セキュリティ評価装置及びセキュリティ評価方法及びセキュリティ評価プログラム
【課題】多面的、網羅的で精度の高いセキュリティ評価・分析を行えるようにすることを目的とする。
【解決手段】複数のセキュリティ管理策を対策箇所と脅威の種類との組み合わせによって複数のグループに分類する。対策実施率計算部２２７は、グループごとに、実施する必要があるセキュリティ管理策の数と、実際に実施しているセキュリティ管理策の数との比率を対策実施率として計算する。対策充足率計算部２２８は、グループごとに、各セキュリティ管理策の実施内容を数値評価した場合の目標値の合計と実績値の合計との比率を対策充足率として計算する。評価マップ作成部２２９は、対策箇所を縦軸に配置し、脅威の種類を横軸に配置し、グループごとに、対策実施率計算部２２７により計算された対策実施率と対策充足率計算部２２８により計算された対策充足率とを表示した評価マップを作成する。
【解決手段】複数のセキュリティ管理策を対策箇所と脅威の種類との組み合わせによって複数のグループに分類する。対策実施率計算部２２７は、グループごとに、実施する必要があるセキュリティ管理策の数と、実際に実施しているセキュリティ管理策の数との比率を対策実施率として計算する。対策充足率計算部２２８は、グループごとに、各セキュリティ管理策の実施内容を数値評価した場合の目標値の合計と実績値の合計との比率を対策充足率として計算する。評価マップ作成部２２９は、対策箇所を縦軸に配置し、脅威の種類を横軸に配置し、グループごとに、対策実施率計算部２２７により計算された対策実施率と対策充足率計算部２２８により計算された対策充足率とを表示した評価マップを作成する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュリティ評価装置及びセキュリティ評価方法及びセキュリティ評価プログラムに関するものである。本発明は、特に、情報システム（コンピュータシステム）のセキュリティ評価・分析方法及び装置に関するものである。
【背景技術】
【０００２】
従来、情報システムのセキュリティ評価・分析方法に関し、対象システムの構成情報、セキュリティポリシー等に基づいて、高度な専門的知識をもつシステム管理者でなくても、対象システムのセキュリティを評価したり、セキュリティ施策を作成したりできるものがある（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００１−１０１１３５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
従来技術では、セキュリティ評価の対象を１つ以上の「機器」で構成される「システム」としており、セキュリティ評価項目は対象となる「機器」に従属して定義されている。この場合、次の課題が生じる。
（１）セキュリティ評価の対象を「機器」、「システム」としているため、「機器」、「システム」に従属しないセキュリティ評価項目が定義できない。例えば、「組織」、「人」、「設備」等のセキュリティ評価項目の設定ができない、又は、設定し難い。つまり、セキュリティ評価項目の網羅性に欠けるという課題がある。
（２）セキュリティ評価項目が「機器」、「システム」に従属して定義されているため、評価対象「機器」、「システム」の増加に伴い、対象「機器」、「システム」のセキュリティ評価項目を追加設定する必要がある。つまり、評価システムのメンテナンス性がよくないという課題がある。
【０００５】
従来技術では、セキュリティ評価結果を対策機能グループ（施策種別）ごとに、対策の実施有無のみでレーダチャートの評価レポートを作成しているため、以下に示すように対策の弱点分析の精度に課題がある。
（１）セキュリティ管理策を施す領域（対策箇所）には、ネットワーク、サーバ、端末、データ等、様々な対策領域が存在するが、対策機能だけで分類したレーダチャートでは、各対策領域のどこに過不足があるのか分からない。
（２）対策機能の有無の確認だけでは、その対策機能が十分に機能しているか否かを測ることができない。また、その対策がどのように運用されているかを評価しないと、その対策が十分機能しているか判断することができない。
【０００６】
従来技術では、セキュリティ評価のセキュリティ強度を「最強」、「強」、「並」といった単純なレベル分けで分類し、分類に応じて評価レベル（ベースライン）を変動させている。この場合、次の課題が生じる。
（１）セキュリティの強度は、セキュリティ事故が発生した場合のビジネスインパクトに応じて木目細かく設定できることが好ましいが、「最強」、「強」、「並」といった単純なレベル分けでは、システムのビジネスインパクトに応じた木目細かな評価レベル設定はできない。
（２）機密性（情報が漏れないこと等）、完全性（情報が改ざんされないこと等）、可用性（情報が常に使用できること等）、信頼性（ソフトウェアに不具合が発生しないこと等）、遵守性（法令違反や契約違反がないこと等）といったセキュリティ機能要件に応じた、木目細かい評価レベルの分類を行う必要があるが、従来技術ではできない。
【０００７】
このように、従来技術は「機器」、「システム」に従属したセキュリティ評価方法として成り立つが、セキュリティ対策領域の全体を網羅し、かつ、どの対策領域に、どんな対策機能が、どのように施されているかといった、木目細かな評価ができない。また、セキュリティ強度の評価レベル（ベースライン）の設定基準が単純なため、木目細かな評価レベルの調整もできないという課題がある。
【０００８】
本発明は、例えば、多面的、網羅的で精度の高いセキュリティ評価・分析を行えるようにすることを目的とする。
【課題を解決するための手段】
【０００９】
本発明の一の態様に係るセキュリティ評価装置は、
情報システムのセキュリティに係る対策である複数のセキュリティ管理策を２種類以上の分類項目の組み合わせによって複数のグループに分類し、セキュリティ管理策のグループごとにセキュリティの評価を行うセキュリティ評価装置であって、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の要否を示す目標フラグと、各セキュリティ管理策の実施内容を数値評価した場合の目標値とを記憶装置に記憶する目標記憶部と、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の有無を示す実績フラグと、各セキュリティ管理策の実施内容を数値評価した実績値とを入力し、記憶装置に記憶する実績入力部と、
セキュリティ管理策のグループごとに、前記目標記憶部により記憶された目標フラグと前記実績入力部により記憶された実績フラグとを参照して、実施する必要があるセキュリティ管理策の数と、実際に実施しているセキュリティ管理策の数との比率を対策実施率として処理装置により計算する対策実施率計算部と、
セキュリティ管理策のグループごとに、前記目標記憶部により記憶された目標値の合計と前記実績入力部により記憶された実績値の合計との比率を対策充足率として処理装置により計算する対策充足率計算部と、
セキュリティ管理策のグループごとに、前記対策実施率計算部により計算された対策実施率と前記対策充足率計算部により計算された対策充足率とを表示装置に出力する出力部とを備えることを特徴とする。
【００１０】
本発明の他の態様に係るセキュリティ評価装置は、
情報システムのセキュリティに係る対策である複数のセキュリティ管理策を２種類以上の分類項目の組み合わせによって複数のグループに分類し、セキュリティ管理策のグループごとにセキュリティの評価を行うセキュリティ評価装置であって、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の要否を示す目標フラグと、各セキュリティ管理策の実施内容を数値評価した場合の目標値とを記憶装置に記憶する目標記憶部と、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の有無を示す実績フラグと、各セキュリティ管理策の実施内容を数値評価した実績値とを入力し、記憶装置に記憶する実績入力部と、
セキュリティ管理策のグループごとに、前記目標記憶部により記憶された目標フラグと前記実績入力部により記憶された実績フラグとを参照して、実施する必要があるセキュリティ管理策の数と、実際に実施しているセキュリティ管理策の数との比率を対策実施率として処理装置により計算する対策実施率計算部と、
セキュリティ管理策のグループごとに、前記目標記憶部により目標値が記憶されているセキュリティ管理策の数と、前記実績入力部により記憶された実績値が前記目標記憶部により記憶された目標値に達しているセキュリティ管理策の数との比率を対策充足率として処理装置により計算する対策充足率計算部と、
セキュリティ管理策のグループごとに、前記対策実施率計算部により計算された対策実施率と前記対策充足率計算部により計算された対策充足率とを表示装置に出力する出力部とを備えることを特徴とする。
【００１１】
前記出力部は、２種類の分類項目の一方を縦軸に配置し、他方を横軸に配置し、セキュリティ管理策のグループごとに、前記対策実施率計算部により計算された対策実施率と前記対策充足率計算部により計算された対策充足率とを表示した評価マップを作成し、表示装置に出力する評価マップ作成部であることを特徴とする。
【００１２】
前記評価マップ作成部は、前記対策実施率計算部により計算された対策実施率と前記対策充足率計算部により計算された対策充足率とをそれぞれの値に応じて色分け表示した評価マップを作成することを特徴とする。
【００１３】
前記評価マップ作成部は、セキュリティ管理策のグループごとに、前記対策実施率計算部により計算された対策実施率と前記対策充足率計算部により計算された対策充足率とを上下又は左右２段に並べて表示した評価マップを作成することを特徴とする。
【００１４】
前記セキュリティ評価装置は、さらに、
特定のセキュリティ管理策を組み合わせ、当該セキュリティ管理策のそれぞれの実施内容を定めた共通対策ソリューションを複数定義するソリューション情報を記憶装置に記憶するソリューション情報記憶部と、
前記ソリューション情報記憶部により記憶されたソリューション情報で定義された複数の共通対策ソリューションのうち、情報システムに導入された共通対策ソリューションを選択し、選択した共通対策ソリューションに含まれるセキュリティ管理策の実績フラグと実績値とを当該ソリューション情報に基づいて設定する実績設定部とを備え、
前記実績入力部は、前記実績設定部により選択された共通対策ソリューションに含まれるセキュリティ管理策以外のセキュリティ管理策の実績フラグと実績値とを入力し、入力したセキュリティ管理策の実績フラグと実績値と、前記実績設定部により設定されたセキュリティ管理策の実績フラグと実績値とを記憶装置に記憶することを特徴とする。
【００１５】
前記セキュリティ評価装置は、さらに、
前記出力部により対策実施率と対策充足率とが出力された後に、前記ソリューション情報記憶部により記憶されたソリューション情報で定義された複数の共通対策ソリューションのいずれかを任意に選択し、選択した共通対策ソリューションに含まれるセキュリティ管理策の実績フラグと実績値とを当該ソリューション情報に基づいて設定した場合に前記対策実施率計算部により計算される対策実施率と前記対策充足率計算部により計算される対策充足率とを表示装置に出力するシミュレーション部を備えることを特徴とする。
【００１６】
前記対策充足率計算部は、さらに、セキュリティ管理策ごとに、前記実績入力部により記憶された実績値から前記目標記憶部により記憶された目標値を減算し、セキュリティ管理策のグループごとに、当該減算結果の最小値と最大値との少なくともいずれかを対策充足度として処理装置により計算し、
前記出力部は、セキュリティ管理策のグループごとに、前記対策充足率計算部により計算された対策充足度を表示装置に出力することを特徴とする。
【００１７】
本発明の一の態様に係るセキュリティ評価方法は、
情報システムのセキュリティに係る対策である複数のセキュリティ管理策を２種類以上の分類項目の組み合わせによって複数のグループに分類し、セキュリティ管理策のグループごとにセキュリティの評価を行うセキュリティ評価方法であって、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の要否を示す目標フラグと、各セキュリティ管理策の実施内容を数値評価した場合の目標値とを記憶装置に記憶し、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の有無を示す実績フラグと、各セキュリティ管理策の実施内容を数値評価した実績値とを入力し、記憶装置に記憶し、
セキュリティ管理策のグループごとに、記憶装置に記憶された目標フラグと実績フラグとを参照して、実施する必要があるセキュリティ管理策の数と、実際に実施しているセキュリティ管理策の数との比率を対策実施率として処理装置により計算し、
セキュリティ管理策のグループごとに、記憶装置に記憶された目標値の合計と記憶装置に記憶された実績値の合計との比率を対策充足率として処理装置により計算し、
セキュリティ管理策のグループごとに、計算された対策実施率と対策充足率とを表示装置に出力することを特徴とする。
【００１８】
本発明の他の態様に係るセキュリティ評価方法は、
情報システムのセキュリティに係る対策である複数のセキュリティ管理策を２種類以上の分類項目の組み合わせによって複数のグループに分類し、セキュリティ管理策のグループごとにセキュリティの評価を行うセキュリティ評価方法であって、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の要否を示す目標フラグと、各セキュリティ管理策の実施内容を数値評価した場合の目標値とを記憶装置に記憶し、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の有無を示す実績フラグと、各セキュリティ管理策の実施内容を数値評価した実績値とを入力し、記憶装置に記憶し、
セキュリティ管理策のグループごとに、記憶装置に記憶された目標フラグと実績フラグとを参照して、実施する必要があるセキュリティ管理策の数と、実際に実施しているセキュリティ管理策の数との比率を対策実施率として処理装置により計算し、
セキュリティ管理策のグループごとに、記憶装置に目標値が記憶されているセキュリティ管理策の数と、記憶装置に記憶された実績値が目標値に達しているセキュリティ管理策の数との比率を対策充足率として処理装置により計算し、
セキュリティ管理策のグループごとに、計算された対策実施率と対策充足率とを表示装置に出力することを特徴とする。
【００１９】
本発明の一の態様に係るセキュリティ評価プログラムは、
情報システムのセキュリティに係る対策である複数のセキュリティ管理策を２種類以上の分類項目の組み合わせによって複数のグループに分類し、セキュリティ管理策のグループごとにセキュリティの評価を行うセキュリティ評価プログラムであって、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の要否を示す目標フラグと、各セキュリティ管理策の実施内容を数値評価した場合の目標値とを記憶装置に記憶する目標記憶処理と、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の有無を示す実績フラグと、各セキュリティ管理策の実施内容を数値評価した実績値とを入力し、記憶装置に記憶する実績入力処理と、
セキュリティ管理策のグループごとに、前記目標記憶処理により記憶された目標フラグと前記実績入力処理により記憶された実績フラグとを参照して、実施する必要があるセキュリティ管理策の数と、実際に実施しているセキュリティ管理策の数との比率を対策実施率として処理装置により計算する対策実施率計算処理と、
セキュリティ管理策のグループごとに、前記目標記憶処理により記憶された目標値の合計と前記実績入力処理により記憶された実績値の合計との比率を対策充足率として処理装置により計算する対策充足率計算処理と、
セキュリティ管理策のグループごとに、前記対策実施率計算処理により計算された対策実施率と前記対策充足率計算処理により計算された対策充足率とを表示装置に出力する出力処理とをコンピュータに実行させることを特徴とする。
【００２０】
本発明の他の態様に係るセキュリティ評価プログラムは、
情報システムのセキュリティに係る対策である複数のセキュリティ管理策を２種類以上の分類項目の組み合わせによって複数のグループに分類し、セキュリティ管理策のグループごとにセキュリティの評価を行うセキュリティ評価プログラムであって、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の要否を示す目標フラグと、各セキュリティ管理策の実施内容を数値評価した場合の目標値とを記憶装置に記憶する目標記憶処理と、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の有無を示す実績フラグと、各セキュリティ管理策の実施内容を数値評価した実績値とを入力し、記憶装置に記憶する実績入力処理と、
セキュリティ管理策のグループごとに、前記目標記憶処理により記憶された目標フラグと前記実績入力処理により記憶された実績フラグとを参照して、実施する必要があるセキュリティ管理策の数と、実際に実施しているセキュリティ管理策の数との比率を対策実施率として処理装置により計算する対策実施率計算処理と、
セキュリティ管理策のグループごとに、前記目標記憶処理により目標値が記憶されているセキュリティ管理策の数と、前記実績入力処理により記憶された実績値が前記目標記憶処理により記憶された目標値に達しているセキュリティ管理策の数との比率を対策充足率として処理装置により計算する対策充足率計算処理と、
セキュリティ管理策のグループごとに、前記対策実施率計算処理により計算された対策実施率と前記対策充足率計算処理により計算された対策充足率とを表示装置に出力する出力処理とをコンピュータに実行させることを特徴とする。
【発明の効果】
【００２１】
本発明の一の態様によれば、セキュリティ評価装置において、
複数のセキュリティ管理策を２種類以上の分類項目の組み合わせによって複数のグループに分類し、
対策実施率計算部が、セキュリティ管理策のグループごとに、実施する必要があるセキュリティ管理策の数と、実際に実施しているセキュリティ管理策の数との比率を対策実施率として計算し、
対策充足率計算部が、セキュリティ管理策のグループごとに、各セキュリティ管理策の実施内容を数値評価した場合の目標値の合計と実績値の合計との比率を対策充足率として計算し、
出力部が、セキュリティ管理策のグループごとに、前記対策実施率計算部により計算された対策実施率と前記対策充足率計算部により計算された対策充足率とを出力することにより、
多面的、網羅的で精度の高いセキュリティ評価・分析を行うことが可能となる。
【図面の簡単な説明】
【００２２】
【図１】実施の形態１に係るセキュリティ評価システムの構成を示すブロック図である。
【図２】実施の形態１に係るセキュリティ管理策ＤＢの具体例を示す表である。
【図３】実施の形態１に係る運用レベルＤＢの具体例を示す表である。
【図４】実施の形態１に係る共通対策ソリューションＤＢの具体例を示す表である。
【図５】実施の形態１に係るサーバ装置の構成を示すブロック図である。
【図６】実施の形態１に係るサーバ装置、端末装置のハードウェア構成の一例を示す図である。
【図７】実施の形態１に係るセキュリティ評価システムの動作を示すフローチャートである。
【図８】実施の形態１に係るビジネスインパクトＤＢの具体例を示す表である。
【図９】実施の形態１に係るセキュリティ管理策ＤＢの具体例を示す表である。
【図１０】実施の形態１に係る運用レベル定義ＤＢの具体例を示す表である。
【図１１】実施の形態１に係るセキュリティ管理策一覧の具体例を示す表である。
【図１２】実施の形態１に係るセキュリティ管理策一覧の具体例を示す表である。
【図１３】実施の形態１に係る評価マップの色分け方法の具体例を示す表である。
【図１４】実施の形態１に係る評価マップの具体例を示す図である。
【図１５】実施の形態２に係るセキュリティ評価システムの動作の詳細を示すフローチャートである。
【図１６】実施の形態２に係るセキュリティ評価システムの動作の詳細を示すフローチャートである。
【図１７】実施の形態２に係るセキュリティ評価システムの動作の詳細を示すフローチャートである。
【図１８】実施の形態２に係るセキュリティ評価システムの動作の詳細を示すフローチャートである。
【図１９】実施の形態５に係るサーバ装置の構成を示すブロック図である。
【図２０】実施の形態５に係るセキュリティ評価システムの動作を示すフローチャートである。
【発明を実施するための形態】
【００２３】
以下、本発明の実施の形態について、図を用いて説明する。
【００２４】
実施の形態１．
図１は、本実施の形態に係るセキュリティ評価システム１００の構成を示すブロック図である。
【００２５】
図１において、セキュリティ評価システム１００は、情報システム（コンピュータシステム）のセキュリティ評価・分析を行うシステムであり、ネットワーク１５０を介して接続されたサーバ装置２００（以下、単に「サーバ」という場合がある）と端末装置３００（以下、単に「端末」という場合がある）とを備えている。サーバ装置２００、端末装置３００は、それぞれ複数設置してもよく、これにより利便性、耐障害性、可用性、効率性等を向上させることができる。
【００２６】
サーバ装置２００は、セキュリティ評価装置の一例であり、情報システムのセキュリティに係る対策である複数のセキュリティ管理策を２種類以上の分類項目の組み合わせによって複数のグループに分類し、セキュリティ管理策のグループごとにセキュリティの評価を行う。そのために、サーバ装置２００には、ビジネスインパクト設定機能２０１、セキュリティ管理策選定機能２０２、共通対策ソリューション設定機能２０３、実施有無・運用レベル設定機能２０４、評価マップ作成機能２０５が実装されている。これらの機能の詳細については後述する。また、サーバ装置２００は、データベース２１０を具備している。データベース２１０（ＤＢ）には、セキュリティ管理策ＤＢ２１１、ビジネスインパクトＤＢ２１２、運用レベルＤＢ２１３、共通対策ソリューションＤＢ２１４、運用レベル定義ＤＢ２１５が含まれている。
【００２７】
端末装置３００は、ネットワーク１５０を介して、サーバ装置２００からセキュリティの評価結果を取得して、ユーザ（情報システムの管理者等）に提示する。そのために、端末装置３００には、ビジネスインパクト条件入力機能３０１、セキュリティ管理策一覧表示機能３０２、共通対策ソリューション入力機能３０３、実施有無・運用レベル入力機能３０４、評価マップ表示機能３０５が実装されている。これらの機能の詳細については後述する。また、端末装置３００は、入力装置３５１、表示装置３５２を具備している。ユーザは、端末装置３００を利用してセキュリティの評価結果を参照し、セキュリティの分析及び改善策の検討等を行うことができる。
