JP6016982B1 - リスク分析結果表示装置 - Google Patents

Abstract

【課題】情報システムのセキュリティ・リスクの分析結果を視覚的に容易に理解できる表示結果を提示する分析結果表示装置を提供する。【解決手段】リスク分析結果表示装置は、セキュリティ・リスク分析の対象となる情報システムの構成情報および、分析結果表示装置の外部にあるセキュリティ・リスク分析装置の出力である分析結果を入力とし、セキュリティの保護対象となる情報資産１０、セキュリティ保護機構２０，２１、攻撃の窓口となりうる外部接続部３０，３１，３２，３３をノードとし、各ノード間の接続をエッジ４０〜４５としたグラフ上に表示し、前記保護機構２０，２１によって実現されるセキュリティの高さや、攻撃発生リスクの低さの分析結果を数値化するとともに、数値化されたリスクの高低をエッジ４０〜４５の長さとして表示するようにした。【選択図】図１

Description

本発明は、ネットワーク接続された複数の機器から構成される情報システムのセキュリティ・リスク分析装置に付随するリスク分析結果表示装置に関する。

情報システムはマルウェアの侵入や外部からの攻撃、ネットワーク機器の不適切な設定やソフトウェアの不具合などで機密情報や個人のプライバシーに関わる機微情報の漏洩、あるいは、改ざんされるリスクを内在している。これらのリスクを低減するために、情報システムには様々なセキュリティ対策が適用されるが、情報システムの外部からの攻撃対象となり得る箇所や保護すべき情報資産の価値が高く重点的に対策を組み入れるべき箇所を洗い出し、リスクの大小を評価し、対策の優先付けを行い、対策方針を決定するために、また、対策を導入後にその対策が十分であるかを評価するために、一般には設計段階でセキュリティ・リスクの分析が行われる。

セキュリティ・リスクの分析は様々な手法が提案されており、その多くは保護対象となる情報資産の価値、攻撃の窓口となり得る外部との接続部の種類や数、サイバー攻撃を行う攻撃者の動機の大きさや攻撃能力の高さ、情報システムに備えられた認証機能、攻撃のフィルタリング機能、攻撃検知機能の有無、システムを構成するネットワーク構成の複雑さ、設計上、実装上の不備に起因する脆弱性、攻撃を容易化する内部情報の入手性など、様々な評価指標を勘案してリスクの大きさを数値化する。

この数値化された分析結果は保護対象となる情報資産の別や攻撃の方法、経路など毎に分類され表形式でまとめられることが一般には行われているが、情報システムに内在する情報資産の数、ネットワークを構成する経路が多くなるとその組み合わせも膨大なものとなり、設計者が分析結果を理解することは容易ではない。そのため、セキュリティ・リスクの分析を行う分析装置に加えて、表示手法についても様々な検討が行われている。

情報システムのセキュリティ分析結果を表示するシステムが、たとえば特許文献１に開示されている。特許文献１に開示されるネットワークのセキュリティ体制を評価し、グラフィカルユーザインタフェースを有するシステム及び方法では、ネットワークに含まれる要素を表示装置上にアイコンとして表示し、ネットワーク要素間の接続をネットワーク間に存在する脆弱性に応じて異なる色の直線で表示する。

また、特許文献２に開示されるセキュリティ対策機能評価プログラムは、保護対象の情報資産のセキュリティ状態が安全な状態から相対的に危険な状態へと遷移する遷移確率と数値化したセキュリティ状態を状態遷移図上に表示し、セキュリティ状態に対応づけられた状態遷移図のノードは、安全な状態、危険な状態などの状態の種類に応じて実線、破線など異なる枠線の種類を用いた円として表示される。また、状態遷移確率の大小に応じて、状態遷移図のエッジを異なる線種で表示する、状態遷移が発生しない自己遷移確率をノードの円の半径として表示する。

特許文献３に開示されるリスク分析装置、リスク分析方法およびリスク分析用プログラムは、リスク評価手段によって評価されたリスクの高さに応じてネットワーク通信路に対応した経路を異なる色や太さの線として表現する。また、情報資産に該当する文書の価値を加味した情報漏洩リスクの高さを図形の大きさとして、ユーザーが理解しやすい形態で表示する。

