(57)【要約】【課題】情報セキュリティを組織体制全体の問題として捉え、それを体制として周知徹底させるために、マネジメントの枠組みの中で情報セキュリティを構築するシステムを提供する。【解決手段】この情報セキュリティ監査システムは大きく分けて３つの部分から構成される。１つは、監査体制１であり、対象となる組織に対して考えられるあらゆる可能性を監査して脆弱性とリスクを抽出する。２つ目は三層構造７であり、対象となる組織のマネジメントの枠組みの中で情報セキュリティの憲法とそれに基づく各種法律ともいえる部分である。３つ目は前記監査体制１と三層構造７を関連付けるパイプの役割を果し、本発明の特徴の一つといえる対策反映ルート６である。また、三層構造７の周辺に従来から行われている情報収集１２や各種の分析１３がある。そしてこの構造により対策反映ルート６を介して常に対象となる組織体制に対して改善を加えることにより、マネジメントの枠組みの中で現実的で確固とした情報セキュリティを構築するシステムを提供することが出来る。【選択図】      図１
2004259197.tif 000002
【特許請求の範囲】
【請求項１】
ユーザ組織のネットワークと管理体制のセキュリティ監査を行う情報セキュリティ監査システムであって、
組織の外部から通信ネットワーク若しくは通信回線を経由してアクセス可能な情報機器に対する不正侵入及び攻撃の可能性についての監査を行う外部監査手段と、前記外部監査の補完、情報機器の設定適否、ＯＳ・アプリケーションのバージョンの適否および同一組織内部の情報機器間の不正アクセスの可能性を監査する内部監査手段と、外部から組織内への物理的な侵入による不正アクセスを監査する物理監査手段と、前記各監査結果から抽出されたあらゆる脆弱性と問題点を根本原因と成っている管理体制の問題点として捉え直して対応策を提示する体制監査手段と、を備え、
前記外部監査手段、内部監査手段、物理監査手段及び体制監査手段により前記情報機器の脆弱性及びリスクを抽出し、該脆弱性及びリスクを当該情報セキュリティ体制を備える組織体制の問題点として捉え直すと共に、前記組織体制に対して前記問題点の対策を提示することを特徴とする情報セキュリティ監査システム。
【請求項２】
前記情報セキュリティは、最適なリスク評価に基づいて実施すべき管理目的と管理策を選択してその基準を決定する対策基準と、情報セキュリティ対策の具体的計画、当該計画に基づく対策の実施、実施した結果の監査、及び見直しのサイクルを循環して継続的に改善する実施手順と、を備え、
前記外部監査手段、内部監査手段、物理監査手段及び体制監査手段により抽出された当該セキュリティ管理体制の脆弱性及びリスクから導かれた問題点に対する対策を、前記実施手順に反映させると共に、情報収集により得られたリスク分析に基づいて前記対策基準に反映させることを特徴とする請求項１に記載の情報セキュリティ監査システム。
【請求項３】
前記外部監査手段は、前記インターネット、公衆回線、専用線若しくは無線ＬＡＮを経由してアクセス可能な情報機器に侵入する不正侵入者と同等の立場に立ち、ユーザ・ネットワーク上のゲートウェー・システム若しくはコンピュータへの不正侵入の可能性を探査し得る全てのセキュリティホールの検証及びその対策を提示することを特徴とする請求項１又は２に記載の情報セキュリティ監査システム。
【請求項４】
前記内部監査手段は、ユーザ・ネットワーク上のコンピュータから前記ユーザ・ネットワーク内外のサーバに対する不正侵入の可能性や内部による不正アクセスの可能性を調査し、探査し得るすべてのセキュリティホールの検証、セキュリティシステムの構成および設定に加え、ＯＳのバージョン、アプリケーションの種類およびバージョン、既知の脆弱性に対する修正プログラムの適用状況、ＯＳやアプリケーションの設定上の脆弱性の有無に関しても監査し、該監査結果に基づく対策を提示することを特徴とする請求項１又は２に記載の情報セキュリティ監査システム。
【請求項５】
前記物理監査手段は、外部からの成りすまし侵入による情報資産への不法アクセスや不法取得の調査、顧客情報等の情報資産が記載された書類の破棄状況の調査、組織内部の人になりすましてのパスワードの取得、及び物理セキュリティ体制に関して調査することを特徴とする請求項１又は２に記載の情報セキュリティ監査システム。
【請求項６】
前記体制監査手段は、前記外部監査手段、内部監査手段、物理監査手段による各監査結果から抽出されたあらゆる脆弱性と問題点を体制の問題として捉え直すと共に、文書管理体制を立ち入り監査する体制監査により、ネットワークセキュリティ・リスクと物理セキュリティ・リスク及び文書管理体制リスクを、広く情報セキュリティ体制リスクと情報セキュリティ・リスクとして捉え直すことを特徴とする請求項１又は２に記載の情報セキュリティ監査システム。
【請求項７】
