(57)【特許請求の範囲】
【請求項１】
対象システムで各業務を構成する各サブシステムの属性情報と、サブシステムのリスクレベルを当該サブシステムへの攻撃容易性と当該サブシステムの資産価値との関係性に基づき規定するテーブルと、を格納した記憶装置と、
前記各業務の各サブシステムの属性情報から、当該サブシステムにて取り扱う資産の情報と、該当業務におけるサブシステム間の関係性の情報とを取得し、当該取得した各情報に基づき、該当資産に関して各サブシステムの組を攻撃元および攻撃先とした場合に、前記属性情報から特定される該当サブシステム間のネットワーク上の距離および攻撃先サブシステムのセキュア度の各情報を攻撃容易性情報と特定し、前記資産の情報が示す資産価値の高さおよび前記攻撃容易性情報が示す攻撃容易性の高さを、前記テーブルに照合することで、業務ごとの各サブシステムのリスクレベルを判定する処理と、
前記リスクレベルの判定で得られた該当業務の各サブシステムのリスクレベルに基づき、前記リスクレベルの最大値を該当業務の重要度として判定する処理と、
前記属性情報に基づいて各サブシステムが関連する業務数を算定する処理と、
各サブシステムに関する前記重要度の値と前記業務数とを乗算して、各サブシステムに関するセキュリティ対策の実施優先度を算定し、当該実施優先度の情報を所定装置に出力する演算装置と、
を備えることを特徴とするセキュリティ対策支援装置。
【請求項２】
前記演算装置は、
前記実施優先度の情報を所定装置に出力するに際し、各サブシステムに関して得ているリスクレベルの情報も更に所定装置に出力するものである、
ことを特徴とする請求項１に記載のセキュリティ対策支援装置。
【請求項３】
前記演算装置は、
前記実施優先度の情報を所定装置に出力するに際し、各サブシステムに対応した描画オブジェクトを所定画面に配置して、前記描画オブジェクトの表示形態を実施優先度の高さに応じて変化させた画面データを、所定装置に送信して表示させるものである、
ことを特徴とする請求項１に記載のセキュリティ対策支援装置。
【請求項４】
対象システムで各業務を構成する各サブシステムの属性情報と、サブシステムのリスクレベルを当該サブシステムへの攻撃容易性と当該サブシステムの資産価値との関係性に基づき規定するテーブルと、を格納した記憶装置を備える情報処理装置が、
前記各業務の各サブシステムの属性情報から、当該サブシステムにて取り扱う資産の情報と、該当業務におけるサブシステム間の関係性の情報とを取得し、当該取得した各情報に基づき、該当資産に関して各サブシステムの組を攻撃元および攻撃先とした場合に、前記属性情報から特定される該当サブシステム間のネットワーク上の距離および攻撃先サブシステムのセキュア度の各情報を攻撃容易性情報と特定し、前記資産の情報が示す資産価値の高さおよび前記攻撃容易性情報が示す攻撃容易性の高さを、前記テーブルに照合することで、業務ごとの各サブシステムのリスクレベルを判定する処理と、
前記リスクレベルの判定で得られた該当業務の各サブシステムのリスクレベルに基づき、前記リスクレベルの最大値を該当業務の重要度として判定する処理と、
前記属性情報に基づいて各サブシステムが関連する業務数を算定する処理と、
各サブシステムに関する前記重要度の値と前記業務数とを乗算して、各サブシステムに関するセキュリティ対策の実施優先度を算定し、当該実施優先度の情報を所定装置に出力する処理と、
を実行することを特徴とするセキュリティ対策支援方法。
【請求項５】
前記情報処理装置が、
前記実施優先度の情報を所定装置に出力するに際し、各サブシステムに関して得ているリスクレベルの情報も更に所定装置に出力する、
ことを特徴とする請求項４に記載のセキュリティ対策支援方法。
【請求項６】
前記情報処理装置が、
前記実施優先度の情報を所定装置に出力するに際し、各サブシステムに対応した描画オブジェクトを所定画面に配置して、前記描画オブジェクトの表示形態を実施優先度の高さに応じて変化させた画面データを、所定装置に送信して表示させる、
ことを特徴とする請求項４に記載のセキュリティ対策支援方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュリティ対策支援装置およびセキュリティ対策支援方法に関するものであり、具体的には、対象インフラシステムにおいて効果的な業務保護が可能となるセキュリティ対策実施箇所を提案する技術に関する。
【背景技術】
【０００２】
社会インフラシステムの構成要素である制御システムは、従来であれば独自のＯＳおよびネットワークから構成され、外部システムと接続しない。そのため、ウイルス等による攻撃からセキュリティ脅威にさらされることはないと考えられていた。
【０００３】
しかし近年では、そうした制御システムにおいても、汎用ＯＳおよび標準プロトコルの採用（オープン化）が多くなっており、これに従い、サイバー攻撃報告数も増加傾向にある。こうした事態を受け、制御システム分野でも、セキュリティに関するＩＥＣ６２４４３をはじめとする標準規格、ガイドラインなどの策定が開始されている。
【０００４】
これらの標準規格、ガイドラインでは、制御システムに関するセキュリティ設計の実施を要求している。セキュリティ設計とは、セキュアなシステムを構築するため、対象システムにおいて価値があるもの（以降、資産とする）に対して、発生しうる脅威を洗い出し、各脅威に対する適切なセキュリティ対策を、該当リスクが許容しうるレベルになるまで講じる、といった一連のプロセスである。
【０００５】
こうしたセキュリティ対策について先行する情報システム分野においては、様々な技術が確立されている。例えば、設計対象システムに対し、セキュリティ機能要件の配置を容易にするとの課題の下、設計対象システムに想定される脅威の原因となるエージェントの場所から当該脅威により被害を受ける資産の場所までの経路上の１以上の場所をセキュリティ機能要件の配置候補とし、予め定めた配置ルールに従い、各配置候補の優先度を判定するセキュリティ設計支援方法（特許文献１参照）などが提案されている。
【０００６】
なお、こうしたエージェントと各資産との間を、ノードとエッジによるグラフで表現し、セキュリティ設計の検討用情報として用いる技術も従来から提案されている。このようなグラフに関する従来技術としては、ＷＥＢ内のノードに対するテキスト検索において、その異なるノードに対し、リンク構造を利用して自動的にクラスタリングを行い、求めようとする情報により近い情報に絞り込み、目的に容易に到達しうる検索エンジンを構築するためのノードのクラスタリング法（特許文献２参照）などが提案されている。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００６−２７６９９３号公報
【特許文献２】特開２０１０−１９１９０２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
従来技術を採用すれば、対象システムにおける各機器の特性に応じ、セキュリティ対策箇所の優先順位付けを行うことは可能となる。
【０００９】
一方、上述の社会インフラシステムは、多くの機器で構成した各サブシステムを互いにネットワークで結ぶことで実現されるシステムである。このシステムでは、或るサブシス
テムの出力が他のサブシステムの入力となるシステム間連携の動作がベースとなっており、各サブシステムの担う役割の多さに応じて、そうした動作（以降、業務と称する）も該当サブシステムにおいて多くなる。換言すれば、社会インフラシステムにおけるサブシステムは、複数業務において共通使用されるものもあれば、単一業務でのみ使用されるものも存在する。つまり、サブシステム間で、社会インフラシステムにおける業務使用の軽重は異なっている。
【００１０】
このような社会インフラシステムに対して従来技術を適用した場合、社会インフラシステムに特有な業務について考慮して、セキュリティ対策の業務間での優先順位を踏まえた効率的なセキュリティ対策支援を行うことは出来ない。
【００１１】
そこで本発明の目的は、対象システムにおいて効果的な業務保護が可能となるセキュリティ対策実施箇所を提案する技術を提供することにある。
【課題を解決するための手段】
【００１２】
上記課題を解決する本発明のセキュリティ対策支援装置は、対象システムで各業務を構成する各サブシステムの属性情報と、サブシステムのリスクレベルを当該サブシステムへの攻撃容易性と当該サブシステムの資産価値との関係性に基づき規定するテーブルと、を格納した記憶装置と、前記各業務の各サブシステムの属性情報から、当該サブシステムにて取り扱う資産の情報と、該当業務におけるサブシステム間の関係性の情報とを取得し、当該取得した各情報に基づき、該当資産に関して各サブシステムの組を攻撃元および攻撃先とした場合に、前記属性情報から特定される該当サブシステム間のネットワーク上の距離および攻撃先サブシステムのセキュア度の各情報を攻撃容易性情報と特定し、前記資産の情報が示す資産価値の高さおよび前記攻撃容易性情報が示す攻撃容易性の高さを、前記テーブルに照合することで、業務ごとの各サブシステムのリスクレベルを判定する処理と、前記リスクレベルの判定で得られた該当業務の各サブシステムのリスクレベルに基づき、前記リスクレベルの最大値を該当業務の重要度として判定する処理と、前記属性情報に基づいて各サブシステムが関連する業務数を算定する処理と、各サブシステムに関する前記重要度の値と前記業務数とを乗算して、各サブシステムに関するセキュリティ対策の実施優先度を算定し、当該実施優先度の情報を所定装置に出力する演算装置と、を備えることを特徴とする。
【００１３】
また、本発明のセキュリティ対策支援方法は、対象システムで各業務を構成する各サブシステムの属性情報と、サブシステムのリスクレベルを当該サブシステムへの攻撃容易性と当該サブシステムの資産価値との関係性に基づき規定するテーブルと、を格納した記憶装置を備える情報処理装置が、前記各業務の各サブシステムの属性情報から、当該サブシステムにて取り扱う資産の情報と、該当業務におけるサブシステム間の関係性の情報とを取得し、当該取得した各情報に基づき、該当資産に関して各サブシステムの組を攻撃元および攻撃先とした場合に、前記属性情報から特定される該当サブシステム間のネットワーク上の距離および攻撃先サブシステムのセキュア度の各情報を攻撃容易性情報と特定し、前記資産の情報が示す資産価値の高さおよび前記攻撃容易性情報が示す攻撃容易性の高さを、前記テーブルに照合することで、業務ごとの各サブシステムのリスクレベルを判定する処理と、前記リスクレベルの判定で得られた該当業務の各サブシステムのリスクレベルに基づき、前記リスクレベルの最大値を該当業務の重要度として判定する処理と、前記属性情報に基づいて各サブシステムが関連する業務数を算定する処理と、各サブシステムに関する前記重要度の値と前記業務数とを乗算して、各サブシステムに関するセキュリティ対策の実施優先度を算定し、当該実施優先度の情報を所定装置に出力する処理と、を実行することを特徴とする。
【発明の効果】
【００１４】
本発明によれば、対象システムにおいて効果的な業務保護が可能となるセキュリティ対策実施箇所を提案可能となる。
【図面の簡単な説明】
【００１５】
【図１】本実施形態におけるセキュリティ対策支援装置のハードウェア構成例を示す図である。
【図２】本実施形態のセキュリティ対策支援装置における処理部の概要と入出力の関係を示す説明図である。
【図３】本実施形態におけるインシデント事例ごとのセキュリティ特性とインシデントレベルを規定したテーブル例を示す図である。
【図４】本実施形態の資産区分情報の例を示す図である。
【図５】本実施形態のゾーン区分情報の例を示す図である。
【図６】本実施形態のサブシステム区分情報の例を示す図である。
【図７】本実施形態の評価方法区分情報の例を示す図である。
【図８】本実施形態のセキュリティ対策支援方法における処理手順例１を示すフロー図である。
【図９】本実施形態における業界情報の入力画面例を示す図である。
【図１０】本実施形態における評価方法情報の入力画面例を示す図である。
【図１１】本実施形態における資産情報の入力画面例を示す図である。
【図１２】本実施形態におけるサブシステム情報の入力画面例を示す図である。
【図１３】本実施形態における業務フロー情報の入力画面例を示す図である。
【図１４】本実施形態におけるシステム構成情報の入力画面例を示す図である。
【図１５】本実施形態における業界情報の例を示す図である。
