(57)【要約】      （修正有）【課題】複数かつ異種のクラウドサービスを組み合わせたシステム設計において、システム全体のセキュリティを効率良くかつ正確に評価する。【解決手段】セキュリティ評価システム１を、対象システムを構成する複数の各サブシステムで提供するセキュリティ機能の情報を格納した部品レベルデータベース３５と、サブシステムの間の接続関係と、各サブシステムにて処理または蓄積される情報資産の内容を格納した構成データベース４２を記憶する記憶装置５３と、対象システムを構成する各サブシステムの間の接続関係を構成データベース４２で特定し、サブシステム間での情報資産のデータフローに基づいて、部品レベルデータベース３５における各サブシステムのセキュリティ機能のレベルを合成し、結果である合成レベルが予め定めた所定レベルを満たすか判定して、評価対象のシステムに関するセキュリティ評価結果を算定する演算装置５１とから構成する。【選択図】図５
2015103212.tif 000002
【特許請求の範囲】
【請求項１】
評価対象のシステムを構成する複数の各サブシステムで提供するセキュリティ機能の情報を格納した部品レベルデータベースと、前記複数のサブシステムの間の接続関係と、前記各サブシステムにて処理または蓄積される情報資産の内容を格納した構成データベースと、を記憶する記憶装置と、
評価対象のシステムを構成する各サブシステムの間の接続関係を前記構成データベースで特定し、当該特定した接続関係におけるサブシステム間での前記情報資産のデータフローに基づいて、前記部品レベルデータベースにおける前記各サブシステムのセキュリティ機能のレベルを所定アルゴリズムで合成し、当該合成の結果である合成レベルが予め定めた所定レベルを満たすか判定して、前記評価対象のシステムに関するセキュリティ評価結果を算定する演算装置と、
を備えることを特徴とするセキュリティ評価システム。
【請求項２】
前記記憶装置は、
前記システムにおけるセキュリティ評価項目を定義した評価項目データベースと、
前記システムで処理あるいは蓄積する情報資産と、前記情報資産ごとに要求される前記セキュリティ評価項目に関する要求セキュリティレベルとを対応付けて格納した要求レベルデータベースとを更に備え、
前記部品レベルデータベースにおいて、前記サブシステムで提供するセキュリティ機能と、前記セキュリティ機能ごとに備わる、前記セキュリティ評価項目に関する保持セキュリティレベルを格納しており、
前記演算装置は、
評価対象のシステムを構成する各サブシステムの間の接続関係を前記構成データベースで特定し、当該特定した接続関係におけるサブシステム間での前記情報資産のデータフローに基づいて、当該データフローにおける各情報資産の前記セキュリティ評価項目に関し、前記部品レベルデータベースにおける前記各サブシステムのセキュリティ機能毎の保持セキュリティレベルをセキュリティ評価項目別に所定アルゴリズムで合成し、当該合成の結果である前記セキュリティ評価項目別の合成レベルが、前記要求レベルデータベースの該当情報資産における該当セキュリティ評価項目に関する要求セキュリティレベルを満たすか判定して、前記評価対象のシステムに関するセキュリティ評価結果を算定するものである、
ことを特徴とする請求項１に記載のセキュリティ評価システム。
【請求項３】
前記記憶装置における前記評価項目データベースは、
前記セキュリティ評価項目のうち、
機密性の評価項目として、
データ漏洩をどれくらいの時間防止するか、
どこへのデータ漏洩を防止するか、
誰へのデータ漏洩を防止するか、
データ漏洩をどれくらいの時間で検知するか、
どこへのデータ漏洩を検知するか、
誰へのデータ漏洩を検知するか、
データ漏洩状態からどれくらいの時間で回復するか、
どこへのデータ漏洩状態から回復するか、
誰へのデータ漏洩状態から回復するか、
完全性の評価項目として、
データ改ざんをどれくらいの時間防止するか、
どこからのデータ改ざんを防止するか、
誰からのデータ改ざんを防止するか、
データ改ざんをどれくらいの時間で検知するか、
どこからのデータ改ざんを検知するか、
誰からのデータ改ざんを検知するか、
データ改ざんをどれくらいの時間で回復するか、
どこからのデータ改ざんを回復するか、
誰からのデータ改ざんを回復するか、
可用性の評価項目として、
処理の途絶をどれくらいの時間防止するか、
どこへの処理の途絶を防止するか、
誰への処理の途絶を防止するか、
処理の途絶をどれくらいの時間で検知するか、
どこへの処理の途絶を検知するか、
誰への処理の途絶を検知するか、
処理の途絶をどれくらいの時間で回復するか、
どこへの処理の途絶を回復するか、
誰への処理の途絶を回復するか、
を定義するものであり、
前記要求レベルデータベースは、
前記システムで処理あるいは蓄積する情報資産と、前記情報資産ごとに要求される、少なくとも前記いずれかの定義のセキュリティ評価項目に関するレベルである要求セキュリティレベルとを対応付けて格納しており、
前記部品レベルデータベースは、
前記サブシステムで提供するセキュリティ機能と、前記セキュリティ機能ごとに備わる、少なくとも前記いずれかの定義のセキュリティ評価項目に関するレベルである保持セキュリティレベルを格納したものである、
ことを特徴とする請求項２に記載のセキュリティ評価システム。
【請求項４】
前記演算装置は、
前記所定アルゴリズムによる前記保持セキュリティレベルのセキュリティ評価項目別の合成処理として、
直列接続されたサブシステム間での前記情報資産のデータフローに基づいて、当該データフローにおける各情報資産の前記セキュリティ評価項目に関し、前記部品レベルデータベースにおける前記各サブシステムのセキュリティ機能毎の保持セキュリティレベルのうち、サブシステム間で前記セキュリティ機能のレベルの大きい方をセキュリティ評価項目別に選択し、
並列接続されたサブシステム間での前記情報資産のデータフローに基づいて、当該データフローにおける各情報資産の前記セキュリティ評価項目に関し、前記部品レベルデータベースにおける前記各サブシステムのセキュリティ機能毎の保持セキュリティレベルのうち、サブシステム間で前記セキュリティ機能のレベルの小さい方をセキュリティ評価項目別に選択するものである、
ことを特徴とする請求項３に記載のセキュリティ評価システム。
【請求項５】
前記演算装置は、
前記所定アルゴリズムによる前記保持セキュリティレベルのセキュリティ評価項目別の合成処理として、
直列接続されたサブシステム間での前記情報資産のデータフローに基づいて、当該データフローにおける各情報資産の前記セキュリティ評価項目に関し、前記部品レベルデータベースにおける前記各サブシステムのセキュリティ機能毎の保持セキュリティレベルを、サブシステム間でセキュリティ評価項目別に合算し、
並列接続されたサブシステム間での前記情報資産のデータフローに基づいて、当該データフローにおける各情報資産の前記セキュリティ評価項目に関し、前記部品レベルデータベースにおける前記各サブシステムのセキュリティ機能毎の保持セキュリティレベルのうち、サブシステム間で前記セキュリティ機能のレベルの小さい方をセキュリティ評価項目別に選択するものである、
ことを特徴とする請求項３に記載のセキュリティ評価システム。
【請求項６】
前記記憶装置は、
前記セキュリティ評価項目毎に、サブシステム間の接続関係別に適用すべき、前記保持セキュリティレベルのセキュリティ評価項目別の合成処理を行う演算式を規定した演算テーブルを更に記憶しており、  
前記演算装置は、
評価対象のシステムを構成する各サブシステムの間の接続関係を前記構成データベースで特定し、当該特定した接続関係におけるサブシステム間での前記情報資産のデータフローに基づいて、当該データフローにおける各情報資産の前記セキュリティ評価項目に関し、前記演算テーブルにおける前記接続関係に対応する演算式を特定し、前記部品レベルデータベースにおける前記各サブシステムのセキュリティ機能毎の保持セキュリティレベルを、前記セキュリティ評価項目および前記接続関係に関する前記演算式に適用して合成し、当該合成の結果である前記セキュリティ評価項目別の合成レベルが、前記要求レベルデータベースの該当情報資産における該当セキュリティ評価項目に関する要求セキュリティレベルを満たすか判定して、前記評価対象のシステムに関するセキュリティ評価結果を算定するものである、
ことを特徴とする請求項３に記載のセキュリティ評価システム。
【請求項７】
前記演算装置は、
前記システムで処理または蓄積する情報資産と、前記情報資産ごとに前記評価項目データベースのセキュリティ評価項目に関する要求セキュリティレベルとについての入力を入力装置で受け付けて、前記受け付けた情報資産と要求セキュリティレベルの入力データを、前記要求レベルデータベースに格納する処理を更に実行するものである、
ことを特徴とする請求項３に記載のセキュリティ評価システム。
【請求項８】
前記演算装置は、
