(57)【要約】【課題】対象システムを構成する各コンポーネントのリスクの大きさに見合った適切な保証レベルを導出する。【解決手段】脅威−コンポーネント対応関係テーブル１２５とリスク値テーブル１２６とコンポーネント寄与率テーブル１２７とリスク−保証レベル対応関係テーブル１２８との各間において、互いの重複項目に基づき各テーブルの連係関係を特定するテーブル連結利用部１１０と、前記各テーブルの連係関係に基づき脅威のリスク値をコンポーネント寄与率により重み付けすることでコンポーネントが備えるセキュリティ機能が対抗する脅威のリスク値に見合った各コンポーネントの保証レベルを導出するコンポーネント保証レベル導出部１１１とから、設計・評価支援ツール１００を構成する。【選択図】図１
2006331383.tif 000002
【特許請求の範囲】
【請求項１】
情報処理装置上で動作し、１つ以上のコンポーネントから構成される対象システムの各コンポーネントについて、セキュリティに関する保証レベルを導出するツールであって、
前記対象システムが想定する脅威とコンポーネントが備えるセキュリティ機能との対応関係が格納された、脅威−コンポーネント対応関係テーブルと、
前記各脅威のリスクの大きさを示すリスク値の情報が格納された、リスク値テーブルと、
前記各脅威に対抗するコンポーネントが備えるセキュリティ機能の効果の大きさに関する情報が格納された、コンポーネント寄与率テーブルと、
リスク値とこれに応じて要求される保証レベルの対応関係が格納された、リスク−保証レベル対応関係テーブルと、
前記脅威−コンポーネント対応関係テーブルと、前記リスク値テーブルと、前記コンポーネント寄与率テーブルと、前記リスク−保証レベル対応関係テーブルとの各間において、互いの重複項目に基づき、前記各テーブルの連係関係を特定する、テーブル連結利用部と、
前記各テーブルの連係関係に基づき、前記脅威のリスク値をコンポーネント寄与率により重み付けすることで、コンポーネントが備えるセキュリティ機能が対抗する脅威のリスク値に見合った各コンポーネントの保証レベルを導出する、コンポーネント保証レベル導出部と、
を備えることを特徴とするシステムセキュリティ設計・評価支援ツール。
【請求項２】
請求項１において、
前記脅威に対応するセキュリティ目標の寄与率を格納したテーブルと、前記セキュリティ目標に対応するセキュリティ機能要件の寄与率を格納したテーブルと、前記セキュリティ機能要件とコンポーネントが備えるセキュリティ機能との対応関係を格納したテーブルとの各間において、互いの重複項目に基づき前記各テーブルの連係関係を特定し、前記コンポーネントが備えるセキュリティ機能のセキュリティ機能要件が担うセキュリティ目標の寄与率を脅威毎に特定することで前記コンポーネント寄与率を算出する、寄与率算出部を備えることを特徴とするシステムセキュリティ設計・評価支援ツール。
【請求項３】
請求項１または２において、
前記コンポーネント保証レベル導出部は、
前記脅威−コンポーネント対応関係テーブルを用いて、コンポーネントに対応する脅威群を特定し、
前記リスク値テーブルを用いて、前記脅威群に含まれる全脅威のリスク値の和をコンポーネントの対抗リスク値として算出し、
前記対抗リスク値を前記リスク−保証レベル対応関係テーブルに照合し、コンポーネントの要求保証レベルを導出するものであることを特徴とするシステムセキュリティ設計・評価支援ツール。
【請求項４】
請求項１または２において、
前記コンポーネント保証レベル導出部は、
前記脅威−コンポーネント対応関係テーブルを用いて、コンポーネントに対応する脅威群を特定し、
前記リスク値テーブルと前記コンポーネント寄与率テーブルとを用い、前記脅威群について、各脅威のリスク値と対応するコンポーネント寄与率とを掛け合わせた値の和をコンポーネントの対抗リスク値として算出し、
前記対抗リスク値を前記リスク−保証レベル対応関係テーブルに照合し、コンポーネントの要求保証レベルを導出するものであることを特徴とするシステムセキュリティ設計・評価支援ツール。
【請求項５】
請求項１〜３のいずれかにおいて、
前記コンポーネント保証レベル導出部は、
前記脅威−コンポーネント対応関係テーブルを用いて、コンポーネントに対応する脅威群を特定し、
前記リスク値テーブルを用いて、前記脅威群に含まれる全脅威のリスク値の最大値をコンポーネントの最低対抗リスク値として算出し、
前記最低対抗リスク値を前記リスク−保証レベル対応関係テーブルに照合し、コンポーネントの最低保証レベルを導出するものであることを特徴とするシステムセキュリティ設計・評価支援ツール。
【請求項６】
請求項１、２、および４のいずれかにおいて、
前記コンポーネント保証レベル導出部は、
前記脅威−コンポーネント対応関係テーブルを用いて、コンポーネントに対応する脅威群を特定し、
前記リスク値テーブルと前記コンポーネント寄与率テーブルとを用いて、前記脅威群について、各脅威のリスク値と対応するコンポーネント寄与率を掛け合わせた値を算出し、算出した値の最大値を、コンポーネントの最低対抗リスク値として算出し、
前記最低対抗リスク値を前記リスク−保証レベル対応関係テーブルに照合し、コンポーネントの最低保証レベルを導出するものであることを特徴とするシステムセキュリティ設計・評価支援ツール。
【請求項７】
請求項１〜３、および５のいずれかにおいて、
前記コンポーネント保証レベル導出部は、
前記脅威−コンポーネント対応関係テーブルを用いて、コンポーネントに対応する脅威群を特定し、
前記リスク値テーブルを用いて、前記脅威群に含まれる全脅威のリスク値の最小値をコンポーネントの最低対抗リスク値として算出し、
前記最低対抗リスク値を前記リスク−保証レベル対応関係テーブルに照合し、コンポーネントの最低保証レベルを導出するものであることを特徴とするシステムセキュリティ設計・評価支援ツール。
【請求項８】
請求項１、２、４および６のいずれかにおいて、
前記コンポーネント保証レベル導出部は、
前記脅威−コンポーネント対応関係テーブルを用いて、コンポーネントに対応する脅威群を特定し、
前記リスク値テーブルと前記コンポーネント寄与率テーブルとを用いて、前記脅威群について、各脅威のリスク値と対応するコンポーネント寄与率を掛け合わせた値を算出し、算出した値の最小値を、コンポーネントの最低対抗リスク値として算出し、
前記最低対抗リスク値を前記リスク−保証レベル対応関係テーブルに照合し、コンポーネントの最低保証レベルを導出するものであることを特徴とするシステムセキュリティ設計・評価支援ツール。
【請求項９】
情報処理装置上で動作し、１つ以上のコンポーネントから構成される対象システムについて、１つ以上の候補製品の中から、最適な製品組合せおよびいずれの製品がシステムが満たすべきセキュリティ機能要件を担当するかを導出するツールであって、
前記対象システムが想定する脅威とシステムが満たすべきセキュリティ機能要件との対応関係が格納された、脅威−機能要件対応関係テーブルと、
前記各脅威のリスクの大きさを示すリスク値の情報が格納された、リスク値テーブルと、
前記各候補製品とその候補製品が備えるセキュリティ機能要件との対応関係が格納された、機能要件−製品対応関係テーブルと、
前記各候補製品の保証レベルが格納された、製品保証レベルテーブルと、
前記各脅威に対抗するセキュリティ機能要件の効果の大きさに関する情報が格納された、機能要件寄与率テーブルと、
リスク値とこれに応じて要求される保証レベルの対応関係が格納された、リスク−保証レベル対応関係テーブルと、
前記脅威−機能要件対応関係テーブルと、前記リスク値テーブルと、前記機能要件−製品対応関係テーブルと、前記製品保証レベルテーブルと、前記機能要件寄与率テーブルと、前記リスク−保証レベル対応関係テーブルとの各間において、互いの重複項目に基づき、前記各テーブルの連係関係を特定する、テーブル連結利用部と、
前記各テーブルの連係関係に基づき、対象システムが満たすべきセキュリティ機能要件を満足する１つ以上の候補製品からなる製品組合せ候補を作成し、前記作成した前記各製品組合せ候補について、当該製品組合せ候補のいずれかの製品が対象システムにおいて満たすべきセキュリティ機能要件を担当する場合の１つ以上の担当パターンを作成し、前記作成した全製品組合せ候補の全担当パターン毎に、前記各テーブルの連係関係に基づき、前記各脅威に対抗するセキュリティ機能要件の効果の大きさに関する当該製品組合せ候補の各製品のコンポーネント寄与率を算出し、前記脅威のリスク値をコンポーネント寄与率により重み付けすることで、セキュリティ機能が対抗する脅威のリスク値に見合った各製品に要求する保証レベルを導出するコンポーネント保証レベル導出部と、
前記作成した全製品組合せ候補の全担当パターン毎に、前記各製品に要求する保証レベルと、製品保証レベルテーブルを参照することで特定した当該製品組合せ候補の各製品の保証レベルとの大小関係をそれぞれ比較することで保証適合度を導出する保証適合度導出部と、
前記保証適合度が最適となる前記製品組合せ候補の担当パターンを、最適製品組合せとして特定し、いずれの製品が対象システムが満たすべきセキュリティ機能要件を担当するかを特定する最適製品組合せ決定部と、  
を備えることを特徴とするシステムセキュリティ設計支援ツール。
【請求項１０】
請求項９において、
前記脅威に対応するセキュリティ目標の寄与率を格納したテーブルと、前記セキュリティ目標に対応するセキュリティ機能要件の寄与率を格納したテーブルとの各間において、互いの重複項目に基づき前記各テーブルの連係関係を特定し、前記セキュリティ機能要件が担うセキュリティ目標の寄与率を脅威毎に特定することで前記機能要件寄与率を算出する、寄与率算出部を備えることを特徴とするシステムセキュリティ設計支援ツール。
【請求項１１】
請求項９または１０において、
前記コンポーネント保証レベル導出部は、
前記各製品組合せ候補の各担当パターンについて、前記脅威−機能要件対応関係テーブルと、前記機能要件−製品対応関係テーブルとを用いて、各コンポーネントに対応する脅威群を特定し、
前記リスク値テーブルを用いて、前記脅威群に含まれる全脅威のリスク値の和をコンポーネントの対抗リスク値として算出し、
前記対抗リスク値を前記リスク−保証レベル対応関係テーブルに照合し、コンポーネントの要求保証レベルを導出するものであることを特徴とするシステムセキュリティ設計支援ツール。
【請求項１２】
請求項９または１０において、
前記コンポーネント保証レベル導出部は、
前記各製品組合せ候補の各担当パターンについて、前記脅威−機能要件対応関係テーブルと、前記機能要件−製品対応関係テーブルとを用いて、各コンポーネントに対応する脅威群を特定し、
前記リスク値テーブルと前記算出したコンポーネント寄与率とを用い、前記脅威群について、各脅威のリスク値と対応するコンポーネント寄与率とを掛け合わせた値の和をコンポーネントの対抗リスク値として算出し、
前記対抗リスク値を前記リスク−保証レベル対応関係テーブルに照合し、コンポーネントの要求保証レベルを導出するものであることを特徴とするシステムセキュリティ設計支援ツール。
【請求項１３】
請求項９〜１１のいずれかにおいて、
前記コンポーネント保証レベル導出部は、
前記各製品組合せ候補の各担当パターンについて、前記脅威−機能要件対応関係テーブルと、前記機能要件−製品対応関係テーブルとを用いて、各コンポーネントに対応する脅威群を特定し、
前記リスク値テーブルを用いて、前記脅威群に含まれる全脅威のリスク値の最大値をコンポーネントの最低対抗リスク値として算出し、
前記最低対抗リスク値を前記リスク−保証レベル対応関係テーブルに照合し、コンポーネントの最低保証レベルを導出するものであることを特徴とするシステムセキュリティ設計支援ツール。
【請求項１４】
請求項９、１０、および１２のいずれかにおいて、
前記コンポーネント保証レベル導出部は、
前記各製品組合せ候補の各担当パターンについて、前記脅威−機能要件対応関係テーブルと、前記機能要件−製品対応関係テーブルと、を用いて、各コンポーネントに対応する脅威群を特定し、
前記リスク値テーブルと前記算出したコンポーネント寄与率とを用いて、前記脅威群について、各脅威のリスク値と対応するコンポーネント寄与率とを掛け合わせた値を算出し、算出した値の最大値を、コンポーネントの最低対抗リスク値として算出し、
前記最低対抗リスク値を前記リスク−保証レベル対応関係テーブルに照合し、コンポーネントの最低保証レベルを導出するものであることを特徴とするシステムセキュリティ設計支援ツール。
【請求項１５】
請求項９〜１１、および１３のいずれかにおいて、
前記コンポーネント保証レベル導出部は、
前記各製品組合せ候補の各担当パターンについて、前記脅威−機能要件対応関係テーブルと、前記機能要件−製品対応関係テーブルと、を用いて、各コンポーネントに対応する脅威群を特定し、
前記リスク値テーブルを用いて、前記脅威群に含まれる全脅威のリスク値の最小値をコンポーネントの最低対抗リスク値として算出し、
前記最低対抗リスク値を前記リスク−保証レベル対応関係テーブルに照合し、コンポーネントの最低保証レベルを導出するものであることを特徴とするシステムセキュリティ設計支援ツール。
【請求項１６】
請求項９、１０、１１および１４のいずれかにおいて、
前記コンポーネント保証レベル導出部は、
前記各製品組合せ候補の各担当パターンについて、前記脅威−機能要件対応関係テーブルと、前記機能要件−製品対応関係テーブルと、を用いて、各コンポーネントに対応する脅威群を特定し、
前記リスク値テーブルと前記算出したコンポーネント寄与率とを用いて、前記脅威群について、各脅威のリスク値と対応するコンポーネント寄与率とを掛け合わせた値を算出し、算出した値の最小値を、コンポーネントの最低対抗リスク値として算出し、
前記最低対抗リスク値を前記リスク−保証レベル対応関係テーブルに照合し、コンポーネントの最低保証レベルを導出するものであることを特徴とするシステムセキュリティ設計支援ツール。
【請求項１７】
請求項９〜１６のいずれかにおいて、
前記最適製品組合せ決定部は、
前記各製品組合せ候補の各担当パターンについて、前記各製品に対する利用者の満足度と、前記機能要件と当該製品の関連度とが格納された機能達成度算出用テーブルを用いて、各機能要件の機能達成度を算出し、
前記算出した機能達成度とシステムが満たすべき各機能要件の重要度とのそれぞれの差分の絶対値の平均値をとることで、機能適合度を導出し、
前記各製品組合せ候補の各担当パターンについて、前記機能適合度と前記保証適合度に対して、セキュリティ機能面と保証面のどちらをどの程度重視するかの度合いを掛け合わせた値の和を組合せ適合度として算出し、
前記組合せ適合度が最適となる前記製品組合せ候補の担当パターンを、最適製品組合せとして特定し、いずれの製品がシステムが満たすべきセキュリティ機能要件を担当するかを特定するものであることを特徴とするシステムセキュリティ設計支援ツール。
【請求項１８】
請求項１７において、
前記最適製品組合せ決定部は、
前記各製品組合せ候補の各担当パターンについて、各製品の導入にかかるコストが格納された製品コストテーブルを参照することで、各製品組合せ候補の導入にかかるコストの和を取ることで総導入コストを導出し、  
