(57)【要約】【課題】セキュリティ対策項目の策定・監査・診断実施後に、適切なセキュリティソリューションの提案を支援する。【解決手段】情報処理装置１４に、製品／サービス毎に、導入コスト、満足度、セキュリティ対策項目と製品／サービスとの関連度と、を対応付けた製品／サービス情報ＤＢ１５と、製品／サービス毎にソリューションを対応付けたソリューション情報ＤＢ１６と、各セキュリティ対策項目の重要度１１、導入済み製品／サービス１２、許容コスト１３の入力を受付ける手段と、入力された重要度１１、導入済み製品／サービス１２、許容コスト１３と、製品／サービス情報ＤＢ１５およびソリューション情報ＤＢ１６に格納されているデータとを用いて、受付けた重要度に適合するソリューションを決定する手段と、決定したソリューションを導入した場合の対策効果を提示する手段とを設ける。【選択図】図１
2006235692.tif 000002
【特許請求の範囲】
【請求項１】
情報システムに対するセキュリティ対策のためのソリューションを提示する情報処理装置であって、
前記ソリューションとは、製品、サービス、製品およびサービスの組合せの中のいずれか（以下「製品等」という）を複数種組合せたものであって、
前記情報システムに対する複数のセキュリティ対策項目を記憶するセキュリティ対策項目記憶手段と、
前記製品等毎に、当該製品等に対する利用者の満足度と、前記セキュリティ対策項目記憶手段に記憶しているセキュリティ対策項目と当該製品等との関連度と、を対応付けたデータを記憶している製品情報記憶手段と、
前記製品情報記憶手段に記憶している製品等毎に対応するソリューションを関連付けたデータを記憶しているソリューション情報記憶手段と、
前記セキュリティ対策項目記憶手段に記憶している各セキュリティ対策項目の重要度を示すデータの入力を受付ける手段と、
前記製品情報記憶手段に記憶している製品等の中から前記情報システムに既に導入されている製品等の選択を受付け、当該選択を受付けた製品等を導入済み製品等として識別可能な状態で保持する製品情報入力手段と、
前記製品情報記憶手段に記憶されているデータの中の前記導入済み製品等に対応付けられた満足度および関連度を用いて、現状の情報システムに対するセキュリティ対策項目の現状達成度を算出する手段と、
前記製品情報記憶手段に記憶しているデータを用いて、当該導入済み製品等に当該導入済みの製品等以外の製品等を追加した組合せを求め、前記求めた組合せ毎に、前記導入済みの製品等の満足度および関連度と、前記導入済みの製品等以外の製品等の満足度および関連度とを用いて、当該組合せを実施した場合の前記情報システムに対するセキュリティ対策項目の改善達成度を算出し、当該算出した改善達成度と前記入力を受付けた重要度との差が最小となる組合せを最適な製品等の組合せに決定する手段と、
前記各セキュリティ対策項目の重要度と前記算出した現状達成度とを比較することによりセキュリティ対策が不足しているセキュリティ対策項目を特定する手段と、
前記セキュリティ対策が不足しているセキュリティ対策項目を対策する製品等を前記決定した組合せの中の前記導入済みの製品等以外の製品等から選択し、前記ソリューション情報記憶手段に記憶しているデータを利用して、前記選択した製品等に対応するソリューションを特定し、当該特定したソリューションを示すデータを提示する手段と、を有すること
を特徴とする情報処理装置。
【請求項２】
請求項１に記載の情報処理装置であって、
前記ソリューション情報記憶手段には、前記製品情報記憶手段に記憶している製品等毎に、セキュリティ管理サイクルを分類したフェーズであって、計画フェーズ、実行フェーズ、運用フェーズ、および監視フェーズのいずれかのフェーズを対応付けたデータが記憶されていて、
前記ソリューション情報記憶手段に記憶している、製品等とソリューションとの対応、および製品等とセキュリティ管理サイクルのフェーズとの対応を利用して、前記特定したソリューションをセキュリティ管理サイクルの各フェーズに分類して、当該ソリューションに実施順序をつけたデータを提示する手段を有すること
を特徴とする情報処理装置。
【請求項３】
請求項1に記載の情報処理装置であって、
前記製品情報入力手段は、
前記製品情報記憶手段に記憶している製品等のデータの中に、前記情報システムに既に導入されている製品等を示すデータが無い場合、新たに製品等毎に、当該製品等に対する利用者の満足度と、前記セキュリティ対策項目記憶手段に記憶しているセキュリティ対策項目と当該製品等との関連度を示すデータと、当該製品等とソリューションとの対応を示すデータと、を受付けて、
前記入力を受付けた製品等を導入済み製品等として識別可能な状態で保持し、
前記受付けた製品等毎に前記満足度、および前記セキュリティ対策項目と当該製品等との関連度を示すデータを前記製品情報記憶手段に記憶し、
前記受付けた当該製品等とソリューションとの対応を示すデータを前記ソリューション情報記憶手段に記憶すること
を特徴とする情報処理装置。
【請求項４】
請求項１〜３のいずれか一項に記載の情報処理装置であって、
前記ソリューション情報記憶手段に記憶している製品等とソリューションとを対応付けたデータは、
製品等毎にセキュリティの機能の種別に分類されていて、当該セキュリティ機能の種別と前記ソリューションとが対応付けられていること
を特徴とする情報処理装置。
【請求項５】
請求項１〜４のいずれか一項に記載の情報処理装置であって、
前記受付けた各セキュリティ対策項目の重要度と前記算出した導入済み製品等の現状達成度とを比較することによりセキュリティ対策が過剰なセキュリティ対策項目を特定する手段と、
前記製品情報記憶手段に記憶されているデータの中から前記導入済み製品等と前記特定したセキュリティ対策が過剰なセキュリティ対策項目との関連度を検索し、前記特定したセキュリティ対策が過剰なセキュリティ対策項目に対応する導入済み製品等を特定する手段とを有すること
を特徴とする情報処理装置。
【請求項６】
請求項１〜５のいずれか一項に記載の情報処理装置であって、
前記特定したセキュリティ対策が不足しているセキュリティ対策項目を、各セキュリティ対策項目の重要度の大きさにより並び替え、各セキュリティ対策項目の重要度、前記導入済み製品等の現状達成度、および前記特定したソリューションの改善達成度を表すグラフを生成し、当該生成したグラフを表示する手段を有すること
を特徴とする情報処理装置。
【請求項７】
請求項６に記載の情報処理装置であって、
前記グラフを表示する手段は、さらに、
各セキュリティ対策項目における導入済み製品等の現状達成度と前記特定したソリューションの改善達成度の差分を計算し、前記計算した差分の大きさにより、重要度が同じであるセキュリティ対策項目毎にセキュリティ対策項目を並び替え、各セキュリティ対策項目の重要度、前記導入済み製品等の現状達成度、および前記特定したソリューションの改善達成度を表すグラフを生成し、当該生成したグラフを表示すること
を特徴とする情報処理装置。
【請求項８】
請求項７に記載の情報処理装置であって、
前記グラフを表示する手段は、さらに、
提示するソリューションがそれぞれ対応するセキュリティ管理サイクルの各フェーズを元に、重要度が同じであるセキュリティ対策項目毎にセキュリティ対策項目をセキュリティ管理サイクルの実施順序の順に並び替え、各セキュリティ対策項目の重要度、導入済み製品等の現状達成度、および前記特定したソリューションの改善達成度を表すグラフを生成し、前記生成したグラフを表示すること
を特徴とする情報処理装置。
【請求項９】
請求項８に記載の情報処理装置であって、
セキュリティ対策の予算である許容コストの入力を受付ける手段を有し、
前記グラフを表示する手段は、
前記受付けた許容コストを示す線（以下、コストレバー）を表示し、
前記コストレバーで示した位置に対応する許容コスト範囲内の最適ソリューションを計算する手段と、
前記計算したソリューションの一覧表を作成し表示する手段とを有すること
を特徴とする情報処理装置。
【請求項１０】
請求項９に記載の情報処理装置であって、
前記グラフを表示する手段は、
セキュリティ対策にかけられるコストの変更を受付ける手段と、
前記変更されたコストに対応する位置にコストレバーを表示する手段と、
を有すること
を特徴とする情報処理装置。
【請求項１１】
セキュリティ対策のためのソリューションを提示する、少なくとも1台の情報処理装置と、前記情報処理装置にネットワークを介して接続されているサーバと、を有する情報システムのセキュリティ対策を支援するシステムであって、
前記ソリューションとは、製品、サービス、製品およびサービスの組合せの中のいずれか（以下「製品等」という）を複数種組合せたものであって、
前記サーバは、
前記情報システムに対する複数種のセキュリティ対策項目を記憶するセキュリティ対策項目記憶手段と、
製品等毎に、利用者の当該製品等に対する満足度と、前記セキュリティ対策項目記憶手段に記憶しているセキュリティ対策項目と当該製品等との関連度を示すデータと、を記憶した製品情報記憶手段と、
前記製品情報記憶手段に記憶している製品等毎に対応するソリューションを関連付けたデータを記憶しているソリューション情報記憶手段と、を有し、
前記情報処理装置は、
前記セキュリティ対策項記憶手段に記憶しているセキュリティ対策項目毎の重要度を示すデータの入力を受付ける手段と、
前記ネットワークを介して、前記サーバの製品情報記憶手段に記憶されたデータを取得し、前記取得したデータの中から情報システムに既に導入されている製品等の選択を受付け、当該選択を受付けた製品等を導入済み製品等として識別可能な状態で保持する手段と、
前記取得した製品情報記憶手段に記憶されたデータの中の前記導入済み製品等に対応付けられた満足度および関連度を用いて、現状の情報システムに対するセキュリティ対策項目の現状達成度を算出する手段と、
前記取得した製品情報記憶手段に記憶されたデータを用いて、当該導入済み製品等に当該導入済みの製品等以外の製品等を追加した組合せを求め、前記求めた組合せ毎に、前記導入済みの製品等の満足度および関連度と、前記導入済みの製品等以外の製品等の満足度および関連度とを用いて、当該組合せを実施した場合の前記情報システムに対するセキュリティ対策項目の改善達成度を算出し、当該算出した改善達成度と前記入力を受付けた重要度との差が最小となる組合せを最適な製品等の組合せに決定する手段と、
