JP6967721B2 - リスク分析装置及びリスク分析方法 - Google Patents

Description

本開示は、リスク分析装置及びリスク分析方法に関する。

近年、製造設備などの産業機器の制御システムに対する不正な攻撃によって、製造設備が停止することが発生している。また、製造物に対して不正なプログラムが製造時に導入されるのを防止するためにも、産業機器の制御システムには高いセキュリティが求められる。これに対して、例えば特許文献１では、制御システムのセキュリティ対策を支援するセキュリティ対策立案支援システムが開示されている。

特開２０１８−７７５９７号公報

「制御システムのセキュリティリスク分析ガイド」、ＩＰＡ 独立行政法人 情報処理推進機構、２０１７年１０月２日

しかしながら、上記従来のセキュリティ対策立案支援システムを利用して、制御システムのセキュリティ対策を行おうとした場合、脅威項目の各々に対する攻撃経路が膨大になる。制御システムを構成する資産間の接続関係は通常、複雑であるので、全ての攻撃経路を網羅することが難しい。したがって、従来のセキュリティ対策立案支援システムでは、十分なセキュリティ対策を支援することができないという問題がある。

そこで、本開示は、守備対象のセキュリティを高めるのに十分な対策を支援することができるリスク分析装置及びリスク分析方法を提供する。

上記課題を解決するため、本開示の一態様に係るリスク分析装置は、互いに接続されたＮ個（Ｎは２以上の自然数）の要素を含むシステムのリスクを分析するリスク分析装置であって、前記Ｎ個の要素の各々のセキュリティ上の脅威に対する安全度と、前記Ｎ個の要素の接続関係と、前記システムへの入口になる要素である侵入口と、前記システムにおいて守るべき要素である守備対象とを入力として受け付ける入力部と、前記侵入口から前記守備対象に至る１つ以上の経路の中から、前記侵入口から前記守備対象に至るまでに経由する要素の安全度の総和が第１閾値より低い経路である対象経路を、前記Ｎ個の要素の各々の安全度と前記接続関係とに基づいて特定する特定部と、前記対象経路に関する経路情報を出力する出力部とを備える。

また、本開示の一態様に係るリスク分析方法は、互いに接続されたＮ個（Ｎは２以上の自然数）の要素を含むシステムのリスクを分析するリスク分析方法であって、前記Ｎ個の要素の各々のセキュリティ上の脅威に対する安全度と、前記Ｎ個の要素の接続関係と、前記システムへの入口になる要素である侵入口と、前記システムにおいて守るべき要素である守備対象とを入力として受け付け、前記侵入口から前記守備対象に至る１つ以上の経路の中から、前記侵入口から前記守備対象に至るまでに経由する要素の安全度の総和が閾値より低い経路である対象経路を、前記Ｎ個の要素の各々の安全度と前記接続関係とに基づいて特定し、前記対象経路に関する経路情報を出力する。

また、本開示の一態様は、上記リスク分析方法をコンピュータに実行させるプログラムとして実現することができる。あるいは、当該プログラムを格納したコンピュータ読み取り可能な記録媒体として実現することもできる。

本開示によれば、守備対象のセキュリティを高めるのに十分な対策を支援することができる。

図１は、実施の形態１に係るリスク分析装置によるリスク分析の対象となる制御システムの一例を示す図である。 図２は、実施の形態１に係るリスク分析装置の構成を示すブロック図である。 図３は、実施の形態１に係るリスク分析装置の動作を示すフローチャートである。 図４は、実施の形態１に係るリスク分析装置に対する入力情報に基づいて作成した、リスク分析の対象となるシステムの無向グラフを説明するための図である。 図５は、実施の形態１に係るリスク分析装置において、無向グラフを有向グラフに変換する処理を説明するための図である。 図６は、図４に示されるシステムにおいて特定された対象経路を示す図である。 図７は、図６に示される対象経路の和集合を示す図である。 図８は、実施の形態１の変形例に係るリスク分析装置の動作を示すフローチャートである。 図９は、実施の形態２に係るリスク分析装置の動作を示すフローチャートである。 図１０は、実施の形態２に係るリスク分析装置に対する入力情報に基づいて作成した、リスク分析の対象となるシステムの無向グラフを説明するための図である。 図１１は、図１０に示されるシステムにおいて、要素の除外処理を行わない場合の対象経路の和集合を示す図である。 図１２は、図１０に示されるシステムにおいて、要素の除外処理を行った場合の対象経路の和集合を示す図である。 図１３は、実施の形態２の変形例に係るリスク分析装置の動作を示すフローチャートである。 図１４は、実施の形態３に係るリスク分析装置によるリスク分析の対象となるシステムの一例を示す図である。 図１５は、実施の形態４に係るリスク分析装置によるリスク分析の対象となるシステムの一例を示す図である。

（本開示の概要）
本開示の一態様に係るリスク分析装置は、互いに接続されたＮ個（Ｎは２以上の自然数）の要素を含むシステムのリスクを分析するリスク分析装置であって、前記Ｎ個の要素の各々のセキュリティ上の脅威に対する安全度と、前記Ｎ個の要素の接続関係と、前記システムへの入口になる要素である侵入口と、前記システムにおいて守るべき要素である守備対象とを入力として受け付ける入力部と、前記侵入口から前記守備対象に至る１つ以上の経路の中から、前記侵入口から前記守備対象に至るまでに経由する要素の安全度の総和が第１閾値より低い経路である対象経路を、前記Ｎ個の要素の各々の安全度と前記接続関係とに基づいて特定する特定部と、前記対象経路に関する経路情報を出力する出力部とを備える。

これにより、セキュリティ上の脅威に対する対策を取るべき対象経路が容易に特定される。したがって、本態様によれば、守備対象のセキュリティを高めるのに十分な対策を支援することができる。

また、例えば、本開示の一態様に係るリスク分析装置では、前記特定部は、最短経路法を用いて前記対象経路を特定してもよい。

これにより、最短経路法を用いることで、少ない演算量で対象経路を特定することができる。したがって、本態様によれば、守備対象のセキュリティを高めるのに十分な対策を少ない演算量で支援することができる。

また、例えば、本開示の一態様に係るリスク分析装置では、前記特定部は、さらに、前記Ｎ個の要素の中から安全度が第２閾値以上であるＭ個（Ｍは自然数）の要素を除外し、除外されなかったＮ−Ｍ個の要素に基づいて、前記対象経路を特定してもよい。

