WO2019163266A1 - セキュリティ評価サーバおよびセキュリティ評価方法 - Google Patents
セキュリティ評価サーバおよびセキュリティ評価方法 Download PDFInfo
- Publication number
- WO2019163266A1 WO2019163266A1 PCT/JP2018/045824 JP2018045824W WO2019163266A1 WO 2019163266 A1 WO2019163266 A1 WO 2019163266A1 JP 2018045824 W JP2018045824 W JP 2018045824W WO 2019163266 A1 WO2019163266 A1 WO 2019163266A1
- Authority
- WO
- WIPO (PCT)
- Prior art keywords
- evaluation
- security
- hierarchy
- information
- requirement
- Prior art date
Links
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
- G06F21/577—Assessing vulnerabilities and evaluating computer system security
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/60—Protecting data
- G06F21/64—Protecting data integrity, e.g. using checksums, certificates or signatures
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/2145—Inheriting rights or properties, e.g., propagation of permissions or restrictions within a hierarchy
Definitions
- the present invention relates to a security evaluation server and a security evaluation method.
- the level of functional safety decreases with the passage of time compared to the time when the hardware parts were manufactured.
- the time when a new information system was built over time Compared with the security level.
- Patent Document 1 In order to accurately grasp the change tendency of the security level SL with respect to the passage of time of a plurality of security functions set at the time of construction of the information system, Patent Document 1 describes a fixed cycle with respect to the passage of time of the hardware parts and the information system. Then, the elapsed time of loss of availability is counted and the security level SL of each security function is calculated. A technique is disclosed in which the security level SL is converted over all security functions to calculate the security SLG of the entire information system, and the system security level SLG at each calculated time is displayed in a graph.
- Patent Document 1 If the technology disclosed in Patent Document 1 is used, it is possible to evaluate the security level with respect to the passage of time of the hardware components and the information system. However, in a system in which a layered information system controls hardware components, a cyber attack on each layer of the information system affects the functional safety of the hardware components. The technology to be evaluated was not disclosed.
- the purpose of the present invention is to evaluate the functional safety by cyber security.
- a representative security evaluation server uses a hierarchy generation unit that generates information about a plurality of system hierarchies of an evaluation target system, and information about a plurality of system hierarchies generated by the hierarchy generation unit.
- An evaluation unit that calculates an evaluation value of defense effectiveness based on a security function requirement included in the hierarchy, calculates an evaluation value of defense effectiveness based on a combination of security function requirements, an evaluation value calculated by the evaluation unit, and a target value
- a verification unit that verifies whether security function requirements in the evaluation target system are excessive or insufficient.
- FIG. 1 It is a figure which shows the example of a block configuration of a secure functional safety evaluation apparatus. It is a figure which shows the example of the hardware constitutions of a secure functional safety evaluation apparatus. It is a figure which shows the example of a system operating environment specification information table. It is a figure which shows the example of the hierarchy information table by each individual system. It is a figure which shows the example of a system configuration specification information table. It is a figure which shows the example of an evaluation calculation data table. It is a figure which shows the example of a sequence of a secure functional safety evaluation apparatus. It is a figure which shows the example of the flowchart of an input process part. It is a figure which shows the example of the flowchart of hierarchization.
- the secure functional safety evaluation device 1 is a system for quantitatively evaluating functional safety by cyber security in a connected embedded system having expandability.
- the secure functional safety evaluation device 1 includes an input unit 2, an output unit 3, an input processing unit 4, an evaluation calculation unit 5, a requirement excess / deficiency verification unit 6, a result processing unit 7, a necessary requirement DB 8, an evaluation calculation DB 9, a verification calculation DB 10, And the result DB 11.
- the input unit 2 accepts input of evaluation target system specifications and target defense effectiveness information from the user.
- the output unit 3 outputs the evaluation result of the evaluation target system to the user.
- the input processing unit 4 extracts information used for quantitative evaluation from the evaluation target system specification input in the input unit 2.
- the evaluation calculation unit 5 quantifies the defense effectiveness using information extracted from the evaluation target system specifications.
- the requirement excess / deficiency verification unit 6 evaluates whether the quantified defense effectiveness satisfies the target defense effectiveness, and verifies the security functional requirements that satisfy the target defense effectiveness.
- the result processing unit 7 performs processing for outputting the defense effectiveness evaluation result and the excess / deficiency verification result.
- the necessary requirement DB 8 includes hierarchical information of the evaluation target system, hierarchical information that can correspond to the operating environment specification of the evaluation target system input by the user through the input unit 2, and security function requirements used when performing cybersecurity quantitative evaluation. It is a database that stores information.
- the evaluation calculation DB 9 is a database that stores calculation procedures for quantifying defense effectiveness.
- the verification calculation DB 10 is a database in which requirement information for evaluating whether the target defense effectiveness is satisfied and requirement information for satisfying the target defense effectiveness are stored.
- the result DB 11 is a database in which a quantitative evaluation result of the defense effectiveness of the evaluation target system and security function requirements that satisfy the target defense effectiveness are stored.
- the secure functional safety evaluation device 1 illustrated in FIG. 2 includes a CPU 101, a memory 102, a storage device 103, a communication device 104, a power supply device 105, an input device 106, and an output device 107, which are connected by a bus 108. .
- the CPU 101 is a central processing unit (arithmetic unit), and by executing a program stored on the storage device 103 or the memory 102, the input processing unit 4, the evaluation arithmetic unit 5, the requirement excess / deficiency verification unit 6, and the result
- the processing unit 7 is realized by the secure functional safety evaluation device 1.
- the memory 102 is a main storage device into which programs and data are loaded when the CPU 101 operates, and is composed of volatile storage elements.
- the storage device 103 is an auxiliary storage device for storing input data, output data, and a program of the CPU 101, and includes a nonvolatile storage element.
- the storage device 103 stores a requirement DB 8, an evaluation calculation DB 9, a verification calculation DB 10, and a result DB 11.
- the communication device 104 communicates with an external network node via a network.
- the power supply device 105 is connected to a power outlet and supplies power to each device in the secure functional safety evaluation device 1.
- the input device 106 is an interface for the user to input information, such as a keyboard, a mouse, a touch panel, a card reader, or voice input.
- the output device 107 is an interface for providing feedback and calculation results to the user, and is, for example, a screen display device, an audio output device, or a printing device.
- the secure functional safety evaluation device 1 shown in FIG. 2 has the above-described configuration and may be called a security evaluation server, and is configured on a single piece of hardware. When the load is distributed to cope with this, or when a redundant configuration is taken to improve availability, it may be configured on a platform constructed on two or more pieces of hardware.
- Information such as a program or a table for realizing the input processing unit 4, the evaluation calculation unit 5, the requirement excess / deficiency verification unit 6, and the result processing unit 7 is stored in the storage device 103 or a storage subsystem that is not shown in the figure. It may be stored in a storage device such as a nonvolatile semiconductor memory, HDD (Hard Disk Drive), or SSD (Solid State Drive), or a computer-readable non-transitory data storage medium such as an IC card, SD card, or DVD. .
- a storage device such as a nonvolatile semiconductor memory, HDD (Hard Disk Drive), or SSD (Solid State Drive), or a computer-readable non-transitory data storage medium such as an IC card, SD card, or DVD.
- the requirement DB 8 includes a system operating environment specification information table 300, a hierarchy information table 310 for each individual system, and a system configuration specification information table 320.
- the system operating environment specification information table 300 is data relating to the operating environment specifications of the evaluation target system specified by the user 109 through the input unit 2.
- the system operating environment specification information table 300 is a table having a specification item 301 and system operating environment information 302 as a pair, and a plurality of such pairs.
- the specification item 301 includes the system type, the operating system type, the life cycle years, and the usage status.
- the system operating environment information 302 paired with the specification item 301 is a system corresponding to the specification item 301. Contains operating environment information.
- the specification item 301 is preferably an item whose processing content is defined by the input processing unit 4.
- the hierarchical information table 310 by each individual system is data for defining the hierarchical configuration of the evaluation system of the corresponding operating environment specification corresponding to the operating environment specification of the evaluation target system specified by the user 109 through the input unit 2. This is data indicating the hierarchy constituting each individual system set in advance.
- the hierarchical information table 310 by each individual system is a table in which a built-in system type 311 and a hierarchical configuration 312 are paired, a plurality of such pairs are held, and the hierarchical configuration 312 has information on each of the plurality of hierarchical levels.
- the embedded system type 311 includes categories of embedded systems such as “automobile” and “robot” that can be the evaluation target system.
- the hierarchical configuration 312 includes information about “ ⁇ ” and “ ⁇ ” as to which hierarchy is included as a hierarchical configuration corresponding to the embedded system type 311.
- “automobile” in the embedded system type 311 shown in FIG. 3B indicates that it is composed of a physical control layer, an information-control layer, an information layer, and a cloud that are “ ⁇ ”.
- “robot” is composed of a physical control layer, an information control device, and an information layer because the cloud is “x”.
- the system configuration specification information table 320 is detailed system configuration specification data input by the user 109 through the input unit 2.
- the system configuration specification information table 320 includes two independent tables of a system specification 321 and a security function requirement 322, each having a plurality of items.
- the system specification 321 includes items of system configuration information such as a network function specification and a computer function specification as shown in FIG. 3C, and these items are items whose processing contents are defined by the input processing unit 4.
- the security function requirement 322 includes each security function requirement operated in the evaluation target system, and detailed information on each security function requirement such as a communication location and a communication method thereof. Further, the security function requirement 322 may include operation hierarchy information 323 indicating in which hierarchy of the evaluation target system each security function requirement is operated.
- the three tables of the system operating environment specification information table 300, the hierarchical information table 310 by each individual system, and the system configuration specification information table 320 are related to each other based on input from the user 109.
- the input processing unit 4 determines the type of the evaluation target system from the system operating environment specification information table 300, and the determination result of the evaluation target system type and the contents of the hierarchical information table 310 by each individual system are used. In response, the input processing unit 4 displays the hierarchical information corresponding to the evaluation target system to the user 109.
- the security functional requirement 322 including the operational hierarchical information 323 of the system configuration specification information table 320 is set.
- FIG. 4 is a diagram illustrating an example of data stored in the evaluation calculation DB 9.
- the evaluation calculation DB 9 includes an evaluation calculation data table 400 in addition to the calculation procedure for quantifying defense effectiveness.
- the evaluation calculation data table 400 includes an evaluation subject 401 in which information on security function requirements is stored, and a quantitative evaluation 402 in which information on evaluation results for each hierarchy is stored for each security function requirement. Is done.
- the information on the security functional requirement of the evaluation subject 401 is set by acquiring information held in the security functional requirement column of the system configuration specification information table 320.
- security function requirement 1 of the evaluation subject 401 is an expression for explanation, and may be another expression representing the security function requirement.
- the quantitative evaluation 402 includes a column 403, a column 404, and a column 405 in which information on evaluation results in each layer of each security function requirement is stored, and a column 406 in which information on evaluation results for the evaluation target system is stored.
- the information of the quantitative evaluation 402 shown in FIG. 4 includes, as an example according to the first embodiment, the control-information layer attack success period information in column 403, the information layer attack success period information in column 404, and the cloud layer attack. Information on the success period is divided into columns 405 and stored.
- Columns 403, 404, and 405 are set by acquiring information from the hierarchical configuration 312 of the type of the evaluation target system in the embedded system type 311 of the hierarchical information table 310 by each individual system. Therefore, the type of hierarchy and the number of levels are not limited to the example shown in FIG.
- the quantitative evaluation index stored in the quantitative evaluation 402 may be plural instead of one.
- the index is not limited to the attack success period and the attack success achievement rate, but may be another index. For example, it may be an attack possibility based on past results.
- Information calculated by the processing of the flowchart shown in FIG. 8 of the evaluation calculation unit 5 is stored in each column of the table determined by the security functional requirement of the evaluation subject 401 and each hierarchy of each column of the quantitative evaluation 402.
- step S ⁇ b> 201 the input processing unit 4 receives an operating environment specification including information of the system operating environment specification information table 300 from the user 109 through the input device 106.
- an example of an input screen displayed on the user 109 by the secure functional safety evaluation device 1 will be described later with reference to FIG.
- step S ⁇ b> 202 the input processing unit 4 receives, from the user 109, the defense effectiveness that is a target to be satisfied by the evaluation target system through the input device 106.
- An example of an input screen displayed on the user 109 by the secure functional safety evaluation device 1 will be described later with reference to FIG.
- step S203 the input processing unit 4 associates the hierarchical configuration 312 of the hierarchical information table 310 with each individual system stored in the requirement DB 8 based on the data of the operating environment specification received in step S201.
- Each hierarchical definition is presented to the user 109, and the hierarchical processing of the evaluation target system is inquired to the user 109.
- step S503 An example of an output screen displayed on the user 109 by the secure functional safety evaluation apparatus 1 will be described later with reference to FIG.
- step S204 the input processing unit 4 receives the hierarchical configuration information from the user 109 and sets the information in the system configuration specification information table 320.
- the user 109 hierarchizes the configuration of the evaluation target system based on the information based on the hierarchical information table 310 by each individual system displayed in step S203, and inputs the hierarchized configuration information to the input processing unit 4.
- step S504 of FIG. An example of an input screen displayed on the user 109 by the secure functional safety evaluation device 1 will be described later with reference to FIGS. 13A and 13B.