前記体制監査手段は、アカント及びパスワード管理体制、サーバとセキュリティシステムの設定変更体制、不正アクセスの検知と対処体制、新たに発見された脆弱性情報の収集と対応体制、管理者及びユーザに対する教育体制、及びセキュリティに関する報告・指示体制を監査することを特徴とする請求項６に記載の情報セキュリティ監査システム。
【請求項８】
前記外部監査手段、内部監査手段、物理監査手段及び体制監査手段により抽出された、侵入者的視点によるネットワーク全体とその上のコンピュータシステムの脆弱性と、重要サーバのオペレーションシステム及びアプリケーションソフトの種類とバージョン及びその設定上の問題点と、セキュリティに関する人的管理、指示系統、構成員のセキュリティ教育体制における問題点と、物理セキュリティを含むセキュリティ管理状況の問題点と、を指摘し、該指摘事項に対する具体的対策の提案を行うことを特徴とする請求項１乃至７の何れか一項に記載の情報セキュリティ監査システム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、情報セキュリティ監査システムに関し、さらに詳しくは、情報セキュリティの抱える脆弱性及びリスクを、組織体制の問題として捉え直して改善する監査システム及び、その情報セキュリティ監査の結果をＩＳＭＳとセキュリティ・ポリシーの策定や見直しに利用する情報セキュリティ監査システム関するものである。
【０００２】
【従来の技術】
従来、情報セキュリティ管理体制を構築する場合、まず、現状を把握するためにヒアリングとアンケートにより、実際に組織内部の構成員各層から情報を収集し、その情報に基づいてギャップ分析、リスク分析、情報資産の棚卸を行っていた。しかし、ヒアリングとアンケートによる情報は、情報の信頼性の点で問題があった。つまり、ヒアリングした相手が本当にシステムを理解し、真剣にそのセキュリティについて考えているか否かは一様でなく、その信頼性に疑義が生じることも多々ある。極端な話、もしヒアリングした相手が情報を盗む意思がある場合、当然、質問に対して真剣に回答するとは考えられず、むしろ、非協力的になるのが実情である。また、情報資産は各人の組織内における立場、職責により大きく異なる。例えば、一般の従業員と管理職、或いは経営者では情報の質と量が大きく異なり、その棚卸後の情報資産をどの様に分析、活用するかが重要な課題となる。また、セキュリティ監査を行う場合でも、外部からの情報機器への不正侵入や攻撃、及び組織内部のネットワークへの不正侵入や攻撃に対するセキュリティ監査が部分的にしか行われて無く大きな問題が有った。
このように従来からセキュリティに関する多くの試みがなされているが、企業の経営者も、現場のシステム担当者も、セキュリティの確保について現実にさまざまな問題や悩みを抱えている。例えば、セキュリティ対策の必要性について、費用対効果などを示して明確に説明するのが難しい。或いは、どのような対策をどこまで実施すれば充分なセキュリティ強度を保てるのか分からない。また、自社のセキュリティ強度を取引先など第三者に対して客観的に説明できない。また、取引先のセキュリティ強度を評価できないなどである。こうした問題を解決するために、ＩＳＭＳ（Ｉｎｆｏｒｍａｔｉｏｎ  Ｓｅｃｕｒｉｔｙ  Ｍａｎａｇｅｍｅｎｔ  Ｓｙｓｔｅｍ）及びＩＳＭＳ適合評価制度が既に存在し、この制度はファイアウォールのような個別の対策技術よりむしろ、組織体制としてのセキュリティ対応策がきちんと整っているか否かに重点を置いて審査することが特徴となっている。
【０００３】
【発明が解決しようとする課題】
このように、従来のヒアリングとアンケートにより、実際に組織内部の構成員各層から情報を収集し、その情報に基づいてギャップ分析、リスク分析、情報資産の棚卸を行う方法は、セキュリティに対してアイデアとしては良いが、情報の精度と客観性の点で問題があった。
また、従来のセキュリティ監査は外部からの情報機器への不正侵入や攻撃、及び組織内部のネットワークへの不正侵入や攻撃に対するセキュリティ監査が、部分的にしか行われなかったため、セキュリティ監査としては限界を有していて、しかも、組織体制全体の問題として捉える視点がなく、真の意味でのセキュリティ監査とは言えなかった。
また、ＩＳＭＳ及びＩＳＭＳ適合評価制度は、セキュリティ管理が組織体制としてきちんと整っているか否かに重点を置いて審査する制度であり、手法がセキュリティ監査の上向法に対して下向法であり、セキュリティ監査を前提に評価し策定・見直していくものである。
本発明は、かかる課題に鑑み、情報セキュリティを組織体制全体の問題として捉え、それを体制として周知徹底させるために、マネジメントの枠組みの中で情報セキュリティを構築するシステムを提供することを目的とする。
【０００４】
【課題を解決するための手段】
