(57)【要約】      （修正有）【課題】インシデント発生時におけるインシデント対応処理を迅速に実行できるようにしたセキュリティシステム、セキュリティオペレーション方法及び統括インシデント管理装置を提供する。【解決手段】セキュリティを管理し、インシデント対応処理を実行可能な１以上のインシデント管理装置１０５と、統括インシデント管理装置１０１とを含むセキュリティシステム１において、インシデント管理装置１０５は、インシデントの発生を検知した場合に、インシデントの発生を統括インシデント管理装置１０１に通知する通知部を備える。統括インシデント管理装置１０１は、インシデント管理装置１０５からインシデントの発生の通知を受けた場合に、インシデントに対応するインシデント対応処理の実行要求を、他のインシデント管理装置１０５に送信する処理実行要求部を備える。他のインシデント管理装置１０５は、インシデント対応処理を実行する処理実行部を備える。【選択図】図１
2019133258.tif 000002
【特許請求の範囲】
【請求項１】
所定の管理対象システム内のセキュリティを管理する１以上のインシデント管理装置と、前記１以上のインシデント管理装置を統括する統括インシデント管理装置と、インシデントに対応する処理であるインシデント対応処理を実行可能な１以上のレスポンス処理装置とを含むセキュリティシステムであって、
前記インシデント管理装置は、インシデントの発生を検知した場合に、前記インシデントの発生を前記統括インシデント管理装置に通知する通知部を備え、
前記統括インシデント管理装置は、前記インシデント管理装置からインシデントの発生の通知を受けた場合に、前記インシデントに対応するインシデント対応処理の実行要求を、前記レスポンス処理装置に送信する処理実行要求部を備え、
前記レスポンス処理装置は、前記インシデント対応処理を実行する処理実行部を備える
セキュリティシステム。
【請求項２】
前記統括インシデント管理装置は、
発生した前記インシデントに対応する実行すべきインシデント対応処理を決定する処理決定部と、
前記決定された前記インシデント対応処理を実行させる前記レスポンス処理装置を決定する実行装置決定部と、をさらに有し、
前記処理実行要求部は、前記決定された前記レスポンス処理装置に、前記インシデント対応処理を実行させる処理要求を送信する
請求項１に記載のセキュリティシステム。
【請求項３】
前記統括インシデント管理装置は、
前記レスポンス処理装置の実行能力を有するインシデント対応処理を示すケーパビリティ情報を記憶するケーパビリティ情報記憶部をさらに備え、
前記実行装置決定部は、前記ケーパビリティ情報に基づいて、前記インシデントに対応する前記インシデント対応処理を実行させるレスポンス処理装置を決定する
請求項２に記載のセキュリティシステム。
【請求項４】
前記統括インシデント管理装置は、
前記インシデント管理装置の所有主体と、前記レスポンス処理装置の所有主体との間の情報開示に関する取り決めの情報である情報開示情報を記憶する情報開示情報記憶部をさらに備え、
前記実行装置決定部は、前記情報開示情報記憶部の前記情報開示情報に基づいて、前記インシデント対応処理を実行させる前記レスポンス処理装置を決定する
請求項３に記載のセキュリティシステム。
【請求項５】
前記統括インシデント管理装置は、
前記決定された前記インシデント対応処理を実行する能力を有する前記レスポンス処理装置に対して前記インシデント対応処理の実行可否を問い合わせる実行可否確認部をさらに有し、
前記実行装置決定部は、前記インシデント対応処理の実行が可であるレスポンス処理装置を、前記インシデント対応処理を実行させる前記レスポンス処理装置に決定する
請求項２から請求項４のいずれか一項に記載のセキュリティシステム。
【請求項６】
前記インシデント管理装置は、
前記インシデント対応処理の少なくとも一部を実行可能な、処理実行部をさらに有し、
前記処理実行部は、前記インシデントに対応する実行すべきインシデント対応処理のうちの実行可能な処理を実行し、
前記統括インシデント管理装置の前記処理実行要求部は、
前記インシデント対応処理のうちの実行不可能な処理について、前記レスポンス処理装置に実行要求を送信する
請求項１から請求項５のいずれか一項に記載のセキュリティシステム。
【請求項７】
前記レスポンス処理装置は、
前記インシデント管理処理の実行結果を、前記統括インシデント管理装置に送信する実行結果送信部をさらに有する
請求項１から請求項６のいずれか一項に記載のセキュリティシステム。
【請求項８】
前記統括インシデント管理装置は、
前記実行要求を送信した全ての前記レスポンス処理装置からの実行結果に基づいて、前記インシデントに関連する総合的な実行結果を表示させる結果表示制御部をさらに有する
請求項７に記載のセキュリティシステム。
【請求項９】
前記統括インシデント管理装置は、
