(57)【要約】      （修正有）【課題】脆弱性を低減するための対策やセキュリティテストを判断するリスク評価対策立案システムを提供する。【解決手段】リスク評価対策立案システム１は、脆弱性分析部８の分析結果に基づいてシステムに対する脅威を分析して脅威分析結果を出力する脅威分析処理部３と、脅威分析結果と脆弱性情報に基づいて脆弱性の影響を低減する対策立案を立案する対策立案部４と、対策立案に基づいてセキュリティテストを立案するセキュリティテスト立案部５と、セキュリティテストに基づいて評価を行って評価結果を出力する評価演算部６と、評価結果を処理してセキュリティ対策を生成する結果処理部７とを有する。【選択図】図１
2020166650.tif 000002
【特許請求の範囲】
【請求項１】
処理装置と記憶装置とを有し、システムに対する攻撃に関する対策立案及びセキュリティテストを立案するリスク評価対策立案システムであって、
前記記憶装置は、
脆弱性に関する脆弱性情報を格納する脆弱性データベースと、
製品情報を格納する製品情報データベースと、を記憶し、
前記処理装置は、
設計情報が入力される入力出力処理部と、
前記設計情報に基づいて、前記脆弱性を分析する脆弱性分析部と、
前記脆弱性分析部の分析結果に基づいて、前記システムに対する脅威を分析して脅威分析結果を出力する脅威分析処理部と、
前記脅威分析処理部から出力された前記脅威分析結果と前記脆弱性データベースに格納された前記脆弱性情報に基づいて、前記脆弱性の影響を低減する前記対策立案を立案する対策立案部と、
前記対策立案部で立案された前記対策立案に基づいて、前記セキュリティテストを立案するセキュリティテスト立案部と、
前記セキュリティテスト立案部で立案された前記セキュリティテストに基づいて評価を行って評価結果を出力する評価演算部と、
前記評価演算部で評価された前記評価結果を処理して、前記製品情報としてセキュリティ対策を生成して前記製品情報データベースに格納する結果処理部と、
を有することを特徴とするリスク評価対策立案システム。
【請求項２】
前記評価演算部は、
前記システムの複数の構成要素と、複数の前記構成要素の間の接続関係と、前記構成要素に関連する前記脆弱性情報に基づいて、前記攻撃の起点から前記構成要素につながる攻撃経路を生成し、
前記攻撃経路に存在する攻撃手法の順番と、前記攻撃手法に関連する前記脆弱性と、前記セキュリティテストとに基づいて、各構成要素が保持する資産価値と脅威事象を引き起こす発生確率を生成し、
前記対策立案部は、
前記発生確率を前記資産価値に対する要件以下の発生確率に低減するための追加対策を立案することを特徴とする請求項１に記載のリスク評価対策立案システム。
【請求項３】
前記対策立案部は、
前記対策立案の評価値を算出して優先順位を作成することを特徴とする請求項１に記載のリスク評価対策立案システム。
【請求項４】
製品出荷後に前記入力出力処理部に新規脆弱性情報が入力された場合に、前記新規脆弱性情報と過去の前記製品情報から、前記新規脆弱性情報が前記システムを構成する製品に該当するかを判定する製品該非判定部を更に有し、
前記評価演算部は、
前記製品該非判定部の判定の結果、前記新規脆弱性情報が前記製品に該当すると判定した場合に、前記新規脆弱性の前記製品への影響を評価し、
前記新規脆弱性の前記システムへの影響が前記資産価値に対する要件と比較し前記追加対策が必要かどうかを判定し、
前記対策立案部は、
前記追加対策が必要と判定された場合に、前記新規脆弱性の影響を低減するための前記追加対策を立案し、
前記結果処理部は、
前記製品情報として前記追加対策を生成して前記製品情報データベースに格納することを特徴とする請求項１に記載のリスク評価対策立案システム。
【請求項５】
前記脅威分析処理部は、
前記脆弱性分析部の前記分析結果に基づいて、前記資産価値と前記攻撃経路から前記攻撃手法の組み合わせを求めて、前記構成要素に存在する可能性のある前記脆弱性を特定することを特徴とする請求項１に記載のリスク評価対策立案システム。
【請求項６】
前記評価演算部は、
前記攻撃経路上に存在する前記攻撃手法と、攻撃される前記構成要素の順序を示す攻撃シナリオを生成し、
前記攻撃シナリオの中から、前記システムを構成する前記製品の前記資産価値に対する脅威事象を引き起こす攻撃パターンを特定することを特徴とする請求項１に記載のリスク評価対策立案システム。
【請求項７】
前記評価演算部は、
前記資産価値への前記攻撃経路の前記発生確率が、前記資産価値の要求レベル以下かを判定し、
前記発生確率が前記要求レベル以下の場合は、前記対策立案は不要と判断し、
前記発生確率が前記要求レベルを超えた場合は、前記対策立案が必要と判断することを特徴とする請求項１に記載のリスク評価対策立案システム。