前記各製品組合せ候補の各担当パターンについて、前記機能適合度と前記保証適合度と前記総導入コストに対して、セキュリティ機能面、保証面およびコストのいずれをどの程度重視するかの度合いを掛け合わせた値の和を組合せ適合度として算出するものであることを特徴とするシステムセキュリティ設計支援ツール。
【請求項１９】
情報処理装置上で動作し、１つ以上のコンポーネントから構成される対象システムの各コンポーネントについて、セキュリティに関する保証レベルを導出する方法であって、
前記対象システムが想定する脅威とコンポーネントが備えるセキュリティ機能との対応関係が格納された、脅威−コンポーネント対応関係テーブルと、
前記各脅威のリスクの大きさを示すリスク値の情報が格納された、リスク値テーブルと、
前記各脅威に対抗するコンポーネントが備えるセキュリティ機能の効果の大きさに関する情報が格納された、コンポーネント寄与率テーブルと、
リスク値とこれに応じて要求される保証レベルの対応関係が格納された、リスク−保証レベル対応関係テーブルとを利用して、
前記テーブル各間において、互いの重複項目に基づき、前記各テーブルの連係関係を特定し、
前記各テーブルの連係関係に基づき、前記脅威のリスク値をコンポーネント寄与率により重み付けすることで、コンポーネントが備えるセキュリティ機能が対抗する脅威のリスク値に見合った各コンポーネントの保証レベルを導出する、ことを特徴とするシステムセキュリティ設計・評価支援方法。
【請求項２０】
情報処理装置上で動作し、１つ以上のコンポーネントから構成される対象システムの各コンポーネントについて、セキュリティに関する保証レベルの導出方法をコンピュータに実行させるためのプログラムであって、
前記対象システムが想定する脅威とコンポーネントが備えるセキュリティ機能との対応関係が格納された、脅威−コンポーネント対応関係テーブルと、
前記各脅威のリスクの大きさを示すリスク値の情報が格納された、リスク値テーブルと、
前記各脅威に対抗するコンポーネントが備えるセキュリティ機能の効果の大きさに関する情報が格納された、コンポーネント寄与率テーブルと、
リスク値とこれに応じて要求される保証レベルの対応関係が格納された、リスク−保証レベル対応関係テーブルとを利用して、
前記テーブル各間において、互いの重複項目に基づき、前記各テーブルの連係関係を特定するステップと、
前記各テーブルの連係関係に基づき、前記脅威のリスク値をコンポーネント寄与率により重み付けすることで、コンポーネントが備えるセキュリティ機能が対抗する脅威のリスク値に見合った各コンポーネントの保証レベルを導出するステップと、
を備えることを特徴とするシステムセキュリティ設計・評価支援プログラム。
【請求項２１】
情報処理装置上で動作し、１つ以上のコンポーネントから構成される対象システムについて、１つ以上の候補製品の中から、最適な製品組合せおよびいずれの製品がシステムが満たすべきセキュリティ機能要件を担当するかを導出する方法であって、
前記対象システムが想定する脅威とシステムが満たすべきセキュリティ機能要件との対応関係が格納された、脅威−機能要件対応関係テーブルと、
前記各脅威のリスクの大きさを示すリスク値の情報が格納された、リスク値テーブルと、
前記各候補製品とその候補製品が備えるセキュリティ機能要件との対応関係が格納された、機能要件−製品対応関係テーブルと、
前記各候補製品の保証レベルが格納された、製品保証レベルテーブルと、
前記各脅威に対抗するセキュリティ機能要件の効果の大きさに関する情報が格納された、機能要件寄与率テーブルと、
リスク値とこれに応じて要求される保証レベルの対応関係が格納された、リスク−保証レベル対応関係テーブルとを利用して、
前記脅威−機能要件対応関係テーブルと、前記リスク値テーブルと、前記機能要件−製品対応関係テーブルと、前記製品保証レベルテーブルと、前記機能要件寄与率テーブルと、前記リスク−保証レベル対応関係テーブルとの各間において、互いの重複項目に基づき、前記各テーブルの連係関係を特定し、
前記各テーブルの連係関係に基づき、対象システムが満たすべきセキュリティ機能要件を満足する製品組合せ候補を作成し、
作成した前記各製品組合せ候補について、当該製品組合せ候補のいずれかの製品が対象システムが満たすべきセキュリティ機能要件を担当する場合の１つ以上の担当パターンを作成し、
前記作成した全製品組合せ候補の全担当パターン毎に、前記各テーブルの連係関係に基づき、前記各脅威に対抗するセキュリティ機能要件の効果の大きさに関する当該製品組合せ候補の各製品のコンポーネント寄与率を算出し、前記脅威のリスク値をコンポーネント寄与率により重み付けすることで、セキュリティ機能が対抗する脅威のリスク値に見合った各製品に要求する保証レベルを導出し、
前記作成した全製品組合せ候補の全担当パターン毎に、前記各製品に要求する保証レベルと、製品保証レベルテーブルを参照することで特定した当該製品組合せ候補の各製品の保証レベルとの大小関係をそれぞれ比較することで保証適合度を導出し、
前記保証適合度が最適となる前記製品組合せ候補の担当パターンを、最適製品組合せとして特定し、いずれの製品が対象システムが満たすべきセキュリティ機能要件を担当するかを特定する、  
ことを特徴とするシステムセキュリティ設計支援方法。
【請求項２２】
情報処理装置上で動作し、１つ以上のコンポーネントから構成される対象システムについて、１つ以上の候補製品の中から、最適な製品組合せおよびいずれの製品がシステムが満たすべきセキュリティ機能要件を担当するかを導出する方法をコンピュータに実行させるためのプログラムであって、
前記対象システムが想定する脅威とシステムが満たすべきセキュリティ機能要件との対応関係が格納された、脅威−機能要件対応関係テーブルと、
前記各脅威のリスクの大きさを示すリスク値の情報が格納された、リスク値テーブルと、
前記各候補製品とその候補製品が備えるセキュリティ機能要件との対応関係が格納された、機能要件−製品対応関係テーブルと、
前記各候補製品の保証レベルが格納された、製品保証レベルテーブルと、
前記各脅威に対抗するセキュリティ機能要件の効果の大きさに関する情報が格納された、機能要件寄与率テーブルと、
リスク値とこれに応じて要求される保証レベルの対応関係が格納された、リスク−保証レベル対応関係テーブルとを利用して、
前記脅威−機能要件対応関係テーブルと、前記リスク値テーブルと、前記機能要件−製品対応関係テーブルと、前記製品保証レベルテーブルと、前記機能要件寄与率テーブルと、前記リスク−保証レベル対応関係テーブルとの各間において、互いの重複項目に基づき、前記各テーブルの連係関係を特定するステップと、
前記各テーブルの連係関係に基づき、対象システムが満たすべきセキュリティ機能要件を満足する製品組合せ候補を作成し、作成した前記各製品組合せ候補について、当該製品組合せ候補のいずれかの製品が対象システムが満たすべきセキュリティ機能要件を担当する場合の１つ以上の担当パターンを作成し、前記作成した全製品組合せ候補の全担当パターン毎に、前記各テーブルの連係関係に基づき、前記各脅威に対抗するセキュリティ機能要件の効果の大きさに関する当該製品組合せ候補の各製品のコンポーネント寄与率を算出し、前記脅威のリスク値をコンポーネント寄与率により重み付けすることで、セキュリティ機能が対抗する脅威のリスク値に見合った各製品に要求する保証レベルを導出するステップと、
前記作成した全製品組合せ候補の全担当パターン毎に、前記各製品に要求する保証レベルと、製品保証レベルテーブルを参照することで特定した当該製品組合せ候補の各製品の保証レベルとの大小関係をそれぞれ比較することで保証適合度を導出するステップと、
前記保証適合度が最適となる前記製品組合せ候補の担当パターンを、最適製品組合せとして特定し、いずれの製品が対象システムが満たすべきセキュリティ機能要件を担当するかを特定するステップと、  
を備えることを特徴とするシステムセキュリティ設計支援プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、システムセキュリティ設計・評価支援ツール、システムセキュリティ設計・評価支援方法、およびシステムセキュリティ設計・評価支援プログラムに関し、特に、情報システムの設計や評価段階において、システムのセキュリティ設計や評価を支援する技術のうち、特にセキュリティ保証の観点から、システムを構成するコンポーネント（製品、新規開発部）の適切な保証レベルを導出する技術に関する。また、情報システムの設計段階において、機能要件を満たし、コストを押さえつつ、適切な保証レベルである製品を導出する技術に関する。
【背景技術】
【０００２】
近年、セキュリティ対策を目的とした様々な機能を備えたＩＴ製品が、各ベンダーより多数提供されてきており、それらのＩＴ製品の中には、セキュリティ機能の設計・評価に関する基準である国際セキュリティ評価基準ＩＳＯ／ＩＥＣ  １５４０８（ＣＣ：Ｃｏｍｍｏｎ  Ｃｒｉｔｅｒｉａ）において、セキュリティ評価・認証済みのものも年々増加してきている。
【０００３】
前記ＩＳＯ１５４０８におけるセキュリティ評価とは、評価対象（ＩＴ製品、システム）にて規定したセキュリティ目標を満たすセキュリティ機能が備わっていることと共に、そのセキュリティ機能が確実に実装されていることを検証することを指す。ＩＳＯ１５４０８では、この検証の範囲と深さと厳密さを表す７段階のＥＡＬ（Ｅｖａｌｕａｔｉｏｎ  Ａｓｓｕｒａｎｃｅ  Ｌｅｖｅｌ：評価保証レベル）（以下、単に保証レベルと呼ぶ）を規定しており、より高い保証レベルの認証を取得するためには。より広い範囲を深くまで厳密に検査を行う必要があり、セキュリティ評価にかかる時間やコストもこれに応じて大きなものとなる。
【０００４】
ここで、ＩＳＯ１５４０８においては、この保証レベルを設定する方法が明確に規定されているわけではなく、ＩＴ製品の場合では業界の標準となるレベルを参考に設定する場合や、その製品の使用用途を考慮して、開発者自身が設定する場合などが一般的である。
【０００５】
一方、システムの場合では、一般に既存のＩＴ製品の組合せ及び新規開発部等の構成要素（以下、コンポーネントと呼ぶ）からなり、コンポーネントとなるＩＴ製品や新規開発部の保証レベルもまちまちであり、評価・認証されていないＩＴ製品が含まれる場合もある。システムの設計・評価を行う上では、システムに想定される脅威に対抗するセキュリティ機能が備わったコンポーネントの組合せにより構成することはもちろんのこと、適切な保証レベルの製品が導入され、新規開発部についても適切な保証レベルで検証されていることを確認することが望ましい。
【０００６】
上記のＩＴ製品やシステムの保証レベルの設定方法の一例として、評価対象の脆弱性の大きさ、評価対象を使用するユーザの信頼性、脅威によって評価対象を管理する組織が被る影響、のそれぞれについて高・中・低等にランク分けし、これらのランクからリスクの大きさを求め、求めたリスクの大きさに見合った保証レベルを簡易に設定する従来技術が提案されている（非特許文献１参照）。また、システムを構成する各コンポーネントの保証レベルについても、脅威のリスクが高くなる要因（保護対象の資産価値が高く、脅威の発生可能性が大きい等）があるコンポーネントには、より高い保証レベルを要求すべきであるという考え方が、従来より示されている（非特許文献２参照）。
【０００７】
また、一般にシステムのセキュリティ設計・構築を行う場合は、これらＩＴ製品の中から対象システムの目的に合った適切なセキュリティ機能を備え、コストを抑えつつ、適切な保証レベルのＩＴ製品を選択もしくは複数のＩＴ製品を組み合わせて選択することで、設計・構築を行った方が、一から全ての機能を新規開発するよりも、リーズナブルである。
【０００８】
上記システムのセキュリティ設計・構築において、システムに適したＩＴ製品の選択・組合せを行う方法の一例として、セキュリティ機能面およびコストの観点から、最適なＩＴ製品の組合せを選択する手法が提案されている（非特許文献３参照）。この手法は、システムが満たすべきセキュリティ機能要件（または、セキュリティ対策目標）の重要度と、ＩＴ製品の満足度、およびシステムに要求されるセキュリティ機能要件とＩＴ製品の機能との関連度を設定し、ファジィ合成演算に基づいて、多種多様なＩＴ製品選択の中から、コスト（ＩＴ製品の導入・設定・運用等にかかる金額、および導入・設定にかかる時間等）を許容範囲内とする制約条件の下、システムが満たすべき要件に対し機能的な適合度を最大にする、ＩＴ製品の組合せを導出する方法である。
【０００９】
また、システムの構成候補を決定する方法の一例として、システムの信頼性と設備コストとの両方を考慮して、システムの構成候補の中から、低コストで高信頼となる最適な構成を決定する方法が提案されている（特許文献１参照）。
【非特許文献１】Ｄｅｐａｒｔｍｅｎｔ  ｏｆ  Ｔｒａｄｅ  ａｎｄ  Ｉｎｄｕｓｔｒｙ、"ＩＮＦＯＲＭＡＴＩＯＮ  ＳＥＣＵＲＩＴＹ  ＡＳＳＵＲＡＮＣＥ  ＧＵＩＤＥＬＩＮＥＳ  ＦＯＲ  ＴＨＥ  ＣＯＭＭＥＲＣＩＡＬ  ＳＥＣＴＯＲ"、［ｏｎｌｉｎｅ］、２０００年１１月、［２００４年１１月１日検索］、インターネット＜ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｄｔｉ．ｇｏｖ．ｕｋ／ｉｎｄｕｓｔｒｙ＿ｆｉｌｅｓ／ｐｄｆ／ｃａｇ１．ｐｄｆ＞
【非特許文献２】"ＩＳＯ／ＩＥＣ  ＴＲ  １５４４６「Ｇｕｉｄｅ  ｆｏｒ  ｔｈｅ  Ｐｒｏｄｕｃｔｉｏｎ  ｏｆ  ＰＰｓ  ａｎｄ  ＳＴｓ、  Ｖｅｒｓｉｏｎ０．９３  ２００２−１０−２０（Ｗｏｒｋｉｎｇ  Ｄｒａｆｔ  Ｎ３３７４）" ［ｏｎｌｉｎｅ］、２００２年１０月、［２００５年６月３０日検索］、インターネット＜ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｉｐａ．ｇｏ．ｊｐ／ｓｅｃｕｒｉｔｙ／ｊｉｓｅｃ／ｄｏｃｕｍｅｎｔｓ／２７ｎ３３７４ｐｐｓｔｇｕｉｄｅ＿ｖ０９３．ｐｄｆ＞
【非特許文献３】永井康彦、外３名、「機能的適合性を考慮した情報システムのセキュリティ基本設計法の提案」、情報処理学会論文誌、Ｖｏｌ．４５、Ｎｏ．４、２００４年４月、Ｐ．１１６３〜１１７５
【特許文献１】特開２００２−３４１５１号公報
【発明の開示】
【発明が解決しようとする課題】
【００１０】
例えば従来技術（非特許文献１）をシステムに適用した場合、システムのコンポーネント単位で、リスクの大きさを求めることが難しい。なぜなら、コンポーネントが、システム中のどの資産の保護にどの程度役立つのかが明確でなければ、「管理組織が被る影響」をランク分けすることが困難であるためである。非特許文献１に示される方法は、簡易に定性的なリスクの大きさを求める方法であり、これらを考慮した手順にはなっておらず、コンポーネント毎のリスクの大きさに見合った適切な保証レベルの設定をすることが出来ない。非特許文献２においても、コンポーネント毎のリスクの大きさに見合った適切な保証レベルを設定するべきとの考え方を述べているに過ぎず、具体的な設定方法を言及しているわけではない。
【００１１】
上記コンポーネント毎に適切な保証レベルの設定が出来ないため、システム全体に対して、リスクの高い部分に合わせて一律に高い保証レベルを設定した場合は、あるコンポーネントに対しては必要以上の保証レベルを要求してしまうことで、設計・評価にかかるコスト（金額・時間等）が増大する可能性が高く、そのコンポーネントに要求された以上の高い保証レベルを持つ既存のＩＴ製品の絶対数が減ることで、製品選択の幅も狭まってしまう。また、逆にリスクの低い部分に合わせて一律に低い保証レベルを設定してしまうと、適切な保証レベルに満たないコンポーネントが発生してしまう可能性がある。
