(57)【要約】      （修正有）【課題】リスクへの対応方針を決定する情報処理装置、リスク評価方法、及び、プログラムを提供する。【解決手段】リスク評価装置１００は、変換ルール記憶部１４０、及び、分布変換部１２０を含む。変換ルール記憶部１４０は、リスク影響要因の分布をリスク値の分布に変換するための変換ルールを記憶する。分布変換部１２０は、変換ルールに基づいて、評価対象に係るリスク影響要因の分布をリスク値の分布に変換し、出力する。【選択図】図１
2015219836.tif 000002
【特許請求の範囲】
【請求項１】
リスク影響要因の分布をリスク値の分布に変換するための変換ルールを記憶する、変換ルール記憶手段と、
前記変換ルールに基づいて、評価対象に係る前記リスク影響要因の分布を前記リスク値の分布に変換し、出力する、分布変換手段と、
を備えた情報処理装置。
【請求項２】
さらに、前記リスク値の分布の形状に応じて、前記評価対象に係るリスクに対する対応方針を決定し、出力する、対応決定手段を備えた、
請求項１に記載の情報処理装置。
【請求項３】
前記変換ルールは、前記リスク影響要因の分布を入力とし、前記リスク値の分布を出力とするベイジアンネットワークである、
請求項１または２に記載の情報処理装置。
【請求項４】
前記リスク影響要因は、前記評価対象における、セキュリティ対策の実施状況、または、保有する情報資産のセキュリティレベルである、
請求項１乃至３のいずれか記載の情報処理装置。
【請求項５】
前記リスク影響要因は、前記評価対象におけるセキュリティ対策の実施状況であり、
前記ベイジアンネットワークは、前記セキュリティ対策の実施状況の分布を表す対策ノード、前記対策ノードと条件付き確率で関連付けられた、インシデントレベルの分布を表すインシデントノード、及び、前記インシデントノードと条件付き確率で関連付けられた、前記リスク値の分布を表すリスクノードを含む、
請求項２に記載の情報処理装置。
【請求項６】
さらに、前記評価対象に係る前記リスク影響要因を収集し、前記リスク影響要因の分布を生成する、入力分布生成手段を備えた、
請求項１乃至５のいずれかに記載の情報処理装置。
【請求項７】
前記入力分布生成手段は、前記評価対象のシステムに含まれるコンピュータのユーザから、前記リスク影響要因を収集し、集計することにより、当該評価対象のシステムの前記リスク影響要因の分布を生成する、
請求項６に記載の情報処理装置。
【請求項８】
前記入力分布生成手段は、前記評価対象のシステムに含まれるコンピュータから、当該コンピュータにおいて取得された前記リスク影響要因を収集し、集計することにより、当該評価対象のシステムの前記リスク影響要因の分布を生成する、
請求項６に記載の情報処理装置。
【請求項９】
リスク影響要因の分布をリスク値の分布に変換するための変換ルールを記憶し、
前記変換ルールに基づいて、評価対象に係る前記リスク影響要因の分布を前記リスク値の分布に変換し、出力する、
リスク評価方法。
【請求項１０】
コンピュータに、
リスク影響要因の分布をリスク値の分布に変換するための変換ルールを記憶し、
前記変換ルールに基づいて、評価対象に係る前記リスク影響要因の分布を前記リスク値の分布に変換し、出力する、
処理を実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置、リスク評価方法、及び、プログラムに関する。
【背景技術】
【０００２】
近年、情報漏えいやウィルス感染、運用ミスによるシステム停止など、様々なセキュリティインシデントが報告されている。セキュリティインシデントが発生すると、事業の停止による損失や、社会的な信用の低下により、企業の利益やその存続に大きな影響を与える。したがって、企業を存続させるために、このようなセキュリティインシデントを評価し、対策を行うことが求められる。
【０００３】
このようなセキュリティインシデントを評価する技術の一例が、特許文献１、及び、特許文献２に記載されている。
【０００４】
特許文献１に記載の技術は、資産のデータベース、脅威のデータベース、及び、対策のデータベースをもとに、インシデントへの対策ごとに、対策の度合を算出する。
【０００５】
特許文献２に記載の技術は、脅威の情報、対策の情報、及び、システムの構成情報をもとに、そのシステムのリスクのスコアを算出する。スコアは、木構造を有する脅威の情報や対策の情報をもとにorまたはmax演算子を用いて生成された、対策の脅威に対する有効性を示す計算式により算出される。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】国際公開第２０１０／０７４０９３号
