JP6461693B2 - リスク管理支援システム、リスク管理支援方法及びプログラム - Google Patents

Description

本発明は、リスク低減効果を損ねる外部要因に対する適切なセキュリティ対策を予測する、リスク管理支援システム、リスク管理支援方法及びプログラムに関する。

従来、情報システムにおけるリスクを低減するためのセキュリティ対策を行う手法として、ＩＳＯ／ＩＥＣ２７００１：２０１３に規定されたＩＳＭＳ(情報セキュリティマネジメントシステム)等に準拠した管理策（例えば、物理的入退管理策、外部及び環境の脅威からの保護、受渡場所など）が広く用いられている（例えば、非特許文献１参照）。

"日本工業規格ＪＩＳ Ｑ ２７００１：２０１４（ＩＳＯ／ＩＥＣ２７００１：２０１３）"、一般財団法人日本規格協会（ＪＳＡ）、［online］、［２０１５年３月２６日検索］、インターネット<http://kikakurui.com/q/Q27001-2014-01.html>

しかし、上述のような管理策は、どのようなセキュリティ対策資材（例えば、顔認証システム、入退システムなど）を用いてその管理策を実現するかについては示していないため、管理策に基づいて具体的な情報システムを設計することは困難であった。

また、従来の情報システムのセキュリティ対策においては、セキュリティ対策によるリスク低減効果を損ねる外部要因の情報（例えば、ベンダの倒産によるサポート切れ、ＯＳ（オペレーティングシステム）のサポート終了、ＩＰＡ（独立行政法人情報処理推進機構）等の機関からの脆弱性レポートなど）が、どの管理策に影響を与えるものであるかの対応関係が不十分であった。そのため、情報システムの運用中の任意の時点で、リスク低減効果を損ねる外部要因の情報を入手した場合、情報システムのどの部分に、どのタイミングでセキュリティ対策を施せばよいのか、どのくらい費用を掛けられるのかの予測が困難であった。

本発明は、このような課題に鑑みてなされたもので、運用中のシステムに関して、任意の時点でリスク低減効果を損ねる外部要因の情報を入手した場合、当該システムのどのセキュリティ対策資材に新たなセキュリティ対策を施せばよいのかを精度良く予測することができるリスク管理支援システム、リスク管理支援方法及びプログラムを提供することを目的とする。

上記課題を解決するため、本発明に係るリスク管理支援システムは、管理機器と、リスク低減効果を損ねる外部要因と、その外部要因によりリスク低減効果を損ねる度合いを示す外部要因起因効果毀損値と、その外部要因が影響を与える管理策を示す外部要因対応管理策とを対応付けて記憶するリスク要因記憶部と、セキュリティ対策資材と、耐用年数と、リスク低減効果値の推移と、外部要因対応管理策とを対応付けて記憶するセキュリティ対策資材記憶部と、リスク低減効果値の下限値を記憶するセキュリティポリシ記憶部と、を備え、前記管理機器は、リスク低減効果を損ねる外部要因の情報を入力情報として入力を受け付け、前記入力情報に対応する外部要因起因効果毀損値及び外部要因対応管理策を前記リスク要因記憶部から読み出し、前記入力情報によって影響を受けるセキュリティ対策資材を、前記リスク要因記憶部から読み出した前記外部要因対応管理策に基づいて、前記セキュリティ対策資材記憶部から検索し、前記検索された前記入力情報によって影響を受ける前記セキュリティ対策資材の、耐用年数と現時点のリスク低減効果値とを前記セキュリティ対策資材記憶部から読み出し、前記現時点のリスク低減効果値から前記外部要因起因効果毀損値を減じて得た値を、前記入力情報に基づく将来時点の予測値として、前記セキュリティ対策資材記憶部に記憶された前記リスク低減効果値の推移を更新し、前記入力情報によって影響を受ける前記セキュリティ対策資材の前記リスク低減効果値の下限値を読み出し、前記更新した前記リスク低減効果値の推移に基づき、前記入力情報によって影響を受ける前記セキュリティ対策資材の耐用年数以内に前記リスク低減効果値の下限値を下回る時が来ると判断する場合、そのセキュリティ対策資材の情報を出力することを特徴とする。

