WO2021144975A1 - 情報処理装置及びプログラム - Google Patents

Abstract

評価項目生成部（１１）は、システム構成情報（６０）と、脆弱性ＤＢ（４０）の有する脆弱性情報とに基づいて、機器と、機器の脆弱性の評価方法と、評価方法の実行結果の判定基準とが対応付いた脆弱性評価項目（１１ａ）を生成する。脆弱性評価部（１２）は、評価方法を実行し、評価方法の実行結果を判定基準と比較し、脆弱性評価結果（１２ａ）を生成する。対策一覧生成部（１３）は、脆弱性評価結果（１２ａ）から判定基準に満たない機器を抽出し、抽出した機器の脆弱性対策を脆弱性対策データベース（５０）から取得し、脆弱性対策を含む対策一覧（１３ａ）を生成する。対策生成部（１４）は、対策一覧（１３ａ）に含まれる脆弱性対策が実施できるかどうかを判定し、実施できると判定すると、脆弱性対策を含む対策案（１４ａ）を生成する。

Description

情報処理装置及びプログラム

　本開示は、システムの脆弱性を評価する情報処理装置に関する。

　従来の脆弱性の評価及び脆弱性の対策立案は、評価対象の機器に関する実運用環境情報と、ＣＶＳＳ（Ｃｏｍｍｏｎ　Ｖｕｌｎｅｒａｂｉｌｉｔｙ　Ｓｃｏｒｉｎｇ　Ｓｙｓｔｅｍ））のようなポリシーと、に沿って行っていた（例えば、特許文献１）。
　また、複数の対策の関連性から別の対策案を立案する方法も提案されている（例えば、特許文献２）。
　また、複数対策から、脆弱性のある機器にとって最適な対策案を決定する方法も提案されている（例えば、特許文献３）。

特開２０１４－１７４６７８号公報 特開２０１７－１０７４０５号公報 国際公開第２００８／００４４９８号パンフレット

　従来の脆弱性対策案は、システムの要件及びポリシーに沿って、脆弱性を持つ機器の対策案が提示される。しかし、システム全体に対する対策案が提示されていないという課題があった。

　本開示は、システム全体に対する脆弱性の対策案を提示する装置の提供を目的とする。

　本開示に係る情報処理装置は、
　複数の機器を備えるシステムの構成を示すシステム構成情報と、前記複数の機器の脆弱性を示す脆弱性情報とに基づいて、前記機器ごとに、前記機器と、前記機器の脆弱性の評価方法と、評価方法の実行結果の判定基準とが対応付いた脆弱性の評価項目を生成する評価項目生成部と、
　前記評価項目に記載された前記評価方法を実行し、前記評価方法の実行結果を前記判定基準と比較することで、前記機器の脆弱性の評価結果を生成する脆弱性評価部と、
　前記評価結果から前記判定基準に満たない前記機器を抽出し、抽出した前記機器の脆弱性対策を、複数の種類の脆弱性対策を保有する脆弱性対策データベースから取得し、取得した前記脆弱性対策と前記機器を識別する識別情報とを含む対策一覧を生成する対策一覧生成部と、
　前記対策一覧に含まれる前記脆弱性対策が、前記識別情報で識別される前記機器への脆弱性対策として実施できるかどうかを判定し、実施できると判定すると、前記脆弱性対策を含む対策情報を生成する対策生成部と、
を備える。

　本開示によれば、情報処理装置は、システム構成情報と、脆弱性情報とに基づいて生成された評価項目に対して評価を実施し、この評価に基づいて対策情報を生成するので、システム全体に対する脆弱性の対策案を提示する装置を提供できる。

実施の形態１の図で、検査装置１０１の機能ブロック図。 実施の形態１の図で、検査装置１０１のハードウェア構成を示す図。 実施の形態１の図で、検査装置１０１の動作の概要を示すフローチャート。 実施の形態１の図で、評価項目生成部１１の動作のフローチャート。 実施の形態１の図で、脆弱性情報４００を示す図。 実施の形態１の図で、システム構成情報を示す図。 実施の形態１の図で、脆弱性評価部１２の動作のフローチャート。 実施の形態１の図で、対策一覧生成部１３の動作のフローチャート。 実施の形態１の図で、脆弱性対策情報５００を示す図。 実施の形態１の図で、対策一覧１３ｓを示す図。 実施の形態１の図で、ベンダー推奨対策を抽出するフローチャート。 実施の形態１の図で、システム推奨対策を生成するフローチャート。 実施の形態２の図で、検査装置１０２の機能ブロック図。 実施の形態２の図で、検査装置１０２の動作の概要を示すフローチャート。 実施の形態２の図で、評価項目生成部１１の動作のフローチャート。 実施の形態２の図で、ベンダー推奨対策を抽出するフローチャート。 実施の形態２の図で、システム推奨対策を生成するフローチャート。 実施の形態２の図で、検査装置１０１及び検査装置１０２のハードウェア構成を補足する図。

　以下、実施の形態について、図を用いて説明する。なお、各図中、同一または相当する部分には、同一符号を付している。実施の形態の説明において、同一または相当する部分については、説明を適宜省略または簡略化する。

　実施の形態１．
　図１から図１２を参照して、実施の形態１の検査装置１０１を説明する。検査装置１０１は情報処理装置である。実施の形態１の検査装置１０１は、制御システム全体の脆弱性を評価し、ベンダーが推奨するベンダー推奨対策及びシステム全体として、最適な対策案（以下、システム推奨対策）をユーザに提供する。
　ユーザが脆弱性の監査ポリシーを選択するだけで、検査装置１０１は、脆弱性の監査ポリシー３１と、制御システムの構成情報と、脆弱性情報とに基づいて、制御システムに必要な脆弱性評価項目を生成し、脆弱性評価項目に沿って、脆弱性の評価を実施する。評価の結果に従い、検査装置１０１は、ベンダー推奨対策およびシステム推奨対策をユーザに通知する。

　ここで、脆弱性が評価される制御システムとは、ＰＬＣ（Ｐｒｏｇｒａｍｍａｂｌｅ　Ｌｏｇｉｃ　Ｃｏｎｔｒｏｌｌｅｒ）、ＨＭＩ（Ｈｕｍａｎ　Ｍａｃｈｉｎｅ　Ｉｎｔｅｒｆａｃｅ）、フィールド機器などがネットワークで接続されたシステムである。これを実現するための装置が検査装置１０１ある。検査装置１０１は、制御システムを構成する複数の機器に含まれる機器と、制御システムを構成する複数の機器に含まれない機器との、いずれかの機器で実現することができる。

　図１は、検査装置１０１の機能ブロック図である。検査装置１０１は、評価項目生成部１１、脆弱性評価部１２、対策一覧生成部１３、対策生成部１４及びレポート生成部１５を備えている。また、脆弱性データベース４０及び脆弱性対策データベース５０を備えてもよい。なお、検査装置１０１は、検査装置１０１とは別の装置に存在する脆弱性データベース４０及び脆弱性対策データベース５０から、脆弱性データベース４０及び脆弱性対策データベース５０の情報を取得してもよい。データベースは以下、ＤＢと表記する。
（１）評価項目生成部１１は、監査ポリシー３１と、システム構成情報６０と、脆弱性ＤＢ１６の有する脆弱性情報とを入力データとして、脆弱性評価項目１１ａを出力する。
（２）脆弱性評価部１２は、脆弱性評価項目１１ａと、物理セキュリティ状態３２とを入力データとして、脆弱性評価結果１２ａを出力する。
（３）対策一覧生成部１３は、脆弱性評価結果１２ａと、システム構成情報６０と、脆弱性ＤＢ４０の脆弱性情報４００と、脆弱性対策ＤＢ５０の脆弱性対策情報５００とを入力データとして、脆弱性対策の一覧を示す対策一覧１３ａを出力する。
（４）対策生成部１４は、対策一覧１３ａと、対策ポリシー３３とを入力データとして、脆弱性の対策案１４ａを生成する。
（５）レポート生成部１５は、対策案１４ａを入力データとして、レポート１５ａを出力する。

