(57)【要約】【課題】大規模システム全体として適切なセキュリティ対策を立案することを可能にする。【解決手段】攻撃経路導出部は、情報システムの構成に基づいて脅威項目のそれぞれについて攻撃経路に含まれるコンポーネントを導出する。対策データベースは、セキュリティ対策について、セキュリティ対策の対象ポイントとセキュリティ対策の効果の度合いを示す効果値とを対応づけて予め記憶する。対策立案部は、それぞれの脅威項目の攻撃経路に含まれるコンポーネントと、セキュリティ対策の対象部位と、に基づいて、それぞれの脅威項目に対して導入しうるセキュリティ対策を列挙する。対策効果算出部は、列挙されたセキュリティ対策のそれぞれについて、導入した場合にリスクが低減する脅威項目の分を合算したシステムリスク低減効果を、攻撃経路に含まれるコンポーネントの情報とセキュリティ対策の効果値とに基づいて算出する。【選択図】図２
2018077597.tif 000002
【特許請求の範囲】
【請求項１】
大規模システムにおけるセキュリティ対策の立案を支援するセキュリティ対策立案支援システムであって、
前記大規模システムの構成情報に基づいて、前記情報システムが受け得る脅威項目のそれぞれについて攻撃経路に含まれるコンポーネントを導出する攻撃経路導出部と、
セキュリティ対策について、情報システムにおける前記セキュリティ対策の対象ポイントと前記セキュリティ対策の効果の度合いを示す効果値とを対応づけて予め記憶する対策データベースと、
それぞれの前記脅威項目の攻撃経路に含まれるコンポーネントと、前記セキュリティ対策の対象部位と、に基づいて、それぞれの前記脅威項目に対して導入しうるセキュリティ対策を列挙する対策立案部と、
前記列挙されたセキュリティ対策のそれぞれについて、該セキュリティ対策を導入した場合にリスクが低減する脅威項目の分を合算したシステムリスク低減効果を、前記攻撃経路に含まれるコンポーネントの情報と前記セキュリティ対策の効果値とに基づいて算出する対策効果算出部と、
を有する、セキュリティ対策立案支援システム。
【請求項２】
前記列挙されたセキュリティ対策から少なくとも１つのセキュリティ対策を選択して前記大規模システムへの導入を推奨する推奨対策群とし、該推奨対策群の各セキュリティ対策を選択可能にユーザに提示し、ユーザにより導入するセキュリティ対策が選択されると、前記選択されたセキュリティ対策を導入した場合に、それぞれの前記脅威項目によるリスクがどれだけ低減するかを示す脅威項目リスク低減効果を、前記攻撃経路に含まれるコンポーネントの情報と前記セキュリティ対策の効果値とに基づいて算出し、前記ユーザに提示する推奨対策選定支援部を更に有する、請求項１に記載のセキュリティ対策立案支援システム。
【請求項３】
前記推奨対策選定支援部は、ユーザにより複数のセキュリティ対策が選択されると、前記選択された複数のセキュリティ対策を導入した場合の前記脅威項目リスク低減効果を、前記攻撃経路に含まれるコンポーネントの情報と前記セキュリティ対策の効果値とに基づいて算出し、前記ユーザに提示する、
請求項２に記載のセキュリティ対策立案支援システム。
【請求項４】
前記対策立案部は、前記脅威項目に対して導入しうるセキュリティ対策を列挙するとき前記セキュリティ対策の導入に対する制約条件を知得し、前記ユーザに提示する前記対策の一覧に前記制約条件を記載する、
請求項１に記載のセキュリティ対策立案支援システム。
【請求項５】
前記制約条件は前記セキュリティ対策を導入するためのコストである、請求項４に記載のセキュリティ対策立案支援システム。
【請求項６】
前記攻撃経路導出部は、前記脅威項目における前記大規模システムへの侵入口のコンポーネントであるエントリポイントから前記脅威項目の攻撃対象のコンポーネントであるターゲットまでの最短の攻撃経路を抽出し、前記最短の攻撃経路に含まれるコンポーネントを導出し、
前記対策立案部は、前記最短の攻撃経路に含まれるコンポーネントの情報を用いて、それぞれの前記脅威項目に対して導入しうるセキュリティ対策を列挙する、
請求項１に記載のセキュリティ対策立案支援システム。
【請求項７】
前記セキュリティ対策の効果値には、前記セキュリティ対策が前記脅威項目にどの程度有効に作用するかを示す有効度と、前記セキュリティ対策が前記脅威項目に対してどの程度十分な対策であるかを示す完全度とが含まれる、請求項１に記載のセキュリティ対策立案支援システム。
【請求項８】
前記推奨対策選定支援部は、前記脅威項目によるリスクに対して予めリスク閾値を設定しており、前記選択されたセキュリティ対策を導入した場合にリスクが前記リスク閾値以下とならない脅威項目と、リスクが前記リスク閾値以下となる脅威項目とを区別して前記ユーザに提示する、請求項２に記載のセキュリティ対策立案支援システム。
【請求項９】
大規模システムにおけるセキュリティ対策の立案を支援するためのセキュリティ対策立案支援方法であって、
セキュリティ対策について、大規模システムにおける前記セキュリティ対策の対象ポイントと前記セキュリティ対策の効果の度合いを示す効果値とを対応づけて予め記憶する対策データベースを予め備え、
攻撃経路導出手段が、前記大規模システムの構成情報に基づいて、前記大規模システムが受け得る脅威項目のそれぞれについて攻撃経路に含まれるコンポーネントを導出し、
対策立案手段が、それぞれの前記脅威項目の攻撃経路に含まれるコンポーネントと、前記セキュリティ対策の対象部位と、に基づいて、それぞれの前記脅威項目に対して導入しうるセキュリティ対策を列挙し、
対策効果算出手段が、前記列挙されたセキュリティ対策のそれぞれについて、該セキュリティ対策を導入した場合にリスクが低減する脅威項目の分を合算したシステムリスク低減効果を、前記攻撃経路に含まれるコンポーネントの情報と前記セキュリティ対策の効果値とに基づいて算出する、
、セキュリティ対策立案支援方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、社会インフラシステムをはじめとする大規模システムのセキュリティ設計におけるセキュリティ対策の立案を支援する技術に関する。
【背景技術】
【０００２】
社会インフラシステムの構成要素である制御システムは、独自ＯＳと独自ネットワークが用いられ、外部システムと接続しない構成であった。そのため、ウイルス等による攻撃からセキュリティ脅威にさらされることはないと考えられていた。しかし、制御システムの分野でもオープン化に向かっており、汎用ＯＳおよび標準プロトコルを採用したＩＴの採用が進んでいる。こういった背景から、これまで安全とされていた制御システムを対象としたサイバー攻撃の報告も年々数が増えている。
【０００３】
これを受け、制御システムの分野でもセキュリティに関するＩＥＣ６２４４３をはじめとする標準規格やガイドラインなどの策定が開始されている。これらの標準規格やガイドラインでは、セキュリティ設計を実施することを要求していることから、制御システム分野でもセキュリティ設計の重要性が高まっている。
【０００４】
セキュリティ設計とは、セキュアなシステムを構築するため、分析の対象とするシステムにおいて価値があるもの（以降「資産」とする）に対して、発生しうる脅威を洗い出し、各脅威に対してリスクが許容範囲内となるまで適切なセキュリティ対策をシステムに講じる一連のプロセスである。
【０００５】
情報システム分野では、９０年代後半よりインターネットの発展に伴い脆弱性を狙ったサイバー攻撃が年々増加したことをうけ、９０年代後半から効果的かつ効率的に攻撃を防ぐためセキュリティ設計が重要視されていた。また、情報システム分野の標準規格であるＩＥＣ２７０００でもセキュリティ設計の実施を要求している。
【０００６】
こういった背景から、情報システム分野ではセキュリティ設計に関する様々な技術や対策のベストプラクティスが確立されている。そのため、通常、セキュリティ設計では、発生しうる脅威から適切な対策を抽出することも可能となっている。特許文献１では、脆弱性の有無、発生頻度、資産価値といったシステムの状態をもとにリスクを分析し、その結果をもとにリスクを低減するための対策の候補の中から、制約条件（費用、時間、利便性）を考慮した上で、最適な対策方法をいくつか提示する対策立案支援技術が開示されている。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００８‐５２３６６４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
現在、社会インフラシステムでは、電力分野におけるスマートグリッドシステムをはじめとしたシステム改革が急速に進展している。この改革に伴ってシステム規模の拡大も進んでいる。
【０００９】
特許文献１の技術は、個々の機器またはシステムについて最適な対策を立案することを支援する。この技術によれば、対策を導入する際の制約条件として、費用、時間、および利便性を考慮した上で、個々の機器またはシステムについて効果的な対策を導出することが可能となる。しかし、社会インフラシステムのように大規模であり、機器やネットワークなどの構成要素が多いシステムでは、特許文献１のように、個々の機器またはシステムに関するリスク分析結果である脆弱性情報と対策の制約条件に基づき、個々の機器またはシステムについて対策を立案する手法では、全体として過剰な対策を導入することになる可能性があった。