- step S205 the input processing unit 4 extracts and extracts the requirements for quantitative evaluation, that is, the hierarchical security function requirements, from the hierarchical configuration information input by the user 109, using the necessary requirement DB 8.
- the hierarchized security function requirements are transmitted to the evaluation calculation unit 5.
- step S206 the evaluation calculation unit 5 receives the layered security function requirements from the input processing unit 4, and quantifies the defense effectiveness of the layered security function requirements using the calculation procedure stored in the evaluation calculation DB 9.
- the system evaluation result is displayed to the user 109.
- the system evaluation result is stored in the evaluation calculation data table 400 of the evaluation calculation DB 9.
- An example of calculation for quantitative evaluation will also be described later in steps S604 to S610 in FIG.
- step S207 the input processing unit 4 transmits the target defense effectiveness input by the user 109 in step S202 to the requirement excess / deficiency verification unit 6.
- Step S208 is a loop for verifying whether the layered security function requirements satisfy the target defense effectiveness, or verifying the combination of layered security function requirements satisfying the target defense effectiveness. is there.
- Hierarchical security function requirements may have a plurality of security function requirements in one layer, or may have a security function requirement in each of the plurality of layers. Therefore, by verifying the combination of security function requirements, it is possible to extract the minimum necessary combination of security function requirements that satisfy the target defense effectiveness.
- the loop of step S208 includes step S209 and step S210, and is repeated until a verifiable combination of security function requirements is verified or a preset condition is satisfied.
- An example of the process of the requirement excess / deficiency verification unit 6 that is the basis of the loop of step S208 will be described later in step S702 and step S707 of FIG.
- step S209 the requirement excess / deficiency verification unit 6 transmits one combination from the combinations of security function requirements that can be verified to the evaluation calculation unit 5. Then, in the next step S209 in the loop of step S208, the requirement excess / deficiency verification unit 6 transmits another combination from the verifiable security function requirement combinations to the evaluation calculation unit 5.
- step S703 An example of the transmission process of the combination will also be described later in step S703 in FIG.
- step S210 the evaluation calculation unit 5 quantitatively evaluates the defense effectiveness of the combination of security function requirements received from the requirement excess / deficiency verification unit 6, and transmits the evaluation result to the requirement excess / deficiency verification unit 6.
- the requirement excess / deficiency verification unit 6 verifies using the evaluation result received from the evaluation calculation unit 5.
- step S211 the requirement excess / deficiency verification unit 6 compares the target defense effectiveness received from the input processing unit 4 with the evaluation result received from the evaluation calculation unit 5 to determine the requirement excess / deficiency. It verifies and transmits a requirement verification result etc. to the result process part 7.
- FIG. An example of the verification process will be described later in steps S705 to S706 of FIG.
- step S212 the result processing unit 7 displays the security function requirement verification result and the excess / deficiency requirement recommendation result to the user 109 based on the requirement verification result received from the requirement excess / deficiency verification unit 6.
- An example of the output screen will be described later with reference to FIGS. 14 and 15.
- step S ⁇ b> 501 the input processing unit 4 receives an operating environment specification based on information input from the user 109.
- Step S501 corresponds to step S201 in FIG.
- FIG. 10 is a diagram showing an example of an execution item and operating environment specification input screen 900 displayed to the user 109.
- This input screen 900 is a GUI (Graphical User Interface) displayed in step S501.
- an execution item selection field 800 and an operation for causing the user 109 to upload a file of the operating environment specification are displayed.
- An environmental specification column 801 is included.
- the execution item selection column 800 is a column in which the execution item of the secure functional safety evaluation apparatus 1 is selected by the user 109, and the checked item is selected.
- the check since “the current security quantitative evaluation of the evaluation target system” is indispensable, the check may always be added regardless of the selection of the user 109.
- steps S208, S211 and S212 shown in FIG. 5 are executed. If the “requirements for excess / deficiency requirements” is not checked, step S208 is executed. , S211 and S212 may not be executed.
- the input processing unit 4 displays the operating environment having the set file name. Upload the specification file (data) to the input processing unit 4.
- the file (data) of the operating environment specification is a file that includes information of the system operating environment specification information table 300 and includes information that allows the input processing unit 4 to acquire the type of the evaluation target system. preferable.
- the input screen 900 shown in FIG. 10 is an example, and the display content of the input screen and the type of information to be input are not limited as long as the secure functional safety evaluation device 1 can acquire the information of the operating environment.
- the secure functional safety evaluation device 1 instead of acquiring the file of the operating environment specification, it may be an input screen in which each item of information to be acquired is displayed on the user 109 and the user 109 manually inputs each item.
- step S502 the input processing unit 4 receives the target defense effectiveness input by the user 109.
- Step S502 corresponds to step S202 in FIG.
- Step S501 is executed when “requirements for excess / shortage requirements” in the execution item selection field 800 is checked, and is not executed when “requirements for excess / shortage requirements” is not checked, and may be skipped.
- FIG. 11 is a diagram showing an example of a target defense effectiveness input screen 901 to be displayed to the user 109.
- the input screen 901 is a GUI displayed in step S502, and includes a target defense effectiveness column 802, a button 803, and a button 804 as shown in FIG.
- Target defense effectiveness is a quantitative index for security functional requirements such as allowable safety range, allowable occurrence frequency, and allowable recovery time.
- an example of the allowable safety range is a cyber attack success period
- an example of the allowable occurrence frequency is a cyber attack success achievement rate
- an example of the allowable recovery time is This is the allowable safe state recovery time.
- a button 803 is a button for executing functional safety verification.
- the secure functional safety evaluation device 1 verifies whether the functional safety requirement of the input evaluation target system satisfies the functional safety requirement. I do. If button 804 is clicked on, it proceeds to security function requirement evaluation and proceeds to step S503.
- the display content of the input screen and the type of information to be input are not limited. Also, the type of button is not limited, and the operation when each button is clicked is not limited.
- the target defense effectiveness information input by the user 109 is not limited to the items in the target defense effectiveness column 802 shown in FIG.
- items described in the document SafetySafeConcept Description Language (Version 1.3) issued by Safety Concept Study Study Group (http://www.scn-sg.com/main/) may be included.
- the user 109 in order to derive functional safety requirements, the user 109 must analyze the hazard analysis of the analysis target at the initial stage, the target safety goal / safety state / time constraints, and the intended function, Automotive Safety Safety Integrity Level (ASIL ) In parallel.
- ASIL Automotive Safety Safety Integrity Level
- the target defense effectiveness input by the user 109 is not limited to the items in the above document, and may include quantitative items such as the frequency of functional safety failures.
- step S502 in the secure functional safety evaluation apparatus 1, the target defense effectiveness input by the user 109 is based on the items described in the above document or items other than those items. An item that also serves as a function request may be included.
- the item “allowable safety range” in the target defense effectiveness column 802 is one item, and in addition to the allowable functional failure occurrence range as in the above document, also serves as a security allowable cyber attack success period. It is an item.
- step S503 the input processing unit 4 extracts a hierarchy definition from the received operating environment specification based on the hierarchy information table 310 by each individual system of the requirement DB 8, and displays the extracted hierarchy definition to the user 109.
- the user 109 is inquired about the hierarchical processing of the evaluation target system.
- Step S503 corresponds to step S203 in FIG.
- FIG. 12 shows an example of the system operating environment specification information and the display screen 902 for each hierarchy definition when the hierarchy definition is displayed to the user 109 in step S503.
- the display screen 902 includes a system operating environment specification information column 805 for displaying information of the system operating environment specification information table 300, each tier definition column 806 for displaying a tier definition, and a button. 807, and a button 808.
- the process returns to step S501, and when the button 808 is clicked, the process proceeds to step S504 to proceed to the hierarchy process.
- the display screen is not limited to the system operating environment specification information column 805 and each layer definition column 806, and may only display each layer definition column 806.
- step S504 the input processing unit 4 receives information for hierarchizing the system configuration information from the user 109, and sets the input information in the system configuration specification information table 320.
- Step S504 corresponds to step S204 in FIG. 5, and step S504 will be further described later with reference to FIG. 7 or FIG. 13A.
- step S505 the input processing unit 4 determines whether hierarchization has been completed. The determination condition will be further described later with reference to FIG. 13A. If the input processing unit 4 determines that the hierarchization is completed, the process proceeds to step S506, and if the input processing unit 4 determines that the hierarchization is not completed, the process proceeds to step S510.
- step S506 the input processing unit 4 receives the security function requirement configuration information from the user 109, and stores the input security function requirement configuration information in the system configuration specification information table 320 of the requirement DB 8.
- Step S506 also corresponds to step S204 in FIG. 5, and will be described later with reference to FIG. 13B.
- step S507 the input processing unit 4 determines whether the input of the verification item is completed. The determination condition will be further described later with reference to FIG. 13B. If the input processing unit 4 determines that the input of the verification item is completed, the process proceeds to step S508. If the input processing unit 4 determines that the input of the verification item is not completed, the process proceeds to step S510.
- step S508 the input processing unit 4 transmits the layered security function requirement configuration information to the evaluation calculation unit 5.
- Step S508 corresponds to step S205 in FIG.
- step S509 the input processing unit 4 transmits the target defense effectiveness input in step S502 to the requirement excess / deficiency verification unit 6.
- Step S509 corresponds to step S207 in FIG.
- the input processing unit 4 displays an information shortage warning to the user 109, and returns to step S501.
- the input processing unit 4 may be referred to as a hierarchy generation unit in order to generate information about the hierarchy as described above.
- FIG. 13A is a diagram illustrating an example of an input screen 903 in which a hierarchical system configuration is displayed to the user 109, and information on each hierarchy is input from the user 109.
- the input screen 903 is a display of the hierarchical configuration of the evaluation target system, but in the example of FIG. 13A, the evaluation target system is divided into “inside system” and “outside system”. It is a display of each layer included in each of “outside system”.
- inside the system may be an embedded system
- outside the system may be a connected world to the embedded system.
- inside system and outside system are not limited to these.
- “Inside system”, “Outside system”, “Physical control layer”, “Information-control layer”, “Information layer”, “Cloud”, and the information for displaying the configuration in each layer are the layers by each individual system.
- Information acquired from the information table 310 and the system configuration specification information table 320 may be included, or information input on the input screen 903 from the user 109 may be included.
- the display shifts to the input screen for inputting information on the security function requirements of the clicked layer.
- the display shifts to the input screen 904 shown in FIG. 13B for inputting information related to the security function requirements regarding the information-control layer.
- a message 823 may be displayed.
- the button 821 is clicked on the input screen 903
- FIG. 13B is a diagram illustrating an example of the input screen 904 on which information related to the security function requirement of the hierarchy clicked on the input screen 903 is input.
- the input screen 904 is displayed, and the security function requirements of the information-control layer and its system specification information can be input.
- Security function requirements such as “IDS” and “packet encryption” are input.
- information regarding “software vendor”, “current version”, and “number” of each security function requirement may be input, but the display items and input items of the input screen 904 are not limited to these.
- Information input on the input screen 904 is set in the system configuration specification information table 320.
- step S507 When the button 824 is clicked on the input screen 904, it is determined in step S507 shown in FIG. 6 that the input of the verification item is not completed, and when the button 825 is clicked, the verification item is input in step S507. Determined to be complete. Step S504 and step S505 may be combined into one step, and a button for returning to the input screen 903 may be provided on the input screen 904.
- step S ⁇ b> 521 the input processing unit 4 inputs information regarding hierarchization from the user 109.
- the information input here may be the information described with reference to FIG. 13A or may be information to be determined as described below.
- step S522 the input processing unit 4 determines whether the information input in step S521 corresponds to the definition information of the layer closest to the physical control layer based on each layer definition displayed in FIG. For example, it may be determined whether or not the communication process is executed in the system.
- step S523 the input processing unit 4 classifies the information input in step S521 into the layer closest to the physical control layer.
- step S524 the input processing unit 4 determines whether the information input in step S521 corresponds to the definition information of the layer closest to the physical control layer based on each layer definition displayed in FIG. For example, it may be determined whether the interface is a connection inside or outside the system.
- the input processing unit 4 proceeds to step S525 if it determines that the connection is inside / outside of the system as an interface, and proceeds to step S526 if it is determined that the connection is not inside / outside of the system as an interface.
- step S525 the input processing unit 4 classifies the information input in step S521 into the second closest layer from the physical control layer.
- step S526 the input processing unit 4 determines whether the information input in step S521 corresponds to the definition information of the layer farthest from the physical control layer based on each layer definition displayed in FIG. For example, it may be determined whether or not it is an IoT security measure.
- step S527 the input processing unit 4 classifies the information input in step S521 into the hierarchy farthest from the physical control layer.
- steps S521 to S527 may be repeated a plurality of times in order to divide the configuration of the evaluation target system into a plurality of layers. Further, instead of the determinations in steps S522, S524, and S526, an input indicating which layer is used may be received from the user 109 by using the GUI of the input screen 903 illustrated in FIG. 13A.
- the expandable embedded system 870 is increasingly connected to the connected world 871 using a connection such as the Internet.
- the system to be evaluated for quantifying functional security by cyber security in the first embodiment is a system configured by one or more layers in both the embedded system 870 and the connected world 871.
- the cyber attack in the evaluation target system shown in FIG. 16 includes, for example, a cyber attack 850 on the information-control layer 859, a cyber attack 851 on the information layer 863, or a cyber attack 852 on the cloud 865. Since a cyber attack propagates toward the control layer 853, the possibility of threatening the physical control layer 853 is increasing.