【００２８】
情報システムに対するセキュリティ管理策は、対応する「脅威」の種類によって異なり、その「対策領域」も様々であるが、従来は、どの脅威に対して、どこに、どれだけの対策が、どのように施されているかを、システム全体で俯瞰することは非常に困難であった。そのため、実施しているセキュリティ管理策の妥当性や網羅性が判断しにくく、どんな対策を、どこまで、どのように実施すればよいのか分からないといった課題があった。これに対し、本実施の形態では、サーバ装置２００及び端末装置３００において、上記の各機能を活用することにより、多面的、網羅的で精度の高いセキュリティ評価・分析を行うことを可能にしているため、どの脅威に対して、どこに、どれだけの対策が、どのように施されているかを容易に把握することができる。また、これにより、情報システムのセキュリティ上の弱点等を簡単に見つけられるため、どんな対策を、どこまで、どのように追加して実施すればよいのかが分かりやすくなるという効果を奏する。
【００２９】
前述したように、本実施の形態において、セキュリティ管理策は、２種類以上の分類項目の組み合わせによって複数のグループに分類され、セキュリティ管理策ＤＢ２１１に記憶される。ここでは、例として、セキュリティ管理策１つ１つに対し、次の４つの視点で分類、指標化がなされるものとする。
（１）対策箇所：セキュリティ管理策を施す領域である。
（２）脅威：セキュリティ管理策が対応する脅威である。
（３）セキュリティ機能要件：セキュリティ管理策に対する情報セキュリティ機能要件である。
（４）対策手段：セキュリティ管理策の対策手段である。
【００３０】
上記のように、多種多様なセキュリティ管理策を４種類の分類項目で分類することによって、各セキュリティ管理策の属性を明確にし、属性データを利用して多面的なセキュリティ評価・分析を実現することが可能となる。また、セキュリティ管理策の属性ごとに、現在のセキュリティ対策状況の弱点を分析することにより、網羅的で精度の高い弱点分析を行うことが可能となる。さらに、セキュリティの最も弱い部分を強化するために必要性の高いセキュリティ管理策を見つけやすくなるので、効率的にセキュリティ強化を行うことが可能となる。
【００３１】
上記４種類の分類項目のうち、（１）対策箇所は、セキュリティ管理策を施す領域を表し、情報システム全体を、いくつかの視点で分類したものである。本実施の形態では、一例として、人や情報セキュリティに注目した分類を行っている。人に係る領域としては、「利用者」、「管理者」等がある。情報セキュリティに係る領域としては、「ネットワーク」等がある。その他、物理セキュリティ、組織等に注目した分類を行って、領域を任意に定義することが可能である。このように、情報システムを構成する物理的な機器ではなく、論理的なレイヤで分類してセキュリティ管理策を管理することにより、機器以外の「人」や「組織」に対する管理策を含めて網羅的に管理を行うことが可能となる。また、論理的なレイヤにより分類して管理するため、物理的な機器が増えても新たに管理策を定義する必要がなく、メンテナンスが容易になるという効果がある。
【００３２】
ここで、図２にセキュリティ管理策ＤＢ２１１の具体例を示す。
【００３３】
例えば、図２において、「顧客情報、取引情報等の機密情報へのアクセス権限者を明確にしている」というセキュリティ管理策（セキュリティ管理策番号：１）は、利用者である顧客に対して実施するものであるから、対応する対策箇所が「利用者」に設定されている。
【００３４】
また、例えば、図２において、「ファイアウォールを設定している場合、アカウント使用履歴や、リソース使用状況等を定期的に監視している」というセキュリティ管理策（セキュリティ管理策番号：２１）は、ネットワーク機器の１つであるファイアウォールに対して実施するものであるから、対応する対策箇所が「ネットワーク」に設定されている。
【００３５】
他のセキュリティ管理策についても、それぞれの内容に従い、対応する対策箇所が設定されている。なお、図２に示したものは例であり、どのセキュリティ管理策をどの対策箇所に対応付けるかは任意に決めてよい。
【００３６】
上記４種類の分類項目のうち、（２）脅威は、情報システムがさらされる脅威を、故意的、偶発的、環境的な視点等、異なる視点で列挙し、いくつかの脅威に分類したものである。本実施の形態では、一例として、故意的なものや偶発的なものに注目した分類を行っている。故意的な脅威としては、「不正侵入」、「盗聴」、「権限乱用」、「漏洩」、「なりすまし」、「否認」、「情報改ざん」等がある。偶発的な脅威としては、「過失」等がある。その他、環境的なもの等に注目した分類を行って、脅威を任意に定義することが可能である。
【００３７】
ここでも、図２に示したセキュリティ管理策ＤＢ２１１の具体例を参照する。
【００３８】
例えば、図２において、前述した「顧客情報、取引情報等の機密情報へのアクセス権限者を明確にしている」というセキュリティ管理策（セキュリティ管理策番号：１）は、機密情報の漏洩や改ざんを予防するために実施するものであるから、対応する脅威が「漏洩」、「情報改ざん」に設定されている。
【００３９】
また、例えば、図２において、「ファイアウォールを設定している場合、アカウント使用履歴や、リソース使用状況等を定期的に監視している」というセキュリティ管理策（セキュリティ管理策番号：２１）は、外部ネットワークからの不正侵入やアカウント権限の乱用等を検知するために実施するものであるから、対応する脅威が「不正侵入」、「権限乱用」等に設定されている。
【００４０】
他のセキュリティ管理策についても、それぞれの内容に従い、対応する脅威が設定されている。なお、図２に示したものは例であり、どのセキュリティ管理策をどの脅威に対応付けるかは任意に決めてよい。
【００４１】
上記４種類の分類項目のうち、（３）セキュリティ機能要件は、セキュリティ管理策の目的を５つの機能要件に分類したものである。機能要件としては、「機密性」、「完全性」、「可用性」、「信頼性」、「遵守性」がある。機能要件は、後述するセキュリティ対策レベルの指標となる「ベースライン」の決定因子となる。このように、セキュリティ対策状況を機能要件ごとに分類・整理して分析することにより、高度なセキュリティレベルが必要な機能要件を確保するための対策を優先して実施することが可能となる。
【００４２】
ここでも、図２に示したセキュリティ管理策ＤＢ２１１の具体例を参照する。
【００４３】
例えば、図２において、前述した「顧客情報、取引情報等の機密情報へのアクセス権限者を明確にしている」というセキュリティ管理策（セキュリティ管理策番号：１）は、機密性及び完全性を維持するために実施するものであるから、対応するセキュリティ機能要件が「機密性」、「完全性」に設定されている。
【００４４】
また、例えば、図２において、「ファイアウォールを設定している場合、アカウント使用履歴や、リソース使用状況等を定期的に監視している」というセキュリティ管理策（セキュリティ管理策番号：２１）も、機密性及び完全性を維持するために実施するものであるから、対応するセキュリティ機能要件が「機密性」、「完全性」に設定されている。
【００４５】
他のセキュリティ管理策についても、それぞれの内容に従い、対応するセキュリティ機能要件が設定されている。なお、図２に示したものは例であり、どのセキュリティ管理策をどのセキュリティ機能要件に対応付けるかは任意に決めてよい。
【００４６】
上記４種類の分類項目のうち、（４）対策手段は、セキュリティ管理策のプロセスを３つの手段に分類したものである。手段としては、「予防」、「検知」、「対処」がある。このように、セキュリティ対策状況を対策手段ごとに分類・整理して分析することにより、予防の管理策は実施しているが、検知、対処の管理策の実施ができていないといった、詳細な弱点分析を行うことが可能となる。
【００４７】
ここでも、図２に示したセキュリティ管理策ＤＢ２１１の具体例を参照する。
【００４８】
例えば、図２において、前述した「顧客情報、取引情報等の機密情報へのアクセス権限者を明確にしている」というセキュリティ管理策（セキュリティ管理策番号：１）は、機密情報の漏洩や改ざんを予防するために実施するものであるから、対応する対策手段が「予防」に設定されている。
【００４９】
また、例えば、図２において、「ファイアウォールを設定している場合、アカウント使用履歴や、リソース使用状況等を定期的に監視している」というセキュリティ管理策（セキュリティ管理策番号：２１）は、外部ネットワークからの不正侵入やアカウント権限の乱用等を検知するために実施するものであるから、対応する対策手段が「検知」に設定されている。
【００５０】
他のセキュリティ管理策についても、それぞれの内容に従い、対応する対策手段が設定されている。なお、図２に示したものは例であり、どのセキュリティ管理策をどの対策手段に対応付けるかは任意に決めてよい。
【００５１】
本実施の形態において、一部のセキュリティ管理策については、運用レベルが定義され、運用レベルＤＢ２１３に記憶される。運用レベルは、セキュリティ管理策を実施する際に運用が伴う場合、その運用の質を表す指標である。言い換えれば、運用レベルは、各セキュリティ管理策の実施内容を数値評価したものである。ここでは、例として、対象となるセキュリティ管理策ごとに、レベル１から５までの５段階の運用レベルが定義されるものとする。即ち、各セキュリティ管理策の実施内容は１から５までの５段階で数値評価される。
【００５２】
ここで、図３に運用レベルＤＢ２１３の具体例を示す。
【００５３】
例えば、図３において、「顧客情報、取引情報等の機密情報へのアクセス権限者を明確にしている」というセキュリティ管理策（セキュリティ管理策番号：１）については、「アクセス権限者の特定方法」に関し、どのような運用をしているかに応じて、レベル２から５までの運用レベルが定義されている。具体的には、「二人の権限者の合意で操作できる」場合はレベル５、「権限者を最小限に制限し、定期的に見直している」場合はレベル４、「権限者の数は制限していないが、定期的に見直している」場合はレベル３、「権限者の数の制限や定期的な見直しはなし」の場合はレベル２として定義されている（このように、必ずしも５段階全ての運用レベルを定義しなければならないわけではない）。
【００５４】
また、例えば、図３において、「ファイアウォールを設定している場合、アカウント使用履歴や、リソース使用状況等を定期的に監視している」というセキュリティ管理策（セキュリティ管理策番号：２１）については、「アカウント使用履歴の監視インターバル」に関し、どのような運用をしているかに応じて、レベル１から５までの運用レベルが定義されている。具体的には、「リアルタイム」の場合はレベル５、「１時間以内」の場合はレベル４、「６時間以内」の場合はレベル３、「２４時間以内」の場合はレベル２、「それ以上」の場合はレベル１として定義されている。
【００５５】
他のセキュリティ管理策についても、それぞれの運用レベルが定義されている。なお、図３に示したものは例であり、どのセキュリティ管理策について、どのような運用レベルを定義するかは任意に決めてよい。
【００５６】
本実施の形態では、特定のセキュリティ管理策を組み合わせ、当該セキュリティ管理策のそれぞれの実施内容を定めた共通対策ソリューションが複数定義される。それぞれの共通対策ソリューションを定義するソリューション情報は、共通対策ソリューションＤＢ２１４に記憶される。ソリューション情報では、それぞれの共通対策ソリューションにソリューション番号及びソリューション名が付され、これらによって共通対策ソリューションＤＢ２１４が管理される。以下で説明するように、共通対策ソリューションＤＢ２１４において定義された共通対策ソリューションが選択された場合、その共通対策ソリューションに対応するセキュリティ管理策は特定の実施内容で（例えば、特定の運用レベルで）実施済であるとみなされる。
【００５７】
ここで、図４に共通対策ソリューションＤＢ２１４の具体例を示す。
【００５８】
例えば、図４において、「××社ネットワーク監視サービス」というソリューション名をもつ共通対策ソリューション（ソリューション番号：４）は、セキュリティ管理策番号：１９のセキュリティ管理策（「外部ネットワークと接続する場合は、ファイアウォールを設置して通信を制御している」）とセキュリティ管理策番号：２１のセキュリティ管理策（「ファイアウォールを設定している場合、アカウント使用履歴や、リソース使用状況等を定期的に監視している」）を組み合わせたものであることが定義されている。よって、「××社ネットワーク監視サービス」が選択されると、セキュリティ管理策番号：１９のセキュリティ管理策とセキュリティ管理策番号：２１のセキュリティ管理策が実施済であるとみなされることになる。また、「××社ネットワーク監視サービス」では、セキュリティ管理策番号：２１のセキュリティ管理策が実施される際に、その運用レベルがレベル５（「リアルタイム」に「アカウント使用履歴の監視」を行う）となることが定義されている。よって、「××社ネットワーク監視サービス」が選択されると、セキュリティ管理策番号：１９のセキュリティ管理策とセキュリティ管理策番号：２１のセキュリティ管理策が実施済であるとみなされるだけでなく、セキュリティ管理策番号：２１のセキュリティ管理策がレベル５で実施されているとみなされることになる。この例では、共通対策ソリューションに対応するセキュリティ管理策の各々について、運用レベルが直接定められているが、運用レベル以外の表現でセキュリティ管理策の実施内容が定められていてもよい。この場合、定められた実施内容がどの運用レベルに相当するかが運用レベルＤＢ２１３を参照することにより、判断されることになる。
【００５９】
他の共通対策ソリューションについても、セキュリティ管理策の組み合わせ、及び、それぞれの運用レベルが設定されている。なお、図４に示したものは例であり、どの共通対策ソリューションについて、どのセキュリティ管理策を組み合わせ、どの運用レベルを設定するかは任意に決めてよい。
【００６０】
図５は、サーバ装置２００の構成を示すブロック図である。
【００６１】
図５において、サーバ装置２００は、条件入力部２２１、目標設定部２２２、目標記憶部２２３、ソリューション情報記憶部２２４、実績設定部２２５、実績入力部２２６、対策実施率計算部２２７、対策充足率計算部２２８、評価マップ作成部２２９（出力部の一例）を備える。また、サーバ装置２００は、処理装置２５１、記憶装置２５２、入力装置２５３、出力装置２５４等のハードウェアを備える。ハードウェアはサーバ装置２００の各部によって利用される。例えば、処理装置２５１は、サーバ装置２００の各部でデータや情報の演算、加工、読み取り、書き込み等を行うために利用される。記憶装置２５２は、そのデータや情報を記憶するために利用される。また、入力装置２５３は、そのデータや情報を入力するために、出力装置２５４は、そのデータや情報を出力するために利用される。
【００６２】
記憶装置２５２には、データベース２１０が実装される。例えば、図２に示したセキュリティ管理策ＤＢ２１１、図３に示した運用レベルＤＢ２１３、図４に示した共通対策ソリューションＤＢ２１４、後述するビジネスインパクトＤＢ２１２、運用レベル定義ＤＢ２１５が、記憶装置２５２に記憶されている。
【００６３】
条件入力部２２１には、ビジネスインパクト設定機能２０１が実装される。目標設定部２２２、目標記憶部２２３には、セキュリティ管理策選定機能２０２が実装される。実績設定部２２５には、共通対策ソリューション設定機能２０３、実施有無・運用レベル設定機能２０４の一部が実装される。実績入力部２２６には、実施有無・運用レベル設定機能２０４の一部が実装される。対策実施率計算部２２７、対策充足率計算部２２８、評価マップ作成部２２９には、評価マップ作成機能２０５が実装される。各部の動作については後述する。
【００６４】
図６は、サーバ装置２００、端末装置３００それぞれのハードウェア構成の一例を示す図である。
【００６５】
図６において、サーバ装置２００、端末装置３００は、それぞれコンピュータであり、ＬＣＤ９０１（Ｌｉｑｕｉｄ・Ｃｒｙｓｔａｌ・Ｄｉｓｐｌａｙ）、キーボード９０２（Ｋ／Ｂ）、マウス９０３、ＦＤＤ９０４（Ｆｌｅｘｉｂｌｅ・Ｄｉｓｋ・Ｄｒｉｖｅ）、ＣＤＤ９０５（Ｃｏｍｐａｃｔ・Ｄｉｓｃ・Ｄｒｉｖｅ）、プリンタ９０６といったハードウェアデバイスを備えている。これらのハードウェアデバイスはケーブルや信号線で接続されている。ＬＣＤ９０１の代わりに、ＣＲＴ（Ｃａｔｈｏｄｅ・Ｒａｙ・Ｔｕｂｅ）、あるいは、その他の表示装置が用いられてもよい。マウス９０３の代わりに、タッチパネル、タッチパッド、トラックボール、ペンタブレット、あるいは、その他のポインティングデバイスが用いられてもよい。
【００６６】
サーバ装置２００、端末装置３００は、それぞれプログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ・Ｐｒｏｃｅｓｓｉｎｇ・Ｕｎｉｔ）を備えている。サーバ装置２００において、ＣＰＵ９１１は、処理装置２５１の一例である。ＣＰＵ９１１は、バス９１２を介してＲＯＭ９１３（Ｒｅａｄ・Ｏｎｌｙ・Ｍｅｍｏｒｙ）、ＲＡＭ９１４（Ｒａｎｄｏｍ・Ａｃｃｅｓｓ・Ｍｅｍｏｒｙ）、通信ボード９１５、ＬＣＤ９０１、キーボード９０２、マウス９０３、ＦＤＤ９０４、ＣＤＤ９０５、プリンタ９０６、ＨＤＤ９２０（Ｈａｒｄ・Ｄｉｓｋ・Ｄｒｉｖｅ）と接続され、これらのハードウェアデバイスを制御する。ＨＤＤ９２０の代わりに、フラッシュメモリ、光ディスク装置、メモリカードリーダライタ又はその他の記憶媒体が用いられてもよい。
【００６７】
ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３、ＦＤＤ９０４、ＣＤＤ９０５、ＨＤＤ９２０は、不揮発性メモリの一例である。サーバ装置２００において、これらは、記憶装置２５２の一例である。通信ボード９１５、キーボード９０２、マウス９０３、ＦＤＤ９０４、ＣＤＤ９０５は、入力装置２５３の一例である。通信ボード９１５、ＬＣＤ９０１、プリンタ９０６は、出力装置２５４の一例である。また、端末装置３００において、通信ボード９１５、キーボード９０２、マウス９０３、ＦＤＤ９０４、ＣＤＤ９０５は、入力装置３５１の一例である。ＬＣＤ９０１は、表示装置３５２の一例である。
【００６８】
通信ボード９１５は、ＬＡＮ（Ｌｏｃａｌ・Ａｒｅａ・Ｎｅｔｗｏｒｋ）等に接続されている。通信ボード９１５は、ＬＡＮに限らず、ＩＰ−ＶＰＮ（Ｉｎｔｅｒｎｅｔ・Ｐｒｏｔｏｃｏｌ・Ｖｉｒｔｕａｌ・Ｐｒｉｖａｔｅ・Ｎｅｔｗｏｒｋ）、広域ＬＡＮ、ＡＴＭ（Ａｓｙｎｃｈｒｏｎｏｕｓ・Ｔｒａｎｓｆｅｒ・Ｍｏｄｅ）ネットワークといったＷＡＮ（Ｗｉｄｅ・Ａｒｅａ・Ｎｅｔｗｏｒｋ）、あるいは、インターネットに接続されていても構わない。ＬＡＮ、ＷＡＮ、インターネットは、ネットワーク１５０の一例である。
【００６９】
ＨＤＤ９２０には、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。プログラム群９２３のプログラムは、ＣＰＵ９１１、オペレーティングシステム９２１、ウィンドウシステム９２２により実行される。プログラム群９２３には、本実施の形態の説明において「〜部」、「〜機能」として説明する機能を実行するプログラムが含まれている。プログラムは、ＣＰＵ９１１により読み出され実行される。ファイル群９２４には、本実施の形態の説明において、「〜データ」、「〜情報」、「〜ＩＤ（識別子）」、「〜フラグ」、「〜結果」として説明するデータや情報や信号値や変数値やパラメータが、「〜ファイル」や「〜ＤＢ」や「〜テーブル」の各項目として含まれている。「〜ファイル」や「〜ＤＢ」や「〜テーブル」は、ＲＡＭ９１４やＨＤＤ９２０等の記憶媒体に記憶される。ＲＡＭ９１４やＨＤＤ９２０等の記憶媒体に記憶されたデータや情報や信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出、検索、参照、比較、演算、計算、制御、出力、印刷、表示といったＣＰＵ９１１の処理（動作）に用いられる。抽出、検索、参照、比較、演算、計算、制御、出力、印刷、表示といったＣＰＵ９１１の処理中、データや情報や信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。
【００７０】
本実施の形態の説明において用いるブロック図やフローチャートの矢印の部分は主としてデータや信号の入出力を示す。データや信号は、ＲＡＭ９１４等のメモリ、ＦＤＤ９０４のフレキシブルディスク（ＦＤ）、ＣＤＤ９０５のコンパクトディスク（ＣＤ）、ＨＤＤ９２０の磁気ディスク、光ディスク、ＤＶＤ（Ｄｉｇｉｔａｌ・Ｖｅｒｓａｔｉｌｅ・Ｄｉｓｃ）、あるいは、その他の記録媒体に記録される。また、データや信号は、バス９１２、信号線、ケーブル、あるいは、その他の伝送媒体により伝送される。
【００７１】
本実施の形態の説明において「〜部」、「〜機能」として説明するものは、「〜回路」、「〜装置」、「〜機器」であってもよく、また、「〜ステップ」、「〜工程」、「〜手順」、「〜処理」であってもよい。即ち、「〜部」、「〜機能」として説明するものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。あるいは、「〜部」、「〜機能」として説明するものは、ソフトウェアのみ、あるいは、素子、デバイス、基板、配線といったハードウェアのみで実現されていても構わない。あるいは、「〜部」、「〜機能」として説明するものは、ソフトウェアとハードウェアとの組み合わせ、あるいは、ソフトウェアとハードウェアとファームウェアとの組み合わせで実現されていても構わない。ファームウェアとソフトウェアは、プログラムとして、フレキシブルディスク、コンパクトディスク、磁気ディスク、光ディスク、ＤＶＤ等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。即ち、プログラムは、本実施の形態の説明で述べる「〜部」としてコンピュータを機能させるものである。あるいは、プログラムは、本実施の形態の説明で述べる「〜部」、「〜機能」の手順や方法をコンピュータに実行させるものである。
【００７２】
図７は、セキュリティ評価システム１００の動作（本実施の形態に係るセキュリティ評価方法、本実施の形態に係るセキュリティ評価プログラムの処理手順）を示すフローチャートである。
【００７３】
ステップＳ１０１において、サーバ装置２００の条件入力部２２１は、ネットワーク１５０を介して、端末装置３００に対し、ビジネスインパクト条件の入力を要求する。
