(57)【要約】【課題】サイバーインシデントにつながりそうな観測事象が発生した時点で、攻撃によるビジネスへの影響を早期に把握する。【解決手段】推定装置１０は、ネットワークにおける機器を識別する機器情報と、該機器において発生した観測事象とを端末からの入力として受け付ける。推定装置１０は、受け付けられた機器情報に対応する第１の機器の属性情報を取得し、取得した属性情報と、受け付けられた観測事象とに基づいて、ネットワークにおける機器が攻撃を受けるリスクを推定する。推定装置１０は、この推定結果を基に、ネットワークにおける機器が攻撃を受けることによる前記ネットワークが提供するサービスに関するビジネスへの影響度を推定し、推定結果を出力する。【選択図】図１
2020086530.tif 000002
【特許請求の範囲】
【請求項１】
推定装置によって実行される推定方法であって、
ネットワークにおける機器を識別する機器情報と、該機器において発生した観測事象とを端末からの入力として受け付ける受付工程と、
前記受付工程において受け付けられた機器情報に対応する第１の機器の属性情報を取得し、取得した属性情報と前記受付工程において受け付けられた観測事象とに基づいて、前記ネットワークにおける機器が攻撃を受けるリスクを推定する第１の推定工程と、
前記第１の推定工程における推定結果を基に、前記ネットワークにおける機器が攻撃を受けることによる前記ネットワークが提供するサービスに関するビジネスへの影響度を推定する第２の推定工程と、
前記第２の推定工程において推定された推定結果を出力する第１の出力工程と、
を含んだことを特徴とする推定方法。
【請求項２】
前記第１の推定工程は、セグメント接続情報を基に、前記第１の機器から攻撃が遷移する可能性がある第２の機器への攻撃遷移確率を求め、予め想定された各機器の利用目的に応じた被害の内容及び攻撃の種別による被害の発生確率と、前記第２の機器への攻撃遷移確率とを基に、攻撃による被害の発生確率を推定し、
前記第２の推定工程は、各サービスが影響を与える各種情報を基に、前記ネットワークが提供するサービスに関し、攻撃によって発生する被害によるビジネスへの影響に係わる金額を求め、求めた金額及び前記攻撃による被害の発生確率を用いて、前記ビジネスへの影響度を推定することを特徴とする請求項１に記載の推定方法。
【請求項３】
前記第２の推定工程は、前記求めた金額に、前記攻撃による被害の発生確率を乗じた金額に、外部状況に基づくビジネス影響指標を重み付けとして乗じて、前記ビジネスへの影響度とすることを特徴とする請求項２に記載の推定方法。
【請求項４】
前記第１の推定工程は、遷移元の機器の攻撃確率に、ホップ数に基づく値を重み付けとして乗じて、前記第２の機器への攻撃遷移確率を求めることを特徴とする請求項２に記載の推定方法。
【請求項５】
前記端末に、前記攻撃による被害の発生確率と、前記攻撃に対する対策とを出力する第２の出力工程と、
前記端末から選択された対策を受け付けると、受け付けた対策に応じた補正値を用いて、前記攻撃による被害の発生確率を補正する補正工程と、
補正工程におい補正された前記攻撃による被害の発生確率を前記端末に出力する第３の出力工程と、
を含んだことを特徴とする請求項２に記載の推定方法。
【請求項６】
ネットワークにおける機器を識別する機器情報と、該機器において発生した観測事象とを端末からの入力として受け付ける受付部と、
前記受付部によって受け付けられた機器情報に対応する第１の機器の属性情報を取得し、取得した属性情報と前記受付部によって受け付けられた観測事象とに基づいて、前記ネットワークにおける機器が攻撃を受けるリスクを推定する第１の推定部と、
前記第１の推定部による推定結果を基に、前記ネットワークにおける機器が攻撃を受けることによる前記ネットワークが提供するサービスに関するビジネスへの影響度を推定する第２の推定部と、
前記第２の推定部によって推定された推定結果を出力する出力部と、
を有することを特徴とする推定装置。
【請求項７】
ネットワークにおける機器を識別する機器情報と、該機器において発生した観測事象とを端末からの入力として受け付ける受付ステップと、
前記受付ステップにおいて受け付けられた機器情報に対応する第１の機器の属性情報を取得し、取得した属性情報と前記受付ステップにおいて受け付けられた観測事象とに基づいて、前記ネットワークにおける機器が攻撃を受けるリスクを推定する第１の推定ステップと、
前記第１の推定ステップにおける推定結果を基に、前記ネットワークにおける機器が攻撃を受けることによる前記ネットワークが提供するサービスに関するビジネスへの影響度を推定する第２の推定ステップと、
前記第２の推定ステップにおいて推定された推定結果を出力する出力ステップと、
をコンピュータに実行させることを特徴とする推定プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、推定方法、推定装置および推定プログラムに関する。
【背景技術】
【０００２】
様々な情報やサービスがデジタル化されている現在、経営者は、情報の基盤として用いるシステムや営業秘密等の重要な情報に対する企業戦略上の価値及び役割を認識し、サイバー攻撃によるリスク対処に係る方針を明確にする必要がある。経営者は、自社が保有する資産のうち、守るべき情報を特定し、発生しうるサイバーセキュリティリスクを把握し、リスク低減策、回避策、移転策の観点でサイバーセキュリティ対策の方針を検討し、実装する。また、経営者による検討から漏れたリスクは、残留リスクとして識別すべきであるとするガイドラインが、経済産業省より出されている（非特許文献１参照）。
【０００３】
ここで、経営者は、リスクに対応する方法の一つとして、コンピュータウィルスから端末やサーバを保護するためのウィルス対策ソフトをインストールする、或いは、社内ネットワークとインターネットとの間にウィルス対策ソフトを設置して、外部からの攻撃を防御する等の対策をとることができる。このような対策によって、サイバーセキュリティリスクを軽減することが可能となる。
【０００４】
また、サイバー攻撃が発生してしまった時には、サービスダウンや情報漏えいなどの被害に遭い、さらに第三者への損害賠償や対応費用、利益損害等が生じるため、サイバーリスク保険で費用を軽減するサービスもある。
【０００５】
そして、ＩＴシステムを構成する機器情報とセキュリティ情報とに基づき、事前に入手した機器の脆弱性、機器の持つビジネスへの影響、及び、機器に接続されている他の機器との関係を考慮して、リスクを判断する方法もある。この方法を用いることによってリスクの優先順位が確定するため、攻撃が見つかった場合、経営者は、優先順位に従って、攻撃に対する対処を実行する。
【０００６】
さらに、近年では、自然災害予想とサイバー予報との両方を組み合わせることにより、より精度の高い査定をする方法も提案されている（特許文献１参照）。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２０１７−１１７０６７号公報
【非特許文献】
【０００８】
【非特許文献１】経済産業省、「サイバーセキュリティ経営ガイドライン  Ver  2.0」、［online］、［平成３０年１１月７日検索］、インターネット＜ＵＲＬ：http://www.meti.go.jp/policy/netsecurity/downloadfiles/CSM_Guideline_v2.0.pdf＞
【発明の概要】
【発明が解決しようとする課題】
【０００９】
ここで、サイバーインシデントなどの危機対応として、企業の中には、自社で決めた方針に則りセキュリティ対策を実行しているところもあるものの、攻撃は日々進化しており、完全に防御することは難しい。また、中小企業のように、セキュリティ対策に対する予算や専門の人員を割り当てられないところも少なくなく、毎日のように情報漏えいやインシデントが起きていることも事実である。
【００１０】
企業内のある端末がサイバー攻撃にあった場合には、攻撃の特徴やウィルスによって、さらに攻撃が拡大する可能性がある。例えば、未知のウィルスによる端末が攻撃されると、その時点でのウィルス定義ファイルには、未知のウィルス情報は含まれていないため、ウィルス対策ソフトでは検知できない。また、メールなどを使ったコンピュータウィルスの侵入や、内部犯など、ファイヤウォールでは防ぎきれない攻撃もあるため、万全ではない。
