説明

セキュリティ評価装置、セキュリティ評価装置のセキュリティ評価方法、セキュリティ評価プログラム

【課題】実施されているセキュリティ対策の到達レベルを評価できるようにすることを目的とする。
【解決手段】対策実施方針設定部110は、管理者が入力した目標の実施基準レベル(目標レベル)と、実施されている情報セキュリティ対策(実施対策)とを記憶する。目標基準算出部120は、対策定義ファイル191と実施基準定義ファイル192とに基づいて、目標レベルの効果指標値(目標指標値)を算出する。到達レベル算出部130は、対策定義ファイル191と実施基準定義ファイル192とに基づいて、実施対策の効果指標値(実施指標値)を算出する。到達レベル表示部140は、目標指標値と実施指標値とを対比した対比情報を評価結果として表示する。

【発明の詳細な説明】
【技術分野】
【0001】
本発明は、例えば、実施されているセキュリティ対策の到達レベルを評価するセキュリティ評価装置、セキュリティ評価装置のセキュリティ評価方法、セキュリティ評価プログラムに関するものである。
【背景技術】
【0002】
従来技術では、それぞれのセキュリティ対策のリスク低減率の和から対策充足率を算出して表示する方法、また、対策の費用と効果から最適な対策を選択する方法が提案されている(例えば、特許文献1)。
【0003】
従来技術に提案されているリスク低減率の和から対策充足率を算出して情報セキュリティ対策の効果を評価するという方法では、組織の目標に対する到達レベルの評価ができない。これは、実施すべき対策、実施すべき対策の優先順位または実施すべき対策の達成目標が組織ごとに異なるためである。
また、従来技術には、組織が真に対応すべきリスクがどこにあり、そのリスクに対抗するためにさらにどの程度の対策を実施しなければならないかがわからないという課題があった。
【先行技術文献】
【特許文献】
【0004】
【特許文献1】特開2002−024626号公報
【発明の概要】
【発明が解決しようとする課題】
【0005】
本発明は、例えば、実施されているセキュリティ対策の到達レベルを評価できるようにすることを目的とする。
【課題を解決するための手段】
【0006】
本発明のセキュリティ評価装置は、
セキュリティのリスクを低減する対策項目と、セキュリティのリスクを低減する効果の度合いを表すリスク低減率と、対策項目の重要度を表す対策レベルとを対応付けた対策定義ファイルを記憶する対策定義ファイル記憶部と、
対策レベルと、リスク低減率の重み付け係数とを対応付けた重み付け定義ファイルを記憶する重み付け定義ファイル記憶部と、
前記対策定義ファイル記憶部に記憶される対策定義ファイルに基づいて特定の対策レベルに対応する対策項目と前記特定の対策レベルより高い重要度の対策レベルに対応する対策項目とを対象項目として判定し、対象項目毎に対象項目に対応するリスク低減率を前記対策定義ファイルから取得し、前記重み付け定義ファイル記憶部に記憶される重み付け定義ファイルから前記特定の対策レベルに対応する重み付け係数と前記特定の対策レベルより高い重要度の対策レベルに対応する重み付け係数とを取得し、対象項目毎にリスク低減率と重み付け係数とに基づいてセキュリティのリスクを低減する効果に関する指標値を効果指標値として算出し、算出した効果指標値を合計した合計値を目標指標値として算出する目標指標値算出部と、
実施されている対策項目として指定された対策項目を実施項目として示す実施項目データに基づいて実施項目毎に実施項目に対応するリスク低減率と対策レベルとを前記対策定義ファイルから取得し、実施項目毎に対策レベルに対応する重み付け係数を前記重み付け定義ファイルから取得し、実施項目毎にリスク低減率と重み付け係数とに基づいて効果指標値を算出し、算出した効果指標値を合計した合計値を実施指標値として算出する実施指標値算出部と、
前記目標指標値算出部によって算出された目標指標値と前記実施指標値算出部によって算出された実施指標値とを対比した対比情報を評価結果として出力する評価結果出力部とを備える。
【発明の効果】
【0007】
本発明によれば、例えば、実施されているセキュリティ対策の到達レベルを評価することができる。
そして、セキュリティ対策の管理者は、評価結果に基づいて組織目標に対する達成度を把握し、組織にとって妥当なセキュリティ対策を実行することができる。
【図面の簡単な説明】
【0008】
【図1】実施の形態1におけるセキュリティ対策効果評価装置100の機能構成図。
【図2】実施の形態1における対策定義ファイル191の一例を示す図。
【図3】実施の形態1における実施基準定義ファイル192の一例を示す図。
【図4】実施の形態1におけるセキュリティ対策効果評価装置100のセキュリティ対策効果評価方法を示すフローチャート。
【図5】実施の形態1における目標指標値算出処理(S120)を示すフローチャート。
【図6】実施の形態1における実施指標値算出処理(S130)を示すフローチャート。
【図7】実施の形態1におけるセキュリティ対策効果評価装置100のハードウェア資源の一例を示す図。
【図8】実施の形態2におけるセキュリティ対策効果評価装置100のセキュリティ対策効果評価方法を示すフローチャート。
【図9】実施の形態2における結果表示処理(S240)を示すフローチャート。
【図10】実施の形態2(実施例1)における結果表示画面200を示す図。
【図11】実施の形態2(実施例2)における対策定義ファイル191の一例を示す図。
【図12】実施の形態2(実施例2)における結果表示画面200を示す図。
【図13】実施の形態3におけるセキュリティ対策効果評価装置100のセキュリティ対策効果評価方法を示すフローチャート。
【図14】実施の形態3における結果表示処理(S250)を示すフローチャート。
【図15】実施の形態3における各実施基準レベルの実施指標値の百分率値と正規化値との関係を示す折れ線グラフ。
【図16】実施の形態3(実施例1)における結果表示画面200を示す図。
【図17】実施の形態3(実施例2)における結果表示画面200を示す図。
【図18】実施の形態4における対策定義ファイル191を示す図。
【図19】実施の形態4における実施基準定義ファイル192を示す図。
【発明を実施するための形態】
【0009】
実施の形態1.
実施しているセキュリティ対策が目標レベルに対してどの程度、充足(達成)できているかを評価する形態について説明する。
【0010】
図1は、実施の形態1におけるセキュリティ対策効果評価装置100の機能構成図である。
実施の形態1におけるセキュリティ対策効果評価装置100の機能構成について、図1に基づいて以下に説明する。
【0011】
セキュリティ対策効果評価装置100(セキュリティ評価装置の一例)は、対策実施方針設定部110、目標基準算出部120、到達レベル算出部130、到達レベル表示部140および評価装置記憶部190を備える。
【0012】
評価装置記憶部190(対策定義ファイル記憶部、重み付け定義ファイル記憶部の一例)は、セキュリティ対策効果評価装置100で使用されるデータを記憶する。
対策定義ファイル191や実施基準定義ファイル192は、評価装置記憶部190に記憶されるデータの一例である。
【0013】
対策定義ファイル191(対策定義ファイルの一例)は、セキュリティのリスクを低減する対策項目(後述する「情報セキュリティ対策」)と、セキュリティのリスクを低減する効果の度合いを表すリスク低減率(後述する「リスク低減率」)と、対策項目の重要度を表す対策レベル(後述する「実施基準レベル」)とを対応付けたデータである。
【0014】
実施基準定義ファイル192(重み付け定義ファイルの一例)は、対策レベルと、リスク低減率の重み付け係数とを対応付けたデータである。
【0015】
対策実施方針設定部110は、利用者が入力した目標レベルを評価装置記憶部190に記憶する。目標レベルとは、目標とする対策レベルのことである。
対策実施方針設定部110は、利用者が入力した実施項目データ(後述する「実施対策データ」)を評価装置記憶部190に記憶する。実施項目データとは、実施されている対策項目を実施項目として示すデータである。
【0016】
