(57)【要約】【課題】産業クラスタにおけるセキュリティ設計を、各組織のセキュリティ対策のいかんを問わず、工数をさほどかけることなく支援し、セキュリティ対策を立て、セキュリティに関するシステムの品質を安定させる。【解決手段】セキュリティ要件ごとに各組織の対応に関する状況をチェックするセキュリティ状況確認チェックリスト（ＣＬ）に対する各組織の回答に基づいて、個別リスク分析部により、各組織のシステムにおける平均リスク値を算出する。そして、対策情報生成部により、各組織のシステムのクラスタ共通となるセキュリティ要件とその対策を示したクラスタ共通ベースライン要件一覧データと、個別のセキュリティ要件とその対策を示した組織個別要件一覧データと、各組織のシステムが連携する際のセキュリティ要件とその対策を示した組織間連携要件一覧データを出力する。【選択図】  図１
2019021161.tif 000002
【特許請求の範囲】
【請求項１】
セキュリティ設計支援装置により、複数の組織から構成される産業クラスタにおける各組織のシステムの状況を解析し、セキュリティ対策を提示するセキュリティ設計支援システムであって、
前記セキュリティ設計支援装置は、セキュリティ要件ごとに各組織の対応に関する状況をチェックするセキュリティ状況確認チェックリスト（ＣＬ）に対する各組織の回答に基づいて、個別リスク分析部により、各組織のシステムにおける平均リスク値を算出し、
前記セキュリティ設計支援装置は、対策情報生成部により、前記産業クラスタにおける各組織のシステムのクラスタ共通となるセキュリティ要件とその対策を示したクラスタ共通ベースライン要件一覧データと、各組織のシステムの個別のセキュリティ要件とその対策を示した組織個別要件一覧データと、前記産業クラスタにおける各組織のシステムが連携する際のセキュリティ要件とその対策を示した組織間連携要件一覧データを出力することを特徴とするセキュリティ設計支援システム。
【請求項２】
前記セキュリティ設計支援装置は、システム連携方針一覧データを保持し、対策情報生成部により、連携する組織のシステムの平均リスク値の差分である平均リスク値差を算出し、システム連携方針一覧データを参照し、前記平均リスク値差に基づいて、組織間連携要件一覧データの対策を求めることを特徴とする請求項１記載のセキュリティ設計支援システム。
【請求項３】
前記セキュリティ設計支援装置は、セキャリティ要件の対策ごと、セキュリティ状況確認チェックリスト（ＣＬ）の回答率ごとに異なった対策内容文字列を記憶する対策出力文書データを保持し、対策情報生成部により、前記産業クラスタにおける各組織のセキュリティ状況確認チェックリスト（ＣＬ）の回答率に応じた対策内容文字列を求めて、前記クラスタ共通ベースライン要件一覧データ、前記組織個別要件一覧データにおける対策として出力することを特徴とする請求項１記載のセキュリティ設計支援システム。
【請求項４】
前記セキュリティ設計支援装置は、脅威−対策情報データを保持し、個別リスク分析部は、前記セキュリティ状況確認チェックリスト（ＣＬ）に記載されたコメントの単語の類似により、脅威−対策情報データを参照し、脅威とそれに対する対策を求めて、脅威一覧とし、前記脅威一覧の各々の脅威に対し、リスク値を算出することを特徴とする請求項１記載のセキュリティ設計支援システム。
【請求項５】
前記セキュリティ設計支援装置は、再実施分析判断部により、産業クラスタにおける各組織の前記クラスタ共通ベースライン要件一覧データ、前記組織個別要件一覧データ、前記組織間連携要件一覧データにおける対策に対する対応の結果に基づいて、前記個別リスク分析部により再分析をおこなわせることを特徴とする請求項１記載のセキュリティ設計支援システム。
【請求項６】
セキュリティ設計支援装置により、複数の組織から構成される産業クラスタにおける各組織のシステムの状況を解析し、セキュリティ対策を提示するセキュリティ設計支援方法であって、
前記セキュリティ設計支援装置が、セキュリティ要件ごとに各組織の対応に関する状況をチェックするセキュリティ状況確認チェックリスト（ＣＬ）に対する各組織の回答に基づいて、個別リスク分析部により、各組織のシステムにおける平均リスク値を算出するステップと、
前記セキュリティ設計支援装置が、対策情報生成部により、前記産業クラスタにおける各組織のシステムのクラスタ共通となるセキュリティ要件とその対策を示したクラスタ共通ベースライン要件一覧データと、各組織のシステムの個別のセキュリティ要件とその対策を示した組織個別要件一覧データと、前記産業クラスタにおける各組織のシステムが連携する際のセキュリティ要件とその対策を示した組織間連携要件一覧データを出力するステップを有することを特徴とするセキュリティ設計支援方法。
【請求項７】
前記セキュリティ設計支援装置は、システム連携方針一覧データを保持し、対策情報生成部により、連携する組織のシステムの平均リスク値の差分である平均リスク値差を算出し、システム連携方針一覧データを参照し、前記平均リスク値差に基づいて、組織間連携要件一覧データの対策を求めることを特徴とする請求項６記載のセキュリティ設計支援方法。
【請求項８】
