WO2019163266A1 - セキュリティ評価サーバおよびセキュリティ評価方法 - Google Patents

セキュリティ評価サーバおよびセキュリティ評価方法 Download PDF

Info

Publication number
WO2019163266A1
WO2019163266A1 PCT/JP2018/045824 JP2018045824W WO2019163266A1 WO 2019163266 A1 WO2019163266 A1 WO 2019163266A1 JP 2018045824 W JP2018045824 W JP 2018045824W WO 2019163266 A1 WO2019163266 A1 WO 2019163266A1
Authority
WO
WIPO (PCT)
Prior art keywords
evaluation
security
hierarchy
information
requirement
Prior art date
Application number
PCT/JP2018/045824
Other languages
English (en)
French (fr)
Inventor
イーウェン チェン
甲斐　賢
英里子 安藤
博史 峯
飯室　聡
川口　貴正
Original Assignee
株式会社日立製作所
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社日立製作所 filed Critical 株式会社日立製作所
Priority to EP18906954.5A priority Critical patent/EP3757836A4/en
Priority to CN201880085748.2A priority patent/CN111587433B/zh
Priority to US16/969,010 priority patent/US20210026970A1/en
Publication of WO2019163266A1 publication Critical patent/WO2019163266A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/64—Protecting data integrity, e.g. using checksums, certificates or signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2145—Inheriting rights or properties, e.g., propagation of permissions or restrictions within a hierarchy