また、上記課題を解決するため、本発明に係るリスク管理支援方法は、管理機器と、リスク低減効果を損ねる外部要因とその外部要因によりリスク低減効果を損ねる度合いを示す外部要因起因効果毀損値とその外部要因が影響を与える管理策を示す外部要因対応管理策とを対応付けて記憶するリスク要因記憶部と、セキュリティ対策資材と耐用年数とリスク低減効果値の推移と外部要因対応管理策とを対応付けて記憶するセキュリティ対策資材記憶部と、リスク低減効果値の下限値を記憶するセキュリティポリシ記憶部と、を備えるリスク管理支援システムにおけるリスク管理支援方法であって、前記管理機器は、リスク低減効果を損ねる外部要因の情報を入力情報として入力を受け付け、前記入力情報に対応する外部要因起因効果毀損値及び外部要因対応管理策を前記リスク要因記憶部から読み出し、前記入力情報によって影響を受けるセキュリティ対策資材を、前記リスク要因記憶部から読み出した前記外部要因対応管理策に基づいて、前記セキュリティ対策資材記憶部から検索し、前記検索された前記入力情報によって影響を受ける前記セキュリティ対策資材の、耐用年数と現時点のリスク低減効果値とを前記セキュリティ対策資材記憶部から読み出し、前記現時点のリスク低減効果値から前記外部要因起因効果毀損値を減じて得た値を、前記入力情報に基づく将来時点の予測値として、前記セキュリティ対策資材記憶部に記憶された前記リスク低減効果値の推移を更新し、前記入力情報によって影響を受ける前記セキュリティ対策資材の前記リスク低減効果値の下限値を読み出し、前記更新した前記リスク低減効果値の推移に基づき、前記入力情報によって影響を受ける前記セキュリティ対策資材の耐用年数以内に前記リスク低減効果値の下限値を下回る時が来ると判断する場合、そのセキュリティ対策資材の情報を出力することを特徴とする。

更に、上記課題を解決するため、本発明に係るプログラムは、管理機器と、リスク低減効果を損ねる外部要因とその外部要因によりリスク低減効果を損ねる度合いを示す外部要因起因効果毀損値とその外部要因が影響を与える管理策を示す外部要因対応管理策とを対応付けて記憶するリスク要因記憶部と、セキュリティ対策資材と耐用年数とリスク低減効果値の推移と外部要因対応管理策とを対応付けて記憶するセキュリティ対策資材記憶部と、リスク低減効果値の下限値を記憶するセキュリティポリシ記憶部と、を備えるリスク管理支援システムの前記管理機器が、リスク低減効果を損ねる外部要因の情報を入力情報として入力を受け付け、前記入力情報に対応する外部要因起因効果毀損値及び外部要因対応管理策を前記リスク要因記憶部から読み出し、前記入力情報によって影響を受けるセキュリティ対策資材を、前記リスク要因記憶部から読み出した前記外部要因対応管理策に基づいて、前記セキュリティ対策資材記憶部から検索し、前記検索された前記入力情報によって影響を受ける前記セキュリティ対策資材の、耐用年数と現時点のリスク低減効果値とを前記セキュリティ対策資材記憶部から読み出し、前記現時点のリスク低減効果値から前記外部要因起因効果毀損値を減じて得た値を、前記入力情報に基づく将来時点の予測値として、前記セキュリティ対策資材記憶部に記憶された前記リスク低減効果値の推移を更新し、前記入力情報によって影響を受ける前記セキュリティ対策資材の前記リスク低減効果値の下限値を読み出し、前記更新した前記リスク低減効果値の推移に基づき、前記入力情報によって影響を受ける前記セキュリティ対策資材の耐用年数以内に前記リスク低減効果値の下限値を下回る時が来ると判断する場合、そのセキュリティ対策資材の情報を出力するように機能させることを特徴とする。

