セキュリティ診断システム
【課題】セキュリティ対策の多岐性、専門性によって生じる難解さ、煩雑さを解消することを課題とする。
【解決手段】施設の全体又は各区域とともに、施設のセキュリティ診断において質問の対象となる質問対象を画像として表示する画像表示手段と、表示された前記質問対象に対応する質問及び選択肢を表示する質問表示手段と、表示された選択肢の選択の入力を受け付ける選択肢入力受付手段と、受け付けられた選択の入力に係る選択肢に対応するセキュリティレベルを抽出するセキュリティレベル抽出手段と、抽出されたセキュリティレベルを所定のカテゴリ毎に集約し、集約されたセキュリティレベルに基づいて、該カテゴリ毎に前記施設のセキュリティレベルを算出するセキュリティレベル算出手段と、を備えることを特徴とするセキュリティ診断システムとした。
【解決手段】施設の全体又は各区域とともに、施設のセキュリティ診断において質問の対象となる質問対象を画像として表示する画像表示手段と、表示された前記質問対象に対応する質問及び選択肢を表示する質問表示手段と、表示された選択肢の選択の入力を受け付ける選択肢入力受付手段と、受け付けられた選択の入力に係る選択肢に対応するセキュリティレベルを抽出するセキュリティレベル抽出手段と、抽出されたセキュリティレベルを所定のカテゴリ毎に集約し、集約されたセキュリティレベルに基づいて、該カテゴリ毎に前記施設のセキュリティレベルを算出するセキュリティレベル算出手段と、を備えることを特徴とするセキュリティ診断システムとした。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュリティ診断システムに関する。
【背景技術】
【０００２】
セキュリティ対策の状態を診断する技術として、設問に解答することで、自社が同業他社との比較でどのレベルにあり、望ましい水準とどの程度のギャップがあるかをレーダーチャートで表示するセキュリティ対策自己診断システムがある（非特許文献１を参照）。
【０００３】
また、情報システムのセキュリティを診断する技術として、セキュリティポリシーに基づいてネットワーク管理及び監査を自動的に実行し、ユーザが適切な設定内容を選択できるインターフェースを備えたセキュリティ管理システム（特許文献１を参照）等がある。
【特許文献１】特開２００２−２４７０３３号公報
【特許文献２】特開２００２−５６１７６号公報
【特許文献３】特開２００２−１８５４５６号公報
【特許文献４】特開２００４−２５８７７７号公報
【特許文献５】特開２００５−２５０８０３号公報
【特許文献６】特開２００２−１４９５０８号公報
【非特許文献１】情報処理推進機構、情報処理推進機構：セキュリティセンター：自己診断テスト 情報セキュリティ対策ベンチマーク、自社のセキュリティ対策自己診断テスト、[online]、[平成１８年６月９日検索]、インターネット <URL : http://www.ipa.go.jp/security/benchmark/>
【発明の開示】
【発明が解決しようとする課題】
【０００４】
近年、セキュリティ問題に対する関心が社会的に高まっており、企業においても、不正侵入、持ち出しによる情報の漏洩、デバイスの持ち込みによる情報の漏洩、災害等、セキュリティ上の様々な脅威に対し、種々の対策を行っている。しかし、セキュリティ対策は電子データ、書類等の文書、人的要素、施設内への物理的なアクセス等、多岐に渡り、かつ各分野についても高い専門性が必要となる。このため、セキュリティ問題に対する関心を持ってはいても、具体的には何をすればよいのか分からない等、セキュリティ対策に対して敷居の高さを感じる企業も存在する。
【０００５】
これに対し、従来より企業や施設のセキュリティ診断を行う方法やシステムは存在している。しかし、従来の方法又はシステムでは、セキュリティ対策項目ごとにセキュリティの評価を行っており、このセキュリティ対策項目ごとの評価が難解かつ煩雑であるため、先述したような、セキュリティ対策に関して敷居の高さを感じている企業に対して、この敷居の高さを排除する解決策となるものではなかった。
【０００６】
本発明は、上記した問題に鑑み、セキュリティ対策の多岐性、専門性によって生じる難解さ、煩雑さを解消することを課題とする。
【課題を解決するための手段】
【０００７】
本発明は、上記した課題を解決するために、施設を俯瞰した画像を表示し、該画像に応じて表示される質問に答えていくことでセキュリティレベルを決定することで、セキュリティ対策の多岐性、専門性によって生じる難解さ、煩雑さを解消することを可能にした。
【０００８】
詳細には、本発明は、施設のセキュリティ診断において質問の対象となる質問対象毎に
、前記質問、該質問に対応する選択肢及び該選択肢に対応するセキュリティレベルを、データとして含む質問情報を蓄積する質問情報蓄積手段と、前記施設の全体又は各区域とともに、該施設内の前記質問対象を画像として表示する画像表示手段と、前記質問情報蓄積手段によって蓄積された質問情報のうち、前記画像表示手段によって表示された前記質問対象に対応する質問情報を抽出し、該質問情報にデータとして含まれる質問及び選択肢を表示する質問表示手段と、表示された選択肢の選択の入力を受け付ける選択肢入力受付手段と、抽出された前記質問情報から、前記選択肢入力受付手段によって受け付けられた選択の入力に係る選択肢に対応するセキュリティレベルを抽出するセキュリティレベル抽出手段と、前記セキュリティレベル抽出手段によって抽出されたセキュリティレベルを所定のカテゴリ毎に集約し、集約されたセキュリティレベルに基づいて、該カテゴリ毎に前記施設のセキュリティレベルを算出するセキュリティレベル算出手段と、を備えることを特徴とするセキュリティ診断システムである。
【０００９】
施設の全体又は各区域とともに、該施設のセキュリティ診断において質問の対象となる質問対象を画像として表示することにより、該画像中に表示される質問対象についてユーザのイメージを喚起することが可能となる。
【００１０】
また、画像として表示された質問対象に係る質問を表示し、選択肢を選択させることで、ユーザに質問対象のイメージを喚起させた状態で対話形式でセキュリティを診断し、セキュリティ評価の難解さ、煩雑さを排除することが可能となる。
【００１１】
加えて、所定のカテゴリに分類して施設のセキュリティレベルを算出する手段を備えることで、ユーザは難解かつ煩雑なセキュリティの評価を行う必要なく、容易にセキュリティの状況を把握することが可能となる。
【００１２】
本発明は、前記画像表示手段によって表示された質問対象の位置に、該質問対象に関する質問があることを示すアイコンを表示するアイコン表示手段と、前記アイコンの選択の入力を受け付けるアイコン選択入力受付手段と、を更に備え、前記質問表示手段は、前記アイコン選択入力受付手段によって受け付けられた選択の入力を契機として、前記質問情報蓄積手段によって蓄積された質問情報のうち、選択された前記アイコンに係る前記質問対象に対応する質問情報を抽出し、該質問情報にデータとして含まれる質問及び選択肢を表示すること、を特徴としてもよい。
【００１３】
画像表示手段によって表示された画像中の質問対象の位置に、該位置に関する質問があることを示すアイコンを表示することで、ユーザは直感的にセキュリティ診断に係る質問対象の位置を把握し、施設内のいずれの要素に係る質問であるかを把握することが可能となる。
【００１４】
本発明において、前記セキュリティレベル算出手段は、前記セキュリティレベル抽出手段によって抽出されたセキュリティレベルを、前記質問対象毎に集約し、前記質問対象毎に集約されたセキュリティレベルのうち、最も高いセキュリティレベルを、各質問対象のセキュリティレベルとして決定し、前記各質問対象のセキュリティレベルを、診断を行う対象を所定の基準に従って分類したセキュリティ対策項目毎に集約し、前記セキュリティ対策項目毎に集約されたセキュリティレベルのうち、最も低いセキュリティレベルを、各セキュリティ対策項目のセキュリティレベルとして決定し、前記各セキュリティ対策項目のセキュリティレベルを、前記カテゴリ毎に集約し、前記カテゴリ毎に集約されたセキュリティレベルの、該カテゴリ毎の相加平均を算出することで、前記カテゴリ毎に前記施設のセキュリティレベルを算出すること、を特徴としてもよい。
【００１５】
質問対象毎に集約されたセキュリティレベルのうち、最も高いセキュリティレベルを各
質問対象のセキュリティレベルとして決定し、セキュリティ対策項目毎に集約されたセキュリティレベルのうち、最も低いセキュリティレベルを各セキュリティ対策項目のセキュリティレベルとして決定することで、施設のセキュリティレベルの低い部分、即ち、セキュリティ上問題のある部分に注目して、セキュリティ対策項目毎のセキュリティレベルを決定することが可能となる。
【００１６】
また、カテゴリ毎に集約されたセキュリティレベルの、該カテゴリ毎の相加平均を算出することで、施設のセキュリティレベルの概要を容易に把握することが可能となる。
【００１７】
本発明は、前記カテゴリ毎に、前記施設に関する情報のうち該施設に求められるセキュリティレベルに影響する情報であるセキュリティレベル関連施設情報、及び該セキュリティレベル関連施設情報に対応するセキュリティレベルである水準セキュリティレベルを、データとして含むセキュリティ水準情報を蓄積するセキュリティ水準情報蓄積手段と、前記施設に関する情報の入力を受け付ける施設情報入力手段と、入力が受け付けられた前記施設に関する情報が、前記セキュリティレベル関連施設情報に該当する場合に、該セキュリティレベル関連施設情報に対応する水準セキュリティレベルを抽出する水準セキュリティレベル抽出手段と、前記水準セキュリティレベル抽出手段によって抽出された水準セキュリティレベルを前記カテゴリ毎に集約し、集約された水準セキュリティレベルに基づいて、該カテゴリ毎に前記施設に推奨されるセキュリティレベルを算出する推奨セキュリティレベル算出手段と、を更に備えることを特徴としてもよい。
【００１８】
当該施設に求められる推奨セキュリティレベルを算出することで、セキュリティ診断によって算出されるセキュリティレベルと推奨セキュリティレベルを比較し、未到達のセキュリティ対策項目を把握することが可能となる。
【００１９】
本発明は、前記セキュリティレベル算出手段によって算出された前記カテゴリ毎のセキュリティレベル及び前記推奨セキュリティレベル算出手段によって算出された前記カテゴリ毎の推奨されるセキュリティレベルを各軸に表したレーダーチャートを生成し、表示するレーダーチャート表示手段を更に備えることを特徴としてもよい。
【００２０】
カテゴリ別のセキュリティレベル及びカテゴリ別の推奨セキュリティレベルを各軸に表したレーダーチャートを表示することで、目視により容易にセキュリティ状態を把握し、問題点を素早く認識することが可能となる。
【００２１】
この際、レーダーチャートは、カテゴリ別のセキュリティレベル及びカテゴリ別の推奨セキュリティレベルを異なるレーダーチャートに表示したものであってもよいし、同一のレーダーチャートに表示したものであってもよい。また、セキュリティ対策別カテゴリ、セキュリティ対象別カテゴリ等、カテゴリの属性を複数用意し、属性ごとにレーダーチャートを表示してもよい。これによって、セキュリティ対策に関する状態及び問題点、セキュリティ対象に関する状態及び問題点を容易に把握可能となる。
【００２２】
本発明は、前記カテゴリごとに、前記施設のセキュリティレベルが所定のセキュリティレベルに到達するための実現方法を、データとして含むセキュリティ対策情報を蓄積するセキュリティ対策情報蓄積手段と、前記セキュリティレベル算出手段によって算出された前記カテゴリ毎のセキュリティレベルと、前記推奨セキュリティレベル算出手段によって算出された前記カテゴリ毎の推奨されるセキュリティレベルを比較することで、前記推奨されるセキュリティレベルを満たしていないカテゴリを抽出する未到達カテゴリ抽出手段と、前記セキュリティ対策情報蓄積手段によって蓄積されたセキュリティ対策情報のうち、前記未到達カテゴリ抽出手段によって抽出されたカテゴリに対応するセキュリティ対策情報を抽出し、該セキュリティ対策情報にデータとして含まれる実現方法を表示するセキ
ュリティ対策情報表示手段と、を更に備えることを特徴としてもよい。
【００２３】
推奨セキュリティレベルを満たしていないセキュリティ対策項目に関するセキュリティ対策情報を表示することで、セキュリティの問題点を認識した上で、セキュリティが推奨セキュリティレベルに到達するための具体的な対策を素早く知ることが可能となる。
【発明の効果】
【００２４】
本発明によって、セキュリティ対策の多岐性、専門性によって生じる難解さ、煩雑さを解消することが可能となる。
【発明を実施するための最良の形態】
【００２５】
本発明に係るセキュリティ診断システムの実施の形態について、図面に基づいて説明する。
【００２６】
