WO2019138542A1 - 対策立案支援装置、対策立案支援方法及び対策立案支援プログラム - Google Patents

対策立案支援装置、対策立案支援方法及び対策立案支援プログラム Download PDF

Info

Publication number
WO2019138542A1
WO2019138542A1 PCT/JP2018/000667 JP2018000667W WO2019138542A1 WO 2019138542 A1 WO2019138542 A1 WO 2019138542A1 JP 2018000667 W JP2018000667 W JP 2018000667W WO 2019138542 A1 WO2019138542 A1 WO 2019138542A1
Authority
WO
WIPO (PCT)
Prior art keywords
countermeasure
threat
standard
information
data
Prior art date
Application number
PCT/JP2018/000667
Other languages
English (en)
French (fr)
Inventor
幸宏 市川
綱人 中井
Original Assignee
三菱電機株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機株式会社 filed Critical 三菱電機株式会社
Priority to PCT/JP2018/000667 priority Critical patent/WO2019138542A1/ja
Priority to JP2019549608A priority patent/JP6636226B2/ja
Priority to TW107112887A priority patent/TW201931189A/zh
Publication of WO2019138542A1 publication Critical patent/WO2019138542A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities

Definitions

  • the present invention relates to a technology for supporting the planning of security measures for objects such as devices and systems.
  • Patent Document 1 describes a technology for supporting the planning of security measures of a system.
  • the planning of security measures of the system is supported by inputting the number of components and the like using a special format and analyzing the threats that may occur in the system.
  • Patent Document 1 is a technology that supports the work of a security expert. Therefore, in the technology described in Patent Document 1, no consideration is given to the standard relating to security. In the technology described in Patent Document 1, if it is attempted to identify a countermeasure that can prevent a threat that may occur in the system while satisfying the requirements required by the standard in consideration of the standard related to security, it becomes a complicated process.
  • An object of the present invention is to support the planning of measures that can prevent threats that may occur in a system while satisfying security standards.
  • the countermeasure planning support apparatus is A threat analysis unit that identifies a threat that may occur on the target based on design information of the target, and identifies a countermeasure for preventing the identified threat as a first countermeasure; A standard introduction unit that specifies, as a second measure, a measure for satisfying the standard indicated by the standard information, based on standard information indicating a standard relating to security applied to the object, and the design information; The first countermeasure specified by the threat analysis unit and the second countermeasure specified by the standard introduction unit are combined to generate a countermeasure data.
  • a threat analysis is performed based on design information to identify security measures, and security measures based on security related standards are identified and combined. This makes it possible to support the formulation of measures that can prevent threats that may occur in the system while meeting security standards without making the process complicated.
  • FIG. 1 is a block diagram of a countermeasure planning support device 10 according to a first embodiment.
  • FIG. 2 is a configuration diagram of design information 41 according to the first embodiment.
  • FIG. 2 is a use case diagram of an object according to Embodiment 1;
  • FIG. 2 is a layout view of an object according to Embodiment 1.
  • FIG. 2 is a class diagram of a display according to Embodiment 1;
  • FIG. 2 is a class diagram of a sensor according to Embodiment 1;
  • FIG. 2 is a class diagram of a line called ether according to the first embodiment.
  • FIG. 3 is a class diagram in which the entire object according to the first embodiment is defined.
  • 6 is a flowchart of the overall processing of the countermeasure creation support device 10 according to the first embodiment.
  • 6 is a flowchart of threat identification processing according to the first embodiment.
  • Explanatory drawing of the threat database 31 which concerns on Embodiment 1.
  • FIG. FIG. 10 is an explanatory diagram of a threat identification result 44 according to the first embodiment.
  • 6 is a flowchart of countermeasure identification processing according to the first embodiment.
  • Explanatory drawing of the countermeasure database 32 which concerns on Embodiment 1.
  • FIG. Explanatory drawing of the countermeasure identification result 45 which concerns on Embodiment 1.
  • FIG. 6 is a flowchart of a standard introduction process according to the first embodiment.
  • FIG. 2 is an explanatory view of a standard database 33 according to the first embodiment.
  • Explanatory drawing of the standard introduction result 46 which concerns on Embodiment 1.
  • FIG. 6 is a flowchart of coupling processing according to the first embodiment.
  • Explanatory drawing of secure design drawing 43 which concerns on Embodiment 1.
  • FIG. Explanatory drawing of secure design drawing 43 which concerns on Embodiment 1.
  • FIG. 8 is a block diagram of a countermeasure planning support device 10 according to a modification 1;
  • FIG. 8 is a block diagram of a countermeasure planning support device 10 according to a second embodiment.
  • 10 is a flowchart of generation processing of the countermeasure candidate database 34 according to the second embodiment.
  • FIG. 14 is an explanatory view of a countermeasure candidate database 34 according to the second embodiment.
  • 10 is a flowchart of coupling processing according to the second embodiment.
  • Explanatory drawing of secure design drawing 43 which concerns on Embodiment 2.
  • FIG. 8 is a block diagram of
  • Embodiment 1 *** Description of the configuration *** The configuration of the countermeasure planning support apparatus 10 according to the first embodiment will be described with reference to FIG.
  • the countermeasure planning support device 10 is a computer.
  • the countermeasure planning support apparatus 10 generates a secure design drawing 43 using the design information 41 and the standard information 42 as inputs.
  • the countermeasure planning support apparatus 10 includes hardware of a processor 11, a memory 12, a storage 13, and a communication interface 14.
  • the processor 11 is connected to other hardware via a signal line to control these other hardware.
  • the processor 11 is an integrated circuit (IC) that performs processing.
  • the processor 11 is, as a specific example, a central processing unit (CPU), a digital signal processor (DSP), or a graphics processing unit (GPU).
  • CPU central processing unit
  • DSP digital signal processor
  • GPU graphics processing unit
  • the memory 12 is a storage device that temporarily stores data.
  • the memory 12 is, as a specific example, a static random access memory (SRAM) or a dynamic random access memory (DRAM).
  • SRAM static random access memory
  • DRAM dynamic random access memory
  • the storage 13 is a storage device for storing data.
  • the storage 13 is an HDD (Hard Disk Drive) as a specific example.
  • the storage 13 is an SD (registered trademark, Secure Digital) memory card, CF (Compact Flash, registered trademark), NAND flash, flexible disk, optical disk, compact disk, Blu-ray (registered trademark) disk, DVD (Digital Versatile Disk), etc. It may be a portable recording medium.
  • the communication interface 14 is an interface for communicating with an external device.
  • the communication interface 14 is, as a specific example, a port of Ethernet (registered trademark), USB (Universal Serial Bus), or HDMI (registered trademark, High-Definition Multimedia Interface).
  • the countermeasure planning support apparatus 10 includes a threat analysis unit 21, a standard introduction unit 22, and a coupling unit 23 as functional components.
  • the threat analysis unit 21 includes a threat identification unit 24 and a countermeasure identification unit 25.
  • the function of each functional component of the countermeasure planning support device 10 is realized by software.
  • the storage 13 stores a program for realizing the function of each functional component of the countermeasure development support device 10. The program is read into the memory 12 by the processor 11 and executed by the processor 11. Thereby, the function of each functional component of the countermeasure planning support device 10 is realized.
  • the storage 13 implements the functions of the threat database 31, the countermeasure database 32, and the standard database 33.
  • processors 11 Only one processor 11 is shown in FIG. However, a plurality of processors 11 may be provided, and a plurality of processors 11 may cooperatively execute programs for realizing the respective functions.
  • the design information 41 is information indicating the configuration and operation of an object such as an apparatus and a system.
  • the design information 41 is information described in a format in accordance with a standardized format such as Unified Modeling Language (UML) and Systems Modeling Language (SysML).
  • UML Unified Modeling Language
  • SynsML Systems Modeling Language
  • the design information 41 includes (1) a layout or block diagram in which hardware and software configuration information is described, and (2) functions and information internally possessed by the components indicated by the diagram in (1).
  • FIG. 5 is a class diagram or block diagram described and a sequence diagram in which the exchange and procedure of components and functions shown in the diagrams of (3), (1) and (2) are described.
  • the design information 41 is templated.
  • the design information 41 includes a component class diagram 51 and an information class diagram 52.
  • Component class diagram 51 shows hardware and software.
  • Component Class FIG. 51 defines the following two items of information (A1) and (A2).
  • A1 Boundary Information
  • the boundary information indicates the position in the network. The boundary information indicates, for example, whether the component is installed at a position equivalent to an external connection such as the Web or the component is installed inside a company or the like.
  • A2 Component Identification Information
  • the component identification information indicates the type of component. The component identification information indicates, for example, whether the component is an apparatus, software, or a connection line.
  • Data Class FIG. 52 shows data managed or communicated by components. Data Class FIG.
  • B1 Importance
  • B2 Place Identifier
  • a place identifier is information linked to component identification information, and indicates a component in which data exists.
  • the (B3: Type) type indicates classification of data such as general data, password or key.
  • B4 Owner
  • Owner indicates the owner of the component having data.
  • B5 Transmission source
  • the transmission source of communication is set as the transmission source when the component identification data indicates communication.
  • B6 Transmission Destination
  • a transmission destination of communication is set when the component identification data indicates communication.
  • the standard information 42 is information indicating the name of the standard and the level of the standard applied to the object. Specifically, the standard information 42 indicates a standard name such as IEC 62443 or Embedded Device Security Assurance (EDSA) authentication, and a security level associated with the standard indicated by the standard name.
  • EDSA Embedded Device Security Assurance
  • Secure design drawing 43 is information indicating security measures to be implemented on an object. Secure Design 43 may also show the threat or requirements of the standard corresponding to the measure, as well as the measure.
  • the operation of the countermeasure planning support apparatus 10 according to the first embodiment will be described with reference to FIGS. 3 to 23.
  • the operation of the countermeasure planning support apparatus 10 according to the first embodiment corresponds to the countermeasure planning support method according to the first embodiment. Further, the operation of the countermeasure planning support apparatus 10 according to the first embodiment corresponds to the processing of the countermeasure planning support program according to the first embodiment.
  • Design information 41 used in the following description will be described with reference to FIGS. 3 to 10.
  • the object indicates a use case in which a supervisor is set as an actor and the supervisor confirms the value of the sensor.
  • the use case diagram is not necessary as an input of the countermeasure development support device 10, but is used to help the understanding of other design information 41.
  • the object includes, as hardware components, a display defined as display, a sensor defined as sensor, and a line called ether that connects the display and the sensor.
  • a display defined as display As shown in FIG. 4, the hardware components of the object are defined.
  • the object includes, as hardware components, a display defined as display, a sensor defined as sensor, and a line called ether that connects the display and the sensor.
  • the information defined by stereotype ⁇ >> is a definition or a name, and is not information indicating a special connection line such as ethernet.
  • the indicator is defined.
  • the display comprises an area for storing data, boundary information and an identifier.
