(57)【要約】      （修正有）【課題】インシデント発生時の判断材料を提示可能な業務支援装置を提供する。【解決手段】業務支援装置１は、取得部１Ａと、予測部１Ｂと、出力部１Ｃとを備える。取得部１Ａは、インシデント発生時のログ情報５、企業情報７およびランサムウェア情報６を取得する。予測部１Ｂは、インシデント発生時のログ情報５、企業情報７およびランサムウェア情報６に基づいて、ランサムウェアの種類を推定し、インシデントに対する対策に応じた事業に及ぼす影響を算出し、ランサムウェアの対策ごとの影響範囲を算出し、ランサムウェアの対策ごとの被害額および対策額を算出する。出力部１Ｃは、インシデントに対する対策ごとにかかる工数、インシデントに対する対策ごとにかかる対策額、インシデントに対する対策ごとの被害額およびインシデントに対する対策ごとの影響範囲などをグラフ形式で出力する。【選択図】図２
2020149173.tif 000002
【特許請求の範囲】
【請求項１】
インシデント発生時のログ情報を取得する取得部と、
前記ログ情報に基づいて、前記インシデントが業務に及ぼす影響を予測する予測部と、
前記予測部による予測結果を出力する出力部とを備える業務支援装置。
【請求項２】
前記取得部は、企業情報およびランサムウェア情報を取得し、
前記予測部は、前記ログ情報、前記企業情報および前記ランサムウェア情報に基づいて、前記インシデントが業務に及ぼす影響を予測する請求項１に記載の業務支援装置。
【請求項３】
前記予測部は、前記インシデントに対する対策に応じた事業に及ぼす影響を予測し、
前記出力部は、前記インシデントに対する対策ごとにかかる工数、前記インシデントに対する対策ごとにかかる対策額、前記インシデントに対する対策ごとの被害額および前記インシデントに対する対策ごとの影響範囲のうちのいずれか少なくとも１つを出力する請求項２に記載の業務支援装置。
【請求項４】
前記予測部は、
前記ログ情報、前記企業情報および前記ランサムウェア情報に基づいて、ランサムウェアの影響範囲を対策ごとに算出し、
前記ランサムウェアの影響範囲および前記企業情報に基づいて、前記ランサムウェアの被害額および対策額を前記対策ごとに算出する請求項２に記載の業務支援装置。
【請求項５】
前記予測部は、前記インシデント発生からの経過時間を時間軸として、前記インシデントが業務に及ぼす影響の推移を対策ごとに予測する請求項２に記載の業務支援装置。
【請求項６】
インシデント発生時のログ情報を入力する入力部と、
前記インシデントが業務に及ぼす影響を表示する表示部とを備える業務支援端末。
【請求項７】
プロセッサにて実行される業務支援方法あって、
前記プロセッサは、
インシデント発生時のログ情報を取得し、
前記ログ情報に基づいて、前記インシデントが業務に及ぼす影響を予測し、
前記インシデントが業務に及ぼす影響の予測結果を出力する業務支援方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、インシデント発生時の判断材料を提示可能な業務支援装置、業務支援端末および業務支援方法に関する。
【背景技術】
【０００２】
企業へのサイバー攻撃に対して、適切な対策をとらなければ被害が拡大し、事業に甚大な影響を与えることがある。
【０００３】
また、特許文献１には、複数の端末から複数のログを収集している状況において、その時々においてインシデントを検出するために必要なログのみ抽出し、収集する技術が開示されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１８−１０４４１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、従来技術では、企業へのサイバー攻撃に対して、どのような対策をとればよいかを判断するための判断材料は提示されていなかった。
【０００６】
本発明は、上記事情に鑑みなされたものであり、その目的は、インシデント発生時の判断材料を提示可能な業務支援装置、業務支援端末および業務支援方法を提供することにある。
【課題を解決するための手段】
【０００７】