前記サブシステムで提供するセキュリティ機能と、前記セキュリティ機能ごとに備わる、前記セキュリティ評価項目に関する保持セキュリティレベルとについての入力を入力装置で受け付けて、前記受け付けたセキュリティ機能と保持セキュリティレベルの入力データを、前記部品レベルデータベースに格納する処理を更に実行するものである、
ことを特徴とする請求項３に記載のセキュリティ評価システム。
【請求項９】
前記演算装置は、
前記複数のサブシステムの間の接続関係と、前記各サブシステムにて処理または蓄積される情報資産の内容とについての入力を入力装置で受け付けて、前記受け付けた接続関係と情報資産の入力データを、前記構成データベースに格納する処理を更に実行するものである、
ことを特徴とする請求項３に記載のセキュリティ評価システム。
【請求項１０】
前記演算装置は、前記評価対象のシステムに関するセキュリティ評価結果を出力装置に表示する処理を更に実行するものであることを特徴とする請求項１に記載のセキュリティ評価システム。
【請求項１１】
評価対象のシステムを構成する複数の各サブシステムで提供するセキュリティ機能の情報を格納した部品レベルデータベースと、前記複数のサブシステムの間の接続関係と、前記各サブシステムにて処理または蓄積される情報資産の内容を格納した構成データベースと、を記憶する記憶装置を備えたコンピュータが、
評価対象のシステムを構成する各サブシステムの間の接続関係を前記構成データベースで特定し、当該特定した接続関係におけるサブシステム間での前記情報資産のデータフローに基づいて、前記部品レベルデータベースにおける前記各サブシステムのセキュリティ機能のレベルを所定アルゴリズムで合成し、当該合成の結果である合成レベルが予め定めた所定レベルを満たすか判定して、前記評価対象のシステムに関するセキュリティ評価結果を算定することを特徴とするセキュリティ評価方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュリティ評価システムおよびセキュリティ評価方法に関するものであり、具体的には、複数かつ異種のクラウドサービスを組み合わせてシステム設計を行うクラウドベース設計において、システム全体のセキュリティを効率良くかつ正確に評価可能とする技術に関する。
【背景技術】
【０００２】
近年、クラウドコンピューティングの普及に伴い、組織内に構築してきた情報システムの全部または一部を、組織外のクラウドサービスを活用して構築することが増えてきた。クラウドコンピューティングの普及以前のシステム開発においては、図１に示すように、まず発注企業１１が自組織の業務分析１０１を行い、要求仕様１０２を策定する。一方、ＳＩｅｒ（Ｓｙｓｔｅｍ  Ｉｎｔｅｇｒａｔｏｒ）１２は、発注企業１１で策定された要求仕様に従って基本設計１０３を行い、システム開発１０４を行う。発注企業１１は、ＳＩｅｒ１２が開発したシステムを導入１０５し、組織内で運用１０６する。
【０００３】
一方、クラウドコンピューティングの普及以降のシステム開発においては、図２にて示すように、まず発注企業２１が業務分析２０１を行い、要求仕様２０２を策定する。一方、ＣＢＩｅｒ（Ｃｌｏｕｄ  Ｂａｓｅｄ  Ｉｎｔｅｇｒａｔｏｒ）２２は、発注企業２１が策定した要求仕様２０２に従ってクラウドベース設計２０３を行う。このクラウドベース設計２０３では、クラウドサービス事業者たるＣＳＰ−１（２３ａ）やＣＳＰ−２（２３ｂ）が提供するクラウドサービスと契約２０４ａ、２０４ｂすることを前提に、コンピュータのリソースをネットワーク経由で利用することを加味したシステム設計がなされる。その後、発注企業２１は、ＣＢＩｅｒ２２が開発したシステムを導入２０６し、組織内で運用２０７する。
【０００４】
こうしたクラウドコンピューティングの普及以降のシステム開発の特徴は、あらかじめ部品として整備されたクラウドサービスを活用して開発を迅速化できること、また、そのため開発コストを低減できること、更に、多様なクラウドサービスを選択肢に取り込むことで開発の拡張性やスケーラビリティを確保できることである。
【０００５】
クラウドベース開発にはこれらのメリットがある一方で、組織外のクラウドサービスにシステムのセキュリティが依存するために、システム全体のセキュリティを評価することが難しくなる問題もある。特に、システムを構築してからセキュリティを評価するのでは手戻りが発生するため、システム設計の段階からのセキュリティ評価が必要となる。そこで、図２の破線２１０で囲んだ、発注企業２１による要求仕様策定２０２およびＣＢＩｅｒ２２によるクラウドベース設計２０３の段階から、システム全体のセキュリティを評価する必要がある。
【０００６】
そこで、システムのセキュリティ評価に関連する技術として、セキュリティ設計対象に関する攻撃方法および脅威の特定を効率的かつ確実に行うことを目的とした技術（特許文献１参照）が提案されている。この従来技術においては、外部のエンティティが共通し、一方の攻撃対象が他方のエントリポイントとなる関係になるメタテンプレートの連なりを特定し、この連なりを構成する各メタデータテンプレート群の情報を攻撃経路パターンとして格納し、攻撃方法および脅威を特定することとなる。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００９−７００８４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
しかしながら、複数かつ異種のクラウドサービスを組み合わせるクラウドベース開発では、攻撃経路のパターンが膨大な数になり、計算量が大きくなってしまう。例えば、インターネット経由の第三者による攻撃、クラウドサービス事業者側のシステム管理者による攻撃、さらには、コンピュータやネットワークのリソースを異なるユーザ間で共有するマルチテナント構成から、隣のマルチテナント利用者からの攻撃もあり得る。さらに、今後クラウドサービスのインタフェースの標準化が進むにつれ、今後はベンダロックインが容易に回避できるようになり、あるクラウドサービスを別のサービスに容易に取り替えることができるならば、そうしたサービス交換のたびに攻撃経路パターンの再計算が必要になり、ますます攻撃経路のパターンを求める計算量が大きくなる。
【０００９】
また、発注企業の要求仕様を満たすべく、過剰なレベルのＣＳＰ（クラウドサービス事業者）を組み合わせて採用してしまう懸念も存在する。例えば、発注企業２１は、機密性レベルが“２”、完全性レベルが“１”、可用性レベルが“３”のシステムを要求仕様として持つと仮定する。こうした状況におけるクラウドベース設計では、上述の要求を満たすため、図３にて例示するように、機密性、完全性、可用性のいずれについても要求を超えているＣＳＰ−１（２３ａ）、ＣＳＰ−２（２３ｂ）、ＣＳＰ−３（２３ｃ）、ＣＳＰ−４（２３ｄ）を使ってシステムを設計することとなる。この場合、常に要求仕様のレベルを超えるＣＳＰを選ぶ事態となるため、完全性のレベルが要求仕様を超えすぎているＣＳＰ−３（２３ｃ）を選ぶ可能性もあり、クラウドベース開発の特徴の一つである、開発コストの低減を制限することになる。一方、可用性レベルが“１”であるＣＳＰ−５（２３ｅ）は、上述の要求仕様を満たさないため採用出来ない。つまり、クラウドベース開発の特徴の一つである開発の拡張性やスケーラビリティを制限することになる。
【００１０】
そこで本発明の目的は、複数かつ異種のクラウドサービスを組み合わせてシステム設計を行うクラウドベース設計において、システム全体のセキュリティを効率良くかつ正確に評価可能とする技術を提供することにある。
【課題を解決するための手段】
【００１１】
上記課題を解決する本発明のセキュリティ評価システムは、評価対象のシステムを構成する複数の各サブシステムで提供するセキュリティ機能の情報を格納した部品レベルデータベースと、前記複数のサブシステムの間の接続関係と、前記各サブシステムにて処理または蓄積される情報資産の内容を格納した構成データベースと、を記憶する記憶装置と、評価対象のシステムを構成する各サブシステムの間の接続関係を前記構成データベースで特定し、当該特定した接続関係におけるサブシステム間での前記情報資産のデータフローに基づいて、前記部品レベルデータベースにおける前記各サブシステムのセキュリティ機能のレベルを所定アルゴリズムで合成し、当該合成の結果である合成レベルが予め定めた所定レベルを満たすか判定して、前記評価対象のシステムに関するセキュリティ評価結果を算定する演算装置と、を備えることを特徴とする。
【００１２】
また、本発明のセキュリティ評価方法は、評価対象のシステムを構成する複数の各サブシステムで提供するセキュリティ機能の情報を格納した部品レベルデータベースと、前記複数のサブシステムの間の接続関係と、前記各サブシステムにて処理または蓄積される情報資産の内容を格納した構成データベースと、を記憶する記憶装置を備えたコンピュータが、評価対象のシステムを構成する各サブシステムの間の接続関係を前記構成データベースで特定し、当該特定した接続関係におけるサブシステム間での前記情報資産のデータフローに基づいて、前記部品レベルデータベースにおける前記各サブシステムのセキュリティ機能のレベルを所定アルゴリズムで合成し、当該合成の結果である合成レベルが予め定めた所定レベルを満たすか判定して、前記評価対象のシステムに関するセキュリティ評価結果を算定することを特徴とする。
