(57)【要約】  本発明は、セキュリティ機能実現の中核構成要素が使用不可となった場合においても、その中核構成要素の消失前のセキュリティを維持することが可能になるセキュリティ設計装置を提供する。そのセキュリティ設計装置は、第１の構成要素の構成変化に対応してセキュリティ要件モデルを抽出し、その第１の構成要素が中核構成要素である場合に、その第１の構成要素によってセキュリティ機能を実現されていた第２の構成要素について、その第１の構成要素を使用することなく、その第１の構成を使用する場合と同一のセキュリティ機能を実現するセキュリティ要件モデルを生成する。
2013168375.tif 000002
【特許請求の範囲】
【請求項１】
対象システムに含まれる第１の構成要素の識別情報を含む、構成変化情報を外部から受信し、
前記対象システムのセキュリティ機能に関連する、構成要素識別情報とセキュリティ機能識別情報とセキュリティ機能実現方式識別情報とセキュリティ作業要素識別情報とを少なくとも含むセキュリティ要件モデルレコードを１以上含むセキュリティ要件モデルの集合から、前記第１の構成要素の識別情報に対応するセキュリティ要件モデルを抽出し、出力し、
構成要素が、前記セキュリティ機能識別情報及び前記セキュリティ機能実現方式識別情報で特定されるセキュリティ機能の実現方式における、他の構成要素のセキュリティ機能を実現する、中核構成要素であるか否かを示す構成要素種別情報を利用して、前記第１の構成要素が、前記抽出したセキュリティ要件モデルにおいて、前記第１の構成要素以外の第２の構成要素のセキュリティ機能を実現する中核構成要素であるか否かを判定し、判定した結果を出力するモデル変更判定手段と、
前記モデル変更判定手段が判定した結果が前記第１の構成要素は前記中核構成要素であるの場合に、前記セキュリティ機能の識別情報と実現方式と構成要素種別とセキュリティ作業要素との関係を示す情報と、前記対象システムの構成要素の情報とを利用し、前記第２の構成要素について、前記第１の構成要素を使用することなく、前記第１の構成を使用する場合と同一のセキュリティ機能を実現するセキュリティ要件モデルである、変更セキュリティ要件モデルを生成し、出力する変更モデル生成手段と、
前記変更セキュリティ要件モデルについて前記セキュリティ作業要素を抽出し、出力する作業抽出手段と、
を含むセキュリティ設計装置。
【請求項２】
前記変更モデル生成手段は、前記第１の構成を使用する場合と同一の実現方式により前記第１の構成を使用する場合と同一のセキュリティ機能を実現するセキュリティ要件モデルである、変更セキュリティ要件モデルを生成し、出力する
ことを特徴とする請求項１記載のセキュリティ設計装置。
【請求項３】
前記セキュリティ機能情報は、前記セキュリティ機能の識別情報と前記実現方式と前記構成要素種別と前記セキュリティ作業要素とセキュリティの高さを示すセキュリティレベルとの関係を示し、
前記変更モデル生成手段は、前記セキュリティレベルが前記第１の構成を使用する場合のセキュリティレベルに対して特定の範囲であって、前記第１の構成を使用する場合と同一のセキュリティ機能を実現するセキュリティ要件モデルである、変更セキュリティ要件モデルを生成し、出力する
ことを特徴とする請求項１または２記載のセキュリティ設計装置。
【請求項４】
前記モデル変更判定手段が判定した結果が前記否の場合に、前記対象システムの構成要素の情報を利用し、前記第１の構成要素を代替用の構成要素に置き換えたセキュリティ要件モデルである、代替セキュリティ要件モデルを生成し、出力する代替モデル生成手段を更に含み、
前記作業抽出手段は、前記モデル変更判定手段が判定した結果が前記第１の構成要素は前記中核構成要素であるの場合に前記変更セキュリティ要件モデルについて、及び前記結果が否の場合に前記代替セキュリティ要件モデルについて、前記セキュリティ作業要素を抽出し、出力する
ことを特徴とする請求項１乃至３のいずれか１項に記載のセキュリティ設計装置。
【請求項５】
前記変更セキュリティ要件モデル及び前記代替セキュリティ要件モデルと、前記モデル変更判定手段が抽出したセキュリティ要件モデルと、のセキュリティ作業要素の差異を抽出し、出力するモデル差異抽出手段を更に含む、
ことを特徴とする請求項１乃至４のいずれか１項に記載のセキュリティ設計装置。
【請求項６】
前記変更モデル生成手段は、複数の前記変更セキュリティ要件モデルを生成し、要件適用判断規則に基づいて、前記複数の変更セキュリティ要件モデルから１つの変更セキュリティ要件モデルを選択し、出力する
ことを特徴とする請求項１乃至５のいずれか１項に記載のセキュリティ設計装置。
【請求項７】
コンピュータが、
対象システムに含まれる第１の構成要素の識別情報を含む、構成変化情報を外部から受信し、
前記対象システムのセキュリティ機能に関連する、構成要素識別情報とセキュリティ機能識別情報とセキュリティ機能実現方式識別情報とセキュリティ作業要素識別情報とを少なくとも含むセキュリティ要件モデルレコードを１以上含むセキュリティ要件モデルの集合から、前記第１の構成要素の識別情報に対応するセキュリティ要件モデルを抽出し、出力し、
構成要素が、前記セキュリティ機能識別情報及び前記セキュリティ機能実現方式識別情報で特定されるセキュリティ機能の実現方式における、他の構成要素のセキュリティ機能を実現する、中核構成要素であるか否かを示す構成要素種別情報を利用して、前記第１の構成要素が、前記抽出したセキュリティ要件モデルにおいて、前記第１の構成要素以外の第２の構成要素のセキュリティ機能を実現する中核構成要素であるか否かを判定し、判定した結果を出力し、
前記判定した結果が前記第１の構成要素は前記中核構成要素であるの場合に、前記セキュリティ機能の識別情報と実現方式と構成要素種別とセキュリティ作業要素との関係を示す情報と、前記対象システムの構成要素の情報とを利用し、前記第２の構成要素について、前記第１の構成要素を使用することなく、前記第１の構成を使用する場合と同一のセキュリティ機能を実現するセキュリティ要件モデルである、変更セキュリティ要件モデルを生成し、出力し、
前記変更セキュリティ要件モデルについて前記セキュリティ作業要素を抽出し、出力する
セキュリティ設計方法。
【請求項８】
対象システムに含まれる第１の構成要素の識別情報を含む、構成変化情報を外部から受信し、
前記対象システムのセキュリティ機能に関連する、構成要素識別情報とセキュリティ機能識別情報とセキュリティ機能実現方式識別情報とセキュリティ作業要素識別情報とを少なくとも含むセキュリティ要件モデルレコードを１以上含むセキュリティ要件モデルの集合から、前記第１の構成要素の識別情報に対応するセキュリティ要件モデルを抽出し、出力し、
構成要素が、前記セキュリティ機能識別情報及び前記セキュリティ機能実現方式識別情報で特定されるセキュリティ機能の実現方式における、他の構成要素のセキュリティ機能を実現する、中核構成要素であるか否かを示す構成要素種別情報を利用して、前記第１の構成要素が、前記抽出したセキュリティ要件モデルにおいて、前記第１の構成要素以外の第２の構成要素のセキュリティ機能を実現する中核構成要素であるか否かを判定し、判定した結果を出力し、
前記判定した結果が前記第１の構成要素は前記中核構成要素であるの場合に、前記セキュリティ機能の識別情報と実現方式と構成要素種別とセキュリティ作業要素との関係を示す情報と、前記対象システムの構成要素の情報とを利用し、前記第２の構成要素について、前記第１の構成要素を使用することなく、前記第１の構成を使用する場合と同一のセキュリティ機能を実現するセキュリティ要件モデルである、変更セキュリティ要件モデルを生成し、出力し、
前記変更セキュリティ要件モデルについて前記セキュリティ作業要素を抽出し、出力する処理をコンピュータに実行させる
プログラムを記録した不揮発性記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、システムの実現方法を決定するセキュリティ設計装置、セキュリティ設計方法、及びそのためのプログラムに関する。
【背景技術】
【０００２】
システムの実現方法を決定する技術について、様々な関連技術が知られている。【０００３】