本発明に係るリスク管理支援システム、リスク管理支援方法及びプログラムによれば、どのセキュリティ対策資材にセキュリティ対策を施せばよいのかを精度よく予測することができる。

本発明の一実施形態に係るリスク管理支援システムの構成例を示す図である。 本発明の一実施形態に係るリスク管理支援システムを構成するリスク要因ＤＢのデータ構成例を示す図である。 本発明の一実施形態に係るリスク管理支援システムを構成するセキュリティ対策資材ＤＢのデータ構成例を示す図である。 本発明の一実施形態に係るリスク管理支援システムを構成するセキュリティポリシＤＢのデータ構成例を示す図である。 本発明の一実施形態に係るリスク管理支援システムを構成するセキュリティ規格ＤＢのデータ構成例を示す図である。 本発明の一実施形態に係るリスク管理支援システムを構成する予算管理ＤＢのデータ構成例を示す図である。 本発明の一実施形態に係るリスク管理支援システムのリスク管理支援処理を示すフローチャートである。 本発明の一実施形態に係るリスク管理支援システムのセキュリティ対策を施すべき時点の予測例を示す図である。

以下、本発明に係る一実施形態について、図面を参照して説明する。

図１は、本発明の一実施形態に係るリスク管理支援システム１の構成例を示す図である。図１に示すように、本実施形態に係るリスク管理支援システム１は、主に、管理機器１０と、リスク要因データベース（ＤＢ）２０と、セキュリティ対策資材データベース（ＤＢ）３０と、セキュリティポリシデータベース（ＤＢ）４０と、セキュリティ規格データベース（ＤＢ）５０と、予算管理データベース（ＤＢ）６０とを備える。管理機器１０は、リスク要因ＤＢ２０、セキュリティ対策資材ＤＢ３０、セキュリティポリシＤＢ４０、セキュリティ規格ＤＢ５０及び予算管理ＤＢ６０と、例えばネットワーク等を介して接続されている。また、各データベースは、記憶部としての機能を有している。さらに、各データベースは、管理機器１０と一体の装置として構成されていてもよい。

管理機器１０は、入力部１１と、出力部１２と、記憶部１３と、処理部１４とを有するコンピュータ等で構成される。管理機器１０は、入力部１１を介して、例えば、リスク管理支援システム１の操作者やセキュリティ対策資材のメーカの担当者等による操作により、リスク低減効果を損ねる外部要因の情報や、外部状況の入力を受け付ける。また、管理機器１０は、後述する演算の結果、いつ、どこに、どの程度の予算でセキュリティ対策を施すべきか等の情報を、例えば画面表示により出力部１２から出力する。記憶部１３は、例えばメモリであって、管理機器１０によって実行される各種プログラムを記憶する。処理部１４は、例えばプロセッサであって、記憶部１３に記憶される各種プログラムを実行し、各種データベースの情報の読み込み、書き込みを行う。

リスク要因ＤＢ２０は、図２に示すように、「リスク低減効果を損ねる外部要因」をリスト化してデータとして記憶し、これらの外部要因それぞれについて、その外部要因に対してリスク低減効果を維持するのに必要な費用（以下、適宜「外部要因対応費用」と略記する）と、その外部要因によるリスク発生確率の予測値（以下、適宜「外部要因起因リスク発生確率」と略記する）と、その外部要因によりリスク低減効果を損ねる度合い（以下、適宜「外部要因起因効果毀損値」）と、その外部要因が影響を与えるＩＳＭＳ規格書に規定された管理策（以下、適宜「外部要因対応管理策」と略記する）とを対応付けてデータとして記憶する。ここで、外部要因起因リスク発生確率は、将来の所定の時点毎に、その外部要因によるリスクが発生する確率を対応付けた値である。また、外部要因起因効果毀損値は、図３に示すセキュリティ対策資材ＤＢ３０に記憶されたリスク低減効果値（リスク低減効果を定量化して示した値であり、値が大きいほどリスク低減効果が高いことを示す）が、その外部要因によりどれだけ毀損されるかを示す値である。また、外部要因対応管理策は、その外部要因が、図５に示すセキュリティ規格ＤＢ５０に記憶されたＩＳＭＳ規格書のどの項番に影響を与えるかを示す情報である。なお、外部要因それぞれについて、複数の外部要因対応管理策が対応付けられていてもよい。