【発明の効果】
【００１３】
本発明によれば、複数かつ異種のクラウドサービスを組み合わせてシステム設計を行うクラウドベース設計において、システム全体のセキュリティを効率良くかつ正確に評価可能となる。
【図面の簡単な説明】
【００１４】
【図１】システム開発の流れを示す説明図である。
【図２】クラウドベース開発の流れを示す説明図である。
【図３】クラウドベース設計におけるセキュリティ評価を説明する図である。
【図４】第一実施形態におけるセキュリティ評価システムの全体ブロック図である。
【図５】第一実施形態におけるセキュリティ評価システムの機能ブロック図である。
【図６】第一実施形態における評価項目データベースのテーブル関係図である。
【図７】第一実施形態における評価項目テーブルのデータ図である。
【図８】第一実施形態における評価レベルテーブルのデータ図である。
【図９】第一実施形態における要求レベル入力画面を示す図である。
【図１０】第一実施形態における要求レベルデータベースのテーブル関係図である。
【図１１】第一実施形態における情報資産テーブルのデータ図である。
【図１２】第一実施形態における要求レベルテーブルのデータ図である。
【図１３】第一実施形態における関与主体テーブルのデータ図である。
【図１４】第一実施形態における関係テーブルのデータ図である。
【図１５】第一実施形態における部品レベル入力画面を示す図である。
【図１６】第一実施形態における部品レベルデータベースのテーブル関係図である。
【図１７】第一実施形態におけるインタフェーステーブルのデータ図である。
【図１８】第一実施形態におけるセキュリティ機能テーブルのデータ図である。
【図１９】第一実施形態における部品レベルテーブルのデータ図である。
【図２０】第一実施形態におけるクラウドベース設計情報入力画面を示す図である。
【図２１】第一実施形態におけるＣＢＩ情報データベースのテーブル関係図である。
【図２２】第一実施形態におけるＣＢＩテーブルのデータ図である。
【図２３】第一実施形態における利用サービステーブルのデータ図である。
【図２４】第一実施形態におけるサービス関係テーブルのデータ図である。
【図２５】第一実施形態の合成レベル計算部のメインフローチャート図である。
【図２６】第一実施形態の合成レベル計算部のフローチャート例１を示す図である。
【図２７】第一実施形態における合成レベルデータベースのテーブル関係図である。
【図２８】第一実施形態における評価結果テーブルのデータ図である。
【図２９】第一実施形態における合成レベルの表示画面を示す図である。
【図３０】第二実施形態における評価項目データベースのテーブル関係図である。
【図３１】第二実施形態における演算テーブルのデータ図である。
【図３２】第三実施形態における評価項目テーブルのデータ図である。
【発明を実施するための形態】
【００１５】
以下に本発明の実施形態について図面を用いて詳細に説明する。図４は、第一実施形態におけるセキュリティ評価システム１の全体ブロック図であり、図５は第一実施形態におけるセキュリティ評価システム１の機能ブロック図である。図４、５にて示すセキュリティ評価システム１は、複数かつ異種のクラウドサービスを組み合わせてシステム設計を行うクラウドベース設計において、システム全体のセキュリティを効率良くかつ正確に評価可能とするコンピュータシステムである。
【００１６】
セキュリティ評価システム１では、システム開発を開発業者等に発注する発注企業が、開発成果物であるシステムについて要求する要求セキュリティレベル（以下、要求レベル）と、該当システムに組み込まれるクラウドサービスの提供者（以下、ＣＳＰ）が提供するクラウドサービスの保持セキュリティレベル（以下、部品レベル）と、システム開発業者（以下、ＣＢＩｅｒ）がクラウドベース設計時に入力する情報（サブシステムたるクラウドサービスの間の接続関係や情報資産等に関する情報）とを組み合わせて、対象とするシステム全体のセキュリティの合成レベルを計算し、該当合成レベルが上述の要求レベルを達成しているか判定することによりセキュリティ評価を行う。以下、図を用いつつ、セキュリティ評価システム１の実施形態を説明する。
【００１７】
−−−第一実施形態−−−
図４にセキュリティ評価システム１の全体ブロック図を示す。セキュリティ評価システム１は、セキュリティ評価のための評価項目を定義した評価項目データベース３１と、発注企業２１が所定の端末を介してアクセスする要求レベル入力部３２と、そこで発注企業２１側から入力された要求レベルを格納する要求レベルデータベース３３と、ＣＳＰ２３が所定の端末を介してアクセスする部品レベル入力部３４と、そこでＣＳＰ２３側から入力された部品レベルを格納する部品レベルデータベース３５と、ＣＢＩｅｒ２２が所定の端末を介してアクセスするＣＢＩ情報入力部４１と、そこでＣＢＩｅｒ２２側から入力されたＣＢＩ情報（クラウドサービス間の接続関係や情報資産の情報）を格納するＣＢＩ情報データベース４２（構成データベース）と、システム全体のセキュリティレベルを計算する合成レベル計算部４３と、計算された合成レベルを格納する合成レベルデータベース４４と、計算された合成レベルを表示する合成レベル表示部４５とから構成されている。このうち、要求レベル入力部３２、部品レベル入力部３４、ＣＢＩ情報入力部４１、および合成レベル表示部４５は、セキュリティ評価システム１が記憶装置にて予め備える画面データを入力インタフェースとして出力装置にて表示させ、外部端末からの入力を受け付ける機能部となる。また、合成レベル計算部４３、要求レベル入力部３２、部品レベル入力部３４、ＣＢＩ情報入力部４１、および合成レベル表示部４５は、セキュリティ評価システム１がメモリ５２や記憶装置５３などに備えるプログラムを実行することで実装される機能と言える。
【００１８】
なお、要求レベルデータベース３３と部品レベルデータベース３５は、共通の評価項目データベース３１に基づいた構成となっている。よって合成レベル計算部４３は、評価項目データベース３１が規定するセキュリティ評価項目に従い、セキュリティ機能毎の合成レベルをセキュリティ評価項目別に計算することができる。
【００１９】
なお、合成レベル表示部４５は、図１ではＣＢＩｅｒ２２の端末からのアクセスを受け付ける形態について示したが、発注企業２１あるいはＣＳＰ２３の端末からのアクセスを受けて、セキュリティ評価結果の全部あるいは一部を提示する形態であっても良い。
【００２０】
続いて、セキュリティ評価システム１のハードウェア構成について説明する。セキュリティ評価システム１は、演算装置たるＣＰＵ５１、メモリ５２、記憶装置５３、通信部５４、電源部５５、入力部５６、および出力部５７が、バス５８で接続された構成をとる。ＣＰＵ５１は、中央演算処理装置であり、要求レベル入力部３２、部品レベル入力部３４、ＣＢＩ情報入力部４１、合成レベル計算部４３、合成レベル表示部４５の処理を行う。メモリ５２は、ＣＰＵ５１が処理を行う際に利用する主記憶装置である。記憶装置５３は、ＣＰＵ５１への入力データや出力データを保管するための補助記憶装置であり、評価項目データベース３１、要求レベルデータベース３３、部品レベルデータベース３５、ＣＢＩ情報データベース４２、合成レベルデータベース４４を格納する。通信部５４は、外部ノードとの通信を行う通信装置であり、各種ネットワークと通信を行う。電源部５５は、セキュリティ評価システム１に電源を供給する装置であり、電源コンセント等と接続される。入力部５６は、操作者が入力するためのインタフェースであり、例えば、キーボード、タッチパネル、カードリーダ、音声入力装置などである。出力部５７は、操作者にフィードバックを与えるためのインタフェースであり、例えば、画面表示、音声表示、印字などを行う出力装置である。
【００２１】
なお、図５ではセキュリティ評価システム１が１台のみの構成を例示したが、その他にも、複数のコンピュータがネットワークを経由して接続され協働することでセキュリティ評価システム１を構成するものであっても良い。
【００２２】
続いて、セキュリティ評価システム１が利用するデータベース類について説明する。まず評価項目データベース３１のテーブル関係図を図６に示す。評価項目データベース３１は、評価項目テーブル３００と、評価レベルテーブル３１０から構成されている。評価項目テーブル３００は、セキュリティ評価のための評価項目を体系的に定義するためのテーブルであり、評価項目識別子を主キーとするテーブル構造をもつ。評価レベルテーブル３１０は、評価項目ごとのセキュリティに関するレベルを詳細に定義するためのテーブルであり、評価項目識別子を主キーとするテーブル構造をもつ。
【００２３】
なお評価レベルテーブル３１０では、レベル０からレベル１０までを定義できるような構造をもつが、第一実施形態は一例にすぎず、レベルの上限と下限、ピッチ幅は、その他の形式であっても良い。