前記セキュリティ設計支援装置は、セキャリティ要件の対策ごと、セキュリティ状況確認チェックリスト（ＣＬ）の回答率ごとに異なった対策内容文字列を記憶する対策出力文書データを保持し、対策情報生成部により、前記産業クラスタにおける各組織のセキュリティ状況確認チェックリスト（ＣＬ）の回答率に応じた対策内容文字列を求めて、前記クラスタ共通ベースライン要件一覧データ、前記組織個別要件一覧データにおける対策として出力することを特徴とする請求項６記載のセキュリティ設計支援方法。
【請求項９】
前記セキュリティ設計支援装置は、脅威−対策情報データを保持し、個別リスク分析部は、前記セキュリティ状況確認チェックリスト（ＣＬ）に記載されたコメントの単語の類似により、脅威−対策情報データを参照し、脅威とそれに対する対策を求めて、脅威一覧とし、前記脅威一覧の各々の脅威に対し、リスク値を算出することを特徴とする請求項６記載のセキュリティ設計支援方法。
【請求項１０】
前記セキュリティ設計支援装置は、再実施分析判断部により、産業クラスタにおける各組織の前記クラスタ共通ベースライン要件一覧データ、前記組織個別要件一覧データ、前記組織間連携要件一覧データにおける対策に対する対応の結果に基づいて、前記個別リスク分析部により再分析をおこなわせることを特徴とする請求項６記載のセキュリティ設計支援方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュリティ設計支援システムおよびセキュリティ設計支援方法に係り、特に、複数の組織とそれが運営するシステムが複雑に連携する産業クラスタにおけるセキュリティ設計を支援し、組織間連携時のセキュリティ要件を策定し、セキュリティ対策を立てるのに好適なセキュリティ設計支援システムおよびセキュリティ設計支援方法に関する。
【背景技術】
【０００２】
ＩｏＴ（Internet of Things）の概念に基づくシステムの普及に伴い、設計製造設備がネットワークにつながることにより、設備稼働状況をはじめとした様々な情報をリアルタイムに、かつ、企業間をはさんで共有できる環境が整いつつあり、この結果として、第四次産業革命と呼ばれる製造業の革新が始まっている。これに伴い、製造システムおよびエネルギーマネジメントシステムを連携させ、産業クラスタ全体でのエネルギーの利用効率向上も考慮した設計・製造最適化を目指す、いわゆるクラウドマニュファクチャリング構想が立ち上がっている。そして大小な組織、そして多種多様なシステムが複雑に連携し一体と成って設計製造を実施する産業クラスタが構成されている。
【０００３】
一方、年々ネットワーク接続機器が急速に増加する中、サイバー攻撃が激甚化しており、組織とシステムのセキュリティ確保が大きな課題となりつつある。しかし、サイバー攻撃から組織とシステムを防衛するためのセキュリティ設計を実施するには、セキュリティに関する専門的な知識を臨機応変に活用する必要があり、専門家の支援が必須である。
【０００４】
このような中、産業クラスタ全体をサイバー攻撃から防衛するためには、産業クラスタに参加するセキュリティ対応力とセキュリティ運用方針が異なる多種多様な組織の現状とシステムのつながりを考慮した非常に複雑かつ専門的なセキュリティ設計が必要となる。したがって、例えセキュリティ専門家がセキュリティ設計を実施しても組織間調整などが発生し膨大な工数がかかることが予想される。特に、産業クラスタに属する組織が零細企業である場合には、セキュリティ専門の担当者を置くことは事実上不可能である。
【０００５】
この状況に対応する方法として、セキュリティ設計ノウハウを電子化し、容易に活用可能とするためのセキュリティ設計支援システムを構築することが考えられる。
【０００６】
セキュリティ設計実施に際しては、まず産業クラスタ参加組織群のセキュリティリスクを定量的に把握する必要がある。この方法として、例えば、特許文献１に示されるように、事前にチェックリストを作成しておき、評価対象企業へヒアリングしその結果を評価することでリスク評価点を算出する手段が提案されている。
【０００７】
また、例えば、特許文献２に示されるように、セキュリティ設計の認知度、理解度、実施度を評価するための評価判定データを入力し、組織のセキュリティ施策の実施度合いを事例データベースに基づき判定するシステムが提案されている。
【０００８】
そして、リスク分析を実施した後は、組織毎のシステム構成および運用方法を分析し、脅威と対策方針を立案する。これを支援する方法としては、例えば、特許文献３に示されるように、過去のセキュリティ設計文書群を電子化し、セキュリティ設計時にシステム構成情報や前提条件を入力することによってセキュリティ設計書の原案を作成するシステムが提案されている。
【先行技術文献】
【特許文献】
【０００９】
【特許文献１】特開２０１２−１５５７５８号公報
【特許文献２】特開２０１０−２５０６７７号公報
【特許文献３】特開２００１−２２２４２０号公報
【発明の概要】
【発明が解決しようとする課題】
【００１０】
上記従来技術では、組織とシステム毎のリスク分析をセキュリティ対策立案を実施しているが、複数の異なるセキュリティリスクを持つ組織およびシステム間の連携を考慮していない。したがって、複数の組織およびシステム間の連携を考慮する場合は、セキュリティ専門家と連携する組織群が相談の上、定性的に連携方法と連携時のセキュリティ対策を実施する必要があり、その結果工数がかかる上、連携部分のセキュリティ設計品質が安定しないということになる。
