(57)【要約】コンピュータシステム又はグラフィカルユーザインターフェースに用いる電子性能サポートシステムを開発する方法及びシステムである。規制規準への電子コンプライアンスを判断する本方法及びシステムは、コンプライアンス規準を取得し、スキャニングエンジンと併せて質問及び回答プロンプトを使用し、コンピュータネットワークの技術的評価に加え、少なくとも一つの所定の規準へのコンピュータネットワークの準拠性の評価を実行する。
2006526220.tif 000002
【特許請求の範囲】
【請求項１】
少なくとも一つのコンプライアンス規準に対する準拠性を判断する方法であって、
所与のトランザクションに関する少なくとも一つのコンプライアンス規準を取得するステップ、
前記少なくとも一つのコンプライアンス規準に基づいてユーザ回答を引き出すための質問を作成するステップ、
前記質問に対する前記回答に基づいてスキャンパラメータを生成するステップ、
前記スキャンパラメータを使用して電子システムをスキャンするステップ、及び
前記少なくとも一つのコンプライアンス規準に対する準拠性に関する評価を提供するステップ
を含む方法。
【請求項２】
少なくとも一つのコンプライアンス規準はセキュリティポリシーを含む、請求項１記載の方法。
【請求項３】
少なくとも一つのコンプライアンス規準はセキュリティ規準を含む、請求項１記載の方法。
【請求項４】
少なくとも一つのコンプライアンス規準は規制規準を含む、請求項１記載の方法。
【請求項５】
更に、前記質問をグラフィカルユーザインターフェースに表示するステップを含む、請求項１記載の方法。
【請求項６】
前記生成するステップは、更に、自動論理決定樹ステップを含む、請求項１記載の方法。
【請求項７】
前記スキャンするステップは、更に、少なくとも一つのスキャンツールを使用することを含む、請求項１記載の方法。
【請求項８】
前記少なくとも一つのスキャンツールはデータ結果を生成する、請求項７記載の方法。
【請求項９】
前記データ結果により、前記生成するステップのために更に別の質問が生成される、請求項８記載の方法。
【請求項１０】
前記スキャンの範囲は調整することができる、請求項１記載の方法。
【請求項１１】
前記少なくとも一つのスキャンツールは、ドメイン名解決器，ポートスキャナ，ｎｓｌｏｏｋｕｐ，ｄｉｇ，ｗｈｏｉｓ，ｐｉｎｇ，ｔｒａｃｅｒｏｕｔｅ，ｒｐｃｉｎｆｏ，ｎｂｓｔａｔ，ｎｅｔ  ｕｓｅ，ｓｍｂｃｌｉｅｎｔ，ｎｍｂｌｏｏｋｕｐ，ｎｍａｐ，ｎｅｓｓｕｓ，ｗｈｉｓｋｅｒ，ｎｉｋｔｏ，ｏｎｅｓｉｘｔｙｏｎｅ，Ｐｐｔｐ＿ｐｒｏｂｅ，Ｇｂｇ，Ｗｇｅｔ，Ｌａｎｔｅｒｎ，ＱＴＩＰ，及びｄｏｒｉａｎから成るグループから選択される、請求項８記載の方法。
【請求項１２】
更に、機密情報を検出するステップを含む、請求項１記載の方法。
【請求項１３】
更に、各スキャンパラメータから受け取るデータを共通言語にまとめるステップを含む、請求項１記載の方法。
【請求項１４】
規制規準はセキュリティ仕様を含む、請求項１記載の方法。
【請求項１５】
前記スキャンするステップは、更に、スキャンを行なう個々のタスクを管理することを含む、請求項１記載の方法。
【請求項１６】
前記スキャンするステップは、更に、各タスクをツール言語にまとめることを含む、請求項１記載の方法。
【請求項１７】
前記スキャンするステップは、更に、タスクをスケジューリングすることを含む、請求項１記載の方法。
【請求項１８】
前記評価を提供するステップは、更に、環境データベースを構築することを含む、請求項１記載の方法。
【請求項１９】
前記環境データベースは、スキャンパラメータ、スキャン頻度、スキャン期間、スキャン結果、スキャン開始時間、スキャン停止時間、次のスキャン日、ネットワークのステータス、検出対象ＭＡＣアドレス、スキャンアクティビティログ、無防備システム、無防備サービス、スキャン対象ドメイン名、スキャン対象ＩＰ、検出対象ＩＰ、及びスキャンに使用するアプリケーションから成るグループから選択される少なくとも一つを含む、請求項１８記載の方法。
【請求項２０】
少なくとも一つのコンプライアンス規準に対する準拠性を判断する方法であって、
所与のトランザクションに関する少なくとも一つの規制規準を取得するステップ、
前記少なくとも一つのコンプライアンス規準に基づいてユーザ回答を引き出すための質問を作成するステップ、
前記質問に対する前記回答に基づいてスキャンパラメータを生成するステップ、
前記スキャンパラメータを使用して電子システムをスキャンするステップ、
各スキャンパラメータのデータを共通言語にまとめるステップ、及び
前記規制規準に対する準拠性に関する評価を提供するステップ
を含む方法。
【請求項２１】
少なくとも一つのコンプライアンス規準はセキュリティポリシーを含む、請求項２０記載の方法。
【請求項２２】
少なくとも一つのコンプライアンス規準はセキュリティ規準を含む、請求項２０記載の方法。
【請求項２３】
少なくとも一つのコンプライアンス規準は規制規準を含む、請求項２０記載の方法。
【請求項２４】
更に、前記質問をグラフィカルユーザインターフェースに表示するステップを含む、請求項２０記載の方法。
【請求項２５】
前記生成するステップは、更に、自動論理決定樹ステップを含む、請求項２０記載の方法。
【請求項２６】
前記スキャンするステップは、更に、少なくとも一つのスキャンツールを使用することを含む、請求項２０記載の方法。
【請求項２７】
前記スキャンツールはデータ結果を生成する、請求項２６記載の方法。
【請求項２８】
前記データ結果によって、前記生成するステップのために更に別の質問が生成される、請求項２７記載の方法。
【請求項２９】
前記スキャンの範囲は調整することができる、請求項２０記載の方法。
【請求項３０】
更に、前記論理決定樹ステップを変更するステップを含む、請求項２５記載の方法。
【請求項３１】
前記少なくとも一つのスキャンツールは、ドメイン名解決器，ポートスキャナ，ｎｓｌｏｏｋｕｐ，ｄｉｇ，ｗｈｏｉｓ，ｐｉｎｇ，ｔｒａｃｅｒｏｕｔｅ，ｒｐｃｉｎｆｏ，ｎｂｓｔａｔ，ｎｅｔ  ｕｓｅ，ｓｍｂｃｌｉｅｎｔ，ｎｍｂｌｏｏｋｕｐ，ｎｍａｐ，ｎｅｓｓｕｓ，ｗｈｉｓｋｅｒ，ｎｉｋｔｏ，ｏｎｅｓｉｘｔｙｏｎｅ，Ｐｐｔｐ＿ｐｒｏｂｅ，Ｇｂｇ，Ｗｇｅｔ，Ｌａｎｔｅｒｎ，ＱＴＩＰ，及びｄｏｒｉａｎから成るグループから選択される、請求項２６記載の方法。
【請求項３２】
更に、制限情報を検出するステップを含む、請求項２０記載の方法。
【請求項３３】
規制規準はセキュリティ仕様を含む、請求項２３記載の方法。
【請求項３４】
前記スキャンするステップは、更に、スキャンを行なう個々のタスクを管理することを含む、請求項２０記載の方法。
【請求項３５】
前記スキャンするステップは、更に、各タスクをツール言語にまとめることを含む、請求項２０記載の方法。
【請求項３６】
前記スキャンするステップは、更に、タスクをスケジューリングすることを含む、請求項２０記載の方法。
【請求項３７】
前記評価を提供するステップは、更に、環境データベースを構築することを含む、請求項２０記載の方法。
【請求項３８】
前記環境データベースは、スキャンパラメータ、スキャン頻度、スキャン期間、スキャン結果、スキャン開始時間、スキャン停止時間、次のスキャン日、ネットワークのステータス、検出対象ＭＡＣアドレス、スキャンアクティビティログ、無防備システム、無防備サービス、スキャン対象ドメイン名、スキャン対象ＩＰ、検出対象ＩＰ、及びスキャンに使用するアプリケーションから成るグループから選択される少なくとも一つを含む、請求項３７記載の方法。
【請求項３９】
ユーザに、少なくとも一つのコンプライアンス規準に対する準拠性を判断する機能を提供するコンピュータシステムであって、
少なくとも一つのコンプライアンス規準、
質問をユーザに提示する手段、
決定樹アーキテクチャを生成する手段、
別のコンピュータシステムのシステム脆弱性についてスキャンする手段、
少なくとも一つのスキャニングツール、
前記スキャンする手段が生成するデータを記録するデータベース、及び
前記データベースに含まれるデータを表示するインターフェース
を備えるコンピュータシステム。
【請求項４０】
少なくとも一つのコンプライアンス規準はセキュリティポリシーを含む、請求項３９記載のシステム。
【請求項４１】
少なくとも一つのコンプライアンス規準はセキュリティ規準を含む、請求項３９記載のシステム。
【請求項４２】
少なくとも一つのコンプライアンス規準は規制規準を含む、請求項３９記載のシステム。
【請求項４３】
更に、前記スキャンする手段が生成する前記データを記述言語（ｗｒａｐｐｅｒ  ｌａｎｇｕａｇｅ）に変換する手段を備える、請求項３９記載のシステム。
【請求項４４】
更に、少なくとも一つの追加スキャニングツールを追加する手段を備える、請求項３９記載のシステム。
【請求項４５】
前記決定樹アーキテクチャは、更に、前記少なくとも一つのスキャニングツールによって完了する一連のタスクを含む、請求項３９記載のシステム。
【請求項４６】
更に、少なくとも一つのタスクを前記決定樹アーキテクチャに追加する手段を備える、請求項３９記載のシステム。
【請求項４７】
更に、前記スキャンする手段で前記データベースを継続的に更新する、請求項３９記載のシステム。
【請求項４８】
前記スキャンする手段は、前記決定樹アーキテクチャとの接続を行なうように構成される、請求項３９記載のシステム。
【請求項４９】
前記規制規準はセキュリティ仕様を含む、請求項４２記載のシステム。
【請求項５０】
前記スキャンする手段は更にタスクマネージャを含む、請求項３９記載のシステム。
【請求項５１】
前記スキャンする手段は更にタスクハンドラーを含む、請求項３９記載のシステム。