目標基準算出部120(目標指標値算出部の一例)は、対策定義ファイル191に基づいて、目標レベル(特定の対策レベルの一例)に対応する対策項目と、目標レベルより高い重要度の対策レベルに対応する対策項目とを対象項目(後述する「目標対策」)として判定する。
目標基準算出部120は、対象項目毎に対象項目に対応するリスク低減率を対策定義ファイル191から取得する。
目標基準算出部120は、実施基準定義ファイル192から目標レベルに対応する重み付け係数と目標レベルより高い重要度の対策レベルに対応する重み付け係数とを取得する。
目標基準算出部120は、対象項目毎にリスク低減率と重み付け係数とに基づいて、セキュリティのリスクを低減する効果に関する指標値を効果指標値として算出する。例えば、効果指標値は、セキュリティのリスクを低減する効果が高く重み付け係数が大きいほど大きい値である。
目標基準算出部120は、算出した効果指標値を合計した合計値を目標指標値として算出する。
【0017】
到達レベル算出部130(実施指標値算出部の一例)は、実施項目毎に、実施項目に対応するリスク低減率と対策レベルとを対策定義ファイル191から取得する。
到達レベル算出部130は、実施項目毎に対策レベルに対応する重み付け係数を実施基準定義ファイル192から取得する。
到達レベル算出部130は、実施項目毎にリスク低減率と重み付け係数とに基づいて効果指標値を算出し、算出した効果指標値を合計した合計値を実施指標値として算出する。
【0018】
到達レベル表示部140(評価結果出力部の一例)は、目標基準算出部120によって算出された目標指標値と、到達レベル算出部130によって算出された実施指標値とを対比した対比情報を評価結果として表示する(出力の一例)。
【0019】
図2は、実施の形態1における対策定義ファイル191の一例を示す図である。
実施の形態1における対策定義ファイル191について、図2に基づいて説明する。
【0020】
対策定義ファイル191は、「情報セキュリティ対策(対策項目の一例)」と「リスク低減率」と「実施基準レベル(対策レベルの一例)」とを対応付けたデータである。
「情報セキュリティ対策」には、セキュリティのリスクを低減する対策の名称(識別子の一例)を設定する。
「リスク低減率」には、セキュリティのリスクを低減する効果の度合いを設定する。例えば、「リスク低減率」の値が「1/100」である場合、セキュリティのリスクが100分の1に低減されることを意味する。
「実施基準レベル」には、情報セキュリティ対策の重要度を設定する。実施の形態1では、「必須(1)、標準(2)、強化(3)、推奨(4)」の順で重要度が高いものとする。例えば、「実施基準レベル」には重要度を表す名称(例えば「必須」)や値(例えば「1」)を設定する。
【0021】
対策定義ファイル191は、評価装置記憶部190に予め記憶する。
【0022】
図3は、実施の形態1における実施基準定義ファイル192の一例を示す図である。
実施の形態1における実施基準定義ファイル192について、図3に基づいて説明する。
【0023】
実施基準定義ファイル192は、「実施基準パラメータ」と「実施基準レベル(対策レベルの一例)」と「重み付け係数」と「レベル概要」とを対応付けたデータである。
「実施基準パラメータ」には、実施基準レベルの種類を表す名称を設定する。
「実施基準レベル」には、対策定義ファイル191(図2参照)と同じく、情報セキュリティ対策の重要度を設定する。
「重み付け係数」には、リスク低減率(図2参照)の重み付け係数を設定する。
「レベル概要」には、実施基準レベルの説明を設定する。
【0024】
実施基準定義ファイル192は、評価装置記憶部190に予め記憶する。
【0025】
図4は、実施の形態1におけるセキュリティ対策効果評価装置100のセキュリティ対策効果評価方法を示すフローチャートである。
実施の形態1におけるセキュリティ対策効果評価装置100のセキュリティ対策効果評価方法(セキュリティ評価方法の一例、セキュリティ評価プログラムが表す処理手順の一例)について、図4に基づいて説明する。
【0026】
まず、セキュリティ対策効果評価方法の概要について説明する。
【0027】
対策実施方針設定部110は、管理者が入力した目標の実施基準レベル(目標レベル)と、実施されている情報セキュリティ対策(実施対策)とを記憶する(S110)。
目標基準算出部120は、対策定義ファイル191と実施基準定義ファイル192とに基づいて、目標レベルの効果指標値(目標指標値)を算出する(S120)。
到達レベル算出部130は、対策定義ファイル191と実施基準定義ファイル192とに基づいて、実施対策の効果指標値(実施指標値)を算出する(S130)。
到達レベル表示部140は、目標指標値と実施指標値とを対比した対比情報を評価結果として表示する(S140)。
【0028】
次に、セキュリティ対策効果評価方法の処理の詳細について説明する。
【0029】
S110において、セキュリティを管理する管理者(利用者)は、実施基準定義ファイル192(図3参照)に設定されている複数の実施基準パラメータのうち対象とする実施基準パラメータを決定する。さらに、管理者は、対象とする実施基準パラメータに対応する複数の実施基準レベルのうち目標とする実施基準レベルを決定する。
そして、管理者は、決定した実施基準レベルをキーボードやマウスなどの入力機器を用いてセキュリティ対策効果評価装置100に入力する。
【0030】
例えば、対策実施方針設定部110は、実施基準定義ファイル192に設定されている複数の実施基準パラメータをチェックボックス付きのリストの形式でディスプレイ(表示装置)に表示する。管理者は、表示された複数の実施基準パラメータうちいずれかの実施基準パラメータのチェックボックスを指定することにより、対象とする実施基準パラメータを選択する。
また、対策実施方針設定部110は、対象とする実施基準パラメータに対応する複数の実施基準レベルを実施基準定義ファイル192を参照して判定し、判定した複数の実施基準レベルをチェックボックス付きのリストの形式でディスプレイに表示する。管理者は、表示された複数の実施基準レベルのうちいずれかの実施基準レベルのチェックボックスを指定することにより、目標とする実施基準レベルを選択する。
【0031】
対策実施方針設定部110は、管理者によって入力(選択)された実施基準レベルを評価装置記憶部190に記憶する。
以下、管理者によって入力された実施基準レベルを「目標レベル」という。
【0032】
さらに、管理者は、対策定義ファイル191(図2参照)に設定されている複数の情報セキュリティ対策のうち実施している全ての情報セキュリティ対策を判定し、判定した全ての情報セキュリティ対策を入力機器を用いてセキュリティ対策効果評価装置100に入力する。
例えば、対策実施方針設定部110は、対策定義ファイル191に設定されている複数の情報セキュリティ対策をチェックボックス付きのリストの形式でディスプレイに表示する。管理者は、表示された複数の情報セキュリティ対策のうち実施している全ての情報セキュリティ対策についてチェックボックスを指定することにより、実施している全ての情報セキュリティ対策を選択する。
【0033】
対策実施方針設定部110は、管理者によって入力(選択)された全ての情報セキュリティ対策を示すデータを生成し、生成したデータを評価装置記憶部190に記憶する。
以下、管理者によって入力された情報セキュリティ対策を「実施対策」といい、管理者によって入力された全ての実施対策を示すデータを「実施対策データ」という。
S110の後、S120に進む。
【0034】
S120において、目標基準算出部120は、対策定義ファイル191と実施基準定義ファイル192とに基づいて目標レベルの効果指標値を算出する。以下、目標レベルの効果指標値を「目標指標値」という。
S120の後、S130に進む。
【0035】
図5は、実施の形態1における目標指標値算出処理(S120)を示すフローチャートである。
実施の形態1における目標指標値算出処理(S120)について、図5に基づいて説明する。
【0036】
S121において、目標基準算出部120は、評価装置記憶部190から目標レベルを取得する。