各セキュリティ対策項目の重要度と前記計算した現状達成度とを比較することによりセキュリティ対策が不足しているセキュリティ対策項目を特定する手段と、
前記各セキュリティ対策項目の重要度と前記算出した現状達成度とを比較することによりセキュリティ対策が不足しているセキュリティ対策項目を特定する手段と、
前記セキュリティ対策が不足しているセキュリティ対策項目を対策する製品等を前記決定した組合せの中の前記導入済みの製品等以外の製品等から選択する手段と、
前記ネットワークを介して、前記サーバの前記ソリューション情報記憶手段に記憶しているデータを取得し、取得したデータを利用して、前記選択した製品等に対応するソリューションを特定し、当該特定したソリューションを示すデータを提示する手段と、を有すること
を特徴とするセキュリティ対策を支援するシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報システムに対するセキュリティ対策の技術に関し、特に情報システムのセキュリティ対策の不足点を解決するための適切なソリューションを提案する技術に関する。
【背景技術】
【０００２】
企業のビジネス活動において、インターネット技術に基づく企業情報システムが非常に重要なインフラとなり、インターネット接続に伴うセキュリティ問題の認知度が高まってきている。これに伴い、インターネット接続サイトに対するセキュリティ診断サービスやセキュアシステム構築・評価サービスのニーズが増大している。特に、セキュアシステム構築・評価サービスに関しては、単にファイアウォールの設置やウイルス対策ソフトの導入といった個別の技術的対策を実施するだけでなく、情報システム全体に対するセキュリティ上の脅威抽出やリスク評価によってセキュリティ対策項目を作成し、これに基づいた体系的なセキュリティ対策を、定期的な監査・診断をすることにより継続的に実施することが国内外で求められるようになってきている。
【０００３】
体系的なセキュリティ対策を行うにあたって、設計者は、各顧客のシステムの現状に合わせたセキュリティ対策を行う必要がある。そして、セキュリティ対策の実現手段には、コスト対効果が高いものが要求される。しかしながら、実現手段となる製品／サービス（製品、サービス、製品およびサービス組合せのいずれか）には、多種多様なものがあり、知識や経験の浅い設計者にとって、その中から顧客のシステムに最適なセキュリティ対策の製品／サービスの組合せを決定するのは困難である。
【０００４】
これに対する解決策として、従来から、セキュリティ対策の実現手段となる製品／サービスの組合せを算出するための手法が提案されている（非特許文献１）。非特許文献１の方法では、セキュリティ対策項目の重要度、実現手段候補製品／サービスの満足度、およびセキュリティ対策項目と実現手段である候補製品／サービスの関連度を設定し、ファジィ合成演算に基づいて、コスト対効果の高い製品／サービスの組合せを導出している。
【０００５】
【非特許文献１】永井康彦、外３名、「機能的適合性を考慮した情報システムのセキュリティ基本設計法の提案」、情報処理学会論文誌、Ｖｏｌ．４５、Ｎｏ．４、２００４年４月、Ｐ．１１６３〜１１７５
【発明の開示】
【発明が解決しようとする課題】
【０００６】
ところで、実際に情報システムに対するセキュリティ対策を行う場合、セキュリティ対策のための製品／サービスを単体で導入することは少ない。セキュリティ対策の設計者は、複数の製品／サービスを組合せたソリューションとしてセキュリティ対策の実現手段を顧客等の対象部門に提案することが多い。また、情報システムに対するセキュリティ対策は、定期的な監査・診断をすることにより継続的に行われることが求められている。この場合、既に何らかのセキュリティ対策が施されている情報システムに対するソリューションの提案が行われる。
【０００７】
しかしながら、上記非特許文献１では、ソリューションと製品／サービスとの関係について特に考慮されていない。そのため、非特許文献１の方法を利用したとしても、セキュリティ対策の設計者に十分の経験や知識がなければ、最適なソリューションを決定することは困難である。また、上記非特許文献１の方法は、情報システムの基本設計の段階におけるセキュリティ対策に関するものあり、既にセキュリティ対策が施されている情報システムに対するセキュリティ対策を考慮したものではない。
【０００８】
本発明は、上記事情を鑑みてなされたものであり、本発明の目的は、セキュリティ対策項目の策定・監査・診断実施後に、適切なセキュリティソリューションの提案を支援することにある。
【課題を解決するための手段】
【０００９】
上記課題を解決するため、本発明の一態様は、情報システムに対するセキュリティ対策のためのソリューションを提示する情報処理装置に適用される。ここで、前記ソリューションとは、製品、サービス、製品およびサービスの組合せの中のいずれか（以下「製品等」という）を複数種組合せたものをいう。
【００１０】
そして、前記情報処理装置は、前記情報システムに対する複数のセキュリティ対策項目を記憶するセキュリティ対策項目記憶手段と、前記製品等毎に、当該製品等に対する利用者の満足度と、前記セキュリティ対策項目記憶手段に記憶しているセキュリティ対策項目と当該製品等との関連度と、を対応付けたデータを記憶している製品情報記憶手段と、前記製品情報記憶手段に記憶している製品等毎に対応するソリューションを関連付けたデータを記憶しているソリューション情報記憶手段と、前記セキュリティ対策項目記憶手段に記憶している各セキュリティ対策項目の重要度を示すデータの入力を受付ける手段と、前記製品情報記憶手段に記憶している製品等の中から前記情報システムに既に導入されている製品等の選択を受付け、当該選択を受付けた製品等を導入済み製品等として識別可能な状態で保持する製品情報入力手段と、前記製品情報記憶手段に記憶されているデータの中の前記導入済み製品等に対応付けられた満足度および関連度を用いて、現状の情報システムに対するセキュリティ対策項目の現状達成度を算出する手段と、前記製品情報記憶手段に記憶しているデータを用いて、当該導入済み製品等に当該導入済みの製品等以外の製品等を追加した組合せを求め、前記求めた組合せ毎に、前記導入済みの製品等の満足度および関連度と、前記導入済みの製品等以外の製品等の満足度および関連度とを用いて、当該組合せを実施した場合の前記情報システムに対するセキュリティ対策項目の改善達成度を算出し、当該算出した改善達成度と前記入力を受付けた重要度との差が最小となる組合せを最適な製品等の組合せに決定する手段と、前記各セキュリティ対策項目の重要度と前記算出した現状達成度とを比較することによりセキュリティ対策が不足しているセキュリティ対策項目を特定する手段と、前記セキュリティ対策が不足しているセキュリティ対策項目を対策する製品等を前記決定した組合せの中の前記導入済みの製品等以外の製品等から選択し、前記ソリューション情報記憶手段に記憶しているデータを利用して、前記選択した製品等に対応するソリューションを特定し、当該特定したソリューションを示すデータを提示する手段と、を有する。
【発明の効果】
【００１１】
本発明では、セキュリティ対策等を行うための製品等とソリューションとを対応付けておいて、情報システムに既に導入されているセキュリティ対策の製品等では不足しているセキュリティ対策項目と、新たに行うセキュリティ対策のための製品等とを求めて、製品等とソリューションとを対応付けを利用して、最適なセキュリティソリューションを提示するようにしている。
【００１２】
そのため、本発明によれば、経験やノウハウの少ないＳＥでも、適切なセキュリティソリューションの提案を行うことができる。
【発明を実施するための最良の形態】
【００１３】
以下、本発明の実施形態を説明する。
<第１実施形態>
先ず、本発明の第１実施形態について説明する。
【００１４】
図１は、本発明の第１実施形態のセキュリティソリューション提案支援ツールの概略を説明するための図である。
【００１５】
セキュリティソリューション提案支援ツール１４（以下において単に「支援ツール１４」ということもある）は、情報システムに対するセキュリティ対策項目の重要度１１（以下、単に「重要度１１」ということもある）と、対象情報システムへの導入済みの製品／サービス１２を示すデータ（以下、単に「導入済み製品／サービス１２」ということもある）と、セキュリティ対策にかけられる許容コスト１３（以下、単に「コスト１３」ということもある）とを入力とし、セキュリティ対策が不足しているセキュリティ対策項目を対策する最適ソリューション１７ならびに最適ソリューションを実施した場合の対策効果を分析／評価した分析／評価結果１８を示すデータを出力するものである。
【００１６】
なお、本実施形態の説明において用いる「製品／サービス」とは、セキュリティ対策の具体的な実現手段となる製品単体、サービス単体、製品とサービスのセットのいずれかをいうものとする。製品単体およびサービス単体は、各々、それ自体を導入することでセキュリティ対策効果があるものをいう。また、製品とサービスとの組合せは、製品とサービスとに依存関係があり、両方揃わなければセキュリティ対策効果がないものをいう。
【００１７】
より具体的には、支援ツール１４には、情報システムに対するセキュリティ対策項目、およびセキュリティ対策項目の具体的な実現手段候補となる製品／サービスに関するデータを格納した製品／サービス情報ＤＢ１５と、製品／サービスとそれらの組合せにソリューションとを対応付けたデータおよび製品／サービスとセキュリティ管理サイクルの各フェーズ（セキュリティ管理サイクルの各フェーズについては後述する）とを対応付けたデータとを格納したソリューション情報ＤＢ１６と、が設けられている。また、支援ツール１４が行う処理は、入力データ処理フェーズ１４１と、最適ソリューション決定処理フェーズ１４２と、分析／評価結果表示処理フェーズ１４３とに分類されている。
【００１８】
入力データ処理フェーズ１４１では、重要度１１、導入済みの製品／サービス１２、および許容コスト１３の入力を受付ける処理を行う。最適ソリューション決定処理フェーズ１４２では、上記の入力を受付けたデータ（重要度１１、導入済みの製品／サービス１２、および許容コスト１３）と、製品／サービス情報ＤＢ１５に格納されている製品／サービスの満足度および関連度を示すデータと、ソリューション情報ＤＢ１６に格納されている製品／サービスとソリューションとを対応付けたデータとを用いて、重要度に最も適合するソリューションを決定する。また、分析／評価結果表示処理フェーズ１４３では、提案する最適ソリューション１７、ならびに最適ソリューション１７を導入した場合の対策効果を分析／評価した分析／評価結果１８を出力する。
