(57)【要約】      （修正有）【課題】簡便な分析手法によりネットワークシステムのセキュリティに関する脆弱性を検出することができるセキュリティシステムと、その符号化方式並びにネットワーク制御方式を提供する。【解決手段】ネットワークシステムＮＷＳ１〜ＮＷＳ３に適用されるセキュリティシステムＳＱであって、ネットワークシステムは、複数の情報機器とネットワークを含む複数のゾーンに区分されている。セキュリティシステムは、ゾーン毎に情報機器の情報やネットワークの情報から成るゾーン情報を取得する情報取得部と、情報取得部により取得したゾーン情報をゾーン毎に符号化する符号化部と、符号化部により符号化されたゾーン情報に基づいて、当該ゾーン情報についての脆弱性情報を得て、ゾーンのリスクを分析する分析部を備える。【選択図】図２
2019159877.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークシステムに適用されるセキュリティシステムであって、
前記ネットワークシステムは、複数の情報機器とネットワークを含む複数のゾーンに区分されており、
前記セキュリティシステムは、前記ゾーン毎に前記情報機器の情報や前記ネットワークの情報から成るゾーン情報を取得する情報取得部と、前記情報取得部により取得した前記ゾーン情報をゾーン毎に符号化する符号化部と、前記符号化部により符号化されたゾーン情報に基づいて、当該ゾーン情報についての脆弱性情報を得、前記ゾーンのリスクを分析する分析部を備えることを特徴とするセキュリティシステム。
【請求項２】
請求項１に記載のセキュリティシステムであって、
前記セキュリティシステムは、前記符号化部の処理に必要な制約条件を設定する符号化条件設定部を備えており、前記符号化条件設定部は、前記ゾーン内のシステム構成についての制約条件、情報の公開範囲についての制約条件、圧縮率についての制約条件のうち少なくとも１つの制約条件を用いて符号化を行うことを特徴とするセキュリティシステム。
【請求項３】
請求項１または請求項２に記載のセキュリティシステムであって、
前記セキュリティシステムは、前記ゾーン情報をゾーン毎に符号化するときの複数の符号化方式を有する符号化方式選択部を備えており、前記符号化部は前記符号化方式選択部で選択された前記符号化方式に従って符号化を行うことを特徴とするセキュリティシステム。
【請求項４】
請求項１から請求項３のいずれか１項に記載のセキュリティシステムであって、
前記セキュリティシステムは、前記分析部による分析結果に基づいて、脆弱性を指摘されたゾーンにおけるネットワーク制御を指示する結果提示／実行部を備えることを特徴とするセキュリティシステム。
【請求項５】
請求項１から請求項４のいずれか１項に記載のセキュリティシステムであって、
前記符号化部は、情報開示範囲や情報の圧縮率や情報変換の可逆性や情報暗号化の強度のうち何れかまたは複数の設定条件、選択された符号化方式に基づき、符号化を行うことを特徴とするセキュリティシステム。
【請求項６】
請求項１から請求項５のいずれか１項に記載のセキュリティシステムであって、
前記ゾーンにおける情報機器とネットワークの接続関係を示す構成情報についての複数の符号化方式を有し、前記符号化部は、複数の符号化方式から、構成情報に合致した符号化方式を選択し、前記構成情報を符号化することを特徴とするセキュリティシステム。
【請求項７】
請求項１から請求項６のいずれか１項に記載のセキュリティシステムであって、
前記ゾーンにおける全ての存在し得る情報機器とネットワークの接続関係を示す格子状の構成情報を有し、前記符号化部は実際に取得した構成情報から、前記格子状の構成情報と照合し、構成情報に合致した情報機器またはネットワークの符号情報を取得し、前記構成情報を符号化することを特徴とするセキュリティシステム。
【請求項８】
請求項１から請求項７のいずれか１項に記載のセキュリティシステムであって、
前記符号化部は、情報機器とネットワークの構成情報を座標系に配置し前記情報機器と前記ネットワークに関する情報を色情報として、前記座標系に登録することで、前記構成情報を符号化することを特徴とするセキュリティシステム。
【請求項９】
請求項１から請求項７のいずれか１項に記載のセキュリティシステムであって、
前記符号化部は、三次元上に配置された情報機器やネットワークの構成情報を符号化することを特徴とするセキュリティシステム。
【請求項１０】
請求項１から請求項７のいずれか１項に記載のセキュリティシステム内の符号化部において実施されるセキュリティシステムの符号化方式であって、
前記ゾーン内に存在する情報機器やネットワークの構成情報を取得し、前記構成情報を符号化するために必要な設定条件として、情報開示範囲や情報の圧縮率や情報変換の可逆性や情報暗号化の強度のうち何れかまたは複数の設定条件を選択し、前記情報を符号化するための複数の符号化方式から、前記構成情報に適した符号化方式を選択し、前記構成情報を符号化することを特徴とするセキュリティシステムの符号化方式。
【請求項１１】
請求項１０に記載のセキュリティシステムの符号化方式であって、
情報機器とネットワークの接続関係を示す複数の符号化方式を有し、前記複数の符号化方式から、構成情報に合致した符号化方式を選択し、前記構成情報を符号化することを特徴とするセキュリティシステムの符号化方式。
【請求項１２】
請求項１１に記載のセキュリティシステムの符号化方式であって、
情報機器とネットワークの接続関係を示す複数の符号化方式は前記ネットワークの階層に応じて複数存在し、前記複数の符号化方式から、構成情報に合致した複数の符号化方式を組み合わせて新たな符号化方式を生成し、前記符号化方式によって、前記構成情報を符号化することを特徴とするセキュリティシステムの符号化方式。
【請求項１３】
請求項１０に記載のセキュリティシステムの符号化方式であって、
情報機器とネットワークの構成情報を座標系に配置し前記情報機器と前記ネットワークに関する情報を色情報として、前記座標系に登録することで、前記構成情報を符号化することを特徴とするセキュリティシステムの符号化方式。
【請求項１４】
請求項１０から請求項１３のいずれか１項に記載のセキュリティシステムの符号化方式であって、
三次元上に配置された情報機器やネットワークの構成情報を符号化することを特徴とするセキュリティシステムの符号化方式。
【請求項１５】
請求項１から請求項９のいずれか１項に記載のセキュリティシステムのネットワーク制御方式であって、
ゾーンに脆弱性がある場合には、脆弱性を指摘されたゾーンおよび、脆弱性を指摘されたゾーンに隣接する隣接ゾーンの重要度についてのゾーン情報を取得し、前記ゾーン情報から、ゾーン間の接続部の切断や通信制限などを実施することを特徴とするセキュリティシステムのネットワーク制御方式。
【請求項１６】
請求項１から請求項９のいずれか１項に記載のセキュリティシステムであって、
ネットワークシステムは、複数の情報機器とネットワークを含む複数の小ネットワークシステムが相互に接続されて構成されており、
前記小ネットワークシステムは、複数の情報機器とネットワークを含む複数のゾーンに区分されていることを特徴とするセキュリティシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク上に情報機器を配したネットワークシステムのセキュリティシステムとその符号化方式並びにネットワーク制御方式に関する。
【背景技術】
【０００２】