例えば、特許文献１は、セキュリティ運用管理システムの一例を開示する。特許文献１のセキュリティ運用管理システムは、以下のような構成を含む。第１に、状態規則格納手段は、望ましいセキュリティ状態を規定した状態規則を保持する。第２に、状態遷移手段は、現在のシステムの状態が通知されると、状態規則に基づいてその状態に対する目標状態を決定する。第３に、アクション決定手段は、その目標状態となるようにアクションを実行する。特許文献１は、上述の構成を備えたセキュリティ運用管理システムにより、システムの状態変化に応じたセキュリティ対策を、網羅的かつ一貫性をもって実現することができるとしている。【０００４】
また、特許文献２は、セキュリティリスク管理システムの一例を開示する。特許文献２のセキュリティリスク管理システムは、以下のような構成を含む。第１に、リスク分析手段は、対象システムの現在のシステム状態を示す情報を、リスクモデルを用いて分析し、リスク値を算出する。第２に、対策案生成手段は、そのリスク値が許容範囲を超える場合に、リスクモデル及び対策モデルを用いて分析を実行し、セキュリティリスクを低減させるためのいくつかの対策案を生成する。第３に、対策案選定手段は、リスクの低減度と各種制約とに基づいて対策案を選定する。特許文献２は、上述の構成を備えたセキュリティリスク管理システムにより、対象システムに生じる各種制約を考慮した上で最適な対策案を提示することができるとしている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】再公表ＷＯ２００９／０３７８９７号公報
【特許文献２】再公表ＷＯ２００８／００４４９８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、上述した先行技術文献に記載された技術においては、第１の構成要素が使用不可となった場合に、第２の構成要素のセキュリティを維持することができなくなる場合があるという問題点がある。第１の構成要素は、セキュリティ機能実現の中核となる構成要素である。第２の構成要素は、その第１の構成要素によりセキュリティ機能を実現されている構成要素である。【０００７】
ここで、第１の構成要素の機能が消失する場合は、例えば、第１の構成要素に障害が発生した場合、第１の構成要素を保守する場合などである。【０００８】
その理由は、以下のとおりである。【０００９】
特許文献１及び２が開示する技術は、セキュリティ機能実現の中核となる構成要素の消失を、具体的に想定していないため、そういった場合の対策の生成ができないからである。【００１０】
本発明の目的は、上述した問題点を解決するセキュリティ設計装置、セキュリティ設計方法、及びそのためのプログラムを提供することにある。
【課題を解決するための手段】
【００１１】
本発明のセキュリティ設計装置は、対象システムに含まれる第１の構成要素の識別情報を含む、構成変化情報を外部から受信し、前記対象システムのセキュリティ機能に関連する、構成要素識別情報とセキュリティ機能識別情報とセキュリティ機能実現方式識別情報とセキュリティ作業要素識別情報とを少なくとも含むセキュリティ要件モデルレコードを１以上含むセキュリティ要件モデルの集合から、前記第１の構成要素の識別情報に対応するセキュリティ要件モデルを抽出し、出力し、構成要素が、前記セキュリティ機能識別情報及び前記セキュリティ機能実現方式識別情報で特定されるセキュリティ機能の実現方式における、他の構成要素のセキュリティ機能を実現する、中核構成要素であるか否かを示す構成要素種別情報を利用して、前記第１の構成要素が、前記抽出したセキュリティ要件モデルにおいて、前記第１の構成要素以外の第２の構成要素のセキュリティ機能を実現する中核構成要素であるか否かを判定し、判定した結果を出力するモデル変更判定手段と、
前記モデル変更判定手段が判定した結果が前記第１の構成要素は前記中核構成要素であるの場合に、前記セキュリティ機能の識別情報と実現方式と構成要素種別とセキュリティ作業要素との関係を示す情報と、前記対象システムの構成要素の情報とを利用し、前記第２の構成要素について、前記第１の構成要素を使用することなく、前記第１の構成を使用する場合と同一のセキュリティ機能を実現するセキュリティ要件モデルである、変更セキュリティ要件モデルを生成し、出力する変更モデル生成手段と、前記変更セキュリティ要件モデルについて前記セキュリティ作業要素を抽出し、出力する作業抽出手段と、を含む。【００１２】
本発明のセキュリティ設計方法は、コンピュータが、対象システムに含まれる第１の構成要素の識別情報を含む、構成変化情報を外部から受信し、前記対象システムのセキュリティ機能に関連する、構成要素識別情報とセキュリティ機能識別情報とセキュリティ機能実現方式識別情報とセキュリティ作業要素識別情報とを少なくとも含むセキュリティ要件モデルレコードを１以上含むセキュリティ要件モデルの集合から、前記第１の構成要素の識別情報に対応するセキュリティ要件モデルを抽出し、出力し、構成要素が、前記セキュリティ機能識別情報及び前記セキュリティ機能実現方式識別情報で特定されるセキュリティ機能の実現方式における、他の構成要素のセキュリティ機能を実現する、中核構成要素であるか否かを示す構成要素種別情報を利用して、前記第１の構成要素が、前記抽出したセキュリティ要件モデルにおいて、前記第１の構成要素以外の第２の構成要素のセキュリティ機能を実現する中核構成要素であるか否かを判定し、判定した結果を出力し、前記判定した結果が前記第１の構成要素は前記中核構成要素であるの場合に、前記セキュリティ機能の識別情報と実現方式と構成要素種別とセキュリティ作業要素との関係を示す情報と、前記対象システムの構成要素の情報とを利用し、前記第２の構成要素について、前記第１の構成要素を使用することなく、前記第１の構成を使用する場合と同一のセキュリティ機能を実現するセキュリティ要件モデルである、変更セキュリティ要件モデルを生成し、出力し、前記変更セキュリティ要件モデルについて前記セキュリティ作業要素を抽出し、出力する。【００１３】
本発明の不揮発性記録媒体に記録されたプログラムは、対象システムに含まれる第１の構成要素の識別情報を含む、構成変化情報を外部から受信し、  前記対象システムのセキュリティ機能に関連する、構成要素識別情報とセキュリティ機能識別情報とセキュリティ機能実現方式識別情報とセキュリティ作業要素識別情報とを少なくとも含むセキュリティ要件モデルレコードを１以上含むセキュリティ要件モデルの集合から、前記第１の構成要素の識別情報に対応するセキュリティ要件モデルを抽出し、出力し、構成要素が、前記セキュリティ機能識別情報及び前記セキュリティ機能実現方式識別情報で特定されるセキュリティ機能の実現方式における、他の構成要素のセキュリティ機能を実現する、中核構成要素であるか否かを示す構成要素種別情報を利用して、前記第１の構成要素が、前記抽出したセキュリティ要件モデルにおいて、前記第１の構成要素以外の第２の構成要素のセキュリティ機能を実現する中核構成要素であるか否かを判定し、判定した結果を出力し、前記判定した結果が前記第１の構成要素は前記中核構成要素であるの場合に、前記セキュリティ機能の識別情報と実現方式と構成要素種別とセキュリティ作業要素との関係を示す情報と、前記対象システムの構成要素の情報とを利用し、前記第２の構成要素について、前記第１の構成要素を使用することなく、前記第１の構成を使用する場合と同一のセキュリティ機能を実現するセキュリティ要件モデルである、変更セキュリティ要件モデルを生成し、出力し、前記変更セキュリティ要件モデルについて前記セキュリティ作業要素を抽出し、出力する処理をコンピュータに実行させる。
【発明の効果】
【００１４】
本発明は、セキュリティ機能実現の中核となる第１の構成要素（中核構成要素）が使用不可となった場合においても、その中核構成要素の消失前のセキュリティを維持することが可能になるという効果がある。
【図面の簡単な説明】
【００１５】
【図１】図１は、第１の実施形態に係るセキュリティ設計装置の構成を示すブロック図である。
【図２】図２は、第１の実施形態におけるセキュリティ要件モデル記憶部の一例を示す図である。
【図３】図３は、第１の実施形態における構成要素種別情報の一例を示す図である。
【図４】図４は、第１の実施形態におけるセキュリティ機能情報の一例を示す図である。
【図５】図５は、第１の実施形態におけるシステム構成要素情報の一例を示す図である。