【００１９】
次に、本実施形態の支援ツール１４の機能構成を、図２を用いて説明する。
【００２０】
図２は、本実施形態のセキュリティソリューション提案支援ツール１４の機能ブロック図である。
【００２１】
図示するように、支援ツール１４は、入力データ処理部２４１、追加データ登録処理部２４２、現状達成度計算処理部２４３、最適製品／サービス決定処理部２４４、セキュリティ対策不足項目特定処理部２４５、最適ソリューション決定処理部２４６、ソリューション実施順序決定処理部２４７、分析／評価結果表示処理部２４８、製品／サービス情報ＤＢ１５、およびソリューション情報ＤＢ１６を有する。
【００２２】
入力データ処理部２４１は、重要度１１、導入済みの製品／サービス１２、および許容コスト１３の入力を受付ける。追加データ登録処理部２４２は、製品／サービス情報ＤＢ１５およびソリューション情報ＤＢ１６に登録されていない
対象情報システムに既に導入されている製品／サービスのデータの入力を受付け、その受付けたデータを製品／サービス情報ＤＢ１５およびソリューション情報ＤＢ１６に追加登録する。
【００２３】
現状達成度計算処理部２４３は、導入済み製品／サービスの現状達成度を計算する。最適製品／サービス決定処理部２４４は、入力データ処理部２４１が受付けた重要度１１に最も適合する最適な製品／サービスの組合せを求める。セキュリティ対策不足項目特定処理部２４５は、セキュリティ対策が不足しているセキュリティ対策項目を特定する。最適ソリューション決定処理部２４６は、特定したセキュリティ対策項目を対策する製品／サービスに対応するソリューションを特定する。ソリューション実施順序決定処理部２４７は、ソリューションの実施の順序付けを行う。分析／評価結果表示処理部２４８は、特定したソリューションに対する分析／評価を行い、その結果を表示する。
【００２４】
製品／サービス情報ＤＢ１５には、情報システムに対するセキュリティ対策項目を格納するセキュリティ対策項目テーブル１５１（図４（ａ）参照）と、セキュリティ対策項目と実現手段である製品／サービスに関する情報を格納する製品／サービス決定テーブル１５２（図４（ｂ）参照）とが格納されている。なお、セキュリティ対策項目テーブル１５１および製品／サービス決定テーブル１５２のデータ構成は、後述する。
【００２５】
ソリューション情報ＤＢ１６には、製品／サービスとセキュリティ管理サイクルのフェーズ（計画フェーズ（ＰＬＡＮ）、実行フェーズ（ＤＯ）、運用フェーズ（ＳＥＥ）、監視フェーズ（ＣＨＥＣＫ））とを対応付けたセキュリティ管理サイクル対応テーブル１６１（図６（ａ）参照）と、製品／サービスとその製品／サービスを適用するソリューションとを対応付けたソリューション対応テーブル１６２（図６（ｂ）参照）とが格納されている。なお、セキュリティ管理サイクル対応テーブル１６１およびソリューション対応テーブル１６２のデータ構成は、後述する。
【００２６】
続いて、本実施形態のセキュリティソリューション提案支援ツール１４のハードウェア構成について、図３を用いて説明する。
【００２７】
図３は、本実施形態のセキュリティソリューション提案支援ツールのハードウェア構成図である。
【００２８】
図示するように、支援ツール１４には、支援ツール１４が出力するデータを表示する表示装置２５、および支援ツール１４にデータを入力する入力装置２６が接続されている。なお、表示装置２５には、例えば、液晶ディスプレイ、ＣＲＴ等を用いることができる。また、入力装置２６には、例えば、キーボード、マウス等を用いることができる。
【００２９】
支援ツール１４は、各種の処理を実行するＣＰＵ（Central Processing Unit）２１と、表示装置１５や入力装置２６との間で行うデータの入出力を制御する端末入出力Ｉ／Ｆ２２と、各種のデータや各種プログラムを記憶する外部記憶装置２３と、ＣＰＵ２１が実行するプログラムやデータを一時的に記憶する主記憶装置２４と、ネットワークを介して他の装置と行うデータの送受信を制御するネットワークＩ／Ｆ２７と、バス２８とを有する。なお、ＣＰＵ２１、端末入出力Ｉ／Ｆ２２、外部記憶装置２３、主記憶装置２４、およびネットワークＩ／Ｆ２７は、バス２８により相互に接続されている。
【００３０】
外部記憶装置２３には、製品／サービス情報ＤＢ１５、ソリューションＤＢ１６、入力データ処理プログラム２３１、最適ソリューション決定プログラム２３２、および分析／評価結果表示処理プログラム２３３が格納されている。入力データ処理プログラム２３１は、入力データ処理部２４１および追加データ登録処理部２４２の機能を実現するためのプログラムである。最適ソリューション決定プログラム２３２は、現状達成度計算処理部２４３、最適製品／サービス決定処理部２４４、セキュリティ対策不足項目特定処理部２４５、最適ソリューション決定処理部２４６、およびソリューション実施順序決定処理部２４７の機能を実現するためのプログラムである。分析／評価結果表示処理プログラム２３３は、分析／評価結果表示処理部２４８の機能を実現するためのプログラムである。
【００３１】
そして、入力データ処理部２４１および追加データ登録処理部２４２の機能は、ＣＰＵ２１が外部記憶装置２３に格納されている入力データ処理プログラム２３１を主記憶装置２４にロードして実行することにより実現される。また、現状達成度計算処理部２４３、最適製品／サービス決定処理部２４４、セキュリティ対策不足項目特定処理部２４５、最適ソリューション決定処理部２４６、およびソリューション実施順序決定処理部２４７の機能は、ＣＰＵ２１が外部記憶装置２３に格納されている最適ソリューション決定プログラム２３２を主記憶装置２４にロードして実行することにより実現される。分析／評価結果表示処理部２４８の機能は、ＣＰＵ２１が外部記憶装置２３に格納されている分析／評価結果表示処理プログラム２３３を主記憶装置２４にロードして実行することにより実現される。
【００３２】
続いて、本実施形態の製品／サービス情報ＤＢ１５、ソリューションＤＢ１６のデータ構造について説明する。
【００３３】
先ず、製品／サービス情報ＤＢ１５に格納されているセキュリティ対策項目テーブル１５１および製品／サービス決定テーブル１５２について図４を用いて説明する。
【００３４】
図４は、本実施形態の製品／サービス情報ＤＢ１５のデータ構造を模擬的に示した図であり、（Ａ）図にセキュリティ対策項目テーブル１５１を示し、（Ｂ）図に製品／サービス決定テーブル１５２を示している。
【００３５】
図４（Ａ）に示すように、セキュリティ対策項目テーブル１５１は、セキュリティ対策項目を識別する項目ＩＤ（項目番号）を登録するためのフィールド３１０と、フィールド３１０に登録された項目ＩＤが示すセキュリティ対策項目を登録するフィールド３１１とを備えて１つのレコードが構成される。なお、図示する例では、セキュリティ対策項目テーブル１５１に４つのレコードが登録されているが、登録されているレコードの数および内容は、例示に過ぎない。
【００３６】
また、図４（Ｂ）に示すように、製品／サービス決定テーブル１５２では、製品／サービス毎にコスト、満足度、セキュリティ対策項目テーブル１５１に格納された各セキュリティ対策項目との関連度を対応付けている。
【００３７】
具体的には、製品／サービス決定テーブル１５２は、セキュリティ対策項目の実現手段候補となる製品／サービスの名称を登録するフィールド３２０と、フィールド３２０に登録された製品／サービスの導入コストを登録するためのフィールド３２１と、フィールド３２０に登録された製品／サービスに対する満足度を登録するためのフィールド３２２と、フィールド３２０に登録された製品／サービスとセキュリティリ対策項目との関連度を登録するフィールド３２３−１〜４とを備えて、１つのレコードが構成される。なお、製品／サービス決定テーブル１５２の「項目ＩＤ」は、セキュリティ対策テーブル１５１の「項目ＩＤ」に対応している。
【００３８】
ここで、製品／サービス決定テーブル１５２に登録する「関連度」および「満足度」について説明する。「満足度」および「関連度」は、客観データの入手が困難である。そのため、本実施形態では、５段階の数値で表現された利用者の主観データを基にして「満足度」および「関連度」を設定する。「満足度」については、製品のセキュリティ機能、あるいはサービスの満足度の度合いを５段階（例えば、全く使えない：０．０、あまり使えない：０．２５、まあまあ使える：０．５、けっこう使える：０．７５、十分使える：１．０の５段階で設定）で設定する。また、「関連度」については、製品／サービスとセキュリティ対策項目との関連の強さの度合いを５段階（例えば、関連なし：０．０、少しは関連がある：０．２５、関連がある：０．５、関連が強い：０．７５、直接対応する１．０の５段階で設定）で設定する。
【００３９】
図示する例では、フィールド３２０に「製品Ａ」が登録されているレコード３２６（列３２６）には、「製品Ａ」についてコストが「３０万円」、満足度が「０．５」、セキュリティ対策項目Ｏ１との関連度が「０．５」、セキュリティ対策項目Ｏ２との関連度が「０．２５」、セキュリティ対策項目Ｏ３との関連度が「０」、セキュリティ対策項目Ｏ４との関連度が「０」であることが登録されている。
【００４０】
また、図示する例では、製品Ａの他に４つの製品／サービスについてのコスト、満足度、関連度を設定しており、「製品Ｂ＋サービスＢ」については、レコード３２７（列３２７）、「製品Ｃ」についてはレコード３２８（列３２８）、「サービスＣ」についてはレコード３２９（列３２９）、「サービスＤ」についてレコード３３０（列３３０）でコスト、満足度、関連度を設定している。なお、図示する例では、「製品Ｂ＋サービスＢ」が製品とサービスのセットに該当し、他の製品／サービスについては全て単体で効果がある製品又はサービスに該当する。
【００４１】
続いて、ソリューションＤＢ１６に格納する製品／サービスとセキュリティ管理サイクルとの対応関係と、製品／サービスとソリューションとの対応関係について、図５を用いて説明する。
【００４２】
