JP4821977B2 - リスク分析装置、リスク分析方法およびリスク分析用プログラム - Google Patents

Description

本発明は、リスク分析装置、リスク分析方法およびリスク分析用プログラムに関し、特には、分析対象情報システムでの文書の管理リスクを分析する、リスク分析装置、リスク分析方法およびリスク分析用プログラムに関する。

近年、個人情報保護法の施行や、機密情報、個人情報の漏洩事件の多発により、情報保護への関心が高まっている。

従来から、各企業は、情報保護のために、さまざまな対策を施しているが、その対策による効果を適切に評価することが困難であり、適切な対策に基づいて情報が管理されているかどうかを判断できないという問題がある。

このような問題に対処するためには、情報マネジメントが重要であり、情報システムの現状を把握し、リスク（危険率）を評価し、適切な対策が施されているかを分析する必要がある。

情報マネジメントでは、情報資産や、情報管理のための対策を洗い出して現状を把握し、情報に対するリスクを評価することで、情報が適切に管理されているかを検証する必要がある。

従来、これらの作業は、人手で行う必要があり、管理者や、システムの利用者に多大な負担となっていた。

そこで、情報システムのリスクを簡単に評価するためのシステムが提案されている。例えば、情報漏洩のリスクを評価するシステムとして、特許文献１、２、３に記載されているシステムがある。

特許文献１（特開２００５−１９６７２８号公報）には、通信機器の設定を分析し、その分析結果に基づいて、情報漏洩の可能性のある経路を発見するシステム（以下、「従来技術１」と称する。）が記載されている。

従来技術１は、分析対象となるネットワークシステムから、サーバやネットワーク機器の設定情報を抽出し、その設定情報を用いて、情報の流れを経路としてモデル化し、そのモデルと、セキュリティ検証用のポリシーと、を照合することで、情報漏洩を引き起こす経路を発見する。

これにより、情報漏洩を引き起こす経路と、情報漏洩を引き起こす原因となる設定情報と、を発見することができ、情報漏洩を防止するための対策を提案することができる。また、情報漏洩を引き起こす経路が発見できなければ、情報が適切に管理されていると判断することができる。

しかし、従来技術１は、情報漏洩を引き起こす経路を発見できるが、情報漏洩を将来引き起こす可能性のある経路、例えば、他の脆弱性などにより、簡単に情報漏洩を引き起こす経路などを発見することができないため、リスク分析としては、十分でない。

特許文献２（特開２００５−１３５２３９号公報）には、セキュリティリスクを評価し、対策指針を出力するシステム（以下、「従来技術２」と称する。）が記載されている。

従来技術２は、セキュリティ対策を問う現状分析入力処理部と、資産入力部と、脆弱性ＤＢ（データベース）と、脅威分析部と、リスク算出部と、対策指針作成部を有する。

従来技術２は、質問のセキュリティ対策に関連する脆弱性を脆弱性ＤＢから取り出し、資産入力部で入力した資産価値を基に、脆弱性ごとの脆弱性値を算出する。脅威分析部は、脆弱性に対応する脅威と、その重みを、脅威ＤＢから取り出し、脅威値を計算する。リスク算出部は、資産価値と脆弱性値と脅威値を基に、脆弱性ごとにリスク値を算出する。対策指針作成部は、脆弱性に対応する対策指針を抽出する。

しかし、従来技術２では、リスクが評価できるのは、ホスト単位であり、ファイル（文書）に対する脅威を対象としていないため、リスク分析の精度が低い。また、従来技術２は、現状分析が質問方式なため、機器の有無程度の現状分析にとどまり、実際のシステムの状態を正しく分析できるとは限らない。また、脆弱性に対する重みをあらかじめ定義し、固定値としているが、脆弱性に対する重みも、他の機器の設定などにより変化すべきであり、リスク分析として十分でない。

特許文献３（特開２００５−２３４８４０号公報）には、リスクを評価して、その対策の選定を支援するシステム（以下、「従来技術３」と称する。）が記載されている。

従来技術３は、情報資産と脆弱性を関連付けることにより、脆弱性に対する対策を提案する。

しかし、脆弱性の現状を把握することができても、他の機器の設定などにより、その脆弱性への対策を施されている場合は、脆弱性は有効でなく、その対策の必要がないこともある。このように、脆弱性だけの現状把握では、十分なリスク分析にはならない。

なお、リスク分析とは異なるが、自動的に文書を分類し、その重要度を判定する技術が、特許文献４（特開２００５−１４１５６８号公報）に記載されている。
特開２００５−１９６７２８号公報 特開２００５−１３５２３９号公報 特開２００５−２３４８４０号公報 特開２００５−１４１５６８号公報

上記の各従来技術では、以下の問題点がある。

第１の問題点は、情報保護のために設置される機器の設定状況を反映したリスクを評価できないということである。その理由は、以下の通りである。

情報は、複数の機器によって保護されるのが一般的であり、それらの機器が有効に機能しているかどうかは、それらの設定に依存している。

従来技術２では、質問方式による現状把握であるため、対策機器の有無程度であればわかるが、その対策がどのように設定され、有効に機能しているかどうかなど、対策の実施状況を把握することができない。また、質問に答える人が、システム構成を正しく把握していなければ、正確な現状把握ができないためである。

従来技術３では、脆弱性検査ツールを用いることで、現状を把握することができるが、脆弱性の把握だけでは、文書がどのように流通するかを分析することができない。なぜならば、正確なリスク評価をするためには、情報保護のために設置された機器の設定情報を反映したリスクを評価する必要があるからである。

第２の問題点は、個々の文書に対するリスクを評価することができないということである。その理由は、従来技術２、３のようなホスト単位でのリスク分析では、ファイルのアクセス権などの設定により、文書が流通しない場合などでは、正確なリスク分析ができないからである。

本発明の目的は、ファイアウォールなどによるフィルタリング設定など、情報管理における対策（通信設定）を反映したリスクを評価できるリスク分析装置およびリスク分析方法を提供することにある。