なお、管理機器１０は、入力部１１を介して外部状況が入力されると、リスク要因ＤＢ２０に記憶された外部要因対応費用、外部要因起因リスク発生確率、又は外部要因起因効果毀損値の各値を、入力された外部状況に従って書き換えることができる。例えば、リスク低減用の部品が外国製で、かつ、外貨建てでしか購入できないという外部状況が入力されると、リスク要因ＤＢ２０に記憶された外部要因対応費用は、為替レートの変動により、日本円相当の金額を時々刻々と変化させることができる。また、例えば、Ｗｉｎｄｏｗｓ（登録商標）７の延長サポート中止日が発表された際にその中止日が入力されると、図２の項番６についての外部要因起因リスク発生確率を、中止日以降は１００％として書き換えることができる。これにより、外部状況に応じてリスク要因ＤＢ２０の情報を最新の状態に更新することができる。

セキュリティ対策資材ＤＢ３０は、図３に示すように、例えば、サーバルームに導入しているセキュリティ対策資材（型番Ｎ０００１）の情報と、サーバルームの業務要件書とをデータとして記憶する。セキュリティ対策資材の情報は、資材構成と、耐用年数と、リスク低減効果値の推移との各情報を含む。資材構成は、そのセキュリティ対策資材を構成する構成品目毎に、項番と、ＩＳＭＳ規格書のどの項番を満たしたものであるかを示す対応項番とが対応付けられたものである。なお、セキュリティ対策資材を構成する構成品目毎に、ＩＳＭＳ規格書の対応項番が複数対応付けられていてもよい。耐用年数は、そのセキュリティ対策資材の耐用年数であり、予め所定の年数が記憶される。リスク低減効果値の推移は、そのセキュリティ対策資材が設計された時から現在に至るまでの任意の時点毎に、リスク低減効果値の実績値が対応付けて記憶される。なお、リスク低減効果値は、対応するＩＳＭＳ規格書の項番の内容に基づいて算出されたものである。また、サーバルームの業務要件書は、その業務要件毎に、項番と、ＩＳＭＳ規格書のどの項番を満たしたものであるかを示す対応項番とを対応付けて記憶したものである。なお、セキュリティ対策資材ＤＢ３０は、型番Ｎ０００１以外のセキュリティ対策資材も記憶していてもよい。

セキュリティポリシＤＢ４０は、図４に示すように、所定の条件を満たしたときにどのような処理を実行するかを規定した情報を記憶し、例えば、「リスク低減効果値が“３”未満となったとき、セキュリティ対策資材にセキュリティ対策を施す」、「セキュリティ対策資材に投じる総コストが累計１億円を超えたとき、セキュリティ対策は施さずセキュリティ対策資材そのものを更新する」といった情報を記憶する。

セキュリティ規格ＤＢ５０は、図５に示すように、ＩＳＭＳに関する規格を、複数の項番について、各項番毎に、項目と、内容とを対応付けて記憶する。なお、図５にはＩＳＭＳに関する規格を示したが、セキュリティ規格ＤＢ５０は、ＩＳＭＳ以外のセキュリティ規格、例えば「金融機関等のコンピュータシステムの安全対策基準・解説書（公益財団法人 金融情報システムセンター）」を記憶してもよい。また、セキュリティ規格ＤＢ５０は、改定されたセキュリティ規格の情報が管理機器１０の入力部１１を介して入力されると、改定前のセキュリティ規格の情報を改定されたセキュリティ規格の情報に更新することができる。この場合、セキュリティ対策資材ＤＢ３０に記憶されたリスク低減効果値は、更新されたセキュリティ規格の情報に基づいて変更することができる。