  • the display includes a function (getData) for acquiring data from the sensor and a function (runDisplay) for displaying the acquired data on the display.
  • the display is implemented with an interface of HMI (Human Machine Interface) and an interface of Device.
  • the data is an acquired sensor value.
  • the boundary information is set to 0 when installed inside a company, 2 when installed outside, and 1 when installed outside or inside.
  • the identifier indicates the type, and is set to 1 in the case of the device, 2 in the case of the communication device, and 3 in the case of the portable terminal.
  • sensors are defined.
  • the sensor comprises an area for storing boundary information and an identifier.
  • the sensor has a function (putValue) to transmit data to another device.
  • the sensor has a Device interface implemented.
  • the boundary information is set to 0 when installed inside a company, 2 when installed outside, and 1 when installed outside or inside.
  • the identifier indicates the type, and is set to 1 in the case of the device, 2 in the case of the communication device, and 3 in the case of the portable terminal.
  • the line called ether comprises an area for storing boundary information and an identifier.
  • the boundary information is set to 0 when installed inside a company, 2 when installed outside, and 1 when installed outside or inside.
  • the identifier indicates the type, and in the case of the communication path, 10 is set.
  • the object operates. That is, the surveillance officer inputs ControlData to call the runDisplay function of the display.
  • the display executes the getData function when the runDisplay function is called. Then, the putValue function of the sensor is called, and commData is returned from the sensor as a response.
  • the display displays commData as DisplayData. Displayed DisplayData is acquired by the observer as FileData.
  • each piece of data appearing in the sequence diagram shown in FIG. 8 has an area for storing information of importance, place identifier, type and owner.
  • Each data has a function of acquiring these pieces of information and a function of setting them.
  • Each data is ControlData, commData, DisplayData, and FileData shown in FIG.
  • the degree of importance is set to 0 for public, 1 for confidential, 2 for confidential, and 3 for confidential.
  • a place identifier is linked to an identifier of another class diagram and indicates a component in which data exists.
  • the location identifier can also handle an expression such as 100 as physical information.
  • the type is set to 1 for general data, 2 for password, 3 for key, and 4 for certificate.
  • the owner is set with the name of the component that holds the data.
  • the information illustrated in FIG. 10 is an example of the design information 41.
  • the information shown in FIG. 10 is embodied using the information shown in FIGS. Therefore, the designer of the object may directly generate the information shown in FIG.
  • the values described in FIG. 3 to FIG. 9 are examples and can be changed as appropriate. However, with regard to the boundary information, as the possibility of occurrence of risk is high as in the outside, a larger value is set.
  • Step S1 Threat Identification Process
  • the threat identification unit 24 identifies a threat that may occur on the object based on the design information 41 on the object. Specifically, the threat identification unit 24 refers to the threat database 31 indicating a threat corresponding to the combination of the place identifier and the type. Then, the threat identification unit 24 identifies a threat corresponding to a combination of a location identifier indicated by the design information 41 for data used in the object and a type indicated by the design information 41 for data. The threat identification unit 24 writes the identified threat in the memory 12.
  • Step S2 Countermeasure identification process
  • the countermeasure identification unit 25 identifies a countermeasure for preventing the threat identified in step S1 as a first countermeasure. Specifically, the countermeasure identification unit 25 refers to the countermeasure database indicating the countermeasure according to the combination of the threat and the place identifier or the type. Then, the countermeasure identification unit 25 measures the countermeasure corresponding to the combination of the location identifier indicated by the design information 41 for data or the type indicated by the design information 41 for data and the threat identified in step S1 for the data. Identify as The countermeasure identification unit 25 writes the identified first countermeasure in the memory 12.
  • Step S3 Standard introduction process
  • the standard introduction unit 22 specifies a measure for satisfying the standard indicated by the standard information 42 as a second measure based on the standard information 42 indicating the standard on security applied to the object and the design information 41.
  • the standard introduction unit 22 refers to a standard database indicating measures according to the combination of the level of the standard and the location identifier, the level of the standard to be introduced to the object, and the configuration of the object The measure corresponding to the place identifier of the object is identified as the second measure.
  • Step S4 combining process
  • the combining unit 23 combines the first measure identified in step S2 and the second measure identified in step S3 to generate a secure design diagram 43, which is countermeasure data.
  • Step S11 Reception process
  • the threat identification unit 24 receives an input of the design information 41.
  • the threat identification unit 24 identifies a class to be processed.
  • the class to be processed is a class such as data used in the object.
  • the class to be processed can be specified by extracting the class having the importance in the attribute.
  • the classes to be processed are the classes of ControlData, commData, DisplayData, and FileData.
  • step S13 The processing from step S13 to step S15 is executed on each class specified in step S12.
  • Step S13 keyword acquisition process
  • the threat identification unit 24 acquires, from the design information 41, the location identifier and the type of the target class as a keyword. For example, in the case where the target class is the FileData class shown in FIG. 10, the location identifier “1” and the type “1” are acquired as keywords.
  • Step S14 threat search process
  • the threat identification unit 24 searches the threat database 31 according to the keyword acquired in step S13, and identifies the threat corresponding to the keyword.
  • the threat database 31 is a tree-type database, and in each node, a threat name, threat characteristics, an identifier, a type, and vulnerability information are set. It is done.
  • the threat information set in the node is more specific as the node is closer to a leaf.
  • the threat database 31 is a general one such as an attack tree and a goal model, and it is desirable to adopt one with a high degree of coverage of the threat.
  • the threat identifying unit 24 follows the route from the root to the leaf, where the location identifier included in the keyword matches the identifier of the node and the node included in the keyword matches the type of the node.
  • the threat identification unit 24 acquires the threat name and the vulnerability information set for the reached node. For example, in the case where the target class is the FileData class shown in FIG. 10, the place identifier “1” and the type “1” are keywords. Therefore, falsification, exposure, and deletion of data inside the device are acquired as threat names, and CWE-312 is acquired as vulnerability information.
  • Step S15 threat value calculation processing
  • Step S16 Result output process
  • the threat identification unit 24 summarizes the result obtained by executing the threat identification process as a threat identification result 44 and outputs the result to the countermeasure identification unit 25.
  • a threat with respect to the classes of ControlData, commData, DisplayData, and FileData is identified.
  • the threat of DisplayData is omitted.
  • threat 1 is identified for the FileData class
  • threat 2 is identified for the commData class
  • threat 3 is identified for the ControlData class.
  • the threat name and the vulnerability information acquired in step S14 are set as the threat name and the vulnerability information in the threat identified for each class.
  • the identifier, the type, and the owner are set with the place identifier, the type, and the owner of the target class.
  • the threat value calculated in step S15 is set as the threat value.
  • Step S21 Reception process
  • the countermeasure identification unit 25 receives an input of the threat identification result 44.
  • Step S22 threat determination processing
  • the countermeasure identification unit 25 identifies a threat to be processed.
  • the threats to be processed are all threats included in the threat identification result 44. In the case of the threat identification result 44 shown in FIG. 14, the threats to be processed are threat 1, threat 2 and threat 3.
  • steps S23 and S24 are performed on each of the threats identified in step S22.
  • Step S23 keyword acquisition process
  • the countermeasure identification unit 25 acquires, from the threat identification result 44, a threat name, an identifier, a type, and a threat value for the targeted threat as a keyword. For example, when the target threat is threat 1 shown in FIG. 14, the threat name “falsification, exposure, and deletion of data inside the device”, identifier “1”, type “1”, threat value “2” Is obtained.
  • Step S24 Countermeasure Search Process
  • the countermeasure identification unit 25 searches the countermeasure database 32 according to the keyword acquired in step S23, and identifies the countermeasure corresponding to the keyword.
  • the countermeasure database 32 is a tabular database having a countermeasure and a countermeasure ID for each threat name and target. For the target, one of an identifier, a type, and a threat value is set.
  • the countermeasure database 32 is a tabular database in FIG. 16, it may be a tree database such as an attack defense tree.
  • the countermeasure identification unit 25 searches the countermeasure database 32 by a set of the threat name included in the keyword and the identifier or the type or the threat value.
  • the countermeasure identification unit 25 matches the threat name included in the keyword with the threat name of the record in the countermeasure database 32, and includes the identifier or type or threat value included in the keyword and the identifier or type of the record in the countermeasure database 32. Or identify a record that matches the threat value.
  • the countermeasure identification unit 25 acquires the countermeasure and the countermeasure ID set in the identified record. For example, if the target threat is threat 2 in FIG. 14, the threat name is eavesdropping / falsification on the communication path, the record whose identifier is 10, and the threat name is eavesdropping / falsification on the communication path, And, a record of type 1 is identified.
  • a countermeasure to carry out a peening test at the transmission destination and a countermeasure ID “15-42” and a countermeasure to encrypt data at the transmission source and to decrypt data at the transmission destination, and countermeasure The ID "16-46" is obtained.
  • the target threat is the threats 1 and 3 in FIG. 14, the corresponding countermeasure is not identified.
  • Step S25 Result output process
  • the countermeasure identification unit 25 collects the result obtained by executing the countermeasure identification process as the countermeasure identification result 45 and outputs the result to the coupling unit 23. As shown in FIG. 17, as a result of executing the countermeasure identification process, the countermeasure for threat 2 is identified. On the other hand, no measures have been identified for threats 1 and 3.
  • Step S31 Reception process
  • the standard introduction unit 22 receives an input of the design information 41 and the standard information 42.
  • functional security requirements for EDSA authentication and level 1 are specified in the standard information 42.
  • Step S32 keyword acquisition process
  • the standard introduction unit 22 acquires a standard and a level from the standard information 42 as a keyword.
  • functional security requirements of EDSA authentication and level 1 are obtained as keywords.
  • Step S33 Countermeasure Search Process
  • the standard introduction unit 22 searches the standard database 33 according to the keyword acquired in step S32, and specifies a measure corresponding to the keyword.
  • the standard database 33 is prepared for each standard, and has a request, a level, an ID, a countermeasure ID, and a new component for each countermeasure name and object. It is a tabular database.
  • the countermeasure name is the name given to the countermeasure.
  • the target is information used to narrow down the components that require measures, and stores three levels of information (i) to (iii).
  • the object has three stages, but is not limited thereto.
  • the request contains the contents of the countermeasure.
  • the level indicates the level of the required standard.
  • the countermeasure ID is assigned with the same granularity as that of the countermeasure database 32, and the same countermeasure ID is assigned to the same countermeasure.
