証を受けるための１つの要素として要求される（例えば非特許文献１参照）。

このような脅威分析を支援する装置として、例えば特許文献１に開示されるように、分析対象システムに存在する資産と攻撃主体に対して、資産に対する攻撃の種別、資産の種別、アクセス経路と攻撃主体による攻撃の種別、攻撃対象資産の種別、およびアクセス経路の組み合わせにより、想定される脅威を抽出する技術がある。
特開２００５−２５５２３号公報 独立行政法人 情報処理推進機構、情報技術セキュリティ評価のためのコモンクライテリアパート１：概説と一般モデル（バージョン3.1 改訂第１版）、P.42-60 附属書Ａ セキュリティターゲットの仕様（規定）、[online]、[平成２０年２月２０日検索]、インターネット＜ＵＲＬ：http://www.ipa.go.jp/security/jisec/evalbs.html＞

従来では、前述した特許文献１に示すように、保護資産に対する属性と攻撃者に対する属性の組み合わせにより想定されるセキュリティ脅威を抽出する。よって、システムに存在する保護資産および関与者が増えれば増えるほど、抽出される脅威が膨大になってしまうという問題があり、精度の高い脅威抽出を行なえなかった。

そこで、本発明の目的は、設計対象のシステム・装置に存在するセキュリティ脅威とそれに対する対策手段の抽出精度を向上させることが可能になる脅威分析支援装置および脅威分析支援処理プログラムを提供することにある。

すなわち、本発明に係わる脅威分析支援装置は、分析対象システムに存在する保護資産の名称、種別、および当該保護資産についてシステム取扱者が可能な操作の対応関係を示す情報を設定する設定手段と、保護資産の種別、当該保護資産種別に対して可能な操作、および当該保護資産種別の保護資産についての関与者による操作の権限がある場合と無い場合のそれぞれにおいて想定される脅威および当該脅威に対して有効な対策を定義した脅威・対策対応情報を記憶する記憶手段と、設定された情報における保護資産の名称で示される資産についての操作の権限の有無を示す情報の入力を分析対象システムに存在する関与者のそれぞれについて受け付ける入力手段とを備え、設定手段により設定された情報、入力手段により入力した情報および脅威・対策対応情報をもとに、分析対象システムに想定される脅威および当該脅威に対する対策を抽出することを特徴とする。

本発明によれば、設計対象のシステム・装置に存在するセキュリティ脅威とそれに対する対策手段の抽出精度を向上させることができる。

以下図面により本発明の実施形態について説明する。
（第１の実施形態）
まず、本発明の第１の実施形態について説明する。
本発明の第１の実施形態では、対象とするシステムに潜むセキュリティ脅威（以後、単に脅威と呼ぶ）およびそれに対する対策を効率的に抽出するための脅威分析支援装置１について説明する。

以後において、脅威分析支援装置１を使用して分析を行なう操作者を分析者と呼称する。また、脅威分析支援装置１を用いて想定される脅威を抽出する分析対象のシステムを分析対象システムと呼称する。

図１は、本発明の第１の実施形態における脅威分析支援装置１の構成例を示すブロック図である。
図１に示すように、本発明の第１の実施形態における脅威分析支援装置１は、入力部１１、出力部１２、権限設定情報生成部１３、脅威抽出部１４、装置全体の処理動作を司る制御部１５、システム共通情報記録装置１６およびシステム個別情報記録装置１７を備える。

入力部１１は例えばキーボードやマウスであり、脅威分析支援装置１の利用者からの情報入力を受け付ける。
出力部１２は例えば液晶ディスプレイ装置であり、脅威分析支援装置１による分析途中経過および分析結果を出力する。

システム共通情報記録装置１６は、ハードディスクドライブや不揮発性メモリなどの記憶媒体であり、後述する資産・操作対応表を記憶するための資産・操作対応情報記憶部２１および後述する脅威・対策対応表を記憶するための脅威・対策対応情報記憶部２２を有する。また、システム共通情報記録装置１６には権限設定情報生成部１３および脅威抽出部１４の機能を実現するためのプログラムも記憶される。

資産・操作対応表や脅威・対策対応表で示される情報は、一般的なシステムについての情報、つまり分析対象システムに依存しない情報であるため、これらの情報を総称してシステム共通情報と呼称する。

システム個別情報記録装置１７は、ハードディスクドライブや不揮発性メモリなどの記憶媒体であり、入力部１１を通じて入力された、分析対象とするシステムに依存する情報を記憶し、さらに当該情報とシステム共通情報記録装置１６に記憶されたシステム共通情報とから生成された情報を記録する。