【図６】図６は、第１の実施形態に係るセキュリティ設計装置を実現するコンピュータのハードウェア構成を示すブロック図である。
【図７】図７は、第１の実施形態におけるセキュリティ設計装置の動作の概要を示すフローチャートである。
【図８】図８は、第２の実施形態に係るセキュリティ設計装置の構成を示すブロック図である。
【図９】図９は、第３の実施形態に係るセキュリティ設計装置の構成を示すブロック図である。
【図１０】図１０は、第３の実施形態におけるセキュリティ機能情報の一例を示す図である。
【図１１】図１１は、第４の実施形態に係るセキュリティ設計装置の構成を示すブロック図である。
【図１２】図１２は、第４の実施形態におけるセキュリティ設計装置の動作の概要を示すフローチャートである。
【図１３】図１３は、第５の実施形態に係るセキュリティ設計装置の構成を示すブロック図である。
【図１４】図１４は、第６の実施形態に係るセキュリティ設計装置の構成を示すブロック図である。
【図１５】図１５は、第６の実施形態における変更セキュリティ要件モデル記憶部の一例を示す図である。
【図１６】図１６は、第６の実施形態における変更セキュリティ要件モデル記憶部の一例を示す図である。
【図１７】図１７は、第７の実施形態に係るセキュリティ設計装置の構成を示すブロック図である。
【発明を実施するための形態】
【００１６】
本発明を実施するための形態について図面を参照して詳細に説明する。尚、各図面及び明細書記載の各実施形態において、同様の機能を備える構成要素には同様の符号が与えられている。
【００１７】
＜＜＜第１の実施形態＞＞＞
図１は、本発明の第１の実施形態に係るセキュリティ設計装置１００の構成を示すブロック図である。
【００１８】
図１を参照すると、本実施形態に係るセキュリティ設計装置１００は、モデル変更判定部１１０と、変更モデル生成部１２０と、作業抽出部１３０とを含む。尚、図１に示す構成要素は、ハードウェア単位の構成要素ではなく、機能単位の構成要素を示している。
【００１９】
＝＝＝モデル変更判定部１１０＝＝＝
モデル変更判定部１１０は、構成変化情報を外部から受信する。その構成変化情報は、対象システムに含まれる第１の構成要素の識別情報を含む。その構成変化情報は、その対象システムの運用構成の変更（例えば、対象システムを構成する装置の一つが停止）したことを示す情報である。尚、その構成変化情報は、その対象システムの運用構成の変更することを示す情報であってもよい。ここで、その対象システムは、本実施形態のセキュリティ設計装置１００による、セキュリティ設計の対象である。
【００２０】
また、モデル変更判定部１１０は、セキュリティ要件モデルの集合から、その第１の構成要素の識別情報に対応するセキュリティ要件モデルを抽出し、出力する。
【００２１】
＝＝＝セキュリティ要件モデル＝＝＝
ここで、セキュリティ要件モデルについて説明する。セキュリティ要件モデルは、対象システムにおける１以上のセキュリティ機能のそれぞれに対応して、そのセキュリティ機能を実現するための要件を定義する。
【００２２】
図２は、セキュリティ要件モデル８１０の一例を示す図である。図２に示すようにセキュリティ要件モデル８１０は、セキュリティ要件モデルレコード８１１を１以上含む。セキュリティ要件モデルレコード８１１は、対象システムのセキュリティ機能に関連する、構成要素識別子と機能名と実現方式名とセキュリティ作業要素名とを少なくとも含む。
【００２３】
その構成要素識別子は、そのセキュリティ要件モデルに関連する構成要素の識別子である。
【００２４】
その機能名は、そのセキュリティ要件モデルによって定義されるセキュリティ機能を特定する、識別情報である。尚、その機能名は、セキュリティ機能識別情報とも呼ばれる。
【００２５】
その実現方式名は、そのセキュリティ要件モデルによって定義されるセキュリティ機能を実現する、実現方式を特定する識別情報である。その実現方式名は、セキュリティ機能実現方式識別情報とも呼ばれる。
【００２６】
そのセキュリティ作業要素名は、その機能名で特定されるセキュリティ機能を、その実現方式名で特定される実現方式で実現する場合の、作業要素を特定する識別情報である。そのセキュリティ作業要素名は、セキュリティ作業要素識別情報とも呼ばれる。例えば、その作業要素は、その機能名で特定されるセキュリティ機能及びその実現方式名で特定される実現方式に対応する作業要素と、その構成要素識別子が示す構成要素に対応する作業要素とを含む。
【００２７】
例えば、作業要素の「Ｃ２」は、認証サーバ（不図示）に新たにＡＰ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｅｒｖｅｒ）サーバ（不図示）を追加したり変更したりするための、認証ドメインの追加やＡＰサーバの識別認証情報の登録などである。
【００２８】
また、作業要素の「Ｐ−Ａ２」は、ＡＰサーバへの認証サーバのＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレスの設定や、ローカル認証からＬＤＡＰ（Ｌｉｇｈｔｗｅｉｇｈｔ  Ｄｉｒｅｃｔｏｒｙ  Ａｃｃｅｓｓ  Ｐｒｏｔｏｃｏｌ）認証に変更する際のＡＰサーバへの認証ドメインの設定などである。
【００２９】
以上が、セキュリティ要件モデル８１０の説明である。
【００３０】
＝＝＝モデル変更判定部１１０の続き＝＝＝
モデル変更判定部１１０に戻って、説明する。
【００３１】
また、モデル変更判定部１１０は、構成要素種別情報を利用して、第１の構成要素が、その抽出したセキュリティ要件モデルにおいて、中核構成要素であるか否かを判定する。その中核構成要素は、第１の構成要素以外の第２の構成要素のセキュリティ機能を実現する構成要素である。そして、モデル変更判定部１１０は、その判定した結果を出力する。
【００３２】
＝＝＝構成要素種別情報＝＝＝
ここで、その構成要素種別情報について説明する。
【００３３】
その構成要素種別情報は、特定の構成要素が、特定のセキュリティ機能の特定の実現方式において、他の構成要素のセキュリティ機能を実現する中核構成要素であるか否かを示す。
【００３４】
図３は、構成要素種別情報８２０の例を示す図である。図３に示すように、構成要素種別情報８２０は、構成要素種別識別子、機能名、実現方式名及び中核フラグを少なくとも含む。また、構成要素種別情報８２０は、その構成要素種別識別子に対応するセキュリティ作業要素名を含む。セキュリティ作業要素名を含む構成要素種別情報８２０は、セキュリティ機能の識別情報と実現方式と構成要素種別とセキュリティ作業要素との関係を示す情報の一部である。
【００３５】
その構成要素種別識別子は、構成要素の種別を示す。ここで、図２に示すその構成要素識別子（例えば、ＡＰサーバ１１）は、図３に示すその構成要素種別識別子（ＡＰサーバ）を包含するように、付与されているものとする。従って、セキュリティ設計装置１００は、図２のその構成要素識別子と図３のその構成要素種別識別子とを対応させることができる。尚、図２のその構成要素識別子と図３のその構成要素種別識別子との対応関係は、上記によらず、例えばセキュリティ要件モデルレコードに構成要素種別識別子を含めるようにしてもよい。また、図２のその構成要素識別子と図３のその構成要素種別識別子との対応表を図示しない手段に保持するようにしてもよい。
【００３６】
その機能名及びその実現方式名それぞれは、図２に示すその機能名及びその実現方式名と同じである。
【００３７】
中核フラグは、その構成要素種別識別子で示される種別の構成要素が、その機能名及びその実現方式名で特定されるセキュリティ機能の実現方式における、中核構成要素であるか否かを示す。その中核構成要素は、他の構成要素のセキュリティ機能を実現する構成要素である。尚、中核フラグは、「１」の場合「中核構成要素である」を示し、「０」の場合「否」を示す。
【００３８】
そのセキュリティ作業要素名は、その構成要素種別識別子で示される種別の構成要素に対応する作業要素を示す。
【００３９】
＝＝＝変更モデル生成部１２０＝＝＝
