(57)【要約】【課題】  情報セキュリティマネジメントの取り組みの妥当性を、一目で把握することが可能なマネジメントシステムの診断ツールを提供する。【課題を解決するための手段】  電算機とそれに用いるソフトウェアによって、情報セキュリティマネジメントシステムを管理するための診断ツールであって、システムについて複数のチェックポイントを数値化するテーブルを用意し、各チェックポイントの対策評価を入力することによって数値化するとともに、入力されたデータの各チェックポイントの対策評価を振り分け手段により物理的要素、人的要素、技術的要素の三要素に振り分け、各チェックポイントの対策評価を数値化した結果から演算手段により達成率を算出してランク付けし、これらのデータを表示手段により前記三要素の関わり度合いを三角形を用いた位置関係で表現し、達成率の大きさを三角形の位置関係を中心とした円の大きさで表現した分析・診断ツール。【選択図】図６
2006185196.tif 000002
【特許請求の範囲】
【請求項１】
電算機とそれに用いるソフトウェアによって、情報セキュリティマネジメントシステムを管理するための診断ツールであって、該システムについて複数のチェックポイントを数値化するテーブルを用意し、管理者が各チェックポイントの対策評価を入力することによって数値化するとともに、入力されたデータの各チェックポイントの対策評価を振り分け手段により物理的要素、人的要素、技術的要素の三要素に振り分け、各チェックポイントの対策評価を数値化した結果から演算手段により達成率を算出してランク付けし、これらのデータを表示手段により前記三要素の関わり度合いを三角形を用いた位置関係で表現し、達成率の大きさを三角形の位置関係を中心とした円の大きさで表現したことを特徴とする情報セキュリティマネジメントシステムの診断ツール。
【請求項２】
電算機とそれに用いるソフトウェアによって、情報セキュリティマネジメントシステムを管理するための診断ツールであって、該システムについて複数のチェックポイントを数値化するテーブルを用意し、管理者が各チェックポイントの対策評価を入力することによって数値化するとともに、各チェックポイントの対策評価を数値化した結果から演算手段により達成率を算出してランク付けし、達成率のランクの高くない「中」及び「低」ランクのチェックポントを抽出手段により抽出し、チェックポイントに対応する対処方針をデータのファイルから読み出し、チェックポイントの調査項目と合体して文書形式の情報セキュリティマネジメントの診断レポートを自動作成することを特徴とする情報セキュリティマネジメントシステムの診断ツール。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報セキュリティマネジメントシステムの状態を調査して、不具合のレポートと大局的対策方針を示す分析・診断ツールの技術に属する。
【背景技術】
【０００２】
従来、多くの政府機関、自治体、企業、事務所等において、情報漏洩や情報紛失等の情報資産の管理不備が大きな問題となっており、情報資産は紙データが主流であったが、近時、ＩＴ環境が進み電子データの情報資産も多くなり、ソフトウェアやハードウェアの管理等の情報の管理形態も多岐にわたり、そのため、情報資産管理のセキュリティのあり方も多岐に亘っている。
このように多岐に亘る情報資産のセキュリティマネジメントにおいて、情報漏洩や情報紛失等を防ぐには、情報資産のセキュリティマネジメントの経験や他の多くの事例の習得が必要であり、これらの経験や事例の習得を身に付けた専門家は少なく、一般の会社ではセキュリティマネジメントのコンサルタントに依頼し、社内の情報セキュリティマネジメントの改善をするのが普通であった。
ところで、情報資産を扱うハードウェアにおいて、不正アクセスを監視するシステム等は、例えば、特許文献１等に見られるように開発され、個々の情報資源を管理する手段は開発されているが、トータルとして脆弱性を指摘しトータルとして漏れなく情報資産の全体を管理するシステムは知られていない。
そこで、本発明者らは、特願２００４−３５９１８４号(特許文献１)として、情報資産の全般に亘って、平易に、情報資産のセキュリティを高める情報資産管理支援システムを提供している。