これにより、安全度が高いＭ個の要素を予め除外しておくことで、対象経路の特定に要する演算量を更に削減することができる。

また、例えば、本開示の一態様に係るリスク分析装置では、前記システムは、制御システムであり、前記Ｎ個の要素は、前記制御システムを構成するＮ個の資産であってもよい。

これにより、資産の数が多く、かつ、接続関係が複雑な制御システムに対するリスク分析が実行可能になる。また、工場に導入される制御システムでは、ＯＳ（Operation System）のサポートが切れた機器、又は、そもそも安全度を高めるための処理を行うことができない機器などが含まれる場合がある。つまり、制御システムに含まれる全ての資産に対してセキュリティ対策が常に行うことができるとは限らない。また、制御システムに求められる可用性の観点から、制御コマンドの送受信の制限などのセキュリティ対策を行うべきでない資産も存在する。

このような場合であっても、本態様によれば、侵入口から守備対象に至る経路のうち、セキュリティ上の脅威に対する対策を取るべき対象経路が特定されるので、特定された対象経路を遮断するように、対象経路上に位置する要素のうち、セキュリティ対策を行うことができる要素を選択することができる。したがって、制御システムに対して守備対象のセキュリティを高めるのに十分な対策を支援することができる。

また、例えば、本開示の一態様に係るリスク分析装置では、前記システムは、制御システムであり、前記Ｎ個の要素は、前記制御システムを構成する複数の資産の各々の攻撃手順に含まれる複数の攻撃工程であってもよい。

これにより、資産間の接続関係だけでなく、資産の内部における攻撃手順も含めたリスク分析が実行可能になる。このため、対象経路がより具体化されるので、守備対象のセキュリティを高めるのに十分な対策を効果的に支援することができる。

また、例えば、本開示の一態様に係るリスク分析装置では、前記システムは、制御システムを構成する資産に対する攻撃手順であり、前記Ｎ個の要素は、前記攻撃手順に含まれるＮ個の攻撃工程であってもよい。

これにより、資産の内部における攻撃手順に基づいたリスク分析が実行可能になるので、資産に対して、守備対象のセキュリティを高めるのに十分な対策を支援することができる。

また、例えば、本開示の一態様に係るリスク分析装置では、前記入力部は、複数の前記侵入口及び複数の前記守備対象を入力として受け付け、前記特定部は、前記侵入口と前記守備対象との組み合わせ毎に、前記対象経路を特定してもよい。

これにより、システムに侵入口及び守備対象が複数含まれる場合であっても、守備対象のセキュリティを高めるのに十分な対策を支援することができる。

また、例えば、本開示の一態様に係るリスク分析装置では、前記出力部は、前記特定部によって複数の前記対象経路が特定された場合に、複数の前記対象経路の和集合を示す情報を、前記経路情報として出力してもよい。

これにより、経路情報が複数の対象経路の和集合で示されるので、複数の対象経路の個々でセキュリティ対策を実施すべき要素を決定する場合よりも、セキュリティ対策を実施すべき要素の選択を容易に行うことができる。

また、本開示の一態様に係るリスク分析方法は、互いに接続されたＮ個（Ｎは２以上の自然数）の要素を含むシステムのリスクを分析するリスク分析方法であって、前記Ｎ個の要素の各々のセキュリティ上の脅威に対する安全度と、前記Ｎ個の要素の接続関係と、前記システムへの入口になる要素である侵入口と、前記システムにおいて守るべき要素である守備対象とを入力として受け付け、前記侵入口から前記守備対象に至る１つ以上の経路の中から、前記侵入口から前記守備対象に至るまでに経由する要素の安全度の総和が閾値より低い経路である対象経路を、前記Ｎ個の要素の各々の安全度と前記接続関係とに基づいて特定し、前記対象経路に関する経路情報を出力する。

これにより、セキュリティ上の脅威に対する対策を取るべき対象経路が容易に特定される。したがって、本態様によれば、守備対象のセキュリティを高めるのに十分な対策を支援することができる。

また、例えば、本開示の一態様に係るリスク分析プログラムは、上記リスク分析方法をコンピュータに実行させるためのプログラムである。

以下では、実施の形態について、図面を参照しながら具体的に説明する。

なお、以下で説明する実施の形態は、いずれも包括的又は具体的な例を示すものである。以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置位置及び接続形態、ステップ、ステップの順序などは、一例であり、本開示を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、独立請求項に記載されていない構成要素については、任意の構成要素として説明される。

また、各図は、模式図であり、必ずしも厳密に図示されたものではない。したがって、例えば、各図において縮尺などは必ずしも一致しない。また、各図において、実質的に同一の構成については同一の符号を付しており、重複する説明は省略又は簡略化する。

（実施の形態１）
［リスク分析の対象となるシステムの概要］
まず、実施の形態１に係るリスク分析装置によるリスク分析の対象となるシステムの一例である制御システムの概要について、図１を用いて説明する。図１は、本実施の形態に係る制御システム１０の一例を示す図である。

制御システム１０は、図１に示されるように、互いに接続されたＮ個の要素２０を含んでいる。ここで、Ｎは、２以上の自然数である。図１では、Ｎ個の要素２０を、網掛けの付された丸印で表している。Ｎ個の要素２０の各々は、少なくとも１つの他の要素２０に接続されている。

本実施の形態では、要素２０は、制御システム１０の資産である。資産は、例えば、通信機器、制御機器、製造設備、情報処理装置、センサ、駆動装置、記憶装置などの装置である。資産は、互いに通信可能に接続されている。資産は、接続された他の資産との間で、一方向又は双方向通信が可能であり、情報又は信号を送信又は受信する。

制御システム１０は、例えば、産業機器を制御するシステムである。制御システム１０は、例えば、電子機器などの製造物を製造する工場に導入されるシステムである。図１に示されるように、制御システム１０は、インターネット３０に接続されている。Ｎ個の要素２０には、ＩＴ（Information Technology）機器、ＯＴ（Operational Technology）機器、及び、ＩＴ／ＯＴ機器が資産の一例として含まれる。

ＩＴ機器は、例えばインターネット３０に接続可能な通信機能を有する。なお、制御システム１０が備えるＩＴ機器には、インターネット３０に接続されていないＩＴ機器が含まれてもよい。ＯＴ機器は、物理的な状態に基づいた制御を行う機器である。例えば、ＯＴ機器は、温度又は圧力などを検知し、検知結果に基づいてバルブ又はモータなどの制御を行う。ＩＴ／ＯＴ機器は、ＩＴ機器及びＯＴ機器の両方の機能を有する機器である。

図１に示されるように、一般的な工場に導入される制御システム１０では、ＩＴ機器、ＯＴ機器及びＩＴ／ＯＴ機器の接続が整理されておらず、各機器が複雑に接続されている。また、既存の機器の除去、及び、新たな機器の追加などによって接続関係が変更されることも起こる。一般的な制御システム１０では、可用性が重視されるために、機器の接続関係を整理することが困難な場合が多い。したがって、セキュリティの対策を行うべき機器の特定が難しい。

