JP7195384B1 - 導入支援装置、導入支援方法及び導入支援プログラム - Google Patents

Abstract

【課題】ネットワークのセキュリティ対策のために導入する機器の特定を支援可能にする。【解決手段】導入支援装置１０は、ネットワークシステム４１を構成する機器のうちの処理対象の機器について不足している１つ以上のセキュリティ対策の項目それぞれを対象項目として、導入対象の対策機器のうち対象項目に対応する対策機器であって、ネットワークシステム４１の稼働状況において稼働可能な対策機器を候補機器として抽出する。導入支援装置１０は、候補機器についての機器情報を出力する。【選択図】図１

Description

本開示は、ネットワークのセキュリティ対策のための機器の導入を支援する技術に関する。

ＯＴ（Ｏｐｅｒａｔｉｏｎａｌ Ｔｅｃｈｎｏｌｏｇｙ）ネットワークに対するセキュリティ対策の必要性が高くなっている。しかし、ＩＴ（Ｉｎｆｏｒｍａｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ）ネットワークとは異なり、ＯＴネットワークは常時稼働することが重視されるため、セキュリティ対策のための機器の導入が進んでいない。

従来は、機器の脆弱性チェックリストと、ネットワークの脆弱性チェックリストとを用いて、機器の重要度と障害発生時の影響範囲とを考慮して、ＯＴネットワークのリスク評価が行われる。そして、リスク評価の結果を参照して、セキュリティ対策のために導入する機器が人の判断により特定される。そのため、専門的な知識を持つ人が時間をかけて導入する機器を特定する必要があり、セキュリティ対策のための機器の導入が進まない要因になっている。

特許文献１には、セキュリティ機能を実現するための方策を機能させるために必要となる付随機能要素であって、システムの構成要素に応じて変化する付随機能要素について、ユーザが所望の保護資産を選択すると候補を表示することが記載されている。付随機能要素とは、通信路の暗号化といった、セキュリティ機能を実現するための方策を保護する機能である。

国際公開第２０１４／０６１３２６号

特許文献１に記載された技術では、セキュリティ機能を実現するための方策を機能させるために必要な付随機能を特定することは支援される。しかし、セキュリティ機能を実現するための方策を機能させるために導入すべき具体的な機器を特定することは支援されない。
本開示は、ネットワークのセキュリティ対策のために導入する機器の特定を支援可能にすることを目的とする。

本開示に係る導入支援装置は、
既存のネットワークを構成する機器のうちの処理対象の機器について不足している１つ以上のセキュリティ対策の項目それぞれを対象項目として、導入対象の対策機器のうち前記対象項目に対応する対策機器であって、前記既存のネットワークの稼働状況において稼働可能な対策機器を候補機器として抽出する候補抽出部と、
前記候補抽出部によって抽出された前記候補機器についての機器情報を出力する結果出力部と
を備える。

本開示では、既存のネットワークについての既存情報とセキュリティ対策の項目とから導入する候補となる候補機器が特定され、候補機器についての機器情報が得られる。これにより、専門知識を有していない人であっても、セキュリティ対策のために導入すべき機器の特定が支援される。

実施の形態１に係る導入支援システム１００の構成図。 実施の形態１に係る導入支援装置１０の構成図。 実施の形態１に係る対策機器情報３１の説明図。 実施の形態１に係る特定処理のフローチャート。 実施の形態１に係る既存情報３２を保存するグラフデータベース５０の説明図。 実施の形態１に係る対策項目情報３３の説明図。 実施の形態１に係る候補抽出処理（ステップＳ１５）及び組込位置特定処理（ステップＳ１６）のフローチャート。 実施の形態１に係る位置特定処理の説明図。 実施の形態１に係る停止処理の説明図。 変形例１に係る導入支援装置１０の構成図。 実施の形態２に係る導入支援装置１０の構成図。 実施の形態２に係る特定処理のフローチャート。

実施の形態１．
＊＊＊構成の説明＊＊＊
図１を参照して、実施の形態１に係る導入支援システム１００の構成を説明する。
導入支援システム１００は、導入支援装置１０と、ネットワークシステム４１と、ユーザ端末４２とを備える。導入支援装置１０は、ネットワークシステム４１及びユーザ端末４２と伝送路４３を介して接続されている。
導入支援装置１０は、セキュリティ対策のために導入する機器の候補を特定するコンピュータである。ネットワークシステム４１は、工場等に構築されたＯＴネットワークである。ユーザ端末４２は、導入支援装置１０を使用するユーザによって操作されるＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）等の端末である。伝送路４３は、具体例としては、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）又は専用線である。

