(57)【要約】【課題】セキュリティ国際標準の認証を効率的に取得する。【解決手段】  開発ユニットの指示に従って、セキュリティ保証要件を満たしていることの証拠資料の作成を実施していくセキュリティ設計の開発支援システムにおいて、  開発対象製品の状況を確認するために実施する開発ユニットスタータと、新規の開発対象製品に対して実施する開発ユニットＡ、開発者自身がレビューを実施する開発ユニットＢ、早期に評価認証を取得したい開発対象製品に対して実施する開発ユニットＣを設け、３つの開発ユニットＡ、Ｂ、Ｃのうち開発対象製品に最適な対応した開発ユニットを選択して実施する。【選択図】      図１
2008102616.tif 000002
【特許請求の範囲】
【請求項１】
開発対象製品の製品仕様に従い、製品開発者による当該開発対象製品の設計から製造、運用に至るまでの各作業工程で作成される資料が所定のセキュリティ保証要件を満たしていることの確認、及び当該資料の作成を支援するセキュリティ設計の開発支援システムにおいて、
開発対象製品の当該製品仕様に応じて、当該製品開発の中で実行される作業工程の名称と当該作業工程の内容と当該作業工程の進捗情報とが少なくとも定められる開発ユニットに関する開発ユニット情報を記憶する開発ユニット情報記憶手段と、
前記製品開発者によって入力される開発対象製品の製品仕様及び前記開発ユニット情報に基づいて、当該開発対象製品の開発ユニットを決定する開発ユニットスタータと、
前記開発ユニットスタータで決定された開発ユニットを構成する作業工程の進捗情報を表示する進捗情報表示手段と、
この進捗情報を表示したのちに、前記開発ユニットスタータで決定された開発ユニットを構成する作業工程にて求められる当該開発対象製品上のセキュリティ機能に関する前記証拠資料の作成を、前記開発対象商品に対する設計、製造、検査、出荷、運用に至る工程毎に指示する開発ユニット実施手段と、
前記各開発ユニットで作成された各作業工程における各証拠資料を記憶する証拠資料データベースと
を備えたことを特徴とするセキュリティ設計の開発支援システム。
【請求項２】
前記開発ユニットは、当該製品仕様として新規のセキュリティ機能を含む製品を対象とする第一の開発ユニット、当該製品仕様として新規のセキュリティ機能を含みかつ当該製品の開発過程に製品開発者が種々のレビューを実施することを含めることを前提とした開発製品を対象とする第二の開発ユニット、当該製品仕様として新規のセキュリティ機能を含みかつ早期な評価認証が求められる製品を対象とする第三の開発ユニットの少なくとも三種類を含むことを特徴とする請求項１記載のセキュリティ設計の開発支援システム。
【請求項３】
前記開発ユニットスタータは、
他社製品動向、ＳＴ／ＰＰ調査、セキュリティ環境の確認を行う技術調査タスクと、
構成管理、設計実装、テストのいずれか一つのセキュリティ保証要件クラスの適合度を分析することにより、評価保証レベルを仮決定する簡易現状分析タスクと、
前記技術調査タスクと前記簡易現状分式タスクで調査分析した結果に基づいて、解決すべき課題の整理を行い、次に行う開発ユニットの候補を選定するキックオフ準備タスクとを含む
ことを特徴とする請求項１記載のセキュリティ設計の開発支援システム。
【請求項４】
前記第一の開発ユニットは、
前記開発対象製品における要求定義工程に並行に実施する、セキュリティシナリオ作成タスクと適合度分析タスクとからなるアセスメントフェーズと、
前記開発対象製品における基本設計工程に並行に実施する、ＳＴ設計タスクと構成管理タスクと開発セキュリティタスクとからなるＳＴ設計フェーズと、
前記開発対象製品における詳細設計工程から開発テスト工程に並行に実施する、設計実装タスクと簡易脆弱性分析タスクとかなる設計実装フェーズと、
前記開発対象製品におけるマニュアル作成工程に並行に実施する、設置・ガイダンス文書タスクと配付タスクとかなるガイダンスフェーズと、
前記開発対象製品における検査工程に並行に実施する、テストタスクと脆弱性分析タスクと一貫性確認タスクとかなるテストフェーズと、
前記開発対象製品における出荷・設置工程に並行に実施する、評価受審タスクと認証受審タスクとかなる評価認証受審フェーズとを含む
ことを特徴とする請求項１記載のセキュリティ設計の開発支援システム。
【請求項５】
前記第二の開発ユニットは、
前記開発対象製品における要求定義工程に並行に実施する、セキュリティシナリオ作成タスクと適合度分析タスクとからなるアセスメントフェーズと、
前記開発対象製品における基本設計工程に並行に実施する、ＳＴ設計タスクと構成管理タスクと開発セキュリティタスクと、前記ＳＴ設計タスクと構成管理タスクと開発セキュリティタスクの内容を説明するＳＴ設計レビューとからなるＳＴ設計フェーズと、
前記開発対象製品における詳細設計工程から開発テスト工程に並行に実施する、設計実装タスクと簡易脆弱性分析タスクと、前記ＳＴ設計タスクと簡易脆弱性分析タスクの内容を説明する設計実装レビューとからなる設計実装フェーズと、
前記開発対象製品におけるマニュアル作成工程に並行に実施する、設置・ガイダンス文書タスクと配付タスクと、設置・ガイダンス文書タスクと配付タスクの内容を説明するガイダンスレビューとかなるガイダンスフェーズと、
前記開発対象製品における検査工程に並行に実施する、テストタスクと脆弱性分析タスクと一貫性確認タスクとかなるテストフェーズと、
前記開発対象製品における出荷・設置工程に並行に実施する、評価受審タスクと認証受審タスクとかなる評価認証受審フェーズとを含む