  • the new component indicates that a new component needs to be added if the corresponding component does not exist in the object.
  • the standard introduction unit 22 narrows down the target records by the standard and the level included in the keyword. Here, the standard introduction unit 22 narrows down the records by the functional security requirement of EDSA authentication and level 1. Then, a record whose standard name is the nonuse of plaintext in data transmission is specified. The standard introduction unit 22 acquires the information of the identified record.
  • Step S34 Target identification process
  • the standard introduction unit 22 specifies a component to be a target of the record specified in step S33. Specifically, the standard introduction unit 22 specifies, from the components indicated by the design information 41, a component that matches the content set as the target of the record. Here, the standard introduction unit 22 specifies data whose location identifier is 10. Then, commData shown in FIG. 10 is identified. Furthermore, the standard introduction unit 22 identifies a component that is a sender of commData and whose identifier is 1 or 2 or 3 and a component that is a recipient of commData and whose identifier is 1 or 2 or 3. Then, the sensor 1 and the display 1 shown in FIG. 10 are identified.
  • Step S35 Result output process
  • the standard introduction unit 22 collects the result obtained by executing the standard introduction process as a standard introduction result 46 and outputs the result to the combination unit 23.
  • a measure to encode (Encode) in the sensor 1 is specified, and a measure to encode (Decode) in the display 1 is specified.
  • Step S41 Reception process
  • the coupling unit 23 receives an input of the countermeasure identification result 45 generated in the countermeasure identification process and the standard introduction result 46 generated in the standard introduction process.
  • Step S42 measure combination processing
  • the coupling unit 23 couples the countermeasure identification result 45 accepted in step S41 and the standard introduction result 46 to generate a secure design drawing 43.
  • the secure design drawing 43 is generated by simply combining the countermeasure identification result 45 shown in FIG. 17 and the standard introduction result 46 shown in FIG. 20 into one.
  • the countermeasure identification result 45 data, threats, countermeasures, and devices are associated.
  • the standard introduction result 46 devices and standard requirements are associated.
  • Step S43 Information Organizing Process
  • the combining unit 23 deletes unnecessary information from the integration result generated in step S42, and organizes the secure design diagram 43. Specifically, the combining unit 23 associates only the data, the threat, and the countermeasure, and handles information that is not applied to the countermeasure as unnecessary information. Further, the combining unit 23 also handles information not associated with only data as unnecessary information. The combining unit 23 deletes such unnecessary information from the secure design diagram 43 shown in FIG. 22 and arranges the information as shown in FIG. As shown in FIG. 23, the display 1 is required to be coded (Decode) as a standard requirement.
  • Decode coded
  • the display 1 is associated with the threat 2 of eavesdropping and falsification on the communication path, and decoding of data as a countermeasure for the threat 2 has been proposed.
  • the sensor 1 is required to encode as a standard requirement.
  • the sensor 1 is associated with the threat 2 of eavesdropping and falsification on the communication path, and as measures for the threat 2, it is proposed to encrypt data and to conduct a penetration test.
  • the countermeasure ID is configured as XX-YY.
  • XX represents a major classification
  • YY represents a minor classification. Therefore, it means that measures with the same XX are measures of the same broad classification. In other words, it means that the same countermeasure as XX is a similar countermeasure.
  • the major classification is the contents such as access control, configuration management, protection by physical environment, protection of system and communication, and procurement requirement of system and service.
  • the minor classification when the major classification is protection of the system and communication, the contents include establishment and management of encryption key and isolation of security function. For example, as shown in FIG. 23, it can be seen that, for the indicator 1, the measures raised in the standard requirement and the measures for the threat 2 both have the same major classification of the measure ID 16.
  • the countermeasure planning support apparatus 10 analyzes the threat based on the design information to identify the security countermeasure, identifies the security countermeasure based on the standard concerning the security, and combines these. This makes it possible to support the formulation of measures that can prevent threats that may occur in the system while meeting security standards without making the process complicated. In other words, the requirements regarding security that are difficult to meet are clarified by performing threat analysis, and the standards that are not difficult to respond in threat analysis are clarified based on the standard on security. This makes it possible to compensate for each other's shortcomings and to consider clear standards as security and measures that correspond to many scopes.
  • the place identifier and the type acquired as keywords in step S13 are the type of component and the classification of data. Therefore, it is information that can be easily input even if you are not a security expert.
  • the importance and boundary information used in the calculation of the threat value are information indicating the release level of data and information indicating the installation position of the component. Therefore, it is information that can be easily input even if you are not a security expert.
  • a threat analysis is performed based on the location identifier, the type, the degree of importance, and the boundary information, and the countermeasure is identified. Therefore, it is possible to easily identify measures without being a security expert.
  • each functional component is realized by software.
  • each functional component may be realized by hardware. The differences between this first modification and the first embodiment will be described.
  • the countermeasure development support apparatus 10 includes an electronic circuit 15 instead of the processor 11, the memory 12, and the storage 13.
  • the electronic circuit 15 is a dedicated circuit that implements the functions of the functional components, the memory 12 and the storage 13.
  • the electronic circuit 15 may be a single circuit, a complex circuit, a programmed processor, a parallel programmed processor, a logic IC, a gate array (GA), an application specific integrated circuit (ASIC), or a field-programmable gate array (FPGA). is assumed. Each functional component may be realized by one electronic circuit 15, or each functional component may be distributed to a plurality of electronic circuits 15.
  • ⁇ Modification 2> As a second modification, some of the functional components may be realized by hardware, and the other functional components may be realized by software.
  • the processor 11, the memory 12, the storage 13, and the electronic circuit 15 are referred to as processing circuits. That is, the function of each functional component is realized by the processing circuit.
  • the second embodiment differs from the first embodiment in that measures are specified hierarchically. In the second embodiment, this difference will be described, and the description of the same point will be omitted.
  • the countermeasure planning support device 10 differs from the countermeasure planning support device 10 shown in FIG. 1 in that the storage 13 implements the countermeasure candidate database 34.
  • the countermeasure candidate database 34 is a database generated by combining the countermeasure database 32 and the standard database 33.
  • step S51 to step S53 is executed on each countermeasure ID stored in the standard database 33.
  • Step S51 Element Determination Process
  • the coupling unit 23 identifies the record of the countermeasure database 32 having the same countermeasure ID as the target countermeasure ID.
  • the linking unit 23 advances the process to step S52.
  • the combining unit 23 proceeds the process to step S53.
  • Step S52 first writing process
  • the combining unit 23 writes the content of the record of the standard database 33 having the target countermeasure ID and the content of the record of the countermeasure database 32 identified in step S51 in the countermeasure candidate database 34. Specifically, the combining unit 23 writes the target countermeasure ID in the item of the countermeasure ID of the countermeasure candidate database 34.
  • the combination unit 23 sets the content of the item of the request of the record of the standard database 33 having the target countermeasure ID to the item of the request + countermeasure of the countermeasure candidate database 34 and the content of the item of the countermeasure of the specified countermeasure database 32 And write.
  • the combining unit 23 writes the content of the item of the ID of the record of the standard database 33 having the target countermeasure ID in the item of the ID of the threat specifying unit 24.
  • Step S53 second writing process
  • the combining unit 23 writes the content of the record of the standard database 33 having the target countermeasure ID in the countermeasure candidate database 34. Specifically, the combining unit 23 writes the target countermeasure ID in the item of the countermeasure ID of the countermeasure candidate database 34.
  • the combination unit 23 writes the contents of the request item of the record of the standard database 33 having the target countermeasure ID in the request + measure item of the countermeasure candidate database 34.
  • the combining unit 23 writes the content of the item of the ID of the record of the standard database 33 having the target countermeasure ID in the item of the ID of the threat specifying unit 24.
  • a specific generation example of the countermeasure candidate database 34 will be described with reference to FIG. If a record having the same countermeasure ID as the countermeasure ID “16-46” in the standard database 33 shown in FIG. 19 is searched from the countermeasure database 32 shown in FIG. 16, the record is identified. Therefore, not only the standard database 33 but also the contents of the countermeasure ID “16-46” in the countermeasure database 32 are written in the countermeasure candidate database 34 for the countermeasure ID “16-46”. Specifically, the content of the request in the standard database 33 and the content of the countermeasure in the countermeasure database 32 are written in the item of request + countermeasure in the countermeasure candidate database 34. Further, when a record having the same countermeasure ID as the countermeasure ID "16-45” in the standard database 33 shown in FIG. 19 is searched from the countermeasure database 32 shown in FIG. 16, the record is not identified. Therefore, regarding the countermeasure ID “16-45”, the content of the countermeasure ID “16-45” in the standard database 33 is written in the countermeasure candidate database 34.
  • step S61 to step S63 are the same as the processes of step S41 to step S43 of FIG.
  • the coupling unit 23 refers to the countermeasure candidate database 34 to identify the upper countermeasure and the lower countermeasure with respect to the countermeasure of the secure design diagram 43 organized in step S63. When at least one of the upper countermeasure and the lower countermeasure is identified, the coupling unit 23 adds the identified countermeasure to the secure design diagram 43. Specifically, the coupling unit 23 searches each countermeasure candidate database 34 for each countermeasure included in the secure design diagram 43 based on the ID of the target countermeasure, and determines the upper countermeasure and the lower countermeasure of the target countermeasure. Identify the measures.
  • the ID has a hierarchical structure.
  • the coupling unit 23 searches the countermeasure candidate database 34 based on the countermeasure ID of the countermeasure and the content of the countermeasure, and identifies the ID of the countermeasure. Then, the combining unit 23 identifies the upper countermeasure and the lower countermeasure with the identified ID as a keyword. Then, the combining unit 23 adds the identified upper countermeasure to the upper rank of the target countermeasure, and appends the identified lower countermeasure to the lower rank of the target countermeasure.
  • the combining unit 23 identifies a higher-order measure when a higher-order measure is identified, and identifies a lower-order measure when a lower-order measure is identified.
  • the superior of the countermeasure 2-1 (1) and the countermeasure 2-1 (2) Only the measures of are added.
  • the countermeasure creation support apparatus 10 identifies higher-order measures and lower-order measures to clarify hierarchical measures.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Storage Device Security (AREA)
  • Stored Programmes (AREA)

