(57)【要約】【課題】  資産に関する情報の登録、リスク評価やリスク対応を効率よく行うことができるリスク管理支援方法及びリスク管理支援プログラムを提供する。【解決手段】  管理コンピュータ２１は、評価画面の重要度算定ボタンの選択により重要度を設定し、分類取得ボタンの選択により情報資産の分類を付与する。管理コンピュータ２１は、評価画面の脆弱性評価ボタンの選択により管理度設定画面を表示して管理度を設定する。設定された管理度、重要度及び分類に基づく脅威の発生可能性から、管理コンピュータ２１は、リスク分析表データ記憶部２４のデータを用いてリスク評価値を算出する。管理コンピュータ２１は、リスク評価値が目標値以上のリスクに対して、リスク対応を促す。リスク対応の入力を受けた管理コンピュータ２１は、そのリスクに対応する管理策をリスク分析表データ記憶部２４から取得し、表示する。【選択図】      図１
2005216003.tif 000002
【特許請求の範囲】
【請求項１】
資産のリスク評価を行う管理コンピュータを用いて、リスク管理を支援する方法であって、
前記管理コンピュータは、
前記資産に関するデータを登録する登録画面からリスク評価画面を表示する表示段階と、
前記リスク評価画面の表示項目が選択されることによって、リスク評価値を算出するためのパラメータを設定するパラメータ設定段階と、
前記リスク評価画面の表示項目の選択によって、前記パラメータに基づくリスク評価値を算出するリスク評価段階と
を含むことを特徴とするリスク管理支援方法。
【請求項２】
前記管理コンピュータは、リスクに対する対応を促すか否かを判断するための受容基準値を記録した受容基準値記憶部に接続されており、
前記管理コンピュータが、前記リスク評価段階で算出したリスク評価値が、前記受容基準値以上のリスクの内容を前記リスク評価画面に表示させて、この表示させたリスクに対する対応を促す対応促進段階を更に含むことを特徴とする請求項１に記載のリスク管理支援方法。
【請求項３】
前記管理コンピュータは、前記資産のリスクと、これに対応する管理策に関するデータとを記録した分析表データ記憶部を有し、
前記管理コンピュータが、対応を行うリスクに対する管理策を、前記分析表データ記憶部から取得して、前記リスク評価画面に提示する管理策提示段階を含むことを特徴とする請求項２に記載のリスク管理支援方法。
【請求項４】
前記資産の分類と、この分類に対応する前記リスクの内容を関連付けして記録した分類データ記憶部を有し、
前記パラメータ設定段階は、前記管理コンピュータが、前記資産の分類に関するデータに基づいて前記分類データ記憶部から前記資産のリスクの内容を取得する分類リスク取得段階を含み、
前記リスク評価段階は、前記分類リスク取得段階において取得したリスクの内容に対するリスク評価値を算出することを特徴とする請求項１〜３のいずれか１つに記載のリスク管理支援方法。
【請求項５】
前記資産は、情報資産であり、
前記管理コンピュータは、分類リスク取得段階における分類を、前記情報資産の資産属性及び取扱属性に基づいて決定する分類決定段階を更に備えたことを特徴とする請求項４に記載のリスク管理支援方法。
【請求項６】
資産のリスク評価を行う管理コンピュータを用いて、リスク管理を支援するプログラムであって、
前記管理コンピュータを、
前記資産に関するデータを登録する登録画面からリスク評価画面を表示する表示手段、
前記リスク評価画面の表示項目が選択されることによって、リスク評価値を算出するためのパラメータを設定するパラメータ設定手段、及び
前記リスク評価画面の表示項目の選択によって、前記パラメータに基づくリスク評価値を算出するリスク評価手段
を含むことを特徴とするリスク管理支援プログラム。
【請求項７】
前記管理コンピュータは、リスクに対する対応を促すか否かを判断するための受容基準値を記録した受容基準値記憶部に接続されており、
前記管理コンピュータが、前記リスク評価手段で算出したリスク評価値が、前記受容基準値以上のリスクの内容を前記リスク評価画面に表示させて、この表示させたリスクに対する対応を促す対応促進手段を更に含むことを特徴とする請求項６に記載のリスク管理支援プログラム。
【請求項８】
前記管理コンピュータは、前記資産のリスクと、これに対応する管理策に関するデータとを記録した分析表データ記憶部を有し、
前記管理コンピュータが、対応を行うリスクに対する管理策を、前記分析表データ記憶部から取得して、前記リスク評価画面に提示する管理策提示手段を含むことを特徴とする請求項７に記載のリスク管理支援プログラム。
【請求項９】
前記資産の分類と、この分類に対応する前記リスクの内容を関連付けして記録した分類データ記憶部を有し、
前記パラメータ設定手段は、前記管理コンピュータが、前記資産の分類に関するデータに基づいて前記分類データ記憶部から前記資産のリスクの内容を取得する分類リスク取得手段を含み、
前記リスク評価手段は、前記分類リスク取得手段において取得したリスクの内容に対するリスク評価値を算出することを特徴とする請求項６〜８のいずれか１つに記載のリスク管理支援プログラム。
【請求項１０】
前記資産は、情報資産であり、
前記管理コンピュータは、分類リスク取得手段における分類を、前記情報資産の資産属性及び取扱属性に基づいて決定する分類決定手段を更に備えたことを特徴とする請求項９に記載のリスク管理支援方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、資産に関するリスク管理支援方法及びリスク管理支援プログラムに関する。
【背景技術】
【０００２】
近年、企業活動において、リスク管理が重要視されている。リスク管理とは、企業や特定の事業にかかわるリスクを分析し、分析したリスクの管理やリスクにより発生する損失の制御などを行うことである。このため、リスク管理においては、その企業の資産についてのリスク評価を行うことがなされる。
【０００３】