【０００３】
【特許文献１】特願２００４−３５９１８９号
【発明の開示】
【発明が解決しようとする課題】
【０００４】
ところで、前述した情報資産管理支援システムは、実際の情報管理状態の脆弱性の判断について、ある程度情報管理の知識を有する管理者にとっては理解は容易であり、本格的対策には適しているが、企業などの担当が細分化している大きな組織においては、経営トップがバランス良く情報セキュリティマネジメントの全体状態を把握するのには、必ずしも適切ではなかった。
本発明は、前述した不都合に鑑みてなされたもので、経営陣のセキュリティ対策の取り組みから、物理的ネットワークセキュリティ対策の取り組みなどを、セキュリティ対策の全般に亘って、情報セキュリティマネジメントの全体の状況を、一目で把握することが可能な情報セキュリティマネジメントシステムの診断ツールを提供しようとするものである。
【課題を解決するための手段】
【０００５】
上記の課題を解決するために、請求項１の発明は、電算機とそれに用いるソフトウェアによって、情報セキュリティマネジメントシステムを管理するための診断ツールであって、該システムについて複数のチェックポイントを数値化するテーブルを用意し、管理者が各チェックポイントの対策評価を入力することによって数値化するとともに、入力されたデータの各チェックポイントの対策評価を振り分け手段により物理的要素、人的要素、技術的要素の三要素に振り分け、各チェックポイントの対策評価を数値化した結果から演算手段により達成率を算出してランク付けし、これらのデータを表示手段により前記三要素の関わり度合いを三角形を用いた位置関係で表現し、達成率の大きさを三角形の位置関係を中心とした円の大きさで表現したことを特徴とする情報セキュリティマネジメントシステムの診断ツールである。
請求項２の発明は、電算機とそれに用いるソフトウェアによって、情報セキュリティマネジメントシステムを管理するための診断ツールであって、該システムについて複数のチェックポイントを数値化するテーブルを用意し、管理者が各チェックポイントの対策評価を入力することによって数値化するとともに、各チェックポイントの対策評価を数値化した結果から演算手段により達成率を算出してランク付けし、達成率のランクの高くない「中」及び「低」ランクのチェックポントを抽出手段により抽出し、チェックポイントに対応する対処方針をデータのファイルから読み出し、チェックポイントの調査項目と合体して文書形式の情報セキュリティマネジメントの診断レポートを自動作成することを特徴とする情報セキュリティマネジメントシステムの診断ツールである。
なお、上記の管理者とは、情報セキュリティマネージメントシステムの分析・診断を行うコンサルタント、または企業の情報セキュリティマネージメント管理者などの、本診断ツールを操作し使用する者を意味する。
【発明の効果】
【０００６】
請求項１の発明の情報セキュリティマネジメントシステムの診断ツールによれば、企業等の情報セキュリティマネジメントの全般に亘っての管理状態や情報セイキュリティの状態を、情報セイキュリティに精通していなくても、客観的にどのような部分に脆弱性を有し、その脆弱性の規模の程度も一目で把握することが可能であり、情報セイキュリティの妥当性を客観的に把握でいる。したがって、この出力された本情報セキュリティマネジメントシステムの分析・診断ツールの診断を手がかりに、更に本格的な対策に進むことができる。
請求項２の発明の情報セキュリティマネジメントシステムの診断ツールによれば、企業等の情報セキュリティマネジメントの全般に亘っての管理状態や情報セイキュリティの状態を、情報セイキュリティに精通していなくても、客観的にどのような部分に脆弱性を有し、その脆弱性を問題点だけを洗い出した診断レポートを作成でき、一目で問題点を把握することが可能となり、情報セイキュリティの妥当性を客観的に把握でいる。したがって、この出力された本情報セキュリティマネジメントシステムの分析・診断ツールの診断を手がかりに、更に本格的な対策に進むことができる。
【発明を実施するための最良の形態】
【０００７】
