(57)【要約】【課題】  設計対象システムに対し、セキュリティ機能要件の配置を容易にする技術を提供する。【解決手段】  設計対象システムに想定される脅威の原因となるエージェントの場所から当該脅威により被害を受ける資産の場所までの経路上の１以上の場所をセキュリティ機能要件の配置候補とし、予め定めた配置ルールに従い、各配置候補の優先度を判定する。【選択図】  図４
2006276993.tif 000002
【特許請求の範囲】
【請求項１】
複数の機器を備える設計対象システムに想定される脅威の対抗となるセキュリティ機能要件を配置するセキュリティ設計支援方法であって、
記憶手段を有するコンピュータが、
前記記憶手段に、前記設計対象システムのシステム構成を示す情報を記憶するシステム構成記憶ステップと、
前記記憶手段に、前記脅威毎に、脅威の対抗となるセキュリティ機能要件と、当該脅威の原因となるエージェントの場所を示す情報と、当該エージェントにより被害を受ける資産の場所を示す情報とを記憶する機能要件配置用情報記憶ステップと、
前記記憶手段に、前記設計対象システム上の場所に応じて、セキュリティ機能要件の配置候補の優先度を示す配置ルール情報を格納する配置ルール記憶ステップと、
前記記憶手段から、前記脅威毎のエージェントの場所を示す情報及び前記脅威毎の資産の場所を示す情報を読出し、前記脅威の各々に対し、前記記憶手段内のシステム構成を示す情報に基づいて、当該脅威の原因となるエージェントの場所から当該エージェントにより被害を受ける資産の場所までの経路を特定し、当該経路上の１以上の場所を、当該脅威の対抗となるセキュリティ機能要件の配置候補とする配置候補取得ステップと、
前記記憶手段から読み出した配置ルール情報に基づき、前記セキュリティ機能要件の配置候補毎の優先度を判定する優先度判定ステップと、
前記取得したセキュリティ機能要件の配置候補と、当該候補毎の優先度とを出力する出力ステップとを実行すること
を特徴とするセキュリティ設計支援方法。
【請求項２】
請求項１記載のセキュリティ設計支援方法であって、
前記配置候補取得ステップでは、前記脅威の各々に対し、当該脅威により被害を受ける資産を有する機器を、当該脅威の対抗となるセキュリティ機能要件の配置候補とすることを特徴とするセキュリティ設計支援方法。
【請求項３】
請求項１又は２記載のセキュリティ設計支援方法であって、
前記配置候補取得ステップでは、前記脅威の各々に対し、当該脅威により被害を受ける資産を有する階層を、当該脅威の対抗となるセキュリティ機能要件の配置候補とすることを特徴とするセキュリティ設計支援方法。
【請求項４】
請求項１乃至３いずれかに記載のセキュリティ設計支援方法であって、
前記配置候補取得ステップでは、前記脅威の各々に対し、当該脅威の原因となるエージェントの場所と、当該脅威により被害を受ける資産の場所との間の経路上に位置する前記設計対象システムの階層の全て又は当該経路上に位置する機器の階層の全てを、当該脅威の対抗となるセキュリティ機能要件の配置候補とすることを特徴とするセキュリティ設計支援方法。
【請求項５】
請求項３又は４記載のセキュリティ設計支援方法であって、
前記階層とは、物理的階層又は論理的階層であることを特徴とするセキュリティ設計支援方法。
【請求項６】
請求項１乃至５記載のセキュリティ設計支援方法であって、
前記配置ルール情報は、前記脅威の各々に対する対策方法の種別毎に、前記設計対象システム上の場所に応じた優先度を示し、
前記優先度判定ステップでは、前記脅威の各々に対する対策方法の種別に応じて、前記セキュリティ機能要件の配置候補毎の優先度を変更することを特徴とするセキュリティ設計支援方法。
【請求項７】
複数の機器を備える設計対象システムに想定される脅威の対抗となるセキュリティ機能要件を配置するセキュリティ設計支援装置であって、
前記設計対象システムのシステム構成を示す情報を記憶するシステム構成記憶手段と、
前記脅威毎に、脅威の対抗となるセキュリティ機能要件と、当該脅威の原因となるエージェントの場所を示す情報と、当該エージェントにより被害を受ける資産の場所を示す情報とを記憶する機能要件配置用情報記憶手段と、
前記設計対象システム上の場所に応じて、セキュリティ機能要件の配置候補の優先度を示す配置ルール情報を格納する配置ルール記憶手段と、
前記機能要件配置用情報記憶手段から、前記脅威毎のエージェントの場所を示す情報及び前記脅威毎の資産の場所を示す情報を読出し、前記脅威の各々に対し、前記システム構成記憶手段内のシステム構成を示す情報に基づいて、当該脅威の原因となるエージェントの場所から当該エージェントにより被害を受ける資産の場所までの経路を特定し、当該経路上の１以上の場所を、当該脅威の対抗となるセキュリティ機能要件の配置候補とする配置候補取得手段と、
前記配置ルール記憶手段から読み出した配置ルール情報に基づき、前記セキュリティ機能要件の配置候補毎の優先度を判定する優先度判定手段と、
前記取得したセキュリティ機能要件の配置候補と、当該候補毎の優先度とを出力する出力手段と、
を有することを特徴とするセキュリティ設計支援装置。
【請求項８】
複数の機器を備える設計対象システムに想定される脅威の対抗となるセキュリティ機能要件を配置する、コンピュータ読み取り可能なセキュリティ設計支援プログラムであって、
記憶手段を有するコンピュータが、
前記記憶手段に、前記設計対象システムのシステム構成を示す情報を記憶するシステム構成記憶ステップと、
前記記憶手段に、前記脅威毎に、脅威の対抗となるセキュリティ機能要件と、当該脅威の原因となるエージェントの場所を示す情報と、当該エージェントにより被害を受ける資産の場所を示す情報とを記憶する機能要件配置用情報記憶ステップと、
前記記憶手段に、前記設計対象システム上の場所に応じて、セキュリティ機能要件の配置候補の優先度を示す配置ルール情報を格納する配置ルール記憶ステップと、
前記記憶手段から、前記脅威毎のエージェントの場所を示す情報及び前記脅威毎の資産の場所を示す情報を読出し、前記脅威の各々に対し、前記記憶手段内のシステム構成を示す情報に基づいて、当該脅威の原因となるエージェントの場所から当該エージェントにより被害を受ける資産の場所までの経路を特定し、当該経路上の１以上の場所を、当該脅威の対抗となるセキュリティ機能要件の配置候補とする配置候補取得ステップと、
前記記憶手段から読み出した配置ルール情報に基づき、前記セキュリティ機能要件の配置候補毎の優先度を判定する優先度判定ステップと、
前記取得したセキュリティ機能要件の配置候補と、当該候補毎の優先度とを出力する出力ステップと、を前記コンピュータに実行させること
を特徴とするセキュリティ設計支援プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報システムのセキュリティ設計を支援する技術に関する。
【背景技術】
【０００２】
ＩＴ製品やシステムのセキュリティ機能要件の設計・評価に関する基準として国際セキュリティ評価基準ＩＳＯ／ＩＥＣ１５４０８（CC:Common Criteria）がある。ＩＳＯ／ＩＥＣ１５４０８に準拠した製品やシステムの開発を行い、その評価・認証を取得するためには、セキュリティ要求仕様書（PP:Protection Profile）またはセキュリティ設計仕様書（ST:Security Target）を作成することが必須となっている。以下、システムを対象としたセキュリティ要求仕様書及びセキュリティ設計仕様書を、システムセキュリティ基本仕様書と呼称する。
【０００３】
システムセキュリティ基本仕様書を作成するために、システムセキュリティ設計において、以下を決定する必要がある。
【０００４】
（１）設計対象システムに必要となるセキュリティ機能要件
（２）設計対象システムの構成、及び、当該設計対象システムの各構成要素へのセキュリティ機能要件の配置
上述「（１）設計対象システムに必要となるセキュリティ機能要件」の決定方法の例として、特許文献１には、セキュリティ設計の全工程を、「ＴＯＥ（Target Of Evaluation：評価対象）モデル化（フェーズＩ）」、「脅威抽出（フェーズＩＩ）」、「対策導出（フェーズＩＩＩ）」、「セキュリティ目標確立（フェーズＩＶ）」、「ＣＣ（Common Criteria：共通規準）機能要件付与（フェーズＶ）」、「セキュリティ機能要件設計（フェーズＶＩ）」の６フェーズに分けて、順を追ってセキュリティ設計を行うことが記載されている。これにより、設計対象システムのセキュリティ機能要件を精度良く、且つ、抜けもれなく決定することが可能となる。
【０００５】
また、上述「（１）設計対象システムに必要となるセキュリティ機能要件」の決定方法の他の例として、特許文献２及び非特許文献１には、設計対象システムの脅威を抽出した後、抽出した各脅威に対抗するためのセキュリティ機能要件を、セキュリティサブシステムと呼ばれるセキュリティ機能要件をセット化した単位で決定することが記載されている。これにより、設計対象システムで必要となるセキュリティ機能要件を決定する作業を効率化することが可能となる。
【０００６】
【特許文献１】特開２０００−１３２７６７号公報（第１３頁、第１図）
【特許文献２】ＵＳ  ２００２／０１５７０１５  Ａ１
【非特許文献１】“A method for designing secure solutions”,IBM SYSTEMS  JOURNAL,VOL.40,NO.3,2001
【発明の開示】
【発明が解決しようとする課題】
【０００７】
上述のように、「（１）システムのセキュリティ機能要件」の決定方法に対する手順の明確化及び効率化に関しては従来技術で対応可能である。しかし、「（２）設計対象システムの構成、及び、当該設計対象システムの各構成要素へのセキュリティ機能要件の配置」の決定方法の手順の明確化及び効率化の従来技術は無く、この決定は、設計者の経験や知識により決定している。従って、システムセキュリティ設計の品質は、設計者によりばらつきが生じていた。
【０００８】
本発明は、情報システムのセキュリティ設計を支援する技術、特に、情報システムに対するセキュリティ機能要件の配置を容易にすることを目的とする。
【課題を解決するための手段】
【０００９】
本発明は上記の目的を達成するためになされたもので、設計対象システムに想定される脅威の原因となるエージェントの場所から当該脅威により被害を受ける資産の場所までの経路上の１以上の場所をセキュリティ機能要件の配置候補とし、予め定めた配置ルールに従い、各配置候補の優先度を判定する。
【００１０】
