(57)【特許請求の範囲】
【請求項１】
セキュリティのリスクを低減する対策項目と、セキュリティのリスクを低減する効果の度合いを表すリスク低減率と、対策項目の重要度を表す対策レベルとを対応付けた対策定義ファイルを記憶する対策定義ファイル記憶部と、
対策レベルと、リスク低減率の重み付け係数とを対応付けた重み付け定義ファイルを記憶する重み付け定義ファイル記憶部と、
前記対策定義ファイル記憶部に記憶される対策定義ファイルに基づいて特定の対策レベルに対応する対策項目と前記特定の対策レベルより高い重要度の対策レベルに対応する対策項目とを対象項目として判定し、対象項目毎に対象項目に対応するリスク低減率を前記対策定義ファイルから取得し、前記重み付け定義ファイル記憶部に記憶される重み付け定義ファイルから前記特定の対策レベルに対応する重み付け係数と前記特定の対策レベルより高い重要度の対策レベルに対応する重み付け係数とを取得し、対象項目毎にリスク低減率と重み付け係数とに基づいてセキュリティのリスクを低減する効果に関する指標値を効果指標値として算出し、算出した効果指標値を合計した合計値を目標指標値として算出する目標指標値算出部と、
実施されている対策項目として指定された対策項目を実施項目として示す実施項目データに基づいて実施項目毎に実施項目に対応するリスク低減率と対策レベルとを前記対策定義ファイルから取得し、実施項目毎に対策レベルに対応する重み付け係数を前記重み付け定義ファイルから取得し、実施項目毎にリスク低減率と重み付け係数とに基づいて効果指標値を算出し、算出した効果指標値を合計した合計値を実施指標値として算出する実施指標値算出部と、
前記目標指標値算出部によって算出された目標指標値と前記実施指標値算出部によって算出された実施指標値とを対比した対比情報を評価結果として出力する評価結果出力部と
を備えることを特徴とするセキュリティ評価装置。
【請求項２】
前記目標指標値算出部は、前記対策定義ファイルに含まれる対策レベルのうち重要度が最も低い対策レベルの目標指標値を算出し、
前記評価結果出力部は、前記目標指標値算出部によって算出された目標指標値と前記実施指標値算出部によって算出された実施指標値とに基づいて目標指標値に対する実施指標値の比率を算出し、算出した実施指標値の比率を表す表記を含んだ情報を対比情報として評価結果を出力する
ことを特徴とする請求項１記載のセキュリティ評価装置。
【請求項３】
前記目標指標値算出部は、前記対策定義ファイルに含まれる対策レベル毎に目標指標値を算出し、
前記評価結果出力部は、前記目標指標値算出部によって対策レベル毎に算出された目標指標値に基づいて重要度が最も低い対策レベルの目標指標値に対する各対策レベルの目標指標値の比率を算出し、前記実施指標値算出部によって算出された実施指標値に基づいて重要度が最も低い対策レベルの目標指標値に対する実施指標値の比率を算出し、各対策レベルの目標指標値の比率を表す目標指標値の帯グラフを生成し、生成した目標指標値の帯グラフと実施指標値の比率を表す実施指標値の表記とを含んだ情報を対比情報として評価結果を出力する
ことを特徴とする請求項２記載のセキュリティ評価装置。
【請求項４】
前記目標指標値算出部は、前記対策定義ファイルに含まれる対策レベル毎に目標指標値を算出し、
前記評価結果出力部は、所定の値の範囲を対策レベルと同じ数の部分範囲に等分し、対策レベル毎に目標指標値に応じた部分範囲を割り当て、各対策レベルの部分範囲のうち実施指標値が属する部分範囲を各対策レベルの目標指標値に基づいて該当範囲として判定し、実施指標値を該当範囲内の値に変換し、各対策レベルの部分範囲と変換後の実施指標値との関係を表したグラフを実施指標値の比率を表す正規化グラフとして生成し、生成した正規化グラフを含んだ情報を対比情報として評価結果を出力する
ことを特徴とする請求項２記載のセキュリティ評価装置。
【請求項５】
前記対策定義ファイルは、対策項目に対応付けて対策項目を分類するセキュリティ領域を示し、
前記目標指標値算出部は、前記対策定義ファイルに基づいてセキュリティ領域毎に目標指標値を算出し、
前記実施指標値算出部は、前記対策定義ファイルに基づいてセキュリティ領域毎に実施指標値を算出し、
前記評価結果出力部は、セキュリティ領域毎に目標指標値と実施指標値とを対比した対比情報を評価結果として出力する
ことを特徴とする請求項１から請求項４いずれかに記載のセキュリティ評価装置。
【請求項６】
セキュリティのリスクを低減する対策項目と、セキュリティのリスクを低減する効果の度合いを表すリスク低減率と、対策項目の重要度を表す対策レベルとを対応付けた対策定義ファイルを記憶する対策定義ファイル記憶部と、対策レベルと、リスク低減率の重み付け係数とを対応付けた重み付け定義ファイルを記憶する重み付け定義ファイル記憶部とを備えるセキュリティ評価装置のセキュリティ評価方法であって、
目標指標値算出部が、前記対策定義ファイル記憶部に記憶される対策定義ファイルに基づいて特定の対策レベルに対応する対策項目と前記特定の対策レベルより高い重要度の対策レベルに対応する対策項目とを対象項目として判定し、対象項目毎に対象項目に対応するリスク低減率を前記対策定義ファイルから取得し、前記重み付け定義ファイル記憶部に記憶される重み付け定義ファイルから前記特定の対策レベルに対応する重み付け係数と前記特定の対策レベルより高い重要度の対策レベルに対応する重み付け係数とを取得し、対象項目毎にリスク低減率と重み付け係数とに基づいてセキュリティのリスクを低減する効果に関する指標値を効果指標値として算出し、算出した効果指標値を合計した合計値を目標指標値として算出し、
実施指標値算出部が、実施されている対策項目として指定された対策項目を実施項目として示す実施項目データに基づいて実施項目毎に実施項目に対応するリスク低減率と対策レベルとを前記対策定義ファイルから取得し、実施項目毎に対策レベルに対応する重み付け係数を前記重み付け定義ファイルから取得し、実施項目毎にリスク低減率と重み付け係数とに基づいて効果指標値を算出し、算出した効果指標値を合計した合計値を実施指標値として算出し、
評価結果出力部が、前記目標指標値算出部によって算出された目標指標値と前記実施指標値算出部によって算出された実施指標値とを対比した対比情報を評価結果として出力する
ことを特徴とするセキュリティ評価装置のセキュリティ評価方法。
【請求項７】
セキュリティのリスクを低減する対策項目と、セキュリティのリスクを低減する効果の度合いを表すリスク低減率と、対策項目の重要度を表す対策レベルとを対応付けた対策定義ファイルを記憶する対策定義ファイル記憶部と、対策レベルと、リスク低減率の重み付け係数とを対応付けた重み付け定義ファイルを記憶する重み付け定義ファイル記憶部とを備えるセキュリティ評価装置を機能させるセキュリティ評価プログラムであって、
前記対策定義ファイル記憶部に記憶される対策定義ファイルに基づいて特定の対策レベルに対応する対策項目と前記特定の対策レベルより高い重要度の対策レベルに対応する対策項目とを対象項目として判定し、対象項目毎に対象項目に対応するリスク低減率を前記対策定義ファイルから取得し、前記重み付け定義ファイル記憶部に記憶される重み付け定義ファイルから前記特定の対策レベルに対応する重み付け係数と前記特定の対策レベルより高い重要度の対策レベルに対応する重み付け係数とを取得し、対象項目毎にリスク低減率と重み付け係数とに基づいてセキュリティのリスクを低減する効果に関する指標値を効果指標値として算出し、算出した効果指標値を合計した合計値を目標指標値として算出する目標指標値算出部と、
実施されている対策項目として指定された対策項目を実施項目として示す実施項目データに基づいて実施項目毎に実施項目に対応するリスク低減率と対策レベルとを前記対策定義ファイルから取得し、実施項目毎に対策レベルに対応する重み付け係数を前記重み付け定義ファイルから取得し、実施項目毎にリスク低減率と重み付け係数とに基づいて効果指標値を算出し、算出した効果指標値を合計した合計値を実施指標値として算出する実施指標値算出部と、