目標基準算出部120は、評価装置記憶部190に記憶されている実施基準定義ファイル192(図3参照)を参照し、目標レベルより高い実施基準レベルを判定する。
例えば、図3に示した実施基準定義ファイル192に設定されている実施基準レベルのうち「標準(2)」が目標レベルである場合、目標レベルより高い実施基準レベルは「必須(1)」である。また、「推奨(3)」が目標レベルである場合、目標レベルより高い実施基準レベルは「必須(1)」と「標準(2)」との二つの実施基準レベルである。
以下、目標レベルより高い実施基準レベルを「重要レベル」という。
S121の後、S122に進む。
【0037】
S122において、目標基準算出部120は、評価装置記憶部190に記憶されている対策定義ファイル191(図2参照)を参照し、目標レベルに対応する情報セキュリティ対策を判定する。さらに、目標基準算出部120は、重要レベルに対応する情報セキュリティ対策を判定する。
例えば、「標準(2)」が目標レベルである場合、図2に示した対策定義ファイル191に設定されている情報セキュリティ対策のうち目標レベルに対応する情報セキュリティ対策は「アクセスログの取得」である。また、重要レベル「必須(1)」に対応する情報セキュリティ対策は「通信路の暗号化」である。
以下、目標レベルまたは重要レベルに対応する情報セキュリティ対策を「目標対策」という。
S122の後、S123に進む。
【0038】
S123において、目標基準算出部120は、目標対策毎にリスク低減率を対策定義ファイル191から取得する。
図2に示した対策定義ファイル191において、目標対策「通信路の暗号化」のリスク低減率は「1/100」であり、目標対策「アクセスログの取得」のリスク低減率は「1/10」である。
S123の後、S124に進む。
【0039】
S124において、目標基準算出部120は、目標対策毎に目標対策に対応する実施基準レベルを対策定義ファイル191に基づいて判定し、判定した実施基準レベルに対応する重み付け係数を実施基準定義ファイル192から取得する。
例えば、図2に示した対策定義ファイル191において目標対策「通信路の暗号化」に対応する実施基準レベルは「必須(1)」であり、図3に示した実施基準定義ファイル192において実施基準レベル「必須(1)」に対応する重み付け係数は「1.0」である。したがって、目標対策「通信路の暗号化」の重み付け係数は「1.0」である。同様に、目標対策「アクセスログの取得」の重み付け係数は「0.8」である。
S124の後、S125に進む。
【0040】
S125において、目標基準算出部120は、目標対策毎にリスク低減率と重み付け係数とに基づいて効果指標値を算出する。
効果指標値は、セキュリティのリスクを低減する効果が高く重み付け係数が大きいほど大きい。
【0041】
例えば、目標基準算出部120は、目標対策の効果指標値を以下のように算出する。
まず、目標基準算出部120は、リスク低減率の対数値を算出する。リスク低減率の対数値を算出する算出式は、「リスク低減率の対数値=−10log(リスク低減率)」で表される。logの底は「10」である。
そして、目標基準算出部120は、リスク低減率の対数値と重み付け係数とを乗算して目標対策の効果指標値を算出する。効果指標値を算出する算出式は、「効果指標値=リスク低減率の対数値×重み付け係数」で表される。
【0042】
例えば、目標対策「通信路の暗号化」のリスク低減率が「1/100」である場合、リスク低減率の対数値は「20(=−10log(1/100))」である。
そして、目標対策「通信路の暗号化」の重み付け係数が「1.0」である場合、目標対策「通信路の暗号化」の効果指標値は「20(=20×1.0)」である。
【0043】
また、目標対策「アクセスログの取得」のリスク低減率が「1/10」である場合、リスク低減率の対数値は「10(=−10log(1/10))」である。
そして、目標対策「アクセスログの取得」の重み付け係数が「0.8」である場合、目標対策「アクセスログの取得」の効果指標値は「8(=10×0.8)」である。
【0044】
但し、リスク低減率の対数値以外の値を用いて効果指標値を算出しても構わない。
例えば、リスク低減率の対数値の代わりにリスク低減率「1/100」の逆数「100」を用いて効果指標値を算出しても構わない。
また、対策定義ファイル191(図2参照)にリスクを低減する効果の度合いが高いほど大きな値をリスク低減率として設定し、リスク低減率の対数値の代わりにリスク低減値そのものを用いて効果指標値を算出しても構わない。
【0045】
S125の後、S126に進む。
【0046】
S126において、目標基準算出部120は、各目標対策の効果指標値を合計した合計値を算出する。以下、各目標対策の効果指標値を合計した合計値を「目標指標値」という。目標指標値を算出する算出式は、「目標指標値=Σ(目標対策の効果指標値)」で表される。
例えば、2つの目標対策「通信路の暗号化」「アクセスログの取得」が存在し、目標対策「通信路の暗号化」の効果指標値が「20」であり、目標対策「アクセスログの取得」の効果指標値が「8」である場合、目標指標値は「28(=20+8)」である。
S126により、目標指標値算出処理(S120)は終了する。
【0047】
図4に戻り、セキュリティ対策効果評価方法の説明をS130から続ける。
【0048】
S130において、到達レベル算出部130は、目標基準算出部120(S120)と同様に、対策定義ファイル191と実施基準定義ファイル192とに基づいて実施対策の効果指標値を算出する。
以下、実施対策の効果指標値を「実施指標値」という。
S130の後、S140に進む。
【0049】
図6は、実施の形態1における実施指標値算出処理(S130)を示すフローチャートである。
実施の形態1における実施指標値算出処理(S130)について、図6に基づいて説明する。
【0050】
S131において、到達レベル算出部130は、評価装置記憶部190から実施対策データを取得する。
到達レベル算出部130は、実施対策データが示す実施対策毎に実施対策に対応するリスク低減率と実施基準レベルとを対策定義ファイル191(図2参照)から取得する。
S131の後、S132に進む。
【0051】
S132において、到達レベル算出部130は、実施項目毎に実施項目に対応する重み付け係数を実施基準定義ファイル192(図3参照)から取得する。
S132の後、S133に進む。
【0052】
S133において、到達レベル算出部130は、実施対策毎にリスク低減率と重み付け係数とに基づいて効果指標値を算出する。
実施対策の効果指標値の算出方法は、目標対策の効果指標値の算出方法(図5のS125参照)と同様である。
S133の後、S134に進む。
【0053】
S134において、到達レベル算出部130は、各実施対策の効果指標値を合計した合計値を算出する。以下、各実施対策の効果指標値を合計した合計値を「実施指標値」という。
実施指標値を算出する算出式は「実施指標値=Σ(実施対策の効果指標値)」で表される。
S134により、実施指標値算出処理(S130)は終了する。
【0054】
図4に戻り、セキュリティ対策効果評価方法の説明をS140から続ける。
【0055】
S140において、到達レベル表示部140は、S120で算出された目標指標値とS130で算出された実施指標値とを対比した対比情報を生成し、生成した対比情報を評価結果として示す画面を結果表示画面としてディスプレイに表示する。
【0056】
例えば、到達レベル表示部140は、目標指標値と実施指標値とを含んだ情報を対比情報として生成する。
また、到達レベル表示部140は、目標指標値に対する実施指標値の割合(=実施指標値/目標指標値)を対策充足率として算出し、算出した対策充足率を含んだ情報を対比情報として生成してもよい。
【0057】
例えば、到達レベル表示部140は、目標指標値の棒グラフと実施指標値の棒グラフとを並べて描画した画面を結果表示画面として表示する。
また、到達レベル表示部140は、目標指標値に対する実施指標値の割合(対策充足率)を示す画面を結果表示画面として表示してもよい。
【0058】
S140により、セキュリティ対策効果評価方法の処理は終了する。
【0059】