【請求項８】
入力画面と出力画面を表示する入力出力処理装置を更に有し、
前記入力画面は、
追加の前記対策立案の候補及び前記セキュリティテストのテスト要件をリストとして表示し、
前記出力画面は、
前記評価演算部から出力された前記評価結果を表示することを特徴とする請求項１に記載のリスク評価対策立案システム。
【請求項９】
システムに対する攻撃に関する対策立案及びセキュリティテストを立案するリスク評価対策立案方法であって、
設計情報に基づいて脆弱性を分析し、
分析結果に基づいて、前記システムに対する脅威を分析して脅威分析結果を出力し、
前記脅威分析結果と脆弱性情報に基づいて、前記脆弱性の影響を低減する前記対策立案を立案し、
前記対策立案に基づいて、前記セキュリティテストを立案し、
前記セキュリティテストに基づいて評価を行って評価結果を出力し、
前記評価結果を処理して前記セキュリティ対策を生成することを特徴とするリスク評価対策立案方法。
【請求項１０】
前記システムの複数の構成要素と、複数の前記構成要素の間の接続関係と、前記構成要素に関連する前記脆弱性情報に基づいて、前記攻撃の起点から前記構成要素につながる攻撃経路を生成し、
前記攻撃経路に存在する攻撃手法の順番と、前記攻撃手法に関連する前記脆弱性と、前記セキュリティテストとに基づいて、各構成要素が保持する資産価値と脅威事象を引き起こす発生確率を生成し、
前記発生確率を前記資産価値に対する要件以下の発生確率に低減するための追加対策を立案することを特徴とする請求項９に記載のリスク評価対策立案方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、リスク評価対策立案システム及びリスク評価対策立案方法に関する。
【背景技術】
【０００２】
近年、外部情報を取得する通信装置と工場や自動車などの制御システムを接続して、制御システムの効率をあげるサービスやソフトウェア更新や用いる情報を適宜更新するサービスを実現する技術が普及し始めている。このようなＩｏＴ（Ｉｎｔｅｒｎｅｔ  ｏｆ  Ｔｈｉｎｇｓ）システムでは、機器外からのサイバ−攻撃を受ける危険性が高まっており、セキュリティ性能の向上が求められている。
【０００３】
さらに、それら機器を構成するソフトウェアにはコンピュ−タプログラム上の不具合や仕様上の問題点など、ソフトウェア脆弱性（以下、脆弱性という）と呼ばれる欠陥を有していることがある。
【０００４】
そのため、設計段階から開発段階までは、製品へのセキュリティ対策の追加やセキュリティテストの実施による脆弱性の修正によって、セキュリティ攻撃による制御システムへ影響する事象の発生する可能性を低減することが、サービス提供者、ユーザ及びＩｏＴシステムを構成する機器の製造メーカに求められている。
【０００５】
加えて、製品出荷後にも新規の脆弱性が発見された場合、ＩｏＴシステムの提供するサービスに影響するならば、ソフトウェア更新等の対応が求められる。
【０００６】
しかし、どこまでセキュリティ対策を実装するのかは、有識者の知見に頼らざるを得ず、また有識者によっても意見が異なるという課題があった。
【０００７】
この課題を解決するため、特許文献１には、セキュリティ対策の組み合わせの費用対効果を検証することが可能なセキュリティ対策を支援する技術が開示されている。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開２０１６−２００９９１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００９】
しかし、特許文献１に記載されたセキュリティ対策選定支援技術では、セキュリティ対策の組み合わせの費用対効果のみ検証しており、脆弱性がＩｏＴシステムの提供するサービスや資産に影響するのか判定していない。このため、特許文献１では、どこまで対策やセキュリティテストを実施して脆弱性を低減すべきかを判断することは困難である。
【００１０】
本発明の目的は、リスク評価対策立案システムにおいて、脆弱性を低減するための対策やセキュリティテストを判断することにある。
【課題を解決するための手段】
【００１１】