　脆弱性ＤＢ４０と脆弱性対策ＤＢ５０とは、検査装置１０１にあってもよいし、外部機器のデータベースとして存在してもよいし、インターネット上に存在してもよい。

　検査装置１０１は、システムを構成する機器のいずれかの機器で兼用しても良いし、システムを構成する機器とは別の機器として設置しても良い。
　検査装置１０１の機能要素である、評価項目生成部１１、脆弱性評価部１２、対策一覧生成部１３、対策生成部１４及びレポート生成部１５の機能を説明する。
対策一覧生成部１３

　評価項目生成部１１は、監査対象のシステムの脆弱性を決定する監査ポリシー３１と、システム構成情報６０とに沿って、脆弱性情報が登録された脆弱性ＤＢ４０から、対象の制御システムで監査が必要な脆弱性情報を抽出し、抽出した脆弱性情報から脆弱性評価項目１１ａを生成する。

　脆弱性評価部１２は、脆弱性評価項目１１ａに沿って、実際に制御システムに対して脆弱性の評価を実施し、脆弱性評価結果１２ａを生成する。評価は、パスワードの運用など制御システム以外の状態はユーザから入力された物理セキュリティ状態３２での実施、過去に入力された物理セキュリティ状態３２または過去の状態を組み合わせて実施することも可能である。

　対策一覧生成部１３は、脆弱性評価結果１２ａを参照して、対象となる脆弱性の特徴を脆弱性ＤＢ４０から抽出し、抽出された脆弱性の特徴に必要な複数の対策が登録された脆弱性対策ＤＢ５０から、抽出された脆弱性の特徴に必要な対策を抽出し、システム構成情報６０を参照して、脆弱性対策ＤＢ１７から抽出された「対策」の実施可否を確認し、対策の対策一覧１３ａを作成する。

　対策生成部１４は、対策一覧１３ａを参照して、システム構成機器の対策可否、制約条件、ネットワーク構成のような情報と、ユーザによって入力された対策ポリシー３３とに沿って、脆弱性の対策案１４ａを生成する。対策案１４ａは、ベンダー推奨対策と、システム推奨対策も生成する。制約条件とは、システムを構成する機器の使用において、守るべき条件である。

　レポート生成部１５は、対策案１４ａから、脆弱性の情報、脅威、評価結果、対策などを整理し、レポート１５ａを作成し、ユーザに通知する。

　図２は、検査装置１０１のハードウェア構成を示す。図２において、検査装置１０１は、プロセッサ７１０、主記憶装置７２０、補助記憶装置７３０及び通信装置７４０を備える。プロセッサ７１０は、他のハードウェアと信号線で接続されている。

　主記憶装置７２０は、メモリなどの記憶する機能を持つ装置である。補助記憶装置は、不揮発性の記憶装置である。補助記憶装置７３０は、評価項目生成部１１、脆弱性評価部１２、対策一覧生成部１３、対策生成部１４及びレポート生成部１５の機能を実現する検査プログラム１０Ｐを格納している。また補助記憶装置７３０は、監査ポリシー３１、物理セキュリティ状態３２、対策ポリシー３３、システム構成情報６０、脆弱性評価項目１１ａ、脆弱性評価結果１２ａ、対策一覧１３ａ、対策案１４ａ、及びレポート１５ａのような情報を記憶している。補助記憶装置７３０の情報はプロセッサ７１０が主記憶装置７２０にロードし、主記憶装置７２０から読み込む。

　評価項目生成部１１、脆弱性評価部１２、対策一覧生成部１３、対策生成部１４、及びレポート生成部１５の機能は、検査プログラム１０１Ｐにより実現される。
プロセッサ７１０は、検査プログラム１０１Ｐを実行する。検査プログラム１０１Ｐは、コンピュータ読み取り可能な記録媒体に格納されて提供されてもよいし、プログラムプロダクトとして提供されてもよい。

　通信装置７４０は、図１に示す監査ポリシー３１、物理セキュリティ状態３２、対策ポリシー３３、システム構成情報６０、脆弱性ＤＢ１６の情報、脆弱性対策ＤＢ１７の情報を、入力データとして外部機器から受け取る。また通信装置７４０は、脆弱性評価部１２による評価を実施する場合、レポート１５ａを外部出力機器に送る場合に、通信を実行する。通信装置７４０は通信インターフェースを持つ。通信装置７４０は、インターフェースを、１つもしくは複数持つ。

＊＊＊検査装置１０１の全体動作＊＊＊
　図３は、検査装置１０１の動作を示している。図３を用いて、検査装置１０１の動作を説明する。検査装置１０１の動作手順は、検査方法に相当する。検査装置１０１の動作を実現するプログラムは、検査プログラム１０１Ｐに相当する。

＜ステップＳ１０＞
　ステップＳ１０において、検査装置１０１には、監査ポリシー３１、システム構成情報６０、脆弱性情報４００が入力される。

＜ステップＳ２０＞
　ステップＳ２０において、評価項目生成部１１は、ステップＳ１０で入力された情報から、検査対象の制御システムの監査に必要な、脆弱性評価項目１１ａを生成する。脆弱性評価項目１１ａを生成する詳細な処理フローは図４で後述する。

＜ステップＳ３０＞
　ステップＳ３０において、脆弱性評価部１２は、ステップＳ２０で生成された脆弱性評価項目１１ａに沿って、検査対象の制御システムの脆弱性を評価する。この際、脆弱性評価部１２は、物理セキュリティ状態３２、後述するステップＳ３１ａのスキャン結果及び過去の評価結果を利用した脆弱性の評価を実施する。脆弱性評価部１２は、これらは１つもしくは複数を組み合わせて評価を実施する。このように、脆弱性評価部１２は、過去に生成した評価結果を用いて、新たに評価結果を生成してもよい。脆弱性評価を実施する詳細なフローは図７で後述する。

＜ステップＳ４０＞
　ステップＳ４０において、対策一覧生成部１３は、ステップＳ３０で生成された脆弱性評価結果１２ａを基に、システム構成情報６０と、脆弱性情報と、脆弱性対策情報とから、考えられる対策の対策一覧１３ａを生成する。対策一覧１３ａを生成する詳細なフローは図８で後述する。

＜ステップＳ５０＞
　ステップＳ５０において、対策生成部１４には、ユーザによって作成された対策ポリシー３３が入力される。

　ステップＳ６０において、対策生成部１４は、ステップＳ４０で生成された対策一覧１３ａを基に、ベンダーが推奨する対策方法に沿って、ベンダー推奨対策を生成する。ベンダー推奨対策を生成する詳細なフローは図１１で後述する。

＜ステップＳ７０＞
　ステップＳ７０において、対策生成部１４は、ステップＳ４０で生成された対策の対策一覧１３ａを基に、システム推奨対策を生成する。システム推奨対策を生成する詳細なフローは図１２で後述する。

＜ステップＳ８０＞
　ステップＳ８０において、レポート生成部１５は、ステップＳ３０で生成された脆弱性の評価結果及びステップＳ６０で生成されたベンダー推奨対策案、ステップＳ７０で生成されたシステム推奨対策からレポートを作成する。

＜ステップＳ９０＞
　ステップＳ９０において、レポート生成部１５は、ステップＳ８０で生成したレポートを出力し、処理を終了する。
　レポート生成部１５は、検査機器及び検査装置１０１にアクセス可能な機器に対して、レポート１５ａを出力できる。すなわち、レポート生成部１５は、検査機器及び検査装置１０１にアクセス可能な機器である他の装置で動作するアプリケーションプログラムと連携することにより、生成された対策情報である対策案１４ａを、他の装置へ出力することができる。