【００１２】
また、システムのセキュリティ設計時においては、従来技術（非特許文献３）を用いることで、セキュリティ機能面及びコストの観点での選択基準により、多数のＩＴ製品候補の中から機能的およびコストの観点で最適なものの一つを選択もしくは複数を組み合わせて選択することは可能である。しかし、ＩＳＯ１５４０８のセキュリティ評価・認証済みのＩＴ製品が増加してきたのに伴い、セキュリティ保証の観点も加味して、適切な保証レベルのＩＴ製品を組み合わせて選択することが望まれてきた情勢に対し、従来技術（非特許文献３）においては、選択基準としてセキュリティ保証の観点については、もともと対象としておらず、セキュリティ保証の観点を加味した最適なＩＴ製品の組合せを選択することは出来ない。また、システムの各コンポーネントが対抗するリスクの大きさに見合った保証レベルを設定することが困難なため、上記セキュリティ保証の観点を加味した最適化問題を解くための、目標関数または制約条件の定式化を行うことも難しい。
【００１３】
また、従来技術（特許文献１）をシステムセキュリティ設計・評価へ応用し、システムの信頼性の代わりにセキュリティ保証の観点を導入することを考えても、特許文献１では、システムの信頼性（保証レベル）をコンポーネント単位で求める方法が示されておらず、セキュリティ保証の観点を加えた最適な製品組合せを導出することは困難である。
【００１４】
本発明の目的は、対象システムを構成する各コンポーネントのリスクの大きさに見合った適切な保証レベルを導出する、システムセキュリティ設計・評価支援ツール、システムセキュリティ設計・評価支援方法およびシステムセキュリティ設計・評価支援プログラムを提供することである。
【００１５】
また、本発明の別の目的は、対象システムを構成する各コンポーネントのリスクの大きさに見合った適切な保証レベルの製品または製品組合せを導出する、システムセキュリティ設計・評価支援ツール、システムセキュリティ設計・評価支援方法およびシステムセキュリティ設計・評価支援プログラムを提供することである。
【課題を解決するための手段】
【００１６】
上記課題を解決する本発明のシステムセキュリティ設計・評価支援ツールは、情報処理装置上で動作し、１つ以上のコンポーネントから構成される対象システムの各コンポーネントについて、セキュリティに関する保証レベルを導出するツールであって、前記対象システムが想定する脅威とコンポーネントが備えるセキュリティ機能との対応関係が格納された、脅威−コンポーネント対応関係テーブルと、前記各脅威のリスクの大きさを示すリスク値の情報が格納された、リスク値テーブルと、前記各脅威に対抗するコンポーネントが備えるセキュリティ機能の効果の大きさに関する情報が格納された、コンポーネント寄与率テーブルと、リスク値とこれに応じて要求される保証レベルの対応関係が格納された、リスク−保証レベル対応関係テーブルと、前記脅威−コンポーネント対応関係テーブルと、前記リスク値テーブルと、前記コンポーネント寄与率テーブルと、前記リスク−保証レベル対応関係テーブルとの各間において、互いの重複項目に基づき、前記各テーブルの連係関係を特定する、テーブル連結利用部と、前記各テーブルの連係関係に基づき、前記脅威のリスク値をコンポーネント寄与率により重み付けすることで、コンポーネントが備えるセキュリティ機能が対抗する脅威のリスク値に見合った各コンポーネントの保証レベルを導出する、コンポーネント保証レベル導出部と、を備える。
【００１７】
また、本発明のシステムセキュリティ設計・評価支援ツールは、前記脅威に対応するセキュリティ目標の寄与率を格納したテーブルと、前記セキュリティ目標に対応するセキュリティ機能要件の寄与率を格納したテーブルと、前記セキュリティ機能要件とコンポーネントが備えるセキュリティ機能との対応関係を格納したテーブルとの各間において、互いの重複項目に基づき前記各テーブルの連係関係を特定し、前記コンポーネントが備えるセキュリティ機能のセキュリティ機能要件が担うセキュリティ目標の寄与率を脅威毎に特定することで前記コンポーネント寄与率を算出する、寄与率算出部を備えるとすれば好適である。
【００１８】
また、本発明のシステムセキュリティ設計・評価支援ツールにおいて、前記コンポーネント保証レベル導出部は、前記脅威−コンポーネント対応関係テーブルを用いて、コンポーネントに対応する脅威群を特定し、前記リスク値テーブルを用いて、前記脅威群に含まれる全脅威のリスク値の和をコンポーネントの対抗リスク値として算出し、前記対抗リスク値を前記リスク−保証レベル対応関係テーブルに照合し、コンポーネントの要求保証レベルを導出するものであるとすれば好適である。
【００１９】
また、本発明のシステムセキュリティ設計・評価支援ツールにおいて、前記コンポーネント保証レベル導出部は、前記脅威−コンポーネント対応関係テーブルを用いて、コンポーネントに対応する脅威群を特定し、前記リスク値テーブルと前記コンポーネント寄与率テーブルとを用い、前記脅威群について、各脅威のリスク値と対応するコンポーネント寄与率とを掛け合わせた値の和をコンポーネントの対抗リスク値として算出し、前記対抗リスク値を前記リスク−保証レベル対応関係テーブルに照合し、コンポーネントの要求保証レベルを導出するものであるとすれば好適である。
【００２０】
また、本発明のシステムセキュリティ設計・評価支援ツールにおいて、前記コンポーネント保証レベル導出部は、前記脅威−コンポーネント対応関係テーブルを用いて、コンポーネントに対応する脅威群を特定し、前記リスク値テーブルを用いて、前記脅威群に含まれる全脅威のリスク値の最大値をコンポーネントの最低対抗リスク値として算出し、前記最低対抗リスク値を前記リスク−保証レベル対応関係テーブルに照合し、コンポーネントの最低保証レベルを導出するものであるとすれば好適である。
【００２１】
また、本発明のシステムセキュリティ設計・評価支援ツールにおいて、前記コンポーネント保証レベル導出部は、前記脅威−コンポーネント対応関係テーブルを用いて、コンポーネントに対応する脅威群を特定し、前記リスク値テーブルと前記コンポーネント寄与率テーブルとを用いて、前記脅威群について、各脅威のリスク値と対応するコンポーネント寄与率を掛け合わせた値を算出し、算出した値の最大値を、コンポーネントの最低対抗リスク値として算出し、前記最低対抗リスク値を前記リスク−保証レベル対応関係テーブルに照合し、コンポーネントの最低保証レベルを導出するものであるとすれば好適である。
【００２２】
また、本発明のシステムセキュリティ設計・評価支援ツールにおいて、前記コンポーネント保証レベル導出部は、前記脅威−コンポーネント対応関係テーブルを用いて、コンポーネントに対応する脅威群を特定し、前記リスク値テーブルを用いて、前記脅威群に含まれる全脅威のリスク値の最小値をコンポーネントの最低対抗リスク値として算出し、前記最低対抗リスク値を前記リスク−保証レベル対応関係テーブルに照合し、コンポーネントの最低保証レベルを導出するものであるとすれば好適である。
【００２３】
また、本発明のシステムセキュリティ設計・評価支援ツールにおいて、前記コンポーネント保証レベル導出部は、前記脅威−コンポーネント対応関係テーブルを用いて、コンポーネントに対応する脅威群を特定し、前記リスク値テーブルと前記コンポーネント寄与率テーブルとを用いて、前記脅威群について、各脅威のリスク値と対応するコンポーネント寄与率を掛け合わせた値を算出し、算出した値の最小値を、コンポーネントの最低対抗リスク値として算出し、前記最低対抗リスク値を前記リスク−保証レベル対応関係テーブルに照合し、コンポーネントの最低保証レベルを導出するものであるとすれば好適である。
【００２４】
また、本発明のシステムセキュリティ設計支援ツールは、情報処理装置上で動作し、１つ以上のコンポーネントから構成される対象システムについて、１つ以上の候補製品の中から、最適な製品組合せおよびいずれの製品がシステムが満たすべきセキュリティ機能要件を担当するかを導出するツールであって、前記対象システムが想定する脅威とシステムが満たすべきセキュリティ機能要件との対応関係が格納された、脅威−機能要件対応関係テーブルと、前記各脅威のリスクの大きさを示すリスク値の情報が格納された、リスク値テーブルと、前記各候補製品とその候補製品が備えるセキュリティ機能要件との対応関係が格納された、機能要件−製品対応関係テーブルと、前記各候補製品の保証レベルが格納された、製品保証レベルテーブルと、前記各脅威に対抗するセキュリティ機能要件の効果の大きさに関する情報が格納された、機能要件寄与率テーブルと、リスク値とこれに応じて要求される保証レベルの対応関係が格納された、リスク−保証レベル対応関係テーブルと、前記脅威−機能要件対応関係テーブルと、前記リスク値テーブルと、前記機能要件−製品対応関係テーブルと、前記製品保証レベルテーブルと、前記機能要件寄与率テーブルと、前記リスク−保証レベル対応関係テーブルとの各間において、互いの重複項目に基づき、前記各テーブルの連係関係を特定する、テーブル連結利用部と、前記各テーブルの連係関係に基づき、対象システムが満たすべきセキュリティ機能要件を満足する１つ以上の候補製品からなる製品組合せ候補を作成し、前記作成した前記各製品組合せ候補について、当該製品組合せ候補のいずれかの製品が対象システムにおいて満たすべきセキュリティ機能要件を担当する場合の１つ以上の担当パターンを作成し、前記作成した全製品組合せ候補の全担当パターン毎に、前記各テーブルの連係関係に基づき、前記各脅威に対抗するセキュリティ機能要件の効果の大きさに関する当該製品組合せ候補の各製品のコンポーネント寄与率を算出し、前記脅威のリスク値をコンポーネント寄与率により重み付けすることで、セキュリティ機能が対抗する脅威のリスク値に見合った各製品に要求する保証レベルを導出するコンポーネント保証レベル導出部と、前記作成した全製品組合せ候補の全担当パターン毎に、前記各製品に要求する保証レベルと、製品保証レベルテーブルを参照することで特定した当該製品組合せ候補の各製品の保証レベルとの大小関係をそれぞれ比較することで保証適合度を導出する保証適合度導出部と、前記保証適合度が最適となる前記製品組合せ候補の担当パターンを、最適製品組合せとして特定し、いずれの製品が対象システムが満たすべきセキュリティ機能要件を担当するかを特定する最適製品組合せ決定部と、を備える。
【００２５】
また、本発明のシステムセキュリティ設計支援ツールは、前記脅威に対応するセキュリティ目標の寄与率を格納したテーブルと、前記セキュリティ目標に対応するセキュリティ機能要件の寄与率を格納したテーブルとの各間において、互いの重複項目に基づき前記各テーブルの連係関係を特定し、前記セキュリティ機能要件が担うセキュリティ目標の寄与率を脅威毎に特定することで前記機能要件寄与率を算出する、寄与率算出部を備えることとすれば好適である。
【００２６】
また、本発明のシステムセキュリティ設計支援ツールにおいて、前記コンポーネント保証レベル導出部は、前記各製品組合せ候補の各担当パターンについて、前記脅威−機能要件対応関係テーブルと、前記機能要件−製品対応関係テーブルとを用いて、各コンポーネントに対応する脅威群を特定し、前記リスク値テーブルを用いて、前記脅威群に含まれる全脅威のリスク値の和をコンポーネントの対抗リスク値として算出し、前記対抗リスク値を前記リスク−保証レベル対応関係テーブルに照合し、コンポーネントの要求保証レベルを導出するものであるとすれば好適である。
【００２７】
また、本発明のシステムセキュリティ設計支援ツールにおいて、前記コンポーネント保証レベル導出部は、前記各製品組合せ候補の各担当パターンについて、前記脅威−機能要件対応関係テーブルと、前記機能要件−製品対応関係テーブルとを用いて、各コンポーネントに対応する脅威群を特定し、前記リスク値テーブルと前記算出したコンポーネント寄与率とを用い、前記脅威群について、各脅威のリスク値と対応するコンポーネント寄与率とを掛け合わせた値の和をコンポーネントの対抗リスク値として算出し、前記対抗リスク値を前記リスク−保証レベル対応関係テーブルに照合し、コンポーネントの要求保証レベルを導出するものであるとすれば好適である。
【００２８】
また、本発明のシステムセキュリティ設計支援ツールにおいて、前記コンポーネント保証レベル導出部は、前記各製品組合せ候補の各担当パターンについて、前記脅威−機能要件対応関係テーブルと、前記機能要件−製品対応関係テーブルとを用いて、各コンポーネントに対応する脅威群を特定し、前記リスク値テーブルを用いて、前記脅威群に含まれる全脅威のリスク値の最大値をコンポーネントの最低対抗リスク値として算出し、前記最低対抗リスク値を前記リスク−保証レベル対応関係テーブルに照合し、コンポーネントの最低保証レベルを導出するものであるとすれば好適である。
【００２９】
また、本発明のシステムセキュリティ設計支援ツールにおいて、前記コンポーネント保証レベル導出部は、前記各製品組合せ候補の各担当パターンについて、前記脅威−機能要件対応関係テーブルと、前記機能要件−製品対応関係テーブルと、を用いて、各コンポーネントに対応する脅威群を特定し、前記リスク値テーブルと前記算出したコンポーネント寄与率とを用いて、前記脅威群について、各脅威のリスク値と対応するコンポーネント寄与率とを掛け合わせた値を算出し、算出した値の最大値を、コンポーネントの最低対抗リスク値として算出し、前記最低対抗リスク値を前記リスク−保証レベル対応関係テーブルに照合し、コンポーネントの最低保証レベルを導出するものであるとすれば好適である。
【００３０】
また、本発明のシステムセキュリティ設計支援ツールにおいて、前記コンポーネント保証レベル導出部は、前記各製品組合せ候補の各担当パターンについて、前記脅威−機能要件対応関係テーブルと、前記機能要件−製品対応関係テーブルと、を用いて、各コンポーネントに対応する脅威群を特定し、前記リスク値テーブルを用いて、前記脅威群に含まれる全脅威のリスク値の最小値をコンポーネントの最低対抗リスク値として算出し、前記最低対抗リスク値を前記リスク−保証レベル対応関係テーブルに照合し、コンポーネントの最低保証レベルを導出するものであるとすれば好適である。
【００３１】
また、本発明のシステムセキュリティ設計支援ツールにおいて、前記コンポーネント保証レベル導出部は、前記各製品組合せ候補の各担当パターンについて、前記脅威−機能要件対応関係テーブルと、前記機能要件−製品対応関係テーブルと、を用いて、各コンポーネントに対応する脅威群を特定し、前記リスク値テーブルと前記算出したコンポーネント寄与率とを用いて、前記脅威群について、各脅威のリスク値と対応するコンポーネント寄与率とを掛け合わせた値を算出し、算出した値の最小値を、コンポーネントの最低対抗リスク値として算出し、前記最低対抗リスク値を前記リスク−保証レベル対応関係テーブルに照合し、コンポーネントの最低保証レベルを導出するものであるすれば好適である。
【００３２】
