WO2020115782A1 - 情報処理装置、情報処理方法及び情報処理プログラム - Google Patents

情報処理装置、情報処理方法及び情報処理プログラム Download PDF

Info

Publication number
WO2020115782A1
WO2020115782A1 PCT/JP2018/044349 JP2018044349W WO2020115782A1 WO 2020115782 A1 WO2020115782 A1 WO 2020115782A1 JP 2018044349 W JP2018044349 W JP 2018044349W WO 2020115782 A1 WO2020115782 A1 WO 2020115782A1
Authority
WO
WIPO (PCT)
Prior art keywords
security evaluation
evaluation item
security
item
devices
Prior art date
Application number
PCT/JP2018/044349
Other languages
English (en)
French (fr)
Inventor
麻美 川口
鈴木　大輔
Original Assignee
三菱電機株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機株式会社 filed Critical 三菱電機株式会社
Priority to CN201880099828.3A priority Critical patent/CN113168471A/zh
Priority to JP2020558645A priority patent/JP6815576B2/ja
Priority to DE112018008112.5T priority patent/DE112018008112B4/de
Priority to PCT/JP2018/044349 priority patent/WO2020115782A1/ja
Priority to TW108120433A priority patent/TW202022673A/zh
Publication of WO2020115782A1 publication Critical patent/WO2020115782A1/ja
Priority to US17/227,975 priority patent/US11977642B2/en

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/034—Test or assess a computer or a system