ことを特徴とする請求項１記載のセキュリティ設計の開発支援システム。
【請求項６】
前記第三の開発ユニットは、
前記開発対象製品における要求定義工程に並行に実施する、セキュリティシナリオ作成タスクと適合度分析タスクとからなるアセスメントフェーズと、
前記開発対象製品における基本設計工程に並行に実施するＳＴ設計タスクからなるＳＴ設計フェーズと、
前記開発対象製品における詳細設計工程から開発テスト工程に並行に実施する、設計実装タスクと簡易脆弱性分析タスクとかなる設計実装フェーズと、
前記開発対象製品におけるマニュアル作成工程に並行に実施する、設置・ガイダンス文書タスクと配付タスクとかなるガイダンスフェーズと、
前記開発対象製品における検査工程に並行に実施する、テストタスクと脆弱性分析タスクと一貫性確認タスクとかなるテストフェーズと、
前記開発対象製品における出荷・設置工程に並行に実施する、評価受審タスクと認証受審タスクとかなる評価認証受審フェーズとを含む
ことを特徴とする請求項１記載のセキュリティ設計の開発支援システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、開発対象製品の設計から製造、運用に至るまでの各工程で作成される資料がセキュリティ国際標準（ＩＳＯ／ＩＥＣ１５４０８）のセキュリティ保証要件を満たしていることの確認、及びその証拠となる資料の作成を支援するセキュリティ設計の開発支援システムに関する。
【背景技術】
【０００２】
製品のセキュリティ機能を保証する国際規格としてセキュリティ国際標準（以下、「ＩＳＯ１５４０８」という。）がある。このＩＳＯ１５４０８においては、製品の開発、製造、出荷に至る各工程における該当製品自体や製造環境等がこのセキュリティ国際標準を満たすことが要求され、かつ満たすことの証拠となる資料（証拠ドキュメント）が要求されている。
【０００３】
したがって、製品のメーカとしては、この第三者機関により認定されるＩＳＯ１５４０８の評価・認証に準拠した製品に対するセキュリティ設計や評価認証の取得は、セキュアな開発プロセスと体制を整備し、ＩＴ製品やシステムの開発対象製品のセキュリティ機能を高めるために有効なアプローチである。
【０００４】
しかし、ＩＳＯ１５４０８評価認証を受審、取得する場合、抽象度の高い規格書であるＣＣ（Ｃｏｍｍｏｎ  Ｃｒｉｔｅｒｉａ  共通基準）を独自の経験に基づいて解釈しなければならないため多大なコストがかかるという問題点と、例えば図２に示す各セキュリティ保証要件２のクラス（ＡＬＣクラス、ＡＣＭクラスetc）、ファミリ、コンポーネントとセキュリティ機能の設計とを、製品開発の各工程（プロセス）１ａ〜１ｈにどのように組み入れていけばよいのかわからないといった問題点があった。
【０００５】
例えば、製品の開発、設計の開始に先立って構成管理や開発セキュリティの保証要件の開発を行わなければ、ＣＣ（共通基準）の要件に対して不適合になってしまい、セキュリティ設計開発の後戻りややり直しということもあり得る。
【０００６】
このような、不便さを解消するために、特許文献１に記載された「セキュリティ・システムの計画・設計方法及びその支援ツール」においては、セキュリティ国際標準（ＩＳＯ／ＩＥＣ１５４０８）で規定しているＰＰ（Ｐｒｏｔｅｃｔｉｏｎ  Ｐｒｏｆｉｌｅ：プロテクションプロファイル。以下、「ＰＰ」という。）／ＳＴ（Ｓｅｃｕｒｉｔｙ  Ｔａｒｇｅｔ：セキュリティ・ターゲット。以下、「ＳＴ」という。）作成のために、支援ツールにおける全作業工程を６つのフェーズ、すなわち、先頭から、ＴＯＥ（Ｔａｒｇｅｔ  ｏｆ  Ｅｖａｌｕａｔｉｏｎ：評価対象。以下、「ＴＯＥ」という。）モデル化、脅威抽出、対策抽出、セキュリティ目標確立、ＣＣ機能要求付与の各フェーズに分けている。そして、各フェーズにおいて、当該フェーズに与えられたＰＰ／ＳＴの作成を実施している。
【特許文献１】特開２０００−１３２７６７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかしながら、上述した特許文献１に記載の規格を満たすセキュリティに関するＰＰ／ＳＴを作成する支援ツールにおいても、開発対象製品の設計から製造、運用に至るまでの全工程を通した体系的なセキュリティ設計に対する有効な支援が実現できなかった。
【０００８】
本発明はこのような事情に鑑みてなされたものであり、開発対象製品の設計から製造、運用に至るまでの全作業工程において設計すべきセキュリティ機能を開発対象製品に組み込むための具体的な作業（以下、「タスク」という。）が指示され、開発対象製品に対するセキュリティ国際標準の認証を効率的に、かつ、たとえ不慣れな者であっても容易に取得できるセキュリティ設計の開発支援システムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
上記課題を解決するために、本発明は、開発対象製品の製品仕様に従い、製品開発者による当該開発対象製品の設計から製造、運用に至るまでの各作業工程で作成される資料が所定のセキュリティ保証要件を満たしていることの確認、及び当該資料の作成を支援するセキュリティ設計の開発支援システムにおいて、