本発明は、電算機とそれに用いるソフトウェアによって情報セキュリティマネジメントシステムを管理するための診断ツールであって、データベースに調査対象企業の情報セキュリティマネジメントの管理の全般に亘ってのチェックポイントのテーブルを作成して格納し、そのチェックポイントをなるべく客観性が担保できるように達成度合いを数値化するテーブルをデータベースに用意し、情報セキュリティマネージメントシステムの分析・診断を行うコンサルタントまたは企業の管理者は、必要の応じて前記チェックポイントの内容をデータベースから読み出してチェックポイントをチェックし、電算機ではテーブルによりチェックした内容を演算気手段で自動的に数値化し、この数値化したものを物理的対策評価、人的対策評価、技術的対策評価の三分野にデータベースのテーブルに基づいて振分手段により振り分け、その振り分けた分野ごとの達成率を演算手段により算出して、この結果を用いて、表現手段によりセキュリティマネジメントの状況を画像端末や印刷装置により一目で把握できる分析・診断レポートを作成するツールである。
その為に、まず、情報セキュリティマネジメントの全般に亘ってチェックポイントのテーブルと、そのチェックポイントごとの得点について説明する。
【０００８】
本発明の調査すべきチェックポイントを大まかに分ける(調査大項目)が、この調査大項目としては、《１》事故管理、《２》設備ファシリティ、《３》記録メディアの受け渡し、《４》委託契約・ＳＬＡ、《５》業務委託等、《６》ネットワークインフラ、《７》情報の移動制限、《８》大規模システム障害、《９》遵法性、《１０》大規模災害、《１１》内部不正、《１２》その他の技術的対策を提示している。
ここで、具体的にフローチャートの図１とし、《１》事故管理のチェックテーブルを図２、《２》設備ファシリティのチェックテーブルを図３、《１２》その他の技術的対策のチェックテーブルを図４として説明する。
【０００９】
例えば、図２の《１》事故管理のチェックテーブルにおいては、チェックポイントの「セキュリティの事故を認識しているか」(第１項)については、チェック対象が(1)セキュリティ事故対応マニュアル、(2)緊急時対応マニュアル、(3)インタビュー等があり、調査項目としては「セキュリティ事項定義の存在」である。本チェックテーブルの「セキュリティ事項定義の存在」では、補足として「セキュリティ事項定義の存在に関し、該当するものは次ぎのどですか？」という質問を用意し、対策レベルの該当選択肢を複数選択可能な「Ｃ」区分として、「(イ)事故の内容の定義が存在する。」「(ロ)事故の緊急度合いの定義が存在する。」が用意され、それぞれ１０ポイントと設定する。したがって、例えば、本調査対象企業において、「(イ)事故の内容の定義が存在する。」が適合しており、「(ロ)事故の緊急度合いの定義が存在する。」ことが無ければ、２０点満点において１０点であり、この「セキュリティの事故を認識しているか」のチェックポイントにおいては、１０／２０％が達成率で得点が１０点である。
なお、各テーブル上での区分の「Ｃ」は複数選択可能なことを、区分「Ｒ」は択一選択であることを意味している。
そして、「セキュリティの事故を認識しているか」についての対策評価の要素を、物理要素の「Ｐ」、人的要素の「Ｈ」、技術的要素の「Ｔ」の三要素のどれかに振り分け、本チェックポイントは「Ｈ」の人的要素に分類する。  
【００１０】
また、同様に、《１》事故管理のチェックテーブルのチェックポイントの「セキュリティ事故への対応方法は明確か・その２」(第４項)については、チェック対象が(1)セキュリティ事故対応マニュアル、(2)インタビュー等があり、調査項目としては「セキュリティ事故への対応手順の妥当性」である。本チェックテーブルの「セキュリティ事故への対応手順の妥当性」では、補足として「セキュリティ事故への対応手順に関し、該当するものはつぎのどれですか？」という質問を用意し、対策レベルの該当選択肢を択一選択な「Ｒ」区分として、「(イ)「セキュリティ事故対応マニュアルには、事故に対する初動対応(応急処置など)が明確にされている。（１０点)」、「(ロ)「セキュリティ事故対応マニュアルには、事故に対する初動対応(応急処置など)の記載がない。（０点）」が用意されている。したがって、例えば、本調査対象企業において、「(イ)「セキュリティ事故対応マニュアルには、事故に対する初動対応(応急処置など)が明確にされている。（１０点)」が選択されれば、１０点満点におい満点の１０点であり、達成率も１００％となる。