Definitions

  • the present invention relates to security evaluation of information systems.
  • Patent Document 1 discloses that a management audit program is executed by a device that is included in an information system and is a target of security evaluation. Then, the management audit program acquires information such as the version of software installed in the device. Furthermore, an inspection device other than the device subject to the security evaluation performs the security evaluation of the device based on the information acquired by the management audit program.
  • Patent Document 2 discloses a technique in which a client device transmits a set security level to a server. Then, the server evaluates the security measures of the client device by returning the determination result regarding the security level to the client device.
  • the present invention has one of the main purposes to solve such problems. More specifically, the main object of the present invention is to enable selection of appropriate security evaluation items according to the characteristics of the device.
  • the information processing apparatus is A candidate acquisition unit for acquiring a plurality of security evaluation item candidates applied to a plurality of devices included in the information system; Whether each device of the plurality of devices has a communication path with an external communication device that is a device in the information system that communicates with the outside of the information system, and application to other devices in the information system
  • the security evaluation item to be exempted from is analyzed for at least one of the presence or absence of each device of the plurality of devices, and the security evaluation item to be applied for each device of the plurality of devices based on the analysis result.
  • an item selection unit for selecting from among a plurality of security evaluation item candidates.
  • the security evaluation is performed for each device in consideration of at least one of possibility of communication with the outside of the information system and exemption of application of the security evaluation item due to application to other devices in the information system. Select an item. Therefore, according to the present invention, an appropriate security evaluation item can be selected according to the characteristics of the device.
  • FIG. 3 is a diagram showing a functional configuration example of the inspection device according to the first embodiment.
  • FIG. 3 is a diagram showing a hardware configuration example of the inspection apparatus according to the first embodiment.
  • 3 is a flowchart showing an operation example of the inspection apparatus according to the first embodiment.
  • 3 is a flowchart showing an operation example of the inspection apparatus according to the first embodiment.
  • FIG. 3 is a diagram showing an example of system information according to the first embodiment.
  • 3 is a flowchart showing an operation example of the inspection apparatus according to the first embodiment.
  • FIG. 3 is a flowchart showing an operation example of the inspection apparatus according to the first embodiment.
  • 3 is a flowchart showing an operation example of the inspection apparatus according to the first embodiment.
  • FIG. 5 is a diagram showing an example of a functional configuration of an inspection device according to a second embodiment.
  • 9 is a flowchart showing an operation example of the inspection apparatus according to the second embodiment.
  • 9 is a flowchart showing an operation example of the inspection apparatus according to the second embodiment.
  • Embodiment 1 ***Description of structure***
  • a configuration for selecting security evaluation items to be applied to a plurality of devices included in an information system will be described.
  • the security evaluation items are also simply referred to as evaluation items.
  • a control system will be described as an example of an information system.
  • PLC Programmable Logic Controller
  • HMI Human Machine Interface
  • field devices and the like are connected by Ethernet (registered trademark) or a control network.
  • Ethernet registered trademark
  • equipment or equipment to be evaluated are collectively called equipment or equipment to be evaluated.
  • FIG. 1 shows a functional configuration example of an inspection apparatus 100 according to this embodiment.
  • 2 shows an example of the hardware configuration of the inspection device 100.
  • the inspection apparatus 100 selects a security evaluation item for each of a plurality of devices included in the control system.
  • the inspection apparatus 100 may be any device that constitutes the control system, or may be a device that is not included in the control system.
  • the inspection device 100 is an example of an information processing device.
  • the operation performed by the inspection device 100 is an example of an information processing method and an information processing program.
  • the inspection device 100 includes a system information generation unit 103, an evaluation item generation unit 107, an active scan unit 109, and a security evaluation unit 111.
  • a system information generation unit 103 the inspection device 100 includes a system information generation unit 103, an evaluation item generation unit 107, an active scan unit 109, and a security evaluation unit 111.
  • the system information generation unit 103 acquires the network information 101 and the device information 102, and generates the system information 104. Then, the system information generation unit 103 outputs the generated system information 104 to the evaluation item generation unit 107 and the security evaluation unit 111.
  • the network information 101 indicates the network configuration and connection relationship within the control system.
  • the device information 102 indicates the state, function, communication address, etc. of each device included in the control system.
  • the system information 104 indicates, for each device, a communication route from the device to the inspection apparatus 100, a communication route from the device to an external communication device, and the like.
  • the external communication device is a device in the control system that communicates with the outside of the control system.
  • FIG. 6 shows an example of the system information 104. Details of the system information 104 will be described later.
  • the evaluation item generation unit 107 acquires the system information 104, the candidate security evaluation items 106, and the security policy check list 901. Then, the evaluation item generation unit 107 generates the selected security evaluation item 108 based on the system information 104, the candidate security evaluation item 106, and the security policy check list 901. Then, the evaluation item generation unit 107 outputs the selected security evaluation item 108 to the active scan unit 109 and the security evaluation unit 111.
  • the selected security evaluation item 108 is a security evaluation item selected for each device.
  • the candidate security evaluation item 106 is a security evaluation item candidate extracted from the security evaluation item 105.
  • FIG. 8 shows an example of the candidate security evaluation item 106. Details of the candidate security evaluation item 106 will be described later.
  • the evaluation item generation unit 107 acquires a plurality of candidate security evaluation items 106 for a plurality of devices.
  • the security evaluation items 105 are all security evaluation items that can be applied to the control system.
  • the candidate security evaluation item 106 is a security evaluation item candidate that is selected from the security evaluation items 105 according to the characteristics of the control system and that may be applied to the devices included in the control system.
  • the extraction of the candidate security evaluation items 106 from the security evaluation items 105 may be manually performed by the user of the inspection apparatus 100, or the system information generation unit 103 and the evaluation item generation unit in the inspection apparatus 100 not illustrated in FIG. It may be performed by an element other than 107, the active scan unit 109, and the security evaluation unit 111.
  • the security evaluation item 105 exists, for example, in a database outside the inspection apparatus 100.
  • the security evaluation item 105 may exist on the Internet, for example.
  • the security policy check list 901 shows selection criteria for selecting the selected security evaluation item 108 from the plurality of candidate security evaluation items 106.
  • the security policy check list 901 is generated by the user of the inspection device 100, for example.
  • FIG. 9 shows an example of the security policy check list 901. Details of the security policy check list 901 will be described later.
  • the evaluation item generation unit 107 acquires candidates of security evaluation items to be applied to a plurality of devices included in the control system as the candidate security evaluation items 106, and the evaluation item generation unit 107 corresponds to a candidate acquisition unit. Further, the evaluation item generation unit 107 selects the security evaluation item to be applied for each device, and the evaluation item generation unit 107 corresponds to the item selection unit. More specifically, the evaluation item generation unit 107 determines whether or not each device has a communication path with an external communication device and security evaluation items exempted by application to other devices in the control system. At least one of the presence/absence of the device is analyzed, and the security evaluation item to be applied is selected from the security evaluation item candidates for each device based on the analysis result. The operation performed by the evaluation item generation unit 107 corresponds to the candidate acquisition process and the item selection process.
  • the active scan unit 109 acquires the selected security evaluation item 108 and performs active scanning on each device using the selected security evaluation item 108. Then, the active scan unit 109 outputs the result of the active scan as the active scan result 110 to the security evaluation unit 111.
  • the security evaluation unit 111 acquires the system information 104, the selected security evaluation item 108, and the active scan result 110, evaluates the security setting status of each device, and outputs the evaluation result as the security evaluation result 112.
  • the inspection device 100 is a computer.
  • the inspection device 100 includes a processor 201, a communication device 202, and a storage device 203 as hardware.
  • the storage device 203 stores a program that implements the functions of the system information generation unit 103, the evaluation item generation unit 107, the active scan unit 109, and the security evaluation unit 111 illustrated in FIG.
  • the processor 201 executes these programs to operate the system information generation unit 103, the evaluation item generation unit 107, the active scan unit 109, and the security evaluation unit 111.
  • the communication device 202 is used when receiving the network information 101, device information 102, and security evaluation item 105 shown in FIG. 1 from an external device. It is also used when the active scan unit 109 executes active scan. Furthermore, the communication device 202 is used when transmitting the security evaluation result 112 to an external device. Therefore, the communication device 202 has an interface compatible with Ethernet (registered trademark), a control network protocol, and the like. The communication device 202 includes one or a plurality of such interfaces as needed.
  • FIG. 3 shows an example of the operation of the inspection device 100.
  • the operation flow of the inspection device 100 does not necessarily have to be as shown in FIG.
  • the system information generation unit 103 acquires the network information 101 and the device information 102 in step S1001.
  • step S1002 the system information generation unit 103 uses the network information 101 and the device information 102 to generate system information 104. Details of the generation processing of the system information 104 in step S1002 will be described later.
  • step S1003 the evaluation item generation unit 107 acquires the candidate security evaluation item 106 and the security policy check list 901. Further, the evaluation item generation unit 107 also acquires the system information 104.
  • step S1004 the evaluation item generation unit 107 selects a security evaluation item for each device based on the system information 104, the candidate security evaluation item 106, and the security policy check list 901. Then, the evaluation item generation unit 107 outputs the selected security evaluation item 108 indicating the selection result to the active scan unit 109 and the security evaluation unit 111. Details of the security evaluation item selection processing in step S1004 will be described later.
  • step S1005 the active scan unit 109 confirms whether or not active scan is required for the selected security evaluation item 108 for each device. If active scan is required (YES in step S1005), the process proceeds to step S1006. On the other hand, if the active scan is unnecessary (NO in step S1005), the process proceeds to step S1007.
  • step S1006 the active scan unit 109 executes active scan in order to acquire the information of the evaluation target required by the evaluation method described in the corresponding security evaluation item.
  • the details of the active scan execution processing in step S1006 will be described later.
  • step S1007 the security evaluation unit 111 evaluates the security setting status of each device by using the device information 102, the selected security evaluation item 108, and the active scan result 110.
  • the details of the security evaluation processing in step S1007 will be described later.
  • step S1009 If all the security evaluation items of the selected security evaluation items 108 have been evaluated (YES in step S1009), the security evaluation unit 111 outputs the security evaluation result 112 in step S1010.
  • the security evaluation section 111 outputs the security evaluation result 112 to a display device connected to the inspection device 100, for example.
  • the security evaluation section 111 may also transmit the security evaluation result 112 to an external device using the communication device 202.
  • the process returns to step S1005. The processes of steps S1005 to S1009 are repeated until the evaluation of all security evaluation items is completed.
  • step S1002 of FIG. 3 details of the generation processing of the system information 104 in step S1002 of FIG. 3 will be described with reference to FIG.
  • the procedure for generating the system information 104 does not necessarily have to be as shown in FIG.
  • step S2001 the system information generation unit 103 acquires list information of devices that configure the control system.
  • step S2002 the system information generation unit 103 acquires the network information 101.
  • the network information 101 shows the connection relationship between each device and the network shown in the device list information acquired in step S2001 and the connection relationship between the devices.
  • step S2003 the system information generation unit 103 acquires the device information 102.
  • the device information 102 indicates the function, state, communication address, etc. of each device shown in the device list information acquired in step S2001.
  • step S2004 the system information generation unit 103 combines the information acquired in steps S2001 to S2003 to generate a constituent tree from the inspection apparatus 100.
  • the system information generation unit 103 generates a configuration tree such that a device that communicates with the outside of the control system, that is, an external communication device can be distinguished from other devices.
  • the system information generation unit 103 sets a flag on an external communication device and generates a configuration tree.
  • FIG. 5 shows an example of the configuration tree generated in step S2004.
  • the inspection device 100 is included in the control system.
  • the configuration tree shown in FIG. 5 represents the inspection device 100, the devices included in the control system, the network between the inspection device 100 and the devices, and the network between the devices. Further, a device that can communicate with the outside of the control system (external communication device) is set with a flag of "external communication".
  • step S2005 the system information generation unit 103 extracts a communication path from each device to the inspection apparatus 100. More specifically, the system information generation unit 103 analyzes the configuration tree generated in step S2004 and extracts the communication path from each device to the inspection device 100. When there are a plurality of communication routes from the device to the inspection apparatus 100, the system information generation unit 103 extracts all the communication routes. For example, when the same device exists at a plurality of locations in the configuration tree, the system information generation unit 103 determines that there are a plurality of communication routes and extracts all the communication routes. In the example of FIG. 5, since the device E and the device F are present at two locations, respectively, the system information generation unit 103 extracts two communication routes for the device E and two communication routes for the device F as well.
  • step S2006 the system information generation unit 103 extracts a communication path from each device to the external communication device. More specifically, the system information generation unit 103 extracts an external communication device from the configuration tree generated in step S2004, and extracts a communication path from each device to the extracted external communication device. The system information generation unit 103 also extracts a communication path from the device via the inspection device 100 to the external communication device. In this case, a communication path composed of a communication path from the device to the inspection device 100 and a communication path from the inspection device 100 to the external communication device is extracted. Also in step S2006, when the same device is present in a plurality of locations in the configuration tree, the system information generation unit 103 determines that there are a plurality of communication routes and extracts all the communication routes. In the example of FIG. 5, since the device E and the device F are present at two locations, respectively, the system information generation unit 103 extracts two communication routes for the device E and two communication routes for the device F as well.
  • step S2005 and the extraction of the communication path in step S2006 have been completed for all the devices indicated in the device list information acquired in step S2001 (YES in step S2007)
  • the process proceeds to step S2008. Proceed to.
  • step S2007 if there is a device for which communication path extraction has not been completed (NO in step S2007), the processing from step S2005 to step S2007 is repeated until the communication path extraction has been completed for all devices.
  • step S2008 the system information generation unit 103 generates the system information 104 for each device.
  • FIG. 6 shows an example of the system information 104.
  • the system information 104 shown in FIG. 6 includes information such as the IP address of the evaluation target device, all communication paths from the evaluation target device to the inspection device 100, all communication paths from the evaluation target device to the external communication device, and the like.
  • step S1004 the details of the security evaluation item selection processing in step S1004 shown in FIG. 3 will be described with reference to FIG.
  • step S3010 the evaluation item generation unit 107 acquires the system information 104.
  • step S3001 the evaluation item generation unit 107 acquires the candidate security evaluation items 106.
  • FIG. 8 shows an example of the candidate security evaluation item 106.
  • the evaluation item number, evaluation item name, target device name, mandatory item flag, option flag, option condition, evaluation method, scan required flag, scan target, confirmation item, evaluation reference value, and correspondence It includes examples of threats and countermeasures to be taken.
  • the evaluation item number is used for association with the security policy.
  • the essential item flag indicates whether or not it is essential for the target device to satisfy this evaluation item. When the essential item flag is ON, it is essential that the target device satisfies this evaluation item.
  • the option flag indicates whether or not there is an option condition. If the option flag is on, the option condition exists.
  • the option condition indicates a condition for determining whether or not to select this evaluation item for the target device.
  • the external access condition is a condition for selecting this evaluation item for the target device only when a communication path from the target device to the external communication device exists.
  • the exemption condition is described.
  • the exemption condition is a condition to exempt the application of this evaluation item when this evaluation item is applied to other devices in the control system.
  • the exemption condition is, for example, a condition that, when this evaluation item is applied to an external communication device, the target device is exempted from applying this evaluation item.
  • the exemption condition also includes a condition that when the evaluation item is applied to another device closer to the external communication device, the target device is exempted from applying the evaluation item.
  • the evaluation items for which exemption conditions are described in the optional conditions are called exemption evaluation items.
  • other devices closer to the external communication device are determined by, for example, the number of hops to the external communication device.
  • the device D and the device E are closer to the device A, which is an external communication device, than the device F.
  • the evaluation method indicates the evaluation method by the active scan unit 109.
  • the scan required flag indicates the necessity of active scanning.
  • the scan target indicates a target of active scan.
  • the confirmation item indicates the content to be confirmed in the device information 102 or the result of the active scan.
  • the evaluation reference value indicates a reference value to be compared with the device information 102 or the result of active scanning.
  • the corresponding threat example shows an example of a threat assumed when the device information 102 or the result of the active scan does not satisfy the evaluation reference value.
  • the countermeasure example shows an example of the countermeasure to be taken when the device information 102 or the result of the active scan does not satisfy the evaluation reference value.
  • the candidate security evaluation item 106 is described in a language capable of security inspection, such as XML (Extensible Markup Language) based OVAL (Open Vulnerability and Assessment Language).
  • OVAL Open Vulnerability and Assessment Language
  • the evaluation item generation unit 107 acquires the candidate security evaluation items 106 illustrated in FIG. 8 for each device included in the control system.
  • the evaluation item generation unit 107 acquires the security policy check list 901.
  • the security policy check list 901 shows selection criteria for selecting the selected security evaluation item 108 from the plurality of candidate security evaluation items 106.
  • the security policy check list 901 can be manually generated by the user of the inspection apparatus 100, or can be automatically generated by the user selecting a category that conforms to the international standard.
  • FIG. 9 shows an example of the security policy check list 901.
  • the security policy check list 901 is described in a description format capable of expressing a check list of security settings such as XCDCF (eXtensible Configuration Checklist Description Format). Further, the security policy check list 901 is described by being structured in the XML format, for example. As a result, it is possible to list check items such as the expiration date of the password and the update history of the password together with information of the identification number such as CCE (Common Configuration Enumeration) and generate them as the check items.
  • the security policy check list 901 is a list of security policy numbers and evaluation item numbers to be extracted.
  • the evaluation item number of the security evaluation item to be extracted for realizing the security policy is shown for each security policy.
  • the candidate security evaluation item 106 with the evaluation item number “1” and the candidate security evaluation item 106 with the evaluation item number “2” are set. It is necessary to extract.
  • the candidate security evaluation item 106 with the evaluation item number “2” the candidate security evaluation item 106 with the evaluation item number “3”, and the evaluation item number It is necessary to extract the candidate security evaluation item 106 with “4”.
  • the evaluation item generation unit 107 extracts the security evaluation item having the evaluation item number corresponding to the “evaluation item number” in the security policy check list 901. Even if the same evaluation item number is duplicated in the security policy check list 901, the evaluation item generating unit 107 extracts the relevant security evaluation item only once. In the example of FIG. 9, the security evaluation item with the evaluation item number “2” is duplicated, but the evaluation item generation unit 107 extracts the security evaluation item with the evaluation item number “2” once. Just do.
  • step S3004 the evaluation item generation unit 107 determines, for each device, whether the communication path to the external communication device is described in the corresponding system information 104.
  • the evaluation item generation unit 107 determines whether to delete the security evaluation item in step S3005 with reference to the mandatory flag and the optional condition of the security evaluation item. For example, it is assumed that the communication path to the external communication device is not described in the system information 104 of the device x (NO in step S3004). Further, it is assumed that the external access condition is described in the option condition of the security evaluation item extracted to the device x in step S3003. In this case, the evaluation item generation unit 107 deletes the security evaluation item in step S3005.