図7は、実施の形態1におけるセキュリティ対策効果評価装置100のハードウェア資源の一例を示す図である。
図7において、セキュリティ対策効果評価装置100(コンピュータの一例)は、CPU901(Central Processing Unit)を備えている。CPU901は、バス902を介してROM903、RAM904、通信ボード905、ディスプレイ装置911、キーボード912、マウス913、ドライブ装置914、磁気ディスク装置920などのハードウェアデバイスと接続され、これらのハードウェアデバイスを制御する。ドライブ装置914は、FD(Flexible Disk Drive)、CD(Compact Disc)、DVD(Digital Versatile Disc)などの記憶媒体を読み書きする装置である。
ROM903、RAM904、磁気ディスク装置920およびドライブ装置914は記憶機器の一例である。キーボード912およびマウス913は入力機器の一例である。ディスプレイ装置911は出力機器の一例である。
【0060】
通信ボード905は、有線または無線で、LAN(Local Area Network)、インターネット、電話回線などの通信網に接続している。
通信ボード905は、通信機器、入力機器または出力機器の一例である。
【0061】
磁気ディスク装置920には、OS921(オペレーティングシステム)、プログラム群922、ファイル群923が記憶されている。
【0062】
プログラム群922には、実施の形態において「〜部」として説明する機能を実行するプログラムが含まれる。プログラム(例えば、セキュリティ評価プログラム)は、CPU901により読み出され実行される。すなわち、プログラムは、「〜部」としてコンピュータを機能させるものであり、また「〜部」の手順や方法をコンピュータに実行させるものである。
【0063】
ファイル群923には、実施の形態において説明する「〜部」で使用される各種データ(入力、出力、判定結果、計算結果、処理結果など)が含まれる。
【0064】
実施の形態において構成図およびフローチャートに含まれている矢印は主としてデータや信号の入出力を示す。
【0065】
実施の形態において「〜部」として説明するものは「〜回路」、「〜装置」、「〜機器」であってもよく、また「〜ステップ」、「〜手順」、「〜処理」であってもよい。すなわち、「〜部」として説明するものは、ファームウェア、ソフトウェア、ハードウェアまたはこれらの組み合わせのいずれで実装されても構わない。
【0066】
実施の形態1において、例えば、以下のようなセキュリティ対策効果評価装置100について説明した。
【0067】
セキュリティ対策効果評価装置100は、以下の構成を備える。
(a)情報セキュリティ対策と各対策のリスク低減率、組織が決定して入力する実施基準レベルを記載した対策定義ファイル
(b)対策の実施基準パラメータ、実施基準レベル、各レベルの重み付け係数を記載した組織の実施基準定義ファイル
(c)組織の対策実施方針として、各対策をどの程度優先して実施すべきかを示す実施基準レベルと、実施基準レベルのうちどのレベルまでを実施するかを示す目標レベルを設定する対策実施方針設定手段(対策実施方針設定部110)
(d)目標レベルに対応する各対策のリスク低減率と、実施基準レベルの重み付け係数から対策効果指標値を算出して、目標対策の対策効果指標値を積算して組織の目標基準(目標指標値)を算出する手段(目標基準算出部120)
(e)対策定義ファイルに記載された対策のうち実施している対策を入力され、リスク低減率と、実施基準レベルの重み付け係数から対策効果指標値を算出して、実施対策の対策効果指標値を積算して到達レベル(実施指標値)を算出する手段(到達レベル算出部130)
(f)組織の目標基準と組み合わせて到達レベルを表示する到達レベル表示手段(到達レベル表示部140)
【0068】
以上のように、セキュリティ対策効果評価装置100は、組織にとっての対策の必須度、目標レベルで指定した組織の対策方針に対応して、目標基準と到達レベルを算出する。
これにより、セキュリティ対策効果評価装置100は、組織ごとに異なり、組織にとって妥当な目標に対する対策実施状況を評価することができる。
【0069】
実施の形態2.
各実施基準レベルの効果指標値の比率を表す帯グラフに実施指標値を表す表記を付記した画面を結果表示画面として表示する形態について説明する。
以下、実施の形態1と異なる事項について主に説明する。説明を省略する事項については実施の形態1と同様である。
【0070】
<実施例1>
セキュリティ対策効果評価装置100の構成は、実施の形態1(図1参照)と同じである。
【0071】
但し、目標基準算出部120(目標指標値算出部の一例)は、対策定義ファイル191に含まれる対策レベル(実施基準レベル)のうち重要度が最も低い対策レベルの目標指標値を算出する。
例えば、目標基準算出部120は、対策定義ファイル191に含まれる対策レベル毎に目標指標値を算出する。
【0072】
到達レベル表示部140(評価結果出力部の一例)は、目標基準算出部120によって算出された目標指標値と到達レベル算出部130によって算出された実施指標値とに基づいて、目標指標値に対する実施指標値の比率を算出する。
到達レベル表示部140は、算出した実施指標値の比率を表す表記を含んだ情報を対比情報として評価結果を表示する。
【0073】
例えば、到達レベル表示部140は、目標基準算出部120によって対策レベル毎に算出された目標指標値に基づいて重要度が最も低い対策レベルの目標指標値に対する各対策レベルの目標指標値の比率を算出する。
到達レベル表示部140は、到達レベル算出部130によって算出された実施指標値に基づいて重要度が最も低い対策レベルの目標指標値に対する実施指標値の比率を算出する。
到達レベル表示部140は、各対策レベルの目標指標値の比率を表す目標指標値の帯グラフを生成し、生成した目標指標値の帯グラフと実施指標値の比率を表す実施指標値の表記とを含んだ情報を対比情報として評価結果を表示する。
【0074】
図8は、実施の形態2におけるセキュリティ対策効果評価装置100のセキュリティ対策効果評価方法を示すフローチャートである。
実施の形態2におけるセキュリティ対策効果評価装置100のセキュリティ対策効果評価方法について、図8に基づいて説明する。
【0075】
まず、セキュリティ対策効果評価方法の概要について説明する。
【0076】
対策実施方針設定部110は、実施されている情報セキュリティ対策(実施対策)を記憶する(S210)。
目標基準算出部120は、対策定義ファイル191と実施基準定義ファイル192とに基づいて、実施基準レベル毎に効果指標値(目標指標値)を算出する(S220)。
到達レベル算出部130は、対策定義ファイル191と実施基準定義ファイル192とに基づいて、実施対策の効果指標値(実施指標値)を算出する(S230)。
到達レベル表示部140は、目標指標値の帯グラフを生成し、実施指標値の表記を付記した目標指標値の帯グラフを評価結果として表示する(S240)。
【0077】
次に、セキュリティ対策効果評価方法の詳細について説明する。
【0078】
S210において、対策実施方針設定部110は、実施の形態1(図4参照)のS110と同様に、管理者によって入力された全ての情報セキュリティ対策(実施対策)を示す実施対策データを生成し、生成した実施対策データを評価装置記憶部190に記憶する。
但し、管理者による目標レベルの入力および対策実施方針設定部110による目標レベルの記憶は不要である。
S210の後、S220に進む。
【0079】
S220において、目標基準算出部120は、対策定義ファイル191と実施基準定義ファイル192とに基づいて、実施基準レベル毎に効果指標値を算出する。
各実施基準レベルの効果指標値を算出する方法は、実施の形態1のS120で説明した目標レベルの効果指標値を算出する方法と同様である。
以下、各実施基準レベルの効果指標値を「目標指標値」という。
S220の後、S230に進む。
【0080】
S230において、到達レベル算出部130は、対策定義ファイル191と実施基準定義ファイル192とに基づいて、実施対策の効果指標値(実施指標値)を算出する。
