(57)【特許請求の範囲】
【請求項１】
情報システムに含まれる複数の機器に適用するセキュリティ評価項目の候補を複数取得する候補取得部と、
前記情報システムの外部との通信を行う前記情報システム内の機器である外部通信機器との通信経路を前記複数の機器の各機器が有するか否か及び前記情報システム内の他の機器への適用により適用が免除されるセキュリティ評価項目が前記複数の機器の各機器に存在するか否かの少なくともいずれかを解析し、解析結果に基づき、前記複数の機器の機器ごとに、適用するセキュリティ評価項目を複数のセキュリティ評価項目の候補の中から選択する項目選択部とを有する情報処理装置。
【請求項２】
前記項目選択部は、
前記外部通信機器との通信経路を有しない機器には、前記情報システムの外部との通信に関係するセキュリティ評価項目の選択は行わない請求項１に記載の情報処理装置。
【請求項３】
前記項目選択部は、
前記情報システム内の他の機器への適用により適用が免除されるセキュリティ評価項目が存在する機器には、前記適用が免除されるセキュリティ評価項目の選択は行わない請求項１に記載の情報処理装置。
【請求項４】
前記項目選択部は、
前記外部通信機器への適用により適用が免除されるセキュリティ評価項目が存在する機器及び前記外部通信機器へのホップ数がより少ない機器への適用により適用が免除されるセキュリティ評価項目が存在する機器の少なくともいずれかには、前記適用が免除されるセキュリティ評価項目の選択は行わない請求項３に記載の情報処理装置。
【請求項５】
前記候補取得部は、
指定されたセキュリティポリシーに従って、前記複数のセキュリティ評価項目の候補を取得する請求項１に記載の情報処理装置。
【請求項６】
前記候補取得部は、
前記情報処理装置のユーザによって指定されたセキュリティポリシーに従って、前記複数のセキュリティ評価項目の候補を取得する請求項５に記載の情報処理装置。
【請求項７】
前記情報処理装置は、更に、
前記項目選択部により選択された、対応するセキュリティ評価項目を用いて、前記複数の機器の機器ごとにセキュリティ評価を行うセキュリティ評価部を有する請求項１に記載の情報処理装置。
【請求項８】
前記項目選択部は、
前記情報システムに含まれる機器に変更が生じた場合に、生じた変更に対応させて、選択するセキュリティ評価項目を変更する請求項１に記載の情報処理装置。
【請求項９】
前記セキュリティ評価部は、
前記情報システムに含まれる機器に変更が生じた場合に、生じた変更に対応させて、新たなセキュリティ評価を行う請求項７に記載の情報処理装置。
【請求項１０】
コンピュータが、情報システムに含まれる複数の機器に適用するセキュリティ評価項目の候補を複数取得し、
前記コンピュータが、前記情報システムの外部との通信を行う前記情報システム内の機器である外部通信機器との通信経路を前記複数の機器の各機器が有するか否か及び前記情報システム内の他の機器への適用により適用が免除されるセキュリティ評価項目が前記複数の機器の各機器に存在するか否かの少なくともいずれかを解析し、解析結果に基づき、前記複数の機器の機器ごとに、適用するセキュリティ評価項目を複数のセキュリティ評価項目の候補の中から選択する情報処理方法。
【請求項１１】
情報システムに含まれる複数の機器に適用するセキュリティ評価項目の候補を複数取得する候補取得処理と、
前記情報システムの外部との通信を行う前記情報システム内の機器である外部通信機器との通信経路を前記複数の機器の各機器が有するか否か及び前記情報システム内の他の機器への適用により適用が免除されるセキュリティ評価項目が前記複数の機器の各機器に存在するか否かの少なくともいずれかを解析し、解析結果に基づき、前記複数の機器の機器ごとに、適用するセキュリティ評価項目を複数のセキュリティ評価項目の候補の中から選択する項目選択処理とをコンピュータに実行させる情報処理プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報システムのセキュリティ評価に関する。
【背景技術】
【０００２】
特許文献１では、情報システムに含まれる、セキュリティ評価の対象となる機器で管理監査プログラムを実行することが開示されている。そして、管理監査プログラムが、機器に実装されているソフトウェアのバージョンなどの情報を取得する。更に、セキュリティ評価の対象となる機器とは別の検査機器が、管理監査プログラムが取得した情報に基づき、機器のセキュリティ評価を行っている。【０００３】
特許文献２では、クライアント機器が、設定したセキュリティレベルをサーバに送信する技術が開示されている。そして、サーバが、セキュリティレベルについての判定結果をクライアント機器に返すことで、クライアント機器のセキュリティ対策を評価している。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００１−２７３３８８号公報
【特許文献２】特開２０１４−１０６９２０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
特許文献１及び特許文献２の技術では、セキュリティ評価の対象となる全ての機器で同じセキュリティ評価項目が適用されている。しかし、機器ごとに特性が異なるため、機器ごとに特性に応じた適切なセキュリティ評価項目を選択することが望ましい。
例えば、情報システムの外部との通信の可能性がある機器と、情報システムの外部との通信の可能性がない機器とでは、外部から攻撃を受ける可能性は大きく異なる。
また、情報システム内のある機器（以下、機器Ａとする）に適用すれば、他の機器（以下、機器Ｂとする）には適用を免除してもよいというセキュリティ評価項目も存在する。このような場合に、機器Ａと機器Ｂとに当該セキュリティ評価項目を適用すれば、機器Ｂについて無駄な処理が発生する。
特許文献１及び特許文献２の技術では、全ての機器に同じセキュリティ評価項目が適用されているため、機器の特性に応じた適切なセキュリティ評価項目の選択ができないという課題がある。【０００６】
本発明は、このような課題を解決することを主な目的の一つとしている。より具体的には、本発明は、機器の特性に応じた適切なセキュリティ評価項目の選択を可能にすることを主な目的とする。
【課題を解決するための手段】
【０００７】
本発明に係る情報処理装置は、
情報システムに含まれる複数の機器に適用するセキュリティ評価項目の候補を複数取得する候補取得部と、
前記情報システムの外部との通信を行う前記情報システム内の機器である外部通信機器との通信経路を前記複数の機器の各機器が有するか否か及び前記情報システム内の他の機器への適用により適用が免除されるセキュリティ評価項目が前記複数の機器の各機器に存在するか否かの少なくともいずれかを解析し、解析結果に基づき、前記複数の機器の機器ごとに、適用するセキュリティ評価項目を複数のセキュリティ評価項目の候補の中から選択する項目選択部とを有する。
【発明の効果】
【０００８】
本発明では、情報システムの外部との通信の可能性及び情報システム内の他の機器への適用によりセキュリティ評価項目の適用が免除される可能性の少なくともいずれかを考慮して機器ごとにセキュリティ評価項目を選択する。このため、本発明によれば、機器の特性に応じて適切なセキュリティ評価項目を選択することができる。
【図面の簡単な説明】
【０００９】
【図１】実施の形態１に係る検査装置の機能構成例を示す図。
【図２】実施の形態１に係る検査装置のハードウェア構成例を示す図。
【図３】実施の形態１に係る検査装置の動作例を示すフローチャート。
【図４】実施の形態１に係る検査装置の動作例を示すフローチャート。
【図５】実施の形態１に係る構成木の例を示す図。