システム個別情報記録装置１７は、関与者定義情報記憶部２３、保護資産定義情報記憶部２４、権限設定情報記憶部２５および脅威抽出結果記憶部２６を有する。
関与者定義情報記憶部２３、保護資産定義情報記憶部２４、権限設定情報記憶部２５および脅威抽出結果記憶部２６は、後述する関与者定義表、保護資産定義表、権限設定表、脅威抽出結果表をそれぞれ記憶する。これらの情報は分析対象システムに依存した情報であるため、これらの情報を総称してシステム個別情報と呼称する。

権限設定情報生成部１３は、システム共通情報記録装置１６に記憶されたシステム共通情報である資産・操作対応表、および入力部１１を通じて入力されたシステム個別情報である保護資産定義表や関与者定義表から権限設定表を生成する。

脅威抽出部１４は、権限設定情報生成部１３により生成された権限設定表について入力部１１への操作により入力された後述する権限有無情報と、システム共通情報記録装置１６の脅威・対策対応情報記憶部２２に記憶された脅威・対策対応表とから、分析対象システムで想定される脅威および当該脅威の対策を抽出する。

図２は、本発明の第１の実施形態における脅威分析支援装置が取り扱う資産・操作対応表、関与者定義表、保護資産定義表および権限設定表の構成例を示す図である。
図３は、本発明の第１の実施形態における脅威分析支援装置が取り扱う脅威・対策対応表の構成例を示す図である。
ここで、システム共通情報記録装置１６の資産・操作対応情報記憶部２１に記憶される資産・操作対応表と脅威・対策対応情報記憶部２２に記憶される脅威・対策対応表について説明する。

図２に示すように、資産・操作対応表では、一般的なシステムに存在し得る複数の資産種別である項目「資産種別」と、当該資産種別の資産に対してシステム取扱者により可能な単一または複数の操作種別である項目「操作」が管理される。

資産・操作対応表で定義される情報は、個別のシステムに依存しないあらゆるシステムに対して共通な情報である。ここで、資産とはシステムに存在する可能性があって保護すべきデータ、プログラム、機器、物理媒体および紙媒体などを指す。
図２に示した例では、資産・操作対応表における資産種別「データ」に属する資産に対する操作は「参照する」、「登録する」、「編集する」、「削除する」の４種類である。

また、図３に示すように、脅威・対策対応表では、一般的なシステムに存在する資産種別、当該資産種別について可能な操作、当該操作に対する関与者の権限の有無、および当該操作に対する関与者の権限に起因する脅威内容情報と当該脅威に対する単一または複数の対策情報が対応付けられて管理される。

図３に示した例では、脅威・対策対応表の項目は「資産種別」、「操作」、「関与者種別」、「脅威内容」、「対策」である。脅威・対策対応表で定義される脅威および当該脅威に対する対策は特定のシステムに依存するものでなく、どのようなシステムにも共通するものを抽象化して記述している。

図３に示すように、脅威・対策対応表上の「資産種別」は、前述した資産・操作対応表上の資産種別と同じである。また、「操作」は、資産種別に対応する資産に対して取扱者が可能とする操作内容であり、前述した資産・操作対応表上の該当資産種別に対応する操作種別である。

脅威・対策対応表上の「関与者種別」は、分析対象システムの関与者が脅威・対策対応表上で資産種別に対応付けられる操作を行なうことが許可されているか否かを示す情報である。ここで述べた関与者とは、分析対象システムに関連して存在する人のことであり、例えばシステムを管理する人である管理者、システムを操作する人である操作者、およびシステムと関係のない人である第三者などが挙げられる。

脅威・対策対応表上で示された操作を行なうことが許可されている場合には、当該操作に対応する関与者種別の欄に「権限者」と設定され、当該操作を行なうことが許可されていない場合には関与者種別の欄に「非権限者」と設定される。また、権限者と非権限者に共通する場合には関与者種別の欄に「共通」と設定される。

脅威・対策対応表の各行は、「資産種別」の列のある資産に対する「操作」列の操作を行なう権限について「関与者種別」の列に示す権限の関与者に対しては「脅威内容」の列に示す脅威が存在し、それに対する対策として「対策」の列に示す対策が存在することを意味する。

例えば、図３に示した脅威・対策対応表の１行目では、「データ」という資産種別の資産を「登録する」という操作について、「権限者」である関与者、つまり操作の権限を持つ関与者に対しては、「誤って登録する」という脅威が想定され、当該脅威に対する対策としては「操作ログ」が有効であることが示される。