変更モデル生成部１２０は、モデル変更判定部１１０が判定した結果が「中核構成要素である（第１の構成要素は中核構成要素である）」の場合に、セキュリティ機能情報と、対象システムの構成要素の情報とを利用し、変更セキュリティ要件モデルを生成する。そして、変更モデル生成部１２０は、その生成した変更セキュリティ要件モデルを出力する。ここで、その変更セキュリティ要件モデルは、第２の構成要素について、第１の構成要素を使用することなく、第１の構成を使用する場合と同一のセキュリティ機能を実現するセキュリティ要件モデルである。
【００４０】
図４は、セキュリティ機能情報８３０の一例を示す図である。図４に示すように、セキュリティ機能情報８３０は、機能名及び実現方式名に対応する、１以上の構成要素種別識別子を示す。また、セキュリティ機能情報８３０は、その機能名及びその実現方式名に対応するセキュリティ作業要素名を示す。即ち、セキュリティ機能情報８３０は、セキュリティ機能の識別情報と実現方式と構成要素種別とセキュリティ作業要素との関係を示す情報の一部である。
【００４１】
その機能名及びその実現方式名それぞれは、図２に示すその機能名及びその実現方式名と同じである。
【００４２】
その構成要素種別は、図３に示すその構成要素種別識別子を指定する。
【００４３】
図５は、対象システムの構成要素の情報の一例を示す図である。図５に示すように、システム構成要素情報８４０は、構成要素識別子及び状態情報を少なくとも含む。
【００４４】
その構成要素識別子は、図２に示すその構成要素識別子と同じである。
【００４５】
その状態情報フラグは、その構成要素識別子で示される構成要素が運転状態（使用可能）であるか、停止状態（使用不可）であるかを示す。
【００４６】
＝＝＝作業抽出部１３０＝＝＝
作業抽出部１３０は、変更モデル生成部１２０が生成した変更セキュリティ要件モデルについて、そこに含まれるセキュリティ作業要素を抽出し、出力する。
【００４７】
以上が、セキュリティ設計装置１００の機能単位の各構成要素についての説明である。
【００４８】
次に、セキュリティ設計装置１００のハードウェア単位の構成要素について説明する。
【００４９】
図６は、本実施形態におけるセキュリティ設計装置１００を実現するコンピュータ７００のハードウェア構成を示す図である。
【００５０】
図６に示すように、コンピュータ７００は、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）７０１、記憶部７０２、記憶装置７０３、入力部７０４、出力部７０５及び通信部７０６を含む。更に、コンピュータ７００は、外部から供給される記録媒体（または記憶媒体）７０７を含む。記録媒体７０７は、情報を非一時的に記憶する不揮発性記録媒体であってもよい。
【００５１】
ＣＰＵ７０１は、オペレーティングシステム（不図示）を動作させて、コンピュータ７００の、全体の動作を制御する。また、ＣＰＵ７０１は、例えば記憶装置７０３に装着された記録媒体７０７から、プログラムやデータを読み込み、読み込んだプログラムやデータを記憶部７０２に書き込む。ここで、そのプログラムは、例えば、後述の図７に示すフローチャートの動作をコンピュータ７００に実行させるプログラムである。
【００５２】
そして、ＣＰＵ７０１は、読み込んだプログラムに従って、また読み込んだデータに基づいて、図１に示すモデル変更判定部１１０、変更モデル生成部１２０及び作業抽出部１３０として、各種の処理を実行する。
【００５３】
尚、ＣＰＵ７０１は、通信網（不図示）に接続されている外部コンピュータ（不図示）から、記憶部７０２にプログラムやデータをダウンロードするようにしてもよい。
【００５４】
記憶部７０２は、プログラムやデータを記憶する。記憶部７０２は、セキュリティ要件モデル８１０、構成要素種別情報８２０、セキュリティ機能情報８３０、システム構成要素情報８４０及び作業抽出部１３０が抽出したセキュリティ作業要素を記憶するようにしてよい。
【００５５】
記憶装置７０３は、例えば、光ディスク、フレキシブルディスク、磁気光ディスク、外付けハードディスク及び半導体メモリであって、記録媒体７０７を含む。記憶装置７０３は、プログラムをコンピュータ読み取り可能に記録する。また、記憶装置７０３は、データをコンピュータ読み取り可能に記録してもよい。記憶装置７０３は、セキュリティ要件モデル８１０、構成要素種別情報８２０、セキュリティ機能情報８３０及びシステム構成要素情報８４０を記憶するようにしてよい。
【００５６】
入力部７０４は、例えばマウスやキーボード、内蔵のキーボタンなどで実現され、入力操作に用いられる。入力部７０４は、マウスやキーボード、内蔵のキーボタンに限らず、例えばタッチパネル、加速度計、ジャイロセンサ、カメラなどでもよい。
【００５７】
出力部７０５は、例えばディスプレイで実現され、出力を確認するために用いられる。出力部７０５は、作業抽出部１３０の一部として含まれ、セキュリティ作業要素を表示するようにしてもよい。
【００５８】
通信部７０６は、外部装置及び外部システム（例えば、対象システム）とのインタフェースを実現する。通信部７０６は、モデル変更判定部１１０の一部として含まれ、その構成変化情報を受信する。また、通信部７０６は、セキュリティ要件モデル８１０、構成要素種別情報８２０、セキュリティ機能情報８３０、システム構成要素情報８４０を受信するようにしてもよい。更に、通信部７０６は、作業抽出部１３０の一部として含まれ、抽出したセキュリティ作業要素を送信するようにしてもよい。
【００５９】
以上説明したように、図１に示すセキュリティ設計装置１００の機能単位のブロックは、図６に示すハードウェア構成のコンピュータ７００によって実現される。但し、コンピュータ７００が備える各部の実現手段は、上記に限定されない。すなわち、コンピュータ７００は、物理的に結合した１つの装置により実現されてもよいし、物理的に分離した２つ以上の装置を有線または無線で接続し、これら複数の装置により実現されてもよい。
【００６０】
尚、上述のプログラムのコードを記録した記録媒体７０７が、コンピュータ７００に供給され、ＣＰＵ７０１は、記録媒体７０７に格納されたプログラムのコードを読み出して実行するようにしてもよい。或いは、ＣＰＵ７０１は、記録媒体７０７に格納されたプログラムのコードを、記憶部７０２、記憶装置７０３またはその両方に格納するようにしてもよい。すなわち、本実施形態は、コンピュータ７００（ＣＰＵ７０１）が実行するプログラム（ソフトウェア）を、一時的にまたは非一時的に、記憶する記録媒体７０７の実施形態を含む。
【００６１】
以上が、本実施形態におけるセキュリティ設計装置１００を実現するコンピュータ７００の、ハードウェア単位の各構成要素についての説明である。
【００６２】
次に本実施形態の動作について、図１〜図７を参照して詳細に説明する。
【００６３】
図７は、本実施形態の動作を示すフローチャートである。尚、このフローチャートによる処理は、前述したＣＰＵ７０１によるプログラム制御に基づいて、実行されても良い。また、処理のステップ名については、Ｓ６０１のように、記号で記載する。
【００６４】
モデル変更判定部１１０は、その構成変化情報（例えば、「認証サーバ１：停止」）を受信する（Ｓ６０１）。
【００６５】
次に、モデル変更判定部１１０は、その構成変化情報に含まれるその構成要素のその識別情報（例えば、「認証サーバ１」）に対応するセキュリティ要件モデルを抽出し、出力する（Ｓ６０２）。尚、「構成変化情報に含まれる構成要素の識別情報」を、以下、変化構成要素識別情報と呼ぶ。また、そのセキュリティ要件モデルは、例えば、図２に示す、認証サーバ１のセキュリティ要件モデルレコード８１１を含む、セキュリティ要件モデル８１０である。
【００６６】
次に、モデル変更判定部１１０は、構成要素種別情報（例えば図３に示す構成要素種別情報８２０）を参照し、その変化構成要素識別情報で示される構成要素が中核構成要素であるか否かを中核フラグから判定し、その判定結果を出力する（Ｓ６０３）。例えば、モデル変更判定部１１０は、図３に示す構成要素種別情報８２０を参照し、「認証サーバ１」（即ち、対応する構成要素種別識別子が「認証サーバ」）で示される構成要素が、中核構成要素であると判定する。そして、モデル変更判定部１１０は、判定結果（例えば、「認証サーバ１：中核構成情報」）を出力する。
【００６７】