本発明の他の目的は、文書ごとにリスクを評価できるリスク分析装置を提供することにある。

上記目的を達成するために、本発明のリスク分析装置は、文書を格納し、複数の通信機器とともに前記文書の通信を、通信に関する通信設定に基づいて制御する文書管理装置を備える分析対象情報システムにおける、前記文書が通信する際の管理リスクを分析する、リスク分析装置であって、前記通信設定に基づいて作成された前記分析対象情報システム内の経路を格納する経路モデル格納手段と、前記経路のリスクを評価するための評価ルールを格納するリスク評価ルール格納手段と、前記リスク評価ルール格納手段に格納されたリスク評価ルールに基づいて、前記経路モデル格納手段に格納された経路のリスクを評価する経路リスク評価手段とを備える。

また、本発明のリスク分析方法は、文書を格納し複数の通信機器とともに前記文書の通信を通信に関する通信設定に基づいて制御する文書管理装置を備える分析対象情報システムにおける前記文書が通信する際の管理リスクを分析し、前記通信設定に基づいて作成された前記分析対象情報システム内の経路と、前記経路のリスクを評価するための評価ルールと、を格納するリスク分析装置が行うリスク分析方法であって、前記リスク評価ルールに基づいて、前記経路のリスクを評価する経路リスク評価ステップを備える。

上記発明によれば、分析対象情報システム内を文書が通る経路のリスクが、リスク評価ルールに基づいて評価される。経路は、文書管理装置および複数の通信機器の通信設定に基づいて作成されている。

このため、実際の分析対象情報システムの通信設定を反映してリスクを評価することが可能になる。例えば、通信設定として、文書管理対策が設定されていると、その文書管理対策を反映したリスクを評価することが可能になる。

また、経路は、文書単位で作成されているので、個々の文書に対するリスクを評価することが可能になる。

なお、前記リスク分析装置は、前記経路を、該経路に対して前記経路リスク評価手段にて評価された経路リスクの高さに応じて予め決められた色で表示する、または、該経路を、該経路の経路リスクの高さに応じて、予め決められた太さで表示する経路リスク表示手段を、をさらに備えることが望ましい。

上記発明によれば、経路リスクを、ユーザが理解しやすい形態で表示することが可能になる。

また、前記リスク分析装置は、前記文書の価値を格納した文書価値格納手段と、前記文書価値格納手段に格納された文書の価値と前記経路リスク評価手段が評価した経路リスクとに基づいて前記文書の統合リスクを評価する統合リスク評価手段と、前記統合リスク評価手段にて評価された文書の統合リスクを格納する統合リスク格納手段と、をさらに備えることが望ましい。

上記発明によれば、統合リスクは、文書の価値と該文書が通る経路のリスクとに基づいて評価される。このため、文書の価値が統合リスクに反映される。よって、リスクの評価を高精度で行うことが可能になる。

また、前記リスク分析装置は、前記統合リスク評価手段にて評価された文書の統合リスクを、その統合リスクの高さに予め対応づけられている色で表示する、または、該文書の統合リスクを、その統合リスクが高くなるほど大きくなる図形で表示する、または、該文書の統合リスクを、その統合リスクの高さに応じて変化する絵または文字で表示する統合リスク表示手段をさらに備えることが望ましい。

上記発明によれば、文書の統合リスクの高さを、ユーザが理解しやすい形態で表示することが可能になる。

また、前記経路には、その経路に含まれる文書管理装置および通信機器の通信設定が含まれ、
前記リスク分析装置は、前記統合リスク評価手段が評価した文書の統合リスクと、前記統合リスクを有する経路と、に基づいて、該文書の統合リスクを低減させる前記通信設定の変更案を提案する修正候補提案手段と、前記修正候補提案手段にて提案された変更案を実施したときに失われる経路を前記経路モデル格納手段から検索し、その検索された経路に基づいて、該変更案を実施したときのコストを評価するコスト評価手段と、前記変更案と前記コスト評価手段にて評価されたコストとを表示する優先修正候補表示手段と、をさらに備えることが望ましい。

上記発明によれば、文書の統合リスクを低減させる変更案（対策案）を提案し、さらに、その変更案を実施したときに失われる経路に基づいて、その変更案に対するコストを評価する。

このため、変更案を自動的に提案でき、また、変更案に対するコストが評価されるため、ユーザは、そのコストに基づいて変更案の取捨選択を行うことが可能になる。

また、前記優先修正候補表示手段は、前記変更案および前記コストを、該コストの高さに予め対応づけられている色で表示する、または、該コストを、そのコストが高くなるほど大きくなる図形で表示する、または、該コストを、そのコストの高さに応じて変化する絵または文字で表示することが望ましい。

上記発明によれば、変更案およびコストを、ユーザが理解しやすい形態で表示することが可能になる。

また、本発明のリスク分析用プログラムは、文書を格納し複数の通信機器とともに前記文書の通信を通信に関する通信設定に基づいて制御する文書管理装置を備える分析対象情報システムにおける前記文書が通信する際の管理リスクを分析する分析処理を、前記通信設定に基づいて作成された前記分析対象情報システム内を前記文書が通る経路を格納する経路モデル格納手段と、前記経路のリスクを評価するための評価ルールを格納するリスク評価ルール格納手段と、に接続されたコンピュータに実行させるリスク分析用プログラムであって、前記リスク評価ルールに基づいて、前記経路のリスクを評価する経路リスク評価処理を備えるリスク分析処理を、前記コンピュータに実行させる。

上記発明によれば、上記リスク分析方法をコンピュータに実行させることができる。

本発明によれば、実際の分析対象情報システムの通信設定を反映してリスクを評価することが可能になる。また、経路は、文書単位で作成されているので、個々の文書に対するリスクを評価することが可能になる。

以下、本発明の実施形態について図面を参照して詳細に説明する。

（第１実施形態）
図１は、本発明の第１実施形態のリスク分析装置１００ａを示したブロック図である。

リスク分析装置１００ａは、分析対象情報システム（不図示）における文書の管理リスクを分析する。

分析対象情報システムは、文書管理装置と、複数の通信機器とを含む。なお、分析対象情報システムは、複数の文書管理装置を含んでもよい。

文書管理装置は、例えば、ＰＣ（パーソナルコンピュータ）であり、文書を格納し、また、その文書の通信を、自己に設定された通信に関する通信設定に基づいて制御する。

通信機器は、例えば、ファイアウォール等のネットワーク機器やサーバである。各通信機器には、通信に関する通信設定が施されている。各通信機器は、自己の通信設定に基づいて、文書管理装置に格納されている文書の通信を制御する。