【図１６】本実施形態における評価方法情報の例を示す図である。
【図１７】本実施形態における資産一覧の例を示す図である。
【図１８】本実施形態におけるサブシステム一覧の例を示す図である。
【図１９】本実施形態におけるシステム構成図のファイル例を示す図である。
【図２０】本実施形態における業務フローのファイル例を示す図である。
【図２１】本実施形態のセキュリティ対策支援方法における処理手順例２を示すフロー図である。
【図２２】本実施形態のリスク評価パターン情報の例を示す図である。
【図２３】本実施形態における距離とゾーン特性の関係に基づくリスク値の規定テーブル例を示す図である。
【図２４】本実施形態における攻撃容易性と資産価値の関係に基づくリスク値の規定テーブル例を示す図である。
【図２５】本実施形態における簡易リスク分析結果の一例を示す図である。
【図２６】本実施形態のセキュリティ対策支援方法における処理手順例３を示すフロー図である。
【図２７】本実施形態の業務の重要度算出パターン情報の例を示す図である。
【図２８】本実施形態のセキュリティ対策支援方法における処理手順例４を示すフロー図である。
【図２９】本実施形態における業務フロー合成の概念例を表す説明図である。
【図３０】本実施形態のセキュリティ対策支援方法における処理手順例５を示すフロー図である。
【図３１】本実施形態の対策実施優先度算出ルール情報の例を示す図である。
【図３２】本実施形態のセキュリティ対策支援方法における処理手順例６を示すフロー図である。
【図３３】本実施形態の対策実施箇所抽出パターン情報の例を示す図である。
【図３４】本実施形態における対策実施推奨箇所一覧の出力例を示す図である。
【図３５】本実施形態における業務グラフ図の出力例を示す図である。
【発明を実施するための形態】
【００１６】
−−−装置のハードウェア構成−−−
【００１７】
以下に本発明の実施形態について図面を用いて詳細に説明する。図１は、本実施形態のセキュリティ対策支援装置１０のハードウェア構成例を示す図である。本実施形態のセキュリティ対策支援装置１０は、対象システムにおいて効果的な業務保護が可能となるセキュリティ対策実施箇所を提案するコンピュータシステムである。こうしたセキュリティ対策支援装置１０が対策対象とする具体的な例として、例えば、社会インフラシステムのうち、電力事業者の運営するスマートグリッドシステムを想定し、またこのスマートグリッドシステムには、スマートメーターやＬＡＮ、ＷＡＮ、ヘッドエンド、端末、データマネジメントシステムなどといった各種のサブシステムが含まれる。
【００１８】
なお、スマートグリッドは、各電力需要家に設置されたスマートメータと上述のデータマネジメントシステム（主として電気事業者が運営）との間で、消費電力量や電力需給状況等を踏まえた送電調整等の各種機能や、料金自動徴収等の新サービスの提供を可能とす
る電力網である。勿論、本実施形態のセキュリティ対策支援技術の適用対象はこれに限定されず、様々な社会インフラシステムの他、複数のサブシステムで構成した業務を複数備えた他のシステムも適用対象と出来る。
【００１９】
本実施形態におけるセキュリティ対策支援装置１０のハードウェア構成は以下の通りである。すなわちセキュリティ対策支援装置１０は、メモリ１００、外部記憶装置２００、ＣＰＵ３００、入出力装置４００、およびＩＦ５００から構成されている。セキュリティ対策支援装置１０は、例えば１つ以上の公知のパーソナルコンピュータやワークステーションなどの電子計算機に該当する。
【００２０】
上述の構成のうちメモリ１００は、ＲＡＭなど揮発性記憶素子で構成される記憶装置であり、セキュリティ対策支援装置１０として必要な機能を実装するためのプログラム１１０を保持している。このプログラム１１０はＣＰＵ３００により実行されることで、以下の機能部１０１〜１０６をセキュリティ対策支援装置１０に実装できる。
【００２１】
上述の機能部とは、評価対象定義部１１０、簡易リスク分析部１０２、重要度算出部１０３、業務フロー合成部１０４、対策実施優先度算出部１０５、および対策実施箇所抽出部１０６である。
【００２２】
このうち評価対象定義部１０１は、セキュリティ対策対象すなわち評価対象（以下、評価対象）とするシステムに関する定義をユーザから得る機能に対応する。また、簡易リスク分析部１０２は、上述の評価対象のシステムに対して簡易的にリスク分析を実施する機能に対応する。また、重要度算出部１０３は、上述の簡易リスク分析の結果を用いて業務の重要度を決定する機能に対応する。また、業務フロー合成部１０４は、上述の評価対象のシステムにおける各サブシステムの関連業務数をカウントするため業務フロー図を合成することで業務グラフ図を作成する機能に対応する。また、対策実施優先度算出部１０５は、業務の重要度と関連業務数から対策実施優先度を算出する機能に対応する。また、対策実施箇所抽出部１０６は、対策実施推奨箇所を抽出して、業務グラフ図と対策実施推奨箇所一覧を出力する機能に対応する。いずれの機能についても、その詳細は後述する。
【００２３】
また、外部記憶装置２００は、ＳＳＤ（Ｓｏｌｉｄ  Ｓｔａｔｅ  Ｄｒｉｖｅ）やＨＤＤ（Ｈａｒｄ  Ｄｉｓｋ  Ｄｒｉｖｅ）など適宜な不揮発性記憶素子で構成される記憶装置であり、資産価値チェックリスト情報２０１、資産区分情報２０２、ゾーン区分情報２０３、サブシステム区分情報２０４、評価方法区分情報２０５、リスク評価パターン２０６、業務の重要度算出パターン情報２０７、対策実施優先度ルール情報２０８、および対策実施推奨箇所抽出パターン情報２０９を少なくとも保持するものである。これら各情報の具体的内容については後述する。
【００２４】
また、ＣＰＵ３００は、メモリ１１０のプログラム１１０を実行することでセキュリティ対策支援方法における各処理を実行する演算装置である。
【００２５】
また、入出力装置４００は、セキュリティ設計の担当者等がセキュリティ対策支援装置１０に対してデータの入出力を行うための装置である。この入出力装置４００の一例としては、キーボードやマウス、ディスプレイが想定出来る。
【００２６】
また、インターフェイス５００（図中では“ＩＦ”と記載）は、セキュリティ対策支援装置１０が適宜なネットワークを介して外部装置と通信を行うための通信装置である。このインターフェイス５００としてはＬＡＮカードなどの通信機器が該当する。また、図示は省略したが、セキュリティ対策支援装置１０には、ネットワークを介して他装置と相互に通信するための通信制御部なども構築される。なお、こうした通信に関する構成は、セ
キュリティ対策支援装置１０がネットワークで接続される外部装置とデータ授受を行うよう運用する場合に必要であるが、そうした外部装置との通信が不要な運用形態であれば備えずともよい。
−−−機能構成の概要−−−
【００２７】
続いて、本実施形態のセキュリティ対策支援装置１０が備える機能について説明する。上述したように、以下に説明する機能は、例えばセキュリティ対策支援装置１０が備えるプログラム１１０をＣＰＵ３００が実行することで実装される、上述の機能部１０１〜１０６に対応したものと言える。ここでは、図２に例示する、セキュリティ対策支援装置１０における処理工程の概要と入出力の対応関係に基づいて、機能構成について示すこととする。なお、各部の詳細な処理工程は後述する。
【００２８】
セキュリティ対策支援装置１０における機能部のうち評価対象定義部１０１は、資産価値チェックリスト情報２０１、資産区分情報２０２、ゾーン区分情報２０３、サブシステム区分情報２０４、および評価方法区分情報２０５の各情報を、プルダウンメニュー等の適宜なインターフェイスに設定し、当該インターフェイスを含む入力フォーマットの画面データを生成して、これを入出力装置４００に表示し、セキュリティ設計の担当者（以降、分析者）から、評価対象システムに関する情報入力を受け付ける機能である。なお、ここでの処理に用いる各情報２０１〜２０５については後述する（以下、同様）。
【００２９】
上述の評価対象定義部１０１は、入出力装置４００に表示した上述の入力フォーマットの画面を介して分析者から入力を受け付けた、業界情報３０１、評価方法３０２、資産一覧３０３、サブシステム一覧３０４、システム構成図３０５、および業務フロー３０６の各情報を、簡易リスク分析部１０２に送信する。セキュリティ対策支援装置１０は、上述の業界情報３０１、評価方法３０２、資産一覧３０３、サブシステム一覧３０４、システム構成図３０５、業務フロー３０６を入力とすることとなる。
【００３０】
また、簡易リスク分析部１０２は、上述の評価対象定義部１０１から得た評価方法３０２の情報に基づき、リスク評価パターン情報２０６を参照し、該当方法に対応したリスク評価に伴う処理内容を特定し、上述の業界情報３０１、資産一覧３０３、サブシステム一覧３０４、システム構成図３０５、および業務フロー３０６を基に、所定アルゴリズムによる簡易リスク分析を行い、その結果を重要度算出部１０３に送信する。
【００３１】
一方、重要度算出部１０３は、上述の簡易リスク分析部１０２から簡易リスク分析の結果を取得し、その内容に基づき業務の重要度算出パターン情報２０７を参照し、該当簡易リスク分析の結果に対応した、重要度算出の処理内容を特定し、上述の簡易リスク分析結果に基づく各業務の重要度を特定し、その結果を上述の業務フロー３０６に付加して業務フロー合成部１０４に送信する。
【００３２】
また、業務フロー合成部１０４は、上述のシステム構成図３０５および業務フロー３０６に基づき、サブシステム毎の関連業務数、関連する業務の重要度の最大値、資産数などの情報を加味した業務グラフ図を作成し、これを対策実施優先度算出部１０５へ送信する。
【００３３】
また、対策実施優先度算出部１０５は、上述の入力フォーマットの画面にて分析者が選択した評価方法３０２の示す対策実施優先度算出方法に基づき、対策実施優先度ルール情報２０８を参照し、該当算出方法に対応した対策実施優先度算出の処理内容を特定し、上述の業務グラフ図に基づき、サブシステム毎の業務の重要度と関連業務数を抽出して、該当業務停止時の影響度を算出し、対策実施優先度を決定し、決定した対策実施優先度の一覧と上述の業務グラフ図を対策実施推奨箇所抽出部１０６に送信する。
【００３４】
また、対策実施推奨箇所抽出部１０６は、上述の入力フォーマットの画面にて分析者が選択した評価方法３０２の示す抽出処理での考慮内容の情報に基づき、対策実施推奨箇所抽出パターン情報２０９を参照し、該当考慮内容に対応した対策実施箇所抽出の処理内容を特定し、上述の対策実施優先度の一覧と業務グラフ図に基づき、上述の参照で特定した対策実施推奨箇所抽出ルールに従い、対策実施推奨箇所を特定し、入出力装置４００に対策実施推奨箇所一覧と業務グラフ図を出力する。
−−−データ構造例−−−
【００３５】
次に、本実施形態のセキュリティ対策支援装置１０が用いるデータの例について説明する。図３は、本実施形態における資産価値チェックリスト情報２０１の例を示す図である。図３で例示する資産価値チェックリスト情報２０１は、後述する図１０の画面１０００における業界に関するプルダウンメニュー３１０２中のリストに対応する情報と、図１１の画面１０２０における資産レベルに関する各プルダウンメニュー３３０４〜３３０８中のリストに対応する情報とが規定されたテーブル形式の情報である。
【００３６】
こうした資産価値チェックリスト情報２０１は、評価対象システムの運用企業が属する業界３３１０１（例：電力、ガス、水道、鉄道など）と、該当業界毎のインシデント事例３３１０２（例：プライバシー侵害の発生、料金計算ができない、故障が検知できないなど）と、上述のインシデント事例３３１０２に記載された各事例の該当するセキュリティ特性３３１０３と、該当各インシデント事例３３１０２における影響度たるインシデントレベル３３１０４とが対応付けされたレコードの集合体となっている。
【００３７】
なお、セキュリティ特性３３１０３の具体例としては、例えば、インシデント事例「プライバシー侵害の発生」は機密性を損失した際に起こりうる事象であるため、該当レコードのうち機密性（図中では「Ｃ」）の欄に「○」が設定されている。また、インシデントレベル３３１０４の具体例としては、例えば、インシデント事例「プライバシー侵害の発生」に関してインシデントレベルが「３」と設定されている。インシデントレベル３３１０４の値は、業界や評価対象システムに依存して変動可能である。
【００３８】