また、本発明のシステムセキュリティ設計支援ツールにおいて、前記最適製品組合せ決定部は、前記各製品組合せ候補の各担当パターンについて、前記各製品に対する利用者の満足度と、前記機能要件と当該製品の関連度とが格納された機能達成度算出用テーブルを用いて、各機能要件の機能達成度を算出し、前記算出した機能達成度とシステムが満たすべき各機能要件の重要度とのそれぞれの差分の絶対値の平均値をとることで、機能適合度を導出し、前記各製品組合せ候補の各担当パターンについて、前記機能適合度と前記保証適合度に対して、セキュリティ機能面と保証面のどちらをどの程度重視するかの度合いを掛け合わせた値の和を組合せ適合度として算出し、前記組合せ適合度が最適となる前記製品組合せ候補の担当パターンを、最適製品組合せとして特定し、いずれの製品がシステムが満たすべきセキュリティ機能要件を担当するかを特定するものであるとすれば好適である。
【００３３】
また、本発明のシステムセキュリティ設計支援ツールにおいて、前記最適製品組合せ決定部は、前記各製品組合せ候補の各担当パターンについて、各製品の導入にかかるコストが格納された製品コストテーブルを参照することで、各製品組合せ候補の導入にかかるコストの和を取ることで総導入コストを導出し、前記各製品組合せ候補の各担当パターンについて、前記機能適合度と前記保証適合度と前記総導入コストに対して、セキュリティ機能面、保証面およびコストのいずれをどの程度重視するかの度合いを掛け合わせた値の和を組合せ適合度として算出するものであるとすれば好適である。
【００３４】
また、本発明のシステムセキュリティ設計・評価支援方法は、情報処理装置上で動作し、１つ以上のコンポーネントから構成される対象システムの各コンポーネントについて、セキュリティに関する保証レベルを導出する方法であって、前記対象システムが想定する脅威とコンポーネントが備えるセキュリティ機能との対応関係が格納された、脅威−コンポーネント対応関係テーブルと、前記各脅威のリスクの大きさを示すリスク値の情報が格納された、リスク値テーブルと、前記各脅威に対抗するコンポーネントが備えるセキュリティ機能の効果の大きさに関する情報が格納された、コンポーネント寄与率テーブルと、リスク値とこれに応じて要求される保証レベルの対応関係が格納された、リスク−保証レベル対応関係テーブルとを利用して、前記テーブル各間において、互いの重複項目に基づき、前記各テーブルの連係関係を特定し、前記各テーブルの連係関係に基づき、前記脅威のリスク値をコンポーネント寄与率により重み付けすることで、コンポーネントが備えるセキュリティ機能が対抗する脅威のリスク値に見合った各コンポーネントの保証レベルを導出する、ことを特徴とする。
【００３５】
また、本発明のシステムセキュリティ設計・評価支援プログラムは、情報処理装置上で動作し、１つ以上のコンポーネントから構成される対象システムの各コンポーネントについて、セキュリティに関する保証レベルの導出方法をコンピュータに実行させるためのプログラムであって、前記対象システムが想定する脅威とコンポーネントが備えるセキュリティ機能との対応関係が格納された、脅威−コンポーネント対応関係テーブルと、前記各脅威のリスクの大きさを示すリスク値の情報が格納された、リスク値テーブルと、前記各脅威に対抗するコンポーネントが備えるセキュリティ機能の効果の大きさに関する情報が格納された、コンポーネント寄与率テーブルと、リスク値とこれに応じて要求される保証レベルの対応関係が格納された、リスク−保証レベル対応関係テーブルとを利用して、前記テーブル各間において、互いの重複項目に基づき、前記各テーブルの連係関係を特定するステップと、前記各テーブルの連係関係に基づき、前記脅威のリスク値をコンポーネント寄与率により重み付けすることで、コンポーネントが備えるセキュリティ機能が対抗する脅威のリスク値に見合った各コンポーネントの保証レベルを導出するステップと、を備える。
【００３６】
また、本発明のシステムセキュリティ設計支援方法は、情報処理装置上で動作し、１つ以上のコンポーネントから構成される対象システムについて、１つ以上の候補製品の中から、最適な製品組合せおよびいずれの製品がシステムが満たすべきセキュリティ機能要件を担当するかを導出する方法であって、前記対象システムが想定する脅威とシステムが満たすべきセキュリティ機能要件との対応関係が格納された、脅威−機能要件対応関係テーブルと、前記各脅威のリスクの大きさを示すリスク値の情報が格納された、リスク値テーブルと、前記各候補製品とその候補製品が備えるセキュリティ機能要件との対応関係が格納された、機能要件−製品対応関係テーブルと、前記各候補製品の保証レベルが格納された、製品保証レベルテーブルと、前記各脅威に対抗するセキュリティ機能要件の効果の大きさに関する情報が格納された、機能要件寄与率テーブルと、リスク値とこれに応じて要求される保証レベルの対応関係が格納された、リスク−保証レベル対応関係テーブルとを利用して、前記脅威−機能要件対応関係テーブルと、前記リスク値テーブルと、前記機能要件−製品対応関係テーブルと、前記製品保証レベルテーブルと、前記機能要件寄与率テーブルと、前記リスク−保証レベル対応関係テーブルとの各間において、互いの重複項目に基づき、前記各テーブルの連係関係を特定し、前記各テーブルの連係関係に基づき、対象システムが満たすべきセキュリティ機能要件を満足する製品組合せ候補を作成し、作成した前記各製品組合せ候補について、当該製品組合せ候補のいずれかの製品が対象システムが満たすべきセキュリティ機能要件を担当する場合の１つ以上の担当パターンを作成し、前記作成した全製品組合せ候補の全担当パターン毎に、前記各テーブルの連係関係に基づき、前記各脅威に対抗するセキュリティ機能要件の効果の大きさに関する当該製品組合せ候補の各製品のコンポーネント寄与率を算出し、前記脅威のリスク値をコンポーネント寄与率により重み付けすることで、セキュリティ機能が対抗する脅威のリスク値に見合った各製品に要求する保証レベルを導出し、前記作成した全製品組合せ候補の全担当パターン毎に、前記各製品に要求する保証レベルと、製品保証レベルテーブルを参照することで特定した当該製品組合せ候補の各製品の保証レベルとの大小関係をそれぞれ比較することで保証適合度を導出し、前記保証適合度が最適となる前記製品組合せ候補の担当パターンを、最適製品組合せとして特定し、いずれの製品が対象システムが満たすべきセキュリティ機能要件を担当するかを特定する、ことを特徴とする。
【００３７】
また、本発明のシステムセキュリティ設計支援プログラムは、情報処理装置上で動作し、１つ以上のコンポーネントから構成される対象システムについて、１つ以上の候補製品の中から、最適な製品組合せおよびいずれの製品がシステムが満たすべきセキュリティ機能要件を担当するかを導出する方法をコンピュータに実行させるためのプログラムであって、前記対象システムが想定する脅威とシステムが満たすべきセキュリティ機能要件との対応関係が格納された、脅威−機能要件対応関係テーブルと、前記各脅威のリスクの大きさを示すリスク値の情報が格納された、リスク値テーブルと、前記各候補製品とその候補製品が備えるセキュリティ機能要件との対応関係が格納された、機能要件−製品対応関係テーブルと、前記各候補製品の保証レベルが格納された、製品保証レベルテーブルと、前記各脅威に対抗するセキュリティ機能要件の効果の大きさに関する情報が格納された、機能要件寄与率テーブルと、リスク値とこれに応じて要求される保証レベルの対応関係が格納された、リスク−保証レベル対応関係テーブルとを利用して、前記脅威−機能要件対応関係テーブルと、前記リスク値テーブルと、前記機能要件−製品対応関係テーブルと、前記製品保証レベルテーブルと、前記機能要件寄与率テーブルと、前記リスク−保証レベル対応関係テーブルとの各間において、互いの重複項目に基づき、前記各テーブルの連係関係を特定するステップと、前記各テーブルの連係関係に基づき、対象システムが満たすべきセキュリティ機能要件を満足する製品組合せ候補を作成し、作成した前記各製品組合せ候補について、当該製品組合せ候補のいずれかの製品が対象システムが満たすべきセキュリティ機能要件を担当する場合の１つ以上の担当パターンを作成し、前記作成した全製品組合せ候補の全担当パターン毎に、前記各テーブルの連係関係に基づき、前記各脅威に対抗するセキュリティ機能要件の効果の大きさに関する当該製品組合せ候補の各製品のコンポーネント寄与率を算出し、前記脅威のリスク値をコンポーネント寄与率により重み付けすることで、セキュリティ機能が対抗する脅威のリスク値に見合った各製品に要求する保証レベルを導出するステップと、前記作成した全製品組合せ候補の全担当パターン毎に、前記各製品に要求する保証レベルと、製品保証レベルテーブルを参照することで特定した当該製品組合せ候補の各製品の保証レベルとの大小関係をそれぞれ比較することで保証適合度を導出するステップと、前記保証適合度が最適となる前記製品組合せ候補の担当パターンを、最適製品組合せとして特定し、いずれの製品が対象システムが満たすべきセキュリティ機能要件を担当するかを特定するステップと、を備える。
【００３８】
なお、本発明の設計・評価支援ツールは、設計支援および／または評価支援を行うツールである。同様に、設計・評価支援方法は、設計支援および／または評価支援を行う方法であり、設計・評価支援プログラムは、設計支援および／または評価支援を行うプログラムである。
【００３９】
その他、本願が開示する課題、及びその解決方法は、発明の実施の形態の欄、及び図面により明らかにされる。
【発明の効果】
【００４０】
本発明によれば、対象システムを構成する各コンポーネントのリスクの大きさに見合った適切な保証レベルが導出できる。
【００４１】
また、本発明によれば、システムの機能要件を満たしながら、コストを抑えつつ、適切な保証レベルの製品を導出できる。
【発明を実施するための最良の形態】
【００４２】
−−−実施例１−−−
以下、本発明の第１の実施形態を図面を参照して詳細に説明する。図１は、本実施形態のシステムセキュリティ設計・評価支援ツールの構成を示す図である。図１において、システムセキュリティ設計・評価支援ツール１００（以下、設計・評価支援ツール１００）は、ＣＰＵ１０１と、メモリ１０２と、ＨＤＤ等の外部記憶装置１０３と、ディスプレイ等の表示装置１０４およびキーボード、マウス等の入力装置１０５を介して利用者に情報を提示したり、利用者から情報を受付けたりする端末入出力制御部１０６と、ネットワークを介して通信を行うためのネットワーク制御部１０７と、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、ＭＯ、フレキシブルディスク等の可搬記憶媒体１２０の読込み・書出しを制御する可搬記憶媒体入出力制御部１０８と、これらの各装置等を相互接続するバス１０９と、を備えた通常のコンピュータシステムにおいて、前記ＣＰＵ１０１がメモリ１０２にロードされたシステムセキュリティ設計・評価支援プログラム１３０を実行することで実現される。
【００４３】
前記外部記憶装置１０３は、脅威−コンポーネント対応関係テーブル１２５、リスク値テーブル１２６（脅威のリスクデータ）、コンポーネント寄与率テーブル１２７、リスク−保証レベル対応関係テーブル１２８、および前記システムセキュリティ設計・評価支援プログラム１３０を格納している。
【００４４】
前記外部記憶装置１０３に格納されているシステムセキュリティ設計・評価支援プログラム１３０は、前記脅威−コンポーネント対応関係テーブル１２５と、前記リスク値テーブル１２６と、前記コンポーネント寄与率テーブル１２７と、前記リスク−保証レベル対応関係テーブル１２８との各間において、互いの重複項目に基づき、前記各テーブルの連係関係を特定する、テーブル連結利用部１１０と、前記各テーブルの連係関係に基づき、前記脅威のリスク値をコンポーネント寄与率により重み付けすることで、コンポーネントが備えるセキュリティ機能が対抗する脅威のリスク値に見合った各コンポーネントの保証レベルを導出する、コンポーネント保証レベル導出部１１１と、を実現するためのプログラムである。
【００４５】
また、前記システムセキュリティ設計・評価支援プログラム１３０は、前記脅威に対応するセキュリティ目標の寄与率を格納したテーブル（図６（ａ）のテーブル６００）と、前記セキュリティ目標に対応するセキュリティ機能要件の寄与率を格納したテーブル（図６（ｂ）のテーブル６１０）と、前記セキュリティ機能要件とコンポーネントが備えるセキュリティ機能との対応関係を格納したテーブル（図６（ｃ）のテーブル６２０）との各間において、互いの重複項目に基づき前記各テーブルの連係関係を特定し、前記コンポーネントが備えるセキュリティ機能のセキュリティ機能要件が担うセキュリティ目標の寄与率を脅威毎に特定することで前記コンポーネント寄与率を算出する、寄与率算出部１１２を実現するためのプログラムでもある。また、前記システムセキュリティ設計・評価支援プログラム１３０は、ユーザインタフェース処理部１１３を実現するためのプログラムでもある。
【００４６】
なお、前記メモリ１０２には、システムセキュリティ設計・評価データ領域１１５が設定されている。このデータ領域１１５は、前記テーブル連結利用部１１０、前記コンポーネント保証レベル導出部１１１、前記寄与率算出部１１２、および前記ユーザインタフェース処理部１１３らの動作により取得又は読み出した情報を一時格納するための領域である。
【００４７】
前記ＣＰＵ１０１は、前記メモリ１０２にロードした前記システムセキュリティ設計・評価支援プログラム１３０を実行することにより、前記各機能ブロック１１０〜１１３を実現することとなる。
【００４８】
次に、本実施形態のシステムセキュリティ設計・評価支援ツールの構成及び動作を説明するために使用する対象システムの構成例を説明する。図２は、対象システムの一例を説明するための図である。図２において、対象システム２００は、例えば企業において社内情報サービスを提供するシステムである。
【００４９】
本実施形態の対象システム２００は、受付を通過さえすれば、誰でもアクセス出来る組織（社内２０１）の中に設置され、クライアント２１１と、サーバ２１５とを有する。前記クライアント２１１はイントラネット２１７を介して、サーバ２１５に接続されている。また、前記サーバ２１５は、管理者２２１のみがアクセス出来るよう施錠されたドアにて隔離されたサーバ室２０２に設置されている。
【００５０】
前記クライアント２１１は、ＷＥＢブラウザ−Ａ２１２とＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）−Ａ２１３を有する。一方、前記サーバ２１５は、ＷＥＢサーバ−Ａ２１６とＤＢＭＳ（Ｄａｔａｂａｓｅ  Ｍａｎａｇｅｍｅｎｔ  Ｓｙｓｔｅｍ）−Ａ２１７とＯＳ−Ｂ２１８を有する。
【００５１】
なお、本対象システム２００に物理的にアクセス可能な人物として、内部者２１４と管理者２２１を想定する。前記内部者２１４は、前記クライアント２１１上のＷＥＢブラウザ−Ａ２１２を使用して、前記サーバ２１５にアクセスし、ＷＥＢページ２１９及び顧客情報データベース２２０を参照する。
【００５２】
また、本対象システム２００は、「内部者に２１２には、ＷＥＢページ２１９および顧客情報データベース２２０にアクセス権を持つものと持たないものがいる」ことと、「参照したＷＥＢページ２１９及び顧客情報データベース２２０は、クライアント２１１には保存されず、キャッシュもされない」ことを前提としている。