【００１０】
本発明の目的は、社会インフラシステムをはじめとする大規模システム全体として適切なセキュリティ対策を立案することを可能にする技術を提供することである。
【課題を解決するための手段】
【００１１】
本発明の一態様によるセキュリティ対策立案支援システムは、大規模システムにおけるセキュリティ対策の立案を支援するセキュリティ対策立案支援システムであって、前記大規模システムの構成情報に基づいて、前記大規模システムが受け得る脅威項目のそれぞれについて攻撃経路に含まれるコンポーネントを導出する攻撃経路導出部と、セキュリティ対策について、大規模システムにおける前記セキュリティ対策の対象ポイントと前記セキュリティ対策の効果の度合いを示す効果値とを対応づけて予め記憶する対策データベースと、それぞれの前記脅威項目の攻撃経路に含まれるコンポーネントと、前記セキュリティ対策の対象部位と、に基づいて、それぞれの前記脅威項目に対して導入しうるセキュリティ対策を列挙する対策立案部と、前記列挙されたセキュリティ対策のそれぞれについて、該セキュリティ対策を導入した場合にリスクが低減する脅威項目の分を合算したシステムリスク低減効果を、前記攻撃経路に含まれるコンポーネントの情報と前記セキュリティ対策の効果値とに基づいて算出する対策効果算出部と、を有している。
【発明の効果】
【００１２】
本発明によれば、ユーザはセキュリティ対策を導入してもリスクが閾値以下とならない脅威項目を認識できるので、各脅威項目のリスクが確実に閾値以下となるようにセキュリティ対策を立案することができる。
【図面の簡単な説明】
【００１３】
【図１】本実施形態によるセキュリティ対策立案支援装置の主にハードウェアに関するブロック図である。
【図２】本実施形態によるセキュリティ対策立案支援装置の機能ブロック図である。
【図３】リスク分析結果の一例を示す表である。
【図４】脅威‐対策データベースの一例を示す表である。
【図５】セキュリティ対策立案支援装置の処理概要を示すシーケンス図である。
【図６】入出力部１０１が画面に表示する分析対象システムのシステム構成情報の入力フォーマットについて説明するための図である。
【図７】入出力部１０１が画面に表示するネットワーク構成情報の入力フォーマットについて説明するための図である。
【図８】入出力部１０１が画面に表示するリスク分析結果を読み込むリスク分析結果画面について説明するための図である。
【図９】入出力部１０１が画面に表示する制約条件の入力フォーマットについて説明するための図である。
【図１０】入出力部１０１が画面に表示するリスク閾値の入力フォーマットについて説明するための図である。
【図１１】セキュリティ対策の有効度と完全度について数値と程度との関係を示す対策効果ＤＢ２０２の一例を示す図である。
【図１２】入出力部１０１による処理の一例を示すフローチャートである。
【図１３】攻撃経路導出部１０２による処理の一例を示すフローチャートである。
【図１４】攻撃経路導出部１０２の処理の様子を説明するための図である。
【図１５】対策立案部１０３による処理の一例を示すフローチャートである。
【図１６】対策立案部１０３が出力する対策一覧の一例を示す図である。
【図１７】対策効果算出部１０４による処理の一例を示すフローチャートである。
【図１８】対策効果算出部１０４による処理の様子を説明するための図である。
【図１９】図１８の構成例で算出された対策効果一覧を示す図である。
【図２０】推奨対策選定支援部１０５による処理例のフローチャートである。
【図２１】推奨対策選定支援部１０５がユーザに提示する画面の一例を示す図である。
【図２２】変形例１によるセキュリティ対策立案支援装置の機能ブロック図である。
【発明を実施するための形態】
【００１４】
本発明の実施形態について図面を参照して説明する。
【００１５】
図１は、本実施形態によるセキュリティ対策立案支援装置の主にハードウェアに関するブロック図である。セキュリティ対策立案支援装置１０は、ハードウェア構成として、例えば、メモリ１００、外部記憶装置２００、ＣＰＵ３００、入出力装置４００、およびインターフェース５００を備え、例えば、１つ以上のパーソナルコンピュータあるいはワークステーションなどの電子計算機である。メモリ１００には対策立案支援プログラム１１０が格納されている。外部記憶装置２００には脅威‐対策データベース２０１および対策効果データデース２０２が格納されている。
【００１６】
電子計算機は、ＣＰＵ３００が、脅威‐対策データベース２０１および対策効果データデース２０２を利用しながら、対策立案支援プログラム１１０を実行することにより、セキュリティ対策立案支援装置１０として動作する。
【００１７】
入出力装置４００は、ユーザ（以下「分析者」という場合もある）がセキュリティ対策立案支援装置１０に各種情報を入力するためのキーボードおよびマウスなどの入力装置と、例えば画面表示あるいは音声出力によりユーザに情報を提示するためのディスプレイおよびスピーカーなどの出力装置とを含む。インターフェース５００は、外部装置、メディア、あるいはネットワークと接続するためのインターフェース装置である。
【００１８】
図２は、本実施形態によるセキュリティ対策立案支援装置の機能ブロック図である。セキュリティ対策立案支援装置１０は、入出力部１０１、攻撃経路導出部１０２、対策立案部１０３、対策効果算出部１０４、および推奨対策選定支援部１０５を有している。入出力部１０１、攻撃経路導出部１０２、対策立案部１０３、対策効果算出部１０４、および推奨対策選定支援部１０５は、上記ＣＰＵ３００が対策立案支援プログラム１１０を実行することで実現される。
【００１９】
まずは、本実施形態のセキュリティ対策立案支援装置１０の概要について説明する。
【００２０】
攻撃経路導出部１０２は、セキュリティ対策を立案する対象の大規模システムの構成情報に基づいて、大規模システムが受け得るそれぞれの脅威を示す脅威項目について攻撃経路に含まれる機器（以下「コンポーネント」ともいう）を導出する。脅威の種類としては例えば不正アクセスがある。不正アクセスを例に取れば、どのコンピュータから大規模システムに侵入し、どのコンピュータのデータを改ざんするか攻撃かという脅威項目がある。
【００２１】
対象の大規模システムは例えば社会インフラシステムのような情報システムと制御システムからなる大規模システムである。大規模システムにはコンポーネントとネットワークが含まれる。大規模システムの構成情報には、大規模システムを構成する機器に関する情報であるシステム構成情報と、ネットワークによる機器間の接続構成に関する情報であるネットワーク構成情報が含まれる。
【００２２】
脅威‐対策データベース２０１は、各セキュリティ対策について、大規模システムにおけるセキュリティ対策の対象ポイントとセキュリティ対策の効果の度合いを示す効果値とを対応づけて予め記憶する。セキュリティ対策の効果は、セキュリティ対策が対象部位に直接的に作用するか、そのセキュリティ対策が攻撃を完全に防止するものか、など様々な指標で評価することができる。効果値はセキュリティ対策の効果を評価することを可能にするものであればよい。
【００２３】
また、セキュリティ対策には様々な種類があり、種類によって、大規模システムにおける対象とするポイントが異なる。対象とするポイント（以下「対象部位」ともにう）として、攻撃の侵入口となるエントリポイント、データの改ざんなど直接的な攻撃の対象となるターゲット、エントリポイントとターゲットの間に存在する中継ポイントが含まれる。セキュリティ対策の種類によっては、エントリポイントに対してのみ効果を発揮するもの、エントリポイントおよびターゲットに効果を発揮するもの、エントリポイント、中継ポイント、およびターゲットの全てに効果を発揮するものなどがある。
【００２４】
対策立案部１０３は、それぞれの脅威項目の攻撃経路に含まれるコンポーネントと、セキュリティ対策の対象部位と、に基づいて、それぞれの脅威項目に対して導入しうるセキュリティ対策を列挙する。
【００２５】
対策効果算出部１０４は、列挙されたセキュリティ対策のそれぞれについて、そのセキュリティ対策を導入した場合にリスクが低減する脅威項目の分を合算したシステムリスク低減効果を、攻撃経路に含まれるコンポーネントの情報とセキュリティ対策の効果値とに基づいて算出する。
【００２６】
本実施形態の以上の構成により、脅威項目の攻撃経路に含まれるコンポーネントの情報とセキュリティ対策の効果値から、各セキュリティ対策が大規模システム全体に対してどの程度の効果があるのかを算出することができるので、各セキュリティ対策の大規模システム全体への効果をみながらシステム全体として適切な対策を立案することが可能となる。
【００２７】
また、推奨対策選定支援部１０５は、上述した列挙されたセキュリティ対策から少なくとも１つのセキュリティ対策を選択して大規模システムへの導入を推奨する推奨対策群とし、その推奨対策群の各セキュリティ対策を選択可能にユーザに提示する。例えば、推奨対策群の各セキュリティ対策を選択できるように、画面に各セキュリティ対策と共にチェックボックスを表示してもよい。更に、推奨対策選定支援部１０５は、提示した推奨対策群の各セキュリティ対策の中から、ユーザにより導入するセキュリティ対策が選択されると、選択されたセキュリティ対策を導入した場合に、それぞれの脅威項目によるリスクがどれだけ低減するかを示す脅威項目リスク低減効果を、攻撃経路に含まれるコンポーネントの情報とセキュリティ対策の効果値とに基づいて算出し、ユーザに提示する。