【００２４】
図７を使って評価項目データベース３１をさらに詳細に説明する。このうち評価項目テーブル３００は、大分類３０１、中分類３０２、小分類３０３、評価項目識別子３０４、評価項目の説明３０５、最高レベル３０６、最低レベル３０７の各データの組合せを一つの列とする、１つ以上の列から構成されるテーブル構造を持つ。主キーは評価項目識別子３０４であり、当該評価項目テーブル３００内で一意に定まっている。
【００２５】
一方、図８にて例示する評価レベルテーブル３１０は、評価項目識別子３１１、レベル０の説明３１２、レベル１の説明３１３、レベル２の説明３１４、レベル３の説明３１５、レベル４の説明３１６などの各データの組合せを一つの列とする、１つ以上の列から構成されるテーブル構造をもつ。主キーは評価項目識別子３１１であり、本評価レベルテーブル３１０内で一意に定まっている。
【００２６】
なお図７に示した評価項目テーブル３００と、それに対応した評価レベルテーブル３１０（図８）は一例である。評価項目として、発注企業等が自組織で使っているセキュリティ監査項目の一覧であっても良く、また、特定業界で標準的に参照されるセキュリティ基準を参考に作成した一覧であっても良い。
【００２７】
また、評価レベルテーブル３１０の構成例として、もっとも数が少ないレベルの集合が「０」と「１」だけからなる場合がある。この場合には、評価項目に対してそれを「持たない」か「持つ」のいずれかであることを意味する。
【００２８】
つづいて図９から図１９を使って、発注企業２１がアクセスする要求レベル入力部３２と、その入力結果を格納する要求レベルデータベース３３について説明する。まず、図９を使って要求レベル入力部３２の入力インタフェースについて示す。この場合、発注企業２１の担当者は、図１でも示したような要求仕様策定２０２を終えた上で、所定の端末を介してセキュリティ評価システム１にアクセスし、セキュリティ評価システム１が返してきた画面４０１において、プロジェクト名をテキストボックスに入力し、「次へ」ボタンを押下したとする。セキュリティ評価システム１は画面４０２を上述の端末に返すため、これを端末で閲覧した上述の担当者は、要求仕様策定２０２を通じて明らかになった情報資産の一覧をテキストボックスに順次入力し、「次へ」ボタンを押下する。これを受けたセキュリティ評価システム１は画面４０３を上述の端末に返すため、これを端末で閲覧した上述の担当者は、関与者（関与システム含む）の一覧をテキストボックスに順次入力し、「次へ」ボタンを押下する。
【００２９】
セキュリティ評価システム１は、発注企業２１における端末との間で以上のウィザード処理を完了すると、画面４１０を通じて情報資産と関与者、関与システムとの関係と、情報資産の価値に応じて必要とする要求レベルの入力を受け付ける。
【００３０】
この画面４１０は、情報資産の一覧をツリー構造で表現するペイン４１１と、情報資産と関与者との関係をグラフ表記で入力し表現するペイン４１２と、個々の情報資産に対して、表形式で構造的に表現された評価項目の個々に関して要求レベルを入力するペイン４１３とから構成されている。なお、画面４１０において、ペイン４１３中の表の中の要求レベルのセル４１４が発注企業２１の端末によってクリックあるいはタップされるたびに、レベルが１つずつ上がっていくインタフェースとなっている。こうして発注企業２１の端末から要求レベル等の情報を受け付けたセキュリティ評価システム１は、該当情報を要求レベルデータベース３３に格納することとなる。
【００３１】
図１０を使って要求レベルデータベース３３のテーブル関係図を説明する。要求レベルデータベース３３は、プロジェクトテーブル５００、情報資産テーブル５１０、要求レベルテーブル５２０、関与主体テーブル５３０、関係テーブル５４０から構成されている。プロジェクトテーブル５００は、発注企業２１によるプロジェクト、すなわち開発対象となるシステムの基本情報を入力するためのテーブルであり、プロジェクト識別子を主キーとする。情報資産テーブル５１０は、発注企業２１が入力した情報資産の一覧を格納するためのテーブルであり、プロジェクト識別子を主キーとする。要求レベルテーブル５２０は、評価項目ごとの要求レベルを格納するためのテーブルであり、プロジェクト識別子と、情報資産の識別子と、評価項目識別子を主キーとする。なお、評価項目識別子は、評価レベルテーブル３１０に含まれる評価項目識別子を全て含む。関与主体テーブル５３０は、発注企業２１が入力した関与者（関与システム含む）の一覧を格納するためのテーブルであり、プロジェクト識別子を主キーとする。関係テーブル５４０は、発注企業２１が入力した、情報資産と関与者との関係を格納するためのテーブルであり、プロジェクト識別子と関係識別子を主キーとする。
【００３２】
図１１〜１４を使って要求レベルデータベース３３における各テーブルのデータ構成例を説明する。このうち情報資産テーブル５１０は、プロジェクト識別子５１１、情報資産の数５１２、情報資産１の識別子５１３、情報資産１の説明５１４、情報資産２の識別子５１５、情報資産２の説明５１６などの各データの組合せを一つの列とする、１つ以上の列から構成されるテーブル構造を持つ。情報資産テーブル５１０の主キーは、プロジェクト識別子５１１であり、情報資産テーブル５１０内で一意の値を持つ。
【００３３】
また、要求レベルテーブル５２０は、プロジェクト識別子５２１、情報資産の識別子５２２、評価項目識別子５２３、要求レベル５２４の各データの組合せを一つの列とする、１つ以上の列から構成されるテーブル構造を持つ。要求レベルテーブル５２０の主キーは、プロジェクト識別子５２１、情報資産の識別子５２２、評価項目識別し５２３であり、これらの主キーは、要求レベルテーブル５２０内で一意の値を持つ。
【００３４】
関与主体テーブル５３０は、プロジェクト識別子５３１、関与主体の数５３２、関与主体１の識別子５３３、関与主体１の説明５３４、関与主体２の識別子５３５、関与主体２の説明５３６などの各データの組合せを一つの列とする、１つ以上の列から構成されるテーブル構造を持つ。関与主体テーブル５３０の主キーは、プロジェクト識別子５３１であり、この主キーは、関与主体テーブル５３０内で一意の値を持つ。
【００３５】
また、関係テーブル５４０は、プロジェクト識別子５４１、関与識別子５４２、関係元識別子５４３、関係先識別子５４４、関係の説明５４５の各データの組合せを一つの列とする、１つ以上の列から構成されるテーブル構造を持つ。関係テーブル５４０の主キーは、プロジェクト識別子５４１、関与識別子５４２であり、これらの主キーは、関係テーブル５４０内で一意の値を持つ。
【００３６】
以上述べてきたことをまとめると、発注企業２１は端末を介してセキュリティ評価システム１における要求レベル入力部３２にアクセスして、要求レベルを入力し、一方、セキュリティ評価システム１の要求レベル入力部３２は発注企業２１側からの入力結果を要求レベルデータベース３３に保存する。
【００３７】
次に、ＣＳＰ２３がクラウドサービスの部品レベルを入力するための画面インタフェースと、部品レベルデータベース３５の構造を、図１５から図１７を使って説明する。まず図１５を使ってＣＳＰ２３が部品レベルを入力するための部品レベル入力部３４のインタフェースについて説明する。この場合、ＣＳＰ２３の担当者は、所定の端末を介してセキュリティ評価システム１にアクセスし、セキュリティ評価システム１から返信されてくる画面６０１を閲覧する。担当者はこの画面６０１において、クラウドサービス名をテキストボックスに入力し、「次へ」ボタンを押下する。
【００３８】
これを受けたセキュリティ評価システム１は、画面６０２を上述の端末に返すこととなる。ＣＳＰ２３の端末は画面６０２を表示させ、上述の担当者に閲覧させる。担当者はこの画面６０２にて、クラウドサービスが備えるインタフェースあるいはＡＰＩ（Ａｐｐｌｉｃａｔｉｏｎ  Ｐｒｏｇｒａｍｉｎｇ  Ｉｎｔｅｒｆａｃｅ）のラジオボックスにチェックをつけ、「次へ」ボタンを押下する。一方、これを受けたセキュリティ評価システム１は画面６０３を上述の端末に返すこととなる。ＣＳＰ２３の端末は画面６０３を表示させ、上述の担当者に閲覧させる。担当者はこの画面６０３にて、クラウドサービスが備えるセキュリティ機能の一覧をテキストボックスに入力し、「次へ」ボタンを押下する。
【００３９】
セキュリティ評価システム１は、ＣＳＰ２３の端末からの、以上のウィザード形式の画面入力を一通り受け付けると、画面６１０を該当端末に返す。ＣＳＰ２３の端末は画面６１０を表示して担当者に閲覧させる。担当者は、この画面６１０にてセキュリティ機能が個々にもつ部品レベルを入力することとなる。なお、画面６１０は、セキュリティ機能の一覧をツリー型に表示するペイン６１１と、セキュリティ機能に対する評価項目ごとに部品レベルを入力するペイン６１２とから構成されている。担当者が部品レベルを入力するペイン６１２では、評価項目ごとに部品レベルを表形式で入力できるようになっており、担当者が端末を介して表中のセル６１３をクリックあるいはタップするたびに、レベルを１つずつアップさせることができる。