実施指標値を算出する方法は、実施の形態1のS130と同じである。
S230の後、S240に進む。
【0081】
S240において、到達レベル表示部140は、目標指標値の帯グラフを生成し、実施指標値の表記を付記した目標指標値の帯グラフを評価結果として表示する。
S240により、セキュリティ対策効果評価方法の処理は終了する。
【0082】
図9は、実施の形態2における結果表示処理(S240)を示すフローチャートである。
実施の形態2における結果表示処理(S240)について、図9に基づいて説明する。
【0083】
S241において、到達レベル表示部140は、重要度が最も低い実施基準レベルの目標指標値に対する各実施基準レベルの目標指標値の比率を算出する。
【0084】
例えば、実施基準レベルの重要度は「必須」「標準」「推奨」「強化」の順で高いものとする。この場合、重要度が最も低い実施基準レベルは「強化」である。
実施の形態1(図4のS120参照)で説明したように、目標指標値は、重要度が高い情報セキュリティ対策の効果指標値を加算した値である。このため、目標指標値は重要度とは逆に「強化」「推奨」「標準」「必須」の順で高い。
「必須」の目標指標値を「30」、「標準」の目標指標値を「90」、「推奨」の目標指標値を「135」、「強化」の目標指標値を「150」とした場合、「強化」の目標指標値に対する各目標指標値の比率は、以下の通りである。
「必須」の目標指標値の比率は「0.2(=30/150)」であり、「標準」の目標指標値の比率は「0.6(=90/150)」であり、「推奨」の目標指標値の比率は「0.9(=135/150)」であり、「強化」の目標指標値の比率は「1.0(=150/150)」である。
【0085】
つまり、各目標指標値の比率を百分率値(パーセント)で表す場合、「必須」の目標指標値の比率は「20」であり、「標準」の目標指標値の比率は「60」であり、「推奨」の目標指標値の比率は「90」であり、「強化」の目標指標値の比率は「100」である。
【0086】
各目標指標値の百分率値を算出する算出式は以下のように表すことができる。但し、「必須」「標準」「推奨」「強化」の目標指標値を「G(A,1)」「G(A,2)」「G(A,3)」「G(A,4)」とする。
「必須」の目標指標値の百分率値「GPC(A,1)」は、「GPC(A,1)=(G(A,1)/G(A,4))×100」で表される。
「標準」の目標指標値の百分率値「GPC(A,2)」は、「GPC(A,2)=(G(A,2)/G(A,4))×100」で表される。
「推奨」の目標指標値の百分率値「GPC(A,3)」は、「GPC(A,3)=(G(A,3)/G(A,4))×100」で表される。
「強化」の目標指標値の百分率値「GPC(A,4)」は、「GPC(A,4)=(G(A,4)/G(A,4))×100」で表される。
【0087】
S241の後、S242に進む。
【0088】
S242において、到達レベル表示部140は、重要度が最も低い実施基準レベルの目標指標値に対する実施指標値の比率を算出する。
【0089】
例えば、重要度が最も低い実施基準レベル「強化」の目標指標値「150」に対する実施指標値「112」の比率は「0.75(=112/150)」であり、実施指標値の百分率値は「75」である。
【0090】
実施指標値が「R(A)」である場合、実施指標値の百分率値「RPC(A)」は、「RPC(A)=(R(A)/G(A,4))×100」で表される。
【0091】
S242の後、S243に進む。
【0092】
S243において、到達レベル表示部140は、各実施基準レベルの目標指標値の比率を表す目標指標値の帯グラフを生成し、生成した目標指標値の帯グラフを含んだ結果表示画面をディスプレイに表示する。
【0093】
図10は、実施の形態2(実施例1)における結果表示画面200を示す図である。
例えば、「必須」の百分率が「20」、「標準」の百分率値が「60」、「推奨」の百分率が「90」、「強化」の百分率値が「100」である場合、到達レベル表示部140は、図10に示すような目標指標値の帯グラフ201を表示する。
目標指標値の帯グラフ201は、実施基準レベル「必須」「標準」「推奨」「強化」の目標指標値(但し、実施基準レベルが高い情報セキュリティ対策の効果指標値を差し引いた値)を積み上げた積み上げグラフである。
但し、到達レベル表示部140は、棒グラフの形状以外の形状で目標指標値の帯グラフを表示しても構わない。例えば、到達レベル表示部140は、円グラフの形状で目標指標値の帯グラフを表示しても構わない。
【0094】
S243の後、S244に進む。
【0095】
S244において、到達レベル表示部140は、実施指標値の比率を表す実施指標値の表記を目標指標値の帯グラフに付記して表示する。
【0096】
例えば、到達レベル表示部140は、目標指標値の帯グラフ201のうち実施指標値の百分率値に相当する部分(「推奨」レベルの帯部分)に実施指標値の百分率値を表す丸印(到達レベル点202)を表示する(図10参照)。
図10の結果表示画面200は、実施対策の到達レベルが「推奨」レベルであることを示している。つまり、管理者は、実施対策によって「推奨」レベルの効果が得られていることを結果表示画面200から知ることができる。
【0097】
S244により、結果表示処理(S240)は終了する。
【0098】
<実施例2>
図11は、実施の形態2(実施例2)における対策定義ファイル191の一例を示す図である。
図11に示すように、対策定義ファイル191は、実施の形態1で説明した項目(図2参照)に加えて「セキュリティ領域」を含んでいる。「セキュリティ領域」には、情報セキュリティ対策を分類する区分を設定する。
つまり、各情報セキュリティ対策は、セキュリティ領域に対応付けられ、セキュリティ領域によって分類される。
【0099】
セキュリティ対策効果評価方法(図8参照)は、実施例1に対して以下のような違いがある。
【0100】
S220において、目標基準算出部120は、情報セキュリティ対策毎に情報セキュリティ対策に対応する実施基準レベルとセキュリティ領域とを判定し、実施基準レベルとセキュリティ領域との組み合わせ毎に目標指標値を算出する。
【0101】
S230において、到達レベル算出部130は、実施対策毎に実施対策に対応するセキュリティ領域を対策定義ファイル191に基づいて判定し、セキュリティ領域毎に実施指標値を算出する。
【0102】
例えば、セキュリティ領域として「ネットワーク」と「サーバ」と「外接」と「端末」との4つの区分がある場合、S220とS230とにおいて以下のように処理を行う。
S220において、目標基準算出部120は、実施基準レベル「必須」の目標指標値として「ネットワーク」の目標指標値と「サーバ」の目標指標値と「外接」の目標指標値と「端末」の目標指標値との4つの目標指標値を算出する。目標基準算出部120は、他の実施基準レベル「標準」「強化」「推奨」についても同様に目標指標値を4つずつ算出する。
また、到達レベル算出部130は、「ネットワーク」の実施指標値と「サーバ」の実施指標値と「外接」の実施指標値と「端末」の実施指標値との4つの実施指標値を算出する。
【0103】
S240において、到達レベル表示部140は、セキュリティ領域毎に実施指標値を付記した目標指標値の帯グラフを表示する。
【0104】
図12は、実施の形態2(実施例2)における結果表示画面200を示す図である。
例えば、到達レベル表示部140は、図12に示すように、各セキュリティ領域の帯グラフ201を並べて表示すると共に、各セキュリティ領域の到達レベル点202を線で結んだ折れ線グラフ203を表示する。
【0105】
実施の形態2において、例えば、以下のようなセキュリティ対策効果評価装置100について説明した。
【0106】
対策定義ファイルは、情報セキュリティ対策を複数の領域に分類するためのセキュリティ領域を示す情報を保持する。
目標基準算出手段(目標基準算出部120)は、セキュリティ領域ごとに、各実施基準レベルに設定された対策の対策効果指標値を積算して各実施基準レベルの目標基準(目標指標値)を算出する。