図２を参照して、実施の形態１に係る導入支援装置１０の構成を説明する。
導入支援装置１０は、プロセッサ１１と、メモリ１２と、ストレージ１３と、通信インタフェース１４とのハードウェアを備える。プロセッサ１１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

プロセッサ１１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）である。プロセッサ１１は、具体例としては、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。

メモリ１２は、データを一時的に記憶する記憶装置である。メモリ１２は、具体例としては、ＳＲＡＭ（Ｓｔａｔｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。

ストレージ１３は、データを保管する記憶装置である。ストレージ１３は、具体例としては、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）である。また、ストレージ１３は、ＳＤ（登録商標，Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌ）メモリカード、ＣＦ（ＣｏｍｐａｃｔＦｌａｓｈ，登録商標）、ＮＡＮＤフラッシュ、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）といった可搬記録媒体であってもよい。

通信インタフェース１４は、外部の装置と通信するためのインタフェースである。通信インタフェース１４は、具体例としては、Ｅｔｈｅｒｎｅｔ（登録商標）、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）、ＨＤＭＩ（登録商標，Ｈｉｇｈ－Ｄｅｆｉｎｉｔｉｏｎ Ｍｕｌｔｉｍｅｄｉａ Ｉｎｔｅｒｆａｃｅ）のポートである。

導入支援装置１０は、機能構成要素として、情報取得部２１と、指定受付部２２と、要求受付部２３と、リスク評価部２４と、候補抽出部２５と、組込位置特定部２６と、結果出力部２７とを備える。導入支援装置１０の各機能構成要素の機能はソフトウェアにより実現される。
ストレージ１３には、導入支援装置１０の各機能構成要素の機能を実現するプログラムが格納されている。このプログラムは、プロセッサ１１によりメモリ１２に読み込まれ、プロセッサ１１によって実行される。これにより、導入支援装置１０の各機能構成要素の機能が実現される。

ストレージ１３には、対策機器情報３１と、既存情報３２と、対策項目情報３３と、導入後情報３４とが記憶される。

図２では、プロセッサ１１は、１つだけ示されていた。しかし、プロセッサ１１は、複数であってもよく、複数のプロセッサ１１が、各機能を実現するプログラムを連携して実行してもよい。

＊＊＊動作の説明＊＊＊
図３から図９を参照して、実施の形態１に係る導入支援装置１０の動作を説明する。
実施の形態１に係る導入支援装置１０の動作手順は、実施の形態１に係る導入支援方法に相当する。また、実施の形態１に係る導入支援装置１０の動作を実現するプログラムは、実施の形態１に係る導入支援プログラムに相当する。

導入支援装置１０の動作は、事前処理と、特定処理とに分けられる。

図３を参照して、実施の形態１に係る事前処理を説明する。
事前処理は、特定処理で必要となる対策機器情報３１を取得する処理である。図３に示すように、対策機器情報３１には、機器識別子と、種別と、通信プロトコルと、動作温度と、通信速度と、価格といった情報が含まれる。
機器識別子は、対策機器の識別子である。種別は、対策機器の機能の種別であり、対策機器がどのセキュリティ対策に対応しているかを示す。通信プロトコルは、対策機器が対応しているプロトコルである。動作温度は、対策機器が動作可能な温度である。通信速度は、対策機器の最大通信速度である。価格は、対策機器の価格である。
具体的には、情報取得部２１は、セキュリティ対策のための機器であって、導入対象の機器である対策機器についての情報を取得して、ストレージ１３に記憶された対策機器情報３１に追加する。例えば、新たな対策機器に関する情報が得られると、導入支援装置１０の管理者によってその対策機器の情報が入力される。情報取得部２１は、入力された情報を取得して対策機器情報３１に追加する。