特表２００３−５２３０３０公報 特許第４４６９９１０号公報 特許第４８２１９７７号公報

特許文献１に開示される技術では、ネットワークに含まれる要素間の接続を脆弱性に応じて異なる色の直線で表現しているが、色の差として視覚的に識別可能な色の数は多くなく、たとえば１０色を超えると視覚的に識別することは容易ではなく、表現できる脆弱性の高低は粒度に限界がある。また、図上の離れた場所に表示された似通った色を識別し、脆弱性の高低として視覚的に把握することは困難であり、多数の直線の中から脆弱性を順序づけて理解する用途に適用するのは現実的ではない。

また、特許文献２に開示される技術では、状態遷移図のノードとして表示される円の半径や枠線の種類、エッジの線種を視覚表現として用いているが、線種として視覚的に容易に識別が可能な表現の種類は多くなく、たとえば１０種を超えると視覚的に識別することは容易ではない。さらに線の数が多く交差もある場合には線種の識別はいよいよ困難となる。円の半径も視覚的に識別できる大小の差には限りがあり、半径の差がほぼ同じ複数の円が状態遷移図上の離れた表示されていた場合、その大きさの差を識別して円の大小を順序づけて視覚的に理解することは困難である。

また、特許文献２に開示される技術では、レーダーチャートによる表現も一例として示されているが、レーダーチャートは評価対象を複数の評価軸で評価し、評価軸毎の評価値の大小を一覧として表示するグラフである。複数の評価対象を任意の評価軸で比較するには適しているが、評価対象の優劣を総合的に比較する用途には適していない。レーダーチャートを用いた総合的な比較手法としては、レーダーチャート上に示された直線によって囲まれた多角形の面積で比較する手法もあるが、形状の異なる多角形の面積の大小を視覚的に理解することは容易ではなく、さらに評価対象がたとえば３を超えるような複数存在する場合、それぞれの面積の大小を順序づけて理解することは困難である。

また、特許文献３に開示される技術も、特許文献１、あるいは、特許文献２と同様に、色や図の大小で表現するために、使用者にとっては多数の評価対象におけるリスクの大小を順序づけて理解するには使い勝手が悪い。

本発明の目的は、システム上の各構成要素のセキュリティ・リスクの高低を視覚的に容易に把握できるよう分析結果を表示することのできるリスク分析結果表示装置を提供することにある。

本発明のリスク分析結果表示装置は、ネットワーク接続された複数の機器から構成される情報システムのセキュリティ分析結果を視覚的に表現する表示装置であって、セキュリティの保護対象となる情報資産と、セキュリティ保護機構と、攻撃の窓口となりうる外部接続部とをノードとし、各ノード間の接続をエッジとしたグラフ上に表示し、前記セキュリティ保護機構によって実現されるセキュリティの高さや、攻撃発生リスクの低さの分析結果を数値化するとともに、数値化されたリスクの高低を前記各ノード間におけるエッジの長さとして表示するものであり、前記各ノードの座標は前記エッジの長さとしての前記各ノード間の距離を確保するものであることを特徴とする。

本発明のリスク分析結果表示装置によれば、セキュリティの保護対象となる情報資産と、セキュリティ保護機構と、攻撃の窓口となりうる外部接続部とを示すノード間におけるリスクの高低を各ノード間におけるエッジの長さとして表示するとともに、前記各ノードの座標は前記エッジの長さとしての前記各ノード間の距離を確保することにより、分析対象の情報システムを構成する複数の構成要素相互間のセキュリティ・リスク評価値を総覧的に視覚的に理解しやすい表示上の２点間の距離として認識することができ、特にセキュリティ・リスク評価値の高い構成要素の特定、および、複数の構成要素の評価値を相対的に比較することを容易化できる。

本発明に係る実施の形態１におけるリスク分析結果表示装置に表示される分析結果の概念図である。 本発明に係る実施の形態１におけるノード１０、２０，３１，３２間の距離算定方法の一例を示す図である。 本発明に係る実施の形態１におけるノード１０、２０，３１，３２間の距離算定方法の一例を示す図である。 本発明に係る実施の形態１におけるノード１０、２０，３１，３２間の距離算定方法の一例を示す図である。 本発明に係る実施の形態２におけるリスク分析結果表示装置に表示される分析結果の概念図である。 本発明に係る実施の形態３におけるリスク分析結果表示装置に表示される分析結果の概念図である。 本発明に係る実施の形態４におけるリスク分析結果表示装置に表示される分析結果の概念図である。 本発明に係る実施の形態５におけるリスク分析結果表示装置に表示される分析結果の概念図である。

