(57)【要約】【課題】情報資産の価値を客観的に設定できるセキュリティリスク分析手法を提供することを目的とする。【解決手段】リスク分析装置１００は、分析対象製品が有する複数の情報資産と、入力された複数の情報資産の少なくともいずれかの情報資産に対して有害なイベントである有害イベントとを入力し、各情報資産に対して、有害な有害イベントを対応付けて、対応付けた有害イベントの数に応じて、各情報資産の価値を決定する。そして、リスク分析装置１００は、決定された価値に基づき、分析対象製品に対する脅威のリスク値を算出する。【選択図】図１
2015106215.tif 000002
【特許請求の範囲】
【請求項１】
分析対象製品が有する複数の情報資産を入力する情報資産入力部と、
前記情報資産入力部が入力した複数の情報資産の少なくともいずれかの情報資産に対して有害なイベントである有害イベントを入力する有害イベント入力部と、
各情報資産について、前記有害イベント入力部が入力した有害イベントのうち、その情報資産に有害な有害イベントを対応付ける対応付部と、
前記対応付部が対応付けた有害イベントの数に応じて、各情報資産の価値を決定する資産価値決定部と、
前記資産価値決定部が決定した価値に基づき、分析対象製品に対する脅威のリスク値を算出するリスク値算出部と
を備えることを特徴とするリスク分析装置。
【請求項２】
前記対応付部は、各情報資産について、特性毎に、有害な有害イベントを対応付け、
前記資産価値決定部は、各情報資産について、前記特性毎に、前記対応付部が対応付けた有害イベントの数に応じて、価値を決定する
ことを特徴とする請求項１に記載のリスク分析装置。
【請求項３】
前記リスク分析装置は、さらに、
前記有害イベントの深刻さを示す深刻度を入力する深刻度入力部
を備え、
前記資産価値決定部は、さらに、前記深刻度入力部が入力した深刻度に応じて、価値を決定する
ことを特徴とする請求項１又は２に記載のリスク分析装置。
【請求項４】
前記リスク分析装置は、さらに、
前記分析対象製品の構成要素に対する脅威の影響の大きさを示す影響度を入力する影響度入力部
を備え、
前記リスク値算出部は、前記資産価値決定部が決定した価値と、前記影響度入力部が入力した影響度とに基づき、分析対象製品に対する脅威のリスク値を算出する
ことを特徴とする請求項１から３までのいずれかに記載のリスク分析装置。
【請求項５】
前記リスク分析装置は、さらに、
有害イベントの雛型を記憶した雛型記憶部
を備え、
前記有害イベント入力部は、前記雛型記憶部が記憶した雛型に基づき、前記有害イベントを入力する
ことを特徴とする請求項１から４までのいずれかに記載のリスク分析装置。
【請求項６】
分析対象製品が有する複数の情報資産を入力する情報資産入力処理と、
前記情報資産入力処理で入力した複数の情報資産の少なくともいずれかの情報資産に対して有害なイベントである有害イベントを入力する有害イベント入力処理と、
各情報資産について、前記有害イベント入力処理で入力した有害イベントのうち、その情報資産に有害な有害イベントを対応付ける対応付処理と、
前記対応付処理で対応付けた有害イベントの数に応じて、各情報資産の価値を決定する資産価値決定処理と、
前記資産価値決定処理で決定した価値に基づき、分析対象製品に対して発生する脅威に対するリスク値を算出するリスク値算出処理と
をコンピュータに実行させることを特徴とするリスク分析プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、製品やシステムにおけるセキュリティリスク分析を行う技術に関する。
【背景技術】
【０００２】
製品のセキュリティ設計を行うためには、まず、製品に実装するセキュリティ対策を明らかにする必要がある。そのため、セキュリティリスク分析を行い、対策すべきセキュリティ脅威やそのリスクを明確にする必要がある。
【０００３】
特許文献１には、セキュリティリスク分析手法について記載されている。特許文献１では、まず、分析対象製品において保護すべき情報資産を明確にする。情報資産には、個人情報等の情報やその情報に関連する機能が含まれる。次に、分析対象製品において情報資産に対して想定される脅威を明確にする。その後、分析対象製品において情報資産の価値と、分析対象製品において脅威が発生する可能性とを用いて、明確にした各脅威のリスク値を求める。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００９−２３０２７８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかし、分析対象製品の情報資産の価値を客観的に設定することは困難であった。
例えば、特許文献１では情報資産の機密性、完全性、可用性の観点で、０から３の４段階で価値を分析者が設定している。しかし、全ての情報資産に対し、価値を客観的に設定することは、分析経験がない分析者には非常に困難であった。
この発明は、情報資産の価値を客観的に設定できるセキュリティリスク分析手法を提供することを目的とする。
【課題を解決するための手段】
【０００６】
この発明に係るリスク分析装置は、
