(57)【要約】【課題】一般ユーザによるＷｅｂサイトの利用に係わるセキュリティの状態や、問題発生時の補償の質などを、一般ユーザに対して十分にわかりやすく明瞭に提示する。【解決手段】本システムでは、一般ユーザが使用する端末１００と、コンテンツを提供する一般のＷｅｂサイトＡと、サイトＡを対象としてセキュリティ監査を行うサイトＢとを有する。端末１００によるサイトＡへのアクセスの際、サイトＢは、サイトＡの監査結果情報をもとに、当該サイトのセキュリティ状態に関する多値評価情報であるセキュリティレベル（ＳＬ）を含む情報を、画像Ｇ１の形で端末１００の画面に表示させる処理を行う。【選択図】図１
2010287118.tif 000002
【特許請求の範囲】
【請求項１】
Ｗｅｂサイトの情報セキュリティに関する情報を提供するシステムであって、
通信ネットワーク上、一般のユーザが使用する端末と、前記ユーザの端末に対してコンテンツやサービスを提供する一般のＷｅｂサイトを管理する第１の情報処理システムと、前記Ｗｅｂサイトを対象として情報セキュリティに関する監査を行う第２の情報処理システムと、を有し、
前記第２の情報処理システムは、前記Ｗｅｂサイトに対する前記情報セキュリティの監査の処理を実行することにより、監査結果情報を作成する処理を行い、
前記ユーザの端末が前記Ｗｅｂサイトにアクセスして前記コンテンツやサービスを得る処理の際に、前記第２の情報処理システムは、前記監査結果情報をもとに、当該Ｗｅｂサイトの情報セキュリティの状態に関する多値評価情報であるセキュリティレベルを含む表示情報を、前記ユーザの端末の画面に表示させる処理を行うこと、を特徴とするＷｅｂサイトセキュリティ情報表示システム。
【請求項２】
請求項１記載のＷｅｂサイトセキュリティ情報表示システムにおいて、
前記第２の情報処理システムは、
前記Ｗｅｂサイトに対する前記情報セキュリティの監査の処理を実行することにより、当該Ｗｅｂサイトに関する情報セキュリティの状態に関する多値評価情報であるセキュリティレベルを含む監査結果情報を作成する処理を行う監査部と、
前記ユーザの端末が前記Ｗｅｂサイトにアクセスして前記コンテンツやサービスを得る処理の際に、前記監査結果情報をもとに、前記多値評価情報であるセキュリティレベルを含む表示情報を、前記ユーザの端末の画面に表示させる処理を行う提供部と、を有すること、を特徴とするＷｅｂサイトセキュリティ情報表示システム。
【請求項３】
請求項１記載のＷｅｂサイトセキュリティ情報表示システムにおいて、
前記第２の情報処理システムは、所定の定期的なタイミング毎に、前記Ｗｅｂサイトに対する前記情報セキュリティの監査の処理を実行することにより、前記監査結果情報を作成し、その履歴を格納する処理を行うこと、を特徴とするＷｅｂサイトセキュリティ情報表示システム。
【請求項４】
請求項１記載のＷｅｂサイトセキュリティ情報表示システムにおいて、
前記ユーザの端末が前記Ｗｅｂサイトにアクセスして前記コンテンツやサービスを得る処理の際に、前記第２の情報処理システムは、当該Ｗｅｂサイトに関連付けられる、問題が発生した場合の補償の質を表す情報、またはそれを示す保険の情報、を含む表示情報を、前記ユーザの端末の画面に表示させる処理を行うこと、を特徴とするＷｅｂサイトセキュリティ情報表示システム。
【請求項５】
請求項１記載のＷｅｂサイトセキュリティ情報表示システムにおいて、
前記第２の情報処理システムは、
前記ユーザの端末が前記Ｗｅｂサイトにアクセスして前記コンテンツやサービスを得る処理の際に、前記監査結果情報をもとに、前記多値評価情報であるセキュリティレベルに加えて、前記セキュリティの状態に関するＯＫまたはＮＧを示す２値評価情報を含む表示情報を、前記ユーザの端末の画面に表示させる処理を行うこと、を特徴とするＷｅｂサイトセキュリティ情報表示システム。
【請求項６】
請求項１記載のＷｅｂサイトセキュリティ情報表示システムにおいて、
前記ユーザの端末に備えるＷｅｂブラウザと前記第２の情報処理システムに備えるサーバとの間で通信することにより、
前記ユーザの端末が前記Ｗｅｂサイトにアクセスして前記コンテンツやサービスを得る処理の際に、前記Ｗｅｂブラウザは、前記第２の情報処理システムのサーバと通信して、前記Ｗｅｂサイトの情報セキュリティの状態に関する多値評価情報であるセキュリティレベルを含む表示情報を、前記画面に表示する処理を行うこと、を特徴とするＷｅｂサイトセキュリティ情報表示システム。
【請求項７】
請求項１〜６のいずれか一項に記載のＷｅｂサイトセキュリティ情報表示システムにおいて、
前記表示情報は、前記対象とするＷｅｂサイトのＷｅｂページ内に表示される所定の画像を含むこと、を特徴とするＷｅｂサイトセキュリティ情報表示システム。
【請求項８】
請求項１記載のＷｅｂサイトセキュリティ情報表示システムにおいて、
前記第２の情報処理システムは、前記端末の画面に表示された表示情報に対する前記ユーザの操作を契機として、前記対象のＷｅｂサイトに関する情報セキュリティの監査結果に関する詳細情報を、前記端末の画面に表示させる処理を行うこと、を特徴とするＷｅｂサイトセキュリティ情報表示システム。
【請求項９】
請求項１または６に記載のＷｅｂサイトセキュリティ情報表示システムにおいて、
前記端末は、前記Ｗｅｂサイトから取得したＷｅｂページを画面に表示し、当該Ｗｅｂページに対する前記ユーザの操作を契機として、次に、前記端末は、前記第２の情報処理システムから取得した前記表示情報を、当該Ｗｅｂページ内に表示すること、を特徴とするＷｅｂサイトセキュリティ情報表示システム。
【請求項１０】
請求項１または６に記載のＷｅｂサイトセキュリティ情報表示システムにおいて、