予算管理ＤＢ６０は、図６に示すように、セキュリティ対策資材の型番情報毎に、投じることのできる総予算と、過去から現在に至る各時点における累積支出額とを対応付けて記憶する。また、予算管理ＤＢ６０は、過去から現在に至る各時点における累計支出額から推測される将来の任意の時点における累計支出額の推測値を記憶する。累計支出額の推測値は、任意の公知の近似手法を用いて得ることができる。

以下、図７を参照して、本発明の一実施形態に係るリスク管理支援システム１の動作について説明する。なお、本動作は２０１５年１月時点で実行されたものとして説明する。

まず、管理機器１０は、入力部１１を介して「リスク低減効果を損ねる外部要因の情報」を入力情報とする入力を受け付ける（ステップＳ１）。ここでは例として、「リスク低減効果を損ねる外部要因の情報」は、リスク管理支援システム１の利用者がセキュリティ対策資材のベンダから入手した「２０１７年３月に、構成部品の製造中止、かつ、後継機種なし」という情報であるとし、この情報をリスク管理支援システム１の利用者が入力部１１を介して管理機器１０に入力したとする。なお、利用者は、入力情報に対応する、リスク要因ＤＢ２０に記憶された外部要因起因リスク発生確率の値を見直したい場合には、見直した後の値に変更することができる。

管理機器１０は、入力情報が入力されると、リスク要因ＤＢ２０から入力情報に対応する「リスク低減効果を損ねる外部要因」を検索し、その「リスク低減効果を損ねる外部要因」に対応付けられた外部要因起因効果毀損値を読み出す（ステップＳ２）。ここでは、図２に示す項番３の「構成部品Ａの製造中止、かつ、後継機種なし」が検索され、外部要因起因効果毀損値として「２」が読み出される。

また、管理機器１０は、ステップＳ２で検索した「リスク低減効果を損ねる外部要因」に対応付けられた外部要因対応管理策に示される項番と同一の項番に対応付けられたセキュリティ対策資材を、入力情報によって影響を受けるセキュリティ対策資材として、セキュリティ対策資材ＤＢ３０から検索する（ステップＳ３）。ここでは、「サーバルームに導入しているセキュリティ対策資材（型番Ｎ０００１）」が検索される。なお、管理機器１０は、入力情報によって影響を受けるセキュリティ対策資材を構成する構成品目まで特定してもよい。

管理機器１０は、ステップＳ３で検索したセキュリティ対策資材の、耐用年数と、リスク低減効果値の推移とを読み出す（ステップＳ４）。ここでは、「サーバルームに導入しているセキュリティ対策資材（型番Ｎ０００１）」の耐用年数３０年及びリスク低減効果値の推移（２０１５年１月現在の値は「６」）が読み出される。

管理機器１０は、ステップＳ４で検索した現在のリスク低減効果値から、ステップＳ２で読み出した外部要因起因効果毀損値を減じて得た値を、入力情報に基づく将来時点の予測値として、セキュリティ対策資材ＤＢ３０のリスク低減効果値の推移の情報を更新する（ステップＳ５）。ここでは、図８に示すように、２０１５年１月現在のリスク低減効果値「６」から、外部要因起因効果毀損値「２」を減じて得た値「４」を２０１７年３月時点の予測値として、セキュリティ対策資材ＤＢ３０が更新される。

管理機器１０は、ステップＳ５で更新された情報を含むリスク低減効果値の推移曲線を作成する（ステップＳ６）。ここで、推移曲線としては、任意の公知の近似曲線を用いることができる。ここでは、図８に示すような曲線を外挿した例を示す。

管理機器１０は、リスク低減効果値の下限値をセキュリティポリシＤＢ４０から読み出す（ステップＳ７）。ここでは、セキュリティポリシＤＢ４０に記憶された「リスク低減効果値が“３”未満となったとき、セキュリティ対策資材にセキュリティ対策を施す」という情報から、リスク低減効果値の下限値「３」を読み出す。