また、機器の数及び接続関係が増加するにつれて、侵入口となる機器から、攻撃目標となる機器までの経路が爆発的に増加する。このため、全ての機器及び経路に対する対策の要否を判定することは困難である。

以下では、図１に示されるような制御システム１０に対して、少ない演算量で守備対象のセキュリティを高めるのに十分な対策を支援することができるリスク分析装置及びリスク分析方法について説明する。

［リスク分析装置］
図２は、本実施の形態に係るリスク分析装置１００の構成を示すブロック図である。リスク分析装置１００は、互いに接続されたＮ個の要素を含むシステム（例えば、図１に示される制御システム１０）のリスクを分析する。本実施の形態では、リスク分析装置１００は、Ｎ個の資産を有するシステムにおいて、所定の資産に対する攻撃経路になりうる経路を特定する。リスク分析装置１００は、例えばコンピュータ機器である。

図２に示されるように、リスク分析装置１００は、入力部１１０と、特定部１２０と、出力部１３０とを備える。

入力部１１０は、経路の特定に用いる情報を入力として受け付ける。具体的には、図２に示されるように、入力部１１０は、Ｎ個の要素の各々のセキュリティ上の脅威に対する安全度と、Ｎ個の要素の接続関係と、システムへの入口になる要素である侵入口と、システムにおいて守るべき要素である守備対象とを入力として受け付ける。本実施の形態では、Ｎは、システムを構成する要素の全数である。Ｎ個の要素は、制御システムを構成するＮ個の資産である。

安全度は、資産ベースのリスク分析に基づいて資産毎に決定される値である。例えば、安全度は、ＤＲＥＡＤモデルに基づいて決定される。安全度は、数値が高い程、セキュリティ上の脅威に対する安全性が高いことを意味する。資産ベースのリスク分析は、例えば、非特許文献１に開示された手法によって行われる。

接続関係は、互いに通信可能に接続された２つの資産のペアの全てを示す情報である。接続関係には、さらに、接続方向が含まれてもよい。例えば、資産Ａと資産Ｂとが接続されている場合において、資産Ａから資産Ｂへの情報の送信が可能であるが、資産Ｂから資産Ａへの情報の送信が不可能であるとき、資産Ａと資産Ｂとの接続関係には、資産Ａから資産Ｂへの接続方向を含んでもよい。

侵入口は、外部からの侵入が可能な資産である。侵入口は、例えば、インターネット３０に接続された資産である。あるいは、侵入口は、ＵＳＢ（Universal Serial Bus）メモリなどのメモリデバイス又は他の機器を接続可能なインタフェースを有する資産であってもよい。

守備対象は、事業被害ベースのリスク分析に基づいて決定される資産である。具体的には、守備対象は、攻撃を受けた場合に事業被害が一定の基準よりも大きくなる資産である。事業被害ベースのリスク分析は、例えば、非特許文献１に開示された手法によって行われる。

このように、安全度、接続関係、侵入口及び守備対象はいずれも、予め定められた手法に基づいて客観的に決定される。したがって、人為的な評価が介在しないため、評価者の技能に基づく評価のばらつきが生じない。よって、守備対象のセキュリティを高めるのに十分な対策を安定して支援することができる。

なお、入力部１１０は、複数の侵入口、又は、複数の守備対象を入力として受け付けてもよい。入力部１１０が複数の侵入口及び複数の守備対象を入力として受け付けた場合の処理については、実施の形態１の変形例として後で説明する。

本実施の形態では、入力部１１０は、さらに、第１閾値を取得する。第１閾値は、侵入口から守備対象に至るまでに経由する資産の安全度の総和との比較に用いられる値である。第１閾値は、侵入口から守備対象に至る経路が満たすべき安全基準である。安全度の総和が第１閾値以上である場合、当該経路は安全であり、守備対象である資産のセキュリティが十分に高い、すなわち、セキュリティ上の脅威に対する対策が不要であると判断できる。安全度の総和が第１閾値より低い場合、当該経路は安全とは言えず、守備対象である資産のセキュリティが低い、すなわち、経路に対してセキュリティ上の脅威に対する対策を行うべきであると判断できる。

入力部１１０は、入力として受け付けることで取得した入力情報を記憶部（図示せず）に記憶する。当該記憶部は、リスク分析装置１００に備えられてもよく、リスク分析装置１００と通信可能な外部の記憶装置であってもよい。

入力部１１０は、キーボード、マウス及びタッチパネルなどの少なくとも１つの入力装置である。あるいは、入力部１１０は、記憶装置などに接続された通信インタフェースであってもよい。

特定部１２０は、侵入口から守備対象に至る１つ以上の経路の中から、侵入口から守備対象に至るまでに経由する要素の安全度の総和が第１閾値より低い経路である対象経路を、Ｎ個の要素の各々の安全度と接続関係とに基づいて特定する。対象経路は、上述したように、セキュリティ上の脅威に対する対策を行うべき経路である。言い換えると、対象経路は、守備対象への攻撃経路である。

本実施の形態では、特定部１２０は、最短経路法を用いて対象経路を特定する。具体的には、特定部１２０は、ダイクストラ法、ベルマンフォード法、又は、ワーシャルフロイド法を最短経路法として用いる。例えば、特定部１２０は、各資産を頂点（ノード）とするグラフにおいて、侵入口を始点とし、守備対象を終点としてｋ番目に短い経路（すなわちｋ最短経路）を導出する。ｋ最短経路を導出する具体的なアルゴリズムとしては、優先度付きキューを用いたダイクストラ法、又は、Ｅｐｐｓｔｅｉｎ、Ｙｅｎ若しくはＨｅｒｓｈｂｅｒｇｅｒのアルゴリズムを用いることができる。なお、これらの手法は一例に過ぎず、特定部１２０が対象経路を特定する手段は、これらに限定されない。

特定部１２０は、プログラムが格納された不揮発性メモリ、プログラムを実行するための一時的な記憶領域である揮発性メモリ、入出力ポート、及び、プログラムを実行するプロセッサなどで実現される。特定部１２０が有する各機能は、プロセッサで実行されるソフトウェアで実現されてもよく、１つ以上の電子部品を含む電気回路などのハードウェアで実現されてもよい。

出力部１３０は、特定部１２０によって特定された対象経路に関する経路情報を出力する。本実施の形態では、出力部１３０は、特定部１２０によって複数の対象経路が特定された場合に、複数の対象経路の和集合を示す情報を、経路情報として出力する。

出力部１３０は、ディスプレイ、プリンタなどの少なくとも１つの出力装置である。あるいは、出力部１３０は、リスク分析装置１００と通信可能な外部機器に対する通信インタフェースであってもよい。

