セキュリティ設計支援装置及びプログラム
【課題】脅威分析から得られたセキュリティ対策方針に関連したセキュリティ目標を確認でき、脅威分析だけではなく、システムの要求仕様から得られたセキュリティ対策方針とセキュリティ機能要件の設計をも支援することを可能にする。
【解決手段】セキュリティ設計支援装置１００においては、セキュリティ目標毎に、対策方針種別、セキュリティ対策方針識別子、複数のセキュリティ対策方針（Ｏ）及び１つ以上のセキュリティ機能要件識別子を含むゴールモデル情報を記憶したゴールモデルＤＢ１０１を備え、セキュリティ目標に基づいて読み出されたゴールモデル情報から抽出されたセキュリティ対策方針（Ｏ）で脅威分析結果内のセキュリティ対策方針（ＵＯ）を書き換えて両者を一体化することにより、読み出されたゴールモデル情報と脅威分析結果とを合成している。
【解決手段】セキュリティ設計支援装置１００においては、セキュリティ目標毎に、対策方針種別、セキュリティ対策方針識別子、複数のセキュリティ対策方針（Ｏ）及び１つ以上のセキュリティ機能要件識別子を含むゴールモデル情報を記憶したゴールモデルＤＢ１０１を備え、セキュリティ目標に基づいて読み出されたゴールモデル情報から抽出されたセキュリティ対策方針（Ｏ）で脅威分析結果内のセキュリティ対策方針（ＵＯ）を書き換えて両者を一体化することにより、読み出されたゴールモデル情報と脅威分析結果とを合成している。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、開発対象の情報システムやＩＴ（Information Technology）製品（以下、情報システム等ともいう）におけるセキュリティシナリオデータの設計を支援するためのセキュリティ設計支援装置及びプログラムに関する。
【背景技術】
【０００２】
情報システム等のセキュリティ設計においては、上流工程で情報システム等が具備すべきセキュリティ機能要件を策定し、セキュリティシナリオデータを設計する必要がある。
【０００３】
始めに、考えられる脅威とその対策方針をまとめたリストなどによって脅威分析が行われる。この脅威分析結果に基づいてセキュリティ対策方針が定められ、セキュリティ対策方針からセキュリティ機能要件が策定される。続いて、これら脅威分析結果、セキュリティ対策方針及びセキュリティ機能要件内の識別子、定義、対応関係等が整理されてセキュリティシナリオデータが設計される。
【０００４】
設計されたセキュリティシナリオデータは、セキュリティ設計書であるセキュリティターゲットＳＴ（security target）やセキュリティ要件定義書の作成に用いられる。
【０００５】
セキュリティターゲットＳＴは、情報システム等のセキュリティ基本仕様となる文書であり、セキュリティ機能を保証する国際規格であるセキュリティ国際標準（ＩＳＯ／ＩＥＣ１５４０８： International Organization for Standardization / International Electrotechnical Commission 15408）の評価認証に用いられる。セキュリティ要件定義書は、セキュリティ設計の上流工程で作成される要求定義書の中のセキュリティに関する要件をまとめた文書である。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００８−２８７４９６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、以上のようなセキュリティ設計手法は、本発明者の検討によれば、以下の点で改良の余地がある。
【０００８】
すなわち、従来のセキュリティ設計手法は、脅威分析から得られるセキュリティ対策方針と、本来、情報システムが満たすべきセキュリティ目標との関連が分かりにくいことから、セキュリティ目標に基づくセキュリティ対策方針からセキュリティ機能要件への落とし込みが不十分となり易い点で改良の余地があると考えられる。
【０００９】
本発明は上記実情を考慮してなされたもので、脅威分析から得られたセキュリティ対策方針に関連したセキュリティ目標を確認でき、システムの要求仕様から得られるセキュリティ対策方針とセキュリティ機能要件の設計をも支援し得るセキュリティ設計支援装置及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【００１０】
本発明の一つの局面は、「関係者種別に対応する関係者識別子毎に関係者定義を含む関係者一覧表データ」と、「保護資産種別に対応する保護資産識別子毎に保護資産定義を含む保護資産一覧表データ」と、「脅威種別に対応する脅威識別子毎に、脅威定義、関連するセキュリティ対策方針識別子及びセキュリティ対策方針十分性文書情報を含む脅威−対策対応表データ」と、「対策方針種別に対応するセキュリティ対策方針識別子毎に、セキュリティ対策方針（Ｏ，ＵＯ）、関連するセキュリティ機能要件識別子及びセキュリティ機能要件十分性文書情報を含む対策−機能対応表データ」と、「前提条件種別に対応する前提条件識別子毎に、前提条件定義、関連する運用対策方針識別子及び運用対策方針を含む前提−運用対策対応表データ」と、「組織対策方針種別に対応する組織対策方針識別子毎に、組織対策方針、関連するセキュリティ対策方針識別子及びセキュリティ対策方針を含む組織対策方針−対策方針対応表データ」とを含むセキュリティシナリオデータの設計を支援するためのセキュリティ設計支援装置であって、「セキュリティ対策方針識別子毎に、セキュリティ対策方針（Ｏ）、関連するセキュリティ機能要件識別子及びセキュリティ機能要件十分性文書情報を含む対策−機能対応表データ」を記憶した十分性文書雛形記憶手段と、「ゴールとしてのセキュリティ目標毎に、対策方針種別、セキュリティ対策方針識別子、ソフトゴールとしての複数のセキュリティ対策方針（Ｏ）、及び当該各セキュリティ対策方針（Ｏ）に関連した、要求としての１つ以上のセキュリティ機能要件識別子を含むゴールモデル情報」を記憶し、且つ前記ゴールモデル情報内のセキュリティ機能要件識別子は、前記十分性文書雛形記憶手段内の各セキュリティ機能要件識別子のいずれかに一致しているゴールモデル情報記憶手段と、「関係者種別、関係者識別子及び関係者定義を含む関係者情報」と、「保護資産種別、保護資産識別子及び保護資産定義を含む保護資産情報」と、「脅威種別、脅威識別子、脅威定義、及び前記脅威識別子に関連する関係者識別子を含むミスユースケース情報」と、「前提条件種別、前提条件識別子、前提条件定義、及び前記前提条件識別子に関連する保護資産識別子を含む前提条件情報」と、「対策方針種別、セキュリティ対策方針識別子、セキュリティ対策方針（ＵＯ）、及び前記セキュリティ対策方針識別子に関連する脅威識別子を含むセキュリティ対策方針情報」と、「根拠種別、根拠識別子、セキュリティ対策方針十分性文書情報、及び前記根拠識別子に関連するセキュリティ対策方針識別子を含む根拠情報」と、「運用対策方針種別、運用対策方針識別子、運用対策方針、及び前記運用対策方針識別子に関連する前提条件識別子を含む運用対策方針情報」と、「組織対策方針種別、組織対策方針識別子、組織対策方針、及び前記組織対策方針識別子に関連する運用対策方針識別子を含む組織対策方針情報」とを含む脅威分析結果の入力を受け付ける脅威分析結果入力受付手段と、前記入力を受け付けた脅威分析結果のうちの関係者情報に基づいて、「関係者種別に対応する関係者識別子及び関係者定義を含む関係者一覧表データ」を作成する関係者一覧表データ作成手段と、前記入力を受け付けた脅威分析結果のうちの保護資産情報に基づいて、「保護資産種別に対応する保護資産識別子及び保護資産定義を含む保護資産一覧表データ」を作成する保護資産一覧表データ作成手段と、前記入力を受け付けた脅威分析結果のうちのミスユースケース情報とセキュリティ対策方針情報と根拠情報とに基づいて、「脅威識別子毎に、脅威定義、関連するセキュリティ対策方針識別子及びセキュリティ対策方針十分性文書情報を含む脅威−対策対応表データ」を作成する脅威−対策対応表データ作成手段と、前記ゴールモデル情報記憶手段内の各セキュリティ目標のうち、いずれかのセキュリティ目標の選択を受け付けるセキュリティ目標選択受付手段と、前記選択を受け付けたセキュリティ目標に基づいて、前記ゴールモデル情報記憶手段内のゴールモデル情報を読み出すゴールモデル情報読出手段と、前記読み出されたゴールモデル情報内の各セキュリティ対策方針（Ｏ）と、前記入力を受け付けた脅威分析結果内のセキュリティ対策方針（ＵＯ）とを比較する対策方針比較手段と、前記比較の結果、前記脅威分析結果内のセキュリティ対策方針（ＵＯ）を含むセキュリティ対策方針（Ｏ）を前記ゴールモデル情報から抽出する抽出手段と、前記抽出されたセキュリティ対策方針（Ｏ）で前記脅威分析結果内のセキュリティ対策方針（ＵＯ）を書き換えて両者を一体化することにより、前記読み出されたゴールモデル情報と前記脅威分析結果とを合成してなるゴールモデル−脅威分析合成情報を生成する合成情報生成手段と、前記生成されたゴールモデル−脅威分析合成情報内のセキュリティ対策方針（Ｏ，ＵＯ）のうちの前記ゴールモデル情報に含まれるセキュリティ対策方針（Ｏ）に基づいて、前記十分性文書雛形記憶手段からセキュリティ機能要件十分性文書情報を読み込むと共に、当該ゴールモデル情報に含まれないセキュリティ対策方針（ＵＯ）に関連付けて、セキュリティ機能要件十分性文書情報の入力を受け付けることにより、新たに「セキュリティ対策方針識別子毎に、セキュリティ対策方針（ＵＯ）、関連するセキュリティ機能要件識別子及びセキュリティ機能要件十分性文書情報を含む対策−機能対応表データ」を作成する対策−機能対応表データ作成手段と、前記ゴールモデル−脅威分析合成情報、前記作成された関係者一覧表データ、前記作成された保護資産一覧表データ、前記作成された脅威−対策対応表データ及び前記作成された対策−機能対応表データに基づいて、前記セキュリティシナリオデータを作成するセキュリティシナリオデータ作成手段と、を備えたセキュリティ設計支援装置である。
【００１１】
なお、本発明の一つの局面は、装置として表現したが、これに限らず、方法、プログラム、プログラムを記憶したコンピュータ読取り可能な記憶媒体などとして表現することができる。
【００１２】
（作用）
本発明の一つの局面においては、セキュリティ目標毎に、対策方針種別、セキュリティ対策方針識別子、複数のセキュリティ対策方針（Ｏ）及び１つ以上のセキュリティ機能要件識別子を含むゴールモデル情報を記憶したゴールモデル情報記憶手段を備え、セキュリティ目標に基づいて読み出されたゴールモデル情報内の各セキュリティ対策方針（Ｏ）と、脅威分析結果内のセキュリティ対策方針（ＵＯ）とを比較し、ゴールモデル情報から抽出されたセキュリティ対策方針（Ｏ）で脅威分析結果内のセキュリティ対策方針（ＵＯ）を書き換えて両者を一体化することにより、読み出されたゴールモデル情報と脅威分析結果とを合成している。
【００１３】
このとき、脅威分析結果内のセキュリティ対策方針（ＵＯ）は、一体化されたセキュリティ対策方針（Ｏ）を介してゴールモデル情報内のセキュリティ目標に関連している。このため、脅威分析から得られたセキュリティ対策方針（ＵＯ）に関連したセキュリティ目標を確認することができる。
【００１４】
また、ゴールモデル情報において一体化に用いなかった他のセキュリティ対策方針及びセキュリティ機能要件識別子は、脅威分析結果だけでなく、システムの要求仕様のゴール指向分析結果から得られたものであるが、セキュリティ目標及び一体化に用いたセキュリティ対策方針を介して脅威分析結果に関連付けられる。このため、脅威分析だけではなく、システムの要求仕様から得られたセキュリティ対策方針とセキュリティ機能要件の設計をも支援することができる。
【発明の効果】
【００１５】
以上説明したように本発明によれば、脅威分析から得られたセキュリティ対策方針に関連したセキュリティ目標を確認でき、脅威分析だけではなく、システムの要求仕様から得られたセキュリティ対策方針とセキュリティ機能要件の設計をも支援できる。
【図面の簡単な説明】
【００１６】
【図１】本発明の概要を説明するための模式図である。
【図２】本発明の第１の実施形態に係るセキュリティ設計支援装置の構成を示す模式図である。
【図３】同実施形態におけるゴールモデルを説明するための模式図である。
【図４】同実施形態におけるゴールモデルの一例を示す模式図である。
【図５】同実施形態におけるゴールモデル情報の一例を示す模式図である。
【図６】同実施形態における関係者一覧表データの一例を示す模式図である。
【図７】同実施形態における保護資産一覧表データの一例を示す模式図である。
【図８】同実施形態における脅威−対策対応表データの一例を示す模式図である。
【図９】同実施形態における対策−機能対応表データの一例を示す模式図である。
【図１０】同実施形態におけるセキュリティシナリオの一例を示す模式図である。
【図１１】同実施形態におけるミスユースケース図の一例を示す模式図である。
【図１２】同実施形態におけるミスユースケース図の一例を示す模式図である。
【図１３】同実施形態における脅威分析結果の一例を示す模式図である。
【図１４】同実施形態における全体動作を説明するためのフローチャートである。
【図１５】同実施形態における合成動作を説明するためのフローチャートである。
【図１６】同実施形態における入力を促す動作を説明するための模式図である。
【図１７】同実施形態における検証動作を説明するための模式図である。
【図１８】同実施形態におけるセキュリティ要件定義書の生成動作を説明するための模式図である。
【図１９】同実施形態におけるセキュリティターゲットの生成動作を説明するための模式図である。
【図２０】本発明の第２の実施形態に係るセキュリティ設計支援装置の構成を示す模式図である。
【図２１】本発明の第３の実施形態に係るセキュリティ設計支援装置の構成を示す模式図である。
【発明を実施するための形態】
【００１７】
以下、本発明の各実施形態について図面を用いて説明するが、その前に、本発明の概要を述べる。本発明の概要は、図１に示すように、利用者による脅威分析の入力範囲に対し、セキュリティ目標（ゴール）、セキュリティ対策方針（ソフトゴール）及びセキュリティ要件（要求）の３段階を再定義したゴールモデルを補足適用することにより、脅威分析から得られたセキュリティ対策方針（ＵＯ⊆Ｏ）に関連したセキュリティ目標（ＣＩＡＡ＋）を確認でき、脅威分析結果だけではなく、システムの要求仕様から得られたセキュリティ対策方針（Ｏ）とセキュリティ要件の設計をも支援可能とするものである。
【００１８】
このような概要のセキュリティ設計支援装置としては、ハードウェア構成、又はハードウェア資源とソフトウェアとの組合せ構成のいずれでも実施可能となっている。組合せ構成のソフトウェアとしては、予めネットワーク又は記憶媒体からセキュリティ設計支援装置（コンピュータ）にインストールされ、セキュリティ設計支援装置に各機能を実現させるためのプログラムが用いられる。
【００１９】
（第１の実施形態）
図２は本発明の第１の実施形態に係るセキュリティ設計支援装置の構成を示す模式図である。このセキュリティ設計支援装置１００は、ゴールモデルＤＢ（Database）１０１、十分性文書雛形ＤＢ１０２、ＳＴ雛形ＤＢ１０３、記憶部１０４、シナリオデータ記憶部１０５、セキュリティデータ記憶部１０６、入出力部１０７、ユースケース処理部１０８、ゴール指向分析処理部１０９及び処理エンジン１１０を備えている。
【００２０】
ゴールモデルＤＢ１０１は、概略的には、ゴール指向分析におけるセキュリティ目標から対策方針、ＩＳＯ／ＩＥＣ１５４０８ Ｐａｒｔ２のセキュリティ機能要件を基にしたセキュリティ要件までのゴールモデルのデータベースである。
【００２１】
ゴール指向分析とは、開発対象の情報システム等が達成すべき多種の目標を多様な抽象度から分析するための手法であり、図３に示すように、情報システム等の目標となるゴール（セキュリティ目標）、ゴールを満たすソフトゴール（対策方針）、ゴールを達成するための要求（要件）、期待（前提条件）、ドメインプロパティ（ＯＳＰ：組織のセキュリティ対策方針）などに分解してゴールモデルを表現する。
【００２２】
この手法を用いると、例えば「アクセス制御を行う」というシステムのセキュリティに対する仕様あるいは対策方針がなぜ必要かということがＷｈｙ分析によりセキュリティ目標であるゴールで示され、どのように実現するのかということがＨｏｗ分析により要件として抽出できるという効果がある。
【００２３】
なお、ゴール指向要求分析手法の一つであるＫＡＯＳ法のゴールモデルは、ゴール、ソフトゴール、要求の３段階を定義しており、本実施形態では、ゴールをセキュリティ目標、ソフトゴールをセキュリティ対策方針、要求をセキュリティ要件、期待を前提条件、ドメインプロパティを組織のセキュリティ対策方針（ＯＳＰ）と再定義している。
【００２４】