【００１１】
また、上記従来技術では、策定するセキュリティ要件の文書表現が一律で、組織のセキュリティ対応力を考慮していなかった。したがって、組織のセキュリティ対応力が非常に低い場合は、セキュリティ要件の文書そのものをセキュリティ専門家が平易な言葉に書き換える必要があり、工数がかかる上、セキュリティ専門家に高い説明能力が求められた。
【００１２】
本発明の目的は、複数の組織とそれが運営するシステムが複雑に連携する産業クラスタにおけるセキュリティ設計を、各組織のセキュリティ対策のいかんを問わず、工数をさほどかけることなく支援し、組織間連携時の要件を策定し、セキュリティ対策を立て、セキュリティに関するシステムの品質を安定させることのできるセキュリティ設計支援システムを提供することにある。
【課題を解決するための手段】
【００１３】
本発明のセキュリティ設計支援システムの構成は、好ましくは、セキュリティ設計支援装置により、複数の組織から構成される産業クラスタにおける各組織のシステムの状況を解析し、セキュリティ対策を提示するセキュリティ設計支援システムであって、セキュリティ設計支援装置は、セキュリティ要件ごとに各組織の対応に関する状況をチェックするセキュリティ状況確認チェックリスト（ＣＬ）に対する各組織の回答に基づいて、個別リスク分析部により、各組織のシステムにおける平均リスク値を算出し、セキュリティ設計支援装置は、対策情報生成部により、産業クラスタにおける各組織のシステムのクラスタ共通となるセキュリティ要件とその対策を示したクラスタ共通ベースライン要件一覧データと、各組織のシステムの個別のセキュリティ要件とその対策を示した組織個別要件一覧データと、産業クラスタにおける各組織のシステムが連携する際のセキュリティ要件とその対策を示した組織間連携要件一覧データを出力するようにしたものである。
【発明の効果】
【００１４】
本発明によれば、複数の組織とそれが運営するシステムが複雑に連携する産業クラスタにおけるセキュリティ設計を、各組織のセキュリティ対策のいかんを問わず、工数をさほどかけることなく支援し、組織間連携時の要件を策定し、セキュリティ対策を立て、セキュリティに関するシステムの品質を安定させることのできるセキュリティ設計支援システムを提供することができる。
【図面の簡単な説明】
【００１５】
【図１】本発明の一実施形態に係るセキュリティ設計支援システムの概要図である。
【図２】セキュリティ設計支援装置のハードウェア・ソフトウェア構成図である。
【図３】セキュリティ状況確認チェックリスト（ＣＬ）１０２の一例を示す図である。
【図４】クラスタ共通ベースライン要件一覧データ１２３の一例を示す図である。
【図５】組織個別要件一覧データ１２４の一例を示す図である。
【図６】組織間連携要件一覧データ１２５の一例を示す図である。
【図７】リスク分析参照データ１１２の一例を示す図である。
【図８】システム連携方針一覧データ１１８の一例を示す図である。
【図９】脅威−対策情報データ１１９の一例を示す図である。
【図１０】対策出力文章情報データ１２０の一例を示すである。
【図１１】セキュリティ設計支援システムにおいて、リスク分析から対策を立案するまでの処理を示すシーケンス図である。
【図１２】個別リスク分析部１１０の処理を示すフローチャートである。
【図１３】対策情報生成部１１３の処理を示すシーケンス図である。
【発明を実施するための形態】
【００１６】
以下、本発明の一実施形態に係るセキュリティ設計支援システムを、図１ないし図１３を用いて説明する。
【００１７】
本実施形態では、制御システム向けの不正通信を検知するシステムに関する設計支援システムを例に採って説明する。
【００１８】
本実施形態のセキュリティ設計支援システムによるセキュリティ設計支援方法では、図１に示されるように、先ず、セキュリティ担当者１０１が、セキュリティ状況確認チェックリスト（ＣＬ）１０２を、組織Ａ〜Ｎ１０４で構成される産業クラスタ１０３へ配布する。ここで組織Ａ〜Ｎ１０４は、例えば設計事務所、生産設備を持つ工場など多様な規模の異なる多様な企業が想定される。そして組織Ａ〜Ｎ１０４は、各々固有のシステムＡ〜Ｎ１０５を有する。この組織Ａ〜Ｎ１０４のシステムＡ〜Ｎ１０５は、例えば、設計支援システム、生産計画システム、製造システムなどが想定される。そして組織Ａ〜Ｎ１０４のシステムＡ〜Ｎ１０５は、相互のシステム間で連携しているものとする。
【００１９】
ＣＬ１０２を受け取った、組織Ａ〜Ｎ１０４の組織担当者は、セキュリティ状況を、ＣＬ１０２へ記載したＣＬ（チェックリスト）回答Ａ〜Ｎ１０８を作成し、システム構成情報データ１０７と共に、セキュリティ担当者１０１へ返信し、セキュリティ担当者１０１がこれらの情報を、セキュリティ設計支援装置１０９へ入力する。このセキュリティ担当者１０１と組織Ａ〜Ｎ１０４の組織担当者のＣＬ１０２とＣＬ回答Ａ〜Ｎ１０８のやり取りは、ネットワークでファイルを送受信することによりおこなってもよく、紙文書を郵便で送配することよりおこなってもよい。
【００２０】
セキュリティ設計支援装置１０９は、ＣＬ（チェックリスト）回答Ａ〜Ｎ１０８を入力し、システムの情報を参照して、セキュリティに関する対策情報を出力する装置である。