実施の形態１．
本発明に係る実施の形態１を図１から図４に基づいて説明する。図１は、本発明の実施の形態１のリスク分析結果表示装置に表示される分析結果の概念図である。
情報システムのセキュリティ分析の対象となる要素に対応するノード、情報資産を有する保護対象１０、情報システムを構成するネットワーク経路上のセキュリティ保護機構２０〜２１、情報システムと外部との接続部３０〜３３、および、情報システムのネットワーク構成に対応してノード間の接続関係とセキュリティ・リスクの大小を表すエッジ４０〜４５が、分析結果表示装置に表示されたグラフ上に配置されている。

図１のリスク分析結果表示装置は、たとえば情報システムを設計する設計者が使用するワークステーションのディスプレイ装置やディスプレイ装置上に表示された分析プログラムのウィンドウ、あるいは、ウィンドウ内の領域などにより実現される。

保護対象１０は、情報システムにおいて守るべき情報資産、たとえば企業機密情報、個人のプライバシーに関わる機微情報、暗号や署名処理に用いる鍵情報、情報システムが組込みシステムの一部を構成する場合には制御情報などの情報そのもの、あるいは、情報を保持するハードディスクドライブ（ＨＤＤ）装置、書き換え可能かつ不揮発性の半導体メモリ（フラッシュメモリ）、または書き換え可能な揮発性メモリ（ダイナミック・ランダム・アクセス・メモリ；略称：ＤＲＡＭやスタティック・ランダム・アクセスメモリ；略称ＳＲＡＭ）によって実現される記憶装置、それらを搭載したワークステーションやサーバー、制御装置などの情報機器などをグラフ上のノードとして表したものである。

保護機構２０〜２１は、情報システムの構成要素であり、保護対象１０と情報システム外部との中間に位置する構成要素、ファイアーウォールなどネットワーク上のメッセージをフィルターする機構、侵入検知システム（ＩＤＳ）、ネットワークの通信方式やプロトコル、メッセージを変換するネットワーク変換装置、ルーターやゲートウェイ機器など複数のネットワークを接続する、ネットワーク中継装置など情報システムのネットワークを構成する機構や装置をグラフ上のノードとして表したものである。

保護機構２０〜２１はネットワーク上のメッセージの変更や、フィルター処理を行わずに単純な中継のみを行う装置でもよく、その場合には、保護能力が無い、あるいは、保護能力が低い保護機能として扱ってもよい。

保護機構２０〜２１は物理的な装置と対応づけてもよいし、論理的な機能でもよい。
たとえば、既存のネットワーク機器に認証機能を設ける、高頻度なアクセスにより装置の負荷を高める攻撃対策として、アクセスを一定期間無視する制御を追加するなどの論理的なセキュリティ対策をノードとして表示しても良い。

外部接続部３０〜３３は情報システムの構成要素であり、情報システムと情報システム外部との境界に位置する機構や機器、たとえば情報システム内部ネットワークに直接接続されるコネクタ、ネットワーク変換装置、Ｂｌｕｅｔｏｏｔｈ（登録商標）や無線ＬＡＮなどの無線通信装置、ＵＳＢコネクタやＳＤカードスロットなどの外部機器の接続インターフェースなどをグラフ上のノードとして表したものである。

各ノード間の接続関係とセキュリティ・リスクの大小を表すエッジ４０〜４５は、情報システムの構成要素であり、保護対象１０、保護機構２０〜２１、外部接続部３０〜３３を相互接続するネットワーク通信路、たとえばＬＡＮケーブルなどの有線ネットワークケーブル、ＵＳＢケーブルなどの物理的な接続、無線通信によって実現される論理的な接続、サーバーやネットワーク機器上のなど記憶装置を介して論理的に情報を送受信するメッセージ通信機構などをグラフ上のエッジとして表したものである。

図１では便宜上、保護対象、保護機構、外部接続部を異なる形状のノードとして表示しているが、表示手法や形状は例示の形態には限らない。またネットワークに対応したエッジも直線で表示しているが、異なる線の形状や暗黙的な不可視な接続として表示しなくてもよい。

図１は、対象となる情報システムに対するサイバー攻撃によって発生しうるリスク分析の結果を、重み付きグラフに対応付けて表示した結果の一例を示している。リスク分析結果表示装置は本発明の対象外であるセキュリティ・リスク分析装置、たとえば分析作業に用いるソフトウェア・プログラムの実行結果を入力とし、分析対象の情報システムを構成する各構成要素をノードとしたときに、分析装置が算出したセキュリティ・リスクの大きさをノード間の距離としてグラフに反映したノードの位置情報を算出し、表示装置に視覚情報として表示する。