次に、変更モデル生成部１２０は、受け取った判定結果に基づいて、セキュリティ機能情報８３０と、システム構成要素情報８４０とを利用し、変更セキュリティ要件モデルを生成し、出力する（Ｓ６０４）。尚、変更モデル生成部１２０は、モデル変更判定部１１０出力した判定結果が「否」である場合、何も処理をしないようにしてもよい。
【００６８】
次に、Ｓ６０４の具体例を示す。
【００６９】
＜＜第１の具体例＞＞
変更モデル生成部１２０は、セキュリティ機能情報８３０を参照し、セキュリティ要件モデル８１０に含まれるその機能名と同一の機能名を含むレコード８３１を取得する。
【００７０】
次に、変更モデル生成部１２０は、システム構成要素情報８４０を参照し、判定結果が「認証サーバ１：中核構成情報」であること及びレコード８３１がその構成要素種別に「認証サーバ」の構成要素種別識別子を含むことを判定し、その構成要素識別子が「認証サーバ１」でかつその状態情報が「運転」（即ち、「認証サーバ１<U>）</U>以外）のレコード８４１を取得する。
【００７１】
次に、変更モデル生成部１２０は、レコード８３１に含まれるその実現方式名が「ＬＤＡＰ認証」であることに基づいて、セキュリティ要件モデル８１０に含まれるその構成要素識別子の「認証サーバ１」を「認証サーバ２」に置き換えた、変更セキュリティ要件モデルを生成する。
【００７２】
次に、変更モデル生成部１２０は、その生成した変更セキュリティ要件モデルを出力する。
【００７３】
＜＜第２の具体例＞＞
変更モデル生成部１２０は、セキュリティ機能情報８３０を参照し、セキュリティ要件モデル８１０に含まれるその機能名と同一の機能名を含むレコード８３２を取得する。
【００７４】
次に、変更モデル生成部１２０は、レコード８３２に含まれるその構成要素種別識別子が「ＡＰ（Ａｐｐｌｉｃａｔｉｏｎ）サーバ」だけであることに基づいて、セキュリティ要件モデル８１０から構成要素識別子が「認証サーバ１」のセキュリティ要件モデルレコード８１１を削除した変更セキュリティ要件モデルを生成する。
【００７５】
次に、変更モデル生成部１２０は、レコード８３２に含まれる実現方式名が「ローカル認証」であることに基づいて、その変更セキュリティ要件モデルの実現方式名を「ローカル認証」に置き換えた変更セキュリティ要件モデルを生成する。
【００７６】
更に、変更モデル生成部１２０は、レコード８３２に含まれるそのセキュリティ作業要素名が「Ｃ１」であることに基づいて、その変更セキュリティ要件モデルのセキュリティ作業要素名の「Ｃ２」を「Ｃ１」に置き換えた変更セキュリティ要件モデルを生成する。
【００７７】
更に、変更モデル生成部１２０は、その実現方式名を置き換えたことに基づいて、構成要素種別情報８２０を参照し、その構成要素種別識別子が「ＡＰサーバ」、その機能名が「識別認証」及びその実現方式名が「ローカル認証」に対応する、そのセキュリティ作業要素名の「Ｐ−Ａ１」を抽出する。続けて、変更モデル生成部１２０は、その変更セキュリティ要件モデルのセキュリティ作業要素名の「Ｐ−Ａ２」を、その抽出したセキュリティ作業要素名の「Ｐ−Ａ１」に置き換えた変更セキュリティ要件モデルを生成する。
【００７８】
次に、変更モデル生成部１２０は、その変更セキュリティ要件モデルを出力する。
【００７９】
以上が、第２の具体例の説明である。
【００８０】
尚、上記の例に係わらず、変更モデル生成部１２０は、必要な情報を任意の方法で取得し、変更セキュリティ要件モデルを生成するようにしてよい。従って、セキュリティ機能の識別情報と実現方式と構成要素種別とセキュリティ作業要素との関係を示す情報、及び対象システムの構成要素の情報は、任意の形式で保持され、或いは提供されてよい。例えば、セキュリティ設計装置１００は、システム構成要素情報を記憶部７０２に保持してよい。この場合、例えば、モデル変更判定部１１０は、受信した構成変化情報に基づいて、状態情報を更新するようにしてもよい。
【００８１】
また、変更モデル生成部１２０は、変更セキュリティ要件モデルを生成することができなかった場合、変更セキュリティ要件モデルの生成失敗を示す情報を出力するようにしてもよい。ここで、変更セキュリティ要件モデルを生成することができないことは、例えば、セキュリティ要件モデル８１０に含まれるその機能名と同一の機能名を含むレコード８３１を取得できなかった場合に発生する。
【００８２】
図７の説明に戻って、次に、作業抽出部１３０は、モデル変更判定部１１０が判定した結果が「中核構成要素である」であるか「否」か、を確認する（Ｓ６０５）。
【００８３】
「中核構成要素である」である場合（Ｓ６０５でＹＥＳ）、作業抽出部１３０は、その変更セキュリティ要件モデルについて、そこに含まれるそのセキュリティ作業要素を抽出し、出力する。（Ｓ６０６）。そして、処理は終了する。
【００８４】
「否」である場合（Ｓ６０５でＮＯ）、処理は終了する。
【００８５】
以上が、セキュリティ設計装置１００の動作の説明である。
【００８６】
セキュリティ設計装置１００は、例えば、対象システムの各構成要素の稼働状況を監視する監視装置（不図示）から構成変化情報を受信し、その対象システムの構成を制御する構成制御装置（不図示）に、抽出したセキュリティ作業要素を出力する。
【００８７】
その構成制御装置は、その受け取ったセキュリティ作業要素に基づいて、認証サーバ（不図示）に新たにＡＰ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｅｒｖｅｒ）サーバ（不図示）を追加したり変更したりするための、認証ドメインの追加やＡＰサーバの識別認証情報の登録などを行ってよい。また、その構成制御装置は、受け取ったセキュリティ作業要素に基づいて、ＡＰサーバへの認証サーバのＩＰアドレスの設定や、ローカル認証からＬＤＡＰ認証に変更する際のＡＰサーバへの認証ドメインの設定などを行ってよい。
【００８８】
尚、セキュリティ設計装置１００は、その抽出したセキュリティ作業要素を、出力部７０５に出力するようにしてもよい。この場合、例えば操作員は、そのセキュリティ作業要素に基づいて、各設定の作業を実施するようにしてもよい。
【００８９】
また、セキュリティ設計装置１００は、入力部７０４から構成変化情報を受け付け、出力部７０５に、抽出したセキュリティ作業要素を表示する。この場合、セキュリティ設計装置１００は、セキュリティ要件モデル８１０及び変更セキュリティ要件モデルの、いずれか一方または両方を合わせて出力するようにしてもよい。また、セキュリティ設計装置１００は、モデル変更判定部１１０が判定した結果である「中核構成要素であるか否か」の情報を出力するようにしてもよい。
【００９０】
上述した本実施形態における第１の効果は、セキュリティ機能実現の中核となる第１の構成要素が使用不可となった場合においても、その中核構成要素の消失前のセキュリティを維持することが可能になる点である。
【００９１】
その理由は、モデル変更判定部１１０が、第１の構成要素についてその中核構成要素であるか否かを判定し、変更モデル生成部１２０がその変更セキュリティ要件モデルを生成し、作業抽出部１３０がそのセキュリティ作業要素を抽出し、出力するようにしたからである。
【００９２】
上述した本実施形態における第２の効果は、セキュリティの維持を自動化することが可能になる点である。
【００９３】
その理由は、セキュリティ設計装置１００が、対象システムの各構成要素の稼働状況を監視する監視装置から構成変化情報を受信し、その対象システムの構成を制御する構成制御装置に、その抽出したセキュリティ作業要素を出力するようにしたからである。
【００９４】
即ち、構成制御装置がそのセキュリティ作業要素を受け取り、各種設定を追加、変更できるようにしたからである。
【００９５】
上述した本実施形態における第３の効果は、対象システムにおけるセキュリティ維持の信頼性を検証することが可能になる点である。
【００９６】
その理由は、その変更セキュリティ要件モデルを生成することができた場合に作業抽出部１３０がそのセキュリティ作業要素を出力し、その変更セキュリティ要件モデルを生成することができなかった場合に変更モデル生成部１２０がその変更セキュリティ要件モデルの生成失敗を示す情報を出力するようにしたからである。
【００９７】
＜＜＜第２の実施形態＞＞＞
次に、本発明の第２の実施形態について図面を参照して詳細に説明する。以下、本実施形態の説明が不明確にならない範囲で、前述の説明と重複する内容については説明を省略する。