到達レベル算出手段(到達レベル算出部130)は、セキュリティ領域ごとに、実施対策の対策効果指標値を積算して到達レベル(実施指標値)を算出する。
到達レベル表示手段(到達レベル表示部140)は、セキュリティ領域ごとに、各実施基準レベルの目標基準で区切られたグラフ(帯グラフ)上に到達レベルを表示する。
【0107】
以上のように、セキュリティ対策効果評価装置100は、組織の対策方針に基づいて算出した実施基準レベルの目標基準の積み上げグラフ上に、到達レベルを示す。
これにより、管理者は、組織の対策の到達レベルがどの実施基準レベルの部分にあるのかを知ることができる。そして、管理者は、そのセキュリティ領域への対策が目標に到達しているのか、それとも目標に達していないのか、また、目標を達成するためにあとどの程度の対策が必要なのかを、容易に評価することができる。
【0108】
実施の形態3.
各実施基準レベルの効果指標値に基づいて正規化した正規化グラフによって実施指標値を表した画面を結果表示画面として表示する形態について説明する。
以下、実施の形態1、2と異なる事項について主に説明する。説明を省略する事項については実施の形態1、2と同様である。
【0109】
<実施例1>
セキュリティ対策効果評価装置100の構成は、実施の形態1(図1参照)と同じである。
【0110】
但し、目標基準算出部120(目標指標値算出部の一例)は、対策定義ファイル191に含まれる対策レベル(実施基準レベル)毎に目標指標値を算出する。
【0111】
到達レベル表示部140(評価結果出力部の一例)は、所定の値の範囲(後述する正規化値の範囲)を対策レベルと同じ数の部分範囲に等分する。
到達レベル表示部140は、対策レベル毎に目標指標値に応じた部分範囲(目標指標値が大きいほど大きな値を含んだ部分範囲)を割り当てる。
到達レベル表示部140は、各対策レベルの部分範囲のうち実施指標値が属する部分範囲を各対策レベルの目標指標値に基づいて該当範囲として判定する。
到達レベル表示部140は、実施指標値を該当範囲内の値に変換し、各対策レベルの部分範囲と変換後の実施指標値との関係を表したグラフを実施指標値の比率を表す正規化グラフとして生成する。
到達レベル表示部140は、生成した正規化グラフを含んだ情報を対比情報として評価結果を表示する。
【0112】
図13は、実施の形態3におけるセキュリティ対策効果評価装置100のセキュリティ対策効果評価方法を示すフローチャートである。
実施の形態3におけるセキュリティ対策効果評価装置100のセキュリティ対策効果方法について、図13に基づいて説明する。
【0113】
セキュリティ対策効果評価装置100は、実施の形態2(図8参照)で説明したようにS210−S230を実行し、実施の形態2で説明したS240の代わりにS250を実行する。
【0114】
S250において、到達レベル表示部140は、目標指標値に対する実施指標値の比率を表す正規化グラフを生成し、生成した正規化グラフを評価結果として表示する。
【0115】
図14は、実施の形態3における結果表示処理(S250)を示すフローチャートである。
実施の形態3における結果表示処理(S250)について、図14に基づいて説明する。
【0116】
S251において、到達レベル表示部140は、所定の正規化値の範囲を実施基準レベルと同じ数の部分範囲に等分する。正規化値の範囲とは、後述する正規化グラフの値の範囲として予め定めたものである。
例えば、4つの実施基準レベル「必須」「標準」「推奨」「強化」があり、正規化値の範囲が「0から20」である場合、到達レベル表示部140は、正規化値の範囲「0から20」を4等分する。これにより、4つの部分範囲「0から5」「5から10」「10から15」「15から20」が得られる。
S251の後、S252に進む。
【0117】
S252において、到達レベル表示部140は、実施基準レベル毎に目標指標値に応じて正規化値の部分範囲を割り当てる。
例えば、到達レベル表示部140は、目標指標値が大きい実施基準レベル(重要度が低い実施基準レベル)に値が大きい正規化値の部分範囲を割り当て、目標指標値が小さい実施基準レベル(重要度が高い実施基準レベル)に値が小さい正規化値の部分範囲を割り当てる。つまり、S251で説明した例の場合、「必須」に「0から5」を割り当て、「標準」に「5から10」を割り当て、「推奨」に「10から15」を割り当て、「強化」に「15から20」を割り当てる。
S252の後、S253に進む。
【0118】
S253において、到達レベル表示部140は、各実施基準レベルの部分範囲のうち実施指標値が属する部分範囲を各実施基準レベルの目標指標値に基づいて判定する。
以下、実施指標値が属する部分範囲を「該当範囲」といい、該当範囲が割り当てられた実施基準レベルを「該当レベル」いう。
【0119】
例えば、到達レベル表示部140は、実施基準レベル毎に当該実施基準レベルの目標指標値から上位の実施基準レベルの目標指標値までの値の範囲を当該実施基準レベルの目標指標値の範囲として判定する。但し、上位の実施基準レベルが存在しない場合、つまり、最も重要度が高い実施基準レベルの場合、当該実施基準レベルの目標指標値から目標指標値の最小値までの値を目標指標値の範囲として判定する。
そして、到達レベル表示部140は、目標指標値の範囲に実施指標値が含まれる実施基準レベルを該当レベルとして判定し、判定した該当レベルに割り当てた部分範囲を該当範囲として判定する。
【0120】
例えば、「必須」の目標指標値が「30」、「標準」の目標指標値が「90」、「推奨」の目標指標値が「135」、「強化」の目標指標値が「150」である場合、「必須」の目標指標値の範囲は「0から30」である。また、「標準」の目標指標値の範囲は「30から90」、「推奨」の目標指標値の範囲は「90から135」である「必須」の目標指標値の範囲は「135から150」である。
また、実施指標値が「112」である場合、実施指標値「112」が「推奨」の目標指標値の範囲「90から135」に含まれるため、「推奨」が該当レベルであり、「推奨」に割り当てた部分範囲「10から15」が該当範囲である。
【0121】
S253の後、S254に進む。
【0122】
S254において、到達レベル表示部140は、実施指標値を該当範囲内の値に変換する。
以下、該当範囲内の値に変換した後の実施指標値を「実施指標値の正規化値」という。
【0123】
例えば、到達レベル表示部140は、各実施基準レベル「必須」「標準」「推奨」「強化」の目標指標値「30」「90」「135」「150」を百分率値に変換する。また、到達レベル表示部140は、実施指標値「112」を百分率値に変換する。
各百分率値の求め方は、実施の形態2で説明した通りである(図9のS241、S242参照)。
これにより、各実施基準レベル「必須」「標準」「推奨」「強化」の実施指標値の百分率値「20」「60」「90」「100」が得られ、実施指標値の百分率値「75」が得られる。
また、各実施基準レベル「必須」「標準」「推奨」「強化」の百分率値の範囲は、「0から20」「20から60」「60から90」「90から100」である。
【0124】
図15は、実施の形態3における各実施基準レベルの実施指標値の百分率値と正規化値との関係を示す折れ線グラフである。横軸で実施指標値の百分率値を示し、縦軸で実施指標値の正規化値を示す。
正規化値の部分範囲の大きさが各実施基準レベルで等しく「5」である一方で、百分率値の範囲の大きさは実施基準レベルによって異なる。このため、図15に示すように、百分率値と正規化値との関係(線分の傾きの大きさ)は実施基準レベルによって異なる。
【0125】
図15に示すように、実施指標値の百分率値「75」は「推奨」の百分率値の範囲「60から90」の中間の値である。このため、実施指標値の百分率値に対応する正規化値は「推奨」の部分範囲「10から15」の中間の値「12.5」である。
したがって、「12.5」が実施指標値の正規化値である。
【0126】
以下に、実施指標値の百分率値(x)と正規化値(y)との関係を表す(1)から(4)の関係式(関数)を示す。
(1)が「必須」部分の関係式であり、(2)が「標準」部分の関係式であり、(3)が「推奨」部分の関係式であり、(4)が「強化」部分の関係式である。
【0127】
【数1】