上記目的を達成するため、第１の観点に係る業務支援装置は、インシデント発生時のログ情報を取得する取得部と、前記ログ情報に基づいて、前記インシデントが業務に及ぼす影響を予測する予測部と、前記予測部による予測結果を出力する出力部とを備える。
【発明の効果】
【０００８】
本発明によれば、インシデント発生時の判断材料を提示することができる。
【図面の簡単な説明】
【０００９】
【図１】図１は、実施形態に係る業務支援システムの構成を示すブロック図である。
【図２】図２は、図１の業務支援装置の構成を示すブロック図である。
【図３】図３は、インシデント発生時の業務支援方法を示すフローチャートである。
【図４】図４は、図２のログ情報の一例を示す図である。
【図５】図５は、図２のランサムウェア情報の一例を示す図である。
【図６】図６は、図２の企業情報の一例を示す図である。
【図７】図７は、図２の予測部として用いられるＡＩ（Ａｒｔｉｆｉｃｉａｌ  Ｉｎｔｅｌｌｉｇｅｎｃｅ）の学習方法を示す図である。
【図８】図８は、インシデント発生時の対策案の例を示す図である。
【図９】図９は、図８の対策案ごとのレポートの一例を示す図である。
【図１０】図１０は、図８の対策案ごとのレポートのその他の例を示す図である。
【図１１】図１１は、図８の対策案Ａのランサムウェアの影響範囲の一例を示す図である。
【図１２】図１２は、図８の対策案Ｂのランサムウェアの影響範囲の一例を示す図である。
【図１３】図１３は、図８の対策案Ｃのランサムウェアの影響範囲の一例を示す図である。
【図１４】図１４は、図１の業務支援装置のハードウェア構成例を示すブロック図である。
【発明を実施するための形態】
【００１０】
実施形態について、図面を参照して説明する。なお、以下に説明する実施形態は特許請求の範囲に係る発明を限定するものではなく、また、実施形態の中で説明されている諸要素およびその組み合わせの全てが発明の解決手段に必須であるとは限らない。
【００１１】
図１は、第１実施形態に係る業務支援システムの構成を示すブロック図である。
図１において、業務支援システムは、業務支援装置１および業務支援端末２を備える。業務支援装置１は、インシデント発生時のログ情報に基づいて、インシデントが業務に及ぼす影響を予測する。業務支援装置１は、例えば、ニューラルネットワークなどのＡＩを用いることができる。このとき、インシデントが業務に及ぼす影響をＡＩに学習させることができる。
【００１２】
業務支援端末２は、表示画面２Ａを備える。業務支援端末２は、業務支援装置１にて予測されたインシデントが業務に及ぼす影響に関するレポート８を表示画面２Ａに表示する。
【００１３】
ここで、管理者４は、業務支援端末２を操作することにより（Ｋ１）、業務支援端末２に表示画面２Ａを表示させる。表示画面２Ａは、例えば、Ｗｅｂコンソール画面である。そして、管理者４は、社内に設置された業務システムにインシデントが発生すると、表示画面２Ａを参照し、そのインシデント発生時のログ情報を業務支援装置１に入力する（Ｋ２）。業務システムは、例えば、社内ネットワークを介して接続されたサーバおよび端末などで構成することができる。
【００１４】
業務支援装置１は、インシデント発生時のログ情報に基づいて、インシデントが発生した企業の企業情報およびランサムウェア情報を、インターネット３を介して取得する（Ｋ３）。そして、業務支援装置１は、ログ情報、企業情報およびランサムウェア情報に基づいて、インシデントが業務に及ぼす影響を予測し、その予測結果を業務支援端末２に出力する（Ｋ４）。
【００１５】
業務支援端末２は、インシデントが業務に及ぼす影響の予測結果を受け取ると、そのインシデントが業務に及ぼす影響に関するレポート８を表示画面２Ａに表示させる。これにより、管理者４は、レポート８を参照することにより、社内で発生したインシデントが業務に及ぼす影響を把握することができる。このため、管理者４は、インシデント発生時の意思決定の判断材料を取得することができ、インシデント発生時にどのような対策をとればよいかの経営判断の困難性を軽減することができる。
【００１６】
図２は、図１の業務支援装置の構成を示すブロック図である。