【００２８】
これによれば、脅威項目の攻撃経路に含まれるコンポーネントの情報とセキュリティ対策の効果値から、推奨対策群の中のどのセキュリティ対策がどの脅威項目にどの程度の効果があるかを算出でき、各セキュリティ対策の各脅威項目への効果をみながらシステム全体として適切な対策を立案することが可能となる。
【００２９】
また、推奨対策選定支援部１０５は、ユーザにより複数のセキュリティ対策が選択されると、選択された複数のセキュリティ対策を導入した場合の脅威項目リスク低減効果を、攻撃経路に含まれるコンポーネントの情報とセキュリティ対策の効果値とに基づいて算出し、ユーザに提示する。
【００３０】
これによれば、複数のセキュリティ対策を導入した場合にどの脅威項目にどれだけの効果があるのかを算出するので、例えばセキュリティ対策を追加したり変更したりしながら、どのセキュリティ対策を組み合わせて大規模システムに導入すると、システム全体にどの程度の効果があるのかを見ながら、適切な対策を立案することが可能となる。
【００３１】
また、対策立案部１０３は、脅威項目に対して導入しうるセキュリティ対策を列挙するときセキュリティ対策の導入に対する制約条件を知得し、ユーザに提示する対策の一覧に制約条件を記載する。これによれば、対策一覧に各セキュリティ対策を導入する場合の制約条件も提示されるので、ユーザはセキュリティ対策の効果だけでなく制約条件も考慮して、導入する対策を立案することができる。また、その制約条件はセキュリティ対策を導入するためのコストである。
【００３２】
また、攻撃経路導出部１０２は、脅威項目における大規模システムへの侵入口のコンポーネントであるエントリポイントから脅威項目の攻撃対象のコンポーネントであるターゲットまでの最短の攻撃経路を抽出し、最短の攻撃経路に含まれるコンポーネントを導出する。ここでいう最短はホップ数が最小のことである。対策立案部１０３は、最短の攻撃経路に含まれるコンポーネントの情報を用いて、それぞれの脅威項目に対して導入しうるセキュリティ対策を列挙する。これによれば、最短の攻撃経路に着目してセキュリティ対策を立案するので、効率よく効果の上がるセキュリティ対策を立案することができる。
【００３３】
また、上述したセキュリティ対策の効果値には、セキュリティ対策が脅威項目にどの程度有効に作用するかを示す有効度と、セキュリティ対策が脅威項目に対してどの程度十分な対策であるかを示す完全度とが含まれる。セキュリティ対策の効果を、セキュリティ対策が脅威項目にどの程度有効に作用するかという観点と、セキュリティ対策が脅威項目に対してどの程度十分な対策であるかという観点を含めて評価することができるので、効果的なセキュリティ対策の立案が可能となる。
【００３４】
また、推奨対策選定支援部１０５は、脅威項目によるリスクに対して予めリスク閾値を設定しており、選択されたセキュリティ対策を導入した場合にリスクがリスク閾値以下とならない脅威項目と、リスクがリスク閾値以下となる脅威項目とを区別して、画面を表示してユーザに提示する。ユーザはセキュリティ対策を導入してもリスクが閾値以下とならない脅威項目を認識できるので、各脅威項目のリスクが確実に閾値以下となるようにセキュリティ対策を立案することができる。
【００３５】
以上、本実施形態の概要について説明したが、以下ではさらにセキュリティ対策立案支援装置１０の構成および動作について更に詳細に説明する。
【００３６】
図２を参照し、入出力部１０１は、情報の入出力に関する各種処理を実行する。入出力部１０１は、例えば、分析者からの情報入力を受け付けるためのユーザーインターフェース画面を表示する。また、入出力部１０１は、例えば、チェックボックスなどユーザに何らかの選択を促すためのユーザーインターフェース画面を表示する。また、入出力部１０１は、ユーザがセキュリティ対策を立案するのに利用可能な分析結果を画面に表示する。
【００３７】
攻撃経路導出部１０２は、ユーザから入力されたシステム構成情報、ネットワーク構成情報、リスク分析結果、およびリスク閾値情報に基づいて攻撃経路を導出する。
【００３８】
図３は、リスク分析結果の一例を示す表である。リスク分析結果６０１は、各脅威項目のリスクを分析した結果を記録したデータであり、脅威項目６０１毎に、攻撃者６１０５、脅威事象６１０６、および攻撃方法６１０７が記録されている。攻撃者６１０５の例としては外部者がある。他に内部者が攻撃者６１０５となる場合もある。脅威事象６１０６には脅威項目について攻撃の内容が示されている。攻撃方法６１０７には時系列の攻撃手順が示されている。また、リスク分析結果６０１には、脅威項目６１０１の攻撃経路６１０２に含まれるエントリポイント６１０３およびターゲット６１０４が記録されている。また、リスク分析結果６０１には脅威項目６０１のリスク値が記録されている。リスク値は脅威項目の攻撃が大規模システムに与える損害の程度を示す。
【００３９】
攻撃経路導出部１０２は、リスク値がリスク閾値以下の脅威項目はセキュリティ対策の対象から除外する。攻撃経路導出部１０２は、リスク値がリスク閾値を超えている脅威項目について、エントリポイントからターゲットまでに経由するコンポーネントをシステム構成およびネットワーク構成の情報から抽出し、脅威項目毎にエントリポイントからターゲットまでに経由するコンポーネントの情報を攻撃経路表として記録する。
【００４０】
対策立案部１０３は、攻撃経路表とリスク分析結果に基づき、更には脅威‐対策データベースを参照し、取り得るセキュリティ対策を列挙して対策一覧として記録する。
【００４１】
図４は、脅威‐対策データベースの一例を示す表である。脅威‐対策データベースには、脅威項目２１０１毎に、対策一覧２１０２、効果値２１０３、および制約２１０６の情報が記録されている。対策一覧２１０２には、対策２１０２１の内容が記録されている。また、対策一覧２１０２には、そのセキュリティ対策が、エントリポイント、中継ポイント、およびターゲットのそれぞれに効果があるか否かが記録されている。エントリポイント２１０２２、中継ポイント２１０２３、およびターゲット２１０２４の欄に〇（丸印）が記載されていれば、そのコンポーネントにセキュリティ対策の効果があることを示す。また、効果値２１０３には、有効度２１０４と完全度２１０５が含まれている。
【００４２】
上述したように、有効度２１０４は、セキュリティ対策が脅威項目にどの程度有効に作用するかを示し、完全度２１０５は、セキュリティ対策が脅威項目に対してどの程度十分な対策であるかを示す。有効度２１０４および完全度２１０５はともに０．６から１．０の範囲の数値を取る。有効度２１０４および完全度２１０５は数値が大きい程、セキュリティ対策の効果が高いことを意味する。制約２１０６には制約条件に関する数値が記録される。本実施形態では、セキュリティ対策を導入するために要する費用（コスト）が制約条件となっているので、制約２１０６の欄には、そのセキュリティ対策の導入に要する費用の金額が記録されている。数値が大きい程つまり費用が高い程、制約が大きいつまり導入しづらいセキュリティ対策であることを意味する。
【００４３】
対策立案部１０３は、各脅威項目のリスクを低減するためにセキュリティ対策を導入すべきコンポーネントを抽出する。セキュリティ対策の対象とする脅威項目は、リスク分析結果６０１からリスク値がリスク閾値を超えている脅威項目を選択すればよい。セキュリティ対策を導入するコンポーネントは、攻撃経路表から、攻撃経路に含まれるコンポーネントを列挙すればよい。各コンポーネントに対して導入するセキュリティ対策は、脅威‐対策データベースから抽出すればよい。
【００４４】
脅威‐対策データベースにおけるエントリポイント２１０２２、中継ポイント２１０２３、およびターゲット２１０２４のうち、〇（丸印）が記載されている項目を挙げ、その項目に相当するコンポーネントを攻撃経路から抽出すればよい。
【００４５】
対策効果算出部１０４は、対策立案部１０３が取り得るセキュリティ対策を列挙した対策一覧に含まれる各セキュリティ対策についてその対策を導入することにより得られる効果（リスク低減率）を算出し、対策‐効果一覧として記録する。
【００４６】
推奨対策選定支援部１０５は、対策‐効果一覧とリスク値の閾値と制約条件から推奨対策群を導出する。推奨対策群は１つ以上あればよいが、複数あるとユーザはその中から選択可能となる。推奨対策群としては、各脅威項目のリスク値が閾値を下回り、かつ、セキュリティ対策を導入するためのコストが所定範囲内に収まる、セキュリティ対策の組み合わせを１つの推奨対策群とすればよい。推奨対策群は、その中のセキュリティ対策それぞれを導入するか否か選択可能に設計者に提示される。
【００４７】
外部記憶装置２００は、ＨＤＤ（Ｈａｒｄ  Ｄｉｓｋ  Ｄｒｉｖｅ）などの記憶媒体から構成され、脅威‐対策ＤＢ２０１、対策効果ＤＢ２０２を記録する。これらの情報の具体的内容については後述する。