そこで、効率的で効果的なリスク管理を実現するために、リスクを評価するリスク管理方法が開示されている（例えば、特許文献１参照。）。この特許文献１において、制御部は、資産としての施設に関する施設情報と地域情報とに基づいて、この施設で発生しうるリスクの実質的な損害額を算出する。制御部は、リスクの発生可能性に基づく係数（発生係数）と、影響度合いに基づく係数とを求め、基準金額にこれらの係数を乗じることでリスクの重要度を決定する。制御部は、更に、重要度とリスク回避コストとの比率を求め、求めた比率に基づいてリスク回避対策を実施することの価値を判定する。
【特許文献１】特開２００３−９９６０１号公報（図５）
【発明の開示】
【発明が解決しようとする課題】
【０００４】
ところが、リスク管理は、特許文献１のようにリスク評価を行う前に、その評価を行う対象の資産を把握する必要がある。従来は、資産に関する情報をアンケート形式で回収して集計していた。このため、資産に関する情報を集計した後、各資産について個別にリスク評価を行っていた。従って、管理すべき資産が多くなるにつれて、資産情報の登録、リスク評価やリスク対応を効率よく行うシステムが望まれる。
【０００５】
本発明は、上述の課題に鑑みてなされ、その目的は、資産に関する情報の登録、リスク評価やリスク対応を効率よく行うことができるリスク管理支援方法及びリスク管理支援プログラムを提供することにある。
【課題を解決するための手段】
【０００６】
上記問題点を解決するために、請求項１に記載の発明は、資産のリスク評価を行う管理コンピュータを用いて、リスク管理を支援する方法であって、前記管理コンピュータは、前記資産に関するデータを登録する登録画面からリスク評価画面を表示する表示段階と、前記リスク評価画面の表示項目が選択されることによって、リスク評価値を算出するためのパラメータを設定するパラメータ設定段階と、前記リスク評価画面の表示項目の選択によって、前記パラメータに基づくリスク評価値を算出するリスク評価段階とを含むことを要旨とする。
【０００７】
請求項２に記載の発明は、請求項１に記載のリスク管理支援方法において、前記管理コンピュータは、リスクに対する対応を促すか否かを判断するための受容基準値を記録した受容基準値記憶部に接続されており、前記管理コンピュータが、前記リスク評価段階で算出したリスク評価値が、前記受容基準値以上のリスクの内容を前記リスク評価画面に表示させて、この表示させたリスクに対する対応を促す対応促進段階を更に含むことを要旨とする。
【０００８】
請求項３に記載の発明は、請求項２に記載のリスク管理支援方法において、前記管理コ
ンピュータは、前記資産のリスクと、これに対応する管理策に関するデータとを記録した分析表データ記憶部を有し、前記管理コンピュータが、対応を行うリスクに対する管理策を、前記分析表データ記憶部から取得して、前記リスク評価画面に提示する管理策提示段階を含むことを要旨とする。
【０００９】
請求項４に記載の発明は、請求項１〜３のいずれか１つに記載のリスク管理支援方法において、前記資産の分類と、この分類に対応する前記リスクの内容を関連付けして記録した分類データ記憶部を有し、前記パラメータ設定段階は、前記管理コンピュータが、前記資産の分類に関するデータに基づいて前記分類データ記憶部から前記資産のリスクの内容を取得する分類リスク取得段階を含み、前記リスク評価段階は、前記分類リスク取得段階において取得したリスクの内容に対するリスク評価値を算出することを要旨とする。
【００１０】
請求項５に記載の発明は、請求項４に記載のリスク管理支援方法において、前記資産は、情報資産であり、前記管理コンピュータは、分類リスク取得段階における分類を、前記情報資産の資産属性及び取扱属性に基づいて決定する分類決定段階を更に備えたことを要旨とする。
【００１１】
請求項６に記載の発明は、資産のリスク評価を行う管理コンピュータを用いて、リスク管理を支援するプログラムであって、前記管理コンピュータを、前記資産に関するデータを登録する登録画面からリスク評価画面を表示する表示手段、前記リスク評価画面の表示項目が選択されることによって、リスク評価値を算出するためのパラメータを設定するパラメータ設定手段、及び前記リスク評価画面の表示項目の選択によって、前記パラメータに基づくリスク評価値を算出するリスク評価手段を含むことを要旨とする。
【００１２】
請求項７に記載の発明は、請求項６に記載のリスク管理支援プログラムにおいて、前記管理コンピュータは、リスクに対する対応を促すか否かを判断するための受容基準値を記録した受容基準値記憶部に接続されており、前記管理コンピュータが、前記リスク評価手段で算出したリスク評価値が、前記受容基準値以上のリスクの内容を前記リスク評価画面に表示させて、この表示させたリスクに対する対応を促す対応促進手段を更に含むことを要旨とする。
【００１３】
請求項８に記載の発明は、請求項７に記載のリスク管理支援プログラムにおいて、前記管理コンピュータは、前記資産のリスクと、これに対応する管理策に関するデータとを記録した分析表データ記憶部を有し、前記管理コンピュータが、対応を行うリスクに対する管理策を、前記分析表データ記憶部から取得して、前記リスク評価画面に提示する管理策提示手段を含むことを要旨とする。
【００１４】
請求項９に記載の発明は、請求項６〜８のいずれか１つに記載のリスク管理支援プログラムにおいて、前記資産の分類と、この分類に対応する前記リスクの内容を関連付けして記録した分類データ記憶部を有し、前記パラメータ設定手段は、前記管理コンピュータが、前記資産の分類に関するデータに基づいて前記分類データ記憶部から前記資産のリスクの内容を取得する分類リスク取得手段を含み、前記リスク評価手段は、前記分類リスク取得手段において取得したリスクの内容に対するリスク評価値を算出することを要旨とする。
【００１５】
請求項１０に記載の発明は、請求項９に記載のリスク管理支援方法において、前記資産は、情報資産であり、前記管理コンピュータは、分類リスク取得手段における分類を、前記情報資産の資産属性及び取扱属性に基づいて決定する分類決定手段を更に備えたことを要旨とする。