図１において、リスク分析装置１００ａは、経路モデル化格納手段１０１と、リスク評価ルール格納手段１０２と、経路リスク評価手段１０３と、経路リスク格納手段１０４と、経路リスク表示手段１０５とを含む。

これらの手段は、それぞれ次のように動作する。

経路モデル格納手段１０１は、文書管理装置に格納されている文書が分析対象情報システム内を通る経路を格納する。この経路は、文書管理装置および各通信機器の通信設定に基づいて作成される。具体的には、経路モデル格納手段１０１は、この経路を表現した経路モデルを格納する。経路が複数ある場合、経路モデルは、それら複数の経路を表現する。なお、経路モデルは、例えば、従来技術１を用いて作成される。

リスク評価ルール格納手段１０２は、経路モデルにて表現される経路のリスクを評価するための評価ルールを格納する。

評価ルールは、経路モデルからリスクのある経路を抽出するための検索式（以下「リスク評価式」とする）と、その抽出した経路のリスクを計算するためのリスク値計算式の組み合わせからなる。

リスク評価式は、リスクのある経路を表現したパターンであり、例えば、文書管理装置が格納している文書を取得可能なユーザと、ネットワークと、の列を表現した正規表現式である。

リスク値計算式は、リスク評価式に合致した経路のリスク値を計算するための式であり、例えば、ネットワーク数を数える関数と、それをリスク値に変換する係数とを含む。

なお、リスク値計算式の代わりに、リスク値が用いられてもよい。その場合は、１つのリスク評価式により抽出されたすべての経路のリスク値は、そのリスク評価式に対応づけられたリスク値となる。

経路リスク評価手段１０３は、リスク評価ルール格納手段１０２に格納されたリスク評価ルールに基づいて、経路モデル格納手段１０１に格納された経路のリスクを評価する。

具体的には、経路リスク評価手段１０３は、まず、経路モデル格納手段１０１から経路モデルを取り出し、また、リスク評価ルール格納手段１０２からリスク評価ルールを一つ取り出す。

続いて、経路リスク評価手段１０３は、リスク評価ルール中のリスク評価式と、経路モデルと、を照合し、経路モデルからリスク評価式とマッチした経路を抽出する。

続いて、経路リスク評価手段１０３は、リスク評価式に対応するリスク値を、その経路のリスク値とし、その経路と、その経路のリスク値とを、経路リスク格納手段１０４に格納する。

経路リスク格納手段１０４は、経路リスク評価手段１０３によって評価された経路と、そのリスク値を格納する。

経路リスク表示手段１０５は、経路リスク格納手段１０４に格納された経路およびそのリスク値と、経路モデル格納手段１０１に格納された経路モデルをあわせて表示する。

次に、図１および図２のフローチャートを参照して、本実施形態の全体の動作について詳細に説明する。

まず、経路リスク評価手段１０３は、経路モデル格納手段１０１から、経路モデルを取り出す（ステップＳ１０１）。

次に、経路リスク評価手段１０３は、リスク評価ルール格納手段１０２から、リスク評価ルールを取り出す（ステップＳ１０２）。

次に、経路リスク評価手段１０３は、リスク評価ルールに含まれるリスク評価式と、経路モデルを照合する（ステップＳ１０３）。

次に、経路リスク評価手段１０３は、その照合結果に基づいて、経路モデル中に、リスク評価式に適合した経路があるかどうかを確認する（ステップＳ１０４)。

リスク評価式に適合した経路があった場合には、経路リスク評価手段１０３は、リスク評価ルールに含まれるリスク値を、その適合した経路のリスク値として、その適合した経路とともに、経路リスク格納手段１０４に格納する（ステップＳ１０５）。

その後、評価していないリスク評価ルールがある場合には、経路リスク評価手段１０３は、ステップＳ１０２からステップＳ１０５を繰り返す（ステップＳ１０６）。

経路リスク評価手段１０３は、評価していないリスク評価ルールがなくなると、経路リスク格納手段１０４に格納した経路および経路リスク値を、経路モデル格納手段１０１に格納された経路モデルとともに、経路リスク表示手段１０５に表示する（ステップＳ１０７）。

なお、経路リスク評価手段１０３は、評価された経路および経路リスク値を経路モデル格納手段１０１に格納せずに、その経路および経路リスク値を、経路モデルとともに経路リスク表示手段１０５に表示してもよい。

また、経路リスク評価手段１０３は、その経路をグラフ形式（経路グラフ）で経路リスク表示手段１０５に表示してもよい。

次に、本実施形態の効果について説明する。

本実施形態では、経路リスク評価手段１０３は、ネットワーク機器やサーバなどの機器の設定情報から作成された経路モデルと、リスク評価ルールとを照合し、その照合結果に基づいて経路のリスクを評価し、その経路のリスクを経路リスク表示手段１０５に表示する。

換言すると、経路リスク評価手段１０３は、分析対象情報システム内を文書が通る経路のリスクを、リスク評価ルールに基づいて評価する。経路は、文書管理装置および複数の通信機器の通信設定に基づいて作成されている。

このため、分析対象情報システムの現状を反映したリスク評価を行うことができる。

また、本実施形態では、さらに、経路リスク評価手段１０３が、文書単位で構成された経路を用いて経路リスクを評価するため、個々の文書に対するリスクを評価することができる。

（第２実施形態）
図３は、本発明の第２実施形態のリスク分析装置１００ｂを示したブロック図である。なお、図３において、図１に示したものと同一のものには同一符号を附してある。

図３において、リスク分析装置１００ｂは、経路モデル化格納手段１０１と、リスク評価ルール格納手段１０２と、経路リスク評価手段１０３と、文書価値格納手段２０１と、統合リスク評価手段２０２と、統合リスク格納手段２０３と、統合リスク表示手段２０４とを含む。

リスク分析装置１００ｂでは、図１に示したリスク分析装置１００ａに、文書価値格納手段２０１と、統合リスク評価手段２０２と、統合リスク格納手段２０３と、統合リスク表示手段２０４が追加され、経路リスク格納手段１０４と経路リスク表示手段１０５が省略されている。なお、統合リスク表示手段２０４は、経路リスク表示手段１０５を兼ねてもよい。