【００１１】
さらに、企業がサイバー攻撃による被害の事態の公表が遅れたために、マスコミなどの外部メディアから不手際を非難される、Ｔｗｉｔｔｅｒなどでネット炎上によりさらに収拾がつかなくなる、このような一連の対応により販売が落ち込む、或いは、監督省庁から対応の遅れを指導され、ブランドの低下や取り扱う商品が制約されるなど、ビジネスへの影響も大きくなっている。
【００１２】
また、前述のサイバーリスク保険は、あくまでも損害賠償責任に対する補償や対応にかかった費用に対する補償にとどまる。このため、サイバーリスク保険に加入していたとしても、サイバー攻撃の被害範囲を小さくするものでもなく、企業のブランドの低下を食い止める機能もない。そして、特許文献１に記載の方法も、サイバーリスク保険と同様に、サイバー攻撃の被害範囲を小さくするものでもなく、企業のブランドの低下を食い止める機能もない。
【００１３】
本発明は、上記に鑑みてなされたものであって、サイバーインシデントにつながりそうな観測事象が発生した時点で、攻撃によるビジネスへの影響を早期に把握することができる推定方法、推定装置および推定プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１４】
上述した課題を解決し、目的を達成するために、本発明の推定方法は、推定装置によって実行される推定方法であって、ネットワークにおける機器を識別する機器情報と、該機器において発生した観測事象とを端末からの入力として受け付ける受付工程と、受付工程において受け付けられた機器情報に対応する第１の機器の属性情報を取得し、取得した属性情報と受付工程において受け付けられた観測事象とに基づいて、ネットワークにおける機器が攻撃を受けるリスクを推定する第１の推定工程と、第１の推定工程における推定結果を基に、ネットワークにおける機器が攻撃を受けることによるネットワークが提供するサービスに関するビジネスへの影響度を推定する第２の推定工程と、第２の推定工程において推定された推定結果を出力する第１の出力工程と、を含んだことを特徴とする。
【発明の効果】
【００１５】
本発明によれば、サイバーインシデントにつながりそうな観測事象が発生した時点で、攻撃によるビジネスへの影響を早期に把握することができる。
【図面の簡単な説明】
【００１６】
【図１】図１は、実施の形態に係る推定装置を含むシステムの構成例を示すブロック図である。
【図２】図２は、実施の形態におけるシステムが管理するネットワークの構成例を示す図である。
【図３】図３は、機器情報テーブルのデータ構成の一例を示す図である。
【図４】図４は、セグメント接続情報テーブルのデータ構成の一例を示す図である。
【図５】図５は、観測事象情報テーブルのデータ構成の一例を示す図である。
【図６】図６は、インシデント情報テーブルのデータ構成の一例を示す図である。
【図７】図７は、利用目的と被害との関係提示テーブルのデータ構成の一例を示す図である。
【図８】図８は、攻撃種別情報テーブルのデータ構成の一例を示す図である。
【図９】図９は、対策テーブルのデータ構成の一例を示す図である。
【図１０】図１０は、対策案に対する攻撃種別情報テーブルのデータ構成の一例を示す図である。
【図１１】図１１は、インシデントに対する対策状況報告テーブルのデータ構成の一例を示す図である。
【図１２】図１２は、サービス名に関するビジネス影響テーブルのデータ構成の一例を示す図である。
【図１３】図１３は、利用者端末に表示される画面の一例を示す図である。
【図１４】図１４は、図２に示すネットワークに対するリスク推定部による被害の確率算出の一例を示す図である。
【図１５】図１５は、攻撃遷移確率の算出方法を説明する図である。
【図１６】図１６は、攻撃の種別による各被害の発生確率の算出方法を説明する図である。
【図１７】図１７は、利用者端末に表示される画面の一例を示す図である。
【図１８】図１８は、リスク推定部による補正処理を説明する図である。
【図１９】図１９は、利用者端末に表示される画面の一例を示す図である。
【図２０】図２０は、利用者端末に表示される画面の一例を示す図である。
【図２１】図２１は、実施の形態に係る推定処理の流れの一例を示すシーケンス図である。
【図２２】図２２は、推定プログラムを実行するコンピュータを示す図である。
【発明を実施するための形態】
【００１７】
以下に、本願に係る推定方法、推定装置および推定プログラムの実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態により本願に係る推定方法、推定装置および推定プログラムが限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。
【００１８】
［実施の形態］
以下の実施の形態では、第１の実施の形態に係る推定装置の構成、推定装置の処理の流れを順に説明し、最後に実施の形態による効果を説明する。
【００１９】
［推定装置の構成］
まず、図１を用いて、実施の形態に係る推定装置を含むシステムの構成例を説明する。図１は、実施の形態に係る推定装置１０を含むシステムの構成例を示すブロック図である。システムは、例えば、図１に示すように、推定装置１０と、利用者端末２０とを有する。推定装置１０と、利用者端末２０とは、インターネット等の接続回線３０を介して接続される。なお、図１に示す構成は一例にすぎず、具体的な構成や各装置の数は特に限定されない。また、利用者端末２０について、複数でもよい。なお、図１に例示するシステムでは、クライアントサーバシステム構成としているが、スタンドアローン構成であってもよい。
【００２０】
推定装置１０は、観測対象のネットワークにおける機器が攻撃を受けるリスクを推定し、推定結果を基に、ネットワークが提供するサービスに関するビジネスの影響度を推定し、利用者端末２０に出力するサーバ装置である。具体的には、推定装置１０は、ネットワークにおける機器を識別する機器ＩＤと、該機器において発生した観測事象とを入力として利用者端末２０から受け付ける。なお、推定装置１０は、機器ＩＤおよび観測事象の組とインシデントＩＤとを対応付けたインシデント情報を予め登録しておき、インシデントＩＤの入力を利用者端末２０から受け付けることで、機器ＩＤおよび観測事象を指定できるようにしてもよい。
【００２１】
そして、推定装置１０は、機器ＩＤに対応する機器の属性情報と観測事象とに基づいて、ネットワークにおける機器が攻撃を受けるリスクを推定する。続いて、推定装置１０は、リスクに関する推定結果を基に、ネットワークにおける機器が攻撃を受けることによる、ネットワークが提供するサービスに関するビジネスへの影響度を推定する。推定装置１０は、推定されたビジネスへの影響度を利用者端末２０に出力する。つまり、推定装置１０は、ある機器に対しどのような観測事象が発生したかという入力情報に基づき、ネットワークにおける機器に対する攻撃を推定した上で、さらに、攻撃を受けることによって生じる、ビジネスへの影響度を推定して、利用者端末２０に出力する。
【００２２】
利用者端末２０は、ＰＣ（Personal  Computer）やスマートフォン等の装置であって、例えば、ネットワークサービスを提供する企業の情報システム部の利用者が使用する装置である。利用者端末２０は、ある機器に対しどのような観測事象が発生したかという入力情報を推定装置１０に通知し、ネットワークが提供するサービスに関するビジネスへの影響度を受信して、受信した内容を表示する。例えば、利用者端末２０は、ビジネスへの影響度として、攻撃によるサービス停止に伴う売り上げの低下や、攻撃による情報漏えいなどの被害によって生じた情報の補償等の推定金額を表示する。
【００２３】
次に、推定装置１０の構成を説明する。図１に示すように、この推定装置１０は、通信処理部１１、記憶部１２及び制御部１３を有する。
【００２４】
通信処理部１１は、各種情報に関する通信を制御する。例えば、通信処理部１１は、ネットワークにおける機器を識別する機器ＩＤや該機器において発生した観測事象を入力情報として利用者端末２０から受信する。また、通信処理部１１は、ネットワークにおける機器が攻撃を受けることによるビジネスへの影響度に関する推定結果を、利用者端末２０に送信する。