本発明はかかる課題を解決するために、請求項１は、ユーザ組織のネットワークと管理体制のセキュリティ監査を行う情報セキュリティ監査システムであって、組織の外部から通信ネットワークを経由してアクセス可能な情報機器に対する不正侵入及び攻撃の可能性についての監査を行う外部監査手段と、前記外部監査の補完、情報機器の設定適否、ＯＳ・アプリケーションのバージョンの適否および同一組織内部の情報機器間の不正アクセスの可能性を監査する内部監査手段と、外部から組織内への物理的な侵入による不正アクセスを監査する物理監査手段と、前記各監査結果から抽出されたあらゆる脆弱性と問題点つまりリスクを根本原因と成っている管理体制の問題点として捉え直して対応策を提示する体制監査手段と、を備え、前記外部監査手段、内部監査手段、物理監査手段及び体制監査手段により、前記情報機器の脆弱性及びリスクを抽出し、該脆弱性及びリスクを当該情報セキュリティ体制を備える組織体制の問題点として捉え直すと共に、前記組織体制に対して前記問題点の対策を提示することを特徴とする。
組織の情報セキュリティを監査する場合、組織内部のセキュリティを監査するだけでは不十分である。つまり、通信ネットワークで外部とネットワークにより接続されている場合、外部からの侵入が当然考えられる。また、建物内部への物理的侵入等の可能性を監査する物理セキュリティ監査、またこれらの目に見える監査以外に、各監査結果から抽出されたあらゆる脆弱性と問題点を組織体制の問題として捉え直し、現実との合致性を体制面から監査する体制監査。このように総合的な監査体制によりセキュリティ状態のディテイルの脆弱性とリスクを抽出のみならず組織体制の脆弱性とリスクとして捉え返し、それから対策案を検討して対策する必要がある。
かかる発明によれば、総合監査により発見された脆弱性、及びリスクを体制の問題として捉え直して対策を経営陣により指示することにより、組織体制として対応出来ることに成り問題解決が根本的に且つ正確に行われることに成る。
【０００５】
請求項２は、前記情報セキュリティは、最適なリスク評価に基づいて実施すべき管理目的と管理策を選択してその基準を決定する対策基準と、情報セキュリティ対策の具体的計画、該計画に基づく対策の実施、該実施した結果の監査、及び前記最高意思決定機関による見直しのサイクルを循環して継続的に改善する実施手順と、を備え、前記外部監査手段、内部監査手段、物理監査手段及び体制監査手段により抽出された脆弱性及びリスクとそれらから導かれた対策を、前記実施手順と対策基準に反映させると共に、情報収集により得られたリスク分析の結果も前記対策基準に反映させることを特徴とする。
本発明の特徴は、情報セキュリティを組織体制全体の問題として捉え、それを体制として周知徹底させるために、マネジメントの枠組みの中で情報セキュリティの憲法や各種法律ともいえるトップポリシー、対策基準、実施手順を３層構造として捉えるところにある。ここで最も重要なことは、最適なリスク評価に基づいて実施すべき管理目的と管理策を選択してその基準を決定する対策基準に対して、体制監査手段により抽出された体制の脆弱性及びリスクとそれらから導かれた対策を、対策基準に反映させると共に、情報収集により得られたリスク分析の結果も反映させることであり、また、計画：Ｐ、運用：Ｄ、監査：Ｃ、見直し改善：Ａのサイクルをまわして継続的に改善していく実施手順に対しては、各監査手段により抽出された脆弱性及びリスクとそれらから導かれた対策を反映することである。
かかる発明によれば、各監査手段により抽出された脆弱性及びリスクから導かれた問題点に対する対策を前記実施手順に反映させると共に、体制監査と情報収集により得られたリスク分析に基づいて前記対策基準に反映させるので、組織体制の問題点をスパイラルアップに継続的に改善することができる。
【０００６】
請求項３は、前記外部監査手段は、前記インターネット、公衆回線、専用線若しくは無線ＬＡＮを経由してアクセス可能な情報機器に侵入する不正侵入者と同等の立場に立ち、ユーザ・ネットワーク上のゲートウェー・システム若しくはコンピュータへの不正侵入の可能性を探査し得る全てのセキュリティホールの検証及びその対策を提示することを特徴とする。
外部からの侵入に対して如何にその侵入状況を正確に監査するかは、実際の侵入者の立場に立たなければ分からない。つまり本発明では、実際の不正侵入者と同等の立場に立ち、侵入者がどのような手段でどのルートから侵入するかのあらゆる可能性を試みて、ネットワークとコンピュータシステムに存在するセキュリティ上の弱点を検証し、その対策を提示するものである。
かかる発明によれば、実際の不正侵入者と同等の立場に立ち、ネットワークとコンピュータシステムに存在するセキュリティ上の弱点を検証するので、正確にセキュリティホールの検証と、それに対する迅速な対策を講じることができる。
【０００７】