【００１６】
（作用）
請求項１又は６に記載の発明によれば、管理コンピュータは、資産に関するデータを登録する登録画面からリスク評価画面を表示する。管理コンピュータは、表示したリスク評価画面の表示項目が選択されることによって、資産のリスク評価値を算出するパラメータを設定する。管理コンピュータは、リスク評価画面の表示項目が選択されることによって、パラメータに基づくリスク評価値を算出する。このため、管理コンピュータは、資産に関するデータを確認した後、その資産のパラメータの設定及びリスク評価値の算出を比較的容易に行うことができる。従って、効率よくリスク評価を行うことができる。
【００１７】
請求項２又は７に記載の発明によれば、管理コンピュータは、リスクに対する対応を促すか否かを判断するための受容基準値を記録した受容基準値記憶部に接続されている。管理コンピュータは、リスク評価値が受容基準値以上のリスクの内容をリスク評価画面に表示させて、この表示させたリスクに対する対応を促す。このため、利用者は、受容基準値を満たさないために、対応を行う必要のあるリスクを容易に把握できる。従って、受容基準値を満たさないリスク評価値のリスクに対する対応を効率的に行うことができる。
【００１８】
請求項３又は８に記載の発明によれば、管理コンピュータは、資産のリスクと、これに対応する管理策に関するデータとを記録したリスク分析表データ記憶部を有する。管理コンピュータは、対応を行うリスクに対する管理策を、リスク評価画面に提示する。このため、利用者は、リスクに対する管理策を容易に把握することができる。従って、リスクに対する対応を管理策に基づいて効率的に行うことができる。
【００１９】
請求項４又は９に記載の発明によれば、資産の分類と、この分類に対応するパラメータとを関連付けして記録した分類データ記憶部を有する。管理コンピュータは、資産の分類に関するデータに基づいて、分類データ記憶部から資産のリスクの内容を取得し、取得したリスクの内容からリスク評価値を算出する。このため、管理コンピュータは、資産の分類によって決まるリスクの内容のすべてに基づいて、漏れなくリスク評価値を算出することができる。従って、資産に対して、より正確なリスク評価を行うことができる。
【００２０】
請求項５又は１０に記載の発明によれば、資産は情報資産であり、情報資産の資産属性及び取扱属性に基づいて分類を決定する。このため、資産属性及び取扱属性によってリスク評価値のパラメータを決定してリスク評価を算出するので、資産属性及び取扱属性に応じたリスク評価を行うことができる。従って、資産に対して、より的確なリスク評価を行うことができる。
【発明の効果】
【００２１】
本発明によれば、資産に関する情報の登録やリスク評価を効率よく行うことができる。
【発明を実施するための最良の形態】
【００２２】
以下、本発明を具体化した一実施形態を図１〜図１５に基づいて説明する。本実施形態では、社内の管理コンピュータにおいて、例えば情報セキュリティマネジメントシステム（ＩＳＭＳ：Information Security Management System）の認証基準であるＪＩＳＱ１５００１などを準拠する場合に適用することを想定する。また、本実施形態では、資産として情報資産についての具体例に基づいて説明を行う。
【００２３】
本実施形態では、複数の端末１０がネットワークＮを介してリスク管理システム２０に接続されている。端末１０は、社内の社員などが使用するコンピュータ端末である。この端末１０は、ディスプレイ、キーボード及びマウスを備える。ディスプレイは、登録画面やリスク評価画面を表示する。キーボード及びマウスは、数値の入力や項目の選択を行う。
【００２４】
リスク管理システム２０は、管理コンピュータ２１を備える。管理コンピュータ２１は、図示しないＣＰＵ、ＲＡＭ及びＲＯＭ等を有し、後述する処理（表示段階、分類リスク取得段階を含むパラメータ設定段階、リスク評価段階、対応促進段階、管理策提示段階及び分類決定段階等を含む処理）を行う。そして、このためのリスク管理支援プログラムを実行することにより、管理コンピュータ２１は、表示手段、分類リスク取得手段を含むパラメータ設定手段、リスク評価手段、対応促進手段、管理策提示手段及び分類決定手段等として機能する。
【００２５】
また、管理コンピュータ２１は、図示しない受容基準値記憶部に接続されている。受容基準値記憶部は、受容基準値としての優先順位度（管理度）の目標値と、リスク評価値の目標値とを記憶している。これら優先順位度の目標値は、リスク管理において、推奨される優先順位度である。また、リスク評価値の目標値とは、リスク管理において満たすべきリスク評価値である。管理コンピュータ２１は、後述するように算出するリスク評価値が、このリスク評価値の目標値を満たさない場合には、リスク対応を行うように促す。
【００２６】
更に、管理コンピュータ２１は、リスク評価を行うための優先順位度算出表のデータを記憶している。この優先順位度算出表のデータは、図１０に示すように、後述する脅威と重要度から算出される。
【００２７】
更に、管理コンピュータ２１は、情報資産データ記憶部２２、分類資産マスタデータ記憶部２３、リスク分析表データ記憶部２４、規格・対応規程データ記憶部２５及びリスク管理データ記憶部２６に接続されている。
【００２８】
情報資産データ記憶部２２は、情報資産に関する情報資産データを記憶している。この情報資産データは、端末１０の利用者やリスク管理システム２０の管理者から情報資産を入力されたときに記録され、情報が変更されたときに更新される。この情報資産データは、情報資産の総称、名称、情報属性、取扱属性及び業務属性に関するデータを含む。
【００２９】
総称データ領域には、この情報資産が識別される識別グループの名称に関するデータが記録される。この総称には、例えば、「顧客情報」、「営業関連情報」及び「社内管理情報」などがある。
