(57)【要約】  ポリシー管理システムおよび方法において、同様に位置するマネージドサービスの顧客に関するポリシーの監視および/または監査からの情報を利用しながら、マネージドサービスの顧客ポリシーをグループごとまたは個人ごとに扱うことができる。ポリシーは、医療業界や金融業界などの様々な業界でのコンプライアンス標準を含むことができる。一態様では、ポリシーは、情報技術(IT)セキュリティ標準を含むことができる。別の態様では、ポリシーは、コンプライアンス標準とITセキュリティ標準をどちらも含むことができる。
2012503802.tif 000002
【特許請求の範囲】
【請求項１】
顧客標準コンプライアンスを容易にする方法であって、
顧客が項目を選択することのできる1つまたは複数のピックリストを提供する段階と、
選択された前記項目に対応する規則を実施する段階と、
前記実施の結果を、顧客が準拠しなければならない1つまたは複数の標準と比較する段階と、
前記顧客に前記顧客のコンプライアンスに関してアドバイスする段階と
を含み、
ピックリストの前記提供が、コンプライアンスに関する特定の顧客要件に従って調整される方法。
【請求項２】
前記ピックリストおよび規則が、ポリシーコンプライアンスのために顧客が維持することが必要なデータの処理に関係する請求項1に記載の方法。
【請求項３】
前記ピックリストおよび規則が、支払ポリシーコンプライアンスに関係する請求項1に記載の方法。
【請求項４】
前記ピックリストおよび規則が、医療ポリシーコンプライアンスに関係する請求項1に記載の方法。
【請求項５】
1つまたは複数の顧客が準拠しなければならない各標準について、コンプライアンスに関するベストプラクティスを識別する段階をさらに含み、
前記アドバイスする段階が、顧客選択と、前記ベストプラクティスのうちの対応する1つとを比較する段階、ならびに前記顧客選択の変更に関する勧告を通信する段階を含む請求項1に記載の方法。
【請求項６】
前記顧客標準コンプライアンスを監視する段階をさらに含む請求項1に記載の方法。
【請求項７】
標準コンプライアンスに関するベストプラクティスの変化に従って前記ピックリストを編集する段階をさらに含む請求項1に記載の方法。
【請求項８】
前記ピックリストが、顧客が実行中のオペレーティングシステムに従って開発される請求項1に記載の方法。
【請求項９】
前記結果を以前の監査の結果と比較する段階と、前記比較に関して顧客にアドバイスする段階とをさらに含む請求項1に記載の方法。
【請求項１０】
前記1つまたは複数のピックリストを前記顧客に対して表し、選択された項目の変化を可能にする段階をさらに含む請求項9に記載の方法。
【請求項１１】
前記監視の結果に基づいて、前記1つまたは複数のピックリストを前記顧客に対して表す段階をさらに含む請求項6に記載の方法。
【請求項１２】
顧客ポリシーコンプライアンスを管理する方法であって、
コンプライアンスに関するポリシーの識別を可能にする段階と、
前記ポリシーを用いたコンプライアンスに関する制御の識別を可能する段階と、
前記制御を選択および変更する設定を集める段階と
を含む方法。
【請求項１３】
前記ポリシーが、業界コンプライアンス標準に関係する請求項12に記載の方法。
【請求項１４】
前記ポリシーが、情報技術(IT)セキュリティ標準に関係する請求項12に記載の方法。
【請求項１５】
前記ポリシーが、業界コンプライアンス標準および情報技術(IT)セキュリティ標準に関係する請求項12に記載の方法。
【請求項１６】
マネージドサービスの顧客が、コンプライアンスに関する前記ポリシーを識別する請求項12に記載の方法。
【請求項１７】
マネージドサービスプロバイダが、コンプライアンスに関する前記ポリシーを識別する請求項12に記載の方法。
【請求項１８】
マネージドサービスの顧客が前記制御を識別する請求項12に記載の方法。
【請求項１９】
マネージドサービスの顧客が前記制御を識別する請求項12に記載の方法。
【請求項２０】
識別された設定をコンプライアンスに関するベストプラクティスと比較する段階と、前記比較に基づいてフィードバックを提供する段階とをさらに含む請求項12に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
関連出願の相互参照