ここで、セキュリティ設計支援装置１０９は、個別リスク分析部１１０、対策情報生成部１１３、再分析実施判断部１２２から構成される。また、対策情報生成部１１３は、システム間連携差分処理部１１４、ベースライン要件出力部１１５、組織個別追加要件出力部１１６、組織間連携要件出力部１１７から構成される。また、セキュリティ設計支援装置１０９は、システム連携方針データ１１８、脅威−対策情報データ１１９、対策出力文章情報データ１２０、回答および対策実績データ１２１、クラスタ共通ベースライン要件一覧データ１２３、組織個別要件一覧データ１２４、組織間連携要件一覧データ１２５を保持する。
【００２１】
個別リスク分析部１１０は、リスク分析参照データ１１２を用いて組織Ａ〜Ｎ１０４とシステムＡ〜Ｎ１０５が出力したＣＬ回答Ａ〜Ｎ１０８とシステム構成情報データ１０７を分析し、分析結果データＡ〜Ｎ１１１と平均リスク値を生成し出力する。対策情報生成部１１３は、個別リスク分析部１１０の出力する平均リスク値を入力し、システム連携方針データ１１８、脅威−対策情報データ１１９、対策出力文章情報データ１２０を参照して、対策一覧データ１３０を出力する。対策一覧データ１３０は、クラスタ共通ベースライン要件一覧データ１２３、組織個別要件一覧データ１２４、組織間連携要件一覧データ１２５からなる。クラスタ共通ベースライン要件一覧データ１２３は、産業クラスタ１０３で共通で実施するセキュリティ対策を記載したデータである。組織個別要件一覧データ１２４は、組織Ａ〜Ｎ１０４が固有に実施すべき対策を記載したデータである。組織間連携要件一覧データ１２５は、組織間連携部分での対策実施内容を記載したデータである。
【００２２】
セキュリティ担当者１０１は、各組織Ａ〜Ｎ１０４の組織担当者に対して、そのシステムに関連する対策一覧データを提示し、システムのセキュリティについての対策を施すように指示する。また、セキュリティ担当者１０１は、各々の組織Ａ〜Ｎ１０４での対策結果を受取り、回答および対策実績データ１２１として格納する。セキュリティ設計支援装置の再分析実施判断部１２２は、その回答および対策実績データ１２１を入力して、再分析実施を判断し、もし実施が必要と判断した場合は、個別リスク分析部１１０へ再分析を指示する。
【００２３】
なお、セキュリティ設計支援装置１０９が取り扱うデータの具体例は、後に詳説する。
【００２４】
セキャリティ設計支援装置１０９のハードウェア構成としては、例えば、図２に示されるような一般的なパーソナルコンピュータなどの情報処理装置で実現される。
セキャリティ設計支援装置１０９は、ＣＰＵ（Central Processing Unit）３０１、主記憶装置３０２、ネットワークＩ／Ｆ３０３、表示Ｉ／Ｆ３０４、入出力Ｉ／Ｆ３０５、補助記憶Ｉ／Ｆ３０６が、バスにより結合された形態になっている。
【００２５】
ＣＰＵ３０１は、セキャリティ設計支援装置１０９の各部を制御し、主記憶装置３０２に必要なプログラムをロードして実行する。主記憶装置３０２は、通常、ＲＡＭなどの揮発メモリで構成され、ＣＰＵ３０１が実行するプログラム、参照するデータが記憶される。ネットワークＩ／Ｆ３０６は、ネットワークと接続するためのインタフェースである。表示Ｉ／Ｆ３０４は、ＬＣＤ（Liquid Crystal Display）などの表示装置３１０を接続するためのインタフェースである。入出力Ｉ／Ｆ３０５は、入出力装置を接続するためのインタフェースである。図２の例では、キーボード３２０とポインティングデバイスのマウス３２２が接続されている。補助記憶Ｉ／Ｆ３０６は、ＨＤＤ（Hard Disk Drive）３３０やＳＳＤ（Solid State Drive）などの補助記憶装置を接続するためのインタフェースである。
【００２６】
ＨＤＤ３３０は、大容量の記憶容量を有しており、本実施形態を実行するためのプログラムが格納されている。セキャリティ設計支援装置１０９には、個別リスク分析プログラム１１０ｐ、システム間連携差分処理プログラム１１４ｐ、ベースライン要件出力プログラム１１５ｐ、組織個別追加要件出力プログラム１１６ｐ、組織間連携要件出力プログラム１１７ｐ、再分析実施判断プログラム１２２ｐから構成される。個別リスク分析プログラム１１０ｐ、システム間連携差分処理プログラム１１４ｐ、ベースライン要件出力プログラム１１５ｐ、組織個別追加要件出力プログラム１１６ｐ、組織間連携要件出力プログラム１１７ｐ、再分析実施判断プログラム１２２ｐは、各々個別リスク分析部１１０、システム間連携差分処理部１１４、ベースライン要件出力部１１５、組織個別追加要件出力部１１６、組織間連携要件出力部１１７、再分析実施判断部１２２の各機能部を実施するためのプログラムである。
【００２７】
セキュリティ設計支援装置１０９のＨＤＤ３３０は、分析結果データ１１１、リスク分析参照データ１１２、システム連携方針データ１１８、脅威−対策情報データ１１９、対策出力文章情報データ１２０、回答および対策実績データ１２１、クラスタ共通ベースライン要件一覧データ１２３、組織個別要件一覧データ１２４、組織間連携要件一覧データ１２５を保持する。
【００２８】
次に、図３ないし図１０を用いて本実施形態のセキュリティ設計支援システムで取り扱うデータ構造について説明する。
