TW201931189A - 對策制定支援裝置、對策制定支援方法及對策制定支援程式產品 - Google Patents

Abstract

威脅分析部(21)係根據對象物的設計資訊(41)，而特定在對象物中可能發生的威脅，且將用以防止所具體指定的威脅予以具體指定作為第1對策。規格導入部(22)係根據顯示關於適用於對象物之安全性之規格的規格資訊(42)、及設計資訊(41)，而將用以符合規格資訊(42)所示之規格的對策予以具體指定作為第2對策。結合部(23)係將第1對策與第2對策予以結合而產生安全設計圖(43)。

Description

對策制定支援裝置、對策制定支援方法及對策制定支援程式產品

本發明係關於一種支援機器及系統之類的對象物之安全性(security)對策之制定的技術。

當要制定系統的安全性對策時，係由安全性相關之規格的專家與安全性的專家，檢討既能滿足安全性相關的規格，又能防止系統中可能發生之威脅的對策。然而，此檢討需要高度的技術能力，亦耗費工時。

在專利文獻1中，係記載了一種支援系統之安全性對策之制定的技術。在專利文獻1中，係使用特別的格式(format)來輸入構成元素(component)之數量等，進行在系統中可能發生之威脅的分析，藉此支援系統之安全性對策的制定。

[先前技術文獻]

[專利文獻]

專利文獻1：日本特開2017-107405號公報

專利文獻1所記載的技術，係支援安全性之專家 之作業的技術。因此，在專利文獻1所記載的技術中，並未考慮到任何安全性相關的規格。假使若要在專利文獻1所記載的技術中，亦考慮到安全性相關的規格，具體指定既能滿足規格所要求的要件，又能防止在系統中可能發生之威脅的對策，就會變成繁複的處理。

本發明之目的為支援既能滿足安全性相關的規格，又能防止系統中可能發生之威脅之對策的制定。

本發明之對策制定支援裝置係包括： 威脅分析部，根據對象物的設計資訊，具體指定在前述對象物中可能發生的威脅，且將用以防止經具體指定之前述威脅的對策予以具體指定作為第1對策； 規格導入部，根據適用於前述對象物之安全性相關之規格的規格資訊、及前述設計資訊，將用以滿足前述規格資訊所顯示之前述規格的對策予以具體指定作為第2對策；及 結合部，將經由前述威脅分析部所具體指定的前述第1對策、及經由前述規格導入部所具體指定的前述第2對策予以結合而產生對策資料。

在本發明中，係根據設計資訊而進行威脅分析以具體指定安全性對策，並且具體指定根據安全性相關之規格的安全性對策，且將此等予以組合。藉此，不會使處理繁複，可達成支援既能滿足安全性相關之規格，又能防止系統中可能發生之威脅之對策的制定。

1‧‧‧顯示器

10‧‧‧對策制定支援裝置

11‧‧‧處理器

12‧‧‧記憶體

13‧‧‧儲存器

14‧‧‧通訊介面

15‧‧‧電子電路

21‧‧‧威脅分析部

22‧‧‧規格導入部

23‧‧‧結合部

24‧‧‧威脅具體指定部

25‧‧‧對策具體指定部

31‧‧‧威脅資料庫

32‧‧‧對策資料庫

33‧‧‧規格資料庫

34‧‧‧對策候補資料庫

41‧‧‧設計資訊

42‧‧‧規格資訊

43‧‧‧安全設計圖

44‧‧‧威脅具體指定結果

45‧‧‧對策具體指定結果

46‧‧‧規格導入結果

51‧‧‧構成要素分類圖

52‧‧‧資訊分類圖

ID‧‧‧對策

第1圖係實施形態1之對策制定支援裝置10的構成圖。

第2圖係實施形態1之設計資訊41的構成圖。

第3圖係實施形態1之對象物的使用案例(use case)圖。

第4圖係實施形態1之對象物的配置圖。

第5圖係實施形態1之顯示器的分類(class)圖。

第6圖係實施形態1之感測器(sensor)的分類圖。

第7圖係實施形態1之被稱為ether(乙太)之線的分類圖。

第8圖係實施形態1之對象物的序列(sequence)圖。

第9圖係實施形態1之Data的分類圖。

第10圖係定義實施形態1之對象物整體的分類圖。

第11圖係實施形態1之對策制定支援裝置10之整體處理的流程圖。

第12圖係實施形態1之威脅具體指定處理的流程圖。

第13圖係實施形態1之威脅資料庫(database)31的說明圖。

第14圖係實施形態1之威脅具體指定結果44的說明圖。

第15圖係實施形態1之對策具體指定處理的流程圖。

第16圖係實施形態1之對策資料庫32的說明圖。

第17圖係實施形態1之對策具體指定結果45的說明圖。

第18圖係實施形態1之規格導入處理的流程圖。

第19圖係實施形態1之規格資料庫33的說明圖。

第20圖係實施形態1之規格導入結果46的說明圖。

第21圖係實施形態1之結合處理的流程圖。

第22圖係實施形態1之安全(secure)設計圖43的說明圖。

第23圖係實施形態1之安全設計圖43的說明圖。

第24圖係變形例1之對策制定支援裝置10的構成圖。

第25圖係實施形態2之對策制定支援裝置10的構成圖。

第26圖係實施形態2之對策候補資料庫34之產生處理的流程圖。

第27圖係實施形態2之對策候補資料庫34的說明圖。

第28圖係實施形態2之結合處理的流程圖。

第29圖係實施形態2之安全設計圖43的說明圖。

(實施形態1)