開発対象製品の当該製品仕様に応じて、当該製品開発の中で実行される作業工程の名称と当該作業工程の内容と当該作業工程の進捗情報とが少なくとも定められる開発ユニットに関する開発ユニット情報を記憶する開発ユニット情報記憶手段と、記製品開発者によって入力される開発対象製品の製品仕様及び開発ユニット情報に基づいて、当該開発対象製品の開発ユニットを決定する開発ユニットスタータと、開発ユニットスタータで決定された開発ユニットを構成する作業工程の進捗情報を表示する進捗情報表示手段と、この進捗情報を表示したのちに、開発ユニットスタータで決定された開発ユニットを構成する作業工程にて求められる当該開発対象製品上のセキュリティ機能に関する証拠資料の作成を、開発対象商品に対する設計、製造、検査、出荷、運用に至る工程毎に指示する開発ユニット実施手段と、記各開発ユニットで作成された各作業工程における各証拠資料を記憶する証拠資料データベースとを備えている。
【００１０】
このように構成されたセキュリティ設計の開発支援システムにおいては、開発対象製品の設計から製造、運用に至るまでの全作業工程において設計すべきセキュリティ機能に関するタスクが指示され、又そのタスクの実行を促される。
【００１１】
また、別の発明は、上記発明のセキュリティ設計の開発支援システムにおいて、開発ユニットは、当該製品仕様として新規のセキュリティ機能を含む製品を対象とする第一の開発ユニット、当該製品仕様として新規のセキュリティ機能を含みかつ当該製品の開発過程に製品開発者が種々のレビューを実施することを含めることを前提とした開発製品を対象とする第二の開発ユニット、当該製品仕様として新規のセキュリティ機能を含みかつ早期な評価認証が求められる製品を対象とする第三の開発ユニットの少なくとも三種類を含む。
【００１２】
このようなセキュリティ設計の開発支援システムにおいては、開発ユニットとして、開発対象製品の製品仕様に応じて、新規のセキュリティ機能を含む製品を対象とする第一の開発ユニット（以下、「開発ユニットＡ」ということもある。）と、当該製品の開発過程に製品開発者自身が種々のレビューを実施することを含めることを前提とした開発製品を対象とする第二の開発ユニット（以下、「開発ユニットＢ」ということもある。）と、当該製品仕様として早期な評価認証取得が求められる製品を対象とする第三の開発ユニット（以下の実施例では、「開発ユニットＣ」ということもある。）を選択できるので、効率的に、セキュリティ設定に関する支援を実施できる。
【００１３】
また、別の発明においては、上記発明のセキュリティ設計の開発支援システムにおいて、開発ユニットスタータは、他社製品動向、ＳＴ／ＰＰ調査、セキュリティ環境の確認を行う技術調査タスクと、構成管理、設計実装、テストのいずれか一つのセキュリティ保証要件クラスの適合度を分析することにより、評価保証レベルを仮決定する簡易現状分析タスクと、技術調査タスクと簡易現状分式タスクで調査分析した結果に基づいて、解決すべき課題の整理を行い、次に行う開発ユニットの候補を選定するキックオフ準備タスクとを含む。
【００１４】
また、別の発明のセキュリティ設計の開発支援システムにおいては、記第一の開発ユニット（開発ユニットＡ）は、開発対象製品における要求定義工程に並行に実施する、セキュリティシナリオ作成タスクと適合度分析タスクとからなるアセスメントフェーズと、開発対象製品における基本設計工程に並行に実施する、ＳＴ設計タスクと構成管理タスクと開発セキュリティタスクとからなるＳＴ設計フェーズと、開発対象製品における詳細設計工程から開発テスト工程に並行に実施する、設計実装タスクと簡易脆弱性分析タスクとかなる設計実装フェーズと、開発対象製品におけるマニュアル作成工程に並行に実施する、設置・ガイダンス文書タスクと配付タスクとかなるガイダンスフェーズと、開発対象製品における検査工程に並行に実施する、テストタスクと脆弱性分析タスクと一貫性確認タスクとかなるテストフェーズと、開発対象製品における出荷・設置工程に並行に実施する、評価受審タスクと認証受審タスクとかなる評価認証受審フェーズとを含む。
【００１５】
この開発ユニットＡは、新規に製品の開発を行う場合の基本となる開発ユニットであり、例えば、図２に示すように、製品開発における開発要求発生後の「要求定義工程」１ａから最終の「運用開始」１ｈからなる全工程１おける「要求定義工程」、「基本設計工程」、「詳細設計工程から開発テスト工程」、「マニュアル作成工程」、「検査工程」、「出荷・設置工程」の各工程に、規格で求められる各セキュリティ機能のセキュリティ保証要件２の保証要件クラス２に対応したセキュリティ機能を実行するための１つ又は複数のタスクを含む複数のフェーズからなる。したがって、各フェーズは、対応する工程の実行に並行して実行される。
【００１６】
これに対して、開発ユニットＢは、基本的に開発ユニットＡとほぼ同じであるが、ＳＴ設計フェーズにＳＴ設計タスクと構成管理タスクと開発セキュリティタスクの内容を開発者が評価するＳＴ設計レビューが含まれる。また、設計実装フェーズにＳＴ設計タスクと簡易脆弱性分析タスクの内容を開発者が評価する設計実装レビューが含まれる。さらに、ガイダンスフェーズに設置・ガイダンス文書タスクと配付タスクの内容を開発者が評価するガイダンスレビューが含まれる。
【００１７】
これは、評価認証取得を行おうとする開発者が過去に評価認証取得の経験があり、認証機関が要求する開発者レビューを実施できる条件である場合に、開発者レビューを支援するためのツールが含まれている。操作者にとって、セキュリティ設計の証拠資料作成とレビューという異なる視点でのドキュメント作成での効率を向上できる。
【００１８】