　図４は、評価項目生成部１１によるステップＳ２０の詳細を示す。図４を用いて、ステップＳ２０の詳細を説明する。ステップＳ２０は、評価項目生成部１１による、脆弱性評価項目１１ａを生成するステップである。
　評価項目生成部１１は、複数の機器を備えるシステムの構成を示すシステム構成情報６０と、複数の機器の脆弱性を示す脆弱性情報４００とに基づいて、機器ごとに、機器と、機器の脆弱性の評価方法と、評価方法の実行結果の判定基準とが対応付いた脆弱性評価項目１１ａを生成する。以下に、評価項目生成部１１による脆弱性評価項目１１ａの生成を具体的に説明する。

＜ステップＳ２１＞
　ステップＳ２１において、評価項目生成部１１は、入力された脆弱性情報４００の「対象機器型番４０２、対象機器バージョン４０３」と、システム構成情報６０の「機器型番６２、機器バージョン６３」とを比較して、対象の制御システムを構成する機器の脆弱性情報を、入力された脆弱性情報から抽出する。
　図５は、入力される脆弱性情報４００を示す。図５に示す脆弱性情報４００は、少なくとも脆弱性名４０１、対象機器型番４０２、対象機器バージョン４０３、ＣＶＳＳ情報４０４、攻撃元情報４０５、攻撃の種類４０６、攻撃の条件４０７、ベンダー推奨対策４０８、評価方法４０９、評価の判定基準４１０を含む。脆弱性情報４００は、既知の脆弱性の全てまたは一部に対して、作成もしくは配布され、存在するものとする。

　図６は、評価項目生成部１１に入力される、システム構成情報６０を示す。図６に示すシステム構成情報６０は、少なくとも、システム構成機器名６１、機器型番６２、機器バージョン６３、機器分類６４、通信情報６５、各通信情報の経路６６、Ｉ／Ｆ情報６７、制約条件６８を含む。

＜ステップＳ２１＞
　ステップＳ２１では、脆弱性情報４００の「対象機器型番４０２、対象機器バージョン４０３」と、システム構成情報６０の「機器型番６２、機器バージョン６３」とによって、評価項目生成部１１が、脆弱性情報とシステム構成情報とを応付ける。
　システム構成情報６０は、対象の制御システムを構成する機器のすべてに対して存在する。システム構成情報６０は、モデル、システム構成情報など既存の情報から自動で作成されても、システム構成情報に沿って手動で作成されてもよい。

＜ステップＳ２２＞
　ステップＳ２２において、ステップＳ２１で入力された、すべてのシステム構成情報６０に対して、脆弱性情報の抽出が完了した場合、評価項目生成部１１の処理は、ステップＳ２３に進む。脆弱性情報の抽出が完了していない機器がある場合、評価項目生成部１１は、ステップＳ２１の処理を繰り返す。

＜ステップＳ２３＞
　ステップＳ２３において、評価項目生成部１１は、ユーザによって入力された監査ポリシー３１に沿って、監査対象とする脆弱性情報を抽出する。監査ポリシー３１は、少なくともＣＶＳＳや機密性、完全性、可用性、攻撃の種類などの指定または新規脆弱性のみなどを指定することが可能である。このように、評価項目生成部１１は、ユーザから、脆弱性評価項目１１ａを作成するためのポリシーを示す監査ポリシー３１を受け付ける。評価項目生成部１１は、受け付けた監査ポリシー３１に基づいて、脆弱性評価項目１１ａを生成する。

＜ステップＳ２４＞
　ステップＳ２４において、脆弱性情報に記載された評価方法４０９がスキャンの場合、評価項目生成部１１の処理はステップＳ２５に進む。評価方法がスキャン以外の場合、評価項目生成部１１の処理はステップＳ２６に進む。

＜ステップＳ２５＞
　ステップＳ２５において、評価項目生成部１１は、スキャンに必要な評価プログラムと、脆弱性情報に記載されている評価の判定基準とを設定する。評価プログラムは評価方法４０９に記載されている。

＜ステップＳ２６＞
　ステップＳ２６において、脆弱性情報に記載された評価方法４０９の内容がユーザ入力の場合、評価項目生成部１１の処理は、ステップＳ２７に進む。評価方法がユーザ入力以外、例えば未記載などの場合、評価項目生成部１１の処理は、ステップＳ２８に進む。

＜ステップＳ２７＞
　ステップＳ２７において、評価項目生成部１１は、ユーザに入力してもらうための文章などのユーザ入力項目と、脆弱性情報に記載の評価の判定基準４１０とを設定する。

＜ステップＳ２８＞
　ステップＳ２８において、評価項目生成部１１は、ステップＳ２３で抽出された脆弱性情報の攻撃元情報４０５、攻撃の種類４０６及び攻撃の条件４０７から評価方法を決定する。例えば、図５の脆弱性情報の攻撃元情報４０５にＦＴＰ、攻撃の種類４０６に不正アクセスが記載されていた場合、評価方法として、評価項目生成部１１は、検査装置１０１から該当機器のＦＴＰに対してスキャンを実施すると決定し、必要な情報を設定する。ただし、スキャン及びユーザ入力の両方が必要な場合は、評価項目生成部１１は、ステップＳ２５、ステップＳ２７の設定を行う。

＜ステップＳ２９＞
　ステップＳ２９において、評価項目生成部１１は、ステップＳ２３で抽出したすべての脆弱性情報に対して評価方法のチェックが完了した場合、処理を終了する。完了していない場合、評価項目生成部１１は、ステップＳ２４からステップＳ２８の処理を繰り返す。
　ステップＳ２９でＹＥＳとなった場合、機器ごとに、機器と、機器の脆弱性の評価方法と、評価方法の実行結果の判定基準とが対応付いた脆弱性評価項目１１ａが生成される。

　図７は、ステップＳ３０における脆弱性評価部１２の動作の詳細を示している。図７を参照して、図３に示すステップＳ３０の脆弱性評価を実施する詳細な処理フローを説明する。
　脆弱性評価部１２は、脆弱性評価項目１１ａに記載された評価方法を実行し、評価方法の実行結果を判定基準と比較することで、機器の脆弱性の評価結果を示す脆弱性評価結果１２ａを生成する。
　以下に、評価項目生成部１１による脆弱性評価項目１１ａの生成を具体的に説明する。

＜ステップＳ３１＞
　ステップＳ３１において、入力された脆弱性評価項目１１ａの評価方法が「対象機器に対するスキャン」の場合、脆弱性評価部１２の処理は、ステップＳ３１ａに進む。評価方法がスキャンではない場合、脆弱性評価部１２の処理は、ステップＳ３２に進む。

＜ステップＳ３１ａ＞
　ステップＳ３１ａにおいて、脆弱性評価部１２は、評価方法に従って対象機器をスキャンし、判定に必要なセキュリティ状態を対象機器から取得する。

＜ステップＳ３２＞
　ステップＳ３２において、入力された脆弱性評価項目１１ａの評価方法が物理セキュリティの確認の場合、脆弱性評価部１２の処理は、ステップＳ３２ａに進む。評価方法が物理セキュリティの確認ではない場合、脆弱性評価部１２の処理は、ステップＳ３３に進む。

＜ステップＳ３２ａ＞
　ステップＳ３２ａにおいて、脆弱性評価部１２は、評価方法に沿って、ユーザに確認するべき項目を出力し、ユーザから物理セキュリティ状態３２を取得する。

＜ステップＳ３３＞
　ステップＳ３３において、全ての脆弱性評価項目に対して確認が完了した場合、脆弱性評価部１２の処理はステップＳ３４に進む。確認が完了していない場合、脆弱性評価部１２は、ステップＳ３１からステップＳ３３を繰り返す。