【００９８】
図８は、本発明の第２の実施形態に係るセキュリティ設計装置１０２の構成を示すブロック図である。
【００９９】
図８を参照すると、第２の実施形態のセキュリティ設計装置１０２は、第１の実施形態のセキュリティ設計装置１００と比べて、変更モデル生成部１２０に替えて変更モデル生成部１２２を含む。
【０１００】
＝＝＝変更モデル生成部１２２＝＝＝
本実施形態の変更モデル生成部１２２は、モデル変更判定部１１０が判定したその結果が「中核構成要素である」の場合に、変更モデル生成部１２０と異なる定義の変更セキュリティ要件モデルを生成する。その変更セキュリティ要件モデルは、第２の構成要素について、第１の構成要素を使用することなく、セキュリティ機能を実現する、セキュリティ要件モデルである。そのセキュリティ機能は、第１の構成要素を使用する場合と同一の実現方式による、第１の構成要素を使用する場合と同一のセキュリティ機能である。
【０１０１】
具体的には、変更モデル生成部１２２は、セキュリティ機能情報８３０を参照し、セキュリティ要件モデル８１０に含まれるその機能名と同一の機能名及びその同一の実現方式を示す実現方式名を含むレコード８３１を取得する。
【０１０２】
従って、変更モデル生成部１２２は、セキュリティ要件モデル８１０と判定結果（例えば、「認証サーバ１：中核構成情報」）とを受け取った場合に、図４に示すレコード８３２を取得することはない。
【０１０３】
上述以外の変更モデル生成部１２２の動作は、変更モデル生成部１２０の動作と同じである。
【０１０４】
上述した本実施形態における効果は、第１の実施形態の効果に加えて、セキュリティ機能実現の中核となる第１の構成要素が使用不可となった場合においても、その中核構成要素の消失前のセキュリティを、同一の実現方式により維持することが可能になる点である。
【０１０５】
その理由は、変更モデル生成部１２２が、第２の構成要素について、第１の構成要素を使用することなく、第１の構成を使用する場合と同一の実現方式による、第１の構成を使用する場合と同一の、セキュリティ機能を実現する、変更セキュリティ要件モデルを生成するようにしたからである。
【０１０６】
＜＜＜第３の実施形態＞＞＞
次に、本発明の第３の実施形態について図面を参照して詳細に説明する。以下、本実施形態の説明が不明確にならない範囲で、前述の説明と重複する内容については説明を省略する。
【０１０７】
図９は、本発明の第３の実施形態に係るセキュリティ設計装置１０３の構成を示すブロック図である。
【０１０８】
図９を参照すると、第３の実施形態のセキュリティ設計装置１０３は、第１の実施形態のセキュリティ設計装置１００と比べて、変更モデル生成部１２０に替えて変更モデル生成部１２３を含む。
【０１０９】
＝＝＝変更モデル生成部１２３＝＝＝
本実施形態の変更モデル生成部１２３は、モデル変更判定部１１０が判定した結果が「中核構成要素である」の場合に、変更モデル生成部１２０と異なる定義の変更セキュリティ要件モデルを生成する。その変更セキュリティ要件モデルは、第２の構成要素について、セキュリティ機能を実現する、セキュリティ要件モデルである。そのセキュリティ機能は、第１の構成要素を使用することなく実行され、セキュリティレベルが第１の構成を使用する場合のセキュリティレベルに対して特定の範囲であって、第１の構成を使用する場合と同一のセキュリティ機能である。
【０１１０】
図１０は、本実施形態におけるセキュリティ機能情報８５０の例を示す図である。図１０を参照すると、セキュリティ機能情報８５０は、機能名及び実現方式名に対応する、セキュリティレベルを、更に含む。
【０１１１】
そのセキュリティレベルは、例えば、１以上の自然数であって、大きいほどセキュリティのレベルが高い（セキュリティが強固である）ことを示す。尚、上述に係わらず、そのセキュリティレベルは、任意の表現（例えば、「高、中、低」）であってよい。
【０１１２】
具体的には、変更モデル生成部１２３は、セキュリティ機能情報８５０を参照し、レコード８５１を取得する。そのレコード８５１は、セキュリティ要件モデル８１０に含まれるその機能名と同一の機能名及びセキュリティ要件モデル８１０のセキュリティレベルの値以上のセキュリティレベルの値を含む。ここで、変更モデル生成部１２３は、例えば、セキュリティ要件モデル８１０の機能名、実現方式名及び構成要素識別子に対応する構成要素種別識別子を含むレコード８５１のセキュリティレベルを、セキュリティ要件モデル８１０のそのセキュリティレベルの値とする。
【０１１３】
この場合、変更モデル生成部１２３は、セキュリティ要件モデル８１０と判定結果（例えば、「認証サーバ１：中核構成情報」）とを受け取った場合に、レコード８５２を取得することはない。
【０１１４】
また、変更モデル生成部１２３は、例えば、セキュリティ機能情報８３０を参照し、セキュリティ要件モデル８１０に含まれるその機能名と同一の機能名及びセキュリティ要件モデル８１０のセキュリティレベルの値との差分が「２」以下のセキュリティレベルの値を含むレコード８５１を取得するようにしてもよい。
【０１１５】
この場合、変更モデル生成部１２３は、セキュリティ要件モデル８１０と判定結果（例えば、「認証サーバ１：中核構成情報」）とを受け取った場合に、レコード８５２を取得する場合がある。
【０１１６】
上述以外の変更モデル生成部１２３の動作は、変更モデル生成部１２０の動作と同じである。
【０１１７】
上述した本実施形態における効果は、第１の実施形態の効果に加えて、セキュリティ機能実現の中核となる第１の構成要素が使用不可となった場合においても、その中核構成要素の消失前のセキュリティレベルをその第１の構成を使用する場合のセキュリティレベルに対して特定の範囲に保たれるようにして、維持することが可能になる点である。
【０１１８】
その理由は、変更モデル生成部１２３が、第２の構成要素について、第１の構成要素を使用することなく、セキュリティレベルが第１の構成を使用する場合のセキュリティレベルに対して特定の範囲であって、第１の構成を使用する場合と同一のセキュリティ機能を実現する、変更セキュリティ要件モデルを生成するようにしたからである。
【０１１９】
＜＜＜第４の実施形態＞＞＞
次に、本発明の第４の実施形態について図面を参照して詳細に説明する。以下、本実施形態の説明が不明確にならない範囲で、前述の説明と重複する内容については説明を省略する。
【０１２０】
図１１は、本発明の第４の実施形態に係るセキュリティ設計装置１０４の構成を示すブロック図である。
【０１２１】
図１１を参照すると、本実施形態におけるセキュリティ設計装置１０４は、第１の実施形態のセキュリティ設計装置１００と比べて、代替モデル生成部１４４を更に含む。また、セキュリティ設計装置１０４は、第１の実施形態のセキュリティ設計装置１００と比べて、作業抽出部１３０に替えて、作業抽出部１３４を含む。
【０１２２】
＝＝＝代替モデル生成部１４４＝＝＝
代替モデル生成部１４４は、モデル変更判定部１１０が判定した結果が「否（第１の構成要素が中核構成要素でない）」の場合に、システム構成要素情報８４０を利用し、代替セキュリティ要件モデルを生成し、出力する。その代替セキュリティ要件モデルは、第１の構成要素（例えば、ＡＰサーバ１１）を代替用の構成要素（例えば、ＡＰサーバ１３）に置き換えたセキュリティ要件モデルである。
【０１２３】
＝＝＝作業抽出部１３４＝＝＝
作業抽出部１３４は、モデル変更判定部１１０が判定した結果が「中核構成要素である」の場合に、その変更セキュリティ要件モデルについて、そこに含まれるそのセキュリティ作業要素を抽出し、出力する。また、作業抽出部１３４は、モデル変更判定部１１０が判定した結果が「否」の場合に、その代替セキュリティ要件モデルについて、そこに含まれるそのセキュリティ作業要素を抽出し、出力する。
【０１２４】
次に本実施形態の動作について、図１１及び図１２を参照して詳細に説明する。
【０１２５】
図１２は、本実施形態の動作を示すフローチャートである。尚、このフローチャートによる処理は、前述したＣＰＵ７０１によるプログラム制御に基づいて、実行されても良い。また、処理のステップ名については、Ｓ６０１のように、記号で記載する。
【０１２６】
ステップＳ６０１からステップＳ６０４までの動作は、図７に示す動作と同じである。
