"セキュリティのリスクを低減する対策項目と、セキュリティのリスクを低減する効果の度合いを表すリスク低減率と、対策項目の重要度を表す対策レベルとを対応付けた対策定義ファイルを記憶する対策定義ファイル記憶部と、対策レベルと、リスク低減率の重み付け係数とを対応付けた重み付け定義ファイルを記憶する重み付け定義ファイル記憶部と、前記対策定義ファイル記憶部に記憶される対策定義ファイルに基づいて特定の対策レベルに対応する対策項目と前記特定の対策レベルより高い重要度の対策レベルに対応する対策項目とを対象項目として判定し、対象項目毎に対象項目に対応するリスク低減率を前記対策定義ファイルから取得し、前記重み付け定義ファイル記憶部に記憶される重み付け定義ファイルから前記特定の対策レベルに対応する重み付け係数と前記特定の対策レベルより高い重要度の対策レベルに対応する重み付け係数とを取得し、対象項目毎にリスク低減率と重み付け係数とに基づいてセキュリティのリスクを低減する効果に関する指標値を効果指標値として算出し、算出した効果指標値を合計した合計値を目標指標値として算出する目標指標値算出部と、実施されている対策項目として指定された対策項目を実施項目として示す実施項目データに基づいて実施項目毎に実施項目に対応するリスク低減率と対策レベルとを前記対策定義ファイルから取得し、実施項目毎に対策レベルに対応する重み付け係数を前記重み付け定義ファイルから取得し、実施項目毎にリスク低減率と重み付け係数とに基づいて効果指標値を算出し、算出した効果指標値を合計した合計値を実施指標値として算出する実施指標値算出部と、前記目標指標値算出部によって算出された目標指標値と前記実施指標値算出部によって算出された実施指標値とを対比した対比情報を評価結果として出力する評価結果出力部とを備えることを特徴とするセキュリティ評価装置。前記目標指標値算出部は、前記対策定義ファイルに含まれる対策レベルのうち重要度が最も低い対策レベルの目標指標値を算出し、前記評価結果出力部は、前記目標指標値算出部によって算出された目標指標値と前記実施指標値算出部によって算出された実施指標値とに基づいて目標指標値に対する実施指標値の比率を算出し、算出した実施指標値の比率を表す表記を含んだ情報を対比情報として評価結果を出力することを特徴とする請求項1記載のセキュリティ評価装置。前記目標指標値算出部は、前記対策定義ファイルに含まれる対策レベル毎に目標指標値を算出し、前記評価結果出力部は、前記目標指標値算出部によって対策レベル毎に算出された目標指標値に基づいて重要度が最も低い対策レベルの目標指標値に対する各対策レベルの目標指標値の比率を算出し、前記実施指標値算出部によって算出された実施指標値に基づいて重要度が最も低い対策レベルの目標指標値に対する実施指標値の比率を算出し、各対策レベルの目標指標値の比率を表す目標指標値の帯グラフを生成し、生成した目標指標値の帯グラフと実施指標値の比率を表す実施指標値の表記とを含んだ情報を対比情報として評価結果を出力することを特徴とする請求項2記載のセキュリティ評価装置。前記目標指標値算出部は、前記対策定義ファイルに含まれる対策レベル毎に目標指標値を算出し、前記評価結果出力部は、所定の値の範囲を対策レベルと同じ数の部分範囲に等分し、対策レベル毎に目標指標値に応じた部分範囲を割り当て、各対策レベルの部分範囲のうち実施指標値が属する部分範囲を各対策レベルの目標指標値に基づいて該当範囲として判定し、実施指標値を該当範囲内の値に変換し、各対策レベルの部分範囲と変換後の実施指標値との関係を表したグラフを実施指標値の比率を表す正規化グラフとして生成し、生成した正規化グラフを含んだ情報を対比情報として評価結果を出力することを特徴とする請求項2記載のセキュリティ評価装置。前記対策定義ファイルは、対策項目に対応付けて対策項目を分類するセキュリティ領域を示し、前記目標指標値算出部は、前記対策定義ファイルに基づいてセキュリティ領域毎に目標指標値を算出し、前記実施指標値算出部は、前記対策定義ファイルに基づいてセキュリティ領域毎に実施指標値を算出し、前記評価結果出力部は、セキュリティ領域毎に目標指標値と実施指標値とを対比した対比情報を評価結果として出力することを特徴とする請求項1から請求項4いずれかに記載のセキュリティ評価装置。セキュリティのリスクを低減する対策項目と、セキュリティのリスクを低減する効果の度合いを表すリスク低減率と、対策項目の重要度を表す対策レベルとを対応付けた対策定義ファイルを記憶する対策定義ファイル記憶部と、対策レベルと、リスク低減率の重み付け係数とを対応付けた重み付け定義ファイルを記憶する重み付け定義ファイル記憶部とを備えるセキュリティ評価装置のセキュリティ評価方法であって、目標指標値算出部が、前記対策定義ファイル記憶部に記憶される対策定義ファイルに基づいて特定の対策レベルに対応する対策項目と前記特定の対策レベルより高い重要度の対策レベルに対応する対策項目とを対象項目として判定し、対象項目毎に対象項目に対応するリスク低減率を前記対策定義ファイルから取得し、前記重み付け定義ファイル記憶部に記憶される重み付け定義ファイルから前記特定の対策レベルに対応する重み付け係数と前記特定の対策レベルより高い重要度の対策レベルに対応する重み付け係数とを取得し、対象項目毎にリスク低減率と重み付け係数とに基づいてセキュリティのリスクを低減する効果に関する指標値を効果指標値として算出し、算出した効果指標値を合計した合計値を目標指標値として算出し、実施指標値算出部が、実施されている対策項目として指定された対策項目を実施項目として示す実施項目データに基づいて実施項目毎に実施項目に対応するリスク低減率と対策レベルとを前記対策定義ファイルから取得し、実施項目毎に対策レベルに対応する重み付け係数を前記重み付け定義ファイルから取得し、実施項目毎にリスク低減率と重み付け係数とに基づいて効果指標値を算出し、算出した効果指標値を合計した合計値を実施指標値として算出し、評価結果出力部が、前記目標指標値算出部によって算出された目標指標値と前記実施指標値算出部によって算出された実施指標値とを対比した対比情報を評価結果として出力することを特徴とするセキュリティ評価装置のセキュリティ評価方法。