管理機器１０は、ステップＳ６で作成した推移曲線に基づき、ステップＳ４で検索したセキュリティ対策資材の耐用年数以内に、ステップＳ７で検索したリスク低減効果値の下限値を下回る時が来るか否かを判定する（ステップＳ８）。下回る時が来ないと判定すると（ステップＳ８のＮｏ）、処理を終了する。一方、下回る時が来ると判定すると（ステップＳ８のＹｅｓ）、ステップＳ９に移行する。

管理機器１０は、ステップＳ６で作成したリスク低減効果値の推移曲線と、ステップＳ７で検索したリスク低減効果値の下限値に基づく直線との交点を求め、その交点に該当する時点を、セキュリティ対策を施すべき時点として算出する（ステップＳ９）。ここでは、図８に示すように、セキュリティ対策を施すべき時点として２０１８年２月を算出する。

管理機器１０は、ステップＳ３で検索したセキュリティ対策資材についての予算の情報を予算管理ＤＢ６０から検索し、ステップＳ９で算出した時点における予算の残額を、総予算からその時点における累計支出額の推測値を減ずることで算出する（ステップＳ１０）。

管理機器１０は、ステップＳ３で検索したセキュリティ対策資材のリストを、ステップＳ１で入力された「リスク低減効果を損ねる外部要因の情報」によって影響を受けるセキュリティ対策資材のリストとして作成し、各セキュリティ対策資材について、ステップＳ９で算出したセキュリティ対策を施すべき時点と、ステップＳ１０で算出した予算の残額とを対応付けて、出力部１２からアラームとして出力する（ステップＳ１１）。なお、ステップＳ３において、ステップＳ１での入力情報によって影響を受けるセキュリティ対策資材の構成品目まで特定していた場合には、どの構成品目にセキュリティ対策を施すべきかの情報も対応付けて出力する。出力するアラームは、例えば画面表示等により行うことができる。

なお、上記実施形態は、請求項を実現する一手段であり、請求項の範囲内で適宜変更しても同様の効果を期待できる。例えば、本実施形態では、リスク対策効果値の推移を「８（セキュリティ対策資材が設計された当時）から６に劣化」という形で絶対値を用いた形で説明しているが、導入当時の値で規格化し、例えば「１（セキュリティ対策資材が設計された当時）から０．７５に劣化」という相対値を用いた手法でも同様の効果を期待できる。

このように、本実施形態によれば、リスク管理支援システム１は、リスク低減効果を損ねる外部要因の情報である入力情報が入力されると、その入力情報に対応する外部要因起因効果毀損値と、その入力情報によって影響を受けるセキュリティ対策資材の耐用年数と現時点のリスク低減効果値とを読み出し、現時点のリスク低減効果値から外部要因起因効果毀損値を減じて得た値を将来時点の予測値としてリスク低減効果値の推移を更新し、更新したリスク低減効果値の推移に基づき、セキュリティ対策資材の耐用年数以内にリスク低減効果値の下限値を下回る時が来ると判断する場合、そのセキュリティ対策資材の情報を出力する。これにより、リスク低減効果を損ねる外部要因の情報を入手した場合、その情報を入力することで、どのセキュリティ対策資材にセキュリティ対策を施せばよいのかを精度よく予測することができる。

また、本実施形態によれば、リスク管理支援システム１は、更新したリスク低減効果値の推移から推移曲線を作成し、推移曲線と、リスク低減効果値の下限値に基づく直線との交点を求め、その交点に該当する時点を、セキュリティ対策を施すべき時点として算出して出力する。これにより、上記に加えて、どのタイミングでセキュリティ対策を施せばよいのかを精度よく予測することができる。

更に、本実施形態によれば、セキュリティ対策を施すべき時点における予算の残額を、総予算からその時点における累計支出額の推測値を減ずることで算出することができる。これにより、上記に加えて、どのくらい費用を掛けられるのかを精度よく予測することができる。