分析対象製品が有する複数の情報資産を入力する情報資産入力部と、
前記情報資産入力部が入力した複数の情報資産の少なくともいずれかの情報資産に対して有害なイベントである有害イベントを入力する有害イベント入力部と、
各情報資産について、前記有害イベント入力部が入力した有害イベントのうち、その情報資産に有害な有害イベントを対応付ける対応付部と、
前記対応付部が対応付けた有害イベントの数に応じて、各情報資産の価値を決定する資産価値決定部と、
前記資産価値算出部が決定した価値に基づき、分析対象製品に対する脅威のリスク値を算出するリスク値算出部と
を備えることを特徴とする。
【発明の効果】
【０００７】
この発明に係るリスク分析装置では、各情報資産に対応付けられた有害イベントの数に応じて、各情報資産の価値を決定し、算出した価値に基づきリスク値を算出する。そのため、分析経験がない分析者であっても、容易に各情報資産の価値を決定し、リスク分析を行うことが可能である。
【図面の簡単な説明】
【０００８】
【図１】実施の形態１に係るリスク分析装置１００の構成図。
【図２】実施の形態１に係るリスク分析装置１００の動作を示すフローチャート。
【図３】雛型３２を示す図。
【図４】資産イベント対応表４１を示す図。
【図５】図４に示す資産イベント対応表４１に基づき、情報資産のセキュリティ特性毎に、対応する有害イベントの数をカウントした結果を示す図。
【図６】情報資産の価値に対応するイベント数を定義した例を示す図。
【図７】資産価値表４２を示す図。
【図８】情報資産の価値に対応するイベント数を定義した例を示す図。
【図９】実施の形態２に係るリスク分析装置１００の構成図。
【図１０】実施の形態２に係るリスク分析装置１００の動作を示すフローチャート。
【図１１】有害イベントに対して入力された深刻度を示す図。
【図１２】資産イベント対応表４１を示す図。
【図１３】深刻度資産価値対応表３４を示す図。
【図１４】資産価値表４２を示す図。
【図１５】実施の形態３に係るリスク分析装置１００の動作を示すフローチャート。
【図１６】深刻度資産価値対応表３４を示す図。
【図１７】資産価値表４２を示す図。
【図１８】実施の形態４に係るリスク分析装置１００の構成図。
【図１９】実施の形態４に係るリスク分析装置１００の動作を示すフローチャート。
【図２０】脅威情報３３を示す図。
【図２１】対象毎に特定された脅威を示す図。
【図２２】情報資産に対して計算されたリスク値を示す図。
【図２３】構成要素に対して計算されたリスク値を示す図。
【図２４】実施の形態１〜４に示したリスク分析装置１００のハードウェア構成の例を示す図。
【発明を実施するための形態】
【０００９】
実施の形態１．
図１は、実施の形態１に係るリスク分析装置１００の構成図である。
リスク分析装置１００は、入力部１０、リスク分析部２０、共通情報記憶部３０、分析情報記憶部４０を備える。
【００１０】
入力部１０は、分析者とのマンマシンインタフェースである。入力部１０は、情報資産入力部１１、有害イベント入力部１２、対応付部１３を備える。
情報資産入力部１１は、分析対象製品の情報資産を入力する。有害イベント入力部１２は、有害なイベントである有害イベントを入力する。対応付部１３は、情報資産入力部１１が入力した各情報資産と、有害イベント入力部１２が入力した有害イベントとを対応付ける。
【００１１】
リスク分析部２０は、入力部１０が入力した情報に基づき、情報資産のリスク分析を行う。リスク分析部２０は、資産価値決定部２１、リスク値算出部２２を備える。
資産価値決定部２１は、対応付部１３が対応付けた有害イベントの数に応じて、各情報資産の価値を決定する。リスク値算出部２２は、資産価値決定部２１が決定した価値に基づき、分析対象製品に対する脅威のリスク値を算出する。
【００１２】
共通情報記憶部３０は、リスク分析を行うに当たり用いられる共通情報を記憶する記憶装置である。共通情報記憶部３０は、有害イベント情報３１、雛型３２、脅威情報３３を記憶する。
有害イベント情報３１は、過去に入力された有害イベントを示す情報である。雛型３２は、分析者が有害イベントを入力する際に利用される雛型である。脅威情報３３は、分析対象製品に対して発生する各脅威の発生可能性と、各脅威が影響する範囲とを示す情報である。
【００１３】
分析情報記憶部４０は、リスク分析を行った結果や途中経過の情報を記憶する記憶装置である。分析情報記憶部４０は、資産イベント対応表４１、資産価値表４２を記憶する。
資産イベント対応表４１は、情報資産と有害イベントとを対応付けた表である。資産価値表４２は、各情報資産についての資産価値を示す表である。
【００１４】
図２は、実施の形態１に係るリスク分析装置１００の動作を示すフローチャートである。
ここでは、リスク分析の対象（分析対象製品）として車載機器システムを用いた例を説明する。リスク分析の対象は車載機器システムに限らず、他の製品やシステムであってもよい。
【００１５】
まず、情報資産入力部１１は、分析対象製品の情報資産を入力する（Ｓ１０１）。情報資産には、個人情報等の情報やその情報に関連する機能が含まれる。ここでは、情報資産として、プログラム、パラメータ、センサ情報、コマンドが入力されたとする。