具体的には、例えば、複数の機器を備える設計対象システムに想定される脅威の対抗となるセキュリティ機能要件を配置するセキュリティ設計支援方法であって、記憶手段を有するコンピュータが、前記記憶手段に、前記設計対象システムのシステム構成を示す情報を記憶するシステム構成記憶ステップと、前記記憶手段に、前記脅威毎に、脅威の対抗となるセキュリティ機能要件と、当該脅威の原因となるエージェントの場所を示す情報と、当該エージェントにより被害を受ける資産の場所を示す情報とを記憶する機能要件配置用情報記憶ステップと、前記記憶手段に、前記設計対象システム上の場所に応じて、セキュリティ機能要件の配置候補の優先度を示す配置ルール情報を格納する配置ルール記憶ステップと、前記記憶手段から、前記脅威毎のエージェントの場所を示す情報及び前記脅威毎の資産の場所を示す情報を読出し、前記脅威の各々に対し、前記記憶手段内のシステム構成を示す情報に基づいて、当該脅威の原因となるエージェントの場所から当該エージェントにより被害を受ける資産の場所までの経路を特定し、当該経路上の１以上の場所を、当該脅威の対抗となるセキュリティ機能要件の配置候補とする配置候補取得ステップと、前記記憶手段から読み出した配置ルール情報に基づき、前記セキュリティ機能要件の配置候補毎の優先度を判定する優先度判定ステップと、前記取得したセキュリティ機能要件の配置候補と、当該候補毎の優先度とを出力する出力ステップとを実行することを特徴とする。
【発明の効果】
【００１１】
本発明による技術によれば、セキュリティ機能要件の配置手順の明確化及び効率化を図ることができる。また、セキュリティ機能要件の配置もれを減少させることが可能となり、専門知識・技術やノウハウを持たない一般的な設計者でも、一定品質を確保した情報ネットワークシステムのセキュリティ基本仕様書を容易にかつ効率的に作成することが可能となる。
【発明を実施するための最良の形態】
【００１２】
以下、本発明の一実施形態を図面を参照して詳細に説明する。
【００１３】
まず、本実施形態の概要を説明する。図１は、本実施形態の概要を説明する図である。図１において、本実施形態のシステムセキュリティ設計支援装置４０は、設計対象システムの目的、基本構成、基本アーキテクチャなどの情報を示すシステム基本設計書５００１の情報に基づいて、設計対象システムに対するセキュリティ機能要件の配置候補を取得し、各配置候補の優先度を判定するものである。即ち、システムセキュリティ設計支援装置４０は、システムセキュリティ基本仕様書５００３を作成する作業のうち、設計対象システムへセキュリティ機能要件を配置する作業を支援する。なお、ここでは、設計対象システムとは、通信ネットワークで接続された複数の機器を有するシステムである。
【００１４】
以下、図１を具体的に説明する。まず、システムセキュリティ設計５００２を行う作業者は、「システム基本設計書５００１」を入力とし、上述した「フェーズＩ〜フェーズＶ」までの手順に従い、「ＴＯＥ定義５１０１」、「資産定義５１０２」、「エージェント定義５１０３」を行った後、「脅威抽出５１０４」を行い、抽出した脅威に対抗する「セキュリティ目標導出５１０５」を行い、各セキュリティ目標に対応した「セキュリティ機能要件導出５１０６」を行う。
【００１５】
「ＴＯＥ定義５１０１」とは、ＴＯＥの要素と要素間通信路を明確化し、評価すべき対象の要素を決定することである。「資産定義５１０２」とは、決定したＴＯＥのうち保護すべき資産（情報、機器、プロセス、プログラム等）を決定することである。「エージェント定義５１０３」とは、設計対象システムの資産に想定されるエージェント（資産に対し脅威の原因となるシステムの関与者、機器、プロセス、プログラム等）を定義することである。「脅威抽出５１０４」とは、資産に対し想定される脅威を抽出することである。「セキュリティ目標導出５１０５」とは、抽出した脅威に対抗するためのセキュリティ目標を導出することである。「セキュリティ機能要件導出５１０６」とは、導出したセキュリティ目標を達成するセキュリティ機能要件を導出することである。
【００１６】
上記の手順を行った後、作業者の指示に従い、システムセキュリティ設計支援装置４０内のスキーマ取得処理部４０１が、ＴＯＥ定義５１０１の結果を元に、セキュリティ機能要件を配置するためのシステムのスキーマ（システム構造）情報を取得し、取得したスキーマ情報をセキュリティ機能要件配置ＤＢ４１に格納する。次に、機能要件配置用情報取得処理部４０２が、上述の「資産定義５１０２」、「エージェント定義５１０３」、「脅威抽出５１０４」、「セキュリティ目標導出５１０５」、「セキュリティ機能要件導出５１０６」により取得された情報と、セキュリティ機能要件配置ＤＢ４１に格納された設計対象システムのスキーマ情報とに基づき、セキュリティ機能要件を配置するための機能要件配置用情報を取得し、取得した機能要件配置用情報をセキュリティ機能要件配置ＤＢ４１に格納する。次に、セキュリティ機能要件配置処理部４０３が、セキュリティ機能要件配置ＤＢ４１及び配置ルールＤＢ４２内に格納した情報を参照し、セキュリティ目標の各々に対するセキュリティ機能要件の配置候補と各配置候補の優先度を取得し、作業者の指示に従い、各セキュリティ機能要件を設計対象システムの要素に配置する。
【００１７】
システムセキュリティ設計支援装置４０を用いて、設計対象システムの構成要素にセキュリティ機能要件を配置した後、システムセキュリティ設計を行う作業者は、上述の「フェーズＶＩ」の手順に従い「セキュリティ基本仕様作成５１０７」を行う。これにより、上述の「（２）設計対象システムの構成、及び、当該設計対象システムの各構成要素へのセキュリティ機能要件の配置」が決定するので、システムセキュリティ基本設計書５００３を作成することができる。
【００１８】
次に、本実施形態のシステムセキュリティ設計支援装置４０の構成及び動作を説明するために使用する設計対象システムの構成例を説明する。図２は、設計対象システム２の一例を説明するための図である。図２において、設計対象システム２はＷＥＢ情報閲覧サービスを提供するシステムである。本実施形態の設計対象システム２は、利用者サイト２１及びサーバサイト２２を有する。利用者サイト２１は機器Ａ２１１（利用者クライアント）を有する。サーバサイト２２は、機器Ｂ２２１（ファイヤウォール）と、ＷＥＢ情報ＤＢ２２２１を備えた機器Ｃ２２２（ＷＥＢサーバ）と、機器Ｄ２２３（管理端末）とを有する。サーバサイト２２内の各機器はイントラネット２３を介して互いに接続されている。利用者サイト２１及びサーバサイト２２は、インターネット２４を介して接続されている。サーバサイト２２の管理者は、機器Ｄ２２３を使用して機器Ｃ２２２にアクセスし、ＷＥＢ情報ＤＢ２２２１を更新する。利用者は機器Ａ２１１を使用して機器Ｃ２２２にアクセスし、ＷＥＢ情報ＤＢ２２２１内の情報を参照する。
【００１９】
次に、本実施形態のスキーマについて説明する。図３は、図２に一例を示す設計対象システム２のスキーマの一例を説明するための図である。本実施形態では、設計対象システム２を、ドメイン、サブシステムという階層構造に細分化するものとする。さらに、各サブシステム内の水平分散の物理的構成に基づいてネットワークも含めた各機器を定義し、各機器内の垂直分散の論理的構成に基づいて、アプリケーションレイヤ（以下ＡＰレイヤ）、データベースレイヤ（以下ＤＢレイヤ）、ＯＳレイヤの３つのレイヤを定義する。
【００２０】
ドメインとは、ネットワークを管理する単位である。サブシステムとは、１つの機能を実現するシステムである。ＡＰレイヤ、ＤＢレイヤ、ＯＳレイヤとは、システムエンジニア（システム設計・開発者）がシステム設計の際に一般的に用いる論理的階層である。
【００２１】
このように、システムをドメイン、サブシステムという階層構造に細分化することで、ドメイン、サブシステムという単位でセキュリティポリシを変更することができる。また、上述のＡＰレイヤ、ＤＢレイヤ、ＯＳレイヤのように機器構成を定義することで、セキュリティ機能要件の論理的な配置候補を決定することが可能となる。
【００２２】
なお、設計対象システム２では、各機器の構成をＡＰレイヤ、ＤＢレイヤ、ＯＳレイヤというレイヤ構造で定義したが、各機器の構成は上述したレイヤに限られるわけではなく、論理的な配置候補として適切な物であれば良い。レイヤの例として、ＡＰレイヤとＯＳレイヤの２つや、ＡＰレイヤとミドルウエアレイヤとＯＳレイヤとの３つや、ユーザインタフェースレイヤとＡＰレイヤとＤＢレイヤとの３つなどがある。
【００２３】
以下、本実施形態について詳細に説明する。
【００２４】
図４は、本実施形態のシステムセキュリティ設計支援装置４０の構成を示す図である。図４において、システムセキュリティ設計支援装置４０は、記憶装置４３、メモリ４４、ＣＰＵ４５、ディスク駆動装置４６、入出力接続部４７、ネットワーク接続部４８を有し、これらの各部がバス４９により相互に接続される。ディスク駆動装置４６は、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ＭＯ（Magneto Optical Disk）等のメディアに読込み及び書き出しを行う装置である。入出力接続部４７には、ディスプレイやプリンタ等の出力装置４７１、及び、キーボードやマウス等の入力装置４７２が接続される。また、システムセキュリティ設計支援装置４０は、ネットワーク接続部４８を介して図示しない通信ネットワークと接続し、当該通信ネットワークに接続する他装置（図示略）との情報の送受信を行う。
【００２５】
記憶装置４３は、例えば、ＨＤＤ（Hard Disk Drive）等である。記憶装置４３は、セキュリティ機能要件配置ＤＢ４１、配置ルールＤＢ４２、通信制御プログラム４３１、システムセキュリティ設計支援プログラム４３２等を有する。
【００２６】
セキュリティ機能要件配置ＤＢ４１には、セキュリティ機能要件を配置するための情報が格納されている。ここでは、セキュリティ機能要件配置ＤＢ４１には、設計対象システム２のシステム構成を示すスキーマ情報、設計対象システム２に想定される脅威に関する情報、保護すべき資産に関する情報、脅威の原因となるエージェントに関する情報、設計対象システム２のセキュリティ目標に関する情報、脅威の対抗となるセキュリティ機能要件に関する情報、セキュリティ機能要件の配置に関する情報等が格納される。これらの情報は、後述する動作により作業者により入力され、セキュリティ機能要件配置ＤＢ４１に格納される。
【００２７】
配置ルールＤＢ４２には、セキュリティ機能要件を配置する優先度を判定するための情報が格納される。
【００２８】
各ＤＢに格納されている情報を詳細に説明する。なお、以下で説明する情報は、上述の図２に示す設計対象システム２に関する情報である。
【００２９】
まず、セキュリティ機能要件配置ＤＢ４１に格納される情報を図５〜図１１を参照して説明する。図５に、スキーマ情報の一例を示す。図５において、スキーマ情報は、設計対象システム２を構成する要素を格納するシステム要素構成テーブル５１と、ネットワークの接続関係を示すシステムネットワーク構成テーブル５２とで示される。
【００３０】
図５（ａ）において、システム要素構成テーブル５１は、ドメイン５１１、サブシステム５１２、機器５１３、レイヤ５１４、ネットワーク接続先５１５等を含む。ドメイン５１１は、ドメインの名称を示す情報である。サブシステム５１２は、各ドメイン５１１に含まれるサブシステムの名称を示す情報である。機器５１３は、各サブシステム５１２に含まれる機器の名称を示す情報である。レイヤ５１４は、機器５１３の各々に定義されたレイヤの名称を示す情報である。ネットワーク接続先５１５は、機器５１３の各々が通信ネットワークを介して接続している機器の名称を示す情報である。