図４は本実施形態の資産区分情報２０２の例を示す図である。図４で例示する資産区分情報２０２は、後述する図１１の画面１０１０における資産区分に関するプルダウンメニュー３３０３中のリストに対応する情報が規定されたテーブル形式の情報である。こうした資産価値チェックリスト情報２０１は、攻撃対象となる資産に関する分類である、「情報」、「物理」、「機能」の各値を規定したテーブル形式の情報である。
【００３９】
図５は本実施形態のゾーン区分情報２０３の例を示す図である。図５で例示するゾーン区分情報２０３は、後述する図１２の画面１０３０におけるゾーン区分に関するプルダウンメニュー３４０６中のリストに対応する情報が規定されたテーブル形式の情報である。ここで、ゾーンとは、評価対象システムにおけるネットワーク構成中でのサブシステムの配置領域を示すものである。
【００４０】
こうしたゾーン区分情報２０３は、ゾーン区分３４２０１（例：ゾーン１、ゾーン２、ゾーン３、・・・等）と、該当ゾーンでの人の存在の有無３４２０２と、該当ゾーンでのセキュリティゲート有無など入退管理の有無４２０３とを対応付けされたレコードの集合体となっている。このゾーン区分情報２０３は、適宜な管理者等が評価対象システムに関して予め設定したものとなる。なお、本実施形態のゾーン区分情報２０３では、ゾーン区分の定義に関して「人」に着目し、人の存在の有無３４２０２と入退管理の有無３４２０３の各観点から分類を実施したものとなっている。但しこうした形態に限定されず、リスク評価に用いることが可能な他の観点、例えばゾーンが重視するセキュリティ特性や機器
・ネットワークのリソースの観点からの分類を実施したゾーン区分情報を想定してもよい。
【００４１】
図６は本実施形態のサブシステム区分情報２０４の例を示す図である。図６で例示するサブシステム区分情報２０４は、後述する図１２の画面１０３０におけるサブシステム区分に関するプルダウンメニュー３４０３中のリストに対応する情報が規定されたテーブル形式の情報である。こうしたサブシステム区分情報２０４は、サブシステムの区分３４１０１（例：機器、ネットワーク、人）と、サブ区分３４１０２とを対応付けされたレコードの集合体となっている。
【００４２】
なお、サブ区分３４１０２の例としては、区分「機器」に対応するサブ区分「可搬型」および「非可搬型」、区分「ネットワーク」に対応するサブ区分「広域」（例えば、ＷＡＮ：Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）および「狭域」（例えば、近接無線通信）、区分「人」に対応するサブ区分「（所定機器に関する）操作権限あり」および「（所定機器に関する）操作権限なし」といったものが想定出来る。
【００４３】
図７は本実施形態の評価方法区分情報２０５の例を示す図である。図７で例示する評価方法区分情報２０５は、後述する図１０の画面１０１０における評価方法に関する各プルダウンメニュー３２０１〜３２０４中の各リストに対応する情報が規定されたテーブル形式の情報である。
【００４４】
こうした評価方法区分情報２０５は、業務の重要度判定に用いる情報２０５１に関して選択可能な項目２０５５（例：“リスク評価結果”）と、リスク評価での考慮項目２０５２に関して選択可能な項目２０５６（例：“ゾーン特性、攻撃先と攻撃元の距離”）と、対策実施優先度算出方法２０５３に関して選択可能な項目２０５７（例：“関連業務数、業務の重要度、リスク値”）と、対策実施推奨箇所抽出での考慮項目２０５４に関して選択可能な項目２０５８（例：“サブシステム停止時の影響度を考慮”）を含む構成となっている。
−−−処理手順例１−−−
【００４５】
以下、本実施形態におけるセキュリティ対策支援方法の実際手順について図に基づき説明する。以下で説明するセキュリティ対策支援方法に対応する各種動作は、セキュリティ対策支援装置１０がメモリ等に読み出して実行するプログラムによって実現される。そして、このプログラムは、以下に説明される各種の動作を行うためのコードから構成されている。
【００４６】
図８は、本実施形態におけるセキュリティ対策支援方法の処理手順例１を示すフロー図であり、具体的には、セキュリティ対策支援装置１０の評価対象定義部１０１における処理について示す図である。
【００４７】
この場合、評価対象定義部１０１は、既に述べたように、資産価値チェックリスト情報２０１、資産区分情報２０２、ゾーン区分情報２０３、サブシステム区分情報２０４、評価方法区分情報２０５の各情報を外部記憶装置２００からメモリ１００に読み込み、対応する入力フォーマットの画面データにそれぞれ設定することで、業界情報３０１、評価方法３０２、資産一覧３０３、サブシステム一覧３０４、システム構成図３０５、業務フロー３０６の各情報の入力フォーマットの画面データを生成し、これを入出力装置４００に送信する（Ｓ１１０１）。
【００４８】
このステップＳ１１０１において評価対象定義部１０１が生成し、入出力装置４００に送信した最初の画面データ（つまりこの場合の初期入力画面）は、例えば図９に例示する
業界情報３０１の画面１０００となる（勿論、限定されない）。この画面１０００を入出力装置４００において閲覧した分析者は、入出力装置４００を操作して、編集ボタン３１０３をクリックして情報入力動作の開始を要求する。これを受けた評価対象定義部１０１は、例えば情報入力領域１００２におけるテキスト入力欄３１０１やプルダウンメニュー３１０２などの適宜なインターフェイスを操作可能状態にし、評価対象システムに関する情報の入力を受け付ける。一方、分析者は、この情報入力領域１００２に表示されたテキスト入力欄３１０１やプルダウンメニュー３１０２を使用して、評価対象システムに関する情報の入力を行うこととなる。
【００４９】
勿論、業界情報３０１の画面１０００を初期入力画面とせず、タブ群１００１から分析者が別途選択したタブへのクリック動作を受けて、該当タブに応じた情報に関するインターフェイスを情報入力領域に表示させ、評価対象システムに関する情報の入力を受け付けるとしてもよい。
【００５０】
図９に例示した、業界情報３０１に関する画面１０００においては、評価対象システム名称欄３１０１と、業界選択用のプルダウンメニュー３１０２とがインターフェイスとして情報入力領域１００２に含まれている。分析者は、入出力装置４００を操作して、評価対象システム名称欄３１０１に対して評価対象システムの名称を記述する。この評価対象システムの名称は、例えば「スマートグリッドメータデータマネジメントシステム」などシステム固有の名称である。また、業界選択用のプルダウンメニュー３１０２は、評価対象定義部１０１が、外部記憶装置２００から資産価値チェックリスト情報２０１における業界３３１０１の各情報（既出：図３）を反映させたメニューとなっている。上述の分析者は、入出力装置４００を操作して、業界選択用のプルダウンメニュー３１０２が示す、「電力」、「ガス」、「水道」、「交通」といったリスト中から、評価対象システムの属する業界の選択動作を行う。分析者は、情報入力領域１００２で必要な情報の入力が完了したならば、次へボタン３１０４をクリックする、
【００５１】
一方、評価対象定義部１０１は、このクリックを受けて、当該画面１０００を介して評価対象システム名称および業界の各値を入出力装置４００から受信し、これらを業界情報３０１として外部記憶装置２００またはメモリ１００に格納する（Ｓ１１０２）。また、評価対象定義部１０１は、上述のタブ群１００１のうち、予め定めた遷移ルールに対応した例えば右隣の「評価方法」タブに対応した画面遷移を実行する。この場合も勿論、分析者が所望の他のタブをクリックしたことを受け、該当情報の入力を行うための画面遷移を行うとしてもよい。なお、上述の編集ボタン３１０３および次へボタン３１０４のクリックに伴う各動作は各画面で共通である（以下同様）。
【００５２】
上述の画面遷移により、評価対象定義部１０１が入出力装置４００に表示させる画面は、図１０に示す画面１０１０となる。この画面１０１０は、評価対象システムの評価方法３０２に関する入力フォーマットの画面であり、業務の重要度判定に用いる情報、リスク評価での考慮項目、対策実施優先度算出方法、および対策実施推奨箇所抽出での考慮項目、の各プルダウンメニュー３２０１〜３２０４が情報入出力領域１０１２に表示された構成となっている。
【００５３】
この画面１０１０を入出力装置４００において閲覧した分析者は、入出力装置４００を操作して、編集ボタン３２０５をクリックして情報入力動作の開始を要求する。これを受けた評価対象定義部１０１は、例えば情報入力領域１０１２における、上述のプルダウンメニュー３２０１〜３２０４を操作可能状態にし、評価対象システムに関する情報の入力を受け付ける。一方、分析者は、この情報入力領域１０１２に表示されたプルダウンメニュー３２０１〜３２０４を使用して、評価対象システムに関する情報の入力を行う。
【００５４】
業務の重要度判定に用いる情報選択用のプルダウンメニュー３２０１は、評価対象定義部１０１が、外部記憶装置２００から評価方法区分情報２０５における業務の重要度判定に用いる情報２０５１に紐付いた各情報２０５５（既出：図７。以下同様）をリスト化したメニューとなっている。また、リスク評価での考慮項目選択用のプルダウンメニュー３２０２は、評価対象定義部１０１が、外部記憶装置２００から評価方法区分情報２０５におけるリスク評価での考慮項目２０５２に紐付いた情報２０５６をリスト化したメニューとなっている。また、対策実施優先度算出方法選択用のプルダウンメニュー３２０３は、評価対象定義部１０１が、外部記憶装置２００から評価方法区分情報２０５における対策実施優先度算出方法２０５３に紐付いた情報２０５７をリスト化したメニューとなっている。また、対策実施推奨箇所抽出での考慮項目選択用のプルダウンメニュー３２０４は、評価対象定義部１０１が、外部記憶装置２００から評価方法区分情報２０５における対策実施推奨箇所抽出での考慮項目２０５４に紐付いた情報２０５８をリスト化したメニューとなっている。
【００５５】
他方、上述の分析者は、入出力装置４００を操作して、業務の重要度判定に用いる情報選択用のプルダウンメニュー３２０１が示すリスト（例：「リスク評価結果」、「資産価値」）から、例えば「リスク評価結果」といった業務の重要度判定に用いる情報の選択動作を行う。同様に分析者は、リスク評価での考慮項目選択用のプルダウンメニュー３２０２が示すリスト（例：「ゾーン特性」、「攻撃先と攻撃元の距離」、「ゾーン特性、攻撃先と攻撃元の距離」）から、例えば「ゾーン特性、攻撃先と攻撃元の距離」といったリスク評価での考慮項目の選択動作を行う。また同様に分析者は、対策実施優先度算出方法選択用のプルダウンメニュー３２０３が示すリスト（例：「関連業務数、業務の重要度」、「関連業務数、業務の重要度、リスク値」）から、例えば「関連業務数、業務の重要度、リスク値」といった対策実施優先度算出方法の選択動作を行う。また同様に分析者は、対策実施箇所抽出での考慮項目選択用のプルダウンメニュー３２０４が示すリスト（例：「サブシステム停止時の影響度を考慮」、「業務フローを考慮」）から、例えば「サブシステム停止時の影響度を考慮」といった対策実施箇所抽出での考慮項目の選択動作を行う。分析者は、こうした情報入力を完了したならば、次へボタン３２０７をクリックする、
【００５６】
一方、評価対象定義部１０１は、このクリックを受けて、当該画面１０１０の各プルダウンメニュー３２０１〜３２０４を介して選択を受けた各値を入出力装置４００から受信し、これらを評価方法３０２の情報として外部記憶装置２００またはメモリ１００に格納する（Ｓ１１０２）。また、評価対象定義部１０１は、上述のタブ群１００１のうち、予め定めた遷移ルールに対応した例えば右隣の「資産情報」タブに対応した画面遷移を実行する。なお、分析者が戻るボタン３２０６をクリックした場合、評価対象定義部１０１は、上述の遷移ルールを１つ遡った前画面（この場合は図９の業界情報３０１に関する画面１０００）を入出力装置４００に返すこととなる（以下、同様）。
【００５７】
上述の画面遷移により、評価対象定義部１０１が入出力装置４００に表示させる画面は、図１１に示す画面１０２０となる。この画面１０２０は、評価対象システムの資産情報３０３に関する入力フォーマットの画面であり、例えば評価対象定義部１０１が資産ごとに付与した資産ＩＤ３３０１と、資産名称のテキスト入力欄３３０２と、資産区分および資産レベルの各プルダウンメニュー３３０３〜３３０８とが、情報入力領域１０２２に表示された構成となっている。
