(57)【特許請求の範囲】
【請求項１】
情報システムにおけるセキュリティに関する各項目の設定値を監視し各設定値の変化に起因するセキュリティ劣化が生じた時、セキュリティ劣化解消の指示を出力するセキュリティ劣化防止支援装置であって、
前記各項目の基準値となる基準設定値を記憶する基準設定値メモリと、
一定期間毎に前記各項目の現状値である現状設定値を検出する現状設定値検出手段と、
前記一定期間毎に検出される各項目の現状設定値の前記基準設定値メモリに記憶された基準設定値からの差異を算出する差異検出手段と、
前記一定期間毎に算出される各差異の一つ前の期間における差異からの増加量を算出する増加量算出手段と、
この算出された増加量に対応したセキュリティ劣化解消の指示を出力する出力手段と、
前記各期間における前記算出された差異、及び増加量の経過時間に対する変化を視覚的に表示する表示手段と
を備えたことを特徴とするセキュリティ劣化防止支援装置。
【請求項２】
前記各項目の重要度をそれぞれ記憶する重要度メモリと、
前記差異検出手段で算出されて前記増加量算出手段に供給される差異を重要度メモリに記憶された重要度で修正する差異修正手段と
を備えたことを特徴とする請求項１記載のセキュリティ劣化防止支援装置。
【請求項３】
前記差異検出手段で一定期間毎に算出されて前記増加量算出手段に供給される各差異が一つ前の期間の差異を継続したもののとき、当該差異を未対応に対する警告量で修正する差異修正手段を
備えたことを特徴とする請求項１記載のセキュリティ劣化防止支援装置。
【請求項４】
外部指示に基づいて、差異が検出された情報システムのセキュリティに関する各項目の現状設定値を前記基準設定値メモリに記憶された当該項目の基準設定値に変更する指示を出力する変更指示出力手段と、
外部指示に基づいて、差異が検出された基準設定値メモリに記憶された項目の基準設定値を情報システムの当該項目の現状設定値に変更する基準設定値変更手段と
を備えたことを特徴とする請求項１記載のセキュリティ劣化防止支援装置。
【請求項５】
監視対象の情報システムにおけるセキュリティの各項目の基準値となる基準設定値を記憶する基準設定値メモリを有し、前記情報システムにおけるセキュリティに関する各項目の設定値を監視し各設定値の前記基準設定値メモリの基準設定値からの変化に起因するセキュリティ劣化が生じた時、セキュリティ劣化解消の指示を出力するコンピュータを、
一定期間毎に前記各項目の現状値である現状設定値を検出する現状設定値検出手段と、
前記一定期間毎に検出される各項目の現状設定値の前記基準設定値メモリに記憶された基準設定値からの差異を算出する差異検出手段と、
前記一定期間毎に算出される各差異の一つ前の期間における差異からの当該差異の増加量を算出する増加量算出手段と、
この算出された増加量に対応したセキュリティ劣化解消の指示を出力する出力手段と、
前記各期間における前記算出された差異、及び増加量を経過時間に対する変化を視覚的に表示する表示手段
として機能させることを特徴とするセキュリティ劣化防止支援プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報システムにおけるセキュリティ劣化の状況を監視し、劣化状況に応じてその対策の指示を出力するセキュリティ劣化防止支援装置、及びセキュリティ劣化防止支援プログラムに関する。
【背景技術】
【０００２】
工場や事務所や金融機関内などに構築された大規模な情報システムにおいては、この情報システムの内部の担当者はインターネットや通信回線を介して外部にアクセス可能に構成されている。また、外部の人がこのような情報システムをアクセス可能に構成されている場合も少なくない。また、情報システム自体も、クライアント・サーバシステムの形態が主に採用されており、主業務を行う業務サーバ、各種の情報を記憶するＤＢ（データベース）サーバ、クライアントとしての担当者（ユーザ）端末、外部のインターネットなどに接続されたルータなどが、例えば社内ＬＡＮなどに組み入れられている。
【０００３】
そして、この情報システムのセキュリティを確保するために、上記業務サーバやＤＢサーバなどに対して、サーバ毎に、当該サーバにアクセス許可される担当者（ユーザ）のリストがこの情報システムの管理者にて、各サーバ内に設定されている。同様に、社内ＬＡＮと外部のインターネットとの間には、ソフトウェア上またはハードウェア上のＦＷ（ファイァ・ウォール）が構築されており、例えば予め許可された送信者や送信元のリストが当該ＦＷ（ファイア・ウォール）に設定されることで、このＦＷ（ファイア・ウォール）を通過することができるか否かが決定される。
【０００４】
さらに、業務サーバ、ＤＢサーバ、ＦＷなどは、多数の入出力ポートを有しているが、そのうちで有効なポートのポート番号を設定しており、設定されていないポート番号に対して、第三者が各種信号を印加しても、この業務サーバ、ＤＢサーバ、ＦＷなどをアクセスできない。
【０００５】
