セキュリティ評価方法、セキュリティ評価装置
【課題】評価対象のシステムにおいてログ記録を重視すべき部分を判別することができ、ログ記録の配置状況とログ記録評価値合いとの関連について定量的な評価を行うことのできるセキュリティ評価方法及びセキュリティ評価装置を提供する。
【解決手段】ログ記録評価値算出部は、端末ごとに、当該端末において設定されたログ記録十分度（当該端末へのアクセスに対してログ記録をどの程度行うかを示す相対値）と、発生した脅威の数に対する当該端末を通過する脅威の数の割合とを乗算してログ記録の重要性を考慮した第２ログ記録十分度を算出する。また、ログ記録評価値算出部は、各端末Ａ，Ｂについてそれぞれ得られた第２ログ記録十分度を加算し、その加算値を、発生した脅威Ｘが資産情報Ｗに到達するまでの経路全体におけるログ記録の充実度合いであるログ記録評価値として導出する。
【解決手段】ログ記録評価値算出部は、端末ごとに、当該端末において設定されたログ記録十分度（当該端末へのアクセスに対してログ記録をどの程度行うかを示す相対値）と、発生した脅威の数に対する当該端末を通過する脅威の数の割合とを乗算してログ記録の重要性を考慮した第２ログ記録十分度を算出する。また、ログ記録評価値算出部は、各端末Ａ，Ｂについてそれぞれ得られた第２ログ記録十分度を加算し、その加算値を、発生した脅威Ｘが資産情報Ｗに到達するまでの経路全体におけるログ記録の充実度合いであるログ記録評価値として導出する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信ネットワークにおけるセキュリティに関する技術分野であり、特に、セキュリティ対策の導入パターンに係る判断を行うためのセキュリティレベル評価に関するものである。
【背景技術】
【０００２】
近年、電子情報の重要性がますます高まるにつれて、該電子情報を保護するためのセキュリティ対策も重要なものとなっている。セキュリティの一般的な定義の一つに、保護対象の電子情報（以下、資産情報という）の機密性（アクセス権の所有者のみが資産情報にアクセス可能であること）、完全性（資産情報及びその処理が正確かつ完全であることが保証されていること）及び可用性（アクセス許可された利用者が必要なときに資産情報にアクセス可能であること）の３つの要素を満たすことであるというものがあり、資産情報を使用するため又は資産情報を保護するために構成される、セキュリティに対する評価は、これら３要素の侵害防止の程度によって行われることが多い。
【０００３】
ところで、セキュリティレベルが高くなるようにセキュリティ対策を施せば施すほど、セキュリティレベルの点ではより好ましい状態になる。しかし、セキュリティ対策を施さなくてもほとんど資産情報の侵害が発生しない場合（資産情報の侵害につながる脅威の発生頻度が少ない場合）や、仮に資産情報の侵害が発生したとしてもその侵害によって発生する損害は微小な場合（資産情報の価値が小さい場合）などでは、新たなセキュリティ対策の導入や維持に膨大なコストを投じてまでセキュリティ対策を施す必要は無いと考えるのが一般的である。すなわち、セキュリティの評価は、導入コストと導入効果との兼ね合いを考慮することが必要になる。
【０００４】
その際、導入コストは定量的に算出可能な数値であるため、必然的に導入効果についても定量的であることが好ましい。また、セキュリティの評価は、属人的な要素が少なく且つ簡易な方法で行われることが好ましい。なぜなら、属人的である場合、評価者の主観的な情報によって評価結果が大きく変わり得るからであり、それを抑制するためには評価者に高度な知識が要求され、評価者にかかる評価作業の負担が大きくなる。また、評価方法が複雑である場合も、同様に評価者によって評価値が変わったり評価作業の負担が高くなったりする。そして、定性的な評価であるほど属人的な評価結果になるため、定量的であることが必要である。
【０００５】
下記特許文献１には、定性的リスク分析手法で用いる評価項目を合成したデータベースと、データベースの評価項目に入力されたランク値からリスクを算出し、そのリスクからセキュリティポリシーの優先度を算出する技術が開示されている。
【０００６】
下記特許文献２には、複数のセキュリティ対策の名称、各対策のリスク低減率、各対策が有効に機能する情報資産の格納場所、各対策を施すためのコスト等のデータからなる対策定義ファイルを格納する対策定義ファイル格納手段と、キーボード等からなる入力手段から入力された、適用済み又は適用することが決定されている対策の名称を示す適用対策名データと、前記対策定義ファイルとを基に、想定される対策（適用する候補である対策）全てに対して適用済み及び適用を決定した対策がどの程度の充足率であるかを計算する対策充足率算出手段とを備えた情報セキュリティ評価装置が開示されている。
【特許文献１】特開２００２−３５２０６２号公報
【特許文献２】特開２００２−２４５２６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
前述のようにセキュリティ対策を施したとしても、以下のような要因１〜３によって完全には資産情報の侵害が無くなっていない場合が多いというのが現状である。
【０００８】
要因１．ＩＴ（Information Technology）に係る犯罪レベルの高度化や環境変化により、脅威の侵害強度が、セキュリティ対策導入検討時の想定レベルを超越し、セキュリティ対策の性能を上回る場合がある。
【０００９】
要因２．導入コストやユーザビリティとセキュリティレベルとの兼ね合いを考慮して、意図的に部分的にしかセキュリティ対策を施さない場合がある。
【００１０】
要因３．セキュリティ対策にセキュリティホールや設定ミス等の不備が存在する場合がある。
【００１１】
これら要因１〜３に示す場合においては、脅威は完全に防御されず、一部の脅威は資産情報の侵害につながり得ることになる。
【００１２】
そこで、セキュリティ対策を考慮する上で重要な項目として、前述の資産情報の機密性、完全性及び可用性の３要素の侵害防止の程度に関する項目の他に、アクセスや操作等に関するログ記録がある。このログ記録は、ＩＳＯ１５４０８等の認証取得や、ＪＳＯＸ法等の法対応において、セキュリティが十分であることの証明（侵害が無いことの証明）としての位置づけにあり、セキュリティ対策の一つとして以下のような点で大きな意義を有するものである。
【００１３】
・ログ記録が取られていることを周知させることによる脅威発生の抑止効果を期待できる点。
【００１４】
・脅威レベルが導入対策当初の想定レベルを超越したり、セキュリティ対策に不備が存在したり、或いは想定自体に間違いが存在することを感知することで、更なるセキュリティ対策を検討するための情報収集となる点。
【００１５】
・資産情報の侵害発生時に、侵害による損失状況を把握或いは予測することで、損失拡大の防止措置を検討したり、侵害された資産情報についての利害関係を共有する関係者へ迅速に状況報告を行ったりするための情報となる点。
【００１６】
・脅威が人為的なものである場合に、資産情報の侵害者を特定し、教育や訴訟を行えるようにすることができる点。
【００１７】
このように、ログ記録は、侵害防止対策が十分なものであることの証明を行う場合だけでなく、侵害防止対策が十分でない場合においても、非常に重要なセキュリティ対策の一項目になり得ることが判る。そして、ログ記録に対しても、セキュリティ対策の導入の必要性やその必要性の程度を考慮するために、セキュリティ上の効果の程度を評価することが必要となる。ただし、このログ記録の評価として、ログ記録状況が十分であるか否かの定性的なものでは不十分であり、侵害防止の程度と同様に、定量的に評価できること及び属人的な要素が少なくなることが好ましい。
【００１８】
従来のセキュリティ評価方法の１つとして、図１７に示すようなチェックシートによって得られた回答に基づいて評価値を算出する方法が知られている。例えば、大項目「脅威」における中項目「不正ログイン」の小項目「脅威発生頻度」について、選択肢「頻繁に発生」、「たまに発生」、「ほとんど発生しない」が設けられており、評価者がこれらの選択肢の中から当てはまると思う選択肢を選択し、選択された選択肢の統計値に基づいて評価値を算出するものである。しかしながら、この方法では、選択的な記入が行われるため、定性的な評価結果になる。
【００１９】
この評価方法とは別に、図１８に示すように、各セキュリティ手段が有する防御性能値（リスク低減率）に基づいて全体的な防御性能値を算出するものがある。たとえば、図１８に示す例のパターン１では、端末Ａ〜Ｄのうち、端末Ａ、端末Ｂ、端末Ｃでセキュリティ対策が施されているため、パターン１の全体的な防御性能値は、１−（１−端末Ａのリスク低減率）×（１−端末Ｂのリスク低減率）×（１−端末Ｃのリスク低減率）＝１−０．４×０．７×０．１＝９９．９７２と算出されている。この評価方法では、定量的な評価に基づいて、コストとの比較によってどの対策パターンを採用するかを選択することができる。
【００２０】
そこで、ログ記録についてのセキュリティ上の効果の程度を評価するべく、図１８に示す防御性能値を用いたセキュリティ評価方法における「防御性能値」を、各セキュリティ手段においてログ記録がどの程度充実しているかを示すログ記録十分度合いに置換し、各セキュリティ手段におけるログ記録十分度合いの積や和をとることでシステム全体のログ記録評価値を算出する方法が考えられる。
【００２１】
しかしながら、各セキュリティ手段における「ログ記録十分度合い」のみでは、ログ記録を重視する場所や、ログ記録の配置状況とログ記録評価値合との関連について、定量的な評価を行うことができない。
【００２２】
すなわち、例えば図１９に示すように、脅威が端末Ａ或いは端末Ｂに最初に侵入し、端末Ｃ或いは端末Ｄを経て資産情報に到達する構成におけるログ記録評価値を算出する場合、図１８に示すような方法と同様の方法で、端末Ａ〜Ｄの各々のログ記録十分度合いだけを基に全体的な評価値を算出しても、どの端末におけるログ記録が重要であるのかが不明である。例えば、ログ記録の記録容量やログ記録の管理負荷等を考慮して端末Ａ〜Ｄのうちのどれか１つはログ記録を行わないようにしたいと考えても、ログ記録を実行しない対象の端末を端末Ａ〜Ｄのどれにすると、全体としてのログ記録十分度合いの低下を防止又は最も抑制することができるのかということは不明である。
【００２３】
本発明は、これに鑑みてなされたものであり、評価対象のシステムにおいてログ記録を重視すべき部分を判別することができ、ログ記録の配置状況とログ記録評価値合いとの関連について定量的な評価を行うことのできるセキュリティ評価方法及びセキュリティ評価装置を提供する。
【課題を解決するための手段】
【００２４】
請求項１に記載の発明は、通信経路のセキュリティの評価方法であって、評価値算出部が、１又は複数の通信経路について、当該通信経路におけるログ記録の重要性を示す重要度又は該重要度を決定するための第１パラメータの値の入力を受け付ける重要度受付ステップと、前記評価値算出部が、前記１又は複数の通信経路について、当該通信経路におけるログ記録の充実度合いを示すログ記録十分度又は該ログ記録十分度を決定するための第２パラメータの値の入力を受け付けるログ記録十分度受付ステップと、前記評価値算出部が、受け付けた前記重要度又は前記第１パラメータ値及び前記ログ記録十分度又は前記第２パラメータ値に基づき、前記１又は複数の通信経路からなるシステム全体におけるログ記録の充実度合いを示す評価値を算出する評価値算出ステップとを備えるものである。
【００２５】
請求項７に記載の発明は、通信経路のセキュリティの評価装置であって、１又は複数の通信経路について、当該通信経路におけるログ記録の重要性を示す重要度又は該重要度を決定するための第１パラメータの値を入力するための第１の入力部と、前記１又は複数の通信経路について、当該通信経路におけるログ記録の充実度合いを示すログ記録十分度又は該ログ記録十分度を決定するための第２パラメータの値を入力するための第２の入力部と、前記第１及び第２の入力部により入力された前記重要度又は前記第１パラメータ値及び前記ログ記録十分度又は前記第２パラメータ値に基づき、前記１又は複数の通信経路からなるシステム全体におけるログ記録の充実度合いを示す評価値を算出する評価値算出部とを備えるものである。
【００２６】
これらの発明によれば、１又は複数の通信経路について入力された前記重要度又は前記第１パラメータ値及び前記ログ記録十分度又は前記第２パラメータ値に基づき、前記１又は複数の通信経路からなるシステム全体におけるログ記録の充実度合いを示す評価値を算出するようにしたので、評価者は、前記重要度又は第１パラメータの値、ログ記録十分度又は第２パラメータの値及び前記評価値を比較することで、ログ記録を重視すべきシステム上の場所や、ログ記録の配置状況と評価値との関連を定量的に評価することができる。
【００２７】
請求項２に記載の発明は、請求項１に記載のセキュリティの評価方法において、前記通信経路は、受信した情報に対してセキュリティ処理を行う１又は複数の中継点を備えて構成されており、前記重要度受付ステップは、前記評価値算出部が、前記中継点におけるログ記録の重要性を示す重要度の入力を受け付けるステップであり、前記ログ記録十分度入力ステップは、前記評価値算出部が、前記中継点におけるログ記録の充実度合いを示すログ記録十分度の入力を受け付けるステップであり、前記評価値算出ステップは、前記評価値算出部が、受け付けた中継点についての前記重要度及びログ記録十分度に基づいて、該中継点を含む通信経路についてのログ記録十分度を算出するステップと、この算出したログ記録十分度に基づき、前記システム全体におけるログ記録の充実度合いを示す評価値を算出するステップとを含むものである。
【００２８】
請求項３に記載の発明は、請求項１または２に記載のセキュリティの評価方法において、前記中継点は、前記セキュリティプログラムを搭載した端末である。
【００２９】
請求項２及び３に記載の発明によれば、ログ記録を重視すべきシステム上の場所や、ログ記録の配置状況と評価値との関連について、より詳細に定量的な評価を行うことができる。
【００３０】
請求項４に記載の発明は、請求項３に記載のセキュリティの評価方法において、前記重要度及び第１パラメータ値は、端末に搭載されたセキュリティプログラムの脆弱性に基づく値を含むものである。
【００３１】
請求項５に記載の発明は、請求項４に記載のセキュリティの評価方法において、前記セキュリティプログラムの脆弱性は、当該セキュリティプログラムの防御性能値に基づくものである。