請求項４は、前記内部監査手段は、ユーザ・ネットワーク上の監査用コンピュータから前記ユーザ・ネットワーク内外のサーバに対する不正侵入の可能性や内部による不正アクセスの可能性を調査し、探査し得るすべてのセキュリティホールの検証、セキュリティシステムの構成および設定に加え、ＯＳのバージョン、アプリケーションの種類およびバージョン、既知の脆弱性に対する修正プログラムの適用状況、ＯＳやアプリケーションの設定上の脆弱性の有無に関しても監査し、該監査結果に基づく対策を提示することを特徴とする。
外部監査と同様に内部監査は、内部の不正侵入者と同等の立場に立って、不正アクセスの可能性を調査する必要がある。そこで本発明では、監査人が内部のユーザと同等の立場に立ち、ユーザ・ネットワークに接続されているコンピュータから内外のサーバに対して不正アクセスと攻撃を行い、その結果を検証して対策を講じるものである。
かかる発明によれば、実際の内部の侵入者と同等の立場に立ち、ユーザ・ネットワークに接続されているコンピュータから内外のサーバに対して不正アクセスと攻撃を行うのみで無く、管理者と同等の立場に立ち直接セキュリティシステムの構成および設定に加え、ＯＳ及びアプリケーションの種類とバージョン及び設定上の脆弱性の有無、既知の脆弱性に対する修正プログラムの適用状況に関しても監査し、内部のネットワークやコンピュータシステが抱えるセキュリティ上の問題点を正確に検証することができる。
【０００８】
請求項５は、前記物理監査手段は、外部からの成りすまし侵入による情報資産への不法アクセスや不法取得の調査、顧客情報等の情報資産が記載された書類の管理・破棄状況の調査、及び物理セキュリティ体制に関して調査することを特徴とする。
セキュリティ管理の対象はネットワークやコンピュータシステムのみならず、他の部分にも存在する。つまり、外部からの成りすまし侵入による情報資産への不法アクセスや不法取得および、顧客情報やサーバの情報が記載された書類の管理状態と、ソーシャルエンジニアリング対応体制及び侵入検知・監視センサーや監視カメラ等による物理セキュリティ体制の管理状態である。この点は意外と見過ごし易い部分であり、それだけに大きな盲点となる可能性がある。
かかる発明によれば、物理監査手段によりネットワークやコンピュータシステム以外のセキュリティ管理状態を監査するので、セキュリティ監査を総合的に漏れのないものとすることができる。
【０００９】
請求項６は、前記体制監査手段は、前記外部監査手段、内部監査手段、物理監査手段の結果から抽出されたあらゆる脆弱性と問題点を体制の問題として捉え直すと共に、文書管理体制を立ち入り監査する体制監査により、ネットワークセキュリティ・リスクと物理セキュリティ・リスク及び文書管理体制リスクを、広く情報セキュリティ体制リスクと情報セキュリティ・リスクとして捉え直すことを特徴とする。
また、目に見える監査体制以外に、目に見えない体制面の監査も重要である。つまり、各監査手段の結果から抽出されたあらゆる脆弱性と問題点を体制の問題として捉え直すには、これらの対策が体制に周知徹底されているか、或いは対策基準・実施手順が現場の体制で守られているかを常に監査する必要がある。また、対策基準・実施手順そのものが現実と合致するとは限らないので、その点での監査も併せて必要である。
かかる発明によれば、体制監査手段により体制面の監査を行って、現実との合致性を検証するので、各監査手段による対策基準・実施手順等の対策を確実に体制に反映することができる。
【００１０】
請求項７は、前記体制監査手段は、アカウント及びパスワード管理体制、サーバやファイアウォール等の機器の設置と設定変更体制、不正アクセスの検知と対処体制、新たに発見された脆弱性情報の収集と対応体制、管理者及びユーザに対する教育体制、及びセキュリティに関する報告・指示体制を監査することを特徴とする。
体制監査には具体的に、体制内部の各人のアカウント及びパスワードがどのように管理されているか、また、サーバやファイアウォール等のセキュリティ・システムを設置・設定変更する場合の責任体制と秘密保持、不正アクセスがあった場合の報告・対処及び指示体制、新たに発見された脆弱性情報の収集及び対応体制、組織内部の管理者やユーザに対する教育を何時誰が行うのか、日常的に発生するセキュリティに関する報告、指示を体制内でどのように行っていくのかを監査する必要がある。
かかる発明によれば、体制監査により情報セキュリティを組織体制全体の問題として捉え、それを体制として周知徹底させるために、マネジメントの枠組みの中で情報セキュリティを構築するシステムを提供することが出来る。
【００１１】
請求項８は、前記外部監査手段、内部監査手段、物理監査手段及び体制監査手段により抽出された、侵入者的視点によるネットワーク全体とその上のコンピュータシステムの脆弱性と、重要サーバのオペレーションシステム及びアプリケーションソフトの種類とバージョン及びその設定上の問題点と、セキュリティに関する人的管理、指示系統、構成員のセキュリティ教育体制における問題点と、物理セキュリティを含むセキュリティ管理状況の問題点と、を指摘し、該指摘事項に対する具体的対策の提案を行うことを特徴とする。