図１は、本実施例に係るセキュリティ診断システムの構成の概略を示した図である。セキュリティ診断システムは、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１１、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１２、ＨＤＤ（Ｈａｒｄ
Ｄｉｓｋ Ｄｒｉｖｅ）１３、ＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）１４、キーボード、マウス、タッチパッド等の入力装置１５、ディスプレイ１７等の出力装置を有し、これらはバス１６を介して接続されている。
【００２７】
ＣＰＵ１１は、中央処理装置であり、ＲＡＭ１２等に展開された命令及びデータを処理することで、バス１６に接続されたＲＡＭ１２、ＨＤＤ１３、ＮＩＣ１４等を制御する。ＲＡＭ１２は、主記憶装置であり、ＣＰＵ１１によって制御され、各種命令やデータが書き込まれ、読み出される。ＨＤＤ１３は、補助記憶装置であり、主にサーバ１０の電源を落としても保持したい情報が書き込まれ、読み出される。ＮＩＣ１４は、ネットワークインターフェースであり、ネットワークより信号を受信し、ネットワークへ信号を送信する。
【００２８】
ＨＤＤ１３には、セキュリティ診断システムを構成するＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）及びセキュリティ診断プログラムがインストールされている。ＯＳは、セキュリティ診断システムの有する各種リソースの管理、入出力管理、セキュリティ診断プログラムをはじめとするアプリケーションの制御を行う。セキュリティ診断プログラムは、セキュリティ診断のための各種プログラムモジュール及び診断用の各種データベース等からなり、ＣＰＵ１１によって適宜ＲＡＭ１２上にロードされ、処理される。
【００２９】
ここで、本実施例に係るセキュリティ診断システムの利用シーンの一例を説明する。セキュリティプランナー等のセキュリティ診断システムの操作者が、診断対象となる施設にセキュリティ診断システムを持ち込み、施設の担当者にヒアリングを行いながらセキュリティ診断システムを使用した診断を行う。診断が終了すると、セキュリティ診断システムのディスプレイ１７に、診断結果が表示される。また、この診断結果情報に基づいて、診断レポートをプリントアウトしてもよい。
【００３０】
次に、図２から図４を用いて、本実施例のデータ構造の概略を説明する。以下に説明するデータは、ＨＤＤ１３又はＲＡＭ１２上に保存され、ＣＰＵ１１によって適宜読み出され、処理される。
【００３１】
図２は、本実施例におけるセキュリティ対策マトリックス２０のデータ構造の概略を説明した図である。セキュリティ対策マトリックス２０は、セキュリティ対策項目ＩＤ２１、セキュリティレベル毎の状態概要２２と状態詳細２３、セキュリティレベル毎の実現手
段概要２４と実現手段詳細２５、対象別診断分類２６、対策別診断分類２７その他の情報を含む。セキュリティ対策マトリックス２０は、ＨＤＤ１３上のデータベースに、セキュリティ対策テーブルとして蓄積されており、適宜ＲＡＭ１２上に読み出されて処理される。
【００３２】
セキュリティ対策マトリックス２０の有する情報のうち、セキュリティ対策項目ＩＤ２１は、セキュリティ診断システムが診断を行う対象を所定の基準に従って分類したセキュリティ対策項目を識別する情報であり、オフィスセキュリティマーク認証制度認証基準及びＩＳＭＳ（Ｉｎｆｏｒｍａｔｉｏｎ Ｓｅｃｕｒｉｔｙ Ｍａｎａｇｅｍｅｎｔ Ｓｙｓｔｅｍ）認証基準（Ｖｅｒ．２．０）付属書詳細管理策に準拠して項目の選定が行われている。また、セキュリティレベルは、診断対象となる施設に求められるセキュリティのセキュリティレベル又は施設の有するセキュリティのセキュリティレベルを示す指標となるものであり、ＣＯＢＩＴ（Ｃｏｎｔｒｏｌ ＯＢｊｅｃｔｉｖｅｓ ｆｏｒ Ｉｎｆｏｒｍａｔｉｏｎ ａｎｄ ｒｅｌａｔｅｄ Ｔｅｃｈｎｏｌｏｇｙ）成熟度モデルに準拠してセキュリティレベルの定義が行われている。但し、必ずしもこれらの基準に準拠する必要はなく、セキュリティ対策項目及びセキュリティレベルは、実施の形態によって適宜設定されることが好ましい。
【００３３】
本実施例におけるセキュリティレベルの定義は、セキュリティレベル「０」が「存在しない」こと、セキュリティレベル「１」が「初歩的」であること、セキュリティレベル「２」が「反復可能」であること、セキュリティレベル「３」が「定義されている」こと、セキュリティレベル「４」が「管理されている」こと、セキュリティレベル「５」が「最適化されている」こと、である。但し、この定義は先述の通りＣＯＢＩＴ成熟度モデルに準拠して定義されたものであり、実施の形態によって適宜設定されることが好ましい。
【００３４】
セキュリティレベル毎の状態概要２２及び状態詳細２３は、診断結果又は診断レポートで出力される現在の状態を予め記録したものであり、セキュリティレベル毎の実現手段概要２４及び実現手段詳細２５は、診断結果又は診断レポートで出力される対策を予め記録したものである。診断結果又は診断レポートの出力については後述する。
【００３５】
対象別診断分類２６及び対策別診断分類２７は、該当するセキュリティ対策項目が、後述するレーダーチャートのいずれの軸に表示されるかを示す情報である。各セキュリティ対策項目は、対象別診断分類２６及び対策別診断分類２７の双方の属性を持つ。対象別診断分類２６は、施設内の「どこの空間（対象）」に対する対策かを示す診断分類であり、対象別レーダーチャートのいずれの軸に対応するかを示す。対策別診断分類２７は、「どのような種類」の対策かを示す診断分類であり、対策別レーダーチャートのいずれの軸に対応するかを示す。
【００３６】
図３は、本実施例におけるセキュリティ対策水準情報３０のデータ構造の概略を説明した図である。セキュリティ対策水準情報３０は、セキュリティ対策項目毎に、セキュリティ対策項目ＩＤ３１、基準セキュリティレベル３２、変動要素の入力値３３、入力値に対応する水準セキュリティレベル３４を含む。セキュリティ対策水準情報３０は、ＨＤＤ１３上のデータベースに、セキュリティ対策水準情報テーブルとして蓄積されており、適宜ＲＡＭ１２上に読み出されて処理される。
【００３７】
基準セキュリティレベル３２は、各セキュリティ対策項目について、一般的な条件の施設に求められる程度のセキュリティレベルを示す情報である。また、変動要素の入力値３３は、施設の個別の事情又は状況の相違によって、求められるセキュリティレベルが変動する要素を示す情報であり、セキュリティ対策項目毎に、業種、利用対象部門、施設の利用状況、対象人数、非社員比率、流動率等について定義されている。さらに、夫々の変動
要素の入力値３３に対応するセキュリティレベルである水準セキュリティレベル３４が定義されている。
【００３８】
図４は、本実施例における質問情報４０のデータ構造の概略を説明した図である。質問情報４０は、質問要素４１、対応する質問エリア４２、対応するセキュリティ対策項目ＩＤ４３、質問ＩＤ４４、質問４５、必須フラグ４６、選択肢４７、選択肢に対応するセキュリティレベル４８、次アクション４９等を含む。質問情報４０は、ＨＤＤ１３上のデータベースに、質問情報テーブルとして蓄積されており、適宜ＲＡＭ１２上に読み出されて処理される。
【００３９】
必須フラグ４６は、各質問エリア４２毎に一つから複数存在する質問のうち、各質問エリア４２の詳細な内容について質問が必要か否かを判定するための前提となる前提質問を示す情報である。即ち、必須フラグ４６がＴＲＵＥ（真）である質問４５は前提質問であり、必須フラグ４６がＦＡＬＳＥ（偽）である質問４５は前提質問ではない。
【００４０】
次アクション４９は、後述する問診処理で各質問４５に対して選択肢４７が選択されたときに、選択された選択肢４７に応じて問診処理のその後の処理内容を決定するための情報である。本実施例では、該当する質問要素４１に関する質問を終了する「閉じる」アクションと、同一の質問要素４１に関して次の質問４５及び選択肢４７を表示するアクションとが定義されている。次の質問４５及び選択肢４７は、質問ＩＤ４４で指定される。
【００４１】
なお、セキュリティ対策項目によって、上位のセキュリティレベルを満たすために、前提となるセキュリティレベルを満たしていることが必要となるセキュリティ対策項目がある。これらのセキュリティ対策項目に属する質問要素４１については、より下位のセキュリティレベルの対策が施されているという選択肢４７が選択されたことを条件に、上位のセキュリティレベルの対策の有無を問う質問４５及び選択肢４７が表示されるように質問の順序が構成される。
【００４２】
次に、図５から図１６を用いて、セキュリティ診断処理の流れを説明する。図５、図８及び図１３に示された処理は、セキュリティ診断システムにおいて、ＲＡＭ１２等に展開されたプログラムをＣＰＵ１１が解釈及び実行することで行われる。ＣＰＵ１１は、所定のタイミング、又は端末より入力された指示に基づいて図５、図８及び図１３に示された処理を順に実行する。また、以下の各処理の処理単位及び処理順序は、本実施例に示されている処理単位、処理順序に限定されるものではなく、適宜変更してもよい。
【００４３】
図５は、本実施例における推奨セキュリティレベル算出処理の流れを示したフローチャートである。本フローチャートに示された処理は、操作者が、セキュリティ診断システムを起動することで実行される。
【００４４】
Ｓ１０１では、企業情報入力フォームが表示される。ＣＰＵ１１は、予め定義された企業情報の入力フォーム情報をＲＡＭ１２から読み出して、ディスプレイ１７に出力する。図６は、この処理によって出力された企業情報入力フォームを示す図である。入力フォームは、企業名称及び業種を入力するための入力フィールド５０と、入力された値を確定するボタン５１を有する。その後、処理はＳ１０２へ進む。
【００４５】
Ｓ１０２では、企業情報の入力が受け付けられる。操作者によって、Ｓ１０１で表示された入力フィールド５０に、企業名称及び業種が入力され、ボタン５１がクリックされると、ＣＰＵ１１は、入力値をＲＡＭ１２に保存する。その後、処理はＳ１０３へ進む。
【００４６】
Ｓ１０３では、施設情報入力フォームが表示される。ＣＰＵ１１は、予め定義された施
設情報の入力フォーム情報をＲＡＭ１２から読み出して、ディスプレイ１７に出力する。図７は、この処理によって出力された施設情報入力フォームを示す図である。入力フォームは、対象利用部門、対象面積、対象人数、非社員人数、流動率（入退社及び異動人員割合）、施設の利用状況を入力するための入力フィールド５５と、入力された値を確定するボタン５６を有する。その後、処理はＳ１０４へ進む。
【００４７】
Ｓ１０４では、施設情報の入力が受け付けられる。操作者によって、Ｓ１０３で表示された入力フィールド５５に、対象利用部門、対象面積、対象人数、非社員人数、入退社及び異動人員割合、施設の利用状況が入力され、ボタン５６がクリックされると、ＣＰＵ１１は、入力値をＲＡＭ１２に保存する。その後、処理はＳ１０５へ進む。
【００４８】
Ｓ１０５では、入力された値から、セキュリティ対策項目推奨セキュリティレベル算出の変動要素に該当する入力値が算出される。ＣＰＵ１１は、Ｓ１０２及びＳ１０４で入力された入力値から、セキュリティ対策水準情報３０の変動要素の入力値３３に定義された変動要素に該当する入力値を算出し、ＲＡＭ１２に保存する。即ち、本実施例では、業種、利用対象部門、施設の利用状況、対象人数、非社員比率、流動率等が算出される。その後、処理はＳ１０６へ進む。
【００４９】
Ｓ１０６では、変動要素となる値が含まれているか否かが判定される。ＣＰＵ１１は、Ｓ１０５で算出された変動要素の入力値３３を基に、セキュリティ対策項目ごとにセキュリティ対策水準情報テーブルを検索し、該当する変動要素の入力値３３があるか否かを判定する。ここで、該当する変動要素の入力値３３は、複数存在することがある。該当する変動要素の入力値３３がある場合、処理はＳ１０７へ進む。該当する変動要素の入力値３３がない場合、処理はＳ１０８へ進む。
【００５０】
Ｓ１０７では、定義された変動要素の水準セキュリティレベル３４のうち、最も高いセキュリティレベルが推奨セキュリティレベルとして適用される。ＣＰＵ１１は、Ｓ１０６の検索に合致した変動要素の入力値３３に対応する水準セキュリティレベル３４のうち、最も高いセキュリティレベルを、該当するセキュリティ対策項目の推奨セキュリティレベルとして保存する。例えば、診断対象の施設の業種が製造業で、対象人数が３００人以上であり、セキュリティ対策項目「個人業務用パソコンの利用」の基準セキュリティレベル３２がセキュリティレベル「２」、変動要素の入力値「製造業」に対応する水準セキュリティレベルがセキュリティレベル「３」、変動要素の入力値「対象人数３００人以上」に対応する水準セキュリティレベルがセキュリティレベル「５」である場合、セキュリティ対策項目「個人業務用パソコンの利用」の推奨セキュリティレベルは、セキュリティレベル「５」となる。その後、処理はＳ１０９へ進む。
【００５１】