［動作（リスク分析方法）］
続いて、本実施の形態に係るリスク分析装置１００の動作、すなわち、リスク分析方法について、図３を用いて説明する。図３は、本実施の形態に係るリスク分析装置１００の動作を示すフローチャートである。

図３に示されるように、まず、入力部１１０は、対象経路の特定に必要な入力情報を取得する（Ｓ１０）。具体的には、入力部１１０は、システムを構成する要素の一覧を取得する（Ｓ１１）。要素の一覧は、システムに含まれる全ての資産を特定する情報の一覧である。次に、入力部１１０は、要素毎の安全度を取得し（Ｓ１２）、続いて、要素間の接続関係を取得する（Ｓ１３）。さらに、入力部１１０は、侵入口を取得し（Ｓ１４）、続いて守備対象を取得する（Ｓ１５）。さらに、入力部１１０は、安全度の総和の閾値を取得する（Ｓ１６）。

なお、入力部１１０が取得する各情報の取得順序は、特に限定されない。例えば、入力部１１０は、要素毎に、安全度、接続された要素、侵入口か否かを示すフラグ、及び、守備対象か否かを示すフラグが対応付けられた対応表を取得してもよい。入力部１１０は、対応表を取得することで、要素一覧、安全度、接続関係、侵入口及び守備対象を同時に取得することができる。

続いて、特定部１２０は、入力部１１０によって取得された情報に基づいて、最短経路法を用いて対象経路を特定する（Ｓ２０）。ステップＳ２０で示される処理は、侵入口及び守備対象の両方が１つのみの場合に行われる対象経路の特定処理である。

具体的にはまず、特定部１２０は、ｋ＝１を設定する（Ｓ２１）。特定部１２０は、最短経路法を用いて、侵入口から守備対象に至る経路のうちｋ番目に短い経路を導出し（Ｓ２２）、導出した経路の安全度の総和を算出する（Ｓ２３）。

具体的には、特定部１２０は、入力部１１０が取得した入力情報に基づいて、Ｎ個の資産の各々を頂点とし、かつ、資産の安全度を頂点の重みとする無向グラフを作成する。無向グラフにおける頂点間の辺は、Ｎ個の資産の接続関係に基づいて決定される。例えば、特定部１２０は、図４に示されるような無向グラフを作成する。図４に示される制御システム１１は、互いに接続された９つの資産Ａ〜資産Ｉから構成された制御システムである。資産Ａが侵入口である。資産Ｉが守備対象である。

ここで、図４は、本実施の形態に係るリスク分析装置１００に対する入力情報に基づいて作成した、リスク分析の対象となる制御システム１１の無向グラフを説明するための図である。図４では、制御システム１１を構成する資産（頂点）を白い丸印で表している。白い丸印の中に記載された数値は、資産の安全度である。安全度は、無向グラフの頂点の重みである。２つの資産（丸印）を結ぶ線分（辺）は、２つの資産が通信可能に接続されていることを表している。資産に向かう白抜き矢印は、当該資産が侵入口であることを表している。資産から延びる白抜き矢印は、当該資産が守備対象であることを表している。これらは、後述する図６、図７、図１０〜図１２についても同様である。

次に、特定部１２０は、作成した無向グラフを有向グラフに変換した後、有向辺に重みを付与する。ここで、図５は、本実施の形態に係るリスク分析装置１００における無向グラフを有向グラフに変換する処理を説明するための図である。例えば、特定部１２０は、図５の（ａ）に示される頂点に重みがある無向グラフを、図５の（ｂ）に示される辺に重みがある有向グラフに変換する。

具体的には、まず特定部１２０は、２つの資産間を接続する辺を、双方向に延びる有向辺に変換する。次に、特定部１２０は、資産に入力される有向辺の重み、つまり、資産に先端が接続された矢印で表される有向辺の重みに、当該資産の重み（すなわち、安全度）を付与する。

特定部１２０は、有向グラフに基づいて最短経路法を用いて、侵入口から守備対象に至る全ての経路の中から、経路上に位置する全ての資産の安全度の総和がｋ番目に小さくなる経路を導出する。ここでは、ｋ＝１であるので、特定部１２０は、侵入口から守備対象に至る全ての経路の中から、最も安全度の総和が小さくなる経路を対象経路として特定する。

図６は、図４に示される制御システム１１において特定された対象経路を示す図である。図６では、特定された対象経路は二重線で表されている。ここでは、安全度の総和との比較に用いられる第１閾値が７の場合を示している。

図６の（ａ）に示されるように、資産Ａ、資産Ｂ、資産Ｅ、資産Ｆ、資産Ｉの順で示される経路４０の安全度の総和は、５である。経路４０は、制御システム１１の中で最も安全度の総和が小さくなる経路である。図６に示される制御システム１１において安全度の総和が５になる経路は、経路４０のみである。

安全度の総和が算出された後、図３に示されるように、特定部１２０は、安全度の総和と第１閾値とを比較する（Ｓ２４）。具体的には、安全度の総和が第１閾値より低い場合（Ｓ２４でＮｏ）、特定部１２０は、導出された経路、すなわち、安全度の総和が第１閾値より低い経路を対象経路として特定する（Ｓ２５）。そして、特定部１２０は、ｋの値を１つ増加させ（Ｓ２６）、最短経路の導出、安全度の総和の算出、第１閾値との比較を順に行う（Ｓ２２〜Ｓ２４）。安全度の総和が第１閾値以上になるまで、ｋの値を１ずつ増加させてステップＳ２２〜ステップＳ２４を繰り返し行う。これにより、侵入口から守備対象に至る全ての経路の中から、安全度の総和が第１閾値より低い経路の全てを対象経路として特定することができる。

例えば、図６の（ａ）に示される経路４０の安全度の総和は５であり、第１閾値である７より低い。このため、特定部１２０は、ｋの値を２に設定し、侵入口から守備対象に至る全ての経路の中から、２番目に短い経路、すなわち、２番目に安全度の総和が小さくなる経路を対象経路として特定する。これにより、図６の（ｂ）に示されるように、資産Ａ、資産Ｂ、資産Ｃ、資産Ｆ、資産Ｉの順で示される経路４１の安全度の総和が６であるので、経路４１が対象経路として特定される。

特定部１２０は、安全度の総和が第１閾値以上になった場合（Ｓ２４でＹｅｓ）、出力部１３０は、安全度の総和が第１閾値より低い経路、すなわち、特定された対象経路の和集合を出力する（Ｓ３０）。