本発明の情報セキュリティ監査の特徴は、各監査手段で抽出された脆弱性を体制の問題として体制の脆弱性として捉えると共に、重要サーバのソフトウェアの種類、バージョン及びその設定上の問題、マネジメントの問題、及びセキュリティ管理状況の問題点として捉えることにより、これらを総合的にリンクさせて具体的対策の提案を行うところにある。
かかる発明によれば、ネットワーク全体の脆弱性と３つの問題点を総合的にリンクさせて具体的対策の提案を行うので、情報セキュリティを組織体制全体の問題として捉え、それを体制として周知徹底出来るために、マネジメントの枠組みの中で情報セキュリティを構築するシステムを提供すると共に、組織として確固としたセキュリティシステムを構築することができる。
【００１２】
【発明の実施の形態】
以下、本発明を図に示した実施形態を用いて詳細に説明する。但し、この実施形態に記載される構成要素、種類、組み合わせ、形状、その相対配置などは特定的な記載がない限り、この発明の範囲をそれのみに限定する主旨ではなく単なる説明例に過ぎない。
図１は本発明の情報セキュリティ監査システムを模式的に表した図である。
この情報セキュリティ監査システムは大きく分けて３つの部分から構成される。１つは、監査体制１であり、対象となる組織に対して考えられるあらゆる可能性を監査して脆弱性とリスクを抽出する。２つ目は三層構造７であり、対象となる組織のマネジメントの枠組みの中で情報セキュリティの憲法及び各法律ともいえる部分である。３つ目は前記監査体制１と三層構造７及び情報分析１３とを関連付けるパイプの役割を果し、本発明の特徴の一つといえる対策反映ルート６である。また、三層構造７の周辺に従来から行われている情報収集１２や各種の情報分析１３がある。そしてこの構造により対策反映ルート６を介して常に対象となる組織体制に対して改善を加えることにより、マネジメントの枠組みの中で現実的で確固とした情報セキュリティを構築するシステムを提供することが出来る。
【００１３】
次に、図１を参照して更に詳細に本実施形態の説明を行う。まず、監査体制１は、外部監査２、内部監査３、物理監査４及び体制監査５により構成されている。外部監査２は不正侵入者と同等の立場に立ち、インターネットやイントラネットからアクセス可能なユーザ・ネットワーク上のゲートウェー・システムやコンピュータへの不正侵入の可能性等を探査し、可能性のあるすべてのセキュリティホールの検証およびその対策を提示するものである。
内部監査３は、ユーザ・ネットワーク上のコンピュータからユーザ・ネットワーク内外のサーバ等に対する不正侵入の可能性等を探査し、可能性のあるすべてのセキュリティホールの検証、セキュリティシステムの構成および設定に加え、ＯＳのバージョン、アプリケーションの種類およびバージョン、既知の脆弱性に対する修正プログラムの適用状況、ＯＳやアプリケーションの設定上の脆弱性の有無等に関しても監査する。
また、各対象機器に対するアクセス制御、ルータやファイアウォールのフィルタリングの設定、起動しているアプリケーション・ソフト及びＯＳの種類やバージョンによる脆弱性、ＤＮＳサーバの管理、ユーザ認証を伴うサービスについては未使用または不要なアカウントの削除、および全アカウントに対するパスワードの管理、ソフトウェアの修正（パッチ等）やバージョンアップの対応をチェックすると共に、実際に不正攻撃を実施し、その可否も併せて監査し、さらに、攻撃に成功した場合は、当該サーバを経由した他のサーバへの攻撃の可能性も検査するものである。
【００１４】
物理監査４は、顧客情報やサーバ等の情報資産が記載された書類の破棄の状況調査（ごみ箱漁り＝トラッシング）や、組織内部等の人になりすまし電話などで情報を収集するソーシャルエンジニアリングによるパスワードの取得、及び物理セキュリティ体制に関して調査する。ここで、ソーシャルエンジニアリングによる監査とは、組織内部等の人になりすまし、電話などで情報を収集する手法であり、物理的セキュリティに対する監査とは、内部スタッフや出入業者に扮して、外部の人間が物理的に組織内のどこまで侵入することが可能か、物理的セキュリティの脆弱性を監査したり、建物への入場者のチェック、監視カメラの有無とその有効性、物理セキュリティ機器の配備とその稼動状況およびその有効性などを調査することである。
また、トラッシング（ごみ箱漁り）による監査とは、重要な情報が記載された書類等の廃棄状況とこうした「ごみ」の管理状況を監査することで、具体的には外部や内部の関係者以外の人間がごみの集積場への立ち入りや建物内に放置されている「ごみ」の取得が可能か、また、取得した「ごみ」から重要な情報が入手可能かを調査することである。