- the secure functional safety evaluation device 1 presents to the user how much functional security is protected by cyber security.
- an example of a flowchart of processing in which the evaluation calculation unit 5 of the secure functional safety evaluation device 1 quantitatively evaluates the defense effectiveness will be described with reference to FIG.
- the system to be evaluated is composed of N layers excluding the physical control layer, and the layer farthest from the physical control layer is the Nth layer. That is, as the variable n approaches the constant N, the hierarchy becomes farther from the physical control layer.
- the following parameters are defined.
- N Number of hierarchies excluding physical control layer of evaluation target system
- n Hierarchy to be evaluated
- i Security functional requirement to be evaluated in the hierarchy to be evaluated
- x Hierarchy Pnx from the nth layer to the physical control layer:
- the i-th security function requirement in the n-th layer is the defense effectiveness against the attack from the x-th layer
- Pni The i-th security function requirement in the n-th layer is the defense effectiveness against the attack on the evaluation target system
- Pn defense effectiveness of the nth layer to be evaluated
- Dn total defense effectiveness r from the nth layer to the physical control layer to be evaluated r
- p reduction rate of defense effectiveness 0 ⁇ r, p ⁇ 1
- step S601 the evaluation calculation unit 5 determines whether to receive security function requirements from the input processing unit 4. If the evaluation calculation unit 5 determines that the security function requirement is received from the input processing unit 4, the process proceeds to step S602. If the evaluation calculation unit 5 determines that the security function requirement is not received from the input processing unit 4, that is, the requirement excess / deficiency verification unit If it is determined that the combination of security function requirements from 6 is received, the process proceeds to step S603.
- step S602 the evaluation calculation unit 5 receives the layered security function requirements from the input processing unit 4.
- step S602 corresponds to step S205 shown in FIG.
- step S ⁇ b> 603 the evaluation calculation unit 5 receives a combination of security function requirements to be evaluated from the requirement excess / deficiency verification unit 6.
- step S603 corresponds to step S209 shown in FIG.
- each layer (nth layer) is sequentially extracted as an evaluation target from the first layer closest to the physical control layer.
- the evaluation calculation unit 5 sets the information-control layer 859 closest to the physical control layer 853 as the evaluation target layer.
- step S605 the evaluation calculation unit 5 quantitatively evaluates the defense effectiveness Pnix against the attack from the x-th layer by the i-th security function requirement in the extracted n-th layer.
- the edge 860 which is the first security function requirement in the information-control layer 859 quantitatively evaluates the defense effectiveness against the information-control layer 859.
- the value of the variable i and the value of the variable x may be respectively assigned.
- the security function requirement specified by the value of the variable i may be one or a plurality of (combined) security requirements received in step S602 or step S603.
- step S606 the evaluation calculation unit 5 quantitatively evaluates the defense effectiveness Pni against the attack on the evaluation target system by the extracted i-th security function requirement in the n-th layer.
- the edge 860 which is the first security function requirement in the information-control layer 859 quantitatively evaluates the defense effectiveness against the attack on the evaluation target system.
- the value of the variable i may be shaken.
- step S607 the evaluation calculation unit 5 moves the evaluation target layer to the (n + 1) th layer and sets n + 1 to a new n.
- the evaluation calculation unit 5 moves the evaluation target from the information-control layer 859 to the information layer 863.
- step S608 the evaluation calculation unit 5 determines whether the evaluation target has not reached the layer farthest from the physical control layer, that is, n ⁇ N, and the evaluation target has reached the layer farthest from the physical control layer. If it is determined that the evaluation target has not reached the layer farthest from the physical control layer, the process returns to step S604.
- the evaluation calculation unit 5 sets the information-control layer 859 to the cloud 865 as the evaluation target, and after setting the cloud 865 as the evaluation target, the process proceeds to step S609.
- step S609 the evaluation calculation unit 5 calculates the defense effectiveness Pn and the overall defense effectiveness Dn.
- the evaluation calculation unit 5 determines the effectiveness of protection of the edge 860 of the information-control layer 859, the effectiveness of protection of the telemetry communication 861, and the effectiveness of protection of the BPCS network 862 (BPCS: Basic Process Control System).
- the defense effectiveness Pn of the information-control layer 859 is set to be the largest defense effectiveness among the three defense effectiveness.
- the evaluation calculation unit 5 adds the result of adding the defense effectiveness of the information layer 863 and the defense effectiveness of the information-control layer 859 to the overall defense effectiveness Dn from the information layer 863 to the physical control layer 853. To do.
- step S610 the evaluation calculation unit 5 stores the quantitative evaluation result of each security function requirement obtained in steps S604 to S609 in the evaluation calculation data table 400 of the evaluation calculation DB 9.
- step S611 the evaluation calculation unit 5 determines whether the security function requirement processing received from the input processing unit 4 is the same as in step S601. If the evaluation calculation unit 5 determines that the processing is the processing of the security function requirement received from the input processing unit 4, the process proceeds to step S612. If the evaluation calculation unit 5 determines that the processing is not the processing of the security function requirement received from the input processing unit 4, If it is determined that the processing is a combination of security function requirements received from the verification unit 6, the process proceeds to step S613.
- step S612 the evaluation calculation unit 5 displays the quantitative evaluation result saved in step S610 to the user 109 and ends the process.
- the information displayed to the user 109 may be a part of the quantitative evaluation result stored in step S610.
- Step S612 corresponds to step S206 in FIG.
- step S613 the evaluation calculation unit 5 determines whether or not “excess requirement verification” is checked in the execution item selection field 800 of the input screen 900. If it is determined that the “requirements for excess / deficiency verification” is checked, the evaluation calculation unit 5 proceeds to step S614, and if it is determined that the “requirements for excess / deficiency verification” is not checked, the process ends.
- step S614 the evaluation calculation unit 5 transmits the quantitative evaluation result stored in step S610 to the requirement excess / deficiency verification unit 6 and ends the process.
- Step S614 corresponds to step S210 in FIG.
- the processing for quantitative evaluation of defense effectiveness may be executed by an external device connected to the secure functional safety evaluation device 1, and the evaluation calculation unit 5 transmits information such as security function requirements to the external device, You may receive the result of quantitative evaluation from an external device. Moreover, it is preferable that the item to be quantitatively evaluated is the same as the target defense effectiveness item. Therefore, the evaluation calculation unit 5 may receive the target defense effectiveness from the input processing unit 4.
- step S602 and steps S604 to S612 correspond to step S205 to step S206 in FIG. 5
- step S603 to step S611 and step S614 correspond to step S209 to step S210 in FIG. To do.
- step S701 An example of a flowchart of processing in which the requirement excess / deficiency verification unit 6 of the secure functional safety evaluation device 1 verifies the requirement excess / deficiency with respect to the target defense effectiveness will be described with reference to FIG.
- the process described with reference to FIG. 9 is executed when “excess requirement verification” is selected in the execution item selection field 800 of the input screen 900. For this reason, it may be determined before step S701 whether “requirement for excess / deficiency requirement” is selected.
- step S701 the requirement excess / deficiency verification unit 6 receives the target defense effectiveness from the input processing unit 4.
- Step S701 corresponds to step S207 in FIG.
- step S702 the requirement excess / deficiency verification unit 6 generates a combination of security function requirements to be evaluated one by one, and repeats steps S702 to S707.
- the security function requirement to be evaluated may be a security function requirement in which information is stored in the security function requirement 322 of the system configuration specification information table 320.
- the combination of the security function requirements is represented by S security function requirements. May be generated.
- the combination of security function requirements may be generated using a permutation of security function requirements, or may be generated using a combination.
- step S703 the requirement excess / deficiency verification unit 6 transmits the combination of security function requirements generated in step S702 to the evaluation calculation unit 5.
- Step S703 corresponds to step S209 in FIG. 5, and the evaluation calculation unit 5 receives the combination of security function requirements in step S603.
- step S704 the requirement excess / deficiency verification unit 6 receives the quantitative evaluation result from the evaluation calculation unit 5.
- Step S704 corresponds to step S210 in FIG. 5, and the quantitative evaluation result received by the requirement excess / deficiency verification unit 6 is the quantitative evaluation result transmitted by the evaluation calculation unit 5 in step S614.
- step S705 the requirement excess / deficiency verification unit 6 compares the target defense effectiveness received in step S701 with the magnitude of the quantitative evaluation result received in step S704.
- step S706 the requirement excess / deficiency verification unit 6 determines that the target defense effectiveness is sufficient when the target defense effectiveness is equal to or higher than the quantitative evaluation result based on the comparison result of step S705, and the target defense effectiveness is less than the quantitative evaluation result. In such a case, it is determined that it is insufficient, and the determination result is saved.
- step S706 the requirement excess / deficiency verification unit 6 selects one or more hierarchies and one or more quantitative evaluation results of one or more security function requirements as a basis of the quantitative evaluation result determined to be sufficient. A maximum value may be specified.
- step S707 the requirement excess / deficiency verification unit 6 returns to step S702 when a combination that has not been generated remains among the combinations generated in step S702, and returns to step S702 if a combination that has not been generated remains.
- the requirement excess / deficiency verification unit 6 determines whether or not a combination that has not been generated remains. Regardless of this, it is also possible to end the repetition from step S702 to step S707 and proceed to step S708 according to preset conditions.
- step S708 the requirement excess / deficiency verification unit 6 transmits the determination result saved in step S706 to the result processing unit 7 as a verification result, and information on the combination of security function requirements satisfying the target determined to be sufficient is obtained as the result processing unit. 7 to send.
- Step S708 corresponds to step S211 of FIG. 5, and the quantitative evaluation result may also be transmitted to the result processing unit 7.
- the requirement excess / deficiency verification unit 6 may store the combination of security function requirements and the determination result in the result DB 11.
- the display screen 906 for the excess / deficiency requirement recommendation result will be described later with reference to FIG.
- FIG. 14 is a diagram illustrating an example of display of quantitative evaluation results of the evaluation target system and each security function requirement.
- the display screen 905 includes a system overall evaluation result column 811 and each security function requirement detailed evaluation result column 812, and may be the display in step S212 based on the information transmitted in step S708.
- the display screen 905 may be displayed based on information acquired from the evaluation calculation data table 400 stored in the evaluation calculation DB 9.
- the system overall evaluation result column 811 may include information on the target defense effectiveness column 802 of the input screen 901 illustrated in FIG.
- the security requirements in each security function requirement detailed evaluation result column 812 include not only “security function requirement 1” and “security function requirement 2” but also a combination of “security function requirement 1” and “security function requirement 2”.
- the combination of security function requirements generated in step S702 may be included.
- the display screen 905 is not limited to the example illustrated in FIG. 14, and may be a display of only the value of the quantitative evaluation result, or may be a display of information in the evaluation calculation data table 400 in a table format. Good. Further, the display screen 905 may include alert information for the user due to insufficient verification results.
- FIG. 15 is a diagram showing an example of display of the recommended result of excess / deficiency requirements.
- the display screen 906 may be the display in step S212 based on the information transmitted in step S708.
- “o” is displayed for each combination of “security function requirement 1”, “security function requirement 2”, and “security function requirement 4”, and “combination” is displayed in “combination”.
- “(1)”, which is the identifier of the combination, is displayed, and may be displayed in the “sufficient” column of “system evaluation” to indicate that the combination is determined to be sufficient in step S706.
- the information displayed as the excess / deficiency requirement recommendation result is not limited to the display screen 906 shown in FIG. 15, and the numerical value based on the sufficient and insufficient verification results, that is, the numerical value compared in step S ⁇ b> 705 is displayed. May be displayed.
- the display screen 906 may include information on the change candidate, and the change candidate is adopted.
- the quantitative evaluation result may be displayed.
- the display screen 906 may include a button 815, and when the button 815 is clicked, the processing may be repeated from the input of the target defense effectiveness in step S ⁇ b> 202, that is, step S ⁇ b> 502.
- the first embodiment it is possible to evaluate the functional safety by cyber security. Specifically, the effectiveness of defense can be evaluated against the target value of an item that serves as both the target value for cyber security and the target value for functional safety. It is also possible to set a system hierarchy that affects the physical control layer related to functional safety.
- Example 1 an example suitable for evaluating a functional safety system by cyber security in-house was described.
- Example 2 when a functional safety system developed by another company is connected to its own network, it is evaluated whether the functional safety system developed by the other company satisfies the target defense effectiveness against cyber attacks. A preferred example will be described.
- each part of the secure functional safety evaluation apparatus 1 shown in FIG. 1 is an independent computer, and each part may behave like a cloud computer connected by its own network.
- the input unit 2 receives the operating environment specification from the functional safety system developed by another company in step S201, receives the target defense effectiveness in step S202, and inputs the received information through the company's network. Send to.
- the input processing unit 4 transmits the hierarchical processing inquiry in step S203 to the other company's system through its own network and the output unit 3, and displays it on the other company's system.
- the input unit 2 receives the layered configuration information from the functional safety system developed by another company in step S204, and transmits the received information to the input processing unit 4 through its own network.
- Step S205 after Step S204, Step S207 to Step S211 are the same as the processing of the secure functional safety evaluation apparatus 1 described in the first embodiment although the processing is executed in the cloud.
- Each of the evaluation calculation unit 5 and the result processing unit 7 transmits the processing result to the other company's system through its own network and the output unit 3 in step S206 and step S212, respectively, and displays it on the other company's system.