  • the evaluation item generation unit 107 does not select a security evaluation item related to communication with the outside of the information system for a device that does not have a communication path with an external communication device.
  • the evaluation item generation unit 107 does not delete the security evaluation item. If the external access condition is not described in the option condition of the security evaluation item extracted for the device x in step S3003, the evaluation item generation unit 107 does not delete the security evaluation item.
  • step S3006 determines in step S3006 whether or not the device currently being evaluated has an exemption evaluation item. That is, the evaluation item generation unit 107 determines whether or not the exemption condition is described in the option condition of the security evaluation item extracted in step S3003 for the device that is currently the determination target.
  • the evaluation item generation unit 107 determines in step S3007 whether the exemption evaluation item is applied to the external communication device. judge. In addition, the evaluation item generation unit 107 determines whether or not the exemption evaluation item is applied to another device that is closer to the external communication device than the device that is currently the determination target. Then, when the exemption evaluation item is applied to the external communication device or another device closer to the external communication device, the evaluation item generation unit 107 deletes the exemption evaluation item for the device that is currently the determination target. To do. As described above, the evaluation item generation unit 107 does not select a security evaluation item exempted from application for a device that has a security evaluation item exempted by application to another device in the control system. .. When the exemption evaluation item is not applied to the external communication device or another device closer to the external communication device, the process of step S3008 is performed.
  • the evaluation item generation unit 107 performs the processing of steps S3004 to S3007 for each security evaluation item.
  • step S3008 the evaluation item generation unit 107 finally selects the security evaluation items not deleted in steps S3005 and S3007 among the security evaluation items extracted in step S3003 for the device that is the current determination target. To do.
  • step S3009 the evaluation item generation unit 107 determines whether or not the selection of security evaluation items has been completed for all the devices that make up the control system. If the selection of security evaluation items has been completed for all devices (YES in step S3009), the process ends. On the other hand, if there is a device for which security evaluation item selection has not been completed (NO in step S3009), the evaluation item generation unit 107 performs steps S3003 through S3003 until the selection of security evaluation items for all devices is completed. The process of step S3009 is repeated.
  • step S1006 of FIG. 3 the details of the active scan execution process of step S1006 of FIG. 3 will be described with reference to FIG.
  • step S4001 the active scan unit 109 acquires an evaluation item that requires scanning. More specifically, the active scan unit 109 acquires, from the selected security evaluation items 108, the security evaluation items for which the scan required flag is turned on.
  • step S4002 the active scan unit 109 refers to the scan target of the security evaluation item acquired in step S4001 and determines the scan method to be performed. Specifically, in step S4002, active scan unit 109 determines whether the scan target is related to IP communication. That is, the active scan unit 109 confirms whether or not the IP communication is described as the scan target of the security evaluation item.
  • the process proceeds to step S4004.
  • the process proceeds to S4003.
  • step S4003 the active scan unit 109 determines whether the scan method to be performed is related to the application. Specifically, the active scan unit 109 confirms whether or not the application is described as the scan target of the security evaluation item. If the application is described as the scan target (YES in step S4003), the process proceeds to step S4005. On the other hand, if the application is not described in the scan target (NO in step S4003), that is, if the scan target is the control protocol or the unique service, the process proceeds to S4006.
  • step S4004 the active scan unit 109 performs scanning using IP communication.
  • active scan section 109 transmits a scan packet addressed to the IP address shown in system information 104.
  • the scan related to IP communication there is a port scan or the like.
  • the active scan unit 109 refers to the evaluation method of the security evaluation item, and carries out a scan suitable for the evaluation method.
  • step S4005 the active scan unit 109 scans the application.
  • the active scan unit 109 transmits the scan packet with the IP address shown in the system information 104 or the address corresponding to the application shown in the system information 104 as the destination.
  • FTP File Transfer Protocol
  • the active scan unit 109 uses an IP address.
  • the active scan unit 109 also refers to the evaluation method of the security evaluation item, and performs a scan suitable for the evaluation method.
  • step S4006 the active scan unit 109 scans the control protocol or service.
  • active scan section 109 transmits a scan packet with the address of another protocol shown in system information 104 as the destination. Also in step S4006, the active scan unit 109 refers to the evaluation method of the security evaluation item, and performs the scan suitable for the evaluation method.
  • step S4007 the active scan unit 109 outputs the scan results performed in steps S4004, S4005, and S4006 to the security evaluation unit 111.
  • step S1007 details of the security evaluation processing in step S1007 shown in FIG. 3 will be described with reference to FIG.
  • step S5001 the security evaluation unit 111 acquires the device information 102, the selected security evaluation item 108, and the active scan result 110.
  • step S5002 the security evaluation unit 111 extracts the confirmation items of the selected security evaluation item 108 and confirms which value is the evaluation target.
  • step S5003 the security evaluation unit 111 extracts a corresponding value from the device information 102 or the active scan result 110 as the value of the confirmation item extracted in step S5002.
  • step S5004 the security evaluation unit 111 extracts an evaluation reference value from the selected security evaluation item 108.
  • step S5005 the security evaluation unit 111 determines whether or not the value extracted in step S5003 satisfies the evaluation reference value extracted in step 5004. If the value extracted in step S5003 satisfies the evaluation reference value (YES in step S5005), security measures are taken in the device. In this case, the process proceeds to step S5006. On the other hand, if the value extracted in step S5003 does not satisfy the evaluation reference value (NO in step S5005), the device does not take security measures, or the device does not take security measures correctly. In this case, the process proceeds to step S5007.
  • step S5006 since security measures are taken in the device, the security evaluation unit 111 generates a security evaluation result 112 indicating that there is no problem, and ends the process.
  • step S5007 the security evaluation unit 111 generates a security evaluation result 112 indicating that there is a problem because the device does not take security measures or the devices do not take security measures correctly. Further, in step S5008, the security evaluation unit 111 determines from the “corresponding threat example” and “countermeasure example” of the selected security evaluation item 108 that security measures have not been taken or that security measures have not been taken correctly. Extract the examples of threats and countermeasures that can be assumed in. Then, the security evaluation unit 111 adds the extracted threat example and countermeasure example to the security evaluation result 112, and ends the process.
  • the device is considered in consideration of at least one of possibility of communication with the outside of the information system and exemption of application of the security evaluation item due to application to other devices in the information system. Select security evaluation items for each. Therefore, according to the present embodiment, it is possible to select an appropriate security evaluation item according to the characteristics of the device. That is, since the inspection device according to the present embodiment is configured to generate the security evaluation items required for the information system from the configuration of the information system, it is possible to perform the security evaluation on the entire information system without excess or deficiency.
  • the inspection apparatus according to the present embodiment is automatically executed, it is possible to eliminate omissions and errors due to human intervention. Furthermore, the security evaluation can be made efficient by executing all of them automatically.
  • the inspection apparatus extracts the security evaluation items according to the security policy selected by the user. Therefore, appropriate security evaluation items can be extracted simply by changing the selection of the security policy based on the system-specific rule or the international standard rule. Further, even if the security policy required by the information system is changed, it is possible to extract the security evaluation items according to the new security policy without changing the setting.
  • the inspection device confirms the state of the device by active scanning. Therefore, the state of the device can be confirmed without changing the setting of the device or adding the program. Therefore, the security evaluation of the information system can be performed only by connecting the inspection device to the existing information system.
  • the inspection device outputs the security evaluation result to a device that can access the inspection device. Therefore, the user can check the security evaluation result from anywhere such as the office.
  • FIG. 12 is a functional configuration example of the inspection device 100 according to the second embodiment.
  • the same elements as those in FIG. 1 are designated by the same reference numerals.
  • the evaluation item generation unit 107 acquires the security policy check list 901 as in the first embodiment. 12, security evaluation history data 701, executed evaluation items 702, and executed security evaluation results 703 are added in comparison with FIG.
  • the hardware configuration of the inspection device 100 is as shown in FIG. The matters not described below are the same as those in the first embodiment.
  • the security evaluation history data 701 is composed of a configuration tree generated in the past, selected security evaluation items 108, and security evaluation results 112. That is, the configuration tree, the selected security evaluation item 108 and the security evaluation result 112 generated in the past are accumulated in the database as the security evaluation history data 701.
  • the security evaluation history data 701 is stored in, for example, a database outside the inspection device 100.
  • the implemented evaluation item 702 is a past selected security evaluation item 108 extracted from the security evaluation history data 701.
  • the executed security evaluation result 703 is the past security evaluation result 112 extracted from the security evaluation history data 701.
  • the system information generation unit 103 changes the system information 104 according to the change.
  • the evaluation item generation unit 107 changes the selected security evaluation item in response to the change.
  • the active scan unit 109 newly performs active scan in response to the change.
  • the security evaluation unit 111 performs a new security evaluation corresponding to the change.
  • FIGS. 13 and 14 show an example of the re-evaluation operation in the inspection apparatus 100, and the operation flow of the inspection apparatus inspection apparatus 100 does not necessarily have to be as shown in FIGS. 13 and 14.
  • the system information generation unit 103 determines in step S6001 whether the request from the user is a re-evaluation request.
  • the request for re-evaluation is to request the security evaluation with the changed contents when the device configuration of the control system is changed or the device setting is changed. If the request from the user indicates a change in the control system, the system information generation unit 103 determines that the request is for re-evaluation.
  • the control system can be changed by changing the device configuration (adding devices, deleting devices, changing device connection relationships, replacing devices) and changing device settings (adding settings, deleting settings, setting values). Change).
  • step S6001 If the user request is a request for re-evaluation (YES in step S6001), the process proceeds to step S6005. On the other hand, if the user request is not a re-evaluation request (NO in step S6001), the process proceeds to step S6002.
  • step S6002 the system information generation unit 103 determines whether or not security evaluation has been performed in the past. More specifically, the system information generation unit 103 refers to the security evaluation history data 701. If the security evaluation history data 701 includes the past security evaluation result 112, the system information generation unit 103 determines that the security evaluation has been performed in the past. On the other hand, if there is no past security evaluation result 112 in the security evaluation history data 701, the system information generation unit 103 determines that no security evaluation has been performed in the past. If the security evaluation has been performed in the past (YES in step S6002), the process proceeds to step S6004. On the other hand, if the security evaluation has not been performed in the past (NO in step S6002), the process proceeds to step S6003.
  • step S6003 the security of the control system is evaluated.
  • the control system is a new evaluation.
  • step S6003 the system information 104, the selected security evaluation item 108, the active scan, and the security evaluation are performed in the procedure described in the first embodiment, and the security evaluation result 112 is finally generated.
  • step S6004 the system information generation unit 103 extracts the past security evaluation result 112 from the security evaluation history data 701 as the executed security evaluation result 703, and outputs the extracted executed security evaluation result 703.
  • the output destination of the executed security evaluation result 703 may be, for example, a display connected to the inspection device 100, a terminal device used by the user of the inspection device 100, an external database, or the like.
  • step S6005 the system information generation unit 103 determines whether the device configuration has changed. For example, if the user's request in step S6001 describes the change in the device configuration, the system information generation unit 103 determines that the device configuration has been changed. The system information generation unit 103 may determine whether the network information 101 and the device information 102 have been revised since the time when the system information 104 was generated last time. In this case, if the network information 101 and the device information 102 have been revised, the system information generation unit 103 determines that the device configuration has changed. If the device configuration is changed (YES in step S6005), the process proceeds to step S6006. On the other hand, if there is no change in the device configuration, that is, if there is a change in the device settings (NO in step S6005), the process proceeds to step S6010.
  • step S6006 the system information generation unit 103 acquires the revised network information 101 and device information 102.
  • the system information generation unit 103 generates the system information 104 corresponding to the current device configuration. Specifically, the system information generation unit 103 extracts the configuration tree (FIG. 5) generated when the system information 104 was generated last time from the security evaluation history data 701. Further, the system information generation unit 103 adds or deletes a network, adds or deletes a device, or changes a connection relationship in the extracted configuration tree in accordance with the revised network information 101 and device information 102. Then, the system information generation unit 103 generates new system information 104 based on the new configuration tree. The procedure for generating the new system information 104 from the new configuration tree is the same as that described in the first embodiment. Then, the system information generation unit 103 outputs the new system information 104 to the evaluation item generation unit 107.
  • the configuration tree FIG. 5
  • step S6008 the evaluation item generation unit 107 acquires the security evaluation item of the changed device from the security evaluation item 105 based on the new system information 104.
  • the evaluation item generation unit 107 acquires the security evaluation item of the changed device.
  • step S6009 the evaluation item generation unit 107 changes the security evaluation item in accordance with the change in the device configuration of the control system. Specifically, the evaluation item generation unit 107 extracts the previously generated security evaluation item before change from the security evaluation history data 701. Then, the evaluation item generation unit 107 deletes the security evaluation item before the change extracted from the security evaluation history data 701, and adds the security evaluation item after the change acquired in step S6008. Further, in step S6009, the flow of FIG. 7 is performed. That is, if the changed security evaluation item has an external access condition, the system information generation unit 103 deletes the security evaluation item. Similarly, when the changed security evaluation item is an exemption evaluation item and the security evaluation item is applied to another device, the system information generation unit 103 deletes the security evaluation item.
  • the evaluation item generation unit 107 confirms the range to be re-evaluated. That is, the evaluation item generation unit 107 confirms whether or not the range of the re-evaluation target is limited to some security evaluation items. For example, when the user has specified some security evaluation items as the range of re-evaluation, the evaluation item generation unit 107 determines that the range of re-evaluation is limited to some security evaluation items. To do. In addition, when the scale of the change (change of the device configuration or change of the device setting) is small and it is sufficient to perform the security evaluation using only the security evaluation items related to the change, the evaluation item generation unit 107 determines the re-evaluation target. It is determined that the scope of is limited to some security evaluation items.
  • step S6010 When the range of the re-evaluation target is limited to some security evaluation items (YES in step S6010), the process proceeds to step S6011. On the other hand, if the range of re-evaluation targets is all security evaluation items (NO in step S6010), the process proceeds to step S6011.
  • step S6011 the evaluation item generation unit 107 specifies a range to be re-evaluated. That is, the active scan unit 109 specifies some security evaluation items to be re-evaluated.
  • step S6009 the evaluation item generation unit 107 specifies some of the security evaluation items obtained by performing step S6009.
  • step S6009 when step S6009 is not performed (when the setting of the device is changed), the evaluation item generation unit 107 acquires the previous selected security evaluation item 108 from the security evaluation history data 701, and acquires the acquired selected security evaluation item 108. Specify some of the security evaluation items.
  • step S6012 the evaluation item generation unit 107 outputs the security evaluation item specified in step S6011 as a new selected security evaluation item 108 to the active scan unit 109 and the security evaluation unit 111.
  • step S6013 the evaluation item generation unit 107 outputs all security evaluation items to the active scan unit 109.
  • step S6009 the evaluation item generation unit 107 outputs the security evaluation item obtained by performing step S6009 to the active scan unit 109 as a new selected security evaluation item 108.
  • step S6009 is not performed (when the setting of the device is changed)
  • the evaluation item generation unit 107 acquires the previous selected security evaluation item 108 from the security evaluation history data 701 and acquires the acquired previous selected security evaluation.
  • the item 108 is output to the active scan unit 109 and the security evaluation unit 111.
  • step S6014 the active scan unit 109 confirms the scan required flag described in the selected security evaluation item 108 acquired from the evaluation item generation unit 107, and determines whether the scan is necessary. If the scan required flag is off, the selected security evaluation item 108 does not need to be scanned. In this case, the process proceeds to S6016. On the other hand, if the scan required flag is on, it is necessary to scan the selected security evaluation item 108. In this case, the process proceeds to S6015.
  • step S6015 the active scan unit 109 scans the security evaluation item determined to be necessary in step S6014.
  • the scan is performed according to the procedure shown in FIG. Further, the active scan unit 109 generates an active scan result 110 indicating a scan result, and outputs the generated active scan result 110 to the security evaluation unit 111.
  • step S6016 the security evaluation unit 111 evaluates the security setting status of each device using the device information 102, the selected security evaluation item 108, and the active scan result 110. In step S6016, the operation of FIG. 11 is performed.
  • the security evaluation unit 111 If all the security evaluation items of the selected security evaluation items 108 have been evaluated (YES in step S6017), the security evaluation unit 111 outputs the security evaluation result 112 in step S6018.
  • the security evaluation unit 111 may output the security evaluation result 112 to a display device connected to the inspection device 100, for example.
  • the security evaluation section 111 may also transmit the security evaluation result 112 to an external device using the communication device 202.
  • the process returns to step S6014. The processes of steps S6014 to S6017 are repeated until the evaluation of all security evaluation items is completed.
  • the inspection apparatus when a change occurs in the information system, performs the necessary security evaluation according to the changed portion, thereby efficiently performing security evaluation without excess or deficiency. be able to.
  • the inspection apparatus performs the re-evaluation in a short time and with few resources in order to effectively utilize the security evaluation items generated in the past and the evaluation results generated in the past when performing the re-evaluation.
  • the processor 201 shown in FIG. 2 is an IC (Integrated Circuit) that performs processing.
  • the processor 201 is a CPU (Central Processing Unit), a DSP (Digital Signal Processor), or the like.
  • the storage device 203 shown in FIG. 2 is a RAM (Random Access Memory), a ROM (Read Only Memory), a flash memory, an HDD (Hard Disk Drive), or the like.
  • the communication device 202 illustrated in FIG. 2 is an electronic circuit that executes a data communication process.
  • the communication device 202 is, for example, a communication chip or a NIC (Network Interface Card).
  • the storage device 203 also stores an OS (Operating System). Then, at least a part of the OS is executed by the processor 201.
  • the processor 201 executes a program that realizes the functions of the system information generation unit 103, the evaluation item generation unit 107, the active scan unit 109, and the security evaluation unit 111 while executing at least a part of the OS.
  • the processor 201 executes the OS, task management, memory management, file management, communication control, etc. are performed.
  • at least one of information, data, signal value, and variable value indicating the processing result of the system information generation unit 103, the evaluation item generation unit 107, the active scan unit 109, and the security evaluation unit 111 is the storage device 203, the processor 201.
  • programs that realize the functions of the system information generation unit 103, the evaluation item generation unit 107, the active scan unit 109, and the security evaluation unit 111 are magnetic disks, flexible disks, optical disks, compact disks, Blu-ray (registered trademark) disks, DVDs It may be stored in a portable recording medium such as.
  • the inspection device 100 may be realized by a processing circuit.
  • the processing circuits are, for example, logic ICs (Integrated Circuits), GAs (Gate Arrays), ASICs (Application Specific Integrated Circuits), and FPGAs (Field-Programmable Gate Arrays).
  • processing circuit the superordinate concept of the processor and the processing circuit is referred to as "processing circuit”. That is, each of the processor and the processing circuit is a specific example of “processing circuit”.
  • 100 inspection device 101 network information, 102 device information, 103 system information generation unit, 104 system information, 105 security evaluation item, 106 candidate security evaluation item, 107 evaluation item generation unit, 108 selected security evaluation item, 109 active scan unit, 110 active scan result, 111 security evaluation part, 112 security evaluation result, 201 processor, 202 communication device, 203 storage device, 701 security evaluation history data, 702 executed evaluation item, 703 executed security evaluation result, 901 security policy checklist .