【図６】実施の形態１に係るシステム情報の例を示す図。
【図７】実施の形態１に係る検査装置の動作例を示すフローチャート。
【図８】実施の形態１に係るセキュリティ評価項目の例を示す図。
【図９】実施の形態１に係るセキュリティポリシーチェックリストの例を示す図。
【図１０】実施の形態１に係る検査装置の動作例を示すフローチャート。
【図１１】実施の形態１に係る検査装置の動作例を示すフローチャート。
【図１２】実施の形態２に係る検査装置の機能構成例を示す図。
【図１３】実施の形態２に係る検査装置の動作例を示すフローチャート。
【図１４】実施の形態２に係る検査装置の動作例を示すフローチャート。
【発明を実施するための形態】
【００１０】
以下、本発明の実施の形態について、図を用いて説明する。以下の実施の形態の説明及び図面において、同一の符号を付したものは、同一の部分又は相当する部分を示す。
【００１１】
実施の形態１．
＊＊＊構成の説明＊＊＊
本実施の形態では、情報システムに含まれる複数の機器に適用するセキュリティ評価項目を選択する構成を説明する。以下、セキュリティ評価項目を単に評価項目ともいう。
本実施の形態では、情報システムの例として制御システムを用いて説明を行う。制御システムでは、ＰＬＣ（Ｐｒｏｇｒａｍｍａｂｌｅ  Ｌｏｇｉｃ  Ｃｏｎｔｒｏｌｌｅｒ）、ＨＭＩ（Ｈｕｍａｎ  Ｍａｃｈｉｎｅ  Ｉｎｔｅｒｆａｃｅ）、フィールド機器などがＥｔｈｅｒｎｅｔ（登録商標）又は制御ネットワークで接続されている。
以下では、制御システムに含まれる、ＰＬＣ、ＨＭＩ、フィールド機器等をまとめて機器又は評価対象機器と称する。
【００１２】
図１は、本実施の形態に係る検査装置１００の機能構成例を示す。
また、図２は、検査装置１００のハードウェア構成例を示す。
【００１３】
検査装置１００は、制御システムに含まれる複数の機器について、機器ごとにセキュリティ評価項目を選択する。
検査装置１００は、制御システムを構成するいずれかの機器でもよいし、制御システムに含まれない機器でもよい。
検査装置１００は、情報処理装置の例である。また、検査装置１００で行われる動作は、情報処理方法及び情報処理プログラムの例である。
【００１４】
図１に示すように、検査装置１００は、システム情報生成部１０３と評価項目生成部１０７とアクティブスキャン部１０９とセキュリティ評価部１１１とで構成される。
以下、各々について説明を行う。
【００１５】
システム情報生成部１０３は、ネットワーク情報１０１と機器情報１０２を取得し、システム情報１０４を生成する。そして、システム情報生成部１０３は、生成したシステム情報１０４を評価項目生成部１０７及びセキュリティ評価部１１１に出力する。
ネットワーク情報１０１は、制御システム内のネットワーク構成及び接続関係を示す。機器情報１０２は、制御システムに含まれる各機器の状態、機能、通信アドレス等を示す。
システム情報１０４では、機器ごとに、機器から検査装置１００への通信経路、機器から外部通信機器への通信経路等が示される。外部通信機器とは、制御システムの外部との通信を行う制御システム内の機器である。図６は、システム情報１０４の例を示す。システム情報１０４の詳細は後述する。
【００１６】
評価項目生成部１０７は、システム情報１０４と、候補セキュリティ評価項目１０６と、セキュリティポリシーチェックリスト９０１を取得する。そして、評価項目生成部１０７は、システム情報１０４と候補セキュリティ評価項目１０６とセキュリティポリシーチェックリスト９０１とに基づき、選択セキュリティ評価項目１０８を生成する。そして、評価項目生成部１０７は、選択セキュリティ評価項目１０８をアクティブスキャン部１０９及びセキュリティ評価部１１１に出力する。
【００１７】
選択セキュリティ評価項目１０８は、機器ごとに選択されたセキュリティ評価項目である。
候補セキュリティ評価項目１０６は、セキュリティ評価項目１０５から抽出された、セキュリティ評価項目の候補である。図８は、候補セキュリティ評価項目１０６の例を示す。候補セキュリティ評価項目１０６の詳細は後述する。評価項目生成部１０７は、複数の機器について複数の候補セキュリティ評価項目１０６を取得する。
セキュリティ評価項目１０５は、制御システムに適用され得る全てのセキュリティ評価項目である。候補セキュリティ評価項目１０６は、セキュリティ評価項目１０５から、制御システムの特性に沿って選択された、制御システムに含まれる機器に適用する可能性のある、セキュリティ評価項目の候補である。セキュリティ評価項目１０５から候補セキュリティ評価項目１０６の抽出は、検査装置１００のユーザがマニュアルで行ってもよいし、図１に図示していない検査装置１００内のシステム情報生成部１０３、評価項目生成部１０７、アクティブスキャン部１０９及びセキュリティ評価部１１１以外の要素が行うようにしてもよい。セキュリティ評価項目１０５は、例えば、検査装置１００の外部のデータベースに存在する。セキュリティ評価項目１０５は、例えば、インターネット上に存在してもよい。
セキュリティポリシーチェックリスト９０１には、複数の候補セキュリティ評価項目１０６から選択セキュリティ評価項目１０８を選択するための選択基準が示される。セキュリティポリシーチェックリスト９０１は、例えば、検査装置１００のユーザにより生成される。図９は、セキュリティポリシーチェックリスト９０１の例を示す。セキュリティポリシーチェックリスト９０１の詳細は後述する。
【００１８】
評価項目生成部１０７は、制御システムに含まれる複数の機器に適用するセキュリティ評価項目の候補を候補セキュリティ評価項目１０６として取得しており、評価項目生成部１０７は、候補取得部に相当する。
また、評価項目生成部１０７は、機器ごとに、適用するセキュリティ評価項目を選択しており、評価項目生成部１０７は、項目選択部に相当する。評価項目生成部１０７は、より具体的には、外部通信機器との通信経路を各機器が有するか否か及び制御システム内の他の機器への適用により適用が免除されるセキュリティ評価項目が各機器に存在するか否かの少なくともいずれかを解析し、解析結果に基づき、機器ごとに、適用するセキュリティ評価項目をセキュリティ評価項目の候補の中から選択する。
なお、評価項目生成部１０７により行われる動作は、候補取得処理及び項目選択処理に相当する。
【００１９】
アクティブスキャン部１０９は、選択セキュリティ評価項目１０８を取得し、選択セキュリティ評価項目１０８を用いて各機器にアクティブスキャンを行う。そして、アクティブスキャン部１０９は、アクティブスキャンの結果をアクティブスキャン結果１１０としてセキュリティ評価部１１１に出力する。
【００２０】
セキュリティ評価部１１１は、システム情報１０４と選択セキュリティ評価項目１０８とアクティブスキャン結果１１０を取得し、各機器のセキュリティ設定状況を評価し、評価結果をセキュリティ評価結果１１２として出力する。
【００２１】
次に、図２を参照して、検査装置１００のハードウェア構成を説明する。
【００２２】
＊＊＊構成の説明＊＊＊
本実施の形態に係る検査装置１００は、コンピュータである。
検査装置１００は、ハードウェアとして、プロセッサ２０１、通信装置２０２及び記憶装置２０３を備える。
記憶装置２０３には、図１に示すシステム情報生成部１０３、評価項目生成部１０７、アクティブスキャン部１０９及びセキュリティ評価部１１１の機能を実現するプログラムが記憶されている。
プロセッサ２０１がこれらプログラムを実行して、システム情報生成部１０３、評価項目生成部１０７、アクティブスキャン部１０９及びセキュリティ評価部１１１の動作を行う。