【００３１】
図５（ｂ）において、システムネットワーク構成テーブル５２は、ネットワーク５２１、ネットワーク接続先５２２等を含む。ネットワーク５２１は、ネットワークの名称を示す情報である。ネットワーク接続先５２２は、ネットワーク５２１の各々が接続している機器の名称を示す情報である。
【００３２】
図６に、資産に関する情報を格納する資産テーブル６１の一例を示す。図６において、資産テーブル６１は、資産６１１、場所６１２等を含む。資産６１１とは保護すべき情報、機器、プロセス、プログラム等である。場所６１２とは、各資産６１１の存在する場所であり、例えば、当該資産のある機器、ネットワーク、レイヤ等である。
【００３３】
図７に、エージェントに関する情報を格納するエージェントテーブル７１の一例を示す。図７において、エージェントテーブル７１は、エージェント７１１、場所７１２等を含む。エージェント７１１とは、設計対象システム２に想定される脅威の原因となるシステムの関与者、機器、プロセス、プログラム等である。場所７１２とは、各エージェント７１１が脅威を引き起こす場所であり、例えば機器、ネットワーク、レイヤ等である。
【００３４】
図８に、脅威に関する情報を格納する脅威テーブル８１の一例を示す。図８において、脅威テーブル８１は、脅威８１１等を含む。脅威８１１とは、設計対象システム２に想定される脅威である。
【００３５】
図９に、セキュリティ目標に関する情報を格納するセキュリティ目標テーブル９１の一例を示す。図９において、セキュリティ目標テーブル９１は、セキュリティ目標９１１等を含む。セキュリティ目標９１１とは、設計対象システム２に対するセキュリティの目標である。
【００３６】
図１０に、セキュリティ機能要件に関する情報を格納するセキュリティ機能要件テーブル１０１の一例を示す。図１０において、セキュリティ機能要件テーブル１０１は、セキュリティ機能要件１０１１等を含む。セキュリティ機能要件１０１１とは、セキュリティ目標を達成するための機能要件である。
【００３７】
図１１にセキュリティ機能要件を配置するための情報を格納するセキュリティ機能要件配置用情報テーブル１１１の一例を示す。図１１において、セキュリティ機能要件配置用情報テーブル１１１は、セキュリティ目標１１１１、脅威１１１２、エージェント１１１３、資産１１１４、対策方法１１１５、セキュリティ機能要件１１１６等を含む。セキュリティ機能要件配置用情報テーブル１１１において、脅威１１１２、エージェント１１１３、資産１１１４、対策方法１１１５、セキュリティ機能要件１１１６は、セキュリティ目標１１１１と対応付けられている。
【００３８】
セキュリティ目標１１１１とは、設計対象システム２のセキュリティ目標であり、上述したセキュリティ目標テーブル９１のセキュリティ目標９１１の一部又は全てを含む。脅威１１１２とは、対応するセキュリティ目標１１１１の脅威であり、上述した脅威テーブル８１の脅威８１１の一部又は全てを含む。エージェント１１１３とは、対応するセキュリティ目標１１１１の脅威を引き起こすエージェントであり、上述したエージェントテーブル７１のエージェント７１１及び場所７１２の一部又は全てを含む。資産１１１４とは、対応するセキュリティ目標１１１１の脅威から保護すべき資産であり、上述した資産テーブル６１の資産６１１及び場所６１２の一部又は全てを含む。対策方法１１１５とは、対応するセキュリティ目標１１１１を達成するための方法である。セキュリティ機能要件１１１６とは、対応するセキュリティ目標１１１１を達成するためのセキュリティ機能要件であり、セキュリティ機能要件テーブル１０１のセキュリティ機能要件１０１１の一部又は全てを含む。
【００３９】
次に、配置ルールＤＢ４２に格納される情報を説明する。配置ルールＤＢ４２には、セキュリティ機能要件を配置する優先度を判定するための配置ルール情報が格納されている。配置ルールＤＢ４２内の情報は、予め格納されているものとするが、作業者が追加、修正等してもよい。
【００４０】
図１２にセキュリティ機能要件を配置する優先度を判定するための情報を格納する配置ルールテーブル１２１の一例を示す。図１２において、配置ルールテーブル１２１は、種別１２１１、配置ルールＡ１２１２、配置ルールＢ１２１３等を含む。種別１２１１とは、セキュリティ目標に対する対策方法の種別を示す情報である。配置ルールＡ１２１２とは、対策方法の種別毎に、第一の優先候補として配置すべき場所の規則を示した情報である。配置ルールＢ１２１３とは、対策方法の種別毎に、第二の優先候補として配置すべき場所の規則を示した情報である。
【００４１】
図４において、通信制御プログラム４３１は、ネットワーク接続部４８を介して通信ネットワークに接続された他装置と通信を行うためのプログラムである。システムセキュリティ設計支援プログラム４３２は、後述するスキーマ取得処理部４０１、機能要件配置用情報取得処理部４０２、セキュリティ機能要件配置処理部４０３を実現するためのプログラムである。
【００４２】
メモリ４４は、スキーマデータ領域４４１、機能要件配置用情報取得データ領域４４２、機能要件配置データ領域４４３を有する。これらのデータ領域は、後述するスキーマ取得処理部４０１、機能要件配置用情報取得処理部４０２、セキュリティ機能要件配置処理部４０３の動作により取得された又は読み出された情報を一時格納するための領域である。
【００４３】
ＣＰＵ４５は、メモリ４４にロードしたシステムセキュリティ設計支援プログラム４３２を実行することにより、スキーマ取得処理部４０１、機能要件配置用情報取得処理部４０２、セキュリティ機能要件配置処理部４０３を実現する。
【００４４】
スキーマ取得処理部４０１は、設計対象システム２のシステム構成に関する情報（スキーマ情報）を取得し、取得した情報をセキュリティ機能要件配置ＤＢ４１に格納する。機能要件配置用情報取得処理部４０２は、エージェントに関する情報、脅威に関する情報、セキュリティ目標に関する情報、セキュリティ機能要件に関する情報等を取得し、取得した情報をセキュリティ機能要件配置ＤＢ４１に格納する。セキュリティ機能要件配置処理部４０３は、セキュリティ機能要件の配置候補を取得し、配置ルールＤＢ４２内の情報に基づいて、各セキュリティ機能要件の配置候補の優先度を判定する。
【００４５】
以下、動作を説明する。
【００４６】
まず、図１３を参照し、設計対象システム２のスキーマ情報を取得するスキーマ取得処理部４０１の動作例を説明する。図１３の動作により、スキーマ取得処理部４０１は、図５に一例を示すシステム要素構成テーブル５１と、システムネットワーク構成テーブル５２とを取得する。
【００４７】
スキーマ取得処理部４０１は、作業者の指示に従い、スキーマ情報の入力を受け付ける（Ｓ１３０１）。具体的には、例えば、スキーマ取得処理部４０１は、所定のフォーマットに基づく等して図１４に一例を示すような指示を受け付ける画面をディスプレイ等の出力装置４７１に出力する。
【００４８】
図１４において、作業画面１４１は、ファイルメニュー１４１１、編集メニュー１４２１、メイン表示部１４２等を備える。ファイルメニュー１４１１からは、スキーマ入力終了１４１２、閉じる１４１３等のサブメニューを選択出来る。編集メニュー１４２１からは、要素の追加１４２２、要素の削除１４２３、ネットワークの追加１４２４、ネットワークの削除１４２５等サブメニューを選択出来る。要素の追加１４２２サブメニューからは、ドメイン１４２６、サブシステム１４２７、機器１４２８等のサブメニューが選択出来る。また、メイン表示部１４２は、入力装置４７２からの入力操作が可能である。
【００４９】
スキーマ入力終了１４１２は、スキーマ入力を終了し、機能要件配置用情報取得処理部４０２へ処理を移すサブメニューである。閉じる１４１３は、システムセキュリティ設計支援プログラムを終了するサブメニューである。
【００５０】
作業者は、入力装置４７２を用いて、作業画面１４１に表示されたサブメニュー及び表示内容の何れかを選択等することで、設計対象システム２のスキーマを指示する。スキーマ取得処理部４０１は、指示が入力されると（Ｓ１３０１）、当該指示に応じて後述の処理を行うと共に、図１５のメイン表示部１４２に一例を示すような画面をディスプレイ等の出力装置４７１に出力する（Ｓ１３１１）。
【００５１】
作業者がマウス等の入力装置４７２により要素（ドメイン、サブシステム、機器、ネットワーク等）の選択を指示した場合、スキーマ取得処理部４０１は、指示された要素を選択状態にする（Ｓ１３０２）。具体的には、例えば、スキーマ取得処理部４０１は、予め、メモリ４４のスキーマデータ領域４４１に、後述するＳ１３０３〜Ｓ１３０８の処理で追加された要素を格納しておき、当該領域に格納されている要素を、図１５のメイン表示部１４２に一例を示すように表示する。作業者が図１５のメイン表示部１４２に表示された要素のうちいずれかをクリック等して選択すると、スキーマ取得処理部４０１は、スキーマデータ領域４４１内の選択された要素に、選択されたことを示すフラグを付与する。さらに、スキーマ取得処理部４０１は、選択された要素を、当該要素が選択されたとわかるようにメイン表示部１４２に出力し（Ｓ１３１１）、作業者からの入力受付（Ｓ１３０１）に戻る。要素が選択されたとわかるように出力するために、例えば、スキーマ取得処理部４０１は、選択された要素の色を変更等して出力する。
【００５２】
作業者がマウス等の入力装置４７２によりドメインの追加を指示した場合、スキーマ取得処理部４０１は、作業者が入力した情報に従い、追加するドメインのドメイン名を取得し（Ｓ１３０３）、当該ドメインに関する情報をスキーマデータ領域４４１に格納する。図１４の例で説明すると、「要素の追加１４２２」のサブメニューで「ドメイン１４２６」が指示された場合、スキーマ取得処理部４０１は、作業者がキーボード等の入力装置４７２を用いて入力した文字列を、当該ドメインのドメイン名とする。スキーマ取得処理部４０１は、取得したドメイン名をスキーマデータ領域４４１に格納すると共に、当該ドメインに関する情報（構成、場所、ドメイン名等）を図１５に一例を示すようにメイン表示部１４２に表示し（Ｓ１３１１）、作業者からの入力受付（Ｓ１３０１）に戻る。
【００５３】
作業者がマウス等の入力装置４７２により、「サブシステムの追加」を指示した場合、スキーマ取得処理部４０１は、作業者が入力した情報に従い、追加するサブシステムのサブシステム名を取得し（Ｓ１３０４）、当該サブシステムに関する情報をスキーマデータ領域４４１に格納する。図１４の例で説明すると、「要素の追加１４２２」のサブメニューで「サブシステム１４２７」が指定された場合、スキーマ取得処理部４０１は、作業者がキーボード等の入力装置４７２を用いて入力した文字列を、当該サブシステムのサブシステム名とする。スキーマ取得処理部４０１は、当該サブシステムに関する情報（構成、場所、サブシステム名等）をスキーマデータ領域４４１に格納すると共に、当該サブシステムを図１５に一例を示すようにメイン表示部１４２に表示し（Ｓ１３１１）、作業者からの入力受付（Ｓ１３０１）に戻る。