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

評価項目生成部（１０７）は、情報システムに含まれる複数の機器に適用するセキュリティ評価項目の候補を複数取得する。また、評価項目生成部（１０７）は、情報システムの外部との通信を行う情報システム内の機器である外部通信機器との通信経路を複数の機器の各機器が有するか否か及び情報システム内の他の機器への適用により適用が免除されるセキュリティ評価項目が複数の機器の各機器に存在するか否かの少なくともいずれかを解析し、解析結果に基づき、複数の機器の機器ごとに、適用するセキュリティ評価項目を複数のセキュリティ評価項目の候補の中から選択する。

Description

情報処理装置、情報処理方法及び情報処理プログラム
　本発明は、情報システムのセキュリティ評価に関する。
　特許文献１では、情報システムに含まれる、セキュリティ評価の対象となる機器で管理監査プログラムを実行することが開示されている。そして、管理監査プログラムが、機器に実装されているソフトウェアのバージョンなどの情報を取得する。更に、セキュリティ評価の対象となる機器とは別の検査機器が、管理監査プログラムが取得した情報に基づき、機器のセキュリティ評価を行っている。
　特許文献２では、クライアント機器が、設定したセキュリティレベルをサーバに送信する技術が開示されている。そして、サーバが、セキュリティレベルについての判定結果をクライアント機器に返すことで、クライアント機器のセキュリティ対策を評価している。
特開２００１－２７３３８８号公報 特開２０１４－１０６９２０号公報
　特許文献１及び特許文献２の技術では、セキュリティ評価の対象となる全ての機器で同じセキュリティ評価項目が適用されている。しかし、機器ごとに特性が異なるため、機器ごとに特性に応じた適切なセキュリティ評価項目を選択することが望ましい。
　例えば、情報システムの外部との通信の可能性がある機器と、情報システムの外部との通信の可能性がない機器とでは、外部から攻撃を受ける可能性は大きく異なる。
　また、情報システム内のある機器（以下、機器Ａとする）に適用すれば、他の機器（以下、機器Ｂとする）には適用を免除してもよいというセキュリティ評価項目も存在する。このような場合に、機器Ａと機器Ｂとに当該セキュリティ評価項目を適用すれば、機器Ｂについて無駄な処理が発生する。
　特許文献１及び特許文献２の技術では、全ての機器に同じセキュリティ評価項目が適用されているため、機器の特性に応じた適切なセキュリティ評価項目の選択ができないという課題がある。
　本発明は、このような課題を解決することを主な目的の一つとしている。より具体的には、本発明は、機器の特性に応じた適切なセキュリティ評価項目の選択を可能にすることを主な目的とする。
　本発明に係る情報処理装置は、
　情報システムに含まれる複数の機器に適用するセキュリティ評価項目の候補を複数取得する候補取得部と、
　前記情報システムの外部との通信を行う前記情報システム内の機器である外部通信機器との通信経路を前記複数の機器の各機器が有するか否か及び前記情報システム内の他の機器への適用により適用が免除されるセキュリティ評価項目が前記複数の機器の各機器に存在するか否かの少なくともいずれかを解析し、解析結果に基づき、前記複数の機器の機器ごとに、適用するセキュリティ評価項目を複数のセキュリティ評価項目の候補の中から選択する項目選択部とを有する。
　本発明では、情報システムの外部との通信の可能性及び情報システム内の他の機器への適用によりセキュリティ評価項目の適用が免除される可能性の少なくともいずれかを考慮して機器ごとにセキュリティ評価項目を選択する。このため、本発明によれば、機器の特性に応じて適切なセキュリティ評価項目を選択することができる。
実施の形態１に係る検査装置の機能構成例を示す図。 実施の形態１に係る検査装置のハードウェア構成例を示す図。 実施の形態１に係る検査装置の動作例を示すフローチャート。 実施の形態１に係る検査装置の動作例を示すフローチャート。 実施の形態１に係る構成木の例を示す図。 実施の形態１に係るシステム情報の例を示す図。 実施の形態１に係る検査装置の動作例を示すフローチャート。 実施の形態１に係るセキュリティ評価項目の例を示す図。 実施の形態１に係るセキュリティポリシーチェックリストの例を示す図。 実施の形態１に係る検査装置の動作例を示すフローチャート。 実施の形態１に係る検査装置の動作例を示すフローチャート。 実施の形態２に係る検査装置の機能構成例を示す図。 実施の形態２に係る検査装置の動作例を示すフローチャート。 実施の形態２に係る検査装置の動作例を示すフローチャート。
　以下、本発明の実施の形態について、図を用いて説明する。以下の実施の形態の説明及び図面において、同一の符号を付したものは、同一の部分又は相当する部分を示す。
　実施の形態１．
＊＊＊構成の説明＊＊＊
　本実施の形態では、情報システムに含まれる複数の機器に適用するセキュリティ評価項目を選択する構成を説明する。以下、セキュリティ評価項目を単に評価項目ともいう。
　本実施の形態では、情報システムの例として制御システムを用いて説明を行う。制御システムでは、ＰＬＣ（Ｐｒｏｇｒａｍｍａｂｌｅ　Ｌｏｇｉｃ　Ｃｏｎｔｒｏｌｌｅｒ）、ＨＭＩ（Ｈｕｍａｎ　Ｍａｃｈｉｎｅ　Ｉｎｔｅｒｆａｃｅ）、フィールド機器などがＥｔｈｅｒｎｅｔ（登録商標）又は制御ネットワークで接続されている。
　以下では、制御システムに含まれる、ＰＬＣ、ＨＭＩ、フィールド機器等をまとめて機器又は評価対象機器と称する。
　図１は、本実施の形態に係る検査装置１００の機能構成例を示す。
　また、図２は、検査装置１００のハードウェア構成例を示す。
　検査装置１００は、制御システムに含まれる複数の機器について、機器ごとにセキュリティ評価項目を選択する。
　検査装置１００は、制御システムを構成するいずれかの機器でもよいし、制御システムに含まれない機器でもよい。
　検査装置１００は、情報処理装置の例である。また、検査装置１００で行われる動作は、情報処理方法及び情報処理プログラムの例である。
　図１に示すように、検査装置１００は、システム情報生成部１０３と評価項目生成部１０７とアクティブスキャン部１０９とセキュリティ評価部１１１とで構成される。
　以下、各々について説明を行う。
　システム情報生成部１０３は、ネットワーク情報１０１と機器情報１０２を取得し、システム情報１０４を生成する。そして、システム情報生成部１０３は、生成したシステム情報１０４を評価項目生成部１０７及びセキュリティ評価部１１１に出力する。
　ネットワーク情報１０１は、制御システム内のネットワーク構成及び接続関係を示す。機器情報１０２は、制御システムに含まれる各機器の状態、機能、通信アドレス等を示す。
　システム情報１０４では、機器ごとに、機器から検査装置１００への通信経路、機器から外部通信機器への通信経路等が示される。外部通信機器とは、制御システムの外部との通信を行う制御システム内の機器である。図６は、システム情報１０４の例を示す。システム情報１０４の詳細は後述する。
　評価項目生成部１０７は、システム情報１０４と、候補セキュリティ評価項目１０６と、セキュリティポリシーチェックリスト９０１を取得する。そして、評価項目生成部１０７は、システム情報１０４と候補セキュリティ評価項目１０６とセキュリティポリシーチェックリスト９０１とに基づき、選択セキュリティ評価項目１０８を生成する。そして、評価項目生成部１０７は、選択セキュリティ評価項目１０８をアクティブスキャン部１０９及びセキュリティ評価部１１１に出力する。
　選択セキュリティ評価項目１０８は、機器ごとに選択されたセキュリティ評価項目である。
　候補セキュリティ評価項目１０６は、セキュリティ評価項目１０５から抽出された、セキュリティ評価項目の候補である。図８は、候補セキュリティ評価項目１０６の例を示す。候補セキュリティ評価項目１０６の詳細は後述する。評価項目生成部１０７は、複数の機器について複数の候補セキュリティ評価項目１０６を取得する。
　セキュリティ評価項目１０５は、制御システムに適用され得る全てのセキュリティ評価項目である。候補セキュリティ評価項目１０６は、セキュリティ評価項目１０５から、制御システムの特性に沿って選択された、制御システムに含まれる機器に適用する可能性のある、セキュリティ評価項目の候補である。セキュリティ評価項目１０５から候補セキュリティ評価項目１０６の抽出は、検査装置１００のユーザがマニュアルで行ってもよいし、図１に図示していない検査装置１００内のシステム情報生成部１０３、評価項目生成部１０７、アクティブスキャン部１０９及びセキュリティ評価部１１１以外の要素が行うようにしてもよい。セキュリティ評価項目１０５は、例えば、検査装置１００の外部のデータベースに存在する。セキュリティ評価項目１０５は、例えば、インターネット上に存在してもよい。
　セキュリティポリシーチェックリスト９０１には、複数の候補セキュリティ評価項目１０６から選択セキュリティ評価項目１０８を選択するための選択基準が示される。セキュリティポリシーチェックリスト９０１は、例えば、検査装置１００のユーザにより生成される。図９は、セキュリティポリシーチェックリスト９０１の例を示す。セキュリティポリシーチェックリスト９０１の詳細は後述する。
　評価項目生成部１０７は、制御システムに含まれる複数の機器に適用するセキュリティ評価項目の候補を候補セキュリティ評価項目１０６として取得しており、評価項目生成部１０７は、候補取得部に相当する。
　また、評価項目生成部１０７は、機器ごとに、適用するセキュリティ評価項目を選択しており、評価項目生成部１０７は、項目選択部に相当する。評価項目生成部１０７は、より具体的には、外部通信機器との通信経路を各機器が有するか否か及び制御システム内の他の機器への適用により適用が免除されるセキュリティ評価項目が各機器に存在するか否かの少なくともいずれかを解析し、解析結果に基づき、機器ごとに、適用するセキュリティ評価項目をセキュリティ評価項目の候補の中から選択する。
　なお、評価項目生成部１０７により行われる動作は、候補取得処理及び項目選択処理に相当する。
　アクティブスキャン部１０９は、選択セキュリティ評価項目１０８を取得し、選択セキュリティ評価項目１０８を用いて各機器にアクティブスキャンを行う。そして、アクティブスキャン部１０９は、アクティブスキャンの結果をアクティブスキャン結果１１０としてセキュリティ評価部１１１に出力する。
　セキュリティ評価部１１１は、システム情報１０４と選択セキュリティ評価項目１０８とアクティブスキャン結果１１０を取得し、各機器のセキュリティ設定状況を評価し、評価結果をセキュリティ評価結果１１２として出力する。
　次に、図２を参照して、検査装置１００のハードウェア構成を説明する。
　＊＊＊構成の説明＊＊＊
　本実施の形態に係る検査装置１００は、コンピュータである。
　検査装置１００は、ハードウェアとして、プロセッサ２０１、通信装置２０２及び記憶装置２０３を備える。
　記憶装置２０３には、図１に示すシステム情報生成部１０３、評価項目生成部１０７、アクティブスキャン部１０９及びセキュリティ評価部１１１の機能を実現するプログラムが記憶されている。
　プロセッサ２０１がこれらプログラムを実行して、システム情報生成部１０３、評価項目生成部１０７、アクティブスキャン部１０９及びセキュリティ評価部１１１の動作を行う。
　図２では、プロセッサ２０１がシステム情報生成部１０３、評価項目生成部１０７、アクティブスキャン部１０９及びセキュリティ評価部１１１の機能を実現するプログラムを実行している状態を模式的に表している。
　通信装置２０２は、図１に示すネットワーク情報１０１、機器情報１０２、セキュリティ評価項目１０５を外部機器から受信する場合に用いられる。また、アクティブスキャン部１０９がアクティブスキャンを実行する場合に用いられる。更に、通信装置２０２は、セキュリティ評価結果１１２を外部機器に送信する場合に用いられる。そのため、通信装置２０２は、Ｅｔｈｅｒｎｅｔ（登録商標）、制御用ネットワークプロトコルなどに対応したインタフェースをもつ。通信装置２０２は、このようなインタフェースを、必要に応じて１つもしくは複数備える。
＊＊＊動作の説明＊＊＊
　次に、図３を用いて、検査装置１００の動作例を説明する。
　図３は、検査装置１００の動作の一例を示す。検査装置１００の動作フローは必ずしも図３の通りでなくてもよい。
　検査装置１００のユーザからセキュリティ評価の要求があった場合に、システム情報生成部１０３が、ステップＳ１００１において、ネットワーク情報１０１と機器情報１０２を取得する。
　次に、ステップＳ１００２において、システム情報生成部１０３が、ネットワーク情報１０１と機器情報１０２を用いて、システム情報１０４を生成する。
　なお、ステップＳ１００２のシステム情報１０４の生成処理の詳細は、後述する。
　次に、ステップＳ１００３において、評価項目生成部１０７が、候補セキュリティ評価項目１０６とセキュリティポリシーチェックリスト９０１を取得する。また、評価項目生成部１０７は、システム情報１０４も取得する。
　次に、ステップＳ１００４において、評価項目生成部１０７が、システム情報１０４と候補セキュリティ評価項目１０６とセキュリティポリシーチェックリスト９０１とに基づき、機器ごとにセキュリティ評価項目を選択する。そして、評価項目生成部１０７は、選択結果を示す選択セキュリティ評価項目１０８をアクティブスキャン部１０９とセキュリティ評価部１１１に出力する。
　ステップＳ１００４のセキュリティ評価項目の選択処理の詳細は、後述する。
　ステップＳ１００５において、アクティブスキャン部１０９が、機器ごとに、選択セキュリティ評価項目１０８について、アクティブスキャンの要否を確認する。