＜ステップＳ３４＞
　ステップＳ３４において、オフラインなどの理由により、セキュリティ状態が取得できなかった評価項目がある場合、脆弱性評価部１２の処理は、ステップＳ３５に進む。すべてのセキュリティ状態が取得できた場合、脆弱性評価部１２の処理は、ステップＳ３８に進む。

＜ステップＳ３５＞
　ステップＳ３５において、過去に実施された実機スキャン結果もしくは過去に入力された物理セキュリティ状態が存在する場合、脆弱性評価部１２の処理はステップＳ３６に進む。過去に実施した評価結果が存在しない場合、ステップＳ３７に進む。

＜ステップＳ３６＞
　ステップＳ３６において、脆弱性評価部１２は、過去に実施したスキャン結果および過去に入力された物理セキュリティの入力結果から、脆弱性評価に必要な結果を抽出する。

＜ステップＳ３７＞
　ステップＳ３７において、評価に必要なセキュリティ状態が取得できないため、脆弱性評価部１２は、脆弱性情報４００に対し脆弱性ありと判定されるように結果を追加する。

＜ステップＳ３８＞
　ステップＳ３８において、脆弱性評価部１２は、ステップＳ３１ａ、ステップＳ３２ａ、ステップＳ３６、ステップＳ３７で取得したそれぞれのセキュリティ状態を、各脆弱性における評価の判定基準４１０と比較し、比較結果を脆弱性評価結果１２ａとして出力する。

　図８は、ステップＳ４０の対策一覧生成部１３の動作の詳細を示している。図８を用いて、図３に示すステップＳ４０の対策一覧１３ａを生成する詳細なフローを説明する。

＜ステップＳ４１＞
　ステップＳ４１において、対策一覧生成部１３は、脆弱性評価部１２による脆弱性評価結果１２ａを参照して、対策が必要な脆弱性情報の攻撃の種類４０６に対する対策５０２を、脆弱性対策情報５００から抽出し、対策一覧１３ａを生成する。
　具体的には、対策一覧生成部１３は、脆弱性評価結果１２ａから判定基準に満たない機器を抽出し、抽出した機器の脆弱性対策を、複数の種類の脆弱性対策を保有する脆弱性対策データベース５０から取得し、取得した脆弱性対策と機器を識別する識別情報とを含む対策一覧１３ａを生成する。後述の図１０において機器の名称を示すシステム構成機器１３１は、機器の識別情報である。

　攻撃の種類４０６は脆弱性対策情報５００において攻撃の種類５０１として対応付いている。
　図９は、脆弱性対策情報５００を示す。脆弱性対策情報５００は、少なくとも攻撃の種類５０１、対策５０２、対策機器分類５０３を持つ。脆弱性対策情報５００は、１つの攻撃の種類５０１に対して、１つまたは複数の対策５０２が存在してもよい。脆弱性評価部１２は、図５の攻撃の種類４０６と、図９の攻撃の種類とから図９の対策５０２を抽出できる。

＜ステップＳ４２＞
　ステップＳ４２において、ステップＳ４１で抽出した対策５０２に脆弱性情報４００に示すベンダー推奨対策４０８が含まれている場合、対策一覧生成部１３の処理は、ステップＳ４４に進む。ベンダー推奨対策４０８が含まれていない場合、対策一覧生成部１３の処理は、ステップＳ４３に進む。

＜ステップＳ４３＞
　ステップＳ４３において、対策一覧生成部１３は、ステップＳ４１で生成した対策一覧１３ａに、ベンダー推奨対策４０８を追加する。また、対策一覧生成部１３は、脆弱性対策情報５００にもベンダー推奨対策４０８を追加登録する。

＜ステップＳ４４＞
　ステップＳ４４において、対策一覧生成部１３は、ステップＳ４１で生成された対策一覧１３ａのうち、ベンダー推奨対策４０８をチェックする。

＜ステップＳ４５＞
　ステップＳ４５において、対策一覧生成部１３は、ステップＳ４１で生成された対策一覧１３ａに、対策機器分類５０３に合致する機器を、システム構成情報６０から取得し、対策一覧１３ａに、システム構成機器名６１を追加する。このとき、対策一覧生成部１３は、制約条件１３６のような情報なども対策一覧１３ａに追加する。
　図１０は、ステップＳ４５で生成される対策一覧１３ａを示す。対策一覧１３ａは、少なくとも、システム構成機器１３１、機器分類１３２、通信１３３、インターフェース１３４、各インターフェースの経路１３５、制約条件１３６、設置場所１３７、脆弱性１３８ａとその対策１３８ｂ、脆弱性を持つ機器１３９、攻撃の種類１４０、対策機器候補１４１及びベンダー推奨対策１４２が含まれる。

＜ステップＳ４６＞
　ステップＳ４６において、脆弱性評価の結果、対策一覧生成部１３は、対策が必要な全ての脆弱性情報に対して対策の抽出が完了した場合、処理を終了する。対策の抽出が完了していない場合、対策一覧生成部１３は、ステップＳ４１からステップＳ４５を繰り返す。

　図１１は、ステップＳ６０の動作の詳細を示している。図１１を用いて、図３に示すステップＳ６０のベンダー推奨対策を含む対策案１４ａを生成する詳細な処理フローである、ステップＳ６１からステップＳ６７を説明する。

　対策生成部１４は、対策一覧１３ａに含まれる脆弱性対策が、識別情報で識別される機器への脆弱性対策として実施できるかどうかを判定し（ステップＳ６１）、実施できると判定すると、脆弱性対策を含む対策情報である対策案１４ａを生成する（ステップＳ６７）。

　対策一覧生成部１３は、抽出した機器の脆弱性対策として、抽出した機器のベンダーが推奨する脆弱性対策であるベンダー推奨対策を脆弱性対策データベース５０から取得する。対策生成部１４は、ベンダー推奨対策が実施できると判定すると、ベンダー推奨対策を含む対策情報である対策案１４ａを生成する。
　以下に、対策生成部１４による対策案１４ａの生成を具体的に説明する。

＜ステップＳ６１＞
　ステップＳ６１において、対策生成部１４は、該当する制御システムを構成する各機器に対して、対策一覧１３ａの制約条件１３６から脆弱性対策の実施可否をチェックする。図１０に示すように、対策一覧１３ａは、機器ごとに異なる機器の制約条件を含んでいる。対策生成部１４は、機器ごとの制約条件を満たす対策情報である対策案１４ａを生成する。対策案１４ａの生成の説明を続ける。

＜ステップＳ６２＞
　ステップＳ６２において、ステップＳ６１で全ての脆弱性対策について実施可否の確認が完了した場合、対策生成部１４の処理は、ステップＳ６３に進む。全ての対策について確認が完了していない場合、対策生成部１４の処理は、ステップＳ６１を繰り返す。

＜ステップＳ６３＞
　ステップＳ６３において、対策生成部１４は、対策一覧１３ａから各脆弱性情報に対するベンダー推奨対策１４２を抽出する。

＜ステップＳ６４＞
　ステップＳ６４において、ステップＳ６３で抽出したすべてのベンダー推奨対策１４２が各機器で実施可能である場合、対策生成部１４の処理は、ステップＳ６７に進む。ベンダー推奨対策が実施できない機器がある場合、対策生成部１４の処理は、ステップＳ６５に進む。

＜ステップＳ６５＞
　ステップＳ６５において、対策生成部１４は、ベンダー推奨対策１４２が実施できない機器に対する対処方法を、ユーザが入力する対策ポリシー３３から読込む。例えば、該当機器を停止できない場合は、該当機器に隣接する機器で対策するなどである。

＜ステップＳ６６＞
　ステップＳ６６において、対策生成部１４は、ステップＳ６５で読込んだ対策ポリシー３３に沿って、ベンダー推奨対策の実施できない機器に対して実施可能な対策を、対策一覧１３ａから抽出する。実施可能な対策は図１０の対策一覧１３ａの脆弱性１３８ａとその対策１３８ｂにおける対策である。