図２において、業務支援装置１は、取得部１Ａ、予測部１Ｂおよび出力部１Ｃを備える。取得部１Ａは、インシデント発生時のログ情報５、企業情報７およびランサムウェア情報６を取得する。企業情報７は、従業員数およびＰＣ（Ｐｅｒｓｏｎａｌ  Ｃｏｍｐｕｔｅｒ）数などの企業規模に関する情報を含む。ランサムウェア情報６は、ランサムウェアの種類および影響範囲などの情報を含む。
【００１７】
取得部１Ａは、図１の業務支援端末２からログ情報５を取得することができる。取得部１Ａは、図１のインターネット３を介して企業情報７およびランサムウェア情報６を取得することができる。なお、業務支援装置１は、企業情報７およびランサムウェア情報６を保持するようにしてもよい。このとき、管理者４は、企業情報７およびランサムウェア情報６を業務支援装置１に入力し、業務支援装置１に登録することができる。
【００１８】
予測部１Ｂは、インシデント発生時のログ情報５、企業情報７およびランサムウェア情報６に基づいて、インシデントが業務に及ぼす影響を予測する。例えば、予測部１Ｂは、インシデント発生時のログ情報５、企業情報７およびランサムウェア情報６に基づいて、ランサムウェアの種類を推定し、インシデントに対する対策に応じた事業に及ぼす影響を算出することができる。インシデントに対する対策に応じた事業に及ぼす影響として、予測部１Ｂは、ランサムウェアの対策ごとの影響範囲を算出し、ランサムウェアの対策ごとの被害額および対策額を算出することができる。
【００１９】
予測部１Ｂは、インシデントが業務に及ぼす影響を学習させたＡＩであってもよいし、インシデントが業務に及ぼす影響を算出するアルゴリズムを実行するコンピュータであってもよい。予測部１Ｂとして、ＡＩを用いる場合、管理者４は、インシデントが業務に及ぼす影響をＡＩに学習させることができる。予測部１Ｂとして、アルゴリズムを用いる場合、インシデントが業務に及ぼす影響を算出するアルゴリズムが記述されたプログラムをコンピュータにインストールすることができる。
【００２０】
出力部１Ｃは、予測部１Ｂにて予測されたインシデントが業務に及ぼす影響に関するレポート８を図１の業務支援端末２に出力する。例えば、出力部１Ｃは、インシデントに対する対策ごとにかかる工数、インシデントに対する対策ごとにかかる対策額、インシデントに対する対策ごとの被害額およびインシデントに対する対策ごとの影響範囲などを出力し、業務支援端末２にグラフ形式で表示させることができる。
【００２１】
図３は、インシデント発生時の業務支援方法を示すフローチャートである。
図３において、図２の管理者４は、企業情報７およびランサムウェア情報６を業務支援装置１に予め登録する（Ｓ１）。
【００２２】
次に、社内に設置された業務システムにインシデントが発生すると（Ｓ２）、業務支援端末２は、そのインシデントに対するアラートを検出する。なお、インシデントの発生源は、必ずしもランサムウェアに限定されることなく、Ｄｏｓ（Ｄｅｎｉａｌ  ｏｆ  ｓｅｒｖｉｃｅ）攻撃または人的サイバー攻撃であってもよい。そして、業務支援端末２は、そのアラートに基づいて、インシデント発生時の現象の部分的なログ情報５を取得し（Ｓ３）、そのログ情報５を業務支援装置１に入力する（Ｓ４）。
【００２３】
次に、予測部１Ｂは、例えば、ログ情報５、企業情報７およびランサムウェア情報６をＡＩに入力することで、インシデントが業務に及ぼす影響を予測する（Ｓ５）。
【００２４】
次に、出力部１Ｃは、例えば、ＡＩにて予測されたインシデントが業務に及ぼす影響に関するレポート８を図１の業務支援端末２に出力する（Ｓ６）。
【００２５】
次に、管理者４は、出力部１Ｃから出力されたレポート８を業務支援端末２上で確認し、インシデント発生時の対策案を決定し（Ｓ７）、決定した対策を実行する（Ｓ８）。
【００２６】
図４は、図２のログ情報の一例を示す図である。
図４において、ログ情報５は、例えば、マルウェアスキャン結果のログ、アプリケーション制御ログ、プロセス監視ログ、クライアントの設定変更ログ、トラフィックのログまたはＷｉｎｄｏｗｓイベントログである。
【００２７】
