WO2021070217A1 - セキュリティ対策管理装置、セキュリティ対策管理方法、及びプログラム - Google Patents

セキュリティ対策管理装置、セキュリティ対策管理方法、及びプログラム Download PDF

Info

Publication number
WO2021070217A1
WO2021070217A1 PCT/JP2019/039458 JP2019039458W WO2021070217A1 WO 2021070217 A1 WO2021070217 A1 WO 2021070217A1 JP 2019039458 W JP2019039458 W JP 2019039458W WO 2021070217 A1 WO2021070217 A1 WO 2021070217A1
Authority
WO
WIPO (PCT)
Prior art keywords
information
unit
configuration information
timing
vulnerability
Prior art date
Application number
PCT/JP2019/039458
Other languages
English (en)
French (fr)
Inventor
朋治 中村
哲也 出村
Original Assignee
株式会社Pfu
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社Pfu filed Critical 株式会社Pfu
Priority to JP2021550950A priority Critical patent/JPWO2021070217A1/ja
Priority to PCT/JP2019/039458 priority patent/WO2021070217A1/ja
Publication of WO2021070217A1 publication Critical patent/WO2021070217A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities

Definitions

  • the present invention relates to a security measure management device, a security measure management method, and a program.
  • Patent Document 1 in an information processing method for processing input information input to an information processing apparatus having a control unit, the control unit acquires danger increase / decrease information, and the danger acquired by the control unit. Whether or not the value based on the input information by the control unit exceeds the first threshold range by correcting the first threshold range stored in the storage unit or the second threshold range stored in the storage unit based on the sex increase / decrease information. When the control unit determines that the first threshold range is exceeded, the control unit determines whether the number of times the determination is exceeded or the time exceeded exceeds the second threshold range, and the control unit determines that the second threshold range is exceeded. An information processing method for outputting abnormal information when it is determined that the threshold range is exceeded is disclosed.
  • Patent Document 2 information on a cyber attack detected with respect to a device targeted for a cyber attack is acquired, and an image showing the earth and an image showing the device arranged around the image showing the earth are described.
  • Image information that is placed between the surface of the image showing the earth and the image showing the device, and includes an image showing the level of the cyber attack detected with respect to the device based on the acquired information on the cyber attack.
  • a display method is disclosed, wherein a computer executes a process of generating the generated image information and outputting the generated image information.
  • Non-Patent Document 3 discloses software that integrates proactive prevention and post-response, realizes simple and quick incident response, and integrates and manages the cycle of detection, investigation, and response.
  • the purpose is to provide a security countermeasure device that is more accurate and can implement security measures.
  • the security measure management device includes a configuration information acquisition unit that acquires configuration information of a device connected to a predetermined network, an information collection unit that collects vulnerability information indicating applicable information security measures, and an information collection unit. Based on the configuration information acquired by the configuration information acquisition unit and the vulnerability information collected by the information collection unit, a timing identification unit that specifies the application timing of applicable information security measures for each device, and a timing identification unit. It has a countermeasure evaluation unit that generates an evaluation value regarding information security measures of an individual or an organization based on the application timing specified by the timing specification unit.
  • the information collecting unit collects information on an applicable patch or update program and information on an updatable virus definition file as the vulnerability information
  • the configuration information acquisition unit is a device for each device.
  • the identification information for identifying the patch or update program applied to the device and the information regarding the update of the virus definition file in each device are acquired as the configuration information.
  • the timing specifying unit determines whether or not applicable information security measures are applied at the predetermined timing, and the countermeasure evaluation unit determines the predetermined timing based on the determination result by the timing specifying unit. Generates the evaluation value in.
  • it further has a notification content generation unit that changes the content or display mode of the information security notification according to the evaluation value generated by the countermeasure evaluation unit.
  • the countermeasure evaluation unit generates an evaluation value of each individual belonging to the organization, and a symbol having a size corresponding to the evaluation value of each individual generated by the countermeasure evaluation unit is arranged on a default drawing. It also has a map generation unit for displaying.
  • the operation history acquisition unit that acquires the operation history of the device, the configuration information acquired by the configuration information acquisition unit, the operation history acquired by the operation history acquisition unit, and the information collection unit collect the operation history. It further has a failure detection unit that detects that the application of the patch or update program has failed based on the vulnerability information, and an output unit that outputs the application failure detected by the failure detection unit.
  • the security measure management device includes a configuration information acquisition unit that acquires configuration information of a device connected to a predetermined network, an operation history acquisition unit that acquires an operation history of the device, and applicable information security.
  • the information collection unit that collects vulnerability information indicating countermeasures, the configuration information acquired by the configuration information acquisition unit, the operation history acquired by the operation history acquisition unit, and the vulnerabilities collected by the information collection unit. It has a failure detection unit that detects that the application of the correction program or the update program has failed based on the information, and an output unit that outputs the application failure detected by the failure detection unit.
  • the security measure management method includes a configuration information acquisition step for acquiring configuration information of a device connected to a predetermined network, an information collection step for collecting vulnerability information indicating applicable information security measures, and an information collection step. Based on the configuration information acquired by the configuration information acquisition step and the vulnerability information collected by the information collection step, a timing identification step for specifying the application timing of applicable information security measures for each device, and a timing identification step. It has a measure evaluation step that generates an evaluation value regarding information security measures of an individual or an organization based on the application timing specified by the timing specifying step.
  • the program according to the present invention includes a configuration information acquisition step for acquiring configuration information of a device connected to a predetermined network, an information collection step for collecting vulnerability information indicating applicable information security measures, and the configuration information. Based on the configuration information acquired by the acquisition step and the vulnerability information collected by the information collection step, a timing identification step for specifying the application timing of applicable information security measures and the timing identification are specified for each device. Have the computer perform a measure evaluation step that generates an evaluation value for personal or organizational information security measures based on the application timing specified by the step.
  • FIG. 10 It is a figure which illustrates the whole structure of the security measure management system 1. It is a figure which illustrates the hardware configuration of the security measure management apparatus 5. It is a figure which illustrates the functional structure of the security measure management apparatus 5. It is a flowchart explaining the security measure promotion process (S10) by a security measure management apparatus 5. , Is a diagram illustrating the content of notification to the user terminal 3 notified by the security measure management device 5. It is a figure which illustrates the functional structure of the security measure management apparatus 5 in Example 2.
  • FIG. It is a flowchart explaining the security measure promotion process (S20) by the security measure management apparatus 5 in Example 2.
  • FIG. It is a figure which illustrates the functional structure of the security measure management apparatus 5 in Example 3.
  • FIG. This is an example of screen transition of the user terminal 3 of the user who applies the patch immediately. This is an example of screen transition of a user terminal 3 of a user who does not know how to apply a patch. Is a screen transition example of the user terminal 3 of the user who applied the patch but failed.
  • (A) is a screen example of a notification to a user who does not have time to apply a patch
  • (b) is a screen example of a notification to a user who has a reason for not applying a patch
  • (c) is a screen example of a notification to a user who has a reason for not applying the patch.
  • This is an example of a notification screen for users who do not need to apply (low security awareness). It is a figure which illustrates the visualization of the evaluation value of a user.
  • FIG. 1 is a diagram illustrating the overall configuration of the security measure management system 1.
  • the security measure management system 1 includes a plurality of user terminals 3a, user terminals 3b, user terminals 3c, security measure management device 5, and warning light 9, and is connected to each other via a network 7. ing.
  • the user terminal 3a, the user terminal 3b, and the user terminal 3c are collectively referred to as the user terminal 3.
  • the user terminal 3 is a computer terminal or a network device operated by the user, and displays security measure information notified by the security measure management device 5.
  • the user terminal 3 is a business server, a business PC, or a router.
  • the security measure management device 5 is a computer terminal, and prompts the user terminal 3 to implement security measures according to the characteristics of the user who is the operator. Specifically, the security measure management device 5 is based on the vulnerability information acquired from the external website, the configuration information of the user terminal 3, and the operation history of the user terminal 3 by the user, for each user terminal 3. Generates notification information and notifies the user terminal 3.
  • the warning light 9 is a rotating light that is arranged around the installation location of the user terminal 3 and informs the surroundings of the vulnerability.
  • the vulnerability in the present invention refers to an information security defect caused by a program defect or a design error, and includes a risk due to unpatching and a risk due to a virus.
  • FIG. 2 is a diagram illustrating a hardware configuration of the security measure management device 5.
  • the security measure management device 5 includes a CPU 200, a memory 202, an HDD 204, a network interface 206 (network IF206), a display device 208, and an input device 210, and these configurations include a bus 212. They are connected to each other via.
  • the CPU 200 is, for example, a central arithmetic unit.
  • the memory 202 is, for example, a volatile memory and functions as a main storage device.
  • the HDD 204 is, for example, a hard disk drive device, and is a computer program as a non-volatile recording device (for example, the security measure management program 50 in FIG. 3, the security measure management program 52 in FIG.
  • the network IF206 is an interface for wired or wireless communication, and realizes communication in the internal network 7, for example.
  • the display device 208 is, for example, a liquid crystal display.
  • the input device 210 is, for example, a keyboard and a mouse.
  • FIG. 3 is a diagram illustrating the functional configuration of the security measure management device 5.
  • the security measure management program 50 is installed in the security measure management device 5 of this example, and the vulnerability information database 600 (vulnerability information DB 600) and the configuration information database 610 (configuration information) are installed. DB610) is configured.
  • the security measure management program 50 includes a configuration information acquisition unit 500, a vulnerability information collection unit 502, a search unit 504, a timing identification unit 506, a risk calculation unit 508, a countermeasure evaluation unit 510, a notification content generation unit 512, and an evaluation value map generation. It has a unit 514 and an output unit 516. A part or all of the security measure management program 50 may be realized by hardware such as an ASIC, or may be realized by borrowing a part of the functions of the OS (Operating System). In the security measure management program 50, the configuration information acquisition unit 500 acquires the configuration information of the device connected to the network 7.