【００２５】
記憶部１２は、制御部１３による各種処理に必要なデータおよびプログラムを格納する。例えば、記憶部１２は、ＲＡＭ（Random  Access  Memory）、フラッシュメモリ（Flash  Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。記憶部１２は、機器情報記憶部１２１、観測情報記憶部１２２、インシデント情報記憶部１２３、属性情報記憶部１２４、メディア動向評価情報記憶部１２５、ソーシャルメディア分析情報記憶部１２６及び企業基礎情報記憶部１２７を有する。
【００２６】
ここで、説明のために、推定装置１０の推定対象であるネットワークの構成例を示す。図２は、実施の形態におけるシステムが管理するネットワークの構成例を示す図である。図２に示すように、ＤＭＺ（DeMilitarized  Zone）、内部ＬＡＮ（Local  Area  Network）、業務ＬＡＮで構成される管理対象のネットワークは、ファイヤウォールを前段として、インターネットに接続する。記憶部１２が記憶する各種テーブルには、図２に示すネットワーク構成にしたがって各種情報が登録される。
【００２７】
まず、機器情報記憶部１２１について説明する。機器情報記憶部１２１は、ネットワークを構成する各機器に関する情報を記憶する。機器情報記憶部１２１は、例えば、機器情報テーブルを記憶する。図３は、機器情報テーブルのデータ構成の一例を示す図である。図３に示すように、機器情報テーブル１２１ａは、機器ＩＤ、機器の種別、その機器の属性値、利用目的、機密情報の有無、その機器が置かれているネットワーク所属セグメント、その機器のＯＳ情報、ミドルウェア、使用しているアプリケーション、その機器が関わっているサービス情報などが記載される。
【００２８】
また、機器情報記憶部１２１は、セグメント接続情報テーブルを記憶する。図４は、セグメント接続情報テーブルのデータ構成の一例を示す図である。図２に示すように、システムの管理対象であるネットワークは、複数のネットワークセグメントに分割されている。このため、図４に示すセグメント接続情報テーブル１２１ｂは、ネットワーク構成図に基づき、ネットワークにおけるあるセグメントから別のセグメントに到達するまでのホップ数が記載される。ホップ数は、通信ネットワーク上で通信相手に到達するまでに経由する転送装置、中継設備の数である。
【００２９】
観測情報記憶部１２２は、各属性情報に対して攻撃を受けた場合に発生する可能性がある観測事象を定義した観測事象情報を記憶する。具体的には、観測情報記憶部１２２は、機器において発生した観測事象に、機器が受ける可能性がある攻撃の種別と該攻撃を受ける確率とを対応付けた観測事象情報テーブルを記憶する。また、ある攻撃に対して複数の観測事象が起こり得るため、観測事象情報テーブルにおいては、攻撃に対する確率を１つに決定するための確率算出方法が定義されている。
【００３０】
図５は、観測事象情報テーブルのデータ構成の一例を示す図である。図５に示すように、観測事象情報テーブル１２２ａは、ＩＤ、機器の属性値、機器において発生した観測事象、危機が受ける攻撃種別、この攻撃を機器が受ける確率、確率算出方法の項目を有する。具体的には、観測事象情報テーブル１２２ａは、ＩＤ「1」に、属性値「Webサーバ」に「サーバのサービスが突然停止」する観測事象が発生した場合には、「不正侵入」を行う攻撃を「80%」の確率で受け、さらに、確率の算出方法は、「f(x1,x2,x3)」であることが記載されている。
【００３１】
インシデント情報記憶部１２３は、インシデント情報テーブルを記憶する。インシデント情報テーブルは、通常とは異なる何らかの事象が発生した時の情報を記録するためのテーブルである。
【００３２】
図６は、インシデント情報テーブルのデータ構成の一例を示す図である。図６に示すように、インシデント情報テーブル１２３ａは、インシデントＩＤに、観測事象の発生日時、観測事象を識別するための観測事象ＩＤ、攻撃種別、決定した攻撃確率、攻撃対象の機器の機器ＩＤ、登録／更新日時などが対応付けて記載される。インシデントに係わる情報の分析が進むにつれ、より詳細な情報が把握できるため、インシデント情報テーブル１２３ａには、攻撃種別や攻撃確率等の分析結果や更新日時が分析に応じて記録される。なお、機器ＩＤや観測事象等の組は、利用者端末２０によって指定され、インシデント情報管理部１３３（後述）によって、インシデントＩＤが付与され、登録されるものとする。
【００３３】
属性情報記憶部１２４は、ネットワークにおける各機器の各種属性を定義した属性情報を記憶する。例えば、属性情報記憶部１２４は、利用目的と被害との関係提示テーブルを記憶する。図７は、利用目的と被害との関係提示テーブルのデータ構成の一例を示す図である。
【００３４】
図７に示すように、利用目的と被害との関係提示テーブル１２４ａでは、利用目的に、サービス停止、サービス改ざん、情報漏えい等の具体的な被害内容が対応付けられている。これらの各被害は、機器情報テーブル１２１ａ（図３参照）にある利用目的に対して想定される被害であり、事前に洗い出されたものである。図７では、各々の被害に対して、関係ありの場合には、「1」が記載され、関係なしの場合には、「0」が記載される。
【００３５】
また、属性情報記憶部１２４は、攻撃種別情報テーブルを記憶する。図８は、攻撃種別情報テーブルのデータ構成の一例を示す図である。図８に示すように、攻撃種別情報テーブル１２４ｂには、攻撃種別ＩＤに、攻撃種別、攻撃対象、事前に想定した各被害が発生する確率が対応付けて記載される。攻撃種別情報テーブル１２４ｂにおける各被害が発生する確率は、事前に設定されてもよいし、インシデント対応結果を反映して常に確率が変わるようにしてもよい。
【００３６】
また、属性情報記憶部１２４は、対策テーブルを記憶する。図９は、対策テーブルのデータ構成の一例を示す図である。図９に示すように、対策テーブル１２４ｃは、攻撃ＩＤに、サイバー攻撃に対する対策名と、具体的な手順とが対応付けられている。
【００３７】
また、属性情報記憶部１２４は、対策案に対する攻撃種別情報テーブルを記憶する。図１０は、対策案に対する攻撃種別情報テーブルのデータ構成の一例を示す図である。図１０に示すように、対策案に対する攻撃種別情報テーブル１２４ｄは、対策ＩＤに、対策案と、各被害の発生確率とが対応付けられている。
【００３８】
対策テーブル１２４ｃ（図９参照）の対策を実施することによって、攻撃確率（図６のインシデント情報テーブル１２３ａ参照）が下がる可能性があることから、対策案に対する攻撃種別情報テーブル１２４ｄでは、対策毎に、対策したことによって、攻撃による各被害の発生確率が設定される。例えば、図１０に示す対策ＩＤ「1」の「対策1」を実行した場合について説明する。この場合、「攻撃１」によって発生する被害のうち、「被害１」の確率は「x11」であり、「被害2」の確率は「x12」であり、「被害3」の確率は「x13」である。また、「攻撃2」によって発生する被害のうち、「被害1」の確率は「x21」であり、「被害2」の確率は「x22」であり、「被害3」の確率は「x23」である。
【００３９】
また、属性情報記憶部１２４は、インシデントに対する対策状況報告テーブルを記憶する。図１１は、インシデントに対する対策状況報告テーブルのデータ構成の一例を示す図である。図１１に示すように、インシデントに対する対策状況報告テーブル１２４ｅには、インシデントＩＤ、登録日時、更新日時、このインシデントに対して実施した対策の対策ＩＤ、及び、対策に対する攻撃種別を示すＩＤが記載される。
【００４０】
次に、メディア動向評価情報記憶部１２５について説明する。メディア動向評価情報記憶部１２５は、外部状況のうち、メディアの動向や、メディアの動向に処理を行った結果を記憶する。メディア動向評価情報記憶部１２５は、例えば、ニュース記事や報道内容を、公表日時と対応付けて記録する。また、メディア動向評価情報記憶部１２５は、肯定的報道、中立的報道、否定的報道の、事件が公になってからの全体に対する比率等も記憶する。
【００４１】