図１の表示結果では情報資産である保護対象１０が同心円として表示されたグラフ上の中心に配置される。また、他のノードを介さずに直接保護対象１０とネットワーク接続される保護機構２０，２１、および、外部接続部３０が保護対象１０の周辺の座標に配置される。次に、保護機構２０，２１より情報システムの外部側に存在する構成要素、ここでは外部接続部３１，３２が保護機構２０，２１より同心円の外縁側の座標に配置される。なお、図 1の例では保護対象と外部接続部の間に保護機構は最大で１点しか存在していないが、保護機構の数は０点以上の任意の複数点が分析対象の情報システムのネットワーク構成に対応した接続関係を保った形でノードとして表示される。

各ノード間の接続関係に対応したエッジ４０〜４５は、図２で後述するセキュリティ・リスクの大小に対応したノード間距離を反映した長さを持ち、各ノードの座標はノード間距離を維持するように分析結果表示装置によって算出される。

図１の表示結果では、セキュリティ・リスクが高い場合にエッジの長さが相対的に短く表示される例を示しており、情報資産に対して直接アクセスすることのできる保守用コネクタが最もセキュリティ・リスクの高い外部接続部３０として情報資産の近傍に配置される。情報資産１０との間に認証装置が保護機構２０として実装されている近接無線モジュール（外部接続部３１）は保守用コネクタ（外部接続部３０）よりセキュリティ・リスクが低いとの分析結果に対応してより同心円上の相対的に外縁側に配置され、分析結果としては近接無線モジュール（外部接続部３１）よりセキュリティ・リスクが低いと判定されたＵＳＢコネクタ（外部接続部３２）は相対的にさらに外縁側に配置される。

保護機構２１のファイアーウォールがセキュリティ分析装置によりセキュリティ保護能力が高いと分析結果で評価された場合、同心円上で保護機構２０よりも相対的に外縁側に配置され、ファイアーウォールを介してのみ情報資産へアクセスできる無線通信モジュール（外部接続部３３）もセキュリティ・リスクが低いとの判定結果に対応して最外縁に配置される。

それぞれのノードが配置される座標はセキュリティ・リスクの大小に対応して算出された中心からの相対距離によって決定され、回転方向で表現される角度要素は任意に決定して良い。

それぞれのノードが保護資産からの距離をより視覚化に把握しやすくするため、補助線５０〜５３をグラフに追加しても良い。補助線は図１の例のように等間隔に表示してもよいし、任意の基準に基づいて表示してもよい。たとえば、任意のノードの中心からの距離を示すような補助線を表示することにより、当該ノードと比較した相対的なセキュリティ・リスクの大小を視覚的に容易に理解できる。

各ノード間の接続関係に対応したエッジ４０〜４５の長さを算定する一例を図２に示す。まず、本発明の対象外であるセキュリティ分析装置を用いて、保護対象１０の情報資産に対するセキュリティ・リスクの大きさを評価対象の情報システムに含まれる全ての保護機構および、外部接続部について評価し、セキュリティ・リスクの大きいものが高い評価値を持つように数値化する。いま、保護機構２０、外部接続部３１，外部接続部３２のセキュリティ・リスクの評価値をそれぞれ、ＳＲ２０，ＳＲ３１、ＳＲ３２とし、ＳＲ３２の評価値はＳＲ３１よりも低いものとする。なお、ＳＲ３１、ＳＲ３２は保護対象１０に対して保護機構２０を介して接続されている外部接続部３１，外部接続部３２のセキュリティ・リスクを総合的に評価したものであり、ＳＲ３１、ＳＲ３２のセキュリティ・リスク評価値はＳＲ２０よりも低いものとする。