図２では、プロセッサ２０１がシステム情報生成部１０３、評価項目生成部１０７、アクティブスキャン部１０９及びセキュリティ評価部１１１の機能を実現するプログラムを実行している状態を模式的に表している。
通信装置２０２は、図１に示すネットワーク情報１０１、機器情報１０２、セキュリティ評価項目１０５を外部機器から受信する場合に用いられる。また、アクティブスキャン部１０９がアクティブスキャンを実行する場合に用いられる。更に、通信装置２０２は、セキュリティ評価結果１１２を外部機器に送信する場合に用いられる。そのため、通信装置２０２は、Ｅｔｈｅｒｎｅｔ（登録商標）、制御用ネットワークプロトコルなどに対応したインタフェースをもつ。通信装置２０２は、このようなインタフェースを、必要に応じて１つもしくは複数備える。
【００２３】
＊＊＊動作の説明＊＊＊
次に、図３を用いて、検査装置１００の動作例を説明する。
図３は、検査装置１００の動作の一例を示す。検査装置１００の動作フローは必ずしも図３の通りでなくてもよい。
【００２４】
検査装置１００のユーザからセキュリティ評価の要求があった場合に、システム情報生成部１０３が、ステップＳ１００１において、ネットワーク情報１０１と機器情報１０２を取得する。
【００２５】
次に、ステップＳ１００２において、システム情報生成部１０３が、ネットワーク情報１０１と機器情報１０２を用いて、システム情報１０４を生成する。
なお、ステップＳ１００２のシステム情報１０４の生成処理の詳細は、後述する。
【００２６】
次に、ステップＳ１００３において、評価項目生成部１０７が、候補セキュリティ評価項目１０６とセキュリティポリシーチェックリスト９０１を取得する。また、評価項目生成部１０７は、システム情報１０４も取得する。
【００２７】
次に、ステップＳ１００４において、評価項目生成部１０７が、システム情報１０４と候補セキュリティ評価項目１０６とセキュリティポリシーチェックリスト９０１とに基づき、機器ごとにセキュリティ評価項目を選択する。そして、評価項目生成部１０７は、選択結果を示す選択セキュリティ評価項目１０８をアクティブスキャン部１０９とセキュリティ評価部１１１に出力する。
ステップＳ１００４のセキュリティ評価項目の選択処理の詳細は、後述する。
【００２８】
ステップＳ１００５において、アクティブスキャン部１０９が、機器ごとに、選択セキュリティ評価項目１０８について、アクティブスキャンの要否を確認する。
アクティブスキャンが必要な場合（ステップＳ１００５でＹＥＳ）は、処理がステップＳ１００６に進む。一方、アクティブスキャンが不要な場合（ステップＳ１００５でＮＯ）は、処理がステップＳ１００７に進む。
【００２９】
ステップＳ１００６では、アクティブスキャン部１０９が、該当するセキュリティ評価項目に記載された評価方法で必要となる評価対象の情報を取得するためにアクティブスキャンを実行する。
なお、ステップＳ１００６のアクティブスキャンの実行処理の詳細は、後述する。
【００３０】
ステップＳ１００７では、セキュリティ評価部１１１が、機器情報１０２と選択セキュリティ評価項目１０８とアクティブスキャン結果１１０とを用いて、各機器のセキュリティ設定状況を評価する。
なお、ステップＳ１００７のセキュリティ評価処理の詳細は、後述する。
【００３１】
選択セキュリティ評価項目１０８の全てのセキュリティ評価項目について評価が完了している場合（ステップＳ１００９でＹＥＳ）は、ステップＳ１０１０において、セキュリティ評価部１１１はセキュリティ評価結果１１２を出力する。セキュリティ評価部１１１は、例えば、検査装置１００に接続されているディスプレイ装置にセキュリティ評価結果１１２を出力する。また、セキュリティ評価部１１１は、通信装置２０２を用いてセキュリティ評価結果１１２を外部機器に送信してもよい。
一方、評価が完了していないセキュリティ評価項目がある場合（ステップＳ１００９でＮＯ）は、処理がステップＳ１００５に戻る。全てセキュリティ評価項目についての評価が完了するまで、ステップＳ１００５からステップＳ１００９の処理が繰り返される。
【００３２】
次に、図４を参照して、図３のステップＳ１００２のシステム情報１０４の生成処理の詳細を説明する。
なお、システム情報１０４の生成手順は、は必ずしも図４の通りでなくてもよい。
【００３３】
先ず、ステップＳ２００１において、システム情報生成部１０３が、制御システムを構成する機器の一覧情報を取得する。
【００３４】
次に、ステップＳ２００２において、システム情報生成部１０３が、ネットワーク情報１０１を取得する。ネットワーク情報１０１には、ステップＳ２００１で取得した機器の一覧情報に示される各機器とネットワークとの接続関係及び機器間の接続関係が示される。
【００３５】
次に、ステップＳ２００３において、システム情報生成部１０３が、機器情報１０２を取得する。
機器情報１０２には、ステップＳ２００１で取得した機器の一覧情報に示される各機器の機能、状態、通信アドレス等が示される。
【００３６】
次に、ステップＳ２００４において、システム情報生成部１０３が、ステップＳ２００１からステップＳ２００３で取得した情報を組み合わせて、検査装置１００からの構成木を生成する。
このとき、システム情報生成部１０３は、制御システムの外部との通信を行う機器、すなわち外部通信機器を他の機器と区別できるようにして構成木を生成する。例えば、システム情報生成部１０３は、外部通信機器にフラグを設定して構成木を生成する。
【００３７】
ステップＳ２００４で生成される構成木の例を図５に示す。
図５に示す例では、検査装置１００は制御システムに含まれる。図５に示す構成木では、検査装置１００と、制御システムに含まれる機器と、検査装置１００と機器との間のネットワークと、機器間のネットワークが表される。また、制御システムの外部と通信ができる機器（外部通信機器）には、「外部通信」とのフラグが設定されている。
【００３８】
次に、ステップＳ２００５において、システム情報生成部１０３は、各機器から検査装置１００への通信経路を抽出する。
より具体的には、システム情報生成部１０３は、ステップＳ２００４で生成した構成木を解析して、各機器から検査装置１００への通信経路を抽出する。機器から検査装置１００への通信経路が複数ある場合は、システム情報生成部１０３は、全ての通信経路を抽出する。例えば、構成木の複数箇所に同じ機器がある場合は、システム情報生成部１０３は、複数の通信経路が存在すると判定し、全ての通信経路を抽出する。図５の例では、機器Ｅと機器Ｆがそれぞれ２箇所に存在するので、システム情報生成部１０３は、機器Ｅについて２つの通信経路を抽出し、機器Ｆについても２つの通信経路を抽出する。
【００３９】
次に、ステップＳ２００６において、システム情報生成部１０３は、各機器から外部通信機器への通信経路を抽出する。
より具体的には、システム情報生成部１０３は、ステップＳ２００４で生成した構成木において外部通信機器を抽出し、各機器から、抽出した外部通信機器への通信経路を抽出する。
システム情報生成部１０３は、検査装置１００を介した機器から外部通信機器に至る通信経路も抽出する。この場合は、機器から検査装置１００への通信経路と、検査装置１００から外部通信機器への通信経路とで構成される通信経路を抽出する。
また、ステップＳ２００６でも、構成木の複数箇所に同じ機器がある場合は、システム情報生成部１０３は、複数の通信経路が存在すると判定し、全ての通信経路を抽出する。図５の例では、機器Ｅと機器Ｆがそれぞれ２箇所に存在するので、システム情報生成部１０３は、機器Ｅについて２つの通信経路を抽出し、機器Ｆについても２つの通信経路を抽出する。
【００４０】
