JP7046788B2 - 分析官アロケーショシステム、分析官アロケーション方法、及び分析官アロケーションプログラム - Google Patents

Description

本発明は、発生したインシデントに対して分析官を割り当てる技術に関する。

近年では、新たな価値を創出するため、インターネットを通じてモノやヒト、ＩＴサービスなどを大規模に連動させる動きが強まっている。ＩｏＴ（Ｉｎｔｅｒｎｅｔ ｏｆ Ｔｈｉｎｇｓ）が普及した社会では、医療機器など、様々なモノがインターネットに接続され、これらのモノがサイバー攻撃に晒される危険が生じる。そのため、ネットワークや機器を監視してサイバー攻撃を検出し、分析と対処を行うＳＯＣ（Ｓｅｃｕｒｉｔｙ Ｏｐｅｒａｔｉｏｎ Ｃｅｎｔｅｒ）の役割がますます重要となってきている。

ＳＯＣのインシデント監視業務では、監視対象がＯＴ（Ｏｐｅｒａｔｉｏｎａｌ Ｔｅｃｈｎｏｌｏｇｙ）／ＩＯＴまで拡大されることで、対処するインシデント数が急増すると考えられる。しかし、インシデントの対処には専門的な知識が必要となるため、対処できる分析官の数には限りがあり、分析官の増員での解決が難しい。

そこで、インシデントに対する分析官のアロケーションを最適化し、効率的なインシデント対処を可能にする技術が必要となっている。例えば、アロケーションを最適化することに関連する技術としては、例えば、データベースに過去の問い合わせの転送先を記憶させておき、問い合わせのカテゴリ毎に転送先に優先度を付け、問い合わせのカテゴリから転送先を決定する情報処理装置（例えば、特許文献１参照）などが提案されている。

特開２０１０－１０９８９５号公報

特許文献１では、過去の問い合わせの結果を記憶しておくことで、問い合わせの転送先の優先度を付けることを可能にする。また、優先度に基づいて、問い合わせを転送することで、より効率的な問い合わせとその転送先のアロケーションを実現する。

しかし、同一カテゴリの問い合わせが集中する場合などがある。この場合、優先度に基づいてアロケーションをする手法では、特定の転送先に問い合わせが集中してしまい、コールセンタ全体での作業効率が落ちてしまう。特許文献１の技術を分析官のアロケーションに適用しても、同様の問題が発生する。

本発明は、上記事情に鑑みなされたものであり、その目的は、ＳＯＣのインシデント監視業務を効率化することのできる技術を提供することにある。

上記目的を達成するため、一観点に係る分析官アロケーションシステムは、１以上の新規インシデントに対する対処を実行する分析官の割り当てを決定する分析官アロケーションシステムであって、分析官アロケーションシステムは、情報を記憶する記憶部と、記憶部に接続されたプロセッサ部とを備え、記憶部は、複数の分析官のそれぞれについての複数のインシデント種別の対処に要する対処処理時間を含む分析官能力情報を記憶し、プロセッサ部は、新規インシデントを受け付け、複数の分析官のそれぞれについて、それぞれの新規インシデントに対する分析官の割り当ての有無を示す割当変数と、分析官による新規インシデントに対応するインシデント種別のインシデントに対する対処処理時間とに基づいて、分析官による新規インシデントの対処に要する新規インシデント対処処理時間を示す第１式を生成し、分析官に割り当て済であって未処理のインシデントの対処に要する未処理対処処理時間を算出し、第１式と、未処理対処処理時間とに基づいて、分析官のインシデントに対する合計対処処理時間を示す第２式を生成し、複数の分析官に対応する複数の第２式から算出される最大の対処処理時間を評価関数とし、評価関数に基づいて、割当変数の最適化解を探索し、探索により求められた最適化解に従って、新規インシデントへの分析官の割当を決定する。

本発明によれば、ＳＯＣのインシデント監視業務を効率化することができる。

図１は、一実施形態に係る自動アロケーションシステムの構成図である。 図２は、一実施形態に係る管理対象機器の機能構成図である。 図３は、一実施形態に係るインシデント検出装置の機能構成図である。 図４は、一実施形態に係るインシデント管理サーバの機能構成図である。 図５は、一実施形態に係る自動割当サーバの機能構成図である。 図６は、一実施形態に係るクライアントの機能構成図である。 図７は、一実施形態に係る自動アロケーションシステムの各装置を構成するコンピュータのハードウェア構成図である。 図８は、一実施形態に係るデータベースに格納されるデータテーブルを示す図である。 図９は、一実施形態に係るインシデント種別情報テーブルの構成を説明する図である。 図１０は、一実施形態に係るインシデント情報テーブルの構成を説明する図である。 図１１は、一実施形態に係る分析官情報テーブルの構成を説明する図である。 図１２は、一実施形態に係る分析官能力情報テーブルの構成を説明する図である。 図１３は、一実施形態に係るインシデント検出処理のシーケンス図である。 図１４は、一実施形態に係るアロケーション処理のシーケンス図である。 図１５は、一実施形態に係る評価関数生成処理のフローチャートである。 図１６は、一実施形態に係るインシデント参照処理のシーケンス図である。 図１７は、一実施形態に係る対処実績学習処理のシーケンス図である。 図１８は、一実施形態に係る分析官画面の一例を示す図である。

実施形態について、図面を参照して説明する。なお、以下に説明する実施形態は特許請求の範囲に係る発明を限定するものではなく、また実施形態の中で説明されている諸要素及びその組み合わせの全てが発明の解決手段に必須であるとは限らない。

以下の説明では、「ＡＡＡテーブル」の表現にて情報を説明することがあるが、情報は、どのようなデータ構造で表現されていてもよい。すなわち、情報がデータ構造に依存しないことを示すために、「ＡＡＡテーブル」を「ＡＡＡ情報」と呼ぶことができる。

また、以下の説明では、「記憶部」は、１以上のメモリを含む。少なくとも１つのメモリは、揮発性メモリであってもよいし不揮発性メモリであってもよい。記憶部は、主に、プロセッサ部による処理の際に使用される。

また、以下の説明では、「プロセッサ部」は、１以上のプロセッサを含む。少なくとも１つのプロセッサは、典型的には、ＣＰＵ（Central Processing Unit）のようなマイクロプロセッサである。１以上のプロセッサの各々は、シングルコアでもよいしマルチコアでもよい。プロセッサは、処理の一部または全部を行うハードウェア回路を含んでもよい。

（自動アロケーションシステム構成）
まず、一実施形態に係る分析官アロケーションシステムの一例である自動アロケーションシステムについて説明する。

図１は、一実施形態に係る自動アロケーションシステムの構成図である。

自動アロケーションシステム１００は、インシデントに割り当てる分析官のアロケーションを探索するコンピュータシステムである。なお、インシデントに分析官を割り当てることは、分析官にインシデントを割り当てるともいえる。