【請求項５２】
前記スキャンする手段は更にスケジュールマスターを含む、請求項３９記載のシステム。
【請求項５３】
前記データベースは、スキャンパラメータ、スキャン頻度、スキャン期間、スキャン結果、スキャン開始時間、及びスキャン停止時間から成るグループから選択される少なくとも一つを含む、請求項３９記載のシステム。
【請求項５４】
コンピュータネットワークのコンプライアンスレベルを判断するシステムであって、
コンピュータネットワークの準拠性を測定する基準となる少なくとも一つの所定のコンプライアンス規準を含む動作フレームワーク、
ユーザが、少なくとも一つの所定のコンプライアンス規準を有するエンティティに対する準拠性を立証するために回答することができる質問を含むコンプライアンス質問データベース、
複数のコンプライアンス質問の内の所定の質問をユーザに提示する提示手段、
複数のコンプライアンス質問の内の所定の質問に対するユーザ回答を含むコンプライアンス回答データベース、
ユーザのコンピュータネットワークをスキャンしてユーザ回答が正しいことを確認するコンプライアンス評価手段、及び
コンプライアンス回答データベースに接続されてコンプライアンスレポートを生成するレポートジェネレータ
を備えるシステム。
【請求項５５】
提示手段は、ウェブインターフェースを通してユーザに提示することができるオンラインアンケートを含む、請求項５４記載のシステム。
【請求項５６】
オンラインアンケートは、更に、質問をどのように解釈し、質問に回答するかについての提案に接続されるリンクを含む、請求項５５記載のシステム。
【請求項５７】
提示手段は、ユーザに提示することができる口頭指示を含む、請求項５４記載のシステム。
【請求項５８】
提示手段は、ユーザに提示することができる書面の指示を含む、請求項５４記載のシステム。
【請求項５９】
提示手段はスピーチシンセサイザーを含む、請求項５４記載のシステム。
【請求項６０】
提示手段は、ＰＤＡ、携帯電話、及びＢｌａｃｋＢｅｒｒｙ（登録商標）デバイスからなるグループから選択される少なくとも一つに対して無線を使った電子送信を行なう、請求項５４記載のシステム。
【請求項６１】
類似するポリシーエリアの複数のコンプライアンス質問の内の所定の質問が、グループにまとめた表示でユーザに提示される、請求項５４記載のシステム。
【請求項６２】
ポリシーエリアは、組織が正しい構成のファイアウォールを有するかどうかに関するネットワークセキュリティ項目、組織がどのようにして個人情報を保護するのかを扱うプライバシー項目、ユーザハードウェアに関する物理的項目、電源が故障した後もコンピュータネットワーク動作を継続するための計画に関する緊急対応項目、オフラインデータセキュリティ、オンラインデータセキュリティ、サーバセキュリティ、認証及び検証、人事、及び災害復旧から成るグループから選択される少なくとも一つを含む、請求項６１記載のシステム。
【請求項６３】
コンプライアンス質問データベースは、企業ガイダンス、セキュリティポリシー、及び所定レベルのコンプライアンスを要求する規制から成るグループから選択される少なくとも一つに関連する質問を含む、請求項５４記載のシステム。
【請求項６４】
コンプライアンス質問データベースは、ファイアウォール、セキュリティパッチ、格納データの暗号化、オープンネットワークを通して送信されるデータの暗号化、アンチウィルスプログラムの使用、データアクセス制限、及びユーザ識別情報の割り当てから成るグループから選択される少なくとも一つに関連する質問を含む、請求項５４記載のシステム。
【請求項６５】
更に、複数のコンプライアンス質問の内の所定の質問に対する回答に異なるレベルの重要度を選択的に割り当てる回答重み付け手段を備える、請求項５４記載のシステム。
【請求項６６】
コンプライアンス評価手段は、
ユーザのコンピュータネットワークをスキャンし、
スキャンに基づく測定コンプライアンスデータを生成し、
測定コンプライアンスデータをコンプライアンス回答データベースのユーザ回答と比較する、
請求項５４記載のシステム。
【請求項６７】
コンプライアンス評価手段は、コンプライアンス回答データベースに測定コンプライアンスデータを供給する、請求項６６記載のシステム。
【請求項６８】
更に、ユーザのコンピュータネットワーク上の機密情報のスキャンを防止するセキュリティデバイスを備える、請求項６６記載のシステム。
【請求項６９】
コンプライアンスレポートは、ユーザのコンピュータネットワークが少なくとも一つの所定のコンプライアンス規準に準拠する度合いを通知する、請求項５４記載のシステム。
【請求項７０】
少なくとも一つのコンプライアンス規準は行政上の規制規準を含む、請求項５４記載のシステム。
【請求項７１】
少なくとも一つのコンプライアンス規準はセキュリティ規準を含む、請求項５４記載のシステム。
【請求項７２】
少なくとも一つのコンプライアンス規準はセキュリティポリシーを含む、請求項５４記載のシステム。
【発明の詳細な説明】
【発明の開示】
【０００１】
発明の分野
本発明は、種々の規準により電子コンプライアンスを評価する方法及びシステム、詳細には、コンピュータシステムを使用して規制規準又はセキュリティ規準に対する電子コンプライアンスを評価する方法及びシステム、更に詳細にはグラフィカルユーザインターフェースを介して規制規準又はセキュリティ規準に対する電子コンプライアンスを評価する方法及びシステムに関する。本発明はまた、質問及び回答プロンプトをスキャニングエンジンと一緒に使用してグラフィカルユーザインターフェースの規制規準又はセキュリティ規準に対するコンプライアンスを評価してユーザに個々のレベルのコンプライアンスを提供する方法及びシステムに関する。
【０００２】
発明の背景
情報の安全を確保する責任のある個々の事業体は、これらの事業体の組織の総合的なセキュリティ体制にどのような影響がもたらされるかを完全に理解することなく、ファイアウォール、暗号化ソフトウェア、パスワードトークン等の問題解決中心の対策を実施することが多い。情報セキュリティ問題に対処する文書化されたセキュリティ規準及び規制が欠落することによって、セキュリティソリューション又はコンピュータシステムアーキテクチャが「産業界で最良の規準」によって推進される環境が創り出されてきた。場合によっては、ソリューションとして、個々のセキュリティ問題又は特定のセキュリティ問題を解決するために設計されるアドホックパッチを含むことさえある。
情報の安全を確保する責任のある個々の事業体は、これらの事業体の組織の総合的なセキュリティ体制にどのような影響がもたらされるかを完全に理解することなく、ファイアウォール、暗号化ソフトウェア、パスワードトークン等の問題解決中心の対策を実施することが多い。情報セキュリティ問題に対処する文書化されたセキュリティ規準及び規制が欠落することによって、セキュリティソリューション又はコンピュータシステムアーキテクチャが「産業界で最良の規準」によって推進される環境が創り出されてきた。場合によっては、ソリューションとして、個々のセキュリティ問題又は特定のセキュリティ問題を解決するために設計されるアドホックパッチを当てることさえ行われる。
【０００３】
近年、情報保証（ＩＡ）の規準の欠落に対処するために多くの発議が提案されている。これらの規制発議には、グラムリーチブライリー法（ＧＬＢ）及び健康保険継続責任法（ＨＩＰＡＡ）が含まれ、これらの法律は、個人的な経済情報及び医療情報の保護に対する要件を示している。また、企業セキュリティに関する規準は継続的に書き換えられるので、民間組織は強固なセキュリティ実務を遂行するために準拠する運営要件を持たない。更に、企業の情報資産及び重要なビジネス機能が益々電子インフラストラクチャに依存するようになっているという事実は、全ての組織が、このような資産及び機能を保全するために情報保証及びセキュリティ戦略及びプログラムを策定し、実行する場合に、規制者、株主、顧客、及びパートナーに回答しなければならないことを意味する。
内部規準及び外部規準の両方、セキュリティ要件、並びに適用法律に対応するために、組織は、これらのＩＡ規準に対処するための組織のビジネスニーズを、当該会社がどのようにしてこれらの規則を遵守し、且つ規則に準拠するかについて詳述したセキュリティポリシー説明書に変換するプロセスを経る必要がある。次に、同じ会社は、会社のセキュリティポリシーに実際に準拠するセキュリティプログラムを実行する必要がある。更に、会社は定期的なモニターを行ない、ＩＡの要件が変わり、会社のコンピュータネットワーク情報インフラストラクチャを機能強化するときに、実行するセキュリティプログラムが有効であり、且つ引き続き会社のセキュリティポリシーの目標に従うものであることを確認する必要がある。
【０００４】
企業が、規制規準及び／又はセキュリティポリシーに準拠しているかどうかの評価を試みることができる種々の方法がある。例えば、コンサルタントが企業の情報管理幹部に質問を行って、企業がその電子情報資産を保全するためにどのような対策を実施しているかを判断させることができる。或いは、企業は自動化ツールを採用して一定の評価を実行することができる。市販の自動化ツールの一部は、ＣｙｂｅｒＣｏｐ  Ｓｃａｎｎｅｒ、Ｓｅｃｕｒｉｔｙ  Ａｄｍｉｎｉｓｔｒａｔｏｒ  Ｔｏｏｌ  ｆｏｒ  Ａｎａｌｙｚｉｎｇ  Ｎｅｔｗｏｒｋｓ（ＳＡＴＡＮ  Ｓｕｉｔｅ）、及びＩｎｔｅｒｎｅｔ  Ｓｅｃｕｒｉｔｙ  Ｓｙｓｔｅｍｓ（ＩＳＳ）のＩｎｔｅｒｎｅｔ  Ｓｃａｎｎｅｒを含む。これらの自動化製品は、ユーザのコンピュータネットワークの特定構成を能動的にプローブすることによりコンピュータインフラストラクチャの脆弱性をスキャンすることができるが、これらの著作権消滅アプリケーションでは、特定の規制規準又は特定のセキュリティポリシー又は要件に関する分析を行なうことができない。更に、既存の自動化ツールには、このようなコンピュータインフラストラクチャスキャンを考案し、管理する解析メカニズムが無い。市販スキャナ及びオープンソーススキャナの別の不具合は、これらの製品のレポート機能が不十分であるので、高度の技能を備えた人材が結果を分析し、結果の意味するところを理解する必要があることである。