ネットワーク上に情報機器を配したネットワークシステムとして種々のものが知られている。これらのネットワークシステムにより、例えばファクトリーオートメーション（ＦＡ）、プロセスオートメーション（ＰＡ）、ＩｏＴ（Ｉｎｔｅｒｎｅｔ  ｏｆ  Ｔｈｉｎｇｓ）システムを実現しており、適宜ＤＣＳ（ｄｉｓｔｒｉｂｕｔｅｄ  ｃｏｎｔｒｏｌ  ｓｙｓｔｅｍ）やＰＬＣ（Ｐｒｏｇｒａｍｍａｂｌｅ  Ｌｏｇｉｃ  Ｃｏｎｔｒｏｌｌｅｒ）などの制御装置、ＳＣＡＤＡ（Ｓｕｐｅｒｖｉｓｏｒｙ  Ｃｏｎｔｒｏｌ  Ａｎｄ  Ｄａｔａ  Ａｃｑｕｉｓｉｔｉｏｎ）などの制御システム、および、様々な情報機器がネットワークに接続されて使用されている。
【０００３】
係るネットワークシステムにおけるシステム管理技術に関して、例えば特許文献１が知られている。この特許文献１には、「産業ネットワークを管理するために、産業ネットワークの種々のセクションにおいてデータを収集し、収集されたデータを分析する」という記載がある。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１６−０２９７９８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
特許文献１では、産業ネットワークにおいて収集したデータの分析については、それぞれのセクションに応じた分析手法を用いており、画一的または汎用性の高い分析手法については特に言及がない。
【０００６】
したがって、汎用性の高い分析手法、例えばＤＬ（ディープラーニング）などを使用してデータを分析するには、収集したデータを何らかの方法で分析可能な形式に変換する必要がある。
【０００７】
また、複数のシステムから収集したデータの秘匿性についても特に言及がなく、例えば様々な異種システムから多くのデータを収集した場合に、収集したデータをどのようにセキュアに管理するかが課題となる。
【０００８】
以上のことから本発明においては、簡便な分析手法によりネットワークシステムのセキュリティに関する脆弱性を検出することができるセキュリティシステムとその符号化方式並びにネットワーク制御方式を提供することを目的とする。
【課題を解決するための手段】
【０００９】
以上のことから本発明は、「ネットワークシステムに適用されるセキュリティシステムであって、ネットワークシステムは、複数の情報機器とネットワークを含む複数のゾーンに区分されており、セキュリティシステムは、ゾーン毎に情報機器の情報やネットワークの情報から成るゾーン情報を取得する情報取得部と、情報取得部により取得したゾーン情報をゾーン毎に符号化する符号化部と、符号化部により符号化されたゾーン情報に基づいて、当該ゾーン情報についての脆弱性情報を得、ゾーンのリスクを分析する分析部を備えることを特徴とするセキュリティシステム」のように構成したものである。
【００１０】
また本発明は、「セキュリティシステム内の符号化部において実施されるセキュリティシステムの符号化方式であって、ゾーン内に存在する情報機器やネットワークの構成情報を取得し、構成情報を符号化するために必要な設定条件として、情報開示範囲や情報の圧縮率や情報変換の可逆性や情報暗号化の強度のうち何れかまたは複数の設定条件を選択し、構成情報を符号化するための複数の符号化方式から、構成情報に適した符号化方式を選択し、構成情報を符号化することを特徴とするセキュリティシステムの符号化方式」のように構成したものである。
【００１１】
また本発明は、「セキュリティシステムにおけるネットワーク制御方式であって、ゾーンに脆弱性がある場合には、脆弱性を指摘されたゾーンおよび、脆弱性を指摘されたゾーンに隣接する隣接ゾーンの重要度についてのゾーン情報を取得し、ゾーン情報から、ゾーン間の接続部の切断や通信制限などを実施することを特徴とするセキュリティシステムにおけるネットワーク制御方式」のように構成したものである。
【発明の効果】
【００１２】
本発明によれば、簡便な分析手法によりネットワークシステムのセキュリティに関する脆弱性を検出することができる。
【００１３】
また本発明の実施例によれば、様々な機器やネットワークで構成されるＩｏＴシステムや制御システムにおいて、ゾーンにより分割したシステム管理を実行する際に、システム構成情報から既存技術の分析手段を用いて、セキュリティに関する脆弱性を検出することができる。また、脆弱性の検出結果をもとに、ゾーン間の接続部を自動で制御し、セキュアなシステム運用を実現できる。
【図面の簡単な説明】
【００１４】
【図１】本発明において想定するネットワークシステムの一例を示す図。
【図２】小ネットワークシステムＮＷＳ１とセキュリティシステムＳＱの具体構成例を示す図。
【図３】セキュリティシステムＳＱの主要な各部において取り扱う情報の一例を模式的に示す図。
【図４】実施例１における符号化部２の処理フローを示す図。
【図５】実施例１における分析部５の処理フローを示す図。
【図６】実施例１における結果提示／実行部７の処理フローを示す図。
【図７】図６の重要度判断の組み合わせをマトリクス状にして、結果として行う処理を整理して示す図。
【図８】セキュリティシステムＳＱの主要な各部における処理シーケンスの一例を示す図。
【図９】符号化方式選択部４をネットワーク階層毎に構成した例を示す図。
【図１０】実施例３におけるセキュリティシステムＳＱの構成例を示す図。
【図１１】実施例３における符号化部２の処理フローを示す図。
【図１２ａ】システム構成を複数のゾーンＺ毎に分割して、それぞれのゾーンＺ毎に符号化を実施することを示す図。
【図１２ｂ】複数のシステム構成を繋ぎ合わせて、纏めて符号化を実施することを示す図。
【図１３】実施例４におけるセキュリティシステムＳＱの構成例を示す図。
【図１４】実施例４における符号化部２の処理フローを示す図。
【図１５】実施例５のセキュリティシステムＳＱにおける符号化方式Ｐを示す図。
【発明を実施するための形態】
【００１５】
以下、実施例について図面を用いて説明する。
【実施例１】
【００１６】
図１は本発明において想定するネットワークシステムの一例を示している。ここに示す全体ネットワークシステムＮＷＳは、小ネットワークシステムＮＷＳ１、ＮＷＳ２、ＮＷＳ３の集合体であって、小ネットワークシステムＮＷＳ１、ＮＷＳ２、ＮＷＳ３は例えば、Ａ会社の本店、支店、事業所などに形成されたネットワークシステムがネットワークＮＷで接続されたものである。ここでは小ネットワークシステムＮＷＳ１、ＮＷＳ２、ＮＷＳ３は、同一のネットワーク管理者であるＡ会社により管理されている。なおＡ会社は管理委託会社であってもよい。
【００１７】
また小ネットワークシステムＮＷＳ１、ＮＷＳ２、ＮＷＳ３内には、夫々の事情に応じたネットワークが形成されており、ここではファクトリーオートメーション（ＦＡ）、プロセスオートメーション（ＰＡ）に使用されるＤＣＳ（ｄｉｓｔｒｉｂｕｔｅｄ  ｃｏｎｔｒｏｌ  ｓｙｓｔｅｍ）やＰＬＣ（Ｐｒｏｇｒａｍｍａｂｌｅ  Ｌｏｇｉｃ  Ｃｏｎｔｒｏｌｌｅｒ）などの制御装置、ＳＣＡＤＡ（Ｓｕｐｅｒｖｉｓｏｒｙ  Ｃｏｎｔｒｏｌ  Ａｎｄ  Ｄａｔａ  Ａｃｑｕｉｓｉｔｉｏｎ）などの制御システム、および、様々な情報機器がネットワークに接続されるＩｏＴ（Ｉｎｔｅｒｎｅｔ  ｏｆ  Ｔｈｉｎｇｓ）システムなどが適宜適用されている。
【００１８】
本発明においては、小ネットワークシステムＮＷＳ１、ＮＷＳ２、ＮＷＳ３内を夫々ゾーンＺに分割している。小ネットワークシステムＮＷＳ１についてゾーンＺ１０、Ｚ１１、Ｚ１２、Ｚ１３、Ｚ１４に分割し、ＮＷＳ２についてゾーンＺ２０、Ｚ２１、Ｚ２２、Ｚ２３、Ｚ２４に分割し、ＮＷＳ３についてゾーンＺ３０、Ｚ３１、Ｚ３２、Ｚ３３、Ｚ３４、Ｚ３５に分割している。
