(57)【要約】【課題】  セキュリティに関する専門的な知識を持たない者でもセキュリティポリシーの策定や修正ができるように、セキュリティポリシーの策定支援を実現すること。【解決手段】  セキュリティポリシーの各条文とその条文を実施すべき役割の組み合わせ、および、組織の体制と役割の組み合わせについて、データベース化する。  このデータベースに対し、これを利用する者が、自らの組織の体制を当てはめることにより、セキュリティポリシーの策定や修正ができるようにする。【選択図】      図１
2008083881.tif 000002
【特許請求の範囲】
【請求項１】
セキュリティポリシーの策定を支援するシステムであって、
任意の組織を構成する体制名を入力する第１の手段と、入力された体制名をセキュリティポリシー策定に係る体制名に変換する第１の手段と、セキュリティポリシー策定に係る体制名と役割名の対応関係を登録したテーブルから前記第１の手段により変換した変換後の体制名に対応する役割名を取得する第２の手段と、役割名とセキュリティポリシー条文名との対応関係を登録したテーブルから前記第２の手段で取得した役割名に対応するセキュリティポリシー条文名を取得する第３の手段と、セキュリティポリシー条文名に対応する条文内容を登録したテーブルから前記第３の手段で取得したセキュリティポリシー条文名に対応する条文内容を取得する第４の手段と、取得した条文内容を前記第１の手段で入力された体制名に対応付けて出力する第５の手段とを備えることを特徴とするセキュリティシステムポリシー策定支援システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュリティポリシー策定支援システムに関するものである。
【背景技術】
【０００２】
個人情報や営業機密などの漏洩、重要インフラとなる情報システムの停止など、情報セキュリティに関する問題は、多発し複雑化している。この情報セキュリティに関する問題を解決する手段の一つとして、セキュリティポリシーの策定が挙げられる。
このセキュリティポリシーは、単に策定することが目的なのではなく、策定されたセキュリティポリシーを、確実に実施、運用することが目的であり、そのためには、組織の体制や役割の形態に応じたセキュリティポリシーを策定する必要がある。
なお、本発明に関連する公知技術文献としては下記の特許文献１がある。
【０００３】
【特許文献１】特開２００３−９９６０２
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかし、組織の体制や役割の形態は、当然組織によって異なるため、組織の体制や役割の形態に応じたセキュリティポリシーを策定するためには、セキュリティに関する専門的な知識を持った者がセキュリティポリシーを策定する必要がある。
また、組織の体制や役割の形態は、たびたび変更されることがあり、そのたびにセキュリティに関する専門的な知識を持った者が、セキュリティポリシーを修正する必要がある。
さらに、一般的にセキュリティポリシーは、図１１に示すように、上下関係を持った複数の規程類（情報セキュリティ基本方針、情報セキュリティ標準、情報セキュリティ実施手順書）から構成されており、組織の体制や役割が変更された際には、この複数の規程間で齟齬が無いように、セキュリティポリシーを修正する必要がある。
【０００５】
本発明の目的は、セキュリティポリシーの策定において、セキュリティポリシーの各条文とその条文を実施すべき役割の組み合わせ、及び組織の体制と役割の組み合わせについて明確にし、セキュリティに関する専門的な知識を持たない者でもセキュリティポリシーの策定や修正ができるように、セキュリティポリシーの策定を支援することができるセキュリティポリシー策定支援システムを提供することにある。
【課題を解決するための手段】
【０００６】