- the hierarchy information table 310 by each individual system stored in the necessary requirement DB 8 necessary for the processing in step S503 is stored in the cloud, so that it can be directly transferred to the cloud data according to the change in the hierarchy configuration.
- the data can be updated efficiently.
- the safety evaluation device 1 makes it possible to evaluate functional safety and security.
- the hierarchized configuration information received from the user 109 is an example in which hierarchization is sufficiently performed
- the input processing unit 4 is an example on the assumption that sufficient hierarchization is completed in step S505.
- each layer may affect each other, and the layered configuration information received from the user 109 is information that is not sufficiently layered.
- a hierarchy verification processing unit is added to the input processing unit 4 in the third embodiment.
- the hierarchy verification processing unit is added between step S504 and step S505 shown in FIG. 6, and verifies whether or not the hierarchy is sufficiently hierarchized.
- the hierarchy verification processing unit determines whether the hierarchized configuration information can be further classified, or whether the hierarchized configuration information can be further hierarchized. Then, the hierarchy verification processing unit analyzes the dependency relationship between the hierarchies and the independence of the hierarchies, changes the hierarchized configuration information according to the analysis results, and increases the number of hierarchies.
- the example shown in FIG. 16 has four layers, but if a larger system is to be evaluated, there is a high possibility that the layers interfere with each other.
- the information-control layer 859 may interfere with a part of the physical control layer 853, and the information-control layer 859 and the physical control layer 853 may not be separated as independent layers. .
- the hierarchy verification processing unit analyzes the dependency relationship between the information-control layer 859 and the physical control layer 853, and the information-control layer 859 shown in FIG. Are divided into a plurality of layers and divided into an information-control layer 859 independent of the physical control layer 853.
- the third embodiment it is possible to sufficiently divide the hierarchy for a huge system having expandability, and therefore interference with other hierarchies also in the quantitative evaluation for each hierarchy. And the accuracy of quantitative evaluation can be improved.
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Software Systems (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Computing Systems (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Health & Medical Sciences (AREA)
- Bioethics (AREA)
- General Health & Medical Sciences (AREA)
- Computer And Data Communications (AREA)
- Management, Administration, Business Operations System, And Electronic Commerce (AREA)
- Storage Device Security (AREA)
- Debugging And Monitoring (AREA)
Abstract
評価対象システムの複数のシステム階層に関する情報を生成する階層生成部と、前記階層生成部により生成された複数のシステム階層に関する情報を用いて、各システム階層に含まれるセキュリティ機能要件による防御有効性の評価値を算出し、セキュリティ機能要件の組合せによる防御有効性の評価値を算出する評価部と、前記評価部により算出された評価値と、目標値とに基づいて、前記評価対象システムにおけるセキュリティ機能要件の過不足を検証する検証部と、を備える。
Description
本発明は、セキュリティ評価サーバおよびセキュリティ評価方法に関するものである。
機能安全を達成するにはISO61508やISO26262などの機能安全評価があり、サイバーセキュリティを達成するにはIEC62443やISO15408などのセキュリティ評価が知られている。
機能安全の点からは、ハード部品の故障発生率や、ハード部品の寿命があるため、時間経過により、ハード部品を製造した時点と比べて、機能安全のレベルが低下する。また、サイバーセキュリティの点からは、次々と新規のウイルスが発生することや、同一暗証番号を継続して使用し続けることによる危険性を考えると、時間経過により、情報システムを新規に構築した時点と比べて、セキュリティレベルが低下する。
ハード部品と情報システムの時間経過に対して、特許文献1には、情報システムの構築時に設定された複数のセキュリティ機能の時間経過に対するセキュリティレベルSLの変化傾向を的確に把握するために、一定周期で可用性の喪失経過時間を計時し、各セキュリティ機能のセキュリティレベルSLを算出する。このセキュリティレベルSLを全部のセキュリティ機能に亘って換算して情報システム全体のセキュリティSLGを算出し、算出された各時刻におけるシステムセキュリティレベルSLGをグラフ表示出力する、という技術が開示されている。
特許文献1に開示された技術を用いれば、ハード部品と情報システムの時間経過に対して、セキュリティレベルを評価することは可能になる。しかしながら、階層化された情報システムがハード部品を制御するシステムでは、情報システムの各階層へのサイバー攻撃がハード部品の機能安全に影響するものの、特許文献1にはこのような影響に関するセキュリティレベルを評価する技術までは開示されていなかった。
本発明の目的は、サイバーセキュリティによる機能安全を評価することである。
本発明に係る代表的なセキュリティ評価サーバは、評価対象システムの複数のシステム階層に関する情報を生成する階層生成部と、前記階層生成部により生成された複数のシステム階層に関する情報を用いて、各システム階層に含まれるセキュリティ機能要件による防御有効性の評価値を算出し、セキュリティ機能要件の組合せによる防御有効性の評価値を算出する評価部と、前記評価部により算出された評価値と、目標値とに基づいて、前記評価対象システムにおけるセキュリティ機能要件の過不足を検証する検証部と、を備えたことを特徴とする。
本発明によれば、サイバーセキュリティによる機能安全を評価することが可能になる。
以下、本発明の実施形態について図面を用いて詳細に説明する。
---システム構成---
実施例1のセキュア機能安全評価装置1のブロック構成の例を、図1を用いて説明する。セキュア機能安全評価装置1は、拡張性があるコネクティッド組込みシステムにおけるサイバーセキュリティによる機能安全を定量評価するためのシステムである。
実施例1のセキュア機能安全評価装置1のブロック構成の例を、図1を用いて説明する。セキュア機能安全評価装置1は、拡張性があるコネクティッド組込みシステムにおけるサイバーセキュリティによる機能安全を定量評価するためのシステムである。
セキュア機能安全評価装置1は、入力部2、出力部3、入力処理部4、評価演算部5、要件過不足検証部6、結果処理部7、必要要件DB8、評価演算DB9、検証演算DB10、および結果DB11から構成されている。
入力部2は、評価対象システム仕様と目標とする防御有効性の情報の入力を、ユーザから受け付ける。出力部3は、評価対象システムの評価結果を、ユーザに出力する。入力処理部4は、入力部2において入力された評価対象システム仕様から、定量評価するために使用される情報を抽出する。
評価演算部5は、評価対象システム仕様から抽出された情報を使用して防御有効性を定量化する。要件過不足検証部6は、定量化された防御有効性が、目標とする防御有効性を満たすかを評価し、目標とする防御有効性を満たすセキュリティ機能要件を検証する。結果処理部7は、防御有効性の評価結果と過不足検証結果を出力するための処理を行う。
必要要件DB8は、評価対象システムの階層情報、ユーザが入力部2を通じて入力した評価対象システムの稼働環境仕様に対応できる階層化情報、およびサイバーセキュリティ定量評価を実行する際に使用されるセキュリティ機能要件の情報が格納されるデータベースである。評価演算DB9は、防御有効性の定量化の演算手順が格納されるデータベースである。
検証演算DB10は、目標とする防御有効性を満たすかを評価するための要件情報、および目標とする防御有効性を満たすための要件情報が格納されるデータベースである。結果DB11は、評価対象システムの防御有効性の定量評価結果と、目標とする防御有効性を満たすセキュリティ機能要件が格納されるデータベースである。
---ハードウェア構成の例---
実施例1のセキュア機能安全評価装置1のハードウェア構成の例を、図2を用いて説明する。図2で例示するセキュア機能安全評価装置1は、CPU101、メモリ102、記憶装置103、通信装置104、電源装置105、入力装置106、および出力装置107を備え、これらはバス108で接続されている。
実施例1のセキュア機能安全評価装置1のハードウェア構成の例を、図2を用いて説明する。図2で例示するセキュア機能安全評価装置1は、CPU101、メモリ102、記憶装置103、通信装置104、電源装置105、入力装置106、および出力装置107を備え、これらはバス108で接続されている。
CPU101は、中央処理装置(演算装置)であり、記憶装置103あるいはメモリ102上に保存されたプログラムを実行することにより、入力処理部4、評価演算部5、要件過不足検証部6、および結果処理部7をセキュア機能安全評価装置1で実現する。
メモリ102は、CPU101が動作するときにプログラムとデータがロードされる主記憶装置であり、揮発性記憶素子で構成される。記憶装置103は、CPU101の入力データ、出力データ、およびプログラムを保存するための補助記憶装置であり、不揮発記憶素子で構成される。この記憶装置103には、必要要件DB8、評価演算DB9、検証演算DB10、結果DB11が格納される。
通信装置104は、外部のネットワークノードとネットワークを介して通信を行う。電源装置105は、電源コンセントと接続され、セキュア機能安全評価装置1内の各装置に電源を供給する。
入力装置106は、ユーザが情報を入力するためのインタフェースであり、例えば、キーボード、マウス、タッチパネル、カードリーダ、あるいは音声入力などである。出力装置107は、ユーザにフィードバックと演算結果などを提供するためのインタフェースであり、例えば、画面表示装置、音声出力装置、あるいは印字装置などである。
なお、図2に示すセキュア機能安全評価装置1は、以上の構成であるのでセキュリティ評価サーバと呼ばれてもよく、1台のハードウェア上で構成されるものであるが、大規模なサービスに対応するために負荷を分散処理する場合、あるいは可用性向上のために冗長構成をとる場合は、2台以上のハードウェア上で構築されたプラットフォーム上で構成されるものであってもよい。
また、入力処理部4、評価演算部5、要件過不足検証部6、および結果処理部7を実現するためのプログラムあるいはテーブルなどの情報は、記憶装置103、あるいは図示を省略したストレージサブシステム、不揮発半導体メモリ、HDD(Hard Disk Drive)、あるいはSSD(Solid State Drive)などの記憶デバイス、または、ICカード、SDカード、DVDなどの計算機読み取り可能な非一時的データ記憶媒体に格納されてもよい。
---データの例---
実施例1のセキュア機能安全評価装置1で使用されるデータの例を、図3A~3Cおよび図4を用いてそれぞれ説明する。図3A~3Cは、必要要件DB8に格納されるデータの例を示す図である。必要要件DB8は、システム稼働環境仕様書情報テーブル300、各個システムによる階層情報テーブル310、およびシステム構成仕様書情報テーブル320からなる。
実施例1のセキュア機能安全評価装置1で使用されるデータの例を、図3A~3Cおよび図4を用いてそれぞれ説明する。図3A~3Cは、必要要件DB8に格納されるデータの例を示す図である。必要要件DB8は、システム稼働環境仕様書情報テーブル300、各個システムによる階層情報テーブル310、およびシステム構成仕様書情報テーブル320からなる。
システム稼働環境仕様書情報テーブル300は、ユーザ109が入力部2を通じて指定した評価対象システムの稼働環境仕様書に関するデータである。システム稼働環境仕様書情報テーブル300は、仕様書項目301とシステム稼働環境情報302をペアとし、当該ペアを複数持つテーブルである。
一例として仕様書項目301は、システムタイプ、オペレーティングシステムタイプ、ライフサイクル年数、および利用状況を含み、これらの仕様書項目301とペアになるシステム稼働環境情報302は、仕様書項目301に対応するシステム稼働環境の情報を含む。仕様書項目301は、入力処理部4で処理内容の規定された項目であることが好ましい。