自動アロケーションシステム１００は、１以上の管理対象機器１０１（１０１＿１，・・・，１０１＿ｎ）、インシデント検出装置１０３、インシデント管理サーバ１０４、自動割当サーバ１０５、クライアント１０６、及びデータベース１０７を備える。管理対象機器１０１、インシデント検出装置１０３、インシデント管理サーバ１０４、自動割当サーバ１０５、クライアント１０６、及びデータベース１０７は、ネットワーク１０２（１０２＿１，１０２＿２）を介して接続されている。本実施形態では、管理対象機器１０１とインシデント検出装置１０３とは、ネットワーク１０２＿１を介して接続され、インシデント検出装置１０３とインシデント管理装置１０４とは、ネットワーク１０２＿２（例えば、インターネット）を介して接続されている。自動アロケーションシステム１００は、少なくとも自動割当サーバ１０５により構成されてもよいし、自動割当サーバ１０５以外の１以上の装置を適宜含んで構成されてもよい。

管理対象機器１０１は、管理者が脅威分析対象として管理するシステムを構成する機器である。本実施形態においては、ＳＯＣの分析官が、管理対象機器１０１を監視し、管理対象機器１０１内のインシデントを発見し、インシデントに対処することとなる。

インシデント検出装置１０３は、ＳＯＣの監視対象となるシステム、すなわち管理対象機器１０１に関する情報（ログ情報、各管理対象機器１０１の識別情報など）を収集し、管理対象機器１０１に内在するインシデントを検出する。

インシデント管理サーバ１０４は、インシデント検出装置１０３が検出したインシデントの各情報をデータベース１０７に記憶して管理し、分析官にインシデント情報を提示する。

自動割当サーバ１０５は、データベース１０７上の情報に基づき、本実施形態に係る自動アロケーション処理における各種処理を主として実行するサーバ装置である。自動割当サーバ１０５は、インシデント検出装置１０３、およびインシデント管理装置１０４の機能、構成を含んで構成されてもよい。

クライアント１０６は、管理者（分析官）が直接操作する一般的なコンピュータ端末であり、自動割当サーバ１０５による処理結果、すなわち自動アロケーション結果の主たる出力先となる装置である。

データベース１０７は、インシデント検出装置１０３が検出したインシデントの各情報と、自動割当サーバ１０５が導出したインシデントに対する分析官の自動アロケーション結果などを格納する記憶装置である。本実施形態では、データベース１０７は、ネットワーク１０２＿２を介して自動割当サーバ１０５と通信可能に接続されている。データベース１０７は、自動割当サーバ１０５の外部記憶装置７０４（図７参照）に構築してもよい。

なお、本実施形態においては、ネットワーク１０２＿１、１０２＿２は異なるネットワークとして例示したが、同一のネットワークであってもよい。また、ネットワーク１０２＿１は必須ではなく、インシデント検出装置１０３がＵＳＢからの読み取りや適宜なインタフェースからのユーザ入力動作を受けてデータを取得するようにしてもよい。また、図１において符号を付した構成要素は、必要に報じて複数としてもよい。

（機能構成）
続いて、本実施形態の自動アロケーションシステムが備える機能について説明する。ここでは、自動割当サーバ１０５のみならず、例えば自動アロケーションシステム１００の各装置が、そのメモリ７０３及び外部記憶装置７０４（図７参照）にて記憶する適宜なプログラムを実行することで実現される機能についてそれぞれ説明する。

図２は、一実施形態に係る管理対象機器の機能構成図である。

管理対象機器１０１は、送受信部２０１及び制御部２０２を備える。送受信部２０１は、ネットワーク１０２＿１を介し、インシデント検出装置１０３との間で情報の送受信を行う。制御部２０２は、ログ出力部２０３を備える。ログ出力部２０３は、管理対象機器１０１の識別情報であるＩＤ、セキュリティログなどの情報を収集し、送受信部２０１を介して、インシデント検出装置１０３に送信する。

ログ出力部２０３による情報収集には、管理対象機器１０１におけるＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）のログ情報やウィルス対策ソフトウェアのログ情報、セキュリティ製品のログ情報などを利用してもよい。

図３は、一実施形態に係るインシデント検出装置の機能構成図である。

インシデント検出装置１０３は、送受信部３０１及び制御部３０２を備える。送受信部３０１は、ネットワーク１０２＿１，１０２＿２を介して情報の送受信を行う。制御部３０２は、ログ収集部３０３、インシデント検出処理部３０４、及びインシデント出力部３０５を備える。ログ収集部３０３は、送受信部３０１を介して、管理対象機器１０１からログ情報を受信する。インシデント検出処理部３０４は、所定アルゴリズムに基づき管理対象機器１０１に発生しているインシデントを検出する処理を実行する。インシデントを検出する方法としては、管理対象機器１０１のログ情報からインシデントの特徴的なパターンを検索する方法や、管理対象機器１０１の各ログ情報を相関分析する方法などを利用してもよく、方法はこれらに限定されない。インシデント出力部３０５は、インシデントの検出結果を、送受信部３０１を介して、インシデント管理サーバ１０４に送信する。

図４は、一実施形態に係るインシデント管理サーバの機能構成図である。

インシデント管理サーバ１０４は、送受信部４０１及び制御部４０２を備える。送受信部４０１は、ネットワーク１０２＿２を介してインシデント検出装置１０３、及び自動割当サーバ１０５との間で情報の送受信を行う。

制御部４０２は、インシデント収集部４０３、インシデント登録処理部４０４、分析官割当登録処理部４０５、インシデント通知処理部４０６、インシデント参照処理部４０７、及び対処結果登録処理部４０８を含む。

インシデント収集部４０３は、送受信部４０１を介して、インシデント検出装置１０３からインシデントの各情報を受信する。インシデント登録処理部４０４は、インシデントの各情報をデータベース１０７に追加保存する。分析官割当登録処理部４０５は、送受信部４０１を介して、自動割当サーバ１０５から分析官の割当情報を受信し、データベース１０７に登録する。インシデント通知処理部４０６は、送受信部４０１を介して、クライアント１０６に新規に割り当てられたインシデントの情報を送信する。インシデント参照処理部４０７は、送受信部４０１を介して、クライアント１０６から要求を受信し、要求されたインシデントの各情報をデータベース１０７から取得し、クライアント１０６に送信する。対処結果登録処理部４０８は、クライアント１０６からインシデントへの対処結果情報を受信し、データベース１０７上のインシデント情報を更新する。

図５は、一実施形態に係る自動割当サーバの機能構成図である。

自動割当サーバ１０５は、送受信部５０１及び制御部５０２を含む。送受信部５０１は、ネットワーク１０２＿２を介して情報の送受信を行う。制御部５０２は、データベース参照処理部５０３、評価関数生成処理部５０４、分析官割当最適化処理部５０５、分析官割当出力処理部５０６、対処実績学習処理部５０７、及び学習結果登録処理部５０８を含む。

データベース参照処理部５０３は、送受信部５０１を介して、データベース１０７から各情報を取得する。評価関数生成処理部５０４は、データベース１０７上の各情報から、所定のアルゴリズムに基づき、最適化計算のための評価関数を生成する。分析官割当最適化処理部５０５は、所定のアルゴリズムに基づき、評価関数を満たす分析官のアロケーションの最適解を探索する。分析官割当出力処理部５０６は、送受信部５０１を介して、探索したアロケーションの結果をインシデント管理サーバ１０４に送信する。対処実績学習処理部５０７は、データベース１０７上の各情報から、所定のアルゴリズムに基づき、分析官の対処能力などを計算して学習結果を得る。学習結果登録処理部５０８は、学習結果に基づいてデータベース１０７上の各情報を更新する。自動割当サーバ１０５における各機能部による処理の詳細については、後述する。