セキュリティ目標を、例えばＧＭＩＴＳ（Guidelines for the Management of IT Security）のセキュリティ特性である機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）、責任追跡性（Accountability）等とする（ＣＩＡＡ＋）。セキュリティ目標をデータとサービスに分けてもよい。セキュリティ対策方針とセキュリティ要件を、例えばＩＳＯ／ＩＥＣ１５４０８ Ｐａｒｔ２のセキュリティ機能要件（ＳＦＲ：Security Functional Requirements）に準拠して、対策方針をクラス、ファミリの要素で分類し、セキュリティ要件をコンポーネントの要素で分類する。決定したセキュリティ目標・対策方針・要件のつながりをゴールモデル書式に従って定義する。
【００２５】
ゴールモデルを表すゴールモデル情報は、予め策定してゴールモデルＤＢ１０１に書き込んでおく。「データの機密性」に関するゴールモデルの一部の例を図４に示す。この例では、「データの機密性が満たされる」というゴール（セキュリティ目標）に対し、「識別認証に成功した利用者のみに、操作が許可される（識別子：Ｏ．識別認証）」と「操作履歴のログが取得され、監査証跡として保管される（識別子：Ｏ．監査証跡）」という２つのソフトゴール（対策方針（Ｏ））を持ち、それぞれセキュリティ機能コンポーネント（FIA_UID.2， FIA_UAU.2， FIA_AFL.1， FIA_SOS.1と、FAU_GEN.1，FAU.SAR.1，FAU.STG.1）を要件（セキュリティ要件）としてモデル化している。
【００２６】
このような概略を持つゴールモデルＤＢ１０１は、具体的には、処理エンジン１１０により読出／書込可能な記憶部であり、図５に示すように、「ゴールとしてのセキュリティ目標（不図示）毎に、対策方針種別、セキュリティ対策方針識別子、ソフトゴールとしての複数のセキュリティ対策方針（Ｏ）（対策方針種別に関連する定義）、及び当該各セキュリティ対策方針（Ｏ）に関連した、要求としての１つ以上のセキュリティ機能要件識別子（セキュリティ対策方針識別子に関連する関連識別子）を含むゴールモデル情報」を記憶している。ここで、ゴールモデル情報内のセキュリティ機能要件識別子は、十分性文書雛形ＤＢ１０２内の各セキュリティ機能要件識別子のいずれかに一致している。すなわち、ゴールモデル情報に含まれるセキュリティ機能要件識別子に基づいて、十分性文書雛形ＤＢ１０２内のセキュリティ機能要件十分性文書情報を検索可能となっている。なお、図５に示したゴールモデル情報は、前述した「対策方針種別、セキュリティ対策方針識別子、セキュリティ対策方針（Ｏ）及びセキュリティ対策方針（Ｏ）に関連したセキュリティ機能要件識別子」以外にも、図示しないセキュリティ目標毎に、「機能種別、セキュリティ機能要件識別子及び当該セキュリティ機能要件識別子に関連するセキュリティ対策方針識別子からなる機能−対策識別子関連情報」と、「根拠種別、根拠識別子、根拠定義及び当該根拠識別子に関連するセキュリティ機能要件識別子からなる根拠−機能関連情報」とを含んでいる。但し、これら機能−対策識別子関連情報及び根拠−機能関連情報は、任意の付加的事項であり、ゴールモデル情報から省略可能となっている。
【００２７】
補足すると、図４に示したゴールモデル図においては、図５に示したゴールモデル情報に基づき、図４中の種別内識別子毎に、種別、定義及び関連識別子を表示可能となっている。具体的には例えば、ゴール指向分析処理部１０９は、ゴールモデル図の種別内識別子がクリックされると、当該クリックされた種別内識別子に基づいて、処理エンジン１１０によりゴールモデルＤＢ１０１内のゴールモデル情報を検索し、当該検索により得られた種別、定義及び関連識別子をウインドウ画面に表示する。この補足内容は図３に示したゴールモデル図でも同様である。
【００２８】
十分性文書雛形ＤＢ１０２は、処理エンジン１１０により読出／書込可能な記憶部であり、「セキュリティ対策方針識別子毎に、セキュリティ対策方針（Ｏ）、関連するセキュリティ機能要件識別子及びセキュリティ機能要件十分性文書情報を含む対策−機能対応表データ」を記憶している。
【００２９】
なお、十分性文書情報は、セキュリティターゲットＳＴの「根拠」を表す箇所の文書情報であり、根拠文書情報などと読み替えてもよい。
【００３０】
ＳＴ雛形ＤＢ１０３は、処理エンジン１１０により読出／書込可能な記憶部であり、セキュリティターゲットＳＴの雛形データを記憶している。
【００３１】
記憶部１０４は、処理エンジン１１０により読出／書込可能であり、処理エンジン１１０の処理途中のデータが一時的に書き込まれる。
【００３２】
シナリオデータ記憶部１０５は、処理エンジン１１０により読出／書込可能であり、図６乃至図９に示すように、「関係者種別に対応する関係者識別子毎に関係者定義を含む関係者一覧表データ」と、「保護資産種別に対応する保護資産識別子毎に保護資産定義を含む保護資産一覧表データ」と、「脅威種別に対応する脅威識別子毎に、脅威定義、関連するセキュリティ対策方針識別子及びセキュリティ対策方針十分性文書情報を含む脅威−対策対応表データ」と、「対策方針種別に対応するセキュリティ対策方針識別子毎に、セキュリティ対策方針（Ｏ，ＵＯ）、関連するセキュリティ機能要件識別子及びセキュリティ機能要件十分性文書情報を含む対策−機能対応表データ」と、「前提条件種別に対応する前提条件識別子毎に、前提条件定義、関連する運用対策方針識別子及び運用対策方針を含む前提−運用対策対応表データ」と、「組織対策方針種別に対応する組織対策方針識別子毎に、組織対策方針、関連するセキュリティ対策方針識別子及びセキュリティ対策方針を含む組織対策方針−対策方針対応表データ」とを含むセキュリティシナリオデータを記憶するために用いられる。
【００３３】
補足すると、セキュリティシナリオデータとは、セキュリティシナリオやセキュリティ設計書の基になるデータで、開発すべき情報システム固有の（１）関係者と保護資産、（２）脅威（セキュリティ課題）とセキュリティ対策方針、（３）セキュリティ対策方針とセキュリティ要件、といった情報を種別、識別子、定義、対応関係、十分性の根拠について整理したデータである。なお、図６に示す関係者一覧表データは、関係者種別を含んでいるが、関係者種別は任意の付加的事項であり、関係者一覧表データから省略してもよい。同様に、図７に示す保護資産一覧表データは、保護資産種別を含んでいるが、保護資産種別は任意の付加的事項であり、保護資産一覧表データから省略してもよい。
【００３４】
セキュリティデータ記憶部１０６は、処理エンジン１１０により読出／書込可能であって、処理エンジン１１０により作成されたセキュリティシナリオ及びセキュリティ設計書を記憶するために用いられる。
【００３５】
セキュリティシナリオとは、図１０に示すように、ＩＳＯ／ＩＥＣ１５４０８ Ｐａｒｔ１で示されるセキュリティ課題（脅威、前提条件、ＯＳＰ（Organizational Security Policy））とセキュリティ対策方針、セキュリティ要件の必要十分性をトレースできるように図示したものである。
【００３６】
セキュリティ設計書は、セキュリティ設計の成果物の文書であり、例えば、セキュリティ要件定義書又はセキュリティターゲットＳＴである。
【００３７】
入出力部１０７は、例えば、キーボード及びマウスといった入力装置と、液晶ディスプレイといった表示装置とからなるものであり、セキュリティ設計支援装置１００と利用者との間の入出力インタフェースとして機能する。
【００３８】
ユースケース処理部１０８は、概略的には、アセット（保護資産）ベースのミス（アブ）ユースケースの入力を受け付ける処理部であり、利用者による入出力部１０７の操作により、図１１に示すように、保護すべき保護資産データに関するミス（アブ）ユースケース図及び記述情報（図示せず）が入力される。
【００３９】
ミス（アブ）ユースケース図及び記述情報とは、開発対象システムの保護資産と通常のユースケース図及び記述情報に対し、ユースケースに脅威を引き起こすミスアクターと、脅威となるミスユースケースと、ミスユースケースを阻止するためのセキュリティ対策方針とを追加したミスユースケース図及び記述情報である。なお、図示しないが、実際には色々な脅威があることから、ミスアクター、ミスユースケース及びセキュリティ対策方針は、それぞれ複数が記述される。また、本実施形態で示すミスユースケース（miss use case）は、アブユースケース（abuse case）を含む。
【００４０】
このような概略を持つユースケース処理部１０８は、具体的には、例えば図１２に示すミスユースケース図に対応して図１３に示すように、「関係者種別、関係者識別子及び関係者定義を含む関係者情報」と、「保護資産種別、保護資産識別子及び保護資産定義を含む保護資産情報」と、「脅威種別、脅威識別子、脅威定義、及び脅威識別子に関連する関係者識別子の記述を含むミスユースケース情報」と、「前提条件種別、前提条件識別子、前提条件定義、及び前提条件識別子に関連する保護資産識別子を含む前提条件情報」と、「対策方針種別、セキュリティ対策方針識別子、セキュリティ対策方針（ＵＯ：Use case Objectives）及び当該セキュリティ対策方針識別子に関連する脅威識別子を含むセキュリティ対策方針情報」と、「根拠種別、根拠識別子、セキュリティ対策方針十分性文書情報、及び当該根拠識別子に関連するセキュリティ対策方針識別子を含む根拠情報」と、「運用対策方針種別、運用対策方針識別子、運用対策方針、及び当該運用対策方針識別子に関連する前提条件識別子を含む運用対策方針情報」と、「組織対策方針種別、組織対策方針識別子、組織対策方針、及び当該組織対策方針識別子に関連する運用対策方針識別子を含む組織対策方針情報」とを含む脅威分析結果の入力を受け付ける機能をもっている。
【００４１】
補足すると、図１２に示すミスユースケース図においては、図中の種別内識別子毎に、図１３に示す如き、種別、定義及び関連識別子を入力可能となっている。具体的には例えば、ユースケース処理部１０８は、ミスユースケース図が種別内識別子毎にクリック呼出し可能な入力画面データを有する構造により、この入力画面データに基づいて入力画面を表示し、この入力画面に記述された種別、定義及び関連識別子の入力を受け付ければよい。
【００４２】
ゴール指向分析処理部１０９は、ゴール指向分析によりシステム固有の要求部分の入力を受け付ける処理部であり、利用者による入出力部１０７の操作により、ゴールモデルＤＢ１０１内の各セキュリティ目標のうち、いずれかのセキュリティ目標の選択を受け付けるセキュリティ目標選択受付機能をもっている。
【００４３】
処理エンジン１１０は、概略的には、各処理部からの入力データと、ゴールモデルＤＢ１０１及び十分性文書雛形ＤＢ１０２内の情報とに基づいて、「脅威−セキュリティ対策方針」と「セキュリティ対策方針−セキュリティ要件」の対応関係を示し、「脅威−セキュリティ対策方針」と「セキュリティ対策方針−セキュリティ要件」の十分性に関する根拠の文章雛形データベース（十分性文書雛形ＤＢ１０２）からセキュリティターゲットＳＴやセキュリティ要件定義書の基になるセキュリティシナリオデータと、このセキュリティシナリオデータを図式化したセキュリティシナリオとセキュリティ設計書を生成する。
【００４４】
このような概略をもつ処理エンジン１１０は、具体的には以下の機能(f110-1)〜(f110-11)をもっている。
【００４５】
(f110-1)「セキュリティ対策方針識別子毎に、セキュリティ対策方針（Ｏ）、対応するセキュリティ機能要件識別子及びセキュリティ機能要件十分性文書情報を含む対策−機能対応表データ」を十分性文書雛形ＤＢ１０２に書き込む機能。
【００４６】
(f110-2) 「ゴールとしてのセキュリティ目標毎に、セキュリティ対策方針識別子、ソフトゴールとしての複数のセキュリティ対策方針（Ｏ）、及び当該各セキュリティ対策方針（Ｏ）に関連した、要求としての１つ以上のセキュリティ機能要件識別子を含むゴールモデル情報」をゴールモデルＤＢ１０１に書き込む機能。但し、ゴールモデル情報内のセキュリティ機能要件識別子は、十分性文書雛形ＤＢ１０２内のセキュリティ機能要件識別子のいずれかに一致している。
【００４７】
(f110-3) ユースケース処理部１０８により入力を受け付けた脅威分析結果のうちの関係者情報に基づいて、「関係者種別に対応する関係者識別子及び関係者定義を含む関係者一覧表データ」を作成する関係者一覧表データ作成機能。
【００４８】
(f110-4) ユースケース処理部１０８により入力を受け付けた脅威分析結果のうちの保護資産情報に基づいて、「保護資産種別に対応する保護資産識別子及び保護資産定義を含む保護資産一覧表データ」を作成する保護資産一覧表データ作成機能。
【００４９】
(f110-5) ユースケース処理部１０８により入力を受け付けた脅威分析結果のうちのミスユースケース情報とセキュリティ対策方針情報と根拠情報とに基づいて、「脅威識別子毎に、脅威定義、関連するセキュリティ対策方針識別子及びセキュリティ対策方針十分性文書情報を含む脅威−対策対応表データ」を作成する脅威−対策対応表データ作成機能。
【００５０】
(f110-6) ゴール指向分析処理部１０９により選択を受け付けたセキュリティ目標に基づいて、ゴールモデルＤＢ１０１内のゴールモデル情報を読み出すゴールモデル情報読出機能。
【００５１】
(f110-7) 読み出されたゴールモデル情報内の各セキュリティ対策方針（Ｏ）と、入力を受け付けた脅威分析結果内のセキュリティ対策方針（ＵＯ）とを比較する対策方針比較機能。
【００５２】
(f110-8) 比較の結果、脅威分析結果内のセキュリティ対策方針（ＵＯ）を含むセキュリティ対策方針（Ｏ）をゴールモデル情報から抽出する抽出機能。
【００５３】
(f110-9) 抽出されたセキュリティ対策方針（Ｏ）で脅威分析結果内のセキュリティ対策方針（ＵＯ）を書き換えて両者を一体化することにより、読み出されたゴールモデル情報と脅威分析結果とを合成してなるゴールモデル−脅威分析合成情報を生成する合成情報生成機能。
【００５４】
(f110-10) 生成されたゴールモデル−脅威分析合成情報内のセキュリティ対策方針（Ｏ，ＵＯ）のうちのゴールモデル情報に含まれるセキュリティ対策方針（Ｏ）に基づいて、十分性文書雛形ＤＢ１０２からセキュリティ機能要件十分性文書情報を読み込むと共に、当該ゴールモデル情報に含まれないセキュリティ対策方針（ＵＯ）に関連付けて、セキュリティ機能要件十分性文書情報の入力を受け付けることにより、新たに「セキュリティ対策方針識別子毎に、セキュリティ対策方針（ＵＯ）、関連するセキュリティ機能要件識別子及びセキュリティ機能要件十分性文書情報を含む対策−機能対応表データ」を作成する対策−機能対応表データ作成機能。
【００５５】
(f110-11) ゴールモデル−脅威分析合成情報、作成された関係者一覧表データ、作成された保護資産一覧データ、作成された脅威−対策対応データ及び作成された対策−機能対応データに基づいて、セキュリティシナリオデータを作成するセキュリティシナリオデータ作成機能。
【００５６】
ここで、セキュリティシナリオデータ作成機能は、以下の機能(f110-11-1)〜(f110-11-3)を含んでいる。
【００５７】
(f110-11-1) ゴールモデル−脅威分析合成情報に基づいて、「前提条件種別に対応する前提条件識別子毎に、前提条件定義、関連する運用対策方針識別子及び運用対策方針を含む前提−運用対策対応表データ」を作成する前提−運用対策対応表データ作成機能。
【００５８】
(f110-11-2) ゴールモデル−脅威分析合成情報に基づいて、「組織対策方針種別に対応する組織対策方針識別子毎に、組織対策方針、関連するセキュリティ対策方針識別子及びセキュリティ対策方針を含む組織対策方針−対策方針対応表データ」を作成する組織対策方針−対策方針対応表データ作成機能。
【００５９】
(f110-11-3) 作成された前提−運用対策対応表データ、作成された組織対策方針−対策方針対応表データ、作成された関係者一覧表データ、作成された保護資産一覧表データ、作成された脅威−対策対応表データ及び作成された対策−機能対応表データを含むセキュリティシナリオデータを作成する機能。
【００６０】
補足すると、ユースケース図やゴールモデルの図には、それぞれの要素の識別子（種別内識別子）が表示される。また、付属情報として要素の定義も入力ツールであるユースケース処理部１０８やゴール指向分析処理部１０９から利用者が入力できる。なお、ユースケース処理部１０８は、保護資産情報、アクター（関係者）、脅威、前提条件、対策方針及び根拠をユースケース図から入力できる。但し、ゴール指向分析処理部１０９が、前提条件、ＯＳＰ、運用の対策方針をゴールモデル図から入力してもよい。これらユースケース図又はゴールモデル図に入力された識別子や定義を用いて、処理エンジン１１０は一覧表を生成する。十分性文書情報のみは、図の付属情報として利用者が入力してもよく、過去のＳＴデータや定型文書を基にした十分性文書雛形ＤＢ１０２から検索、参照して追加してもよい。処理エンジン１１０は、ユースケース処理部１０８から渡されたユースケース図に示された識別子とそれぞれの識別子の定義や属性、十分性文書情報といった付属情報の検索、参照と一覧表作成を実行する。