＊＊＊構成的說明＊＊＊

茲參照第1圖來說明實施形態1之對策制定支援裝置10的構成。

對策制定支援裝置10係電腦(computer)。對策制定支援裝置10係將設計資訊41、與規格資訊42作為輸入而產生安全設計圖43。

對策制定支援裝置10係包括：處理器(processor)11、 記憶體(memory)12、儲存器(storage)13、通訊介面(interface)14之類的硬體(hardware)。處理器11係透過信號線與其他硬體連接，用以控制此等其他硬體。

處理器11係進行處理(processing)的IC(Intergrated Circuit，積體電路)。以具體例而言，處理器11係CPU(Central Processing Unit，中央處理單元)、DSP(Digital Signal Processor，數位信號處理器)、GPU(Graphics Processing Unit，圖形處理單元)。

記憶體12係將資料予以暫時記憶的記憶裝置。以具體例而言，記憶體12係SRAM(Static Random Access Memory，靜態隨機存取記憶體)、DRAM(Dynamic Random Access Memory，動態隨機存取記憶體)。

儲存器13係保管資料的記憶裝置。以具體例而言，儲存器13係HDD(Hard Disk Drive，硬碟驅動器)。此外，儲存器13係可為SD(註冊商標，Secure Digital(安全數位))記憶卡(memory card)、CF(CompactFlash(緊密快閃)，註冊商標)、NAND(反及)快閃(flash)、軟碟(flexible disk)、光磁碟、CD(compact disk，光碟)、藍光(blue-ray)(註冊商標)磁碟、DVD(Digital Versatile Disk，數位化多功能光碟)之類的可攜式記憶媒體。

通訊介面14係用以與外部之裝置通訊的介面。以具體例而言，通訊介面14係Ethernet(註冊商標，乙太網路)、USB(Universal Serial Bus，通用序列匯流排)、HDMI(註冊商標，High Definition Multimedia Interface(高解析度多媒體 介面))的端口(port)。

對策制定支援裝置10係包括威脅分析部21、規格導入部22、及結合部23以作為功能構成元素。威脅分析部21係包括威脅具體指定部24、及對策具體指定部25。對策制定支援裝置10之各功能構成元素的功能係藉由軟體(software)而實現。

在儲存器13中，係儲存有實現對策制定支援裝置10之各功能構成元素之功能的程式。此程式係藉由處理器11而被讀入於記憶體12，且藉由處理器11而執行。藉此，實現對策制定支援裝置10之各功能構成元素的功能。

儲存器13係實現威脅資料庫31、對策資料庫32、規格資料庫33之類的功能。

在第1圖中，處理器11係僅顯示了1個。然而，處理器11係可為複數個，複數個處理器11可協同實現各功能的程式而執行。

設計資訊41係顯示機器及系統之類之對象物之構成及動作的資訊。在此，設計資訊41係以遵照UML(Unified Modeling Language，統一模型化語言)及SysML(Systems Modeling Language，系統模型化語言)之類之經標準化的格式之形式所記述的資訊。

具體而言，設計資訊41係(1)記載有硬體及軟體之構成資訊的配置圖或方塊(block)圖、(2)記載有(1)之圖所示之構成元素在內部所具有的功能及資訊的分類圖或方塊圖、(3)記載有(1)及(2)之圖所示之構成元素及功能之 互動及程序的序列圖。

如第2圖所示，設計資訊41係已被樣板(template)化。在第2圖中，設計資訊41係包含構成元素分類圖51、及資訊分類圖52。

構成元素分類圖51係顯示硬體及軟體。構成元素分類圖51係定義以下之(A1)(A2)的2個資訊。(A1：交界資訊)交界資訊係顯示網路(network)中的位置。交界資訊係例如顯示要將構成元素設置於與Web等之外部連接相等的位置、還是要將構成元素設置於公司內等的內部。(A2：構成元素識別資訊)構成元素識別資訊係顯示構成元素的種類。構成元素識別資訊係例如顯示構成元素是機器、還是軟體、還是連接線。

資訊分類圖52係顯示構成元素所管理或通訊的資料。資訊分類圖52係就資料定義以下的(B1)至(B6)的6種資訊。(B1：重要度)重要度係可公開的資料、或是企業機密與機密之類的不可公開之資料的分類。(B2：場所識別符)場所識別符係與構成元素識別資訊鏈結(link)的資訊，顯示資料所存在的構成要素。(B3：型態(type))型態係顯示一般資料、或是密碼(password)、或是密鑰之類之資料的分類。(B4：擁有者(owner)擁有者係顯示具有資料之構成元素的所有者。(B5：傳送來源)傳送來源係當構成元素識別資料顯示通訊時設定通訊的傳送來源。(B6：傳送目的地)傳送目的地係當構成元素識別資料顯示通訊時設定通訊的傳送目的地。