【００１５】
体制監査５は、外部監査２、内部監査３、物理監査４の結果を活かし、その摘出されたのあらゆるリスク（脆弱性と問題点）を体制の問題として捉え直すと共に、文書管理体制も監査する体制監査により、ネットワークセキュリティ・リスク、物理セキュリティ・リスク及び文書管理体制リスクを、広く情報セキュリティ体制リスクと情報セキュリティ・リスクとして捉え直す。具体的には、関係管理者から経営者へのインタビューや立入り検査等により、文書管理体制等を含むセキュリティに関する人的管理、指揮系統および体制、構成員のセキュリティ教育体制等のセキュリティ管理の体制を監査する。言い換えると、現在有している脆弱性もしくは今後顕在化する可能性の高い脆弱性に対して、その原因が管理体制全体のどこにあるかを遡及して探る監査手法である。具体的には、各コンピュータを使用するユーザ及び管理者のアカウントおよびパスワード管理体制、サーバやファイアウォール等のセキュリティ・システムを設置・設定変更する場合の責任体制と秘密保持体制、不正アクセスがあった場合の報告・対処及び指示体制、新たに発見された脆弱性情報の収集と対応体制、管理者およびユーザに対する教育体制、日常的に発生するセキュリティに関する報告・対処及び指示体制である。
【００１６】
対策反映ルート６は、以上の各監査体制により侵入者的視点によるネットワーク全体とその上のコンピュータシステムの脆弱性と、重要サーバのＯＳ及びアプリケーションソフトの種類とバージョン及びその設定上の問題点と、ファイアウォール等のセキュリティ・システムを設置・設定変更する場合の責任体制と秘密保持体制、セキュリティに関する人的管理、報告・対処及び指示系統、構成員のセキュリティ教育体制等における問題点、及び物理セキュリティを含むセキュリティ管理状況の問題点が抽出され、これらの脆弱性及びリスクを体制の問題として捉えて対策反映ルート６を介して三層構造７の実施手順１０及び対策基準９に反映する。また、他のルートとしてこの対策反映ルート６から情報分析１３を介して対策基準９に反映する。
三層構造７は、トップポリシー８、対策基準９及び実施手順１０により構成される。トップポリシー８は、会社のセキュリティの憲法みたいなものである。トップポリシーに基づき、対策基準９及び実施手順１０を策定していく、また対策基準９及び実施手順１０の変更点の一部をトップポリシー８に反映する。
対策基準９は、最適なリスク評価に基づいて実施すべき管理目的と管理策を選択してその基準を決定する。例えば、管理策としてセキュリティポリシー、セキュリティ組織、情報資産の分類及び管理、人的セキュリティ等が考えられる。
【００１７】
また、実施手順１０は、前記トップポリシー８に基づいて、情報セキュリティ対策の具体的計画、方針を策定する（計画：Ｐ）。次にこの計画に基づいて対策の実施、運用を行う（実施、運用：Ｄ）。実施した結果の監査を行う（監査：Ｃ）。次に経営陣による見直しを行い改善する（見直し改善：Ａ）。このＰ−Ｄ−Ｃ−Ａサイクル１１をまわして継続的に改善していくことである。
これらは、ＩＳＭＳそのものであり、本発明は更に、前述の監査体制１で発見された脆弱性、及びリスクを体制の問題として捉え直して、この実施手順１０に反映させると共に、情報分析１３のリスク分析に基づいて対策基準９に対策を反映させるところに特徴がある（詳細は後述する）。
情報収集１２は、組織体制の現状を把握するためにヒアリングとアンケートにより、実際に使用している人から情報を収集し、その情報から分析１３を行う必要がある。その分析にはギャップ分析、リスク分析、情報資産の棚卸がある（詳細は後述する）。
【００１８】
次に対象となる組織のマネジメントの枠組みの中で情報セキュリティの憲法とそれに基づく各種法律ともいえる三層構造７についてもう少し詳細に説明する。この三層構造７は組織の現場であり、本発明の情報セキュリティ監査システムが有効に機能するか否かは、この現場の如何に係っているといっても過言ではない。図２は、Ｐ−Ｄ−Ｃ−Ａサイクル１１を説明するための図である。この図は中心にセキュリティ強度の向上を示す矢印３１があり、その周辺をスパイラルにＰ−Ｄ−Ｃ−Ａが回転していき、スパイラルアップする様子を表している。このようにポリシーの作成２０、計画（Ｐ）２１、実施運用（Ｄ）２２、監査（Ｃ）２３、経営陣による見直し改善（Ａ）２４というサイクルを繰り返すことで、セキュリティ強度３１の向上を図っていく。ここで重要なことは、このスパイラルアップを意識して進めることである。その理由は、最初から理想的なセキュリティ対策を計画しても現実的で無く、現実は現状の全組織員が手の届く高さでまず制定し、毎年徐々に高めて行くことが現実的であるからである。もう一つの理由は、ＯＳやアプリケーションソフトには、次々と新しい脆弱性（セキュリティホール）が発見されているので、これを修正する必要がある。又、利用している情報システムそのものに追加、変更が発生するので、それに応じてセキュリテイ対策を見直すことが重要である。つまり、監査（Ｃ）２３や経営陣による見直し改善（Ａ）２４のプロセスを繰り返すことで、こうした作業を漏らさず実施できるようになる。