Ｓ１０８では、基準セキュリティレベル３２が推奨セキュリティレベルとして適用される。ＣＰＵ１１は、セキュリティ対策水準情報３０において、該当するセキュリティ対策項目の基準セキュリティレベル３２として予め設定されているセキュリティレベルを、該当するセキュリティ対策項目の推奨セキュリティレベルとして保存する。その後、処理はＳ１０９へ進む。
【００５２】
Ｓ１０９では、全てのセキュリティ対策項目について推奨セキュリティレベルが設定されたか否かが判定される。ＣＰＵ１１は、セキュリティ対策マトリックス２０に定義された全てのセキュリティ対策項目について推奨セキュリティレベルが設定されたか否かを判定する。全てのセキュリティ対策項目について推奨セキュリティレベルが設定されていないと判定された場合、処理はＳ１０６へ進み、全てのセキュリティ対策項目について推奨セキュリティレベルが設定されるまでＳ１０６からＳ１０９の処理を繰り返す。全てのセキュリティ対策項目について推奨セキュリティレベルが設定されたと判定された場合、本
フローチャートに示された処理は終了する。
【００５３】
推奨セキュリティレベル算出処理が行われることで、個別の施設に推奨される、又は求められるセキュリティ対策水準が設定され、この後に実行される問診処理で導き出されたセキュリティレベルの診断結果と比較することが可能となる。
【００５４】
図８は、本実施例における問診処理の流れを示したフローチャートである。本フローチャートに示された処理は、推奨セキュリティレベル算出処理（図５を参照）の終了後に実行される。
【００５５】
Ｓ２０１では、全体パースイメージが表示される。ＣＰＵ１１は、ＨＤＤ１３又はＲＡＭ１２より、全体パースイメージ情報を読み出し、ディスプレイ１７に出力する。図９は、全体パースイメージの画面イメージを示した図である。全体パースイメージは、セキュリティ診断の対象を俯瞰した画像であり、問診の対象となる各質問エリア４２に、「？」アイコン６１が表示されている。また、全体パースイメージは、常に同一のものが表示されることとしてもよいし、推奨セキュリティレベル算出処理のＳ１０２及びＳ１０４で保存された企業情報及び施設情報に基づいて、夫々のセキュリティ診断対象となる施設に近い全体パースイメージを選択して表示することとしてもよい。診断対象となる施設に近い全体パースイメージを表示することで、より現実の施設の状況に即した診断が可能となる。その後、処理はＳ２０２へ進む。
【００５６】
Ｓ２０２では、システムで定義された順に、質問エリア４２が決定される。ＣＰＵ１１は、ＨＤＤ１３から読み出した質問エリア情報ファイル（図示せず）を参照し、この後の処理で問診を行う対象となる質問エリア４２を決定し、ＲＡＭ１２に保存する。質問エリア情報ファイルは、施設内においてセキュリティ診断の対象となる部屋等の質問エリア４２を定義したファイルであり、問診対象となる質問エリア４２の順序もここに定義されている。質問エリア４２の順序は、施設の入口から奥に向かって順に定義されていることが好ましい。また、質問エリア４２を決定する際、Ｓ２０１で表示された全体パースイメージ上で、人物を表した画像が該当する質問エリア４２に向かって歩いていく様子を表示することとしてもよい。これによって、該当する質問エリア４２を実際に利用する際の利用シーンを想起させることが可能となる。その後、処理はＳ２０３へ進む。
【００５７】
Ｓ２０３では、各質問エリア４２の詳細な内容について質問が必要か否かを判定するための前提となる前提質問と選択肢４７が、質問情報テーブルより抽出される。ＣＰＵ１１は、質問情報テーブルを検索し、Ｓ２０２で決定された質問エリア４２が合致し、且つ必須フラグ４６がＴＲＵＥ（真）である質問情報４０を抽出し、ＲＡＭ１２に保存する。その後、処理はＳ２０４へ進む。
【００５８】
Ｓ２０４では、質問４５と選択肢４７が質問パネル６５に表示される。ＣＰＵ１１は、全体パースイメージ上に質問パネル６５を重ねて表示させ、質問パネル６５にＳ２０３で抽出された質問情報４０の質問４５と選択肢４７を表示する。図１０は、全体パースイメージ上に重ねて表示される質問パネル６５の画面イメージを示した図である。質問パネル６５は、質問表示部６６と、選択肢表示部６７と、各選択肢４７に対応するラジオボタン６８と、選択された選択肢４７を確定するボタン６９を有する。なお、本実施例で、質問パネル６５は全体パースイメージ上に重ねて表示されるが、質問４５及び選択肢４７の表示はこの方法に限定されない。例えば、全体パースイメージに上書き表示する方法や、別ウィンドウへ表示する方法等が採用されてもよい。その後、処理はＳ２０５へ進む。
【００５９】
Ｓ２０５では、選択肢４７の入力が受け付けられる。操作者によって、Ｓ２０４で表示された選択肢４７の何れかが選択され、ボタン６９がクリックされると、ＣＰＵ１１は、
入力値をＲＡＭ１２に保存する。その後、処理はＳ２０６へ進む。
【００６０】
Ｓ２０６では、入力された選択肢４７のセキュリティレベルが保存される。ＣＰＵ１１は、Ｓ２０５でＲＡＭ１２に保存した入力値（選択肢４７）を基に、質問情報テーブルを検索し、合致する選択肢４７のセキュリティレベルを抽出し、ＲＡＭ１２に保存する。このとき、選択された選択肢４７が、対象となる質問エリア４２が診断対象となる施設に存在しないことを示す選択肢４７であった場合は、セキュリティレベルは設定されず、該当する質問エリア４２が存在しないことを示す値（例えば、”ｕｎｅｘｉｓｔ”）が設定される。その後、処理はＳ２０７へ進む。
【００６１】
Ｓ２０７では、入力された選択肢４７に該当する次アクション４９が抽出される。ＣＰＵ１１は、Ｓ２０５でＲＡＭ１２に保存した入力値（選択肢４７）を基に、質問情報テーブルを検索し、合致する選択肢４７の次アクション４９を抽出し、ＲＡＭ１２に保存する。その後、処理はＳ２０８へ進む。
【００６２】
Ｓ２０８では、次アクション４９の内容が判定される。ＣＰＵ１１は、Ｓ２０７で抽出した次アクション４９が、「閉じる」であるか又は次の質問の表示であるかを判定する。次アクション４９が「閉じる」である場合、処理はＳ２０９へ進む。特に、対象となる質問エリア４２が診断対象となる施設に存在しないことを示す選択肢４７には、次アクション４９として「閉じる」が設定されている。次アクション４９が次の質問の表示である場合、処理はＳ２１０へ進む。
【００６３】
Ｓ２０９では、質問４５と選択肢４７を表示していた質問パネル６５が閉じられる。ＣＰＵ１１は、Ｓ２０４で表示された質問パネル６５を閉じ、質問パネル６５が表示されていた領域に再び全体パースイメージを表示する。この際、既に質問の表示された「？」アイコン６１は、問診が終了したことを示すチェックマークアイコン６２に表示が変更される。その後、処理はＳ２２１へ進む。
【００６４】
Ｓ２１０では、質問エリアイメージが表示される。ＣＰＵ１１は、ＨＤＤ１３又はＲＡＭ１２より、該当する質問エリアイメージ情報を読み出し、ディスプレイ１７に出力する。図１１は、質問エリアイメージの画面イメージを示した図である。質問エリアイメージは、各質問エリア４２の詳細を問診するための画面であり、質問エリア４２ごとに異なるイメージが予め用意されている。また、各質問エリアイメージには、質問４５にリンクした「？」アイコン６１が一つから複数含まれている。その後、処理はＳ２１１へ進む。
【００６５】
Ｓ２１１では、「？」アイコン６１のクリックが受け付けられる。操作者によって、Ｓ２１０で表示された「？」アイコン６１のうち何れか一がクリックされると、ＣＰＵ１１は、クリックされた「？」アイコン６１に定義されているリンク情報をＲＡＭ１２に保存する。その後、処理はＳ２１２へ進む。
【００６６】
Ｓ２１２では、クリックされた「？」アイコン６１に該当する質問情報４０が抽出される。ＣＰＵ１１は、Ｓ２１１で入力されたリンク情報を基に、質問情報テーブルを検索し、該当する質問情報４０を抽出し、ＲＡＭ１２に保存する。その後、処理はＳ２１３へ進む。
【００６７】
Ｓ２１３では、質問４５と選択肢４７が質問パネル７０に表示される。ＣＰＵ１１は、質問エリアイメージ上に質問パネル７０を重ねて表示させ、質問パネル７０にＳ２１２又はＳ２１９で抽出された質問情報４０の質問４５と選択肢４７を表示する。図１２は、質問エリアイメージ上に重ねて表示される質問パネル７０の画面イメージを示した図である。質問パネル７０は、質問表示部７１と、選択肢表示部７２と、各選択肢４７に対応する
ラジオボタン７３と、選択された選択肢４７を確定するボタン７４を有する。なお、本実施例で、質問パネル７０は質問エリアイメージ上に重ねて表示されるが、質問４５及び選択肢４７の表示はこの方法に限定されない。例えば、質問エリアイメージに上書き表示する方法や、別ウィンドウへ表示する方法等が採用されてもよい。その後、処理はＳ２１４へ進む。
【００６８】
Ｓ２１４では、選択肢４７の入力が受け付けられる。操作者によって、Ｓ２０４で表示された選択肢４７の何れかが選択され、ボタン７４がクリックされると、ＣＰＵ１１は、入力値をＲＡＭ１２に保存する。その後、処理はＳ２１５へ進む。
【００６９】
Ｓ２１５では、入力された選択肢４７のセキュリティレベルが保存される。ＣＰＵ１１は、Ｓ２１４でＲＡＭ１２に保存した入力値（選択肢４７）を基に、質問情報テーブルを検索し、合致する選択肢４７のセキュリティレベルを抽出し、ＲＡＭ１２に保存する。その後、処理はＳ２１６へ進む。
【００７０】
Ｓ２１６では、入力された選択肢４７に該当する次アクション４９が抽出される。ＣＰＵ１１は、Ｓ２１４でＲＡＭ１２に保存した入力値（選択肢４７）を基に、質問情報テーブルを検索し、合致する選択肢４７の次アクション４９を抽出し、ＲＡＭ１２に保存する。その後、処理はＳ２１７へ進む。
【００７１】
Ｓ２１７では、次アクション４９の内容が判定される。ＣＰＵ１１は、Ｓ２１６で抽出した次アクション４９が、「閉じる」であるか又は次の質問の表示であるかを判定する。次アクション４９が「閉じる」である場合、処理はＳ２１８へ進む。次アクション４９が次の質問の表示である場合、処理はＳ２１９へ進む。
【００７２】
Ｓ２１８では、質問４５と選択肢４７を表示していた質問パネル７０が閉じられる。ＣＰＵ１１は、Ｓ２０４で表示された質問パネル７０を閉じ、質問パネル７０が表示されていた領域に再び質問エリアイメージを表示する。この際、既に質問の表示された「？」アイコン６１は、チェックマークアイコン６２に表示が変更される。その後、処理はＳ２２０へ進む。
【００７３】
Ｓ２１９では、次の質問４５と選択肢４７が抽出される。ＣＰＵ１１は、Ｓ２１７で判定された次アクション４９に示された質問ＩＤ４４を基に、質問情報テーブルから該当する質問情報４０を抽出し、ＲＡＭ１２に保存する。その後、処理はＳ２１３へ進む。
【００７４】
Ｓ２２０では、該当する質問エリアイメージに表示された全ての「？」アイコン６１がクリックされたか否かが判定される。ＣＰＵ１１は、現在表示している質問エリアイメージに表示された全ての「？」アイコン６１についてクリックされ、問診が終了したか否かを判定する。終了したと判定された場合、処理はＳ２０１へ進む。終了していないと判定された場合、処理はＳ２１１へ進み、質問エリアイメージに表示された全ての「？」アイコン６１がクリックされ、問診が終了するまでＳ２１１からＳ２２０の処理を繰り返す。
【００７５】
Ｓ２２１では、全ての質問エリア４２について問診処理が完了したか否かが判定される。ＣＰＵ１１は、質問エリア情報ファイルに定義された全ての質問エリア４２について問診処理が完了したか否かを判定する。完了していないと判定された場合、処理はＳ２０２へ進み、全ての質問エリア４２について問診処理が完了するまでＳ２０２からＳ２２１の処理を繰り返す。完了したと判定された場合、本フローチャートに示された処理は完了する。
【００７６】
図１３は、本実施例におけるレーダーチャート作成処理の流れを示したフローチャート
である。本フローチャートに示された処理は、問診処理（図８を参照）の終了後に実行される。
【００７７】
Ｓ３０１では、問診処理で保存された各質問のセキュリティレベルが集約される。ＣＰＵ１１は、問診処理のＳ２０６、Ｓ２１５でＲＡＭ１２に保存された各質問４５のセキュリティレベルを、夫々の質問４５が分類される質問要素４１毎に集約し、ＲＡＭ１２に保存する。その後、処理はＳ３０２へ進む。
【００７８】
Ｓ３０２では、集約したセキュリティレベルのうち最も高いセキュリティレベルが、該当する質問要素４１のセキュリティレベルとして採用される（図１４を参照）。ＣＰＵ１１は、質問要素４１毎に、Ｓ３０１で集約されたセキュリティレベルを比較し、該当する質問要素４１の中で最も高いセキュリティレベルを、該当する質問要素４１のセキュリティレベルとして採用し、ＲＡＭ１２に保存する。その後、処理はＳ３０３へ進む。
【００７９】
Ｓ３０３では、各質問要素４１のセキュリティレベルが集約される。ＣＰＵ１１は、Ｓ３０２でＲＡＭ１２に保存された各質問要素４１のセキュリティレベルを、夫々の質問要素４１が分類されるセキュリティ対策項目毎に集約し、ＲＡＭ１２に保存する。その後、処理はＳ３０４へ進む。
【００８０】