図６は、一実施形態に係るクライアントの機能構成図である。

クライアント１０６は、送受信部６０１、入出力部６０２、及び制御部６０３を含む。送受信部６０１は、ネットワーク１０２＿２を介して情報の送受信を行う。入出力部６０２は、キーボードなどのインタフェース機器を介して分析官からの入力を実行し、また、モニタなどのインタフェース機器を介して分析官向けの出力処理を実行する。制御部６０３は、インシデント画面表示部６０４、及び対処結果入力処理部６０５を含む。インシデント画面表示部６０４は、入出力部６０２を介して、分析官に対して当該分析官が割り当てられたインシデントの情報を提示する画面（分析官画面：図１８参照）を表示する。対処結果入力処理部６０５は、入出力部６０２を介して、分析官からインシデントの対処結果の情報を受け付け、送受信部６０１を介して、インシデント管理サーバ１０４に対し、対処結果の情報を送信する。

（ハードウェア構成）
続いて、本実施形態の自動アロケーションシステム１００を構成する装置のハードウェア構成について説明する。

図７は、一実施形態に係る自動アロケーションシステムの各装置を構成するコンピュータのハードウェア構成図である。

自動アロケーションシステム１００を構成する管理対象機器１０１、インシデント検出装置１０３、インシデント管理サーバ１０４、自動割当サーバ１０５、及びクライアント１０６は、例えば、それぞれがコンピュータ装置７０１により構成される。

コンピュータ装置７０１は、ＣＰＵ７０２、ＲＡＭ（Ｒｕｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）など揮発性記憶素子で構成されるメモリ７０３、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）やハードディスクドライブなど適宜な不揮発性記憶素子で構成される外部記憶装置７０４、ネットワークインターフェイスカード（ＮＩＣ：Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）などの送受信装置７０５、ディスプレイなどの出力装置７０６、及びキーボードなどの入力装置７０７を備える。

出力装置７０６及び入力装置７０７については、管理対象機器１０１、インシデント検出装置１０３、インシデント管理サーバ１０４、及び自動割当サーバ１０５のいずれも備えなくてもよい。

図２～図６に示す各装置の制御部２０２，３０２，４０２，５０２，６０３は、ＣＰＵ７０２が外部記憶装置７０４に記憶された適宜なプログラムをメモリ７０３にロードして実行することで実現される。また、図２～図６に示す各装置の送受信部２０１，３０１，４０１，５０１，及び６０１は、送受信装置７０５により構成される。また、図６に示すクライアント１０６における入出力部６０２は、出力装置７０６及び入力装置７０７により構成される。

（データ構成）
次に、本実施形態の自動割当サーバ１０５が利用するデータについて説明する。

自動アロケーションシステム１００において利用するデータは、少なくとも、インシデント検出装置１０３により管理対象機器１０１が保有するインシデントを検出した結果情報、事前に登録されたインシデントの種別に関する情報（インシデント種別情報テーブル）、事前に登録された分析官に関する情報（分析官情報テーブル、分析官能力情報テーブル）、及び自動アロケーションシステム１００の学習処理により生成される各情報を含んでいる。

図８は、一実施形態に係るデータベースに格納されるデータテーブルを示す図である。

データベース１０７は、インシデント種別情報テーブル８０１、インシデント情報テーブル８０２、分析官情報テーブル８０３、及び分析官能力情報テーブル８０４を格納する。これらテーブルは、レコードが含む所定のＩＤなどにより相互に関連付けられている。

図９は、一実施形態に係るインシデント種別情報テーブルの構成を説明する図である。

インシデント種別情報テーブル８０１は、インシデントの種別ごとのレコードを格納する。インシデント種別情報テーブル８０１のレコードは、インシデント種別ＩＤ９０１、脅威度９０２、出現頻度９０３、及びその他インシデント種別情報９０４をデータ項目として有する。

インシデント種別ＩＤ９０１には、インシデントの種別（インシデント種別）に対してユニークに割り当てられた識別子（インシデント種別ＩＤ）が格納される。脅威度９０２には、レコードに対応する種別のインシデントにより想定される脅威の大きさを表す数値（脅威度）が格納される。出現頻度９０３には、レコードに対応する種別のインシデントの出現頻度が格納される。その他インシデント種別情報９０４には、レコードに対応するインシデント種別の種別名や概要など、インシデント種別に関するその他の情報が格納される。本実施形態では、インシデント種別情報テーブル８０１に格納される各データ項目の情報が自動アロケーションシステム１００の管理者によって事前に与えられ、出現頻度９０３の出現頻度は、後述する自動割当サーバ１０５の学習処理により更新される。インシデント種別情報テーブル８０１に格納される各情報を、インターネットを介して、セキュリティ情報公開機関から収集して、自動的に格納するようにしてもよい。

図１０は、一実施形態に係るインシデント情報テーブルの構成を説明する図である。

インシデント情報テーブル８０２は、インシデントごとのレコードを格納する。インシデント情報テーブル８０２のレコードは、インシデントＩＤ１００１、インシデント種別ＩＤ１００２、分析官ＩＤ１００３、ステータス１００４、対処処理時間１００５、及びその他インシデント情報１００６をデータ項目として有する。

インシデントＩＤ１００１には、レコードに対応するインシデントに対してユニークに割り当てられた識別子（インシデントＩＤ）が格納される。インシデント種別ＩＤ１００２には、レコードに対応するインシデントが所属する種別のＩＤが格納される。分析官ＩＤ１００３には、レコードに対応するインシデントに割り当てられた（すなわち、インシデントの対処を担当する）分析官のＩＤ（分析官ＩＤ）が格納される。なお、レコードに対応するインシデントに分析官が割り当てられていない場合には、分析官ＩＤ１００３には、分析官ＩＤが格納されていない。分析官ＩＤ１００３の分析官ＩＤは、自動割当サーバ１０５の後述するアロケーション処理によって設定される。ステータス１００４には、レコードに対応するインシデントの対処状況を表す状態値（ステータス）が格納される。対処処理時間１００５には、レコードに対応するインシデントの対処完了までにかかった処理時間が格納される。なお、ステータス１００４の状態値と、対処処理時間１００５の処理時間は、クライアント１０６を介して、分析官により入力される。その他インシデント情報１００６には、レコードに対応するインシデントの発見機器や発見日時など、インシデントに関するその他情報が格納される。なお、インシデントＩＤ１００１のインシデントＩＤ、インシデント種別ＩＤ１００２のインシデント種別ＩＤ、及びその他インシデント情報１００６の情報は、インシデント管理サーバ１０４がインシデント検出装置１０３から取得して格納する情報である。

図１１は、一実施形態に係る分析官情報テーブルの構成を説明する図である。

分析官情報テーブル８０３は、分析官毎のレコードを格納する。分析官情報テーブル８０３のレコードは、分析官ＩＤ１１０１、及びその他分析官情報１１０２をデータ項目として有する。