【００１１】
そして、「セキュリティ事故への対応方法は明確か・その２」についての対策評価の要素を、「Ｈ」の人的要素に分類する。なお、図２の《１》事故管理のチェックテーブルにおいての対策評価の要素は全て人的要素である「Ｈ」である。
ところで、調査大項目の《１》「事故管理」の対策評価の要素は、全て人的要素である「Ｈ」であるが、図４の《１２》「その他の技術的対策」の対策評価の要素は、全て技術的要素である「Ｔ」であり、図３の《２》「設備ファシリティ」のチェックポイントにおいては、三つの要素に分散している。
すなわち、図３の《２》「設備ファシリティ」のチェックポイントの「管理対象とする設備・ファシリティを把握しているか(４０点満点)」、「主要な施設での活動は明確に定められいるか(１０点満点)」、「入退室管理を行っているか(３０点満点)」、「重要な資産は施錠管理を行っているか(１０点満点)」での対象評価は人的要素に分類され、「重要な施設のセキュリティを物理的に確保しているか(１０点満点)」、「重要な設備を安全な場所に設置しているか(１０点満点)」での対象評価は物理的要素に分類され、「設備の保守を行っているか(１０点満点)」、「技術的なセキュリティを確保しているか(２０点満点)」での対象評価は技術的要素に分類されている。
【００１２】
前述した作業は、図１のフローチャートのステップ１で本発明のプログラムが書き込まれているソフトフェアを電算機に装着すると、ステップ２において電算機の端末画面に前述したチェックポイントのテーブルがデータベースから読み出されて表示され、情報セキュリティマネージメントシステムの分析・診断を行うコンサルタントまたは企業の管理者が、読み出された画面おいて求められるデータを必要箇所に入力し、ステップ３電算機側ではチェックポイント毎の得点を演算手段により算出し記憶する。
次いで、ステップ４に進むが、未検討のチェックポイントがあればステップ２に戻ってデータ入力を行い、チェックポイントの入力データを対策評価のテーブルに予め区分された要素に従い、電算機の振分手段により、自動的に物理要素の「Ｐ」、人的要素の「Ｈ」、技術的要素の「Ｔ」の三要素のどれかに振り分け、ステップ４で全てのチェックポイントのチェックが終了すればステップ５に進むことになる。
本情報セキュリティマネジメントシステムの診断ツールの実施例では、基本的には、情報セキュリティマネジメントを行う上で必ず必要な項目を診断するための(Ａ)「フレームワーク診断」を行うプログラムも組み込まれており、本発明の特徴部分でもある(Ｂ)「対策分野別診断」のプログラムとが併存している。
ステップ５では、診断対象を(Ａ)「フレームワーク診断」とするか、(Ｂ)「対策分野別診断」とするかを振り分ける。
【００１３】
ここで、(Ａ)「フレームワーク診断」を行う場合は、ステップ６に進み電算機の演算手段では各チェックポイント毎の達成率を算出して、８０〜１００％は「高」、４０〜７９％は「中」、０〜３９％は「低」とランク付けし、ステップ７では、ランクが４０〜７９％の「中」と０〜３９％は「低」に該当するチェックポイントを抽出し、ステップ８ではそのチェックポイントに対応する対処方針を電算機に格納されているデータベース、或いは、挿入記憶メデア等のデータファイルから読み出して、文書形式の情報セキュリティマネジメントの診断レポートを文書作成ソフト及び文書作成手段により自動作成するが、この自動作成の診断結果レポートの例がを図５である。
図５の「セキュリティ対策方針レポート」は、図示のように、文書形式のレポートで、文書作成手段では達成率のランクが８０〜１００％の「高」を除いたもので、４０〜７９％は「中」及び０〜３９％は「低」のランク（問題のある対策分野か意識的「高ランク」の必要のない対策分野）のみを抽出手段で自動抽出し、チェックポイントの調査項目と合体し、図５のように文書作成手段により自動編集して、自動的に文書形式の情報セイキュリティーの対策分野別診断結果レポートを作成し、画面端末に表示し、必要に応じて印刷装置で印刷する。