【００１９】
図３は、ＩＳＭＳの認証基準が規定するマネジメントの枠組みの確立を説明する図である。ＩＳＭＳを適用する全ての情報資産に対してリスクアセスメントを実施し、リスクに応じて適切な管理策を決定する。ＩＳＭＳ認証基準では、この手順を６つのステップに分けて規定している。まずステップＳ１は、情報セキュリティポリシーを定義することである。セキュリティポリシーとは、セキュリティ対策の基本方針２５を示したもので、企業や組織がセキュリティを確保していく上での大まかな考え方や方針をきめる。図１のトップポリシー８に当たる。
ステップＳ２は、ＩＳＭＳの適用範囲２６を定義することである。この適用範囲はサービス単位で区切っても良い。
ステップＳ３は、リスクアセスメントを行うことである。ＩＳＭＳ適用範囲内の全ての情報資産を調査し、資産価値、脅威、脆弱性、リスクを求め、リスクアセスメントの結果２７を作成する。このステップはセキュリティポリシーを維持、運用する上で極めて重要であるので、詳細は後述する。
ステップＳ４は、管理すべきリスクを決定することである。ステップＳ３で抽出されたリスクに対して、許容、低減、移転、回避のいずれの態度をとるかを決定し、リスク一覧２８を作成する。
ステップＳ５は、実施すべき目標と管理策を選択することである。これは図１の対策基準９を策定することである。
最後にステップＳ６で適用宣言書３０を作成する。適用宣言書３０とは、対策基準の目録と呼べるもので、ステップＳ５で選択した管理策の一覧表である。
【００２０】
図４は図３のステップＳ３を更に詳細に説明するための、図１の分析１３のギャップ分析の例を説明する図である。これはセキュリティ対策状況について、ＩＳＭＳ認証基準と比較して、情報資産を対策する必要なし、対策済、未対策（対策不十分を含む）に分類するギャップ分析という手法である。これは、経営トップから各部門、現場の社員４１など、あらゆる職位や部署を網羅したアンケートとインタビュー調査をＩＳＭＳ認証取得推進者４０が実施し（情報収集１２）、その上でサーバやネットワークに対して擬似攻撃を行い、脆弱性を調べる。これにより、符号４２のように守るべき情報資産とその重要性、情報資産のセキュリティ対策状況及びＩＳＭＳで求めている水準とのギャップを明確化し、そこから符号４３のように情報資産の資産価値、脅威、脆弱性及びリスクを算出し、符号４４のように情報資産を、対策する必要なし、対策済、未対策（対策不十分を含む）に分類するものである。
【００２１】
図５は本発明のセキュリティ管理のマネージメントサイクルを説明する図である。このマネージメントサイクルは前述したＩＳＭＳのＰ−Ｄ−Ｃ−Ａサイクル１１に基づいており、まず計画５０において、基本方針の策定・見直し、リスク管理及び対策基準の策定・見直をおこなう。次に導入５１によりセキュリティ追加対策・改善実施、実施手順書の作成及び全社員に対する導入時教育を行う。
【００２２】
次に運用５２により侵入・攻撃検知を監視する等セキュリティシステムの運用・保守管理、セキュリティポリシーの準拠性や、事故への対応、継続的な社員教育、専門スタッフのトレーニングを行う。監査５３により法的準拠性、セキュリティポリシー遵守及びシステム面の脆弱性を調査する。このマネージメントサイクルを継続的に回すことにより、組織体制の脆弱性やリスクを体制の問題として捉えて改善していき、それにより組織体制そのものを高いセキュリティポリシーを備えた体制に構築していく。
【００２３】
図６は本発明の情報セキュリティ監査システムが組織体制に対してどのようにアプローチするかを説明するための総合セキュリティ監査図である。例えば、１つの組織体制６０があり、その組織体制には外部とインターネット６１と公衆電話網８２により接続されている。インターネット６１からルータ６２を介して内部のコンピュータへの不正アクセスの防止と独自の認証方式による識別認証を行うファイアウォール６３と接続され、その先の内部バス６６にＤＮＳサーバ６４、ＷＷＷ／Ｍａｉｌサーバ６５が接続されている。また、公衆電話網８２からＲＡＳサーバ８１を介して内部バス６７にＰｒｏｘｙサーバ６８、ＰＣ６９、内部ファイアウォール７０、７６、監視用ＰＣ７７が接続され、内部ファイアウォール７０の内部バス７１には更にＰＣ７４が接続され、内部ファイアウォール７６の内部バス７８にはＰＣ７９、８０が接続されている。
【００２４】