＜ステップＳ６７＞
　ステップＳ６７において、対策生成部１４は、ステップＳ６３及びステップＳ６６で抽出した対策を、ベンダー推奨対策として決定し、決定したベンダー推奨対策を対策案１４ａとして出力する。

　図１２は、図３に示すステップＳ７０のシステム推奨対策を生成する詳細な処理フローである。ステップＳ７１からステップＳ７９ｄを説明する。

　対策生成部１４は、対策一覧１３ａに含まれる脆弱性対策が、識別情報で識別される機器への脆弱性対策として実施できるかどうかを判定し（ステップＳ７１）、実施できると判定すると、脆弱性対策を含む対策情報である対策案１４ａを生成する（ステップＳ７９ｄ）。

　以下に、対策生成部１４による対策案１４ａの生成について、具体例を用いて説明する。脆弱性評価項目１１ａにおいて、脆弱性Ｘと脆弱性Ｙがあるとする。脆弱性Ｘには対策Ｘが対応付いており、対策Ｘには機器１、機器２及び機器３が対応付いている。脆弱性Ｙには対策Ｙが対応付いており、対策Ｙには機器４、機器５及び機器６が対応付いている。

　以下の処理においてステップＳ７９ｄで得られる対策案１４ａが、システム全体として、最適な対策案１４ａである。

＜ステップＳ７１＞
　ステップＳ７１において、対策生成部１４は、脆弱性Ｘについて処理を行う。
　対策生成部１４は、対策一覧１３ａの対策Ｘを機器１に実施した場合に、対策Ｘの効果が対策Ｘを実施した機器１にあるかどうかを判定する。効果がある場合、対策生成部１４の処理は、ステップＳ７２に進む。
　対策Ｘの効果がないと判定した場合は、対策生成部１４の処理は、ステップＳ７３に進む。例えば、脆弱性を持つ機器にバージョンアップするという対策Ｘを実施すると脆弱性が解決できる場合は、対策生成部１４は、対策Ｘの効果があると判断する。

　なお、対策生成部１４が、ステップＳ７１で、脆弱性対策の効果があるかどうかを判定することは、対策一覧１３ａに含まれる脆弱性対策が、識別情報で識別される機器への脆弱性対策として実施できるかどうかを判定することを意味する。

＜ステップＳ７２＞
　ステップＳ７２において、対策生成部１４は、ステップＳ７１で対策Ｘの効果があると判定した機器１を、対策Ｘを実施する機器として設定する。

＜ステップＳ７３＞
　ステップＳ７３において、対策生成部１４は、他の機器である機器２及び機器３に対策Ｘの効果があるか判定し、効果がある場合、対策生成部１４の処理は、ステップＳ７４に進む。機器２，３へ対策効果がない場合、対策生成部１４の処理はステップＳ７５に進む。例えば、ルータなどで通信フィルタを実施する場合は、このルータに接続された機器に対策の効果がある。これは、対策を実施した機器以外の機器に対策の効果がある場合に該当する。

＜ステップＳ７４＞
　ステップＳ７４において、対策生成部１４は、脆弱性情報の攻撃元情報４０５と、システム構成情報６０の経路情報である各通信情報の経路６６とを参照することにより、対策Ｘの効果のある機器を抽出し、対策Ｘの効果がある機器として設定する。

＜ステップＳ７５＞
　ステップＳ７５において、全ての機器１，２，３について対策Ｘの効果のチェックが完了した場合、対策生成部１４の処理は、ステップＳ７６に進む。すべての機器１，２，３についての効果のチェックが未完了の場合、対策生成部１４はステップＳ７１からステップＳ７４を繰り返す。つまり、機器１について処理した後は、対策生成部１４は、機器２、機器３の順に処理する。

＜ステップＳ７６＞
　ステップＳ７６において、対策生成部１４は、ユーザが入力した対策ポリシー３３に沿って、ステップＳ７１からステップＳ７５でチェックされた機器１、２，３から１つを選定する。例えば、対策ポリシー３３が、「最小の変更となる対策を選択する」の場合、対策生成部１４は、機器１から機器３のうち、ステップＳ７２及びステップＳ７４で設定された機器の数が一番多い機器を選定する。
対策生成部１４は機器１を選定したとする。

＜ステップＳ７７＞
　ステップＳ７７において、対策生成部１４は、ステップＳ７６で選定した機器１を、機器候補として登録する。

＜ステップＳ７８＞
　ステップＳ７８において、対策生成部１４は、ステップＳ７６で選定した機器１によって、脆弱性Ｘを持つすべての機器に対して対策Ｘが可能となる場合、対策生成部１４の処理はステップＳ７９へ進む。対策Ｘを適用できない脆弱性Ｘを持つ機器がある場合、対策生成部１４は、ステップＳ７６からステップＳ７７を繰り返す。

＜ステップＳ７９＞
　ステップＳ７９において、脆弱性Ｘに対応するすべての対策に関して確認が完了した場合、対策生成部１４の処理は、ステップＳＳ７９ａに進む。全対策の確認が完了していない場合、対策生成部１４は、ステップＳ７１からステップＳ７８を繰り返す。この例では、脆弱性Ｘの対策は対策Ｘのみであるので対策生成部１４の処理は、ステップＳＳ７９ａに進む。例えば、脆弱性Ｘに対策Ｘ１と対策Ｘ２がある場合、対策Ｘ２の確認のため、対策生成部１４の処理は、ステップＳ７１からステップＳ７８を繰り返す。

＜ステップＳＳ７９ａ＞
　ステップＳＳ７９ａにおいて、対策生成部１４は、ユーザが入力した対策ポリシー３３に沿って、ステップＳ７７で機器候補として登録された機器に対応する対策から、１つ選定する。この例では機器１のみが登録されているので対策Ｘが選定される。例えば、脆弱性Ｘに、機器２１から機器２３が対応する対策Ｘ１、機器２４から機器２６が対応する対策Ｘ２、及び、機器２７から機器２９が対応する対策Ｘ３が対応付いている場合に、ステップＳ７７で、機器２１、機器２４及び機器２７が候補機器として登録されたとする。そてし、対策ポリシー３３が「制御機器以外の機器で対策する」であるような場合、対策生成部１４は、制御機器以外のルータのような機器に対応する対策を選択する。機器２１及び機器２４が制御機器であり機器２７がルータであれば、対策生成部１４は、機器２７に対応する対策Ｘ３を選択する。

＜ステップＳＳ７９ｂ＞
　ステップＳＳ７９ｂにおいて、対策生成部１４は、ステップＳＳ７９ａで選定した対策を、脆弱性の対策候補として登録する。

＜ステップＳＳ７９ｃ＞
　ステップＳ７９ｃにおいて、全ての脆弱性に対して、対策の選定が完了した場合、対策生成部１４の処理はステップＳＳ７９ｄに進む。この例では、脆弱性Ｘ及び脆弱性Ｙに対して対策が選定される。全ての脆弱性について対策の選定が完了していない場合、対策生成部１４の処理は、ステップＳ７１からステップＳ７９ｂを繰り返す。この例では、脆弱性Ｘについてのチェックが完了した場合、処理はステップＳ７１に戻り、脆弱性Ｙのチェックが開始される。

　ステップＳ７９ｄにおいて、対策生成部１４は、機器の脆弱性の種類ごとに、脆弱性の種類と、種類に対応する脆弱性対策との組を生成し、脆弱性対策の同じ組を統合することによりシステムの脆弱性の対策として推奨するシステム推奨対策を、対策情報として生成する。生成される対策情報は対策案１４ａである。
　つまり、対策生成部１４は、ステップＳ７９ｂで登録した脆弱性対策で重複する対策の統合および各機器で実施する対策などを整理して、システム推奨対策を対策案１４ａとして生成し、処理を終了する。
　例えば、脆弱性Ｘについて対策ＸがステップＳ７９ｂで対策候補となり、対策Ｘが対応付いている脆弱性Ｚについて対策ＸがステップＳ７９ｂで対策候補となった場合、対策生成部１４は、脆弱性Ｘについての対策Ｘと、脆弱性Ｚについての対策Ｘとを統合する。例えば、対策生成部１４は、脆弱性Ｘと脆弱性Ｙとの両方に対策Ｘの効果があることを示す情報を生成する。