さらに、開発ユニットＣも、基本的に開発ユニットＡとほぼ同じであるが、ＳＴ設計フェーズにおける構成管理タスクと開発セキュリティタスクとを削除している。開発ユニットＣは、早期にＣＣ評価認証を取得したい開発対象製品を対象としているので、開発セキュリティ（ＡＬＣクラス）と構成管理（ＡＣＭクラス）において市販のツールと予め準備されている参考資料（例：一度認証取得された製品における開発セキュリティタスクと構成管理タスクによって作成された対象資料など。）規定文書を活用し効率化を図る。
【発明の効果】
【００１９】
本発明においては、開発対象製品に組み込むべきセキュリティ機能に対して規格で要求される事項に関するタスクが操作者の理解できる言葉で指示され、開発対象製品に対するセキュリティ国際標準の評価認証を効率的に取得できる。
【発明を実施するための最良の形態】
【００２０】
以下、本発明の各実施形態について図面を用いて説明する。
【００２１】
（第１実施形態）
図１は本発明の第１実施形態に係わるセキュリティ設計の開発支援システムの概略構成を示す図である。以下、本発明において、「セキュリティ機能を組み入れた製品を設計すること」を「セキュリティ設計」と省略して記載し、「製品を開発する担当者（製品開発者）」を「操作者」という。
【００２２】
パーソナルコンピュータ等の情報処理装置からなる主制御部３に対して、各種データベースが設けられた記憶装置４、製品を開発するに際し開発対象製品の製品仕様に応じて、当該製品開発の中で実行される作業工程の名称と当該構成の実体的内容（タスク）と当該作業工程の進捗状況（特に、図示していないが含まれても良い。以下同様。）が少なくとも対応して定められる「開発ユニット」に関する開発ユニット情報（本実施例では、三種類の開発ユニットを用意しているが、三種類に限定はされない。）が記憶された開発ユニットファイル５、作成された証拠資料を記憶する証拠資料データベース６、各種ツールが設けられた外部システム７が接続されている。本実施形態では、開発ユニットファイル５は図示していない記憶装置に記憶されているものとする。
【００２３】
記憶装置４には、セキュリティ国際標準（ＩＳＯ／ＩＥＣ１５４０８）のＣＣ（Ｃｏｍｍｏｎ  Ｃｒｉｔｅｒｉａ  共通基準）で規定しているＰＰ／ＳＴを記憶するＳＴ／ＰＰデータベース８、既知の攻撃や脆弱性を記憶する脅威データベース９、セキュリティ保証要件を満たしていることの証拠資料を作成するためのテンプレート、チェックシート、補助教材、ＣＣコンポーネントガイド、作業標準等の証拠資料作成用データ１０等が記憶されている。
【００２４】
外部システム７には、プロジェクト管理ツール１１、構成管理ツール１２、文書エディタ１３、図表エディタ１４が利用可能となっている。そして、この外部システム７の各ツール１１、１２は開発対象製品の開発工程１ａ〜１ｈ及び各開発ユニットのフェーズ、タスクの管理を行う。各エディタ１３、１４は、主制御部３内のシステム管理部１６のシステム連携部１５に接続され、この主制御部３において、各開発ユニットにおけるタスク実行時に当該タスク毎に、ＥＡＬ（Ｅｖａｌｕａｔｉｏｎ  Ａｓｓｕａｒａｎｃｅ  Ｌｅｖｅｌ  評価保証レベル）に合った証拠資料作成の時に使用される。
【００２５】
開発ユニットファイル５内には、図３に示すように、開発ユニットＡ１８、開発ユニットＢ１９、開発ユニットＣ２０が記憶されている。そして、この記憶された各開発ユニット１７〜２０は主制御部３で、認証取得の流れ２４に従って、すなわち、図２に示す製品開発の工程１ａ〜1ｈに従って読出されて実行されるが、主制御部３内に設けられた開発ユニットスタータ１７は、最初の要求定義工程１ａの前に実施される。開発ユニットスタータ１７の情報処理については、後述する。また、開発ユニットスタータ１７によって選択された開発ユニットＡ１８、開発ユニットＢ１９、開発ユニットＣ２０のうちのいずれか一つの開発ユニットのみが読出されて実行される。
【００２６】
以下、図３〜図６を用いて開発ユニットスタータ１７、開発ユニットＡ１８、開発ユニットＢ１９、開発ユニットＣ２０の構成を説明する。
【００２７】
開発ユニットスタータ１７は、図３に示すように、技術調査タスク２１、簡易現状分析タスク２２、キックオフ準備タスク２３の３つのタスクからなる。
【００２８】
技術調査タスク２１においては、主制御部３は、他社製品動向調査、ＰＰ／ＳＴ、製品へのセキュリティ機能の設計確認、開発体制およびスケジュールの策定が必須の作業であることを操作者に指示するべく、当該指示内容を表示装置（図示しない。以下同様。）に表示する。この他、タスクで具体的な実行しなくてはいけない作業の詳細な内容も同時に表示して良い（以下のタスクにおいても同様とする。）。この表示内容は、同表示装置上の同一画面に表示しても良いし、別画面に表示しても良い。
【００２９】
簡易現状分析タスク２２においては、主制御部３は、操作者に、構成管理（保証要件のクラスでＡＣＭクラス）、設計実装（ＡＤＶクラス）、テスト（ＡＴＥクラス）のいずれか１つの保証要件のクラスの適合度を分析することにより、実際の開発製品およびその開発環境の評価保証レベル（ＥＡＬ）を仮に決定する作業が必須であることを指示するべく、当該指示内容を表示装置に表示する。主制御部３は、目標とする開発対象製品の評価保証レベル（ＥＡＬ：後述の製品条件メモリ３５ｂに記憶される。）が決定している場合は、分析結果から導かれる評価保証レベル（ＥＡＬ）に対して解決すべき課題へのアクションアイテムを決定する。
【００３０】
キックオフ準備タスク２３においては、主制御部３は、操作者に、先の技術調査タスク２１と簡易現状分析タスク２２で分析した結果に基づいて、解決すべき課題の整理を行い、次に行うＡ、Ｂ、Ｃの開発ユニットの候補を選定することが必須の作業であることを操作者に指示するべく、当該指示内容を表示装置に表示する。この後、選定した開発ユニット候補の開発プロセスに対応したセキュリティ設計開発スケジュール、開発体制を構築する。