【０１２７】
次に、代替モデル生成部１４４は、受け取ったその判定結果に基づいて、システム構成要素情報８４０を利用し、その変更セキュリティ要件モデルを生成し、出力する（Ｓ６１４）。尚、代替モデル生成部１４４は、モデル変更判定部１１０出力したその判定結果が「中核構成要素である」である場合、何も処理をしないようにしてよい。
【０１２８】
次に、作業抽出部１３４は、モデル変更判定部１１０が判定した結果が「中核構成要素である」か「否」か、を確認する（Ｓ６１５）。
【０１２９】
「中核構成要素である」である場合（Ｓ６０５でＹＥＳ）、作業抽出部１３４は、その変更セキュリティ要件モデルについて、そこに含まれるそのセキュリティ作業要素を抽出し、出力する。（Ｓ６１６）。そして、処理は終了する。
【０１３０】
「否」である場合（Ｓ６０５でＮＯ）、作業抽出部１３４は、その代替変更セキュリティ要件モデルについて、そこに含まれるそのセキュリティ作業要素を抽出し、出力する。（Ｓ６１７）。そして、処理は終了する。
【０１３１】
上述した本実施形態における効果は、第１の実施形態の効果に加えて、第１の構成要素が中核構成要素ではない場合であっても、その第１の構成要素について、セキュリティ作業要素を抽出し、出力することが可能になる点である。
【０１３２】
その理由は、代替モデル生成部１４４が代替セキュリティ要件モデルを生成し、作業抽出部１３４がその代替セキュリティ要件モデルに含まれるそのセキュリティ作業要素を抽出し、出力するようにしたからである。
【０１３３】
＜＜＜第５の実施形態＞＞＞
次に、本発明の第５の実施形態について図面を参照して詳細に説明する。以下、本実施形態の説明が不明確にならない範囲で、前述の説明と重複する内容については説明を省略する。
【０１３４】
図１３は、本発明の第５の実施形態に係るセキュリティ設計装置１０５の構成を示すブロック図である。
【０１３５】
図１３を参照すると、本実施形態におけるセキュリティ設計装置１０５は、第１の実施形態のセキュリティ設計装置１００と比べて、モデル差異抽出部１５５を更に含む。
【０１３６】
＝＝＝モデル差異抽出部１５５＝＝＝
モデル差異抽出部１５５は、作業抽出部１３０が抽出したそのセキュリティ作業要素と、モデル変更判定部１１０が抽出したそのセキュリティ要件モデル８１０のそのセキュリティ作業要素との差異を抽出し、出力する。即ち、モデル差異抽出部１５５は、変更セキュリティ要件モデルとセキュリティ要件モデル８１０とのそのセキュリティ作業要素の差異を抽出し、出力する。
【０１３７】
尚、セキュリティ設計装置１０５は、作業抽出部１３０に替えて、作業抽出部１３４を含むようにしてもよい。この場合、モデル差異抽出部１５５は、作業抽出部１３４が抽出したそのセキュリティ作業要素と、モデル変更判定部１１０が抽出したそのセキュリティ要件モデル８１０のそのセキュリティ作業要素との差異を抽出し、出力するようにしてもよい。即ち、モデル差異抽出部１５５は、その変更セキュリティ要件モデル及びその代替セキュリティ要件モデルと、そのセキュリティ要件モデル８１０と、のそのセキュリティ作業要素の差異を抽出し、出力するようにしてもよい。
【０１３８】
上述した本実施形態における効果は、第１の実施形態の効果に加えて、変更セキュリティ要件モデル及び代替セキュリティ要件モデルから、セキュリティ要件モデル８１０へ戻す処理を容易にすることが可能になる点である。
【０１３９】
その理由は、モデル差異抽出部１５５がその変更セキュリティ要件モデル及びその代替セキュリティ要件モデルと、そのセキュリティ要件モデル８１０と、のそのセキュリティ作業要素の差異を抽出し、出力するようにしたからである。
【０１４０】
＜＜＜第６の実施形態＞＞＞
次に、本発明の第６の実施形態について図面を参照して詳細に説明する。以下、本実施形態の説明が不明確にならない範囲で、前述の説明と重複する内容については説明を省略する。
【０１４１】
図１４は、本発明の第６の実施形態に係るセキュリティ設計装置１０６の構成を示すブロック図である。
【０１４２】
図１４を参照すると、本実施形態におけるセキュリティ設計装置１０６は、第１の実施形態のセキュリティ設計装置１００と比べて、変更モデル生成部１２０に替えて変更モデル生成部１２６を含む。
【０１４３】
＝＝＝変更モデル生成部１２６＝＝＝
変更モデル生成部１２６は、複数の変更セキュリティ要件モデルを生成し、要件適用判断規則に基づいて、その生成した複数の変更セキュリティ要件モデルから１つの変更セキュリティ要件モデルを選択し、出力する。
【０１４４】
例えば、変更モデル生成部１２６は、変更モデル生成部１２０と同様にして、第１の変更セキュリティ要件モデルと第２の変更セキュリティ要件モデルとを生成する。図１５は、第１の変更セキュリティ要件モデル８６１の例を示す図である。図１６は、第２の変更セキュリティ要件モデル８６２の例を表す図である。
【０１４５】
例えば、要件適用判断規則が「それの変更時の実現方式のセキュリティレベルのデグレードを最小限に保つモデルを適用」である場合、変更モデル生成部１２６は、図１０に示すセキュリティ機能情報８５０のそのセキュリティレベルに基づいて、その第１の変更セキュリティ要件モデル８６１を選択し、出力する。
【０１４６】
また、要件適用判断規則が「それの変更により作業要素が発生する構成要素の総数を最小にするモデルを適用」である場合、変更モデル生成部１２６は、第１の変更セキュリティ要件モデル８６１のその構成要素数が３、第２の変更セキュリティ要件モデル８６２のその構成要素数が２であることに基づいて、その第２の変更セキュリティ要件モデル８６２を選択する。
【０１４７】
尚、要件適用判断規則は、上記の例に係わらず、任意の規則であってよい。また、セキュリティ設計装置１０６は、複数の要件適用判断規則を、優先順位順に利用して変更セキュリティ要件モデルを選択するようにしてもよい。
【０１４８】
例えば、セキュリティ設計装置１０６は、要件適用判断規則を、予め保持している。また、セキュリティ設計装置１０６は、要件適用判断規則を入力部７０４から取得するようにしてもよい。
【０１４９】
上述した本実施形態における効果は、第１の実施形態の効果に加えて、より適切な変更セキュリティ要件モデルを選択することが可能になる点である。
【０１５０】
その理由は、変更モデル生成部１２６が、複数の変更セキュリティ要件モデルを生成し、要件適用判断規則に基づいて、その生成した複数の変更セキュリティ要件モデルから１つの変更セキュリティ要件モデルを選択し、出力するようにしたからである。
【０１５１】
＜＜＜第７の実施形態＞＞＞
次に、本発明の第７の実施形態について図面を参照して詳細に説明する。以下、本実施形態の説明が不明確にならない範囲で、前述の説明と重複する内容については説明を省略する。
【０１５２】
図１７は、本発明の第７の実施形態に係るセキュリティ設計装置１０７の構成を示すブロック図である。
【０１５３】
図１７を参照すると、本実施形態におけるセキュリティ設計装置１０７は、モデル変更判定部１１０、変更モデル生成部１２０、作業抽出部１３０、代替モデル生成部１４４及びモデル差異抽出部１５５を含む。また、セキュリティ設計装置１０７は、セキュリティ要件モデル記憶部１８１、構成要素種別情報記憶部１８２、セキュリティ機能情報記憶部１８３及びシステム構成要素情報記憶部１８４を更に含む。尚、セキュリティ要件モデル記憶部１８１、構成要素種別情報記憶部１８２、セキュリティ機能情報記憶部１８３及びシステム構成要素情報記憶部１８４は、記憶部７０２或いは記憶装置７０３をその一部と含むようにしてもよい。
【０１５４】
モデル変更判定部１１０は、図１に示すモデル変更判定部１１０と同じである。変更モデル生成部１２０は、図１に示す変更モデル生成部１２０と同じである。作業抽出部１３０は、図１に示す作業抽出部１３０と同じである。代替モデル生成部１４４は、図１１に示す代替モデル生成部１４４と同じである。モデル差異抽出部１５５は、図１３に示すモデル差異抽出部１５５と同じである。
【０１５５】
セキュリティ要件モデル記憶部１８１は、セキュリティ要件モデル８１０を記憶する。構成要素種別情報記憶部１８２は、構成要素種別情報８２０を記憶する。セキュリティ機能情報記憶部１８３は、セキュリティ機能情報８３０を記憶する。システム構成要素情報記憶部１８４は、システム構成要素情報８４０を記憶する。