マルウェアスキャン結果のログは、スキャンアクティビティのログである。アプリケーション制御ログは、アプリケーションの動作が遮断されたイベントに関する情報である。プロセス監視ログは、プロセスの動作が遮断されたイベントに関する情報である。クライアントの設定変更ログは、クライアントによるセキュリティに関する設定変更の情報である。トラフィックのログは、クライアントのネットワークトラフィックに関する情報である。Ｗｉｎｄｏｗｓイベントログは、Ｗｉｎｄｏｗｓ標準のイベントログである。
【００２８】
図５は、図２のランサムウェア情報の一例を示す図である。
図５において、ランサムウェア情報６は、ランサムウェア名、感染拡大方法、感染時の動作およびランサムウェアの詳細を含む。ランサムウェア名は、例えば、ＣｒｙｐｔｏＷａｌｌ、ＴｅｓｌａＣｒｙｐｔ、Ｌｏｃｋｙ  、ＷａｎｎａＣｒｙおよびＰＥＴＹＡを含む。
【００２９】
感染拡大方法において、進化型は、アップデートを繰り返して感染を拡大させる。進化型は、アップデートのためにネットワーク通信を行うため、ネットワークトラフィックのログに特徴が出る可能性がある。脆弱性型は、ＷｉｎｄｏｗｓなどのＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）の脆弱性を悪用して感染を拡大させる。
【００３０】
感染時の動作において、暗号化型（クリプター）は、ＰＣなどのファイルをすべて暗号化して使えなくする。画面ロック型（ブロッカー）は、ＰＣなどの画面をロックして操作をできなくする。
【００３１】
図６は、図２の企業情報の一例を示す図である。
図６において、企業情報７は、項目として、例えば、主業種、資本金、売上、従業員数、事業所数、ＰＣ台数、外部公開ネットワークサービスＰＣの保有数、社員構成比率およびネットワーク構成を含む。また、企業情報７は、各項目の詳細を含む。
【００３２】
図７は、図２の予測部として用いられるＡＩの学習方法を示す図である。
図７において、ＡＩからランサムウェアの影響範囲を得る場合、学習データとして、インシデント発生時のログ情報５、企業情報７およびランサムウェア情報６を用いる。このとき、ＡＩは、イベント発生時に入力するログ情報５や企業情報７と予め設定されたランサムウェア情報６と突き合わせて、ランサムウェアの影響範囲を算出する。
【００３３】
ＡＩからランサムウェアの被害額を得る場合、学習データとして、ランサムウェアの影響範囲および企業情報７を用いる。このとき、ＡＩは、算出したランサムウェアの影響範囲と企業情報７を突き合わせてランサムウェアの被害額を算出する。
【００３４】
ＡＩからランサムウェアの対策額を得る場合、学習データとして、ランサムウェアの影響範囲および企業情報７を用いる。このとき、ＡＩは、算出したランサムウェアの影響範囲と企業情報７を突き合わせてランサムウェアの対策額を算出する。
【００３５】
図８は、インシデント発生時の対策案の例を示す図である。
図８において、インシデント発生時の対策の選択肢として、例えば、対策案Ａ〜Ｃを設定する。対策案Ａでは、インシデント発生時の対策は行わない。対策案Ｂでは、業務を止めない範囲で対策を行う。対策案Ｃでは、業務を止めて対策を行う。
【００３６】
図９は、図８の対策案ごとのレポートの一例を示す図である。
図９において、対策案Ａは、インシデント発生時の対策は行わないため、対策額はかからず、被害額のみ発生する。対策案Ｂ、Ｃは、インシデント発生時の対策を行うため、被害額だけでなく対策額も発生する。
【００３７】
ここで、対策額と被害額の合計金額でみると、対策案Ａでは対策は行わないため、被害額が増大し、対策案Ａの合計金額は、対策案Ｂ、Ｃの合計金額より大きくなる。このため、業務支援装置１は、図９の対策案Ａ〜Ｃごとの合計金額をレポート８としてグラフ形式で業務支援端末２に表示させることにより、管理者４は、インシデント発生時に何も対策を行わない場合よりも、インシデント発生時に何らかの対策を行った方がよいという判断材料を得ることができる。
【００３８】
何らかの対策が行われる場合、対策案Ｃでは、業務を止めて対策を行うため、対策案Ｂよりも対策額が大きくなるが、被害額は小さくなる。
【００３９】