Abstract

脅威分析部（２１）は、対象物の設計情報（４１）に基づき、対象物で発生し得る脅威を特定し、特定された脅威を防止するための対策を第１対策として特定する。規格導入部（２２）は、対象物に対して適用されるセキュリティに関する規格を示す規格情報（４２）と、設計情報（４１）とに基づき、規格情報（４２）が示す規格を満たすための対策を第２対策として特定する。結合部（２３）は、第１対策と第２対策とを結合してセキュア設計図（４３）を生成する。

Description

対策立案支援装置、対策立案支援方法及び対策立案支援プログラム
　この発明は、機器及びシステムといった対象物のセキュリティ対策の立案を支援する技術に関する。
　システムのセキュリティ対策を立案する場合には、セキュリティに関する規格の専門家とセキュリティの専門家とが、セキュリティに関する規格を満たしつつ、システムで発生し得る脅威を防止できる対策を検討する。しかし、この検討には、高い技術力が必要であり、工数もかかっていた。
　特許文献１には、システムのセキュリティ対策の立案を支援する技術が記載されている。特許文献１では、特別なフォーマットを用いてコンポーネントの数等を入力させ、システムで発生し得る脅威の分析を行うことにより、システムのセキュリティ対策の立案を支援している。
特開２０１７－１０７４０５号公報
　特許文献１に記載された技術は、セキュリティの専門家の作業を支援する技術である。そのため、特許文献１に記載された技術では、セキュリティに関する規格については何ら考慮されていない。仮に、特許文献１に記載された技術において、セキュリティに関する規格も考慮し、規格が要求する要件を満たしつつ、システムで発生し得る脅威を防止できる対策を特定しようとすると、煩雑な処理になる。
　この発明は、セキュリティに関する規格を満たしつつ、システムで発生し得る脅威を防止できる対策の立案を支援することを目的とする。
　この発明に係る対策立案支援装置は、
　対象物の設計情報に基づき、前記対象物で発生し得る脅威を特定し、特定された前記脅威を防止するための対策を第１対策として特定する脅威分析部と、
　前記対象物に対して適用されるセキュリティに関する規格を示す規格情報と、前記設計情報とに基づき、前記規格情報が示す前記規格を満たすための対策を第２対策として特定する規格導入部と、
　前記脅威分析部によって特定された前記第１対策と、前記規格導入部によって特定された前記第２対策とを結合して対策データを生成する結合部と
を備える。
　この発明では、設計情報に基づき脅威分析を行いセキュリティ対策を特定するとともに、セキュリティに関する規格に基づくセキュリティ対策を特定し、これらを組み合わせる。これにより、処理を煩雑にすることなく、セキュリティに関する規格を満たしつつ、システムで発生し得る脅威を防止できる対策の立案を支援することが可能である。
実施の形態１に係る対策立案支援装置１０の構成図。 実施の形態１に係る設計情報４１の構成図。 実施の形態１に係る対象物のユースケース図。 実施の形態１に係る対象物の配置図。 実施の形態１に係る表示器のクラス図。 実施の形態１に係るセンサのクラス図。 実施の形態１に係るｅｔｈｅｒと呼ばれる線のクラス図。 実施の形態１に係る対象物のシーケンス図。 実施の形態１に係るＤａｔａのクラス図。 実施の形態１に係る対象物全体を定義したクラス図。 実施の形態１に係る対策立案支援装置１０の全体的な処理のフローチャート。 実施の形態１に係る脅威特定処理のフローチャート。 実施の形態１に係る脅威データベース３１の説明図。 実施の形態１に係る脅威特定結果４４の説明図。 実施の形態１に係る対策特定処理のフローチャート。 実施の形態１に係る対策データベース３２の説明図。 実施の形態１に係る対策特定結果４５の説明図。 実施の形態１に係る規格導入処理のフローチャート。 実施の形態１に係る規格データベース３３の説明図。 実施の形態１に係る規格導入結果４６の説明図。 実施の形態１に係る結合処理のフローチャート。 実施の形態１に係るセキュア設計図４３の説明図。 実施の形態１に係るセキュア設計図４３の説明図。 変形例１に係る対策立案支援装置１０の構成図。 実施の形態２に係る対策立案支援装置１０の構成図。 実施の形態２に係る対策候補データベース３４の生成処理のフローチャート。 実施の形態２に係る対策候補データベース３４の説明図。 実施の形態２に係る結合処理のフローチャート。 実施の形態２に係るセキュア設計図４３の説明図。
　実施の形態１．
　＊＊＊構成の説明＊＊＊
　図１を参照して、実施の形態１に係る対策立案支援装置１０の構成を説明する。
　対策立案支援装置１０は、コンピュータである。対策立案支援装置１０は、設計情報４１と、規格情報４２とを入力として、セキュア設計図４３を生成する。
　対策立案支援装置１０は、プロセッサ１１と、メモリ１２と、ストレージ１３と、通信インタフェース１４とのハードウェアを備える。プロセッサ１１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。
　プロセッサ１１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）である。プロセッサ１１は、具体例としては、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ　Ｓｉｇｎａｌ　Ｐｒｏｃｅｓｓｏｒ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）である。
　メモリ１２は、データを一時的に記憶する記憶装置である。メモリ１２は、具体例としては、ＳＲＡＭ（Ｓｔａｔｉｃ　Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）、ＤＲＡＭ（Ｄｙｎａｍｉｃ　Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）である。
　ストレージ１３は、データを保管する記憶装置である。ストレージ１３は、具体例としては、ＨＤＤ（Ｈａｒｄ　Ｄｉｓｋ　Ｄｒｉｖｅ）である。また、ストレージ１３は、ＳＤ（登録商標，Ｓｅｃｕｒｅ　Ｄｉｇｉｔａｌ）メモリカード、ＣＦ（ＣｏｍｐａｃｔＦｌａｓｈ，登録商標）、ＮＡＮＤフラッシュ、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ（Ｄｉｇｉｔａｌ　Ｖｅｒｓａｔｉｌｅ　Ｄｉｓｋ）といった可搬記録媒体であってもよい。
　通信インタフェース１４は、外部の装置と通信するためのインタフェースである。通信インタフェース１４は、具体例としては、Ｅｔｈｅｒｎｅｔ（登録商標）、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ　Ｓｅｒｉａｌ　Ｂｕｓ）、ＨＤＭＩ（登録商標，Ｈｉｇｈ－Ｄｅｆｉｎｉｔｉｏｎ　Ｍｕｌｔｉｍｅｄｉａ　Ｉｎｔｅｒｆａｃｅ）のポートである。
　対策立案支援装置１０は、機能構成要素として、脅威分析部２１と、規格導入部２２と、結合部２３とを備える。脅威分析部２１は、脅威特定部２４と、対策特定部２５とを備える。対策立案支援装置１０の各機能構成要素の機能はソフトウェアにより実現される。
　ストレージ１３には、対策立案支援装置１０の各機能構成要素の機能を実現するプログラムが格納されている。このプログラムは、プロセッサ１１によりメモリ１２に読み込まれ、プロセッサ１１によって実行される。これにより、対策立案支援装置１０の各機能構成要素の機能が実現される。
　ストレージ１３は、脅威データベース３１と、対策データベース３２と、規格データベース３３との機能を実現する。
　図１では、プロセッサ１１は、１つだけ示されていた。しかし、プロセッサ１１は、複数であってもよく、複数のプロセッサ１１が、各機能を実現するプログラムを連携して実行してもよい。
　設計情報４１は、機器及びシステムといった対象物の構成及び動作を示す情報である。ここでは、設計情報４１は、ＵＭＬ（Ｕｎｉｆｉｅｄ　Ｍｏｄｅｌｉｎｇ　Ｌａｎｇｕａｇｅ）及びＳｙｓＭＬ（Ｓｙｓｔｅｍｓ　Ｍｏｄｅｌｉｎｇ　Ｌａｎｇｕａｇｅ）といった標準化されたフォーマットに則った形式で記述された情報である。
　具体的には、設計情報４１は、（１）ハードウェア及びソフトウェアの構成情報が記載された配置図又はブロック図と、（２）（１）の図が示すコンポーネントが内部で有する機能及び情報が記載されたクラス図又はブロック図と、（３）（１）及び（２）の図が示すコンポーネント及び機能のやり取り及び手順が記載されたシーケンス図とである。
　図２に示すように、設計情報４１は、テンプレート化されている。図２では、設計情報４１は、コンポーネントクラス図５１と、情報クラス図５２とを含む。
　コンポーネントクラス図５１は、ハードウェア及びソフトウェアを示す。コンポーネントクラス図５１は、以下の（Ａ１）（Ａ２）の２つの情報を定義する。（Ａ１：境界情報）境界情報は、ネットワークにおける位置を示す。境界情報は、例えば、Ｗｅｂ等の外部接続と同等の位置にコンポーネントが設置されるのか、社内等の内部にコンポーネントが設置されるのかを示す。（Ａ２：コンポーネント識別情報）コンポーネント識別情報は、コンポーネントの種別を示す。コンポーネント識別情報は、例えば、コンポーネントが機器であるか、ソフトウェアであるか、接続線であるかを示す。
　データクラス図５２は、コンポーネントが管理又は通信するデータを示す。データクラス図５２は、データについて以下の（Ｂ１）～（Ｂ６）の６つの情報を定義する。（Ｂ１：重要度）重要度は、公開してもよいデータか、社外秘と秘といった公開してはいけないデータかといった分類である。（Ｂ２：場所識別子）場所識別子は、コンポーネント識別情報とリンクする情報であり、データが存在する構成要素を示す。（Ｂ３：タイプ）タイプは、一般データか、パスワードか、鍵かといったデータの分類を示す。（Ｂ４：オーナ）オーナは、データを有するコンポーネントの所有者を示す。（Ｂ５：送信元）送信元は、コンポーネント識別データが通信を示す場合に通信の送信元が設定される。（Ｂ６：送信先）送信先は、コンポーネント識別データが通信を示す場合に通信の送信先が設定される。