セキュリティのリスクを低減する対策項目と、セキュリティのリスクを低減する効果の度合いを表すリスク低減率と、対策項目の重要度を表す対策レベルとを対応付けた対策定義ファイルを記憶する対策定義ファイル記憶部と、対策レベルと、リスク低減率の重み付け係数とを対応付けた重み付け定義ファイルを記憶する重み付け定義ファイル記憶部とを備えるセキュリティ評価装置を機能させるセキュリティ評価プログラムであって、前記対策定義ファイル記憶部に記憶される対策定義ファイルに基づいて特定の対策レベルに対応する対策項目と前記特定の対策レベルより高い重要度の対策レベルに対応する対策項目とを対象項目として判定し、対象項目毎に対象項目に対応するリスク低減率を前記対策定義ファイルから取得し、前記重み付け定義ファイル記憶部に記憶される重み付け定義ファイルから前記特定の対策レベルに対応する重み付け係数と前記特定の対策レベルより高い重要度の対策レベルに対応する重み付け係数とを取得し、対象項目毎にリスク低減率と重み付け係数とに基づいてセキュリティのリスクを低減する効果に関する指標値を効果指標値として算出し、算出した効果指標値を合計した合計値を目標指標値として算出する目標指標値算出部と、実施されている対策項目として指定された対策項目を実施項目として示す実施項目データに基づいて実施項目毎に実施項目に対応するリスク低減率と対策レベルとを前記対策定義ファイルから取得し、実施項目毎に対策レベルに対応する重み付け係数を前記重み付け定義ファイルから取得し、実施項目毎にリスク低減率と重み付け係数とに基づいて効果指標値を算出し、算出した効果指標値を合計した合計値を実施指標値として算出する実施指標値算出部と、前記目標指標値算出部によって算出された目標指標値と前記実施指標値算出部によって算出された実施指標値とを対比した対比情報を評価結果として出力する評価結果出力部としてセキュリティ評価装置を機能させることを特徴とするセキュリティ評価プログラム。本発明は、例えば、実施されているセキュリティ対策の到達レベルを評価できるようにすることを目的とする。本発明のセキュリティ評価装置は、セキュリティのリスクを低減する対策項目と、セキュリティのリスクを低減する効果の度合いを表すリスク低減率と、対策項目の重要度を表す対策レベルとを対応付けた対策定義ファイルを記憶する対策定義ファイル記憶部と、対策レベルと、リスク低減率の重み付け係数とを対応付けた重み付け定義ファイルを記憶する重み付け定義ファイル記憶部と、前記対策定義ファイル記憶部に記憶される対策定義ファイルに基づいて特定の対策レベルに対応する対策項目と前記特定の対策レベルより高い重要度の対策レベルに対応する対策項目とを対象項目として判定し、対象項目毎に対象項目に対応するリスク低減率を前記対策定義ファイルから取得し、前記重み付け定義ファイル記憶部に記憶される重み付け定義ファイルから前記特定の対策レベルに対応する重み付け係数と前記特定の対策レベルより高い重要度の対策レベルに対応する重み付け係数とを取得し、対象項目毎にリスク低減率と重み付け係数とに基づいてセキュリティのリスクを低減する効果に関する指標値を効果指標値として算出し、算出した効果指標値を合計した合計値を目標指標値として算出する目標指標値算出部と、実施されている対策項目として指定された対策項目を実施項目として示す実施項目データに基づいて実施項目毎に実施項目に対応するリスク低減率と対策レベルとを前記対策定義ファイルから取得し、実施項目毎に対策レベルに対応する重み付け係数を前記重み付け定義ファイルから取得し、実施項目毎にリスク低減率と重み付け係数とに基づいて効果指標値を算出し、算出した効果指標値を合計した合計値を実施指標値として算出する実施指標値算出部と、前記目標指標値算出部によって算出された目標指標値と前記実施指標値算出部によって算出された実施指標値とを対比した対比情報を評価結果として出力する評価結果出力部とを備える。本発明によれば、例えば、実施されているセキュリティ対策の到達レベルを評価することができる。そして、セキュリティ対策の管理者は、評価結果に基づいて組織目標に対する達成度を把握し、組織にとって妥当なセキュリティ対策を実行することができる。実施の形態1.実施しているセキュリティ対策が目標レベルに対してどの程度、充足達成できているかを評価する形態について説明する。図1は、実施の形態1におけるセキュリティ対策効果評価装置100の機能構成図である。実施の形態1におけるセキュリティ対策効果評価装置100の機能構成について、図1に基づいて以下に説明する。セキュリティ対策効果評価装置100セキュリティ評価装置の一例は、対策実施方針設定部110、目標基準算出部120、到達レベル算出部130、到達レベル表示部140および評価装置記憶部190を備える。評価装置記憶部190対策定義ファイル記憶部、重み付け定義ファイル記憶部の一例は、セキュリティ対策効果評価装置100で使用されるデータを記憶する。対策定義ファイル191や実施基準定義ファイル192は、評価装置記憶部190に記憶されるデータの一例である。対策定義ファイル191対策定義ファイルの一例は、セキュリティのリスクを低減する対策項目後述する情報セキュリティ対策と、セキュリティのリスクを低減する効果の度合いを表すリスク低減率後述するリスク低減率と、対策項目の重要度を表す対策レベル後述する実施基準レベルとを対応付けたデータである。実施基準定義ファイル192重み付け定義ファイルの一例は、対策レベルと、リスク低減率の重み付け係数とを対応付けたデータである。対策実施方針設定部110は、利用者が入力した目標レベルを評価装置記憶部190に記憶する。目標レベルとは、目標とする対策レベルのことである。対策実施方針設定部110は、利用者が入力した実施項目データ後述する実施対策データを評価装置記憶部190に記憶する。実施項目データとは、実施されている対策項目を実施項目として示すデータである。目標基準算出部120目標指標値算出部の一例は、対策定義ファイル191に基づいて、目標レベル特定の対策レベルの一例に対応する対策項目と、目標レベルより高い重要度の対策レベルに対応する対策項目とを対象項目後述する目標対策として判定する。目標基準算出部120は、対象項目毎に対象項目に対応するリスク低減率を対策定義ファイル191から取得する。目標基準算出部120は、実施基準定義ファイル192から目標レベルに対応する重み付け係数と目標レベルより高い重要度の対策レベルに対応する重み付け係数とを取得する。目標基準算出部120は、対象項目毎にリスク低減率と重み付け係数とに基づいて、セキュリティのリスクを低減する効果に関する指標値を効果指標値として算出する。例えば、効果指標値は、セキュリティのリスクを低減する効果が高く重み付け係数が大きいほど大きい値である。目標基準算出部120は、算出した効果指標値を合計した合計値を目標指標値として算出する。到達レベル算出部130実施指標値算出部の一例は、実施項目毎に、実施項目に対応するリスク低減率と対策レベルとを対策定義ファイル191から取得する。