ステップＳ２００１で取得した機器の一覧情報に示される全ての機器に対してステップＳ２００５の通信経路の抽出とステップＳ２００６の通信経路の抽出とが完了した場合（ステップＳ２００７でＹＥＳ）は、処理がステップＳ２００８に進む。
一方、通信経路の抽出が完了していない機器が存在する場合（ステップＳ２００７でＮＯ）は、全ての機器に対して通信経路の抽出が完了するまでステップＳ２００５からステップＳ２００７までの処理が繰り返される。
【００４１】
ステップＳ２００８では、システム情報生成部１０３は、機器ごとにシステム情報１０４を生成する。
図６は、システム情報１０４の例を示す。
図６に示すシステム情報１０４では、評価対象機器のＩＰアドレス、評価対象機器から検査装置１００までの全通信経路、評価対象機器から外部通信機器への全通信経路等の情報が含まれる。
【００４２】
次に、図７を用いて、図３に示すステップＳ１００４のセキュリティ評価項目の選択処理の詳細を説明する。
【００４３】
ステップＳ３０１０において、評価項目生成部１０７が、システム情報１０４を取得する。
【００４４】
次に、ステップＳ３００１において、評価項目生成部１０７が、候補セキュリティ評価項目１０６を取得する。
【００４５】
図８は、候補セキュリティ評価項目１０６の例を示す。
図８の候補セキュリティ評価項目１０６では、評価項目番号、評価項目名、対象機器名、必須項目フラグ、オプションフラグ、オプション条件、評価方法、スキャン必要フラグ、スキャン対象、確認項目、評価基準値、対応する脅威例及び対策例が含まれる。
評価項目番号は、セキュリティポリシーとの対応付けに用いられる。
必須項目フラグは、対象機器がこの評価項目を満たすことが必須か否かを示す。必須項目フラグがオンの場合は、対象機器がこの評価項目を満たすことが必須である。
オプションフラグは、オプション条件の有無を示す。オプションフラグがオンの場合は、オプション条件が存在する。
オプション条件には、対象機器に対してこの評価項目を選択するか否かの判定条件が示される。オプション条件には、例えば、外部アクセス条件が記載されている。外部アクセス条件とは、対象機器から外部通信機器への通信経路が存在する場合にのみ、この評価項目を対象機器に対して選択するとの条件である。また、オプション条件には、例えば、適用免除条件が記載される。適用免除条件とは、制御システム内の他の機器でこの評価項目が適用される場合はこの評価項目の適用を免除するとの条件である。適用免除条件は、例えば、外部通信機器でこの評価項目が適用される場合は対象機器にはこの評価項目の適用を免除するとの条件である。また、適用免除条件には、外部通信機器により近い他の機器でこの評価項目が適用される場合は対象機器にはこの評価項目の適用を免除するとの条件も含まれる。また、オプション条件に適用免除条件が記載されている評価項目を免除評価項目という。なお、外部通信機器により近い他の機器は、例えば、外部通信機器へのホップ数で決定される。図５の構成木では、外部通信機器である機器Ａには、機器Ｆよりも機器Ｄ及び機器Ｅの方が近い。
評価方法は、アクティブスキャン部１０９による評価方法を示す。
スキャン必要フラグは、アクティブスキャンの要否を示す。
スキャン対象は、アクティブスキャンの対象を示す。
確認項目は、機器情報１０２又はアクティブスキャンの結果において確認すべき内容を示す。
評価基準値は、機器情報１０２又はアクティブスキャンの結果と比較する基準値を示す。
対応する脅威例は、機器情報１０２又はアクティブスキャンの結果が評価基準値を満たせていない場合に想定される脅威の例を示す。
対策例は、機器情報１０２又はアクティブスキャンの結果が評価基準値を満たせていない場合に実施すべき対策の例を示す。
候補セキュリティ評価項目１０６は、例えばＸＭＬ（Ｅｘｔｅｎｓｉｂｌｅ  Ｍａｒｋｕｐ  Ｌａｎｇｕａｇｅ）ベースのＯＶＡＬ（Ｏｐｅｎ  Ｖｕｌｎｅｒａｂｉｌｉｔｙ  ａｎｄ  Ａｓｓｅｓｓｍｅｎｔ  Ｌａｎｇｕａｇｅ）などのセキュリティ検査が可能な言語で記述される。候補セキュリティ評価項目１０６には、図８に示す項目の他、アクティブスキャンにより機器から抽出した値の保存場所などがＸＭＬ形式で記述されてもよい。
評価項目生成部１０７は、制御システムに含まれる各機器について、図８に例示する候補セキュリティ評価項目１０６を取得する。
【００４６】
次に、ステップＳ３００２において、評価項目生成部１０７は、セキュリティポリシーチェックリスト９０１を取得する。
セキュリティポリシーチェックリスト９０１には、複数の候補セキュリティ評価項目１０６から選択セキュリティ評価項目１０８を選択するための選択基準が示される。セキュリティポリシーチェックリスト９０１は検査装置１００のユーザがマニュアルで生成することもできるし、ユーザが国際標準に準拠したカテゴリを選択することで自動的に生成することもできる。
【００４７】
図９は、セキュリティポリシーチェックリスト９０１の例を示す。
セキュリティポリシーチェックリスト９０１は、例えばＸＣＣＤＦ（ｅＸｔｅｎｓｉｂｌｅ  Ｃｏｎｆｉｇｕｒａｔｉｏｎ  Ｃｈｅｃｋｌｉｓｔ  Ｄｅｓｃｒｉｐｔｉｏｎ  Ｆｏｒｍａｔ）などのセキュリティ設定のチェックリストを表現可能な記述形式で記述される。また、セキュリティポリシーチェックリスト９０１は、例えば、ＸＭＬ形式で構造化して記述される。これにより、パスワードの有効期限などのチェック項目とパスワードの更新履歴などをＣＣＥ（Ｃｏｍｍｏｎ  Ｃｏｎｆｉｇｕｒａｔｉｏｎ  Ｅｎｕｍｅｒａｔｉｏｎ）のような識別番号の情報とともにリストアップし、チェック項目として生成することができる。
セキュリティポリシーチェックリスト９０１では、セキュリティポリシーの番号と、抽出すべき評価項目の番号が一覧となっている。セキュリティポリシーチェックリスト９０１では、セキュリティポリシーごとに、セキュリティポリシーを実現するために抽出すべきセキュリティ評価項目の評価項目番号が示される。
図９の例では、ポリシー番号「１」のセキュリティポリシーを実現するためには、評価項目番号が「１」の候補セキュリティ評価項目１０６と、評価項目番号が「２」の候補セキュリティ評価項目１０６を抽出することが必要である。また、ポリシー番号「２」のセキュリティポリシーを実現するためには、評価項目番号が「２」の候補セキュリティ評価項目１０６と、評価項目番号が「３」の候補セキュリティ評価項目１０６と、評価項目番号が「４」の候補セキュリティ評価項目１０６を抽出することが必要である。
【００４８】
次に、ステップＳ３００３において、評価項目生成部１０７は、セキュリティポリシーチェックリスト９０１の「評価項目番号」に対応する評価項目番号のセキュリティ評価項目を抽出する。
なお、セキュリティポリシーチェックリスト９０１に同じ評価項目番号が重複して記載されている場合でも、評価項目生成部１０７は、該当するセキュリティ評価項目の抽出を１度だけ行う。
図９の例では、評価項目番号が「２」のセキュリティ評価項目が重複して記載されているが、評価項目生成部１０７は、評価項目番号が「２」のセキュリティ評価項目の抽出を１度だけ行う。
【００４９】
次に、ステップＳ３００４において、評価項目生成部１０７は、機器ごとに、対応するシステム情報１０４に外部通信機器への通信経路が記載されているか否かを判定する。
【００５０】
現在判定対象となっている機器のシステム情報１０４に外部通信機器への通信経路が記載されていない場合（ステップＳ３００４でＮＯ）は、評価項目生成部１０７は、ステップＳ３００５において、外部アクセスに関係するセキュリティ評価項目を削除する。なお、評価項目生成部１０７は、セキュリティ評価項目の必須フラグ及びオプション条件を参照して、ステップＳ３００５のセキュリティ評価項目の削除を行うか否かを決定する。