従って、自動化アンケートを通して証券及び管理情報を自動的に催促し、回収することができるシステム及び方法があると有利である。また、ユーザが採用する規制又はセキュリティポリシーの特定のタイプに合わせてアンケートを生成することができれば有利である。更に、アンケートをデータベースに保存し、同じような状況に置かれているユーザが使用できると有利である。また、ユーザのコンピュータネットワークの評価を入力データに基づいて考案する解析メカニズムを備えるシステム及び方法があれば有利である。ポリシーアンケートの結果として、ユーザネットワークを遠隔地からスキャンすることにより、アンケート入力が正しいことを検証し、更には脆弱性の観点から、又は特定の規制規準及びセキュリティポリシー又は運用基準に対する準拠性の観点から、付加的な評価を提供するシステム及び方法があれば有利である。また、生成データを種々のフォーマットでユーザに提示することができれば有利である。
【０００５】
発明の概要
本出願の出願に関連して、「ネットワークの脆弱性を検出し、コンプライアンスを評価する装置及び方法」と題する、米国特許庁が割り当てた出願番号１０／      ，      ，を有する同時出願された係属中の出願（弁護士側管理番号０１６１９．０００１）があり、この出願を本明細書において参照することにより、この出願の内容全体を本発明の開示に明示的に包含する。  本発明によって、上に議論した問題が解決し易くなり、且つユーザネットワーク、及び任意の数の規制、方針又は規準に対する準拠性を評価するためのコスト効率の高い、整然とした方法を提供することができる。特に、本発明によって、あらゆるタイプの規制規準、セキュリティポリシー、又は運用基準に対するユーザコンプライアンスを評価する手段を提供し易くなる。例えば、本発明によって、セキュリティマネージャは既存のネットワークにおける脆弱性を確認することができる。セキュリティマネージャは、本発明の方法に関連するステップを実行することにより、又は本発明のシステム及び装置を使用することによりこの操作を行なうことができる。このようなシステム及び装置は、例えばコンピュータシステムとすることができる。
【０００６】
特定の実施形態では、本発明は、所望の規制規準を入手し、当該規制規準に基づいて質問を作成し、これらの質問をユーザに向けて発してユーザから回答を引き出すことにより、ＨＩＰＡＡのような規制規準に対するコンピュータシステムの準拠性を評価する、又は見積もるためのシステム及び方法を含むことができる。重要なのは、ユーザに向けた質問はどのようなソースからも導くことができることである。例えば、質問をフォーマットし、構造化して、或る会社のコンピュータシステムが、インターネットを介してクレジットカード取引に使用され、クレジットカード保有者情報を格納しているハードウェア及びソフトウェアに関するクレジットカード協会のセキュリティ要件に準拠しているかどうかを判断することができる。或いは、質問をフォーマットし、構造化して、これらの質問によって、ユーザのコンピュータシステムが、例えば金融機関が顧客記録及び情報のセキュリティ及び機密性を確保することを要求するＧＬＢ法のセキュリティポリシーに準拠しているかどうかを判断することを可能にする。
同様に、質問をフォーマットし、構造化して、ユーザのコンピュータシステムが、患者のプライバシーを扱うに当たってＨＩＰＡＡが要求する規制に準拠しているかどうかを判断することができる。一連の質問が所定の業界団体、すなわち金融業界、医療業界、公共事業業界、米国政府などのために構造化され、フォーマットされると、これらの質問をデータベースに格納して、将来同様の業界と取引するユーザの使用に供することができる。フォーマット及び構造化により、所与のユーザに関するアンケートをオンラインで提供することができ、各質問に対する回答をデータベースに格納することができる。
【０００７】
本発明による装置は、ネットワーク及びアプリケーション評価装置として記載することができる。しかしながら、ネットワーク評価装置が実行する実際の機能には、ネットワークのスキャンだけでなく、ネットワーク及び関連アプリケーションを特定の動作フレームワークに対する準拠性について評価することが含まれる。ユーザに向けられる質問を使用して当該スキャンを実行し易くするか、又は入力を自動化することができる。このような入力には、ユーザネットワークが動作する環境となる動作フレームワークのタイプが含まれる。これらの動作フレームワークには、規制規準、セキュリティポリシー、又は運用基準が含まれる。ネットワーク評価装置が受け入れる他の入力は、ユーザネットワークの種々のサーバ、ルータ、ゲートウェイ、又は他のハードウェアデバイスのＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレスに関する情報から成る。更に、ネットワーク評価装置への入力には、例えばポリシー欠陥、運用手順の欠陥、オペレーティングシステムの脆弱性、ネットワーク通信の脆弱性、及びサービス拒否の脆弱性を含む、ユーザが調査を希望するポリシー及び管理上の問題に関する情報を挙げることができる。
同様に、ネットワークスキャナへの入力には、ユーザがスキャンの間に本発明の装置に処置させたいと考えるカスタムソフトウェアアプリケーション及びこれらに関連する脆弱性、並びにユーザがスキャンを実行したいと考える頻度に関する情報が含まれる。他の入力情報には、ユーザがスキャンを実行したい、又は実行したくないと考える１日の内の時間（例えば最も忙しい営業時間又は休日のような営業上の一定期間）が含まれる。スキャンのタイミングは、ネットワークスキャナがサービス拒否攻撃に対するユーザネットワークの脆弱性をテストしている場合に特に重要となる。
【０００８】
ネットワークスキャナがテストできるオペレーティングシステムの脆弱性には、提供情報の過多、又はユーザ、特に権限の無いユーザに対する過度に高いレベルの特権の付与も含まれる。ネットワークスキャナがテストすることができるネットワーク通信の脆弱性として、ネットワーク盗聴、なりすまし、又は情報収集が挙げられる。ネットワークスキャナがテストすることができるサービス拒否脆弱性には、特定形態のサービス拒否に対する脆弱性、及び更にはサービス拒否攻撃を行って相互に関連するセキュリティソフトウェア又はハードウェアを無効にする能力に対する脆弱性が含まれる。
データをネットワーク評価装置に入力することができる一つの方法は、カスタマイズしたアンケートの使用によるものである。このようなアンケートは従来の紙媒体により送付することができるか、又は電子フォーマット、例えばＨＴＭＬインターフェースを通して送付することができる。十分なデータを収集して確認した後は、ネットワーク評価装置に入力されたデータをネットワークスキャナモジュールに供給することができる。次に、このネットワークスキャナモジュールはユーザネットワークの評価及び解析を開始する。これには種々のタスクが含まれる。例えば、ネットワークスキャナモジュールは、インターネット可視システムのポートスキャンを実行しようと試みるか、又はローカルネットワークのパケットを受け取って、ユーザネットワークを介して渡されるパスワード又は他の重要データの検出を試みることができる。同様に、ネットワークスキャナモジュールは、当該システムの予測デフォルト設定を使用してユーザシステムに対してこのモジュール自体を認証しようとすることができるか、又はアクセス可能なシステムに格納される媒体の読み出しを試みることができ、更にネットワークスキャナモジュールは、ヘッダ情報の偽造のようななりすまし技術を使用することにより、観察することができないユーザシステムと通信しようとすることができる。
【０００９】
これらの評価タスク又はスキャニングタスクの内の一つ以上のタスクを遂行するために、ネットワークスキャナモジュールは、多くのセキュリティツールとの接続を行なうか、又はそれらを組み込むことができる。ネットワークスキャンが完了し、ユーザネットワークの動作環境を特徴付けるデータを評価モジュールデータベースに格納してしまうと、本発明のシステムは、当該データとユーザが入力する情報に基づいて予備解析を実行することができる。
本発明のシステムがその評価を完了すると、又は場合によっては評価の完了途中に、本発明のシステムはレポートジェネレータを用いて、本発明のシステムによる調査の結果を識別するレポートを生成することができる。この生成レポートは、例えば、使用した各ツールからの直接出力を含むことができるか、又は好ましくは、生成レポートは均一で理解し易いように出力を供給できる。
【００１０】
例えば、プログラムは、本発明のシステムが識別した潜在的脆弱性の各々を分類し、簡易な形で列挙することができ、更に「低リスク」、「中リスク」、「高リスク」、「情報関連リスク」、又は「管理上のリスク」のような直感的な記述子を識別された各脆弱性に関連付けることができる。更に、これらのリスクレベルの大きさを定義することができる。例えば、「高リスク」は、ユーザシステムを直ぐに危うくするので、ユーザが直ぐに対処しなければならない脆弱性を指す。「中リスク」は、情報又はシステムを危うくする可能性があるが、応急手当が保証されない脆弱性を指す。「情報関連リスク」は、情報を危うくする可能性のある脆弱性に関連する「中リスク」の特定カテゴリーとすることができる。「低リスク」（管理上のリスクと同じ意味とすることができる）は、攻撃者がユーザシステムを危うくしようと企て易くするような情報を暴露する可能性を持つシステムコンフィグレーションや、又は偵察対象となる情報を露呈してしまうようなシステムコンフィグレーション等の問題又は警告を指す。