【００３１】
このように、主制御部３がこの開発ユニットスタータ１７における必須の各タスク２１，２２，２３を読出して、表示装置に表示して、この支援システムの操作者にこのタスクの実行を促す。開発ユニットスタータ１７は、後述の製品条件メモリ３５ｂの内容及び各タスク２１、２２、２３で操作者によって実行入力されたタスク結果（成果物）に基づいて、操作者が開発する製品の開発ユニットを決定する。
【００３２】
新規のセキュリティ機能が含まれる開発対象商品を設計する上で実行すべき各工程と当該工程において必須の各タスクとを記憶した開発ユニットＡ１８を図４に示す。この図４の上部の工程は製品開発の一般的な工程を表しており、本発明の開発支援システムが操作者に実行を促す各タスクは当該一般的な工程と対応しつつも、各フェーズ（ＩＳＯ１５４０８で規定される工程名称）に対して設定されている。後述の開発ユニットについても同様である。
【００３３】
この開発ユニットＡ１８は、開発ユニットスタータ１７が終了した後に、主制御部３から実行指示されると、図４に示すように、開発対象製品の各工程１ａ〜１ｈに同期して実行される。
【００３４】
開発ユニットＡ１８は、アセスメントフェーズ２５、ＳＴ設計フェーズ２６、設計実装フェーズ２７、ガイダンスフェーズ２８、テストフェーズ２９、評価・認証受審フェーズ３０とで構成されている。
【００３５】
そして、アセスメントフェーズ２５は、ＩＴ製品やシステムの開発対象製品に対する要求定義工程１ａに対応して実施し、その内訳としてセキュリティシナリオ作成タスク、適合度分析タスクからなる。セキュリティシナリオ作成タスクと適合度分析タスクとの間には順序関係があり、セキュリティシナリオ作成タスクが適合度分析タスクよりも先に実行されるものとする。
【００３６】
なお、セキュリティシナリオ作成タスクは、ＩＴ製品やシステムの開発対象製品とその開発環境の脅威及び、それらの対策方針を策定することにより、ＴＯＥ範囲と評価認証に関わる部門、人員計画、開発セキュリティの機能、構成管理の範囲を明確にすることが求められる旨が表示指示される。
【００３７】
適合度分析タスクは、開発ユニットスタータ１７での簡易現状分析タスク２２の中で仮決定又は本決定して選択したＥＡＬ（評価保証レベル）全ての保証要件について適合度を分析し、当該分析結果から導かれるＥＡＬ（評価保証レベル）に対して解決すべき課題へのアクションアイテムと、以降の作業についての作業ボリュームを確定することが求められる旨が表示指示される。
【００３８】
ＳＴ設計フェーズ２６は、ＩＴ製品やシステムの開発対象製品に対する基本設計工程１ｂに対応して（以下、「同期して」と表現することもある。）実施し、その内訳としてＳＴ設計タスク、構成管理タスク、開発セキュリティタスクからなる。これら３種類のタスクの作業順序は特に定まっておらず、並行して実施されても良い。
【００３９】
ＳＴ設計タスクは、セキュリティシナリオに基づいたセキュリティ目標を策定し、論理設計を行い、ＳＴを作成する（ＡＳＥクラス）ことが求められる旨が表示指示される。なお、ＳＴは対象製品やシステムのセキュリティに関する最上位（概略）の仕様である。
【００４０】
構成管理タスクは、管理・運用系の保証要件を設定する（ＡＣＭクラス）ことが求められる旨が表示指示される。全ての開発プロセスから運用開始までに関わってくることからセキュリティ設計の最初のフェーズで実施する。
【００４１】
開発セキュリティタスクは、セキュリティ設計を行おうとする開発環境をセキュアにするための保証要件を設定する（ＡＬＣクラス）ことが求められる旨が表示指示される。なお、開発環境のセキュリティが確保されないままにセキュリティ機能の設計を実行することは新たな脅威や脆弱性を生み、ＣＣ評価保証要件に不適合となることから、先の構成管理タスクと同様にセキュリティ設計の最初のフェーズで実施することが求められる旨が表示指示される。
【００４２】
設計実装フェーズ２７は、ＩＴ製品やシステムの開発対象製品における詳細設計工程１ｃから開発・テスト工程１ｄに対応して実施し、その内訳として設計実装タスクと簡易脆弱性分析タスクからなる。
【００４３】
設計実装タスクは、ＳＴ設計フェーズのＳＴ設計タスクで策定した大まかなセキュリティ仕様に対する詳細な機能設計、構造設計、実装表現を行う（ＡＤＶクラス）ことが求められる旨が表示指示される。さらに、簡易脆弱性分析タスクは、この設計実装タスクで作成された機能設計の簡易脆弱性分析を実施する（ＡＶＡクラス）ことが求められる旨が表示指示される。
【００４４】
このように、ＳＴ設計フェーズ２６及び設計実装フェーズ２７においては、ＳＴ設計タスクで策定したセキュリティ論理設計を機能設計、構造設計、実装表現へと具体化していき、設計段階での脆弱性分析を行うことにより、既存の脆弱性を未然に防ぐための設計、実装とテスト仕様を策定していくことができる旨が表示される。
【００４５】
ガイダンスフェーズ２８は、ＩＴ製品やシステムの開発対象製品における開発・テスト工程１ｄの終了後のマニュアル作成工程１ｅに同期して実施され、開発対象製品のマニュアルであるガイダンス文書とセキュアな配付に関する証拠資料を作成するための設置・ガイダンス文書タスク（ＡＧＤレベル）と、作成したガイダンスのユーザに配布する配布タスク（ＡＤＯレベル）からなる。
【００４６】