規格資訊42係顯示適用於對象物之規格的名 稱、與規格的等級(level)之資訊。具體而言，規格資訊42係顯示與IEC(International Electrotechnical commission，國際電工技術委員會)62443或EDSA(Embedded Device Security Assurance，嵌入式設備安全保證)認證之類的規格名稱、及規格名稱所示之規格建立關聯的安全性等級(security level)。

安全設計圖43係顯示對於對象物應實施之安全性對策的資訊。安全設計圖43係可隨同對策一同顯示對應對策的威脅或規格的要件。

＊＊＊動作的說明＊＊＊

茲參照第3圖至第23圖來說明實施形態1之對策制定支援裝置10的動作。

實施形態1之對策制定支援裝置10的動作係相當於實施形態1的對策制定支援方法。此外，實施形態1之對策制定支援裝置10的動作，係相當於實施形態1之對策制定支援程式的處理。

<設計資訊41之例>

茲參照第3圖至第10圖來說明以下的說明中所使用的設計資訊41。

如第3圖所示，對象物係顯示監視員被設定作為動作者(actor)，由監視員確認感測器之值的使用案例。使用案例圖雖不需要作為對策制定支援裝置10的輸入，但被用來有助於理解其他設計資訊41。

如第4圖所示，係定義對象物的硬體構成元素。 對象物係包括被定義為display的顯示器、被定義為sensor的感測器、及連接顯示器與感測器之被稱為ether(乙太)的線作為硬體構成元素。在此，已被定型化(stereotype)<<>>所定義的資訊，係定義或名稱，並非顯示ethernet(乙太網路)等之特殊之連接線的資訊。

如第5圖所示，係定義顯示器。顯示器係包括保管資料、交界資訊、及識別符的區域。顯示器係包括用以從感測器取得資料的功能(getData)、及用以將所取得的資料顯示於顯示器的功能(runDisplay)。顯示器係安裝有HMI(Human Machine Interface，人機介面)的介面、及Device(器件)的介面。

資料係所取得的感測器值。交界資訊係當設置於公司內之類的內部時設定0，當設置於外部時設定2，當外部與內部都設置時則設定1。識別符係顯示種類，當在機器的情況下設定1，當在通訊機器的情況下設定2，當在行動終端的情況下則設定3。

如第6圖所示，係定義感測器。感測器係包括保管交界資訊與識別符的區域。感測器係包括將資料傳送至其他機器的功能(putValue)。感測器係安裝有Device的介面。

交界資訊係當設置於公司內之類的內部時設定0，當設置於外部時設定2，當外部與內部均設置時則設定1。識別符係顯示種類，當在機器的情況下設定1，當在通訊機器的情況下設定2，當在行動終端的情況下設定3。

如第7圖所示，係定義被稱為ether的線。被稱為ether的線，係包括保管交界資訊與識別符的區域。

交界資訊係當設置於公司內之類的內部時設定0，當設置於外部時設定2，當外部與內部均設置時則設定1。識別符係顯示種類，當在通訊路徑的情況下設定10。

如第8圖所示，對象物係進行動作。換言之，監視員係輸入ControlData，並呼叫顯示器的runDisplay功能。顯示器係當runDisplay功能被呼叫時，執行getData功能。於是，感測器的putValue功能被呼叫，commData被作為回應而從感測器送回。顯示器係顯示commData作為DisplayData。所顯示的DisplayData係被監視員取得作為FileData。

如第9圖所示，在第8圖所示之序列圖中所出現的各資料，係包括保管重要度、場所識別符、型態、擁有者之類之資訊的區域。各資料係包括取得此等資訊的功能與所要設定的功能。所謂各資料係指第8圖所示的ControlData、commData、DisplayData、及FileData。

重要度係當在公開的情況下設定0，當在企業機密的情況下設定1，當在機密的情況下設定2，當在極機密的情況下則設定3。場所識別符係與其他分類圖的識別符鏈結，顯示存在有資料的構成元素。此外，場所識別符亦可處理100之類的表現作為物理資訊。型態係當在一般資料的情況下設定1，當在密碼的情況下設定2，當在密鑰的情況下設定3，當在證明書的情況下則設定4。擁有者係被設定保有著資料的構成元素名稱。

如第10圖所示，係定義對象物整體。第10圖所示的資訊為設計資訊41的一例。第10圖所示的資訊，係使用了第3圖至第9圖所示的資訊而具體化。因此，對象物的設計者亦可直接產生第10圖所示的資訊。

另外，第3圖至第9圖中所說明的值係一例，可適當變更。惟，關於交界資訊，係設為如外部般風險(risk)發生的可能性愈高，就設定愈大的值。

<對策制定支援裝置10之整體的處理>

茲參照第11圖來說明實施形態1之對策制定支援裝置10之整體的處理。

(步驟S1：威脅具體指定處理)

威脅具體指定部24係根據對象物的設計資訊41而具體指定在對象物可能發生的威脅。

具體而言，威脅具體指定部24係參照顯示場所識別符與型態之組合所對應之威脅的威脅資料庫31。再者，威脅具體指定部24係具體指定設計資訊41針對對象物中所使用之資料而顯示的場所識別符、及設計資訊41針對資料而顯示之型態的組合所對應的威脅。威脅具體指定部24係將經具體指定後的威脅寫入於記憶體12。