本願は、同一出願人による、2008年9月23日出願の「Threat Management System and Method」という名称の米国特許出願第12/236439号に関連する。本願は、2008年9月23日出願の米国特許出願第12/236436号の優先権を主張する。これらの先願の内容は、参照により本明細書に組み込まれる。
【０００２】
本発明は、マネージドシステム(managed system)でのポリシー管理システムおよび方法に関する。
【背景技術】
【０００３】
マネージドサービスプロバイダは、情報技術(IT)サポートを必要とする多種多様な分野の様々な顧客に対するターンキーソリューションを提供することができる。こうした分野内では、業界コンプライアンスに関する様々な標準が存在する可能性がある。マネージドサービスプロバイダは、顧客がこうした標準に準拠することを助けることができる。
【０００４】
マネージドサービスの顧客は、当然ながらITセキュリティへの関心を有する。マネージドサービスの顧客は、顧客の内部の関心を超える一定のITセキュリティ要件を課すことのある特定の業界の関係者であることがある。例えば、医療業界は、対処すべきHIPAA(Health Insurance Portability and Accountability Act)コンプライアンス問題を有する。HIPAAは、例えばセキュリティ、管理、またはポリシーに関する、当業者に知られることになる関連標準コンプライアンスサブセットを有する。個人情報または機密情報を扱うことのある銀行業界、証券業界、および他の業界も、様々なコンプライアンス問題を有することがある。その例には、Sarbanes-Oxley(SOX)、Gramm-Leach-Billey Act(GLBA)、Federal Information Security Management Act(FISMA)、Federal Financial Institutions Examination Council(FFIEC)、およびPayment Card Industry Data Security Standard(PCI DSS)が含まれる。他のものが当業者には周知であろう。
【０００５】
異なるグループまたは企業に属し、したがって異なる所有者を有する異なるマネージドサービスの顧客は、異なるIT構成を有することがあり、それによってある点ではITセキュリティおよび標準コンプライアンスが促進されることがあり、別の点ではコンプライアンスが妨げられることがある。Control Objectives for Information and Related Technology(CoBIT)、Information Technology Infrastructure Library(ITIL)、ISO/IEC 27000シリーズなどの様々なIT標準が関係することがある。この場合も、コンプライアンスに関するベストプラクティスを生み出す他の業界標準が、当業者には周知であろう。
【０００６】
こうした様々な顧客についてのセキュリティ措置のその場限りのコンプライアンスレビューは、いくつかの理由で時間がかかり、非効率である可能性がある。例えば、最近のオペレーティングシステム(異なるバージョンのWindows(登録商標)XPおよびWindows(登録商標)Vistaなど)が利用可能にする細分性の複雑さおよびレベルにより、多数のレベルのセキュリティを提供するための極めて多数のオプションが提供される可能性がある。
【０００７】
以前には、マネージドサービスプロバイダが、特定の位置に対するネットワークトラフィックをブロックすることにより、こうしたすべての異なる組合せを管理した。この手法は、セキュリティ要件を満たしたかもしれないが、顧客に対して非常に多くの不都合をもたらした。
【０００８】
顧客全体にわたるコンプライアンス作業およびポリシーに関する情報を利用して、適用可能標準への顧客のコンプライアンスに関するフィードバックを提供するだけでなく、コンプライアンスのベストプラクティスに関する勧告も提供できることが望ましいはずである。
【先行技術文献】
【特許文献】
【０００９】
【特許文献１】米国特許出願第12/236439号
【特許文献２】米国特許出願第12/236436号
【発明の概要】
【発明が解決しようとする課題】
【００１０】
上記に鑑みて、本発明の一目的は、適切な場合にポリシーを変更あるいは修正する相互交流の機会を利用して、適用可能な標準へのコンプライアンスを容易にするように、マネージドサービス環境で顧客のためのITプラクティスを考案および実施することである。