【００６１】
ミスユースケースの入力情報により、関係者一覧表データ、保護資産一覧表データ、脅威−対策対応表データが処理エンジン１１０で作成される。対策−機能対応表データは、ゴールモデルＤＢ１０１から選択されたセキュリティ対策方針（Ｏ）とユースケースのセキュリティ対策方針（ＵＯ）とから合成されたセキュリティ対策方針と、それぞれのセキュリティ対策方針に対応するセキュリティ機能（ＳＦＲ）の識別子と、ＳＦＲごとに十分性文書雛形ＤＢ１０２に保存されている十分性文書を用いて、処理エンジン１１０により作成される。セキュリティ機能がゴールモデルＤＢ１０１内のゴールモデル情報に無い場合は、利用者が新たにセキュリティ機能を入力でき、新たに入力されたセキュリティ機能に関する識別子、定義、対策に対する根拠といった情報を、処理エンジン１１０がゴールモデルＤＢ１０１と十分性文書雛形ＤＢ１０２に追加する。
【００６２】
また、図示しないが、図１３に示した脅威分析結果と図５に示したゴールモデル情報とを合成してなるゴールモデル−脅威分析合成情報から得られる、前提条件−運用対策対応データ、ＯＳＰ−対策対応データから前提−運用対策対応表データ及び組織対策方針−対策方針対応表データが処理エンジン１１０により作成される。
【００６３】
次に、以上のように構成されたセキュリティ設計支援装置の動作について図１４のフローチャートを用いて説明する。
【００６４】
［ユースケースの入力：ｗ１０］
セキュリティ設計支援装置においては、利用者による入出力部１０７の操作（以下、利用者の操作ともいう）により、ユースケース処理部１０８が、ＵＭＬ（Unified Modeling Language）を適用して図式化する通常のユースケース図及び記述情報を作成して、業務分析を行う。また、ユースケース処理部１０８は、利用者の操作により、保護資産情報の記述及び評価を行う。
【００６５】
これにより、ユースケース図及び記述情報は、関係者種別、関係者識別子及び関係者定義を含む関係者情報と、保護資産種別、保護資産識別子及び保護資産定義を含む保護資産情報と、一部の関係者識別子に関連付けられ、保護資産識別子を含む業務の記述を含むユースケース情報とを含むものとなる。
【００６６】
ユースケース処理部１０８は、利用者の操作により、このようなユースケース図及び記述情報にミスアクターとミスユースケースを追加して、ユースケースに対する脅威識別子を含むミスユースケース情報を記述する。
【００６７】
ユースケース処理部１０８は、利用者の操作により、記述した脅威識別子を含むミスユースケース情報のうち、起こりえない脅威や前提条件といった対策の不要な脅威識別子を含むミスユースケース情報を削除し、対策の必要な脅威識別子を含むミスユースケース情報を選択する。
【００６８】
ユースケース処理部１０８は、利用者の操作により、選択した脅威識別子を含むミスユースケース情報に関連付けてセキュリティ対策方針（ＵＯ）やセキュリティ対策方針十分性文書情報を記述すると共に、記述したセキュリティ対策方針（ＵＯ）やセキュリティ対策方針十分性文書情報を評価する。また、ユースケース処理部１０８は、利用者の操作により、保護資産識別子に関連付けて前提条件情報を記述する。さらに、ユースケース処理部１０８は、利用者の操作により、根拠情報、運用対策方針情報及び組織対策方針情報を記述する。
【００６９】
ユースケース処理部１０８は、利用者の操作により、前述した保護資産情報の記述・評価からミスユースケース情報の記述・選択、セキュリティ対策方針（ＵＯ）やセキュリティ対策方針十分性文書情報（ＵＯ）の記述・評価、前提条件情報、根拠情報、運用対策方針情報及び組織対策方針情報の記述を繰り返す。
【００７０】
しかる後、ユースケース処理部１０８は、利用者の操作により、これら関係者情報（アクター、ミスアクター）、保護資産情報、脅威識別子（Ｔ：Threat）の記述を含むミスユースケース情報、前提条件情報、セキュリティ対策方針（ＵＯ）及びセキュリティ対策方針十分性文書情報を含むセキュリティ対策方針情報、根拠情報、運用対策方針情報、組織対策方針情報などを決定し、これらの情報を含む脅威分析結果を得る。
【００７１】
以上により、セキュリティ設計支援装置１００においては、利用者の操作により、ユースケース処理部１０８が脅威分析結果を処理エンジン１１０に入力する。処理エンジン１１０は、脅威分析結果の入力を受け付けると、図１３に示す如き、この脅威分析結果を記憶部１０４に書き込む。
【００７２】
［シナリオデータ生成：ｗ２０］
処理エンジン１１０は、記憶部１０４内の脅威分析結果に含まれる関係者情報、保護資産情報、ミスユースケース情報、セキュリティ対策方針情報からセキュリティシナリオデータの一部を作成する。
【００７３】
具体的には、処理エンジン１１０は、図６に示すように、記憶部１０４内の脅威分析結果のうちの関係者情報に基づいて、「関係者種別に対応する関係者識別子及び関係者定義を含む関係者一覧表データ」を作成する。
【００７４】
また、処理エンジン１１０は、図７に示すように、記憶部１０４内の脅威分析結果のうちの保護資産情報に基づいて、「保護資産種別に対応する保護資産識別子及び保護資産定義を含む保護資産一覧表データ」を作成する。
【００７５】
また、処理エンジン１１０は、図８に示すように、記憶部１０４内の脅威分析結果のうちのミスユースケース情報とセキュリティ対策方針情報と根拠情報とに基づいて、「脅威識別子毎に、脅威定義、関連するセキュリティ対策方針識別子及びセキュリティ対策方針十分性文書情報を含む脅威−対策対応表データ」を作成する。
【００７６】
［セキュリティ目標の選択：ｗ３０］
セキュリティ設計支援装置においては、利用者による入出力部１０７の操作により、ゴール指向分析処理部１０９がゴールモデルＤＢ１０１内の各セキュリティ目標を入出力部１０７に送出する。
【００７７】
入出力部１０７は、各セキュリティ目標を表示出力し、利用者の操作により、いずれかのセキュリティ目標を選択し、選択結果をゴール指向分析処理部１０９に送出する。
【００７８】
ゴール指向分析処理部１０９は、このセキュリティ目標の選択を受け付けて、選択結果を処理エンジン１１０に送出する。
【００７９】
［脅威分析結果とゴールモデルを合成：ｗ４０］
処理エンジン１１０は、利用者の操作により、図１５に示すように、記憶部１０４内の脅威分析結果からセキュリティ対策方針（ＵＯ）及び前提条件（Ａ）を読み出す（ｗ４１）。
【００８０】
また、処理エンジン１１０は、利用者の操作により、脅威分析結果から、組織のセキュリティ対策方針（ＯＳＰ）を抽出する。
【００８１】
処理エンジン１１０は、読み出した前提条件（Ａ）と、組織のセキュリティ対策方針（ＯＳＰ）とを入出力部１０７に出力して利用者による評価を促し、利用者による入出力部１０７の操作により、運用環境の対策方針（ＯＥ）を適宜修正して決定する（ｗ４２）。これにより、脅威分析結果内の運用環境の対策方針（ＯＥ）が決定される。
【００８２】
また、処理エンジン１１０は、選択を受け付けたセキュリティ目標に基づいて、ゴールモデルＤＢ１０１内のゴールモデル情報を読み出すと共に、このゴールモデル情報内のセキュリティ対策方針（Ｏ）から「通信が安全に行われる」等のキーワードを抽出する。なお、ここでいう「キーワード」は、「セキュリティ対策方針の一部」の代表例であり、一部の単語（キーワード）に限らず、一部の句（キーフレーズ；二語以上で文を成さないもの）又は一部の節（キークローズ；文の一部で主語と述語を有するもの）でもよい。また、処理エンジン１１０は、ステップｗ４１で読み出した脅威分析結果のセキュリティ対策方針（ＵＯ）から「ファイルを暗号化する」等のキーワードを抽出し（ｗ４３）、各キーワードを比較する。
【００８３】
なお、ここでは、ゴールモデル情報内の各セキュリティ対策方針（Ｏ）と、脅威分析結果内のセキュリティ対策方針（ＵＯ）とを比較できればよいので、必ずしもキーワード抽出によって比較する必要はない。例えば、セキュリティ対策方針の全体を比較してもよい。
【００８４】
比較の結果、処理エンジン１１０は、脅威分析結果内のセキュリティ対策方針（ＵＯ）のキーワードが、ゴールモデル情報内のセキュリティ対策方針（Ｏ）のキーワードに含まれる関係（ＵＯ⊆Ｏ）にあれば（ｗ４４；ＹＥＳ）、当該脅威分析結果内のセキュリティ対策方針（ＵＯ）を含むセキュリティ対策方針（Ｏ）をゴールモデル情報から抽出する。
【００８５】
しかる後、処理エンジン１１０は、抽出したセキュリティ対策方針（Ｏ）で脅威分析結果内のセキュリティ対策方針（ＵＯ）を書き換えて両者を一体化することにより、ゴールモデル情報と脅威分析結果とを合成する（ｗ４５）。このステップｗ４３〜ｗ４５は、繰り返し実行する。
【００８６】
ステップｗ４３〜ｗ４５の繰り返し実行後、ゴールモデル情報と脅威分析結果とを合成してなるゴールモデル−脅威分析合成情報が生成される。処理エンジン１１０は、ゴールモデル−脅威分析合成情報内のうちのゴールモデル情報に含まれるセキュリティ対策方針（Ｏ）に基づいて、十分性文書雛形ＤＢ１０２からセキュリティ機能要件十分性文書情報を読み込む。
【００８７】
また、ステップｗ４３〜ｗ４５の繰り返し実行後、ステップｗ４４の比較の結果、否の場合（ＵＯ≠Ｏ）の対策方針（ＵＯ）については、処理エンジン１１０は、例えば図１６に示すように、部分的にステップｗ４５の合成済みの図式データを入出力部１０７に送出し、ユースケースのセキュリティ対策方針（ＵＯ）のためのセキュリティ機能要件（ＳＦＲ）の入力を促す（ｗ４６）。すなわち、処理エンジン１１０は、生成されたゴールモデル−脅威分析合成情報内のセキュリティ対策方針（Ｏ，ＵＯ）のうちのゴールモデル情報に含まれないセキュリティ対策方針（ＵＯ）に関連付けて、セキュリティ機能要件十分性文書情報の入力を促す。入出力部１０７は、入力を促された利用者の操作により、ゴールモデル情報に含まれないユースケース対策方針定義（ＵＯ）のセキュリティ機能要件（ＳＦＲ）十分性文書情報を処理エンジン１１０に入力する。
【００８８】
処理エンジン１１０は、このセキュリティ機能要件十分性文書情報の入力を受け付けることにより、図９に示すように、新たに「セキュリティ対策方針識別子毎に、セキュリティ対策方針（ＵＯ）、関連するセキュリティ機能要件識別子及びセキュリティ機能要件十分性文書情報を含む対策−機能対応表データ」を作成する。
【００８９】
しかる後、処理エンジン１１０は、この対策−機能対応表データと、ゴールモデル−脅威分析合成情報とを記憶部１０４に書き込む（ｗ４７）。ここで、ゴールモデル−脅威分析合成情報は、ステップｗ４２で評価した前提条件（Ａ）と、組織のセキュリティ対策方針（ＯＳＰ）と、運用環境の対策方針（ＯＥ）とを含んでいる。
【００９０】
［シナリオデータの作成：ｗ５０］
処理エンジン１１０は、図６乃至図９に示すように、ゴールモデル−脅威分析合成情報、作成された関係者一覧表データ、作成された保護資産一覧表データ、作成された脅威−対策対応表データ及び作成された対策−機能対応表データをそれぞれ記憶部１０４から読み出す。
【００９１】
処理エンジン１１０は、ゴールモデル−脅威分析合成情報に基づいて、「前提条件種別に対応する前提条件識別子毎に、前提条件定義、関連する運用対策方針識別子及び運用対策方針を含む前提−運用対策対応表データ」を作成する。
【００９２】
また、処理エンジン１１０は、ゴールモデル−脅威分析合成情報に基づいて、「組織対策方針種別に対応する組織対策方針識別子毎に、組織対策方針、関連するセキュリティ対策方針識別子及びセキュリティ対策方針を含む組織対策方針−対策方針対応表データ」を作成する。
【００９３】
さらに、処理エンジン１１０は、作成された前提−運用対策対応表データ、作成された組織対策方針−対策方針対応表データ、作成された関係者一覧表データ、作成された保護資産一覧表データ、作成された脅威−対策対応表データ及び作成された対策−機能対応表データを含むセキュリティシナリオデータを作成する。
【００９４】
しかる後、処理エンジン１１０は、作成したセキュリティシナリオデータをシナリオデータ記憶部１０５に書き込む。
【００９５】
［ゴールモデルの検証・保存：ｗ６０］
処理エンジン１１０は、図１７に示すように、ステップｗ４０で得られたゴールモデル−脅威分析合成情報を検証して、ゴールモデルＤＢ１０１に保存するか否かを決定する。
【００９６】
処理エンジン１１０は、ゴールモデル−脅威分析合成情報を検証するか否かを利用者に確認する（ｗ６１）。否の場合（ｗ６１；ＮＯ）、ゴールモデル−脅威分析合成情報をゴールモデルＤＢ１０１に登録せずに終了する。
【００９７】
一方、検証する場合（ｗ６１；ＹＥＳ）、処理エンジン１１０は、ゴールモデル−脅威分析合成情報内のセキュリティ機能要件十分性文書情報がセキュリティ対策方針を満たしているか否かをＶＤＭ(Vienna Development Method)，Ｚ，Ｂなどのモデルベース形式検証手法を用いて検証する。
【００９８】
処理エンジン１１０は、セキュリティ機能要件の形式記述を作成する（ｗ６２）。
【００９９】
処理エンジン１１０は、ＶＤＭ等で記述したセキュリティ対策方針や想定機能の入力を利用者に促す（ｗ６３）。
【０１００】
処理エンジン１１０は、モデルベース形式検証ツールで検証し（ｗ６４）、検証結果を利用者に提示する。
【０１０１】
処理エンジン１１０は、検証結果からゴールモデルとして妥当と判断されたセキュリティ対策方針とセキュリティ機能要件をゴールモデルＤＢ１０１に保存し（ｗ６５）、妥当でないセキュリティ対策方針とセキュリティ機能要件を保存せずに終了する。
【０１０２】
［セキュリティシナリオの作成：ｗ７０］
処理エンジン１１０は、図１０に示すように、シナリオデータ記憶部１０５内のセキュリティシナリオデータを図式化してセキュリティシナリオを作成し、このセキュリティシナリオをセキュリティデータ記憶部１０６に書き込む。また、処理エンジン１１０は、図４に示すように、セキュリティデータ記憶部１０６内のセキュリティシナリオを入出力部１０７を介して利用者に提示することもできる。
【０１０３】
［セキュリティ設計書の作成：ｗ８０］
次に、セキュリティ要件定義書やセキュリティターゲットＳＴといったセキュリティ設計書の作成について述べる。
【０１０４】
処理エンジン１１０は、図１８に示すように、シナリオデータ記憶部１０５内のセキュリティシナリオデータの一覧表及び各対応表の要素を並べ替えることにより、セキュリティ要件定義書を生成することができる。
【０１０５】
また、処理エンジン１１０は、図１９に示すように、ｄ１０５内のセキュリティシナリオデータの各表の要素を並べ替えると共に、足りない項目をＳＴ雛形記憶部１０４内の定型文書を参照することにより、セキュリティターゲットＳＴを作成することができる。
【０１０６】
なお、ここでいう「足りない項目」としては、例えば「ＳＴ概説」、「ＴＯＥセキュリティ保証要件」、「適合主張」の各項目が挙げられる。また、セキュリティシナリオデータからセキュリティターゲットＳＴを生成する技術については、例えば、特許文献１にも開示されている。
【０１０７】
上述したように本実施形態によれば、セキュリティ目標毎に、対策方針種別、セキュリティ対策方針識別子、複数のセキュリティ対策方針（Ｏ）及び１つ以上のセキュリティ機能要件識別子を含むゴールモデル情報を記憶したゴールモデルＤＢ１０１を備え、セキュリティ目標に基づいて読み出されたゴールモデル情報内の各セキュリティ対策方針（Ｏ）と、脅威分析結果内のセキュリティ対策方針（ＵＯ）とを比較し、ゴールモデル情報から抽出されたセキュリティ対策方針（Ｏ）で脅威分析結果内のセキュリティ対策方針（ＵＯ）を書き換えて両者を一体化することにより、読み出されたゴールモデル情報と脅威分析結果とを合成している。
【０１０８】
このとき、脅威分析結果内のセキュリティ対策方針（ＵＯ）は、一体化されたセキュリティ対策方針（Ｏ）を介してゴールモデル情報内のセキュリティ目標に関連している。このため、脅威分析から得られたセキュリティ対策方針（ＵＯ）に関連したセキュリティ目標を確認することができる。
【０１０９】
また、ゴールモデル情報において一体化に用いなかった他のセキュリティ対策方針及びセキュリティ機能要件識別子は、脅威分析結果から得られなかったものであるが、セキュリティ目標及び一体化に用いたセキュリティ対策方針を介して脅威分析結果に関連付けられる。このため、脅威分析から得られなかったセキュリティ対策方針とセキュリティ機能要件の設計をも支援することができる。
【０１１０】
補足すると、本実施形態によれば、ユースケースを用いた脅威分析とゴール指向分析を用いたセキュリティ要件定義の可視化により、セキュリティシナリオデータの精度を向上させることができる。また、セキュリティシナリオデータ、ゴールモデルの蓄積と再利用を実現することができる。