ここで、スキーマ取得処理部４０１は、ドメイン、サブシステム、機器等の要素の追加を指示された時点で、いずれかの要素又はネットワークが選択状態である場合、当該指示で追加する要素を選択状態の要素又はネットワークの下の階層として追加し、メモリ４４のスキーマデータ領域４４１に格納する。例えば、ドメインＡが選択された状態でサブシステム１の追加を指示された場合、スキーマ取得処理部４０１は、サブシステム１をドメインＡの下の階層として追加する。いずれかの要素又はネットワークが選択状態か否か判定するためには、例えば、スキーマデータ領域４４１に格納した要素又はネットワークに選択されたことを示すフラグが付与されているか否かにより判定する。
【００５４】
作業者がマウス等の入力装置４７２により、「機器の追加」を指示した場合、スキーマ取得処理部４０１は、作業者の指示に従い、追加する機器の階層構造と、機器名とを取得し（Ｓ１３０５、Ｓ１３０６）、当該機器に関する情報をスキーマデータ領域４４１に格納する。図１４の例で説明すると、「要素の追加１４２２」のサブメニューで「機器１４２８」が指示された場合、スキーマ取得処理部４０１は、作業者がキーボードやマウス等の入力装置４７２を用いて入力した指示に従い、追加する機器に関する情報（構成、場所、当該機器のレイヤ構造、当該機器の名称等）をスキーマデータ領域４４１に格納すると共に、当該機器を図１５に一例を示すようにメイン表示部１４２に表示し（Ｓ１３１１）、作業者からの入力受付（Ｓ１３０１）に戻る。ここで、追加する機器のレイヤ構造とは、例えば、上述の図３に示すＡＰレイヤ、ＤＢレイヤ、ＯＳレイヤである。
【００５５】
作業者がマウス等の入力装置４７２により、「ネットワークの追加」を指示した場合、スキーマ取得処理部４０１は、作業者の指示に従い、追加するネットワークの接続先の機器と、追加するネットワークのネットワーク名を取得し（Ｓ１３０７、Ｓ１３０８）、当該ネットワークに関する情報をスキーマデータ領域４４１に格納する。図１４の例で説明すると、「ネットワークの追加１４２４」が指定された場合、スキーマ取得処理部４０１は、まず、追加するネットワークの接続先の機器の名称を取得する。具体的には、例えば、スキーマ取得処理部４０１は、スキーマデータ領域４４１を参照する等していずれかの機器が選択状態であるか否か判定する。選択状態の機器が有る場合、スキーマ取得処理部４０１は、当該機器を追加するネットワークの接続先とする。選択状態の機器が無い場合、スキーマ取得処理部４０１は、図１５に一例を示すメイン表示部１４２を出力等して接続先の機器の指示を受付、作業者が入力装置４７２により選択した機器を、追加するネットワークの接続先とする。次に、スキーマ取得処理部４０１は、追加するネットワークの名称を取得する。具体的には、例えば、スキーマ取得処理部４０１は、作業者がキーボード等の入力装置４７２を用いて入力した文字列を、追加するネットワークの名称とする。スキーマ取得処理部４０１は、このように取得したネットワークに関する情報（構成、当該ネットワークの接続先の機器の名称、当該ネットワークの名称等）をスキーマデータ領域４４１に格納すると共に、追加するネットワークが接続先として指定された機器と接続されていることを示す図と、当該ネットワークの名称とを図１５に一例を示すようにメイン表示部１４２に表示し（Ｓ１３１１）、作業者からの入力受付（Ｓ１３０１）に戻る。
【００５６】
作業者がマウス等の入力装置４７２により、サブメニュー「要素の削除１４２３」を指定した場合、スキーマ取得処理部４０１は、作業者により選択された要素（ドメイン、サブシステム、機器）を削除する（Ｓ１３０９）。具体的には、例えば、スキーマ取得処理部４０１は、スキーマデータ領域４４１を参照する等していずれかの要素が選択状態であるか否か判定し、選択状態の要素が有る場合、当該要素をスキーマデータ領域４４１から削除する。選択状態の要素が無い場合、スキーマ取得処理部４０１は、図１５に一例を示すメイン表示部１４２を出力等して削除する要素の入力を受付、作業者が入力装置４７２により選択した要素をスキーマデータ領域４４１から削除する。次に、スキーマ取得処理部４０１は、指定された要素を図１５に一例を示すようなメイン表示部１４２から削除して表示し（Ｓ１３１１）、作業者からの入力受付（Ｓ１３０１）に戻る。
【００５７】
作業者がマウス等の入力装置４７２により、サブメニュー「ネットワークの削除１４２５」を指定した場合、スキーマ取得処理部４０１は、作業者により選択されたネットワークを削除する（Ｓ１３１０）。この動作の具体例は、上述の「要素の削除」と同様である。スキーマ取得処理部４０１は、指定されたネットワークを図１５に示すようなメイン表示部１４２から削除して表示し（Ｓ１３１１）、作業者からの入力受付（Ｓ１３０１）に戻る。
【００５８】
作業者がマウス等の入力装置４７２により、サブメニュー「スキーマ入力終了１４１２」を指定した場合、スキーマ取得処理部４０１は、スキーマデータ領域４４１に格納した情報を、図５に一例を示すシステム要素構成テーブル５１及びシステムネットワーク構成テーブル５２に格納し、該テーブルをセキュリティ機能要件配置ＤＢ４１に記憶して（Ｓ１３１２）、処理を終了する。
【００５９】
上述の動作により、システムをセキュリティポリシが異なる範囲で、階層構造（ドメイン、サブシステム）の細分化することができる。また、各サブシステム内の水平分散の物理的構成に基づいて、各サブシステムのネットワークも含めた機器構成と、各機器内の垂直分散の論理的構成を元に２つ以上のレイヤとを定義することで、システムのスキーマを定義することが可能となる。
【００６０】
次に、図１６を参照し、セキュリティ機能要件を配置するための情報を取得する機能要件配置用情報取得処理部４０２の動作例を説明する。機能要件配置用情報取得処理部４０２は、後述の動作により、図６〜図１１に一例を示す資産テーブル６１、エージェントテーブル７１、脅威テーブル８１、セキュリティ目標テーブル９１、セキュリティ機能要件テーブル１０１、セキュリティ機能要件配置用情報テーブル１１１を取得する。
【００６１】
機能要件配置用情報取得処理部４０２は、配置要件用の情報の入力を受け付ける（Ｓ１６０１）。具体的には、例えば、機能要件配置用情報取得処理部４０２は、所定のフォーマットに基づく等して、図１７及び図１８一例を示すような指示を受け付ける画面をディスプレイ等の出力装置４７１に出力する。
【００６２】
図１７は、利用者が指示できるメニューを説明する図である。図１７において、作業画面１７１は、ファイルメニュー１７１１、編集メニュー１７２１、メイン表示部１７２等を備える。ファイルメニュー１７１１からは、配置用情報入力終了１７１２、閉じる１７１３等のサブメニューを選択できる。編集メニュー１７２１からは、資産の追加１７２２、エージェントの追加１７２３、脅威の追加１７２４、セキュリティ目標の追加１７２５、セキュリティ機能要件の追加１７２６、配置用情報編集１７２７等のサブメニューを選択できる。配置用情報入力終了１７１２は、機能要件配置用情報取得処理部４０２の処理を終了し、セキュリティ機能要件配置処理部４０３へ処理を移すサブメニューである。閉じる１７１３は、システムセキュリティ設計支援プログラムを終了するサブメニューである。
【００６３】
図１８は、作業者に、セキュリティ機能要件を配置するための情報を入力させるための画面例である。図１８において、メイン表示部１７２には、図１３を参照して説明した動作により取得した設計対象システム２のスキーマと、サブ表示部１７３に入力されたセキュリティ機能要件を配置するための情報とが表示される。なお、メイン表示部１７２に表示されるスキーマは、機能要件配置用情報取得処理部４０２が、図５に一例を示すシステム要素構成テーブル５１及びシステムネットワーク構成テーブル５２に基づいて、所定のフォーマットに従う等により表示する。サブ表示部１７３は、資産１７３１、エージェント１７３２、脅威１７３３、目標１７３４、機能要件１７３５、編集１７３６のタブと、テーブル表示部１７３７等を備える。
【００６４】
作業者は、入力装置４７２を用いて、作業画面１７１に表示されたサブメニュー及び表示内容の何れかを選択等することで、セキュリティ機能要件を配置するための情報を指示する。機能要件配置用情報取得処理部４０２は、指示が入力されると（Ｓ１６０１）、当該指示に応じて後述の処理を行うと共に、図１８のメイン表示部１７２及びサブ表示部１７３に一例を示す画面をディスプレイ等の出力装置４７１に出力する（Ｓ１６０８）。
【００６５】
作業者がマウス等の入力装置４７２を用いて「資産の追加」を指示した場合、機能要件配置用情報取得処理部４０２は、作業者が入力した情報に従い、追加する資産の名称及び当該資産の場所を取得し（Ｓ１６０２）、取得したサブシステム名をメモリ４４内の機能要件配置用情報取得データ領域４４２に格納する。図１８及び図１７の例で説明すると、サブメニュー「資産の追加１７２２」が指定された場合、機能要件配置用情報取得処理部４０２は、サブ表示部１７３の「資産１７３１」のタブを有効にして、テーブル表示部１７３７への資産の名称の入力可能とする。機能要件配置用情報取得処理部４０２は、作業者が入力装置４７２を用いてテーブル表示部１７３７の特定のエリアに入力した文字列を、追加する資産の名称として機能要件配置用情報取得データ領域４４２内の資産テーブル６１の資産６１１に格納する。さらに、機能要件配置用情報取得処理部４０２は、追加する資産の場所を取得する。
【００６６】
そのために、例えば、機能要件配置用情報取得処理部４０２は、機能要件配置用情報取得データ領域４４２を参照する等していずれかの場所（機器、レイヤ、ネットワーク等）が選択状態であるか否か判定する。選択状態の場所が有る場合、機能要件配置用情報取得処理部４０２は、当該場所が資産の存在する場所であるものとする。選択状態の場所が無い場合、機能要件配置用情報取得処理部４０２は、図１８に一例を示すメイン表示部１７２を出力等して場所の入力を受付、作業者が入力装置４７２により選択した場所（機器、レイヤ、ネットワーク等）を、追加する資産の場所として機能要件配置用情報取得データ領域４４２内の資産テーブル６１の場所６１２に格納する。機能要件配置用情報取得処理部４０２は、入力された資産の名称及び当該資産の場所を、図１８に一例を示すメイン表示部１７２の資産１８０１（ＷＥＢサーバＰＧ、ＷＥＢ公開情報、ＷＥＢ更新ＰＧ、ＷＥＢブラウザＰＧ）、及び、サブ表示部１７３のテーブル１７４１のように表示し（Ｓ１６０８）、作業者からの入力受付（Ｓ１６０１）に戻る。
【００６７】