セキュリティ状況確認チェックリスト（ＣＬ）１０２は、セキュリティ担当者１０１が組織Ａ〜Ｎ１０４に配布し、組織Ａ〜Ｎ１０４が実施しているセキュリティ対策状況を確認するために用いる。セキュリティ状況確認チェックリスト（ＣＬ）１０２は、図３に示されるように、セキュリティ要件チェック項目３０３、識別番号３０４、項目内容３０５、対応３０６、未対応３０７、コメント３０８の各項目からなる。
【００２９】
セキュリティ要件チェック項目３０３は、セキュリティ要件の項目を示している。識別番号３０４は、各要件を識別する識別子を記憶する項目である。セキュリティ要件チェック項目３０３、識別番号３０４は、図３に示されるように、階層構造で設計されている。項目内容３０５は、各セキュリティ要件の具体的な実施項目を簡潔に記述した文章を記憶する項目である。対応３０６と未対応３０７は、各要件に対応しているか否かを記述する項目であり、コメント３０８は、要件に関して文章で特記すべき事項を記載する項目である。
【００３０】
セキュリティ担当者１０１は、組織Ａ〜Ｎ１０４に対して、このチェックリストを配布し、組織担当者から回答を得ることにより、各要件の対応、未対応を確認する。このとき、不明点があれば空欄のまま記載をしない。また、特記事項があればすべてコメント欄に記載する。
【００３１】
そして、セキュリティ設計支援装置１０９は、セキュリティ状況確認チェックリスト（ＣＬ）１０２のセキュリティ要件チェック項目３０３、識別番号３０４、項目内容３０５に記載された情報を対策出力時に追加対策の判断で利用し、対応３０６、未対応３０７の空欄から、セキュリティ状況確認チェックリスト（ＣＬ）１０２に対する回答率を計算する。また、コメント３０８の項目に記載された事項は、後述するように個別リスク分析部１１０によるリスク分析の際の脅威を抽出する際に用いる。さらに、詳しくは説明しないがコメント３０８の項目に記載された事項を、類似検索によって、対策推奨する機能に利用するようにしてもよい。
【００３２】
クラスタ共通ベースライン要件一覧データ１２３は、産業クラスタ全体に共通するセキュリティ項目に対応する対策を一覧としてまとめたデータであり、図４に示されるように、対策実施個所４０１、発生しうる脅威イベント一覧４０２、攻撃手順４０３、対策要件４０４、対応結果４０５の各項目よりなる。
【００３３】
対策実施個所４０１は、システムを構成するどの機器に対策を実施するかを記載する項目である。例えば、図４の例に示されように、制御サーバなどが考えられる。発生しうる脅威イベント一覧４０２は、該当箇所で想定される脅威であり、例えば、図４に示されるように、誤動作により、業務の遅延／停止が発生する場合などが考えられる。攻撃手順４０３は、この脅威イベントを発生させる上での攻撃者の攻撃手順を示す項目である。対策要件４０４は、発生しうる脅威イベント一覧４０２、攻撃手順４０３に記載された事項に対処するために、対策実施箇所４０１の機器において実施すべき、対策要件の一覧を示す項目である。対応結果４０５は、対策要件４０４で定めた要件を、組織Ａ〜Ｎ１０４において現段階でどこまで実施できているかの対応結果を示す項目である。
【００３４】
組織個別要件一覧データ１２４は、各組織で個別のセキュリティ項目に対応する対策を一覧としてまとめたデータであり、図５に示されるように、対策実施個所５０１、発生しうる脅威イベント一覧５０２、攻撃手順５０３、対策要件５０４、対応結果５０５の各項目よりなる。対策実施個所５０１、発生しうる脅威イベント一覧５０２、攻撃手順５０３、対策要件５０４、対応結果５０５の各項目の意義は、適用対象が産業クラスタ全体に共通のものなのか、組織固有のものなのかの違いがあるだけで、図４に示したクラスタ共通ベースライン要件一覧データ１２３における対策実施個所４０１、発生しうる脅威イベント一覧４０２、攻撃手順４０３、対策要件４０４、対応結果４０５の各項目の意義と同様である。なお、対応結果５０５は、この要件を適用した組織の実施結果を記録する。
【００３５】
組織間連携要件一覧データ１２５は、産業クラスタの組織Ａ〜Ｎ１０４において、システム上の機能の連携に関したセキュリティ項目に対応する対策を一覧としてまとめたデータであり、図６に示されるように、平均リスク値６０１、連携箇所６０２、連携要件６０３、対応結果６０４の各項目がある。システム上の機能の連携とは、ある組織が中継サーバを介して、他の組織のサーバとデータとやり取りする場合が考えられる。組織間連携要件一覧データ１２５は、組織Ａ〜Ｎ１０４の連携数分作成される。図６に示される例は、組織Ａ−Ｂ間の連携に関するデータである。
【００３６】
平均リスク値６０１は、個別リスク分析部１１０が算出した組織Ａ、Ｂの各組織の平均リスク値であり、以下の（式１）で求めることができる。なお、平均リスク値は、もし連携先の組織が不明な場合は、予測値を利用する、この予測値の算出方法として、例えば、産業クラスタ全体に所属する組織の平均リスク値の中からもっとも高いものを用いるなどの方法が考えられる。
【００３７】
【数１】
2019021161.tif 000003
【００３８】
ここで、ｒ（ｄｅｖｉ）は、組織のｉ番目の機器ｄｅｖｉに対するリスク値であり、Ｎは、その組織の機器の個数である。