ソーシャルメディア分析情報記憶部１２６は、外部状況のうち、ＴｗｉｔｔｅｒなどのＳＮＳ（Social  Networking  Service）の評判に関する情報や、ＳＮＳ情報に処理を行った結果を記憶する。例えば、ソーシャルメディア上のやり取りを監視するツールにおいて、リスクの重要度ごとに増減を数値で通知する機能を有するものがある。ソーシャルメディア分析情報記憶部１２６は、このように通知された数値を影響度の指標として記憶してもよい。
【００４２】
企業基礎情報記憶部１２７は、各々のサービスに関するビジネスに影響を与える情報を記憶する。企業基礎情報記憶部１２７は、例えば、サービス名に関するビジネス影響テーブルを記憶する。図１２は、サービス名に関するビジネス影響テーブルのデータ構成の一例を示す図である。図１２に示すように、サービス名に関するビジネス影響テーブル１２７ａには、サービス毎に、対象となる機器名と、ビジネスに影響を与える項目とが対応付けられる。ビジネスに影響を与える項目として、例えば、個人情報、個人情報補償額、機密情報、機密情報補償額、裁判費用、１日当たりのサービスの売り上げ、株価への影響等がある。サービス名に関するビジネス影響テーブル１２７ａでは、各項目に対して、予め想定された件数、補償額、下落率が記載されている。
【００４３】
制御部１３は、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有し、これらによって種々の処理を実行する。ここで、制御部１３は、ＣＰＵ（Central  Processing  Unit）やＭＰＵ（Micro  Processing  Unit）などの電子回路やＡＳＩＣ（Application  Specific  Integrated  Circuit）やＦＰＧＡ（Field  Programmable  Gate  Array）などの集積回路である。制御部１３は、処理受付部１３１、システム情報管理部１３２、インシデント情報管理部１３３、リスク推定部１３４、外部状況管理部１３５、ビジネス影響度算出部１３６及び出力部１３７を有する。
【００４４】
処理受付部１３１は、通信処理部１１を介して、利用者端末２０から入力情報を受け付ける。例えば、処理受付部１３１は、ネットワークにおける機器を識別する機器情報（機器ＩＤ）と、該機器において発生した観測事象とを入力として利用者端末２０から受け付ける。また、処理受付部１３１は、利用者端末２０に被害確率情報及び対策情報が表示された際には、利用者端末２０から、表示された対策のうち選択された対策を示す対策情報の入力を受け付ける。
【００４５】
システム情報管理部１３２は、処理受付部１３１から、機器名及び事象観測日時の入力を受けると、機器情報記憶部１２１が記憶する機器情報テーブル１２１ａから、入力された機器名（機器ＩＤ）に対応する属性値を抽出する。そして、システム情報管理部１３２は、観測情報記憶部１２２が記憶する観測事象情報テーブル１２２ａから、抽出した属性値に対応する観測事象を抽出する。システム情報管理部１３２は、抽出した観測事象を、出力部１３７（後述）及び通信処理部１１を介して、利用者端末２０の画面に表示する。
【００４６】
インシデント情報管理部１３３は、処理受付部１３１から、事象観測を受け付けると、システム情報管理部１３２が抽出した機器の属性と、受け付けた観測事象とを基に、観測情報記憶部１２２を参照して、想定される機器への攻撃の種別とその発生確率とを算出する。インシデント情報管理部１３３は、攻撃種別と、その攻撃の発生確率とを、発生日時、観測事象ＩＤ及び機器ＩＤ等の情報に対応付けて、インシデント情報記憶部１２３に登録する。また、インシデント情報管理部１３３は、処理受付部１３１から、利用者端末によって選択された対策情報を受け付けると、属性情報記憶部１２４のインシデントに対する対策状況報告テーブル１２４ｅに登録する。
【００４７】
リスク推定部１３４は、処理受付部１３１によって受け付けられた機器ＩＤに対応する機器（第１の機器）の属性情報を属性情報記憶部１２４から取得し、取得した属性情報と処理受付部によって受け付けられた観測事象とに基づいて、ネットワークにおける機器が攻撃を受けるリスクを推定する。
【００４８】
また、リスク推定部１３４は、機器情報記憶部１２１が記憶するセグメント接続情報を基に、第１の機器から攻撃が遷移する可能性がある機器（第２の機器）への攻撃遷移確率を求める。そして、リスク推定部１３４は、予め想定された各機器の利用目的に応じた被害の内容及び攻撃の種別による被害の発生確率と、第２の機器への攻撃遷移確率とを基に、攻撃による被害の発生確率を推定する。なお、リスク推定部１３４は、第２の機器への攻撃遷移確率を、ホップ数を重み付けとして用いてもよい。この場合、リスク推定部１３４は、遷移元の機器の攻撃確率に、ホップ数に基づく値を重み付けとして乗じて、第２の機器への攻撃遷移確率を求める。リスク推定部１３４は、出力部１３７及び通信処理部１１を介して、攻撃による被害の発生確率と、属性情報記憶部１２４から取得した、該攻撃に対する対策とを、利用者端末２０に出力する。
【００４９】
そして、リスク推定部１３４は、処理受付部１３１を介して、利用者端末２０から、選択された対策を受け付けると、属性情報記憶部１２４から取得した、該対策に応じた補正値を用いて、攻撃による被害の発生確率を補正する。そして、リスク推定部１３４は、出力部１３７及び通信処理部１１を介して、補正された攻撃による被害の発生確率を、利用者端末２０に出力する。
【００５０】
外部状況管理部１３５は、様々な外部状況を取得し、メディア動向評価情報記憶部１２５やソーシャルメディア分析情報記憶部１２６に登録する。また、外部状況管理部１３５は、ビジネス影響指標を求め、ビジネス影響度算出部１３６に出力する。例えば、ビジネス影響指標として、ソーシャルメディア上のやり取りを監視するツール用いて通知された、リスクの重要度に応じた増減を示す数値や、報道記事を対象として自社の記事の見出しや内容から抽出した好意的記事、中間記事、悪意のある記事に基づく企業のイメージの失墜度合いがある。
【００５１】
ビジネス影響度算出部１３６は、リスク推定部１３４による推定結果を基に、ネットワークにおける機器が攻撃を受けることによる、ネットワークが提供するサービスに関するビジネスへの影響度を推定する。ビジネス影響度算出部１３６は、各サービスが影響を与える各種情報を基に、ネットワークが提供するサービスに関し、攻撃によって発生する被害によるビジネスへの影響に係わる金額を求める。そして、ビジネス影響度算出部１３６は、求めた金額及び攻撃による被害の発生確率を用いて、ビジネスへの影響度を推定する。具体的には、ビジネス影響度算出部１３６は、求めた金額に、被害の発生確率を乗じた金額を、ビジネスへの影響度とする。なお、ビジネス影響度算出部１３６は、求めた金額に、攻撃による被害の発生確率を乗じた金額に、さらに、外部状況に基づくビジネス影響指標を、重み付けとして乗じて、ビジネスへの影響度としてもよい。
【００５２】
出力部１３７は、通信処理部１１を介して、ビジネス影響度算出部１３６によって推定された推定結果を、利用者端末２０に出力する。出力部１３７は、通信処理部１１を介して、リスク推定部１３４による推定結果を、利用者端末２０に出力する。
【００５３】
［推定処理の流れ］
次に、推定装置１０による推定処理の流れを説明する。図１３は、利用者端末２０に表示される画面の一例を示す図である。
【００５４】
まず、利用者は、通常とは異なる何らかの事象を発見した場合、図１３に示す画面Ｍ１を表示させて、事象が発見された機器名（機器ＩＤ）「サーバ-S」を選択し、事象を確認した日時「2018/8/21  10:34」を入力すると、入力内容が処理受付部１３１に送信される。処理受付部１３１は、これらの情報をシステム情報管理部１３２に出力する。システム情報管理部１３２では、機器情報記憶部１２１にある機器情報テーブル１２１ａ（図３参照）から、入力された機器ＩＤ「サーバ-S」に対応する属性値「Webサーバ」を抽出する。
【００５５】