Ｓ３０４では、集約したセキュリティレベルのうち最も低いセキュリティレベルが、該当するセキュリティ対策項目のセキュリティレベルとして採用される（図１４を参照）。ＣＰＵ１１は、セキュリティ対策項目毎に、Ｓ３０３で集約されたセキュリティレベルを比較し、該当するセキュリティ対策項目の中で最も低いセキュリティレベルを、該当するセキュリティ対策項目のセキュリティレベルとして採用し、ＲＡＭ１２に保存する。その後、処理はＳ３０５へ進む。
【００８１】
Ｓ３０５では、各セキュリティ対策項目のセキュリティレベルが集約される。ＣＰＵ１１は、セキュリティ対策テーブルから各セキュリティ対策項目が該当する対象別診断分類２６及び対策別診断分類２７を抽出し、Ｓ３０４でＲＡＭ１２に保存された各セキュリティ対策項目のセキュリティレベルを、抽出した診断分類毎に集約し、ＲＡＭ１２に保存する。その後、処理はＳ３０６へ進む。
【００８２】
Ｓ３０６では、集約した診断分類毎のセキュリティレベルの相加平均が、該当する診断分類のセキュリティレベルとして算出される。ＣＰＵ１１は、診断分類毎に、Ｓ３０５で集約された、該当する診断分類に属する各セキュリティ対策項目のセキュリティレベルの相加平均を算出し、ＲＡＭ１２に保存する。この際、算出されたセキュリティレベルは整数とはならないことがあるため、本実施例では、有効桁数を小数点以下第一位までとして相加平均を算出する。その後、処理はＳ３０７へ進む。
【００８３】
Ｓ３０７では、各セキュリティ対策項目の推奨セキュリティレベルが集約される。ＣＰＵ１１は、推奨セキュリティレベル算出処理でＲＡＭ１２に保存された各セキュリティ対策項目の推奨セキュリティレベルを、夫々のセキュリティ対策項目が分類されるレーダーチャートの診断分類毎に集約し、ＲＡＭ１２に保存する。各セキュリティ対策項目がいずれの診断分類に属するかは、ＣＰＵ１１が、セキュリティ対策項目に基づいてセキュリティ対策テーブルを検索し、該当する診断分類を抽出することで決定される。その後、処理はＳ３０８へ進む。
【００８４】
Ｓ３０８では、集約した診断分類毎の推奨セキュリティレベルの相加平均が、該当する診断分類の推奨セキュリティレベルとして算出される。ＣＰＵ１１は、診断分類毎に、Ｓ３０７で集約された、該当する診断分類に属する各セキュリティ対策項目の推奨セキュリ
ティレベルの相加平均を算出し、ＲＡＭ１２に保存する。この際、算出された推奨セキュリティレベルは整数とはならないことがあるため、本実施例では、有効桁数を小数点以下第一位までとして相加平均を算出する。その後、処理はＳ３０９へ進む。
【００８５】
Ｓ３０９では、診断結果が表示される。図１５は、表示される診断結果の画面イメージを示した図である。診断結果は、算出された診断分類毎のセキュリティレベル及び推奨セキュリティレベルを示したレーダーチャート８１、セキュリティレベルが推奨セキュリティレベルに達していないセキュリティ対策項目の一覧８２、表示切替ボタン８３からなる。ＣＰＵ１１は、Ｓ３０６で算出した診断分類ごとのセキュリティレベルと、Ｓ３０８で算出した診断分類ごとの推奨セキュリティレベルと、を各診断分類に対応する夫々の軸に表したレーダーチャート８１を生成し、ディスプレイ１７に出力する。ここで、レーダーチャート８１には、視認性を高めるために、セキュリティレベルを示す星が表示される。その後、本フローチャートに示された処理は終了する。
【００８６】
なお、図１５に示されたレーダーチャート８１は、対象別診断分類２６に属する診断分類を夫々の軸に表した対象別レーダーチャート８１であるが、表示切換ボタン８３がクリックされると、対策別診断分類２７に属する診断分類を夫々の軸に表した対策別レーダーチャート８１が表示される（図示は省略する）。これにより、施設の状態と、推奨されるセキュリティ水準とを、対象別、対策別に容易に把握することが可能となる。加えて、セキュリティレベルが推奨セキュリティレベルに達していないセキュリティ対策項目の一覧８２に示された各セキュリティ対策項目のタイトルがクリックされると、診断結果の上に重ねて対策パネル８５が表示される（図１６を参照）。対策パネル８５には、推奨セキュリティレベルに達するために講じるべき対策が表示される。ＣＰＵ１１は、セキュリティ対策テーブルを検索し、推奨セキュリティレベルに達していないセキュリティ対策項目の、各セキュリティレベルの実現手段概要２４を抽出し、講じるべき対策として対策パネル８５に出力する。これにより、推奨されるセキュリティ水準を達成するために、どのような対策を採用すればよいのかを容易に把握することが可能となる。なお、本実施例では、セキュリティ対策テーブルから実現手段概要２４を抽出し、出力することとしているが、更に状態概要２２を抽出し、出力することとしてもよい。また、本実施例で、対策パネル８５は診断結果上に重ねて表示されるが、推奨セキュリティレベルに達するために講じるべき対策の表示はこの方法に限定されない。例えば、診断結果に上書き表示する方法や、別ウィンドウへ表示する方法等が採用されてもよい。
【００８７】
また、診断結果とは別に、診断レポートをプリントアウト等の手段で出力することとしてもよい。診断レポートは、診断結果と同様に、レーダーチャート、推奨セキュリティレベルに達していないセキュリティ対策項目の一覧、及び推奨セキュリティレベルに達するために講じるべき対策からなる。このとき、推奨セキュリティレベルに達するために講じるべき対策は、推奨セキュリティレベルに達していないセキュリティ対策項目の、各セキュリティレベルの状態詳細２３及び実現手段詳細２５が抽出され、講じるべき対策として出力される。詳細な対策が出力されることで、推奨されるセキュリティ水準を達成するために、どのような対策を採用すればよいのかをより具体的に把握することが可能となる。なお、プリントアウトは、セキュリティ診断システムにプリンタを接続して出力する方法や、サーバに診断結果情報をアップロードしてサーバに接続されたプリンタから出力する方法等があるが、特定の方法に限定されない。また、サーバへ診断結果情報をアップロードする方法も、ＮＩＣ１４からネットワーク経由でアップロードする方法や、リムーバブルメディアを使用する方法等があるが、特定の方法に限定されない。
【００８８】
本実施例に拠れば、セキュリティ対策の多岐性、専門性によって生じる難解さ、煩雑さを解消することが可能となる。
【図面の簡単な説明】
【００８９】
【図１】実施例に係るセキュリティ診断システムの構成の概略を示した図である。
【図２】実施例におけるセキュリティ対策マトリックスのデータ構造の概略を説明した図である。
【図３】実施例におけるセキュリティ対策水準情報のデータ構造の概略を説明した図である。
【図４】実施例における質問情報のデータ構造の概略を説明した図である。
【図５】実施例における推奨セキュリティレベル算出処理の流れを示したフローチャートである。
【図６】企業情報入力フォーム表示処理によって出力された企業情報入力フォームを示す図である。
【図７】施設情報入力フォーム表示処理によって出力された施設情報入力フォームを示す図である。
【図８】実施例における問診処理の流れを示したフローチャートである。
【図９】全体パースイメージの画面イメージを示した図である。
【図１０】全体パースイメージ上に重ねて表示される質問パネルの画面イメージを示した図である。
【図１１】質問エリアイメージの画面イメージを示した図である。
【図１２】質問エリアイメージ上に重ねて表示される質問パネルの画面イメージを示した図である。
【図１３】実施例におけるレーダーチャート作成処理の流れを示したフローチャートである。
【図１４】質問要素及びセキュリティ対策項目のセキュリティレベルを決定する処理の概要を示した図である。
【図１５】診断結果の画面イメージを示した図である。
【図１６】診断結果の画面イメージ上に重ねて表示される対策パネルの画面イメージを示した図である。
【符号の説明】
【００９０】
１１ ＣＰＵ
１２ ＲＡＭ
１３ ＨＤＤ
１５ 入力装置
１７ ディスプレイ
２０ セキュリティ対策マトリックス
３０ セキュリティ対策水準情報
４０ 質問情報
５０ 入力フィールド
５５ 入力フィールド
６１ 「？」アイコン
６２ チェックマークアイコン
６５ 質問パネル
６６ 質問表示部
６７ 選択肢表示部
７０ 質問パネル
７１ 質問表示部
７２ 選択肢表示部
８１ レーダーチャート
８５ 対策パネル
【技術分野】
【０００１】
本発明は、セキュリティ診断システムに関する。
【背景技術】
【０００２】
セキュリティ対策の状態を診断する技術として、設問に解答することで、自社が同業他社との比較でどのレベルにあり、望ましい水準とどの程度のギャップがあるかをレーダーチャートで表示するセキュリティ対策自己診断システムがある（非特許文献１を参照）。
【０００３】
また、情報システムのセキュリティを診断する技術として、セキュリティポリシーに基づいてネットワーク管理及び監査を自動的に実行し、ユーザが適切な設定内容を選択できるインターフェースを備えたセキュリティ管理システム（特許文献１を参照）等がある。
【特許文献１】特開２００２−２４７０３３号公報
【特許文献２】特開２００２−５６１７６号公報
【特許文献３】特開２００２−１８５４５６号公報
【特許文献４】特開２００４−２５８７７７号公報
【特許文献５】特開２００５−２５０８０３号公報
【特許文献６】特開２００２−１４９５０８号公報
【非特許文献１】情報処理推進機構、情報処理推進機構：セキュリティセンター：自己診断テスト 情報セキュリティ対策ベンチマーク、自社のセキュリティ対策自己診断テスト、[online]、[平成１８年６月９日検索]、インターネット <URL : http://www.ipa.go.jp/security/benchmark/>
【発明の開示】
【発明が解決しようとする課題】
【０００４】
近年、セキュリティ問題に対する関心が社会的に高まっており、企業においても、不正侵入、持ち出しによる情報の漏洩、デバイスの持ち込みによる情報の漏洩、災害等、セキュリティ上の様々な脅威に対し、種々の対策を行っている。しかし、セキュリティ対策は電子データ、書類等の文書、人的要素、施設内への物理的なアクセス等、多岐に渡り、かつ各分野についても高い専門性が必要となる。このため、セキュリティ問題に対する関心を持ってはいても、具体的には何をすればよいのか分からない等、セキュリティ対策に対して敷居の高さを感じる企業も存在する。
【０００５】
これに対し、従来より企業や施設のセキュリティ診断を行う方法やシステムは存在している。しかし、従来の方法又はシステムでは、セキュリティ対策項目ごとにセキュリティの評価を行っており、このセキュリティ対策項目ごとの評価が難解かつ煩雑であるため、先述したような、セキュリティ対策に関して敷居の高さを感じている企業に対して、この敷居の高さを排除する解決策となるものではなかった。
【０００６】
本発明は、上記した問題に鑑み、セキュリティ対策の多岐性、専門性によって生じる難解さ、煩雑さを解消することを課題とする。
【課題を解決するための手段】
【０００７】
本発明は、上記した課題を解決するために、施設を俯瞰した画像を表示し、該画像に応じて表示される質問に答えていくことでセキュリティレベルを決定することで、セキュリティ対策の多岐性、専門性によって生じる難解さ、煩雑さを解消することを可能にした。
【０００８】
詳細には、本発明は、施設のセキュリティ診断において質問の対象となる質問対象毎に
、前記質問、該質問に対応する選択肢及び該選択肢に対応するセキュリティレベルを、データとして含む質問情報を蓄積する質問情報蓄積手段と、前記施設の全体又は各区域とともに、該施設内の前記質問対象を画像として表示する画像表示手段と、前記質問情報蓄積手段によって蓄積された質問情報のうち、前記画像表示手段によって表示された前記質問対象に対応する質問情報を抽出し、該質問情報にデータとして含まれる質問及び選択肢を表示する質問表示手段と、表示された選択肢の選択の入力を受け付ける選択肢入力受付手段と、抽出された前記質問情報から、前記選択肢入力受付手段によって受け付けられた選択の入力に係る選択肢に対応するセキュリティレベルを抽出するセキュリティレベル抽出手段と、前記セキュリティレベル抽出手段によって抽出されたセキュリティレベルを所定のカテゴリ毎に集約し、集約されたセキュリティレベルに基づいて、該カテゴリ毎に前記施設のセキュリティレベルを算出するセキュリティレベル算出手段と、を備えることを特徴とするセキュリティ診断システムである。
【０００９】
施設の全体又は各区域とともに、該施設のセキュリティ診断において質問の対象となる質問対象を画像として表示することにより、該画像中に表示される質問対象についてユーザのイメージを喚起することが可能となる。
【００１０】
また、画像として表示された質問対象に係る質問を表示し、選択肢を選択させることで、ユーザに質問対象のイメージを喚起させた状態で対話形式でセキュリティを診断し、セキュリティ評価の難解さ、煩雑さを排除することが可能となる。
【００１１】