次に、図１に示した構成の脅威分析支援装置１の動作について説明する。図４は、本発明の第１の実施形態における脅威分析支援装置１による脅威分析処理の一例を示すフローチャートである。
この処理の説明において、システム共通情報である資産・操作対応表や脅威・対策対応表については予めシステム共通情報記録装置１６に記憶されているものとする。

まず、入力部１１は分析者による入力操作により、分析対象システム個別の情報を入力する（ステップＳ１）。入力部１１より入力されたシステム個別情報は、システム個別情報記録装置１７の関与者定義情報記憶部２３に関与者定義表として記憶され、また、保護資産定義情報記憶部２４に保護資産定義表として記憶される。

関与者定義表は、分析対象システムに関係する関与者名を記述する表である。図２に示した例では、関与者定義表では、分析対象システムに「営業社員」、「技術社員」、「派遣社員」が関与者名として存在することが記述される。また、当該システムに直接関係しない第三者も脅威分析の対象とするために、「第三者」についても関与者定義表に記述される。

保護資産定義表は、分析対象システムに存在する保護資産を記述する表である。図２に示した例では、保護資産定義表は、資産名称と当該資産の種別および当該資産へのアクセス経路が関連付けられて管理される。保護資産定義表上の資産名称およびアクセス経路は分析者による入力部１１への操作により定義される自由入力の情報である。また、保護資産定義表上の資産種別に関しては資産・操作対応表で定義される資産種別が定義される。

ステップＳ１の処理において、システム個別情報である関与者定義表および保護資産定義表の入力がなされると、権限設定情報生成部１３は、システム個別情報として入力した保護資産定義表や関与者定義表と、システム共通情報である資産・操作対応表とを用いて権限設定表を生成する（ステップＳ２）。

次に、権限設定表と当該権限設定表の生成方法について説明する。
権限設定表では、表の行方向に沿って、資産、当該資産へのアクセス経路、および資産に対して可能な操作種別が項目として記述される。これらの項目は保護資産定義表と資産・操作対応表の情報とを用いて生成される。

権限設定表上の行方向の情報の生成方法について説明する。図５は、本発明の第１の実施形態における脅威分析支援装置による脅威分析処理における権限設定表生成処理の一例を示すフローチャートである。
まず、権限設定情報生成部１３は、保護資産定義表より一組の「資産名称」と「アクセス経路」を取り出して権限設定表に設定する（ステップＳ２１）。
次に、権限設定情報生成部１３は、ステップＳ２１の処理により保護資産定義表より取り出していない「資産名称」と「アクセス経路」が残っている場合には（ステップＳ２２のＮＯ）、ステップＳ２１の処理で設定した資産名称に対して保護資産定義表にて関連付けられる資産種別を検索し、当該検索した資産種別に対して資産・操作対応表にて関連付けられる操作種別を、資産に対して可能な操作として取り出し、権限設定表中の「資産」に関連付けられるアクセス経路ごとに操作として設定する（ステップＳ２３）。

権限設定情報生成部１３は、ステップＳ２２の処理後、ステップＳ２１の処理により保護資産定義表より「資産名称」と「アクセス経路」の組を全て取り出した場合には（ステップＳ２２のＹＥＳ）、権限設定表生成処理を終了する。また、権限設定表の列方向には、関与者定義表に定義される関与者名がそれぞれ記述される。

このように生成された権限設定表は出力部１２に表示される。分析者は、表示された権限設定表を参照して、当該権限設定表上の各資産の各アクセス経路の各操作について、入力部１１への入力操作により各関与者の権限有無情報を設定する（ステップＳ３）。

図６は、本発明の第１の実施形態における脅威分析支援装置により生成され、権限有無情報が設定された権限設定表の構成例を示す図である。
図６に示した例では、権限設定表上の項目「資産」に対応付けられるアクセス経路での操作が許可されている関与者の欄に「○」が設定され、当該アクセス経路での操作が許可されていない関与者の欄には「○」が設定されない。図６に示した例では、ネットワーク経由での設計書の参照は、営業社員と技術社員のみが許可されており、派遣社員と第三者はネットワーク経由での設計書の参照が許可されていないことを示す。つまり、ネットワーク経由での設計書の参照について、営業社員と技術社員は権限者であり、派遣社員と第三者は非権限者となる。

次に、脅威抽出部１４は、権限有無情報が設定された権限設定表と、システム共通情報である脅威・対策対応表とから分析対象システムに想定される脅威と当該脅威に対する対策を抽出する（ステップＳ４）。

脅威抽出部１４による脅威・対策抽出処理の詳細を説明する。図７は、本発明の第１の実施形態における脅威分析支援装置による脅威分析処理における脅威・対策抽出処理の一例を示すフローチャートである。