次に、システム情報管理部１３２は、抽出した属性値「Webサーバ」に基づき、観測事象情報テーブル１２２ａ（図５参照）から、観測事象ＩＤ「1」〜「4」に対応する「サーバのサービスが突然停止」、「NWがダウン、またはスピードダウン」、「サーバの挙動がおかしい」、「DBサーバの負荷増大」を抽出し、利用者端末２０の画面Ｍ１（図１３参照）に「確認された事象」として順に表示させる（図１３の領域Ｒ１参照）。この場合、例えば、利用者が、画面Ｍ１において、確認事象「サーバのサービスが突然停止」、「NWがダウン、またはスピードダウン」のチェックボックスをチェックし、登録ボタンを選択する。この結果、利用者端末２０から、「サーバ-S」において発生した確認事象「サーバのサービスが突然停止」（観測事象ＩＤ「1」）、「NWがダウン、またはスピードダウン」（観測事象ＩＤ「2」）が推定装置１０に送信される。
【００５６】
推定装置１０では、この確認事象を受け付けると、インシデント情報管理部１３３が、観測事象情報テーブル１２２ａを参照し、確認事象に対する攻撃の確率及び確率算出方法を取得して、攻撃発生率を算出する。
【００５７】
まず、インシデント情報管理部１３３は、観測事象情報テーブル１２２ａから、観測事象に対応する攻撃種別ごとに、定義された関数を取得する。この関数は、攻撃種別ごとに複数の確率を取りまとめるものとして定義される。例えば、不正侵入攻撃は、観察しうる可能性のある事象が、観測事象ＩＤ「1」の「サーバのサービスが突然停止」、観測事象ＩＤ「2」の「NWがダウン、またはスピードダウン」、観測事象ＩＤ「3」の「サーバの挙動がおかしい」の３つであるため、各ＩＤに対応する「x1」〜「x3」という３つのパラメータを有する関数「f(x1,x2,x3)」が定義されている。
【００５８】
インシデント情報管理部１３３は、複数の観測事象が利用者によって選択された時には、その関数によって、攻撃の可能性の確率を１つに導く計算を行う。例えば、「f(x1,x2,x3)=max(x1,x2,x3)」と定義されているとする。今回の例では、観測事象ＩＤ「1」,「2」にチェックがついているため、観測事象情報テーブル１２２ａの確率欄より、「x1=80%」、「x2=20%」となる。そして、観測事象ＩＤ「3」にはチェックがないため、「x3=0%」となる。この場合には、最大値は「x1」となるため、インシデント情報管理部１３３は、不正侵入攻撃の可能性を「80%」に決定する。インシデント情報管理部１３３は、インシデント情報記憶部１２３のインシデント情報テーブル１２３ａのうち、今回異常を観測した「サーバ-S」（インシデントＩＤ「1」）の確率欄に「80%」を登録する。
【００５９】
次に、インシデント情報管理部は、インシデント情報テーブル１２３ａに登録された情報をリスク推定部１３４に出力する。すなわち、今回異常を観測した「サーバ-S」（インシデントＩＤ「1」）の「不正攻撃」が「80%」の確率で発生しているという情報である。リスク推定部１３４は、この結果を第１段階として、第２段階及び第３段階に分けて、ネットワークの機器への攻撃による被害の発生確率を算出する。図１４は、図２に示すネットワークに対するリスク推定部１３４による被害の確率算出の一例を示す図である。
【００６０】
続いて、リスク推定部１３４は、第２段階目の算出処理を実行する。リスク推定部１３４は、第２段階目において、事象が観測された「サーバ-S」（第１の機器）から攻撃が遷移する可能性がある第２の機器への攻撃遷移確率を求める。
【００６１】
まず、第２段階の算出処理において、リスク推定部１３４は、機器情報記憶部１２１の機器情報テーブル１２１ａ及びセグメント情報接続テーブル１２２ｂから、機器ＩＤ「サーバ-S」を基に、攻撃された「サーバ-S」が属するセグメント情報を取得する。この場合、リスク推定部１３４は、機器情報テーブル１２１ａから「サーバ-S」の所属セグメント「DMZ」を取得し、セグメント情報接続テーブル１２２ｂから、「DMZ」に対応するホップ数「1」（「DMZ」）、「3」（「内部LAN」）、「3」（「業務LAN」）を取得する。リスク推定部１３４は、取得した情報をもとに、「サーバ-S」から攻撃が拡大している可能性のある機器を抽出する。例えば、図２のネットワークでは、破線で囲まれたＤＭＺ内の「サーバ-T」、内部ＬＡＮ内の「サーバ-U」及び「サーバ-Q」、業務ＬＡＮ内の「PC-A」が、攻撃が拡大している可能性のある機器となる。
【００６２】
リスク推定部１３４は、「サーバ-S」に対する攻撃種別を、最も高い確率「80%」を示す「不正侵入」であると想定した場合、攻撃が遷移する可能性のある機器についても、「不正侵入」が行われていると仮定する。
【００６３】
ここで、リスク推定部１３４は、「サーバ-S」から各機器へ攻撃が遷移する確率を、ＮＷセグメントのホップ数を重み付けとして用いて求めることが可能である。図４の例では、重みづけの例として「(1/2)h-1」を選択している。「h」は、セグメント接続情報テーブル１２１ｂ（図４参照）に記載されているホップ数を表す。図１５は、攻撃遷移確率の算出方法を説明する図である。今回の例では、同じＮＷセグメント内であれば、攻撃が遷移する確率は同じとみなし、ＮＷセグメントが異なるほど、言い換えると、論理的に離れるほど、攻撃が遷移する確率は低くなる、という考えに則り、各機器への攻撃遷移確率を算出する。
【００６４】
具体的には、図１５に示すように、事象ａから事象ｂへ遷移する確率Ｐｂは、事象ａ，ｂのホップ数をｓとした場合、事象ａの確率Ｐａに、(1/2)ｓ-1を乗じた値となる。同様に、事象ａから事象ｃへ遷移する確率Ｐｃは、事象ａ，ｃのホップ数をｔとした場合、確率Ｐｂに、(1/2)ｔ-1を乗じた値となる。
【００６５】
したがって、リスク推定部１３４は、図４の第２段階のＤＭＺの「サーバ-Tで不正侵入」する確率については、「サーバ-S」と同じＮＷセグメント内であるため、第１段階と同じ「80%」の確率を付与する。また、リスク推定部１３４は、図４の第２段階の内部ＬＡＮの「サーバ-Uで不正侵入」する確率については、ホップ数が「3」であるため、「サーバ-S」の「80%」に、(1/2)2を乗じて求めた「20%」を付与する。
【００６６】
このように、リスク推定部１３４は、第２段階目の処理において、どの機器がどのような攻撃をどの程度の確率で受けているのかを適切に推定している。さらに、リスク推定部１３４は、ホップ数を重み付けとして各機器への攻撃の確率を算出しているため、各機器の接続状況を適切に反映した各機器への攻撃の確率を求めることができる。
【００６７】
続いて、リスク推定部１３４は、第３段階目の算出処理を実行する。リスク推定部１３４は、第３段階目において、攻撃によって想定される被害の発生確率を推定する。この場合、リスク推定部１３４は、第３段目の処理において、予め想定された各機器の利用目的に応じた被害の内容及び攻撃の種別による被害の発生確率と、第２段階で求めたネットワークにおける機器への攻撃遷移確率とを用いる。
【００６８】
まず、リスク推定部１３４は、機器情報記憶部１２１の機器情報テーブル１２１ａを参照し、第２段階目において求めた「サーバ-S」から攻撃が遷移する可能性がある機器の利用目的を機器ごとに抽出する。続いて、リスク推定部１３４は、次の段階の処理として、属性情報記憶部１２４の利用目的と被害との関係提示テーブル１２４ａ（図７参照）を参照して、各機器の利用目的に応じた被害の内容を抽出する。
【００６９】
例えば、リスク推定部１３４は、「サーバ-S」が不正侵入された時には、「サーバ-T」「サーバ-U」も不正侵入を受ける可能性があることを、第２段階目の算出処理において求める（図４第２段階参照）。そこで、リスク推定部１３４は、第３段階目では、「サーバ-T」「サーバ-U」については、利用目的が「サービス提供（アプリ）」（図３の２，３行目参照）であるため、利用目的と被害との関係提示テーブル１２４ａ（図７参照）を基に、最終的には「サービスAの停止」「サービスAの改ざん」「サービスAの情報漏えい」などを被害として想定する。また同様に、リスク推定部１３４は、「サーバ-W」の利用目的が「サービス提供(個人情報、機密情報)」であるため（図３の４行目）、「サーバ-W」に想定される被害として、「ファイルサーバの改ざん」「ファイルサーバの情報漏えい」（図７の３行目）を求める。
【００７０】
