JP6324646B1 - セキュリティ対策決定装置、セキュリティ対策決定方法およびセキュリティ対策決定プログラム - Google Patents

Abstract

セキュリティ対策決定装置（１００）のリスク分析部（１４０）は、脅威情報（１１１）を生成する。脅威情報（１１１）は、システム（２００）に影響を与える複数の脅威について、各脅威が発生する１つ以上の条件の組み合わせ、および、各脅威の組み合わせに含まれている条件がシステム（２００）において充足されているか未充足であるかを示す情報である。セキュリティ対策決定装置（１００）の対策選定部（１５０）は、脅威情報（１１１）を参照し、各脅威の組み合わせに含まれている未充足の条件の数に応じて、複数の脅威の中から、対処すべき脅威を特定する。そして、対策選定部（１５０）は、特定した脅威の組み合わせに含まれている充足されている条件を少なくとも１つ未充足の条件に変えることができるセキュリティ対策を、実施すべきセキュリティ対策に選定する。

Description

本発明は、セキュリティ対策決定装置、セキュリティ対策決定方法およびセキュリティ対策決定プログラムに関するものである。

情報社会の広がりにより、企業の内部情報等を守るために、適切なセキュリティ対策の決定が重要となっている。しかし、情報技術が高度になり、システムが複雑に連携することや、頻繁に変化するネットワーク構成のために、適切にセキュリティ対策を決定することは容易ではない。そのため、自動的に対象のシステムのリスクを算出し、適切なセキュリティ対策を決定する技術が必要となっている。

特許文献１には、システムと資産の構成情報を収集し、脅威の発生条件を表す論理式を用いて、リスク評価指標を算出し、脆弱な個所に対して対策を実施する技術が開示されている。

特許文献２には、システムに対するアタックツリーを導出することで、脆弱な個所を見つけ出し、リスク軽減策を提示する技術が開示されている。

特許文献３には、リスク低減率の高い対策を選択し、同じ低減率の場合はコストが小さい対策を選択する技術が開示されている。

特開２０１１−０２２９０３号公報 特表２０１１−５１９４３５号公報 特開２００２−２４５２６号公報 国際公開第２００９／０３７８９７号

従来技術では、システムを、セキュリティ上不適切な管理が行われている状態から、適切な管理が行われている状態へと遷移させるためのセキュリティ対策が実施される。しかし、従来技術では、現在は適切なセキュリティ管理が行われているが、攻撃者による多少の手続きにより脅威が発生するような、潜在的リスクが存在する状態を認識することができない。そのため、従来技術では、多少の障害であればコストをかけて執拗に攻撃を仕掛ける標的型攻撃に対するセキュリティ対策を決定することができない。

本発明は、システムにおける潜在的リスクを低減することを目的とする。

本発明の一態様に係るセキュリティ対策決定装置は、
システムに影響を与える脅威が発生する１つ以上の条件の組み合わせ、および、前記組み合わせに含まれている条件が前記システムにおいて充足されているか未充足であるかを示す脅威情報を生成し、生成した脅威情報をメモリに格納するリスク分析部と、
前記メモリにアクセスして、前記リスク分析部により生成された脅威情報を参照し、前記組み合わせに含まれている未充足の条件の数に応じて、前記脅威が、対処すべき脅威であるかどうかを判定し、対処すべき脅威であると判定した場合、前記組み合わせに含まれている充足されている条件を少なくとも１つ未充足の条件に変えることができるセキュリティ対策を、実施すべきセキュリティ対策に選定する対策選定部とを備える。

本発明では、システムに影響を与える脅威が発生する１つ以上の条件の組み合わせの中に未充足の条件がいくつあるかによって、その脅威が、対処すべき脅威であるかどうかが判定される。対処すべき脅威であると判定された場合、その脅威が発生する条件のうち、充足されている条件を少なくとも１つ未充足の条件に変えることができるセキュリティ対策が、実施すべきセキュリティ対策に選定される。このため、システムにおける潜在的リスクを低減することができる。

実施の形態１に係るセキュリティ対策決定装置の構成を示すブロック図。 実施の形態１に係るセキュリティ対策決定装置の動作を示すフローチャート。 実施の形態１に係るセキュリティ対策決定装置の対策選定部の動作例を示すフローチャート。 実施の形態２に係るセキュリティ対策決定装置の構成を示すブロック図。