リスク値とは、セキュリティを定量的に評価するための値であり、様々な算出方法がありうるが、ここでは、国際的に標準的な規格とされている共通脆弱評価システムＣＶＳＳ（Common Vulnerability Scoring System）による以下の（式２）のリスクの評価を採用することにする。
【００３９】
リスク値＝((0．6×影響度)＋(0．4×攻撃容易性)−1．5)×ｆ（影響度）…（式２）
ここで、ｆ（影響度）は、影響度が０の場合には、０、影響度が０以外の場合には、１．１７６と定義する。
【００４０】
また、影響度は、以下の（式３）で定義する。  
影響度＝10．41×(1−(1−機密性の値)×(1−完全性の値)×(1−可用性の値))…(式３)
【００４１】
攻撃容易性は、攻撃元区分（脆弱性のあるシステムをどこから攻撃可能であるかを評価する値）、攻撃条件の複雑さ（脆弱性のあるシステムを攻撃する際に必要な条件の複雑さを評価する値）、攻撃前の認証要否（脆弱性を攻撃するために対象システムの認証が必要であるか否かを評価する値）から以下の（式４）により計算される。  
攻撃容易性＝２０×攻撃元区分×攻撃条件の複雑さ×攻撃前の認証要否…（式４）
【００４２】
機密性の値は、脆弱性を攻撃された際に、対象システム内の機密情報が漏えいする可能性を評価する値である。完全性の値は、脆弱性を攻撃された際に、対象システム内の情報が改ざんされる可能性を評価する値である。可用性の値は、脆弱性を攻撃された際に、対象システム内の業務が遅延・停止する可能性を評価する値である。
【００４３】
連携箇所６０２の項目は、組織Ａ、Ｂが各々どこで連携するかを示している。この例では、共に生産計画サーバが他の組織の接続点とすることを示している。連携要件６０３は、組織Ａ、Ｂがそれぞれ他の組織と連携するとき、どのよう形態で連携すべきかを示している。この例では、共に直接連携（生産計画サーバで他の組織と接続）することを示している。対応結果６０４は、組織Ａ、Ｂそれぞれがどのように連携することになったかの結果を示している。この例では、組織Ａの生産計画サーバ、中継サーバ経由で他の組織と接続することになったことを示している。
【００４４】
リスク分析参照データ１１２は、産業クラスタの組織Ａ〜Ｎ１０４に関してリスク分析をするにあたり、参照されるデータと想定される脅威を格納するデータであり、図７に示されるように、識別子７０１、影響レベル７０２、攻撃容易性７０３、適用条件７０４、脅威７０５の各項目を有する。
【００４５】
各識別子７０１は、脅威パターンを一意に識別するための識別子である。影響レベル７０２は、該当する脅威パターンに関する脅威が発生した場合に、機密性、完全性、可用性のセキュリティ主要観点でどのような影響があるかを示しており、０．０〜１．０の値が割り振られる。攻撃容易性７０３は、（式４）で表されるシステムへの攻撃容易性を示している。適用条件７０４は、どのような攻撃者（人的）がどのタイプの機器を攻撃するかを示している。図７に示された例の識別子７０１が「１」のレコードでは、外部者がＮＷ（NetWork）機器を攻撃する例を示している。脅威７０５は、各脅威パターンでどのような脅威が想定されるかの具体的な内容を示している。
【００４６】
システム連携方針一覧データ１１８は、産業クラスタに属する組織Ａ〜Ｎ１０４の組織間の連携に関する方針を示すデータであり、図８に示されるように、平均リスク値差９０１、他システム連携推奨要件９０２、追加要件９０３の各項目を有する。平均リスク値差９０１は、連携する組織Ａ〜Ｎ１０４間の平均リスク値差を示している。この平均リスク値差９０１は、各組織の連携部分の対策を策定する際に、このシステム連携方針一覧データ１１８から該当する情報を参照するために利用される。すなわち、組織間で平均リスク値の差があるときには、その状況に応じて、セキュリティに関する連携の方針を定めるべきという発想である。他システム連携推奨要件９０２は、平均リスク値差に応じて実施すべき対策の説明文を記載する項目である。追加要件９０３は、対策を実施する場合に必要となる連携先組織が追加で実施すべき要件が記載されている。
【００４７】
脅威−対策情報データ１１９は、システムに対して発生しうる脅威に対してその対策を示すデータであり、図９に示されるように発生しうる脅威イベント一覧１００１、攻撃手順１００２、対策要件一覧１００３の各項目を有する。
【００４８】
発生しうる脅威イベント一覧１００１は、リスク分析結果の脅威一覧と対応付けて該当する対策を検索するために用いられる。攻撃手順１００２は、この脅威イベントを引き起こす攻撃手順を示している。対策要件一覧１００３は、この攻撃手順を防ぐためのセキュリティ要件の名称一覧を示している。
【００４９】
対策出力文章情報データ１２０は、対策要件に対してどのような文章を対策のための文章として用いるかを検索するためのデータであり、図１０に示されるように、識別子１１０１、対策要件名１１０２、対策内容文字列１１０３、関連規格１１００４の各項目を有する。
【００５０】
識別子１１０１は、対策内容文字列を識別する識別子を表す項目である。  