各個システムによる階層情報テーブル310は、ユーザ109が入力部2を通じて指定した評価対象システムの稼働環境仕様書に対応し、対応する稼働環境仕様書の評価システムの階層構成を規定するためのデータであって、予め設定された各個システムを構成する階層を示すデータである。
各個システムによる階層情報テーブル310は、組込みシステムタイプ311と階層構成312をペアとし、当該ペアを複数保持し、さらに階層構成312は複数の階層それぞれの情報を持つテーブルである。組込みシステムタイプ311は、評価対象システムとなり得る「自動車」、「ロボット」などの組込みシステムのカテゴリを含む。
また、階層構成312は、組込みシステムタイプ311に該当する階層構成として、どの階層を含むか否かを「○」と「×」の情報で含む。一例として、図3Bに示した組込みシステムタイプ311にある「自動車」は、「○」である物理制御層、情報-制御層、情報層およびクラウドから構成されていることを示す。なお、「ロボット」はクラウドが「×」であるので、物理制御層、情報制御装置、および情報層から構成されていることを示す。
システム構成仕様書情報テーブル320は、ユーザ109が入力部2を通じて入力した詳細なシステム構成仕様のデータである。システム構成仕様書情報テーブル320は、システム仕様321とセキュリティ機能要件322の独立した2つのテーブルからなり、それぞれが複数の項目を持つテーブルである。
システム仕様321は、図3Cに示すようなネットワーク機能仕様およびコンピュータ機能仕様などのシステム構成情報の項目を含み、これらの項目は入力処理部4で処理内容の規定された項目である。
セキュリティ機能要件322は、評価対象システムで運用されている各セキュリティ機能要件と、その通信場所、およびその通信方法などの各セキュリティ機能要件に関する詳細情報からなる。また、セキュリティ機能要件322は、各セキュリティ機能要件が評価対象システムのどの階層で運用されているかの運用階層情報323を含んでもよい。
システム稼働環境仕様書情報テーブル300、各個システムによる階層情報テーブル310、およびシステム構成仕様書情報テーブル320の3つのテーブルは、ユーザ109からの入力に基づいて互いに関連している。
セキュア機能安全評価装置1は、システム稼働環境仕様書情報テーブル300から評価対象システムのタイプを入力処理部4が判定し、評価対象システムのタイプの判定結果と各個システムによる階層情報テーブル310の内容に応じて、入力処理部4は評価対象システムに対応する階層情報をユーザ109に表示する。
そして、ユーザ109が評価対象システムに対応できる階層情報を入力すると、システム構成仕様書情報テーブル320の運用階層情報323を含むセキュリティ機能要件322が設定される。
図4は、評価演算DB9に格納されるデータの例を示す図である。評価演算DB9は、防御有効性の定量化の演算手順以外に、評価演算データテーブル400を含む。図4に示すように、評価演算データテーブル400は、セキュリティ機能要件の情報が格納される評価科目401と、各セキュリティ機能要件に対して階層ごとの評価結果の情報を格納する定量評価402から構成される。
評価科目401のセキュリティ機能要件の情報は、システム構成仕様書情報テーブル320のセキュリティ機能要件の列が保持している情報が取得されて設定される。なお、評価科目401の「セキュリティ機能要件1」などは、説明のための表現であり、セキュリティ機能要件を表す別の表現であってもよい。
定量評価402は、各セキュリティ機能要件の各階層における評価結果の情報が格納される列403、列404、および列405と、評価対象システムを対象とする評価結果の情報が格納される列406とを有する。
図4に示した定量評価402の情報は、実施例1に係る例として、制御-情報層の攻撃成功期間の情報を列403、情報層の攻撃成功期間の情報を列404、クラウド層の攻撃成功期間の情報を列405に分けられて格納されている。
列403、列404、および列405は、各個システムによる階層情報テーブル310の組み込みシステムタイプ311で該当する評価対象システムのタイプの階層構成312から情報が取得されて設定される。そのため、階層の種類、階層数は図4に示した例に限るものではない。
なお、定量評価402に格納される定量評価の指標すなわち攻撃成功期間などは、1つではなく複数であってもよい。またその指標は、攻撃成功期間と攻撃成功達成率に限定するものではなく、その他の指標であってもよい。例えば、過去の実績に基づく攻撃可能性などであってもよい。
評価科目401のセキュリティ機能要件と定量評価402の各列の各階層とによって定まるテーブルの各欄には、評価演算部5の図8に示すフローチャートの処理により算出された情報が格納される。
---処理フロー---
実施例1におけるセキュア機能安全評価装置1のシーケンスの例を、図5を用いて説明する。図5に示した入力処理部4、評価演算部5、要件過不足検証部6、および結果処理部7のそれぞれは、図1などを用いて説明したとおりである。
実施例1におけるセキュア機能安全評価装置1のシーケンスの例を、図5を用いて説明する。図5に示した入力処理部4、評価演算部5、要件過不足検証部6、および結果処理部7のそれぞれは、図1などを用いて説明したとおりである。
ステップS201で、入力処理部4は、入力装置106を通じて、ユーザ109からシステム稼働環境仕様書情報テーブル300の情報を含める稼働環境仕様書が入力される。セキュア機能安全評価装置1がユーザ109に表示する入力画面の例は、図10を用いて後述する。
ステップS202で、入力処理部4は、入力装置106を通じて、ユーザ109から評価対象システムが満たすべき目標とする防御有効性が入力される。セキュア機能安全評価装置1がユーザ109に表示する入力画面の例は、図11を用いてで後述する。
ステップS203で、入力処理部4は、ステップS201において受信した稼働環境仕様書のデータをもとに、必要要件DB8に格納された各個システムによる階層情報テーブル310の階層構成312を対応させ、対応した各階層定義をユーザ109に提示して、評価対象システムの階層処理をユーザ109に問い合せる。
稼働環境仕様書のデータをもとに、対応する各階層定義を各個システムによる階層情報テーブル310から取得するための入力処理部4の処理は、図6のステップS503でも後述する。セキュア機能安全評価装置1がユーザ109に表示する出力画面の例は、図12を用いて後述する。
ステップS204で、入力処理部4は、ユーザ109から階層化した構成情報を受信し、システム構成仕様書情報テーブル320に情報を設定する。このために、ユーザ109は、ステップS203で表示された各個システムによる階層情報テーブル310に基づく情報により、評価対象システムの構成を階層化し、階層化した構成情報を入力処理部4に入力する。
ユーザ109に表示した各階層定義をもとに、対応する階層化した構成情報をユーザ109から取得するための入力処理部4の処理は、図6のステップS504でも後述する。セキュア機能安全評価装置1がユーザ109に表示する入力画面の例は、図13A、13Bを用いて後述する。
ステップS205で、入力処理部4は、ユーザ109により入力された階層化した構成情報から、必要要件DB8を用いて、定量評価をするための要件すなわち階層化したセキュリティ機能要件を抽出し、抽出した階層化したセキュリティ機能要件を評価演算部5に送信する。
ステップS206で、評価演算部5は、入力処理部4から階層化したセキュリティ機能要件を受信し、評価演算DB9に格納された演算手順を用いて、階層化したセキュリティ機能要件の防御有効性を定量評価し、システム評価結果をユーザ109に表示する。また、システム評価結果は評価演算DB9の評価演算データテーブル400に格納される。定量評価の計算の例は、図8のステップS604~S610でも後述する。
ステップS207で、入力処理部4は、ステップS202においてユーザ109が入力した目標とする防御有効性を、要件過不足検証部6に送信する。そして、ステップS208は、階層化したセキュリティ機能要件が目標とする防御有効性を満たすか否かを検証する、あるいは目標とする防御有効性を満たす階層化したセキュリティ機能要件の組合せを検証するループである。
階層化したセキュリティ機能要件は、1つの階層内に複数のセキュリティ機能要件を有する場合もあるし、複数の階層それぞれにセキュリティ機能要件を有する場合もある。このため、セキュリティ機能要件の組合せを検証することにより、目標とする防御有効性を満たす必要最小限のセキュリティ機能要件の組合せを抽出することも可能になる。
ステップS208のループは、ステップS209とステップS210を含み、検証可能なセキュリティ機能要件の組合せが検証されるまで、あるいは予め設定された条件が満たされるまで繰り返される。なお、ステップS208のループの基となる要件過不足検証部6の処理の例は、図9のステップS702とステップS707でも後述する。
ステップS209で、要件過不足検証部6は、検証可能なセキュリティ機能要件の組合せの中から1つの組合せを評価演算部5に送信する。そして、ステップS208のループによる次のステップS209で、要件過不足検証部6は、検証可能なセキュリティ機能要件の組合せの中から別の1つの組合せを評価演算部5に送信する。組合せの送信の処理の例は、図9のステップS703でも後述する。
ステップS210で、評価演算部5は、要件過不足検証部6から受信したセキュリティ機能要件の組合せの防御有効性を定量評価し、評価結果を要件過不足検証部6に送信する。要件過不足検証部6は、評価演算部5から受信した評価結果を用いて検証する。
ステップS211で、要件過不足検証部6は、入力処理部4から受信した目標とする防御有効性と、評価演算部5から受信した評価結果を比較して、要件の過不足を判定することにより検証し、要件検証結果などを結果処理部7に送信する。なお、検証の処理の例は、図9のステップS705~S706でも後述する。
ステップS212で、結果処理部7は、要件過不足検証部6から受信した要件検証結果などに基づき、セキュリティ機能要件検証結果と過不足要件推奨結果をユーザ109に表示する。出力画面の例は、図14と図15を用いて後述する。
セキュア機能安全評価装置1の入力処理部4が行う処理のフローチャートの例を、図6を用いて説明する。ステップS501で、入力処理部4は、ユーザ109から入力された情報に基づいて稼働環境仕様書を受信する。ステップS501は図5のステップS201に相当する。
図10は、ユーザ109へ表示する実行項目と稼働環境仕様書の入力画面900の例を示す図である。この入力画面900は、ステップS501において表示されるGUI(Graphical User Interface)であり、図10に示すように、実行項目選択欄800と、ユーザ109に稼働環境仕様書のファイルをアップロードさせるための稼働環境仕様書欄801を含む。
実行項目選択欄800は、ユーザ109によりセキュア機能安全評価装置1の実行項目が選択される欄であり、チェックの付けられた項目が選択される。ただし、「評価対象システムの現状セキュリティ定量評価」は必須であるので、ユーザ109の選択に関わらず、常にチェックが付けられてもよい。
実行項目選択欄800の「要件過不足検証」にチェックが付けられると、図5に示したステップS208、S211、S212が実行され、「要件過不足検証」にチェックが付けられないと、ステップS208、S211、S212は実行されなくてもよい。
また、「評価対象システムの現状セキュリティ定量評価」は必須であるので、「要件過不足検証」にチェックが付けられると、「評価対象システムの現状セキュリティ定量評価」と「要件過不足検証」の両方の実行が選択される。
ユーザ109により、稼働環境仕様書欄801の空欄に稼働環境仕様書のファイル名が設定され、「参照」のボタンがクリックされると、入力処理部4は、設定されたファイル名を持つ稼働環境仕様書のファイル(データ)を入力処理部4へアップロードする。
ここで、稼働環境仕様書のファイル(データ)は、システム稼働環境仕様書情報テーブル300の情報を含み、入力処理部4が評価対象システムのタイプを取得できるような情報を含むファイルであることが好ましい。
ただし、図10に示した入力画面900は一例であり、セキュア機能安全評価装置1が稼働環境の情報を取得できれば、入力画面の表示内容と入力される情報の種類は限定されるものではない。例えば、稼働環境仕様書のファイルを取得する代わりに、取得すべき情報の項目それぞれをユーザ109に表示して、ユーザ109がそれぞれの項目を手動で入力する入力画面であってもよい。
ステップS502で、入力処理部4は、ユーザ109が入力した目標とする防御有効性を受信する。ステップS502は図5のステップS202に相当する。ステップS501は、実行項目選択欄800の「要件過不足検証」がチェックされた場合に実行され、「要件過不足検証」がチェックされなかった場合は実行されず、スキップされてもよい。
図11は、ユーザ109へ表示する目標とする防御有効性の入力画面901の例を示す図である。この入力画面901は、ステップS502において表示されるGUIであり、図11に示すように、目標とする防御有効性欄802、ボタン803、およびボタン804を含む。
目標とする防御有効性は、許容安全範囲、許容発生頻度、および許容回復時間などセキュリティ機能要件に対する定量指標である。具体的に、目標とする防御有効性欄802において、上記許容安全範囲の一例はサイバー攻撃成功期間であり、上記許容発生頻度の一例はサイバー攻撃成功達成率であり、上記許容回復時間の一例は安全状態復帰許容時間である。
ボタン803は機能安全検証を実行するためのボタンであり、ボタン803がクリックされると、セキュア機能安全評価装置1は入力された評価対象システムの機能安全要件が機能安全要求を満たすかの検証機能を行う。ボタン804がクリックされると、セキュリティ機能要件評価へ進み、ステップS503へ進む。
ただし、目標とする防御有効性の情報が取得できれば、入力画面の表示内容と入力される情報の種類は限定されるものではない。また、ボタンの種類も限定するものではなく、各ボタンがクリックされた場合の動作も限定するものではない。
ステップS502において、ユーザ109が入力する目標とする防御有効性の情報は、図11に示した目標とする防御有効性欄802の項目に限定するものではない。例えば、Safety Concept Notation Study Group(http://www.scn-sg.com/main/)の発行する文献Safety Concept Description Language (Version 1.3)に記載の項目が含まれてもよい。
上記文献によると、ユーザ109は機能安全要求を導出すために、初期段階で分析対象のハザート分析、目標とする安全目標・安全状態・時間的制約と、意図した機能にAutomotive Safety Integrity Level (ASIL)を並列で入力する。
ステップS502において、ユーザ109が入力する目標とする防御有効性は、上記文献の項目に限定するものではなく、機能安全の故障発生頻度などの定量項目が含まれてもよい。
ステップS502において、セキュア機能安全評価装置1では、ユーザ109が入力する目標とする防御有効性は、上記文献に記載された項目あるいはそれらの項目以外の項目に基づいて、機能安全とセキュリティの両方の機能要求を兼ねる項目を含めばよい。
この一例として、目標とする防御有効性欄802における許容安全範囲という項目は、1つの項目で、上記文献と同じように許容機能故障発生範囲に加えて、セキュリティ上の許容サイバー攻撃成功期間も兼ねる項目となっている。
ステップS503で、入力処理部4は、受信した稼働環境仕様書から、必要要件DB8の各個システムによる階層情報テーブル310に基づいて、階層定義を抽出し、抽出した階層定義をユーザ109に表示することにより、評価対象システムの階層処理をユーザ109に問い合せる。ステップS503は図5のステップS203に相当する。
図12は、ステップS503において、階層定義をユーザ109に表示する際のシステム稼働環境仕様書情報と各階層定義の表示画面902の例である。図12に示すように、表示画面902は、システム稼働環境仕様書情報テーブル300の情報を表示するためのシステム稼働環境仕様書情報欄805、階層定義を表示するための各階層定義欄806、ボタン807、およびボタン808を含む。
ボタン807がクリックされるとステップS501に戻り、ボタン808がクリックされるとステップS504へ進むことにより階層処理へ進む。ただし、表示画面は、システム稼働環境仕様書情報欄805と各階層定義欄806に限定するものではなく、各階層定義欄806を表示するだけであってもよい。
