WO2010074093A1 - セキュリティ対策機能評価プログラム - Google Patents

セキュリティ対策機能評価プログラム Download PDF

Info

Publication number
WO2010074093A1
WO2010074093A1 PCT/JP2009/071344 JP2009071344W WO2010074093A1 WO 2010074093 A1 WO2010074093 A1 WO 2010074093A1 JP 2009071344 W JP2009071344 W JP 2009071344W WO 2010074093 A1 WO2010074093 A1 WO 2010074093A1
Authority
WO
WIPO (PCT)
Prior art keywords
information
security
countermeasure
function
recovery
Prior art date
Application number
PCT/JP2009/071344
Other languages
English (en)
French (fr)
Inventor
美千代 池上
万恵 斯波
秀久 高見澤
小池　正修
Original Assignee
株式会社 東芝
東芝ソリューション株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社 東芝, 東芝ソリューション株式会社 filed Critical 株式会社 東芝
Priority to CN200980152348.XA priority Critical patent/CN102282567B/zh
Priority to EP09834894.9A priority patent/EP2369522B1/en
Publication of WO2010074093A1 publication Critical patent/WO2010074093A1/ja
Priority to US13/167,821 priority patent/US8407801B2/en

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general

Definitions

  • the present invention relates to a security countermeasure function evaluation program for evaluating a security countermeasure function, for example, a security countermeasure function evaluation program capable of evaluating a security countermeasure function without depending on the skill level of an evaluator.
  • Information processing equipment has various uses, types, and operating systems (OS), and the information and functions it holds are increasing.
  • OS operating systems
  • the security countermeasure function is evaluated in terms of whether or not it is possible to deal with items that roughly grasp the characteristics of threats and security problems. In this evaluation, if the same kind of security countermeasure function can cope with each other, it is considered that they have the same effect.
  • An object of the present invention is to provide a security countermeasure function evaluation program that can evaluate the effect of the security countermeasure function without depending on the skill level of the evaluator.
  • One aspect of the present invention relates to a security measure function evaluation apparatus that can read / write a database unit that is a storage device and evaluates a security measure function implemented in an information processing device.
  • the security countermeasure function evaluation is a process of writing individually the security protection target asset information shown and a plurality of security status information composed of security status ID and status information individually associated with each security protection target asset information into the database unit A first program code to be executed by the apparatus;
  • the security countermeasure function performs a process of writing document data including threat information including information on a threat executor and execution condition that is a cause of the transition of the security state from a safe state to a dangerous state or a damage occurrence state.
  • the second program code to be executed by the evaluation device the sufficient condition for executing an arbitrary countermeasure policy, the presence / absence of function, time, effect, notification range, operation timing, and dependency on activation for each item, and Sufficient condition evaluation parameters including points and countermeasure function evaluation parameters including optional items for each security countermeasure function, time presence / absence, effect, notification range, operation timing, and dependency on activation, and points
  • the third program for causing the security measure function evaluation apparatus to execute the process of writing to the database unit
  • the function policy area to which the countermeasure policy information for suppressing the execution condition described in the information of the mucode, the threat implementer and the execution condition is input, and the function name for the execution and execution of the countermeasure policy information.
  • a sixth program code for the selected security protection target The seventh program code for causing the security measure function evaluation apparatus to execute the process of displaying information, and when receiving the input of the security state ID while displaying the security protection target asset information, based on the security state ID, Displays an eighth program code for causing the security measure function evaluation apparatus to execute processing for extracting the security status information related to the security protection target asset information being displayed from the database unit, and the security status ID of the extracted security status information
  • the ninth program code for causing the security measure function evaluation apparatus to execute the processing to be performed, and for each security state ID being displayed, upon receiving a designation input relating to a safety, danger or damage occurrence group, based on this designation Each security 10th program code for causing the security function evaluation device to execute the process of classifying the state ID into one of safety, danger, or damage occurrence group, and outer frame information in a format corresponding to the classified group
  • a threat occurrence comprising a plurality of security state information, outer frame information, first transition path information, second transition path information, and threat information associated with each other.
  • the security countermeasure function evaluation apparatus executes a process of extracting threat performer and execution condition information from the threat information.
  • 17th program code, security of transition source in the threat analysis intermediate data State information, transition-destination security state information, and threat analysis result data that associates the extracted threat performer and execution condition information with each other are executed by the security countermeasure function evaluation apparatus.
  • the countermeasure policy information When input of the countermeasure policy information for suppressing the execution condition described in the program code, threat implementer and execution condition information in the threat analysis result data is received, the countermeasure policy information is converted into the sufficient condition table template information.
  • 19th program code for causing the security countermeasure function evaluation apparatus to execute processing to be written in the countermeasure policy area, and a function name for executing and executing the countermeasure policy information written in the countermeasure policy area, in the selected area When any of the options is specified, the process of selecting the specified option in the selection area is performed.
  • the security countermeasure function includes a process for describing, in the score area, a score corresponding to an option selected in the selection area based on the twentieth program code to be executed by the security countermeasure function evaluation apparatus and the sufficient condition evaluation parameter.
  • Sufficient condition table information including a 21st program code to be executed by the evaluation apparatus, a countermeasure policy area where the countermeasure policy information is input, a selection area where the option is selected, and a score area where the score is described
  • a countermeasure name area that is created based on the twenty-fifth program code for causing the security countermeasure function evaluation apparatus to execute the processing described in the score area and the countermeasure template information, the countermeasure name is input, and the option is selected A process of writing countermeasure information including a selection area and a score area in which the score is described in the database unit; 26th program code to be executed by the measure function evaluation apparatus, the score area in the same item in the countermeasure information and the sufficient condition table information, the score of the sufficient condition table information from the score area of the countermeasure information 27th program code for causing the security countermeasure function evaluation apparatus to execute a process of calculating a difference obtained by subtracting the score of the score area, and if the difference is a value of 0 or more, the evaluation result is a positive score, and the difference If the evaluation result is a negative value, the evaluation result is regarded as a zero value score, and the evaluation result score entry processing for entering the evaluation result score for each of the same items in the countermeasure information and the sufficient condition table information is performed in
  • the security countermeasure function is applied to the program code and the information processing device, based on the threat analysis result data, the number of security state information of the same transition source is set as a denominator value, and the transition source is made common.
  • the security measure function evaluation apparatus executes a process for calculating a pre-measurement transition probability by dividing the number of security state information of the same transition destination as a numerator value and dividing the numerator value by the denominator value. No.
  • each item of the countermeasure information indicating the details of the security countermeasure function satisfies each item of the sufficient condition table information, and the evaluation score is calculated from the evaluation result of each item. Because the transition probability is calculated based on the evaluation score, even an unskilled evaluator can evaluate the security measure function to be evaluated in detail for each item. The effect can be evaluated.
  • the effect of the security countermeasure function can be evaluated without depending on the skill level of the evaluator.
  • FIG. 1 is a schematic diagram showing a security countermeasure function evaluation apparatus and its peripheral configuration according to an embodiment of the present invention.
  • FIG. 2 is a schematic diagram illustrating an example of security protection target asset information and security state information in the embodiment.
  • FIG. 3 is a schematic diagram showing an example of an evaluation parameter table including sufficient condition evaluation parameters and countermeasure function evaluation parameters in the same embodiment.
  • FIG. 4 is a schematic diagram showing an example of sufficient condition table template information in the embodiment.
  • FIG. 5 is a schematic diagram showing an example of countermeasure template information in the embodiment.
  • FIG. 6 is a schematic diagram showing an example of recovery sufficient condition template information in the embodiment.
  • FIG. 7 is a schematic diagram illustrating an example of recovery sufficient condition template information in the embodiment.
  • FIG. 8 is a schematic diagram showing an example of recovery measure template information in the embodiment.
  • FIG. 9 is a flowchart for explaining threat generation model information creation processing in the embodiment.
  • FIG. 10 is a schematic diagram for explaining a security state group in the embodiment.
  • FIG. 11 is a schematic diagram illustrating an example of threat occurrence model information in the embodiment.
  • FIG. 12 is a schematic diagram illustrating an example of threat occurrence model information in the embodiment.
  • FIG. 13 is a schematic diagram showing an example of threat occurrence model information in the embodiment.
  • FIG. 14 is a schematic diagram illustrating an example of threat analysis result data in the embodiment.
  • FIG. 15 is a schematic diagram illustrating an example of threat analysis result data in the embodiment.
  • FIG. 16 is a schematic diagram showing an example of sufficient condition table information in the embodiment.
  • FIG. 17 is a schematic diagram showing an example of sufficient condition table information in the embodiment.
  • FIG. 18 is a schematic diagram showing an example of sufficient condition table information in the embodiment.
  • FIG. 19 is a flowchart for explaining a security countermeasure function evaluation process in the embodiment.
  • FIG. 20 is a schematic diagram showing an example of countermeasure information in the embodiment.
  • FIG. 21 is a schematic diagram illustrating an example of a calculation table of evaluation results in the embodiment.
  • FIG. 22 is a schematic diagram illustrating an example of an evaluation score calculation table according to the embodiment.
  • FIG. 23 is a schematic diagram illustrating an example of a transition parameter in the embodiment.
  • FIG. 24 is a schematic diagram illustrating an example of a calculation table of transition probabilities before countermeasures in the embodiment.
  • FIG. 25 is a schematic diagram illustrating an example of a calculation table of transition probabilities after countermeasures in the embodiment.
  • FIG. 26 is a flowchart for explaining a simulation process in the embodiment.
  • FIG. 27 is a schematic diagram illustrating an example of a simulation result before countermeasures in the embodiment.
  • FIG. 28 is a schematic diagram illustrating an example of a simulation result after countermeasures in the embodiment.
  • FIG. 29 is a schematic diagram illustrating an example of a visual expression of a simulation result in the embodiment.
  • FIG. 30 is a flowchart for explaining recovery model information creation processing in the embodiment.
  • FIG. 31 is a schematic diagram illustrating an example of recovery model information in the embodiment.
  • FIG. 32 is a schematic diagram illustrating an example of recovery model information in the embodiment.
  • FIG. 33 is a schematic diagram showing an example of recovery model information in the embodiment.
  • FIG. 34 is a schematic diagram showing an example of recovery sufficient condition table information in the embodiment.
  • FIG. 35 is a schematic diagram showing an example of the recovery sufficient condition table information in the same embodiment.
  • FIG. 36 is a schematic diagram showing an example of recovery measure information in the embodiment.
  • FIG. 37 is a schematic diagram showing an example of an evaluation result calculation process in the embodiment.
  • FIG. 38 is a schematic diagram showing an example of an evaluation score calculation table in the embodiment.
  • FIG. 39 is a schematic diagram showing an example of the evaluation score in the embodiment.
  • FIG. 40 is a schematic diagram illustrating an example of a visual expression of a simulation result in the embodiment.
  • the following security countermeasure function evaluation apparatus can be implemented with either a hardware configuration or a combination configuration of hardware resources and software.
  • security measures are installed in advance on a computer serving as the security countermeasure function evaluation device 10 from the network or the storage medium M, and realize each function of the security countermeasure function evaluation device 10.
  • a function evaluation program is used.
  • FIG. 1 is a schematic diagram showing a security countermeasure function evaluation apparatus in which a security countermeasure function evaluation program according to an embodiment of the present invention is installed and its peripheral configuration.
  • the security countermeasure function evaluation apparatus 10 has a function of evaluating a security countermeasure function implemented in the information processing apparatus, and is connected to a database unit 20 as a readable / writable storage device.
  • the security countermeasure function to be evaluated is a product that realizes the security countermeasure function.
  • the evaluation target is software, hardware, a product combining software and hardware, a product using a network, and a product in an arbitrary mounting form. For this reason, the term “security countermeasure function” may be read as “security countermeasure product”.
  • the security measure function evaluation apparatus 10 includes an input unit 11, an initial setting unit 12, a storage unit 13, a threat model creation unit 14, an evaluation score calculation unit 15, a transition probability calculation unit 16, a simulation execution unit 17, a recovery model creation unit 18, and A display unit 19 is provided.
  • the input unit 11 is an input device for inputting information such as various data and instructions into the security measure function evaluation apparatus 10 by an evaluator's operation.
  • the initial setting unit 12 has a function of writing the security protection target asset information and various template information into the database unit 20 when the security measure function evaluation program including the security protection target asset information and various template information is installed.
  • the initial setting unit 12 includes later-described security protection target asset information, a plurality of security status information, document data, sufficient condition evaluation parameters, countermeasure function evaluation parameters, sufficient condition table template information, countermeasure model information, and recovery sufficient conditions. It has a function of writing table template information and recovery measure template information in the database unit 20.
  • the storage unit 13 is a memory that can be read / written from each of the units 11, 12, and 14 to 19, for example, data input by the input unit 11, and each of the units 12 and 14 to 18 can be read from / written to the database unit 20.
  • Information to be written, data being processed by the units 14 to 18, data in the middle of calculation or calculation results, information displayed on the display unit 19, and the like are stored as appropriate.
  • the threat model creation unit 14 has, for example, the following functions (f14-1) to (f14-12). (f14-1) When the input of the selection instruction of the security protection target asset including the designation of the security protection target asset is received by the operation of the input unit 11, the security protection target asset information in the database unit 20 is received based on the selection instruction. The function to select.
  • (F14-3) A function for displaying the security status ID of the extracted security status information on the display unit 19.
  • each security status ID For each displayed security status ID, when a specified input related to the safety, danger, or damage occurrence group is received, each security status ID is assigned to either security, danger, or damage occurrence based on this designation. A function to classify a group.
  • (F14-5) A function to display outer frame information in a format corresponding to the classified group on the display unit 19 by adding it to the security status ID being displayed.
  • (F14-10) A function for creating and displaying on the display unit 19 threat analysis intermediate data in which the transition source security state information, the transition destination security state information, and the threat information are associated with each other based on the threat occurrence model information.
  • (F14-12) A function to create threat analysis result data that correlates the security status information of the transition source, the security status information of the transition destination, and the extracted threat performer and execution condition information in the mid-threat analysis data.
  • the evaluation score calculation unit 15 has the following functions (f15-1) to (f15-12), for example. (f15-1) When the input of the countermeasure policy information for suppressing the execution condition described in the threat performer and execution condition information in the threat analysis result data is received, the countermeasure policy information is sufficiently converted into the condition table template information. A function that writes to the countermeasure policy area.
  • (F15-4) A function that writes sufficient condition table information including a countermeasure policy area in which countermeasure policy information is input, a selection area in which options are selected, and a score area in which points are described to the database unit 20.
  • (F15-5) A function to write the countermeasure name to the countermeasure name area in the countermeasure template information when receiving the countermeasure name input.
  • (F15-7) A function that describes the number of points corresponding to the option selected in the selection area of the countermeasure template information in the point area of the corresponding countermeasure template information based on the countermeasure function evaluation parameter.
  • the countermeasure information including the countermeasure name area in which the countermeasure name is input, the selection area in which the option is selected, and the score area in which the score is described is written in the database unit 20 based on the countermeasure template information. function.
  • evaluation result score entry function for entering the evaluation result score for each of the same items.
  • the evaluation result score entry function may include a function in which a weighting value set in advance for each item is used as a score of the evaluation result when the evaluation result is a positive score.
  • the evaluation score calculator 15 adds the evaluation score calculated for each countermeasure policy information for each security countermeasure function, and finally adds the evaluation score for each countermeasure policy information. May have a function (f15-13) for calculating a typical evaluation score.
  • the evaluation score calculation unit 15 may further include the following functions (f15-14) to (f15-20), for example. (f15-14) After the recovery model information is created by the recovery model creation unit 18, when the recovery sufficient condition information for each item of the log type, the target of the tracking function, and the backup is received, the recovery sufficient condition information is A function that writes to the sufficient condition area of recovery sufficient condition table template information.
  • (F15-18) A function that writes recovery countermeasure information in the database unit 20 including a countermeasure name area in which a countermeasure name is input and a selection area in which recovery sufficient condition information is selected.
  • the recovery sufficient condition information in the recovery sufficient condition table information matches the recovery sufficient condition information in the recovery measure information For example, if the evaluation result is a positive score, and if the two do not match, the evaluation result is a zero value for each of the same items in each recovery function requirement information in the recovery objective policy area of the recovery sufficient condition table information , Recovery evaluation score entry function to fill in the score of evaluation results.
  • the recovery evaluation score entry function may include a function in which a weighting value set in advance for each item is used as a score of the evaluation result when the evaluation result is a positive score.
  • the transition probability calculation unit 16 has the following functions (f16-1) to (f16-3).
  • (f16-1) Regarding the case before security countermeasure function is applied to information processing equipment, based on threat analysis result data, the number of security state information of the same transition source is set as the denominator value, and the transition source is made common
  • the value of the numerator is corrected by subtracting the evaluation score from the value of the numerator used to calculate the transition probability before the countermeasure.
  • a function that calculates the post-measure transition probability by dividing the numerator value by the denominator value.
  • the transition probability calculation unit 16 may further have the following functions (f16-4) to (f16-6). (f16-4) For the case before the security countermeasure function is applied to the information processing device, based on the recovery model information, the number of recovery function requirement information related to the same transition source security state information is used as the denominator value. The number of recovery function requirement information related to the same transition destination security status information with the same transition source is used as the numerator value, and the transition probability before countermeasure is calculated by dividing the numerator value by the denominator value. Function to do.
  • the value of the numerator used to calculate the transition probability before the countermeasure is multiplied by the evaluation score by the recovery score entry function, and the numerator A function that corrects the value and calculates the post-measure transition probability by dividing the corrected numerator value by the denominator value as the number of the recovery function requirement information.
  • (F16-6) A function for displaying the pre-measure transition probability and post-measure transition probability on the display unit 19 based on the recovery model information and the evaluation score.
  • the simulation execution unit 17 has a function of executing a simulation based on the transition probability calculated by the transition probability calculation unit 16 and a function of displaying a simulation execution result on the display unit 19.
  • the recovery model creation unit 18 has the following functions (f18-1) to (f18-5). (f18-1) When an evaluator operation on the input unit 11 receives an input of a security protection target asset selection command including the designation of a security protection target asset, based on this selection command, a security protection target is received from the database unit 20. When the asset information is selected and displayed, and the security status ID is displayed while the security protection target asset information is displayed, the security status related to the security protection target asset information being displayed is received based on the security status ID. A function that extracts information from threat occurrence model information.
  • (f18-2) Displays the security status ID of the security status information extracted from the threat occurrence model information, and accepts the input of the safety, danger, or damage occurrence group designation for each security status ID.
  • Each security status ID is classified into one of safety, danger, or damage occurrence groups, and outer frame information in a format corresponding to each group is added to the security status ID being displayed on the display unit 19. Function to display.
  • the outer frame corresponding to the safety group is selected from the outer frame information in the format corresponding to the risk or damage occurrence group based on this specification.
  • (F18-4) A function that associates the transition path information with the recovery function requirement information when receiving the input of the recovery function requirement information for each transition path information.
  • F18-5 Function to create recovery model information consisting of multiple security status information, outer frame information, transition path information, and recovery function requirement information associated with each other.
  • the display unit 19 is controlled by each unit 11, 12, 14-18, and displays data stored in the storage unit 13 by processing of each unit 12, 14-18, and data received from each unit 12, 14-18. Display device.
  • the database unit 20 includes a protection target asset DB 21, a threat occurrence model DB 22, a threat evaluation index DB 23, a security countermeasure function evaluation index DB 24, and a recovery model DB 25.
  • the protection target asset DB 21 is a non-volatile storage unit that can be read / written from each of the units 11, 12, and 14 to 19.
  • security protection target asset information, security state information, and the like, which will be described later, are appropriately included.
  • the threat generation model DB 22 is a non-volatile storage unit that can be read / written from each of the units 11, 12, 14 to 19, and for example, threat generation model information described later is stored as appropriate.
  • the threat evaluation index DB 23 is a non-volatile storage unit that can be read / written from each of the units 11, 12, and 14 to 19. For example, document data, threat analysis result data, which will be described later, and the like are appropriately stored.
  • the security measure function evaluation index DB 24 is a non-volatile storage unit that can be read / written from each of the units 11, 12, and 14 to 19. For example, a sufficient condition evaluation parameter, a measure function evaluation parameter, and a sufficient condition table template information described later. , Countermeasure template information, recovery sufficient condition table template information, recovery countermeasure template information, etc. are stored as appropriate.
  • the recovery model DB 25 is a non-volatile storage unit that can be read / written from each of the units 11, 12, and 14 to 19, and stores, for example, recovery model information to be described later as appropriate.
  • Each DB 21 to 25 may be a single DB including all the DBs 21 to 25, or may be a plurality of DBs composed of any combination of the DBs 21 to 25.
  • the database unit 20 is not limited to a storage device outside the security countermeasure function evaluation device 10, and may be realized as a storage device in the security countermeasure function evaluation device 10.
  • the initial setting unit 12 writes the security protection target asset information and various template information in the database unit 20. This writing operation is executed only once at the time of installation of the security countermeasure function evaluation program including security protection target asset information, various template information, evaluation parameters, and the like.
  • the various template information means various information in an unfilled state, and may be read as the information in an unfilled state. For example, “sufficient condition table template information” may be read as “sufficient condition table information in an unfilled state”.
  • the initial setting unit 12 includes security protection target asset information individually indicating the physical main body of the information processing device, the function of the information processing device, and data stored in the information processing device, and each security The security status ID individually associated with the protection target asset information and a plurality of security status information composed of the status information are written in the protection target asset DB 21 of the database unit 20.
  • the security protection target asset is classified into one of the physical main body of the information processing device, the function of the information processing device, and the data stored in the information processing device.
  • the physical main body of the information processing device, the function of the information processing device, and the data stored in the information processing device are independent from each other and have no inclusion relationship.
  • An information processing device is a device that processes electronic data (eg, storage processing, processing, and / or arithmetic processing), such as a personal computer (hereinafter referred to as a personal computer), a mobile personal computer, a mobile phone, a server, and home appliances. Any information processing device such as a product (hereinafter also referred to as a home appliance), a game device, a smart card, a smart card issuing device, an IC chip, an information transmission device, a network device, or the like is applicable.
  • the physical main body of the information processing device means a physical resource that has hardware resources such as a CPU, a storage device, and an input / output device.
  • the functions of the information processing device are composed of firmware such as OS and BIOS, command library, various applications, and setting information necessary for executing these, and are executed by the hardware of the information processing device.
  • Software that includes possible processing procedures and / or instructions.
  • the data stored in the information processing device means data such as personal information, music data, business-related information, and sent / received mail.
  • the initial setting unit 12 stores document data including threat information including information on an implementer and execution condition of a threat that causes the security state to transition from a safe state to a dangerous state or a damage occurrence state. Is written in the threat evaluation index DB 23.
  • the initial setting unit 12 relates to sufficient conditions for executing an arbitrary countermeasure policy for each item of function presence / absence, time, effect, notification range, operation timing, and dependency on activation. Measures including options and points for each item of sufficient condition evaluation parameters including choices and points, and presence / absence of function, time, effect, notification range, operation timing, and dependency on activation, regarding optional security measures function
  • the function evaluation parameters are written in the security measure function evaluation index DB 24 of the database unit 20.
  • the sufficient condition evaluation parameter and the countermeasure function evaluation parameter are respectively included in the evaluation parameter table.
  • the present invention is not limited to this, and the sufficient condition evaluation parameter and the countermeasure function evaluation parameter may be separately provided.
  • the “time” mentioned here refers to the time required for starting up the information processing device, for example.
  • the initial setting unit 12 includes a countermeasure policy area in which countermeasure policy information for suppressing the execution condition described in the information of the threat performer and the execution condition is input, and the countermeasure policy.
  • the execution of information and the function name for execution in the selection area and selection area, the options for each item of presence / absence of function, time, effect, notification range, and dependence on activation are sufficiently associated with the condition evaluation parameter.
  • Sufficient condition table template information including a score area in which the score corresponding to the selected option is described based on the sufficient condition evaluation parameter is written in the security measure function evaluation index DB 24 of the database unit 20.
  • the initial setting unit 12 executes and executes a countermeasure name area in which a countermeasure name for identifying a product having a security countermeasure function is input, and a security countermeasure function for the product identified by the countermeasure name.
  • a countermeasure name for For the function name for, the selection for each item of the presence / absence of the function, time, effect, notification range, and dependency on activation is listed in association with the countermeasure function evaluation parameter and the selection selected in the selection area
  • the countermeasure template information including the score area in which the corresponding score is described based on the countermeasure function evaluation parameter is written in the security countermeasure function evaluation index DB 24 of the database unit 20.
  • the initial setting unit 12 realizes a recovery countermeasure policy area in which recovery function requirement information indicating a recovery countermeasure policy is described, and recovery function requirement information in the recovery countermeasure policy area.
  • Security measures of the database unit 20 for recovery sufficient condition table template information including a sufficient condition area for inputting recovery sufficient condition information for each item of log type, tracking function target, and backup Write to the function evaluation index DB 24.
  • the log types include target, location, user, time, storage destination, and the like.
  • the initial setting unit 12 stores log information regarding a countermeasure name area in which a countermeasure name for identifying a product having a security countermeasure function is input, and a security countermeasure function for a product identified by the countermeasure name.
  • the recovery measure template information including the selected area indicating the recovery sufficient condition information for each item of type, tracking function, and backup as an option is written in the security measure function evaluation index DB 24 of the database unit 20.
  • the recovery sufficient condition information as an option uses the recovery sufficient condition information input in the above-described recovery sufficient condition table template information.
  • the log type includes the target, the position, the user, the time, and the storage destination.
  • the display unit 19 displays this security protection target asset information.
  • security protection target assets There are three types of security protection target assets: a physical main body of an information processing device, a function of the information processing device, and data stored in the information processing device.
  • the threat model creation unit 14 based on the security state ID displays the security protection target asset information being displayed. Is extracted from the protected asset DB 21 of the database unit 20 (ST12).
  • the threat model creation unit 14 sends the security state ID of the extracted security state information to the display unit 19.
  • the display unit 19 displays this security state ID.
  • the threat model creation unit 14 determines each security status based on this designation. And classify into any group of safety, danger or damage occurrence (ST13). Each group is independent of each other and has no inclusive relationship.
  • the “safe” group is a state in which it is placed under the control of a legitimate administrator, a state in which it is discarded under the legitimate manager, or a function in which the execution of the function is legitimate.
  • a group that includes at least one of a state that is normally executed within a range intended by a person and a state that data to be protected exists in the information processing device.
  • “Dangerous” groups are states that are not under the control of a legitimate administrator, states that the execution of functions may deviate from the scope intended by the legitimate administrator (eg, possessing a computer virus), A state in which the protection target data is viewed by a non-authorized administrator, a state in which the protection target data exists on a communication path, a state in which the protection target data exists in a device other than an information processing device, and the protection target data on an external storage medium This is a group including at least one of a saved state and a state in which protected data is printed.
  • the “Damage” group means that the assets subject to security protection are destroyed (in a state where the function cannot be executed), stolen, lost, infected with a computer virus, or processes that deviate from the scope intended by a legitimate administrator. It is a group that includes at least one of the state of being performed, the state of damaging other information processing devices and the assets of others included therein, regardless of the intention of a legitimate manager.
  • the threat model creation unit 14 adds outer frame information in a format corresponding to the classified group to the security state ID and displays it on the display unit 19.
  • a format according to the classified group for example, a desired format such as a solid line (safety), an alternate long and short dash line (danger), and a dotted line (damage occurrence) can be used.
  • the threat model creation unit 14 when the threat model creation unit 14 receives an input of designation of outer frame information being displayed by an operation of the input unit 11 by the evaluator, the threat model creation unit 14 forms an outer frame in a format corresponding to the safety group based on the designation. Transition path information (first transition path information) is drawn between the outer frame information in the form of an arrow from the information to the outer frame information corresponding to the risk or damage occurrence group (draw an arrow).
  • Transition path information (second transition path information) is drawn (drawn arrow) between the outer frame information in the form of an arrow toward the information (ST14).
  • the transition path information drawn in step ST14 has three types of directions: a direction from “safe” to “danger”, a direction from “danger” to “occurrence of damage”, and a direction from “safe” to “occurrence of damage”. Only the arrow of Although there are only three types of directions of the transition path information, any type (eg, solid line, broken line, alternate long and short dash line, thick line, etc.) can be used as the line type of the arrow.
  • the threat model creation unit 14 extracts threat information indicating threats that may exist from the document data in the threat evaluation index DB 23 by operating the input unit 11 by the evaluator (ST15).
  • the threat means a force that prompts a transition between security states in a direction away from the safe state, that is, a cause of the transition between security states in a direction away from the safe state.
  • the threat information is text data describing the threat, and includes the threat performer and execution conditions in an unorganized state.
  • the document data is data obtained by digitizing documents such as rules of thumb, security problems that actually occur, and attack examples.
  • the threat model creation unit 14 When the threat model creation unit 14 receives an input of designation of any of the displayed transition path information and threat information by the operation of the input unit 11 by the evaluator, the threat model creation unit 14 The threat information is associated (ST16). Thereafter, the threat model creation unit 14 deletes the transition path information that is not associated with the threat information.
  • the threat model creation unit 14 as shown in FIG. 11, FIG. 12, or FIG. 13, threat generation model information including a plurality of security state information, outer frame information, each transition path information, and threat information associated with each other.
  • Create The threat occurrence model information is displayed by the display unit 19.
  • the threat model creation unit 14 based on the threat occurrence model information and the security state information extracted in step ST 12, threat analysis that associates the transition source security state information, the transition destination security state information, and the threat information with each other.