Definitions

  • the present invention relates to a security evaluation server and a security evaluation method.
  • the level of functional safety decreases with the passage of time compared to the time when the hardware parts were manufactured.
  • the time when a new information system was built over time Compared with the security level.
  • Patent Document 1 In order to accurately grasp the change tendency of the security level SL with respect to the passage of time of a plurality of security functions set at the time of construction of the information system, Patent Document 1 describes a fixed cycle with respect to the passage of time of the hardware parts and the information system. Then, the elapsed time of loss of availability is counted and the security level SL of each security function is calculated. A technique is disclosed in which the security level SL is converted over all security functions to calculate the security SLG of the entire information system, and the system security level SLG at each calculated time is displayed in a graph.
  • Patent Document 1 If the technology disclosed in Patent Document 1 is used, it is possible to evaluate the security level with respect to the passage of time of the hardware components and the information system. However, in a system in which a layered information system controls hardware components, a cyber attack on each layer of the information system affects the functional safety of the hardware components. The technology to be evaluated was not disclosed.
  • the purpose of the present invention is to evaluate the functional safety by cyber security.
  • a representative security evaluation server uses a hierarchy generation unit that generates information about a plurality of system hierarchies of an evaluation target system, and information about a plurality of system hierarchies generated by the hierarchy generation unit.
  • An evaluation unit that calculates an evaluation value of defense effectiveness based on a security function requirement included in the hierarchy, calculates an evaluation value of defense effectiveness based on a combination of security function requirements, an evaluation value calculated by the evaluation unit, and a target value
  • a verification unit that verifies whether security function requirements in the evaluation target system are excessive or insufficient.
  • FIG. 1 It is a figure which shows the example of a block configuration of a secure functional safety evaluation apparatus. It is a figure which shows the example of the hardware constitutions of a secure functional safety evaluation apparatus. It is a figure which shows the example of a system operating environment specification information table. It is a figure which shows the example of the hierarchy information table by each individual system. It is a figure which shows the example of a system configuration specification information table. It is a figure which shows the example of an evaluation calculation data table. It is a figure which shows the example of a sequence of a secure functional safety evaluation apparatus. It is a figure which shows the example of the flowchart of an input process part. It is a figure which shows the example of the flowchart of hierarchization.
  • the secure functional safety evaluation device 1 is a system for quantitatively evaluating functional safety by cyber security in a connected embedded system having expandability.
  • the secure functional safety evaluation device 1 includes an input unit 2, an output unit 3, an input processing unit 4, an evaluation calculation unit 5, a requirement excess / deficiency verification unit 6, a result processing unit 7, a necessary requirement DB 8, an evaluation calculation DB 9, a verification calculation DB 10, And the result DB 11.
  • the input unit 2 accepts input of evaluation target system specifications and target defense effectiveness information from the user.
  • the output unit 3 outputs the evaluation result of the evaluation target system to the user.
  • the input processing unit 4 extracts information used for quantitative evaluation from the evaluation target system specification input in the input unit 2.
  • the evaluation calculation unit 5 quantifies the defense effectiveness using information extracted from the evaluation target system specifications.
  • the requirement excess / deficiency verification unit 6 evaluates whether the quantified defense effectiveness satisfies the target defense effectiveness, and verifies the security functional requirements that satisfy the target defense effectiveness.
  • the result processing unit 7 performs processing for outputting the defense effectiveness evaluation result and the excess / deficiency verification result.
  • the necessary requirement DB 8 includes hierarchical information of the evaluation target system, hierarchical information that can correspond to the operating environment specification of the evaluation target system input by the user through the input unit 2, and security function requirements used when performing cybersecurity quantitative evaluation. It is a database that stores information.
  • the evaluation calculation DB 9 is a database that stores calculation procedures for quantifying defense effectiveness.
  • the verification calculation DB 10 is a database in which requirement information for evaluating whether the target defense effectiveness is satisfied and requirement information for satisfying the target defense effectiveness are stored.
  • the result DB 11 is a database in which a quantitative evaluation result of the defense effectiveness of the evaluation target system and security function requirements that satisfy the target defense effectiveness are stored.
  • the secure functional safety evaluation device 1 illustrated in FIG. 2 includes a CPU 101, a memory 102, a storage device 103, a communication device 104, a power supply device 105, an input device 106, and an output device 107, which are connected by a bus 108. .
  • the CPU 101 is a central processing unit (arithmetic unit), and by executing a program stored on the storage device 103 or the memory 102, the input processing unit 4, the evaluation arithmetic unit 5, the requirement excess / deficiency verification unit 6, and the result
  • the processing unit 7 is realized by the secure functional safety evaluation device 1.
  • the memory 102 is a main storage device into which programs and data are loaded when the CPU 101 operates, and is composed of volatile storage elements.
  • the storage device 103 is an auxiliary storage device for storing input data, output data, and a program of the CPU 101, and includes a nonvolatile storage element.
  • the storage device 103 stores a requirement DB 8, an evaluation calculation DB 9, a verification calculation DB 10, and a result DB 11.
  • the communication device 104 communicates with an external network node via a network.
  • the power supply device 105 is connected to a power outlet and supplies power to each device in the secure functional safety evaluation device 1.
  • the input device 106 is an interface for the user to input information, such as a keyboard, a mouse, a touch panel, a card reader, or voice input.
  • the output device 107 is an interface for providing feedback and calculation results to the user, and is, for example, a screen display device, an audio output device, or a printing device.
  • the secure functional safety evaluation device 1 shown in FIG. 2 has the above-described configuration and may be called a security evaluation server, and is configured on a single piece of hardware. When the load is distributed to cope with this, or when a redundant configuration is taken to improve availability, it may be configured on a platform constructed on two or more pieces of hardware.
  • Information such as a program or a table for realizing the input processing unit 4, the evaluation calculation unit 5, the requirement excess / deficiency verification unit 6, and the result processing unit 7 is stored in the storage device 103 or a storage subsystem that is not shown in the figure. It may be stored in a storage device such as a nonvolatile semiconductor memory, HDD (Hard Disk Drive), or SSD (Solid State Drive), or a computer-readable non-transitory data storage medium such as an IC card, SD card, or DVD. .
  • a storage device such as a nonvolatile semiconductor memory, HDD (Hard Disk Drive), or SSD (Solid State Drive), or a computer-readable non-transitory data storage medium such as an IC card, SD card, or DVD.
  • the requirement DB 8 includes a system operating environment specification information table 300, a hierarchy information table 310 for each individual system, and a system configuration specification information table 320.
  • the system operating environment specification information table 300 is data relating to the operating environment specifications of the evaluation target system specified by the user 109 through the input unit 2.
  • the system operating environment specification information table 300 is a table having a specification item 301 and system operating environment information 302 as a pair, and a plurality of such pairs.
  • the specification item 301 includes the system type, the operating system type, the life cycle years, and the usage status.
  • the system operating environment information 302 paired with the specification item 301 is a system corresponding to the specification item 301. Contains operating environment information.
  • the specification item 301 is preferably an item whose processing content is defined by the input processing unit 4.
  • the hierarchical information table 310 by each individual system is data for defining the hierarchical configuration of the evaluation system of the corresponding operating environment specification corresponding to the operating environment specification of the evaluation target system specified by the user 109 through the input unit 2. This is data indicating the hierarchy constituting each individual system set in advance.
  • the hierarchical information table 310 by each individual system is a table in which a built-in system type 311 and a hierarchical configuration 312 are paired, a plurality of such pairs are held, and the hierarchical configuration 312 has information on each of the plurality of hierarchical levels.
  • the embedded system type 311 includes categories of embedded systems such as “automobile” and “robot” that can be the evaluation target system.
  • the hierarchical configuration 312 includes information about “ ⁇ ” and “ ⁇ ” as to which hierarchy is included as a hierarchical configuration corresponding to the embedded system type 311.
  • “automobile” in the embedded system type 311 shown in FIG. 3B indicates that it is composed of a physical control layer, an information-control layer, an information layer, and a cloud that are “ ⁇ ”.
  • “robot” is composed of a physical control layer, an information control device, and an information layer because the cloud is “x”.
  • the system configuration specification information table 320 is detailed system configuration specification data input by the user 109 through the input unit 2.
  • the system configuration specification information table 320 includes two independent tables of a system specification 321 and a security function requirement 322, each having a plurality of items.
  • the system specification 321 includes items of system configuration information such as a network function specification and a computer function specification as shown in FIG. 3C, and these items are items whose processing contents are defined by the input processing unit 4.
  • the security function requirement 322 includes each security function requirement operated in the evaluation target system, and detailed information on each security function requirement such as a communication location and a communication method thereof. Further, the security function requirement 322 may include operation hierarchy information 323 indicating in which hierarchy of the evaluation target system each security function requirement is operated.
  • the three tables of the system operating environment specification information table 300, the hierarchical information table 310 by each individual system, and the system configuration specification information table 320 are related to each other based on input from the user 109.
  • the input processing unit 4 determines the type of the evaluation target system from the system operating environment specification information table 300, and the determination result of the evaluation target system type and the contents of the hierarchical information table 310 by each individual system are used. In response, the input processing unit 4 displays the hierarchical information corresponding to the evaluation target system to the user 109.
  • the security functional requirement 322 including the operational hierarchical information 323 of the system configuration specification information table 320 is set.
  • FIG. 4 is a diagram illustrating an example of data stored in the evaluation calculation DB 9.
  • the evaluation calculation DB 9 includes an evaluation calculation data table 400 in addition to the calculation procedure for quantifying defense effectiveness.
  • the evaluation calculation data table 400 includes an evaluation subject 401 in which information on security function requirements is stored, and a quantitative evaluation 402 in which information on evaluation results for each hierarchy is stored for each security function requirement. Is done.
  • the information on the security functional requirement of the evaluation subject 401 is set by acquiring information held in the security functional requirement column of the system configuration specification information table 320.
  • security function requirement 1 of the evaluation subject 401 is an expression for explanation, and may be another expression representing the security function requirement.
  • the quantitative evaluation 402 includes a column 403, a column 404, and a column 405 in which information on evaluation results in each layer of each security function requirement is stored, and a column 406 in which information on evaluation results for the evaluation target system is stored.
  • the information of the quantitative evaluation 402 shown in FIG. 4 includes, as an example according to the first embodiment, the control-information layer attack success period information in column 403, the information layer attack success period information in column 404, and the cloud layer attack. Information on the success period is divided into columns 405 and stored.
  • Columns 403, 404, and 405 are set by acquiring information from the hierarchical configuration 312 of the type of the evaluation target system in the embedded system type 311 of the hierarchical information table 310 by each individual system. Therefore, the type of hierarchy and the number of levels are not limited to the example shown in FIG.
  • the quantitative evaluation index stored in the quantitative evaluation 402 may be plural instead of one.
  • the index is not limited to the attack success period and the attack success achievement rate, but may be another index. For example, it may be an attack possibility based on past results.
  • Information calculated by the processing of the flowchart shown in FIG. 8 of the evaluation calculation unit 5 is stored in each column of the table determined by the security functional requirement of the evaluation subject 401 and each hierarchy of each column of the quantitative evaluation 402.
  • step S ⁇ b> 201 the input processing unit 4 receives an operating environment specification including information of the system operating environment specification information table 300 from the user 109 through the input device 106.
  • an example of an input screen displayed on the user 109 by the secure functional safety evaluation device 1 will be described later with reference to FIG.
  • step S ⁇ b> 202 the input processing unit 4 receives, from the user 109, the defense effectiveness that is a target to be satisfied by the evaluation target system through the input device 106.
  • An example of an input screen displayed on the user 109 by the secure functional safety evaluation device 1 will be described later with reference to FIG.
  • step S203 the input processing unit 4 associates the hierarchical configuration 312 of the hierarchical information table 310 with each individual system stored in the requirement DB 8 based on the data of the operating environment specification received in step S201.
  • Each hierarchical definition is presented to the user 109, and the hierarchical processing of the evaluation target system is inquired to the user 109.
  • step S503 An example of an output screen displayed on the user 109 by the secure functional safety evaluation apparatus 1 will be described later with reference to FIG.
  • step S204 the input processing unit 4 receives the hierarchical configuration information from the user 109 and sets the information in the system configuration specification information table 320.
  • the user 109 hierarchizes the configuration of the evaluation target system based on the information based on the hierarchical information table 310 by each individual system displayed in step S203, and inputs the hierarchized configuration information to the input processing unit 4.
  • step S504 of FIG. An example of an input screen displayed on the user 109 by the secure functional safety evaluation device 1 will be described later with reference to FIGS. 13A and 13B.
  • step S205 the input processing unit 4 extracts and extracts the requirements for quantitative evaluation, that is, the hierarchical security function requirements, from the hierarchical configuration information input by the user 109, using the necessary requirement DB 8.
  • the hierarchized security function requirements are transmitted to the evaluation calculation unit 5.
  • step S206 the evaluation calculation unit 5 receives the layered security function requirements from the input processing unit 4, and quantifies the defense effectiveness of the layered security function requirements using the calculation procedure stored in the evaluation calculation DB 9.
  • the system evaluation result is displayed to the user 109.
  • the system evaluation result is stored in the evaluation calculation data table 400 of the evaluation calculation DB 9.
  • An example of calculation for quantitative evaluation will also be described later in steps S604 to S610 in FIG.
  • step S207 the input processing unit 4 transmits the target defense effectiveness input by the user 109 in step S202 to the requirement excess / deficiency verification unit 6.
  • Step S208 is a loop for verifying whether the layered security function requirements satisfy the target defense effectiveness, or verifying the combination of layered security function requirements satisfying the target defense effectiveness. is there.