本発明を諸図面や実施形態に基づき説明してきたが、当業者であれば本開示に基づき種々の変形や修正を行うことが容易であることに注意されたい。従って、これらの変形や修正は本発明の範囲に含まれることに留意されたい。例えば、各構成部、各ステップなどに含まれる機能などは論理的に矛盾しないように再配置可能であり、複数の構成部やステップなどを１つに組み合わせたり、或いは分割したりすることが可能である。また、本発明についてリスク管理支援システム１を中心に説明してきたが、本発明は管理機器１０が備える処理部１４により実行される方法、プログラム、又はプログラムを記録した記憶媒体としても実現し得るものであり、本発明の範囲にはこれらも包含されるものと理解されたい。

１ リスク管理支援システム
１０ 管理機器
１１ 入力部
１２ 出力部
１３ 記憶部
１４ 処理部
２０ リスク要因ＤＢ
３０ セキュリティ対策資材ＤＢ
４０ セキュリティポリシＤＢ
５０ セキュリティ規格ＤＢ
６０ 予算管理ＤＢ

Claims (6)

1. 管理機器と、
   リスク低減効果を損ねる外部要因と、その外部要因によりリスク低減効果を損ねる度合いを示す外部要因起因効果毀損値と、その外部要因が影響を与える管理策を示す外部要因対応管理策とを対応付けて記憶するリスク要因記憶部と、
   セキュリティ対策資材と、耐用年数と、リスク低減効果値の推移と、外部要因対応管理策とを対応付けて記憶するセキュリティ対策資材記憶部と、
   リスク低減効果値の下限値を記憶するセキュリティポリシ記憶部と、を備え、
   前記管理機器は、
   リスク低減効果を損ねる外部要因の情報を入力情報として入力を受け付け、
   前記入力情報に対応する外部要因起因効果毀損値及び外部要因対応管理策を前記リスク要因記憶部から読み出し、
   前記入力情報によって影響を受けるセキュリティ対策資材を、前記リスク要因記憶部から読み出した前記外部要因対応管理策に基づいて、前記セキュリティ対策資材記憶部から検索し、
   前記検索された前記入力情報によって影響を受ける前記セキュリティ対策資材の、耐用年数と現時点のリスク低減効果値とを前記セキュリティ対策資材記憶部から読み出し、
   前記現時点のリスク低減効果値から前記外部要因起因効果毀損値を減じて得た値を、前記入力情報に基づく将来時点の予測値として、前記セキュリティ対策資材記憶部に記憶された前記リスク低減効果値の推移を更新し、
   前記入力情報によって影響を受ける前記セキュリティ対策資材の前記リスク低減効果値の下限値を読み出し、
   前記更新した前記リスク低減効果値の推移に基づき、前記入力情報によって影響を受ける前記セキュリティ対策資材の耐用年数以内に前記リスク低減効果値の下限値を下回る時が来ると判断する場合、そのセキュリティ対策資材の情報を出力する、
   リスク管理支援システム。
2. 前記管理機器は、
   前記更新した前記リスク低減効果値の推移に基づいて推移曲線を作成し、
   前記更新した前記リスク低減効果値の推移に基づき、前記入力情報によって影響を受ける前記セキュリティ対策資材の耐用年数以内に前記リスク低減効果値の下限値を下回る時が来ると判断する場合、前記推移曲線と前記下限値に基づく直線との交点に該当する時点を、セキュリティ対策を施すべき時点として算出し、そのセキュリティ対策資材の情報として出力する、
   請求項１に記載のリスク管理支援システム。
3. 前記セキュリティ対策資材と、投じることのできる総予算と、累計支出額と、将来の累計支出額の推測値とを対応付けて記憶する予算管理記憶部を更に備え、
   前記管理機器は、
   前記更新した前記リスク低減効果値の推移に基づき、前記入力情報によって影響を受ける前記セキュリティ対策資材の耐用年数以内に前記リスク低減効果値の下限値を下回る時が来ると判断する場合、前記セキュリティ対策を施すべき時点における予算の残額を、前記総予算からその時点における前記累計支出額の推測値を減ずることで算出し、そのセキュリティ対策資材の情報として出力する、