前記実行要求を行った前記インシデント対応処理に必要なデータを、前記データを管理している装置から前記統括インシデント管理装置を経由せずに前記実行要求先の前記レスポンス処理装置に送信させるように制御する送信制御部をさらに有する
請求項１から請求項８のいずれか一項に記載のセキュリティシステム。
【請求項１０】
前記統括インシデント管理装置は、
前記レスポンス処理装置にアクセスするためのアクセス情報を記憶するアクセス情報記憶部をさらに有し、
前記レスポンス処理装置の少なくとも１つは、
前記インシデント対応処理を実行することにより、インシデントに関連する他のシステムのレスポンス処理装置を検出可能な関連システム検出部と、
前記検出された他のシステムのレスポンス処理装置にアクセスするためのアクセス情報を前記統括インシデント管理装置に送信するアクセス情報送信部と
をさらに有し、
前記統括インシデント管理装置は、
送信された前記アクセス情報を前記アクセス情報記憶部に登録するアクセス情報追加登録部をさらに有する
請求項１から請求項９のいずれか一項に記載のセキュリティシステム。
【請求項１１】
所定の管理対象システム内のセキュリティを管理する１以上のインシデント管理装置と、前記１以上のインシデント管理装置を統括する統括インシデント管理装置と、インシデントに対応する処理であるインシデント対応処理を実行可能な１以上のレスポンス処理装置とを含むセキュリティシステムによるセキュリティオペレーション方法であって、
インシデントの発生を検知した場合に、前記インシデントの発生を前記統括インシデント管理装置に通知し、
前記統括インシデント管理装置は、前記インシデント管理装置からインシデントの発生の通知を受けた場合に、前記インシデントに対応するインシデント対応処理の実行要求を、前記レスポンス処理装置に送信し、
前記レスポンス処理装置は、前記インシデント対応処理の実行要求を受けた場合に、前記インシデント対応処理を実行する
セキュリティオペレーション方法。
【請求項１２】
前記統括インシデント管理装置は、
発生した前記インシデントに対応する実行すべきインシデント対応処理を決定し、
前記決定された前記インシデント対応処理を実行させる前記レスポンス処理装置を決定し、
前記決定された前記レスポンス処理装置に、前記インシデント対応処理を実行させる処理要求を送信する
請求項１１に記載のセキュリティオペレーション方法。
【請求項１３】
前記統括インシデント管理装置は、
前記実行要求を行った前記インシデント対応処理に必要なデータを、前記データを管理している装置から前記統括インシデント管理装置を経由せずに前記実行要求先の前記レスポンス処理装置に送信させるように制御する
請求項１１又は請求項１２に記載のセキュリティオペレーション方法。
【請求項１４】
前記レスポンス処理装置の少なくとも１つは、
前記インシデント対応処理を実行することにより、インシデントに関連する他のシステムのレスポンス処理装置を検出し、
前記検出された他のシステムのレスポンス処理装置にアクセスするためのアクセス情報を前記統括インシデント管理装置に送信し
前記統括インシデント管理装置は、
送信された前記アクセス情報を前記レスポンス処理装置にアクセスするためのアクセス情報を記憶するアクセス情報記憶部に記憶する
請求項１１から請求項１３のいずれか一項に記載のセキュリティオペレーション方法。
【請求項１５】
インシデントに対応する処理であるインシデント対応処理の実行を管理する統括インシデント管理装置であって、
インシデントの発生の通知を受けた場合に、発生した前記インシデントに対応する実行すべきインシデント対応処理を決定する処理決定部と、
前記決定された前記インシデント対応処理の実行を実行させるレスポンス処理装置を決定する実行装置決定部と、
前記インシデントに対応するインシデント対応処理の実行要求を、前記レスポンス処理装置に送信する処理実行要求部と、を備える
統括インシデント管理装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、インシデントの発生時におけるインシデント対応処理（レスポンス）の実行制御の技術に関する。
【背景技術】
【０００２】
従来、或るシステム内においてセキュリティ等に関するインシデントが発生した場合に、インシデントの発生をそのシステム内に設置されたセキュリティを担当するインシデント管理装置に通知するようにしている。このようなインシデント管理装置においては、例えば、インシデント管理装置の管理者等が、発生したインシデントに対応する処理（インシデント対応処理：アラート、分析、判断、対処等）の実行を遂行することが行われる。
【０００３】
例えば、インシデントに対処しようとする場合には、管理者が分析処理に必要なインシデントが発生した装置におけるログデータ等を、ログデータ等を管理している他のシステムから取得する手配を行って取得し、取得したログデータ等を、その分析処理を行うシステム等に送信して実行させ、その分析結果に基づいて、インシデントに対処する等の管理者による種々の処理が発生する。
【０００４】