図７は、図６に示される対象経路の和集合を示す図である。本実施の形態では、出力部１３０は、図７に示される和集合を示す経路情報を出力する。図７に示されるように、経路情報が対象経路の和集合で示されるので、資産Ｃ及び資産Ｅのいずれか一方のみの安全度を高めたとしても、他の経路が存在するため、守備対象である資産Ｉに対するセキュリティ対策が十分ではないことが容易に分かる。

なお、出力部１３０が経路情報を出力する形態は、特に限定されない。例えば、出力部１３０は、図７に示されるグラフをディスプレイに表示してもよい。あるいは、出力部１３０は、対象経路の和集合上に位置する資産を特定する情報をテキストで示してもよい。資産を特定する情報は、例えば資産の名称及び設置位置などである。

以上のように、本実施の形態に係るリスク分析装置１００では、最短経路法を用いるので、安全度の総和の低い経路を漏れなく対象経路として特定することができる。また、安全度の総和が高い経路の特定を行わなくてよいので、対象経路の特定に要する演算量を少なくすることができる。特定された対象経路に関する経路情報が出力されるので、対象経路上の資産に対して安全度を高める対策を行えばよいことが分かるので、セキュリティ対策を容易に行うことができる。このように、本実施の形態によれば、守備対象のセキュリティを高めるのに十分な対策を支援することができる。

［変形例］
以下では、実施の形態１の変形例について説明する。具体的には、入力部１１０が複数の侵入口及び複数の守備対象を入力として受け付けた場合について説明する。

図８は、本変形例に係るリスク分析装置１００の動作を示すフローチャートである。図８に示されるように、まず、入力部１１０が入力情報を取得する（Ｓ１０）。具体的には、入力部１１０は、資産の一覧、安全度、接続関係、侵入口、守備対象及び第１閾値を取得する（図３に示されるＳ１１〜Ｓ１６）。このとき、本変形例では、ステップＳ１４及びステップＳ１５において、入力部１１０は、複数の侵入口及び複数の守備対象を取得する点が、実施の形態１とは相違している。

次に、特定部１２０は、入力部１１０によって取得された情報に基づいて、最短経路法を用いて対象経路を特定する（Ｓ４０）。ステップＳ４０で示される処理は、侵入口及び守備対象の少なくとも一方が複数である場合に行われる対象経路の特定処理である。特定部１２０は、侵入口と守備対象との組み合わせ毎に対象経路を特定する。

具体的にはまず、特定部１２０は、複数の守備対象の１つを選択する（Ｓ４１）。さらに、特定部１２０は、複数の侵入口の１つを選択する（Ｓ４２）。守備対象の選択と侵入口の選択とは、いずれが先に行われてもよい。守備対象及び侵入口は、未選択の守備対象及び侵入口の中から選択される。

特定部１２０は、選択した１つの守備対象と１つの侵入口とに基づいて、実施の形態１と同様に、対象経路の特定を行う（Ｓ２０）。具体的には、特定部１２０は、図３に示されるステップＳ２１〜ステップＳ２６までの処理を行う。

次に、入力された全ての侵入口に対する対象経路の特定処理が完了するまで（Ｓ４３でＮｏ）、特定部１２０は、未選択の侵入口の選択と対象経路の特定とを繰り返し行う（Ｓ４２、Ｓ２０）。入力された全ての侵入口に対する対象経路の特定処理が完了した場合（Ｓ４３でＹｅｓ）、入力された全ての守備対象に対する対象経路の特定処理が完了するまで（Ｓ４４でＮｏ）、特定部１２０は、未選択の守備対象の選択と、未選択の侵入口の選択と、対象経路の特定とを繰り返し行う（Ｓ４１〜Ｓ４３）。

全ての守備対象に対する対象経路の特定処理が完了した場合（Ｓ４４でＹｅｓ）、出力部１３０は、特定された対象経路の和集合を示す経路情報を出力する（Ｓ３０）。

このように、本変形例では、特定部１２０は、複数の侵入口及び複数の守備対象が入力された場合に、侵入口と守備対象との組み合わせ毎に対象経路を特定する。これにより、侵入口と守備対象との数によらず、対象経路が特定されるので、守備対象のセキュリティを高めるのに十分な対策を支援することができる。

なお、本変形例では、侵入口及び守備対象の両方を複数取得する例について示したが、いずれか一方のみを複数取得してもよい。例えば、複数の侵入口と１つのみの守備対象とを取得した場合、特定部１２０は、守備対象の選択処理（Ｓ４１）及び完了の判定処理（Ｓ４４）を行わなくてよい。１つのみの侵入口と複数の守備対象とを取得した場合、特定部１２０は、侵入口の選択処理（Ｓ４２）及び完了の判定処理（Ｓ４３）を行わなくてもよい。

（実施の形態２）
続いて、実施の形態２について説明する。

実施の形態１では、入力された全ての要素を頂点とするグラフに基づいて最短経路を導出する例を説明した。これに対して、実施の形態２では、入力された全ての要素のうち、安全度が十分に高い要素を除外する。以下では、実施の形態１との相違点を中心に説明し、共通点の説明を省略又は簡略化する。

本実施の形態に係るリスク分析装置の構成は、実施の形態１に係るリスク分析装置１００と同じである。以下の説明は、図２に示されるリスク分析装置１００に基づいて説明する。

図９は、本実施の形態に係るリスク分析装置１００の動作を示すフローチャートである。図９に示されるように、まず、入力部１１０が入力情報を取得する（Ｓ１０）。具体的には、入力部１１０は、資産の一覧、安全度、接続関係、侵入口、守備対象及び第１閾値を取得する（図３に示されるＳ１１〜Ｓ１６）。

次に、特定部１２０は、安全度が十分に高い要素を除外する（Ｓ５０）。具体的には、特定部１２０は、Ｎ個の要素の中から安全度が第２閾値以上であるＭ個の要素を除外する。ここで、Ｍは、自然数である。第２閾値は、資産の安全度との比較に用いられる値であり、資産が満たすべき安全基準である。第２閾値は予め定められた値であるが、入力部１１０によって取得された値であってもよい。

次に、特定部１２０は、実施の形態１と同様に、除外されなかったＮ−Ｍ個の要素に基づいて、最短経路法を用いて対象経路の特定を行う（Ｓ２０）。具体的には、特定部１２０は、図３に示されるステップＳ２１〜ステップＳ２６までの処理を行う。対象経路が特定された後、出力部１３０は、対象経路の和集合を示す経路情報を出力する（Ｓ３０）。

以下では、図１０に示される制御システム１２が入力された場合を例に挙げて説明する。

図１０は、本実施の形態に係るリスク分析装置に対する入力情報に基づいて作成した、リスク分析の対象となるシステムの無向グラフを説明するための図である。図１０に示される例では、制御システム１２は、互いに接続された１２個の資産Ａ〜資産Ｌから構成された制御システムである。資産Ａが侵入口である。資産Ｋが守備対象である。