前記端末は、前記Ｗｅｂサイトから取得したＷｅｂページを画面に表示すると共に、自動的に、前記第２の情報処理システムから取得した前記表示情報を、当該Ｗｅｂページ内に表示すること、を特徴とするＷｅｂサイトセキュリティ情報表示システム。
【請求項１１】
請求項１記載のＷｅｂサイトセキュリティ情報表示システムにおいて、
前記第２の情報処理システムによる前記監査の項目として、前記端末と前記Ｗｅｂサイトとの間におけるログイン方式を含むこと、を特徴とするＷｅｂサイトセキュリティ情報表示システム。
【請求項１２】
請求項１記載のＷｅｂサイトセキュリティ情報表示システムにおいて、
前記第２の情報処理システムによる前記監査の項目として、前記Ｗｅｂサイトが提供するコンテンツの数を含むこと、を特徴とするＷｅｂサイトセキュリティ情報表示システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報（ＩＴ）セキュリティの技術に関し、特に、セキュリティ監査（検査、診断等）の技術に関する。
【背景技術】
【０００２】
インターネット上において一般ユーザが端末からＷｅｂサイト（Ｗｅｂページ）にアクセスしてその情報（コンテンツ、サービス等）を利用する場合、一般にセキュリティに関するリスクが存在する。例えば、ＥＣ（電子商取引）サイト等におけるユーザ個人情報の漏洩などの可能性が存在する。
【０００３】
上記への対策として、各種のセキュリティ製品（ソフトウェア・ハードウェア）が利用されている。例えば、一般的な技術としては、端末等が利用するアンチウィルス機能がある。また、セキュリティ関連情報（脆弱性情報など）を随時更新・保持するサーバ（データベース）に対して問い合わせ・照合を行う機能などがある。
【０００４】
現在（従来）、上記Ｗｅｂサイト等（その提供・運営）において、あるセキュリティ製品を利用しているということを、一般ユーザ（端末）に告知する仕組みは存在する。例えば、ベリサイン・セキュアドシール（VeriSign Secured Seal）（登録商標）がある（非特許文献１）。
【０００５】
ベリサイン・セキュアドシールによれば、一般ユーザは、当該シール（画像）が掲載されているＷｅｂサイトが実際に存在しており、通信がＳＳＬにより暗号化されていること等を、検証・確認することができる。Ｗｅｂサイト運営者がＷｅｂページに当該シール（画像）を掲載することにより、一般ユーザに対する当該サイトのセキュリティに関する信頼性を高める。
【０００６】
また、Ｗｅｂサイトのセキュリティ監査に関する先行技術例として、例えば、非特許文献２のような、セキュリティ監査ツール（「ネットワーク脆弱性検査ツール」）がある。この技術によれば、ネットワーク経由における、サーバ、クライアント、ネットワーク機器等の脆弱性検査（非破壊型スキャン）を実施し、脆弱性の検出及びレポートを行う。非破壊型スキャンでは、対象（運用中のサーバ等）に対して攻撃コードを実施せずに検査を実現する。
【０００７】
また、セキュリティレベルの基準に関しては、例えば「電子認証によるガイドライン」（ＮＩＳＴ）（非特許文献３）などがある。
【０００８】
上記監査に関する先行技術例として、特開２００３−１４０９８７号公報（特許文献１）などがある。
【先行技術文献】
【特許文献】
【０００９】
【特許文献１】特開２００３−１４０９８７号公報
【非特許文献】
【００１０】
【非特許文献１】「ベリサインセキュアドシール」、日本ベリサイン株式会社、インターネット、＜ＵＲＬ：http://www.verisign.co.jp/index.html＞
【非特許文献２】「ネットワーク脆弱性検査ツール」（Retina Network Security Scanner）、住商情報システム株式会社、インターネット、＜ＵＲＬ：http://www.scs.co.jp/eeye/retina.html＞
【非特許文献３】「電子認証によるガイドライン」、米国国立標準技術研究所（ＮＩＳＴ）、２００６年４月、（翻訳監修者）独立行政法人  情報処理推進機構  および  ＮＲＩセキュアテクノロジーズ株式会社、インターネット、＜ＵＲＬ：http://www.ipa.go.jp/security/publications/nist/documents/SP800-63-J.pdf＞
【発明の概要】
【発明が解決しようとする課題】
【００１１】
Ｗｅｂサイトのセキュリティ監査の技術に係わり、前述のシール等のように、Ｗｅｂサイトに関する所定のセキュリティ製品の利用について一般ユーザに告知する仕組みは存在する。他方、一般的に、１００％の安全性を保証するセキュリティ製品は存在しない（リスクは低減できるがゼロにはならない）。
【００１２】
そのため、現状では、前述のシールや各種セキュリティ製品を利用してＷｅｂサイトのセキュリティに関する情報を一般ユーザに提供したとしても、１００％の保証とは言えない。従来のその種の表示情報においては、当該サイトのセキュリティに関して概括的にＯＫかＮＧかが提示されているか、あるいは一般ユーザには理解し難い詳細情報が提示されているかであり、それ以上のわかりやすい情報（例えば具体的なセキュリティレベル等）を提示している訳ではない。即ち、一般ユーザにとっては、Ｗｅｂサイトの利用における個人情報漏洩等の問題（損害等）に遭う可能性（リスク）が漠然と存在し、その可能性（リスク）の大きさ等が実感しにくい。
【００１３】
上述のように、従来、一般ユーザからすると、Ｗｅｂサイト利用に係わるセキュリティの状態（問題が発生するリスクの大きさ、あるいはその対策による効果の程度など）についての情報が不十分または不明瞭である。また更には、問題が発生した場合の補填・補償の質（あるいは問題が発生する前からの権利の保障の内容）などについての情報が不十分または不明瞭である。