図４を参照して、実施の形態１に係る特定処理を説明する。
特定処理は、セキュリティ対策のために導入する機器の候補である候補機器を特定する処理である。

（ステップＳ１１：既存情報取得処理）
情報取得部２１は、既存のネットワークであるネットワークシステム４１の稼働状況を示す既存情報３２を取得する。具体的には、情報取得部２１は、ネットワークシステム４１を構成する機器についての機器情報と、機器間の通信情報と、機器及び機器の設置場所についての環境情報とを取得する。
機器情報は、セキュリティソフトウェアの有無と、設定されたパラメータと、導入されているＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）と、機器の用途といった情報である。機器情報は、ネットワークシステム４１を構成する機器にアクセスして取得する、機器の管理台帳にアクセスして取得するといった方法により取得される。通信情報は、通信プロトコルと、回線速度と、通信方法と、データ種別いった情報である。通信情報は、ネットワーク監視装置等を用いて取得される。環境情報は、機器の稼働時間と、機器の設置場所の温度といった情報である。環境情報は、生産管理ツール等を用いて取得される。

情報取得部２１は、既存情報３２をグラフデータベース５０に保存する。グラフデータベース５０に保存することにより、図５に示すように、既存情報３２をネットワークグラフとして表すことが可能である。図５では、機器をノード５１とし、機器間の通信路をエッジ５２として表している。エッジ５２は通信方向を表す矢印になっている。機器情報及び環境情報は、各ノード５１のプロパティとして保存され、通信情報は、各エッジ５２のプロパティとして保存される。機器情報には、機器が情報系の機器であるか、制御系の機器であるか、ＦＷ（ＦｉｒｅＷａｌｌ）であるかといった機器の種別が含まれている。図５では、機器の種別をノード５１のラベルとして示している。
なお、ＯＴネットワークは、外部ネットワークと、情報系と、制御系といった区分がされる。図５では、ラベルにインターネットと設定された機器の部分が外部ネットワークであり、外部ネットワークに接続されたＦＷ及びラベルに情報系と設定された機器の部分が情報系であり、情報系に接続されたＦＷ及びラベルに制御系と設定された機器の部分が制御系である。
グラフデータベース５０は、繋がりがあるデータに対する検索性及び可視性に優れている。そのため、ネットワーク管理では、機器が故障した時の影響範囲の特定と、代替ルートの特定といったことを行う際に利便性が高い。

（ステップＳ１２：指定受付処理）
指定受付部２２は、ネットワークシステム４１を構成する機器のうち、保護したい１つの機器を処理対象の機器として、ユーザ端末４２から指定を受け付ける。具体的には、指定受付部２２は、ステップＳ１１で取得された既存情報３２を図５に示すようなネットワークグラフの形式でユーザ端末４２に表示して、処理対象の機器を指定させる。

（ステップＳ１３：要求受付処理）
要求受付部２３は、導入する対策機器に関する指定要求の指定を、ユーザ端末４２から受け付ける。指定要求として指定される項目は、価格の上限と、通信速度の下限といった項目である。指定要求がない場合には、この処理は省略される。

（ステップＳ１４：リスク評価処理）
リスク評価部２４は、処理対象の機器に関して、複数のセキュリティ対策それぞれについての対策状況を特定する。対策状況としては、対策済（〇）又は対策未（×）と特定される。
図６に示すように、セキュリティ対策毎に対策情報を示した対策項目情報３３が事前に用意されストレージ１３に記憶されている。対策情報には、対策機器と、重要度と、位置と、判定方法と、対策方法といった情報が含まれる。対策機器は、セキュリティ対策を行うために導入が必要な対策機器の種別である。重要度は、セキュリティ対策の重要度である。位置は、対策機器を導入するネットワークにおける位置である。判定方法は、セキュリティ対策が実施されているか否かを判定する方法である。対策方法は、セキュリティ対策の項目を満たすための方法である。セキュリティ対策と、セキュリティ対策についての対策情報とは、ＩＰＡ（Ｉｎｆｏｒｍａｔｉｏｎ－ｔｅｃｈｎｏｌｏｇｙ Ｐｒｏｍｏｔｉｏｎ Ａｇｅｎｃｙ）といった機関によって公表された情報に基づき作成される。
リスク評価部２４は、各セキュリティ対策の項目についての判定方法を実装したプログラムを実行することにより、セキュリティ対策毎の対策状況を特定する。

（ステップＳ１５：候補抽出処理）
候補抽出部２５は、処理対象の機器について不足している１つ以上のセキュリティ対策の項目それぞれを対象項目に設定する。そして、候補抽出部２５は、導入対象の対策機器のうち対象項目に対応する対策機器であって、ネットワークシステム４１の稼働状況において稼働可能な対策機器を候補機器として抽出する。