【特許文献２】特開２００９−１４００４１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
上述の特許文献１や特許文献２に記載の技術では、リスクへの対応方針を決定できないという問題がある。その理由は、特許文献１や特許文献２に記載の技術では、リスクの度合いやスコア（リスク値）が単なるスカラー値として出力されるためである。これらの技術では、リスクの度合いが、常にそのリスク値であるのか、それとも確率的に大きなリスク値となり、被害が大きくなる可能性があるかといった情報は提供されない。
【０００８】
例えば、リスク値として予想損失金額である１００万円が提示されるものの、予想損失金額が常に１００万円か、平均が１００万円であって、少ない確率で１億円になる可能性があるかといった情報は提供されない。
【０００９】
会社の経営者等は、前者であればリスクの保有、後者であればリスク移転（例えば、保険をかける）等、リスクへの対応方針を決定しなければならない。
【００１０】
本発明の目的は、上述した課題を解決し、リスクへの対応方針を決定可能な、情報処理装置、リスク評価方法、及び、プログラムを提供することである。
【課題を解決するための手段】
【００１１】
本発明の情報処理装置は、リスク影響要因の分布をリスク値の分布に変換するための変換ルールを記憶する、変換ルール記憶手段と、前記変換ルールに基づいて、評価対象に係る前記リスク影響要因の分布を前記リスク値の分布に変換し、出力する、分布変換手段と、を備える。
【００１２】
本発明のリスク評価方法は、リスク影響要因の分布をリスク値の分布に変換するための変換ルールを記憶し、前記変換ルールに基づいて、評価対象に係る前記リスク影響要因の分布を前記リスク値の分布に変換し、出力する。
【００１３】
本発明のプログラムは、コンピュータに、リスク影響要因の分布をリスク値の分布に変換するための変換ルールを記憶し、前記変換ルールに基づいて、評価対象に係る前記リスク影響要因の分布を前記リスク値の分布に変換し、出力する、処理を実行させる。
【発明の効果】
【００１４】
本発明の効果は、リスクへの対応方針を決定できることである。
【図面の簡単な説明】
【００１５】
【図１】本発明の第１の実施の形態の特徴的な構成を示すブロック図である。
【図２】本発明の第１の実施の形態における、リスク評価装置１００の構成を示すブロック図である。
【図３】本発明の第１の実施の形態における、コンピュータにより実現されたリスク評価装置１００の構成を示すブロック図である。
【図４】本発明の第１の実施の形態における、リスク評価装置１００の動作を示すフローチャートである。
【図５】本発明の第１の実施の形態における、対策分布の例を示す図である。
【図６】本発明の第１の実施の形態における、リスク分布の例を示す図である。
【図７】本発明の第１の実施の形態における、変換ルール１４１の例を示す図である。
【図８】本発明の第１の実施の形態における、変換ルール１４１の他の例を示す図である。
【図９】本発明の第１の実施の形態における、変換ルール１４１の他の例を示す図である。
【図１０】本発明の第１の実施の形態における、変換ルール１４１の他の例を示す図である。
【図１１】本発明の第１の実施の形態における、変換ルール１４１の他の例を示す図である。
【図１２】本発明の第１の実施の形態における、状態の確率の算出例を示す図である。
【図１３】本発明の第１の実施の形態における、対応決定ルール１５１の例を示す図である。
【図１４】本発明の第１の実施の形態における、変換ルール１４１の具体例を示す図である。
【図１５】本発明の第１の実施の形態における、収集項目を示すアンケートの例を示す図である。
【図１６】本発明の第１の実施の形態における、対策分布からリスク分布への変換例を示す図である。
【図１７】本発明の第１の実施の形態における、対策分布からリスク分布への他の変換例を示す図である。
【図１８】本発明の第１の実施の形態における、対応方針の出力画面を示す図である。
【図１９】本発明の第２の実施の形態における、リスク評価装置１００の構成を示すブロック図である。
【発明を実施するための形態】
【００１６】
（第１の実施の形態）
本発明の第１の実施の形態について説明する。
【００１７】