＊＊＊実施の形態１の効果＊＊＊
　以上のように、検査装置１０１では、評価項目生成部１１が、対象とするシステムに必要な脆弱性評価項目１１ａを生成し、脆弱性評価部１２が、脆弱性評価を実施する。このため、効率的にシステム全体として過不足なく脆弱性評価を実施することができる。
　検査装置１０１は、脆弱性に対して、ユーザが指定した対策ポリシー３３に沿って、対象システムに適した脆弱性の対策案を生成することができる。
　検査装置１０１は、ベンダー推奨対策も対策案として生成する。もし、ベンダー推奨対策案が対象システムで適用できない場合、システム推奨対策も生成することができる。
　検査装置１０１は、脆弱性評価から対策案の生成までを自動で実施できるので、効率がよい。
　さらに、ユーザの対策ポリシー３３に沿って、システム全体として最適な対策案が提示されるため、対策漏れを防ぐことができる。
　検査装置１０１では、脆弱性評価を、検査装置がプログラムを用いて実施するので、検査装置をつなげるだけで実施できる。

　検査装置１０１は、検査機器にアクセスできる機器へ結果を出力できるので、セキュリティ評価結果を、どのような場所からでも確認することができる。

　検査装置１０１は、過去の評価結果及びユーザ入力でも評価できるため、オフラインの環境でも実施可能である。また、脆弱性評価と、対策案１４ａの生成とを分割して実施することも可能である。

　実施の形態２．
　図１３から図１８を参照して実施の形態２を説明する。
図１３は、実施の形態２の検査装置１０２の機能ブロック図である。検査装置１０２のハードウェア構成は、図２の検査装置１０１の構成と同一である。

　検査装置１０２が、検査装置１０１と異なる点は以下のようである。図１に示すように、検査装置１０１には、監査ポリシー３１及び対策ポリシー３３が入力される。図１３に示すように、検査装置１０２には、監査ポリシー３１及び対策ポリシー３３は入力されない。検査装置１０２は、予め監査ポリシー３１及び対策ポリシー３３が、補助記憶装置７３０に格納されている。

　図１４は、検査装置１０２の動作の概要を示すフローチャートである。図１４は図３に対応する。ステップＳ１００からステップＳ４００が、ステップＳ１０からステップＳ４０に対応し、ステップＳ６００からステップＳ９００が、ステップＳ６０からステップＳ９０に対応する。対策ポリシー３３は入力されないので、図１４ではステップＳ５０に対応するステップはない。また、監査ポリシー３１は入力されないので、ステップＳ１００には監査ポリシー３１の記載はない。図１４を参照して、検査装置１０２の動作概要を説明する。

＜ステップＳ１００＞
　ステップＳ１００において、検査装置１０２には、システム構成情報６０、脆弱性情報４００が入力される。

＜ステップＳ２００＞
　ステップＳ２００において、評価項目生成部１１は、ステップＳ１００で入力された情報から、検査対象の制御システムの監査に必要な、脆弱性評価項目１１ａを生成する。脆弱性評価項目１１ａを生成する詳細な処理フローは図１５で後述する。

＜ステップＳ３００＞
　ステップＳ３００において、脆弱性評価部１２は、ステップＳ２００で生成された脆弱性評価項目１１ａに沿って、検査対象の制御システムの脆弱性を評価する。評価には、物理セキュリティ状態３２、後述のように実施の形態２でも実施する図７のフローにおけるステップＳ３１ａのスキャン結果及び過去の評価結果が利用される。物理セキュリティ状態３２、スキャン結果及び過去の評価結果は、単独または組み合わせて、脆弱性の評価に使用される。脆弱性の評価の実施は、実施の形態１で説明した図７のフローチャートと同一であるので、説明は省略する。

＜ステップＳ４００＞
　ステップＳ４００において、対策一覧生成部１３は、ステップＳ３００の脆弱性評価結果１２ａを基に、システム構成情報６０と、脆弱性情報と、脆弱性対策情報５００とから、考えられる対策一覧１３ａを生成する。対策一覧１３ａの生成は、図８のフローを活用する。

＜ステップＳ６００＞
　ステップＳ６００において、対策生成部１４は、ステップＳ４００で生成された対策一覧１３ａを基に、ベンダー推奨対策を含む対策案１４ａを生成する。ベンダー推奨対策を含む対策案１４ａを生成する詳細なフローは、図１６で後述する。

＜ステップＳ７００＞
　ステップＳ７００において、対策生成部１４は、ステップＳ４００で生成された対策一覧１３ａを基に、対象の制御システムに適したシステム推奨対策を、対策案１４ａとして生成する。システム推奨対策を生成する詳細なフローは、図１７で述する。

＜ステップＳ８００＞
　ステップＳ８００において、レポート生成部１５は、ステップＳ３００の脆弱性評価結果１２ａ、ステップＳ６００、ステップＳ７００で生成された対策案から、レポートを生成する。

＜ステップＳ９００＞
　ステップＳ９００において、レポート生成部１５は、ステップＳ８００で作成したレポート１５ａを出力する。レポート１５ａは、検査機器及び検査機器にアクセス可能な機器へ出力できる。

　図１５は、ステップＳ２００の動作の詳細を示している。図１５を用いて、ステップＳ２００の脆弱性評価項目１１ａを生成する詳細な処理フローを説明する。図１５は図４に対応する。ステップＳ２０１、ステップＳ２０２は、ステップＳ２１、ステップＳ２２に対応する。ステップＳ２０４からステップ２０９は、ステップＳ２４からステップＳ２９に対応する。監査ポリシー３１は検査装置１０２に入力されないので、図１５にはステップＳ２３に対応するステップはない。

＜ステップＳ２０１＞
　ステップＳ２０１において、評価項目生成部１１は、入力された脆弱性情報の「対象機器型番４０２、対象機器バージョン４０３」と、システム構成情報６０の「機器型番６２、機器バージョン６３」とを比較して、対象の制御システムを構成する機器の脆弱性情報を、入力された脆弱性情報から抽出する。

＜ステップＳ２０２＞
　ステップＳ２０２において、ステップＳ２０１で入力されたすべてのシステム構成情報６０に対して、脆弱性情報の抽出が完了した場合、評価項目生成部１１の処理は、ステップＳ２０４に進む。すべての機器に対して脆弱性情報の抽出が完了していない場合、評価項目生成部１１は、ステップＳ２０１を繰り返す。

＜ステップＳ２０４＞
　ステップＳ２０４において、脆弱性情報に記載された評価方法４０９がスキャンの場合、評価項目生成部１１の処理はステップＳ２０５に進む。評価方法がスキャン以外の場合、評価項目生成部１１の処理はステップＳ２０６に進む。

＜ステップＳ２０５＞
　ステップＳ２０５において、評価項目生成部１１は、スキャンに必要な評価プログラムと、脆弱性情報に記載の評価の判定基準とを設定する。評価プログラムは評価方法４０９に記載されている。

＜ステップＳ２０６＞
　ステップＳ２０６において、脆弱性情報に記載された評価方法４０９がユーザ入力の場合、評価項目生成部１１の処理は、ステップＳ２０７に進む。評価方法がユーザ入力以外、例えば未記載などの場合、評価項目生成部１１の処理はステップＳ２０８に進む。

＜ステップＳ２０７＞
　ステップＳ２０７において、評価項目生成部１１は、ユーザに入力してもらうためのユーザ入力項目と、脆弱性情報４００に記載の評価の判定基準４１０とを設定する。