【００１６】
次に、有害イベント入力部１２は、有害イベントを入力する（Ｓ１０２〜Ｓ１０５）。有害なイベントは、分析対象製品における不都合なイベントであり、セキュリティに関係するイベントも、セキュリティに関係しないイベントも含まれる。
まず、有害イベント入力部１２は、過去のデータを流用して、有害イベントを入力するか否かを選択する（Ｓ１０２）。過去のデータを流用する場合（Ｓ１０２でＹＥＳ）、有害イベント入力部１２は、共通情報記憶部３０が記憶した有害イベント情報３１を読み出し、読み出した有害イベント情報３１を入力する（Ｓ１０３）。なお、有害イベント入力部１２は、読み出した有害イベント情報３１が示す全ての有害イベントを入力せず、一部の有害イベントを選択して入力してもよい。一方、過去のデータを流用しない場合（Ｓ１０２でＮＯ）、有害イベント入力部１２は、共通情報記憶部３０が記憶した雛型３２を読み出し（Ｓ１０４）、雛型３２に従い有害イベントを入力する（Ｓ１０５）。なお、有害イベント入力部１２は、雛型３２を用いずに、Ｓ１０５で直接有害イベントを入力してもよい。
【００１７】
図３は、雛型３２を示す図である。
雛型３２には、様々な有害イベントが例示されている。一部の有害イベントは、部分的に伏せ字になっており、リスク分析を行う対象の製品等に応じて、伏せ字部分を変更することで具体的な有害イベントを表すことができるようになっている。このように、有害なイベントの雛型３２を用いることで、有害イベントを効率的に入力でき、分析経験がない分析者でも容易に入力できる。
【００１８】
ここでは、有害イベントとして、ブレーキ不正操作、エンジン不正操作、個人情報漏洩、速度計不正表示、エアコン不正操作が入力されたとする。
【００１９】
次に、対応付部１３は、Ｓ１０１で入力された情報資産と、Ｓ１０３又はＳ１０５で入力された有害イベントとの対応付けを行い、資産イベント対応表４１を生成して、分析情報記憶部４０に記憶する（Ｓ１０６）。
【００２０】
図４は、資産イベント対応表４１を示す図である。
資産イベント対応表４１は、縦軸に情報資産の欄が並び、横軸に有害イベントの欄が並んでいる。特に、情報資産については、機密性、完全性、可用性というセキュリティ特性毎に欄が設けられている。そして、情報資産のセキュリティ特性と有害イベントとが対応する場合には交点に「○」が付され、対応しない場合には「×」が付されている。情報資産のセキュリティ特性と有害イベントとが対応するとは、その情報資産のそのセキュリティ特性が危殆化した場合に有害イベントが発生する可能性があるという意味である。
例えば、図４では、コマンドの機密性と、個人情報漏洩とが対応するとして「○」が付されている。これは、コマンドの機密性が失われた場合、車載機器システムの個人情報漏洩という有害イベントが発生する可能性があることを意味している。この対応付けは、リスク分析の経験がない分析者でも、リスク分析の対象である車載機器システムに知見がある分析者であれば、容易に設定できる。
【００２１】
なお、対応付部１３は、例えば、「○」、「×」が付されていない資産イベント対応表４１を表示装置に表示し、分析者に「○」、「×」を入力させることにより、資産イベント対応表４１を生成してもよい。
【００２２】
次に、資産価値決定部２１は、資産イベント対応表４１に基づき、有害イベント毎に、対応する情報資産のセキュリティ特性の数をカウントする（Ｓ１０７）。資産価値決定部２１は、対応する情報資産のセキュリティ特性の数が０の有害イベントがあるか判定し（Ｓ１０８）、ある場合（Ｓ１０８である）にはその旨を分析者に通知して、処理をＳ１０２に戻す。この際、分析者に有害イベントの再入力が必要か否かを問い、必要な場合に処理をＳ１０２に戻すとしてもよい。
【００２３】
なお、資産価値決定部２１は、各情報資産の全てのセキュリティ特性に対応する有害イベントの数をカウントして、対応する有害イベントの数が０の情報資産がある場合にも、その旨を通知し、処理をＳ１０２に戻すようにしてもよい。
【００２４】
次に、資産価値決定部２１は、資産イベント対応表４１に基づき、情報資産のセキュリティ特性毎に、対応する有害イベントの数をカウントする（Ｓ１０９）。
図５は、図４に示す資産イベント対応表４１に基づき、情報資産のセキュリティ特性毎に、対応する有害イベントの数をカウントした結果を示す図である。
【００２５】
次に、資産価値決定部２１は、Ｓ１０９でカウントした有害イベントの数の最大値を抽出し（Ｓ１１０）、抽出した最大値を用いて、各価値に対応する有害イベントの数を均等に定義する（Ｓ１１１）。
図６は、情報資産の価値に対応するイベント数を定義した例を示す図である。
図６では、情報資産の価値が高、中、低、無の４段階に設定されている。なお、情報資産の価値の高、中、低、無それぞれに、価値を示す値３，２，１，０が割り当てられている。そして、情報資産の価値が無のイベント数が０とされ、価値のレベル１つに対して「（有害イベントの数の最大値−１）／（情報資産の価値の段階数−１）」が割り当てられている。