作業者がマウス等の入力装置４７２を用いて「エージェントの追加」を指示した場合、機能要件配置用情報取得処理部４０２は、作業者が入力した情報に従い、追加するエージェントの名称及び当該エージェントの場所を取得し（Ｓ１６０２）、取得したエージェントの名称及び場所を機能要件配置用情報取得データ領域４４２に格納する。図１８及び図１７の例で説明すると、サブメニュー「エージェントの追加１７２３」が指定された場合、機能要件配置用情報取得処理部４０２は、図１９に一例を示すように、サブ表示部１７３の「エージェント１７３２」のタブを有効にし、エージェントの名称の入力を可能とする。機能要件配置用情報取得処理部４０２は、作業者が入力装置４７２を用いてテーブル表示部１７３７の特定のエリアに入力した文字列を、追加するエージェントの名称として機能要件配置用情報取得データ領域４４２内のエージェントテーブル７１のエージェント７１１に格納する。さらに、機能要件配置用情報取得処理部４０２は、上述の資産の追加と同様に、追加するエージェントの場所（機器、レイヤ、ネットワーク等）を取得し、機能要件配置用情報取得データ領域４４２内のエージェントテーブル７１の場所７１２に格納する。機能要件配置用情報取得処理部４０２は、入力されたエージェントの名称及び場所を、図１８に一例を示すメイン表示部１７２のエージェント１８０２（管理者、不正ユーザ、ユーザ）、及び、図１９に一例を示すサブ表示部１７３のテーブル１７４２のように表示し（Ｓ１６０８）、作業者からの入力受付（Ｓ１６０１）に戻る。
【００６８】
作業者がマウス等の入力装置４７２を用いて「脅威の追加」を指定した場合、機能要件配置用情報取得処理部４０２は、作業者が入力した情報に従い、追加する脅威を取得し（Ｓ１６０４）、取得した脅威を機能要件配置用情報取得データ領域４４２に格納する。図１８及び図１７の例で説明すると、サブメニュー「脅威の追加１７２４」が指定された場合、機能要件配置用情報取得処理部４０２は、図２０に一例を示すように、サブ表示部１７３の「脅威１７３３」のタブを有効にし、追加する脅威の入力を可能とする。機能要件配置用情報取得処理部４０２は、作業者が入力装置４７２を用いてテーブル表示部１７３７の特定のエリアに入力した文字列を、追加する脅威として機能要件配置用情報取得データ領域４４２内の脅威テーブル８１の脅威８１１に格納する。さらに、機能要件配置用情報取得処理部４０２は、入力された脅威を、図２０に一例を示すサブ表示部１７３のテーブル１７４３のように表示し（Ｓ１６０８）、作業者からの入力受付（Ｓ１６０１）に戻る。
【００６９】
作業者がマウス等の入力装置４７２を用いて「セキュリティ目標の追加」を指定した場合、機能要件配置用情報取得処理部４０２は、作業者が入力した情報に従い、追加するセキュリティ目標を取得し（Ｓ１６０５）、取得したセキュリティ目標を機能要件配置用情報取得データ領域４４２に格納する。図１８及び図１７の例で説明すると、サブメニュー「セキュリティ目標の追加１７２５」を指示された場合、機能要件配置用情報取得処理部４０２は、図２１に一例を示すように、サブ表示部１７３の「目標１７３４」のタブを有効にして、追加するセキュリティ目標の入力を可能とする。機能要件配置用情報取得処理部４０２は、作業者が入力装置４７２を用いてテーブル表示部１７３７の特定のエリアに入力した文字列を、追加するセキュリティ目標として機能要件配置用情報取得データ領域４４２内のセキュリティ目標テーブル９１のセキュリティ目標９１１に格納する。さらに、機能要件配置用情報取得処理部４０２は、入力されたセキュリティ目標を、図２１に一例を示すサブ表示部１７３のテーブル１７４４のように表示し（Ｓ１６０８）、作業者からの入力受付（Ｓ１６０１）に戻る。
【００７０】
作業者がマウス等の入力装置４７２を用いて「セキュリティ機能要件の追加」を指示した場合、機能要件配置用情報取得処理部４０２は、作業者が入力した情報に従い、追加するセキュリティ機能要件を取得し（Ｓ１６０６）、取得したセキュリティ機能要件を機能要件配置用情報取得データ領域４４２に格納する。図１８及び図１７の例で説明すると、サブメニュー「セキュリティ機能要件の追加１７２６」が指定された場合、機能要件配置用情報取得処理部４０２は、図２２に一例を示すように、サブ表示部１７３の「機能要件１７３５」のタブを有効にし、追加するセキュリティ機能要件の入力を可能とする。機能要件配置用情報取得処理部４０２は、作業者が入力装置４７２を用いてテーブル表示部１７３７の特定のエリアに入力した文字列を、追加するセキュリティ機能要件として機能要件配置用情報取得データ領域４４２内のセキュリティ機能要件テーブル１０１のセキュリティ機能要件１０１１に格納する。さらに、機能要件配置用情報取得処理部４０２は、入力されたセキュリティ機能要件を、図２２に一例を示すサブ表示部１７３のテーブル１７４５のように表示し（Ｓ１６０８）、作業者からの入力受付（Ｓ１６０１）に戻る。
【００７１】
作業者がマウス等の入力装置４７２を用いて「機能要件配置用情報の編集」を指示した場合、機能要件配置用情報取得処理部４０２は、作業者が入力した情報に従って編集する内容を取得し（Ｓ１６０７）、取得した編集内容を機能要件配置用情報取得データ領域４４２に格納する。図１８及び図１７の例で説明すると、サブメニュー「配置用情報の編集１７２７」が指定された場合、機能要件配置用情報取得処理部４０２は、図２３に一例を示すように、サブ表示部１７３の「編集１７３６」のタブを有効にし、編集するセキュリティ機能要件配置用情報の入力を可能とする。機能要件配置用情報取得処理部４０２は、作業者が入力装置４７２を用いて入力した情報を、機能要件配置用情報取得データ領域４４２内のセキュリティ機能要件配置用情報テーブル１１１に格納し、さらに、当該情報を、図２３に一例を示すテーブル１７４６のように表示し（Ｓ１６０８）、作業者からの入力受付（Ｓ１６０１）に戻る。なお、テーブル１７４６の各行は、当該行に記載されたセキュリティ目標に対応する脅威、当該脅威のエージェント、当該脅威により被害を受ける資産、当該セキュリティ目標を達成するための対策方法、当該対策方法を実現するセキュリティ機能要件を示す。
【００７２】
上述のＳ１６０７の動作を、図２４を参照して詳細に説明する。
【００７３】
機能要件配置用情報取得処理部４０２は、所定のフォーマットに従う等して、図２３に一例を示すように、サブ表示部１７３にテーブル１７４６を表示する（Ｓ２４０１）。
【００７４】
このとき、機能要件配置用情報取得処理部４０２は、編集するセキュリティ機能要件配置用情報を取得していない場合、テーブル１７４６に、項目と、セキュリティ目標のみを表示してもよい。具体的には、例えば、機能要件配置用情報取得処理部４０２は、機能要件配置用情報取得データ領域４４２のテーブル１７４６内の情報を格納するエリアを参照し、当該エリアに情報が格納されていない場合、編集するセキュリティ機能要件配置用情報が入力されていないと判定する。この場合、機能要件配置用情報取得処理部４０２は、テーブル１７４６の項目を表示するフィールドに「セキュリティ目標」、「対応する脅威」、「エージェント」、「資産」、「対策方法」、「対応するセキュリティ機能要件」等の項目を表示し、さらに、セキュリティ目標テーブル９１に格納されているセキュリティ目標９１１を読出し、テーブル１７４６のセキュリティ目標フィールド２３０１に、読み出したセキュリティ目標９１１を表示する。
【００７５】
機能要件配置用情報取得処理部４０２は、作業者からの指示を受付（Ｓ２４０２）、当該指示に応じて、後述するＳ２４０３〜Ｓ２４０７の処理を行うと共に、図２３のサブ表示部１７３のテーブル１７４６に、入力された情報を表示する（Ｓ２４０８）。
【００７６】
作業者がマウス等の入力装置４７２を用いて「脅威」の編集を指示した場合、機能要件配置用情報取得処理部４０２は、作業者が入力した情報に従い、指示されたセキュリティ目標に対応する脅威を取得し（Ｓ２４０３）、機能要件配置用情報取得データ領域４４２に格納する。図２３の例で説明すると、作業者がマウス等の入力装置４７２を用いて、セキュリティ機能要件配置用情報テーブル１７４６の脅威フィールド２３０２のいずれかを選択した場合、機能要件配置用情報取得処理部４０２は、図２０に一例を示すように、サブ表示部１７３の「脅威１７３３」のタブを有効にしてテーブル１７４３を表示する。作業者が入力装置４７２を用いて表示された脅威のうちいずれかを選択すると、機能要件配置用情報取得処理部４０２は、当該選択された脅威を、脅威フィールド２３０２で選択された行に対応するセキュリティ目標の脅威として、機能要件配置用情報取得データ領域４４２内のセキュリティ機能要件配置用情報テーブル１１１の脅威１１１２に格納する。さらに、機能要件配置用情報取得処理部４０２は、サブ表示部１７３の「編集１７３６」のタブを有効にして、当該脅威を、テーブル１７４６内の選択された脅威フィールド２３０２に表示し（Ｓ２４０８）、作業者からの入力受付（Ｓ２４０２）に戻る。
【００７７】
作業者がマウス等の入力装置４７２を用いて「資産」の編集を指示した場合、機能要件配置用情報取得処理部４０２は、作業者が入力した情報に従い、指示されたセキュリティ目標に対応する資産を取得し（Ｓ２４０４）、機能要件配置用情報取得データ領域４４２に格納する。図２３の例で説明すると、作業者がマウス等の入力装置４７２を用いて、テーブル１７４６の資産フィールド２３０４のいずれかを選択した場合、機能要件配置用情報取得処理部４０２は、図１８に一例を示すメイン表示部１７２を表示し、編集する資産の指示を受け付ける。作業者が入力装置４７２を用いて、図１８に一例を示すメイン表示部１７２に表示された資産１８０１のいずれかを選択すると、機能要件配置用情報取得処理部４０２は、当該選択された資産１８０１を、資産フィールド２３０４で選択された行に対応するセキュリティ目標の資産として、機能要件配置用情報取得データ領域４４２内のセキュリティ機能要件配置用情報テーブル１１１の資産１１１４に格納する。さらに、機能要件配置用情報取得処理部４０２は、サブ表示部１７３の「編集１７３６」のタブを有効にして、当該資産を、テーブル１７４６内の選択された資産フィールド２３０４に表示し（Ｓ２４０８）、作業者からの入力受付（Ｓ２４０２）に戻る。
【００７８】
作業者がマウス等の入力装置４７２を用いて「エージェント」の編集を指示した場合、機能要件配置用情報取得処理部４０２は、作業者が入力した情報に従い、指示されたセキュリティ目標に対応するエージェントを取得し（Ｓ２４０５）、機能要件配置用情報取得データ領域４４２に格納する。図２３の例で説明すると、作業者がマウス等の入力装置４７２を用いて、テーブル１７４６のエージェントフィールド２３０３のいずれかを選択した場合、機能要件配置用情報取得処理部４０２は、図１８に一例を示すメイン表示部１７２を表示し、編集するエージェントの指示を受け付ける。作業者が入力装置４７２を用いて、図１８に一例を示すメイン表示部１７２に表示されたエージェント１８０２のいずれかを選択すると、機能要件配置用情報取得処理部４０２は、当該選択されたエージェント１８０２を、エージェントフィールド２３０３で選択された行に対応するセキュリティ目標のエージェントとして、機能要件配置用情報取得データ領域４４２内のセキュリティ機能要件配置用情報テーブル１１１のエージェント１１１３に格納する。さらに、機能要件配置用情報取得処理部４０２は、サブ表示部１７３の「編集１７３６」のタブを有効にして、当該エージェントを、テーブル１７４６内の選択されたエージェントフィールド２３０３に表示し（Ｓ２４０８）、作業者からの入力受付（Ｓ２４０２）に戻る。
【００７９】