【００１１】
本発明の別の目的は、標準コンプライアンスに関するマネージドサービスの顧客に対するフィードバックと、標準コンプライアンスでのベストプラクティスに関する勧告とを提供することである。
【００１２】
本発明のさらに別の目的は、マネージドサービスの顧客に関する標準コンプライアンスポリシーを、他のマネージドサービスの顧客に関するそのようなポリシーの監査から得られた結果に従って変更または修正することである。
【００１３】
本発明のさらに別の目的は、上述の目的のうちの1つまたは両方を自動化することである。
【００１４】
本明細書では、添付の図面を参照しながら本発明が説明され、添付の図面では、同様の参照番号が機能的に同様の要素を指すのに用いられる。
【図面の簡単な説明】
【００１５】
【図１】本発明を実装することのできるシステムの高レベルブロック図である。
【図２】本発明を実装することのできるシステムのいくつかの要素を特定する、より詳細ではあるが依然として高レベルの図である。
【図３】図1または図2に示されるサーバのうちの1つまたは複数で実装することのできるモジュールのより詳細な図である。
【図４】本発明の態様を記述する流れ図である。
【図５】本発明の態様を記述する流れ図である。
【図６】本発明の態様を記述する流れ図である。
【図７】本発明の態様を記述する流れ図である。
【図８】本発明の一態様による、潜在的なピックリストに関するセキュリティ選択肢を示す表である。
【図９】本発明の一態様による、潜在的なピックリストに関するセキュリティ選択肢を示す表である。
【図１０】本発明の一態様による、潜在的なピックリストに関するセキュリティ選択肢を示す表である。
【図１１】本発明の一態様による、潜在的なピックリストに関するセキュリティ選択肢を示す表である。
【図１２】ポリシー評価を提供するのに利用可能なダッシュボードのうちの1つの図である。
【図１３】危険情報を提供するのに利用可能な別のダッシュボードの図である。
【発明を実施するための形態】
【００１６】
図1は、サーババンクまたはサーバファーム100内の1つまたは複数のサーバ101-1、101-2、...、101-nと、顧客システム120内の複数のクライアント121-1、121-2、...、121-mと、サーバファーム100を接続することができ、またはサーババンク100内のサーバのうちの1つまたは複数を接続することのできるネットワーク110とを含むシステムを示す。顧客システム120をネットワーク110に接続することができ、または顧客システム120内のクライアントのうちの1つまたは複数を接続することができる。ネットワーク110は、サーバファーム100と顧客システム120との間の高速接続、または1組の高速接続でよく、一実施形態では、インターネットでよい。
【００１７】
サーバファーム100内の各サーバは、同じ位置に配置することができ、または異なる地理的位置の様々なデータセンタ内に配置することができる。同様に、マネージドサービスの各顧客は、同じ位置に配置されるサーバ上でホストすることができ、あるいは異なる地理的位置のデータセンタ内に位置するサーバ上でホストすることができる。
【００１８】
図2は、ホスティングエリアネットワーク(HAN)200と呼ばれるネットワークを含む高レベルハードウェア構成を示す。HAN200は、ハードウェア(サーバファーム100および関連サーバを含む様々な種類のサーバ、場合によっては1つまたは複数のストレージエリアネットワーク(SAN)、付随するネットワーキングインフラストラクチャ(限定はしないが、バックボーンおよびルータを含む)、ファイアウォールサービスモジュール(FWSM)210、および必要に応じて他のファイアウォールインフラストラクチャ220を含む)を含むことができる。図2では、ファイアウォールインフラストラクチャはCiscoの技術(CiscoのASA(登録商標))を含むことができる。サーバは、単一命令単一データストリーム(SISD)プロセッサ230を備えるコンピューティング装置を含むことができる。
【００１９】