＜ステップＳ２０８＞
　ステップＳ２０８において、ステップＳ２０１の結果を用いて、評価項目生成部１１は、抽出された脆弱性情報の攻撃の種類４０６から評価方法４０９を決定する。ただし、スキャンとユーザ入力との両方が必要な場合は、評価項目生成部１１は、ステップＳ２０５、ステップＳ２０７の設定を行う。

＜ステップＳ２０９＞
　ステップＳ２０９において、評価項目生成部１１は、ステップＳ２０１で抽出したすべての脆弱性情報に対して評価方法のチェックが完了した場合、処理を終了する。完了していない場合、評価項目生成部１１は、ステップＳ２０４からステップＳ２０８の処理を繰り返す。

　図１６は、ステップ６００の動作を示している。図１６を用いて、図１４に示すステップＳ６００のベンダー推奨対策案を生成する詳細な処理フローを説明する。図１６は図１１に対応する。ステップＳ６０１からステップＳ６０４は、ステップＳ６１からステップＳ６４に対応する。ステップＳ６０６及びステップＳ６０７は、ステップＳ６６及びステップＳ６７に対応する。検査装置１０２に対策ポリシー３３は入力されないので、ステップＳ６５に対応するステップはない。

＜ステップＳ６０１＞
　ステップＳ６０１において、対策生成部１４は、制御システムを構成する各機器に対して、対策一覧１３ａの制約条件１３６から対策の実施可否をチェックする。

＜ステップＳ６０２＞
　ステップＳ６０２において、ステップＳ６０１の全ての脆弱性対策について実施可否の確認が完了した場合、対策生成部１４の処理はステップＳ６０３に進む。全ての対策について確認が完了していない場合、対策生成部１４はステップＳ６０１を繰り返す。

＜ステップＳ６０３＞
　ステップＳ６０３において、対策生成部１４は、対策一覧１３ａから各脆弱性情報に対するベンダー推奨対策１６７を抽出する。

＜ステップＳ６０４＞
　ステップＳ６０４において、ステップＳ６０３で抽出したすべてのベンダー推奨対策１４２が各機器で実施可能である場合、対策生成部１４の処理はステップＳ６０７に進む。ベンダー推奨対策４０８が実施できない機器がある場合、対策生成部１４の処理はステップＳ６０６に進む。

＜ステップＳ６０６＞
　ステップＳ６０６において、対策生成部１４は、事前に準備されたポリシー、例えば該当機器を停止できない場合は、該当機器に隣接する機器で対策するなど、に沿って、ベンダー推奨対策が実施できない機器に対して、実施可能なベンダー推奨対策とは別の対策を抽出する。

＜ステップＳ６０７＞
　ステップＳ６０７において、対策生成部１４は、ステップＳ６０３、ステップＳ６０６で抽出した対策を、ベンダー推奨対策として決定し、決定したベンダー推奨対策を対策案１４ａとして出力する。
　図１７は、ステップＳ７００の動作を示す。図１７を用いて、図３に示すステップＳ７００のシステム推奨対策を生成する詳細なフローを説明する。図１７は図１２に対応する。ステップＳ７０１からステップＳ７０９は、ステップＳ７１からステップＳ７９に対応し、処理内容は、ステップＳ７１からステップＳ７９の処理内容に同様である。ステップＳ８００からステップＳ８０３は、ステップＳ７９ａからステップＳ７９ｄに対応し、処理内容は、ステップＳ７９ａからステップＳ７９ｄの処理内容に同様である。

＜ステップＳ７０１＞
ステップＳ７０１において、対策一覧１３ａの対策を機器に実施した場合に、その対策の効果が対策を実施した機器にある場合、対策生成部１４の処理は、ステップＳ７０２に進む。対策を実施した機器に効果がない場合は、対策生成部１４の処理は、ステップＳ７０３に進む。例えば、脆弱性を持つ機器にバージョンアップするという対策Ｘを実施すると脆弱性が解決できる場合は、対策生成部１４は、対策Ｘの効果があると判断する。

＜ステップＳ７０２＞
ステップＳ７０２において、対策生成部１４は、その対策の効果がある機器を、対策を実施する機器として設定する。

＜ステップＳ７０３＞
　ステップＳ７０３において、対策を実施した機器以外の機器に対策の効果がある場合、対策生成部１４の処理はステップＳ７０４に進む。対策を実施した機器以外の機器への対策の効果がない場合、対策生成部１４の処理はステップＳ７０５に進む。

＜ステップＳ７０４＞
ステップＳ７０４において、対策生成部１４は脆弱性情報の攻撃元情報４０５とシステム構成情報６０の経路情報である各通信情報の経路６６とを参照することにより、対策の効果のある機器を抽出し、対策による効果がある機器として設定する。

＜ステップＳ７０５＞
　ステップＳ７０５において、１つの対策に対して、全ての機器ついてのチェックが完了した場合、対策生成部１４の処理はステップＳ７０６に進む。チェック未完了の機器がある場合、対策生成部１４はステップＳ７０１からステップＳ７０４を繰り返す。

＜ステップＳ７０６＞
　ステップＳ７０６において、対策生成部１４は、対策一覧１３ａから，事前に準備された対策ポリシーに沿って、対策案を１つ選定する。例えば、対策ポリシーが、「最小の変更となる対策を選択する」の場合、対策生成部１４は、ステップＳ７０２、ステップＳ７０４で設定された機器が一番多い機器を選択する。

＜ステップＳ７０７＞
　ステップＳ７０７において、対策生成部１４は、ステップＳ７０６で選定した機器を、機器候補として登録する。

＜ステップＳ７０８＞
　ステップＳ７０８において、ステップＳ７０６で選定した対策対象機器によって、対策対象機器と同じ脆弱性を持つすべての機器に対して対策が可能となる場合、対策生成部１４の処理はステップＳ７０９へ進む。対策できない脆弱性を持つ機器がある場合、対策生成部１４の処理は、ステップＳ７０６からステップＳ７０７を繰り返す。

＜ステップＳ７０９＞
　ステップＳ７０９において、１つの脆弱性に対応するすべての対策の確認が完了した場合、対策生成部１４の処理はステップＳ８００に進む。確認が完了していない対策が存在する場合、対策生成部１４の処理はステップＳ７０１からステップＳ７０８を繰り返す。

＜ステップＳ８００＞
　ステップＳ８００において、対策生成部１４は、ステップＳ７０７で対策機器候補として登録された対策から、その攻撃における対策を１つ選定する。このとき、対策生成部１４は、事前に準備された対策ポリシーに沿って、対策を選定する。例えば、制御機器以外の機器で対策するポリシーの場合、ルータなど制御機器以外の対策を選択する。

＜ステップＳ８０１＞
　ステップＳ８０１において、対策生成部１４は、ステップＳ８００で選定した対策を、脆弱性の対策候補として登録する。

＜ステップＳ８０２＞
　ステップＳ８０２において、全ての脆弱性に対して、対策の選定が完了した場合、
対策生成部１４の処理は、ステップＳ８０３に進む。対策の選定が完了していない場合、ステップＳ７０１からステップＳ８０１を繰り返す。

＜ステップＳ８０３＞
　ステップＳ８０３において、対策生成部１４は、ステップＳ８０１で登録した脆弱性対策で重複する対策の統合および各機器で実施する対策を整理し、対策案１４ａとしてシステム推奨対策を生成し、処理を終了する。

＊＊＊実施の形態２の効果＊＊＊
　以上のように、検査装置１０２は、監査ポリシー３１及び対策ポリシー３３が入力されなくても、あらかじめ準備されたポリシーを利用して脆弱性評価及び脆弱性対策の生成が可能である。検査装置１０２の一部機能を検査装置１０１の機能と入れ替えること、あるいは検査装置１０２の一部機能を検査装置１０１の機能と組み合わせてもよい。これにより、ユーザが入力する監査ポリシーまたは対策ポリシーのどちらかがある場合、入力されたポリシーのみ利用することが可能になる。