【００４８】
ＣＰＵ３００は処理を実行するための演算装置である。メモリ１００はＣＰＵ３００で実行する命令のセットがプログラムとして記述されたデータを含む記憶媒体である。
【００４９】
入出力装置４００は、設計者によるデータの入出力を行うための装置である。入出力装置の一例としては、キーボード、マウス、ディスプレイがある。具体的な出力内容については後述する。
【００５０】
インターフェース５００は、セキュリティ対策立案支援装置が他の装置と通信するための通信装置である。一例としてＬＡＮカードがインターフェース５００に相当する。インターフェース５００は、図中においてＩＦと記述することがある。
【００５１】
また、図示は省略したが、電子計算機上には、ネットワークを介して他装置と相互に通信するための通信制御部などを含んでいてもよい。
【００５２】
図５は、セキュリティ対策立案支援装置の処理概要を示すシーケンス図である。ここでは処理概要について説明する。各部の詳細な処理工程は後述する。
【００５３】
図５を参照すると、まず、入出力部１０１は、システム構成情報、ネットワーク構成情報、リスク分析結果、およびリスク閾値の入力をうけ、攻撃経路導出部に送信する（ステップＳ００１）。入出力部１０１からシステム構成情報、ネットワーク構成情報、リスク分析結果、およびリスク閾値の情報を受信した攻撃経路導出部はシステム構成情報とネットワーク構成情報をもとに、リスク分析結果に含まれる各脅威項目の最短の攻撃経路を導出する（ステップＳ００２）。
【００５４】
続いて、攻撃経路導出部１０２は、自身が導出した攻撃経路と入出力部１０１から受信したリスク分析結果とを対策立案部１０３に送信する（ステップＳ００３）。対策立案部１０３では受信した攻撃経路とリスク分析結果をもとに、脅威‐対策ＤＢを参照し、セキュリティ対策を導入することで脅威項目のリスク値が低減される部位（攻撃経路上にある機器（コンポーネント））とセキュリティ対策を列挙し、対策一覧を作成する（ステップＳ００４）。対策立案部１０３は、作成した対策一覧を対策効果算出部１０４に送信する（ステップＳ００５）。また、入出力部１０１は制約条件とリスク閾値の情報を対策効果算出部１０４に送信する（ステップＳ００６）。
【００５５】
対策一覧と制約条件とリスク閾値を受信した対策効果算出部１０４は、対策一覧に記載されている対策導入の効果値（対策の有効度と完全度）の情報を基に、各対策の大規模システム全体に対する効果（リスク低減率）を算出する（ステップＳ００７）。
【００５６】
各対策の効果を算出した対策効果算出部１０４は対策‐効果一覧を推奨対策選定支援部１０５に送信する（ステップＳ００８）。また、入出力部１０１はリスク閾値と制約条件を推奨対策選定支援部１０５に送信する（ステップＳ００９）。
【００５７】
対策‐効果一覧とリスク閾値と制約条件を受信した推奨対策選定支援部１０５は、対策効果（リスク低減率）と制約条件を考慮した上で効果的な推奨対策群を導出する（ステップＳ０１０）。推奨対策選定支援部１０５は、導出した推奨対策群の一覧を、ユーザに提示するために、入出力部１０１に送信する（ステップＳ０１１）。
【００５８】
入出力部１０１は受信した推奨対策群の一覧をユーザに提示する。ユーザは推奨対策群に含まれるセキュリティ対策を個々に選択可能である。ユーザがセキュリティ対策を選択すると、入出力部１０１は、選択情報を推奨対策選定支援部１０５に送信する（ステップＳ０１２）。
【００５９】
入出力部１０１からユーザが選択した対策の選択情報を受信した推奨対策選定支援部１０５はユーザが選定した対策を導入した状態のリスク低減率を算出し、リスク低減率と制約条件を考慮した上で効果的な推奨対策群を導出する（ステップＳ０１３）。更に、推奨対策選定支援部１０５は、リスク値が閾値以上の脅威項目のリスク値が閾値以下になるか否か計算し、確認する（ステップＳ０１４）。
【００６０】
リスク値が閾値以下にならない脅威項目があれば、推奨対策選定支援部１０５は、ユーザが選択したセキュリティ対策は導入するものとし、更に、導入するセキュリティ対策の推奨対策群を作成し、その情報を入出力部１０１に送信する（ステップＳ０１５）。推奨対策群の情報を受信した入出力部１０１は、それをユーザに提示する。
【００６１】
ユーザが推奨対策群のうちいずれかを選択すると、入出力部１０１は、ユーザが選択した対策を示す選択情報を推奨対策選定支援部１０５に送信する（ステップＳ０１６）。
【００６２】
推奨対策選定支援部１０５は、受信した対策の選択情報を導入するものとして、再びリスク低減度を算出し、リスク低減率と制約条件を考慮した上で効果的な推奨対策群を導出する（ステップＳ０１８）。更に、推奨対策選定支援部１０５は、全ての脅威項目のリスク値が閾値以下になるか否か確認する（ステップＳ０１９）。全ての脅威項目のリスク値が閾値以下になれば、推奨対策選定支援部１０５は、終了通知と最終版となる推奨対策一覧を入出力部１０１に送信する（ステップＳ０２０）。
【００６３】
図６は、入出力部１０１が画面に表示する分析対象システムのシステム構成情報の入力フォーマットについて説明するための図である。システム構成情報としてコンポーネント情報とネットワーク情報が入力される。
【００６４】
システム構成情報１１０１の入力画面では分析者はコンポーネント情報とネットワーク情報を入力する。具体的には、コンポーネント数１１０２の欄においてシステムを構成するコンポーネント数を選択する。そうすると、選択したコンポーネント数に応じて、コンポーネント名称１１０３を入力する入力欄が展開される。分析者は入力欄にコンポーネント名称を入力する。また、同様にネットワーク情報に関しても、分析者はネットワーク数１１０４の欄においてシステムを構成するネットワーク数を選択する。そうすると、選択したネットワーク数に応じて、ネットワーク名称１１０５を入力する入力欄が展開される。分析者は入力欄にネットワーク名称を入力する。分析者が“編集”ボタン１１０６を押下すると、本入力フォーマットの編集が開始される。また、分析者が“次へ”ボタン１１０７を押下すると、図７に例示されるネットワーク構成情報を入力する画面が表示される。
【００６５】
図７は、入出力部１０１が画面に表示するネットワーク構成情報の入力フォーマットについて説明するための図である。
【００６６】
ネットワーク構成情報１２０１の入力画面では、入力されたシステム構成情報（図６に例示）に基づくネットワーク構成情報１２０２が分析者に提示される。分析者は提示されたネットワーク構成情報１２０２のマトリクス表の各マスに“○”または“×”を記載する。なお、“○”はそのネットワークもしくはコンポーネントが接続していることを示し、“×”は接続していないことを示す。具体的には、コンポーネントＡはネットワーク１に接続しているため“○”を記入する（フィールド１２０３）。分析者はマトリクス表の全てのマスに“○”または“×”を記載する。
【００６７】
分析者が“編集”ボタン１２０４を押下すると、本入力フォーマットの編集が開始される。分析者が“戻る”ボタン１２０５を押下すると、図６に例示したシステム構成情報１１０１の入力画面が表示される。“次へ”ボタン１２０６を押下すると、図８に例示したリスク分析結果１３０１の入力画面が表示される。なお、本例では、分析対象システムのネットワーク構成がマトリクス表により表現されているが、本例に限定されることはない。各機器とネットワークがどのように接続しているか分かるものであれば、グラフ図、ＤＦＤなど他の表現方法であってもよい。
【００６８】
図８は、入出力部１０１が画面に表示するリスク分析結果を読み込むリスク分析結果画面について説明するための図である。
【００６９】
リスク分析結果１３０１の入力画面では、対象システムのリスク分析結果の読み込みが行われる。具体的には、分析者が“参照”ボタン１３０２を押下すると、リスク分析結果ファイル（例えばExcel表など（Excelは登録商標））の読み込みが行われる。なお、本実施形態では、リスク分析結果をファイルの形式で読み込むこととしているが、これに限定されることはない。他の例として、分析者が入力画面からリスク分析結果を入力する形式でも構わない。
【００７０】
分析者が編集ボタン１３０３を押下すると、本入力画面における編集が開始される。“戻る”ボタン１３０４が押下されると、図７に例示したネットワーク構成情報１２０１の入力画面が表示される。“次へ”ボタン１３０５が押下されると、図９に例示した制約条件１４０１の入力フォーマットが表示される。なお、本入力画面で入力されるリスク分析結果は攻撃経路として少なくとも攻撃元（攻撃者が攻撃を仕掛ける機器であるエントリポイント）と攻撃先（攻撃者が狙う機器であるターゲット）が明記されていることが必要である。リスク分析結果のデータフォーマットに詳細については後述する。
【００７１】
図９は、入出力部１０１が画面に表示する制約条件の入力フォーマットについて説明するための図である。制約条件１４０１の入力画面では、分析対象システムのコスト面での制約条件としてコスト１４０２を入力する。具体的には、「２，５００，０００円」などセキュリティ実装に投入する費用を入力する。コスト１４０２の欄に入力した金額を超えない範囲でセキュリティ対策を導入することが条件となる。
【００７２】