【００３０】
名称データ領域には、この情報資産が識別される名称に関するデータが記録される。この名称には、例えば、「営業関連情報」に対しては「価格表」や「新製品情報」などが、「社内管理情報」に対しては「社内規程」や「組織表」などがある。
【００３１】
情報属性データ領域には、その情報のオーナに関するデータ、目的・用途に関するデータ及び重要度に関するデータをそれぞれ記録する領域が含まれる。オーナに関するデータ領域には、その資産情報の所有者や管理者を特定するためのデータが記録される。目的・用途に関するデータ領域には、この資産情報を利用する目的又は用途に関するデータが記録される。
【００３２】
重要度に関するデータ領域には、この資産情報の重要度に関するデータが記録される。この重要度は、本実施形態では、ＩＳＭＳの規範に適合するように、機密性、完全性及び可用性の３項目を含んで評価される。機密性は、情報が漏れることに関する事項である。完全性は、情報が変わることに関する事項である。可用性は、情報が消えること又は利用できないことに関する事項である。これらの重要度は、本実施形態では、「レベル１」、「レベル２」、「レベル３」の３段階評価で表示される。「レベル１」は、影響や損失が無視・許容できる範囲にあることを意味する。「レベル２」は、影響や損失の回復が必要
であるが、影響が限定されており短時間で回復できることを意味する。「レベル３」は、影響や損失の回復が必要であり、その範囲が広範囲にわたっており回復に長期間を要することを意味する。
【００３３】
取扱属性データ領域には、資産分類、媒体取扱形態、入手先、利用範囲、保管場所及び保管期間に関するデータをそれぞれ記録するデータ領域が含まれる。
資産分類データ領域には、情報の種類に関するデータが記録される。この情報の種類には、例えば、「電子データ」、「文書」又は「ハードウェア」などがある。
【００３４】
媒体取扱形態データ領域には、保管媒体の種類や利用プロセスの種類に関するデータが記録される。この保管媒体の種類には、「単紙」や「サーバシステム」などがある。
入手先データ領域には、その情報を入手した入手先に関するデータが記録される。
【００３５】
利用範囲データ領域には、その情報の利用範囲データ領域に関するデータが記録される。この利用範囲には、具体的には、「部長以上」や「制限なし」などがある。
保管場所データ領域には、その情報の保管場所に関するデータが記録される。
【００３６】
保管期間データ領域には、その情報の保管期間に関するデータが記録される。
業務属性データ領域には、その情報を主に利用する業務や組織に関するデータが記録される。
【００３７】
一方、分類資産マスタデータ記憶部２３には、資産を分類するための分類用データが記録される。この分類用データは、リスク評価を行うまでに記録される。また、分類用データには、分類項目名、資産分類名及び資産分類コードに関するデータが含まれる。
【００３８】
分類項目名データ領域には、資産の分類項目に関するデータが記録される。本実施形態では、資産分類によっては、大分類、小分類及び詳細分類の分類項目を有するものがある。なお、本実施形態では、詳細分類まで分類されていないことがあり、大分類の分類項目に関するデータのみを有する分類もある。
【００３９】
資産分類名データ領域には、資産分類の名称に関するデータが記録される。この資産分類の名称には、具体的には、「単紙」や「サーバシステム」などがある。また、この資産分類の名称は、上述した保管媒体の種類と対応付け可能となるように分類される。
【００４０】
資産分類コードデータ領域には、資産分類名を特定するための識別コードが記録される。
また、リスク分析表データ記憶部２４には、リスク分析表データ２４０が記録される。リスク分析表データ２４０は、分類資産マスタデータ記憶部２３に記録された後、その記録された分類に対する項目としてリスク分析表データ記憶部２４に記録される。このリスク分析表データ２４０は、図２に示すように、資産分類及び媒体取扱形態毎の、脆弱性の識別、脅威の識別、脅威の発生可能性と脅かす側面及び管理策に関するデータを含む。
【００４１】
資産分類データ領域には、資産の分類項目に関するデータが記録される。この分類には、例えば、「情報資産」などがある。
媒体取扱形態データ領域には、情報資産を保存などして取り扱っている形態に関するデータが記録される。この媒体取扱形態には、例えば、「サーバシステム」などがある。
【００４２】
脆弱性の識別データ領域には、その情報資産に生じる可能性のある脆弱性の項目内容に関するデータが記録される。
脅威の識別データ領域には、その脆弱性に対して生じる可能性のある脅威の識別が記録
されている。
【００４３】
脅威の発生可能性と脅かす側面のデータ領域には、機密性、完全性、可用性に関するデータが記録される。本実施形態では、これら機密性、完全性、可用性について、３段階に設定がされている。具体的には、「まれに発生する」レベル１の「低」と、「たまに発生する」レベル２の「中」及び「頻繁に発生する」レベル３の「高」である。
管理策データ領域には、その脆弱性に対して行われる管理の対策に関する規格番号に関するデータが記録される。
【００４４】
一方、規格・対応規程データ記憶部２５には、各種の規格データや対応規程に関するデータが記録される。このデータには、具体的には、ベストプラクティス規格、ＩＳＭＳマニュアル及びこれらに関連する文書データなどがある。
【００４５】
また、リスク管理データ記憶部２６は、リスク管理を行う情報資産についてのデータが記録される。このリスク管理データ記憶部２６は、リスク評価値を算出した後に、情報資産データ記憶部２２から管理対象として抽出した情報資産を記録する。
【００４６】
次に、リスク管理システム２０を用いた情報資産評価処理について、図３及び図４に基づいて説明する。