【００７４】
ビジネスインパクトとは、セキュリティ事故がビジネス（事業）に及ぼす影響度のことをいう。ビジネスインパクト条件は、ビジネスインパクトの大きさを決めるための条件を定義したものである。ビジネスインパクトは、対象業務のセキュリティ機能要件ごとに異なる。そのため、本実施の形態では、ビジネスインパクト条件ごとに、情報システムの機密性、完全性、可用性、信頼性、遵守性が侵された場合のそれぞれについて、情報システムの運用者である企業等にとってビジネスにどの程度の影響が出るかを予めビジネスインパクトとして定義し、ビジネスインパクトＤＢ２１２に記憶する。
【００７５】
ここで、図８にビジネスインパクトＤＢ２１２の具体例を示す。
【００７６】
例えば、図８において、「外部接続の形態」のビジネスインパクト条件（条件区分番号：４）が「インターネット接続」（条件内容番号：１）のとき、機密性、完全性、可用性が侵された場合のビジネスインパクトは、それぞれ「Ａ」（インパクト大）、「Ｂ」（インパクト中）、「Ｂ」と定義されている。また、同条件が「専用線にて接続」（条件内容番号：２）のとき、機密性、完全性、可用性が侵された場合のビジネスインパクトは、それぞれ「Ｂ」、「Ｂ」、「Ｂ」と定義されている。また、同条件が「外部接続なし」（条件内容番号：３）のとき、機密性、完全性、可用性が侵された場合のビジネスインパクトは、それぞれ「Ｃ」（インパクト小）、「Ｃ」、「Ｃ」と定義されている。
【００７７】
他のビジネスインパクト条件についても、セキュリティ機能要件ごとにビジネスインパクトの大きさが定義されている。なお、図８に示したものは例であり、どのビジネスインパクト条件がどういった内容のときに、どの程度のビジネスインパクトとなるかはセキュリティ機能要件ごとに任意に決めてよい。
【００７８】
ステップＳ１０２（ビジネスインパクト条件入力機能３０１）において、端末装置３００は、ステップＳ１０１の要求に応じて、入力装置３５１によりユーザからのビジネスインパクト条件の入力を受け付ける。そして、端末装置３００は、ユーザから入力されたビジネスインパクト条件を、ネットワーク１５０を介して、サーバ装置２００に通知する。
【００７９】
ステップＳ１０３（ビジネスインパクト設定機能２０１）において、サーバ装置２００の条件入力部２２１は、ビジネスインパクトＤＢ２１２を参照し、ステップＳ１０２で端末装置３００から通知されたビジネスインパクト条件の内容に応じたビジネスインパクトをセキュリティ機能要件ごとに特定する。このとき、同じセキュリティ機能要件に関し、ビジネスインパクト条件によってビジネスインパクトの大きさが異なる場合には、最大値をとるものとする。例えば、３つのビジネスインパクト条件の入力があり、それぞれに対応する、機密性が侵された場合のビジネスインパクトが「Ａ」、「Ｂ」、「Ｃ」であれば、機密性が侵された場合のビジネスインパクトは「Ａ」とする。
【００８０】
前述したように、ビジネスインパクトＤＢ２１２では、どのビジネスインパクト条件がどういった内容のときに、どの程度のビジネスインパクトとなるかが、セキュリティ機能要件ごとに定義されている。セキュリティ管理策ＤＢ２１１では、ビジネスインパクトＤＢ２１２にて定義されたビジネスインパクトがどの程度のときに、どのセキュリティ管理策を実施する必要があるかが、セキュリティ機能要件ごとに定められている。
【００８１】
ここで、図９にセキュリティ管理策ＤＢ２１１の具体例を示す。セキュリティ管理策ＤＢ２１１の具体例については、図２に示したが、図９に示すセキュリティ管理策ＤＢ２１１の各項目は、図２に示したセキュリティ管理策ＤＢ２１１の各項目に続いているものとする。つまり、セキュリティ管理策ＤＢ２１１は、（例えば１つのテーブルに）図２に例示したカラムと図９に例示したカラムとの全てをもつものとする。
【００８２】
例えば、図９において、「顧客情報、取引情報等の機密情報へのアクセス権限者を明確にしている」というセキュリティ管理策（セキュリティ管理策番号：１）は、機密性又は完全性が侵された場合のビジネスインパクトが「Ａ」又は「Ｂ」のときに実施する必要があると定められている。
【００８３】
また、例えば、図９において、「ファイアウォールを設定している場合、アカウント使用履歴や、リソース使用状況等を定期的に監視している」というセキュリティ管理策（セキュリティ管理策番号：２１）は、機密性又は完全性が侵された場合のビジネスインパクトが「Ａ」のときにのみ実施する必要があると定められている。
【００８４】
他のセキュリティ管理策についても、ビジネスインパクトがどの程度のときに実施する必要があるかが、セキュリティ機能要件ごとに定められている。なお、図９に示したものは例であり、ビジネスインパクトがどの程度のときに、どのセキュリティ管理策を実施する必要があるかはセキュリティ機能要件ごとに任意に決めてよい。
【００８５】
運用レベル定義ＤＢ２１５では、ビジネスインパクトＤＢ２１２にて定義されたビジネスインパクトがどの程度のときに、各セキュリティ管理策をどの運用レベルで実施する必要があるかが、セキュリティ機能要件ごとに定められている。なお、本実施の形態では、セキュリティ機能要件ごとに、ビジネスインパクトに対応する運用レベルを一律に定めているが、セキュリティ管理策ごとに運用レベルを個別に定めてもよい。
【００８６】
ここで、図１０に運用レベル定義ＤＢ２１５の具体例を示す。
【００８７】
例えば、図１０において、機密性が侵された場合のビジネスインパクトが「Ａ」のときに実施する必要があるセキュリティ管理策のうち、運用レベルが定義されているものについては、レベル５で実施する必要があると定められている。同様に、機密性が侵された場合のビジネスインパクトが「Ｂ」のときは、該当するセキュリティ管理策をレベル４で、「Ｃ」のときはレベル２で実施する必要があると定められている。
【００８８】
他のセキュリティ機能要件についても、ビジネスインパクトがどの程度のときに各セキュリティ管理策をどの運用レベルで実施する必要があるかが、セキュリティ機能要件ごとに定められている。なお、図１０に示したものは例であり、ビジネスインパクトがどの程度のときに、各セキュリティ管理策をどの運用レベルで実施する必要があるかはセキュリティ機能要件ごとに任意に決めてよい。
【００８９】
ステップＳ１０４（セキュリティ管理策選定機能２０２）において、サーバ装置２００の目標設定部２２２は、セキュリティ管理策ＤＢ２１１及び運用レベル定義ＤＢ２１５を参照し、ステップＳ１０３で特定したビジネスインパクトに対応するセキュリティ管理策及び運用レベルをセキュリティ機能要件ごとに特定する。このとき、同じセキュリティ管理策に関し、セキュリティ機能要件によって実施の要否が異なる場合には、そのセキュリティ管理策は実施する必要があると判断される。また、同じセキュリティ管理策に関し、セキュリティ機能要件によって運用レベルが異なる場合には、最大値をとるものとする。また、特定したセキュリティ管理策の運用レベルが５段階の一部しか設定されていない場合で、特定した運用レベルが設定されていないものに該当するときには、その運用レベルより上のレベルで最も近いものとする（例えば、レベル２から４までしか設定されていない場合に、特定した運用レベルがレベル１であれば、レベル２となる）。もし上のレベルがない（あるいは、何も設定されていない）ときには、下のレベルで最も近いものとする（例えば、レベル２から４までしか設定されていない場合に、特定した運用レベルがレベル５であれば、レベル４となる）。
【００９０】
本実施の形態では、ステップＳ１０４で特定されたセキュリティ管理策及び運用レベルをベースラインという。即ち、ベースラインとは、機密性、完全性、可用性、信頼性、遵守性の各セキュリティ機能要件について、実施すべきセキュリティ管理策の項目と、運用レベル値の目標値を定めたものである。サーバ装置２００の目標記憶部２２３は、目標設定部２２２により特定されたベースラインを記憶装置２５２に記憶する。つまり、目標記憶部２２３は、セキュリティ管理策ごとに、各セキュリティ管理策の実施の要否を示す目標フラグと、各セキュリティ管理策の実施内容を数値評価した場合の目標値とを記憶装置２５２に記憶する。
【００９１】
上記のように、本実施の形態では、評価対象業務のビジネスインパクトに応じたベースラインの設定ができるように、ビジネスインパクトとベースラインを連動させて管理する。ビジネスインパクトを機密性、完全性、可用性、信頼性、遵守性の各セキュリティ機能要件について管理することで、対象業務のセキュリティ機能要件に最適なベースラインを設定して、対象業務のセキュリティ対策レベルを管理することができる。対象システムのビジネスインパクトは、対象システムが保持する情報資産の種類や、対象システムの利用者種別、外部ネットワークとの接続形態等、対象システムの構成や対象システムが実行する業務の特性により決定する。ビジネスインパクトを決める条件と、その条件に適合する場合の、５つのセキュリティ機能要件が侵害された場合の影響度を定義しておく。システム管理者と業務管理者がこれらの条件に当てはまるかどうかを入力することで、ビジネスインパクトを自動的に判別するため、ビジネスインパクトの判断に属人性が入ることがなく、客観的に判断することができる。さらに、ビジネスインパクトに連動してベースラインを決定することができるため、そのシステムに対して実施すべきセキュリティ対策の妥当性を確保することが可能となる。
【００９２】
ステップＳ１０５（セキュリティ管理策一覧表示機能３０２）において、端末装置３００は、ステップＳ１０４で特定されたベースラインの一覧を、ネットワーク１５０を介して、サーバ装置２００から取得し、表示装置３５２によりセキュリティ管理策一覧４０１ａとして画面上に表示する。
【００９３】
ここで、図１１にセキュリティ管理策一覧４０１ａの具体例を示す。この例では、ステップＳ１０３において機密性、完全性、可用性、信頼性、遵守性が侵された場合のビジネスインパクトが、それぞれ「Ａ」、「Ｂ」、「Ｂ」、「Ｃ」、「Ｂ」に特定されたものとする。
【００９４】
例えば、図１１において、「顧客情報、取引情報等の機密情報へのアクセス権限者を明確にしている」というセキュリティ管理策（セキュリティ管理策番号：１）については、「対策実施の評価」の「ベースライン」として、実施する必要があることを示す「○」が表示されている。これは、図９のセキュリティ管理策ＤＢ２１１にて、当該セキュリティ管理策は、機密性又は完全性が侵された場合のビジネスインパクトが「Ａ」又は「Ｂ」のときに実施する必要があると定められていることに基づく。また、図１１において、当該セキュリティ管理策については、「運用レベルの評価」の「ベースライン」として、運用レベルをレベル５とする必要があることを示す「５」が表示されている。これは、図１０の運用レベル定義ＤＢ２１５にて、機密性が侵された場合のビジネスインパクトが「Ａ」のときに実施する必要があるセキュリティ管理策のうち、運用レベルが定義されているものについては、レベル５で実施する必要があると定められており、図３の運用レベルＤＢ２１３にて、当該セキュリティ管理策の運用レベルとしてレベル５の定義が存在することに基づく（図１０の運用レベル定義ＤＢ２１５では、完全性が侵された場合のビジネスインパクトが「Ｂ」のときに実施する必要があるセキュリティ管理策のうち、運用レベルが定義されているものについては、レベル３で実施する必要があると定められているが、それより値が大きいレベル５が適用される）。
【００９５】
他のセキュリティ管理策についても、それぞれのベースラインが表示されている。「対策実施の評価」及び「運用レベルの評価」の「実績」は、後述するように、自動的に入力される欄又はユーザから入力される欄である。
【００９６】
ステップＳ１０６において、サーバ装置２００の実績設定部２２５は、ネットワーク１５０を介して、端末装置３００に対し、情報システムに導入されている共通対策ソリューションの入力を要求する。
【００９７】
ステップＳ１０７（共通対策ソリューション入力機能３０３）において、端末装置３００は、ステップＳ１０６の要求に応じて、入力装置３５１によりユーザからの共通対策ソリューションの入力を受け付ける。そして、端末装置３００は、ユーザから入力された共通対策ソリューションを、ネットワーク１５０を介して、サーバ装置２００に通知する。このとき、サーバ装置２００のソリューション情報記憶部２２４は、共通対策ソリューションを複数定義するソリューション情報を共通対策ソリューションＤＢ２１４に予め記憶している。
【００９８】
ステップＳ１０８（共通対策ソリューション設定機能２０３）において、サーバ装置２００の実績設定部２２５は、共通対策ソリューションＤＢ２１４を参照し、ステップＳ１０７で端末装置３００から通知された共通対策ソリューションを特定する。つまり、実績設定部２２５は、ソリューション情報記憶部２２４により記憶されたソリューション情報で定義された複数の共通対策ソリューションのうち、情報システムに導入された共通対策ソリューションを選択する。続けて、実績設定部２２５は、共通対策ソリューションＤＢ２１４を参照し、特定した共通対策ソリューションで、どのセキュリティ管理策が実施され、それぞれのセキュリティ管理策がどの運用レベルで実施されるかを確認する。
【００９９】
ステップＳ１０９において、サーバ装置２００の実績入力部２２６は、ネットワーク１５０を介して、端末装置３００に対し、ステップＳ１０８で特定された共通対策ソリューションに含まれていないセキュリティ管理策の実施有無と、実施しているセキュリティ管理策の運用レベルの入力を要求する。このとき、実績入力部２２６は、前述したセキュリティ管理策一覧４０１ａにステップＳ１０８で確認した情報を自動入力したセキュリティ管理策一覧４０１ｂを端末装置３００に送信する。
【０１００】
ステップＳ１１０（実施有無・運用レベル入力機能３０４）において、端末装置３００は、ステップＳ１０９で送信されたセキュリティ管理策一覧４０１ｂを表示装置３５２により画面上に表示する。そして、端末装置３００は、ステップＳ１０９の要求に応じて、入力装置３５１によりユーザからのセキュリティ管理策の実施有無と、実施しているセキュリティ管理策の運用レベルの入力をセキュリティ管理策一覧４０１ｂで受け付ける。そして、端末装置３００は、ユーザからセキュリティ管理策一覧４０１ｂに入力された情報を、ネットワーク１５０を介して、サーバ装置２００に通知する。
【０１０１】
ここで、図１２にセキュリティ管理策一覧４０１ｂの具体例を示す。このセキュリティ管理策一覧４０１ｂは、図１１のセキュリティ管理策一覧４０１ａに対応するものである。この例では、ステップＳ１０８において「××社ネットワーク監視サービス」というソリューション名をもつ共通対策ソリューション（ソリューション番号：４）が特定され、図４の共通対策ソリューションＤＢ２１４から、当該共通対策ソリューションでは、セキュリティ管理策番号：１９のセキュリティ管理策（「外部ネットワークと接続する場合は、ファイアウォールを設置して通信を制御している」）とセキュリティ管理策番号：２１のセキュリティ管理策（「ファイアウォールを設定している場合、アカウント使用履歴や、リソース使用状況等を定期的に監視している」）が実施されることが確認されているものとする。また、「××社ネットワーク監視サービス」では、セキュリティ管理策番号：２１のセキュリティ管理策が実施される際に、その運用レベルがレベル５（「リアルタイム」に「アカウント使用履歴の監視」を行う）となることが確認されているものとする。
【０１０２】
例えば、図１２において、「顧客情報、取引情報等の機密情報へのアクセス権限者を明確にしている」というセキュリティ管理策（セキュリティ管理策番号：１）については、「対策実施の評価」の「実績」として、実施していることを示す「○」がユーザから入力されている。また、図１２において、当該セキュリティ管理策については、「運用レベルの評価」の「実績」として、運用レベルがレベル３であることを示す「３」がユーザから入力されている。
【０１０３】
また、例えば、図１２において、「ファイアウォールを設定している場合、アカウント使用履歴や、リソース使用状況等を定期的に監視している」というセキュリティ管理策（セキュリティ管理策番号：２１）については、「対策実施の評価」の「実績」として、実施していることを示す「◎」が自動入力されている。また、図１２において、当該セキュリティ管理策については、「運用レベルの評価」の「実績」として、運用レベルがレベル５であることを示す「５」が自動入力されている。「対策実施の評価」の「実績」への「◎」、及び、「運用レベルの評価」の「実績」（運用レベル）への「５」の自動入力は、図７に示した処理フローの中の、ステップＳ１０８の処理によって入力されるものであるが、このように「◎」といった区別可能な表示をすることにより、ユーザからの入力ではなく、共通対策ソリューションの選択により設定されたことが、一目でわかるようになる。
【０１０４】
他のセキュリティ管理策についても、それぞれの実績が入力されている。なお、実施されていないセキュリティ管理策については、「対策実施の評価」の「実績」として「×」が入力されている。また、そのようなセキュリティ管理策の「運用レベルの評価」の「実績」としては「０」が（自動的に）入力されている。
【０１０５】
ステップＳ１１１（実施有無・運用レベル設定機能２０４）において、サーバ装置２００の実績設定部２２５は、ステップＳ１０８で確認した内容に基づき、各セキュリティ管理策が現在実施されているか否か、及び、現在の運用レベルを記憶装置２５２に記憶する。つまり、実績設定部２２５は、ステップＳ１０８で選択した共通対策ソリューションに含まれるセキュリティ管理策の実績フラグと実績値とをソリューション情報に基づいて設定する。サーバ装置２００の実績入力部２２６は、ステップＳ１１０で端末装置３００から通知された情報に基づき、さらに、各セキュリティ管理策が現在実施されているか否か、及び、現在の運用レベルを記憶装置２５２に記憶する。つまり、実績入力部２２６は、セキュリティ管理策ごとに、各セキュリティ管理策の実施の有無を示す実績フラグと、各セキュリティ管理策の実施内容を数値評価した実績値とを入力し、記憶装置２５２に記憶する。このとき、実績入力部２２６は、実績設定部２２５により選択された共通対策ソリューションに含まれるセキュリティ管理策以外のセキュリティ管理策の実績フラグと実績値とを入力し、入力したセキュリティ管理策の実績フラグと実績値と、実績設定部２２５により設定されたセキュリティ管理策の実績フラグと実績値とを記憶装置２５２に記憶する。
【０１０６】
ステップＳ１１２（評価マップ作成機能２０５）において、まず、サーバ装置２００の対策実施率計算部２２７は、２種類の分類項目の組み合わせ（例えば、対策箇所と脅威との組み合わせ）によって分類されるセキュリティ管理策のグループごとに、ステップＳ１０４で目標記憶部２２３により記憶された目標フラグを参照して、実施する必要があるセキュリティ管理策の数を処理装置２５１により計算する。また、対策実施率計算部２２７は、セキュリティ管理策のグループごとに、ステップＳ１１１で実績入力部２２６により記憶された実績フラグを参照して、実際に実施しているセキュリティ管理策の数を処理装置２５１により計算する。そして、対策実施率計算部２２７は、セキュリティ管理策のグループごとに、実施する必要があるセキュリティ管理策の数と、実際に実施しているセキュリティ管理策の数との比率を対策実施率として処理装置２５１により計算する。
【０１０７】
次に、サーバ装置２００の対策充足率計算部２２８は、セキュリティ管理策のグループごとに、ステップＳ１０４で目標記憶部２２３により記憶された目標値の合計を処理装置２５１により計算する。また、対策充足率計算部２２８は、セキュリティ管理策のグループごとに、ステップＳ１１１で実績入力部２２６により記憶された実績値の合計を処理装置２５１により計算する。そして、対策充足率計算部２２８は、セキュリティ管理策のグループごとに、目標値の合計と実績値の合計との比率を対策充足率として処理装置２５１により計算する。
【０１０８】
最後に、サーバ装置２００の評価マップ作成部２２９は、評価マップを作成する。この評価マップは、上記２種類の分類項目の一方（例えば、対策箇所）を縦軸に配置し、他方（例えば、脅威）を横軸に配置した２次元マップである。そして、この評価マップは、セキュリティ管理策のグループごとに、対策実施率計算部２２７により計算された対策実施率と対策充足率計算部２２８により計算された対策充足率とを表示したものである。評価マップ作成部２２９は、作成した評価マップを、ネットワーク１５０を介して、端末装置３００に送信し、表示装置３５２に出力させる。なお、評価マップ作成部２２９（出力部）は、評価マップを作成する代わりに、単に、セキュリティ管理策のグループごとに、対策実施率計算部２２７により計算された対策実施率と対策充足率計算部２２８により計算された対策充足率とを、ネットワーク１５０を介して、端末装置３００に通知し、表示装置３５２に出力させてもよい。この場合、ユーザは、端末装置３００を利用して自由に情報システムのセキュリティ評価・分析を行うことが可能となる（例えば、ユーザが手作業で評価マップを作成することも可能である）。
【０１０９】
ステップＳ１１３（評価マップ表示機能３０５）において、端末装置３００は、ステップＳ１１２で送信された評価マップを、ネットワーク１５０を介して、サーバ装置２００から受信し、表示装置３５２により画面上に表示する。
【０１１０】
本実施の形態において、評価マップは、サーバ装置２００の対策実施率計算部２２７により計算された対策実施率とサーバ装置２００の対策充足率計算部２２８により計算された対策充足率とをそれぞれの値に応じて色分け表示したものとする。これにより、ユーザが直観的に情報システムのセキュリティ評価・分析を行うことが可能となる。
【０１１１】
また、本実施の形態において、評価マップは、セキュリティ管理策のグループごとに、サーバ装置２００の対策実施率計算部２２７により計算された対策実施率とサーバ装置２００の対策充足率計算部２２８により計算された対策充足率とを上下（左右でもよい）２段に並べて表示したものとする。これにより、セキュリティ管理策を実施している数によるセキュリティの評価結果とセキュリティ管理策の実施内容の質によるセキュリティの評価結果とを見比べることが可能となる。その結果、情報システムにおいてセキュリティ上の弱点がどの部分にあるかが分かりやすくなるだけではなく、その部分のセキュリティを強化するために、実施するセキュリティ管理策を追加したほうがよいのか、それとも、実施しているセキュリティ管理策の内容を改善したほうがよいのか等を容易に判断することが可能となる。
【０１１２】
ここで、図１３に評価マップの色分け方法の具体例を示す。そして、図１４に、図１３の色分け方法を適用した評価マップ４０２の具体例を示す。