まず、脅威抽出部１４は、権限設定表より一組の資産、アクセス経路を選択する（ステップＳ４１）。ここで、脅威抽出部１４は、未選択の資産、アクセス経路の組が権限設定表に存在しなければ（ステップＳ４２のＹＥＳ）、処理を終了する。

脅威抽出部１４は、未選択の資産、アクセス経路の組が権限設定表にあれば（ステップＳ４２のＮＯ）、ステップＳ４１の処理で選択した資産と同じ情報である資産名称を保護資産定義表より選択し、当該資産名称に対応付けられる資産種別を当該保護資産定義表から選択する。

脅威抽出部１４は、当該選択した資産種別と同じ資産種別を脅威・対策対応表から選択し、当該資産種別が関わる行のうち関与者種別が「共通」となる行が当該脅威・対策対応表にあれば、当該行を選択する（ステップＳ４３）。

脅威抽出部１４は、前述した関与者種別が「共通」となる行が脅威・対策対応表にあったのであれば（ステップＳ４４のＮＯ）、関与者定義表から関与者名を１種類選択する（ステップＳ４５）。

脅威抽出部１４は、関与者定義表から未選択の関与者名がなければ（ステップＳ４６のＹＥＳ）、ステップＳ４３の処理に戻る。
脅威抽出部１４は、関与者定義表から未選択の関与者名がある場合には（ステップＳ４６のＮＯ）、ステップＳ４３の処理で脅威・対策対応表から選択した行に含まれる脅威および対策について、ステップＳ４１の処理で選択した資産、ステップＳ４５の処理で選択した関与者で資産種別、関与者種別をそれぞれ置き換え、ステップＳ４１の処理で選択したアクセス経路を加えた情報を分析対象システムの脅威・対策として脅威抽出結果表に追加し（ステップＳ４７）、ステップＳ４５の処理へ戻る。

一方、脅威抽出部１４は、前述した関与者種別が「共通」となる行が脅威・対策対応表になかったのであれば（ステップＳ４４のＹＥＳ）、ステップＳ４１の処理で権限設定表から選択した資産およびアクセス経路に対応付けられる操作を当該権限設定表から選択する（ステップＳ４８）。

脅威抽出部１４は、ステップＳ４８の処理において未選択の操作がない場合には（ステップＳ４９のＹＥＳ）、ステップＳ４１の処理へ戻る。
脅威抽出部１４は、ステップＳ４８の処理において未選択の操作がある場合には（ステップＳ４９のＮＯ）、ステップＳ４１の処理、ステップＳ４８の処理で権限設定表からそれぞれ選択した資産、アクセス経路、操作の組に対応付けられる、関与者と当該関与者の権限有無情報の組を当該権限設定表から選択する（ステップＳ５０）。

脅威抽出部１４は、ステップＳ５０の処理後、未選択の関与者と当該関与者の権限有無情報の組がない場合には（ステップＳ５１のＹＥＳ）、ステップＳ４８の処理へ戻る。
脅威抽出部１４は、ステップＳ５０の処理後、未選択の関与者と当該関与者の権限有無情報の組がある場合には（ステップＳ５１のＮＯ）、ステップＳ４１の処理で権限設定表より選択した資産に該当する資産種別、ステップＳ４８の処理で権限設定表より選択した操作、およびステップＳ５０の処理で権限設定表より選択した関与者種別が一致する行があれば、当該行を脅威・対策対応表より選択する。

さらに、脅威抽出部１４は、行を選択した場合には、当該選択行に含まれる脅威内容および対策内容について、ステップＳ４１の処理で選択した資産の情報、ステップＳ５０の処理で選択した関与者名で資産種別、関与者種別をそれぞれ置き換え、ステップＳ４１の処理で選択したアクセス経路を加えた情報を分析対象システムの脅威・対策として脅威抽出結果表に追加し（ステップＳ４２）、ステップＳ５０の処理へ戻る。

以上説明した処理について、具体例を用いて説明する。ここでは、ステップＳ４１の処理で、図６に示す権限設定表から資産およびアクセス経路の組として、資産「設計書」、アクセス経路「ネットワーク」が選択された場合について述べる。

「設計書」の資産種別は、図２に示す保護資産定義表より「データ」であることが分かる。このとき、ステップＳ４４の処理では、図３に示す脅威・対策対応表で、資産種別「データ」、関与者種別「共通」となる脅威・対策の組があるか否かが判別されるが、脅威・対策対応表には前述した内容の組が含まれないため、ステップＳ４８の処理へ進む。
ステップＳ４８の処理では、図６に示す資産「設計書」、アクセス経路「ネットワーク」に対する操作種別である「参照する」が権限設定表より選択される。