前記目標指標値算出部によって算出された目標指標値と前記実施指標値算出部によって算出された実施指標値とを対比した対比情報を評価結果として出力する評価結果出力部としてセキュリティ評価装置を機能させる
ことを特徴とするセキュリティ評価プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、例えば、実施されているセキュリティ対策の到達レベルを評価するセキュリティ評価装置、セキュリティ評価装置のセキュリティ評価方法、セキュリティ評価プログラムに関するものである。
【背景技術】
【０００２】
従来技術では、それぞれのセキュリティ対策のリスク低減率の和から対策充足率を算出して表示する方法、また、対策の費用と効果から最適な対策を選択する方法が提案されている（例えば、特許文献１）。
【０００３】
従来技術に提案されているリスク低減率の和から対策充足率を算出して情報セキュリティ対策の効果を評価するという方法では、組織の目標に対する到達レベルの評価ができない。これは、実施すべき対策、実施すべき対策の優先順位または実施すべき対策の達成目標が組織ごとに異なるためである。
また、従来技術には、組織が真に対応すべきリスクがどこにあり、そのリスクに対抗するためにさらにどの程度の対策を実施しなければならないかがわからないという課題があった。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００２−０２４６２６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
本発明は、例えば、実施されているセキュリティ対策の到達レベルを評価できるようにすることを目的とする。
【課題を解決するための手段】
【０００６】
本発明のセキュリティ評価装置は、
セキュリティのリスクを低減する対策項目と、セキュリティのリスクを低減する効果の度合いを表すリスク低減率と、対策項目の重要度を表す対策レベルとを対応付けた対策定義ファイルを記憶する対策定義ファイル記憶部と、
対策レベルと、リスク低減率の重み付け係数とを対応付けた重み付け定義ファイルを記憶する重み付け定義ファイル記憶部と、
前記対策定義ファイル記憶部に記憶される対策定義ファイルに基づいて特定の対策レベルに対応する対策項目と前記特定の対策レベルより高い重要度の対策レベルに対応する対策項目とを対象項目として判定し、対象項目毎に対象項目に対応するリスク低減率を前記対策定義ファイルから取得し、前記重み付け定義ファイル記憶部に記憶される重み付け定義ファイルから前記特定の対策レベルに対応する重み付け係数と前記特定の対策レベルより高い重要度の対策レベルに対応する重み付け係数とを取得し、対象項目毎にリスク低減率と重み付け係数とに基づいてセキュリティのリスクを低減する効果に関する指標値を効果指標値として算出し、算出した効果指標値を合計した合計値を目標指標値として算出する目標指標値算出部と、
実施されている対策項目として指定された対策項目を実施項目として示す実施項目データに基づいて実施項目毎に実施項目に対応するリスク低減率と対策レベルとを前記対策定義ファイルから取得し、実施項目毎に対策レベルに対応する重み付け係数を前記重み付け定義ファイルから取得し、実施項目毎にリスク低減率と重み付け係数とに基づいて効果指標値を算出し、算出した効果指標値を合計した合計値を実施指標値として算出する実施指標値算出部と、
前記目標指標値算出部によって算出された目標指標値と前記実施指標値算出部によって算出された実施指標値とを対比した対比情報を評価結果として出力する評価結果出力部とを備える。
【発明の効果】
【０００７】
本発明によれば、例えば、実施されているセキュリティ対策の到達レベルを評価することができる。
そして、セキュリティ対策の管理者は、評価結果に基づいて組織目標に対する達成度を把握し、組織にとって妥当なセキュリティ対策を実行することができる。
【図面の簡単な説明】
【０００８】
【図１】実施の形態１におけるセキュリティ対策効果評価装置１００の機能構成図。
【図２】実施の形態１における対策定義ファイル１９１の一例を示す図。
【図３】実施の形態１における実施基準定義ファイル１９２の一例を示す図。
【図４】実施の形態１におけるセキュリティ対策効果評価装置１００のセキュリティ対策効果評価方法を示すフローチャート。
【図５】実施の形態１における目標指標値算出処理（Ｓ１２０）を示すフローチャート。
【図６】実施の形態１における実施指標値算出処理（Ｓ１３０）を示すフローチャート。
【図７】実施の形態１におけるセキュリティ対策効果評価装置１００のハードウェア資源の一例を示す図。
【図８】実施の形態２におけるセキュリティ対策効果評価装置１００のセキュリティ対策効果評価方法を示すフローチャート。
【図９】実施の形態２における結果表示処理（Ｓ２４０）を示すフローチャート。
【図１０】実施の形態２（実施例１）における結果表示画面２００を示す図。
【図１１】実施の形態２（実施例２）における対策定義ファイル１９１の一例を示す図。
【図１２】実施の形態２（実施例２）における結果表示画面２００を示す図。
【図１３】実施の形態３におけるセキュリティ対策効果評価装置１００のセキュリティ対策効果評価方法を示すフローチャート。
【図１４】実施の形態３における結果表示処理（Ｓ２５０）を示すフローチャート。
【図１５】実施の形態３における各実施基準レベルの実施指標値の百分率値と正規化値との関係を示す折れ線グラフ。
【図１６】実施の形態３（実施例１）における結果表示画面２００を示す図。
【図１７】実施の形態３（実施例２）における結果表示画面２００を示す図。
【図１８】実施の形態４における対策定義ファイル１９１を示す図。
【図１９】実施の形態４における実施基準定義ファイル１９２を示す図。
【発明を実施するための形態】
【０００９】
実施の形態１．
実施しているセキュリティ対策が目標レベルに対してどの程度、充足（達成）できているかを評価する形態について説明する。
【００１０】
図１は、実施の形態１におけるセキュリティ対策効果評価装置１００の機能構成図である。
実施の形態１におけるセキュリティ対策効果評価装置１００の機能構成について、図１に基づいて以下に説明する。
【００１１】
セキュリティ対策効果評価装置１００（セキュリティ評価装置の一例）は、対策実施方針設定部１１０、目標基準算出部１２０、到達レベル算出部１３０、到達レベル表示部１４０および評価装置記憶部１９０を備える。
【００１２】
評価装置記憶部１９０（対策定義ファイル記憶部、重み付け定義ファイル記憶部の一例）は、セキュリティ対策効果評価装置１００で使用されるデータを記憶する。
対策定義ファイル１９１や実施基準定義ファイル１９２は、評価装置記憶部１９０に記憶されるデータの一例である。
【００１３】
対策定義ファイル１９１（対策定義ファイルの一例）は、セキュリティのリスクを低減する対策項目（後述する「情報セキュリティ対策」）と、セキュリティのリスクを低減する効果の度合いを表すリスク低減率（後述する「リスク低減率」）と、対策項目の重要度を表す対策レベル（後述する「実施基準レベル」）とを対応付けたデータである。
【００１４】
実施基準定義ファイル１９２（重み付け定義ファイルの一例）は、対策レベルと、リスク低減率の重み付け係数とを対応付けたデータである。
【００１５】
対策実施方針設定部１１０は、利用者が入力した目標レベルを評価装置記憶部１９０に記憶する。目標レベルとは、目標とする対策レベルのことである。
対策実施方針設定部１１０は、利用者が入力した実施項目データ（後述する「実施対策データ」）を評価装置記憶部１９０に記憶する。実施項目データとは、実施されている対策項目を実施項目として示すデータである。
【００１６】