例えば、機器ｘのシステム情報１０４には、外部通信機器への通信経路が記載されていないとする（ステップＳ３００４でＮＯ）。また、ステップＳ３００３で機器ｘに抽出されたセキュリティ評価項目のオプション条件に外部アクセス条件が記載されているとする。この場合は、評価項目生成部１０７は、ステップＳ３００５において、当該セキュリティ評価項目を削除する。このように、評価項目生成部１０７は、外部通信機器との通信経路を有しない機器には、情報システムの外部との通信に関係するセキュリティ評価項目の選択は行わない。
一方で、ステップＳ３００３で機器ｘについて抽出されたセキュリティ評価項目の必須フラグがオンである場合は、評価項目生成部１０７は、当該セキュリティ評価項目の削除は行わない。また、ステップＳ３００３で機器ｘについて抽出されたセキュリティ評価項目のオプション条件に外部アクセス条件が記載されていない場合は、評価項目生成部１０７は、当該セキュリティ評価項目の削除は行わない。
【００５１】
ステップＳ３００４においてＮＯであった場合は、評価項目生成部１０７は、ステップＳ３００６において、現在判定対象となっている機器に免除評価項目があるか否かを判定する。
つまり、評価項目生成部１０７は、現在判定対象となっている機器についてステップＳ３００３で抽出されたセキュリティ評価項目のオプション条件に適用免除条件が記載されているか否かを判定する。
【００５２】
現在判定対象となっている機器に免除評価項目がある場合（ステップＳ３００６でＹＥＳ）は、評価項目生成部１０７は、ステップＳ３００７において、外部通信機器に当該免除評価項目が適用になるか否かを判定する。また、評価項目生成部１０７は、現在判定対象となっている機器よりも外部通信機器に近い他の機器に当該免除評価項目が適用になるか否かを判定する。そして、外部通信機器又は外部通信機器により近い他の機器に当該免除評価項目が適用になる場合は、評価項目生成部１０７は、現在判定対象となっている機器については、当該免除評価項目を削除する。このように、評価項目生成部１０７は、制御システム内の他の機器への適用により適用が免除されるセキュリティ評価項目が存在する機器には、適用が免除されるセキュリティ評価項目の選択は行わない。
外部通信機器又は外部通信機器により近い他の機器に当該免除評価項目が適用にならない場合は、ステップＳ３００８の処理が行われる。
【００５３】
現在判定対象となっている機器に複数のセキュリティ評価項目が抽出されている場合は、評価項目生成部１０７は、各セキュリティ評価項目に対して、ステップＳ３００４〜ステップＳ３００７の処理を行う。
【００５４】
ステップＳ３００８では、評価項目生成部１０７は、現在判定対象となっている機器についてステップＳ３００３で抽出されたセキュリティ評価項目のうち、ステップＳ３００５及びステップＳ３００７で削除されなかったセキュリティ評価項目を最終的に選択する。
【００５５】
次に、評価項目生成部１０７は、ステップＳ３００９において、制御システムを構成する全ての機器に対してセキュリティ評価項目の選択が完了したか否かを判定する。
全ての機器に対してセキュリティ評価項目の選択が完了している場合（ステップＳ３００９でＹＥＳ）は、処理が終了する。一方、セキュリティ評価項目の選択が完了していない機器がある場合（ステップＳ３００９でＮＯ）は、評価項目生成部１０７は、全ての機器に対してセキュリティ評価項目の選択が完了するまで、ステップＳ３００３〜ステップＳ３００９の処理を繰り返す。
【００５６】
次に、図１０を用いて、図３のステップＳ１００６のアクティブスキャンの実行処理の詳細を説明する。
【００５７】
ステップＳ４００１において、アクティブスキャン部１０９は、スキャンが必要な評価項目を取得する。
より具体的には、アクティブスキャン部１０９は、選択セキュリティ評価項目１０８のうち、スキャン必要フラグがオンになっているセキュリティ評価項目を取得する。
【００５８】
次に、ステップＳ４００２において、アクティブスキャン部１０９は、ステップＳ４００１で取得したセキュリティ評価項目のスキャン対象を参照して、実施すべきスキャン方法を判定する。
具体的には、アクティブスキャン部１０９は、ステップＳ４００２において、スキャン対象がＩＰ通信に関係するか否かを判定する。つまり、アクティブスキャン部１０９は、セキュリティ評価項目のスキャン対象にＩＰ通信が記載されているか否かを確認する。スキャン対象にＩＰ通信が記載されている場合（ステップＳ４００２でＹＥＳ）は、処理がステップＳ４００４に進む。一方、スキャン対象にＩＰ通信が記載されていない場合（ステップＳ４００２でＮＯ）は、処理がＳ４００３に進む。
【００５９】
ステップＳ４００３では、アクティブスキャン部１０９は、実施すべきスキャン方法がアプリケーションに関係するか否かを判定する。
具体的には、アクティブスキャン部１０９は、セキュリティ評価項目のスキャン対象にアプリケーションが記載されているか否かを確認する。スキャン対象にアプリケーションが記載されている場合（ステップＳ４００３でＹＥＳ）は、処理がステップＳ４００５に進む。一方、スキャン対象にアプリケーションが記載されていない場合（ステップＳ４００３でＮＯ）、つまり、スキャン対象が制御プロトコル又は独自のサービスである場合は、処理がＳ４００６に進む。
【００６０】
ステップＳ４００４では、アクティブスキャン部１０９は、ＩＰ通信を利用してスキャンを実施する。
ステップＳ４００４では、アクティブスキャン部１０９は、システム情報１０４に示されるＩＰアドレスを宛先にしてスキャンパケットを送信する。ＩＰ通信に関するスキャンとしてはポートスキャンなどがある。また、アクティブスキャン部１０９は、セキュリティ評価項目の評価方法を参照し、評価方法に合ったスキャンを実施する。
【００６１】
ステップＳ４００５では、アクティブスキャン部１０９は、アプリケーションのスキャンを実施する。
ステップＳ４００５では、アクティブスキャン部１０９は、システム情報１０４に示されるＩＰアドレス又はシステム情報１０４に示されるアプリケーションに対応したアドレスを宛先にしてスキャンパケットを送信する。アプリケーションに関するスキャンとしてＦＴＰ（Ｆｉｌｅ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）へのアクセスがあり、この場合には、アクティブスキャン部１０９は、ＩＰアドレスを利用する。また、アクティブスキャン部１０９は、ステップＳ４００５でも、セキュリティ評価項目の評価方法を参照し、評価方法に合ったスキャンを実施する。
【００６２】
ステップＳ４００６では、アクティブスキャン部１０９は、制御プロトコル又はサービスのスキャンを実施する。
ステップＳ４００６では、アクティブスキャン部１０９は、システム情報１０４に示される他プロトコルのアドレスを宛先にしてスキャンパケットを送信する。また、アクティブスキャン部１０９は、ステップＳ４００６でも、セキュリティ評価項目の評価方法を参照し、評価方法に合ったスキャンを実施する。
【００６３】
最後に、ステップＳ４００７において、アクティブスキャン部１０９は、ステップＳ４００４、ステップＳ４００５、ステップＳ４００６で実施したスキャン結果をセキュリティ評価部１１１に出力する。
【００６４】
次に、図１１を用いて、図３に示すステップＳ１００７のセキュリティ評価処理の詳細を説明する。
【００６５】
ステップＳ５００１において、セキュリティ評価部１１１が、機器情報１０２、選択セキュリティ評価項目１０８及びアクティブスキャン結果１１０を取得する。
【００６６】