ステップＳ５０の処理では、資産「設計書」、アクセス経路「ネットワーク」、操作「参照する」に対する関与者、権限の組として図６に示す権限設定表より「営業社員」、「権限あり（○）」が取得される。つまり、関与者「営業社員」は、資産「設計書」に対して、アクセス経路「ネットワーク」で、操作「参照する」の権限を持つ。

そして、ステップＳ５２の処理では、資産種別「データ」、操作「参照する」、関与者種別「権限者」に一致する行が図３に示す脅威・対策対応表に存在しないため、新たな脅威・対策は脅威抽出結果表に追加されない。

次に、ステップＳ５０の処理に戻り、新たな関与者及び権限の組として図６に示す権限設定表より資産「設計書」、アクセス経路「ネットワーク」、操作「参照する」に対し「技術社員」、「権限あり」を選択するが、この場合も先の「営業社員」と同様に新たに脅威・対策は追加されない。次の関与者、権限の組としては図６に示す権限設定表より資産「設計書」、アクセス経路「ネットワーク」、操作「参照する」に対し「派遣社員」「権限なし」が選択される。

図８は、本発明の第１の実施形態における脅威分析支援装置により生成する脅威抽出結果表の第１の例を示す図である。
この場合、ステップＳ５２の処理において、図３に示す脅威・対策対応表では、資産種別「データ」、操作「参照する」、関与者種別「非権限者」、脅威内容「不正に参照する」が該当するので、資産「設計書」、関与者「派遣社員」、アクセス経路「ネットワーク」、脅威内容「不正に参照する」、対策「アクセス制御」という行が図８に示すように脅威抽出結果表に追加される。

図９は、本発明の第１の実施形態における脅威分析支援装置により生成する脅威抽出結果表の第２の例を示す図である。
同様に、資産「設計書」、アクセス経路「ネットワーク」の組について脅威・対策の抽出が行なわれると、脅威抽出結果表は図９に示した構成になる。

図１０は、本発明の第１の実施形態における脅威分析支援装置により生成する脅威抽出結果表の第３の例を示す図である。
同様に、資産「設計書」、アクセス経路「閲覧端末コンソール」の組について脅威・対策の抽出がなされると行なうと脅威抽出結果表は図１０に示した構成になる。

図１１は、本発明の第１の実施形態における脅威分析支援装置により生成する脅威抽出結果表の第４の例を示す図である。
「設計書」以外の資産およびアクセス経路の組み合わせについても脅威・対策の抽出が行なわれると脅威抽出結果表は図１１に示した構成になる。

以上の処理により分析対象システムについて、図８〜図１１に示すような脅威および当該に対する対策の一覧が生成されて出力部１２に表示される。

このように抽出された脅威は、冗長であって分析対象システムに該当しない場合がある。分析者は、出力部１２に表示された脅威抽出結果表を参照して、当該脅威の要・不要を判断し、不要な脅威を入力部１１への入力操作により指定することで脅威の絞り込みがなされる（ステップＳ５）。

また、出力部１２に表示された脅威に対しては複数の対策が記入されているが、脅威と同様、冗長であって分析対象システムに該当しない場合がある。
分析者は、出力部１２に表示された脅威抽出結果表を参照して、当該対策の要・不要を判断し、不要な対策を入力部１１への入力操作により指定することで対策の絞り込みがなされる（ステップＳ６）。

以上のように、本発明の第１の実施形態における脅威分析装置では、予め設定した保護資産に対して各関与者の操作の権限の有無を設定し、当該設定した情報に基づいて分析対象システムに想定されるセキュリティ脅威を抽出するので、抽出される脅威を絞り込むことができ、精度の高い脅威抽出が可能となる。つまり、抽出された脅威から更に脅威を絞り込む時間を短縮できるため、効率的な脅威分析が可能となる。

また、前述したように、保護資産に対して関与者の権限を設定し、この設定に基づいてセキュリティ脅威を抽出するため、ある保護資産に対して操作の権限を有する者が起こす脅威と権限が無い者が起こす脅威を個別に抽出することが可能となる。

このように操作の権限を有する者が起こす脅威と権限が無い者が起こす脅威をそれぞれ抽出する利点としては、従来は非権限者が起こすセキュリティ脅威に注目しがちであったのに対し、近年は組織の内部犯行の増加が問題となっていることもあり、権限を有する者が起こすセキュリティ脅威を抽出することが重要となってきている点が挙げられる。
このような分析を行なうことにより、分析対象システムに想定されるセキュリティ脅威と対策を効率よく抽出することが可能となる。