【０１１３】
例えば、図１４において、対応する対策箇所が「利用者」、対応する脅威が「漏洩」となるセキュリティ管理策のグループ（前述した「顧客情報、取引情報等の機密情報へのアクセス権限者を明確にしている」というセキュリティ管理策（セキュリティ管理策番号：１）等が該当する）については、上の段に表示された対策実施率が７５％であるため、その欄が黄緑で表示されている。その下の段に表示された対策充足率は４０％であるため、その欄は橙で表示されている。２つの欄を見比べると、「漏洩」を防ぐために「利用者」に対して実施されているセキュリティ管理策の数は決して少なくないが、その内容は改善する必要性が高いといった分析が簡単にできる。
【０１１４】
上記のように、本実施の形態では、セキュリティ管理策の対策レベルを対策実施の有無で指標化した対策実施率と、対策実施の内容で指標化した対策充足率との２つの指標化データを使って表している。これらの２つの指標で評価を行うことにより、例えば、セキュリティ管理策を実施しているがその運用方法が弱い対策領域を見つけることができるため、セキュリティ管理策の弱点分析の精度が向上する。さらに、対策強化をするために必要な具体的な運用方法を容易に示すことができるため、セキュリティ強化対策を容易に立案することができる。
【０１１５】
また、本実施の形態では、セキュリティ管理策を、例えば、「対策箇所」軸と「脅威」軸の２次元マップに展開し、２軸が交差する「対策領域」に細分化した領域で管理する。これにより、情報システム全体の対策状況を網羅的に俯瞰して全体傾向を分析できるとともに、どの脅威に対する、どの対策箇所へのセキュリティ対策が弱いかといった詳細な弱点分析を行うことができる。
【０１１６】
さらに、本実施の形態では、セキュリティ評価時に対象システムが利用している共通対策ソリューションを回答するだけで、当該ソリューションがカバーする回答を自動入力することができるため、セキュリティ評価のための入力作業を効率化することが可能となる。
【０１１７】
なお、サーバ装置２００は、評価マップとともにレーダチャート等によるセキュリティ評価結果を出力してもよい。この場合、例えば、セキュリティ管理策のグループごとの対策実施率又は対策充足率を比較できるレーダチャートや、複数の情報システムについて、ある分類項目（例えば、対策箇所や脅威）に関する各情報システムの対策実施率又は対策充足率を比較できるレーダチャート等を作成し、端末装置３００の表示装置３５２等に出力することが考えられる。
【０１１８】
実施の形態２．
以下では、図７を用いて説明した実施の形態１に係るセキュリティ評価システム１００の動作の例について、図１５〜図１８のフローチャートを用いて説明する。
【０１１９】
図１５に示す処理フローは、実施の形態１の説明で用いた図７の処理フローのステップＳ１０２〜Ｓ１０５に対応する。
【０１２０】
図１５において、サーバ装置２００の条件入力部２２１が、ネットワーク１５０を介して、端末装置３００に対し、ビジネスインパクト条件の入力を要求すると、端末装置３００は、ビジネスインパクト条件入力画面を表示装置３５２により表示する（ステップＳ２０１）。
【０１２１】
端末装置３００は、入力装置３５１によりユーザからのビジネスインパクト条件の入力をビジネスインパクト条件入力画面で受け付ける（ステップＳ２０２）。
【０１２２】
全てのビジネスインパクト条件の入力が完了すると、端末装置３００は、ユーザから入力されたビジネスインパクト条件をビジネスインパクト条件入力画面から取り込み、ネットワーク１５０を介して、サーバ装置２００に通知する（ステップＳ２０３）。
【０１２３】
サーバ装置２００の条件入力部２２１は、ビジネスインパクトＤＢ２１２を参照し、セキュリティ機能要件ごとに、ステップＳ２０３で端末装置３００から通知されたビジネスインパクト条件の内容に応じたビジネスインパクトを特定する。そして、条件入力部２２１は、セキュリティ機能要件ごとに、特定したビジネスインパクトの中で最大のものを選択する（ステップＳ２０４）。
【０１２４】
サーバ装置２００の目標設定部２２２は、セキュリティ管理策ＤＢ２１１及び運用レベル定義ＤＢ２１５を参照し、セキュリティ機能要件ごとに、ステップＳ２０４で選択したビジネスインパクトに対応するセキュリティ管理策及び運用レベルを読み出す。サーバ装置２００の目標記憶部２２３は、目標設定部２２２が読み出したセキュリティ管理策及び運用レベルをベースラインとして記憶装置２５２に記憶する（ステップＳ２０５）。
【０１２５】
端末装置３００は、ステップＳ２０５で読み出されたセキュリティ管理策及び運用レベルの一覧を、ネットワーク１５０を介して、サーバ装置２００から取得し、表示装置３５２によりセキュリティ管理策一覧４０１ａとして画面上に表示する（ステップＳ２０６）。
【０１２６】
図１６に示す処理フローは、実施の形態１の説明で用いた図７の処理フローのステップＳ１０６〜Ｓ１０７に対応する。
【０１２７】
図１６において、サーバ装置２００の実績設定部２２５は、情報システムに導入されている共通対策ソリューションを選択させるため、共通対策ソリューションＤＢ２１４から共通対策ソリューションを読み出し、ネットワーク１５０を介して、端末装置３００に対し、読み出した共通対策ソリューションの一覧を送信する（ステップＳ３０１）。
【０１２８】
端末装置３００は、ステップＳ３０１で送信された共通対策ソリューションの一覧を受信し、その一覧を用いて共通対策ソリューション選択画面を作成し、表示装置３５２により表示する（ステップＳ３０２）。
【０１２９】
端末装置３００は、入力装置３５１によりユーザに共通対策ソリューション選択画面から共通対策ソリューションを選択させる（ステップＳ３０３）。
【０１３０】
端末装置３００は、ユーザにより選択された共通対策ソリューションを共通対策ソリューション選択画面から取り込み、ネットワーク１５０を介して、サーバ装置２００に通知する（ステップＳ３０４）。
【０１３１】
図１７に示す処理フローは、実施の形態１の説明で用いた図７の処理フローのステップＳ１０８〜Ｓ１１１に対応する。
【０１３２】
図１７において、サーバ装置２００の実績入力部２２６は、運用レベルＤＢ２１３から各セキュリティ管理策の運用レベルの名称や定義を読み出す（ステップＳ４０１）。
【０１３３】
ステップＳ３０４で端末装置３００から通知された共通対策ソリューションがあれば、サーバ装置２００の実績設定部２２５は、共通対策ソリューションＤＢ２１４を参照し、通知された共通対策ソリューションにより実施ありとなるセキュリティ管理策と、実現できる運用レベルをセキュリティ管理策一覧４０１ａに対して自動的に設定し、セキュリティ管理策一覧４０１ｂを作成する（ステップＳ４０２）。
【０１３４】
サーバ装置２００の実績入力部２２６は、ネットワーク１５０を介して、端末装置３００に対し、ステップＳ４０２で作成したセキュリティ管理策一覧４０１ｂを送信する。端末装置３００は、サーバ装置２００から送信されたセキュリティ管理策一覧４０１ｂを用いて実施有無・運用レベル入力画面を作成し、表示装置３５２により表示する（ステップＳ４０３）。
【０１３５】
端末装置３００は、ステップＳ４０２で自動的に設定されたセキュリティ管理策と運用レベル以外のセキュリティ管理策の実施有無と運用レベルの入力をユーザから実施有無・運用レベル入力画面で受け付ける（ステップＳ４０４）。
【０１３６】
全てのセキュリティ管理策の実施有無と運用レベルの入力が完了すると、端末装置３００は、ユーザから入力されたセキュリティ管理策の実施有無と運用レベルを実施有無・運用レベル入力画面から取り込み、ネットワーク１５０を介して、サーバ装置２００に通知する（ステップＳ４０５）。
【０１３７】
図１８に示す処理フローは、実施の形態１の説明で用いた図７の処理フローのステップＳ１１２〜Ｓ１１３に対応する。
【０１３８】
図１８において、サーバ装置２００の対策実施率計算部２２７は、セキュリティ管理策ＤＢ２１１から、各対策箇所に対応するセキュリティ管理策を読み出す（ステップＳ５０１）。
【０１３９】
サーバ装置２００の対策実施率計算部２２７は、セキュリティ管理策ＤＢ２１１から、ステップＳ５０１で読み出したセキュリティ管理策のうち、各脅威に対応するセキュリティ管理策を読み出す（ステップＳ５０２）。
【０１４０】
サーバ装置２００の対策実施率計算部２２７は、ステップＳ５０２で読み出したセキュリティ管理策、即ち、１つの対策箇所と１つの脅威との組み合わせ（対策領域）に対応するセキュリティ管理策のグループについて、対策実施率を処理装置２５１により算出する（ステップＳ５０３）。対策実施率は、当該グループ内で実施している管理策数／当該グループ内で必要な管理策数×１００（％）として算出する。
【０１４１】
サーバ装置２００の評価マップ作成部２２９は、ステップＳ５０３で算出された対策実施率に対応する表示色を設定する（ステップＳ５０４）。
【０１４２】
サーバ装置２００の対策充足率計算部２２８は、ステップＳ５０３と同じセキュリティ管理策のグループについて、対策充足率（運用レベルの充足度）を処理装置２５１により算出する（ステップＳ５０５）。対策充足率は、当該グループ内の実際の運用レベル合計／当該グループ内で必要な運用レベル合計×１００（％）として算出する。
【０１４３】
サーバ装置２００の評価マップ作成部２２９は、ステップＳ５０５で算出された対策充足率に対応する表示色を設定する（ステップＳ５０６）。
【０１４４】
同じ対策箇所と他のそれぞれの脅威との組み合わせに対応するセキュリティ管理策のグループについて、ステップＳ５０２〜Ｓ５０６が完了すると、ステップＳ５０１で次に読み出された対策箇所と各脅威との組み合わせに対応するセキュリティ管理策のグループについて、ステップＳ５０２〜Ｓ５０６が実行される。全ての対策箇所と全ての脅威との組わせに対応するセキュリティ管理策のグループについて、ステップＳ５０１〜Ｓ５０６が完了すると、サーバ装置２００の評価マップ作成部２２９は、ステップＳ５０４で設定した対策実施率に対応する表示色とステップＳ５０６で設定した対策充足率に対応する表示色を使って、評価マップ４０２を作成する（ステップＳ５０７）。なお、ステップＳ５０３で算出された対策実施率とステップＳ５０５で算出された対策充足率との数値を評価マップ４０２に表示するかどうかは任意に決めてよい。
【０１４５】
端末装置３００は、ステップＳ５０７で作成された評価マップ４０２を、ネットワーク１５０を介して、サーバ装置２００から取得し、表示装置３５２により画面上に表示する（ステップＳ５０８）。
【０１４６】
なお、ここでは、セキュリティ管理策の分類軸のうち、対策箇所と脅威の２軸を使って評価マップを作成するフローを示したが、その他の分類軸を使う場合も、同様なフローで評価マップを作成できる。
【０１４７】
実施の形態３．
本実施の形態について、実施の形態２のセキュリティ評価システム１００の動作と異なる部分を中心に、説明する。
【０１４８】
具体的には、図１８において、評価マップを作成する前処理として、対策実施率と対策充足率を算出する処理において、対策充足率を算出する方法が異なる。つまり実施の形態２では、サーバ装置２００の対策充足率計算部２２８は、ステップＳ５０３と同じセキュリティ管理策のグループについて、対策充足率（運用レベルの充足度）を処理装置２５１により算出する（ステップＳ５０５）。対策充足率は、当該グループ内の実際の運用レベル合計／当該グループ内で必要な運用レベル合計×１００（％）として算出する。
【０１４９】
本実施の形態では、ステップＳ５０５の処理において対策充足率は、当該グループ内の運用レベルの目標を達成している管理策数／当該グループ内の全セキュリティ管理策数×１００（％）として算出する。運用レベルの目標を達成しているかどうかの判定は、運用レベルの結果（共通対策ソリューションの選択かユーザからの入力により決定する）が定義された運用レベルのベースラインと等しいか、高い場合は、達成していると判定する。例えば、ベースラインが「３」と設定され、結果が「３」、「４」、「５」の管理策は、運用レベルの目標を達成している管理策数に加算される。またベースラインが「４」と設定され、結果が「３」のときは、運用レベルの目標を達成している管理策数には加算されない。
【０１５０】
このように本実施の形態によれば、実施の形態２とは異なる視点で対策充足率を算出することができる。
【０１５１】
本実施の形態について、さらに、図７を用いて説明する。
【０１５２】
本実施の形態では、図７のステップＳ１１２において、サーバ装置２００の対策充足率計算部２２８は、セキュリティ管理策のグループごとに、ステップＳ１０４で目標記憶部２２３により目標値が記憶されているセキュリティ管理策の数を処理装置２５１によりカウントする。また、対策充足率計算部２２８は、セキュリティ管理策のグループごとに、ステップＳ１１１で実績入力部２２６により記憶された実績値がステップＳ１０４で目標記憶部２２３により記憶された目標値に達しているセキュリティ管理策の数を処理装置２５１によりカウントする。そして、対策充足率計算部２２８は、セキュリティ管理策のグループごとに、目標値が記憶されているセキュリティ管理策の数と実績値が目標値に達しているセキュリティ管理策の数との比率を対策充足率として処理装置２５１により計算する。これにより、実施の形態１及び実施の形態２とは異なる指標を用いて情報システムのセキュリティ評価・分析を行うことが可能となる。
【０１５３】
実施の形態４．
本実施の形態について、実施の形態２のセキュリティ評価システム１００の動作と異なる部分を中心に、説明する。
【０１５４】
具体的には、図１８のステップＳ５０５で対策充足率を算出するが、本実施の形態ではステップＳ５０５の処理に続いて、対策充足度を算出する。対策充足度とは、運用レベルのベースラインと結果との乖離を表す数値である。
【０１５５】
実施の形態２及び実施の形態３で算出した、対策充足率は、該当グループ内の全管理策に対する結果を割合で算出した数値であるため、特異的な結果が得られたものが数件あったとしても、全体の割合としてはみえづらい。その点対策充足度は、特異的な結果が表示されるものである。
【０１５６】
算出の方法としては、結果の数値からベースラインの数値を減算して、一番数値が小さいものを、ｍｉｎ（数値）とし、一番数値が大きいものを、ｍａｘ（数値）として算出する。ｍｉｎ（ｘ）は、ｘが比較対象の数値の中で最小値となることを示す。一方、ｍａｘ（ｘ）は、ｘが比較対象の数値の中で最大値となることを示す。
【０１５７】
具体的な例を示す。ベースラインが「４」、「３」、「３」、結果が「１」、「４」、「２」の管理策があったとする。その場合乖離値としては、結果の数値からベースラインの数値を減算するため、−３、＋１、−１となり、ｍｉｎ（−３）、ｍａｘ（＋１）と算出される。
【０１５８】
その後ステップＳ５０７の処理で、対策充足率の付加情報として、対策充足度を評価マップに表示する。
【０１５９】
このように対策充足度として、ｍｉｎ（数値）、ｍａｘ（数値）を算出、表示する。ｍｉｎ（数値）により、ベースラインと比較して、一番結果が達成されていないもの（運用レベルが一番不足しているもの）の乖離度が把握できる。またｍａｘ（数値）により、ベースラインと比較して、一番結果が高いもの（運用レベルが一番過度と考えられるもの）の乖離度が把握できる。
【０１６０】
本実施の形態について、さらに、図７を用いて説明する。
【０１６１】
本実施の形態では、図７のステップＳ１１２において、サーバ装置２００の対策充足率計算部２２８は、セキュリティ管理策のグループごとに、対策充足率を計算するとともに（又は、対策充足率を計算する代わりに）、セキュリティ管理策ごとに、ステップＳ１１１で実績入力部２２６により記憶された実績値からステップＳ１０４で目標記憶部２２３により記憶された目標値を処理装置２５１により減算する。そして、対策充足率計算部２２８は、セキュリティ管理策のグループごとに、当該減算結果の最小値と最大値との少なくともいずれかを対策充足度として処理装置２５１により計算する。
【０１６２】
最後に、サーバ装置２００の評価マップ作成部２２９は、評価マップを作成する。この評価マップは、セキュリティ管理策のグループごとに、対策実施率計算部２２７により計算された対策実施率と対策充足率計算部２２８により計算された対策充足率と対策充足度と（対策充足率は省略してもよい）を表示したものである。評価マップ作成部２２９は、作成した評価マップを、ネットワーク１５０を介して、端末装置３００に送信し、表示装置３５２に出力させる。なお、評価マップ作成部２２９（出力部）は、評価マップを作成する代わりに、単に、セキュリティ管理策のグループごとに、対策実施率計算部２２７により計算された対策実施率と対策充足率計算部２２８により計算された対策充足率と対策充足度とを、ネットワーク１５０を介して、端末装置３００に通知し、表示装置３５２に出力させてもよい。
【０１６３】
このように、本実施の形態では、対策充足率だけでなく対策充足度をユーザに通知することで、情報システムのセキュリティの分析及び改善策の検討等がさらに行いやすくなる。
【０１６４】
実施の形態５．
本実施の形態について、主に実施の形態１との差異を説明する。
【０１６５】
図１９は、本実施の形態に係るサーバ装置２００の構成を示すブロック図である。
【０１６６】
図１９において、サーバ装置２００は、図５に示したもののほか、シミュレーション部２３０を備える。シミュレーション部２３０の動作については後述する。
【０１６７】
図２０は、本実施の形態に係るセキュリティ評価システム１００の動作（本実施の形態に係るセキュリティ評価方法、本実施の形態に係るセキュリティ評価プログラムの処理手順）を示すフローチャートである。
【０１６８】
ステップＳ１１３（評価マップ表示機能３０５）までの動作は実施の形態１と同様であるため、説明を省略する（ステップＳ１０１〜Ｓ１１２については、図示もしていない）。
【０１６９】
ステップＳ１１４において、サーバ装置２００のシミュレーション部２３０は、ネットワーク１５０を介して、端末装置３００に対し、情報システムに導入されていない共通対策ソリューションでユーザが新たに導入したいと思うもの（あるいは、その他のシミュレーション対象としたい共通対策ソリューション）の入力を要求する。
【０１７０】
ステップＳ１１５（共通対策ソリューション入力機能３０３）において、端末装置３００は、ステップＳ１１４の要求に応じて、入力装置３５１によりユーザからの共通対策ソリューションの入力を受け付ける。そして、端末装置３００は、ユーザから入力された共通対策ソリューションを、ネットワーク１５０を介して、サーバ装置２００に通知する。
【０１７１】
ステップＳ１１６（共通対策ソリューション設定機能２０３）において、サーバ装置２００の実績設定部２２５は、シミュレーション部２３０の制御により、共通対策ソリューションＤＢ２１４を参照し、ステップＳ１１５で端末装置３００から通知された共通対策ソリューションで、どのセキュリティ管理策が実施され、それぞれのセキュリティ管理策がどの運用レベルで実施されるかを確認する。
【０１７２】
ステップＳ１１７（実施有無・運用レベル設定機能２０４）において、サーバ装置２００の実績設定部２２５は、シミュレーション部２３０の制御により、ステップＳ１１６で確認した内容に基づき、ユーザが新たに導入したい共通対策ソリューションで各セキュリティ管理策が実施されるか否か、及び、それぞれの運用レベルを記憶装置２５２に記憶する。つまり、実績設定部２２５は、ステップＳ１１６で特定した共通対策ソリューションに含まれるセキュリティ管理策の実績フラグと実績値とをソリューション情報に基づいて更新する（あるいは、シミュレーション用に別途設定し、残りの部分については既に入力されているデータをコピーする）。
【０１７３】
ステップＳ１１８（評価マップ作成機能２０５）において、サーバ装置２００の対策実施率計算部２２７は、シミュレーション部２３０の制御により、セキュリティ管理策のグループごとに、ステップＳ１１７で更新された実績フラグを参照して、対策実施率を処理装置２５１により再計算する。同様に、サーバ装置２００の対策充足率計算部２２８は、シミュレーション部２３０の制御により、セキュリティ管理策のグループごとに、ステップＳ１１７で更新された実績値の合計を再計算した上で、対策充足率を処理装置２５１により再計算する。サーバ装置２００の評価マップ作成部２２９は、シミュレーション部２３０の制御により、再計算された対策実施率と対策充足率とを数値及び／又は色で表した評価マップを作成する。シミュレーション部２３０は、評価マップ作成部２２９に作成させた評価マップを、ネットワーク１５０を介して、端末装置３００に送信する。
【０１７４】
ステップＳ１１９（評価マップ表示機能３０５）において、端末装置３００は、ステップＳ１１８で送信された評価マップを、ネットワーク１５０を介して、サーバ装置２００から受信し、表示装置３５２により画面上に表示する。
【０１７５】
上記のように、本実施の形態では、サーバ装置２００のシミュレーション部２３０が、ステップＳ１１３で評価マップが出力された後に、ソリューション情報記憶部２２４により記憶されたソリューション情報で定義された複数の共通対策ソリューションのいずれかをユーザに選択させる（即ち、任意に選択する）。そして、シミュレーション部２３０は、選択された共通対策ソリューションに含まれるセキュリティ管理策の実績フラグと実績値とを当該ソリューション情報に基づいて設定した場合に対策実施率計算部２２７により計算される対策実施率と対策充足率計算部２２８により計算される対策充足率とを数値及び／又は色で表示した評価マップを作成し、端末装置３００の表示装置３５２に出力する。これにより、ユーザは、情報システムのセキュリティ評価・分析を行うだけでなく、セキュリティを向上させるために、情報システムに導入すべき共通対策ソリューションを検討することが容易になり、利便性、効率性が向上する。
【０１７６】
サーバ装置２００のシミュレーション部２３０は、情報システムに未だ導入されていない共通対策ソリューションをユーザに選択させる代わりに、情報システムのセキュリティを強化できる共通対策ソリューションを自動的に選択し、ユーザに対して提示してもよい。選択基準としては、例えば、図１４に示した評価マップ４０２を対象にした場合、なるべく多くの赤色の欄を黄色、黄緑色、緑色に変えることができる共通対策ソリューションを優先的に選択すること等が考えられる。この場合、さらに、その効果の大きさ（赤色の欄をいくつ黄色、黄緑色、緑色に変えられるか等）の順にソートした共通対策ソリューションのリストをユーザに提示してもよい。そして、さらに、リスト内の各共通対策ソリューションのソリューション名の横にチェック欄を設け、ユーザがチェックをＯＮ／ＯＦＦする度に、チェックがＯＮになっている共通対策ソリューションのみを導入した場合の評価マップ４０２を作成し、端末装置３００の表示装置３５２に出力する（画面上の評価マップ４０２を更新する）ようにしてもよい。