ここでは、図５において、有害イベントの数の最大値は、プログラムの完全性の「４」である。また、情報資産の価値の段階数は高、中、低、無の「４」である。そのため、価値のレベル１つに対して「（４−１）／（４−１）＝１」が割り当てられている。つまり、価値が低の有害イベント数ｎに１≦ｎ＜２が割り当てられ、価値が中の有害イベント数ｎに２≦ｎ＜３が割り当てられ、価値が高の有害イベント数ｎに３≦ｎ≦４が割り当てられている。
ここでは、価値が高いほど、価値を示す値が大きくなるように設定した。しかし、逆に、価値が高いほど、価値を示す値が小さくなるように設定してもよい。
【００２６】
次に、資産価値決定部２１は、Ｓ１１０で定義した有害イベントの数に応じて、情報資産のセキュリティ特性毎に、価値を決定し、資産価値表４２を生成して、分析情報記憶部４０に記憶する（Ｓ１１２）。
図７は、資産価値表４２を示す図である。
資産価値表４２は、縦軸に情報資産の欄が並び、横軸にセキュリティ特性の欄が並んでいる。そして、交点に、価値を示す値が設定されている。
例えば、プログラムの完全性は、対応する有害イベントの数が４であるので、価値は高（３）となっている。また、コマンドの完全性は対応する有害イベントの数が２であるので、価値は中（２）となっている。
【００２７】
そして、リスク値算出部２２は、Ｓ１１２で決定された情報資産のセキュリティ特性毎の価値に基づき、車載機器システムに対して発生し得る脅威の車載機器システムに対するリスク値を算出する（Ｓ１１３）。
例えば、リスク値算出部２２は、共通情報記憶部３０が記憶した脅威情報３３が示す、車載機器システムに対して発生する各脅威の発生可能性と、各脅威が影響する範囲とを読み出す。そして、リスク値算出部２２は、各脅威について、その脅威の発生可能性と、その脅威が影響する範囲に含まれる各情報資産のセキュリティ特性の価値との積を、その脅威のその情報資産のセキュリティ特性に対するリスク値として算出する。リスク値算出部２２は、各脅威について、算出したリスク値の合計を、その脅威の車載機器システムに対するリスク値として算出する。もちろん、これに限らず、リスク値算出部２２は、他の方法によりリスク値を算出してもよい。
【００２８】
以上のように、実施の形態１に係るリスク分析装置１００では、情報資産に対応する有害イベントの数に応じて、情報資産の価値を決定し、決定した価値に基づき分析対象製品のリスク値を算出する。
分析経験の少ない分析者が情報資産の価値を決定することは困難であるが、実施の形態１に係るリスク分析装置１００を用いれば、分析者は情報資産と有害イベントとを対応付けするだけで、情報資産の価値を決定できる。したがって、分析経験の少ない分析者でも容易にセキュリティリスク分析を行うことが可能である。
【００２９】
なお、上記説明では、情報資産の価値を高、中、低、無の４段階に設定するものとした。しかし、これに限らず５段階や６段階にしてもよい。
【００３０】
また、上記説明では、Ｓ１０９でカウントした有害イベントの数の最大値を用いて情報資産の各価値に対応するイベント数を定義した。しかし、設定した有害イベントの数を用いて情報資産の各価値に対応するイベント数を定義してもよい。
例えば、情報資産の価値のレベル１つに対して「（有害イベントの数−１）／（情報資産の価値の段階数−１）」が割り当てられてもよい。
この場合、図５において、有害イベントの数は５であり、情報資産の価値の段階数は高、中、低、無の「４」であるため、価値のレベル１つに対して「（５−１）／（４−１）＝１．３３」が割り当てられる。つまり、図８に示すように、価値が低のイベント数ｎに１≦ｎ＜２．３３が割り当てられ、価値が中のイベント数ｎに２．３３≦ｎ＜３．６７が割り当てられ、価値が高のイベント数ｎに３．６７≦ｎ≦５が割り当てられる。
【００３１】
実施の形態２．
実施の形態１では、情報資産に対応する有害イベントの数から情報資産の価値を決定した。しかし、有害イベントによって分析対象製品へ与える影響の深刻さが異なる場合がある。実施の形態２では、この深刻さを用いて情報資産の価値を決定する方法について説明する。
実施の形態２では、実施の形態１と同じ部分については説明を省略し、実施の形態１と異なる部分を説明する。
【００３２】
図９は、実施の形態２に係るリスク分析装置１００の構成図である。
図９に示すリスク分析装置１００は、入力部１０が深刻度入力部１４を備え、共通情報記憶部３０が深刻度資産価値対応表３４を記憶する点が図１に示す実施の形態１に係るリスク分析装置１００と異なる。
深刻度入力部１４は、有害イベントの深刻さを示す深刻度を入力する。深刻度資産価値対応表３４は、深刻度毎に情報資産の価値を対応付けた表である。
【００３３】
図１０は、実施の形態２に係るリスク分析装置１００の動作を示すフローチャートである。
ここでは、実施の形態１と同様に、リスク分析の対象として車載機器システムを用いた例を説明する。リスク分析の対象は車載機器システムに限らず、他の製品やシステムであってもよい。
【００３４】
Ｓ２０１からＳ２０５の処理は、図２に示すＳ１０１からＳ１０５の処理と同じである。
Ｓ２０５の処理に続き、深刻度入力部１４は、Ｓ２０５で入力された各有害イベントについて、深刻度を入力する（Ｓ２０６）。ここでは、過去のデータを流用する場合、Ｓ２０３で読み出した有害イベント情報３１が示す各有害イベントには、深刻度が対応付けられているものとしている。しかし、過去のデータを流用した場合にも、入力した各有害イベントについて深刻度を入力するようにしてもよい。