また、本実施形態では、資産・操作対応表や脅威・対策対応表で示される情報は、分析対象システムに依存しない情報として定義した情報であるため、分析者は、分析対象システムの保護資産の名称を設定した上で、分析対象システムの各保護資産に対する操作の権限の有無を示す情報を入力すれば、前述したように分析対象システムに想定される脅威や対策が抽出される。よって、分析者は、分析対象システムが変わった場合には、当該分析対象システムについて個別の情報を設定もしくは入力すればよいので、分析対象のシステムが複数種類存在する場合の手間を低減することができる。

（第２の実施形態）
次に、本発明の第２の実施形態について説明する。なお、本実施形態に係る脅威分析装置の構成のうち図１に示したものと同一部分の説明は省略する。
本発明の第２の実施形態では、脅威を抽出する際に、併せて脅威のリスク値を算出する。リスク値とは脅威ごとに決まる値であり、当該脅威に対して対策を行わない場合のリスクの度合いを指す。

一般的には、リスク値＝被害の大きさ×発生可能性であるとして、被害の大きさの期待値という形で定義される。本実施形態でもこの定義を用いるが必ずしもこれに限定されない。また、本実施形態では、リスク値を３つのセキュリティ特性「機密性」、「完全性」、「可用性」のそれぞれについて算出するが、この種別の数は特に限定されない。
リスク値は、各脅威について算出されるので、算出されたリスク値を参照することで、対策を実施すべき脅威の優先度を付けることが可能となる。

図１２は、本発明の第２の実施形態における脅威分析支援装置の構成例を示すブロック図である。
図１２に示すように、本発明の第２の実施形態における脅威分析支援装置２は、第１の実施形態で説明した脅威分析支援装置１と比較して、リスク値算出部３１をさらに備える。リスク値算出部３１は、脅威抽出部１４により脅威の抽出を行なう際に、併せてリスク値の算出に必要な被害の大きさの算出を行なう。システム共通情報記録装置１６にはリスク値算出部３１の機能を実現するためのプログラムも記憶される。

脅威分析支援装置２では、システム共通情報のうち脅威・対策対応表と、システム個別情報のうち保護資産定義表、脅威抽出結果表の構成が、脅威分析支援装置１とは異なる。

図１３は、本発明の第２の実施形態における脅威分析支援装置が取り扱う脅威・対策対応表の構成例を示す図である。
図１３に示すように、本発明の第２の実施形態における脅威・対策対応情報記憶部２２に記憶される脅威・対策対応表は、図３に示した例と異なり、各行の脅威のそれぞれについて、当該脅威が発生した場合のセキュリティ特性への影響を示す値がさらに関連付けられる。図１３に示した例では、セキュリティ特性である機密性、完全性および可用性のそれぞれへの影響を示す値を０〜３の４段階評価で示している。セキュリティ特性への影響を示す値が「０」の場合は影響がない事を、「１」の場合は影響の程度が「小」で、「２」の場合は影響の程度が「中」で、「３」の場合は影響の程度が「大」であることをそれぞれ示す。

図１４は、本発明の第２の実施形態における脅威分析支援装置が取り扱う保護資産定義表の構成例を示す図である。
図１４に示すように、本発明の第２の実施形態における保護資産定義情報記憶部２４に記憶される保護資産定義表は、図２に示した例と異なり、項目「資産名称」で定義される各資産名称のそれぞれについて、当該資産名称の資産に対して求められるセキュリティ特性である機密性、完全性および可用性の度合いを要件として定義される。

これらの度合いは分析者が予め入力部１１への入力操作を行なうことで定義される。図１４に示した例では、要求されるセキュリティ特性の度合いを示す値を０〜３の４段階評価で示している。セキュリティ特性の度合いを示す値が「０」の場合はまったく考慮しない事を、「１」の場合は当該特性が出来るだけ損なわれないことが望ましい事を、「２」の場合は当該特性を多少重視する事を、「３」の場合は当該特性を重視することをそれぞれ示す。

ここで示される各資産に対するセキュリティ特性の度合いを示す値は、当該資産の資産価値を示す値とみなすこともできる。
なお、資産・操作対応表および関与者定義表の構成は、図２に示した構成と同じである。

本実施形態では、脅威抽出部１４は、第１の実施形態のように分析対象システムに関する脅威・対策を抽出する事に加え、各脅威の被害の大きさを示す値をセキュリティ特性である機密性、完全性および可用性のそれぞれについて算出する。