  • Threat analysis that associates the transition source security state information, the transition destination security state information, and the threat information with each other.
  • Halfway data is created, and this threat analysis halfway data is displayed by the display unit 19.
  • threat information is in an unorganized state.
  • the threat model creation unit 14 receives the input of the threat performer and the execution condition designation in the threat information in the threat analysis midway data by the evaluator operating the input unit 11 while the threat analysis midway data is being displayed. Based on this designation, as shown in FIG. 14 and FIG. 15, information on the threat performer (who is (Who)) and the execution conditions (how) for the threat to be effective is extracted from the threat information. And arrange (ST17).
  • the threat model creation unit 14 associates the security status information of the transition source, the security status information of the transition destination, and the extracted threat performer and execution condition information in the threat analysis intermediate data with each other.
  • the threat model creation unit 14 creates threat analysis result data from threat analysis in-progress data by organizing network conditions in addition to information on the threat performer and execution conditions. To do.
  • the network condition indicates whether the network is capable of transmission / reception (ON: ON) or not related to the presence / absence of the network (any).
  • the presence or absence of a network means “whether or not connected to a network”.
  • “when irrelevant to the presence or absence of the network” means “when it does not depend on connection with the network”, that is, “when it does not matter whether it is connected to the network”.
  • step ST17 The arrangement in step ST17 is that the threat information is the same threat information as long as the threat performer and execution conditions are the same among the plurality of threat information regardless of the specified contents or specified values of the network conditions. Means to be regarded. Combinations of threat performers and execution conditions in each transition path of the threat analysis result are independent of each other and do not have an inclusive relationship.
  • the threat model creation unit 14 stores the threat analysis result data in the threat evaluation index DB 23 as shown in FIGS.
  • the threat model creation unit 14 stores the threat occurrence model information in the threat occurrence model DB 22 as shown in FIGS. 11, 12, and 13.
  • the evaluation score calculator 15 causes the evaluation score calculator 15 to operate the input unit 11 by the evaluator, as shown in FIG. 4, and a sufficient condition table template in which the measure policy area, the selection area, and the score area are not filled in.
  • Information is read from the security measure function evaluation index DB 24 and the sufficient condition table template information is displayed on the display unit 19.
  • the evaluation score calculation unit 15 suppresses the execution condition described in the threat performer and execution condition information in the threat analysis result data by the operation of the input unit 11 by the evaluator.
  • the countermeasure policy information is written in the countermeasure policy area of the sufficient condition table template information.
  • the evaluation score calculation unit 15 is a function for executing (for example, conditions such as operation timing, time, etc And execution of countermeasure policy information written in the countermeasure policy area by an operation of the input unit 11 by the evaluator.
  • any option eg, regular (operation timing item), irrelevant (time item), etc
  • the specified option is selected in the selection area.
  • the items of the condition and function name are independent from each other and do not have an inclusion relationship.
  • the evaluation score calculation part 15 may also change the item of sufficient condition table
  • the evaluation score calculation unit 15 describes the score corresponding to the option selected in the selected area in the score area based on the sufficient condition evaluation parameter in the security countermeasure function evaluation index DB 24.
  • the countermeasure policy area in which the countermeasure policy information has been inputted is obtained by associating the function and condition that the security countermeasure function should satisfy against the threat with the score.
  • Sufficient condition table information including the selected area where the option is selected and the score area where the score is described is created.
  • Sufficient condition table information is scored by selecting sufficient conditions to be satisfied for the items of functions and conditions to be satisfied by unspecified security countermeasure functions for each countermeasure policy for suppressing execution conditions in the threat analysis results. It is tabular information.
  • the evaluation score calculation unit 15 stores sufficient condition table information in the security countermeasure function evaluation index DB 24 by the operation of the input unit 11 by the evaluator.
  • the security countermeasure function that identifies each product is evaluated based on sufficient condition table information related to any security countermeasure function.
  • the evaluation score calculation unit 15 performs the security measure based on the read command.
  • the countermeasure template information is read from the function evaluation index DB 24, and the countermeasure template information in which the countermeasure name, the target, the selection result of each function, and the score are not filled in as shown in FIG.
  • the evaluation score calculation unit 15 receives an input of a measure name indicating the security measure function to be evaluated by an operation of the input unit 11 by the evaluator. Write in the name area (ST21). The target is written in the target area in the same manner.
  • the evaluation score calculation unit 15 executes any of the countermeasure names written in the countermeasure name area and the function name for executing the action name, and the evaluator operates the input unit 11 to select one of the countermeasure template information in the selected area of the countermeasure template information.
  • the specified option is selected within the selection area (ST22).
  • the selected option represents the feature of the security countermeasure function.
  • the evaluation score calculator 15 Based on the countermeasure function evaluation parameter in the security countermeasure function evaluation index DB 24, the evaluation score calculator 15 describes the score corresponding to the option selected in the selection area of the countermeasure template information in the score area of the countermeasure template information. To do. As a result, as shown in FIG. 20, the countermeasure name area and options for which the countermeasure name is input are selected as points for each function and condition item with respect to the countermeasure name and target indicating the security countermeasure function. Countermeasure information including the selected area and the score area in which the score is described is created. The evaluation score calculation unit 15 writes this countermeasure information in the security countermeasure function evaluation index DB 24 in the database unit 20.
  • the evaluation score calculation unit 15 calculates the score in the sufficient condition table information from the score in the countermeasure information regarding the score area in the same item in the countermeasure information and the sufficient condition table information. Calculate the subtracted difference and enter it in the difference column of the calculation table.
  • the evaluation score calculation unit 15 sets the evaluation result as a positive value score, and if the difference is a negative value, sets the evaluation result as a 0 value score in the countermeasure information and sufficient conditions
  • the score of the evaluation result is entered in the evaluation result column of the calculation table (ST23).
  • the positive value of the evaluation result when the difference is 0 or more is defined as “1” point. That is, in this example, the sufficient condition of the countermeasure policy is essential, but if the countermeasure function does not satisfy the sufficient condition, the evaluation result is “0” point, otherwise the evaluation result is “1” point.
  • An evaluation result calculation method is used.
  • the positive value of the evaluation result is not limited to the “1” point, and may be an arbitrary weighting value.
  • the evaluation score calculation unit 15 may use a weighting value set in advance for each item as the score of the evaluation result.
  • the evaluation score calculation unit 15 calculates the average value of the evaluation result score for each function of each countermeasure policy information and fills it in the average value column of the calculation table.
  • the evaluation score is calculated by integration (ST24), and this evaluation score is entered in the evaluation score column of the calculation table.
  • the score of the evaluation result may be weighted, and the score of the desired evaluation result may be excluded from the average value calculation formula.
  • the evaluation score calculation unit 15 calculates the evaluation score of the security countermeasure function for each countermeasure policy information.
  • the transition probability calculation unit 16 performs the same operation based on the threat analysis result data before the transition probability calculation unit 16 applies the security measure function to the information processing device by the operation of the input unit 11 by the evaluator.
  • the number of security state information at the transition source is the denominator value
  • the number of security state information at the same transition destination with the same transition source is the numerator value
  • the numerator value is divided by the denominator value.
  • the number “16” of security state information “P1” of the same transition source is the denominator value, and the security state information “P7 of the same transition destination having the same transition source is used.
  • the pre-measure transition probability “0.5” is calculated by dividing the number “8” of “8” into the numerator value and dividing the value “8” of the numerator by the value “16” of the denominator.
  • the transition probability calculation unit 16 evaluates the evaluation score from the numerator value used for calculating the pre-measurement transition probability in the case after the security measure function is applied to the information processing device by the operation of the input unit 11 by the evaluator. Is subtracted to correct the value of the numerator, and the corrected probability of transition is calculated by dividing the corrected value of the numerator by the value of the denominator.
  • the value of the numerator is corrected by subtracting the evaluation score “1” from the value “8” of the numerator used to calculate the transition probability before the countermeasure, and the corrected value of the numerator
  • the post-measure transition probability “0.4375” is calculated by dividing “7” by the denominator value “16”.
  • the transition probability calculation unit 16 sets transition parameters while referring to the threat occurrence model DB 22 and the security countermeasure function evaluation index DB 24 by the operation of the input unit 11 by the evaluator. .
  • the value a3 of the ease of transition “0” is set when there is no transition based on the threat generation model information in the threat generation model DB 22, and “1” is set as a unit when the transition is unconditional.
  • the number of “threat performer and execution condition information” is set. For example, in FIG. 23, when transitioning from the transition source security state ID “P1” to the transition destination security state ID “P5”, the transition ease value a3 is “2”. As shown in FIG. 14 and the like, this indicates that the transition is easily made by two pieces of “threat performer and execution condition information”.
  • the value (3.5) of the ease of transition after the countermeasure a4 when staying in the safe state is the value of a3 before the countermeasure
  • the value in the case of transition is a value obtained by subtracting the sum a6 of the evaluation scores from the value a3 before the countermeasure.
  • the sum of evaluation scores a6 is set to the sum of the evaluation scores for each countermeasure name for each countermeasure policy. For example, when two products with different countermeasure names are used at the same time, two evaluation points calculated for each countermeasure policy for the two countermeasure names are added for each countermeasure policy (the countermeasure between the two products). Total value of evaluation score for each policy) is set.
  • the transition probability calculation unit 16 calculates the transition probability based on the transition parameter.
  • FIG. 24 is a schematic diagram showing a calculation table of transition probabilities based on transition parameters before countermeasures in FIG.
  • the transition probability calculation table includes a transition source security state IDb1, a transition destination security state IDb2, a transition rate b3, a transition probability numerator b4, a transition probability denominator b5, a transition probability b6, a transition probability (cumulative value) b7, It includes the number of pass passes b8 and the pass pass probability b9.
  • a state that does not actually exist but transitions only to a state in which the security state is safe is assumed as a starting state P0, and this starting point state P0 is used as an initial state of simulation, and a part of the transition source security state IDb1 Is set.
  • the value of the transition probability b6 is the probability of moving to each transition destination security state IDb2 when there is transition path information from one transition source security state IDb1 to one or more different transition destination security state IDb2. It is calculated from the transition rate b3 based on the number of “threat performer and execution condition information” between the security state IDs b1 and b2.
  • a total value obtained by summing up the values of the numerator b4 of the transition probability in the row having the same security state IDb1 of the transition source is input.
  • transition source security state IDb1 is “P0”
  • the total value 2 of the values of the numerator b4 of these transition probabilities is input as the value of the denominator b5 of each transition probability.
  • the value obtained by dividing the numerator b4 of the transition probability by the value of the denominator b5 of the transition probability is input to the value of the transition probability b6.
  • the value of the transition probability b6 is the number of “threat performer and execution condition information” (a value of b3 for one set) related to a certain set of transition source and transition destination security state IDs.
  • Total value (b4 value) of the number of “threat performer and execution condition information” (b3 value for a plurality of sets) related to a plurality of transition source and transition destination security state IDs having the original security state ID The value divided by.
  • transition probability (cumulative value) b7 the result of accumulating the transition probabilities b6 of the rows having the same value as the security state ID b1 of the transition source is input.
  • FIG. 25 is a schematic diagram showing a calculation table of transition probabilities based on the transition parameters after countermeasures shown in FIG. 23. Compared with FIG. 24, the values b3 'to b9' are values after countermeasures.
  • the transition probability b6 ′ is a probability of moving to each transition destination security state IDb2.
  • transition rate b3 based on the number of “threat performer and execution condition information” between the security state IDs b1 and b2
  • transition ratio b3 ′ It is calculated from the transition ratio b3 ′ based on the value obtained by subtracting the effect (evaluation score) of the countermeasure function from the number of When the effect of the countermeasure function exceeds the number of “threat performer and execution condition information” before the countermeasure, it is calculated from the transition ratio b3 ′ having a value of “0” that does not transition.
  • the value a4 is copied.
  • the value a4 is copied in the same way to the transition probability numerator b4 '.
  • transition probability b6 ′ transition probability (cumulative value) b7 ′ of the transition probability are the values b5 ′, b6 ′, and b7 ′ after the countermeasures, which are the values b5, b6, and b7 before the countermeasures, respectively. It is.
  • the transition probability is calculated by the transition probability calculation unit 16. After that, the transition probability calculation unit 16 displays the transition probability before countermeasure and the transition probability after countermeasure on the display unit 19.
  • the transition probability calculation unit 16 calculates the transition probability b6 before the security countermeasure and the transition probability b6 ′ after the security countermeasure from the transition path information (b1 to b2) by calculating the transition probability shown in FIGS. Compared to each other, the effect and effectiveness of the security countermeasure function can be determined according to the degree of decrease in the transition probability before and after the countermeasure.
  • the transition probability calculation unit 16 calculates the transition probability before the countermeasure and the transition probability after the countermeasure so as to compare each pair of the same between the transition state security state information and the transition destination security state information. It can be displayed on the display unit 19 by any visual expression such as a chart or a bar graph.
  • simulation execution unit 17 sets the number of simulation trials such as 1000 in the storage unit 13 by the operation of the input unit 11 by the evaluator (ST31). As the number of trials increases, the error between the transition probability obtained by the simulation and the calculated transition probability decreases.
  • the simulation execution unit 17 sets the upper limit value of the number of transition steps, for example, four times in the storage unit 13 by the operation of the input unit 11 by the evaluator (ST32).
  • the upper limit value of the number of transition steps is made to coincide with the maximum value of the number of transition path information (hereinafter referred to as the maximum number of transition path information) used until the transition from the starting state P0 to any final arrival state.
  • the maximum number of transition path information used until the transition from the starting state P0 to any final arrival state.
  • the maximum number of cases in which four transition path information is used from the start state P0 (not shown) to the final arrival state P6 via the states P1, P2, and P5 is the maximum.
  • the number of transition path information is four.
  • the simulation execution unit 17 repeatedly executes the simulation processing from step ST33 to ST41 until the upper limit value of the number of transition steps is reached.
  • the simulation execution unit 17 generates a random number from 0 to 1 (ST33).
  • the simulation execution unit 17 refers to the “calculation table of transition probability before countermeasure” in the security countermeasure function evaluation index DB 24, and the transition source security state in the calculation table is the starting state P0.
  • the transition probability (cumulative) value in this case is compared with a random number, and it is determined whether or not the transition probability value is less than the random number (ST34).
  • the simulation execution unit 17 uses the transition probability value when the security state of the transition source in the “calculation table of transition probability before countermeasure” described above is the state of the transition destination after the simulation execution. Use. As a result of the determination, if the transition probability (total) value is greater than or equal to the random number, the simulation executing unit 17 returns to the process of step ST34 again.
  • step ST34 if the value of the transition probability (cumulative) is less than the random number, the simulation execution unit 17 determines the transition destination state as the next transition destination state (ST35).
  • the simulation execution unit 17 counts the “pass passage count” of the transition source state once (ST36), and increases the value of the pass passage count b8 of the transition source state in the calculation table described above by +1.
  • simulation execution unit 17 repeats the processing of steps ST37 to ST41 for the number of simulation trials.
  • the simulation execution unit 17 generates a random number from 0 to 1 (ST37).
  • the simulation executing unit 17 compares the transition probability (cumulative) value of the current transition source state in the “calculation table of transition probability before countermeasure” described above with a random number, and determines whether the transition probability value is less than the random number. (ST38). If the result of determination is that the value of transition probability (cumulative) is greater than or equal to a random number, the process returns to step ST38 again.
  • the simulation execution unit 17 determines that the transition destination state is the next transition destination state when the value of the transition probability (cumulative) is less than the random number as a result of the determination in step ST38 (ST39).
  • the simulation executing unit 17 counts the “pass passage count” of the transition source state once (ST40), and increases the value of the pass passage count b8 of the transition source state in the calculation table described above by +1.
  • the simulation execution unit 17 counts “the number of self transitions” of the transition source state once (ST41).
  • the simulation execution unit 17 determines whether or not the total number of times counted in steps ST36, ST40, and ST41 has reached the upper limit value of the number of transition steps set in step ST32 (ST42), and the total value is a transition step. If the upper limit of the number is not reached, the process returns to step ST37.
  • step ST42 when the upper limit value is reached, the simulation execution unit 17 adds +1 to the value of the number of times reached the upper limit value (final arrival state) (the final arrival number of the final arrival state). It is determined whether or not the total number of final arrivals in each final arrival state satisfies the number of trials set in step ST31 (ST43). If the number of trials is not satisfied, the process returns to step ST33.
  • step ST43 If the number of trials is satisfied as a result of the determination in step ST43, the simulation execution unit 17 ends the process.
  • FIG. 27 is a schematic diagram showing an example of simulation results before countermeasures.
  • the number of final arrivals the number of trials in which the state has reached the final arrival point
  • the final arrival probability c3 the number of passages c4 that passed through the state c1
  • the passage probability c5 the passage probability c5
  • the self-transition probability (measured value) c7 are created as simulation results.
  • the self-transition probability (theoretical value) c8 is a value obtained by copying the transition probability b6 in FIG. 24 for comparison, and is a guideline for determining the validity of the number of simulation trials based on an error from the self-transition probability (measured value) c7. Used for.
  • FIG. 28 is a schematic diagram showing an example of the simulation result after the countermeasure, and the values c2 'to c8' are the values after the countermeasure, compared to the values shown in FIG.
  • the self-transition probability (theoretical value) c8 ′ is a value obtained by copying the transition probability b6 ′ in FIG. 25 for comparison, and due to an error from the self-transition probability (measured value) c7 ′, the number of simulation trials is appropriate. It is used as a standard for judging sex.
  • the simulation execution unit 17 can display the simulation result on the display unit 19 by a visual expression as shown in FIG. 29 without being limited to the table format as shown in FIG.
  • the simulation result is obtained by comparing the state (c1) and the numerical value (c3) in the round frame. '), The radius of the round frame line (c3'), the type of the round frame line (c7 '), and the arrow line (c7') of the transition path are drawn.
  • the simulation result is not limited to the display as shown in FIG.
  • the simulation execution unit 17 uses a value obtained by comparing the simulation results for the case where the security countermeasure function is effective and the case where the simulation execution unit 17 performs an arbitrary visual expression such as a display as shown in FIG. 29, a radar chart, or a bar graph. You may display on the display part 19.
  • FIG. 29 a radar chart, or a bar graph.
  • the security countermeasure function evaluation apparatus 10 can execute not only the creation of the threat occurrence model information and the calculation of the transition probability based thereon, but also the creation of the recovery model information and the calculation of the transition probability based thereon.
  • the input unit 11 receives a security protection target asset selection command including designation of a security protection target asset by an operation of the input unit 11 by the evaluator, the recovery is performed based on the selection command.
  • the model creation unit 18 selects security protection target asset information from the protection target asset DB 21 of the database unit 21 (ST51), and displays the security protection target asset information on the display unit 19.
  • the recovery model creation unit 18 converts the security protection target asset information into the displayed security protection target asset information.
  • the related security state information is extracted from the threat occurrence model information in the threat occurrence model DB 22 (ST52).
  • the recovery model creation unit 18 displays the security state ID of the extracted security state information on the display unit 19. At this time, the security state ID is displayed without the outer frame information.
  • the recovery model creation unit 18 receives each security based on this designation.
  • the state is classified into one of safety, danger and damage occurrence (ST53).
  • the recovery model creation unit 18 adds the outer frame information in a format corresponding to each classified group to the security state ID being displayed and displays it on the display unit 19.
  • the outer frame information can be in any format such as a solid line (safety), an alternate long and short dash line (danger), and a dotted line (damage occurrence).
  • Transition path information (third transition path information) is drawn between the outer frame information in the form of an arrow from the outer frame information to the outer frame information corresponding to each safety group (drawing an arrow) (ST54).
  • This transition path information includes only arrows in two types of directions from “danger” to “safe” and from “occurrence of damage” to “safe”.
  • the transition path information corresponds to the recovery function.
  • the recovery function means a security countermeasure function that has an effect of prompting transition between security states in a direction toward a safe state.
  • the recovery model creation unit 18 After drawing the transition path information, the recovery model creation unit 18 performs a recovery indicating a recovery policy such as “PR1; retrieve information processing device” for each displayed transition path information by the evaluator operating the input unit 11. When the input of the functional requirement information is received, the transition path information and the recovery functional requirement information are associated (ST55).
  • a recovery indicating a recovery policy such as “PR1; retrieve information processing device” for each displayed transition path information by the evaluator operating the input unit 11.
  • the recovery function requirement information was deemed to be insufficient for the security protection target asset corresponding to the security status information of the transition source.
  • the recovery functional requirement information is a functional requirement necessary for executing a countermeasure policy that promotes a transition to a safe state, and is added to the security protection target asset in a dangerous state or a state in which damage has occurred. It is a functional requirement that enables the target asset to transition to a safe state.
  • the recovery function requirement is the same recovery function requirement if the multiple recovery function requirements deemed to be insufficient in the transition source security state are exactly the same between the transition source security state and the transition destination security state. They are arranged so as to be considered (ST56). This arrangement is performed by the recovery model creation unit 18 by the evaluator's operation of the input unit 11.
  • the recovery model creation unit 18 can generate a plurality of security state information and outer frames associated with each other as shown in FIG. 31, FIG. 32, or FIG. Create recovery model information consisting of information, transition path information, and recovery function requirement information.
  • the recovery model information is displayed on the display unit 19.
  • the recovery model creation unit 18 reads the recovery sufficient condition table template information from the security measure function evaluation index DB 24 of the database unit 20 as shown in FIG. Enter the recovery function requirement information in the information into the recovery policy area of the recovery sufficient condition table template information.
  • the evaluator operates the input unit 11 by the evaluator and receives input of the recovery sufficient condition information for each item of the log type, the target of the tracking function, and the backup, the recovery sufficient condition information Is written in the sufficient condition area of the recovery sufficient condition table template information.
  • the recovery model creation unit 18 reads the recovery (cause investigation) sufficient condition table template information from the security measure function evaluation index DB 24 of the database unit 20 as shown in FIG. Displayed on the display unit 19.
  • the recovery model creating section 18 inputs this countermeasure policy information into the recovery (cause investigation) countermeasure policy area.
  • the recovery model creation unit 18 receives input of sufficient condition information for recovery (cause investigation) for each item of the log type, the target of the tracking function, and the backup.
  • the recovery (cause investigation) sufficient condition information is written in the sufficient condition area of the recovery (cause investigation) sufficient condition table template information.
  • Recovery (cause investigation) sufficient condition information is information indicating a trace of a threat.
  • Recovery (cause investigation) sufficient condition information is regarded as the same cause investigation condition and arranged if the information indicating the trace of the threat is exactly the same among a plurality of recovery functions.
  • the child model is organized by the recovery model creation unit 18 by operating the evaluator's input unit 11.
  • the recovery model creation unit 18 obtains the recovery sufficient condition table information including the recovery measure policy area and the sufficient condition area in which the recovery sufficient condition information is written, as shown in FIGS. Write to the countermeasure function evaluation index DB 24.
  • the recovery model creation unit 18 stores the recovery model information in the recovery model DB 25.
  • the security countermeasure function specifying each product is evaluated based on the recovery sufficient condition table information of any security countermeasure function.
  • the security measure function evaluation apparatus 10 when the input unit 11 receives a security measure function selection command including the designation of the security measure function to be evaluated by the operation of the input unit 11 by the evaluator, the security measure function evaluation device 10
  • the evaluation score calculation unit 15 selects the recovery measure template information from the security measure function evaluation index DB 24, and each item of the measure name and log type (target, location, user, time, storage destination) as shown in FIG.
  • the display unit 19 displays recovery measure template information in which the tracking function target, backup target, and other functions are not filled in.
  • the evaluation score calculation unit 15 receives an input of a measure name for the recovery measure template information by operating the input unit 11 by the evaluator. Write to.
  • the evaluation score calculation unit 15 When the evaluation score calculation unit 15 receives designation of the recovery sufficient condition information as an option of each item in the recovery measure template information by the operation of the input unit 11 by the evaluator, the evaluation sufficient condition information select. As this option, the recovery sufficient condition information in the recovery sufficient condition table information in the security measure function evaluation index DB 24 is used.
  • the evaluation score calculation unit 15 sets the recovery measure information including the measure name region in which the measure name is input and the selected region in which the recovery sufficient condition information is selected as the security of the database unit 20. Write to the countermeasure function evaluation index DB 24.
  • the evaluation score calculation unit 15 relates to the recovery sufficient condition information in the recovery sufficient condition table information and the recovery for the same items in the recovery measure information and the recovery sufficient condition table information. If the recovery sufficient condition information in the countermeasure information matches, the evaluation result is scored as a positive value, and if they do not match, the evaluation result is scored as a zero value, within the recovery countermeasure policy area of the recovery sufficient condition table information For each identical item in each recovery function requirement information, enter the score of the evaluation result.
  • the positive value of the evaluation result is a “1” point.
  • the positive value of the evaluation result is not limited to the “1” point, and may be an arbitrary weighting value. In other words, when the evaluation result is a positive value score, the evaluation score calculation unit 15 may use a weighting value set in advance for each item as the score of the evaluation result.
  • the evaluation score calculation unit 15 calculates the evaluation score by adding up the scores of all the evaluation results for each recovery function requirement information, and enters it in the evaluation score area.
  • the score of each evaluation result may be weighted, and the score of the desired evaluation result may be excluded from the calculation formula of the evaluation score.
  • the evaluation score calculator 15 calculates the evaluation score of the recovery function and the cause investigation condition for each recovery function requirement information in the countermeasure policy area.
  • the transition probability calculation unit 16 can calculate the transition probability before and after the countermeasure as described above, and can execute a simulation calculation based on the transition probability. That is, the transition probability calculation unit 16 determines the number of recovery function requirement information related to the same transition source security state information based on the recovery model information in the denominator for the case before the security measure function is applied to the information processing device. By taking the number of recovery function requirement information related to the security status information of the same transition destination that has the same transition source as the numerator value and dividing the numerator value by the denominator value, The transition probability can be calculated.
  • the number of recovery function requirement information “PR2” “1” related to the security state information “P6” of the same transition source is the denominator value, and the same transition with the same transition source is used.
  • the transition probability calculation unit 16 multiplies the value of the numerator used to calculate the transition probability before the countermeasure by an evaluation score for the case after the security countermeasure function is applied to the information processing device, and obtains the value of the numerator.
  • the corrected transition probability can be calculated by correcting and dividing the corrected numerator value by the denominator value as the number of the recovery function requirement information.
  • the numerator value “1” used for calculating the transition probability before countermeasure is multiplied by the evaluation score “0” to correct the numerator value.
  • the post-measure transition probability “0” can be calculated.
  • the transition probability calculation unit 16 displays the transition probability before countermeasure and the transition probability after countermeasure on the display unit 19.
  • the transition probability calculation unit 16 performs transition before countermeasures based on the recovery model information and the evaluation score so as to compare each pair of the security state information of the transition source and the security state information of the transition destination for each identical pair.
  • the probability and the transition probability after countermeasure may be displayed on the display unit 19 by a radar chart or a bar graph.
  • the simulation execution unit 17 can execute the simulation calculation similarly to the above based on the calculation result of the transition probability regarding the recovery function, and can display the simulation result as shown in FIG.
  • each item of the countermeasure information indicating the details of the security countermeasure function satisfies each item of the sufficient condition table information, and the evaluation score is calculated from the evaluation result of each item.
  • the configuration that calculates transition probabilities based on the number of evaluation points enables even inexperienced evaluators to evaluate the security countermeasure functions to be evaluated in detail for each item. Can be evaluated.
  • the transition probability before and after the countermeasure can be compared, and the effect of the security countermeasure function can be evaluated quantitatively.
  • the security countermeasure function can be easily re-evaluated according to the progress of security countermeasure functions and changes in threats in the future, and comparison with past evaluation results of security countermeasure functions can be realized. Can do.
  • this embodiment demonstrated the case where one security countermeasure function was given to information processing equipment, it is not restricted to this, It can implement even when applying a plurality of security countermeasure functions to information processing equipment, An effect can be obtained.
  • the evaluation score calculation unit 15 adds the evaluation score calculated for each countermeasure policy information for each security countermeasure function and finally adds the evaluation score for each countermeasure policy. By calculating a typical evaluation score, the same effect can be obtained by carrying out the present embodiment in the same manner.
  • the method described in the above embodiment is a program that can be executed by a computer as a magnetic disk (floppy (registered trademark) disk, hard disk, etc.), optical disk (CD-ROM, DVD, etc.), magneto-optical disk (MO). ), And can be distributed in a storage medium such as a semiconductor memory.
  • a magnetic disk floppy (registered trademark) disk, hard disk, etc.
  • optical disk CD-ROM, DVD, etc.
  • MO magneto-optical disk
  • the storage medium can store a program and can be read by a computer
  • the storage format may be any form.
  • an OS operating system
  • MW middleware
  • database management software network software
  • the storage medium in the present invention is not limited to a medium independent of a computer, but also includes a storage medium in which a program transmitted via a LAN, the Internet, or the like is downloaded and stored or temporarily stored.
  • the number of storage media is not limited to one, and the case where the processing in the above embodiment is executed from a plurality of media is also included in the storage media in the present invention, and the media configuration may be any configuration.
  • the computer executes each process in the above-described embodiment based on a program stored in a storage medium, and is a single device such as a personal computer or a system in which a plurality of devices are connected to a network. Any configuration may be used.
  • the computer in the present invention is not limited to a personal computer, but includes an arithmetic processing device, a microcomputer, and the like included in an information processing device, and is a generic term for devices and devices that can realize the functions of the present invention by a program. .
  • the present invention is not limited to the above-described embodiment as it is, and can be embodied by modifying the constituent elements without departing from the scope of the invention in the implementation stage.
  • various inventions can be formed by appropriately combining a plurality of constituent elements disclosed in the embodiment. For example, some components may be deleted from all the components shown in the embodiment. Furthermore, you may combine the component covering different embodiment suitably.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Stored Programmes (AREA)
  • Debugging And Monitoring (AREA)