リスク管理システム２０の管理コンピュータ２１は、まず、登録処理を行う（ステップＳ１−１）。具体的には、管理コンピュータ２１は、情報資産についてのデータの入力画面データを端末１０に送信する。端末１０は、ディスプレイに入力画面を表示させて、利用者に対してデータの入力を促す。
【００４７】
ここで、利用者は、端末１０を用いて情報資産についてのデータを入力する。このとき、入力されるデータには、その情報資産の総称、名称、目的・用途、入手先、利用者範囲、機密性、完全性及び可用性についての各重要度、保管媒体の種類、媒体の取扱形態、保管場所、利用者の制限、管理担当、保管期間に関するデータが含まれる。
【００４８】
そして、端末１０は、利用者によるデータの入力が完了すると、この入力されたデータをリスク管理システム２０に送信する。リスク管理システム２０の管理コンピュータ２１は、情報資産についてのデータを情報資産データ記憶部２２に登録する。これにより登録処理（ステップＳ１−１）が完了する。
【００４９】
その後、端末１０を介して利用者により所定の情報資産が指定されると、リスク管理システム２０の管理コンピュータ２１は、指定された情報資産の内容に関するデータを端末１０に送信する。端末１０は、受信したデータに基づいて、図５に示すように内容表示画面５００を表示する。ここで、図５には、総称が「社内管理に関する情報」であって、名称が「社内規程」である情報資産の内容が表示されている。
【００５０】
なお、図５に示された内容表示画面５００には、その情報資産の目的・用途として「ＩＳＭＳ構築関連資料」が表示される。また、内容表示画面５００には、その情報資産の入手先としての「社内各部門」、利用範囲としての「制限なし」が含まれている。更に、その情報資産の重要度である秘密性、完全性及び可用性の値が表示される。
【００５１】
また、内容表示画面５００には、保管媒体の種類としての「電子データ」、媒体の取扱形態としての「ローカルディスク」及び保管場所としての「パソコン」が含まれる。更に、内容表示画面５００には、管理担当者として、資産情報を登録した登録者である「自分」が含まれる。
【００５２】
その後、情報資産台帳の内容表示画面５００のタイトル「情報資産登録内容」の上に表示されている「評価」の項目が指定されると、図６に示す情報資産の評価画面６００が表示される。
【００５３】
この評価画面６００には、登録された資産分類や資産の所有者などの情報が表示されている。また、この評価画面６００には、表示項目として、情報資産の重要度に関する項目６１０、脅威評価に関する項目６２０、脆弱性評価に関する項目６３０、リスク評価に関する項目６４０、リスク対応に関する項目６５０及び管理策に関する項目６６０が含まれる。また、評価画面６００には、重要度算定ボタン６１１、分類取得ボタン６２１、脅威評価ボタン６２２、脆弱性評価ボタン６３１、リスク対応設定ボタン６５１及び管理策取得ボタン６６１が含まれる。
【００５４】
次に、リスク管理システム２０の管理コンピュータ２１は、重要度の設定を行う（ステップＳ１−２）。ここで、資産情報の登録だけを行った初期状態の場合、図６に示す評価画面６００の重要度の項目には、すべて「０」が表示される。そこで、重要度算定ボタン６１１が選択されると、管理コンピュータ２１は、情報資産データ記憶部２２に記録した情報資産データの重要度データを取得する。そして、管理コンピュータ２１は、総合重要度評価の値を算定する。この総合重要度評価の値は、機密性、完全性及び可用性を含む重要度のうちの最大の値である。
【００５５】
そして、管理コンピュータ２１は、評価画面６００の重要度の項目６１０に、重要度としての機密性、完全性及び可用性の値と総合重要度評価の値とを表示する。例えば、図７に示すように、機密性が「２」、完全性が「１」及び可用性が「１」の場合には、総合重要度評価は、最大値である機密性の「２」となる。
【００５６】
次に、リスク管理システム２０の管理コンピュータ２１は、資産分類コードの付与を行う（ステップＳ１−３）。具体的には、利用者は、評価画面６００に表示された分類取得ボタン６２１を選択する。すると、管理コンピュータ２１は、分類資産マスタデータ記憶部２３から分類用データを取得し、このデータに基づいて図８の分類一覧画面７００を表示する。
【００５７】
この分類一覧画面７００には、階層的に表示された分類項目、資産分類名及びその資産分類コードが表示される。利用者は、分類項目において、大分類から選択して、付与する資産分類を表示させる。
【００５８】
ここで、利用者が、資産分類名の「ローカルディスクのデータ」を選択した後、分類一覧画面７００のＯＫボタン７０１を選択する場合を想定する。そして、管理コンピュータ２１は、資産分類名の「ローカルディスクのデータ」に対応する資産分類コードを情報資産データ記憶部２２に記録する。そして、管理コンピュータ２１は、図９に示すように、選択される資産分類コードの資産分類名とその分類名とを脅威評価の項目６３０に表示する。
【００５９】
次に、管理コンピュータ２１は、脅威の設定を行う（ステップＳ１−４）。これは、図６に示す評価画面６００に含まれる脅威評価ボタン６２２が選択されることにより行われる。評価画面６００の脅威評価ボタン６２２が選択された場合、管理コンピュータ２１は、付与した資産分類コードに基づいて、その資産の脅威に関するデータを、リスク分析表データ２４０から取得する。
【００６０】
例えば、利用者が「ローカルディスクのデータ」を選択した場合、これに対応する「電子データ」の「サーバシステム」に関するデータを、管理コンピュータ２１は、リスク分
析表データ記憶部２４から取得する。すなわち、図２に示すように、管理コンピュータ２１は、「電子データ」の「サーバシステム」に対応する「脆弱性の識別」、「脅威の識別」及び「脅威の発生可能性と脅かす側面」に関するデータをリスク分析表データ記憶部２４から取得する。更に、管理コンピュータ２１は、「脅威の発生可能性」の値のうち、脅威の発生が最も高い値を、脅威評価値として算定する。例えば、図２の「サーバシステム」の場合には、「脅威の発生可能性」が最も高い「中」を脅威評価の値として算定する。そして、管理コンピュータ２１は、取得した「脅威の発生可能性」のデータ及び脅威評価の値を、評価画面６００の脅威評価の項目６３０に表示する。