　規格情報４２は、対象物に適用される、規格の名称と、規格のレベルとを示す情報である。具体的には、規格情報４２は、ＩＥＣ６２４４３やＥＤＳＡ（Ｅｍｂｅｄｄｅｄ　Ｄｅｖｉｃｅ　Ｓｅｃｕｒｉｔｙ　Ａｓｓｕｒａｎｃｅ）認証といった規格名称と、規格名称が示す規格に関連付けされるセキュリティレベルを示す。
　セキュア設計図４３は、対象物に対して実施すべきセキュリティ対策を示す情報である。セキュア設計図４３は、対策とともに、対策に対応する脅威又は規格の要件を示してもよい。
　＊＊＊動作の説明＊＊＊
　図３から図２３を参照して、実施の形態１に係る対策立案支援装置１０の動作を説明する。
　実施の形態１に係る対策立案支援装置１０の動作は、実施の形態１に係る対策立案支援方法に相当する。また、実施の形態１に係る対策立案支援装置１０の動作は、実施の形態１に係る対策立案支援プログラムの処理に相当する。
　＜設計情報４１の例＞
　図３から図１０を参照して、以下の説明で用いる設計情報４１について説明する。
　図３に示すように、対象物は、アクターとして監視員が設定され、監視員がセンサの値を確認するユースケースを示す。ユースケース図は、対策立案支援装置１０の入力としては不要であるが、他の設計情報４１の理解を助けるために用いられる。
　図４に示すように、対象物のハードウェアコンポーネントは定義される。対象物は、ハードウェアコンポーネントとして、ｄｉｓｐｌａｙと定義された表示器と、ｓｅｎｓｏｒと定義されたセンサと、表示器とセンサとを接続するｅｔｈｅｒと呼ばれる線とを備える。ここで、ステレオタイプ＜＜＞＞で定義された情報は、定義又は名称でありｅｔｈｅｒｎｅｔなどの特殊な接続線を示す情報ではない。
　図５に示すように、表示器は定義される。表示器は、データと境界情報と識別子とを保管する領域を備える。表示器は、センサからデータを取得するための機能（ｇｅｔＤａｔａ）と、表示器に取得したデータを表示するための機能（ｒｕｎＤｉｓｐｌａｙ）とを備える。表示器は、ＨＭＩ（Ｈｕｍａｎ　Ｍａｃｈｉｎｅ　Ｉｎｔｅｒｆａｃｅ）のインタフェースと、Ｄｅｖｉｃｅのインタフェースとが実装されている。
　データは、取得されたセンサ値である。境界情報は、社内といった内部に設置される場合には０、外部に設置される場合には２、外部と内部とのどちらにも設置される場合には１が設定される。識別子は、種別を示し、機器の場合には１、通信機器の場合には２、携帯端末の場合には３が設定される。
　図６に示すように、センサは定義される。センサは、境界情報と識別子とを保管する領域を備える。センサは、データを別の機器へ送信する機能（ｐｕｔＶａｌｕｅ）を備える。センサは、Ｄｅｖｉｃｅのインタフェースが実装されている。
　境界情報は、社内といった内部に設置される場合には０、外部に設置される場合には２、外部と内部とのどちらにも設置される場合には１が設定される。識別子は、種別を示し、機器の場合には１、通信機器の場合には２、携帯端末の場合には３が設定される。
　図７に示すように、ｅｔｈｅｒと呼ばれる線は定義される。ｅｔｈｅｒと呼ばれる線は、境界情報と識別子とを保管する領域を備える。
　境界情報は、社内といった内部に設置される場合には０、外部に設置される場合には２、外部と内部とのどちらにも設置される場合には１が設定される。識別子は、種別を示し、通信路の場合には１０が設定される。
　図８に示すように、対象物は動作する。つまり、監視員は、ＣｏｎｔｒｏｌＤａｔａを入力して、表示器のｒｕｎＤｉｓｐｌａｙ機能を呼び出す。表示器は、ｒｕｎＤｉｓｐｌａｙ機能が呼び出されると、ｇｅｔＤａｔａ機能を実行する。すると、センサのｐｕｔＶａｌｕｅ機能が呼び出され、ｃｏｍｍＤａｔａが応答としてセンサから返される。表示器は、ｃｏｍｍＤａｔａをＤｉｓｐｌａｙＤａｔａとして表示する。表示されたＤｉｓｐｌａｙＤａｔａは、ＦｉｌｅＤａｔａとして監視員に取得される。
　図９に示すように、図８に示すシーケンス図で登場した各データは、重要度と場所識別子とタイプとオーナとの情報を保管する領域を備える。各データは、これらの情報を取得する機能と設定する機能とを備える。各データとは、図８に示すＣｏｎｔｒｏｌＤａｔａと、ｃｏｍｍＤａｔａと、ＤｉｓｐｌａｙＤａｔａと、ＦｉｌｅＤａｔａとである。
　重要度は公開の場合には０、社外秘の場合には１、秘の場合には２、極秘の場合には３が設定される。場所識別子は、他のクラス図の識別子とリンクしており、データが存在するコンポーネントを示す。また、場所識別子は、物理情報として１００といった表現を扱うこともできる。タイプは、一般データの場合には１、パスワードの場合には２、鍵の場合には３、証明書の場合には４が設定される。オーナは、データを保有しているコンポーネント名が設定される。
　図１０に示すように、対象物全体は定義される。図１０に示す情報が、設計情報４１の一例である。図１０に示す情報は、図３から図９に示す情報を用いて具体化されている。そのため、対象物の設計者は、図１０に示す情報を直接生成してもよい。
　なお、図３から図９で説明した値は、一例であり、適宜変更可能である。但し、境界情報に関しては、外部のようにリスク発生の可能性が高くなるほど、大きい値が設定されるものとする。
　＜対策立案支援装置１０の全体的な処理＞
　図１１を参照して、実施の形態１に係る対策立案支援装置１０の全体的な処理を説明する。
　（ステップＳ１：脅威特定処理）
　脅威特定部２４は、対象物の設計情報４１に基づき、対象物で発生し得る脅威を特定する。
　具体的には、脅威特定部２４は、場所識別子とタイプとの組合せに応じた脅威を示す脅威データベース３１を参照する。そして、脅威特定部２４は、対象物で用いられるデータについて設計情報４１が示す場所識別子と、データについて設計情報４１が示すタイプとの組合せに対応する脅威を特定する。脅威特定部２４は、特定された脅威をメモリ１２に書き込む。
　（ステップＳ２：対策特定処理）
　対策特定部２５は、ステップＳ１で特定された脅威を防止するための対策を第１対策として特定する。
　具体的には、対策特定部２５は、脅威と、場所識別子又はタイプとの組合せに応じた対策を示す対策データベースを参照する。そして、対策特定部２５は、データについて設計情報４１が示す場所識別子、又は、データについて設計情報４１が示すタイプと、データについてステップＳ１で特定された脅威との組合せに対応する対策を第１対策として特定する。対策特定部２５は、特定された第１対策をメモリ１２に書き込む。
　（ステップＳ３：規格導入処理）
　規格導入部２２は、対象物に対して適用されるセキュリティに関する規格を示す規格情報４２と、設計情報４１とに基づき、規格情報４２が示す規格を満たすための対策を第２対策として特定する。
　具体的には、規格導入部２２は、規格のレベルと、場所識別子との組合せに応じた対策を示す規格データベースを参照して、対象物に対して導入する規格のレベルと、対象物の構成物の場所識別子とに対応する対策を第２対策として特定する。
　（ステップＳ４：結合処理）
　結合部２３は、ステップＳ２で特定された第１対策と、ステップＳ３で特定された第２対策とを結合して対策データであるセキュア設計図４３を生成する。
　＜脅威特定処理＞
　図１２から図１４を参照して、実施の形態１に係る脅威特定処理を説明する。
　（ステップＳ１１：受付処理）
　脅威特定部２４は、設計情報４１の入力を受け付ける。
　（ステップＳ１２：対象判定処理）
　脅威特定部２４は、処理対象のクラスを特定する。処理対象のクラスは、対象物で用いられるデータ等のクラスである。属性に重要度を有するクラスを抽出することにより、処理対象のクラスを特定することができる。図３から図１０で説明した例では、処理対象のクラスは、ＣｏｎｔｒｏｌＤａｔａと、ｃｏｍｍＤａｔａと、ＤｉｓｐｌａｙＤａｔａと、ＦｉｌｅＤａｔａとのクラスである。
　ステップＳ１２で特定された各クラスを対象として、ステップＳ１３からステップＳ１５の処理が実行される。
　（ステップＳ１３：キーワード取得処理）
　脅威特定部２４は、設計情報４１から、対象とするクラスの場所識別子及びタイプをキーワードとして取得する。
　例えば、対象とするクラスが図１０に示すＦｉｌｅＤａｔａのクラスの場合には、場所識別子“１”及びタイプ“１”がキーワードとして取得される。
　（ステップＳ１４：脅威検索処理）
　脅威特定部２４は、ステップＳ１３で取得されたキーワードにより、脅威データベース３１を検索して、キーワードに対応する脅威を特定する。
　具体的には、図１３に示すように、脅威データベース３１は、ツリー型のデータベースであり、各ノードには、脅威名称と、脅威の特性と、識別子と、タイプと、脆弱性情報とが設定されている。ノードに設定された脅威情報は、ノードが葉に近いほど具体的な内容になっている。脅威データベース３１は、アタックツリー及びゴールモデルといった一般的なものであり、かつ、脅威の網羅度が高いものを採用することが望ましい。脅威特定部２４は、キーワードに含まれる場所識別子とノードの識別子が一致し、かつ、キーワードに含まれるタイプとノードのタイプが一致するノードを根から葉に向かって辿れるだけ辿る。脅威特定部２４は、到達したノードに設定された脅威名称及び脆弱性情報を取得する。
　例えば、対象とするクラスが図１０に示すＦｉｌｅＤａｔａのクラスの場合には、場所識別子“１”及びタイプ“１”がキーワードである。そのため、脅威名称として、装置内部のデータの改ざん・暴露・消去が取得され、脆弱性情報として、ＣＷＥ－３１２が取得される。
　（ステップＳ１５：脅威値計算処理）
　脅威特定部２４は、対象とするクラスの重要度と、対象とするクラスのオーナの境界情報とから、脅威値を計算する。具体的には、脅威特定部２４は、対象とするクラスの重要度に、対象とするクラスのオーナの境界情報を乗じて、脅威値を計算する。