  • the configuration information acquisition unit 500 configures identification information for identifying a patch or update program applied to each user terminal 3 and information related to updating a virus definition file in each user terminal 3. Get as information. More specifically, the configuration information acquisition unit 500 acquires the latest OS (VL) information, user information, installed software information, and patch application status of the user terminal 3 connected to the network 7. It is stored in the configuration information DB 610. For example, the configuration information acquisition unit 500 acquires OS information, user information, and patch application status from the business server and the business PC, acquires the communication path from the network 7, and acquires the setting information from the router. When the user terminal 3 is a PC or an IoT device, the configuration information acquisition unit 500 acquires configuration information by using the API of the OS.
  • Vulnerability information collection unit 502 collects vulnerability information indicating applicable information security measures. Specifically, the vulnerability information collection unit 502 collects information on applicable patches or updates and information on updatable virus definition files as vulnerability information. More specifically, the vulnerability information collection unit 502 constantly monitors an external website that publishes vulnerability information, and when new vulnerability information is posted, collects new vulnerability information. It is stored in the vulnerability information DB 600. More specifically, the vulnerability information collection unit 502 collects software, the degree of risk, and the presence or absence of patches as vulnerability information from an external website.
  • Vulnerability information collection unit 502 acquires vulnerability information by analyzing the contents of APIs and Web pages published on these websites.
  • the risk level of the vulnerability that can be obtained from an external website is the standardized value CVSSv2 or CVSSv3.
  • the vulnerability information collecting unit 502 is an example of the information collecting unit according to the present invention.
  • the search unit 504 searches for the user terminal 3 that is the target of the new vulnerability information. Specifically, the search unit 504 searches the configuration information DB 610 for the user terminal 3 that needs to be dealt with based on the vulnerability information collected by the vulnerability information collecting unit 502.
  • the timing identification unit 506 measures information security measures applicable to each user terminal 3 based on the configuration information acquired by the configuration information acquisition unit 500 and the vulnerability information collected by the vulnerability information collection unit 502. Specify the application timing. Further, the timing specifying unit determines whether or not applicable information security measures are applied at the predetermined timing. Specifically, the timing specifying unit 506 specifies the timing of patch application and virus definition update. The application timing may be only the presence or absence of patch application up to the present time.
  • the risk calculation unit 508 is a user terminal 3 connected to the network 7 based on the configuration information acquired by the configuration information acquisition unit 500 and the vulnerability information collected by the vulnerability information collection unit 502. Evaluate vulnerabilities.
  • the risk calculation unit 508 calculates an evaluation value based on the patch application status of the target user terminal 3 searched by the search unit 504 and the vulnerability remaining in the user terminal 3. .. More specifically, the risk calculation unit 508 can update the risk calculated based on whether or not the applicable correction program or update program is applied to the user terminal 3.
  • the risk level of each user terminal 3 is calculated by adding up the risk level calculated based on whether or not the virus definition file is updated on the user terminal 3.
  • the countermeasure evaluation unit 510 generates an evaluation value regarding information security measures of an individual or an organization based on the application timing specified by the timing identification unit 506.
  • the countermeasure evaluation unit 510 generates an evaluation value at a predetermined timing based on the determination result by the timing specifying unit 506. Specifically, the countermeasure evaluation unit 510 generates an evaluation value of the user of the user terminal 3 based on whether or not the patch acquired by the configuration information acquisition unit 500 is applied. More specifically, the countermeasure evaluation unit 510 evaluates the high level of security awareness and the high level of IT skills based on the timing of patch application and virus definition update specified by the timing identification unit 506. Calculate as a value.
  • the countermeasure evaluation unit 510 determines the characteristics of the user of the user terminal 3 according to the evaluation value.
  • the countermeasure evaluation unit 510 determines that a user with a low evaluation value has low security awareness and IT skill, and the countermeasure evaluation unit 510 determines that a user with a high evaluation value has security awareness and IT skill. Judged as high.
  • the countermeasure evaluation unit 510 determines the role according to the characteristics of the determined user. The role is, for example, a person who needs an assistant for applying a patch, a person who assists in applying a patch, and the like. Further, the countermeasure evaluation unit 510 generates an evaluation value of each individual belonging to the organization.
  • the notification content generation unit 512 changes the content or display mode of the notification regarding information security according to the evaluation value generated by the countermeasure evaluation unit 510.
  • the evaluation value map generation unit 514 arranges and displays a symbol having a size corresponding to the evaluation value of each individual generated by the countermeasure evaluation unit 510 on a default drawing.
  • the evaluation value map generation unit 514 is a seat map in which each user terminal 3 is arranged, a floor diagram, a network configuration diagram in which each user terminal 3 is connected, or an organization to which the user of the user terminal 3 belongs.
  • the symbol corresponding to the evaluation value is displayed on top of the figure.
  • the output unit 516 displays the content of the information security-related notification generated by the notification content generation unit 512 on the user terminal 3 in a display mode changed by the notification content generation unit 512.
  • FIG. 4 is a flowchart illustrating the security measure promotion process (S10) by the security measure management device 5.
  • the vulnerability information collecting unit 502 constantly monitors an external website that discloses the vulnerability information.
  • step 105 when the vulnerability information collection unit 502 detects that new vulnerability information has been posted on an external website, it proceeds to S110 and does not detect new vulnerability information. Then, move to S100 and continue monitoring.
  • step 110 the vulnerability information collecting unit 502 collects the newly posted vulnerability information. Specifically, the vulnerability information collection unit 502 collects the target software, the degree of risk, and the presence / absence of patches of the newly posted vulnerability information, and stores them in the vulnerability information DB 600.
  • the vulnerability information collecting unit 502 notifies the search unit 504 of the collected vulnerability information.
  • the configuration information acquisition unit 500 acquires the latest configuration information of the user terminal 3 connected to the network 7. Specifically, the configuration information acquisition unit 500 acquires the OS information, user information, installed software information, and patch application status of the user terminal 3 and stores them in the configuration information DB 610.
  • the search unit 504 searches the configuration information stored in the configuration information DB 610 for whether or not the user terminal 3 corresponding to the vulnerability information notified by the vulnerability information collection unit 502 exists. ..
  • step 125 when the corresponding user terminal 3 exists as a result of the search by the search unit 504, the security measure promotion process (S10) shifts to S130, and when the corresponding user terminal 3 does not exist. , S100.
  • step 130 the risk calculation unit 508 uses the user terminal 3 based on the vulnerability information collected by the vulnerability information collecting unit 502 and the configuration information of the user terminal 3 searched by the search unit 504. Calculate the risk of.
  • step 135 the timing identification unit 506 determines the timing of patch application based on the vulnerability information collected by the vulnerability information collection unit 502 and the configuration information acquired by the configuration information acquisition unit 500. Identify.
  • step 140 the countermeasure evaluation unit 510 calculates an evaluation value regarding the security measures of the user of the user terminal 3 based on the application timing specified by the timing specifying unit 506.
  • step 145 the notification content generation unit 512 generates the notification content for notifying the risk level calculated by the risk level calculation unit 508 and the implementation content of the security measure.
  • the output unit 516 displays the notification content generated by the notification content generation unit 512 on the user terminal 3 in a display mode corresponding to the evaluation value calculated by the countermeasure evaluation unit 510.
  • the display mode according to the evaluation value is, for example, that the output unit 516 displays a large alert to a user having a low evaluation value and a low security consciousness, as illustrated in FIG. 13 (c), and is conscious of the security. Display differently from notifications to high users.
  • FIG. 5 is a diagram illustrating the content of notification to the user terminal 3 notified by the security measure management device 5.
  • the content of the notification regarding information security is displayed on the screen of the user terminal 3, specifically, the information regarding the vulnerability of the user terminal 3 and the user calculated by the risk calculation unit 508.
  • the degree of danger of the terminal 3 and the method of implementing countermeasures against the vulnerability are displayed.
  • the notification of the content of the notification to the user terminal 3 is notified at the timing when new vulnerability information is collected and the risk level and the evaluation value are calculated.
  • FIG. 6 is a diagram illustrating the functional configuration of the security measure management device 5 in the second embodiment. Of the configurations shown in this figure, those substantially the same as the configurations shown in FIG. 3 are designated by the same reference numerals.
  • the security measure management program 52 is installed in the security measure management device 5 in the second embodiment, and the vulnerability information database 600 (vulnerability information DB 600) and the configuration information database 610 (configuration information) are installed.
  • the security measure management program 52 includes an operation history acquisition unit 520 and a countermeasure evaluation unit 522. It has a notification content generation unit 524 and an output unit 526. A part or all of the security measure management program 52 may be realized by hardware such as an ASIC, or may be realized by borrowing a part of the functions of the OS (Operating System).
  • the operation history acquisition unit 520 acquires the operation history for the user terminal 3 connected to the network 7 and stores it in the operation history DB 620. Specifically, the operation history acquisition unit 520 acquires the time until the patch is applied to the user terminal 3 operated by the user, the number of trials of patch application, the number of references to each explanation, and the number of references to the bulletin board or HELP.
  • the countermeasure evaluation unit 522 provides information based on the configuration information acquired by the configuration information acquisition unit 500, the vulnerability information collected by the vulnerability information collection unit 502, and the operation history acquired by the operation history acquisition unit 520. Generate evaluation values related to security measures.
  • the countermeasure evaluation unit 522 extracts the characteristics of the user of the user terminal 3 by totaling and analyzing the operation history acquired by the operation history acquisition unit 520, and calculates the user's evaluation value.
  • the countermeasure evaluation unit 522 determines that a user whose patch application time is short each time has a high evaluation value and high security awareness, and a user who has a large number of patch application trials or who refers to each explanation each time. Judges that the evaluation value is low and the IT skill is not high.
  • the notification content generation unit 524 generates notification content for notifying the risk level calculated by the risk level calculation unit 508 and the implementation content of the security measures.
  • the notification content generation unit 524 changes the generated notification content to a display mode according to the evaluation value calculated by the countermeasure evaluation unit 522.
  • the output unit 526 displays the content of the information security-related notification generated by the notification content generation unit 524 on the user terminal 3 in a display mode changed by the notification content generation unit 524.
  • FIG. 7 is a flowchart illustrating the security measure promotion process (S20) by the security measure management device 5 in the second embodiment.
  • the vulnerability information collecting unit 502 constantly monitors an external website that discloses the vulnerability information.
  • step 205 when the vulnerability information collection unit 502 detects that new vulnerability information has been posted on an external website, it proceeds to S210 and does not detect new vulnerability information. Then, move to S200 and continue monitoring.
  • step 210 the vulnerability information collecting unit 502 collects the newly posted vulnerability information. Specifically, the vulnerability information collection unit 502 collects the target software, the degree of risk, and the presence / absence of patches of the newly posted vulnerability information, and stores them in the vulnerability information DB 600.