しかし、このような情報システムの構築時に設定されたセキュリティに関する上述した各項目の設定値が永遠に継続されることはなく、この様な設定値は経時的に変化するものである。例えば、この情報システムを用いて各種業務を実施する担当者が変更になると、この変更に伴って各サーバのアクセス可能リストが変更される。しかしながら、担当を外れた元担当者をアクセス可能リストに設定されたままであることが、多々ある。したがって、情報システムの長期間に亘る稼働を行うと、後々セキュリティ上の劣化は必然的に生じてしまう。また、この情報システムのメンテナンスのために外部の管理会社の担当者を一時的にアクセス許可リストに加えることも運用上ありえるが、メンテナンス終了後にアクセス許可リスから外すことを忘れる場合がある。
【０００６】
特許文献１には、情報システムのセキュリティに関する各項目の上述した設定値を監視し、セキュリティ上の脆弱点を検出して、この脆弱点の情報をシステム管理者に通知する。システム管理者は、情報システムに対して、指示された脆弱点の情報に基づいて脆弱点に対する対策を実施する技術が開示されている。
【特許文献１】特開２００３―２１６５７７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかし、この特許文献１の「セキュリティレベル監視評価装置及びセキュリティレベル監視評価プログラム」においては、情報システムのセキュリティの脆弱点の情報をシステム管理者に通知するのみであり、その脆弱点を解消するような具体的対策の技術構成については言及していない。
【０００８】
また、上記のような情報システムのセキュリティを高いレベルに維持するための前述した各項目の種々の設定値が、この情報システムの稼働当初の設定値と異なることが、システム管理者へ通知されたとしても、即セキュリティ事故に結びつくわけではないので、システム管理者が、対応を怠る場合が発生する。
【０００９】
本発明は、このような事情に基づいてなされたものであり、セキュリティに関する各項目の基準設定値を記憶保持し、一定期間毎に検出した現状設定値との差異に基づいて劣化解消の指示を出力でき、情報システムにセキュリティ劣化が生じた場合に、より確実にセキュリティ劣化が解消され、情報システムを常に高いセキュリティレベルに維持できるセキュリティ劣化防止支援装置、及びセキュリティ劣化防止支援プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１０】
上記課題を解消するために、本発明は、情報システムにおけるセキュリティに関する各項目の設定値を監視し各設定値の変化に起因するセキュリティ劣化が生じた時、セキュリティ劣化解消の指示を出力するセキュリティ劣化防止支援装置である。
【００１１】
そして、セキュリティ劣化防止支援装置は、各項目の基準値となる基準設定値を記憶する基準設定値メモリと、一定期間毎に各項目の現状値である現状設定値を検出する現状設定値検出手段と、一定期間毎に検出される各項目の現状設定値の基準設定値メモリに記憶された基準設定値からの差異を算出する差異検出手段と、一定期間毎に算出される各差異の一つ前の期間における差異からの増加量を算出する増加量算出手段と、この算出された増加量に対応したセキュリティ劣化解消の指示を出力する出力手段と、各期間における前記算出された差異、及び増加量を経過時間に対する変化を視覚的に表示する表示手段とを備えている。
【００１２】
このように構成されたセキュリティ劣化防止支援装置においては、一定期間毎に情報システムにおけるセキュリティに関する各項目の現状設定値が検出され、基準設定値メモリに記憶された基準設定値からの差異が計算される。さらに、差異の一つ前の期間における差異からの増加量が算出され、この増加量に対応したセキュリティ劣化解消の指示が出力される。
【００１３】
このように差異が増加する毎に、より効果的なセキュリティ劣化解消の指示が出力されるので、長期間に亘って、大きな差異が生じたままで放置されることが防止される。
【００１４】
また、別の発明は、上記発明のセキュリティ劣化防止支援装置において、各項目の重要度をそれぞれ記憶する重要度メモリと、差異検手段で算出されて増加量算出手段に供給される差異を重要度メモリに記憶された重要度で修正する差異修正手段とを備えている。
【００１５】
このように構成されたセキュリティ劣化防止支援装置においては、セキュリティに関する各項目に重要度が設定されているので、重要な項目に差異が生じると、増加量が増大するので、より効果的なセキュリティ劣化解消の指示が出力される。
【００１６】
また、別の発明は、上記発明のセキュリティ劣化防止支援装置において、差異検出手段で一定期間毎に算出されて増加量算出手段に供給される各差異が一つ前の期間の差異を継続したもののとき、当該差異を未対応に対する警告量で修正する差異修正手段を備えている。
【００１７】
このように構成されたセキュリティ劣化防止支援装置においては、一つの期間で差異の解消処置が実施されない場合は、次の期間に差異が持ち越される。この場合、差異が警告量で増額修正されるので、増加量が増大するので、より効果的なセキュリティ劣化解消の指示が出力される。