【０１７７】
以上、本発明の実施の形態について説明したが、これらのうち、２つ以上の実施の形態を組み合わせて実施しても構わない。あるいは、これらのうち、１つの実施の形態を部分的に実施しても構わない。あるいは、これらのうち、２つ以上の実施の形態を部分的に組み合わせて実施しても構わない。
【符号の説明】
【０１７８】
１００ セキュリティ評価システム、１５０ ネットワーク、２００ サーバ装置、２０１ ビジネスインパクト設定機能、２０２ セキュリティ管理策選定機能、２０３ 共通対策ソリューション設定機能、２０４ 実施有無・運用レベル設定機能、２０５ 評価マップ作成機能、２１０ データベース、２１１ セキュリティ管理策ＤＢ、２１２ ビジネスインパクトＤＢ、２１３ 運用レベルＤＢ、２１４ 共通対策ソリューションＤＢ、２１５ 運用レベル定義ＤＢ、２２１ 条件入力部、２２２ 目標設定部、２２３ 目標記憶部、２２４ ソリューション情報記憶部、２２５ 実績設定部、２２６ 実績入力部、２２７ 対策実施率計算部、２２８ 対策充足率計算部、２２９ 評価マップ作成部、２３０ シミュレーション部、２５１ 処理装置、２５２ 記憶装置、２５３ 入力装置、２５４ 出力装置、３００ 端末装置、３０１ ビジネスインパクト条件入力機能、３０２ セキュリティ管理策一覧表示機能、３０３ 共通対策ソリューション入力機能、３０４ 実施有無・運用レベル入力機能、３０５ 評価マップ表示機能、３５１ 入力装置、３５２ 表示装置、４０１ａ，ｂ セキュリティ管理策一覧、４０２ 評価マップ、９０１ ＬＣＤ、９０２ キーボード、９０３ マウス、９０４ ＦＤＤ、９０５ ＣＤＤ、９０６ プリンタ、９１１ ＣＰＵ、９１２ バス、９１３ ＲＯＭ、９１４ ＲＡＭ、９１５ 通信ボード、９２０ ＨＤＤ、９２１ オペレーティングシステム、９２２ ウィンドウシステム、９２３ プログラム群、９２４ ファイル群。
【技術分野】
【０００１】
本発明は、セキュリティ評価装置及びセキュリティ評価方法及びセキュリティ評価プログラムに関するものである。本発明は、特に、情報システム（コンピュータシステム）のセキュリティ評価・分析方法及び装置に関するものである。
【背景技術】
【０００２】
従来、情報システムのセキュリティ評価・分析方法に関し、対象システムの構成情報、セキュリティポリシー等に基づいて、高度な専門的知識をもつシステム管理者でなくても、対象システムのセキュリティを評価したり、セキュリティ施策を作成したりできるものがある（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００１−１０１１３５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
従来技術では、セキュリティ評価の対象を１つ以上の「機器」で構成される「システム」としており、セキュリティ評価項目は対象となる「機器」に従属して定義されている。この場合、次の課題が生じる。
（１）セキュリティ評価の対象を「機器」、「システム」としているため、「機器」、「システム」に従属しないセキュリティ評価項目が定義できない。例えば、「組織」、「人」、「設備」等のセキュリティ評価項目の設定ができない、又は、設定し難い。つまり、セキュリティ評価項目の網羅性に欠けるという課題がある。
（２）セキュリティ評価項目が「機器」、「システム」に従属して定義されているため、評価対象「機器」、「システム」の増加に伴い、対象「機器」、「システム」のセキュリティ評価項目を追加設定する必要がある。つまり、評価システムのメンテナンス性がよくないという課題がある。
【０００５】
従来技術では、セキュリティ評価結果を対策機能グループ（施策種別）ごとに、対策の実施有無のみでレーダチャートの評価レポートを作成しているため、以下に示すように対策の弱点分析の精度に課題がある。
（１）セキュリティ管理策を施す領域（対策箇所）には、ネットワーク、サーバ、端末、データ等、様々な対策領域が存在するが、対策機能だけで分類したレーダチャートでは、各対策領域のどこに過不足があるのか分からない。
（２）対策機能の有無の確認だけでは、その対策機能が十分に機能しているか否かを測ることができない。また、その対策がどのように運用されているかを評価しないと、その対策が十分機能しているか判断することができない。
【０００６】
従来技術では、セキュリティ評価のセキュリティ強度を「最強」、「強」、「並」といった単純なレベル分けで分類し、分類に応じて評価レベル（ベースライン）を変動させている。この場合、次の課題が生じる。
（１）セキュリティの強度は、セキュリティ事故が発生した場合のビジネスインパクトに応じて木目細かく設定できることが好ましいが、「最強」、「強」、「並」といった単純なレベル分けでは、システムのビジネスインパクトに応じた木目細かな評価レベル設定はできない。
（２）機密性（情報が漏れないこと等）、完全性（情報が改ざんされないこと等）、可用性（情報が常に使用できること等）、信頼性（ソフトウェアに不具合が発生しないこと等）、遵守性（法令違反や契約違反がないこと等）といったセキュリティ機能要件に応じた、木目細かい評価レベルの分類を行う必要があるが、従来技術ではできない。
【０００７】
このように、従来技術は「機器」、「システム」に従属したセキュリティ評価方法として成り立つが、セキュリティ対策領域の全体を網羅し、かつ、どの対策領域に、どんな対策機能が、どのように施されているかといった、木目細かな評価ができない。また、セキュリティ強度の評価レベル（ベースライン）の設定基準が単純なため、木目細かな評価レベルの調整もできないという課題がある。
【０００８】
本発明は、例えば、多面的、網羅的で精度の高いセキュリティ評価・分析を行えるようにすることを目的とする。
【課題を解決するための手段】
【０００９】
本発明の一の態様に係るセキュリティ評価装置は、
情報システムのセキュリティに係る対策である複数のセキュリティ管理策を２種類以上の分類項目の組み合わせによって複数のグループに分類し、セキュリティ管理策のグループごとにセキュリティの評価を行うセキュリティ評価装置であって、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の要否を示す目標フラグと、各セキュリティ管理策の実施内容を数値評価した場合の目標値とを記憶装置に記憶する目標記憶部と、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の有無を示す実績フラグと、各セキュリティ管理策の実施内容を数値評価した実績値とを入力し、記憶装置に記憶する実績入力部と、
セキュリティ管理策のグループごとに、前記目標記憶部により記憶された目標フラグと前記実績入力部により記憶された実績フラグとを参照して、実施する必要があるセキュリティ管理策の数と、実際に実施しているセキュリティ管理策の数との比率を対策実施率として処理装置により計算する対策実施率計算部と、
セキュリティ管理策のグループごとに、前記目標記憶部により記憶された目標値の合計と前記実績入力部により記憶された実績値の合計との比率を対策充足率として処理装置により計算する対策充足率計算部と、
セキュリティ管理策のグループごとに、前記対策実施率計算部により計算された対策実施率と前記対策充足率計算部により計算された対策充足率とを表示装置に出力する出力部とを備えることを特徴とする。
【００１０】
本発明の他の態様に係るセキュリティ評価装置は、
情報システムのセキュリティに係る対策である複数のセキュリティ管理策を２種類以上の分類項目の組み合わせによって複数のグループに分類し、セキュリティ管理策のグループごとにセキュリティの評価を行うセキュリティ評価装置であって、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の要否を示す目標フラグと、各セキュリティ管理策の実施内容を数値評価した場合の目標値とを記憶装置に記憶する目標記憶部と、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の有無を示す実績フラグと、各セキュリティ管理策の実施内容を数値評価した実績値とを入力し、記憶装置に記憶する実績入力部と、
セキュリティ管理策のグループごとに、前記目標記憶部により記憶された目標フラグと前記実績入力部により記憶された実績フラグとを参照して、実施する必要があるセキュリティ管理策の数と、実際に実施しているセキュリティ管理策の数との比率を対策実施率として処理装置により計算する対策実施率計算部と、
セキュリティ管理策のグループごとに、前記目標記憶部により目標値が記憶されているセキュリティ管理策の数と、前記実績入力部により記憶された実績値が前記目標記憶部により記憶された目標値に達しているセキュリティ管理策の数との比率を対策充足率として処理装置により計算する対策充足率計算部と、
セキュリティ管理策のグループごとに、前記対策実施率計算部により計算された対策実施率と前記対策充足率計算部により計算された対策充足率とを表示装置に出力する出力部とを備えることを特徴とする。
【００１１】
前記出力部は、２種類の分類項目の一方を縦軸に配置し、他方を横軸に配置し、セキュリティ管理策のグループごとに、前記対策実施率計算部により計算された対策実施率と前記対策充足率計算部により計算された対策充足率とを表示した評価マップを作成し、表示装置に出力する評価マップ作成部であることを特徴とする。
【００１２】
前記評価マップ作成部は、前記対策実施率計算部により計算された対策実施率と前記対策充足率計算部により計算された対策充足率とをそれぞれの値に応じて色分け表示した評価マップを作成することを特徴とする。
【００１３】
前記評価マップ作成部は、セキュリティ管理策のグループごとに、前記対策実施率計算部により計算された対策実施率と前記対策充足率計算部により計算された対策充足率とを上下又は左右２段に並べて表示した評価マップを作成することを特徴とする。
【００１４】
前記セキュリティ評価装置は、さらに、
特定のセキュリティ管理策を組み合わせ、当該セキュリティ管理策のそれぞれの実施内容を定めた共通対策ソリューションを複数定義するソリューション情報を記憶装置に記憶するソリューション情報記憶部と、
前記ソリューション情報記憶部により記憶されたソリューション情報で定義された複数の共通対策ソリューションのうち、情報システムに導入された共通対策ソリューションを選択し、選択した共通対策ソリューションに含まれるセキュリティ管理策の実績フラグと実績値とを当該ソリューション情報に基づいて設定する実績設定部とを備え、
前記実績入力部は、前記実績設定部により選択された共通対策ソリューションに含まれるセキュリティ管理策以外のセキュリティ管理策の実績フラグと実績値とを入力し、入力したセキュリティ管理策の実績フラグと実績値と、前記実績設定部により設定されたセキュリティ管理策の実績フラグと実績値とを記憶装置に記憶することを特徴とする。
【００１５】
前記セキュリティ評価装置は、さらに、
前記出力部により対策実施率と対策充足率とが出力された後に、前記ソリューション情報記憶部により記憶されたソリューション情報で定義された複数の共通対策ソリューションのいずれかを任意に選択し、選択した共通対策ソリューションに含まれるセキュリティ管理策の実績フラグと実績値とを当該ソリューション情報に基づいて設定した場合に前記対策実施率計算部により計算される対策実施率と前記対策充足率計算部により計算される対策充足率とを表示装置に出力するシミュレーション部を備えることを特徴とする。
【００１６】
前記対策充足率計算部は、さらに、セキュリティ管理策ごとに、前記実績入力部により記憶された実績値から前記目標記憶部により記憶された目標値を減算し、セキュリティ管理策のグループごとに、当該減算結果の最小値と最大値との少なくともいずれかを対策充足度として処理装置により計算し、
前記出力部は、セキュリティ管理策のグループごとに、前記対策充足率計算部により計算された対策充足度を表示装置に出力することを特徴とする。
【００１７】
本発明の一の態様に係るセキュリティ評価方法は、
情報システムのセキュリティに係る対策である複数のセキュリティ管理策を２種類以上の分類項目の組み合わせによって複数のグループに分類し、セキュリティ管理策のグループごとにセキュリティの評価を行うセキュリティ評価方法であって、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の要否を示す目標フラグと、各セキュリティ管理策の実施内容を数値評価した場合の目標値とを記憶装置に記憶し、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の有無を示す実績フラグと、各セキュリティ管理策の実施内容を数値評価した実績値とを入力し、記憶装置に記憶し、
セキュリティ管理策のグループごとに、記憶装置に記憶された目標フラグと実績フラグとを参照して、実施する必要があるセキュリティ管理策の数と、実際に実施しているセキュリティ管理策の数との比率を対策実施率として処理装置により計算し、
セキュリティ管理策のグループごとに、記憶装置に記憶された目標値の合計と記憶装置に記憶された実績値の合計との比率を対策充足率として処理装置により計算し、
セキュリティ管理策のグループごとに、計算された対策実施率と対策充足率とを表示装置に出力することを特徴とする。
【００１８】
本発明の他の態様に係るセキュリティ評価方法は、
情報システムのセキュリティに係る対策である複数のセキュリティ管理策を２種類以上の分類項目の組み合わせによって複数のグループに分類し、セキュリティ管理策のグループごとにセキュリティの評価を行うセキュリティ評価方法であって、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の要否を示す目標フラグと、各セキュリティ管理策の実施内容を数値評価した場合の目標値とを記憶装置に記憶し、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の有無を示す実績フラグと、各セキュリティ管理策の実施内容を数値評価した実績値とを入力し、記憶装置に記憶し、
セキュリティ管理策のグループごとに、記憶装置に記憶された目標フラグと実績フラグとを参照して、実施する必要があるセキュリティ管理策の数と、実際に実施しているセキュリティ管理策の数との比率を対策実施率として処理装置により計算し、
セキュリティ管理策のグループごとに、記憶装置に目標値が記憶されているセキュリティ管理策の数と、記憶装置に記憶された実績値が目標値に達しているセキュリティ管理策の数との比率を対策充足率として処理装置により計算し、
セキュリティ管理策のグループごとに、計算された対策実施率と対策充足率とを表示装置に出力することを特徴とする。
【００１９】
本発明の一の態様に係るセキュリティ評価プログラムは、
情報システムのセキュリティに係る対策である複数のセキュリティ管理策を２種類以上の分類項目の組み合わせによって複数のグループに分類し、セキュリティ管理策のグループごとにセキュリティの評価を行うセキュリティ評価プログラムであって、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の要否を示す目標フラグと、各セキュリティ管理策の実施内容を数値評価した場合の目標値とを記憶装置に記憶する目標記憶処理と、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の有無を示す実績フラグと、各セキュリティ管理策の実施内容を数値評価した実績値とを入力し、記憶装置に記憶する実績入力処理と、
セキュリティ管理策のグループごとに、前記目標記憶処理により記憶された目標フラグと前記実績入力処理により記憶された実績フラグとを参照して、実施する必要があるセキュリティ管理策の数と、実際に実施しているセキュリティ管理策の数との比率を対策実施率として処理装置により計算する対策実施率計算処理と、
セキュリティ管理策のグループごとに、前記目標記憶処理により記憶された目標値の合計と前記実績入力処理により記憶された実績値の合計との比率を対策充足率として処理装置により計算する対策充足率計算処理と、
セキュリティ管理策のグループごとに、前記対策実施率計算処理により計算された対策実施率と前記対策充足率計算処理により計算された対策充足率とを表示装置に出力する出力処理とをコンピュータに実行させることを特徴とする。
【００２０】
本発明の他の態様に係るセキュリティ評価プログラムは、
情報システムのセキュリティに係る対策である複数のセキュリティ管理策を２種類以上の分類項目の組み合わせによって複数のグループに分類し、セキュリティ管理策のグループごとにセキュリティの評価を行うセキュリティ評価プログラムであって、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の要否を示す目標フラグと、各セキュリティ管理策の実施内容を数値評価した場合の目標値とを記憶装置に記憶する目標記憶処理と、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の有無を示す実績フラグと、各セキュリティ管理策の実施内容を数値評価した実績値とを入力し、記憶装置に記憶する実績入力処理と、
セキュリティ管理策のグループごとに、前記目標記憶処理により記憶された目標フラグと前記実績入力処理により記憶された実績フラグとを参照して、実施する必要があるセキュリティ管理策の数と、実際に実施しているセキュリティ管理策の数との比率を対策実施率として処理装置により計算する対策実施率計算処理と、
セキュリティ管理策のグループごとに、前記目標記憶処理により目標値が記憶されているセキュリティ管理策の数と、前記実績入力処理により記憶された実績値が前記目標記憶処理により記憶された目標値に達しているセキュリティ管理策の数との比率を対策充足率として処理装置により計算する対策充足率計算処理と、
セキュリティ管理策のグループごとに、前記対策実施率計算処理により計算された対策実施率と前記対策充足率計算処理により計算された対策充足率とを表示装置に出力する出力処理とをコンピュータに実行させることを特徴とする。
【発明の効果】
【００２１】
本発明の一の態様によれば、セキュリティ評価装置において、
複数のセキュリティ管理策を２種類以上の分類項目の組み合わせによって複数のグループに分類し、
対策実施率計算部が、セキュリティ管理策のグループごとに、実施する必要があるセキュリティ管理策の数と、実際に実施しているセキュリティ管理策の数との比率を対策実施率として計算し、
対策充足率計算部が、セキュリティ管理策のグループごとに、各セキュリティ管理策の実施内容を数値評価した場合の目標値の合計と実績値の合計との比率を対策充足率として計算し、
出力部が、セキュリティ管理策のグループごとに、前記対策実施率計算部により計算された対策実施率と前記対策充足率計算部により計算された対策充足率とを出力することにより、
多面的、網羅的で精度の高いセキュリティ評価・分析を行うことが可能となる。
【図面の簡単な説明】
【００２２】
【図１】実施の形態１に係るセキュリティ評価システムの構成を示すブロック図である。
【図２】実施の形態１に係るセキュリティ管理策ＤＢの具体例を示す表である。
【図３】実施の形態１に係る運用レベルＤＢの具体例を示す表である。
【図４】実施の形態１に係る共通対策ソリューションＤＢの具体例を示す表である。
【図５】実施の形態１に係るサーバ装置の構成を示すブロック図である。
【図６】実施の形態１に係るサーバ装置、端末装置のハードウェア構成の一例を示す図である。
【図７】実施の形態１に係るセキュリティ評価システムの動作を示すフローチャートである。
【図８】実施の形態１に係るビジネスインパクトＤＢの具体例を示す表である。
【図９】実施の形態１に係るセキュリティ管理策ＤＢの具体例を示す表である。
【図１０】実施の形態１に係る運用レベル定義ＤＢの具体例を示す表である。
【図１１】実施の形態１に係るセキュリティ管理策一覧の具体例を示す表である。
【図１２】実施の形態１に係るセキュリティ管理策一覧の具体例を示す表である。
【図１３】実施の形態１に係る評価マップの色分け方法の具体例を示す表である。
【図１４】実施の形態１に係る評価マップの具体例を示す図である。
【図１５】実施の形態２に係るセキュリティ評価システムの動作の詳細を示すフローチャートである。
【図１６】実施の形態２に係るセキュリティ評価システムの動作の詳細を示すフローチャートである。
【図１７】実施の形態２に係るセキュリティ評価システムの動作の詳細を示すフローチャートである。
【図１８】実施の形態２に係るセキュリティ評価システムの動作の詳細を示すフローチャートである。
【図１９】実施の形態５に係るサーバ装置の構成を示すブロック図である。
【図２０】実施の形態５に係るセキュリティ評価システムの動作を示すフローチャートである。
【発明を実施するための形態】
【００２３】
以下、本発明の実施の形態について、図を用いて説明する。
【００２４】
実施の形態１．
図１は、本実施の形態に係るセキュリティ評価システム１００の構成を示すブロック図である。
【００２５】
図１において、セキュリティ評価システム１００は、情報システム（コンピュータシステム）のセキュリティ評価・分析を行うシステムであり、ネットワーク１５０を介して接続されたサーバ装置２００（以下、単に「サーバ」という場合がある）と端末装置３００（以下、単に「端末」という場合がある）とを備えている。サーバ装置２００、端末装置３００は、それぞれ複数設置してもよく、これにより利便性、耐障害性、可用性、効率性等を向上させることができる。
【００２６】
サーバ装置２００は、セキュリティ評価装置の一例であり、情報システムのセキュリティに係る対策である複数のセキュリティ管理策を２種類以上の分類項目の組み合わせによって複数のグループに分類し、セキュリティ管理策のグループごとにセキュリティの評価を行う。そのために、サーバ装置２００には、ビジネスインパクト設定機能２０１、セキュリティ管理策選定機能２０２、共通対策ソリューション設定機能２０３、実施有無・運用レベル設定機能２０４、評価マップ作成機能２０５が実装されている。これらの機能の詳細については後述する。また、サーバ装置２００は、データベース２１０を具備している。データベース２１０（ＤＢ）には、セキュリティ管理策ＤＢ２１１、ビジネスインパクトＤＢ２１２、運用レベルＤＢ２１３、共通対策ソリューションＤＢ２１４、運用レベル定義ＤＢ２１５が含まれている。
【００２７】