ここで、対策案Ｃでは、業務を止めて対策を行うため、インシデントの発生に対して最善の対策をとることができ、被害額を最小限に止めることができる。一方、対策案Ｂでは、業務を止めない範囲で対策を行うため、インシデントの発生に対して不十分な対策しかとることができず、その分だけ被害額が大きくなる。このため、対策案Ｂ、Ｃの対策額と被害額の合計金額でみると、対策案Ｂの合計金額は、対策案Ｃの合計金額より大きくなる。
【００４０】
図９の対策案Ａ〜Ｃごとの合計金額のレポート８を参照することなく、どのような対策を行うかの意思決定をする場合、通常では、業務を止めて対策を行った場合よりも、業務を止めない範囲で対策を行った場合の方が損失が少ないという経営判断に傾く傾向があり、対策案Ｂが選択されることがある。
【００４１】
一方、業務支援装置１は、図９の対策案Ａ〜Ｃごとの合計金額をレポート８としてグラフ形式で業務支援端末２に表示させることにより、管理者４は、業務を止めない範囲で対策を行った場合よりも、業務を止めて対策を行った方が損失が少なくなるという判断材料を得ることができる。
【００４２】
図１０は、図８の対策案ごとのレポートのその他の例を示す図である。
図１０において、対策案Ａは、インシデント発生時の対策は行わないため、インシデント発生時から１日目では対策案Ｂ、Ｃよりも、対策額と被害額の合計金額は少ないが、インシデント発生時から時間が経過するに従って合計金額が増大する。
【００４３】
このため、業務支援装置１は、図１０の対策案Ａ〜Ｃごとの合計金額の推移をレポート８としてグラフ形式で業務支援端末２に表示させることにより、管理者４は、インシデント発生時に何も対策を行わない場合よりも、インシデント発生時に何らかの対策を行った方がよいという判断材料を得ることができる。
【００４４】
何らかの対策が行われる場合、インシデント発生時から１日目では、対策案Ｃは、業務を止めて対策を行うため、対策額が対策案Ｂよりも大きくなり、対策案Ｂよりも合計金額が大きくなる。一方、対策案Ｂでは、業務を止めない範囲で対策を行うため、対策案Ｃよりも対策に時間がかかる。ここで、対策案Ｂでは、対策完了に４日かかり、対策案Ｃでは、対策完了に３日かかるものとすると、対策案Ｂでは、インシデント発生時から４日目以降に合計金額の増大が止まり、対策案Ｃでは、インシデント発生時から３日目以降に合計金額の増大が止まる。このため、インシデント発生時から４日目以降では、対策案Ｂの合計金額は、対策案Ｃの合計金額より大きくなる。
【００４５】
このため、業務支援装置１は、図１０の対策案Ａ〜Ｃごとの合計金額の推移をレポート８としてグラフ形式で業務支援端末２に表示させることにより、管理者４は、業務を止めない範囲で対策を行った場合よりも、業務を止めて対策を行った方が最終的な損失が少なくなるという判断材料を得ることができる。
【００４６】
図１１は、図８の対策案Ａのランサムウェアの影響範囲の一例を示す図である。
図１１において、社内３０には、業務システムとして、ファイアウォール３１、メールサーバ３２、ＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）サーバ３３、社外公開Ｗｅｂサーバ３４、ルータ３５、３６、社内システムＷｅｂサーバ３７、３８および業務用ＰＣ３９が設けられている。業務用ＰＣ３９として、複数のＰＣ３９Ａ〜３９Ｃが設けられている。メールサーバ３２、ＤＮＳサーバ３３および社外公開Ｗｅｂサーバ３４は、ＤＭＺ（ＤｅＭｉｌｉｔａｒｉｚｅｄ  Ｚｏｎｅ）に設けられている。
【００４７】
ファイアウォール３１は、インターネット３、メールサーバ３２、ＤＮＳサーバ３３、社外公開Ｗｅｂサーバ３４およびルータ３５、３６に接続されている。社内システムＷｅｂサーバ３７、３８は、ルータ３５に接続され、業務用ＰＣ３９は、ルータ３６に接続されている。
【００４８】
ここで、ＰＣ３９ＡがランサムウェアＲＷに最初に感染したものとする。このとき、対策案Ａでは対策は行わないため、ファイアウォール３１またはルータ３５、３６を介していても、社内３０の同一ネットワーク上にあれば、時間経過次第では、メールサーバ３２、ＤＮＳサーバ３３、社外公開Ｗｅｂサーバ３４および社内システムＷｅｂサーバ３７、３８もランサムウェアＲＷに感染する危険性がある。