Abstract

　セキュリティ対策機能評価装置（１０）においては、評価者による入力部（１１）の操作により、評価点数算出部（１５）が、セキュリティ対策機能の詳細を示す対策情報の各項目が十分条件表情報の各項目を満たすか否かを評価して、各項目の評価結果から評価点数を算出し、遷移確率算出部（１６）が評価点数に基づいて遷移確率を算出する。これにより、未熟な評価者でも、評価対象のセキュリティ対策機能を項目毎に詳細に評価できるので、評価者の熟練度に依存せずに、セキュリティ対策機能の効果を評価できる。

Description

セキュリティ対策機能評価プログラム
　本発明は、セキュリティ対策機能を評価するためのセキュリティ対策機能評価プログラムに係り、例えば、評価者の熟練度に依存せずに、セキュリティ対策機能を評価し得るセキュリティ対策機能評価プログラムに関する。
　情報処理機器には、様々な用途や種類、ＯＳ（Operating System）が存在し、保持する情報や機能が増加している。
　このような情報処理機器に対しては、単純、単一のセキュリティ対策機能から、複数の幅広い脅威に対応するセキュリティ対策機能まで、様々なセキュリティ対策機能が開発されて実装可能となっている。これらのセキュリティ対策機能は、開発元や提供ベンダーによる機能自体や効果の表記に違いがあり、効果を客観的に評価して相互に比較することが難しい。
　このため、セキュリティ対策機能は、脅威やセキュリティ問題の特徴を荒く捉えた項目に対し、対応可能か否かという観点で評価されている。この評価においては、同種のセキュリティ対策機能で夫々対応可能であれば、互いに同一の効果をもつとみなされている。
　なお、この出願の発明に関連する先行技術文献情報としては次のものがある。　
特開２００５－２５５２３号公報
　しかしながら、以上のようなセキュリティ対策機能の評価手法は、前述した通り、セキュリティ対策機能の効果を客観的に評価して比較することが難しい状況にある。例えば、実装されたセキュリティ対策機能が、実際にユーザが想定した脅威を抑制する効果をもつか否か、また、他の同種のセキュリティ対策機能よりも高い効果をもつか否かを評価することが難しい。このため、実際の効果やそれらの比較は、評価者の熟練度に応じて客観的に評価される。
　これは、評価者の熟練度に依存せずに、セキュリティ対策機能の効果を評価するための手法や基準が存在していないからである。
　本発明の目的は、評価者の熟練度に依存せずに、セキュリティ対策機能の効果を評価し得るセキュリティ対策機能評価プログラムを提供することにある。
　本発明の一つの局面は、記憶装置であるデータベース部を読出／書込可能であり、情報処理機器に実装されるセキュリティ対策機能を評価するためのセキュリティ対策機能評価装置に対し、前記セキュリティ対策機能評価装置に用いられ、コンピュータ読み取り可能な記憶媒体に記憶されたセキュリティ対策機能評価プログラムであって、情報処理機器の物理的本体、情報処理機器の機能、及び情報処理機器に保存されたデータ、を個別に示すセキュリティ保護対象資産情報と、前記各セキュリティ保護対象資産情報に個別に関連付けられたセキュリティ状態ＩＤ及び状態情報からなる複数のセキュリティ状態情報とを前記データベース部に書き込む処理を前記セキュリティ対策機能評価装置に実行させるための第１プログラムコード、セキュリティ状態が安全な状態から危険な状態又は被害発生状態に遷移する原因である脅威の実施者及び実行条件の情報を含む脅威情報を含んだ文書データを前記データベース部に書き込む処理を前記セキュリティ対策機能評価装置に実行させるための第２プログラムコード、任意の対策方針を実行する十分条件に関し、機能の有無、時間、効果、通知範囲、動作タイミング、及び起動への依存度、の項目毎の選択肢及び点数を含む十分条件評価パラメータと、任意のセキュリティ対策機能に関し、機能の有無、時間、効果、通知範囲、動作タイミング、及び起動への依存度、の項目毎の選択肢及び点数を含む対策機能評価パラメータとを前記データベース部に書き込む処理を前記セキュリティ対策機能評価装置に実行させるための第３プログラムコード、脅威の実施者及び実行条件の情報に記述された実行条件を抑制するための対策方針情報が入力される対策方針領域と、当該対策方針情報の実行及び実行のための機能名に関し、機能の有無、時間、効果、通知範囲、及び起動への依存度の項目毎の選択肢を前記十分条件評価パラメータに関連付けて列挙した選択領域及び前記選択領域で選択された選択肢に応じた点数が前記十分条件評価パラメータに基づいて記述される点数領域とを含む十分条件表雛形情報を前記データベース部に書き込む処理を前記セキュリティ対策機能評価装置に実行させるための第４プログラムコード、前記セキュリティ対策機能の製品を特定する対策名が入力される対策名領域と、当該対策名により特定される製品のセキュリティ対策機能の実行及び実行のための機能名に関し、機能の有無、時間、効果、通知範囲、及び起動への依存度の項目毎の選択肢を前記対策機能評価パラメータに関連付けて列挙した選択領域及び前記選択領域で選択された選択肢に応じた点数が前記対策機能評価パラメータに基づいて記述される点数領域とを含む対策雛形情報を前記データベース部に書き込む処理を前記セキュリティ対策機能評価装置に実行させるための第５プログラムコード、セキュリティ保護対象資産の指定を含むセキュリティ保護対象資産の選択命令の入力を受け付けると、この選択命令に基づいて、前記データベース部内のセキュリティ保護対象資産情報を選択する処理を前記セキュリティ対策機能評価装置に実行させるための第６プログラムコード、前記選択されたセキュリティ保護対象資産情報を表示する処理を前記セキュリティ対策機能評価装置に実行させるための第７プログラムコード、前記セキュリティ保護対象資産情報の表示中、セキュリティ状態ＩＤの入力を受け付けると、このセキュリティ状態ＩＤに基づいて、当該表示中のセキュリティ保護対象資産情報に関連するセキュリティ状態情報を前記データベース部から抽出する処理を前記セキュリティ対策機能評価装置に実行させるための第８プログラムコード、抽出したセキュリティ状態情報のセキュリティ状態ＩＤを表示する処理を前記セキュリティ対策機能評価装置に実行させるための第９プログラムコード、表示中のセキュリティ状態ＩＤ毎に、安全、危険又は被害発生のグループに関する指定の入力を受け付けると、この指定に基づいて、各セキュリティ状態ＩＤを、安全、危険又は被害発生のいずれかのグループに分類する処理を前記セキュリティ対策機能評価装置に実行させるための第１０プログラムコード、分類したグループに応じた形式の外枠情報を、表示中のセキュリティ状態ＩＤに付加して表示する処理を前記セキュリティ対策機能評価装置に実行させるための第１１プログラムコード、表示中の外枠情報の指定の入力を受け付けると、この指定に基づいて、前記安全のグループに応じた形式の外枠情報から前記危険又は被害発生のグループに応じた外枠情報に向かう矢印の形式により、当該外枠情報間に第１遷移パス情報を描画する処理を前記セキュリティ対策機能評価装置に実行させるための第１２プログラムコード、表示中の外枠情報の指定の入力を受け付けると、この指定に基づいて、前記危険のグループに応じた外枠情報から前記被害発生のグループに応じた外枠情報に向かう矢印の形式により、当該外枠情報間に第２遷移パス情報を描画する処理を前記セキュリティ対策機能評価装置に実行させるための第１３プログラムコード、表示中の第１又は第２遷移パス情報と、前記脅威情報との指定の入力を受け付けると、この指定に基づいて、当該第１又は第２遷移パス情報と当該脅威情報とを関連付ける処理を前記セキュリティ対策機能評価装置に実行させるための第１４プログラムコード、前記脅威情報が関連付けられなかった第１又は第２遷移パス情報を削除することにより、互いに関連付けられた複数のセキュリティ状態情報、外枠情報、第１遷移パス情報、第２遷移パス情報及び脅威情報からなる脅威発生モデル情報を作成する処理を前記セキュリティ対策機能評価装置に実行させるための第１５プログラムコード、前記脅威発生モデル情報に基づいて、遷移元のセキュリティ状態情報、遷移先のセキュリティ状態情報及び脅威情報を互いに関連付けた脅威分析途中データを作成して表示する処理を前記セキュリティ対策機能評価装置に実行させるための第１６プログラムコード、前記脅威分析途中データの表示中に、当該脅威分析途中データ内の脅威情報における脅威の実施者及び実行条件の指定の入力を受け付けると、この指定に基づいて、当該脅威情報から脅威の実施者及び実行条件の情報を抽出する処理を前記セキュリティ対策機能評価装置に実行させるための第１７プログラムコード、前記脅威分析途中データ内の遷移元のセキュリティ状態情報、遷移先のセキュリティ状態情報、及び前記抽出した脅威の実施者及び実行条件の情報を互いに関連付けた脅威分析結果データを作成する処理を前記セキュリティ対策機能評価装置に実行させるための第１８プログラムコード、前記脅威分析結果データ内の脅威の実施者及び実行条件の情報に記述された実行条件を抑制するための対策方針情報の入力を受け付けると、この対策方針情報を前記十分条件表雛形情報の対策方針領域に書き込む処理を前記セキュリティ対策機能評価装置に実行させるための第１９プログラムコード、前記対策方針領域に書き込まれた対策方針情報の実行及び実行のための機能名に関し、前記選択領域内のいずれかの選択肢が指定されると、当該指定された選択肢を当該選択領域内で選択する処理を前記セキュリティ対策機能評価装置に実行させるための第２０プログラムコード、前記十分条件評価パラメータに基づいて、前記選択領域内で選択された選択肢に対応する点数を前記点数領域に記述する処理を前記セキュリティ対策機能評価装置に実行させるための第２１プログラムコード、前記対策方針情報が入力された対策方針領域、前記選択肢が選択された選択領域、及び前記点数が記述された点数領域を含む十分条件表情報を前記データベース部に書き込む処理を前記セキュリティ対策機能評価装置に実行させるための第２２プログラムコード、前記対策名の入力を受け付けると、この対策名を前記対策雛形情報内の対策名領域に書き込む処理を前記セキュリティ対策機能評価装置に実行させるための第２３プログラムコード、前記対策名領域に書き込まれた対策名の実行及び実行のための機能名に関し、前記対策雛形情報の選択領域内のいずれかの選択肢が指定されると、当該指定された選択肢を当該選択領域内で選択する処理を前記セキュリティ対策機能評価装置に実行させるための第２４プログラムコード、前記対策機能評価パラメータに基づいて、前記対策雛形情報の選択領域内で選択された選択肢に対応する点数を当該対策雛形情報の点数領域に記述する処理を前記セキュリティ対策機能評価装置に実行させるための第２５プログラムコード、前記対策雛形情報に基づいて作成され、前記対策名が入力された対策名領域、前記選択肢が選択された選択領域、及び前記点数が記述された点数領域を含む対策情報を前記データベース部に書き込む処理を前記セキュリティ対策機能評価装置に実行させるための第２６プログラムコード、前記対策情報内及び前記十分条件表情報内の互いに同一の項目における点数領域に関し、当該対策情報の点数領域の点数から当該十分条件表情報の点数領域の点数を引いた差分を算出する処理を前記セキュリティ対策機能評価装置に実行させるための第２７プログラムコード、前記差分が０以上の値であれば評価結果を正の値の点数とし、差分が負の値であれば評価結果を０値の点数として、前記対策情報内及び前記十分条件表情報内の互いに同一の項目毎に、評価結果の点数を記入する評価結果点数記入処理を前記セキュリティ対策機能評価装置に実行させるための第２８プログラムコード、前記各対策方針情報の機能毎に、評価結果の点数の平均値を算出する処理を前記セキュリティ対策機能評価装置に実行させるための第２９プログラムコード、前記対策方針情報毎に、全ての平均値を積算して評価点数を算出する処理を前記セキュリティ対策機能評価装置に実行させるための第３０プログラムコード、前記情報処理機器にセキュリティ対策機能を施す前の場合に関し、前記脅威分析結果データに基づいて、同一の遷移元のセキュリティ状態情報の個数を分母の値とし、当該遷移元を共通とした同一の遷移先のセキュリティ状態情報の個数を分子の値とし、当該分子の値を当該分母の値で除算することにより、対策前遷移確率を算出する処理を前記セキュリティ対策機能評価装置に実行させるための第３１プログラムコード、前記情報処理機器にセキュリティ対策機能を施した後の場合に関し、前記対策前遷移確率の算出に用いた分子の値から前記評価点数を減算して当該分子の値を修正し、この修正した分子の値を前記分母の値で除算することにより、対策後遷移確率を算出する処理を前記セキュリティ対策機能評価装置に実行させるための第３２プログラムコード、前記対策前遷移確率と前記対策後遷移確率とを表示する処理を前記セキュリティ対策機能評価装置に実行させるための第３３プログラムコード、を備えたセキュリティ対策機能評価プログラムである。
　本発明の一つの局面によれば、セキュリティ対策機能の詳細を示す対策情報の各項目が十分条件表情報の各項目を満たすか否かを評価し、各項目の評価結果から評価点数を算出し、評価点数に基づいて遷移確率を算出する構成により、未熟な評価者でも評価対象のセキュリティ対策機能を項目毎に詳細に評価できることから、評価者の熟練度に依存せずに、セキュリティ対策機能の効果を評価することができる。
　以上説明したように本発明によれば、評価者の熟練度に依存せずに、セキュリティ対策機能の効果を評価できる。
図１は、本発明の一実施形態に係るセキュリティ対策機能評価装置及びその周辺構成を示す模式図である。 図２は、同実施形態におけるセキュリティ保護対象資産情報及びセキュリティ状態情報の一例を示す模式図である。 図３は、同実施形態における十分条件評価パラメータ及び対策機能評価パラメータを含む評価パラメータ表の一例を示す模式図である。 図４は、同実施形態における十分条件表雛形情報の一例を示す模式図である。 図５は、同実施形態における対策雛形情報の一例を示す模式図である。 図６は、同実施形態における回復十分条件雛形情報の一例を示す模式図である。 図７は、同実施形態における回復十分条件雛形情報の一例を示す模式図である。 図８は、同実施形態における回復対策雛形情報の一例を示す模式図である。 図９は、同実施形態における脅威発生モデル情報の作成処理を説明するためのフローチャートである。 図１０は、同実施形態におけるセキュリティ状態のグループを説明するための模式図である。 図１１は、同実施形態における脅威発生モデル情報の一例を示す模式図である。 図１２は、同実施形態における脅威発生モデル情報の一例を示す模式図である。 図１３は、同実施形態における脅威発生モデル情報の一例を示す模式図である。 図１４は、同実施形態における脅威分析結果データの一例を示す模式図である。 図１５は、同実施形態における脅威分析結果データの一例を示す模式図である。 図１６は、同実施形態における十分条件表情報の一例を示す模式図である。 図１７は、同実施形態における十分条件表情報の一例を示す模式図である。 図１８は、同実施形態における十分条件表情報の一例を示す模式図である。 図１９は、同実施形態におけるセキュリティ対策機能の評価処理を説明するためのフローチャートである。 図２０は、同実施形態における対策情報の一例を示す模式図である。 図２１は、同実施形態における評価結果の計算表の一例を示す模式図である。 図２２は、同実施形態における評価点数の計算表の一例を示す模式図である。 図２３は、同実施形態における遷移パラメータの一例を示す模式図である。 図２４は、同実施形態における対策前の遷移確率の計算表の一例を示す模式図である。 図２５は、同実施形態における対策後の遷移確率の計算表の一例を示す模式図である。 図２６は、同実施形態におけるシミュレーション処理を説明するためのフローチャートである。 図２７は、同実施形態における対策前のシミュレーション結果の一例を示す模式図である。 図２８は、同実施形態における対策後のシミュレーション結果の一例を示す模式図である。 図２９は、同実施形態におけるシミュレーション結果の視覚表現の一例を示す模式図である。 図３０は、同実施形態における回復モデル情報の作成処理を説明するためのフローチャートである。 図３１は、同実施形態における回復モデル情報の一例を示す模式図である。 図３２は、同実施形態における回復モデル情報の一例を示す模式図である。 図３３は、同実施形態における回復モデル情報の一例を示す模式図である。 図３４は、同実施形態における回復十分条件表情報の一例を示す模式図である。 図３５は、同実施形態における回復十分条件表情報の一例を示す模式図である。 図３６は、同実施形態における回復対策情報の一例を示す模式図である。 図３７は、同実施形態における評価結果の算出過程の一例を示す模式図である。 図３８は、同実施形態における評価点数の計算表の一例を示す模式図である。 図３９は、同実施形態における評価点数の一例を示す模式図である。 図４０は、同実施形態におけるシミュレーション結果の視覚表現の一例を示す模式図である。
　以下、本発明の一実施形態について図面を用いて説明する。なお、以下のセキュリティ対策機能評価装置は、ハードウェア構成、又はハードウェア資源とソフトウェアとの組合せ構成のいずれでも実施可能となっている。組合せ構成のソフトウェアとしては、図１に示すように、予めネットワーク又は記憶媒体Ｍからセキュリティ対策機能評価装置１０となるコンピュータにインストールされ、セキュリティ対策機能評価装置１０の各機能を実現させるためのセキュリティ対策機能評価プログラムが用いられる。
　図１は本発明の一実施形態に係るセキュリティ対策機能評価プログラムをインストールしたセキュリティ対策機能評価装置及びその周辺構成を示す模式図である。このセキュリティ対策機能評価装置１０は、情報処理装置に実装されるセキュリティ対策機能を評価する機能を有しており、また、読出／書込可能な記憶装置としてのデータベース部２０に接続されている。評価対象であるセキュリティ対策機能は、セキュリティ対策機能を実現する製品である。具体的には、ソフトウェア、ハードウェア、ソフトウェアとハードウェアを組み合わせた製品、ネットワークを利用する製品の他、任意の実装形態の製品が評価対象である。このため、「セキュリティ対策機能」の用語は「セキュリティ対策製品」と読み替えてもよい。
　セキュリティ対策機能評価装置１０は、入力部１１、初期設定部１２、記憶部１３、脅威モデル作成部１４、評価点数算出部１５、遷移確率算出部１６、シミュレーション実行部１７、回復モデル作成部１８及び表示部１９を備えている。
　ここで、入力部１１は、評価者の操作により、各種のデータや命令などの情報をセキュリティ対策機能評価装置１０内に入力するための入力デバイスである。
　初期設定部１２は、セキュリティ保護対象資産情報や各種の雛形情報などを含むセキュリティ対策機能評価プログラムのインストール時にセキュリティ保護対象資産情報や各種の雛形情報などをデータベース部２０に書き込む機能をもっている。
　具体的には初期設定部１２は、後述するセキュリティ保護対象資産情報、複数のセキュリティ状態情報、文書データ、十分条件評価パラメータ、対策機能評価パラメータ、十分条件表雛形情報、対策雛形情報、回復十分条件表雛形情報及び回復対策雛形情報をデータベース部２０に書き込む機能をもっている。
　記憶部１３は、各部１１，１２，１４～１９から読出／書込可能なメモリであり、例えば、入力部１１が入力するデータ、各部１２，１４～１８がデータベース部２０との間で読出／書込処理する情報、各部１４～１８による処理中のデータ、計算途中又は計算結果のデータ、表示部１９が表示する情報などが適宜、記憶される。
　脅威モデル作成部１４は、例えば、以下の各機能(f14-1)～(f14-12)をもっている。　
　(f14-1)　入力部１１の操作により、セキュリティ保護対象資産の指定を含むセキュリティ保護対象資産の選択命令の入力を受け付けると、この選択命令に基づいて、データベース部２０内のセキュリティ保護対象資産情報を選択する機能。
　(f14-2)　選択されたセキュリティ保護対象資産情報を表示部１９により表示する機能と、セキュリティ保護対象資産情報の表示中、セキュリティ状態ＩＤの入力を受け付けると、このセキュリティ状態ＩＤに基づいて、当該表示中のセキュリティ保護対象資産情報に関連するセキュリティ状態情報をデータベース部２０から抽出する機能。
　(f14-3)　抽出したセキュリティ状態情報のセキュリティ状態ＩＤを表示部１９により表示する機能。