ここでは、評価対象のリスクがＩＴ（Information Technology）システム（対象システム）のセキュリティに係るリスクであり、リスクの発生に影響する要因であるリスク影響要因が対象システムにおけるセキュリティ対策の実施状況である場合を例に説明する。
【００１８】
はじめに、本発明の第１の実施の形態の構成を説明する。図２は、本発明の第１の実施の形態における、リスク評価装置１００の構成を示すブロック図である。リスク評価装置１００は、本発明の情報処理装置の一実施形態である。
【００１９】
リスク評価装置１００は、入力分布生成部１１０、分布変換部１２０、対応決定部１３０、変換ルール記憶部１４０、及び、対応決定ルール記憶部１５０を含む。
【００２０】
入力分布生成部１１０は、対象システムを構成する各コンピュータのユーザから収集した、セキュリティ対策の実施状況をもとに、実施状況の確率分布（対策分布）を収集する。
【００２１】
ここで、入力分布生成部１１０は、セキュリティ対策に係る収集項目（セキュリティ対策の種別と実施状況のレベル（対策レベル）の数との組）を、分布変換部１２０から取得する。入力分布生成部１１０は、各ユーザに、例えばアンケート形式で収集項目を提示し、ユーザから、実施状況の入力を受け付ける。そして、入力分布生成部１１０は、収集した実施状況を集計することで、対策分布を生成する。収集項目は１つでも複数でもよい。
【００２２】
なお、入力分布生成部１１０は、収集項目の提示と実施状況の収集を、ＷＥＢページや文書ファイルのような電子的なデータで行ってもよい。また、入力分布生成部１１０は、収集項目の提示を紙媒体で行ってもよい。この場合、入力分布生成部１１０は、各ユーザから紙媒体で収集した実施状況の入力を、管理者等から受け付けてもよい。
【００２３】
入力分布生成部１１０は、実施状況を集計してヒストグラムを生成し、ヒストグラムの面積を１に正規化することにより、対策分布を生成する。
【００２４】
図５は、本発明の第１の実施の形態における、対策分布の例を示す図である。例えば、あるセキュリティ対策について、３段階の対策レベル（０：確実に対策している、１：たまに対策している、２：対策していない）で実施状況が収集され、対策レベル「０」、「１」、「２」の数が、それぞれ、１０、２０、１０であったと仮定する。この場合、入力分布生成部１１０は、図５のような対策分布を生成する。
【００２５】
なお、入力分布生成部１１０は、作成した対策分布を、ユーザが属する組織等の実施状況の入力傾向（バイアス）に応じて、バイアスを打ち消すように補正してもよい。例えば、異なる組織間で実際の実施状況が同じであったとしても、例えば実施状況を謙虚に入力する傾向がある組織では、収集した実施状況が対策していない側にバイアスがかかることがある。反対に、あまりセキュリティを気にしない組織では、収集した実施状況が対策している側にバイアスがかかることがある。このようなバイアスは、例えば、実際の実施状況が既知のセキュリティ対策についての、実際の実施状況とユーザから収集した実施状況との差分から得られる。具体的には、あるセキュリティ対策について、ユーザから収集した実施状況の平均が実際の実施状況の平均よりも１大きい場合、他のセキュリティ対策の対策分布を、その平均が１小さくなるようにシフトする。
【００２６】
分布変換部１２０は、変換ルール記憶部１４０の変換ルール１４１に基づいて、入力分布生成部１１０により生成された対策分布を、リスク値の確率分布（リスク分布）に変換する（リスク分布を生成する）。ここで、リスク値とは、例えば、予想される被害金額や、業務回復までに必要な日数、インシデントにより喪失する顧客数等である。
【００２７】
図６は、本発明の第１の実施の形態における、リスク分布の例を示す図である。例えば、分布変換部１２０は、図６のようなリスク分布を出力する。
【００２８】
本発明の第１の実施の形態では、変換ルール１４１として、ベイジアンネットワークを用いる。ベイジアンネットワークは、確率変数間の依存性をグラフで表し、その関係を条件付き確率で表すモデルである。ベイジアンネットワークでは、ある確率変数の状態に対する他の確率変数の状態の確率を、条件付き確率を用いて推測できる。本発明の第１の実施の形態では、ベイジアンネットワークの入力に対策分布、出力にリスク分布を用いる。
【００２９】
図７、８、９、１０、及び、１１は、本発明の第１の実施の形態における、変換ルール１４１の例を示す図である。
【００３０】