以下、本実施形態を、第１実施形態（リスク分析装置１００ａ）と異なる点を中心に説明する。

文書価値格納手段２０１は、分析対象情報システムの文書管理装置（コンピュータ）に格納された文書ごとに、その価値を格納する。例えば、文書価値格納手段２０１は、文書名と、その格納場所、および、その文書の価値（以下「文書価値」とする。）を格納する。なお、文書名と、その格納場所、および、その文書価値は、互いに関連づけられている。

文書価値は、個々のファイル（文書）ごとに、作成者にて入力されてもよく、管理者にて一括して入力されてもよい。また、上記特許文献４に記載の技術にて得られる文書の重要度が、文書価値として、文書価値格納手段２０１に格納されてもよい。

統合リスク評価手段２０２は、文書の価値と、その文書が通る経路のリスクとに基づいて、その文書に対する総合的なリスク（以下「統合リスク」とする。）を算出する。統合リスク評価手段２０２は、統合リスクを、例えば、文書価値とその文書が通る経路のリスクとの掛け算によって算出する。

統合リスク格納手段２０３は、統合リスク評価手段２０２が算出した統合リスクの値を、その値を算出するために利用した文書価値および経路リスクと、その文書価値と関連づけられた文書名と、その経路リスクにてリスクが示された経路とともに格納する。なお、その統合リスク値と、その文書価値と、その経路リスクと、その文書名と、その経路とは、互いに関連づけられている。

統合リスク表示手段２０４は、統合リスク格納手段２０３に格納された統合リスクを、経路モデル格納部１０１に格納された経路モデルとともに表示する。

これらの手段は、それぞれ次のように動作する。

統合リスク評価手段２０２は、経路リスク評価手段１０３によって評価された経路リスクを取り出し、また、その経路リスクにてリスクが示された経路を通る文書の文書価値を文書価値格納手段２０１から取り出す。

統合リスク評価手段２０２は、経路リスクと文書価値に基づいて、文書が漏洩または改ざんされたときの損失を統合リスクとして評価し、その統合リスクを、文書が流通する経路とともに、統合リスク格納手段２０３に格納する。このとき、統合リスク評価手段２０２は、統合リスクおよび経路とともに、文書名、文書価値および経路リスクを、統合リスク格納手段２０３に格納する。

統合リスク表示手段２０４は、統合リスク格納手段２０３から、統合リスクおよび経路を取り出し、それらを、経路モデル格納手段１０１に格納された経路モデルとあわせて表示する。

次に、図３および図４のフローチャートを参照して、本実施形態の全体の動作について詳細に説明する。なお、図４において、図２に示した処理と同一の処理には同一符号を付してある。

まず、ステップＳ１０１からステップＳ１０５が実行される。これらは、本発明の第１実施形態の動作と同様である。

次に、統合リスク評価手段２０２は、経路リスクが評価された経路を通る文書の文書価値を、文書価値格納手段２０１から取り出す（ステップＳ２０１）。

次に、統合リスク評価手段２０２は、取り出した文書の価値と経路リスクから、統合リスクを計算する（ステップＳ２０２)。

さらに、評価していないリスク評価ルールがあるときには、ステップＳ１０２からステップＳ２０２が繰り返えされる。

最後に、統合リスク表示手段２０４は、統合リスクを経路モデルとともに表示する（ステップＳ２０３)。

次に、本実施形態の効果について説明する。

本実施形態によれば、統合リスク評価手段２０２は、文書価値格納手段２０１に格納された文書の価値と、経路リスク評価手段１０３が評価した経路リスクと、に基づいて、文書の統合リスクを評価する。このため、文書の価値が統合リスクに反映される。よって、リスクの評価を高精度で行うことが可能になる。

（第３実施形態）
図５は、本発明の第３実施形態のリスク分析装置１００ｃを示したブロック図である。なお、図５において、図３に示したものと同一のものには同一符号を附してある。

図５において、リスク分析装置１００ｃは、経路モデル化格納手段１０１と、リスク評価ルール格納手段１０２と、経路リスク評価手段１０３と、文書価値格納手段２０１と、統合リスク評価手段２０２と、統合リスク格納手段２０３と、修正候補提案手段３０１と、コスト評価手段３０２と、優先修正候補表示手段３０３とを含む。

リスク分析装置１００ｃでは、図３に示したリスク分析装置１００ｂに、修正候補提案手段３０１と、コスト評価手段３０２と、優先修正候補表示手段３０３と追加され、統合リスク表示手段２０４が省略されている。なお、優先修正候補表示手段３０３は、統合リスク表示手段２０４を兼ねてもよい。

以下、本実施形態を、第２実施形態（リスク分析装置１００ｂ）と異なる点を中心に説明する。

経路モデル格納手段１０１に格納された経路には、その経路に含まれる文書管理装置および通信機器の通信設定が含まれる。よって、統合リスク格納部２０３に格納された経路にも、その経路に含まれる文書管理装置および通信機器の通信設定が含まれる。

修正候補提案手段３０１は、統合リスク評価手段２０２が評価した文書の統合リスクと、その統合リスクを有すると判定された経路と、に基づいて、その文書の統合リスクを低減させる通信設定の変更案を提案する。

具体的には、まず、修正候補提案手段３０１は、統合リスク格納手段２０３から、統合リスクと、その統合リスクがあると判定された経路とを読み込む。

続いて、修正候補提案手段３０１は、経路リスクがあると判定された経路を遮断するために、その経路を構成する原因となった通信設定を反転させて、その経路が構成されないような通信設定を作成する。この作成された通信設定が、その文書の統合リスクを低減させる通信設定の変更案（以下「修正候補」とする）である。例えば、修正候補提案手段３０１は、従来技術１を用いて、複数の修正候補を作成する。

コスト評価手段３０２は、修正候補提案手段３０１によって提案された修正候補を実施したときの経路の変化をコストとして評価する。

具体的には、まず、コスト評価手段３０２は、経路モデル格納手段１０１に格納された経路モデルを取り出し、修正候補提案手段３０１によって提案された修正候補を実施したときに失われる経路（変更される経路）を経路モデルから抽出する。