(步驟S2：對策具體指定處理)

對策具體指定部25係將用以防止在步驟S1中所具體指定之威脅的對策予以具體指定作為第1對策。

具體而言，對策具體指定部25係參照顯示威脅、與場所識別符或型態之組合所對應之對策的對策資料庫。再者，對策 具體指定部25係將設計資訊41針對資料而顯示的場所識別符、或設計資訊41針對資料而顯示的型態、與步驟S1中針對資料而具體指定之威脅的組合所對應的對策予以具體指定作為第1對策。對策具體指定部25係將經具體指定後的第1對策寫入於記憶體12。

(步驟S3：規格導入處理)

規格導入部22係根據顯示適用於對象物之安全性相關之規格的規格資訊42、及設計資訊41，而將用以滿足規格資訊42所示之規格的對策予以具體指定作為第2對策。

具體而言，規格導入部22係參照顯示規格的等級、與場所識別符的組合所對應之對策的規格資料庫，而將與對於對象物所導入之規格的等級、及對象物之構成物之場所識別符對應的對策予以具體指定作為第2對策。

(步驟S4：結合處理)

結合部23係結合在步驟S2中所具體指定的第1對策、與在步驟S3中所具體指定的第2對策，而產生屬於對策資料的安全設計圖43。

<威脅具體指定處理>

茲參照第12圖至第14圖來說明實施形態1的威脅具體指定處理。

(步驟S11：接受處理)

威脅具體指定部24係接受設計資訊41的輸入。

(步驟S12：對象判定處理)

威脅具體指定部24係具體指定處理對象的分類。處理對 象的分類係對象物中所使用之資料等的分類。藉由抽出屬性具有重要度的分類，可具體指定處理對象的分類。在第3圖至第10圖中所說明的例中，處理對象的分類係ControlData、commData、DisplayData、與FileData的分類。

以步驟S12中所具體指定的各分類作為對象，執行步驟S13至步驟S15的處理。

(步驟S13：關鍵字(keyword)取得處理)

威脅具體指定部24係從設計資訊41取得作為對象之分類的場所識別符及型態作為關鍵字。

例如，當作為對象的分類為第10圖所示之FileData的分類時，係取得場所識別符“1”及型態“1”作為關鍵字。

(步驟S14：威脅檢索處理)

威脅具體指定部24係藉由在步驟S13中所取得的關鍵字，檢索威脅資料庫31，並具體指定對應關鍵字的威脅。

具體而言，如第13圖所示，威脅資料庫31係樹(tree)型資料庫，在各節點(node)中，係設定有威脅名稱、威脅的特性、識別符、型態、及脆弱性資訊。設定於節點的威脅資訊，係節點愈接近樹葉愈為具體的內容。威脅資料庫31係攻擊樹(attack tree)及目標模型(goal model)之類的一般資料庫，而且，以採用威脅之涵蓋率高者為理想。威脅具體指定部24係盡可能從樹根朝向樹葉沿路前進探尋節點，該節點係關鍵字中所含之場所識別符與節點的識別符一致，而且關鍵字中所含之型態與節點的型態一致者。威脅具體指定部24係取得已到達之節點中所設定的威脅名稱及脆弱性資訊。

例如，當作為對象的分類為第10圖所示之FileData的分類時，場所識別符“1”及型態“1”即為關鍵字。因此，取得裝置內部之資料的竄改、揭露、抹除作為威脅名稱，且取得CWE-312作為脆弱性資訊。

(步驟S15：威脅值計算處理)

威脅具體指定部24係從作為對象之分類的重要度、及作為對象之分類之擁有者的交界資訊，來計算威脅值。具體而言，威脅具體指定部24係將作為對象之分類之擁有者的交界資訊，乘上作為對象之分類的重要度，來計算威脅值。

例如，當作為對象的分類為第10圖所示之FileData的分類時，FileData之分類的重要度為2。此外，FileData之分類的擁有者係顯示器1，顯示器1的交界資訊為1。因此，威脅值為2(=2×1)。

(步驟S16：結果輸出處理)

威脅具體指定部24係將執行威脅具體指定處理所獲得的結果予以彙整作為威脅具體指定結果44，且輸出於對策具體指定部25。

如第14圖所示，執行威脅具體指定處理後的結果，具體指定關於ControlData、commData、DisplayData、與FileData之類之分類的威脅。另外，在第14圖中，係省略了關於DisplayData的威脅。在此，關於FileData的分類係具體指定了威脅1，關於commData的分類係具體指定了威脅2，關於ControlData的分類則具體指定了威脅3。

在第14圖中，係於關於各分類所具體指定之威脅中的威 脅名稱及脆弱性資訊中，設定有步驟S14中所取得的威脅名稱及脆弱性資訊。在識別符、型態及擁有者中，係設定有關於對象之分類的場所識別符與型態及擁有者。在威脅值中，係設定有步驟S15中所計算的威脅值。

<對策具體指定處理>

茲參照第15圖至第17圖來說明實施形態1的對策具體指定處理。

(步驟S21：接受處理)

對策具體指定部25係接受威脅具體指定結果44的輸入。

(步驟S22：威脅判定處理)