【００１８】
また、別の発明は、上記発明のセキュリティ劣化防止支援装置に対して、外部指示に基づいて、差異が検出された情報システムのセキュリティに関する各項目の現状設定値を基準設定値メモリに記憶された当該項目の基準設定値に変更する指示を出力する変更指示出力手段と、外部指示に基づいて、差異が検出された基準設定値メモリに記憶された項目の基準設定値を情報システムの当該項目の現状設定値に変更する基準設定値変更手段とを備えている。
【００１９】
このように構成されたセキュリティ劣化防止支援装置においては、必要に応じて、基準設定値メモリに記憶された項目の基準設定値と情報システムの各項目の現状設定値とをいずれか一方の設定値に書き替えることによって、両者を同一値とすることが可能である。
【００２０】
また、別の発明はセキュリティ劣化防止支援プログラムである。このセキュリティ劣化防止支援プログラムは、監視対象の情報システムにおけるセキュリティの各項目の基準値となる基準設定値を記憶する基準設定値メモリを有し、情報システムにおけるセキュリティに関する各項目の設定値を監視し各設定値の基準設定値メモリの基準設定値からの変化に起因するセキュリティ劣化が生じた時、セキュリティ劣化解消の指示を出力するコンピュータを、
一定期間毎に各項目の現状値である現状設定値を検出する現状設定値検出手段と、一定期間毎に検出される各項目の現状設定値の基準設定値メモリに記憶された基準設定値からの差異を算出する差異検手段と、一定期間毎に算出される各差異の一つ前の期間における差異から増加量を算出する増加量算出手段と、この算出された増加量に対応したセキュリティ劣化解消の指示を出力する出力手段と、前記各期間における前記算出された差異、及び増加量を経過時間に対する変化を視覚的に表示する表示手段として機能させる。
【００２１】
このように構成されたセキュリティ劣化防止支援プログラムは、前述した発明のセキュリティ劣化防止支援装置とほぼ同様の作用効果を奏することが可能である。
【発明の効果】
【００２２】
本発明によれば、セキュリティに関する各項目の基準設定値を記憶保持し、一定期間毎に検出した現状設定値との差異に基づいて劣化解消の指示を出力でき、情報システムにセキュリティ劣化が生じた場合に、より確実にセキュリティ劣化が解消され、情報システムを常に高いセキュリティレベルに維持できる。
【発明を実施するための最良の形態】
【００２３】
以下、本発明の各実施形態を図面を用いて説明する。
【００２４】
（第１実施形態）
図１は本発明の第１実施形態に係わるセキュリティ劣化防止支援プログラムが組込まれたセキュリティ劣化防止支援装置の概略構成を示すブロック図である。
【００２５】
例えば、コンピュータからなるセキュリティ劣化防止支援装置１は、企業や団体内などに構築された情報システム２におけるセキュリティに関する各項目の設定値を監視して、セキュリティ上の劣化事象（現象）が生じた時、セキュリティ劣化解消の指示を出力するものである。
【００２６】
監視対象の情報システム２は、例えば、図２（ａ）に示すように、当該情報システムを用いて主たる業務を行うための業務サーバ２ａ、ＤＢ（データベース）サーバ２ｂ、担当者端末２ｃ、管理者端末２ｄ、上長端末２ｅ、インターネット２ｆなどに接続されたＦＷとしてのルータ２ｇ、セキュリティ劣化防止支援装置１に接続された通信ＩＦ２ｈなどが、社内ＬＡＮ２ｉなどに組み入れられている。
【００２７】
そして、この情報システム２のセキュリティを確保するために、上記業務サーバ２ａやＤＢサーバ２ｂなどに対して、サーバ毎に、当該サーバにアクセス許可される担当者（ユーザ）のリストがこの情報システム２の管理者にて、各サーバ内に設定されている。例えば図２（ｂ）に主業務サーバ２ａに対するアクセスが許可されたユーザリスト２ｊを示す。このユーザリスト２ｊには、図２（ｂ）に示すように現在時点で８人のユーザが設定されているものとする。
【００２８】
同様に、社内ＬＡＮ２ｉとインターネット２ｆとの間には、ルータ２ｇにＦＷ（ファイァ・ウォール）の機能が組み入れられており、このルータ２ｇ（ＦＷ）を通過する各種情報の許可された送信者のリストが当該ＦＷ（ファイア・ウォール）に設定されている。
【００２９】
さらに、業務サーバ２ａ、ＤＢサーバ２ｂ、ＦＷなどは、多数の入出力ポートを有しているが、そのうちで有効なポートのポート番号を設定しており、設定されていないポート番号のポートに各種信号を印加しても、この業務サーバ２ａ、ＤＢサーバ２ｂ、ＦＷなどをアクセスできない。
【００３０】
セキュリティ劣化防止支援装置１内には、図１に示すように、管理者が各種の指示を入力するためのキーボードやマウスなどからなる操作部３、現在時刻（月日）を計時する時計回路４、算出された「差異」や「傾きＫ（増加量）」を経過時間（日）を横軸としてグラフィック表示する表示器５、各種情報を記憶する例えばＨＤＤなどで構成された記憶部６などのハードウェア資源が設けられている。