本発明の一態様のリスク評価対策立案システムは、処理装置と記憶装置とを有し、システムに対する攻撃に関する対策立案及びセキュリティテストを立案するリスク評価対策立案システムであって、前記記憶装置は、脆弱性に関する脆弱性情報を格納する脆弱性データベースと、製品情報を格納する製品情報データベースとを記憶し、前記処理装置は、設計情報が入力される入力出力処理部と、前記設計情報に基づいて、前記脆弱性を分析する脆弱性分析部と、前記脆弱性分析部の分析結果に基づいて、前記システムに対する脅威を分析して脅威分析結果を出力する脅威分析処理部と、前記脅威分析処理部から出力された前記脅威分析結果と前記脆弱性データベースに格納された前記脆弱性情報に基づいて、前記脆弱性の影響を低減する前記対策立案を立案する対策立案部と、前記対策立案部で立案された前記対策立案に基づいて、前記セキュリティテストを立案するセキュリティテスト立案部と、前記セキュリティテスト立案部で立案された前記セキュリティテストに基づいて評価を行って評価結果を出力する評価演算部と、前記評価演算部で評価された前記評価結果を処理して、前記製品情報としてセキュリティ対策を生成して前記製品情報データベースに格納する結果処理部とを有することを特徴とする。
【００１２】
本発明の一態様のリスク評価対策立案方法は、システムに対する攻撃に関する対策立案及びセキュリティテストを立案するリスク評価対策立案方法であって、設計情報に基づいて脆弱性を分析し、分析結果に基づいて、前記システムに対する脅威を分析して脅威分析結果を出力し、前記脅威分析結果と脆弱性情報に基づいて、前記脆弱性の影響を低減する前記対策立案を立案し、前記対策立案に基づいて、前記セキュリティテストを立案し、前記セキュリティテストに基づいて評価を行って評価結果を出力し、前記評価結果を処理して前記セキュリティ対策を生成することを特徴とする方法。
【発明の効果】
【００１３】
本発明の一態様によれば、リスク評価対策立案システムにおいて、脆弱性を低減するための対策やセキュリティテストを判断することができる。
【図面の簡単な説明】
【００１４】
【図１】実施例に係るリスク評価対策立案システムのハードウェア構成を示す図である。
【図２】製品設計段階のリスク評価対策立案システムの全体ブロック図を示す図である。
【図３】出荷後脆弱性対応段階のリスク評価対策立案システムの全体ブロック図を示す図である。
【図４】仕様書情報テーブルの構成を示す図である。
【図５】攻撃手法情報テーブルの構成例を示す図である。
【図６】仕様書項目−関連脆弱性対応情報テーブルの構成例を示す図である。
【図７】脅威分析情報テーブルの構成例を示す図である。
【図８】攻撃経路テーブルの構成例を示す図である。
【図９】評価テーブルの構成例を示す図である。
【図１０】対策テーブルの構成例を示す図である。
【図１１】テストテーブルの構成例を示す図である。
【図１２】リスク評価対策立案システムの全体シーケンス図である。
【図１３】システム評価判定フローチャートである。
【図１４】評価対象のＩｏＴ機器の構成図である。
【図１５】システムの対策候補リストとテスト要件リストの出力画面例を示す図である。
【図１６】システムの評価結果の出力画面例を示す図である。
【発明を実施するための形態】
【００１５】
以下、図面を用いて実施例について説明する。
【実施例】
【００１６】
実施例では、リスク評価対策立案システムとユーザが使用する入力装置と出力装置が直接接続されている。なお、実施例における攻撃対象となり得る資産とは、攻撃者から情報搾取などの攻撃を受けるＩｏＴシステムもしくはシステムを構成する機器の保持するデータである情報資産と、攻撃者からＤｏＳなどの機能停止攻撃を受ける機能資産の二つを指して資産と呼ぶ。
【００１７】
図１を参照して、実施例に係るリスク評価対策立案システムの構成について説明する。
リスク評価対策立案システム１は、ＣＰＵ（処理装置）１０１、メモリ１０２、記憶装置１０３、通信装置１０４、電源装置１０５、入力出力装置１０６、バス１０７およびユーザ１０８で構成される。ユーザ１０８は、入力出力装置１０６を介してリスク評価対策立案システム１に対して情報を入力出力する。
【００１８】
ＣＰＵ１０１は、入力出力処理部２、脅威分析処理部３、対策立案部４、セキュリティテスト立案部５、評価演算部６、結果処理部７、脆弱性分析部８および製品該非判定部９を動作中に保持する。メモリ１０２は、仕様書項目−脆弱性対応情報ＤＢ１０と製品情報ＤＢ１１を保持する。通信装置１０４はネットワークを介して外部の後述する攻撃手法ＤＢ１２と接続する。
【００１９】
図２を参照して、製品設計段階のリスク評価対策立案システム１の構成について説明する。
リスク評価対策立案システム１は、入力出力処理部２と、入力出力処理部２から設計情報が入力される脅威分析処理部３と、脅威分析処理部３から脅威分析結果が入力される対策立案部４と、対策立案部４から対策立案候補が入力されるセキュリティテスト立案部５と、セキュリティテスト立案部５からテスト要件が入力される評価演算部６と、評価演算部６から評価結果が入力される結果処理部７と、結果処理部７から製品情報が出力される製品情報ＤＢ１１、入力出力処理部２から脆弱性情報が入力される脆弱性分析部８と、脆弱性分析部８から仕様書項目−関連脆弱性対応情報が入力される仕様書項目−関連脆弱性対応情報ＤＢ１０を有する。