【００１４】
以上を鑑み、本発明の主な目的は、上記セキュリティ監査の技術に係わり、通信ネットワーク（インターネット）上における一般ユーザによるＷｅｂサイトの利用に係わるセキュリティの状態などについての情報を、一般ユーザに対して十分にわかりやすく明瞭に提示することができ、Ｗｅｂサイト運営の信頼性の向上等ができる技術を提供することである。
【課題を解決するための手段】
【００１５】
本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、次の通りである。本発明の代表的な実施の形態は、インターネット上でＷｅｂサイト等に関する情報セキュリティの監査等の処理を行う情報処理システムの技術であって、以下に示す構成を有することを特徴とする。
【００１６】
本形態は、一般ユーザのＷｅｂサイト利用に係わるセキュリティ状態などに関する情報を、一般ユーザに対してわかりやすく提示し、少なくとも、従来提示されているＯＫ／ＮＧといった２値情報に限らず、より詳しい多値情報（セキュリティレベル等）を提供する。
【００１７】
本形態は、Ｗｅｂサイトの情報セキュリティに関する情報を提供するシステムであって、通信ネットワーク上、一般のユーザが使用する端末と、ユーザの端末に対してＷｅｂページ等によるコンテンツやサービスを提供する一般のＷｅｂサイトを管理する第１の情報処理システムと、Ｗｅｂサイトを対象として情報セキュリティに関する監査を行う第２の情報処理システムと、を有する。第２の情報処理システムが、Ｗｅｂサイト（コンテンツ等のデータ）に対する情報セキュリティの監査の処理を実行することにより、監査結果情報を作成する処理と、ユーザの端末によるＷｅｂサイトへのアクセスに係わり、第２の情報処理システムが、監査結果情報をもとに、当該Ｗｅｂサイトの情報セキュリティの状態に関する多値評価情報（セキュリティレベル）を含む表示情報（画像など）を、ユーザの端末の画面に表示させる処理と、を行う。
【００１８】
上記ユーザに対し提示される画像等の表示情報は、対象サイトのセキュリティレベル（ＳＬ）（多値評価情報）及びＯＫ／ＮＧといった２値評価情報や、更には問題発生時の補償の質を表す保険の情報などを含んでもよい。
【発明の効果】
【００１９】
本願において開示される発明のうち、代表的なものによって得られる効果を簡単に説明すれば以下の通りである。本発明の代表的な実施の形態によれば、上記セキュリティ監査の技術に係わり、通信ネットワーク上における一般ユーザによるＷｅｂサイトの利用に係わるセキュリティの状態などについての情報を、一般ユーザに対して十分にわかりやすく明瞭に提示することができ、Ｗｅｂサイト運営の信頼性の向上等ができる。
【図面の簡単な説明】
【００２０】
【図１】本発明の一実施の形態の情報処理システム（Ｗｅｂサイトセキュリティ情報表示システム）の構成概要や特徴などを示す図である。
【図２】本実施の形態のシステムにおける、ハードウェアや処理部の構成例（独立サーバシステム型）を示す図である。
【図３】本実施の形態のシステムにおける、処理部や処理シーケンスを示す図である。
【図４】本実施の形態のシステムにおける、データ情報の構造例などを示す図である。
【図５】本実施の形態のシステムにおける、画面表示例などを示す図である。
【図６】本実施の形態のシステムにおける、ハードウェアや処理部の構成例（プラグイン型）を示す図である。
【発明を実施するための形態】
【００２１】
以下、本発明の実施の形態（Ｗｅｂサイトセキュリティ情報表示システム）を図面（図１〜図６）に基づいて詳細に説明する。なお、実施の形態を説明するための全図において、同一部には原則として同一符号を付し、その繰り返しの説明は省略する。
【００２２】
＜概要＞
図１を用いて、本実施の形態の情報処理システム（Ｗｅｂサイトセキュリティ情報表示システムを含む）の構成の概要や特徴等について以下である。基本的な特徴としては、Ｗｅｂサイトのセキュリティの監査結果情報（セキュリティ状態を評価した情報、特にセキュリティレベル（ＳＬ）の情報）を、一般ユーザの端末に対して表示する機能を有する。
【００２３】
本システムでは、インターネット９０上で一般ユーザ（端末１００）が利用する一般の対象ＷｅｂサイトＡ（第１の情報処理システム１）に関するセキュリティの監査を、監査サイトＢ（第２の情報処理システム２）により行う。そして、その監査結果情報に基づくセキュリティ状態を表す情報（及びそれに関連する保険（補償）の情報など）を、当該サイトＡのＷｅｂページに関連付けられる画像Ｇなどの形式で、ユーザの端末１００の画面へ表示する。
【００２４】
特に、上記画像Ｇなどによる表示情報は、当該対象サイトＡのセキュリティレベル（ＳＬ）の情報を含む。また上記関連する保険（補償）の情報として、当該対象サイトＡにおける保険の加入状態やその保険ランクなどの情報を含む。
【００２５】
ユーザ（端末１００）は、当該サイトＡの利用（アクセス）にあたり、上記画像Ｇを参照することで、当該サイトＡのセキュリティ状態（及びそれに関連する保険（補償）の質など）を、わかりやすく認識することができる。
【００２６】
＜システム＞
図２（及び図１等）を用いて、本システムのハードウェア及びソフトウェア、処理部（プログラムや論理）等の構成例を説明する。システム全体は、インターネット（通信ネットワーク）９０上において、一般ユーザが使用する端末１００（ＰＣ，携帯電話機等）と、サイトＡ（対象Ｗｅｂサイト）の提供・運営を行う第１の情報処理システム１と、サイトＢ（監査サイト）の提供・運営を行う第２の情報処理システム２とを有する。端末１００は、Ｗｅｂブラウザ１１０等を備える。各サイトの処理部間では、インターネット９０を介して通信が可能である。なお、サイトＡ以外については、必ずしもＷｅｂページを提供する必要は無い。