以下、本発明の実施の形態について、図を用いて説明する。なお、各図中、同一または相当する部分には、同一符号を付している。実施の形態の説明において、同一または相当する部分については、説明を適宜省略または簡略化する。

実施の形態１．
本実施の形態について、図１から図３を用いて説明する。

＊＊＊構成の説明＊＊＊
図１を参照して、本実施の形態に係るセキュリティ対策決定装置１００の構成を説明する。

セキュリティ対策決定装置１００は、コンピュータである。セキュリティ対策決定装置１００は、プロセッサ１０１を備えるとともに、メモリ１０２、補助記憶装置１０３、入力インタフェース１０４、画面出力インタフェース１０５といった他のハードウェアを備える。プロセッサ１０１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

セキュリティ対策決定装置１００は、機能要素として、構成抽出部１２０と、情報抽出部１３０と、リスク分析部１４０と、対策選定部１５０と、対策適用部１６０とを備える。構成抽出部１２０、情報抽出部１３０、リスク分析部１４０、対策選定部１５０、対策適用部１６０といった「部」の機能は、ソフトウェアにより実現される。

プロセッサ１０１は、プロセッシングを行うＩＣである。「ＩＣ」は、Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略語である。プロセッサ１０１は、具体的には、ＣＰＵである。「ＣＰＵ」は、Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略語である。

メモリ１０２には、脅威情報１１１が記憶される。脅威情報１１１は、システム２００に影響を与える脅威が発生する１つ以上の条件の組み合わせ、および、その組み合わせに含まれている条件がシステム２００において充足されているか未充足であるかを示す情報である。考慮される脅威の数は、１つでもよいが、本実施の形態では、複数である。すなわち、本実施の形態では、脅威情報１１１は、システム２００に影響を与える複数の脅威について、各脅威が発生する１つ以上の条件の組み合わせ、および、各脅威の組み合わせに含まれている条件がシステム２００において充足されているか未充足であるかを示す情報である。メモリ１０２は、具体的には、フラッシュメモリまたはＲＡＭである。「ＲＡＭ」は、Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙの略語である。

補助記憶装置１０３には、対策データベース１１２が記憶されている。対策データベース１１２は、システム２００に対して実施可能なセキュリティ対策ごとに、コストと実施内容との組を格納するデータベースである。対策データベース１１２は、適宜メモリ１０２に展開され、プロセッサ１０１によって参照または操作される。補助記憶装置１０３には、さらに、「部」の機能を実現するプログラムが記憶されている。このプログラムは、メモリ１０２にロードされ、プロセッサ１０１によって実行される。補助記憶装置１０３には、ＯＳも記憶されている。「ＯＳ」は、Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍの略語である。プロセッサ１０１は、ＯＳを実行しながら、「部」の機能を実現するプログラムを実行する。なお、「部」の機能を実現するプログラムの一部または全部がＯＳに組み込まれていてもよい。補助記憶装置１０３は、具体的には、フラッシュメモリまたはＨＤＤである。「ＨＤＤ」は、Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅの略語である。

入力インタフェース１０４は、図示していない入力装置が接続されるポートである。入力インタフェース１０４は、具体的には、ＵＳＢ端子である。「ＵＳＢ」は、Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓの略語である。入力装置は、具体的には、マウス、キーボード、または、タッチパネルである。

画面出力インタフェース１０５は、図示していないディスプレイが接続されるポートである。画面出力インタフェース１０５は、具体的には、ＵＳＢ端子である。ディスプレイは、具体的には、ＬＣＤである。「ＬＣＤ」は、Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙの略語である。

セキュリティ対策決定装置１００は、ハードウェアとして、通信装置を備えていてもよい。

通信装置は、データを受信するレシーバおよびデータを送信するトランスミッタを含む。通信装置は、具体的には、通信チップまたはＮＩＣである。「ＮＩＣ」は、Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄの略語である。

セキュリティ対策決定装置１００は、プロセッサ１０１を代替する複数のプロセッサを備えていてもよい。これら複数のプロセッサは、「部」の機能を実現するプログラムの実行を分担する。それぞれのプロセッサは、プロセッサ１０１と同じように、プロセッシングを行うＩＣである。

「部」の処理の結果を示す情報、データ、信号値、および、変数値は、メモリ１０２、補助記憶装置１０３、または、プロセッサ１０１内のレジスタまたはキャッシュメモリに記憶される。