加えて、所定のカテゴリに分類して施設のセキュリティレベルを算出する手段を備えることで、ユーザは難解かつ煩雑なセキュリティの評価を行う必要なく、容易にセキュリティの状況を把握することが可能となる。
【００１２】
本発明は、前記画像表示手段によって表示された質問対象の位置に、該質問対象に関する質問があることを示すアイコンを表示するアイコン表示手段と、前記アイコンの選択の入力を受け付けるアイコン選択入力受付手段と、を更に備え、前記質問表示手段は、前記アイコン選択入力受付手段によって受け付けられた選択の入力を契機として、前記質問情報蓄積手段によって蓄積された質問情報のうち、選択された前記アイコンに係る前記質問対象に対応する質問情報を抽出し、該質問情報にデータとして含まれる質問及び選択肢を表示すること、を特徴としてもよい。
【００１３】
画像表示手段によって表示された画像中の質問対象の位置に、該位置に関する質問があることを示すアイコンを表示することで、ユーザは直感的にセキュリティ診断に係る質問対象の位置を把握し、施設内のいずれの要素に係る質問であるかを把握することが可能となる。
【００１４】
本発明において、前記セキュリティレベル算出手段は、前記セキュリティレベル抽出手段によって抽出されたセキュリティレベルを、前記質問対象毎に集約し、前記質問対象毎に集約されたセキュリティレベルのうち、最も高いセキュリティレベルを、各質問対象のセキュリティレベルとして決定し、前記各質問対象のセキュリティレベルを、診断を行う対象を所定の基準に従って分類したセキュリティ対策項目毎に集約し、前記セキュリティ対策項目毎に集約されたセキュリティレベルのうち、最も低いセキュリティレベルを、各セキュリティ対策項目のセキュリティレベルとして決定し、前記各セキュリティ対策項目のセキュリティレベルを、前記カテゴリ毎に集約し、前記カテゴリ毎に集約されたセキュリティレベルの、該カテゴリ毎の相加平均を算出することで、前記カテゴリ毎に前記施設のセキュリティレベルを算出すること、を特徴としてもよい。
【００１５】
質問対象毎に集約されたセキュリティレベルのうち、最も高いセキュリティレベルを各
質問対象のセキュリティレベルとして決定し、セキュリティ対策項目毎に集約されたセキュリティレベルのうち、最も低いセキュリティレベルを各セキュリティ対策項目のセキュリティレベルとして決定することで、施設のセキュリティレベルの低い部分、即ち、セキュリティ上問題のある部分に注目して、セキュリティ対策項目毎のセキュリティレベルを決定することが可能となる。
【００１６】
また、カテゴリ毎に集約されたセキュリティレベルの、該カテゴリ毎の相加平均を算出することで、施設のセキュリティレベルの概要を容易に把握することが可能となる。
【００１７】
本発明は、前記カテゴリ毎に、前記施設に関する情報のうち該施設に求められるセキュリティレベルに影響する情報であるセキュリティレベル関連施設情報、及び該セキュリティレベル関連施設情報に対応するセキュリティレベルである水準セキュリティレベルを、データとして含むセキュリティ水準情報を蓄積するセキュリティ水準情報蓄積手段と、前記施設に関する情報の入力を受け付ける施設情報入力手段と、入力が受け付けられた前記施設に関する情報が、前記セキュリティレベル関連施設情報に該当する場合に、該セキュリティレベル関連施設情報に対応する水準セキュリティレベルを抽出する水準セキュリティレベル抽出手段と、前記水準セキュリティレベル抽出手段によって抽出された水準セキュリティレベルを前記カテゴリ毎に集約し、集約された水準セキュリティレベルに基づいて、該カテゴリ毎に前記施設に推奨されるセキュリティレベルを算出する推奨セキュリティレベル算出手段と、を更に備えることを特徴としてもよい。
【００１８】
当該施設に求められる推奨セキュリティレベルを算出することで、セキュリティ診断によって算出されるセキュリティレベルと推奨セキュリティレベルを比較し、未到達のセキュリティ対策項目を把握することが可能となる。
【００１９】
本発明は、前記セキュリティレベル算出手段によって算出された前記カテゴリ毎のセキュリティレベル及び前記推奨セキュリティレベル算出手段によって算出された前記カテゴリ毎の推奨されるセキュリティレベルを各軸に表したレーダーチャートを生成し、表示するレーダーチャート表示手段を更に備えることを特徴としてもよい。
【００２０】
カテゴリ別のセキュリティレベル及びカテゴリ別の推奨セキュリティレベルを各軸に表したレーダーチャートを表示することで、目視により容易にセキュリティ状態を把握し、問題点を素早く認識することが可能となる。
【００２１】
この際、レーダーチャートは、カテゴリ別のセキュリティレベル及びカテゴリ別の推奨セキュリティレベルを異なるレーダーチャートに表示したものであってもよいし、同一のレーダーチャートに表示したものであってもよい。また、セキュリティ対策別カテゴリ、セキュリティ対象別カテゴリ等、カテゴリの属性を複数用意し、属性ごとにレーダーチャートを表示してもよい。これによって、セキュリティ対策に関する状態及び問題点、セキュリティ対象に関する状態及び問題点を容易に把握可能となる。
【００２２】
本発明は、前記カテゴリごとに、前記施設のセキュリティレベルが所定のセキュリティレベルに到達するための実現方法を、データとして含むセキュリティ対策情報を蓄積するセキュリティ対策情報蓄積手段と、前記セキュリティレベル算出手段によって算出された前記カテゴリ毎のセキュリティレベルと、前記推奨セキュリティレベル算出手段によって算出された前記カテゴリ毎の推奨されるセキュリティレベルを比較することで、前記推奨されるセキュリティレベルを満たしていないカテゴリを抽出する未到達カテゴリ抽出手段と、前記セキュリティ対策情報蓄積手段によって蓄積されたセキュリティ対策情報のうち、前記未到達カテゴリ抽出手段によって抽出されたカテゴリに対応するセキュリティ対策情報を抽出し、該セキュリティ対策情報にデータとして含まれる実現方法を表示するセキ
ュリティ対策情報表示手段と、を更に備えることを特徴としてもよい。
【００２３】
推奨セキュリティレベルを満たしていないセキュリティ対策項目に関するセキュリティ対策情報を表示することで、セキュリティの問題点を認識した上で、セキュリティが推奨セキュリティレベルに到達するための具体的な対策を素早く知ることが可能となる。
【発明の効果】
【００２４】
本発明によって、セキュリティ対策の多岐性、専門性によって生じる難解さ、煩雑さを解消することが可能となる。
【発明を実施するための最良の形態】
【００２５】
本発明に係るセキュリティ診断システムの実施の形態について、図面に基づいて説明する。
【００２６】
図１は、本実施例に係るセキュリティ診断システムの構成の概略を示した図である。セキュリティ診断システムは、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１１、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１２、ＨＤＤ（Ｈａｒｄ
Ｄｉｓｋ Ｄｒｉｖｅ）１３、ＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）１４、キーボード、マウス、タッチパッド等の入力装置１５、ディスプレイ１７等の出力装置を有し、これらはバス１６を介して接続されている。
【００２７】
ＣＰＵ１１は、中央処理装置であり、ＲＡＭ１２等に展開された命令及びデータを処理することで、バス１６に接続されたＲＡＭ１２、ＨＤＤ１３、ＮＩＣ１４等を制御する。ＲＡＭ１２は、主記憶装置であり、ＣＰＵ１１によって制御され、各種命令やデータが書き込まれ、読み出される。ＨＤＤ１３は、補助記憶装置であり、主にサーバ１０の電源を落としても保持したい情報が書き込まれ、読み出される。ＮＩＣ１４は、ネットワークインターフェースであり、ネットワークより信号を受信し、ネットワークへ信号を送信する。
【００２８】
ＨＤＤ１３には、セキュリティ診断システムを構成するＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）及びセキュリティ診断プログラムがインストールされている。ＯＳは、セキュリティ診断システムの有する各種リソースの管理、入出力管理、セキュリティ診断プログラムをはじめとするアプリケーションの制御を行う。セキュリティ診断プログラムは、セキュリティ診断のための各種プログラムモジュール及び診断用の各種データベース等からなり、ＣＰＵ１１によって適宜ＲＡＭ１２上にロードされ、処理される。
【００２９】
ここで、本実施例に係るセキュリティ診断システムの利用シーンの一例を説明する。セキュリティプランナー等のセキュリティ診断システムの操作者が、診断対象となる施設にセキュリティ診断システムを持ち込み、施設の担当者にヒアリングを行いながらセキュリティ診断システムを使用した診断を行う。診断が終了すると、セキュリティ診断システムのディスプレイ１７に、診断結果が表示される。また、この診断結果情報に基づいて、診断レポートをプリントアウトしてもよい。
【００３０】
次に、図２から図４を用いて、本実施例のデータ構造の概略を説明する。以下に説明するデータは、ＨＤＤ１３又はＲＡＭ１２上に保存され、ＣＰＵ１１によって適宜読み出され、処理される。
【００３１】
図２は、本実施例におけるセキュリティ対策マトリックス２０のデータ構造の概略を説明した図である。セキュリティ対策マトリックス２０は、セキュリティ対策項目ＩＤ２１、セキュリティレベル毎の状態概要２２と状態詳細２３、セキュリティレベル毎の実現手
段概要２４と実現手段詳細２５、対象別診断分類２６、対策別診断分類２７その他の情報を含む。セキュリティ対策マトリックス２０は、ＨＤＤ１３上のデータベースに、セキュリティ対策テーブルとして蓄積されており、適宜ＲＡＭ１２上に読み出されて処理される。
【００３２】
セキュリティ対策マトリックス２０の有する情報のうち、セキュリティ対策項目ＩＤ２１は、セキュリティ診断システムが診断を行う対象を所定の基準に従って分類したセキュリティ対策項目を識別する情報であり、オフィスセキュリティマーク認証制度認証基準及びＩＳＭＳ（Ｉｎｆｏｒｍａｔｉｏｎ Ｓｅｃｕｒｉｔｙ Ｍａｎａｇｅｍｅｎｔ Ｓｙｓｔｅｍ）認証基準（Ｖｅｒ．２．０）付属書詳細管理策に準拠して項目の選定が行われている。また、セキュリティレベルは、診断対象となる施設に求められるセキュリティのセキュリティレベル又は施設の有するセキュリティのセキュリティレベルを示す指標となるものであり、ＣＯＢＩＴ（Ｃｏｎｔｒｏｌ ＯＢｊｅｃｔｉｖｅｓ ｆｏｒ Ｉｎｆｏｒｍａｔｉｏｎ ａｎｄ ｒｅｌａｔｅｄ Ｔｅｃｈｎｏｌｏｇｙ）成熟度モデルに準拠してセキュリティレベルの定義が行われている。但し、必ずしもこれらの基準に準拠する必要はなく、セキュリティ対策項目及びセキュリティレベルは、実施の形態によって適宜設定されることが好ましい。
【００３３】
本実施例におけるセキュリティレベルの定義は、セキュリティレベル「０」が「存在しない」こと、セキュリティレベル「１」が「初歩的」であること、セキュリティレベル「２」が「反復可能」であること、セキュリティレベル「３」が「定義されている」こと、セキュリティレベル「４」が「管理されている」こと、セキュリティレベル「５」が「最適化されている」こと、である。但し、この定義は先述の通りＣＯＢＩＴ成熟度モデルに準拠して定義されたものであり、実施の形態によって適宜設定されることが好ましい。
【００３４】
セキュリティレベル毎の状態概要２２及び状態詳細２３は、診断結果又は診断レポートで出力される現在の状態を予め記録したものであり、セキュリティレベル毎の実現手段概要２４及び実現手段詳細２５は、診断結果又は診断レポートで出力される対策を予め記録したものである。診断結果又は診断レポートの出力については後述する。
【００３５】
対象別診断分類２６及び対策別診断分類２７は、該当するセキュリティ対策項目が、後述するレーダーチャートのいずれの軸に表示されるかを示す情報である。各セキュリティ対策項目は、対象別診断分類２６及び対策別診断分類２７の双方の属性を持つ。対象別診断分類２６は、施設内の「どこの空間（対象）」に対する対策かを示す診断分類であり、対象別レーダーチャートのいずれの軸に対応するかを示す。対策別診断分類２７は、「どのような種類」の対策かを示す診断分類であり、対策別レーダーチャートのいずれの軸に対応するかを示す。
【００３６】
図３は、本実施例におけるセキュリティ対策水準情報３０のデータ構造の概略を説明した図である。セキュリティ対策水準情報３０は、セキュリティ対策項目毎に、セキュリティ対策項目ＩＤ３１、基準セキュリティレベル３２、変動要素の入力値３３、入力値に対応する水準セキュリティレベル３４を含む。セキュリティ対策水準情報３０は、ＨＤＤ１３上のデータベースに、セキュリティ対策水準情報テーブルとして蓄積されており、適宜ＲＡＭ１２上に読み出されて処理される。
【００３７】