例えば、ネットワークシステムのセキュリティに関する技術として、ネットワークシステムへの不正侵入を防御するためのセキュリティシステムが知られている（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】国際公開第２０１６／０３１１０１号
【発明の概要】
【発明が解決しようとする課題】
【０００６】
近年、サイバー攻撃が高度化・大規模化しており、或るシステム内のインシデント管理装置及びその管理者によって対処しようとすると、インシデント管理装置やその管理者による対処がボトルネックとなりやすく、サイバー攻撃に起因するインシデントの発生に迅速且つ適切に対処することが困難となっている。
【０００７】
本発明は、上記事情に鑑みなされたものであり、その目的は、インシデント発生時におけるインシデント対応処理を迅速に実行することのできる技術を提供することにある。
【課題を解決するための手段】
【０００８】
上記目的を達成するため、一観点に係るセキュリティシステムは、所定の管理対象システム内のセキュリティを管理する１以上のインシデント管理装置と、１以上のインシデント管理装置を統括する統括インシデント管理装置と、インシデントに対応する処理であるインシデント対応処理を実行可能な１以上のレスポンス処理装置とを含むセキュリティシステムであって、インシデント管理装置は、インシデントの発生を検知した場合に、インシデントの発生を統括インシデント管理装置に通知する通知部を備え、統括インシデント管理装置は、インシデント管理装置からインシデントの発生の通知を受けた場合に、インシデントに対応するインシデント対応処理の実行要求を、レスポンス処理装置に送信する処理実行要求部を備え、レスポンス処理装置は、インシデント対応処理を実行する処理実行部を備える。
【発明の効果】
【０００９】
本発明によれば、インシデント発生時におけるインシデント対応処理を迅速に実行することができる。
【図面の簡単な説明】
【００１０】
【図１】図１は、一実施形態に係るセキュリティシステムの全体構成図である。
【図２】図２は、一実施形態に係る統括インシデント管理装置の構成図である。
【図３】図３は、一実施形態に係るインシデント対応処理の実行手順を示す図である。
【図４】図４は、一実施形態に係る処理依頼情報の一例を示す図である。
【図５】図５は、一実施形態に係るアドレス管理テーブルの構成図である。
【図６】図６は、一実施形態に係る情報開示契約管理表の構成図である。
【図７】図７は、一実施形態に係るケーパビリティ一覧テーブルの構成図である。
【図８】図８は、一実施形態に係るインシデント発生時処理のフローチャートである。
【図９】図９は、一実施形態に係るインシデント発生時処理のステップＳ３０８の詳細なフローチャートである。
【図１０】図１０は、一実施形態に係るインシデント発生時処理のステップＳ３１１の詳細なフローチャートである。
【図１１】図１１は、変形例に係るインシデント発生時処理のフローチャートである。
【発明を実施するための形態】
【００１１】
実施形態について、図面を参照して説明する。なお、以下に説明する実施形態は特許請求の範囲に係る発明を限定するものではなく、また実施形態の中で説明されている諸要素及びその組み合わせの全てが発明の解決手段に必須であるとは限らない。
【００１２】
以下の説明では、「ＡＡＡテーブル」の表現にて情報を説明することがあるが、情報は、どのようなデータ構造で表現されていてもよい。すなわち、情報がデータ構造に依存しないことを示すために、「ＡＡＡテーブル」を「ＡＡＡ情報」と呼ぶことができる。
【００１３】
また、以下の説明では、「プログラム」を主語として処理を説明する場合があるが、プログラムは、演算装置（プロセッサ、例えばＣＰＵ（Central Processing Unit））によって実行されることで、定められた処理を、適宜に記憶部（例えばメモリ）及び／又はインターフェースデバイス（例えば通信ポート）等を用いながら行うため、処理の主語が、演算装置（或いは、プロセッサ、そのプロセッサを有する装置又はシステム）とされてもよい。また、演算装置は、処理の一部または全部を行う専用ハードウェア回路を含んでもよい。プログラムは、プログラムソースから計算機のような装置にインストールされてもよい。プログラムソースは、例えば、プログラム配布サーバまたは計算機が読み取り可能な記憶メディアであってもよい。また、以下の説明において、２以上のプログラムが１つのプログラムとして実現されてもよいし、１つのプログラムが２以上のプログラムとして実現されてもよい。
【００１４】
まず、一実施形態について説明する。
【００１５】
図１は、一実施形態に係るセキュリティシステムの全体構成図である。
【００１６】
セキュリティシステム１は、複数の現場システム１０（１０Ａ，１０Ｂ，１０Ｘ）を備える。現場システム１０Ａ，１０Ｂ，１０Ｘは、ネットワーク４０を介して接続されている。ネットワーク４０は、ＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）、ＷＡＮ（Ｗｉｄｅ  Ａｒｅａ  Ｎｅｔｗｏｒｍ）等の通信路である。