【０１１１】
（第２の実施形態）
図２０は本発明の第２の実施形態に係るセキュリティ設計支援装置の構成を示す模式図であり、図１と同一部分には同一符号を付してその詳しい説明を省略し、ここでは異なる部分について主に述べる。なお、以下の各実施形態も同様にして重複した説明を省略する。
【０１１２】
本実施形態は、第１の実施形態の変形例であり、図１に示したユースケース処理部１０８及びゴール指向分析処理部１０９に対し、オープンソースなど既存のユースケース入力ツールプログラム及びゴール指向分析入力ツールプログラムを実行するＣＰＵの一機能からなるユースケース入力ツール部１１１及びゴール指向分析入力ツール部１１２を付加した構成となっている。これらの入力ツールプログラムとしては、例えば、ＪＵＤＥシリーズ内のツールが適宜、使用可能となっている。また、窓の杜（まどのもり）＜www.forest.impress.co.jp/＞などといったオンラインソフトウェアの紹介サイトから適宜、入力ツールプログラムを取得してもよい。
【０１１３】
ここで、ユースケース入力ツール部１１１は、通常のユースケース入力機能を有し、例えば、利用者による入出力部１０７の操作により、ユースケース図及び記述情報をユースケース処理部１０８に入力する機能をもっている。
【０１１４】
ゴール指向分析入力ツール部１１２は、通常のゴール指向分析機能を有し、例えば、利用者による入出力部１０７の操作により、セキュリティ目標をゴール指向分析処理部１０９に入力する機能ともっている。
【０１１５】
以上のような構成によれば、既存のオープンツールを用いてユースケース入力及びゴール指向分析を実行できるため、第１の実施形態の効果に加え、汎用性を向上させることができる。
【０１１６】
（第３の実施形態）
図２１は本発明の第３の実施形態に係るセキュリティ設計支援装置の構成を示す模式図である。
【０１１７】
本実施形態は、第１の実施形態の変形例であり、図１に示したユースケース処理部１０８及びゴール指向分析処理部１０９をＷｅｂシステムとした構成となっている。これに伴い、入出力部１０７に代えて、Ｗｅｂ通信部１１３を備えている。この通信部１１３は、ネットワークを介して利用者端末２００と通信するための通信インタフェースである。
【０１１８】
利用者端末２００は、ネットワークを介してセキュリティ設計支援装置１００ｂに通信可能なＷｅｂブラウザ機能を有するコンピュータであり、１台のみを図示したが、複数台の利用者端末としてもよい。
【０１１９】
以上のような構成によれば、ネットワークを介して利用者端末２００と通信できるため、第１の実施形態の効果に加え、離れた場所に配置された利用者端末２００に対してセキュリティ設計を支援することができる。
【０１２０】
なお、上記実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。
【０１２１】
また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。
【０１２２】
また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が上記実施形態を実現するための各処理の一部を実行しても良い。
【０１２３】
さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。
【０１２４】
また、記憶媒体は１つに限らず、複数の媒体から上記実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。
【０１２５】
尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、上記実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。
【０１２６】
また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
【０１２７】
なお、本願発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。更に、異なる実施形態に亘る構成要素を適宜組合せてもよい。
【符号の説明】
【０１２８】
１００，１００ａ，１００ｂ…セキュリティ設計支援装置、１０１…ゴールモデルＤＢ、１０２…十分性文書雛形ＤＢ、１０３…ＳＴ雛形ＤＢ、１０４…記憶部、１０５…シナリオデータ記憶部、１０６…セキュリティデータ記憶部、１０７…入出力部、１０８…ユースケース処理部、１０９…ゴール指向分析処理部、１１０…処理エンジン、１１１…ユースケース入力ツール部、１１２…ゴール指向分析入力ツール部。
【技術分野】
【０００１】
本発明は、開発対象の情報システムやＩＴ（Information Technology）製品（以下、情報システム等ともいう）におけるセキュリティシナリオデータの設計を支援するためのセキュリティ設計支援装置及びプログラムに関する。
【背景技術】
【０００２】
情報システム等のセキュリティ設計においては、上流工程で情報システム等が具備すべきセキュリティ機能要件を策定し、セキュリティシナリオデータを設計する必要がある。
【０００３】
始めに、考えられる脅威とその対策方針をまとめたリストなどによって脅威分析が行われる。この脅威分析結果に基づいてセキュリティ対策方針が定められ、セキュリティ対策方針からセキュリティ機能要件が策定される。続いて、これら脅威分析結果、セキュリティ対策方針及びセキュリティ機能要件内の識別子、定義、対応関係等が整理されてセキュリティシナリオデータが設計される。
【０００４】
設計されたセキュリティシナリオデータは、セキュリティ設計書であるセキュリティターゲットＳＴ（security target）やセキュリティ要件定義書の作成に用いられる。
【０００５】
セキュリティターゲットＳＴは、情報システム等のセキュリティ基本仕様となる文書であり、セキュリティ機能を保証する国際規格であるセキュリティ国際標準（ＩＳＯ／ＩＥＣ１５４０８： International Organization for Standardization / International Electrotechnical Commission 15408）の評価認証に用いられる。セキュリティ要件定義書は、セキュリティ設計の上流工程で作成される要求定義書の中のセキュリティに関する要件をまとめた文書である。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００８−２８７４９６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、以上のようなセキュリティ設計手法は、本発明者の検討によれば、以下の点で改良の余地がある。
【０００８】
すなわち、従来のセキュリティ設計手法は、脅威分析から得られるセキュリティ対策方針と、本来、情報システムが満たすべきセキュリティ目標との関連が分かりにくいことから、セキュリティ目標に基づくセキュリティ対策方針からセキュリティ機能要件への落とし込みが不十分となり易い点で改良の余地があると考えられる。
【０００９】
本発明は上記実情を考慮してなされたもので、脅威分析から得られたセキュリティ対策方針に関連したセキュリティ目標を確認でき、システムの要求仕様から得られるセキュリティ対策方針とセキュリティ機能要件の設計をも支援し得るセキュリティ設計支援装置及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【００１０】
本発明の一つの局面は、「関係者種別に対応する関係者識別子毎に関係者定義を含む関係者一覧表データ」と、「保護資産種別に対応する保護資産識別子毎に保護資産定義を含む保護資産一覧表データ」と、「脅威種別に対応する脅威識別子毎に、脅威定義、関連するセキュリティ対策方針識別子及びセキュリティ対策方針十分性文書情報を含む脅威−対策対応表データ」と、「対策方針種別に対応するセキュリティ対策方針識別子毎に、セキュリティ対策方針（Ｏ，ＵＯ）、関連するセキュリティ機能要件識別子及びセキュリティ機能要件十分性文書情報を含む対策−機能対応表データ」と、「前提条件種別に対応する前提条件識別子毎に、前提条件定義、関連する運用対策方針識別子及び運用対策方針を含む前提−運用対策対応表データ」と、「組織対策方針種別に対応する組織対策方針識別子毎に、組織対策方針、関連するセキュリティ対策方針識別子及びセキュリティ対策方針を含む組織対策方針−対策方針対応表データ」とを含むセキュリティシナリオデータの設計を支援するためのセキュリティ設計支援装置であって、「セキュリティ対策方針識別子毎に、セキュリティ対策方針（Ｏ）、関連するセキュリティ機能要件識別子及びセキュリティ機能要件十分性文書情報を含む対策−機能対応表データ」を記憶した十分性文書雛形記憶手段と、「ゴールとしてのセキュリティ目標毎に、対策方針種別、セキュリティ対策方針識別子、ソフトゴールとしての複数のセキュリティ対策方針（Ｏ）、及び当該各セキュリティ対策方針（Ｏ）に関連した、要求としての１つ以上のセキュリティ機能要件識別子を含むゴールモデル情報」を記憶し、且つ前記ゴールモデル情報内のセキュリティ機能要件識別子は、前記十分性文書雛形記憶手段内の各セキュリティ機能要件識別子のいずれかに一致しているゴールモデル情報記憶手段と、「関係者種別、関係者識別子及び関係者定義を含む関係者情報」と、「保護資産種別、保護資産識別子及び保護資産定義を含む保護資産情報」と、「脅威種別、脅威識別子、脅威定義、及び前記脅威識別子に関連する関係者識別子を含むミスユースケース情報」と、「前提条件種別、前提条件識別子、前提条件定義、及び前記前提条件識別子に関連する保護資産識別子を含む前提条件情報」と、「対策方針種別、セキュリティ対策方針識別子、セキュリティ対策方針（ＵＯ）、及び前記セキュリティ対策方針識別子に関連する脅威識別子を含むセキュリティ対策方針情報」と、「根拠種別、根拠識別子、セキュリティ対策方針十分性文書情報、及び前記根拠識別子に関連するセキュリティ対策方針識別子を含む根拠情報」と、「運用対策方針種別、運用対策方針識別子、運用対策方針、及び前記運用対策方針識別子に関連する前提条件識別子を含む運用対策方針情報」と、「組織対策方針種別、組織対策方針識別子、組織対策方針、及び前記組織対策方針識別子に関連する運用対策方針識別子を含む組織対策方針情報」とを含む脅威分析結果の入力を受け付ける脅威分析結果入力受付手段と、前記入力を受け付けた脅威分析結果のうちの関係者情報に基づいて、「関係者種別に対応する関係者識別子及び関係者定義を含む関係者一覧表データ」を作成する関係者一覧表データ作成手段と、前記入力を受け付けた脅威分析結果のうちの保護資産情報に基づいて、「保護資産種別に対応する保護資産識別子及び保護資産定義を含む保護資産一覧表データ」を作成する保護資産一覧表データ作成手段と、前記入力を受け付けた脅威分析結果のうちのミスユースケース情報とセキュリティ対策方針情報と根拠情報とに基づいて、「脅威識別子毎に、脅威定義、関連するセキュリティ対策方針識別子及びセキュリティ対策方針十分性文書情報を含む脅威−対策対応表データ」を作成する脅威−対策対応表データ作成手段と、前記ゴールモデル情報記憶手段内の各セキュリティ目標のうち、いずれかのセキュリティ目標の選択を受け付けるセキュリティ目標選択受付手段と、前記選択を受け付けたセキュリティ目標に基づいて、前記ゴールモデル情報記憶手段内のゴールモデル情報を読み出すゴールモデル情報読出手段と、前記読み出されたゴールモデル情報内の各セキュリティ対策方針（Ｏ）と、前記入力を受け付けた脅威分析結果内のセキュリティ対策方針（ＵＯ）とを比較する対策方針比較手段と、前記比較の結果、前記脅威分析結果内のセキュリティ対策方針（ＵＯ）を含むセキュリティ対策方針（Ｏ）を前記ゴールモデル情報から抽出する抽出手段と、前記抽出されたセキュリティ対策方針（Ｏ）で前記脅威分析結果内のセキュリティ対策方針（ＵＯ）を書き換えて両者を一体化することにより、前記読み出されたゴールモデル情報と前記脅威分析結果とを合成してなるゴールモデル−脅威分析合成情報を生成する合成情報生成手段と、前記生成されたゴールモデル−脅威分析合成情報内のセキュリティ対策方針（Ｏ，ＵＯ）のうちの前記ゴールモデル情報に含まれるセキュリティ対策方針（Ｏ）に基づいて、前記十分性文書雛形記憶手段からセキュリティ機能要件十分性文書情報を読み込むと共に、当該ゴールモデル情報に含まれないセキュリティ対策方針（ＵＯ）に関連付けて、セキュリティ機能要件十分性文書情報の入力を受け付けることにより、新たに「セキュリティ対策方針識別子毎に、セキュリティ対策方針（ＵＯ）、関連するセキュリティ機能要件識別子及びセキュリティ機能要件十分性文書情報を含む対策−機能対応表データ」を作成する対策−機能対応表データ作成手段と、前記ゴールモデル−脅威分析合成情報、前記作成された関係者一覧表データ、前記作成された保護資産一覧表データ、前記作成された脅威−対策対応表データ及び前記作成された対策−機能対応表データに基づいて、前記セキュリティシナリオデータを作成するセキュリティシナリオデータ作成手段と、を備えたセキュリティ設計支援装置である。
【００１１】
なお、本発明の一つの局面は、装置として表現したが、これに限らず、方法、プログラム、プログラムを記憶したコンピュータ読取り可能な記憶媒体などとして表現することができる。
【００１２】
（作用）
本発明の一つの局面においては、セキュリティ目標毎に、対策方針種別、セキュリティ対策方針識別子、複数のセキュリティ対策方針（Ｏ）及び１つ以上のセキュリティ機能要件識別子を含むゴールモデル情報を記憶したゴールモデル情報記憶手段を備え、セキュリティ目標に基づいて読み出されたゴールモデル情報内の各セキュリティ対策方針（Ｏ）と、脅威分析結果内のセキュリティ対策方針（ＵＯ）とを比較し、ゴールモデル情報から抽出されたセキュリティ対策方針（Ｏ）で脅威分析結果内のセキュリティ対策方針（ＵＯ）を書き換えて両者を一体化することにより、読み出されたゴールモデル情報と脅威分析結果とを合成している。
【００１３】
このとき、脅威分析結果内のセキュリティ対策方針（ＵＯ）は、一体化されたセキュリティ対策方針（Ｏ）を介してゴールモデル情報内のセキュリティ目標に関連している。このため、脅威分析から得られたセキュリティ対策方針（ＵＯ）に関連したセキュリティ目標を確認することができる。
【００１４】
また、ゴールモデル情報において一体化に用いなかった他のセキュリティ対策方針及びセキュリティ機能要件識別子は、脅威分析結果だけでなく、システムの要求仕様のゴール指向分析結果から得られたものであるが、セキュリティ目標及び一体化に用いたセキュリティ対策方針を介して脅威分析結果に関連付けられる。このため、脅威分析だけではなく、システムの要求仕様から得られたセキュリティ対策方針とセキュリティ機能要件の設計をも支援することができる。
【発明の効果】
【００１５】
以上説明したように本発明によれば、脅威分析から得られたセキュリティ対策方針に関連したセキュリティ目標を確認でき、脅威分析だけではなく、システムの要求仕様から得られたセキュリティ対策方針とセキュリティ機能要件の設計をも支援できる。
【図面の簡単な説明】
【００１６】
【図１】本発明の概要を説明するための模式図である。
【図２】本発明の第１の実施形態に係るセキュリティ設計支援装置の構成を示す模式図である。
【図３】同実施形態におけるゴールモデルを説明するための模式図である。
【図４】同実施形態におけるゴールモデルの一例を示す模式図である。
【図５】同実施形態におけるゴールモデル情報の一例を示す模式図である。
【図６】同実施形態における関係者一覧表データの一例を示す模式図である。
【図７】同実施形態における保護資産一覧表データの一例を示す模式図である。
【図８】同実施形態における脅威−対策対応表データの一例を示す模式図である。
【図９】同実施形態における対策−機能対応表データの一例を示す模式図である。
【図１０】同実施形態におけるセキュリティシナリオの一例を示す模式図である。
【図１１】同実施形態におけるミスユースケース図の一例を示す模式図である。
【図１２】同実施形態におけるミスユースケース図の一例を示す模式図である。
【図１３】同実施形態における脅威分析結果の一例を示す模式図である。
【図１４】同実施形態における全体動作を説明するためのフローチャートである。
【図１５】同実施形態における合成動作を説明するためのフローチャートである。
【図１６】同実施形態における入力を促す動作を説明するための模式図である。
【図１７】同実施形態における検証動作を説明するための模式図である。
【図１８】同実施形態におけるセキュリティ要件定義書の生成動作を説明するための模式図である。
【図１９】同実施形態におけるセキュリティターゲットの生成動作を説明するための模式図である。
【図２０】本発明の第２の実施形態に係るセキュリティ設計支援装置の構成を示す模式図である。