テストフェーズ２９は、ＩＴ製品やシステムの開発対象製品における検査工程１ｇに同期して実施され、テストタスク（ＡＴＥレベル）、脆弱性分析タスク（ＡＶＡクラス）、これまでに作成した全ての証拠資料のセキュリティ的な一貫性の確認を行う一貫性確認タスクからなる。
【００４７】
最後の評価・認証受診フェーズ３０は、ＩＴ製品やシステムの開発対象製品における出荷・設置１ｈに同期して実施され、第三者による評価受審タスク、及び認証受審タスクとからなる。この評価・認証受診フェーズ３０の各タスクにおいて指摘された内容は、他のフェーズにおける各タスクへ戻り、証拠資料や製品そのもののセキュリティ機能を修正する。
【００４８】
このように、主制御部３がこの開発ユニットＡ１８における各フェーズ２５〜３０における各タスクを読出して、表示装置に表示して、この支援システムの操作者にこのタスクの実行を促す。
【００４９】
図２に、ＩＴ製品やシステムの開発対象製品における各工程１ａ〜１ｈで実施する各タスクの保証要件のレベル（クラス）を示す。
【００５０】
次に、操作者自身が種々のレビューを実施することを前提とした開発対象製品の設計を行う上で実行すべき各工程と当該工程において必須の各タスクとを記憶した開発ユニットＢ１９を図５に示す。この開発ユニットＢ１９は、開発ユニットスタータ１７が終了した後に、主制御部３から実行指示されると、図５に示すように、開発対象製品の各工程１ａ〜１ｈに同期して実行される。
【００５１】
この開発ユニットＢ１９は、上述した開発ユニットＡ１８と同様に、アセスメントフェーズ２５、ＳＴ設計フェーズ２６、設計実装フェーズ２７、ガイダンスフェーズ２８、テストフェーズ２９、評価・認証受審フェーズ３０とで構成されている。
【００５２】
製品開発に対する開発ユニットＡ１８と異なるところは、ＳＴ設計実装フェーズ２６にＳＴ設計レビュータスク３１、設計実装フェーズ２７に設計実装レビュータスク３２、ガイダンスフェーズ２８にガイダンスレビュータスク３３、テストフェーズ２９に一貫性確認・レビュータスク３４が追加的に設けられている。新規のセキュリティ機能を製品仕様としていることは開発ユニットＡ、Ｃ（後述）についても同様である。
【００５３】
この開発ユニットＢ１９においては、開発者自身による各証拠資料のレビューを上述した各レビュータスク３１〜３４で入力するようにしているので、操作者にとって、セキュリティ支援の効率を向上できる。
【００５４】
次に、類似製品で既に評価認証を取得している場合等において、早期に評価認証を取得したい開発対象製品を設計する上で実行すべき各工程と当該工程において必須の各タスクとを記憶した開発ユニットＣ２０を図６に示す。この開発ユニットＣ２０は、開発ユニットスタータ１７が終了した後に、主制御部３から実行指示されると、開発対象製品の各工程１ａ〜１ｈに同期して実行される。
【００５５】
この開発ユニットＣ２０は、上述した開発ユニットＡ１８と同様に、アセスメントフェーズ２５、ＳＴ設計フェーズ２６、設計実装フェーズ２７、ガイダンスフェーズ２８、テストフェーズ２９、評価・認証受審フェーズ３０とで構成されている。
【００５６】
製品開発に対する開発ユニットＡ１８と異なるところは、ＳＴ計実装フェーズ２６には、ＳＴ設計タスクのみが設けられ、構成管理タスク及び開発セキュリティタスクは設けられていない。図６上では特に図示していないが、ＳＴ設計フェーズ２６では、開発ユニットＣの特性から既存の「開発セキュリティタスクによる成果物」や「構成管理タスクによる成果物」を参考としていることが前提となっている。
【００５７】
この開発ユニットＣ２０においては、予め準備された規定文書（前記）、市販のツール、データベースを適用して上記各タスクを実施することにより、開発対象製品のセキュリティ設計のスケジュールおよびコストを短縮することが可能となる。
【００５８】
証拠資料データベース６内には、図７に示すように、開発対象製品に対して開発ユニットスタータ１７によって選択された開発ユニットを記憶する開発ユニットメモリ３５ａ、開発対象製品の製品条件（次段落参照。）を記憶する製品条件メモリ３５ｂ、主制御部３で指示された各開発ユニット１７〜２０の各タスクの実施結果が書込まれる証拠資料テーブル３６が形成されている。
【００５９】
製品条件メモリ３５ｂ内には、操作者にて設定された、製品名、ＴＯＥの名称、ＥＡＬ（評価保証レベル）、開発体制、スケジュール、システム利用者権限等が記憶される。
【００６０】
証拠資料テーブル３６内には、開発ユニットスタータ１７と、開発ユニットスタータ１７によって選択された開発ユニットにおける、製品条件メモリ３６ｂ内に設定されたＥＡＬ（評価保証レベル）に対応する各フェーズの各タスクにおいて、開発対象製品に対して実際に設計されたセキュリティ機能に基づいて操作者にて入力される入力情報と、この入力情報に基づいて操作者にて作成された規格で定められた形式で作成（編集）された証拠資料からなる出力情報とが記憶される。
【００６１】
図９に、開発ユニットスタータ１７における各フェーズ２１，２２，２３における各入力情報と出力情報の一例を示す。ここでいう入力情報とは、当該タスクを実施する上で事前に作成（完成）しなくてはいけない証拠資料の情報である。一方、出力情報とは、当該タスクによって操作者が外部システム７等を利用して作成した証拠資料（成果物）の情報である。
【００６２】