【００１９】
ゾーンＺは、それぞれ複数の情報機器とネットワークで構成されており、後述するネットワーク構成（ツリー状、階層状、リング状、ハイブリッド状など）を形成している。なおゾーンＺ内におけるネットワークは、有線接続、無線接続のいずれで構成されたものであってもよい。このようにゾーンＺとは、ＩｏＴシステムや制御システム内において所定の機能を実現するために必要な情報機器やネットワークの組合せである。またここで、システム内において各情報機器やネットワークは、何れかまたは複数のゾーンＺに属していても良く、ゾーンＺ内の情報機器数やネットワーク接続関係には特に制約はない。
【００２０】
小ネットワークシステムＮＷＳ１、ＮＷＳ２、ＮＷＳ３におけるゾーンＺの設定の考え方は、適宜のものが採用可能である。位置的に建屋の階層に沿ったゾーン設定、プラントなどの制御機能単位でのゾーン設定、安全防護上のセキュリティレベルに沿ったゾーン設定などがある。
【００２１】
本発明では、係るネットワークシステムＮＷＳを対象とし、その一部にセキュリティシステムＳＱを配置したものである。図２は、小ネットワークシステムＮＷＳ１とセキュリティシステムＳＱの具体構成例を示した図である。小ネットワークシステムＮＷＳ１は、ネットワークＮＷを介して、小ネットワークシステムＮＷＳ２、ＮＷＳ３、及びキュリティシステムＳＱと接続されている。また各小ネットワークシステムＮＷＳ１、ＮＷＳ２、ＮＷＳ３内の各ゾーンＺ（図２ではＺ１０、Ｚ１１．Ｚ１２）は、接続部１１を介してネットワークＮＷに接続されている。なお小ネットワークシステムＮＷＳ２、ＮＷＳ３も、その内部は小ネットワークシステムＮＷＳ１と同様に構成されている。
【００２２】
小ネットワークシステムＮＷＳ１、ＮＷＳ２、ＮＷＳ３は、セキュリティシステムＳＱによりセキュリティ管理されているが、小ネットワークシステムＮＷＳ１、ＮＷＳ２、ＮＷＳ３自体は、ゾーン管理部８としての機能を有している。
【００２３】
ゾーン管理部８は、一つ以上のゾーンＺとネットワーク制御部１０と一つ以上の接続部１１とから構成されている。ゾーンＺ間は接続部１１によって互いに接続されており、ゾーン管理部８は、後述するセキュリティシステムＳＱ内の結果提示／実行部７からの指令に従い、ネットワーク制御部１０によって接続部１１におけるゾーンＺ間の通信を管理する機能を有する。なお図２において、ネットワーク制御部１０は、ネットワークＮＷとその制御機能を意味している。
【００２４】
小ネットワークシステムＮＷＳ１、ＮＷＳ２、ＮＷＳ３に共通に配置されたセキュリティシステムＳＱは、構成情報取得部１と、符号化部２と、符号化条件設定部３と、符号化方式選択部４と、分析部５と、脆弱性情報取得部６と、結果提示／実行部７とから構成されている。
【００２５】
セキュリティシステムＳＱにおいて構成情報取得部１は、分割されたゾーンＺの単位ごとに形成されたシステム構成情報ＳＺを、ゾーン管理部８から取得する機能を有する。システム構成情報ＳＺとは、例えばＩｏＴシステムや制御システムを構成する情報機器のハードウェア情報ＳＺａ、ソフトウェア情報ＳＺｂ、ネットワーク情報ＳＺｃ、ゾーンＺの情報ＳＺｄなどである。
【００２６】
情報機器のハードウェア情報ＳＺａは例えば、情報機器のシリアル番号、製造番号、ネットワークのハードウェアアドレスなどの情報機器固有の情報、情報機器の製品名や一般名称、情報機器の種類情報、機種名やカテゴリを示す機種情報、情報機器のハードウェア仕様情報、ハードウェアの設定情報などである。
【００２７】
情報機器のソフトウェア情報ＳＺｂとは例えば、情報機器にインストールされているＯＳ（オペレーティングシステム）、ミドルウェア、アプリケーション、ライブラリなどの名称や種別情報バージョン情報、ネットワークアドレス、これらのソフトウェアの設定情報などである。
【００２８】
ネットワーク情報ＳＺｃとは、情報機器が接続されているネットワークの種類や名称、または、通信速度や通信帯域許容レイテンシなどネットワークの通信仕様に関する情報、または、ネットワークに接続している情報機器のアドレスのリスト、情報機器の接続状態、ネットワークの接続経路などである。
【００２９】
ゾーン情報ＳＺｄとは、例えばゾーンＺの名称や固有の識別情報、接続部１１を介して隣接するゾーンＺの名称や識別情報、または、特定のゾーンＺを構成する機器やネットワークのリスト、ゾーンＺの重要度、ゾーンＺに必要なセキュリティレベル、ゾーンＺの分類や種別やカテゴリを示す情報、そのゾーンＺがシステム内において満たすべき機能や役割に関する情報である。
【００３０】
このようにして、セキュリティシステムＳＱの構成情報取得部１には、分割されたゾーンＺの単位ごとに形成されたシステム構成情報ＳＺが取得される。図３は、セキュリティシステムＳＱの主要な各部において取り扱う情報の一例を模式的に示した図である。この図３において、構成情報取得部１には、取得したシステム構成情報ＳＺの具体事例として、ゾーンＺ１０とＺ１１のシステム構成情報ＳＺ１０、ＳＺ１１を例示している。なお図３はシステム構成情報ＳＺの一例を模式的に図示しており、本発明の理解を容易にするために例示したものであるので、システム構成情報ＳＺそのものとしては他のものであってもよいことは言うまでもない。
【００３１】
例えばゾーンＺ１０のシステム構成情報ＳＺ１０によれば、情報機器Ａの下部に情報機器Ｃが２台配置され、かつ一方の情報機器Ｃの下部に情報機器Ｅが３台配置された階層構成のシステム構成を採用している。またゾーンＺ１１のシステム構成情報ＳＺ１１によれば、５台の情報機器ＳＳがリング状に配置され、かつ情報機器ＳＳのうちの３台の下部に情報機器Ｅが配置されたハイブリッド状構成のシステム構成を採用している。なおシステム構成情報ＳＺ１０、ＳＺ１１は、上記したハードウェア情報ＳＺａ、ソフトウェア情報ＳＺｂ、ネットワーク情報ＳＺｃ、ゾーンＺの情報ＳＺｄの観点からの多くの情報を含んで構成されている。なお図３において、符号化方式は適宜符号化方式登録部２０に登録保持される。
【００３２】
図２に戻り、符号化部２は、符号化条件設定部３の設定と符号化方式選択部４における符号化方式の選択結果に従い、システム構成情報ＳＺを符号化する機能を有する。符号化部２の処理内容についての詳細な説明は後述し、ここでは図３を用いて符号化部２と符号化方式選択部４における処理例の概念を先行的に説明しておく。
【００３３】
図３において、符号化方式選択部４には例えば符号化方式Ｐ１、Ｐ２、Ｐ３、Ｐ４の４パターンが準備されている。符号化方式Ｐ１はゾーンＺ内の情報機器の接続状態として、ツリー状の接続関係を定義したものであり、符号化方式Ｐ２はゾーンＺ内の情報機器の接続状態として階層構成状の接続関係を定義したものであり、符号化方式Ｐ３はゾーンＺ内の情報機器の接続状態としてリング状の接続関係を定義したものであり、符号化方式Ｐ４はゾーンＺ内の情報機器の接続状態としてハイブリッド状の接続関係を定義したものである。
【００３４】
符号化方式選択部４は、自動的にあるいは人為的に選択した符号化方式Ｐ１、Ｐ２、Ｐ３、Ｐ４を符号化部２に与える。例えば符号化部２が符号化方式Ｐ２を与えられた場合、階層構成状の接続関係を有するゾーンＺとしてＺ１０を抽出し、そのシステム構成情報ＳＺ１０から符号化システム構成情報ＳＺ１０´を生成する。符号化部２が符号化した符号化システム構成情報ＳＺ１０´は、例えば「Ｐ２−Ａ−ＣＣ−ＥＥＥ」なる表現のコードであり、これによりゾーンＺ１０の構成はコードにより表現されたことになる。また同様に、例えば符号化部２が符号化方式Ｐ４を与えられた場合、ハイブリッド状の接続関係を有するゾーンＺとしてＺ１１を抽出し、そのシステム構成情報ＳＺ１１から符号化システム構成情報ＳＺ１１´を生成する。符号化部２が符号化した符号化システム構成情報ＳＺ１１´は、例えば「Ｐ４−ＳＳ−ＳＳＳ−ＥＥＥ」なる表現のコードであり、これによりゾーンＺ１１の構成はコードにより表現されたことになる。