  • the vulnerability information collecting unit 502 notifies the search unit 504 of the collected vulnerability information.
  • the configuration information acquisition unit 500 acquires the latest configuration information of the user terminal 3 connected to the network 7. Specifically, the configuration information acquisition unit 500 acquires the OS information, user information, installed software information, and patch application status of the user terminal 3 and stores them in the configuration information DB 610.
  • step 220 the search unit 504 searches the configuration information stored in the configuration information DB 610 for whether or not the user terminal 3 corresponding to the vulnerability information notified by the vulnerability information collection unit 502 exists. ..
  • step 225 when the corresponding user terminal 3 exists as a result of the search by the search unit 504, the security measure promotion process (S20) shifts to S230, and when the corresponding user terminal 3 does not exist. , S200.
  • step 230 the risk calculation unit 508 uses the user terminal 3 based on the vulnerability information collected by the vulnerability information collecting unit 502 and the configuration information of the user terminal 3 searched by the search unit 504. Calculate the risk of.
  • step 235 the operation history acquisition unit 520 uses the operation history of the user as the time until the patch is applied to the user terminal 3 operated by the user, the number of trials of patch application, the number of references to each explanation, and the bulletin board or HELP. Get the number of references to.
  • step 240 the countermeasure evaluation unit 522 acquired the configuration information acquired by the configuration information acquisition unit 500, the vulnerability information collected by the vulnerability information collection unit 502, and the operation history acquisition unit 520.
  • the evaluation value of the user terminal 3 is calculated based on the operation history.
  • step 245 based on the evaluation value calculated by the countermeasure evaluation unit 522, it is determined that the user of the user terminal 3 having the evaluation value has a high level of security awareness and a high level of IT skill.
  • step 250 the notification content generation unit 524 generates the notification content for notifying the risk level calculated by the risk level calculation unit 508 and the implementation content of the security measure.
  • the notification content generation unit 524 changes the generated notification content to a display mode according to the evaluation value calculated by the countermeasure evaluation unit 522.
  • the output unit 526 displays the notification content on the user terminal 3 in the content generated by the notification content generation unit 524 and the changed display mode.
  • FIG. 8 is a diagram illustrating the functional configuration of the security measure management device 5 in the third embodiment. Of the configurations shown in this figure, those substantially the same as the configurations shown in FIG. 6 are designated by the same reference numerals.
  • the security measure management program 54 is installed in the security measure management device 5 in the third embodiment, and the vulnerability information database 600 (vulnerability information DB 600) and the configuration information database 610 (configuration information) are installed. DB610) and operation history database 620 (operation history information DB620) are configured.
  • the security measure management program 54 includes a configuration information acquisition unit 500, a vulnerability information collection unit 502, a search unit 504, a risk calculation unit 508, an evaluation value map generation unit 514, an operation history acquisition unit 520, a countermeasure evaluation unit 522, and notification contents. In addition to the generation unit 524, it has a failure detection unit 540 and an output unit 542. A part or all of the security measure management program 54 may be realized by hardware such as an ASIC, or may be realized by borrowing a part of the functions of the OS (Operating System).
  • the failure detection unit 540 is based on the configuration information acquired by the configuration information acquisition unit 500, the operation history acquired by the operation history acquisition unit 520, and the vulnerability information collected by the vulnerability information collection unit 502. Detects that the patch or update has failed to be applied.
  • the output unit 542 displays the content of the information security-related notification generated by the notification content generation unit 524 on the user terminal 3 in a display mode changed by the notification content generation unit 524. Further, the failure of patch application detected by the failure detection unit 540 is output. Specifically, the output unit 542 detects the failure of patch application and the non-application of the patch based on the operation history of each user collected by the operation history acquisition unit 520, and gives a predetermined notification.
  • the predetermined notification means display of failure of patch application of the user terminal 3, notification, transmission of an e-mail, lighting of the warning light 9, or output of a warning sound. More specifically, the output unit 542 gives different notifications to the user terminals 3 of the user who failed to apply the patch and the user who has not applied the patch.
  • FIG. 9 is a flowchart illustrating the security measure promotion process (S30) by the security measure management device 5.
  • the vulnerability information collecting unit 502 constantly monitors an external website that discloses the vulnerability information.
  • step 305 when the vulnerability information collection unit 502 detects that new vulnerability information has been posted on an external website, it proceeds to S310 and does not detect new vulnerability information. Then, move to S300 and continue monitoring.
  • step 310 the vulnerability information collecting unit 502 collects the newly posted vulnerability information. Specifically, the vulnerability information collection unit 502 collects the target software, the degree of risk, and the presence / absence of patches of the newly posted vulnerability information, and stores them in the vulnerability information DB 600.
  • the vulnerability information collecting unit 502 notifies the search unit 504 of the collected vulnerability information.
  • the configuration information acquisition unit 500 acquires the latest configuration information of the user terminal 3 connected to the network 7. Specifically, the configuration information acquisition unit 500 acquires the OS information, user information, installed software information, and patch application status of the user terminal 3 and stores them in the configuration information DB 610.
  • step 320 the search unit 504 searches the configuration information stored in the configuration information DB 610 for whether or not the user terminal 3 corresponding to the vulnerability information notified by the vulnerability information collection unit 502 exists. ..
  • step 325 when the corresponding user terminal 3 exists as a result of the search by the search unit 504, the security measure promotion process (S30) shifts to S330, and when the corresponding user terminal 3 does not exist. , S300.
  • step 330 the risk calculation unit 508 uses the user terminal 3 based on the vulnerability information collected by the vulnerability information collecting unit 502 and the configuration information of the user terminal 3 searched by the search unit 504. Calculate the risk of.
  • step 335 the operation history acquisition unit 520 uses the operation history of the user as the time until the patch is applied to the user terminal 3 operated by the user, the number of trials of patch application, the number of references to each explanation, and the bulletin board or HELP. Get the number of references to.
  • step 340 the countermeasure evaluation unit 522 calculates the evaluation value of the user of the user terminal 3 based on the operation history acquired by the operation history acquisition unit 520.
  • step 345 (S345), based on the evaluation value calculated by the countermeasure evaluation unit 522, it is determined that the user of the user terminal 3 having the evaluation value has a high level of security awareness and a high level of IT skill.
  • step 350 the notification content generation unit 524 generates the notification content for notifying the risk level calculated by the risk level calculation unit 508 and the implementation content of the security measure, and the output unit 542 generates the notification content.
  • the notified content is displayed on the user terminal 3 in a display mode according to the evaluation value calculated by the countermeasure evaluation unit 522.
  • step 355 when the failure detection unit 540 detects the failure of the patch application by the user executed by the notification of the notification content generation unit 524, the security measure promotion process (S30) shifts to S360. , Ends the process if no patch application failure is detected.
  • step 360 the output unit 542 displays a notification to the user terminal 3 that the patch application has failed, and further urges the user to share the failure case. Then, the output unit 542 makes it possible to search for a person who has already applied the patch on the user terminal 3 in order to successfully apply the patch. As a result, the user who fails to apply the patch can request assistance from the user who has already applied the patch. Therefore, the security administrator can save the trouble of dealing with the user who failed to apply the patch, and can implement the security measure among the users.
  • FIG. 10 is an example of screen transition of the user terminal 3 of the user who applies the patch immediately.
  • the alerts of "WARNING” and "ALERT” are displayed on the user terminal 3 of the user who applies the patch immediately.
  • the user terminal 3 indicates that the measures are being taken.
  • the display is simple.
  • the countermeasure is completed, the user who has pressed "Help" on another user terminal 3 is displayed. The user can check the details of the trouble on the bulletin board and comment. As a result, the patched user can help the user who clicked "Help" to apply the patch.
  • FIG. 11 is an example of screen transition of the user terminal 3 of a user who does not know how to apply the patch.
  • the alerts of "WARNING” and "ALERT" are displayed on the user terminal 3 of the user who does not know how to apply the patch.
  • the user terminal 3 indicates that the measures are being taken.
  • the user is put on the user list for help by clicking the "HELP” button.
  • the user who has applied the patch is displayed by the "search” button.
  • FIG. 12 is an example of screen transition of the user terminal 3 of the user who applied the patch but failed.
  • the alerts of "WARNING” and "ALERT" are displayed on the user terminal 3.
  • the user terminal 3 displays a display indicating "failure to apply the patch" notified by the output unit 542.
  • the user terminal 3 urges the user to post the failure of the patch application case on the bulletin board, and waits for the response of the user who succeeded in applying the patch.
  • the "Search” button displays the users who have applied the patch.
  • the patch can be applied with the help of the user who has already applied the patch.
  • the failed case can be shared, and it becomes possible to prevent and deal with the failure of applying the same patch.
  • FIG. 13A is a screen example of a notification to a user who does not have time to apply the patch.
  • the notification content generation unit 524 notifies the user terminal 3 of the alert notification, and when the predetermined time elapses, the output unit 542 tells the user terminal 3 "later. Display the "Execute" button and enable you to specify the patch application time. By specifying the time, it is possible to prevent the patch from not being applied.
  • FIG. 13B is an example of a screen for notifying a user who has a reason for not applying the patch. As illustrated in FIG. 13B, the notification content generation unit 524 notifies the user terminal 3 of the alert notification, and when the predetermined time elapses, the output unit 542 patches the user terminal 3.
  • Prompt to write the reason for not applying includes, for example, dissatisfaction with the application of the patch due to other bugs, poor communication conditions, the inability to download the patch, and environmental factors.
  • the security administrator can consider the action based on the written reason for non-application.
  • FIG. 13C is an example of a screen for notifying a user (who has low security awareness) who does not need to apply the patch.
  • the notification content generation unit 524 enlarges the alert display as a notification to the user determined by the countermeasure evaluation unit 522 to have low security awareness, and leaves the patch application unattended. Make it impossible.
  • the output unit 542 prompts the user terminal 3 to write the reason why the patch has not been applied.
  • the output unit 542 displays a "execute later" button on the user terminal 3 to enable the time of patch application to be specified so that the patch can be applied reliably.
  • the notification content generation unit 524 displays the alert on the user terminal 3. I do.
  • FIG. 14 is a diagram illustrating visualization of the evaluation value of the user.
  • the evaluation value of each user belonging to the organization is represented by a symbol and displayed on a map.
  • the evaluation value map generation unit 514 displays the symbols corresponding to the evaluation values on the seat map.
  • the security measure management device 5 since the security information notification content is generated according to the characteristics of the user, the probability of implementing the security measure can be increased, and the robustness of the in-house system can be improved. Connect. In addition, since it is possible to match the user who applied the patch with the user who needs assistance in applying the patch, it is possible to deal with each other without going through the security administrator, and the work load of the security administrator is reduced. Will be done.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