本実施例では、被害の大きさを脅威・対策対応表で定義された当該脅威が発生した場合の「影響」の値と、保護資産定義表で定義された資産に求めるセキュリティ特性の度合いの「要件」の値とから、各セキュリティ特性について、被害の大きさの値が影響の値と要件の値の積であるとして算出する。

次に、分析者が、入力部１１への入力操作により、分析対象システムにおける各脅威の「発生可能性」を示す値を入力する、本実施形態では、発生可能性の値は０〜３の４段階の値であり、発生の可能性はほとんどない場合には「０」が、ごく稀に発生する可能性がある、または高度な技術を保持している者が行える場合には「１」が、頻繁ではないが発生する可能性がある、またはある程度の専門性がある者であれば行える場合には「２」が、頻繁に発生する可能性がある、または一般の者が容易に行える場合には「３」が入力される。

すると、脅威抽出部１４は、前述したように抽出した各脅威、つまり脅威抽出結果表における各行の脅威内容のそれぞれについて、各セキュリティ特性である機密性、完全性および可用性に関する最終的なリスク値を、被害の大きさの値と発生可能性の値との積として算出する。

図１５は、本発明の第２の実施形態における脅威分析支援装置２により生成する脅威抽出結果表の第１の例を示す図である。
図１６は、本発明の第２の実施形態における脅威分析支援装置２により生成する脅威抽出結果表の第２の例を示す図である。
図１７は、本発明の第２の実施形態における脅威分析支援装置２により生成する脅威抽出結果表の第３の例を示す図である。
図１５，図１６，図１７に示すように、第２の実施形態において生成された脅威抽出結果表では、脅威内容のそれぞれについて、前述したようにリスク値算出部３１により算出された当該脅威が発生した場合の被害の大きさの値、入力された当該脅威の発生可能性の値、および前述したように算出された当該脅威に関するリスク値が関連付けられる。

以上説明したように、本発明の第２の実施形態における脅威分析支援装置２では、第１の実施形態で説明した特徴に加え、抽出された各脅威の発生可能性を示す値を入力することで、当該脅威に対するリスク値が算出される。よって、分析者による脅威のさらなる絞り込みのための目安や、対策のさらなる絞り込みのための目安となる情報を得ることができる。

例えば、分析者は、脅威抽出結果表で示される脅威のうちリスク値の小さいものは考慮する必要性も低いものと考えて削除することで、脅威のさらなる絞り込みを行なうことができる。また、分析者は、脅威抽出結果表で示される脅威のうちリスク値の高いものから優先的に対策を検討してくことで、効率良い対策案の策定が可能となる。

また、本実施形態では、脅威抽出後、分析者が各脅威の発生可能性を入力すると説明したが、すべての脅威の発生可能性が等しいとみなして発生可能性の値を「１」とすることで分析者による発生可能性値の入力を省略しても良い。この場合には、被害の大きさの値がそのままリスク値となる。

なお、この発明は前記実施形態そのままに限定されるものではなく実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、前記実施形態に開示されている複数の構成要素の適宜な組み合わせにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を省略してもよい。更に、異なる実施形態に亘る構成要素を適宜組み合せてもよい。

本発明の第１の実施形態における脅威分析支援装置の構成例を示すブロック図。 本発明の第１の実施形態における脅威分析支援装置が取り扱う資産・操作対応表、関与者定義表、保護資産定義表および権限設定表の構成例を示す図。 本発明の第１の実施形態における脅威分析支援装置が取り扱う脅威・対策対応表の構成例を示す図。 本発明の第１の実施形態における脅威分析支援装置による脅威分析処理の一例を示すフローチャート。 本発明の第１の実施形態における脅威分析支援装置による脅威分析処理における権限設定表生成処理の一例を示すフローチャート。 本発明の第１の実施形態における脅威分析支援装置により生成され、権限有無情報が設定された権限設定表の構成例を示す図。 本発明の第１の実施形態における脅威分析支援装置による脅威分析処理における脅威・対策抽出処理の一例を示すフローチャート。 本発明の第１の実施形態における脅威分析支援装置により生成する脅威抽出結果表の第１の例を示す図。 本発明の第１の実施形態における脅威分析支援装置により生成する脅威抽出結果表の第２の例を示す図。 本発明の第１の実施形態における脅威分析支援装置により生成する脅威抽出結果表の第３の例を示す図。 本発明の第１の実施形態における脅威分析支援装置により生成する脅威抽出結果表の第４の例を示す図。 本発明の第２の実施形態における脅威分析支援装置の構成例を示すブロック図。 本発明の第２の実施形態における脅威分析支援装置が取り扱う脅威・対策対応表の構成例を示す図。 本発明の第２の実施形態における脅威分析支援装置が取り扱う保護資産定義表の構成例を示す図。 本発明の第２の実施形態における脅威分析支援装置により生成する脅威抽出結果表の第１の例を示す図。 本発明の第２の実施形態における脅威分析支援装置により生成する脅威抽出結果表の第２の例を示す図。 本発明の第２の実施形態における脅威分析支援装置により生成する脅威抽出結果表の第３の例を示す図。