到達レベル算出部130は、実施項目毎に対策レベルに対応する重み付け係数を実施基準定義ファイル192から取得する。到達レベル算出部130は、実施項目毎にリスク低減率と重み付け係数とに基づいて効果指標値を算出し、算出した効果指標値を合計した合計値を実施指標値として算出する。到達レベル表示部140評価結果出力部の一例は、目標基準算出部120によって算出された目標指標値と、到達レベル算出部130によって算出された実施指標値とを対比した対比情報を評価結果として表示する出力の一例。図2は、実施の形態1における対策定義ファイル191の一例を示す図である。実施の形態1における対策定義ファイル191について、図2に基づいて説明する。対策定義ファイル191は、情報セキュリティ対策対策項目の一例とリスク低減率と実施基準レベル対策レベルの一例とを対応付けたデータである。情報セキュリティ対策には、セキュリティのリスクを低減する対策の名称識別子の一例を設定する。リスク低減率には、セキュリティのリスクを低減する効果の度合いを設定する。例えば、リスク低減率の値が1/100である場合、セキュリティのリスクが100分の1に低減されることを意味する。実施基準レベルには、情報セキュリティ対策の重要度を設定する。実施の形態1では、必須1、標準2、強化3、推奨4の順で重要度が高いものとする。例えば、実施基準レベルには重要度を表す名称例えば必須や値例えば1を設定する。対策定義ファイル191は、評価装置記憶部190に予め記憶する。図3は、実施の形態1における実施基準定義ファイル192の一例を示す図である。実施の形態1における実施基準定義ファイル192について、図3に基づいて説明する。実施基準定義ファイル192は、実施基準パラメータと実施基準レベル対策レベルの一例と重み付け係数とレベル概要とを対応付けたデータである。実施基準パラメータには、実施基準レベルの種類を表す名称を設定する。実施基準レベルには、対策定義ファイル191図2参照と同じく、情報セキュリティ対策の重要度を設定する。重み付け係数には、リスク低減率図2参照の重み付け係数を設定する。レベル概要には、実施基準レベルの説明を設定する。実施基準定義ファイル192は、評価装置記憶部190に予め記憶する。図4は、実施の形態1におけるセキュリティ対策効果評価装置100のセキュリティ対策効果評価方法を示すフローチャートである。実施の形態1におけるセキュリティ対策効果評価装置100のセキュリティ対策効果評価方法セキュリティ評価方法の一例、セキュリティ評価プログラムが表す処理手順の一例について、図4に基づいて説明する。まず、セキュリティ対策効果評価方法の概要について説明する。対策実施方針設定部110は、管理者が入力した目標の実施基準レベル目標レベルと、実施されている情報セキュリティ対策実施対策とを記憶するS110。目標基準算出部120は、対策定義ファイル191と実施基準定義ファイル192とに基づいて、目標レベルの効果指標値目標指標値を算出するS120。到達レベル算出部130は、対策定義ファイル191と実施基準定義ファイル192とに基づいて、実施対策の効果指標値実施指標値を算出するS130。到達レベル表示部140は、目標指標値と実施指標値とを対比した対比情報を評価結果として表示するS140。次に、セキュリティ対策効果評価方法の処理の詳細について説明する。S110において、セキュリティを管理する管理者利用者は、実施基準定義ファイル192図3参照に設定されている複数の実施基準パラメータのうち対象とする実施基準パラメータを決定する。さらに、管理者は、対象とする実施基準パラメータに対応する複数の実施基準レベルのうち目標とする実施基準レベルを決定する。そして、管理者は、決定した実施基準レベルをキーボードやマウスなどの入力機器を用いてセキュリティ対策効果評価装置100に入力する。例えば、対策実施方針設定部110は、実施基準定義ファイル192に設定されている複数の実施基準パラメータをチェックボックス付きのリストの形式でディスプレイ表示装置に表示する。管理者は、表示された複数の実施基準パラメータうちいずれかの実施基準パラメータのチェックボックスを指定することにより、対象とする実施基準パラメータを選択する。また、対策実施方針設定部110は、対象とする実施基準パラメータに対応する複数の実施基準レベルを実施基準定義ファイル192を参照して判定し、判定した複数の実施基準レベルをチェックボックス付きのリストの形式でディスプレイに表示する。管理者は、表示された複数の実施基準レベルのうちいずれかの実施基準レベルのチェックボックスを指定することにより、目標とする実施基準レベルを選択する。対策実施方針設定部110は、管理者によって入力選択された実施基準レベルを評価装置記憶部190に記憶する。以下、管理者によって入力された実施基準レベルを目標レベルという。さらに、管理者は、対策定義ファイル191図2参照に設定されている複数の情報セキュリティ対策のうち実施している全ての情報セキュリティ対策を判定し、判定した全ての情報セキュリティ対策を入力機器を用いてセキュリティ対策効果評価装置100に入力する。例えば、対策実施方針設定部110は、対策定義ファイル191に設定されている複数の情報セキュリティ対策をチェックボックス付きのリストの形式でディスプレイに表示する。管理者は、表示された複数の情報セキュリティ対策のうち実施している全ての情報セキュリティ対策についてチェックボックスを指定することにより、実施している全ての情報セキュリティ対策を選択する。対策実施方針設定部110は、管理者によって入力選択された全ての情報セキュリティ対策を示すデータを生成し、生成したデータを評価装置記憶部190に記憶する。以下、管理者によって入力された情報セキュリティ対策を実施対策といい、管理者によって入力された全ての実施対策を示すデータを実施対策データという。S110の後、S120に進む。S120において、目標基準算出部120は、対策定義ファイル191と実施基準定義ファイル192とに基づいて目標レベルの効果指標値を算出する。以下、目標レベルの効果指標値を目標指標値という。S120の後、S130に進む。図5は、実施の形態1における目標指標値算出処理S120を示すフローチャートである。実施の形態1における目標指標値算出処理S120について、図5に基づいて説明する。S121において、目標基準算出部120は、評価装置記憶部190から目標レベルを取得する。目標基準算出部120は、評価装置記憶部190に記憶されている実施基準定義ファイル192図3参照を参照し、目標レベルより高い実施基準レベルを判定する。例えば、図3に示した実施基準定義ファイル192に設定されている実施基準レベルのうち標準2が目標レベルである場合、目標レベルより高い実施基準レベルは必須1である。