(57)【要約】【課題】導入済みの対策手法に応じて、対策が必要な対策手法を提示する。【解決手段】対策手法の各々を各行にとり、攻撃手法の各々を各列にとったマトリクスにおいて、導入済みの対策ツールに対応する対策手法と、その対策手法で対策可能な攻撃手法とが交わるマスにマッピングし、マップ上でいずれのマスもマッピングされていない列、又は、マッピングされたマスが所定数以下の列に対応する攻撃手法を、対策が必要な攻撃手法として特定し、攻撃手法と、その攻撃手法に対する対策手法とを対応付けて記憶した対策ＤＢを参照して、特定した対策が必要な攻撃手法に対応付けられた対策手法を特定して出力する。【選択図】図４
2020198027.tif 000002
【特許請求の範囲】
【請求項１】
対象システムにおいて導入済みの対策手法に関する情報を受け付け、
複数の対策対象の項目と、前記項目に対する対策手法とを対応付けて記憶した記憶部を参照して、受け付けた前記情報に基づいて、前記対象システムにおいて対策が必要な項目を特定し、
前記記憶部を参照して、特定した前記対策が必要な項目に対する対策手法を特定して出力する
ことを含む処理をコンピュータに実行させるための特定プログラム。
【請求項２】
前記対策手法に関する情報として、前記対策手法を実現するための製品、仕組み、及びルールの少なくとも１つを含む対策ツールの情報を受け付け、
前記記憶部には、前記複数の対策対象の項目と、前記項目に対する対策手法と、前記対策手法に対応する対策ツールとが対応付けて記憶され、
前記対策が必要な項目に対する対策手法を実現するための対策ツールを特定して出力する
請求項１に記載の特定プログラム。
【請求項３】
前記複数の対策対象の項目は、サイバー攻撃の手法に対応した項目であり、
前記サイバー攻撃の進行段階が深いほど、前記サイバー攻撃の手法に対する対策手法の優先度を高くし、前記対策が必要な項目に対する対策手法が複数存在する場合、前記優先度の高い順に前記対策手法を出力する
請求項１又は請求項２に記載の特定プログラム。
【請求項４】
１つの対策手法で対策可能な項目の数が多いほど、前記対策手法の優先度を高くし、前記対策が必要な項目に対する対策手法が複数存在する場合、前記優先度の高い順に前記対策手法を出力する請求項１〜請求項３のいずれか１項に記載の特定プログラム。
【請求項５】
前記複数の対策対象の項目は、サイバー攻撃の手法に対応した項目であり、
特定した前記対策が必要な項目に対する対策手法に第１のスコアを設定し、
前記サイバー攻撃の進行段階が深いほど、前記サイバー攻撃の手法に対する対策手法の優先度が高いことを示す第２のスコアを設定し、
１つの対策手法で対策可能な前記サイバー攻撃の手法の数が多いほど、前記対策手法の優先度が高いことを示す第３のスコアを設定し、
前記対策が必要な項目に対する対策手法が複数存在する場合、前記第１のスコア、前記第２のスコア、及び前記第３のスコアの総合スコアが高い順に前記対策手法を出力する
請求項１〜請求項４のいずれか１項に記載の特定プログラム。
【請求項６】
スコアの値として、前記第１のスコア、前記第２のスコア、前記第３のスコアの順に高い価を設定する請求項５に記載の特定プログラム。
【請求項７】
前記対策対象の項目と、前記項目に対する対策手法とをマトリクスで表現したマップにおいて、前記導入済みの対策手法と、前記対策手法で対策可能な項目とで示されるマスにマッピングすることにより、前記対象システムにおいて対策が必要な項目を特定し、
前記マップ上でマッピングされていない部分に基づいて、前記対策が必要な項目に対する対策手法を特定して出力する
請求項１〜請求項６のいずれか１項に記載の特定プログラム。
【請求項８】
対象システムにおいて導入済みの対策手法に関する情報を受け付ける受付部と、
複数の対策対象の項目と、前記項目に対する対策手法とを対応付けて記憶した記憶部を参照して、前記受付部により受け付けられた前記情報に基づいて、前記対象システムにおいて対策が必要な項目を特定する特定部と、
前記記憶部を参照して、前記特定部により特定された前記対策が必要な項目に対する対策手法を特定して出力する出力部と、
を含む特定装置。
【請求項９】
対象システムにおいて導入済みの対策手法に関する情報を受け付け、
複数の対策対象の項目と、前記項目に対する対策手法とを対応付けて記憶した記憶部を参照して、受け付けた前記情報に基づいて、前記対象システムにおいて対策が必要な項目を特定し、
前記記憶部を参照して、特定した前記対策が必要な項目に対する対策手法を特定して出力する