本発明の一態様では、HAN200は、1つまたは複数の顧客にマネージドサービスを提供するハードウェアを含む。各顧客は、その顧客に対するサービスを管理する専用の1つまたは複数のサーバを有することができる。HAN200はまた、限定はしないが資産のタイプ、脅威のタイプ、および異なるタイプの脅威に対する可能なカウンタを含む関連情報を集中化するプラットフォームをも含む。異なる顧客は、保護する異なる資産を有することがあり、異なる種類の脅威の影響を受けやすいことがあり、共通の脅威に対する異なるカウンタが同程度または異なる程度の効力を有することのある環境で動作することがある。
【００２０】
図2に戻ると、HAN200内の別々のサーバまたは共通のサーバ上に収容されたソフトウェアを含むことができ、またはそれ自体別々の構成要素でよい様々なモジュールがある。こうしたモジュールのうちの1つまたは複数は、異なるサーバおよび/または異なる顧客の間で分散させることができ、または複数の顧客と共に使用するために中央に収容することができ、またはこれらの可能性の何らかの組合せでよい。こうしたモジュールはとりわけ、構成管理データベース(CMDB)240を含み、CMDB240は、セキュリティ要素CMDB242、ネットワーク要素CMDB244、記憶要素CMDB246、および計算要素CMDB248を含む、マネージドサービスの様々な側面についての別々のCMDBを含むことができる。こうしたCMDB242〜248は、管理されているサービスに応じて、同じサーバのセット、集中型サーバの別々のバンク、または特定の顧客と共に使用されるサーバ上に常駐することができる。
【００２１】
図2はまた、インシデント解決管理モジュール(incident resolution management module)250、知識ベースモジュール260、多次元相関モジュール270、脅威視覚化モジュール280、およびログデータモジュール290をも示す。これらのモジュールは、前述の同時係属出願でより詳細に記載されている。本発明では、これらのモジュールのすべてが必要ではないことがある。例えば、同時係属出願に記載のように、異なる環境の異なる顧客に対する異なるセキュリティ脅威は、深刻さがより高いことがあり、または低いことがある。異なる環境内の特定の顧客IT資産は、より高いまたは低い値を有することがある。
【００２２】
図3は、本発明の一態様による、サーババンクまたはサーバファーム100内のサーバのうちの1つまたは複数の上に設けることのできるポリシー管理モジュール300を示す。一態様では、ポリシー管理モジュール300はサービス構成モジュール310を含み、サービス構成モジュール310の目的は、とりわけ特定のサーバ役割、クライアントが有すると想定される機能、および特定の顧客が準拠する標準に応じて、自発的であっても、非自発的であっても、マネージドサービスの顧客クライアントおよびサーバの構成を容易にすることである。顧客クライアントおよびサーバの実際の構成は、その顧客に対するマネージドサービスの別の側面で扱うことができる。サービス構成モジュール310では、サービスおよびポートアクセスの必要が対処される。
【００２３】
ポリシー管理モジュール300の一態様は、単一の位置から、異なるマネージドサービスの顧客に関するポリシー情報にアクセスできることである。このアクセス可能性の一結果は、同一の位置から、異なるマネージドサービスの顧客に関するポリシーを確認および比較できることであり、したがって、以下でより詳細に論じるように、セキュリティ監査後のセキュリティ変更についての可能な勧告が容易となる。
【００２４】
図3をさらに見ると、ネットワークセキュリティモジュール320は、例えば、マネージドサービスの顧客によって使用されているサーバに関するインバウンドポートを構成することができる。ポートは開くことまたは閉じることができ、あるいは特定のポートでのトラフィックを、デジタル署名または暗号化を使用してセキュリティを高めるように制限または構成することができる。本発明の一態様で個々のポートに対処できることにより、例えば顧客のグループ全体について特定のポートを開き、または閉じるためのブランケット設定(blanket setting)を提供し、あるいはそのグループ内のすべての顧客について全く同様にポートを構成する代わりに、個々のマネージドサービスの顧客に関するポリシーを設定する際の細分性を高めることが可能となる。以下でより詳細に論じるように、個々のマネージドサービスクライアントについて自動的にではあるがカスタマイズ的にポートアクセスなどの要素を制御できることが、本発明の一態様である。さらに、一態様では、当業者が通じているであろうプロトコル群であり、したがってここではさらに詳細には説明する必要のないプロトコル群であるIPsecを使用して、ポートトラフィックに署名し、またはポートトラフィックを暗号化することができる。