【００２０】
攻撃手法ＤＢ１２は、攻撃手法テーブル３１０を格納する。仕様書項目−関連脆弱性対応情報ＤＢ１０は、仕様書項目−関連脆弱性対応情報テーブル４００を格納する。製品情報ＤＢ１１は、実施した対策やセキュリティ対策を含む製品情報を格納する。
【００２１】
図３を参照して、出荷後脆弱性対応段階のリスク評価対策立案システム１の構成について説明する。
リスク評価対策立案システム１は、新規の脆弱性情報と攻撃手法情報を受信する入力出力処理部２と、入力出力処理部２から脆弱性情報を入力される脆弱性分析部８と、新規脆弱性情報と過去の製品情報から脆弱性情報が製品に該当するか判定する製品該非判定部９と、判定結果が製品該当だった場合、脆弱性の製品への影響を評価する評価演算部６と、脆弱性の影響を低減する対策を立案する対策立案部４と、実施した対策を含む製品情報を格納する製品情報ＤＢ１２と、脆弱性分析部８の結果に基づき、仕様書項目−関連脆弱性対応情報を更新して格納する仕様書項目−関連脆弱性対応情報ＤＢ１１を有する。
【００２２】
図４は、ユーザが後述する評価対象のＩｏＴ機器の機能構成と機能のつながりを示す仕様書情報テーブル２００の構成例を示す。
仕様書情報テーブル２００は、機能番号を一意に特定する番号である機能番号２０１、機能要素を示す仕様書項目２０２、ソフトウェアバージョンを示す２０３、各機能が保持する情報と機能を示す資産２０４、各資産の重要性を示す資産要件２０５およびＩｏＴ機器の機能構成を示すリンク機能番号を含む。
【００２３】
図４では、例えば、機能番号が２である無線ＬＡＮ機能は、ソフトウェアバージョンＷＬＡＰ２．０であり、資産として無線ＬＡＮ機能、地図情報、更新ソフトウェア（ナビ機能）および更新ソフトウェア（運転支援ＨＭＩ機能）を持つ。
【００２４】
無線ＬＡＮ機能、地図情報、更新ソフトウェア（ナビ機能）および更新ソフトウェア（運転支援ＨＭＩ機能）のそれぞれの資産の重要度を示す資産要件はＳＩＬ１、ＳＩＬ１，ＳＩＬ１、ＳＩＬ２となっており、更新ソフトウェア（運転支援ＨＭＩ機能）がより重要な資産であることを示す。リンク機能番号は、機能番号２の無線ＬＡＮ機能が、機能番号５のＦＴＰ機能と機能番号１０の無線ＬＡＮＩＦと接続されていることを示す。
【００２５】
ＳＩＬは、Ｓａｆｅｔｙ  Ｉｎｔｅｇｒｉｔｙ  Ｌｅｖｅｌの略語であり、その資産に影響がある攻撃が発生し、資産が機能しなくなる時間当たりの確率を一定以下に低減する目標値である。例えば、ＳＩＬ１およびＳＩＬ２は、それぞれＳＩＬ１＞＝１０の−６乗〜１０の−５乗の間の範囲の目標値、ＳＩＬ２＞＝１０の−７乗〜１０の−６乗の間の範囲の目標値に収めれば、合理的に安全と判断できる安全水準である。
【００２６】
安全水準は、発生確率に限らず、対策数や攻撃難易度等、資産への影響の攻撃手順の数を用いてもよく、資産までのアクセス可能性、アクセス難易度、攻撃プロセスの難易度などが評価できるものであれば、これに限らない。
【００２７】
各機能番号が保持する資産は、常に保持する資産ではなく、一時的に前記の接続構成の経路に沿って流通する情報も含まれる。また、資産は情報資産だけでなくソフトウェアやハードウェアで実行される機能も含まれる。図４の仕様情報テーブル２００が示す機能構成は、図１４に示す評価対象のＩｏＴ機器の構成図として示される。
【００２８】
また、サイバ攻撃の前提として、外部ＩＦが攻撃の起点となる。図１４に示すように、例えば、機能番号９のＵＳＢＩＦから機能番号１のＵＳＢ機能の資産が攻撃される。機能番号１０の無線ＬＡＮＩＦから機能番号２の無線ＬＡＮ機能の資産が攻撃される。機能番号１１の携帯通信機能ＩＦから機能番号３の携帯通信機能が攻撃される。機能番号１２の制御ＮＷＩＦから機能番号４の制御ＮＷ機能が攻撃される。
【００２９】
さらに、各ＩＦからの攻撃は機能構成の接続された経路に沿って、ＩＦに直接接続されていない機能の資産も攻撃される。例えば、図１４に示すように、機能番号９のＵＳＢＩＦからはＵＳＢ機能の保持する資産である機能番号１のＵＳＢ機能と地図情報だけでなく、機能番号６のアップデート機能のアップデート機能及び地図情報、加えて機能番号７のナビ機能のナビ機能及び地図情報も攻撃される。
【００３０】
図５を参照して、攻撃手法ＤＢ１２が保持する攻撃手法情報テーブル３１０の構成について説明する。
攻撃手法情報テーブル３１０は、攻撃手法の種類を一意に特定する攻撃手法番号３１１と、攻撃手法３１２、攻撃手法３１１が影響する可能性のある機能を示す関連機能３１３、攻撃手法３１１が影響する可能性のある資産３１４、攻撃手法３１１が攻撃する際に利用するソフトウェアの脆弱性を示す関連脆弱性３１５を示す。
【００３１】