【００２７】
本システムでは、主要な機能（ＳＬ等の画像Ｇを提供する機能）の実装の形態として、ユーザの端末１００とは独立したサーバシステムの形、即ち、図２等の通り、サイトＢに対応する第２の情報処理システム２（独立したサーバシステム）により、当該主要な機能を提供する。端末１００は、サイトＢ（サーバ）にアクセスすることにより、ＳＬ等の画像Ｇを得ることができる（処理Ａ）。端末１００側には特別なソフトウェア等の実装は必要無い。
【００２８】
サイトＡ（情報処理システム１）は、一般的なＷｅｂサイトを一般ユーザ（端末１００）に対して提供するシステムである。サイトＡは、例えば一般的なサーバシステムによる構成である。サイトＡは、例えば、Ｗｅｂサーバ（コンテンツ提供部）１０を実現するＷｅｂサーバ装置１０１、（サイトＡ全体）コンテンツデータ５０を格納するＤＢ１０２、等を有する。対象ＷｅｂサイトＡは、例えば、ＥＣ（電子商取引）サイトや、銀行（オンラインバンキング）のサイト等であり、例えば口座振り込み等のトランザクションが発生するサイトを含む。サイトＡは、サイトＢによる監査の対象となる。また、サイトＡは、外部の保険会社等との間で当該サイトの情報セキュリティに関する保険の契約を結んだサイトであってもよい。なおサイトＡは１つに限らず複数とすることができる（特に多数のサイトＡ群の監査、及び多数のサイトＡ群を加入者とした保険の提供の場合）。
【００２９】
サイトＢ（情報処理システム２）は、対象サイトＡのセキュリティの監査、及びＳＬ画像Ｇの提供等を行う監査システムである。サイトＢのシステムは、例えば一般的なサーバシステムによる構成である。サイトＢは、例えば、画像（Ｇ）提供部２１等を実装するＷｅｂサーバ装置２０１、監査部（Ｗｅｂサイトセキュリティ監査部）２２等を実装する監査処理装置（コンピュータ）２０２、各データ情報（監査情報ＤＢ６１、契約情報ＤＢ６２を含む）を格納するＤＢ２０３、等を有する。
【００３０】
Ｇ提供部２１（Ｗｅｂサーバ装置２０１）は、対象サイトＡのＳＬ等の確認のための画像Ｇ（表示情報）を一般ユーザの端末１００に提供する機能を含む、サイトＢのサービス（機能、コンテンツ等）を提供する。
【００３１】
監査部２２（監査処理装置２０２）は、画像Ｇの提供に係わるサイトＡの監査の処理を実行する。
【００３２】
Ｇ提供部２１は、対象サイトＡの監査結果情報（監査情報ＤＢ６１）をもとに、対象サイトＡのセキュリティレベル（ＳＬ）や、それに関連する補償の質の情報を判断・確認し、その結果に基づく画像Ｇ（表示情報）を、ユーザの端末１００に送信して表示させる処理を行う。
【００３３】
Ｇ提供部２１は、詳しくは、監査情報判断部２１１と、契約情報判断部２１２と、送信情報判断部２１３とを有する。監査情報判断部２１１は、対象サイトＡのＳＬ等を判断する。契約情報判断部２１２は、対象サイトＡの契約関係及び保険（補償等）の情報を判断する。送信情報判断部２１３は、端末１００へ応答送信する画像Ｇを最終的に判断して応答送信処理する。
【００３４】
監査部２２は、インターネット９０を介して、１日１回などの所定の定期的なタイミングで、対象サイトＡ（コンテンツデータ５０）に対する監査処理を実行し、その結果、その時点のＳＬ等を含む監査結果情報を、監査情報ＤＢ６１に格納する。
【００３５】
また、サイトＢの特定の処理部（Ｇ提供部２１等）は、対象サイトＡに係わる契約関係の情報を、契約情報ＤＢ６２に格納する。特に、外部の保険会社等から提供される保険契約情報を契約情報ＤＢ６２に格納してもよい。
【００３６】
なお上記形態以外にも、例えば、サイトＢを構成するＧ提供部２１と監査部２２とを別のシステムに分けて連携する形態などとしてもよい。
【００３７】
なお、本実施の形態では、その都度のＳＬ等の決定を監査部２２で行うが、Ｇ提供部２１で行ってもよい。
【００３８】
＜データ情報＞
図４等を用いて、本システムで扱うデータ情報及びその構造例などについて以下である。
【００３９】
（サイトＡ）  サイトＡにおいて、Ｗｅｂサーバ１０等が扱う、（サイトＡ全体）コンテンツデータ５０を有する。このコンテンツデータ５０は、サイトＡ全体を構成するＷｅｂページ等のデータであり、ＨＴＭＬやＪＳＰ等による複数のＷｅｂページ等（コンテンツデータ）５２と、画像Ｇ（ないしサイトＢ）へのリンク情報が記載されたＨＴＭＬ等のＷｅｂページ（Ｇリンク付きＷｅｂページ）５１とを含む。
【００４０】
本例では、Ｇリンク付きＷｅｂページ５１は、当該ページ５１内にコンテンツを含み、リンクにより表示される画像Ｇは、当該ページ（５１）自体についての監査結果等の情報である。また他の形態としては、Ｇリンク付きページ５１により表示される画像Ｇは、当該ページ５１ではなく他のコンテンツのＷｅｂページ等に関する監査結果等の情報を表すものとしてもよい。また、Ｇリンク付きページ５１及び画像Ｇの表示については、例えば全ページ（５０）のうち１つとする形としてもよいし、サイトＡ運営者が一般ユーザに対し当該表示情報を提示したい各ページ毎に当該画像Ｇを表示する形としてもよい。
【００４１】
（サイトＢ）  サイトＢのＤＢ２０３において、監査情報ＤＢ（Ｗｅｂサイトセキュリティ監査結果情報ＤＢ）６１と、契約情報ＤＢ（Ｗｅｂサイト契約情報ＤＢ）６２とを有する。ＤＢ２０３には、画像Ｇデータ（６３）も格納されている。
【００４２】
監査情報ＤＢ６１において、役割としては、対象サイトＡのセキュリティ状態の情報を管理する。その情報の具体例として、ＳＬ情報を含む監査結果情報を含んでいる。