レポートはまた、例えば識別された脆弱性を解決する方法についての提案も含むことができる。レポートがＨＴＭＬページとして提供される場合、ページは、ユーザ又はネットワークセキュリティテスト手順のいずれかによって識別されるオペレーティングシステム及び／又は他のソフトウェアのセキュリティパッチへのリンクを含むことができる。更に、レポートは、特にユーザがネットワークセキュリティの定期評価を選択した場合にｅ−ｍａｉｌ警告として提供することができる。
【００１１】
本発明の目的は、規制ポリシー又はセキュリティ規準、或いは公開方式のような動作フレームワークに対する準拠性を判断する方法を提供することであり、本方法は、例えば、所与のトランザクションに関する規制規準を取得し、規制規準に基づいてユーザ回答を引き出すための質問を作成し、質問に対する回答に基づいてスキャンパラメータを生成し、スキャンパラメータを使用して電子システムをスキャンし、規制規準に対する準拠性に関する評価を提供することを含む。
本発明の別の目的は、動作フレームワークに対する準拠性を判断する機能をユーザに提供するコンピュータシステムを含み、本コンピュータシステムは、例えば、規制規準又はセキュリティ規準、質問をユーザに提供する手段、決定樹アーキテクチャを生成する手段、システム脆弱性について別のコンピュータシステムをスキャンする手段、少なくとも一つのスキャニングツール、スキャンする手段が生成するデータを記録するデータベース、及びデータベースに格納されるデータを表示するインターフェースを含む。
【実施例】
【００１２】
本明細書において使用する用語は、特定の実施形態のみを記載するために用いられ、請求の範囲によってのみ規定される本発明の範囲を制限するものではない。
本明細書及び添付の請求項において使用する名詞は、文章において明確に断らない限り、単数形及び複数形の両方を含むことを理解されたい。従って、例えば「ツール」とは、一つ以上のツールを指し、且つ本技術分野の当業者に公知のツールの等価物を含む。
【００１３】
特に断らない限り、本明細書において用いる全ての技術用語及び科学用語は、本発明が属する技術分野の当業者が共通に理解するものと同じ意味を有する。本明細書に記載するものと同様の、又は等価なあらゆる方法、装置、及び材料を、本発明の実施又は試験に使用することができるが、以下に、好適な方法、装置、及び材料について記載する。
本明細書において言及する全ての刊行物、特許出願、及び特許は、本明細書において参照することにより、例えば本発明に関連して使用可能な、刊行物に記載のシステム及び方法を説明し、かつ開示する目的で、本発明の開示に包含する。本テキスト全体を通じて議論する刊行物は、本発明の出願日前に開示されたもののみを提示している。本発明のいかなる開示内容も、本願発明者等が先行する発明によってそのような開示内容の日付を早める権限を有さないと認める意に解釈されるべきではない。
【００１４】
次に、添付の図に示される本発明の実施形態について詳細に記載する。同様の部品を指すために、可能な限り、同じ参照番号をこれらの図及び後述の説明を通じて使用する。
本明細書において使用する場合、インターネットとは、少なくとも、転送制御プロトコル（ＴＣＰ）スイートのプロトコル又はインターネットプロトコル（ＩＰ）スイートのプロトコルを使用して互いに通信するネットワーク及びゲートウェイから成る集合体を指す。ワールドワイドウェブ（ＷＷＷ）とは、少なくとも、ハイパーテキストトランスポートプロトコル（ＨＴＴＰ）サーバに格納される、相互にリンクされる一連のハイパーテキストドキュメントを指す。本明細書において使用する場合、ＷＷＷは、更に、少なくとも、セキュアポートにより暗号化及び転送を可能にするＨＴＴＰサーバ（ＨＴＴＰＳ）のようなセキュアサーバで利用されるドキュメントを指す。本明細書において場合によってはウェブページと記載されるＷＷＷドキュメントは、例えば、ハイパーテキストマークアップ言語（ＨＴＭＬ）で記述することができる。本明細書において使用する場合、「ウェブサイト」という用語は、少なくとも、ＷＷＷ上のＨＴＴＰ又はＨＴＴＰＳサーバによって提供することができる一つ以上のＨＴＭＬドキュメント及び関連ファイル、スクリプト、及びデータベースを指す。「ウェブブラウザ」という用語は、少なくとも、ユーザにＨＴＭＬドキュメントを閲覧させ、これらのドキュメントに関連するファイル及びソフトウェアにアクセスさせるソフトウェア及びハードウェアを指す。
【００１５】
本発明によるシステム及び方法は、多種多様なオペレーティングシステムのいずれかを動作させるパーソナルコンピュータ（ＰＣ）、ラップトップコンピュータ、サーバ、ワークステーション、携帯情報端末（ＰＤＡ）、移動体通信機器及び／又は無線通信機器、相互接続された汎用コンピュータから成るグループなどのような、いずれのタイプの汎用コンピュータシステムを使用しても実行することができる。本発明の少なくとも一つの実施形態に使用することができる汎用コンピュータシステムの実施例を図１に示す。
図１を簡単に参照すると、本明細書において開示する評価システムが動作する汎用コンピュータシステム１０は、中央処理機構１２、プログラム及び／又はデータを保存するメインメモリユニット１４、入力／出力コントローラ１６、ネットワークインターフェース１８、ディスプレイデバイス２０、一つ以上の入力デバイス２２、固定又はハードディスクドライブユニット２４、取り外し可能なメディアストレージドライブ（すなわち、フロッピーディスクドライブ又はコンパクトディスク（ＣＤ）ドライブ）２６、テープドライブユニット２８、及びこれらの部品を接続してこれらの部品の間の通信、並びに他のコンピュータシステムとの通信を可能にするデータバス３０を含む。このような通信は、直接接続、ワールドワイドウェブを介して、又はケーブル、電話ライン、マイクロウェーブ及び無線通信のような他の通信手段のいずれかにより行われる。
【００１６】
コンピュータシステム１０において使用する中央処理機構１２は、カリフォルニア州サンタクララのインテル社製のＰＥＮＴＩＵＭ（登録商標）のようなマイクロプロセッサであればどのようなタイプのマイクロプロセッサとすることもできる。ディスプレイデバイス２０は、プリンタ、又は液晶ディスプレイ（ＬＣＤ）、ブラウン管ディスプレイ（ＣＲＴ）、発光ダイオード（ＬＥＤ）、プラズマガス（ＰＧ）などのような、本発明のシステム及び方法に従って生成される出力の全て、又は一部を表示する機能を備えるディスプレイであればどのようなタイプのディスプレイとすることもできる。入力デバイス２２は、キーボード、数字キーパッド、タッチスクリーン、ポインティングデバイス、スイッチ、スタイラス、及びライトペンのような、本明細書において記載する入力を可能にするデバイスであればどのようなタイプのデバイスとすることもできる。ネットワークインターフェース１８は、コンピュータシステム１０とコンピュータ、又はプリンタのような他のデバイスとのネットワーク接続を可能にするカード、アダプター、又はコネクタのようなデバイスであればどのようなタイプのデバイスとすることもできる。本発明の一実施形態では、ネットワークインターフェース１８によって、コンピュータシステム１０は、インターネットのようなコンピュータネットワークとの接続を行なう、及び／又は本明細書に開示する本発明のシステム及び方法を実施することができる別のコンピュータシステムとの接続を行なうことができる。
この技術分野の当業者であれば、本発明を具体化するコンピュータシステム１０は、図１に示す全ての構成要素を含む必要はなく、これらの構成要素の各々の等価物は本発明の技術思想及び技術範囲に含まれることが分かるであろう。例えば、コンピュータシステム１０はテープドライブ２８を含む必要はなく、ＣＤドライブ又はデジタルビデオディスク（ＤＶＤ）ドライブのような他のタイプのドライブを含むことができる。ＣＤドライブに、例えば書き込みを行ない、ＣＤドライブから読み出しを行ない、データの一部分又は全てを本明細書に記載するデータベースに格納することができる。
【００１７】
本発明の少なくとも一つの実施形態では、一つ以上のコンピュータプログラムが評価システムの動作機能を定義する。これらのプログラムは、ハードディスクドライブ２４、メディアストレージドライブ２６、テープドライブユニット２８、又はネットワークインターフェース１８を使用するなど、多くの方法によってコンピュータシステム１０にロードすることができる。別の構成として、これらのプログラムは、メインメモリ１４の書き換え不能なメモリ部分（すなわち、リードオンリーメモリ（ＲＯＭ）チップ）に格納することができる。別の実施形態では、コンピュータシステム１０は、コンピュータプログラムからの命令を必要とすることなく本明細書に記載する全ての機能を実行する、特殊設計された専用のハードワイアード構成の電子回路を含むことができる。
本発明の少なくとも一つの実施形態では、評価システムは、クライアントがサーバにリクエストを送信し、サーバがクライアントからのリクエストに応答する構成のクライアントサーバシステムの一部である。当然ながら、「クライアント」は、ファイルをリクエストする、又は取得する人を広義に意味し、「サーバ」は、ファイルをダウンロードするエンティティを広義に意味する。基本的に、評価システムは、クライアントシステム又はサーバシステムとすることができる。一実施形態では、本発明はサーバ側で用いられ、ユーザコンピュータで動作する読み取りアプリケーションのようなクライアントからのリクエストを受信し、リクエストに応答する。