図５の攻撃手法番号５０では、例えば、攻撃者がＩｏＴ機器の無線ＬＡＮ機能や携帯通信機能に対して不正接続を試みる際に攻撃手法３１２の接続パスワードの不正利用による接続を試みて、関連脆弱性３１５として脆弱性番号５２２の容易類推可能なパスワードが設定されているような脆弱性もしくは、脆弱性番号６４０のパスワードを忘れた際の再パスワード取得の悪用する脆弱性を利用して、無線ＬＡＮ機能や携帯通信機能に対して不正に接続することを示す。
【００３２】
通常、攻撃者が攻撃手法単体を利用して、ＩｏＴ機器の資産に影響を与えることは少なく、複数の攻撃手法３１２を組み合わせて資産に影響をあたえる。後述する脅威分析に基づきＩｏＴ機器の資産構成と経路から、攻撃手法の組み合わせを出力し、その結果にもとづいて各機能に存在する可能性のある脆弱性を特定する。
【００３３】
攻撃手法情報テーブル３１０は、外部から取得してもよいし、分析者や実装者自身が実装した機能毎に対する攻撃手法３１２を想定して作成してもよい。攻撃手法３１２は、攻撃する手法だけに限らず、過去に影響があったサイバ攻撃事例を分析した結果の攻撃手法と脆弱性のリストであってもよいし、攻撃手法リストと脆弱性リストがそれぞれ別に存在してもよい。
【００３４】
図６を参照して、仕様書項目−関連脆弱性対応情報ＤＢ１０が保持する仕様書項目−関連脆弱性対応情報テーブル４００の構成について説明する。
仕様書項目−関連脆弱性対応情報テーブル４００は、機能番号４０１、仕様書項目４０２、攻撃手法番号４０３、関連攻撃手法４０４、関連脆弱性４０５から構成される。
機能番号４０１、仕様書項目４０２は、図４で示した機能番号２０１、仕様書項目２０２に対応するものある。図６の仕様情報の各機能番号４０１の仕様書項目４０２に対して、攻撃者がどのような攻撃を行い、どの脆弱性を攻撃するかを示している。
【００３５】
攻撃手法番号４０３、関連攻撃手法４０４、関連脆弱性４０５は、図４で示した仕様書情報テーブル２００の仕様書項目２０２に対して、図５に示した攻撃手法情報テーブル３１０から仕様書項目２０２に対する攻撃手法３１２と、関連脆弱性３１５を特定したものである。
【００３６】
図７を参照して、脅威分析処理部３が出力する脅威分析情報テーブル５００の構成について説明する。
脅威分析情報テーブル５００は、資産項目番号５０１と、資産５０２、攻撃シナリオ番号５０４、エントリ機能番号５０５、攻撃対象機能番号５０６および脅威事象５０７から構成される。図７は仕様情報の各機能番号５０１の仕様書項目５０２が保持する資産５０３に対する脅威事象５０７を網羅的に分析したリストを示している。
【００３７】
脅威分析情報テーブル５００は、設計仕様上の仕様書項目５０２と資産５０３に対して、どの攻撃起点（エントリ機能番号５０５（ＦＲＯＭ））から攻撃されて、攻撃によりＩｏＴ機器に対してどういう影響（脅威事象７０７）があるかを網羅的に特定するリストである。
【００３８】
例えば、図７の機能番号１のＵＳＢ機能の保持する資産はＵＳＢ機能と地図情報である。ＵＳＢ機能に関しては、機能番号９のＵＳＢＩＦから機能番号１のＵＳＢ機能に対して大量のデータでアクセスされた場合、機能が阻害されるという脅威事象５０７が攻撃シナリオ項目番号１である。地図情報に関しては、機能番号９のＵＳＢＩＦから機能番号１のＵＳＢ機能に対して、改ざんされた地図情報が送信されるという脅威事象５０７が攻撃シナリオ項目番号２である。
【００３９】
それぞれの攻撃シナリオ項目番号５０４の脅威事象５０７は、後述する攻撃手法の組み合わせと、関連脆弱性のテスト手法および、攻撃経路上の追加対策から発生確率が評価されて、安全水準の発生確率と比較することで許容可能なまでに安全かどうかを判断される。
【００４０】
図８を参照して、攻撃経路テーブル６００の構成について説明する。
攻撃経路テーブル６００は、機能番号６０１、仕様書項目６０２、エントリ機能（ＦＲＯＭ）６０３、攻撃経路６０４から構成される。図８は攻撃者が、仕様書の仕様書項目６０２に対して、どの攻撃起点からどの攻撃経路を経由して攻撃するかの攻撃経路を示している。
【００４１】
例えば、図８では、機能番号８の運転支援ＨＭＩ機能の保持する資産に対して４つの攻撃経路で攻撃される可能性がある。機能番号９のＵＳＢＩＦからは、９→１→６→８の攻撃経路で攻撃される可能性がある。機能番号１０の無線ＬＡＮＩＦからは、１０→２→５→６→８の攻撃経路で攻撃される可能性がある。機能番号１１の携帯通信ＩＦからは、１１→３→５→６→８の攻撃経路で攻撃される可能性がある。機能番号１２の制御ＮＷＩＦからは、１２→４→８の攻撃経路で攻撃される可能性がある。
【００４２】