【００６１】
次に、管理コンピュータ２１は、優先順位度を決定する。具体的には、管理コンピュータ２１は、取得した機密性、完全性及び可用性に関するデータと、上記ステップＳ１−２で設定された重要度のデータとに基づいて、図１０に示す優先順位度算出表を用いて優先順位度を算出する。具体的には、重要度が「中」の「レベル２」であり、脅威が「中」である場合には、図１０で示すように、優先順位度は「６」になる。
【００６２】
次に、管理コンピュータ２１は、脆弱性（管理度）を設定する（ステップＳ１−５）。これは、図６に示す評価画面６００に含まれる脆弱性評価ボタン６３１が選択されることにより行われる。評価画面６００の脆弱性評価ボタン６３１が選択されると、管理コンピュータ２１は、脅威の項目６２０で設定した資産分類コードを取得する。そして、管理コンピュータ２１は、リスク分析表データ記憶部２４から、資産分類コードに対応する「脆弱性の識別」の項目を抽出する。例えば、「電子データ」の「サーバシステム」という資産分類が選択された場合には、管理コンピュータ２１は、図２で示すように、この資産分類に対応する「不適切な認証」や「不適切なアクセス権」などの項目を取得する。
【００６３】
更に、管理コンピュータ２１は、抽出した「脆弱性の識別」に基づいて画面データを作成する。ここで、管理コンピュータ２１は、「脆弱性の識別」に対する管理度を設定するために、抽出した「脆弱性の識別」の個数に対応する画面データを作成する。例えば、「サーバシステム」の「脆弱性の識別」の項目が２１件あった場合には、この２１件の項目に対応する画面データを作成する。そして、管理コンピュータ２１は、画面データに基づいて、１つの「脆弱性の識別」に対する管理度を設定するための管理度設定画面８００を表示する。
【００６４】
管理度設定画面８００には、図１１に示すように、資産の総称、資産分類、重要度の値、該当する脅威の項目、脅威の内容、脆弱性の内容、管理目的の内容、管理策例の内容、ＩＳＭＳ規格の内容、管理度を設定するべき件数（２１件）などが含まれる。また、管理度設定画面８００には、管理度のレベルを表示するためのプルダウンメニュー８１０、更新ボタン、件数プルダウンメニュー８２０及びＯＫボタン８３０が含まれる。なお、図１１の管理度設定画面８００の脆弱性の内容には、図２に示すような「脆弱性の識別」の項目がそれぞれ表示される。また、管理度設定画面８００の脅威の内容には、その「脆弱性の識別」の項目に対応する「脅威の識別」の内容が表示される。
【００６５】
ここで、図１１に示すように管理度設定画面８００のプルダウンメニュー８１０が利用者によりを選択されると、管理コンピュータ２１は、レベル１〜５のいずれか又は評価対象外を選択するように表示する。なお、レベル１とは、社内標準などがあり、かつ常時モニタが実施されているなど「とても強い」レベルを意味する。レベル２とは、社内標準などがあり、現状で十分であるなど、「強い」レベルを意味する。レベル３は、注意すれば運用できるなど、「普通」レベルを意味する。レベル４は、社内標準はあるが周知されていないなど、「弱い」レベルを意味する。レベル５は、社内標準がなく、対策を講じる必要があるなど、「とても弱い」レベルを意味する。
【００６６】
ここで、脅威の内容からそれが発生する可能性についての管理度を判断した利用者により、管理度の値が決定されて更新ボタンが選択される。これにより、管理コンピュータ２１は、管理度設定画面８００に表示された「脆弱性の項目」に対する管理度を、情報資産データ記憶部２２に記憶する。
【００６７】
次に、管理度設定画面８００の件数プルダウンメニュー８２０が選択されると、管理コンピュータ２１は、選択された件数の「脆弱性の識別」の項目の管理度を設定するための管理度設定画面８００を表示させる。そして、管理コンピュータ２１は、その件についての管理度の設定を行う。このようにして、管理コンピュータ２１は、管理度設定画面８００に表示するすべての件（ここでは２１件）について管理度を設定する。
【００６８】
そして、すべての件についての管理度を設定すると、管理コンピュータ２１は、リスク評価値を算出する（ステップＳ１−６）。具体的には、管理コンピュータ２１は、設定された管理度をリスク換算値に変換する。ここで、管理度が「とても強い」、「強い」、「普通」、「弱い」、「とても弱い」のレベルは、それぞれ「０．００」、「０．２５」、「０．５０」、「０．７０」、「１．００」に変換される。そして、管理コンピュータ２１は、この管理度のリスク換算値と優先順位度とを積算することにより、リスク評価値を算出する。なお、優先順位度は脅威と重要度とから決定されるので、管理コンピュータ２１は、図１２の「リスク算定マトリックス」に示すように、リスク評価値を、重要度、脅威及び管理度から算出する。すなわち、本実施形態では、重要度、脅威及び管理度がリスク評価値を算出するためのパラメータに該当する。
【００６９】
そして、管理コンピュータ２１は、リスク評価の項目６４０の「脆弱性評価」、「リスク評価」、「脆弱性、受容レベル」及び「リスク、受容レベル」の各値と、評価者の氏名などを表示する。
【００７０】
ここで、管理コンピュータ２１は、リスク評価の項目の脆弱性評価として、管理度として評価した全件（ここでは２１件）のうち、最も弱いレベルの値を抽出する。例えば、図１３においては、「とても弱い（レベル５）」がなく、「弱い（レベル４）」が最も弱いレベルとして設定されている。
【００７１】
また、管理コンピュータ２１は、算出した「リスク評価値」を評価画面６００に表示する。更に、管理コンピュータ２１は、優先順位度（管理度）の目標値を「脆弱性、受容レベル」の値として、またリスク評価値の目標値を「リスク、受容レベル」の値として、それぞれ表示する。
【００７２】