“編集”ボタン１４０３が押下されると、本入力フォーマットの編集が開始される。“戻る”ボタン１４０４が押下されると、図８に例示したリスク分析結果１３０１の入力画面が表示される。“次へ”ボタン１４０５が押下されると、図１０に例示するセキュリティ対策を立案する対象の脅威項目のリスク閾値を入力する入力画面１５０１が表示される。
【００７３】
図１０は、入出力部１０１が画面に表示するリスク閾値の入力フォーマットについて説明するための図である。リスク閾値１５０１の入力画面では、セキュリティ対策を立案する脅威項目について、許容するリスク値を示すリスク閾値を入力する。具体的には、分析者は許容するリスク値１５０２として「４以下」などといった情報をプルダウンで選択する。“編集”ボタン１５０３が押下されると、本入力フォーマットの編集が開始される。“戻る”ボタン１５０４が押下されると、図９に例示した制約条件１４０１の入力画面が表示される。“次へ”ボタン１５０５が押下されると、分析者による各種情報の入力が完了したと認識され、入出力部１０１はセキュリティ対策立案支援装置１０内の各部に必要な情報を送信する。なお、各部への入力情報および情報が入力された以降の処理の詳細は後述する。
【００７４】
図３に例示するように、入力情報であるリスク分析結果６０１の一例を示す図である。脅威#１０１の列には各脅威項目を識別するためのナンバリング情報（通番）が記載される。攻撃経路６１０２の列には、その脅威項目の攻撃経路の情報が記載される。エントリポイント６１０３の列には、攻撃経路のうち攻撃者が攻撃を仕掛ける侵入口となりうる機器の識別情報が記載される。また、ターゲット６１０４の列には攻撃者が最終的に何らかのインシデントを引き起こしたいと考えている機器の識別情報が記載される。
【００７５】
攻撃者６１０５の列には、その脅威項目の攻撃を仕掛ける攻撃者に関する情報が記載される。例えば、攻撃者が、セキュリティ対策の対象となるシステムにアクセスする権限が与えられていない外部の人物であれば、攻撃者６１０５の列には外部者と記載される。
【００７６】
脅威事象６１０６の列では、その脅威項目の攻撃の経緯と攻撃により引き起こされる事象について説明した脅威事象の情報が記載されている。また、攻撃方法６１０７の列には、脅威事象６１０６の列に記載された脅威事象を引き起こすための攻撃方法が記載されている。また、リスク値６１０８の列には、その脅威項目の定量的に表現されたリスク値が記載されている。
【００７７】
具体的には、脅威#1  ６１０９の脅威の攻撃経路は、エントリポイントであるコンポーネントＡからターゲットであるコンポーネントＢまでの経路である。外部者がエントリポイントに不正アクセスし、ターゲットの情報を改竄することで業務の誤動作を引起すといった脅威事象が引き起こされる。その攻撃方法は、（１）まずエントリポイントへの不正アクセス（不正機器接続）し、（２）つぎにターゲットのIPアドレスを調査し、（３）さらにターゲット上の情報を改ざんするというものである。
【００７８】
また、この脅威項目のリスク値は攻撃容易性と影響度から7.2という値が記載されている。なお、本実施形態ではリスクの程度をリスク値という定量的な数値で示しているが、これに限定されない。「高」、「中」、「低」といった区分でリスクの程度を表現することも可能である。その場合、各セキュリティ対策の効果として、どの区分のリスクをどの区分まで引き下げることができるかという情報を設定しておけばよい。具体的には、図９に例示する脅威‐対策ＤＢにて、その情報を管理することにしてもよい。
【００７９】
図４に例示するように、脅威‐対策データベースの脅威２１０１の列には脅威の種類を示す名称が記載されている。ここでは一例として、図３に例示したリスク分析結果における脅威事象６１０６の列または攻撃方法６１０７の列に記載された攻撃の種類の名称を記載している。脅威を引き起こすまで攻撃者が仕掛ける可能性のある攻撃方法「不正アクセス」、攻撃により引き起こされる脅威の「改ざん」などを記載すればよい。
【００８０】
対策一覧２１０２には、対策２１０２１、エントリポイント２１０２２、中継ポイント２１０２３、およびターゲット２１０２４が含まれている。対策２１０２１には、各脅威２１０２に対応するセキュリティ対策が記載される。具体的には、脅威２１０１が「不正アクセス」であり、それに対するセキュリティ対策として「アクセス制御‐最新の業界基準に準拠したＭＡＣ方式」等が記載される。また、各対策２１０２１に対して、エントリポイント２１０２２、中継ポイント２１０２３、およびターゲット２１０２４の欄には、そのセキュリティ対策がエントリポイント２１０２２に有効なのか、中継ポイント２１０２３に有効なのか、ターゲット２１０２４に有効なのかを示す情報が記載されている。“○”はその機器に有効であることを示し、“‐”はその機器に関係ないことを示している。
【００８１】
効果値２１０３には、各セキュリティ対策を導入したことにより得られる効果の程度が記載されておる。ここでは効果値の表現として有効度２１０４と完全度２１０５を用いている。有効度２１０４とは、セキュリティ対策の脅威に対してどの程度有効に作用するのかの程度を示す指標である。セキュリティ対策が脅威に対して直接的に効くのか間接的に効くのかといったことで有効度が定まる。完全度２１０５とは、セキュリティ対策が脅威に対してどの程度の効力を持っているかの程度を示す指標である。セキュリティ対策が脅威に対して十分なものか不十分なものかといったことで完全度が定まる。
【００８２】
脅威とセキュリティ対策との組合せに対して有効度２１０４および完全度２１０５が設定される。具体的には「不正アクセス」という脅威に対して「アクセス制御‐最新の業界標準に準拠したＭＡＣ方式」というセキュリティ対策を導入した場合の有効度２１０４は「０．９」であり、完全度２１０５は「０．９」であると記載されている。効果値２１０３を決める有効度２１０４と完全度２１０５は図１１に例示される対策効果ＤＢ２０２にて規定される。
【００８３】
制約（費用）２１０６の列には各セキュリティ対策を導入するのに要する費用が記載される。具体的には、対策２１０２「アクセス制御‐最新の業界基準に準拠したＭＡＣ方式」を導入するのに要する費用として「２００，０００円」が記載されている。
【００８４】
なお、本実施形態では、制約条件として、セキュリティ対策に要する費用に条件を設定することとしたが、これに限定されることはない。制約条件には、セキュリティ対策の導入を阻害する条件であり、かつ定量的に表現することが可能な条件であれば、それを用いることができる。
【００８５】
図１１は、セキュリティ対策の有効度と完全度について数値と程度との関係を示す対策効果ＤＢ２０２の一例を示す図である。対策効果ＤＢ２０２には効果値の算出に用いる指標の情報が記載される。本実施形態では有効度２２０１と完全度２２０３という指標を用いるため、これらの情報が記載される。
【００８６】
有効度のレベル付定義２１００１と数値指標２１００２とが対応づけて記載される。例えば、有効度レベル「少しは効果ある」は数値では「０．６」である。また、他の例として、規格に準拠しているかどうかという観点の指標を定義してもよい。また、「抑止」、「予防」、「検知」、「復旧」といった対策がどのように機能するものかという観点の指標を定義してもよい。
【００８７】
完全度のレベル付定義２１００３と数値指標２１００４が対応づけて記載される。例えば、完全度レベル「可」は数値では「０．６」である。また、他の例として、セキュリティ対策の十分性を測ることができる指標であれば、他の観点から定義してもよい。
【００８８】
図１２は、入出力部１０１による処理の一例を示すフローチャートである。
【００８９】
ステップＳ１００１では、入出力部１０１は、ユーザによる「システム構成情報」、「ネットワーク構成情報」、「リスク分析結果」、「制約条件」、および「リスク閾値」の入力があるか否か確認する。入力があれば、入出力部１０１はステップＳ１００２以降の処理を行う。
【００９０】
ステップＳ１００２では、入出力部１０１は、ユーザから入力された「システム構成情報」、「ネットワーク構成情報」、「リスク分析結果」、「制約条件」、および「リスク閾値」の情報を攻撃経路導出部１０２に送信する。
【００９１】
ステップＳ１００３では、入出力部１０１は、ユーザから入力された「制約条件」をｔ来作効果算出部１０４に送信する。
【００９２】
ステップＳ１００４では、入出力部１０１は、推奨対策選定支援部１０５から、推奨対策群を列挙した情報である「推奨対策一覧」を受信したか否か確認する。「推奨対策一覧」を受信していれば、入出力部１０１はステップＳ１００５以降の処理を行う。
【００９３】
ステップＳ１００５では、入出力部１０１は、推奨対策選定支援部１０５から「推奨対策一覧」を受信すると、推奨される各セキュリティ対策とそれぞれリスク低減率を画面に可視化し、ユーザに提示する。
【００９４】
ステップＳ１００６では、入出力部１０１は、ユーザに提示した推奨対策一覧からユーザがいずれかのセキュリティ対策を選択したか否か判定する。ユーザがいずれかのセキュリティ対策を選択していれば、入出力部１０１はステップＳ１００７以降の処理を行う。
【００９５】