【００５８】
この画面１０２０を入出力装置４００において閲覧した分析者は、入出力装置４００を操作して、編集ボタン３３１１をクリックして情報入力動作の開始を要求する。これを受けた評価対象定義部１０１は、例えば情報入力領域１０２２における、上述の資産名称のテキスト入力欄３３０２と、プルダウンメニュー３３０３〜３３０８を操作可能状態にし、評価対象システムの資産情報に関する情報の入力を受け付ける。一方、分析者は、この
情報入力領域１０２２に表示されたテキスト入力欄３３０２およびプルダウンメニュー３３０３〜３３０８を使用して情報入力を行う。
【００５９】
なお、資産区分選択用のプルダウンメニュー３３０３は、評価対象定義部１０１が、外部記憶装置２００から資産区分情報２０２における「情報」、「物理」、「機能」といった各資産の情報（既出：図４）をリスト化したメニューとなっている。
【００６０】
また、資産レベルのうち機密性損出時に発生しうる事象選択用のプルダウンメニュー３３０４は、評価対象定義部１０１が、外部記憶装置２００から資産価値チェックリスト情報２０１におけるインシデント事例３３１０２のうち、「プライバシー侵害の発生」、「個人情報漏えいの発生」、「機密情報漏えいの発生」といった機密性（“Ｃ”）の項目をリスト化したメニューとなっている。また、完全性損出時に発生しうる事象選択用のプルダウンメニュー３３０６は、評価対象定義部１０１が、外部記憶装置２００から資産価値チェックリスト情報２０１におけるインシデント事例３３１０２のうち、「料金計算ができない」、「停電の発生」といった完全性（“Ｉ”）の項目をリスト化したメニューとなっている。また、可用性損出時に発生しうる事象選択用のプルダウンメニュー３３０８は、評価対象定義部１０１が、外部記憶装置２００から資産価値チェックリスト情報２０１におけるインシデント事例３３１０２のうち、「故障が検知できない」、「現地出向業務の発生」といった完全性（“Ａ”）の項目をリスト化したメニューとなっている。
【００６１】
他方、上述の分析者は、入出力装置４００を操作して、資産区分選択用のプルダウンメニュー３３０３が示すリストから、例えば「情報」といった資産区分の選択動作を行う。同様に分析者は、資産レベルのうち機密性損出時に発生しうる事象選択用のプルダウンメニュー３３０４が示すリストから、例えば「プライバシー侵害の発生」といった機密性損出時に発生しうる事象の選択動作を行う。また同様に分析者は、資産レベルのうち完全性損出時に発生しうる事象選択用のプルダウンメニュー３３０６が示すリストから、例えば「料金計算ができない」といった完全性損出時に発生しうる事象の選択動作を行う。また同様に分析者は、資産レベルのうち可用性損出時に発生しうる事象選択用のプルダウンメニュー３３０８が示すリストから、例えば「故障が検知できない」といった可用性損出時に発生しうる事象の選択動作を行う。
【００６２】
なお、分析者は、各資産レベルに関する事象について、他にも起こりうる事象がある場合には追加ボタン３３０５〜３３０９をクリックする。これを受けた評価対象定義部１０１は、該当事象に関する同様のプルダウンメニューを既存のプルダウンメニューの直下など周囲に配置して分析者からの更なる選択を受け付ける。
【００６３】
また、この画面１０２０においては、資産ＩＤタブ３３１０も構成に含まれている。この資産ＩＤタブ３３１０は、例えば予め用意した所定数のタブ群からなっている。分析者は、評価対象システムの各資産に関する定義を行うごとにタグを順次クリックし、該当資産ごとに上述の情報入力画面１０２２での情報の入力、選択動作を行うこととなる。
【００６４】
分析者は、上述のような各種情報の入力、選択を完了したならば、次へボタン３３１３をクリックする。
【００６５】
一方、評価対象定義部１０１は、このクリックを受けて、当該画面１０２０の資産名称のテキスト入力欄３３０２で入力を受けた値、および各プルダウンメニュー３３０３〜３３０８を介して選択を受けた各値を、入出力装置４００から受信し、これらを資産情報３０３として外部記憶装置２００またはメモリ１００に格納する（Ｓ１１０２）。また、評価対象定義部１０１は、上述のタブ群１００１のうち、予め定めた遷移ルールに対応した例えば右隣の「サブシステム」タブに対応した画面遷移を実行する。
【００６６】
上述の画面遷移により、評価対象定義部１０１が入出力装置４００に表示させる画面は、図１２に示す画面１０３０となる。この画面１０３０は、評価対象システムを構成するサブシステム３０４に関する入力フォーマットの画面であり、例えば評価対象定義部１０１がサブシステムごとに付与したサブシステムＩＤ３４０１と、サブシステム名称のテキスト入力欄３４０２と、サブシステム区分およびサブシステムが重視するセキュリティ特性の各プルダウンメニュー３４０３〜３３０４と、該当サブシステムが存在するゾーン名称のテキスト入力欄３４０５およびゾーン区分の選択用のプルダウンメニュー３４０６が、情報入力領域１０３２に表示された構成となっている。
【００６７】
この画面１０３０を入出力装置４００において閲覧した分析者は、入出力装置４００を操作して、編集ボタン３４０８をクリックして情報入力動作の開始を要求する。これを受けた評価対象定義部１０１は、例えば情報入力領域１０３２における、上述のテキスト入力欄３４０２、３４０５、およびプルダウンメニュー３４０３〜３３０４、３４０６をそれぞれ操作可能状態にし、評価対象システムのサブシステムに関する情報の入力を受け付ける。一方、分析者は、この情報入力領域１０３２に表示されたテキスト入力欄３４０２、３４０５、およびプルダウンメニュー３４０３〜３４０４、３４０６を使用して情報入力を行う。
【００６８】
なお、サブシステム区分選択用のプルダウンメニュー３４０３は、評価対象定義部１０１が、外部記憶装置２００からサブシステム区分情報２０４における、「非可搬機器」、「可搬機器」、「広域ネットワーク」、「狭域ネットワーク」、「人」、および「機能」とそれらの適宜組合せなどといった各サブシステムの情報（既出：図６）をリスト化したメニューとなっている。
【００６９】
また、サブシステムが重視するセキュリティ特性選択用のプルダウンメニュー３４０４は、評価対象定義部１０１が、外部記憶装置２００から資産価値チェックリスト情報２０１におけるセキュリティ特性３３１０３の値である「機密性」、「完全性」、「可用性」をリスト化したメニューとなっている。
【００７０】
また、存在するゾーン区分選択用のプルダウンメニュー３４０６は、評価対象定義部１０１が、外部記憶装置２００からゾーン区分情報２０３におけるゾーン区分３４２０１、人の存在有無３４２０２、および入退管理３４２０３の各値を含むレコードをリスト化したメニューとなっている。
【００７１】
他方、上述の分析者は、入出力装置４００を操作して、サブシステム名称のテキスト入力欄３４０２に対して、評価対象システムに含まれる所定のサブシステム名を「メーターデータマネジメントシステム」などと入力する。また分析者は、サブシステム区分選択用のプルダウンメニュー３４０３が示すリストから、例えば「機器−非可搬型」といったサブシステム区分の選択動作を行う。同様に分析者は、サブシステムが重視するセキュリティ特性の選択用のプルダウンメニュー３４０４が示すリストから、例えば「機密性」といったセキュリティ特性の選択動作を行う。また同様に分析者は、存在するゾーン名称のテキスト入力欄３４０５に対して、該当サブシステムの存在するゾーンの名称を「データセンター」などと入力する。
【００７２】
また、この画面１０３０においては、サブシステムＩＤタブ３４０７も構成に含まれている。このサブシステムＩＤタブ３４０７は、例えば予め用意した所定数のタブ群からなっている。分析者は、評価対象システムの各サブシステムに関する定義を行うごとにタグを順次クリックし、該当サブシステムごとに上述の情報入力画面１０３２での情報の入力、選択動作を行うこととなる。
【００７３】
分析者は、上述のような各種情報の入力、選択を完了したならば、次へボタン３４１０をクリックする。
【００７４】
一方、評価対象定義部１０１は、このクリックを受けて、当該画面１０３０のテキスト入力欄３４０２、３４０５で入力を受けた各値、および各プルダウンメニュー３４０３〜３４０６を介して選択を受けた各値を、入出力装置４００から受信し、これらをサブシステム一覧３０４の情報として外部記憶装置２００またはメモリ１００に格納する（Ｓ１１０２）。また、評価対象定義部１０１は、上述のタブ群１００１のうち、予め定めた遷移ルールに対応した例えば右隣の「業務フロー」タブに対応した画面遷移を実行する。
【００７５】
上述の画面遷移により、評価対象定義部１０１が入出力装置４００に表示させる画面は、図１３に示す画面１０４０となる。この画面１０４０は、評価対象システムを構成する各サブシステムを一連の処理主体とした業務フローに関する入力フォーマットの画面である。この画面１０４０は、例えば、定義設定の対象とする該当業務名称のテキスト入力欄３５０２と、例えば図１２の画面１０３０で分析者が設定した各サブシステムに対応したノードを表現する描画オブジェクト１０４５、およびノード間を結ぶエッジに対応した線分オブジェクト１０４６とを少なくとも含む構成となっている。勿論、上述の描画オブジェクト１０４５には、分析者が自由にサブシステムを対応付け来るの雛形の描画オブジェクトが含まれるとしてもよい。
【００７６】
この画面１０３０を入出力装置４００において閲覧した分析者は、入出力装置４００を操作して、編集ボタン３５２３をクリックして情報入力動作の開始を要求する。これを受けた評価対象定義部１０１は、例えば情報入力領域１０４２における、上述のテキスト入力欄３５０２、および描画オブジェクト１０４５、線分オブジェクト１０４６をそれぞれ操作可能状態にし、評価対象システムにおける業務フローに関する情報の入力を受け付ける。
【００７７】
一方、分析者は、この情報入力領域１０４２に表示されたテキスト入力欄３５０２、および描画オブジェクト１０４５、線分オブジェクト１０４６を使用して、評価対象システムで行われる各業務（のフロー、すなわち業務フロー）に関する情報入力を行う。図示するように、例えば「業務００１」なる業務に関して上述の分析者は、入出力装置４００を操作して、業務名称のテキスト入力欄３５０２に対して、該当業務の名称を「リモートからの検針」などと入力する。
【００７８】
また分析者は、該当業務「業務００１」に関与する各サブシステムとその間の関係性について、上述の描画オブジェクト１０４５をサブシステムに対応したノードとして情報入力領域１０４２にドラッグ＆ドロップし、更にそのノード間に線分オブジェクト１０４６をドラッグ＆ドロップして接続させる動作を、該当業務に関与する各サブシステムに適宜応じて繰り返し実行する。
【００７９】
また分析者は、各ノードに対して所定のクリック動作（例：ダブルクリックなど）を行うことで、評価対象定義部１０１により所定の入力欄を表示をさせ、該当ノードのプロパティである、業務フロー中での該当ノードの実行順序（フロー中での位置）、該当サブシステムで取り扱う資産、該当サブシステムが存在するゾーンといった情報の入力を行う。なお、本実施形態ではエッジに関してプロパティの情報入力を受け付ける形態を例示しなかったが、エッジに関してもプロパティのして情報入力を受け付けるとしてもよい。
【００８０】
こうした分析者の動作により、図１３の情報入力領域１０４２で示すように、プロパティグラフの形態で表現された業務フロー３０６が構成される。プロパティグラフとは、グ
ラフの一種であり、ノードとエッジ（リレーションシップ）、プロパティから構成され、ノードとエッジにプロパティという属性を付与することを可能とするグラフである。
【００８１】
図１３で例示する業務フロー３０６において、サブシステムに対応した各ノード３５０３〜３５０９は、機器、ネットワーク、人などに該当し、エッジ３５１０〜３５１５は、ノード間のデータ授受の方向性を示す有向タイプの線である。また各ノード３５０３〜３５０９には、プロパティ３５１６〜３５２２がそれぞれ付帯した構成となっている。
【００８２】
図１３の例では、業務「リモートからの検針」について、スマートメーター（ノード３５０３）で計測したメーターデータが、フィールドＬＡＮ（Ｌｏｃａｌ ＡｒｅＡ Ｎｅｔｗｏｒｋ）、集約装置、ＷＡＮ（Ｗｉｄｅ ＡｒｅＡ Ｎｅｔｗｏｒｋ）、ヘッドエンド、および専用ＬＡＮの一連のサブシステム（ノード３５０４〜３５０８）を経て、ＭＤＭＳ（メーターデータマネジメントシステム。ノード３５０９）に収集される業務フロー３０６が分析者によって生成された状態を示している。従って、ノード間を結ぶエッジは、メーターデータの流れ、すなわち業務の流れに対応したものとなる。