続いて、コスト評価手段３０２は、その抽出した経路の構造に基づいて、修正候補を実施したときのコストを算出する。

なお、コストは、修正候補を実施したときに失われる経路の価値を合算したものであり、例えば、その失われる経路に含まれるユーザ数と、文書の価値から計算される。

優先修正候補表示手段３０３は、修正候補提案手段３０１にて提案された複数の修正候補を、コスト評価手段３０２にて評価されたそれぞれのコストと合わせて表示する。

次に、図５および図６のフローチャートを参照して、本実施形態の全体の動作について詳細に説明する。

まず、統合リスクが計算され、その計算された統合リスクと、その統合リスクを有する経路とが統合リスク格納手段２０３に格納される（ステップＳ３０１)。なお、ステップＳ３０１は、図４に示されたステップＳ１０１、Ｓ１０２、Ｓ１０３、Ｓ１０４、Ｓ１０５、Ｓ２０１、Ｓ２０２およびＳ１０６を含む。

次に、修正候補提案手段３０１は、統合リスク格納手段２０３から、統合リスクのある経路と、その統合リスクを取り出す（ステップＳ３０２）。

次に、修正候補提案手段３０１は、統合リスクのある経路を遮断する修正候補を作成する（ステップＳ３０３）。例えば、修正候補提案手段３０１は、従来技術１を用いて、統合リスクのある経路を構成する通信設定を取り出し、それを打ち消す通信設定（修正候補）を作成する。

次に、コスト評価手段３０２は、修正候補提案手段３０１から、修正候補のひとつを取り出す（ステップＳ３０４）。

次に、コスト評価手段３０２は、経路モデル格納手段１０１から経路モデルを取り出し、その経路モデルから、その修正候補を実施したときに遮断される経路を抽出する（ステップＳ３０５）。このとき、コスト評価手段３０２は、統合リスクの対象となった経路を除外してもよい。遮断される経路とは、修正候補が設定される通信機器を文書が通過するすべての経路である。

次に、コスト評価手段３０２は、経路モデルを参照して、遮断される経路を通る文書を抽出し、また、遮断される経路によってその文書へのアクセスが遮断されるユーザを、経路モデルを参照して取り出す（ステップＳ３０６）。

次に、コスト評価手段３０２は、その抽出された文書の価値を文書価値格納手段２０１から取り出し、その文書価値とユーザ数からコストを計算する（ステップＳ３０７）。コストの計算は、例えば文書価値とユーザ数の積とする。

他に遮断される経路がある場合には（ステップＳ３０８)、コスト評価手段３０２は、ステップＳ３０５からステップＳ３０７を繰り返す。

次に、コスト評価手段３０２は、すべての遮断される経路に対するコストを合算し、その値を、修正候補が実施されたときのコストとする（ステップＳ３０９）。

次に、他に修正候補があるときには（ステップＳ３１０）、コスト評価手段３０２は、ステップＳ３０４からステップＳ３０９を繰り返す。

最後に、コスト評価手段３０２は、修正候補およびコストと、経路モデル格納手段１０１に格納された経路モデルとを、優先修正候補表示手段３０３に表示する（ステップＳ３１１）。なお、コスト評価手段３０２は、その経路をグラフ形式（経路グラフ）で優先修正候補表示手段３０３に表示してもよい。

次に、本実施形態の効果について説明する。

本実施形態によれば、修正候補提案手段３０１は、統合リスク評価手段２０２が評価した文書の統合リスクと、その統合リスクを有する経路と、に基づいて、その文書の統合リスクを低減させる通信設定の変更案を提案する。

また、コスト評価手段３０２は、修正候補提案手段３０１にて提案された変更案を実施したときに失われる経路を経路モデル格納手段１０１から検索し、その検索された経路に基づいて、その変更案を実施したときのコストを評価する。

このため、変更案を自動的に提案でき、また、変更案に対するコストが評価されるため、ユーザは、そのコストに基づいて変更案の取捨選択を行うことが可能になる。

（実施例）
次に、具体的な実施例を用いて本発明を実施するための最良の形態の動作を説明する。

図７は、本リスク分析装置の一実施例を含む分析システムを示したブロック図である。

図７において、分析システムは、分析対象情報システム１と、統合リスク分析用コンピュータ２とを含む。統合リスク分析用コンピュータ２は、図５に示した統合リスク分析用装置１００ｃを含む。

分析対象情報システム１は、サーバとして機能するＰＣ１０ａないし１０ｃと、ファイアウォール１１ａと、ルータ１１ｂと、ファイアウォール１１ｃとを含む。以下、ＰＣ１０ａをＰＣ１と称し、ＰＣ１０ｂをＰＣ２と称し、ＰＣ１０ｃをＰＣ３と称し、ファイアウォール１１ａをファイアウォール１と称し、ファイアウォール１１ｃをファイアウォール２と称する。

ＰＣ１ないし３は、文書管理装置の一例である。ＰＣ１は「normal.xml」という文書名の文書を格納し、ＰＣ２は「private.xml」という文書名の文書を格納し、ＰＣ３は「customer.xml」という文書名の文書を格納している。ＰＣ１ないし３は、自己に格納されている文書の通信を、自己の通信設定に基づいて制御する。

ファイアウォール１と、ルータ１１ｂと、ファイアウォール２は、通信機器の一例であり、それらは、ＰＣ１ないし３に格納されている文書の通信を、自己の通信設定に基づいて制御する。

図８は、ＰＣ１ないし３のいずれかに設定されたファイルアクセス権の設定（通信設定）の一例を示した説明図である。

また、図９は、ＰＣ１ないし３のいずれかに設定されたウェブサーバの設定（通信設定）の一例を示した説明図である。

また、図１０は、ファイアウォール１、ルータ１１ｂ、または、ファイアウォール２のいずれかに設定されたネットワーク機器の設定（通信設定）の一例を示した説明図である。

図７に戻って、統合リスク分析用コンピュータ２は、少なくともＣＰＵ（不図示）とメモリ（不図示）と表示部（不図示）を有する。

統合リスク分析用コンピュータ２のＣＰＵ（以下「ＣＰＵ」と称する。）は、コンピュータにて読み取り可能な記録媒体（不図示）に記録されたプログラムを読み取り、そのプログラムを実行して、図５に示された第３実施形態のリスク分析装置１００ｃを、統合リスク分析用コンピュータ２に生成する。

なお、ＣＰＵに、経路リスク評価手段１０３と、統合リスク評価手段２０２と、修正候補提案手段３０１と、コスト評価手段３０２が生成される。また、統合リスク分析用コンピュータ２のメモリに、経路モデル格納手段１０１と、リスク評価ルール格納手段１０２と、文書価値格納手段２０１と、統合リスク格納手段２０３が生成される。また、統合リスク分析用コンピュータ２の表示部（以下「表示部」と称する。）が、優先修正候補表示手段３０３として用いられる。また、表示部は、経路リスク表示手段１０５および統合リスク表示手段２０４としても用いられる。