【００３２】
請求項４及び５に記載の発明によれば、セキュリティプログラムの脆弱性が高いほど（セキュリティプログラムの防御性能値が小さいほど）、当該中継点でのログ記録の重要性が高いことから、前記各通信経路における重要度をセキュリティプログラムの脆弱性に応じて設定することで、ログ記録の導入コストに対して効率的に高い評価値を得ることが可能となる。
【００３３】
請求項６に記載の発明は、請求項１ないし５のいずれかに記載のセキュリティの評価方法において、前記重要度及び第１パラメータ値は、セキュリティの起動頻度及び該セキュリティの失敗頻度のうち少なくとも一方を含むものである。
【００３４】
この発明によれば、セキュリティの起動頻度及び該セキュリティの失敗頻度が大きいほど、当該通信経路でのログ記録の重要性が高いことから、前記前記重要度及び第１パラメータ値が、セキュリティの起動頻度及び該セキュリティの失敗頻度のうち少なくとも一方を含むようにすることで、ログ記録の導入コストに対して効率的に高い評価値を得ることが可能となる。
【発明の効果】
【００３５】
本発明によれば、評価者は、前記重要度又は第１パラメータの値、ログ記録十分度又は第２パラメータの値及び前記評価値を比較することで、ログ記録を重視すべきシステム上の場所や、ログ記録の配置状況と評価値との関連を定量的に評価することができる。
【発明を実施するための最良の形態】
【００３６】
以下、本発明に係るセキュリティ評価方法及びセキュリティ評価装置の実施形態について説明する。図１は、本発明の第１の実施形態を示す図である。
【００３７】
図１に示すように、本実施形態では、パーソナルコンピュータからなる端末Ａ，Ｂを通過して、脅威Ｘが、端末Ｂにより格納及び管理されている資産情報Ｗに到達する状況を想定する。資産情報Ｗとは、個人情報、データベース、会社の機密情報、システム運用のために重要となる管理情報、ソフトウェアなどの電子情報を総称したものをいい、脅威Ｘとは、このような資産情報Ｗを格納する端末等の格納部から、該資産情報Ｗを消去したり、害資産情報Ｗを改変したり、他の不特定の端末に送信したり（ばらまいたり）、或いは前記資産情報Ｗを不正に取得したり、端末の動作を妨害したりするコンピュータウィルス、不正アクセス（成り済まし）やＤｏｓ攻撃等の資産情報Ｗを侵害するものをいう。
【００３８】
端末Ａ，Ｂは、例えば図２（ａ）に示すように、キーボード及びマウス等からなる入力部２と、各種画面を表示する表示部３と、制御部４とを備えて構成されている。制御部４は、それぞれ制御プログラム等を記憶するＲＯＭ、一時的にデータを格納するＲＡＭ、及び制御プログラム等をＲＯＭから読み出して実行する中央演算処理装置等からなり、該制御部４が所定の記憶部から供給されるセキュリティプログラムにより、端末Ａはセキュリティ部Ａとしての機能が、また、端末Ｂはセキュリティ部Ｂとしての機能がそれぞれ搭載されている。なお、図２（ａ）では、セキュリティ部Ａ，Ｂをセキュリティ部５と表している。
【００３９】
端末Ａに搭載されているセキュリティ部Ａは、例えばＩＰ（Internet Protocol）アドレスやアクセス内容（資産情報Ｗの操作内容や資産情報Ｗに対するアクセス頻度）に基づくフィルタリング（与えられたデータ（ＩＰアドレスやアクセス内容）に対して、指定した条件に合致するものだけを抜き出す処理）を行うものである。端末Ｂに搭載されているセキュリティ部Ｂは、例えば個人認証やファイルアクセス管理等を行うものである。以下、説明の簡単化のため、本実施形態では、脅威Ｘは不正アクセス、セキュリティ部Ｂは個人認証であるものとする。なお、セキュリティ部Ａ，Ｂは、前記フィルタリングや個人認証以外のセキュリティ機能、たとえばデバイスの論理的認証（たとえばＩＰアドレス等の認証）や物理的認証（たとえばＭＡＣアドレス等の認証）、アンチウィルスソフトによる処理、あるいは通信装置の暗号化等のセキュリティ機能を有するものでも良い。これらの処理は、前記セキュリティ処理に相当する。
【００４０】
このように端末Ａにセキュリティ部Ａを搭載し該セキュリティ部ＡによりＩＰアドレスやアクセス内容のフィルタリングを行うようにしても、アクセス内容が正規のアクセスとの間に差がほとんどなかったりＩＰアドレスが詐称されたりすることで、一部の不正アクセスはセキュリティ部Ａでは防御し切れず、資産情報Ｗに対する不正アクセスが成功する場合が考えられる。また、端末Ｂにセキュリティ部Ｂを搭載し該セキュリティ部Ｂにより個人認証を行うようにしても、認証パスワードの漏洩や推測によって一部の不正アクセスは防御し切れず、資産情報Ｗに対する不正アクセスが成功する場合が考えられる。
【００４１】
このような不正アクセスの成功がどの程度なされおり、前記不正アクセスをどの程度防御できているのかは、過去の統計量やセキュリティ部Ａ，Ｂのアルゴリズム等に基づいて評価者が設定することができる。例えば、利用者に対して実験的に故意に不正アクセスを促した場合に成功した事例の計数値に基づいて評価者が設定したり、或いは、セキュリティ部Ａで防御された脅威数と防御されずにセキュリティ部Ａを通過して後段のセキュリティ部Ｂで検出された脅威数との比率や、セキュリティ部Ａ、Ｂを製品として販売している企業や公的機関による開示情報（例えばセキュリティ部Ａ，Ｂがアンチウィルスソフトである場合には、ウィルス発生総数と新規ウィルス被害件数等が開示されている場合がある）を用いることで統計的な数値に基づいて評価者が設定したりすることが可能である。また、個人認証に用いる暗証番号が単純な４桁数字の暗証番号である場合には、暗証番号のパターンは１００００通りしかないため、暗証番号の漏洩が無かったとしても１／１００００の確率で認証が成功することになるため、この成功率に基づいて設定したり、また、個人認証に用いる暗証番号が誕生日である場合にはなり済ましは確実に行われるものと想定した場合には、誕生日を暗証番号に設定している利用者の数を調査し、その割合を設定したりすることが可能である。
【００４２】
図１に示すように、各端末Ａ，Ｂに設定された防御確率は、このような方法によって設定された各セキュリティ部Ａ，Ｂにおける不正アクセスの防御性能を表す数値の一例であり、前記各セキュリティ部Ａ，Ｂの脆弱性を示す指標の一例である。なお、前記防御性能を表す数値は、防御確率以外に、例えば複数の段階にレベル分けされた防御レベルなどがある。また、前記脆弱性とは、一般的に、コンピュータやネットワークなどの情報システムにおいて、第三者が保安上の脅威となる行為に利用できる可能性のあるシステム上の欠陥や仕様上の問題点をいい、本実施形態におけるセキュリティ部Ａ，Ｂの脆弱性とは、当該セキュリティ部を前記脅威が通過しうるプログラム上の欠陥や仕様上の問題点をいう。
図１では、セキュリティ部Ａの防御確率が０．２（端末Ａに侵入した脅威Ｘが８０％の確率で端末Ａを通過する）、セキュリティ部Ｂの防御確率が０．７（端末Ｂに侵入した脅威Ｘが３０％の確率で端末Ｂを通過する）となっている。
【００４３】
この場合、発生頻度α（例えば１ヶ月あたりに発生する脅威Ｘの件数）で発生する脅威Ｘのうち、防御確率０．２のセキュリティ部Ａにより０．２α（件）の脅威Ｘは防御されるが、残りの０．８α（件）の脅威Ｘは端末Ａを通過する。また、この０．８α（件）の脅威Ｘのうち、防御確率０．７のセキュリティ部Ｂにより０．８α×０．７（件）の脅威Ｘは防御されるが、残りの０．８α×（１−０．７）＝０．２４αは端末Ｂを通過し資産情報Ｗに到達することとなる。すなわち、端末Ａ及び端末Ｂを含む通信経路では、脅威Ｘは（１−０．２）×（１−０．７）＝０．２４の確率で資産情報Ｗに到達することになり、このとき、該通信経路の防御確率は１−０．２４＝０．７６であるということになる。
【００４４】
このように、各端末Ａ，Ｂにセキュリティ部Ａ，Ｂを搭載したとしても、脅威Ｘは完全に防御されず、一部の脅威Ｘは資産情報Ｗの侵害につながり得ることになることに鑑みて、本実施形態では、ログ記録をセキュリティ対策の一手段として採用している。ログ記録は、通信状況や端末の利用状況等の記録を行うことであり、その記録対象は、例えば送信元、宛先、時刻、ＩＰアドレス、ポート番号、ＩＤ、パスワード等がある。
【００４５】
ここで、ログ記録は、セキュリティ部Ａやセキュリティ部Ｂで防御できない脅威Ｘに対して特に有効なものであるから、各端末Ａ，Ｂにおいて、当該端末に対して行われたアクセスに対してログ記録をどの程度行うかによっても、セキュリティ上の効果が変化するものと考えられる。
【００４６】
本実施形態では、当該端末へのアクセスに対してログ記録をどの程度行うかを示す相対値（以下、ログ記録十分度という）を評価者が設定できるように構成されている。例えば全てのアクセスに対してログ記録を行う場合のログ記録十分度の値を「１」、全てのアクセスに対してログ記録を行わない場合のログ記録十分度の値を「０」とするものとすると、例えば図１では、端末Ａは全てのアクセスに対してログ記録を行い、端末Ｂは、全てのアクセスに対してログ記録を行わないように、評価者によって設定されていることを示している。
【００４７】
また、ログ記録十分度の設定パターンの他の例として、図４では、端末Ａのログ記録十分度が「０」、端末Ｂのログ記録十分度が「１」と設定されている例を示し、図５では、端末Ａのログ記録十分度も端末Ｂのログ記録十分度も「１」と設定されている例を示している。
【００４８】
なお、本実施形態では、ログ記録十分度を示す数値として、ログ記録を実行する場合を示す「１」と、ログ記録を実行しない場合を示す「０」との２値を採用し、デジタル的にログ記録十分度を表すようにしたが、これに限らず、例えば図６に示すように、「０．１」とか「０．４」等のように、アナログ的にログ記録十分度を表すようにしてもよい。
【００４９】
この場合、例えば、全てのアクセスにおいて例えば１０回ごとに１回の割合でログ記録を行う場合には０．１とするというように、全てのアクセスのうち一部のアクセスに対してログ記録を行うようにした場合の、ログ記録を行う対象のアクセスの数のアクセス総数に対する割合をログ記録十分度として設定してもよいし、タイムスタンプ、ＩＰアドレス、アカウント、コマンド、アクセス対象データ等の項目の中から記録対象に設定する割合に基づいてログ記録十分度を設定してもよい。また、単に、ログ記録回数や記録データ量などの数値をログ記録十分度に設定してもよい。さらには、過去の経験や計測データ、企業・公的機関・研究機関の開示情報に基づいてログ記録十分度を設定してもよいし、更には、評価者の知識に基づく感覚的な値をログ記録十分度として設定してもよい。
【００５０】
このようなログ記録は、前述したように、セキュリティ部Ａやセキュリティ部Ｂで防御できなかった脅威Ｘに対して特に有効なものであるから、セキュリティ部で防御できない脅威Ｘの数が多いほど、該セキュリティ部を搭載する端末におけるログ記録の重要性が高い。すなわち、防御性能（防御確率）は、当該端末におけるログ記録の重要性を表す１パラメータである。
【００５１】
そのため、本実施形態では、端末ごとに、ログ記録の重要性を考慮（加味）したログ記録十分度を算出するとともに、これらのログ記録十分度に基づき、発生した脅威Ｘが資産情報Ｗに到達するまでの経路全体におけるログ記録の充実度合い（以下、ログ記録評価値という）を算出するようにしている。
【００５２】
すなわち、図２に示すように、端末Ａ，Ｂは、制御部４が所定の記憶部から供給されるセキュリティ評価プログラムにより、ログ記録評価値算出部１としての機能がそれぞれ搭載されている。ログ記録評価値算出部１は、図２（ｂ）に示すように、入出力制御プログラムに基づいて制御部４により実現される、入力部２による入力情報を取り扱う入出力制御部６との間で通信可能に構成されており、当該端末に入力されたログ記録十分度と前記防御確率とを用いてログ記録評価値を算出するものである。以下、ログ記録評価値の具体的な算出方法について説明する。
【００５３】
ログ記録評価値算出部１は、各端末Ａ、Ｂにおいてそれぞれ設定されたログ記録十分度と、発生した脅威Ｘの数に対する当該端末を通過する脅威Ｘの数の割合とを乗算する。すなわち、ログ記録評価値算出部１は、図３に示すように端末Ａ，Ｂに対するログ記録十分度が設定されている場合、端末Ａについては、当該端末Ａに設定されたログ記録十分度「１」と、発生した脅威Ｘの数に対して当該端末Ａを通過する脅威Ｘの数の割合「０．８（＝１−０．２）」とを乗算した「０．８」を導出する。また、ログ記録評価値算出部１は、端末Ｂについては、当該端末Ｂに設定されたログ記録十分度「０」と、発生した脅威Ｘの数に対して当該端末Ｂを通過する脅威Ｘの数の割合「０．８×（１−０．７）」とを乗算した「０」を導出する。これらの乗算値は、当該端末におけるログ記録の重要度（重み）を考慮したログ記録十分度であり、以下、これを第２ログ記録十分度というものとする。
【００５４】
そして、ログ記録評価値算出部１は、各端末Ａ，Ｂについてそれぞれ得られた第２ログ記録十分度を加算し、その加算値をログ記録評価値として導出する。図３に示す例では、前記加算値「０．８」がログ記録評価値として導出される。
【００５５】
同様に、図４に示すように各セキュリティ部Ａ，Ｂに対するログ記録十分度が設定されている場合、ログ記録評価値算出部１は、端末Ａについては、当該端末Ａに設定されたログ記録十分度「０」と、発生した脅威Ｘの数に対して当該端末Ａを通過する脅威Ｘの数の割合「０．８（＝１−０．２）」とを乗算した「０」を第２ログ記録十分度として導出するとともに、端末Ｂについては、当該端末Ｂに設定されたログ記録十分度「１」と、発生した脅威Ｘの数に対して当該端末Ｂを通過する脅威Ｘの数の割合「０．８×（１−０．７）」とを乗算した「０．２４」を第２ログ記録十分度として導出し、これらの第２ログ記録十分度の和「０．２４」をログ記録評価値として導出する。
【００５６】
また、図５に示すように各端末Ａ，Ｂに対するログ記録十分度が設定されている場合、ログ記録評価値算出部１は、端末Ａについては、当該端末Ａに設定されたログ記録十分度「１」と、発生した脅威Ｘの数に対して当該端末Ａを通過する脅威Ｘの数の割合「０．８（＝１−０．２）」とを乗算した「０．８」を第２ログ記録十分度として導出するとともに、端末Ｂについては、当該端末Ｂに設定されたログ記録十分度「１」と、発生した脅威Ｘの数に対して当該端末Ｂを通過する脅威Ｘの数の割合「０．８×（１−０．７）」とを乗算した「０．３」を第２ログ記録十分度として導出し、これらの第２ログ記録十分度の和「１．０４」をログ記録評価値として導出する。