そして、第３段階目の処理として、リスク推定部１３４は、属性情報記憶部１２４の攻撃種別情報テーブル１２４ｂ（図８参照）を基に、攻撃の遷移が想定される機器ごとに、攻撃の種別による各被害の発生確率を求める。具体的には、リスク推定部１３４は、利用目的と被害との関係提示テーブル１２４ａより求めた、各機器の利用目的に応じた被害の内容を基に、攻撃の種別による各被害の発生確率と、第２段階目で求めた各機器への攻撃遷移確率とを乗じて、攻撃による被害の発生確率を算出し、第３段階における確率とする。
【００７１】
このため、例えば、リスク推定部１３４は、「サービスAの停止」が発生する確率については、攻撃種別「不正侵入」による被害「サービス停止」の確率「60%」（図８の１行目参照）と、第２段階目で求めた、「サーバ-Tで不正侵入」される確率「80%」とを乗じた「48%」を求める（図１４の第３段階１段目参照）。
【００７２】
ここで、各被害のうち、サービスの改ざんとサービスの情報漏えいとは、複数の機器から確率値が算出されているため、値を決める必要がある。図１６は、攻撃の種別による各被害の発生確率の算出方法を説明する図である。図１６に示すように、今回の例では、図１６に示すように、例えば、事象ｄまたは事象ｅから事象ｆへ遷移する確率Ｐｆは、事象ｄの確率Ｐｄ、事象ｅの確率Ｐｅを用いて、（１）式のように算出することができる。
【００７３】
【数１】
2020086530.tif 000003
【００７４】
したがって、例えば、リスク推定部１３４は、「サービスAの改ざん」が発生する確率については、攻撃種別「不正侵入」による被害「サービスの改ざん」の確率「50%」（図８の２行目参照）と、第２段階目で求めた、「サーバ-Tで不正侵入」される確率「80%」及び「サーバ-Uで不正侵入」される確率「20%」を（１）式に適用した「46%」を求める（図１４の第３段階２段目参照）。
【００７５】
このように、リスク推定部１３４は、３段階目の算出処理を行うことによって、想定される攻撃による被害の具体的な内容と、各被害の発生確率を適切に算出している。
【００７６】
次に、リスク推定部１３４は、属性情報記憶部１２４の対策テーブル１２４ｃから、攻撃種別「不正侵入」に対する手順を対策情報として取得する。そして、リスク推定部１３４は、推定される攻撃、該攻撃による被害の発生確率、及び、取得した該攻撃に対する対策情報を、利用者端末２０に表示出力する。図１７は、利用者端末２０に表示される画面の一例を示す図である。
【００７７】
利用者が、画面Ｍ１において、確認事象をチェックし登録すると、利用者端末２０の画面には、図１７の画面Ｍ２に示すように、推定される攻撃とその確率（表Ｌ１参照）、推定される攻撃が遷移する機器とその攻撃遷移確率（表Ｌ２参照）、及び、攻撃に対して取り得る対策（領域Ｒ２参照）が表示される。
【００７８】
このように、推定装置１０は、サイバーインシデントなどの危機対応において、ユーザの申告、サーバのログやネットワーク監視ツールのログなどの入力情報から攻撃を受けている可能性のある機器を推定する。そして、推定装置１０は、その機器が所有する情報やその機器が提供するサービスなどの情報に加え、その機器と他の機器との接続状態によって想定される被害を具体的に導き出し、被害の状況を認識可能に利用者に提供している。さらに、推定装置１０は、推定される攻撃に対する対策を利用者に提示している。
【００７９】
ここで、利用者が、画面Ｍ２において、取り得る対策「不正侵入」のチェックボックスをチェックし、対策選択ボタンを選択した場合を例に説明する。この場合には、利用者端末２０から、攻撃に対する対策「不正侵入」が推定装置１０に送信される。推定装置１０では、インシデント情報管理部１３３が、利用者によって選択された対策「不正侵入」（対策ＩＤ「1」を、属性情報記憶部１２４のインシデントに対する対策状況報告テーブル１２４ｅに、登録日時、更新日時、攻撃種別ＩＤとともに登録する（図１１の１行目参照）。
【００８０】
そして、リスク推定部１３４が、利用者端末２０から送信された対策に応じた補正値を用いて、攻撃による被害の発生確率を補正する。攻撃に対して対策をとる場合には、その攻撃によって生じる被害が発生する確率も変わるためである。そこで、リスク推定部による補正処理について説明する。
【００８１】
まず、リスク推定部１３４は、属性情報記憶部１２４の対策案に対応する攻撃種別情報テーブル１２４ｄを参照して、選択された対策案に対応する被害の発生確率を抽出する。リスク推定部１３４は、被害の発生確率は、攻撃種別毎に登録されており、今回の例では、対策ＩＤ「1」の「対策1」における各被害の発生確率「x11」〜「x3m」を抽出する。
【００８２】
図１８は、リスク推定部１３４による補正処理を説明する図である。図１８に示すように、リスク推定部１３４は、対策案に対応する攻撃種別情報テーブル１２４ｄから抽出した各値（表Ｌ２−１参照）と、第３段階目で算出した各被害の発生確率の値（表Ｌ３−１参照）と、と、を、（２）式及び（３）式で示すアダマール積で算出し、得られた値（（２）式におけるｚ）を、対策実施後の確率として確定する。表Ｌ３−１では、説明のため、第３段階目で算出した各被害の発生確率の値を、攻撃種別「1」〜「3」と被害「1」〜「m」とに対応させて「y11」〜「y3m」と表示しているが、「y11」〜「y3m」は、第３段階目の処理において実際に算出した「48%」、「46%」、「62%」（図１４の第３段階参照）の値である。
【００８３】
【数２】
2020086530.tif 000004
【数３】
2020086530.tif 000005
【００８４】
このように、リスク推定部１３４は、攻撃による被害の発生確率を、選択された対策に応じて補正処理を行うことで、対策を選択した場合の被害の発生確率を高い精度で求めることができる。リスク推定部１３４は、補正後の攻撃による被害の発生確率を、対策を選択した場合の被害の発生確率として、利用者端末２０に表示出力させる。図１９は、利用者端末２０に表示される画面の一例を示す図である。
【００８５】
図１９の画面Ｍ３に示すように、利用者端末２０には、利用者が選択した対策「不正侵入」を実行した後に、推定された被害の発生確率が、表形式で表示される（表Ｌ３参照）。利用者は、この画面Ｍ３の表Ｌ３を参照して、実際に、自身が選択した対策の有益性を確認した上で、選択した対策を実行するか否かを判断することができる。
【００８６】
そして、リスク推定部１３４は、対策実施後の各被害の確率を、ビジネス影響度算出部１３６に出力する。さらに、外部状況管理部１３５は、ビジネス影響指標を算出して、ビジネス影響度算出部１３６に出力する。
【００８７】
次に、外部状況管理部１３５によるビジネス影響指標の算出処理について説明する。外部状況管理部１３５は、ニュース記事クリッピングなどのサービスによって取得した、自社の記事の見出しや内容から、好意的記事、中間記事、悪意のある記事の数を抽出し、影響度の指標として用いる。これらの記事は、メディア動向評価情報記憶部１２５に記憶されている。例えば、風評リスクを決定する三要因の一つとして、評判と実態とのギャップが挙げられる。この場合、外部状況管理部１３５は、ニュース記事を肯定的報道、中立的報道、否定的報道の３つに分類し、事件が公になってからの全体に対する比率をビジネス影響指標として求めることによって、企業のイメージの失墜度合い（ビジネスの影響度）を取得する。例えば、ビジネス影響指標を（４）式に示すように定義する。
【００８８】
【数４】
2020086530.tif 000006
【００８９】
なお、外部状況管理部１３５は、報道記事を基にビジネス影響指標を求めた場合を例に説明したが、ソーシャルメディアに対しても同じように評判指数を求めてもよい。また、外部状況管理部１３５が求めるビジネス影響指標の求め方は、あくまでも一例であり、他の指標を取り入れることも可能である。
【００９０】
続いて、ビジネス影響度算出部１３６は、攻撃を受けることによる、ネットワークが提供するサービスに関するビジネスへの影響度を推定する。ここで、ビジネス影響度算出部１３６は、企業基礎情報記憶部１２７のサービス名に関するビジネス影響テーブル１２７ａから、ビジネスへの影響に関する項目を抽出し、サービスに関するビジネスへの影響度を算出する。
【００９１】