基準セキュリティレベル３２は、各セキュリティ対策項目について、一般的な条件の施設に求められる程度のセキュリティレベルを示す情報である。また、変動要素の入力値３３は、施設の個別の事情又は状況の相違によって、求められるセキュリティレベルが変動する要素を示す情報であり、セキュリティ対策項目毎に、業種、利用対象部門、施設の利用状況、対象人数、非社員比率、流動率等について定義されている。さらに、夫々の変動
要素の入力値３３に対応するセキュリティレベルである水準セキュリティレベル３４が定義されている。
【００３８】
図４は、本実施例における質問情報４０のデータ構造の概略を説明した図である。質問情報４０は、質問要素４１、対応する質問エリア４２、対応するセキュリティ対策項目ＩＤ４３、質問ＩＤ４４、質問４５、必須フラグ４６、選択肢４７、選択肢に対応するセキュリティレベル４８、次アクション４９等を含む。質問情報４０は、ＨＤＤ１３上のデータベースに、質問情報テーブルとして蓄積されており、適宜ＲＡＭ１２上に読み出されて処理される。
【００３９】
必須フラグ４６は、各質問エリア４２毎に一つから複数存在する質問のうち、各質問エリア４２の詳細な内容について質問が必要か否かを判定するための前提となる前提質問を示す情報である。即ち、必須フラグ４６がＴＲＵＥ（真）である質問４５は前提質問であり、必須フラグ４６がＦＡＬＳＥ（偽）である質問４５は前提質問ではない。
【００４０】
次アクション４９は、後述する問診処理で各質問４５に対して選択肢４７が選択されたときに、選択された選択肢４７に応じて問診処理のその後の処理内容を決定するための情報である。本実施例では、該当する質問要素４１に関する質問を終了する「閉じる」アクションと、同一の質問要素４１に関して次の質問４５及び選択肢４７を表示するアクションとが定義されている。次の質問４５及び選択肢４７は、質問ＩＤ４４で指定される。
【００４１】
なお、セキュリティ対策項目によって、上位のセキュリティレベルを満たすために、前提となるセキュリティレベルを満たしていることが必要となるセキュリティ対策項目がある。これらのセキュリティ対策項目に属する質問要素４１については、より下位のセキュリティレベルの対策が施されているという選択肢４７が選択されたことを条件に、上位のセキュリティレベルの対策の有無を問う質問４５及び選択肢４７が表示されるように質問の順序が構成される。
【００４２】
次に、図５から図１６を用いて、セキュリティ診断処理の流れを説明する。図５、図８及び図１３に示された処理は、セキュリティ診断システムにおいて、ＲＡＭ１２等に展開されたプログラムをＣＰＵ１１が解釈及び実行することで行われる。ＣＰＵ１１は、所定のタイミング、又は端末より入力された指示に基づいて図５、図８及び図１３に示された処理を順に実行する。また、以下の各処理の処理単位及び処理順序は、本実施例に示されている処理単位、処理順序に限定されるものではなく、適宜変更してもよい。
【００４３】
図５は、本実施例における推奨セキュリティレベル算出処理の流れを示したフローチャートである。本フローチャートに示された処理は、操作者が、セキュリティ診断システムを起動することで実行される。
【００４４】
Ｓ１０１では、企業情報入力フォームが表示される。ＣＰＵ１１は、予め定義された企業情報の入力フォーム情報をＲＡＭ１２から読み出して、ディスプレイ１７に出力する。図６は、この処理によって出力された企業情報入力フォームを示す図である。入力フォームは、企業名称及び業種を入力するための入力フィールド５０と、入力された値を確定するボタン５１を有する。その後、処理はＳ１０２へ進む。
【００４５】
Ｓ１０２では、企業情報の入力が受け付けられる。操作者によって、Ｓ１０１で表示された入力フィールド５０に、企業名称及び業種が入力され、ボタン５１がクリックされると、ＣＰＵ１１は、入力値をＲＡＭ１２に保存する。その後、処理はＳ１０３へ進む。
【００４６】
Ｓ１０３では、施設情報入力フォームが表示される。ＣＰＵ１１は、予め定義された施
設情報の入力フォーム情報をＲＡＭ１２から読み出して、ディスプレイ１７に出力する。図７は、この処理によって出力された施設情報入力フォームを示す図である。入力フォームは、対象利用部門、対象面積、対象人数、非社員人数、流動率（入退社及び異動人員割合）、施設の利用状況を入力するための入力フィールド５５と、入力された値を確定するボタン５６を有する。その後、処理はＳ１０４へ進む。
【００４７】
Ｓ１０４では、施設情報の入力が受け付けられる。操作者によって、Ｓ１０３で表示された入力フィールド５５に、対象利用部門、対象面積、対象人数、非社員人数、入退社及び異動人員割合、施設の利用状況が入力され、ボタン５６がクリックされると、ＣＰＵ１１は、入力値をＲＡＭ１２に保存する。その後、処理はＳ１０５へ進む。
【００４８】
Ｓ１０５では、入力された値から、セキュリティ対策項目推奨セキュリティレベル算出の変動要素に該当する入力値が算出される。ＣＰＵ１１は、Ｓ１０２及びＳ１０４で入力された入力値から、セキュリティ対策水準情報３０の変動要素の入力値３３に定義された変動要素に該当する入力値を算出し、ＲＡＭ１２に保存する。即ち、本実施例では、業種、利用対象部門、施設の利用状況、対象人数、非社員比率、流動率等が算出される。その後、処理はＳ１０６へ進む。
【００４９】
Ｓ１０６では、変動要素となる値が含まれているか否かが判定される。ＣＰＵ１１は、Ｓ１０５で算出された変動要素の入力値３３を基に、セキュリティ対策項目ごとにセキュリティ対策水準情報テーブルを検索し、該当する変動要素の入力値３３があるか否かを判定する。ここで、該当する変動要素の入力値３３は、複数存在することがある。該当する変動要素の入力値３３がある場合、処理はＳ１０７へ進む。該当する変動要素の入力値３３がない場合、処理はＳ１０８へ進む。
【００５０】
Ｓ１０７では、定義された変動要素の水準セキュリティレベル３４のうち、最も高いセキュリティレベルが推奨セキュリティレベルとして適用される。ＣＰＵ１１は、Ｓ１０６の検索に合致した変動要素の入力値３３に対応する水準セキュリティレベル３４のうち、最も高いセキュリティレベルを、該当するセキュリティ対策項目の推奨セキュリティレベルとして保存する。例えば、診断対象の施設の業種が製造業で、対象人数が３００人以上であり、セキュリティ対策項目「個人業務用パソコンの利用」の基準セキュリティレベル３２がセキュリティレベル「２」、変動要素の入力値「製造業」に対応する水準セキュリティレベルがセキュリティレベル「３」、変動要素の入力値「対象人数３００人以上」に対応する水準セキュリティレベルがセキュリティレベル「５」である場合、セキュリティ対策項目「個人業務用パソコンの利用」の推奨セキュリティレベルは、セキュリティレベル「５」となる。その後、処理はＳ１０９へ進む。
【００５１】
Ｓ１０８では、基準セキュリティレベル３２が推奨セキュリティレベルとして適用される。ＣＰＵ１１は、セキュリティ対策水準情報３０において、該当するセキュリティ対策項目の基準セキュリティレベル３２として予め設定されているセキュリティレベルを、該当するセキュリティ対策項目の推奨セキュリティレベルとして保存する。その後、処理はＳ１０９へ進む。
【００５２】
Ｓ１０９では、全てのセキュリティ対策項目について推奨セキュリティレベルが設定されたか否かが判定される。ＣＰＵ１１は、セキュリティ対策マトリックス２０に定義された全てのセキュリティ対策項目について推奨セキュリティレベルが設定されたか否かを判定する。全てのセキュリティ対策項目について推奨セキュリティレベルが設定されていないと判定された場合、処理はＳ１０６へ進み、全てのセキュリティ対策項目について推奨セキュリティレベルが設定されるまでＳ１０６からＳ１０９の処理を繰り返す。全てのセキュリティ対策項目について推奨セキュリティレベルが設定されたと判定された場合、本
フローチャートに示された処理は終了する。
【００５３】
推奨セキュリティレベル算出処理が行われることで、個別の施設に推奨される、又は求められるセキュリティ対策水準が設定され、この後に実行される問診処理で導き出されたセキュリティレベルの診断結果と比較することが可能となる。
【００５４】
図８は、本実施例における問診処理の流れを示したフローチャートである。本フローチャートに示された処理は、推奨セキュリティレベル算出処理（図５を参照）の終了後に実行される。
【００５５】
Ｓ２０１では、全体パースイメージが表示される。ＣＰＵ１１は、ＨＤＤ１３又はＲＡＭ１２より、全体パースイメージ情報を読み出し、ディスプレイ１７に出力する。図９は、全体パースイメージの画面イメージを示した図である。全体パースイメージは、セキュリティ診断の対象を俯瞰した画像であり、問診の対象となる各質問エリア４２に、「？」アイコン６１が表示されている。また、全体パースイメージは、常に同一のものが表示されることとしてもよいし、推奨セキュリティレベル算出処理のＳ１０２及びＳ１０４で保存された企業情報及び施設情報に基づいて、夫々のセキュリティ診断対象となる施設に近い全体パースイメージを選択して表示することとしてもよい。診断対象となる施設に近い全体パースイメージを表示することで、より現実の施設の状況に即した診断が可能となる。その後、処理はＳ２０２へ進む。
【００５６】
Ｓ２０２では、システムで定義された順に、質問エリア４２が決定される。ＣＰＵ１１は、ＨＤＤ１３から読み出した質問エリア情報ファイル（図示せず）を参照し、この後の処理で問診を行う対象となる質問エリア４２を決定し、ＲＡＭ１２に保存する。質問エリア情報ファイルは、施設内においてセキュリティ診断の対象となる部屋等の質問エリア４２を定義したファイルであり、問診対象となる質問エリア４２の順序もここに定義されている。質問エリア４２の順序は、施設の入口から奥に向かって順に定義されていることが好ましい。また、質問エリア４２を決定する際、Ｓ２０１で表示された全体パースイメージ上で、人物を表した画像が該当する質問エリア４２に向かって歩いていく様子を表示することとしてもよい。これによって、該当する質問エリア４２を実際に利用する際の利用シーンを想起させることが可能となる。その後、処理はＳ２０３へ進む。
【００５７】
Ｓ２０３では、各質問エリア４２の詳細な内容について質問が必要か否かを判定するための前提となる前提質問と選択肢４７が、質問情報テーブルより抽出される。ＣＰＵ１１は、質問情報テーブルを検索し、Ｓ２０２で決定された質問エリア４２が合致し、且つ必須フラグ４６がＴＲＵＥ（真）である質問情報４０を抽出し、ＲＡＭ１２に保存する。その後、処理はＳ２０４へ進む。
【００５８】
Ｓ２０４では、質問４５と選択肢４７が質問パネル６５に表示される。ＣＰＵ１１は、全体パースイメージ上に質問パネル６５を重ねて表示させ、質問パネル６５にＳ２０３で抽出された質問情報４０の質問４５と選択肢４７を表示する。図１０は、全体パースイメージ上に重ねて表示される質問パネル６５の画面イメージを示した図である。質問パネル６５は、質問表示部６６と、選択肢表示部６７と、各選択肢４７に対応するラジオボタン６８と、選択された選択肢４７を確定するボタン６９を有する。なお、本実施例で、質問パネル６５は全体パースイメージ上に重ねて表示されるが、質問４５及び選択肢４７の表示はこの方法に限定されない。例えば、全体パースイメージに上書き表示する方法や、別ウィンドウへ表示する方法等が採用されてもよい。その後、処理はＳ２０５へ進む。
【００５９】
Ｓ２０５では、選択肢４７の入力が受け付けられる。操作者によって、Ｓ２０４で表示された選択肢４７の何れかが選択され、ボタン６９がクリックされると、ＣＰＵ１１は、
入力値をＲＡＭ１２に保存する。その後、処理はＳ２０６へ進む。
【００６０】
Ｓ２０６では、入力された選択肢４７のセキュリティレベルが保存される。ＣＰＵ１１は、Ｓ２０５でＲＡＭ１２に保存した入力値（選択肢４７）を基に、質問情報テーブルを検索し、合致する選択肢４７のセキュリティレベルを抽出し、ＲＡＭ１２に保存する。このとき、選択された選択肢４７が、対象となる質問エリア４２が診断対象となる施設に存在しないことを示す選択肢４７であった場合は、セキュリティレベルは設定されず、該当する質問エリア４２が存在しないことを示す値（例えば、”ｕｎｅｘｉｓｔ”）が設定される。その後、処理はＳ２０７へ進む。
【００６１】
Ｓ２０７では、入力された選択肢４７に該当する次アクション４９が抽出される。ＣＰＵ１１は、Ｓ２０５でＲＡＭ１２に保存した入力値（選択肢４７）を基に、質問情報テーブルを検索し、合致する選択肢４７の次アクション４９を抽出し、ＲＡＭ１２に保存する。その後、処理はＳ２０８へ進む。
【００６２】
Ｓ２０８では、次アクション４９の内容が判定される。ＣＰＵ１１は、Ｓ２０７で抽出した次アクション４９が、「閉じる」であるか又は次の質問の表示であるかを判定する。次アクション４９が「閉じる」である場合、処理はＳ２０９へ進む。特に、対象となる質問エリア４２が診断対象となる施設に存在しないことを示す選択肢４７には、次アクション４９として「閉じる」が設定されている。次アクション４９が次の質問の表示である場合、処理はＳ２１０へ進む。
【００６３】