攻撃者が、図７で示すそれぞれの攻撃シナリオ項目番号５０４の脅威事象５０７を引き起こすためには、攻撃経路上の仕様書項目の各機能を、図６で示す仕様書項目４０２に対する関連脆弱性４０５に対して関連攻撃手法４０４を適用して攻撃が成功することを経路上の順番に繰り返す。
【００４３】
図９を参照して、評価演算部６が出力する攻撃経路上に存在する攻撃手法と攻撃される機能の順序を示す攻撃シナリオを含む評価テーブル７００の構成について説明する。
評価テーブル７００は、分析対象のＩｏＴ機器のすべての資産に対する脅威事象を引き起こす攻撃シナリオを網羅的に特定した評価テーブルである。
【００４４】
評価テーブル７００は、攻撃シナリオ項目番号７０１、脅威事象７０２、資産７０３、発生確率７０４、攻撃経路７０５、発生場所：攻撃手法手順７０６−７１０を含む。
【００４５】
攻撃シナリオは、資産７０３につながる脅威事象を攻撃手順と攻撃場所で示している。脅威事象はサイバ攻撃により、損害や影響を与える可能性のある事象を示している。資産は脅威事象により影響を受ける情報または機能を含む資産を示す。発生確率は、脅威事象が発生し、資産が機能しなくなる時間当たりの確率を示す。発生確率７０４は、攻撃経路上の攻撃手法が順番に発生する確率を示すものである。
【００４６】
例えば、発生確率７０４は、手順１つの発生確率をＰとすると、発生確率＝（Ｐ１×・・・Ｐｎ）として定義し、Ｐｉ＝（１／すべての攻撃手法の種類数）×（攻撃手順が関連する脆弱性の数／すべての脆弱性の種類数）などで求める。また、後述する追加対策の効果や各脆弱性に対するテスト実施計画の効果に基づいた係数を乗じて発生確率を評価する。例えば、効果がＨｉｇｈだと０．０００１、Ｍｅｄｉｕｍだと０．００１、Ｌｏｗだと０．１などを追加した対策の数、もしくは攻撃手法が関連する脆弱性の数に基づき乗じることなどにより計算する。
【００４７】
ここで評価する発生確率は、サイバ攻撃の脅威事象を評価するものであれば、これに限らない。こうしてもとめた発生確率は、各資産７０３が図４にて示す資産要件２０５と比較し、要件を満たしているかを判断する。攻撃経路７０５は、資産７０３がどの経路を経由して攻撃されるかを示す経路であって、図８に示す各仕様書項目６０２の機能番号６０１を用いて表現される。
【００４８】
たとえば、攻撃経路９→１は機能番号９のＵＳＢＩＦを攻撃起点として、機能番号１のＵＳＢ機能が攻撃される経路を示している。発生場所：攻撃手法手順７０６−７１０は、攻撃経路に沿って、攻撃者が各機能の攻撃発生場所と、攻撃手法手順の順番を示している。
【００４９】
例えば、図９の攻撃シナリオ項目番号１７−１は、発生場所：攻撃手法手順１：７０６が示す機能１ＵＳＢ機能にて、攻撃手法番号１０の送信データの取得の攻撃手法が、図６に示す２０１．送信データの暴露、３０６．送信データの認証不備、３１１．送信データの暗号不備のいずれかの関連脆弱性に対して攻撃が実施される。
【００５０】
攻撃手法手順２：７０７が示す機能１ＵＳＢ機能にて、攻撃手法番号４５７のＵＳＢメモリを利用した攻撃により、２８４．ＵＳＢプロトコルサービスの制限不足の関連脆弱性に対して攻撃が実施さる。
【００５１】
攻撃手法手順３：７０８が示す機能６アップデート機能にて、攻撃手法番号１８６の不正ソフトウェアのアップデートにより、４９４．バージョンチェックなしのソフトウェアアップデートの関連脆弱性に対して攻撃が実施される。
【００５２】
攻撃手法手順４：７０９が示す機能８運転支援ＨＭＩ機能にて、攻撃手法番号７６の書換え機能の不正利用により、２６４．権限昇格、２７２．最小権限の違反の関連脆弱性に対して攻撃が実施される。
【００５３】
このような攻撃に実施により、脅威事象である改ざんしたソフトウェアを機能に対してアップデートが発生し、資産である更新ソフトウェア（運転支援ＨＭＩ機能）に影響を受ける。
【００５４】
図１０を参照して、対策テーブル８００の構成について説明する。
対策テーブル８００は、攻撃手法番号８０１、攻撃手法８０２と、対策８０３、対策場所８０４、対策コスト８０５および効果８０６から構成される。対策テーブル８００は、図５に示した攻撃手法情報テーブル３１０の攻撃手法に対する対策と対策場所を示す対策リストである。
【００５５】
攻撃手法番号８０１は、図５に示した攻撃手法を一意に特定する番号である。攻撃手法８０２は攻撃手法を示している。対策８０３は攻撃手法に対する対策である。対策場所８０４は対策を実装することができる場所を示している。対策コスト８０５は対策を実装したときのコストをＨｉｇｈ、ＭｅｄｉｕｍおよびＬｏｗの３段階で示している。対策コスト８０５は実装する際の対策コストを示すもので、実際工数から見積もった実装コストであってもよく、これに限らない。効果８０６は攻撃手法８０２を防ぐ際の低減効果を示すもので、Ｈｉｇｈ、ＭｅｄｉｕｍおよびＬｏｗの３段階で示している。効果８０６は攻撃手法に対するサイバ攻撃の発生確率を示すものであればよく、これに限らない。