【００５３】
次に、前記外部記憶装置１０３に格納される各種テーブルを詳細に説明する。まず、脅威−コンポーネント対応関係テーブル１２５に格納される情報を説明する。図３（ａ）は、脅威とセキュリティ目標との対応関係テーブル３００を示している。このテーブル３００において、列３０１は脅威の識別子、列３０２は脅威の内容、行３０３はセキュリティ目標の識別子である。マトリクス部分は脅威とセキュリティ目標の対応関係を示すものであり、"０"：ゼロ、は対応関係がないこと、"１"は対応関係があることを示す。
【００５４】
また、図３（ｂ）は、セキュリティ目標と機能要件との対応関係テーブル３１０を示している。このテーブル３１０において、列３０３は、セキュリティ目標の識別子（図３（ａ）の行３０３に示したセキュリティ目標の識別子と同じもの）、列３１１はセキュリティ目標の内容、行３１２は機能要件の識別子である。マトリクス部分はセキュリティ目標と機能要件の対応関係を示すものであり、"０"：ゼロ、は対応関係がないこと、"１"は対応関係があることを示す。
【００５５】
また、図４（ａ）は、機能要件の内容テーブル４００を示す図である。このテーブル４００において、列３１２は機能要件の識別子（図３（ｂ）の行３１２に示した機能要件の識別子と同じもの）、列４０１は機能要件の内容である。
【００５６】
また、図４（ｂ）は、機能要件とコンポーネント（製品、新規開発部）との対応関係のテーブル４１０を示す図である。このテーブル４１０において、列３１２は機能要件の識別子（図３（ｂ）の行３１２に示した機能要件の識別子と同じもの）、列４１２はコンポーネント名、行４１３は実際に選択された製品または新規開発部の保証レベル、行４１４はコンポーネントの機能の識別子、行４１５はコンポーネントの機能名を示す。マトリクス部分は機能要件とコンポーネントの機能との対応関係を示すものであり、"０"：ゼロ、は対応関係がないこと、"１"は対応関係があることを示す。ここで、行４１３の製品または新規開発部の保証レベルは、例えばＥＡＬで示される評価保証レベル（１〜７）であり、セキュリティ評価・認証を取得していない製品は保証レベルを"０"：ゼロ、とする。
【００５７】
次に、リスク値テーブル１２６に格納される情報を図５を参照して説明する。図５は、リスク値テーブル１２６を示す図である。このテーブル１２６において、列３０１は脅威の識別子、列５０１は脅威に対応するリスクランクを示す。このリスクランクは、設計者、または評価者が行ったリスク分析の結果を基に、脅威のリスクの大きさをいくつかにランクわけしたものである。また、脅威のリスクの大きさは、定量的（脅威のリスクランクが２倍になれば、脅威のリスクの大きさも２倍）に示す場合と、定性的（脅威のリスクの大きさの上下関係を相対的に示す）に示す場合がある。本実施例では、リスクの大きさをリスクランクとして、定性的に示した場合について説明するが、リスクの大きさを定量的に示した場合でも、以下説明する方法と同様の方法が適用可能である。
【００５８】
次に、コンポーネント寄与率テーブル１２７に格納される情報を図６を参照して説明する。図６（ａ）は、脅威に対するセキュリティ目標の寄与率を示すテーブル６００である。このテーブル６００において、列３０１は脅威の識別子、行３０３はセキュリティ目標の識別子である。マトリクス部分は脅威に対するセキュリティ目標の寄与率を示したものであり、０〜１までの値を行方向に足し合わせると１になるように配分されている。
【００５９】
また、図６（ｂ）は、セキュリティ目標に対する機能要件の寄与率を示すテーブル６１０である。このテーブル６１０において、列３０３は、セキュリティ目標の識別子（図６（ａ）の行３０３に示したセキュリティ目標の識別子と同じもの）、行３１２は機能要件の識別子である。マトリクス部分はセキュリティ目標に対する機能要件の寄与率を示したものであり、０〜１までの値を行方向に足し合わせると１になるように配分されている。
【００６０】
また、図６（ｃ）は、脅威に対するコンポーネントの寄与率を示すテーブル６２０である。このテーブル６２０において、列３０１は脅威の識別子、行４１２はコンポーネント名である。マトリクス部分は脅威に対するコンポーネントの寄与率を示したものであり、０〜１までの値を行方向に足し合わせると１になるように配分されている。ここで、脅威に対するコンポーネントの寄与率は、図６（ａ）（ｂ）で示される各寄与率と、図４（ｂ）で示される機能要件とコンポーネントとの対応関係により、算出される値である。算出の方法については、本実施例中で後述する。
【００６１】
次に、リスク−保証レベル対応関係テーブル１２８に格納される情報を図７を参照して説明する。図７は、リスク−保証レベル対応関係テーブル１２８である。このテーブル１２８において、列７０１はリスクランク、列７０２はリスクランクに対応する保証レベルを示す。このリスク−保証レベル対応関係テーブル１２８のデータは、設計者、または評価者が行ったリスク分析の種類に応じて、脅威のリスクの大きさに見合った保証レベルとの対応を示したものであり、設計者または評価者により事前に設定されているものとする。リスク−保証レベル対応関係テーブル１２８のデータが、評価対象の設計者により設定されている場合は、評価者は脅威のリスクの大きさに見合った保証レベルとの対応になっているかを第３者の立場で判断した後、使用することとする。
【００６２】
次に、システムセキュリティ設計・評価支援方法に基づく、前記設計・評価支援ツール１００の動作を説明する。ここで、前記設計・評価支援ツール１００を利用して、対象システム２００を設計または評価する者を、以下では「作業者」と呼ぶ。本設計・評価支援ツール１００の想定する利用イメージの例として、以下の２つが考えられる。（１）対象システム２００を設計・開発した「設計者」自らが、「作業者」として、評価を行うのに利用。（２）「設計者」が設計・開発した対象システム２００を、第３者である「評価者」が、「作業者」として、評価を行うのに利用。
【００６３】
（１）の場合は、設計者自らが設計した情報をもとに、評価を行う。（２）の場合は、評価者が、設計者が設計した情報を電子データまたは紙媒体にて受け取り、この情報を第３者の目で検証したのちに、評価を行う。このため、設計した情報に不具合等がある場合は、設計者と協議の上、評価を行うことになる。ここで、上記利用イメージは、本発明の利用形態を狭めるものでなく、上記以外の利用形態があってもよい。また、対象システム２００のセキュリティ評価のみを本発明の適用範囲とするのみならず、対象システム２００のセキュリティ設計についても本発明の適用範囲とする。この場合、前記作業者が本発明の設計・評価支援ツール１００を利用することで、各リスクの大きさに見合った保証レベルを導出したコンポーネントを適宜に組み合わせて前記対象システム２００の設計を行うものとできる。
【００６４】
なお、前提として、対象システム２００の脅威、セキュリティ目標、機能要件、コンポーネント、コンポーネントとして実際に選択した製品及び新規開発部の情報およびそれらの対応関係および脅威毎のリスクが、対象システム２００の設計者または評価者により事前に準備されており、少なくとも図３、図４、図５に示した各テーブルを設定するために必要な情報が、既に明確になっているものとする。
【００６５】
図８は、システムセキュリティ設計・評価支援方法における設計・評価支援ツールの処理手順を示すローチャート図である。まず始めに、設計・評価支援ツール１００は、作業者の指示に従って入力を受け付ける（ｓ９０１）。具体的には、ユーザインタフェース処理部１１３が、図９に一例を示すような指示を受け付ける画面１００１をディスプレイ１０４等に出力する。
【００６６】
図９において、作業画面１００１は、ファイルメニュー１００２、メイン表示部１００３等を備える。ファイルメニュー１００２からは、コンポーネント保証レベル導出１０１１、終了１０１２といったサブメニューを選択出来る。また、メイン表示部１００３は、入力装置１０５からの入力操作を受付可能である。また、前記サブメニューのうち、終了１０１２は、設計・評価支援ツール１００を終了するサブメニューである。
【００６７】
前記作業者は、入力装置１０５を用いて、前記メインメニュー１００２の前記サブメニューを選択等する。前記設計・評価支援ツール１００は、当該作業者からの指示に応じて、後述のステップ９０２〜ステップ９０６の処理を行う。
【００６８】
前記作業者がマウス等の入力装置１０５により、前記サブメニューのコンポーネント保証レベル導出１０１１が指示された場合、前記設計・評価支援ツール１００においてまず始めに、ユーザインタフェース処理部１１３が、図１０に一例を示すような脅威−コンポーネント対応関係設定を受け付ける画面をディスプレイ１０４等に出力する。図１０には、スペースの都合で脅威とセキュリティ目標の対応関係の入力についての画面のみ表示しているが、実際には、脅威−コンポーネントの対応関係データ全てを入力させる。前記作業者は、脅威、セキュリティ目標、機能要件、コンポーネントの情報およびそれらの対応関係を、この画面を通して入力する。
【００６９】
作業者による入力が終了し、決定ボタン１２２０が押されると、設計・評価支援ツール１００のユーザインタフェース処理部１１３は、入力を受け付けた、脅威、セキュリティ目標、機能要件、コンポーネントの情報およびそれらの対応関係を脅威−コンポーネント対応関係テーブル１２５に格納し、次のステップに進む（ｓ９０２）。
【００７０】
次に、設計・評価支援ツール１００のユーザインタフェース処理部１１３は、図１１に一例を示すような脅威のリスクの設定を受け付ける画面１１００をディスプレイ１０４等に出力する。前記作業者は、脅威のリスクランクを、この画面１１００を通して入力する。作業者の入力が終了し、決定ボタン１２２０が押されると、設計・評価支援ツール１００のユーザインタフェース処理部１１３は、入力を受け付けた、脅威毎のリスクランクの情報を前記リスク値テーブル１２６に格納し、次のステップに進む（ｓ９０３）。
【００７１】
ここで、上記リスクランクは、設計者、または評価者が行ったリスク分析の結果を基に、脅威のリスクの大きさをいくつかにランク分けしたものを入力する。リスク分析により定性的なリスクランクを求めた一例を図１２〜１６を用いて説明する。
【００７２】
図１２は、脅威毎のリスクランクを算出するのに必要なデータ例を示すテーブル１２００である。このテーブル１２００において、列３０１は脅威の識別子、列５０１は脅威が攻撃対象とする保護対象資産、列５０２は脅威の原因となる脅威エージェントとその場所、列５０３は保護対象資産への物理的なアクセス条件、列５０４は保護対象資産へのネットワークへの物理的なアクセス条件、列５０５はユーザの数、列５０６はユーザの信頼性、列５０７は脅威が攻撃対象となる保護対象資産の価値によって対象システムの管理組織が被る影響の大きさを示している。
【００７３】
ここで、保護対象資産への物理的なアクセス条件は、図１３（ａ）のテーブル１３００における列６０１のランクに示される（高、中、低）の三段階で設定する。具体的には、ユーザの保護対象資産に対する物理的アクセス条件が、列６０２に示す物理的なアクセス条件のうち、どの条件にあてはまるかによって、設定する。  
また、保護対象資産へのネットワークのアクセス条件は、図１３（ｂ）のテーブル１３１０における列６１１のランクに示される（高、中、低）の三段階で設定する。具体的には、ユーザの保護対象資産に対するネットワークのアクセス条件が、列６１２に示すネットワークのアクセス条件のうち、どの条件にあてはまるかによって、設定する。
【００７４】
また、ユーザの信頼性は、図１４（ａ）のテーブル１４００における列７０１のランクに示される（最高、高、中、低）の四段階で設定する。具体的には、ユーザの信頼性が、列７０２に示すユーザの信頼性の内容のうち、どの条件にあてはまるかによって、設定する。  
また、脅威によって対象システム２００の管理組織が被る影響の大きさは、図１４（ｂ）のテーブル１４１０における列７１１のランクに示される（最高、高、中、低）の四段階で設定する。具体的には、脅威によって対象システム２００の管理組織が被る影響の大きさが、列７１２に示す管理組織が被る影響の内容のうち、どの条件にあてはまるかによって、設定する。
【００７５】
また、図１５（ａ）は、物理的なアクセス条件とネットワークのアクセス条件とから求めるアクセスのされやすさの対応関係テーブル１５００を示す図である。このテーブル１５００において、列８０１は物理的なアクセス条件のランク、行８０２はネットワークのアクセス条件のランクである。マトリクス部分は、物理的なアクセス条件のランクとネットワークのアクセス条件のランクから求まるアクセスのされやすさのランクを示す。具体的には、例えば、物理的なアクセス条件が「中」で、ネットワークのアクセス条件が「高」の場合のアクセスのされやすさは「高」となる。
【００７６】
また、図１５（ｂ）は、ユーザの数とアクセスのされやすさとから求める脆弱性の大きさの対応関係テーブル１５１０を示す図である。このテーブル１５１０において、列８１１はユーザの数の範囲、行８１２はアクセスのされやすさのランクである。マトリクス部分は、ユーザの数の範囲とアクセスのされやすさのランクとから求まる脆弱性の大きさのランクを示す。具体的には、例えば、ユーザの数が５０（ユーザの数の範囲は「２−１００」）で、アクセスのされやすさのランクが「高」の場合の脆弱性の大きさのランクは「高」となる。
【００７７】
また、図１５（ｃ）は、管理組織の被る影響のランクと、脆弱性の大きさのランクと、ユーザの信頼性のランクと、から求めるリスクランクの対応関係テーブル１５２０を示す図である。このテーブル１５２０において、列８２１は管理組織の被る影響のランク、行８２２は脆弱性の大きさのランクと、行８２３はユーザの信頼性のランクを示す。マトリクス部分は、管理組織の被る影響のランクと、脆弱性の大きさのランクと、ユーザの信頼性のランクとから求まるリスクランクを示す。具体的には、例えば、管理組織の被る影響のランクが「高」で、脆弱性の大きさのランクが「中」で、ユーザの信頼性のランクが「低」の場合のリスクランクは、「４」となる。
【００７８】
対象システム２００の設計者または評価者は、図１２に示すようなリスクランク設定に必要なデータを用意し、図１５（ａ）〜（ｃ）の対応関係テーブル等を用いて、脅威毎のリスクランクを求める。
【００７９】
ここで、図１２の脅威"Ｔ１"のリスクランクを例にとって説明すると、Ｔ１の物理的なアクセス条件は「低」、ネットワークのアクセス条件は「中」、エージェントの数は「５０人」、エージェントの信頼性は「中」、脅威が攻撃対象とする保護対象資産の価値の大きさは「最高」と設定されている。このため、図１５（ａ）の対応関係より、アクセスのされやすさは「低」となる。次に、図１５（ｂ）の対応関係より、脆弱性の大きさは「低」となる。最後に、図１５（ｃ）の対応関係より、脅威Ｔ１のリスクランクは「４」と算出される。
【００８０】