Ｓ２０９では、質問４５と選択肢４７を表示していた質問パネル６５が閉じられる。ＣＰＵ１１は、Ｓ２０４で表示された質問パネル６５を閉じ、質問パネル６５が表示されていた領域に再び全体パースイメージを表示する。この際、既に質問の表示された「？」アイコン６１は、問診が終了したことを示すチェックマークアイコン６２に表示が変更される。その後、処理はＳ２２１へ進む。
【００６４】
Ｓ２１０では、質問エリアイメージが表示される。ＣＰＵ１１は、ＨＤＤ１３又はＲＡＭ１２より、該当する質問エリアイメージ情報を読み出し、ディスプレイ１７に出力する。図１１は、質問エリアイメージの画面イメージを示した図である。質問エリアイメージは、各質問エリア４２の詳細を問診するための画面であり、質問エリア４２ごとに異なるイメージが予め用意されている。また、各質問エリアイメージには、質問４５にリンクした「？」アイコン６１が一つから複数含まれている。その後、処理はＳ２１１へ進む。
【００６５】
Ｓ２１１では、「？」アイコン６１のクリックが受け付けられる。操作者によって、Ｓ２１０で表示された「？」アイコン６１のうち何れか一がクリックされると、ＣＰＵ１１は、クリックされた「？」アイコン６１に定義されているリンク情報をＲＡＭ１２に保存する。その後、処理はＳ２１２へ進む。
【００６６】
Ｓ２１２では、クリックされた「？」アイコン６１に該当する質問情報４０が抽出される。ＣＰＵ１１は、Ｓ２１１で入力されたリンク情報を基に、質問情報テーブルを検索し、該当する質問情報４０を抽出し、ＲＡＭ１２に保存する。その後、処理はＳ２１３へ進む。
【００６７】
Ｓ２１３では、質問４５と選択肢４７が質問パネル７０に表示される。ＣＰＵ１１は、質問エリアイメージ上に質問パネル７０を重ねて表示させ、質問パネル７０にＳ２１２又はＳ２１９で抽出された質問情報４０の質問４５と選択肢４７を表示する。図１２は、質問エリアイメージ上に重ねて表示される質問パネル７０の画面イメージを示した図である。質問パネル７０は、質問表示部７１と、選択肢表示部７２と、各選択肢４７に対応する
ラジオボタン７３と、選択された選択肢４７を確定するボタン７４を有する。なお、本実施例で、質問パネル７０は質問エリアイメージ上に重ねて表示されるが、質問４５及び選択肢４７の表示はこの方法に限定されない。例えば、質問エリアイメージに上書き表示する方法や、別ウィンドウへ表示する方法等が採用されてもよい。その後、処理はＳ２１４へ進む。
【００６８】
Ｓ２１４では、選択肢４７の入力が受け付けられる。操作者によって、Ｓ２０４で表示された選択肢４７の何れかが選択され、ボタン７４がクリックされると、ＣＰＵ１１は、入力値をＲＡＭ１２に保存する。その後、処理はＳ２１５へ進む。
【００６９】
Ｓ２１５では、入力された選択肢４７のセキュリティレベルが保存される。ＣＰＵ１１は、Ｓ２１４でＲＡＭ１２に保存した入力値（選択肢４７）を基に、質問情報テーブルを検索し、合致する選択肢４７のセキュリティレベルを抽出し、ＲＡＭ１２に保存する。その後、処理はＳ２１６へ進む。
【００７０】
Ｓ２１６では、入力された選択肢４７に該当する次アクション４９が抽出される。ＣＰＵ１１は、Ｓ２１４でＲＡＭ１２に保存した入力値（選択肢４７）を基に、質問情報テーブルを検索し、合致する選択肢４７の次アクション４９を抽出し、ＲＡＭ１２に保存する。その後、処理はＳ２１７へ進む。
【００７１】
Ｓ２１７では、次アクション４９の内容が判定される。ＣＰＵ１１は、Ｓ２１６で抽出した次アクション４９が、「閉じる」であるか又は次の質問の表示であるかを判定する。次アクション４９が「閉じる」である場合、処理はＳ２１８へ進む。次アクション４９が次の質問の表示である場合、処理はＳ２１９へ進む。
【００７２】
Ｓ２１８では、質問４５と選択肢４７を表示していた質問パネル７０が閉じられる。ＣＰＵ１１は、Ｓ２０４で表示された質問パネル７０を閉じ、質問パネル７０が表示されていた領域に再び質問エリアイメージを表示する。この際、既に質問の表示された「？」アイコン６１は、チェックマークアイコン６２に表示が変更される。その後、処理はＳ２２０へ進む。
【００７３】
Ｓ２１９では、次の質問４５と選択肢４７が抽出される。ＣＰＵ１１は、Ｓ２１７で判定された次アクション４９に示された質問ＩＤ４４を基に、質問情報テーブルから該当する質問情報４０を抽出し、ＲＡＭ１２に保存する。その後、処理はＳ２１３へ進む。
【００７４】
Ｓ２２０では、該当する質問エリアイメージに表示された全ての「？」アイコン６１がクリックされたか否かが判定される。ＣＰＵ１１は、現在表示している質問エリアイメージに表示された全ての「？」アイコン６１についてクリックされ、問診が終了したか否かを判定する。終了したと判定された場合、処理はＳ２０１へ進む。終了していないと判定された場合、処理はＳ２１１へ進み、質問エリアイメージに表示された全ての「？」アイコン６１がクリックされ、問診が終了するまでＳ２１１からＳ２２０の処理を繰り返す。
【００７５】
Ｓ２２１では、全ての質問エリア４２について問診処理が完了したか否かが判定される。ＣＰＵ１１は、質問エリア情報ファイルに定義された全ての質問エリア４２について問診処理が完了したか否かを判定する。完了していないと判定された場合、処理はＳ２０２へ進み、全ての質問エリア４２について問診処理が完了するまでＳ２０２からＳ２２１の処理を繰り返す。完了したと判定された場合、本フローチャートに示された処理は完了する。
【００７６】
図１３は、本実施例におけるレーダーチャート作成処理の流れを示したフローチャート
である。本フローチャートに示された処理は、問診処理（図８を参照）の終了後に実行される。
【００７７】
Ｓ３０１では、問診処理で保存された各質問のセキュリティレベルが集約される。ＣＰＵ１１は、問診処理のＳ２０６、Ｓ２１５でＲＡＭ１２に保存された各質問４５のセキュリティレベルを、夫々の質問４５が分類される質問要素４１毎に集約し、ＲＡＭ１２に保存する。その後、処理はＳ３０２へ進む。
【００７８】
Ｓ３０２では、集約したセキュリティレベルのうち最も高いセキュリティレベルが、該当する質問要素４１のセキュリティレベルとして採用される（図１４を参照）。ＣＰＵ１１は、質問要素４１毎に、Ｓ３０１で集約されたセキュリティレベルを比較し、該当する質問要素４１の中で最も高いセキュリティレベルを、該当する質問要素４１のセキュリティレベルとして採用し、ＲＡＭ１２に保存する。その後、処理はＳ３０３へ進む。
【００７９】
Ｓ３０３では、各質問要素４１のセキュリティレベルが集約される。ＣＰＵ１１は、Ｓ３０２でＲＡＭ１２に保存された各質問要素４１のセキュリティレベルを、夫々の質問要素４１が分類されるセキュリティ対策項目毎に集約し、ＲＡＭ１２に保存する。その後、処理はＳ３０４へ進む。
【００８０】
Ｓ３０４では、集約したセキュリティレベルのうち最も低いセキュリティレベルが、該当するセキュリティ対策項目のセキュリティレベルとして採用される（図１４を参照）。ＣＰＵ１１は、セキュリティ対策項目毎に、Ｓ３０３で集約されたセキュリティレベルを比較し、該当するセキュリティ対策項目の中で最も低いセキュリティレベルを、該当するセキュリティ対策項目のセキュリティレベルとして採用し、ＲＡＭ１２に保存する。その後、処理はＳ３０５へ進む。
【００８１】
Ｓ３０５では、各セキュリティ対策項目のセキュリティレベルが集約される。ＣＰＵ１１は、セキュリティ対策テーブルから各セキュリティ対策項目が該当する対象別診断分類２６及び対策別診断分類２７を抽出し、Ｓ３０４でＲＡＭ１２に保存された各セキュリティ対策項目のセキュリティレベルを、抽出した診断分類毎に集約し、ＲＡＭ１２に保存する。その後、処理はＳ３０６へ進む。
【００８２】
Ｓ３０６では、集約した診断分類毎のセキュリティレベルの相加平均が、該当する診断分類のセキュリティレベルとして算出される。ＣＰＵ１１は、診断分類毎に、Ｓ３０５で集約された、該当する診断分類に属する各セキュリティ対策項目のセキュリティレベルの相加平均を算出し、ＲＡＭ１２に保存する。この際、算出されたセキュリティレベルは整数とはならないことがあるため、本実施例では、有効桁数を小数点以下第一位までとして相加平均を算出する。その後、処理はＳ３０７へ進む。
【００８３】
Ｓ３０７では、各セキュリティ対策項目の推奨セキュリティレベルが集約される。ＣＰＵ１１は、推奨セキュリティレベル算出処理でＲＡＭ１２に保存された各セキュリティ対策項目の推奨セキュリティレベルを、夫々のセキュリティ対策項目が分類されるレーダーチャートの診断分類毎に集約し、ＲＡＭ１２に保存する。各セキュリティ対策項目がいずれの診断分類に属するかは、ＣＰＵ１１が、セキュリティ対策項目に基づいてセキュリティ対策テーブルを検索し、該当する診断分類を抽出することで決定される。その後、処理はＳ３０８へ進む。
【００８４】
Ｓ３０８では、集約した診断分類毎の推奨セキュリティレベルの相加平均が、該当する診断分類の推奨セキュリティレベルとして算出される。ＣＰＵ１１は、診断分類毎に、Ｓ３０７で集約された、該当する診断分類に属する各セキュリティ対策項目の推奨セキュリ
ティレベルの相加平均を算出し、ＲＡＭ１２に保存する。この際、算出された推奨セキュリティレベルは整数とはならないことがあるため、本実施例では、有効桁数を小数点以下第一位までとして相加平均を算出する。その後、処理はＳ３０９へ進む。
【００８５】
Ｓ３０９では、診断結果が表示される。図１５は、表示される診断結果の画面イメージを示した図である。診断結果は、算出された診断分類毎のセキュリティレベル及び推奨セキュリティレベルを示したレーダーチャート８１、セキュリティレベルが推奨セキュリティレベルに達していないセキュリティ対策項目の一覧８２、表示切替ボタン８３からなる。ＣＰＵ１１は、Ｓ３０６で算出した診断分類ごとのセキュリティレベルと、Ｓ３０８で算出した診断分類ごとの推奨セキュリティレベルと、を各診断分類に対応する夫々の軸に表したレーダーチャート８１を生成し、ディスプレイ１７に出力する。ここで、レーダーチャート８１には、視認性を高めるために、セキュリティレベルを示す星が表示される。その後、本フローチャートに示された処理は終了する。
【００８６】
なお、図１５に示されたレーダーチャート８１は、対象別診断分類２６に属する診断分類を夫々の軸に表した対象別レーダーチャート８１であるが、表示切換ボタン８３がクリックされると、対策別診断分類２７に属する診断分類を夫々の軸に表した対策別レーダーチャート８１が表示される（図示は省略する）。これにより、施設の状態と、推奨されるセキュリティ水準とを、対象別、対策別に容易に把握することが可能となる。加えて、セキュリティレベルが推奨セキュリティレベルに達していないセキュリティ対策項目の一覧８２に示された各セキュリティ対策項目のタイトルがクリックされると、診断結果の上に重ねて対策パネル８５が表示される（図１６を参照）。対策パネル８５には、推奨セキュリティレベルに達するために講じるべき対策が表示される。ＣＰＵ１１は、セキュリティ対策テーブルを検索し、推奨セキュリティレベルに達していないセキュリティ対策項目の、各セキュリティレベルの実現手段概要２４を抽出し、講じるべき対策として対策パネル８５に出力する。これにより、推奨されるセキュリティ水準を達成するために、どのような対策を採用すればよいのかを容易に把握することが可能となる。なお、本実施例では、セキュリティ対策テーブルから実現手段概要２４を抽出し、出力することとしているが、更に状態概要２２を抽出し、出力することとしてもよい。また、本実施例で、対策パネル８５は診断結果上に重ねて表示されるが、推奨セキュリティレベルに達するために講じるべき対策の表示はこの方法に限定されない。例えば、診断結果に上書き表示する方法や、別ウィンドウへ表示する方法等が採用されてもよい。
【００８７】
また、診断結果とは別に、診断レポートをプリントアウト等の手段で出力することとしてもよい。診断レポートは、診断結果と同様に、レーダーチャート、推奨セキュリティレベルに達していないセキュリティ対策項目の一覧、及び推奨セキュリティレベルに達するために講じるべき対策からなる。このとき、推奨セキュリティレベルに達するために講じるべき対策は、推奨セキュリティレベルに達していないセキュリティ対策項目の、各セキュリティレベルの状態詳細２３及び実現手段詳細２５が抽出され、講じるべき対策として出力される。詳細な対策が出力されることで、推奨されるセキュリティ水準を達成するために、どのような対策を採用すればよいのかをより具体的に把握することが可能となる。なお、プリントアウトは、セキュリティ診断システムにプリンタを接続して出力する方法や、サーバに診断結果情報をアップロードしてサーバに接続されたプリンタから出力する方法等があるが、特定の方法に限定されない。また、サーバへ診断結果情報をアップロードする方法も、ＮＩＣ１４からネットワーク経由でアップロードする方法や、リムーバブルメディアを使用する方法等があるが、特定の方法に限定されない。
【００８８】
本実施例に拠れば、セキュリティ対策の多岐性、専門性によって生じる難解さ、煩雑さを解消することが可能となる。
【図面の簡単な説明】
【００８９】