このような組織体制のシステムに対して、本発明は外部監査として、インターネット６１と公衆電話網８２から擬似的に不正アタックをかける。その内容は前記で説明したので重複する説明は省略するが、これらの外部からのアタックによりファイアウォール６３が真にその役割を果しているか、また、侵入を許した場合に内部のＤＮＳサーバ６４やＷＷＷ／Ｍａｉｌサーバ６５に対してどのような影響を与えるかを調査する。また、公衆電話網８２からの擬似的な不正アタックに対してＲＡＳサーバ８１にどのような影響を与えるかを調査すると共に、その先に接続された各サーバ、内部ファイアウォール及びＰＣがどのような影響を受けるかを調査する。
また、内部監査として、ユーザのヒヤリングを行い、組織体制６０内部を調査及び立ち入り検査を実施すると共に、監視用ＰＣ７７により内部バス６７を介して不正侵入し各サーバ、内部ファイアウォール及びＰＣのセキュリティホールの調査を行う。また、物理セキュリティ監査として、内部の人間になりすまして、組織体制６０内部に侵入し、物理セキュリティシステムのチエックを行う。例えば、不正に持ち込まれたＰＣ７４に不正設置モデム７２が不正な回線７５と接続されていた場合、監視用ＰＣ７７では検出することができないが、この物理セキュリティ監査により目視でそれを見つけることができる。
【００２５】
【発明の効果】
以上記載のごとく請求項１の発明によれば、総合監査により発見された脆弱性、及びリスクを体制の問題として捉え直して対策を経営陣により指示することにより、組織体制として対応出来ることに成り問題解決が根本的に且つ正確に行われることに成る。
また請求項２では、各監査手段により抽出された脆弱性及びリスクから導かれた問題点に対する対策を前記実施手順に反映させると共に、体制監査と情報収集により得られたリスク分析に基づいて前記対策基準に反映させるので、組織体制の問題点をスパイラルアップに継続的に改善することができる。
また請求項３では、実際の外部からの不正侵入者と同等の立場に立ち、ネットワークとコンピュータシステムに存在するセキュリティ上の弱点を検証するので、正確にセキュリティホールの検証と、それに対する迅速な対策を講じることができる。
また請求項４では、実際の内部の不正侵入者と同等の立場に立ち、ユーザ・ネットワークに接続されているコンピュータから内外のサーバに対して不正アクセスと攻撃を行うのみで無く、管理者と同等の立場に立ち直接セキュリティシステムの構成および設定に加え、ＯＳ及びアプリケーションの種類とバージョン及び設定上の脆弱性の有無、既知の脆弱性に対する修正プログラムの適用状況に関しても監査し、内部のネットワークやコンピュータシステが抱えるセキュリティ上の問題点を正確に検証することができる。
また請求項５では、物理監査手段によりネットワークやコンピュータシステム以外のセキュリティ管理状態を監査するので、セキュリティ監査を総合的に漏れのないものとすることができる。
また請求項６では、体制監査手段により体制面の監査を行って、現実との合致性を検証するので、各監査手段による対策案を確実に体制に反映することができる。
また請求項７では、体制監査により情報セキュリティを組織体制全体の問題として捉え、それを体制として周知徹底させるために、マネジメントの枠組みの中で情報セキュリティを構築するシステムを提供することが出来る。
また請求項８では、ネットワーク全体の脆弱性と３つの問題点を総合的にリンクさせて具体的対策の提案を行うので、情報セキュリティを組織体制全体の問題として捉え、それを体制として周知徹底出来るために、マネジメントの枠組みの中で情報セキュリティを構築するシステムを提供すると共に、組織として確固としたセキュリティシステムを構築することができる。
【図面の簡単な説明】
【図１】本発明の情報セキュリティ監査システムを模式的に表した図である。
【図２】本発明のＰ−Ｄ−Ｃ−Ａサイクル１１を説明するための図である。
【図３】ＩＳＭＳの認証基準が規定するマネジメントの枠組みの確立を説明する図である。
【図４】本発明の図３のステップＳ３を更に詳細に説明するための、図１の１３のギャップ分析の例を説明する図である。
【図５】本発明のセキュリティ管理のマネージメントサイクルを説明する図である。
【図６】本発明の情報セキュリティ監査システムが組織体制に対してどのようにアプローチするかを説明するための総合セキュリティ監査図である。
【符号の説明】
１  監査体制、２  外部監査、３  内部監査、４  物理セキュリティ監査、５体制監査、６  対策反映ルート、７  三層構造、８  トップポリシー、９  対策基準、１０  実施手順、１１  ＰＤＣＡサイクル、１２  情報収集、１３  分析
【図１】
2004259197.tif 000003
【図２】
2004259197.tif 000004
【図３】
2004259197.tif 000005
【図４】
2004259197.tif 000006
【図５】
2004259197.tif 000007
【図６】
2004259197.tif 000008