同心円の中心に配置された保護対象１０を表すノードから、保護機構２０、外部接続部３１，外部接続部３２に対応したノードまでの距離をそれぞれ、Ｄ２０，Ｄ３１，Ｄ３２（図２の６０，６１，６２）とする。図２の、セキュリティ・リスク評価値が高い場合にエッジの長さを短く表示する例では、Ｄ２０，Ｄ３１，Ｄ３２をそれぞれのセキュリティ・リスクの評価値の高低に対応して決定するための手法として、たとえば図３に示すような単調減少関数を用いる。いま、保護機構２０、外部接続部３１，外部接続部３２それぞれのセキュリティ・リスク評価値ＳＲ２０，ＳＲ３１、ＳＲ３２から距離係数Ｃｏｅｆｆ（ＳＲ２０），Ｃｏｅｆｆ（ＳＲ３１），Ｃｏｅｆｆ（ＳＲ３２）を求める。図３の例では、距離係数は０．０〜１．０の間の実数となり、セキュリティ・リスク評価値の高い順つまり、ＳＲ２０，ＳＲ３１，ＳＲ３２の順で、距離係数Ｃｏｅｆｆ（ＳＲ２０），Ｃｏｅｆｆ（ＳＲ３１），Ｃｏｅｆｆ（ＳＲ３２）は相対的に小さい値となる。

Ｄ２０，Ｄ３１，Ｄ３２（図２のノード間距離６０，６１，６２）は、ある初期値に対して距離係数Ｃｏｅｆｆ（ＳＲ２０），Ｃｏｅｆｆ（ＳＲ３１），Ｃｏｅｆｆ（ＳＲ３２）を乗じて決定する。ここでの初期値は、セキュリティ・リスク評価値の高低と距離の短長、エッジの長さの短長の関係が維持されるように設定する。簡易的には全てのノードで共通の正の固定値を用いる。

図２を表示するステップでは、まず保護対象１０を同心円の中心に配置し、分析結果表示装置の入力の１つである分析対象となる情報システムのネットワーク構成情報を反映した形で保護機構と外部接続部を表す各ノードをエッジで接続し、ノード間距離のある初期値を反映した中心からの距離に各ノードを配置する。図４は各ノードの初期値７０〜７２に共通の正の固定値Ｄｉｎｉｔｉａｌを設定した場合の初期状態を示している。

次に、それぞれの初期値７０〜７２に距離係数を乗じてノード間距離６０〜６２を算定する。
Ｄ２０ ＝ Dｉｎｉｔｉａｌ × Ｃｏｅｆｆ（ＳＲ２０）
Ｄ３１ ＝ Dｉｎｉｔｉａｌ × Ｃｏｅｆｆ（ＳＲ３１）
Ｄ３２ ＝ Dｉｎｉｔｉａｌ × Ｃｏｅｆｆ（ＳＲ３２）

図２を表示するステップでは、保護機構２０、外部接続部３１，外部接続部３２に対応したノードを中心からの距離が、先のステップで算定した距離Ｄ２０，Ｄ３１，Ｄ３２の関係を満たすように同心円で表示されたグラフ上に配置する。また、評価対象の情報システムのネットワーク構成に対応した形でノード間に接続しているエッジ４０，４３，４４をノードの配置に追従させて伸縮させる。

ノードを配置する際に、回転方向の角度は任意であるが、セキュリティ・リスクの高低をノード間距離の差の関係とエッジの長さ関係が保たれるように配置される。たとえば図２の例では、Ｄ３２−Ｄ２０（ノード間距離６４）よりＤ３１−Ｄ２０（ノード間距離６３）が大きい値を持つことに対応して、エッジ４４の長さＬ３２はエッジ４３の長さＬ３１より長くなるような位置に配置される。
（Ｄ３２−Ｄ２０） ＞ （Ｄ３１−Ｄ２０） ⇒ Ｌ３２ ＞ Ｌ３１
これにより、セキュリティ・リスク評価値の高低がエッジの長さとして表示される。

これにより、対象とする情報システムに内在する情報資産である保護対象、情報システムを構成する情報処理装置などの保護機構、情報システムの外部とのインターフェースとなる外部接続部をグラフのノードとして表示装置上に配置し、保護対象と保護機構、外部接続部間の論理的、あるいは、物理的な通信経路をグラフのエッジとして表示し、それぞれのノードが持つセキュリティ・リスクの大きさをグラフ上のエッジの長さとして視覚化することができる。

なお、上記の図１、図２に示した例では、セキュリティ・リスクが高い場合に、エッジの長さを相対的に短く表示し、セキュリティ・リスクが低い場合に、エッジの長さを相対的に長く表示するようにしているが、これとは逆に、セキュリティ・リスクが高い場合に、エッジの長さを相対的に長くし、セキュリティ・リスクが低い場合には、エッジの長さを相対的に短く表示するようにしても良い。