【００２５】
使用中のオペレーティングシステムまたは特定のファイアウォールプログラムに応じて、Windows(登録商標)Firewall、または他のタイプのファイアウォール(所与のオペレーティングシステムに特有のものであっても、サードパーティプログラムとして入手可能であっても、さらにはマネージドサービスプロバイダによって開発されるものであっても)に関する設定を構成することができる。
【００２６】
監査ポリシーモジュール330は、マネージドサービスの顧客ポリシー上に対して実施すべき監査の構成を可能にする。監査は、例えば、違反が生じたかどうかに関わらず特定の顧客ポリシーの周期的レビューを可能にするように調整することができる。この状況では、その顧客およびポリシーに関する特定のイベントが監査されないことがある。1つの代替として、そのポリシーに関するイベントを監視することができる。監視中、違反が生じる場合に、または違反が生じない場合に、または違反が生じるかどうかに関わらず監査を実施することができる。
【００２７】
図3からわかるように、セキュリティ設定モジュール340は、ある場合には、マネージドサービスの顧客が実行中のオペレーティングシステムにある程度特有のものであることがある。例えば、このモジュールで考案される設定、および究極的には顧客またはマネージドサービスプロバイダがそれから選択することのできる「ピックリスト(pick list)」の部分を、オペレーティングシステム特有の命令にリンクすることができる。一実施形態では、様々なバージョンのWindows(登録商標)の中からオペレーティングシステムを選択することができる。例えば、セキュリティポリシーを設定する際に、Windows(登録商標)NT、Windows(登録商標)2000、Windows(登録商標) XP、Windows(登録商標)Vistaのうちの1つまたは複数に関係した可能性のある一定のアクションがあった。次いで、レジストリ設定モジュール342で、マネージドサービスの顧客が必要とするセキュリティポリシー(複数可)に対して適切にレジストリ設定を構成することができる。インバウンドおよびアウトバウンド認証プロトコルを設定することができる。サービスメッセージブロック(SMB)セキュリティ署名またはライトウェイトディレクトリアクセスプロトコル(LDAP)署名もこのセクションで処理することができる。
【００２８】
Windows(登録商標)オペレーティングシステムが顧客ハードウェア上で実行中の実施形態を続けると、Webサーバの役割を実行するようにサーバを構成することができる。その状況では、Windows(登録商標)の下で、インターネット情報サービス(IIS)を選択することができ、それによってインターネット情報サービスモジュール344が関係する。当業者には周知であろうが、多数のサービスがIISの下で利用可能である。選択のために表示することのできる、可能な関心の例は、動的コンテンツ用のウェブサービス拡張の選択、保持すべき仮想ディレクトリの選択、および匿名ユーザがコンテンツファイルにアクセスすることの防止を含むことができる。
【００２９】
ある場合には、異なるオペレーティングシステムを実行するマネージドサービスの顧客がいることに留意されたい。こうしたオペレーティングシステムに従って、こうした顧客に関するピックリストを調整することができる。Windows(登録商標)に関する本明細書の説明は例示的なものであり、限定的なものではないものとする。
【００３０】
図4〜7は、ポリシーの考案、ポリシーの監査、および顧客に関するポリシーコンプライアンスフィードバックの準備を全般的に示す。図4では、本発明の一態様では、顧客に関するポリシーを決定するために、その顧客が選択されると(401)、その顧客についてポリシーピックリストを提供することができる(402)。ピックリストは、様々な業界またはセキュリティシナリオでの顧客に関する一般的リストでよく、または所与の業界セグメントまたはセキュリティシナリオに特有のものでよい。403では、顧客は、そのピックリストから選択するための許可を受けることができる。403では、顧客選択をレビューし、既知のベストプラクティスと比較することができ、またはある場合には、同様に位置するマネージドサービスの顧客の選択と比較することができる。404では、顧客にフィードバックを提供することができ、適切ならポリシー変更に関する提案を提供することができる。顧客が元の選択を変更する機会の提供を受けた後に(405)、406では、ポリシーを完成させることができる。