【００１８】
クライアントは、コンピュータシステム１０、又はコンピュータシステムの特定のコンポーネント（例えば、端末、パーソナルコンピュータ、メインフレームコンピュータ、ワークステーション、ワイヤレス携帯デバイス、電子ブック、携帯情報端末、周辺機器など）、或いはインターネットのようなあらゆるタイプのコンピュータネットワークに公知の方法又は後で開発される方法によって直接又は間接的に接続されるか、又は接続可能なコンピュータで動作するソフトウェアプログラムのような、どのようなエンティティとすることもできる。例えば、代表的なクライアントは、ｘ８６−，ＰｏｗｅｒＰＣ．ＲＴＭ．，ＰＥＮＴＩＵＭベース又はＲＩＳＣベースのパーソナルコンピュータであり、ＩＢＭ．ＲＴＭ，ＬＩＮＵＸ，ＯＳ／２．ＲＴＭ，又はＭＩＣＲＯＳＯＦＴ  ＷＩＮＤＯＷＳ（ワシントン州レッドモンドのマイクロソフト社製）のようなオペレーティングシステムを含み、ジャババーチャルマシーン（ＪＶＭ）環境を備え、且つアプリケーションプラグイン又はヘルパーアプリケーションをサポートするＭＩＣＲＯＳＯＦＴ  ＩＮＴＥＲＮＥＴ  ＥＸＰＬＯＲＥＲ，ＮＥＴＳＣＡＰＥ  ＮＡＶＩＧＡＴＯＲ（カリフォルニア州マウンテンビューのネットスケープ社製）のようなウェブブラウザを含む。クライアントはまた、ノートブックコンピュータ、携帯型コンピューティングデバイス（すなわちＰＤＡ）、インターネットアプライアンス、電話機、電子読み取りデバイス、又はコンピュータネットワークに接続することができる他の任意のデバイスとすることができる。
サーバは、コンピュータシステム１０、コンピュータプラットフォーム、コンピュータ又はプラットフォームの周辺機器、又はクライアントからのリクエストに応答することができるプログラムのようなそれらのコンポーネントのような、どのようなエンティティとすることもできる。サーバはまた、管理及び運営のためのグラフィカルユーザインターフェース（ＧＵＩ）をサポートするディスプレイ、及びアプリケーションプログラミングインターフェース（ＡＰＩ）を含むことができ、このＡＰＩによって、アプリケーション開発者は、コモンゲートウェイインターフェース（ＣＧＩ）プログラム、プラグイン、サーブレット、アクティブサーバページ（ＡＳＰ）、サーバサイドインクルード（ＳＳＩ）機能などを含むソフトウェアプログラムを使用してアプリケーションのコア機能を拡張する、及び／又はカスタマイズするような拡張が可能である。
【００１９】
本発明の実施形態は、ソフトウェアアプリケーション、コンピュータ読み取り可能プログラム媒体、データ構造、搬送波信号、ユーザインターフェース、及びアプリケーションプログラムインターフェースのようなコンピュータ技術を使用して実行することができる。例えば、本発明を一実施形態の中で具体化するソフトウェアは、コンピュータシステム１０上で動作する少なくとも一つのアプリケーションに格納される。少なくとも一つの実施形態では、本発明は、コンピュータシステム１０において使用することができるコンピュータ読み取り可能プログラム媒体の中で具体化される。少なくとも一つの実施形態では、本発明は、コンピュータ又はコンピュータ読み取り可能プログラム媒体に保存されるデータ構造の中で具体化される。また、一実施形態では、本発明は、コンピュータシステム１０と、別のコンピュータシステム、サーバ、無線ネットワークなどのような別のエンティティとの間で伝送される一つ以上の搬送波信号のような伝送媒体の中に具体化される。本発明の一実施形態はまた、アプリケーションプログラミングインターフェース（ＡＰＩ）又はユーザインターフェースの中で具体化することができる。また、本発明は、一実施形態において、データ構造の中で具体化される。
一実施形態では、本発明は、一定の規準に対するユーザの準拠性のレベルを評価し、当該評価を、ユーザの特定の準拠性レベルを詳述したレポートに変換するシステム及び方法を含む。レポートは、例えば規制要件に着目した、又はコンピュータシステムのセキュリティの要求レベルに着目した一定の質問にユーザが回答するのに応答して評価システムによって生成される。レポートはまた、ユーザのコンピュータシステムに対するスキャン結果が判明した後に評価システムが生成することができる。或いは、評価システムは、両方の結果を取り入れることによってレポートを生成することができる。プロセスは３つの異なるステップ、すなわち初期入力フェーズ、スキャンフェーズ、及び出力フェーズにおいて動作することができる。
【００２０】
評価判定の初期入力フェーズでは、動作フレームワークを構築する。図２に示すように、コンプライアンス評価システム２００の初期入力フェーズは、評価対象のユーザに固有の動作フレームワーク２０２の内部から少なくとも一つのコンプライアンス規準を選択する操作として特徴付けることができる。更に詳細には、選択する動作フレームワーク２０２は、コンプライアンス評価システム２００の評価の基礎とする規準のタイプを決定する。例えば、動作フレームワーク２０２は、特定のタイプの規制規準２０４に従って構成することができる。例えば、ＨＩＰＡＡ２０６は、連邦規制条項のタイトル４５のセクション１６０，１６２，及び１６４に指定されるタイプの規制規準である。同様に、企業が消費者の個人情報をどのように扱うべきかについても、合衆国法典タイトル１５のサブチャプター１のセクション６８０１〜６８０９に記載のＧＬＢ法２０８の制限事項によって細かく規制されている。他のタイプの規制規準はまた、ＶＩＳＡ（登録商標）Ｃａｒｄｈｏｌｄｅｒ  Ｉｎｆｏｒｍａｔｉｏｎ  Ｓｅｃｕｒｉｔｙ  Ｐｒｏｇｒａｍなどのようなクレジットカード規約２０９を含むことができる。従って、このクレジットカード規約に関連する規制を有するほぼ全てのタイプの基幹インフラストラクチャ２１２は、規制規準動作フレームワーク２０４によって量的かつ質的に識別し、実行することができる。
別の構成として、動作フレームワーク２０２は、離れた位置から金融取引を実行する全てのタイプの機関のセキュリティ規準２１４に従って構成することができる。例えば、公認銀行（発行銀行）は、顧客にＶＩＳＡ（登録商標）クレジットカード又はＭａｓｔｅｒＣａｒｄ（登録商標）クレジットカードを発行し、これらのカードを受け容れるビジネス事業体にカード読取装置を支給することができる。ビジネス事業体は、発行銀行の認定を得るために、顧客のインターネットクレジットカードトランザクションを処理する前に、ＶＩＳＡ（登録商標）セキュリティ要件及びＭａｓｔｅｒＣａｒｄ（登録商標）セキュリティ要件に従うことに合意し、顧客の財務情報及びカード保有者データを正しく保全する必要があり、更に、当該ビジネス事業体はＶＩＳＡのセキュリティ規準２１６に準拠する必要がある。図３に示すように、インターネットのウェブアドレスｈｔｔｐ：／／ｗｗｗ．ｕｓａ．ｖｉｓａ．ｃｏｍ／ｍｅｄｉａ／ｂｕｓｉｎｅｓｓ／ｃｉｓｐ／Ｓｅｃｕｒｉｔｙ＿Ａｕｄｉｔ＿Ｐｒｏｃｅｄｕｒｅｓ＿ａｎｄ＿Ｒｅｐｏｒｔｉｎｇ．ｐｄｆに現在掲載されているＶＩＳＡセキュリティ規準は、とりわけ、ビジネス事業体に対し、セキュリティの問題に対処するためのアンケートに回答することにより、一定の最良のセキュリティ実務を実行していることを立証することを要求する。更に、ＶＩＳＡ（登録商標）は、インターネットを介してＶＩＳＡ（登録商標）クレジットカードを受け入れる、ＶＩＳＡの加入ビジネス事業体がカードのセキュリティ要件に準拠することを要求する。同様に、例えばインターネットのウェブアドレスｈｔｔｐ：／／ｓｄｐ．ｍａｓｔｅｒｃａｒｄｉｎｔｌ．ｃｏｍ／ｂｅｓｔｐｒａｃｔｉｃｅｓ．ｐｄｆに現在掲載されているＭａｓｔｅｒＣａｒｄ（登録商標）セキュリティ規準２１８は、とりわけ、ＭａｓｔｅｒＣａｒｄに加入しているビジネス事業体が完了させることになる運営調査及びポリシー調査、並びに外部による脆弱性スキャン等を要求する。金融取引を処理する、又はそのエージェント又は加入ビジネス事業体による金融取引処理を可能にする他の全てのタイプの金融事業体は、同様のセキュリティ規準２１４を有する。これらには、Ａｍｅｒｉｃａｎ  Ｅｘｐｒｅｓｓ（登録商標）２２０（ウェブアドレスｈｔｔｐ：／／ｈｏｍｅ５．ａｍｅｒｉｃａｎｅｘｐｒｅｓｓ．ｃｏｍ／ｍｅｒｃｈａｎｔ／ｒｅｓｏｕｒｃｅｓ／ｆｒａｕｄｐｒｅｖｅｎｔｉｏｎ／ｄａｔａｓｅｃｕｒｉｔｙ＿ｓｔａｎｄａｒｄｓ１．ａｓｐを参照されたい）、デビットカードを発行する事業体、銀行小切手を受け入れる事業体などが含まれる。
【００２１】
動作フレームワーク２０２は、特定のセキュリティポリシー２２２の下に操業しているほぼ全てのタイプの事業体がコンプライアンス評価システム２００を用いることができるように構成可能である。例えば、ソフトウェア開発企業が、企業の従業員に、当該企業のサーバから従業員のｅｍａｉｌに離れた場所からアクセスすることができるようにする前に、当該ソフトウェア開発企業は通常、このような離れた位置からのアクセスがどのようにして生じるのか、どのような保護手段が離れた場所からの不法侵入を防止するために機能するのか、などについてセキュリティポリシーを配備する。同様に、当該企業は、離れた場所からのアクセスによる脆弱性に対処する最良の実務を遂行することを要求する、ＩＳＯ−１７７９９のような規準に従って、このセキュリティポリシーを実行することができる。一実施例として、ポリシーは、企業ネットワークへの離れた場所からの接続を許可する前に、２因子認証（個人パスワード及びセキュリティＩＤトークンパスワード）を必要とすることができる。セキュリティポリシーは、ＢＳ−７７９９（情報セキュリティのための最良の実務に関する英国規準）のような規準に従って実行することもできる。