ステップＳ１００７〜１００９は、ユーザによるセキュリティ対策の選択支援するループ処理である。導入するものとして選択されたセキュリティ対策により、リスク値がリスク閾値以上の脅威項目がなくなるまでループ処理が繰り返される。
【００９６】
ステップＳ１００８では、入出力部１０１は、ユーザが選択したセキュリティ対策の情報を推奨対策選定支援部１０５に送信し、推奨対策選定支援部１０５から、ユーザにより選択されたセキュリティ対策を導入したとして更に推奨するセキュリティ対策群である「推奨対策一覧」を受信し、その情報をユーザに提示する。
【００９７】
図１３は、攻撃経路導出部１０２による処理の一例を示すフローチャートである。
【００９８】
ステップＳ１１０１では、攻撃経路導出部１０２は、入出力部１０１から「システム構成情報」、「ネットワーク構成情報」、「リスク分析結果」、「制約条件」、および「リスク閾値」を受信したか否か判定する。「システム構成情報」、「ネットワーク構成情報」、「リスク分析結果」、「制約条件」、および「リスク閾値」を受信していれば、攻撃経路導出部１０２は、ステップＳ１１０２以降の処理を行う。
【００９９】
ステップＳ１１０２では、攻撃経路導出部１０２は、リスク値が、入出力部１０１から受信した「リスク閾値」以上である脅威項目を「リスク分析結果」から抽出する。ここで抽出された脅威項目がセキュリティ対策を立案する対象、つまり、攻撃経路を導出する対象となる。
【０１００】
ステップＳ１１０３では、攻撃経路導出部１０２は、攻撃経路の導出に用いるグラフ図を作成する。グラフ図は、システム構成およびネットワーク構成を基に、セキュリティ対策を立案する対象の大規模システムの構成を図式化したものである。大規模システムに含まれる機器（コンポーネント）およびネットワークをノードとし、ノード間の接続をリンクとして、大規模システムが図式化される。
【０１０１】
ステップＳ１１０４〜Ｓ１１０８のループ処理では、攻撃経路導出部１０２は、抽出した脅威項目の攻撃経路を順次導出する。ループ処理を終了する条件は、リスク値がリスク閾値以上である全ての脅威項目の攻撃経路の導出が完了することである。
【０１０２】
ステップＳ１１０５では、攻撃経路導出部１０２は、リスク値がリスク閾値以上の脅威項目を１つ選択する。このときリスク値の高い脅威項目から順に選択しても良いし、リスク値がリスク閾値以上の脅威項目をランダムに選択してもよい。
【０１０３】
ステップＳ１１０６では、攻撃経路導出部１０２は、選択した脅威項目のエントリポイントとターゲットを抽出する。
【０１０４】
ステップＳ１１０７では、攻撃経路導出部１０２は、抽出したエントリポイントとターゲットの最短距離を、ステップＳ１１０４で作成したグラフ図をもとに抽出する。このとき最短経路を探索する既存のアルゴリズム（以下「最短経路アルゴリズム」ともいう）等を適用する。
【０１０５】
ステップＳ１１０８では、攻撃経路導出部１０２は、リスク値がリスク閾値以上の脅威項目が残っていればステップＳ１１０５に戻り、リスク値がリスク閾値以上の全ての脅威項目の攻撃経路の導出が完了していればループ処理を抜ける。
【０１０６】
ステップＳ１１０９では、攻撃経路導出部１０２は、導出した脅威項目の攻撃経路の情報である「攻撃経路」を対策立案部１０３に送信する。
【０１０７】
図１４は、攻撃経路導出部１０２の処理の様子を説明するための図である。
【０１０８】
まず、攻撃経路導出部１０２は、「システム構成情報」と「ネットワーク構成情報」をもとにグラフ図７０１を作成する。次に、攻撃経路導出部１０２は、本グラフ図７０１と「リスク分析結果」に基づき、リスク分析結果に示された各脅威項目についてエントリポイントからターゲットまでの最短経路を導出する。攻撃経路導出部１０２は、各脅威項目のエントリポイントからターゲットまでの攻撃経路の情報を攻撃経路一覧７０２として整理する。
【０１０９】
攻撃経路一覧７０２には、攻撃経路７０３の列にエントリポイント７０４とターゲット７０５の組合せが記載される。組合せのそれぞれについてグラフ図７０１から最短経路を導出し、攻撃経路詳細７０６にその結果が記載される。
【０１１０】
図１４の例では、エントリポイント７０４がコンポーネントＥであり、ターゲット７０５がコンポーネントＢである攻撃経路について、グラフ図７０１に対して最短経路アルゴリズムを適用することにより、「コンポーネントＥ→ネットワーク２→コンポーネントＣ→ネットワーク１→コンポーネントＢ」という最短経路７０７を求めることができる。ここでは攻撃経路の長さは、一例として、攻撃経路に含まれる機器および通信路の個数で算出するものとする。
【０１１１】
なお、本実施形態では攻撃経路の長さが長いほど攻撃容易性が高まるという考えに基づき、エントリポイントからターゲットまでの間に存在する経路のうち最短経路のみ攻撃経路としてセキュリティ対策を立案するものとした。しかし、これに限定されることはない。他の例として、エントリポイントからターゲットまでに存在する全ての経路を攻撃経路として考慮し、セキュリティ対策を立案することにしてもよい。
【０１１２】
図１５は、対策立案部１０３による処理の一例を示すフローチャートである。
【０１１３】
ステップＳ１２０１では、対策立案部１０３は、攻撃経路導出部１０２から「攻撃経路一覧」と「リスク分析結果」を受信したか否かを確認する。
【０１１４】
ステップＳ１２０２〜Ｓ１２０５の対策抽出ループでは、対策立案部１０３は、リスク値がリスク閾値以上の各脅威項目に対してセキュリティ対策を順次立案する。
【０１１５】
ステップＳ１２０３では、対策立案部１０３は、「リスク分析結果」からリスク値がリスク閾値以上である脅威項目とその攻撃経路を参照し、攻撃経路上のコンポーネントを抽出する。
【０１１６】
ステップＳ１２０４では、対策立案部１０３は、攻撃経路上のコンポーネントに有効なセキュリティ対策を脅威‐対策ＤＢから抽出する。
【０１１７】
ステップＳ１２０５では、対策立案部１０３は、リスク値がリスク閾値以上である全ての脅威項目の攻撃経路上の全てのコンポーネントに対するセキュリティ対策の抽出が完了したら対策抽出ループから抜ける。
【０１１８】
ステップＳ１２０６では、対策立案部１０３は、各脅威項目の攻撃経路と、抽出したセキュリティ対策とを記載した対策一覧を作成し、対策効果算出部１０４に送信する。
【０１１９】
図１６は、対策立案部１０３が出力する対策一覧の一例を示す図である。
【０１２０】
脅威#２３０１の列には、脅威項目を識別するための識別情報（通し番号）が記載される。
【０１２１】
攻撃経路２２０２の列には、攻撃経路導出部１０２で導出された攻撃経路の情報が記載される。具体的には「コンポーネントＥ→ネットワーク２→コンポーネントＣ→ネットワーク１→コンポーネントＢ」等の情報が記載される。
【０１２２】
攻撃者２３０３の列には、誰が攻撃を行うのかを示す情報が記載される。
【０１２３】
攻撃方法２３０４の列には、攻撃経路上の機器の種別と、その機器に対する攻撃の内容が記載される。ここでは機器の種別としては、攻撃経路上の位置に応じて、エントリポイント、中継、ターゲットという種別がある。具体的には「（１）エントリポイントへの不正アクセス」、「（２）中継機器のＩＰアドレス調査」等が記載される。なお、エントリポイントがどこなのか、中継機器はどこなのかは攻撃経路を参照することで知ることができる。
【０１２４】
対策２３０５の列には、各攻撃方法２３０４に有効なセキュリティ対策の情報が記載される。一例として、攻撃方法「（１）エントリポイントへの不正アクセス」に有効なセキュリティ対策として「アクセス制御‐最新の業界基準に準拠したＭＡＣ方式」と記載されている。
【０１２５】
効果値２３０６の列には、脅威‐対策ＤＢ２０１と同様に各セキュリティ対策の有効度２３０７と完全度２３０８が記載される。
【０１２６】
制約（費用）２３０９の列には、各セキュリティ対策を導入するのに要する費用が記載される。制約（費用）２３０９の列には、脅威‐対策ＤＢ２０１に記載される費用と同様の費用が記載される。
【０１２７】
リスク値２３１０の列には、脅威項目のリスク値が記載される。
【０１２８】
図１７は、対策効果算出部１０４による処理の一例を示すフローチャートである。
【０１２９】
ステップＳ１３０１では、対策効果算出部１０４は、入出力部１０１から「制約条件」を受信し対策立案部１０３から「対策一覧」を受信したか否かを確認する。
【０１３０】
ステップＳ１３０２〜Ｓ１３０６では、対策効果算出部１０４は、対策効果算出ループ処理として、各セキュリティ対策に対するリスク低減率を順次算出する。
【０１３１】
ステップＳ１３０３では、対策効果算出部１０４は、セキュリティ対策の導入による効果を算出するため、効果を算出する対象とするセキュリティ対策が有効に作用する脅威項目を抽出する。
【０１３２】
ステップＳ１３０４では、対策効果算出部１０４は、対象のセキュリティ対策の効果値と制約条件を、図１６に例示した対策一覧から抽出する。
【０１３３】
ステップＳ１３０５では、対策効果算出部１０４は、対象のセキュリティ対策を導入することによる効果（リスク低減率）を算出する。その際、対策効果算出部１０４は、対策効果算出部１０４は、対象のセキュリティ対策による各脅威項目に対する効果を有効度および完全度に基づいて算出し、その各脅威項目に対する効果を合計することにより、リスク低減率を算出する。具体的には、式（１）によりリスク低減率を算出する