セキュリティ対策管理装置５は、所定のネットワークに接続している機器の構成情報を取得する構成情報取得部５００と、適用可能な情報セキュリティ対策を示す脆弱性情報を収集する脆弱性情報収集部５０２と、構成情報取得部５００により取得された構成情報と、脆弱性情報収集部５０２により収集された脆弱性情報とに基づいて、機器毎に、適用可能な情報セキュリティ対策の適用タイミングを特定するタイミング特定部５０６と、タイミング特定部５０６により特定された適用タイミングに基づいて、個人又は組織の情報セキュリティ対策に関する評価値を生成する対策評価部５１０とを有する。

Description

セキュリティ対策管理装置、セキュリティ対策管理方法、及びプログラム
　本発明は、セキュリティ対策管理装置、セキュリティ対策管理方法、及びプログラムに関する。
　例えば、特許文献１には、制御部を有する情報処理装置に入力された入力情報を処理する情報処理方法において、前記制御部により、危険性の増減情報を取得し、前記制御部により取得した危険性の増減情報に基づき、記憶部に記憶した第１閾範囲または記憶部に記憶した第２閾範囲を補正し、前記制御部により入力情報に基づく値が前記第１閾範囲を越えるか否か判断し、前記制御部により前記第１閾範囲を越えると判断した場合に、越えると判断した回数または越えた時間が前記第２閾範囲を越えるか否か判断し、前記制御部により前記第２閾範囲を越えると判断した場合に、異常情報を出力する情報処理方法が開示されている。
　また、特許文献２には、サイバー攻撃の対象となる装置に関して検知されたサイバー攻撃の情報を取得し、地球を示す画像と、該地球を示す画像の周囲に配置された前記装置を示す画像と、前記地球を示す画像の表面と前記装置を示す画像との間に配置され、前記取得した前記サイバー攻撃の情報に基づき、前記装置に関して検知されたサイバー攻撃のレベルを示す画像とを含む画像情報を生成し、該生成された画像情報を出力する処理をコンピュータが実行することを特徴とする表示方法が開示されている。
　また、非特許文献３には、事前予防と事後対処とを統合し、簡単で迅速なインシデント対応の実現し、検知、調査、対応のサイクルを統合管理するソフトウェアが開示されている。
特許５６９１５３９ 特開２０１５－２１６５４９
Ｔｒｅｎｄ　Ｍｉｃｒｏ　Ａｐｅｘ　Ｏｎｅ 2019年2月26日提供
　より確度が高く、セキュリティ対策を実施させることができるセキュリティ対策装置を提供することを目的とする。
　本発明に係るセキュリティ対策管理装置は、所定のネットワークに接続している機器の構成情報を取得する構成情報取得部と、適用可能な情報セキュリティ対策を示す脆弱性情報を収集する情報収集部と、前記構成情報取得部により取得された構成情報と、前記情報収集部により収集された脆弱性情報とに基づいて、機器毎に、適用可能な情報セキュリティ対策の適用タイミングを特定するタイミング特定部と、前記タイミング特定部により特定された適用タイミングに基づいて、個人又は組織の情報セキュリティ対策に関する評価値を生成する対策評価部とを有する。
　好適には、前記情報収集部は、適用可能な修正プログラム又は更新プログラムに関する情報と、更新可能なウイルス定義ファイルに関する情報とを前記脆弱性情報として収集し、前記構成情報取得部は、それぞれの機器に適用されている修正プログラム又は更新プログラムを識別する識別情報と、それぞれの機器におけるウイルス定義ファイルの更新に関する情報とを前記構成情報として取得する。
　好適には、前記タイミング特定部は、既定のタイミングにおける、適用可能な情報セキュリティ対策の適用の有無を判定し、前記対策評価部は、前記タイミング特定部による判定結果に基づいて、前記既定のタイミングにおける評価値を生成する。
　好適には、前記対策評価部により生成された評価値に応じて、情報セキュリティに関する通知の内容又は表示態様を変更する通知内容生成部をさらに有する。
　好適には、前記対策評価部は、組織に属する各個人の評価値を生成し、前記対策評価部により生成された各個人の評価値に対応する大きさのシンボルを、既定の図面上に配置して表示するマップ生成部をさらに有する。
　好適には、前記機器に対する操作履歴を取得する操作履歴取得部と、前記構成情報取得部により取得された構成情報と、前記操作履歴取得部により取得された操作履歴と、前記情報収集部により収集された脆弱性情報とに基づいて、修正プログラム又は更新プログラムの適用に失敗したことを検知する失敗検知部と、前記失敗検知部により検知された適用の失敗を出力する出力部とをさらに有する。
　本発明に係るセキュリティ対策管理装置は、所定のネットワークに接続している機器の構成情報を取得する構成情報取得部と、前記機器に対する操作履歴を取得する操作履歴取得部と、適用可能な情報セキュリティ対策を示す脆弱性情報を収集する情報収集部と、前記構成情報取得部により取得された構成情報と、前記操作履歴取得部により取得された操作履歴と、前記情報収集部により収集された脆弱性情報とに基づいて、修正プログラム又は更新プログラムの適用に失敗したことを検知する失敗検知部と、前記失敗検知部により検知された適用の失敗を出力する出力部とを有する。
　本発明に係るセキュリティ対策管理方法は、所定のネットワークに接続している機器の構成情報を取得する構成情報取得ステップと、適用可能な情報セキュリティ対策を示す脆弱性情報を収集する情報収集ステップと、前記構成情報取得ステップにより取得された構成情報と、前記情報収集ステップにより収集された脆弱性情報とに基づいて、機器毎に、適用可能な情報セキュリティ対策の適用タイミングを特定するタイミング特定ステップと、前記タイミング特定ステップにより特定された適用タイミングに基づいて、個人又は組織の情報セキュリティ対策に関する評価値を生成する対策評価ステップとを有する。
　本発明に係るプログラムは、所定のネットワークに接続している機器の構成情報を取得する構成情報取得ステップと、適用可能な情報セキュリティ対策を示す脆弱性情報を収集する情報収集ステップと、前記構成情報取得ステップにより取得された構成情報と、前記情報収集ステップにより収集された脆弱性情報とに基づいて、機器毎に、適用可能な情報セキュリティ対策の適用タイミングを特定するタイミング特定ステップと、前記タイミング特定ステップにより特定された適用タイミングに基づいて、個人又は組織の情報セキュリティ対策に関する評価値を生成する対策評価ステップとをコンピュータに実行させる。
　より確度が高く、セキュリティ対策を実施させることができる。
セキュリティ対策管理システム１の全体構成を例示する図である。 セキュリティ対策管理装置５のハードウェア構成を例示する図である。 セキュリティ対策管理装置５の機能構成を例示する図である。 セキュリティ対策管理装置５によるセキュリティ対策推進処理（Ｓ１０）を説明するフローチャートである。 、セキュリティ対策管理装置５により通知される、ユーザ端末３への通知内容を例示する図である。 実施例２におけるセキュリティ対策管理装置５の機能構成を例示する図である。 実施例２における、セキュリティ対策管理装置５によるセキュリティ対策推進処理（Ｓ２０）を説明するフローチャートである。 実施例３におけるセキュリティ対策管理装置５の機能構成を例示する図である。 実施例３における、セキュリティ対策管理装置５によるセキュリティ対策推進処理（Ｓ３０）を説明するフローチャートである。 即座にパッチを適用するユーザのユーザ端末３の画面遷移例である。 パッチの適用方法がわからないユーザのユーザ端末３の画面遷移例である。 は、パッチを適用したが失敗したユーザのユーザ端末３の画面遷移例である。 （ａ）は、パッチの適用の時間がないユーザへの通知の画面例であり、（ｂ）は、パッチの未適用理由があるユーザへの通知の画面例であり、（ｃ）は、パッチを適用しなくてもいいと思っている（セキュリティ意識が低い）ユーザへの通知の画面例である。 ユーザの評価値の可視化を例示する図である。
　以下、本発明の実施形態を、図面を参照して説明する
　図１は、セキュリティ対策管理システム１の全体構成を例示する図である。
　図１に例示するように、セキュリティ対策管理システム１は、複数のユーザ端末３a、ユーザ端末３ｂ、ユーザ端末３ｃ、セキュリティ対策管理装置５、及び警告灯９を含み、ネットワーク７を介して互いに接続している。ユーザ端末３a、ユーザ端末３ｂ、及びユーザ端末３ｃをユーザ端末３と総称する。本発明に係る機器の一例である。
　ユーザ端末３は、ユーザが操作するコンピュータ端末、又はネットワーク機器であり、セキュリティ対策管理装置５により通知されるセキュリティ対策情報を表示する。具体的には、ユーザ端末３は、業務サーバ、業務ＰＣ、又はルータである。
　セキュリティ対策管理装置５は、コンピュータ端末であり、操作者であるユーザの特徴に応じた、ユーザ端末３へのセキュリティ対策の実施を促す。具体的には、セキュリティ対策管理装置５は、外部のＷｅｂサイトから取得した脆弱性情報と、ユーザ端末３の構成情報と、ユーザによるユーザ端末３の操作履歴とに基づいて、ユーザ端末３毎の通知情報を生成し、ユーザ端末３へ通知する。
　警告灯９は、ユーザ端末３の設置場所の周囲に配置された、脆弱性を周囲に知らせる回転灯である。
本発明における脆弱性とは、プログラムの不具合や設計上のミスが原因となって発生した情報セキュリティ上の欠陥をいい、パッチの未適用による危険性と、ウイルスによる危険性とを含む。
　図２は、セキュリティ対策管理装置５のハードウェア構成を例示する図である。
　図２に例示するように、セキュリティ対策管理装置５は、ＣＰＵ２００、メモリ２０２、ＨＤＤ２０４、ネットワークインタフェース２０６（ネットワークＩＦ２０６）、表示装置２０８、及び、入力装置２１０を有し、これらの構成はバス２１２を介して互いに接続している。
　ＣＰＵ２００は、例えば、中央演算装置である。
　メモリ２０２は、例えば、揮発性メモリであり、主記憶装置として機能する。