【００１７】
現場システム１０Ａ（現場システムＡ）は、ファイヤーウォール１００と、統括インシデント管理装置１０１と、サーバ１０２と、ＳＩＥＭ（Ｓｅｃｕｒｉｔｙ  Ｉｎｆｏｒｍａｔｉｏｎ  Ｅｖｅｎｔ  Ｍａｎａｇｅｍｅｎｔ）１０３と、端末１０４とを備える。
【００１８】
ファイヤーウォール１００は、現場システムＡのネットワーク４０側の最先端部に配置され、ネットワーク４０から現場システム１０Ａ内への通信の可否と、現場システム１０Ａ内からネットワーク４０への通信の可否を制御する。
【００１９】
端末１０４は、ユーザの指示に基づいて各種処理を実行する。サーバ１０２は、端末１０４に対して各種機能を提供する。また、サーバ１０２は、例えば、各端末１０４による通信のログや、処理のログを記憶する。ＳＩＥＭ１０３は、サーバ１０２におけるログ等を取得し、ログ等を分析することにより、セキュリティに関するインシデント（セキュリティインシデント：単にインシデントともいう）の発生を検出し、インシデントの発生を示すアラートを統括インシデント管理装置１０１に出力する。
【００２０】
統括インシデント管理装置１０１は、自身の所属する現場システム１０Ａからのアラートを受領した場合、または、他の現場システム１０のインシデント管理装置１０５からのアラートを受領した場合に、アラートに対応するインシデントに対応する処理（インシデント対応処理）の実行を統括制御する。
【００２１】
現場システム１０Ｂ，１０Ｘは、ファイヤーウォール１００と、サーバ１０２と、ＳＩＥＭ（Ｓｅｃｕｒｉｔｙ  Ｉｎｆｏｒｍａｔｉｏｎ  Ｅｖｅｎｔ  Ｍａｎａｇｅｍｅｎｔ）１０３と、端末１０４と、インシデント処理装置の一例としてのインシデント管理装置１０５とを備える。なお、現場システム１０Ａと同様な構成については、同一の符号を付している。
【００２２】
インシデント管理装置１０５は、自身の所属する現場システム１０のＳＩＥＭ１０３からのアラートを受領した場合に、統括インシデント管理装置１０１にアラートの種別と、アラートが示すインシデントに対応するインシデント対応処理の実行手順（実行内容）を通知する。なお、インシデント管理装置１０５は、インシデント対応処理のうち、自身が実行できる処理を実行し、自身が実行できない処理の実行手順のみを統括インシデント管理装置１０１に通知するようにしてもよい。
【００２３】
次に、統括インシデント管理装置１０１及びインシデント管理装置１０５について説明する。
【００２４】
図２は、一実施形態に係る統括インシデント管理装置の構成図である。
【００２５】
統括インシデント管理装置１０１は、例えば、ＰＣ（Ｐｅｒｓｏｎａｌ  Ｃｏｍｐｕｔｅｒ）、又はサーバ装置によって構成されており、演算装置２００と、メモリ２０１と、記憶装置２０２とを備える。メモリ２０１は、ケーパビリティ情報記憶部、情報開示情報記憶部、及びアクセス情報記憶部の一例である。
【００２６】
演算装置２００は、例えば、１以上のプロセッサ（ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ））を備え、メモリ２０１に格納されているプログラムに従って各種処理を実行する。
【００２７】
記憶装置２０２は、例えば、ハードディスクやフラッシュメモリなどであり、演算装置２００で実行されるプログラムや、演算装置２００に利用されるデータを記憶する。
【００２８】
メモリ２０１は、例えば、ＲＡＭ（ＲＡＮＤＯＭ  ＡＣＣＥＳＳ  ＭＥＭＯＲＹ）であり、演算装置２００で実行されるプログラムや、必要な情報を記憶する。本実施形態では、メモリ２０１は、状況分析プログラム２１１と、レスポンス決定プログラム２１２と、対応主体決定プログラム２１３と、認証認可プログラム２１４と、レスポンス実行プログラム２１５と、アドレス管理テーブル２１６と、情報開示契約管理表２１７と、ケーパビリティ一覧テーブル２１８とを記憶する。
【００２９】
状況分析プログラム２１１は、演算装置２００に実行されることにより機能部を構成し、受領したアラートが、誤報であるか否かを判断する。レスポンス決定プログラム２１２は、演算装置２００に実行されることにより機能部（処理決定部の一例）を構成し、アラートが示すインシデントに対して実行するインシデント対応処理（レスポンス）を決定する。
【００３０】
対応主体決定プログラム２１３は、演算装置２００に実行されることにより機能部（実行装置決定部、実行可否確認部の一例）を構成し、インシデント対応処理を実行する装置（本実施形態では、例えば、インシデント管理装置）を決定する。認証認可プログラム２１４は、演算装置２００に実行されることにより機能部（処理実行要求部、送信制御部及び結果表示制御部の一例）を構成し、決定された装置に対して、インシデント対応処理の実行要求を送信する。レスポンス実行プログラム２１５は、演算装置２００に実行されることにより機能部（処理実行部の一例）を構成し、インシデント対応処理の少なくとも１つを実行する。