本発明にはセキュリティ・リスクを算定するセキュリティ分析装置を含まない。任意の分析手法および分析手法を実装した分析装置、たとえば分析作業に用いるソフトウェア・プログラムの入力となる分析対象の情報システム構成情報および、分析装置の出力となる分析結果が本発明のリスク分析結果表示装置に入力として与えられ、リスク分析結果表示装置はセキュリティ・リスクの大小をエッジの長さとして反映したグラフとして視覚化した画像情報を出力する。

本発明の入力となる分析装置で用いる分析手法は任意に選択できる。その一例としては、共通脆弱性評価システム ＣＶＳＳ（Common Vulnerability Scoring System)が挙げられる。セキュリティ分析では外部接続部から保護資産までの全ての経路を網羅的に評価し、外部接続部およびその中間に位置する保護装置それぞれのセキュリティ・リスクを評価し、分析結果表示装置の入力とする。

実施の形態２．
本発明に係る実施の形態２を図５に基づいて説明する。実施の形態１では、保護対象を中心とする同心円で表したグラフ上に保護機構、外部接続部を配置したが、表示手法は同心円に限定されない。たとえば、図５に示すようなガウス分布図様に、平面的あるいは立体的に表現された空間の頂点（空間の中央に位置する最高点）に保護資産を配置し、本発明の対象外であるセキュリティ分析装置によって算定された保護機構や外部接続部のセキュリティ・リスクの大小を実施の形態１と同様に頂点からの距離として表現しても良い。セキュリティ・リスクの大小がグラフ上で高さ方向として表現されるため、より直感的な視覚化ができ分析結果の理解が容易化できる。

また、図５の例に示すようにグラフの背景空間の色や明るさをセキュリティ・リスク評価値の高低に対応づけて変化させてもよい。ひとつの例としては、コンピュータによるディスプレイ上への色表示に使われる色空間の表示法、ＨＳＶ色空間やＨＬＳ色空間の少なくともいずれか１つの要素にセキュリティ・リスク評価値を対応付けることで色彩を変化させる。色の違いは連続的、階調的なグラデーションとして表現してもよいし、離散的に複数の色を使い分けて表現しても良い。また、白黒のみの明るさの変化として表現することもできる。

実施の形態３．
本発明に係る実施の形態３を図６に基づいて説明する。図６は、本発明の実施の形態３のリスク分析結果表示装置に表示される分析結果の概念図である。実施の形態１、実施の形態２では保護対象となる情報資産が１つであり、グラフの中心に配置されたが、複数の保護資産を基準となる直線上に一列に配置し、セキュリティ・リスクの大小を基準線からの距離として表現しても良い。

図６の例では、基準線は表示装置の表示空間の上方に横方向に配置し、複数の保護資産を基準線上に横一列に配置する。本発明の対象外であるセキュリティ分析装置によって算定された保護機構や外部接続部のセキュリティ・リスクの大小は、実施の形態１と同様に保護資産からの距離として算出し、各ノードのセキュリティ・リスクの大小は基準線からの縦方向への距離として表現される。これにより、複数の保護資産に対するセキュリティ・リスクを同時に視覚化することができる。

基準線はたとえば、表示空間上の下方に横方向に配置しセキュリティ・リスクの大小を表示空間上の上方向への距離として表現しても良いし、基準線を表示空間上の左方あるいは右方に縦方向に配置し、セキュリティ・リスクの大小を横方向の距離として表現しても良い。また、場合によっては斜め方向に表現することも可能である。

実施の形態４．
本発明に係る実施の形態４を図７に基づいて説明する。図７は、本発明の実施の形態４のリスク分析結果表示装置に表示される分析結果の概念図である。図７の例に示すように、表示結果の一部の可視性を低下させる、任意の基準値を示す境界線を表示してもよい。図７は利用者が指定した外部接続部のセキュリティ・リスク評価値より低い評価値をもつノードとエッジの可視性を低下させることにより、指定したノード、および、指定したノードより相対的に高いセキュリティ・リスク評価値を有するノードとそれに関連するノードとエッジを強調して表示した例である。

図７の例では、リスク分析結果表示装置の表示結果として示されたグラフ空間上に、利用者が指定した座標１００が図示されている。座標は数値として入力しても良いし、表示装置に直接触れる、あるいは、ポインティングデバイス等を介した入力により指定してもよい。