次に、ステップＳ５００２において、セキュリティ評価部１１１は、選択セキュリティ評価項目１０８の確認項目を抽出し、どの値が評価対象であるかを確認する。
【００６７】
次に、ステップＳ５００３において、セキュリティ評価部１１１は、ステップＳ５００２で抽出した確認項目の値として、機器情報１０２又はアクティブスキャン結果１１０から該当する値を抽出する。
【００６８】
次に、ステップＳ５００４において、セキュリティ評価部１１１は、選択セキュリティ評価項目１０８から評価基準値を抽出する。
【００６９】
次に、ステップＳ５００５において、セキュリティ評価部１１１は、ステップＳ５００３で抽出した値が、ステップ５００４で抽出した評価基準値を満たしているか否かを判定する。
ステップＳ５００３で抽出した値が評価基準値を満たしている場合（ステップＳ５００５でＹＥＳ）は、機器においてセキュリティ対策がされている。この場合は、処理がステップＳ５００６に進む。
一方、ステップＳ５００３で抽出した値が評価基準値を満たしていない場合（ステップＳ５００５でＮＯ）は、機器においてセキュリティ対策が行われていない、もしくは機器においてセキュリティ対策が正しく行われていない。この場合は、処理がステップＳ５００７に進む。
【００７０】
ステップＳ５００６では、機器においてセキュリティ対策が行われているため、セキュリティ評価部１１１は、問題なしとのセキュリティ評価結果１１２を生成し、処理を終了する。
【００７１】
ステップＳ５００７では、機器においてセキュリティ対策が行われていない、もしくは機器においてセキュリティ対策が正しく行われていないため、セキュリティ評価部１１１は問題ありとのセキュリティ評価結果１１２を生成する。
更に、セキュリティ評価部１１１は、ステップＳ５００８において、選択セキュリティ評価項目１０８の「対応する脅威例」と「対策例」から、セキュリティ対策が行われていない場合、もしくはセキュリティ対策が正しく行われていない場合に想定される脅威の例と対策例を抽出する。そして、セキュリティ評価部１１１は、抽出した脅威の例と対策例をセキュリティ評価結果１１２に追加し、処理を終了する。
【００７２】
＊＊＊実施の形態の効果の説明＊＊＊
以上、本実施の形態では、情報システムの外部との通信の可能性及び情報システム内の他の機器への適用によりセキュリティ評価項目の適用が免除される可能性の少なくともいずれかを考慮して機器ごとにセキュリティ評価項目を選択する。このため、本実施の形態によれば、機器の特性に応じて適切なセキュリティ評価項目を選択することができる。
つまり、本実施の形態に係る検査装置は、情報システムの構成から情報システムに必要なセキュリティ評価項目を生成するようにしているので、情報システム全体で過不足なくセキュリティ評価を実施することができる。
【００７３】
また、本実施の形態に係る検査装置は、全て自動で実行されるため、人間の介入による漏れや誤りをなくすことができる。さらに、全て自動で実行することで、セキュリティ評価を効率化することができる。
【００７４】
また、本実施の形態に係る検査装置は、セキュリティ評価項目の抽出をユーザが選択するセキュリティポリシーに合わせて実施する。このため、システム独自のルール又は国際標準のルールに基づいてセキュリティポリシーの選択を変えるだけで適切なセキュリティ評価項目を抽出することができる。
また、情報システムが必要とするセキュリティポリシーに変更があっても、設定変更等を行わずに、新しいセキュリティポリシーに準じたセキュリティ評価項目を抽出することができる。
【００７５】
また、本実施の形態に係る検査装置は、アクティブスキャンにより機器の状態を確認する。このため、機器の設定変更又はプログラムの追加を行わずに機器の状態を確認することができる。従って、既存の情報システムに検査機器を接続するだけで、当該情報システムのセキュリティ評価を実施することができる。
【００７６】
また、本実施の形態に係る検査装置は、検査装置にアクセスできる機器にセキュリティ評価結果を出力する。このため、ユーザは、セキュリティ評価結果をオフィスなどどこからでも確認することができる。
【００７７】
実施の形態２．
＊＊＊構成の説明＊＊＊
図１２は、実施の形態２に係る検査装置１００の機能構成例である。
図１と同じ要素には同じ符号を付している。なお、作図上の理由から、セキュリティポリシーチェックリスト９０１の図示を省略しているが、実施の形態１と同様に、評価項目生成部１０７は、セキュリティポリシーチェックリスト９０１を取得する。
図１２では、図１と比較して、セキュリティ評価履歴データ７０１、実施済み評価項目７０２及び実施済みセキュリティ評価結果７０３が追加されている。
なお、検査装置１００のハードウェア構成は図２に示す通りである。
また、以下で説明していない事項は実施の形態１と同じである。
【００７８】
セキュリティ評価履歴データ７０１は、過去に生成された構成木、選択セキュリティ評価項目１０８、セキュリティ評価結果１１２で構成される。つまり、過去に生成された構成木、選択セキュリティ評価項目１０８、セキュリティ評価結果１１２がセキュリティ評価履歴データ７０１としてデータベースに蓄積されている。セキュリティ評価履歴データ７０１は、例えば、検査装置１００の外部のデータベースに蓄積されている。
【００７９】
実施済み評価項目７０２は、セキュリティ評価履歴データ７０１から抽出された過去の選択セキュリティ評価項目１０８である。
【００８０】
実施済みセキュリティ評価結果７０３は、セキュリティ評価履歴データ７０１から抽出された過去のセキュリティ評価結果１１２である。
【００８１】
なお、本実施の形態では、システム情報生成部１０３は、制御システムに含まれる機器に変更が生じた場合に、生じた変更に対応させて、システム情報１０４を変更する。
また、評価項目生成部１０７は、制御システムに含まれる機器に変更が生じた場合に、生じた変更に対応させて、選択するセキュリティ評価項目を変更する。
同様に、アクティブスキャン部１０９は、制御システムに含まれる機器に変更が生じた場合に、生じた変更に対応させて、新たにアクティブスキャンを実施する。
また、セキュリティ評価部１１１は、制御システムに含まれる機器に変更が生じた場合に、生じた変更に対応させて、新たなセキュリティ評価を行う。
【００８２】
＊＊＊動作の説明＊＊＊
次に、図１３及び図１４を用いて、本実施の形態に係る検査装置１００の動作例を説明する。
図１３及び図１４は、検査装置１００における再評価の動作の一例を示しており、検査装置１００の動作フローは必ずしも図１３及び図１４の通りでなくてもよい。
【００８３】
検査装置１００のユーザからセキュリティ評価の要求があった場合に、システム情報生成部１０３が、ステップＳ６００１において、ユーザからの要求が再評価の要求であるか否かを判定する。再評価の要求とは、制御システムの機器構成の変更または機器の設定の変更があった場合に、変更後の内容でのセキュリティ評価を要求することである。システム情報生成部１０３は、ユーザからの要求に制御システムの変更が示されていれば再評価の要求と判定する。制御システムの変更には、機器構成の変更（機器の追加、機器の削除、機器の接続関係の変更、機器の交換）と、機器の設定の変更（設定の追加、設定の削除、設定値の変更）がある。
ユーザの要求が再評価の要求である場合（ステップＳ６００１でＹＥＳ）は、処理がステップＳ６００５に進む。一方、ユーザの要求が再評価の要求でない場合（ステップＳ６００１でＮＯ）は、処理がステップＳ６００２に進む。
【００８４】
ステップＳ６００２では、システム情報生成部１０３が、過去にセキュリティ評価を実施しているか否かを判定する。