【図２１】本発明の第３の実施形態に係るセキュリティ設計支援装置の構成を示す模式図である。
【発明を実施するための形態】
【００１７】
以下、本発明の各実施形態について図面を用いて説明するが、その前に、本発明の概要を述べる。本発明の概要は、図１に示すように、利用者による脅威分析の入力範囲に対し、セキュリティ目標（ゴール）、セキュリティ対策方針（ソフトゴール）及びセキュリティ要件（要求）の３段階を再定義したゴールモデルを補足適用することにより、脅威分析から得られたセキュリティ対策方針（ＵＯ⊆Ｏ）に関連したセキュリティ目標（ＣＩＡＡ＋）を確認でき、脅威分析結果だけではなく、システムの要求仕様から得られたセキュリティ対策方針（Ｏ）とセキュリティ要件の設計をも支援可能とするものである。
【００１８】
このような概要のセキュリティ設計支援装置としては、ハードウェア構成、又はハードウェア資源とソフトウェアとの組合せ構成のいずれでも実施可能となっている。組合せ構成のソフトウェアとしては、予めネットワーク又は記憶媒体からセキュリティ設計支援装置（コンピュータ）にインストールされ、セキュリティ設計支援装置に各機能を実現させるためのプログラムが用いられる。
【００１９】
（第１の実施形態）
図２は本発明の第１の実施形態に係るセキュリティ設計支援装置の構成を示す模式図である。このセキュリティ設計支援装置１００は、ゴールモデルＤＢ（Database）１０１、十分性文書雛形ＤＢ１０２、ＳＴ雛形ＤＢ１０３、記憶部１０４、シナリオデータ記憶部１０５、セキュリティデータ記憶部１０６、入出力部１０７、ユースケース処理部１０８、ゴール指向分析処理部１０９及び処理エンジン１１０を備えている。
【００２０】
ゴールモデルＤＢ１０１は、概略的には、ゴール指向分析におけるセキュリティ目標から対策方針、ＩＳＯ／ＩＥＣ１５４０８ Ｐａｒｔ２のセキュリティ機能要件を基にしたセキュリティ要件までのゴールモデルのデータベースである。
【００２１】
ゴール指向分析とは、開発対象の情報システム等が達成すべき多種の目標を多様な抽象度から分析するための手法であり、図３に示すように、情報システム等の目標となるゴール（セキュリティ目標）、ゴールを満たすソフトゴール（対策方針）、ゴールを達成するための要求（要件）、期待（前提条件）、ドメインプロパティ（ＯＳＰ：組織のセキュリティ対策方針）などに分解してゴールモデルを表現する。
【００２２】
この手法を用いると、例えば「アクセス制御を行う」というシステムのセキュリティに対する仕様あるいは対策方針がなぜ必要かということがＷｈｙ分析によりセキュリティ目標であるゴールで示され、どのように実現するのかということがＨｏｗ分析により要件として抽出できるという効果がある。
【００２３】
なお、ゴール指向要求分析手法の一つであるＫＡＯＳ法のゴールモデルは、ゴール、ソフトゴール、要求の３段階を定義しており、本実施形態では、ゴールをセキュリティ目標、ソフトゴールをセキュリティ対策方針、要求をセキュリティ要件、期待を前提条件、ドメインプロパティを組織のセキュリティ対策方針（ＯＳＰ）と再定義している。
【００２４】
セキュリティ目標を、例えばＧＭＩＴＳ（Guidelines for the Management of IT Security）のセキュリティ特性である機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）、責任追跡性（Accountability）等とする（ＣＩＡＡ＋）。セキュリティ目標をデータとサービスに分けてもよい。セキュリティ対策方針とセキュリティ要件を、例えばＩＳＯ／ＩＥＣ１５４０８ Ｐａｒｔ２のセキュリティ機能要件（ＳＦＲ：Security Functional Requirements）に準拠して、対策方針をクラス、ファミリの要素で分類し、セキュリティ要件をコンポーネントの要素で分類する。決定したセキュリティ目標・対策方針・要件のつながりをゴールモデル書式に従って定義する。
【００２５】
ゴールモデルを表すゴールモデル情報は、予め策定してゴールモデルＤＢ１０１に書き込んでおく。「データの機密性」に関するゴールモデルの一部の例を図４に示す。この例では、「データの機密性が満たされる」というゴール（セキュリティ目標）に対し、「識別認証に成功した利用者のみに、操作が許可される（識別子：Ｏ．識別認証）」と「操作履歴のログが取得され、監査証跡として保管される（識別子：Ｏ．監査証跡）」という２つのソフトゴール（対策方針（Ｏ））を持ち、それぞれセキュリティ機能コンポーネント（FIA_UID.2， FIA_UAU.2， FIA_AFL.1， FIA_SOS.1と、FAU_GEN.1，FAU.SAR.1，FAU.STG.1）を要件（セキュリティ要件）としてモデル化している。
【００２６】
このような概略を持つゴールモデルＤＢ１０１は、具体的には、処理エンジン１１０により読出／書込可能な記憶部であり、図５に示すように、「ゴールとしてのセキュリティ目標（不図示）毎に、対策方針種別、セキュリティ対策方針識別子、ソフトゴールとしての複数のセキュリティ対策方針（Ｏ）（対策方針種別に関連する定義）、及び当該各セキュリティ対策方針（Ｏ）に関連した、要求としての１つ以上のセキュリティ機能要件識別子（セキュリティ対策方針識別子に関連する関連識別子）を含むゴールモデル情報」を記憶している。ここで、ゴールモデル情報内のセキュリティ機能要件識別子は、十分性文書雛形ＤＢ１０２内の各セキュリティ機能要件識別子のいずれかに一致している。すなわち、ゴールモデル情報に含まれるセキュリティ機能要件識別子に基づいて、十分性文書雛形ＤＢ１０２内のセキュリティ機能要件十分性文書情報を検索可能となっている。なお、図５に示したゴールモデル情報は、前述した「対策方針種別、セキュリティ対策方針識別子、セキュリティ対策方針（Ｏ）及びセキュリティ対策方針（Ｏ）に関連したセキュリティ機能要件識別子」以外にも、図示しないセキュリティ目標毎に、「機能種別、セキュリティ機能要件識別子及び当該セキュリティ機能要件識別子に関連するセキュリティ対策方針識別子からなる機能−対策識別子関連情報」と、「根拠種別、根拠識別子、根拠定義及び当該根拠識別子に関連するセキュリティ機能要件識別子からなる根拠−機能関連情報」とを含んでいる。但し、これら機能−対策識別子関連情報及び根拠−機能関連情報は、任意の付加的事項であり、ゴールモデル情報から省略可能となっている。
【００２７】
補足すると、図４に示したゴールモデル図においては、図５に示したゴールモデル情報に基づき、図４中の種別内識別子毎に、種別、定義及び関連識別子を表示可能となっている。具体的には例えば、ゴール指向分析処理部１０９は、ゴールモデル図の種別内識別子がクリックされると、当該クリックされた種別内識別子に基づいて、処理エンジン１１０によりゴールモデルＤＢ１０１内のゴールモデル情報を検索し、当該検索により得られた種別、定義及び関連識別子をウインドウ画面に表示する。この補足内容は図３に示したゴールモデル図でも同様である。
【００２８】
十分性文書雛形ＤＢ１０２は、処理エンジン１１０により読出／書込可能な記憶部であり、「セキュリティ対策方針識別子毎に、セキュリティ対策方針（Ｏ）、関連するセキュリティ機能要件識別子及びセキュリティ機能要件十分性文書情報を含む対策−機能対応表データ」を記憶している。
【００２９】
なお、十分性文書情報は、セキュリティターゲットＳＴの「根拠」を表す箇所の文書情報であり、根拠文書情報などと読み替えてもよい。
【００３０】
ＳＴ雛形ＤＢ１０３は、処理エンジン１１０により読出／書込可能な記憶部であり、セキュリティターゲットＳＴの雛形データを記憶している。
【００３１】
記憶部１０４は、処理エンジン１１０により読出／書込可能であり、処理エンジン１１０の処理途中のデータが一時的に書き込まれる。
【００３２】
シナリオデータ記憶部１０５は、処理エンジン１１０により読出／書込可能であり、図６乃至図９に示すように、「関係者種別に対応する関係者識別子毎に関係者定義を含む関係者一覧表データ」と、「保護資産種別に対応する保護資産識別子毎に保護資産定義を含む保護資産一覧表データ」と、「脅威種別に対応する脅威識別子毎に、脅威定義、関連するセキュリティ対策方針識別子及びセキュリティ対策方針十分性文書情報を含む脅威−対策対応表データ」と、「対策方針種別に対応するセキュリティ対策方針識別子毎に、セキュリティ対策方針（Ｏ，ＵＯ）、関連するセキュリティ機能要件識別子及びセキュリティ機能要件十分性文書情報を含む対策−機能対応表データ」と、「前提条件種別に対応する前提条件識別子毎に、前提条件定義、関連する運用対策方針識別子及び運用対策方針を含む前提−運用対策対応表データ」と、「組織対策方針種別に対応する組織対策方針識別子毎に、組織対策方針、関連するセキュリティ対策方針識別子及びセキュリティ対策方針を含む組織対策方針−対策方針対応表データ」とを含むセキュリティシナリオデータを記憶するために用いられる。
【００３３】
補足すると、セキュリティシナリオデータとは、セキュリティシナリオやセキュリティ設計書の基になるデータで、開発すべき情報システム固有の（１）関係者と保護資産、（２）脅威（セキュリティ課題）とセキュリティ対策方針、（３）セキュリティ対策方針とセキュリティ要件、といった情報を種別、識別子、定義、対応関係、十分性の根拠について整理したデータである。なお、図６に示す関係者一覧表データは、関係者種別を含んでいるが、関係者種別は任意の付加的事項であり、関係者一覧表データから省略してもよい。同様に、図７に示す保護資産一覧表データは、保護資産種別を含んでいるが、保護資産種別は任意の付加的事項であり、保護資産一覧表データから省略してもよい。
【００３４】
セキュリティデータ記憶部１０６は、処理エンジン１１０により読出／書込可能であって、処理エンジン１１０により作成されたセキュリティシナリオ及びセキュリティ設計書を記憶するために用いられる。
【００３５】
セキュリティシナリオとは、図１０に示すように、ＩＳＯ／ＩＥＣ１５４０８ Ｐａｒｔ１で示されるセキュリティ課題（脅威、前提条件、ＯＳＰ（Organizational Security Policy））とセキュリティ対策方針、セキュリティ要件の必要十分性をトレースできるように図示したものである。
【００３６】
セキュリティ設計書は、セキュリティ設計の成果物の文書であり、例えば、セキュリティ要件定義書又はセキュリティターゲットＳＴである。
【００３７】
入出力部１０７は、例えば、キーボード及びマウスといった入力装置と、液晶ディスプレイといった表示装置とからなるものであり、セキュリティ設計支援装置１００と利用者との間の入出力インタフェースとして機能する。
【００３８】
ユースケース処理部１０８は、概略的には、アセット（保護資産）ベースのミス（アブ）ユースケースの入力を受け付ける処理部であり、利用者による入出力部１０７の操作により、図１１に示すように、保護すべき保護資産データに関するミス（アブ）ユースケース図及び記述情報（図示せず）が入力される。
【００３９】
ミス（アブ）ユースケース図及び記述情報とは、開発対象システムの保護資産と通常のユースケース図及び記述情報に対し、ユースケースに脅威を引き起こすミスアクターと、脅威となるミスユースケースと、ミスユースケースを阻止するためのセキュリティ対策方針とを追加したミスユースケース図及び記述情報である。なお、図示しないが、実際には色々な脅威があることから、ミスアクター、ミスユースケース及びセキュリティ対策方針は、それぞれ複数が記述される。また、本実施形態で示すミスユースケース（miss use case）は、アブユースケース（abuse case）を含む。
【００４０】
このような概略を持つユースケース処理部１０８は、具体的には、例えば図１２に示すミスユースケース図に対応して図１３に示すように、「関係者種別、関係者識別子及び関係者定義を含む関係者情報」と、「保護資産種別、保護資産識別子及び保護資産定義を含む保護資産情報」と、「脅威種別、脅威識別子、脅威定義、及び脅威識別子に関連する関係者識別子の記述を含むミスユースケース情報」と、「前提条件種別、前提条件識別子、前提条件定義、及び前提条件識別子に関連する保護資産識別子を含む前提条件情報」と、「対策方針種別、セキュリティ対策方針識別子、セキュリティ対策方針（ＵＯ：Use case Objectives）及び当該セキュリティ対策方針識別子に関連する脅威識別子を含むセキュリティ対策方針情報」と、「根拠種別、根拠識別子、セキュリティ対策方針十分性文書情報、及び当該根拠識別子に関連するセキュリティ対策方針識別子を含む根拠情報」と、「運用対策方針種別、運用対策方針識別子、運用対策方針、及び当該運用対策方針識別子に関連する前提条件識別子を含む運用対策方針情報」と、「組織対策方針種別、組織対策方針識別子、組織対策方針、及び当該組織対策方針識別子に関連する運用対策方針識別子を含む組織対策方針情報」とを含む脅威分析結果の入力を受け付ける機能をもっている。
【００４１】
補足すると、図１２に示すミスユースケース図においては、図中の種別内識別子毎に、図１３に示す如き、種別、定義及び関連識別子を入力可能となっている。具体的には例えば、ユースケース処理部１０８は、ミスユースケース図が種別内識別子毎にクリック呼出し可能な入力画面データを有する構造により、この入力画面データに基づいて入力画面を表示し、この入力画面に記述された種別、定義及び関連識別子の入力を受け付ければよい。
【００４２】
ゴール指向分析処理部１０９は、ゴール指向分析によりシステム固有の要求部分の入力を受け付ける処理部であり、利用者による入出力部１０７の操作により、ゴールモデルＤＢ１０１内の各セキュリティ目標のうち、いずれかのセキュリティ目標の選択を受け付けるセキュリティ目標選択受付機能をもっている。
【００４３】
処理エンジン１１０は、概略的には、各処理部からの入力データと、ゴールモデルＤＢ１０１及び十分性文書雛形ＤＢ１０２内の情報とに基づいて、「脅威−セキュリティ対策方針」と「セキュリティ対策方針−セキュリティ要件」の対応関係を示し、「脅威−セキュリティ対策方針」と「セキュリティ対策方針−セキュリティ要件」の十分性に関する根拠の文章雛形データベース（十分性文書雛形ＤＢ１０２）からセキュリティターゲットＳＴやセキュリティ要件定義書の基になるセキュリティシナリオデータと、このセキュリティシナリオデータを図式化したセキュリティシナリオとセキュリティ設計書を生成する。
【００４４】
このような概略をもつ処理エンジン１１０は、具体的には以下の機能(f110-1)〜(f110-11)をもっている。
【００４５】
(f110-1)「セキュリティ対策方針識別子毎に、セキュリティ対策方針（Ｏ）、対応するセキュリティ機能要件識別子及びセキュリティ機能要件十分性文書情報を含む対策−機能対応表データ」を十分性文書雛形ＤＢ１０２に書き込む機能。
【００４６】
(f110-2) 「ゴールとしてのセキュリティ目標毎に、セキュリティ対策方針識別子、ソフトゴールとしての複数のセキュリティ対策方針（Ｏ）、及び当該各セキュリティ対策方針（Ｏ）に関連した、要求としての１つ以上のセキュリティ機能要件識別子を含むゴールモデル情報」をゴールモデルＤＢ１０１に書き込む機能。但し、ゴールモデル情報内のセキュリティ機能要件識別子は、十分性文書雛形ＤＢ１０２内のセキュリティ機能要件識別子のいずれかに一致している。
【００４７】
(f110-3) ユースケース処理部１０８により入力を受け付けた脅威分析結果のうちの関係者情報に基づいて、「関係者種別に対応する関係者識別子及び関係者定義を含む関係者一覧表データ」を作成する関係者一覧表データ作成機能。
【００４８】
(f110-4) ユースケース処理部１０８により入力を受け付けた脅威分析結果のうちの保護資産情報に基づいて、「保護資産種別に対応する保護資産識別子及び保護資産定義を含む保護資産一覧表データ」を作成する保護資産一覧表データ作成機能。
【００４９】
(f110-5) ユースケース処理部１０８により入力を受け付けた脅威分析結果のうちのミスユースケース情報とセキュリティ対策方針情報と根拠情報とに基づいて、「脅威識別子毎に、脅威定義、関連するセキュリティ対策方針識別子及びセキュリティ対策方針十分性文書情報を含む脅威−対策対応表データ」を作成する脅威−対策対応表データ作成機能。
【００５０】
(f110-6) ゴール指向分析処理部１０９により選択を受け付けたセキュリティ目標に基づいて、ゴールモデルＤＢ１０１内のゴールモデル情報を読み出すゴールモデル情報読出機能。
【００５１】
(f110-7) 読み出されたゴールモデル情報内の各セキュリティ対策方針（Ｏ）と、入力を受け付けた脅威分析結果内のセキュリティ対策方針（ＵＯ）とを比較する対策方針比較機能。
【００５２】
(f110-8) 比較の結果、脅威分析結果内のセキュリティ対策方針（ＵＯ）を含むセキュリティ対策方針（Ｏ）をゴールモデル情報から抽出する抽出機能。
【００５３】