  • Hierarchical security function requirements may have a plurality of security function requirements in one layer, or may have a security function requirement in each of the plurality of layers. Therefore, by verifying the combination of security function requirements, it is possible to extract the minimum necessary combination of security function requirements that satisfy the target defense effectiveness.
  • the loop of step S208 includes step S209 and step S210, and is repeated until a verifiable combination of security function requirements is verified or a preset condition is satisfied.
  • An example of the process of the requirement excess / deficiency verification unit 6 that is the basis of the loop of step S208 will be described later in step S702 and step S707 of FIG.
  • step S209 the requirement excess / deficiency verification unit 6 transmits one combination from the combinations of security function requirements that can be verified to the evaluation calculation unit 5. Then, in the next step S209 in the loop of step S208, the requirement excess / deficiency verification unit 6 transmits another combination from the verifiable security function requirement combinations to the evaluation calculation unit 5.
  • step S703 An example of the transmission process of the combination will also be described later in step S703 in FIG.
  • step S210 the evaluation calculation unit 5 quantitatively evaluates the defense effectiveness of the combination of security function requirements received from the requirement excess / deficiency verification unit 6, and transmits the evaluation result to the requirement excess / deficiency verification unit 6.
  • the requirement excess / deficiency verification unit 6 verifies using the evaluation result received from the evaluation calculation unit 5.
  • step S211 the requirement excess / deficiency verification unit 6 compares the target defense effectiveness received from the input processing unit 4 with the evaluation result received from the evaluation calculation unit 5 to determine the requirement excess / deficiency. It verifies and transmits a requirement verification result etc. to the result process part 7.
  • FIG. An example of the verification process will be described later in steps S705 to S706 of FIG.
  • step S212 the result processing unit 7 displays the security function requirement verification result and the excess / deficiency requirement recommendation result to the user 109 based on the requirement verification result received from the requirement excess / deficiency verification unit 6.
  • An example of the output screen will be described later with reference to FIGS. 14 and 15.
  • step S ⁇ b> 501 the input processing unit 4 receives an operating environment specification based on information input from the user 109.
  • Step S501 corresponds to step S201 in FIG.
  • FIG. 10 is a diagram showing an example of an execution item and operating environment specification input screen 900 displayed to the user 109.
  • This input screen 900 is a GUI (Graphical User Interface) displayed in step S501.
  • an execution item selection field 800 and an operation for causing the user 109 to upload a file of the operating environment specification are displayed.
  • An environmental specification column 801 is included.
  • the execution item selection column 800 is a column in which the execution item of the secure functional safety evaluation apparatus 1 is selected by the user 109, and the checked item is selected.
  • the check since “the current security quantitative evaluation of the evaluation target system” is indispensable, the check may always be added regardless of the selection of the user 109.
  • steps S208, S211 and S212 shown in FIG. 5 are executed. If the “requirements for excess / deficiency requirements” is not checked, step S208 is executed. , S211 and S212 may not be executed.
  • the input processing unit 4 displays the operating environment having the set file name. Upload the specification file (data) to the input processing unit 4.
  • the file (data) of the operating environment specification is a file that includes information of the system operating environment specification information table 300 and includes information that allows the input processing unit 4 to acquire the type of the evaluation target system. preferable.
  • the input screen 900 shown in FIG. 10 is an example, and the display content of the input screen and the type of information to be input are not limited as long as the secure functional safety evaluation device 1 can acquire the information of the operating environment.
  • the secure functional safety evaluation device 1 instead of acquiring the file of the operating environment specification, it may be an input screen in which each item of information to be acquired is displayed on the user 109 and the user 109 manually inputs each item.
  • step S502 the input processing unit 4 receives the target defense effectiveness input by the user 109.
  • Step S502 corresponds to step S202 in FIG.
  • Step S501 is executed when “requirements for excess / shortage requirements” in the execution item selection field 800 is checked, and is not executed when “requirements for excess / shortage requirements” is not checked, and may be skipped.
  • FIG. 11 is a diagram showing an example of a target defense effectiveness input screen 901 to be displayed to the user 109.
  • the input screen 901 is a GUI displayed in step S502, and includes a target defense effectiveness column 802, a button 803, and a button 804 as shown in FIG.
  • Target defense effectiveness is a quantitative index for security functional requirements such as allowable safety range, allowable occurrence frequency, and allowable recovery time.
  • an example of the allowable safety range is a cyber attack success period
  • an example of the allowable occurrence frequency is a cyber attack success achievement rate
  • an example of the allowable recovery time is This is the allowable safe state recovery time.
  • a button 803 is a button for executing functional safety verification.
  • the secure functional safety evaluation device 1 verifies whether the functional safety requirement of the input evaluation target system satisfies the functional safety requirement. I do. If button 804 is clicked on, it proceeds to security function requirement evaluation and proceeds to step S503.
  • the display content of the input screen and the type of information to be input are not limited. Also, the type of button is not limited, and the operation when each button is clicked is not limited.
  • the target defense effectiveness information input by the user 109 is not limited to the items in the target defense effectiveness column 802 shown in FIG.
  • items described in the document SafetySafeConcept Description Language (Version 1.3) issued by Safety Concept Study Study Group (http://www.scn-sg.com/main/) may be included.
  • the user 109 in order to derive functional safety requirements, the user 109 must analyze the hazard analysis of the analysis target at the initial stage, the target safety goal / safety state / time constraints, and the intended function, Automotive Safety Safety Integrity Level (ASIL ) In parallel.
  • ASIL Automotive Safety Safety Integrity Level
  • the target defense effectiveness input by the user 109 is not limited to the items in the above document, and may include quantitative items such as the frequency of functional safety failures.
  • step S502 in the secure functional safety evaluation apparatus 1, the target defense effectiveness input by the user 109 is based on the items described in the above document or items other than those items. An item that also serves as a function request may be included.
  • the item “allowable safety range” in the target defense effectiveness column 802 is one item, and in addition to the allowable functional failure occurrence range as in the above document, also serves as a security allowable cyber attack success period. It is an item.
  • step S503 the input processing unit 4 extracts a hierarchy definition from the received operating environment specification based on the hierarchy information table 310 by each individual system of the requirement DB 8, and displays the extracted hierarchy definition to the user 109.
  • the user 109 is inquired about the hierarchical processing of the evaluation target system.
  • Step S503 corresponds to step S203 in FIG.
  • FIG. 12 shows an example of the system operating environment specification information and the display screen 902 for each hierarchy definition when the hierarchy definition is displayed to the user 109 in step S503.
  • the display screen 902 includes a system operating environment specification information column 805 for displaying information of the system operating environment specification information table 300, each tier definition column 806 for displaying a tier definition, and a button. 807, and a button 808.
  • the process returns to step S501, and when the button 808 is clicked, the process proceeds to step S504 to proceed to the hierarchy process.
  • the display screen is not limited to the system operating environment specification information column 805 and each layer definition column 806, and may only display each layer definition column 806.
  • step S504 the input processing unit 4 receives information for hierarchizing the system configuration information from the user 109, and sets the input information in the system configuration specification information table 320.
  • Step S504 corresponds to step S204 in FIG. 5, and step S504 will be further described later with reference to FIG. 7 or FIG. 13A.
  • step S505 the input processing unit 4 determines whether hierarchization has been completed. The determination condition will be further described later with reference to FIG. 13A. If the input processing unit 4 determines that the hierarchization is completed, the process proceeds to step S506, and if the input processing unit 4 determines that the hierarchization is not completed, the process proceeds to step S510.
  • step S506 the input processing unit 4 receives the security function requirement configuration information from the user 109, and stores the input security function requirement configuration information in the system configuration specification information table 320 of the requirement DB 8.
  • Step S506 also corresponds to step S204 in FIG. 5, and will be described later with reference to FIG. 13B.
  • step S507 the input processing unit 4 determines whether the input of the verification item is completed. The determination condition will be further described later with reference to FIG. 13B. If the input processing unit 4 determines that the input of the verification item is completed, the process proceeds to step S508. If the input processing unit 4 determines that the input of the verification item is not completed, the process proceeds to step S510.
  • step S508 the input processing unit 4 transmits the layered security function requirement configuration information to the evaluation calculation unit 5.
  • Step S508 corresponds to step S205 in FIG.
  • step S509 the input processing unit 4 transmits the target defense effectiveness input in step S502 to the requirement excess / deficiency verification unit 6.
  • Step S509 corresponds to step S207 in FIG.
  • the input processing unit 4 displays an information shortage warning to the user 109, and returns to step S501.
  • the input processing unit 4 may be referred to as a hierarchy generation unit in order to generate information about the hierarchy as described above.
  • FIG. 13A is a diagram illustrating an example of an input screen 903 in which a hierarchical system configuration is displayed to the user 109, and information on each hierarchy is input from the user 109.
  • the input screen 903 is a display of the hierarchical configuration of the evaluation target system, but in the example of FIG. 13A, the evaluation target system is divided into “inside system” and “outside system”. It is a display of each layer included in each of “outside system”.
  • inside the system may be an embedded system
  • outside the system may be a connected world to the embedded system.
  • inside system and outside system are not limited to these.
  • “Inside system”, “Outside system”, “Physical control layer”, “Information-control layer”, “Information layer”, “Cloud”, and the information for displaying the configuration in each layer are the layers by each individual system.
  • Information acquired from the information table 310 and the system configuration specification information table 320 may be included, or information input on the input screen 903 from the user 109 may be included.
  • the display shifts to the input screen for inputting information on the security function requirements of the clicked layer.
  • the display shifts to the input screen 904 shown in FIG. 13B for inputting information related to the security function requirements regarding the information-control layer.
  • a message 823 may be displayed.
  • the button 821 is clicked on the input screen 903
  • FIG. 13B is a diagram illustrating an example of the input screen 904 on which information related to the security function requirement of the hierarchy clicked on the input screen 903 is input.
  • the input screen 904 is displayed, and the security function requirements of the information-control layer and its system specification information can be input.
  • Security function requirements such as “IDS” and “packet encryption” are input.
  • information regarding “software vendor”, “current version”, and “number” of each security function requirement may be input, but the display items and input items of the input screen 904 are not limited to these.
  • Information input on the input screen 904 is set in the system configuration specification information table 320.
  • step S507 When the button 824 is clicked on the input screen 904, it is determined in step S507 shown in FIG. 6 that the input of the verification item is not completed, and when the button 825 is clicked, the verification item is input in step S507. Determined to be complete. Step S504 and step S505 may be combined into one step, and a button for returning to the input screen 903 may be provided on the input screen 904.
  • step S ⁇ b> 521 the input processing unit 4 inputs information regarding hierarchization from the user 109.
  • the information input here may be the information described with reference to FIG. 13A or may be information to be determined as described below.
  • step S522 the input processing unit 4 determines whether the information input in step S521 corresponds to the definition information of the layer closest to the physical control layer based on each layer definition displayed in FIG. For example, it may be determined whether or not the communication process is executed in the system.
  • step S523 the input processing unit 4 classifies the information input in step S521 into the layer closest to the physical control layer.
  • step S524 the input processing unit 4 determines whether the information input in step S521 corresponds to the definition information of the layer closest to the physical control layer based on each layer definition displayed in FIG. For example, it may be determined whether the interface is a connection inside or outside the system.
  • the input processing unit 4 proceeds to step S525 if it determines that the connection is inside / outside of the system as an interface, and proceeds to step S526 if it is determined that the connection is not inside / outside of the system as an interface.
  • step S525 the input processing unit 4 classifies the information input in step S521 into the second closest layer from the physical control layer.
  • step S526 the input processing unit 4 determines whether the information input in step S521 corresponds to the definition information of the layer farthest from the physical control layer based on each layer definition displayed in FIG. For example, it may be determined whether or not it is an IoT security measure.
  • step S527 the input processing unit 4 classifies the information input in step S521 into the hierarchy farthest from the physical control layer.
  • steps S521 to S527 may be repeated a plurality of times in order to divide the configuration of the evaluation target system into a plurality of layers. Further, instead of the determinations in steps S522, S524, and S526, an input indicating which layer is used may be received from the user 109 by using the GUI of the input screen 903 illustrated in FIG. 13A.
  • the expandable embedded system 870 is increasingly connected to the connected world 871 using a connection such as the Internet.
  • the system to be evaluated for quantifying functional security by cyber security in the first embodiment is a system configured by one or more layers in both the embedded system 870 and the connected world 871.
  • the cyber attack in the evaluation target system shown in FIG. 16 includes, for example, a cyber attack 850 on the information-control layer 859, a cyber attack 851 on the information layer 863, or a cyber attack 852 on the cloud 865. Since a cyber attack propagates toward the control layer 853, the possibility of threatening the physical control layer 853 is increasing.
  • the secure functional safety evaluation device 1 presents to the user how much functional security is protected by cyber security.
  • an example of a flowchart of processing in which the evaluation calculation unit 5 of the secure functional safety evaluation device 1 quantitatively evaluates the defense effectiveness will be described with reference to FIG.
  • the system to be evaluated is composed of N layers excluding the physical control layer, and the layer farthest from the physical control layer is the Nth layer. That is, as the variable n approaches the constant N, the hierarchy becomes farther from the physical control layer.
  • the following parameters are defined.
  • N Number of hierarchies excluding physical control layer of evaluation target system
  • n Hierarchy to be evaluated
  • i Security functional requirement to be evaluated in the hierarchy to be evaluated
  • x Hierarchy Pnx from the nth layer to the physical control layer:
  • the i-th security function requirement in the n-th layer is the defense effectiveness against the attack from the x-th layer
  • Pni The i-th security function requirement in the n-th layer is the defense effectiveness against the attack on the evaluation target system
  • Pn defense effectiveness of the nth layer to be evaluated
  • Dn total defense effectiveness r from the nth layer to the physical control layer to be evaluated r
  • p reduction rate of defense effectiveness 0 ⁇ r, p ⁇ 1
  • step S601 the evaluation calculation unit 5 determines whether to receive security function requirements from the input processing unit 4. If the evaluation calculation unit 5 determines that the security function requirement is received from the input processing unit 4, the process proceeds to step S602. If the evaluation calculation unit 5 determines that the security function requirement is not received from the input processing unit 4, that is, the requirement excess / deficiency verification unit If it is determined that the combination of security function requirements from 6 is received, the process proceeds to step S603.