【００３１】
インシデント管理装置１０５は、統括インシデント管理装置１０１と同様に、演算装置２００と、メモリ２０１と、記憶装置２０２とを備える。メモリ２０１には、レスポンス実行プログラム２１５が格納されていればよい。なお、インシデント管理装置１０５のレスポンス実行プログラム２１５は、演算装置２００に実行されることにより機能部（通知部及び実行結果送信部の一例）を構成し、統括インシデント管理装置１０１におけるレスポンス実行プログラム２１５の機能に加えて、自身の所属する現場システム１０のＳＩＥＭ１０３からのアラートを受領した場合に、統括インシデント管理装置１０１にアラートの種別と、アラートが示すインシデントに対応するインシデント対応処理の実行手順（実行内容）を通知する機能を有する。
【００３２】
次に、インシデント対応処理及びその実行手順について説明する。
【００３３】
図３は、一実施形態に係るインシデント対応処理の実行手順を示す図である。図３は、インシデントとして、例えば、端末１０４のウイルス感染、ファイヤーウォール１００における不正パケットの流入、ファイヤーウォール１００における不正パケットの流出、及びＤｏｓ攻撃の発生を想定した場合におけるインシデント対応処理の実行手順を示している。なお、いずれか１つのインシデントの場合には、これら実行手順のうちの一部が選択されて実行されることとなる。
【００３４】
第１段階の初期対応におけるインシデント対応処理としては、例えば、アラート内容確認、ログ分析、ＰＣＡＰ（Ｐａｃｋｅｔ  Ｃａｐｔｕｒｅ）分析がある。第２段階の方針決定におけるインシデント対応処理としては、例えば、サービス停止範囲決定、関係者召集がある。第３段階の一次対処におけるインシデント対応処理としては、例えば、証拠収集、サービス一時停止がある。第４段階の詳細分析におけるインシデント対応処理としては、例えば、侵入手口の分析、マルウェア分析、フォレンジック、業務影響分析、対策立案がある。第５段階の根本対策におけるインシデント対応処理としては、例えば、復旧、更新がある。第６段階の報告におけるインシデント対応処理としては、例えば、レポート作成、社内外に報告がある。
【００３５】
次に、処理依頼情報について説明する。
図４は、一実施形態に係る処理依頼情報の一例を示す図である。
【００３６】
処理依頼情報は、統括インシデント管理装置１０１からインシデント対応処理を実行する装置として決定されたインシデント管理装置１０５に送信される情報である。依頼処理情報には、依頼するインシデント対応処理名が格納されている。例えば、１番目の依頼処理情報は、インシデント対応処理として、侵入手口の分析を依頼する場合の例を示している。
【００３７】
次に、アドレス管理テーブル２１６について詳細に説明する。
【００３８】
図５は、一実施形態に係るアドレス管理テーブルの構成図である。
【００３９】
アドレス管理テーブル２１６は、把握している現場システムのインシデント管理装置毎に対応するエントリを記憶する。アドレス管理テーブル２１６のエントリは、エントリ番号２１６１と、組織名２１６２と、インシデント管理装置のアドレス２１６３とのフィールドを含む。
【００４０】
エントリ番号２１６１には、エントリの番号が格納される。組織名２１６２には、エントリに対応するインシデント管理装置１０５を含む現場システム１０を管理する主体である組織の名前（組織名）が格納される。インシデント管理装置のアドレス２１６３には、エントリに対応するインシデント管理装置１０５のアドレス（例えば、ＩＰアドレス）が格納される。
【００４１】
次に、情報開示契約管理表２１７について詳細に説明する。
【００４２】
図６は、一実施形態に係る情報開示契約管理表の構成図である。
【００４３】
情報開示契約管理表２１７は、縦軸方向に情報開示元の組織名が並び、横軸方向に情報開示先の組織名が並び、その交点には、その交点に対応する情報開示元と、情報開示先との間の情報開示に関する契約の内容が格納されている。例えば、企業Ａから企業Ｂに開示する場合には、個人情報を削除した部分開示が契約で許容されていることを示し、企業Ａから団体１に開示する場合には、不審ファイルのみ開示することが契約で許容されていることを示す。
【００４４】
次に、ケーパビリティ一覧テーブル２１８について詳細に説明する。
【００４５】
図７は、一実施形態に係るケーパビリティ一覧テーブルの構成図である。
【００４６】
ケーパビリティ一覧テーブル２１８は、各組織が管理するシステムにおいて実行する能力を有するインシデント対応処理（セキュリティオペレーションに相当）を管理するテーブルであり、各組織毎のエントリを記憶する。ケーパビリティ一覧テーブル２１８のエントリは、エントリ番号２１８１と、組織名２１８２と、実行可能なセキュリティオペレーション２１８３とを含む。
【００４７】