符号の説明

１，２…脅威分析支援装置、１１…入力部、１２…出力部、１３…権限設定情報生成部、１４…脅威抽出部、１５…制御部、１６…システム共通情報記録装置、１７…システム個別情報記録装置、２１…資産・操作対応情報記憶部、２２…資産・対策対応情報記憶部、２３…関与者定義情報記憶部、２４…保護資産定義情報記憶部、２５…権限設定情報記憶部、２６…脅威抽出結果記憶部、３１…リスク値算出部。

Claims (4)

1. 分析対象システムに存在する保護資産の名称、種別、および当該保護資産についてシステム取扱者が可能な操作の対応関係を示す情報を設定する設定手段と、
   保護資産の種別、当該保護資産種別に対して可能な操作、および当該保護資産種別の保護資産についての関与者による操作の権限がある場合と無い場合のそれぞれにおいて想定される脅威および当該脅威に対して有効な対策を定義した脅威・対策対応情報を記憶する記憶手段と、
   前記設定された情報における保護資産の名称で示される資産についての操作の権限の有無を示す情報の入力を前記分析対象システムに存在する関与者のそれぞれについて受け付ける入力手段と、
   前記設定手段により設定された情報、前記入力手段により入力した情報および前記脅威・対策対応情報をもとに、前記分析対象システムに想定される脅威および当該脅威に対する対策を抽出する抽出手段と
   を備えたことを特徴とする脅威分析支援装置。
2. 前記記憶手段に記憶される脅威・対策対応情報は、前記記憶される脅威のセキュリティ特性への影響を示す情報をさらに定義し、
   前記入力手段は、前記保護資産に求められるセキュリティ特性の程度を示す情報をさらに入力し、
   前記抽出手段は、前記設定手段により設定された情報、前記入力手段により入力した情報および前記脅威・対策対応情報をもとに、当該分析対象システムに想定される脅威のセキュリティ特性に対するリスク値をさらに抽出する
   ことを特徴とする請求項１に記載の脅威分析支援装置。
3. 一般的なシステムの保護資産の種別および当該保護資産について可能な操作を定義した資産・操作対応情報を記憶する第１の記憶手段と、
   前記保護資産の種別および当該保護資産についての関与者による操作の権限がある場合と無い場合のそれぞれにおいて想定される脅威および当該脅威に対して有効な対策を定義した脅威・対策対応情報を記憶する第２の記憶手段と、
   分析対象システムに存在する保護資産の名称と前記保護資産の種別との対応を示す保護資産情報を記憶する第３の記憶手段と、
   分析対象システムに存在する関与者の名称を記憶する第４の記憶手段と、
   前記資産・操作対応情報および前記保護資産情報をもとに、前記分析対象システムに存在する保護資産の名称と当該資産について可能な操作との対応関係を示す情報を出力する出力手段と、
   前記出力された保護資産の名称に対応する資産についての操作の権限の有無を示す情報の入力を前記分析対象システムに存在する関与者の名称のそれぞれについて受け付ける入力手段と、
   前記出力手段により出力された情報、前記入力手段により入力した情報、および前記脅威・対策対応情報をもとに、前記分析対象システムに想定される脅威および当該脅威に対する対策を抽出する抽出手段と
   を備えたことを特徴とする脅威分析支援装置。
4. 保護資産の種別、当該保護資産種別に対して可能な操作、および当該保護資産種別の保護資産についての関与者による操作の権限がある場合と無い場合のそれぞれにおいて想定される脅威および当該脅威に対して有効な対策を定義した脅威・対策対応情報を記憶する記憶手段を有するコンピュータを、
   分析対象システムに存在する保護資産の名称、種別、および当該保護資産についてシステム取扱者が可能な操作の対応関係を示す情報を設定する設定手段、
   前記設定された情報における保護資産の名称で示される資産についての操作の権限の有無を示す情報の入力を前記分析対象システムに存在する関与者のそれぞれについて受け付ける入力手段、および
   前記設定手段により設定された情報、前記入力手段により入力した情報および前記脅威・対策対応情報をもとに、前記分析対象システムに想定される脅威および当該脅威に対する対策を抽出する抽出手段
   として機能させるようにした脅威分析支援処理プログラム。

Images