（ステップＳ１６：組込位置特定処理）
組込位置特定部２６は、ネットワークシステム４１の構成における処理対象の機器の位置と、対象項目とに応じて、ステップＳ１５で抽出された候補機器を組み込む組込位置を特定する。そして、組込位置特定部２６は、ネットワークシステム４１の構成における組込位置に候補機器を組み込んだ構成を示す導入後情報３４を生成して、ストレージ１３に記憶する。

（ステップＳ１７：結果出力処理）
結果出力部２７は、ステップＳ１５で抽出された候補機器についての機器情報と、ステップＳ１６で生成された導入後情報３４とを出力する。機器情報は、対策機器情報３１における候補機器についてのレコードの情報である。
結果出力部２７は、不足しているセキュリティ対策の項目毎に、対応する候補機器を示す対応情報を出力してもよい。

図７を参照して、実施の形態１に係る候補抽出処理（ステップＳ１５）及び組込位置特定処理（ステップＳ１６）を説明する。
ステップＳ２１からステップＳ２７の処理が候補抽出処理に対応しており、ステップＳ２８からステップＳ３２の処理が組込位置特定処理に対応している。

（ステップＳ２１：初期値設定処理）
候補抽出部２５は、変数ｉに初期値として１を設定する。

（ステップＳ２２：終了判定処理）
候補抽出部２５は、変数ｉが、対策項目情報３３におけるセキュリティ対策の項目数以下であるか否かを判定する。
候補抽出部２５は、変数ｉが項目数以下である場合には、処理をステップＳ２３に進める。一方、候補抽出部２５は、変数ｉが項目数よりも大きい場合には、処理を終了する。

（ステップＳ２３：状況判定処理）
候補抽出部２５は、対策項目情報３３におけるｉ行目のセキュリティ対策の項目についての対策状況が対策未（×）であるか否かを判定する。
候補抽出部２５は、対策状況が対策未（×）である場合には、処理をステップＳ２４に進める。一方、候補抽出部２５は、対策状況が対策済（〇）である場合には、変数ｉに１加算した上で、処理をステップＳ２２に戻す。

（ステップＳ２４：第１抽出処理）
候補抽出部２５は、対策項目情報３３におけるｉ行目のセキュリティ対策の項目を対象項目に設定する。候補抽出部２５は、対策機器情報３１から、種別に、対策項目情報３３における対象項目のレコードの対策機器に設定された情報と同じ情報が設定されたレコードを抽出する。
例えば、図６の２行目のセキュリティ対策の項目が対象項目の場合には、対策機器には“ＦＷ”が設定されている。したがって、対策機器情報３１から、種別に“ＦＷ”が設定されたレコードが抽出される。

（ステップＳ２５：第２抽出処理）
候補抽出部２５は、ステップＳ２４で抽出されたレコードのうち、ネットワークシステム４１の稼働状況において稼働可能な対策機器のレコードを抽出する。具体的には、候補抽出部２５は、ステップＳ２４で抽出されたレコードのうち、通信プロトコル及び動作温度が、既存情報３２が示す通信プロトコル及び動作温度に対応しているレコードを抽出する。
対策機器についての通信プロトコルに、既存情報３２が示す通信プロトコルが含まれる場合には、その対策機器の通信プロトコルは既存情報３２が示す通信プロトコルに対応している。同様に、対策機器についての動作温度に、既存情報３２が示す動作温度が含まれる場合には、その対策機器の動作温度は既存情報３２が示す動作温度に対応している。既存情報３２が示す通信プロトコルとは、処理対象の機器を表すノード５１に接続されたエッジ５２のプロパティが示す通信プロトコルである。また、既存情報３２が示す動作温度とは、処理対象の機器を表すノード５１のプロパティが示す設置場所の温度である。
なお、ネットワークシステム４１の稼働状況において稼働可能な対策機器のレコードがない場合には、候補抽出部２５は、ネットワークシステム４１の稼働状況に最も近い状況で稼働可能な対策機器のレコードを抽出する。例えば、既存情報３２が示す動作温度に対応する対策機器のレコードがない場合には、候補抽出部２５は、処理対象の機器を表すノード５１のプロパティが示す設置場所の温度に、動作温度の上限又は下限が最も近い対策機器のレコードを抽出する。