　アクティブスキャンが必要な場合（ステップＳ１００５でＹＥＳ）は、処理がステップＳ１００６に進む。一方、アクティブスキャンが不要な場合（ステップＳ１００５でＮＯ）は、処理がステップＳ１００７に進む。
　ステップＳ１００６では、アクティブスキャン部１０９が、該当するセキュリティ評価項目に記載された評価方法で必要となる評価対象の情報を取得するためにアクティブスキャンを実行する。
　なお、ステップＳ１００６のアクティブスキャンの実行処理の詳細は、後述する。
　ステップＳ１００７では、セキュリティ評価部１１１が、機器情報１０２と選択セキュリティ評価項目１０８とアクティブスキャン結果１１０とを用いて、各機器のセキュリティ設定状況を評価する。
　なお、ステップＳ１００７のセキュリティ評価処理の詳細は、後述する。
　選択セキュリティ評価項目１０８の全てのセキュリティ評価項目について評価が完了している場合（ステップＳ１００９でＹＥＳ）は、ステップＳ１０１０において、セキュリティ評価部１１１はセキュリティ評価結果１１２を出力する。セキュリティ評価部１１１は、例えば、検査装置１００に接続されているディスプレイ装置にセキュリティ評価結果１１２を出力する。また、セキュリティ評価部１１１は、通信装置２０２を用いてセキュリティ評価結果１１２を外部機器に送信してもよい。
　一方、評価が完了していないセキュリティ評価項目がある場合（ステップＳ１００９でＮＯ）は、処理がステップＳ１００５に戻る。全てセキュリティ評価項目についての評価が完了するまで、ステップＳ１００５からステップＳ１００９の処理が繰り返される。
　次に、図４を参照して、図３のステップＳ１００２のシステム情報１０４の生成処理の詳細を説明する。
　なお、システム情報１０４の生成手順は、は必ずしも図４の通りでなくてもよい。
　先ず、ステップＳ２００１において、システム情報生成部１０３が、制御システムを構成する機器の一覧情報を取得する。
　次に、ステップＳ２００２において、システム情報生成部１０３が、ネットワーク情報１０１を取得する。ネットワーク情報１０１には、ステップＳ２００１で取得した機器の一覧情報に示される各機器とネットワークとの接続関係及び機器間の接続関係が示される。
　次に、ステップＳ２００３において、システム情報生成部１０３が、機器情報１０２を取得する。
　機器情報１０２には、ステップＳ２００１で取得した機器の一覧情報に示される各機器の機能、状態、通信アドレス等が示される。
　次に、ステップＳ２００４において、システム情報生成部１０３が、ステップＳ２００１からステップＳ２００３で取得した情報を組み合わせて、検査装置１００からの構成木を生成する。
　このとき、システム情報生成部１０３は、制御システムの外部との通信を行う機器、すなわち外部通信機器を他の機器と区別できるようにして構成木を生成する。例えば、システム情報生成部１０３は、外部通信機器にフラグを設定して構成木を生成する。
　ステップＳ２００４で生成される構成木の例を図５に示す。
　図５に示す例では、検査装置１００は制御システムに含まれる。図５に示す構成木では、検査装置１００と、制御システムに含まれる機器と、検査装置１００と機器との間のネットワークと、機器間のネットワークが表される。また、制御システムの外部と通信ができる機器（外部通信機器）には、「外部通信」とのフラグが設定されている。
　次に、ステップＳ２００５において、システム情報生成部１０３は、各機器から検査装置１００への通信経路を抽出する。
　より具体的には、システム情報生成部１０３は、ステップＳ２００４で生成した構成木を解析して、各機器から検査装置１００への通信経路を抽出する。機器から検査装置１００への通信経路が複数ある場合は、システム情報生成部１０３は、全ての通信経路を抽出する。例えば、構成木の複数箇所に同じ機器がある場合は、システム情報生成部１０３は、複数の通信経路が存在すると判定し、全ての通信経路を抽出する。図５の例では、機器Ｅと機器Ｆがそれぞれ２箇所に存在するので、システム情報生成部１０３は、機器Ｅについて２つの通信経路を抽出し、機器Ｆについても２つの通信経路を抽出する。
　次に、ステップＳ２００６において、システム情報生成部１０３は、各機器から外部通信機器への通信経路を抽出する。
　より具体的には、システム情報生成部１０３は、ステップＳ２００４で生成した構成木において外部通信機器を抽出し、各機器から、抽出した外部通信機器への通信経路を抽出する。
　システム情報生成部１０３は、検査装置１００を介した機器から外部通信機器に至る通信経路も抽出する。この場合は、機器から検査装置１００への通信経路と、検査装置１００から外部通信機器への通信経路とで構成される通信経路を抽出する。
　また、ステップＳ２００６でも、構成木の複数箇所に同じ機器がある場合は、システム情報生成部１０３は、複数の通信経路が存在すると判定し、全ての通信経路を抽出する。図５の例では、機器Ｅと機器Ｆがそれぞれ２箇所に存在するので、システム情報生成部１０３は、機器Ｅについて２つの通信経路を抽出し、機器Ｆについても２つの通信経路を抽出する。
　ステップＳ２００１で取得した機器の一覧情報に示される全ての機器に対してステップＳ２００５の通信経路の抽出とステップＳ２００６の通信経路の抽出とが完了した場合（ステップＳ２００７でＹＥＳ）は、処理がステップＳ２００８に進む。
　一方、通信経路の抽出が完了していない機器が存在する場合（ステップＳ２００７でＮＯ）は、全ての機器に対して通信経路の抽出が完了するまでステップＳ２００５からステップＳ２００７までの処理が繰り返される。
　ステップＳ２００８では、システム情報生成部１０３は、機器ごとにシステム情報１０４を生成する。
　図６は、システム情報１０４の例を示す。
　図６に示すシステム情報１０４では、評価対象機器のＩＰアドレス、評価対象機器から検査装置１００までの全通信経路、評価対象機器から外部通信機器への全通信経路等の情報が含まれる。
　次に、図７を用いて、図３に示すステップＳ１００４のセキュリティ評価項目の選択処理の詳細を説明する。
　ステップＳ３０１０において、評価項目生成部１０７が、システム情報１０４を取得する。
　次に、ステップＳ３００１において、評価項目生成部１０７が、候補セキュリティ評価項目１０６を取得する。
　図８は、候補セキュリティ評価項目１０６の例を示す。
　図８の候補セキュリティ評価項目１０６では、評価項目番号、評価項目名、対象機器名、必須項目フラグ、オプションフラグ、オプション条件、評価方法、スキャン必要フラグ、スキャン対象、確認項目、評価基準値、対応する脅威例及び対策例が含まれる。
　評価項目番号は、セキュリティポリシーとの対応付けに用いられる。
　必須項目フラグは、対象機器がこの評価項目を満たすことが必須か否かを示す。必須項目フラグがオンの場合は、対象機器がこの評価項目を満たすことが必須である。
　オプションフラグは、オプション条件の有無を示す。オプションフラグがオンの場合は、オプション条件が存在する。
　オプション条件には、対象機器に対してこの評価項目を選択するか否かの判定条件が示される。オプション条件には、例えば、外部アクセス条件が記載されている。外部アクセス条件とは、対象機器から外部通信機器への通信経路が存在する場合にのみ、この評価項目を対象機器に対して選択するとの条件である。また、オプション条件には、例えば、適用免除条件が記載される。適用免除条件とは、制御システム内の他の機器でこの評価項目が適用される場合はこの評価項目の適用を免除するとの条件である。適用免除条件は、例えば、外部通信機器でこの評価項目が適用される場合は対象機器にはこの評価項目の適用を免除するとの条件である。また、適用免除条件には、外部通信機器により近い他の機器でこの評価項目が適用される場合は対象機器にはこの評価項目の適用を免除するとの条件も含まれる。また、オプション条件に適用免除条件が記載されている評価項目を免除評価項目という。なお、外部通信機器により近い他の機器は、例えば、外部通信機器へのホップ数で決定される。図５の構成木では、外部通信機器である機器Ａには、機器Ｆよりも機器Ｄ及び機器Ｅの方が近い。
　評価方法は、アクティブスキャン部１０９による評価方法を示す。
　スキャン必要フラグは、アクティブスキャンの要否を示す。
　スキャン対象は、アクティブスキャンの対象を示す。
　確認項目は、機器情報１０２又はアクティブスキャンの結果において確認すべき内容を示す。
　評価基準値は、機器情報１０２又はアクティブスキャンの結果と比較する基準値を示す。
　対応する脅威例は、機器情報１０２又はアクティブスキャンの結果が評価基準値を満たせていない場合に想定される脅威の例を示す。
　対策例は、機器情報１０２又はアクティブスキャンの結果が評価基準値を満たせていない場合に実施すべき対策の例を示す。
　候補セキュリティ評価項目１０６は、例えばＸＭＬ（Ｅｘｔｅｎｓｉｂｌｅ　Ｍａｒｋｕｐ　Ｌａｎｇｕａｇｅ）ベースのＯＶＡＬ（Ｏｐｅｎ　Ｖｕｌｎｅｒａｂｉｌｉｔｙ　ａｎｄ　Ａｓｓｅｓｓｍｅｎｔ　Ｌａｎｇｕａｇｅ）などのセキュリティ検査が可能な言語で記述される。候補セキュリティ評価項目１０６には、図８に示す項目の他、アクティブスキャンにより機器から抽出した値の保存場所などがＸＭＬ形式で記述されてもよい。
　評価項目生成部１０７は、制御システムに含まれる各機器について、図８に例示する候補セキュリティ評価項目１０６を取得する。
　次に、ステップＳ３００２において、評価項目生成部１０７は、セキュリティポリシーチェックリスト９０１を取得する。
　セキュリティポリシーチェックリスト９０１には、複数の候補セキュリティ評価項目１０６から選択セキュリティ評価項目１０８を選択するための選択基準が示される。セキュリティポリシーチェックリスト９０１は検査装置１００のユーザがマニュアルで生成することもできるし、ユーザが国際標準に準拠したカテゴリを選択することで自動的に生成することもできる。
　図９は、セキュリティポリシーチェックリスト９０１の例を示す。
　セキュリティポリシーチェックリスト９０１は、例えばＸＣＣＤＦ（ｅＸｔｅｎｓｉｂｌｅ　Ｃｏｎｆｉｇｕｒａｔｉｏｎ　Ｃｈｅｃｋｌｉｓｔ　Ｄｅｓｃｒｉｐｔｉｏｎ　Ｆｏｒｍａｔ）などのセキュリティ設定のチェックリストを表現可能な記述形式で記述される。また、セキュリティポリシーチェックリスト９０１は、例えば、ＸＭＬ形式で構造化して記述される。これにより、パスワードの有効期限などのチェック項目とパスワードの更新履歴などをＣＣＥ（Ｃｏｍｍｏｎ　Ｃｏｎｆｉｇｕｒａｔｉｏｎ　Ｅｎｕｍｅｒａｔｉｏｎ）のような識別番号の情報とともにリストアップし、チェック項目として生成することができる。
　セキュリティポリシーチェックリスト９０１では、セキュリティポリシーの番号と、抽出すべき評価項目の番号が一覧となっている。セキュリティポリシーチェックリスト９０１では、セキュリティポリシーごとに、セキュリティポリシーを実現するために抽出すべきセキュリティ評価項目の評価項目番号が示される。
　図９の例では、ポリシー番号「１」のセキュリティポリシーを実現するためには、評価項目番号が「１」の候補セキュリティ評価項目１０６と、評価項目番号が「２」の候補セキュリティ評価項目１０６を抽出することが必要である。また、ポリシー番号「２」のセキュリティポリシーを実現するためには、評価項目番号が「２」の候補セキュリティ評価項目１０６と、評価項目番号が「３」の候補セキュリティ評価項目１０６と、評価項目番号が「４」の候補セキュリティ評価項目１０６を抽出することが必要である。
　次に、ステップＳ３００３において、評価項目生成部１０７は、セキュリティポリシーチェックリスト９０１の「評価項目番号」に対応する評価項目番号のセキュリティ評価項目を抽出する。
　なお、セキュリティポリシーチェックリスト９０１に同じ評価項目番号が重複して記載されている場合でも、評価項目生成部１０７は、該当するセキュリティ評価項目の抽出を１度だけ行う。
　図９の例では、評価項目番号が「２」のセキュリティ評価項目が重複して記載されているが、評価項目生成部１０７は、評価項目番号が「２」のセキュリティ評価項目の抽出を１度だけ行う。
　次に、ステップＳ３００４において、評価項目生成部１０７は、機器ごとに、対応するシステム情報１０４に外部通信機器への通信経路が記載されているか否かを判定する。
　現在判定対象となっている機器のシステム情報１０４に外部通信機器への通信経路が記載されていない場合（ステップＳ３００４でＮＯ）は、評価項目生成部１０７は、ステップＳ３００５において、外部アクセスに関係するセキュリティ評価項目を削除する。なお、評価項目生成部１０７は、セキュリティ評価項目の必須フラグ及びオプション条件を参照して、ステップＳ３００５のセキュリティ評価項目の削除を行うか否かを決定する。
　例えば、機器ｘのシステム情報１０４には、外部通信機器への通信経路が記載されていないとする（ステップＳ３００４でＮＯ）。また、ステップＳ３００３で機器ｘに抽出されたセキュリティ評価項目のオプション条件に外部アクセス条件が記載されているとする。この場合は、評価項目生成部１０７は、ステップＳ３００５において、当該セキュリティ評価項目を削除する。このように、評価項目生成部１０７は、外部通信機器との通信経路を有しない機器には、情報システムの外部との通信に関係するセキュリティ評価項目の選択は行わない。
　一方で、ステップＳ３００３で機器ｘについて抽出されたセキュリティ評価項目の必須フラグがオンである場合は、評価項目生成部１０７は、当該セキュリティ評価項目の削除は行わない。また、ステップＳ３００３で機器ｘについて抽出されたセキュリティ評価項目のオプション条件に外部アクセス条件が記載されていない場合は、評価項目生成部１０７は、当該セキュリティ評価項目の削除は行わない。
　ステップＳ３００４においてＮＯであった場合は、評価項目生成部１０７は、ステップＳ３００６において、現在判定対象となっている機器に免除評価項目があるか否かを判定する。