分析官ＩＤ１１０１には、分析官に対してユニークに割り当てられた識別子（分析官ＩＤ）が格納される。その他分析官情報１１０２には、レコードに対応する分析官の氏名や所属など、分析官に関するその他の情報が格納される。本実施形態では、分析官情報テーブル８０３に格納される各情報が自動アロケーションシステム１００の管理者によって事前に設定される。なお、分析官情報テーブル８０３に格納される各情報を、図示しない社内のＩＤ管理システムと連携して取得するようにしてもよい。

図１２は、一実施形態に係る分析官能力情報テーブルの構成を説明する図である。

分析官能力情報テーブル８０４は、各分析官についてのインシデント種別毎に対応するレコードを格納する。分析官能力情報テーブル８０４のレコードは、分析官ＩＤ１２０１、インシデント種別ＩＤ１２０２、対処平均時間１２０３、対処回数１２０４、及び習熟度１２０５をデータ項目として有する。

分析官ＩＤ１２０１には、レコードに対応する分析官のＩＤ（分析官ＩＤ）が格納される。インシデント種別ＩＤ１２０２には、レコードに対応するインシデントの種別のＩＤ（インシデント種別ＩＤ）が格納される。なお、分析官ＩＤ１２０１の分析官ＩＤとインシデント種別ＩＤ１２０２のインシデント種別ＩＤとは、ペアになっており、インシデント種別情報テーブル８０１のインシデント種別ＩＤ９０１のインシデント種別ＩＤと、分析官情報テーブル８０３の分析官ＩＤ１１０１の分析官ＩＤとの全ての組み合わせに対応するレコードが分析官能力情報テーブル８０４に格納される。

対処平均時間１２０３には、レコードに対応する分析官が、レコードに対応するインシデント種別のインシデントの対処にかかる処理時間の平均値（対処平均時間）が格納される。対処回数１２０４には、レコードに対応する分析官がレコードに対応するインシデント種別のインシデントに対処した回数（対処回数）が格納される。習熟度１２０５には、レコードに対応する分析官が、レコードに対応するインシデント種別のインシデントの対処に対する習熟度のスコア（習熟度情報）が格納される。なお、対処平均時間１２０３、対処回数１２０４、及び習熟度１２０５の値は、後述する自動割当サーバ１０５の対処実績学習処理により更新される。

なお、本実施形態においては、インシデント種別情報テーブル８０１、インシデント情報テーブル８０２、分析官情報テーブル８０３、及び分析官能力情報テーブル８０４をデータベース１０７上に構築しているが、これらテーブルを自動割当サーバ１０５に格納するようにしてもよい。また、各テーブルの少なくともいずれか複数を結合して１つのテーブルとしてもよく、より正規化されたテーブルとしてもよい。

次に、本実施形態における自動アロケーション方法の処理動作について説明する。以下で説明する自動アロケーション方法に処理における各種動作は、自動アロケーションシステム１００を構成する、例えば自動割当サーバ１０５がプログラムをメモリ７０３などに読み出してＣＰＵ７０２が実行することによって実現される。このプログラムは、以下に説明される各種の動作を行うためのコードから構成されている。なお、以下の説明においては、自動割当サーバ１０５が実行する処理のみならず、他の装置が実行する処理についても適宜説明する。

（インシデント検出処理）
図１３は、一実施形態に係るインシデント検出処理のシーケンス図である。ここで、インシデント検出処理は、インシデント検出装置１０３によりインシデントを検出する処理と、インシデント管理サーバ１０４によりインシデントを収集して登録する処理が含まれる。インシデント検出処理は、自動割当サーバ１０５において、後述するアロケーション処理を行う前（少なくとも直前）に、実行しておく必要がある。また、ログ情報（管理対象機器１０１から得られる情報）は、管理対象機器１０１にて随時、追加や更新がなされているため、本実施形態の自動アロケーションシステム（に含まれる、或いは協働する管理対象機器１０１、インシデント検出装置１０３、インシデント管理サーバ１０４、または自動割当サーバ１０５）においては、これら各情報の取得処理をバックグラウンドの処理として実行するようにしてもよい。

まず、インシデント検出装置１０３のログ収集部３０３は、管理対象機器１０１にログ情報収集の処理を依頼する。同依頼を受けた管理対象機器１０１は、ログ出力部２０３を起動し、自身のＯＳやセキュリティ製品のログ情報を収集して、ログ情報をインシデント検出装置１０３に送信する（Ｓ１３０１）。

次に、インシデント検出装置１０３のインシデント検出処理部３０４は、取得したログ情報に基づき、管理対象機器１０１に存在するインシデントを検出する（Ｓ１３０２）。なお、インシデントを検出する方法としては、管理対象機器１０１のログ情報からインシデントの特徴的なパターンを検索する方法や、管理対象機器１０１の各ログ情報を相関分析する方法を利用してもよく、また、その他の方法を利用してもよい。

次に、インシデント検出装置１０３のインシデント出力部３０５は、送受信部３０１を介して、インシデント検出処理部３０４の処理結果、すなわち、検出したインシデントの情報（インシデント情報）をインシデント管理サーバ１０４に送信する（Ｓ１３０３）。

これに対して、インシデント管理サーバ１０４のインシデント収集部４０３は、インシデント検出装置１０３からインシデント情報を受信し、インシデント登録処理部４０４は、受信されたインシデント情報をデータベース１０７のインシデント情報テーブル８０２に登録する（Ｓ１３０４）。

上記した処理（ステップＳ１３０１～Ｓ１３０４）は、管理対象機器１０１毎に実行される、すなわち、管理対象機器１０１の数だけ反復して実行されることとなる。

本実施形態では、管理対象機器１０１とインシデント検出装置１０３との間でクライアントサーバ構成を取っており、ログ情報などの取得処理を自動化して運用を効率化している。但し、クライアント１０６などを利用するユーザの指示によって、データファイル形式で管理対象機器１０１のログ情報を取得し、これをインシデント検出装置１０３に入力するようにしてもよい。このようにユーザの指示に従ってログ情報の入力を行うことで、管理対象機器１０１をエージェントレスで動作させることができる利点はある。また、本実施形態では、インシデント検出装置１０３が定期的にログ情報の取得を要求するようにしているが、管理対象機器１０１がログ送信するタイミングを管理してもよい。

（アロケーション処理）
次に、自動割当サーバ１０５がインシデントに分析官を割り当てるアロケーション処理について説明する。

図１４は、一実施形態に係るアロケーション処理のシーケンス図である。

アロケーション処理は、例えば、自動割当サーバ１０５により、所定の間隔で実行が開始される。この実行間隔は、事前にハードコーディングされていてもよいし、自動アロケーションシステム１００の管理者がＳＯＣの運用実態などに基づいて定義するようにしてもよく、他の方法で設定してもよい。

まず、自動割当サーバ１０５のデータベース参照処理部５０３は、データベース１０７上の各情報を取得する（Ｓ１４０１）。本実施形態では、ステップＳ１４０１において、データベース１０７の必要な全てのデータを一括して取得するようにしているが、自動割当サーバ１０５が、データが処理に必要になったタイミングで逐次データベース１０７を参照して、取得するようにしてもよい。