【００８３】
なお、上述の画面１０４０においては、業務フローＩＤタブ３５０１も構成に含まれている。この業務フローＩＤタブ３５０１は、例えば予め用意した所定数のタブ群からなっている。或いは、タブ追加アイコン３５３０に対するクリック動作を受けるごとに、１つの業務に対応して生成されるとしてもよい。
【００８４】
分析者は、評価対象システムで処理される各業務に関する業務フローの定義を行うごとに業務フローＩＤタグ３５０１を、その付帯数字順に順次クリックし、該当業務ごとに上述の情報入力画面１０４２での業務名称の入力、描画オブジェクト１０４５および線分オブジェクト１０４６の配置、プロパティ情報の入力といった動作を行うこととなる。
【００８５】
分析者は、評価対象システムにおける各業務について上述のような各種情報の入力等を完了したならば、次へボタン３５２５をクリックする。
【００８６】
一方、評価対象定義部１０１は、このクリックを受けて、当該画面１０４０のテキスト入力欄３５０２で入力を受けた値、および情報入力領域１０４２で構成された各業務フロー３０６の情報を、入出力装置４００から受信し、これらを外部記憶装置２００またはメモリ１００に格納する（Ｓ１１０２）。
【００８７】
また、評価対象定義部１０１は、上述のタブ群１００１のうち、予め定めた遷移ルールに対応した例えば右隣の「システム構成図」タブに対応した画面遷移を実行する。
【００８８】
上述の画面遷移により、評価対象定義部１０１が入出力装置４００に表示させる画面は、図１４に示す画面１０５０となる。この画面１０５０は、評価対象システムに関する入力フォーマットの画面である。この画面１０５０は、例えば、定義設定の対象とする該当評価対象システムが含むサブシステム（図１２の画面１０３０で分析者が定義したもの）に対応したノードを表現する描画オブジェクト１０５５、およびノード間を結ぶ線分オブジェクト１０５６とを少なくとも含む構成となっている。
【００８９】
この画面１０５０を入出力装置４００において閲覧した分析者は、入出力装置４００を操作して、編集ボタン３６０２をクリックして情報入力動作の開始を要求する。これを受けた評価対象定義部１０１は、例えば上述の描画オブジェクト１０５５および線分オブジェクト１０５６をそれぞれ操作可能状態にし、評価対象システムにおける各サブシステとその接続関係に関する情報の入力を情報入力領域１０５２にて受け付ける。
【００９０】
一方、分析者は、操作可能となった描画オブジェクト１０５５および線分オブジェクト１０５６を使用して評価対象システムの構成に関する情報入力を行う。この場合、上述の分析者は、入出力装置４００を操作して、該当評価対象システムが含む各サブシステムとその間の関係性について、上述の描画オブジェクト１０５５をサブシステムに対応したノードとして情報入力領域１０５２にドラッグ＆ドロップし、更にそのノード間に線分オブジェクト１０５６をドラッグ＆ドロップして接続させる動作を、該当評価対象システムが含む各サブシステム数に適宜応じて繰り返し実行する。
【００９１】
こうした分析者の動作により、図１４の情報入力領域１０５２で示すように、プロパティグラフの形態で表現されたシステム構成図３０５が構成される。
【００９２】
図１３で例示するシステム構成図３０５において、サブシステムに対応した各ノード３６０５〜３６１９は、ハンディターミナル、スマートメーター、およびＭＤＭＳなどの機器、ＷＡＮや専用ＬＡＮなどのネットワークなどに該当し、エッジ３５２０〜３６３３は、ノード間でのネットワーク接続の関係を示す線である。
【００９３】
図１４の例では、評価対象システムについて、システム末端のスマートメーター（ノード３６０６）、ハンディターミナル（ノード３６０５）が、フィールドＬＡＮ（ノード３６０７）と結ばれ、このフィールドＬＡＮは、集約装置（ノード３６０８）、ＷＡＮ（ノード３６０９）、およびヘッドエンド（ノード３６１０）を経て、電力事業者等の専用ＬＡＮ（ノード３６１１）と接続され、この専用ＬＡＮには、ＭＡＭ（ノード３６１２）、ＭＤＭＳ（ノード３６１３）、共通基盤（ノード３６１４）、支店ＬＡＮ（ノード３６１５）、操作端末（ノード３６１６）、営業所ＬＡＮ（ノード３６１７）、支店端末（ノード３６１８）、および営業所端末（ノード３６１９）、といった各サブシステムが接続された評価対象定システムのシステム構成図３０５が分析者によって生成された状態を示している。
【００９４】
分析者は、上述のような各種情報の入力等を完了したならば、次へボタン３６０４をクリックする。
【００９５】
一方、評価対象定義部１０１は、このクリックを受けて、当該画面１０５０のシステム構成図３０５の情報を取得し、これを外部記憶装置２００またはメモリ１００に格納する（Ｓ１１０２）。
【００９６】
上述の各画面１０００〜１０５０に関するステップＳ１１０１およびＳ１１０２の実行により、評価対象定義部１０１は、分析者が入力した業界情報３０１、評価方法３０２、資産一覧３０３、サブシステム一覧３０４、システム構成図３０５、および業務フロー３０６を取得し、図１５〜２０で示すようにメモリ１００または外部記憶装置２００に格納することとなる。なお、システム構成図３０５については、図１９で例示するように、ファイル形式（例：“sys-file.dat”）で格納する構成を想定した。また同様に、業務フロー３０６についても図２０で例示するように、業務ごとにファイル形式（例：“flow001.dat”）で格納する構成を想定した。
【００９７】
ここで図８のフローの説明に戻る。上述のステップＳ１１０２に続き、評価対象定義部１０１は、メモリ１００で保持する業界情報３０１（図１５）および資産一覧３０３（図１７）の各情報から、評価対象システムの所属業界の情報と、各資産の資産レベルに関する各事象（例：機密性損出時に発生しうる事象＝プライバシー侵害）の情報とを読み取り、該当業界および該当事象の各情報をキーに、資産価値チェックリスト情報２０１（図３）を参照して、例えば「電力」業界におけるインシデント事例３３１０２のうち、評価対象定システムの事象（例：プライバシー侵害）と一致するものを特定し、このインシデン
ト事例に対応したインシデントレベル３３１０４の値（例：３）を、資産価値として決定する（Ｓ１１０３）。この場合、評価対象定義部１０１は、ここで特定した各資産の資産価値を資産一覧３０３（図１７）の該当資産のレコードに追加する。こうした資産価値の決定と資産一覧３０３への追記は、機密性（Ｃ）、完全性（Ｉ）、および可用性（Ａ）の各事象に関して行う。
【００９８】
次に評価対象定義部１０１は、上述のステップＳ１１０２で得ている、業界情報３０１、評価方法３０２、サブシステム一覧３０４、システム構成図３０５、および業務フロー３０６と、上述のステップＳ１１０３で各資産の資産価値の値を付与した資産一覧３０３とを、簡易リスク分析部１０２に送信し（Ｓ１１０４）、当該フローを終了する。従って、下記には簡易リスク分析部１０２によるフローについて説明する。
−−−処理手順例２−−−
【００９９】
図２１は本実施形態におけるセキュリティ対策支援方法の処理手順例２を示すフロー図であり、具体的にはセキュリティ対策支援装置１０の簡易リスク分析部１０２における処理について示す図である。ここでは、評価方法３０２の情報において、「リスク評価の考慮項目」として「ゾーン特性、攻撃先と攻撃元の距離」が定義されている状況を踏まえて説明を行うものとする。
【０１００】
この場合、まず簡易リスク分析部１０２は、評価対象定義部１０１から業界情報３０１、評価方法３０２、資産一覧３０３、サブシステム一覧３０４、システム構成図３０５、および業務フロー３０６の各情報を取得する（Ｓ１２０１）。
【０１０１】
続いて簡易リスク分析部１０２は、上述のステップＳ１２０１で受信した評価方法３０２の情報から、リスク評価での考慮項目の値を読み取り、この値をキーに、外部記憶装置２００のリスク評価パターン情報２０６（図２２）で対応する処理内容を特定する（Ｓ１２０２）。この処理内容は、例えば攻撃先と攻撃元のノード間の距離をエッジのホップ数のカウントで算定する、といった簡易リスク分析部１０２が実行する具体的な処理内容を想定出来る。
【０１０２】
また、簡易リスク分析部１０２は、上述のステップＳ１２０１で受信した業務フロー３０６から１つの業務フローを選択し（Ｓ１２０３）、ここで選択した業務フローから攻撃先のノードを任意に１つ選択する（Ｓ１２０４）。ここでノードを選択する際、簡易リスク分析部１０２は、機器もしくはネットワークのノードを選択する。
【０１０３】
次に、簡易リスク分析部１０２は、上述のステップＳ１２０３で選択した業務フローから、上述の攻撃先のノードとエッジで接続され、攻撃元と想定可能な全ノードを選択する（Ｓ１２０５）。ここでノードを選択する際、簡易リスク分析部１０２は、機器もしくはネットワークのノードを選択する。なお、本実施形態では、選択した業務フローに登場するサブシステムを攻撃元としているが、全サブシステムを攻撃元としてもよい。また、他の観点、例えばゾーンの観点から攻撃元を選択してもよい。
【０１０４】
続いて簡易リスク分析部１０２は、上述のステップＳ１２０４で選択した攻撃先のノードが所持する資産（業務フロー３０６における該当ノードのプロパティから取得可）をキーに、資産一覧３０３を参照し、該当資産の各事象に関する資産価値を特定する（Ｓ１２０６）。
【０１０５】
次に、簡易リスク分析部１０２は、上述のステップＳ１２０２で特定した評価方法３０２の内容を基に、ステップＳ１２０４で選択した攻撃先とステップＳ１２０５で選択した攻撃元の各ノード間の距離から攻撃距離レベルを、また、攻撃元が存在するゾーン特性か
ら認証要否レベルをそれぞれ定義し、攻撃容易性の判定を行う（Ｓ１２０７）。
【０１０６】
上述の攻撃距離は、例えば、攻撃元からみて隣のノードへの攻撃であれば攻撃距離のレベルは「３」、１つ以上離れたノードへの攻撃であれば攻撃距離のレベルは「２」、２つ以上離れたノードのへ攻撃であれば攻撃元距離レベルは「１」とカウントする。また、ゾーン特性は、例えば、「人が存在し入退管理がない」ゾーン区分「１」は認証要否レベル「３」、「人が存在し入退管理がある」ゾーン区分「２」は認証要否レベル「２」、「人が存在しない」ゾーン区分３は認証要否レベル「１」と特定する。
【０１０７】
この場合簡易リスク分析部１０２は、上述の攻撃距離の値と認証要否レベルの値とを乗算し、その乗算値が「９〜６」であれば攻撃容易性レベルは「３」、乗算値が「５〜３」であれば攻撃容易性レベルは「２」、乗算値が「２〜１」であれば攻撃容易性レベルは「１」と判定する。なお、攻撃容易性レベルの判定には、今回用いた攻撃距離のレベルと認証要否のレベルのうち、どちらか一方の値のみを用いるとしてもよい。或いは、攻撃容易性を表す他の観点の値から判定するとしてもよい。
【０１０８】
こうした攻撃容易性の判定に関する具体的な概念例を図２３に示す。図２３は本実施形態における距離とゾーン特性の関係に基づくリスク値の規定テーブル１２００の例を示す図である。このテーブル１２００は、セキュリティ対策支援装置１０の外部記憶装置２００に保持されていれば好適である。
【０１０９】
このテーブル１２００において、認証要否レベル１２１０１の値「３」〜「１」に対して、攻撃元からの距離１２１０２の値「３」〜「１」に応じた攻撃容易性の値がマトリクスで規定されている。この場合、簡易リスク分析部１０２は、上述の攻撃先と攻撃元の各ノード間の距離に応じた攻撃距離レベルと、攻撃元が存在するゾーンのゾーン区分に応じた認証要否レベルの値とを、それぞれこのテーブル１２００に照合し、攻撃容易性を判定出来る。例えば、攻撃元の所在ゾーンがゾーン「２」であるため認証要否レベルを「２」と特定し、この攻撃元のノードが攻撃先と隣接していて攻撃距離が「１」であった場合、簡易リスク分析部１０２は、該当資産に関する攻撃元から攻撃先への攻撃容易性を「１」と特定する。
【０１１０】