上記目的を達成するために、本発明に係るセキュリティポリシー策定支援システムは、任意の組織を構成する体制名を入力する第１の手段と、入力された体制名をセキュリティポリシー策定に係る体制名に変換する第１の手段と、セキュリティポリシー策定に係る体制名と役割名の対応関係を登録したテーブルから前記第１の手段により変換した変換後の体制名に対応する役割名を取得する第２の手段と、役割名とセキュリティポリシー条文名との対応関係を登録したテーブルから前記第２の手段で取得した役割名に対応するセキュリティポリシー条文名を取得する第３の手段と、セキュリティポリシー条文名に対応する条文内容を登録したテーブルから前記第３の手段で取得したセキュリティポリシー条文名に対応する条文内容を取得する第４の手段と、取得した条文内容を前記第１の手段で入力された体制名に対応付けて出力する第５の手段とを備えることを特徴とする。
【発明の効果】
【０００７】
本発明によれば、セキュリティポリシーの各条文とその条文を実施すべき役割の組み合わせ、および、組織の体制と役割の組み合わせについてデータベース化することによって、セキュリティに関する専門的な知識を持たない者でもセキュリティポリシーの策定や修正を容易に実施することが可能になる。
また、組織の体制や役割の形態の変更があった際にも、その変更に応じたセキュリティポリシーの修正を容易に実施することが可能になる。
【発明を実施するための最良の形態】
【０００８】
以下、本発明に係るセキュリティポリシー策定支援システムの一実施の形態について説明する。
図１は、本発明の一実施形態を示すシステム構成図であり、セキュリティポリシーデータベース１と、体制入力手段２と、セキュリティポリシー生成機構３と、セキュリティポリシー出力手段４から構成され、体制入力手段２から入力された体制の種類により、セキュリティポリシー生成機構３でデータベースへ１の問い合わせを行い、得られた問合せ結果をセキュリティポリシー出力手段５によって出力する。
【０００９】
図２は、セキュリティポリシーデータベース１の内部構成を示す図であり、このセキュリティポリシーデータベース１は、ポリシー条文テーブル１１、様式テーブル１２、役割テーブル１３、体制テーブル１４、ポリシー条文−役割対応テーブル１５、役割−体制対応テーブル１６の６つのテーブルで構成される。
【００１０】
図３は、ポリシー条文テーブル１１の内容の一例を示す図である。
ポリシー条文テーブル１１は、ポリシー条文名１１１、ポリシー条文内容１１２、役割名１３１の３項目からなり、例えば、ポリシー条文名１１１が「情報セキュリティ基本方針文書」、ポリシー条文内容１１２が「マネジメント」は情報セキュリティ基本方針を策定・承認し、全「利用者」に周知しなければならない。」、役割名１３１が「マネジメント」といった、セキュリティポリシーの各条文に関するデータが含まれている。
【００１１】
図４は、様式テーブル１２に登録されている様式の一例を示す図である。
この様式テーブル１２に登録されている様式は、様式名１２１、役割名１３１、様式内容１２２の３項目からなり、例えば、様式名１２１が「テスト結果報告書」、役割名１３１が「マネジメント」及び「システム管理者」、様式内容１２２が「テスト結果」といった、様式に含まれる項目に関するデータが含まれている。
【００１２】
図５は、役割テーブル１３の内容例を示す図である。
役割テーブル１３は、役割名１３１、役割内容１３２の２項目からなり、例えば、役割名１３１が「マネジメント」、役割内容１３２が「情報資産の管理に関しての最高責任を持つ者。」といった、セキュリティポリシーの実施や運用を行う上で必要な役割に関するデータが含まれている。
【００１３】
図６は、体制テーブル１４の内容例を示す図である。
体制テーブル１４は、１４１体制名、体制詳細１４２の２項目からなり、例えば、体制名１４１が「社長」、体制詳細１４２が「情報資産の管理に関しての最高責任を持つ者。」といった、組織の一般的な体制に関するデータが含まれている。
【００１４】
図７は、ポリシー条文−役割対応テーブル１５の内容例を示す図である。
ポリシー条文−役割対応テーブル１５は、ポリシー条文名１１１、役割名１３１の２項目からなり、例えば、ポリシー条文名１１１が「情報セキュリティ基本方針文書」、役割名１３１が「マネジメント」といった、セキュリティポリシーの各条文と、それに対応する役割の関連についてのデータが含まれている。
【００１５】
図８は、役割−体制対応テーブル１６の内容例を示す図である。