次に、管理コンピュータ２１は、管理度が設定されたそれぞれの項目（ここでは２１件分の項目）のリスク評価値がその目標値よりも低いか否かを判断する（ステップＳ２−１）。
【００７３】
ここで、リスク評価値が目標値よりも低い場合（ステップＳ２−１において「ＹＥＳ」の場合）には、管理コンピュータ２１は、その取扱形態に対して一般的な管理対応策を取得して表示する（ステップＳ２−２）。例えば、サーバシステムに対してのセキュリティ対策として一般に知られているウィルス対策などを表示する。
【００７４】
また、リスク評価値が目標値よりも高い場合（ステップＳ２−１において「ＮＯ」の場合）には、管理コンピュータ２１は、リスク対応を設定するべき項目を抽出する（ステップＳ２−３）。これは、利用者が評価画面６００のリスク対応設定ボタン６５１を選択することにより行われる。管理コンピュータ２１は、リスク対応設定ボタン６５１が選択されると、脆弱性の内容の件のうち、上記ステップＳ１−５で管理度を「評価対象外」とし
た内容の件を除いた件を抽出する。例えば、２１件について管理度の設定を行ったときに、「評価対象外」とした件が１２件あった場合には、残りの９件を抽出する。そして、管理コンピュータ２１は、図１４に示すように、抽出した件についてのリスク対応画面８５０を表示する。具体的には、管理コンピュータ２１は、抽出した９件に関するリスク対応画面８５０を表示する。
【００７５】
このリスク対応画面８５０には、資産の総称、資産分類、重要度、脅威の評価、脅威内容、脆弱性内容、優先順位度、管理度、リスク評価値及び目標値に関するデータを含む。また、リスク対応画面８５０には、リスク対応選択プルダウンメニュー及びＯＫボタンが含まれる。リスク対応選択プルダウンメニューには「受容」、「低減」、「検討」、「回避」及び「移転」の項目が含まれる。
【００７６】
ここで、「受容」は、評価者がリスクを容認することである。「低減」はリスクを低減させることである。「検討」は保留をすることである。「回避」は事業を中止することである。「移転」は業務を他社に代行させることである。
【００７７】
ここでは、「低減」に、ほとんどのリスクが対応すると考えられるので、利用者は、各リスク対応画面８５０において、リスク対応として「低減」を選択する。
そして、すべての件（ここでは９件）について、リスク対応の項目が選択されると、利用者によりＯＫボタンが選択される。これにより、管理コンピュータ２１は、リスク対応を記録する（ステップＳ２−４）。また、管理コンピュータ２１は、リスク対応を行う項目（脆弱性の内容）を残留リスクとしてリスク管理データ記憶部２６に記録する。
【００７８】
次に、管理コンピュータ２１は、リスク対応を行う項目に対する管理策をリスク分析表データ記憶部２４から取得する（ステップＳ２−４）。そして、管理コンピュータ２１は、図１５に示すように、取得した管理策に関するデータを表示する。これは、利用者が、管理策取得ボタン６６１を選択することにより行われる。例えば、図２に示すように「メンテナンスの不備」に対して、リスク対応の「低減」を行う場合には、これに対応する管理策「７−２−４」を取得する。ここで、管理策「７−２−４」は、ＩＳＭＳ規格に対応した規格番号を意味する。このようにして、管理コンピュータは、リスク対応の「低減」を行うとしたリスクの内容に対応する管理策をすべて取得し、これら管理策に関する情報を評価画面６００の管理策の項目６６０に表示する。
以上により情報資産のリスク評価が完了する。
【００７９】
本実施形態によれば、以下のような効果を得ることができる。
・本実施形態では、管理コンピュータ２１は、登録処理（ステップＳ１−１）を行った情報資産の登録内容を表示する内容表示画面５００に関連付けして評価画面６００を表示する。この評価画面６００の重要度算定ボタン６１１が選択されると、管理コンピュータ２１は、情報資産に関する重要度を設定し（ステップＳ１−２）、分類取得ボタン６２１が選択されると資産分類コードを付与する（ステップＳ１−３）。また、管理コンピュータ２１は、評価画面６００の脆弱性評価ボタン６３１から管理度を設定する管理度設定画面８００を表示し、管理度を設定する（ステップＳ１−５）と、リスク評価値を算出する（ステップＳ１−６）。従って、管理コンピュータは、評価画面６００において、リスク評価値を算出する重要度、脅威及び管理度のパラメータの設定を行い、リスク評価を行うことができる。従って、リスク評価を効率よく行うことができる。
【００８０】
・本実施形態では、リスク評価値の算出及びこれに用いる重要度などの設定などを行う評価画面６００は、情報資産台帳として、その情報資産の内容を登録した内容表示画面５００とともに表示可能となっている。従って、内容表示画面５００において、情報資産の内容を登録して、すぐに評価画面６００を表示させて、重要度などの設定、リスク評価値
の算出、リスク対応及び管理策の取得を行うことができる。
【００８１】
・本実施形態では、管理コンピュータ２１は、内容表示画面５００においてパラメータの１つである重要度が入力された後、評価画面６００の重要度算定ボタン６１１が選択されると、重要度の設定及び変更を行う。このため、評価画面６００において、重要度の設定及び変更を行うことができるので、効率的にリスク評価を行うことができる。
【００８２】
・本実施形態では、管理コンピュータ２１は、リスク評価値を算出するパラメータの１つである脅威は、情報資産の保管媒体の種類に基づいて、リスク分析表データ記憶部２４から取得する。このため、情報資産の種類に応じた脅威を、リスク分析表データ記憶部２４から抽出するので、情報資産の種類から発生する可能性のあるすべての脅威を考慮してリスク評価をすることができる。従って、リスク評価をより的確に行うことができる。
【００８３】
・本実施形態では、管理コンピュータ２１は、情報資産の種類を、分類一覧画面７００に表示する。このため、管理コンピュータ２１は、分類一覧画面７００から情報資産の種類が利用者によって選択されることにより、情報資産の種類に応じた脅威を迅速に特定することができる。