【００５７】
本実施形態によれば、評価者は、各端末Ａ，Ｂに対してそれぞれ設定したログ記録十分度についての複数の設定パターン、例えば図３〜図５に示すログ記録十分度の各設定パターンについて算出したログ記録評価値を互いに比較することで、費用対効果を考慮しながらログ記録十分度の設定パターンを選択することができる。
【００５８】
すなわち、図３に示すログ記録十分度の設定パターンにおけるログ記録評価値「０．８」は、図４に示すログ記録十分度の設定パターンにおけるログ記録評価値「０．２４」より大幅に大きいので、評価者は、図３に示すログ記録十分度の設定パターンの方がより効率的に脅威Ｘを抑止できると判別することができる。また、図５に示すログ記録十分度の設定パターンにおけるログ記録評価値「１．０４」は、図３に示すログ記録十分度の設定パターンにおけるログ記録評価値「０．８」より大きいので、評価者は、図５に示すログ記録十分度の設定パターンの方が、より効率的に脅威Ｘを抑止できると判別することができる。さらに、評価者は、図５に示すログ記録十分度の設定パターンにおけるログ記録評価値「１．０４」と、図３に示すログ記録十分度の設定パターンにおけるログ記録評価値「０．８」との差「０．２４」について、導入コストとの兼ね合いから効率的なものであるか否かを判断し、図３に示すログ記録十分度の設定パターンを採用するか、図５に示すログ記録十分度の設定パターンを採用するかの判断を行うことができる。
【００５９】
このようなログ記録表価値の設定作業は、表示部３に表示される例えば図７に示す画面Ｄにおいて行うことができる。図７に示す画面Ｄは、端末の種類を設定し設定した端末を表示する端末設定／表示部７と、端末設定／表示部７で設定した端末について、防御確率、ログ記録十分度、第２ログ記録十分度の各項目についての数値を設定し設定した各数値を表示する数値設定／表示部８と、数値設定／表示部８により設定した各項目の数値に基づいて前記ログ記録評価値算出部１により算出されたログ記録評価値を表示するログ記録評価値表示部９とを備える。数値設定／表示部８において、前記各項目についての数値を設定した後、演算ボタン１０に対して操作を行うことで、ログ記録評価値算出部１により算出されたログ記録評価値がログ記録評価値表示部９に表示される。
【００６０】
なお、前記画面Ｄにおける「演算」ボタン１０は、評価者が端末にログ記録評価値の演算を指示するためのボタンであり、「更新」ボタン１１は、設定した端末を更新する指示を端末に入力するためのボタンであり、「保存」ボタン１２は、入力した防御確率及びログ記録十分度や算出されたログ記録評価値を当該端末に記憶させる指示を端末に入力するためのボタンであり、「印刷」ボタン１３は、画面Ｄをプリントアウトする指示を端末に入力するためのボタンであり、「終了」ボタン１４は、当該画面Ｄの起動を終了するためのボタンであり、「キャンセル」ボタン１５は、端末設定／表示部７に入力した端末を取り消す指示を入力するためのボタンである。
【００６１】
図８は、前記入出力制御部６及びログ記録評価値算出部１の処理を示すフローチャートである。
【００６２】
図８に示すように、入出力制御部６は、評価者により例えば図７に示す画面において端末設定の項目に対して入力が行われ（ステップ♯１）、図７に示す画面Ｄの更新ボタン１１の押下を検出すると（ステップ♯２でＹＥＳ）、その検出信号及び入力内容を示す情報をログ記録評価値算出部１に送信する。
【００６３】
ログ記録評価値算出部１は、前記検出信号及び入力内容を示す情報を受信すると（ステップ♯１１でＹＥＳ）、前記入力内容を示す情報に基づいて設定処理を行い（ステップ♯１２）、その設定処理が完了すると、その旨を報知する信号を入出力制御部６に出力する（ステップ♯１３）。
【００６４】
入出力制御部６は、その報知信号を受信すると（ステップ♯３でＹＥＳ）、評価者により防御確率及びログ記録十分度の入力が行われるのを待機する。入出力制御部６は、評価者により防御確率及びログ記録十分度の入力が行われ（ステップ♯４）、演算ボタン１０の押下を検出すると（ステップ♯５でＹＥＳ）、その検出信号及びステップ♯４での入力内容を示す情報をログ記録評価値算出部１に送信する。
【００６５】
ログ記録評価値算出部１は、前記検出信号及びステップ♯４での入力内容を示す情報を受信すると（ステップ♯１４でＹＥＳ）、前記検出信号及びステップ♯４での入力内容を示す情報に基づきログ記録評価値の演算を行い（ステップ♯１５）、第２ログ記録十分度等の中間算出値とログ記録評価値とを入出力制御部６に送信する（ステップ♯１６）。
【００６６】
入出力制御部６は、第２ログ記録十分度等の中間算出値とログ記録評価値を受信すると（ステップ♯６でＹＥＳ）、第２ログ記録十分度やログ記録評価値を表示部３に表示させる（ステップ♯７）。
【００６７】
以上のように、本実施形態では、各端末に設定された防御確率を、当該端末におけるログ記録の重要度を表す１パラメータとし、当該端末に設定された防御確率及びログ記録十分度に基づき、前記重要度を考慮したログ記録十分度（前記第２ログ記録十分度）を算出し、各端末についての第２ログ記録十分度に基づいてログ記録評価値を算出する構成を実現したので、評価者は、前記防御確率、ログ記録十分度、第２ログ記録十分度及びログ記録評価値についての複数のパターンを比較することで、ログ記録を重視すべきシステム上の場所や、ログ記録の配置状況と評価値との関連を定量的に評価することができる。その結果、評価者は、導入コストとの兼ね合いに応じて、最適なログ記録の配置状況を設定することができる。
【００６８】
本件は、前記第１の実施形態に限らず、該第１の実施形態に代えて、またはそれに加えて次の変形形態も採用可能である。
【００６９】
［１］前記第１の実施形態では、ログ記録の重要度を表す１パラメータとして防御確率を設定し、セキュリティ部Ａ，Ｂごとに設定された防御確率に基づいて端末Ａ，Ｂにおけるログ記録の重要度を設定したが、ログ記録の重要度を表す他のパラメータとして、当該端末を通過する脅威Ｘの頻度を設定してもよい。
【００７０】
第１の実施形態のように、防御確率をログ記録の重要度を表す１パラメータとして採用する場合、脅威Ｘがどの程度の頻度で発生するのかに関係なく、その脅威Ｘが発生した場合にどの程度の割合で防御されることなく当該端末を通過するのかを数値化したものがログ記録の重要度に影響を与えるという考えに基づくものであるのに対して、当該端末を通過する脅威Ｘの頻度をログ記録の重要度を表す１パラメータとして設定した場合、脅威Ｘの発生数の多少に関係なく、結果的に当該端末を通過する頻度がログ記録の重要度に影響を与えるという考えに基づくものである。
【００７１】
この場合、例えば図９に示すように、評価者は、端末ごとに通過する脅威Ｘの頻度を設定する。図９では、脅威Ｘが端末Ａを通過する頻度が１ヶ月当たり６件と設定され、脅威Ｘが端末Ｂを通過する頻度が１ヶ月当たり２件と設定された例を示している。この場合、ログ記録評価値算出部１は、各端末Ａ，Ｂについての第２ログ記録十分度を、当該端末に設定されたログ記録十分度と脅威Ｘが当該端末を通過する頻度との積により算出し、それらの乗算値の和６×０．１＋２×０．４＝１．４を、この経路におけるログ記録評価値として算出する。
【００７２】
本実施形態によれば、実際に脅威Ｘが当該端末をどのくらいの頻度で通過するかを加味してログ記録評価値を算出することができるとともに、図９に示すようなシステムのモデル化を厳密に行わなくても重要度の設定を行いやすいというメリットがある。
【００７３】
［２］脅威Ｘが資産情報Ｗに到達する経路が複数存在する場合には、経路ごとにログ記録の重要度を設定し、設定した各重要度に基づきログ記録評価値を算出するようにしてもよい。今、図１０に示すように、端末Ａ，Ｂの後段に端末Ｃ，Ｄが存在し、脅威Ｘが端末Ａ又は端末Ｂを通過した後、端末Ｃ又は端末Ｄを経て資産情報Ｗに到達する場合について説明する。なお、端末Ａにはセキュリティ部Ａが、端末Ｂにはセキュリティ部Ｂが、端末Ｃにはセキュリティ部Ｃが、端末Ｄにはセキュリティ部Ｄがそれぞれ搭載されているものとする。
【００７４】
図１０に示す構成においては、脅威Ｘが端末Ａ及び端末Ｃを通過して資産情報Ｗに到達する経路１、脅威Ｘが端末Ｂ及び端末Ｃを通過して資産情報Ｗに到達する経路２、脅威Ｘが端末Ａ及び端末Ｄを通過して資産情報Ｗに到達する経路３、脅威Ｘが端末Ｂ及び端末Ｄを通過して資産情報Ｗに到達する経路４が想定される。このように経路別に分けて表したモデルを図１１に示す。
【００７５】
図１０に示す構成において、発生する脅威Ｘのうち８０（％）の脅威Ｘは端末Ａから侵入を試み、残りの２０（％）の脅威Ｘは端末Ｂから侵入を試みる場合を想定する。このとき、端末Ａを通過する脅威Ｘは、端末Ａに施された防御確率「０．２」のセキュリティ部Ａによって防御されるので、αの頻度で発生する脅威Ｘに対して、０．８α×（１−０．２）＝０．６４αの頻度で端末Ａを通過すると予測される。また、この０．６４αの脅威Ｘのうち７０（％）の脅威Ｘ（０．４４８αの脅威）は端末Ｃに向かうと想定される。さらに、０．４４８αの脅威Ｘのうち端末Ｃを通過する脅威Ｘは、端末Ｃに施された防御確率「０．３」のセキュリティ部Ｃによって防御されるので、０．４４８αの頻度で端末Ｃに侵入する脅威Ｘに対して、０．３１３６α（＝０．６４α×０．７×０．７）の頻度で脅威Ｘが端末Ｃを通過すると予測される。
【００７６】
一方、端末Ｂを通過する脅威Ｘは、端末Ｂに施された防御確率「０．５」のセキュリティ部Ｂによって防御されるので、αの頻度で発生する脅威Ｘに対して、０．２α×（１−０．５）＝０．１αの頻度で端末Ｂを通過すると予測される。また、この０．１αの脅威Ｘのうち６０（％）の脅威（Ｘ０．０６αの脅威）は、端末Ｃに向かうと想定される。さらに、０．０６αの脅威Ｘのうち端末Ｃを通過する脅威Ｘは、端末Ｃに施された防御確率「０．３」のセキュリティ部Ｃによって防御されるので、０．０６αの頻度で端末Ｃに侵入する脅威Ｘに対して、０．０４２α（０．１α×０．６×０．７）の頻度で端末Ｃを通過すると予測される。
【００７７】
したがって、図１０に示す構成において、端末Ｃを通過して資産情報Ｗに向かう脅威Ｘは、０．３１３６α＋０．０４２α＝０．３５５６αの頻度で発生するものと予測される。同様にして、端末Ｄを通過して資産情報Ｗに向かう脅威Ｘも算出することができる。なお、以上のようにして求めた各端末Ａ〜Ｄを通過する脅威Ｘの到達頻度を図１１，図１２に示す。図１１を参照すると、各経路１〜４のうち、経路１が資産情報Ｗに到達する脅威Ｘの数が最も多く、経路４が資産情報Ｗに到達する脅威Ｘの数が最も少ないことが判る。
【００７８】
ここで、図１０に示す構成におけるログ記録の評価を行うことを考える。各経路１〜４における脅威Ｘの到達頻度は、
経路１：０．３１３６α
経路２：０．１３４４α
経路３：０．０４９α
経路４：０．０２１α
である。
【００７９】
本実施形態では、これらの各経路１〜４における脅威Ｘの到達頻度をログ記録の重要度として設定し、ログ記録評価値算出部１は、この重要度と各端末Ａ〜Ｄに設定されたログ記録十分度とを用いて、経路ごとに第２ログ記録十分度を算出する。
【００８０】
まず、各端末において、ログ記録を完全にとる場合のログ記録十分度「１」と表すとき、完全にログ記録をとる端末のみで構成される経路についてのログ記録十分度も「１」と表されるべきである。この点から、当該経路についてのログ記録十分度を、各端末についてのログ記録十分度の平均により算出する。すなわち、経路１についてのログ記録十分度は、端末Ａのログ記録十分度「０．９」と端末Ｃのログ記録十分度「０．６」との平均値「０．７５」となる。同様にして、経路２についてのログ記録十分度は、端末Ａのログ記録十分度「０．９」と端末Ｄのログ記録十分度「０．４」との平均値「０．６５」となり、経路３についてのログ記録十分度は、端末Ｂのログ記録十分度「０．３」と端末Ｃのログ記録十分度「０．６」との平均値「０．４５」となり、経路４についてのログ記録十分度は、端末Ｂのログ記録十分度「０．３」と端末Ｄのログ記録十分度「０．４」との平均値「０．３５」となる。
【００８１】
次に、ログ記録評価値算出部１は、各端末Ａ〜Ｄについてのログ記録十分度と当該端末におけるログ記録の重要度（本実施形態では、脅威Ｘの発生頻度）との積により、各経路１〜４についての第２ログ記録十分度を次のように算出する。
経路１：０．３１３６α×０．７５＝０．２３５２α
経路２：０．１３４４α×０．６５＝０．０８７３６α
経路３：０．０４９α×０．４５＝０．０２２０５α
経路４：０．０２１α×０．３５＝０．００７３５α
【００８２】
そして、ログ記録評価値算出部１は、各経路１〜４についての第２ログ記録十分度の加算値０．３５１９６αをログ記録評価値として算出する。
【００８３】
本実施形態によれば、各端末Ａ〜Ｄについてのログ記録十分度を以上のように設定した場合には、ログ記録評価値は０．３５１９６αとなるが、例えば、いずれかの端末でログ記録を行わないようにした場合のログ記録評価値を前述と同様の方法により算出し、その算出結果と前記ログ記録評価値０．３５１９６αとを比較することで、ログ記録を行わないようにした端末でのログ記録の必要性を判断することができる。
【００８４】
例えば、前記算出結果が前記ログ記録評価値０．３５１９６αとほとんど変わらない場合には、ログ記録を行わないようにした端末ではログ記録の必要性は低い又は費用対効果が低いと考えられることから、評価者は、その端末ではログ記録を行わないようにすると判断することができる一方、前記算出結果が前記ログ記録評価値０．３５１９６αより大幅に小さくなった場合には、ログ記録を行わないようにした端末ではログ記録の必要性は高いと考えられることから、評価者は、その端末ではログ記録を行うと判断することができる。
【００８５】
また、ログ記録十分度の値を変更したり、或いは複数の端末間でログ記録十分度の値の入れ替えを行ったりした場合のログ記録評価値を、前述と同様の方法により算出し、その算出結果と前記ログ記録評価値０．３５１９６αとを比較することで、ログ記録十分度の値を変更したり、或いは複数の端末間で入れ替えたりした端末におけるログ記録の重要性を判断することができる。
【００８６】