ことを含む処理をコンピュータが実行する特定方法。
【発明の詳細な説明】
【技術分野】
【０００１】
開示の技術は、特定プログラム、特定装置、及び特定方法に関する。
【背景技術】
【０００２】
近年、サイバー攻撃は巧妙化しており、ファイヤーウォールやＩＰＳ（Intrusion Prevention System）といった一般的なセキュリティ対策製品だけでは十分に防御しきれなくなっている。高度化するサイバー攻撃からシステムを強固にガードすべく、新しいサイバー攻撃に対応した新規製品の導入が必要な状況がある。
【０００３】
高度なサイバー攻撃からシステムを保護するセキュリティ対策製品の選定はとても難しく、ノウハウや選定に掛かる時間及び費用との兼ね合いもあり、一朝一夕では決められない状況がある。このような状況から、従来では、セキュリティ対策製品の選定にあたっては、各人の経験や非ドキュメント化されたノウハウに頼りながら、内部の有識者や外部のコンサルタントによって導入検討を行うなど手探り状態で行う実情がある。
【０００４】
上記のようなセキュリティ対策製品の選定等を支援するための技術が提案されている。例えば、大規模システム全体として適切なセキュリティ対策を立案するためのセキュリティ対策立案支援システムが提案されている。このシステムでは、情報システムの構成に基づいて脅威項目のそれぞれについて攻撃経路に含まれるコンポーネントを導出する。また、このシステムは、対策データベースに、セキュリティ対策について、セキュリティ対策の対象ポイントとセキュリティ対策の効果の度合いを示す効果値とが対応付けて予め記憶される。そして、このシステムは、それぞれの脅威項目の攻撃経路に含まれるコンポーネントと、セキュリティ対策の対象部位とに基づいて、それぞれの脅威項目に対して導入しうるセキュリティ対策を列挙する。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１８−７７５９７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
セキュリティ対策として効果が見込めるセキュリティ対策製品を選定するには、高度なノウハウが必要である。そのため、有識者やコンサルタントではなく、セキュリティ対策製品に対する知見が無い者が選定を行う場合には、セキュリティ対策として効果をなさない場合があり得る。また、人の手だけで判断する場合には、対策製品の導入やコストを掛けても、セキュリティ対策が穴だらけになる場合もある。
【０００７】
上述した従来技術では、システムにより、脅威項目に対して導入しうるセキュリティ対策を列挙している。しかし、例えば、導入済みのセキュリティ対策製品等の対策手法に応じて、新たに対策を検討することは、セキュリティの対策手法について知見が無い者にとって困難である。
【０００８】
一つの側面として、開示の技術は、導入済みの対策手法に応じて、対策が必要な対策手法を提示することを目的とする。
【課題を解決するための手段】
【０００９】
一つの態様として、開示の技術は、対象システムにおいて導入済みの対策手法に関する情報を受け付ける。また、開示の技術は、複数の対策対象の項目と、前記項目に対する対策手法とを対応付けて記憶した記憶部を参照して、受け付けた前記情報に基づいて、前記対象システムにおいて対策が必要な項目を特定する。そして、開示の技術は、前記記憶部を参照して、特定した前記対策が必要な項目に対する対策手法を特定して出力する。
【発明の効果】
【００１０】
一つの側面として、導入済みの対策手法に応じて、対策が必要な対策手法を提示することができる、という効果を有する。
【図面の簡単な説明】
【００１１】
【図１】本実施形態に係る特定装置の機能ブロック図である。
【図２】対策ＤＢの一例を示す図である。
【図３】対策手法と攻撃手法とのマトリクスで表現されるマップの一例を示す図である。
【図４】対策が必要な攻撃手法の特定を説明するための図である。
【図５】本実施形態に係る特定装置として機能するコンピュータの概略構成を示すブロック図である。
【図６】本実施形態における特定処理の一例を示すフローチャートである。
【発明を実施するための形態】
【００１２】
以下、図面を参照して、開示の技術に係る実施形態の一例を説明する。本実施形態では、様々な種類のサイバー攻撃に対して対策が必要な攻撃手法を特定し、その対策手法を特定して出力する特定装置に開示の技術を適用した場合について説明する。
【００１３】