さらに、図１０に、開発ユニットスタータ１７にて選択された開発ユニットＡにおける各フェーズ２５，２６，２７、２８、２９の各タスクにおける各入力情報と出力情報の一例を示す。例えば、ガイダンスフェーズ２８の配布タスクが指定されると、操作者は、ＳＴ及び既存の規定類の情報を入力する。さらに、操作者は、規格で定められた形式で作成（編集）された証拠資料としての「配布規定」、「配布運用規定」を外部システム７の各エディタ１３、１４、記憶装置４の証拠資料作成用データ１０を用いて作成し、この作成された証拠資料は図１０の出力情報として書込まれる。
【００６３】
図１の主制御部３内には、前述したシステム管理部１６、システム連携部１５の他に、ユニット・フェーズ・タスク選択部３７、ユニット・フェーズ・タスク開始条件分析・決定部３８、ユニット・フェーズ・タスク終了条件分析・決定部３９が設けられている。これらは、開発ユニットファイル５に記憶された各開発ユニット１７〜２０の選択及び呼び出しの制御を行う。
【００６４】
さらに、主制御部３内には、前述した開発ユニットスタータ１７の他に、各種のデータを入力するデータ入力部４０、記憶装置４の各種データを読取るファイルＵＬ部４１，証拠データベース６へ各種データを書込むファイルＤＬ部４２、及び警告を出力するアラート表示部４３が設けられている。
【００６５】
そして、主制御部３は、図１１の流れ図に従って、開発対象製品に対する各開発工程１ａ〜１ｈにおけるセキュリティ設計に対する支援処理を実施する。
【００６６】
この支援システムの操作者にて、図８に示す開発対象製品の製品条件が入力されると（ステップＳ１）、この製品条件を証拠資料ＤＢ６の製品条件メモリ３５ｂへ書込む（ステップＳ２）。さらに、主制御部３は、開発ユニットスタータ１７の機能（上記）により開発対象製品に対する製品仕様等で定まる開発ユニットを決定し、この決定された開発ユニットが入力されると（ステップＳ３）、証拠資料ＤＢ６の開発ユニットメモリ３５ａへ書込む（ステップＳ４）。
【００６７】
次に、主制御部３は、開発ユニットスタータ１７により決定された開発ユニットに関する開発ユニット情報を開発ユニットファイル５から読出す（ステップＳ５）。そして、この開発ユニットスタータ１７の一つのタスク２１、２２、２３を指定してタスク内容を表示装置に表示する（ステップＳ６）。操作者から開発対象製品に対するタスク内容で指定された例えば図９に示す各入力情報が入力されると（ステップＳ７）、この入力情報を証拠資料ＤＢ６の証拠資料テーブル３６へ書込む。
【００６８】
そして、操作者が、この各入力情報から規格で定められた形式の証拠資料を外部システム７の各エディタ１３、１４、記憶装置４の証拠資料作成用データ１０を用いて作成すると（ステップＳ８）、この作成した証拠資料を表示装置に表示した後（ステップＳ９）、証拠資料ＤＢ６の証拠資料テーブル３６へ書込む（ステップＳ１０）。
【００６９】
一つのタスクに対する規格で定められた情報の入力と証拠資料の作成記憶保持が終了すると（ステップＳ１１）、ステップＳ６へ戻り、次のタスクに対する処理を行う。
【００７０】
開発ユニットスタータ１７の全てのタスク２１、２２、２３に対する処理が終了すると（ステップＳ１１）、先に選択されて開発ユニットメモリ３５ａに記憶された開発ユニットを開発ユニットファイル５から読出す（ステップＳ１２）。
【００７１】
そして、この開発ユニット（Ａ、Ｂ、Ｃのなかの１つ）の一つのフェーズ（２５〜３０）を指定する（ステップＳ１３）。なお、このフェーズの指定タイミングは、開発対象製品の開発の各工程１ａ〜１ｈのうちのこのフェーズに指定された工程の実施タイミングである。次に、このフェーズに所属する１つのタスクを指定してタスク内容を表示装置に表示する（ステップＳ１４）。特に図示していないが、各タスクの進捗情報も表示装置に表示しても良い。この場合には、各タスクの進捗情報も開発ユニットファイル５内の開発ユニット情報の中に記憶されているものとする。
【００７２】
操作者から開発対象製品に対するタスク内容で指定された例えば図１０に示す各入力情報が入力されると（ステップＳ１５）、この入力情報を証拠資料ＤＢ６の証拠資料テーブル３６へ書込む（ステップＳ１６）。そして、操作者が、この各入力情報から規格で定められた形式の証拠資料を外部システム７の各エディタ１３、１４、記憶装置４の資料作成用データ１０を用いて作成すると（ステップＳ１７）、この作成した証拠資料を表示装置に表示した後（ステップＳ１８）、証拠資料ＤＢ６の証拠資料テーブル３６へ書込む（ステップＳ１９）。
【００７３】
一つのタスクに対する規格で定められた情報の入力と証拠資料の作成記憶保持が終了すると（ステップＳ２０）、ステップＳ１４へ戻り、次のタスクに対する処理を行う。
【００７４】
当該フェーズに所属する全部のタスクに対する処理が終了すると（ステップＳ２０）、ステップＳ１３へ戻り、次のフェーズに対する処理を行う。さらに、選択した開発ユニットの全てのフェーズに対する処理が終了すると（ステップＳ２１）、開発対象製品に対するセキュリティ設計に対する支援処理を終了する。
【００７５】
このように構成された第１実施形態のセキュリティ設計の開発支援システムにおいては、開発ユニットスタータ１７と選択された開発ユニットＡ〜Ｃを用いることによって、製品開発の全行程１ａ〜１ｈにおいて実施すべきセキュリティ機能（設計）に対して規格で要求される事項に関するタスクが操作者の理解できる言葉で指示されるので、操作者はそのタスク指示に従って、必要な情報、必要な証拠資料を作成できるので、効率的にセキュリティ評価認証を取得できる。
【００７６】