また、推奨3が目標レベルである場合、目標レベルより高い実施基準レベルは必須1と標準2との二つの実施基準レベルである。以下、目標レベルより高い実施基準レベルを重要レベルという。S121の後、S122に進む。S122において、目標基準算出部120は、評価装置記憶部190に記憶されている対策定義ファイル191図2参照を参照し、目標レベルに対応する情報セキュリティ対策を判定する。さらに、目標基準算出部120は、重要レベルに対応する情報セキュリティ対策を判定する。例えば、標準2が目標レベルである場合、図2に示した対策定義ファイル191に設定されている情報セキュリティ対策のうち目標レベルに対応する情報セキュリティ対策はアクセスログの取得である。また、重要レベル必須1に対応する情報セキュリティ対策は通信路の暗号化である。以下、目標レベルまたは重要レベルに対応する情報セキュリティ対策を目標対策という。S122の後、S123に進む。S123において、目標基準算出部120は、目標対策毎にリスク低減率を対策定義ファイル191から取得する。図2に示した対策定義ファイル191において、目標対策通信路の暗号化のリスク低減率は1/100であり、目標対策アクセスログの取得のリスク低減率は1/10である。S123の後、S124に進む。S124において、目標基準算出部120は、目標対策毎に目標対策に対応する実施基準レベルを対策定義ファイル191に基づいて判定し、判定した実施基準レベルに対応する重み付け係数を実施基準定義ファイル192から取得する。例えば、図2に示した対策定義ファイル191において目標対策通信路の暗号化に対応する実施基準レベルは必須1であり、図3に示した実施基準定義ファイル192において実施基準レベル必須1に対応する重み付け係数は1.0である。したがって、目標対策通信路の暗号化の重み付け係数は1.0である。同様に、目標対策アクセスログの取得の重み付け係数は0.8である。S124の後、S125に進む。S125において、目標基準算出部120は、目標対策毎にリスク低減率と重み付け係数とに基づいて効果指標値を算出する。効果指標値は、セキュリティのリスクを低減する効果が高く重み付け係数が大きいほど大きい。例えば、目標基準算出部120は、目標対策の効果指標値を以下のように算出する。まず、目標基準算出部120は、リスク低減率の対数値を算出する。リスク低減率の対数値を算出する算出式は、リスク低減率の対数値=-10logリスク低減率で表される。logの底は10である。そして、目標基準算出部120は、リスク低減率の対数値と重み付け係数とを乗算して目標対策の効果指標値を算出する。効果指標値を算出する算出式は、効果指標値=リスク低減率の対数値×重み付け係数で表される。例えば、目標対策通信路の暗号化のリスク低減率が1/100である場合、リスク低減率の対数値は20=-10log1/100である。そして、目標対策通信路の暗号化の重み付け係数が1.0である場合、目標対策通信路の暗号化の効果指標値は20=20×1.0である。また、目標対策アクセスログの取得のリスク低減率が1/10である場合、リスク低減率の対数値は10=-10log1/10である。そして、目標対策アクセスログの取得の重み付け係数が0.8である場合、目標対策アクセスログの取得の効果指標値は8=10×0.8である。但し、リスク低減率の対数値以外の値を用いて効果指標値を算出しても構わない。例えば、リスク低減率の対数値の代わりにリスク低減率1/100の逆数100を用いて効果指標値を算出しても構わない。また、対策定義ファイル191図2参照にリスクを低減する効果の度合いが高いほど大きな値をリスク低減率として設定し、リスク低減率の対数値の代わりにリスク低減値そのものを用いて効果指標値を算出しても構わない。S125の後、S126に進む。S126において、目標基準算出部120は、各目標対策の効果指標値を合計した合計値を算出する。以下、各目標対策の効果指標値を合計した合計値を目標指標値という。目標指標値を算出する算出式は、目標指標値=Σ目標対策の効果指標値で表される。例えば、2つの目標対策通信路の暗号化アクセスログの取得が存在し、目標対策通信路の暗号化の効果指標値が20であり、目標対策アクセスログの取得の効果指標値が8である場合、目標指標値は28=208である。S126により、目標指標値算出処理S120は終了する。図4に戻り、セキュリティ対策効果評価方法の説明をS130から続ける。S130において、到達レベル算出部130は、目標基準算出部120S120と同様に、対策定義ファイル191と実施基準定義ファイル192とに基づいて実施対策の効果指標値を算出する。以下、実施対策の効果指標値を実施指標値という。S130の後、S140に進む。図6は、実施の形態1における実施指標値算出処理S130を示すフローチャートである。実施の形態1における実施指標値算出処理S130について、図6に基づいて説明する。S131において、到達レベル算出部130は、評価装置記憶部190から実施対策データを取得する。到達レベル算出部130は、実施対策データが示す実施対策毎に実施対策に対応するリスク低減率と実施基準レベルとを対策定義ファイル191図2参照から取得する。S131の後、S132に進む。S132において、到達レベル算出部130は、実施項目毎に実施項目に対応する重み付け係数を実施基準定義ファイル192図3参照から取得する。S132の後、S133に進む。S133において、到達レベル算出部130は、実施対策毎にリスク低減率と重み付け係数とに基づいて効果指標値を算出する。実施対策の効果指標値の算出方法は、目標対策の効果指標値の算出方法図5のS125参照と同様である。S133の後、S134に進む。S134において、到達レベル算出部130は、各実施対策の効果指標値を合計した合計値を算出する。以下、各実施対策の効果指標値を合計した合計値を実施指標値という。実施指標値を算出する算出式は実施指標値=Σ実施対策の効果指標値で表される。S134により、実施指標値算出処理S130は終了する。図4に戻り、セキュリティ対策効果評価方法の説明をS140から続ける。S140において、到達レベル表示部140は、S120で算出された目標指標値とS130で算出された実施指標値とを対比した対比情報を生成し、生成した対比情報を評価結果として示す画面を結果表示画面としてディスプレイに表示する。例えば、到達レベル表示部140は、目標指標値と実施指標値とを含んだ情報を対比情報として生成する。