対策要件名１１０２は、図９に示した脅威−対策情報データ１１９の対策要件一覧１００３の要件一覧の各要件と対応する対策要件名である。対策内容文字列（回答率別）１１０３は、セキュリティ状況確認チェックリスト（ＣＬ）１０２の回答率に応じて、組織へ提示する文章が格納されている。この文章は、回答率が高いほど、その組織におけるセキュリティ対応力が高いと判断し、高度かつ専門的な対策内容説明文章を提示する形態をとる。回答率が低い組織のための説明としては、高度な専門用語を使わず、ていねいで分かりやすく具体的な対策を示した説明文にすることを心がける。関連規格１１０４は、各種セキュリティ関連文書群から要件に対応する要件を対応付けるために利用する。
【００５１】
これにより複数の関連文書から横断的に該当するセキュリティ要件を参照することが可能となる。
【００５２】
次に、図１１ないし図１３を用いて本実施形態のセキュリティ設計支援システムの処理について説明する。
先ず、図１１を用いてセキュリティ設計支援システムにおいて、リスク分析から対策を立案するまでの一連の処理を説明する。
【００５３】
セキュリティ担当者１０１と組織Ａ〜Ｎ１０４がセキュリティ状況確認チェックリスト（ＣＬ）１０２を用いて、組織担当者に組織Ａ〜Ｎ１０４のセキュリティ状態を確認し、ＣＬ回答Ａ〜Ｎ１０８を作成する（ステップ２０１）。
次に、ステップ２０１で作成したシステム構成情報データ１０７、回答済みＣＬをセキュリティ設計支援装置１０９の個別リスク分析部１１０へ入力する（ステップ２０２）。
【００５４】
次に、個別リスク分析部１１０が組織Ａ〜Ｎ１０４の各組織のリスク分析を実施する（ステップ２０３）。
【００５５】
次に、各組織のシステム構成情報データ１０７、ＣＬ回答１０８、分析結果データ１１１と平均リスク値を対策情報生成部１１３へ入力する（ステップ２０５）。
次に、対策情報生成部１１３が連携組織間リスク値差分計算を実施する、この処理は、システム構成情報データと分析結果データから組織間連携個所とリスク値差分を計算する（ステップ２０６）。
【００５６】
次に、ステップ２０６の計算結果に基づき、ベースライン要件出力部１１５で、リスク値とＣＬ回答結果から産業クラスタで共通するセキュリティ要件を選定する（ステップ２０７）。
次に、ステップ２０７の結果に基づき、各組織で追加に実施すべき要件を選定する（ステップ２０８）。
【００５７】
次に、ステップ２０８までの結果に基づき、システム間連携部分で必要となる対策について選定する（ステップ２０９）。
次に、ステップ２０９までの結果に基づき、クラスタ共通ベースライン要件一覧データ１２３、組織個別要件一覧データ１２４、組織間連携要件一覧データ１２５を出力する（ステップ２１０）。
【００５８】
次に、出力した三つの要件をセキュリティ担当者１０１へ通知する（ステップ２１１）。
次に、セキュリティ担当者１０１が各組織の組織担当者と相談し、適用可能な要件を適用する（ステップ２１２）。
次に、セキュリティ担当者１０１が組織Ａ〜Ｎ１０４への要件適用結果を回答および対応実績格納データ１２１へ格納する（ステップ２１３）。
【００５９】
次に、再分析実施判断部１２２が回答および対策実績データ１２１の内容に基づき、再分析実施を判断し、もし実施が必要と判断した場合は、個別リスク分析部１１０へ再分析を指示する（ステップ２１４）。
【００６０】
なお、再分析の実施の判断は、例えば、セキュリティ設計支援装置１０９が出力したセキュリティ要件を一部適用できない組織があった場合にその組織についてのみ個別リスク分析部１１０を実施する方法が考えられる。
【００６１】
次に、図１２を用いて個別リスク分析部１１０の処理について説明する。  
個別リスク分析部１１０の処理は、セキュリティ状況確認チェックリスト（ＣＬ）１０２とシステム構成情報データ１０７を個別リスク分析部１１０へ入力することで処理が開始される。
【００６２】
先ず、入力されたシステム構成情報データ１０７から想定される攻撃対象機器とそれらの機器の通信経路から攻撃経路一覧を算出する（ステップ１１１１）。
次に、攻撃経路ごとに想定される脅威一覧を、リスク分析参照データ１１２を参照し作成する（ステップ１１１２）。
次に、ステップ１１１２で作成した脅威一覧へ対応する対策一覧を脅威−対策情報データ１１９から検索して、該当する対策一覧を抽出したのち、ＣＬ回答結果１０８から実施済み対策を抽出して対応付け、該当する対策を削除することで、各組織が実施できていない対策一覧を抽出する（ステップ１１１３）。
【００６３】
次に、ＣＬ回答結果１０８の各コメント３０８の欄の文字列を形態素解析し、各キーワードが脅威−対策情報データ１１９の発生しうる脅威イベント一覧１００１の文字列に含まれるか検索し、その部分と一致する場合は、該当脅威が存在すると判断して、脅威一覧に追加し、再度ステップ１１１３を実施する（ステップ１１１４）。
【００６４】
次に、リスク分析参照データ１１２を参照し、攻撃経路と脅威一覧に対して個別にリスク値を算出する（ステップ１１１５）。
次に、攻撃経路ごとに算出した個別のリスク値から、組織の平均リスク値を算出する（ステップ１１１６）。
次に、システム構成情報データ１０７から他システム接続点を抽出する（ステップ１１１７）。
【００６５】
ただし接続点において、接続先システムが不明な場合は、もっともリスク値が高いと定めるか、本分析の時点で不明としておき、システム間連携差分処理部１１４において、もっとも高い平均リスク値を接続先のリスク値として仮定するなどの方法が考えられる。
【００６６】