図７は、変換ルール１４１が３層のベイジアンネットワークの場合の例である。図７の変換ルール１４１では、対策分布を表す対策ノード、インシデントのレベル（インシデントレベル）の確率分布（インシデント分布）を表すインシデントノード、及び、リスク分布を表すリスクノードが配置されている。対策ノードとインシデントノードの間では、対策レベルと当該対策レベルに対するインシデントレベルの確率が、条件付き確率としてモデル化される。また、インシデントノードとリスクノードの間では、インシデントレベルと当該インシデントレベルに対するリスク値の確率が条件付き確率としてモデル化される。
【００３１】
また、ベイジアンネットワークは、図８のように、インシデントノードを省いて、対策ノードとリスクノードの２層で構成されていてもよい。また、図９のように、対策ノードやインシデントノードが並列に複数配置、あるいは、図１０のようにリスクノードが並列に複数配置されていてもよい。
【００３２】
さらに、図１１のように、対策ノードやインシデントノードが多段階に配置されていてもよい。これにより、ある対策が複数の対策により構成されることや、あるインシデントが複数のインシデントにより構成されることが表現される。例えば、「内部統制」という対策には、「認証」と「権限管理」の２つの対策が必要であることが、対策ノードの親子関係を用いて表現される。この場合、「内部統制」の対策ノードが子であり、そのノードの親が「認証」の対策ノードと「権限管理」の対策ノードである。また、「暗号化されていないファイルのメールによる誤送信」というインシデントは、「ファイルの暗号化忘れ」と「メール誤送信」の２つのインシデントから構成されることが、インシデントノードの親子関係を用いて表現される。この場合、「暗号化されていないファイルのメールによる誤送信」のインシデントノードが子であり、そのノードの親が「ファイルの暗号化忘れ」のインシデントノードと「メール誤送信」のインシデントノードである。
【００３３】
ここで、ベイジアンネットワークにおける状態の確率の算出方法について説明する。図１２は、本発明の第１の実施の形態における、状態の確率の算出例を示す図である。
【００３４】
ベイジアンネットワークにおけるノード間の条件付き確率は、図１２におけるＣＰＴ（Conditional Probability Table）により記述される。ＣＰＴは、１つまたは複数の親ノードの状態に対する子ノードの状態を、条件付き確率（Ｐ（子ノードの状態｜親ノードの状態））で示した表である。図１２の例では、ノードＹ、Ｚが親ノード、ノードＸが子ノードである。ここで、各ノードの取りうる状態が０と１の場合、親ノードの取りうる状態の組合せは、「Ｙ＝０、Ｚ＝０」、「Ｙ＝０、Ｚ＝１」、「Ｙ＝１、Ｚ＝０」、及び、「Ｙ＝１、Ｚ＝１」の４通りである。ＣＰＴでは、この４通りの場合について、Ｘの各状態の確率が示される。例えば、図１２の例では、「Ｙ＝０，Ｚ＝０」の場合、Ｘ＝０、１の確率Ｐ（Ｘ＝０｜Ｙ＝０，Ｚ＝０）、Ｐ（Ｘ＝１｜Ｙ＝０，Ｚ＝０）は、それぞれ、０．９９、０．０１である。
【００３５】
子ノードのある状態の確率は、親ノードが取りうる状態の確率と、当該親ノードの状態に対する子ノードの当該状態の確率の積を、親ノードが取りうる全状態に対して合計することにより算出される。例えば、Ｘ＝０の確率、及び、Ｘ＝１の確率は、図１２のように、それぞれ、Ｐ（Ｘ＝０）＝０．４９６５、Ｐ（Ｘ＝１）＝０．５０３５と算出される。なお、Ｘの取りうるはＸ＝０、Ｘ＝１の２通りであるため、Ｘ＝１の確率は、Ｐ（Ｘ＝１）＝１−Ｐ（Ｘ＝０）により算出してもよい。
【００３６】
なお、上記の例では、親ノードの数が２であったが、親ノードの数が２を超える場合も、同様に、親ノードが取りうる状態の確率と、当該親ノードの状態に対する子ノードの状態の確率の積を、親ノードが取りうる全状態に対して合計することにより算出できる。
【００３７】
図７のベイジアンネットワークの例では、対策ノードを親ノード、インシデントノードを子ノードとして、このような算出方法を適用することにより、入力された対策分布が、インシデント分布に変換される。さらに、インシデントノードを親ノード、インシデントノードを子ノードとして、インシデント分布が、リスク分布に変換される。
【００３８】
また、分布変換部１２０は、リスク分布において、リスク値の平均とテールの長さ（テール長）を算出する。ここで、テール長としては、リスク分布を正規分布で近似した時の、分散や標準偏差が用いられる。また、テール長として、リスク分布の上位Ｘ％（Ｘはパラメータ。例えば、上位１％や５％。）のリスク値の幅（範囲）を用いてもよい。
【００３９】