「部」の機能を実現するプログラムは、磁気ディスク、光ディスクといった可搬記録媒体に記憶されてもよい。

＊＊＊動作の説明＊＊＊
図２を参照して、本実施の形態に係るセキュリティ対策決定装置１００の動作を説明する。セキュリティ対策決定装置１００の動作は、本実施の形態に係るセキュリティ対策決定方法に相当する。セキュリティ対策決定装置１００の動作は、本実施の形態に係るセキュリティ対策決定プログラムの処理手順に相当する。

ステップＳ１１において、構成抽出部１２０は、管理対象のシステム２００に対して調査を行い、システム２００の構成を示すシステム構成情報を抽出する。システム構成情報は、ネットワーク構成や、ＯＳのバージョンといった情報を含む。具体例として、システム構成情報は、特許文献４に記載されている「診断項目」と同じように定義および取得される。構成抽出部１２０は、抽出したシステム構成情報をリスク分析部１４０に入力する。

ステップＳ１２において、情報抽出部１３０は、管理対象のシステム２００に対して調査を行い、システム２００によって保持されている資産価値のある情報の配置を示す資産情報を抽出する。資産情報は、管理対象のシステム２００内の機密情報、顧客情報といった資産価値のある情報の配置を示す情報である。具体例として、資産情報は、特許文献１に記載されている「配置情報」と同じように定義および取得される。情報抽出部１３０は、抽出した資産情報をリスク分析部１４０に入力する。

ステップＳ１３において、対策データベース１１２に、セキュリティ対策の内容とコストとの組が入力される。この入力は、データをインポートすることによって自動で行われてもよいが、本実施の形態では人手で行われる。

ステップＳ１４およびステップＳ１５において、リスク分析部１４０は、脅威情報１１１を生成し、生成した脅威情報１１１をメモリ１０２に格納する。具体的には、ステップＳ１４において、リスク分析部１４０は、構成抽出部１２０および情報抽出部１３０から入力されたシステム構成情報および資産情報を用いて、管理対象のシステム２００のアタックツリーを抽出する。アタックツリーは、リスク分析手法の一種である。具体例として、アタックツリーは、特許文献２に記載されているものと同じように定義および取得される。ステップＳ１５において、リスク分析部１４０は、アタックツリーをもとに脅威発生条件の論理式を得る。この論理式は、加法標準形により表現され、脅威情報１１１としてメモリ１０２に保存される。脅威発生条件の論理式の具体例については、後述する。

ステップＳ１６およびステップＳ１７において、対策選定部１５０は、メモリ１０２にアクセスして、リスク分析部１４０により生成された脅威情報１１１を参照する。前述したように、脅威情報１１１は、システム２００に影響を与える脅威が発生する１つ以上の条件の組み合わせ、および、その組み合わせに含まれている条件がシステム２００において充足されているか未充足であるかを示す情報である。対策選定部１５０は、その組み合わせに含まれている未充足の条件の数に応じて、上記脅威が、対処すべき脅威であるかどうかを判定する。対処すべき脅威であると判定した場合、対策選定部１５０は、上記組み合わせに含まれている充足されている条件を少なくとも１つ未充足の条件に変えることができるセキュリティ対策を、実施すべきセキュリティ対策に選定する。本実施の形態では、脅威情報１１１は、システム２００に影響を与える複数の脅威について、各脅威が発生する１つ以上の条件の組み合わせ、および、各脅威の組み合わせに含まれている条件がシステム２００において充足されているか未充足であるかを示す情報である。そのため、対策選定部１５０は、各脅威の組み合わせに含まれている未充足の条件の数に応じて、各脅威が、対処すべき脅威であるかどうかを個別に判定する。すなわち、対策選定部１５０は、各脅威の組み合わせに含まれている未充足の条件の数に応じて、複数の脅威の中から、対処すべき脅威を特定する。そして、対策選定部１５０は、特定した脅威の組み合わせに含まれている充足されている条件を少なくとも１つ未充足の条件に変えることができるセキュリティ対策を、実施すべきセキュリティ対策に選定する。具体的には、ステップＳ１６において、対策選定部１５０は、リスク分析部１４０で得られた脅威発生条件の論理式をもとに解析を行い、セキュリティ対策が必要であるかを判定する。セキュリティ対策が必要である場合、ステップＳ１７において、対策選定部１５０は、対策データベース１１２を参照して、コストを考慮しつつ、どのセキュリティ対策が実施可能であるかを判断し、実際に行うセキュリティ対策を対策適用部１６０に指示する。