エントリ番号２１８１には、エントリの番号が格納される。組織名２１８２には、エントリに対応する組織の名前（組織名）が格納される。実行可能なセキュリティオペレーション２１８３には、エントリに対応する組織の現場システム１０（厳密には、インシデント管理装置１０５）において能力的に実行可能なセキュリティオペレーションが格納される。
【００４８】
次に、セキュリティシステム１の動作について説明する。
【００４９】
図８は、一実施形態に係るインシデント発生時処理のフローチャートである。
【００５０】
現場システム１０においてＳＩＥＭ１０３は、インシデントの発生を検出すると、インシデントの発生を示すアラートを、その現場システム１０内のインシデント管理装置１０５に対して送信する。このアラートをインシデント管理装置１０５が受領すると（ステップＳ３００）、アラートを受領したインシデント管理装置１０５は、初期対応に対応する自身が実行可能なインシデント対応処理を実行する（ステップＳ３０１）。
【００５１】
インシデント管理装置１０５は、実行した初期対応のインシデント対応処理によって、インシデントの発生を示すアラートが解消されたか否か、すなわち、インシデントが解決されたか否かを判定する（ステップＳ３０２）。この結果、インシデントが解決された場合（ステップＳ３０２：ＹＥＳ）には、これ以上の処理を実行する必要がないので、インシデント管理装置１０５は、インシデント発生時処理を終了する。
【００５２】
一方、インシデントが解決されていない場合（ステップＳ３０２：ＮＯ）には、インシデント管理装置１０５のレスポンス実行プログラム２１５は、アラートの種類と、アラートが示すインシデントに対応するインシデント対応処理のうち、実行していないインシデント対応処理の内容とを含むインシデント情報を統括インシデント管理装置１０１に送信する（ステップＳ３０４）。
【００５３】
統括インシデント管理装置１０１の状況分析プログラム２１１（正確には、状況分析プログラム２１１を実行する演算装置２００）は、受信したインシデント情報に基づいて、状況分析を行う（ステップＳ３０４）。ここで、状況分析としては、アラートが、誤報であるか否かを分析するようにしてもよい。なお、誤報と判定した場合には、状況分析プログラム２１１は、直ちに処理を終了してもよい。
【００５４】
次いで、統括インシデント管理装置１０１のレスポンス決定プログラム２１２は、受信したインシデント情報のアラートの種類に基づいて、実行するインシデント対応処理（レスポンス）の実行手順（実行内容）を決定する（ステップＳ３０８）。
【００５５】
次いで、統括インシデント管理装置１０１の対応主体決定プログラム２１３が、決定したインシデント対応処理を実際に実行可能なインシデント管理装置１０５を募集する通知（募集通知）を送信する（ステップＳ３０９）。
【００５６】
具体的には、まず、対応主体決定プログラム２１３は、ケーパビリティ一覧テーブル２１８を参照し、決定したインシデント対応処理を能力的に実行可能なインシデント管理装置を有する１以上の組織を特定する。次いで、対応主体決定プログラム２１３は、特定した組織と、インシデントを発生させたインシデント管理装置１０５が所属する現場システムの所有主体である組織との間で、決定したインシデント対応処理で必要な情報の受け渡しが可能な情報開示契約が存在するか否かを、情報開示契約管理表２１７を参照して確認し、特定した組織の中で、必要な情報の受け渡しが可能な情報開示契約が存在する１以上の組織を選択する。次いで、対応主体決定プログラム２１３は、アドレス管理テーブル２１６を参照し、選択した１以上の組織のインシデント管理装置１０５のアドレスを取得する。次いで、対応主体決定プログラム２１３は、取得したすべてのアドレス宛に、決定したインシデント対応処理の実行が可能であるか否かを確認する募集通知を送信する。決定したインシデント対応処理が複数ある場合には、対応主体決定プログラム２１３は、それぞれの処理に対して上記同様な処理を行う。
【００５７】
なお、募集通知を受け取ったインシデント管理装置１０５は、インシデント対応処理を実行可能であれば、その旨を含む応答を、統括インシデント管理装置１０１に対して送信することとなる。
【００５８】
対応主体決定プログラム２１３は、募集通知の応答を受け取ると、応答を行ったインシデント管理装置１０５を、インシデント対応処理を実行させるインシデント管理装置１０５に決定し、その旨を認証認可プログラム２１４に通知する。通知を受けた認証認可プログラム２１４は、決定されたインシデント管理装置１０５に対して、インシデント対応処理の実行依頼を送信する（ステップＳ３１０）。なお、複数のインシデント対応処理について、異なるインシデント管理装置１０５に実行させるように決定された場合には、各インシデント管理装置１０５に対して、そのインシデント管理装置１０５に実行させるインシデント対応処理の実行依頼を送信する。
【００５９】