　(f14-4)　表示中のセキュリティ状態ＩＤ毎に、安全、危険又は被害発生のグループに関する指定の入力を受け付けると、この指定に基づいて、各セキュリティ状態ＩＤを、安全、危険又は被害発生のいずれかのグループに分類する機能。
　(f14-5)　分類したグループに応じた形式の外枠情報を、表示中のセキュリティ状態ＩＤに付加して表示部１９に表示する機能。
　(f14-6)　表示中の外枠情報の指定の入力を受け付けると、この指定に基づいて、安全のグループに応じた形式の外枠情報から危険又は被害発生のグループに応じた外枠情報に向かう矢印の形式により、当該外枠情報間に遷移パス情報を描画する機能。
　(f14-7)　表示中の外枠情報の指定の入力を受け付けると、この指定に基づいて、危険のグループに応じた外枠情報から被害発生のグループに応じた外枠情報に向かう矢印の形式により、当該外枠情報間に他の遷移パス情報を描画する機能。
　(f14-8)　表示中の各遷移パス情報と、脅威情報との指定の入力を受け付けると、この指定に基づいて、当該遷移パス情報と当該脅威情報とを関連付ける機能。
　(f14-9)　脅威情報が関連付けられなかった遷移パス情報を削除することにより、互いに関連付けられた複数のセキュリティ状態情報、外枠情報、第１遷移パス情報、第２遷移パス情報及び脅威情報からなる脅威発生モデル情報を作成する機能。
　(f14-10)　脅威発生モデル情報に基づいて、遷移元のセキュリティ状態情報、遷移先のセキュリティ状態情報及び脅威情報を互いに関連付けた脅威分析途中データを作成して表示部１９に表示する機能。
　(f14-11)　脅威分析途中データの表示中に、当該脅威分析途中データ内の脅威情報における脅威の実施者及び実行条件の指定の入力を受け付けると、この指定に基づいて、当該脅威情報から脅威の実施者及び実行条件の情報を抽出する機能。
　(f14-12)　脅威分析途中データ内の遷移元のセキュリティ状態情報、遷移先のセキュリティ状態情報、及び抽出した脅威の実施者及び実行条件の情報を互いに関連付けた脅威分析結果データを作成する機能。
　評価点数算出部１５は、例えば、以下の各機能(f15-1)～(f15-12)をもっている。　
　(f15-1)　脅威分析結果データ内の脅威の実施者及び実行条件の情報に記述された実行条件を抑制するための対策方針情報の入力を受け付けると、この対策方針情報を十分条件表雛形情報の対策方針領域に書き込む機能。
　(f15-2)　対策方針領域に書き込まれた対策方針情報の実行及び実行のための機能名に関し、選択領域内のいずれかの選択肢が指定されると、当該指定された選択肢を当該選択領域内で選択する機能。
　(f15-3)　十分条件評価パラメータに基づいて、選択領域内で選択された選択肢に対応する点数を点数領域に記述する機能。
　(f15-4)　対策方針情報が入力された対策方針領域、選択肢が選択された選択領域、及び点数が記述された点数領域を含む十分条件表情報をデータベース部２０に書き込む機能。
　(f15-5)　対策名の入力を受け付けると、この対策名を対策雛形情報内の対策名領域に書き込む機能。
　(f15-6)　対策名領域に書き込まれた対策名の実行及び実行のための機能名に関し、対策雛形情報の選択領域内のいずれかの選択肢が指定されると、当該指定された選択肢を当該選択領域内で選択する機能。
　(f15-7)　対策機能評価パラメータに基づいて、対策雛形情報の選択領域内で選択された選択肢に対応する点数を当該対策雛形情報の点数領域に記述する機能。
　(f15-8)　対策雛形情報に基づいて作成され、対策名が入力された対策名領域、選択肢が選択された選択領域、及び点数が記述された点数領域を含む対策情報をデータベース部２０に書き込む機能。
　(f15-9)　対策情報内及び十分条件表情報内の互いに同一の項目における点数領域に関し、当該対策情報の点数領域の点数から当該十分条件表情報の点数領域の点数を引いた差分を算出する機能。
　(f15-10)　差分が０以上の値であれば評価結果を正の値の点数とし、差分が負の値であれば評価結果を０値の点数として、対策情報内及び十分条件表情報内の互いに同一の項目毎に、評価結果の点数を記入する評価結果点数記入機能。なお、評価結果点数記入機能は、評価結果を正の値の点数とする場合、予め項目毎に設定された重み付け値を当該評価結果の点数とする機能を含んでいてもよい。
　(f15-11)　各対策方針情報の機能毎に、評価結果の点数の平均値を算出する機能。
　(f15-12)　対策方針情報毎に、全ての平均値を積算して評価点数を算出する機能。
　また、評価点数算出部１５は、情報処理機器に複数のセキュリティ対策機能を施す場合、当該各セキュリティ対策機能に関し、対策方針情報毎に算出された評価点数を当該対策方針情報毎に加算して最終的な評価点数を算出する機能(f15-13)をもっていてもよい。
　また、評価点数算出部１５は、例えば、以下の各機能(f15-14)～(f15-20)を更にもっていてもよい。　
　(f15-14)　回復モデル作成部１８による回復モデル情報の作成後、ログの種類、追跡機能の対象、及びバックアップ、の項目毎の回復十分条件情報の入力を受け付けると、この回復十分条件情報を回復十分条件表雛形情報の十分条件領域に書き込む機能。
　(f15-15)　回復対策方針領域と、回復十分条件情報が書き込まれた十分条件領域とを含む回復十分条件表情報をデータベース部２０に書き込む機能。
　(f15-16)　回復対策雛形情報に対する対策名の入力を受け付けると、この対策名を回復対策雛形情報内の対策名領域に書き込む機能。
　(f15-17)　回復対策雛形情報内の選択肢としての回復十分条件情報の指定を受け付けると、この指定された回復十分条件情報を選択する機能。
　(f15-18)　回復対策雛形情報に基づいて作成され、対策名が入力された対策名領域と、回復十分条件情報が選択された選択領域とを含む回復対策情報をデータベース部２０に書き込む機能。
　(f15-19)　回復対策情報内及び回復十分条件表情報内の互いに同一の項目に関し、当該回復十分条件表情報内の回復十分条件情報と当該回復対策情報内の回復十分条件情報とが一致すれば評価結果を正の値の点数とし、両者が不一致であれば評価結果を０値の点数として、回復十分条件表情報の回復対策方針領域内の各回復機能要件情報における当該同一の項目毎に、評価結果の点数を記入する回復評価点数記入機能。なお、回復評価点数記入機能は、評価結果を正の値の点数とする場合、予め項目毎に設定された重み付け値を当該評価結果の点数とする機能を含んでいてもよい。
　(f15-20)　当該回復機能要件毎に、全ての評価結果の点数を積算して評価点数を算出する機能。
　遷移確率算出部１６は、以下の各機能(f16-1)～(f16-3)をもっている。　
　(f16-1)　情報処理機器にセキュリティ対策機能を施す前の場合に関し、脅威分析結果データに基づいて、同一の遷移元のセキュリティ状態情報の個数を分母の値とし、当該遷移元を共通とした同一の遷移先のセキュリティ状態情報の個数を分子の値とし、当該分子の値を当該分母の値で除算することにより、対策前遷移確率を算出する機能。
　(f16-2)　情報処理機器にセキュリティ対策機能を施した後の場合に関し、対策前遷移確率の算出に用いた分子の値から評価点数を減算して当該分子の値を修正し、この修正した分子の値を上記分母の値で除算することにより、対策後遷移確率を算出する機能。
　(f16-3)　対策前遷移確率と対策後遷移確率とを表示部１９に表示する機能。
　また、遷移確率算出部１６は、以下の各機能(f16-4)～(f16-6)を更にもっていてもよい。　
　(f16-4)　情報処理機器にセキュリティ対策機能を施す前の場合に関し、回復モデル情報に基づいて、同一の遷移元のセキュリティ状態情報に関連する回復機能要件情報の個数を分母の値とし、当該遷移元を共通とした同一の遷移先のセキュリティ状態情報に関連する回復機能要件情報の個数を分子の値とし、当該分子の値を当該分母の値で除算することにより、対策前遷移確率を算出する機能。
　(f16-5)　情報処理機器にセキュリティ対策機能を施した後の場合に関し、この対策前遷移確率の算出に用いた分子の値に上記回復評価点数記入機能による評価点数を乗算して当該分子の値を修正し、この修正した分子の値を上記回復機能要件情報の個数としての分母の値で除算することにより、対策後遷移確率を算出する機能。
　(f16-6)　回復モデル情報及び評価点数に基づく対策前遷移確率と対策後遷移確率とを表示部１９に表示する機能。
　シミュレーション実行部１７は、遷移確率算出部１６により算出された遷移確率に基づいてシミュレーションを実行する機能と、シミュレーションの実行結果を表示部１９により表示する機能とをもっている。
　回復モデル作成部１８は、以下の各機能(f18-1)～(f18-5)をもっている。
　(f18-1)　評価者による入力部１１の操作により、セキュリティ保護対象資産の指定を含むセキュリティ保護対象資産の選択命令の入力を受け付けると、この選択命令に基づいて、データベース部２０からセキュリティ保護対象資産情報を選択して表示し、このセキュリティ保護対象資産情報の表示中、セキュリティ状態ＩＤの入力を受け付けると、このセキュリティ状態ＩＤに基づいて、当該表示中のセキュリティ保護対象資産情報に関連するセキュリティ状態情報を脅威発生モデル情報から抽出する機能。
　(f18-2)　脅威発生モデル情報から抽出したセキュリティ状態情報のセキュリティ状態ＩＤを表示し、当該セキュリティ状態ＩＤ毎に、安全、危険又は被害発生のグループの指定の入力を受け付けると、この指定に基づいて、各セキュリティ状態ＩＤを、安全、危険又は被害発生のいずれかのグループに分類し、当該各グループに応じた形式の外枠情報を、表示中のセキュリティ状態ＩＤに付加して表示部１９に表示する機能。
　(f18-3)　当該表示中の外枠情報の指定の入力を受け付けると、この指定に基づいて、危険又は被害発生のグループに応じた形式の外枠情報からそれぞれ安全のグループに応じた外枠情報に向かう矢印の形式により、当該外枠情報間に遷移パス情報を描画する機能。
　(f18-4)　遷移パス情報毎に、回復機能要件情報の入力を受け付けると、当該遷移パス情報と、当該回復機能要件情報とを関連付ける機能。
　(f18-5)　互いに関連付けられた複数のセキュリティ状態情報、外枠情報、遷移パス情報及び回復機能要件情報からなる回復モデル情報を作成する機能。
　表示部１９は、各部１１，１２，１４～１８に制御され、各部１２，１４～１８の処理により記憶部１３に記憶されたデータや、各部１２，１４～１８から受けたデータを表示するための表示デバイスである。
　データベース部２０は、保護対象資産ＤＢ２１、脅威発生モデルＤＢ２２、脅威評価指標ＤＢ２３、セキュリティ対策機能評価指標ＤＢ２４及び回復モデルＤＢ２５を備えている。
　ここで、保護対象資産ＤＢ２１は、各部１１，１２，１４～１９から読出／書込可能な不揮発性の記憶部であり、例えば、後述するセキュリティ保護対象資産情報、セキュリティ状態情報、などが適宜、記憶される。
　脅威発生モデルＤＢ２２は、各部１１，１２，１４～１９から読出／書込可能な不揮発性の記憶部であり、例えば、後述する脅威発生モデル情報、などが適宜、記憶される。
　脅威評価指標ＤＢ２３は、各部１１，１２，１４～１９から読出／書込可能な不揮発性の記憶部であり、例えば、後述する文書データ、脅威分析結果データ、などが適宜、記憶される。
　セキュリティ対策機能評価指標ＤＢ２４は、各部１１，１２，１４～１９から読出／書込可能な不揮発性の記憶部であり、例えば、後述する十分条件評価パラメータ、対策機能評価パラメータ、十分条件表雛形情報、対策雛形情報、回復十分条件表雛形情報、回復対策雛形情報、などが適宜、記憶される。
　回復モデルＤＢ２５は、各部１１，１２，１４～１９から読出／書込可能な不揮発性の記憶部であり、例えば、後述する回復モデル情報などが適宜、記憶される。
　なお、各ＤＢ２１～２５は、全てのＤＢ２１～２５を含む単一のＤＢとしてもよく、各ＤＢ２１～２５のうちの任意の組合せからなる複数のＤＢとしてもよい。また、データベース部２０は、セキュリティ対策機能評価装置１０の外部にある記憶装置に限らず、セキュリティ対策機能評価装置１０内の記憶装置として実現してもよい。
　次に、以上のように構成されたセキュリティ対策機能評価装置の動作を図２乃至図４０を用いて説明する。
　（初期設定）
　初期設定部１２は、セキュリティ保護対象資産情報や各種の雛形情報をデータベース部２０に書き込む。この書き込み動作は、セキュリティ保護対象資産情報、各種の雛形情報、評価パラメータなどを含むセキュリティ対策機能評価プログラムのインストール時に１回だけ実行される。なお、各種の雛形情報は、未記入状態の各種の情報を意味するので、未記入状態の当該情報と読み替えてもよい。例えば「十分条件表雛形情報」は「未記入状態の十分条件表情報」と読み替えてもよい。
　続いて、書き込み動作を具体的に説明する。　
　初期設定部１２は、図２に示すように、情報処理機器の物理的本体、情報処理機器の機能、及び情報処理機器に保存されたデータ、を個別に示すセキュリティ保護対象資産情報と、各セキュリティ保護対象資産情報に個別に関連付けられたセキュリティ状態ＩＤ及び状態情報からなる複数のセキュリティ状態情報とをデータベース部２０の保護対象資産ＤＢ２１に書き込む。
　補足すると、セキュリティ保護対象資産は、情報処理機器の物理的本体、情報処理機器の機能、情報処理機器に保存されたデータ、のいずれかに分類される。これら情報処理機器の物理的本体、情報処理機器の機能、及び情報処理機器に保存されたデータは、互いに独立であり、包含関係をもたない。
　情報処理機器は、電子データを情報処理（例、記憶処理、加工処理及び／又は演算処理）する機器であり、例えば、パーソナルコンピュータ（以下、パソコンという）、モバイルパソコン、携帯電話、サーバ、家庭電化製品（以下、家電製品ともいう）、ゲーム機器、スマートカード、スマートカード発行機器、ＩＣチップ、情報発信機器、ネットワーク機器等といった任意の情報処理装置が該当する。
　情報処理機器の物理的本体は、図２に示すように、ＣＰＵ、記憶装置、入出力デバイス等のハードウェア資源を有し、物理的に存在するものを意味する。
　情報処理機器の機能は、図２に示すように、ＯＳ、ＢＩＯＳ等ファームウェア、コマンドライブラリ、各種アプリケーションなどと、これらを実行するために必要な設定情報とからなり、情報処理機器のハードウェアで実行可能な処理手順及び／又は命令を含むようなソフトウェアを意味する。
　情報処理機器に保存されたデータとは、図２に示すように、個人情報、音楽データ、業務関係情報、送受信メールなどのデータを意味する。
　また、初期設定部１２は、セキュリティ状態が安全な状態から危険な状態又は被害発生状態に遷移する原因である脅威の実施者及び実行条件の情報を含む脅威情報を含んだ文書データをデータベース部２０の脅威評価指標ＤＢ２３に書き込む。
　さらに、初期設定部１２は、図３に示すように、任意の対策方針を実行する十分条件に関し、機能の有無、時間、効果、通知範囲、動作タイミング、及び起動への依存度、の項目毎の選択肢及び点数を含む十分条件評価パラメータと、任意のセキュリティ対策機能に関し、機能の有無、時間、効果、通知範囲、動作タイミング、及び起動への依存度、の項目毎の選択肢及び点数を含む対策機能評価パラメータとをデータベース部２０のセキュリティ対策機能評価指標ＤＢ２４に書き込む。なお、図３中、十分条件評価パラメータ及び対策機能評価パラメータは、それぞれ評価パラメータ表に含まれているが、これに限らず、十分条件評価パラメータ及び対策機能評価パラメータを別々に分けてもよい。また、ここに挙げた“時間”とは、例えば情報処理機器の起動に要する時間を指している。
　また、初期設定部１２は、図４に示すように、脅威の実施者及び実行条件の情報に記述された実行条件を抑制するための対策方針情報が入力される対策方針領域と、当該対策方針情報の実行及び実行のための機能名に関し、機能の有無、時間、効果、通知範囲、及び起動への依存度の項目毎の選択肢を十分条件評価パラメータに関連付けて列挙した選択領域及び選択領域で選択された選択肢に応じた点数が十分条件評価パラメータに基づいて記述される点数領域とを含む十分条件表雛形情報をデータベース部２０のセキュリティ対策機能評価指標ＤＢ２４に書き込む。
　さらに、初期設定部１２は、図５に示すように、セキュリティ対策機能の製品を特定する対策名が入力される対策名領域と、当該対策名により特定される製品のセキュリティ対策機能の実行及び実行のための機能名に関し、機能の有無、時間、効果、通知範囲、及び起動への依存度の項目毎の選択肢を対策機能評価パラメータに関連付けて列挙した選択領域及び選択領域で選択された選択肢に応じた点数が対策機能評価パラメータに基づいて記述される点数領域とを含む対策雛形情報をデータベース部２０のセキュリティ対策機能評価指標ＤＢ２４に書き込む。
　また、初期設定部１２は、図６及び図７に示すように、回復対策方針を示す回復機能要件情報が記述される回復対策方針領域と、当該回復対策方針領域内の回復機能要件情報を実現するための十分条件に関し、ログの種類、追跡機能の対象、及びバックアップ、の項目毎の回復十分条件情報が入力される十分条件領域とを含む回復十分条件表雛形情報をデータベース部２０のセキュリティ対策機能評価指標ＤＢ２４に書き込む。なお、ログの種類は、対象、位置、ユーザ、時間及び保存先などがある。
　さらに、初期設定部１２は、図８に示すように、セキュリティ対策機能の製品を特定する対策名が入力される対策名領域と、当該対策名により特定される製品のセキュリティ対策機能に関し、ログの種類、追跡機能の対象、及びバックアップ、の項目毎の回復十分条件情報を選択肢として示す選択領域とを含む回復対策雛形情報をデータベース部２０のセキュリティ対策機能評価指標ＤＢ２４に書き込む。なお、選択肢としての回復十分条件情報は、前述した回復十分条件表雛形情報に入力された回復十分条件情報が用いられる。ログの種類は、前述同様に、対象、位置、ユーザ、時間及び保存先などがある。
　（脅威発生モデル情報の作成処理：図９）
　セキュリティ対策機能評価装置１０においては、評価者による入力部１１の操作により、セキュリティ保護対象資産の指定を含むセキュリティ保護対象資産の選択命令を入力部１１が受け付けると、この選択命令に基づいて、脅威モデル作成部１４がデータベース部２０の保護対象資産ＤＢ２１からセキュリティ保護対象資産情報を選択し（ＳＴ１１）、当該セキュリティ保護対象資産情報を表示部１９に送出する。
　表示部１９は、このセキュリティ保護対象資産情報を表示する。セキュリティ保護対象資産には、情報処理機器の物理的本体、情報処理機器の機能、情報処理機器に保存されたデータ、の３種類がある。
　セキュリティ保護対象資産情報の表示中、脅威モデル作成部１４は、評価者の操作により、セキュリティ状態ＩＤを入力部１１が受け付けると、このセキュリティ状態ＩＤに基づいて、当該表示中のセキュリティ保護対象資産情報に関連するセキュリティ状態情報をデータベース部２０の保護対象資産ＤＢ２１から抽出する（ＳＴ１２）。
　ここで、各セキュリティ状態の妥当性、独立性は、遷移元の状態から遷移先の状態に遷移するための、ユニークな特徴を持つ脅威が存在するという条件で確認している。
　脅威モデル作成部１４は、抽出したセキュリティ状態情報のセキュリティ状態ＩＤを表示部１９に送出する。表示部１９は、このセキュリティ状態ＩＤを表示する。
　脅威モデル作成部１４は、評価者の操作により、表示中のセキュリティ状態ＩＤ毎に、安全、危険又は被害発生のグループの指定を入力部１１が受け付けると、この指定に基づいて、各セキュリティ状態を、安全、危険又は被害発生、のいずれかのグループに分類する（ＳＴ１３）。各グループは、互いに独立しており、包含関係を持たない。
　ここで、「安全」のグループとは、図１０に示すように、正当な管理者の管理下に置かれた状態、正当な管理者の元で廃棄された状態、機能の実行が正当な管理者が意図する範囲で正常に実行されている状態、保護対象データが情報処理機器内に存在する状態、の少なくとも一つを含むグループである。
　「危険」のグループとは、正当な管理者の管理下にない状態、機能の実行が正当な管理者の意図した範囲を逸脱する可能性のある状態（例、コンピュータウィルスを保有した状態）、保護対象データが正当な管理者以外に閲覧された状態、保護対象データが通信経路上に存在する状態、保護対象データが情報処理機器以外の機器に存在する状態、保護対象データが外部記憶媒体に保存された状態、保護対象データが印刷された状態、の少なくとも一つを含むグループである。