【００４０】
ＣＳＰ２３の端末からの部品レベル入力部３４での入力が完了すると、セキュリティ評価システム１における部品レベル入力部３４は、これまで受け付けた入力内容を図１６に示すような部品レベルデータベース３５に格納する。部品レベルデータベース３５は、インタフェーステーブル７００、サービステーブル７１０、セキュリティ機能テーブル７２０、部品レベルテーブル７３０からなる。
【００４１】
このうちインタフェーステーブル７００は、クラウドサービスが備えるサービス間接続のインタフェースの種類を格納するためのテーブルであり、インタフェース識別子を主キーとする。サービステーブル７１０は、ＣＳＰ２３が入力するクラウドサービスの概要を格納するためのテーブルであり、サービス識別子を主キーとする。セキュリティ機能テーブル７２０は、クラウドサービスが備えるセキュリティ機能の一覧を格納するためのテーブルであり、サービス識別子を主キーとする。部品レベルテーブル７３０は、セキュリティ機能がもつ評価項目ごとの要求レベルを格納するためのテーブルであり、サービス識別子とセキュリティ機能の識別子と評価項目識別子とを主キーとする。なお、前記評価項目識別子として、評価レベルテーブル３１０の評価項目識別子の全てを含む。
【００４２】
ここで、サービステーブル７１０においてインタフェースの識別子の上限を３０個としているが、その他の上限値でもかまわない。さらにセキュリティ機能テーブル７２０においてセキュリティ機能の識別子の上限を３０個としているが、その他の上限値であってもかまわない。
【００４３】
続いて図１７〜１９を使って部品レベルデータベース３５における各テーブルのデータ構成例を説明する。このうちインタフェーステーブル７００は、インタフェース識別子７０１、インタフェースの説明７０２の各データの組合せを一つの列とする、１つ以上の列からなるテーブル構造を持つ。インタフェーステーブル７００の主キーは、インタフェース識別子７０１であり、この主キーは、インタフェーステーブル７００内で一意の値を持つ。
【００４４】
また、セキュリティ機能テーブル７２０は、サービス識別子７２１、セキュリティ機能の数７２２、セキュリティ機能１の識別子７２３、セキュリティ機能１の説明７２４、セキュリティ機能２の識別子７２５、セキュリティ機能２の説明７２６などの各データの組合せを一つの列とする、１つ以上の列からなるテーブル構造を持つ。セキュリティ機能テーブル７２０の主キーは、サービス識別子７２１であり、この主キーは、セキュリティ機能テーブル７２０内で一意の値を持つ。
【００４５】
また、部品テーブル７３０は、サービス識別子７３１、セキュリティ機能の識別子７３２、評価項目識別子７３３、部品レベル７３４の各データの組合せを一つの列とする、１つ以上の列からなるテーブル構造を持つ。部品レベルテーブル７３０の主キーは、サービス識別子７３１、セキュリティ機能の識別子７３２、評価項目識別子７３３であり、これらの主キーは、部品レベルテーブル７３０内で一意の値を持つ。
【００４６】
以上述べてきたことをまとめると、ＣＳＰ２３の担当者は、端末を用いてセキュリティ評価システム１にアクセスし、提供するクラウドサービスのセキュリティに関する部品レベルを部品レベル入力部３４を通じて入力する。一方、セキュリティ評価システム１の部品レベル入力部３４は、ＣＳＰ２３の端末から入力された情報を部品レベルデータベース３５に格納する。
【００４７】
これまで述べてきた、発注企業２１の端末からの入力内容で構成した要求レベルデータベース３３と、ＣＳＰ２３の端末からの入力内容で構成した部品レベルデータベース３５とを用い、ＣＢＩｅｒ２２がクラウドベース設計を行うこととなる。図２０から図２９を使って、このクラウドベース設計における画面インタフェース、データ図およびフローチャート図を説明する。
【００４８】
まず図２０を使って、ＣＢＩｅｒ２２の端末がアクセスするセキュリティ評価システム１における、ＣＢＩ情報入力部４１の入力インタフェースについて説明する。図２０にて示す画面８０１は、要求レベルデータベース３３に格納されているプロジェクト一覧を表示する画面である。この画面８０１を所定端末で閲覧したＣＢＩｅｒ２２の担当者は、担当するプロジェクトのラジオボタンをチェックし、「次へ」ボタンを押下する。これを受けたセキュリティ評価システム１は、画面８１０を該当端末に返す。なお、画面８０１にて「詳細確認」ボタンが押下されると、セキュリティ評価システム１は関与主体と情報資産の一覧とそれらの関係を示す要求レベル入力部３２の画面４１０（図９参照）を表示する。
【００４９】
画面８１０を受けたＣＢＩｅｒ２２の端末は、これを表示して上述の担当者に閲覧させる。ＣＢＩｅｒ２２の担当者は、この画面８１０を参照してクラウドベース設計の情報を入力することとなる。図２０で例示する画面８１０は、情報資産の一覧をツリー形式に表示するペイン８１１と、関与主体と利用するクラウドサービスの一覧とそれらの関係を入力し図示するペイン８１２と、クラウドサービスの各々について情報資産に対する処理内容を入力するテーブル構造を持つペイン８１３とから構成されている。
【００５０】
ＣＢＩｅｒ２２の担当者は、画面８１０のペイン８１２上でクラウドベース設計を行う際、端末からの入力動作により、画面８１０上部の「クラウドサービス追加」ボタンを押下して、部品レベルデータベース３５に格納されたクラウドサービスの一覧から適切なクラウドサービスを追加する。さらにＣＢＩｅｒ２２の担当者は、端末からの入力動作により、ペイン８１３においてテーブル中のセル８１４をクリックあるいはタップして、サービステーブル７１０に格納されているインタフェースの中から利用するインタフェースを選択する。またＣＢＩｅｒ２２の担当者は、端末からの入力動作により、ペイン８１３においてテーブル中のセル８１５をクリックあるいはタップして、情報資産テーブル５１０に格納されている情報資産の一覧の中から前処理する情報資産を選択する。さらにＣＢＩｅｒ２２の担当者は、端末からの入力動作により、ペイン８１３においてテーブル中のセル８１６をクリックあるいはタップして、情報資産テーブル５１０に格納されている情報資産の一覧の中から蓄積する情報資産を選択する。以下、ペイン８１３中の後処理セルは上述した前処理セルと同様であり、ペイン８１３中の出力セルは上述の入力セルと同様である。
【００５１】
以上の処理がすべて完了すると、ＣＢＩｅｒ２２の担当者は画面８１０にて「完了」ボタンを押下する。ＣＢＩｅｒ２２の端末から「完了」ボタンの押下事象を受けるセキュリティ評価システム１は、ＣＢＩ情報入力部４１が受け付けた上述の各種情報をＣＢＩ情報データベース４２に保存する。
【００５２】
つぎに図２１を使ってＣＢＩ情報データベース４１のテーブル関係図を説明する。ＣＢＩ情報データベース４１は、評価テーブル９００、ＣＢＩテーブル９１０、利用サービステーブル９２０、サービス関係テーブル９３０から構成されている。このうち評価テーブル９００は、セキュリティ評価の基本情報を入力するためのテーブルであり、評価識別子を主キーに持つ。ＣＢＩテーブル９１０は、評価対象とするシステムが持つクラウドサービスの一覧を格納するためのテーブルであり、評価識別子、プロジェクト識別子とを主キーに持つ。利用サービステーブル９２０は、各クラウドサービスで使うインタフェースと処理する情報資産の一覧を格納するためのテーブルであり、評価識別子、プロジェクト識別子、サービス識別子を主キーに持つ。利用サービステーブル９２０に格納する情報資産は、情報資産テーブル５１０中の情報資産の識別子から選択する。利用サービステーブル９２０に格納するインタフェースは、サービステーブル７１０中のインタフェース識別子から選択する。
【００５３】
さらに図２２〜２４を使って、ＣＢＩ情報データベース４２が含むテーブルのデータ構造例を説明する。このうちＣＢＩテーブル９１０は、評価識別子９１１、プロジェクト識別子９１２、サービスの数９１３、サービス１の識別子９１４、サービス２の識別子９１５などの各データの組合せを一つの列とする、１つ以上の列から構成されるテーブル構造を持つ。ＣＢＩテーブル９１０は、評価識別子９１１、プロジェクト識別子９１２を主キーにもち、これらの主キーは、ＣＢＩテーブル９１０内で一意の値を持つ。
【００５４】
利用サービステーブル９２０は、評価識別子９２１、プロジェクト識別子９２２、サービス識別子９２３、入力インタフェース９２４、前処理する情報資産１（９２５）、蓄積する情報資産１（９２６）、後処理する情報資産１（９２７）、出力インタフェース９２８などの各データの組合せを一つの列とする、１つ以上の列から構成されるテーブル構造を持つ。利用サービステーブル９２０の主キーは、評価識別子９２１、プロジェクト識別子９２２、サービス識別子９２３であり、これらの主キーは、利用サービステーブル９２０内で一意の値を持つ。
【００５５】