【数１】
2018077597.tif 000003
【０１３４】
式（１）において、ｃｒｊは、セキュリティ対策Ｏｊによるリスク低減率である。Ｒｋは、脅威項目ｋのリスク値である。ｎｊは、セキュリティ対策Ｏｊに紐付く脅威項目の個数である。紐付くというのはセキュリティ対策Ｏｊが脅威項目に有効に作用するということである。ｍは脅威項目の個数である。ｒ（ｋ，ｎ）は、セキュリティ対策Ｏｊの脅威項目ｋに対する有効度である。ｏ（ｋ，ｎ）は、セキュリティ対策Ｏｊの脅威項目ｋに対する完全度である。
【０１３５】
ステップＳ１３０６では、対策効果算出部１０４は、効果を算出すべき全てのセキュリティ対策についてリスク低減率を算出したか否か確認する。全てのセキュリティ対策についてリスク低減率を算出し終えていれば、対策効果算出部１０４はループ処理を抜ける。
【０１３６】
ステップＳ１３０７では、対策効果算出部１０４は、各セキュリティ対策とそのリスク低減率とを含む対策‐効果一覧表を推奨対策選定支援部１０５に送信する。
【０１３７】
図１８は、対策効果算出部１０４による処理の様子を説明するための図である。
【０１３８】
対策効果算出部１０４は、リスク値がリスク閾値以上である脅威項目８０１と、その脅威項目に効力のあるセキュリティ対策８０３を抽出する。次に、対策効果算出部１０４は、脅威項目８０１とセキュリティ対策８０３との各組み合わせについての有効度r８０２と完全度o８０４を抽出する。次に、対策効果算出部１０４は、式（１）を用いて各セキュリティ対策のリスク低減率を算出する。
【０１３９】
図１８の例では、脅威項目が脅威１、２の２個であり、セキュリティ対策が対策方針Ｏ１〜Ｏ６の６個である。対策方針Ｏ３は脅威１と脅威２の両方に対応するものである。対策方針Ｏ３は脅威１に対抗する３個のセキュリティ対策のうちの１個であり、脅威２に対抗する５個のセキュリティ対策のうちの１個である。そして対策方針Ｏ３の有効度ｒ８０２が０．８であり、完全度o８０４が０．８のとき、セキュリティ対策の効果は式（２）に示すとおりである
【数２】
2018077597.tif 000004
【０１４０】
図１９は、図１８の構成例で算出された対策効果一覧を示す図である。全てのセキュリティ対策に対してリスク低減率を算出する処理を繰り返すことで対策効果一覧８０５が作成される。対策効果一覧８０５には、セキュリティ対策８０６と、式（１）で算出した効果（リスク低減率）８０７とが記載される。
【０１４１】
図２０は、推奨対策選定支援部１０５による処理例のフローチャートである。
【０１４２】
ステップＳ１４０１では、推奨対策選定支援部１０５は、入出力部１０１から「推奨対策導出ルール」、「リスク閾値」、および「制約条件」を受信し、対策効果算出部１０４から「対策効果一覧」を受信したか否かを確認する。それらを受信していれば、推奨対策選定支援部１０５はステップＳ１４０２以降の処理を実行する。
【０１４３】
ステップＳ１４０２〜Ｓ１４０９は、推奨対策選定支援部１０５は、ユーザに導入するセキュリティ対策を選択させたセキュリティ対策が所定の条件を満たすまでセキュリティ対策の選択の追加や変更をユーザに繰り返し促すループ処理である。ここでの所定の条件は、セキュリティ対策を導入するコストが制約条件に設定された費用以下であり、かつリスク値がリスク閾値以上の脅威項目がなくなっていることである。
【０１４４】
ステップＳ１４０３では、推奨対策選定支援部１０５は、推奨対策群の生成における制約条件および抽出条件を取得する。制約条件および抽出条件はユーザが予め設定したものである。制約条件は一例として、セキュリティ対策の導入コストの上限値である。抽出条件は一例として、リスク値がリスク閾値以上の脅威項目がなくなることである。
【０１４５】
ステップＳ１４０４では、推奨対策選定支援部１０５は、制約条件および抽出条件を満たすように、少なくとも１つのセキュリティ対策を含む推奨対策群を抽出する。推奨対策群は、例えば、その推奨対策群に含まれるセキュリティ対策を全てを選択したとき、セキュリティ対策の導入コストが制約条件に設定された費用以下であり、かつリスク値がリスク閾値以上の脅威項目がなくなるような複数のセキュリティ対策の組み合わせとすればよい。
【０１４６】
その際、推奨対策選定支援部１０５は、セキュリティ対策の導入コストの制約条件を満たしながら、リスク値がリスク閾値以上の脅威項目を網羅し全ての脅威項目のリスク値がリスク閾値を下回るようにセキュリティ対策を組み合わせた対策集合Ｊを導出する。例えば、ナップザック問題などのアルゴリズムを適用し、リスク値がリスク閾値以上の脅威項目がなく、かつ式（３）を満たす集合Ｊを求めればよい。
【数３】
2018077597.tif 000005
【０１４７】
式（３）では、セキュリティ対策の導入のコストの総計が所定の上限値Ｐ以下であること、リスク低減率の総計が最大であることが条件となる。
【０１４８】
なお、推奨対策選定支援部１０５は可能であれば最大で所定個の推奨対策群を抽出してもよい。その場合にはΣｃｒｊが大きい方から所定個の集合を求めればよい。
【０１４９】
推奨対策選定支援部１０５は、求めた集合Ｊを推奨対策群として、各セキュリティ対策について導入の要否を選択可能なようにしてユーザに提示する。
【０１５０】
ステップＳ１４０５では、推奨対策選定支援部１０５は、ステップＳ１４０４で導出した集合Ｊに含まれるセキュリティ対策のうち、ユーザが選択したセキュリティ対策を導入したときのリスク低減率を式（４）を用いて計算する。
【数４】
2018077597.tif 000006
【０１５１】
ステップＳ１４０６では、推奨対策選定支援部１０５は、ステップＳ１４０５で検証した結果において、リスク値がリスク閾値以上の脅威項目が存在するかどうかを確認する。もし、リスク値がリスク閾値以上の脅威項目が存在すれば、推奨対策選定支援部１０５は、再び集合Ｊを導出するためにステップＳ１４０７以降の処理を実行する。
【０１５２】
ステップＳ１４０７では、推奨対策選定支援部１０５は、リスク値がリスク閾値以上の脅威項目を抽出し、さらにそのリスク値をリスク閾値以下にするために導入すべきセキュリティ対策を抽出する。そして、推奨対策選定支援部１０５は、抽出したセキュリティ対策をユーザに提示し、導入するセキュリティ対策の選択を促す。このとき、推奨対策選定支援部１０５は、抽出したセキュリティ対策を、入出力部１０１を介してユーザに提示する。さらに本ステップＳ１４０７では、推奨対策選定支援部１０５は、本セキュリティ対策の導入にかかるコスト（「コスト（Ａ）」とする）を算出する。
【０１５３】
ステップＳ１４０８では、推奨対策選定支援部１０５は、導入するものとして既に計算されているコストに、ステップＳ１４０７で導出したセキュリティ対策の導入にかかるコスト（Ａ）を加算して総コストを算出し、総コストが制約条件である上限値Ｐ以上となるか否か判定する。総コストが上限値Ｐ以上にならなければ、推奨対策選定支援部１０５はステップＳ１４０４に戻る。ステップＳ１４０４に戻るのは、ステップＳ１４０７で導出したセキュリティ対策を含めた上で再び、推奨対策群となる集合Ｊを求めるためである。
【０１５４】
一方、総コストが制約条件である上限値Ｐ以上であれば、推奨対策選定支援部１０５は、ステップＳ１４０９で、今回選出した集合Ｊでリスク値がリスク閾値以下にならなかった脅威項目に対するセキュリティ対策を含めた上で集合Ｊを導出するために、ユーザが入力した制約条件からコスト（Ａ）を差し引いた数値を新たな制約条件とし、適切な推奨対策群を抽出するためにステップＳ１４０５と同様の処理を行う。
【０１５５】
推奨対策選定支援部１０５は、セキュリティ対策の導入コストが制約条件以下であり、かつリスク値がリスク閾値以上の脅威項目がない状態となったとき、ステップＳ１４０２〜Ｓ１４０９のループ処理を抜け、ユーザに対して最終的な推奨対策の一覧を提示し、終了を通知する。
【０１５６】
なお、本実施形態において推奨対策選定支援部１０５は、ユーザの選択支援をおこなうため最終的な対策群の決定はユーザが行うものとしているが、ユーザとのやりとりなく、制約条件にしたがい推奨対策群をいくつか提示する形態でも良い。
【０１５７】
図２１は、推奨対策選定支援部１０５がユーザに提示する画面の一例を示す図である。
【０１５８】
推奨対策選定支援部１０５は、ユーザに対して、セイキュリティ対策の導入コストが制約条件を満たし、全ての脅威項目のリスク値がリスク閾値以下になることを満たすセキュリティ対策群である集合Ｊを、推奨対策群として１つ以上ユーザに提示する。図２１の例では、２つの推奨対策群９０１、９０２が提示されている。
【０１５９】
推奨対策群９０１，９０２の情報としては、対策実施箇所９００１、対策９００２、および導入可否９００３の情報が記載される。対策実施箇所９００１はセキュリティ対策を適用する大規模システムの部位を示す。対策９００２には、推奨対策群に含まれるセキュリティ対策が記載される。導入可否９００３は、各セキュリティ対策を導入するか否かを示す。導入可否９００３は、チェックボックスになっており、導入するか否かを本画面からユーザが選択できる。この導入可否９００３は、推奨する対策の中に導入できないものが含まれる可能性があるため、考慮する項目である。