　「被害発生」のグループとは、セキュリティ保護対象資産が、破壊（機能を実行できない状態）、盗難、紛失、コンピュータウィルスに感染した状態、正当な管理者が意図している範囲を逸脱した処理が行われた状態、正当な管理者の意図に関係なく他の情報処理機器及びそこに含まれる他者の資産に被害を与えた状態、の少なくとも一つを含むグループである。
　いずれにしても脅威モデル作成部１４は、分類したグループに応じた形式の外枠情報を、セキュリティ状態ＩＤに付加して表示部１９により表示する。なお、分類したグループに応じた形式としては、例えば、実線（安全）、一点鎖線（危険）、点線（被害発生）など、所望の形式が使用可能となっている。
　続いて、脅威モデル作成部１４は、評価者による入力部１１の操作により、表示中の外枠情報の指定の入力を受け付けると、この指定に基づいて、安全のグループに応じた形式の外枠情報から危険又は被害発生のグループに応じた外枠情報に向かう矢印の形式により、当該外枠情報間に遷移パス情報（第１遷移パス情報）を描画する（矢印を引く）。
　また同様に、脅威モデル作成部１４は、表示中の外枠情報の指定の入力を受け付けると、この指定に基づいて、危険のグループに応じた外枠情報から被害発生のグループに応じた外枠情報に向かう矢印の形式により、当該外枠情報間に遷移パス情報（第２遷移パス情報）を描画する（矢印を引く）（ＳＴ１４）。
　ステップＳＴ１４で描画する遷移パス情報は、「安全」から「危険」に至る方向、「危険」から「被害発生」に至る方向、「安全」から「被害発生」に至る方向、の３種類の方向の矢印のみとする。なお、この遷移パス情報の方向は３種類のみであるが、矢印の線種は任意の種類（例、実線、破線、一点鎖線、太線など）を使用可能となっている。
　脅威モデル作成部１４は、評価者による入力部１１の操作により、存在する可能性のある脅威を示す脅威情報を脅威評価指標ＤＢ２３内の文書データから抽出する（ＳＴ１５）。ここで、脅威とは、安全状態から離れる向きに、セキュリティ状態間の遷移を促す力、すなわち安全状態から離れる向きの、セキュリティ状態間の遷移の原因を意味している。脅威情報は、脅威を記述したテキストデータであり、脅威の実施者及び実行条件を未整理の状態で含んでいる。文書データは、経験則や実際に発生したセキュリティ問題や攻撃例などの文書を電子化したデータである。
　脅威モデル作成部１４は、評価者による入力部１１の操作により、表示中のいずれかの遷移パス情報と、脅威情報との指定の入力を受け付けると、この指定に基づいて、当該遷移パス情報と当該脅威情報とを関連付ける（ＳＴ１６）。しかる後、脅威モデル作成部１４は、脅威情報が関連付けられなかった遷移パス情報を削除する。
　これにより、脅威モデル作成部１４は、図１１、図１２又は図１３に示すように、互いに関連付けられた複数のセキュリティ状態情報、外枠情報、各遷移パス情報及び脅威情報からなる脅威発生モデル情報を作成する。脅威発生モデル情報は表示部１９により表示される。
　また、脅威モデル作成部１４は、この脅威発生モデル情報と、ステップＳＴ１２で抽出したセキュリティ状態情報とに基づき、遷移元のセキュリティ状態情報、遷移先のセキュリティ状態情報及び脅威情報を互いに関連付けた脅威分析途中データを作成し、この脅威分析途中データを表示部１９により表示する。但し、この段階では、脅威情報は未整理の状態にある。
　脅威分析途中データの表示中に、脅威モデル作成部１４は、評価者による入力部１１の操作により、当該脅威分析途中データ内の脅威情報における脅威の実施者及び実行条件の指定の入力を受け付けると、この指定に基づいて、図１４及び図１５に示すように、脅威情報から脅威の実施者（誰が(Who)）及び脅威が効力を持つための実行条件（どうやって(How)）の情報を抽出して整理する（ＳＴ１７）。
　これにより、脅威モデル作成部１４は、脅威分析途中データ内の遷移元のセキュリティ状態情報、遷移先のセキュリティ状態情報、及び抽出した脅威の実施者及び実行条件の情報を互いに関連付けた脅威分析結果データを作成する。
　また、情報処理機器の機能の場合には、脅威の実施者及び実行条件の情報に加え、ネットワーク条件を整理することにより、脅威モデル作成部１４は、脅威分析途中データから脅威分析結果データを作成する。ネットワーク条件は、送受信可能なネットワークの場合（ＯＮ：オン）か、又はネットワークの有無に無関係の場合（ａｎｙ：エニイ）かを表している。ここで、「ネットワークの有無」とは、「ネットワークに接続されているか否か」を意味している。また、「ネットワークの有無に無関係な場合」とは、「ネットワークとの接続に依存しない場合」、すなわち、「ネットワークに接続していてもしていなくても構わない場合」を意味している。ステップＳＴ１７における整理は、ネットワーク条件の指定内容又は指定値によらず、複数の脅威情報間で脅威の実施者と実行条件が同一であれば、当該複数の脅威情報を同一の脅威情報であるとみなすことを意味する。脅威分析結果の各遷移パスにおける脅威の実施者と実行条件との組合せは、互いに独立しており、包含関係を持たない。
　ステップＳＴ１７の整理が完了すると、脅威モデル作成部１４は、図１４及び図１５に示した如き、脅威分析結果データを脅威評価指標ＤＢ２３に保存する。
　また、脅威モデル作成部１４は、図１１、図１２及び図１３に示した如き、脅威発生モデル情報を脅威発生モデルＤＢ２２に保存する。
　（セキュリティ対策機能の評価処理）
　（準備：十分条件表情報の作成処理）
　セキュリティ対策機能評価装置１０においては、評価者による入力部１１の操作により、評価点数算出部１５が、図４に示した如き、対策方針領域、選択領域及び点数領域が未記入の十分条件表雛形情報をセキュリティ対策機能評価指標ＤＢ２４から読み出し、この十分条件表雛形情報を表示部１９に表示する。
　十分条件表雛形情報の表示中、評価点数算出部１５は、評価者による入力部１１の操作により、脅威分析結果データ内の脅威の実施者及び実行条件の情報に記述された実行条件を抑制するための対策方針情報の入力を受け付けると、この対策方針情報を十分条件表雛形情報の対策方針領域に書き込む。
　また、評価点数算出部１５は、評価者による入力部１１の操作により、対策方針領域に書き込まれた対策方針情報の実行（例、動作タイミング、時間、…等の条件）及び実行のための機能名に関し、選択領域内のいずれかの選択肢（例、定期（動作タイミングの項目）、無関係（時間の項目）、…）が指定されると、当該指定された選択肢を当該選択領域内で選択する。なお、条件や機能名の各項目は、互いに独立しており、包含関係を持たない。また、評価点数算出部１５は、評価者による入力部１１の操作により、十分条件表の項目をも変更してもよい。
　選択肢が選択されると、評価点数算出部１５は、セキュリティ対策機能評価指標ＤＢ２４内の十分条件評価パラメータに基づいて、当該選択領域で選択された選択肢に対応する点数を点数領域に記述する。
　これにより、脅威に対抗してセキュリティ対策機能が満たすべき機能や条件とその点数とを関連付けたものとして、図１６、図１７及び図１８に示すように、対策方針情報が入力された対策方針領域、選択肢が選択された選択領域、及び点数が記述された点数領域を含む十分条件表情報が作成される。
　十分条件表情報は、脅威分析結果内の実行条件を抑止するための対策方針毎に、不特定のセキュリティ対策機能が満たすべき機能や条件の項目に関し、満たすべき十分条件を選択して点数化した表形式の情報である。
　評価点数算出部１５は、評価者による入力部１１の操作により、十分条件表情報をセキュリティ対策機能評価指標ＤＢ２４に保存する。
　続いて、以下の評価処理においては、各製品を特定したセキュリティ対策機能が、任意のセキュリティ対策機能に関する十分条件表情報を根拠として評価される。
　（評価処理：図１９）
　セキュリティ対策機能評価装置１０においては、評価者による入力部１１の操作により、対策雛形情報を指定した読出命令を入力部１１が受け付けると、この読出命令に基づいて、評価点数算出部１５がセキュリティ対策機能評価指標ＤＢ２４から対策雛形情報を読み出し、図５に示した如き、対策名、対象、各機能の選択結果及び点数を未記入状態とした対策雛形情報を表示部１９により表示する。
　対策雛形情報の表示中、評価点数算出部１５は、評価者による入力部１１の操作により、評価対象のセキュリティ対策機能を示す対策名の入力を受け付けると、この対策名を対策雛形情報内の対策名領域に書き込む（ＳＴ２１）。対象も同様にして対象領域に書き込まれる。
　また、評価点数算出部１５は、対策名領域に書き込まれた対策名の実行及び実行のための機能名に関し、評価者による入力部１１の操作により、対策雛形情報の選択領域内のいずれかの選択肢が指定されると、当該指定された選択肢を当該選択領域内で選択する（ＳＴ２２）。この選択された選択肢は、セキュリティ対策機能の特徴を表している。
　評価点数算出部１５は、セキュリティ対策機能評価指標ＤＢ２４内の対策機能評価パラメータに基づいて、対策雛形情報の選択領域内で選択された選択肢に対応する点数を、当該対策雛形情報の点数領域に記述する。これにより、セキュリティ対策機能を示す対策名及び対象に対し、機能や条件の項目毎に、点数が付けられたものとして、図２０に示すように、対策名が入力された対策名領域、選択肢が選択された選択領域、及び点数が記述された点数領域を含む対策情報が作成される。評価点数算出部１５は、この対策情報をデータベース部２０内のセキュリティ対策機能評価指標ＤＢ２４に書き込む。
　また、評価点数算出部１５は、図２１に示すように、対策情報内及び十分条件表情報内の互いに同一の項目における点数領域に関し、当該対策情報内の点数から十分条件表情報内の点数を引いた差分を算出して計算表の差分欄に記入する。
　評価点数算出部１５は、この差分が０以上の値であれば評価結果を正の値の点数とし、差分が負の値であれば評価結果を０値の点数として、対策情報内及び十分条件表情報内の互いに同一の項目毎に、評価結果の点数を計算表の評価結果欄に記入する（ＳＴ２３）。この例では、差分が０以上の値における評価結果の正の値を“１”点としている。すなわち、この例では、対策方針の十分条件が必須であるのに、対策機能が十分条件を満たさない場合には評価結果を“０”点とし、他の場合には評価結果を“１”点とするような評価結果の算出方法を用いている。但し、評価結果の正の値は、“１”点に限らず、任意の重み付け値としてもよい。すなわち、評価点数算出部１５は、評価結果を正の値の点数とする場合、予め項目毎に設定された重み付け値を当該評価結果の点数としてもよい。
　さらに、評価点数算出部１５は、図２２に示すように、各対策方針情報の機能毎に評価結果の点数の平均値を算出して計算表の平均値欄に記入し、全ての平均値を積算して評価点数を算出し（ＳＴ２４）、この評価点数を計算表の評価点数欄に記入する。平均値の算出過程においては、評価結果の点数に重み付けをしてもよく、所望の評価結果の点数を平均値の算出式から除いてもいい。
　いずれにしても、評価点数算出部１５は、セキュリティ対策機能の評価点数を、対策方針情報毎に算出する。
　（シミュレーション演算）
　（準備１：遷移パラメータの設定）
　セキュリティ対策機能評価装置１０においては、評価者による入力部１１の操作により、遷移確率算出部１６が、情報処理機器にセキュリティ対策機能を施す前の場合に関し、脅威分析結果データに基づいて、同一の遷移元のセキュリティ状態情報の個数を分母の値とし、当該遷移元を共通とした同一の遷移先のセキュリティ状態情報の個数を分子の値とし、当該分子の値を当該分母の値で除算することにより、対策前遷移確率を算出する。
　例えば図１４及び図２４に示すように、同一の遷移元のセキュリティ状態情報“Ｐ１”の個数“１６”を分母の値とし、当該遷移元を共通とした同一の遷移先のセキュリティ状態情報“Ｐ７”の個数“８”を分子の値とし、当該分子の値“８”を当該分母の値“１６”で除算することにより、対策前遷移確率“０．５”を算出する。
　同様に、遷移確率算出部１６は、評価者による入力部１１の操作により、情報処理機器にセキュリティ対策機能を施した後の場合に関し、対策前遷移確率の算出に用いた分子の値から評価点数を減算して当該分子の値を修正し、この修正した分子の値を上記分母の値で除算することにより、対策後遷移確率を算出する。
　例えば図２３及び図２５に示すように、対策前遷移確率の算出に用いた分子の値“８”から評価点数“１”を減算して当該分子の値を修正し、この修正した分子の値“７”を上記分母の値“１６”で除算することにより、対策後遷移確率“０．４３７５”を算出する。
　ここで、このような遷移確率を算出する工程について詳しく述べる。　
　始めに、セキュリティ対策機能評価装置１０においては、評価者による入力部１１の操作により、遷移確率算出部１６が、脅威発生モデルＤＢ２２及びセキュリティ対策機能評価指標ＤＢ２４を参照しながら、遷移パラメータを設定する。
　遷移パラメータは、図２３に示すように、遷移元のセキュリティ状態ＩＤａ１、遷移先のセキュリティ状態ＩＤａ２、遷移を促す脅威（対策前）の数（＝“脅威の実施者及び実行条件の情報”の個数）に基づく遷移し易さの値ａ３、遷移を促す脅威（対策後）の数（＝“脅威の実施者及び実行条件の情報”の個数）に基づく遷移し易さの値ａ４、遷移を促す脅威（回復時）の数に基づく遷移し易さの値ａ５、評価点数の和ａ６及び回復の本数ａ７を含んでいる。
　遷移し易さの値ａ３としては、脅威発生モデルＤＢ２２内の脅威発生モデル情報に基づいて、遷移しない場合に「０」が設定され、無条件で遷移する場合には「１」を単位とした“脅威の実施者及び実行条件の情報”の個数が設定される。例えば、図２３中、遷移元のセキュリティ状態ＩＤ“Ｐ１”から遷移先のセキュリティ状態ＩＤ“Ｐ５”に遷移する場合、遷移し易さの値ａ３は、“２”である。これは、図１４等に示すように、２個の“脅威の実施者及び実行条件の情報”の分だけ遷移し易いことを示している。
　対策後の遷移し易さの値ａ４のうち、安全状態に留まる場合（遷移元の状態ａ１と遷移先の状態ａ２が共にＰ１の場合）の値（３．５）は、対策前のａ３の値（１）に対し、評価点数の和ａ６を合計した値（２．５＝１＋１．５）を足した値（３．５＝１＋２．５）である。すなわち、対策後の遷移し易さの値ａ４のうち、安全状態に留まる場合の値は、対策による脅威の抑制効果の分だけ安全状態に留まる確率が増えることを反映している。
　対策後の遷移し易さの値ａ４のうち、遷移する場合の値は、対策前の値ａ３に対し、評価点数の和ａ６を減算した値である。
　遷移し易さの値ａ５としては、回復モデルＤＢ２５内の回復モデル情報に基づいて、遷移しない場合に「０」が設定され、無条件で遷移する場合には「１」を単位とした情報の個数が設定される。
　評価点数の和ａ６は、各々の対策名における評価点数を対策方針毎に合計した値が設定される。例えば、別々の対策名をもつ２つの製品を同時に用いた場合、２つの対策名に関して対策方針毎に算出した２通りの評価点数を、それぞれ対策方針毎に加算した値（２つの製品間の対策方針毎の評価点数の合計値）が設定される。
　（準備２：遷移確率の計算）
　遷移パラメータの設定後、遷移確率算出部１６は、遷移パラメータに基づいて、遷移確率を計算する。
　図２４は図２３の対策前の遷移パラメータによる遷移確率の計算表を示す模式図である。遷移確率の計算表は、遷移元のセキュリティ状態ＩＤｂ１、遷移先のセキュリティ状態ＩＤｂ２、遷移の割合ｂ３、遷移確率の分子ｂ４、遷移確率の分母ｂ５、遷移確率ｂ６、遷移確率（累計値）ｂ７、パス通過回数ｂ８及びパス通過確率ｂ９を含んでいる。
　図２４では、現実には存在しないが、セキュリティ状態が安全である状態のみに遷移する状態を起点状態Ｐ０として仮定し、この起点状態Ｐ０をシミュレーションの初期状態として遷移元のセキュリティ状態ＩＤｂ１の一部に設定している。
　遷移確率ｂ６の値は、ある遷移元のセキュリティ状態ＩＤｂ１から１つ以上の異なる遷移先のセキュリティ状態ＩＤｂ２への遷移パス情報が存在するとき、それぞれの遷移先のセキュリティ状態ＩＤｂ２に移動する確率として、各セキュリティ状態ＩＤｂ１，ｂ２間の“脅威の実施者及び実行条件の情報”の個数に基づく遷移の割合ｂ３から算出される。
　具体的には、遷移の割合ｂ３は、図２３に示す如き、脅威（対策前）の数（＝“脅威の実施者及び実行条件の情報”の個数）に基づく遷移のし易さの値ａ３がコピーされている。値ａ３のコピーは遷移確率の分子ｂ４にも同様に行われている。
　遷移確率の分母ｂ５の値は、遷移元のセキュリティ状態ＩＤｂ１が同一の値である行における遷移確率の分子ｂ４の値を合計した合計値が入力されている。
　例えば、遷移元のセキュリティ状態ＩＤｂ１が「Ｐ０」の行は２行存在し、これらの遷移確率の分子ｂ４の値の合計値２が、それぞれの遷移確率の分母ｂ５の値として入力されている。
　遷移確率ｂ６の値には、遷移確率の分子ｂ４の値を、遷移確率の分母ｂ５の値で除算した除算結果が入力されている。
　まとめると、遷移確率ｂ６の値は、ある一組の遷移元と遷移先のセキュリティ状態ＩＤに関する“脅威の実施者及び実行条件の情報”の個数（一組分のｂ３の値）を、当該遷移元のセキュリティ状態ＩＤをもつ複数組の遷移元と遷移先のセキュリティ状態ＩＤに関する“脅威の実施者及び実行条件の情報”の個数（複数組分のｂ３の値）の合計値（ｂ４の値）で除算した値である。
　遷移確率（累計値）ｂ７には、遷移元のセキュリティ状態ＩＤｂ１が同一の値である行の遷移確率ｂ６を累計した結果が入力されている。
　図２５は図２３の対策後の遷移パラメータによる遷移確率の計算表を示す模式図であり、図２４に比べ、各値ｂ３’～ｂ９’が対策後の値となっている。
　例えば遷移確率ｂ６’は、ある遷移元のセキュリティ状態ＩＤｂ１から１つ以上の異なる遷移先のセキュリティ状態ＩＤｂ２への遷移パス情報が存在するとき、それぞれの遷移先のセキュリティ状態ＩＤｂ２に移動する確率として、各セキュリティ状態ＩＤｂ１，ｂ２間の“脅威の実施者及び実行条件の情報”の個数に基づく遷移の割合ｂ３とは異なり、各セキュリティ状態ＩＤｂ１，ｂ２間の“脅威の実施者及び実行条件の情報”の個数から対策機能の効果（評価点数）を減算した値に基づく遷移の割合ｂ３’から算出される。対策前の“脅威の実施者及び実行条件の情報”の個数を対策機能の効果が上回る場合には、遷移しない“０”という値の遷移の割合ｂ３’から算出される。
　具体的には、対策後の遷移の割合ｂ３’は、図２３に示す如き、脅威（対策後）の数（＝“脅威の実施者及び実行条件の情報”の個数）に基づく遷移のし易さの値ａ４がコピーされている。値ａ４のコピーは遷移確率の分子ｂ４’にも同様に行われている。
　遷移確率の分母ｂ５’、遷移確率ｂ６’及び遷移確率（累計値）ｂ７’は、前述した対策前の値ｂ５，ｂ６，ｂ７をそれぞれ対策後の値ｂ５’，ｂ６’，ｂ７’としたものである。
　いずれにしても、遷移確率は、遷移確率算出部１６により算出される。　
　しかる後、遷移確率算出部１６は、対策前遷移確率と対策後遷移確率とを表示部１９により表示する。
　また、遷移確率算出部１６は、図２４及び図２５に示す遷移確率の算出により、セキュリティ対策前の遷移確率ｂ６と、セキュリティ対策後の遷移確率ｂ６’とを遷移パス情報（ｂ１－ｂ２間）毎に比較し、対策前後の遷移確率の減少度合に応じて、セキュリティ対策機能の効果と有効性を判定することができる。
　さらに、遷移確率算出部１６は、遷移元のセキュリティ状態情報及び遷移先のセキュリティ状態情報の組のうちの互いに同一の組毎に比較するように、対策前遷移確率と対策後遷移確率とをレーダーチャート又は棒グラフ等の任意の視覚表現により表示部１９に表示することができる。
　（シミュレーション処理：図２６）
　セキュリティ対策機能評価装置１０においては、評価者による入力部１１の操作により、シミュレーション実行部１７が、例えば１０００回といったシミュレーション試行回数を記憶部１３に設定する（ＳＴ３１）。試行回数が多いほど、シミュレーションにより得られた遷移確率と、算出した遷移確率との誤差が少なくなる。
　シミュレーション実行部１７は、評価者による入力部１１の操作により、例えば４回といった遷移ステップ数の上限値を記憶部１３に設定する（ＳＴ３２）。遷移ステップ数の上限値は、起点状態Ｐ０からいずれかの最終到達状態に遷移するまでに用いる遷移パス情報の数の最大値（以下、最大遷移パス情報の数という）に一致させる。例えば、図１１に示す脅威発生モデル情報では、図示しない起点状態Ｐ０から状態Ｐ１，Ｐ２，Ｐ５を介して最終到達状態Ｐ６に遷移するまでに４つの遷移パス情報を用いる場合が最大であり、最大遷移パス情報の数が４となる。