サービス関係テーブル９３０は、評価識別子９３１、プロジェクト識別子９３２、関与識別子９３３、関係元識別子９３４、関係先識別子９３５、関係の説明９３６の各データの組合せを一つの列とする、１つ以上の列から構成されるテーブル構造を持つ。サービス関係テーブル９３０の主キーは、評価識別子９３１、プロジェクト識別子９３２、関与識別子９３３であり、これらの主キーは、サービス関係テーブル９３０内で一意の値を持つ。
【００５６】
以下、第一実施形態におけるセキュリティ評価方法の実際手順について図に基づき説明する。以下で説明するセキュリティ評価方法に対応する各種動作は、セキュリティ評価システム１がメモリ等に読み出して実行するプログラムによって実現される。そして、このプログラムは、以下に説明される各種の動作を行うためのコードから構成されている。
【００５７】
ここでは、これまで述べてきた、要求レベルデータベース３３、部品レベルデータベース３５、ＣＢＩ情報データベース４２を使って、システム全体の合成レベルを計算するフローチャートについて、図２５および図２６を用いて説明することとする。この場合、セキュリティ評価システム１における合成レベル計算部４３は、ＣＢＩテーブル９１０に情報が格納されたクラウドサービスに関し、各クラウドサービスのセキュリティ機能テーブル７２０を参照し、セキュリティ機能の数を読み出す（ステップ１００１）。
【００５８】
続いて合成レベル計算部４３は、上述の各クラウドサービスの部品レベルテーブル７３０を読み出し、合成した部品レベルの値として、セキュリティ機能の数だけＭＡＸ計算する（ステップ１００２、ステップ１００３、ステップ１００４）。
【００５９】
次に合成レベル計算部４３は、情報資産テーブル５１０を参照し、情報資産の数を読み出す（ステップ１００５）。続くステップ１００７からステップ１０１２は、情報資産の数だけ繰り返すこととする（ステップ１００６、ステップ１０１３）。また、続くステップ１００８からステップ１０１１は、評価項目テーブル３００の評価項目識別子の数だけ繰り返すこととする（ステップ１００７、ステップ１０１２）。
【００６０】
こうした合成レベル計算部４３は、上述のステップ１００３で求めた、合成された部品レベルの値をメモリ領域に持つ（ステップ１００８）。また、合成レベル計算部４３は、クラウドサービス間のサービス間接続に応じて合成レベルを計算する（ステップ１００９）。本処理は、続く図２６の説明の際に詳しく述べる。
【００６１】
次に、合成レベル計算部４３は、上述のステップ１００９で求めた合成レベルと、要求レベルテーブル５２０に格納された要求レベルとを比較し、合成レベルが要求レベルを超えているかどうかを判定する（ステップ１０１０）。また、合成レベル計算部４３は、ステップ１０１０で得た判定結果を合成レベルデータベース４４に保存する。
【００６２】
ここで図２６を使って、上述のステップ１００９における合成レベル計算のフローチャートを詳しく説明する。この場合、合成レベル計算部４３は、サービス関係テーブル９３０を参照し、システムを構成するクラウドサービスの間の接続関係を、直列と並列に分解する（ステップ１１０１）。合成レベル計算部４３は、サービスの始点から終点まで、続くステップ１１０３からステップ１１０５を繰り返す（ステップ１１０２、ステップ１１０６）。
【００６３】
続いて合成レベル計算部４３は、接続関係にある次のサービスとの接続が直列であるか並列であるかを判定する（ステップ１１０３）。この判定の結果、サービス間の接続が直列であるならば（１１０３：直列）、合成レベル計算部４３は、２つのクラウドサービスの合成レベルをＭＡＸ計算により求める（ステップ１１０４）。他方、ステップ１１０３の判定の結果、サービス間の接続が並列であるならば（１１０３：並列）、合成レベル計算部４３は、２つのクラウドサービスの合成レベルをＭＩＮ計算により求める（ステップ１１０５）。こうして合成レベル計算部４３は、システム全体の合成レベルの計算を完了する。
【００６４】
なお、図２６で例示したフロー例の他にも、サービス間の接続が直列である際の合成レベルの計算を他のアルゴリズムで求める例も想定できる。例えば、合成レベル計算部４３は、ステップ１１０３の判定の結果、サービス間の接続が直列であった場合（１１０３：直列）、２つのクラウドサービスの合成レベルを合算することにより求める（ステップ１１０４）。具体的には、第１のクラウドサービスでのデータ暗号化の後、これと直列する第２のクラウドサービスにて、第１のクラウドサービスで既に暗号化されたデータが更に強固な暗号化アルゴリズムで暗号化される場合、当然ながらセキュリティ強度が向上する形態などを想定できる。
【００６５】
つぎに図２７と図２８を使って、合成レベル計算部４３が求めた合成レベルを格納する合成レベルデータベース４４について説明する。図２７に示すように、合成レベルデータベース４４は、評価結果テーブル１２００を備える。この評価結果テーブル１２００は、評価識別子、プロジェクト識別子、情報資産の識別子、評価項目識別子を主キーとし、合成レベルおよび判定結果を格納する。なお、評価結果テーブル１２００はＣＢＩテーブル９１０と共通のプロジェクト識別子をもち、さらに評価結果テーブル１２００は要求レベルテーブル５２０と共通の評価項目識別子を持つ。
【００６６】
また図２８にて示すように、評価結果レベルテーブル１２００は、評価識別子１２０１、プロジェクト識別子１２０２、情報資産の識別子１２０３、評価項目識別子１２０４、合成レベル１２０５、判定結果１２０６の各データの組合せを一つの列とする、１つ以上の列から構成されるテーブル構造を持つ。評価結果テーブル１２００の主キーは、評価識別子１２０１、プロジェクト識別子１２０２、情報資産の識別子１２０３、評価項目識別子１２０４であり、これらの主キーは、評価結果テーブル１２００内で一意の値を持つ。
【００６７】
続いて図２９を使って、ＣＢＩｅｒ２２の端末がアクセスする合成レベル表示部４５について説明する。セキュリティ評価システム１における合成レベル表示部４５は、アクセスしてきたＣＢＩｅｒ２２の端末に対し、画面１３０１にて総合レポートを表示する。この総合レポートは、情報資産ごとに要求レベルを満たす“ＯＫ”あるいは満たさない“ＮＧ”であるかを表示する。この画面１３０１を端末にて閲覧したＣＢＩｅｒ２２は、当該画面１３０１にて「詳細」ボタンを押下して、詳細な結果レポートを参照することとなる。
【００６８】
この場合、セキュリティ評価システム１の合成レベル表示部４５は、画面１３１０をＣＢＩｅｒ２２の端末に返す。図２９にて示す画面１３１０は、詳細な結果レポートを図示した一例である。
【００６９】
画面１３１０は、情報資産の一覧をツリー構造で表示するペイン１３１１と、関与主体とクラウドサービスの一覧とそれらの接続を図示するペイン１３１２と、セキュリティの評価項目ごとに要求レベルを満たすのか満たさないのかをテーブル構造で表示するペイン１３１３からなる。ＣＢＩｅｒ２２は、端末からの入力動作により、ペイン１３１１にて情報資産を選択し、ペイン１３１２上で前記情報資産のデータフローおよびデータストックを確認しつつ、ペイン１３１３上でシステム全体の合成レベルが要求レベルを超えるかどうかを確認できる。
【００７０】
以上述べてきたセキュリティ評価支システム１によれば、複数かつ異種のクラウドサービスを組み合わせてシステム設計を行うクラウドベース設計において、システム全体のセキュリティを効率良くかつ正確に評価することができる。
【００７１】
−−−第二実施形態−−
次に、セキュリティ評価システム１が、部品レベルのセキュリティ評価項目別の合成処理を行う演算式を規定した演算テーブルを備える場合の形態について説明する。この演算テーブルは、セキュリティ評価項目毎に、クラウドサービス間の接続関係別に適用すべき、部品レベルのセキュリティ評価項目別の合成処理を行う演算式を規定したテーブルとなる。
【００７２】
まず、図３０を用いて第二実施形態における評価項目データベース３１のテーブル関係について説明する。この実施形態における評価項目データベース３１は、評価項目テーブル３００と、評価レベルテーブル３１０と、演算テーブル２２００から構成されている。上述の第一実施形態と同様に、評価項目テーブル３００は、セキュリティ評価のための評価項目を体系的に定義するためのテーブルであり、評価項目識別子を主キーとするテーブル構造をもつ。また、評価レベルテーブル３１０は、評価項目ごとのセキュリティに関するレベルを詳細に定義するためのテーブルであり、評価項目識別子を主キーとするテーブル構造をもつ。一方、演算テーブル２２００は、評価項目ごとの部品レベル合成に必要な演算処理を詳細に定義するためのテーブルであり、評価項目識別子を主キーとするテーブル構造をもつ。
【００７３】
図３１を使って演算テーブル２２００をさらに詳細に説明する。演算テーブル２２００は、評価項目識別子２２０１、入力１（２２０２）、入力２（２２０３）、条件１（２２０４）、演算式１（２２０５）、条件２（２２０６）、演算式２（２２０７）の各データの組合せを一つの列とする、１つ以上の列から構成されるテーブル構造を持つ。主キーは評価項目識別子２２０１であり、当該演算テーブル２２００内で一意に定まっている。このうち、入力１、入力２の各値は、接続関係にあるクラウドサービスの部品レベルの値である。また、条件１の値はクラウドサービス間の接続関係のうち直列接続であり、この直列接続の場合の合成レベル演算に適用すべき演算式が演算式１の値となる。同様に、条件２の値はクラウドサービス間の接続関係のうち並列接続であり、この並列接続の場合の合成レベル演算に適用すべき演算式が演算式２の値となる。