【００３１】
この記憶部６内には、セキュリティ劣化防止支援装置１が実行する各種の処理動作のアプリケーション・プログラムを記憶するプログラムメモリ７、基準設定値メモリ８、設定リスト９、セキュリティ劣化テーブル１０、対応処理メモリ１１が設けられている。
【００３２】
さらに、このセキュリティ劣化防止支援装置１内には、前記プログラムメモリ７のアプリケーション・プログラム上に形成された、設定部１２、現状セキュリティ検出部１３、差異検出部１４、セキュリティ劣化テーブル書込部１５、傾き算出部１６、対応処理決定部１７、対応処理実行部１８、編集部１９、表示制御部２０、現状設定値変更部２１、基準設定値変更部２２などが形成されている。
【００３３】
以下各部の詳細構成及び動作を順番に説明する。  
基準設定値メモリ８内には、図３に示すように、情報システム２におけるセキュリティの図２（ａ）、（ｂ）で説明した各項目２３の基準設定値が記憶されている。この実施形態においては１〜７の項目番号が付された７個の項目２３が記憶されている。
【００３４】
項目番号「１」の項目２３には、「業務サーバアクセスユーザ」の項目名、「業務サーバに対するアクセスを許可されたユーザ」の内容、実際に設定値のデータが格納されている「業務サーバユーザリスト」のファイル名が設定されている。このファイルは、設定リスト９内に、図４（ａ）の形式で示される。具体的には、業務サーバ２ａに対して山田一郎を含み５名が許可されたユーザとして設定されている。したがって、この１番の項目２３の基準設定値は「５」となる。
【００３５】
これに対して、情報システム２に現時点（ある時点）で業務サーバ２ａに対してアクセス許可されたユーザ数は図２（ｂ）に示したように８名であるので、現状設定値は「８」となり、セキュリティ劣化の量を示す「差異」は「３」となる。
【００３６】
なお、基準設定値メモリ８内に設定されている人数と、情報システム２における現状設定値の人数がたとえ一致していたとしても、設定されている氏名が異なる場合は、異なる氏名の数を「差異」とすることも可能である。例えば、基準設定値メモリ８内に「山田、鈴木、高橋」と設定されていて、情報システム２における現状設定として「山田、鈴木、大阪」である場合は、１名が異なるので、「差異」＝１となる。
【００３７】
項目番号「２」の項目２３は、図２（ａ）のＤＢサーバ２ｂに対するアクセス許可されたユーザ名が前述した設定リスト９に設定されている。したがって、この項目２３の基準設定値は設定されたユーザの人数である。
【００３８】
項目番号「３」の項目２３は、図２（ａ）の前述したＦＷ（ファイア・ウォール）を各種情報が通過するための条件情報が前述した設定リスト９に設定されている。例えば、ここでいう条件情報とは、当該ＦＷを通過する各種情報を発信（送信）した送信者のユーザ名が該当する。したがって、この項目２３の基準設定値は設定されたユーザの人数である。
【００３９】
項目番号「４」の項目２３は、ＦＷ（ルータ２ｇ）を通過可能な情報の種別であり、設定リスト９に、図４（ｂ）に示す状態で設定されている。この項目２３の基準設定値は設定された通過可能な情報の種別の数である。たとえば、ここで「データ削除要求」に関しては、ＦＷ（ルータ２ｇ）は通過しないという条件となっていることがわかる。
【００４０】
項目番号「５」の項目２３は、業務サーバ２ａにおける有効なポートのポート番号であり、設定リスト９に、図４（ｃ）に示す状態で設定されている。この項目２３の基準設定値は有効に設定されたポート番号の総数であり、この実施形態においては、基準設定値は「５」である。
【００４１】
項目番号「６」の項目２３は、ＤＢサーバ２ｂにおける有効なポートのポート番号であり、設定リスト９に設定されている。この項目２３の基準設定値は有効に設定されたポート番号の総数である。
【００４２】
項目番号「７」の項目２３は、ＦＷにおける有効なポートのポート番号であり、設定リスト９に設定されている。この項目２３の基準設定値は有効に設定されたポート番号の総数である。
【００４３】
この業務システム２の管理責任者又はセキュリティ劣化防止支援装置１の管理責任者が操作部３を介して操作入力すると、設定部１２は基準設定値メモリ８内の各基準設定値を基準設定値メモリ８に設定する。
【００４４】
セキュリティ劣化テーブル１０内には、図５に示すように、前述した「１」番から「７」番までの７つのセキュリティの項目２３毎に、１０月１日から１０月８まで１日（期間）毎に監視、算出された「差異」、「傾き」が書込まれている。
【００４５】
現状セキュリティ検出部１３は、時計回路４の例えば１日などの一定期間毎の時間割込に応じて、監視対象の情報システム２に対して、前述した「１」番から「７」番までの７つの項目２３に対して、現時点において、当該情報システム２に設定されている現状設定値を読出して、差異検出部１４へ送出する。
【００４６】