より具体的には、システム情報生成部１０３は、セキュリティ評価履歴データ７０１を参照する。そして、セキュリティ評価履歴データ７０１に過去のセキュリティ評価結果１１２があれば、システム情報生成部１０３は、過去にセキュリティ評価を実施していると判定する。一方、セキュリティ評価履歴データ７０１に過去のセキュリティ評価結果１１２がなければ、システム情報生成部１０３は、過去にセキュリティ評価を実施していないと判定する。
過去にセキュリティ評価を実施している場合（ステップＳ６００２でＹＥＳ）は、処理がステップＳ６００４に進む。一方、過去にセキュリティ評価を実施していない場合（ステップＳ６００２でＮＯ）は、処理がステップＳ６００３に進む。
【００８５】
ステップＳ６００３では、制御システムのセキュリティ評価が行われる。この場合は、制御システムに対しての新規の評価となる。
ステップＳ６００３では、実施の形態１で説明した手順でシステム情報１０４の生成、選択セキュリティ評価項目１０８の生成、アクティブスキャン、セキュリティ評価が行われ、最終的にセキュリティ評価結果１１２が生成される。
【００８６】
ステップＳ６００４では、システム情報生成部１０３が、セキュリティ評価履歴データ７０１から過去のセキュリティ評価結果１１２を実施済みセキュリティ評価結果７０３として抽出し、抽出した実施済みセキュリティ評価結果７０３を出力する。
実施済みセキュリティ評価結果７０３の出力先としては、例えば、検査装置１００に接続されたディスプレイ、検査装置１００のユーザが利用する端末装置、外部のデータベース等が考えられる。
【００８７】
ステップＳ６００５では、システム情報生成部１０３は、機器構成に変更があるか否かを判定する。
例えば、ステップＳ６００１でのユーザの要求に機器構成の変更内容が記載されていれば、システム情報生成部１０３は、機器構成に変更があると判定する。また、システム情報生成部１０３は、前回、システム情報１０４を生成した時点からネットワーク情報１０１及び機器情報１０２が改訂されているか否かを判定するようにしてもよい。この場合に、ネットワーク情報１０１及び機器情報１０２が改訂されていれば、システム情報生成部１０３は、機器構成に変更があると判定する。
機器構成に変更がある場合（ステップＳ６００５でＹＥＳ）は、処理がステップＳ６００６に進む。一方、機器構成に変更がない場合、すなわち機器の設定に変更がある場合（ステップＳ６００５でＮＯ）は、処理がステップＳ６０１０に進む。
【００８８】
ステップＳ６００６では、システム情報生成部１０３は、改訂後のネットワーク情報１０１と機器情報１０２を取得する。
【００８９】
次に、ステップＳ６００７において、システム情報生成部１０３は、現在の機器構成に対応させたシステム情報１０４を生成する。
具体的には、システム情報生成部１０３は、セキュリティ評価履歴データ７０１から、前回、システム情報１０４を生成した際に生成した構成木（図５）を抽出する。また、システム情報生成部１０３は、抽出した構成木に、改訂後のネットワーク情報１０１と機器情報１０２に合せて、ネットワークの追加又は削除、機器の追加、削除又は接続関係の変更を行う。そして、システム情報生成部１０３は、新たな構成木に基づいて、新たなシステム情報１０４を生成する。新たな構成木から新たなシステム情報１０４を生成する手順は、実施の形態１で説明したものと同様である。
そして、システム情報生成部１０３は、新たなシステム情報１０４を評価項目生成部１０７に出力する。
【００９０】
次に、ステップＳ６００８において、評価項目生成部１０７が、新たなシステム情報１０４に基づいて、変更のある機器のセキュリティ評価項目をセキュリティ評価項目１０５から取得する。
制御システムを構成する機器に変更があった場合、セキュリティ評価項目も変更する必要がある。このため、評価項目生成部１０７は、変更のあった機器のセキュリティ評価項目を取得する。
【００９１】
次に、ステップＳ６００９において、評価項目生成部１０７は、制御システムの機器構成の変更に合せてセキュリティ評価項目を変更する。
具体的には、評価項目生成部１０７は、セキュリティ評価履歴データ７０１から、前回生成した変更前のセキュリティ評価項目を抽出する。そして、評価項目生成部１０７は、セキュリティ評価履歴データ７０１から抽出した変更前のセキュリティ評価項目を削除し、ステップＳ６００８で取得した変更後のセキュリティ評価項目を追加する。また、ステップＳ６００９では、図７のフローが行われる。つまり、変更後のセキュリティ評価項目に外部アクセス条件があれば、システム情報生成部１０３は、当該セキュリティ評価項目を削除する。同様に、変更後のセキュリティ評価項目が免除評価項目であり、他の機器に当該セキュリティ評価項目が適用される場合は、システム情報生成部１０３は、当該セキュリティ評価項目を削除する。
【００９２】
ステップＳ６０１０において、評価項目生成部１０７は、再評価対象の範囲を確認する。
つまり、評価項目生成部１０７は、再評価対象の範囲が一部のセキュリティ評価項目に限定されるのか否かを確認する。例えば、再評価対象の範囲として、ユーザが一部のセキュリティ評価項目を指定している場合は、評価項目生成部１０７は、再評価対象の範囲が一部のセキュリティ評価項目に限定されると判定する。また、変更（機器構成の変更又は機器の設定の変更）の規模が小さく、変更に関係するセキュリティ評価項目のみを用いてセキュリティ評価を行えば足りる場合は、評価項目生成部１０７は、再評価対象の範囲が一部のセキュリティ評価項目に限定されると判定する。
再評価対象の範囲が一部のセキュリティ評価項目に限定される場合（ステップＳ６０１０でＹＥＳ）は、処理がステップＳ６０１１に進む。一方、再評価対象の範囲が全てのセキュリティ評価項目である場合（ステップＳ６０１０でＮＯ）は、処理がステップＳ６０１１に進む。
【００９３】
ステップＳ６０１１では、評価項目生成部１０７が再評価対象の範囲を指定する。
つまり、アクティブスキャン部１０９は、再評価対象の一部のセキュリティ評価項目を指定する。
ステップＳ６００９が行われた場合は、評価項目生成部１０７は、ステップＳ６００９が行われて得られたセキュリティ評価項目のうちの一部のセキュリティ評価項目を指定する。
一方、ステップＳ６００９が行われない場合（機器の設定変更の場合）は、評価項目生成部１０７は、セキュリティ評価履歴データ７０１から前回の選択セキュリティ評価項目１０８を取得し、取得した選択セキュリティ評価項目１０８のうちの一部のセキュリティ評価項目を指定する。
【００９４】
次に、ステップＳ６０１２において、評価項目生成部１０７は、ステップＳ６０１１で指定されたセキュリティ評価項目を新たな選択セキュリティ評価項目１０８として、アクティブスキャン部１０９及びセキュリティ評価部１１１に出力する。
【００９５】
ステップＳ６０１３では、評価項目生成部１０７は、全てのセキュリティ評価項目をアクティブスキャン部１０９に出力する。
ステップＳ６００９が行われた場合は、評価項目生成部１０７は、ステップＳ６００９が行われて得られたセキュリティ評価項目を新たな選択セキュリティ評価項目１０８としてアクティブスキャン部１０９に出力する。
一方、ステップＳ６００９が行われない場合（機器の設定変更の場合）は、評価項目生成部１０７は、セキュリティ評価履歴データ７０１から前回の選択セキュリティ評価項目１０８を取得し、取得した前回の選択セキュリティ評価項目１０８をアクティブスキャン部１０９及びセキュリティ評価部１１１に出力する。
【００９６】
ステップＳ６０１４において、アクティブスキャン部１０９が、評価項目生成部１０７から取得した選択セキュリティ評価項目１０８に記載されたスキャン必要フラグを確認して、スキャンが必要か否かを判定する。