ここで図２１のフローの説明に戻る。上述のステップＳ１２０７に続いて、簡易リスク分析部１０２は、ステップＳ１２０６で参照した該当資産に関する各事象の資産価値に所定処理を行った値と、ステップＳ１２０７で算出した該当資産に関する攻撃元と攻撃先の組み合わせ毎に判定した攻撃容易性の値とを乗算し、その値の範囲ごとにリスク値を判定する（Ｓ１２０８）。例えば、各事象（Ｃ，Ｉ，Ａ）の資産価値の値を乗算し、この乗算値が、「２７〜１９」であれば資産価値１２１０３の値を「３」、「１８〜９」であれば資産価値１２１０３の値を「２」、「８〜１」であれば資産価値１２１０３の値を「１」と特定し、これら資産価値１２１０３の値と攻撃容易性の値とを乗算して、その値の範囲が、「９〜６」であればリスク値「３」、「５〜３」であればリスク値「２」、「２〜１」であればリスク値「１」などと判定する。なお、上述した資産価値と攻撃容易性とは別の所定指標を用いてリスク値を判定するとしてもよい。
【０１１１】
こうしたリスク値の判定に関する具体的な概念例を図２４に示す。図２４は本実施形態における攻撃容易性と資産価値の関係に基づくリスク値の規定テーブル１３００の例を示す図である。このテーブル１３００は、セキュリティ対策支援装置１０の外部記憶装置２００に保持されていれば好適である。
【０１１２】
このテーブル１３００において、資産価値１２１０３の値「３」〜「１」に対して、攻撃容易性１２１０４の値「３」〜「１」に応じたリスク値がマトリクスで規定されている
。この場合、簡易リスク分析部１０２は、上述の攻撃元と攻撃先との間で攻撃対象となる資産の資産価値である、「機密性」、「完全性」、「可用性」の各レベルの値を乗算して、この乗算値の範囲に基づいて資産価値１２１０３の値を判定し、この判定値「３」〜「１」と、上述の図２３のテーブル１２００等で得ている攻撃容易性１２１０４の値を、それぞれこのテーブル１３００に照合し、リスク値を判定出来る。例えば、資産価値１２１０３の値が「３」で、攻撃容易性の値１２０４が「２」であった場合、リスク値を「３」と特定する。
【０１１３】
また、簡易リスク分析部１０２は、上述のステップＳ１２０８でまでで得られた、或る資産に関する攻撃元と攻撃先との間でのリスク値や、Ｃ、Ｉ、Ａの各資産価値、攻撃容易性に関する情報などリスク分析結果を、上述のステップＳ１２０１で受信した業務フロー３０６と対応付けてメモリ１００など適宜な記憶手段に格納する（Ｓ１２０９）。
【０１１４】
業務フローの総数をｎとしたとき、簡易リスク分析部１０２は、上述のステップＳ１２０３〜Ｓ１２０９を、ｋ＝ｎになるまで繰り返し実行する。
【０１１５】
全ての業務フローについて上述の各ステップを実行した簡易リスク分析部１０２は、各リスク分析結果が追記された各業務フロー３０６を、重要度算出部１０３に送信し（Ｓ１２１０）、当該フローを終了する。
【０１１６】
図２５にて、上述の図２１のフローで得られる簡易リスク分析結果２５００の一例を示す。この簡易リスク分析結果２５００は、簡易リスク分析部１０２がステップＳ１２１０で出力するものの一例である。本実施形態の簡易リスク分析結果２５００は、評価対象システムの業務名称１２００１（図１３の画面１０４０のテキスト入力欄３５０２で得た値）、資産１２００２（該当業務において取り扱う資産で、図１１の画面１０２０のテキスト入力欄３３０２で得た値）、攻撃先１２０３（該当資産を保持するサブシステム名であり、図１２の画面１０３０のテキスト入力欄３４０２で得た値）、攻撃元１２０４（上述の攻撃先の攻撃元となりうるサブシステム名であり、図２１のフローにおけるステップＳ１２０５で選択した値）、資産価値１２００５（図２１のフローにおけるステップ１２０６で得た該当資産の機密性：Ｃ、完全性：Ｉ、可用性：Ａの各事象に関する資産価値と、ステップＳ１２０８で得たこれら各資産価値の値を乗算して分類した総合資産価値）、攻撃容易性１２０６（図２１のフローにおけるステップＳ１２０７で得た、攻撃距離、認証要否レベル、および攻撃容易性の各値）、リスク値１２０７（図２１のフローにおけるステップＳ１２０８で得たリスク値）を含むレコードの集合体となっている。
−−−処理手順例３−−−
【０１１７】
図２６は本実施形態におけるセキュリティ対策支援方法の処理手順例３を示すフロー図であり、具体的にはセキュリティ対策支援装置１０における重要度算出部１０３の処理について示す図である。この場合、重要度算出部１０３は、簡易リスク分析部１０２から評価方法３０２と業務フロー３０６（複数の業務フローのデータが含まれる。つまり業務フロー群）を取得する（Ｓ１３０１）。これらは、上述の処理手順例１および処理手順例２で得られているものである。
【０１１８】
次に、重要度算出部１０３は、上述のステップＳ１３０１で受信した評価方法３０２から、「業務の重要度判定に用いる情報」３２０１の値を読み取る（Ｓ１３０２）。上述してきた本実施形態の場合、評価方法３０２における「業務の重要度判定に用いる情報」としては「リスク分析結果」が設定されている。よって、当該ステップでは「リスク分析結果」を読み取ることになる。またこの時、重要度算出部１０３は、業務の重要度算出パターン情報２０７（図２７）を参照し、今回の重要度判定に用いる「リスク分析結果」に対応して実行する重要度判定の処理内容の情報を取得し、以降の各ステップの処理に利用す
る。
【０１１９】
続いて重要度算出部１０３は、上述のステップＳ１３０１で受信した業務フロー３０６から、例えばＩＤ等の所定の識別情報の昇順など適宜なルールで、１つの業務フローを選択する（Ｓ１３０３）。
【０１２０】
次に重要度算出部１０３は、上述のステップＳ１３０３で選択した業務フロー（以後、選択業務フロー）に関して得ているリスク値のうち最大のものを、この選択業務フローに付帯している簡易リスク分析結果２５００（図２５）から抽出する（Ｓ１３０４）。
【０１２１】
次に重要度算出部１０３は、上述のステップＳ１３０４で抽出した最大のリスク値を該当業務の重要度と特定し、該当業務フローと対応付けてメモリ１００など適宜な記憶手段に格納する（Ｓ１３０５）。
【０１２２】
上述のステップＳ１３０１で得た業務フローの総数をｎとしたとき、重要度算出部１０３は、上述のステップＳ１３０３〜Ｓ１３０５をｋ＝ｎになるまで繰り返すこととする。
【０１２３】
最後に重要度算出部１０３は、上述のステップＳ１３０１で得ている評価方法３０２と、当該フローで特定した各業務の重要度の情報を付加した業務フロー３０６とを、業務フロー合成部１０４に送信し（Ｓ１３０６）、当該フローを終了する。
−−−処理手順例４−−−
【０１２４】
図２８は本実施形態におけるセキュリティ対策支援方法の処理手順例４を示すフロー図であり、具体的にはセキュリティ対策支援装置１０の業務フロー合成部１０４における処理について示す図である。
【０１２５】
この場合、業務フロー合成部１０４は、上述の評価対象定義部１０１からシステム構成図３０５を、また上述の重要度算出部１０３から評価方法１０２および業務フロー３０６を、それぞれ取得する（Ｓ１４０１）。
【０１２６】
次に業務フロー合成部１０４は、上述のステップＳ１４０１で得ている業務フロー３０６から、ＩＤの昇順など所定ルールに沿って１つの業務フロー（選択業務フロー）を選択し（Ｓ１４０２）、それに付帯する該当業務の重要度の値を取得する。
【０１２７】
続いて業務フロー合成部１０４は、上述のステップＳ１４０２で選択した、すなわち選択業務フローから、例えば各プロパティが示すフロー中の順序に従って、１つのノード（選択ノード）を選択し（Ｓ１４０３）、選択ノードのプロパティに記載された、該当サブシステムで取り扱う資産および存在するゾーンの各値を取得する。
【０１２８】
次に業務フロー合成部１０４は、上述のステップＳ１４０２で得ている該当業務の重要度が、上述の選択ノードに関して既に得ている他業務の重要度より高いか判定する（Ｓ１４０４）。この段階では、上述のステップＳ１４０２で初めて選択した業務フローに関して、ステップＳ１４０３で初めて選択した選択ノードに関する処理を行う状況であり、選択ノードに関して既に得ている他業務の重要度の値は保持していないため、「選択業務フローの重要度が、選択ノードに関して既に得ている他業務の重要度より高い」状況に該当する。
【０１２９】
すると、業務フロー合成部１０４は、上述の判定により、上述の選択業務フローの重要度が、選択ノードに関して既に得ている他業務の重要度より高い（Ｓ１４０４：Ｙ）と判定し、ステップＳ１４０１で得ているシステム構成図３０５において、上述の選択ノード
のプロパティに対し、重要度の最大値（当該フロー実行前はゼロ、または値の設定無し）を、上述のステップＳ１４０２で得ている重要度の値で更新し、更に、関連業務数（当該フロー実行前はゼロ、または値の設定無し）をインクリメントする（Ｓ１４０５）。また同様に、業務フロー合成部１０４は、上述のシステム構成図３０５における上述の選択ノードのプロパティにおいて、関連業務（当該フロー実行前はゼロ、または値の設定無し）として上述の選択業務フローが示す業務を設定し、更に、上述のステップＳ１４０３で選択ノードのプロパティから得ている資産名およびゾーンの各情報を重複を排除しつつ設定する。このステップＳ１４０５の処理の結果、各業務フローの情報を用いてシステム構成図３０５に適宜情報を設定したものを業務グラフ図とする。
【０１３０】
他方、上述の判定の結果、選択業務フローの重要度が、選択ノードに関して既に得ている他業務の重要度より低かった場合（Ｓ１４０４：Ｎ）、業務フロー合成部１０４は、上述のシステム構成図３０５において、選択ノードのプロパティに対し、関連業務数（当該フロー実行前はゼロ、または値の設定無し）をインクリメントし、上述のステップＳ１４０３で選択ノードのプロパティから得ている資産名およびゾーンの各情報を重複を排除しつつ設定する（Ｓ１４０６）。このステップＳ１４０６の処理の結果、各業務フローの情報を用いてシステム構成図３０５に適宜情報を設定したものを、上述のステップＳ１４０５と同様に業務グラフ図とする。
【０１３１】
業務フロー合成部１０４は、上述のステップＳ１４０２で選択した選択業務フローのノード数をｍとしたとき、上述のステップＳ１４０３〜Ｓ１４０５をｌ＝ｍになるまで繰り返す。また業務フロー合成部１０４は、ステップｓ１４０１で得た業務フローの総数をｎとしたとき、上述のステップＳ１４０２〜Ｓ１４０５をｋ＝ｎになるまで繰り返す。
【０１３２】
例えば、２ループ目のステップＳ１４０２が開始され、上述の初回実行時の選択業務フローとは異なる業務フローが選択業務フロー（ここでは他の選択業務フローとする）となった場合、業務フロー合成部１０４は、上述の選択業務フローについて得ている該当業務の重要度（初回のステップＳ１４０２で得ている値）と、上述の他の選択業務フローに関して得た他業務の重要度（２回目のステップＳ１４０２で得た値）とを、ステップＳ１４０４で比較し、判定を行うことになる。
【０１３３】
ここで、こうした業務フロー合成部１０４における処理の具体的なイメージについて一例を示す。図２９は、本実施形態における業務フロー合成の概念例を表す説明図である。図２９で例示する業務グラフ図１４００１は、いくつかの業務に関して上述のステップＳ１４０２〜Ｓ１４０５、Ｓ１４０６を実施して生成途中の業務グラフ図である。
【０１３４】
この業務グラフ図１４００１において、例えば“Ｃ”ノード１４０１０は、そのプロパティ情報１４０１１にて、これまでのステップＳ１４０５、Ｓ１４０６の処理を経てきた各業務の重要度の最大値として「２」、関連業務数として「５」、関連業務名として「業務ａ」、「業務ｂ」、・・・、資産数として「２」、資産名として「情報資産Ａ」、「情報資産Ｂ」、存在するゾーンとして「ゾーン２」、更にリスク値などが設定されている。
【０１３５】
こうした業務グラフ図１４００１に、「業務１」の業務フロー１４００２を合成する場合、業務グラフ図１４００１と業務フロー１４００２とで、上述の“Ｃ”ノードが共通のノードとして存在するため、業務フロー合成部１０４は、業務フロー１４００２における“Ｃ”ノード１４０２０のプロパティ情報１４０２１を参照する。この業務フロー１４００２での“Ｃ”ノードの「業務の重要度」が、業務グラフ図１４００１の“Ｃ”ノード１４０１０のプロパティ情報１４０１１に記載されている「業務の重要度の最大値」より大きいか、上述のステップＳ１４０４で判定する。
【０１３６】