【００３１】
周期的ポリシー監査は、所望のベストプラクティスの変化、顧客セキュリティの必要の変化などに基づいて、適切であることがある。図5は、そのような監査をどのように実施することができるかを略述する流れ図である。所与の顧客について(501)、ポリシーがレビューされる(502)。図4に関連して説明したように、ポリシーがピックリストから導出された可能性があり、その顧客に関する標準ポリシーとして提供された可能性があり、または顧客が準拠している、または顧客が準拠するように要求される特定のバージョンの業界標準によって規定された可能性がある。503で、顧客ポリシーが既知のベストプラクティスと比較され、既知のベストプラクティスは、業界標準、またはマネージドサービスプロバイダによって決定することができ、または当業者に周知の別の方式で決定することができる。504で、顧客は、ベストプラクティスへのコンプライアンスに関するフィードバックを受け取ることができ、505で、それに応じてポリシーを変更するための許可を受けることができる。次いでポリシーは506で完成する。
【００３２】
図6では、セキュリティ違反がレビューされる別のタイプの監査が説明される。やはり、特定の顧客について(601)、顧客ポリシーをレビューすることができる(602)。そのレビューの一部として、またはそのレビューに加えて、その顧客に関するセキュリティ違反をタイプおよび重大度で分類することができる(603)。一態様では、危険にさらされる顧客資産、顧客が資産に割り当てることのできる重み付け値、および/またはその顧客に関する知覚される脅威の重大度に従って、この分類を実施することができる。このタイプの脅威管理が、上記で参照した同時係属出願でより詳細に論じられている。
【００３３】
604で、顧客は、違反の評価および分類の結果の提供を受けることができる。605で、顧客は、顧客の必要に従って潜在的なポリシー変化に関するエリアの提供を受けることができる。一態様では、ポリシー変化を推奨することができる。顧客応答があればそれをレビューすることができ(606)、次いでポリシーは完成する(607)。
【００３４】
図4〜6は、特定の顧客がポリシー選択または監査について選び出される例を与えるが、マネージドサービスプロバイダは、特定の業界セグメント内の顧客を互いにグループ化し、そのポリシーの必要をグループごとに扱うこともでき、ポリシー選択、フィードバック、および監査が、個別的ではなく、より広範囲にわたって処理される。グループとして行われても、個々に行われても、マネージドサービスプロバイダは、ポリシーを考案し、ポリシーを監査し、ポリシー変更または修正に関する勧告を作成する際に、同様に位置する顧客に関するデータを活用することができる。
【００３５】
さらに図4〜6では、顧客は、ポリシー変更を行うことを決定する場合、これらを自動的に処理することができ、あるいは、例えば当初提供されたのと同じピックリスト、またはベストプラクティスの変化に基づいて修正された可能性のあるピックリストを顧客に提示することによって処理することができる。
【００３６】
本発明の一態様では、マネージドサービスの顧客に関する何らかのポリシー監査を実施する前に、顧客またはマネージドサービスプロバイダは、実施すべき初期ポリシーまたはポリシーのセットを選択することができる。マネージドサービスプロバイダが初期ポリシーまたはポリシーセットを選択する場合、このことは、類似の顧客または類似のセキュリティ状況での経験に基づいて行うことができ、あるいは現顧客に関するセキュリティ問題の更新後レビューから行うことができる。顧客が初期ポリシーまたはポリシーセットを選択する場合、このことを、図8〜11に示されるようなピックリストからの選択に従って行うことができる。
【００３７】
図8〜11に進む前に、規制標準および/またはコンプライアンスに関するITベストプラクティスの実施、およびマネージドサービスプロバイダからの後続のフィードバックのために選択することのできる本発明の一態様を示す図7を説明する。
【００３８】