なお、本実施形態では、各経路についてのログ記録十分度を、当該経路上に設置された端末についてのログ記録十分度の平均により算出するようにしたが、これに限られない。また、各端末に設定されたログ記録十分度に基づいて経路についてのログ記録十分度を算出する形態に限らず、各経路で得られた過去のログ記録十分度をそのまま各経路についてのログ記録十分度として設定したり、そのログ記録十分度をベースにして種々の状況を考慮して修正した値を各経路についてのログ記録十分度として設定したりする等、経験等に基づいて経路についてのログ記録十分度を導出する、換言すると、各経路で得られた過去のログ記録十分度に基づいて各経路についてのログ記録十分度として設定するようにしてもよい。
【００８７】
また、脅威Ｘの発生頻度αをログ記録の重要度を表す１パラメータとして採用したが、この発生頻度αを考慮しないで重要度を設定してもよい。評価者が、発生頻度αを考慮したログ記録評価値を要求するか、発生頻度αを考慮しないログ記録評価値を要求するかに応じて、脅威Ｘの発生頻度αを考慮して重要度を設定するか、脅威Ｘの発生頻度αを考慮しないで重要度を設定するかを決定するとよい。
【００８８】
また、図１３に示すように、複数の経路からなる集合体を１つの経路とみなし、各セキュリティ部についてのログ記録十分度をそれぞれ設定しないで、この経路におけるログ記録の重要度を設定するようにしてもよい。図１３は、脅威Ｘが端末Ａ，Ｃを通過して資産情報Ｗに到達する経路と、脅威Ｘが端末Ａ，Ｄを通過して資産情報Ｗに到達する経路と、脅威Ｘが端末Ｂ，Ｃを通過して資産情報Ｗに到達する経路と、脅威Ｘが端末Ｂ，Ｄを通過して資産情報Ｗに到達する経路との４つの経路の集合体を経路１として設定し、また、脅威Ｘが端末Ｅ，Ｆを通過して資産情報Ｗに到達する経路を経路２として設定されていることを示している。
【００８９】
これによれば、各セキュリティ部についてそれぞれログ記録十分度を設定する場合に比して、ログ記録十分度等の設定項目の数を低減することができるため、評価者の負担を軽減することができる。
【００９０】
［３］前記変形形態［２］では、或る端末から後段の端末に向かう経路が複数存在する場合に、経路ごとに、当該経路を通る脅威Ｘの通過頻度を考慮してログ記録評価値を算出するようにしたが、次に説明するように、経路ごとに、当該経路を通る脅威Ｘの通過頻度を考慮しないでログ記録評価値を算出するようにしてもよい。
【００９１】
ここでは、図１４に示すように、セキュリティ部Ａ〜Ｇを備えた端末Ａ〜Ｇを有し、脅威Ｘが端末Ａ，Ｃ，Ｅを通過して資産情報Ｗに到達する経路１と、脅威Ｘが端末Ａ，Ｆを通過して資産情報Ｗに到達する経路２と、脅威Ｘが端末Ｂ，Ｄ，Ｆを通過して資産情報Ｗに到達する経路３と、脅威Ｘが端末Ｂ，Ｄ，Ｇを通過して資産情報Ｗに到達する経路４とを備えた構成を想定する。このように経路別に分けて表したモデルを図１５に示す。
【００９２】
また、端末Ａの防御確率は０．９、ログ記録十分度は０．８、端末Ｂの防御確率は０．７、ログ記録十分度は０．０、端末Ｃの防御確率は０．８、ログ記録十分度は０．９、端末Ｄの防御確率は０．４、ログ記録十分度は１．０、端末Ｅの防御確率は０．５、ログ記録十分度は０．７、端末Ｆの防御確率は０．３、ログ記録十分度は０．０、端末Ｇの防御確率は０．８、ログ記録十分度は０．８とし、図１４に示す構成において、発生する脅威Ｘのうち７０（％）の脅威Ｘは端末Ａから侵入を試み、残りの３０（％）の脅威Ｘは端末Ｂから侵入を試みる場合を想定する。
【００９３】
このような構成において、本実施形態のログ記録評価値算出部１は、経路ごとに、脅威Ｘが資産情報Ｗに到達する確率を、防御確率を用いて算出する。すなわち、ログ記録評価値算出部１は、経路１については、発生した脅威Ｘが端末Ａに侵入する割合０．７と、端末Ａ，Ｃ，Ｅが脅威Ｘを防御できない確率０．１（＝１−０．９），０．２（＝１−０．８），０．４（＝１−０．６）とを乗算し、脅威Ｘが経路１を通過する確率０．００５６を経路１におけるログ記録の重要度として算出する。
【００９４】
同様の算出方法により、ログ記録評価値算出部１は、脅威Ｘが経路２を通過する確率０．０４９を経路２におけるログ記録の重要度として算出し、脅威Ｘが経路３を通過する確率０．０３７８を経路３におけるログ記録の重要度として算出し、脅威Ｘが経路４を通過する確率０．０１０８を経路４におけるログ記録の重要度として算出する。
【００９５】
一方、ログ記録評価値算出部１は、経路１上に設置されている各端末Ａ，Ｃ，Ｅのログ記録十分度０．８，０．９，０．７の平均値０．８を、当該経路１についてのログ記録十分度として算出する。同様の算出方法により、ログ記録評価値算出部１は、経路２上に設置された各端末Ａ，Ｆのログ記録十分度０．８，０．０の平均値０．４を当該経路２についてのログ記録十分度として算出し、経路３上に設置された各端末Ｂ，Ｄ，Ｆのログ記録十分度０．０，１．０，０．０の平均値０．３３３３を当該経路３についてのログ記録十分度として算出し、経路４上に設置された各端末Ｂ，Ｄ，Ｇのログ記録十分度０．０，１．０，０．８の平均値０．６を当該経路４についてのログ記録十分度として算出する。
【００９６】
そして、ログ記録評価値算出部１は、各経路１〜４についてのログ記録十分度と、各経路１〜４におけるログ記録の重要度との乗算値０．８×０．００５６，０．４×０．０４９，０．３３３３×０．０３７８，０．６×０．０１０８を算出し、それらの乗算値の和０．０４３１６をログ記録評価値として算出する。
【００９７】
なお、ここでは、各経路１〜４についてのログ記録十分度を、当該経路上に設置された端末についてのログ記録十分度の平均により算出するようにしたが、これに限らず、例えば次のような算出方法で算出した値をログ記録十分度として採用することもできる。
【００９８】
すなわち、ログ記録評価値算出部１は、下記式（１），（２）により各経路についてのログ記録十分度Ｖを算出する。
【００９９】
Ｖ＝１−１／（Ｘｓｕｍ（Ａ１，Ａ２，・・・，Ａｎ）） ・・・（１）
ｓｕｍ（Ａ１，Ａ２，・・・，Ａｎ）＝Ａ１＋Ａ２＋・・・＋Ａｎ ・・・（２）
Ａ１，Ａ２，・・・，Ａｎは、各端末についてのログ記録十分度
例えば、図１４，図１５に示す経路１についてのログ記録十分度Ｖ１は、Ｘ＝１０とした場合には、Ｖ１＝１−１（１０（０．８＋０．９＋０．７））＝０．９９６０２となる。同様の算出方法により経路２〜４についてのログ記録十分度Ｖ２〜Ｖ４は、０．８４１５１，０．９，０．９８４１５と算出される。
【０１００】
したがって、ログ記録評価値算出部１は、各経路１〜４についてのログ記録十分度と、各経路１〜４におけるログ記録の重要度との乗算値０．９９６０２×０．００５６，０．８４１５１×０．０４９，０．９×０．０３７８，０．９８４１５×０．０１０８を算出し、それらの乗算値の和０．０９１４６１をログ記録評価値として算出する。
【０１０１】
各端末についてのログ記録十分度の平均により経路についてのログ記録十分度を算出する前者の算出方法と、前記式（１），（２）を用いて経路についてのログ記録十分度を算出する後者の算出方法とを比較した場合、前者の算出方法においては、経路上に設置された全ての端末のうちどれだけの割合でログ記録がなされているかを重視する場合に用いる数値が、経路についてのログ記録十分度として算出され、セキュリティ部を数多く繋げても、経路上にログ記録を行わない端末が含まれる場合には、当該経路についてのログ記録十分度の値は小さくなる。これに対し、後者の算出方法においては、経路上に設置された全ての端末のうちどれだけの数の端末でログ記録がなされているかを重視する場合に用いる数値が、経路についてのログ記録十分度として算出され、セキュリティ部を数多く繋げるほど、経路についてのログ記録十分度の値は大きくなる。
【０１０２】
また、ログ記録のために割くことのできるリソースに比較的余裕がある場合や、経路上の不明箇所（ログ記録が無い通信路や端末）をできるだけなくしたい場合に前者の算出方法が適しており、一方、ログ記録のために割くことのできるリソースに比較的余裕がない場合や、ログ記録をとる場所の多さでログ記録の効果（脅威Ｘの抑止効果や脅威発生検出効果）を得たい場合に後者の算出方法が適している。
【０１０３】
なお、前記演算式（１）におけるＸは「１０」に限られるものではない。また、演算式（１），（２）も一例であり、前記演算式（１），（２）の他に、たとえば下記演算式（３）〜（６）も採用可能である。
【０１０４】
Ｖ＝Ａ１１／２＋Ａ２１／２＋…＋Ａｎ１／２ ・・・（３）
Ｖ＝ｌｏｇ|Ａ１＋Ａ２＋…＋Ａｎ| ・・・（４）
Ｖ＝（Ａ１２＋Ａ２２＋…＋Ａｎ２）／ｎ ・・・（５）
Ｖ＝ｌｏｇ|（Ａ１＋Ａ２＋…＋Ａｎ）／ｎ| ・・・（６）
演算式（３），（４）は、経路上に設置された全ての端末のうちどれだけの数の端末でログ記録がなされているかを重視する場合に用いるのが好適な演算式であり、演算式（５），（６）は、経路上に設置された全ての端末のうちどれだけの割合でログ記録がなされているかを重視する場合に用いるのが好適な演算式である。
【０１０５】
また、前記演算式（１）において、Ｘの指数部ｓｕｍ（Ａ１，Ａ２，・・・，Ａｎ）に代えて、前記演算式（３）〜（６）のいずれかの右辺を代入した演算式でもよい。この場合、各経路についてのログ記録十分度Ｖの値を０〜１に正規化することができる。
【０１０６】
［４］本件は、前記第１の実施形態のように、前記入出力制御部６とログ記録評価値算出部１とが同一のパーソナルコンピュータに搭載されている形態に限らず、入出力制御部６とログ記録評価値算出部１とを異なるコンピュータに搭載する形態、例えば図１６に示すように、一方をセキュリティ評価サーバに、他方をクライアントに搭載する形態も含む。
【０１０７】
［５］各端末におけるログ記録の重要度を表すパラメータとして、第１の実施形態では、１つの経路を想定して、該経路上に設置された各端末の防御確率を採用し、前記変形形態［１］では、複数の経路を想定して、各経路を通過する脅威Ｘの頻度を採用したが、経路の数と重要度を表すパラメータの組合せは適宜設定可能である。
【図面の簡単な説明】
【０１０８】
【図１】本発明の第１の実施形態を示す図である。
【図２】端末の構成図である。
【図３】図１に示す構成において、端末Ａ，Ｂに対するログ記録十分度の設定パターンの一例である。
【図４】図１に示す構成において、端末Ａ，Ｂに対するログ記録十分度の設定パターンの一例である。
【図５】図１に示す構成において、端末Ａ，Ｂに対するログ記録十分度の設定パターンの一例である。
【図６】図１に示す構成において、端末Ａ，Ｂに対するログ記録十分度の設定パターンの一例である。
【図７】ログ記録表価値の設定作業を行うための画面の一例を示す図である。
【図８】前記入出力制御部及びログ記録評価値算出部の処理を示すフローチャートである。
【図９】ログ記録の重要度を表すパラメータとして、当該端末を通過する脅威の頻度を設定した場合の構成図である。
【図１０】端末Ａ，Ｂの後段に端末Ｃ，Ｄが存在し、脅威Ｘが端末Ａ又は端末Ｂを通過した後、端末Ｃ又は端末Ｄを経て資産情報Ｗに到達するシステムの構成図である。
【図１１】図１０に示す構成を経路別に分けて表したモデルを示す図である。
【図１２】図１０に示す構成において、各端末を通過する脅威の頻度や資産に到達する脅威の頻度を示した図である。
【図１３】複数の経路からなる集合体を１つの経路とみなし、各セキュリティ部についてのログ記録十分度をそれぞれ設定しないで、該経路におけるログ記録の重要度を設定する場合の説明図である。
【図１４】経路ごとに、当該経路を通る脅威Ｘの通過頻度を考慮しないでログ記録評価値を算出する場合の説明図である。
【図１５】図１４に示す構成を経路別に分けて表したモデルを示す図である。
【図１６】本発明の変形形態を示す図である。
【図１７】従来技術の説明図である。
【図１８】従来技術の説明図である。
【図１９】従来技術の説明図である。
【符号の説明】
【０１０９】
１ ログ記録評価値算出部
２ 入力部
３ 表示部
４ 制御部
５ セキュリティ部
６ 入出力制御部
【技術分野】
【０００１】
本発明は、通信ネットワークにおけるセキュリティに関する技術分野であり、特に、セキュリティ対策の導入パターンに係る判断を行うためのセキュリティレベル評価に関するものである。
【背景技術】
【０００２】
近年、電子情報の重要性がますます高まるにつれて、該電子情報を保護するためのセキュリティ対策も重要なものとなっている。セキュリティの一般的な定義の一つに、保護対象の電子情報（以下、資産情報という）の機密性（アクセス権の所有者のみが資産情報にアクセス可能であること）、完全性（資産情報及びその処理が正確かつ完全であることが保証されていること）及び可用性（アクセス許可された利用者が必要なときに資産情報にアクセス可能であること）の３つの要素を満たすことであるというものがあり、資産情報を使用するため又は資産情報を保護するために構成される、セキュリティに対する評価は、これら３要素の侵害防止の程度によって行われることが多い。
【０００３】
ところで、セキュリティレベルが高くなるようにセキュリティ対策を施せば施すほど、セキュリティレベルの点ではより好ましい状態になる。しかし、セキュリティ対策を施さなくてもほとんど資産情報の侵害が発生しない場合（資産情報の侵害につながる脅威の発生頻度が少ない場合）や、仮に資産情報の侵害が発生したとしてもその侵害によって発生する損害は微小な場合（資産情報の価値が小さい場合）などでは、新たなセキュリティ対策の導入や維持に膨大なコストを投じてまでセキュリティ対策を施す必要は無いと考えるのが一般的である。すなわち、セキュリティの評価は、導入コストと導入効果との兼ね合いを考慮することが必要になる。
【０００４】
その際、導入コストは定量的に算出可能な数値であるため、必然的に導入効果についても定量的であることが好ましい。また、セキュリティの評価は、属人的な要素が少なく且つ簡易な方法で行われることが好ましい。なぜなら、属人的である場合、評価者の主観的な情報によって評価結果が大きく変わり得るからであり、それを抑制するためには評価者に高度な知識が要求され、評価者にかかる評価作業の負担が大きくなる。また、評価方法が複雑である場合も、同様に評価者によって評価値が変わったり評価作業の負担が高くなったりする。そして、定性的な評価であるほど属人的な評価結果になるため、定量的であることが必要である。
【０００５】
下記特許文献１には、定性的リスク分析手法で用いる評価項目を合成したデータベースと、データベースの評価項目に入力されたランク値からリスクを算出し、そのリスクからセキュリティポリシーの優先度を算出する技術が開示されている。
【０００６】