業務フロー１４００２での“Ｃ”ノードの「業務の重要度」が、業務グラフ図１４００１の“Ｃ”ノード１４０１０の「業務の重要度の最大値」より大きい場合、業務フロー合成部１０４は、業務グラフ図１４００１の“Ｃ”ノード１４１０におけるプロパティ情報１４１１にて、業務の重要度の最大値を、業務フロー１４００２での“Ｃ”ノードの「業務の重要度」の値で更新する。また、業務フロー合成部１０４は、この「業務１」の業務フロー１４００２を合成した業務グラフ図１４００３として、当初の業務グラフ図１４００１における“Ｃ”ノード１４０１０に、業務フロー１４００２における“Ｃ”ノード１４０２０に連なる“Ｅ”および“Ｆ”の各ノード１４０２２、１４０２３を連結させ、グラフとしての合成処理を行うこととする。また、この業務グラフ図１４００３の“Ｃ”ノード１４０１０のプロパティ情報１４１１にて、関連業務数をインクリメントして「３」とし、関連業務名として「業務１」を追加し、資産数を追加として「３」とし、資産名として「情報資産Ｃ」を追加する。
【０１３７】
ここで図２８のフローの説明に戻る。業務フロー合成部１０４は、ステップＳ１４０１で得た全ての業務フローの、全てのノードに関して上述の各ステップを実行して得た、上述の業務グラフ図３０７と評価方法３０２を対策実施優先度算出部１０５に送信し（Ｓ１４０７）、当該フローを終了する。
−−−処理手順例５−−−
【０１３８】
図３０は本実施形態におけるセキュリティ対策支援方法の処理手順例５を示すフロー図であり、具体的にはセキュリティ対策支援装置１０の対策実施優先度算出部１０５における処理について示す図である。
【０１３９】
この場合、対策実施優先度算出部１０５は、上述の業務フロー合成部１０４より、評価方法３０２と業務グラフ図３０７を取得し（Ｓ１５０１）、評価方法３０２が示す「対策実施優先度算出方法」の値に基づき、対策実施優先度ルール情報２０８（図３１）にて対応する処理内容の情報を取得し、以降の各ステップにて利用する。
【０１４０】
続いて、対策実施優先度算出部１０５は、上述のステップＳ１５０１で得ている業務グラフ図３０７中から、所定ルールに沿って１つの所定ノード（選択ノード）を選択する（Ｓ１５０２）。
【０１４１】
また、対策実施優先度算出部１０５は、上述のステップＳ１５０２で選択した選択ノードのプロパティ情報から、関連業務数と業務の重要度の最大値とを抽出する（Ｓ１５０３）。
【０１４２】
次に対策実施優先度算出部１０５は、上述のステップＳ１５０３で抽出した関連業務数と業務の重要度に基づき、選択ノードに対応したサブシステムが停止した場合の業務への影響スコアを算出する（Ｓ１５０４）。具体的には、関連する業務数と業務の重要度の最大値とを乗算して影響スコアを算出する手法を想定する。なお本実施形態では、関連業務数と業務の重要度の最大値とを単純に乗算して影響スコアを算出するとしたが、各業務の重要度を足しこむことで影響スコアを算出するとしてもよい。また、今回用いた指標以外で停止時の影響スコアを算出しうる資産価値などを用いるとしてもよい。
【０１４３】
上述のステップＳ１５０１で得た業務グラフ図３０７における業務フローのノード数をｍとしたとき、対策実施優先度算出部１０５は、上述のステップＳ１５０３〜Ｓ１５０４をｌ＝ｍになるまで繰り返す。
【０１４４】
次に対策実施優先度算出部１０５は、上述のステップＳ１５０４で得た、停止時の影響スコアを降順に、対策実施優先度として各ノードすなわち各サブシステム間のランク付け
を行う（Ｓ１５０５）。
【０１４５】
また、対策実施優先度算出部１０５は、上述のステップＳ１５０５までに得られた停止時の影響スコアと対策実施優先度の情報とを、業務グラフ図３０７に付与する（Ｓ１５０６）。更に対策実施優先度算出部１０５は、上述のステップＳ１５０６を経た業務グラフ図３０７と、評価方法３０２を対策実施推奨箇所抽出部１０６に送信し（Ｓ１５０７）、当該フローの処理を終了する。
−−−処理手順例６−−−
【０１４６】
図３２は本実施形態におけるセキュリティ対策支援方法の処理手順例５を示すフロー図であり、具体的にはセキュリティ対策支援装置１０の対策実施推奨箇所抽出部１０６における処理について示す図である。
【０１４７】
この場合、対策実施推奨箇所抽出部１０６は、上述の対策実施箇所優先度算出部１０５より、評価方法３０２と業務グラフ図３０７を取得し（Ｓ１６０１）、評価方法３０２が示す「対策実施推奨箇所箇所抽出での考慮項目」の値に基づき、対策実施推奨箇所抽出パターン情報２０９（図３３）にて対応する処理内容の情報を取得し、以降の各ステップにて利用する。
【０１４８】
次に対策実施推奨箇所抽出部１０６は、上述のステップＳ１６０１で得た評価方法３０２より、「対策実施推奨箇所抽出の考慮項目」と「抽出方法」を読み取る（Ｓ１６０２）。本実施形態では、関連業務数と業務の重要度から算出した停止時の影響スコアに加えて、リスク値を考慮項目とし、さらにサブシステム全体から対策推奨箇所を抽出する方法を分析者が選択したものとする。この詳細については図３４に基づき後述する。
【０１４９】
続いて対策実施推奨箇所抽出部１０６は、上述のステップＳ１６０２で読み取った方法によって対策実施推奨箇所を抽出し、対策実施推奨箇所一覧３０８を作成する（Ｓ１６０３）。
【０１５０】
また対策実施推奨箇所抽出部１０６は、上述のＳ１６０３で得られた対策実施推奨箇所を業務グラフ図３０７に反映させることで、対策実施推奨箇所の可視化処理を行う（Ｓ１６０４）。この詳細については図３５に基づき後述する。
【０１５１】
次に対策実施推奨箇所抽出部１０６は、上述のステップＳ１６０４までに作成した業務グラフ図３０７と対策実施推奨箇所一覧３０８を入出力装置４００へ送信し（Ｓ１６０５）、当該フローの処理を終了する。
【０１５２】
ここで、上述の対策実施推奨箇所一覧３０８の一例について説明する。図３４は、本実施形態における対策実施推奨箇所一覧３０８の出力例を示す図である。図で示す対策実施推奨箇所一覧３０８は、評価対象システムのサブシステム（例：ハンディターミナル、フィールドＬＡＮ、スマートメーター、集約装置など）を示す対策実施候補箇所３７００１、該当サブシステムに関するリスク値の最大値３７００２、該当サブシステムにおける関連業務数３７００３、該当サブシステムにおける業務の重要度の最大値３７００４、該当サブシステムに関する停止時の影響スコア３７００５、該当サブシステムに関する対策実施優先度３７００６、該当サブシステムが対策実施推奨箇所か否かを示す対策実施推奨箇所３７００７、の各値を含むレコードの集合体となっている。なお、対策実施推奨箇所となる閾値は、対策実施推奨箇所抽出パターン情報２０９から参照するか、もしくは分析者に予め入力させた値となる。
【０１５３】
また図３５にて、本実施形態における業務グラフ図３０７について一例を示す。本実施
形態における業務グラフ図３０７は、対策実施推奨箇所抽出部１０６の処理結果である対策実施推奨箇所を反映し、対策実施推奨箇所と判断されたサブシステムを表現するノードが強調表示されたグラフ図が記述されている。この強調表示の具体的手法としては、例えば、対策実施推奨箇所と判断されたサブシステムに対応したノードの線幅を、それ以外のサブシステムのノードの線幅より太線とする手法等が想定出来る。
【０１５４】
また、本実施形態の業務グラフ図３０７は、対策実施推奨箇所抽出部１０６が対策推奨箇所として「ＷＡＮ」、「メーターデータマネジメントシステム（ＭＤＭＳ）」、「専用ＬＡＮ」、「メディアアセットマネジメント（ＭＡＭ）」、「操作端末」を抽出した状況に対応したものとなっており、該当ノードの線幅は太線で強調表示されたものが記述されている。
【０１５５】
また、ノードのプロパティ情報３６００２には、上述の各処理の結果が記述されている。具体的には、対策実施優先度、停止時の影響スコア、業務の重要度の最大値、関連業務数に加えて脅威分析結果であるリスク値などが記述されている。本実施形態では、メーターデータマネジメントシステムのプロパティに、対策実施優先度として「２」、停止時の影響スコアとして「５９」、業務の重要度の最大値として「３」、関連業務数として「２３」、脅威分析結果たるリスク値「３」が記述された例を示す。
【０１５６】
この業務グラフ図３０７の表示画面において、選択ボタン３６００３が押下された場合、対策実施推奨箇所抽出部１０６は、業務グラフ図３０７中の各ノードのリストを、例えばプルダウンメニュー３６００３で一覧表示し、これを閲覧した分析者はどのノードに関してプロパティ情報を確認するか選択可能である。本実施形態の場合、このプルダウンメニュー３６００３での選択肢として、「全て」、「スマートメーター」、「メーターデータマネジメントシステム」、「業務：リモートからの検針」、など各ノードや各業務で関連するノードのプロパティ情報が含まれる。
【０１５７】
また、表示ボタン３６００４が押下された場合、対策実施推奨箇所抽出部１０６は、上述の選択ボタン３６００３で選択されたノードもしくは業務に関するプロパティ情報を、入出力装置４００に表示する。本実施形態では、選択ボタン３６００３で「メーターデータマネジメントシステム」が選択されているため、「メーターデータマネジメントシステム」のプロパティ情報３６００２が表示された例となっている。
【０１５８】
また、印刷ボタン３６００５が押下された場合、対策実施推奨箇所抽出部１０６は、上述の選択ボタン３６００３で選択されたノードもしくは業務に関するプロパティ情報３６００２を、所定のプリンタに出力して印刷処理を実行する。
−−−変形例１−−−
【０１５９】
ここで、本実施形態のセキュリティ対策支援装置１０の変形例１について説明する。上述で述べてきたセキュリティ対策支援装置１０は、その構成に加えて、分析者が入力した業務フロー３０６の矛盾点を分析者に提示するフィードバック機能を備えるとしてもよい。この場合、セキュリティ対策支援装置１０は、分析者が入力した業務フロー３０６のグラフを、入力であるシステム構成図３０５のグラフと照合し、システム構成図３０５の所定箇所に対し、業務フロー３０６の該当箇所において、隣接するノードが異なっており、構成上発生しえないフロー表現がされている場合、分析者に対する再確認要請を入出力装置４００に表示する。また、構成上発生しえないフロー表現がされた業務フロー３０６に対して、上述の該当箇所についてはシステム構成図３０５の構成を採用した新たな業務フロー３０６に修正し、これを入出力装置４００に送信して、分析者に対する確認要求を行う。
−−−変形例２−−−
【０１６０】
また、上述の重要度算出部１０３では、簡易リスク分析部１０２によるリスク分析結果を用いて、各業務での最大リスク値を業務の重要度として定義しているが、他の項目で定義しても良い。その一例として、評価対象定義部１０１で資産価値を決定する際に用いる資産チェックリスト情報２０１を用いて、業務の機密性、完全性、可用性の喪失時に発生しうる事象をチェックすることで、業務の重要度を算出しても良い。もしくは、各業務の資産価値から業務の重要度を算出しても良い。
−−−変形例３−−−
【０１６１】
また、プロパティグラフにより表現した業務フロー３０６とシステム構成図３０５を採用した例を示したが、ＲＤＢ（Relational Database）表現した業務フローとシステム構
成図を採用するとしても良い。
−−−変形例４−−−
【０１６２】
また、、対策実施推奨箇所抽出部１０６による対策実施推奨箇所抽出では、全サブシステムの対策実施優先度から閾値以上（例：優先度５以下のもの）のサブシステムを選出する例を示したが、他の抽出方法により抽出しても良い。例えば、各業務に着目し、業務に登場するサブシステムの停止時の影響スコアをカウントし、所定の閾値（例：停止時の影響スコアの総数を半分にする等）を用いて、対策実施推奨箇所を抽出するとしても良い。こうした抽出方法を選択すると、全業務、一定の強度で対策を実施する支援を可能とする。
【０１６３】
以上、本発明を実施するための最良の形態などについて具体的に説明したが、本発明はこれに限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能である。
【０１６４】
こうした本実施形態によれば、社会インフラシステムの特徴である、複数のサブシステムを組合せて業務が実現される点を踏まえ、例えば業務停止時等の影響度と業務の集中箇所を考慮することで、業務を保護する上で効果的なセキュリティ対策実施ポイントの絞り込みを行い、セキュリティ対策実施箇所を抽出、提案することが可能となる。
【０１６５】
すなわち、対象システムにおいて効果的な業務保護が可能となるセキュリティ対策実施箇所を提案可能となる。
【０１６６】