図１に示すように、本実施形態に係る特定装置１０は、機能的には、受付部１２と、特定部１４と、出力部１６とを含む。また、特定装置１０の所定の記憶領域には、対策ＤＢ（Database）２０が記憶される。
【００１４】
受付部１２は、サイバー攻撃に対する対策を行う対象システムについて、導入済み対策ツール情報を受け付ける。導入済み対策ツール情報とは、対象システムに導入済みの対策手法に関する情報であり、対策手法として既に対象システムに導入されている対策ツールの名称等を含む情報である。対策ツールには、ファイヤーウォール、ＩＰＳ（Intrusion Prevention System）、サンドボックス等のセキュリティ対策製品が含まれる。また、対策ツールには、システムのＯＳ（Operating System）等が備えるログ取得機能、ＳＩＥＭ（Security Information and Event Management）等のセキュリティソフトウェアで定義されている監視ルールも含まれる。
【００１５】
受付部１２は、受け付けた導入済み対策ツール情報を特定部１４へ受け渡す。
【００１６】
対策ＤＢ２０には、複数の対策対象の項目と、その項目に対する対策手法とが対応付けて記憶される。本実施形態では、複数の対策対象の項目は、サイバー攻撃の手法に対応した項目である。対策ＤＢ２０に記憶される情報は、何の製品でどのような内容を検知することで、どのようなサイバー攻撃の予兆が検知可能なのか等、アセスメントを通じて培ったノウハウがデータベース化された情報である。また、対策ＤＢ２０には、ＩＰＡ（情報処理推進機構）やＪＰＣＥＲＴ／ＣＣといった公的機関が公布している情報を定期的に収集し、ノウハウと同様にデータベース化された情報も記憶される。
【００１７】
図２に、対策ＤＢ２０の一例を示す。図２の例では、対策ＤＢ２０は、対策−攻撃対応テーブル２０Ａと、対策ツールテーブル２０Ｂと、攻撃手法テーブル２０Ｃとが含まれる。
【００１８】
対策−攻撃対応テーブル２０Ａには、対策手法の識別情報である「対策ＩＤ」、対策手法の目的又は名称を示す「対策手法」、及び、その対策手法で対策可能な攻撃手法を示す「対象攻撃」の各情報が記憶される。「対象攻撃」欄は、攻撃手法の識別情報である攻撃ＩＤが記憶される。
【００１９】
対策ツールテーブル２０Ｂには、「対策ＩＤ」と、その対策ＩＤが示す対策手法を実現するための「対策ツール」とが対応付けて記憶される。
【００２０】
攻撃手法テーブル２０Ｃには、「攻撃ＩＤ」と、その攻撃ＩＤが示す攻撃手法の名称を示す「攻撃手法」とが対応付けて記憶される。
【００２１】
特定部１４は、対策ＤＢ２０を参照して、受付部１２から受け渡された導入済み対策ツール情報に基づいて、対象システムにおいて対策が必要な項目（本実施形態では、攻撃手法）を特定する。
【００２２】
具体的には、特定部１４は、複数の攻撃手法の各々と、複数の対策手法の各々とをマトリクスで表現したマップにおいて、対策ツールを導入済みの対策手法と、その対策手法で対策可能な攻撃手法とで示されるマスにマッピングする。
【００２３】
より具体的には、特定部１４は、例えば、図３に示すように、対策ＤＢ２０の対策−攻撃対応テーブル２０Ａに規定された対策手法の各々を各行にとり、攻撃手法テーブル２０Ｃに規定された攻撃手法の各々を各列にとったマトリクスを作成する。本実施形態では、サイバー攻撃の進行段階が浅い順に左から並ぶように、攻撃手法をマップの列に配置する。特定部１４は、対策ツールテーブル２０Ｂから、導入済み対策ツール情報が示す対策ツールに対応する対策手法の対策ＩＤを抽出し、対策−攻撃対応テーブル２０Ａから、抽出した対策ＩＤに対応する対象攻撃の攻撃ＩＤを抽出する。そして、特定部１４は、マップ上において、抽出した対策ＩＤと攻撃ＩＤとが交わるマスにマッピングする。図３の例では、マッピングされたマスを網掛けで示している。
【００２４】
特定部１４は、複数の攻撃手法のうち、導入済みの対策ツールでは対策がとれていない攻撃手法を特定する。具体的には、特定部１４は、図４の破線Ｐに示すように、マップ上でいずれのマスもマッピングされていない列に対応する攻撃手法を、対策が必要な攻撃手法として特定する。図４では、マップの各行及び各列には、対策手法の名称及び攻撃手法の名称を省略して、対策ＩＤ及び攻撃ＩＤのみを表記している。
【００２５】
なお、対策が全くとれていない攻撃手法だけでなく、例えば、１つの攻撃手法に対する対策手法が２つ以下などのように、導入済みの対策手法が少ない攻撃手法を、対策が必要な攻撃手法として特定してもよい。特定部１４は、特定した攻撃手法の攻撃ＩＤを出力部１６へ受け渡す。
【００２６】