差異検出部１４は、検出された情報システム２の各項目２３の「現状設定値」から、基準設定値メモリ８に記憶されている同一項目２３の「基準設定値」を減算して、セキュリティ劣化を示す「差異」を算出する。
【００４７】
「（設定値の）差異」＝「現状設定値」―「基準設定値」
但し、「現状設定値」が「基準設定値」に等しい場合、又は下回る場合は、該当項目２３に対して、セキュリティ劣化事象（現象）は生じていないので、強制的に、「差異」＝０としている。セキュリティ劣化テーブル書込部１５は、算出された各項目２３の差異をセキュリティ劣化テーブル１０内の当該日付の差異欄に書込む。例えば、今日が１０月２日の場合、項目番号「１」の項目２３の業務サーバ２ａの基準設定値は図４（ａ）に示す「５（人）」であるのに対して、実際の業務サーバ２ａの現状設定値は図２（ｂ）に示す「８（人）」であるので、セキュリティ劣化を示す「差異」は、８−５＝３となる。
【００４８】
増加量算出手段としての傾き算出部１６は、１日などの一定期間毎に算出される各「差異」の一つ前の期間における「差異」からの当該差異が増加する方向の「増加量」を「傾きＫ」として算出する。この場合、差異が減少した場合は、セキュリティ劣化が改善されたので、「増加量」を示す「傾きＫ」＝０とする。
【００４９】
例えば、今日が１０月２日の場合、「１」番の項目２３の業務サーバ２ａの差異＝３で、前日（１０月１日）の差異＝０であるので、「増加量」を示す「傾きＫ」＝３となる。１０月３日に実際の業務サーバ２ａの現状設定値が５に設定変更されたとすると、差異＝０となるので、「増加量」を示す「傾きＫ」＝０となる。
【００５０】
対応処理メモリ１１内には、図６に示すように、この算出されたセキュリティ劣化の「増加量」を示す「傾きＫ」に対応したセキュリティ劣化解消の指示（対策）が記憶されている。傾きＫ＝１に対しては管理者端末２ｄへの通知を指示し、傾きＫ＝２に対しては管理者端末２ｄ及び上長端末２ｅへの通知を指示し、傾きＫ≧３に対しては、当該機器（端末）をＬＡＮなどのネットワークから強制的に切り離す指示を出す。
【００５１】
対応処理決定部１７は、傾き算出部１６で、１以上の傾きＫが算出されると、対応処理メモリ１１から傾きＫに対応するセキュリティ劣化解消の指示を決定する。対応処理実行部１８は、この決定した対応処理を情報システム２に対して実行する。
【００５２】
編集部１９は、操作者の指示に基づいて、図５に示すセキュリティ劣化テーブル１０における１日毎の７つの項目２３の「合計差異」と「合計傾きＫ」とを算出する。表示制御部２０は、編集部１９で編集された、セキュリティ劣化テーブル１０に書込まれた各項目２３の「差異」、「傾きＫ」を、図７、図８に示すように、表示器５に、日付を横軸にグラフィック表示する。
【００５３】
さらに、現状設定値変更部２１は、操作者の指示に基づいて、前述した図２（ａ）で示した、「差異」が検出された情報システム２のセキュリティに関する各項目２３の現状設定値を基準設定値メモリ８に記憶された当該項目２３の基準設定値に変更する。
【００５４】
また、逆に、基準設定値変更部２２は、操作者の指示に基づいて、「差異」が検出された基準設定値メモリ８に記憶された項目の基準設定値を情報システム２の当該項目の現状設定値に変更する。
【００５５】
このように、必要に応じて、基準設定値メモリ８に記憶された項目の基準設定値と情報システム２の各項目の現状設定値とをいずれか一方の設定値に書き替えることによって、両者を同一値とすることが可能である。
【００５６】
図９は、このような構成の第１実施形態のセキュリティ劣化防止支援装置１の全体動作を示す流れ図である。１日の期間ΔＴが経過すると、（ステップＳ１）、項目２３の番号ｍを１に初期設定（Ｓ２）し、項目番号ｍの項目２３の情報システム２における現状のセキュリティ値である現状設定値を読取る（Ｓ３）。
【００５７】
次に、基準設定値メモリ８に記憶された同一項目２３の基準設定値を読取り（Ｓ４）、両者の差異Ｄを算出する（Ｓ５）。算出した差異をセキュリティ劣化テーブル１０に書込む（Ｓ６）。そして、一つ前の期間における「差異」からの当該差異が増加する方向の「増加量」を「傾きＫ」（Ｋ＝Ｄ―Ｄ-1）として算出する（Ｓ７）。
【００５８】
そして、「傾きＫ」が、０でなく、１以上の場合（Ｓ８）で、傾きＫ＝１のとき（Ｓ９）、管理者端末２ｄへの通知を指示する（Ｓ１０）。また、傾きＫ＝２のとき（Ｓ１１）、管理者端末２ｄ及び上長端末２ｅへの通知を指示する（Ｓ１２）。最後に、傾きＫ≧３のとき（Ｓ１３）、当該機器（端末）をＬＡＮなどのネットワークから強制的に切り離す指示を出す（Ｓ１４）。
【００５９】
以上で、項目番号ｍの項目２３の設定値に対する処理が終了したので、項目番号ｍを更新し（Ｓ１５）、更新後の項目番号ｍが最大値７（本実施例の場合は最大値７）を超えていないことを確認する（Ｓ１６）。そして、Ｓ３へ戻り、次の項目２３に対する処理を開始する。なお、Ｓ８にて、「傾きＫ」が０の場合は、Ｓ１５へ進み、項目番号ｍを更新する。
【００６０】