　つまり、評価項目生成部１０７は、現在判定対象となっている機器についてステップＳ３００３で抽出されたセキュリティ評価項目のオプション条件に適用免除条件が記載されているか否かを判定する。
　現在判定対象となっている機器に免除評価項目がある場合（ステップＳ３００６でＹＥＳ）は、評価項目生成部１０７は、ステップＳ３００７において、外部通信機器に当該免除評価項目が適用になるか否かを判定する。また、評価項目生成部１０７は、現在判定対象となっている機器よりも外部通信機器に近い他の機器に当該免除評価項目が適用になるか否かを判定する。そして、外部通信機器又は外部通信機器により近い他の機器に当該免除評価項目が適用になる場合は、評価項目生成部１０７は、現在判定対象となっている機器については、当該免除評価項目を削除する。このように、評価項目生成部１０７は、制御システム内の他の機器への適用により適用が免除されるセキュリティ評価項目が存在する機器には、適用が免除されるセキュリティ評価項目の選択は行わない。
　外部通信機器又は外部通信機器により近い他の機器に当該免除評価項目が適用にならない場合は、ステップＳ３００８の処理が行われる。
　現在判定対象となっている機器に複数のセキュリティ評価項目が抽出されている場合は、評価項目生成部１０７は、各セキュリティ評価項目に対して、ステップＳ３００４～ステップＳ３００７の処理を行う。
　ステップＳ３００８では、評価項目生成部１０７は、現在判定対象となっている機器についてステップＳ３００３で抽出されたセキュリティ評価項目のうち、ステップＳ３００５及びステップＳ３００７で削除されなかったセキュリティ評価項目を最終的に選択する。
　次に、評価項目生成部１０７は、ステップＳ３００９において、制御システムを構成する全ての機器に対してセキュリティ評価項目の選択が完了したか否かを判定する。
　全ての機器に対してセキュリティ評価項目の選択が完了している場合（ステップＳ３００９でＹＥＳ）は、処理が終了する。一方、セキュリティ評価項目の選択が完了していない機器がある場合（ステップＳ３００９でＮＯ）は、評価項目生成部１０７は、全ての機器に対してセキュリティ評価項目の選択が完了するまで、ステップＳ３００３～ステップＳ３００９の処理を繰り返す。
　次に、図１０を用いて、図３のステップＳ１００６のアクティブスキャンの実行処理の詳細を説明する。
　ステップＳ４００１において、アクティブスキャン部１０９は、スキャンが必要な評価項目を取得する。
　より具体的には、アクティブスキャン部１０９は、選択セキュリティ評価項目１０８のうち、スキャン必要フラグがオンになっているセキュリティ評価項目を取得する。
　次に、ステップＳ４００２において、アクティブスキャン部１０９は、ステップＳ４００１で取得したセキュリティ評価項目のスキャン対象を参照して、実施すべきスキャン方法を判定する。
　具体的には、アクティブスキャン部１０９は、ステップＳ４００２において、スキャン対象がＩＰ通信に関係するか否かを判定する。つまり、アクティブスキャン部１０９は、セキュリティ評価項目のスキャン対象にＩＰ通信が記載されているか否かを確認する。スキャン対象にＩＰ通信が記載されている場合（ステップＳ４００２でＹＥＳ）は、処理がステップＳ４００４に進む。一方、スキャン対象にＩＰ通信が記載されていない場合（ステップＳ４００２でＮＯ）は、処理がＳ４００３に進む。
　ステップＳ４００３では、アクティブスキャン部１０９は、実施すべきスキャン方法がアプリケーションに関係するか否かを判定する。
　具体的には、アクティブスキャン部１０９は、セキュリティ評価項目のスキャン対象にアプリケーションが記載されているか否かを確認する。スキャン対象にアプリケーションが記載されている場合（ステップＳ４００３でＹＥＳ）は、処理がステップＳ４００５に進む。一方、スキャン対象にアプリケーションが記載されていない場合（ステップＳ４００３でＮＯ）、つまり、スキャン対象が制御プロトコル又は独自のサービスである場合は、処理がＳ４００６に進む。
　ステップＳ４００４では、アクティブスキャン部１０９は、ＩＰ通信を利用してスキャンを実施する。
　ステップＳ４００４では、アクティブスキャン部１０９は、システム情報１０４に示されるＩＰアドレスを宛先にしてスキャンパケットを送信する。ＩＰ通信に関するスキャンとしてはポートスキャンなどがある。また、アクティブスキャン部１０９は、セキュリティ評価項目の評価方法を参照し、評価方法に合ったスキャンを実施する。
　ステップＳ４００５では、アクティブスキャン部１０９は、アプリケーションのスキャンを実施する。
　ステップＳ４００５では、アクティブスキャン部１０９は、システム情報１０４に示されるＩＰアドレス又はシステム情報１０４に示されるアプリケーションに対応したアドレスを宛先にしてスキャンパケットを送信する。アプリケーションに関するスキャンとしてＦＴＰ（Ｆｉｌｅ　Ｔｒａｎｓｆｅｒ　Ｐｒｏｔｏｃｏｌ）へのアクセスがあり、この場合には、アクティブスキャン部１０９は、ＩＰアドレスを利用する。また、アクティブスキャン部１０９は、ステップＳ４００５でも、セキュリティ評価項目の評価方法を参照し、評価方法に合ったスキャンを実施する。
　ステップＳ４００６では、アクティブスキャン部１０９は、制御プロトコル又はサービスのスキャンを実施する。
　ステップＳ４００６では、アクティブスキャン部１０９は、システム情報１０４に示される他プロトコルのアドレスを宛先にしてスキャンパケットを送信する。また、アクティブスキャン部１０９は、ステップＳ４００６でも、セキュリティ評価項目の評価方法を参照し、評価方法に合ったスキャンを実施する。
　最後に、ステップＳ４００７において、アクティブスキャン部１０９は、ステップＳ４００４、ステップＳ４００５、ステップＳ４００６で実施したスキャン結果をセキュリティ評価部１１１に出力する。
　次に、図１１を用いて、図３に示すステップＳ１００７のセキュリティ評価処理の詳細を説明する。
　ステップＳ５００１において、セキュリティ評価部１１１が、機器情報１０２、選択セキュリティ評価項目１０８及びアクティブスキャン結果１１０を取得する。
　次に、ステップＳ５００２において、セキュリティ評価部１１１は、選択セキュリティ評価項目１０８の確認項目を抽出し、どの値が評価対象であるかを確認する。
　次に、ステップＳ５００３において、セキュリティ評価部１１１は、ステップＳ５００２で抽出した確認項目の値として、機器情報１０２又はアクティブスキャン結果１１０から該当する値を抽出する。
　次に、ステップＳ５００４において、セキュリティ評価部１１１は、選択セキュリティ評価項目１０８から評価基準値を抽出する。
　次に、ステップＳ５００５において、セキュリティ評価部１１１は、ステップＳ５００３で抽出した値が、ステップ５００４で抽出した評価基準値を満たしているか否かを判定する。
　ステップＳ５００３で抽出した値が評価基準値を満たしている場合（ステップＳ５００５でＹＥＳ）は、機器においてセキュリティ対策がされている。この場合は、処理がステップＳ５００６に進む。
　一方、ステップＳ５００３で抽出した値が評価基準値を満たしていない場合（ステップＳ５００５でＮＯ）は、機器においてセキュリティ対策が行われていない、もしくは機器においてセキュリティ対策が正しく行われていない。この場合は、処理がステップＳ５００７に進む。
　ステップＳ５００６では、機器においてセキュリティ対策が行われているため、セキュリティ評価部１１１は、問題なしとのセキュリティ評価結果１１２を生成し、処理を終了する。
　ステップＳ５００７では、機器においてセキュリティ対策が行われていない、もしくは機器においてセキュリティ対策が正しく行われていないため、セキュリティ評価部１１１は問題ありとのセキュリティ評価結果１１２を生成する。
　更に、セキュリティ評価部１１１は、ステップＳ５００８において、選択セキュリティ評価項目１０８の「対応する脅威例」と「対策例」から、セキュリティ対策が行われていない場合、もしくはセキュリティ対策が正しく行われていない場合に想定される脅威の例と対策例を抽出する。そして、セキュリティ評価部１１１は、抽出した脅威の例と対策例をセキュリティ評価結果１１２に追加し、処理を終了する。
＊＊＊実施の形態の効果の説明＊＊＊
　以上、本実施の形態では、情報システムの外部との通信の可能性及び情報システム内の他の機器への適用によりセキュリティ評価項目の適用が免除される可能性の少なくともいずれかを考慮して機器ごとにセキュリティ評価項目を選択する。このため、本実施の形態によれば、機器の特性に応じて適切なセキュリティ評価項目を選択することができる。
　つまり、本実施の形態に係る検査装置は、情報システムの構成から情報システムに必要なセキュリティ評価項目を生成するようにしているので、情報システム全体で過不足なくセキュリティ評価を実施することができる。
　また、本実施の形態に係る検査装置は、全て自動で実行されるため、人間の介入による漏れや誤りをなくすことができる。さらに、全て自動で実行することで、セキュリティ評価を効率化することができる。
　また、本実施の形態に係る検査装置は、セキュリティ評価項目の抽出をユーザが選択するセキュリティポリシーに合わせて実施する。このため、システム独自のルール又は国際標準のルールに基づいてセキュリティポリシーの選択を変えるだけで適切なセキュリティ評価項目を抽出することができる。
　また、情報システムが必要とするセキュリティポリシーに変更があっても、設定変更等を行わずに、新しいセキュリティポリシーに準じたセキュリティ評価項目を抽出することができる。
　また、本実施の形態に係る検査装置は、アクティブスキャンにより機器の状態を確認する。このため、機器の設定変更又はプログラムの追加を行わずに機器の状態を確認することができる。従って、既存の情報システムに検査機器を接続するだけで、当該情報システムのセキュリティ評価を実施することができる。
　また、本実施の形態に係る検査装置は、検査装置にアクセスできる機器にセキュリティ評価結果を出力する。このため、ユーザは、セキュリティ評価結果をオフィスなどどこからでも確認することができる。
　実施の形態２．
＊＊＊構成の説明＊＊＊
　図１２は、実施の形態２に係る検査装置１００の機能構成例である。
　図１と同じ要素には同じ符号を付している。なお、作図上の理由から、セキュリティポリシーチェックリスト９０１の図示を省略しているが、実施の形態１と同様に、評価項目生成部１０７は、セキュリティポリシーチェックリスト９０１を取得する。
　図１２では、図１と比較して、セキュリティ評価履歴データ７０１、実施済み評価項目７０２及び実施済みセキュリティ評価結果７０３が追加されている。
　なお、検査装置１００のハードウェア構成は図２に示す通りである。
　また、以下で説明していない事項は実施の形態１と同じである。
　セキュリティ評価履歴データ７０１は、過去に生成された構成木、選択セキュリティ評価項目１０８、セキュリティ評価結果１１２で構成される。つまり、過去に生成された構成木、選択セキュリティ評価項目１０８、セキュリティ評価結果１１２がセキュリティ評価履歴データ７０１としてデータベースに蓄積されている。セキュリティ評価履歴データ７０１は、例えば、検査装置１００の外部のデータベースに蓄積されている。
　実施済み評価項目７０２は、セキュリティ評価履歴データ７０１から抽出された過去の選択セキュリティ評価項目１０８である。
　実施済みセキュリティ評価結果７０３は、セキュリティ評価履歴データ７０１から抽出された過去のセキュリティ評価結果１１２である。
　なお、本実施の形態では、システム情報生成部１０３は、制御システムに含まれる機器に変更が生じた場合に、生じた変更に対応させて、システム情報１０４を変更する。
　また、評価項目生成部１０７は、制御システムに含まれる機器に変更が生じた場合に、生じた変更に対応させて、選択するセキュリティ評価項目を変更する。
　同様に、アクティブスキャン部１０９は、制御システムに含まれる機器に変更が生じた場合に、生じた変更に対応させて、新たにアクティブスキャンを実施する。
　また、セキュリティ評価部１１１は、制御システムに含まれる機器に変更が生じた場合に、生じた変更に対応させて、新たなセキュリティ評価を行う。
＊＊＊動作の説明＊＊＊
　次に、図１３及び図１４を用いて、本実施の形態に係る検査装置１００の動作例を説明する。
　図１３及び図１４は、検査装置１００における再評価の動作の一例を示しており、検査装置検査装置１００の動作フローは必ずしも図１３及び図１４の通りでなくてもよい。
　検査装置１００のユーザからセキュリティ評価の要求があった場合に、システム情報生成部１０３が、ステップＳ６００１において、ユーザからの要求が再評価の要求であるか否かを判定する。再評価の要求とは、制御システムの機器構成の変更または機器の設定の変更があった場合に、変更後の内容でのセキュリティ評価を要求することである。システム情報生成部１０３は、ユーザからの要求に制御システムの変更が示されていれば再評価の要求と判定する。制御システムの変更には、機器構成の変更（機器の追加、機器の削除、機器の接続関係の変更、機器の交換）と、機器の設定の変更（設定の追加、設定の削除、設定値の変更）がある。
　ユーザの要求が再評価の要求である場合（ステップＳ６００１でＹＥＳ）は、処理がステップＳ６００５に進む。一方、ユーザの要求が再評価の要求でない場合（ステップＳ６００１でＮＯ）は、処理がステップＳ６００２に進む。
　ステップＳ６００２では、システム情報生成部１０３が、過去にセキュリティ評価を実施しているか否かを判定する。
　より具体的には、システム情報生成部１０３は、セキュリティ評価履歴データ７０１を参照する。そして、セキュリティ評価履歴データ７０１に過去のセキュリティ評価結果１１２があれば、システム情報生成部１０３は、過去にセキュリティ評価を実施していると判定する。一方、セキュリティ評価履歴データ７０１に過去のセキュリティ評価結果１１２がなければ、システム情報生成部１０３は、過去にセキュリティ評価を実施していないと判定する。