変換ルール記憶部１４０は、変換ルール１４１（ＣＰＴを含むベイジアンネットワーク）を記憶する。変換ルール１４１は、管理者等により、予め設定される。変換ルール１４１におけるＣＰＴは、例えば、過去のセキュリティ対策の実施状況とインシデントレベルとの関係や、インシデントレベルとリスク値との関係をもとに算出される。
【００４０】
対応決定部１３０は、対応決定ルール記憶部１５０の対応決定ルール１５１を用いて、分布変換部１２０により変換されたリスク分布をもとに、リスクに対する対応方針を決定し、出力する。ここで、リスクへの対応方針とは、例えば、リスク保有や、リスク移転（対象システムによるインシデントに保険をかける等）、リスク回避（対象システムに係るビジネス撤退等）が用いられる。
【００４１】
対応決定部１３０は、例えば、リスク分布における、リスク値の平均値とテール長とをもとに、対応方針を決定する。
【００４２】
図１３は、本発明の第１の実施の形態における、対応決定ルール１５１の例を示す図である。
【００４３】
対応決定部１３０は、リスク値の平均値に係る所定の閾値とテール長に係る所定の閾値とを用いて、例えば、図１３に示すような対応決定ルール１５１による判定を行い、その結果を出力する。
【００４４】
図１３の例では、以下のように、対応方針が決定される。
【００４５】
１）リスク値の平均値が閾値未満、かつ、テール長が閾値未満の場合、インシデントが発生しても、常にリスク値（例えば被害金額）が小さい。したがって、この場合、対応方針を「リスク保有」に決定する。
【００４６】
２）リスク値の平均値が閾値未満、かつ、テール長が閾値以上の場合、インシデントが発生してもリスク値の平均値は小さいが、まれに、リスク値の大きな（対象システムを運用する組織の運営にインパクトを与える）インシデントが発生する可能性がある。したがって、この場合、対応方針を「リスク移転」に決定する。
【００４７】
３）リスク値の平均値が閾値以上の場合、常にリスク値が大きい。したがって、この場合、対応方針を「リスク回避」に決定する。この場合、テール長に応じて、リスク回避の推薦度が提示されてもよい。
【００４８】
対応決定ルール記憶部１５０は、対応決定ルール１５１を記憶する。対応決定ルール１５１は、管理者等により予め設定される。
【００４９】
なお、リスク評価装置１００は、ＣＰＵ（Central Processing Unit）とプログラムを記憶した記憶媒体を含み、プログラムに基づく制御によって動作するコンピュータであってもよい。
【００５０】
図３は、本発明の第１の実施の形態における、コンピュータにより実現されたリスク評価装置１００の構成を示すブロック図である。リスク評価装置１００は、ＣＰＵ１０１、ハードディスクやメモリ等の記憶手段（記憶媒体）１０２、他の装置等とデータ通信を行う通信手段１０３、キーボード等の入力手段１０４、及び、ディスプレイ等の出力手段１０５を含む。
【００５１】
ＣＰＵ１０１は、入力分布生成部１１０、分布変換部１２０、及び、対応決定部１３０の機能を実現するためのコンピュータプログラムを実行する。記憶手段１０２は、変換ルール記憶部１４０、及び、対応決定ルール記憶部１５０のデータを記憶する。また、また、変換ルール記憶部１４０、及び、対応決定ルール記憶部１５０は、それぞれ個別の記憶媒体でも、１つの記憶媒体によって構成されてもよい。入力手段１０４は、セキュリティ対策の実施状況の入力を受け付ける。出力手段１０５は、リスク値の分布やリスクに対する対応方針を出力する。また、通信手段１０３が、他の装置から、実施状況の入力を受け付ける、あるいは、他の装置へ、リスク値の分布やリスクに対する対応方針を出力してもよい。
【００５２】
次に、本発明の第１の実施の形態の動作を説明する。
【００５３】
図１４は、本発明の第１の実施の形態における、変換ルール１４１の具体例を示す図である。図１４の例では、ベイジアンネットワークに、３つの対策ノード（セキュリティ対策「Ａ」、「Ｂ」、「Ｃ」）、２つのインシデントノード（インシデント「Ａ」、「Ｂ」）、及び、１つのリスクノードが配置されている。セキュリティ対策「Ａ」、「Ｂ」、「Ｃ」は、それぞれ、「アンチウィルス導入」、「私有機器接続禁止」、「暗号化導入」に相当する。各セキュリティ対策（「Ａ」、「Ｂ」、「Ｃ」）の対策レベルは、「０〜１」、「１〜２」、「２〜３」の３段階で指定される。ここで、セキュリティ対策「Ａ（アンチウィルス導入）」については、例えば、対策レベル「０〜１」は、「アンチウィルスが導入済み、ウィルスパターンは最新」を示す。