目標基準算出部１２０（目標指標値算出部の一例）は、対策定義ファイル１９１に基づいて、目標レベル（特定の対策レベルの一例）に対応する対策項目と、目標レベルより高い重要度の対策レベルに対応する対策項目とを対象項目（後述する「目標対策」）として判定する。
目標基準算出部１２０は、対象項目毎に対象項目に対応するリスク低減率を対策定義ファイル１９１から取得する。
目標基準算出部１２０は、実施基準定義ファイル１９２から目標レベルに対応する重み付け係数と目標レベルより高い重要度の対策レベルに対応する重み付け係数とを取得する。
目標基準算出部１２０は、対象項目毎にリスク低減率と重み付け係数とに基づいて、セキュリティのリスクを低減する効果に関する指標値を効果指標値として算出する。例えば、効果指標値は、セキュリティのリスクを低減する効果が高く重み付け係数が大きいほど大きい値である。
目標基準算出部１２０は、算出した効果指標値を合計した合計値を目標指標値として算出する。
【００１７】
到達レベル算出部１３０（実施指標値算出部の一例）は、実施項目毎に、実施項目に対応するリスク低減率と対策レベルとを対策定義ファイル１９１から取得する。
到達レベル算出部１３０は、実施項目毎に対策レベルに対応する重み付け係数を実施基準定義ファイル１９２から取得する。
到達レベル算出部１３０は、実施項目毎にリスク低減率と重み付け係数とに基づいて効果指標値を算出し、算出した効果指標値を合計した合計値を実施指標値として算出する。
【００１８】
到達レベル表示部１４０（評価結果出力部の一例）は、目標基準算出部１２０によって算出された目標指標値と、到達レベル算出部１３０によって算出された実施指標値とを対比した対比情報を評価結果として表示する（出力の一例）。
【００１９】
図２は、実施の形態１における対策定義ファイル１９１の一例を示す図である。
実施の形態１における対策定義ファイル１９１について、図２に基づいて説明する。
【００２０】
対策定義ファイル１９１は、「情報セキュリティ対策（対策項目の一例）」と「リスク低減率」と「実施基準レベル（対策レベルの一例）」とを対応付けたデータである。
「情報セキュリティ対策」には、セキュリティのリスクを低減する対策の名称（識別子の一例）を設定する。
「リスク低減率」には、セキュリティのリスクを低減する効果の度合いを設定する。例えば、「リスク低減率」の値が「１／１００」である場合、セキュリティのリスクが１００分の１に低減されることを意味する。
「実施基準レベル」には、情報セキュリティ対策の重要度を設定する。実施の形態１では、「必須（１）、標準（２）、強化（３）、推奨（４）」の順で重要度が高いものとする。例えば、「実施基準レベル」には重要度を表す名称（例えば「必須」）や値（例えば「１」）を設定する。
【００２１】
対策定義ファイル１９１は、評価装置記憶部１９０に予め記憶する。
【００２２】
図３は、実施の形態１における実施基準定義ファイル１９２の一例を示す図である。
実施の形態１における実施基準定義ファイル１９２について、図３に基づいて説明する。
【００２３】
実施基準定義ファイル１９２は、「実施基準パラメータ」と「実施基準レベル（対策レベルの一例）」と「重み付け係数」と「レベル概要」とを対応付けたデータである。
「実施基準パラメータ」には、実施基準レベルの種類を表す名称を設定する。
「実施基準レベル」には、対策定義ファイル１９１（図２参照）と同じく、情報セキュリティ対策の重要度を設定する。
「重み付け係数」には、リスク低減率（図２参照）の重み付け係数を設定する。
「レベル概要」には、実施基準レベルの説明を設定する。
【００２４】
実施基準定義ファイル１９２は、評価装置記憶部１９０に予め記憶する。
【００２５】
図４は、実施の形態１におけるセキュリティ対策効果評価装置１００のセキュリティ対策効果評価方法を示すフローチャートである。
実施の形態１におけるセキュリティ対策効果評価装置１００のセキュリティ対策効果評価方法（セキュリティ評価方法の一例、セキュリティ評価プログラムが表す処理手順の一例）について、図４に基づいて説明する。
【００２６】
まず、セキュリティ対策効果評価方法の概要について説明する。
【００２７】
対策実施方針設定部１１０は、管理者が入力した目標の実施基準レベル（目標レベル）と、実施されている情報セキュリティ対策（実施対策）とを記憶する（Ｓ１１０）。
目標基準算出部１２０は、対策定義ファイル１９１と実施基準定義ファイル１９２とに基づいて、目標レベルの効果指標値（目標指標値）を算出する（Ｓ１２０）。
到達レベル算出部１３０は、対策定義ファイル１９１と実施基準定義ファイル１９２とに基づいて、実施対策の効果指標値（実施指標値）を算出する（Ｓ１３０）。
到達レベル表示部１４０は、目標指標値と実施指標値とを対比した対比情報を評価結果として表示する（Ｓ１４０）。
【００２８】
次に、セキュリティ対策効果評価方法の処理の詳細について説明する。
【００２９】
Ｓ１１０において、セキュリティを管理する管理者（利用者）は、実施基準定義ファイル１９２（図３参照）に設定されている複数の実施基準パラメータのうち対象とする実施基準パラメータを決定する。さらに、管理者は、対象とする実施基準パラメータに対応する複数の実施基準レベルのうち目標とする実施基準レベルを決定する。
そして、管理者は、決定した実施基準レベルをキーボードやマウスなどの入力機器を用いてセキュリティ対策効果評価装置１００に入力する。
【００３０】
例えば、対策実施方針設定部１１０は、実施基準定義ファイル１９２に設定されている複数の実施基準パラメータをチェックボックス付きのリストの形式でディスプレイ（表示装置）に表示する。管理者は、表示された複数の実施基準パラメータうちいずれかの実施基準パラメータのチェックボックスを指定することにより、対象とする実施基準パラメータを選択する。
また、対策実施方針設定部１１０は、対象とする実施基準パラメータに対応する複数の実施基準レベルを実施基準定義ファイル１９２を参照して判定し、判定した複数の実施基準レベルをチェックボックス付きのリストの形式でディスプレイに表示する。管理者は、表示された複数の実施基準レベルのうちいずれかの実施基準レベルのチェックボックスを指定することにより、目標とする実施基準レベルを選択する。
【００３１】
対策実施方針設定部１１０は、管理者によって入力（選択）された実施基準レベルを評価装置記憶部１９０に記憶する。
以下、管理者によって入力された実施基準レベルを「目標レベル」という。
【００３２】
さらに、管理者は、対策定義ファイル１９１（図２参照）に設定されている複数の情報セキュリティ対策のうち実施している全ての情報セキュリティ対策を判定し、判定した全ての情報セキュリティ対策を入力機器を用いてセキュリティ対策効果評価装置１００に入力する。
例えば、対策実施方針設定部１１０は、対策定義ファイル１９１に設定されている複数の情報セキュリティ対策をチェックボックス付きのリストの形式でディスプレイに表示する。管理者は、表示された複数の情報セキュリティ対策のうち実施している全ての情報セキュリティ対策についてチェックボックスを指定することにより、実施している全ての情報セキュリティ対策を選択する。
【００３３】
対策実施方針設定部１１０は、管理者によって入力（選択）された全ての情報セキュリティ対策を示すデータを生成し、生成したデータを評価装置記憶部１９０に記憶する。
以下、管理者によって入力された情報セキュリティ対策を「実施対策」といい、管理者によって入力された全ての実施対策を示すデータを「実施対策データ」という。
Ｓ１１０の後、Ｓ１２０に進む。
【００３４】
Ｓ１２０において、目標基準算出部１２０は、対策定義ファイル１９１と実施基準定義ファイル１９２とに基づいて目標レベルの効果指標値を算出する。以下、目標レベルの効果指標値を「目標指標値」という。
Ｓ１２０の後、Ｓ１３０に進む。
【００３５】
図５は、実施の形態１における目標指標値算出処理（Ｓ１２０）を示すフローチャートである。
実施の形態１における目標指標値算出処理（Ｓ１２０）について、図５に基づいて説明する。