さらに、評価認証取得を行おうとする操作者が過去に評価認証取得の経験があり、認証機関が要求する開発者レビュー（操作者レビュー）を実施できる条件である場合に、開発者レビューを支援するためのツールが含まれている。操作者にとって、セキュリティ機能の設計上の証拠資料作成とレビューという異なる視点でのドキュメント作成での効率を向上することができる。また、開発ユニットＣは、早期に評価認証を取得したい開発対象製品を対象としているので、予め準備された固定のセキュリティ機能の管理要件に対する保証ドキュメントを組み込む事で効率化を図る。
【００７７】
このように、開発対象製品の開発の条件に応じて、実施すべきセキュリティに関するタスクを変更できる。
【００７８】
（第２実施形態）
図１２は本発明の第２実施形態に係わるセキュリティ機能設計の開発支援システムで採用される開発ユニットＤ４４の構成図である。図４に示す開発ユニットＡ１８と同一部分には、同一符号を付して重複する部分の詳細説明を省略する。
【００７９】
そして、この開発ユニットＤ４４の開発ユニットＡ１８と異なるところは、設計実装フェーズ２７に評価準備・計画タスク４５、ガイダンスフェーズ２８に評価受審（ＳＴ）タスク４６、テストフェーズ２９に評価受審（保証要件）タスク４７が設けられていることである。
【００８０】
この開発ユニットＤ４４においては、設計実装フェーズ２７において、本来の設計実装、簡易脆弱性分析の各タスクを実施するとともに、１つ前のＳＴ設計フェーズ２６で実施した項目に対する評価を実行する。さらに、ガイダンスフェーズ２８において、ＳＴ設計フェーズ２６で実施したＳＴ設計に対する評価を実施している。同様に、テストフェーズ２９において、先のフェーズで実施した保証要件に対する評価受審を実施している。
【００８１】
このようにフェーズで実施したタスクの評価を次のフェーズ又はその次のフェーズで実施しているので、評価指標事項に対する遡り訂正量を減少できるので、支援システムをより効率的に運用できる。
【００８２】
なお、本発明は上述実施例そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上述実施例に開示されている複数の構成要素の適宜な組み合わせにより種々の発明を形成できる。例えば、実施例に示される全構成要素から幾つかの構成要素を省略してもよい。更に、異なる実施例に亘る構成要素を適宜組み合せてもよい。
【００８３】
例えば、上記実施例では、証拠資料ＤＢ６に記憶される各証拠資料は、製品開発者が各作業工程の中で作成した証拠資料を手動で記憶するように指示している。しかし、各作業工程で作成された証拠資料は、製品開発者が作成済みの情報（フラグ）を主制御部３に送信すると、所定の格納場所に記憶するように構成しても良い。この場合には、作業内容と証拠資料ＤＢ６内の記憶位置との関係が予め定められていることが望ましい。
【００８４】
さらに、上記実施例では、開発ユニットファイル５は、記憶装置４と異なる記憶部に設ける構成としているが、この構成に限定はする必要はなく、開発ユニットファイル５が記憶装置４の中に記憶されていても構わない。
【図面の簡単な説明】
【００８５】
【図１】本発明の第１実施形態に係わるセキュリティ設計の開発支援システムの概略構成を示す図。
【図２】製品の開発工程と各工程における要求される各保証要件のクラス（レベル）との関係を示す図。
【図３】同実施例システムにおける各開発ユニット間の関係を示す図。
【図４】同実施例システムにおける開発ユニットＡのフェーズ・タスク構成を示す図。
【図５】同実施例システムにおける開発ユニットＢのフェーズ・タスク構成を示す図。
【図６】同実施例システムにおける開発ユニットＣのフェーズ・タスク構成を示す図。
【図７】同実施例システムにおける証拠資料データベースの記憶内容を示す図。
【図８】同実施例システムにおける証拠資料データベースの製品条件メモリの記憶内容を示す図。
【図９】同実施例システムにおける証拠資料データベースの証拠資料テーブルの記憶内容を示す図。
【図１０】同じく同実施例システムにおける証拠資料データベースの証拠資料テーブルの記憶内容を示す図。
【図１１】同実施例システムの支援動作を示す流れ図。
【図１２】本発明の第２実施形態に係わるセキュリティ設計の開発支援システムで採用される開発ユニットＤのフェーズ・タスク構成を示す図。
【符号の説明】
【００８６】
１，１ａ〜１ｈ…工程、２…保証要件、３…主制御部、４…記憶装置、５…開発ユニットファイル、６…証拠資料データベース、７…外部システム、１０…証拠資料作成用データ、１７…開発ユニットスタータ、１８…開発ユニットＡ、１９…開発ユニットＢ、２０…開発ユニットＣ、２５…アセスメントフェーズ、２６…ＳＴ設計フェーズ、２７…設計実装フェーズ、２８…ガイダンスフェーズ、２９…テストフェーズ、３０…評価・認証受審フェーズ、３６…証拠資料テーブル、４４…開発ユニットＤ
【図１】
2008102616.tif 000003
【図２】
2008102616.tif 000004
【図３】
2008102616.tif 000005
【図４】
2008102616.tif 000006
【図５】
2008102616.tif 000007
【図６】
2008102616.tif 000008
【図７】
2008102616.tif 000009
【図８】
2008102616.tif 000010
【図９】
2008102616.tif 000011
【図１０】
2008102616.tif 000012
【図１１】
2008102616.tif 000013
【図１２】
2008102616.tif 000014