【００５６】
図１１を参照して、テストテーブル９００の構成について説明する。
テストテーブル９００は、図５に示す各攻撃手法を想定して、脆弱性の有無を判断するためのテスト種別のリストである。テストテーブル９００は、テスト番号９０１、テスト種類９０２と、効果９０３およびコスト９０４から構成される。
【００５７】
テスト種類９０２は、チェックリスト、ファジングテスト、デザインレビュー、ペネトレテスト等のテストの種類を示す。例えば、チェックリストでは、分析対象のＩｏＴ機器の開発者が、自己が担当する部分の仕様書項目に対する攻撃手法と関連脆弱性を図６に示す仕様書項目−関連脆弱性対応情報テーブル４００から確認して実装する方法を示している。
【００５８】
ファジングテストは、分析対象のＩｏＴ機器の開発者が、自己が担当する部分の仕様書項目に対する攻撃手法と関連脆弱性をパラメータを決めてテストするテスト手法を示す。
【００５９】
デザインレビューは、分析対象のＩｏＴ機器の開発者が、自己が担当する部分の仕様書項目に対する攻撃手法と関連脆弱性がないかを設計書から確認するテスト方法を示している。
【００６０】
ペネトレーションテストは、ＩｏＴ機器を開発した後に、仕様書項目に対する攻撃手法を用いて関連脆弱性を攻撃して脆弱性の有無を判定するテスト手法を示す。
【００６１】
効果９０３は、脆弱性を低減する効果を示すもので、Ｈｉｇｈ、ＭｅｄｉｕｍおよびＬｏｗの３段階で示している。効果９０３は各テストを実施したあとに脆弱性の影響を低減する評価を示すものであればよく、これに限らない。
【００６２】
図１２を参照して、リスク評価対策立案システム１の処理シ−ケンスについて説明する。
ステップ１０１で、ユーザ１０８は、入出力処理部２または通信部８０を介しリスク評価対策立案システム１に対して、仕様書情報テーブル２００で規定される仕様書情報を入力する。
【００６３】
ステップ１０２で、ユーザ１０８は、入出力処理部２または通信部８０を介しリスク評価対策立案システム１に対して、脅威分析情報テーブル５００で規定される脅威分析情報を入力する。脅威分析情報は、仕様書項目が保持するすべての資産に対する脅威事象を網羅的に特定する。
【００６４】
ステップ１０３で、ユーザ１０８は、入出力処理部２または通信部８０を介しリスク評価対策立案システム１に対して、図１０に示す対策テーブル８００で規定される対策候補リストを入力する。ユーザ１０８は、図１０に示す攻撃手法に応じて、対策と対策場所を選定する。
【００６５】
ステップ１０４で、ユーザ１０８は、入出力処理部２または通信部８０を介しリスク評価対策立案システム１に対して、テストテーブル９００で規定されるテストリストを入力する。図１１に示すテストテーブル９００から適応するテスト手法を、図６に示す攻撃手法に関連した脆弱性に適用するかを判断し、脆弱性毎にテストを実施するかを判断する。
【００６６】
ステップ１０５で、リスク評価対策立案システム１の対策立案部５において仕様書項目−関連脆弱性対応情報ＤＢ１０から仕様書項目−関連脆弱性対応情報と、攻撃経路テーブル６００から、図９に示す評価テーブル７００に示すすべての保護資産項目の攻撃経路毎に、経路上の対策と経路上の攻撃手法の順番に従って、攻撃手法に関連する脆弱性番号と攻撃手法から実際に脅威事象を引き起こす発生確率を算出する。
【００６７】
ステップ１０６で、リスク評価対策立案システム１が出力した評価テーブル７００のすべての資産に対する攻撃発生確率が、目標発生確率を下回る場合は対策候補リストとテスト候補を含む製品情報を結果処理部８に出力しリスク評価処理を終了する。下回らない場合はステップ１０７に処理を移行する。
【００６８】
ステップ１０７で、リスク評価対策立案の攻撃種別情報のつながりの順序が、対策テーブル８００の攻撃手法８０２に該当しない場合、リスク評価対策立案システム１リスクの対策立案部４は、該当しないリスク評価対策立案を削除する。なお、ステップ１０５およびステップ１０７は、すべての攻撃対象資産情報への攻撃の発生確率が、要求発生確率を下回るまで繰り返し実施する。
【００６９】
ステップ１０８で、リスク評価対策立案システム１の結果処理部７は、立案した対策候補リストとテストリストを含む製品情報を製品情報ＤＢ１２に保存し処理を終了する。
【００７０】
図１３のフローチャートを参照して、リスク評価対策立案システム１の評価演算部６の処理について説明する。
図１３で示す処理を実施し、すべての資産の経路毎にリスク評価を実施する。
【００７１】
ステップ１３００で、リスク評価対策立案システム１の評価演算部６は、入出力処理部２から設計仕様を受信する。
【００７２】