また、到達レベル表示部140は、目標指標値に対する実施指標値の割合=実施指標値/目標指標値を対策充足率として算出し、算出した対策充足率を含んだ情報を対比情報として生成してもよい。例えば、到達レベル表示部140は、目標指標値の棒グラフと実施指標値の棒グラフとを並べて描画した画面を結果表示画面として表示する。また、到達レベル表示部140は、目標指標値に対する実施指標値の割合対策充足率を示す画面を結果表示画面として表示してもよい。S140により、セキュリティ対策効果評価方法の処理は終了する。図7は、実施の形態1におけるセキュリティ対策効果評価装置100のハードウェア資源の一例を示す図である。図7において、セキュリティ対策効果評価装置100コンピュータの一例は、CPU901CentralProcessingUnitを備えている。CPU901は、バス902を介してROM903、RAM904、通信ボード905、ディスプレイ装置911、キーボード912、マウス913、ドライブ装置914、磁気ディスク装置920などのハードウェアデバイスと接続され、これらのハードウェアデバイスを制御する。ドライブ装置914は、FDFlexibleDiskDrive、CDCompactDisc、DVDDigitalVersatileDiscなどの記憶媒体を読み書きする装置である。ROM903、RAM904、磁気ディスク装置920およびドライブ装置914は記憶機器の一例である。キーボード912およびマウス913は入力機器の一例である。ディスプレイ装置911は出力機器の一例である。通信ボード905は、有線または無線で、LANLocalAreaNetwork、インターネット、電話回線などの通信網に接続している。通信ボード905は、通信機器、入力機器または出力機器の一例である。磁気ディスク装置920には、OS921オペレーティングシステム、プログラム群922、ファイル群923が記憶されている。プログラム群922には、実施の形態において~部として説明する機能を実行するプログラムが含まれる。プログラム例えば、セキュリティ評価プログラムは、CPU901により読み出され実行される。すなわち、プログラムは、~部としてコンピュータを機能させるものであり、また~部の手順や方法をコンピュータに実行させるものである。ファイル群923には、実施の形態において説明する~部で使用される各種データ入力、出力、判定結果、計算結果、処理結果などが含まれる。実施の形態において構成図およびフローチャートに含まれている矢印は主としてデータや信号の入出力を示す。実施の形態において~部として説明するものは~回路、~装置、~機器であってもよく、また~ステップ、~手順、~処理であってもよい。すなわち、~部として説明するものは、ファームウェア、ソフトウェア、ハードウェアまたはこれらの組み合わせのいずれで実装されても構わない。実施の形態1において、例えば、以下のようなセキュリティ対策効果評価装置100について説明した。セキュリティ対策効果評価装置100は、以下の構成を備える。a情報セキュリティ対策と各対策のリスク低減率、組織が決定して入力する実施基準レベルを記載した対策定義ファイルb対策の実施基準パラメータ、実施基準レベル、各レベルの重み付け係数を記載した組織の実施基準定義ファイルc組織の対策実施方針として、各対策をどの程度優先して実施すべきかを示す実施基準レベルと、実施基準レベルのうちどのレベルまでを実施するかを示す目標レベルを設定する対策実施方針設定手段対策実施方針設定部110d目標レベルに対応する各対策のリスク低減率と、実施基準レベルの重み付け係数から対策効果指標値を算出して、目標対策の対策効果指標値を積算して組織の目標基準目標指標値を算出する手段目標基準算出部120e対策定義ファイルに記載された対策のうち実施している対策を入力され、リスク低減率と、実施基準レベルの重み付け係数から対策効果指標値を算出して、実施対策の対策効果指標値を積算して到達レベル実施指標値を算出する手段到達レベル算出部130f組織の目標基準と組み合わせて到達レベルを表示する到達レベル表示手段到達レベル表示部140以上のように、セキュリティ対策効果評価装置100は、組織にとっての対策の必須度、目標レベルで指定した組織の対策方針に対応して、目標基準と到達レベルを算出する。これにより、セキュリティ対策効果評価装置100は、組織ごとに異なり、組織にとって妥当な目標に対する対策実施状況を評価することができる。実施の形態2.各実施基準レベルの効果指標値の比率を表す帯グラフに実施指標値を表す表記を付記した画面を結果表示画面として表示する形態について説明する。以下、実施の形態1と異なる事項について主に説明する。説明を省略する事項については実施の形態1と同様である。<実施例1>セキュリティ対策効果評価装置100の構成は、実施の形態1図1参照と同じである。但し、目標基準算出部120目標指標値算出部の一例は、対策定義ファイル191に含まれる対策レベル実施基準レベルのうち重要度が最も低い対策レベルの目標指標値を算出する。例えば、目標基準算出部120は、対策定義ファイル191に含まれる対策レベル毎に目標指標値を算出する。到達レベル表示部140評価結果出力部の一例は、目標基準算出部120によって算出された目標指標値と到達レベル算出部130によって算出された実施指標値とに基づいて、目標指標値に対する実施指標値の比率を算出する。到達レベル表示部140は、算出した実施指標値の比率を表す表記を含んだ情報を対比情報として評価結果を表示する。例えば、到達レベル表示部140は、目標基準算出部120によって対策レベル毎に算出された目標指標値に基づいて重要度が最も低い対策レベルの目標指標値に対する各対策レベルの目標指標値の比率を算出する。到達レベル表示部140は、到達レベル算出部130によって算出された実施指標値に基づいて重要度が最も低い対策レベルの目標指標値に対する実施指標値の比率を算出する。到達レベル表示部140は、各対策レベルの目標指標値の比率を表す目標指標値の帯グラフを生成し、生成した目標指標値の帯グラフと実施指標値の比率を表す実施指標値の表記とを含んだ情報を対比情報として評価結果を表示する。図8は、実施の形態2におけるセキュリティ対策効果評価装置100のセキュリティ対策効果評価方法を示すフローチャートである。実施の形態2におけるセキュリティ対策効果評価装置100のセキュリティ対策効果評価方法について、図8に基づいて説明する。まず、セキュリティ対策効果評価方法の概要について説明する。対策実施方針設定部110は、実施されている情報セキュリティ対策実施対策を記憶するS210。目標基準算出部120は、対策定義ファイル191と実施基準定義ファイル192とに基づいて、実施基準レベル毎に効果指標値目標指標値を算出するS220。