【００４３】
図４の監査情報ＤＢ６１は、監査対象サイト情報、そのＵＲＬ（アドレス情報）、その監査実行タイミング（日時）毎の監査結果情報などを有する。監査結果情報としては、各監査項目の値、セキュリティレベル（ＳＬ）等の情報を有する。監査項目としては、コンテンツ数、ログイン方式（種別）、ＳＱＬインジェクション対策などがある。
【００４４】
コンテンツ数は、対象サイトを構成するコンテンツ（Ｗｅｂページ、ファイル等）の数である。ログイン方式は、監査結果（セキュリティ状態）に影響するログイン方式の種別などの情報である。ＳＱＬインジェクションは、監査項目の一例として、個人情報漏洩の問題に影響する項目であり、その対策の数値が計算される。監査項目は、監査部２２が適用する監査の手法（及び関連する保険の種類など）に応じて各種の項目を有する。
【００４５】
契約情報ＤＢ６２において、役割としては、対象サイトＡのセキュリティ状態に関係して問題（損害等）が発生した場合における補償の質の情報、及びそれに係わる対象サイトＡの契約関係の情報などを管理する。その情報の具体例として、保険の情報を含んでいる。保険の情報は、外部の保険会社等が提供しサイトＡが加入する保険の保険契約情報などである。保険以外にも契約関係がある場合（例えば監査に関する契約）は、その契約情報も含んでよい。また、１つの保険会社（または複数の各保険会社）で複数の種類の保険を扱っている場合は、複数の保険情報を含む。
【００４６】
図４の契約情報ＤＢ６２は、対象サイト情報（保険契約サイト）、その契約情報（保険契約情報など）を有する。保険契約情報として、対象サイトＡが加入している１つ以上の保険に関する、保険の識別情報（保険者（保険会社）及び保険種別など）、及びその保険ランク（補償の質の多値評価情報）等の情報を有する。
【００４７】
図４の各データ情報の例は以下である。監査情報ＤＢ６１の情報において、対象サイトＡは、所定のＵＲＬでＷｅｂページ等のコンテンツを提供する。ある監査日時（２００９年３月１２日）の監査結果において、サイトＡの全コンテンツ数が９９９個であり、ログイン方式は、例えばワンタイムパスワード方式（種別＃１）がある。監査項目として例えばＳＱＬインジェクション対策の数値が９７％等である。結果、その時点のＳＬが、９（“Ａａａ”，“ＯＫ”）と判断されている。
【００４８】
本実施の形態では、監査情報ＤＢ６１内に格納される監査結果情報として、特に監査部２２が評価算出するセキュリティレベル（ＳＬ）の数値を含んでいる。例えば、ＳＬのレベルを最低１〜最高９の値で評価する。また例えば、最高レベルを“Ａａａ”、最低レベルを“Ｃ”などといったように格付け表記してもよい（財務分野の格付け表記にならった例）。また、ＳＬが所定レベル以上の場合に“ＯＫ”（セキュリティＯＫ）、未満の場合に“ＮＧ”（セキュリティＮＧ）と判定してもよい。
【００４９】
また、契約情報ＤＢ６２の情報において、対象サイトＡは、例えば外部の保険会社（及び監査サイトＢ）との間で、所定の保険（種別：Ｃ−＃１）に関して事前に契約し加入している。この保険契約は監査に関する契約も含むとする。この保険（Ｃ−＃１）は、その時点で保険ランクが３と判断されている。保険ランクは例えば最低１〜最高５である。
【００５０】
＜ＳＬ＞
セキュリティレベル（ＳＬ）は、一般ユーザが対象サイトＡにアクセスする際における情報セキュリティに係わるリスクを総合的に多値で評価した値である。即ち例えばＳＬが低い時は、その分問題発生の可能性が高いと判定されていることを示す。既存あるいは独自の所定の情報セキュリティ基準に基づいた、所定の監査処理の結果により、所定の形式のＳＬを決定する。
【００５１】
＜保険ランク＞
保険ランクは、対象サイトＡにおける保険による補償の質を多値で評価した値である。例えば一般ユーザが対象サイトＡにアクセスして損害等の問題（例えば個人情報漏洩）が発生した場合における、一般ユーザに対する補償の質などを、対象サイトＡの保険契約情報などをもとに判定した値である。補償レベルなどと言い換えることもできる。なお、上記レベルやランク等の多値評価情報は、点数や％などの他の表現としてもよい。
【００５２】
＜監査項目＞
本実施の形態では、監査の項目（対象）として、「ログイン方式」や「コンテンツ数」等についても扱っている。ログイン方式の違いやコンテンツ数を、監査処理の評価計算に反映する。
【００５３】
一般的には、ログイン方式によってサイトのセキュリティレベルが大きく異なると言われている（例えば、非特許文献３）。例えば同じＷｅｂサイトＡであっても、異なる複数のログイン方式が使用される場合がある。この場合、アクセス対象が同じコンテンツデータであっても、それらのログイン方式の違いにより、監査結果のセキュリティ状態が異なってくる。ログイン方式によりセキュリティレベルが異なるということは、より強度の高いログイン方式の場合には個人情報漏洩などの危険性が少ないということになる。このため、本実施の形態では、ログイン方式についても、判断材料（監査項目）の１つとして扱っており、ログイン方式の違いに応じてＳＬが変化する。
【００５４】
また、コンテンツ数に関しては、監査処理を行う際にアクセス可能なＷｅｂページの数や、ダウンロード可能なコンテンツ数（ファイル数など）を扱っている。例えば、当該コンテンツ数については、監査部２２により、監査（監査処理）の実行ごとに、自動的に算出され、数値が更新される。コンテンツ数については、対象ＷｅｂサイトＡにおけるコンテンツ数が多いほど、問題発生の危険性が高まる（即ちＳＬが低く判定される）という考え方に基づいて、判断材料の１つとして扱っている。
【００５５】
＜処理＞