ステップS504で、入力処理部4は、ユーザ109からシステム構成情報を階層化するための情報が入力され、入力された情報をシステム構成仕様書情報テーブル320に設定する。ステップS504は図5のステップS204に相当し、ステップS504に関しては図7あるいは図13Aを用いてさらに後述する。
ステップS505で、入力処理部4は、階層化が完了したかを判定する。判定の条件に関しては図13Aを用いてさらに後述する。入力処理部4は、階層化が完了したと判定するとステップS506へ進み、階層化が完了していないと判定するとステップS510へ進む。
ステップS506で、入力処理部4は、ユーザ109からセキュリティ機能要件構成情報が入力され、入力されたセキュリティ機能要件構成情報を必要要件DB8のシステム構成仕様書情報テーブル320に格納する。ステップS506も図5のステップS204に相当し、図13Bを用いてさらに後述する。
ステップS507で、入力処理部4は、検証項目の入力が完了したかを判定する。判定の条件に関しては図13Bを用いてさらに後述する。入力処理部4は、検証項目の入力が完了したと判定するとステップS508に進み、検証項目の入力が完了していないと判定するとステップS510へ進む。
ステップS508で、入力処理部4は、階層化したセキュリティ機能要件構成情報を評価演算部5へ送信する。ステップS508は図5のステップS205に相当する。ステップS509で、入力処理部4は、ステップS502で入力された目標とする防御有効性を要件過不足検証部6へ送信する。
ステップS509は図5のステップS207に相当する。ステップS510で、入力処理部4は、ユーザ109へ情報の不足の警告を表示し、ステップS501に戻る。なお、入力処理部4は、以上で説明したように階層に関する情報を生成するため、階層生成部と呼ばれてもよい。
図13Aは、階層化したシステム構成をユーザ109へ表示し、ユーザ109から各階層の情報が入力される入力画面903の例を示す図である。入力画面903は、評価対象システムの階層化した構成の表示であるが、図13Aの例では、評価対象システムを「システム内」と「システム外」に分けた表示であり、「システム内」と「システム外」のそれぞれに含まれる各階層の表示である。
ここで、「システム内」は組込みシステムであり、「システム外」は組込みシステムへのコネクティドの世界であってもよい。ただし、「システム内」と「システム外」はこれらに限定するものではない。
「システム内」、「システム外」、「物理制御層」、「情報-制御層」、「情報層」、「クラウド」、および各階層内の構成を表示するための情報は、各個システムによる階層情報テーブル310とシステム構成仕様書情報テーブル320から取得された情報が含まれてもよいし、ユーザ109から入力画面903において入力された情報が含まれてもよい。
ユーザ109から入力画面903において入力される場合の処理について、図7を用いてさらに後述する。なお、システム構成仕様書情報テーブル320から情報が取得されるだけでなく、入力画面903で入力された情報がシステム構成仕様書情報テーブル320に設定されてもよい。
入力画面903の各階層の表示がクリックされると、クリックされた階層のセキュリティ機能要件に関する情報を入力するための入力画面へ表示が移行する。例えば、表示820がクリックされると、情報-制御層に関するセキュリティ機能要件に関する情報を入力するための図13Bに示した入力画面904へ表示が移行する。
入力画面903に表示された階層がクリックされない場合、メッセージ823が表示されてもよい。また、入力画面903において、ボタン821がクリックされると図6に示したステップS505で階層化が完了していないと判定され、ボタン822がクリックされるとステップS505で階層化が完了したと判定される。
図13Bは、入力画面903でクリックされた階層のセキュリティ機能要件に関する情報が入力される入力画面904の例を示す図である。例えば、入力画面903の「情報-制御層」の表示820がクリックされると、入力画面904が表示されて、情報-制御層のセキュリティ機能要件とそのシステム仕様情報が入力可能となり、ユーザ109により「IDS」と「パケット暗号化」などのセキュリティ機能要件が入力される。
そして、各セキュリティ機能要件の「ソフトウェアベンダ」、「現バージョン」、および「数」に関する情報が入力されてもよいが、入力画面904の表示項目と入力項目を、これらに限定するものではない。入力画面904で入力された情報は、システム構成仕様書情報テーブル320に設定される。
また、入力画面904において、ボタン824がクリックされると図6に示したステップS507で検証項目の入力が完了していないと判定され、ボタン825がクリックされるとステップS507で検証項目の入力が完了したと判定される。ステップS504とステップS505が1つのステップにまとめられて、入力画面903へ戻るボタンが入力画面904に設けられてもよい。
図6に示したステップS504の処理のフローチャートの例を、図7を用いて説明する。ステップS521で、入力処理部4は、ユーザ109から階層化に関する情報を入力する。ここで入力される情報は、図13Aを用いて説明した情報であってもよいし、以下で説明する判定の対象となる情報であってもよい。
ステップS522で、入力処理部4は、ステップS521で入力された情報が、図12で表示した各階層定義に基づき、物理制御層から1番近い階層の定義情報に相当するかを判定する。例えば、通信処理がシステム内で実行されるか否かの判定であってもよい。
入力処理部4は、通信処理がシステム内で実行されると判定するとステップS523へ進み、通信処理がシステム内で実行されないと判定するとステップS524へ進む。ステップS523で、入力処理部4は、物理制御層から1番近い階層に、ステップS521で入力された情報を分類する。
ステップS524で、入力処理部4は、ステップS521で入力された情報が、図12で表示した各階層定義に基づき、物理制御層から2番目に近い階層の定義情報に相当するかを判定する。例えば、インタフェースとしてシステム内外のつながりであるか否かの判定であってもよい。
入力処理部4は、インタフェースとしてシステム内外のつながりであると判定するとステップS525へ進み、インタフェースとしてシステム内外のつながりでないと判定するとステップS526へ進む。ステップS525で、入力処理部4は、物理制御層から2番目に近い階層に、ステップS521で入力された情報を分類する。
ステップS526で、入力処理部4は、ステップS521で入力された情報が、図12で表示した各階層定義に基づき、物理制御層から1番遠い階層の定義情報に相当するかを判定する。例えば、IoTセキュリティ対策であるか否かの判定であってもよい。
入力処理部4は、IoTセキュリティ対策であると判定するとステップS527へ進み、IoTセキュリティ対策でないと判定すると処理を終了する。ステップS527で、入力処理部4は、物理制御層から1番目遠い階層に、ステップS521で入力された情報を分類する。
なお、評価対象システムの構成を複数の階層に分けるために、ステップS521~S527は複数回繰り返されてもよい。また、ステップS522、S524、S526の判定の代わりに、図13Aに示した入力画面903のGUIにより、どの階層であるかの入力をユーザ109から受け付けてもよい。
図16に示すように、拡張性がある組込みシステム870は、インターネットなどコネクションを利用して、コネクティッド世界871とのつながりが増えつつある。実施例1におけるサイバーセキュリティによる機能安全を定量化する評価対象システムは、組込みシステム870とコネクティッド世界871の両方の中の1つ以上の階層から構成されるシステムである。
図16に示した評価対象システムにおけるサイバー攻撃は、例えば、情報-制御層859へのサイバー攻撃850、情報層863へのサイバー攻撃851、あるいはクラウド865へのサイバー攻撃852があり、クラウド865から物理制御層853の方向へサイバー攻撃が伝搬するため、物理制御層853を脅かす可能性が増えつつある。
そして、物理制御層853の異常動作は人的被害を引き起こす可能性もあるため、サイバー攻撃による人的被害の危険性が高まり、機能安全の面からもサイバー攻撃は脅威となってきている。
実施例1のセキュア機能安全評価装置1は、サイバーセキュリティによる機能安全をどれだけ守れているかをユーザに提示する。このために、図16を参照しつつ、セキュア機能安全評価装置1の評価演算部5が、防御有効性を定量評価する処理のフローチャートの例を、図8を用いて説明する。
以下の説明の前提として、評価対象システムが物理制御層を除くN層で構成され、物理制御層と1番遠い層が第N層となる。すなわち、変数nが定数Nに近づくにつれて、物理制御層から遠い階層となる。また、以下のパラメータを定義する。
N:評価対象システムの物理制御層を除く階層数
n:評価対象になる階層
i:評価対象になる階層にある評価対象になるセキュリティ機能要件
x:第n層から物理制御層までの階層
Pnix:第n層にある第i番目のセキュリティ機能要件が、第x層からの攻撃に対する防御有効性
Pni:第n層にある第i番目のセキュリティ機能要件が、評価対象システムへの攻撃に対する防御有効性
Pn:評価対象になる第n層の防御有効性
Dn:評価対象になる第n層から物理制御層までの全体防御有効性
r、p:防御有効性の削減率 0<r、p<1
N:評価対象システムの物理制御層を除く階層数
n:評価対象になる階層
i:評価対象になる階層にある評価対象になるセキュリティ機能要件
x:第n層から物理制御層までの階層
Pnix:第n層にある第i番目のセキュリティ機能要件が、第x層からの攻撃に対する防御有効性
Pni:第n層にある第i番目のセキュリティ機能要件が、評価対象システムへの攻撃に対する防御有効性
Pn:評価対象になる第n層の防御有効性
Dn:評価対象になる第n層から物理制御層までの全体防御有効性
r、p:防御有効性の削減率 0<r、p<1
ステップS601で、評価演算部5は、入力処理部4からセキュリティ機能要件を受信するかを判定する。評価演算部5は、入力処理部4からのセキュリティ機能要件の受信であると判定するとステップS602へ進み、入力処理部4からのセキュリティ機能要件の受信ではないと判定すると、すなわち要件過不足検証部6からのセキュリティ機能要件の組合せの受信であると判定するとステップS603へ進む。
ステップS602で、評価演算部5は、入力処理部4から階層化したセキュリティ機能要件を受信する。ステップS602は図5に示したステップS205に相当する。ステップS603で、評価演算部5は、要件過不足検証部6から評価対象のセキュリティ機能要件の組合せを受信する。ステップS603は図5に示したステップS209に相当する。
ステップS604で、物理制御層と1番近い第1層から各階層(第n層)を評価対象として順次に抽出する。図16の例で、評価演算部5は、ステップS604からステップS608までのループの最初の実行において、物理制御層853と1番近い情報-制御層859を評価対象の階層とする。
ステップS605で、評価演算部5は、抽出した第n層にある第i番目のセキュリティ機能要件が、第x層からの攻撃に対する防御有効性Pnixを定量評価する。図16で評価演算部5は、例えば、情報-制御層859の中の第1番目のセキュリティ機能要件であるエッジ860が、情報-制御層859に対する防御有効性を定量評価する。
ここで、変数iの値と変数xの値がそれぞれ振られてもよい。変数iの値で特定されるセキュリティ機能要件は、ステップS602あるいはステップS603で受信された1または複数の(組合された)セキュリティ要件であってもよい。
ステップS606で、評価演算部5は、抽出した第n層にある第i番目のセキュリティ機能要件が、評価対象システムへの攻撃に対する防御有効性Pniを定量評価する。図16で評価演算部5は、例えば、情報-制御層859の中の第1番目のセキュリティ機能要件であるエッジ860が、評価対象システムへの攻撃に対する防御有効性を定量評価する。ここで、変数iの値は振られてもよい。
ステップS607で、評価演算部5は、評価対象の階層を第n+1層に移し、n+1を新たなnに設定する。図16で評価演算部5は、例えば、評価対象を情報-制御層859から情報層863に移す。
ステップS608で、評価演算部5は、評価対象が物理制御層と1番遠い階層まで至っていないか、すなわちn<Nであるかを判定し、評価対象が物理制御層と1番遠い階層まで至っていると判定するとステップS609へ進み、評価対象が物理制御層と1番遠い階層まで至っていないと判定するとステップS604に戻る。
これにより、評価演算部5は、図16で、例えば、情報-制御層859からクラウド865までを評価対象とし、クラウド865を評価対象とした後は、ステップS609へ進む。
ステップS609で、評価演算部5は、防御有効性Pnと全体防御有効性Dnを算出する。評価対象になる第n層の防御有効性Pnは、Pn=MAX(Pnix)ただしn=xで算出され、評価対象になる第n層から物理制御層までの全体防御有効性Dnは、Dn=Pn+r*P(n-1)+p*P(n-2)+・・・≒ΣPnで算出される。
評価演算部5は、図16で、例えば、情報-制御層859のエッジ860の防御有効性、テレメトリ通信861の防御有効性、およびBPCSネットワーク862(BPCS: Basic Process Control System)の防御有効性の3つの防御有効性の中で、1番大きい防御有効性を、情報-制御層859の防御有効性Pnにする。
また、評価演算部5は、図16で、情報層863の防御有効性と情報-制御層859の防御有効性の加算結果を、情報層863から物理制御層853までの全体防御有効性Dnにする。
ステップS610で、評価演算部5は、ステップS604からステップS609までで得られた各セキュリティ機能要件の定量評価結果を評価演算DB9の評価演算データテーブル400に保存する。
ステップS611で、評価演算部5は、ステップS601と同じく、入力処理部4から受信したセキュリティ機能要件の処理であったかを判定する。評価演算部5は、入力処理部4から受信したセキュリティ機能要件の処理であったと判定するとステップS612へ進み、入力処理部4から受信したセキュリティ機能要件の処理でなかったと判定すると、すなわち要件過不足検証部6から受信したセキュリティ機能要件の組合せの処理であったと判定するとステップS613へ進む。
ステップS612で、評価演算部5は、ステップS610で保存した定量評価結果をユーザ109へ表示して処理を終了する。ユーザ109へ表示する情報は、ステップS610で保存された定量評価結果の一部であってもよい。ステップS612は図5のステップS206に相当する。
ステップS613で、評価演算部5は、入力画面900の実行項目選択欄800で「要件過不足検証」にチェックが付けられていたかを判定する。評価演算部5は、「要件過不足検証」にチェックが付けられていたと判定するとステップS614へ進み、「要件過不足検証」にチェックが付けられていなかったと判定すると処理を終了する。
ステップS614で、評価演算部5は、ステップS610で保存した定量評価結果を要件過不足検証部6へ送信して処理を終了する。ステップS614は図5のステップS210に相当する。
なお、防御有効性の定量評価の処理は、セキュア機能安全評価装置1に接続された外部装置で実行されてもよく、評価演算部5は、セキュリティ機能要件などの情報を外部装置へ送信し、外部装置から定量評価の結果を受信してもよい。また、定量評価される項目は、目標とする防御有効性の項目と同じであることが好ましい。このため、評価演算部5は目標とする防御有効性を入力処理部4から受信してもよい。
以上の処理手順により、ステップS602、およびステップS604からステップS612が、図5のステップS205からステップS206に相当し、ステップS603からステップS611、およびステップS614が、図5のステップS209からステップS210に相当する。
セキュア機能安全評価装置1の要件過不足検証部6が、目標とする防御有効性に対する要件過不足を検証する処理のフローチャートの例を、図9を用いて説明する。図9を用いて説明する処理は、入力画面900の実行項目選択欄800で「要件過不足検証」が選択された場合に実行される。このため、「要件過不足検証」が選択されたかが、ステップS701より前で判定されてもよい。
ステップS701で、要件過不足検証部6は、目標とする防御有効性を入力処理部4から受信する。ステップS701は図5のステップS207に相当する。