(f110-9) 抽出されたセキュリティ対策方針（Ｏ）で脅威分析結果内のセキュリティ対策方針（ＵＯ）を書き換えて両者を一体化することにより、読み出されたゴールモデル情報と脅威分析結果とを合成してなるゴールモデル−脅威分析合成情報を生成する合成情報生成機能。
【００５４】
(f110-10) 生成されたゴールモデル−脅威分析合成情報内のセキュリティ対策方針（Ｏ，ＵＯ）のうちのゴールモデル情報に含まれるセキュリティ対策方針（Ｏ）に基づいて、十分性文書雛形ＤＢ１０２からセキュリティ機能要件十分性文書情報を読み込むと共に、当該ゴールモデル情報に含まれないセキュリティ対策方針（ＵＯ）に関連付けて、セキュリティ機能要件十分性文書情報の入力を受け付けることにより、新たに「セキュリティ対策方針識別子毎に、セキュリティ対策方針（ＵＯ）、関連するセキュリティ機能要件識別子及びセキュリティ機能要件十分性文書情報を含む対策−機能対応表データ」を作成する対策−機能対応表データ作成機能。
【００５５】
(f110-11) ゴールモデル−脅威分析合成情報、作成された関係者一覧表データ、作成された保護資産一覧データ、作成された脅威−対策対応データ及び作成された対策−機能対応データに基づいて、セキュリティシナリオデータを作成するセキュリティシナリオデータ作成機能。
【００５６】
ここで、セキュリティシナリオデータ作成機能は、以下の機能(f110-11-1)〜(f110-11-3)を含んでいる。
【００５７】
(f110-11-1) ゴールモデル−脅威分析合成情報に基づいて、「前提条件種別に対応する前提条件識別子毎に、前提条件定義、関連する運用対策方針識別子及び運用対策方針を含む前提−運用対策対応表データ」を作成する前提−運用対策対応表データ作成機能。
【００５８】
(f110-11-2) ゴールモデル−脅威分析合成情報に基づいて、「組織対策方針種別に対応する組織対策方針識別子毎に、組織対策方針、関連するセキュリティ対策方針識別子及びセキュリティ対策方針を含む組織対策方針−対策方針対応表データ」を作成する組織対策方針−対策方針対応表データ作成機能。
【００５９】
(f110-11-3) 作成された前提−運用対策対応表データ、作成された組織対策方針−対策方針対応表データ、作成された関係者一覧表データ、作成された保護資産一覧表データ、作成された脅威−対策対応表データ及び作成された対策−機能対応表データを含むセキュリティシナリオデータを作成する機能。
【００６０】
補足すると、ユースケース図やゴールモデルの図には、それぞれの要素の識別子（種別内識別子）が表示される。また、付属情報として要素の定義も入力ツールであるユースケース処理部１０８やゴール指向分析処理部１０９から利用者が入力できる。なお、ユースケース処理部１０８は、保護資産情報、アクター（関係者）、脅威、前提条件、対策方針及び根拠をユースケース図から入力できる。但し、ゴール指向分析処理部１０９が、前提条件、ＯＳＰ、運用の対策方針をゴールモデル図から入力してもよい。これらユースケース図又はゴールモデル図に入力された識別子や定義を用いて、処理エンジン１１０は一覧表を生成する。十分性文書情報のみは、図の付属情報として利用者が入力してもよく、過去のＳＴデータや定型文書を基にした十分性文書雛形ＤＢ１０２から検索、参照して追加してもよい。処理エンジン１１０は、ユースケース処理部１０８から渡されたユースケース図に示された識別子とそれぞれの識別子の定義や属性、十分性文書情報といった付属情報の検索、参照と一覧表作成を実行する。
【００６１】
ミスユースケースの入力情報により、関係者一覧表データ、保護資産一覧表データ、脅威−対策対応表データが処理エンジン１１０で作成される。対策−機能対応表データは、ゴールモデルＤＢ１０１から選択されたセキュリティ対策方針（Ｏ）とユースケースのセキュリティ対策方針（ＵＯ）とから合成されたセキュリティ対策方針と、それぞれのセキュリティ対策方針に対応するセキュリティ機能（ＳＦＲ）の識別子と、ＳＦＲごとに十分性文書雛形ＤＢ１０２に保存されている十分性文書を用いて、処理エンジン１１０により作成される。セキュリティ機能がゴールモデルＤＢ１０１内のゴールモデル情報に無い場合は、利用者が新たにセキュリティ機能を入力でき、新たに入力されたセキュリティ機能に関する識別子、定義、対策に対する根拠といった情報を、処理エンジン１１０がゴールモデルＤＢ１０１と十分性文書雛形ＤＢ１０２に追加する。
【００６２】
また、図示しないが、図１３に示した脅威分析結果と図５に示したゴールモデル情報とを合成してなるゴールモデル−脅威分析合成情報から得られる、前提条件−運用対策対応データ、ＯＳＰ−対策対応データから前提−運用対策対応表データ及び組織対策方針−対策方針対応表データが処理エンジン１１０により作成される。
【００６３】
次に、以上のように構成されたセキュリティ設計支援装置の動作について図１４のフローチャートを用いて説明する。
【００６４】
［ユースケースの入力：ｗ１０］
セキュリティ設計支援装置においては、利用者による入出力部１０７の操作（以下、利用者の操作ともいう）により、ユースケース処理部１０８が、ＵＭＬ（Unified Modeling Language）を適用して図式化する通常のユースケース図及び記述情報を作成して、業務分析を行う。また、ユースケース処理部１０８は、利用者の操作により、保護資産情報の記述及び評価を行う。
【００６５】
これにより、ユースケース図及び記述情報は、関係者種別、関係者識別子及び関係者定義を含む関係者情報と、保護資産種別、保護資産識別子及び保護資産定義を含む保護資産情報と、一部の関係者識別子に関連付けられ、保護資産識別子を含む業務の記述を含むユースケース情報とを含むものとなる。
【００６６】
ユースケース処理部１０８は、利用者の操作により、このようなユースケース図及び記述情報にミスアクターとミスユースケースを追加して、ユースケースに対する脅威識別子を含むミスユースケース情報を記述する。
【００６７】
ユースケース処理部１０８は、利用者の操作により、記述した脅威識別子を含むミスユースケース情報のうち、起こりえない脅威や前提条件といった対策の不要な脅威識別子を含むミスユースケース情報を削除し、対策の必要な脅威識別子を含むミスユースケース情報を選択する。
【００６８】
ユースケース処理部１０８は、利用者の操作により、選択した脅威識別子を含むミスユースケース情報に関連付けてセキュリティ対策方針（ＵＯ）やセキュリティ対策方針十分性文書情報を記述すると共に、記述したセキュリティ対策方針（ＵＯ）やセキュリティ対策方針十分性文書情報を評価する。また、ユースケース処理部１０８は、利用者の操作により、保護資産識別子に関連付けて前提条件情報を記述する。さらに、ユースケース処理部１０８は、利用者の操作により、根拠情報、運用対策方針情報及び組織対策方針情報を記述する。
【００６９】
ユースケース処理部１０８は、利用者の操作により、前述した保護資産情報の記述・評価からミスユースケース情報の記述・選択、セキュリティ対策方針（ＵＯ）やセキュリティ対策方針十分性文書情報（ＵＯ）の記述・評価、前提条件情報、根拠情報、運用対策方針情報及び組織対策方針情報の記述を繰り返す。
【００７０】
しかる後、ユースケース処理部１０８は、利用者の操作により、これら関係者情報（アクター、ミスアクター）、保護資産情報、脅威識別子（Ｔ：Threat）の記述を含むミスユースケース情報、前提条件情報、セキュリティ対策方針（ＵＯ）及びセキュリティ対策方針十分性文書情報を含むセキュリティ対策方針情報、根拠情報、運用対策方針情報、組織対策方針情報などを決定し、これらの情報を含む脅威分析結果を得る。
【００７１】
以上により、セキュリティ設計支援装置１００においては、利用者の操作により、ユースケース処理部１０８が脅威分析結果を処理エンジン１１０に入力する。処理エンジン１１０は、脅威分析結果の入力を受け付けると、図１３に示す如き、この脅威分析結果を記憶部１０４に書き込む。
【００７２】
［シナリオデータ生成：ｗ２０］
処理エンジン１１０は、記憶部１０４内の脅威分析結果に含まれる関係者情報、保護資産情報、ミスユースケース情報、セキュリティ対策方針情報からセキュリティシナリオデータの一部を作成する。
【００７３】
具体的には、処理エンジン１１０は、図６に示すように、記憶部１０４内の脅威分析結果のうちの関係者情報に基づいて、「関係者種別に対応する関係者識別子及び関係者定義を含む関係者一覧表データ」を作成する。
【００７４】
また、処理エンジン１１０は、図７に示すように、記憶部１０４内の脅威分析結果のうちの保護資産情報に基づいて、「保護資産種別に対応する保護資産識別子及び保護資産定義を含む保護資産一覧表データ」を作成する。
【００７５】
また、処理エンジン１１０は、図８に示すように、記憶部１０４内の脅威分析結果のうちのミスユースケース情報とセキュリティ対策方針情報と根拠情報とに基づいて、「脅威識別子毎に、脅威定義、関連するセキュリティ対策方針識別子及びセキュリティ対策方針十分性文書情報を含む脅威−対策対応表データ」を作成する。
【００７６】
［セキュリティ目標の選択：ｗ３０］
セキュリティ設計支援装置においては、利用者による入出力部１０７の操作により、ゴール指向分析処理部１０９がゴールモデルＤＢ１０１内の各セキュリティ目標を入出力部１０７に送出する。
【００７７】
入出力部１０７は、各セキュリティ目標を表示出力し、利用者の操作により、いずれかのセキュリティ目標を選択し、選択結果をゴール指向分析処理部１０９に送出する。
【００７８】
ゴール指向分析処理部１０９は、このセキュリティ目標の選択を受け付けて、選択結果を処理エンジン１１０に送出する。
【００７９】
［脅威分析結果とゴールモデルを合成：ｗ４０］
処理エンジン１１０は、利用者の操作により、図１５に示すように、記憶部１０４内の脅威分析結果からセキュリティ対策方針（ＵＯ）及び前提条件（Ａ）を読み出す（ｗ４１）。
【００８０】
また、処理エンジン１１０は、利用者の操作により、脅威分析結果から、組織のセキュリティ対策方針（ＯＳＰ）を抽出する。
【００８１】
処理エンジン１１０は、読み出した前提条件（Ａ）と、組織のセキュリティ対策方針（ＯＳＰ）とを入出力部１０７に出力して利用者による評価を促し、利用者による入出力部１０７の操作により、運用環境の対策方針（ＯＥ）を適宜修正して決定する（ｗ４２）。これにより、脅威分析結果内の運用環境の対策方針（ＯＥ）が決定される。
【００８２】
また、処理エンジン１１０は、選択を受け付けたセキュリティ目標に基づいて、ゴールモデルＤＢ１０１内のゴールモデル情報を読み出すと共に、このゴールモデル情報内のセキュリティ対策方針（Ｏ）から「通信が安全に行われる」等のキーワードを抽出する。なお、ここでいう「キーワード」は、「セキュリティ対策方針の一部」の代表例であり、一部の単語（キーワード）に限らず、一部の句（キーフレーズ；二語以上で文を成さないもの）又は一部の節（キークローズ；文の一部で主語と述語を有するもの）でもよい。また、処理エンジン１１０は、ステップｗ４１で読み出した脅威分析結果のセキュリティ対策方針（ＵＯ）から「ファイルを暗号化する」等のキーワードを抽出し（ｗ４３）、各キーワードを比較する。
【００８３】
なお、ここでは、ゴールモデル情報内の各セキュリティ対策方針（Ｏ）と、脅威分析結果内のセキュリティ対策方針（ＵＯ）とを比較できればよいので、必ずしもキーワード抽出によって比較する必要はない。例えば、セキュリティ対策方針の全体を比較してもよい。
【００８４】
比較の結果、処理エンジン１１０は、脅威分析結果内のセキュリティ対策方針（ＵＯ）のキーワードが、ゴールモデル情報内のセキュリティ対策方針（Ｏ）のキーワードに含まれる関係（ＵＯ⊆Ｏ）にあれば（ｗ４４；ＹＥＳ）、当該脅威分析結果内のセキュリティ対策方針（ＵＯ）を含むセキュリティ対策方針（Ｏ）をゴールモデル情報から抽出する。
【００８５】
しかる後、処理エンジン１１０は、抽出したセキュリティ対策方針（Ｏ）で脅威分析結果内のセキュリティ対策方針（ＵＯ）を書き換えて両者を一体化することにより、ゴールモデル情報と脅威分析結果とを合成する（ｗ４５）。このステップｗ４３〜ｗ４５は、繰り返し実行する。
【００８６】
ステップｗ４３〜ｗ４５の繰り返し実行後、ゴールモデル情報と脅威分析結果とを合成してなるゴールモデル−脅威分析合成情報が生成される。処理エンジン１１０は、ゴールモデル−脅威分析合成情報内のうちのゴールモデル情報に含まれるセキュリティ対策方針（Ｏ）に基づいて、十分性文書雛形ＤＢ１０２からセキュリティ機能要件十分性文書情報を読み込む。
【００８７】
また、ステップｗ４３〜ｗ４５の繰り返し実行後、ステップｗ４４の比較の結果、否の場合（ＵＯ≠Ｏ）の対策方針（ＵＯ）については、処理エンジン１１０は、例えば図１６に示すように、部分的にステップｗ４５の合成済みの図式データを入出力部１０７に送出し、ユースケースのセキュリティ対策方針（ＵＯ）のためのセキュリティ機能要件（ＳＦＲ）の入力を促す（ｗ４６）。すなわち、処理エンジン１１０は、生成されたゴールモデル−脅威分析合成情報内のセキュリティ対策方針（Ｏ，ＵＯ）のうちのゴールモデル情報に含まれないセキュリティ対策方針（ＵＯ）に関連付けて、セキュリティ機能要件十分性文書情報の入力を促す。入出力部１０７は、入力を促された利用者の操作により、ゴールモデル情報に含まれないユースケース対策方針定義（ＵＯ）のセキュリティ機能要件（ＳＦＲ）十分性文書情報を処理エンジン１１０に入力する。
【００８８】
処理エンジン１１０は、このセキュリティ機能要件十分性文書情報の入力を受け付けることにより、図９に示すように、新たに「セキュリティ対策方針識別子毎に、セキュリティ対策方針（ＵＯ）、関連するセキュリティ機能要件識別子及びセキュリティ機能要件十分性文書情報を含む対策−機能対応表データ」を作成する。
【００８９】
しかる後、処理エンジン１１０は、この対策−機能対応表データと、ゴールモデル−脅威分析合成情報とを記憶部１０４に書き込む（ｗ４７）。ここで、ゴールモデル−脅威分析合成情報は、ステップｗ４２で評価した前提条件（Ａ）と、組織のセキュリティ対策方針（ＯＳＰ）と、運用環境の対策方針（ＯＥ）とを含んでいる。
【００９０】
［シナリオデータの作成：ｗ５０］
処理エンジン１１０は、図６乃至図９に示すように、ゴールモデル−脅威分析合成情報、作成された関係者一覧表データ、作成された保護資産一覧表データ、作成された脅威−対策対応表データ及び作成された対策−機能対応表データをそれぞれ記憶部１０４から読み出す。
【００９１】
処理エンジン１１０は、ゴールモデル−脅威分析合成情報に基づいて、「前提条件種別に対応する前提条件識別子毎に、前提条件定義、関連する運用対策方針識別子及び運用対策方針を含む前提−運用対策対応表データ」を作成する。
【００９２】
また、処理エンジン１１０は、ゴールモデル−脅威分析合成情報に基づいて、「組織対策方針種別に対応する組織対策方針識別子毎に、組織対策方針、関連するセキュリティ対策方針識別子及びセキュリティ対策方針を含む組織対策方針−対策方針対応表データ」を作成する。
【００９３】
さらに、処理エンジン１１０は、作成された前提−運用対策対応表データ、作成された組織対策方針−対策方針対応表データ、作成された関係者一覧表データ、作成された保護資産一覧表データ、作成された脅威−対策対応表データ及び作成された対策−機能対応表データを含むセキュリティシナリオデータを作成する。
【００９４】
しかる後、処理エンジン１１０は、作成したセキュリティシナリオデータをシナリオデータ記憶部１０５に書き込む。
【００９５】
［ゴールモデルの検証・保存：ｗ６０］
処理エンジン１１０は、図１７に示すように、ステップｗ４０で得られたゴールモデル−脅威分析合成情報を検証して、ゴールモデルＤＢ１０１に保存するか否かを決定する。
【００９６】
処理エンジン１１０は、ゴールモデル−脅威分析合成情報を検証するか否かを利用者に確認する（ｗ６１）。否の場合（ｗ６１；ＮＯ）、ゴールモデル−脅威分析合成情報をゴールモデルＤＢ１０１に登録せずに終了する。
【００９７】
一方、検証する場合（ｗ６１；ＹＥＳ）、処理エンジン１１０は、ゴールモデル−脅威分析合成情報内のセキュリティ機能要件十分性文書情報がセキュリティ対策方針を満たしているか否かをＶＤＭ(Vienna Development Method)，Ｚ，Ｂなどのモデルベース形式検証手法を用いて検証する。
【００９８】
処理エンジン１１０は、セキュリティ機能要件の形式記述を作成する（ｗ６２）。
【００９９】
処理エンジン１１０は、ＶＤＭ等で記述したセキュリティ対策方針や想定機能の入力を利用者に促す（ｗ６３）。
【０１００】
処理エンジン１１０は、モデルベース形式検証ツールで検証し（ｗ６４）、検証結果を利用者に提示する。
【０１０１】
処理エンジン１１０は、検証結果からゴールモデルとして妥当と判断されたセキュリティ対策方針とセキュリティ機能要件をゴールモデルＤＢ１０１に保存し（ｗ６５）、妥当でないセキュリティ対策方針とセキュリティ機能要件を保存せずに終了する。