脅威のリスクランクを用意する方法は、上記の例に限ったものではなく、他の分析方法を用いてリスクランクを求めても構わない。ここで、一般には、リスクの大きさは、脅威から保護すべき保護対象資産の価値の大きさと、脅威の発生可能性と、を要因として決定される。上記リスクランクの例では、図１２のテーブル１２００における項目５０３〜５０７の要因を用いてリスクランクを決定しているが、項目５０３〜５０６と図１５（ａ）〜（ｂ）から求まる脆弱性の大きさ８２２とユーザの信頼性は、脅威の発生可能性に関係したものであり（脆弱性が大きく、ユーザの信頼性が低いほど脅威の発生可能性は高まる）、前記項目５０７は保護対象資産の価値の大きさそのものである。このため、本質的には同じ要因を基にリスクランクを算出していることになる。また、リスクランクの算出方法は、本実施例の方法に限ったものではなく、脅威から保護すべき保護対象資産の価値の大きさと、脅威の発生可能性と、を要因として決定するリスクランクの算出方法であれば、他の方法を用いても良い。
【００８１】
また、このリスク分析は、対象システム２００の設計者が行っても良いし、評価者が行っても良い。ここで、設計者がリスクランクを決定し、本ツールを用いて評価者が評価を行う場合、評価者は、設計者が行ったリスク分析の内容を書類などで入手し、このリスク分析の内容の検証した後、リスクランクを入力する。
【００８２】
なお、本実施形態における前記各種テーブルの各間において、互いの重複項目に基づき、各テーブルの連係関係（テーブル項目の入れ子構造）を特定する処理は、前記テーブル連結利用部１１０が担うものとする。
【００８３】
次に、設計・評価支援ツール１００は、図１６に一例を示すような脅威に対応するコンポーネントの寄与率設定を受け付ける画面１６００をディスプレイ１０４等に出力する。前記作業者は、脅威に対するセキュリティ目標の寄与率１６０１およびセキュリティ目標に対応する機能要件の寄与率１６０２を、この画面を通して入力する。前記作業者の入力が終了し、決定ボタン１２２０が押されると、設計・評価支援ツール１００のユーザインタフェース処理部１１３は、脅威に対するセキュリティ目標の寄与率およびセキュリティ目標に対応する機能要件の寄与率をコンポーネント寄与率テーブル１２７に格納し、処理をコンポーネント保証レベル導出部１１１に移し、次のステップに進む（ｓ９０４）。
【００８４】
ここで、設計者が設計時に設定した寄与率の情報を、評価者が受け取り、入力する場合は、評価者は第３者の立場で、設計者が設定した寄与率を検証し、不具合がある場合は、寄与率を修正してから、入力を行う。
【００８５】
次に、設計・評価支援ツール１００のコンポーネント保証レベル導出部１１１は、ステップ９０２〜ステップ９０４で格納した脅威−コンポーネント対応関係テーブル１２５、リスク値テーブル１２６、コンポーネント寄与率テーブル１２７、リスク−保証レベル対応関係テーブル１２８を用いて、コンポーネント保証レベルを導出する（ｓ９０５）。
【００８６】
上記ステップの具体的な処理フローを図１７のフローチャート図を用いて説明する。ここでまず始めに、ステップ９０４で格納したコンポーネント寄与率テーブル１２７のデータを用いて、脅威に対する各コンポーネントの寄与率を算出する（ｓ１１００）。この処理は前記寄与率算出部１１２が担うものとする。具体的には、脅威に対応するセキュリティ目標、機能要件、コンポーネントを特定し、各対応関係において、脅威に対応するセキュリティ目標の寄与率１６０１（図１６参照）と、セキュリティ目標に対応する寄与率１６０２（図１６参照）を掛け合わせ、コンポーネント毎に足し合わせたものを、脅威に対応するコンポーネントの寄与率とする。
【００８７】
図１８を用いて、対象システム２００の脅威"Ｔ１"に対する"ＤＢＭＳ−Ａ"の寄与率の算出を例に説明すると、脅威Ｔ１とＤＢＭＳ−Ａは、（１）"Ｏ１"−"ＦＲ６"を通した対応関係と（２）"Ｏ２"−"ＦＲ７"を通した対応関係があり、これらの対応関係について、脅威に対応するセキュリティ目標の寄与率と、セキュリティ目標に対応する寄与率を掛け合わせると、（１）は「０．８×０．４＝０．３２」、（２）は「０．２×１．０＝０．２」となり、（１）と（２）を足し合わせた「０．５２」が、脅威Ｔ１に対応するＤＢＭＳ−Ａの寄与率となる。同様にＯＳ−Ａの寄与率は「０．３２」、ＷＥＢサーバ−Ａの寄与率は「０．１６」となる。
【００８８】
次に、設計・評価支援ツール１００は、ステップ１１０１〜ステップ１１０４に示す処理を、脅威と対応関係にある全コンポーネントを対象に行う。ここではまず、脅威−コンポーネント対応関係テーブル１２５を参照して、コンポーネントに対応する脅威を特定する（ｓ１１０１）。
【００８９】
次に、設計・評価支援ツール１００は、対応する脅威のリスクランクの和をとり、これをコンポーネントの要求リスクランクとして算出する（ｓ１１０２）。また、対応する脅威のリスクランクの最大値をとり、これをコンポーネントの最低リスクランクとして算出する（ｓ１１０３）。ここで、最低リスクランクの別の算出方法としては、コンポーネントの寄与率が最大の脅威のリスクランクを、最低リスクランクとして算出するようにしても良い。またで、最低リスクランクの別の算出方法としては、対応する脅威のリスクランクの最小値をとり、これをコンポーネントの最低リスクランクとして算出するようにしても良い。
【００９０】
次に、設計・評価支援ツール１００は、リスク−保証レベル対応テーブル１２８を用いて、前記要求リスクランクに対応する保証レベルをコンポーネントの要求保証レベルとして導出する。また、設計・評価支援ツール１００は、前記最低リスクランクに対応する保証レベルをコンポーネントの最低保証レベルとして同様に導出する（ｓ１１０４）。
【００９１】
上記、ステップ１１０１〜１１０４の処理をＷＥＢサーバ−Ａを対象例に説明する。まず始めに、前記設計・評価支援ツール１００は、脅威とコンポーネントとの対応関係テーブル１２５により、ＷＥＢサーバ−Ａに対応する脅威、Ｔ１とＴ２を特定する（ｓ１１０１）。次に、設計・評価支援ツール１００は、リスク値テーブル１２６３を参照し、Ｔ１のリスクランクを「４」、Ｔ２のリスクランクを「２」と認識し、これらの和「６」を、ＷＥＢサーバ−Ａの要求リスクランクとして算出する（ｓ１１０２）。
【００９２】
次に、設計・評価支援ツール１００は、前記脅威"Ｔ１"のリスクランクを「４」、脅威"Ｔ２"のリスクランクを「２」と同様に認識し、これらの最大値「４」を、ＷＥＢサーバ−Ａの最低リスクランクとして算出する（ｓ１１０３）。
【００９３】
最後に、設計・評価支援ツール１００は、リスク−保証レベル対応関係テーブル１２８を用いて、前記要求リスクランク「６」に対応する保証レベル「６」を要求保証レベル、また、前記最低リスクランク「４」に対応する保証レベル「４」を最低保証レベルとして導出する（ｓ１１０４）。
【００９４】
上記の手順により各コンポーネントの要求保証レベルと最低保証レベルを導出した後、設計・評価支援ツール１００は、図８に示したステップ９０６において、ユーザインタフェース処理部１１３により、図１９に示すような、コンポーネント毎の要求される保証レベルおよび実際に選択した製品または新規開発部の保証レベルを表１９００で表示し、ステップ９０１に戻る（ｓ９０６）。前記表１９００における列１９０１は、コンポーネント名、列１９０２は要求する保証レベル（要求保証レベルと最低保証レベルの範囲）、列１９０３は実際に選択した製品または新規開発部の保証レベルを示している。
【００９５】
以上により、本設計・評価支援ツール１００の作業者が、対象システム２００を構成するコンポーネントの適切な保証レベルと、実際に選択した製品または新規開発部の保証レベルとの比較を容易にし、適切な保証レベルに達していないコンポーネントを判別することも可能となる。
【００９６】
−−−実施例２−−−
以下、本発明の第２の実施形態を図面を参照して説明する。本実施例は、上記第１実施例における、コンポーネントの保証レベル導出方法の変形例である。従ってここでは、コンポーネントの保証レベル導出についてのみ説明し、第１実施例と比較し変更部分のみを説明するものとする。
【００９７】
図２０は、コンポーネントの保証レベル導出のフローチャート図である。具体的には、第１実施例の説明で用いた図８のステップ９０５の具体的な処理フローを示したものである。ここで、ステップ１１００〜１１０２については、第１実施例と同様である。このため、ステップ１９０２〜１９０７についてのみ、説明する。
【００９８】
まず、設計・評価支援ツール１００は、コンポーネントに対応する脅威のリスクランクの最大値を、暫定最低リスクランクとして算出する（ｓ１９０２）。次に、設計・評価支援ツール１００は、コンポーネントに対応する寄与率最大の脅威のリスクランクと、算出した暫定最低リスクランクとを比較し、両者が等しければステップ１９０４に処理を進め、他方、両者が等しくなければステップ１９０５に処理を進める（ｓ１９０３）。
【００９９】
ステップ１９０４における設計・評価支援ツール１００は、リスク−保証レベル対応関係テーブル１２８をもちいて、前記要求リスクランクに対応する保証レベルを要求保証レベルとして導出すると共に、前記暫定最低リスクランクに対応する保証レベルを最低保証レベルとして導出する（ｓ１９０４）。また、ステップ１９０５における設計・評価支援ツール１００は、前記暫定最低リスクランクの脅威と対応する他のコンポーネントの寄与率を特定する。
【０１００】
次に設計・評価支援ツール１００は、前記ステップ１９０５で特定した他のコンポーネントの寄与率と比較して、対象コンポーネントの寄与率が最大だった場合は、ステップ１９０４に処理を進め、それ以外の場合は、ステップ１９０７に処理を進める（ｓ１９０６）。
【０１０１】
次に、設計・評価支援ツール１００は、前記要求リスクランクと寄与率最大のリスクランクに対応する保証レベルを、それぞれ要求保証レベル、および最低保証レベルとして導出する（ｓ１９０７）。
【０１０２】
ここで、上記ステップ１１０１〜１１０２、ステップ１９０２〜１９０７の処理をＷＥＢサーバ−Ａを対象例に説明する。まず始めに、設計・評価支援ツール１００は、脅威とコンポーネントとの対応関係テーブル１２５により、ＷＥＢサーバ−Ａに対応する脅威"Ｔ１"と"Ｔ２"を特定する（ｓ１１０１）。次に、設計・評価支援ツール１００は、リスク値テーブル１２６を参照し、前記脅威"Ｔ１"のリスクランクを「４」、前記脅威"Ｔ２"のリスクランクを「２」と認識し、これらの和「６」を、ＷＥＢサーバ−Ａの要求リスクランクとして算出する（ｓ１１０２）。
【０１０３】
次に、設計・評価支援ツール１００は、脅威"Ｔ１"のリスクランクを「４」、脅威"Ｔ２"のリスクランクを「２」と認識し、これらの最大値「４」を、ＷＥＢサーバ−Ａの暫定最低リスクランクとして算出する（ｓ１９０２）。
【０１０４】
次に、図６（ｃ）の脅威に対するコンポーネントの寄与率データにより、ＷＥＢサーバ−ＡのＴ１に対する寄与率は０．１６、Ｔ２に対する寄与率は０．６８であるため、Ｔ２を寄与率最大の脅威として特定し、図５の脅威とリスクランクの対応関係により、寄与率最大の脅威Ｔ２のリスクランク「２」と要求リスクランク「４」を比較し、等しくないのでステップ１９０５へ進む（ステップ１９０３）。
【０１０５】
次に、設計・評価支援ツール１００は、図６（ｃ）の最高リスクランクの脅威"Ｔ１"と対応する他のコンポーネントの寄与率として、"ＯＳ−Ａ"（寄与率０．３２）、および"ＤＢＭＳ−Ａ"（寄与率０．５２）を特定し（ｓ１９０５）、ＷＥＢサーバ−Ａの寄与率「０．１６」と比較すると、ＤＢＭＳ−Ａが寄与率最大であるため、ステップ１９０７に処理を進める（ｓ１９０６）。
【０１０６】
最後に、設計・評価支援ツール１００は、要求リスクランク「６」を要求保証レベル、寄与率最大の脅威"Ｔ２"のリスクランク「２」を最低保証レベルとして導出する（ｓ１９０７）。
【０１０７】
以上により、脅威のリスクの大きさに合わせた各コンポーネントの保証レベルを、脅威に対するコンポーネントの寄与率も考慮して、導出することが可能となる。
【０１０８】
−−−実施例３−−−
以下、本発明の第３の実施形態を図面を参照して説明する。本実施例は、第１実施例における、リスクの大きさが定性的ではなく、定量的に示された場合の変形例である。ここでは、第１実施例に対し、変更される部分のみを説明する。
【０１０９】
図２１（ａ）は、設計・評価支援ツール１００におけるリスク値テーブル１２６の変形例を示した図である。このテーブル１２６における列３０１は、第１実施例と同様、脅威の識別子を、列２００１は、脅威のリスク値を示す。第１実施例とは異なり、リスクの大きさを例えば、（脅威発生による被害額）×（脅威の発生可能性）のように、定量的に比較可能な値として設定される。図２１（ａ）では、上記リスク値を（万円×回／年）の単位で、示している。  
図２１（ｂ）は、設計・評価支援ツール１００におけるリスク−保証レベル対応関係テーブル１２８の変形例を示した図である。このテーブル１２８において、列２００２はリスク値を、列７０２はリスク値応じた保証レベルである。
【０１１０】
図２２は、システムセキュリティ設計・評価支援方法における設計・評価支援ツール１００の処理手順を示すフローチャート図である。なお、本フローにおいて、ステップ９０１、９０２、９０４、９０６については、第１実施例と同様である。このため、ステップ２１０１、２１０２についてのみ以下に説明する。
【０１１１】
前記ステップ２１０１において設計・評価支援ツール１００のユーザインタフェース処理部１１３は、図２３に一例を示すようなリスク値テーブル１２６の設定を受け付ける画面２３００をディスプレイ１０４等に出力する。  
作業者は、リスク値テーブル１２６における脅威のリスク値を、この画面２３００を通して入力する。作業者の入力が終了し、当該画面２３００における決定ボタン１２２０が押されると、前記ユーザインタフェース処理部１１３は、入力された脅威毎のリスク値の情報をリスク値テーブル１２６に格納し、次のステップに処理を進める（ｓ２１０１）。
【０１１２】
ここで、上記リスク値は、設計者、または評価者が行ったリスク分析の結果を基に、脅威のリスク値を入力する。リスク分析により定量的なリスク値を求めた一例を図２４を用いて説明する。
【０１１３】
図２４は、脅威毎のリスク値を算出するのに必要なデータおよび求めたリスク値の例を示すテーブル２４００である。このテーブル２４００において、列３０１は脅威の識別子、列２３０１は脅威が発生した際の被害額、列２３０２は脅威の発生可能性、列２３０３は２３０１と２３０２から求めた脅威のリスク値である。ここで、被害額の単位は「万円」、脅威の発生可能性の単位は「回／年」としているが、定量的に比較出来る値であれば、他の尺度でも構わない。具体例として、前記脅威"Ｔ１"を例にとって説明すると、脅威Ｔ１が発生した際の被害額を「１０００」万円、脅威の発生可能性を「５」回／年と設定しており、これらを掛け合わせた「５０００」が脅威Ｔ１のリスク値となる。
【０１１４】
次に、ステップ２１０２において、前記コンポーネント保証レベル導出部１１１は、各コンポーネントの保証レベルを導出する。このステップの具体的な処理フローを図２５のフローチャート図を用いて説明する。ここで、ステップ１１００、１１０１については、第１実施例と同様である。このため、ステップ２４０１〜２４０３についてのみ、説明する。
【０１１５】