ステップＳ１８において、対策適用部１６０は、対策選定部１５０の指示を受け、実際に行うセキュリティ対策を対策データベース１１２から呼び出し、そのセキュリティ対策を管理対象のシステム２００に対して実施する。セキュリティ対策の一例としては、管理対象のシステム２００が有するセキュリティ機器の設定を変更するという対策がある。具体例として、セキュリティ対策は、特許文献１に記載されているものと同じように定義および実施される。

図３を参照して、ステップＳ１６およびステップＳ１７における対策選定部１５０の動作例を説明する。

ここでは、リスク分析部１４０において得られた脅威発生条件の論理式を次のように表す。
式１：Ｒ＝ｒ１∨ｒ２∨・・・∨ｒｎ
式２：ｒｉ＝ｐｉ１∧ｐｉ２∧・・・∧ｐｉｍ_ｉ

式１は、評価対象のシステム２００における脅威発生条件の論理式である。脅威が発生する場合はＲ＝１、発生しない場合はＲ＝０となる。ｉ＝１，２，・・・，ｎとしたとき、ｒ_ｉは脅威の一つ一つを示しており、ｎは脅威の数を示している。ｊ＝１，２，・・・，ｍ_ｉとしたとき、ｐｉｊは脅威ｒｉが発生するための条件の一つ一つを示しており、ｍ_ｉは脅威ｒｉが発生するための条件の数を示している。条件の具体例としては、ネットワークに接続されているといった条件がある。ここで、「∨」は論理和、「∧」は論理積を示す。

ステップＳ２１において、対策選定部１５０は、脅威発生条件の論理式である式１の値を調べる。ここで、Ｒ＝１である場合はステップＳ２２、Ｒ＝０である場合はステップＳ２３が実行される。

ステップＳ２２において、対策選定部１５０は、どの項が「１」となっているかを評価し、該当する項を特定する。ここで、関数ｆ（ｒｉ）を、脅威ｒｉが発生するための条件ｐｉｊにおいて、「０」の個数を数え上げる関数と定義する。関数ｆ（ｒｉ）を用いてステップＳ２２を説明すると、ｆ（ｒｉ）＝０となるｒｉを特定することとなる。ステップＳ２２の後は、ステップＳ２４が実行される。なお、ステップＳ２２で特定されるｒｉが複数個存在する場合、該当するすべてのｒｉについてステップＳ２４が実行される。

ステップＳ２３において、対策選定部１５０は、すべてのｒｉに対してｆ（ｒｉ）を計算し、計算した値が閾値ｔｈよりも小さいものが存在する場合はステップＳ２４を実行する。閾値ｔｈは、「０」よりも大きい任意の値に設定される。なお、ステップＳ２２で該当するｒｉが複数個存在する場合、該当するすべてのｒｉについてステップＳ２４が実行される。

ステップＳ２４において、対策選定部１５０は、ステップＳ２２またはステップＳ２３で特定した脅威ｒｉに対処するためのセキュリティ対策を選定し、対策適用部１６０に通知する。選定されるセキュリティ対策は、「１」であるｐｉｊが「０」になるような手続きである。具体例として、脅威ｒ１の発生条件の１つｐ１１が、ネットワークに接続されていることであれば、セキュリティ対策として、「ネットワークの遮断」が選定される。１＜ｋ＜ｎかつｋ≠ｉとしたとき、実施するセキュリティ対策としては、その１つのセキュリティ対策を実施することで他の脅威ｒｋにも対処でき、かつ、その１つのセキュリティ対策を実施するためのコストが低いことが望ましい。なお、選定されるセキュリティ対策は、複数であってもよい。

ステップＳ２３で特定された脅威ｒｉに対処するためのセキュリティ対策の選定について、詳細に説明する。

まず、対策選定部１５０は、ステップＳ２３で特定したｒｉにおいて、値が「１」であるｐｉｊをすべて抽出する。具体例として、次の式３のようにｒａが与えられている場合を説明する。
式３：ｒａ＝ｐａ１∧ｐａ２∧ｐａ３∧ｐａ４∧ｐａ５＝１∧０∧１∧１∧０