図１１は、図１０に示される制御システム１２において、要素の除外処理を行わない場合の対象経路の和集合を示す図である。安全度の総和の比較に用いる第１閾値は９である。この場合、図１１に示されるように、資産Ａ、資産Ｂ、資産Ｅ、資産Ｈ、資産Ｋの順で通る経路の安全度の総和が７であるので、当該経路が対象経路として特定される。

これに対して、資産を除外した場合の対象経路の和集合は、図１２に示されるようになる。図１２は、図１０に示される制御システム１２において、要素の除外処理を行った場合の対象経路の和集合を示す図である。ここでは、一例として、資産の安全性の比較に用いる第２閾値を３とする。

第２閾値が３であるので、図１２に示される例では、特定部１２０は、資産Ｈを除外する。つまり、資産Ｈは、安全度が十分に高いので、守備対象である資産Ｋを攻撃する際に経由される資産から除外することができる。特定部１２０は、除外されなかった残りの８個の資産とこれらの接続関係とに基づいて対象経路を特定する。このため、特定される対象経路は、図１２に示されるように、資産Ｊを経由する経路と資産Ｌを経由する経路との２つになる。

このように、本実施の形態では、資産を除外することにより、最短経路法に用いるグラフの頂点及び辺の数を減らすことができる。したがって、最短経路法の演算量を削減することができる。

［変形例］
続いて、実施の形態２の変形例について説明する。具体的には、入力部１１０が複数の侵入口及び複数の守備対象を入力として受け付けた場合について説明する。

図１３は、本変形例に係るリスク分析装置１００の動作を示すフローチャートである。図１３に示されるように、まず、入力部１１０が入力情報を取得する（Ｓ１０）。具体的には、入力部１１０は、資産の一覧、安全度、接続関係、侵入口、守備対象及び第１閾値を取得する（図３に示されるＳ１１〜Ｓ１６）。このとき、本変形例では、ステップＳ１４及びステップＳ１５において、入力部１１０は、複数の侵入口及び複数の守備対象を取得する点が、実施の形態２とは相違している。

次に、特定部１２０は、安全度が十分に高いＭ個の要素を除外する（Ｓ５０）。この除外処理は、実施の形態２と同じである。Ｍ個の要素の除外が行われた後、特定部１２０は、除外されなかったＮ−Ｍ個の要素に基づいて、複数の侵入口及び複数の守備対象の両方を取得した場合の対象経路の特定処理を行う（Ｓ４０）。具体的には、特定部１２０は、図８に示されるステップＳ４１〜ステップＳ４４の処理を行う。対象経路が特定された後、出力部１３０は、対象経路の和集合を示す経路情報を出力する（Ｓ３０）。

このように、本変形例では、特定部１２０は、複数の侵入口及び複数の守備対象が入力された場合に、侵入口と守備対象との組み合わせ毎に対象経路を特定する。これにより、侵入口と守備対象との数によらず、対象経路が特定されるので、守備対象のセキュリティを高めるのに十分な対策を支援することができる。侵入口及び守備対象の数が増える程、演算量が多くなるが、本変形例によれば、要素の数を減らすことができるので、守備対象のセキュリティを高めるのに十分な対策を少ない演算量で支援することができる。

なお、本変形例においても、侵入口及び守備対象の両方を複数取得する例について示したが、いずれか一方のみを複数取得してもよい。

（実施の形態３）
続いて、実施の形態３について説明する。

実施の形態１及び２では、リスク分析装置１００によるリスク分析の対象となるシステムが制御システムであり、制御システムを構成する資産が要素の一例である例を説明した。これに対して、実施の形態３では、リスク分析の対象となるシステムが、資産に対する攻撃手順であり、攻撃手順に含まれるＮ個の攻撃工程がＮ個の要素の一例である例を説明する。以下では、実施の形態１との相違点を中心に説明し、共通点の説明を省略又は簡略化する。

本実施の形態に係るリスク分析装置の構成及び動作は、実施の形態１に係るリスク分析装置１００の構成及び動作と同じである。上述したように、リスク分析の対象となるシステムが、実施の形態１とは相違する。以下の説明は、図２に示されるリスク分析装置１００に基づいて説明する。

図１４は、本実施の形態に係るリスク分析装置１００によるリスク分析の対象となるシステムの一例を示す図である。具体的には、図１４は、制御システムを構成する資産の１つに対する攻撃手順を示す図である。

１つの資産に対する攻撃手順には、複数の攻撃工程が含まれる。攻撃工程は、リスク分析で使用される脅威である。複数の攻撃工程には、例えば、Ａ：不正アクセス、Ｂ：物理的侵入、Ｃ：不正操作、Ｄ：過失操作、Ｅ：不正媒体・機器接続、Ｆ：プロセス不正実行、Ｇ：マルウェア感染、Ｈ：情報窃取、Ｉ：情報改ざん、Ｊ：情報破壊、Ｋ：不正送信、Ｌ：機能停止、Ｍ：高負荷攻撃、Ｎ：経路遮断、Ｏ：通信輻輳、Ｐ：無線妨害、Ｑ：盗聴、Ｒ：通信データ改ざん、Ｓ：不正機器接続の１９の攻撃工程が含まれる。

図１４に示されるように、攻撃工程には、他の攻撃工程と関連している。例えば、Ｆ：プロセス不正実行の攻撃工程を実行するためには、Ｃ：不正操作、Ｄ：過失操作及びＥ：不正媒体・機器接続のいずれかの攻撃工程が行われた後でなければならない。つまり、資産に対してＦ：プロセス不正実行を起こそうとする場合には、その前に実行しなければならない攻撃工程が存在する。このように、複数の攻撃工程は、順序関係、すなわち、方向性のある接続関係を有する。図１４では、順序関係が矢印で表されている。

本実施の形態では、入力部１１０は、資産に対する攻撃手順に含まれる全ての攻撃工程の安全度、攻撃工程の順序関係、資産への入口になる攻撃工程である侵入口、及び、資産において守るべき攻撃工程である守備対象を入力として受け付ける。安全度、順序関係、侵入口、及び、守備対象はいずれも、予め定められた手法に基づいて客観的に決定される。

本実施の形態に係るリスク分析装置１００では、資産のリスク分析を行う場合に、特定部１２０は、当該資産に対する攻撃手順に含まれる全ての攻撃工程を頂点とし、攻撃工程の順序関係を有向辺とする有向グラフを作成する。有向辺には、攻撃工程の安全度を重みとして割り当てる。具体的には、有向辺の接続先、すなわち、順序関係における後工程の攻撃工程の安全度を割り当てる。例えば、Ａ：不正アクセスからＣ：不正操作に延びる有向辺に対しては、Ｃ：不正操作の安全度を重みとして割り当てる。