  • step S602 the evaluation calculation unit 5 receives the layered security function requirements from the input processing unit 4.
  • step S602 corresponds to step S205 shown in FIG.
  • step S ⁇ b> 603 the evaluation calculation unit 5 receives a combination of security function requirements to be evaluated from the requirement excess / deficiency verification unit 6.
  • step S603 corresponds to step S209 shown in FIG.
  • each layer (nth layer) is sequentially extracted as an evaluation target from the first layer closest to the physical control layer.
  • the evaluation calculation unit 5 sets the information-control layer 859 closest to the physical control layer 853 as the evaluation target layer.
  • step S605 the evaluation calculation unit 5 quantitatively evaluates the defense effectiveness Pnix against the attack from the x-th layer by the i-th security function requirement in the extracted n-th layer.
  • the edge 860 which is the first security function requirement in the information-control layer 859 quantitatively evaluates the defense effectiveness against the information-control layer 859.
  • the value of the variable i and the value of the variable x may be respectively assigned.
  • the security function requirement specified by the value of the variable i may be one or a plurality of (combined) security requirements received in step S602 or step S603.
  • step S606 the evaluation calculation unit 5 quantitatively evaluates the defense effectiveness Pni against the attack on the evaluation target system by the extracted i-th security function requirement in the n-th layer.
  • the edge 860 which is the first security function requirement in the information-control layer 859 quantitatively evaluates the defense effectiveness against the attack on the evaluation target system.
  • the value of the variable i may be shaken.
  • step S607 the evaluation calculation unit 5 moves the evaluation target layer to the (n + 1) th layer and sets n + 1 to a new n.
  • the evaluation calculation unit 5 moves the evaluation target from the information-control layer 859 to the information layer 863.
  • step S608 the evaluation calculation unit 5 determines whether the evaluation target has not reached the layer farthest from the physical control layer, that is, n ⁇ N, and the evaluation target has reached the layer farthest from the physical control layer. If it is determined that the evaluation target has not reached the layer farthest from the physical control layer, the process returns to step S604.
  • the evaluation calculation unit 5 sets the information-control layer 859 to the cloud 865 as the evaluation target, and after setting the cloud 865 as the evaluation target, the process proceeds to step S609.
  • step S609 the evaluation calculation unit 5 calculates the defense effectiveness Pn and the overall defense effectiveness Dn.
  • the evaluation calculation unit 5 determines the effectiveness of protection of the edge 860 of the information-control layer 859, the effectiveness of protection of the telemetry communication 861, and the effectiveness of protection of the BPCS network 862 (BPCS: Basic Process Control System).
  • the defense effectiveness Pn of the information-control layer 859 is set to be the largest defense effectiveness among the three defense effectiveness.
  • the evaluation calculation unit 5 adds the result of adding the defense effectiveness of the information layer 863 and the defense effectiveness of the information-control layer 859 to the overall defense effectiveness Dn from the information layer 863 to the physical control layer 853. To do.
  • step S610 the evaluation calculation unit 5 stores the quantitative evaluation result of each security function requirement obtained in steps S604 to S609 in the evaluation calculation data table 400 of the evaluation calculation DB 9.
  • step S611 the evaluation calculation unit 5 determines whether the security function requirement processing received from the input processing unit 4 is the same as in step S601. If the evaluation calculation unit 5 determines that the processing is the processing of the security function requirement received from the input processing unit 4, the process proceeds to step S612. If the evaluation calculation unit 5 determines that the processing is not the processing of the security function requirement received from the input processing unit 4, If it is determined that the processing is a combination of security function requirements received from the verification unit 6, the process proceeds to step S613.
  • step S612 the evaluation calculation unit 5 displays the quantitative evaluation result saved in step S610 to the user 109 and ends the process.
  • the information displayed to the user 109 may be a part of the quantitative evaluation result stored in step S610.
  • Step S612 corresponds to step S206 in FIG.
  • step S613 the evaluation calculation unit 5 determines whether or not “excess requirement verification” is checked in the execution item selection field 800 of the input screen 900. If it is determined that the “requirements for excess / deficiency verification” is checked, the evaluation calculation unit 5 proceeds to step S614, and if it is determined that the “requirements for excess / deficiency verification” is not checked, the process ends.
  • step S614 the evaluation calculation unit 5 transmits the quantitative evaluation result stored in step S610 to the requirement excess / deficiency verification unit 6 and ends the process.
  • Step S614 corresponds to step S210 in FIG.
  • the processing for quantitative evaluation of defense effectiveness may be executed by an external device connected to the secure functional safety evaluation device 1, and the evaluation calculation unit 5 transmits information such as security function requirements to the external device, You may receive the result of quantitative evaluation from an external device. Moreover, it is preferable that the item to be quantitatively evaluated is the same as the target defense effectiveness item. Therefore, the evaluation calculation unit 5 may receive the target defense effectiveness from the input processing unit 4.
  • step S602 and steps S604 to S612 correspond to step S205 to step S206 in FIG. 5
  • step S603 to step S611 and step S614 correspond to step S209 to step S210 in FIG. To do.
  • step S701 An example of a flowchart of processing in which the requirement excess / deficiency verification unit 6 of the secure functional safety evaluation device 1 verifies the requirement excess / deficiency with respect to the target defense effectiveness will be described with reference to FIG.
  • the process described with reference to FIG. 9 is executed when “excess requirement verification” is selected in the execution item selection field 800 of the input screen 900. For this reason, it may be determined before step S701 whether “requirement for excess / deficiency requirement” is selected.
  • step S701 the requirement excess / deficiency verification unit 6 receives the target defense effectiveness from the input processing unit 4.
  • Step S701 corresponds to step S207 in FIG.
  • step S702 the requirement excess / deficiency verification unit 6 generates a combination of security function requirements to be evaluated one by one, and repeats steps S702 to S707.
  • the security function requirement to be evaluated may be a security function requirement in which information is stored in the security function requirement 322 of the system configuration specification information table 320.
  • the combination of the security function requirements is represented by S security function requirements. May be generated.
  • the combination of security function requirements may be generated using a permutation of security function requirements, or may be generated using a combination.
  • step S703 the requirement excess / deficiency verification unit 6 transmits the combination of security function requirements generated in step S702 to the evaluation calculation unit 5.
  • Step S703 corresponds to step S209 in FIG. 5, and the evaluation calculation unit 5 receives the combination of security function requirements in step S603.
  • step S704 the requirement excess / deficiency verification unit 6 receives the quantitative evaluation result from the evaluation calculation unit 5.
  • Step S704 corresponds to step S210 in FIG. 5, and the quantitative evaluation result received by the requirement excess / deficiency verification unit 6 is the quantitative evaluation result transmitted by the evaluation calculation unit 5 in step S614.
  • step S705 the requirement excess / deficiency verification unit 6 compares the target defense effectiveness received in step S701 with the magnitude of the quantitative evaluation result received in step S704.
  • step S706 the requirement excess / deficiency verification unit 6 determines that the target defense effectiveness is sufficient when the target defense effectiveness is equal to or higher than the quantitative evaluation result based on the comparison result of step S705, and the target defense effectiveness is less than the quantitative evaluation result. In such a case, it is determined that it is insufficient, and the determination result is saved.
  • step S706 the requirement excess / deficiency verification unit 6 selects one or more hierarchies and one or more quantitative evaluation results of one or more security function requirements as a basis of the quantitative evaluation result determined to be sufficient. A maximum value may be specified.
  • step S707 the requirement excess / deficiency verification unit 6 returns to step S702 when a combination that has not been generated remains among the combinations generated in step S702, and returns to step S702 if a combination that has not been generated remains.
  • the requirement excess / deficiency verification unit 6 determines whether or not a combination that has not been generated remains. Regardless of this, it is also possible to end the repetition from step S702 to step S707 and proceed to step S708 according to preset conditions.
  • step S708 the requirement excess / deficiency verification unit 6 transmits the determination result saved in step S706 to the result processing unit 7 as a verification result, and information on the combination of security function requirements satisfying the target determined to be sufficient is obtained as the result processing unit. 7 to send.
  • Step S708 corresponds to step S211 of FIG. 5, and the quantitative evaluation result may also be transmitted to the result processing unit 7.
  • the requirement excess / deficiency verification unit 6 may store the combination of security function requirements and the determination result in the result DB 11.
  • the display screen 906 for the excess / deficiency requirement recommendation result will be described later with reference to FIG.
  • FIG. 14 is a diagram illustrating an example of display of quantitative evaluation results of the evaluation target system and each security function requirement.
  • the display screen 905 includes a system overall evaluation result column 811 and each security function requirement detailed evaluation result column 812, and may be the display in step S212 based on the information transmitted in step S708.
  • the display screen 905 may be displayed based on information acquired from the evaluation calculation data table 400 stored in the evaluation calculation DB 9.
  • the system overall evaluation result column 811 may include information on the target defense effectiveness column 802 of the input screen 901 illustrated in FIG.
  • the security requirements in each security function requirement detailed evaluation result column 812 include not only “security function requirement 1” and “security function requirement 2” but also a combination of “security function requirement 1” and “security function requirement 2”.
  • the combination of security function requirements generated in step S702 may be included.
  • the display screen 905 is not limited to the example illustrated in FIG. 14, and may be a display of only the value of the quantitative evaluation result, or may be a display of information in the evaluation calculation data table 400 in a table format. Good. Further, the display screen 905 may include alert information for the user due to insufficient verification results.
  • FIG. 15 is a diagram showing an example of display of the recommended result of excess / deficiency requirements.
  • the display screen 906 may be the display in step S212 based on the information transmitted in step S708.
  • “o” is displayed for each combination of “security function requirement 1”, “security function requirement 2”, and “security function requirement 4”, and “combination” is displayed in “combination”.
  • “(1)”, which is the identifier of the combination, is displayed, and may be displayed in the “sufficient” column of “system evaluation” to indicate that the combination is determined to be sufficient in step S706.
  • the information displayed as the excess / deficiency requirement recommendation result is not limited to the display screen 906 shown in FIG. 15, and the numerical value based on the sufficient and insufficient verification results, that is, the numerical value compared in step S ⁇ b> 705 is displayed. May be displayed.
  • the display screen 906 may include information on the change candidate, and the change candidate is adopted.
  • the quantitative evaluation result may be displayed.
  • the display screen 906 may include a button 815, and when the button 815 is clicked, the processing may be repeated from the input of the target defense effectiveness in step S ⁇ b> 202, that is, step S ⁇ b> 502.
  • the first embodiment it is possible to evaluate the functional safety by cyber security. Specifically, the effectiveness of defense can be evaluated against the target value of an item that serves as both the target value for cyber security and the target value for functional safety. It is also possible to set a system hierarchy that affects the physical control layer related to functional safety.
  • Example 1 an example suitable for evaluating a functional safety system by cyber security in-house was described.
  • Example 2 when a functional safety system developed by another company is connected to its own network, it is evaluated whether the functional safety system developed by the other company satisfies the target defense effectiveness against cyber attacks. A preferred example will be described.
  • each part of the secure functional safety evaluation apparatus 1 shown in FIG. 1 is an independent computer, and each part may behave like a cloud computer connected by its own network.
  • the input unit 2 receives the operating environment specification from the functional safety system developed by another company in step S201, receives the target defense effectiveness in step S202, and inputs the received information through the company's network. Send to.
  • the input processing unit 4 transmits the hierarchical processing inquiry in step S203 to the other company's system through its own network and the output unit 3, and displays it on the other company's system.
  • the input unit 2 receives the layered configuration information from the functional safety system developed by another company in step S204, and transmits the received information to the input processing unit 4 through its own network.
  • Step S205 after Step S204, Step S207 to Step S211 are the same as the processing of the secure functional safety evaluation apparatus 1 described in the first embodiment although the processing is executed in the cloud.
  • Each of the evaluation calculation unit 5 and the result processing unit 7 transmits the processing result to the other company's system through its own network and the output unit 3 in step S206 and step S212, respectively, and displays it on the other company's system.
  • the hierarchy information table 310 by each individual system stored in the necessary requirement DB 8 necessary for the processing in step S503 is stored in the cloud, so that it can be directly transferred to the cloud data according to the change in the hierarchy configuration.
  • the data can be updated efficiently.
  • the safety evaluation device 1 makes it possible to evaluate functional safety and security.
  • the hierarchized configuration information received from the user 109 is an example in which hierarchization is sufficiently performed
  • the input processing unit 4 is an example on the assumption that sufficient hierarchization is completed in step S505.
  • each layer may affect each other, and the layered configuration information received from the user 109 is information that is not sufficiently layered.
  • a hierarchy verification processing unit is added to the input processing unit 4 in the third embodiment.
  • the hierarchy verification processing unit is added between step S504 and step S505 shown in FIG. 6, and verifies whether or not the hierarchy is sufficiently hierarchized.
  • the hierarchy verification processing unit determines whether the hierarchized configuration information can be further classified, or whether the hierarchized configuration information can be further hierarchized. Then, the hierarchy verification processing unit analyzes the dependency relationship between the hierarchies and the independence of the hierarchies, changes the hierarchized configuration information according to the analysis results, and increases the number of hierarchies.
  • the example shown in FIG. 16 has four layers, but if a larger system is to be evaluated, there is a high possibility that the layers interfere with each other.
  • the information-control layer 859 may interfere with a part of the physical control layer 853, and the information-control layer 859 and the physical control layer 853 may not be separated as independent layers. .
  • the hierarchy verification processing unit analyzes the dependency relationship between the information-control layer 859 and the physical control layer 853, and the information-control layer 859 shown in FIG. Are divided into a plurality of layers and divided into an information-control layer 859 independent of the physical control layer 853.
  • the third embodiment it is possible to sufficiently divide the hierarchy for a huge system having expandability, and therefore interference with other hierarchies also in the quantitative evaluation for each hierarchy. And the accuracy of quantitative evaluation can be improved.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Computer And Data Communications (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Storage Device Security (AREA)
  • Debugging And Monitoring (AREA)