次に、自動割当サーバ１０５の評価関数生成処理部５０４は、データベース１０７から取得した各種情報に基づき、評価関数生成処理を実施する（Ｓ１４０２）。

ここで、評価関数生成処理（Ｓ１４０２）の処理を詳細に説明する。

図１５は、一実施形態に係る評価関数生成処理のフローチャートである。

評価関数生成処理においては、まず、評価関数生成処理部５０４は、インシデント情報テーブル８０２の分析官ＩＤ１００３の分析官ＩＤを確認し、分析官が未だ割り当てられていない１以上のインシデント（新規インシデント）を抽出し、これら新規インシデントに対する各分析官の割り当ての有無を表す変数（割当変数）を定義する（Ｓ１５０１）。ここで、分析官ｉ（１≦ｉ≦分析官の最大数（Ｍ））についてのインシデントｊ（１≦ｊ≦新規インシデントの最大数（Ｎ））への割当の有無を示す割当変数を、割当変数Ｘ_ｉｊとする。割当変数Ｘ_ｉｊは、各新規インシデントと、各分析官との組み合わせの数だけ存在することとなる。割当変数Ｘ_ｉｊは、０か１の２値の値をとる。変数Ｘ_ｉｊの値が０の場合は、ｉに対応する分析官が、ｊに対応する新規インシデントに割り当てられてないことを意味し、値が１の場合は、ｉに対応する分析官が、ｊに対応する新規インシデントに割り当てられていることを意味する。

次に、評価関数生成処理部５０４は、割当変数を用いて、新規インシデントにより各分析官に新たに発生する想定される対処処理時間を示す式（第１式：新規インシデント処理時間式）を計算する（Ｓ１５０２）。新規インシデント処理時間式を算出する方法としては、まず、新規インシデント毎に、このインシデントのインシデント種別と、この分析官の分析官ＩＤを用いて、分析官能力情報テーブル８０４から対応するレコードを特定し、そのレコードの対処平均時間１２０３の対処平均時間を取得する。次いで、分析官についての各インシデントに対応する割当変数と、各インシデントに対応する対処平均時間とを掛け合わせて、これらを合計することにより、新規インシデント処理時間式Ｔａ_ｉを算出する。
新規インシデント処理時間式Ｔａ_ｉは、以下の式（１）に示すようになる。

新規インシデント処理時間式Ｔａ_ｉ＝
Ｘ_ｉ１×Ｔａｖｅ_ｉ１＋Ｘ_ｉ2×Ｔａｖｅ_ｉ２＋・・・・＋Ｘ_ｉｎ×Ｔａｖｅ_ｉｎ ・・・（１）
ここで、Ｔａｖｅ_ｉｊは、分析官ｉによるインシデントｊに対する対処平均時間である。

次に、評価関数生成処理部５０４は、分析官毎に、割当済で且つ、未対処の全てのインシデントにかかる想定処理時間（未処理対処処理時間）を計算する（Ｓ１５０３）。或る分析官に割当済で且つ、未対処のインシデントは、インシデント情報テーブル８０２の分析官ＩＤ１００３にその或る分析官の分析官ＩＤが割り当てられており、且つステータス１００４の値が未処理であることにより特定できる。未対処の全てのインシデントの想定処理時間の計算方法は、それぞれの未対処のインシデントの種別と、この分析官の分析官ＩＤを用いて、分析官能力情報テーブル８０４から対応するレコードを特定し、そのレコードの対処平均時間１２０３の対処平均時間を取得する。この対処平均時間は、１つの未対処のインシデントの対処処理時間となる。そして、全ての未対処のインシデントに対する対処処理時間を合計することにより、この分析官の未対処の全てのインシデントにかかる想定処理時間（Ｔｂ_ｉ：未処理対処処理時間）を得ることができる。

次に、評価関数生成処理部５０４は、インシデント情報テーブル８０１の出現頻度９０３の値に基づき、所定の時間内に発生する可能性のある仮想インシデントを生成する。仮想インシデントを生成する方法の例としては、出現頻度９０３の値に基づき確率分布を生成し、この確率分布に基づきランダムに一定数生成する方法がある。次いで、評価関数生成処理部５０４は、ステップＳ１５０１と同様の方法で、仮想インシデントに対する分析官の割当の有無を表す割当変数（仮想インシデント割当変数）を定義し、ステップＳ１５０２と同様の方法で、仮想インシデントにより各分析官に新たに発生すると想定される想定処理時間を示す式（第３式：仮想インシデント処理時間式）を計算する。
仮想インシデント処理時間式Ｔｃ_ｉは、以下の式（２）に示すようになる。

仮想インシデント処理時間式Ｔｃ_ｉ＝
Ｙ_ｉ１×Ｔａｖｅ_ｉ１＋Ｙ_ｉ2×Ｔａｖｅ_ｉ２＋・・・・＋Ｙ_ｉｏ×Ｔａｖｅ_ｉｏ ・・・（２）
ここで、Ｙ_ｉｋは、分析官ｉ（１≦ｉ≦分析官の最大数（Ｍ））についての仮想インシデントｋ（１≦ｋ≦仮想インシデントの最大数（Ｏ））への割当の有無を示す仮想インシデント割当変数である。

次に、評価関数生成処理部５０４は、ステップＳ１５０２～ステップＳ１５０４の各ステップで計算した想定処理時間及び式を分析官毎に合算して合計想定処理時間を示す式（第２式：合計想定処理時間式）を集計（生成）する（Ｓ１５０５）。これにより、分析官毎に新規インシデント、割当済インシデント、及び仮想インシデントの全ての対処に要する合計想定処理時間式が得られる。
ここで、合計想定処理時間式Ｔｄ_ｉは、以下の式（３）で示すようになる。
合計想定処理時間式Ｔｄ_ｉ＝Ｔａ_ｉ＋Ｔｂ_ｉ＋Ｔｃ_ｉ ・・・（３）

なお、ステップＳ１５０５において、評価関数生成処理部５０４は、分析官毎かつインシデントの脅威度毎に対して、それぞれの合計想定処理時間式を集計（生成）するようにしてもよい。ここで、インシデントの種別ＩＤ１００２のインシデント種別ＩＤに基づいて、インシデント種別情報テーブル８０１の脅威度９０２の脅威度を参照することで、インシデントごとの脅威度を特定することができる。したがって、分析官毎かつインシデントの脅威度毎についての合計想定処理時間式の生成は容易に実行できる。

次に、評価関数生成処理部５０４は、分析官全体における習熟度の式（全体習熟度式）を計算する（Ｓ１５０６）。全体習熟度式を計算する方法としては、分析官毎に、新規インシデントに対する分析官の割当の有無を表す割当変数と、分析官能力情報テーブル８０４における新規インシデントに対する当該分析官の習熟度１２０５の習熟度とを掛け合わせて分析官毎の習熟度を示す分析官毎習熟度の式を求め、分析官毎習熟度の式を全て足し合わせる方法がある。本実施形態では、分析官のインシデント対処能力が高いほど習熟度１２０５の数値が大きくなるため、分析官に習熟度が大きいインシデントが割当たっているほど、全体習熟度は大きくなる。