到達レベル算出部130は、対策定義ファイル191と実施基準定義ファイル192とに基づいて、実施対策の効果指標値実施指標値を算出するS230。到達レベル表示部140は、目標指標値の帯グラフを生成し、実施指標値の表記を付記した目標指標値の帯グラフを評価結果として表示するS240。次に、セキュリティ対策効果評価方法の詳細について説明する。S210において、対策実施方針設定部110は、実施の形態1図4参照のS110と同様に、管理者によって入力された全ての情報セキュリティ対策実施対策を示す実施対策データを生成し、生成した実施対策データを評価装置記憶部190に記憶する。但し、管理者による目標レベルの入力および対策実施方針設定部110による目標レベルの記憶は不要である。S210の後、S220に進む。S220において、目標基準算出部120は、対策定義ファイル191と実施基準定義ファイル192とに基づいて、実施基準レベル毎に効果指標値を算出する。各実施基準レベルの効果指標値を算出する方法は、実施の形態1のS120で説明した目標レベルの効果指標値を算出する方法と同様である。以下、各実施基準レベルの効果指標値を目標指標値という。S220の後、S230に進む。S230において、到達レベル算出部130は、対策定義ファイル191と実施基準定義ファイル192とに基づいて、実施対策の効果指標値実施指標値を算出する。実施指標値を算出する方法は、実施の形態1のS130と同じである。S230の後、S240に進む。S240において、到達レベル表示部140は、目標指標値の帯グラフを生成し、実施指標値の表記を付記した目標指標値の帯グラフを評価結果として表示する。S240により、セキュリティ対策効果評価方法の処理は終了する。図9は、実施の形態2における結果表示処理S240を示すフローチャートである。実施の形態2における結果表示処理S240について、図9に基づいて説明する。S241において、到達レベル表示部140は、重要度が最も低い実施基準レベルの目標指標値に対する各実施基準レベルの目標指標値の比率を算出する。例えば、実施基準レベルの重要度は必須標準推奨強化の順で高いものとする。この場合、重要度が最も低い実施基準レベルは強化である。実施の形態1図4のS120参照で説明したように、目標指標値は、重要度が高い情報セキュリティ対策の効果指標値を加算した値である。このため、目標指標値は重要度とは逆に強化推奨標準必須の順で高い。必須の目標指標値を30、標準の目標指標値を90、推奨の目標指標値を135、強化の目標指標値を150とした場合、強化の目標指標値に対する各目標指標値の比率は、以下の通りである。必須の目標指標値の比率は0.2=30/150であり、標準の目標指標値の比率は0.6=90/150であり、推奨の目標指標値の比率は0.9=135/150であり、強化の目標指標値の比率は1.0=150/150である。つまり、各目標指標値の比率を百分率値パーセントで表す場合、必須の目標指標値の比率は20であり、標準の目標指標値の比率は60であり、推奨の目標指標値の比率は90であり、強化の目標指標値の比率は100である。各目標指標値の百分率値を算出する算出式は以下のように表すことができる。但し、必須標準推奨強化の目標指標値をGA,1GA,2GA,3GA,4とする。必須の目標指標値の百分率値GPCA,1は、GPCA,1=GA,1/GA,4×100で表される。標準の目標指標値の百分率値GPCA,2は、GPCA,2=GA,2/GA,4×100で表される。推奨の目標指標値の百分率値GPCA,3は、GPCA,3=GA,3/GA,4×100で表される。強化の目標指標値の百分率値GPCA,4は、GPCA,4=GA,4/GA,4×100で表される。S241の後、S242に進む。S242において、到達レベル表示部140は、重要度が最も低い実施基準レベルの目標指標値に対する実施指標値の比率を算出する。例えば、重要度が最も低い実施基準レベル強化の目標指標値150に対する実施指標値112の比率は0.75=112/150であり、実施指標値の百分率値は75である。実施指標値がRAである場合、実施指標値の百分率値RPCAは、RPCA=RA/GA,4×100で表される。S242の後、S243に進む。S243において、到達レベル表示部140は、各実施基準レベルの目標指標値の比率を表す目標指標値の帯グラフを生成し、生成した目標指標値の帯グラフを含んだ結果表示画面をディスプレイに表示する。図10は、実施の形態2実施例1における結果表示画面200を示す図である。例えば、必須の百分率が20、標準の百分率値が60、推奨の百分率が90、強化の百分率値が100である場合、到達レベル表示部140は、図10に示すような目標指標値の帯グラフ201を表示する。目標指標値の帯グラフ201は、実施基準レベル必須標準推奨強化の目標指標値但し、実施基準レベルが高い情報セキュリティ対策の効果指標値を差し引いた値を積み上げた積み上げグラフである。但し、到達レベル表示部140は、棒グラフの形状以外の形状で目標指標値の帯グラフを表示しても構わない。例えば、到達レベル表示部140は、円グラフの形状で目標指標値の帯グラフを表示しても構わない。S243の後、S244に進む。S244において、到達レベル表示部140は、実施指標値の比率を表す実施指標値の表記を目標指標値の帯グラフに付記して表示する。例えば、到達レベル表示部140は、目標指標値の帯グラフ201のうち実施指標値の百分率値に相当する部分推奨レベルの帯部分に実施指標値の百分率値を表す丸印到達レベル点202を表示する図10参照。図10の結果表示画面200は、実施対策の到達レベルが推奨レベルであることを示している。つまり、管理者は、実施対策によって推奨レベルの効果が得られていることを結果表示画面200から知ることができる。S244により、結果表示処理S240は終了する。<実施例2>図11は、実施の形態2実施例2における対策定義ファイル191の一例を示す図である。図11に示すように、対策定義ファイル191は、実施の形態1で説明した項目図2参照に加えてセキュリティ領域を含んでいる。セキュリティ領域には、情報セキュリティ対策を分類する区分を設定する。つまり、各情報セキュリティ対策は、セキュリティ領域に対応付けられ、セキュリティ領域によって分類される。セキュリティ対策効果評価方法図8参照は、実施例1に対して以下のような違いがある。S220において、目標基準算出部120は、情報セキュリティ対策毎に情報セキュリティ対策に対応する実施基準レベルとセキュリティ領域とを判定し、実施基準レベルとセキュリティ領域との組み合わせ毎に目標指標値を算出する。