端末装置３００は、ネットワーク１５０を介して、サーバ装置２００からセキュリティの評価結果を取得して、ユーザ（情報システムの管理者等）に提示する。そのために、端末装置３００には、ビジネスインパクト条件入力機能３０１、セキュリティ管理策一覧表示機能３０２、共通対策ソリューション入力機能３０３、実施有無・運用レベル入力機能３０４、評価マップ表示機能３０５が実装されている。これらの機能の詳細については後述する。また、端末装置３００は、入力装置３５１、表示装置３５２を具備している。ユーザは、端末装置３００を利用してセキュリティの評価結果を参照し、セキュリティの分析及び改善策の検討等を行うことができる。
【００２８】
情報システムに対するセキュリティ管理策は、対応する「脅威」の種類によって異なり、その「対策領域」も様々であるが、従来は、どの脅威に対して、どこに、どれだけの対策が、どのように施されているかを、システム全体で俯瞰することは非常に困難であった。そのため、実施しているセキュリティ管理策の妥当性や網羅性が判断しにくく、どんな対策を、どこまで、どのように実施すればよいのか分からないといった課題があった。これに対し、本実施の形態では、サーバ装置２００及び端末装置３００において、上記の各機能を活用することにより、多面的、網羅的で精度の高いセキュリティ評価・分析を行うことを可能にしているため、どの脅威に対して、どこに、どれだけの対策が、どのように施されているかを容易に把握することができる。また、これにより、情報システムのセキュリティ上の弱点等を簡単に見つけられるため、どんな対策を、どこまで、どのように追加して実施すればよいのかが分かりやすくなるという効果を奏する。
【００２９】
前述したように、本実施の形態において、セキュリティ管理策は、２種類以上の分類項目の組み合わせによって複数のグループに分類され、セキュリティ管理策ＤＢ２１１に記憶される。ここでは、例として、セキュリティ管理策１つ１つに対し、次の４つの視点で分類、指標化がなされるものとする。
（１）対策箇所：セキュリティ管理策を施す領域である。
（２）脅威：セキュリティ管理策が対応する脅威である。
（３）セキュリティ機能要件：セキュリティ管理策に対する情報セキュリティ機能要件である。
（４）対策手段：セキュリティ管理策の対策手段である。
【００３０】
上記のように、多種多様なセキュリティ管理策を４種類の分類項目で分類することによって、各セキュリティ管理策の属性を明確にし、属性データを利用して多面的なセキュリティ評価・分析を実現することが可能となる。また、セキュリティ管理策の属性ごとに、現在のセキュリティ対策状況の弱点を分析することにより、網羅的で精度の高い弱点分析を行うことが可能となる。さらに、セキュリティの最も弱い部分を強化するために必要性の高いセキュリティ管理策を見つけやすくなるので、効率的にセキュリティ強化を行うことが可能となる。
【００３１】
上記４種類の分類項目のうち、（１）対策箇所は、セキュリティ管理策を施す領域を表し、情報システム全体を、いくつかの視点で分類したものである。本実施の形態では、一例として、人や情報セキュリティに注目した分類を行っている。人に係る領域としては、「利用者」、「管理者」等がある。情報セキュリティに係る領域としては、「ネットワーク」等がある。その他、物理セキュリティ、組織等に注目した分類を行って、領域を任意に定義することが可能である。このように、情報システムを構成する物理的な機器ではなく、論理的なレイヤで分類してセキュリティ管理策を管理することにより、機器以外の「人」や「組織」に対する管理策を含めて網羅的に管理を行うことが可能となる。また、論理的なレイヤにより分類して管理するため、物理的な機器が増えても新たに管理策を定義する必要がなく、メンテナンスが容易になるという効果がある。
【００３２】
ここで、図２にセキュリティ管理策ＤＢ２１１の具体例を示す。
【００３３】
例えば、図２において、「顧客情報、取引情報等の機密情報へのアクセス権限者を明確にしている」というセキュリティ管理策（セキュリティ管理策番号：１）は、利用者である顧客に対して実施するものであるから、対応する対策箇所が「利用者」に設定されている。
【００３４】
また、例えば、図２において、「ファイアウォールを設定している場合、アカウント使用履歴や、リソース使用状況等を定期的に監視している」というセキュリティ管理策（セキュリティ管理策番号：２１）は、ネットワーク機器の１つであるファイアウォールに対して実施するものであるから、対応する対策箇所が「ネットワーク」に設定されている。
【００３５】
他のセキュリティ管理策についても、それぞれの内容に従い、対応する対策箇所が設定されている。なお、図２に示したものは例であり、どのセキュリティ管理策をどの対策箇所に対応付けるかは任意に決めてよい。
【００３６】
上記４種類の分類項目のうち、（２）脅威は、情報システムがさらされる脅威を、故意的、偶発的、環境的な視点等、異なる視点で列挙し、いくつかの脅威に分類したものである。本実施の形態では、一例として、故意的なものや偶発的なものに注目した分類を行っている。故意的な脅威としては、「不正侵入」、「盗聴」、「権限乱用」、「漏洩」、「なりすまし」、「否認」、「情報改ざん」等がある。偶発的な脅威としては、「過失」等がある。その他、環境的なもの等に注目した分類を行って、脅威を任意に定義することが可能である。
【００３７】
ここでも、図２に示したセキュリティ管理策ＤＢ２１１の具体例を参照する。
【００３８】
例えば、図２において、前述した「顧客情報、取引情報等の機密情報へのアクセス権限者を明確にしている」というセキュリティ管理策（セキュリティ管理策番号：１）は、機密情報の漏洩や改ざんを予防するために実施するものであるから、対応する脅威が「漏洩」、「情報改ざん」に設定されている。
【００３９】
また、例えば、図２において、「ファイアウォールを設定している場合、アカウント使用履歴や、リソース使用状況等を定期的に監視している」というセキュリティ管理策（セキュリティ管理策番号：２１）は、外部ネットワークからの不正侵入やアカウント権限の乱用等を検知するために実施するものであるから、対応する脅威が「不正侵入」、「権限乱用」等に設定されている。
【００４０】
他のセキュリティ管理策についても、それぞれの内容に従い、対応する脅威が設定されている。なお、図２に示したものは例であり、どのセキュリティ管理策をどの脅威に対応付けるかは任意に決めてよい。
【００４１】
上記４種類の分類項目のうち、（３）セキュリティ機能要件は、セキュリティ管理策の目的を５つの機能要件に分類したものである。機能要件としては、「機密性」、「完全性」、「可用性」、「信頼性」、「遵守性」がある。機能要件は、後述するセキュリティ対策レベルの指標となる「ベースライン」の決定因子となる。このように、セキュリティ対策状況を機能要件ごとに分類・整理して分析することにより、高度なセキュリティレベルが必要な機能要件を確保するための対策を優先して実施することが可能となる。
【００４２】
ここでも、図２に示したセキュリティ管理策ＤＢ２１１の具体例を参照する。
【００４３】
例えば、図２において、前述した「顧客情報、取引情報等の機密情報へのアクセス権限者を明確にしている」というセキュリティ管理策（セキュリティ管理策番号：１）は、機密性及び完全性を維持するために実施するものであるから、対応するセキュリティ機能要件が「機密性」、「完全性」に設定されている。
【００４４】
また、例えば、図２において、「ファイアウォールを設定している場合、アカウント使用履歴や、リソース使用状況等を定期的に監視している」というセキュリティ管理策（セキュリティ管理策番号：２１）も、機密性及び完全性を維持するために実施するものであるから、対応するセキュリティ機能要件が「機密性」、「完全性」に設定されている。
【００４５】
他のセキュリティ管理策についても、それぞれの内容に従い、対応するセキュリティ機能要件が設定されている。なお、図２に示したものは例であり、どのセキュリティ管理策をどのセキュリティ機能要件に対応付けるかは任意に決めてよい。
【００４６】
上記４種類の分類項目のうち、（４）対策手段は、セキュリティ管理策のプロセスを３つの手段に分類したものである。手段としては、「予防」、「検知」、「対処」がある。このように、セキュリティ対策状況を対策手段ごとに分類・整理して分析することにより、予防の管理策は実施しているが、検知、対処の管理策の実施ができていないといった、詳細な弱点分析を行うことが可能となる。
【００４７】
ここでも、図２に示したセキュリティ管理策ＤＢ２１１の具体例を参照する。
【００４８】
例えば、図２において、前述した「顧客情報、取引情報等の機密情報へのアクセス権限者を明確にしている」というセキュリティ管理策（セキュリティ管理策番号：１）は、機密情報の漏洩や改ざんを予防するために実施するものであるから、対応する対策手段が「予防」に設定されている。
【００４９】
また、例えば、図２において、「ファイアウォールを設定している場合、アカウント使用履歴や、リソース使用状況等を定期的に監視している」というセキュリティ管理策（セキュリティ管理策番号：２１）は、外部ネットワークからの不正侵入やアカウント権限の乱用等を検知するために実施するものであるから、対応する対策手段が「検知」に設定されている。
【００５０】
他のセキュリティ管理策についても、それぞれの内容に従い、対応する対策手段が設定されている。なお、図２に示したものは例であり、どのセキュリティ管理策をどの対策手段に対応付けるかは任意に決めてよい。
【００５１】
本実施の形態において、一部のセキュリティ管理策については、運用レベルが定義され、運用レベルＤＢ２１３に記憶される。運用レベルは、セキュリティ管理策を実施する際に運用が伴う場合、その運用の質を表す指標である。言い換えれば、運用レベルは、各セキュリティ管理策の実施内容を数値評価したものである。ここでは、例として、対象となるセキュリティ管理策ごとに、レベル１から５までの５段階の運用レベルが定義されるものとする。即ち、各セキュリティ管理策の実施内容は１から５までの５段階で数値評価される。
【００５２】
ここで、図３に運用レベルＤＢ２１３の具体例を示す。
【００５３】
例えば、図３において、「顧客情報、取引情報等の機密情報へのアクセス権限者を明確にしている」というセキュリティ管理策（セキュリティ管理策番号：１）については、「アクセス権限者の特定方法」に関し、どのような運用をしているかに応じて、レベル２から５までの運用レベルが定義されている。具体的には、「二人の権限者の合意で操作できる」場合はレベル５、「権限者を最小限に制限し、定期的に見直している」場合はレベル４、「権限者の数は制限していないが、定期的に見直している」場合はレベル３、「権限者の数の制限や定期的な見直しはなし」の場合はレベル２として定義されている（このように、必ずしも５段階全ての運用レベルを定義しなければならないわけではない）。
【００５４】
また、例えば、図３において、「ファイアウォールを設定している場合、アカウント使用履歴や、リソース使用状況等を定期的に監視している」というセキュリティ管理策（セキュリティ管理策番号：２１）については、「アカウント使用履歴の監視インターバル」に関し、どのような運用をしているかに応じて、レベル１から５までの運用レベルが定義されている。具体的には、「リアルタイム」の場合はレベル５、「１時間以内」の場合はレベル４、「６時間以内」の場合はレベル３、「２４時間以内」の場合はレベル２、「それ以上」の場合はレベル１として定義されている。
【００５５】
他のセキュリティ管理策についても、それぞれの運用レベルが定義されている。なお、図３に示したものは例であり、どのセキュリティ管理策について、どのような運用レベルを定義するかは任意に決めてよい。
【００５６】
本実施の形態では、特定のセキュリティ管理策を組み合わせ、当該セキュリティ管理策のそれぞれの実施内容を定めた共通対策ソリューションが複数定義される。それぞれの共通対策ソリューションを定義するソリューション情報は、共通対策ソリューションＤＢ２１４に記憶される。ソリューション情報では、それぞれの共通対策ソリューションにソリューション番号及びソリューション名が付され、これらによって共通対策ソリューションＤＢ２１４が管理される。以下で説明するように、共通対策ソリューションＤＢ２１４において定義された共通対策ソリューションが選択された場合、その共通対策ソリューションに対応するセキュリティ管理策は特定の実施内容で（例えば、特定の運用レベルで）実施済であるとみなされる。
【００５７】
ここで、図４に共通対策ソリューションＤＢ２１４の具体例を示す。
【００５８】
例えば、図４において、「××社ネットワーク監視サービス」というソリューション名をもつ共通対策ソリューション（ソリューション番号：４）は、セキュリティ管理策番号：１９のセキュリティ管理策（「外部ネットワークと接続する場合は、ファイアウォールを設置して通信を制御している」）とセキュリティ管理策番号：２１のセキュリティ管理策（「ファイアウォールを設定している場合、アカウント使用履歴や、リソース使用状況等を定期的に監視している」）を組み合わせたものであることが定義されている。よって、「××社ネットワーク監視サービス」が選択されると、セキュリティ管理策番号：１９のセキュリティ管理策とセキュリティ管理策番号：２１のセキュリティ管理策が実施済であるとみなされることになる。また、「××社ネットワーク監視サービス」では、セキュリティ管理策番号：２１のセキュリティ管理策が実施される際に、その運用レベルがレベル５（「リアルタイム」に「アカウント使用履歴の監視」を行う）となることが定義されている。よって、「××社ネットワーク監視サービス」が選択されると、セキュリティ管理策番号：１９のセキュリティ管理策とセキュリティ管理策番号：２１のセキュリティ管理策が実施済であるとみなされるだけでなく、セキュリティ管理策番号：２１のセキュリティ管理策がレベル５で実施されているとみなされることになる。この例では、共通対策ソリューションに対応するセキュリティ管理策の各々について、運用レベルが直接定められているが、運用レベル以外の表現でセキュリティ管理策の実施内容が定められていてもよい。この場合、定められた実施内容がどの運用レベルに相当するかが運用レベルＤＢ２１３を参照することにより、判断されることになる。
【００５９】
他の共通対策ソリューションについても、セキュリティ管理策の組み合わせ、及び、それぞれの運用レベルが設定されている。なお、図４に示したものは例であり、どの共通対策ソリューションについて、どのセキュリティ管理策を組み合わせ、どの運用レベルを設定するかは任意に決めてよい。
【００６０】
図５は、サーバ装置２００の構成を示すブロック図である。
【００６１】
図５において、サーバ装置２００は、条件入力部２２１、目標設定部２２２、目標記憶部２２３、ソリューション情報記憶部２２４、実績設定部２２５、実績入力部２２６、対策実施率計算部２２７、対策充足率計算部２２８、評価マップ作成部２２９（出力部の一例）を備える。また、サーバ装置２００は、処理装置２５１、記憶装置２５２、入力装置２５３、出力装置２５４等のハードウェアを備える。ハードウェアはサーバ装置２００の各部によって利用される。例えば、処理装置２５１は、サーバ装置２００の各部でデータや情報の演算、加工、読み取り、書き込み等を行うために利用される。記憶装置２５２は、そのデータや情報を記憶するために利用される。また、入力装置２５３は、そのデータや情報を入力するために、出力装置２５４は、そのデータや情報を出力するために利用される。
【００６２】
記憶装置２５２には、データベース２１０が実装される。例えば、図２に示したセキュリティ管理策ＤＢ２１１、図３に示した運用レベルＤＢ２１３、図４に示した共通対策ソリューションＤＢ２１４、後述するビジネスインパクトＤＢ２１２、運用レベル定義ＤＢ２１５が、記憶装置２５２に記憶されている。
【００６３】
条件入力部２２１には、ビジネスインパクト設定機能２０１が実装される。目標設定部２２２、目標記憶部２２３には、セキュリティ管理策選定機能２０２が実装される。実績設定部２２５には、共通対策ソリューション設定機能２０３、実施有無・運用レベル設定機能２０４の一部が実装される。実績入力部２２６には、実施有無・運用レベル設定機能２０４の一部が実装される。対策実施率計算部２２７、対策充足率計算部２２８、評価マップ作成部２２９には、評価マップ作成機能２０５が実装される。各部の動作については後述する。
【００６４】
図６は、サーバ装置２００、端末装置３００それぞれのハードウェア構成の一例を示す図である。
【００６５】
図６において、サーバ装置２００、端末装置３００は、それぞれコンピュータであり、ＬＣＤ９０１（Ｌｉｑｕｉｄ・Ｃｒｙｓｔａｌ・Ｄｉｓｐｌａｙ）、キーボード９０２（Ｋ／Ｂ）、マウス９０３、ＦＤＤ９０４（Ｆｌｅｘｉｂｌｅ・Ｄｉｓｋ・Ｄｒｉｖｅ）、ＣＤＤ９０５（Ｃｏｍｐａｃｔ・Ｄｉｓｃ・Ｄｒｉｖｅ）、プリンタ９０６といったハードウェアデバイスを備えている。これらのハードウェアデバイスはケーブルや信号線で接続されている。ＬＣＤ９０１の代わりに、ＣＲＴ（Ｃａｔｈｏｄｅ・Ｒａｙ・Ｔｕｂｅ）、あるいは、その他の表示装置が用いられてもよい。マウス９０３の代わりに、タッチパネル、タッチパッド、トラックボール、ペンタブレット、あるいは、その他のポインティングデバイスが用いられてもよい。
【００６６】
サーバ装置２００、端末装置３００は、それぞれプログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ・Ｐｒｏｃｅｓｓｉｎｇ・Ｕｎｉｔ）を備えている。サーバ装置２００において、ＣＰＵ９１１は、処理装置２５１の一例である。ＣＰＵ９１１は、バス９１２を介してＲＯＭ９１３（Ｒｅａｄ・Ｏｎｌｙ・Ｍｅｍｏｒｙ）、ＲＡＭ９１４（Ｒａｎｄｏｍ・Ａｃｃｅｓｓ・Ｍｅｍｏｒｙ）、通信ボード９１５、ＬＣＤ９０１、キーボード９０２、マウス９０３、ＦＤＤ９０４、ＣＤＤ９０５、プリンタ９０６、ＨＤＤ９２０（Ｈａｒｄ・Ｄｉｓｋ・Ｄｒｉｖｅ）と接続され、これらのハードウェアデバイスを制御する。ＨＤＤ９２０の代わりに、フラッシュメモリ、光ディスク装置、メモリカードリーダライタ又はその他の記憶媒体が用いられてもよい。
【００６７】
ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３、ＦＤＤ９０４、ＣＤＤ９０５、ＨＤＤ９２０は、不揮発性メモリの一例である。サーバ装置２００において、これらは、記憶装置２５２の一例である。通信ボード９１５、キーボード９０２、マウス９０３、ＦＤＤ９０４、ＣＤＤ９０５は、入力装置２５３の一例である。通信ボード９１５、ＬＣＤ９０１、プリンタ９０６は、出力装置２５４の一例である。また、端末装置３００において、通信ボード９１５、キーボード９０２、マウス９０３、ＦＤＤ９０４、ＣＤＤ９０５は、入力装置３５１の一例である。ＬＣＤ９０１は、表示装置３５２の一例である。
【００６８】
通信ボード９１５は、ＬＡＮ（Ｌｏｃａｌ・Ａｒｅａ・Ｎｅｔｗｏｒｋ）等に接続されている。通信ボード９１５は、ＬＡＮに限らず、ＩＰ−ＶＰＮ（Ｉｎｔｅｒｎｅｔ・Ｐｒｏｔｏｃｏｌ・Ｖｉｒｔｕａｌ・Ｐｒｉｖａｔｅ・Ｎｅｔｗｏｒｋ）、広域ＬＡＮ、ＡＴＭ（Ａｓｙｎｃｈｒｏｎｏｕｓ・Ｔｒａｎｓｆｅｒ・Ｍｏｄｅ）ネットワークといったＷＡＮ（Ｗｉｄｅ・Ａｒｅａ・Ｎｅｔｗｏｒｋ）、あるいは、インターネットに接続されていても構わない。ＬＡＮ、ＷＡＮ、インターネットは、ネットワーク１５０の一例である。
【００６９】
ＨＤＤ９２０には、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。プログラム群９２３のプログラムは、ＣＰＵ９１１、オペレーティングシステム９２１、ウィンドウシステム９２２により実行される。プログラム群９２３には、本実施の形態の説明において「〜部」、「〜機能」として説明する機能を実行するプログラムが含まれている。プログラムは、ＣＰＵ９１１により読み出され実行される。ファイル群９２４には、本実施の形態の説明において、「〜データ」、「〜情報」、「〜ＩＤ（識別子）」、「〜フラグ」、「〜結果」として説明するデータや情報や信号値や変数値やパラメータが、「〜ファイル」や「〜ＤＢ」や「〜テーブル」の各項目として含まれている。「〜ファイル」や「〜ＤＢ」や「〜テーブル」は、ＲＡＭ９１４やＨＤＤ９２０等の記憶媒体に記憶される。ＲＡＭ９１４やＨＤＤ９２０等の記憶媒体に記憶されたデータや情報や信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出、検索、参照、比較、演算、計算、制御、出力、印刷、表示といったＣＰＵ９１１の処理（動作）に用いられる。抽出、検索、参照、比較、演算、計算、制御、出力、印刷、表示といったＣＰＵ９１１の処理中、データや情報や信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。
【００７０】
本実施の形態の説明において用いるブロック図やフローチャートの矢印の部分は主としてデータや信号の入出力を示す。データや信号は、ＲＡＭ９１４等のメモリ、ＦＤＤ９０４のフレキシブルディスク（ＦＤ）、ＣＤＤ９０５のコンパクトディスク（ＣＤ）、ＨＤＤ９２０の磁気ディスク、光ディスク、ＤＶＤ（Ｄｉｇｉｔａｌ・Ｖｅｒｓａｔｉｌｅ・Ｄｉｓｃ）、あるいは、その他の記録媒体に記録される。また、データや信号は、バス９１２、信号線、ケーブル、あるいは、その他の伝送媒体により伝送される。
【００７１】
本実施の形態の説明において「〜部」、「〜機能」として説明するものは、「〜回路」、「〜装置」、「〜機器」であってもよく、また、「〜ステップ」、「〜工程」、「〜手順」、「〜処理」であってもよい。即ち、「〜部」、「〜機能」として説明するものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。あるいは、「〜部」、「〜機能」として説明するものは、ソフトウェアのみ、あるいは、素子、デバイス、基板、配線といったハードウェアのみで実現されていても構わない。あるいは、「〜部」、「〜機能」として説明するものは、ソフトウェアとハードウェアとの組み合わせ、あるいは、ソフトウェアとハードウェアとファームウェアとの組み合わせで実現されていても構わない。ファームウェアとソフトウェアは、プログラムとして、フレキシブルディスク、コンパクトディスク、磁気ディスク、光ディスク、ＤＶＤ等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。即ち、プログラムは、本実施の形態の説明で述べる「〜部」としてコンピュータを機能させるものである。あるいは、プログラムは、本実施の形態の説明で述べる「〜部」、「〜機能」の手順や方法をコンピュータに実行させるものである。
【００７２】