對策具體指定部25係具體指定處理對象的威脅。處理對象的威脅係威脅具體指定結果44中所含的所有威脅。當在第14圖所示之威脅具體指定結果44的情況下，處理對象的威脅係威脅1、威脅2、及威脅3。

以步驟S22中所具體指定的各威脅作為對象，執行步驟S23及步驟S24。

(步驟S23：關鍵字取得處理)

對策具體指定部25係從威脅具體指定結果44取得關於作為對象之威脅的威脅名稱、識別符、型態、及威脅值作為關鍵字。

例如，當作為對象的威脅為第14圖所示之威脅1時，取得威脅名稱“裝置內部的資料竄改、揭露、抹除”、識別符“1”、型態“1”、及威脅值“2”。

(步驟S24：對策檢索處理)

對策具體指定部25係藉由在步驟S23中所取得的關鍵字，檢索對策資料庫32，而具體指定對應關鍵字的對策。

具體而言，如第16圖所示，對策資料庫32係依每一威脅名稱及對象，具有對策與對策ID之表形式的資料庫。在對象中，係設定有識別符、型態及威脅值的任一者。另外，在第16圖中，對策資料庫32雖為表形式的資料庫，但亦可為攻擊防禦樹(attack defence tree)之類的樹型資料庫。對策具體指定部25係藉由關鍵字中所含的威脅名稱、與識別符或型態或威脅值的組合，來檢索對策資料庫32。換言之，對策具體指定部25係具體指定關鍵字中所含的威脅名稱與對策資料庫32之記錄之名稱一致、而且關鍵字中所含的識別符或型態或威脅值與對策資料庫32之記錄(record)的識別符或型態或威脅值一致的記錄。對策具體指定部25係取得被設定於經具體指定之記錄中的對策及對策ID。

例如，當作為對象的威脅為第14圖的威脅2時，係具體指定威脅名稱為通訊路徑上的竊聽、竄改，而且識別符為10的記錄、及威脅名稱為通訊路徑上的竊聽、竄改，而且型態為1的記錄。結果，取得在傳送目的地實施穿透(penetration)實驗的對策及對策ID“15-42”、與在傳送來源將資料加密、在傳送目的地將資料解密的對策及對策ID“16-46”。另外，當作為對象的威脅為第14圖的威脅1、3時，未具體指定對應的對策。

(步驟S25：結果輸出處理)

對策具體指定部25係將執行對策具體指定處理所獲得的結果予以彙整作為對策具體指定結果45，且輸出於結合部23。

如第17圖所示，執行對策具體指定處理後的結果，關於威脅2係具體指定了對策。另一方面，關於威脅1、3則並未具體指定對策。

<規格導入處理>

茲參照第18圖至第20圖來說明實施形態1的規格導入處理。

(步驟S31：接受處理)

規格導入部22係接受設計資訊41與規格資訊42之類的輸入。

在此，係設為在規格資訊42中，指定有EDSA認證的功能性安全性要件、及等級1者。

(步驟S32：關鍵字取得處理)

規格導入部22係從規格資訊42取得規格及等級作為關鍵字。在此，係取得EDSA認證的功能性安全性要件、與等級1作為關鍵字。

(步驟S33：對策檢索處理)

規格導入部22係藉由在步驟S32中所取得的關鍵字，檢索規格資料庫33，而具體指定對應關鍵字的對策。

具體而言，如第19圖所示，規格資料庫33係依每一規格準備，且依每一對策名稱及對象，具有要求、等級、ID、對策ID、新構成元素之表形式的資料庫。對策名稱賦予至對策的名稱。對象係被用來縮小要有對策之構成元素的資訊，儲存有(i) 至(iii)之3個階段的資訊。在此，對象雖為3個階段，但不限定於此。要求中係儲存有對策的內容。等級係顯示所要求之規格的等級。對策ID係以與對策資料庫32相同的粒度分配，對於相同的對策，係分配相同的對策ID。新構成元素係顯示當對應的構成元素不存在於對象物時，必須重新追加構成元素。

規格導入部22係以關鍵字中所含的規格與等級縮小成為對象的記錄。在此，規格導入部22係以EDSA認證的功能性安全性要件與等級1來縮小記錄。於是，具體指定規格名稱為資料傳送中不使用明文的記錄。規格導入部22係取得經具體指定之記錄的資訊。

(步驟S34：對象具體指定處理)

規格導入部22係具體指定在步驟S33中所具體指定之成為記錄之對象的構成元素。具體而言，規格導入部22係從設計資訊41所示的構成元素，具體指定符合記錄之對象中所設定之內容的構成元素。

在此，規格導入部22係具體指定場所識別符為10的資料。於是，具體指定第10圖所示的commData。再者，規格導入部22係具體指定屬於commData的傳送來源，且識別符為1或2或3的構成元素、及屬於commData的傳送目的地，且識別符為1或2或3的構成元素。於是，具體指定第10圖所示的感測器1與顯示器1。

(步驟S35：結果輸出處理)

規格導入部22係將執行規格導入處理所獲得的結果予以 彙整作為規格導入結果46，且輸出於結合部23。

如第20圖所示，執行規格導入處理後的結果，於感測器1具體指定進行編碼(Encode)的對策，於顯示器1具體指定進行編碼(Decode)的對策。

<結合處理>

茲參照第21圖至第23圖來說明實施形態1的結合處理。

(步驟S41：接受處理)