また、認証認可プログラム２１４は、実行依頼をしたインシデント対応処理に必要な情報（ログデータ等）がある場合には、その情報を、実行依頼先で取得できるようにする依頼を併せて行う。具体的には、実行依頼をしたインシデント対応処理に必要な情報がある場合には、必要な情報を格納している装置等に対して、実行依頼先のインシデント管理装置に必要な情報を送信する指示を行うと共に、実行依頼先に必要な情報が送信されることを通知するようにしてもよく、実行依頼先のインシデント管理装置１０５に、必要な情報を格納している装置等から情報を取得させる指示を行うようにしてもよい。このようにすることにより、実行依頼先が必要な情報を、統括インシデント管理装置１０１を経由せずに、実行依頼先のインシデント管理装置１０５で取得できるようにすることができ、統括インシデント管理装置１０１における負荷を低減することができる。
【００６０】
実行依頼を受け取ったインシデント管理装置１０５のレスポンス実行プログラム２１５は、実行依頼に基づいて、インシデント対応処理を実行する（ステップＳ３１１）。次いで、レスポンス実行プログラム２１５は、インシデント対応処理の実行結果を統括インシデント管理装置１０１に送信する（ステップＳ３１２）。この結果、統括インシデント管理装置１０１には、実行すると決定された全てのインシデント対応処理の処理結果が集約されることとなる。この統括インシデント管理装置１０１の認証認可プログラム２１４は、各処理結果について、図示しない表示装置に表示させる等する。
【００６１】
次に、インシデント発生時処理のステップＳ３０８の詳細を説明する。
【００６２】
図９は、一実施形態に係るインシデント発生時処理のステップＳ３０８の詳細なフローチャートである。
【００６３】
統括インシデント管理装置１０１のレスポンス決定プログラム２１２は、受信したインシデント情報のアラートの種類に基づいて、インシデントの証拠情報の収集を関与する現場システムのインシデント管理装置１０５に指示する（ステップＳ３０８１）。
【００６４】
次いで、統括インシデント管理装置１０１のレスポンス決定プログラム２１２は、インシデント情報に含まれるアラートの種類に応じて、侵入手口の分析の必要性判定（Ｓ３０８２）と、マルウェアの分析の必要性判定（Ｓ３０８３）と、フォレンジックの必要判定性（Ｓ３０８４）と、業務影響の分析の必要性判定（Ｓ３０８５）との少なくとも１つを実行し、その後、ステップＳ３０８２〜Ｓ３０８５の結果に基づいて、対策の実現方法の立案の必要性判定（Ｓ３０８６）を行う。これらの処理ステップにより、必要であると判定された各処理が、実行が必要なインシデント対応処理である。
【００６５】
次に、インシデント発生時処理のステップＳ３１１の詳細を説明する。
【００６６】
図１０は、一実施形態に係るインシデント発生時処理のステップＳ３１１の詳細なフローチャートである。
【００６７】
実行依頼を受け取ったインシデント管理装置１０５のレスポンス実行プログラム２１５は、侵入手口の分析の実行（ステップＳ３１１１）と、マルウェアの分析の実行（ステップＳ３１１２）と、フォレンジックの実行（ステップＳ３１１３）と、業務影響の分析の実行（ステップＳ３１１４）とのうちの実行依頼として依頼を受けた全ての処理を実行し、その後、対策の実現方法立案を実行する（ステップＳ３１１５）。これにより、実行依頼を受けたインシデント対応処理が実行されることとなる。
【００６８】
以上説明したように、本実施形態に係るセキュリティシステム１によると、或る現場システム１０においてインシデントが発生してアラートが発生した場合には、その現場システム１０のインシデント管理装置１０５から統括インシデント管理装置１０１に通知され、必要なインシデント対応処理を他のインシデント管理装置１０５に振り分けることができる。これにより、必要なインシデント対応処理を迅速且つ適切に実行させることができる。また、インシデント対応処理に必要なログデータ等を、統括インシデント管理装置１０１を経由せずに、インシデント対応処理を実行するインシデント管理装置１０５に取得させることができるので、統括インシデント管理装置１０１の負荷を軽減することができる。
【００６９】
次に、変形例に係るセキュリティシステムについて説明する。
【００７０】
変形例に係るセキュリティシステムは、上記した実施形態に係るセキュリティシステムとは、一部の機能が異なっており、インシデント発生時処理の一部が異なっている。
【００７１】
図１１は、変形例に係るインシデント発生時処理のフローチャートである。なお、実施形態に係るインシデント発生時処理と同様なステップには、同一の符号を付し、ここでは、異なる点を中心に説明する。
【００７２】
ステップＳ３１１で、インシデント対応処理を実行したインシデント管理装置１０５のレスポンス実行プログラム２１５は、インシデント対応処理に含まれる解析処理等でインシデントに関与する別のシステム（現場システム等）が検出されたか否かを判定する（ステップＳ３１３）。この結果、インシデントに関与する別のシステムが検出されなかった場合（ステップＳ３１３：ＮＯ）には、レスポンス実行プログラム２１５は、処理をステップＳ３１２に進める。