図５は、製品／サービス、セキュリティ管理サイクル、およびソリューションの対応関係を説明するための概念図である。図５では、（Ａ）図にセキュリティ管理サイクルの各フェーズと製品／サービスとの対応関係、および、製品／サービスとソリューションとの対応関係を示し、（Ｂ）図にソリューションとセキュリティ管理サイクルの対応関係を示している。
【００４３】
図５（Ａ）に示す、４１は、セキュリティ管理サイクルのフェーズ、すなわち計画フェーズ（ＰＬＡＮ）、実行フェーズ（ＤＯ）、運用フェーズ（ＳＥＥ）、監視フェーズ（ＣＨＥＣＫ）の各フェーズを示している。４２は、セキュリティ対策の具体的な実現手段候補となる製品／サービスを示している。４３は、製品／サービスの組合せで構成されるソリューションをそれぞれ示している。
【００４４】
セキュリティ管理サイクルとは、マネジメントサイクルをセキュリティ対策に適用したもので、計画フェーズ（ＰＬＡＮ）、実行フェーズ（ＤＯ）、運用フェーズ（ＳＥＥ）、監視フェーズ（ＣＨＥＣＫ）の４つのフェーズから成る。また、セキュリティ管理サイクルの最大の特徴は、計画から監査にいたる各フェーズの結果を、さらに次の計画フェーズに結びつけ、継続的な業務改善活動を推進することにある。
【００４５】
この図では、それぞれを結んだ線は対応関係があることを意味しており、セキュリティ管理サイクルの各フェーズと製品／サービスとの対応関係、および製品／サービスとソリューションとの対応関係を示している。これらの対応関係において、図５（Ａ）に示すセキュリティ管理サイクル４１と製品／サービス４２については、各製品／サービスがセキュリティ管理サイクルのどのフェーズに対応するかで分類される。例えば、この図では、「製品Ａ」は、計画フェーズ（ＰＬＡＮ）と対応関係があり、「製品Ｃ」は、実行フェーズ（ＤＯ）と対応関係があることを示している。また、製品／サービス４２とソリューション４３については、製品／サービスの組合せがソリューションとなるため、複数の製品／サービスが各ソリューションと対応付けられる。例えば、この図では、ソリューション１は、「製品Ａ」および「製品Ｂ＋サービスＢ」の組合せであることを示している。ソリューション２は、「サービスＣ」および「製品Ｃ」の組合せであることを示している。なお、製品／サービスは、複数のソリューションの構成要素となることも有り得る。例えば、この図では「サービスＤ」が「ソリューション３」および「ソリューション４」の複数のソリューションの構成要素となっている。
【００４６】
図５（Ｂ）では、ソリューション４４とセキュリティ管理サイクル４５とをそれぞれ結んだ線は対応関係があることを意味している。例えば、「計画フェーズ（ＰＬＡＮ）」は、「ソリューション１」と対応関係があり、「実行フェーズ（ＤＯ）」は、「ソリューション２」と対応関係があることを示している。これらの対応関係は、ソリューションを構成する製品／サービスがそれぞれ対応するセキュリティ管理サイクルのフェーズにより決定される。
【００４７】
例えば、「ソリューション１」は、図５（A)に示す製品/サービス４２とソリューション４３の対応関係より、「計画フェーズ（ＰＬＡＮ）」と対応関係がある「製品A」と「製品B＋サービスB」とから構成される。そのため、ソリューション１は、計画フェーズ（ＰＬＡＮ）に対応付けられることとなる。
【００４８】
また、各セキュリティ管理サイクルに対応付けられたソリューションの実施順序付けをする場合、実施順序はソリューションが対応するセキュリティ管理サイクルの実施順序を基にして決められる。この例では、ソリューションの実施順序はソリューション１、２、３、４、５の順となる。
【００４９】
続いて、ソリューション情報ＤＢ１６のデータ構造について、図６を用いて説明する。
【００５０】
図６は、本実施形態のソリューション情報ＤＢ１６のデータ構造を模擬的に示した図である。図６では、（Ａ）図にセキュリティ管理サイクル対応テーブル１６１を示し、（Ｂ）図にソリューション対応テーブル１６２を示している。
【００５１】
図６（Ａ）に示すように、セキュリティ管理サイクル対応テーブル１６１は、製品／サービス毎にセキュリティ管理サイクルの各フェーズを対応付けている。具体的には、セキュリティ管理サイクル対応テーブル１６１は、製品／サービスの名称を登録するフィールド５１１と、フィールド５１１に登録された製品／サービスに対応するセキュリティ管理サイクルのフェーズを登録するフィールド５１２とを有する。図示する例では、例えば、「製品Ａ」がセキュリティ管理サイクルの「計画フェーズ（ＰＬＡＮ）」に対応付けられていて、「製品Ｃ」がセキュリティ管理サイクルの「実行フェーズ（ＤＯ）」に対応付けられていることを示している。
【００５２】
また、図６（Ｂ）に示すように、ソリューション対応テーブル１６２は、ソリューション毎に、ソリューションを実施する際にソリューションに含まれる製品／サービス単体のコストに追加して必要なコストと、製品／サービスとを対応付けている。具体的には、ソリューション対応テーブル１６２は、ソリューションの名称を登録するフィールド５２１と、フィールド５２１に登録されたソリューションを実施する際に製品／サービスのコストに追加して必要なコストを登録するフィールド５２２と、フィールド５２１に登録されたソリューションに含まれる製品／サービスを登録するフィールド５２３とを有する。図示する例では、例えば、「製品Ａ」と「製品Ｂ＋サービスＢ」が「ソリューション１」の構成候補となる製品であることを示している。また、「製品Ａ」と「製品Ｂ＋サービスＢ」から構成される「ソリューション１」を導入するためには、「製品Ａ」と「製品Ｂ＋サービスＢ」のコストに加えて、２０万円のコストが追加して必要であることを示している。すなわち、図４のデータを用いると、ソリューション１を導入するためのコストは、「製品Ａ」の導入コストである３０万円と、「製品Ｂ＋サービスＢ」の導入コストである８０万円に２０万円を追加した１３０万円となる。
【００５３】
次に、本実施形態のセキュリティソリューション提案支援ツール１４が行う処理について説明する。
【００５４】
さて、支援ツール１４が行う処理は、上述したように、入力データ処理フェーズ１４１と、最適ソリューション決定処理フェーズ１４２と、分析／評価結果表示処理フェーズ１４３とに分類されている（図１参照）。以下では、支援ツール１４が行う処理を、入力データ処理フェーズ１４１、最適ソリューション決定処理フェーズ１４２、分析／評価結果表示処理フェーズ１４３の順に説明する。なお、以下の説明では、支援ツール１４には、製品／サービス情報ＤＢ１５およびソリューション情報ＤＢ１６が設定されていることとする。
【００５５】
最初に、入力データ処理フェーズ１４１について、図７〜１０を用いて説明する。図７は、本実施形態のセキュリティソリューション提案支援ツールが行う入力データ処理フェーズの処理フローを説明するための図である。図８〜１０は、セキュリティソリューション提案支援ツール１４がデータの入力を受付けるために表示する入力画面を例示した図である。なお、入力データ処理フェーズ１４１は、データ入力処理部２４１および追加データ登録処理部２４２により行われる（図２参照）。
【００５６】
先ず、入力データ処理部２４１は、セキュリティ対策にかけられる許容コストの入力を受け付ける（Ｓ６０１）。具体的には、入力データ処理部２４１は、表示装置２５に図８に例示する入力画面７１を表示し、表示した入力画面７１にしたがい利用者（設計者）が入力する許容コストを示すデータを受付ける。図示するように、入力画面７１には、許容コスト入力欄７１１が設けられている。利用者は、入力装置２６を利用して、入力画面の許容コスト入力欄７１１に許容コスト（図示する例では、１３０万円）を入力する。
【００５７】
次に、入力データ処理部２４１は、各セキュリティ対策項目の重要度の入力を受付ける（Ｓ６０２）。具体的には、入力データ処理部２４１は、上述した図８に示す入力画面７１にしたがい利用者が入力する各セキュリティ対策項目の重要度を示すデータを受付ける。入力画面７１には、各セキュリティ対策項目の重要度を入力するための重要度入力テーブル７１２が設けられている。
【００５８】
重要度入力テーブル７１２には、セキュリティ対策項目テーブル１５１（図４）のフィールド３１１に登録されているセキュリティ対策項目を表示する表示欄７１２１と、表示欄７１２１に表示したセキュリティ対策項目毎に重要度を受付ける重要度入力欄７１２２と、が設けられている。重要度入力欄７１２２は、重要度を示すデータ、或いは、「該当無し」を示すデータを選択的に受付けることが可能に構成されている。「該当無し」を示すデータとは、対象情報システムに不要なセキュリティ対策項目のことをいう。
【００５９】
そして、利用者は、表示欄７１２１に表示されている全てのセキュリティ対策項目について、重要度を示すデータ（例えば、「重要ではない：１」、「あまり重要ではない：２」、「重要：３」、「かなり重要：４」、「とても重要：５」の５段階）、或いは「該当無し」を示すデータを重要度入力欄７１２２で選択する。利用者は、対象情報システムに該当しないセキュリティ対策項目（すなわち、対象情報システムに不要なセキュリティ対策項目）については、「該当無し」を示すデータを選択する。
【００６０】
入力データ処理部２４１は、利用者がセキュリティ対策項目毎に選択したデータ（重要度を示すデータ、或いは、「該当無し」を示すデータ）の入力を受付ける。入力データ処理部２４１は、セキュリティ対策項目毎の重要度を示すデータの入力を受付けた場合、受付けた重要度を「０〜１」の５段階の値（０，  ０．２５，  ０．５，  ０．７５，  １．０）に変換する。このように、「０〜１」の５段階の値に変換するのは、製品／サービスの組合せとの適合度を計算する際に使うためである。入力データ処理部２４１は、「該当無し」が選択されたセキュリティ対策項目についてはこれ以降「分析／評価」の対象としない。
【００６１】
図示する入力画面７１では、セキュリティ対策項目７１２１ａの重要度に「３」が入力され、セキュリティ対策項目７１２１ｃの重要度に「４」が入力され、セキュリティ対策項目７１２１ｄの重要度に「５」が入力されている。入力データ処理部２４１は、入力された「３」、「４」、および「５」の重要度を、それぞれ、「０．５」、「０．７５」、および「１．０」に変換する。また、入力画面７１では、セキュリティ対策項目７１２１ｂに「該当無し」が入力されている。そのため、セキュリティ対策項目７１２１ｂについては、今後の計算の対象とはしない。
【００６２】