　例えば、対象とするクラスが図１０に示すＦｉｌｅＤａｔａのクラスの場合には、ＦｉｌｅＤａｔａのクラスの重要度は２である。また、ＦｉｌｅＤａｔａのクラスのオーナは表示器１であり、表示器１の境界情報は１である。したがって、脅威値は２（＝２×１）である。
　（ステップＳ１６：結果出力処理）
　脅威特定部２４は、脅威特定処理を実行して得られた結果を脅威特定結果４４としてまとめ、対策特定部２５に出力する。
　図１４に示すように、脅威特定処理を実行した結果、ＣｏｎｔｒｏｌＤａｔａと、ｃｏｍｍＤａｔａと、ＤｉｓｐｌａｙＤａｔａと、ＦｉｌｅＤａｔａとのクラスについての脅威が特定される。なお、図１４では、ＤｉｓｐｌａｙＤａｔａについての脅威は省略されている。ここでは、ＦｉｌｅＤａｔａのクラスについては脅威１が特定され、ｃｏｍｍＤａｔａのクラスについては脅威２が特定され、ＣｏｎｔｒｏｌＤａｔａのクラスについては脅威３が特定されている。
　図１４では、各クラスについて特定された脅威における脅威名称及び脆弱性情報には、ステップＳ１４で取得された脅威名称及び脆弱性情報が設定されている。識別子とタイプとオーナとには、対象のクラスについての場所識別子とタイプとオーナとが設定されている。脅威値には、ステップＳ１５で計算された脅威値が設定されている。
　＜対策特定処理＞
　図１５から図１７を参照して、実施の形態１に係る対策特定処理を説明する。
　（ステップＳ２１：受付処理）
　対策特定部２５は、脅威特定結果４４の入力を受け付ける。
　（ステップＳ２２：脅威判定処理）
　対策特定部２５は、処理対象の脅威を特定する。処理対象の脅威は、脅威特定結果４４に含まれる全ての脅威である。図１４に示す脅威特定結果４４の場合には、処理対象の脅威は、脅威１と脅威２と脅威３とである。
　ステップＳ２２で特定された各脅威を対象として、ステップＳ２３及びステップＳ２４の処理が実行される。
　（ステップＳ２３：キーワード取得処理）
　対策特定部２５は、脅威特定結果４４から、対象とする脅威についての脅威名称と、識別子と、タイプと、脅威値とをキーワードとして取得する。
　例えば、対象とする脅威が図１４に示す脅威１の場合には、脅威名称“装置内部のデータの改ざん・暴露・消去”と、識別子“１”と、タイプ“１”と、脅威値“２”とが取得される。
　（ステップＳ２４：対策検索処理）
　対策特定部２５は、ステップＳ２３で取得されたキーワードにより、対策データベース３２を検索して、キーワードに対応する対策を特定する。
　具体的には、図１６に示すように、対策データベース３２は、脅威名称及び対象毎に、対策と、対策ＩＤとを有する表形式のデータベースである。対象には、識別子とタイプと脅威値とのいずれかが設定されている。なお、図１６では、対策データベース３２は、表形式のデータベースであるが、アタックディフェンスツリーといったツリー型のデータベースであってもよい。対策特定部２５は、キーワードに含まれる脅威名称と、識別子又はタイプ又は脅威値との組により、対策データベース３２を検索する。つまり、対策特定部２５は、キーワードに含まれる脅威名称と、対策データベース３２のレコードの脅威名称が一致し、かつ、キーワードに含まれる識別子又はタイプ又は脅威値と対策データベース３２のレコードの識別子又はタイプ又は脅威値とが一致するレコードを特定する。対策特定部２５は、特定されたレコードに設定された対策及び対策ＩＤを取得する。
　例えば、対象とする脅威が図１４の脅威２の場合には、脅威名称が通信路上の盗聴・改ざんであり、かつ、識別子が１０のレコードと、脅威名称が通信路上の盗聴・改ざんであり、かつ、タイプが１のレコードとが特定される。その結果、送信先でぺ根とレーション試験を実施するという対策、及び、対策ＩＤ“１５－４２”と、送信元でデータを暗号化する、送信先でデータを復号するという対策、及び、対策ＩＤ“１６－４６”とが取得される。なお、対象とする脅威が図１４の脅威１，３の場合には、対応する対策が特定されない。
　（ステップＳ２５：結果出力処理）
　対策特定部２５は、対策特定処理を実行して得られた結果を対策特定結果４５としてまとめ、結合部２３に出力する。
　図１７に示すように、対策特定処理を実行した結果、脅威２については対策が特定されている。一方、脅威１，３については対策が特定されていない。
　＜規格導入処理＞
　図１８から図２０を参照して、実施の形態１に係る規格導入処理を説明する。
　（ステップＳ３１：受付処理）
　規格導入部２２は、設計情報４１と規格情報４２との入力を受け付ける。
　ここでは、規格情報４２には、ＥＤＳＡ認証の機能的セキュリティ要件と、レベル１とが指定されているものとする。
　（ステップＳ３２：キーワード取得処理）
　規格導入部２２は、規格情報４２から規格及びレベルをキーワードとして取得する。ここでは、ＥＤＳＡ認証の機能的セキュリティ要件と、レベル１とがキーワードとして取得される。
　（ステップＳ３３：対策検索処理）
　規格導入部２２は、ステップＳ３２で取得されたキーワードにより、規格データベース３３を検索して、キーワードに対応する対策を特定する。
　具体的には、図１９に示すように、規格データベース３３は、規格毎に用意されており、対策名称及び対象毎に、要求と、レベルと、ＩＤと、対策ＩＤと、新規コンポーネントとを有する表形式のデータベースである。対策名称は、対策に付された名称である。対象は、対策が必要なコンポーネントを絞り込むために利用される情報であり、（ｉ）～（ｉｉｉ）の３段階の情報が格納される。ここでは、対象は３段階であるがこれに限定されるものではない。要求には、対策の内容が格納される。レベルは、要求される規格のレベルを示す。対策ＩＤは、対策データベース３２と同じ粒度で割り当てられ、同じ対策には同じ対策ＩＤが割り当てられる。新規コンポーネントは、対応するコンポーネントが対象物に存在しない場合には、新たにコンポーネントを追加する必要があることを示す。
　規格導入部２２は、キーワードに含まれる規格とレベルとで対象となるレコードを絞り込む。ここでは、規格導入部２２は、ＥＤＳＡ認証の機能的セキュリティ要件とレベル１とでレコードを絞り込む。すると、規格名称がデータ伝送における平文の不使用であるレコードが特定される。規格導入部２２は、特定されたレコードの情報を取得する。
　（ステップＳ３４：対象特定処理）
　規格導入部２２は、ステップＳ３３で特定されたレコードの対象となるコンポーネントを特定する。具体的には、規格導入部２２は、設計情報４１が示すコンポーネントから、レコードの対象に設定された内容に合致するコンポーネントを特定する。
　ここでは、規格導入部２２は、場所識別子が１０であるデータを特定する。すると、図１０に示すｃｏｍｍＤａｔａが特定される。さらに、規格導入部２２は、ｃｏｍｍＤａｔａの送信元であり、識別子が１又は２又は３であるコンポーネントと、ｃｏｍｍＤａｔａの送信先であり、識別子が１又は２又は３であるコンポーネントとを特定する。すると、図１０に示すセンサ１と表示器１とが特定される。
　（ステップＳ３５：結果出力処理）
　規格導入部２２は、規格導入処理を実行して得られた結果を規格導入結果４６としてまとめ、結合部２３に出力する。
　図２０に示すように、規格導入処理を実行した結果、センサ１に符号化（Ｅｎｃｏｄｅ）するという対策が特定され、表示器１に符号化（Ｄｅｃｏｄｅ）するという対策が特定される。
　＜結合処理＞
　図２１から図２３を参照して、実施の形態１に係る結合処理を説明する。
　（ステップＳ４１：受付処理）
　結合部２３は、対策特定処理で生成された対策特定結果４５と、規格導入処理で生成された規格導入結果４６との入力を受け付ける。
　（ステップＳ４２：対策結合処理）
　結合部２３は、ステップＳ４１で受け付けられた対策特定結果４５と規格導入結果４６とを結合してセキュア設計図４３を生成する。具体的には、図２２に示すように、図１７に示す対策特定結果４５と、図２０に示す規格導入結果４６とを単純に１つにまとめ、セキュア設計図４３を生成する。
　対策特定結果４５では、データと脅威と対策と機器とが関連付けられている。規格導入結果４６では、機器と規格要件とが関連付けられている。対策特定結果４５と規格導入結果４６とを結合することにより、機器を中心に、規格要件と、情報資産と、脅威と、対策とが関連付けられる。
　（ステップＳ４３：情報整理処理）
　結合部２３は、ステップＳ４２で生成された統合結果から、不要な情報を削除して、セキュア設計図４３を整理する。
　具体的には、結合部２３は、データと脅威と対策とのみが関連付けされており、対策を機器に適用することがない情報は、不要な情報として扱う。また、結合部２３は、データのみで関連付けられていない情報も、不要な情報として扱う。結合部２３は、図２２に示すセキュア設計図４３から、これらの不要な情報を削除して、図２３のように情報を整理する。
　図２３に示すように、表示器１は、規格要件として、符号化（Ｄｅｃｏｄｅ）することが要求されている。また、表示器１は、通信路上の盗聴・改ざんという脅威２が関連しており、この脅威２の対策としてデータを復号することが上げられている。センサ１は、規格要件として、符号化（Ｅｎｃｏｄｅ）することが要求されている。また、センサ１は、通信路上の盗聴・改ざんという脅威２が関連しており、この脅威２の対策として、データを暗号化すること、及び、ペネトレーション試験を実施することが上げられている。
　ここで、対策ＩＤは、ＸＸ－ＹＹという構成になっている。ＸＸは大分類を表し、ＹＹは小分類を表している。したがって、ＸＸが同じ対策は、同じ大分類の対策であることを意味する。つまり、ＸＸが同じ対策は、類似の対策であることを意味する。具体例としては、大分類は、アクセス制御と、構成管理と、物理環境による保護と、システム及び通信の保護と、システム及びサービスの調達要件といった内容である。また、小分類としては、大分類がシステム及び通信の保護である場合には、暗号鍵の確立及び管理と、セキュリティ機能の隔離といった内容である。
　例えば、図２３に示すように、表示器１について、規格要件で上げられている対策と、脅威２の対策とは、いずれも対策ＩＤの大分類が１６で共通していることが分かる。
　＊＊＊実施の形態１の効果＊＊＊