＜ハードウェア構成の補足＞
　図２の検査装置１０１では検査装置１０１の機能がソフトウェアで実現されるが、検査装置１０１の機能がハードウェアで実現されてもよい。
以下では検査装置１０１について説明する。以下の検査装置１０１の説明は検査装置１０２にも当てはまる。
図１８は、検査装置１０１の機能がハードウェアで実現される構成を示す。
図１８の電子回路８００は、検査装置１０１の、評価項目生成部１１、脆弱性評価部１２，対策一覧生成部１３及び対策生成部１４，レポート生成部１５の機能を実現する専用の電子回路である。電子回路８００は、信号線８１０に接続している。電子回路８００は、具体的には、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ、ＡＳＩＣ、または、ＦＰＧＡである。ＧＡは、Ｇａｔｅ　Ａｒｒａｙの略語である。ＡＳＩＣは、Ａｐｐｌｉｃａｔｉｏｎ　Ｓｐｅｃｉｆｉｃ　Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔの略語である。ＦＰＧＡは、Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙの略語である。検査装置１０１の構成要素の機能は、１つの電子回路で実現されてもよいし、複数の電子回路に分散して実現されてもよい。また、検査装置１０１の構成要素の一部の機能が電子回路で実現され、残りの機能がソフトウェアで実現されてもよい。

　プロセッサ７１０と電子回路８００の各々は、プロセッシングサーキットリとも呼ばれる。検査装置１０１において、評価項目生成部１１、脆弱性評価部１２，対策一覧生成部１３及び対策生成部１４，レポート生成部１５、主記憶装置７２０及び補助記憶装置７３０の機能の機能が、プロセッシングサーキットリにより実現されてもよい。

　１０１，１０２　検査装置、１０１Ｐ　検査プログラム、１１　評価項目生成部、１１ａ　脆弱性評価項目、１２　脆弱性評価部、１２ａ　脆弱性評価結果、１３　対策一覧生成部、１３ａ　対策一覧、１３１　システム構成機器、１３２　機器分類、１３３　通信、１３４　インターフェース、１３５　各インターフェースの経路、１３６　制約条件、１３７　設置場所、１３８ａ　脆弱性、１３８ｂ　対策、１３９　脆弱性を持つ機器、１４０　攻撃の種類、１４１　対策機器候補、１４２　ベンダー推奨対策、１４　対策生成部、１４ａ　対策案、１５　レポート生成部、１５ａ　レポート、３１　監査ポリシー、３２　物理セキュリティ状態、３３　対策ポリシー、４０　脆弱性ＤＢ、４００　脆弱性情報、４０１　脆弱性名、４０２　対象機器型番、４０３　対象機器バージョン、４０４　ＣＶＳＳ情報、４０５　攻撃元情報、４０６　攻撃の種類、４０７　攻撃の条件、４０８　ベンダー推奨対策、４０９　評価方法、４１０　評価の判定基準、５０　脆弱性対策ＤＢ、５００　脆弱性対策情報、５０１　攻撃の種類、５０２　対策、５０３　対策機器分類、６０　システム構成情報、６１　システム構成機器名、６２　機器型番、６３　機器バージョン、６４　機器分類、６５　通信情報、６６　各通信情報の経路、６７　Ｉ／Ｆ情報、６８　制約条件、７１０　プロセッサ、７２０　主記憶装置、７３０　補助記憶装置、７４０　通信装置、７５０　信号線、８００　電子回路、８１０　信号線。

Claims (9)

1. 　複数の機器を備えるシステムの構成を示すシステム構成情報と、前記複数の機器の脆弱性を示す脆弱性情報とに基づいて、前記機器ごとに、前記機器と、前記機器の脆弱性の評価方法と、評価方法の実行結果の判定基準とが対応付いた脆弱性の評価項目を生成する評価項目生成部と、
   　前記評価項目に記載された前記評価方法を実行し、前記評価方法の実行結果を前記判定基準と比較することで、前記機器の脆弱性の評価結果を生成する脆弱性評価部と、
   　前記評価結果から前記判定基準に満たない前記機器を抽出し、抽出した前記機器の脆弱性対策を、複数の種類の脆弱性対策を保有する脆弱性対策データベースから取得し、取得した前記脆弱性対策と前記機器を識別する識別情報とを含む対策一覧を生成する対策一覧生成部と、
   　前記対策一覧に含まれる前記脆弱性対策が、前記識別情報で識別される前記機器への脆弱性対策として実施できるかどうかを判定し、実施できると判定すると、前記脆弱性対策を含む対策情報を生成する対策生成部と、
   を備える情報処理装置。
2. 　前記対策一覧生成部は、
   　抽出した前記機器の前記脆弱性対策として、抽出した前記機器のベンダーが推奨する脆弱性対策であるベンダー推奨対策を前記脆弱性対策データベースから取得し、
   　前記対策生成部は、
   　前記ベンダー推奨対策が実施できると判定すると、前記ベンダー推奨対策を含む対策情報を生成する請求項１に記載の情報処理装置。
3. 　前記対策生成部は、
   　前記機器の前記脆弱性の種類ごとに、前記脆弱性の種類と、前記種類に対応する前記脆弱性対策との組を生成し、前記脆弱性対策の同じ組を統合することにより前記システムの脆弱性の対策として推奨するシステム推奨対策を、前記対策情報として生成する請求項１に記載の情報処理装置。
4. 　前記情報処理装置は、さらに、
   　他の装置で動作するアプリケーションプログラムと連携することにより、生成された前記対策情報を、前記他の装置へ出力するレポート生成部を備える請求項１から請求項３のいずれか１項に記載の情報処理装置。
5. 　前記情報処理装置は、
   　前記システムを構成する前記複数の機器に含まれる機器と、前記システムを構成する前記複数の機器に含まれない機器との、いずれかである請求項１から請求項４のいずれか１項に記載の情報処理装置。
6. 　前記脆弱性評価部は、
   　過去に生成した評価結果を用いて、新たに評価結果を生成する請求項１から請求項５のいずれか１項に記載の情報処理装置。
7. 　前記対策一覧は、
   　前記機器ごとに異なる前記機器の制約条件を含み、
   　前記対策生成部は、
   　前記機器ごとの前記制約条件を満たす前記対策情報を生成する請求項１から請求項６のいずれか１項に記載の情報処理装置。
8. 　前記評価項目生成部は、
   　ユーザから、前記評価項目を作成するためのポリシーを示す監査ポリシーを受け付け、受け付けた前記監査ポリシーに基づいて、前記評価項目を生成する請求項１から請求項７のいずれか１項に記載の情報処理装置。
9. 　コンピュータに、
   　複数の機器を備えるシステムの構成を示すシステム構成情報と、前記複数の機器の脆弱性を示す脆弱性情報とに基づいて、前記機器ごとに、前記機器と、前記機器の脆弱性の評価方法と、評価方法の実行結果の判定基準とが対応付いた脆弱性の評価項目を生成する評価項目生成処理と、
   　前記評価項目に記載された前記評価方法を実行し、前記評価方法の実行結果を前記判定基準と比較することで、前記機器の脆弱性の評価結果を生成する脆弱性評価処理と、
   　前記評価結果から前記判定基準に満たない前記機器を抽出し、抽出した前記機器の脆弱性対策を、複数の種類の脆弱性対策を保有する脆弱性対策データベースから取得し、取得した前記脆弱性対策と前記機器を識別する識別情報とを含む対策一覧を生成する対策一覧生成処理と、
   　前記対策一覧に含まれる前記脆弱性対策が、前記識別情報で識別される前記機器への脆弱性対策として実施できるかどうかを判定し、実施できると判定すると、前記脆弱性対策を含む対策情報を生成する対策生成処理と、
   を実行させるプログラム。

Images