【００３５】
再度図２に戻り、符号化条件設定部３は、符号化部２の処理に必要な制約条件Ｌを設定する機能を有する。ここで設定される制約条件Ｌは、大別するとシステム構成についての制約条件Ｌ１、公開範囲についての制約条件Ｌ２、圧縮率についての制約条件Ｌ３などである。
【００３６】
このうちシステム構成についての制約条件Ｌ１は、例えば上記した符号化方式Ｐを決定するうえでの各種の条件である。
【００３７】
公開範囲についての制約条件Ｌ２は、例えば、構成情報取得部１が取得したシステム構成情報ＳＺの公開範囲を自組織内（例えばゾーンＺ１０のシステム構成情報ＳＺ１０について小ネットワークシステムＮＷＳ１内に限定）、自社内（例えばゾーンＺ１０のシステム構成情報ＳＺについてネットワークシステムＮＷＳ内に限定）、関連企業内に限定するか、インターネット経由で外部公開可能かなどの公開範囲の設定を行ったものである。
【００３８】
また圧縮率についての制約条件Ｌ３は、システム構成情報を符号化する際の情報の圧縮率や、一部の情報を省略または削除する際の情報量などを設定する。
【００３９】
またこれら以外では、ハッシュ関数を利用するか否かなど情報の可逆性に関する設定を実行しても良い。さらに、情報を暗号化する場合には暗号化の強度や使用する暗号化方式などを設定しても良い。前述の設定のうち何れかまたは複数を設定しても良い。詳細は後述する。
【００４０】
分析部５では、一方において符号化方式選択部４が選択した符号化方式Ｐを有するゾーンＺの符号化システム構成情報ＳＺ´を符号化部２から入力する。また他方において、選択した符号化方式Ｐを有するゾーンＺと同じシステム構成を探索し、探索した同一システム構成における脆弱性情報を脆弱性情報取得部６から入手する。この探索に当たり、ネットワークシステムＮＷＳ内外のどこまでの領域を探索すべきか、その範囲を定めたのが先述した公開範囲についての制約条件Ｌ２である。
【００４１】
結果提示／実行部７は、分析部５の分析結果を提示する機能、または、分析結果にもとづきゾーン管理部８に対してゾーンＺ間のネットワーク制御を実行する機能を有する。
【００４２】
ゾーン管理部８はネットワーク制御部１０と接続部１１とゾーンＺから構成されており、各ゾーンＺは前述の通り、一つ以上の機器やネットワークから構成される。ネットワーク制御部１０は結果提示／実行部７からの指示に従い接続部１１におけるゾーンＺ間のネットワーク接続を制御する機能を有する。ネットワーク接続の制御とは例えば、ネットワークの切断や接続、接続部１１を通過するデータのフィルタリングや通信容量制限などである。
【００４３】
以下、本発明の実施例１に係るセキュリティシステムＳＱの各部の詳細動作について説明する。
【００４４】
図４は実施例１における符号化部２の処理フローである。符号化部２の処理は、ゾーンＺの単位ごとに実行される。
【００４５】
まず処理ステップＳ２０１では、符号化部２は構成情報取得部１より、新たなシステム構成情報ＳＺを取得したか否かを判定する。ここで、構成情報取得部１は、既に取得済みのシステム構成情報ＳＺがあれば、その情報から変更がある場合にのみゾーン管理部８から通知などを受けて取得しても良い。または、定期的にシステム構成情報ＳＺに変更がないかを監視するなどの方法で、ゾーン管理部８が管理するシステム内のゾーンＺについてのシステム構成情報ＳＺを取得しても良い。
【００４６】
システム構成情報ＳＺに変更がある場合、処理ステップＳ２０２では、符号化条件の設定が必要か否かを判定し、新たに符号化の実行が必要な場合には、処理ステップＳ２０３に移り、符号化条件設定部３より新たな符号化条件を取得する。また設定の変更が必要ない、または、符号化条件設定部３からの設定を取得できなかった場合には、処理ステップＳ２０４に移り、既定の条件設定を使用しても良い。
【００４７】
次に処理ステップＳ２０５では、符号化条件設定部３により設定された符号化条件に適合する符号化方式が符号化方式選択部４において選択されているかを照合する。例えば、符号化方式に必要な条件が設定されているかを検証する。符号化条件設定に適合した符号化方式が選択された場合には、処理ステップＳ２０６において符号化を実行する。
【００４８】
処理ステップＳ２０７では、符号化が正常に完了したかどうかを判定し、正常に完了した場合には、処理ステップＳ２０８において符号化したシステム構成情報を分析部５へ送信する。処理ステップＳ２０８での処理において符号化が正常に完了していないとされた場合、もしくは処理ステップＳ２０５での処理において、符号化条件の設定と符号化方式の選択が合致しなかった場合には、処理ステップＳ２０９において符号化条件設定もしくは符号化方式の選択を見直すか否かを選択する。
【００４９】
符号化条件設定および符号化方式の選択を見直さない場合には、処理ステップＳ２１０に移り、エラー通知等を実施し処理を終了する。設定や選択を見直す場合には、再び処理ステップＳ２０２に移動してその処理を実行し、新たな符号化条件の設定、もしくは符号化方式の選択を実施する。ここで、所定の回数処理ステップＳ２０２から処理２０７までの処理を繰り返しても符号化が正常に完了しない場合には、自動的に処理ステップＳ２１０へ移行しても良い。
【００５０】
図５は実施例１における分析部５の処理フローである。分析部５ではまず処理ステップＳ３０１において、符号化方式選択部４より新たな符号化方式Ｐの選択や変更の通知があるか否かを判定する。新たな符号化方式Ｐの選択がない場合には処理ステップＳ３０２に移り、既定の分析手段を選択する。
【００５１】
新たな符号化方式Ｐの選択がある場合、処理ステップＳ３０３において符号化方式Ｐに対応した分析手段があるか否かを判定し、対応する分析手段がある場合には、処理ステップＳ３０４において脆弱性情報取得部６よりセキュリティ脆弱性に関する情報を取得できるかどうかを判定する。なお符号化方式Ｐに対応した分析手段があるか否かの判断は、例えば対応するシステム構成を有する他のゾーンが存在するか否かを判定することである。
【００５２】
ここで脆弱性に関する情報とは、例えば一般公開されているＮａｔｉｏｎａｌ  Ｖｕｌｎｅｒａｂｉｌｉｔｙ  Ｄａｔａｂａｓｅ（ＮＶＤ）、Ｊａｐａｎ  Ｖｕｌｎｅｒａｂｉｌｉｔｙ  Ｎｏｔｅｓ  （ＪＶＮ）、Ｏｐｅｎ  Ｓｏｕｒｃｅ  Ｖｕｌｎｅｒａｂｉｌｉｔｙ  Ｄａｔａｂａｓｅ  （ＯＳＶＤＢ）などの弱性情報データベースや、ＳＣＡＰ（Ｓｅｃｕｒｉｔｙ  Ｃｏｎｔｅｎｔ  Ａｕｔｏｍａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）やＳＴＩＸ（Ｓｔｒｕｃｔｕｒｅｄ  Ｔｈｒｅａｔ  Ｉｎｆｏｒｍａｔｉｏｎ  ｅＸｐｒｅｓｓｉｏｎ）などの標準プロトコル、標準書式で記述されたセキュリティ脆弱性に係わる情報である。
【００５３】