図７は、セキュリティ評価システム１００の動作（本実施の形態に係るセキュリティ評価方法、本実施の形態に係るセキュリティ評価プログラムの処理手順）を示すフローチャートである。
【００７３】
ステップＳ１０１において、サーバ装置２００の条件入力部２２１は、ネットワーク１５０を介して、端末装置３００に対し、ビジネスインパクト条件の入力を要求する。
【００７４】
ビジネスインパクトとは、セキュリティ事故がビジネス（事業）に及ぼす影響度のことをいう。ビジネスインパクト条件は、ビジネスインパクトの大きさを決めるための条件を定義したものである。ビジネスインパクトは、対象業務のセキュリティ機能要件ごとに異なる。そのため、本実施の形態では、ビジネスインパクト条件ごとに、情報システムの機密性、完全性、可用性、信頼性、遵守性が侵された場合のそれぞれについて、情報システムの運用者である企業等にとってビジネスにどの程度の影響が出るかを予めビジネスインパクトとして定義し、ビジネスインパクトＤＢ２１２に記憶する。
【００７５】
ここで、図８にビジネスインパクトＤＢ２１２の具体例を示す。
【００７６】
例えば、図８において、「外部接続の形態」のビジネスインパクト条件（条件区分番号：４）が「インターネット接続」（条件内容番号：１）のとき、機密性、完全性、可用性が侵された場合のビジネスインパクトは、それぞれ「Ａ」（インパクト大）、「Ｂ」（インパクト中）、「Ｂ」と定義されている。また、同条件が「専用線にて接続」（条件内容番号：２）のとき、機密性、完全性、可用性が侵された場合のビジネスインパクトは、それぞれ「Ｂ」、「Ｂ」、「Ｂ」と定義されている。また、同条件が「外部接続なし」（条件内容番号：３）のとき、機密性、完全性、可用性が侵された場合のビジネスインパクトは、それぞれ「Ｃ」（インパクト小）、「Ｃ」、「Ｃ」と定義されている。
【００７７】
他のビジネスインパクト条件についても、セキュリティ機能要件ごとにビジネスインパクトの大きさが定義されている。なお、図８に示したものは例であり、どのビジネスインパクト条件がどういった内容のときに、どの程度のビジネスインパクトとなるかはセキュリティ機能要件ごとに任意に決めてよい。
【００７８】
ステップＳ１０２（ビジネスインパクト条件入力機能３０１）において、端末装置３００は、ステップＳ１０１の要求に応じて、入力装置３５１によりユーザからのビジネスインパクト条件の入力を受け付ける。そして、端末装置３００は、ユーザから入力されたビジネスインパクト条件を、ネットワーク１５０を介して、サーバ装置２００に通知する。
【００７９】
ステップＳ１０３（ビジネスインパクト設定機能２０１）において、サーバ装置２００の条件入力部２２１は、ビジネスインパクトＤＢ２１２を参照し、ステップＳ１０２で端末装置３００から通知されたビジネスインパクト条件の内容に応じたビジネスインパクトをセキュリティ機能要件ごとに特定する。このとき、同じセキュリティ機能要件に関し、ビジネスインパクト条件によってビジネスインパクトの大きさが異なる場合には、最大値をとるものとする。例えば、３つのビジネスインパクト条件の入力があり、それぞれに対応する、機密性が侵された場合のビジネスインパクトが「Ａ」、「Ｂ」、「Ｃ」であれば、機密性が侵された場合のビジネスインパクトは「Ａ」とする。
【００８０】
前述したように、ビジネスインパクトＤＢ２１２では、どのビジネスインパクト条件がどういった内容のときに、どの程度のビジネスインパクトとなるかが、セキュリティ機能要件ごとに定義されている。セキュリティ管理策ＤＢ２１１では、ビジネスインパクトＤＢ２１２にて定義されたビジネスインパクトがどの程度のときに、どのセキュリティ管理策を実施する必要があるかが、セキュリティ機能要件ごとに定められている。
【００８１】
ここで、図９にセキュリティ管理策ＤＢ２１１の具体例を示す。セキュリティ管理策ＤＢ２１１の具体例については、図２に示したが、図９に示すセキュリティ管理策ＤＢ２１１の各項目は、図２に示したセキュリティ管理策ＤＢ２１１の各項目に続いているものとする。つまり、セキュリティ管理策ＤＢ２１１は、（例えば１つのテーブルに）図２に例示したカラムと図９に例示したカラムとの全てをもつものとする。
【００８２】
例えば、図９において、「顧客情報、取引情報等の機密情報へのアクセス権限者を明確にしている」というセキュリティ管理策（セキュリティ管理策番号：１）は、機密性又は完全性が侵された場合のビジネスインパクトが「Ａ」又は「Ｂ」のときに実施する必要があると定められている。
【００８３】
また、例えば、図９において、「ファイアウォールを設定している場合、アカウント使用履歴や、リソース使用状況等を定期的に監視している」というセキュリティ管理策（セキュリティ管理策番号：２１）は、機密性又は完全性が侵された場合のビジネスインパクトが「Ａ」のときにのみ実施する必要があると定められている。
【００８４】
他のセキュリティ管理策についても、ビジネスインパクトがどの程度のときに実施する必要があるかが、セキュリティ機能要件ごとに定められている。なお、図９に示したものは例であり、ビジネスインパクトがどの程度のときに、どのセキュリティ管理策を実施する必要があるかはセキュリティ機能要件ごとに任意に決めてよい。
【００８５】
運用レベル定義ＤＢ２１５では、ビジネスインパクトＤＢ２１２にて定義されたビジネスインパクトがどの程度のときに、各セキュリティ管理策をどの運用レベルで実施する必要があるかが、セキュリティ機能要件ごとに定められている。なお、本実施の形態では、セキュリティ機能要件ごとに、ビジネスインパクトに対応する運用レベルを一律に定めているが、セキュリティ管理策ごとに運用レベルを個別に定めてもよい。
【００８６】
ここで、図１０に運用レベル定義ＤＢ２１５の具体例を示す。
【００８７】
例えば、図１０において、機密性が侵された場合のビジネスインパクトが「Ａ」のときに実施する必要があるセキュリティ管理策のうち、運用レベルが定義されているものについては、レベル５で実施する必要があると定められている。同様に、機密性が侵された場合のビジネスインパクトが「Ｂ」のときは、該当するセキュリティ管理策をレベル４で、「Ｃ」のときはレベル２で実施する必要があると定められている。
【００８８】
他のセキュリティ機能要件についても、ビジネスインパクトがどの程度のときに各セキュリティ管理策をどの運用レベルで実施する必要があるかが、セキュリティ機能要件ごとに定められている。なお、図１０に示したものは例であり、ビジネスインパクトがどの程度のときに、各セキュリティ管理策をどの運用レベルで実施する必要があるかはセキュリティ機能要件ごとに任意に決めてよい。
【００８９】
ステップＳ１０４（セキュリティ管理策選定機能２０２）において、サーバ装置２００の目標設定部２２２は、セキュリティ管理策ＤＢ２１１及び運用レベル定義ＤＢ２１５を参照し、ステップＳ１０３で特定したビジネスインパクトに対応するセキュリティ管理策及び運用レベルをセキュリティ機能要件ごとに特定する。このとき、同じセキュリティ管理策に関し、セキュリティ機能要件によって実施の要否が異なる場合には、そのセキュリティ管理策は実施する必要があると判断される。また、同じセキュリティ管理策に関し、セキュリティ機能要件によって運用レベルが異なる場合には、最大値をとるものとする。また、特定したセキュリティ管理策の運用レベルが５段階の一部しか設定されていない場合で、特定した運用レベルが設定されていないものに該当するときには、その運用レベルより上のレベルで最も近いものとする（例えば、レベル２から４までしか設定されていない場合に、特定した運用レベルがレベル１であれば、レベル２となる）。もし上のレベルがない（あるいは、何も設定されていない）ときには、下のレベルで最も近いものとする（例えば、レベル２から４までしか設定されていない場合に、特定した運用レベルがレベル５であれば、レベル４となる）。
【００９０】
本実施の形態では、ステップＳ１０４で特定されたセキュリティ管理策及び運用レベルをベースラインという。即ち、ベースラインとは、機密性、完全性、可用性、信頼性、遵守性の各セキュリティ機能要件について、実施すべきセキュリティ管理策の項目と、運用レベル値の目標値を定めたものである。サーバ装置２００の目標記憶部２２３は、目標設定部２２２により特定されたベースラインを記憶装置２５２に記憶する。つまり、目標記憶部２２３は、セキュリティ管理策ごとに、各セキュリティ管理策の実施の要否を示す目標フラグと、各セキュリティ管理策の実施内容を数値評価した場合の目標値とを記憶装置２５２に記憶する。
【００９１】
上記のように、本実施の形態では、評価対象業務のビジネスインパクトに応じたベースラインの設定ができるように、ビジネスインパクトとベースラインを連動させて管理する。ビジネスインパクトを機密性、完全性、可用性、信頼性、遵守性の各セキュリティ機能要件について管理することで、対象業務のセキュリティ機能要件に最適なベースラインを設定して、対象業務のセキュリティ対策レベルを管理することができる。対象システムのビジネスインパクトは、対象システムが保持する情報資産の種類や、対象システムの利用者種別、外部ネットワークとの接続形態等、対象システムの構成や対象システムが実行する業務の特性により決定する。ビジネスインパクトを決める条件と、その条件に適合する場合の、５つのセキュリティ機能要件が侵害された場合の影響度を定義しておく。システム管理者と業務管理者がこれらの条件に当てはまるかどうかを入力することで、ビジネスインパクトを自動的に判別するため、ビジネスインパクトの判断に属人性が入ることがなく、客観的に判断することができる。さらに、ビジネスインパクトに連動してベースラインを決定することができるため、そのシステムに対して実施すべきセキュリティ対策の妥当性を確保することが可能となる。
【００９２】
ステップＳ１０５（セキュリティ管理策一覧表示機能３０２）において、端末装置３００は、ステップＳ１０４で特定されたベースラインの一覧を、ネットワーク１５０を介して、サーバ装置２００から取得し、表示装置３５２によりセキュリティ管理策一覧４０１ａとして画面上に表示する。
【００９３】
ここで、図１１にセキュリティ管理策一覧４０１ａの具体例を示す。この例では、ステップＳ１０３において機密性、完全性、可用性、信頼性、遵守性が侵された場合のビジネスインパクトが、それぞれ「Ａ」、「Ｂ」、「Ｂ」、「Ｃ」、「Ｂ」に特定されたものとする。
【００９４】
例えば、図１１において、「顧客情報、取引情報等の機密情報へのアクセス権限者を明確にしている」というセキュリティ管理策（セキュリティ管理策番号：１）については、「対策実施の評価」の「ベースライン」として、実施する必要があることを示す「○」が表示されている。これは、図９のセキュリティ管理策ＤＢ２１１にて、当該セキュリティ管理策は、機密性又は完全性が侵された場合のビジネスインパクトが「Ａ」又は「Ｂ」のときに実施する必要があると定められていることに基づく。また、図１１において、当該セキュリティ管理策については、「運用レベルの評価」の「ベースライン」として、運用レベルをレベル５とする必要があることを示す「５」が表示されている。これは、図１０の運用レベル定義ＤＢ２１５にて、機密性が侵された場合のビジネスインパクトが「Ａ」のときに実施する必要があるセキュリティ管理策のうち、運用レベルが定義されているものについては、レベル５で実施する必要があると定められており、図３の運用レベルＤＢ２１３にて、当該セキュリティ管理策の運用レベルとしてレベル５の定義が存在することに基づく（図１０の運用レベル定義ＤＢ２１５では、完全性が侵された場合のビジネスインパクトが「Ｂ」のときに実施する必要があるセキュリティ管理策のうち、運用レベルが定義されているものについては、レベル３で実施する必要があると定められているが、それより値が大きいレベル５が適用される）。
【００９５】
他のセキュリティ管理策についても、それぞれのベースラインが表示されている。「対策実施の評価」及び「運用レベルの評価」の「実績」は、後述するように、自動的に入力される欄又はユーザから入力される欄である。
【００９６】
ステップＳ１０６において、サーバ装置２００の実績設定部２２５は、ネットワーク１５０を介して、端末装置３００に対し、情報システムに導入されている共通対策ソリューションの入力を要求する。
【００９７】
ステップＳ１０７（共通対策ソリューション入力機能３０３）において、端末装置３００は、ステップＳ１０６の要求に応じて、入力装置３５１によりユーザからの共通対策ソリューションの入力を受け付ける。そして、端末装置３００は、ユーザから入力された共通対策ソリューションを、ネットワーク１５０を介して、サーバ装置２００に通知する。このとき、サーバ装置２００のソリューション情報記憶部２２４は、共通対策ソリューションを複数定義するソリューション情報を共通対策ソリューションＤＢ２１４に予め記憶している。
【００９８】
ステップＳ１０８（共通対策ソリューション設定機能２０３）において、サーバ装置２００の実績設定部２２５は、共通対策ソリューションＤＢ２１４を参照し、ステップＳ１０７で端末装置３００から通知された共通対策ソリューションを特定する。つまり、実績設定部２２５は、ソリューション情報記憶部２２４により記憶されたソリューション情報で定義された複数の共通対策ソリューションのうち、情報システムに導入された共通対策ソリューションを選択する。続けて、実績設定部２２５は、共通対策ソリューションＤＢ２１４を参照し、特定した共通対策ソリューションで、どのセキュリティ管理策が実施され、それぞれのセキュリティ管理策がどの運用レベルで実施されるかを確認する。
【００９９】
ステップＳ１０９において、サーバ装置２００の実績入力部２２６は、ネットワーク１５０を介して、端末装置３００に対し、ステップＳ１０８で特定された共通対策ソリューションに含まれていないセキュリティ管理策の実施有無と、実施しているセキュリティ管理策の運用レベルの入力を要求する。このとき、実績入力部２２６は、前述したセキュリティ管理策一覧４０１ａにステップＳ１０８で確認した情報を自動入力したセキュリティ管理策一覧４０１ｂを端末装置３００に送信する。
【０１００】
ステップＳ１１０（実施有無・運用レベル入力機能３０４）において、端末装置３００は、ステップＳ１０９で送信されたセキュリティ管理策一覧４０１ｂを表示装置３５２により画面上に表示する。そして、端末装置３００は、ステップＳ１０９の要求に応じて、入力装置３５１によりユーザからのセキュリティ管理策の実施有無と、実施しているセキュリティ管理策の運用レベルの入力をセキュリティ管理策一覧４０１ｂで受け付ける。そして、端末装置３００は、ユーザからセキュリティ管理策一覧４０１ｂに入力された情報を、ネットワーク１５０を介して、サーバ装置２００に通知する。
【０１０１】
ここで、図１２にセキュリティ管理策一覧４０１ｂの具体例を示す。このセキュリティ管理策一覧４０１ｂは、図１１のセキュリティ管理策一覧４０１ａに対応するものである。この例では、ステップＳ１０８において「××社ネットワーク監視サービス」というソリューション名をもつ共通対策ソリューション（ソリューション番号：４）が特定され、図４の共通対策ソリューションＤＢ２１４から、当該共通対策ソリューションでは、セキュリティ管理策番号：１９のセキュリティ管理策（「外部ネットワークと接続する場合は、ファイアウォールを設置して通信を制御している」）とセキュリティ管理策番号：２１のセキュリティ管理策（「ファイアウォールを設定している場合、アカウント使用履歴や、リソース使用状況等を定期的に監視している」）が実施されることが確認されているものとする。また、「××社ネットワーク監視サービス」では、セキュリティ管理策番号：２１のセキュリティ管理策が実施される際に、その運用レベルがレベル５（「リアルタイム」に「アカウント使用履歴の監視」を行う）となることが確認されているものとする。
【０１０２】
例えば、図１２において、「顧客情報、取引情報等の機密情報へのアクセス権限者を明確にしている」というセキュリティ管理策（セキュリティ管理策番号：１）については、「対策実施の評価」の「実績」として、実施していることを示す「○」がユーザから入力されている。また、図１２において、当該セキュリティ管理策については、「運用レベルの評価」の「実績」として、運用レベルがレベル３であることを示す「３」がユーザから入力されている。
【０１０３】
また、例えば、図１２において、「ファイアウォールを設定している場合、アカウント使用履歴や、リソース使用状況等を定期的に監視している」というセキュリティ管理策（セキュリティ管理策番号：２１）については、「対策実施の評価」の「実績」として、実施していることを示す「◎」が自動入力されている。また、図１２において、当該セキュリティ管理策については、「運用レベルの評価」の「実績」として、運用レベルがレベル５であることを示す「５」が自動入力されている。「対策実施の評価」の「実績」への「◎」、及び、「運用レベルの評価」の「実績」（運用レベル）への「５」の自動入力は、図７に示した処理フローの中の、ステップＳ１０８の処理によって入力されるものであるが、このように「◎」といった区別可能な表示をすることにより、ユーザからの入力ではなく、共通対策ソリューションの選択により設定されたことが、一目でわかるようになる。
【０１０４】
他のセキュリティ管理策についても、それぞれの実績が入力されている。なお、実施されていないセキュリティ管理策については、「対策実施の評価」の「実績」として「×」が入力されている。また、そのようなセキュリティ管理策の「運用レベルの評価」の「実績」としては「０」が（自動的に）入力されている。
【０１０５】
ステップＳ１１１（実施有無・運用レベル設定機能２０４）において、サーバ装置２００の実績設定部２２５は、ステップＳ１０８で確認した内容に基づき、各セキュリティ管理策が現在実施されているか否か、及び、現在の運用レベルを記憶装置２５２に記憶する。つまり、実績設定部２２５は、ステップＳ１０８で選択した共通対策ソリューションに含まれるセキュリティ管理策の実績フラグと実績値とをソリューション情報に基づいて設定する。サーバ装置２００の実績入力部２２６は、ステップＳ１１０で端末装置３００から通知された情報に基づき、さらに、各セキュリティ管理策が現在実施されているか否か、及び、現在の運用レベルを記憶装置２５２に記憶する。つまり、実績入力部２２６は、セキュリティ管理策ごとに、各セキュリティ管理策の実施の有無を示す実績フラグと、各セキュリティ管理策の実施内容を数値評価した実績値とを入力し、記憶装置２５２に記憶する。このとき、実績入力部２２６は、実績設定部２２５により選択された共通対策ソリューションに含まれるセキュリティ管理策以外のセキュリティ管理策の実績フラグと実績値とを入力し、入力したセキュリティ管理策の実績フラグと実績値と、実績設定部２２５により設定されたセキュリティ管理策の実績フラグと実績値とを記憶装置２５２に記憶する。
【０１０６】
ステップＳ１１２（評価マップ作成機能２０５）において、まず、サーバ装置２００の対策実施率計算部２２７は、２種類の分類項目の組み合わせ（例えば、対策箇所と脅威との組み合わせ）によって分類されるセキュリティ管理策のグループごとに、ステップＳ１０４で目標記憶部２２３により記憶された目標フラグを参照して、実施する必要があるセキュリティ管理策の数を処理装置２５１により計算する。また、対策実施率計算部２２７は、セキュリティ管理策のグループごとに、ステップＳ１１１で実績入力部２２６により記憶された実績フラグを参照して、実際に実施しているセキュリティ管理策の数を処理装置２５１により計算する。そして、対策実施率計算部２２７は、セキュリティ管理策のグループごとに、実施する必要があるセキュリティ管理策の数と、実際に実施しているセキュリティ管理策の数との比率を対策実施率として処理装置２５１により計算する。
【０１０７】
次に、サーバ装置２００の対策充足率計算部２２８は、セキュリティ管理策のグループごとに、ステップＳ１０４で目標記憶部２２３により記憶された目標値の合計を処理装置２５１により計算する。また、対策充足率計算部２２８は、セキュリティ管理策のグループごとに、ステップＳ１１１で実績入力部２２６により記憶された実績値の合計を処理装置２５１により計算する。そして、対策充足率計算部２２８は、セキュリティ管理策のグループごとに、目標値の合計と実績値の合計との比率を対策充足率として処理装置２５１により計算する。
【０１０８】
最後に、サーバ装置２００の評価マップ作成部２２９は、評価マップを作成する。この評価マップは、上記２種類の分類項目の一方（例えば、対策箇所）を縦軸に配置し、他方（例えば、脅威）を横軸に配置した２次元マップである。そして、この評価マップは、セキュリティ管理策のグループごとに、対策実施率計算部２２７により計算された対策実施率と対策充足率計算部２２８により計算された対策充足率とを表示したものである。評価マップ作成部２２９は、作成した評価マップを、ネットワーク１５０を介して、端末装置３００に送信し、表示装置３５２に出力させる。なお、評価マップ作成部２２９（出力部）は、評価マップを作成する代わりに、単に、セキュリティ管理策のグループごとに、対策実施率計算部２２７により計算された対策実施率と対策充足率計算部２２８により計算された対策充足率とを、ネットワーク１５０を介して、端末装置３００に通知し、表示装置３５２に出力させてもよい。この場合、ユーザは、端末装置３００を利用して自由に情報システムのセキュリティ評価・分析を行うことが可能となる（例えば、ユーザが手作業で評価マップを作成することも可能である）。
【０１０９】
ステップＳ１１３（評価マップ表示機能３０５）において、端末装置３００は、ステップＳ１１２で送信された評価マップを、ネットワーク１５０を介して、サーバ装置２００から受信し、表示装置３５２により画面上に表示する。
【０１１０】
本実施の形態において、評価マップは、サーバ装置２００の対策実施率計算部２２７により計算された対策実施率とサーバ装置２００の対策充足率計算部２２８により計算された対策充足率とをそれぞれの値に応じて色分け表示したものとする。これにより、ユーザが直観的に情報システムのセキュリティ評価・分析を行うことが可能となる。
【０１１１】
また、本実施の形態において、評価マップは、セキュリティ管理策のグループごとに、サーバ装置２００の対策実施率計算部２２７により計算された対策実施率とサーバ装置２００の対策充足率計算部２２８により計算された対策充足率とを上下（左右でもよい）２段に並べて表示したものとする。これにより、セキュリティ管理策を実施している数によるセキュリティの評価結果とセキュリティ管理策の実施内容の質によるセキュリティの評価結果とを見比べることが可能となる。その結果、情報システムにおいてセキュリティ上の弱点がどの部分にあるかが分かりやすくなるだけではなく、その部分のセキュリティを強化するために、実施するセキュリティ管理策を追加したほうがよいのか、それとも、実施しているセキュリティ管理策の内容を改善したほうがよいのか等を容易に判断することが可能となる。