したがって、情報セイキュリティに精通していなくても、数値化したことによりより客観的にどのような部分に脆弱性を有し、その脆弱性に対する対処方針だけを洗い出した診断レポートを作成でき、一目で問題点を把握することが可能となる。したがって、この出力された本情報セキュリティマネジメントシステムの分析や診断の結果を手がかりに、更に、本格的な情報セキュリティの的確な構築対策に進むことができる。
以上の作業が終了すれば、ステップ９で終了するか、ステップ５に戻って(Ｂ)「対策分野別診断」のプロセス移行するを選択する。
【００１４】
次に、(Ｂ)「対策分野別診断」を行う場合はステップ１０に進み、前述したように、チェックポイントのテーブルには、各チェックポイント毎に、物理要素の「Ｐ」、人的要素の「Ｈ」、技術的要素の「Ｔ」の三要素のどれかが付されているが、チェックポイントにデータを入力することにより、入力されたデータとデータベースのテーブルから、物理要素の「Ｐ」、人的要素の「Ｈ」、技術的要素の「Ｔ」を読み込んで振分手段により振り分け、ステップ１１で、物理要素の「Ｐ」、人的要素の「Ｈ」、技術的要素の「Ｔ」の各要素毎を集計手段により集計し、各要素毎の達成率を電算機の演算手段により算出し、８０〜１００％の「高」を「２」、４０〜７９％の「中」を「１」、０〜３９％の「低」を「０」とランク付けする。
これらの結果を図形で一目瞭然に表現するために、本発明の実施例では、図６の対策分野別診断レポートの三角形ベクトルの図に示すように、電算機に収納される三角図形表現手段を駆動して、物理的対策、人的対策、技術的対策を頂点とした三角形を用いた表現手段によって、三要素の関わり度合いを位置関係で表現し、三要素での対策達成率のランクの数値の合計が０を「極小」、１〜２を「小」、３〜４を「中」、５を「大」、６を「極大」として円形の大きさで表現する図形表現手段で表し、前記の位置関係を中心とした円の大きさで表現するような図形表現手段を用いた。この実施例では、要素が「Ｐ」「Ｈ」「Ｔ」の３、ランクが「０」「１」「２」の３であるので、図６の表１に示すようにパタンは２７通りであることから、図形表現ソフトには２７通りの図形のデータをデータベース(ＤＢ）に記憶させ、算出された要素が「物理Ｐ」「Ｈ人」「技術Ｔ」とランクが「０」「１」「２」との組み合わせが、２７通りの内のどれに該当するかを電算機の抽出手段で抽出させる。このようにパターン化するとにより図形表現プログラムは単純化される。
【００１５】
例えば、図７の診断結果と三角図での位置・規模の関係を定義した表１(データーベースのテーブルに格納されいる。)は、２７パターンのデータと図形表現との関係を表にしたものであり、サイズは円の大きさ、位置は図８での円の中心の位置を符号で表したものであり、具体的に説明すれば、得られた結果のデータが、「物理Ｐ＝１」「人Ｈ＝２」「技術Ｔ＝１」であれば、表１のＮｏ２２に該当し、サイズは４の「中」であり、位置は図８での(15)となり、表現ソフトでは、画面端末に図６(a)に示すような表現され、逆に、この図形表現からは、人的要素が中心に対策が施されおり、規模も中程度であることが一目で判断できる。
同様に、得られた結果のデータが、「物理Ｐ＝１」「Ｈ人＝０」「技術Ｔ＝０」であれば、表１のＮｏ２に該当し、サイズは１の「小」であり、位置は図８での(2)となり、表現ソフトでは、図６(ｂ)のように画面端末或いは印刷装置の印刷物として表現され、逆に、この図形表現からは、物理的要素だけが少し対策されていることが一目で判断できる。
同様に、得られた結果のデータが、「物理Ｐ＝２」「Ｈ人＝２」「技術Ｔ＝０」であれば、表１のＮｏ１８に該当し、サイズは４の「中」であり、位置は図８での(5)となり、表現ソフトでは、図６(ｃ)のように画面端末に表現され、逆に、この図形表現からは、物理的と人的要素が中心に対策が施されており、規模も中程度であることが一目で判断できる。