Ｓ１６にて、全部の項目２３に対する１日分の処理が終了すると、合計差異、合計傾きを算出して、セキュリティ劣化テーブル１０に書込む（Ｓ１７）。そして、操作者から表示指示が操作入力された場合は（Ｓ１８）、セキュリティ劣化テーブル１０に書込まれているの現在時刻（日）までの差異Ｄ、傾きＫを表示器５にグラフィック表示する（Ｓ１９）。そして、終了指示が入力されないと（Ｓ２０）、Ｓ１へ戻り、１日待って、次の日におけセキュリティ監視処理を開始する。
【００６１】
このように構成された第１実施形態のセキュリティ劣化防止支援装置１においては、１日などの一定期間毎に情報システム２におけるセキュリティの１番から７番までの各項目２３の現状設定値が検出され、セキュリティ劣化防止支援装置１内の記憶部６内に設けられた基準設定値メモリ８に記憶された同一項目２３の基準設定値からの差異Ｄが計算される。
【００６２】
さらに、この「差異」の一つ前の期間（１日前）における差異Ｄ-1からの増加量がセキュリティ劣化の加速度を示す「傾きＫ」（Ｋ＝Ｄ―Ｄ-1）として算出され、この「傾きＫ」（Ｋ＝１、Ｋ＝２、Ｋ≧３）に対応した、図６に示す３種類のセキュリティ劣化解消の指示が出力される。
【００６３】
このように差異が増加する毎に、より効果的なセキュリティ劣化解消の指示が出力されるので、長期間に亘って、大きな差異が生じたままで放置されることが防止される。
【００６４】
前述したように、図７は、セキュリティに関する各項目の「差異」の経時変化を示し、図８は、セキュリティに関する各項目の「差異」の増加量（傾きＫ）の経時変化を図である。管理者は、この傾きＫの変遷を確認することにより、前記「傾きＫ」に対応したセキュリティ劣化解消の対策が実施されずに放置されたことが明確に解るので、管理者に対する注意を喚起できる。
【００６５】
さらに、傾きＫ≧３に対しては、当該機器（端末）をＬＡＮなどのネットワークから切り離す実力行使となるので、最低限のセキュリティは確保される。
【００６６】
（第２実施形態）
図１０は本発明の第２実施形態に係わるセキュリティ劣化防止支援装置１ａの概略構成を示すブロック図である。図１に示す第１実施形態に係わるセキュリティ劣化防止支援装置１と同一部分には、同一符号を付して、重複部分の詳細説明は省略する。
【００６７】
この第２実施形態のセキュリティ劣化防止支援装置１ａにおいては、記憶部６内に、図１１に示す重要度メモリ２４が形成されている。この重要度メモリ２４内には、情報システム２におけるセキュリティに関する項目番号１から項目番号７までの各項目２３に対して「１」、「２」、「３」の３種類の重要度Ｇが設定されている。例えば、項目番号２のＤＢサーバ２ｂのアクセス可能者リストの項目２３に最高位の「３」の重要度Ｇが設定されている。
【００６８】
さらに、差異修正部２５は、差異検出部１４で算出された各項目２３の差異に、重要度メモリ２４から読出した同一項目２３の重要度Ｇを乗算して、重要度Ｇが乗算された差異を修正後の新たな差異として、図１２、図１３に示すセキュリティ劣化テーブル１０ａの当該修正欄２６に書込む。
【００６９】
［修正差異］＝「差異Ｄ」×［重要度Ｇ］
そして、増加量算出手段としての傾き算出部１６は、１日などの一定期間毎に算出される各修正後の「差異」の一つ前の期間における修正後の「差異」からの当該差異が増加する方向の「増加量」を「傾きＫ」として算出する。この場合、差異が減少した場合は、セキュリティ劣化が改善されたので、「増加量」を示す「傾きＫ」＝０とする。
【００７０】
この第２実施形態のセキュリティ劣化防止支援装置１ａの記憶部６内に形成されたセキュリティ劣化テーブル１０ａ内には、図１２、図１３に示すように、算出された［修正差異］＝（「差異Ｄ」×［重要度Ｇ］）を書込む各領域２６が形成されている。
【００７１】
例えば、「１」番の項目２３の重要度はＧ＝「１」であるので、例えば、今日が１０月２日の場合、「１」番の項目２３の業務サーバ２ａの差異＝修正差異＝３で、前日（１０月１日）の差異＝修正差異＝０であるので、「増加量」を示す「傾きＫ」＝３となる。１０月３日に実際の業務サーバ２ａの現状設定値が５に設定変更されたとすると、差異＝０となるので、「増加量」を示す「傾きＫ」＝０となる。
【００７２】
一方、「２」番の項目２３の重要度はＧ＝「３」であるので、例えば、今日が１０月２日の場合、「２」番の項目２３のＤＢサーバ２ｂの差異＝１が修正差異＝３に修正される。前日（１０月１日）の差異＝修正差異＝０であるので、「増加量」を示す「傾きＫ」＝３となる。１０月３日に実際の業務サーバ２ａの現状設定値が５に設定変更されたとすると、差異＝０となるので、「増加量」を示す「傾きＫ」＝０となる。
【００７３】
編集部１９は、操作者の指示に基づいて、図１２、図１３に示すセキュリティ劣化テーブル１０ａにおける１日毎の７つの項目２３の「合計修正差異」と「合計修正傾きＫ」とを算出する。表示制御部２０は、編集部１９で編集された、セキュリティ劣化テーブル１０ａに書込まれた各項目２３の「差異（修正）」、「傾きＫ（修正）」を、図１４、図１５に示すように、表示器５に、日付を横軸にグラフィック表示する。