【０１６０】
大規模システム構成を示す模式図９０３と、その模式図の中で選択された機器９０７が関連する脅威項目の一覧表９０４により、推奨対策群を導入することでどれくらいの効果があるのかを可視化している。
【０１６１】
一覧表９０４には、選択された機器９０７が関連する脅威項目である関連脅威９４０１のそれぞれについて、セキュリティ対策を導入する前のリスク値９４０２と、推奨対策群に含まれる全てのセキュリティ対策を導入した場合のリスク値９４０３が示されている。
【０１６２】
具体的には、コンポーネントＡに関連する脅威３は、セイキュリティ対策の導入前にはリスク値９４０２が「６．５」であるるの対して、推奨対策群のセキュリティ対策を導入することでリスク値９４０３が「３．９」となる。ここで、リスク閾値を４．０とすると、推奨対策群のセキュリティ対策を導入することにより、リスク値がリスク閾値以下になる。
【０１６３】
大規模システムや運営者の特性や制約など様々な要因で、推奨対策群に含まれるセキュリティ対策の中に導入できないものが存在する可能性がある。推奨対策群９０１、９０２の一覧表に導入可否９００３の項目が設けてあるのは、ユーザが導入するセキュリティ対策を選択することを可能にするためである。
【０１６４】
脅威項目の一覧表９０４には、推奨対策のうち導入可能な対策を導入した場合、すなわち、推奨対策群に含まれるセキュリティ対策のうち導入可否９００３のチェックボックスにて選択されたセキュリティ対策のみを導入した場合のリスク値９４０４が示されている。ユーザは、導入可否９００３にチェックを入れなかったセキュリティ対策が、どれ程度、リスク値に影響するかを知ることができる。
【０１６５】
図２１の例では、対策方針Ｏ７は導入可否９００３の欄にチェックが入っていない。その結果、脅威６（９０６）と脅威７で、全てのセキュリティ対策を導入した場合に比べてリスク値が上昇している。リスク値９４０４の欄の上向きの矢印がリスク値の上昇を示している。特に、脅威６（９０６）では、リスク値が４．５であり、リスク閾値４．０を上回ってしまっている。そのため、脅威６（９０６）にはリスク値９４０４の欄に「要対応」という警告メッセージが表示されている。また、模式図９０３において、リスク値がリスク閾値以下になっていない脅威項目に関連づけれた機器を視認しやすく表示しても良い。具体的には、その機器を目立つ色で表示することが考えられる。そうすることでリスク値がリスク閾値以上になる脅威項目が出現した場合にユーザはそのことを容易に知ることができる。
【０１６６】
なお、ここでは、コンポーネントＡという１つの機器について説明したが、ユーザによる導入可否９００３の設定に連動して他の機器のリスク値も変化する。例えば、コンポーネントＡに関連して、推奨対策群の中でいくつかセキュリティ対策を導入しないとしたことでリスク値が上昇する脅威項目に他の機器が関連していれば、その機器のリスク値も上昇することとなる。
【０１６７】
これにより、リスク値が上昇した脅威項目に関連する他の機器について、セキュリティ対策の導入可否の判断が可能となる。ユーザがコンポーネントＡの観点から導入しないと判断したセキュリティ対策を他の機器の観点から見なおして導入することになることもあり得る。あるいは大規模システムの運用によりセキュリティ対策を行うなど多面的にセキュリティ対策を選定するのを支援することもできる。
【０１６８】
上述した実施形態には様々な変形が可能である。
【０１６９】
（変形例１）
変形例１は、新たなセキュリティ対策の立案支援において、過去に実際に導入されことのあるセキュリティ対策をユーザが優先的に導入することを可能にするものである。これは、過去の導入された実績のあるセキュリティ対策は、その効果が実証されているので、実績のないセキュリティ対策よりも優先するという考えに基づいている。
【０１７０】
図２２は、変形例１によるセキュリティ対策立案支援装置の機能ブロック図である。変形例１のセキュリティ対策立案支援装置１０は、図２に示した構成にフィードバック部１０６が追加されている。
【０１７１】
フィードバック部１０６は、各セキュリティ対策について、そのセキュリティ対策が実際に導入されたことがあるか否かを管理する。本変形例では一例として、脅威‐対策データベースに、導入実績有無の列を追加し、各セキュリティ対策が導入されたことがあるか否かの情報を記録するものとする。フィードバック部１０６は、ユーザが入出力部１０１を介して、実際に導入したセキュリティ対策の情報を入力すると、入力情報に基づいて、脅威‐対策データベースに導入実績有という情報を記録する。
【０１７２】
本変形例では、図２１に例示した推奨対策群９０１、９０２の一覧表に導入実績有無の欄を追加する。推奨対策選定支援部１０５は、推奨対策群をユーザに提示するとき、それぞれのセキュリティ対策について導入実績の有無の情報も提示する。ユーザは導入可否９００３を選択する際、導入実績の有無を参考にし、例えば導入実績があるセキュリティ対策を優先的に導入することにしてもよい。
【０１７３】
実際に用いたセキュリティ対策に高い優先度を付与することにより、実際に過去に導入された実績のあるセキュリティ対策をユーザに認識させ、例えばフィルタリングにより優先度の高いセキュリティ対策を抽出可能にする。
【０１７４】
（変形例２）
変形例２は、新たなセキュリティ対策の立案支援において、準拠すべき規格あるいはガイドラインに則したセキュリティ対策をユーザが優先的に導入することを可能にするものである。大規模システムは標準規格あるいはガイドラインに沿ったものであることが好ましいという考えに基づいている。
【０１７５】
脅威‐対策データベースには、各セキュリティ対策について、各種の規格およびガイドラインの準拠有無をそれぞれ記録する列を追加すればよい。推奨対策選定支援部１０５は、推奨対策群をユーザに提示するとき、それぞれのセキュリティ対策が各種の規格およびガイドラインのそれぞれに準拠しているか否かをユーザに提示する。
【０１７６】
規格やガイドラインに準拠したセキュリティ対策に高い優先度を付与することにより、規格やガイドラインに準拠したセキュリティ対策をユーザに認識させ、例えばフィルタリングにより規格やガイドラインに準拠したセキュリティ対策を優先的に抽出可能にする。
【０１７７】
本変形例では、図２１に例示した推奨対策群９０１、９０２の一覧表に、各種の規格およびガイドラインのそれぞれに準拠しているか否かの情報を追加する。推奨対策選定支援部１０５は、推奨対策群をユーザに提示するとき、脅威‐対策データベースに基づいて、各規格やガイドラインへの準拠の有無の情報をユーザに提示する。
【０１７８】
セキュリティ対策の立案支援において、規格あるいはガイドラインに準拠しているセキュリティ対策に高い優先度を与え、その優先度をユーザに認識させ、例えばフィルタリングにより優先度の高いセキュリティ対策を抽出可能にする。
【０１７９】
その場合、まず各セキュリティ対策の基本的な情報が登録されたマスターデータを用意する。次に、各種規格あるいはガイドラインに記載されているセキュリティ対策のデータを用意する。また、各セキュリティ対策の準拠有無の判断ができるようなデータベース構造とする。本変形例によれば各種規格あるいはガイドラインに準拠したセキュリティ対策の抽出が可能となる。
【符号の説明】
【０１８０】
１０…セキュリティ対策立案支援装置、１００…メモリ、１０１…入出力部、１０２…攻撃経路導出部、１０３…対策立案部、１０４…対策効果算出部、１０５…推奨対策選定支援部、１０６…フィードバック部、１１０…対策立案支援プログラム、２００…外部記憶装置、２０１…対策データベース、２０２…対策効果データデース、３００…ＣＰＵ、４００…入出力装置、５００…インターフェース
【図１】
2018077597.tif 000007
【図２】
2018077597.tif 000008
【図３】
2018077597.tif 000009
【図４】
2018077597.tif 000010
【図５】
2018077597.tif 000011
【図６】
2018077597.tif 000012
【図７】
2018077597.tif 000013
【図８】
2018077597.tif 000014
【図９】
2018077597.tif 000015
【図１０】
2018077597.tif 000016
【図１１】
2018077597.tif 000017
【図１２】
2018077597.tif 000018
【図１３】
2018077597.tif 000019
【図１４】
2018077597.tif 000020
【図１５】
2018077597.tif 000021
【図１６】
2018077597.tif 000022
【図１７】
2018077597.tif 000023
【図１８】
2018077597.tif 000024
【図１９】
2018077597.tif 000025
【図２０】
2018077597.tif 000026
【図２１】
2018077597.tif 000027
【図２２】
2018077597.tif 000028