【００３６】
Ｓ１２１において、目標基準算出部１２０は、評価装置記憶部１９０から目標レベルを取得する。
目標基準算出部１２０は、評価装置記憶部１９０に記憶されている実施基準定義ファイル１９２（図３参照）を参照し、目標レベルより高い実施基準レベルを判定する。
例えば、図３に示した実施基準定義ファイル１９２に設定されている実施基準レベルのうち「標準（２）」が目標レベルである場合、目標レベルより高い実施基準レベルは「必須（１）」である。また、「推奨（３）」が目標レベルである場合、目標レベルより高い実施基準レベルは「必須（１）」と「標準（２）」との二つの実施基準レベルである。
以下、目標レベルより高い実施基準レベルを「重要レベル」という。
Ｓ１２１の後、Ｓ１２２に進む。
【００３７】
Ｓ１２２において、目標基準算出部１２０は、評価装置記憶部１９０に記憶されている対策定義ファイル１９１（図２参照）を参照し、目標レベルに対応する情報セキュリティ対策を判定する。さらに、目標基準算出部１２０は、重要レベルに対応する情報セキュリティ対策を判定する。
例えば、「標準（２）」が目標レベルである場合、図２に示した対策定義ファイル１９１に設定されている情報セキュリティ対策のうち目標レベルに対応する情報セキュリティ対策は「アクセスログの取得」である。また、重要レベル「必須（１）」に対応する情報セキュリティ対策は「通信路の暗号化」である。
以下、目標レベルまたは重要レベルに対応する情報セキュリティ対策を「目標対策」という。
Ｓ１２２の後、Ｓ１２３に進む。
【００３８】
Ｓ１２３において、目標基準算出部１２０は、目標対策毎にリスク低減率を対策定義ファイル１９１から取得する。
図２に示した対策定義ファイル１９１において、目標対策「通信路の暗号化」のリスク低減率は「１／１００」であり、目標対策「アクセスログの取得」のリスク低減率は「１／１０」である。
Ｓ１２３の後、Ｓ１２４に進む。
【００３９】
Ｓ１２４において、目標基準算出部１２０は、目標対策毎に目標対策に対応する実施基準レベルを対策定義ファイル１９１に基づいて判定し、判定した実施基準レベルに対応する重み付け係数を実施基準定義ファイル１９２から取得する。
例えば、図２に示した対策定義ファイル１９１において目標対策「通信路の暗号化」に対応する実施基準レベルは「必須（１）」であり、図３に示した実施基準定義ファイル１９２において実施基準レベル「必須（１）」に対応する重み付け係数は「１．０」である。したがって、目標対策「通信路の暗号化」の重み付け係数は「１．０」である。同様に、目標対策「アクセスログの取得」の重み付け係数は「０．８」である。
Ｓ１２４の後、Ｓ１２５に進む。
【００４０】
Ｓ１２５において、目標基準算出部１２０は、目標対策毎にリスク低減率と重み付け係数とに基づいて効果指標値を算出する。
効果指標値は、セキュリティのリスクを低減する効果が高く重み付け係数が大きいほど大きい。
【００４１】
例えば、目標基準算出部１２０は、目標対策の効果指標値を以下のように算出する。
まず、目標基準算出部１２０は、リスク低減率の対数値を算出する。リスク低減率の対数値を算出する算出式は、「リスク低減率の対数値＝−１０ｌｏｇ（リスク低減率）」で表される。ｌｏｇの底は「１０」である。
そして、目標基準算出部１２０は、リスク低減率の対数値と重み付け係数とを乗算して目標対策の効果指標値を算出する。効果指標値を算出する算出式は、「効果指標値＝リスク低減率の対数値×重み付け係数」で表される。
【００４２】
例えば、目標対策「通信路の暗号化」のリスク低減率が「１／１００」である場合、リスク低減率の対数値は「２０（＝−１０ｌｏｇ（１／１００））」である。
そして、目標対策「通信路の暗号化」の重み付け係数が「１．０」である場合、目標対策「通信路の暗号化」の効果指標値は「２０（＝２０×１．０）」である。
【００４３】
また、目標対策「アクセスログの取得」のリスク低減率が「１／１０」である場合、リスク低減率の対数値は「１０（＝−１０ｌｏｇ（１／１０））」である。
そして、目標対策「アクセスログの取得」の重み付け係数が「０．８」である場合、目標対策「アクセスログの取得」の効果指標値は「８（＝１０×０．８）」である。
【００４４】
但し、リスク低減率の対数値以外の値を用いて効果指標値を算出しても構わない。
例えば、リスク低減率の対数値の代わりにリスク低減率「１／１００」の逆数「１００」を用いて効果指標値を算出しても構わない。
また、対策定義ファイル１９１（図２参照）にリスクを低減する効果の度合いが高いほど大きな値をリスク低減率として設定し、リスク低減率の対数値の代わりにリスク低減値そのものを用いて効果指標値を算出しても構わない。
【００４５】
Ｓ１２５の後、Ｓ１２６に進む。
【００４６】
Ｓ１２６において、目標基準算出部１２０は、各目標対策の効果指標値を合計した合計値を算出する。以下、各目標対策の効果指標値を合計した合計値を「目標指標値」という。目標指標値を算出する算出式は、「目標指標値＝Σ（目標対策の効果指標値）」で表される。
例えば、２つの目標対策「通信路の暗号化」「アクセスログの取得」が存在し、目標対策「通信路の暗号化」の効果指標値が「２０」であり、目標対策「アクセスログの取得」の効果指標値が「８」である場合、目標指標値は「２８（＝２０＋８）」である。
Ｓ１２６により、目標指標値算出処理（Ｓ１２０）は終了する。
【００４７】
図４に戻り、セキュリティ対策効果評価方法の説明をＳ１３０から続ける。
【００４８】
Ｓ１３０において、到達レベル算出部１３０は、目標基準算出部１２０（Ｓ１２０）と同様に、対策定義ファイル１９１と実施基準定義ファイル１９２とに基づいて実施対策の効果指標値を算出する。
以下、実施対策の効果指標値を「実施指標値」という。
Ｓ１３０の後、Ｓ１４０に進む。
【００４９】
図６は、実施の形態１における実施指標値算出処理（Ｓ１３０）を示すフローチャートである。
実施の形態１における実施指標値算出処理（Ｓ１３０）について、図６に基づいて説明する。
【００５０】
Ｓ１３１において、到達レベル算出部１３０は、評価装置記憶部１９０から実施対策データを取得する。
到達レベル算出部１３０は、実施対策データが示す実施対策毎に実施対策に対応するリスク低減率と実施基準レベルとを対策定義ファイル１９１（図２参照）から取得する。
Ｓ１３１の後、Ｓ１３２に進む。
【００５１】
Ｓ１３２において、到達レベル算出部１３０は、実施項目毎に実施項目に対応する重み付け係数を実施基準定義ファイル１９２（図３参照）から取得する。
Ｓ１３２の後、Ｓ１３３に進む。
【００５２】
Ｓ１３３において、到達レベル算出部１３０は、実施対策毎にリスク低減率と重み付け係数とに基づいて効果指標値を算出する。
実施対策の効果指標値の算出方法は、目標対策の効果指標値の算出方法（図５のＳ１２５参照）と同様である。
Ｓ１３３の後、Ｓ１３４に進む。
【００５３】
Ｓ１３４において、到達レベル算出部１３０は、各実施対策の効果指標値を合計した合計値を算出する。以下、各実施対策の効果指標値を合計した合計値を「実施指標値」という。
実施指標値を算出する算出式は「実施指標値＝Σ（実施対策の効果指標値）」で表される。
Ｓ１３４により、実施指標値算出処理（Ｓ１３０）は終了する。
【００５４】
図４に戻り、セキュリティ対策効果評価方法の説明をＳ１４０から続ける。
【００５５】
Ｓ１４０において、到達レベル表示部１４０は、Ｓ１２０で算出された目標指標値とＳ１３０で算出された実施指標値とを対比した対比情報を生成し、生成した対比情報を評価結果として示す画面を結果表示画面としてディスプレイに表示する。
【００５６】
例えば、到達レベル表示部１４０は、目標指標値と実施指標値とを含んだ情報を対比情報として生成する。
また、到達レベル表示部１４０は、目標指標値に対する実施指標値の割合（＝実施指標値／目標指標値）を対策充足率として算出し、算出した対策充足率を含んだ情報を対比情報として生成してもよい。
【００５７】