また、対策レベル「１〜２」は、「アンチウィルスが導入済み、ウィルスパターンは最新でない」、対策レベル「２〜３」は、「アンチウィルスが導入されていない」を示す。セキュリティ対策「Ｂ（私有機器接続禁止）」については、対策レベル「０〜１」は、「私有機器を接続しない」を示す。また、対策レベル「１〜２」は、「私有機器をまれに接続することがある」、対策レベル「２〜３」は、「私有機器を常に接続している」を示す。各インシデント（「Ａ」、「Ｂ」）のインシデントレベルは、「０」を「起こらない」、「３」を「重大事故」と定義した場合に、「０〜１」、「１〜２」、「２〜３」の３段階で算出される。リスク値は、「０」を「被害小」、「３」を「被害大」と定義した場合に、「０〜１」から「８〜９」の９段階で算出される。
【００５４】
ここでは、図１４のような変換ルール１４１が、変換ルール記憶部１４０に保存されていると仮定する。また、図１３のような対応決定ルール１５１が、対応決定ルール記憶部１５０に保存されていると仮定する。
【００５５】
図４は、本発明の第１の実施の形態における、リスク評価装置１００の動作を示すフローチャートである。
【００５６】
はじめに、分布変換部１２０は、変換ルール記憶部１４０の変換ルール１４１に基づいて、セキュリティ対策に係る収集項目を特定し、入力分布生成部１１０へ送信する（ステップＳ１０１）。
【００５７】
例えば、分布変換部１２０は、図１４の変換ルール１４１に基づいて、収集項目として、セキュリティ対策「Ａ」−レベル数「３段階」、「Ｂ」−レベル数「３段階」、「Ｃ」−レベル数「３段階」を特定する。
【００５８】
入力分布生成部１１０は、収集項目を、対象システムを構成する各コンピュータのユーザ等に出力する（ステップＳ１０２）。
【００５９】
図１５は、本発明の第１の実施の形態における、収集項目を示すアンケートの例を示す図である。
【００６０】
例えば、入力分布生成部１１０は、収集項目として、図１５のようなアンケートを出力する。
【００６１】
入力分布生成部１１０は、収集項目に対する対策レベルを、ユーザ等から収集する（ステップＳ１０３）。
【００６２】
例えば、入力分布生成部１１０は、アンケートの全回答について、全セキュリティ対策のセキュリティレベルが「０〜１」である回答を受け付ける。
【００６３】
入力分布生成部１１０は、収集した対策レベルをセキュリティ対策ごとに集計し、対策分布を生成する（ステップＳ１０４）。
【００６４】
図１６、図１７は、本発明の第１の実施の形態における、対策分布からリスク分布への変換例を示す図である。
【００６５】
例えば、入力分布生成部１１０は、図１６のように、全セキュリティ対策「Ａ」、「Ｂ」、「Ｃ」について、セキュリティレベル「０〜１」の確率が１００％である、対策分布を生成する。
【００６６】
分布変換部１２０は、変換ルール記憶部１４０の変換ルール１４１に基づいて、対策分布をリスク分布に変換する（ステップＳ１０５）。ここで、分布変換部１２０は、リスク分布における、リスク値の平均とテール長を算出する。
【００６７】
例えば、分布変換部１２０は、セキュリティ対策「Ａ」、「Ｂ」、「Ｃ」の対策分布をもとに、図１６のように、インシデント「Ａ」、「Ｂ」のインシデント分布を算出する。さらに、分布変換部１２０は、インシデント「Ａ」、「Ｂ」のインシデント分布をもとに、図１６のように、リスク分布を算出する。ここで、分布変換部１２０は、リスク値の平均値「０．９０５」、分散（テール長）「±０．８」を算出する。この場合、全セキュリティ対策が対策されているため、リスク分布において、小さいリスク値に分布が集中している。
【００６８】
対応決定部１３０は、対応決定ルール記憶部１５０の対応決定ルール１５１を用いて、リスク分布をもとに、リスクに対する対応方針を決定する（ステップＳ１０６）。
【００６９】
例えば、リスク値の平均値に係る閾値が「１．０」、テール長に係る閾値が「１．０」の場合、図１６におけるリスク値の平均値、テール長は閾値未満である。したがって、対応決定部１３０は、図１３の対応決定ルール１５１を用いて、リスクに対する対応方針を「リスク保有」に決定する。
【００７０】
対応決定部１３０は、対応方針を対象システムの管理者等に出力する（ステップＳ１０７）。
【００７１】
図１８は、本発明の第１の実施の形態における、対応方針の出力画面を示す図である。例えば、対応決定部１３０は、図１８のように、リスク分布、及び、対応方針を含む出力画面を、管理者等に出力する。
【００７２】