（ステップＳ２６：第３抽出処理）
候補抽出部２５は、ステップＳ２５で抽出されたレコードのうち、ステップＳ１３で受け付けされた指定要求を満たす対策機器のレコードを抽出する。
例えば、指定要求として価格の上限が指定されている場合には、候補抽出部２５は、対策機器の価格が、指定要求が示す価格の上限以下のレコードを抽出する。
なお、指定要求を満たす対策機器のレコードがない場合には、候補抽出部２５は、指定要求に最も近い対策機器のレコードを抽出する。例えば、指定要求として価格の上限が指定されている場合には、候補抽出部２５は、価格が最も安い対策機器のレコードを抽出する。

（ステップＳ２７：第４抽出処理）
候補抽出部２５は、ステップＳ２６で複数のレコードが抽出された場合には、複数のレコードのうち指定項目についての性能が最も高い対策機器のレコードを抽出する。指定項目は、ユーザによって事前に指定された性能に関する項目である。例えば、指定項目として通信速度が指定された場合には、通信速度が最も速い対策機器のレコードが抽出される。また、指定項目として動作温度が指定された場合には、動作温度が最も広い対策機器、又は、最も高い温度で動作可能な対策機器、又は、最も低い温度で動作可能な対策機器のレコードが抽出される。候補抽出部２５は、抽出されたレコードの対策機器を候補機器に設定する。候補抽出部２５は、ステップＳ２６で１つのレコードだけが抽出された場合には、抽出されたレコードの対策機器を、対象項目に対応する候補機器に設定する。

（ステップＳ２８：位置特定処理）
組込位置特定部２６は、ネットワークシステム４１の構成における処理対象の機器の位置と、対象項目とに応じて、ステップＳ２７で設定された候補機器を組み込む組込位置を特定する。具体的には、組込位置特定部２６は、処理対象の機器の位置と、対策項目情報３３における対象項目についての対策方法とから組込位置を特定する。組込位置特定部２６は、処理対象の機器の位置を入力として、対象項目についての対策方法を実装したプログラムを実行することにより、組込位置を特定する。
例えば、図６の２行目のセキュリティ対策の項目が対象項目の場合には、対策方法として“選択したノードから探索し、最初に関係する情報系のノードとの間にＦＷのノードを挿入する”となっている。そのため、図８に示すように、組込位置特定部２６は、処理対象の機器を表すノード５１からエッジ５２を辿って、最初の情報系のノード５１を特定する。ここでは、ノード５１Ｘが最初の情報系のノード５１である。したがって、ノード５１Ｘとの間であるエッジ５２Ｙが対策機器を組み込む組込位置であると特定される。

組込位置特定部２６は、ネットワークシステム４１の構成における組込位置に候補機器を組み込んだ構成を示す導入後情報３４を生成する。ここで、組み込む方法は、対策方法に応じて、対策機器を挿入する場合と、機器を対策機器に置き換える場合とがある。例えば、図６の２行目のセキュリティ対策の項目が対象項目の場合には、対策方法は、“・・・ＦＷのノードを挿入する”となっているため、対策機器が挿入される。図６の３行目のセキュリティ対策の項目が対象項目の場合には、対策方法は、“既存のＦＷ機器ノードと置き換える”となっているため、対策機器に置き換えられる。

（ステップＳ２９：エッジ判定処理）
組込位置特定部２６は、既存情報３２が示すネットワークグラフにおいて、ステップＳ２８で特定された組込位置にエッジ５２が存在するか否かを判定する。
組込位置特定部２６は、組込位置にエッジ５２が存在する場合には、処理をステップＳ３０に進める。一方、組込位置特定部２６は、組込位置にエッジ５２が存在しない場合には、処理をステップＳ３２に進める。

（ステップＳ３０：データ判定処理）
組込位置特定部２６は、組込位置に存在するエッジ５２を流れるデータのデータ種別が制御コマンドであるか否かを判定する。エッジ５２を流れるデータのデータ種別としては、主に、制御コマンドと稼働データとがある。制御コマンドは、他の機器に対する命令であり、他の機器を制御するためのデータである。稼働データは、機器の動作状態等を示すデータであり、統計を取るため等に使用されるデータである。
組込位置特定部２６は、データ種別が制御コマンドである場合には、処理をステップＳ３１に進める。一方、組込位置特定部２６は、データ種別が制御コマンドでない場合には、処理をステップＳ３２に進める。