例えば、到達レベル表示部１４０は、目標指標値の棒グラフと実施指標値の棒グラフとを並べて描画した画面を結果表示画面として表示する。
また、到達レベル表示部１４０は、目標指標値に対する実施指標値の割合（対策充足率）を示す画面を結果表示画面として表示してもよい。
【００５８】
Ｓ１４０により、セキュリティ対策効果評価方法の処理は終了する。
【００５９】
図７は、実施の形態１におけるセキュリティ対策効果評価装置１００のハードウェア資源の一例を示す図である。
図７において、セキュリティ対策効果評価装置１００（コンピュータの一例）は、ＣＰＵ９０１（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）を備えている。ＣＰＵ９０１は、バス９０２を介してＲＯＭ９０３、ＲＡＭ９０４、通信ボード９０５、ディスプレイ装置９１１、キーボード９１２、マウス９１３、ドライブ装置９１４、磁気ディスク装置９２０などのハードウェアデバイスと接続され、これらのハードウェアデバイスを制御する。ドライブ装置９１４は、ＦＤ（Ｆｌｅｘｉｂｌｅ  Ｄｉｓｋ  Ｄｒｉｖｅ）、ＣＤ（Ｃｏｍｐａｃｔ  Ｄｉｓｃ）、ＤＶＤ（Ｄｉｇｉｔａｌ  Ｖｅｒｓａｔｉｌｅ  Ｄｉｓｃ）などの記憶媒体を読み書きする装置である。
ＲＯＭ９０３、ＲＡＭ９０４、磁気ディスク装置９２０およびドライブ装置９１４は記憶機器の一例である。キーボード９１２およびマウス９１３は入力機器の一例である。ディスプレイ装置９１１は出力機器の一例である。
【００６０】
通信ボード９０５は、有線または無線で、ＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）、インターネット、電話回線などの通信網に接続している。
通信ボード９０５は、通信機器、入力機器または出力機器の一例である。
【００６１】
磁気ディスク装置９２０には、ＯＳ９２１（オペレーティングシステム）、プログラム群９２２、ファイル群９２３が記憶されている。
【００６２】
プログラム群９２２には、実施の形態において「〜部」として説明する機能を実行するプログラムが含まれる。プログラム（例えば、セキュリティ評価プログラム）は、ＣＰＵ９０１により読み出され実行される。すなわち、プログラムは、「〜部」としてコンピュータを機能させるものであり、また「〜部」の手順や方法をコンピュータに実行させるものである。
【００６３】
ファイル群９２３には、実施の形態において説明する「〜部」で使用される各種データ（入力、出力、判定結果、計算結果、処理結果など）が含まれる。
【００６４】
実施の形態において構成図およびフローチャートに含まれている矢印は主としてデータや信号の入出力を示す。
【００６５】
実施の形態において「〜部」として説明するものは「〜回路」、「〜装置」、「〜機器」であってもよく、また「〜ステップ」、「〜手順」、「〜処理」であってもよい。すなわち、「〜部」として説明するものは、ファームウェア、ソフトウェア、ハードウェアまたはこれらの組み合わせのいずれで実装されても構わない。
【００６６】
実施の形態１において、例えば、以下のようなセキュリティ対策効果評価装置１００について説明した。
【００６７】
セキュリティ対策効果評価装置１００は、以下の構成を備える。
（ａ）情報セキュリティ対策と各対策のリスク低減率、組織が決定して入力する実施基準レベルを記載した対策定義ファイル
（ｂ）対策の実施基準パラメータ、実施基準レベル、各レベルの重み付け係数を記載した組織の実施基準定義ファイル
（ｃ）組織の対策実施方針として、各対策をどの程度優先して実施すべきかを示す実施基準レベルと、実施基準レベルのうちどのレベルまでを実施するかを示す目標レベルを設定する対策実施方針設定手段（対策実施方針設定部１１０）
（ｄ）目標レベルに対応する各対策のリスク低減率と、実施基準レベルの重み付け係数から対策効果指標値を算出して、目標対策の対策効果指標値を積算して組織の目標基準（目標指標値）を算出する手段（目標基準算出部１２０）
（ｅ）対策定義ファイルに記載された対策のうち実施している対策を入力され、リスク低減率と、実施基準レベルの重み付け係数から対策効果指標値を算出して、実施対策の対策効果指標値を積算して到達レベル（実施指標値）を算出する手段（到達レベル算出部１３０）
（ｆ）組織の目標基準と組み合わせて到達レベルを表示する到達レベル表示手段（到達レベル表示部１４０）
【００６８】
以上のように、セキュリティ対策効果評価装置１００は、組織にとっての対策の必須度、目標レベルで指定した組織の対策方針に対応して、目標基準と到達レベルを算出する。
これにより、セキュリティ対策効果評価装置１００は、組織ごとに異なり、組織にとって妥当な目標に対する対策実施状況を評価することができる。
【００６９】
実施の形態２．
各実施基準レベルの効果指標値の比率を表す帯グラフに実施指標値を表す表記を付記した画面を結果表示画面として表示する形態について説明する。
以下、実施の形態１と異なる事項について主に説明する。説明を省略する事項については実施の形態１と同様である。
【００７０】
＜実施例１＞
セキュリティ対策効果評価装置１００の構成は、実施の形態１（図１参照）と同じである。
【００７１】
但し、目標基準算出部１２０（目標指標値算出部の一例）は、対策定義ファイル１９１に含まれる対策レベル（実施基準レベル）のうち重要度が最も低い対策レベルの目標指標値を算出する。
例えば、目標基準算出部１２０は、対策定義ファイル１９１に含まれる対策レベル毎に目標指標値を算出する。
【００７２】
到達レベル表示部１４０（評価結果出力部の一例）は、目標基準算出部１２０によって算出された目標指標値と到達レベル算出部１３０によって算出された実施指標値とに基づいて、目標指標値に対する実施指標値の比率を算出する。
到達レベル表示部１４０は、算出した実施指標値の比率を表す表記を含んだ情報を対比情報として評価結果を表示する。
【００７３】
例えば、到達レベル表示部１４０は、目標基準算出部１２０によって対策レベル毎に算出された目標指標値に基づいて重要度が最も低い対策レベルの目標指標値に対する各対策レベルの目標指標値の比率を算出する。
到達レベル表示部１４０は、到達レベル算出部１３０によって算出された実施指標値に基づいて重要度が最も低い対策レベルの目標指標値に対する実施指標値の比率を算出する。
到達レベル表示部１４０は、各対策レベルの目標指標値の比率を表す目標指標値の帯グラフを生成し、生成した目標指標値の帯グラフと実施指標値の比率を表す実施指標値の表記とを含んだ情報を対比情報として評価結果を表示する。
【００７４】
図８は、実施の形態２におけるセキュリティ対策効果評価装置１００のセキュリティ対策効果評価方法を示すフローチャートである。
実施の形態２におけるセキュリティ対策効果評価装置１００のセキュリティ対策効果評価方法について、図８に基づいて説明する。
【００７５】
まず、セキュリティ対策効果評価方法の概要について説明する。
【００７６】
対策実施方針設定部１１０は、実施されている情報セキュリティ対策（実施対策）を記憶する（Ｓ２１０）。
目標基準算出部１２０は、対策定義ファイル１９１と実施基準定義ファイル１９２とに基づいて、実施基準レベル毎に効果指標値（目標指標値）を算出する（Ｓ２２０）。
到達レベル算出部１３０は、対策定義ファイル１９１と実施基準定義ファイル１９２とに基づいて、実施対策の効果指標値（実施指標値）を算出する（Ｓ２３０）。
到達レベル表示部１４０は、目標指標値の帯グラフを生成し、実施指標値の表記を付記した目標指標値の帯グラフを評価結果として表示する（Ｓ２４０）。
【００７７】
次に、セキュリティ対策効果評価方法の詳細について説明する。
【００７８】
Ｓ２１０において、対策実施方針設定部１１０は、実施の形態１（図４参照）のＳ１１０と同様に、管理者によって入力された全ての情報セキュリティ対策（実施対策）を示す実施対策データを生成し、生成した実施対策データを評価装置記憶部１９０に記憶する。