なお、分布変換部１２０は、ステップＳ１０５において得られたリスク分布を管理者等に出力し、管理者等が、リスク分布をもとに、リスクへの対応方針を決定してもよい。
【００７３】
また、他の例として、図１７のように、各セキュリティ対策について、対策レベルの分布がばらついた（対策レベル「０〜１」、「１〜２」、「２〜３」の各々の確率が「３３％」である）対策分布が生成されたと仮定する。この場合、分布変換部１２０は、図１７のように、対策分布をリスク分布に変換し、リスク値の平均値「２．７１」、分散（テール長）「±１．３」を算出する。この場合、セキュリティ対策が十分行われていないため、図１６のリスク分布に比べて、分布がリスク値の大きい方向にシフトし、テール長も長くなっている。そして、リスク値の平均値、テール長は閾値以上である。したがって、対応決定部１３０は、図１３の対応決定ルール１５１を用いて、リスクへの対応方針を「リスク回避」に決定する。
【００７４】
以上により、本発明の第１の実施の形態の動作が完了する。
【００７５】
なお、本発明の第１の実施の形態では、評価対象のリスクがＩＴシステム（対象システム）のセキュリティに係るリスクであり、リスク影響要因として対象システムのセキュリティ対策の実施状況を用いた。
【００７６】
しかしながらが、これに限らず、リスク影響要因として、対象システムにおける情報資産のセキュリティレベル等、セキュリティ対策の実施状況以外の他の要因を用いてもよい。
【００７７】
この場合、入力分布生成手段１０１は、例えば、対象システムを構成する各コンピュータのユーザから、コンピュータ上で保有する情報資産のセキュリティレベル（一般情報、秘密情報、極秘情報等）を収集する。そして、入力分布生成手段１０１は、例えば、一般情報の確率が「０．２５」、秘密情報の確率が「０．５」、極秘情報の確率が「０．２５」というような、保有する情報資産のセキュリティレベルの分布（資産分布）を生成する。変換ルール１４１では、資産分布を表す資産ノードとリスクノードとが配置された変換ルール１４１を用いて、資産分布をリスク分布に変換する。
【００７８】
また、評価対象のリスクは、例えば、組織のセキュリティに係るリスク等、ＩＴシステム以外のセキュリティリスクでもよい。
【００７９】
この場合、入力分布生成手段１０１は、例えば、ある組織に属するメンバーから収集したメンバーのセキュリティ対策の状況や、メンバーが保有する資産のセキュリティレベル等を、リスク影響要因として収集し、リスク影響要因の分布を生成する。分布変換手段１０２は、変換ルール１４１を用いて、当該リスク影響要因の分布を、リスク値の分布に変換する。
【００８０】
また、評価対象のリスクは、例えば、システムの故障等、セキュリティ以外のリスクでもよい。
【００８１】
この場合、入力分布生成手段１０１は、例えば、システムの故障に対する予防措置の状況を、リスク影響要因として収集し、リスク影響要因の分布を生成する。分布変換手段１０２は、変換ルール１４１を用いて、当該リスク影響要因の分布を、修理に必要な金額等のようなリスク値の分布に変換する。
【００８２】
また、本発明の第１の実施の形態では、変換ルール１４１としてベイジアンネットワークを用いた。しかしながらが、これに限らず、リスク影響要因の分布をリスク値の分布に変換できれば、変換ルールとして、他の方法を用いてもよい。
【００８３】
次に、本発明の第１の実施の形態の特徴的な構成を説明する。図１は、本発明の第１の実施の形態の特徴的な構成を示すブロック図である。
【００８４】
図１を参照すると、リスク評価装置１００は、変換ルール記憶部１４０、及び、分布変換部１２０を含む。変換ルール記憶部１４０は、リスク影響要因の分布をリスク値の分布に変換するための変換ルール１４１を記憶する。分布変換部１２０は、変換ルール１４１に基づいて、評価対象に係るリスク影響要因の分布をリスク値の分布に変換し、出力する。
【００８５】
本発明の第１の実施の形態によれば、リスクへの対応方針を決定できる。その理由は、分布変換部１２０が、変換ルール１４１に基づいて、評価対象に係るリスク影響要因の分布をリスク値の分布に変換し、出力するためである。管理者等は、リスク値の分布をもとに、リスクへの対応方針を決定できる。
【００８６】
（第２の実施の形態）
次に、本発明の第２の実施の形態について説明する。
【００８７】
本発明の第２の実施の形態においては、入力分布生成部１１０が、セキュリティ対策の実施状況を、対象システムを構成する各コンピュータから収集する点において、本発明の第１の実施の形態と異なる。
【００８８】