　ＨＤＤ２０４は、例えば、ハードディスクドライブ装置であり、不揮発性の記録装置としてコンピュータプログラム（例えば、図３のセキュリティ対策管理プログラム５０、図６のセキュリティ対策管理プログラム５２、及び図８のセキュリティ対策管理プログラム５４）やその他のデータファイル（例えば、図３の脆弱性情報データベース６００、構成情報データベース６１０、及び図６の操作履歴データベース６２０）を格納する。
　ネットワークＩＦ２０６は、有線又は無線で通信するためのインタフェースであり、例えば、内部ネットワーク７における通信を実現する。
　表示装置２０８は、例えば、液晶ディスプレイである。
　入力装置２１０は、例えば、キーボード及びマウスである。
　実施例１では、ユーザ端末３のパッチの適用の有無、及びウイルス定義の更新の有無に基づいて、セキュリティポリシーへの意識の高さを示す評価値を算出する場合について説明する。
　図３は、セキュリティ対策管理装置５の機能構成を例示する図である。
　図３に例示するように、本例のセキュリティ対策管理装置５には、セキュリティ対策管理プログラム５０がインストールされると共に、脆弱性情報データベース６００（脆弱性情報ＤＢ６００）、及び構成情報データベース６１０（構成情報ＤＢ６１０）が構成される。
　セキュリティ対策管理プログラム５０は、構成情報取得部５００、脆弱性情報収集部５０２、検索部５０４、タイミング特定部５０６、危険度算出部５０８、対策評価部５１０、通知内容生成部５１２、評価値マップ生成部５１４、及び出力部５１６を有する。
　なお、セキュリティ対策管理プログラム５０の一部又は全部は、ＡＳＩＣなどのハードウェアにより実現されてもよく、また、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）の機能を一部借用して実現されてもよい。
　セキュリティ対策管理プログラム５０において、構成情報取得部５００は、ネットワーク７に接続している機器の構成情報を取得する。具体的には、構成情報取得部５００は、それぞれのユーザ端末３に適用されている修正プログラム又は更新プログラムを識別する識別情報と、それぞれのユーザ端末３におけるウイルス定義ファイルの更新に関する情報とを構成情報として取得する。より具体的には、構成情報取得部５００は、ネットワーク７に接続しているユーザ端末３の最新のＯＳ（ＶＬ）情報、ユーザ情報、インストールしているソフトウェア情報、パッチの適用状況を取得し、構成情報ＤＢ６１０に格納する。例えば、構成情報取得部５００は、業務サーバ、及び業務ＰＣからＯＳ情報、ユーザ情報、及びパッチの適用状況を取得し、ネットワーク７から通信経路を取得し、ルータから設定情報を取得する。構成情報取得部５００は、ユーザ端末３がＰＣ又はＩｏＴ機器である場合に、ＯＳのＡＰＩの使用により構成情報を取得する。
　脆弱性情報収集部５０２は、適用可能な情報セキュリティ対策を示す脆弱性情報を収集する。具体的には、脆弱性情報収集部５０２は、適用可能な修正プログラム又は更新プログラムに関する情報と、更新可能なウイルス定義ファイルに関する情報とを脆弱性情報として収集する。より具体的には、脆弱性情報収集部５０２は、脆弱性情報を公開する外部のＷｅｂサイトを常時監視し、新たな脆弱性情報が掲載された場合に、新たな脆弱性情報を収集し、脆弱性情報ＤＢ６００に格納する。さらに具体的には、脆弱性情報収集部５０２は、外部のＷｅｂサイトから、脆弱性情報として、ソフトウェア、危険度、及びパッチの有無を収集する。外部のＷｅｂサイトとは、例えば、ＪＶＮ（脆弱性情報）、ＣＶＥ、ＩＰＡ、ＥＳＥＴ、トレンドマイクロ、ソースネクスト（ウイルス情報）、マイクロソフト（パッチ情報）、ＭｃＡｆｅｅ（定義情報）のサイトをいう。脆弱性情報収集部５０２は、これらのＷｅｂサイトで公開されているＡＰＩ、及びＷｅｂページの記載内容を解析することにより、脆弱性情報を取得する。外部のＷｅｂサイトから取得できる脆弱性の危険度は、標準化された値ＣＶＳＳｖ２、又はＣＶＳＳｖ３である。なお、脆弱性情報収集部５０２は、本発明に係る情報収集部の一例である。
　検索部５０４は、脆弱性情報収集部５０２により新たな脆弱性情報が追加された場合に、新たな脆弱性情報の対象となるユーザ端末３を検索する。具体的には、検索部５０４は、脆弱性情報収集部５０２により収集された脆弱性情報に基づいて、対処が必要となるユーザ端末３を構成情報ＤＢ６１０から検索する。
　タイミング特定部５０６は、構成情報取得部５００により取得された構成情報と、脆弱性情報収集部５０２により収集された脆弱性情報とに基づいて、ユーザ端末３毎に、適用可能な情報セキュリティ対策の適用タイミングを特定する。さらに、タイミング特定部は、既定のタイミングにおける、適用可能な情報セキュリティ対策の適用の有無を判定する。具体的には、タイミング特定部５０６は、パッチの適用及びウイルス定義の更新のタイミングを特定する。適用タイミングは、現時点までのパッチの適用の有無だけでもよい。
　危険度算出部５０８は、構成情報取得部５００により取得された構成情報と、脆弱性情報収集部５０２により収集された脆弱性情報とに基づいて、ネットワーク７に接続しているユーザ端末３それぞれの脆弱性を評価する。具体的には、危険度算出部５０８は、検索部５０４により検索された対象となるユーザ端末３のパッチの適用状況、及び、ユーザ端末３に残存する脆弱性に基づいて、評価値を算出する。より具体的には、より具体的には、危険度算出部５０８は、適用可能な修正プログラム又は更新プログラムがユーザ端末３に適用されているか否かに基づいて算出される危険度と、更新可能なウイルス定義ファイルがユーザ端末３で更新されているか否かに基づいて算出される危険度とを合算して、各ユーザ端末３の危険度を算出する。危険度は、危険度＝Σ（脆弱性ｉ（プログラムの欠陥i）の危険度×パッチの適用有無（０　ｏｒ　１））＋Σ（ウイルスｊの危険度×定義ファイルの適用有無（０　ｏｒ　１））により算出される。
　対策評価部５１０は、タイミング特定部５０６により特定された適用タイミングに基づいて、個人又は組織の情報セキュリティ対策に関する評価値を生成する。対策評価部５１０は、タイミング特定部５０６による判定結果に基づいて、既定のタイミングにおける評価値を生成する。具体的には、対策評価部５１０は、構成情報取得部５００により取得されたパッチの適用の有無に基づいて、ユーザ端末３のユーザの評価値を生成する。より具体的には、対策評価部５１０は、タイミング特定部５０６により特定された、パッチの適用、及びウイルス定義の更新のタイミングに基づいて、セキュリティ意識の高さ、及びＩＴスキルの高さを評価値として算出する。
　対策評価部５１０は、評価値に応じてユーザ端末３のユーザの特徴を判定する。具体的には、対策評価部５１０は、評価値が低いユーザを、セキュリティ意識、及びＩＴスキルが低いと判定し、対策評価部５１０は、評価値が高いユーザを、セキュリティ意識、及びＩＴスキルが高いと判定する。対策評価部５１０は判定されたユーザの特徴に応じた役割を決定する。役割とは、例えば、パッチの適用の補助者が必要な人、パッチの適用の補助を行う人等である。さらに、対策評価部５１０は、組織に属する各個人の評価値を生成する。
　通知内容生成部５１２は、対策評価部５１０により生成された評価値に応じて、情報セキュリティに関する通知の内容又は表示態様を変更する。
　評価値マップ生成部５１４は、対策評価部５１０により生成された各個人の評価値に対応する大きさのシンボルを、既定の図面上に配置して表示する。具体的には、評価値マップ生成部５１４は、それぞれのユーザ端末３が配置された座席図、フロア図、それぞれのユーザ端末３が接続されたネットワーク構成図、又はユーザ端末３のユーザが属する組織図に重ねて、評価値に対応するシンボルを表示する。
　出力部５１６は、通知内容生成部５１２により生成された情報セキュリティに関する通知の内容を、通知内容生成部５１２により変更された表示態様でユーザ端末３に表示する。
　図４は、セキュリティ対策管理装置５によるセキュリティ対策推進処理（Ｓ１０）を説明するフローチャートである。
　図４に例示するように、ステップ１００（Ｓ１００）において、脆弱性情報収集部５０２は、脆弱性情報を公開している外部のＷｅｂサイトを常時監視する。
　ステップ１０５（Ｓ１０５）において、脆弱性情報収集部５０２は、外部のＷｅｂサイトに新たな脆弱性情報が掲載されたことを検知した場合に、Ｓ１１０へ移行し、新たな脆弱性情報を検知しない場合に、Ｓ１００へ移行し、監視を続ける。
　ステップ１１０（Ｓ１１０）において、脆弱性情報収集部５０２は、新たに掲載された脆弱性情報を収集する。具体的には、脆弱性情報収集部５０２は、新たに掲載された脆弱性情報の対象ソフトウェア、危険度、及びパッチの有無を収集し、脆弱性情報ＤＢ６００に格納する。さらに、脆弱性情報収集部５０２は、収集した脆弱性情報を検索部５０４に通知する。
　ステップ１１５（Ｓ１１５）において、構成情報取得部５００は、ネットワーク７に接続するユーザ端末３の最新の構成情報を取得する。具体的には、構成情報取得部５００は、ユーザ端末３のＯＳ情報、ユーザ情報、インストールしているソフトウェア情報、及びパッチの適用状況を取得し、構成情報ＤＢ６１０に格納する。
　ステップ１２０（Ｓ１２０）において、検索部５０４は、脆弱性情報収集部５０２により通知された脆弱性情報に該当するユーザ端末３が存在するか否かを構成情報ＤＢ６１０に格納される構成情報から検索する。
　ステップ１２５（Ｓ１２５）において、検索部５０４による検索の結果、該当するユーザ端末３が存在する場合に、セキュリティ対策推進処理（Ｓ１０）は、Ｓ１３０へ移行し、該当するユーザ端末３が存在しない場合に、Ｓ１００へ移行する。
　ステップ１３０（Ｓ１３０）において、危険度算出部５０８は、脆弱性情報収集部５０２により収集された脆弱性情報と、検索部５０４により検索されたユーザ端末３の構成情報とに基づいて、ユーザ端末３の危険度を算出する。