【００８４】
・本実施形態では、管理コンピュータ２１は、評価画面６００の脆弱性評価ボタン６３１が選択されることにより、管理度設定画面８００を表示する。そして、管理コンピュータ２１は、管理度設定画面８００において脅威の各項目についての管理度を設定する。このため、管理コンピュータ２１は、評価画面６００から容易に管理度を設定することができるので、効率的にリスク評価を行うことができる。
【００８５】
・本実施形態では、管理コンピュータ２１は、リスク評価値が目標値よりも高い場合（ステップＳ２−１において「ＹＥＳ」の場合）に、評価画面６００のリスク対応設定ボタン６５１が選択されると、リスク対応の項目を抽出し（ステップＳ２−３）、リスク対応画面８５０を表示する。そして、利用者により表示されたリスク対応画面８５０を介してリスク対応が入力されると、管理コンピュータ２１は、入力されたリスク対応を記録する（ステップＳ２−４）。従って、利用者は、パラメータを設定した評価画面６００から容易にリスク対応をも入力することができるので、リスク対応の記録を効率よく行うことができる。
【００８６】
・本実施形態では、管理コンピュータ２１は、リスク対応画面８５０のプルダウンメニューによってリスク対応を選択入力可能とする。このため、リスク対応を容易に設定することができる。
【００８７】
・本実施形態では、管理コンピュータ２１は、リスク対応を記録した（ステップＳ２−４）後に、評価画面６００の管理策取得ボタン６６１が選択されると、リスク対応の項目に対応する管理策に関するデータを取得し（ステップＳ２−５）、評価画面６００に表示する。従って、情報資産のリスク評価値を算出するパラメータの設定、リスク評価値の算出、リスク対応及び管理策の取得を、評価画面６００において行うことができる。このため、効率的にリスク管理を行うことができる。
【００８８】
なお、上記実施形態は以下のように変更してもよい。
○上記実施形態においては、評価画面６００には、重要度算定ボタン６１１、分類取得ボタン６２１、脅威評価ボタン６２２、脆弱性評価ボタン６３１、リスク対応設定ボタン６５１及び管理策取得ボタン６６１が含まれている。これに代えて、リスク対応に関するリスク対応設定ボタン６５１及び管理策に関する管理策取得ボタン６６１を、評価画面６００とは異なるが、内容表示画面５００及び評価画面６００とともに表示できる画面中の
ボタンとして表示してもよい。この場合には、リスク対応設定ボタン６５１及び管理策取得ボタン６６１を含む画面を、内容表示画面５００及び評価画面６００と同様に、表示するようにしてもよい。
【００８９】
○上記実施形態においては、管理コンピュータ２１は、重要度、脅威及び管理度のパラメータに基づいてリスク評価値を算出した。リスク評価値は、これらに限らず、例えば、お客様との契約、法令・規則などからの重要度などを含んで算出してもよいし、他のパラメータを用いて算出してもよい。
【００９０】
○上記実施形態においては、管理コンピュータ２１は、情報資産についてリスク評価を行ってリスク管理をした。リスク管理を行う資産はこれに限られず、例えば、施設に関する資産などであってもよい。
【００９１】
○上記実施形態においては、管理コンピュータ２１は、分類取得ボタン６２１が選択されることにより分類一覧画面７００を表示させた。そして、管理コンピュータ２１は、分類一覧画面７００から選択された情報資産の分類に基づいて、リスク評価値を算出するパラメータである脅威の内容を抽出した。これに代えて、管理コンピュータ２１は、リスク評価値を算出するパラメータである脅威の内容についてのデータを、利用者から直接入力を受けることにより取得してもよい。この場合、リスク管理をする個々の企業に独自の脅威がある場合には、これを考慮してリスク評価を行うことができる。
【図面の簡単な説明】
【００９２】
【図１】実施形態におけるシステムの概略図。
【図２】リスク分析表データ記憶部に記録されたデータの説明図。
【図３】リスク評価処理の前半の処理手順を説明するための流れ図。
【図４】リスク評価処理の後半の処理手順を説明するための流れ図。
【図５】登録処理における内容表示画面の説明図。
【図６】評価画面の説明図。
【図７】評価画面における重要度に関する項目の説明図。
【図８】分類一覧画面の説明図。
【図９】評価画面における脅威評価及び脆弱性評価に関する項目の説明図。
【図１０】優先順位度を算出するための表の説明図。
【図１１】管理度設定画面の説明図。
【図１２】リスク評価値を算出するためのリスク算定マトリックスの説明図。
【図１３】評価画面における脆弱性評価及びリスク評価に関する項目の説明図。
【図１４】リスク対応画面の説明図。
【図１５】評価画面におけるリスク評価及び管理策に関する項目の説明図。
【符号の説明】
【００９３】
２１…管理コンピュータ、２４…分析表データ記憶部及び分類データ記憶部としてのリスク分析表データ記憶部、６００…リスク評価画面としての評価画面。
【図１】
2005216003.tif 000003
【図２】
2005216003.tif 000004
【図３】
2005216003.tif 000005
【図４】
2005216003.tif 000006
【図５】
2005216003.tif 000007
【図６】
2005216003.tif 000008
【図７】
2005216003.tif 000009
【図８】
2005216003.tif 000010
【図９】
2005216003.tif 000011
【図１０】
2005216003.tif 000012
【図１１】
2005216003.tif 000013
【図１２】
2005216003.tif 000014
【図１３】
2005216003.tif 000015
【図１４】
2005216003.tif 000016
【図１５】
2005216003.tif 000017