次に、評価関数生成処理部５０４は、評価関数を生成（合成）する（Ｓ１５０７）。評価関数を生成する方法としては、ステップＳ１５０５で集計した分析官毎に集計した、複数の合計想定処理時間式から得られる最大値を評価関数とする方法（方法１）と、ステップＳ１５０５で集計した分析官毎かつインシデントの脅威度毎に集計した想定処理時間の式のうち、特定の脅威度の分析官毎の、複数の合計想定処理時間の式を抽出し、その式から得られる最大値を評価関数とする方法（方法２）と、ステップＳ１５０６で計算した全体習熟度式を評価関数とする方法（方法３）とがある。

方法１による評価関数Ｚは、以下に示す式（４）で示される。
評価関数Ｚ＝ｍａｘ（Ｔｄ_１，Ｔｄ_２，・・・・，Ｔｄ_Ｍ－１，Ｔｄ_Ｍ） ・・・（４）
ここで、ｍａｘ（）は、（）内における各式の値の最大値を示す関数である。

この方法１による評価関数は、分析官の合計想定処理時間式から得られる最大値を評価関数としているので、評価関数に基づいて、評価関数の値が最小化するようなインシデントに対する分析官の割当の有無を表す割当変数を探索することで、分析官に対する業務を均等にしつつ、ＳＯＣ全体のインシデント対処にかかる時間を最小化することができる。

方法２による評価関数は、例えば、脅威度が高い（例えば、最も脅威度が高い、又は所定の脅威度以上）インシデントを対象として分析官毎に集計された合計想定処理時間式から得られる最大値を評価関数としているので、評価関数の値を最小化するようなインシデントに対する分析官の割当の有無を表す割当変数を探索することで、脅威度が高いインシデントについての分析官の業務を均等にしつつ、ＳＯＣ全体で脅威度が所定の範囲のインシデントの対処に係る時間を最小化することができる。ここで、方法１による評価関数を用いると、インシデントの脅威度に基づかずに、アロケーションを実施するため、脅威度が高いインシデントが特定の分析官に集中してしまい、優先的に対処したい高脅威のインシデントへの対処が遅れる可能性があるが、方法２による評価関数によると、脅威度が高いインシデントへの対処を最適化することができる。

方法３による評価関数は、全体習熟度式を評価関数としており、評価関数を最小化するように割当変数を探索するようにすると、インシデントに対して習熟度の低い分析官を割り当てることができ、結果として、各分析官の習熟度の底上げを行うことができ、将来的には、全体としての処理効率の向上に寄与することとなる。ここで、一般的に習熟度が低いほど、対処平均時間はかかるため、インシデントに対して習熟度が低い分析官を割り当てると、その時点では、ＳＯＣ全体の業務効率は低下してしまう。そこで、新規インシデント数などが少ない場合に選択的に方法３を利用するようにして、ＳＯＣ全体の業務への影響を低減できるようにしてもよい。

また、方法３による評価関数を用いて、評価関数を最大化するように割当変数を探索するようにすると、インシデントに対して習熟度の高い分析官を割り当てることができ、結果として、そのインシデントに対する対処の品質及び効率を向上することができる。

また、評価関数を合成する方法としては、方法１～方法３までのいずれか複数の評価関数を組み合わせたものを評価関数（合成評価関数）としてもよく、このようにすることにより、複数の方法による評価関数によるそれぞれの利点が組み合わされた利点を得ることができる。合成評価関数としては、例えば、方法１～方法３までのいずれか複数の評価関数のそれぞれについて重み付けを与えて加算したものとしてもよい。評価関数に対する重みについては、自動アロケーションシステム１００の管理者が定義するようにしてもよい。

具体的には、例えば、方法１（又は方法２）の評価関数と方法３の評価関数とを組み合わせた合成評価関数としてもよい。この場合、合成評価関数は、方法１（又は方法２）の評価関数の値が小さくなるほど、また、方法３による評価関数の値が小さくなるほど小さくなるような関数としてもよく、このようにすると、対象とするインシデントに対する処理時間の短縮と、分析官の習熟度の底上げとの両立に最適な割当を行うことができる。また、合成評価関数を、方法１（又は方法２）の評価関数の値が小さくなるほど、また、方法３による評価関数の値が大きくなるほど小さくなる関数としてもよく、このようにすると、対象とするインシデントに対する処理時間の短縮と、インシデントに対する対処の品質及び効率の向上との両立に最適な割当を行うことができる。

上記した本実施形態では、ステップＳ１５０４において、出現頻度に基づいて仮想インシデントを生成し、仮想インシデント処理時間式を算出し、ステップＳ１５０５において、合計想定処理時間に、仮想インシデント処理時間式を加えるようにしている。このため、以降において想定されるインシデントが発生した場合において、このインシデントに割り当てられる可能性のある分析官に対して余力を持たせておくことができる。なぜなら、出現頻度が高い程、仮想インシデントとして生成される数が多く、想定処理時間を最小化するために、仮想インシデントに対しては、その対処が得意な分析官が割り当てられやすいため、出現頻度が高いインシデントを得意とする分析官ほど実際には存在しない仮想インシデントが割り当てられることとなり、余力が残ることとなる。このように、分析官の余力を残すことで、出現頻度が高いインシデントの今後の発生に備えることが可能になる。なお、仮想インシデント処理時間式を合計想定処理時間式に加えることは必ずしも必須ではなく、合計想定処理時間式に対して、仮想インシデント処理時間式を加えないようにしてもよい。

次に、アロケーション処理における評価関数生成処理（Ｓ１４０２）を実行した後の処理を、図１４を参照して説明する。

自動割当サーバ１０５の分析官割当最適化処理部５０５は、生成された評価関数を最適化する分析官の割当の有無を表す割当変数及び仮想インシデント割当変数の解を探索する（Ｓ１４０３）。最適化解を探索する方法としては、ＣＯＩＮ－ＯＲ Ｂｒａｎｃｈ－ａｎｄ－Ｃｕｔ法など、公知な方法を使用してもよいが、これに限られない。

次に、自動割当サーバ１０５の分析官割当出力処理部５０６は、送受信部５０１を介して、インシデント管理サーバ１０４に対して、探索した割当変数の解に従う分析官の割当内容を送信することにより、分析官の割り当てを要求する（Ｓ１４０４）。

これに対して、インシデント管理サーバ１０４の分析官割当登録処理部４０５は、送受信部４０１を介して、自動割当サーバ１０５から受け付けた分析官の割当内容をデータベース１０７のインシデント情報テーブル８０２に登録する（Ｓ１４０５）。具体的には、新規インシデントに対応するレコードの分析官ＩＤ１００３に割り当てられた分析官の分析官ＩＤを格納する。

次に、インシデント管理サーバ１０４のインシデント通知処理部４０６は、送受信部４０１を介して、分析官のクライアント１０６に新規に分析官が割り当てられたインシデントを通知する（Ｓ１４０６）。インシデントを通知する方法は、割当られた分析官宛にメールで通知しても良いし、分析官のクライアント１０６上で通知内容をポップアップさせて表示してもよい。

（インシデント参照処理）
次に、分析官が割り当てられたインシデントを参照する際に実行されるインシデント参照処理について説明する。

図１６は、一実施形態に係るインシデント参照処理のシーケンス図である。

まず、クライアント１０６のインシデント画面表示部６０４は、入出力部６０２を介して、分析官からインシデント情報の閲覧要求の入力を受け付け、送受信部６０１を介して、インシデント情報の閲覧要求を送信する（Ｓ１６０１）。なお、本実施形態では、閲覧要求には、事前のログインなどで特定された分析官ＩＤが含まれている。