ここで処理ステップＳ３０４の判断により特定の脆弱性情報が取得されない場合には、処理ステップＳ３０５に移り、既定の脆弱性情報を選択しても良い。処理ステップＳ３０４の判断により脆弱性情報が必要な場合には、処理ステップＳ３０６に移り、選択された分析手段に対応しているか否かを検証する。脆弱性情報が分析手段に対応している場合には処理ステップＳ３０７において分析を開始し、処理ステップＳ３０８において分析が正常に完了したか否かを判定する。分析が正常に完了した場合には処理ステップＳ３０９において分析結果を結果提示／実行部７へ伝達し処理を終了する。
【００５４】
なおここで、分析手段とは例えば、確立や統計的な手段を用いた数値および数理解析、ＤＬ（Ｄｅｅｐ  Ｌｅａｒｎｉｎｇ）や強化学習に代表される機械学習など、特定の数値や符号入力に対して何らかの学習や分析結果を出力できる分析手段であればどのような手段でも良い。既存の汎用的な分析技術を使えることが本発明の特徴であるため、分析の具体的な手段については本発明の対象外とする。また、脆弱性情報は前記機械学習の場合には教師データとして使用しても良いし、強化学習のように教師データを必要としない分析手段であれば、脆弱性情報は必ずしも必要としない。
【００５５】
一方、処理ステップＳ３０３において対応した分析手段がない、処理ステップＳ３０６において分析手段に対応する脆弱性情報がない、処理ステップＳ３０８において分析が正常に完了しなかった場合には、処理ステップＳ３１０において符号化方式の選択、分析手段の選択、脆弱性情報の選択を見直すか否かを判定する。何れかもしくは複数の選択を見直す場合には処理ステップＳ３０１より再度処理フローを実行する。選択等を見直さない場合には、処理ステップＳ３０５においてエラー通知などを実行し処理を完了しても良い。ここで、選択を見直すか否かは予め条件を設定しておいても良い。例えば、所定の回数まで処理ステップＳ３０１から処理ステップＳ３０８までの処理を試行し、一定回数を超えて正常に処理が完了しなかった場合には選択を見直さずエラー通知を行う事などが有効である。
【００５６】
図６は実施例１における結果提示／実行部７の処理フローである。結果提示／実行部７においては、まず処理ステップＳ４０１において分析部５からシステム内の何れかのゾーンＺ内にセキュリティに関する脆弱性ありとの分析結果が出ているか否かを判定する。
【００５７】
脆弱性ありと判定された場合には、処理ステップＳ４０２において例えば脆弱性のあるゾーンＺの重要度を取得し判定する。また処理ステップＳ４０２における判定結果に関わらず、引き続き処理ステップＳ４０３、処理ステップＳ４０５、処理ステップＳ４０７において、隣接ゾーンＺの重要度を判断する。なお、ここでは、説明を簡潔にするため重要度を「高」、「中」、「低」の３段階としているが重要度の指標については特に制限は無く多段階もしくはその他の数値表現で示されていても良い。
【００５８】
対象ゾーンの重要度と、隣接ゾーンの重要度をそれぞれ「高」、「中」、「低」の３段階に区分した結果として行う処理が処理ステップＳ４０４、処理ステップＳ４０６、処理ステップＳ４０８、処理ステップＳ４０９のいずれかである。
【００５９】
図７は、図６の重要度判断の組み合わせをマトリクス状にして、結果として行う処理を整理したものである。これによれば対象ゾーンの重要度判断が「高」であり、かつ隣接ゾーンの重要度判断が「高」であるときの組み合わせを「高高」と表記するものとすると、このときには、処理ステップＳ４０４において対象ゾーンＺに繋がるすべての接続部１１を切断する。なお以下の説明において、組み合わせの表記は上記の「高高」に準じて行うものとする。
【００６０】
対象ゾーンと隣接ゾーンの重要度判断の組み合わせが「高中」あるいは「中高」であるときは、処理ステップＳ４０６において例えば特定の接続部１１のみを切断する。
【００６１】
対象ゾーンと隣接ゾーンの重要度判断の組み合わせが「高低」、「中中」、「低高」、「低中」のいずれかであるときは、処理ステップＳ４０８において接続部１１のデータ送受信を制限する。
【００６２】
対象ゾーンと隣接ゾーンの重要度判断の組み合わせが「中低」あるいは「低低」であるときは、処理ステップＳ４０９において、実行結果の提示のみを行う。
【００６３】
以上の処理において、処理ステップＳ４０８のデータ送受信の制限とは、例えばデータの伝送容量を一定量以下に制限するなどの規制を掛ける、データのペイロードの監視やフィルタリングなどの照合処理を強化する、データの伝送方向をどちらか片方向のみに制限するなどの方法がある。
【００６４】
接続部１１のネットワーク切断やデータ送受信は実際には、ネットワーク制御部１０が実行する。ネットワーク制御部１０は例えば、ネットワークルータ、スイッチ、ファイヤウォール、ＩＤＳ（Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ）、ＩＰＳ（Ｉｎｔｒｕｓｉｏｎ  Ｐｒｅｖｅｎｔｉｏｎ  Ｓｙｓｔｅｍ）、ＵＴＭ  （Ｕｎｉｆｉｅｄ  Ｔｈｒｅａｔ  Ｍａｎａｇｅｍｅｎｔ）などである。
【００６５】
また処理ステップＳ４０９における結果の通知においては、例えば処理ステップＳ４０１において、脆弱性ありと判定された場合でも、ゾーンＺ間の接続は変更しないという判定および処理結果を提示しても良い。また、全て何れかもしくは何れかの接続部１１を切断した場合には、切断した接続部１１の情報などを通知しても良い。接続部のデータ送受信を制限した場合には、その制限内容などを通知しても良い。
【００６６】
なお図６に示す処理フローにおいて、対象ゾーンＺと隣接ゾーンＺの重要度の組合せによる処理方法は、あくまで一例であり、対象とするシステムの要件に応じて、変更しても良い。例えば、システムの特定のゾーンに脆弱性が発見されたとしても、システムの稼動を継続しなければならないシステムであれば、本フローにおける処理において重要度「高」と重要度「低」と判定された場合の処理を入れ替えても良い。
【００６７】
すなわち、対象ゾーンＺの重要度が「低」かつ、隣接ゾーンＺの重要度も「低」と判定された場合には、全ての接続部１１を切断する。逆に、対象ゾーンＺの重要度と隣接ゾーンＺの重要度が共に「高」と判定された場合には接続部１１への制御は何も実行せずにシステムの運用を継続しても良い。また、重要度が本例のように３段階でない場合には、対象ゾーンＺと隣接ゾーンＺの重要度の高低を比較し、その結果に応じて処理を変更しても良いし、所定の数式等による計算結果を活用しても良い。
【００６８】
さらに、本例では隣接ゾーンＺの重要度のみを、接続部１１の制御を実行するための指標としているが、その他、ゾーンＺのセキュリティレベルや機能などゾーンに関する他の情報や指標、およびそれらの情報や指標を組み合わせることで処理内容を決定しても良い。
【００６９】
以上のように、実施例１によれば、様々な機器やネットワークで構成されるＩｏＴシステムや制御システムにおいて、ゾーンＺにより分割したシステム管理を実行する際に、システム構成情報から既存技術の分析手段を用いて、セキュリティに関する脆弱性を検出することができる。また、脆弱性の検出結果をもとに、ゾーン間の接続部を自動で制御し、セキュアなシステム運用を実現できる。
【実施例２】
【００７０】
図３について、実施例１ではセキュリティシステムＳＱの主要な各部において取り扱う情報の一例を模式的に示す目的で利用したが、実施例２では図３を用いてセキュリティシステムＳＱの主要な各部における具体的な処理内容について説明する。
【００７１】
図３は、本発明の実施例２のセキュリティシステムＳＱにおける符号化方式選択部４と、構成情報取得部１と、符号化部、２と符号化方式登録部２０に関する構成図である。
【００７２】