例えば、「サーバ-S」が攻撃された場合を例に説明する。この場合、「サーバ-S」が対象に含まれているサービスは、「A社」のものである。このため、ビジネス影響度算出部１３６は、サービス名に関するビジネス影響テーブル１２７ａから、ビジネスへの影響度の算出のために必要となる項目を抽出する。例えば、ビジネス影響度算出部１３６は、個人情報の件数「e万件」、個人情報補償額「f百円」、機密情報の件数「g百件」、機密情報補償額「h万円」、裁判費用「i万円」、１日当たりのサービスの売り上げ「j億円」、株価への影響「k%」などを抽出する。そして、ビジネス影響度算出部１３６は、（５）〜（８）式を用いて、個人情報補償額、機密情報補償額、売り上げへの影響、株価下落金額を算出する。
【００９２】
【数５】
2020086530.tif 000007
【数６】
2020086530.tif 000008
【数７】
2020086530.tif 000009
【数８】
2020086530.tif 000010
【００９３】
続いて、ビジネス影響度算出部１３６は、（５）〜（８）式を用いて算出したビジネスへの影響に係わる各種金額に、それぞれ、リスク推定部１３４による、補正後の攻撃による被害の発生確率を乗ずることによって、対策を行った上での攻撃によるビジネスへの影響に関する各種金額を算出する。
【００９４】
この際、ビジネス影響度算出部１３６は、さらに、この算出結果に、外部状況管理部１３５から出力されたビジネス影響指標を重み付けとして乗じてもよい。例えば、外部状況管理部１３５は、売り上げへの影響に対し、ビジネス影響指数を重み付けとして乗ずることによって、より社会の状況にあった影響を算出することができる。
【００９５】
ビジネス影響度算出部１３６は、算出した攻撃によるビジネスへの影響に関する各種予測金額を、利用者端末２０に表示出力させる。図２０は、利用者端末２０に表示される画面の一例を示す図である。
【００９６】
図２０の画面Ｍ４に示すように、利用者端末２０には、利用者が選択した対策「不正侵入」を実行した後に、「不正侵入」攻撃によるビジネスへの影響が、表形式で表示される（表Ｌ４参照）。利用者は、この画面Ｍ４の表Ｌ４を参照して、実際に、自身が選択した対策による、ビジネスへの影響度を、具体的かつ多面的に確認することができる。
【００９７】
さらに、ビジネス影響度算出部１３６は、リスク推定部１３４による、補正後の攻撃による被害の発生確率を乗ずる処理を行わず、（５）〜（８）式のそのままの算出結果、すわなち、対策「不正侵入」を実行しなかった場合の結果を、利用者端末２０に表示出力させる。利用者は、この結果を利用者端末２０の画面上で確認することによって、対策「不正侵入」を実行しなかった場合のビジネス影響度を確認することができる。
【００９８】
このように、推定装置１０では、利用者に対し、攻撃が発生する観測事象があった場合に、この攻撃による予測被害に対して、攻撃に対して対策を実行した場合及び攻撃に対して対策を実行しなかった場合のビジネスへの影響度を具体的に提示する。
【００９９】
［推定処理の処理手順］
続いて、実施の形態に係る推定処理の処理手順について説明する。図２１は、実施の形態に係る推定処理の流れの一例を示すシーケンス図である。
【０１００】
図２１に示すように、利用者による利用者端末２０の入力画面への入力によって、事象が発見された機器名と事象確認日時とが送信されると（ステップＳ１，Ｓ２）、処理受付部１３１が入力情報を受け付け、システム情報管理部１３２に、これらの情報を出力する（ステップＳ３）。
【０１０１】
システム情報管理部１３２は、機器情報記憶部１２１にある機器情報テーブル１２１ａ（図３参照）から、入力された機器ＩＤに対応する属性値を抽出する（ステップＳ４）。システム情報管理部１３２は、抽出した属性値に基づき、観測情報記憶部１２２の観測事象情報テーブル１２２ａ（図５参照）から、観測事象を抽出する（ステップＳ５）。システム情報管理部１３２は、出力部１３７及び通信処理部１１（不図示）を介して、利用者端末２０の画面に観測事象の表示指示を送信する（ステップＳ６，Ｓ７）。
【０１０２】
この結果、利用者端末２０の画面には、確認事象が表示される（ステップＳ８）。利用者の操作によって、確認事象が登録されると、推定装置１０では、処理受付部１３１が、登録された事象を受け付け（ステップＳ９）、インシデント情報管理部１３３に出力する（ステップＳ１０）。インシデント情報管理部１３３は、観測事象情報テーブル１２２ａを参照し、確認事象に対する攻撃の確率及び確率算出方法を取得して（ステップＳ１１）、攻撃発生率を算出する（ステップＳ１２）。インシデント情報管理部１３３は、インシデント情報記憶部１２３のインシデント情報テーブル１２３ａに、事象が観測された第１の機器に対する攻撃の種別と、その攻撃の発生率とを登録するとともに（ステップＳ１３）、第１の機器に対する攻撃の種別及び攻撃発生率をリスク推定部１３４に出力する（ステップＳ１４）。
【０１０３】
リスク推定部１３４は、この結果を第１段階として、第２段階及び第３段階に分けて、ネットワークの機器への攻撃による被害の発生確率を算出する。
【０１０４】
まず、リスク推定部１３４は、機器情報記憶部１２１の機器情報テーブル１２１ａ及びセグメント情報接続テーブル１２２ｂにおけるセグメント接続情報を基に、第１の機器から攻撃が遷移する（拡大する）可能性がある第２の機器を抽出する（ステップＳ１５）。そして、リスク推定部１３４は、機器情報記憶部１２１から、第１の機器のホップ数を取得する（ステップＳ１６）。リスク推定部１３４は、第１の機器から第２の機器へ攻撃が遷移する確率を、図１４及び図１５のように、ＮＷセグメントのホップ数を重み付けとして用いて、算出する（ステップＳ１７）。
【０１０５】
そして、リスク推定部１３４は、第３段階目の算出処理を実行する。この場合、リスク推定部１３４は、機器情報記憶部１２１の機器情報テーブル１２１ａを参照し、第２の機器の利用目的を機器ごとに抽出する（ステップＳ１８）。続いて、リスク推定部１３４は、属性情報記憶部１２４の利用目的と被害との関係提示テーブル１２４ａ（図７参照）及び攻撃種別情報テーブル１２４ｂ（図８参照）を参照して、各機器の利用目的に応じた被害の内容、攻撃種別毎の各被害の発生確率情報を抽出する（ステップＳ１９）。
【０１０６】
リスク推定部１３４は、抽出した情報を基づいて、攻撃の遷移が想定される機器ごとに、攻撃による被害の内容と、各被害の発生確率を算出する（ステップＳ２０）。具体的には、リスク推定部１３４は、ステップＳ１９において抽出した攻撃の種別による各被害の発生確率と、第２段階目で求めた各機器への攻撃遷移確率とを乗じて、攻撃による被害の発生確率を算出し、第３段階における確率とする。
【０１０７】
続いて、リスク推定部１３４は、属性情報記憶部１２４の対策テーブル１２４ｃから、第１の機器への攻撃に対する手順を対策情報として取得する（ステップＳ２１）。リスク推定部１３４は、出力部１３７及び通信処理部１１を介して、利用者端末２０に、推定される攻撃、該攻撃による被害の発生確率を示す情報、及び、取得した該攻撃に対する対策情報を表示させる（ステップＳ２２，Ｓ２３）。
【０１０８】
これによって、利用者端末２０の画面には、推定される攻撃、該攻撃による被害の発生確率を示す情報、及び、取得した該攻撃に対する対策情報が表示される（ステップＳ２４）。利用者の操作によって、対策が選択されると、推定装置１０では、処理受付部１３１が、選択された事象を受け付け（ステップＳ２５）、インシデント情報管理部１３３に出力する（ステップＳ２６）。インシデント情報管理部１３３は、属性情報記憶部１２４のインシデント対策状況報告テーブル１２４ｅに、選択された対策を登録するとともに（ステップＳ２７）、選択された対策をリスク推定部１３４に出力する。
【０１０９】
続いて、リスク推定部１３４は、属性情報記憶部１２４の対策案に対応する攻撃種別情報テーブル１２４ｄを参照して、選択された対策案に対応する被害の発生確率を抽出する（ステップＳ２８）。そして、リスク推定部１３４が、抽出した選択された対策案に対応する被害の発生確率を図１８の説明のように補正値として用いて、対策実施後の確率を算出する（ステップＳ２９）。これによって、リスク推定部１３４は、選択された対策に応じた補正値を用いて、攻撃による被害の発生確率を補正する。
【０１１０】