図１，図３等において、本システムで行われる処理は、大きくは２つがある。処理Ａとして、Ａ１〜Ａ８等の矢印で示す処理シーケンスがあり、ユーザの端末１００によるアクセス時の処理を示す。また、処理Ｂとして、Ｂ１〜Ｂ４等の矢印で示す処理シーケンスがあり、処理Ａとは独立した、本システムのバックグラウンドでの処理、例えば定常的・定期的な処理である。
【００５６】
処理Ａでは、一般ユーザの端末１００とサイトＡ，Ｂとの間で、端末１００の画面（サイトＡのＷｅｂページ４００の一部の表示領域４１０）に対し画像Ｇにより監査結果情報（ＳＬ等）や保険（補償等）の情報を表示する処理を行う。特に、セキュリティ状態の表示情報として、“ＳＬ”や“ＯＫ”／“ＮＧ”の画像を提供する。また、補償の質の表示情報として、“保険ランク”や、保険加入状態（“加入済”／“未加入”）の画像を提供する。
【００５７】
処理Ｂでは、サイトＡ，Ｂ間での監査の処理や、サイトＢと外部システムとの間での契約情報を取得する処理などを、自動的に実行する。
【００５８】
＜処理Ａシーケンス＞
図３等を用いて、処理Ａシーケンスを説明する。また関連して図５には画面表示例を示している。
【００５９】
Ａ１：  ユーザは、端末１００のＷｅｂブラウザ１１０から、サイトＡ（Ｗｅｂページ）にアクセスしてそのコンテンツ、サービス等を利用する。Ｗｅｂページへのアクセスでは、適宜、ＵＲＬ入力（リンクのクリック）等の操作がユーザにより行われる。またその際、ユーザは、例えば、画像Ｇへのリンクが記載されたＨＴＭＬ等のＷｅｂページ（５１）へアクセスする（Ａ１）。このアクセス（Ａ１）は、例えば通常のＨＴＴＰ（またはＨＴＴＰＳ）等による要求である。
【００６０】
Ａ２：  上記Ａ１のアクセス要求に対し、サイトＡから端末１００へ、当該Ｇリンク付きＷｅｂページ５１が応答送信される（Ａ２）。当該Ｇリンク付きＷｅｂページ５１には、画像Ｇ（サイトＢ）へのリンク情報（ＵＲＬ等）が記述されている。これにより、Ｗｅｂブラウザ１１０により、画面に当該ＷｅｂページＰ１（４０１）が表示処理される（図５）。このＷｅｂページＰ１（４０１）の表示内容は、例えば、通常コンテンツ表示領域と、リンク情報の表示領域（４１１）とを含む。リンク情報は、当該ＷｅｂページＰ１、または他のＷｅｂページＰ２に関連付けられる画像Ｇ（サイトＢ）へのリンク情報である。
【００６１】
Ａ３：  ユーザは、端末１００の画面に表示されたＧリンク付きＷｅｂページ５１（図５、ページＰ１（４０１））において、例えば画像Ｇへのリンク情報（４１１）をマウスによりクリックする。これにより、Ｗｅｂブラウザ１１０によりリンクが解釈され、サイトＢへのアクセス（Ａ３）が発生する。このアクセス（Ａ３）は、例えば通常のＨＴＴＰ（またはＨＴＴＰＳ）等による要求であり、「サイトＡからリンクされたこと」を示す情報（例えばサイトＡのＵＲＬ）が付属する。
【００６２】
Ａ４：  上記Ａ３のアクセス要求に対し、サイトＢは、Ｇ提供部２１により、要求されている情報（画像Ｇ）を判断・決定する（Ａ４〜Ａ７の処理）。このために、Ｇ提供部２１は、監査情報判断部２１１、契約情報判断部２１２、送信情報判断部２１３等を起動し、それぞれ処理を行わせる。
【００６３】
Ａ５：  契約情報判断部２１２は、契約情報ＤＢ６２を参照して、対象サイトＡの契約関係情報を取得（読み出し）する。即ち、対象サイトＡが加入している保険（例：Ｃ−＃１）、及びその保険ランク（例：３）の情報が取得される。
【００６４】
Ａ６：  監査情報判断部２１１は、監査情報ＤＢ６１を参照して、対象サイトＡの監査結果情報を取得（読み出し）する。即ち、最新の監査日時におけるＳＬ（例：９）等の情報が取得される。
【００６５】
Ａ７：  送信情報判断部２１３は、Ａ５，Ａ６の処理により取得された情報を用いて、端末１００へ応答送信する表示情報（画像Ｇ１）を決定する。即ち、送信情報判断部２１３は、例えば、Ａ６によるＳＬ情報に対応する画像Ｇとして、“ＳＬ”画像ｇ１（表示内容は具体的なＳＬ数値（例：９）を含む）と、Ａ５による保険の情報に対応する画像Ｇとして、“保険ランク”画像ｇ２（表示内容は具体的な保険ランク数値（例：３）を含む）とに対応する画像データ６３を、ＤＢ２０３等から読み出す。
【００６６】
Ａ８：  そして、Ｇ提供部２１は、上記決定された画像Ｇ１（例：ＳＬ（ｇ１），保険ランク（ｇ２））を含むデータを、端末１００へ送信する（Ａ８）。なお上記ＳＬや保険ランクに加えて、セキュリティ状態の“ＯＫ”／“ＮＧ”の画像や、保険加入状態の“加入済”／“未加入”の画像を応答してもよい。また本例では画像データ（ＧＩＦファイル等）を送信しているが、他の形式、例えば当該画像データを含むＷｅｂページデータ等の形式としてもよい。
【００６７】
上記画像Ｇ１の取得に基づき、端末１００のＷｅｂブラウザ１１０により、画面に表示されるページＰ１／Ｐ２（４０２）において、例えば、先ほどのＧリンク付きＷｅｂページ５１（Ｐ１）内のリンク情報（４１１）箇所に相当する所定の表示領域（４１２）に、あるいはリンク先となる別のＷｅｂページ（Ｐ２）内の所定の表示領域（４１２）に、上記画像Ｇ１（ｇ１，ｇ２）が表示される。これにより、ユーザは、表示画面で、例えばＷｅｂページ（４０２）の一部（４１２）に表示された画像Ｇ１（ｇ１，ｇ２）を見ることになる。これにより、ユーザは、対象サイトＡのセキュリティ状態や補償の質を認識することができる。
【００６８】
＜処理Ｂシーケンス＞
図３等を用いて、処理Ｂシーケンスを説明する。
【００６９】