なおここでは、ゾーン管理部８、分析部５、脆弱性情報取得部６、および、結果提示／実行部７の機能については実施例１と同様のため省略する。実施例２の構成情報取得部１は、実施例１における構成情報取得部１の機能に加えて、取得したシステム構成情報を符号化方式選択部４に伝達する機能を有していても良い。
【００７３】
図３において、符号化方式選択部４は実施例１における符号化方式選択部４の機能に加えて、構成情報取得部１から、システム構成情報を受け取る機能と、後述の符号化方式登録部２０から１つ以上の符号化方式Ｐを新たに取得する、または、既に登録されている符号化方式Ｐを削除もしくは更新する機能を有する。また、符号化方式選択部４は符号化部２が使用する符号化方式Ｐを構成情報取得部１より取得したシステム構成情報に従って自身で選択する機能、もしくは、外部入力インタフェース等からシステムのユーザが符号化方式を選択する機能を有する。
【００７４】
符号化部２は実施例１における符号化部２の機能に加えて、符号化を正常に完了できなかった場合には、符号化方式選択部４に対して符号化方式Ｐの再選択を要求する機能を有していても良い。符号化部２の具体的な処理に関する詳細は後述する。
【００７５】
符号化方式登録部２０は後述の符号化方式Ｐを、符号化方式選択部２４に新たに登録、削除、更新する機能を有する。
【００７６】
図８は本発明の実施例２における構成情報取得部１、符号化方式選択部４、符号化部２、符号化方式登録部２０に係わる処理シーケンスを示す図である。この図により、各部間の時系列的なやり取りを説明する。
【００７７】
最初に、符号化方式登録部２０は符号化方式選択部４が選択対象とする符号化方式Ｐを作成し（処理ステップＳ６０１）、符号化方式選択部４に送信する（処理ステップＳ６０２）。
【００７８】
符号化方式選択部４は、符号化方式登録部２０から送信されてきた符号化方式Ｐを登録または、既に登録されている符号化方式Ｐを削除もしくは更新する（処理ステップＳ６０３）。例えば、図３に示す符号化方式Ｐ１、Ｐ２、Ｐ３、Ｐ４のように、システムの構成図と各システムの機器に対応した符号のパターンを登録する。
【００７９】
構成情報取得部１は構成情報ＳＺを取得し（処理ステップＳ６０４）、符号化方式登録部２０、符号化方式選択部４および符号化部２へそれぞれシステム構成情報ＳＺを送信する（処理ステップＳ６０５、Ｓ６０７、Ｓ６０８）。
【００８０】
次に、符号化方式選択部４は構成情報取得部１から取得したシステム構成情報ＳＺと符号化方式Ｐを照合し（処理ステップＳ６０９）、最も近似した構成を有する符号化方式Ｐを選択する（処理ステップＳ６１３）。例えば、図３に示すシステム構成情報ＳＺ１０であれば、符号化方式選択部４から最も形態が近い符号化方式Ｐ２を選択する。同様に、システム構成情報ＳＺ１１であれば、符号化方式選択部４から最も形態が近い符号化方式Ｐ４を選択する。
【００８１】
ここで、適切な符号化方式Ｐが登録されていない場合には、符号化方式登録部２０に通知し、新たな符号化方式Ｐの登録を要求しても良い（処理ステップＳ６１０）。符号化方式登録部２０は符号化方式Ｐの要求を受信した場合には、新たに適切な符号化方式Ｐを作成し（処理ステップＳ６１１）、符号化方式選択部４に送信する（処理ステップＳ６１２）。符号化方式Ｐの作成は外部入力インタフェースなどからユーザが手動で作成しても良いし、符号化方式登録部２０が、構成情報取得部１からシステム構成情報ＳＺを受信し自動で作成しても良い。
【００８２】
符号化方式登録部２０は符号化方式選択部４に新たに生成もしくは取得した符号化方式Ｐを送付する（処理ステップＳ６１４）。符号化部２は符号化方式選択部４から受信した符号化方式Ｐに従って、システム構成情報ＳＺを符号化する。
【００８３】
例えば、図３に示すシステム構成情報ＳＺ１０において、符号化方式Ｐ２が選択された場合には、システム構成情報ＳＺ１０に含まれる機器情報を所定の符号に変換する。符号化方式Ｐ２を選択したことを示す「Ｐ２」に続いて、ネットワークの構成の上位層側からそれぞれ機器情報を示す符号「Ａ」「Ｃ、Ｃ」「Ｅ、Ｅ、Ｅ」を列挙して、「Ｐ２−Ａ−ＣＣ−ＥＥＥ」を符号化されたシステム構成情報ＳＺ１０´として生成する。
【００８４】
同様に、システム構成情報ＳＺ１１において符号化方式Ｐ４が選択された場合には、符号化方式Ｐ４が選択されたことを示す「Ｐ４」に続いて、ネットワーク構成の上位層側からそれぞれ機器情報を示す符号「Ｓ、Ｓ」「Ｓ、Ｓ、Ｓ」「Ｅ」「Ｅ」「Ｅ」を列挙して、「Ｐ４−ＳＳ−ＳＳＳ−ＥＥＥ」を符号化されたシステム構成情報ＳＺ１１´として生成する。
【００８５】
なお、図３で示す符号化方式選択部４の符号化方式Ｐや符号化されたシステム構成情報ＳＺ´はあくまで一例であり、他のデータ形式、符号化方式、記号などを活用した方法であっても良い。
【００８６】
また、図９に示す符号化方式選択部４の構成例のように、符号化方式選択部４は、例えばシステムのネットワーク階層毎に符号化方式選択部４−１〜符号化方式選択部４−Ｎのように、分割して構成されていても良い。符号化方式組合せ部２７によって、システムのネットワーク階層ごとの符号化方式Ｐを選択し組合せることによって新たな符号化方式Ｐを作成しても良い。
【００８７】
図８に戻り、処理ステップＳ６１５において、符号化部２は正常に符号化を完了した場合には、分析部５に符号化したシステム構成情報を送信し処理を終了する。正常に符号化が完了しなかった場合には、符号化方式選択部４に符号化方式の再選択を要求しても良い（処理ステップＳ６１７）。
【００８８】
符号化方式選択部４は、符号化部２から符号化方式Ｐの再選択を要求された場合には、例えば処理ステップＳ６１１〜処理ステップＳ６１３の処理を再度実行し、符号化方式を再選択する（処理ステップＳ６１８）。その後、再び符号化方式Ｐを符号化部２に送信しても良い（処理ステップＳ６１９）。符号化部２は再度符号化を実行する（処理ステップＳ６２０）。符号化が正常に完了するまで処理ステップＳ６０１〜処理ステップＳ６１８の一連の処理の何れかを繰り返しても良いし、一定回数繰り返した後にエラー情報などを通知して処理を終了しても良い。
【００８９】
以上のように、実施例２によれば、様々な情報機器やネットワークで構成されるＩｏＴシステムや制御システムにおいて、複雑なシステム構成情報を、単純な数値情報もしくは文字列情報として符号化することにより、数値情報を入力とする様々な既存の分析手段を活用することが可能となる。
【実施例３】
【００９０】
図１０は、実施例３におけるセキュリティシステムＳＱの構成例を示す図であり、特に符号化方式選択部４と構成情報取得部１と符号化部２に関する構成例の図である。なお実施例３のセキュリティシステムＳＱでは、ゾーン管理部８、分析部５、脆弱性情報取得部６、および、結果提示／実行部７の機能については実施例１もしくは実施例２と同様のため省略する。
【００９１】
図１０においても、実施例１もしくは実施例２と同様の処理フローに従って、構成情報取得部１が取得したシステム構成情報ＳＺと符号化方式選択部４が選択した符号化方式Ｐにより、符号化部２はシステム構成情報ＳＺを符号化して符号化システム構成情報ＳＺ´を生成する。
【００９２】
なお図３の説明では、符号化方式Ｐとして情報機器とネットワークによるネットワーク構成（ツリー状、階層状、リング状、ハイブリッド状など）を用いるもののみを例示したが、図１０では情報機器の機種の観点からの符号化方式Ｐａ、情報機器が採用しているＯＳの観点からの符号化方式Ｐｂ、情報機器が採用しているアプリの観点からの符号化方式Ｐｃなど、複数種別の符号化方式Ｐについて、実施する例を示している。従って、符号化部２は、情報機器の機種の観点からの符号化システム構成情報ＳＺａ´、情報機器が採用しているＯＳの観点からの符号化システム構成情報ＳＺｂ´、情報機器が採用しているアプリの観点からの符号化システム構成情報ＳＺｃ´を与えることになる。