下記特許文献２には、複数のセキュリティ対策の名称、各対策のリスク低減率、各対策が有効に機能する情報資産の格納場所、各対策を施すためのコスト等のデータからなる対策定義ファイルを格納する対策定義ファイル格納手段と、キーボード等からなる入力手段から入力された、適用済み又は適用することが決定されている対策の名称を示す適用対策名データと、前記対策定義ファイルとを基に、想定される対策（適用する候補である対策）全てに対して適用済み及び適用を決定した対策がどの程度の充足率であるかを計算する対策充足率算出手段とを備えた情報セキュリティ評価装置が開示されている。
【特許文献１】特開２００２−３５２０６２号公報
【特許文献２】特開２００２−２４５２６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
前述のようにセキュリティ対策を施したとしても、以下のような要因１〜３によって完全には資産情報の侵害が無くなっていない場合が多いというのが現状である。
【０００８】
要因１．ＩＴ（Information Technology）に係る犯罪レベルの高度化や環境変化により、脅威の侵害強度が、セキュリティ対策導入検討時の想定レベルを超越し、セキュリティ対策の性能を上回る場合がある。
【０００９】
要因２．導入コストやユーザビリティとセキュリティレベルとの兼ね合いを考慮して、意図的に部分的にしかセキュリティ対策を施さない場合がある。
【００１０】
要因３．セキュリティ対策にセキュリティホールや設定ミス等の不備が存在する場合がある。
【００１１】
これら要因１〜３に示す場合においては、脅威は完全に防御されず、一部の脅威は資産情報の侵害につながり得ることになる。
【００１２】
そこで、セキュリティ対策を考慮する上で重要な項目として、前述の資産情報の機密性、完全性及び可用性の３要素の侵害防止の程度に関する項目の他に、アクセスや操作等に関するログ記録がある。このログ記録は、ＩＳＯ１５４０８等の認証取得や、ＪＳＯＸ法等の法対応において、セキュリティが十分であることの証明（侵害が無いことの証明）としての位置づけにあり、セキュリティ対策の一つとして以下のような点で大きな意義を有するものである。
【００１３】
・ログ記録が取られていることを周知させることによる脅威発生の抑止効果を期待できる点。
【００１４】
・脅威レベルが導入対策当初の想定レベルを超越したり、セキュリティ対策に不備が存在したり、或いは想定自体に間違いが存在することを感知することで、更なるセキュリティ対策を検討するための情報収集となる点。
【００１５】
・資産情報の侵害発生時に、侵害による損失状況を把握或いは予測することで、損失拡大の防止措置を検討したり、侵害された資産情報についての利害関係を共有する関係者へ迅速に状況報告を行ったりするための情報となる点。
【００１６】
・脅威が人為的なものである場合に、資産情報の侵害者を特定し、教育や訴訟を行えるようにすることができる点。
【００１７】
このように、ログ記録は、侵害防止対策が十分なものであることの証明を行う場合だけでなく、侵害防止対策が十分でない場合においても、非常に重要なセキュリティ対策の一項目になり得ることが判る。そして、ログ記録に対しても、セキュリティ対策の導入の必要性やその必要性の程度を考慮するために、セキュリティ上の効果の程度を評価することが必要となる。ただし、このログ記録の評価として、ログ記録状況が十分であるか否かの定性的なものでは不十分であり、侵害防止の程度と同様に、定量的に評価できること及び属人的な要素が少なくなることが好ましい。
【００１８】
従来のセキュリティ評価方法の１つとして、図１７に示すようなチェックシートによって得られた回答に基づいて評価値を算出する方法が知られている。例えば、大項目「脅威」における中項目「不正ログイン」の小項目「脅威発生頻度」について、選択肢「頻繁に発生」、「たまに発生」、「ほとんど発生しない」が設けられており、評価者がこれらの選択肢の中から当てはまると思う選択肢を選択し、選択された選択肢の統計値に基づいて評価値を算出するものである。しかしながら、この方法では、選択的な記入が行われるため、定性的な評価結果になる。
【００１９】
この評価方法とは別に、図１８に示すように、各セキュリティ手段が有する防御性能値（リスク低減率）に基づいて全体的な防御性能値を算出するものがある。たとえば、図１８に示す例のパターン１では、端末Ａ〜Ｄのうち、端末Ａ、端末Ｂ、端末Ｃでセキュリティ対策が施されているため、パターン１の全体的な防御性能値は、１−（１−端末Ａのリスク低減率）×（１−端末Ｂのリスク低減率）×（１−端末Ｃのリスク低減率）＝１−０．４×０．７×０．１＝９９．９７２と算出されている。この評価方法では、定量的な評価に基づいて、コストとの比較によってどの対策パターンを採用するかを選択することができる。
【００２０】
そこで、ログ記録についてのセキュリティ上の効果の程度を評価するべく、図１８に示す防御性能値を用いたセキュリティ評価方法における「防御性能値」を、各セキュリティ手段においてログ記録がどの程度充実しているかを示すログ記録十分度合いに置換し、各セキュリティ手段におけるログ記録十分度合いの積や和をとることでシステム全体のログ記録評価値を算出する方法が考えられる。
【００２１】
しかしながら、各セキュリティ手段における「ログ記録十分度合い」のみでは、ログ記録を重視する場所や、ログ記録の配置状況とログ記録評価値合との関連について、定量的な評価を行うことができない。
【００２２】
すなわち、例えば図１９に示すように、脅威が端末Ａ或いは端末Ｂに最初に侵入し、端末Ｃ或いは端末Ｄを経て資産情報に到達する構成におけるログ記録評価値を算出する場合、図１８に示すような方法と同様の方法で、端末Ａ〜Ｄの各々のログ記録十分度合いだけを基に全体的な評価値を算出しても、どの端末におけるログ記録が重要であるのかが不明である。例えば、ログ記録の記録容量やログ記録の管理負荷等を考慮して端末Ａ〜Ｄのうちのどれか１つはログ記録を行わないようにしたいと考えても、ログ記録を実行しない対象の端末を端末Ａ〜Ｄのどれにすると、全体としてのログ記録十分度合いの低下を防止又は最も抑制することができるのかということは不明である。
【００２３】
本発明は、これに鑑みてなされたものであり、評価対象のシステムにおいてログ記録を重視すべき部分を判別することができ、ログ記録の配置状況とログ記録評価値合いとの関連について定量的な評価を行うことのできるセキュリティ評価方法及びセキュリティ評価装置を提供する。
【課題を解決するための手段】
【００２４】
請求項１に記載の発明は、通信経路のセキュリティの評価方法であって、評価値算出部が、１又は複数の通信経路について、当該通信経路におけるログ記録の重要性を示す重要度又は該重要度を決定するための第１パラメータの値の入力を受け付ける重要度受付ステップと、前記評価値算出部が、前記１又は複数の通信経路について、当該通信経路におけるログ記録の充実度合いを示すログ記録十分度又は該ログ記録十分度を決定するための第２パラメータの値の入力を受け付けるログ記録十分度受付ステップと、前記評価値算出部が、受け付けた前記重要度又は前記第１パラメータ値及び前記ログ記録十分度又は前記第２パラメータ値に基づき、前記１又は複数の通信経路からなるシステム全体におけるログ記録の充実度合いを示す評価値を算出する評価値算出ステップとを備えるものである。
【００２５】
請求項７に記載の発明は、通信経路のセキュリティの評価装置であって、１又は複数の通信経路について、当該通信経路におけるログ記録の重要性を示す重要度又は該重要度を決定するための第１パラメータの値を入力するための第１の入力部と、前記１又は複数の通信経路について、当該通信経路におけるログ記録の充実度合いを示すログ記録十分度又は該ログ記録十分度を決定するための第２パラメータの値を入力するための第２の入力部と、前記第１及び第２の入力部により入力された前記重要度又は前記第１パラメータ値及び前記ログ記録十分度又は前記第２パラメータ値に基づき、前記１又は複数の通信経路からなるシステム全体におけるログ記録の充実度合いを示す評価値を算出する評価値算出部とを備えるものである。
【００２６】
これらの発明によれば、１又は複数の通信経路について入力された前記重要度又は前記第１パラメータ値及び前記ログ記録十分度又は前記第２パラメータ値に基づき、前記１又は複数の通信経路からなるシステム全体におけるログ記録の充実度合いを示す評価値を算出するようにしたので、評価者は、前記重要度又は第１パラメータの値、ログ記録十分度又は第２パラメータの値及び前記評価値を比較することで、ログ記録を重視すべきシステム上の場所や、ログ記録の配置状況と評価値との関連を定量的に評価することができる。
【００２７】
請求項２に記載の発明は、請求項１に記載のセキュリティの評価方法において、前記通信経路は、受信した情報に対してセキュリティ処理を行う１又は複数の中継点を備えて構成されており、前記重要度受付ステップは、前記評価値算出部が、前記中継点におけるログ記録の重要性を示す重要度の入力を受け付けるステップであり、前記ログ記録十分度入力ステップは、前記評価値算出部が、前記中継点におけるログ記録の充実度合いを示すログ記録十分度の入力を受け付けるステップであり、前記評価値算出ステップは、前記評価値算出部が、受け付けた中継点についての前記重要度及びログ記録十分度に基づいて、該中継点を含む通信経路についてのログ記録十分度を算出するステップと、この算出したログ記録十分度に基づき、前記システム全体におけるログ記録の充実度合いを示す評価値を算出するステップとを含むものである。
【００２８】
請求項３に記載の発明は、請求項１または２に記載のセキュリティの評価方法において、前記中継点は、前記セキュリティプログラムを搭載した端末である。
【００２９】
請求項２及び３に記載の発明によれば、ログ記録を重視すべきシステム上の場所や、ログ記録の配置状況と評価値との関連について、より詳細に定量的な評価を行うことができる。
【００３０】
請求項４に記載の発明は、請求項３に記載のセキュリティの評価方法において、前記重要度及び第１パラメータ値は、端末に搭載されたセキュリティプログラムの脆弱性に基づく値を含むものである。
【００３１】
請求項５に記載の発明は、請求項４に記載のセキュリティの評価方法において、前記セキュリティプログラムの脆弱性は、当該セキュリティプログラムの防御性能値に基づくものである。
【００３２】
請求項４及び５に記載の発明によれば、セキュリティプログラムの脆弱性が高いほど（セキュリティプログラムの防御性能値が小さいほど）、当該中継点でのログ記録の重要性が高いことから、前記各通信経路における重要度をセキュリティプログラムの脆弱性に応じて設定することで、ログ記録の導入コストに対して効率的に高い評価値を得ることが可能となる。
【００３３】
請求項６に記載の発明は、請求項１ないし５のいずれかに記載のセキュリティの評価方法において、前記重要度及び第１パラメータ値は、セキュリティの起動頻度及び該セキュリティの失敗頻度のうち少なくとも一方を含むものである。
【００３４】
この発明によれば、セキュリティの起動頻度及び該セキュリティの失敗頻度が大きいほど、当該通信経路でのログ記録の重要性が高いことから、前記前記重要度及び第１パラメータ値が、セキュリティの起動頻度及び該セキュリティの失敗頻度のうち少なくとも一方を含むようにすることで、ログ記録の導入コストに対して効率的に高い評価値を得ることが可能となる。
【発明の効果】
【００３５】
本発明によれば、評価者は、前記重要度又は第１パラメータの値、ログ記録十分度又は第２パラメータの値及び前記評価値を比較することで、ログ記録を重視すべきシステム上の場所や、ログ記録の配置状況と評価値との関連を定量的に評価することができる。
【発明を実施するための最良の形態】
【００３６】
以下、本発明に係るセキュリティ評価方法及びセキュリティ評価装置の実施形態について説明する。図１は、本発明の第１の実施形態を示す図である。
【００３７】
図１に示すように、本実施形態では、パーソナルコンピュータからなる端末Ａ，Ｂを通過して、脅威Ｘが、端末Ｂにより格納及び管理されている資産情報Ｗに到達する状況を想定する。資産情報Ｗとは、個人情報、データベース、会社の機密情報、システム運用のために重要となる管理情報、ソフトウェアなどの電子情報を総称したものをいい、脅威Ｘとは、このような資産情報Ｗを格納する端末等の格納部から、該資産情報Ｗを消去したり、害資産情報Ｗを改変したり、他の不特定の端末に送信したり（ばらまいたり）、或いは前記資産情報Ｗを不正に取得したり、端末の動作を妨害したりするコンピュータウィルス、不正アクセス（成り済まし）やＤｏｓ攻撃等の資産情報Ｗを侵害するものをいう。
【００３８】
端末Ａ，Ｂは、例えば図２（ａ）に示すように、キーボード及びマウス等からなる入力部２と、各種画面を表示する表示部３と、制御部４とを備えて構成されている。制御部４は、それぞれ制御プログラム等を記憶するＲＯＭ、一時的にデータを格納するＲＡＭ、及び制御プログラム等をＲＯＭから読み出して実行する中央演算処理装置等からなり、該制御部４が所定の記憶部から供給されるセキュリティプログラムにより、端末Ａはセキュリティ部Ａとしての機能が、また、端末Ｂはセキュリティ部Ｂとしての機能がそれぞれ搭載されている。なお、図２（ａ）では、セキュリティ部Ａ，Ｂをセキュリティ部５と表している。
【００３９】
端末Ａに搭載されているセキュリティ部Ａは、例えばＩＰ（Internet Protocol）アドレスやアクセス内容（資産情報Ｗの操作内容や資産情報Ｗに対するアクセス頻度）に基づくフィルタリング（与えられたデータ（ＩＰアドレスやアクセス内容）に対して、指定した条件に合致するものだけを抜き出す処理）を行うものである。端末Ｂに搭載されているセキュリティ部Ｂは、例えば個人認証やファイルアクセス管理等を行うものである。以下、説明の簡単化のため、本実施形態では、脅威Ｘは不正アクセス、セキュリティ部Ｂは個人認証であるものとする。なお、セキュリティ部Ａ，Ｂは、前記フィルタリングや個人認証以外のセキュリティ機能、たとえばデバイスの論理的認証（たとえばＩＰアドレス等の認証）や物理的認証（たとえばＭＡＣアドレス等の認証）、アンチウィルスソフトによる処理、あるいは通信装置の暗号化等のセキュリティ機能を有するものでも良い。これらの処理は、前記セキュリティ処理に相当する。
【００４０】