【００３５】
図１１は、有害イベントに対して入力された深刻度を示す図である。
上述した通り、ここではリスク分析の対象を車載機器システムとしている。そこで、図１１では、ウェブサイト（ｈｔｔｐ：／／ｗｗｗ．ｉｐａ．ｇｏ．ｊｐ／ｓｅｃｕｒｉｔｙ／ｖｕｌｎ／ＳｅｖｅｒｉｔｙＬｅｖｅｌ２．ｈｔｍｌ）に基づき、車載機器システムへの影響が非常に大きい「危険」、影響が大きい「警告」、多少影響がある「注意」の３段階で深刻度が設定されている。
深刻度は、分析経験がない分析者でも、分析対象製品に知見があれば容易に設定することができる。
【００３６】
Ｓ２０７からＳ２０９の処理は、図２に示すＳ１０６からＳ１０８の処理と同じである。
【００３７】
図１２は、資産イベント対応表４１を示す図である。
図１２に示す資産イベント対応表４１は、図４に示す資産イベント対応表４１と基本的に同じであるが、各有害イベントについてＳ２０６で入力された深刻度が示されている点が異なる。
【００３８】
Ｓ２０９の処理に続き、資産価値決定部２１は、情報資産のセキュリティ特性毎に、対応する有害イベントのうち最も深刻度の高い有害イベントを特定する（Ｓ２１０）。
例えば、図１２に示すように、プログラムの可用性であれば、「エンジン不正操作」、「速度計不正表示」、「エアコン不正操作」が対応する有害イベントである。そして、各有害イベントの深刻度は、「エンジン不正操作」が危険、「速度計不正表示」が警告、「エアコン不正操作」が注意であるから、最も深刻度が高い「エンジン不正操作」が特定される。
【００３９】
次に、資産価値決定部２１は、深刻度資産価値対応表３４に従い、特定した有害イベントの深刻度に応じて、情報資産の価値を決定し、資産価値表４２を生成して、分析情報記憶部４０に記憶する（Ｓ２１１）。
【００４０】
図１３は、深刻度資産価値対応表３４を示す図である。
深刻度資産価値対応表３４は、深刻度毎に情報資産の価値が対応付けられている。図１３では、深刻度「危険」の情報資産の価値が３、深刻度「警告」の情報資産の価値が２、深刻度「注意」の情報資産の価値が１、深刻度「無」の情報資産の価値が０に対応付けられている。
例えば、上述したプログラムの可用性であれば、Ｓ２１０で特定された有害イベント「エンジン不正操作」の深刻度は「危険」であるため、価値は３になる。また、コマンドの機密性は、図１２に示すように有害イベント「個人情報漏洩」にのみ対応しており、「個人情報漏洩」の深刻度は危険であるので、価値は３になる。
【００４１】
図１４は、資産価値表４２を示す図である。
図１４に示す資産価値表４２は、図７に示す資産価値表４２と同じ構成である。しかし、価値の決定の方法が異なるため、一部の情報資産のセキュリティ特性についての価値が異なっている。
【００４２】
Ｓ２１２の処理は、図２に示すＳ１１３の処理と同じである。
【００４３】
以上のように、実施の形態２に係るリスク分析装置１００では、情報資産に対応する有害イベントの深刻度に応じて、情報資産の価値を決定し、決定した価値に基づき分析対象製品のリスク値を算出する。
分析経験の少ない分析者が情報資産の価値を決定することは困難であるが、実施の形態２に係るリスク分析装置１００を用いれば、分析者は情報資産と有害イベントとを対応付けするだけで、情報資産の価値を決定できる。したがって、分析経験の少ない分析者でも容易にセキュリティリスク分析を行うことが可能である。
【００４４】
なお、上記説明では、共通情報記憶部３０が、深刻度毎に情報資産の価値を対応付けた深刻度資産価値対応表３４を記憶しておき、深刻度資産価値対応表３４に基づき深刻度に応じて情報資産の価値を特定するとした。しかし、入力部１０に別途インタフェースを設け、深刻度毎に情報資産の価値を入力するようにしてもよい。
【００４５】
また、上記説明では、情報資産のセキュリティ特性に対応する有害イベントの深刻度のうち、最も高い深刻度を用いて、価値を決定した。しかし、情報資産のセキュリティ特性に対応する有害イベントの深刻度の平均値を用いて、価値を決定してもよい。また、情報資産のセキュリティ特性に対応する有害イベントの深刻度の平均値に、対応する有害イベントの数で重み付けして、価値を決定してもよい。
【００４６】
実施の形態３．
実施の形態２では、有害イベントの深刻度が危険、警告、注意、無の４段階であり、情報資産の価値が３〜０の４段階である場合について説明した。つまり、実施の形態２では、深刻度の段階数と情報資産の価値の段階数とが同じである場合について説明した。
実施の形態３では、深刻度の段階数と情報資産の価値の段階数とが異なる場合について説明する。情報資産の価値の段階数が多いと細かいレベルでのリスク値が算出できるメリットがある。実施の形態３では、深刻度を４段階のままとし、情報資産の価値を５〜０の６段階とした例を説明する。
実施の形態３では、実施の形態２と同じ部分については説明を省略し、実施の形態２と異なる部分を説明する。
【００４７】
実施の形態３に係るリスク分析装置１００の構成は、図９に示す実施の形態２に係るリスク分析装置１００の構成と同じである。