　以上のように、実施の形態１に係る対策立案支援装置１０は、設計情報に基づき脅威分析を行いセキュリティ対策を特定するとともに、セキュリティに関する規格に基づくセキュリティ対策を特定し、これらを組み合わせる。これにより、処理を煩雑にすることなく、セキュリティに関する規格を満たしつつ、システムで発生し得る脅威を防止できる対策の立案を支援することが可能である。
　つまり、セキュリティに関する規格では対応しづらい要件に対しては、脅威分析を行うことにより明確化し、脅威分析では対応しづらい明示の無い基準に対しては、セキュリティに関する規格に基づき明確化する。これにより、互いの欠点を補い、セキュリティとして明確な基準と多くの範囲に対応した対策を検討することが可能である。
　ここで、ステップＳ１３でキーワードとして取得された場所識別子とタイプとは、コンポーネントの種別と、データの分類とである。そのため、セキュリティの専門家でなくても容易に入力できる情報である。また、脅威値の計算に用いられる重要度と境界情報とは、データの公開レベルを示す情報と、コンポーネントの設置位置を示す情報とである。そのため、セキュリティの専門家でなくても容易に入力できる情報である。
　実施の形態１に係る対策立案支援装置１０では、場所識別子とタイプと重要度と境界情報とに基づき、脅威分析がされ、対策が特定される。そのため、セキュリティの専門家でなくても容易に対策を特定することが可能である。
　＊＊＊他の構成＊＊＊
　＜変形例１＞
　実施の形態１では、各機能構成要素がソフトウェアで実現された。しかし、変形例１として、各機能構成要素はハードウェアで実現されてもよい。この変形例１について、実施の形態１と異なる点を説明する。
　図２４を参照して、変形例１に係る対策立案支援装置１０の構成を説明する。
　各機能構成要素がハードウェアで実現される場合には、対策立案支援装置１０は、プロセッサ１１とメモリ１２とストレージ１３とに代えて、電子回路１５を備える。電子回路１５は、各機能構成要素と、メモリ１２と、ストレージ１３との機能とを実現する専用の回路である。
　電子回路１５としては、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ（Ｇａｔｅ　Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ　Ｓｐｅｃｉｆｉｃ　Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）が想定される。
　各機能構成要素を１つの電子回路１５で実現してもよいし、各機能構成要素を複数の電子回路１５に分散させて実現してもよい。
　＜変形例２＞
　変形例２として、一部の各機能構成要素がハードウェアで実現され、他の各機能構成要素がソフトウェアで実現されてもよい。
　プロセッサ１１とメモリ１２とストレージ１３と電子回路１５とを処理回路という。つまり、各機能構成要素の機能は、処理回路により実現される。
　実施の形態２．
　実施の形態２は、対策を階層的に特定する点が実施の形態１と異なる。実施の形態２では、この異なる点を説明し、同一の点については説明を省略する。
　＊＊＊構成の説明＊＊＊
　図２５を参照して、実施の形態２に係る対策立案支援装置１０の構成を説明する。
　対策立案支援装置１０は、ストレージ１３が対策候補データベース３４を実現する点が、図１に示す対策立案支援装置１０と異なる。
　対策候補データベース３４は、対策データベース３２と規格データベース３３とが結合されて生成されたデータベースである。
　＊＊＊動作の説明＊＊＊
　図２６を参照して、実施の形態２に係る対策候補データベース３４の生成処理を説明する。
　規格データベース３３に記憶された各対策ＩＤを対象として、ステップＳ５１からステップＳ５３の処理が実行される。
　（ステップＳ５１：要素判定処理）
　結合部２３は、対象の対策ＩＤと同じ対策ＩＤを持つ対策データベース３２のレコードを特定する。
　結合部２３は、レコードが特定された場合には、処理をステップＳ５２に進める。一方、結合部２３は、レコードが特定されなかった場合には、処理をステップＳ５３に進める。
　（ステップＳ５２：第１書込処理）
　結合部２３は、対象の対策ＩＤを有する規格データベース３３のレコードの内容と、ステップＳ５１で特定された対策データベース３２のレコードの内容とを、対策候補データベース３４に書き込む。
　具体的には、結合部２３は、対策候補データベース３４の対策ＩＤの項目に、対象の対策ＩＤを書き込む。結合部２３は、対策候補データベース３４の要求＋対策の項目に、対象の対策ＩＤを有する規格データベース３３のレコードの要求の項目の内容と、特定された対策データベース３２のレコードの対策の項目の内容とを書き込む。結合部２３は、脅威特定部２４のＩＤの項目に、対象の対策ＩＤを有する規格データベース３３のレコードのＩＤの項目の内容を書き込む。
　（ステップＳ５３：第２書込処理）
　結合部２３は、対象の対策ＩＤを有する規格データベース３３のレコードの内容を、対策候補データベース３４に書き込む。
　具体的には、結合部２３は、対策候補データベース３４の対策ＩＤの項目に、対象の対策ＩＤを書き込む。結合部２３は、対策候補データベース３４の要求＋対策の項目に、対象の対策ＩＤを有する規格データベース３３のレコードの要求の項目の内容を書き込む。結合部２３は、脅威特定部２４のＩＤの項目に、対象の対策ＩＤを有する規格データベース３３のレコードのＩＤの項目の内容を書き込む。
　図２７を参照して、対策候補データベース３４の具体的な生成例を説明する。
　図１９に示す規格データベース３３における対策ＩＤ“１６－４６”と同じ対策ＩＤを持つレコードを図１６に示す対策データベース３２から検索すると、レコードが特定される。そのため、対策候補データベース３４には、対策ＩＤ“１６－４６”に関しては、規格データベース３３だけでなく、対策データベース３２における対策ＩＤ“１６－４６”の内容が書きこまれる。具体的には、対策候補データベース３４の要求＋対策の項目に、規格データベース３３における要求の内容と、対策データベース３２における対策の内容とが書き込まれる。
　また、図１９に示す規格データベース３３における対策ＩＤ“１６－４５”と同じ対策ＩＤを持つレコードを図１６に示す対策データベース３２から検索すると、レコードが特定されない。そのため、対策候補データベース３４には、対策ＩＤ“１６－４５”に関しては、規格データベース３３における対策ＩＤ“１６－４５”の内容が書きこまれる。
　図２８及び図２９を参照して、実施の形態２に係る結合処理を説明する。
　ステップＳ６１からステップＳ６３の処理は、図２１のステップＳ４１からステップＳ４３の処理と同じである。
　（ステップＳ６４：階層化処理）
　結合部２３は、対策候補データベース３４を参照して、ステップＳ６３で整理されたセキュア設計図４３の対策に対する、上位の対策と下位の対策とを特定する。結合部２３は、上位の対策と下位の対策との少なくともいずれかが特定された場合には、特定された対策をセキュア設計図４３に追記する。
　具体的には、結合部２３は、セキュア設計図４３に含まれる各対策を対象として、対象の対策についてのＩＤに基づき、対策候補データベース３４を検索して対象の対策の上位の対策と下位の対策とを特定する。ここで、ＩＤは、階層的な構造になっている。具体的には、ＩＤがＸ－Ｙとなっている対策は、ＩＤがＸの対策の下位の対策であり、ＩＤがＸ－Ｙ－Ｚとなっている対策の上位の対策であることを意味する。そこで、結合部２３は、対象の対策の対策ＩＤと対策の内容に基づき、対策候補データベース３４を検索して、対象の対策のＩＤを特定する。そして、結合部２３は、特定されたＩＤをキーワードとして、上位の対策と下位の対策とを特定する。そして、結合部２３は、特定された上位の対策を、対象の対策の上位に追記し、特定された下位の対策を、対象の対策の下位に追記する。
　図２９に示すように、図２３に示す対策２－１（１）と対策２－１（２）との上位の対策が特定される。図２３に示す対策２－１（１）は、対策ＩＤが１６－４６であり、対策の内容がデータを復号するであることから、ＩＤが２－１であると特定される。そのため、ＩＤが２の符号化（Ｄｅｃｏｄｅ）するという対策が上位の対策であることが特定される。同様に、図２３に示す対策２－１（２）は、対策ＩＤが１６－４６であり、対策の内容がデータを暗号化するであることから、ＩＤが１－１であることが特定される。そのため、ＩＤが１の符号化（Ｅｎｃｏｄｅ）するという対策が上位の対策であることが特定される。
　つまり、復号するという対策の上位には符号化（Ｄｅｃｏｄｅ）するという対策があり、暗号化するという対策の上位には符号化（Ｅｎｃｏｄｅ）するという対策があることが分かる。
　なお、結合部２３は、上位の対策が特定された場合には、さらに上位の対策を特定して、下位の対策が特定された場合には、さらに下位の対策を特定する。図２９では、対策２－１（１）と対策２－１（２）との上位の対策に対する上位の対策はないため、対策２－１（１）と対策２－１（２）との上位の対策だけが追記されている。
　＊＊＊実施の形態２の効果＊＊＊
　以上のように、実施の形態２に係る対策立案支援装置１０は、上位の対策及び下位の対策を特定して、階層的な対策を明確化する。これにより、例えば、上位の階層の対策から実装を検討し、徐々に下位の階層の対策の実装を検討するといった作業の進め方が可能になる。そのため、脅威に対する対策に優先度を付けて対応することが可能になる。
　１０　対策立案支援装置、１１　プロセッサ、１２　メモリ、１３　ストレージ、１４　通信インタフェース、１５　電子回路、２１　脅威分析部、２２　規格導入部、２３　結合部、２４　脅威特定部、２５　対策特定部、３１　脅威データベース、３２　対策データベース、３３　規格データベース、３４　対策候補データベース、４１　設計情報、４２　規格情報、４３　セキュア設計図、４４　脅威特定結果、４５　対策特定結果、４６　規格導入結果、５１　コンポーネントクラス図、５２　情報クラス図。