ＣＰＵは、従来技術１を用いて、分析対象情報システム１をモデル化し、経路モデルを、経路モデル格納手段１０１に格納する。

具体的には、ＣＰＵは、分析対象情報システム１に含まれるファイアウォール１と２、ルータ１１ｂおよびＰＣ１ないし３の設定情報と、ＰＣ１ないし３に格納されている文書の文書名を抽出する。ＣＰＵは、その設定情報および文書名を用いて、その文書名の文書ごとに、その文書が分析対象情報システム１内を通る複数の経路を作成する。ＣＰＵは、それらの経路を表現した経路モデルを生成し、その経路モデルを経路モデル格納手段１０１に格納する。

なお、ＣＰＵは、各経路に、その経路に含まれる機器の設定情報を含ませ、その経路を表現した経路モデルを経路モデル格納手段１０１に格納する。

経路リスク評価手段１０３は、リスク評価ルール格納手段１０２からリスク評価ルールを取り出し、また、経路モデル格納手段１０１から経路モデルを取り出す。

経路リスク評価手段１０３は、リスク評価ルールと経路モデルとを照合し、経路モデルからリスク評価ルールに応じた経路を抽出し、その抽出された経路のリスク値（経路リスク値）を計算する。

図１１は、リスク評価ルール８０の一例を示した説明図である。

図１１において、各リスク評価ルール８０は、リスク評価式８０ａとリスク値計算式８０ｂとを含む。

図１２は、経路リスク評価手段１０３が、図１１のリスク評価ルール１のリスク評価式を用いて経路モデルから抽出したリスクのある経路を示した説明図である。

図１２において、バツ印のついているネットワーク２は、その経路を遮断するルールが、ネットワーク２（ルータ１１ｂ）に設定されていることを示している。

なお、図１２において、ユーザInternet９１は、図７の「インターネット」上にいるユーザに対応する。ネットワーク９２（以下「ネットワーク１」と称する。）は、図７のファイアウォール１でのフィルタリング設定に対応する。ネットワーク９３（以下「ネットワーク２」と称する。）は、図７のルータ１１ｂでのフィルタリング設定に対応する。ネットワーク９５（以下「ネットワーク３」と称する。）は、図７のＰＣ２、ＰＣ３のフィルタリング設定に対応する。

また、図１２（１）に含まれるユーザnobody９４およびユーザftp９６は、ＰＣ１上のユーザに対応し、図１２（２）に含まれるユーザnobody９４およびユーザftp９７は、ＰＣ２上のユーザに対応し、図１２（３）に含まれるユーザnobody９４およびユーザftp９８は、ＰＣ３上のユーザに対応する。

次に、経路リスク評価手段１０３は、リスク評価ルール１のリスク値計算式８０ｂを用いて、それぞれの経路のリスク値を計算する。

例えば、図１２の経路（１）では、遮断しているネットワークがないため、経路リスク評価手段１０３は、ネットワーク数を０として計算し、その結果、リスク値が１となる。

また、経路（２）では、遮断しているネットワークが１つあるため、経路リスク評価手段１０３は、ネットワーク数を１として計算し、その結果、リスク値が０．５となる。

経路（３）でも同様にリスク値が０．５となる。

経路リスク評価手段１０３は、経路および経路リスク値を、表示部（経路リスク表示手段）に表示する。

図１３は、経路および経路リスク値の表示例を示した説明図である。

図１３では、経路リスクが、その大きさに応じてレベル１〜３に分けられている。なお、経路リスクが大きくなるほどレベル数が大きくなる。なお、表示部（経路リスク表示手段）は、経路を、その経路に対して評価された経路リスクの高さに応じて予め決められた色で表示してもよく、また、経路を、その経路の経路リスクの高さに応じて、予め決められた太さで表示してもよい。

この場合、経路リスクを、ユーザが理解しやすい形態で表示することが可能になる。

図１４は、従来技術４によって作成された文書価値を示した説明図である。この情報は、文書価値格納手段２０１に格納される。

次に、統合リスク評価手段２０２は、図１４に示した文書価値と、経路から求めたリスク値（経路リスク値）を用いて、統合リスクを計算する。

図１５は、統合リスクの計算方法の一例を示した説明図である。なお、図１５に示した表は、統合リスク評価手段２０２に格納されている。

統合リスク評価手段２０２は、図１５の表を用いて統合リスクを求める。

図１２の経路（１）では、経路のリスク値が１、資産レベルが１であるため、統合リスクは「中」となる。同様に、図１２の経路（２）では、経路のリスク値が０．５、資産レベルが３であるため、統合リスクは「高」となる。さらに同様に、図１２の経路（３）では、経路のリスク値が０．５、資産レベルが２であるため、統合リスクは「中」となる。

統合リスク評価手段２０２は、その計算した統合リスクを、統合リスク格納手段２０３に格納し、また、総合リスクを表示部に表示する。

図１６は、統合リスクの表示例を示した説明図である。

図１６において、表示部（統合リスク表示手段）は、統合リスク評価手段２０２にて評価された文書の統合リスクを、その統合リスクの高さに予め対応づけられている色で表示する。

例えば、表示部（統合リスク表示手段）は、「高」の統合リスクを赤で表示し、「中」の統合リスクをオレンジで表示し、「低」の統合リスクを黄で表示する。

また、図１６に示したように、表示部（統合リスク表示手段）は、その文書の統合リスクを、その統合リスクが高くなるほど大きくなる図形１６０で表示する。

また、表示部（統合リスク表示手段）は、文書の統合リスクを、その統合リスクの高さに応じて変化する絵または文字で表示してもよい。

この場合、文書の統合リスクの高さを、ユーザが理解しやすい形態で表示することが可能になる。

次に、修正候補提案手段３０１は、統合リスク「高」の経路への対策を、従来技術１を用いて作成する。修正候補提案手段３０１は、この対策として、図１７に示す経路中の、ネットワーク１またはネットワーク３を閉じる案（修正候補）を作成する（図１７中破線バツ印部）。なお、図１７において、図１２に示したものと同一のものには同一符号を付してある。