まず、設計・評価支援ツール１００は、対応する脅威のリスク値にコンポーネントの寄与率を掛け合わせたものの和をとり、これをコンポーネントの対抗リスク値として算出する（ｓ２４０１）。
【０１１６】
次に、対応する脅威のリスク値にコンポーネントの寄与率を掛け合わせたものの最大値をとり、これをコンポーネントの最低対抗リスク値として算出する。また、最低対抗リスク値の別の求め方として、脅威のリスク値にコンポーネントの寄与率を掛け合わせたものの最小値をとり、これをコンポーネントの最低対抗リスク値として算出しても良い（ｓ２４０２）。また、更に、設計・評価支援ツール１００は、リスク−保証レベル対応関係テーブル１２８を用いて、前記対抗リスク値に対応する保証レベルをコンポーネントの要求保証レベルとして導出すると共に、前記最低対抗リスク値に対応する保証レベルをコンポーネントの最低保証レベルとして導出する（ｓ２４０３）。
【０１１７】
ここで、上記ステップ１１０１、ステップ２４０１〜２４０３の処理を"ＷＥＢサーバ−Ａ"を例に説明する。まず始めに、設計・評価支援ツール１００は、脅威とコンポーネントとの対応関係テーブル１２５により、ＷＥＢサーバ−Ａに対応する脅威"Ｔ１"と"Ｔ２"を特定する（ｓ１１０１）。次に設計・評価支援ツール１００は、リスク値テーブル１２６を参照し、前記脅威"Ｔ１"のリスク値を「５０００」、脅威"Ｔ２"のリスク値を「は５００」と認識する。また、設計・評価支援ツール１００は、コンポーネント寄与率テーブル１２７を参照し、ＷＥＢサーバ−Ａの脅威"Ｔ１"に対する寄与率を「０．１６」、脅威"Ｔ２"に対する寄与率を「０．６８」と認識する。また、「脅威のリスク×寄与率」は、それぞれ、脅威"Ｔ１"については「５０００×０．１６＝８００」、脅威"Ｔ２"については「５００×０．６８＝３４０」、となるので、設計・評価支援ツール１００は、これらの和「１０４０」を、ＷＥＢサーバ−Ａの対抗リスク値として算出する（ｓ２４０１）。
【０１１８】
次に設計・評価支援ツール１００は、「脅威のリスク×寄与率」の最大値「８００」を、ＷＥＢサーバ−Ａの最低対抗リスク値として算出する（ｓ２４０２）。最後に、設計・評価支援ツール１００は、リスク−保証レベル対応関係テーブル１２８を用いて、対抗リスク値に対応する保証レベル「４」を、要求保証レベルとして導出すると共に、最低対抗リスク値に対応する保証レベル「３」を、最低保証レベルとして導出する（ｓ２４０４）。
【０１１９】
以上により、脅威の定量的なリスク値および寄与率をもちいて、コンポーネント毎のリスク低減の度合いを定量的な量として求めることで、このリスク低減の度合いに応じたコンポーネントに要求する適切な保証レベルを導出可能となる。
【０１２０】
−−−実施例４−−−
以下、本発明の第４の実施形態を図面を参照して説明する。本実施例は、上記第１実施例において、導出方法を述べたコンポーネントの保証レベル導出方法を利用して、システムセキュリティ設計時に、システムを構成する製品の選択を支援するために、最適な製品または製品組合せを提示する変形例である。従ってここでは、第１実施例と比較し変更部分のみを説明するものとする。
【０１２１】
なお、上記システムセキュリティ設計時において、システムの目的を満たすための構成要素として、システムの機能的な構成単位である１つ以上のサブシステムの定義はされているが、そのサブシステムを実際に実現するコンポーネント（製品、もしくは複数製品の組合せ）は、決定されていないことを前提とする。本実施例では、前記サブシステムを実現するコンポーネントとして、多数の製品候補群から最適な製品または製品組合せを導出し、その情報を作業者に提供する一例を示したものである。
【０１２２】
図２６は、本実施形態のシステムセキュリティ設計・評価支援ツールの構成を示す図である。図２６において、システムセキュリティ設計・評価支援ツール１００（以下、設計・評価支援ツール１００）は、実施例１と比較し、外部記憶装置１０３に、機能要件−サブシステム対応関係テーブル２６０１、機能達成度算出用テーブル２６０２、製品コストテーブル２６０３、製品保証レベルテーブル２６０３（製品コストテーブルと一体のものを想定し同符号とする）を追加で格納する。
【０１２３】
前記外部記憶装置１０３に格納されているシステムセキュリティ設計・評価支援プログラム１３０は、実施例１と比較し、各コンポーネントを実現する各製品の保証レベルを最小とするよう、各製品のセキュリティ機能が担当するシステムの機能要件を決定する機能要件担当ルールにより機能要件の担当を決定する機能要件担当決定部２６１１と、前記機能達成度算出用テーブル２６０２と機能要件の対抗リスク値とを用いて各製品組合せ候補のセキュリティ機能面の適合度を導出する機能適合度導出部２６１２と、製品コストテーブル２６０３と選択された製品組合せとを用いて導入にかかる総コストを導出する総導入コスト導出部２６１３と、前記各製品に要求する保証レベルと前記製品の保証レベルを比較しセキュリティ保証面の適合度を導出する保証適合度導出部２６１４と、前記導出した機能適合度と保証適合度と総導入コストとを用いて最適な製品組合せを導出する最適製品組合せ決定部２６１５と、を更に実現するプログラムとなっている。
【０１２４】
次に、前記外部記憶装置１０３において、実施例１と比べて追加されている各種テーブルを詳細に説明する。まず、図２７（ａ）は、システムを構成するサブシステムに対する機能要件の配置を示した機能要件−サブシステム対応関係テーブル２６０１を示している。このテーブル２６０１において、列２７０１はサブシステムの名前、行３１２はセキュリティ機能要件の識別子である。マトリクス部分はどのサブシステムに対し、どの機能要件を配置するかの対応関係を示すものであり、"０"：ゼロ、は対応関係がないこと、"１"は対応関係があることを示す。
【０１２５】
また、図２７（ｂ）は、選択候補となる各製品のセキュリティ機能面の達成度を算出するのに必要な機能達成度算出用テーブル２６０２を示している。このテーブル２６０２において、列３１２は、セキュリティ機能要件の識別子、行２７１１は製品名、行２７１２は各製品のセキュリティ機能面での満足度である。前記満足度の値は、セキュリティ機能面に関して、各製品のセキュリティ機能の満足の度合いを設定する（例えば、全く使えない：０．０、あまり使えない：０．２５、まあまあ使える：０．５、けっこう使える：０．７５、十分使える：１．０の５段階で設定）。マトリクス部分は製品と機能要件の関連する度合い（関連度）を設定する（例えば、関連なし：０．０、少しは関連がある：０．２５、関連がある：０．５、関連が強い：０．７５、直接対応する１．０の５段階で設定）。
【０１２６】
また、図２７（ｃ）は、選択候補となる各製品の製品コストテーブル２６０３および製品保証レベルテーブル２６０３を示している。このテーブル２６０３において、行２７１１は製品名、行２７２１は各製品の保証レベル、行２７２２は各製品のコストである。  
前記、機能達成度算出用テーブル２６０２及び製品コストテーブル２６０３は、設計・評価支援ツールを利用する前に、事前データとして入力されているものとする。
【０１２７】
図２８は、第４実施例における、システムセキュリティ設計・評価支援方法におけるツール動作を示すフローチャート図である。ここで、ステップ９０１、９０３〜９０４とステップ９０６については、第１実施例と同様である。このため、ステップ２７０１〜２７０７についてのみ、説明する。
【０１２８】
まず、前記設計・評価支援ツール１００において、ユーザインタフェース処理部１１３が、図１０に一例を示すような脅威−機能要件の対応関係設定を受け付ける画面１００１をディスプレイ１０４等に出力する。図１０には、紙面の都合で脅威とセキュリティ目標の対応関係の入力についての画面のみ表示しているが、実際には、脅威−機能要件の対応関係データ全てを入力させる。前記作業者は、脅威、セキュリティ目標、機能要件の情報およびそれらの対応関係を、この画面１００１を通して入力する。ここで、実施例１のステップ９０１との違いは、セキュリティ設計時において、どの製品をコンポーネントとして導入するかを未決定であるため、コンポーネントとの対応関係を設定はしない点である。
【０１２９】
作業者による入力が終了し、決定ボタン１２２０が押されると、設計・評価支援ツール１００のユーザインタフェース処理部１１３は、入力を受け付けた、脅威、セキュリティ目標、機能要件の情報およびそれらの対応関係を脅威−機能要件対応関係テーブル１２５に格納し、次のステップに進む（ｓ２７０１）。
【０１３０】
次に、前記設計・評価支援ツール１００において、ユーザインタフェース処理部１１３が、図２９に一例を示すような機能要件−サブシステムの対応関係設定を受け付ける画面１００１をディスプレイ１０４等に出力する。前記作業者は、機能要件、サブシステムの情報およびそれらの対応関係を、この画面１００１を通して入力する。  
作業者による入力が終了し、決定ボタン１２２０が押されると、設計・評価支援ツール１００のユーザインタフェース処理部１１３は、入力を受け付けた、機能要件、サブシステムの情報およびそれらの対応関係を機能要件−サブシステム対応関係テーブル２６０１に格納し、次のステップに進む（ｓ２７０２）。
【０１３１】
次に、設計・評価支援ツール１００は、機能要件−サブシステム対応関係テーブル２６０１に示されたサブシステム毎に、候補となる製品もしくは複数製品の組合せについて、ステップ２７０３〜ステップ２７０５の処理を行う。  
まず、機能要件担当ルールを用いて、候補となる製品もしくは複数製品の組合せにおいて、サブシステムが満たすべき機能要件をどの製品が担当するかを決定する。まず、該当の機能要件と製品が機能面での対応関係がある（機能要件と製品の関連度が０．２５以上）機能要件を特定し、サブシステムが備えるべき機能要件をどの候補製品が担当するかの全担当パターンを洗い出す（ｓ２７０３）。
【０１３２】
次に、ステップ２７０３において洗い出した全担当パターンについて、各製品が担当するサブシステムが満たすべき機能要件と、前記候補製品（もしくは、製品組合せ）による達成度と、各機能要件のリスク対抗値から求めた機能要件の重要度を用いて、対応する達成度と重要度の差分の絶対値をとった後、これらの和をとることで機能適合度を導出する（詳細の導出方法については、非特許文献２を参照のこと）。また、各担当パターンにおいて、特定された機能要件の配置を基に、脅威−コンポーネント対応関係を導出することで、実施例１、２または３の手順を用いて、各製品に要求する保証レベルを導出し、この各製品に要求する保証レベルと、製品の実際の保証レベルとを比較することで、保証適合度を導出する。
【０１３３】
ここで、保証適合度は、１：全候補製品の保証レベルが要求保証レベル以上、２：いずれかの候補製品の保証レベルが要求保証レベル未満（要求保証レベル以上の製品も存在）、３：全候補製品の保証レベルが最低要求保証レベル以上、４：いずれかの候補製品の保証レベルが要求保証レベル未満（要求保証レベル以上の製品も存在）、５：全候補製品の保証レベルが要求保証レベル未満、の５つの値をとることとする。
【０１３４】
前記導出した保証適合度と機能適合度は、スケールを合わせるため正規化を行う。正規化の方法としては、各軸の最大最小を求め、各要素ｐ毎に（ｐ−最小）／（最大−最小）を算出するようにしても良いし、各要素ｐの偏差値を用いるようにしても良い。各軸のスケールを合わせることが可能な方法であれば、他の方法を用いて正規化を行っても良い。  次に、前記正規化された機能適合度、保証適合度の重み付け平均を算出した機能要件担当適合度が最適となる担当パターンを基に、各候補製品にサブシステムが満たすべき機能要件を配置する（ｓ２７０４）。
【０１３５】
図３０を用いて、ステップ２７０３〜２７０４における、サブシステムが満たすべき機能要件の担当を決定する手順を説明する。図３０の表のうち、行３００１は、該当サブシステムが満たすべき機能要件がそれぞれ脅威のリスクに対抗するリスク対抗値を、行３００２は、前記機能要件の重要度を、行３００３、３００４は、各候補製品の機能達成度を、行３０１１、３０１２は、該当サブシステムが満たすべき機能要件をいずれの製品で担当するかの担当パターン毎に算出した機能達成度を、行３０２１、３０２２は、担当パターン毎の最低要求保証レベルと要求保証レベル、保証適合度および機能適合度を示している。
【０１３６】
前記重要度は、機能要件毎のリスク対抗値の大小から、各機能要件が、どれくらい重要であるかを示している（例えば、「重要ではない：０」、「あまり重要ではない：０．２５」、「重要：０．５」、「かなり重要：０．７５」、「とても重要：１．０」の５段階）、或いは「該当無し」を示す）。本設定は、作業者が前記主観により設定しても良いし、リスク対抗値と重要度とのマッピングテーブルを事前に用意して、適宜なツールにより算出するようにしても良い。
【０１３７】
図３０は、“サブシステム２”において、候補となる製品組合せとして、“ＷＥＢサーバＡ”と“監査ツールＡ”が選択された場合を想定している。まず、機能要件“ＦＲ３”については、行３００３より、ＷＥＢサーバＡとしか対応関係がないため、ＷＥＢサーバＡが担当することを決定する。また、機能要件“ＦＲ５”についても、行３００４より、監査ツールＡとしか対応関係がないため、監査ツールＡが担当することを決定する。
【０１３８】
ここで、機能要件“ＦＲ４”については、ＷＥＢサーバＡと監査ツールＡのいずれを用いても機能要件を満たすことが出来るため、前記担当パターンの全てを洗い出すと、（１）ＦＲ３、ＦＲ４をＷＥＢサーバＡが担当し、ＦＲ５を監査ツールＡが担当、（２）ＦＲ３をＷＥＢサーバＡが担当し、ＦＲ４、ＦＲ５を監査ツールＡが担当、の２パターンが想定可能である。そこで、洗い出した担当パターン毎の機能達成度は、パターン（１）では、ＦＲ３：０．７５、ＦＲ４：０．５、ＦＲ５：０．２５、パターン（２）では、ＦＲ３：０．７５、ＦＲ４：０．７５、ＦＲ５：０．２５となり、行３０１１、３０１２のような値となる。こうした機能達成度と重要度との差分の和を全機能要件数（ここではＦＲ１〜ＦＲ８の８つ）で除して機能適合度を算出する。例えば、担当パターン（１）の機能適合度は、“（（０．７５−０．７５）＋（０．５−０．５）＋（０．５−０．２５））／８”＝０．０３１、担当パターン（２）の機能適合度は、（（０．７５−０．７５）＋（０．５−０．７５）＋（０．５−０．２５））／８”＝０．０６３である。
【０１３９】
次に、前記洗い出した各担当パターンを基に、脅威−機能要件対応関係を導出し、導出した脅威−機能要件対応関係と、リスク値テーブル１２６と、機能要件寄与率テーブル１２７と、リスク−保証レベル対応関係テーブル１２８とを用いて、各製品に要求する保証レベルを導出する。前記各製品に要求する保証レベルは、実施例１、２または３のいずれか示された方法と同様の方法により導出する。
【０１４０】
例えば、要求保証レベルをリスク対抗値の和から導出する場合、担当パターン（１）におけるＷＥＢサーバＡの要求保証レベルは、図２１（ｂ）のリスク値−保証レベル対応テーブル１２８を用いて、ＦＲ３、ＦＲ４のそれぞれのリスク対抗値８８０、１６０の和をとった１０４０に対応する保証レベル「４」となる。（ステップ２７０３）。同様に算出した監査ツールＡの要求保証レベルは「１」である。以上のようにして算出した担当パターン毎の最低要求保証レベルと要求保証レベルおよび、これらの要求保証レベルと製品の保証レベルを比較することで導出した保証適合度、および導出した機能適合度を表にしたものが、表３０２０（図３０（ｂ））である。