Claims (8)

  1. 　対象物の設計情報に基づき、前記対象物で発生し得る脅威を特定し、特定された前記脅威を防止するための対策を第１対策として特定する脅威分析部と、
    　前記対象物に対して適用されるセキュリティに関する規格を示す規格情報と、前記設計情報とに基づき、前記規格情報が示す前記規格を満たすための対策を第２対策として特定する規格導入部と、
    　前記脅威分析部によって特定された前記第１対策と、前記規格導入部によって特定された前記第２対策とを結合して対策データを生成する結合部と
    を備える対策立案支援装置。
  2. 　前記設計情報は、前記対象物で用いられるデータが存在する構成要素を示す場所識別子と、前記対象物で用いられるデータの分類を示すタイプとを示し、
    　前記脅威分析部は、
    　前記場所識別子と前記タイプとの組合せに応じた脅威を示す脅威データベースを参照して、前記対象物で用いられるデータについて前記設計情報が示す場所識別子と、前記データについて前記設計情報が示すタイプとの組合せに対応する脅威を特定する脅威特定部
    を備える請求項１に記載の対策立案支援装置。
  3. 　前記脅威分析部は、
    　脅威と、前記場所識別子又は前記タイプとの組合せに応じた対策を示す対策データベースを参照して、前記データについて前記脅威特定部によって特定された脅威と、前記データについて前記設計情報が示す場所識別子、又は、前記データについて前記設計情報が示すタイプとの組合せに対応する対策を前記第１対策として特定する対策特定部と
    を備える請求項２に記載の対策立案支援装置。
  4. 　前記設計情報は、前記対象物で用いられるデータの重要度と、前記対象物の構成要素の設置位置である境界情報とを示し、
    　前記脅威特定部は、前記データについて前記設計情報が示す重要度と、前記データの場所識別子が示す構成要素について前記設計情報が示す境界情報とから、前記データについて特定された脅威のレベルを示す脅威値を計算し、
    　前記脅威データベースは、脅威と脅威値との組合せに対応する対策を示し、
    　前記対策特定部は、前記データについて特定された脅威と、前記脅威について計算された脅威値との組合せに対応する対策を前記第１対策として特定する
    請求項３に記載の対策立案支援装置。
  5. 　前記設計情報は、前記対象物で用いられるデータが存在する構成要素を示す場所識別子を示し、
    　前記規格導入部は、規格のレベルと、前記場所識別子との組合せに応じた対策を示す規格データベースを参照して、前記対象物に対して導入する規格のレベルと、前記対象物の構成物の場所識別子とに対応する対策を前記第２対策として特定する
    請求項１から４までのいずれか１項に記載の対策立案支援装置。
  6. 　前記結合部は、前記規格情報が示す規格において、前記第１対策の上位の対策と下位の対策との少なくともいずれかの対策が規定されている場合には、規定されている対策を特定する
    請求項１から５までのいずれか１項に記載の対策立案支援装置。
  7. 　脅威分析部が、対象物の設計情報に基づき、前記対象物で発生し得る脅威を特定し、特定された前記脅威を防止するための対策を第１対策として特定し、
    　規格導入部が、前記対象物に対して適用されるセキュリティに関する規格を示す規格情報と、前記設計情報とに基づき、前記規格情報が示す前記規格を満たすための対策を第２対策として特定し、
    　結合部が、前記第１対策と前記第２対策とを結合して対策データを生成する対策立案支援方法。
  8. 　対象物の設計情報に基づき、前記対象物で発生し得る脅威を特定し、特定された前記脅威を防止するための対策を第１対策として特定する脅威分析処理と、
    　前記対象物に対して適用されるセキュリティに関する規格を示す規格情報と、前記設計情報とに基づき、前記規格情報が示す前記規格を満たすための対策を第２対策として特定する規格導入処理と、
    　前記脅威分析処理によって特定された前記第１対策と、前記規格導入処理によって特定された前記第２対策とを結合して対策データを生成する結合処理と
    をコンピュータに実行させる対策立案支援プログラム。
PCT/JP2018/000667 2018-01-12 2018-01-12 対策立案支援装置、対策立案支援方法及び対策立案支援プログラム WO2019138542A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
PCT/JP2018/000667 WO2019138542A1 (ja) 2018-01-12 2018-01-12 対策立案支援装置、対策立案支援方法及び対策立案支援プログラム
JP2019549608A JP6636226B2 (ja) 2018-01-12 2018-01-12 対策立案支援装置、対策立案支援方法及び対策立案支援プログラム
TW107112887A TW201931189A (zh) 2018-01-12 2018-04-16 對策制定支援裝置、對策制定支援方法及對策制定支援程式產品

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2018/000667 WO2019138542A1 (ja) 2018-01-12 2018-01-12 対策立案支援装置、対策立案支援方法及び対策立案支援プログラム

Publications (1)

Publication Number Publication Date
WO2019138542A1 true WO2019138542A1 (ja) 2019-07-18

Family

ID=67219524

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/000667 WO2019138542A1 (ja) 2018-01-12 2018-01-12 対策立案支援装置、対策立案支援方法及び対策立案支援プログラム

Country Status (3)

Country Link
JP (1) JP6636226B2 (ja)
TW (1) TW201931189A (ja)
WO (1) WO2019138542A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPWO2021144979A1 (ja) * 2020-01-17 2021-07-22
JP2021157401A (ja) * 2020-03-26 2021-10-07 株式会社日立製作所 アプリケーション開発支援システム、アプリケーション開発支援方法

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
TWI726455B (zh) * 2019-10-23 2021-05-01 臺灣銀行股份有限公司 滲透測試個案建議方法及系統

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006331383A (ja) * 2005-04-25 2006-12-07 Hitachi Ltd システムセキュリティ設計・評価支援ツール、システムセキュリティ設計・評価支援方法、およびシステムセキュリティ設計・評価支援プログラム
JP2015204061A (ja) * 2014-04-16 2015-11-16 株式会社日立製作所 システムセキュリティ設計支援装置、システムセキュリティ設計支援方法、及びシステムセキュリティ設計支援プログラム
JP2017123085A (ja) * 2016-01-08 2017-07-13 株式会社日立製作所 情報処理装置および通信系統の運用方法

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6484929B2 (ja) * 2013-10-17 2019-03-20 株式会社リコー 機器管理装置、プログラム、機器管理システム及びセキュリティ設定方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006331383A (ja) * 2005-04-25 2006-12-07 Hitachi Ltd システムセキュリティ設計・評価支援ツール、システムセキュリティ設計・評価支援方法、およびシステムセキュリティ設計・評価支援プログラム
JP2015204061A (ja) * 2014-04-16 2015-11-16 株式会社日立製作所 システムセキュリティ設計支援装置、システムセキュリティ設計支援方法、及びシステムセキュリティ設計支援プログラム
JP2017123085A (ja) * 2016-01-08 2017-07-13 株式会社日立製作所 情報処理装置および通信系統の運用方法

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPWO2021144979A1 (ja) * 2020-01-17 2021-07-22
WO2021144979A1 (ja) * 2020-01-17 2021-07-22 三菱電機株式会社 ベクトル計算装置、分類装置及び出力プログラム
JP7003343B2 (ja) 2020-01-17 2022-01-20 三菱電機株式会社 ベクトル計算装置、分類装置及び出力プログラム
JP2021157401A (ja) * 2020-03-26 2021-10-07 株式会社日立製作所 アプリケーション開発支援システム、アプリケーション開発支援方法
JP7422584B2 (ja) 2020-03-26 2024-01-26 株式会社日立製作所 アプリケーション開発支援システム、アプリケーション開発支援方法

Also Published As

Publication number Publication date
JP6636226B2 (ja) 2020-01-29
JPWO2019138542A1 (ja) 2020-01-16
TW201931189A (zh) 2019-08-01

Similar Documents

Publication Publication Date Title
US20200265155A1 (en) Data protection via aggregation-based obfuscation
US11531773B2 (en) Verification of bitstreams
US20160283728A1 (en) Database server and client for query processing on encrypted data
US8117661B2 (en) Encryption based silicon IP protection
WO2019138542A1 (ja) 対策立案支援装置、対策立案支援方法及び対策立案支援プログラム
US20240184878A1 (en) Login methodology
US20200034545A1 (en) Information provision device, information provision system, information provision method, and program
CN107409040A (zh) 用于推荐数据加密而不影响程序语义的代码分析工具
CN113626865A (zh) 一种防止泄露敏感信息的数据共享开放方法及系统
CN115630374B (zh) 可信数控系统的测试方法、装置、计算机设备和存储介质
CN111552792B (zh) 一种信息查询方法、装置、电子设备及存储介质
CN117459327B (zh) 一种云数据透明加密保护方法、系统及装置
JP5425307B2 (ja) キーワード変換装置、キーワード変換プログラム、記録媒体及びキーワード変換方法
CA3054213A1 (en) Information management method and device
CN116702103A (zh) 数据库水印处理方法、数据库水印溯源方法及装置
CN103348354A (zh) 安全性验证设备和安全性验证方法
JP6556681B2 (ja) 匿名化テーブル生成装置、匿名化テーブル生成方法、プログラム
WO2018163274A1 (ja) リスク分析装置、リスク分析方法及びリスク分析プログラム
Laufer et al. Modelling data protection in fog computing systems using UMLsec and SysML-Sec
CN109446060B (zh) 一种服务端测试用例集的生成方法、终端设备及存储介质
US10970415B2 (en) Sensitive data redaction in memory dump
Yuan et al. Secure integrated circuit design via hybrid cloud
WO2019073912A1 (ja) 擬似データ生成装置、その方法、およびプログラム
WO2024029123A1 (ja) ソフトウェア情報管理装置、ソフトウェア情報管理方法
CN113627938B (zh) 一种区块链的数据删除方法、装置、设备及存储介质

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18900167

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2019549608

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 18900167

Country of ref document: EP

Kind code of ref document: A1