有向グラフが生成され、かつ、有向辺に重みが付与された後、特定部１２０は、実施の形態１と同様に、最短経路法を用いて安全度の総和が第１閾値より低い経路を対象経路として特定する。図１４には、侵入口として、３つの攻撃工程（具体的には、Ａ：不正アクセス、Ｂ：物理的侵入、Ｄ：過失操作）が入力されている。このため、特定部１２０は、図８に示されるフローチャートに沿って、ステップＳ４１〜ステップＳ４４を実行することで、対象経路を特定する。

以上のように、本実施の形態によれば、制御システムを構成する資産に対する攻撃手順についてのリスク分析を行うことができるので、資産に対して、守備対象のセキュリティを高めるのに十分な対策を支援することができる。

（実施の形態４）
続いて、実施の形態４について説明する。

実施の形態４は、実施の形態１と実施の形態３との組み合わせに相当する。具体的には、複数の資産間の接続関係を、複数の資産の各々に対する攻撃手順に含まれる攻撃工程の接続関係に基づいて構築する。より具体的には、制御システムを構成する複数の資産の各々の攻撃手順に含まれる複数の攻撃工程がＮ個の要素の一例である。以下では、実施の形態１及び３との相違点を中心に説明し、共通点の説明を省略又は簡略化する。

本実施の形態に係るリスク分析装置の構成及び動作は、実施の形態１に係るリスク分析装置１００の構成及び動作と同じである。上述したように、リスク分析の対象となるシステムが、実施の形態１とは相違する。以下の説明は、図２に示されるリスク分析装置１００に基づいて説明する。

図１５は、本実施の形態に係るリスク分析装置１００によるリスク分析の対象となるシステムの一例を示す図である。具体的には、図１５は、制御システム１３を構成する４個の資産Ａ〜資産Ｄと、４個の資産Ａ〜資産Ｄの各々に対する攻撃手順を示している。図１５では、図面が複雑化するのを避けるために図示していないが、４個の資産Ａ〜資産Ｄの各々の攻撃手順は、図１４に示される１９個の攻撃工程を含んでいる。

図１５に示されるように、資産Ａは、資産Ｂ及び資産Ｃの各々に接続されている。資産Ｄは、資産Ｂ及び資産Ｃの各々に接続されている。資産Ａ〜資産Ｄの接続関係は、方向性を有している。資産Ａが侵入口であり、資産Ｄが守備対象である。

この場合、図１５に示されるように、侵入口である資産Ａに対して攻撃手順を考慮に入れた場合、資産Ａの攻撃手順に含まれるＡ：不正アクセス、Ｂ：物理的侵入及びＤ：過失操作の３つの攻撃工程が侵入口になる。また、資産Ａに対する攻撃が成功した後に資産Ｂを攻撃しようとした場合、資産Ａの攻撃工程の１つであるＫ：不正送信を利用して、資産Ｂの攻撃工程の１つであるＡ：不正アクセスから攻撃を開始する。このように、資産Ａから資産Ｂへの攻撃手順は、資産Ａ及び資産Ｂの各々における攻撃工程の組み合わせにおいて決定される。例えば、資産Ａに対する攻撃工程であるＪ：情報破壊が発生しただけでは、資産Ｂへの攻撃には至らない。また、資産Ａに対する攻撃の後に、資産Ｂに対してＢ：物理的侵入の攻撃は行われない。したがって、制御システム１３を構成する各資産の接続関係は、各資産に対する攻撃手順に含まれる攻撃工程の接続関係によって表すことができる。

本実施の形態に係るリスク分析装置１００では、資産のリスク分析を行う場合に、特定部１２０は、制御システム１３を構成する全ての資産の各々の攻撃手順に含まれる全ての攻撃工程を頂点とし、攻撃工程の順序関係を有向辺とする有向グラフを作成する。例えば、資産Ａ〜資産Ｄの各々が図１４に示される１９個の攻撃工程を含む場合、有向グラフの頂点の個数は、７６（＝１９×４）個になる。有向辺には、攻撃工程の安全度を重みとして割り当てる。安全度の割当方法は、実施の形態３と同様である。

有向グラフが生成され、かつ、有向辺に重みが付与された後、特定部１２０は、実施の形態１と同様に、最短経路法を用いて安全度の総和が第１閾値より低い経路を対象経路として特定する。図１５には、侵入口として、資産Ａの３つの攻撃工程（具体的には、Ａ：不正アクセス、Ｂ：物理的侵入、Ｄ：過失操作）が入力されている。また、守備対象として、資産Ｄの４つの攻撃工程（具体的には、Ｉ：情報改ざん、Ｊ：情報破壊、Ｌ：機能停止、Ｒ：通信データ改ざん）が入力されている。このため、特定部１２０は、図８に示されるフローチャートに沿って、ステップＳ４０を実行することで、対象経路を特定する。

以上のように、本実施の形態によれば、制御システム１３を構成する全ての資産に対する攻撃手順についてのリスク分析を行うことができるので、制御システム１３に対して、守備対象のセキュリティを高めるのに十分な対策を支援することができる。

なお、本実施の形態では、制御システム１３を構成する４個の資産Ａ〜資産Ｄの各々の攻撃手順に含まれる全ての攻撃工程を要素とする例を説明したが、４個の資産Ａ〜資産Ｄのうち少なくとも１つの資産のみの攻撃手順に含まれる攻撃工程と、攻撃手順が考慮されない１つ以上の資産とを要素としてもよい。

（他の実施の形態）
以上、１つ又は複数の態様に係るリスク分析装置及びリスク分析方法について、実施の形態に基づいて説明したが、本開示は、これらの実施の形態に限定されるものではない。本開示の主旨を逸脱しない限り、当業者が思いつく各種変形を本実施の形態に施したもの、及び、異なる実施の形態における構成要素を組み合わせて構築される形態も、本開示の範囲内に含まれる。

例えば、上記の実施の形態では、安全度は、数値が高い程、セキュリティ上の脅威に対する安全性が高いことを意味する例を示したが、これに限らない。安全度は、数値が高い程、セキュリティ上の脅威に対する安全性が低いことを意味してもよい。この場合、安全度は、リスクの高さを示すリスク度と置き換えることができる。入力部１１０は、安全度として、セキュリティ上の脅威に対する安全性を間接的に表すリスク度を入力として受け付けてもよい。リスク度は、実施の形態で説明した安全度と負の相関関係を有する。

また、上記実施の形態において、特定の処理部が実行する処理を別の処理部が実行してもよい。また、複数の処理の順序が変更されてもよく、あるいは、複数の処理が並行して実行されてもよい。例えば、リスク分析装置１００の入力部１１０、特定部１２０及び出力部１３０の少なくとも１つは、別の装置に備えられてもよい。