はじめに、本発明の第２の実施の形態の構成を説明する。図１９は、本発明の第２の実施の形態における、リスク評価装置１００の構成を示すブロック図である。
【００８９】
リスク評価装置１００は、ネットワーク等により、対象システムを構成する各コンピュータ２００と接続される。
【００９０】
コンピュータ２００は、環境情報収集部２１０を含む。環境情報収集部２１０は、セキュリティ対策の実施状況を取得し、リスク評価装置１００の入力分布生成部１１０へ送信する。ここで、環境情報収集部２１０は、コンピュータ２００の環境（例えば、セキュリティ設定やインストールされているプログラム）を収集することにより、実施状況を取得する。
【００９１】
次に、本発明の第２の実施の形態の動作を説明する。
【００９２】
リスク評価装置１００の入力分布生成部１１０は、対象システムを構成する各コンピュータ２００の環境情報収集部２１０に、セキュリティ対策に係る収集項目（セキュリティ対策の種別と対策レベル数との組）を送信する。
【００９３】
例えば、入力分布生成部１１０は、セキュリティ対策の種別として、「パーソナルファイアウォールの導入有無」、「アンチウィルスの導入有無」、「定義ファイルは最新かどうか」等を送信する。
【００９４】
コンピュータ２００の環境情報収集部２１０は、各セキュリティ対策について実施状況を取得し、リスク評価装置１００の入力分布生成部１１０へ送信する。ここで、環境情報収集部２１０は、コンピュータ２００上のファイルやレジストリをスキャンして、各セキュリティ対策の実施状況を取得する。
【００９５】
以降、本発明の第１の実施形態と同様に、入力分布生成部１１０が、実施状況を集計し、対策分布を生成する。そして、分布変換部１２０が、変換ルール１４１に基づいて、対策分布をリスク分布に変換する。
【００９６】
以上により、本発明の第２の実施の形態の動作が完了する。
【００９７】
本発明の第２の実施の形態によれば、対象システムを構成する各コンピュータのユーザに、実施状況を入力させることなく、対象システムのリスクを評価できる。その理由は、入力分布生成部１１０が、セキュリティ対策の実施状況を、対象システムを構成する各コンピュータ２００の環境情報収集部２１０から収集するためである。
【００９８】
以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
【００９９】
例えば、セキュリティ対策の実施状況を収集する方法として、本発明の第１の実施形態のようなアンケートによる収集と、第２の実施形態のような環境情報収集部２１０による収集の両方を用いてもよい。この場合、例えば、アンケートでは、「飲酒時はＰＣを持ち歩かない」のような、コンピュータの環境からは取得できないセキュリティ対策の実施状況を収集する。また、環境情報収集手段２０１は、「アンチウィルスの導入有無」のような、コンピュータの環境から取得可能なセキュリティ対策の実施状況を収集する。
【符号の説明】
【０１００】
１００    リスク評価装置
１１０    入力分布生成部
１２０    分布変換部
１３０    対応決定部
１４０    変換ルール記憶部
１４１    変換ルール
１５０    対応決定ルール記憶部
１５１    対応決定ルール
２００    コンピュータ
２１０    環境情報収集部
【図１】
2015219836.tif 000003
【図２】
2015219836.tif 000004
【図３】
2015219836.tif 000005
【図４】
2015219836.tif 000006
【図５】
2015219836.tif 000007
【図６】
2015219836.tif 000008
【図７】
2015219836.tif 000009
【図８】
2015219836.tif 000010
【図９】
2015219836.tif 000011
【図１０】
2015219836.tif 000012
【図１１】
2015219836.tif 000013
【図１２】
2015219836.tif 000014
【図１３】
2015219836.tif 000015
【図１４】
2015219836.tif 000016
【図１５】
2015219836.tif 000017
【図１６】
2015219836.tif 000018
【図１７】
2015219836.tif 000019
【図１８】
2015219836.tif 000020
【図１９】
2015219836.tif 000021