結合部23係接受在對策具體指定處理中所產生之對策具體指定結果45、及在規格導入處理中所產生之規格導入結果46之類的輸入。

(步驟S42：對策結合處理)

結合部23係將在步驟S41中所接受的對策具體指定結果45與規格導入結果46予以結合而產生安全設計圖43。具體而言，如第22圖所示，係單純將第17圖所示的對策具體指定結果45、與第20圖所示的規格導入結果46彙整為一個，產生安全設計圖43。

在對策具體指定結果45中，係將資料、威脅、對策、與機器建立關聯。在規格導入結果46中，係將機器、與規格要件建立關聯。藉由將對策具體指定結果45與規格導入結果46予以結合，以機器為中心，將規格要件、資訊資產、威脅、與對策建立關聯。

(步驟S43：資訊整理處理)

結合部23係從在步驟S42中所產生的統合結果，刪除不 需要的資訊，而整理安全設計圖43。

具體而言，結合部23係僅將資料、威脅、與對策建立關聯，而未有將對策應用於機器的資訊，則被視為不需要的資訊進行處理。此外，結合部23係將未僅以資料建立關聯的資訊亦視為不需要的資訊而進行處理。結合部23係從第22圖所示的安全設計圖43，刪除此等不需要的資訊，且如第23圖所示整理資訊。

如第23圖所示，顯示器1係被要求要進行編碼(Decode)以作為規格要件。此外，顯示器1係有通訊路徑上的竊聽、竄改的威脅2建立了關聯，例如有將資料解碼以作為此威脅2的對策。感測器1係被要求要進行編碼(Encode)以作為規格要件。此外，感測器1係有通訊路徑上的竊聽、竄改的威脅2建立了關聯，例如有將資料進行加密、及實施穿透實驗以作為此威脅2的對策。

在此，對策ID係成為XX-YY的構成。XX係表示大分類，YY係表示小分類。因此，XX相同的對策，係指相同大分類的對策。換言之，XX相同的對策，係指類似的對策。以具體例而言，大分類係存取(access)控制、構成管理、源自物理環境的保護、系統及通訊的保護、系統及服務之調度要件之類的內容。此外，以小分類而言，當大分類為系統及通訊的保護時，係加密密鑰的建立及管理、與安全性功能的隔離之類的內容。

例如，如第23圖所示，可明瞭關於顯示器1，在規格要件中所列舉的對策、與威脅2的對策，均為對策ID的大分類為 16而為共通的。

＊＊＊實施形態1的效果＊＊＊

綜上所述，實施形態1的對策制定支援裝置10係根據設計資訊而進行威脅分析來具體指定安全性對策，並且具體指定根據安全性相關之規格的安全性對策，且將此等予以組合。藉此，不會使處理繁複，可達成支援既能滿足安全性相關之規格，又可防止系統中可能發生之威脅之對策的制定。

換言之，針對在安全性相關之規格中難以對應的要件，係藉由進行威脅分析而明確化，而針對在威脅分析中難以對應之未有明示的基準，係根據安全性相關之規格而予以明確化。藉此，即可達成補足彼此的缺點，而檢討出作為安全性對應明確的基準與更多的範圍的對策。

在此，所謂在步驟S13中被取得作為關鍵字的場所識別符與型態，係指構成元素的種類、及資料的分類。因此，係即使非為安全性的專家亦可易於輸入的資訊。此外，所謂使用於威脅值之計算的重要度與交界資訊，係指顯示資料之公開等級的資訊、與顯示構成元素之設置位置的資訊。因此，係即使非為安全性的專家亦可易於輸入的資訊。

在實施形態1的對策制定支援裝置10中，係根據場所識別符、型態、重要度、與交界資訊而進行威脅分析，以具體指定對策。因此，即使非為安全性的專家亦可易於具體指定對策。

＊＊＊其他構成＊＊＊

<變形例1>

在實施形態1中，係以軟體實現了各功能構成要素。然而，作為變形例1，各功能構成要素亦可藉由硬體來實現。關於此變形例1，茲說明與實施形態1不同之點。

茲參照第24圖來說明變形例1之對策制定支援裝置10的構成。

當各功能構成要素藉由硬體來實現時，對策制定支援裝置10係包括電子電路15，以取代處理器11、記憶體12、及儲存器13。電子電路15係實現各功能構成要素、記憶體12、儲存器13之類之功能的專用電路。

以電子電路15而言，係設想單一電路、複合電路、經程式化的處理器、經並聯程式化的處理器、邏輯(logic)IC、GA(Gate Array，閘陣列)、ASIC(Application Specific Integrated Circuit，特殊應用積體電路)、FPGA(Field-Programmable Gate Array，現場可程式閘陣列)。

可藉由1個電子電路15來實現各功能構成要素，亦可將各功能構成要素分散為複數個電子電路15來實現。

<變形例2>

作為變形例2，係可藉由硬體來實現一部分的各功能構成要素，亦可藉由軟體來實現其他的各功能構成要素。

茲將處理器11、記憶體12、儲存器13、及電子電路15稱為處理電路。換言之，各功能構成要素的功能係藉由處理電路來實現。

電腦程式產品(亦簡稱為程式產品)不限定於外觀形式之物，而為載入有可由電腦讀取之程式者。

(實施形態2)