ｒｉからｐｉｊの値が「１」である要素を抽出する関数ｇ（ｒｉ）を定義すると、ｒａからｐａｊの値が「１」である要素を抽出した集合Ｅは、次の式４のようになる。
式４：Ｅ＝ｇ（ｒａ）＝｛ｐａ１，ｐａ３，ｐａ４｝

上記のように、関数ｇ（ｒｉ）によって、式３のようにｒａが与えられれば、脅威ｒａについてセキュリティ対策が必要な条件を抽出することができる。

次に、対策選定部１５０は、対策データベース１１２から、集合Ｅの要素ｅを１つ以上「０」にすることができるセキュリティ対策を選定する。ここで、選定されるセキュリティ対策は、２つの観点から選定される。１つ目の観点は、１つのセキュリティ対策の実施により「０」にできる要素ｅの数が多いかどうかである。これは、１つのセキュリティ対策で複数の攻撃条件をつぶすことができるものが、良い対策であるためである。２つ目の観点は、セキュリティ対策を講じる際に必要なコストである。対策選定部１５０は、セキュリティ対策の実施の際に必要なコストを計算し、コストが低いセキュリティ対策を優先的に選定する。ここで、コストは、時間でも金銭でもよく、時間を金銭に換算して共通の尺度で評価してもよい。前述したように、対策データベース１１２は、システム２００に対して実施可能なセキュリティ対策ごとに、コストと実施内容との組を格納するデータベースである。そのため、コストの観点からセキュリティ対策を選定することが可能である。

＊＊＊実施の形態の効果の説明＊＊＊
以上の動作により、管理対象のシステム２００における潜在的なリスクを特定し、その結果をもとにセキュリティ対策を実施することが可能となり、システム２００を安全に保つことが可能となる。すなわち、本実施の形態によれば、管理対象のシステム２００に対して、潜在的なリスクを洗い出し、セキュリティ対策を自動で行うことで標的型攻撃に対しても安全性を確保することができる。

本実施の形態では、システム２００に影響を与える脅威が発生する１つ以上の条件の組み合わせの中に未充足の条件がいくつあるかによって、その脅威が、対処すべき脅威であるかどうかが判定される。対処すべき脅威であると判定された場合、その脅威が発生する条件のうち、充足されている条件を少なくとも１つ未充足の条件に変えることができるセキュリティ対策が、実施すべきセキュリティ対策に選定される。このため、システム２００における潜在的リスクを低減することができる。

本実施の形態において、対策選定部１５０は、各脅威ｒｉが発生する条件ｐｉｊの組み合わせに含まれている未充足の条件の数を、「０」よりも大きい閾値ｔｈと比較し、閾値ｔｈよりも少ない数の未充足の条件が組み合わせに含まれている脅威ｒｉを、対処すべき脅威として特定する。そのため、脅威が発生するリスクが顕在化していない場合であっても、潜在的なリスクを検出して対処することができる。

本実施の形態において、対策選定部１５０は、特定した脅威が発生する条件の組み合わせに含まれている充足されている条件を２つ以上未充足の条件に変えることができるセキュリティ対策を優先して、実施すべきセキュリティ対策に選定する。望ましくは、対策選定部１５０は、特定した脅威が発生する条件の組み合わせに含まれている充足されている条件をより多く未充足の条件に変えることができるセキュリティ対策を優先して、実施すべきセキュリティ対策に選定する。これにより、実施されるセキュリティ対策の数の増大を抑えることができる。

本実施の形態において、対策選定部１５０は、より低いコストで実施されるセキュリティ対策を優先して、実施すべきセキュリティ対策に選定する。これにより、セキュリティ対策の実施にかかるコストの増大を抑えることができる。

＊＊＊他の構成＊＊＊
本実施の形態では、「部」の機能がソフトウェアにより実現されるが、変形例として、「部」の機能がソフトウェアとハードウェアとの組み合わせにより実現されてもよい。すなわち、「部」の機能の一部が専用の電子回路により実現され、残りがソフトウェアにより実現されてもよい。

専用の電子回路は、具体的には、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ、ＦＰＧＡ、または、ＡＳＩＣである。「ＧＡ」は、Ｇａｔｅ Ａｒｒａｙの略語である。「ＦＰＧＡ」は、Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙの略語である。「ＡＳＩＣ」は、Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略語である。