　以後、シミュレーション実行部１７は、ステップＳＴ３３－ＳＴ４１までのシミュレーション処理を遷移ステップ数の上限値に到達するまで、繰り返し実行する。
　シミュレーション実行部１７は、０以上１以下の乱数を生成する（ＳＴ３３）。
　１度目の試行においては、シミュレーション実行部１７は、セキュリティ対策機能評価指標ＤＢ２４内の「対策前の遷移確率の計算表」を参照し、当該計算表における遷移元のセキュリティ状態が起点状態Ｐ０である場合の遷移確率（累計）の値と乱数とを比較し、遷移確率の値が乱数未満か否かを判定する（ＳＴ３４）。２度目以降の試行においては、シミュレーション実行部１７は、前述した「対策前の遷移確率の計算表」における遷移元のセキュリティ状態がシミュレーション実行後の遷移先の状態である場合の遷移確率の値を用いる。判定の結果、遷移確率（累計）の値が乱数以上の場合、シミュレーション実行部１７は、再度ステップＳＴ３４の処理に戻る。
　ステップＳＴ３４の判定の結果、遷移確率（累計）の値が乱数未満の場合、シミュレーション実行部１７は、その遷移先状態を、次の遷移先状態と定める（ＳＴ３５）。
　シミュレーション実行部１７は、遷移元状態の「パス通過回数」を一回カウントして（ＳＴ３６）、前述した計算表における当該遷移元状態のパス通過回数ｂ８の値を＋１だけ増加させる。
　以後、シミュレーション実行部１７は、ステップＳＴ３７－ＳＴ４１の処理をシミュレーション試行回数分だけ繰り返す。
　シミュレーション実行部１７は、０以上１以下の乱数を生成する（ＳＴ３７）。
　シミュレーション実行部１７は、前述した「対策前の遷移確率の計算表」における現在の遷移元状態の遷移確率（累計）の値と乱数を比較し、遷移確率の値が乱数未満か否かを判定する（ＳＴ３８）。判定の結果、遷移確率（累計）の値が乱数以上の場合、再度ステップＳＴ３８の処理に戻る。
　シミュレーション実行部１７は、ステップＳＴ３８の判定の結果、遷移確率（累計）の値が乱数未満の場合、その遷移先状態を、次の遷移先状態と定める（ＳＴ３９）。
　シミュレーション実行部１７は、遷移元状態の「パス通過回数」を一回カウントして（ＳＴ４０）、前述した計算表における当該遷移元状態のパス通過回数ｂ８の値を＋１だけ増加させる。
　シミュレーション実行部１７は、遷移元状態と遷移先状態とが同一の場合、遷移元状態の「自己遷移回数」を一回カウントする（ＳＴ４１）。
　シミュレーション実行部１７は、ステップＳＴ３６，ＳＴ４０，ＳＴ４１でカウントした回数の合計値がステップＳＴ３２で設定した遷移ステップ数の上限値に到達したか否かを判定し（ＳＴ４２）、当該合計値が遷移ステップ数の上限値に到達しない場合にはステップＳＴ３７に戻る。
　ステップＳＴ４２の判定の結果、上限値に到達した場合、シミュレーション実行部１７は、上限値に到達したときの状態（最終到達状態）に到達した回数（最終到達状態の最終到達回数）の値を＋１だけ更新し、各最終到達状態の最終到達回数の合計値がステップＳＴ３１で設定した試行回数を満たすか否かを判定し（ＳＴ４３）、試行回数を満たさない場合にはステップＳＴ３３に戻る。
　ステップＳＴ４３の判定の結果、試行回数を満たした場合、シミュレーション実行部１７は処理を終了する。
　図２７は対策前のシミュレーション結果の一例を示す模式図である。図示するように、セキュリティ状態ｃ１毎に、最終到達回数（その状態が最終到達点となった試行の数）ｃ２、最終到達確率ｃ３、状態ｃ１を通過した通過回数ｃ４、通過確率ｃ５、自己遷移回数ｃ６、自己遷移確率（計測値）ｃ７がシミュレーション結果として作成される。
　ここで、通過確率ｃ５及び自己遷移確率ｃ７は、それぞれ次式のように算出される。　
通過確率ｃ５＝通過回数ｃ４／（最終到達回数ｃ２の合計値）　
自己遷移確率ｃ７＝自己遷移回数ｃ６／（通過回数ｃ４＋自己遷移回数ｃ６－最終到達回数ｃ２）　
　また、最終到達回数ｃ２の合計値は、ステップＳＴ３１で設定される試行回数と同じ値である（最終到達回数ｃ２の合計値＝試行回数）。
　ステップＳＴ３１で設定される試行回数にステップＳＴ３２で設定される上限値を乗じた値は、通過回数ｃ４の合計値と自己遷移回数ｃ６の合計値とを合計した値である（試行回数×上限値＝通過回数ｃ４の合計値＋自己遷移回数ｃ６の合計値）。
　自己遷移確率（理論値）ｃ８は、比較用に図２４の遷移確率ｂ６がコピーされた値であり、自己遷移確率（計測値）ｃ７との誤差により、シミュレーション試行回数の妥当性を判断する目安に用いられる。
　図２８は対策後のシミュレーション結果の一例を示す模式図であり、図２７に示した各値に比べ、各値ｃ２’～ｃ８’が対策後の値となっている。
　例えば、自己遷移確率（理論値）ｃ８’は、比較用に図２５の遷移確率ｂ６’がコピーされた値であり、自己遷移確率（計測値）ｃ７’との誤差により、シミュレーション試行回数の妥当性を判断する目安に用いられる。
　シミュレーション実行部１７は、図２７又は図２８のような表形式に限らず、図２９のような視覚表現により、シミュレーション結果を表示部１９に表示することができる。このシミュレーション結果は、図２８における最終到達状態ｃ１、最終到達確率ｃ３’、自己遷移確率ｃ７’、及び遷移パスの遷移確率ｂ６’に基づいて、丸い枠線内の状態（ｃ１）と数値（ｃ３’）、丸い枠線の半径（ｃ３’）、丸い枠線の種類（ｃ７’）及び遷移パスの矢印線（ｃ７’）が描画されている。但し、シミュレーション結果は、図２９のような表示に限らず、レーダーチャート又は棒グラフなどの任意の視覚表現により表示してもよい。また、シミュレーション実行部１７は、セキュリティ対策機能の効果がある場合とない場合とに関し、シミュレーション結果を比較した値を用いて、図２９のような表示、レーダーチャート又は棒グラフなどの任意の視覚表現により表示部１９に表示してもよい。
　（回復モデル情報の作成処理：図３０）
　セキュリティ対策機能評価装置１０は、前述した脅威発生モデル情報の作成とそれに基づく遷移確率の計算に限らず、回復モデル情報の作成とそれに基づく遷移確率の計算をも実行することができる。
　セキュリティ対策機能評価装置１０においては、評価者による入力部１１の操作により、セキュリティ保護対象資産の指定を含むセキュリティ保護対象資産の選択命令を入力部１１が受け付けると、この選択命令に基づいて、回復モデル作成部１８がデータベース部２１の保護対象資産ＤＢ２１からセキュリティ保護対象資産情報を選択し（ＳＴ５１）、当該セキュリティ保護対象資産情報を表示部１９により表示する。
　このセキュリティ保護対象資産情報の表示中、回復モデル作成部１８は、評価者の操作により、セキュリティ状態ＩＤの入力を受け付けると、このセキュリティ状態ＩＤに基づいて、当該表示中のセキュリティ保護対象資産情報に関連するセキュリティ状態情報を脅威発生モデルＤＢ２２内の脅威発生モデル情報から抽出する（ＳＴ５２）。
　回復モデル作成部１８は、抽出したセキュリティ状態情報のセキュリティ状態ＩＤを表示部１９により表示する。この時点では、外枠情報の無い状態でセキュリティ状態ＩＤが表示される。
　回復モデル作成部１８は、評価者の操作により、表示中のセキュリティ状態ＩＤ毎に、安全、危険又は被害発生のグループの指定の入力を入力部１１が受け付けると、この指定に基づいて、各セキュリティ状態を、安全、危険、被害発生、のいずれかのグループに分類する（ＳＴ５３）。
　回復モデル作成部１８は、分類した各グループに応じた形式の外枠情報を、表示中のセキュリティ状態ＩＤに付加して表示部１９により表示する。外枠情報は、前述同様に、実線（安全）、一点鎖線（危険）、点線（被害発生）等の任意の形式が使用可能となっている。
　続いて、回復モデル作成部１８は、評価者による入力部１１の操作により、表示中の外枠情報の指定の入力を受け付けると、この指定に基づいて、危険又は被害発生のグループに応じた形式の外枠情報からそれぞれ安全のグループに応じた外枠情報に向かう矢印の形式により、当該外枠情報間に遷移パス情報（第３遷移パス情報）を描画する（矢印を引く）（ＳＴ５４）。この遷移パス情報は、「危険」から「安全」へ、「被害発生」から「安全」へ、の２種類の方向の矢印のみとする。遷移パス情報は、回復機能に対応している。回復機能とは、安全状態となる向きに、セキュリティ状態間の遷移を促す効果を持つセキュリティ対策機能を意味している。なお、回復機能に対応する遷移パス情報の方向は２種類のみであるが、前述同様に、矢印の線種は任意の種類（例、実線、破線、一点鎖線、太線など）を使用可能となっている。
　遷移パス情報を描画した後、回復モデル作成部１８は、評価者による入力部１１の操作により、表示中の遷移パス情報毎に、“ＰＲ１；情報処理機器を取り戻す”といった回復対策方針を示す回復機能要件情報の入力を受け付けると、当該遷移パス情報と当該回復機能要件情報とを関連付ける（ＳＴ５５）。
　なお、回復機能要件情報は、遷移元のセキュリティ状態情報と、遷移先のセキュリティ状態情報とを比較した結果、遷移元のセキュリティ状態情報に対応するセキュリティ保護対象資産に不足しているとみなされた機能要件を示す。換言すると、回復機能要件情報は、安全状態となる方向に遷移を促す対策方針の実行に必要な機能要件であり、危険状態又は被害発生状態のセキュリティ保護対象資産に付加することにより、当該セキュリティ保護対象資産を安全状態に遷移可能とするような機能要件である。回復機能要件は、遷移元と遷移先のセキュリティ状態間において、遷移元のセキュリティ状態に不足しているとみなされた複数の回復機能要件が全く同じであれば、同一の回復機能要件であるとみなされるように整理される（ＳＴ５６）。この整理は、評価者の入力部１１の操作により、回復モデル作成部１８が実行する。
　いずれにしても、遷移パス情報と回復機能要件情報との関連付けにより、回復モデル作成部１８は、図３１、図３２又は図３３に示すように、互いに関連付けられた複数のセキュリティ状態情報、外枠情報、遷移パス情報及び回復機能要件情報からなる回復モデル情報を作成する。回復モデル情報は表示部１９により表示される。
　次に、回復モデル作成部１８は、評価者による入力部１１の操作により、図６に示した如き、回復十分条件表雛形情報をデータベース部２０のセキュリティ対策機能評価指標ＤＢ２４から読み出すと、回復モデル情報内の回復機能要件情報を回復十分条件表雛形情報の回復対策方針領域に入力する。
　また、回復モデル作成部１８は、評価者により入力部１１の操作により、ログの種類、追跡機能の対象、及びバックアップ、の項目毎の回復十分条件情報の入力を受け付けると、この回復十分条件情報を、回復十分条件表雛形情報の十分条件領域に書き込む。
　また、回復モデル作成部１８は、評価者による入力部１１の操作により、図７に示した如き、回復（原因究明）十分条件表雛形情報をデータベース部２０のセキュリティ対策機能評価指標ＤＢ２４から読み出して表示部１９により表示する。
　回復モデル作成部１８は、評価者により入力部１１の操作により、原因究明のための対策方針情報の入力を受け付けると、この対策方針情報を回復（原因究明）対策方針領域に入力する。
　また、回復モデル作成部１８は、評価者による入力部１１の操作により、ログの種類、追跡機能の対象、及びバックアップ、の項目毎の回復（原因究明）十分条件情報の入力を受け付けると、この回復（原因究明）十分条件情報を、回復（原因究明）十分条件表雛形情報の十分条件領域に書き込む。回復（原因究明）十分条件情報は、脅威の痕跡を示す情報である。回復（原因究明）十分条件情報は、複数の回復機能間において、脅威の痕跡を示す情報が全く同じであれば、同じ原因究明の条件であるとみなされ、整理される。子の整理は、前述同様に、評価者の入力部１１の操作により、回復モデル作成部１８が実行する。
　これにより、回復モデル作成部１８は、図３４及び図３５に示す如き、回復対策方針領域と、回復十分条件情報が書き込まれた十分条件領域とを含む回復十分条件表情報をデータベース部２０のセキュリティ対策機能評価指標ＤＢ２４に書き込む。
　また、回復モデル作成部１８は、回復モデル情報を回復モデルＤＢ２５に保存する。
　続いて、以下の評価処理においては、前述同様に、各製品を特定したセキュリティ対策機能が、任意のセキュリティ対策機能の回復十分条件表情報を根拠として評価される。
　（評価処理）
　セキュリティ対策機能評価装置１０においては、評価者による入力部１１の操作により、評価対象とするセキュリティ対策機能の指定を含むセキュリティ対策機能の選択命令を入力部１１が受け付けると、この選択命令に基づいて、評価点数算出部１５がセキュリティ対策機能評価指標ＤＢ２４から回復対策雛形情報を選択し、図８に示した如き、対策名、ログの種類の各項目（対象、位置、ユーザ、時間、保存先）、追跡機能の対象、バックアップの対象、その他の機能、を未記入状態とした回復対策雛形情報を表示部１９により表示する。
　回復対策雛形情報の表示中、評価点数算出部１５は、評価者による入力部１１の操作により、回復対策雛形情報に対する対策名の入力を受け付けると、この対策名を回復対策雛形情報の対策名領域に書き込む。
　また、評価点数算出部１５は、評価者による入力部１１の操作により、回復対策雛形情報内の各項目の選択肢としての回復十分条件情報の指定を受け付けると、この指定された回復十分条件情報を選択する。この選択肢は、セキュリティ対策機能評価指標ＤＢ２４内の回復十分条件表情報内の回復十分条件情報が使用される。
　これにより、評価点数算出部１５は、図３６に示すように、対策名が入力された対策名領域と、回復十分条件情報が選択された選択領域とを含む回復対策情報をデータベース部２０のセキュリティ対策機能評価指標ＤＢ２４に書き込む。
　評価点数算出部１５は、図３７及び図３８に示すように、回復対策情報内及び回復十分条件表情報内の互いに同一の項目に関し、当該回復十分条件表情報内の回復十分条件情報と当該回復対策情報内の回復十分条件情報とが一致すれば評価結果を正の値の点数とし、両者が不一致であれば評価結果を０値の点数として、回復十分条件表情報の回復対策方針領域内の各回復機能要件情報における当該同一の項目毎に、評価結果の点数を記入する。この例では、評価結果の正の値を“１”点としている。但し、評価結果の正の値は、“１”点に限らず、任意の重み付け値としてもよい。すなわち、評価点数算出部１５は、評価結果を正の値の点数とする場合、予め項目毎に設定された重み付け値を当該評価結果の点数としてもよい。
　また、評価点数算出部１５は、図３９に示すように、回復機能要件情報毎に、全ての評価結果の点数を積算して評価点数を算出して評価点数領域に記入する。なお、評価点数の算出過程においては、各評価結果の点数には重み付けをしてもよく、所望の評価結果の点数を評価点数の算出式から除いてもいい。
　いずれにしても、評価点数算出部１５は、回復機能及び原因究明条件の評価点数を、対策方針領域の回復機能要件情報毎に算出する。
　（シミュレーション演算）
　遷移確率算出部１６は、回復機能に関し、前述同様に対策前後の遷移確率を計算し、遷移確率に基づくシミュレーション演算を実行することができる。すなわち、遷移確率算出部１６は、情報処理機器にセキュリティ対策機能を施す前の場合に関し、回復モデル情報に基づいて、同一の遷移元のセキュリティ状態情報に関連する回復機能要件情報の個数を分母の値とし、当該遷移元を共通とした同一の遷移先のセキュリティ状態情報に関連する回復機能要件情報の個数を分子の値とし、当該分子の値を当該分母の値で除算することにより、対策前遷移確率を算出することができる。
　例えば図３１に示すように、同一の遷移元のセキュリティ状態情報“Ｐ６”に関連する回復機能要件情報“ＰＲ２”の個数“１”を分母の値とし、当該遷移元を共通とした同一の遷移先のセキュリティ状態情報“Ｐ１”に関連する回復機能要件情報“ＰＲ２”の個数“１”を分子の値とし、当該分子の値を当該分母の値で除算することにより、対策前遷移確率“１”を算出することができる。
　同様に、遷移確率算出部１６は、情報処理機器にセキュリティ対策機能を施した後の場合に関し、この対策前遷移確率の算出に用いた分子の値に評価点数を乗算して当該分子の値を修正し、この修正した分子の値を上記回復機能要件情報の個数としての分母の値で除算することにより、対策後遷移確率を算出することができる。
　例えば図３１及び図３９に示すように、この対策前遷移確率の算出に用いた分子の値“１”に評価点数“０”を乗算して当該分子の値を修正し、この修正した分子の値“０”を上記回復機能要件情報の個数としての分母の値“１”で除算することにより、対策後遷移確率“０”を算出することができる。
　また、遷移確率算出部１６は、対策前遷移確率と対策後遷移確率とを表示部１９により表示する。ここで、遷移確率算出部１６は、遷移元のセキュリティ状態情報及び遷移先のセキュリティ状態情報の組のうちの互いに同一の組毎に比較するように、回復モデル情報及び評価点数に基づく対策前遷移確率と対策後遷移確率とをレーダーチャート又は棒グラフにより表示部１９に表示してもよい。
　また、シミュレーション実行部１７は、回復機能に関し、遷移確率の演算結果に基づいて、前述同様にシミュレーション演算を実行できると共に、図４０に示すように、シミュレーション結果を表示することができる。
　上述したように本実施形態によれば、セキュリティ対策機能の詳細を示す対策情報の各項目が十分条件表情報の各項目を満たすか否かを評価し、各項目の評価結果から評価点数を算出し、評価点数に基づいて遷移確率を算出する構成により、未熟な評価者でも評価対象のセキュリティ対策機能を項目毎に詳細に評価できることから、評価者の熟練度に依存せずに、セキュリティ対策機能の効果を評価することができる。
　遷移パス情報毎に、対策前後の遷移確率を算出することにより、対策前後の遷移確率を比較でき、セキュリティ対策機能の効果を定量的に評価することができる。
　また、同様の効果をもつセキュリティ対策機能同士を比較することにより、より高い普遍性を有し、情報処理機器の使用目的により適しており、より優秀な方のセキュリティ対策機能を選択するための判断を支援することができる。
　さらに、将来にわたって、セキュリティ対策機能の進歩と、脅威の変化とに応じて、セキュリティ対策機能の評価を容易にやり直すことができると共に、過去のセキュリティ対策機能の評価結果との比較をも実現することができる。
　また、本実施形態は、情報処理機器に一つのセキュリティ対策機能を施す場合について説明したが、これに限らず、情報処理機器に複数のセキュリティ対策機能を施す場合であっても実施でき、同様の効果を得ることができる。補足すると、情報処理機器に複数のセキュリティ対策機能を施す場合、評価点数算出部１５は、当該各セキュリティ対策機能に関し、対策方針情報毎に算出された評価点数を当該対策方針毎に加算して最終的な評価点数を算出することにより、本実施形態を同様に実施して同様の効果を得ることができる。
　なお、上記実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ－ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。
　また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。
　また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が上記実施形態を実現するための各処理の一部を実行しても良い。
　さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶又は一時記憶した記憶媒体も含まれる。
　また、記憶媒体は１つに限らず、複数の媒体から上記実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。
　尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、上記実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。
　また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
　なお、本願発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。更に、異なる実施形態に亘る構成要素を適宜組合せてもよい。