これらに限定されないが、規制規準２０２、セキュリティ規準２１４、セキュリティポリシー２２２、及びこれらの組合せを含む種々の動作フレームワーク２０２の全ては、所与の動作フレームワークごとに特定の業界又は会社の内部でビジネスを遂行するためには何をユーザのコンピュータ動作環境に格納する必要があるかを詳述するチェックリストの基本項目である。所与の動作フレームワーク２０２の各チェックリスト項目は質問として構成することができ、ユーザに提示される。詳細には、当該質問はユーザに対して、当該特定項目がユーザの計算機環境に含まれているかどうかを尋ねる。
【００２２】
各動作フレームワーク２０２に関するチェックリストは一連の質問に変換されるので、これらの質問をコンプライアンス質問データベース２２４に格納することができる。例えば、ＨＩＰＡＡ規制規準２０６に関連するチェックリストは、一連のＨＩＰＡＡコンプライアンス質問に変換し、コンプライアンス質問データベース２２４に格納することができる。同様に、ＶＩＳＡセキュリティ規準２１６に関連するチェックリストは、一連のＶＩＳＡコンプライアンス質問に変換し、これもコンプライアンス質問データベース２２４に格納することができる。規制規準２０４、セキュリティ規準２１４、及びセキュリティポリシー２２２のような動作フレームワークの各々はそれぞれのチェックリストを有するので、全てのこれらチェックリストは質問の形式でコンプライアンス質問データベース２２４に格納することができる。コンプライアンス質問データベース２２４を設けることにより、コンピュータシステムは新規の質問群を生成する必要なく、他のユーザのコンプライアンスを評価することができる。
従って、一実施形態では、ユーザがコンプライアンス評価プロセスを開始すると、ユーザに対し、ユーザの動作フレームワーク２０２を最良の形で例示する選択肢リストが提示される。例えば、ユーザが、ＶＩＳＡ（登録商標）をクレジットカードとして使用するクレジットカード取引を行なう機能を提供しようと計画している百貨店である場合、ユーザは動作フレームワーク２１６のタイプとして「ＶＩＳＡ」を選択する。別の構成として、ユーザが、患者の個人医療記録を保管する病院である場合、ユーザはＨＩＰＡＡ動作フレームワーク２０６を選択する。動作フレームワーク２０２のタイプが選択されると、コンプライアンス評価システム２００は、当該フレームワーク要件、この場合は、ＶＩＳＡ（登録商標）又はＨＩＰＡＡにそれぞれ関する質問をコンプライアンス質問データベース２２４から取り出し、これらの質問をオンラインアンケート２２６に渡す。次にオンラインアンケート２２６は、ウェブユーザインターフェース２２８を通してユーザに提示される。
【００２３】
別の構成として、コンプライアンス質問は、口頭により、書き込み形式で、スピーチシンセサイザーを介して、又はＰＤＡ、携帯電話、又はＢｌａｃｋＢｅｒｒｙ（登録商標）デバイス等の無線デバイスに無線送信を行なうような、ユーザに対して問い合わせを行なう他のあらゆる手段によって提示することができる。同様に、別の構成として、ウェブユーザインターフェースへの入力は、オンラインポータル、無線デバイス（ＰＤＡ、ページャ、ＢｌａｃｋＢｅｒｒｙ（登録商標）など）、スピーチシンセサイザー、又はユーザ回答をコンプライアンスシステム２００に送信する他のデバイスにより行なうことができる。
好適な実施形態では、ユーザは、ユーザによるコンプライアンス質問の理解及びそれに対する回答を補助する示唆へのリンクを含むアンケートを通じて案内される。
【００２４】
ウェブユーザインターフェース２２８を通して、オンラインアンケート２２６は、ユーザに、どのようにして組織が組織のシステム上の情報を取り扱い、保護しているのかについての質問に回答するように催促することができる。重要なことに、これらの質問に手を加えて、個人カード保有者データに関するＶＩＳＡ要件のようなユーザ固有の動作フレームワーク２０２を考慮に入れることができる。ユーザがＨＩＰＡＡ規制をユーザの動作フレームワーク２０２として選択した場合、オンラインアンケート２２６は、ユーザに対し、ＨＩＰＡＡ要件に固有の関連事項に焦点を当てた質問に回答するように催促する。図４Ａは、ユーザがオンラインアンケート２２６に回答するように催促されたときの閲覧内容を示している。図４Ｂは、ＨＩＰＡＡ動作フレームワーク２０６内部の例示的アンケート２２６を示している。この技術分野の当業者であれば、前述の動作フレームワーク２０２の内の他の動作フレームワークに基づいてアンケート２２６を同様に生成する方法が容易に理解できるであろう。図４Ｂに示すように、質問への各回答は、ユーザに対し、準拠性を確実に維持するか、或いは準拠していない場合には準拠性を確実に実現するためのアドバイスを生成することができる。
コンプライアンス質問データベース２２６の中の他の質問は、企業ガイドライン、セキュリティポリシー、又は一定のレベルのコンプライアンスを要求する他の規制を含むことができる。ユーザに提示されると、オンラインアンケート２２６の質問は、複数の特定のポリシーエリアにマッピング又はグループ化される。例えば、図２に示すように、これらの質問は次のポリシーエリアにグループ化することができる。すなわち、組織が正しい構成のファイアウォールを有するかどうかに関するネットワークセキュリティ項目２２８、組織がどのようにして個人情報を保護するのかを扱うプライバシー項目２３０、重要なシステムルームへのドアをロックし、且つアクセスを制限するといった問題に対処するユーザハードウェアに関する物理的項目２３２、従業員に対してバックグランドチェックを実施するかどうかのような人事管理項目、電源が故障した後も動作を継続するための計画等の緊急対応項目２３６である。既存のポリシーエリアの内の他のポリシーエリア又はサブセットは、例えばオフラインデータに関するセキュリティ、オンラインデータに関するセキュリティ、サーバセキュリティ、認証及び検証、人事、及び災害復旧を含む。更に詳細には、ユーザにオンラインアンケート２２６を通して提示される質問は、これらに限定されないが、ファイアウォール、セキュリティパッチ、格納データの暗号化、オープンネットワークを通して送信されるデータの暗号化、アンチウィルスプログラムの使用、データアクセス制限、及び固有のユーザ識別情報の割り当てに関する質問、又は他の等価な、或いは関連する質問を含むことができる。
【００２５】
ユーザがオンラインアンケート２２６の各質問に回答すると、回答はその重要度に従って重み付けされる。例えば、一つのシナリオでの肯定的回答は、否定的回答よりも価値が高いと見なすことができ、高い重みが付与される。逆の重み付けを行なうことも可能である。回答は、回答の価値に従って重み付けされた後、環境データベース２３８に格納される。これらの重み付け回答を単独で、又は本明細書において議論したスキャンにより生成される他のデータと一緒に使用して、ユーザのコンピュータシステムのコンプライアンス評価をユーザに提示することができる。
本発明の原理によれば、アンケート２２６に対する回答の重み付けは、スコアリングアルゴリズムを使用して行なうことができる。スコアリングアルゴリズムは、リスク「重み」又はリスク「コスト」を、アンケートの質問に対する各回答に割り当てるか、又はランク付けすることができる。例えば、「高（ｈｉｇｈ）リスク」脆弱性（すなわち、情報及び／又はシステムなどを直ぐに危うくすることになる脆弱性など）に関連する質問に対する回答に重み付けするか、又は、例えば１０ポイントに「値する」リスクコストを持たせることができ、「中（ｍｅｄｉｕｍ）リスク」脆弱性（例えば、情報又はシステムなどを危うくしてしまう可能性のある脆弱性など）に関連する質問に対する回答に重み付けするか、又は、例えば２ポイントに「値する」リスクコストを持たせることができ、「低（ｌｏｗ）リスク」脆弱性（例えば、コンフィグレーションによって、攻撃者の調査目的の偵察対象情報が暴露されてしまう、良好な実務からの乖離を表している、等の脆弱性など）に関連する質問に対する回答に重み付けするか、又は、例えば１ポイントに「値する」リスクコストを持たせることができる。
【００２６】
しかしながら、ここで、高リスク、中リスク及び低リスクの脆弱性に関連する質問に対する回答に対するそれぞれの重みは、動作フレームワークの要件、ユーザのコンピュータネットワークに関する情報などに応じて調整することができることを理解されたい。更に、「高」リスク、「中」リスク、又は「低」リスクの構成要素は、動作フレームワークの要件、ユーザのコンピュータネットワークに関する情報などに応じて変化し得ることを理解されたい。更に、「高」、「中」、及び「低」以外の追加的又は異なるカテゴリーをこのようなスコアリングシステムにおいて使用することができることを理解されたい。
上に述べたように、アンケート２２６に対する重み付け回答を、単独で又は本明細書において議論したスキャンにより生成される他のデータと一緒に使用して、ユーザのコンピュータシステムのコンプライアンス評価をユーザに提示することができる。本発明の一態様では、ユーザのコンピュータシステムが選択された動作フレームワーク２０２に準拠していないことを、非常に多く所定タイプの脆弱性に基づいて判断することができ、この場合、所定の脆弱性はこれらの脆弱性に関連する異なるリスクコストを有する。従って、脆弱性の存在を示す種々の回答に関連するポイントを合算し、許容できない大きさのリスクに対応するしきい値ポイントと比較することができる。例えば、しきい値ポイントは１０とすることができる。従って、例えばアンケートに対する回答が、「高リスク」脆弱性に関連する１個の質問のみで脆弱性の存在を示した場合、スコアリングアルゴリズムは、コンピュータシステムが選択された動作フレームワーク２０２に準拠していないと判断する。例えば、アンケートに対する回答が、「中リスク」脆弱性に関連する５個の質問で脆弱性の存在を示した場合、スコアリングアルゴリズムは、コンピュータシステムが選択された動作フレームワーク２０２に準拠していないと判断する。例えば、アンケートに対する回答が、「低リスク」脆弱性に関連する１０個の質問で脆弱性の存在を示した場合、スコアリングアルゴリズムは、コンピュータシステムが選択された動作フレームワーク２０２に準拠していないと判断する。