コスト評価手段３０２は、ネットワーク１を閉じたときに、遮断される経路を、従来技術１を用いて、統合リスク格納手段２０３に格納された経路モデルから抽出する。

図１８は、コスト評価手段３０２が抽出した経路の一例を示した説明図である。なお、図１８において、図１２に示したものと同一のものには同一符号を付してある。

コスト評価手段３０２は、ネットワーク１を閉じたときに要するコストを計算する。コスト評価手段３０２は、コストの計算を、例えば次のように行う。遮断されたファイルの資産価値資産レベルが「１」、ユーザ数が「１」であるので、コスト評価手段３０２は、これらを掛け（１×１＝１）、その計算結果「１」をコストとする。

同様に、コスト評価手段３０２は、ネットワーク３を閉じたときに、遮断される経路を、従来技術１を用いて、統合リスク格納手段２０３に格納された経路モデルから抽出する。

図１９は、ネットワーク３を閉じたときに遮断される経路を示した説明図である。なお、図１９において、図１２に示したものと同一のものには同一符号を付してある。

図１９では、２人のユーザが資産価値３のファイルを読むことができる経路と、２人のユーザが資産価値２のファイルを読むことができる経路とが遮断されることを表している。

コスト評価手段３０２は、ネットワーク３を閉じたときに要するコストの計算を、例えば次のように行う。コスト評価手段３０２は、資産価値「３」×ユーザ数「２」と、資産価値「２」×ユーザ数「２」を計算し、その合計「１０」をコストとする。

よって、コスト評価手段３０２は、ネットワーク１で対策したほうが、ネットワーク３で対策するよりもコストが少ないため、ネットワーク１での対策を推薦する。

コスト評価手段３０２は、対策とコストを、その対策の説明とともに、表示部（優先修正候補表示手段３０３）に表示する。

図２０は、対策とコストの表示例を示した説明図である。

図２０に示したように、表示部（優先修正候補表示手段）は、対策およびコストを、そのコストの高さに予め対応づけられている色で表示する。

例えば、表示部（優先修正候補表示手段）は、コストが「５０」以上の対策およびコストを赤で表示し、コストが「５０」未満の対策およびコストをオレンジで表示する。

また、図２０に示したように、表示部（優先修正候補表示手段）は、コストを、そのコストが高くなるほど大きくなる図形２００で表示する。

また、表示部（優先修正候補表示手段）は、コストを、そのコストの高さに応じて変化する絵または文字で表示してもよい。

この場合、変更案およびコストを、ユーザが理解しやすい形態で表示することが可能になる。

本実施例によれば、以下のような効果を奏する。

第１の効果は、情報管理に対応した対策機器の実際の設定を基にリスク評価ができることにある。

その理由は、実際の対策機器の設定から作成したモデルを利用してリスクを評価しているためである。

第２の効果は、個々の文書に対するリスクが評価できることにある。

その理由は、文書単位で作成されたモデルを利用しているためである。

第３の効果は、リスクを低減させる対策案を自動的に提案できることにある。

その理由は、実際の設定からモデルを構築し、モデル上でリスクのある点を分析することにより、リスクの原因となったモデルから実際の設定を抽出し、設定の効果を打ち消す設定を対策案として作成できるためである。

第４の効果は、対策案に対するコストを評価し、複数ある対策案から優先すべき対策案を抽出することができることにある。

その理由は、モデルから対策を抽出し、その対策を実施したときに遮断される他の経路を検索し、遮断される経路の構成から対策を実施するときのコストを計算する構成としたことで、対策が他のユーザに与える影響を評価できるためである。

以上説明した実施例および各実施形態において、図示した構成は単なる一例であって、本発明はその構成に限定されるものではない。

本発明の第１の発明を実施するための最良の形態の構成を示すブロック図である。 第１の発明を実施するための最良の形態の動作を示す流れ図である。 本発明の第２の発明を実施するための最良の形態の構成を示すプロック図である。 第２の発明を実施するための最良の形態の動作を示す流れ図である。 本発明の第３の発明を実施するための最良の形態の構成を示すプロック図である。 第３の発明を実施するための最良の形態の動作を示す流れ図である。 分析対象の情報システムおよび本実施形態の実施例を示すブロック図である。 ファイルアクセス権の設定例を示す説明図である。 ウェブサーバの設定例を示す説明図である。 ネットワーク機器の設定例を示す説明図である。 リスク評価ルールの一例を示す説明図である。 リスクのある経路として抽出した経路を示す説明図である。 経路リスクの表示例を示す説明図である。 文書価値格納手段に格納される文書価値の一例を示す説明図である。 統合リスク値計算式の一例を示す説明図である。 統合リスクの表示例を示す説明図である。 リスクが高となる経路を示す説明図である。 対策を施したときのコストを計算するための経路を示す説明図である。 対策を施したときのコストを計算するための経路を示す説明図である。 コストの表示例を示す説明図である。

符号の説明

１０１ 経路モデル格納手段
１０２ リスク評価ルール格納手段
１０３ 経路リスク評価手段
１０４ 経路リスク格納手段
１０５ 経路リスク表示手段
２０１ 文書価値格納手段
２０２ 統合リスク評価手段
２０３ 統合リスク格納手段
２０４ 統合リスク表示手段
３０１ 修正候補提案手段
３０２ コスト評価手段
３０３ 優先修正候補表示手段

Claims (12)