（ステップＳ３１：停止設定処理）
組込位置特定部２６は、組込位置よりも制御系側にある全てのノード５１が示す機器を、候補機器を組み込む場合には停止させる必要がある停止機器として特定する。図９に示すように、エッジ５２Ｙが組込位置として特定されたとする。この場合には、エッジ５２Ｙよりも制御系側にある、ノード５１Ｚが示す機器が停止機器として特定される。組込位置特定部２６は、導入後情報３４における停止機器に対応するノード５１に停止機器であることを示す情報を追加する。
このように停止機器を特定するのは、制御データが流れる場合には、制御系側の機器を停止しておかないと、機器の制御が適切に行われず、動作に異常が発生する可能性があるためである。なお、稼働データが流れる場合には、一時的に稼働データの収集がされず、統計を取った場合にデータの抜けが起こる可能性はある。しかし、動作に異常が発生することはないため、候補機器を組み込む場合には停止させる必要はない。

（ステップＳ３２：リスク再評価処理）
組込位置特定部２６は、リスク評価部２４に対して、導入後情報３４に基づきリスク評価を行わせて、対策項目情報３３における各セキュリティ対策の項目についての対策状況を更新させる。この際、候補抽出部２５は、対象項目以外に、対策状況が対策未（×）から対策済（〇）に変わった項目があった場合には、ステップＳ２７で抽出されたレコードの対策機器を、その項目に対応する候補機器に設定する。
そして、組込位置特定部２６は、変数ｉに１加算した上で、処理をステップＳ２２に戻す。

＊＊＊実施の形態１の効果＊＊＊
以上のように、実施の形態１に係る導入支援装置１０は、既存のネットワークの稼働状態とセキュリティ対策の項目とから導入する候補となる候補機器を特定する。これにより、専門知識を有していない人であっても、セキュリティ対策のために導入すべき機器を特定可能である。

特に、実施の形態１に係る導入支援装置１０は、既存のネットワークを停止させることなく、候補機器を特定することが可能である。そのため、常時稼働することが重視されるＯＴネットワークについて、候補機器の特定に利用することが可能である。

また、実施の形態１に係る導入支援装置１０は、候補機器を組み込む組込位置を特定して、特定された組込位置を示した導入後情報３４を出力する。これにより、候補機器を組み込むべき位置を容易に特定可能である。特に、組込位置に候補機器を組み込んだネットワークグラフが出力されるため、候補機器を組み込んだ場合のネットワーク構成を容易に把握可能である。

また、実施の形態１に係る導入支援装置１０は、候補機器を組み込む場合には停止させる必要がある停止機器を特定する。これにより、候補機器を組み込む場合の計画と、候補機器を組み込む際のコスト算定といった処理がし易くなる。

＊＊＊他の構成＊＊＊
＜変形例１＞
実施の形態１では、各機能構成要素がソフトウェアで実現された。しかし、変形例１として、各機能構成要素はハードウェアで実現されてもよい。この変形例１について、実施の形態１と異なる点を説明する。

図１０を参照して、変形例１に係る導入支援装置１０の構成を説明する。
各機能構成要素がハードウェアで実現される場合には、導入支援装置１０は、プロセッサ１１とメモリ１２とストレージ１３とに代えて、電子回路１５を備える。電子回路１５は、各機能構成要素と、メモリ１２と、ストレージ１３との機能とを実現する専用の回路である。

電子回路１５としては、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ（Ｇａｔｅ Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）が想定される。
各機能構成要素を１つの電子回路１５で実現してもよいし、各機能構成要素を複数の電子回路１５に分散させて実現してもよい。

＜変形例２＞
変形例２として、一部の各機能構成要素がハードウェアで実現され、他の各機能構成要素がソフトウェアで実現されてもよい。

プロセッサ１１とメモリ１２とストレージ１３と電子回路１５とを処理回路という。つまり、各機能構成要素の機能は、処理回路により実現される。

実施の形態２．
実施の形態２は、特定された候補機器が適切か否かを判定する点が実施の形態１と異なる。実施の形態２では、この異なる点を説明して、同一の点については説明を省略する。