【0128】
到達レベル表示部140は、実施指標値の該当レベルの関係式に実施指標値の百分率値(x)を代入して実施指標値の正規化値(y)を算出する。
例えば、実施指標値の該当レベル「推奨」の関係式(3)に実施指標値の百分率値(75)を代入することによって実施指標値の正規化値(12.5)が得られる。正規化値の部分範囲の大きさ「N」の値は「5」である。
【0129】
図14に戻り、結果表示処理(S250)の説明を続ける。
【0130】
S254の後、S255に進む。
【0131】
S255において、到達レベル表示部140は、各実施基準レベルの部分範囲と実施指標値の正規化値との関係を表したグラフを表示する。以下、このグラフを「正規化グラフ」という。
S255により、結果表示処理(S250)は終了する。
【0132】
図16は、実施の形態3(実施例1)における結果表示画面200を示す図である。
例えば、実施指標値の正規化値が「推奨」の部分範囲の中間の値である場合、到達レベル表示部140は、図16に示すような棒グラフ(正規化グラフ204)を表示する。
【0133】
<実施例2>
実施の形態2の実施例2と同じく、各情報セキュリティ対策をセキュリティ領域で分類してもよい(図11参照)。
セキュリティ対策効果評価方法(図13参照)は、実施例1に対して以下のような違いがある。
【0134】
S220において、目標基準算出部120は、実施の形態2(実施例2)と同様に、実施基準レベルとセキュリティ領域との組み合わせ毎に目標指標値を算出する。
【0135】
S230において、到達レベル算出部130は、実施の形態2(実施例2)と同様に、セキュリティ領域毎に実施指標値を算出する。
【0136】
S240において、到達レベル表示部140は、セキュリティ領域毎に正規化グラフを表示する。
【0137】
図17は、実施の形態3(実施例2)における結果表示画面200を示す図である。
例えば、到達レベル表示部140は、図17に示すように、各セキュリティ領域の棒グラフ(正規化グラフ204)を並べて表示する。
【0138】
実施の形態3において、例えば、以下のようなセキュリティ対策効果評価装置100について説明した。
【0139】
目標基準算出手段(目標基準算出部120)は、各実施基準レベルの目標基準(目標指標値)を実施基準レベル間で揃うように調整した正規化値を求める。
到達レベル表示手段(到達レベル表示部140)は、算出した到達レベル(実施指標値)から、目標基準算出手段が正規化値を求める方法と同様の方法で正規化値を求める。
到達レベル表示手段(到達レベル表示部140)は、セキュリティ領域ごとに、各実施基準レベルの目標基準の正規化値で区切られたグラフ上に到達レベルの正規化値(正規化グラフ204)を表示する。
【0140】
以上のように、セキュリティ対策効果評価装置100は、組織の対策方針に基づいて算出した実施基準レベルの目標基準と到達レベルとを正規化して表示する。
これにより、管理者は、複数のセキュリティ領域の中で、どのセキュリティ領域が対策の実施が一番進んでいて、どのセキュリティ領域が一番未達成なのかを判断し、セキュリティ領域間の比較評価を容易に行うことができる。
【0141】
実施の形態4.
上記の実施の形態1−3において、各情報セキュリティ対策の効果指標値を予め算出し、算出した効果指標値を予め記憶しても構わない。
【0142】
図18は、実施の形態4における対策定義ファイル191を示す図である。
例えば、図18に示すように、情報セキュリティ対策と効果指標値とを対応付けて対策定義ファイル191に設定してもよい。
効果指標値の算出方法は、実施の形態1で説明した通りである(図4のS120の説明を参照)。
【0143】
S120、S130(図4参照)、S220、S230(図8、13参照)において、各情報セキュリティ対策の効果指標値を算出する代わりに対策定義ファイル191から各効果指標値を取得することにより、処理時間を短縮することができる。
【0144】
さらに、各実施基準レベルの目標指標値を予め算出し、算出した目標指標値を予め記憶しても構わない。
【0145】
図19は、実施の形態4における実施基準定義ファイル192を示す図である。
例えば、図19に示すように、実施基準レベルと目標指標値とを対応付けて実施基準定義ファイル192に設定してもよい。
目標指標値の算出方法は、実施の形態1で説明した通りである(図4のS120の説明を参照)。
【0146】
S120(図4参照)、S220(図8、13参照)において、各実施基準レベルの目標指標値を算出する代わりに実施基準定義ファイル192から各目標指標値を取得することにより、処理時間を短縮することができる。
【符号の説明】
【0147】
100 セキュリティ対策効果評価装置、110 対策実施方針設定部、120 目標基準算出部、130 到達レベル算出部、140 到達レベル表示部、190 評価装置記憶部、191 対策定義ファイル、192 実施基準定義ファイル、200 結果表示画面、201 帯グラフ、202 到達レベル点、203 折れ線グラフ、204 正規化グラフ、901 CPU、902 バス、903 ROM、904 RAM、905 通信ボード、911 ディスプレイ装置、912 キーボード、913 マウス、914 ドライブ装置、920 磁気ディスク装置、921 OS、922 プログラム群、923 ファイル群。