次に、入力データ処理部２４１は、対象情報システムに対して、既に導入済みである製品／サービスを示すデータの入力を受付ける（Ｓ６０３〜６０４）。例えば、入力画面７１に導入済み製品／サービスの検索を行うための検索ボタン７１３を設けておく。入力データ処理部２４１は、入力画面７１に表示しているカーソル７２により、検索ボタン７１３の選択（押下）を受付けた場合、図９に例示する導入済み製品／サービスを検索する検索画面８１を表示装置２５に表示する。
【００６３】
図示する検索画面８１には、検索するためのキーワードの入力を受付ける検索項目入力欄８１１と、検索開始を受付ける検索ボタン８１２と、上記の入力されたキーワードに該当する製品／サービス名を表示し、表示した製品／サービス名の選択を受付けるテーブル８１３と、新規に製品／サービスの登録を受付けるためのボタン８１４と、検索終了を受付けるための終了ボタン８１５とが設けられている。
【００６４】
入力データ処理部２４１は、検索項目入力欄８１１のキーワードが入力され、かつ検索ボタンが選択（押下）された場合、製品／サービス情報ＤＢ１５に格納されているデータのうち、キーワードに該当する製品／サービス名を検索画面８１のテーブル８１３に表示する。利用者は、検索画面８１のテーブル８１３上に表示されている製品／サービスの中に導入済みの製品／サービスがある場合、該当する製品／サービスの選択ボタン８１３０を全て押下する。図示する例では、「サービスＤ」が導入済み製品として選択されている。入力データ処理部２４１は、上記の選択された製品／サービス（図示する例では「サービスＤ」）を導入済み製品／サービスであると特定する。
【００６５】
続いて、入力データ処理部２４１は、製品／サービス情報ＤＢ１５に登録されていない導入済み製品／サービスが在るか否かを利用者が入力するデータにより判定する。入力データ処理部２４１は、製品／サービス情報ＤＢ１５に登録されていない導入済み製品／サービスが在ると判定した場合、Ｓ６０６に進む。入力データ処理部２４１は、当該登録されていない導入済み製品／サービスが無いと判定した場合、Ｓ６０７の処理に進む（Ｓ６０５）。
【００６６】
具体的には、Ｓ６０５では、入力データ処理部２４１は、検索画面８１上で新規製品／サービス登録ボタン８１４の選択（押下）を受付けた場合、製品サービスＤＢ１５に登録されていない導入済み製品／サービスがあると判定し（図９参照）、Ｓ６０６の処理に進む。一方、入力データ処理部２４１は、検索画面８１上で終了ボタン８１５が選択（押下）を受付けた場合、製品サービスＤＢ１５に登録されていない導入済み製品／サービスが無いと判定し、検索処理を終了する。入力データ処理部２４１は、検索処理を終了した後、検索画面８１を閉じ、表示装置２５の表示を入力画面７１（図８）に戻す。入力データ処理部２４１は、入力画面７１の導入済み製品／サービス表示欄７１４にＳ６０４で特定した製品／サービスを表示し、Ｓ６０７の処理に進む。
【００６７】
Ｓ６０６では、追加データ登録処理部２４２により、新規に製品／サービスについてのデータの受付処理が行われる。具体的には、追加データ登録処理部２４２は、例えば、図１０に示す新規製品／サービス登録画面９１を表示し、新規製品／サービス登録画面９１にしたがい利用者が入力する製品／サービスについてデータの入力を受付ける。
【００６８】
図示する新規製品／サービス登録画面９１には、登録する製品／サービスの満足度およびコストの入力を受け付けるためのテーブル９１１と、登録する製品／サービスのセキュリティ対策項目との関連度を受け付けるためのテーブル９１２とが設けられている。テーブル９１１は、追加して登録する製品／サービスの名称の入力を受付ける入力欄９１１１と、入力欄９１１１に入力した製品／サービスの満足度の入力を受付ける入力欄９１１２と、入力欄９１１１に入力した製品／サービスの導入コストの入力を受付ける入力欄９１１３とを有する。テーブル９１２は、製品／サービス情報ＤＢ１５に格納されているセキュリティ対策項目を表示する表示欄９１２１と、テーブル９１１に入力された製品／サービスのセキュリティ対策項目との関連度を入力するための入力欄９１２２と有する。
【００６９】
追加データ登録処理部２４２は、テーブル９１１の入力欄９１１１〜９１１３から新規に登録する製品／サービスの満足度およびコストの入力を受け付ける。また、追加データ登録処理部２４２は、テーブル９１２の入力欄９１２２からテーブル９１１に入力された製品／サービスのセキュリティ対策項目との関連度の入力を受付ける。
【００７０】
追加データ登録処理部２４２は、新規製品／サービス登録画面９１の登録ボタン９１３の選択（押下）を受付けた場合、上記の入力された製品／サービスの満足度およびコストと、その製品／サービスのセキュリティ対策項目との関連度とを製品／サービス情報ＤＢ１５に登録する。その後、追加データ登録処理部２４２は、登録画面９１を閉じ、入力データ処理部２４１に図８に示す入力画面７１の更新を行わせて、Ｓ６０７の処理に進む。具体的には、入力データ処理部２４１は、入力画面７１の導入済み製品／サービスリスト７１２の導入済みとして選択された製品／サービスを更新する。この例では、新規製品として「製品Ｅ」が追加登録されている。
【００７１】
なお、図示しないが、追加データ登録処理部２４２は、追加する製品／サービスとセキュリティ管理サイクルのフェーズとの対応を示すデータ、および、当該製品／サービスとソリューションとの対応を示すデータの入力も受付ける。そして、追加データ登録処理部２４２は、受付けたデータをソリューション情報ＤＢ１６に追加登録する。
【００７２】
Ｓ６０７では、入力データ処理部２４１は、Ｓ６０４で特定した製品／サービスと、Ｓ６０６で入力を受付けた製品／サービスとについて、導入済み製品／サービスであることを示す識別情報をつけて製品／サービス情報ＤＢ１５に登録する（Ｓ６０７）。
【００７３】
最後に、利用者は、図８の入力画面７１を見て、入力した許容コスト、全セキュリティ対策項目における重要度、導入済み製品／サービスを確認して、保存ボタン７１５をカーソル７２により選択（押下）する。入力データ処理部２４１は、入力画面７１の保存ボタン７１５をカーソル７２により選択を受付けた場合、ユーザ情報入力画面７１を閉じて処理を終了する。
【００７４】
次に、２つ目の最適ソリューション決定処理フェーズ１４２について、図１１〜１２を用いて説明する。図１１は、本実施形態のセキュリティソリューション提案支援ツールが行う最適ソリューション決定処理フェーズ１４２の処理フローを説明するための図である。図１２は、図１１に示す最適ソリューション決定処理フェーズ１４２の中のＳ１０２で行う処理のフローを説明するための図である。なお、このフローの処理は、現状達成度計算処理部２４３、最適製品／サービス決定処理部２４４、セキュリティ対策不足項目特定処理部２４５、最適ソリューション決定処理部２４６、およびソリューション実施順序決定処理部２４７が行う。
【００７５】
先ず、現状達成度計算処理部２４３が対象情報システムに対するセキュリティ対策項目の現状達成度を算出する（Ｓ１０１）。具体的には、現状達成度計算処理部２４３は、製品／サービス情報ＤＢ１５に登録されているデータの中から、導入済み製品／サービスのデータを特定する。現状達成度計算処理部２４３は、特定した導入済み製品／サービスの満足度、ならびにセキュリティ対策項目と導入済み製品／サービスとの関連度からファジィ合成演算を用いて対象情報システムに対するセキュリティ対策項目の現状達成度を算出する。
【００７６】
現状達成度の算出では，セキュリティ対策項目ｓの集合をＳ、製品／サービスｆの集合をＦ、セキュリティ対策項目ｓと製品／サービスｆとの関連度をｍＲ（ｓ，ｆ）、製品／サービスの満足度をｍＦ（ｆ）、セキュリティ対策項目ｓの現状達成度をｍＩ´（ｓ）として、関連度をファジィ関係とする以下の写像関数式（式１）を用いて現状達成度を計算する。
【００７７】
2006235692.tif 000003
【００７８】
次に、最適製品／サービス決定処理部２４４が、導入済みの製品／サービスの満足度および関連度と、事前に用意した製品／サービスの満足度と関連度から、導入済み製品／サービスを基に事前に用意した製品／サービスを追加した組合せを実施した場合の対象情報システムに対するセキュリティ対策項目の改善達成度を計算する。なお、事前に用意した製品／サービスとは、製品／サービス情報ＤＢ１５に登録されている製品／サービスのうち導入済みではない製品／サービス（入力データ処理フェーズ１４１のＳ６０７で、導入済み製品／サービスであることを示す識別情報がつけられた製品／サービス以外のもの）のことをいう。そして、最適製品／サービス決定処理部２４４は、その計算した改善達成度と重要度との差が最小となる製品／サービスの組合せを最も適合する最適製品／サービスの組合せに決定する（Ｓ１０２）。
【００７９】
ここで、Ｓ１０２の処理について、図１２に示すフローを用いて説明する。
【００８０】
先ず、最適製品／サービス決定処理部２４４は、導入済みの製品／サービスを基に製品／サービス情報ＤＢ１５に登録されている製品／サービスを追加した組合せを１つ選択する（Ｓ１１１）。
【００８１】
次に、最適製品／サービス決定処理部２４４は、追加した製品／サービスの導入にかかるコストの合計（以下、「総コスト」という）を計算する。なお、最適製品／サービス決定処理部２４４は、総コストを計算する際、追加する製品／サービスの組合せについて、ソリューション情報ＤＢ１６のソリューション対応テーブル１６２（図６（ｂ））を検索する。検索の結果、ソリューションとなる製品／サービスの組合せがある場合、最適製品／サービス決定処理部２４４は、ソリューションの総コストを計算する。そして、最適製品／サービス決定処理部２４４は、計算した総コストが前記入力データ処理フェーズ１４１で入力を受け付けた許容コスト以下かどうかをチェックする（Ｓ１１２）。最適製品／サービス決定処理部２４４は、算出した総コストが許容コストを超えていない場合はステップＳ１１４に進み、許容コストを超えている場合はステップＳ１１１に戻って、違う組合せについて計算を行う（Ｓ１１３）。
【００８２】
Ｓ１１４では、最適製品／サービス決定処理部２４４は、上述の導入済み製品／サービスを基に追加した製品／サービスの組合せについて、製品／サービス情報ＤＢ１５に格納した製品／サービスの満足度および関連度から、図１１のＳ１０１で算出した現状達成度の計算と同じ数式である（式１）を用いて、選択した組合せを導入した際の達成度（以下、「改善達成度」という）を計算する。そして、最適製品／サービス決定処理部２４４は、セキュリティ対策項目毎に、セキュリティ対策項目の重要度と、上記の製品／サービスの組合せの改善達成度との差分の絶対値を算出する。