Abstract

評価対象システムの複数のシステム階層に関する情報を生成する階層生成部と、前記階層生成部により生成された複数のシステム階層に関する情報を用いて、各システム階層に含まれるセキュリティ機能要件による防御有効性の評価値を算出し、セキュリティ機能要件の組合せによる防御有効性の評価値を算出する評価部と、前記評価部により算出された評価値と、目標値とに基づいて、前記評価対象システムにおけるセキュリティ機能要件の過不足を検証する検証部と、を備える。

Description

セキュリティ評価サーバおよびセキュリティ評価方法
　本発明は、セキュリティ評価サーバおよびセキュリティ評価方法に関するものである。
　機能安全を達成するにはＩＳＯ６１５０８やＩＳＯ２６２６２などの機能安全評価があり、サイバーセキュリティを達成するにはＩＥＣ６２４４３やＩＳＯ１５４０８などのセキュリティ評価が知られている。
　機能安全の点からは、ハード部品の故障発生率や、ハード部品の寿命があるため、時間経過により、ハード部品を製造した時点と比べて、機能安全のレベルが低下する。また、サイバーセキュリティの点からは、次々と新規のウイルスが発生することや、同一暗証番号を継続して使用し続けることによる危険性を考えると、時間経過により、情報システムを新規に構築した時点と比べて、セキュリティレベルが低下する。
　ハード部品と情報システムの時間経過に対して、特許文献１には、情報システムの構築時に設定された複数のセキュリティ機能の時間経過に対するセキュリティレベルＳＬの変化傾向を的確に把握するために、一定周期で可用性の喪失経過時間を計時し、各セキュリティ機能のセキュリティレベルＳＬを算出する。このセキュリティレベルＳＬを全部のセキュリティ機能に亘って換算して情報システム全体のセキュリティＳＬＧを算出し、算出された各時刻におけるシステムセキュリティレベルＳＬＧをグラフ表示出力する、という技術が開示されている。
特開２００８－１７６６３４号公報
　特許文献１に開示された技術を用いれば、ハード部品と情報システムの時間経過に対して、セキュリティレベルを評価することは可能になる。しかしながら、階層化された情報システムがハード部品を制御するシステムでは、情報システムの各階層へのサイバー攻撃がハード部品の機能安全に影響するものの、特許文献１にはこのような影響に関するセキュリティレベルを評価する技術までは開示されていなかった。
　本発明の目的は、サイバーセキュリティによる機能安全を評価することである。
　本発明に係る代表的なセキュリティ評価サーバは、評価対象システムの複数のシステム階層に関する情報を生成する階層生成部と、前記階層生成部により生成された複数のシステム階層に関する情報を用いて、各システム階層に含まれるセキュリティ機能要件による防御有効性の評価値を算出し、セキュリティ機能要件の組合せによる防御有効性の評価値を算出する評価部と、前記評価部により算出された評価値と、目標値とに基づいて、前記評価対象システムにおけるセキュリティ機能要件の過不足を検証する検証部と、を備えたことを特徴とする。
　本発明によれば、サイバーセキュリティによる機能安全を評価することが可能になる。
セキュア機能安全評価装置のブロック構成の例を示す図である。 セキュア機能安全評価装置のハードウェア構成の例を示す図である。 システム稼働環境仕様書情報テーブルの例を示す図である。 各個システムによる階層情報テーブルの例を示す図である。 システム構成仕様書情報テーブルの例を示す図である。 評価演算データテーブルの例を示す図である。 セキュア機能安全評価装置のシーケンスの例を示す図である。 入力処理部のフローチャートの例を示す図である。 階層化のフローチャートの例を示す図である。 評価演算部のフローチャートの例を示す図である。 要件過不足検証部のフローチャートの例を示す図である。 実行項目と稼働環境仕様書の入力画面の例を示す図である。 目標とする防御有効性の入力画面の例を示す図である。 システム稼働環境仕様書情報と各階層定義の表示画面の例を示す図である。 階層化したシステム構成の入力画面の例を示す図である。 セキュリティ機能要件構成の入力画面の例を示す図である。 システムと各セキュリティ機能要件の定量評価結果の表示画面の例を示す図である。 過不足要件推奨結果の表示画面の例を示す図である。 システムにおける攻撃と機能安全の例を示す図である。
　以下、本発明の実施形態について図面を用いて詳細に説明する。
　－－－システム構成－－－
　実施例１のセキュア機能安全評価装置１のブロック構成の例を、図１を用いて説明する。セキュア機能安全評価装置１は、拡張性があるコネクティッド組込みシステムにおけるサイバーセキュリティによる機能安全を定量評価するためのシステムである。
　セキュア機能安全評価装置１は、入力部２、出力部３、入力処理部４、評価演算部５、要件過不足検証部６、結果処理部７、必要要件ＤＢ８、評価演算ＤＢ９、検証演算ＤＢ１０、および結果ＤＢ１１から構成されている。
　入力部２は、評価対象システム仕様と目標とする防御有効性の情報の入力を、ユーザから受け付ける。出力部３は、評価対象システムの評価結果を、ユーザに出力する。入力処理部４は、入力部２において入力された評価対象システム仕様から、定量評価するために使用される情報を抽出する。
　評価演算部５は、評価対象システム仕様から抽出された情報を使用して防御有効性を定量化する。要件過不足検証部６は、定量化された防御有効性が、目標とする防御有効性を満たすかを評価し、目標とする防御有効性を満たすセキュリティ機能要件を検証する。結果処理部7は、防御有効性の評価結果と過不足検証結果を出力するための処理を行う。
　必要要件ＤＢ８は、評価対象システムの階層情報、ユーザが入力部２を通じて入力した評価対象システムの稼働環境仕様に対応できる階層化情報、およびサイバーセキュリティ定量評価を実行する際に使用されるセキュリティ機能要件の情報が格納されるデータベースである。評価演算ＤＢ９は、防御有効性の定量化の演算手順が格納されるデータベースである。
　検証演算ＤＢ１０は、目標とする防御有効性を満たすかを評価するための要件情報、および目標とする防御有効性を満たすための要件情報が格納されるデータベースである。結果ＤＢ１１は、評価対象システムの防御有効性の定量評価結果と、目標とする防御有効性を満たすセキュリティ機能要件が格納されるデータベースである。
　－－－ハードウェア構成の例－－－
　実施例１のセキュア機能安全評価装置１のハードウェア構成の例を、図２を用いて説明する。図２で例示するセキュア機能安全評価装置１は、ＣＰＵ１０１、メモリ１０２、記憶装置１０３、通信装置１０４、電源装置１０５、入力装置１０６、および出力装置１０７を備え、これらはバス１０８で接続されている。
　ＣＰＵ１０１は、中央処理装置（演算装置）であり、記憶装置１０３あるいはメモリ１０２上に保存されたプログラムを実行することにより、入力処理部４、評価演算部５、要件過不足検証部６、および結果処理部７をセキュア機能安全評価装置１で実現する。
　メモリ１０２は、ＣＰＵ１０１が動作するときにプログラムとデータがロードされる主記憶装置であり、揮発性記憶素子で構成される。記憶装置１０３は、ＣＰＵ１０１の入力データ、出力データ、およびプログラムを保存するための補助記憶装置であり、不揮発記憶素子で構成される。この記憶装置１０３には、必要要件ＤＢ８、評価演算ＤＢ９、検証演算ＤＢ１０、結果ＤＢ１１が格納される。
　通信装置１０４は、外部のネットワークノードとネットワークを介して通信を行う。電源装置１０５は、電源コンセントと接続され、セキュア機能安全評価装置１内の各装置に電源を供給する。
　入力装置１０６は、ユーザが情報を入力するためのインタフェースであり、例えば、キーボード、マウス、タッチパネル、カードリーダ、あるいは音声入力などである。出力装置１０７は、ユーザにフィードバックと演算結果などを提供するためのインタフェースであり、例えば、画面表示装置、音声出力装置、あるいは印字装置などである。
　なお、図２に示すセキュア機能安全評価装置１は、以上の構成であるのでセキュリティ評価サーバと呼ばれてもよく、１台のハードウェア上で構成されるものであるが、大規模なサービスに対応するために負荷を分散処理する場合、あるいは可用性向上のために冗長構成をとる場合は、２台以上のハードウェア上で構築されたプラットフォーム上で構成されるものであってもよい。
　また、入力処理部４、評価演算部５、要件過不足検証部６、および結果処理部７を実現するためのプログラムあるいはテーブルなどの情報は、記憶装置１０３、あるいは図示を省略したストレージサブシステム、不揮発半導体メモリ、ＨＤＤ（Hard Disk Drive）、あるいはＳＳＤ（Solid State Drive）などの記憶デバイス、または、ＩＣカード、ＳＤカード、ＤＶＤなどの計算機読み取り可能な非一時的データ記憶媒体に格納されてもよい。
　－－－データの例－－－
　実施例１のセキュア機能安全評価装置１で使用されるデータの例を、図３Ａ～３Ｃおよび図４を用いてそれぞれ説明する。図３Ａ～３Ｃは、必要要件ＤＢ８に格納されるデータの例を示す図である。必要要件ＤＢ８は、システム稼働環境仕様書情報テーブル３００、各個システムによる階層情報テーブル３１０、およびシステム構成仕様書情報テーブル３２０からなる。
　システム稼働環境仕様書情報テーブル３００は、ユーザ１０９が入力部２を通じて指定した評価対象システムの稼働環境仕様書に関するデータである。システム稼働環境仕様書情報テーブル３００は、仕様書項目３０１とシステム稼働環境情報３０２をペアとし、当該ペアを複数持つテーブルである。
　一例として仕様書項目３０１は、システムタイプ、オペレーティングシステムタイプ、ライフサイクル年数、および利用状況を含み、これらの仕様書項目３０１とペアになるシステム稼働環境情報３０２は、仕様書項目３０１に対応するシステム稼働環境の情報を含む。仕様書項目３０１は、入力処理部４で処理内容の規定された項目であることが好ましい。
　各個システムによる階層情報テーブル３１０は、ユーザ１０９が入力部２を通じて指定した評価対象システムの稼働環境仕様書に対応し、対応する稼働環境仕様書の評価システムの階層構成を規定するためのデータであって、予め設定された各個システムを構成する階層を示すデータである。
　各個システムによる階層情報テーブル３１０は、組込みシステムタイプ３１１と階層構成３１２をペアとし、当該ペアを複数保持し、さらに階層構成３１２は複数の階層それぞれの情報を持つテーブルである。組込みシステムタイプ３１１は、評価対象システムとなり得る「自動車」、「ロボット」などの組込みシステムのカテゴリを含む。
　また、階層構成３１２は、組込みシステムタイプ３１１に該当する階層構成として、どの階層を含むか否かを「○」と「×」の情報で含む。一例として、図３Ｂに示した組込みシステムタイプ３１１にある「自動車」は、「○」である物理制御層、情報－制御層、情報層およびクラウドから構成されていることを示す。なお、「ロボット」はクラウドが「×」であるので、物理制御層、情報制御装置、および情報層から構成されていることを示す。
　システム構成仕様書情報テーブル３２０は、ユーザ１０９が入力部２を通じて入力した詳細なシステム構成仕様のデータである。システム構成仕様書情報テーブル３２０は、システム仕様３２１とセキュリティ機能要件３２２の独立した２つのテーブルからなり、それぞれが複数の項目を持つテーブルである。
　システム仕様３２１は、図３Ｃに示すようなネットワーク機能仕様およびコンピュータ機能仕様などのシステム構成情報の項目を含み、これらの項目は入力処理部４で処理内容の規定された項目である。
　セキュリティ機能要件３２２は、評価対象システムで運用されている各セキュリティ機能要件と、その通信場所、およびその通信方法などの各セキュリティ機能要件に関する詳細情報からなる。また、セキュリティ機能要件３２２は、各セキュリティ機能要件が評価対象システムのどの階層で運用されているかの運用階層情報３２３を含んでもよい。
　システム稼働環境仕様書情報テーブル３００、各個システムによる階層情報テーブル３１０、およびシステム構成仕様書情報テーブル３２０の３つのテーブルは、ユーザ１０９からの入力に基づいて互いに関連している。
　セキュア機能安全評価装置１は、システム稼働環境仕様書情報テーブル３００から評価対象システムのタイプを入力処理部４が判定し、評価対象システムのタイプの判定結果と各個システムによる階層情報テーブル３１０の内容に応じて、入力処理部４は評価対象システムに対応する階層情報をユーザ１０９に表示する。
　そして、ユーザ１０９が評価対象システムに対応できる階層情報を入力すると、システム構成仕様書情報テーブル３２０の運用階層情報３２３を含むセキュリティ機能要件３２２が設定される。
　図４は、評価演算ＤＢ９に格納されるデータの例を示す図である。評価演算ＤＢ９は、防御有効性の定量化の演算手順以外に、評価演算データテーブル４００を含む。図４に示すように、評価演算データテーブル４００は、セキュリティ機能要件の情報が格納される評価科目４０１と、各セキュリティ機能要件に対して階層ごとの評価結果の情報を格納する定量評価４０２から構成される。
　評価科目４０１のセキュリティ機能要件の情報は、システム構成仕様書情報テーブル３２０のセキュリティ機能要件の列が保持している情報が取得されて設定される。なお、評価科目４０１の「セキュリティ機能要件１」などは、説明のための表現であり、セキュリティ機能要件を表す別の表現であってもよい。
　定量評価４０２は、各セキュリティ機能要件の各階層における評価結果の情報が格納される列４０３、列４０４、および列４０５と、評価対象システムを対象とする評価結果の情報が格納される列４０６とを有する。
　図４に示した定量評価４０２の情報は、実施例１に係る例として、制御－情報層の攻撃成功期間の情報を列４０３、情報層の攻撃成功期間の情報を列４０４、クラウド層の攻撃成功期間の情報を列４０５に分けられて格納されている。
　列４０３、列４０４、および列４０５は、各個システムによる階層情報テーブル３１０の組み込みシステムタイプ３１１で該当する評価対象システムのタイプの階層構成３１２から情報が取得されて設定される。そのため、階層の種類、階層数は図４に示した例に限るものではない。
　なお、定量評価４０２に格納される定量評価の指標すなわち攻撃成功期間などは、１つではなく複数であってもよい。またその指標は、攻撃成功期間と攻撃成功達成率に限定するものではなく、その他の指標であってもよい。例えば、過去の実績に基づく攻撃可能性などであってもよい。
　評価科目４０１のセキュリティ機能要件と定量評価４０２の各列の各階層とによって定まるテーブルの各欄には、評価演算部５の図８に示すフローチャートの処理により算出された情報が格納される。
　－－－処理フロー－－－
　実施例１におけるセキュア機能安全評価装置１のシーケンスの例を、図５を用いて説明する。図５に示した入力処理部４、評価演算部５、要件過不足検証部６、および結果処理部７のそれぞれは、図１などを用いて説明したとおりである。
　ステップＳ２０１で、入力処理部４は、入力装置１０６を通じて、ユーザ１０９からシステム稼働環境仕様書情報テーブル３００の情報を含める稼働環境仕様書が入力される。セキュア機能安全評価装置１がユーザ１０９に表示する入力画面の例は、図１０を用いて後述する。
　ステップＳ２０２で、入力処理部４は、入力装置１０６を通じて、ユーザ１０９から評価対象システムが満たすべき目標とする防御有効性が入力される。セキュア機能安全評価装置１がユーザ１０９に表示する入力画面の例は、図１１を用いてで後述する。
　ステップＳ２０３で、入力処理部４は、ステップＳ２０１において受信した稼働環境仕様書のデータをもとに、必要要件ＤＢ８に格納された各個システムによる階層情報テーブル３１０の階層構成３１２を対応させ、対応した各階層定義をユーザ１０９に提示して、評価対象システムの階層処理をユーザ１０９に問い合せる。
　稼働環境仕様書のデータをもとに、対応する各階層定義を各個システムによる階層情報テーブル３１０から取得するための入力処理部４の処理は、図６のステップＳ５０３でも後述する。セキュア機能安全評価装置１がユーザ１０９に表示する出力画面の例は、図１２を用いて後述する。
　ステップＳ２０４で、入力処理部４は、ユーザ１０９から階層化した構成情報を受信し、システム構成仕様書情報テーブル３２０に情報を設定する。このために、ユーザ１０９は、ステップＳ２０３で表示された各個システムによる階層情報テーブル３１０に基づく情報により、評価対象システムの構成を階層化し、階層化した構成情報を入力処理部４に入力する。
　ユーザ１０９に表示した各階層定義をもとに、対応する階層化した構成情報をユーザ１０９から取得するための入力処理部４の処理は、図６のステップＳ５０４でも後述する。セキュア機能安全評価装置１がユーザ１０９に表示する入力画面の例は、図１３Ａ、１３Ｂを用いて後述する。
　ステップＳ２０５で、入力処理部４は、ユーザ１０９により入力された階層化した構成情報から、必要要件ＤＢ８を用いて、定量評価をするための要件すなわち階層化したセキュリティ機能要件を抽出し、抽出した階層化したセキュリティ機能要件を評価演算部５に送信する。
　ステップＳ２０６で、評価演算部５は、入力処理部４から階層化したセキュリティ機能要件を受信し、評価演算ＤＢ９に格納された演算手順を用いて、階層化したセキュリティ機能要件の防御有効性を定量評価し、システム評価結果をユーザ１０９に表示する。また、システム評価結果は評価演算ＤＢ９の評価演算データテーブル４００に格納される。定量評価の計算の例は、図８のステップＳ６０４～Ｓ６１０でも後述する。
　ステップＳ２０７で、入力処理部４は、ステップＳ２０２においてユーザ１０９が入力した目標とする防御有効性を、要件過不足検証部６に送信する。そして、ステップＳ２０８は、階層化したセキュリティ機能要件が目標とする防御有効性を満たすか否かを検証する、あるいは目標とする防御有効性を満たす階層化したセキュリティ機能要件の組合せを検証するループである。