出力部１６は、対策ＤＢ２０を参照して、特定部１４から受け渡された攻撃ＩＤが示す攻撃手法に対する対策手法を特定して出力する。また、出力部１６は、対策手法に代えて、又は、対策手法と共に、その対策手法を実現するための対策ツールの情報を出力してもよい。また、出力部１６は、対策が必要な攻撃手法に対する対策手法が複数存在する場合、それら複数の対策手法を提案候補とし、提案候補を優先度が高い順に出力してもよい。提案候補の優先度としては、例えば、サイバー攻撃の進行段階が深いほど、その攻撃手法に対する提案候補の優先度を高くしたり、１つの提案候補で対策可能な攻撃手法の数が多いほど優先度を高くしたりすることができる。
【００２７】
具体的には、出力部１６は、対象システムにおいて導入済みの対策ツールで対策がとられていない対策手法の各々を提案候補とし、対策ＤＢ２０の対策−攻撃対応テーブル２０Ａから、提案候補の対策ＩＤに対応付けられている攻撃ＩＤの全てを抽出する。出力部１６は、図４のＱに示すように、各提案候補を示す行をマップに追加し、抽出した攻撃ＩＤに対応するマス、すなわち、各提案候補が対策可能な攻撃手法に対応するマスにマッピングする。
【００２８】
また、出力部１６は、提案候補のうち、対策が必要な攻撃手法に対して対策可能な提案候補に、第１のスコア（本実施形態では、１０点）を付与する。なお、図４の例では、第１のスコアが付与された、対策ＩＤが「９」、「１０」、及び「１１」の提案候補のみを表示している。
【００２９】
また、出力部１６は、対象システムにおいて対策が必要な攻撃手法が複数存在する場合、その攻撃手法のうち、サイバー攻撃の進行段階が深い攻撃手法に対して対策可能な提案候補に、第２のスコアを付与する。なお、第２のスコアは、第１のスコアより小さい値（本実施形態では、３点）とすることができる。図４の例では、対策が必要な攻撃手法の攻撃ＩＤは「Ａ」及び「Ｅ」であり、「Ｅ」の方が攻撃の進行段階が深い。したがって、攻撃ＩＤが「Ｅ」の攻撃手法に対して対策可能な、対策ＩＤが「９」及び「１０」の提案手法に３点が付与される。
【００３０】
また、出力部１６は、第２のスコアが付与された提案候補に対して、各提案候補が対策可能な攻撃手法の数に応じた第３のスコアを付与する。なお、攻撃手法１つに付き付与される第３のスコアは、第１のスコアより小さい値（本実施形態では、攻撃手法１つに付き１点）とすることができる。図４の例では、第２のスコアが付与された対策ＩＤが「９」の提案手法は２つの攻撃手法に対策可能であるため、２点が付与される。同様に、対策ＩＤが「１０」の提案手法は３つの攻撃手法に対策可能であるため、３点が付与される。
【００３１】
なお、第３のスコアは、第２のスコアが付与された提案候補に限定して付与する場合に限らず、第１のスコアが付与された提案候補を対象として付与してもよい。
【００３２】
また、上記の各スコアの値は一例であり、第２のスコアよりも、攻撃手法１つに付き付与される第３のスコアを大きくしてもよいし、全ての種類のスコアを同一の値としてもよい。
【００３３】
出力部１６は、各提案候補に付与された第１のスコア、第２のスコア、及び第３のスコアの合計等の総合スコアが高い順に、対策手法を出力する。例えば、出力部１６は、総合スコアが最も高い提案候補である対策手法を出力してもよいし、総合スコアが高い順に所定個の対策手法を出力してもよい。出力部１６は、例えば、「Ｗｅｂによる不正コンテンツ対策を提案します。」等のメッセージがディスプレイに表示されるように出力することができる。また、出力部１６は、図４に示すようなマップ自体をディスプレイに表示し、マップ上で、該当の対策手法の行が強調表示されるようにしてもよい。
【００３４】
また、出力部１６は、対策手法に代えて、又は、対策手法と共に対策ツールを特定して出力する場合には、提案候補の対策手法を実現するための対策ツールを対策ＤＢ２０の対策ツールテーブル２０Ｂから特定する。そして、出力部１６は、特定した対策ツールの各々を提案候補として、上記と同様に処理すればよい。この場合、出力部１６は、「製品ｃｃｃの導入を提案します。」等のメッセージを出力することができる。また、顧客の環境や予算に応じて選択の幅が広がるように、複数パターンの提案を出力してもよい。例えば、出力部１６は、「梅パターン：製品ｃｃｃの導入、竹パターン：製品ｃｃｃ及び製品ｄｄｄの導入、松パターン：製品ｃｃｃ、製品ｄｄｄ、及び製品ｅｅｅの導入を提案します。」等のメッセージを出力することができる。
【００３５】