【０１０２】
［セキュリティシナリオの作成：ｗ７０］
処理エンジン１１０は、図１０に示すように、シナリオデータ記憶部１０５内のセキュリティシナリオデータを図式化してセキュリティシナリオを作成し、このセキュリティシナリオをセキュリティデータ記憶部１０６に書き込む。また、処理エンジン１１０は、図４に示すように、セキュリティデータ記憶部１０６内のセキュリティシナリオを入出力部１０７を介して利用者に提示することもできる。
【０１０３】
［セキュリティ設計書の作成：ｗ８０］
次に、セキュリティ要件定義書やセキュリティターゲットＳＴといったセキュリティ設計書の作成について述べる。
【０１０４】
処理エンジン１１０は、図１８に示すように、シナリオデータ記憶部１０５内のセキュリティシナリオデータの一覧表及び各対応表の要素を並べ替えることにより、セキュリティ要件定義書を生成することができる。
【０１０５】
また、処理エンジン１１０は、図１９に示すように、ｄ１０５内のセキュリティシナリオデータの各表の要素を並べ替えると共に、足りない項目をＳＴ雛形記憶部１０４内の定型文書を参照することにより、セキュリティターゲットＳＴを作成することができる。
【０１０６】
なお、ここでいう「足りない項目」としては、例えば「ＳＴ概説」、「ＴＯＥセキュリティ保証要件」、「適合主張」の各項目が挙げられる。また、セキュリティシナリオデータからセキュリティターゲットＳＴを生成する技術については、例えば、特許文献１にも開示されている。
【０１０７】
上述したように本実施形態によれば、セキュリティ目標毎に、対策方針種別、セキュリティ対策方針識別子、複数のセキュリティ対策方針（Ｏ）及び１つ以上のセキュリティ機能要件識別子を含むゴールモデル情報を記憶したゴールモデルＤＢ１０１を備え、セキュリティ目標に基づいて読み出されたゴールモデル情報内の各セキュリティ対策方針（Ｏ）と、脅威分析結果内のセキュリティ対策方針（ＵＯ）とを比較し、ゴールモデル情報から抽出されたセキュリティ対策方針（Ｏ）で脅威分析結果内のセキュリティ対策方針（ＵＯ）を書き換えて両者を一体化することにより、読み出されたゴールモデル情報と脅威分析結果とを合成している。
【０１０８】
このとき、脅威分析結果内のセキュリティ対策方針（ＵＯ）は、一体化されたセキュリティ対策方針（Ｏ）を介してゴールモデル情報内のセキュリティ目標に関連している。このため、脅威分析から得られたセキュリティ対策方針（ＵＯ）に関連したセキュリティ目標を確認することができる。
【０１０９】
また、ゴールモデル情報において一体化に用いなかった他のセキュリティ対策方針及びセキュリティ機能要件識別子は、脅威分析結果から得られなかったものであるが、セキュリティ目標及び一体化に用いたセキュリティ対策方針を介して脅威分析結果に関連付けられる。このため、脅威分析から得られなかったセキュリティ対策方針とセキュリティ機能要件の設計をも支援することができる。
【０１１０】
補足すると、本実施形態によれば、ユースケースを用いた脅威分析とゴール指向分析を用いたセキュリティ要件定義の可視化により、セキュリティシナリオデータの精度を向上させることができる。また、セキュリティシナリオデータ、ゴールモデルの蓄積と再利用を実現することができる。
【０１１１】
（第２の実施形態）
図２０は本発明の第２の実施形態に係るセキュリティ設計支援装置の構成を示す模式図であり、図１と同一部分には同一符号を付してその詳しい説明を省略し、ここでは異なる部分について主に述べる。なお、以下の各実施形態も同様にして重複した説明を省略する。
【０１１２】
本実施形態は、第１の実施形態の変形例であり、図１に示したユースケース処理部１０８及びゴール指向分析処理部１０９に対し、オープンソースなど既存のユースケース入力ツールプログラム及びゴール指向分析入力ツールプログラムを実行するＣＰＵの一機能からなるユースケース入力ツール部１１１及びゴール指向分析入力ツール部１１２を付加した構成となっている。これらの入力ツールプログラムとしては、例えば、ＪＵＤＥシリーズ内のツールが適宜、使用可能となっている。また、窓の杜（まどのもり）＜www.forest.impress.co.jp/＞などといったオンラインソフトウェアの紹介サイトから適宜、入力ツールプログラムを取得してもよい。
【０１１３】
ここで、ユースケース入力ツール部１１１は、通常のユースケース入力機能を有し、例えば、利用者による入出力部１０７の操作により、ユースケース図及び記述情報をユースケース処理部１０８に入力する機能をもっている。
【０１１４】
ゴール指向分析入力ツール部１１２は、通常のゴール指向分析機能を有し、例えば、利用者による入出力部１０７の操作により、セキュリティ目標をゴール指向分析処理部１０９に入力する機能ともっている。
【０１１５】
以上のような構成によれば、既存のオープンツールを用いてユースケース入力及びゴール指向分析を実行できるため、第１の実施形態の効果に加え、汎用性を向上させることができる。
【０１１６】
（第３の実施形態）
図２１は本発明の第３の実施形態に係るセキュリティ設計支援装置の構成を示す模式図である。
【０１１７】
本実施形態は、第１の実施形態の変形例であり、図１に示したユースケース処理部１０８及びゴール指向分析処理部１０９をＷｅｂシステムとした構成となっている。これに伴い、入出力部１０７に代えて、Ｗｅｂ通信部１１３を備えている。この通信部１１３は、ネットワークを介して利用者端末２００と通信するための通信インタフェースである。
【０１１８】
利用者端末２００は、ネットワークを介してセキュリティ設計支援装置１００ｂに通信可能なＷｅｂブラウザ機能を有するコンピュータであり、１台のみを図示したが、複数台の利用者端末としてもよい。
【０１１９】
以上のような構成によれば、ネットワークを介して利用者端末２００と通信できるため、第１の実施形態の効果に加え、離れた場所に配置された利用者端末２００に対してセキュリティ設計を支援することができる。
【０１２０】
なお、上記実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。
【０１２１】
また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。
【０１２２】
また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が上記実施形態を実現するための各処理の一部を実行しても良い。
【０１２３】
さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。
【０１２４】
また、記憶媒体は１つに限らず、複数の媒体から上記実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。
【０１２５】
尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、上記実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。
【０１２６】
また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
【０１２７】
なお、本願発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。更に、異なる実施形態に亘る構成要素を適宜組合せてもよい。
【符号の説明】
【０１２８】
１００，１００ａ，１００ｂ…セキュリティ設計支援装置、１０１…ゴールモデルＤＢ、１０２…十分性文書雛形ＤＢ、１０３…ＳＴ雛形ＤＢ、１０４…記憶部、１０５…シナリオデータ記憶部、１０６…セキュリティデータ記憶部、１０７…入出力部、１０８…ユースケース処理部、１０９…ゴール指向分析処理部、１１０…処理エンジン、１１１…ユースケース入力ツール部、１１２…ゴール指向分析入力ツール部。
【特許請求の範囲】
【請求項１】
「関係者種別に対応する関係者識別子毎に関係者定義を含む関係者一覧表データ」と、「保護資産種別に対応する保護資産識別子毎に保護資産定義を含む保護資産一覧表データ」と、「脅威種別に対応する脅威識別子毎に、脅威定義、関連するセキュリティ対策方針識別子及びセキュリティ対策方針十分性文書情報を含む脅威−対策対応表データ」と、「対策方針種別に対応するセキュリティ対策方針識別子毎に、セキュリティ対策方針（Ｏ，ＵＯ）、関連するセキュリティ機能要件識別子及びセキュリティ機能要件十分性文書情報を含む対策−機能対応表データ」と、「前提条件種別に対応する前提条件識別子毎に、前提条件定義、関連する運用対策方針識別子及び運用対策方針を含む前提−運用対策対応表データ」と、「組織対策方針種別に対応する組織対策方針識別子毎に、組織対策方針、関連するセキュリティ対策方針識別子及びセキュリティ対策方針を含む組織対策方針−対策方針対応表データ」とを含むセキュリティシナリオデータの設計を支援するためのセキュリティ設計支援装置であって、
「セキュリティ対策方針識別子毎に、セキュリティ対策方針（Ｏ）、関連するセキュリティ機能要件識別子及びセキュリティ機能要件十分性文書情報を含む対策−機能対応表データ」を記憶した十分性文書雛形記憶手段と、
「ゴールとしてのセキュリティ目標毎に、対策方針種別、セキュリティ対策方針識別子、ソフトゴールとしての複数のセキュリティ対策方針（Ｏ）、及び当該各セキュリティ対策方針（Ｏ）に関連した、要求としての１つ以上のセキュリティ機能要件識別子を含むゴールモデル情報」を記憶し、且つ前記ゴールモデル情報内のセキュリティ機能要件識別子は、前記十分性文書雛形記憶手段内の各セキュリティ機能要件識別子のいずれかに一致しているゴールモデル情報記憶手段と、
「関係者種別、関係者識別子及び関係者定義を含む関係者情報」と、「保護資産種別、保護資産識別子及び保護資産定義を含む保護資産情報」と、「脅威種別、脅威識別子、脅威定義、及び前記脅威識別子に関連する関係者識別子を含むミスユースケース情報」と、「前提条件種別、前提条件識別子、前提条件定義、及び前記前提条件識別子に関連する保護資産識別子を含む前提条件情報」と、「対策方針種別、セキュリティ対策方針識別子、セキュリティ対策方針（ＵＯ）、及び前記セキュリティ対策方針識別子に関連する脅威識別子を含むセキュリティ対策方針情報」と、「根拠種別、根拠識別子、セキュリティ対策方針十分性文書情報、及び前記根拠識別子に関連するセキュリティ対策方針識別子を含む根拠情報」と、「運用対策方針種別、運用対策方針識別子、運用対策方針、及び前記運用対策方針識別子に関連する前提条件識別子を含む運用対策方針情報」と、「組織対策方針種別、組織対策方針識別子、組織対策方針、及び前記組織対策方針識別子に関連する運用対策方針識別子を含む組織対策方針情報」とを含む脅威分析結果の入力を受け付ける脅威分析結果入力受付手段と、
前記入力を受け付けた脅威分析結果のうちの関係者情報に基づいて、「関係者種別に対応する関係者識別子及び関係者定義を含む関係者一覧表データ」を作成する関係者一覧表データ作成手段と、
前記入力を受け付けた脅威分析結果のうちの保護資産情報に基づいて、「保護資産種別に対応する保護資産識別子及び保護資産定義を含む保護資産一覧表データ」を作成する保護資産一覧表データ作成手段と、
前記入力を受け付けた脅威分析結果のうちのミスユースケース情報とセキュリティ対策方針情報と根拠情報とに基づいて、「脅威識別子毎に、脅威定義、関連するセキュリティ対策方針識別子及びセキュリティ対策方針十分性文書情報を含む脅威−対策対応表データ」を作成する脅威−対策対応表データ作成手段と、
前記ゴールモデル情報記憶手段内の各セキュリティ目標のうち、いずれかのセキュリティ目標の選択を受け付けるセキュリティ目標選択受付手段と、
前記選択を受け付けたセキュリティ目標に基づいて、前記ゴールモデル情報記憶手段内のゴールモデル情報を読み出すゴールモデル情報読出手段と、
前記読み出されたゴールモデル情報内の各セキュリティ対策方針（Ｏ）と、前記入力を受け付けた脅威分析結果内のセキュリティ対策方針（ＵＯ）とを比較する対策方針比較手段と、
前記比較の結果、前記脅威分析結果内のセキュリティ対策方針（ＵＯ）を含むセキュリティ対策方針（Ｏ）を前記ゴールモデル情報から抽出する抽出手段と、
前記抽出されたセキュリティ対策方針（Ｏ）で前記脅威分析結果内のセキュリティ対策方針（ＵＯ）を書き換えて両者を一体化することにより、前記読み出されたゴールモデル情報と前記脅威分析結果とを合成してなるゴールモデル−脅威分析合成情報を生成する合成情報生成手段と、
前記生成されたゴールモデル−脅威分析合成情報内のセキュリティ対策方針（Ｏ，ＵＯ）のうちの前記ゴールモデル情報に含まれるセキュリティ対策方針（Ｏ）に基づいて、前記十分性文書雛形記憶手段からセキュリティ機能要件十分性文書情報を読み込むと共に、当該ゴールモデル情報に含まれないセキュリティ対策方針（ＵＯ）に関連付けて、セキュリティ機能要件十分性文書情報の入力を受け付けることにより、新たに「セキュリティ対策方針識別子毎に、セキュリティ対策方針（ＵＯ）、関連するセキュリティ機能要件識別子及びセキュリティ機能要件十分性文書情報を含む対策−機能対応表データ」を作成する対策−機能対応表データ作成手段と、
前記ゴールモデル−脅威分析合成情報、前記作成された関係者一覧表データ、前記作成された保護資産一覧表データ、前記作成された脅威−対策対応表データ及び前記作成された対策−機能対応表データに基づいて、前記セキュリティシナリオデータを作成するセキュリティシナリオデータ作成手段と、
を備えたことを特徴とするセキュリティ設計支援装置。
【請求項２】
請求項１に記載のセキュリティ設計支援装置において、
前記セキュリティシナリオデータ作成手段は、
前記ゴールモデル−脅威分析合成情報に基づいて、「前提条件種別に対応する前提条件識別子毎に、前提条件定義、関連する運用対策方針識別子及び運用対策方針を含む前提−運用対策対応表データ」を作成する前提−運用対策対応表データ作成手段と、
前記ゴールモデル−脅威分析合成情報に基づいて、「組織対策方針種別に対応する組織対策方針識別子毎に、組織対策方針、関連するセキュリティ対策方針識別子及びセキュリティ対策方針を含む組織対策方針−対策方針対応表データ」を作成する組織対策方針−対策方針対応表データ作成手段と、
前記作成された前提−運用対策対応表データ、前記作成された組織対策方針−対策方針対応表データ、前記作成された関係者一覧表データ、前記作成された保護資産一覧表データ、前記作成された脅威−対策対応表データ及び前記作成された対策−機能対応表データを含むセキュリティシナリオデータを作成する手段と、
を備えたことを特徴とするセキュリティ設計支援装置。
【請求項３】
十分性文書雛形記憶手段及びゴールモデル情報記憶手段を備え、「関係者種別に対応する関係者識別子毎に関係者定義を含む関係者一覧表データ」と、「保護資産種別に対応する保護資産識別子毎に保護資産定義を含む保護資産一覧表データ」と、「脅威種別に対応する脅威識別子毎に、脅威定義、関連するセキュリティ対策方針識別子及びセキュリティ対策方針十分性文書情報を含む脅威−対策対応表データ」と、「対策方針種別に対応するセキュリティ対策方針識別子毎に、セキュリティ対策方針（Ｏ，ＵＯ）、関連するセキュリティ機能要件識別子及びセキュリティ機能要件十分性文書情報を含む対策−機能対応表データ」と、「前提条件種別に対応する前提条件識別子毎に、前提条件定義、関連する運用対策方針識別子及び運用対策方針を含む前提−運用対策対応表データ」と、「組織対策方針種別に対応する組織対策方針識別子毎に、組織対策方針、関連するセキュリティ対策方針識別子及びセキュリティ対策方針を含む組織対策方針−対策方針対応表データ」とを含むセキュリティシナリオデータの設計を支援するためのセキュリティ設計支援装置に用いられるプログラムにおいて、
前記セキュリティ設計支援装置を、
「セキュリティ対策方針識別子毎に、セキュリティ対策方針（Ｏ）、関連するセキュリティ機能要件識別子及びセキュリティ機能要件十分性文書情報を含む対策−機能対応表データ」とを前記十分性文書雛形記憶手段に書き込む手段、
「ゴールとしてのセキュリティ目標毎に、対策方針種別、セキュリティ対策方針識別子、ソフトゴールとしての複数のセキュリティ対策方針（Ｏ）、及び当該各セキュリティ対策方針（Ｏ）に関連した、要求としての１つ以上のセキュリティ機能要件識別子を含むゴールモデル情報」であって且つ「当該セキュリティ機能要件識別子は、前記十分性文書雛形記憶手段内のセキュリティ機能要件識別子のいずれかに一致しているゴールモデル情報」を前記ゴールモデル情報記憶手段に書き込む手段、