＊＊＊構成の説明＊＊＊
図１１を参照して、実施の形態２に係る導入支援装置１０の構成を説明する。
導入支援装置１０は、機能構成要素として、評価部２８と、要求設定部２９とを備える点が図２に示す導入支援装置１０と異なる。評価部２８と要求設定部２９との機能は、他の機能構成要素と同様に、ソフトウェア又はハードウェアによって実現される。

＊＊＊動作の説明＊＊＊
図１２を参照して、実施の形態２に係る導入支援装置１０の動作を説明する。
実施の形態２に係る導入支援装置１０の動作手順は、実施の形態２に係る導入支援方法に相当する。また、実施の形態２に係る導入支援装置１０の動作を実現するプログラムは、実施の形態２に係る導入支援プログラムに相当する。

ステップＳ１１ＡからステップＳ１６Ａの処理は、図４のステップＳ１１からステップＳ１６の処理と同じである。また、ステップＳ１９Ａの処理は、図４のステップＳ１７の処理と同じである。

（ステップ１７Ａ：評価処理）
評価部２８は、ステップＳ１６Ａで生成された導入後情報３４が示す構成のネットワークシステム４１についての動作をシミュレーションして、候補機器が適切であるか否かを判定する。
具体的には、評価部２８は、既存のネットワークシミュレータを用いて、導入後情報３４が示す構成のネットワークシステム４１についての動作をシミュレーションする。そして、評価部２８は、通信状況及び性能状況が予め設定された基準を満たしているか否かを判定することにより、候補機器が適切であるか否かを判定する。
評価部２８は、候補機器が適切である場合には、処理をステップＳ１９Ａに進める。一方、評価部２８は、候補機器が適切でない場合には、処理をステップＳ１８Ａに進める。

（ステップ１８Ａ：要求設定処理）
要求設定部２９は、導入する機器に関する追加要求を設定する。
具体的には、要求設定部２９は、候補機器が適切でないと判定された要因となった事項に関する追加要求を設定する。例えば、通信速度が不足していることが要因となって候補機器が適切でないと判定された場合には、要求設定部２９は、通信速度の下限値を追加要求として設定する。通信速度の下限値としては、候補機器の通信速度よりもある程度早い速度が設定される。
そして、要求設定部２９は、処理をステップＳ１５Ａに戻す。

＊＊＊実施の形態２の効果＊＊＊
以上のように、実施の形態２に係る導入支援装置１０は、シミュレーションを行い候補機器が適切か否か判定し、適切でない場合には追加要求を設定して、候補機器を抽出し直す。これにより、適切な候補機器が抽出される。

なお、以上の説明における「部」を、「回路」、「工程」、「手順」、「処理」又は「処理回路」に読み替えてもよい。

以上、本開示の実施の形態及び変形例について説明した。これらの実施の形態及び変形例のうち、いくつかを組み合わせて実施してもよい。また、いずれか１つ又はいくつかを部分的に実施してもよい。なお、本開示は、以上の実施の形態及び変形例に限定されるものではなく、必要に応じて種々の変更が可能である。

１００ 導入支援システム、１０ 導入支援装置、１１ プロセッサ、１２ メモリ、１３ ストレージ、１４ 通信インタフェース、１５ 電子回路、２１ 情報取得部、２２ 指定受付部、２３ 要求受付部、２４ リスク評価部、２５ 候補抽出部、２６ 組込位置特定部、２７ 結果出力部、２８ 評価部、２９ 要求設定部、３１ 対策機器情報、３２ 既存情報、３３ 対策項目情報、３４ 導入後情報、４１ ネットワークシステム、４２ ユーザ端末、４３ 伝送路、５０ グラフデータベース、５１ ノード、５２ エッジ。

Claims (12)