S230において、到達レベル算出部130は、実施対策毎に実施対策に対応するセキュリティ領域を対策定義ファイル191に基づいて判定し、セキュリティ領域毎に実施指標値を算出する。例えば、セキュリティ領域としてネットワークとサーバと外接と端末との4つの区分がある場合、S220とS230とにおいて以下のように処理を行う。S220において、目標基準算出部120は、実施基準レベル必須の目標指標値としてネットワークの目標指標値とサーバの目標指標値と外接の目標指標値と端末の目標指標値との4つの目標指標値を算出する。目標基準算出部120は、他の実施基準レベル標準強化推奨についても同様に目標指標値を4つずつ算出する。また、到達レベル算出部130は、ネットワークの実施指標値とサーバの実施指標値と外接の実施指標値と端末の実施指標値との4つの実施指標値を算出する。S240において、到達レベル表示部140は、セキュリティ領域毎に実施指標値を付記した目標指標値の帯グラフを表示する。図12は、実施の形態2実施例2における結果表示画面200を示す図である。例えば、到達レベル表示部140は、図12に示すように、各セキュリティ領域の帯グラフ201を並べて表示すると共に、各セキュリティ領域の到達レベル点202を線で結んだ折れ線グラフ203を表示する。実施の形態2において、例えば、以下のようなセキュリティ対策効果評価装置100について説明した。対策定義ファイルは、情報セキュリティ対策を複数の領域に分類するためのセキュリティ領域を示す情報を保持する。目標基準算出手段目標基準算出部120は、セキュリティ領域ごとに、各実施基準レベルに設定された対策の対策効果指標値を積算して各実施基準レベルの目標基準目標指標値を算出する。到達レベル算出手段到達レベル算出部130は、セキュリティ領域ごとに、実施対策の対策効果指標値を積算して到達レベル実施指標値を算出する。到達レベル表示手段到達レベル表示部140は、セキュリティ領域ごとに、各実施基準レベルの目標基準で区切られたグラフ帯グラフ上に到達レベルを表示する。以上のように、セキュリティ対策効果評価装置100は、組織の対策方針に基づいて算出した実施基準レベルの目標基準の積み上げグラフ上に、到達レベルを示す。これにより、管理者は、組織の対策の到達レベルがどの実施基準レベルの部分にあるのかを知ることができる。そして、管理者は、そのセキュリティ領域への対策が目標に到達しているのか、それとも目標に達していないのか、また、目標を達成するためにあとどの程度の対策が必要なのかを、容易に評価することができる。実施の形態3.各実施基準レベルの効果指標値に基づいて正規化した正規化グラフによって実施指標値を表した画面を結果表示画面として表示する形態について説明する。以下、実施の形態1、2と異なる事項について主に説明する。説明を省略する事項については実施の形態1、2と同様である。<実施例1>セキュリティ対策効果評価装置100の構成は、実施の形態1図1参照と同じである。但し、目標基準算出部120目標指標値算出部の一例は、対策定義ファイル191に含まれる対策レベル実施基準レベル毎に目標指標値を算出する。到達レベル表示部140評価結果出力部の一例は、所定の値の範囲後述する正規化値の範囲を対策レベルと同じ数の部分範囲に等分する。到達レベル表示部140は、対策レベル毎に目標指標値に応じた部分範囲目標指標値が大きいほど大きな値を含んだ部分範囲を割り当てる。到達レベル表示部140は、各対策レベルの部分範囲のうち実施指標値が属する部分範囲を各対策レベルの目標指標値に基づいて該当範囲として判定する。到達レベル表示部140は、実施指標値を該当範囲内の値に変換し、各対策レベルの部分範囲と変換後の実施指標値との関係を表したグラフを実施指標値の比率を表す正規化グラフとして生成する。到達レベル表示部140は、生成した正規化グラフを含んだ情報を対比情報として評価結果を表示する。図13は、実施の形態3におけるセキュリティ対策効果評価装置100のセキュリティ対策効果評価方法を示すフローチャートである。実施の形態3におけるセキュリティ対策効果評価装置100のセキュリティ対策効果方法について、図13に基づいて説明する。セキュリティ対策効果評価装置100は、実施の形態2図8参照で説明したようにS210-S230を実行し、実施の形態2で説明したS240の代わりにS250を実行する。S250において、到達レベル表示部140は、目標指標値に対する実施指標値の比率を表す正規化グラフを生成し、生成した正規化グラフを評価結果として表示する。図14は、実施の形態3における結果表示処理S250を示すフローチャートである。実施の形態3における結果表示処理S250について、図14に基づいて説明する。S251において、到達レベル表示部140は、所定の正規化値の範囲を実施基準レベルと同じ数の部分範囲に等分する。正規化値の範囲とは、後述する正規化グラフの値の範囲として予め定めたものである。例えば、4つの実施基準レベル必須標準推奨強化があり、正規化値の範囲が0から20である場合、到達レベル表示部140は、正規化値の範囲0から20を4等分する。これにより、4つの部分範囲0から55から1010から1515から20が得られる。S251の後、S252に進む。S252において、到達レベル表示部140は、実施基準レベル毎に目標指標値に応じて正規化値の部分範囲を割り当てる。例えば、到達レベル表示部140は、目標指標値が大きい実施基準レベル重要度が低い実施基準レベルに値が大きい正規化値の部分範囲を割り当て、目標指標値が小さい実施基準レベル重要度が高い実施基準レベルに値が小さい正規化値の部分範囲を割り当てる。つまり、S251で説明した例の場合、必須に0から5を割り当て、標準に5から10を割り当て、推奨に10から15を割り当て、強化に15から20を割り当てる。S252の後、S253に進む。S253において、到達レベル表示部140は、各実施基準レベルの部分範囲のうち実施指標値が属する部分範囲を各実施基準レベルの目標指標値に基づいて判定する。以下、実施指標値が属する部分範囲を該当範囲といい、該当範囲が割り当てられた実施基準レベルを該当レベルいう。例えば、到達レベル表示部140は、実施基準レベル毎に当該実施基準レベルの目標指標値から上位の実施基準レベルの目標指標値までの値の範囲を当該実施基準レベルの目標指標値の範囲として判定する。但し、上位の実施基準レベルが存在しない場合、つまり、最も重要度が高い実施基準レベルの場合、当該実施基準レベルの目標指標値から目標指標値の最小値までの値を目標指標値の範囲として判定する。