リスク分析結果表示装置は利用者が指定した座標１００を含む、あるいは、最近傍の座標にあるノード１１０を利用者の選択したノードとして判定し、ノード１１０のセキュリティ・リスク評価値を表示上の閾値として分析結果表示装置内に保持するとともに、閾値に対応した座標を示す境界線１２０をグラフ空間上に表示する。

また、選択したノード、および、保持した閾値より高いセキュリティ・リスク評価値を有するノードを基点として、基準線上にある保護対象までの経路上にあるノードとエッジそれ以外のノードとエッジの可視性を低下させても良い。可視性を低下させる手段の例としては、対象となるノードとエッジの透明度を上げる、彩度を下げる、アンシャープマスクを掛ける、半透明のレイヤーをマスクとして追加するなどが挙げられる。

図７では全ての保護対象が閾値を超えるノードに繋がっている例となっているが、関連するノードが全て閾値以下にある保護対象であれば保護対象ノードも不可視化対象に含めて良い。

図７の例では選択されたノード１１０は１つであるが、１つ以上の任意の数のノードを複数選択しても良く、その場合には境界線を複数表示する、可視性も複数段階に分けて低下させるなどしてもよい。

図７の例に示したように、利用者が指定した箇所を基準に閾値を設け可視性を低下させる、線を表示させるなどの手段により、注目すべきノードのみを視覚的に把握しやすくすることにより、分析結果表示装置の表示結果の理解をより容易化することができる。

実施の形態５．
本発明に係る実施の形態５を図８に基づいて説明する。図８は、本発明の実施の形態５のリスク分析結果表示装置に表示される分析結果の概念図である。実施の形態１では、保護対象を中心とする同心円で表したグラフ上に保護機構、外部接続部をノードとして配置したが、各ノードをセキュリティ分析対象のシステムの物理的な形状を表す模式図に対応させて配置した例が図８である。実施の形態１で用いた図３の距離係数に応じて、各ノードに対応づけた模式図を変形させることにより、セキュリティ・リスクの高低を模式図の形状として可視化する。

まず分析対象である情報システムの物理形状を示す模式図２００上に、分析対象の情報システムを構成する要素を配置する。図８（ａ）の例では自動車内の制御機器を中心としたシステムを示している。保護対象２１０、ネットワーク中継機器である保護機構２２０、センサーである外部接続部２３０，２３１がネットワークを介して繋がるシステムを示しており、保護機構２２０はネットワーク中継器が設置されている車内の位置に、外部接続部２３０，２３１はセンサーが設置されている車両の外縁部に対応して模式図上に配置されている。また、それぞれのノードを繋げるネットワーク構成に対応して、各ノードを直線のエッジで接続する。

具体的には、図８の車体上部に設けられた外部機器としては．車外通信機器（形態回線と繋がるナビゲーションシステムなど）があり、車体後方にある外部機器としては、超音波やレーダーなどのセンサーがある。また、車体下方に設けられているのは、タイヤに付いている空気圧センサーである。

リスク分析結果表示装置が出力するセキュリティ・リスクの分析結果を反映した模式図が図８（ｂ）の２０１となる。保護対象２１１を中心として、セキュリティ・リスクの評価値の高低に対応してエッジの長さが更新される。エッジの長さはたとえば、図３で例示した単調減少関数から算定される距離係数Ｃｏｅｆｆを分析結果反映前のエッジの長さに乗じて決定できる。このとき、各ノードが配置されている座標に対応した形で模式図も変形させる。図８（ｂ）の例は、保護機構２２１、外部接続２３３のセキュリティ・リスク評価値が低い場合を示しており、各ノードの位置関係は変化していないのに対し、セキュリティ・リスク評価値が相対的に高い外部接続部２３２に繋がるエッジは短く表示され、保護対象２１１との距離が小さく表示される。これにより、分析対象の情報システムにおけるセキュリティ・リスクの高い外部接続部などの構成要素が対象システムのどの箇所にあるかと対応づけて視覚化することができるため、分析結果表示装置の表示結果の理解をより容易化することができる。

これまでに示した例では、各ノードのセキュリティ・リスク評価値ＳＲや中心からの距離Ｄはリスク分析結果表示装置が表示するグラフに示していないが、数値を表示すれば、より一層相互の関係が明瞭になる。

なお、実施の形態１から実施の形態５までに関する上記の説明では、それぞれの単体機能について説明してきたが、各実施の形態を自由に組み合わせることが可能である。また、各実施の形態の任意の構成要素を適宜、変更または省略することが可能である。