【００８３】
次に、最適製品／サービス決定処理部２４４は、セキュリティ対策の過不足度を計算する（Ｓ１１５）。以下に過不足度の計算方法を示す。先ず、最適製品／サービス決定処理部２４４は、Ｓ１１４で算出したセキュリティ対策項目毎の差分の絶対値を合計する。最適製品／サービス決定処理部２４４は、合計した合計値をセキュリティ対策項目の数で割った値を求めて、その求めた値をセキュリティ対策の過不足度とする。これを数式で表現すると、セキュリティ対策項目ｓの重要度をｍＩ（ｓ）、セキュリティ対策項目ｓの集合Ｓに含まれるセキュリティ対策項目の個数をｔとして、組合せのセキュリティ対策の過不足度ｘの計算式は以下の（式２）のようになる。
【００８４】
2006235692.tif 000004
【００８５】
次に、最適製品／サービス決定処理部２４４は、上記の計算した製品／サービスの組合せのセキュリティ対策の過不足度と、他の製品／サービスの組合せについて算出した組合せのセキュリティ対策の過不足度とを比較し、上記の計算した製品／サービスの組合せのセキュリティ対策の過不足度が最小かどうかをチェックする。最適製品／サービス決定処理部２４４は、チェックの結果、上記の計算した製品／サービスの組合せのセキュリティ対策の過不足度が最小の場合、その値（過不足度）を保持する（Ｓ１１６）。
【００８６】
次に、最適製品／サービス決定処理部２４４は、全製品／サービス組合せについてセキュリティ対策の過不足度を算出したかどうかをチェックする（Ｓ１１７）。そして、最適製品／サービス決定処理部２４４は、全組合せについて算出していなければステップＳ１１１に戻って違う組合せについて計算を開始し、全組合せについて計算していれば、Ｓ１１８の処理に進む。
【００８７】
Ｓ１１８では、最適製品／サービス決定処理部２４４は、セキュリティ対策の過不足度が最小であった組合せを最適な組合せとなる製品／サービスの組合せとして決定し（Ｓ１１８）、図１１に示すＳ１０３の処理に進む。
【００８８】
ここで、上述した最適組合せとなる製品／サービス決定をするための計算の一例を、図４、図６、および図８〜１０で示したデータを用いて説明する。
【００８９】
さて、図９に示すように、検索画面８１で「サービスＤ」が選択されており、図１０では、製品／サービス登録画面で「製品Ｅ」が登録されている。そして、図８の入力画面７１の導入済み製品／サービスリスト７１２には、「サービスD」および「製品Ｅ」が表示されている。最適製品／サービス決定処理部２４４は、これら２つの製品を基に製品／サービスの組合せを決定する処理を行う。
【００９０】
図８で表示されている製品／サービスより、導入済み製品／サービスである「サービスＤ」および「製品Ｅ」に追加する製品の組合せとしては、図４に示す製品／サービス決定テーブル１５２より、「製品Ａ」、「製品Ｂ＋サービスＢ」、「製品Ｃ」、「サービスＣ」、「製品Ａと製品Ｂ＋サービスＢ」、「製品Ａと製品Ｃ」、「製品ＡとサービスＣ」、「製品Ｂ＋サービスＢと製品Ｃ」、「製品Ｂ＋サービスＢとサービスＣ」、「製品ＣとサービスＣ」、「製品Ａと製品B＋サービスＢと製品Ｃ」、「製品Ａと製品Ｂ＋サービスＢとサービスＣ」、「製品Ｂ＋サービスＢと製品ＣとサービスＣ」、「製品Ａと製品Ｂ＋サービスＢと製品ＣとサービスＣとサービスＤ」の１４通りが考えられる。
【００９１】
これらの組合せについて、図８の入力画面７１で許容コストとして入力された１３０万円以下で実現できる組合せを求める。このとき、製品／サービスの組合せについて、ソリューション情報DB１６のソリューション対応テーブル１６２（図６（ｂ））を検索して、ソリューションとなる製品／サービスの組合せがある場合は、ソリューションのコストを計算し、計算したコストが許容コスト以下であれば、組合せの候補とする。図４の製品／サービス決定テーブル１５２の各製品／サービスの導入にかかるコストと、図６（Ｂ）のソリューションとなる組合せに必要な追加コストより、「製品Ａ」、「製品Ｂ＋サービスＢ」、「製品Ｃ」、「サービスＣ」、「ソリューション１（製品Ａと製品Ｂ＋サービスＢ）」、「製品Ａと製品Ｃ」、「製品ＡとサービスＣ」、「製品Ｂ＋サービスＢと製品Ｃ」、「製品Ｂ＋サービスＢとサービスＣ」、「ソリューション２（製品ＣとサービスＣ）」の１０通りの製品／サービスおよびソリューションが組合せ候補として求められる。
【００９２】
次に、これらの製品／サービス、ソリューションと導入済み製品／サービスの組合せについて各セキュリティ対策項目の改善達成度を計算する。例えば、「サービスＤ、製品Ｅ、およびソリューション１（製品Ａと製品Ｂ＋サービスＢ）」の組合せの達成度を計算する場合、まず、セキュリティ対策項目７１２１ａ〜７１７２d（図８参照）の重要度をそれぞれ「０〜１．０」の５段階に対応させる（例えば，７１２１aの重要度「３」は、「０．５」となる）。ここで，セキュリティ対策項目７１２１bについては、「該当無」が選択されているため対応付けは行わない。また、「サービスD」、「製品Ｅ」、および「製品Ｂ＋サービスＢ」の各々の満足度および関連度とにより、（数１）を用いてセキュリティ対策項目７１２１ａの改善達成度を計算する。この場合、改善達成度は、「０．５」となる。セキュリティ対策項目７１２１ｂについては、「該当無」が選択されているため計算は行わない。セキュリティ対策項目７１２１ｃ、７１２１ｄについても（数１）を用いて計算する。この場合、改善達成度は、それぞれ、「０．２５」、「１．０」となる。
【００９３】
次に、（数２）を用いて改善達成度と重要度とから組合せのセキュリティ対策の過不足度を計算する。セキュリティ対策項目７１２１ａの重要度０．５と、計算した組合せの改善達成度「０．５」との差分の絶対値を算出すると「０」となる。同様に、セキュリティ対策項目７１２１ｃ、７１２１ｄについても計算すると、差分の絶対値はそれぞれ「０．５」、「０」となる。合計してセキュリティ対策項目数の「３」で割ると「０．１６」となる。すなわち、「サービスD、製品Ｅ、およびソリューション１（製品Ａと製品Ｂ＋サービスＢ）」の組合せでは、組合せのセキュリティ対策の過不足度は「０．１６」となる。
【００９４】
同様の計算を他の製品／サービスの組合せについても実施し、組合せのセキュリティ対策の過不足度を算出すると、「サービスＤ、製品Ｅ、製品Ａ」、「サービスＤ、製品Ｅ、製品Ｂ＋サービスＢ」、「サービスＤ、製品Ｅ、製品Ｃ」、「サービスＤ、製品Ｅ、サービスＣ」、「サービスＤ、製品Ｅ、製品Ａと製品Ｃ」、「サービスＤ、製品Ｅ、製品ＡとサービスＣ」、「サービスＤ、製品Ｅ、製品Ｂ＋サービスＢとサービスＣ」、「サービスＤ、製品Ｅ、ソリューション２（製品ＣとサービスＣ）」のセキュリティ対策の過不足度は、それぞれ、「０．５８」、「０．３３」、「０．４１」、「０．６６」、「０．２５」、「０．４１」、「０．２５」、「０．３３」となる。
【００９５】
これらのうち過不足度が最も小さいのは、過不足度が「０．１６」の「サービスD、製品Ｅ、ソリューション１（製品Ａ、製品Ｂ＋サービスＢ）」の組合せである。したがって，サービスD、製品Ｅ、およびソリューション１（製品Ａと製品Ｂ＋サービスＢ）」の組合せが最適な製品／サービス、ソリューションの組合せとなる。
【００９６】
図１１に戻り、説明を続ける。Ｓ１０３では、セキュリティ対策不足項目特定処理部２４５が現状達成度と重要度とを比較して、セキュリティ対策が不足しているセキュリティ対策項目を決定する。具体的には、セキュリティ対策不足項目特定処理部２４５は、各セキュリティ対策項目の重要度とＳ１０１で計算した現状達成度とを比較し、重要度より現状達成度が低いセキュリティ対策項目をセキュリティ対策が不足しているセキュリティ対策項目とし、重要度より現状達成度が高いセキュリティ対策項目をセキュリティ対策が過剰なセキュリティ対策項目として特定する。
【００９７】
次に、最適ソリューション決定処理部２４６がＳ１０３で特定したセキュリティ対策が不足しているセキュリティ対策項目、ならびにセキュリティ対策が過剰なセキュリティ対策項目について、Ｓ１０２で決定した最適製品／サービスの組合せから各セキュリティ対策項目を対策する製品／サービスを特定する。そして、最適ソリューション決定処理部２４６は、上記の特定したセキュリティ対策が不足している製品／サービスから導入済み製品／サービスを除いた製品／サービスの組合せを求める。最適ソリューション決定処理部２４６は、上記の求めた製品／サービスの組合せについて、ソリューション情報ＤＢ１６のソリューション対応テーブル１６２（図６（ｂ））を検索して、各セキュリティ対策項目を対策する最適製品／サービスに対応するソリューションを特定する。この場合、ソリューションを構成する製品／サービスが１つだけの場合、ソリューションとはならず、製品／サービス単体を導入することになる（Ｓ１０４）。
【００９８】
最後に、ソリューション実施順序決定処理部２４７がＳ１０４で特定したセキュリティ対策が不足しているセキュリティ対策項目を対策するソリューション（ソリューションにならなかった場合、製品／サービス単体）をセキュリティ管理サイクルの各フェーズに分類し、実施の順序付けをして、処理を終了する（Ｓ１０５）。なお、ソリューション実施順序決定処理部２４７は、上記のソリューション（ソリューションにならなかった場合、製品／サービス単体）をセキュリティ管理サイクルの各フェーズに分類する処理を、ソリューション情報ＤＢ１２のセキュリティ管理サイクルテーブル１６１（図６（ａ））を利用して行う。
【００９９】
最後に、３つ目の分析／評価結果表示処理フェーズ１４３について、図１３〜図１７を用いて説明する。図１３は、本実施形態のセキュリティソリューション提案支援ツールが行う分析／評価結果表示処理フェーズ１４３の処理フローを説明するための図である。図１４は、許容コストを変更した場合のソリューションの一覧表を更新する処理を説明するためのフロー図である。図１５〜１７は、分析／評価結果表示処理フェーズ１４３の各処理ステップにおいて出力する表示画面の一例を示した図である。なお、このフローの処理は、分析／評価結果表示処理部２４８が行う。
【０１００】