インシデント管理サーバ１０４のインシデント参照処理部４０７は、送受信部４０１を介して、クライアント１０６から閲覧要求を受け付け、データベース１０７のインシデント情報テーブル８０２の各情報を取得し、取得した情報をクライアント１０６に返信する（Ｓ１６０２）。なお、上記閲覧要求に含まれる分析官ＩＤに基づき、分析官に関係する情報に限定して返信すると好適である。

一方、クライアント１０６のインシデント画面表示部６０４は、送受信部６０１を介して、インシデント情報を受け付け、入出力部６０２を介して、インシデント情報を分析官に提示する（Ｓ１６０３）。

ここで、クライアント１０６が分析官に提示する画面（分析官画面）について、説明する。

図１８は、一実施形態に係る分析官画面の一例を示す図である。

分析官画面１８０１は、分析官のクライアント１０６に表示される画面である。分析官画面１８０１は、分析官情報表示領域１８０２と、インシデント情報表示領域１８０３と、ラジオボタン１８０４と、インシデント詳細情報表示領域１８０５と、対策完了ボタン１８０６とを含む。

分析官情報表示領域１８０２には、分析官の情報が表示される。分析官情報は、分析官情報テーブル８０３から取得することができる。インシデント情報表示領域１８０３には、分析官画面１８０１が対象とする分析官に担当づけられたインシデントの名称や発見場所などの情報がリスト化して表示される。インシデントの各情報は、インシデント情報テーブル８０２を参照することにより取得される。インシデント詳細情報表示領域１８０５には、インシデントに関するより詳細な情報が表示される。ラジオボックス１８０４は、インシデント情報表示領域１８０３に表示されるインシデントにそれぞれ対応して表示され、対処したインシデントを選択可能となっている。なお、対応するインシデントを選択可能にする表示態様としては、これに限らず、インシデントを選択できればよく、ハイパーリンクなどでもよい。対処完了ボタン１８０６は、インシデントへの対処処理の完了を受け付けるためのボタンである。

図１６の説明に戻り、ステップＳ１６０３では、分析官により、分析官画面１８０１を参考にインシデントへの対処が実施されることとなる。インシデントへの対処方法は、対象のインシデントにより大きく異なる。なお、インシデントへの対処方法としては任意の方法を用いることができる。

次に、クライアント１０６の対処結果入力処理部６０５は、入出力部６０２を介して、分析官から対処結果の入力を受け付け、受信部６０１を介して、インシデント管理サーバ１０４に対処結果の登録要求を送信する（Ｓ１６０４）。ここで、図１８に示す分析官画面１８０１の例では、分析官は、ラジオボタン１８０４で対象となるインシデントを選択し、対処完了ボタン１８０６ボタンが押下することで、対処完了したインシデントの入力を行うことができる。

これに対して、インシデント管理サーバ１０４の対処結果登録処理部４０８は、送受信部４０１を介して、クライアント１０６から対処結果の登録要求を受け付け、データベース１０７のインシデント情報テーブル８０２を更新する（Ｓ１６０５）。具体的には、対処結果登録処理部４０８は、インシデント情報テーブル８０２の対処したインシデントに対応するレコードの少なくともステータス１００４と、対処処理時間１００５とを更新する。

（対処実績学習処理）
図１７は、一実施形態に係る対処実績学習処理のシーケンス図である。

対処実績学習処理は、自動割当サーバ１０５により、例えば、一定時間ごとに繰り返し実行が開始される。対処実績学習処理の実行間隔は、事前にハードコーディングされていてもよいし、自動アロケーションシステム１００の管理者がＳＯＣの運用実態などに基づいて定義するようにしてもよく、他の方法で設定してもよい。

まず、自動割当サーバ１０５の対処実績学習処理部５０７は、データベース１０７の各情報を取得する（Ｓ１７０１）。本実施形態では、ステップＳ１７０１において、データベース１０７の必要な全てのデータを一括して取得するようにしているが、自動割当サーバ１０５が、データが処理に必要になったタイミングで逐次データベース１０７を参照して、取得するようにしてもよい。

次に、対処実績学習処理部５０７は、インシデントの出現頻度を学習する（Ｓ１７０２）。インシデントの出現頻度を学習する方法としては、インシデント情報テーブル８０２のインシデントのレコード件数をインシデント種別１００２毎に統計する方法がある。

次に、対処実績学習処理部５０７は、分析官の対処平均時間を学習する（Ｓ１７０３）。対処平均時間を学習する方法としては、インシデント情報テーブル８０２のインシデント種別ＩＤ１００２と分析官ＩＤ１００３とを参照し、各分析官のインシデント種別毎のレコードを特定し、特定したレコードの対処処理時間１００５の対処処理時間の平均を取る方法がある。

次に、対処実績学習処理部５０７は、分析官の対処回数を学習する（Ｓ１７０４）。対処回数を学習する方法としては、インシデント情報テーブル８０２のインシデント種別ＩＤ１００２と分析官ＩＤ１００３とを参照し、各分析官のインシデント種別毎のレコード件数を統計する方法がある。

次に、対処実績学習処理部５０７は、分析官の習熟度を学習する（Ｓ１７０５）。習熟度を学習する方法としては、分析官能力情報テーブル８０４の対処平均時間１２０３の対処平均時間の逆数と、対処回数１２０４の対処回数とを掛け合わせたものを、習熟度を示すスコアとする方法がある。この場合には、対処平均時間が短いほど、習熟度が高く、対処回数が多いほど、習熟度が高いこととなる。

次に、対処実績学習処理部５０７は、ステップＳ１７０２～Ｓ１７０５で学習した各情報に基づき、データベース１０７の分析官能力情報テーブル８０４及びインシデント種別情報テーブル８０１の対応する情報（対処平均時間１２０３、対処回数１２０４、及び習熟度１２０５、及び出現頻度９０３の値）を更新する（Ｓ１７０６）。

上記した対処実績学習処理によると、インシデント出現頻度、審査官の対処平均時間、対処回数、及び習熟度を状況に応じて適切に学習することができ、インシデントへの分析官の割り当てを適切に行うことができるようになる。

なお、本発明は、上述の実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で、適宜変形して実施することが可能である。例えば、上記した実施形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。

また、上記の各構成、機能、処理部、処理手段などは、それらの一部又は全部を、例えば集積回路で設計するなどによりハードウェアで実現してもよい。また、上記の各構成、機能などは、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイルなどの情報は、メモリや、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）などの記録装置、または、ＩＣカード、ＳＤカード、ＤＶＤなどの記録媒体に置くことができる。

また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

１００ 自動アロケーションシステム、１０１ 管理対象機器、１０２ ネットワーク、１０３ インシデント検出装置、１０４ インシデント管理サーバ、１０５ 自動割当サーバ、１０６ クライアント、１０７ データベース、７０２ ＣＰＵ、７０３ メモリ、７０４ 外部記憶装置、７０５ 送受信装置、７０６ 出力装置、７０７ 入力装置、８０１ インシデント種別情報テーブル、８０２ インシデント情報テーブル、８０３ 分析官情報テーブル、８０４ 分析官能力情報テーブル