【００７３】
一方、インシデントに関与する別のシステムが検出された場合（ステップＳ３１３：ＹＥＳ）には、レスポンス実行プログラム２１５（具体的には、レスポンス実行プログラム２１５を実行する演算装置２００：関連システム検出部及びアクセス情報送信部の一例）は、検出された別システムの組織名と、そのシステムのインシデント対応処理を実行する装置（本実施形態では、インシデント管理装置１０５）のアドレスを取得するとともに、インシデント管理装置１０５の能力的に実行可能なインシデント対応処理を示すケーパビリティ情報を取得し（ステップＳ３１４）、取得した組織名及びアドレスと、ケーパビリティ情報とを統括インシデント管理装置１０１に送信し（ステップＳ３１５）、処理をステップＳ３１２に進める。
【００７４】
ステップＳ３１５で送信された別システムの組織名及びアドレスとケーパビリティ情報とを統括インシデント管理装置１０１が受信すると、レスポンス決定プログラム２１２（具体的には、レスポンス決定プログラム２１２を実行する演算装置２００：アクセス情報追加登録部の一例）が、組織名とアドレスとを含む新たなエントリをアドレス管理テーブル２１６に追加するとともに、組織名とケーパビリティ情報とを含むエントリをケーパビリティ一覧テーブル２１８に追加する。更に、レスポンス決定プログラム２１２は、情報開示契約管理表の開示元と開示先とに、取得した組織名を追加するとともに、この組織と他の組織との各交点に、情報開示契約を設定する。この時点での情報開示契約としては、最低限の情報開示契約内容としてもよい。なお、以降において、情報開示契約を結んだ場合には、その内容に応じてその情報開示契約内容を変更すればよい。
【００７５】
上記した変形例に係る処理によれば、新たに検出されたシステムのインシデント対応処理を実行可能な装置を、後の処理におけるインシデント対応処理を実行させる候補として選択できるようになり、より広範なインシデント対応処理に対応できるようにすることができる。
【００７６】
なお、本発明は、上述の実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で、適宜変形して実施することが可能である。
【００７７】
例えば、上記実施形態では、インシデント管理装置１０５、統括インシデント管理装置１０１がインシデント対応処理を実行可能な構成となっていたが、例えば、インシデント対応処理を実行する装置（レスポンス処理装置）を、インシデント管理装置１０５又は統括インシデント管理装置１０１とは別に備えるようにしてもよい。
【００７８】
また、上記実施形態では、インシデント対応処理の実行の募集を行い、募集に応答したインシデント管理装置１０５に対してインシデント対応処理の実行要求を送信するようにしていたが、募集を経ずに、インシデント管理装置１０５にインシデント対応処理の実行要求を行うようにしてもよい。
【００７９】
また、上記実施形態においては、インシデント対応処理の依頼先を決定する際に、インシデント対応処理で必要な情報の受け渡しが可能な情報開示契約が存在するか否かを判定するようにしていたが、本発明はこれに限られず、情報開示において問題のない組織のみをセキュリティシステムの対象としている場合においては、情報開示契約が存在するか否かを判定する処理を実行しなくてもよく、また、その処理に必要な情報開示契約管理表を備えなくてもよい。
【００８０】
また、上記実施形態において、演算装置２００が行っていた処理の一部又は全部を、専用のハードウェア回路で行うようにしてもよい。また、上記実施形態におけるプログラムは、プログラムソースからインストールされてよい。プログラムソースは、プログラム配布サーバ又は記憶メディア（例えば可搬型の非一時的記憶メディア）であってもよい。
【符号の説明】
【００８１】
１…セキュリティシステム、１０，１０Ａ，１０Ｂ，１０Ｘ…現場システム、１０１…統括インシデント管理装置、１０５…インシデント管理装置、２００…演算装置、２０１…メモリ、２１１…状況分析プログラム、２１２…レスポンス決定プログラム、２１３…対応主体決定プログラム、２１４…認証認可プログラム、２１５…レスポンス実行プログラム、２１６…アドレス管理テーブル、２１７…情報開示契約管理表、２１８…ケーパビリティ一覧テーブル
【図１】
2019133258.tif 000003
【図２】
2019133258.tif 000004
【図３】
2019133258.tif 000005
【図４】
2019133258.tif 000006
【図５】
2019133258.tif 000007
【図６】
2019133258.tif 000008
【図７】
2019133258.tif 000009
【図８】
2019133258.tif 000010
【図９】
2019133258.tif 000011
【図１０】
2019133258.tif 000012
【図１１】
2019133258.tif 000013