このように端末Ａにセキュリティ部Ａを搭載し該セキュリティ部ＡによりＩＰアドレスやアクセス内容のフィルタリングを行うようにしても、アクセス内容が正規のアクセスとの間に差がほとんどなかったりＩＰアドレスが詐称されたりすることで、一部の不正アクセスはセキュリティ部Ａでは防御し切れず、資産情報Ｗに対する不正アクセスが成功する場合が考えられる。また、端末Ｂにセキュリティ部Ｂを搭載し該セキュリティ部Ｂにより個人認証を行うようにしても、認証パスワードの漏洩や推測によって一部の不正アクセスは防御し切れず、資産情報Ｗに対する不正アクセスが成功する場合が考えられる。
【００４１】
このような不正アクセスの成功がどの程度なされおり、前記不正アクセスをどの程度防御できているのかは、過去の統計量やセキュリティ部Ａ，Ｂのアルゴリズム等に基づいて評価者が設定することができる。例えば、利用者に対して実験的に故意に不正アクセスを促した場合に成功した事例の計数値に基づいて評価者が設定したり、或いは、セキュリティ部Ａで防御された脅威数と防御されずにセキュリティ部Ａを通過して後段のセキュリティ部Ｂで検出された脅威数との比率や、セキュリティ部Ａ、Ｂを製品として販売している企業や公的機関による開示情報（例えばセキュリティ部Ａ，Ｂがアンチウィルスソフトである場合には、ウィルス発生総数と新規ウィルス被害件数等が開示されている場合がある）を用いることで統計的な数値に基づいて評価者が設定したりすることが可能である。また、個人認証に用いる暗証番号が単純な４桁数字の暗証番号である場合には、暗証番号のパターンは１００００通りしかないため、暗証番号の漏洩が無かったとしても１／１００００の確率で認証が成功することになるため、この成功率に基づいて設定したり、また、個人認証に用いる暗証番号が誕生日である場合にはなり済ましは確実に行われるものと想定した場合には、誕生日を暗証番号に設定している利用者の数を調査し、その割合を設定したりすることが可能である。
【００４２】
図１に示すように、各端末Ａ，Ｂに設定された防御確率は、このような方法によって設定された各セキュリティ部Ａ，Ｂにおける不正アクセスの防御性能を表す数値の一例であり、前記各セキュリティ部Ａ，Ｂの脆弱性を示す指標の一例である。なお、前記防御性能を表す数値は、防御確率以外に、例えば複数の段階にレベル分けされた防御レベルなどがある。また、前記脆弱性とは、一般的に、コンピュータやネットワークなどの情報システムにおいて、第三者が保安上の脅威となる行為に利用できる可能性のあるシステム上の欠陥や仕様上の問題点をいい、本実施形態におけるセキュリティ部Ａ，Ｂの脆弱性とは、当該セキュリティ部を前記脅威が通過しうるプログラム上の欠陥や仕様上の問題点をいう。
図１では、セキュリティ部Ａの防御確率が０．２（端末Ａに侵入した脅威Ｘが８０％の確率で端末Ａを通過する）、セキュリティ部Ｂの防御確率が０．７（端末Ｂに侵入した脅威Ｘが３０％の確率で端末Ｂを通過する）となっている。
【００４３】
この場合、発生頻度α（例えば１ヶ月あたりに発生する脅威Ｘの件数）で発生する脅威Ｘのうち、防御確率０．２のセキュリティ部Ａにより０．２α（件）の脅威Ｘは防御されるが、残りの０．８α（件）の脅威Ｘは端末Ａを通過する。また、この０．８α（件）の脅威Ｘのうち、防御確率０．７のセキュリティ部Ｂにより０．８α×０．７（件）の脅威Ｘは防御されるが、残りの０．８α×（１−０．７）＝０．２４αは端末Ｂを通過し資産情報Ｗに到達することとなる。すなわち、端末Ａ及び端末Ｂを含む通信経路では、脅威Ｘは（１−０．２）×（１−０．７）＝０．２４の確率で資産情報Ｗに到達することになり、このとき、該通信経路の防御確率は１−０．２４＝０．７６であるということになる。
【００４４】
このように、各端末Ａ，Ｂにセキュリティ部Ａ，Ｂを搭載したとしても、脅威Ｘは完全に防御されず、一部の脅威Ｘは資産情報Ｗの侵害につながり得ることになることに鑑みて、本実施形態では、ログ記録をセキュリティ対策の一手段として採用している。ログ記録は、通信状況や端末の利用状況等の記録を行うことであり、その記録対象は、例えば送信元、宛先、時刻、ＩＰアドレス、ポート番号、ＩＤ、パスワード等がある。
【００４５】
ここで、ログ記録は、セキュリティ部Ａやセキュリティ部Ｂで防御できない脅威Ｘに対して特に有効なものであるから、各端末Ａ，Ｂにおいて、当該端末に対して行われたアクセスに対してログ記録をどの程度行うかによっても、セキュリティ上の効果が変化するものと考えられる。
【００４６】
本実施形態では、当該端末へのアクセスに対してログ記録をどの程度行うかを示す相対値（以下、ログ記録十分度という）を評価者が設定できるように構成されている。例えば全てのアクセスに対してログ記録を行う場合のログ記録十分度の値を「１」、全てのアクセスに対してログ記録を行わない場合のログ記録十分度の値を「０」とするものとすると、例えば図１では、端末Ａは全てのアクセスに対してログ記録を行い、端末Ｂは、全てのアクセスに対してログ記録を行わないように、評価者によって設定されていることを示している。
【００４７】
また、ログ記録十分度の設定パターンの他の例として、図４では、端末Ａのログ記録十分度が「０」、端末Ｂのログ記録十分度が「１」と設定されている例を示し、図５では、端末Ａのログ記録十分度も端末Ｂのログ記録十分度も「１」と設定されている例を示している。
【００４８】
なお、本実施形態では、ログ記録十分度を示す数値として、ログ記録を実行する場合を示す「１」と、ログ記録を実行しない場合を示す「０」との２値を採用し、デジタル的にログ記録十分度を表すようにしたが、これに限らず、例えば図６に示すように、「０．１」とか「０．４」等のように、アナログ的にログ記録十分度を表すようにしてもよい。
【００４９】
この場合、例えば、全てのアクセスにおいて例えば１０回ごとに１回の割合でログ記録を行う場合には０．１とするというように、全てのアクセスのうち一部のアクセスに対してログ記録を行うようにした場合の、ログ記録を行う対象のアクセスの数のアクセス総数に対する割合をログ記録十分度として設定してもよいし、タイムスタンプ、ＩＰアドレス、アカウント、コマンド、アクセス対象データ等の項目の中から記録対象に設定する割合に基づいてログ記録十分度を設定してもよい。また、単に、ログ記録回数や記録データ量などの数値をログ記録十分度に設定してもよい。さらには、過去の経験や計測データ、企業・公的機関・研究機関の開示情報に基づいてログ記録十分度を設定してもよいし、更には、評価者の知識に基づく感覚的な値をログ記録十分度として設定してもよい。
【００５０】
このようなログ記録は、前述したように、セキュリティ部Ａやセキュリティ部Ｂで防御できなかった脅威Ｘに対して特に有効なものであるから、セキュリティ部で防御できない脅威Ｘの数が多いほど、該セキュリティ部を搭載する端末におけるログ記録の重要性が高い。すなわち、防御性能（防御確率）は、当該端末におけるログ記録の重要性を表す１パラメータである。
【００５１】
そのため、本実施形態では、端末ごとに、ログ記録の重要性を考慮（加味）したログ記録十分度を算出するとともに、これらのログ記録十分度に基づき、発生した脅威Ｘが資産情報Ｗに到達するまでの経路全体におけるログ記録の充実度合い（以下、ログ記録評価値という）を算出するようにしている。
【００５２】
すなわち、図２に示すように、端末Ａ，Ｂは、制御部４が所定の記憶部から供給されるセキュリティ評価プログラムにより、ログ記録評価値算出部１としての機能がそれぞれ搭載されている。ログ記録評価値算出部１は、図２（ｂ）に示すように、入出力制御プログラムに基づいて制御部４により実現される、入力部２による入力情報を取り扱う入出力制御部６との間で通信可能に構成されており、当該端末に入力されたログ記録十分度と前記防御確率とを用いてログ記録評価値を算出するものである。以下、ログ記録評価値の具体的な算出方法について説明する。
【００５３】
ログ記録評価値算出部１は、各端末Ａ、Ｂにおいてそれぞれ設定されたログ記録十分度と、発生した脅威Ｘの数に対する当該端末を通過する脅威Ｘの数の割合とを乗算する。すなわち、ログ記録評価値算出部１は、図３に示すように端末Ａ，Ｂに対するログ記録十分度が設定されている場合、端末Ａについては、当該端末Ａに設定されたログ記録十分度「１」と、発生した脅威Ｘの数に対して当該端末Ａを通過する脅威Ｘの数の割合「０．８（＝１−０．２）」とを乗算した「０．８」を導出する。また、ログ記録評価値算出部１は、端末Ｂについては、当該端末Ｂに設定されたログ記録十分度「０」と、発生した脅威Ｘの数に対して当該端末Ｂを通過する脅威Ｘの数の割合「０．８×（１−０．７）」とを乗算した「０」を導出する。これらの乗算値は、当該端末におけるログ記録の重要度（重み）を考慮したログ記録十分度であり、以下、これを第２ログ記録十分度というものとする。
【００５４】
そして、ログ記録評価値算出部１は、各端末Ａ，Ｂについてそれぞれ得られた第２ログ記録十分度を加算し、その加算値をログ記録評価値として導出する。図３に示す例では、前記加算値「０．８」がログ記録評価値として導出される。
【００５５】
同様に、図４に示すように各セキュリティ部Ａ，Ｂに対するログ記録十分度が設定されている場合、ログ記録評価値算出部１は、端末Ａについては、当該端末Ａに設定されたログ記録十分度「０」と、発生した脅威Ｘの数に対して当該端末Ａを通過する脅威Ｘの数の割合「０．８（＝１−０．２）」とを乗算した「０」を第２ログ記録十分度として導出するとともに、端末Ｂについては、当該端末Ｂに設定されたログ記録十分度「１」と、発生した脅威Ｘの数に対して当該端末Ｂを通過する脅威Ｘの数の割合「０．８×（１−０．７）」とを乗算した「０．２４」を第２ログ記録十分度として導出し、これらの第２ログ記録十分度の和「０．２４」をログ記録評価値として導出する。
【００５６】
また、図５に示すように各端末Ａ，Ｂに対するログ記録十分度が設定されている場合、ログ記録評価値算出部１は、端末Ａについては、当該端末Ａに設定されたログ記録十分度「１」と、発生した脅威Ｘの数に対して当該端末Ａを通過する脅威Ｘの数の割合「０．８（＝１−０．２）」とを乗算した「０．８」を第２ログ記録十分度として導出するとともに、端末Ｂについては、当該端末Ｂに設定されたログ記録十分度「１」と、発生した脅威Ｘの数に対して当該端末Ｂを通過する脅威Ｘの数の割合「０．８×（１−０．７）」とを乗算した「０．３」を第２ログ記録十分度として導出し、これらの第２ログ記録十分度の和「１．０４」をログ記録評価値として導出する。
【００５７】
本実施形態によれば、評価者は、各端末Ａ，Ｂに対してそれぞれ設定したログ記録十分度についての複数の設定パターン、例えば図３〜図５に示すログ記録十分度の各設定パターンについて算出したログ記録評価値を互いに比較することで、費用対効果を考慮しながらログ記録十分度の設定パターンを選択することができる。
【００５８】
すなわち、図３に示すログ記録十分度の設定パターンにおけるログ記録評価値「０．８」は、図４に示すログ記録十分度の設定パターンにおけるログ記録評価値「０．２４」より大幅に大きいので、評価者は、図３に示すログ記録十分度の設定パターンの方がより効率的に脅威Ｘを抑止できると判別することができる。また、図５に示すログ記録十分度の設定パターンにおけるログ記録評価値「１．０４」は、図３に示すログ記録十分度の設定パターンにおけるログ記録評価値「０．８」より大きいので、評価者は、図５に示すログ記録十分度の設定パターンの方が、より効率的に脅威Ｘを抑止できると判別することができる。さらに、評価者は、図５に示すログ記録十分度の設定パターンにおけるログ記録評価値「１．０４」と、図３に示すログ記録十分度の設定パターンにおけるログ記録評価値「０．８」との差「０．２４」について、導入コストとの兼ね合いから効率的なものであるか否かを判断し、図３に示すログ記録十分度の設定パターンを採用するか、図５に示すログ記録十分度の設定パターンを採用するかの判断を行うことができる。
【００５９】
このようなログ記録表価値の設定作業は、表示部３に表示される例えば図７に示す画面Ｄにおいて行うことができる。図７に示す画面Ｄは、端末の種類を設定し設定した端末を表示する端末設定／表示部７と、端末設定／表示部７で設定した端末について、防御確率、ログ記録十分度、第２ログ記録十分度の各項目についての数値を設定し設定した各数値を表示する数値設定／表示部８と、数値設定／表示部８により設定した各項目の数値に基づいて前記ログ記録評価値算出部１により算出されたログ記録評価値を表示するログ記録評価値表示部９とを備える。数値設定／表示部８において、前記各項目についての数値を設定した後、演算ボタン１０に対して操作を行うことで、ログ記録評価値算出部１により算出されたログ記録評価値がログ記録評価値表示部９に表示される。
【００６０】
なお、前記画面Ｄにおける「演算」ボタン１０は、評価者が端末にログ記録評価値の演算を指示するためのボタンであり、「更新」ボタン１１は、設定した端末を更新する指示を端末に入力するためのボタンであり、「保存」ボタン１２は、入力した防御確率及びログ記録十分度や算出されたログ記録評価値を当該端末に記憶させる指示を端末に入力するためのボタンであり、「印刷」ボタン１３は、画面Ｄをプリントアウトする指示を端末に入力するためのボタンであり、「終了」ボタン１４は、当該画面Ｄの起動を終了するためのボタンであり、「キャンセル」ボタン１５は、端末設定／表示部７に入力した端末を取り消す指示を入力するためのボタンである。
【００６１】
図８は、前記入出力制御部６及びログ記録評価値算出部１の処理を示すフローチャートである。
【００６２】
図８に示すように、入出力制御部６は、評価者により例えば図７に示す画面において端末設定の項目に対して入力が行われ（ステップ♯１）、図７に示す画面Ｄの更新ボタン１１の押下を検出すると（ステップ♯２でＹＥＳ）、その検出信号及び入力内容を示す情報をログ記録評価値算出部１に送信する。
【００６３】
ログ記録評価値算出部１は、前記検出信号及び入力内容を示す情報を受信すると（ステップ♯１１でＹＥＳ）、前記入力内容を示す情報に基づいて設定処理を行い（ステップ♯１２）、その設定処理が完了すると、その旨を報知する信号を入出力制御部６に出力する（ステップ♯１３）。
【００６４】
入出力制御部６は、その報知信号を受信すると（ステップ♯３でＹＥＳ）、評価者により防御確率及びログ記録十分度の入力が行われるのを待機する。入出力制御部６は、評価者により防御確率及びログ記録十分度の入力が行われ（ステップ♯４）、演算ボタン１０の押下を検出すると（ステップ♯５でＹＥＳ）、その検出信号及びステップ♯４での入力内容を示す情報をログ記録評価値算出部１に送信する。
【００６５】