更に、得られた結果のデータが、「物理Ｐ＝２」「Ｈ人＝２」「技術Ｔ＝２」であれば、表１のＮｏ２７に該当し、サイズは６の「極大」であり、位置は図８での(1)となり、表現ソフトでは、図６(ｄ)のように画面端末に表現され、逆に、この図形表現からは、全般的に良く対策が施されていることが一目で判断できる。
【００１６】
また、図１のフローチャートには記載していないが、必要に応じて、三角図に図形レポートを作成する前のデータをステップ１１で電算機の文書作成手段により文書形式の診断レートとして、図９に示すように、情報セイキュリティーの各分野における対策バランスを作成し、画面端末に表示し、この画面を文書形式の診断レートとして必要に応じて印刷する。
レポートでは、図５に示した図形のレポートよりは具体的に、企業等の情報セキュリティマネージメントの全般に亘っての管理状態や情報セイキュリティの状態を、特に脆弱性のある分野について文書作成手段により文章形式の診断レポートとして出力できる。また、この出力された診断ツールの分析や診断を手がかりに、更に本格的な対策に進めば良い。
【００１７】
このように、本発明の実施例では、各情報セキュリティマネージメントのデータベースを保有する電算機とそれに用いるソフトウェアによって、各情報セキュリティマネージメントを管理する分析・診断ツールを用い、対象となる情報セキュリティマネージメントについて複数のチェックポイントを数値化する予め用意されたテーブルを用意し、管理者が各チェックポイントの対策評価を入力することによって用意された各チェックポイントの評価をなるべく客観性を持たせるために数値化しするとともに、入力されたデータの各チェックポイントの対策評価を振分手段により物理的要素、人的要素、技術的要素の三要素に振り分け、各チェックポイントの対策評価を数値化した結果から演算手段により達成率を算出してランク付けし、これらのデータを表示手段により前記三要素の関わり度合いを三角形を用いた図形の図形表現手段により位置関係で表現し、達成率の大きさを三角形の位置関係を中心とした円の大きさで画面端末や印刷出力に表現したものである。
そのため、各企業・団体における現状の情報セキュリティマネジメントの状態を、物理、人、技術の要素(分野）にテーブルに基づいて自動的に振り分け、全体の状況をベクトル(方向性、大きさ、軸)を三角形の図を用いて表現したので、情報セキュリティに精通していない者であっても、より客観的で的確に妥当性のある問題点等を把握できる。
また、この出力された本情報セキュリティマネジメントシステムの分析・診断ツールの診断を手がかりに、更に本格的な対策に進むことができる。
【００１８】
なお、本発明の特徴を損なうものでなければ、上記の実施例に限定されないことは勿論であり、例えば、本実施例の図形作成手段では、予め２７パターン(表１)の図形を用意したが、与えられデータから、自動的に図形を描くソフトを利用しても良く、ランク付けも更に細かく５段階のランク付けにして表示しても、あるいは、それ以上の段階のランク付けにしても良い。
【図面の簡単な説明】
【００１９】
【図１】本発明の実施例の操作手順を示すフローチャートの図、
【図２】本発明の実施例の事故管理のチェックテーブルの図、
【図３】本発明の実施例の設備ファシリティのチェックテーブルの図、
【図４】本発明の実施例のその他の技術的対策のチェックテーブルの図、
【図５】文書形式の情報セキュリティの対策分野別診断結果レポートの図、
【図６】本発明の実施例の対策分野別診断レポートの三角形のベクトル図、
【図７】本発明の実施例の診断結果と三角図での位置・規模の関係を定義した表１の図、
【図８】本発明の実施例の表１の位置を三角図に示した図、
【図９】情報セキュリティの各分野における対策バランスの文書形式の診断レポートの図である。
【図１】
2006185196.tif 000003
【図２】
2006185196.tif 000004
【図３】
2006185196.tif 000005
【図４】
2006185196.tif 000006
【図５】
2006185196.tif 000007
【図６】
2006185196.tif 000008
【図７】
2006185196.tif 000009
【図８】
2006185196.tif 000010
【図９】
2006185196.tif 000011