【００４８】
図１５は、実施の形態３に係るリスク分析装置１００の動作を示すフローチャートである。
ここでは、実施の形態２と同様に、リスク分析の対象として車載機器システムを用いた例を説明する。リスク分析の対象は車載機器システムに限らず、他の製品やシステムであってもよい。
【００４９】
Ｓ３０１からＳ３０９の処理は、図１０に示すＳ２０１からＳ２０９の処理と同じである。
【００５０】
Ｓ３０９に続き、資産価値決定部２１は、情報資産のセキュリティ特性毎に、対応する有害イベントのうち最も深刻度の高い有害イベントの件数をカウントする（Ｓ３１０）。
例えば、図１２に示すように、プログラムの完全性であれば、「エンジン不正操作」、「個人情報漏洩」、「速度計不正表示」、「エアコン不正操作」が対応する有害イベントである。そして、各有害イベントの深刻度は、「エンジン不正操作」が危険、「個人情報漏洩」が危険、「速度計不正表示」が警告、「エアコン不正操作」が注意であるから、最も深刻度が高い深刻度「危険」の「エンジン不正操作」、「個人情報漏洩」がカウントされ、件数は２件となる。
【００５１】
次に、資産価値決定部２１は、深刻度資産価値対応表３４に従い、特定した有害イベントの深刻度に応じて、情報資産の価値を決定し、資産価値表４２を生成して、分析情報記憶部４０に記憶する（Ｓ３１１）。
【００５２】
図１６は、深刻度資産価値対応表３４を示す図である。
深刻度資産価値対応表３４は、深刻度及び件数毎に情報資産の価値が対応付けられている。図１６では、２件以上の深刻度「危険」の情報資産の価値が５、１件の深刻度「危険」の情報資産の価値が４、２件以上の深刻度「警告」の情報資産の価値が３、１件の深刻度「警告」の情報資産の価値が２、件数に関係なく深刻度「注意」の情報資産の価値が１、深刻度「無」の情報資産の価値が０に対応付けられている。
例えば、上述したプログラムの完全性であれば、Ｓ３１０で深刻度「危険」が２件とカウントされるため、価値は５になる。また、センサ情報の機密性は、深刻度「危険」が１件とカウントされるため、価値は４になる。
【００５３】
図１７は、資産価値表４２を示す図である。
図１７に示す資産価値表４２は、図１４に示す資産価値表４２と同じ構成である。しかし、価値の決定の方法が異なるため、一部の情報資産のセキュリティ特性についての価値が異なっている。
【００５４】
Ｓ３１２の処理は、図１０に示すＳ２１２の処理と同じである。
【００５５】
以上のように、実施の形態３に係るリスク分析装置１００では、情報資産に対応する有害イベントの深刻度と件数とに応じて、情報資産の価値を細かく決定し、決定した価値に基づき分析対象製品のリスク値を算出する。
実施の形態１に係るリスク分析装置１００を用いれば、分析者が設定する深刻度の段階数よりも情報資産の価値の段階数を多くすることができるので、分析者への負荷を変えることなく、情報資産の価値をより詳細に設定できる。
【００５６】
実施の形態４．
以上の実施の形態では、情報資産の価値の決定し、分析対象製品のリスク値を算出する方法について説明した。実施の形態４では、さらに、分析対象製品に対する脅威を明確にし、分析対象製品のリスク値を算出する方法について説明する。
実施の形態４では、実施の形態２と同じ部分については説明を省略し、実施の形態２と異なる部分を説明する。
【００５７】
ここで、脅威が影響を与えるものには、分析対象製品の情報資産だけでなく、情報資産に関係する機能も含まれる。例えば、脅威には、分析対象製品のリソースを悪用して、分析対象製品外に影響を与えるものも含まれる。
分析対象製品外のものに関しては、価値を設定することが困難である。そのため、このような分析対象製品外に影響を与える脅威についてのリスク分析を正確に行うことは困難であった。
【００５８】
図１８は、実施の形態４に係るリスク分析装置１００の構成図である。
図１８に示すリスク分析装置１００は、入力部１０が構成要素入力部１５、存在箇所入力部１６、影響度入力部１７を備え、リスク分析部２０が脅威抽出部２３を備える点が図９に示す実施の形態２に係るリスク分析装置１００と異なる。
構成要素入力部１５は、分析対象製品を構成する構成要素と、構成要素の分類（装置、通信路等）とを入力する。存在箇所入力部１６は、情報資産の存在箇所を入力する。影響度入力部１７は、脅威の情報資産以外への影響の大きさを示す影響度を入力する。脅威抽出部２３は、情報資産と情報資産以外とのそれぞれについての脅威を抽出する。
【００５９】
図１９は、実施の形態４に係るリスク分析装置１００の動作を示すフローチャートである。
ここでは、リスク分析の対象としてネットワークシステムを用いた例を説明する。リスク分析の対象はネットワークシステムに限らず、他の製品やシステムであってもよい。
【００６０】
Ｓ４０１の処理は、図１０に示すＳ２０１の処理と同じである。ここでは、情報資産として、個人情報が入力されたとする。
【００６１】
Ｓ４０１の処理に続き、構成要素入力部１５は、分析対象製品を構成する構成要素と、構成要素の分類とを入力する（Ｓ４０２）。ここでは、分析対象製品の構成要素として、サーバＡ、サーバＢ、インターネットが入力されたとする。また、構成要素の分類として、サーバや端末等を表す装置、インターネットや社内ＬＡＮ等を示す通信路を用いて、サーバＡ及びサーバＢは装置、インターネットは通信路が入力されたとする。