ログ記録評価値算出部１は、前記検出信号及びステップ♯４での入力内容を示す情報を受信すると（ステップ♯１４でＹＥＳ）、前記検出信号及びステップ♯４での入力内容を示す情報に基づきログ記録評価値の演算を行い（ステップ♯１５）、第２ログ記録十分度等の中間算出値とログ記録評価値とを入出力制御部６に送信する（ステップ♯１６）。
【００６６】
入出力制御部６は、第２ログ記録十分度等の中間算出値とログ記録評価値を受信すると（ステップ♯６でＹＥＳ）、第２ログ記録十分度やログ記録評価値を表示部３に表示させる（ステップ♯７）。
【００６７】
以上のように、本実施形態では、各端末に設定された防御確率を、当該端末におけるログ記録の重要度を表す１パラメータとし、当該端末に設定された防御確率及びログ記録十分度に基づき、前記重要度を考慮したログ記録十分度（前記第２ログ記録十分度）を算出し、各端末についての第２ログ記録十分度に基づいてログ記録評価値を算出する構成を実現したので、評価者は、前記防御確率、ログ記録十分度、第２ログ記録十分度及びログ記録評価値についての複数のパターンを比較することで、ログ記録を重視すべきシステム上の場所や、ログ記録の配置状況と評価値との関連を定量的に評価することができる。その結果、評価者は、導入コストとの兼ね合いに応じて、最適なログ記録の配置状況を設定することができる。
【００６８】
本件は、前記第１の実施形態に限らず、該第１の実施形態に代えて、またはそれに加えて次の変形形態も採用可能である。
【００６９】
［１］前記第１の実施形態では、ログ記録の重要度を表す１パラメータとして防御確率を設定し、セキュリティ部Ａ，Ｂごとに設定された防御確率に基づいて端末Ａ，Ｂにおけるログ記録の重要度を設定したが、ログ記録の重要度を表す他のパラメータとして、当該端末を通過する脅威Ｘの頻度を設定してもよい。
【００７０】
第１の実施形態のように、防御確率をログ記録の重要度を表す１パラメータとして採用する場合、脅威Ｘがどの程度の頻度で発生するのかに関係なく、その脅威Ｘが発生した場合にどの程度の割合で防御されることなく当該端末を通過するのかを数値化したものがログ記録の重要度に影響を与えるという考えに基づくものであるのに対して、当該端末を通過する脅威Ｘの頻度をログ記録の重要度を表す１パラメータとして設定した場合、脅威Ｘの発生数の多少に関係なく、結果的に当該端末を通過する頻度がログ記録の重要度に影響を与えるという考えに基づくものである。
【００７１】
この場合、例えば図９に示すように、評価者は、端末ごとに通過する脅威Ｘの頻度を設定する。図９では、脅威Ｘが端末Ａを通過する頻度が１ヶ月当たり６件と設定され、脅威Ｘが端末Ｂを通過する頻度が１ヶ月当たり２件と設定された例を示している。この場合、ログ記録評価値算出部１は、各端末Ａ，Ｂについての第２ログ記録十分度を、当該端末に設定されたログ記録十分度と脅威Ｘが当該端末を通過する頻度との積により算出し、それらの乗算値の和６×０．１＋２×０．４＝１．４を、この経路におけるログ記録評価値として算出する。
【００７２】
本実施形態によれば、実際に脅威Ｘが当該端末をどのくらいの頻度で通過するかを加味してログ記録評価値を算出することができるとともに、図９に示すようなシステムのモデル化を厳密に行わなくても重要度の設定を行いやすいというメリットがある。
【００７３】
［２］脅威Ｘが資産情報Ｗに到達する経路が複数存在する場合には、経路ごとにログ記録の重要度を設定し、設定した各重要度に基づきログ記録評価値を算出するようにしてもよい。今、図１０に示すように、端末Ａ，Ｂの後段に端末Ｃ，Ｄが存在し、脅威Ｘが端末Ａ又は端末Ｂを通過した後、端末Ｃ又は端末Ｄを経て資産情報Ｗに到達する場合について説明する。なお、端末Ａにはセキュリティ部Ａが、端末Ｂにはセキュリティ部Ｂが、端末Ｃにはセキュリティ部Ｃが、端末Ｄにはセキュリティ部Ｄがそれぞれ搭載されているものとする。
【００７４】
図１０に示す構成においては、脅威Ｘが端末Ａ及び端末Ｃを通過して資産情報Ｗに到達する経路１、脅威Ｘが端末Ｂ及び端末Ｃを通過して資産情報Ｗに到達する経路２、脅威Ｘが端末Ａ及び端末Ｄを通過して資産情報Ｗに到達する経路３、脅威Ｘが端末Ｂ及び端末Ｄを通過して資産情報Ｗに到達する経路４が想定される。このように経路別に分けて表したモデルを図１１に示す。
【００７５】
図１０に示す構成において、発生する脅威Ｘのうち８０（％）の脅威Ｘは端末Ａから侵入を試み、残りの２０（％）の脅威Ｘは端末Ｂから侵入を試みる場合を想定する。このとき、端末Ａを通過する脅威Ｘは、端末Ａに施された防御確率「０．２」のセキュリティ部Ａによって防御されるので、αの頻度で発生する脅威Ｘに対して、０．８α×（１−０．２）＝０．６４αの頻度で端末Ａを通過すると予測される。また、この０．６４αの脅威Ｘのうち７０（％）の脅威Ｘ（０．４４８αの脅威）は端末Ｃに向かうと想定される。さらに、０．４４８αの脅威Ｘのうち端末Ｃを通過する脅威Ｘは、端末Ｃに施された防御確率「０．３」のセキュリティ部Ｃによって防御されるので、０．４４８αの頻度で端末Ｃに侵入する脅威Ｘに対して、０．３１３６α（＝０．６４α×０．７×０．７）の頻度で脅威Ｘが端末Ｃを通過すると予測される。
【００７６】
一方、端末Ｂを通過する脅威Ｘは、端末Ｂに施された防御確率「０．５」のセキュリティ部Ｂによって防御されるので、αの頻度で発生する脅威Ｘに対して、０．２α×（１−０．５）＝０．１αの頻度で端末Ｂを通過すると予測される。また、この０．１αの脅威Ｘのうち６０（％）の脅威（Ｘ０．０６αの脅威）は、端末Ｃに向かうと想定される。さらに、０．０６αの脅威Ｘのうち端末Ｃを通過する脅威Ｘは、端末Ｃに施された防御確率「０．３」のセキュリティ部Ｃによって防御されるので、０．０６αの頻度で端末Ｃに侵入する脅威Ｘに対して、０．０４２α（０．１α×０．６×０．７）の頻度で端末Ｃを通過すると予測される。
【００７７】
したがって、図１０に示す構成において、端末Ｃを通過して資産情報Ｗに向かう脅威Ｘは、０．３１３６α＋０．０４２α＝０．３５５６αの頻度で発生するものと予測される。同様にして、端末Ｄを通過して資産情報Ｗに向かう脅威Ｘも算出することができる。なお、以上のようにして求めた各端末Ａ〜Ｄを通過する脅威Ｘの到達頻度を図１１，図１２に示す。図１１を参照すると、各経路１〜４のうち、経路１が資産情報Ｗに到達する脅威Ｘの数が最も多く、経路４が資産情報Ｗに到達する脅威Ｘの数が最も少ないことが判る。
【００７８】
ここで、図１０に示す構成におけるログ記録の評価を行うことを考える。各経路１〜４における脅威Ｘの到達頻度は、
経路１：０．３１３６α
経路２：０．１３４４α
経路３：０．０４９α
経路４：０．０２１α
である。
【００７９】
本実施形態では、これらの各経路１〜４における脅威Ｘの到達頻度をログ記録の重要度として設定し、ログ記録評価値算出部１は、この重要度と各端末Ａ〜Ｄに設定されたログ記録十分度とを用いて、経路ごとに第２ログ記録十分度を算出する。
【００８０】
まず、各端末において、ログ記録を完全にとる場合のログ記録十分度「１」と表すとき、完全にログ記録をとる端末のみで構成される経路についてのログ記録十分度も「１」と表されるべきである。この点から、当該経路についてのログ記録十分度を、各端末についてのログ記録十分度の平均により算出する。すなわち、経路１についてのログ記録十分度は、端末Ａのログ記録十分度「０．９」と端末Ｃのログ記録十分度「０．６」との平均値「０．７５」となる。同様にして、経路２についてのログ記録十分度は、端末Ａのログ記録十分度「０．９」と端末Ｄのログ記録十分度「０．４」との平均値「０．６５」となり、経路３についてのログ記録十分度は、端末Ｂのログ記録十分度「０．３」と端末Ｃのログ記録十分度「０．６」との平均値「０．４５」となり、経路４についてのログ記録十分度は、端末Ｂのログ記録十分度「０．３」と端末Ｄのログ記録十分度「０．４」との平均値「０．３５」となる。
【００８１】
次に、ログ記録評価値算出部１は、各端末Ａ〜Ｄについてのログ記録十分度と当該端末におけるログ記録の重要度（本実施形態では、脅威Ｘの発生頻度）との積により、各経路１〜４についての第２ログ記録十分度を次のように算出する。
経路１：０．３１３６α×０．７５＝０．２３５２α
経路２：０．１３４４α×０．６５＝０．０８７３６α
経路３：０．０４９α×０．４５＝０．０２２０５α
経路４：０．０２１α×０．３５＝０．００７３５α
【００８２】
そして、ログ記録評価値算出部１は、各経路１〜４についての第２ログ記録十分度の加算値０．３５１９６αをログ記録評価値として算出する。
【００８３】
本実施形態によれば、各端末Ａ〜Ｄについてのログ記録十分度を以上のように設定した場合には、ログ記録評価値は０．３５１９６αとなるが、例えば、いずれかの端末でログ記録を行わないようにした場合のログ記録評価値を前述と同様の方法により算出し、その算出結果と前記ログ記録評価値０．３５１９６αとを比較することで、ログ記録を行わないようにした端末でのログ記録の必要性を判断することができる。
【００８４】
例えば、前記算出結果が前記ログ記録評価値０．３５１９６αとほとんど変わらない場合には、ログ記録を行わないようにした端末ではログ記録の必要性は低い又は費用対効果が低いと考えられることから、評価者は、その端末ではログ記録を行わないようにすると判断することができる一方、前記算出結果が前記ログ記録評価値０．３５１９６αより大幅に小さくなった場合には、ログ記録を行わないようにした端末ではログ記録の必要性は高いと考えられることから、評価者は、その端末ではログ記録を行うと判断することができる。
【００８５】
また、ログ記録十分度の値を変更したり、或いは複数の端末間でログ記録十分度の値の入れ替えを行ったりした場合のログ記録評価値を、前述と同様の方法により算出し、その算出結果と前記ログ記録評価値０．３５１９６αとを比較することで、ログ記録十分度の値を変更したり、或いは複数の端末間で入れ替えたりした端末におけるログ記録の重要性を判断することができる。
【００８６】
なお、本実施形態では、各経路についてのログ記録十分度を、当該経路上に設置された端末についてのログ記録十分度の平均により算出するようにしたが、これに限られない。また、各端末に設定されたログ記録十分度に基づいて経路についてのログ記録十分度を算出する形態に限らず、各経路で得られた過去のログ記録十分度をそのまま各経路についてのログ記録十分度として設定したり、そのログ記録十分度をベースにして種々の状況を考慮して修正した値を各経路についてのログ記録十分度として設定したりする等、経験等に基づいて経路についてのログ記録十分度を導出する、換言すると、各経路で得られた過去のログ記録十分度に基づいて各経路についてのログ記録十分度として設定するようにしてもよい。
【００８７】
また、脅威Ｘの発生頻度αをログ記録の重要度を表す１パラメータとして採用したが、この発生頻度αを考慮しないで重要度を設定してもよい。評価者が、発生頻度αを考慮したログ記録評価値を要求するか、発生頻度αを考慮しないログ記録評価値を要求するかに応じて、脅威Ｘの発生頻度αを考慮して重要度を設定するか、脅威Ｘの発生頻度αを考慮しないで重要度を設定するかを決定するとよい。
【００８８】
また、図１３に示すように、複数の経路からなる集合体を１つの経路とみなし、各セキュリティ部についてのログ記録十分度をそれぞれ設定しないで、この経路におけるログ記録の重要度を設定するようにしてもよい。図１３は、脅威Ｘが端末Ａ，Ｃを通過して資産情報Ｗに到達する経路と、脅威Ｘが端末Ａ，Ｄを通過して資産情報Ｗに到達する経路と、脅威Ｘが端末Ｂ，Ｃを通過して資産情報Ｗに到達する経路と、脅威Ｘが端末Ｂ，Ｄを通過して資産情報Ｗに到達する経路との４つの経路の集合体を経路１として設定し、また、脅威Ｘが端末Ｅ，Ｆを通過して資産情報Ｗに到達する経路を経路２として設定されていることを示している。
【００８９】
これによれば、各セキュリティ部についてそれぞれログ記録十分度を設定する場合に比して、ログ記録十分度等の設定項目の数を低減することができるため、評価者の負担を軽減することができる。
【００９０】
［３］前記変形形態［２］では、或る端末から後段の端末に向かう経路が複数存在する場合に、経路ごとに、当該経路を通る脅威Ｘの通過頻度を考慮してログ記録評価値を算出するようにしたが、次に説明するように、経路ごとに、当該経路を通る脅威Ｘの通過頻度を考慮しないでログ記録評価値を算出するようにしてもよい。
【００９１】
ここでは、図１４に示すように、セキュリティ部Ａ〜Ｇを備えた端末Ａ〜Ｇを有し、脅威Ｘが端末Ａ，Ｃ，Ｅを通過して資産情報Ｗに到達する経路１と、脅威Ｘが端末Ａ，Ｆを通過して資産情報Ｗに到達する経路２と、脅威Ｘが端末Ｂ，Ｄ，Ｆを通過して資産情報Ｗに到達する経路３と、脅威Ｘが端末Ｂ，Ｄ，Ｇを通過して資産情報Ｗに到達する経路４とを備えた構成を想定する。このように経路別に分けて表したモデルを図１５に示す。
【００９２】
また、端末Ａの防御確率は０．９、ログ記録十分度は０．８、端末Ｂの防御確率は０．７、ログ記録十分度は０．０、端末Ｃの防御確率は０．８、ログ記録十分度は０．９、端末Ｄの防御確率は０．４、ログ記録十分度は１．０、端末Ｅの防御確率は０．５、ログ記録十分度は０．７、端末Ｆの防御確率は０．３、ログ記録十分度は０．０、端末Ｇの防御確率は０．８、ログ記録十分度は０．８とし、図１４に示す構成において、発生する脅威Ｘのうち７０（％）の脅威Ｘは端末Ａから侵入を試み、残りの３０（％）の脅威Ｘは端末Ｂから侵入を試みる場合を想定する。
【００９３】
このような構成において、本実施形態のログ記録評価値算出部１は、経路ごとに、脅威Ｘが資産情報Ｗに到達する確率を、防御確率を用いて算出する。すなわち、ログ記録評価値算出部１は、経路１については、発生した脅威Ｘが端末Ａに侵入する割合０．７と、端末Ａ，Ｃ，Ｅが脅威Ｘを防御できない確率０．１（＝１−０．９），０．２（＝１−０．８），０．４（＝１−０．６）とを乗算し、脅威Ｘが経路１を通過する確率０．００５６を経路１におけるログ記録の重要度として算出する。
【００９４】
同様の算出方法により、ログ記録評価値算出部１は、脅威Ｘが経路２を通過する確率０．０４９を経路２におけるログ記録の重要度として算出し、脅威Ｘが経路３を通過する確率０．０３７８を経路３におけるログ記録の重要度として算出し、脅威Ｘが経路４を通過する確率０．０１０８を経路４におけるログ記録の重要度として算出する。
【００９５】