１０：保護対象、２０〜２１：保護機構、３０〜３３：外部接続部、
４０〜４５：ノード間の接続関係とセキュリティ・リスクの大小を表すエッジ、
５０〜５３：保護資産からの距離を視覚化する補助線、６０〜６４：ノード間距離、
７０〜７２：ノード間距離の初期値、１００：表示装置上に示された利用者の指定座標、１１０：利用者が選択したノード、１２０：セキュリティ・リスクの閾値を示す境界線、２００：分析結果反映前の対象システムの物理形状を示す模式図、
２０１：分析結果を反映して形状を変形させた模式図、２１０〜２１１：保護対象、
２２０〜２２１：保護機構、２３０〜２３３：外部接続部。

Claims (11)

1. ネットワーク接続された複数の機器から構成される情報システムのセキュリティ分析結果を視覚的に表現する表示装置であって、セキュリティの保護対象となる情報資産と、セキュリティ保護機構と、攻撃の窓口となりうる外部接続部とをノードとし、各ノード間の接続をエッジとしたグラフ上に表示し、前記セキュリティ保護機構によって実現されるセキュリティの高さや、攻撃発生リスクの低さの分析結果を数値化するとともに、数値化されたリスクの高低を前記各ノード間におけるエッジの長さとして表示するものであり、前記各ノードの座標は前記エッジの長さとしての前記各ノード間の距離を確保するものであることを特徴とするリスク分析結果表示装置。
2. 前記エッジの長さは、前記数値化されたリスクが高い場合には相対的に短く、リスクが低い場合には相対的に長く表示することを特徴とする請求項１に記載のリスク分析結果表示装置。
3. 前記エッジの長さは、前記数値化されたリスクが高い場合には相対的に長く、リスクが低い場合には相対的に短く表示することを特徴とする請求項１に記載のリスク分析結果表示装置。
4. 前記セキュリティの保護対象となる情報資産に対応するノードを同心円上の中心に配置し、前記セキュリティ保護機構によって実現されるセキュリティの高さや、前記外部接続部に対して発生しうる攻撃リスクの低さを反映した前記数値化されたリスクの高低を、円中心からの距離、および、距離の差分として表示するとともに、外部とのインターフェースや前記セキュリティ保護機構が有するセキュリティ・リスクを、情報資産からの距離として可視化することを特徴とする請求項１に記載のリスク分析結果表示装置。
5. 前記同心円の中心から一定距離の補助線を表示することにより、セキュリティ・リスクの可視化をより明瞭に表示することを特徴とする請求項４に記載のリスク分析結果表示装置。
6. 前記セキュリティの保護対象となる情報資産に対応するノードを、平面的あるいは立体的に表現された空間の頂点に配置し、前記数値化されたセキュリティ・リスクの高低をグラフ上の高さとして可視化するようにしたことを特徴とする請求項１に記載のリスク分析結果表示装置。
7. 前記セキュリティの保護対象となる情報資産に対応する複数のノードを、平面空間上の直線上に配置し、前記数値化されたセキュリティ・リスクの高低を直線からの距離として可視化するようにしたことを特徴とする請求項１に記載のリスク分析結果表示装置。
8. 前記ノードを配置するグラフの背景空間を、前記数値化されたセキュリティ・リスクの高低に対応した色や明るさとして可視化するようにしたことを特徴とする請求項４から請求項７までのいずれかに記載のリスク分析結果表示装置。
9. 前記数値化されたセキュリティ・リスクの低いノード、及びそれらに接続されたエッジの可視性を低下させることにより、セキュリティ・リスクの高低を可視化するようにしたことを特徴とする請求項４から請求項８までのいずれかに記載のリスク分析結果表示装置。
10. 利用者が設定する数値化されたセキュリティ・リスクの閾値を境界線、または、可視性の差として表示するようにしたことを特徴とする請求項７から請求項９までのいずれかに記載のリスク分析結果表示装置。
11. グラフのノードをセキュリティ分析対象のシステムの物理的な形状を表す模式図に対応させて配置するとともに、前記数値化されたセキュリティ・リスクの高低に応じてエッジの長さを変化させることに対応して前記模式図を変形させることにより、セキュリティ・リスクの高低を模式図として可視化するようにしたことを特徴とする請求項１に記載のリスク分析結果表示装置。

Images