図7では、701で、コンプライアンスについて1つまたは複数の適切な規制標準を選択することができる。いくつかの規制標準の例は上記で与えた。本発明の一態様では、マネージドサービスの顧客がこの選択を行うことができる。しかし、選択の性質を考えるとかなり可能性が低いが、マネージドサービスプロバイダが顧客に関するその選択を行うことができる。702で、顧客は一般に、ダッシュボードまたはピックリストから標準に関するコンプライアンス制御を選択する。703で、ポリシーおよびポリシー設定を選択することができる。
【００３９】
均衡状態のITセキュリティ側を見ると、704で、マネージドサービスの顧客またはマネージドサービスプロバイダが、コンプライアンスに関するITベストプラクティスを識別することができる。705で、こうしたベストプラクティスに伴うコンプライアンス制御を選択することができる。様々な例示的IT標準を上記で列挙した。706で、ベストプラクティスおよび設定を集めることができる。
【００４０】
701〜703と704〜706の両方を本発明に従って実装することは必要ではない。しかし、両方が実装される場合、707で、フレームワーク全体が集められる。708で、ダッシュボードを含むレポーティングフォーマットを準備することができる。701〜703または704〜706だけが実装される場合、708が、707の介在なしに続くことができる。
【００４１】
図8〜11は、Windows(登録商標)ベースの例を与えるが、別のオペレーティングシステムに関する別の例が当業者には周知であろう。まず図8を見ると、ユーザまたは顧客がデスクトップをウェブページのように働かせ、または振る舞わせることのできるアクティブデスクトップと呼ばれるWindows(登録商標)機能でのオプションに関する可能なピックリストの一例が示されている。ブリーフケース、ごみ箱、マイコンピュータ、マイネットワーク、コントロールパネルなどの、図8のピックリスト中のオプションの一部はWindows(登録商標)特有のものである。しかし、他のオペレーティングシステムでは類似のものがあることがある。例えば、Mac OS Xでは、「ごみ箱(Recycle Bin)」は「ゴミ箱(Trash)」となる。「コントロールパネル」は「システムプリファレンス」であることがある。他の比較は当業者には周知であろう。ピックリストは、異なるオペレーティングシステムが提供するオプションに基づいて修正することができる。
【００４２】
図9は、ユーザデスクトップに対する変更を選択的に許可または禁止するピックリストを示す。この場合も、Windows(登録商標)オプションは、例えば、デスクトップ制限に関するMac OS Xオプションとは異なることがある。図10は、端末を接続することのできるネットワークへのアクセスを選択的に許可または禁止するピックリストを示す。この図に示されるものの中でもとりわけ、ネットワーク接続性オプション、パスワード保護、ネットワークアクセスオプション、および構成オプションを制御することができる。図11は、システムオプションに関するピックリストを示す。ユーザがそのワークステーションの各部分に対する変更を行うことを許可または禁止することができる。
【００４３】
ポリシー設定の一部としての顧客ピックリストに関する潜在的項目、ならびにセキュリティポリシーを定義する際に使用されるいくつかのユーティリティおよびプログラムを含む上記のセキュリティアクションの説明は、Windows(登録商標)ベースのものであることに留意されたい。図8〜11のピックリストは、Windows(登録商標)環境での顧客の選択肢を示すためにかなり特定的に作成されたものである。限定はしないがLinux、Unix(登録商標)の様々な利用可能なバージョン、およびMac OS 9およびOS Xの様々なバージョンを含むMac OS(登録商標)を含む他のオペレーティングシステムについて、対応するピックリストを過度の労力を伴わずに考案できることを当業者は知っているであろう。図8〜11の可能なピックリスト内の項目の一部が可能ではないことがあり、さらには非Windows(登録商標)オペレーティングシステムでは必要ではないことがある。このことも当業者には明らかであろう。
【００４４】