この場合において、装置間の通信方法については特に限定されるものではない。装置間で無線通信が行われる場合、無線通信の方式（通信規格）は、例えば、ＺｉｇＢｅｅ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）、又は、無線ＬＡＮ（Local Area Network）などの近距離無線通信である。あるいは、無線通信の方式（通信規格）は、インターネットなどの広域通信ネットワークを介した通信でもよい。また、装置間においては、無線通信に代えて、有線通信が行われてもよい。有線通信は、具体的には、電力線搬送通信（ＰＬＣ：Power Line Communication）又は有線ＬＡＮを用いた通信などである。

例えば、上記実施の形態において説明した処理は、単一の装置（システム）を用いて集中処理することによって実現してもよく、又は、複数の装置を用いて分散処理することによって実現してもよい。また、上記プログラムを実行するプロセッサは、単数であってもよく、複数であってもよい。すなわち、集中処理を行ってもよく、又は分散処理を行ってもよい。

また、上記実施の形態において、装置を構成する構成要素の全部又は一部は、専用のハードウェアで構成されてもよく、あるいは、各構成要素に適したソフトウェアプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵ（Central Processing Unit）又はプロセッサなどのプログラム実行部が、ＨＤＤ（Hard Disk Drive）又は半導体メモリなどの記録媒体に記録されたソフトウェアプログラムを読み出して実行することによって実現されてもよい。

また、装置を構成する構成要素は、１つ又は複数の電子回路で構成されてもよい。１つ又は複数の電子回路は、それぞれ、汎用的な回路でもよいし、専用の回路でもよい。

１つ又は複数の電子回路には、例えば、半導体装置、ＩＣ（Integrated Circuit）又はＬＳＩ（Large Scale Integration）などが含まれてもよい。ＩＣ又はＬＳＩは、１つのチップに集積されてもよく、複数のチップに集積されてもよい。ここでは、ＩＣ又はＬＳＩと呼んでいるが、集積の度合いによって呼び方が変わり、システムＬＳＩ、ＶＬＳＩ（Very Large Scale Integration）、又は、ＵＬＳＩ（Ultra Large Scale Integration）と呼ばれるかもしれない。また、ＬＳＩの製造後にプログラムされるＦＰＧＡ（Field Programmable Gate Array）も同じ目的で使うことができる。

また、本開示の全般的又は具体的な態様は、システム、装置、方法、集積回路又はコンピュータプログラムで実現されてもよい。あるいは、当該コンピュータプログラムが記憶された光学ディスク、ＨＤＤ若しくは半導体メモリなどのコンピュータ読み取り可能な非一時的記録媒体で実現されてもよい。また、システム、装置、方法、集積回路、コンピュータプログラム及び記録媒体の任意な組み合わせで実現されてもよい。

また、上記の各実施の形態は、請求の範囲又はその均等の範囲において種々の変更、置き換え、付加、省略などを行うことができる。

本開示は、十分なセキュリティ対策を支援することができるリスク分析装置などとして利用でき、例えば、工場の制御システム又は制御システムを構成する資産のセキュリティ対策の支援及びリスク分析などに利用することができる。

１０、１１、１２、１３ 制御システム
２０ 要素
３０ インターネット
４０、４１ 経路
１００ リスク分析装置
１１０ 入力部
１２０ 特定部
１３０ 出力部

Claims (10)

1. 互いに接続されたＮ個（Ｎは２以上の自然数）の要素を含むシステムのリスクを分析するリスク分析装置であって、
   前記Ｎ個の要素の各々のセキュリティ上の脅威に対する安全度と、前記Ｎ個の要素の接続関係と、前記システムへの入口になる要素である侵入口と、前記システムにおいて守るべき要素である守備対象とを入力として受け付ける入力部と、
   前記侵入口から前記守備対象に至る１つ以上の経路の中から、前記侵入口から前記守備対象に至るまでに経由する要素の安全度の総和が第１閾値より低い経路である対象経路を、前記Ｎ個の要素の各々の安全度と前記接続関係とに基づいて特定する特定部と、
   前記対象経路に関する経路情報を出力する出力部とを備える
   リスク分析装置。
2. 前記特定部は、最短経路法を用いて前記対象経路を特定する
   請求項１に記載のリスク分析装置。
3. 前記特定部は、さらに、前記Ｎ個の要素の中から安全度が第２閾値以上であるＭ個（Ｍは自然数）の要素を除外し、除外されなかったＮ−Ｍ個の要素に基づいて、前記対象経路を特定する
   請求項１又は２に記載のリスク分析装置。
4. 前記システムは、制御システムであり、
   前記Ｎ個の要素は、前記制御システムを構成するＮ個の資産である
   請求項１〜３のいずれか１項に記載のリスク分析装置。
5. 前記システムは、制御システムであり、
   前記Ｎ個の要素は、前記制御システムを構成する複数の資産の各々の攻撃手順に含まれる複数の攻撃工程である
   請求項１〜３のいずれか１項に記載のリスク分析装置。
6. 前記システムは、制御システムを構成する資産に対する攻撃手順であり、
   前記Ｎ個の要素は、前記攻撃手順に含まれるＮ個の攻撃工程である
   請求項１〜３のいずれか１項に記載のリスク分析装置。
7. 前記入力部は、複数の前記侵入口及び複数の前記守備対象を入力として受け付け、
   前記特定部は、前記侵入口と前記守備対象との組み合わせ毎に、前記対象経路を特定する
   請求項１〜６のいずれか１項に記載のリスク分析装置。
8. 前記出力部は、前記特定部によって複数の前記対象経路が特定された場合に、複数の前記対象経路の和集合を示す情報を、前記経路情報として出力する
   請求項１〜７のいずれか１項に記載のリスク分析装置。
9. 互いに接続されたＮ個（Ｎは２以上の自然数）の要素を含むシステムのリスクを分析するリスク分析装置が実行するリスク分析方法であって、
   前記Ｎ個の要素の各々のセキュリティ上の脅威に対する安全度と、前記Ｎ個の要素の接続関係と、前記システムへの入口になる要素である侵入口と、前記システムにおいて守るべき要素である守備対象とを入力として受け付け、
   前記侵入口から前記守備対象に至る１つ以上の経路の中から、前記侵入口から前記守備対象に至るまでに経由する要素の安全度の総和が閾値より低い経路である対象経路を、前記Ｎ個の要素の各々の安全度と前記接続関係とに基づいて特定し、
   前記対象経路に関する経路情報を出力する
   リスク分析方法。
10. 請求項９に記載のリスク分析方法をコンピュータに実行させるプログラム。

Images