Ｂ１：  サイトＢの監査部２２は、所定のタイミング、例えば１日１回、１時間１回などの定期的なタイミングで、対象サイトＡのセキュリティの監査処理を自動的に実行する。この監査処理のアクセス（Ｂ１）は、インターネット９０を介した例えばＨＴＴＰ（またはＨＴＴＰＳ）によるアクセスである。尚、この所定の定期的なタイミングについては、その実行間隔を短くすることにより、ほぼリアルタイムで常時継続的に処理を行う形とすることができる。
【００７０】
監査部２２は、このアクセス（Ｂ１）により、ネットワーク機器やサーバ等を介して、サイトＡを構成するＨＴＭＬ等によるコンテンツデータ５０をスキャン（診断）し、所定の監査項目に従い監査処理を実行する。この監査処理については、前述の非破壊型スキャン技術など、各種の技術を適用できる。監査項目は、例えば、各種の攻撃（例えばＳＱＬインジェクション）に対する耐性のチェック、脆弱性の検出などがある。項目毎に、対策度合いなどを表す数値（％等）を算出する。
【００７１】
また、上記監査処理は、例えば、サイトＡ−Ｂ間の事前の契約に基づき、Ｗｅｂサーバ装置１０１等に対するアクセスとして、通常運用時間帯（一般ユーザのアクセスが多い時間帯）以外の所定の監査処理用時間帯に実行する形などとしてよい。
【００７２】
Ｂ２：  監査部２２は、上記監査処理の結果をもとに、最終的に、ＳＬの評価算出値を含む監査結果情報をまとめ、監査情報ＤＢ６１に格納する。
【００７３】
Ｂ３：  サイトＢの監査情報ＤＢ６１を管理する処理部（監査部２２など）から、外部の保険会社等へ、Ｂ２による最新の監査結果情報を提供してもよい。これにより、保険会社側では、当該情報を、保険の内容の更新や保険の設計に利用することができる。
【００７４】
Ｂ４：  また、対象サイトＡに関する保険の契約が存在する場合、外部システムから、サイトＢの契約情報ＤＢ６２を管理する処理部（Ｇ提供部２１など）へ、当該保険契約情報（保険種別等）を授受してもよい。
【００７５】
なお、上記Ａ６（Ｂ３），Ａ５（Ｂ４）に係わる情報取得の処理は、更新情報が無い場合には省略可能である。
【００７６】
＜画像Ｇ＞
ユーザの端末１００に表示する画像Ｇ（Ｇ１）について以下である。サイトＢのＧ提供部２１は、提供可能な各種の画像Ｇのデータ（６３）をＤＢ２０３に有する。即ち、セキュリティ状態に関する“ＳＬ”、“ＯＫ”／“ＮＧ”等を示す画像や、保険（補償）の質に関する“保険ランク”、“加入済み”／“未加入”等を示す画像がある。画像Ｇの表示上のデザインはイメージやテキストメッセージや形や色などを組み合わせて自由に設計可能である。また端末１００へ提供する画像Ｇのデータ（表示情報）は、ＧＩＦ等の画像ファイルの形式に限らず、テキストデータ（文字情報）やＷｅｂページデータの形式などが可能である。
【００７７】
本実施の形態では、端末１００へ提供する画像Ｇ１として、“ＳＬ”画像ｇ１を含む。またサイトＡが加入している保険が存在する場合は、その“保険ランク”画像ｇ２を含む。このような多値の情報をユーザに対し提示することにより、従来では２値（ＯＫ／ＮＧ等）で提示していたのと比べて、セキュリティ状態や補償の質がわかりやすくなる。
【００７８】
＜詳細情報＞
更に、上記画像Ｇの表示だけでなく、例えば当該画像Ｇをユーザがクリック操作すること等によって、当該画像Ｇに関する詳細な情報へリンクする形態としてもよい。この場合、ユーザがその詳細情報を閲覧することで、更に詳しくセキュリティ状態や補償の質について検証や確認することができる。
【００７９】
例えば、画像Ｇのクリックにより、サイトＢが提供する監査結果情報等のＷｅｂページへ飛ぶようにしてもよい。また、保険がある場合は、外部の保険会社が提供する当該保険に関する詳細情報のＷｅｂページへ飛ぶようにしてもよい。この場合、画像Ｇのデータに当該リンク情報が関連付けられている。例えば、サイトＢは、この詳細情報を応答する場合、前述の監査結果情報や契約情報をＤＢ（６１，６２）から読み出して、それらを含んだ詳細情報のＷｅｂページを生成して、端末１００へ応答送信する。
【００８０】
詳細情報は、例えば、ＳＬ等の値の根拠となった監査項目毎の情報などを提示してもよい。また例えば、ＳＱＬインジェクション対策数値といった項目ではなく、ユーザから見てわかりやすいように所定の項目（観点）でまとめた情報にしてもよい。例えば、「個人情報漏洩」といった観点で計算した値を提示してもよい。
【００８１】
＜実施の形態の効果＞
本実施の形態により、Ｗｅｂサイトのセキュリティ状態を、ＳＬ（多値評価情報）の形で一般ユーザにわかりやすく提示して認識させることができる。また併せて、対象サイトに係わる保険が存在する場合は、補償の質などについても一般ユーザにわかりやすく提示して認識させることができる。結果、Ｗｅｂサイト利用に係わる信頼性を高めることができる。また、画像Ｇにより提示される情報は、従来のようなＯＫ／ＮＧの２値情報に限られず、ＳＬや保険ランク等による多値評価情報とすることで、従来よりも詳しくセキュリティ状態や補償の質を認識させることができる。
【００８２】
＜変形例（プラグイン型）＞
変形例（他の実施の形態）として、本主要な機能（画像Ｇを提供する機能）を、ユーザの端末１００のＷｅｂブラウザ１１０にプラグイン（ソフトウェア）の形で実装する形態も可能である。このＷｅｂブラウザ１１０（プラグイン）と、サイトＢのサーバとの連携処理により本主要な機能を実現する。このＷｅｂブラウザ１１０（プラグイン）では、前述の独立したサーバシステムの形態とは異なり、画像Ｇを取得して表示するための処理（特に前記Ｇ提供部２１相当の処理機能）を行う。サイトＢ（サーバ）側は、比較的処理負荷が高い監査処理等（前記監査部２２相当の処理機能）を行う。
【００８３】