　ステップ１３５（Ｓ１３５）において、タイミング特定部５０６は、脆弱性情報収集部５０２により収集された脆弱性情報と、構成情報取得部５００により取得された構成情報とに基づいて、パッチの適用のタイミングを特定する。具体的には、ネットワーク７に接続しているユーザ端末３が、脆弱性に対してパッチを適用しているか否かを特定する。
　ステップ１４０（Ｓ１４０）において、対策評価部５１０は、タイミング特定部５０６により特定された適用タイミングに基づいて、ユーザ端末３のユーザのセキュリティ対策に関する評価値を算出する。
　ステップ１４５（Ｓ１４５）において、通知内容生成部５１２は、危険度算出部５０８により算出された危険度と、セキュリティ対策の実施内容とを通知する通知内容を生成する。さらに、出力部５１６は、通知内容生成部５１２により生成された通知内容を、対策評価部５１０により算出された評価値に応じた表示態様でユーザ端末３に表示する。評価値に応じた表示態様とは、例えば、出力部５１６は、評価値が低く、セキュリティ意識の低いユーザには、図１３（ｃ）に例示するように、大きくアラートを表示し、セキュリティ意識の高いユーザへの通知とは異なる表示にする。
　図５は、セキュリティ対策管理装置５により通知される、ユーザ端末３への通知内容を例示する図である。
　図５に例示するように、ユーザ端末３の画面には、情報セキュリティに関する通知内容が表示される、具体的には、ユーザ端末３の脆弱性に関する情報、危険度算出部５０８により算出されたユーザ端末３の危険度、及び脆弱性に対する対策の実施方法が表示される。ユーザ端末３への通知内容の通知は、新たな脆弱性情報が収集され、危険度、及び評価値を算出したタイミングで通知される。
　実施例１では、ユーザ端末３のパッチの適用の有無、及びウイルス定義の更新の有無に基づいて、対策評価部５１０は、評価値を算出していたが、実施例２では、ユーザによるユーザ端末３の操作履歴に基づいて、評価値を算出する場合を説明する。
　図６は、実施例２におけるセキュリティ対策管理装置５の機能構成を例示する図である。
本図に示された各構成のうち、図３に示された構成と実質的に同一のものには同一の符号が付されている。
　図６に例示するように、実施形態２におけるセキュリティ対策管理装置５には、セキュリティ対策管理プログラム５２がインストールされると共に、脆弱性情報データベース６００（脆弱性情報ＤＢ６００）、構成情報データベース６１０（構成情報ＤＢ６１０）、及び操作履歴データベース６２０（操作履歴ＤＢ６２０）が構成される。
　セキュリティ対策管理プログラム５２は、構成情報取得部５００、脆弱性情報収集部５０２、検索部５０４、危険度算出部５０８、及び評価値マップ生成部５１４に加え、操作履歴取得部５２０、対策評価部５２２、通知内容生成部５２４、出力部５２６を有する。
　なお、セキュリティ対策管理プログラム５２の一部又は全部は、ＡＳＩＣなどのハードウェアにより実現されてもよく、また、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）の機能を一部借用して実現されてもよい。
　操作履歴取得部５２０は、ネットワーク７に接続しているユーザ端末３に対する操作履歴を取得し、操作履歴ＤＢ６２０に格納する。具体的には、操作履歴取得部５２０は、ユーザが操作するユーザ端末３のパッチ適用までの時間、パッチ適用の試行回数、各説明の参照回数、及び掲示板やＨＥＬＰの参照回数を取得する。
　対策評価部５２２は、構成情報取得部５００により取得された構成情報と、脆弱性情報収集部５０２により収集された脆弱性情報と、操作履歴取得部５２０により取得された操作履歴に基づいて、情報セキュリティ対策に関する評価値を生成する。具体的には、対策評価部５２２は、操作履歴取得部５２０により取得された操作履歴を集計、及び解析することにより、ユーザ端末３のユーザの特徴を抽出し、ユーザの評価値を算出する。対策評価部５２２は、パッチの適用までの時間が毎回短いユーザは、評価値が高く、セキュリティ意識が高いと判定し、パッチ適用の試行回数が多い、又は、各説明を毎回参照しているユーザは評価値が低く、ＩＴスキルが高くないと判定する。
　通知内容生成部５２４は、危険度算出部５０８により算出された危険度と、セキュリティ対策の実施内容とを通知する通知内容を生成する。さらに、通知内容生成部５２４は、生成した通知内容を、対策評価部５２２により算出された評価値に応じた表示態様に変更する。
　出力部５２６は、通知内容生成部５２４により生成された情報セキュリティに関する通知の内容を、通知内容生成部５２４により変更された表示態様でユーザ端末３に表示する。
　図７は、実施例２における、セキュリティ対策管理装置５によるセキュリティ対策推進処理（Ｓ２０）を説明するフローチャートである。
　図７に例示するように、ステップ２００（Ｓ２００）において、脆弱性情報収集部５０２は、脆弱性情報を公開している外部のＷｅｂサイトを常時監視する。
　ステップ２０５（Ｓ２０５）において、脆弱性情報収集部５０２は、外部のＷｅｂサイトに新たな脆弱性情報が掲載されたことを検知した場合に、Ｓ２１０へ移行し、新たな脆弱性情報を検知しない場合に、Ｓ２００へ移行し、監視を続ける。
　ステップ２１０（Ｓ２１０）において、脆弱性情報収集部５０２は、新たに掲載された脆弱性情報を収集する。具体的には、脆弱性情報収集部５０２は、新たに掲載された脆弱性情報の対象ソフトウェア、危険度、及びパッチの有無を収集し、脆弱性情報ＤＢ６００に格納する。さらに、脆弱性情報収集部５０２は、収集した脆弱性情報を検索部５０４に通知する。
　ステップ２１５（Ｓ２１５）において、構成情報取得部５００は、ネットワーク７に接続するユーザ端末３の最新の構成情報を取得する。具体的には、構成情報取得部５００は、ユーザ端末３のＯＳ情報、ユーザ情報、インストールしているソフトウェア情報、及びパッチの適用状況を取得し、構成情報ＤＢ６１０に格納する。
　ステップ２２０（Ｓ２２０）において、検索部５０４は、脆弱性情報収集部５０２により通知された脆弱性情報に該当するユーザ端末３が存在するか否かを構成情報ＤＢ６１０に格納される構成情報から検索する。
　ステップ２２５（Ｓ２２５）において、検索部５０４による検索の結果、該当するユーザ端末３が存在する場合に、セキュリティ対策推進処理（Ｓ２０）は、Ｓ２３０へ移行し、該当するユーザ端末３が存在しない場合に、Ｓ２００へ移行する。
　ステップ２３０（Ｓ２３０）において、危険度算出部５０８は、脆弱性情報収集部５０２により収集された脆弱性情報と、検索部５０４により検索されたユーザ端末３の構成情報とに基づいて、ユーザ端末３の危険度を算出する。
　ステップ２３５（Ｓ２３５）において、操作履歴取得部５２０は、ユーザの操作履歴として、ユーザが操作するユーザ端末３のパッチ適用までの時間、パッチ適用の試行回数、各説明の参照回数、及び掲示板やＨＥＬＰの参照回数を取得する。
　ステップ２４０（Ｓ２４０）において、対策評価部５２２は、構成情報取得部５００により取得された構成情報と、脆弱性情報収集部５０２により収集された脆弱性情報と、操作履歴取得部５２０により取得された操作履歴に基づいて、ユーザ端末３の評価値を算出する。
　ステップ２４５（Ｓ２４５）において、対策評価部５２２によりされた算出された評価値に基づいて、評価値を有するユーザ端末３のユーザのセキュリティ意識の高さ、及びＩＴスキルの高さを判定する。
　ステップ２５０（Ｓ２５０）において、通知内容生成部５２４は、危険度算出部５０８により算出された危険度と、セキュリティ対策の実施内容とを通知する通知内容を生成する。さらに、通知内容生成部５２４は、生成した通知内容を、対策評価部５２２により算出された評価値に応じた表示態様に変更する。出力部５２６は、通知内容生成部５２４により生成された内容、及び変更された表示態様にて、通知内容をユーザ端末３に表示する。
　実施例３では、ユーザによるユーザ端末３の操作履歴に基づいて、評価値を算出し、さらに、脆弱性情報、構成情報、操作履歴に基づいて、パッチの適用の失敗を検知する場合を説明する。
　図８は実施例３におけるセキュリティ対策管理装置５の機能構成を例示する図である。
本図に示された各構成のうち、図６に示された構成と実質的に同一のものには同一の符号が付されている。
　図８に例示するように、実施例３におけるセキュリティ対策管理装置５には、セキュリティ対策管理プログラム５４がインストールされると共に、脆弱性情報データベース６００（脆弱性情報ＤＢ６００）、構成情報データベース６１０（構成情報ＤＢ６１０）、及び操作履歴データベース６２０（操作履歴情報ＤＢ６２０）が構成される。
　セキュリティ対策管理プログラム５４は、構成情報取得部５００、脆弱性情報収集部５０２、検索部５０４、危険度算出部５０８、評価値マップ生成部５１４、操作履歴取得部５２０、対策評価部５２２、通知内容生成部５２４に加え、失敗検知部５４０、及び出力部５４２を有する。
　なお、セキュリティ対策管理プログラム５４の一部又は全部は、ＡＳＩＣなどのハードウェアにより実現されてもよく、また、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）の機能を一部借用して実現されてもよい。
　失敗検知部５４０は、構成情報取得部５００により取得された構成情報と、操作履歴取得部５２０により取得された操作履歴と、脆弱性情報収集部５０２により収集された脆弱性情報とに基づいて、修正プログラム又は更新プログラムの適用に失敗したことを検知する。
　出力部５４２は、通知内容生成部５２４により生成された情報セキュリティに関する通知の内容を、通知内容生成部５２４により変更された表示態様でユーザ端末３に表示する。さらに、失敗検知部５４０により検知されたパッチ適用の失敗を出力する。具体的には、出力部５４２は、操作履歴取得部５２０により収集された各ユーザの操作履歴に基づいて、パッチ適用の失敗、及びパッチの未適用を検知し、所定の通知を行う。所定の通知とは、ユーザ端末３のパッチの適用の失敗の表示、通知、メールの送信、警告灯９の点灯、又は警告音の出力をいう。