　過去にセキュリティ評価を実施している場合（ステップＳ６００２でＹＥＳ）は、処理がステップＳ６００４に進む。一方、過去にセキュリティ評価を実施していない場合（ステップＳ６００２でＮＯ）は、処理がステップＳ６００３に進む。
　ステップＳ６００３では、制御システムのセキュリティ評価が行われる。この場合は、制御システムに対しての新規の評価となる。
　ステップＳ６００３では、実施の形態１で説明した手順でシステム情報１０４の生成、選択セキュリティ評価項目１０８の生成、アクティブスキャン、セキュリティ評価が行われ、最終的にセキュリティ評価結果１１２が生成される。
　ステップＳ６００４では、システム情報生成部１０３が、セキュリティ評価履歴データ７０１から過去のセキュリティ評価結果１１２を実施済みセキュリティ評価結果７０３として抽出し、抽出した実施済みセキュリティ評価結果７０３を出力する。
　実施済みセキュリティ評価結果７０３の出力先としては、例えば、検査装置１００に接続されたディスプレイ、検査装置１００のユーザが利用する端末装置、外部のデータベース等が考えられる。
　ステップＳ６００５では、システム情報生成部１０３は、機器構成に変更があるか否かを判定する。
　例えば、ステップＳ６００１でのユーザの要求に機器構成の変更内容が記載されていれば、システム情報生成部１０３は、機器構成に変更があると判定する。また、システム情報生成部１０３は、前回、システム情報１０４を生成した時点からネットワーク情報１０１及び機器情報１０２が改訂されているか否かを判定するようにしてもよい。この場合に、ネットワーク情報１０１及び機器情報１０２が改訂されていれば、システム情報生成部１０３は、機器構成に変更があると判定する。
　機器構成に変更がある場合（ステップＳ６００５でＹＥＳ）は、処理がステップＳ６００６に進む。一方、機器構成に変更がない場合、すなわち機器の設定に変更がある場合（ステップＳ６００５でＮＯ）は、処理がステップＳ６０１０に進む。
　ステップＳ６００６では、システム情報生成部１０３は、改訂後のネットワーク情報１０１と機器情報１０２を取得する。
　次に、ステップＳ６００７において、システム情報生成部１０３は、現在の機器構成に対応させたシステム情報１０４を生成する。
　具体的には、システム情報生成部１０３は、セキュリティ評価履歴データ７０１から、前回、システム情報１０４を生成した際に生成した構成木（図５）を抽出する。また、システム情報生成部１０３は、抽出した構成木に、改訂後のネットワーク情報１０１と機器情報１０２に合せて、ネットワークの追加又は削除、機器の追加、削除又は接続関係の変更を行う。そして、システム情報生成部１０３は、新たな構成木に基づいて、新たなシステム情報１０４を生成する。新たな構成木から新たなシステム情報１０４を生成する手順は、実施の形態１で説明したものと同様である。
　そして、システム情報生成部１０３は、新たなシステム情報１０４を評価項目生成部１０７に出力する。
　次に、ステップＳ６００８において、評価項目生成部１０７が、新たなシステム情報１０４に基づいて、変更のある機器のセキュリティ評価項目をセキュリティ評価項目１０５から取得する。
　制御システムを構成する機器に変更があった場合、セキュリティ評価項目も変更する必要がある。このため、評価項目生成部１０７は、変更のあった機器のセキュリティ評価項目を取得する。
　次に、ステップＳ６００９において、評価項目生成部１０７は、制御システムの機器構成の変更に合せてセキュリティ評価項目を変更する。
　具体的には、評価項目生成部１０７は、セキュリティ評価履歴データ７０１から、前回生成した変更前のセキュリティ評価項目を抽出する。そして、評価項目生成部１０７は、セキュリティ評価履歴データ７０１から抽出した変更前のセキュリティ評価項目を削除し、ステップＳ６００８で取得した変更後のセキュリティ評価項目を追加する。また、ステップＳ６００９では、図７のフローが行われる。つまり、変更後のセキュリティ評価項目に外部アクセス条件があれば、システム情報生成部１０３は、当該セキュリティ評価項目を削除する。同様に、変更後のセキュリティ評価項目が免除評価項目であり、他の機器に当該セキュリティ評価項目が適用される場合は、システム情報生成部１０３は、当該セキュリティ評価項目を削除する。
　ステップＳ６０１０において、評価項目生成部１０７は、再評価対象の範囲を確認する。
　つまり、評価項目生成部１０７は、再評価対象の範囲が一部のセキュリティ評価項目に限定されるのか否かを確認する。例えば、再評価対象の範囲として、ユーザが一部のセキュリティ評価項目を指定している場合は、評価項目生成部１０７は、再評価対象の範囲が一部のセキュリティ評価項目に限定されると判定する。また、変更（機器構成の変更又は機器の設定の変更）の規模が小さく、変更に関係するセキュリティ評価項目のみを用いてセキュリティ評価を行えば足りる場合は、評価項目生成部１０７は、再評価対象の範囲が一部のセキュリティ評価項目に限定されると判定する。
　再評価対象の範囲が一部のセキュリティ評価項目に限定される場合（ステップＳ６０１０でＹＥＳ）は、処理がステップＳ６０１１に進む。一方、再評価対象の範囲が全てのセキュリティ評価項目である場合（ステップＳ６０１０でＮＯ）は、処理がステップＳ６０１１に進む。
　ステップＳ６０１１では、評価項目生成部１０７が再評価対象の範囲を指定する。
　つまり、アクティブスキャン部１０９は、再評価対象の一部のセキュリティ評価項目を指定する。
　ステップＳ６００９が行われた場合は、評価項目生成部１０７は、ステップＳ６００９が行われて得られたセキュリティ評価項目のうちの一部のセキュリティ評価項目を指定する。
　一方、ステップＳ６００９が行われない場合（機器の設定変更の場合）は、評価項目生成部１０７は、セキュリティ評価履歴データ７０１から前回の選択セキュリティ評価項目１０８を取得し、取得した選択セキュリティ評価項目１０８のうちの一部のセキュリティ評価項目を指定する。
　次に、ステップＳ６０１２において、評価項目生成部１０７は、ステップＳ６０１１で指定されたセキュリティ評価項目を新たな選択セキュリティ評価項目１０８として、アクティブスキャン部１０９及びセキュリティ評価部１１１に出力する。
　ステップＳ６０１３では、評価項目生成部１０７は、全てのセキュリティ評価項目をアクティブスキャン部１０９に出力する。
　ステップＳ６００９が行われた場合は、評価項目生成部１０７は、ステップＳ６００９が行われて得られたセキュリティ評価項目を新たな選択セキュリティ評価項目１０８としてアクティブスキャン部１０９に出力する。
　一方、ステップＳ６００９が行われない場合（機器の設定変更の場合）は、評価項目生成部１０７は、セキュリティ評価履歴データ７０１から前回の選択セキュリティ評価項目１０８を取得し、取得した前回の選択セキュリティ評価項目１０８をアクティブスキャン部１０９及びセキュリティ評価部１１１に出力する。
　ステップＳ６０１４において、アクティブスキャン部１０９が、評価項目生成部１０７から取得した選択セキュリティ評価項目１０８に記載されたスキャン必要フラグを確認して、スキャンが必要か否かを判定する。
　スキャン必要フラグがオフであれば、当該選択セキュリティ評価項目１０８についてはスキャン不要である。この場合は、処理がＳ６０１６に進む。一方、スキャン必要フラグがオンであれば、当該選択セキュリティ評価項目１０８についてスキャンが必要である。この場合は、処理がＳ６０１５に進む。
　ステップＳ６０１５では、アクティブスキャン部１０９は、ステップＳ６０１４でスキャンが必要と判定したセキュリティ評価項目に対してスキャンを実施する。スキャンは、図１０に示す手順で行われる。
　また、アクティブスキャン部１０９は、スキャン結果を示すアクティブスキャン結果１１０を生成し、生成したアクティブスキャン結果１１０をセキュリティ評価部１１１に出力する。
　ステップＳ６０１６では、セキュリティ評価部１１１が、機器情報１０２と選択セキュリティ評価項目１０８とアクティブスキャン結果１１０とを用いて、各機器のセキュリティ設定状況を評価する。
　ステップＳ６０１６では、図１１の動作が行われる。
　選択セキュリティ評価項目１０８の全てのセキュリティ評価項目について評価が完了している場合（ステップＳ６０１７でＹＥＳ）は、ステップＳ６０１８において、セキュリティ評価部１１１はセキュリティ評価結果１１２を出力する。
　セキュリティ評価部１１１は、例えば、検査装置１００に接続されているディスプレイ装置にセキュリティ評価結果１１２を出力してもよい。また、セキュリティ評価部１１１は、通信装置２０２を用いてセキュリティ評価結果１１２を外部機器に送信してもよい。
　一方、評価が完了していないセキュリティ評価項目がある場合（ステップＳ６０１８でＮＯ）は、処理がステップＳ６０１４に戻る。全てセキュリティ評価項目についての評価が完了するまで、ステップＳ６０１４からステップＳ６０１７の処理が繰り返される。
＊＊＊実施の形態の効果の説明＊＊＊
　以上のように、本実施の形態に係る検査装置は、情報システムに変更が発生した場合に、変更箇所に合わせて必要なセキュリティ評価を実施することで、過不足なく効率的にセキュリティ評価を行うことができる。
　また、本実施の形態に係る検査装置は、再評価を行う際に過去に生成したセキュリティ評価項目及び過去に生成した評価結果を有効に活用するため、短い時間及び少ないリソースで再評価を行うことができる。
　以上、本発明の実施の形態について説明したが、これら２つの実施の形態を組み合わせて実施しても構わない。
　あるいは、これら２つの実施の形態のうち、１つを部分的に実施しても構わない。
　あるいは、これら２つの実施の形態を部分的に組み合わせて実施しても構わない。
　なお、本発明は、これらの実施の形態に限定されるものではなく、必要に応じて種々の変更が可能である。
＊＊＊ハードウェア構成の説明＊＊＊
　最後に、検査装置１００のハードウェア構成の補足説明を行う。
　図２に示すプロセッサ２０１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）である。
　プロセッサ２０１は、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ　Ｓｉｇｎａｌ　Ｐｒｏｃｅｓｓｏｒ）等である。
　図２に示す記憶装置２０３は、ＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）、ＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）、フラッシュメモリ、ＨＤＤ（Ｈａｒｄ　Ｄｉｓｋ　Ｄｒｉｖｅ）等である。
　図２に示す通信装置２０２は、データの通信処理を実行する電子回路である。
　通信装置２０２は、例えば、通信チップ又はＮＩＣ（Ｎｅｔｗｏｒｋ　Ｉｎｔｅｒｆａｃｅ　Ｃａｒｄ）である。
　また、記憶装置２０３には、ＯＳ（Ｏｐｅｒａｔｉｎｇ　Ｓｙｓｔｅｍ）も記憶されている。
　そして、ＯＳの少なくとも一部がプロセッサ２０１により実行される。
　プロセッサ２０１はＯＳの少なくとも一部を実行しながら、システム情報生成部１０３、評価項目生成部１０７、アクティブスキャン部１０９及びセキュリティ評価部１１１の機能を実現するプログラムを実行する。
　プロセッサ２０１がＯＳを実行することで、タスク管理、メモリ管理、ファイル管理、通信制御等が行われる。
　また、システム情報生成部１０３、評価項目生成部１０７、アクティブスキャン部１０９及びセキュリティ評価部１１１の処理の結果を示す情報、データ、信号値及び変数値の少なくともいずれかが、記憶装置２０３、プロセッサ２０１内のレジスタ及びキャッシュメモリの少なくともいずれかに記憶される。
　また、システム情報生成部１０３、評価項目生成部１０７、アクティブスキャン部１０９及びセキュリティ評価部１１１の機能を実現するプログラムは、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ等の可搬記録媒体に格納されていてもよい。
　また、システム情報生成部１０３、評価項目生成部１０７、アクティブスキャン部１０９及びセキュリティ評価部１１１の「部」を、「回路」又は「工程」又は「手順」又は「処理」に読み替えてもよい。
　また、検査装置１００は、処理回路により実現されてもよい。処理回路は、例えば、ロジックＩＣ（Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）、ＧＡ（Ｇａｔｅ　Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ　Ｓｐｅｃｉｆｉｃ　Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）である。
　なお、本明細書では、プロセッサと処理回路との上位概念を、「プロセッシングサーキットリー」という。
　つまり、プロセッサと処理回路とは、それぞれ「プロセッシングサーキットリー」の具体例である。
　１００　検査装置、１０１　ネットワーク情報、１０２　機器情報、１０３　システム情報生成部、１０４　システム情報、１０５　セキュリティ評価項目、１０６　候補セキュリティ評価項目、１０７　評価項目生成部、１０８　選択セキュリティ評価項目、１０９　アクティブスキャン部、１１０　アクティブスキャン結果、１１１　セキュリティ評価部、１１２　セキュリティ評価結果、２０１　プロセッサ、２０２　通信装置、２０３　記憶装置、７０１　セキュリティ評価履歴データ、７０２　実施済み評価項目、７０３　実施済みセキュリティ評価結果、９０１　セキュリティポリシーチェックリスト。