【００７４】
ここで、上述の演算テーブル２２００における演算式を用いた合成レベル計算のフローチャートを説明する。なお、第二実施形態においてもメインフローについては第一実施形態で示した図２５および図２６と同様のフローを実行するものとするため、メインフローに関する説明は省略する。
【００７５】
この場合、合成レベル計算部４３は、サービス関係テーブル９３０を参照し、システムを構成するクラウドサービスの間の接続関係を、直列と並列に分解する（ステップ１１０１）。合成レベル計算部４３は、サービスの始点から終点まで、続くステップ１１０３からステップ１１０５を繰り返す（ステップ１１０２、ステップ１１０６）。
【００７６】
続いて合成レベル計算部４３は、接続関係にある次のサービスとの接続が直列であるか並列であるかを判定する（ステップ１１０３）。この判定の結果、サービス間の接続が直列であるならば（１１０３：直列）、合成レベル計算部４３は、２つのクラウドサービスの間におけるデータフローにおける各情報資産のセキュリティ評価項目すなわち評価項目識別子２２０１に関し、演算テーブル２２００における条件１に対応する演算式１を特定し、この演算式１に、該当クラウドサービスのセキュリティ機能毎の部品レベルを適用して合成レベルを求める（ステップ１１０４）。
【００７７】
他方、ステップ１１０３の判定の結果、サービス間の接続が並列であるならば（１１０３：並列）、合成レベル計算部４３は、２つのクラウドサービスの間におけるデータフローにおける各情報資産のセキュリティ評価項目すなわち評価項目識別子２２０１に関し、演算テーブル２２００における条件２に対応する演算式２を特定し、この演算式２に、該当クラウドサービスのセキュリティ機能毎の部品レベルを適用して合成レベルを求める（ステップ１１０５）。こうして合成レベル計算部４３は、システム全体の合成レベルの計算を完了する。
【００７８】
−−−第三実施形態−−−
次に、セキュリティ評価システム１の第三実施形態について説明する。この第三実施形態では、上述の第一実施形態で述べたセキュリティ評価システム１と同じシステム構成を持つが、評価項目データベース３１のデータ構造のみが異なる。図６で示した評価項目テーブル３１では、評価項目識別子としていくつでも定義することが可能であった。しかし、評価項目テーブル３００にて評価項目識別子を定義すればするほど、その後の発注企業２１による作業や、ＣＳＰ２３による作業が増加してしまう。そこで、第三実施形態の評価項目データベース３１における評価項目テーブル１４００では、図３２にて示すように評価項目の数が固定された形態となっている。
【００７９】
図３２を使って第三実施形態における評価項目データベース３１の評価項目テーブル１４００を説明する。評価項目テーブル１４００は、大分類１４０１、中分類１４０２、小分類１４０３、評価項目識別子１４０４、評価項目の説明１４０５、最高レベル１４０５、最低レベル１４０６の各データの組合せを一つの列とする、２７個の列から構成されるテーブル構造を持つ。評価項目テーブル１４０１は、評価項目識別子１４０４を主キーに持ち、この主キーは評価項目テーブル１４０４内で一意の値を持つ。２７個の評価項目とは、以下に述べる３×３×３の組み合わせによる。
【００８０】
（機密性、完全性、可用性）
（防止、検知、回復）
（Ｈｏｗ  ｌｏｎｇ、Ｔｏ／ｆｒｏｍ  ｓｏｍｅｗｈｅｒｅ、Ｔｏ／ｆｒｏｍ  ｓｏｍｅｏｎｅ）
例えば、機密性の防止レベルは、「Ｈｏｗ  ｌｏｎｇ」、つまり、システムへの侵入や暗号解読などといった外部からの突破事象にどれくらい時間がかかるかについて、レベル分けされた値となる。
【００８１】
このように第三実施形態では評価項目を固定個とすることで、セキュリティ評価項目を網羅的にカバーしてセキュリティ評価の精度を良好なものとすると同時に、発注企業２１による作業や、ＣＳＰ２３による作業の工数の増大を抑えることができる。
【００８２】
以上、本発明を実施するための最良の形態などについて具体的に説明したが、本発明はこれに限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能である。
【００８３】
こうした本実施形態によれば、複数かつ異種のクラウドサービスを組み合わせてシステム設計を行うクラウドベース設計において、システム全体のセキュリティを効率良くかつ正確に評価可能となる。
【００８４】
本明細書の記載により、少なくとも次のことが明らかにされる。すなわち、本実施形態のセキュリティ評価システムにおいて、前記記憶装置は、前記システムにおけるセキュリティ評価項目を定義した評価項目データベースと、前記システムで処理あるいは蓄積する情報資産と、前記情報資産ごとに要求される前記セキュリティ評価項目に関する要求セキュリティレベルとを対応付けて格納した要求レベルデータベースとを更に備え、前記部品レベルデータベースにおいて、前記サブシステムで提供するセキュリティ機能と、前記セキュリティ機能ごとに備わる、前記セキュリティ評価項目に関する保持セキュリティレベルを格納しており、前記演算装置は、評価対象のシステムを構成する各サブシステムの間の接続関係を前記構成データベースで特定し、当該特定した接続関係におけるサブシステム間での前記情報資産のデータフローに基づいて、当該データフローにおける各情報資産の前記セキュリティ評価項目に関し、前記部品レベルデータベースにおける前記各サブシステムのセキュリティ機能毎の保持セキュリティレベルをセキュリティ評価項目別に所定アルゴリズムで合成し、当該合成の結果である前記セキュリティ評価項目別の合成レベルが、前記要求レベルデータベースの該当情報資産における該当セキュリティ評価項目に関する要求セキュリティレベルを満たすか判定して、前記評価対象のシステムに関するセキュリティ評価結果を算定するものである、としてもよい。
【００８５】
これによれば、詳細に分類されるセキュリティ評価項目別にセキュリティ機能毎のセキュリティレベルの合成値を得て、評価対象となるシステム全体に関する評価をより高精度に行うことが可能となる。
【００８６】
また、本実施形態のセキュリティ評価システムにおいて、前記記憶装置における前記評価項目データベースは、前記セキュリティ評価項目のうち、機密性の評価項目として、  データ漏洩をどれくらいの時間防止するか、どこへのデータ漏洩を防止するか、誰へのデータ漏洩を防止するか、データ漏洩をどれくらいの時間で検知するか、どこへのデータ漏洩を検知するか、誰へのデータ漏洩を検知するか、データ漏洩状態からどれくらいの時間で回復するか、どこへのデータ漏洩状態から回復するか、誰へのデータ漏洩状態から回復するか、完全性の評価項目として、データ改ざんをどれくらいの時間防止するか、どこからのデータ改ざんを防止するか、誰からのデータ改ざんを防止するか、データ改ざんをどれくらいの時間で検知するか、どこからのデータ改ざんを検知するか、誰からのデータ改ざんを検知するか、データ改ざんをどれくらいの時間で回復するか、どこからのデータ改ざんを回復するか、誰からのデータ改ざんを回復するか、可用性の評価項目として、処理の途絶をどれくらいの時間防止するか、どこへの処理の途絶を防止するか、誰への処理の途絶を防止するか、処理の途絶をどれくらいの時間で検知するか、どこへの処理の途絶を検知するか、誰への処理の途絶を検知するか、処理の途絶をどれくらいの時間で回復するか、どこへの処理の途絶を回復するか、誰への処理の途絶を回復するか、を定義するものであり、前記要求レベルデータベースは、前記システムで処理あるいは蓄積する情報資産と、前記情報資産ごとに要求される、少なくとも前記いずれかの定義のセキュリティ評価項目に関するレベルである要求セキュリティレベルとを対応付けて格納しており、前記部品レベルデータベースは、前記サブシステムで提供するセキュリティ機能と、前記セキュリティ機能ごとに備わる、少なくとも前記いずれかの定義のセキュリティ評価項目に関するレベルである保持セキュリティレベルを格納したものである、としてもよい。
【００８７】
これによれば、漏れなく詳細に分類されるセキュリティ評価項目別のセキュリティ機能毎にセキュリティレベルの合成値を得て、評価対象となるシステム全体に関する評価を更に高精度に行うことが可能となる。
【００８８】