但し、管理者による目標レベルの入力および対策実施方針設定部１１０による目標レベルの記憶は不要である。
Ｓ２１０の後、Ｓ２２０に進む。
【００７９】
Ｓ２２０において、目標基準算出部１２０は、対策定義ファイル１９１と実施基準定義ファイル１９２とに基づいて、実施基準レベル毎に効果指標値を算出する。
各実施基準レベルの効果指標値を算出する方法は、実施の形態１のＳ１２０で説明した目標レベルの効果指標値を算出する方法と同様である。
以下、各実施基準レベルの効果指標値を「目標指標値」という。
Ｓ２２０の後、Ｓ２３０に進む。
【００８０】
Ｓ２３０において、到達レベル算出部１３０は、対策定義ファイル１９１と実施基準定義ファイル１９２とに基づいて、実施対策の効果指標値（実施指標値）を算出する。
実施指標値を算出する方法は、実施の形態１のＳ１３０と同じである。
Ｓ２３０の後、Ｓ２４０に進む。
【００８１】
Ｓ２４０において、到達レベル表示部１４０は、目標指標値の帯グラフを生成し、実施指標値の表記を付記した目標指標値の帯グラフを評価結果として表示する。
Ｓ２４０により、セキュリティ対策効果評価方法の処理は終了する。
【００８２】
図９は、実施の形態２における結果表示処理（Ｓ２４０）を示すフローチャートである。
実施の形態２における結果表示処理（Ｓ２４０）について、図９に基づいて説明する。
【００８３】
Ｓ２４１において、到達レベル表示部１４０は、重要度が最も低い実施基準レベルの目標指標値に対する各実施基準レベルの目標指標値の比率を算出する。
【００８４】
例えば、実施基準レベルの重要度は「必須」「標準」「推奨」「強化」の順で高いものとする。この場合、重要度が最も低い実施基準レベルは「強化」である。
実施の形態１（図４のＳ１２０参照）で説明したように、目標指標値は、重要度が高い情報セキュリティ対策の効果指標値を加算した値である。このため、目標指標値は重要度とは逆に「強化」「推奨」「標準」「必須」の順で高い。
「必須」の目標指標値を「３０」、「標準」の目標指標値を「９０」、「推奨」の目標指標値を「１３５」、「強化」の目標指標値を「１５０」とした場合、「強化」の目標指標値に対する各目標指標値の比率は、以下の通りである。
「必須」の目標指標値の比率は「０．２（＝３０／１５０）」であり、「標準」の目標指標値の比率は「０．６（＝９０／１５０）」であり、「推奨」の目標指標値の比率は「０．９（＝１３５／１５０）」であり、「強化」の目標指標値の比率は「１．０（＝１５０／１５０）」である。
【００８５】
つまり、各目標指標値の比率を百分率値（パーセント）で表す場合、「必須」の目標指標値の比率は「２０」であり、「標準」の目標指標値の比率は「６０」であり、「推奨」の目標指標値の比率は「９０」であり、「強化」の目標指標値の比率は「１００」である。
【００８６】
各目標指標値の百分率値を算出する算出式は以下のように表すことができる。但し、「必須」「標準」「推奨」「強化」の目標指標値を「Ｇ（Ａ，１）」「Ｇ（Ａ，２）」「Ｇ（Ａ，３）」「Ｇ（Ａ，４）」とする。
「必須」の目標指標値の百分率値「ＧＰＣ（Ａ，１）」は、「ＧＰＣ（Ａ，１）＝（Ｇ（Ａ，１）／Ｇ（Ａ，４））×１００」で表される。
「標準」の目標指標値の百分率値「ＧＰＣ（Ａ，２）」は、「ＧＰＣ（Ａ，２）＝（Ｇ（Ａ，２）／Ｇ（Ａ，４））×１００」で表される。
「推奨」の目標指標値の百分率値「ＧＰＣ（Ａ，３）」は、「ＧＰＣ（Ａ，３）＝（Ｇ（Ａ，３）／Ｇ（Ａ，４））×１００」で表される。
「強化」の目標指標値の百分率値「ＧＰＣ（Ａ，４）」は、「ＧＰＣ（Ａ，４）＝（Ｇ（Ａ，４）／Ｇ（Ａ，４））×１００」で表される。
【００８７】
Ｓ２４１の後、Ｓ２４２に進む。
【００８８】
Ｓ２４２において、到達レベル表示部１４０は、重要度が最も低い実施基準レベルの目標指標値に対する実施指標値の比率を算出する。
【００８９】
例えば、重要度が最も低い実施基準レベル「強化」の目標指標値「１５０」に対する実施指標値「１１２」の比率は「０．７５（＝１１２／１５０）」であり、実施指標値の百分率値は「７５」である。
【００９０】
実施指標値が「Ｒ（Ａ）」である場合、実施指標値の百分率値「ＲＰＣ（Ａ）」は、「ＲＰＣ（Ａ）＝（Ｒ（Ａ）／Ｇ（Ａ，４））×１００」で表される。
【００９１】
Ｓ２４２の後、Ｓ２４３に進む。
【００９２】
Ｓ２４３において、到達レベル表示部１４０は、各実施基準レベルの目標指標値の比率を表す目標指標値の帯グラフを生成し、生成した目標指標値の帯グラフを含んだ結果表示画面をディスプレイに表示する。
【００９３】
図１０は、実施の形態２（実施例１）における結果表示画面２００を示す図である。
例えば、「必須」の百分率が「２０」、「標準」の百分率値が「６０」、「推奨」の百分率が「９０」、「強化」の百分率値が「１００」である場合、到達レベル表示部１４０は、図１０に示すような目標指標値の帯グラフ２０１を表示する。
目標指標値の帯グラフ２０１は、実施基準レベル「必須」「標準」「推奨」「強化」の目標指標値（但し、実施基準レベルが高い情報セキュリティ対策の効果指標値を差し引いた値）を積み上げた積み上げグラフである。
但し、到達レベル表示部１４０は、棒グラフの形状以外の形状で目標指標値の帯グラフを表示しても構わない。例えば、到達レベル表示部１４０は、円グラフの形状で目標指標値の帯グラフを表示しても構わない。
【００９４】
Ｓ２４３の後、Ｓ２４４に進む。
【００９５】
Ｓ２４４において、到達レベル表示部１４０は、実施指標値の比率を表す実施指標値の表記を目標指標値の帯グラフに付記して表示する。
【００９６】
例えば、到達レベル表示部１４０は、目標指標値の帯グラフ２０１のうち実施指標値の百分率値に相当する部分（「推奨」レベルの帯部分）に実施指標値の百分率値を表す丸印（到達レベル点２０２）を表示する（図１０参照）。
図１０の結果表示画面２００は、実施対策の到達レベルが「推奨」レベルであることを示している。つまり、管理者は、実施対策によって「推奨」レベルの効果が得られていることを結果表示画面２００から知ることができる。
【００９７】
Ｓ２４４により、結果表示処理（Ｓ２４０）は終了する。
【００９８】
＜実施例２＞
図１１は、実施の形態２（実施例２）における対策定義ファイル１９１の一例を示す図である。
図１１に示すように、対策定義ファイル１９１は、実施の形態１で説明した項目（図２参照）に加えて「セキュリティ領域」を含んでいる。「セキュリティ領域」には、情報セキュリティ対策を分類する区分を設定する。
つまり、各情報セキュリティ対策は、セキュリティ領域に対応付けられ、セキュリティ領域によって分類される。
【００９９】
セキュリティ対策効果評価方法（図８参照）は、実施例１に対して以下のような違いがある。
【０１００】
Ｓ２２０において、目標基準算出部１２０は、情報セキュリティ対策毎に情報セキュリティ対策に対応する実施基準レベルとセキュリティ領域とを判定し、実施基準レベルとセキュリティ領域との組み合わせ毎に目標指標値を算出する。
【０１０１】
Ｓ２３０において、到達レベル算出部１３０は、実施対策毎に実施対策に対応するセキュリティ領域を対策定義ファイル１９１に基づいて判定し、セキュリティ領域毎に実施指標値を算出する。
【０１０２】
例えば、セキュリティ領域として「ネットワーク」と「サーバ」と「外接」と「端末」との４つの区分がある場合、Ｓ２２０とＳ２３０とにおいて以下のように処理を行う。
Ｓ２２０において、目標基準算出部１２０は、実施基準レベル「必須」の目標指標値として「ネットワーク」の目標指標値と「サーバ」の目標指標値と「外接」の目標指標値と「端末」の目標指標値との４つの目標指標値を算出する。目標基準算出部１２０は、他の実施基準レベル「標準」「強化」「推奨」についても同様に目標指標値を４つずつ算出する。
また、到達レベル算出部１３０は、「ネットワーク」の実施指標値と「サーバ」の実施指標値と「外接」の実施指標値と「端末」の実施指標値との４つの実施指標値を算出する。