   請求項２に記載のリスク管理支援システム。
4. 前記管理機器は、
   外部状況の入力を受け付け、
   前記リスク要因記憶部に記憶された外部要因起因効果毀損値を、前記外部状況に従って書き換える、
   請求項１から３の何れか一項に記載のリスク管理支援システム。
5. 管理機器と、リスク低減効果を損ねる外部要因とその外部要因によりリスク低減効果を損ねる度合いを示す外部要因起因効果毀損値とその外部要因が影響を与える管理策を示す外部要因対応管理策とを対応付けて記憶するリスク要因記憶部と、セキュリティ対策資材と耐用年数とリスク低減効果値の推移と外部要因対応管理策とを対応付けて記憶するセキュリティ対策資材記憶部と、リスク低減効果値の下限値を記憶するセキュリティポリシ記憶部と、を備えるリスク管理支援システムにおけるリスク管理支援方法であって、
   前記管理機器は、
   リスク低減効果を損ねる外部要因の情報を入力情報として入力を受け付け、
   前記入力情報に対応する外部要因起因効果毀損値及び外部要因対応管理策を前記リスク要因記憶部から読み出し、
   前記入力情報によって影響を受けるセキュリティ対策資材を、前記リスク要因記憶部から読み出した前記外部要因対応管理策に基づいて、前記セキュリティ対策資材記憶部から検索し、
   前記検索された前記入力情報によって影響を受ける前記セキュリティ対策資材の、耐用年数と現時点のリスク低減効果値とを前記セキュリティ対策資材記憶部から読み出し、
   前記現時点のリスク低減効果値から前記外部要因起因効果毀損値を減じて得た値を、前記入力情報に基づく将来時点の予測値として、前記セキュリティ対策資材記憶部に記憶された前記リスク低減効果値の推移を更新し、
   前記入力情報によって影響を受ける前記セキュリティ対策資材の前記リスク低減効果値の下限値を読み出し、
   前記更新した前記リスク低減効果値の推移に基づき、前記入力情報によって影響を受ける前記セキュリティ対策資材の耐用年数以内に前記リスク低減効果値の下限値を下回る時が来ると判断する場合、そのセキュリティ対策資材の情報を出力する、
   リスク管理支援方法。
6. 管理機器と、リスク低減効果を損ねる外部要因とその外部要因によりリスク低減効果を損ねる度合いを示す外部要因起因効果毀損値とその外部要因が影響を与える管理策を示す外部要因対応管理策とを対応付けて記憶するリスク要因記憶部と、セキュリティ対策資材と耐用年数とリスク低減効果値の推移と外部要因対応管理策とを対応付けて記憶するセキュリティ対策資材記憶部と、リスク低減効果値の下限値を記憶するセキュリティポリシ記憶部と、を備えるリスク管理支援システムの前記管理機器が、
   リスク低減効果を損ねる外部要因の情報を入力情報として入力を受け付け、
   前記入力情報に対応する外部要因起因効果毀損値及び外部要因対応管理策を前記リスク要因記憶部から読み出し、
   前記入力情報によって影響を受けるセキュリティ対策資材を、前記リスク要因記憶部から読み出した前記外部要因対応管理策に基づいて、前記セキュリティ対策資材記憶部から検索し、
   前記検索された前記入力情報によって影響を受ける前記セキュリティ対策資材の、耐用年数と現時点のリスク低減効果値とを前記セキュリティ対策資材記憶部から読み出し、
   前記現時点のリスク低減効果値から前記外部要因起因効果毀損値を減じて得た値を、前記入力情報に基づく将来時点の予測値として、前記セキュリティ対策資材記憶部に記憶された前記リスク低減効果値の推移を更新し、
   前記入力情報によって影響を受ける前記セキュリティ対策資材の前記リスク低減効果値の下限値を読み出し、
   前記更新した前記リスク低減効果値の推移に基づき、前記入力情報によって影響を受ける前記セキュリティ対策資材の耐用年数以内に前記リスク低減効果値の下限値を下回る時が来ると判断する場合、そのセキュリティ対策資材の情報を出力する、
   ように機能させるプログラム。

Images