【００４９】
このため、図２の業務支援装置１は、未対策の場合のランサムウェアＲＷに感染する影響範囲をレポート８として出力することで、管理者４は、社内３０の業務システムに及ぶ影響範囲を把握することができ、インシデント発生時に対策を行うかどうかの判断材料とすることができる。
【００５０】
図１２は、図８の対策案Ｂのランサムウェアの影響範囲の一例を示す図である。
図１２において、対策案Ｂでは業務を止めない範囲で対策を行うため、対策に時間がかかることがある。このため、ＰＣ３９ＡがランサムウェアＲＷに最初に感染すると、同一セグメント上のＰＣ３９Ｂ、３９Ｃに直ぐに感染が広がる危険性がある。
【００５１】
このため、図２の業務支援装置１は、業務を止めない範囲で対策を行った場合のランサムウェアＲＷに感染する影響範囲をレポート８として出力することで、管理者４は、社内３０の業務システムに及ぶ影響囲を把握することができ、インシデント発生時に業務を止めない範囲で対策を行うかどうかの判断材料とすることができる。
【００５２】
図１３は、図８の対策案Ｃのランサムウェアの影響範囲の一例を示す図である。
図１３において、対策案Ｃでは業務は止めて対策を行うため、対策を迅速に行うことができる。このため、ＰＣ３９ＡがランサムウェアＲＷに最初に感染した場合においても、それ以上感染が広がるの防止できる可能性がある。
【００５３】
このため、図２の業務支援装置１は、業務を止めて対策を行った場合のランサムウェアＲＷに感染する影響範囲をレポート８として出力することで、管理者４は、社内３０の業務システムに及ぶ影響範囲を把握することができ、業務を止めて対策を行うかどうかの判断材料とすることができる。
【００５４】
図１４は、図１の業務支援装置のハードウェア構成例を示すブロック図である。
図１４において、業務支援装置１０１は、プロセッサ１１、通信制御デバイス１２、通信インタフェース１３、主記憶デバイス１４および外部記憶デバイス１５を備える。プロセッサ１１、通信制御デバイス１２、通信インタフェース１３、主記憶デバイス１４および外部記憶デバイス１５は、内部バス１６を介して相互に接続されている。主記憶デバイス１４および外部記憶デバイス１５は、プロセッサ１１からアクセス可能である。
【００５５】
また、業務支援装置１０１の外部には、入力装置２０および出力装置２１が設けられている。入力装置２０および出力装置２１は、入出力インタフェース１７を介して内部バス１６に接続されている。入力装置２０は、例えば、キーボード、マウス、タッチパネル、カードリーダ、音声入力装置等である。出力装置２１は、例えば、画面表示装置（液晶モニタ、有機ＥＬ（Ｅｌｅｃｔｒｏ  Ｌｕｍｉｎｅｓｃｅｎｃｅ）ディスプレイ、グラフィックカード等）、音声出力装置（スピーカ等）、印字装置等である。
【００５６】
プロセッサ１１は、業務支援装置１０１全体の動作制御を司るハードウェアである。プロセッサ１１は、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）であってもよいし、ＧＰＵ（Ｇｒａｐｈｉｃｓ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）であってもよい。プロセッサ１１は、シングルコアロセッサであってもよいし、マルチコアロセッサであってもよい。プロセッサ１１は、処理の一部または全部を行うハードウェア回路（例えば、ＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ  Ｇａｔｅ  Ａｒｒａｙ）またはＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ  Ｓｐｅｃｉｆｉｃ  Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ））を備えていてもよい。プロセッサ１１は、ニューラルネットワークを備えていてもよい。
【００５７】