なお、構成要素入力部１５は、構成要素を入力するのではなく、分析対象製品のネットワーク構成やシステム構成を示す情報を入力するとしてもよい。そして、リスク分析装置１００が、入力されたネットワーク構成やシステム構成を示す情報から構成要素を特定してもよい。
【００６２】
続いて、存在箇所入力部１６は、Ｓ４０１で入力された情報資産の存在箇所を入力する（Ｓ４０３）。ここでは、サーバＡとインターネットに情報資産である個人情報が存在し、分析対象製品の構成要素であるサーバＢには個人情報は存在しないとする。
なお、存在箇所入力部１６は、情報資産の存在箇所を入力するのではなく、分析対象製品のネットワーク構成やシステム構成における情報資産のフローを入力してもよい。そして、リスク分析装置１００が、入力されたフローに基づき、各情報資産がどこに存在するかを特定してもよい。
【００６３】
Ｓ４０４からＳ４０８の処理は、図１０に示すＳ２０２からＳ２０６の処理と同じである。
【００６４】
Ｓ４０８の処理に続き、脅威抽出部２３は、脅威情報３３から、情報資産についての脅威を第１脅威として抽出するとともに、情報資産以外に対する脅威を第２脅威として抽出する（Ｓ４０９）。
図２０は、脅威情報３３を示す図である。
図２０では、脅威情報３３は、脅威毎に、発生可能性と影響する範囲とを有している。影響する範囲としては、脅威対象が情報資産である場合には、存在箇所とセキュリティ特性とを有し、脅威対象が情報資産以外である場合には構成要素を有している。
具体的には、不正アクセスは、装置に存在する情報資産の機密性、完全性、可用性に対して影響を与え、盗聴は、通信路にある情報資産の機密性に影響を与え、踏み台攻撃は、装置に対して影響を与えることが設定されている。
したがって、ここでは、不正アクセス及び盗聴が第１脅威として抽出され、踏み台攻撃が第２脅威として抽出される。
【００６５】
次に、脅威抽出部２３は、情報資産、セキュリティ特性、存在箇所毎に、Ｓ４０９で抽出した第１脅威を特定するとともに、構成要素毎に、Ｓ４０９で抽出した第２脅威を特定する（Ｓ４１０）。
図２１は、対象毎に特定された脅威を示す図である。
図２１（ａ）では、サーバＡに存在する個人情報の機密性、完全性、可用性に対して、第１脅威である不正アクセスが特定され、インターネットに存在する個人情報の機密性に対して、第１脅威である盗聴が特定されたことが示されている。
図２１（ｂ）では、サーバＡ、サーバＢに対して、第２脅威である踏み台攻撃が特定されたことが示されている。
【００６６】
Ｓ４１１からＳ４１５の処理は、図１０に示すＳ２０７からＳ２１１の処理と同じである。ここでは、個人情報の機密性の価値が３、完全性の価値が２、可用性の価値が１に決定されたとする。
【００６７】
Ｓ４１５の処理に続き、影響度入力部１７は、Ｓ４１０で特定された構成要素、第２脅威毎に、その構成要素に対する第２脅威の影響の大きさを示す影響度を入力する（Ｓ４１６）。ここでは、サーバＡ、サーバＢに対して、踏み台攻撃の影響度は２と入力されたとする。
【００６８】
次に、リスク値算出部２２は、Ｓ４１５で決定された情報資産のセキュリティ特性毎の価値と、Ｓ４１６で入力された影響度とに基づき、脅威のネットワークシステムに対するリスク値を算出する（Ｓ４１７）。
具体的には、図２２に示すように、リスク値算出部２２は、Ｓ４１５で決定された情報資産のセキュリティ特性毎の価値に基づき、脅威の情報資産のセキュリティ特定に対するリスク値を算出する。ここでは、各脅威について、その脅威の発生可能性と、その脅威が影響する範囲に含まれる各情報資産のセキュリティ特性の価値との積を、その脅威のその情報資産のセキュリティ特性に対するリスク値として算出している。
また、図２３に示すように、リスク値算出部２２は、Ｓ４１６で入力された影響度に基づき、脅威の構成要素に対するリスク値を算出する。ここでは、各脅威について、その脅威の発生可能性と、その脅威のその構成要素への影響度との積を、その脅威のその構成要素に対するリスク値として算出している。
そして、リスク値算出部２２は、各脅威について、算出したリスク値の合計を、その脅威のネットワークシステムに対するリスク値として算出する。
もちろん、これに限らず、リスク値算出部２２は、他の方法によりリスク値を算出してもよい。
【００６９】
以上のように、実施の形態４に係るリスク分析装置１００では、情報資産以外についてもリスク値を算出する。したがって、分析対象製品に関する脅威について網羅的に分析することが可能であり、より正確にセキュリティリスク分析を行うことが可能である。
【００７０】
なお、上記説明では、実施の形態２に示す方法により、情報資産の価値を特定する例を説明した。しかし、実施の形態１，３に示す方法により、情報資産の価値を特定してもよい。
【００７１】
また、上記説明では、情報資産あるいは構成要素に対して、脅威の発生可能性を一意に定めていた。しかし、情報資産あるいは構成要素毎に、脅威の発生可能性が異なっていてもよい。