図６において、本形態の場合のシステム構成例を示している。本形態におけるユーザアクセス時の処理Ａのシーケンス例は以下である。ユーザの端末１００のＷｅｂブラウザ１１０（プラグイン内蔵）から、例えばサイトＡのリンク付きＷｅｂページ５１へアクセスする。その際、例えば本プラグインがプロキシ機能のように介在し、自動的に、サイトＢのサーバへアクセスして連携する。これにより、Ｗｅｂブラウザ１１０（プラグイン）は、当該ページ（５１）に関連付けられる画像Ｇなどの情報を取得し、当該情報を端末１００の画面に表示する処理を行う。特に、Ｗｅｂブラウザ１１０（プラグイン）は、サイトＢから監査結果情報を取得し、それをもとに、前記Ｇ提供部２１相当の処理として、ＳＬ等の判断・確認、及び表示する画像Ｇの選択及び表示処理などを行う。詳しくは、前述の図２の構成の場合と同様に、各種処理例が可能である。
【００８４】
＜変形例（処理Ａ）＞
前記処理Ａに関する変形例として以下が可能である。前記Ａ３等（画像Ｇの取得・表示）において、ユーザによるリンク情報のマウスクリック等の操作を介在している。これに限らず、ユーザ操作を介在せずに自動的に画像Ｇを取得して表示する形態なども可能である。その場合の処理例は以下である。端末１００（Ｗｅｂブラウザ１１０等）は、サイトＡからリンク付きＷｅｂページ５１等のページを取得すると、まず当該ページ（画像Ｇは非表示）を画面に表示（描画）する。それと共に、Ｗｅｂブラウザ１１０等は、当該ページのデータ内の記述（画像Ｇの表示の指示）の処理に基づき、自動的に、非同期通信などによるサイトＢへのアクセスを発生させる。これにより、Ｗｅｂブラウザ１１０等は、取得した画像Ｇを、当該ページ内の指定箇所に表示（描画）する。上記処理例は例えばＷｅｂブラウザ１１０に備えるプラグインによっても実現できる。
【００８５】
また、上記画像Ｇの取得・表示の処理例として詳しくは以下が挙げられる。
【００８６】
（ａ）（ページ→画像の順に表示する形態）：  端末１００（Ｗｅｂブラウザ１１０）が、サイトＡの対象Ｗｅｂページ（５１等）を取得して画面に表示（描画）する（画像Ｇは非表示状態）。その後、サイトＢへのアクセス（リンククリック等のユーザ操作、または自動的な処理）により画像Ｇを取得して、当該ページ内に画像Ｇを表示する。
【００８７】
（ｂ）（ページ・画像を同時に表示する形態）：  端末１００（Ｗｅｂブラウザ１１０）が、サイトＡのページ（５１等）を取得し、画面に表示（描画）する前に、サイトＢへのアクセス（ユーザ操作または自動）により画像Ｇを取得し、その後、上記ページ及び画像Ｇを表示（描画）する。
【００８８】
（ｃ）（画像→ページの順に表示する形態）：  対象サイトＡのページを表示する前に、画像Ｇのみを表示する。例えば一般ユーザが、対象サイトＡの利用にあたり、セキュリティへの不安などから、対象ページ自体を表示する前に、先に対応する画像Ｇを見て当該サイト（ページ）のＳＬ等を確認したい場合である。例えば、端末１００（Ｗｅｂブラウザ１１０）は、まずサイトＡの対象ページ（５１等）へアクセスして当該ページのデータを取得する。当該ページを画面に表示する前に、サイトＢへのアクセス（ユーザ操作または自動）により対応する画像Ｇを取得し、当該画像Ｇを画面に表示する。あるいは、最初にサイトＡのページへアクセスするよりも前に、サイトＢにアクセスして画像Ｇ等の情報を取得する。そして、Ｗｅｂブラウザ１１０は、例えばユーザに対し当該ページを表示してもよいかどうかを画面上で確認し、ユーザによる確認のクリック等の操作に基づき、当該ページ（及び画像Ｇ）を画面に表示する。
【００８９】
また他の形態として、サイトＡが、予めサイトＢから、対象ページ（画像Ｇを表示したいページ）に関連付けられる画像Ｇなどの情報を取得しておき、端末１００からのアクセス（要求）に対して当該ページ及び画像Ｇを応答する形態としてもよい。
【００９０】
以上、本発明者によってなされた発明を実施の形態に基づき具体的に説明したが、本発明は前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることは言うまでもない。
【００９１】
本システムは、一般ユーザ（消費者）の端末１００を他の企業等のコンピュータと置き換えて考えても同様に通用するので、ＢｔｏＣに限らずＢｔｏＢの仕組みとしても適用可能である。
【産業上の利用可能性】
【００９２】
本発明は、Ｗｅｂサイトシステム、監査システム、保険システムなどに利用可能である。
【符号の説明】
【００９３】
１…第１の情報処理システム（サイトＡ）、２…第２の情報処理システム（サイトＢ）、１０…Ｗｅｂサーバ（コンテンツ提供部）、２１…ＳＬ判断部（Ｇ提供部）、２２…監査部（Ｗｅｂサイトセキュリティ監査部）、５０…サイトＡ全体コンテンツデータ、５１…画像（Ｇ）リンク付きページ（コンテンツデータ）、５２…ページ（コンテンツデータ）、６１…監査情報ＤＢ（Ｗｅｂサイトセキュリティ監査結果情報ＤＢ）、６２…契約情報ＤＢ（Ｗｅｂサイト契約情報ＤＢ）、６３…画像データ、９０…インターネット、１００…端末、１０１…Ｗｅｂサーバ装置、１０２…ＤＢ、１１０…Ｗｅｂブラウザ、２０１…Ｗｅｂサーバ装置、２０２…監査処理装置、２０３…ＤＢ、２１１…監査情報判断部（ＳＬ判断部）、２１２…契約情報判断部（保険（補償）情報判断部）、２１３…送信情報判断部（Ｇ送信部）、４００，４０１，４０２…Ｗｅｂページ、４１０，４１１，４１２…表示領域、Ｇ，Ｇ１…画像。
【図２】
2010287118.tif 000003
【図６】
2010287118.tif 000004
【図１】
2010287118.tif 000005
【図３】
2010287118.tif 000006
【図４】
2010287118.tif 000007
【図５】
2010287118.tif 000008