ステップS702で、要件過不足検証部6は、評価対象となるセキュリティ機能要件の組合せを1つずつ生成し、ステップS702からステップS707までを繰り返す。ここで、評価対象のセキュリティ機能要件は、システム構成仕様書情報テーブル320のセキュリティ機能要件322に情報が格納されたセキュリティ機能要件であってもよい。
また、セキュリティ機能要件の組合せは、セキュリティ機能要件322に情報が格納されたセキュリティ機能要件の個数をSとすると、2個1組からS個1組までのそれぞれを、S個のセキュリティ機能要件からによって、生成されてもよい。セキュリティ機能要件の組合せは、セキュリティ機能要件の順列を用いて生成してもよいし、組合せを用いて生成してもよい。
ステップS703で、要件過不足検証部6は、ステップS702で生成されたセキュリティ機能要件の組合せを評価演算部5へ送信する。ステップS703は図5のステップS209に相当し、評価演算部5はステップS603でセキュリティ機能要件の組合せを受信する。
ステップS704で、要件過不足検証部6は、評価演算部5から定量評価結果を受信する。ステップS704は図5のステップS210に相当し、要件過不足検証部6が受信する定量評価結果は評価演算部5がステップS614で送信した定量評価結果である。
ステップS705で、要件過不足検証部6は、ステップS701で受信した目標とする防御有効性と、ステップS704で受信した定量評価結果との大小を比較する。ステップS706で、要件過不足検証部6は、ステップS705の比較結果により、目標とする防御有効性が定量評価結果以上の場合は十分と判定し、目標とする防御有効性が定量評価結果未満の場合は不足と判定して、判定結果を保存する。
なお、ステップS706で、要件過不足検証部6は、十分であると判定された定量評価結果の基となった1以上の階層および1以上のセキュリティ機能要件の1以上の定量評価結果の中から最大値を特定してもよい。
ステップS707で、要件過不足検証部6は、ステップS702で生成される組合せの中で生成されていない組合せが残っている場合、ステップS702に戻り、生成されていない組合せが残っていない場合、ステップS702からステップS707までの繰り返しを終了してステップS708へ進む。
なお、繰り返しを終了する条件が予め設定されていた場合、例えば、十分という判定結果の上限個数が予め設定されていた場合、要件過不足検証部6は、生成されていない組合せが残っているか否かに関わらず、予め設定されていた条件にしたがって、ステップS702からステップS707までの繰り返しを終了してステップS708へ進んでもよい。
ステップS708で、要件過不足検証部6は、ステップS706で保存した判定結果を検証結果として結果処理部7へ送信し、十分と判定された目標を満たすセキュリティ機能要件の組合せの情報を結果処理部7へ送信する。ステップS708は図5のステップS211に相当し、定量評価結果も結果処理部7へ送信されてもよい。
なお、要件過不足検証部6は、セキュリティ機能要件の組合せと判定結果を結果DB11に保存してもよい。以上の処理により得られたセキュリティ機能要件の組合せと判定結果(検証結果)に関する表示として、過不足要件推奨結果の表示画面906については、図15を用いて後述する。
図14は、評価対象システムと各セキュリティ機能要件の定量評価結果の表示の例を示す図である。表示画面905は、システム全体評価結果欄811と各セキュリティ機能要件詳細評価結果欄812から構成され、ステップS708で送信された情報を基にしたステップS212の表示であってもよい。
また、表示画面905は、評価演算DB9に格納されている評価演算データテーブル400から取得された情報を基にして表示されてもよい。システム全体評価結果欄811は、図11に示した入力画面901の目標とする防御有効性欄802の情報を含んでもよい。
また、各セキュリティ機能要件詳細評価結果欄812のセキュリティ要件は、「セキュリティ機能要件1」と「セキュリティ機能要件2」だけでなく、「セキュリティ機能要件1」と「セキュリティ機能要件2」の組合せなどのステップS702で生成されたセキュリティ機能要件の組合せを含んでもよい。
表示画面905は、図14に示した例に限定するものではなく、定量評価結果の値だけの表示であってもよいし、評価演算データテーブル400の情報のテーブル形式での表示であってもよい。さらに、表示画面905は、検証結果が不足であることによるユーザへのアラート情報を含んでもよい。
図15は、過不足要件推奨結果の表示の例を示す図である。表示画面906は、ステップS708で送信された情報を基にしたステップS212の表示であってもよい。
表示画面906において、例えば、「セキュリティ機能要件1」、「セキュリティ機能要件2」、および「セキュリティ機能要件4」の組合せに対して、この組合せのそれぞれに「○」が表示され、「組合せ」に組合せの識別子となる「(1)」が表示され、この組合せがステップS706で十分と判定されたことを示すために、「システム評価」の「十分」の列に表示されてもよい。
そして、この組合せは十分であるので、推奨される組合せとして表示されてもよい。過不足要件推奨結果として表示される情報は、図15に示した表示画面906に限定するものではなく、十分と不足の検証結果の基となった数値すなわちステップS705で比較された数値の値が表示されてもよい。
さらに、不足の組合せに対して、目標とする防御有効性に収めるための変更候補が算出できるのであれば、表示画面906は、その変更候補の情報を含んでもよく、変更候補が採用された場合の定量評価結果が表示されてもよい。
図15に示すように、表示画面906はボタン815を含んでもよく、ボタン815がクリックされると、ステップS202すなわちステップS502の目標とする防御有効性の入力から処理をやり直してもよい。
以上で説明したように、実施例1によれば、サイバーセキュリティによる機能安全を評価することが可能になる。具体的には、サイバーセキュリティの目標値と機能安全の目標値の両方を兼ねる項目の目標値に対して、防御有効性を評価できる。また、機能安全に関わる物理制御層へ影響を与えるシステムの階層を設定できる。
そして、設定された階層ごとにセキュリティ機能要件の防御有効性を評価できるため、評価を単純化でき、特定の階層から機能安全に関わる物理制御層までのセキュリティ機能要件の防御有効性の評価も単純化できる。
また、目標値に対し、評価されたセキュリティ機能要件だけで十分かも判定できる。このため、余分なセキュリティ機能要件があるかの情報も提供可能となる。
実施例1では、サイバーセキュリティによる機能安全システムの評価を自社内で行う場合に好適な例を説明した。実施例2では、他社が開発した機能安全システムを自社のネットワークに接続するときに、他社が開発した機能安全システムが、サイバー攻撃に対して目標とする防御有効性を満たすかを評価する場合に好適な例を説明する。
実施例2では、必要要件DB8、評価演算DB9、検証演算DB10、および結果DB11の4つのデータベースが、セキュア機能安全評価装置1のメモリ102に格納されていても、これらの4つのデータベースは、通信装置104を通じてクラウドに格納のようにふるまってもよい。
また、図1に示したセキュア機能安全評価装置1の各部は独立したコンピュータであって、各部は自社のネットワークで接続されたクラウドのコンピュータのようにふるまってもよい。
実施例2におけるシーケンスの例を、図5を用いて説明する。なお、以下で説明するシーケンス以外の説明は実施例1での説明と同じであるので省略する。入力部2は、ステップS201で他社が開発した機能安全システムから稼働環境仕様書を受信し、ステップS202で目標とする防御有効性を受信して、受信した情報を自社のネットワークを通じて入力処理部4に送信する。
入力処理部4は、自社のネットワークと出力部3を通じて、ステップS203での階層処理の問合せを他社のシステムへ送信し、他社のシステムで表示させる。入力部2は、ステップS204で他社が開発した機能安全システムから階層化した構成情報を受信し、受信した情報を自社のネットワークを通じて入力処理部4に送信する。
ステップS204以降のステップS205、ステップS207からステップS211までは、クラウドで処理を実行するものの、実施例1で説明したセキュア機能安全評価装置1の処理と同じである。
また、評価演算部5と結果処理部7のそれぞれは、ステップS206とステップS212のそれぞれで、自社のネットワークと出力部3を通じて、それぞれの処理結果を他社のシステムへ送信し、他社のシステムで表示させる。
実施例2で、ステップS503の処理に必要な必要要件DB8に格納されている各個システムによる階層情報テーブル310は、クラウドに格納されているため、階層構成の変化に応じてクラウドのデータへ直接にフィードバックすることにより、データを効率よく更新することが可能になる。
以上で説明したように、実施例2によれば、機能安全システムとセキュア機能安全評価装置1の両方が自社で開発された場合のみならず、他社で開発した機能安全システムに対してもセキュア機能安全評価装置1により、機能安全とセキュリティを評価することが可能になる。
実施例1では、各階層、すなわち物理制御層、情報-制御層、情報層、およびクラウドが独立である例を説明した。すなわち、ユーザ109から受信する階層化した構成情報は、十分に階層化されている例であり、入力処理部4はステップS505で十分な階層化が完了するという前提での例であった。
実施例3では、各階層は相互に影響する可能性があり、ユーザ109から受信する階層化した構成情報が、十分に階層化されていない情報である場合の例を説明する。実施例3における入力処理部4には階層検証処理部が追加される。階層検証処理部は、図6に示したステップS504とステップS505の間に追加され、階層が十分に階層化されたかどうかを検証する。
階層検証処理部は、階層化した構成情報をさらに分類できるかどうか、または階層化した構成情報をさらに多くの階層にできるかどうかを判定する。そして、階層検証処理部は、各階層の相互の従属関係の分析と、各階層の独立性の分析を行い、これらの分析結果にしたがって、階層化した構成情報を変更し、階層数を増やす。
図16に示した例は4階層であったが、さらに巨大なシステムを評価対象とすると、各階層で相互に干渉する可能性が高くなってしまう。例えば、情報-制御層859が、物理制御層853の一部に干渉してしまう可能性もあり、情報-制御層859と物理制御層853のそれぞれを独立した階層として分けられない可能性がある。
この状況で、階層検証処理部は、情報-制御層859と物理制御層853の従属関係を分析し、図16に示した情報-制御層859は1階層だけであるが、情報-制御層859を複数の階層に分けて、物理制御層853とは独立な情報-制御層859に分ける。
以上で説明したように、実施例3によれば、拡張性がある巨大なシステムに対して、階層を十分に分けることが可能になるので、階層ごとの定量評価においても他の階層との干渉を排除でき、定量評価の精度を向上させられる。
1 セキュア機能安全評価装置
2 入力部
3 出力部
4 入力処理部
5 評価演算部
6 要件過不足検証部
7 結果処理部
8 必要要件DB
9 評価演算DB
10 検証演算DB
11 結果DB
2 入力部
3 出力部
4 入力処理部
5 評価演算部
6 要件過不足検証部
7 結果処理部
8 必要要件DB
9 評価演算DB
10 検証演算DB
11 結果DB
Claims (14)
- 評価対象システムの複数のシステム階層に関する情報を生成する階層生成部と、
前記階層生成部により生成された複数のシステム階層に関する情報を用いて、各システム階層に含まれるセキュリティ機能要件による防御有効性の第一の評価値を算出し、セキュリティ機能要件の組合せによる防御有効性の第二の評価値を算出する評価部と、
前記評価部により算出された第一と第二の評価値と、目標値とに基づいて、前記評価対象システムにおけるセキュリティ機能要件の過不足を検証する検証部と、
を備えたことを特徴とするセキュリティ評価サーバ。 - 請求項1に記載のセキュリティ評価サーバにおいて、
前記階層生成部は、機能安全に関わる第1のシステム階層と、前記第1のシステム階層とデータの授受を行う第2のシステム階層と、以下順に、第n(n≧2)のシステム階層とデータの授受を行う第n+1のシステム階層と、から成る複数のシステム階層に関する情報を生成する、
ことを特徴とするセキュリティ評価サーバ。 - 請求項2に記載のセキュリティ評価サーバにおいて、
前記評価部は、第2のシステム階層から第nのシステム階層へと順に、各システム階層に含まれるセキュリティ機能要件による各システム階層の防御有効性の第一の評価値を算出し、算出した各システム階層の防御有効性の第一の評価値に基づき、第nのシステム階層の全体防御有効性の第一の評価値を算出する、
ことを特徴とするセキュリティ評価サーバ。 - 請求項3に記載のセキュリティ評価サーバにおいて、
前記検証部は、前記評価部により算出された第二の評価値が、目標値以上である場合に、セキュリティ機能要件が十分であると判定する、
ことを特徴とするセキュリティ評価サーバ。 - 請求項3に記載のセキュリティ評価サーバにおいて、
前記検証部は、前記評価部により算出された第二の評価値が、目標値未満である場合に、セキュリティ機能要件が不足であると判定する、
ことを特徴とするセキュリティ評価サーバ。 - 請求項4に記載のセキュリティ評価サーバにおいて、
前記検証部は、前記セキュリティ機能要件が十分であると判定された場合、十分であると判定された第二の評価値の算出の基となった第一の評価値の最大値を特定する、
ことを特徴とするセキュリティ評価サーバ。 - 請求項2に記載のセキュリティ評価サーバにおいて、
前記階層生成部は、機能安全要件の目標値とセキュリティ機能要件の目標値を兼ねる項目の目標値の入力を受け付け、
前記評価部は、入力が受け付けられた目標値の項目に対応する項目で、各システム階層の防御有効性の第一の評価値を算出する、
ことを特徴とするセキュリティ評価サーバ。 - 請求項3に記載のセキュリティ評価サーバにおいて、
前記第1のシステム階層は物理制御層である、
ことを特徴とするセキュリティ評価サーバ。 - 請求項1に記載のセキュリティ評価サーバにおいて、
前記階層生成部は、
システム仕様書を受け付け、受け付けたシステム仕様書に含まれるシステムタイプに基づいて、複数のシステム階層に関する情報を生成する、
ことを特徴とするセキュリティ評価サーバ。 - 請求項1に記載のセキュリティ評価サーバにおいて、
前記階層生成部は、
階層を特定する操作を受け付け、受け付けた操作にしたがって、複数のシステム階層に関する情報を生成する、
ことを特徴とするセキュリティ評価サーバ。 - サーバにより実行されるセキュリティ評価方法において、
前記サーバは、CPUと、プログラムが格納された記憶装置と、を備え、
前記記憶装置に格納されたプログラムを実行する前記CPUは、
評価対象システムの複数のシステム階層に関する情報を生成し、
生成された複数のシステム階層に関する情報を用いて、各システム階層に含まれるセキュリティ機能要件による防御有効性の第一の評価値を算出し、セキュリティ機能要件の組合せによる防御有効性の第二の評価値を算出し、
算出された第一と第二の評価値と、目標値とに基づいて、前記評価対象システムにおけるセキュリティ機能要件の過不足を検証する、
ことを特徴とするセキュリティ評価方法。 - 請求項11に記載のセキュリティ評価方法において、
前記CPUは、機能安全に関わる第1のシステム階層と、前記第1のシステム階層とデータの授受を行う第2のシステム階層と、以下順に、第n(n≧2)のシステム階層とデータの授受を行う第n+1のシステム階層と、から成る複数のシステム階層に関する情報を生成する、
ことを特徴とするセキュリティ評価方法。 - 請求項12に記載のセキュリティ評価方法において、
前記CPUは、第2のシステム階層から第nのシステム階層へと順に、各システム階層に含まれるセキュリティ機能要件による各システム階層の防御有効性の第一の評価値を算出し、算出した各システム階層の防御有効性の第一の評価値に基づき、第nのシステム階層の全体防御有効性の第一の評価値を算出する、
ことを特徴とするセキュリティ評価方法。 - 請求項12に記載のセキュリティ評価方法において、
前記CPUは、
機能安全要件の目標値とセキュリティ機能要件の目標値を兼ねる項目の目標値の入力を受け付け、
入力が受け付けられた目標値の項目に対応する項目で、各システム階層の防御有効性の第一の評価値を算出する、
ことを特徴とするセキュリティ評価方法。