1. 文書を格納し、複数の通信機器とともに前記文書の通信を、通信に関する通信設定に基づいて制御する文書管理装置を備える分析対象情報システムにおける、前記文書が通信する際の管理リスクを分析する、リスク分析装置であって、
   前記通信設定に基づいて作成された前記分析対象情報システム内の経路を格納する経路モデル格納手段と、
   前記経路のリスクを評価するための評価ルールを格納するリスク評価ルール格納手段と、
   前記リスク評価ルール格納手段に格納されたリスク評価ルールに基づいて、前記経路モデル格納手段に格納された経路のリスクを評価する経路リスク評価手段と、
   前記文書の価値を格納した文書価値格納手段と、
   前記文書価値格納手段に格納された文書の価値と、前記経路リスク評価手段が評価した経路リスクと、に基づいて、前記文書の統合リスクを評価する統合リスク評価手段と、を備え、
   前記経路には、その経路に含まれる文書管理装置および通信機器の通信設定が含まれ、
   前記統合リスク評価手段が評価した文書の統合リスクと、前記統合リスクを有する経路と、に基づいて、該文書の統合リスクを低減させる前記通信設定の変更案を提案する修正候補提案手段と、
   前記修正候補提案手段にて提案された変更案を実施したときに失われる経路を前記経路モデル格納手段から検索し、その検索された経路に基づいて、該変更案を実施したときのコストを評価するコスト評価手段と、
   前記変更案と前記コスト評価手段にて評価されたコストとを表示する優先修正候補表示手段と、をさらに備えるリスク分析装置。
2. 前記経路を、該経路に対して前記経路リスク評価手段にて評価された経路リスクの高さに応じて予め決められた色で表示する、または、該経路を、該経路の経路リスクの高さに応じて、予め決められた太さで表示する経路リスク表示手段を、をさらに備える、請求項１に記載のリスク分析装置。
3. 前記統合リスク評価手段にて評価された文書の統合リスクを、その統合リスクの高さに予め対応づけられている色で表示する、または、該文書の統合リスクを、その統合リスクが高くなるほど大きくなる図形で表示する、または、該文書の統合リスクを、その統合リスクの高さに応じて変化する絵または文字で表示する統合リスク表示手段を、さらに備える、請求項１または２に記載のリスク分析装置。
4. 前記優先修正候補表示手段は、前記変更案および前記コストを、該コストの高さに予め対応づけられている色で表示する、または、該コストを、そのコストが高くなるほど大きくなる図形で表示する、または、該コストを、そのコストの高さに応じて変化する絵または文字で表示する、請求項１から３のいずれか１項に記載のリスク分析装置。
5. 文書を格納し複数の通信機器とともに前記文書の通信を通信に関する通信設定に基づいて制御する文書管理装置を備える分析対象情報システムにおける前記文書が通信する際の管理リスクを分析し、前記通信設定に基づいて作成された前記分析対象情報システム内の経路と、前記経路のリスクを評価するための評価ルールと、前記文書の価値とを格納するリスク分析装置が行うリスク分析方法であって、
   前記リスク評価ルールに基づいて、前記経路のリスクを評価する経路リスク評価ステップと、
   前記価値と前記経路リスクとに基づいて、前記文書の統合リスクを評価する統合リスク評価ステップと、を備え、
   前記経路には、その経路に含まれる文書管理装置および通信機器の通信設定が含まれ、
   前記文書の統合リスクと前記統合リスクを有する経路とに基づいて、該文書の統合リスクを低減させる前記通信設定の変更案を提案する修正候補提案ステップと、
   前記変更案を実施したときに失われる経路を前記格納された経路から検索し、その検索された経路に基づいて、該変更案を実施したときのコストを評価するコスト評価ステップと、
   前記変更案と前記コスト評価手段にて評価されたコストとを表示する優先修正候補表示ステップと、をさらに備えるリスク分析方法。
6. 前記経路を、該経路に対して前記経路リスク評価手段にて評価された経路リスクの高さに応じて予め決められた色で表示する、または、該経路を、該経路の経路リスクの高さに応じて、予め決められた太さで表示する経路リスク表示ステップを、をさらに備える、請求項５に記載のリスク分析方法。
7. 前記文書の統合リスクを、その統合リスクの高さに予め対応づけられている色で表示する、または、該文書の統合リスクを、その統合リスクが高くなるほど大きくなる図形で表示する、または、該文書の統合リスクを、その統合リスクの高さに応じて変化する絵または文字で表示する統合リスク表示ステップを、さらに備える、請求項５または６に記載のリスク分析方法。
8. 前記優先修正候補表示ステップでは、前記変更案および前記コストを、該コストの高さに予め対応づけられている色で表示する、または、該コストを、そのコストが高くなるほど大きくなる図形で表示する、または、該コストを、そのコストの高さに応じて変化する絵または文字で表示する、請求項５から７のいずれか１項に記載のリスク分析方法。
9. 文書を格納し複数の通信機器とともに前記文書の通信を通信に関する通信設定に基づいて制御する文書管理装置を備える分析対象情報システムにおける前記文書が通信する際の管理リスクを分析する分析処理を、前記通信設定に基づいて作成された前記分析対象情報システム内を前記文書が通る経路を格納する経路モデル格納手段と、前記経路のリスクを評価するための評価ルールを格納するリスク評価ルール格納手段と、前記文書の価値を格納する文書価値格納手段と、に接続されたコンピュータに実行させるリスク分析用プログラムであって、
   前記経路には、その経路に含まれる文書管理装置および通信機器の通信設定が含まれ、
   前記リスク評価ルールに基づいて、前記経路のリスクを評価する経路リスク評価処理と、
   前記価値と前記経路リスクとに基づいて、前記文書の統合リスクを評価する統合リスク評価ステップと、
   前記文書の統合リスクと前記統合リスクを有する経路とに基づいて、該文書の統合リスクを低減させる前記通信設定の変更案を提案する修正候補提案処理と、
   前記変更案を実施したときに失われる経路を前記格納された経路から検索し、その検索された経路に基づいて、該変更案を実施したときのコストを評価するコスト評価処理と、
   前記変更案と前記コスト評価手段にて評価されたコストとを表示する優先修正候補表示処理と、を備えるリスク分析処理を、前記コンピュータに実行させるリスク分析用プログラム。
10. 前記リスク分析処理は、前記経路を、該経路に対して評価された経路リスクの高さに応じて予め決められた色で表示する、または、該経路を、該経路の経路リスクの高さに応じて、予め決められた太さで表示する経路リスク表示処理を、さらに備える、請求項９に記載のリスク分析用プログラム。
11. 前記リスク分析処理は、前記文書の統合リスクを、その統合リスクの高さに予め対応づけられている色で表示する、または、該文書の統合リスクを、その統合リスクが高くなるほど大きくなる図形で表示する、または、該文書の統合リスクを、その統合リスクの高さに応じて変化する絵または文字で表示する統合リスク表示処理を、さらに備える、請求項９または１０に記載のリスク分析用プログラム。
12. 前記優先修正候補表示処理では、前記変更案および前記コストを、該コストの高さに予め対応づけられている色で表示する、または、該コストを、そのコストが高くなるほど大きくなる図形で表示する、または、該コストを、そのコストの高さに応じて変化する絵または文字で表示する、請求項９から１１のいずれか１項に記載のリスク分析用プログラム。

Images