Claims (11)

1. １以上の新規インシデントに対する対処を実行する分析官の割り当てを決定する分析官アロケーションシステムであって、
   前記分析官アロケーションシステムは、情報を記憶する記憶部と、前記記憶部に接続されたプロセッサ部とを備え、
   前記記憶部は、複数の前記分析官のそれぞれについての複数のインシデント種別の対処に要する対処処理時間を含む分析官能力情報を記憶し、
   前記プロセッサ部は、
   １以上の新規インシデントを受け付け、
   複数の分析官のそれぞれについて、それぞれの前記新規インシデントに対する分析官の割り当ての有無を示す割当変数と、前記分析官による前記新規インシデントに対応するインシデント種別のインシデントに対する前記対処処理時間とに基づいて、前記分析官による新規インシデントの対処に要する新規インシデント対処処理時間を示す第１式を生成し、
   前記分析官に割り当て済であって未処理のインシデントの対処に要する未処理対処処理時間を算出し、
   前記第１式と、前記未処理対処処理時間とに基づいて、前記分析官のインシデントに対する合計対処処理時間を示す第２式を生成し、
   複数の前記分析官に対応する複数の前記第２式から算出される最大の対処処理時間を評価関数とし、前記評価関数に基づいて、前記割当変数の最適化解を探索し、
   探索により求められた前記最適化解に従って、前記新規インシデントへの前記分析官の割り当てを決定する
   分析官アロケーションシステム。
2. 前記プロセッサ部は、
   所定の脅威度を有するインシデントを、前記第１式と、前記未処理対処処理時間との算出対象とする
   請求項１に記載の分析官アロケーションシステム。
3. 前記記憶部は、インシデント種別ごとの発生頻度に関する発生頻度情報を記憶し、
   前記プロセッサ部は、
   前記発生頻度情報に基づいて、所定の時間内に発生する可能性のある１以上の仮想インシデントを生成し、
   前記仮想インシデントに対する前記分析官の割り当ての有無を示す仮想インシデント割当変数と、前記分析官による前記仮想インシデントに対応するインシデント種別のインシデントに対する前記対処処理時間とに基づいて、前記分析官による仮想インシデントの対処に要する仮想インシデント対処処理時間を示す第３式を生成し、
   前記第２式を、前記第１式と、未処理対処処理時間と、前記第３式とに基づいて生成し、
   複数の前記分析官に対応する複数の前記第２式から算出される最大の対処処理時間を評価関数とし、前記評価関数を最小とする割当変数及び仮想インシデント割当変数の最適化解を探索する
   請求項１又は請求項２に記載の分析官アロケーションシステム。
4. 前記記憶部は、前記分析官のインシデント種別ごとの習熟度に関する習熟度情報を記憶し、
   前記プロセッサ部は、
   それぞれの前記分析官についてのそれぞれの前記割当変数と、前記分析官による前記新規インシデントに対応するインシデント種別のインシデントに対する前記習熟度とに基づいて、前記分析官による割当られた新規インシデントの対処に対する新規インシデント習熟度を示す分析官毎習熟度式を生成し、
   複数の分析官についての複数の分析官毎習熟度式を合計することにより、複数の分析官の全体としての全体習熟度式を生成し、
   前記評価関数と、前記全体習熟度式とに基づいて合成評価関数を生成し、
   前記割当変数の最適化解の探索においては、前記評価関数に代えて、前記合成評価関数に基づいて割当変数の最適化解を探索する
   請求項１から請求項３のいずれか一項に記載の分析官アロケーションシステム。
5. 前記合成評価関数は、前記評価関数の値が小さくなるほど、また、前記全体習熟度式の値が小さくなるほど、小さくなる関数であり、
   前記プロセッサ部は、前記合成評価関数を最小とする割当変数の最適化解を探索する
   請求項４に記載の分析官アロケーションシステム。
6. 前記合成評価関数は、前記評価関数の値が小さくなるほど、また、前記全体習熟度式の値が大きくなるほど、小さくなる関数であり、
   前記プロセッサ部は、前記合成評価関数を最小とする割当変数の最適化解を探索する
   請求項４に記載の分析官アロケーションシステム。
7. 前記プロセッサ部は、
   前記分析官が対処したインシデントにおける対処時間を取得し、前記対処時間に基づいて、前記分析官のインシデント種別ごとの対処時間の平均である対処平均時間を算出し、前記対処平均時間を前記対処処理時間として前記記憶部に記憶する
   請求項１から請求項６のいずれか一項に記載の分析官アロケーションシステム。
8. 前記プロセッサ部は、
   前記分析官が対処したインシデントの種別を取得し、前記取得した種別に基づいて、前記分析官のインシデント種別ごとの習熟度を算出し、前記習熟度情報を更新する
   請求項４に記載の分析官アロケーションシステム。
9. 前記プロセッサ部は、
   前記分析官が割り当てられている前記インシデントの情報を表示する
   請求項１から請求項８のいずれか一項に記載の分析官アロケーションシステム。
10. １以上の新規インシデントに対する対処を実行する分析官の割り当てを決定する分析官アロケーションシステムによる分析官アロケーション方法であって、
    １以上の前記新規インシデントを受け付け、
    複数の分析官のそれぞれについて、それぞれの前記新規インシデントに対する前記分析官の割り当ての有無を示す割当変数と、前記分析官による前記新規インシデントに対応するインシデント種別のインシデントに対する対処処理時間とに基づいて、前記分析官による新規インシデントの対処に要する新規インシデント対処処理時間を示す第１式を生成し、
    前記分析官に割り当て済であって未処理のインシデントの対処に要する未処理対処処理時間を算出し、
    前記第１式と、未処理対処処理時間とに基づいて、前記分析官の対処処理時間を示す第２式を生成し、
    複数の前記分析官に対応する複数の前記第２関数式から算出される最大の対処処理時間を評価関数とし、
    前記評価関数に基づいて前記割当変数の最適化解を探索し、
    探索により求められた前記最適化解に従って、前記新規インシデントへの前記分析官の割当を決定する
    分析官アロケーション方法。
11. １以上の新規インシデントに対する対処を実行する分析官の割り当てを決定する分析官アロケーションシステムを構成するコンピュータに実行させるための分析官アロケーションプログラムであって、
    前記コンピュータに、
    １以上の前記新規インシデントを受け付けさせ、
    複数の分析官のそれぞれについて、それぞれの前記新規インシデントに対する前記分析官の割り当ての有無を示す割当変数と、前記分析官による前記新規インシデントに対応するインシデント種別のインシデントに対する対処処理時間とに基づいて、前記分析官による新規インシデントの対処に要する新規インシデント対処処理時間を示す第１式を生成させ、
    前記分析官に割り当て済であって未処理のインシデントの対処に要する未処理対処処理時間を算出させ、
    前記第１式と、未処理対処処理時間とに基づいて、前記分析官の対処処理時間を示す第２式を生成させ、
    複数の前記分析官に対応する複数の前記第２式から算出される最大の対処処理時間を評価関数とさせ、
    前記評価関数に基づいて割当変数の最適化解を探索させ、
    探索により求められた前記最適化解に従って、前記新規インシデントへの前記分析官の割当を決定させる
    分析官アロケーションプログラム。
    

Images