【０１０３】
Ｓ２４０において、到達レベル表示部１４０は、セキュリティ領域毎に実施指標値を付記した目標指標値の帯グラフを表示する。
【０１０４】
図１２は、実施の形態２（実施例２）における結果表示画面２００を示す図である。
例えば、到達レベル表示部１４０は、図１２に示すように、各セキュリティ領域の帯グラフ２０１を並べて表示すると共に、各セキュリティ領域の到達レベル点２０２を線で結んだ折れ線グラフ２０３を表示する。
【０１０５】
実施の形態２において、例えば、以下のようなセキュリティ対策効果評価装置１００について説明した。
【０１０６】
対策定義ファイルは、情報セキュリティ対策を複数の領域に分類するためのセキュリティ領域を示す情報を保持する。
目標基準算出手段（目標基準算出部１２０）は、セキュリティ領域ごとに、各実施基準レベルに設定された対策の対策効果指標値を積算して各実施基準レベルの目標基準（目標指標値）を算出する。
到達レベル算出手段（到達レベル算出部１３０）は、セキュリティ領域ごとに、実施対策の対策効果指標値を積算して到達レベル（実施指標値）を算出する。
到達レベル表示手段（到達レベル表示部１４０）は、セキュリティ領域ごとに、各実施基準レベルの目標基準で区切られたグラフ（帯グラフ）上に到達レベルを表示する。
【０１０７】
以上のように、セキュリティ対策効果評価装置１００は、組織の対策方針に基づいて算出した実施基準レベルの目標基準の積み上げグラフ上に、到達レベルを示す。
これにより、管理者は、組織の対策の到達レベルがどの実施基準レベルの部分にあるのかを知ることができる。そして、管理者は、そのセキュリティ領域への対策が目標に到達しているのか、それとも目標に達していないのか、また、目標を達成するためにあとどの程度の対策が必要なのかを、容易に評価することができる。
【０１０８】
実施の形態３．
各実施基準レベルの効果指標値に基づいて正規化した正規化グラフによって実施指標値を表した画面を結果表示画面として表示する形態について説明する。
以下、実施の形態１、２と異なる事項について主に説明する。説明を省略する事項については実施の形態１、２と同様である。
【０１０９】
＜実施例１＞
セキュリティ対策効果評価装置１００の構成は、実施の形態１（図１参照）と同じである。
【０１１０】
但し、目標基準算出部１２０（目標指標値算出部の一例）は、対策定義ファイル１９１に含まれる対策レベル（実施基準レベル）毎に目標指標値を算出する。
【０１１１】
到達レベル表示部１４０（評価結果出力部の一例）は、所定の値の範囲（後述する正規化値の範囲）を対策レベルと同じ数の部分範囲に等分する。
到達レベル表示部１４０は、対策レベル毎に目標指標値に応じた部分範囲（目標指標値が大きいほど大きな値を含んだ部分範囲）を割り当てる。
到達レベル表示部１４０は、各対策レベルの部分範囲のうち実施指標値が属する部分範囲を各対策レベルの目標指標値に基づいて該当範囲として判定する。
到達レベル表示部１４０は、実施指標値を該当範囲内の値に変換し、各対策レベルの部分範囲と変換後の実施指標値との関係を表したグラフを実施指標値の比率を表す正規化グラフとして生成する。
到達レベル表示部１４０は、生成した正規化グラフを含んだ情報を対比情報として評価結果を表示する。
【０１１２】
図１３は、実施の形態３におけるセキュリティ対策効果評価装置１００のセキュリティ対策効果評価方法を示すフローチャートである。
実施の形態３におけるセキュリティ対策効果評価装置１００のセキュリティ対策効果方法について、図１３に基づいて説明する。
【０１１３】
セキュリティ対策効果評価装置１００は、実施の形態２（図８参照）で説明したようにＳ２１０−Ｓ２３０を実行し、実施の形態２で説明したＳ２４０の代わりにＳ２５０を実行する。
【０１１４】
Ｓ２５０において、到達レベル表示部１４０は、目標指標値に対する実施指標値の比率を表す正規化グラフを生成し、生成した正規化グラフを評価結果として表示する。
【０１１５】
図１４は、実施の形態３における結果表示処理（Ｓ２５０）を示すフローチャートである。
実施の形態３における結果表示処理（Ｓ２５０）について、図１４に基づいて説明する。
【０１１６】
Ｓ２５１において、到達レベル表示部１４０は、所定の正規化値の範囲を実施基準レベルと同じ数の部分範囲に等分する。正規化値の範囲とは、後述する正規化グラフの値の範囲として予め定めたものである。
例えば、４つの実施基準レベル「必須」「標準」「推奨」「強化」があり、正規化値の範囲が「０から２０」である場合、到達レベル表示部１４０は、正規化値の範囲「０から２０」を４等分する。これにより、４つの部分範囲「０から５」「５から１０」「１０から１５」「１５から２０」が得られる。
Ｓ２５１の後、Ｓ２５２に進む。
【０１１７】
Ｓ２５２において、到達レベル表示部１４０は、実施基準レベル毎に目標指標値に応じて正規化値の部分範囲を割り当てる。
例えば、到達レベル表示部１４０は、目標指標値が大きい実施基準レベル（重要度が低い実施基準レベル）に値が大きい正規化値の部分範囲を割り当て、目標指標値が小さい実施基準レベル（重要度が高い実施基準レベル）に値が小さい正規化値の部分範囲を割り当てる。つまり、Ｓ２５１で説明した例の場合、「必須」に「０から５」を割り当て、「標準」に「５から１０」を割り当て、「推奨」に「１０から１５」を割り当て、「強化」に「１５から２０」を割り当てる。
Ｓ２５２の後、Ｓ２５３に進む。
【０１１８】
Ｓ２５３において、到達レベル表示部１４０は、各実施基準レベルの部分範囲のうち実施指標値が属する部分範囲を各実施基準レベルの目標指標値に基づいて判定する。
以下、実施指標値が属する部分範囲を「該当範囲」といい、該当範囲が割り当てられた実施基準レベルを「該当レベル」いう。
【０１１９】
例えば、到達レベル表示部１４０は、実施基準レベル毎に当該実施基準レベルの目標指標値から上位の実施基準レベルの目標指標値までの値の範囲を当該実施基準レベルの目標指標値の範囲として判定する。但し、上位の実施基準レベルが存在しない場合、つまり、最も重要度が高い実施基準レベルの場合、当該実施基準レベルの目標指標値から目標指標値の最小値までの値を目標指標値の範囲として判定する。
そして、到達レベル表示部１４０は、目標指標値の範囲に実施指標値が含まれる実施基準レベルを該当レベルとして判定し、判定した該当レベルに割り当てた部分範囲を該当範囲として判定する。
【０１２０】
例えば、「必須」の目標指標値が「３０」、「標準」の目標指標値が「９０」、「推奨」の目標指標値が「１３５」、「強化」の目標指標値が「１５０」である場合、「必須」の目標指標値の範囲は「０から３０」である。また、「標準」の目標指標値の範囲は「３０から９０」、「推奨」の目標指標値の範囲は「９０から１３５」である「必須」の目標指標値の範囲は「１３５から１５０」である。
また、実施指標値が「１１２」である場合、実施指標値「１１２」が「推奨」の目標指標値の範囲「９０から１３５」に含まれるため、「推奨」が該当レベルであり、「推奨」に割り当てた部分範囲「１０から１５」が該当範囲である。
【０１２１】
Ｓ２５３の後、Ｓ２５４に進む。
【０１２２】
Ｓ２５４において、到達レベル表示部１４０は、実施指標値を該当範囲内の値に変換する。
以下、該当範囲内の値に変換した後の実施指標値を「実施指標値の正規化値」という。
【０１２３】
例えば、到達レベル表示部１４０は、各実施基準レベル「必須」「標準」「推奨」「強化」の目標指標値「３０」「９０」「１３５」「１５０」を百分率値に変換する。また、到達レベル表示部１４０は、実施指標値「１１２」を百分率値に変換する。
各百分率値の求め方は、実施の形態２で説明した通りである（図９のＳ２４１、Ｓ２４２参照）。
これにより、各実施基準レベル「必須」「標準」「推奨」「強化」の実施指標値の百分率値「２０」「６０」「９０」「１００」が得られ、実施指標値の百分率値「７５」が得られる。