【００９３】
また以下の説明においては、図１０の符号化部２に例示した情報機器構成を前提として説明する。前提とした情報機器構成によれば、符号化方式として、格子またはメッシュ上にＮ段のネットワーク３８と各Ｍ個の情報機器３７の構成リストが定義されている。例えば、ネットワーク３８（１）上には、情報機器３７（１１）、情報機器３７（１２）から情報機器３７（１Ｍ）まで、ネットワーク３８（１）に接続し得る全情報機器３７のリストと該当する情報機器３７の符号情報を保持する。
【００９４】
同様に、ネットワーク３８（２）に接続し得る全情報機器３７のリスト情報が、情報機器３７（２１）、情報機器３７（２２）、から情報機器３７（２Ｍ）まで情報が登録されている。以降、システム内に存在し得るネットワーク３８（Ｎ）まで同様に、各ネットワークに接続し得る情報機器３７（ＮＭ）に関する符号情報が登録されている。
【００９５】
ここでは説明を簡単にするために、各情報機器３７は直近の上位または下位側のネットワークのみに接続されていることとしているが、階層を跨いで接続されていても良い。また、情報機器情報としては、実施例１と同様に、例えば情報機器３７の種別や、情報機器３７にインストールされているＯＳやアプリケーションの種別、バージョン情報などがある。ここでは、情報機器３７の種別（機種）を例として、符号化部２の処理を説明する。
【００９６】
図１１に実施例３における符号化部２の処理フローを示す。なお、図１０の符号化部２は符号化方式選択部４より、符号化方式Ｐａを取得しているものとする。
【００９７】
符号化部２は、符号化方式選択部４により選択された符号化方式Ｐａと、構成情報取得部１から取得したシステム構成情報ＳＺについて以下の処理フローを実施する。
【００９８】
はじめに、システム構成情報ＳＺの最上位のネットワーク３８（１）の情報機器３７と、符号化方式Ｐａのネットワーク３８（１）にマッピングされている情報機器３７が合致するか否かを照合する（処理ステップＳ９０１）。
【００９９】
合致する場合には該当情報機器３７の符号情報として、例えば「（１１）」を取得する（処理ステップＳ９０２）。次に同一のネットワーク３８（１）上で全情報機器３７の情報を順番に照合し、合致する情報機器３７が他にもあれば順次該当情報機器３７の情報を取得する。すなわち、全情報機器３７の照合が完了したか否かを判定し（処理ステップＳ９０３）、完了するまでは次の情報機器情報に対象を変更して（処理ステップＳ９０４）、処理ステップＳ９０１および処理ステップＳ９０２を繰り返し実行する。例えば、ネットワーク３８（１）上では、情報機器３７（１１）の他に情報機器３７（１２）乃至３７（１Ｍ）が該当する。
【０１００】
次に、ネットワーク３８を変更して同様の処理（処理ステップＳ９０１〜処理ステップＳ９０４）を繰り返し実行する。例えば、ネットワーク３８（２）では、情報機器３７（２２）、情報機器３７（２Ｍ）が接続されているためこれらの情報機器３７の符号情報「２２」乃至「２Ｍ」を取得する。
【０１０１】
以降同様に、システム構成情報ＳＺに含まれる全てのネットワーク３８に対して情報機器３７の照合処理を繰り返す。また、一つの符号化方式例えばＰａに対して符号化の処理が全て完了した場合には、次に他の符号化方式例えばＰｂに対して、同様の処理を繰り返しても良い（処理ステップＳ９０７、処理ステップＳ９０８）。最後に全ての符号化処理が正常に完了したか否かを判定し（処理ステップＳ９０９）、正常に完了した場合には処理を終了する。
【０１０２】
一方、正常に符号化を実行できなかった場合にはエラー処理を実施しても良い（処理ステップＳ９１０）。例えば、実施例２と同様に、符号化方式選択部４に対して、符号化方式の再送付を要求し、再度新たな符号化方式Ｐを用いて処理ステップＳ９０１から処理を実行しても良い。
【０１０３】
ここで、符号化のための方式として、図１２ａに示すように、システム構成を複数のゾーンＺ毎に分割して、それぞれのゾーンＺ毎に符号化を実施しても良い。また、図１２ｂに示すように、複数のシステム構成を繋ぎ合わせて、纏めて符号化を実施しても良い。このように、ネットワーク構成の形状や区分は様々な形態を取っても良い。
【０１０４】
以上のように、実施例３によれば、様々な情報機器やネットワークで構成されるＩｏＴシステムや制御システムにおいて、複雑なシステム構成情報を、単純な数値情報もしくは文字列情報として符号化することにより、数値情報を入力とする様々な既存の分析手段を活用することが可能となる。
【実施例４】
【０１０５】
図１３は、本発明の実施例４におけるセキュリティシステムであり、特に符号化方式選択部４と構成情報取得部１と符号化部２に関する構成例の図である。なお実施例４のセキュリティシステムにおいて、ゾーン管理部８、分析部５、脆弱性情報取得部６、および、結果提示／実行部７の機能については第１実施形態もしくは実施例２と同様のため省略する。
【０１０６】
実施例１もしくは実施例２と同様の処理フローに従って、構成情報取得部１が取得したシステム構成情報ＳＺと符号化方式選択部４が選択した符号化方式Ｐにより、符号化部２はシステム構成情報を符号化する。
【０１０７】
なお図１３では、システム構成情報ＳＺは、構成情報取得部１に例示した情報機器３７とネットワーク３８により構成されているものとし、さらに符号化方式選択部４における符号化方式Ｐは、図１０における情報機器の機種について色相の観点からの符号化方式Ｐａ、情報機器が採用しているＯＳについて彩度の観点からの符号化方式Ｐｂ、情報機器が採用しているアプリについて明度の観点からの符号化方式Ｐｃを行うものとしている。
【０１０８】
符号化部２における符号化においては、メッシュ状配置４３に示すようにまず構成情報取得部１に例示した情報機器３７とネットワーク３８の配置位置に着目し、全領域をメッシュで区分し、かつ情報機器３７を例えば４メッシュで表現している。
【０１０９】
そのうえで、個々の情報機器３７の４メッシュには、例えば左上のメッシュを情報機器の機種の情報、左下のメッシュを情報機器が採用しているアプリの情報、右上のメッシュを情報機器が採用しているＯＳの情報、右下のメッシュをその他の情報で制御する符号化を実行する。つまり、個々の情報機器３７の４メッシュについて、例えば左上のメッシュに色相の情報、左下のメッシュに彩度の情報、右上のメッシュに明度の情報による符号化を実行する。符号化後を示すメッシュ状符号化状態４６によれば、符号化後の状態がメッシュごとに表現されることになる。
【０１１０】
図１４に実施例４における符号化部４２の処理フローを示す。
【０１１１】
図１４の処理フローではまず、システム構成情報取得部１で取得したシステム構成情報ＳＺについて、その座標系と符号化方式選択部４において選択した符号化方式Ｐの座標系が一致しているか否かを照合する（処理ステップＳ１２０１）。
【０１１２】
例えば、図１３に示すように、システム構成情報ＳＺの情報機器３７やネットワーク３８の位置関係を符号化部２において座標（メッシュ）上にマッピングできるか否かを判定する。座標系が一致していない場合にはエラー処理を実行し処理を終了する（処理ステップＳ１２０８）。エラー処理とは例えば、構成情報取得部１に対して新しいシステム構成情報５の取得を要求する、または、符号化方式選択部４に再度別の符号化方式Ｐを要求する処理などである。