特定装置１０は、例えば図５に示すコンピュータ４０で実現することができる。コンピュータ４０は、ＣＰＵ（Central Processing Unit）４１と、一時記憶領域としてのメモリ４２と、不揮発性の記憶部４３とを備える。また、コンピュータ４０は、入力部、表示部等の入出力装置４４と、記憶媒体４９に対するデータの読み込み及び書き込みを制御するＲ／Ｗ（Read/Write）部４５とを備える。また、コンピュータ４０は、インターネット等のネットワークに接続される通信Ｉ／Ｆ（Interface）４６を備える。ＣＰＵ４１、メモリ４２、記憶部４３、入出力装置４４、Ｒ／Ｗ部４５、及び通信Ｉ／Ｆ４６は、バス４７を介して互いに接続される。
【００３６】
記憶部４３は、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、フラッシュメモリ等によって実現できる。記憶媒体としての記憶部４３には、コンピュータ４０を、特定装置１０として機能させるための特定プログラム５０が記憶される。特定プログラム５０は、受付プロセス５２と、特定プロセス５４と、出力プロセス５６とを有する。また、記憶部４３は、対策ＤＢ２０を構成する情報が記憶される情報記憶領域６０を有する。
【００３７】
ＣＰＵ４１は、特定プログラム５０を記憶部４３から読み出してメモリ４２に展開し、特定プログラム５０が有するプロセスを順次実行する。ＣＰＵ４１は、受付プロセス５２を実行することで、図１に示す受付部１２として動作する。また、ＣＰＵ４１は、特定プロセス５４を実行することで、図１に示す特定部１４として動作する。また、ＣＰＵ４１は、出力プロセス５６を実行することで、図１に示す出力部１６として動作する。また、ＣＰＵ４１は、情報記憶領域６０から情報を読み出して、対策ＤＢ２０をメモリ４２に展開する。これにより、特定プログラム５０を実行したコンピュータ４０が、特定装置１０として機能することになる。なお、プログラムを実行するＣＰＵ４１はハードウェアである。
【００３８】
なお、特定プログラム５０により実現される機能は、例えば半導体集積回路、より詳しくはＡＳＩＣ（Application Specific Integrated Circuit）等で実現することも可能である。
【００３９】
次に、本実施形態に係る特定装置１０の作用について説明する。特定装置１０に導入済み対策ツール情報が入力されると、特定装置１０において、図６に示す特定処理が実行される。なお、特定処理は、開示の技術の特定方法の一例である。
【００４０】
ステップＳ１２で、受付部１２が、特定装置１０に入力された導入済み対策ツール情報を受け付け、受け付けた導入済み対策ツール情報を特定部１４へ受け渡す。
【００４１】
次に、ステップＳ１４で、特定部１４が、対策ＤＢ２０の対策−攻撃対応テーブル２０Ａに規定された対策手法の各々を各行にとり、攻撃手法テーブル２０Ｃに規定された攻撃手法の各々を各列にとったマトリクスを作成する。また。特定部１４が、対策ツールテーブル２０Ｂから、導入済み対策ツール情報が示す対策ツールに対応する対策手法の対策ＩＤを抽出し、対策−攻撃対応テーブル２０Ａから、抽出した対策ＩＤに対応する対象攻撃の攻撃ＩＤを抽出する。そして、特定部１４が、マップ上において、抽出した対策ＩＤと攻撃ＩＤとが交わるマスにマッピングする。このマッピングの有無により、導入済みの対策ツールで対策可能な攻撃手法が特定される。
【００４２】
次に、ステップＳ１６で、特定部１４が、マップ上でいずれのマスもマッピングされていない列、又は、マッピングされているマスが所定数以下の列に対応する攻撃手法を、対策が必要な攻撃手法、すなわち、未対策の攻撃手法として特定する。そして、特定部１４が、未対策の攻撃手法が存在するか否かを判定する。未対策の攻撃手法が存在する場合には、処理はステップＳ２０へ移行し、存在しない場合には、処理はステップＳ１８へ移行する。
【００４３】
ステップＳ１８では、出力部１６が、例えば、「未対策の攻撃手法はありません。」等のメッセージを出力して、特定処理は終了する。
【００４４】
一方、ステップＳ２０では、特定部１４が、特定した未対策の攻撃手法の攻撃ＩＤを出力部１６へ受け渡す。そして、出力部１６が、対象システムにおいて導入済みの対策ツールで対策がとられていない対策手法の各々を提案候補とし、対策ＤＢ２０の対策−攻撃対応テーブル２０Ａから、提案候補の対策ＩＤに対応付けられている攻撃ＩＤの全てを抽出する。そして、出力部１６が、各提案候補を示す行をマップに追加し、抽出した攻撃ＩＤに対応するマス、すなわち、各提案候補が対策可能な攻撃手法に対応するマスにマッピングする。さらに、出力部１６が、提案候補のうち、対策が必要な攻撃手法に対して対策可能な提案候補に、第１のスコアとして１０点を付与する。