「関係者種別、関係者識別子及び関係者定義を含む関係者情報」と、「保護資産種別、保護資産識別子及び保護資産定義を含む保護資産情報」と、「脅威種別、脅威識別子、脅威定義、及び前記脅威識別子に関連する関係者識別子を含むミスユースケース情報」と、「前提条件種別、前提条件識別子、前提条件定義、及び前記前提条件識別子に関連する保護資産識別子を含む前提条件情報」と、「対策方針種別、セキュリティ対策方針識別子、セキュリティ対策方針（ＵＯ）、及び前記セキュリティ対策方針識別子に関連する脅威識別子を含むセキュリティ対策方針情報」と、「根拠種別、根拠識別子、セキュリティ対策方針十分性文書情報、及び前記根拠識別子に関連するセキュリティ対策方針識別子を含む根拠情報」と、「運用対策方針種別、運用対策方針識別子、運用対策方針、及び前記運用対策方針識別子に関連する前提条件識別子を含む運用対策方針情報」と、「組織対策方針種別、組織対策方針識別子、組織対策方針、及び前記組織対策方針識別子に関連する運用対策方針識別子を含む組織対策方針情報」とを含む脅威分析結果の入力を受け付ける脅威分析結果入力受付手段、
前記入力を受け付けた脅威分析結果のうちの関係者情報に基づいて、「関係者種別に対応する関係者識別子及び関係者定義を含む関係者一覧表データ」を作成する関係者一覧表データ作成手段、
前記入力を受け付けた脅威分析結果のうちの保護資産情報に基づいて、「保護資産種別に対応する保護資産識別子及び保護資産定義を含む保護資産一覧表データ」を作成する保護資産一覧表データ作成手段、
前記入力を受け付けた脅威分析結果のうちのミスユースケース情報とセキュリティ対策方針情報と根拠情報とに基づいて、「脅威識別子毎に、脅威定義、関連するセキュリティ対策方針識別子及びセキュリティ対策方針十分性文書情報を含む脅威−対策対応表データ」を作成する脅威−対策対応表データ作成手段、
前記ゴールモデル情報記憶手段内の各セキュリティ目標のうち、いずれかのセキュリティ目標の選択を受け付けるセキュリティ目標選択受付手段、
前記選択を受け付けたセキュリティ目標に基づいて、前記ゴールモデル情報記憶手段内のゴールモデル情報を読み出すゴールモデル情報読出手段、
前記読み出されたゴールモデル情報内の各セキュリティ対策方針（Ｏ）と、前記入力を受け付けた脅威分析結果内のセキュリティ対策方針（ＵＯ）とを比較する対策方針比較手段、
前記比較の結果、前記脅威分析結果内のセキュリティ対策方針（ＵＯ）を含むセキュリティ対策方針（Ｏ）を前記ゴールモデル情報から抽出する抽出手段、
前記抽出されたセキュリティ対策方針（Ｏ）で前記脅威分析結果内のセキュリティ対策方針（ＵＯ）を書き換えて両者を一体化することにより、前記読み出されたゴールモデル情報と前記脅威分析結果とを合成してなるゴールモデル−脅威分析合成情報を生成する合成情報生成手段、
前記生成されたゴールモデル−脅威分析合成情報内のセキュリティ対策方針（Ｏ，ＵＯ）のうちの前記ゴールモデル情報に含まれるセキュリティ対策方針（Ｏ）に基づいて、前記十分性文書雛形記憶手段からセキュリティ機能要件十分性文書情報を読み込むと共に、当該ゴールモデル情報に含まれないセキュリティ対策方針（ＵＯ）に関連付けて、セキュリティ機能要件十分性文書情報の入力を受け付けることにより、新たに「セキュリティ対策方針識別子毎に、セキュリティ対策方針（ＵＯ）、関連するセキュリティ機能要件識別子及びセキュリティ機能要件十分性文書情報を含む対策−機能対応表データ」を作成する対策−機能対応表データ作成手段、
前記ゴールモデル−脅威分析合成情報、前記作成された関係者一覧表データ、前記作成された保護資産一覧表データ、前記作成された脅威−対策対応表データ及び前記作成された対策−機能対応表データに基づいて、前記セキュリティシナリオデータを作成するセキュリティシナリオデータ作成手段、
として機能させるためのプログラム。
【請求項１】
「関係者種別に対応する関係者識別子毎に関係者定義を含む関係者一覧表データ」と、「保護資産種別に対応する保護資産識別子毎に保護資産定義を含む保護資産一覧表データ」と、「脅威種別に対応する脅威識別子毎に、脅威定義、関連するセキュリティ対策方針識別子及びセキュリティ対策方針十分性文書情報を含む脅威−対策対応表データ」と、「対策方針種別に対応するセキュリティ対策方針識別子毎に、セキュリティ対策方針（Ｏ，ＵＯ）、関連するセキュリティ機能要件識別子及びセキュリティ機能要件十分性文書情報を含む対策−機能対応表データ」と、「前提条件種別に対応する前提条件識別子毎に、前提条件定義、関連する運用対策方針識別子及び運用対策方針を含む前提−運用対策対応表データ」と、「組織対策方針種別に対応する組織対策方針識別子毎に、組織対策方針、関連するセキュリティ対策方針識別子及びセキュリティ対策方針を含む組織対策方針−対策方針対応表データ」とを含むセキュリティシナリオデータの設計を支援するためのセキュリティ設計支援装置であって、
「セキュリティ対策方針識別子毎に、セキュリティ対策方針（Ｏ）、関連するセキュリティ機能要件識別子及びセキュリティ機能要件十分性文書情報を含む対策−機能対応表データ」を記憶した十分性文書雛形記憶手段と、
「ゴールとしてのセキュリティ目標毎に、対策方針種別、セキュリティ対策方針識別子、ソフトゴールとしての複数のセキュリティ対策方針（Ｏ）、及び当該各セキュリティ対策方針（Ｏ）に関連した、要求としての１つ以上のセキュリティ機能要件識別子を含むゴールモデル情報」を記憶し、且つ前記ゴールモデル情報内のセキュリティ機能要件識別子は、前記十分性文書雛形記憶手段内の各セキュリティ機能要件識別子のいずれかに一致しているゴールモデル情報記憶手段と、
「関係者種別、関係者識別子及び関係者定義を含む関係者情報」と、「保護資産種別、保護資産識別子及び保護資産定義を含む保護資産情報」と、「脅威種別、脅威識別子、脅威定義、及び前記脅威識別子に関連する関係者識別子を含むミスユースケース情報」と、「前提条件種別、前提条件識別子、前提条件定義、及び前記前提条件識別子に関連する保護資産識別子を含む前提条件情報」と、「対策方針種別、セキュリティ対策方針識別子、セキュリティ対策方針（ＵＯ）、及び前記セキュリティ対策方針識別子に関連する脅威識別子を含むセキュリティ対策方針情報」と、「根拠種別、根拠識別子、セキュリティ対策方針十分性文書情報、及び前記根拠識別子に関連するセキュリティ対策方針識別子を含む根拠情報」と、「運用対策方針種別、運用対策方針識別子、運用対策方針、及び前記運用対策方針識別子に関連する前提条件識別子を含む運用対策方針情報」と、「組織対策方針種別、組織対策方針識別子、組織対策方針、及び前記組織対策方針識別子に関連する運用対策方針識別子を含む組織対策方針情報」とを含む脅威分析結果の入力を受け付ける脅威分析結果入力受付手段と、
前記入力を受け付けた脅威分析結果のうちの関係者情報に基づいて、「関係者種別に対応する関係者識別子及び関係者定義を含む関係者一覧表データ」を作成する関係者一覧表データ作成手段と、
前記入力を受け付けた脅威分析結果のうちの保護資産情報に基づいて、「保護資産種別に対応する保護資産識別子及び保護資産定義を含む保護資産一覧表データ」を作成する保護資産一覧表データ作成手段と、
前記入力を受け付けた脅威分析結果のうちのミスユースケース情報とセキュリティ対策方針情報と根拠情報とに基づいて、「脅威識別子毎に、脅威定義、関連するセキュリティ対策方針識別子及びセキュリティ対策方針十分性文書情報を含む脅威−対策対応表データ」を作成する脅威−対策対応表データ作成手段と、
前記ゴールモデル情報記憶手段内の各セキュリティ目標のうち、いずれかのセキュリティ目標の選択を受け付けるセキュリティ目標選択受付手段と、
前記選択を受け付けたセキュリティ目標に基づいて、前記ゴールモデル情報記憶手段内のゴールモデル情報を読み出すゴールモデル情報読出手段と、
前記読み出されたゴールモデル情報内の各セキュリティ対策方針（Ｏ）と、前記入力を受け付けた脅威分析結果内のセキュリティ対策方針（ＵＯ）とを比較する対策方針比較手段と、
前記比較の結果、前記脅威分析結果内のセキュリティ対策方針（ＵＯ）を含むセキュリティ対策方針（Ｏ）を前記ゴールモデル情報から抽出する抽出手段と、
前記抽出されたセキュリティ対策方針（Ｏ）で前記脅威分析結果内のセキュリティ対策方針（ＵＯ）を書き換えて両者を一体化することにより、前記読み出されたゴールモデル情報と前記脅威分析結果とを合成してなるゴールモデル−脅威分析合成情報を生成する合成情報生成手段と、
前記生成されたゴールモデル−脅威分析合成情報内のセキュリティ対策方針（Ｏ，ＵＯ）のうちの前記ゴールモデル情報に含まれるセキュリティ対策方針（Ｏ）に基づいて、前記十分性文書雛形記憶手段からセキュリティ機能要件十分性文書情報を読み込むと共に、当該ゴールモデル情報に含まれないセキュリティ対策方針（ＵＯ）に関連付けて、セキュリティ機能要件十分性文書情報の入力を受け付けることにより、新たに「セキュリティ対策方針識別子毎に、セキュリティ対策方針（ＵＯ）、関連するセキュリティ機能要件識別子及びセキュリティ機能要件十分性文書情報を含む対策−機能対応表データ」を作成する対策−機能対応表データ作成手段と、
前記ゴールモデル−脅威分析合成情報、前記作成された関係者一覧表データ、前記作成された保護資産一覧表データ、前記作成された脅威−対策対応表データ及び前記作成された対策−機能対応表データに基づいて、前記セキュリティシナリオデータを作成するセキュリティシナリオデータ作成手段と、
を備えたことを特徴とするセキュリティ設計支援装置。
【請求項２】
請求項１に記載のセキュリティ設計支援装置において、
前記セキュリティシナリオデータ作成手段は、
前記ゴールモデル−脅威分析合成情報に基づいて、「前提条件種別に対応する前提条件識別子毎に、前提条件定義、関連する運用対策方針識別子及び運用対策方針を含む前提−運用対策対応表データ」を作成する前提−運用対策対応表データ作成手段と、
前記ゴールモデル−脅威分析合成情報に基づいて、「組織対策方針種別に対応する組織対策方針識別子毎に、組織対策方針、関連するセキュリティ対策方針識別子及びセキュリティ対策方針を含む組織対策方針−対策方針対応表データ」を作成する組織対策方針−対策方針対応表データ作成手段と、
前記作成された前提−運用対策対応表データ、前記作成された組織対策方針−対策方針対応表データ、前記作成された関係者一覧表データ、前記作成された保護資産一覧表データ、前記作成された脅威−対策対応表データ及び前記作成された対策−機能対応表データを含むセキュリティシナリオデータを作成する手段と、
を備えたことを特徴とするセキュリティ設計支援装置。
【請求項３】
十分性文書雛形記憶手段及びゴールモデル情報記憶手段を備え、「関係者種別に対応する関係者識別子毎に関係者定義を含む関係者一覧表データ」と、「保護資産種別に対応する保護資産識別子毎に保護資産定義を含む保護資産一覧表データ」と、「脅威種別に対応する脅威識別子毎に、脅威定義、関連するセキュリティ対策方針識別子及びセキュリティ対策方針十分性文書情報を含む脅威−対策対応表データ」と、「対策方針種別に対応するセキュリティ対策方針識別子毎に、セキュリティ対策方針（Ｏ，ＵＯ）、関連するセキュリティ機能要件識別子及びセキュリティ機能要件十分性文書情報を含む対策−機能対応表データ」と、「前提条件種別に対応する前提条件識別子毎に、前提条件定義、関連する運用対策方針識別子及び運用対策方針を含む前提−運用対策対応表データ」と、「組織対策方針種別に対応する組織対策方針識別子毎に、組織対策方針、関連するセキュリティ対策方針識別子及びセキュリティ対策方針を含む組織対策方針−対策方針対応表データ」とを含むセキュリティシナリオデータの設計を支援するためのセキュリティ設計支援装置に用いられるプログラムにおいて、
前記セキュリティ設計支援装置を、
「セキュリティ対策方針識別子毎に、セキュリティ対策方針（Ｏ）、関連するセキュリティ機能要件識別子及びセキュリティ機能要件十分性文書情報を含む対策−機能対応表データ」とを前記十分性文書雛形記憶手段に書き込む手段、
「ゴールとしてのセキュリティ目標毎に、対策方針種別、セキュリティ対策方針識別子、ソフトゴールとしての複数のセキュリティ対策方針（Ｏ）、及び当該各セキュリティ対策方針（Ｏ）に関連した、要求としての１つ以上のセキュリティ機能要件識別子を含むゴールモデル情報」であって且つ「当該セキュリティ機能要件識別子は、前記十分性文書雛形記憶手段内のセキュリティ機能要件識別子のいずれかに一致しているゴールモデル情報」を前記ゴールモデル情報記憶手段に書き込む手段、
「関係者種別、関係者識別子及び関係者定義を含む関係者情報」と、「保護資産種別、保護資産識別子及び保護資産定義を含む保護資産情報」と、「脅威種別、脅威識別子、脅威定義、及び前記脅威識別子に関連する関係者識別子を含むミスユースケース情報」と、「前提条件種別、前提条件識別子、前提条件定義、及び前記前提条件識別子に関連する保護資産識別子を含む前提条件情報」と、「対策方針種別、セキュリティ対策方針識別子、セキュリティ対策方針（ＵＯ）、及び前記セキュリティ対策方針識別子に関連する脅威識別子を含むセキュリティ対策方針情報」と、「根拠種別、根拠識別子、セキュリティ対策方針十分性文書情報、及び前記根拠識別子に関連するセキュリティ対策方針識別子を含む根拠情報」と、「運用対策方針種別、運用対策方針識別子、運用対策方針、及び前記運用対策方針識別子に関連する前提条件識別子を含む運用対策方針情報」と、「組織対策方針種別、組織対策方針識別子、組織対策方針、及び前記組織対策方針識別子に関連する運用対策方針識別子を含む組織対策方針情報」とを含む脅威分析結果の入力を受け付ける脅威分析結果入力受付手段、
前記入力を受け付けた脅威分析結果のうちの関係者情報に基づいて、「関係者種別に対応する関係者識別子及び関係者定義を含む関係者一覧表データ」を作成する関係者一覧表データ作成手段、
前記入力を受け付けた脅威分析結果のうちの保護資産情報に基づいて、「保護資産種別に対応する保護資産識別子及び保護資産定義を含む保護資産一覧表データ」を作成する保護資産一覧表データ作成手段、
前記入力を受け付けた脅威分析結果のうちのミスユースケース情報とセキュリティ対策方針情報と根拠情報とに基づいて、「脅威識別子毎に、脅威定義、関連するセキュリティ対策方針識別子及びセキュリティ対策方針十分性文書情報を含む脅威−対策対応表データ」を作成する脅威−対策対応表データ作成手段、
前記ゴールモデル情報記憶手段内の各セキュリティ目標のうち、いずれかのセキュリティ目標の選択を受け付けるセキュリティ目標選択受付手段、
前記選択を受け付けたセキュリティ目標に基づいて、前記ゴールモデル情報記憶手段内のゴールモデル情報を読み出すゴールモデル情報読出手段、
前記読み出されたゴールモデル情報内の各セキュリティ対策方針（Ｏ）と、前記入力を受け付けた脅威分析結果内のセキュリティ対策方針（ＵＯ）とを比較する対策方針比較手段、
前記比較の結果、前記脅威分析結果内のセキュリティ対策方針（ＵＯ）を含むセキュリティ対策方針（Ｏ）を前記ゴールモデル情報から抽出する抽出手段、
前記抽出されたセキュリティ対策方針（Ｏ）で前記脅威分析結果内のセキュリティ対策方針（ＵＯ）を書き換えて両者を一体化することにより、前記読み出されたゴールモデル情報と前記脅威分析結果とを合成してなるゴールモデル−脅威分析合成情報を生成する合成情報生成手段、
前記生成されたゴールモデル−脅威分析合成情報内のセキュリティ対策方針（Ｏ，ＵＯ）のうちの前記ゴールモデル情報に含まれるセキュリティ対策方針（Ｏ）に基づいて、前記十分性文書雛形記憶手段からセキュリティ機能要件十分性文書情報を読み込むと共に、当該ゴールモデル情報に含まれないセキュリティ対策方針（ＵＯ）に関連付けて、セキュリティ機能要件十分性文書情報の入力を受け付けることにより、新たに「セキュリティ対策方針識別子毎に、セキュリティ対策方針（ＵＯ）、関連するセキュリティ機能要件識別子及びセキュリティ機能要件十分性文書情報を含む対策−機能対応表データ」を作成する対策−機能対応表データ作成手段、
前記ゴールモデル−脅威分析合成情報、前記作成された関係者一覧表データ、前記作成された保護資産一覧表データ、前記作成された脅威−対策対応表データ及び前記作成された対策−機能対応表データに基づいて、前記セキュリティシナリオデータを作成するセキュリティシナリオデータ作成手段、
として機能させるためのプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【公開番号】特開２０１１−４８５６０（Ｐ２０１１−４８５６０Ａ）
【公開日】平成２３年３月１０日（２０１１．３．１０）
【国際特許分類】
【出願番号】特願２００９−１９５５７９（Ｐ２００９−１９５５７９）
【出願日】平成２１年８月２６日（２００９．８．２６）
【出願人】（０００００３０７８）株式会社東芝 (54,554)
【出願人】（３０１０６３４９６）東芝ソリューション株式会社 (1,478)
【Ｆターム（参考）】
【公開日】平成２３年３月１０日（２０１１．３．１０）
【国際特許分類】
【出願日】平成２１年８月２６日（２００９．８．２６）
【出願人】（０００００３０７８）株式会社東芝 (54,554)
【出願人】（３０１０６３４９６）東芝ソリューション株式会社 (1,478)
【Ｆターム（参考）】
[ Back to top ]