さて、分析／評価結果表示処理部２４８は、上述した最適ソリューション決定処理フェーズ１４２で特定したセキュリティ対策が不足しているセキュリティ対策項目の評価結果を表示装置２５に表示する（Ｓ１２１）。具体的には、分析／評価結果表示処理部２４８は、上記の特定したセキュリティ対策が不足しているセキュリティ対策項目に対して、導入済み製品／サービスの現状達成度、重要度、最適ソリューションの改善達成度を示すグラフで表した評価結果データを生成する。分析／評価結果表示処理部２４８は、生成した評価結果データを表示装置２５に表示する。
【０１０１】
ここで、本ステップ（Ｓ１２１）において、分析／評価結果表示処理部２４８が表示する評価結果データについて、図１５（Ａ）を用いて説明する。図示するように、評価結果画面１４１は、横軸（Ｘ軸）をセキュリティ対策項目として、縦軸（Ｙ軸）をセキュリティ対策項目の達成度として、各セキュリティ対策項目の改善達成度１４１１、重要度１４１２、および現状達成度１４１３をグラフで表している。このグラフにより、利用者は、セキュリティ対策が不足している各セキュリティ対策項目について、各値の差を確認することができる。
【０１０２】
次に、分析／評価結果表示処理部２４８は、Ｓ１２１で表示したグラフ（図１５（Ａ））について、セキュリティ対策項目を各セキュリティ対策項目の重要度の大きさにより並び替えた評価結果データを生成する。分析／評価結果表示処理部２４８は、生成した評価結果データを表示装置２５に表示する（Ｓ１２２）。
【０１０３】
ここで、本ステップ（Ｓ１２２）において、分析／評価結果表示処理部２４８が表示する評価結果データについて、図１５（Ｂ）を用いて説明する。図示するように、評価結果画面１４２は、各セキュリティ対策項目の改善達成度および現状達成度を重要度の高い順に並び替えて表示している。このグラフにより、利用者は、重要度の高いセキュリティ対策項目がどれにあたるかを確認することができる。
【０１０４】
次に、分析／評価結果表示処理部２４８は、上記のセキュリティ対策が不足しているセキュリティ対策項目の評価結果に対して、セキュリティ対策項目毎に導入済み製品／サービスの現状達成度と提示する最適ソリューションの改善達成度との差分を計算する。分析／評価結果表示処理部２４８は、計算した差分の大きさにより、重要度が同じであるセキュリティ対策項目毎にセキュリティ対策項目を並び替え、導入済み製品／サービスの現状達成度、重要度、最適ソリューションの改善達成度をグラフに表した評価結果データを生成する。分析／評価結果表示処理部２４８は、生成した評価結果データを表示装置２５に表示する（Ｓ１２３）。
【０１０５】
ここで、本ステップ（Ｓ１２３）において、分析／評価結果表示処理部２４８が表示する評価結果データについて、図１６（Ａ）を用いて説明する。図示するように、評価結果画面１５１１に表示するグラフでは、重要度が同じであるセキュリティ対策項目のうち、左端に最も対策効果の高いセキュリティ対策項目を表すようにしている。このグラフにより、利用者は、重要度毎に、セキュリティ対策効果の高いセキュリティ対策項目を確認することができる。
【０１０６】
次に、分析／評価結果表示処理部２４８は、提示する最適ソリューションがそれぞれ対応するＰＤＳＣのフェーズを元にセキュリティ管理サイクルの実施順序の順に、重要度が同じであるセキュリティ対策項目毎にセキュリティ対策項目を並び替える。分析／評価結果表示処理部２４８は、上記の並び替えたセキュリティ対策項目に対して、導入済み製品／サービスの現状達成度、重要度、最適ソリューションの改善達成度をグラフに表した評価結果データを生成する。分析／評価結果表示処理部２４８は、生成した評価結果データを表示装置２５に表示する（Ｓ１２４）。
【０１０７】
ここで、本ステップ（Ｓ１２４）において、分析／評価結果表示処理部２４８が表示する評価結果データについて、図１６（Ｂ）を用いて説明する。図示するように、評価結果画面１５１１に表示するグラフでは、セキュリティ対策項目を対策するソリューションの実施順序は、左端からＰ、Ｄ、Ｓ、Ｃ、Ｐ、Ｄとなる。このグラフにより、利用者は、セキュリティ管理サイクルを考慮したソリューションの実施順序を確認することができる。
【０１０８】
最後に、分析／評価結果表示処理部２４８は、上述した評価結果画面上に入力した許容コストを示す線（以下、コストレバー）を表示する。さらに、分析／評価結果表示処理部２４８は、ソリューションの実施順序、ソリューションに含まれる製品／サービス名、ソリューションの合計コストを示したソリューション名の一覧表を作成し表示する（Ｓ１２５）。
【０１０９】
ここで、本ステップ（Ｓ１２５）において、分析／評価結果表示処理部２４８が表示する評価結果データについて、図１７を用いて説明する。図示するように、評価結果画面１６１１では、許容コストに対応した位置にコストレバーを表示する。すなわち、許容コストが１３０万円の場合、コストレバー１６１２を図の位置に表示し、そのコストの範囲内の最適ソリューション名、ソリューションの実施順序、ソリューションに含まれる製品／サービス名、ソリューションの合計コストを一覧表（Ａ）１６１４に示している。これにより、利用者は、コストレバーで示した位置に対応したコスト範囲内の最適ソリューションを確認することができる。
【０１１０】
なお、分析／評価結果表示処理部２４８は、評価結果画面１６１１上において、コストレバー１６１２の位置の移動を受付けできるように構成されている。利用者が評価結果画面１６１１上でカーソル７２等によりコストレバーを動かした際、分析／評価結果表示処理部２４８は、コストレバーで示した位置に対応したコストを許容コストとして最適ソリューションを再計算し、再計算した最適ソリューション、ソリューションの実施順序、ソリューションに含まれる製品／サービス名、ソリューションの合計コストを示したソリューション一覧表と、最適ソリューションによる改善達成度のグラフとを更新する。
【０１１１】
図１４（Ａ）に前記更新処理の手順を説明するためのフローチャートを示す。利用者がコストレバーを移動すると、分析／評価結果表示処理部２４８は、画面上で移動されたコストレバー１６１２で示した位置に対応するコストを特定する（Ｓ１３１１）。
【０１１２】
分析／評価結果表示処理部２４８は、移動されたコストレバーの位置により特定されるコストを許容コストとし、許容コスト範囲内で最適なソリューションを、上述した最適ソリューション決定処理フェーズ１４２と同様の手順により求める（Ｓ１３１２）。そして、分析／評価結果表示処理部２４８は、求めたソリューションの改善達成度のグラフを更新し（Ｓ１３１３）、さらに、求めたソリューションの一覧表を更新する（Ｓ１３１４）。
【０１１３】
例えば、図１７において、利用者がコストレバー１６１２をコストレバー１６１３の位置に移動した場合について説明する。図示するように、コストレバー１６１２をコストレバー１６１３の位置に移動した場合、許容コストは１３０万円から２００万円になり、ソリューションの一覧表も一覧表（Ａ）１６１４から再計算した最適ソリューションの一覧表（Ｂ）１６１５に更新される。
【０１１４】
また、分析／評価結果表示処理部２４８は、表示している画面上においてコストレバーの移動を受け付けるのではなく、セキュリティ対策にかけられるコストを利用者に入力させる手段を設け、利用者に入力させたコストに対応した位置にコストレバーを表示し、入力させたコストを許容コストとして最適ソリューションを再計算し、求めたソリューションの改善達成度のグラフを更新し、さらに、求めたソリューションの一覧表を更新してもよい。図１４（Ｂ）に利用者からコストの入力を受け付ける場合における更新処理の手順を説明するためのフローチャートを示す。
【０１１５】
分析／評価結果表示処理部２４８は、利用者からのコストの入力を受け付ける（Ｓ１３２１）。分析／評価結果表示処理部２４８は、受付けた入力されたコストに対応した位置にコストレバーを表示する（Ｓ１３２２）。
【０１１６】
分析／評価結果表示処理部２４８は、入力されたコストを許容コストとして最適ソリューションを再計算し（Ｓ１３２３）、求めた最適ソリューションの改善達成度のグラフを更新し（Ｓ１３２４）、ソリューションの一覧表を更新する（Ｓ１３２５）。
【０１１７】
例えば、図１７に示すように、評価結果表示画面１６１１に金額入力欄１６１６および再評価の処理を受け付けるための表示ボタン１６１７を設けておく。そして、利用者が金額入力欄１６１６に金額２００万円と入力し、金額入力後に表示ボタン１６１７を押下したとする。その場合、分析／評価結果表示処理部２４８は、コストレバー１６１２をコストレバー１６１３の位置に移動させて表示する。そして、分析／評価結果表示処理部２４８は、２００万円以下の最適ソリューションを再計算する。また、分析／評価結果表示処理部２４８は、求めたソリューションの改善達成度のグラフを更新し、ソリューションの一覧表を一覧表（Ａ）１６１４から一覧表（B）１６１５に更新する。
【０１１８】
これにより、利用者は、インタラクティブにコストレバーを移動、またはコストを入力することで許容コストを変更することができ、様々な許容コストに応じたソリューションの提案を行うことができる。
〈第２実施形態〉
本発明の第２実施形態を、図１８を用いて説明する。
【０１１９】
図１８は、本発明の第２実施形態のセキュリティソリューション提案支援ツールの概略構成図である。第２実施形態は、上述した第１実施形態が有する機能を、クライアント端末１７１と、サーバ１７３とに分けて実現するようにしたものである。なお、第２実施形態の説明において、第１実施形態と同じ構成には同じ符号を用いることとする。
【０１２０】
図示するように、第２実施形態のセキュリティソリューション提案支援ツールは、複数のクライアント端末１７１と、第１実施形態と同様の構成の製品／サービス情報ＤＢ１５およびソリューション情報ＤＢ１６が設けられたサーバ１７３とを有する。クライアント端末１７１とサーバ１７３とは、ネットワーク１７２を介して接続されている。そして、クライアント端末１７１は、ネットワーク１７２を介してサーバ１７３にアクセスして、入力データ処理フェーズ１４１、最適ソリューション決定処理フェーズ１４２、分析／評価結果表示処理フェーズ１４３を行う。なお、ネットワーク１７２については、特に限定しない。例えば、ネットワーク１７２としてＬＡＮ（Local Area Network）を利用するようにしてもよい。また、例えば、インターネットを利用するようにしてもよい。