【００４５】
次に、ステップＳ２２で、出力部１６が、提案候補が複数存在するか否かを判定する。提案候補が複数存在する場合には、処理はステップＳ２４へ移行し、１つのみの場合には、処理はステップＳ３０へ移行する。
【００４６】
ステップＳ２４では、出力部１６が、上記ステップＳ１６で特定された未対策の攻撃手法が複数存在するか否かを判定する。未対策の攻撃手法が複数存在する場合には、処理はステップＳ２６へ移行し、１つのみの場合には、処理はステップＳ３０へ移行する。
【００４７】
ステップＳ２６では、出力部１６が、上記ステップＳ２４で複数存在すると判定した攻撃手法のうち、サイバー攻撃の進行段階が深い攻撃手法に対して対策可能な提案候補に、第２のスコアとして３点を付与する。
【００４８】
次に、ステップＳ２８で、出力部１６が、第２のスコアが付与された提案候補に対して、第３のスコアとして、各提案候補が対策可能な攻撃手法１つに付き１点を付与する。
【００４９】
次に、ステップＳ３０で、出力部１６が、各提案候補に付与された第１のスコア、第２のスコア、及び第３のスコアの合計等の総合スコアが最も高い提案候補を、提案する対策手法として出力し、特定処理は終了する。
【００５０】
以上説明したように、本実施形態に係る特定装置は、サイバー攻撃の攻撃手法と、その攻撃手法に対する対策手法とを対応付けて記憶した対策ＤＢを参照し、導入済みの対策手法に基づいて、対象システムにおいて対策が必要な攻撃手法を特定する。そして、特定装置は、対策ＤＢを参照して、特定した、対策が必要な攻撃手法に対する対策手法を特定して出力する。これにより、本実施形態に係る特定装置によれば、導入済みの対策手法に応じて、対策が必要な対策手法を提示することができる。
【００５１】
また、本実施形態に係る特定装置は、対策手法と攻撃手法とのマトリクスで表されるマップを用いて、対策が必要な攻撃手法を特定したり、提案する対策手法を特定したりする。このようなマップを表示することにより、サイバー攻撃にどの程度対策できているかを可視化し、対策の網羅性の把握が容易になる。また、提案する対策手法が複数ある場合にも、それらの提案候補の比較が容易となる。
【００５２】
また、本実施形態に係る特定装置は、提案候補が複数ある場合に、優先度に応じてスコアを付与し、スコアが高い提案候補を、提案する対策手法とする。これにより、より効果のある対策手法を自動選定することができ、有識者やコンサルタント等をアサインしなくとも、導入する対策手法の選定が容易となる。
【００５３】
なお、上記実施形態では、対策対象の項目がサイバー攻撃の攻撃手法である場合について説明したが、これに限定されない。例えば、複数の工程を含む作業において、各作業で必要なツールを選定する場合などにも適用可能である。
【００５４】
また、上記実施形態では、導入済みの対策手法に関する情報として、導入済み対策ツール情報を受け付ける場合について説明したが、これに限定されない。対象システムにおいて、対策済みの項目（攻撃手法）を、導入済みの対策手法に関する情報として受け付けてもよい。
【００５５】
また、上記実施形態では、対策対象の項目が、サイバー攻撃の攻撃手法として予め定めた項目である場合について説明したが、これに限定されない。対策対象の項目は、対象システムのユーザが対策を必要とする項目を入力として受け付けてもよい。
【００５６】
また、上記実施形態では、特定プログラムが記憶部に予め記憶（インストール）されている態様を説明したが、これに限定されない。開示の技術に係るプログラムは、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、ＵＳＢメモリ等の記憶媒体に記憶された形態で提供することも可能である。
【００５７】
以上の実施形態に関し、更に以下の付記を開示する。
【００５８】
（付記１）
対象システムにおいて導入済みの対策手法に関する情報を受け付け、
複数の対策対象の項目と、前記項目に対する対策手法とを対応付けて記憶した記憶部を参照して、受け付けた前記情報に基づいて、前記対象システムにおいて対策が必要な項目を特定し、
前記記憶部を参照して、特定した前記対策が必要な項目に対する対策手法を特定して出力する
ことを含む処理をコンピュータに実行させるための特定プログラム。
【００５９】
（付記２）