【００２７】
図５は、本発明の原理による例示的なアンケート２２６を示し、自身のコンピュータネットワークのセキュリティ評価を実行したいと考えているユーザが回答を求められる質問の個々のリスクコストを示している。図５を参照すると、参照番号６２で示されるフィールドは、ユーザのコンピュータシステムに関連する特定の質問を含むことができ、参照番号６４で示されるフィールドは、特定の質問に関連するリスクの重さ（例えば、高、中、低）を示すことができ、参照番号６６で示されるフィールドは、特定リスクレベルの重さに関連するリスク「重み」又は「コスト」を示すことができる。本発明の一態様では、参照番号６２で示されるフィールドに含まれる質問は、例えばクレジットカード協会の全ての要件のほぼ全てを網羅することができる。従って、図５に示すアンケート２２６によって、ほぼ全ての業界に関するコンプライアンス評価が実行し易くなる。本発明の一態様では、図５に示すアンケートは、前に述べたＶＩＳＡ（登録商標）セキュリティ規準及びＭａｓｔｅｒＣａｒｄ（登録商標）セキュリティ規準が提起するほぼ全ての問題に関連すする質問を含むことができる。本発明の別の態様では、図５に示すように、少なくとも一つのレベル（例えば高、中、又は低）のリスクをアンケート２２６内のいずれか特定の質問にも割り当てることができ、この場合、リスクコストは、動作ネットワークの要件、ユーザのコンピュータネットワークに関する情報などに基づいて割り当てられる複数のリスクレベルの内の一つに選択的に対応させることができる。
本発明の一態様では、本明細書において記載する脆弱性スキャナ２４０は、前述の同時係属出願に開示されているように、図２に示すネットワークパラメータ入力モジュール２２０及び第１スキャニングモジュール２３０、図３に示す評価モジュール３０５、及び／又は図４に示すスキャニング装置４００にほぼ対応させることができる。従って、脆弱性スキャニングエンジン２４２は、脆弱性スキャニング動作を、ウィルス及び脆弱性データベース２４３からのデータを使用して実行することができる。コンプライアンス評価の第２フェーズ（すなわち、前述のスキャンフェーズ）の間、ユーザがアンケートを通して入力する特定のデータのリアルタイム検証を行ってユーザに関する全てのコンプライアンス及び／又は脆弱性判定を行なうことができるメカニズムを使用してユーザネットワークをスキャンすることができる。
【００２８】
脆弱性スキャナ２４２が行なうユーザネットワークの各スキャンにより、同時係属中の出願に記載されているように、環境データが生成される。この環境データは、これも同時係属中の出願に記載されているように、環境データベース２３８に格納される。本発明の一態様では、環境データベース２３８は、ユーザへの質問及び／又はオンラインアンケート２２６の結果が格納されるデータベースと同じデータベースとすることができる。別の構成として、環境データ、及びユーザへの質問及び／又はオンラインアンケート２２６の結果は、別のデータベースに格納することができる。
本明細書において参照することにより本発明の開示に含まれる同時係属中の出願に更に詳細が記載されているように、ユーザネットワークのスキャンは、オンラインアンケート２２６に対する回答によって少なくとも一部が生成されるスキャンパラメータとは無関係に行なうことができる。本発明の一態様では、スキャンパラメータは、複数の自動論理決定樹ステップにより生成することができ、これらのステップでは、決定樹は、例えば、特定のスキャンの間に実行するアクティビティの論理フローに加え、スキャン中の特定ツールの使用について記述するＸＭＬドキュメントを含むことができる。本発明の一態様では、決定樹は、ユーザが提供するパラメータだけでなく、これらのパラメータが返されるときのツール群による結果の両方に基づいてスキャンアクティビティのフローを記述することができる。本発明の別の態様では、決定樹には、選択された動作フレームワーク２０２ごとにインデックスを付けることができる。
【００２９】
本発明の別の態様では、ユーザネットワークのスキャンは、データ結果を生成する機能を備える少なくとも一つのスキャンツール（例えば、ドメイン名解決器，ポートスキャナ，ｎｓｌｏｏｋｕｐ，ｄｉｇ，ｗｈｏｉｓ，ｐｉｎｇ，ｔｒａｃｅｒｏｕｔｅ，ｒｐｃｉｎｆｏ，ｎｂｓｔａｔ，ｎｅｔ  ｕｓｅ，ｓｍｂｃｌｉｅｎｔ，ｎｍｂｌｏｏｋｕｐ，ｎｍａｐ，ｎｅｓｓｕｓ，ｗｈｉｓｋｅｒ，ｎｉｋｔｏ，ｏｎｅｓｉｘｔｙｏｎｅ，Ｐｐｔｐ＿ｐｒｏｂｅ，Ｇｂｇ，Ｗｇｅｔ，Ｌａｎｔｅｒｎ，ＱＴＩＰ，ｄｏｒｉａｎなど）を使用して実行することができ、この場合、データ結果を共通言語に「まとめ（ｗｒａｐ）」て使用することにより更なる質問をオンラインアンケート２２６に生成することができる。本発明の一態様では、一つのスキャン内の個々のタスクを個別に管理し、及び／又はスケジューリングすることができる。本発明の別の態様では、タスク群を定義する言語は、タスクを実行するツールに対応する言語にまとめることができる。本発明の一態様では、スキャンは、例えばタスクハンドラー、スケジュールマスターなどを使用して実行することができる。
【００３０】
脆弱性スキャニングエンジンがそのスキャンの全てを完了して、全ての適用可能な環境データを生成すると、本発明におけるコンプライアンス評価システムの第３フェーズ、すなわち出力フェーズに進むことができる。出力フェーズでは、ユーザが用いる動作フレームワークにユーザのスキャン対象ネットワークがどのように関連するか、並びにユーザネットワークの脆弱性の状況にどのように関わるのかについての解析を生成する。別の構成として、第３フェーズは、スキャンの全てが完了する前に、又は環境データベースの全てが生成されてしまう前に開始するか、或いは場合によってはユーザがオンラインアンケートを済ませてしまう前に開始することができる。例えば、第３フェーズは、適用可能なデータが生成されるたびに開始することができる。従って、スキャンが進行し、適用可能な環境データが生成されると、出力フェーズを開始することができる。
出力フェーズでは、環境データベース２３８のデータに基づいてシステム評価又はシステム見積もりを生成する。例えば、オンラインアンケート２２６の全ての結果に重み付けを行ない、全ての結果を環境データベース２３８に格納してしまい、更に所与のシステムのスキャンを完了し、タスク結果４３６を環境データベース２３８に格納してしまうと、環境データベース２３８は全ての重み付け回答と全ての環境データを含む。オンラインアンケート２２６の重み付け結果及びタスク結果４３６を保持するデータベーステーブルを図６に示す。
【００３１】
図６を参照すると、本発明の一実施形態において、クライアント環境データベース（ＣＥＤ）とも呼ぶことができる図２の環境データベース２３８は、ＳＱＬを含め、先行技術において公知のあらゆるデータベース管理ソフトウェアで書き込みを行なうことができる。本発明の一実施形態では、ＣＥＤは、同時係属中の出願に記載されるように、脆弱性スキャニングエンジン２４２に関するスキャンを生成し易くする複数の異なるセクションを含むことができる。しかしながら、図２の環境データベース２３８又は図６のＣＥＤのデータベーステーブルを使用して、環境データ、並びにオンラインアンケート２２６への回答を保持することもできる。
本発明の一態様では、環境データベースは、スキャンパラメータ、スキャン頻度、スキャン期間、スキャン結果、スキャン開始時間、スキャン停止時間、次のスキャン日、ネットワークのステータス、検出対象ＭＡＣアドレス、スキャンアクティビティログ、無防備システム、無防備サービス、スキャン対象ドメイン名、スキャン対象ＩＰ、検出対象ＩＰ、スキャンに使用するアプリケーションなどの内の少なくとも一つに関する情報を含むことができる。
【００３２】
図２の環境データベース２３８又は図６のＣＥＤを全ての適用可能な重み付け結果及び環境データとともに収集すると、脆弱性レポートジェネレータ２４６は、コンプライアンス評価のフェーズ１においてユーザが最初に選択する動作フレームワーク２０２とこれらの結果を比較し、スキャン対象システムが、ＨＩＰＡＡ規制規準２０４又はＶＩＳＡ（登録商標）セキュリティ規準２１６のような当該動作フレームワーク２０２の特定の要件に準拠しているかどうかについての通知を行なう。この第３フェーズでは、脆弱性レポートジェネレータ２４６は、ユーザネットワークのどの部分がセキュリティ侵害に脆く、このような侵害がどのようにして行われるのかについて通知することができる。このような脆弱性に関する特定の詳細を提供することにより、脆弱性評価システム２００は、スキャン対象のユーザに十分なセキュリティ保護を行なわせて当該脆弱性を取り除かせることができる。