Claims (5)

  1. 　記憶装置であるデータベース部（２０）を読出／書込可能であり、情報処理機器に実装されるセキュリティ対策機能を評価するためのセキュリティ対策機能評価装置（１０）に対し、前記セキュリティ対策機能評価装置に用いられ、コンピュータ読み取り可能な記憶媒体（Ｍ）に記憶されたセキュリティ対策機能評価プログラムであって、
    　情報処理機器の物理的本体、情報処理機器の機能、及び情報処理機器に保存されたデータ、を個別に示すセキュリティ保護対象資産情報と、前記各セキュリティ保護対象資産情報に個別に関連付けられたセキュリティ状態ＩＤ及び状態情報からなる複数のセキュリティ状態情報とを前記データベース部に書き込む処理を前記セキュリティ対策機能評価装置に実行させるための第１プログラムコード（１２）、
    　セキュリティ状態が安全な状態から危険な状態又は被害発生状態に遷移する原因である脅威の実施者及び実行条件の情報を含む脅威情報を含んだ文書データを前記データベース部に書き込む処理を前記セキュリティ対策機能評価装置に実行させるための第２プログラムコード（１２）、
    　任意の対策方針を実行する十分条件に関し、機能の有無、時間、効果、通知範囲、動作タイミング、及び起動への依存度、の項目毎の選択肢及び点数を含む十分条件評価パラメータと、任意のセキュリティ対策機能に関し、機能の有無、時間、効果、通知範囲、動作タイミング、及び起動への依存度、の項目毎の選択肢及び点数を含む対策機能評価パラメータとを前記データベース部に書き込む処理を前記セキュリティ対策機能評価装置に実行させるための第３プログラムコード（１２）、
    　脅威の実施者及び実行条件の情報に記述された実行条件を抑制するための対策方針情報が入力される対策方針領域と、当該対策方針情報の実行及び実行のための機能名に関し、機能の有無、時間、効果、通知範囲、及び起動への依存度の項目毎の選択肢を前記十分条件評価パラメータに関連付けて列挙した選択領域及び前記選択領域で選択された選択肢に応じた点数が前記十分条件評価パラメータに基づいて記述される点数領域とを含む十分条件表雛形情報を前記データベース部に書き込む処理を前記セキュリティ対策機能評価装置に実行させるための第４プログラムコード（１２）、
    　前記セキュリティ対策機能の製品を特定する対策名が入力される対策名領域と、当該対策名により特定される製品のセキュリティ対策機能の実行及び実行のための機能名に関し、機能の有無、時間、効果、通知範囲、及び起動への依存度の項目毎の選択肢を前記対策機能評価パラメータに関連付けて列挙した選択領域及び前記選択領域で選択された選択肢に応じた点数が前記対策機能評価パラメータに基づいて記述される点数領域とを含む対策雛形情報を前記データベース部に書き込む処理を前記セキュリティ対策機能評価装置に実行させるための第５プログラムコード（１２）、
    　セキュリティ保護対象資産の指定を含むセキュリティ保護対象資産の選択命令の入力を受け付けると、この選択命令に基づいて、前記データベース部内のセキュリティ保護対象資産情報を選択する処理を前記セキュリティ対策機能評価装置に実行させるための第６プログラムコード（１４）、
    　前記選択されたセキュリティ保護対象資産情報を表示する処理を前記セキュリティ対策機能評価装置に実行させるための第７プログラムコード（１４）、
    　前記セキュリティ保護対象資産情報の表示中、セキュリティ状態ＩＤの入力を受け付けると、このセキュリティ状態ＩＤに基づいて、当該表示中のセキュリティ保護対象資産情報に関連するセキュリティ状態情報を前記データベース部から抽出する処理を前記セキュリティ対策機能評価装置に実行させるための第８プログラムコード（１４）、
    　抽出したセキュリティ状態情報のセキュリティ状態ＩＤを表示する処理を前記セキュリティ対策機能評価装置に実行させるための第９プログラムコード（１４）、
    　表示中のセキュリティ状態ＩＤ毎に、安全、危険又は被害発生のグループに関する指定の入力を受け付けると、この指定に基づいて、各セキュリティ状態ＩＤを、安全、危険又は被害発生のいずれかのグループに分類する処理を前記セキュリティ対策機能評価装置に実行させるための第１０プログラムコード（１４）、
    　分類したグループに応じた形式の外枠情報を、表示中のセキュリティ状態ＩＤに付加して表示する処理を前記セキュリティ対策機能評価装置に実行させるための第１１プログラムコード（１４）、
    　表示中の外枠情報の指定の入力を受け付けると、この指定に基づいて、前記安全のグループに応じた形式の外枠情報から前記危険又は被害発生のグループに応じた外枠情報に向かう矢印の形式により、当該外枠情報間に第１遷移パス情報を描画する処理を前記セキュリティ対策機能評価装置に実行させるための第１２プログラムコード（１４）、
    　表示中の外枠情報の指定の入力を受け付けると、この指定に基づいて、前記危険のグループに応じた外枠情報から前記被害発生のグループに応じた外枠情報に向かう矢印の形式により、当該外枠情報間に第２遷移パス情報を描画する処理を前記セキュリティ対策機能評価装置に実行させるための第１３プログラムコード（１４）、
    　表示中の第１又は第２遷移パス情報と、前記脅威情報との指定の入力を受け付けると、この指定に基づいて、当該第１又は第２遷移パス情報と当該脅威情報とを関連付ける処理を前記セキュリティ対策機能評価装置に実行させるための第１４プログラムコード（１４）、
    　前記脅威情報が関連付けられなかった第１又は第２遷移パス情報を削除することにより、互いに関連付けられた複数のセキュリティ状態情報、外枠情報、第１遷移パス情報、第２遷移パス情報及び脅威情報からなる脅威発生モデル情報を作成する処理を前記セキュリティ対策機能評価装置に実行させるための第１５プログラムコード（１４）、
    　前記脅威発生モデル情報に基づいて、遷移元のセキュリティ状態情報、遷移先のセキュリティ状態情報及び脅威情報を互いに関連付けた脅威分析途中データを作成して表示する処理を前記セキュリティ対策機能評価装置に実行させるための第１６プログラムコード（１４）、
    　前記脅威分析途中データの表示中に、当該脅威分析途中データ内の脅威情報における脅威の実施者及び実行条件の指定の入力を受け付けると、この指定に基づいて、当該脅威情報から脅威の実施者及び実行条件の情報を抽出する処理を前記セキュリティ対策機能評価装置に実行させるための第１７プログラムコード（１４）、
    　前記脅威分析途中データ内の遷移元のセキュリティ状態情報、遷移先のセキュリティ状態情報、及び前記抽出した脅威の実施者及び実行条件の情報を互いに関連付けた脅威分析結果データを作成する処理を前記セキュリティ対策機能評価装置に実行させるための第１８プログラムコード（１４）、
    　前記脅威分析結果データ内の脅威の実施者及び実行条件の情報に記述された実行条件を抑制するための対策方針情報の入力を受け付けると、この対策方針情報を前記十分条件表雛形情報の対策方針領域に書き込む処理を前記セキュリティ対策機能評価装置に実行させるための第１９プログラムコード（１５）、
    　前記対策方針領域に書き込まれた対策方針情報の実行及び実行のための機能名に関し、前記選択領域内のいずれかの選択肢が指定されると、当該指定された選択肢を当該選択領域内で選択する処理を前記セキュリティ対策機能評価装置に実行させるための第２０プログラムコード（１５）、
    　前記十分条件評価パラメータに基づいて、前記選択領域内で選択された選択肢に対応する点数を前記点数領域に記述する処理を前記セキュリティ対策機能評価装置に実行させるための第２１プログラムコード（１５）、
    　前記対策方針情報が入力された対策方針領域、前記選択肢が選択された選択領域、及び前記点数が記述された点数領域を含む十分条件表情報を前記データベース部に書き込む処理を前記セキュリティ対策機能評価装置に実行させるための第２２プログラムコード（１５）、
    　前記対策名の入力を受け付けると、この対策名を前記対策雛形情報内の対策名領域に書き込む処理を前記セキュリティ対策機能評価装置に実行させるための第２３プログラムコード（１５）、
    　前記対策名領域に書き込まれた対策名の実行及び実行のための機能名に関し、前記対策雛形情報の選択領域内のいずれかの選択肢が指定されると、当該指定された選択肢を当該選択領域内で選択する処理を前記セキュリティ対策機能評価装置に実行させるための第２４プログラムコード（１５）、
    　前記対策機能評価パラメータに基づいて、前記対策雛形情報の選択領域内で選択された選択肢に対応する点数を当該対策雛形情報の点数領域に記述する処理を前記セキュリティ対策機能評価装置に実行させるための第２５プログラムコード（１５）、
    　前記対策雛形情報に基づいて作成され、前記対策名が入力された対策名領域、前記選択肢が選択された選択領域、及び前記点数が記述された点数領域を含む対策情報を前記データベース部に書き込む処理を前記セキュリティ対策機能評価装置に実行させるための第２６プログラムコード（１５）、
    　前記対策情報内及び前記十分条件表情報内の互いに同一の項目における点数領域に関し、当該対策情報の点数領域の点数から当該十分条件表情報の点数領域の点数を引いた差分を算出する処理を前記セキュリティ対策機能評価装置に実行させるための第２７プログラムコード（１５）、
    　前記差分が０以上の値であれば評価結果を正の値の点数とし、差分が負の値であれば評価結果を０値の点数として、前記対策情報内及び前記十分条件表情報内の互いに同一の項目毎に、評価結果の点数を記入する評価結果点数記入処理を前記セキュリティ対策機能評価装置に実行させるための第２８プログラムコード（１５）、
    　前記各対策方針情報の機能毎に、評価結果の点数の平均値を算出する処理を前記セキュリティ対策機能評価装置に実行させるための第２９プログラムコード（１５）、
    　前記対策方針情報毎に、全ての平均値を積算して評価点数を算出する処理を前記セキュリティ対策機能評価装置に実行させるための第３０プログラムコード（１５）、
    　前記情報処理機器にセキュリティ対策機能を施す前の場合に関し、前記脅威分析結果データに基づいて、同一の遷移元のセキュリティ状態情報の個数を分母の値とし、当該遷移元を共通とした同一の遷移先のセキュリティ状態情報の個数を分子の値とし、当該分子の値を当該分母の値で除算することにより、対策前遷移確率を算出する処理を前記セキュリティ対策機能評価装置に実行させるための第３１プログラムコード（１６）、
    　前記情報処理機器にセキュリティ対策機能を施した後の場合に関し、前記対策前遷移確率の算出に用いた分子の値から前記評価点数を減算して当該分子の値を修正し、この修正した分子の値を前記分母の値で除算することにより、対策後遷移確率を算出する処理を前記セキュリティ対策機能評価装置に実行させるための第３２プログラムコード（１６）、
    　前記対策前遷移確率と前記対策後遷移確率とを表示する処理を前記セキュリティ対策機能評価装置に実行させるための第３３プログラムコード（１６）、
    　を備えたことを特徴とするセキュリティ対策機能評価プログラム。
  2. 　請求項１に記載のセキュリティ対策機能評価プログラムにおいて、
    　回復対策方針を示す回復機能要件情報が記述される回復対策方針領域と、当該回復対策方針領域内の回復機能要件情報を実現するための十分条件に関し、ログの種類、追跡機能の対象、及びバックアップ、の項目毎の回復十分条件情報が入力される十分条件領域とを含む回復十分条件表雛形情報を前記データベース部に書き込む処理を前記セキュリティ対策機能評価装置に実行させるための第３４プログラムコード（１２）、
    　セキュリティ対策機能の製品を特定する対策名が入力される対策名領域と、当該対策名により特定される製品のセキュリティ対策機能に関し、前記ログの種類、追跡機能の対象、及びバックアップ、の項目毎の前記回復十分条件情報を選択肢として示す選択領域とを含む回復対策雛形情報を前記データベース部に書き込む処理を前記セキュリティ対策機能評価装置に実行させるための第３５プログラムコード（１２）、
    　セキュリティ保護対象資産の指定を含むセキュリティ保護対象資産の選択命令の入力を受け付けると、この選択命令に基づいて、前記データベース部からセキュリティ保護対象資産情報を選択して表示し、このセキュリティ保護対象資産情報の表示中、セキュリティ状態ＩＤの入力を受け付けると、このセキュリティ状態ＩＤに基づいて、当該表示中のセキュリティ保護対象資産情報に関連するセキュリティ状態情報を前記脅威発生モデル情報から抽出する処理を前記セキュリティ対策機能評価装置に実行させるための第３６プログラムコード（１８）、
    　前記脅威発生モデル情報から抽出したセキュリティ状態情報のセキュリティ状態ＩＤを表示し、当該セキュリティ状態ＩＤ毎に、安全、危険又は被害発生のグループの指定の入力を受け付けると、この指定に基づいて、各セキュリティ状態ＩＤを、安全、危険又は被害発生のいずれかのグループに分類し、当該各グループに応じた形式の外枠情報を、表示中のセキュリティ状態ＩＤに付加して表示する処理を前記セキュリティ対策機能評価装置に実行させるための第３７プログラムコード（１８）、
    　当該表示中の外枠情報の指定の入力を受け付けると、この指定に基づいて、前記危険又は被害発生のグループに応じた形式の外枠情報からそれぞれ前記安全のグループに応じた外枠情報に向かう矢印の形式により、当該外枠情報間に第３遷移パス情報を描画する処理を前記セキュリティ対策機能評価装置に実行させるための第３８プログラムコード（１８）、
    　前記第３遷移パス情報毎に、回復機能要件情報の入力を受け付けると、当該第３遷移パス情報と、当該回復機能要件情報とを関連付ける処理を前記セキュリティ対策機能評価装置に実行させるための第３９プログラムコード（１８）、
    　互いに関連付けられた複数のセキュリティ状態情報、外枠情報、第３遷移パス情報及び回復機能要件情報からなる回復モデル情報を作成する処理を前記セキュリティ対策機能評価装置に実行させるための第４０プログラムコード（１８）、
    　前記ログの種類、追跡機能の対象、及びバックアップ、の項目毎の回復十分条件情報の入力を受け付けると、この回復十分条件情報を前記回復十分条件表雛形情報の十分条件領域に書き込む処理を前記セキュリティ対策機能評価装置に実行させるための第４１プログラムコード（１５）、
    　前記回復対策方針領域と、前記回復十分条件情報が書き込まれた十分条件領域とを含む回復十分条件表情報を前記データベース部に書き込む処理を前記セキュリティ対策機能評価装置に実行させるための第４２プログラムコード（１５）、
    　前記回復対策雛形情報に対する対策名の入力を受け付けると、この対策名を前記回復対策雛形情報内の対策名領域に書き込む処理を前記セキュリティ対策機能評価装置に実行させるための第４３プログラムコード（１５）、
    　前記回復対策雛形情報内の選択肢としての回復十分条件情報の指定を受け付けると、この指定された回復十分条件情報を選択する処理を前記セキュリティ対策機能評価装置に実行させるための第４４プログラムコード（１５）、
    　前記回復対策雛形情報に基づいて作成され、前記対策名が入力された対策名領域と、前記回復十分条件情報が選択された選択領域とを含む回復対策情報を前記データベース部に書き込む処理を前記セキュリティ対策機能評価装置に実行させるための第４５プログラムコード（１５）、
    　前記回復対策情報内及び前記回復十分条件表情報内の互いに同一の項目に関し、当該回復十分条件表情報内の回復十分条件情報と当該回復対策情報内の回復十分条件情報とが一致すれば評価結果を正の値の点数とし、両者が不一致であれば評価結果を０値の点数として、前記回復十分条件表情報の回復対策方針領域内の各回復機能要件情報における当該同一の項目毎に、評価結果の点数を記入する回復評価点数記入処理を前記セキュリティ対策機能評価装置に実行させるための第４６プログラムコード（１５）、
    　当該回復機能要件毎に、全ての評価結果の点数を積算して評価点数を算出する処理を前記セキュリティ対策機能評価装置に実行させるための第４７プログラムコード（１５）、
    　前記情報処理機器にセキュリティ対策機能を施す前の場合に関し、前記回復モデル情報に基づいて、同一の遷移元のセキュリティ状態情報に関連する回復機能要件情報の個数を分母の値とし、当該遷移元を共通とした同一の遷移先のセキュリティ状態情報に関連する回復機能要件情報の個数を分子の値とし、当該分子の値を当該分母の値で除算することにより、対策前遷移確率を算出する処理を前記セキュリティ対策機能評価装置に実行させるための第４８プログラムコード（１６）、
    　前記情報処理機器にセキュリティ対策機能を施した後の場合に関し、この対策前遷移確率の算出に用いた分子の値に前記回復評価点数記入処理による評価点数を乗算して当該分子の値を修正し、この修正した分子の値を前記回復機能要件情報の個数としての分母の値で除算することにより、対策後遷移確率を算出する処理を前記セキュリティ対策機能評価装置に実行させるための第４９プログラムコード（１６）、
    　前記回復モデル情報に基づく前記対策前遷移確率と前記対策後遷移確率とを表示する処理を前記セキュリティ対策機能評価装置に実行させるための第５０プログラムコード（１６）、
    　を更に備えたことを特徴とするセキュリティ対策機能評価プログラム。
  3. 　請求項１に記載のセキュリティ対策機能評価プログラムにおいて、
    　前記評価結果点数記入処理は、前記評価結果を正の値の点数とする場合、予め項目毎に設定された重み付け値を当該評価結果の点数とする処理、
    　を含むことを特徴とするセキュリティ対策機能評価プログラム。
  4. 　請求項１に記載のセキュリティ対策機能評価プログラムにおいて、
    　前記情報処理機器に複数のセキュリティ対策機能を施す場合、当該各セキュリティ対策機能に関し、前記対策方針情報毎に算出された評価点数を当該対策方針情報毎に加算して最終的な評価点数を算出する処理を前記セキュリティ対策機能評価装置に実行させるための第３４プログラムコード（１５）、
    　を更に備えたことを特徴とするセキュリティ対策機能評価プログラム。
  5. 　請求項２に記載のセキュリティ対策機能評価プログラムにおいて、
    　前記回復評価点数記入処理は、前記評価結果を正の値の点数とする場合、予め項目毎に設定された重み付け値を当該評価結果の点数とする処理、
    　を含むことを特徴とするセキュリティ対策機能評価プログラム。
PCT/JP2009/071344 2008-12-24 2009-12-22 セキュリティ対策機能評価プログラム WO2010074093A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
CN200980152348.XA CN102282567B (zh) 2008-12-24 2009-12-22 安全性对策功能评估方法
EP09834894.9A EP2369522B1 (en) 2008-12-24 2009-12-22 Security countermeasure function evaluation program
US13/167,821 US8407801B2 (en) 2008-12-24 2011-06-24 Security countermeasure function evaluation program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2008-328751 2008-12-24
JP2008328751A JP4469910B1 (ja) 2008-12-24 2008-12-24 セキュリティ対策機能評価プログラム