一方、ログ記録評価値算出部１は、経路１上に設置されている各端末Ａ，Ｃ，Ｅのログ記録十分度０．８，０．９，０．７の平均値０．８を、当該経路１についてのログ記録十分度として算出する。同様の算出方法により、ログ記録評価値算出部１は、経路２上に設置された各端末Ａ，Ｆのログ記録十分度０．８，０．０の平均値０．４を当該経路２についてのログ記録十分度として算出し、経路３上に設置された各端末Ｂ，Ｄ，Ｆのログ記録十分度０．０，１．０，０．０の平均値０．３３３３を当該経路３についてのログ記録十分度として算出し、経路４上に設置された各端末Ｂ，Ｄ，Ｇのログ記録十分度０．０，１．０，０．８の平均値０．６を当該経路４についてのログ記録十分度として算出する。
【００９６】
そして、ログ記録評価値算出部１は、各経路１〜４についてのログ記録十分度と、各経路１〜４におけるログ記録の重要度との乗算値０．８×０．００５６，０．４×０．０４９，０．３３３３×０．０３７８，０．６×０．０１０８を算出し、それらの乗算値の和０．０４３１６をログ記録評価値として算出する。
【００９７】
なお、ここでは、各経路１〜４についてのログ記録十分度を、当該経路上に設置された端末についてのログ記録十分度の平均により算出するようにしたが、これに限らず、例えば次のような算出方法で算出した値をログ記録十分度として採用することもできる。
【００９８】
すなわち、ログ記録評価値算出部１は、下記式（１），（２）により各経路についてのログ記録十分度Ｖを算出する。
【００９９】
Ｖ＝１−１／（Ｘｓｕｍ（Ａ１，Ａ２，・・・，Ａｎ）） ・・・（１）
ｓｕｍ（Ａ１，Ａ２，・・・，Ａｎ）＝Ａ１＋Ａ２＋・・・＋Ａｎ ・・・（２）
Ａ１，Ａ２，・・・，Ａｎは、各端末についてのログ記録十分度
例えば、図１４，図１５に示す経路１についてのログ記録十分度Ｖ１は、Ｘ＝１０とした場合には、Ｖ１＝１−１（１０（０．８＋０．９＋０．７））＝０．９９６０２となる。同様の算出方法により経路２〜４についてのログ記録十分度Ｖ２〜Ｖ４は、０．８４１５１，０．９，０．９８４１５と算出される。
【０１００】
したがって、ログ記録評価値算出部１は、各経路１〜４についてのログ記録十分度と、各経路１〜４におけるログ記録の重要度との乗算値０．９９６０２×０．００５６，０．８４１５１×０．０４９，０．９×０．０３７８，０．９８４１５×０．０１０８を算出し、それらの乗算値の和０．０９１４６１をログ記録評価値として算出する。
【０１０１】
各端末についてのログ記録十分度の平均により経路についてのログ記録十分度を算出する前者の算出方法と、前記式（１），（２）を用いて経路についてのログ記録十分度を算出する後者の算出方法とを比較した場合、前者の算出方法においては、経路上に設置された全ての端末のうちどれだけの割合でログ記録がなされているかを重視する場合に用いる数値が、経路についてのログ記録十分度として算出され、セキュリティ部を数多く繋げても、経路上にログ記録を行わない端末が含まれる場合には、当該経路についてのログ記録十分度の値は小さくなる。これに対し、後者の算出方法においては、経路上に設置された全ての端末のうちどれだけの数の端末でログ記録がなされているかを重視する場合に用いる数値が、経路についてのログ記録十分度として算出され、セキュリティ部を数多く繋げるほど、経路についてのログ記録十分度の値は大きくなる。
【０１０２】
また、ログ記録のために割くことのできるリソースに比較的余裕がある場合や、経路上の不明箇所（ログ記録が無い通信路や端末）をできるだけなくしたい場合に前者の算出方法が適しており、一方、ログ記録のために割くことのできるリソースに比較的余裕がない場合や、ログ記録をとる場所の多さでログ記録の効果（脅威Ｘの抑止効果や脅威発生検出効果）を得たい場合に後者の算出方法が適している。
【０１０３】
なお、前記演算式（１）におけるＸは「１０」に限られるものではない。また、演算式（１），（２）も一例であり、前記演算式（１），（２）の他に、たとえば下記演算式（３）〜（６）も採用可能である。
【０１０４】
Ｖ＝Ａ１１／２＋Ａ２１／２＋…＋Ａｎ１／２ ・・・（３）
Ｖ＝ｌｏｇ|Ａ１＋Ａ２＋…＋Ａｎ| ・・・（４）
Ｖ＝（Ａ１２＋Ａ２２＋…＋Ａｎ２）／ｎ ・・・（５）
Ｖ＝ｌｏｇ|（Ａ１＋Ａ２＋…＋Ａｎ）／ｎ| ・・・（６）
演算式（３），（４）は、経路上に設置された全ての端末のうちどれだけの数の端末でログ記録がなされているかを重視する場合に用いるのが好適な演算式であり、演算式（５），（６）は、経路上に設置された全ての端末のうちどれだけの割合でログ記録がなされているかを重視する場合に用いるのが好適な演算式である。
【０１０５】
また、前記演算式（１）において、Ｘの指数部ｓｕｍ（Ａ１，Ａ２，・・・，Ａｎ）に代えて、前記演算式（３）〜（６）のいずれかの右辺を代入した演算式でもよい。この場合、各経路についてのログ記録十分度Ｖの値を０〜１に正規化することができる。
【０１０６】
［４］本件は、前記第１の実施形態のように、前記入出力制御部６とログ記録評価値算出部１とが同一のパーソナルコンピュータに搭載されている形態に限らず、入出力制御部６とログ記録評価値算出部１とを異なるコンピュータに搭載する形態、例えば図１６に示すように、一方をセキュリティ評価サーバに、他方をクライアントに搭載する形態も含む。
【０１０７】
［５］各端末におけるログ記録の重要度を表すパラメータとして、第１の実施形態では、１つの経路を想定して、該経路上に設置された各端末の防御確率を採用し、前記変形形態［１］では、複数の経路を想定して、各経路を通過する脅威Ｘの頻度を採用したが、経路の数と重要度を表すパラメータの組合せは適宜設定可能である。
【図面の簡単な説明】
【０１０８】
【図１】本発明の第１の実施形態を示す図である。
【図２】端末の構成図である。
【図３】図１に示す構成において、端末Ａ，Ｂに対するログ記録十分度の設定パターンの一例である。
【図４】図１に示す構成において、端末Ａ，Ｂに対するログ記録十分度の設定パターンの一例である。
【図５】図１に示す構成において、端末Ａ，Ｂに対するログ記録十分度の設定パターンの一例である。
【図６】図１に示す構成において、端末Ａ，Ｂに対するログ記録十分度の設定パターンの一例である。
【図７】ログ記録表価値の設定作業を行うための画面の一例を示す図である。
【図８】前記入出力制御部及びログ記録評価値算出部の処理を示すフローチャートである。
【図９】ログ記録の重要度を表すパラメータとして、当該端末を通過する脅威の頻度を設定した場合の構成図である。
【図１０】端末Ａ，Ｂの後段に端末Ｃ，Ｄが存在し、脅威Ｘが端末Ａ又は端末Ｂを通過した後、端末Ｃ又は端末Ｄを経て資産情報Ｗに到達するシステムの構成図である。
【図１１】図１０に示す構成を経路別に分けて表したモデルを示す図である。
【図１２】図１０に示す構成において、各端末を通過する脅威の頻度や資産に到達する脅威の頻度を示した図である。
【図１３】複数の経路からなる集合体を１つの経路とみなし、各セキュリティ部についてのログ記録十分度をそれぞれ設定しないで、該経路におけるログ記録の重要度を設定する場合の説明図である。
【図１４】経路ごとに、当該経路を通る脅威Ｘの通過頻度を考慮しないでログ記録評価値を算出する場合の説明図である。
【図１５】図１４に示す構成を経路別に分けて表したモデルを示す図である。
【図１６】本発明の変形形態を示す図である。
【図１７】従来技術の説明図である。
【図１８】従来技術の説明図である。
【図１９】従来技術の説明図である。
【符号の説明】
【０１０９】
１ ログ記録評価値算出部
２ 入力部
３ 表示部
４ 制御部
５ セキュリティ部
６ 入出力制御部
【特許請求の範囲】
【請求項１】
通信経路のセキュリティの評価方法であって、
評価値算出部が、１又は複数の通信経路について、当該通信経路におけるログ記録の重要性を示す重要度又は該重要度を決定するための第１パラメータの値の入力を受け付ける重要度受付ステップと、
前記評価値算出部が、前記１又は複数の通信経路について、当該通信経路におけるログ記録の充実度合いを示すログ記録十分度又は該ログ記録十分度を決定するための第２パラメータの値の入力を受け付けるログ記録十分度受付ステップと、
前記評価値算出部が、受け付けた前記重要度又は前記第１パラメータ値及び前記ログ記録十分度又は前記第２パラメータ値に基づき、前記１又は複数の通信経路からなるシステム全体におけるログ記録の充実度合いを示す評価値を算出する評価値算出ステップと
を備えるセキュリティの評価方法。
【請求項２】
前記通信経路は、受信した情報に対してセキュリティ処理を行う１又は複数の中継点を備えて構成されており、
前記重要度受付ステップは、前記評価値算出部が、前記中継点におけるログ記録の重要性を示す重要度の入力を受け付けるステップであり、
前記ログ記録十分度入力ステップは、前記評価値算出部が、前記中継点におけるログ記録の充実度合いを示すログ記録十分度の入力を受け付けるステップであり、
前記評価値算出ステップは、前記評価値算出部が、受け付けた中継点についての前記重要度及びログ記録十分度に基づいて、該中継点を含む通信経路についてのログ記録十分度を算出するステップと、この算出したログ記録十分度に基づき、前記システム全体におけるログ記録の充実度合いを示す評価値を算出するステップとを含む請求項１に記載のセキュリティの評価方法。
【請求項３】
前記中継点は、前記セキュリティプログラムを搭載した端末である請求項１または２に記載のセキュリティの評価方法。
【請求項４】
前記重要度及び第１パラメータ値は、端末に搭載されたセキュリティプログラムの脆弱性に基づく値を含む請求項３に記載のセキュリティの評価方法。
【請求項５】
前記セキュリティプログラムの脆弱性は、当該セキュリティプログラムの防御性能値に基づくものである請求項４に記載のセキュリティの評価方法。
【請求項６】
前記重要度及び第１パラメータ値は、セキュリティの起動頻度及び該セキュリティの失敗頻度のうち少なくとも一方を含む請求項１ないし５のいずれかに記載のセキュリティの評価方法。
【請求項７】
通信経路のセキュリティの評価装置であって、
１又は複数の通信経路について、当該通信経路におけるログ記録の重要性を示す重要度又は該重要度を決定するための第１パラメータの値を入力するための第１の入力部と、
前記１又は複数の通信経路について、当該通信経路におけるログ記録の充実度合いを示すログ記録十分度又は該ログ記録十分度を決定するための第２パラメータの値を入力するための第２の入力部と、
前記第１及び第２の入力部により入力された前記重要度又は前記第１パラメータ値及び前記ログ記録十分度又は前記第２パラメータ値に基づき、前記１又は複数の通信経路からなるシステム全体におけるログ記録の充実度合いを示す評価値を算出する評価値算出部と
を備えるセキュリティの評価装置。
【請求項１】
通信経路のセキュリティの評価方法であって、
評価値算出部が、１又は複数の通信経路について、当該通信経路におけるログ記録の重要性を示す重要度又は該重要度を決定するための第１パラメータの値の入力を受け付ける重要度受付ステップと、
前記評価値算出部が、前記１又は複数の通信経路について、当該通信経路におけるログ記録の充実度合いを示すログ記録十分度又は該ログ記録十分度を決定するための第２パラメータの値の入力を受け付けるログ記録十分度受付ステップと、
前記評価値算出部が、受け付けた前記重要度又は前記第１パラメータ値及び前記ログ記録十分度又は前記第２パラメータ値に基づき、前記１又は複数の通信経路からなるシステム全体におけるログ記録の充実度合いを示す評価値を算出する評価値算出ステップと
を備えるセキュリティの評価方法。
【請求項２】
前記通信経路は、受信した情報に対してセキュリティ処理を行う１又は複数の中継点を備えて構成されており、
前記重要度受付ステップは、前記評価値算出部が、前記中継点におけるログ記録の重要性を示す重要度の入力を受け付けるステップであり、
前記ログ記録十分度入力ステップは、前記評価値算出部が、前記中継点におけるログ記録の充実度合いを示すログ記録十分度の入力を受け付けるステップであり、
前記評価値算出ステップは、前記評価値算出部が、受け付けた中継点についての前記重要度及びログ記録十分度に基づいて、該中継点を含む通信経路についてのログ記録十分度を算出するステップと、この算出したログ記録十分度に基づき、前記システム全体におけるログ記録の充実度合いを示す評価値を算出するステップとを含む請求項１に記載のセキュリティの評価方法。
【請求項３】
前記中継点は、前記セキュリティプログラムを搭載した端末である請求項１または２に記載のセキュリティの評価方法。
【請求項４】
前記重要度及び第１パラメータ値は、端末に搭載されたセキュリティプログラムの脆弱性に基づく値を含む請求項３に記載のセキュリティの評価方法。
【請求項５】
前記セキュリティプログラムの脆弱性は、当該セキュリティプログラムの防御性能値に基づくものである請求項４に記載のセキュリティの評価方法。
【請求項６】
前記重要度及び第１パラメータ値は、セキュリティの起動頻度及び該セキュリティの失敗頻度のうち少なくとも一方を含む請求項１ないし５のいずれかに記載のセキュリティの評価方法。
【請求項７】
通信経路のセキュリティの評価装置であって、
１又は複数の通信経路について、当該通信経路におけるログ記録の重要性を示す重要度又は該重要度を決定するための第１パラメータの値を入力するための第１の入力部と、
前記１又は複数の通信経路について、当該通信経路におけるログ記録の充実度合いを示すログ記録十分度又は該ログ記録十分度を決定するための第２パラメータの値を入力するための第２の入力部と、
前記第１及び第２の入力部により入力された前記重要度又は前記第１パラメータ値及び前記ログ記録十分度又は前記第２パラメータ値に基づき、前記１又は複数の通信経路からなるシステム全体におけるログ記録の充実度合いを示す評価値を算出する評価値算出部と
を備えるセキュリティの評価装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【公開番号】特開２００９−４８３１７（Ｐ２００９−４８３１７Ａ）
【公開日】平成２１年３月５日（２００９．３．５）
【国際特許分類】
【出願番号】特願２００７−２１２０５２（Ｐ２００７−２１２０５２）
【出願日】平成１９年８月１６日（２００７．８．１６）
【出願人】（０００００１２７０）コニカミノルタホールディングス株式会社 (4,463)
【Ｆターム（参考）】
【公開日】平成２１年３月５日（２００９．３．５）
【国際特許分類】
【出願日】平成１９年８月１６日（２００７．８．１６）
【出願人】（０００００１２７０）コニカミノルタホールディングス株式会社 (4,463)
【Ｆターム（参考）】
[ Back to top ]