役割−体制対応テーブル１６は、役割名１３１、体制名１、体制名２、体制名３、…、体制名ＮのＮ＋１項目からなり、例えば、役割名１３１が「マネジメント」、体制名１が「社長」、体制名２が「理事長」といった、セキュリティ役割と、それに対応するセキュリティ体制の関連についてのデータが含まれている。
【００１６】
図９は、体制入力手段２の処理の一例を示すフローチャートである。
まず、体制入力方法選択により、体制の入力方法を、手入力と一括入力の２つから選択する（ステップ１００１）。手入力の場合は、本システムの利用者は、組織の体制を１つずつ入力する（ステップ１００２）。一括入力の場合は、ＣＳＶ形式など定められた形式のファイルにより、組織の体制を一括して入力する（ステップ１００３）。
これにより、組織の体制変更と自動的に連動して、セキュリティポリシーの修正ができるようになる。
続いて、セキュリティポリシー生成機構３の詳細について説明する。
【００１７】
図１０は、セキュリティポリシー生成機構３の処理の一例を示すフローチャートである。
まず、体制入力手段２から、入力された体制情報を取得する（ステップ１１０１）。
次に、ステップ１１０１で取得した体制情報をキーに、体制テーブル１４を検索し、合致する体制名１４１を取得する（ステップ１１０２）。
次に、ステップ１１０２で取得した体制名１４１をキーに、役割−体制対応テーブル１６を検索し、合致する役割名１３１を取得する（ステップ１１０３）。
次に、ステップ１１０３で取得した役割名をキーに、ポリシー条文−役割対応テーブル１５を検索し、合致するポリシー条文名１１１を取得する（ステップ１１０４）。
次に、ステップ１１０４で取得したポリシー条文名１１１をキーに、ポリシー条文テーブル１１を検索し、合致するポリシー条文内容１１２を取得する（ステップ１１０５）。
次に、ポリシー条文内容１１２の中で、役割名１３１に該当する用語を、ステップ１１０２で取得した体制名１４１に置き換える。また、様式名１２１の様式の中で、役割名１３１に該当する用語を、ステップ１１０２で取得した体制名１４１に置き換える（ステップ１１０６）。
以上の手順で作成したポリシー条文及び様式を、セキュリティポリシー出力手段４により出力する。
これにより、組織の体制や役割の形態に応じたセキュリティポリシーを策定することができる。
【００１８】
なお、本実施形態では、組織の体制や役割の形態について、単純な場合についてのみ示しているが、主担当者および副担当者など役割のパターンを増やすなどの機能を追加することにより、様々な組織の形態に対応可能なセキュリティポリシー策定支援システムを実現することができる。
【図面の簡単な説明】
【００１９】
【図１】本発明の一実施の形態例を示すシステム構成図である。
【図２】セキュリティポリシーデータベースの構成図である。
【図３】ポリシー条文テーブルの内容例を示す図である。
【図４】様式の例を示す図である。
【図５】役割テーブルの内容例を示す図である。
【図６】体制テーブルの内容例を示す図である。
【図７】ポリシー条文−役割対応テーブルの内容例を示す図である。
【図８】役割−体制対応テーブルの内容例を示す図である。
【図９】体制入力手段の例を示すフローチャートである。
【図１０】セキュリティポリシー生成機構の処理例を示すフローチャートである。
【図１１】セキュリティポリシーの一般的な体系を示した構成図である。
【符号の説明】
【００２０】
１    セキュリティポリシーデータベース
１１    ポリシー条文テーブル
１２    様式テーブル
１３    役割テーブル
１４    体制テーブル
１５    ポリシー条文−役割対応テーブル
１６    役割−体制対応テーブル
【図１】
2008083881.tif 000003
【図２】
2008083881.tif 000004
【図３】
2008083881.tif 000005
【図４】
2008083881.tif 000006
【図５】
2008083881.tif 000007
【図６】
2008083881.tif 000008
【図７】
2008083881.tif 000009
【図８】
2008083881.tif 000010
【図９】
2008083881.tif 000011
【図１０】
2008083881.tif 000012
【図１１】
2008083881.tif 000013