【００７４】
図１６は、このような構成の第２実施形態のセキュリティ劣化防止支援装置１ａの全体動作を示す流れ図である。図９に示す第１実施形態のセキュリティ劣化防止支援装置１の全体動作を示す流れ図と同一部分には、同一符号を付して、重複する部分の詳細説明を省略する。
【００７５】
すなわち、１日の期間ΔＴが経過すると、（ステップＳ１）、項目２３の番号ｍを１に初期設定（Ｓ２）し、項目番号ｍの項目２３の情報システム２における現状のセキュリティ値である現状設定値を読取る（Ｓ３）。基準設定値メモリ８に記憶された同一項目の基準設定値を読取り（Ｓ４）、両者の差異Ｄを算出して、セキュリティ劣化テーブル１０ａに書込む（Ｓ５）。
【００７６】
そして、ステップＳ５ａにおいて、この算出した差異Ｄを重要度メモリ２４に記憶された同一項目２３の重要度Ｇで修正する（Ｄ＝Ｄ×Ｇ）。この修正した差異をセキュリティ劣化テーブル１０ａの当該領域２６に書込む（Ｓ６）。そして、一つ前の期間における「修正差異」からの当該差異が増加する方向の「増加量」を「修正傾きＫ」（Ｋ＝Ｄ―Ｄ-1）として算出する（Ｓ７）。
【００７７】
以下の動作は、図９に示す第１実施形態のセキュリティ劣化防止支援装置１の全体動作を示す流れ図とほぼ同じである。
【００７８】
このように構成された第２実施形態のセキュリティ劣化防止支援装置１ａにおいては、セキュリティに関する各項目２３に重要度Ｇが設定されているので、例えば、ＤＢサーバ２ｂのアクセス可能リストなどの重要な項目２３に差異が生じると、差異の増加量を示す傾きＫが大幅に増大するので、より効果的なセキュリティ劣化解消の指示が出力される。その結果、情報システム２のセキュリティをより高いレベルに維持できる。
【００７９】
（第３実施形態）
図１７は本発明の第３実施形態に係わるセキュリティ劣化防止支援装置１ｂの概略構成を示すブロック図である。図１０に示す第２実施形態に係わるセキュリティ劣化防止支援装置１ａと同一部分には、同一符号を付して、重複部分の詳細説明は省略する。
【００８０】
この第３実施形態のセキュリティ劣化防止支援装置１ｂにおいては、記憶部６内に設けられていた、重要度メモリ２４は除去されている。そして、この第３実施形態においては、第２実施形態の差異修正部２５とは異なる修正を実施する差異修正部２７が設けられている。
【００８１】
この差異修正部２７は、１日毎に算出される各項目２３の各「差異」が一つ前の期間（１日前）の「差異」を継続（持越し）したもののとき、当該差異を未対応に対する警告量で修正する。具体的には、当日の差異に前日の「差異」を加算した差異を当日の修正差異とする。ここでいう継続（持越し）とは、ある項目の「差異」とその次の期間（１日後）の「差異」とを比較した場合に、変更なし、つまりセキュリティ劣化に対する対応（対策）を怠った場合に相当する。
【００８２】
当日の修正差異＝［当日の差異］＋［前日の差異］
例えば、図１８に示すセキュリティ劣化テーブル１０ｂにおける、１０月４日、１０月５日、１０月６日、１０月７日、１０月８日の項目番号１の項目２３における、各差異が０、１、１、３、０である場合に、前日の「１」の差異を当日に持ち越した、１０月６日、１０月７日の各差異１、３が修正されて、それそれ、２、４となる。
【００８３】
なお、前日の差異が「０」の場合は、当日への持ち越しは無いので、当日の差異がそのまま当日の修正差異となる。
【００８４】
編集部１９は、操作者の指示に基づいて、図１８、図１９に示すセキュリティ劣化テーブル１０ｂにおける１日毎の７つの項目２３の「合計修正差異」と「合計修正傾きＫ」とを算出する。表示制御部２０は、編集部１９で編集された、セキュリティ劣化テーブル１０ｂに書込まれた各項目２３の「差異（修正）」、「傾きＫ（修正）」を、図２０、図２１に示すように、表示器５に、日付を横軸にグラフィック表示する。なお、図２０、図２１においては、グラフの煩雑さを避けるために、項目番号１の項目２３と、全項目（合計項目）の差異（修正）の経時変化と、傾きＫ（修正）の経時変化を表示している。
【００８５】
図２２は、このような構成の第３実施形態のセキュリティ劣化防止支援装置１ｂの全体動作を示す流れ図である。図９に示す第１実施形態のセキュリティ劣化防止支援装置１の全体動作を示す流れ図と同一部分には、同一符号を付して、重複する部分の詳細説明を省略する。
【００８６】
すなわち、１日の期間ΔＴが経過すると、（ステップＳ１）、項目２３の番号ｍを１に初期設定（Ｓ２）し、項目番号ｍの項目２３の情報システム２における現状のセキュリティ値である現状設定値を読取る（Ｓ３）。基準設定値メモリ８に記憶された同一項目の基準設定値を読取り（Ｓ４）、両者の差異Ｄを算出して、セキュリティ劣化テーブル１０ｂに書込む（Ｓ５）。
【００８７】