スキャン必要フラグがオフであれば、当該選択セキュリティ評価項目１０８についてはスキャン不要である。この場合は、処理がＳ６０１６に進む。一方、スキャン必要フラグがオンであれば、当該選択セキュリティ評価項目１０８についてスキャンが必要である。この場合は、処理がＳ６０１５に進む。
【００９７】
ステップＳ６０１５では、アクティブスキャン部１０９は、ステップＳ６０１４でスキャンが必要と判定したセキュリティ評価項目に対してスキャンを実施する。スキャンは、図１０に示す手順で行われる。
また、アクティブスキャン部１０９は、スキャン結果を示すアクティブスキャン結果１１０を生成し、生成したアクティブスキャン結果１１０をセキュリティ評価部１１１に出力する。
【００９８】
ステップＳ６０１６では、セキュリティ評価部１１１が、機器情報１０２と選択セキュリティ評価項目１０８とアクティブスキャン結果１１０とを用いて、各機器のセキュリティ設定状況を評価する。
ステップＳ６０１６では、図１１の動作が行われる。
【００９９】
選択セキュリティ評価項目１０８の全てのセキュリティ評価項目について評価が完了している場合（ステップＳ６０１７でＹＥＳ）は、ステップＳ６０１８において、セキュリティ評価部１１１はセキュリティ評価結果１１２を出力する。
セキュリティ評価部１１１は、例えば、検査装置１００に接続されているディスプレイ装置にセキュリティ評価結果１１２を出力してもよい。また、セキュリティ評価部１１１は、通信装置２０２を用いてセキュリティ評価結果１１２を外部機器に送信してもよい。
一方、評価が完了していないセキュリティ評価項目がある場合（ステップＳ６０１８でＮＯ）は、処理がステップＳ６０１４に戻る。全てセキュリティ評価項目についての評価が完了するまで、ステップＳ６０１４からステップＳ６０１７の処理が繰り返される。
【０１００】
＊＊＊実施の形態の効果の説明＊＊＊
以上のように、本実施の形態に係る検査装置は、情報システムに変更が発生した場合に、変更箇所に合わせて必要なセキュリティ評価を実施することで、過不足なく効率的にセキュリティ評価を行うことができる。
【０１０１】
また、本実施の形態に係る検査装置は、再評価を行う際に過去に生成したセキュリティ評価項目及び過去に生成した評価結果を有効に活用するため、短い時間及び少ないリソースで再評価を行うことができる。
【０１０２】
以上、本発明の実施の形態について説明したが、これら２つの実施の形態を組み合わせて実施しても構わない。
あるいは、これら２つの実施の形態のうち、１つを部分的に実施しても構わない。
あるいは、これら２つの実施の形態を部分的に組み合わせて実施しても構わない。
なお、本発明は、これらの実施の形態に限定されるものではなく、必要に応じて種々の変更が可能である。
【０１０３】
＊＊＊ハードウェア構成の説明＊＊＊
最後に、検査装置１００のハードウェア構成の補足説明を行う。
図２に示すプロセッサ２０１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）である。
プロセッサ２０１は、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ  Ｓｉｇｎａｌ  Ｐｒｏｃｅｓｓｏｒ）等である。
図２に示す記憶装置２０３は、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）、ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）、フラッシュメモリ、ＨＤＤ（Ｈａｒｄ  Ｄｉｓｋ  Ｄｒｉｖｅ）等である。
図２に示す通信装置２０２は、データの通信処理を実行する電子回路である。
通信装置２０２は、例えば、通信チップ又はＮＩＣ（Ｎｅｔｗｏｒｋ  Ｉｎｔｅｒｆａｃｅ  Ｃａｒｄ）である。
【０１０４】
また、記憶装置２０３には、ＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）も記憶されている。
そして、ＯＳの少なくとも一部がプロセッサ２０１により実行される。
プロセッサ２０１はＯＳの少なくとも一部を実行しながら、システム情報生成部１０３、評価項目生成部１０７、アクティブスキャン部１０９及びセキュリティ評価部１１１の機能を実現するプログラムを実行する。
プロセッサ２０１がＯＳを実行することで、タスク管理、メモリ管理、ファイル管理、通信制御等が行われる。
また、システム情報生成部１０３、評価項目生成部１０７、アクティブスキャン部１０９及びセキュリティ評価部１１１の処理の結果を示す情報、データ、信号値及び変数値の少なくともいずれかが、記憶装置２０３、プロセッサ２０１内のレジスタ及びキャッシュメモリの少なくともいずれかに記憶される。
また、システム情報生成部１０３、評価項目生成部１０７、アクティブスキャン部１０９及びセキュリティ評価部１１１の機能を実現するプログラムは、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ等の可搬記録媒体に格納されていてもよい。
【０１０５】
また、システム情報生成部１０３、評価項目生成部１０７、アクティブスキャン部１０９及びセキュリティ評価部１１１の「部」を、「回路」又は「工程」又は「手順」又は「処理」に読み替えてもよい。
また、検査装置１００は、処理回路により実現されてもよい。処理回路は、例えば、ロジックＩＣ（Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）、ＧＡ（Ｇａｔｅ  Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ  Ｓｐｅｃｉｆｉｃ  Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ  Ｇａｔｅ  Ａｒｒａｙ）である。
なお、本明細書では、プロセッサと処理回路との上位概念を、「プロセッシングサーキットリー」という。
つまり、プロセッサと処理回路とは、それぞれ「プロセッシングサーキットリー」の具体例である。
【符号の説明】
【０１０６】
１００  検査装置、１０１  ネットワーク情報、１０２  機器情報、１０３  システム情報生成部、１０４  システム情報、１０５  セキュリティ評価項目、１０６  候補セキュリティ評価項目、１０７  評価項目生成部、１０８  選択セキュリティ評価項目、１０９  アクティブスキャン部、１１０  アクティブスキャン結果、１１１  セキュリティ評価部、１１２  セキュリティ評価結果、２０１  プロセッサ、２０２  通信装置、２０３  記憶装置、７０１  セキュリティ評価履歴データ、７０２  実施済み評価項目、７０３  実施済みセキュリティ評価結果、９０１  セキュリティポリシーチェックリスト。
【図１】
0006815576.tif 000002
【図２】
0006815576.tif 000003
【図３】
0006815576.tif 000004
【図４】
0006815576.tif 000005
【図５】
0006815576.tif 000006
【図６】
0006815576.tif 000007
【図７】
0006815576.tif 000008
【図８】
0006815576.tif 000009
【図９】
0006815576.tif 000010
【図１０】
0006815576.tif 000011
【図１１】
0006815576.tif 000012
【図１２】
0006815576.tif 000013
【図１３】
0006815576.tif 000014
【図１４】
0006815576.tif 000015