次に、以上の処理結果に基づき、分析結果データを生成する（ステップ１１１８）。
分析結果データには、システム構成情報、ＣＬ回答結果、攻撃経路パターン、脅威一覧、他システムとの接続点情報が含まれる。
次に、すべての組織に対して処理が完了したかを確認し（ステップ１１１９）、完了していれば、処理を完了し、未完了ならステップ１１１３に戻る。
【００６７】
次に、図１３を用いて対策情報生成部１１３の処理について説明する。
先ず、システム間連携差分処理部１１４が個別リスク分析部１１０から複数の組織の分析結果群を受け取る（ステップ１２０１）。
【００６８】
次に、分析結果群から各組織のシステム間接続点を抽出する（ステップ１２０２）。ここで接続点が不明な場合は、接続先のリスク値を前述の通り仮定した値で処理を実施することに定める。
【００６９】
次に、各接続点における平均リスク値差を計算する（ステップ１２０３）。
次に、ステップ１２０３で作成した平均リスク値差情報に基づき、組織ごとのリスク差情報一覧を生成する（ステップ１２０４）。
次に、接続点と組織ごとの平均リスク差一覧を組織間連携要件出力部１１７へ通知する（ステップ１２０５）。
次に、組織毎に脅威一覧と対策を紐付ける（ステップ１２０６）。
次に、ステップ１２０５で受信した情報とシステム連携方針データ１１８を参照し、組織ごとに出力する連携要件を選定する（ステップ１２０７）。
次に、ステップ１２０８で対応付けた結果を出力に整形するため、ベースライン要件出力部１１５と組織個別追加要件出力部１１６へ通知する（ステップ１２０８）。
【００７０】
次に、ステップ１２０７で策定した連携要件を、組織個別追加要件出力部１１６へ通知する（ステップ１２０９）。
【００７１】
次に、ステップ１２０８で受信した情報に基づき、全ての組織で共通する対策項目一覧を抽出する（ステップ１２１０）。
【００７２】
次に、全組織に共通する出力対策一覧を組織個別追加要件出力部１１６へ通知する（ステップ１２１１）。
次に、ステップ１２１１で受信した情報に基づき、追加で組織別に対策すべき一覧を作成する（ステップ１２１２）。
【００７３】
次に、対策出力文章情報データ１２０を参照し、各組織のセキュリティ状況確認チェックリスト（ＣＬ）１０２に対する回答率に応じた対策内容文字列１００６を選定する（ステップ１２１３、１２１４）。
次に、ステップ１２１３の処理結果に基づき、クラスタ共通ベースライン要件一覧データ１２３を作成し、出力する（ステップ１２１５）。
次に、ステップ１２１４の処理結果に基づき、組織毎の組織個別要件一覧データ１２４を作成し、出力する（ステップ１２１５）。
次に、ステップ１２０７の処理結果に基づき組織間連携要件一覧データ１２５を作成し、出力する（ステップ１２１７）。
【００７４】
なお、本発明は、上記の実施形態に限定されるものではなく、その要旨の範囲内で様々な変形が可能である。
【００７５】
例えば、組織Ａ〜Ｎ１０５の各システムとセキュリティ設計支援装置１０９を連携させておき、組織間の連携先が変化した時点で、再度リスク分析を実施する手順が考えられる。
【００７６】
また、対策一覧データ１３０で出力する対策の一つとして連携先データにデータの信頼度をタグ付けさせるという対策を含める出力方法が考えられる。
【００７７】
また個別リスク分析部１１０が出力する分析結果データＡ〜Ｎ１１１の分析量が多量になる場合に、リスク値が一定の箇所以上についてのみ、より粒度を上げて分析することにより、分析結果データの分量を抑えつつ、重要な箇所の分析量に対しては精度を保つようにして、分析結果データを削減する方法が考えられる。
【符号の説明】
【００７８】
１０１…セキュリティ担当者、１０２…セキュリティ状況確認チェックリスト（ＣＬ）、１０３…産業クラスタ、１０４…組織Ａ〜Ｎ、１０５…システムＡ〜Ｎ、１０７…システム構成情報データ、１０８…ＣＬ回答Ａ〜Ｎ、１０９…セキュリティ設計支援装置、１１０…個別リスク分析部、１１１…分析結果データ、１１２…リスク分析参照データ、１１３…対策情報生成部、１１４…システム間連携差分処理部、１１５…ベースライン要件出力部、１１６…組織個別追加要件出力部、１１７…組織間連携要件出力部、１１８…システム連携方針データ、１１９…脅威−対策情報データ、１２０…対策出力文章情報データ、１２１…回答および対策実績データ、１２２…再分析実施判断部、１２３…クラスタ共通ベースライン要件一覧データ、１２４…組織個別要件一覧データ、１２５…組織間連携要件一覧データ
【図１】
2019021161.tif 000004
【図２】
2019021161.tif 000005
【図３】
2019021161.tif 000006
【図４】
2019021161.tif 000007
【図５】
2019021161.tif 000008
【図６】
2019021161.tif 000009
【図７】
2019021161.tif 000010
【図８】
2019021161.tif 000011
【図９】
2019021161.tif 000012
【図１０】
2019021161.tif 000013
【図１１】
2019021161.tif 000014
【図１２】
2019021161.tif 000015
【図１３】
2019021161.tif 000016