【００７２】
また、以上の実施の形態で説明した各構成を、２つ以上に分割して構成してもよい。例えば、脅威抽出部２３を、第１脅威を抽出する第１脅威抽出部と第２脅威を抽出する第２脅威抽出部とに分割してもよい。
【００７３】
また、以上の実施の形態で説明した処理の流れは、一例であり、処理が成立する範囲で、順序を入れ替えたり、並列に実行することも可能である。
【００７４】
また、以上の実施の形態で説明した処理で得られる各情報を分析情報記憶部４０が記憶してもよい。例えば、情報資産入力部が入力した情報資産を示す情報、有害イベント入力部１２が入力した有害イベントを示す情報、資産価値決定部２１が定義した各価値に対応する有害イベントの数を示す情報、リスク値算出部２２が算出したリスク値等を、表等の形式にして、分析情報記憶部４０が記憶してもよい。もちろん、これらの情報は、分析情報記憶部４０が記憶しないとしても、リスク分析装置１００が有するメモリに記憶され、処理に利用される。
【００７５】
図２４は、実施の形態１〜４に示したリスク分析装置１００のハードウェア構成の例を示す図である。
リスク分析装置１００はコンピュータであり、リスク分析装置１００の各要素をプログラムで実現することができる。
リスク分析装置１００のハードウェア構成としては、バスに、演算装置９０１、外部記憶装置９０２、主記憶装置９０３、通信装置９０４、入出力装置９０５が接続されている。
【００７６】
演算装置９０１は、プログラムを実行するＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）等である。外部記憶装置９０２は、例えばＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）やフラッシュメモリ、ハードディスク装置等である。主記憶装置９０３は、例えばＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）等である。通信装置９０４は、例えば通信ボード等である。入出力装置９０５は、例えばマウス、キーボード、ディスプレイ装置等である。
【００７７】
プログラムは、通常は外部記憶装置９０２に記憶されており、主記憶装置９０３にロードされた状態で、順次演算装置９０１に読み込まれ、実行される。
プログラムは、リスク分析装置１００は、入力部１０、リスク分析部２０として説明している機能を実現するプログラムである。
更に、外部記憶装置９０２にはオペレーティングシステム（ＯＳ）も記憶されており、ＯＳの少なくとも一部が主記憶装置９０３にロードされ、演算装置９０１はＯＳを実行しながら、上記プログラムを実行する。
また、実施の形態１〜５の説明において、共通情報記憶部３０、分析情報記憶部４０が記憶する情報やデータ、入力部１０、リスク分析部２０の処理の結果を示す情報やデータや信号値や変数値が主記憶装置９０３にファイルとして記憶されている。
【００７８】
なお、図２４の構成は、あくまでも各装置のハードウェア構成の一例を示すものであり、各装置のハードウェア構成は図２４に記載の構成に限らず、他の構成であってもよい。
【符号の説明】
【００７９】
１００  リスク分析装置、１０  入力部、１１  情報資産入力部、１２  有害イベント入力部、１３  対応付部、１４  深刻度入力部、１５  構成要素入力部、１６  存在箇所入力部、１７  影響度入力部、２０  リスク分析部、２１  資産価値決定部、２２  リスク値算出部、２３  脅威抽出部、３０  共通情報記憶部、３１  有害イベント情報、３２  雛型、３３  脅威情報、４０  分析情報記憶部、４１  資産イベント対応表、４２  資産価値表。
【図１】
2015106215.tif 000003
【図２】
2015106215.tif 000004
【図３】
2015106215.tif 000005
【図４】
2015106215.tif 000006
【図５】
2015106215.tif 000007
【図６】
2015106215.tif 000008
【図７】
2015106215.tif 000009
【図８】
2015106215.tif 000010
【図９】
2015106215.tif 000011
【図１０】
2015106215.tif 000012
【図１１】
2015106215.tif 000013
【図１２】
2015106215.tif 000014
【図１３】
2015106215.tif 000015
【図１４】
2015106215.tif 000016
【図１５】
2015106215.tif 000017
【図１６】
2015106215.tif 000018
【図１７】
2015106215.tif 000019
【図１８】
2015106215.tif 000020
【図１９】
2015106215.tif 000021
【図２０】
2015106215.tif 000022
【図２１】
2015106215.tif 000023
【図２２】
2015106215.tif 000024
【図２３】
2015106215.tif 000025
【図２４】
2015106215.tif 000026