　階層化したセキュリティ機能要件は、１つの階層内に複数のセキュリティ機能要件を有する場合もあるし、複数の階層それぞれにセキュリティ機能要件を有する場合もある。このため、セキュリティ機能要件の組合せを検証することにより、目標とする防御有効性を満たす必要最小限のセキュリティ機能要件の組合せを抽出することも可能になる。
　ステップＳ２０８のループは、ステップＳ２０９とステップＳ２１０を含み、検証可能なセキュリティ機能要件の組合せが検証されるまで、あるいは予め設定された条件が満たされるまで繰り返される。なお、ステップＳ２０８のループの基となる要件過不足検証部６の処理の例は、図９のステップＳ７０２とステップＳ７０７でも後述する。
　ステップＳ２０９で、要件過不足検証部６は、検証可能なセキュリティ機能要件の組合せの中から１つの組合せを評価演算部５に送信する。そして、ステップＳ２０８のループによる次のステップＳ２０９で、要件過不足検証部６は、検証可能なセキュリティ機能要件の組合せの中から別の１つの組合せを評価演算部５に送信する。組合せの送信の処理の例は、図９のステップＳ７０３でも後述する。
　ステップＳ２１０で、評価演算部５は、要件過不足検証部６から受信したセキュリティ機能要件の組合せの防御有効性を定量評価し、評価結果を要件過不足検証部６に送信する。要件過不足検証部６は、評価演算部５から受信した評価結果を用いて検証する。
　ステップＳ２１１で、要件過不足検証部６は、入力処理部４から受信した目標とする防御有効性と、評価演算部５から受信した評価結果を比較して、要件の過不足を判定することにより検証し、要件検証結果などを結果処理部７に送信する。なお、検証の処理の例は、図９のステップＳ７０５～Ｓ７０６でも後述する。
　ステップＳ２１２で、結果処理部７は、要件過不足検証部６から受信した要件検証結果などに基づき、セキュリティ機能要件検証結果と過不足要件推奨結果をユーザ１０９に表示する。出力画面の例は、図１４と図１５を用いて後述する。
　セキュア機能安全評価装置１の入力処理部４が行う処理のフローチャートの例を、図６を用いて説明する。ステップＳ５０１で、入力処理部４は、ユーザ１０９から入力された情報に基づいて稼働環境仕様書を受信する。ステップＳ５０１は図５のステップＳ２０１に相当する。
　図１０は、ユーザ１０９へ表示する実行項目と稼働環境仕様書の入力画面９００の例を示す図である。この入力画面９００は、ステップＳ５０１において表示されるＧＵＩ（Graphical User Interface）であり、図１０に示すように、実行項目選択欄８００と、ユーザ１０９に稼働環境仕様書のファイルをアップロードさせるための稼働環境仕様書欄８０１を含む。
　実行項目選択欄８００は、ユーザ１０９によりセキュア機能安全評価装置１の実行項目が選択される欄であり、チェックの付けられた項目が選択される。ただし、「評価対象システムの現状セキュリティ定量評価」は必須であるので、ユーザ１０９の選択に関わらず、常にチェックが付けられてもよい。
　実行項目選択欄８００の「要件過不足検証」にチェックが付けられると、図５に示したステップＳ２０８、Ｓ２１１、Ｓ２１２が実行され、「要件過不足検証」にチェックが付けられないと、ステップＳ２０８、Ｓ２１１、Ｓ２１２は実行されなくてもよい。
　また、「評価対象システムの現状セキュリティ定量評価」は必須であるので、「要件過不足検証」にチェックが付けられると、「評価対象システムの現状セキュリティ定量評価」と「要件過不足検証」の両方の実行が選択される。
　ユーザ１０９により、稼働環境仕様書欄８０１の空欄に稼働環境仕様書のファイル名が設定され、「参照」のボタンがクリックされると、入力処理部４は、設定されたファイル名を持つ稼働環境仕様書のファイル（データ）を入力処理部４へアップロードする。
　ここで、稼働環境仕様書のファイル（データ）は、システム稼働環境仕様書情報テーブル３００の情報を含み、入力処理部４が評価対象システムのタイプを取得できるような情報を含むファイルであることが好ましい。
　ただし、図１０に示した入力画面９００は一例であり、セキュア機能安全評価装置１が稼働環境の情報を取得できれば、入力画面の表示内容と入力される情報の種類は限定されるものではない。例えば、稼働環境仕様書のファイルを取得する代わりに、取得すべき情報の項目それぞれをユーザ１０９に表示して、ユーザ１０９がそれぞれの項目を手動で入力する入力画面であってもよい。
　ステップＳ５０２で、入力処理部４は、ユーザ１０９が入力した目標とする防御有効性を受信する。ステップＳ５０２は図５のステップＳ２０２に相当する。ステップＳ５０１は、実行項目選択欄８００の「要件過不足検証」がチェックされた場合に実行され、「要件過不足検証」がチェックされなかった場合は実行されず、スキップされてもよい。
　図１１は、ユーザ１０９へ表示する目標とする防御有効性の入力画面９０１の例を示す図である。この入力画面９０１は、ステップＳ５０２において表示されるＧＵＩであり、図１１に示すように、目標とする防御有効性欄８０２、ボタン８０３、およびボタン８０４を含む。
　目標とする防御有効性は、許容安全範囲、許容発生頻度、および許容回復時間などセキュリティ機能要件に対する定量指標である。具体的に、目標とする防御有効性欄８０２において、上記許容安全範囲の一例はサイバー攻撃成功期間であり、上記許容発生頻度の一例はサイバー攻撃成功達成率であり、上記許容回復時間の一例は安全状態復帰許容時間である。
　ボタン８０３は機能安全検証を実行するためのボタンであり、ボタン８０３がクリックされると、セキュア機能安全評価装置１は入力された評価対象システムの機能安全要件が機能安全要求を満たすかの検証機能を行う。ボタン８０４がクリックされると、セキュリティ機能要件評価へ進み、ステップＳ５０３へ進む。
　ただし、目標とする防御有効性の情報が取得できれば、入力画面の表示内容と入力される情報の種類は限定されるものではない。また、ボタンの種類も限定するものではなく、各ボタンがクリックされた場合の動作も限定するものではない。
　ステップＳ５０２において、ユーザ１０９が入力する目標とする防御有効性の情報は、図１１に示した目標とする防御有効性欄８０２の項目に限定するものではない。例えば、Safety Concept Notation Study Group（http://www.scn-sg.com/main/）の発行する文献Safety Concept Description Language (Version 1.3)に記載の項目が含まれてもよい。
　上記文献によると、ユーザ１０９は機能安全要求を導出すために、初期段階で分析対象のハザート分析、目標とする安全目標・安全状態・時間的制約と、意図した機能にAutomotive Safety Integrity Level (ASIL)を並列で入力する。
　ステップＳ５０２において、ユーザ１０９が入力する目標とする防御有効性は、上記文献の項目に限定するものではなく、機能安全の故障発生頻度などの定量項目が含まれてもよい。
　ステップＳ５０２において、セキュア機能安全評価装置１では、ユーザ１０９が入力する目標とする防御有効性は、上記文献に記載された項目あるいはそれらの項目以外の項目に基づいて、機能安全とセキュリティの両方の機能要求を兼ねる項目を含めばよい。
　この一例として、目標とする防御有効性欄８０２における許容安全範囲という項目は、１つの項目で、上記文献と同じように許容機能故障発生範囲に加えて、セキュリティ上の許容サイバー攻撃成功期間も兼ねる項目となっている。
　ステップＳ５０３で、入力処理部４は、受信した稼働環境仕様書から、必要要件ＤＢ８の各個システムによる階層情報テーブル３１０に基づいて、階層定義を抽出し、抽出した階層定義をユーザ１０９に表示することにより、評価対象システムの階層処理をユーザ１０９に問い合せる。ステップＳ５０３は図５のステップＳ２０３に相当する。
　図１２は、ステップＳ５０３において、階層定義をユーザ１０９に表示する際のシステム稼働環境仕様書情報と各階層定義の表示画面９０２の例である。図１２に示すように、表示画面９０２は、システム稼働環境仕様書情報テーブル３００の情報を表示するためのシステム稼働環境仕様書情報欄８０５、階層定義を表示するための各階層定義欄８０６、ボタン８０７、およびボタン８０８を含む。
　ボタン８０７がクリックされるとステップＳ５０１に戻り、ボタン８０８がクリックされるとステップＳ５０４へ進むことにより階層処理へ進む。ただし、表示画面は、システム稼働環境仕様書情報欄８０５と各階層定義欄８０６に限定するものではなく、各階層定義欄８０６を表示するだけであってもよい。
　ステップＳ５０４で、入力処理部４は、ユーザ１０９からシステム構成情報を階層化するための情報が入力され、入力された情報をシステム構成仕様書情報テーブル３２０に設定する。ステップＳ５０４は図５のステップＳ２０４に相当し、ステップＳ５０４に関しては図７あるいは図１３Ａを用いてさらに後述する。
　ステップＳ５０５で、入力処理部４は、階層化が完了したかを判定する。判定の条件に関しては図１３Ａを用いてさらに後述する。入力処理部４は、階層化が完了したと判定するとステップＳ５０６へ進み、階層化が完了していないと判定するとステップＳ５１０へ進む。
　ステップＳ５０６で、入力処理部４は、ユーザ１０９からセキュリティ機能要件構成情報が入力され、入力されたセキュリティ機能要件構成情報を必要要件ＤＢ８のシステム構成仕様書情報テーブル３２０に格納する。ステップＳ５０６も図５のステップＳ２０４に相当し、図１３Ｂを用いてさらに後述する。
　ステップＳ５０７で、入力処理部４は、検証項目の入力が完了したかを判定する。判定の条件に関しては図１３Ｂを用いてさらに後述する。入力処理部４は、検証項目の入力が完了したと判定するとステップＳ５０８に進み、検証項目の入力が完了していないと判定するとステップＳ５１０へ進む。
　ステップＳ５０８で、入力処理部４は、階層化したセキュリティ機能要件構成情報を評価演算部５へ送信する。ステップＳ５０８は図５のステップＳ２０５に相当する。ステップＳ５０９で、入力処理部４は、ステップＳ５０２で入力された目標とする防御有効性を要件過不足検証部６へ送信する。
　ステップＳ５０９は図５のステップＳ２０７に相当する。ステップＳ５１０で、入力処理部４は、ユーザ１０９へ情報の不足の警告を表示し、ステップＳ５０１に戻る。なお、入力処理部４は、以上で説明したように階層に関する情報を生成するため、階層生成部と呼ばれてもよい。
　図１３Ａは、階層化したシステム構成をユーザ１０９へ表示し、ユーザ１０９から各階層の情報が入力される入力画面９０３の例を示す図である。入力画面９０３は、評価対象システムの階層化した構成の表示であるが、図１３Ａの例では、評価対象システムを「システム内」と「システム外」に分けた表示であり、「システム内」と「システム外」のそれぞれに含まれる各階層の表示である。
　ここで、「システム内」は組込みシステムであり、「システム外」は組込みシステムへのコネクティドの世界であってもよい。ただし、「システム内」と「システム外」はこれらに限定するものではない。
　「システム内」、「システム外」、「物理制御層」、「情報－制御層」、「情報層」、「クラウド」、および各階層内の構成を表示するための情報は、各個システムによる階層情報テーブル３１０とシステム構成仕様書情報テーブル３２０から取得された情報が含まれてもよいし、ユーザ１０９から入力画面９０３において入力された情報が含まれてもよい。
　ユーザ１０９から入力画面９０３において入力される場合の処理について、図７を用いてさらに後述する。なお、システム構成仕様書情報テーブル３２０から情報が取得されるだけでなく、入力画面９０３で入力された情報がシステム構成仕様書情報テーブル３２０に設定されてもよい。
　入力画面９０３の各階層の表示がクリックされると、クリックされた階層のセキュリティ機能要件に関する情報を入力するための入力画面へ表示が移行する。例えば、表示８２０がクリックされると、情報－制御層に関するセキュリティ機能要件に関する情報を入力するための図１３Ｂに示した入力画面９０４へ表示が移行する。
　入力画面９０３に表示された階層がクリックされない場合、メッセージ８２３が表示されてもよい。また、入力画面９０３において、ボタン８２１がクリックされると図６に示したステップＳ５０５で階層化が完了していないと判定され、ボタン８２２がクリックされるとステップＳ５０５で階層化が完了したと判定される。
　図１３Ｂは、入力画面９０３でクリックされた階層のセキュリティ機能要件に関する情報が入力される入力画面９０４の例を示す図である。例えば、入力画面９０３の「情報－制御層」の表示８２０がクリックされると、入力画面９０４が表示されて、情報－制御層のセキュリティ機能要件とそのシステム仕様情報が入力可能となり、ユーザ１０９により「ＩＤＳ」と「パケット暗号化」などのセキュリティ機能要件が入力される。
　そして、各セキュリティ機能要件の「ソフトウェアベンダ」、「現バージョン」、および「数」に関する情報が入力されてもよいが、入力画面９０４の表示項目と入力項目を、これらに限定するものではない。入力画面９０４で入力された情報は、システム構成仕様書情報テーブル３２０に設定される。
　また、入力画面９０４において、ボタン８２４がクリックされると図６に示したステップＳ５０７で検証項目の入力が完了していないと判定され、ボタン８２５がクリックされるとステップＳ５０７で検証項目の入力が完了したと判定される。ステップＳ５０４とステップＳ５０５が１つのステップにまとめられて、入力画面９０３へ戻るボタンが入力画面９０４に設けられてもよい。
　図６に示したステップＳ５０４の処理のフローチャートの例を、図７を用いて説明する。ステップＳ５２１で、入力処理部４は、ユーザ１０９から階層化に関する情報を入力する。ここで入力される情報は、図１３Ａを用いて説明した情報であってもよいし、以下で説明する判定の対象となる情報であってもよい。
　ステップＳ５２２で、入力処理部４は、ステップＳ５２１で入力された情報が、図１２で表示した各階層定義に基づき、物理制御層から１番近い階層の定義情報に相当するかを判定する。例えば、通信処理がシステム内で実行されるか否かの判定であってもよい。
　入力処理部４は、通信処理がシステム内で実行されると判定するとステップＳ５２３へ進み、通信処理がシステム内で実行されないと判定するとステップＳ５２４へ進む。ステップＳ５２３で、入力処理部４は、物理制御層から１番近い階層に、ステップＳ５２１で入力された情報を分類する。
　ステップＳ５２４で、入力処理部４は、ステップＳ５２１で入力された情報が、図１２で表示した各階層定義に基づき、物理制御層から２番目に近い階層の定義情報に相当するかを判定する。例えば、インタフェースとしてシステム内外のつながりであるか否かの判定であってもよい。
　入力処理部４は、インタフェースとしてシステム内外のつながりであると判定するとステップＳ５２５へ進み、インタフェースとしてシステム内外のつながりでないと判定するとステップＳ５２６へ進む。ステップＳ５２５で、入力処理部４は、物理制御層から２番目に近い階層に、ステップＳ５２１で入力された情報を分類する。
　ステップＳ５２６で、入力処理部４は、ステップＳ５２１で入力された情報が、図１２で表示した各階層定義に基づき、物理制御層から１番遠い階層の定義情報に相当するかを判定する。例えば、ＩｏＴセキュリティ対策であるか否かの判定であってもよい。
　入力処理部４は、ＩｏＴセキュリティ対策であると判定するとステップＳ５２７へ進み、ＩｏＴセキュリティ対策でないと判定すると処理を終了する。ステップＳ５２７で、入力処理部４は、物理制御層から１番目遠い階層に、ステップＳ５２１で入力された情報を分類する。
　なお、評価対象システムの構成を複数の階層に分けるために、ステップＳ５２１～Ｓ５２７は複数回繰り返されてもよい。また、ステップＳ５２２、Ｓ５２４、Ｓ５２６の判定の代わりに、図１３Ａに示した入力画面９０３のＧＵＩにより、どの階層であるかの入力をユーザ１０９から受け付けてもよい。
　図１６に示すように、拡張性がある組込みシステム８７０は、インターネットなどコネクションを利用して、コネクティッド世界８７１とのつながりが増えつつある。実施例１におけるサイバーセキュリティによる機能安全を定量化する評価対象システムは、組込みシステム８７０とコネクティッド世界８７１の両方の中の１つ以上の階層から構成されるシステムである。
　図１６に示した評価対象システムにおけるサイバー攻撃は、例えば、情報－制御層８５９へのサイバー攻撃８５０、情報層８６３へのサイバー攻撃８５１、あるいはクラウド８６５へのサイバー攻撃８５２があり、クラウド８６５から物理制御層８５３の方向へサイバー攻撃が伝搬するため、物理制御層８５３を脅かす可能性が増えつつある。
　そして、物理制御層８５３の異常動作は人的被害を引き起こす可能性もあるため、サイバー攻撃による人的被害の危険性が高まり、機能安全の面からもサイバー攻撃は脅威となってきている。
　実施例１のセキュア機能安全評価装置１は、サイバーセキュリティによる機能安全をどれだけ守れているかをユーザに提示する。このために、図１６を参照しつつ、セキュア機能安全評価装置１の評価演算部５が、防御有効性を定量評価する処理のフローチャートの例を、図８を用いて説明する。
　以下の説明の前提として、評価対象システムが物理制御層を除くＮ層で構成され、物理制御層と１番遠い層が第Ｎ層となる。すなわち、変数ｎが定数Ｎに近づくにつれて、物理制御層から遠い階層となる。また、以下のパラメータを定義する。
Ｎ：評価対象システムの物理制御層を除く階層数
ｎ：評価対象になる階層
ｉ：評価対象になる階層にある評価対象になるセキュリティ機能要件
ｘ：第ｎ層から物理制御層までの階層
Ｐｎｉｘ：第ｎ層にある第i番目のセキュリティ機能要件が、第ｘ層からの攻撃に対する防御有効性
Ｐｎi：第ｎ層にある第i番目のセキュリティ機能要件が、評価対象システムへの攻撃に対する防御有効性
Ｐｎ：評価対象になる第ｎ層の防御有効性
Ｄｎ：評価対象になる第ｎ層から物理制御層までの全体防御有効性