作業者がマウス等の入力装置４７２を用いて「対策方法」の編集を指示した場合、機能要件配置用情報取得処理部４０２は、作業者が入力した情報に従い、指示されたセキュリティ目標に対応する対策方針を取得し（Ｓ２４０６）、機能要件配置用情報取得データ領域４４２に格納する。図２３の例で説明すると、作業者がマウス等の入力装置４７２を用いて、テーブル１７４６の「対策方法フィールド２３０５」のいずれかを選択した場合、機能要件配置用情報取得処理部４０２は、作業者が入力装置４７２を用いてテーブル表示部１７３７の特定のエリアに入力した文字列を、選択された対策方法フィールド２３０５の行に対応するセキュリティ目標の対策方法とする。機能要件配置用情報取得処理部４０２は、当該対策方法を、１７４６内の選択された対策方法フィールド２３０５に表示すると共に（Ｓ２４０８）、当該対策方法を、機能要件配置用情報取得データ領域４４２内のセキュリティ機能要件配置用情報テーブル１１１の対策方法１１１５に格納し、作業者からの入力受付（Ｓ２４０２）に戻る。
【００８０】
作業者がマウス等の入力装置４７２を用いて「セキュリティ機能要件」の編集を指定した場合、機能要件配置用情報取得処理部４０２は、作業者が入力した情報に従い、指示されたセキュリティ目標に対応するセキュリティ機能要件を取得し（Ｓ２４０７）、機能要件配置用情報取得データ領域４４２に格納する。図２３の例で説明すると、作業者がマウス等の入力装置４７２を用いて、テーブル１７４６のセキュリティ機能要件フィールド２３０６のいずれかを選択した場合、機能要件配置用情報取得処理部４０２は、図２２に一例を示すように、サブ表示部１７３の「機能要件１７３５」のタブを有効にしてテーブル１７４５を表示する。作業者が入力装置４７２を用いて表示されたテーブル１７４５内のセキュリティ機能要件のうちいずれかを選択すると、機能要件配置用情報取得処理部４０２は、当該選択されたセキュリティ機能要件を、セキュリティ機能要件フィールド２３０６で選択された行に対応するセキュリティ目標のセキュリティ機能要件として、機能要件配置用情報取得データ領域４４２内のセキュリティ機能要件配置用情報テーブル１１１の機能要件１１１６に格納する。さらに、機能要件配置用情報取得処理部４０２は、サブ表示部１７３の「編集１７３６」のタブを有効にして、当該セキュリティ機能要件を、テーブル１７４６内の選択されたセキュリティ機能要件フィールド２３０６に表示し（Ｓ２４０８）、作業者からの入力受付（Ｓ２４０２）に戻る。
【００８１】
作業者がマウス等の入力装置４７２を用いて、上述と異なる指示をした場合、機能要件配置用情報取得処理部４０２は、当該指示に応じた処理を行う。
【００８２】
なお、上述のＳ２４０４の処理において、指示されたセキュリティ目標に対応する資産を選択する場合、作業者は、対応する脅威フィールド２３０２の資産がどの資産に対する脅威であるかを考慮して資産を選択するようにする。また、上述のＳ２４０５の処理において、指示されたセキュリティ目標に対応するエージェントを選択する場合、作業者は、対応する脅威フィールド２３０２の脅威がどのエージェントにより引き起こされる脅威であるかを考慮してエージェントを選択するようにする。また、上述のＳ２４０６の処置において、指示されたセキュリティ目標に対応する対策方法を入力する場合、作業者は、対応する脅威フィールド２３０２の脅威がどのような方法により防止、抑止、検知等できるかを考慮して入力するようにする。
【００８３】
図１６において、作業者が入力装置４７２を用いて、サブメニュー「配置用情報入力終了１７１２」を指定した場合、機能要件配置用情報取得処理部４０２は、機能要件配置用情報取得データ領域４４２内の、資産テーブル６１、エージェントテーブル７１、脅威テーブル８１、セキュリティ目標テーブル９１、セキュリティ機能要件テーブル１０１、セキュリティ機能要件配置用情報テーブル１１１をセキュリティ機能要件配置ＤＢ４１に格納し（Ｓ１６０９）、処理を終了する。  
上述の図１６及び図２４に一例を示す動作により、作業者は、資産、エージェント、脅威、セキュリティ目標、セキュリティ機能要件及びこれらの対応関係を入力し、各セキュリティ目標を、対抗する脅威の内容を元に、所定の形式（（１）エージェントとその場所、（２）資産とその場所、（３）対策方法、にリンクづけられた形式）に変換することができる。これにより、システムのスキーマにセキュリティ機能要件を配置するために必要な情報を取得することが可能となる。
【００８４】
次に、図２５を参照し、セキュリティ機能要件を配置する動作の一例を説明する。なお、ここでは、まずセキュリティ目標を配置し、当該セキュリティ目標を実現するセキュリティ機能要件を、当該セキュリティ目標を配置した位置に配置する動作を説明するが、これに限られるわけではなく、例えば、セキュリティ機能要件を直接配置してもよい。
【００８５】
セキュリティ機能要件配置処理部４０３は、セキュリティ機能要件配置ＤＢ４１内に格納した各テーブルを読み出し（Ｓ２５０１）、読み出した各テーブルをメモリ４４内の機能要件配置データ領域４４３に格納する。ここで読み出すテーブルとは、システム要素構成テーブル５１、システムネットワーク構成テーブル５２、セキュリティ機能要件配置用情報テーブル１１１である。次に、セキュリティ機能要件配置処理部４０３は、作業者の指示に従い、配置するセキュリティ目標を取得する（Ｓ２５０２）。具体的には、例えば、セキュリティ機能要件配置処理部４０３は、所定のフォーマットに基づく等して、図２６及び図２７に一例を示すような画面をディスプレイ等の出力装置４７１に出力する。
【００８６】
図２６は、作業者が指示できるメニューを説明する図である。図２６において、作業画面２６１は、ファイルメニュー２６１１、編集メニュー２６２１等のメニューを備える。ファイルメニュー２６１１からは、出力２６１２、閉じる２６１３のサブメニューを選択できる。編集メニュー２６２１からは、セキュリティ目標選択２６２２のサブメニューを選択できる。出力２６１２は、セキュリティ機能要件の配置位置に関する情報を出力するサブメニューである。閉じる２６１３は、システムセキュリティ設計支援プログラムを終了するサブメニューである。
【００８７】
図２７は、作業者にセキュリティ機能要件を配置する対象のセキュリティ目標を入力させるための画面例である。図２７において、作業画面２６１は、メイン表示部２６２、サブ表示部２６３等を備える。メイン表示部２６２には、上述のＳ２５０１の動作により読み出したシステムのスキーマ情報等、後述する動作により取得するセキュリティ目標を配置するための情報、セキュリティ機能要件の配置位置を示す情報等が表示される。サブ表示部２６３には、セキュリティ目標２６３１のタブと、セキュリティ目標を配置するための情報を格納するテーブル２６４１とが表示される。テーブル２６４１は、セキュリティ目標フィールド２６４２、脅威フィールド２６４３、エージェントフィールド２６４４、資産フィールド２６４５、対策方法フィールド２６４６、種別フィールド２６４７等を含む。この脅威フィールド２６４３、エージェントフィールド２６４４、資産フィールド２６４５、対策方法フィールド２６４６、種別フィールド２６４７の各々には、セキュリティ目標フィールド２６４２に格納されるセキュリティ目標に対応する脅威、エージェント、資産、対策方法、種別が格納される。
【００８８】
なお、テーブル２６４１のセキュリティ目標フィールド２６４２に格納されるセキュリティ目標は、後述する動作で選択されたセキュリティ目標である。また、該セキュリティ目標フィールド２６４２に対応する脅威フィールド２６４３、エージェントフィールド２６４４、資産フィールド２６４５、対策方法フィールド２６４６、種別フィールド２６４７の各々に格納される情報は、セキュリティ機能要件配置用情報テーブル１１１から、後述する動作で選択されたセキュリティ目標と一致するセキュリティ目標１１１１に対応する脅威１１１２、エージェント１１１３、資産１１１４、対策方法１１１５の各々である。
【００８９】
作業者は、入力装置４７２を用いて、作業画面２６１に表示されたサブメニュー及び表示内容の何れかを選択等することで、セキュリティ機能要件の配置を指示することができる。セキュリティ機能要件配置処理部４０３は、当該指示に応じて、後述のＳ２５０３及びＳ２５０４の処理を行うと共に、図２７のメイン表示部２６２に一例を示す画面をディスプレイ等の出力装置４７１に出力する（Ｓ２５０６）。
【００９０】
作業者がマウス等の入力装置４７２を用いて、サブメニュー「対象セキュリティ目標選択２６２２」を選択した場合、セキュリティ機能要件配置処理部４０３は、作業者の指示に従い、配置するセキュリティ目標を取得し（Ｓ２５０３）、取得したセキュリティ目標を機能要件配置データ領域４４３に格納する。次に、セキュリティ機能要件配置処理部４０３は、セキュリティ目標の配置候補を取得し、作業者により指示されたセキュリティ目標の対策方法の種別に応じて、各配置候補の優先度を取得し、作業者の指示に従い、実際にセキュリティ目標を配置する場所を取得する（Ｓ２５０４）。
【００９１】
Ｓ２５０３及びＳ２５０４の動作を詳細に説明する。サブメニュー「対象セキュリティ目標選択２６２２」が指定された場合、セキュリティ機能要件配置処理部４０３は、機能要件配置データ領域４４３に格納したセキュリティ機能要件配置用情報テーブル１１１からセキュリティ目標１１１１を読み出し、特定のフォーマットに基づく等して、図２８に一例を示すテーブル２８１を、ディスプレイ等の出力装置４７１に表示する。
【００９２】
図２８において、テーブル２８１は、セキュリティ目標フィールド２８１１、配置フィールド２８１２、選択フィールド２８１３等を含む。セキュリティ目標フィールド２８１１は、セキュリティ目標の一覧を表示するフィールドであり、当該フィールドに含まれるセキュリティ目標は、セキュリティ機能要件配置用情報テーブル１１１に格納されたセキュリティ目標１１１１の一部又は全てである。配置フィールド２８１２は、セキュリティ目標を配置したか否かを示す情報を表示するフィールドであり、図２８の例では、配置したことを「済」、配置していないことを「未」で示している。選択フィールド２８１３は、対象とするセキュリティ目標を指示するためのボタンを表示するフィールドである。
【００９３】
なお、作業者は、全てのセキュリティ目標を配置してもよく、一部のセキュリティ目標を配置してもよいが、ここでは、作業者は、全てのセキュリティ目標を配置するものとする。
【００９４】
作業者が入力装置４７２を用いて図２８に一例を示すテーブル２８１の選択フィールド２８１３に表示されたボタンのうち何れかを押下すると、セキュリティ機能要件配置処理部４０３は、押下されたボタンに対応するセキュリティ目標を、配置するセキュリティ目標とする。ここでは、図２８に一例を示すテーブル２８１の「項番１」のセキュリティ目標が選択された場合を説明する。
【００９５】