より具体的には、出力部５４２は、パッチの適用に失敗したユーザ、パッチ未適用のユーザのユーザ端末３に対して、異なる通知を行う。
　図９は、セキュリティ対策管理装置５によるセキュリティ対策推進処理（Ｓ３０）を説明するフローチャートである。
　図９に例示するように、ステップ３００（Ｓ３００）において、脆弱性情報収集部５０２は、脆弱性情報を公開している外部のＷｅｂサイトを常時監視する。
　ステップ３０５（Ｓ３０５）において、脆弱性情報収集部５０２は、外部のＷｅｂサイトに新たな脆弱性情報が掲載されたことを検知した場合に、Ｓ３１０へ移行し、新たな脆弱性情報を検知しない場合に、Ｓ３００へ移行し、監視を続ける。
　ステップ３１０（Ｓ３１０）において、脆弱性情報収集部５０２は、新たに掲載された脆弱性情報を収集する。具体的には、脆弱性情報収集部５０２は、新たに掲載された脆弱性情報の対象ソフトウェア、危険度、及びパッチの有無を収集し、脆弱性情報ＤＢ６００に格納する。さらに、脆弱性情報収集部５０２は、収集した脆弱性情報を検索部５０４に通知する。
　ステップ３１５（Ｓ３１５）において、構成情報取得部５００は、ネットワーク７に接続するユーザ端末３の最新の構成情報を取得する。具体的には、構成情報取得部５００は、ユーザ端末３のＯＳ情報、ユーザ情報、インストールしているソフトウェア情報、及びパッチの適用状況を取得し、構成情報ＤＢ６１０に格納する。
　ステップ３２０（Ｓ３２０）において、検索部５０４は、脆弱性情報収集部５０２により通知された脆弱性情報に該当するユーザ端末３が存在するか否かを構成情報ＤＢ６１０に格納される構成情報から検索する。
　ステップ３２５（Ｓ３２５）において、検索部５０４による検索の結果、該当するユーザ端末３が存在する場合に、セキュリティ対策推進処理（Ｓ３０）は、Ｓ３３０へ移行し、該当するユーザ端末３が存在しない場合に、Ｓ３００へ移行する。
　ステップ３３０（Ｓ３３０）において、危険度算出部５０８は、脆弱性情報収集部５０２により収集された脆弱性情報と、検索部５０４により検索されたユーザ端末３の構成情報とに基づいて、ユーザ端末３の危険度を算出する。
　ステップ３３５（Ｓ３３５）において、操作履歴取得部５２０は、ユーザの操作履歴として、ユーザが操作するユーザ端末３のパッチ適用までの時間、パッチ適用の試行回数、各説明の参照回数、及び掲示板やＨＥＬＰの参照回数を取得する。
　ステップ３４０（Ｓ３４０）において、対策評価部５２２は、操作履歴取得部５２０により取得された操作履歴に基づいて、ユーザ端末３のユーザの評価値を算出する。
　ステップ３４５（Ｓ３４５）において、対策評価部５２２によりされた算出された評価値に基づいて、評価値を有するユーザ端末３のユーザのセキュリティ意識の高さ、及びＩＴスキルの高さを判定する。
　ステップ３５０（Ｓ３５０）において、通知内容生成部５２４は、危険度算出部５０８により算出された危険度と、セキュリティ対策の実施内容とを通知する通知内容を生成し、さらに、出力部５４２は、生成した通知内容を、対策評価部５２２により算出された評価値に応じた表示態様でユーザ端末３に表示する。
　ステップ３５５（Ｓ３５５）において、失敗検知部５４０が、通知内容生成部５２４の通知により実施された、ユーザによるパッチ適用の失敗を検知した場合に、セキュリティ対策推進処理（Ｓ３０）は、Ｓ３６０へ移行し、パッチ適用の失敗を検知しない場合に処理を終了する。
　ステップ３６０（Ｓ３６０）において、出力部５４２は、ユーザ端末３にパッチの適用に失敗したことを通知する表示を行い、さらに、ユーザに失敗事例の共有を促す。そして、出力部５４２は、パッチの適用を成功させるために、ユーザ端末３において、既にパッチの適用を実施済みの人を検索可能にする。これにより、パッチの適用に失敗したユーザは、実施済みのユーザに補助を求めることができる。したがって、セキュリティ管理者がパッチの適用に失敗したユーザに対応する手間が省け、ユーザ間でセキュリティ対策の実施が可能になる。
　次に、対策評価部５２２により算出された評価値、及びユーザの特徴に応じたセキュリティ情報の通知方法について説明する。
　図１０は、即座にパッチを適用するユーザのユーザ端末３の画面遷移例である。
　図１０に例示するように、即座にパッチを適用するユーザのユーザ端末３では、「ＷＡＲＮＩＮＧ」「ＡＬＥＲＴ」のアラートが表示される。ユーザがアラート表示に従い、セキュリティ対策の対処中である場合に、ユーザ端末３は、「対処中」であることを示す。ここでは、即座にパッチを適用するユーザであるため、簡易な表示となる。対処完了となると、別のユーザ端末３において「ヘルプ」を押下したユーザが表示される。ユーザは、掲示板でトラブル内容を確認し、コメントすることが可能となる。これにより、パッチ適用済みのユーザは、「ヘルプ」を押下したユーザのパッチの適用を助けることができる。
　図１１は、パッチの適用方法がわからないユーザのユーザ端末３の画面遷移例である。
　図１１に例示するように、パッチの適用方法がわからないユーザのユーザ端末３では、「ＷＡＲＮＩＮＧ」「ＡＬＥＲＴ」のアラートが表示される。ユーザがアラート表示に従い、セキュリティ対策の対処中である場合に、ユーザ端末３は、「対処中」であることを示す。メッセージ（コードの実行）及びメッセージ（権限昇格）の意味を確認する画面を経て、ユーザは、「ＨＥＬＰ」ボタンにより、助けて欲しいユーザリストに載る。そして、ユーザ端末３では、「検索」ボタンにより、パッチの適用を実施済みのユーザが表示される。これにより、パッチの適用方法がわからないユーザは、パッチの適用が実施済みのユーザに助けてもらい、パッチを適用することができる。
　図１２は、パッチを適用したが失敗したユーザのユーザ端末３の画面遷移例である。
　図１２に例示するように、まず、ユーザ端末３では、「ＷＡＲＮＩＮＧ」「ＡＬＥＲＴ」のアラートが表示される。ユーザがアラート表示に従い、セキュリティ対策の対処を行ったが失敗した場合に、ユーザ端末３は、出力部５４２により通知された「パッチの適用の失敗」を示す表示を行う。次に、ユーザ端末３は、ユーザにパッチの適用事例の失敗を掲示板に記載するよう促し、パッチの適用に成功したユーザの応答を待つ。さらに、「検索」ボタンにより、パッチの適用を実施済みのユーザを表示する。これにより、パッチの適用に失敗したとしても、パッチの適用が実施済みのユーザに助けてもらい、パッチを適用することができる。さらに、失敗した事例を掲示板に書き込むことにより、失敗事例が共有され、同様のパッチの適用失敗に対して予防、及び対処することが可能となる。
　図１３（ａ）は、パッチの適用の時間がないユーザのへの通知の画面例である。
　図１３（ａ）に例示するように、通知内容生成部５２４により、アラートの通知がユーザ端末３に通知され、既定の時間経過した場合に、出力部５４２は、ユーザ端末３に、「後で実施」ボタンを表示し、パッチ適用の時刻指定を可能にする。時刻指定をすることによりパッチの適用の未実施を防ぐ。
　図１３（ｂ）は、パッチの未適用理由があるユーザへの通知の画面例である。
　図１３（ｂ）に例示するように、通知内容生成部５２４により、により、アラートの通知がユーザ端末３に通知され、既定の時間経過した場合に、出力部５４２は、ユーザ端末３に、パッチ未適用の理由の書き込みを促す。パッチの未適用理由としては、例えば、他のバグが出る等でパッチの適用に不満がある、通信状態が悪く、パッチをダウンロードできない、及び環境要因等が挙げられる。セキュリティ管理者は、書き込まれた未適用理由に基づいて対処を検討することができる。
　図１３（ｃ）は、パッチを適用しなくてもいいと思っている（セキュリティ意識が低い）ユーザへの通知の画面例である。
　図１３（ｃ）に例示するように、通知内容生成部５２４は、対策評価部５２２により、セキュリティ意識が低いと判定されたユーザへの通知として、アラートの表示を大きくし、パッチの適用を放置できないようにする。さらに、アラートの通知を行ったが、既定時間を超えた場合に、出力部５４２は、ユーザ端末３に、パッチ未適用の理由の書き込みを促す。また、出力部５４２は、ユーザ端末３に、「後で実施」ボタンを表示し、パッチ適用の時刻指定を可能にし、パッチの適用が確実になされるようにする。
　また、出張中のユーザのユーザ端末３は、ネットワーク７に接続されていないため、アラートの表示はせず、ネットワーク７に接続された時に、通知内容生成部５２４は、ユーザ端末３にアラートの表示を行う。
　図１４は、ユーザの評価値の可視化を例示する図である。
　図１４に例示するように、組織に属する各ユーザの評価値を、シンボルで表現してマップ表示する。具体的には、評価値マップ生成部５１４は、評価値に対応するシンボルを、座席図に重ねて表示する。これにより、セキュリティ意識、またはＩＴスキルの高さを視覚的に把握でき、補助をお願いできるユーザが一目で分かる。
　以上説明したように、セキュリティ対策管理装置５によれば、ユーザの特徴に応じたセキュリティ情報通知内容を生成するため、セキュリティ対策の実施の確率を上げることができ、社内システムの堅牢性の向上に繋がる。また、パッチを適用したユーザと、パッチの適用に補助が必要なユーザとを引き合わせることができるため、セキュリティ管理者を介さず、ユーザ間で対処可能であり、セキュリティ管理者の作業負担が軽減される。
　１…セキュリティ対策管理システム
　３…ユーザ端末
　５…セキュリティ対策管理装置
　７…ネットワーク
　５０、５２、５４…セキュリティ対策管理プログラム
　５００…構成情報取得部
　５０２…脆弱性情報収集部
　５０４…検索部
　５０６…タイミング特定部
　５０８…危険度算出部
　５１０、５２２…対策評価部
　５１２、５２４…通知内容生成部
　５１４…評価値マップ生成部
　５１６、５２６、５４２…出力部
　５２０…操作履歴取得部
　５４０…失敗検知部
　６００…脆弱性情報データベース
　６１０…構成情報データベース
　６２０…操作履歴データベース