本明細書の記載により、少なくとも次のことが明らかにされる。すなわち、本実施形態のセキュリティ対策支援装置において、前記演算装置は、前記リスクレベルの判定に際し、判定対象の業務のサブシステムにて取り扱う資産の情報と、該当業務におけるサブシステム間の関係性の情報とを前記属性情報から取得し、当該資産およびサブシステム間の関係性の各情報を所定アルゴリズムに適用して、リスクレベルを算出するものであるとしてもよい。
【０１６７】
これによれば、例えば資産に対する攻撃元、攻撃先となりうるサブシステム間の距離を、ネットワーク上での該当サブシステム間の関係性に基づいて特定し、これをリスクレベル算出のための情報に用いることが出来る。この場合、的確なリスクレベルを効率的に特定できることとなり、ひいては対象システムにおいて効果的な業務保護が可能となるセキュリティ対策実施箇所を提案可能となる。
【０１６８】
また、本実施形態のセキュリティ対策支援装置において、前記演算装置は、前記リスクレベルの判定に際し、判定対象の業務のサブシステムにて取り扱う資産の情報と、該当業務におけるサブシステム間の関係性の情報とを前記属性情報から取得し、当該取得した各情報に基づき、該当資産に関して各サブシステムの組を攻撃元および攻撃先とした場合に
、前記属性情報から特定される該当サブシステム間のネットワーク上の距離および攻撃先サブシステムのセキュア度の各情報を攻撃容易性情報と特定し、前記資産の情報が示す資産価値の高さおよび前記攻撃容易性情報が示す攻撃容易性の高さを所定アルゴリズムに適用して、リスクレベルを算出するものであるとしてもよい。
【０１６９】
これによれば、各業務で取り扱う資産に対する攻撃元、攻撃先となりうるサブシステム間の距離を、ネットワーク上での該当サブシステム間の関係性に基づいて特定し、これを攻撃容易性の情報として、該当サブシステムのセキュア度および該当資産の情報と併せてリスクレベル算出のために用いることが出来る。この場合、更に的確なリスクレベルを効率的に特定できることとなり、ひいては対象システムにおいて効果的な業務保護が可能となるセキュリティ対策実施箇所を提案可能となる。
【０１７０】
また、本実施形態のセキュリティ対策支援装置において、前記演算装置は、前記重要度の判定に際し、前記リスクレベルの判定で得られた該当業務の各サブシステムのリスクレベルに基づき、前記リスクレベルの最大値を該当業務の重要度として特定するものであるとしてもよい。
【０１７１】
これによれば、各業務の重要度を、該当業務を構成する各サブシステムのリスクレベルの高さで効率的に特定して、これを実施優先度の算定に用いることが可能となり、ひいては対象システムにおいて効果的な業務保護が可能となるセキュリティ対策実施箇所を提案可能となる。
【０１７２】
また、本実施形態のセキュリティ対策支援装置において、前記演算装置は、前記実施優先度の算定に際し、各サブシステムに関する前記重要度の値と前記業務数とを乗算した値を前記実施優先度の値として算定するものであるとしてもよい。
【０１７３】
これによれば、セキュリティ対策の実施優先度について、該当業務を構成する各サブシステムのリスクレベルの高さと担当する業務数がそれぞれ大きいことを基準として効率的に特定することが可能となり、ひいては対象システムにおいて効果的な業務保護が可能となるセキュリティ対策実施箇所を提案可能となる。
【０１７４】
また、本実施形態のセキュリティ対策支援装置において、前記演算装置は、前記実施優先度の情報を所定装置に出力するに際し、各サブシステムに関して得ているリスクレベルの情報も更に所定装置に出力するものであるとしてもよい。
【０１７５】
これによれば、例えば、上述の実施優先度が同じサブシステムが存在した場合でも、各サブシステムのうちリスクレベルの高い方をより優先的なセキュリティ対策実施対象として提示することが可能となり、ひいては対象システムにおいて効果的な業務保護が可能となるセキュリティ対策実施箇所を提案可能となる。
【０１７６】
また、本実施形態のセキュリティ対策支援装置において、前記演算装置は、対象システムの各業務に関して、該当業務を構成する各サブシステムに対応した描画オブジェクトの配置指示と、前記各サブシステムの描画オブジェクトをノードとして各ノード間を結ぶエッジの配置指示と、少なくともを受け付ける所定のインターフェイスを含む画面データを所定装置に送信して表示させ、前記画面を介して前記所定装置から受け付けた、前記ノードおよび前記エッジの各情報で構成される該当各サブシステム間の関係性の情報を、前記属性情報の１つとして記憶装置に格納する処理を更に実行し、前記リスクレベルの判定に際し、判定対象の業務のサブシステムにて取り扱う資産の情報と、該当業務におけるサブシステム間の前記関係性の情報とを前記属性情報から取得し、当該資産およびサブシステム間の関係性の各情報を所定アルゴリズムに適用して、リスクレベルを算出するものであ
るとしてもよい。
【０１７７】
これによれば、セキュリティ対策の担当者等が、検討対象としているシステムに関して、サブシステムとそのサブシステム間の関係性について、対応する業務フローに沿ったオブジェクトの配置操作を行うことで容易に定義出来る。ひいては、この操作を受けたセキュリティ対策支援装置側において、セキュリティ対策の実施優先度の算定に用いる正確な各情報をユーザのニーズに応じて効率的かつ迅速に取得出来ることとなり、得られた情報に基づき、対象システムにおいて効果的な業務保護が可能となるセキュリティ対策実施箇所を提案可能となる。
【０１７８】
また、本実施形態のセキュリティ対策支援装置において、前記演算装置は、前記実施優先度の情報を所定装置に出力するに際し、各サブシステムに対応した描画オブジェクトを所定画面に配置して、前記描画オブジェクトの表示形態を実施優先度の高さに応じて変化させた画面データを、所定装置に送信して表示させるものであるとしてもよい。
【０１７９】
これによれば、セキュリティ対策の担当者等が、検討対象としているシステムに関して、サブシステムとそのサブシステム間の関係性と共に、セキュリティ対策の実施優先度について容易かつ明確に認識することが出来る。つまり、対象システムにおいて効果的な業務保護が可能となるセキュリティ対策実施箇所を上述の担当者等に提案可能となる。
【０１８０】
また、本実施形態のセキュリティ対策支援方法において、前記情報処理装置が、前記リスクレベルの判定に際し、判定対象の業務のサブシステムにて取り扱う資産の情報と、該当業務におけるサブシステム間の関係性の情報とを前記属性情報から取得し、当該資産およびサブシステム間の関係性の各情報を所定アルゴリズムに適用して、リスクレベルを算出するとしてもよい。
【０１８１】
また、本実施形態のセキュリティ対策支援方法において、前記情報処理装置が、前記リスクレベルの判定に際し、判定対象の業務のサブシステムにて取り扱う資産の情報と、該当業務におけるサブシステム間の関係性の情報とを前記属性情報から取得し、当該取得した各情報に基づき、該当資産に関して各サブシステムの組を攻撃元および攻撃先とした場合に、前記属性情報から特定される該当サブシステム間のネットワーク上の距離および攻撃先サブシステムのセキュア度の各情報を攻撃容易性情報と特定し、前記資産の情報が示す資産価値の高さおよび前記攻撃容易性情報が示す攻撃容易性の高さを所定アルゴリズムに適用して、リスクレベルを算出するとしてもよい。
【０１８２】
また、本実施形態のセキュリティ対策支援方法において、前記情報処理装置が、前記重要度の判定に際し、前記リスクレベルの判定で得られた該当業務の各サブシステムのリスクレベルに基づき、前記リスクレベルの最大値を該当業務の重要度として特定するとしてもよい。
【０１８３】
また、本実施形態のセキュリティ対策支援方法において、前記情報処理装置が、前記実施優先度の算定に際し、各サブシステムに関する前記重要度の値と前記業務数とを乗算した値を前記実施優先度の値として算定するとしてもよい。
【０１８４】
また、本実施形態のセキュリティ対策支援方法において、前記情報処理装置が、前記実施優先度の情報を所定装置に出力するに際し、各サブシステムに関して得ているリスクレベルの情報も更に所定装置に出力するとしてもよい。
【０１８５】
また、本実施形態のセキュリティ対策支援方法において、前記情報処理装置が、対象システムの各業務に関して、該当業務を構成する各サブシステムに対応した描画オブジェク
トの配置指示と、前記各サブシステムの描画オブジェクトをノードとして各ノード間を結ぶエッジの配置指示と、少なくともを受け付ける所定のインターフェイスを含む画面データを所定装置に送信して表示させ、前記画面を介して前記所定装置から受け付けた、前記ノードおよび前記エッジの各情報で構成される該当各サブシステム間の関係性の情報を、前記属性情報の１つとして記憶装置に格納する処理を更に実行し、前記リスクレベルの判定に際し、判定対象の業務のサブシステムにて取り扱う資産の情報と、該当業務におけるサブシステム間の前記関係性の情報とを前記属性情報から取得し、当該資産およびサブシステム間の関係性の各情報を所定アルゴリズムに適用して、リスクレベルを算出するとしてもよい。
【０１８６】
また、本実施形態のセキュリティ対策支援方法において、前記情報処理装置が、前記実施優先度の情報を所定装置に出力するに際し、各サブシステムに対応した描画オブジェクトを所定画面に配置して、前記描画オブジェクトの表示形態を実施優先度の高さに応じて変化させた画面データを、所定装置に送信して表示させるとしてもよい。
【符号の説明】
【０１８７】
１０    セキュリティ対策支援装置
１００  メモリ
１０１  評価対象定義部
１０２  簡易リスク分析部
１０３  業務重要度算出部
１０４  業務フロー合成部
１０５  対策実施優先度算出部
１０６  対策実施箇所抽出部
１１０  プログラム
２００  外部記憶装置（記憶装置）
２０１  資産価値チェックリスト情報
２０２  資産区分情報
２０３  ゾーン区分情報
２０４  サブシステム区分情報
２０５  評価方法区分情報
２０６  リスク評価パターン情報
２０７  業務の重要度算出パターン情報
２０８  対策実施優先度ルール情報
２０９  対策実施推奨箇所抽出パターン情報
３００  ＣＰＵ（演算装置）
３０５  システム構成図
３０６  業務フロー
３０７  業務グラフ
３０８  対策実施推奨箇所一覧
４００  入出力装置
５００  ＩＦ
【図１】
0006298004.tif 000002
【図２】
0006298004.tif 000003
【図３】
0006298004.tif 000004
【図４】
0006298004.tif 000005
【図５】
0006298004.tif 000006
【図６】
0006298004.tif 000007
【図７】
0006298004.tif 000008
【図８】
0006298004.tif 000009
【図９】
0006298004.tif 000010
【図１０】
0006298004.tif 000011
【図１１】
0006298004.tif 000012
【図１２】
0006298004.tif 000013
【図１３】
0006298004.tif 000014
【図１４】
0006298004.tif 000015
【図１５】
0006298004.tif 000016
【図１６】
0006298004.tif 000017
【図１７】
0006298004.tif 000018
【図１８】
0006298004.tif 000019
【図１９】
0006298004.tif 000020
【図２０】
0006298004.tif 000021
【図２１】
0006298004.tif 000022
【図２２】
0006298004.tif 000023
【図２３】
0006298004.tif 000024
【図２４】
0006298004.tif 000025
【図２５】
0006298004.tif 000026
【図２６】
0006298004.tif 000027
【図２７】
0006298004.tif 000028
【図２８】
0006298004.tif 000029
【図２９】
0006298004.tif 000030
【図３０】
0006298004.tif 000031
【図３１】
0006298004.tif 000032
【図３２】
0006298004.tif 000033
【図３３】
0006298004.tif 000034
【図３４】
0006298004.tif 000035
【図３５】
0006298004.tif 000036