ｒ、ｐ：防御有効性の削減率　０＜ｒ、ｐ＜１
　ステップＳ６０１で、評価演算部５は、入力処理部４からセキュリティ機能要件を受信するかを判定する。評価演算部５は、入力処理部４からのセキュリティ機能要件の受信であると判定するとステップＳ６０２へ進み、入力処理部４からのセキュリティ機能要件の受信ではないと判定すると、すなわち要件過不足検証部６からのセキュリティ機能要件の組合せの受信であると判定するとステップＳ６０３へ進む。
　ステップＳ６０２で、評価演算部５は、入力処理部４から階層化したセキュリティ機能要件を受信する。ステップＳ６０２は図５に示したステップＳ２０５に相当する。ステップＳ６０３で、評価演算部５は、要件過不足検証部６から評価対象のセキュリティ機能要件の組合せを受信する。ステップＳ６０３は図５に示したステップＳ２０９に相当する。
　ステップＳ６０４で、物理制御層と１番近い第１層から各階層（第ｎ層）を評価対象として順次に抽出する。図１６の例で、評価演算部５は、ステップＳ６０４からステップＳ６０８までのループの最初の実行において、物理制御層８５３と１番近い情報－制御層８５９を評価対象の階層とする。
　ステップＳ６０５で、評価演算部５は、抽出した第ｎ層にある第i番目のセキュリティ機能要件が、第ｘ層からの攻撃に対する防御有効性Ｐｎｉｘを定量評価する。図１６で評価演算部５は、例えば、情報－制御層８５９の中の第１番目のセキュリティ機能要件であるエッジ８６０が、情報－制御層８５９に対する防御有効性を定量評価する。
　ここで、変数ｉの値と変数ｘの値がそれぞれ振られてもよい。変数ｉの値で特定されるセキュリティ機能要件は、ステップＳ６０２あるいはステップＳ６０３で受信された１または複数の（組合された）セキュリティ要件であってもよい。
　ステップＳ６０６で、評価演算部５は、抽出した第ｎ層にある第i番目のセキュリティ機能要件が、評価対象システムへの攻撃に対する防御有効性Ｐｎiを定量評価する。図１６で評価演算部５は、例えば、情報－制御層８５９の中の第１番目のセキュリティ機能要件であるエッジ８６０が、評価対象システムへの攻撃に対する防御有効性を定量評価する。ここで、変数ｉの値は振られてもよい。
　ステップＳ６０７で、評価演算部５は、評価対象の階層を第ｎ＋１層に移し、ｎ＋１を新たなｎに設定する。図１６で評価演算部５は、例えば、評価対象を情報－制御層８５９から情報層８６３に移す。
　ステップＳ６０８で、評価演算部５は、評価対象が物理制御層と１番遠い階層まで至っていないか、すなわちｎ＜Ｎであるかを判定し、評価対象が物理制御層と１番遠い階層まで至っていると判定するとステップＳ６０９へ進み、評価対象が物理制御層と１番遠い階層まで至っていないと判定するとステップＳ６０４に戻る。
　これにより、評価演算部５は、図１６で、例えば、情報－制御層８５９からクラウド８６５までを評価対象とし、クラウド８６５を評価対象とした後は、ステップＳ６０９へ進む。
　ステップＳ６０９で、評価演算部５は、防御有効性Ｐｎと全体防御有効性Ｄｎを算出する。評価対象になる第ｎ層の防御有効性Ｐｎは、Ｐｎ＝ＭＡＸ（Ｐｎｉｘ）ただしｎ＝ｘで算出され、評価対象になる第ｎ層から物理制御層までの全体防御有効性Ｄｎは、Ｄｎ＝Ｐｎ＋ｒ＊Ｐ（ｎ－１）＋ｐ＊Ｐ（ｎ－２）＋・・・≒ΣＰｎで算出される。
　評価演算部５は、図１６で、例えば、情報－制御層８５９のエッジ８６０の防御有効性、テレメトリ通信８６１の防御有効性、およびＢＰＣＳネットワーク８６２（BPCS: Basic Process Control System）の防御有効性の３つの防御有効性の中で、１番大きい防御有効性を、情報－制御層８５９の防御有効性Ｐｎにする。
　また、評価演算部５は、図１６で、情報層８６３の防御有効性と情報－制御層８５９の防御有効性の加算結果を、情報層８６３から物理制御層８５３までの全体防御有効性Ｄｎにする。
　ステップＳ６１０で、評価演算部５は、ステップＳ６０４からステップＳ６０９までで得られた各セキュリティ機能要件の定量評価結果を評価演算ＤＢ９の評価演算データテーブル４００に保存する。
　ステップＳ６１１で、評価演算部５は、ステップＳ６０１と同じく、入力処理部４から受信したセキュリティ機能要件の処理であったかを判定する。評価演算部５は、入力処理部４から受信したセキュリティ機能要件の処理であったと判定するとステップＳ６１２へ進み、入力処理部４から受信したセキュリティ機能要件の処理でなかったと判定すると、すなわち要件過不足検証部６から受信したセキュリティ機能要件の組合せの処理であったと判定するとステップＳ６１３へ進む。
　ステップＳ６１２で、評価演算部５は、ステップＳ６１０で保存した定量評価結果をユーザ１０９へ表示して処理を終了する。ユーザ１０９へ表示する情報は、ステップＳ６１０で保存された定量評価結果の一部であってもよい。ステップＳ６１２は図５のステップＳ２０６に相当する。
　ステップＳ６１３で、評価演算部５は、入力画面９００の実行項目選択欄８００で「要件過不足検証」にチェックが付けられていたかを判定する。評価演算部５は、「要件過不足検証」にチェックが付けられていたと判定するとステップＳ６１４へ進み、「要件過不足検証」にチェックが付けられていなかったと判定すると処理を終了する。
　ステップＳ６１４で、評価演算部５は、ステップＳ６１０で保存した定量評価結果を要件過不足検証部６へ送信して処理を終了する。ステップＳ６１４は図５のステップＳ２１０に相当する。
　なお、防御有効性の定量評価の処理は、セキュア機能安全評価装置１に接続された外部装置で実行されてもよく、評価演算部５は、セキュリティ機能要件などの情報を外部装置へ送信し、外部装置から定量評価の結果を受信してもよい。また、定量評価される項目は、目標とする防御有効性の項目と同じであることが好ましい。このため、評価演算部５は目標とする防御有効性を入力処理部４から受信してもよい。
　以上の処理手順により、ステップＳ６０２、およびステップＳ６０４からステップＳ６１２が、図５のステップＳ２０５からステップＳ２０６に相当し、ステップＳ６０３からステップＳ６１１、およびステップＳ６１４が、図５のステップＳ２０９からステップＳ２１０に相当する。
　セキュア機能安全評価装置１の要件過不足検証部６が、目標とする防御有効性に対する要件過不足を検証する処理のフローチャートの例を、図９を用いて説明する。図９を用いて説明する処理は、入力画面９００の実行項目選択欄８００で「要件過不足検証」が選択された場合に実行される。このため、「要件過不足検証」が選択されたかが、ステップＳ７０１より前で判定されてもよい。
　ステップＳ７０１で、要件過不足検証部６は、目標とする防御有効性を入力処理部４から受信する。ステップＳ７０１は図５のステップＳ２０７に相当する。
　ステップＳ７０２で、要件過不足検証部６は、評価対象となるセキュリティ機能要件の組合せを１つずつ生成し、ステップＳ７０２からステップＳ７０７までを繰り返す。ここで、評価対象のセキュリティ機能要件は、システム構成仕様書情報テーブル３２０のセキュリティ機能要件３２２に情報が格納されたセキュリティ機能要件であってもよい。
　また、セキュリティ機能要件の組合せは、セキュリティ機能要件３２２に情報が格納されたセキュリティ機能要件の個数をＳとすると、２個１組からＳ個１組までのそれぞれを、Ｓ個のセキュリティ機能要件からによって、生成されてもよい。セキュリティ機能要件の組合せは、セキュリティ機能要件の順列を用いて生成してもよいし、組合せを用いて生成してもよい。
　ステップＳ７０３で、要件過不足検証部６は、ステップＳ７０２で生成されたセキュリティ機能要件の組合せを評価演算部５へ送信する。ステップＳ７０３は図５のステップＳ２０９に相当し、評価演算部５はステップＳ６０３でセキュリティ機能要件の組合せを受信する。
　ステップＳ７０４で、要件過不足検証部６は、評価演算部５から定量評価結果を受信する。ステップＳ７０４は図５のステップＳ２１０に相当し、要件過不足検証部６が受信する定量評価結果は評価演算部５がステップＳ６１４で送信した定量評価結果である。
　ステップＳ７０５で、要件過不足検証部６は、ステップＳ７０１で受信した目標とする防御有効性と、ステップＳ７０４で受信した定量評価結果との大小を比較する。ステップＳ７０６で、要件過不足検証部６は、ステップＳ７０５の比較結果により、目標とする防御有効性が定量評価結果以上の場合は十分と判定し、目標とする防御有効性が定量評価結果未満の場合は不足と判定して、判定結果を保存する。
　なお、ステップＳ７０６で、要件過不足検証部６は、十分であると判定された定量評価結果の基となった１以上の階層および１以上のセキュリティ機能要件の１以上の定量評価結果の中から最大値を特定してもよい。
　ステップＳ７０７で、要件過不足検証部６は、ステップＳ７０２で生成される組合せの中で生成されていない組合せが残っている場合、ステップＳ７０２に戻り、生成されていない組合せが残っていない場合、ステップＳ７０２からステップＳ７０７までの繰り返しを終了してステップＳ７０８へ進む。
　なお、繰り返しを終了する条件が予め設定されていた場合、例えば、十分という判定結果の上限個数が予め設定されていた場合、要件過不足検証部６は、生成されていない組合せが残っているか否かに関わらず、予め設定されていた条件にしたがって、ステップＳ７０２からステップＳ７０７までの繰り返しを終了してステップＳ７０８へ進んでもよい。
　ステップＳ７０８で、要件過不足検証部６は、ステップＳ７０６で保存した判定結果を検証結果として結果処理部７へ送信し、十分と判定された目標を満たすセキュリティ機能要件の組合せの情報を結果処理部７へ送信する。ステップＳ７０８は図５のステップＳ２１１に相当し、定量評価結果も結果処理部７へ送信されてもよい。
　なお、要件過不足検証部６は、セキュリティ機能要件の組合せと判定結果を結果ＤＢ１１に保存してもよい。以上の処理により得られたセキュリティ機能要件の組合せと判定結果（検証結果）に関する表示として、過不足要件推奨結果の表示画面９０６については、図１５を用いて後述する。
　図１４は、評価対象システムと各セキュリティ機能要件の定量評価結果の表示の例を示す図である。表示画面９０５は、システム全体評価結果欄８１１と各セキュリティ機能要件詳細評価結果欄８１２から構成され、ステップＳ７０８で送信された情報を基にしたステップＳ２１２の表示であってもよい。
　また、表示画面９０５は、評価演算ＤＢ９に格納されている評価演算データテーブル４００から取得された情報を基にして表示されてもよい。システム全体評価結果欄８１１は、図１１に示した入力画面９０１の目標とする防御有効性欄８０２の情報を含んでもよい。
　また、各セキュリティ機能要件詳細評価結果欄８１２のセキュリティ要件は、「セキュリティ機能要件１」と「セキュリティ機能要件２」だけでなく、「セキュリティ機能要件１」と「セキュリティ機能要件２」の組合せなどのステップＳ７０２で生成されたセキュリティ機能要件の組合せを含んでもよい。
　表示画面９０５は、図１４に示した例に限定するものではなく、定量評価結果の値だけの表示であってもよいし、評価演算データテーブル４００の情報のテーブル形式での表示であってもよい。さらに、表示画面９０５は、検証結果が不足であることによるユーザへのアラート情報を含んでもよい。
　図１５は、過不足要件推奨結果の表示の例を示す図である。表示画面９０６は、ステップＳ７０８で送信された情報を基にしたステップＳ２１２の表示であってもよい。
　表示画面９０６において、例えば、「セキュリティ機能要件１」、「セキュリティ機能要件２」、および「セキュリティ機能要件４」の組合せに対して、この組合せのそれぞれに「○」が表示され、「組合せ」に組合せの識別子となる「（１）」が表示され、この組合せがステップＳ７０６で十分と判定されたことを示すために、「システム評価」の「十分」の列に表示されてもよい。
　そして、この組合せは十分であるので、推奨される組合せとして表示されてもよい。過不足要件推奨結果として表示される情報は、図１５に示した表示画面９０６に限定するものではなく、十分と不足の検証結果の基となった数値すなわちステップＳ７０５で比較された数値の値が表示されてもよい。
　さらに、不足の組合せに対して、目標とする防御有効性に収めるための変更候補が算出できるのであれば、表示画面９０６は、その変更候補の情報を含んでもよく、変更候補が採用された場合の定量評価結果が表示されてもよい。
　図１５に示すように、表示画面９０６はボタン８１５を含んでもよく、ボタン８１５がクリックされると、ステップＳ２０２すなわちステップＳ５０２の目標とする防御有効性の入力から処理をやり直してもよい。
　以上で説明したように、実施例１によれば、サイバーセキュリティによる機能安全を評価することが可能になる。具体的には、サイバーセキュリティの目標値と機能安全の目標値の両方を兼ねる項目の目標値に対して、防御有効性を評価できる。また、機能安全に関わる物理制御層へ影響を与えるシステムの階層を設定できる。
　そして、設定された階層ごとにセキュリティ機能要件の防御有効性を評価できるため、評価を単純化でき、特定の階層から機能安全に関わる物理制御層までのセキュリティ機能要件の防御有効性の評価も単純化できる。
　また、目標値に対し、評価されたセキュリティ機能要件だけで十分かも判定できる。このため、余分なセキュリティ機能要件があるかの情報も提供可能となる。
　実施例１では、サイバーセキュリティによる機能安全システムの評価を自社内で行う場合に好適な例を説明した。実施例２では、他社が開発した機能安全システムを自社のネットワークに接続するときに、他社が開発した機能安全システムが、サイバー攻撃に対して目標とする防御有効性を満たすかを評価する場合に好適な例を説明する。
　実施例２では、必要要件ＤＢ８、評価演算ＤＢ９、検証演算ＤＢ１０、および結果ＤＢ１１の４つのデータベースが、セキュア機能安全評価装置１のメモリ１０２に格納されていても、これらの４つのデータベースは、通信装置１０４を通じてクラウドに格納のようにふるまってもよい。
　また、図１に示したセキュア機能安全評価装置１の各部は独立したコンピュータであって、各部は自社のネットワークで接続されたクラウドのコンピュータのようにふるまってもよい。
　実施例２におけるシーケンスの例を、図５を用いて説明する。なお、以下で説明するシーケンス以外の説明は実施例１での説明と同じであるので省略する。入力部２は、ステップＳ２０１で他社が開発した機能安全システムから稼働環境仕様書を受信し、ステップＳ２０２で目標とする防御有効性を受信して、受信した情報を自社のネットワークを通じて入力処理部４に送信する。
　入力処理部４は、自社のネットワークと出力部３を通じて、ステップＳ２０３での階層処理の問合せを他社のシステムへ送信し、他社のシステムで表示させる。入力部２は、ステップＳ２０４で他社が開発した機能安全システムから階層化した構成情報を受信し、受信した情報を自社のネットワークを通じて入力処理部４に送信する。
　ステップＳ２０４以降のステップＳ２０５、ステップＳ２０７からステップＳ２１１までは、クラウドで処理を実行するものの、実施例１で説明したセキュア機能安全評価装置１の処理と同じである。
　また、評価演算部５と結果処理部７のそれぞれは、ステップＳ２０６とステップＳ２１２のそれぞれで、自社のネットワークと出力部３を通じて、それぞれの処理結果を他社のシステムへ送信し、他社のシステムで表示させる。
　実施例２で、ステップＳ５０３の処理に必要な必要要件ＤＢ８に格納されている各個システムによる階層情報テーブル３１０は、クラウドに格納されているため、階層構成の変化に応じてクラウドのデータへ直接にフィードバックすることにより、データを効率よく更新することが可能になる。
　以上で説明したように、実施例２によれば、機能安全システムとセキュア機能安全評価装置１の両方が自社で開発された場合のみならず、他社で開発した機能安全システムに対してもセキュア機能安全評価装置１により、機能安全とセキュリティを評価することが可能になる。
　実施例１では、各階層、すなわち物理制御層、情報－制御層、情報層、およびクラウドが独立である例を説明した。すなわち、ユーザ１０９から受信する階層化した構成情報は、十分に階層化されている例であり、入力処理部４はステップＳ５０５で十分な階層化が完了するという前提での例であった。
　実施例３では、各階層は相互に影響する可能性があり、ユーザ１０９から受信する階層化した構成情報が、十分に階層化されていない情報である場合の例を説明する。実施例３における入力処理部４には階層検証処理部が追加される。階層検証処理部は、図６に示したステップＳ５０４とステップＳ５０５の間に追加され、階層が十分に階層化されたかどうかを検証する。
　階層検証処理部は、階層化した構成情報をさらに分類できるかどうか、または階層化した構成情報をさらに多くの階層にできるかどうかを判定する。そして、階層検証処理部は、各階層の相互の従属関係の分析と、各階層の独立性の分析を行い、これらの分析結果にしたがって、階層化した構成情報を変更し、階層数を増やす。
　図１６に示した例は４階層であったが、さらに巨大なシステムを評価対象とすると、各階層で相互に干渉する可能性が高くなってしまう。例えば、情報－制御層８５９が、物理制御層８５３の一部に干渉してしまう可能性もあり、情報－制御層８５９と物理制御層８５３のそれぞれを独立した階層として分けられない可能性がある。
　この状況で、階層検証処理部は、情報－制御層８５９と物理制御層８５３の従属関係を分析し、図１６に示した情報－制御層８５９は１階層だけであるが、情報－制御層８５９を複数の階層に分けて、物理制御層８５３とは独立な情報－制御層８５９に分ける。
　以上で説明したように、実施例３によれば、拡張性がある巨大なシステムに対して、階層を十分に分けることが可能になるので、階層ごとの定量評価においても他の階層との干渉を排除でき、定量評価の精度を向上させられる。
１　セキュア機能安全評価装置
２　入力部
３　出力部
４　入力処理部
５　評価演算部
６　要件過不足検証部
７　結果処理部
８　必要要件ＤＢ
９　評価演算ＤＢ
１０　検証演算ＤＢ
１１　結果ＤＢ