實施形態2係在將對策予以階層式地具體指定之點與實施形態1不同。在實施形態2中，係說明此不同之點，至於相同的點，則予以省略說明。

＊＊＊構成的說明＊＊＊

茲參照第25圖來說明實施形態2之對策制定支援裝置10的構成。

對策制定支援裝置10係在由儲存器13實現對策候補資料庫34之點，與第1圖所示的對策制定支援裝置10不同。

對策候補資料庫34係由對策資料庫32與規格資料庫33結合所產生的資料庫。

＊＊＊動作的說明＊＊＊

茲參照第26圖來說明實施形態2之對策候補資料庫34的產生處理。

以記憶於規格資料庫33的各對策ID為對象，執行從步驟S51至步驟S53的處理。

(步驟S51：要素判定處理)

結合部23係具體指定具有與對象之對策ID相同對策ID之對策資料庫32的記錄。

結合部23係當已具體指定了記錄時，將處理前進至步驟S52。另一方面，結合部23係當未具體指定記錄時，將處理前進至步驟S53。

(步驟S52：第1寫入處理)

結合部23係將具有對象之對策ID之規格資料庫33之記 錄的內容、及在步驟S51中所具體指定之對策資料庫32之記錄的內容，予以寫入於對策候補資料庫34。

具體而言，結合部23係將對象的對策ID寫入於對策候補資料庫34之對策ID的項目。結合部23係將具有對象之對策ID之規格資料庫33之記錄之要求之項目的內容、與所具體指定之對策資料庫32之記錄之對策之項目的內容，予以寫入於對策候補資料庫34之要求+對策的項目。結合部23係將具有對象之對策ID之規格資料庫33之記錄之ID之項目的內容，予以寫入於威脅具體指定部24之ID的項目。

(步驟S53：第2寫入處理)

結合部23係將具有對象之對策ID之規格資料庫33之記錄的內容，予以寫入於對策候補資料庫34。

具體而言，結合部23係將對象的對策ID予以寫入於對策候補資料庫34之對策ID的項目。結合部23係將具有對象之對策ID之規格資料庫33之記錄之要求之項目的內容，予以寫入於對策候補資料庫34之要求+對策的項目。結合部23係將具有對象之對策ID之規格資料庫33之記錄之ID之項目的內容，予以寫入於威脅具體指定部24之ID的項目。

茲參照第27圖來說明對策候補資料庫34之具體的產生例。

當從第16圖所示的對策資料庫32檢索具有與第19圖所示之規格資料庫33中之對策ID“16-46”相同對策ID的記錄時，記錄即被具體指定。因此，在對策候補資料庫34中，關於對策ID“16-46”，不僅規格資料庫33，還將對策資料庫32 中的對策ID“16-46”的內容一併寫入。具體而言，係將規格資料庫33中之要求的內容、與對策資料庫32中之對策的內容，寫入於對策候補資料庫34之要求+對策的項目。

此外，當從第16圖所示的對策資料庫32檢索具有與第19圖所示之規格資料庫33中之對策ID“16-45”相同對策ID的記錄時，記錄不會被具體指定。因此，在對策候補資料庫34中，關於對策ID“16-45”，係寫入規格資料庫33中之對策ID“16-45”的內容。

茲參照第28圖及第29圖來說明實施形態2的結合處理。

從步驟S61至步驟S63的處理，係與第21圖之步驟S41至步驟S43的處理相同。

(步驟S64：階層化處理)

結合部23係參照對策候補資料庫34而具體指定相對於在步驟S63中所整理之安全設計圖43之對策之上位的對策與下位的對策。結合部23係當已具體指定了上位的對策與下位的對策之至少任一者時，將已具體指定的對策補記於安全設計圖43。

具體而言，結合部23係以安全設計圖43中所含的各對策為對象，根據關於對象之對策的ID，檢索對策候補資料庫34而具體指定對象之對策之上位的對策與下位的對策。在此，ID係成為階層式的構造。具體而言，ID成為X-Y的對策，係指ID為X之對策之下位的對策，ID成為X-Y-Z之對策之上位的對策。因此，結合部23係根據對象之對策的對策ID與對策的 內容，檢索對策候補資料庫34，而具體指定對象之對策的ID。再者，結合部23係以已具體指定的ID為關鍵字，具體指定上位的對策與下位的對策。再者，結合部23係將已具體指定之上位的對策，補記為對象之對策的上位，且將已具體指定之下位的對策，補記為對象之對策的下位。

如第29圖所示，係具體指定第23圖所示之對策2-1(1)與對策2-1(2)之上位的對策。第23圖所示的對策2-1(1)，係對策ID為16-46，對策的內容將資料予以解碼，由此而具體指定ID為2-1。因此，具體指定ID為2之進行編碼(Decode)的對策為上位的對策。同樣地，第23圖所示的對策2-1(2)，係對策ID為16-46，對策的內容將資料予以加密，由此而具體指定ID為1-1。因此，具體指定ID為1之進行編碼(Encode)的對策為上位的對策。