1. 既存のネットワークを構成する機器のうちの処理対象の機器について不足している１つ以上のセキュリティ対策の項目それぞれを対象項目として、記憶装置に記憶された対策機器情報が示す１つ以上の対策機器から、導入対象の対策機器のうち前記対象項目に対応する対策機器であって、前記既存のネットワークの稼働状況において稼働可能な対策機器を候補機器として抽出する候補抽出部と、
   前記候補抽出部によって抽出された前記候補機器についての機器情報を出力する結果出力部と
   を備える導入支援装置。
2. 前記導入支援装置は、さらに、
   前記既存のネットワークの稼働状況を示す既存情報であって、前記既存のネットワークで用いられる通信プロトコルを示す既存情報を取得する情報取得部
   を備え、
   前記候補抽出部は、前記既存のネットワークを構成する機器のうちの処理対象の機器が指定されると、前記対策機器情報が示す前記１つ以上の対策機器から、前記情報取得部によって取得された前記既存情報が示す通信プロトロルに対応する対策機器を、前記候補機器として抽出する
   請求項１に記載の導入支援装置。
3. 前記既存情報は、前記既存のネットワークで用いられる通信プロトコルと、前記既存のネットワークに接続された機器の設置場所の温度とを示し、
   前記候補抽出部は、前記通信プロトコルに対応しており、かつ、前記温度で動作可能な対策機器を、前記候補機器として抽出する
   請求項２に記載の導入支援装置。
4. 前記導入支援装置は、さらに、
   前記導入対象の対策機器に関する指定要求を受け付ける要求受付部
   を備え、
   前記候補抽出部は、前記要求受付部によって受け付けされた前記指定要求を満たす対策機器を前記候補機器として抽出する
   請求項１から３までのいずれか１項に記載の導入支援装置。
5. 前記候補抽出部は、複数の候補機器が抽出された場合には、前記複数の候補機器から指定項目についての性能が最も高い候補機器を抽出する
   請求項１から４までのいずれか１項に記載の導入支援装置。
6. 前記導入支援装置は、さらに、
   前記既存のネットワークの構成における前記処理対象の機器の位置を入力として、前記対象項目に対応するプログラムにより、前記候補機器を組み込む組込位置を特定する組込位置特定部
   を備え、
   前記結果出力部は、前記既存のネットワークの構成における前記組込位置特定部によって特定された前記組込位置に前記候補機器を組み込んだ構成を示す導入後情報を出力する請求項１から５までのいずれか１項に記載の導入支援装置。
7. 前記結果出力部は、前記既存のネットワークから抽出された稼働情報により生成された前記既存のネットワークの構成を表すネットワークグラフに、前記候補機器を表すノードを組み込んだ導入後情報を出力する
   請求項６に記載の導入支援装置。
8. 前記組込位置特定部は、前記組込位置が前記既存のネットワークにおいて制御を行うための制御データが流れる通信路である場合には、前記組込位置よりも制御系側の全ての機器を、前記候補機器を組み込む場合には停止させる必要がある停止機器として特定し、
   前記結果出力部は、前記停止機器を示す前記導入後情報を出力する
   請求項６又は７に記載の導入支援装置。
9. 前記導入支援装置は、さらに、
   前記導入後情報が示す構成のネットワークについての動作をシミュレーションして、前記候補機器が適切であるか否かを判定する評価部
   を備え、
   前記結果出力部は、前記評価部によって前記候補機器が適切であると判定された場合に、前記機器情報及び前記導入後情報を出力する
   請求項６から８までのいずれか１項に記載の導入支援装置。
10. 前記導入支援装置は、さらに、
    前記評価部によって前記候補機器が適切でないと判定された場合に、導入する機器に関する追加要求を設定する要求設定部
    を備え、
    前記候補抽出部は、前記要求設定部によって設定された前記追加要求を満たす対策機器を前記候補機器として抽出する
    請求項９に記載の導入支援装置。
11. コンピュータが、既存のネットワークを構成する機器のうちの処理対象の機器について不足している１つ以上のセキュリティ対策の項目それぞれを対象項目として、記憶装置に記憶された対策機器情報が示す１つ以上の対策機器から、導入対象の対策機器のうち前記対象項目に対応する対策機器であって、前記既存のネットワークの稼働状況において稼働可能な対策機器を候補機器として抽出し、
    コンピュータが、前記候補機器についての機器情報を出力する導入支援方法。
12. 既存のネットワークを構成する機器のうちの処理対象の機器について不足している１つ以上のセキュリティ対策の項目それぞれを対象項目として、記憶装置に記憶された対策機器情報が示す１つ以上の対策機器から、導入対象の対策機器のうち前記対象項目に対応する対策機器であって、前記既存のネットワークの稼働状況において稼働可能な対策機器を候補機器として抽出する候補抽出処理と、
    前記候補抽出処理によって抽出された前記候補機器についての機器情報を出力する結果出力処理と
    を行う導入支援装置としてコンピュータを機能させる導入支援プログラム。

Images