Priority Applications (3)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
EP18906954.5A EP3757836A4 (en) | 2018-02-21 | 2018-12-13 | SECURITY ASSESSMENT SERVER AND SECURITY ASSESSMENT PROCESS |
CN201880085748.2A CN111587433B (zh) | 2018-02-21 | 2018-12-13 | 安保评价服务器和安保评价方法 |
US16/969,010 US20210026970A1 (en) | 2018-02-21 | 2018-12-13 | Security evaluation server and security evaluation method |
Applications Claiming Priority (2)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2018-028887 | 2018-02-21 | ||
JP2018028887A JP6901979B2 (ja) | 2018-02-21 | 2018-02-21 | セキュリティ評価サーバおよびセキュリティ評価方法 |
Publications (1)
Publication Number | Publication Date |
---|---|
WO2019163266A1 true WO2019163266A1 (ja) | 2019-08-29 |
Family
ID=67687589
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
PCT/JP2018/045824 WO2019163266A1 (ja) | 2018-02-21 | 2018-12-13 | セキュリティ評価サーバおよびセキュリティ評価方法 |
Country Status (5)
Country | Link |
---|---|
US (1) | US20210026970A1 (ja) |
EP (1) | EP3757836A4 (ja) |
JP (1) | JP6901979B2 (ja) |
CN (1) | CN111587433B (ja) |
WO (1) | WO2019163266A1 (ja) |
Cited By (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
WO2023149008A1 (ja) * | 2022-02-01 | 2023-08-10 | 株式会社日立製作所 | 計算機システム及びセキュリティリスクの影響分析方法 |
Families Citing this family (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP6901979B2 (ja) * | 2018-02-21 | 2021-07-14 | 株式会社日立製作所 | セキュリティ評価サーバおよびセキュリティ評価方法 |
Citations (6)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2001101135A (ja) * | 1999-09-29 | 2001-04-13 | Hitachi Ltd | セキュリティ評価方法および装置、セキュリティ施策の作成支援方法および装置 |
JP2007316821A (ja) * | 2006-05-24 | 2007-12-06 | Omron Corp | セキュリティ監視装置、セキュリティ監視システム、セキュリティ監視方法 |
JP2008176634A (ja) | 2007-01-19 | 2008-07-31 | Toshiba Corp | セキュリティレベル監視評価装置及びセキュリティレベル監視評価プログラム |
WO2016126700A1 (en) * | 2015-02-06 | 2016-08-11 | Honeywell International Inc. | Rules engine for converting system-related characteristics and events into cyber-security risk assessment values |
JP2016200991A (ja) * | 2015-04-10 | 2016-12-01 | 日本電信電話株式会社 | セキュリティ対策選定支援システムおよびセキュリティ対策選定支援方法 |
US20170324764A1 (en) * | 2013-01-06 | 2017-11-09 | Spheric Security Solutions | System and method for evaluating and enhancing the security level of a network system |
Family Cites Families (8)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JPH07120335B2 (ja) * | 1984-10-19 | 1995-12-20 | 株式会社東芝 | 計算機システムの階層性評価装置 |
JP4469910B1 (ja) * | 2008-12-24 | 2010-06-02 | 株式会社東芝 | セキュリティ対策機能評価プログラム |
US8726393B2 (en) * | 2012-04-23 | 2014-05-13 | Abb Technology Ag | Cyber security analyzer |
JP6047463B2 (ja) * | 2013-08-21 | 2016-12-21 | 日立オートモティブシステムズ株式会社 | セキュリティ上の脅威を評価する評価装置及びその方法 |
CN104320271B (zh) * | 2014-10-20 | 2017-11-21 | 北京神州绿盟信息安全科技股份有限公司 | 一种网络设备安全评估方法及装置 |
CN104850794A (zh) * | 2015-05-28 | 2015-08-19 | 天津大学 | 基于未确知测度理论和粗糙集的软件安全等级细化方法 |
CN106384193A (zh) * | 2016-09-06 | 2017-02-08 | 中国电子技术标准化研究院 | 一种基于层次分析法的ics信息安全评估方法 |
JP6901979B2 (ja) * | 2018-02-21 | 2021-07-14 | 株式会社日立製作所 | セキュリティ評価サーバおよびセキュリティ評価方法 |
-
2018
- 2018-02-21 JP JP2018028887A patent/JP6901979B2/ja active Active
- 2018-12-13 CN CN201880085748.2A patent/CN111587433B/zh active Active
- 2018-12-13 US US16/969,010 patent/US20210026970A1/en not_active Abandoned
- 2018-12-13 EP EP18906954.5A patent/EP3757836A4/en not_active Withdrawn
- 2018-12-13 WO PCT/JP2018/045824 patent/WO2019163266A1/ja unknown
Patent Citations (6)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2001101135A (ja) * | 1999-09-29 | 2001-04-13 | Hitachi Ltd | セキュリティ評価方法および装置、セキュリティ施策の作成支援方法および装置 |
JP2007316821A (ja) * | 2006-05-24 | 2007-12-06 | Omron Corp | セキュリティ監視装置、セキュリティ監視システム、セキュリティ監視方法 |
JP2008176634A (ja) | 2007-01-19 | 2008-07-31 | Toshiba Corp | セキュリティレベル監視評価装置及びセキュリティレベル監視評価プログラム |
US20170324764A1 (en) * | 2013-01-06 | 2017-11-09 | Spheric Security Solutions | System and method for evaluating and enhancing the security level of a network system |
WO2016126700A1 (en) * | 2015-02-06 | 2016-08-11 | Honeywell International Inc. | Rules engine for converting system-related characteristics and events into cyber-security risk assessment values |
JP2016200991A (ja) * | 2015-04-10 | 2016-12-01 | 日本電信電話株式会社 | セキュリティ対策選定支援システムおよびセキュリティ対策選定支援方法 |
Non-Patent Citations (1)
Title |
---|
See also references of EP3757836A4 |
Cited By (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
WO2023149008A1 (ja) * | 2022-02-01 | 2023-08-10 | 株式会社日立製作所 | 計算機システム及びセキュリティリスクの影響分析方法 |
JP7482159B2 (ja) | 2022-02-01 | 2024-05-13 | 株式会社日立製作所 | 計算機システム及びセキュリティリスクの影響分析方法 |
Also Published As
Publication number | Publication date |
---|---|
CN111587433B (zh) | 2023-07-18 |
EP3757836A4 (en) | 2021-11-17 |
EP3757836A1 (en) | 2020-12-30 |
CN111587433A (zh) | 2020-08-25 |
JP2019144881A (ja) | 2019-08-29 |
US20210026970A1 (en) | 2021-01-28 |
JP6901979B2 (ja) | 2021-07-14 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
EP3218811B1 (en) | Testing insecure computing environments using random data sets generated from characterizations of real data sets | |
US11418534B2 (en) | Threat analysis system and threat analysis method | |
JP2018077597A (ja) | セキュリティ対策立案支援システムおよび方法 | |
US20130067572A1 (en) | Security event monitoring device, method, and program | |
US20190065757A1 (en) | Private verification for fpga bitstreams | |
EP1866813A2 (en) | Computer system for building a probabilistic model | |
WO2019163266A1 (ja) | セキュリティ評価サーバおよびセキュリティ評価方法 | |
WO2016063341A1 (ja) | 時系列予測装置、及び時系列予測方法 | |
JP7051724B2 (ja) | 計算機システム及び対象に関する目的を達成するために有用な情報の提示方法 | |
Affleck et al. | Optimal selection of operationalizations for non-functional requirements | |
US20170177424A1 (en) | Specific risk toolkit | |
JP6777612B2 (ja) | コンピュータシステムにおけるデータ損失を防止するためのシステム及び方法 | |
CN113609846A (zh) | 一种语句中实体关系的抽取方法及装置 | |
Chung et al. | An analytical method for developing appropriate protection profiles of Instrumentation & Control System for nuclear power plants | |
KR102269174B1 (ko) | 스마트 컨트랙트 검증 장치 및 방법 | |
US20160117622A1 (en) | Shared risk group management system, shared risk group management method, and shared risk group management program | |
Delgado et al. | Accurate and fast computations with positive extended Schoenmakers–Coffey matrices | |
WO2013114911A1 (ja) | リスク評価システム、リスク評価方法、及びプログラム | |
Ding et al. | A Novel Algorithm of Stochastic Chance‐Constrained Linear Programming and Its Application | |
Ferris et al. | The fundamental nature of resilience of engineered systems | |
WO2022018899A1 (ja) | Kpiツリーから部分ツリーを抽出するシステム | |
WO2018096686A1 (ja) | 検証プログラム、検証装置、検証方法、インデックス生成プログラム、インデックス生成装置およびインデックス生成方法 | |
US20130297283A1 (en) | Information processing device, information processing method, and program | |
EP3545441A1 (en) | Systems and methods for satisfiability modulo theories processes using uninterpreted function symbols | |
Ke et al. | The unified frame of alternating direction method of multipliers for three classes of matrix equations arising in control theory |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
121 | Ep: the epo has been informed by wipo that ep was designated in this application |
Ref document number: 18906954 Country of ref document: EP Kind code of ref document: A1 |
|
NENP | Non-entry into the national phase |
Ref country code: DE |
|
ENP | Entry into the national phase |
Ref document number: 2018906954 Country of ref document: EP Effective date: 20200921 |