換言之，在要解碼之對策的上位中，係有要進行編碼(Decode)的對策，而在要加密之對策的上位中，係有要進行編碼(Encode)的對策。

另外，結合部23係當已具體指定了上位的對策時，更進一步具體指定上位的對策，而當已具體指定了下位的對策時，係進一步具體指定下位的對策。在第29圖中，由於無相對於對策2-1(1)與對策2-1(2)之上位之對策的上位的對策，因此僅補記了對策2-1(1)與對策2-1(2)之上位的對策。

＊＊＊實施形態2的效果＊＊＊

綜上所述，實施形態2的對策制定支援裝置10，係具體指 定上位的對策及下位的對策，而將階層式的對策予以明確化。藉此，例如，可達成從上位之階層的對策檢討安裝，逐漸檢討出下位之階層之對策的安裝之作業的進行方式。因此，可達成將優先度賦予相對於威脅的對策而加以因應。

Claims (8)

1. 一種對策制定支援裝置，係包括：威脅分析部，根據對象物的設計資訊，具體指定在前述對象物中可能發生的威脅，且將用以防止經具體指定之前述威脅的對策予以具體指定作為第1對策；規格導入部，根據適用於前述對象物之安全性相關之規格的規格資訊、及前述設計資訊，將用以滿足前述規格資訊所顯示之前述規格的對策予以具體指定作為第2對策；及結合部，將經由前述威脅分析部所具體指定的前述第1對策、及經由前述規格導入部所具體指定的前述第2對策予以結合而產生對策資料。
2. 如申請專利範圍第1項所述的對策制定支援裝置，其中前述設計資訊係顯示場所識別符與型態，該場所識別符係顯示存在有在前述對象物中所使用之資料的構成要素，該型態係顯示在前述對象物中所使用之資料的分類；前述威脅分析部係包括威脅具體指定部，該威脅具體指定部係參照顯示前述場所識別符與前述型態之組合所對應之威脅的威脅資料庫，而具體指定前述設計資訊針對在前述對象物中所使用的資料而顯示的場所識別符、及前述設計資訊針對前述資料而顯示之型態的組合所對應的威脅。
3. 如申請專利範圍第2項所述的對策制定支援裝置，其中前述威脅分析部係包括對策具體指定部，該對策具體指定部係參照顯示前述場所識別符或前述型態之組合所對應之對策的對策資料庫，而將被前述威脅具體指定部針對前述資 料所具體指定的威脅、及前述設計資訊針對前述資料而顯示之場所識別符、或前述設計資訊針對前述資料而顯示之型態的組合所對應的對策予以具體指定作為前述第1對策。
4. 如申請專利範圍第3項所述的對策制定支援裝置，其中前述設計資訊係顯示在前述對象物中所使用之資料的重要度、及屬於前述對象物之構成要素之設置位置的交界資訊；前述威脅具體指定部係從前述設計資訊針對前述資料而顯示的重要度、及前述設計資訊針對前述資料之場所識別符所示的構成要素而顯示的交界資訊，計算顯示針對前述資料所具體指定之威脅之等級的威脅值；前述威脅資料庫係顯示威脅與威脅值之組合所對應的對策；前述對策具體指定部係將針對前述資料所具體指定的威脅、及針對前述威脅所計算之威脅值的組合所對應的對策予以具體指定作為前述第1對策。
5. 如申請專利範圍第1至4項中任一項所述的對策制定支援裝置，其中前述設計資訊係顯示場所識別符，該場所識別符係顯示存在有在前述對象物中所使用之資料之構成要素者；前述規格導入部係參照顯示規格之等級、及前述場所識別符之組合所對應之對策的規格資料庫，而將與針對前述對象物所導入之規格的等級、及前述對象物之構成物之場所識別符所對應的對策予以具體指定作為前述第2對策。
6. 如申請專利範圍第1至5項中任一項所述的對策制定支援 裝置，其中前述結合部係在前述規格資訊所示的規格中，當規定有前述第1對策之上位的對策與下位的對策之至少任一者的對策時，具體指定所規定的對策。
7. 一種對策制定支援方法，係包括下列步驟：威脅分析部係根據對象物的設計資訊，具體指定在前述對象物中可能發生的威脅，且將用以防止所具體指定之前述威脅的對策予以具體指定作為第1對策；規格導入部係根據顯示適用於前述對象物之安全性相關之規格的規格資訊、及前述設計資訊，而將用以符合前述規格資訊所示之前述規格的對策予以具體指定作為第2對策；及結合部係將前述第1對策與前述第2對策予以結合而產生對策資料。
8. 一種對策制定支援程式產品，係令電腦執行下列處理者；威脅分析處理，係根據對象物的設計資訊，具體指定在前述對象物中可能發生的威脅，且將用以防止所具體指定之前述威脅的對策予以具體指定作為第1對策；規格導入處理，係根據顯示適用於前述對象物之安全性相關之規格的規格資訊、及前述設計資訊，而將用以符合前述規格資訊所示之前述規格的對策予以具體指定作為第2對策；及結合處理，係將經由前述威脅分析處理所具體指定的前述第1對策、及經由前述規格導入處理所具體指定的前述第2對策予以結合而產生對策資料。