【０１１３】
座標系が一致する場合には、システム構成情報ＳＺの中の情報機器情報に、対応する色情報があるか否かを判定する（処理ステップＳ１２０２）。例えば、情報機器３７の種別（機種）を特定の色相に割り当てる。色相以外に、彩度または明度、もしくはそれらを統合した色情報として利用しても良い。
【０１１４】
情報機器情報に対応する色情報がある場合には一致する座標に色情報を登録する（処理ステップＳ１２０３）。次に該当する情報機器３７が更に詳細な情報を有し、詳細情報に対応する色情報があるか否かを判定する（処理ステップＳ１２０４）。情報機器３７の詳細情報とは例えば、実施例１と同様に、情報機器４７のＯＳやアプリケーションの種別やバージョン情報などである。
【０１１５】
情報機器３７の詳細情報に対してもそれぞれ該当する色情報、すなわち色相、彩度、明度の何れかもしくは複数の組合せに対応した色情報があるか否かを判定する。詳細情報に対応する色情報がある場合には、同様に情報機器情報に加えて詳細情報を該当する座標に登録する（処理ステップＳ１２０３）。
【０１１６】
ここで該当する座標とは例えば、図１３に示すように、情報機器情報の周囲などの隣接する座標などである。なお、これらの座標の配置や情報機器情報と色情報などの対応関係は符号化方式選択部４より取得しても良いし、予め所定の対応表などを有していても良い。
【０１１７】
次に、情報機器情報が有する全ての詳細情報に対応した色情報を全て該当する座標に登録したか否かを判定する（処理ステップＳ１２０５）。ここで、処理ステップＳ１２０１から処理ステップＳ１２０５の何れかの処理過程でエラーが発生した場合には、所定のエラー処理を実行し処理を終了しても良い（処理ステップＳ１２０８）。全ての詳細情報の登録が完了した場合には、再び別の情報機器３７に対して、処理ステップＳ１２０２〜処理ステップＳ１２０５の処理を実行する。ここで、特定の情報機器情報に対応する色情報がない場合であってもエラーとして処理を終了せず、その情報機器３７に関する処理はスキップして他の情報機器３７に対して処理ステップＳ１２０２以降の処理を継続しても良い。
【０１１８】
次に、取得したシステム構成情報ＳＺに登録されている全ての情報機器３７について処理を完了したかを判定する（処理ステップＳ１２０６）。全ての情報機器３７について処理を完了した場合には、ネットワーク３８についても、同様の処理を実行する。すなわち、ネットワークの情報についても、各ネットワーク４８に対応する色情報があるか否かを判定する（処理ステップＳ１２０７）。
【０１１９】
対応する色情報がある場合には、同様に色情報を該当する座標に登録する（処理ステップＳ１２０３）。該当する座標とは例えば、前述の情報機器３７の情報を登録した座標と隣接する位置すべてに直線状に登録するなどの方法がある。ネットワーク３８についても、詳細情報がある場合には、情報機器３７の詳細情報と同様に、対応する色情報があるか否かを判定する（処理ステップＳ１２０４）。ネットワーク３８の詳細情報に該当する色情報がある場合には、該当する座標に色情報を登録する（処理ステップＳ１２０３）。
【０１２０】
ここで、該当する座標とは、例えば、前述の直線状に登録したネットワーク３８の何れか一つまたは複数の座標とする。また、ネットワーク３８の詳細情報とは例えば、実施例１と同様にネットワークの種別や通信速度、通信帯域などのネットワークに関する仕様情報である。
【０１２１】
最後にシステム構成情報ＳＺに含まれる全てのネットワーク３８に関して、色情報の登録を完了したか否かを判定する（処理ステップＳ１２０８）。全ての処理を完了した場合には、符号化処理を終了する。ネットワーク３８についても、情報機器３７と同様に、特定のネットワーク３８に対応する色情報がない場合には、そのネットワーク３８に関する処理はスキップして、他のネットワーク３８についての処理を実行しても良い。
【０１２２】
処理ステップＳ１２０２から処理ステップＳ１２０８までの処理フローにおいて、情報機器３７の情報に関する処理と、ネットワーク３８の情報に関する処理の順番には特に制限は無く、先に全てのネットワーク３８の情報に関する処理を実行しても良い。情報機器４７の情報とネットワーク３８の情報の処理を交互に実行しても良い。また、情報機器３７の情報やネットワーク３８の情報に対応する色情報を登録する座標系について、広さや形状などは特に制限はない。なお処理ステップＳ１２０９では、エラー処理を行う。
【０１２３】
以上のように実施例４によれば、複雑かつ多様なシステム構成情報ＳＺをある座標系に色情報として登録することで、画像情報として符号化することができる。画像情報とは例えばＢＭＰ（ビットマップ）形式やＪＰＥＧ形式などの符号化されたデータである。このように画像情報とすることにより、画像認識などで利用される様々な分析手法をシステムのセキュリティ分析に活用することができる。
【実施例５】
【０１２４】
図１５は、本発明の実施例５のセキュリティシステムにおける符号化方式Ｐを示す構成図である。
【０１２５】
実施例５のセキュリティシステムＳＱにおいて、ゾーン管理部８、分析部５、脆弱性情報取得部６、および、結果提示／実行部７の機能については実施例１、実施例２、実施例３、または実施例４の何れかと同様である。また、符号化部２の処理フローについても、実施例１、実施例２、実施例３、または実施例４の何れかと同様である。
【０１２６】
各符号化方式Ｐに関して、実施例２の場合には、２次元上で構成されていたシステム構成情報ＳＺを３次元上に構成されたシステム構成情報ＳＺに置き換えることができる。
【０１２７】
同様に実施例３の場合には、２次元上で格子（メッシュ）状に構成されていたシステム構成情報ＳＺおよび符号化方式Ｐを３次元上の情報として処理することが可能である。
【０１２８】
同様に実施例４の場合には、２次元座標系の処理を３次元座標系で処理することが可能である。すなわち２次元画像情報を３次元画像情報として処理することが出来る。
【０１２９】
以上のように実施例５に拠れば、３次元上に構成されたシステムのシステム構成情報を取得し符号化することが可能となる。
【符号の説明】
【０１３０】
１：構成情報取得部
２：符号化部
３：符号化条件設定部
４：符号化方式選択部
５：分析部
６：脆弱性情報取得部
７：結果提示／実行部
８：ゾーン管理部
Ｚ：ゾーン
１０：ネットワーク制御部
１１：接続部
２０：符号化方式登録部
Ｐ：符号化方式
ＳＺ：システム構成情報
ＳＺ´：符号化したシステム構成情報
３７：情報機器
３８：ネットワーク
【図１】
2019159877.tif 000003
【図２】
2019159877.tif 000004
【図３】
2019159877.tif 000005
【図４】
2019159877.tif 000006
【図５】
2019159877.tif 000007
【図６】
2019159877.tif 000008
【図７】
2019159877.tif 000009
【図８】
2019159877.tif 000010
【図９】
2019159877.tif 000011
【図１０】
2019159877.tif 000012
【図１１】
2019159877.tif 000013
【図１２ａ】
2019159877.tif 000014
【図１２ｂ】
2019159877.tif 000015
【図１３】
2019159877.tif 000016
【図１４】
2019159877.tif 000017
【図１５】
2019159877.tif 000018