【図１】実施例に係るセキュリティ診断システムの構成の概略を示した図である。
【図２】実施例におけるセキュリティ対策マトリックスのデータ構造の概略を説明した図である。
【図３】実施例におけるセキュリティ対策水準情報のデータ構造の概略を説明した図である。
【図４】実施例における質問情報のデータ構造の概略を説明した図である。
【図５】実施例における推奨セキュリティレベル算出処理の流れを示したフローチャートである。
【図６】企業情報入力フォーム表示処理によって出力された企業情報入力フォームを示す図である。
【図７】施設情報入力フォーム表示処理によって出力された施設情報入力フォームを示す図である。
【図８】実施例における問診処理の流れを示したフローチャートである。
【図９】全体パースイメージの画面イメージを示した図である。
【図１０】全体パースイメージ上に重ねて表示される質問パネルの画面イメージを示した図である。
【図１１】質問エリアイメージの画面イメージを示した図である。
【図１２】質問エリアイメージ上に重ねて表示される質問パネルの画面イメージを示した図である。
【図１３】実施例におけるレーダーチャート作成処理の流れを示したフローチャートである。
【図１４】質問要素及びセキュリティ対策項目のセキュリティレベルを決定する処理の概要を示した図である。
【図１５】診断結果の画面イメージを示した図である。
【図１６】診断結果の画面イメージ上に重ねて表示される対策パネルの画面イメージを示した図である。
【符号の説明】
【００９０】
１１ ＣＰＵ
１２ ＲＡＭ
１３ ＨＤＤ
１５ 入力装置
１７ ディスプレイ
２０ セキュリティ対策マトリックス
３０ セキュリティ対策水準情報
４０ 質問情報
５０ 入力フィールド
５５ 入力フィールド
６１ 「？」アイコン
６２ チェックマークアイコン
６５ 質問パネル
６６ 質問表示部
６７ 選択肢表示部
７０ 質問パネル
７１ 質問表示部
７２ 選択肢表示部
８１ レーダーチャート
８５ 対策パネル
【特許請求の範囲】
【請求項１】
施設のセキュリティ診断において質問の対象となる質問対象毎に、前記質問、該質問に対応する選択肢及び該選択肢に対応するセキュリティレベルを、データとして含む質問情報を蓄積する質問情報蓄積手段と、
前記施設の全体又は各区域とともに、該施設内の前記質問対象を画像として表示する画像表示手段と、
前記質問情報蓄積手段によって蓄積された質問情報のうち、前記画像表示手段によって表示された前記質問対象に対応する質問情報を抽出し、該質問情報にデータとして含まれる質問及び選択肢を表示する質問表示手段と、
表示された選択肢の選択の入力を受け付ける選択肢入力受付手段と、
抽出された前記質問情報から、前記選択肢入力受付手段によって受け付けられた選択の入力に係る選択肢に対応するセキュリティレベルを抽出するセキュリティレベル抽出手段と、
前記セキュリティレベル抽出手段によって抽出されたセキュリティレベルを所定のカテゴリ毎に集約し、集約されたセキュリティレベルに基づいて、該カテゴリ毎に前記施設のセキュリティレベルを算出するセキュリティレベル算出手段と、
を備えることを特徴とするセキュリティ診断システム。
【請求項２】
前記画像表示手段によって表示された質問対象の位置に、該質問対象に関する質問があることを示すアイコンを表示するアイコン表示手段と、
前記アイコンの選択の入力を受け付けるアイコン選択入力受付手段と、
を更に備え、
前記質問表示手段は、前記アイコン選択入力受付手段によって受け付けられた選択の入力を契機として、前記質問情報蓄積手段によって蓄積された質問情報のうち、選択された前記アイコンに係る前記質問対象に対応する質問情報を抽出し、該質問情報にデータとして含まれる質問及び選択肢を表示すること、
を特徴とする請求項１に記載のセキュリティ診断システム。
【請求項３】
前記セキュリティレベル算出手段は、
前記セキュリティレベル抽出手段によって抽出されたセキュリティレベルを、前記質問対象毎に集約し、
前記質問対象毎に集約されたセキュリティレベルのうち、最も高いセキュリティレベルを、各質問対象のセキュリティレベルとして決定し、
前記各質問対象のセキュリティレベルを、診断を行う対象を所定の基準に従って分類したセキュリティ対策項目毎に集約し、
前記セキュリティ対策項目毎に集約されたセキュリティレベルのうち、最も低いセキュリティレベルを、各セキュリティ対策項目のセキュリティレベルとして決定し、
前記各セキュリティ対策項目のセキュリティレベルを、前記カテゴリ毎に集約し、
前記カテゴリ毎に集約されたセキュリティレベルの、該カテゴリ毎の相加平均を算出することで、
前記カテゴリ毎に前記施設のセキュリティレベルを算出すること、
を特徴とする請求項１又は請求項２に記載のセキュリティ診断システム。
【請求項４】
前記カテゴリ毎に、前記施設に関する情報のうち該施設に求められるセキュリティレベルに影響する情報であるセキュリティレベル関連施設情報、及び該セキュリティレベル関連施設情報に対応するセキュリティレベルである水準セキュリティレベルを、データとして含むセキュリティ水準情報を蓄積するセキュリティ水準情報蓄積手段と、
前記施設に関する情報の入力を受け付ける施設情報入力手段と、
入力が受け付けられた前記施設に関する情報が、前記セキュリティレベル関連施設情報
に該当する場合に、該セキュリティレベル関連施設情報に対応する水準セキュリティレベルを抽出する水準セキュリティレベル抽出手段と、
前記水準セキュリティレベル抽出手段によって抽出された水準セキュリティレベルを前記カテゴリ毎に集約し、集約された水準セキュリティレベルに基づいて、該カテゴリ毎に前記施設に推奨されるセキュリティレベルを算出する推奨セキュリティレベル算出手段と、
を更に備えることを特徴とする請求項１から請求項３の何れかに記載のセキュリティ診断システム。
【請求項５】
前記セキュリティレベル算出手段によって算出された前記カテゴリ毎のセキュリティレベル及び前記推奨セキュリティレベル算出手段によって算出された前記カテゴリ毎の推奨されるセキュリティレベルを各軸に表したレーダーチャートを生成し、表示するレーダーチャート表示手段を更に備えることを特徴とする請求項４に記載のセキュリティ診断システム。
【請求項６】
前記カテゴリごとに、前記施設のセキュリティレベルが所定のセキュリティレベルに到達するための実現方法を、データとして含むセキュリティ対策情報を蓄積するセキュリティ対策情報蓄積手段と、
前記セキュリティレベル算出手段によって算出された前記カテゴリ毎のセキュリティレベルと、前記推奨セキュリティレベル算出手段によって算出された前記カテゴリ毎の推奨されるセキュリティレベルを比較することで、前記推奨されるセキュリティレベルを満たしていないカテゴリを抽出する未到達カテゴリ抽出手段と、
前記セキュリティ対策情報蓄積手段によって蓄積されたセキュリティ対策情報のうち、前記未到達カテゴリ抽出手段によって抽出されたカテゴリに対応するセキュリティ対策情報を抽出し、該セキュリティ対策情報にデータとして含まれる実現方法を表示するセキュリティ対策情報表示手段と、
を更に備えることを特徴とする請求項４又は請求項５に記載のセキュリティ診断システム。
【請求項１】
施設のセキュリティ診断において質問の対象となる質問対象毎に、前記質問、該質問に対応する選択肢及び該選択肢に対応するセキュリティレベルを、データとして含む質問情報を蓄積する質問情報蓄積手段と、
前記施設の全体又は各区域とともに、該施設内の前記質問対象を画像として表示する画像表示手段と、
前記質問情報蓄積手段によって蓄積された質問情報のうち、前記画像表示手段によって表示された前記質問対象に対応する質問情報を抽出し、該質問情報にデータとして含まれる質問及び選択肢を表示する質問表示手段と、
表示された選択肢の選択の入力を受け付ける選択肢入力受付手段と、
抽出された前記質問情報から、前記選択肢入力受付手段によって受け付けられた選択の入力に係る選択肢に対応するセキュリティレベルを抽出するセキュリティレベル抽出手段と、
前記セキュリティレベル抽出手段によって抽出されたセキュリティレベルを所定のカテゴリ毎に集約し、集約されたセキュリティレベルに基づいて、該カテゴリ毎に前記施設のセキュリティレベルを算出するセキュリティレベル算出手段と、
を備えることを特徴とするセキュリティ診断システム。
【請求項２】
前記画像表示手段によって表示された質問対象の位置に、該質問対象に関する質問があることを示すアイコンを表示するアイコン表示手段と、
前記アイコンの選択の入力を受け付けるアイコン選択入力受付手段と、
を更に備え、
前記質問表示手段は、前記アイコン選択入力受付手段によって受け付けられた選択の入力を契機として、前記質問情報蓄積手段によって蓄積された質問情報のうち、選択された前記アイコンに係る前記質問対象に対応する質問情報を抽出し、該質問情報にデータとして含まれる質問及び選択肢を表示すること、
を特徴とする請求項１に記載のセキュリティ診断システム。
【請求項３】
前記セキュリティレベル算出手段は、
前記セキュリティレベル抽出手段によって抽出されたセキュリティレベルを、前記質問対象毎に集約し、
前記質問対象毎に集約されたセキュリティレベルのうち、最も高いセキュリティレベルを、各質問対象のセキュリティレベルとして決定し、
前記各質問対象のセキュリティレベルを、診断を行う対象を所定の基準に従って分類したセキュリティ対策項目毎に集約し、
前記セキュリティ対策項目毎に集約されたセキュリティレベルのうち、最も低いセキュリティレベルを、各セキュリティ対策項目のセキュリティレベルとして決定し、
前記各セキュリティ対策項目のセキュリティレベルを、前記カテゴリ毎に集約し、
前記カテゴリ毎に集約されたセキュリティレベルの、該カテゴリ毎の相加平均を算出することで、
前記カテゴリ毎に前記施設のセキュリティレベルを算出すること、
を特徴とする請求項１又は請求項２に記載のセキュリティ診断システム。
【請求項４】
前記カテゴリ毎に、前記施設に関する情報のうち該施設に求められるセキュリティレベルに影響する情報であるセキュリティレベル関連施設情報、及び該セキュリティレベル関連施設情報に対応するセキュリティレベルである水準セキュリティレベルを、データとして含むセキュリティ水準情報を蓄積するセキュリティ水準情報蓄積手段と、
前記施設に関する情報の入力を受け付ける施設情報入力手段と、
入力が受け付けられた前記施設に関する情報が、前記セキュリティレベル関連施設情報
に該当する場合に、該セキュリティレベル関連施設情報に対応する水準セキュリティレベルを抽出する水準セキュリティレベル抽出手段と、
前記水準セキュリティレベル抽出手段によって抽出された水準セキュリティレベルを前記カテゴリ毎に集約し、集約された水準セキュリティレベルに基づいて、該カテゴリ毎に前記施設に推奨されるセキュリティレベルを算出する推奨セキュリティレベル算出手段と、
を更に備えることを特徴とする請求項１から請求項３の何れかに記載のセキュリティ診断システム。
【請求項５】
前記セキュリティレベル算出手段によって算出された前記カテゴリ毎のセキュリティレベル及び前記推奨セキュリティレベル算出手段によって算出された前記カテゴリ毎の推奨されるセキュリティレベルを各軸に表したレーダーチャートを生成し、表示するレーダーチャート表示手段を更に備えることを特徴とする請求項４に記載のセキュリティ診断システム。
【請求項６】
前記カテゴリごとに、前記施設のセキュリティレベルが所定のセキュリティレベルに到達するための実現方法を、データとして含むセキュリティ対策情報を蓄積するセキュリティ対策情報蓄積手段と、
前記セキュリティレベル算出手段によって算出された前記カテゴリ毎のセキュリティレベルと、前記推奨セキュリティレベル算出手段によって算出された前記カテゴリ毎の推奨されるセキュリティレベルを比較することで、前記推奨されるセキュリティレベルを満たしていないカテゴリを抽出する未到達カテゴリ抽出手段と、
前記セキュリティ対策情報蓄積手段によって蓄積されたセキュリティ対策情報のうち、前記未到達カテゴリ抽出手段によって抽出されたカテゴリに対応するセキュリティ対策情報を抽出し、該セキュリティ対策情報にデータとして含まれる実現方法を表示するセキュリティ対策情報表示手段と、
を更に備えることを特徴とする請求項４又は請求項５に記載のセキュリティ診断システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【公開番号】特開２００８−９８１９（Ｐ２００８−９８１９Ａ）
【公開日】平成２０年１月１７日（２００８．１．１７）
【国際特許分類】
【出願番号】特願２００６−１８０９７１（Ｐ２００６−１８０９７１）
【出願日】平成１８年６月３０日（２００６．６．３０）
【出願人】（０００１５２２２８）株式会社内田洋行 (105)
【Ｆターム（参考）】
【公開日】平成２０年１月１７日（２００８．１．１７）
【国際特許分類】
【出願日】平成１８年６月３０日（２００６．６．３０）
【出願人】（０００１５２２２８）株式会社内田洋行 (105)
【Ｆターム（参考）】
[ Back to top ]