また、本実施形態のセキュリティ評価システムにおいて、前記演算装置は、前記所定アルゴリズムによる前記保持セキュリティレベルのセキュリティ評価項目別の合成処理として、直列接続されたサブシステム間での前記情報資産のデータフローに基づいて、当該データフローにおける各情報資産の前記セキュリティ評価項目に関し、前記部品レベルデータベースにおける前記各サブシステムのセキュリティ機能毎の保持セキュリティレベルのうち、サブシステム間で前記セキュリティ機能のレベルの大きい方をセキュリティ評価項目別に選択し、並列接続されたサブシステム間での前記情報資産のデータフローに基づいて、当該データフローにおける各情報資産の前記セキュリティ評価項目に関し、前記部品レベルデータベースにおける前記各サブシステムのセキュリティ機能毎の保持セキュリティレベルのうち、サブシステム間で前記セキュリティ機能のレベルの小さい方をセキュリティ評価項目別に選択するものである、としてもよい。
【００８９】
これによれば、サブシステム間の接続関係に応じた効率的かつ的確な、セキュリティレベルの合成処理が可能となり、システム全体に対する評価の処理効率も更に向上する。
【００９０】
また、本実施形態のセキュリティ評価システムにおいて、前記演算装置は、前記所定アルゴリズムによる前記保持セキュリティレベルのセキュリティ評価項目別の合成処理として、直列接続されたサブシステム間での前記情報資産のデータフローに基づいて、当該データフローにおける各情報資産の前記セキュリティ評価項目に関し、前記部品レベルデータベースにおける前記各サブシステムのセキュリティ機能毎の保持セキュリティレベルを、サブシステム間でセキュリティ評価項目別に合算し、並列接続されたサブシステム間での前記情報資産のデータフローに基づいて、当該データフローにおける各情報資産の前記セキュリティ評価項目に関し、前記部品レベルデータベースにおける前記各サブシステムのセキュリティ機能毎の保持セキュリティレベルのうち、サブシステム間で前記セキュリティ機能のレベルの小さい方をセキュリティ評価項目別に選択するものである、としてもよい。
【００９１】
これによれば、サブシステム間の接続関係に応じた効率的かつ的確な、セキュリティレベルの合成処理が可能となり、システム全体に対する評価の処理効率も更に向上する。
【００９２】
また、本実施形態のセキュリティ評価システムにおいて、前記記憶装置は、前記セキュリティ評価項目毎に、サブシステム間の接続関係別に適用すべき、前記保持セキュリティレベルのセキュリティ評価項目別の合成処理を行う演算式を規定した演算テーブルを更に記憶しており、前記演算装置は、評価対象のシステムを構成する各サブシステムの間の接続関係を前記構成データベースで特定し、当該特定した接続関係におけるサブシステム間での前記情報資産のデータフローに基づいて、当該データフローにおける各情報資産の前記セキュリティ評価項目に関し、前記演算テーブルにおける前記接続関係に対応する演算式を特定し、前記部品レベルデータベースにおける前記各サブシステムのセキュリティ機能毎の保持セキュリティレベルを、前記セキュリティ評価項目および前記接続関係に関する前記演算式に適用して合成し、当該合成の結果である前記セキュリティ評価項目別の合成レベルが、前記要求レベルデータベースの該当情報資産における該当セキュリティ評価項目に関する要求セキュリティレベルを満たすか判定して、前記評価対象のシステムに関するセキュリティ評価結果を算定するものである、としてもよい。
【００９３】
これによれば、サブシステム間の接続関係に応じ、セキュリティ評価項目毎にきめ細かく定義された演算式により、より高精度にセキュリティレベルの合成処理が可能となる。
【００９４】
また、本実施形態のセキュリティ評価システムにおいて、前記演算装置は、前記システムで処理または蓄積する情報資産と、前記情報資産ごとに前記評価項目データベースのセキュリティ評価項目に関する要求セキュリティレベルとについての入力を入力装置で受け付けて、前記受け付けた情報資産と要求セキュリティレベルの入力データを、前記要求レベルデータベースに格納する処理を更に実行するものである、としてもよい。
【００９５】
これによれば、システム開発の発注者などが所望するセキュリティレベルの仕様を確実に取得し、これをベースにしたセキュリティ評価を行うことが可能となる。
【００９６】
また、本実施形態のセキュリティ評価システムにおいて、前記演算装置は、前記サブシステムで提供するセキュリティ機能と、前記セキュリティ機能ごとに備わる、前記セキュリティ評価項目に関する保持セキュリティレベルとについての入力を入力装置で受け付けて、前記受け付けたセキュリティ機能と保持セキュリティレベルの入力データを、前記部品レベルデータベースに格納する処理を更に実行するものである、としてもよい。
【００９７】
これによれば、システムの開発業者や該当システムに取り入れるサブシステムすなわちクラウドサービスの提供者などが示す、サブシステム（クラウドサービス）におけるセキュリティレベルの仕様を確実に取得し、これをベースにしたセキュリティ評価を行うことが可能となる。
【００９８】
また、本実施形態のセキュリティ評価システムにおいて、前記演算装置は、前記複数のサブシステムの間の接続関係と、前記各サブシステムにて処理または蓄積される情報資産の内容とについての入力を入力装置で受け付けて、前記受け付けた接続関係と情報資産の入力データを、前記構成データベースに格納する処理を更に実行するものである、としてもよい。
【００９９】
これによれば、システムの開発業者が設計する、システムに組み込む各サブシステム（クラウドサービス）の接続関係や、そうして接続されるサブシステム間で処理される情報資産に関する情報を確実に取得し、これをベースにしたセキュリティ評価を行うことが可能となる。
【０１００】
また、本実施形態のセキュリティ評価システムにおいて、前記演算装置は、前記評価対象のシステムに関するセキュリティ評価結果を出力装置に表示する処理を更に実行するものであるとしてもよい。
【０１０１】
これによれば、セキュリティ評価結果をシステム開発の発注者、あるいはシステムの開発業者などに明示することが可能となる。
【符号の説明】
【０１０２】
１  セキュリティ評価システム
２１  発注企業
２２  ＣＢＩｅｒ
２３  ＣＳＰ
３１  評価項目データベース
３２  要求レベル入力部
３３  要求レベルデータベース
３４  部品レベル入力部
３５  部品レベルデータベース
４１  ＣＢＩ情報入力部
４２  ＣＢＩ情報データベース（構成データベース）
４３  合成レベル計算部
４４  合成レベルデータベース
４５  合成レベル表示部
５１  ＣＰＵ（演算装置）
５２  メモリ
５３  記憶装置
５４  通信部
５５  電源部
５６  入力部
５７  出力部
５８  バス
３００  評価項目テーブル
３１０  評価レベルテーブル
５００  プロジェクトテーブル
５１０  情報資産テーブル
５２０  要求レベルテーブル
５３０  関与主体テーブル
５４０  関係テーブル
７００  インタフェーステーブル
７１０  サービステーブル
７２０  セキュリティ機能テーブル
７３０  部品レベルテーブル
９００  評価テーブル
９１０  ＣＢＩテーブル
９２０  利用サービステーブル
９３０  サービス関係テーブル
１２００  評価結果テーブル
１４００  評価項目テーブル
【図１】
2015103212.tif 000003
【図２】
2015103212.tif 000004
【図３】
2015103212.tif 000005
【図４】
2015103212.tif 000006
【図５】
2015103212.tif 000007
【図６】
2015103212.tif 000008
【図７】
2015103212.tif 000009
【図８】
2015103212.tif 000010
【図９】
2015103212.tif 000011
【図１０】
2015103212.tif 000012
【図１１】
2015103212.tif 000013
【図１２】
2015103212.tif 000014
【図１３】
2015103212.tif 000015
【図１４】
2015103212.tif 000016
【図１５】
2015103212.tif 000017
【図１６】
2015103212.tif 000018
【図１７】
2015103212.tif 000019
【図１８】
2015103212.tif 000020
【図１９】
2015103212.tif 000021
【図２０】
2015103212.tif 000022
【図２１】
2015103212.tif 000023
【図２２】
2015103212.tif 000024
【図２３】
2015103212.tif 000025
【図２４】
2015103212.tif 000026
【図２５】
2015103212.tif 000027
【図２６】
2015103212.tif 000028
【図２７】
2015103212.tif 000029
【図２８】
2015103212.tif 000030
【図２９】
2015103212.tif 000031
【図３０】
2015103212.tif 000032
【図３１】
2015103212.tif 000033
【図３２】
2015103212.tif 000034