リスク推定部１３４は、補正後の攻撃による被害の発生確率を、対策実施後の各被害の発生確率として、利用者端末２０に表示出力させる（ステップＳ３０，Ｓ３１）。この結果、利用者端末２０の画面には、利用者が選択した対策を実行した後の被害の発生確率が表示される（ステップＳ３２）。
【０１１１】
続いて、リスク推定部１３４は、対策実施後の各被害の確率を、ビジネス影響度算出部１３６に出力する（ステップＳ３３）。外部状況管理部１３５は、ビジネス影響指標を算出して、ビジネス影響度算出部１３６に出力する（ステップＳ３５）。
【０１１２】
そして、ビジネス影響度算出部１３６は、企業基礎情報記憶部１２７のサービス名に関するビジネス影響テーブル１２７ａから、ビジネスへの影響に関する項目を含む企業基礎情報を抽出する（ステップＳ３４）。ビジネス影響度算出部１３６は、対策実施後の各被害の確率やビジネス影響指標を基に、サービスに関するビジネスへの影響度を算出する（ステップＳ３６）。ビジネス影響度算出部１３６は、例えば（５）〜（８）式を用いて、個人情報補償額、機密情報補償額、売り上げへの影響、株価下落金額を、サービスに関するビジネスへの影響度を算出する。
【０１１３】
ビジネス影響度算出部１３６は、算出した攻撃によるビジネスへの影響に関する各種予測金額を、利用者端末２０に表示出力させる（ステップＳ３７，Ｓ３８）。この結果、利用者端末２０には、利用者が選択した対策の実行の有無に応じた、攻撃によるビジネスへの影響が表示される（ステップＳ３９）。また、ビジネス影響度算出部１３６は、算出した攻撃によるサービスに関するビジネスへの影響度を、企業基礎情報記憶部１２７に登録して（ステップＳ４０）、処理を終了する。
【０１１４】
［実施の形態の効果］
このように、実施の形態に係る推定装置１０は、ネットワークにおける機器を識別する機器情報と、該機器において発生した観測事象とを利用者端末２０からの入力として受け付ける。そして、推定装置１０は、受け付けた機器情報に対応する第１の機器の属性情報を取得し、取得した属性情報と受け付けた観測事象とに基づいて、ネットワークにおける機器が攻撃を受けるリスクを推定する。そして、推定装置１０は、リスク推定結果を基に、ネットワークにおける機器が攻撃を受けることによるネットワークが提供するサービスに関するビジネスへの影響度を推定して、サービスに関するビジネスへの影響度を、例えば、利用者端末２０に出力する。
【０１１５】
したがって、推定装置１０によれば、サイバーインシデントなどの危機対応において、ネットワークにおける機器が攻撃を受けるリスクを推定した上で、攻撃によるサービスに関するビジネスへの影響度を、利用者に認識可能に提供する。このように、実施の形態では、予測された被害に対してビジネスへの影響を被害予測時に利用者に提示することにより、利用者は、実社会での被害を適切に把握することができる。すなわち、本実施の形態によれば、利用者は、サイバーインシデントにつながりそうな観測事象が発生した時点で、攻撃によるビジネスへの影響を早期に把握することができる。このため、利用者は、ビジネスへの影響を考慮しながら、サイバー攻撃に対して効率的な対応をとることができる。
【０１１６】
［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行われる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【０１１７】
また、本実施の形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
【０１１８】
［プログラム］
また、上記実施の形態において説明した推定装置が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。例えば、実施の形態に係る推定装置１０が実行する処理をコンピュータが実行可能な言語で記述した推定プログラムを作成することもできる。この場合、コンピュータが推定プログラムを実行することにより、上記実施の形態と同様の効果を得ることができる。さらに、かかる推定プログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録された推定プログラムをコンピュータに読み込ませて実行することにより上記実施の形態と同様の処理を実現してもよい。
【０１１９】
図２２は、推定プログラムを実行するコンピュータを示す図である。図２２に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。
【０１２０】
メモリ１０１０は、図２２に例示するように、ＲＯＭ（Read  Only  Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図２２に例示するように、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、図２２に例示するように、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、図２２に例示するように、例えばマウス１０５１、キーボード１０５２に接続される。ビデオアダプタ１０６０は、図２２に例示するように、例えばディスプレイ１０６１に接続される。
【０１２１】
ここで、図２２に例示するように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記の、推定プログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０９０に記憶される。
【０１２２】
また、上記実施の形態で説明した各種データは、プログラムデータとして、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、各種処理手順を実行する。
【０１２３】
なお、推定プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、推定プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ、ＷＡＮ（Wide  Area  Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【符号の説明】
【０１２４】
１０  推定装置
１１  通信処理部
１２  記憶部
１３  制御部
１２１  機器情報記憶部
１２２  観測情報記憶部
１２３  インシデント情報記憶部
１２４  属性情報記憶部
１２５  メディア動向評価情報記憶部
１２６  ソーシャルメディア分析情報記憶部
１２７  企業基礎情報記憶部
１３１  処理受付部
１３２  システム情報管理部
１３３  インシデント情報管理部
１３４  リスク推定部
１３５  外部状況管理部
１３６  ビジネス影響度算出部
１３７  出力部
２０  利用者端末
３０  接続回線
【図１】
2020086530.tif 000011
【図２】
2020086530.tif 000012
【図３】
2020086530.tif 000013
【図４】
2020086530.tif 000014
【図５】
2020086530.tif 000015
【図６】
2020086530.tif 000016
【図７】
2020086530.tif 000017
【図８】
2020086530.tif 000018
【図９】
2020086530.tif 000019
【図１０】
2020086530.tif 000020
【図１１】
2020086530.tif 000021
【図１２】
2020086530.tif 000022
【図１３】
2020086530.tif 000023
【図１４】
2020086530.tif 000024
【図１５】
2020086530.tif 000025
【図１６】
2020086530.tif 000026
【図１７】
2020086530.tif 000027
【図１８】
2020086530.tif 000028
【図１９】
2020086530.tif 000029
【図２０】
2020086530.tif 000030
【図２１】
2020086530.tif 000031
【図２２】
2020086530.tif 000032