前記対策手法に関する情報として、前記対策手法を実現するための製品、仕組み、及びルールの少なくとも１つを含む対策ツールの情報を受け付け、
前記記憶部には、前記複数の対策対象の項目と、前記項目に対する対策手法と、前記対策手法に対応する対策ツールとが対応付けて記憶され、
前記対策が必要な項目に対する対策手法を実現するための対策ツールを特定して出力する
付記１に記載の特定プログラム。
【００６０】
（付記３）
前記複数の対策対象の項目は、サイバー攻撃の手法に対応した項目であり、
前記サイバー攻撃の進行段階が深いほど、前記サイバー攻撃の手法に対する対策手法の優先度を高くし、前記対策が必要な項目に対する対策手法が複数存在する場合、前記優先度の高い順に前記対策手法を出力する
付記１又は付記２に記載の特定プログラム。
【００６１】
（付記４）
１つの対策手法で対策可能な項目の数が多いほど、前記対策手法の優先度を高くし、前記対策が必要な項目に対する対策手法が複数存在する場合、前記優先度の高い順に前記対策手法を出力する付記１〜付記３のいずれか１項に記載の特定プログラム。
【００６２】
（付記５）
前記複数の対策対象の項目は、サイバー攻撃の手法に対応した項目であり、
特定した前記対策が必要な項目に対する対策手法に第１のスコアを設定し、
前記サイバー攻撃の進行段階が深いほど、前記サイバー攻撃の手法に対する対策手法の優先度が高いことを示す第２のスコアを設定し、
１つの対策手法で対策可能な前記サイバー攻撃の手法の数が多いほど、前記対策手法の優先度が高いことを示す第３のスコアを設定し、
前記対策が必要な項目に対する対策手法が複数存在する場合、前記第１のスコア、前記第２のスコア、及び前記第３のスコアの総合スコアが高い順に前記対策手法を出力する
付記１〜付記４のいずれか１項に記載の特定プログラム。
【００６３】
（付記６）
スコアの値として、前記第１のスコア、前記第２のスコア、前記第３のスコアの順に高い価を設定する付記５に記載の特定プログラム。
【００６４】
（付記７）
前記対策対象の項目と、前記項目に対する対策手法とをマトリクスで表現したマップにおいて、前記導入済みの対策手法と、前記対策手法で対策可能な項目とで示されるマスにマッピングすることにより、前記対象システムにおいて対策が必要な項目を特定し、
前記マップ上でマッピングされていない部分に基づいて、前記対策が必要な項目に対する対策手法を特定して出力する
付記１〜付記６のいずれか１項に記載の特定プログラム。
【００６５】
（付記８）
対象システムにおいて導入済みの対策手法に関する情報を受け付ける受付部と、
複数の対策対象の項目と、前記項目に対する対策手法とを対応付けて記憶した記憶部を参照して、前記受付部により受け付けられた前記情報に基づいて、前記対象システムにおいて対策が必要な項目を特定する特定部と、
前記記憶部を参照して、前記特定部により特定された前記対策が必要な項目に対する対策手法を特定して出力する出力部と、
を含む特定装置。
【００６６】
（付記９）
前記受付部は、前記対策手法に関する情報として、前記対策手法を実現するための製品、仕組み、及びルールの少なくとも１つを含む対策ツールの情報を受け付け、
前記記憶部には、前記複数の対策対象の項目と、前記項目に対する対策手法と、前記対策手法に対応する対策ツールとが対応付けて記憶され、
前記出力部は、前記対策が必要な項目に対する対策手法を実現するための対策ツールを特定して出力する
付記８に記載の特定装置。
【００６７】
（付記１０）
前記複数の対策対象の項目は、サイバー攻撃の手法に対応した項目であり、
前記出力部は、前記サイバー攻撃の進行段階が深いほど、前記サイバー攻撃の手法に対する対策手法の優先度を高くし、前記対策が必要な項目に対する対策手法が複数存在する場合、前記優先度の高い順に前記対策手法を出力する
付記８又は付記９に記載の特定装置。
【００６８】
（付記１１）
前記出力部は、１つの対策手法で対策可能な項目の数が多いほど、前記対策手法の優先度を高くし、前記対策が必要な項目に対する対策手法が複数存在する場合、前記優先度の高い順に前記対策手法を出力する付記８〜付記１０のいずれか１項に記載の特定装置。
【００６９】
（付記１２）
前記複数の対策対象の項目は、サイバー攻撃の手法に対応した項目であり、
前記出力部は、
特定した前記対策が必要な項目に対する対策手法に第１のスコアを設定し、
前記サイバー攻撃の進行段階が深いほど、前記サイバー攻撃の手法に対する対策手法の優先度が高いことを示す第２のスコアを設定し、
１つの対策手法で対策可能な前記サイバー攻撃の手法の数が多いほど、前記対策手法の優先度が高いことを示す第３のスコアを設定し、