プロセッサ１０１、メモリ１０２、および、専用の電子回路を、総称して「プロセッシングサーキットリ」という。つまり、「部」の機能がソフトウェアにより実現されるか、ソフトウェアとハードウェアとの組み合わせにより実現されるかに関わらず、「部」の機能は、プロセッシングサーキットリにより実現される。

「部」を「工程」、「手順」、または、「処理」に読み替えてもよい。

実施の形態２．
本実施の形態について、主に実施の形態１との差異を、図４を用いて説明する。

セキュリティ対策決定装置１００は、機能要素として、構成抽出部１２０と、情報抽出部１３０と、リスク分析部１４０と、対策選定部１５０と、対策適用部１６０とのほか、影響反映部１７０を備える。構成抽出部１２０、情報抽出部１３０、リスク分析部１４０、対策選定部１５０、対策適用部１６０、影響反映部１７０といった「部」の機能は、ソフトウェアにより実現される。

管理対象のシステム２００が提供する何らかのサービスにおいて、ユーザに対する利便性等を与えるために、前述した式２におけるｐｉｊが現在は「０」であり安全であるが、そのｐｉｊを「１」にしなければならない場合がある。しかし、ｐｉｊを「１」にすることで、ｒｉの値が「１」になってしまう場合、ｒｉにおいて別のｐｉｊを「０」にしなければならない。そこで、影響反映部１７０は、「１」にする必要があるｐｉｊを「１」に変更する。この変更の内容は、リスク分析部１４０に入力され、以降、実施の形態１と同様の処理が行われる。

つまり、影響反映部１７０は、脅威が発生する１つ以上の条件の組み合わせに含まれている未充足の条件のうち、システム２００がサービスを提供するためにシステム２００において充足されるべき条件である必須条件がシステム２００において充足されていることを示す情報に変更する。対策選定部１５０は、影響反映部１７０により変更された後の脅威情報１１１を参照して、上記脅威が、対処すべき脅威であるかどうかを判定する。対処すべき脅威であると判定した場合、対策選定部１５０は、上記組み合わせに含まれている充足されている条件のうち、必須条件とは別の条件を少なくとも１つ未充足の条件に変えることができるセキュリティ対策を、実施すべきセキュリティ対策に選定する。考慮される脅威の数は、１つでもよいが、本実施の形態では、複数である。そのため、影響反映部１７０は、リスク分析部１４０により生成された脅威情報１１１を、各脅威の組み合わせに含まれている未充足の条件のうち、システム２００がサービスを提供するためにシステム２００において充足されるべき条件である必須条件がシステム２００において充足されていることを示す情報に変更する。対策選定部１５０は、影響反映部１７０により変更された後の脅威情報１１１を参照して、対処すべき脅威を特定する。そして、対策選定部１５０は、特定した脅威が発生する条件の組み合わせに含まれている充足されている条件のうち、必須条件とは別の条件を少なくとも１つ未充足の条件に変えることができるセキュリティ対策を、実施すべきセキュリティ対策に選定する。

以上の動作により、管理対象のシステム２００が提供する何らかのサービスを、安全に提供することが可能になる。

本実施の形態では、実施の形態１と同じように、「部」の機能がソフトウェアにより実現されるが、実施の形態１の変形例と同じように、「部」の機能がソフトウェアとハードウェアとの組み合わせにより実現されてもよい。

以上、本発明の実施の形態について説明したが、これらの実施の形態のうち、２つ以上の実施の形態を組み合わせて実施しても構わない。あるいは、これらの実施の形態のうち、１つの実施の形態または２つ以上の実施の形態の組み合わせを部分的に実施しても構わない。具体的には、これらの実施の形態に係るセキュリティ対策決定装置１００の機能要素のうち、一部の機能要素のみを採用してもよい。なお、本発明は、これらの実施の形態に限定されるものではなく、必要に応じて種々の変更が可能である。

１００ セキュリティ対策決定装置、１０１ プロセッサ、１０２ メモリ、１０３ 補助記憶装置、１０４ 入力インタフェース、１０５ 画面出力インタフェース、１１１ 脅威情報、１１２ 対策データベース、１２０ 構成抽出部、１３０ 情報抽出部、１４０ リスク分析部、１５０ 対策選定部、１６０ 対策適用部、１７０ 影響反映部。

Claims (7)