Claims (9)

  1. 　所定のネットワークに接続している機器の構成情報を取得する構成情報取得部と、
    　適用可能な情報セキュリティ対策を示す脆弱性情報を収集する情報収集部と、
    　前記構成情報取得部により取得された構成情報と、前記情報収集部により収集された脆弱性情報とに基づいて、機器毎に、適用可能な情報セキュリティ対策の適用タイミングを特定するタイミング特定部と、
    　前記タイミング特定部により特定された適用タイミングに基づいて、個人又は組織の情報セキュリティ対策に関する評価値を生成する対策評価部と
    　を有するセキュリティ対策管理装置。
  2. 　前記情報収集部は、適用可能な修正プログラム又は更新プログラムに関する情報と、更新可能なウイルス定義ファイルに関する情報とを前記脆弱性情報として収集し、
    　前記構成情報取得部は、それぞれの機器に適用されている修正プログラム又は更新プログラムを識別する識別情報と、それぞれの機器におけるウイルス定義ファイルの更新に関する情報とを前記構成情報として取得する
    　請求項１に記載のセキュリティ対策管理装置。
  3. 　前記タイミング特定部は、既定のタイミングにおける、適用可能な情報セキュリティ対策の適用の有無を判定し、
    　前記対策評価部は、前記タイミング特定部による判定結果に基づいて、前記既定のタイミングにおける評価値を生成する
    　請求項１に記載のセキュリティ対策管理装置。
  4. 　前記対策評価部により生成された評価値に応じて、情報セキュリティに関する通知の内容又は表示態様を変更する通知内容生成部
    　をさらに有する請求項１に記載のセキュリティ対策管理装置。
  5. 　前記対策評価部は、組織に属する各個人の評価値を生成し、
    　前記対策評価部により生成された各個人の評価値に対応する大きさのシンボルを、既定の図面上に配置して表示するマップ生成部
    　をさらに有する請求項１に記載のセキュリティ対策管理装置。
  6. 　前記機器に対する操作履歴を取得する操作履歴取得部と、
    　前記構成情報取得部により取得された構成情報と、前記操作履歴取得部により取得された操作履歴と、前記情報収集部により収集された脆弱性情報とに基づいて、修正プログラム又は更新プログラムの適用に失敗したことを検知する失敗検知部と、
    　前記失敗検知部により検知された適用の失敗を出力する出力部と
    　をさらに有する請求項１に記載のセキュリティ対策管理装置。
  7. 　所定のネットワークに接続している機器の構成情報を取得する構成情報取得部と、
    　前記機器に対する操作履歴を取得する操作履歴取得部と、
    　適用可能な情報セキュリティ対策を示す脆弱性情報を収集する情報収集部と、
    　前記構成情報取得部により取得された構成情報と、前記操作履歴取得部により取得された操作履歴と、前記情報収集部により収集された脆弱性情報とに基づいて、修正プログラム又は更新プログラムの適用に失敗したことを検知する失敗検知部と、
    　前記失敗検知部により検知された適用の失敗を出力する出力部と
    　を有するセキュリティ対策管理装置。
  8. 　所定のネットワークに接続している機器の構成情報を取得する構成情報取得ステップと、
    　適用可能な情報セキュリティ対策を示す脆弱性情報を収集する情報収集ステップと、
    　前記構成情報取得ステップにより取得された構成情報と、前記情報収集ステップにより収集された脆弱性情報とに基づいて、機器毎に、適用可能な情報セキュリティ対策の適用タイミングを特定するタイミング特定ステップと、
    　前記タイミング特定ステップにより特定された適用タイミングに基づいて、個人又は組織の情報セキュリティ対策に関する評価値を生成する対策評価ステップと
    　を有するセキュリティ対策管理方法。
  9. 　所定のネットワークに接続している機器の構成情報を取得する構成情報取得ステップと、
    　適用可能な情報セキュリティ対策を示す脆弱性情報を収集する情報収集ステップと、
    　前記構成情報取得ステップにより取得された構成情報と、前記情報収集ステップにより収集された脆弱性情報とに基づいて、機器毎に、適用可能な情報セキュリティ対策の適用タイミングを特定するタイミング特定ステップと、
    　前記タイミング特定ステップにより特定された適用タイミングに基づいて、個人又は組織の情報セキュリティ対策に関する評価値を生成する対策評価ステップと
    　をコンピュータに実行させるプログラム。
PCT/JP2019/039458 2019-10-07 2019-10-07 セキュリティ対策管理装置、セキュリティ対策管理方法、及びプログラム WO2021070217A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2021550950A JPWO2021070217A1 (ja) 2019-10-07 2019-10-07
PCT/JP2019/039458 WO2021070217A1 (ja) 2019-10-07 2019-10-07 セキュリティ対策管理装置、セキュリティ対策管理方法、及びプログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2019/039458 WO2021070217A1 (ja) 2019-10-07 2019-10-07 セキュリティ対策管理装置、セキュリティ対策管理方法、及びプログラム

Publications (1)

Publication Number Publication Date
WO2021070217A1 true WO2021070217A1 (ja) 2021-04-15

Family

ID=75437042

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/039458 WO2021070217A1 (ja) 2019-10-07 2019-10-07 セキュリティ対策管理装置、セキュリティ対策管理方法、及びプログラム

Country Status (2)

Country Link
JP (1) JPWO2021070217A1 (ja)
WO (1) WO2021070217A1 (ja)

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005107726A (ja) * 2003-09-29 2005-04-21 Ntt Communications Kk セキュリティ管理装置、セキュリティ管理方法、およびセキュリティ管理プログラム
JP2006066982A (ja) * 2004-08-24 2006-03-09 Hitachi Ltd ネットワーク接続制御システム
JP2006178855A (ja) * 2004-12-24 2006-07-06 Ntt Communications Kk 利用者権限制御装置、利用者権限制御方法、及び利用者権限制御プログラム
JP2015138509A (ja) * 2014-01-24 2015-07-30 株式会社日立システムズ 脆弱性リスク診断システム及び脆弱性リスク診断方法
JP2017211722A (ja) * 2016-05-23 2017-11-30 富士通株式会社 適用支援プログラム、適用支援装置および適用支援方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005107726A (ja) * 2003-09-29 2005-04-21 Ntt Communications Kk セキュリティ管理装置、セキュリティ管理方法、およびセキュリティ管理プログラム
JP2006066982A (ja) * 2004-08-24 2006-03-09 Hitachi Ltd ネットワーク接続制御システム
JP2006178855A (ja) * 2004-12-24 2006-07-06 Ntt Communications Kk 利用者権限制御装置、利用者権限制御方法、及び利用者権限制御プログラム
JP2015138509A (ja) * 2014-01-24 2015-07-30 株式会社日立システムズ 脆弱性リスク診断システム及び脆弱性リスク診断方法
JP2017211722A (ja) * 2016-05-23 2017-11-30 富士通株式会社 適用支援プログラム、適用支援装置および適用支援方法

Also Published As

Publication number Publication date
JPWO2021070217A1 (ja) 2021-04-15

Similar Documents

Publication Publication Date Title
CA2790206C (en) Automated malware detection and remediation
US10652274B2 (en) Identifying and responding to security incidents based on preemptive forensics
US8595282B2 (en) Simplified communication of a reputation score for an entity
US9262638B2 (en) Hygiene based computer security
US20170041337A1 (en) Systems, Methods, Apparatuses, And Computer Program Products For Forensic Monitoring
US11809574B2 (en) System and method for multi-source vulnerability management
US10250623B1 (en) Generating analytical data from detection events of malicious objects
US20070162975A1 (en) Efficient collection of data
US20140137190A1 (en) Methods and systems for passively detecting security levels in client devices
US8719634B2 (en) System health and performance care of computing devices
JP2005339565A (ja) 自動開始拡張ポイントを介したスパイウェアおよび不要ソフトウェアの管理
CN110377481B (zh) 日志管理方法、装置、设备及存储介质
US11546365B2 (en) Computer network security assessment engine
JP2007164465A (ja) クライアントセキュリティ管理システム
JP2009217637A (ja) セキュリティ状況表示装置、セキュリティ状況表示方法、およびコンピュータプログラム
WO2021070217A1 (ja) セキュリティ対策管理装置、セキュリティ対策管理方法、及びプログラム
JP2020004006A (ja) 脆弱性管理装置、脆弱性管理方法及びプログラム
US10250644B2 (en) Detection and removal of unwanted applications
Oser et al. Evaluating the Future Device Security Risk Indicator for Hundreds of IoT Devices
WO2021070216A1 (ja) 脆弱性管理装置、脆弱性管理方法、及びプログラム
AU2021262231A1 (en) Endpoint security using an action prediction model
JP7235109B2 (ja) 評価装置、システム、制御方法、及びプログラム
Oser et al. arXiv: Evaluating the Future Device Security Risk Indicator for Hundreds of IoT Devices

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19948506

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2021550950

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19948506

Country of ref document: EP

Kind code of ref document: A1