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US13/167,821 Continuation US8407801B2 (en) 2008-12-24 2011-06-24 Security countermeasure function evaluation program

Publications (1)

Publication Number Publication Date
WO2010074093A1 true WO2010074093A1 (ja) 2010-07-01

Family

ID=42287701

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2009/071344 WO2010074093A1 (ja) 2008-12-24 2009-12-22 セキュリティ対策機能評価プログラム

Country Status (5)

Country Link
US (1) US8407801B2 (ja)
EP (1) EP2369522B1 (ja)
JP (1) JP4469910B1 (ja)
CN (1) CN102282567B (ja)
WO (1) WO2010074093A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014132455A (ja) * 2012-12-28 2014-07-17 Eni Spa 産業施設のセキュリティのためのリスク評価及びシステム
WO2022018554A1 (en) * 2020-07-22 2022-01-27 International Business Machines Corporation Dynamically determining trust level of end-to-end link

Families Citing this family (45)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9076342B2 (en) * 2008-02-19 2015-07-07 Architecture Technology Corporation Automated execution and evaluation of network-based training exercises
JP5780988B2 (ja) * 2012-03-14 2015-09-16 株式会社Ｎｔｔドコモ 情報処理装置、情報処理システムおよび情報処理方法
CN102841847A (zh) * 2012-09-26 2012-12-26 无锡南理工科技发展有限公司 软件防危性增长测评方法
JP2015204061A (ja) * 2014-04-16 2015-11-16 株式会社日立製作所 システムセキュリティ設計支援装置、システムセキュリティ設計支援方法、及びシステムセキュリティ設計支援プログラム
EP3252648B1 (en) * 2015-03-04 2021-09-22 Nippon Telegraph and Telephone Corporation Security measure invalidation prevention device, security measure invalidation prevention method, and security measure invalidation prevention program
US10083624B2 (en) 2015-07-28 2018-09-25 Architecture Technology Corporation Real-time monitoring of network-based training exercises
US10803766B1 (en) 2015-07-28 2020-10-13 Architecture Technology Corporation Modular training of network-based training exercises
EP3338424A1 (en) * 2015-08-21 2018-06-27 Renesas Electronics Europe Limited Design support system
US9449189B1 (en) 2015-11-03 2016-09-20 International Business Machines Corporation Protection of state data in computer system code
US10303517B1 (en) 2016-01-28 2019-05-28 BrainFights, Inc. Automated evaluation of computer programming
US11650903B2 (en) 2016-01-28 2023-05-16 Codesignal, Inc. Computer programming assessment
US10110634B2 (en) * 2016-02-04 2018-10-23 Amadeus S.A.S. Monitoring user authenticity in distributed system
JP6597452B2 (ja) 2016-03-30 2019-10-30 日本電気株式会社 情報処理装置、情報処理方法、プログラム
US20190081988A1 (en) * 2016-06-01 2019-03-14 Mitsubishi Electric Corporation Security management apparatus, central security management apparatus, security management method, and computer readable medium
CN108418776B (zh) * 2017-02-09 2021-08-20 上海诺基亚贝尔股份有限公司 用于提供安全业务的方法和设备
JP6822248B2 (ja) * 2017-03-21 2021-01-27 富士通株式会社 情報処理システム、情報処理方法および携帯端末
US11568059B2 (en) 2017-05-17 2023-01-31 Threatmodeler Software Inc. Systems and methods for automated threat model generation from diagram files
US10984112B2 (en) 2017-05-17 2021-04-20 Threatmodeler Software Inc. Systems and methods for automated threat modeling of an existing computing environment
US10255439B2 (en) 2017-05-17 2019-04-09 Threatmodeler Software Inc. Threat modeling systems and related methods including compensating controls
US10699008B2 (en) * 2017-05-17 2020-06-30 Threatmodeler Software Inc. Threat model chaining and attack simulation systems and related methods
US11314872B2 (en) 2017-05-17 2022-04-26 Threatmodeler Software Inc. Systems and methods for automated threat modeling when deploying infrastructure as a code
US11620386B2 (en) 2017-05-17 2023-04-04 Threatmodeler Software Inc. Threat modeling systems and related methods including mitigating components
US10713366B2 (en) 2017-05-17 2020-07-14 Threatmodeler Software Inc. Systems and methods for automated threat model generation from third party diagram files
US10747876B2 (en) 2017-05-17 2020-08-18 Threatmodeler Software Inc. Systems and methods for assisted model generation
US11159559B2 (en) 2017-05-17 2021-10-26 Threatmodeler Software Inc. Systems and methods for importing diagrams for automated threat modeling
JP7026475B2 (ja) * 2017-10-06 2022-02-28 株式会社野村総合研究所 セキュリティ評価システムおよびセキュリティ評価方法
JP6901979B2 (ja) * 2018-02-21 2021-07-14 株式会社日立製作所 セキュリティ評価サーバおよびセキュリティ評価方法
US10749890B1 (en) 2018-06-19 2020-08-18 Architecture Technology Corporation Systems and methods for improving the ranking and prioritization of attack-related events
US10817604B1 (en) 2018-06-19 2020-10-27 Architecture Technology Corporation Systems and methods for processing source codes to detect non-malicious faults
US11023586B2 (en) * 2018-10-26 2021-06-01 American Megatrends International, Llc Auto detection mechanism of vulnerabilities for security updates
US11429713B1 (en) 2019-01-24 2022-08-30 Architecture Technology Corporation Artificial intelligence modeling for cyber-attack simulation protocols
US11128654B1 (en) 2019-02-04 2021-09-21 Architecture Technology Corporation Systems and methods for unified hierarchical cybersecurity
US11481647B1 (en) * 2019-03-19 2022-10-25 Humana Inc. Determining high impact features for a prediction of a machine learning model
US11887505B1 (en) 2019-04-24 2024-01-30 Architecture Technology Corporation System for deploying and monitoring network-based training exercises
US11403405B1 (en) 2019-06-27 2022-08-02 Architecture Technology Corporation Portable vulnerability identification tool for embedded non-IP devices
JP6746084B2 (ja) * 2019-10-03 2020-08-26 日本電気株式会社 情報処理装置、情報処理方法、プログラム
US11444974B1 (en) 2019-10-23 2022-09-13 Architecture Technology Corporation Systems and methods for cyber-physical threat modeling
US11503075B1 (en) 2020-01-14 2022-11-15 Architecture Technology Corporation Systems and methods for continuous compliance of nodes
JP7226819B2 (ja) * 2020-07-28 2023-02-21 日本電気株式会社 情報処理装置、情報処理方法、プログラム
JP7427577B2 (ja) * 2020-12-04 2024-02-05 株式会社東芝 情報処理装置、情報処理方法およびプログラム
US11848949B2 (en) * 2021-01-30 2023-12-19 Netskope, Inc. Dynamic distribution of unified policies in a cloud-based policy enforcement system
US11777993B2 (en) 2021-01-30 2023-10-03 Netskope, Inc. Unified system for detecting policy enforcement issues in a cloud-based environment
US11159576B1 (en) 2021-01-30 2021-10-26 Netskope, Inc. Unified policy enforcement management in the cloud
JP2024030652A (ja) * 2022-08-24 2024-03-07 株式会社日立システムズ 計算機システム及びセキュリティ対策の評価方法
CN117077180B (zh) * 2023-10-11 2024-01-26 北京安天网络安全技术有限公司 勒索加密数据恢复可行性评估及处理装置、方法、电子设备及存储介质

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001101135A (ja) * 1999-09-29 2001-04-13 Hitachi Ltd セキュリティ評価方法および装置、セキュリティ施策の作成支援方法および装置
JP2002024526A (ja) * 2000-07-10 2002-01-25 Mitsubishi Electric Corp 情報セキュリティ評価装置及び情報セキュリティ評価方法及び情報セキュリティ評価プログラムを記録した記録媒体
JP2002352062A (ja) * 2001-05-24 2002-12-06 Hitachi Ltd セキュリティ評価装置
JP2003150748A (ja) * 2001-11-09 2003-05-23 Asgent Inc リスク評価方法
JP2003196476A (ja) * 2001-12-27 2003-07-11 Hitachi Ltd セキュリティポリシーの作成支援システムおよびセキュリティ対策決定支援システム
JP2005025523A (ja) 2003-07-02 2005-01-27 Mitsubishi Electric Corp 情報セキュリティ管理支援装置
JP2005258512A (ja) * 2004-03-09 2005-09-22 Hitachi Ltd 統合システムセキュリティ設計方法及びそのプログラム

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7340776B2 (en) * 2001-01-31 2008-03-04 International Business Machines Corporation Method and system for configuring and scheduling security audits of a computer network
WO2002079907A2 (en) * 2001-03-29 2002-10-10 Accenture Llp Overall risk in a system
US20030028803A1 (en) * 2001-05-18 2003-02-06 Bunker Nelson Waldo Network vulnerability assessment system and method
US7334222B2 (en) * 2002-09-11 2008-02-19 International Business Machines Corporation Methods and apparatus for dependency-based impact simulation and vulnerability analysis
US8201257B1 (en) * 2004-03-31 2012-06-12 Mcafee, Inc. System and method of managing network security risks
US8312549B2 (en) * 2004-09-24 2012-11-13 Ygor Goldberg Practical threat analysis
US7735141B1 (en) * 2005-03-10 2010-06-08 Noel Steven E Intrusion event correlator
US8095984B2 (en) * 2005-09-22 2012-01-10 Alcatel Lucent Systems and methods of associating security vulnerabilities and assets
US20070067845A1 (en) * 2005-09-22 2007-03-22 Alcatel Application of cut-sets to network interdependency security risk assessment
KR100955282B1 (ko) * 2007-10-12 2010-04-30 한국정보보호진흥원 정보 계층 구조를 이용한 네트워크 위험 분석 방법
US8112304B2 (en) * 2008-08-15 2012-02-07 Raytheon Company Method of risk management across a mission support network

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001101135A (ja) * 1999-09-29 2001-04-13 Hitachi Ltd セキュリティ評価方法および装置、セキュリティ施策の作成支援方法および装置
JP2002024526A (ja) * 2000-07-10 2002-01-25 Mitsubishi Electric Corp 情報セキュリティ評価装置及び情報セキュリティ評価方法及び情報セキュリティ評価プログラムを記録した記録媒体
JP2002352062A (ja) * 2001-05-24 2002-12-06 Hitachi Ltd セキュリティ評価装置
JP2003150748A (ja) * 2001-11-09 2003-05-23 Asgent Inc リスク評価方法
JP2003196476A (ja) * 2001-12-27 2003-07-11 Hitachi Ltd セキュリティポリシーの作成支援システムおよびセキュリティ対策決定支援システム
JP2005025523A (ja) 2003-07-02 2005-01-27 Mitsubishi Electric Corp 情報セキュリティ管理支援装置
JP2005258512A (ja) * 2004-03-09 2005-09-22 Hitachi Ltd 統合システムセキュリティ設計方法及びそのプログラム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP2369522A4

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014132455A (ja) * 2012-12-28 2014-07-17 Eni Spa 産業施設のセキュリティのためのリスク評価及びシステム
WO2022018554A1 (en) * 2020-07-22 2022-01-27 International Business Machines Corporation Dynamically determining trust level of end-to-end link
US11297105B2 (en) 2020-07-22 2022-04-05 International Business Machines Corporation Dynamically determining a trust level of an end-to-end link
GB2611992A (en) * 2020-07-22 2023-04-19 Ibm Dynamically determining trust level of end-to-end link

Also Published As

Publication number Publication date
EP2369522A4 (en) 2013-12-25
JP2010152560A (ja) 2010-07-08
US20110302657A1 (en) 2011-12-08
JP4469910B1 (ja) 2010-06-02
US8407801B2 (en) 2013-03-26
CN102282567A (zh) 2011-12-14
EP2369522A1 (en) 2011-09-28
EP2369522B1 (en) 2015-12-02
CN102282567B (zh) 2014-12-10

Similar Documents

Publication Publication Date Title
WO2010074093A1 (ja) セキュリティ対策機能評価プログラム
US7708200B2 (en) Fraud risk advisor
JP4651947B2 (ja) 時間および重みに基づく柔軟で耐性のあるハードウエアｉｄを提供するシステムおよび方法
US20060064374A1 (en) Fraud risk advisor
US20070038568A1 (en) Fraud analyst smart cookie
WO2015025694A1 (ja) セキュリティ上の脅威を評価する評価装置及びその方法
WO2013105076A1 (en) Automated document redaction
JP5148442B2 (ja) 脆弱性対応優先度表示装置及びプログラム
US20090113552A1 (en) System and Method To Analyze Software Systems Against Tampering
US20220053012A1 (en) Attack Scenario Simulation Device, Attack Scenario Generation System, and Attack Scenario Generation Method
WO2018134909A1 (ja) 情報処理装置、情報処理方法及び情報処理プログラム
US20150205859A1 (en) Text mining device, text mining method, and computer-readable recording medium
CN113127351A (zh) 一种第三方组件检测方法、系统和计算机设备
CN112184059A (zh) 评分分析方法、装置、电子设备及存储介质
JP5376101B1 (ja) セキュリティ検証装置及びセキュリティ検証方法
US20080294396A1 (en) System and method for validating design requirements
WO2012053041A1 (ja) セキュリティポリシーに基づくセキュリティ監視装置、セキュリティ監視方法及びセキュリティ監視プログラム
KR101393154B1 (ko) 신뢰할 수 있는 온라인 평판 시스템을 위한 상호 강화 방법 및 시스템
US20090150391A1 (en) Rare pattern extracting device and rare pattern extracting method
WO2023078723A1 (en) Compliance risk management for data in computing systems
JP7220095B2 (ja) セキュリティ設計立案支援装置
WO2024043021A1 (ja) 計算機システム及びセキュリティ対策の評価方法
Singh et al. Game-theoretic design of an information exchange model for detecting packed malware
AU2011265479B2 (en) Fraud risk advisor
US20060001556A1 (en) Method and apparatus for critical data entry

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 200980152348.X

Country of ref document: CN

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09834894

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2009834894

Country of ref document: EP