ステップ１３０１で、リスク評価対策立案システム１の評価演算部６は、入出力処理部２から対策候補リストを受信する。
【００７３】
ステップ１３０２で、リスク評価対策立案システム１の評価演算部６は、入出力処理部２からテストリストを受信する。
【００７４】
ステップ１３０３で、評価対象の攻撃経路の１番目を選択し、次の処理に移る。
【００７５】
ステップ１３０４で、評価対象の資産の１番目を選択し、次の処理に移る。
【００７６】
ステップ１３０５で、リスク評価対策立案システム１の資産ｎ番目かつ経路ｎ番目の発生確率を算出し、資産ｎ番目の資産価値と発生確率からリスクを評価する。
【００７７】
ステップ１３０６、ステップ１３０７で、評価対象を次の資産に移行する。処理二回目以降は２番目の資産というように、すべて資産が評価対象になるまでになるまで、評価対象の資産ｎ＋１を実施する。
【００７８】
ステップ１３０８、ステップ１３０９で、評価対象を次の経路に移行する。処理二回目以降は２番目の経路というように、すべての攻撃経路が評価対象になるまで、評価対象の経路ｎ＋１を実施する。
【００７９】
ステップ１３１０で、各資産への各資産への攻撃経路の発生確率が資産の要求レベル以下かを比較する。
【００８０】
ステップ１３１１で、すべての資産と資産に対する経路の発生確率が、要求発生確率の下回った場合はステップ１０６に移行。上回る場合はステップ１０５に移行する。
【００８１】
図１５を参照して、入力者がシステム評価結果に基づいて、追加対策や追加テストを選択する場合の入力画面９０５の入力例について説明する。
入力者は、Ｓ１０６で追加対策や追加テストを入力する。入力後、評価８１３を選択し、システム全体のすべての資産に対する攻撃の発生確率が資産要件に基づく目標発生確率を下回るまで入力者は追加の対策とテスト要件を入力する。実施例では、追加対策候補リストやテスト要件リストのリスク低減効果の順に表示しているが、実行コストや立案した対策もしくはテスト項目の実施するためのテストの大きい順番、効果をコストで割ったコストパフォーマンスなどの指標に基づいて表示してもよい。
【００８２】
図１６を参照して、システム評価結果の出力画面９０６の出力例について説明する。
リスク評価対策立案優先順位評価結果およびシステム評価結果はＳ１０７で作成される。
【００８３】
保護資産項目毎に発生確率を資産要件に基づく目標発生確率と比較し、発生確率が目標発生確率より低いかを判定する。リスク評価結果がシステムのすべての保護資産に対する発生確率が目標発生確率を満たす場合はシステムの評価結果８１４が合格となる。
【００８４】
評価値の算出方法については、リスク評価対策立案の優先順位を付けられる方法であれば、その具体的な算出方法については限定しない。
【００８５】
また、評価値の算出方法を複数用意し、管理者が選択できるようにして、選択した算出方法によるそれぞれのリスク評価対策立案の優先度を管理者が比較評価できるようにする。これにより、テスト設計の見積もり時や、顧客への説明時に利用することが可能である。
【００８６】
上記実施例によれば、攻撃の発生可能性という定量評価に基づいた必要十分なセキュリティ対策やセキュリティテストの実施可否を判定することができる。
【符号の説明】
【００８７】
１  リスク評価対策立案システム
２  入力出力処理部
３  脅威分析処理部
４  対策立案部
５  セキュリティテスト立案部
６  評価演算部
７  結果処理部
８  脆弱性分析部
９  製品該非判定部
１０  仕様書項目−脆弱性対応情報ＤＢ
１１  製品情報ＤＢ
１０１  ＣＰＵ
１０２  メモリ
１０３  記憶装置
１０４  通信装置
１０５  電源装置
１０６  入力出力装置
１０７  バス
１０８  ユーザ
【図１】
2020166650.tif 000003
【図２】
2020166650.tif 000004
【図３】
2020166650.tif 000005
【図４】
2020166650.tif 000006
【図５】
2020166650.tif 000007
【図６】
2020166650.tif 000008
【図７】
2020166650.tif 000009
【図８】
2020166650.tif 000010
【図９】
2020166650.tif 000011
【図１０】
2020166650.tif 000012
【図１１】
2020166650.tif 000013
【図１２】
2020166650.tif 000014
【図１３】
2020166650.tif 000015
【図１４】
2020166650.tif 000016
【図１５】
2020166650.tif 000017
【図１６】
2020166650.tif 000018