そして、ステップＳ５ｂにおいて、この算出した差異Ｄを、一つ前（１日前）の差異の持ち越しの有無に基づいて修正する。この修正した差異をセキュリティ劣化テーブル１０ｂの当該領域２８に書込む（Ｓ６）。そして、一つ前の期間における「修正差異」からの当該差異が増加する方向の「増加量」を「修正傾きＫ」（Ｋ＝Ｄ―Ｄ＿-1）として算出する（Ｓ７）。
【００８８】
以下の動作は、図９に示す第１実施形態のセキュリティ劣化防止支援装置１の全体動作を示す流れ図とほぼ同じである。
【００８９】
このように構成された第３実施形態のセキュリティ劣化防止支援装置１ｂにおいては、１日の期間で「差異」の解消処置が実施されない場合は、次の日（期間）に差異が持ち越される。この場合、差異が、持ち越された差異と同量の警告量で増額修正されるので、増加量としての傾きＫが増大するので、より効果的なセキュリティ劣化解消の指示が出力される。
【図面の簡単な説明】
【００９０】
【図１】本発明の第１実施形態に係わるセキュリティ劣化防止支援プログラムが組込まれたセキュリティ劣化防止支援装置の概略構成を示すブロック図
【図２】同セキュリティ劣化防止支援装置の監視対象の情報システムの模式図
【図３】同セキュリティ劣化防止支援装置の記憶部に形成された基準設定値メモリの記憶内容を示す図
【図４】同記憶部に形成された基準設定値メモリの設定リストの記憶内容を示す図
【図５】同セキュリティ劣化防止支援装置の記憶部に形成されたセキュリティ劣化テーブルの記憶内容を示す図
【図６】同セキュリティ劣化防止支援装置の記憶部に形成された対応処理メモリの記憶内容を示す図
【図７】同セキュリティ劣化防止支援装置の表示器に表示された差異の経時変化を示す図
【図８】同セキュリティ劣化防止支援装置の表示器に表示された傾きの経時変化を示す図
【図９】同セキュリティ劣化防止支援装置の全体動作を示す流れ図
【図１０】本発明の第２実施形態のセキュリティ劣化防止支援装置の概略構成を示すブロック図
【図１１】同セキュリティ劣化防止支援装置の記憶部に形成された重要度メモリの記憶内容を示す図
【図１２】同セキュリティ劣化防止支援装置の記憶部に形成されたセキュリティ劣化テーブルの記憶内容を示す図
【図１３】同じくセキュリティ劣化テーブルの記憶内容を示す図
【図１４】同セキュリティ劣化防止支援装置の表示器に表示された差異の経時変化を示す図
【図１５】同セキュリティ劣化防止支援装置の表示器に表示された傾きの経時変化を示す図
【図１６】同セキュリティ劣化防止支援装置の全体動作を示す流れ図
【図１７】本発明の第３実施形態のセキュリティ劣化防止支援装置の概略構成を示すブロック図
【図１８】同セキュリティ劣化防止支援装置の記憶部に形成されたセキュリティ劣化テーブルの記憶内容を示す図
【図１９】同じくセキュリティ劣化テーブルの記憶内容を示す図
【図２０】同セキュリティ劣化防止支援装置の表示器に表示された差異の経時変化を示す図
【図２１】同セキュリティ劣化防止支援装置の表示器に表示された傾きの経時変化を示す図
【図２２】同セキュリティ劣化防止支援装置の全体動作を示す流れ図
【符号の説明】
【００９１】
１，１ａ，１ｂ…セキュリティ劣化防止支援装置、２…情報システム、３…設定部、４…時計回路、５…表示器、６…記憶部、７…プログラムメモリ、８…基準設定値メモリ、９…設定リスト、１０，１０ａ，１０ｂ…セキュリティ劣化テーブル、１１…対応処理メモリ、１２…設定部、１３…現状セキュリティ検出部、１４…差異検出部、１５…セキュリティ劣化テーブル書込部、１６…傾き算出部、１７…対応処理決定部、１８…対応処理実行部、１９…編集部、２０…表示制御部、２１…現状設定値変更部、２２…基準設定値変更部、２３…項目、２４…重要度メモリ、２５，２７…差異修正部、２６，２８…領域
【図１】
0005025433.tif 000002
【図２】
0005025433.tif 000003
【図３】
0005025433.tif 000004
【図４】
0005025433.tif 000005
【図５】
0005025433.tif 000006
【図６】
0005025433.tif 000007
【図７】
0005025433.tif 000008
【図８】
0005025433.tif 000009
【図９】
0005025433.tif 000010
【図１０】
0005025433.tif 000011
【図１１】
0005025433.tif 000012
【図１２】
0005025433.tif 000013
【図１３】
0005025433.tif 000014
【図１４】
0005025433.tif 000015
【図１５】
0005025433.tif 000016
【図１６】
0005025433.tif 000017
【図１７】
0005025433.tif 000018
【図１８】
0005025433.tif 000019
【図１９】
0005025433.tif 000020
【図２０】
0005025433.tif 000021
【図２１】
0005025433.tif 000022
【図２２】
0005025433.tif 000023