Claims (11)

  1. 　情報システムに含まれる複数の機器に適用するセキュリティ評価項目の候補を複数取得する候補取得部と、
    　前記情報システムの外部との通信を行う前記情報システム内の機器である外部通信機器との通信経路を前記複数の機器の各機器が有するか否か及び前記情報システム内の他の機器への適用により適用が免除されるセキュリティ評価項目が前記複数の機器の各機器に存在するか否かの少なくともいずれかを解析し、解析結果に基づき、前記複数の機器の機器ごとに、適用するセキュリティ評価項目を複数のセキュリティ評価項目の候補の中から選択する項目選択部とを有する情報処理装置。
  2. 　前記項目選択部は、
    　前記外部通信機器との通信経路を有しない機器には、前記情報システムの外部との通信に関係するセキュリティ評価項目の選択は行わない請求項１に記載の情報処理装置。
  3. 　前記項目選択部は、
    　前記情報システム内の他の機器への適用により適用が免除されるセキュリティ評価項目が存在する機器には、前記適用が免除されるセキュリティ評価項目の選択は行わない請求項１に記載の情報処理装置。
  4. 　前記項目選択部は、
    　前記外部通信機器への適用により適用が免除されるセキュリティ評価項目が存在する機器及び前記外部通信機器へのホップ数がより少ない機器への適用により適用が免除されるセキュリティ評価項目が存在する機器の少なくともいずれかには、前記適用が免除されるセキュリティ評価項目の選択は行わない請求項３に記載の情報処理装置。
  5. 　前記候補取得部は、
    　指定されたセキュリティポリシーに従って、前記複数のセキュリティ評価項目の候補を取得する請求項１に記載の情報処理装置。
  6. 　前記候補取得部は、
    　前記情報処理装置のユーザによって指定されたセキュリティポリシーに従って、前記複数のセキュリティ評価項目の候補を取得する請求項５に記載の情報処理装置。
  7. 　前記情報処理装置は、更に、
    　前記項目選択部により選択された、対応するセキュリティ評価項目を用いて、前記複数の機器の機器ごとにセキュリティ評価を行うセキュリティ評価部を有する請求項１に記載の情報処理装置。
  8. 　前記項目選択部は、
    　前記情報システムに含まれる機器に変更が生じた場合に、生じた変更に対応させて、選択するセキュリティ評価項目を変更する請求項１に記載の情報処理装置。
  9. 　前記セキュリティ評価部は、
    　前記情報システムに含まれる機器に変更が生じた場合に、生じた変更に対応させて、新たなセキュリティ評価を行う請求項７に記載の情報処理装置。
  10. 　コンピュータが、情報システムに含まれる複数の機器に適用するセキュリティ評価項目の候補を複数取得し、
    　前記コンピュータが、前記情報システムの外部との通信を行う前記情報システム内の機器である外部通信機器との通信経路を前記複数の機器の各機器が有するか否か及び前記情報システム内の他の機器への適用により適用が免除されるセキュリティ評価項目が前記複数の機器の各機器に存在するか否かの少なくともいずれかを解析し、解析結果に基づき、前記複数の機器の機器ごとに、適用するセキュリティ評価項目を複数のセキュリティ評価項目の候補の中から選択する情報処理方法。
  11. 　情報システムに含まれる複数の機器に適用するセキュリティ評価項目の候補を複数取得する候補取得処理と、
    　前記情報システムの外部との通信を行う前記情報システム内の機器である外部通信機器との通信経路を前記複数の機器の各機器が有するか否か及び前記情報システム内の他の機器への適用により適用が免除されるセキュリティ評価項目が前記複数の機器の各機器に存在するか否かの少なくともいずれかを解析し、解析結果に基づき、前記複数の機器の機器ごとに、適用するセキュリティ評価項目を複数のセキュリティ評価項目の候補の中から選択する項目選択処理とをコンピュータに実行させる情報処理プログラム。
PCT/JP2018/044349 2018-12-03 2018-12-03 情報処理装置、情報処理方法及び情報処理プログラム WO2020115782A1 (ja)

Priority Applications (6)

Application Number Priority Date Filing Date Title
CN201880099828.3A CN113168471A (zh) 2018-12-03 2018-12-03 信息处理装置、信息处理方法以及信息处理程序
JP2020558645A JP6815576B2 (ja) 2018-12-03 2018-12-03 情報処理装置、情報処理方法及び情報処理プログラム
DE112018008112.5T DE112018008112B4 (de) 2018-12-03 2018-12-03 Informationsverarbeitungsvorrichtung mit einer kandidatenerfassungseinheit zur erfassung von sicherheitesbewertungsfragen und informationsverarbeitungsverfahren sowie informationsverarbeitungsprogramm hierfür
PCT/JP2018/044349 WO2020115782A1 (ja) 2018-12-03 2018-12-03 情報処理装置、情報処理方法及び情報処理プログラム
TW108120433A TW202022673A (zh) 2018-12-03 2019-06-13 資訊處理裝置、資訊處理方法及資訊處理程式產品
US17/227,975 US11977642B2 (en) 2018-12-03 2021-04-12 Information processing device, information processing method and computer readable medium

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2018/044349 WO2020115782A1 (ja) 2018-12-03 2018-12-03 情報処理装置、情報処理方法及び情報処理プログラム

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US17/227,975 Continuation US11977642B2 (en) 2018-12-03 2021-04-12 Information processing device, information processing method and computer readable medium

Publications (1)

Publication Number Publication Date
WO2020115782A1 true WO2020115782A1 (ja) 2020-06-11

Family

ID=70973827

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/044349 WO2020115782A1 (ja) 2018-12-03 2018-12-03 情報処理装置、情報処理方法及び情報処理プログラム

Country Status (6)

Country Link
US (1) US11977642B2 (ja)
JP (1) JP6815576B2 (ja)
CN (1) CN113168471A (ja)
DE (1) DE112018008112B4 (ja)
TW (1) TW202022673A (ja)
WO (1) WO2020115782A1 (ja)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2024069877A1 (ja) * 2022-09-29 2024-04-04 日本電気株式会社 評価装置、事業者端末、評価システム、評価方法、及び記録媒体

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014504388A (ja) * 2010-11-18 2014-02-20 北京神州▲緑▼盟信息安全科技股▲分▼有限公司 セキュリティ構成検証装置及びセキュリティ構成検証方法、そして、当該装置を用いるネットワークシステム
JP2016143299A (ja) * 2015-02-04 2016-08-08 株式会社日立製作所 リスク評価システムおよびリスク評価方法

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3952544B2 (ja) 1996-09-17 2007-08-01 株式会社東芝 分散システム
JP2001273388A (ja) 2000-01-20 2001-10-05 Hitachi Ltd セキュリティ管理システムおよび方法
EP1271843B1 (en) 2001-06-18 2007-08-15 Hewlett-Packard Company A method and system for identifying network connected devices such as personal computers
US20080276302A1 (en) * 2005-12-13 2008-11-06 Yoggie Security Systems Ltd. System and Method for Providing Data and Device Security Between External and Host Devices
CN100563160C (zh) * 2006-08-15 2009-11-25 杭州华三通信技术有限公司 客户端安全检测方法和权限控制系统
US20080184368A1 (en) * 2007-01-31 2008-07-31 Coon James R Preventing False Positive Detections in an Intrusion Detection System
US20090024663A1 (en) * 2007-07-19 2009-01-22 Mcgovern Mark D Techniques for Information Security Assessment
US20100115601A1 (en) * 2008-10-30 2010-05-06 Siemens Aktiengesellschaft Method and an apparatus for assessing a security of a component and a corresponding system
US8484694B2 (en) * 2008-12-10 2013-07-09 Qualys, Inc. Systems and methods for performing remote configuration compliance assessment of a networked computer device
US9176198B2 (en) 2012-02-17 2015-11-03 GM Global Technology Operations LLC Battery state estimator with overpotential-based variable resistors
US8800046B2 (en) * 2012-04-10 2014-08-05 Mcafee, Inc. Unified scan engine
JP6102221B2 (ja) 2012-11-29 2017-03-29 株式会社リコー セキュリティ管理システム、入力制御機器、セキュリティ管理方法およびプログラム
CN106685990B (zh) * 2017-02-09 2020-07-14 北京东土科技股份有限公司 一种基于工业互联网操作系统的安全性检测方法及装置

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014504388A (ja) * 2010-11-18 2014-02-20 北京神州▲緑▼盟信息安全科技股▲分▼有限公司 セキュリティ構成検証装置及びセキュリティ構成検証方法、そして、当該装置を用いるネットワークシステム
JP2016143299A (ja) * 2015-02-04 2016-08-08 株式会社日立製作所 リスク評価システムおよびリスク評価方法

Also Published As

Publication number Publication date
JP6815576B2 (ja) 2021-01-20
JPWO2020115782A1 (ja) 2021-02-15
DE112018008112B4 (de) 2022-10-20
US20210232692A1 (en) 2021-07-29
CN113168471A (zh) 2021-07-23
TW202022673A (zh) 2020-06-16
DE112018008112T5 (de) 2021-07-29
US11977642B2 (en) 2024-05-07

Similar Documents

Publication Publication Date Title
JP6396623B2 (ja) クラウド・コンピューティング・サービス（ｃｃｓ）上に保存された企業情報をモニター、コントロール、及び、ドキュメント当たりの暗号化を行うシステム及び方法
US11669584B2 (en) System and method for third party application activity data collection
US9349015B1 (en) Programmatically detecting collusion-based security policy violations
CN105940391B (zh) 用于第三方应用活动数据收集的系统和方法
CN110869962A (zh) 基于数据的计算机分析的数据核对
US10552547B2 (en) Real-time translation evaluation services for integrated development environments
US11113126B2 (en) Verifying transfer of detected sensitive data
US8875227B2 (en) Privacy aware authenticated map-reduce
US10725751B2 (en) Generating a predictive data structure
US9460438B1 (en) Authenticating a request for an electronic transaction
AU2014400621A1 (en) System and method for providing contextual analytics data
US11838300B1 (en) Run-time configurable cybersecurity system
US11888875B1 (en) Subscription and key management system
JP6815576B2 (ja) 情報処理装置、情報処理方法及び情報処理プログラム
CN109067587B (zh) 关键信息基础设施的确定方法及装置
US20220121984A1 (en) Explaining internals of Machine Learning classification of URL content
US11977989B2 (en) Data blaming
WO2022062997A1 (en) Computer file metadata segmentation security system
US10834139B2 (en) Flexibly configurable data modification services
Geng Taking Computation to Data: Integrating Privacy-preserving AI techniques and Blockchain Allowing Secure Analysis of Sensitive Data on Premise
US11687627B2 (en) Media transit management in cyberspace
CN115643082A (zh) 一种失陷主机的确定方法、装置及计算机设备
WO2022047278A1 (en) Systems and methods for graphical programming and deployment of distributed ledger applications
US20240291861A1 (en) Computer software implemented cybersecurity for matrix barcode interaction with smart device
US20240281260A1 (en) Validation process for detection of containerized software

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18941980

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2020558645

Country of ref document: JP

Kind code of ref document: A

122 Ep: pct application non-entry in european phase

Ref document number: 18941980

Country of ref document: EP

Kind code of ref document: A1