Claims (14)

  1. 　評価対象システムの複数のシステム階層に関する情報を生成する階層生成部と、
    　前記階層生成部により生成された複数のシステム階層に関する情報を用いて、各システム階層に含まれるセキュリティ機能要件による防御有効性の第一の評価値を算出し、セキュリティ機能要件の組合せによる防御有効性の第二の評価値を算出する評価部と、
    　前記評価部により算出された第一と第二の評価値と、目標値とに基づいて、前記評価対象システムにおけるセキュリティ機能要件の過不足を検証する検証部と、
    　を備えたことを特徴とするセキュリティ評価サーバ。
  2. 　請求項１に記載のセキュリティ評価サーバにおいて、
    　前記階層生成部は、機能安全に関わる第１のシステム階層と、前記第１のシステム階層とデータの授受を行う第２のシステム階層と、以下順に、第ｎ（ｎ≧２）のシステム階層とデータの授受を行う第ｎ＋１のシステム階層と、から成る複数のシステム階層に関する情報を生成する、
    　ことを特徴とするセキュリティ評価サーバ。
  3. 　請求項２に記載のセキュリティ評価サーバにおいて、
    　前記評価部は、第２のシステム階層から第ｎのシステム階層へと順に、各システム階層に含まれるセキュリティ機能要件による各システム階層の防御有効性の第一の評価値を算出し、算出した各システム階層の防御有効性の第一の評価値に基づき、第ｎのシステム階層の全体防御有効性の第一の評価値を算出する、
    　ことを特徴とするセキュリティ評価サーバ。
  4. 　請求項３に記載のセキュリティ評価サーバにおいて、
    　前記検証部は、前記評価部により算出された第二の評価値が、目標値以上である場合に、セキュリティ機能要件が十分であると判定する、
    　ことを特徴とするセキュリティ評価サーバ。
  5. 　請求項３に記載のセキュリティ評価サーバにおいて、
    　前記検証部は、前記評価部により算出された第二の評価値が、目標値未満である場合に、セキュリティ機能要件が不足であると判定する、
    　ことを特徴とするセキュリティ評価サーバ。
  6. 　請求項４に記載のセキュリティ評価サーバにおいて、
    　前記検証部は、前記セキュリティ機能要件が十分であると判定された場合、十分であると判定された第二の評価値の算出の基となった第一の評価値の最大値を特定する、
    　ことを特徴とするセキュリティ評価サーバ。
  7. 　請求項２に記載のセキュリティ評価サーバにおいて、
    　前記階層生成部は、機能安全要件の目標値とセキュリティ機能要件の目標値を兼ねる項目の目標値の入力を受け付け、
    　前記評価部は、入力が受け付けられた目標値の項目に対応する項目で、各システム階層の防御有効性の第一の評価値を算出する、
    　ことを特徴とするセキュリティ評価サーバ。
  8. 　請求項３に記載のセキュリティ評価サーバにおいて、
    　前記第１のシステム階層は物理制御層である、
    　ことを特徴とするセキュリティ評価サーバ。
  9. 　請求項１に記載のセキュリティ評価サーバにおいて、
    　前記階層生成部は、
    　システム仕様書を受け付け、受け付けたシステム仕様書に含まれるシステムタイプに基づいて、複数のシステム階層に関する情報を生成する、
    　ことを特徴とするセキュリティ評価サーバ。
  10. 　請求項１に記載のセキュリティ評価サーバにおいて、
    　前記階層生成部は、
    　階層を特定する操作を受け付け、受け付けた操作にしたがって、複数のシステム階層に関する情報を生成する、
    　ことを特徴とするセキュリティ評価サーバ。
  11. 　サーバにより実行されるセキュリティ評価方法において、
    　前記サーバは、ＣＰＵと、プログラムが格納された記憶装置と、を備え、
    　前記記憶装置に格納されたプログラムを実行する前記ＣＰＵは、
    　評価対象システムの複数のシステム階層に関する情報を生成し、
    　生成された複数のシステム階層に関する情報を用いて、各システム階層に含まれるセキュリティ機能要件による防御有効性の第一の評価値を算出し、セキュリティ機能要件の組合せによる防御有効性の第二の評価値を算出し、
    　算出された第一と第二の評価値と、目標値とに基づいて、前記評価対象システムにおけるセキュリティ機能要件の過不足を検証する、
    　ことを特徴とするセキュリティ評価方法。
  12. 　請求項１１に記載のセキュリティ評価方法において、
    　前記ＣＰＵは、機能安全に関わる第１のシステム階層と、前記第１のシステム階層とデータの授受を行う第２のシステム階層と、以下順に、第ｎ（ｎ≧２）のシステム階層とデータの授受を行う第ｎ＋１のシステム階層と、から成る複数のシステム階層に関する情報を生成する、
    　ことを特徴とするセキュリティ評価方法。
  13. 　請求項１２に記載のセキュリティ評価方法において、
    　前記ＣＰＵは、第２のシステム階層から第ｎのシステム階層へと順に、各システム階層に含まれるセキュリティ機能要件による各システム階層の防御有効性の第一の評価値を算出し、算出した各システム階層の防御有効性の第一の評価値に基づき、第ｎのシステム階層の全体防御有効性の第一の評価値を算出する、
    　ことを特徴とするセキュリティ評価方法。
  14. 　請求項１２に記載のセキュリティ評価方法において、
    　前記ＣＰＵは、
    　機能安全要件の目標値とセキュリティ機能要件の目標値を兼ねる項目の目標値の入力を受け付け、
    　入力が受け付けられた目標値の項目に対応する項目で、各システム階層の防御有効性の第一の評価値を算出する、
    　ことを特徴とするセキュリティ評価方法。
PCT/JP2018/045824 2018-02-21 2018-12-13 セキュリティ評価サーバおよびセキュリティ評価方法 WO2019163266A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
EP18906954.5A EP3757836A4 (en) 2018-02-21 2018-12-13 SECURITY ASSESSMENT SERVER AND SECURITY ASSESSMENT PROCESS
CN201880085748.2A CN111587433B (zh) 2018-02-21 2018-12-13 安保评价服务器和安保评价方法
US16/969,010 US20210026970A1 (en) 2018-02-21 2018-12-13 Security evaluation server and security evaluation method

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2018-028887 2018-02-21
JP2018028887A JP6901979B2 (ja) 2018-02-21 2018-02-21 セキュリティ評価サーバおよびセキュリティ評価方法

Publications (1)

Publication Number Publication Date
WO2019163266A1 true WO2019163266A1 (ja) 2019-08-29

Family

ID=67687589

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/045824 WO2019163266A1 (ja) 2018-02-21 2018-12-13 セキュリティ評価サーバおよびセキュリティ評価方法

Country Status (5)

Country Link
US (1) US20210026970A1 (ja)
EP (1) EP3757836A4 (ja)
JP (1) JP6901979B2 (ja)
CN (1) CN111587433B (ja)
WO (1) WO2019163266A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2023149008A1 (ja) * 2022-02-01 2023-08-10 株式会社日立製作所 計算機システム及びセキュリティリスクの影響分析方法

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6901979B2 (ja) * 2018-02-21 2021-07-14 株式会社日立製作所 セキュリティ評価サーバおよびセキュリティ評価方法

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001101135A (ja) * 1999-09-29 2001-04-13 Hitachi Ltd セキュリティ評価方法および装置、セキュリティ施策の作成支援方法および装置
JP2007316821A (ja) * 2006-05-24 2007-12-06 Omron Corp セキュリティ監視装置、セキュリティ監視システム、セキュリティ監視方法
JP2008176634A (ja) 2007-01-19 2008-07-31 Toshiba Corp セキュリティレベル監視評価装置及びセキュリティレベル監視評価プログラム
WO2016126700A1 (en) * 2015-02-06 2016-08-11 Honeywell International Inc. Rules engine for converting system-related characteristics and events into cyber-security risk assessment values
JP2016200991A (ja) * 2015-04-10 2016-12-01 日本電信電話株式会社 セキュリティ対策選定支援システムおよびセキュリティ対策選定支援方法
US20170324764A1 (en) * 2013-01-06 2017-11-09 Spheric Security Solutions System and method for evaluating and enhancing the security level of a network system

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH07120335B2 (ja) * 1984-10-19 1995-12-20 株式会社東芝 計算機システムの階層性評価装置
JP4469910B1 (ja) * 2008-12-24 2010-06-02 株式会社東芝 セキュリティ対策機能評価プログラム
US8726393B2 (en) * 2012-04-23 2014-05-13 Abb Technology Ag Cyber security analyzer
JP6047463B2 (ja) * 2013-08-21 2016-12-21 日立オートモティブシステムズ株式会社 セキュリティ上の脅威を評価する評価装置及びその方法
CN104320271B (zh) * 2014-10-20 2017-11-21 北京神州绿盟信息安全科技股份有限公司 一种网络设备安全评估方法及装置
CN104850794A (zh) * 2015-05-28 2015-08-19 天津大学 基于未确知测度理论和粗糙集的软件安全等级细化方法
CN106384193A (zh) * 2016-09-06 2017-02-08 中国电子技术标准化研究院 一种基于层次分析法的ics信息安全评估方法
JP6901979B2 (ja) * 2018-02-21 2021-07-14 株式会社日立製作所 セキュリティ評価サーバおよびセキュリティ評価方法

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001101135A (ja) * 1999-09-29 2001-04-13 Hitachi Ltd セキュリティ評価方法および装置、セキュリティ施策の作成支援方法および装置
JP2007316821A (ja) * 2006-05-24 2007-12-06 Omron Corp セキュリティ監視装置、セキュリティ監視システム、セキュリティ監視方法
JP2008176634A (ja) 2007-01-19 2008-07-31 Toshiba Corp セキュリティレベル監視評価装置及びセキュリティレベル監視評価プログラム
US20170324764A1 (en) * 2013-01-06 2017-11-09 Spheric Security Solutions System and method for evaluating and enhancing the security level of a network system
WO2016126700A1 (en) * 2015-02-06 2016-08-11 Honeywell International Inc. Rules engine for converting system-related characteristics and events into cyber-security risk assessment values
JP2016200991A (ja) * 2015-04-10 2016-12-01 日本電信電話株式会社 セキュリティ対策選定支援システムおよびセキュリティ対策選定支援方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3757836A4

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2023149008A1 (ja) * 2022-02-01 2023-08-10 株式会社日立製作所 計算機システム及びセキュリティリスクの影響分析方法
JP7482159B2 (ja) 2022-02-01 2024-05-13 株式会社日立製作所 計算機システム及びセキュリティリスクの影響分析方法

Also Published As

Publication number Publication date
CN111587433B (zh) 2023-07-18
EP3757836A4 (en) 2021-11-17
EP3757836A1 (en) 2020-12-30
CN111587433A (zh) 2020-08-25
JP2019144881A (ja) 2019-08-29
US20210026970A1 (en) 2021-01-28
JP6901979B2 (ja) 2021-07-14

Similar Documents

Publication Publication Date Title
EP3218811B1 (en) Testing insecure computing environments using random data sets generated from characterizations of real data sets
US11418534B2 (en) Threat analysis system and threat analysis method
JP2018077597A (ja) セキュリティ対策立案支援システムおよび方法
US20130067572A1 (en) Security event monitoring device, method, and program
US20190065757A1 (en) Private verification for fpga bitstreams
EP1866813A2 (en) Computer system for building a probabilistic model
WO2019163266A1 (ja) セキュリティ評価サーバおよびセキュリティ評価方法
WO2016063341A1 (ja) 時系列予測装置、及び時系列予測方法
JP7051724B2 (ja) 計算機システム及び対象に関する目的を達成するために有用な情報の提示方法
Affleck et al. Optimal selection of operationalizations for non-functional requirements
US20170177424A1 (en) Specific risk toolkit
JP6777612B2 (ja) コンピュータシステムにおけるデータ損失を防止するためのシステム及び方法
CN113609846A (zh) 一种语句中实体关系的抽取方法及装置
Chung et al. An analytical method for developing appropriate protection profiles of Instrumentation & Control System for nuclear power plants
KR102269174B1 (ko) 스마트 컨트랙트 검증 장치 및 방법
US20160117622A1 (en) Shared risk group management system, shared risk group management method, and shared risk group management program
Delgado et al. Accurate and fast computations with positive extended Schoenmakers–Coffey matrices
WO2013114911A1 (ja) リスク評価システム、リスク評価方法、及びプログラム
Ding et al. A Novel Algorithm of Stochastic Chance‐Constrained Linear Programming and Its Application
Ferris et al. The fundamental nature of resilience of engineered systems
WO2022018899A1 (ja) Ｋｐｉツリーから部分ツリーを抽出するシステム
WO2018096686A1 (ja) 検証プログラム、検証装置、検証方法、インデックス生成プログラム、インデックス生成装置およびインデックス生成方法
US20130297283A1 (en) Information processing device, information processing method, and program
EP3545441A1 (en) Systems and methods for satisfiability modulo theories processes using uninterpreted function symbols
Ke et al. The unified frame of alternating direction method of multipliers for three classes of matrix equations arising in control theory

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18906954

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2018906954

Country of ref document: EP

Effective date: 20200921