1. システムに影響を与える脅威が発生する１つ以上の条件の組み合わせ、および、前記組み合わせに含まれている条件が前記システムにおいて充足されているか未充足であるかを示す脅威情報を生成し、生成した脅威情報をメモリに格納するリスク分析部と、
   前記メモリにアクセスして、前記リスク分析部により生成された脅威情報を参照し、前記組み合わせに含まれている未充足の条件の数に応じて、前記脅威が、対処すべき脅威であるかどうかを判定し、対処すべき脅威であると判定した場合、前記組み合わせに含まれている充足されている条件を少なくとも１つ未充足の条件に変えることができるセキュリティ対策を、実施すべきセキュリティ対策に選定する対策選定部と
   を備え、
   前記対策選定部は、前記組み合わせに含まれている充足されている条件を２つ以上未充足の条件に変えることができるセキュリティ対策を優先して、実施すべきセキュリティ対策に選定するセキュリティ対策決定装置。
2. 前記対策選定部は、前記組み合わせに含まれている未充足の条件の数を、０よりも大きい閾値と比較し、前記閾値よりも少ない数の未充足の条件が前記組み合わせに含まれている場合、前記脅威が、対処すべき脅威であると判定する請求項１に記載のセキュリティ対策決定装置。
3. 前記対策選定部は、前記組み合わせに含まれている充足されている条件をより多く未充足の条件に変えることができるセキュリティ対策を優先して、実施すべきセキュリティ対策に選定する請求項１または２に記載のセキュリティ対策決定装置。
4. 前記対策選定部は、より低いコストで実施されるセキュリティ対策を優先して、実施すべきセキュリティ対策に選定する請求項１から３のいずれか１項に記載のセキュリティ対策決定装置。
5. 前記リスク分析部により生成された脅威情報を、前記組み合わせに含まれている未充足の条件のうち、前記システムがサービスを提供するために前記システムにおいて充足されるべき条件である必須条件が前記システムにおいて充足されていることを示す情報に変更する影響反映部をさらに備え、
   前記対策選定部は、前記影響反映部により変更された後の脅威情報を参照して、前記脅威が、対処すべき脅威であるかどうかを判定し、対処すべき脅威であると判定した場合、前記組み合わせに含まれている充足されている条件のうち、前記必須条件とは別の条件を少なくとも１つ未充足の条件に変えることができるセキュリティ対策を、実施すべきセキュリティ対策に選定する請求項１から４のいずれか１項に記載のセキュリティ対策決定装置。
6. リスク分析部が、システムに影響を与える脅威が発生する１つ以上の条件の組み合わせ、および、前記組み合わせに含まれている条件が前記システムにおいて充足されているか未充足であるかを示す脅威情報を生成し、生成した脅威情報をメモリに格納し、
   対策選定部が、前記メモリに格納された脅威情報を参照し、前記組み合わせに含まれている未充足の条件の数に応じて、前記脅威が、対処すべき脅威であるかどうかを判定し、対処すべき脅威であると判定した場合、前記組み合わせに含まれている充足されている条件を少なくとも１つ未充足の条件に変えることができるセキュリティ対策を、実施すべきセキュリティ対策に選定し、
   前記対策選定部は、前記組み合わせに含まれている充足されている条件を２つ以上未充足の条件に変えることができるセキュリティ対策を優先して、実施すべきセキュリティ対策に選定するセキュリティ対策決定方法。
7. コンピュータに、
   システムに影響を与える脅威が発生する１つ以上の条件の組み合わせ、および、前記組み合わせに含まれている条件が前記システムにおいて充足されているか未充足であるかを示す脅威情報を生成し、生成した脅威情報をメモリに格納するリスク分析処理と、
   前記メモリに格納された脅威情報を参照し、前記組み合わせに含まれている未充足の条件の数に応じて、前記脅威が、対処すべき脅威であるかどうかを判定し、対処すべき脅威であると判定した場合、前記組み合わせに含まれている充足されている条件を少なくとも１つ未充足の条件に変えることができるセキュリティ対策を、実施すべきセキュリティ対策に選定する対策選定処理と
   を実行させ、
   前記対策選定処理は、前記組み合わせに含まれている充足されている条件を２つ以上未充足の条件に変えることができるセキュリティ対策を優先して、実施すべきセキュリティ対策に選定するセキュリティ対策決定プログラム。

Images