図12は、特定のマネージドサービスの顧客または顧客のグループに関する危険評価を表示することのできるダッシュボードの一例を示す。図12は、1対の注目の側面を含む。まず、脅威評価およびポリシーコンプライアンスが、地理的領域ごとに分類される。北アメリカ地域、ヨーロッパ地域、アジア太平洋地域、および全世界的地域が例として示されているが、このような他の分類が容易に構成される。別の注目の側面は、このダッシュボードが最新の結果と、以前の結果との比較を、例えば直前の監査の結果であっても、それより前の監査の結果であっても提示できることである。
【００４５】
さらに別の注目の側面は、現ポリシーが満足の行くものであるか、それとも改良を必要とするかの点からの比較の結果の表示である。特定のポリシーが改良について推奨される場合、修正後の1組の選択肢をそれから作成するための適切なピックリストをユーザに提示することができる。上述のように、危険評価は、過去の顧客選択のためだけでなく、業界内の標準コンプライアンス要件の変化のために変化することもある。
【００４６】
図12に示されるダッシュボードをマネージドサービスの顧客に直接提示することができ、またはマネージドサービスプロバイダに提供することができる。プロバイダは、勧告を異なる方式で顧客に提示することができる。
【００４７】
図13は、別のタイプのダッシュボード識別セキュリティ、またはマネージドサービスの顧客が直面することのある別のポリシー危険を示す。こうした危険のうちの1つまたは複数の全世界的または地域的な流行により、顧客ポリシーの変更が促されることがある。例えば、ある領域でのウィルスや悪意のあるコードなどの脅威の導入が、永続的アタックの兆しとなることがあり、そうした領域でのセキュリティポリシーを高める動機付けとなることがある。図13に示される別の危険によっても、異なるセキュリティ応答が、状況に応じて全世界的または地域的に促されることがある。
【００４８】
いくつかの実施形態を参照しながら本発明を上記で詳細に説明したが、本発明の範囲および精神の中にある変形形態が当業者には明らかとなるであろう。したがって、添付の特許請求の範囲の範囲のみによって本発明が限定されると見なされるべきである。
【符号の説明】
【００４９】
100  サーババンクまたはサーバファーム
101-1、101-2、...、101-n  サーバ
121-1、121-2、...、121-m  クライアント
110  ネットワーク
120  顧客システム
200  ホスティングエリアネットワーク(HAN)
210  ファイアウォールサービスモジュール(FWSM)
220  他のファイアウォールインフラストラクチャ
230  単一命令単一データストリーム(SISD)プロセッサ
240  構成管理データベース(CMDB)
242  セキュリティ要素CMDB
244  ネットワーク要素CMDB
246  記憶要素CMDB
248  計算要素CMDB
250  インシデント解決管理モジュール
260  知識ベースモジュール
270  多次元相関モジュール
280  脅威視覚化モジュール
290  ログデータモジュール
300  ポリシー管理モジュール
310  サービス構成モジュール
320  ネットワークセキュリティモジュール
330  監査ポリシーモジュール
340  セキュリティ設定モジュール
342  レジストリ設定モジュール
344  インターネット情報サービスモジュール
【図３】
2012503802.tif 000003
【図４】
2012503802.tif 000004
【図５】
2012503802.tif 000005
【図６】
2012503802.tif 000006
【図７】
2012503802.tif 000007
【図８Ａ】
2012503802.tif 000008
【図８Ｂ】
2012503802.tif 000009
【図９】
2012503802.tif 000010
【図１０Ａ】
2012503802.tif 000011
【図１０Ｂ】
2012503802.tif 000012
【図１１Ａ】
2012503802.tif 000013
【図１１Ｂ】
2012503802.tif 000014
【図１１Ｃ】
2012503802.tif 000015
【図１３】
2012503802.tif 000016
【図１】
2012503802.tif 000017
【図２】
2012503802.tif 000018
【図１２】
2012503802.tif 000019
【国際調査報告】
2012503802.tif 000020