【特許請求の範囲】
【請求項1】
セキュリティのリスクを低減する対策項目と、セキュリティのリスクを低減する効果の度合いを表すリスク低減率と、対策項目の重要度を表す対策レベルとを対応付けた対策定義ファイルを記憶する対策定義ファイル記憶部と、
対策レベルと、リスク低減率の重み付け係数とを対応付けた重み付け定義ファイルを記憶する重み付け定義ファイル記憶部と、
前記対策定義ファイル記憶部に記憶される対策定義ファイルに基づいて特定の対策レベルに対応する対策項目と前記特定の対策レベルより高い重要度の対策レベルに対応する対策項目とを対象項目として判定し、対象項目毎に対象項目に対応するリスク低減率を前記対策定義ファイルから取得し、前記重み付け定義ファイル記憶部に記憶される重み付け定義ファイルから前記特定の対策レベルに対応する重み付け係数と前記特定の対策レベルより高い重要度の対策レベルに対応する重み付け係数とを取得し、対象項目毎にリスク低減率と重み付け係数とに基づいてセキュリティのリスクを低減する効果に関する指標値を効果指標値として算出し、算出した効果指標値を合計した合計値を目標指標値として算出する目標指標値算出部と、
実施されている対策項目として指定された対策項目を実施項目として示す実施項目データに基づいて実施項目毎に実施項目に対応するリスク低減率と対策レベルとを前記対策定義ファイルから取得し、実施項目毎に対策レベルに対応する重み付け係数を前記重み付け定義ファイルから取得し、実施項目毎にリスク低減率と重み付け係数とに基づいて効果指標値を算出し、算出した効果指標値を合計した合計値を実施指標値として算出する実施指標値算出部と、
前記目標指標値算出部によって算出された目標指標値と前記実施指標値算出部によって算出された実施指標値とを対比した対比情報を評価結果として出力する評価結果出力部と
を備えることを特徴とするセキュリティ評価装置。
【請求項2】
前記目標指標値算出部は、前記対策定義ファイルに含まれる対策レベルのうち重要度が最も低い対策レベルの目標指標値を算出し、
前記評価結果出力部は、前記目標指標値算出部によって算出された目標指標値と前記実施指標値算出部によって算出された実施指標値とに基づいて目標指標値に対する実施指標値の比率を算出し、算出した実施指標値の比率を表す表記を含んだ情報を対比情報として評価結果を出力する
ことを特徴とする請求項1記載のセキュリティ評価装置。
【請求項3】
前記目標指標値算出部は、前記対策定義ファイルに含まれる対策レベル毎に目標指標値を算出し、
前記評価結果出力部は、前記目標指標値算出部によって対策レベル毎に算出された目標指標値に基づいて重要度が最も低い対策レベルの目標指標値に対する各対策レベルの目標指標値の比率を算出し、前記実施指標値算出部によって算出された実施指標値に基づいて重要度が最も低い対策レベルの目標指標値に対する実施指標値の比率を算出し、各対策レベルの目標指標値の比率を表す目標指標値の帯グラフを生成し、生成した目標指標値の帯グラフと実施指標値の比率を表す実施指標値の表記とを含んだ情報を対比情報として評価結果を出力する
ことを特徴とする請求項2記載のセキュリティ評価装置。
【請求項4】
前記目標指標値算出部は、前記対策定義ファイルに含まれる対策レベル毎に目標指標値を算出し、
前記評価結果出力部は、所定の値の範囲を対策レベルと同じ数の部分範囲に等分し、対策レベル毎に目標指標値に応じた部分範囲を割り当て、各対策レベルの部分範囲のうち実施指標値が属する部分範囲を各対策レベルの目標指標値に基づいて該当範囲として判定し、実施指標値を該当範囲内の値に変換し、各対策レベルの部分範囲と変換後の実施指標値との関係を表したグラフを実施指標値の比率を表す正規化グラフとして生成し、生成した正規化グラフを含んだ情報を対比情報として評価結果を出力する
ことを特徴とする請求項2記載のセキュリティ評価装置。
【請求項5】
前記対策定義ファイルは、対策項目に対応付けて対策項目を分類するセキュリティ領域を示し、
前記目標指標値算出部は、前記対策定義ファイルに基づいてセキュリティ領域毎に目標指標値を算出し、
前記実施指標値算出部は、前記対策定義ファイルに基づいてセキュリティ領域毎に実施指標値を算出し、
前記評価結果出力部は、セキュリティ領域毎に目標指標値と実施指標値とを対比した対比情報を評価結果として出力する
ことを特徴とする請求項1から請求項4いずれかに記載のセキュリティ評価装置。
【請求項6】
セキュリティのリスクを低減する対策項目と、セキュリティのリスクを低減する効果の度合いを表すリスク低減率と、対策項目の重要度を表す対策レベルとを対応付けた対策定義ファイルを記憶する対策定義ファイル記憶部と、対策レベルと、リスク低減率の重み付け係数とを対応付けた重み付け定義ファイルを記憶する重み付け定義ファイル記憶部とを備えるセキュリティ評価装置のセキュリティ評価方法であって、
目標指標値算出部が、前記対策定義ファイル記憶部に記憶される対策定義ファイルに基づいて特定の対策レベルに対応する対策項目と前記特定の対策レベルより高い重要度の対策レベルに対応する対策項目とを対象項目として判定し、対象項目毎に対象項目に対応するリスク低減率を前記対策定義ファイルから取得し、前記重み付け定義ファイル記憶部に記憶される重み付け定義ファイルから前記特定の対策レベルに対応する重み付け係数と前記特定の対策レベルより高い重要度の対策レベルに対応する重み付け係数とを取得し、対象項目毎にリスク低減率と重み付け係数とに基づいてセキュリティのリスクを低減する効果に関する指標値を効果指標値として算出し、算出した効果指標値を合計した合計値を目標指標値として算出し、
実施指標値算出部が、実施されている対策項目として指定された対策項目を実施項目として示す実施項目データに基づいて実施項目毎に実施項目に対応するリスク低減率と対策レベルとを前記対策定義ファイルから取得し、実施項目毎に対策レベルに対応する重み付け係数を前記重み付け定義ファイルから取得し、実施項目毎にリスク低減率と重み付け係数とに基づいて効果指標値を算出し、算出した効果指標値を合計した合計値を実施指標値として算出し、
評価結果出力部が、前記目標指標値算出部によって算出された目標指標値と前記実施指標値算出部によって算出された実施指標値とを対比した対比情報を評価結果として出力する
ことを特徴とするセキュリティ評価装置のセキュリティ評価方法。
【請求項7】
セキュリティのリスクを低減する対策項目と、セキュリティのリスクを低減する効果の度合いを表すリスク低減率と、対策項目の重要度を表す対策レベルとを対応付けた対策定義ファイルを記憶する対策定義ファイル記憶部と、対策レベルと、リスク低減率の重み付け係数とを対応付けた重み付け定義ファイルを記憶する重み付け定義ファイル記憶部とを備えるセキュリティ評価装置を機能させるセキュリティ評価プログラムであって、
前記対策定義ファイル記憶部に記憶される対策定義ファイルに基づいて特定の対策レベルに対応する対策項目と前記特定の対策レベルより高い重要度の対策レベルに対応する対策項目とを対象項目として判定し、対象項目毎に対象項目に対応するリスク低減率を前記対策定義ファイルから取得し、前記重み付け定義ファイル記憶部に記憶される重み付け定義ファイルから前記特定の対策レベルに対応する重み付け係数と前記特定の対策レベルより高い重要度の対策レベルに対応する重み付け係数とを取得し、対象項目毎にリスク低減率と重み付け係数とに基づいてセキュリティのリスクを低減する効果に関する指標値を効果指標値として算出し、算出した効果指標値を合計した合計値を目標指標値として算出する目標指標値算出部と、
実施されている対策項目として指定された対策項目を実施項目として示す実施項目データに基づいて実施項目毎に実施項目に対応するリスク低減率と対策レベルとを前記対策定義ファイルから取得し、実施項目毎に対策レベルに対応する重み付け係数を前記重み付け定義ファイルから取得し、実施項目毎にリスク低減率と重み付け係数とに基づいて効果指標値を算出し、算出した効果指標値を合計した合計値を実施指標値として算出する実施指標値算出部と、
前記目標指標値算出部によって算出された目標指標値と前記実施指標値算出部によって算出された実施指標値とを対比した対比情報を評価結果として出力する評価結果出力部としてセキュリティ評価装置を機能させる
ことを特徴とするセキュリティ評価プログラム。

【図1】
image rotate

【図2】
image rotate

【図3】
image rotate

【図4】
image rotate

【図5】
image rotate

【図6】
image rotate

【図7】
image rotate

【図8】
image rotate

【図9】
image rotate

【図10】
image rotate

【図11】
image rotate

【図12】
image rotate

【図13】
image rotate

【図14】
image rotate

【図15】
image rotate

【図16】
image rotate

【図17】
image rotate

【図18】
image rotate

【図19】
image rotate


【公開番号】特開2013−25429(P2013−25429A)
【公開日】平成25年2月4日(2013.2.4)
【国際特許分類】
【出願番号】特願2011−157420(P2011−157420)
【出願日】平成23年7月19日(2011.7.19)
【出願人】(000006013)三菱電機株式会社 (33,312)
【出願人】(394013002)三菱電機インフォメーションシステムズ株式会社 (251)
【Fターム(参考)】