そして、到達レベル表示部140は、目標指標値の範囲に実施指標値が含まれる実施基準レベルを該当レベルとして判定し、判定した該当レベルに割り当てた部分範囲を該当範囲として判定する。例えば、必須の目標指標値が30、標準の目標指標値が90、推奨の目標指標値が135、強化の目標指標値が150である場合、必須の目標指標値の範囲は0から30である。また、標準の目標指標値の範囲は30から90、推奨の目標指標値の範囲は90から135である必須の目標指標値の範囲は135から150である。また、実施指標値が112である場合、実施指標値112が推奨の目標指標値の範囲90から135に含まれるため、推奨が該当レベルであり、推奨に割り当てた部分範囲10から15が該当範囲である。S253の後、S254に進む。S254において、到達レベル表示部140は、実施指標値を該当範囲内の値に変換する。以下、該当範囲内の値に変換した後の実施指標値を実施指標値の正規化値という。例えば、到達レベル表示部140は、各実施基準レベル必須標準推奨強化の目標指標値3090135150を百分率値に変換する。また、到達レベル表示部140は、実施指標値112を百分率値に変換する。各百分率値の求め方は、実施の形態2で説明した通りである図9のS241、S242参照。これにより、各実施基準レベル必須標準推奨強化の実施指標値の百分率値206090100が得られ、実施指標値の百分率値75が得られる。また、各実施基準レベル必須標準推奨強化の百分率値の範囲は、0から2020から6060から9090から100である。図15は、実施の形態3における各実施基準レベルの実施指標値の百分率値と正規化値との関係を示す折れ線グラフである。横軸で実施指標値の百分率値を示し、縦軸で実施指標値の正規化値を示す。正規化値の部分範囲の大きさが各実施基準レベルで等しく5である一方で、百分率値の範囲の大きさは実施基準レベルによって異なる。このため、図15に示すように、百分率値と正規化値との関係線分の傾きの大きさは実施基準レベルによって異なる。図15に示すように、実施指標値の百分率値75は推奨の百分率値の範囲60から90の中間の値である。このため、実施指標値の百分率値に対応する正規化値は推奨の部分範囲10から15の中間の値12.5である。したがって、12.5が実施指標値の正規化値である。以下に、実施指標値の百分率値xと正規化値yとの関係を表す1から4の関係式関数を示す。1が必須部分の関係式であり、2が標準部分の関係式であり、3が推奨部分の関係式であり、4が強化部分の関係式である。到達レベル表示部140は、実施指標値の該当レベルの関係式に実施指標値の百分率値xを代入して実施指標値の正規化値yを算出する。例えば、実施指標値の該当レベル推奨の関係式3に実施指標値の百分率値75を代入することによって実施指標値の正規化値12.5が得られる。正規化値の部分範囲の大きさNの値は5である。図14に戻り、結果表示処理S250の説明を続ける。S254の後、S255に進む。S255において、到達レベル表示部140は、各実施基準レベルの部分範囲と実施指標値の正規化値との関係を表したグラフを表示する。以下、このグラフを正規化グラフという。S255により、結果表示処理S250は終了する。図16は、実施の形態3実施例1における結果表示画面200を示す図である。例えば、実施指標値の正規化値が推奨の部分範囲の中間の値である場合、到達レベル表示部140は、図16に示すような棒グラフ正規化グラフ204を表示する。<実施例2>実施の形態2の実施例2と同じく、各情報セキュリティ対策をセキュリティ領域で分類してもよい図11参照。セキュリティ対策効果評価方法図13参照は、実施例1に対して以下のような違いがある。S220において、目標基準算出部120は、実施の形態2実施例2と同様に、実施基準レベルとセキュリティ領域との組み合わせ毎に目標指標値を算出する。S230において、到達レベル算出部130は、実施の形態2実施例2と同様に、セキュリティ領域毎に実施指標値を算出する。S240において、到達レベル表示部140は、セキュリティ領域毎に正規化グラフを表示する。図17は、実施の形態3実施例2における結果表示画面200を示す図である。例えば、到達レベル表示部140は、図17に示すように、各セキュリティ領域の棒グラフ正規化グラフ204を並べて表示する。実施の形態3において、例えば、以下のようなセキュリティ対策効果評価装置100について説明した。目標基準算出手段目標基準算出部120は、各実施基準レベルの目標基準目標指標値を実施基準レベル間で揃うように調整した正規化値を求める。到達レベル表示手段到達レベル表示部140は、算出した到達レベル実施指標値から、目標基準算出手段が正規化値を求める方法と同様の方法で正規化値を求める。到達レベル表示手段到達レベル表示部140は、セキュリティ領域ごとに、各実施基準レベルの目標基準の正規化値で区切られたグラフ上に到達レベルの正規化値正規化グラフ204を表示する。以上のように、セキュリティ対策効果評価装置100は、組織の対策方針に基づいて算出した実施基準レベルの目標基準と到達レベルとを正規化して表示する。これにより、管理者は、複数のセキュリティ領域の中で、どのセキュリティ領域が対策の実施が一番進んでいて、どのセキュリティ領域が一番未達成なのかを判断し、セキュリティ領域間の比較評価を容易に行うことができる。実施の形態4.上記の実施の形態1-3において、各情報セキュリティ対策の効果指標値を予め算出し、算出した効果指標値を予め記憶しても構わない。図18は、実施の形態4における対策定義ファイル191を示す図である。例えば、図18に示すように、情報セキュリティ対策と効果指標値とを対応付けて対策定義ファイル191に設定してもよい。効果指標値の算出方法は、実施の形態1で説明した通りである図4のS120の説明を参照。S120、S130図4参照、S220、S230図8、13参照において、各情報セキュリティ対策の効果指標値を算出する代わりに対策定義ファイル191から各効果指標値を取得することにより、処理時間を短縮することができる。さらに、各実施基準レベルの目標指標値を予め算出し、算出した目標指標値を予め記憶しても構わない。図19は、実施の形態4における実施基準定義ファイル192を示す図である。例えば、図19に示すように、実施基準レベルと目標指標値とを対応付けて実施基準定義ファイル192に設定してもよい。目標指標値の算出方法は、実施の形態1で説明した通りである図4のS120の説明を参照。S120図4参照、S220図8、13参照において、各実施基準レベルの目標指標値を算出する代わりに実施基準定義ファイル192から各目標指標値を取得することにより、処理時間を短縮することができる。"