【０１４１】
次に、前記導出した担当パターン毎の保証適合度および機能適合度を比較可能なように正規化したものの重み付け平均をとった値を機能要件担当適合度として導出し、この機能要件担当適合度が最適（最小値をとる）な担当パターンを決定する。例えば、保証適合度の正規化係数を０．２５、機能適合度の正規化係数を１０．０として、同等の重み付けにより機能要件担当適合度を導出すると、担当パターン（１）の機能要件担当適合度は１．３１、担当パターン（２）の機能要件担当適合度は１．３８となり、最適な担当パターンは、機能要件担当適合度が最小である担当パターン（１）となる。
【０１４２】
上記により、保証面もしくは機能面の両面をバランス良く考慮して、サブシステムが満たすべき機能要件をいずれの候補製品で担当するかを決定することが可能となる。
【０１４３】
次に、ステップ２７０５において設計・評価支援ツール１００は、ステップ２７０３〜２７０４で決定した各製品が担当するサブシステムが満たすべき機能要件と、前記候補製品（もしくは、製品組合せ）による達成度と、各機能要件のリスク対抗値から求めた機能要件の重要度を用いて、対応する達成度と重要度の差分の絶対値をとった後、これらの和をとることで機能適合度を導出する（詳細の導出方法については、非特許文献２を参照のこと）。また、製品コストテーブル２６０３を用いて、候補として選択した各製品にかかる導入コストの和をとることで、総導入コストを算出する。また、前記導出した各製品に要求する保証レベルと製品の実際の保証レベルとを比較することで、保証適合度を導出する。ここで、保証適合度は、１：全候補製品の保証レベルが要求保証レベル以上、２：いずれかの候補製品の保証レベルが要求保証レベル未満（要求保証レベル以上の製品も存在）、３：全候補製品の保証レベルが最低要求保証レベル以上、４：いずれかの候補製品の保証レベルが要求保証レベル未満（要求保証レベル以上の製品も存在）、５：全候補製品の保証レベルが要求保証レベル未満、の５つの値をとることとする（ｓ２７０５）。
【０１４４】
次に、ステップ２７０６において、機能要件−サブシステム対応関係テーブル２６０１に示された全てのサブシステムで、候補となる製品もしくは複数製品の全組合せについて、ステップ２７０３〜ステップ２７０５の処理を行った後、前記、各候補製品（もしくは製品組合せ）で導出した、機能適合度、総導入コスト、保証適合度を用いて、各サブシステムを実現する最適な製品（もしくは製品の組合せ）を提示する。
【０１４５】
図３１は、前記最適な製品（もしくは製品の組合せ）を作業者に対して提示した画面３１００の一例である。まず、作業者は、どのサブシステムを対象とするかをサブシステムプルダウン３１０１を用いて選択を行う。作業者が選択を行うと、設計・評価支援ツール１００のユーザインタフェース処理部１１３は、選択したサブシステムについての、グラフ３１０２、最適候補製品（組合せ）表３１１１、機能適合度・保証適合度・コスト表３１１２を画面３１００に表示する。  
ここで、グラフ３１０２は、横軸（ｘ軸）が機能適合度、紙面奥への軸（ｙ軸）が保証適合度、縦軸（ｚ軸）が総導入コストであり、グラフ中の記号は、黒丸が最適な製品組合せ候補を示し、白丸がその他の製品候補を示している。
【０１４６】
前記の機能適合度、保証適合度、総導入コストは、スケールを合わせるため、正規化を行う。正規化の方法としては、各軸の最大最小を求め、各要素ｐ毎に（ｐ−最小）／（最大−最小）を算出するようにしても良いし、各要素ｐの偏差値を用いるようにしても良い。各軸のスケールを合わせることが可能な方法であれば、他の方法を用いて正規化を行っても良い。
【０１４７】
最適候補製品（組合せ）表３１１１は、前記正規化された機能適合度、保証適合度、総導入コストの重み付け平均を算出した組合せ適合度が、最良となる（値としては、最小となる）最適候補製品（組合せ）を示した表である。この例では、“サブシステム２”を実現する最適候補製品として、保証レベルが“３”のＷＥＢサーバＡと保証レベルが“４”の監査ツールＡが導出されたことを示している。  
機能適合度・保証適合度・コスト表３１１２は、前記最適候補製品（組合せ）で算出した機能適合度・保証適合度・総導入コストおよび全サブシステムで算出した総導入コストの和を示した表である。
【０１４８】
次に作業者は、前記導出された最適候補製品（組合せ）を採用する場合は、決定ボタン１２２０を押し、その他の候補を検討する場合は、他候補選択ボタン３１２１を押す。他候補選択ボタン３１２１を作業者が押すと、設計・評価支援ツール１００のユーザインタフェース処理部１１３は、図３２に一例を示すような、選択したサブシステムについての、最適製品組合せ表３２００を画面３１００に表示する。
【０１４９】
最適製品組合せ表３２００は、列３２０１に示された最適候補製品（組合せ）と列３２０２に示された機能面を重視した候補製品（組合せ）と列３２０３に示された保証面を重視した候補製品（組合せ）と列３２０４に示されたコストを重視した候補製品（組合せ）とのそれぞれについて、機能適合度・保証適合度・総導入コスト（該当サブシステム）・総導入コスト（全サブシステム計）および選択された製品群を示した表である。
【０１５０】
作業者は、最適製品組合せ表３２００の各パラメータを考慮し、機能面・保証面・コストのそれぞれの観点を、バランス良く満たす製品組合せを選択するか、それとも、いずれかの観点を特に重視して製品組合せを選択するか、をシステムオーナーのニーズ等を参考に判断し、該当する選択ボタン３２０５を押す。押されたボタンに合わせて、設計・評価支援ツール１００のユーザインタフェース処理部１１３は、図３１のグラフおよびテーブルを、選択された製品組合せに合わせて変更し、画面３１００に表示する。
【０１５１】
作業者は、満足した製品組合せが得られた場合は、決定ボタン１２２０を押し、ステップ９０６へ進み、サブシステムが満たすべき機能要件の配置を見直す必要があると判断した場合は、機能要件配置見直しボタン３１２０を押し、ステップ２７０２に戻り、サブシステム−機能要件の対応関係設定から、やり直しを行う（ｓ２７０７）。
【０１５２】
以上により、システムセキュリティ設計時において、システムを機能的に分割した各サブシステムを実現する製品組合せについて、セキュリティ機能面・保証面およびコストの観点から、最適なものを選択することが可能となる。
【０１５３】
なお、これまで示した  システムセキュリティ設計・設計・評価支援ツール１００における各機能部１１０〜１１３、２６１１〜２６１５は、ハードウェアとして実現してもよいし、メモリやＨＤＤ（Ｈａｒｄ  Ｄｉｓｋ  Ｄｒｉｖｅ）などの適宜な記憶装置に格納したプログラムとして実現するとしてもよい。この場合、前記ＣＰＵ１０１がプログラム実行に合わせて外部記憶装置１０３より該当プログラムをメモリ１０２に読み出して、これを実行することとなる。
【０１５４】
本実施形態によれば、対象システムに想定される脅威のリスクの大きさに見合った各コンポーネントの適切な保証レベルを導出することが可能となる。
【０１５５】
また、対象システムのセキュリティ評価を行う上で、上記導出した各コンポーネントの適切な保証レベルと、実際に対象システムを構成する製品群および新規開発部の保証レベルとを比較することで、対象システムを構成するコンポーネントとして適切な保証レベルの製品を導入しているか、新規開発部の保証レベルも適切であるかを確認することが可能となる。
【０１５６】
また、対象システムのセキュリティ設計を行う上で、一般に、複数の製品群や新規開発部等のコンポーネントから構成されるシステムにおいて、コンポーネント毎の適切な保証レベルが導出可能となることで、製品群により構成されるコンポーネント部分にむやみに高い保証レベルを要求する必要が無くなるため、既存製品の選択の幅が広がり、新規開発部についても、設計・開発・評価にかかる時間とコストを低く抑える効果がある。
【０１５７】
また、対象システムのセキュリティ設計を行う上で、システムを機能的に分割した各サブシステムが満たすべき機能要件を、実在する製品組合せのうちいずれの製品が担当すべきかを、セキュリティ機能面および保証面の両観点から決定することで、製品群により構成されるコンポーネント部分にむやみに高い保証レベルを要求する必要が無くなる。そのため、既存製品の選択の幅が広がり、新規開発部についても、設計・開発・評価にかかる時間とコストを低く抑える効果がある。
【０１５８】
以上、本発明の実施の形態について、その実施の形態に基づき具体的に説明したが、これに限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能である。
【図面の簡単な説明】
【０１５９】
【図１】システムセキュリティ設計・評価支援ツールの概略構成図である。
【図２】本実施例の説明に使用する対象システムの構成図である。
【図３】脅威−コンポーネント対応関係テーブルに格納される情報例１を示した図である。
【図４】脅威−コンポーネント対応関係テーブルに格納される情報例２を示した図である。
【図５】リスク値テーブルに格納される情報の一例を示した図である。
【図６】寄与率データに格納される情報の一例を示した図である。
【図７】リスク−保証レベル対応テーブルに格納される情報の一例を示した図である。
【図８】システムセキュリティ設計・評価支援方法におけるツール動作を示すフローチャート図である。
【図９】システムセキュリティ設計・評価支援ツールの実行時に表示される画面の例を示した図である。
【図１０】脅威−コンポーネント対応関係テーブルの設定受付画面の例を示した図である。
【図１１】脅威のリスクランクの設定受付画面の例を示した図である。
【図１２】リスク分析により、作業者がリスクランクを決定する際の事例１を示した図である。
【図１３】リスク分析により、作業者がリスクランクを決定する際の事例２を示した図である。
【図１４】リスク分析により、作業者がリスクランクを決定する際の事例３を示した図である。
【図１５】リスク分析により、作業者がリスクランクを決定する際の事例４を示した図である。
【図１６】寄与率の算出に必要なデータ設定を受付ける画面例を示した図である。
【図１７】コンポーネント保証レベルの導出処理手順を示すフローチャート図である。
【図１８】脅威に対応するコンポーネントの寄与率を算出する概念を示したイメージ図である。
【図１９】導出したコンポーネント毎の要求保証レベルの結果を表示する画面例を示した図である。
【図２０】第２実施例における、コンポーネント保証レベルの導出処理手順を示すフローチャート図である。
【図２１】第３実施例における、リスク値テーブルに格納される情報およびリスク−保証レベル対応テーブルに格納される情報の一例を示した図である。
【図２２】第３実施例のシステムセキュリティ設計・評価支援方法におけるツール動作を示すフローチャート図である。
【図２３】第３実施例における、脅威のリスク値の設定画面の例を示した図である。
【図２４】第３実施例における、リスク分析により、作業者がリスク値を決定する際の事例を示した図である。
【図２５】第３実施例における、コンポーネント保証レベルの導出処理手順を示すフローチャート図である。
【図２６】第４実施例における、システムセキュリティ設計・評価支援ツールの概略構成図の変形例である。
【図２７】第４実施例における、機能要件−サブシステム対応関係テーブル、機能達成度算出用テーブル、製品コストテーブルおよび製品保証レベルテーブルに格納される情報の一例を示した図である。
【図２８】第４実施例における、システムセキュリティ設計・評価支援方法におけるツール動作を示すフローチャート図である。
【図２９】第４実施例における、機能要件−サブシステム対応関係テーブルの設定受付画面の例を示した図である。
【図３０】第４実施例における、機能要件担当決定部の動作を説明するための図である。
【図３１】第４実施例における、導出した製品組合せの結果を表示する画面例を示した図である。
【図３２】第４実施例における、導出した製品組合せの結果を表示する画面例を示した図である。
【符号の説明】
【０１６０】
１００  システムセキュリティ設計・評価支援ツール、１０１  ＣＰＵ、
１０２  メモリ、１０３  外部記憶装置、１０４  ディスプレイ、
１０５  入力装置（キーボード、マウス）、１０６  端末入出力処理部、
１０８  可搬記憶媒体入出力制御部、１０９  バス、
１１０  テーブル連結利用部、１１１  コンポーネント保証レベル導出部、
１１２  寄与率算出部、１１３  ユーザインタフェース処理部、
１１５  システムセキュリティ設計・評価データ領域、１２０  可搬記憶媒体、
１２５  脅威−コンポーネント対応関係テーブル、１２６  リスク値テーブル、
１２７  コンポーネント寄与率テーブル、
１２８  リスク−保証レベル対応関係テーブル、
１３０  システムセキュリティ設計・評価支援プログラム、
２００  設計・評価対象システム、
２０１  社内、２０２  サーバ室、２１１  クライアントＡ、
２１４  内部者、２１５  サーバ、２１９  ＷＥＢページ、
２２０  顧客情報データベース、２２１  管理者
【図１】
2006331383.tif 000003
【図２】
2006331383.tif 000004
【図３】
2006331383.tif 000005
【図４】
2006331383.tif 000006
【図５】
2006331383.tif 000007
【図６】
2006331383.tif 000008
【図７】
2006331383.tif 000009
【図８】
2006331383.tif 000010
【図９】
2006331383.tif 000011
【図１０】
2006331383.tif 000012
【図１１】
2006331383.tif 000013
【図１２】
2006331383.tif 000014
【図１３】
2006331383.tif 000015
【図１４】
2006331383.tif 000016
【図１５】
2006331383.tif 000017
【図１６】
2006331383.tif 000018
【図１７】
2006331383.tif 000019
【図１８】
2006331383.tif 000020
【図１９】
2006331383.tif 000021
【図２０】
2006331383.tif 000022
【図２１】
2006331383.tif 000023
【図２２】
2006331383.tif 000024
【図２３】
2006331383.tif 000025
【図２４】
2006331383.tif 000026
【図２５】
2006331383.tif 000027
【図２６】
2006331383.tif 000028
【図２７】
2006331383.tif 000029
【図２８】
2006331383.tif 000030
【図２９】
2006331383.tif 000031
【図３０】
2006331383.tif 000032
【図３１】
2006331383.tif 000033
【図３２】
2006331383.tif 000034