また、各実施基準レベル「必須」「標準」「推奨」「強化」の百分率値の範囲は、「０から２０」「２０から６０」「６０から９０」「９０から１００」である。
【０１２４】
図１５は、実施の形態３における各実施基準レベルの実施指標値の百分率値と正規化値との関係を示す折れ線グラフである。横軸で実施指標値の百分率値を示し、縦軸で実施指標値の正規化値を示す。
正規化値の部分範囲の大きさが各実施基準レベルで等しく「５」である一方で、百分率値の範囲の大きさは実施基準レベルによって異なる。このため、図１５に示すように、百分率値と正規化値との関係（線分の傾きの大きさ）は実施基準レベルによって異なる。
【０１２５】
図１５に示すように、実施指標値の百分率値「７５」は「推奨」の百分率値の範囲「６０から９０」の中間の値である。このため、実施指標値の百分率値に対応する正規化値は「推奨」の部分範囲「１０から１５」の中間の値「１２．５」である。
したがって、「１２．５」が実施指標値の正規化値である。
【０１２６】
以下に、実施指標値の百分率値（ｘ）と正規化値（ｙ）との関係を表す（１）から（４）の関係式（関数）を示す。
（１）が「必須」部分の関係式であり、（２）が「標準」部分の関係式であり、（３）が「推奨」部分の関係式であり、（４）が「強化」部分の関係式である。
【０１２７】
【数１】
0005575066.tif 000002
【０１２８】
到達レベル表示部１４０は、実施指標値の該当レベルの関係式に実施指標値の百分率値（ｘ）を代入して実施指標値の正規化値（ｙ）を算出する。
例えば、実施指標値の該当レベル「推奨」の関係式（３）に実施指標値の百分率値（７５）を代入することによって実施指標値の正規化値（１２．５）が得られる。正規化値の部分範囲の大きさ「Ｎ」の値は「５」である。
【０１２９】
図１４に戻り、結果表示処理（Ｓ２５０）の説明を続ける。
【０１３０】
Ｓ２５４の後、Ｓ２５５に進む。
【０１３１】
Ｓ２５５において、到達レベル表示部１４０は、各実施基準レベルの部分範囲と実施指標値の正規化値との関係を表したグラフを表示する。以下、このグラフを「正規化グラフ」という。
Ｓ２５５により、結果表示処理（Ｓ２５０）は終了する。
【０１３２】
図１６は、実施の形態３（実施例１）における結果表示画面２００を示す図である。
例えば、実施指標値の正規化値が「推奨」の部分範囲の中間の値である場合、到達レベル表示部１４０は、図１６に示すような棒グラフ（正規化グラフ２０４）を表示する。
【０１３３】
＜実施例２＞
実施の形態２の実施例２と同じく、各情報セキュリティ対策をセキュリティ領域で分類してもよい（図１１参照）。
セキュリティ対策効果評価方法（図１３参照）は、実施例１に対して以下のような違いがある。
【０１３４】
Ｓ２２０において、目標基準算出部１２０は、実施の形態２（実施例２）と同様に、実施基準レベルとセキュリティ領域との組み合わせ毎に目標指標値を算出する。
【０１３５】
Ｓ２３０において、到達レベル算出部１３０は、実施の形態２（実施例２）と同様に、セキュリティ領域毎に実施指標値を算出する。
【０１３６】
Ｓ２４０において、到達レベル表示部１４０は、セキュリティ領域毎に正規化グラフを表示する。
【０１３７】
図１７は、実施の形態３（実施例２）における結果表示画面２００を示す図である。
例えば、到達レベル表示部１４０は、図１７に示すように、各セキュリティ領域の棒グラフ（正規化グラフ２０４）を並べて表示する。
【０１３８】
実施の形態３において、例えば、以下のようなセキュリティ対策効果評価装置１００について説明した。
【０１３９】
目標基準算出手段（目標基準算出部１２０）は、各実施基準レベルの目標基準（目標指標値）を実施基準レベル間で揃うように調整した正規化値を求める。
到達レベル表示手段（到達レベル表示部１４０）は、算出した到達レベル（実施指標値）から、目標基準算出手段が正規化値を求める方法と同様の方法で正規化値を求める。
到達レベル表示手段（到達レベル表示部１４０）は、セキュリティ領域ごとに、各実施基準レベルの目標基準の正規化値で区切られたグラフ上に到達レベルの正規化値（正規化グラフ２０４）を表示する。
【０１４０】
以上のように、セキュリティ対策効果評価装置１００は、組織の対策方針に基づいて算出した実施基準レベルの目標基準と到達レベルとを正規化して表示する。
これにより、管理者は、複数のセキュリティ領域の中で、どのセキュリティ領域が対策の実施が一番進んでいて、どのセキュリティ領域が一番未達成なのかを判断し、セキュリティ領域間の比較評価を容易に行うことができる。
【０１４１】
実施の形態４．
上記の実施の形態１−３において、各情報セキュリティ対策の効果指標値を予め算出し、算出した効果指標値を予め記憶しても構わない。
【０１４２】
図１８は、実施の形態４における対策定義ファイル１９１を示す図である。
例えば、図１８に示すように、情報セキュリティ対策と効果指標値とを対応付けて対策定義ファイル１９１に設定してもよい。
効果指標値の算出方法は、実施の形態１で説明した通りである（図４のＳ１２０の説明を参照）。
【０１４３】
Ｓ１２０、Ｓ１３０（図４参照）、Ｓ２２０、Ｓ２３０（図８、１３参照）において、各情報セキュリティ対策の効果指標値を算出する代わりに対策定義ファイル１９１から各効果指標値を取得することにより、処理時間を短縮することができる。
【０１４４】
さらに、各実施基準レベルの目標指標値を予め算出し、算出した目標指標値を予め記憶しても構わない。
【０１４５】
図１９は、実施の形態４における実施基準定義ファイル１９２を示す図である。
例えば、図１９に示すように、実施基準レベルと目標指標値とを対応付けて実施基準定義ファイル１９２に設定してもよい。
目標指標値の算出方法は、実施の形態１で説明した通りである（図４のＳ１２０の説明を参照）。
【０１４６】
Ｓ１２０（図４参照）、Ｓ２２０（図８、１３参照）において、各実施基準レベルの目標指標値を算出する代わりに実施基準定義ファイル１９２から各目標指標値を取得することにより、処理時間を短縮することができる。
【符号の説明】
【０１４７】
１００  セキュリティ対策効果評価装置、１１０  対策実施方針設定部、１２０  目標基準算出部、１３０  到達レベル算出部、１４０  到達レベル表示部、１９０  評価装置記憶部、１９１  対策定義ファイル、１９２  実施基準定義ファイル、２００  結果表示画面、２０１  帯グラフ、２０２  到達レベル点、２０３  折れ線グラフ、２０４  正規化グラフ、９０１  ＣＰＵ、９０２  バス、９０３  ＲＯＭ、９０４  ＲＡＭ、９０５  通信ボード、９１１  ディスプレイ装置、９１２  キーボード、９１３  マウス、９１４  ドライブ装置、９２０  磁気ディスク装置、９２１  ＯＳ、９２２  プログラム群、９２３  ファイル群。
【図１】
0005575066.tif 000003
【図２】
0005575066.tif 000004
【図３】
0005575066.tif 000005
【図４】
0005575066.tif 000006
【図５】
0005575066.tif 000007
【図６】
0005575066.tif 000008
【図７】
0005575066.tif 000009
【図８】
0005575066.tif 000010
【図９】
0005575066.tif 000011
【図１０】
0005575066.tif 000012
【図１１】
0005575066.tif 000013
【図１２】
0005575066.tif 000014
【図１３】
0005575066.tif 000015
【図１４】
0005575066.tif 000016
【図１５】
0005575066.tif 000017
【図１６】
0005575066.tif 000018
【図１７】
0005575066.tif 000019
【図１８】
0005575066.tif 000020
【図１９】
0005575066.tif 000021