【０１５６】
尚、セキュリティ設計装置１０７は、変更モデル生成部１２０に替えて、図８に示す変更モデル生成部１２２、図９に示す変更モデル生成部１２３、または図１４に示す変更モデル生成部１２６を含むようにしてもよい。また、セキュリティ設計装置１０７は、作業抽出部１３０に替えて、作業抽出部１３４を含むようにしてもよい。
【０１５７】
上述した本実施形態における効果は、第１乃至６の実施形態の効果を任意に得られるようにすることが可能になる点である。
【０１５８】
その理由は、第１乃至６の実施形態の各要素を任意に組み合わせるようにしたからである。
【０１５９】
以上の各実施形態で説明した各構成要素は、必ずしも個々に独立した存在である必要はない。例えば、各構成要素は、複数の構成要素が１個のモジュールとして実現されてよい。また、各構成要素は、１つの構成要素が複数のモジュールで実現されてもよい。また、各構成要素は、ある構成要素が他の構成要素の一部であるような構成であってよい。また、各構成要素は、ある構成要素の一部と他の構成要素の一部とが重複するような構成であってもよい。
【０１６０】
以上説明した各実施形態における各構成要素及び各構成要素を実現するモジュールは、必要に応じ、可能であれば、ハードウェア的に実現されてよい。また、各構成要素及び各構成要素を実現するモジュールは、コンピュータ及びプログラムで実現されてよい。また、各構成要素及び各構成要素を実現するモジュールは、ハードウェア的なモジュールとコンピュータ及びプログラムとの混在により実現されてもよい。
【０１６１】
そのプログラムは、例えば、磁気ディスクや半導体メモリなど、不揮発性のコンピュータ可読記録媒体に記録されて提供され、コンピュータの立ち上げ時などにコンピュータに読み取られる。この読み取られたプログラムは、そのコンピュータの動作を制御することにより、そのコンピュータを前述した各実施形態における構成要素として機能させる。
【０１６２】
また、以上説明した各実施形態では、複数の動作をフローチャートの形式で順番に記載してあるが、その記載の順番は複数の動作を実行する順番を限定するものではない。このため、各実施形態を実施するときには、その複数の動作の順番は内容的に支障しない範囲で変更することができる。
【０１６３】
更に、以上説明した各実施形態では、複数の動作は個々に相違するタイミングで実行されることに限定されない。例えば、ある動作の実行中に他の動作が発生したり、ある動作と他の動作との実行タイミングが部分的に乃至全部において重複していたりしていてもよい。
【０１６４】
更に、以上説明した各実施形態では、ある動作が他の動作の契機になるように記載しているが、その記載はある動作と他の動作との全ての関係を限定するものではない。このため、各実施形態を実施するときには、その複数の動作の関係は内容的に支障のない範囲で変更することができる。また各構成要素の各動作の具体的な記載は、各構成要素の各動作を限定するものではない。このため、各構成要素の具体的な各動作は、各実施形態を実施する上で機能的、性能的、その他の特性に対して支障をきたさない範囲内で変更されて良い。
【０１６５】
以上、各実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解しえる様々な変更をすることができる。
【０１６６】
この出願は、２０１２年５月７日に出願された日本出願特願２０１２−１０５９９８を基礎とする優先権を主張し、その開示の全てをここに取り込む。
【産業上の利用可能性】
【０１６７】
本発明は、情報処理システムのセキュリティ設計における策定、検証、評価及び改善を支援する装置に適用できる。
【符号の説明】
【０１６８】
１００    セキュリティ設計装置
１０２    セキュリティ設計装置
１０３    セキュリティ設計装置
１０４    セキュリティ設計装置
１０５    セキュリティ設計装置
１０６    セキュリティ設計装置
１０７    セキュリティ設計装置
１１０    モデル変更判定部
１２０    変更モデル生成部
１２２    変更モデル生成部
１２３    変更モデル生成部
１２６    変更モデル生成部
１３０    作業抽出部
１３４    作業抽出部
１４４    代替モデル生成部
１５５    モデル差異抽出部
１８１    セキュリティ要件モデル記憶部
１８２    構成要素種別情報記憶部
１８３    セキュリティ機能情報記憶部
１８４    システム構成要素情報記憶部
７００    コンピュータ
７０１    ＣＰＵ
７０２    記憶部
７０３    記憶装置
７０４    入力部
７０５    出力部
７０６    通信部
７０７    記録媒体
８１０    セキュリティ要件モデル
８１１    セキュリティ要件モデルレコード
８２０    構成要素種別情報
８３０    セキュリティ機能情報
８３１    レコード
８３２    レコード
８４０    システム構成要素情報
８４１    レコード
８５０    セキュリティ機能情報
８５１    レコード
８５２    レコード
８６１    変更セキュリティ要件モデル
８６２    変更セキュリティ要件モデル
【図１】
2013168375.tif 000003
【図２】
2013168375.tif 000004
【図３】
2013168375.tif 000005
【図４】
2013168375.tif 000006
【図５】
2013168375.tif 000007
【図６】
2013168375.tif 000008
【図７】
2013168375.tif 000009
【図８】
2013168375.tif 000010
【図９】
2013168375.tif 000011
【図１０】
2013168375.tif 000012
【図１１】
2013168375.tif 000013
【図１２】
2013168375.tif 000014
【図１３】
2013168375.tif 000015
【図１４】
2013168375.tif 000016
【図１５】
2013168375.tif 000017
【図１６】
2013168375.tif 000018
【図１７】
2013168375.tif 000019
【手続補正書】
【提出日】平成26年10月22日(2014.10.22)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】請求項８
【補正方法】変更
【補正の内容】
【請求項８】
『対象システムに含まれる第１の構成要素』の識別情報を含む、構成変化情報を外部から受信し、
前記対象システムのセキュリティ機能に関連する、構成要素識別情報とセキュリティ機能識別情報とセキュリティ機能実現方式識別情報とセキュリティ作業要素識別情報とを少なくとも含むセキュリティ要件モデルレコードを１以上含むセキュリティ要件モデルの集合から、前記第１の構成要素の識別情報に対応するセキュリティ要件モデルを抽出し、出力し、
構成要素が、前記セキュリティ機能識別情報及び前記セキュリティ機能実現方式識別情報で特定されるセキュリティ機能の実現方式における、他の構成要素のセキュリティ機能を実現する、中核構成要素であるか否かを示す構成要素種別情報を利用して、前記第１の構成要素が、前記抽出したセキュリティ要件モデルにおいて、前記第１の構成要素以外の第２の構成要素のセキュリティ機能を実現する中核構成要素であるか否かを判定し、判定した結果を出力し、
前記判定した結果が前記第１の構成要素は前記中核構成要素であるの場合に、前記セキュリティ機能の識別情報と実現方式と構成要素種別とセキュリティ作業要素との関係を示す情報と、前記対象システムの構成要素の情報とを利用し、前記第２の構成要素について、前記第１の構成要素を使用することなく、前記第１の構成を使用する場合と同一のセキュリティ機能を実現するセキュリティ要件モデルである、変更セキュリティ要件モデルを生成し、出力し、
前記変更セキュリティ要件モデルについて前記セキュリティ作業要素を抽出し、出力する処理をコンピュータに実行させる
プログラム。
【国際調査報告】
2013168375.tif 000020
2013168375.tif 000021