上述のように配置するセキュリティ目標を取得した後、セキュリティ機能要件配置処理部４０３は、当該セキュリティ目標の資産の場所からエージェントの場所までの経路を特定し、当該経路上の１以上の場所をセキュリティ目標の配置候補として取得し、当該セキュリティ目標の対策方法の種別に応じて、当該セキュリティ目標の配置候補の優先度を取得する。さらに、セキュリティ機能要件配置処理部４０３は、作業者が入力した情報に従って、実際にセキュリティ目標を配置する位置を取得する（Ｓ２５０４）。この動作を図２９及び図３０を参照して詳細に説明する。なお、図３０は、図２９のＳ２９１４の処理を詳細に説明する図である。
【００９６】
セキュリティ機能要件配置処理部４０３は、機能要件配置データ領域４４３内のシステム要素構成テーブル５１及びシステムネットワーク構成テーブル５２から、スキーマ情報を読み出す。さらに、セキュリティ機能要件配置処理部４０３は、機能要件配置データ領域４４３内の機能要件配置用情報テーブル１１１から、選択したセキュリティ目標に対応する脅威、エージェント、資産、対策方法、セキュリティ機能要件等を読み出す。
【００９７】
セキュリティ機能要件配置処理部４０３は、図２７に一例を示すように、メイン表示部２６２に、選択したセキュリティ目標に対応する資産１８０１及びエージェント１８０２を、システムのスキーマ上にマッピングして表示する（Ｓ２９１１）。さらに、セキュリティ機能要件配置処理部４０３は、図２７に一例を示すように、サブ表示部２６３に、選択したセキュリティ目標、当該セキュリティ目標に対応する脅威、エージェント、資産、対策方法等を含むテーブル２６４１を表示する（Ｓ２９１２）。
【００９８】
図２７の例では、セキュリティ機能要件配置処理部４０３は、スキーマを図２７のメイン表示部２６２に示すように表示し、対象のセキュリティ目標に対するエージェント１８０２を、「ユーザ」のように、機器Ａ２１１のＡＰレイヤ上に表示し、対象のセキュリティ目標に対する資産１８０１を、「ＷＥＢ公開情報」のように、機器Ｃ２２２のＤＢレイヤ上に表示する。
【００９９】
次に、セキュリティ機能要件配置処理部４０３は、作業者が入力した情報に従い、対象セキュリティ目標に対応する対策方法の種別を取得する（Ｓ２９１３）。具体的には、例えば、作業者が入力装置４７２を用いて、サブ表示部２６３に表示されたテーブル２６４１の種別フィールド２６４７を選択した場合、セキュリティ機能要件配置処理部４０３は、図１２に一例を示す配置ルールテーブル１２１の種別１２１１を記憶装置４３から読み出してディスプレイ等の出力装置４７１に出力する。作業者が入力装置３５を用いて図１２に示す配置ルールテーブル１２１の種別１２１１のいずれかを選択すると、セキュリティ機能要件配置処理部４０３は、当該選択された種別を、選択されたセキュリティ目標に対する対策方法の種別とする。セキュリティ機能要件配置処理部４０３は、選択された対策方法の種別を、サブ表示部２６３に表示されたテーブル２６４１の種別フィールド２６４７に表示し、さらに、機能要件配置データ領域４４３に格納する。なお、ここでは、対策方法の種別は、「項番１」の「不正アクセス防止」が選択されたものとする。
【０１００】
次に、セキュリティ機能要件配置処理部４０３は、選択したセキュリティ目標に対応する資産の場所、及び、当該対象セキュリティ目標に対応するエージェントの場所から、セキィリティ目標の配置候補を取得し、取得した配置候補の各々に対し、配置ルールテーブル１２１に基づいて優先度を判定する。セキュリティ機能要件配置処理部４０３は、セキュリティ目標の配置候補および配置候補毎の優先度をメイン表示部２６２に表示する（Ｓ２９１４）。
【０１０１】
ここで、セキィリティ目標の配置候補の優先度を判定する動作を、図３０を参照して詳細に説明する。セキュリティ機能要件配置処理部４０３は、セキュリティ目標に対応する資産を有するスキーマ上の機器のレイヤを配置候補として選択する（Ｓ３０１１）。次に、セキュリティ機能要件配置処理部４０３は、当該資産を有する機器の他のレイヤを配置候補として選択する（Ｓ３０１２）。次に、セキュリティ機能要件配置処理部４０３は、システム要素構成テーブル５１及びシステムネットワーク構成テーブル５２を参照し、当該資産を有する機器からエージェントのある機器までの経路探索を行って経路上の機器を全て取得し（Ｓ３０１３）、当該経路上の各々の機器の全レイヤを配置候補として選択する（Ｓ３０１４）。
【０１０２】
セキュリティ機能要件配置処理部４０３が資産を有する機器からエージェントのある機器までの経路を探索するには、まず、資産を有する機器を基点とする全ての経路を特定し、次に、該特定した各経路からエージェントのある機器に達する経路を選択することにより、該当する経路を探索する。この動作の具体例を、「ＷＥＢ公開情報」を有する「機器Ｃ２２２」の場合を例として説明する。例えば、セキュリティ機能要件配置処理部４０３は、システム要素構成テーブル５１を参照し、機器１５３「機器Ｃ」と対応付けられているネットワーク接続先１５１「機器Ｂ」、「機器Ｄ」を読み出す。これに従い、セキュリティ機能要件配置処理部４０３は、経路「機器Ｂ−機器Ｃ」、経路「機器Ｄ−機器Ｃ」を特定する。次に、セキュリティ機能要件配置処理部４０３は、設定した各経路に直接接続される他の機器を取得する。具体的には、例えば、セキュリティ機能要件配置処理部４０３は、ネットワーク接続先１５１「機器Ｂ」、「機器Ｄ」の各々が接続される全ての機器を取得する。例えば、経路「機器Ｄ−機器Ｃ」に直接接続される全ての機器を選択するには、セキュリティ機能要件配置処理部４０３は、システム要素構成テーブル５１を参照し、機器１５３「機器Ｄ」と対応付けられているネットワーク接続先１５１「機器Ｂ」、「機器Ｃ」を読み出す。次に、セキュリティ機能要件配置処理部４０３は、読み出したネットワーク接続先１５１「機器Ｂ」、「機器Ｃ」のうち、既に特定した経路に含まれる機器、即ち「機器Ｃ」及び「機器Ｃ」と直接接続される機器（機器Ｂ、機器Ｄ）以外の機器を選択する。この場合、該当する機器が無いので、セキュリティ機能要件配置処理部４０３は、経路「機器Ｃ−機器Ｄ」の特定を終了する。また、例えば、経路「機器Ｂ−機器Ｃ」に直接接続される全ての機器を取得するには、セキュリティ機能要件配置処理部４０３は、システム要素構成テーブル５１を参照し、機器１５３「機器Ｂ」と対応付けられているネットワーク接続先１５１「機器Ａ」、「機器Ｃ」、「機器Ｄ」を読み出す。次に、セキュリティ機能要件配置処理部４０３は、上述と同様に、読み出したネットワーク接続先１５１「機器Ａ」、「機器Ｃ」、「機器Ｄ」のうち、既に特定した経路に含まれる機器、即ち「機器Ｃ」及び「機器Ｃ」と直接接続される機器（機器Ｂ、機器Ｄ）以外の機器を選択する。この場合、該当する機器は「機器Ａ」であるので、セキュリティ機能要件配置処理部４０３は、経路「機器Ａ−機器Ｂ−機器Ｃ」を特定する。次に、セキュリティ機能要件配置処理部４０３は、上述と同様に、経路「機器Ａ−機器Ｂ−機器Ｃ」に直接接続される全ての機器を取得する。具体的には、例えば、システム要素構成テーブル５１を参照し、機器１５３「機器Ａ」と対応付けられているネットワーク接続先１５１「機器Ｂ」を読み出す。次に、セキュリティ機能要件配置処理部４０３は、読み出したネットワーク接続先１５１「機器Ｂ」のうち、既に特定した経路に含まれる機器、即ち「機器Ｂ」及び「機器Ｂ」と直接接続される機器（機器Ａ、機器Ｃ、機器Ｄ）以外の機器を選択する。この場合、該当する機器が無いので、セキュリティ機能要件配置処理部４０３は、経路「機器Ａ−機器Ｂ−機器Ｃ」の特定を終了する。セキュリティ機能要件配置処理部４０３は、このように特定した各経路「機器Ｄ−機器Ｃ」、「機器Ａ−機器Ｂ−機器Ｃ」のうち、エージェントのある機器を含む経路を選択する。この場合、エージェントのある機器は「機器Ａ」であるので、経路「機器Ａ−機器Ｂ−機器Ｃ」が、該当する経路として選択される。
【０１０３】
次に、セキュリティ機能要件配置処理部４０３は、配置ルールテーブル１２１を参照し、上述の処理により取得した対策方法の種別に基づいて、配置候補の優先度を判定する（Ｓ３０１５）。対策方法の種別として「不正アクセス防止」が選択された場合の例を説明すると、セキュリティ機能要件配置処理部４０３は、配置ルールテーブル１２１から、当該種別に対応する配置ルール「配置ルールＡ（第１優先候補）：資産のある機器のレイヤ」、「配置ルールＢ（第２優先候補）：資産のある機器の他のレイヤ」を読み出す。セキュリティ機能要件配置処理部４０３は、読み出した配置ルールに従い、資産１８０１「ＷＥＢ公開情報」のある「機器Ｃ２２２」の「ＤＢレイヤ」を「優先度１」と判定し、「機器Ｃ２２２」の「ＡＰレイヤ」及び「ＯＳレイヤ」を「優先度２」と判定する。
【０１０４】
図１２の配置ルールテーブル１２１に一例を示すように、資産のあるレイヤもしくは同一機器の他のレイヤにセキュリティ目標を割り当てることで、エージェントが引き起こす脅威に対して一番効果的に対抗することができる。
【０１０５】
次に、セキュリティ機能要件配置処理部４０３は、判定した配置候補毎の優先度を、メイン表示部２６２のスキーマ上に表示する（Ｓ３０１６）。
【０１０６】
図２７において、セキュリティ機能要件配置処理部４０３は、例えば「機器Ｃ２２２」の「ＡＰレイヤ」、「ＤＢレイヤ」、「ＯＳレイヤ」等のように、セキュリティ目標の配置候補を作業者が認識できるように、配置候補のレイヤの色を変更する等して表示してもよい。なお、図２７において、優先度２７０１は「優先度１」の表示例であり、優先度２７０２は「優先度２」の表示例である。
【０１０７】
上述のようにセキュリティ目標の配置候補及び配置候補毎の優先度を取得すると、セキュリティ機能要件配置処理部４０３は、作業者の指示に従い、セキュリティ目標を実際に配置する場所を取得し（Ｓ２９１５）、機能要件配置データ領域４４３に格納する。具体的には、例えば、セキュリティ機能要件配置処理部４０３は、図２７に一例を示すメイン表示部２６２に表示したレイヤの何れかが選択された場合、当該レイヤを、セキュリティ目標を配置する場所とする。セキュリティ機能要件配置処理部４０３は、メイン表示部２６２の取得した配置場所に該当する場所に、図２７の配置記号２７０３に一例を示すように、配置したことを作業者が認識できるように表示する。
【０１０８】
なお、作業者は、セキュリティ目標を実際に配置するレイヤを選択する上で、サブ表示部２６３に表示されたテーブル２６４１のエージェント、資産、対策方法等を参照し、エージェントから資産に対する脅威を対抗する対策方法により防止、抑止、検知等が可能なレイヤを選択するようにするとよい。また、作業者は、メイン表示部２６２に表示された優先度を参照し、優先度の高いレイヤに優先的に選択するようにすると良い。
【０１０９】
次に、セキュリティ機能要件配置処理部４０３は、セキュリティ目標を配置するレイヤに、当該セキュリティ目標に対応するセキュリティ機能要件を配置することを機能要件配置データ領域４４３に格納する（Ｓ２９１６）。
【０１１０】
上述の処理を全てのセキュリティ目標に対し行うことにより、設計対象システム２のセキュリティ機能要件の配置位置を取得することができる。
【０１１１】