【０１２１】
具体的には、クライアント端末１７１は、入力データ処理部２４１、追加データ登録処理部２４２、現状達成度計算処理部２４３、最適製品／サービス決定処理部２４４、セキュリティ対策不足項目特定処理部２４５、最適ソリューション決定処理部２４６、ソリューション実施順序決定処理部２４７、および分析／評価結果表示処理部２４８を有する。
【０１２２】
入力データ処理部２４１および追加データ登録処理部２４２は、上述した第１実施形態と同様の手順で利用者からのデータの入力を受付け、ネットワークを介して、サーバ１７３に設けられた製品／サービス情報ＤＢ１５およびソリューション情報ＤＢ１６に受付けたデータを登録する。
【０１２３】
また、現状達成度計算処理部２４３、最適製品／サービス決定処理部２４４、セキュリティ対策不足項目特定処理部２４５、最適ソリューション決定処理部２４６、およびソリューション実施順序決定処理部２４７は、ネットワーク１７２を経由して，サーバ１７３が備える製品／サービスＤＢ１５およびソリューション情報ＤＢ１６を利用して、最適ソリューション決定処理フェーズ１４２を行う。すなわち、第２実施形態では、クライアント１７１がネットワーク１７２を経由して、サーバ１７３が備える前記製品／サービスＤＢ１５およびソリューション情報ＤＢ１６を利用し、最適ソリューションを決定する。
【０１２４】
また、分析／評価結果表示処理部２４８は、ネットワークを介して、サーバ１７３に設けられた製品／サービス情報ＤＢ１５およびソリューション情報ＤＢ１６を利用して、第１実施形態と同様の分析／評価結果表示処理フェーズ１４３を行う。
【０１２５】
このように第２実施形態では、複数のクライアント１７１でサーバ１７３に格納してあるデータベースを共有することができる。また、様々な事例適用情報をサーバ１７３に蓄積しておくことで、複数人により情報を共有することができる。
〈第３実施形態〉
本発明の第３実施形態を、図１９を用いて説明する。
【０１２６】
第３実施形態は、第１実施形態のソリューション情報ＤＢ１６に格納している製品／サービスとそれらの組合せで構成されるソリューションの対応を付けしたデータ（ソリューション対応テーブル１６２）のデータ構成を変形したものである。以下では、ソリューション情報ＤＢ１６に格納する製品／サービスとソリューションとの対応関係の定義方法についてだけを説明する。なお、第３実施形態の説明において、第１実施形態と同じ構成には同じ符号を用いることとする。
【０１２７】
図１９は，セキュリティ管理サイクル、セキュリティ対策項目の具体的な実現手段候補となる製品／サービスと、それらの組合せで構成されるソリューションとの対応関係の一例を示した図である。
【０１２８】
図示する対応関係では、製品／サービス１８２をセキュリティ機能の種別１８３に分類した上で、製品／サービス１８２とソリューション１８４との対応付けを行うようにしている。第３実施形態では、製品／サービス１８２とセキュリティ機能の種別１８３との対応を関係付けたデータと、セキュリティ機能の種別１８３とソリューション１８４との対応を関係付けたデータと、をソリューション対応テーブル１６２に代えて、ソリューション情報ＤＢ１６に格納する。なお、これらの対応付けを行う場合、製品／サービス１８２とセキュリティ機能の種別１８３とは、多対一の対応関係となる。また、セキュリティ機能の種別１８３とソリューション１８４とは、多対一の対応関係となる。この例では、「製品Ａ」及び「サービスＡ」は、セキュリティ機能の種別では「機能ａ」に属し、「機能ａ」は、「機能b」と共に「ソリューション１」の候補となっている。なお、第３実施形態において、提案する最適ソリューションの決定方法、分析／評価結果表示等は第１実施形態と同じである。
【０１２９】
このように第３実施形態によれば、製品／サービスをソリューションに対応付ける際、製品／サービスの持つセキュリティ機能を考慮し、製品／サービスをセキュリティ機能の種別に分類するようにしている。そのため、第３実施形態によれば、製品／サービスとソリューションとの対応付けをする際、分類が容易となる。
【０１３０】
なお、本発明は、以上で説明した実施形態に限定されるものではなく、本発明の要旨の範囲内において種々の変形が可能である。例えば、上述した第１実施形態の図１２の「最適な製品／サービスの組合せを決定する処理」において、許容コスト以下の組合せの製品／サービスに限定した上で、改善達成度および過不足度を求めるようにしたが特にこれに限定するものではない。全ての組合せについて、改善達成度および過不足度を求め、その中から最適な製品／サービスの組合せを決定するようにしてもよい。
【０１３１】
また、例えば、上述した第１実施形態では、分析／評価結果表示処理フェーズ１４３において、セキュリティ対策が不足しているセキュリティ対策項目についての、分析結果を表示する場合を説明したが特にこれに限定されるものではない。例えば、最適ソリューション決定処理フェーズにおいて求めた、セキュリティ対策が過剰なセキュリティ対策項目に対応する導入済み製品／サービスを提示するようにしてもよい。
【０１３２】
また、上述した第２実施形態では、複数のクライアント１７１とサーバ１７３とを接続する場合を例にしたが、サーバ１７３は、少なくとも１台あればかまわない。
【０１３３】
また、第３実施形態のソリューション対応テーブル１６２のデータ構成を第２実施形態に適用するようにしてもよい。
【図面の簡単な説明】
【０１３４】
【図１】本発明の第１実施形態のセキュリティソリューション提案支援ツールの概略を説明するための図である。
【図２】本発明の第１実施形態のセキュリティソリューション提案支援ツール１４の機能ブロック図である。
【図３】本発明の第１実施形態のセキュリティソリューション提案支援ツールのハードウェア構成図である。
【図４】本発明の第１実施形態の製品／サービス情報ＤＢ１５のデータ構造を模擬的に示した図である。
【図５】製品／サービス、セキュリティ管理サイクル、およびソリューションの対応関係を説明するための概念図である。
【図６】本発明の第１実施形態のソリューション情報ＤＢ１６のデータ構造を模擬的に示した図である。
【図７】本発明の第１実施形態のセキュリティソリューション提案支援ツールが行う入力データ処理フェーズ１４１のフローを説明するための図である。
【図８】本発明の第１実施形態のセキュリティソリューション提案支援ツール１４がデータの入力を受付けるために表示する入力画面を例示した図である。
【図９】本発明の第１実施形態のセキュリティソリューション提案支援ツール１４がデータの入力を受付けるために表示する入力画面を例示した図である。
【図１０】本発明の第１実施形態のセキュリティソリューション提案支援ツール１４がデータの入力を受付けるために表示する入力画面を例示した図である。
【図１１】本発明の第１実施形態のセキュリティソリューション提案支援ツールが行う最適ソリューション決定処理フェーズ１４２のフローを説明するための図である。
【図１２】図１１に示す最適ソリューション決定処理フェーズ１４２の中のＳ１０２で行う処理のフローを説明するための図である。
【図１３】本発明の第１実施形態のセキュリティソリューション提案支援ツールが行う分析／評価結果表示処理フェーズ１４３のフローを説明するための図である。
【図１４】分析／評価結果表示処理フェーズ１４３において、許容コストを変更した場合のソリューションの一覧表を更新する処理のフローを説明するための図である。
【図１５】本発明の第１実施形態の分析／評価結果表示処理フェーズ１４３において出力する評価結果画面の一例を示した図である。
【図１６】本発明の第１実施形態の分析／評価結果表示処理フェーズ１４３において出力する評価結果画面の一例を示した図である。
【図１７】本発明の第１実施形態の分析／評価結果表示処理フェーズ１４３において出力する評価結果画面の一例を示した図である。
【図１８】本発明の第２実施形態のセキュリティソリューション提案支援ツールの概略構成図である。
【図１９】セキュリティ管理サイクル、セキュリティ対策項目の具体的な実現手段候補となる製品／サービスと、それらの組合せで構成されるソリューションとの対応関係の一例を示した図である。
【符号の説明】
【０１３５】
１４…セキュリティソリューション提案支援ツール、１５…製品／サービス情報ＤＢ、１６…ソリューション情報ＤＢ、２１…ＣＰＵ、２２…端末入出I／F、２３…外部記憶装置、２４…主記憶装置、２５…表示装置、２６…入力装置、２７…ネットワークI／F、２８…バス、１５１…セキュリティ対策項目テーブル、１５２…製品／サービス決定テーブル、１６１…セキュリティ管理サイクル対応テーブル、１６２…ソリューション対応テーブル、クライアント１７１、ネットワーク１７２、サーバ１７３、２３１…入力データ処理プログラム、２３２…最適ソリューション決定プログラム、２３３…分析／評価結果表示処理プログラム、２４１…入力データ処理部、２４２…追加データ登録処理部、２４３…現状達成度計算処理部、２４４…最適製品／サービス決定処理部、２４５…セキュリティ対策不足項目特定処理部、２４６…最適ソリューション決定処理部、２４７…ソリューション実施順序決定処理部、２４８…分析／評価結果表示処理部
【図１】
2006235692.tif 000005
【図２】
2006235692.tif 000006
【図３】
2006235692.tif 000007
【図４】
2006235692.tif 000008
【図５】
2006235692.tif 000009
【図６】
2006235692.tif 000010
【図７】
2006235692.tif 000011
【図８】
2006235692.tif 000012
【図９】
2006235692.tif 000013
【図１０】
2006235692.tif 000014
【図１１】
2006235692.tif 000015
【図１２】
2006235692.tif 000016
【図１３】
2006235692.tif 000017
【図１４】
2006235692.tif 000018
【図１５】
2006235692.tif 000019
【図１６】
2006235692.tif 000020
【図１７】
2006235692.tif 000021
【図１８】
2006235692.tif 000022
【図１９】
2006235692.tif 000023