主記憶デバイス１４は、例えば、ＳＲＡＭまたはＤＲＡＭなどの半導体メモリから構成することができる。主記憶デバイス１４には、プロセッサ１１が実行中のプログラムを格納したり、プロセッサ１１がプログラムを実行するためのワークエリアを設けたりすることができる。
【００５８】
外部記憶デバイス１５は、大容量の記憶容量を備える記憶デバイスであり、例えば、ハードディスク装置またはＳＳＤ（Ｓｏｌｉｄ  Ｓｔａｔｅ  Ｄｒｉｖｅ）である。外部記憶デバイス１５は、各種プログラムの実行ファイルやプログラムの実行に用いられるデータを保持することができる。外部記憶デバイス１５には、業務支援プログラム１５Ａを格納することができる。業務支援プログラム１５Ａは、業務支援装置１０１にインストール可能なソフトウェアであってもよいし、業務支援装置１０１にファームウェアとして組み込まれていてもよい。
【００５９】
通信制御デバイス１２は、外部との通信を制御する機能を備えるハードウェアである。通信制御デバイス１２は、通信インタフェース１３を介してネットワーク１９に接続される。ネットワーク１９は、インターネットなどのＷＡＮ（Ｗｉｄｅ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）であってもよいし、ＷｉＦｉまたはイーサネット（登録商標）などのＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）であってもよいし、ＷＡＮとＬＡＮが混在していてもよい。
【００６０】
入出力インタフェース１７は、入力装置２０から入力されるデータをプロセッサ１１が処理可能なデータ形式に変換したり、プロセッサ１１から出力されるデータを出力装置２１が処理可能なデータ形式に変換したりする。
【００６１】
プロセッサ１１が業務支援プログラム１５Ａを主記憶デバイス１４に読み出し、業務支援プログラム１５Ａを実行することにより、インシデント発生時のログ情報、企業情報およびランサムウェア情報に基づいて、インシデントが業務に及ぼす影響を予測することができる。このとき、プロセッサ１１は、図２の予測部１Ｂの機能を実現することができる。
【００６２】
なお、業務支援プログラム１５Ａの実行は、複数のプロセッサやコンピュータに分担させてもよい。あるいは、プロセッサ１１は、ネットワーク１９を介してクラウドコンピュータなどに業務支援プログラム１５Ａの全部または一部の実行を指示し、その実行結果を受け取るようにしてもよい。
【００６３】
なお、本発明は上記した実施形態に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施形態の構成の一部を他の実施形態の構成に置き換えることが可能であり、また、ある実施形態の構成に他の実施形態の構成を加えることも可能である。また、各実施形態の構成の一部について、他の構成の追加・削除・置換をすることが可能である。また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。
【符号の説明】
【００６４】
１  業務支援装置、１Ａ  取得部、１Ｂ  予測部、１Ｃ  出力部、２  業務支援端末、２Ａ  表示画面、３  インターネット、４  管理者、５  ログ情報、６  ランサムウェア情報、７  企業情報、８  レポート
【図１】
2020149173.tif 000003
【図２】
2020149173.tif 000004
【図３】
2020149173.tif 000005
【図４】
2020149173.tif 000006
【図５】
2020149173.tif 000007
【図６】
2020149173.tif 000008
【図７】
2020149173.tif 000009
【図８】
2020149173.tif 000010
【図９】
2020149173.tif 000011
【図１０】
2020149173.tif 000012
【図１１】
2020149173.tif 000013
【図１２】
2020149173.tif 000014
【図１３】
2020149173.tif 000015
【図１４】
2020149173.tif 000016