図２５において、作業者がマウス等の入力装置４７２を用いてサブメニュー「出力２６１２」を指示した場合、セキュリティ機能要件配置処理部４０３は、上述の処理により取得した、セキュリティ目標の配置候補や各配置候補の優先度、セキュリティ機能要件の配置位置等の情報を、プリンタや、通信ネットワークを介して接続された他装置等へ出力し（Ｓ２５０５）、作業者からの入力受付（Ｓ２５０２）に戻る。なお、この出力は、図２７のメイン表示部２６２に一例を示すような図を出力してもよく、セキュリティ目標の配置候補や各配置候補の優先度、セキュリティ機能要件の配置位置等の情報を所定のフォーマットに従い表形式等で出力してもよい。表形式で出力する例を図３１に示す。図３１において、テーブル３１０１は、セキュリティ目標と、当該セキュリティ目標を実現するセキュリティ機能要件の配置位置を示す情報の例である。テーブル３１０１において、セキュリティ目標及びセキュリティ機能要件は、配置位置を示すレイヤの横に表記されている。
【０１１２】
図２５において、作業者がマウス等の入力装置４７２を用いてサブメニュー「閉じる２６１３」を指示した場合、セキュリティ機能要件配置処理部４０３は処理を終了する。
【０１１３】
以上、この発明の実施形態を図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計変更等も含まれる。
【０１１４】
例えば、図１２に示した種別は一例であり、他の種別を使用しても良い。同様に、図１２に示す配置ルールについても一例であり、他の配置ルールを決めておいても良い。配置ルールは、例えば、資産と当該資産の場所、又は、エージェントと当該エージェントの場所に応じて定まるものであってもよい。
【０１１５】
また、上述した実施形態では、セキュリティ機能要件配置ＤＢ及び配置ルールＤＢ内のテーブルは記憶装置に格納されるものとしたが、これに限られるわけではなく、例えば、ディスク駆動装置で読み込み及び書き出しを行うメディアに格納してもよい。また、セキュリティ機能要件配置ＤＢ及び配置ルールＤＢ内のテーブルの一部又は全てを、通信ネットワークで接続された他装置が記憶してもよい。
【０１１６】
また、上述のシステムセキュリティ設計支援装置のＣＰＵ内の各部、及び、記憶装置内の各ＤＢ及びプログラムの一部又は全てを有する他装置が、上述の処理の一部を実行してもよい。これにより、複数の作業者で上述の処理を同時に実行することが可能となる。
【０１１７】
また、上述の実施形態において、セキュリティ機能要件の優先度は、第１の優先候補と第２の優先候補との２つを判定するものとしたが、優先度を判定する数は任意である。
【図面の簡単な説明】
【０１１８】
【図１】本発明の一実施形態の概要を説明する図である。
【図２】同実施形態において、設計対象システムの構成例を説明する図である。
【図３】同実施形態において、スキーマを説明する図である。
【図４】同実施形態において、システムセキュリティ設計支援装置の構成例を示す図である。
【図５】同実施形態において、システム要素構成テーブル及びシステムネットワーク構成テーブルの一例を示す図である。
【図６】同実施形態において、資産テーブルの一例を示す図である。
【図７】同実施形態において、エージェントテーブルの一例を示す図である。
【図８】同実施形態において、脅威テーブルの一例を示す図である。
【図９】同実施形態において、セキュリティ目標テーブルの一例を示す図である。
【図１０】同実施形態において、セキュリティ機能要件テーブルの一例を示す図である。
【図１１】同実施形態において、セキュリティ機能要件配置用情報テーブルの一例を示す図である。
【図１２】同実施形態において、配置ルールテーブルの一例を示す図である。
【図１３】同実施形態において、スキーマ情報を取得する動作例を説明する図である。
【図１４】同実施形態において、スキーマ情報を入力する画面例である。
【図１５】同実施形態において、スキーマを表示する画面例である。
【図１６】同実施形態において、配置用情報を取得する動作例を説明する図である。
【図１７】同実施形態において、配置用情報を入力する画面例である。
【図１８】同実施形態において、配置用情報を入力する画面例である。
【図１９】同実施形態において、配置用情報を入力する画面例である。
【図２０】同実施形態において、配置用情報を入力する画面例である。
【図２１】同実施形態において、配置用情報を入力する画面例である。
【図２２】同実施形態において、配置用情報を入力する画面例である。
【図２３】同実施形態において、配置用情報を入力する画面例である。
【図２４】同実施形態において、配置用情報を入力する動作例を説明する図である。
【図２５】同実施形態において、セキュリティ機能要件の配置位置を取得する動作例である。
【図２６】同実施形態において、セキュリティ機能要件の配置位置を入力する画面例である。
【図２７】同実施形態において、セキュリティ機能要件の配置位置を入力する画面例である。
【図２８】同実施形態において、セキュリティ機能要件の配置位置を入力する画面例である。
【図２９】同実施形態において、セキュリティ機能要件の配置位置を取得する動作例である。
【図３０】同実施形態において、セキュリティ機能要件の配置位置を取得する動作例である。
【図３１】同実施形態において、セキュリティ機能要件の配置位置を出力する例である。
【符号の説明】
【０１１９】
５００１：システム基本設計書、５００２：システムセキュリティ設計、５００３：システムセキュリティ基本仕様書、５１０１：ＴＯＥ定義、５１０２：資産定義、５１０３：エージェント定義、５１０４：脅威抽出、５１０５：セキュリティ目標導出、５１０６：セキュリティ機能要件導出、５１０７：セキュリティ基本仕様作成、２：設計対象システム、２１：利用者サイト、２２：サーバサイト、２３：イントラネット、２４：インターネット、２１１：機器Ａ、２２１：機器Ｂ、２２２：機器Ｃ、２２３：機器Ｄ、２２２１：ＷＥＢ情報ＤＢ、４０：システムセキュリティ設計支援装置、４１：セキュリティ機能要件配置ＤＢ、４２：配置ルール、４３：記憶装置、４４：メモリ：４５：ＣＰＵ、４６：ディスク駆動装置、４７：入出力装置接続部、４８：ネットワーク接続部、４０１：スキーマ取得処理部、４０２：機能要件配置用情報取得処理部、４０３：セキュリティ機能要件配置処理部、４３１：通信制御プログラム、４３２：システムセキュリティ設計支援プログラム、４４１：スキーマデータ領域、４４２：機能要件配置用情報取得データ領域、４４３：機能要件配置データ領域、４７１：出力装置、４７２：入力装置、５１：システム要素構成テーブル、５１１：ドメイン、５１２：サブシステム、５１３：機器、５１４：レイヤ、５１５：ネットワーク接続先、５２：システムネットワーク構成テーブル、５２１：ネットワーク、５２２：ネットワーク接続先、６１：資産テーブル、６１１：資産、６１２：場所、７１：エージェントテーブル、７１１：エージェント、７１２：場所、８１：脅威テーブル、８１１：脅威、９１：セキュリティ目標テーブル：９１１：セキュリティ目標、１０１：セキュリティ機能要件テーブル、１０１１：セキュリティ機能要件、１１１：セキュリティ機能要件配置用情報テーブル、１１１１：セキュリティ目標、１１１２：脅威、１１１３：エージェント、１１１４：資産、１１１５：対策方法、１１１６：セキュリティ機能要件、１２１：配置ルールテーブル、１２１１：種別、１２１２：配置ルールＡ、１２１３：配置ルールＢ、１４１：作業画面、１４２：メイン表示部、１４１１：ファイルメニュー、１４２１：編集メニュー、１４１２：スキーマ入力終了、１４１３：閉じる、１４２２：要素の追加、１４２３：要素の削除、１４２４：ネットワークの追加、１４２５：ネットワークの削除、１４２６：ドメイン、１４２７：サブシステム、１４２８：機器、１７１：作業画面、１７２：メイン表示部、１７１１：ファイルメニュー、１７２１：編集メニュー、１７１２：配置用情報入力終了、１７１３：閉じる、１７２２：資産の追加、１７２３：エージェントの追加、１７２４：脅威の追加、１７２５：セキュリティ目標の追加、１７２６：セキュリティ機能要件の追加、１７２７：配置用情報の編集、１８０１：資産、１８０２：エージェント、１７３：サブ表示部、１７３１：資産、１７３２：エージェント、１７３３：脅威、１７３４：目標、１７３５：機能要件、１７３６：編集、１７３７：テーブル表示部、１７４１：テーブル、１７４２：テーブル、１７４３：テーブル、１７４４：テーブル、１７４５：テーブル、１７４６：テーブル、２３０１：セキュリティ目標フィールド、２３０２：脅威フィールド、２３０３：エージェントフィールド、２３０４：資産フィールド、２３０５：対策方法フィールド、２３０６：セキュリティ機能要件フィールド、２６１：作業画面、２６２：メイン表示部、２６１１：ファイルメニュー、２６２１：編集メニュー、２６１２：出力、２６１３：閉じる、２６２２：セキュリティ目標選択、２７０１：優先度、２７０２：優先度、２７０３：配置記号、２６３：サブ表示部、２６３１：セキュリティ目標、２６４１：テーブル、２６４２：セキュリティ目標フィールド、２６４３：脅威フィールド、２６４４：エージェントフィールド、２６４５：資産フィールド、２６４６：対策方法フィールド、２６４７：種別フィールド、２８１：テーブル、２８１１：セキュリティ目標フィールド、２８１２：配置フィールド、２８１３：選択フィールド、３１０１：テーブル
【図１】
2006276993.tif 000003
【図２】
2006276993.tif 000004
【図３】
2006276993.tif 000005
【図４】
2006276993.tif 000006
【図５】
2006276993.tif 000007
【図６】
2006276993.tif 000008
【図７】
2006276993.tif 000009
【図８】
2006276993.tif 000010
【図９】
2006276993.tif 000011
【図１０】
2006276993.tif 000012
【図１１】
2006276993.tif 000013
【図１２】
2006276993.tif 000014
【図１３】
2006276993.tif 000015
【図１４】
2006276993.tif 000016
【図１５】
2006276993.tif 000017
【図１６】
2006276993.tif 000018
【図１７】
2006276993.tif 000019
【図１８】
2006276993.tif 000020
【図１９】
2006276993.tif 000021
【図２０】
2006276993.tif 000022
【図２１】
2006276993.tif 000023
【図２２】
2006276993.tif 000024
【図２３】
2006276993.tif 000025
【図２４】
2006276993.tif 000026
【図２５】
2006276993.tif 000027
【図２６】
2006276993.tif 000028
【図２７】
2006276993.tif 000029
【図２８】
2006276993.tif 000030
【図２９】
2006276993.tif 000031
【図３０】
2006276993.tif 000032
【図３１】
2006276993.tif 000033