例えば、プログラムによって、識別対象の潜在脆弱性の各々を分類し、簡単に列挙することができ、更に「低リスク」、「中リスク」、「高リスク」、「情報関連リスク」、又は「管理上のリスク」のような直感的な記述子を各潜在脆弱性に関連付けることができる。これらの結果は、「合格」グレード又は「不合格」グレードを通知することができるか、又は表形式で表わすことができる。図７はまた、脆弱性スキャン結果をグラフ形式で示すことができる。図７に示すように、グラフで表わされる結果においては、ユーザネットワークの脆弱度の最も高い２０のシステムが、最高レベルの脆弱度から最低レベルの脆弱度に渡ってランク付けされる。図７のグラフ表示では、参照番号８２で示すフィールドはシステムのＩＰアドレスを含み、参照番号８４で示すフィールドはシステム内の脆弱性の合計数を含み、参照番号８６で示すフィールドはシステムのドメインを含む。脆弱性スキャンによって、ネットワークで利用可能な全てのアクセス可能ホスト及びネットワークサービスに関する脆弱性のレベルが明らかになるか、又は脆弱性スキャンは選択されるホスト及びネットワークサービスだけをスキャンすることができる。好適な実施形態では、インターネット２４８を通して脆弱性レポートジェネレータ２４６が生成する結果をユーザに提示することができる。しかしながら、これらの同じ結果は、記述形式で、口頭で、スピーチシンセサイザーを通して、無線でといった手段を含め、本明細書に記載する他の手段を利用して提示することができる。
【００３３】
同様に、脆弱性レポートジェネレータ２４６は、図４Ｂに示すような識別された脆弱性をどのようにして無くすかについての提案又はアドバイスを含むことができる。レポートがＨＴＭＬページとして提供される場合、当該ＨＴＭＬページは、ユーザシステムのオペレーティングシステム及び／又は他のソフトウェア、及び識別された脆弱性に固有のセキュリティパッチへのリンク８０８を含むことができる。更に、脆弱性スキャンの結果は、特にユーザがユーザネットワークのセキュリティ又は現行のコンプライアンスの定期的評価を選択した場合に、ユーザへのｅ−ｍａｉｌ警告２５０として提供することができる。本発明の別の態様では、脆弱性レポートジェネレータ２４６は、業界平均又は選択した他のコンピュータネットワークと比較して、ユーザのコンピュータネットワークがどの程度選択した動作フレームワークに準拠しているかを含むレポートを生成することができる。
評価システム２００は、異なるネットワーク及びオペレーティングプラットフォームに対して規模を調整することができるだけでなく、異なる範囲のセキュリティに対しても規模を調整することができることが好ましい。アンケートの規模の調整可能性は、無制限の数の質問をデータベースに加えて増える一方の規準又は要件への対応を可能にする、アンケートのデータベース形式及びアーキテクチャに関連する。同様に、レポートモジュールの容量の規模を調整することができ、これにより、ツールの種々のデータベースコンポーネントから関連情報抽出し、これらの情報を最終レポートに盛り込むことができる。
評価システム２００はまた、機密情報のスキャンを防止する機能を備えるセキュリティデバイスを有することができる。一実施形態では、オンラインアンケートを利用して、スキャンしてはならない全てのサイトをユーザに細かく指定させる。例えば、特定のユーザが、当該環境内のいずれのトランザクション構成要素の一部も構成しないスタンドアローン型のサーバを有する場合、そのサーバのＩＰアドレスを呼び出し、ネットワークスキャンから除外することができる。
【００３４】
本発明の好適な実施形態を特に参照する形で本発明について詳述した。しかしながら、この技術分野の当業者であれば、本開示について考察を加えることにより、変更及び変形を本発明の思想及び範囲から逸脱しない範囲において加え得ることが理解できるであろう。明細書及び実施例は単なる例示であり、本発明の真の範囲及び思想は請求の範囲により示される。
【図面の簡単な説明】
【００３５】
【図１】本発明と一緒に使用することができる汎用コンピュータシステムを示す。
【図２】本発明の一実施形態による評価の全体を表わす模式図である。
【図３−１】金融機関のセキュリティ規準を示す。
【図３−２】金融機関のセキュリティ規準を示す。
【図３−３】金融機関のセキュリティ規準を示す。
【図３−４】金融機関のセキュリティ規準を示す。
【図３−５】金融機関のセキュリティ規準を示す。
【図３−６】金融機関のセキュリティ規準を示す。
【図３−７】金融機関のセキュリティ規準を示す。
【図３−８】金融機関のセキュリティ規準を示す。
【図３−９】金融機関のセキュリティ規準を示す。
【図３−１０】金融機関のセキュリティ規準を示す。
【図３−１１】金融機関のセキュリティ規準を示す。
【図３−１２】金融機関のセキュリティ規準を示す。
【図３−１３】金融機関のセキュリティ規準を示す。
【図３−１４】金融機関のセキュリティ規準を示す。
【図３−１５】金融機関のセキュリティ規準を示す。
【図３−１６】金融機関のセキュリティ規準を示す。
【図３−１７】金融機関のセキュリティ規準を示す。
【図３−１８】金融機関のセキュリティ規準を示す。
【図３−１９】金融機関のセキュリティ規準を示す。
【図３−２０】金融機関のセキュリティ規準を示す。
【図３−２１】金融機関のセキュリティ規準を示す。
【図３−２２】金融機関のセキュリティ規準を示す。
【図３−２３】金融機関のセキュリティ規準を示す。
【図３−２４】金融機関のセキュリティ規準を示す。
【図３−２５】金融機関のセキュリティ規準を示す。
【図３−２６】金融機関のセキュリティ規準を示す。
【図３−２７】金融機関のセキュリティ規準を示す。
【図３−２８】金融機関のセキュリティ規準を示す。
【図３−２９】金融機関のセキュリティ規準を示す。
【図３−３０】金融機関のセキュリティ規準を示す。
【図４Ａ】本発明の一実施形態によるオンラインアンケートのグラフィカルユーザインターフェースを示す。
【図４Ｂ−１】ＨＩＰＡＡ動作フレームワーク内部の例示的アンケートを示す。
【図４Ｂ−２】ＨＩＰＡＡ動作フレームワーク内部の例示的アンケートを示す。
【図４Ｂ−３】ＨＩＰＡＡ動作フレームワーク内部の例示的アンケートを示す。
【図４Ｂ−４】ＨＩＰＡＡ動作フレームワーク内部の例示的アンケートを示す。
【図５−１】自己評価アンケートにおける種々の回答の重み付けを例示する。
【図５−２】自己評価アンケートにおける種々の回答の重み付けを例示する。
【図５−３】自己評価アンケートにおける種々の回答の重み付けを例示する。
【図５−４】自己評価アンケートにおける種々の回答の重み付けを例示する。
【図５−５】自己評価アンケートにおける種々の回答の重み付けを例示する。
【図５−６】自己評価アンケートにおける種々の回答の重み付けを例示する。
【図６】システムのデータベースにおける複数タイプのテーブルを示す。
【図７】スキャンにより生成されるグラフの解析を示す。
【図１】
2006526220.tif 000003
【図２】
2006526220.tif 000004
【図３−１】
2006526220.tif 000005
【図３−２】
2006526220.tif 000006
【図３−３】
2006526220.tif 000007
【図３−４】
2006526220.tif 000008
【図３−５】
2006526220.tif 000009
【図３−６】
2006526220.tif 000010
【図３−７】
2006526220.tif 000011
【図３−８】
2006526220.tif 000012
【図３−９】
2006526220.tif 000013
【図３−１０】
2006526220.tif 000014
【図３−１１】
2006526220.tif 000015
【図３−１２】
2006526220.tif 000016
【図３−１３】
2006526220.tif 000017
【図３−１４】
2006526220.tif 000018
【図３−１５】
2006526220.tif 000019
【図３−１６】
2006526220.tif 000020
【図３−１７】
2006526220.tif 000021
【図３−１８】
2006526220.tif 000022
【図３−１９】
2006526220.tif 000023
【図３−２０】
2006526220.tif 000024
【図３−２１】
2006526220.tif 000025
【図３−２２】
2006526220.tif 000026
【図３−２３】
2006526220.tif 000027
【図３−２４】
2006526220.tif 000028
【図３−２５】
2006526220.tif 000029
【図３−２６】
2006526220.tif 000030
【図３−２７】
2006526220.tif 000031
【図３−２８】
2006526220.tif 000032
【図３−２９】
2006526220.tif 000033
【図３−３０】
2006526220.tif 000034
【図４Ａ】
2006526220.tif 000035
【図４Ｂ−１】
2006526220.tif 000036
【図４Ｂ−２】
2006526220.tif 000037
【図４Ｂ−３】
2006526220.tif 000038
【図４Ｂ−４】
2006526220.tif 000039
【図５−１】
2006526220.tif 000040
【図５−２】
2006526220.tif 000041
【図５−３】
2006526220.tif 000042
【図５−４】
2006526220.tif 000043
【図５−５】
2006526220.tif 000044
【図５−６】
2006526220.tif 000045
【図６】
2006526220.tif 000046
【図７】
2006526220.tif 000047
【国際調査報告】
2006526220.tif 000048
2006526220.tif 000049