前記対策が必要な項目に対する対策手法が複数存在する場合、前記第１のスコア、前記第２のスコア、及び前記第３のスコアの総合スコアが高い順に前記対策手法を出力する
付記８〜付記１１のいずれか１項に記載の特定装置。
【００７０】
（付記１３）
前記出力部は、スコアの値として、前記第１のスコア、前記第２のスコア、前記第３のスコアの順に高い価を設定する付記１２に記載の特定装置。
【００７１】
（付記１４）
前記特定部は、前記対策対象の項目と、前記項目に対する対策手法とをマトリクスで表現したマップにおいて、前記導入済みの対策手法と、前記対策手法で対策可能な項目とで示されるマスにマッピングすることにより、前記対象システムにおいて対策が必要な項目を特定し、
前記出力部は、前記マップ上でマッピングされていない部分に基づいて、前記対策が必要な項目に対する対策手法を特定して出力する
付記８〜付記１３のいずれか１項に記載の特定装置。
【００７２】
（付記１５）
対象システムにおいて導入済みの対策手法に関する情報を受け付け、
複数の対策対象の項目と、前記項目に対する対策手法とを対応付けて記憶した記憶部を参照して、受け付けた前記情報に基づいて、前記対象システムにおいて対策が必要な項目を特定し、
前記記憶部を参照して、特定した前記対策が必要な項目に対する対策手法を特定して出力する
ことを含む処理をコンピュータが実行する特定方法。
【００７３】
（付記１６）
前記対策手法に関する情報として、前記対策手法を実現するための製品、仕組み、及びルールの少なくとも１つを含む対策ツールの情報を受け付け、
前記記憶部には、前記複数の対策対象の項目と、前記項目に対する対策手法と、前記対策手法に対応する対策ツールとが対応付けて記憶され、
前記対策が必要な項目に対する対策手法を実現するための対策ツールを特定して出力する
付記１５に記載の特定方法。
【００７４】
（付記１７）
前記複数の対策対象の項目は、サイバー攻撃の手法に対応した項目であり、
前記サイバー攻撃の進行段階が深いほど、前記サイバー攻撃の手法に対する対策手法の優先度を高くし、前記対策が必要な項目に対する対策手法が複数存在する場合、前記優先度の高い順に前記対策手法を出力する
付記１５又は付記１６に記載の特定方法。
【００７５】
（付記１８）
１つの対策手法で対策可能な項目の数が多いほど、前記対策手法の優先度を高くし、前記対策が必要な項目に対する対策手法が複数存在する場合、前記優先度の高い順に前記対策手法を出力する付記１５〜付記１７のいずれか１項に記載の特定方法。
【００７６】
（付記１９）
前記複数の対策対象の項目は、サイバー攻撃の手法に対応した項目であり、
特定した前記対策が必要な項目に対する対策手法に第１のスコアを設定し、
前記サイバー攻撃の進行段階が深いほど、前記サイバー攻撃の手法に対する対策手法の優先度が高いことを示す第２のスコアを設定し、
１つの対策手法で対策可能な前記サイバー攻撃の手法の数が多いほど、前記対策手法の優先度が高いことを示す第３のスコアを設定し、
前記対策が必要な項目に対する対策手法が複数存在する場合、前記第１のスコア、前記第２のスコア、及び前記第３のスコアの総合スコアが高い順に前記対策手法を出力する
付記１５〜付記１８のいずれか１項に記載の特定方法。
【００７７】
（付記２０）
対象システムにおいて導入済みの対策手法に関する情報を受け付け、
複数の対策対象の項目と、前記項目に対する対策手法とを対応付けて記憶した記憶部を参照して、受け付けた前記情報に基づいて、前記対象システムにおいて対策が必要な項目を特定し、
前記記憶部を参照して、特定した前記対策が必要な項目に対する対策手法を特定して出力する
ことを含む処理をコンピュータに実行させるための特定プログラムを記憶した記憶媒体。
【符号の説明】
【００７８】
１０   特定装置
１２   受付部
１４   特定部
１６   出力部
２０   対策ＤＢ
２０Ａ 対策−攻撃対応テーブル
２０Ｂ 対策ツールテーブル
２０Ｃ 攻撃手法テーブル
４０   コンピュータ
４１   ＣＰＵ
４２   メモリ
４３   記憶部
４９   記憶媒体
５０   特定プログラム
【図１】
2020198027.tif 000003
【図２】
2020198027.tif 000004
【図３】
2020198027.tif 000005
【図４】
2020198027.tif 000006
【図５】
2020198027.tif 000007
【図６】
2020198027.tif 000008