【０１１２】
ここで、図１３に評価マップの色分け方法の具体例を示す。そして、図１４に、図１３の色分け方法を適用した評価マップ４０２の具体例を示す。
【０１１３】
例えば、図１４において、対応する対策箇所が「利用者」、対応する脅威が「漏洩」となるセキュリティ管理策のグループ（前述した「顧客情報、取引情報等の機密情報へのアクセス権限者を明確にしている」というセキュリティ管理策（セキュリティ管理策番号：１）等が該当する）については、上の段に表示された対策実施率が７５％であるため、その欄が黄緑で表示されている。その下の段に表示された対策充足率は４０％であるため、その欄は橙で表示されている。２つの欄を見比べると、「漏洩」を防ぐために「利用者」に対して実施されているセキュリティ管理策の数は決して少なくないが、その内容は改善する必要性が高いといった分析が簡単にできる。
【０１１４】
上記のように、本実施の形態では、セキュリティ管理策の対策レベルを対策実施の有無で指標化した対策実施率と、対策実施の内容で指標化した対策充足率との２つの指標化データを使って表している。これらの２つの指標で評価を行うことにより、例えば、セキュリティ管理策を実施しているがその運用方法が弱い対策領域を見つけることができるため、セキュリティ管理策の弱点分析の精度が向上する。さらに、対策強化をするために必要な具体的な運用方法を容易に示すことができるため、セキュリティ強化対策を容易に立案することができる。
【０１１５】
また、本実施の形態では、セキュリティ管理策を、例えば、「対策箇所」軸と「脅威」軸の２次元マップに展開し、２軸が交差する「対策領域」に細分化した領域で管理する。これにより、情報システム全体の対策状況を網羅的に俯瞰して全体傾向を分析できるとともに、どの脅威に対する、どの対策箇所へのセキュリティ対策が弱いかといった詳細な弱点分析を行うことができる。
【０１１６】
さらに、本実施の形態では、セキュリティ評価時に対象システムが利用している共通対策ソリューションを回答するだけで、当該ソリューションがカバーする回答を自動入力することができるため、セキュリティ評価のための入力作業を効率化することが可能となる。
【０１１７】
なお、サーバ装置２００は、評価マップとともにレーダチャート等によるセキュリティ評価結果を出力してもよい。この場合、例えば、セキュリティ管理策のグループごとの対策実施率又は対策充足率を比較できるレーダチャートや、複数の情報システムについて、ある分類項目（例えば、対策箇所や脅威）に関する各情報システムの対策実施率又は対策充足率を比較できるレーダチャート等を作成し、端末装置３００の表示装置３５２等に出力することが考えられる。
【０１１８】
実施の形態２．
以下では、図７を用いて説明した実施の形態１に係るセキュリティ評価システム１００の動作の例について、図１５〜図１８のフローチャートを用いて説明する。
【０１１９】
図１５に示す処理フローは、実施の形態１の説明で用いた図７の処理フローのステップＳ１０２〜Ｓ１０５に対応する。
【０１２０】
図１５において、サーバ装置２００の条件入力部２２１が、ネットワーク１５０を介して、端末装置３００に対し、ビジネスインパクト条件の入力を要求すると、端末装置３００は、ビジネスインパクト条件入力画面を表示装置３５２により表示する（ステップＳ２０１）。
【０１２１】
端末装置３００は、入力装置３５１によりユーザからのビジネスインパクト条件の入力をビジネスインパクト条件入力画面で受け付ける（ステップＳ２０２）。
【０１２２】
全てのビジネスインパクト条件の入力が完了すると、端末装置３００は、ユーザから入力されたビジネスインパクト条件をビジネスインパクト条件入力画面から取り込み、ネットワーク１５０を介して、サーバ装置２００に通知する（ステップＳ２０３）。
【０１２３】
サーバ装置２００の条件入力部２２１は、ビジネスインパクトＤＢ２１２を参照し、セキュリティ機能要件ごとに、ステップＳ２０３で端末装置３００から通知されたビジネスインパクト条件の内容に応じたビジネスインパクトを特定する。そして、条件入力部２２１は、セキュリティ機能要件ごとに、特定したビジネスインパクトの中で最大のものを選択する（ステップＳ２０４）。
【０１２４】
サーバ装置２００の目標設定部２２２は、セキュリティ管理策ＤＢ２１１及び運用レベル定義ＤＢ２１５を参照し、セキュリティ機能要件ごとに、ステップＳ２０４で選択したビジネスインパクトに対応するセキュリティ管理策及び運用レベルを読み出す。サーバ装置２００の目標記憶部２２３は、目標設定部２２２が読み出したセキュリティ管理策及び運用レベルをベースラインとして記憶装置２５２に記憶する（ステップＳ２０５）。
【０１２５】
端末装置３００は、ステップＳ２０５で読み出されたセキュリティ管理策及び運用レベルの一覧を、ネットワーク１５０を介して、サーバ装置２００から取得し、表示装置３５２によりセキュリティ管理策一覧４０１ａとして画面上に表示する（ステップＳ２０６）。
【０１２６】
図１６に示す処理フローは、実施の形態１の説明で用いた図７の処理フローのステップＳ１０６〜Ｓ１０７に対応する。
【０１２７】
図１６において、サーバ装置２００の実績設定部２２５は、情報システムに導入されている共通対策ソリューションを選択させるため、共通対策ソリューションＤＢ２１４から共通対策ソリューションを読み出し、ネットワーク１５０を介して、端末装置３００に対し、読み出した共通対策ソリューションの一覧を送信する（ステップＳ３０１）。
【０１２８】
端末装置３００は、ステップＳ３０１で送信された共通対策ソリューションの一覧を受信し、その一覧を用いて共通対策ソリューション選択画面を作成し、表示装置３５２により表示する（ステップＳ３０２）。
【０１２９】
端末装置３００は、入力装置３５１によりユーザに共通対策ソリューション選択画面から共通対策ソリューションを選択させる（ステップＳ３０３）。
【０１３０】
端末装置３００は、ユーザにより選択された共通対策ソリューションを共通対策ソリューション選択画面から取り込み、ネットワーク１５０を介して、サーバ装置２００に通知する（ステップＳ３０４）。
【０１３１】
図１７に示す処理フローは、実施の形態１の説明で用いた図７の処理フローのステップＳ１０８〜Ｓ１１１に対応する。
【０１３２】
図１７において、サーバ装置２００の実績入力部２２６は、運用レベルＤＢ２１３から各セキュリティ管理策の運用レベルの名称や定義を読み出す（ステップＳ４０１）。
【０１３３】
ステップＳ３０４で端末装置３００から通知された共通対策ソリューションがあれば、サーバ装置２００の実績設定部２２５は、共通対策ソリューションＤＢ２１４を参照し、通知された共通対策ソリューションにより実施ありとなるセキュリティ管理策と、実現できる運用レベルをセキュリティ管理策一覧４０１ａに対して自動的に設定し、セキュリティ管理策一覧４０１ｂを作成する（ステップＳ４０２）。
【０１３４】
サーバ装置２００の実績入力部２２６は、ネットワーク１５０を介して、端末装置３００に対し、ステップＳ４０２で作成したセキュリティ管理策一覧４０１ｂを送信する。端末装置３００は、サーバ装置２００から送信されたセキュリティ管理策一覧４０１ｂを用いて実施有無・運用レベル入力画面を作成し、表示装置３５２により表示する（ステップＳ４０３）。
【０１３５】
端末装置３００は、ステップＳ４０２で自動的に設定されたセキュリティ管理策と運用レベル以外のセキュリティ管理策の実施有無と運用レベルの入力をユーザから実施有無・運用レベル入力画面で受け付ける（ステップＳ４０４）。
【０１３６】
全てのセキュリティ管理策の実施有無と運用レベルの入力が完了すると、端末装置３００は、ユーザから入力されたセキュリティ管理策の実施有無と運用レベルを実施有無・運用レベル入力画面から取り込み、ネットワーク１５０を介して、サーバ装置２００に通知する（ステップＳ４０５）。
【０１３７】
図１８に示す処理フローは、実施の形態１の説明で用いた図７の処理フローのステップＳ１１２〜Ｓ１１３に対応する。
【０１３８】
図１８において、サーバ装置２００の対策実施率計算部２２７は、セキュリティ管理策ＤＢ２１１から、各対策箇所に対応するセキュリティ管理策を読み出す（ステップＳ５０１）。
【０１３９】
サーバ装置２００の対策実施率計算部２２７は、セキュリティ管理策ＤＢ２１１から、ステップＳ５０１で読み出したセキュリティ管理策のうち、各脅威に対応するセキュリティ管理策を読み出す（ステップＳ５０２）。
【０１４０】
サーバ装置２００の対策実施率計算部２２７は、ステップＳ５０２で読み出したセキュリティ管理策、即ち、１つの対策箇所と１つの脅威との組み合わせ（対策領域）に対応するセキュリティ管理策のグループについて、対策実施率を処理装置２５１により算出する（ステップＳ５０３）。対策実施率は、当該グループ内で実施している管理策数／当該グループ内で必要な管理策数×１００（％）として算出する。
【０１４１】
サーバ装置２００の評価マップ作成部２２９は、ステップＳ５０３で算出された対策実施率に対応する表示色を設定する（ステップＳ５０４）。
【０１４２】
サーバ装置２００の対策充足率計算部２２８は、ステップＳ５０３と同じセキュリティ管理策のグループについて、対策充足率（運用レベルの充足度）を処理装置２５１により算出する（ステップＳ５０５）。対策充足率は、当該グループ内の実際の運用レベル合計／当該グループ内で必要な運用レベル合計×１００（％）として算出する。
【０１４３】
サーバ装置２００の評価マップ作成部２２９は、ステップＳ５０５で算出された対策充足率に対応する表示色を設定する（ステップＳ５０６）。
【０１４４】
同じ対策箇所と他のそれぞれの脅威との組み合わせに対応するセキュリティ管理策のグループについて、ステップＳ５０２〜Ｓ５０６が完了すると、ステップＳ５０１で次に読み出された対策箇所と各脅威との組み合わせに対応するセキュリティ管理策のグループについて、ステップＳ５０２〜Ｓ５０６が実行される。全ての対策箇所と全ての脅威との組わせに対応するセキュリティ管理策のグループについて、ステップＳ５０１〜Ｓ５０６が完了すると、サーバ装置２００の評価マップ作成部２２９は、ステップＳ５０４で設定した対策実施率に対応する表示色とステップＳ５０６で設定した対策充足率に対応する表示色を使って、評価マップ４０２を作成する（ステップＳ５０７）。なお、ステップＳ５０３で算出された対策実施率とステップＳ５０５で算出された対策充足率との数値を評価マップ４０２に表示するかどうかは任意に決めてよい。
【０１４５】
端末装置３００は、ステップＳ５０７で作成された評価マップ４０２を、ネットワーク１５０を介して、サーバ装置２００から取得し、表示装置３５２により画面上に表示する（ステップＳ５０８）。
【０１４６】
なお、ここでは、セキュリティ管理策の分類軸のうち、対策箇所と脅威の２軸を使って評価マップを作成するフローを示したが、その他の分類軸を使う場合も、同様なフローで評価マップを作成できる。
【０１４７】
実施の形態３．
本実施の形態について、実施の形態２のセキュリティ評価システム１００の動作と異なる部分を中心に、説明する。
【０１４８】
具体的には、図１８において、評価マップを作成する前処理として、対策実施率と対策充足率を算出する処理において、対策充足率を算出する方法が異なる。つまり実施の形態２では、サーバ装置２００の対策充足率計算部２２８は、ステップＳ５０３と同じセキュリティ管理策のグループについて、対策充足率（運用レベルの充足度）を処理装置２５１により算出する（ステップＳ５０５）。対策充足率は、当該グループ内の実際の運用レベル合計／当該グループ内で必要な運用レベル合計×１００（％）として算出する。
【０１４９】
本実施の形態では、ステップＳ５０５の処理において対策充足率は、当該グループ内の運用レベルの目標を達成している管理策数／当該グループ内の全セキュリティ管理策数×１００（％）として算出する。運用レベルの目標を達成しているかどうかの判定は、運用レベルの結果（共通対策ソリューションの選択かユーザからの入力により決定する）が定義された運用レベルのベースラインと等しいか、高い場合は、達成していると判定する。例えば、ベースラインが「３」と設定され、結果が「３」、「４」、「５」の管理策は、運用レベルの目標を達成している管理策数に加算される。またベースラインが「４」と設定され、結果が「３」のときは、運用レベルの目標を達成している管理策数には加算されない。
【０１５０】
このように本実施の形態によれば、実施の形態２とは異なる視点で対策充足率を算出することができる。
【０１５１】
本実施の形態について、さらに、図７を用いて説明する。
【０１５２】
本実施の形態では、図７のステップＳ１１２において、サーバ装置２００の対策充足率計算部２２８は、セキュリティ管理策のグループごとに、ステップＳ１０４で目標記憶部２２３により目標値が記憶されているセキュリティ管理策の数を処理装置２５１によりカウントする。また、対策充足率計算部２２８は、セキュリティ管理策のグループごとに、ステップＳ１１１で実績入力部２２６により記憶された実績値がステップＳ１０４で目標記憶部２２３により記憶された目標値に達しているセキュリティ管理策の数を処理装置２５１によりカウントする。そして、対策充足率計算部２２８は、セキュリティ管理策のグループごとに、目標値が記憶されているセキュリティ管理策の数と実績値が目標値に達しているセキュリティ管理策の数との比率を対策充足率として処理装置２５１により計算する。これにより、実施の形態１及び実施の形態２とは異なる指標を用いて情報システムのセキュリティ評価・分析を行うことが可能となる。
【０１５３】
実施の形態４．
本実施の形態について、実施の形態２のセキュリティ評価システム１００の動作と異なる部分を中心に、説明する。
【０１５４】
具体的には、図１８のステップＳ５０５で対策充足率を算出するが、本実施の形態ではステップＳ５０５の処理に続いて、対策充足度を算出する。対策充足度とは、運用レベルのベースラインと結果との乖離を表す数値である。
【０１５５】
実施の形態２及び実施の形態３で算出した、対策充足率は、該当グループ内の全管理策に対する結果を割合で算出した数値であるため、特異的な結果が得られたものが数件あったとしても、全体の割合としてはみえづらい。その点対策充足度は、特異的な結果が表示されるものである。
【０１５６】
算出の方法としては、結果の数値からベースラインの数値を減算して、一番数値が小さいものを、ｍｉｎ（数値）とし、一番数値が大きいものを、ｍａｘ（数値）として算出する。ｍｉｎ（ｘ）は、ｘが比較対象の数値の中で最小値となることを示す。一方、ｍａｘ（ｘ）は、ｘが比較対象の数値の中で最大値となることを示す。
【０１５７】
具体的な例を示す。ベースラインが「４」、「３」、「３」、結果が「１」、「４」、「２」の管理策があったとする。その場合乖離値としては、結果の数値からベースラインの数値を減算するため、−３、＋１、−１となり、ｍｉｎ（−３）、ｍａｘ（＋１）と算出される。
【０１５８】
その後ステップＳ５０７の処理で、対策充足率の付加情報として、対策充足度を評価マップに表示する。
【０１５９】
このように対策充足度として、ｍｉｎ（数値）、ｍａｘ（数値）を算出、表示する。ｍｉｎ（数値）により、ベースラインと比較して、一番結果が達成されていないもの（運用レベルが一番不足しているもの）の乖離度が把握できる。またｍａｘ（数値）により、ベースラインと比較して、一番結果が高いもの（運用レベルが一番過度と考えられるもの）の乖離度が把握できる。
【０１６０】
本実施の形態について、さらに、図７を用いて説明する。
【０１６１】
本実施の形態では、図７のステップＳ１１２において、サーバ装置２００の対策充足率計算部２２８は、セキュリティ管理策のグループごとに、対策充足率を計算するとともに（又は、対策充足率を計算する代わりに）、セキュリティ管理策ごとに、ステップＳ１１１で実績入力部２２６により記憶された実績値からステップＳ１０４で目標記憶部２２３により記憶された目標値を処理装置２５１により減算する。そして、対策充足率計算部２２８は、セキュリティ管理策のグループごとに、当該減算結果の最小値と最大値との少なくともいずれかを対策充足度として処理装置２５１により計算する。
【０１６２】
最後に、サーバ装置２００の評価マップ作成部２２９は、評価マップを作成する。この評価マップは、セキュリティ管理策のグループごとに、対策実施率計算部２２７により計算された対策実施率と対策充足率計算部２２８により計算された対策充足率と対策充足度と（対策充足率は省略してもよい）を表示したものである。評価マップ作成部２２９は、作成した評価マップを、ネットワーク１５０を介して、端末装置３００に送信し、表示装置３５２に出力させる。なお、評価マップ作成部２２９（出力部）は、評価マップを作成する代わりに、単に、セキュリティ管理策のグループごとに、対策実施率計算部２２７により計算された対策実施率と対策充足率計算部２２８により計算された対策充足率と対策充足度とを、ネットワーク１５０を介して、端末装置３００に通知し、表示装置３５２に出力させてもよい。
【０１６３】
このように、本実施の形態では、対策充足率だけでなく対策充足度をユーザに通知することで、情報システムのセキュリティの分析及び改善策の検討等がさらに行いやすくなる。
【０１６４】
実施の形態５．
本実施の形態について、主に実施の形態１との差異を説明する。
【０１６５】
図１９は、本実施の形態に係るサーバ装置２００の構成を示すブロック図である。
【０１６６】
図１９において、サーバ装置２００は、図５に示したもののほか、シミュレーション部２３０を備える。シミュレーション部２３０の動作については後述する。
【０１６７】
図２０は、本実施の形態に係るセキュリティ評価システム１００の動作（本実施の形態に係るセキュリティ評価方法、本実施の形態に係るセキュリティ評価プログラムの処理手順）を示すフローチャートである。
【０１６８】
ステップＳ１１３（評価マップ表示機能３０５）までの動作は実施の形態１と同様であるため、説明を省略する（ステップＳ１０１〜Ｓ１１２については、図示もしていない）。
【０１６９】
ステップＳ１１４において、サーバ装置２００のシミュレーション部２３０は、ネットワーク１５０を介して、端末装置３００に対し、情報システムに導入されていない共通対策ソリューションでユーザが新たに導入したいと思うもの（あるいは、その他のシミュレーション対象としたい共通対策ソリューション）の入力を要求する。
【０１７０】
ステップＳ１１５（共通対策ソリューション入力機能３０３）において、端末装置３００は、ステップＳ１１４の要求に応じて、入力装置３５１によりユーザからの共通対策ソリューションの入力を受け付ける。そして、端末装置３００は、ユーザから入力された共通対策ソリューションを、ネットワーク１５０を介して、サーバ装置２００に通知する。
【０１７１】
ステップＳ１１６（共通対策ソリューション設定機能２０３）において、サーバ装置２００の実績設定部２２５は、シミュレーション部２３０の制御により、共通対策ソリューションＤＢ２１４を参照し、ステップＳ１１５で端末装置３００から通知された共通対策ソリューションで、どのセキュリティ管理策が実施され、それぞれのセキュリティ管理策がどの運用レベルで実施されるかを確認する。
【０１７２】
ステップＳ１１７（実施有無・運用レベル設定機能２０４）において、サーバ装置２００の実績設定部２２５は、シミュレーション部２３０の制御により、ステップＳ１１６で確認した内容に基づき、ユーザが新たに導入したい共通対策ソリューションで各セキュリティ管理策が実施されるか否か、及び、それぞれの運用レベルを記憶装置２５２に記憶する。つまり、実績設定部２２５は、ステップＳ１１６で特定した共通対策ソリューションに含まれるセキュリティ管理策の実績フラグと実績値とをソリューション情報に基づいて更新する（あるいは、シミュレーション用に別途設定し、残りの部分については既に入力されているデータをコピーする）。
【０１７３】
ステップＳ１１８（評価マップ作成機能２０５）において、サーバ装置２００の対策実施率計算部２２７は、シミュレーション部２３０の制御により、セキュリティ管理策のグループごとに、ステップＳ１１７で更新された実績フラグを参照して、対策実施率を処理装置２５１により再計算する。同様に、サーバ装置２００の対策充足率計算部２２８は、シミュレーション部２３０の制御により、セキュリティ管理策のグループごとに、ステップＳ１１７で更新された実績値の合計を再計算した上で、対策充足率を処理装置２５１により再計算する。サーバ装置２００の評価マップ作成部２２９は、シミュレーション部２３０の制御により、再計算された対策実施率と対策充足率とを数値及び／又は色で表した評価マップを作成する。シミュレーション部２３０は、評価マップ作成部２２９に作成させた評価マップを、ネットワーク１５０を介して、端末装置３００に送信する。
【０１７４】
ステップＳ１１９（評価マップ表示機能３０５）において、端末装置３００は、ステップＳ１１８で送信された評価マップを、ネットワーク１５０を介して、サーバ装置２００から受信し、表示装置３５２により画面上に表示する。
【０１７５】
上記のように、本実施の形態では、サーバ装置２００のシミュレーション部２３０が、ステップＳ１１３で評価マップが出力された後に、ソリューション情報記憶部２２４により記憶されたソリューション情報で定義された複数の共通対策ソリューションのいずれかをユーザに選択させる（即ち、任意に選択する）。そして、シミュレーション部２３０は、選択された共通対策ソリューションに含まれるセキュリティ管理策の実績フラグと実績値とを当該ソリューション情報に基づいて設定した場合に対策実施率計算部２２７により計算される対策実施率と対策充足率計算部２２８により計算される対策充足率とを数値及び／又は色で表示した評価マップを作成し、端末装置３００の表示装置３５２に出力する。これにより、ユーザは、情報システムのセキュリティ評価・分析を行うだけでなく、セキュリティを向上させるために、情報システムに導入すべき共通対策ソリューションを検討することが容易になり、利便性、効率性が向上する。
【０１７６】
サーバ装置２００のシミュレーション部２３０は、情報システムに未だ導入されていない共通対策ソリューションをユーザに選択させる代わりに、情報システムのセキュリティを強化できる共通対策ソリューションを自動的に選択し、ユーザに対して提示してもよい。選択基準としては、例えば、図１４に示した評価マップ４０２を対象にした場合、なるべく多くの赤色の欄を黄色、黄緑色、緑色に変えることができる共通対策ソリューションを優先的に選択すること等が考えられる。この場合、さらに、その効果の大きさ（赤色の欄をいくつ黄色、黄緑色、緑色に変えられるか等）の順にソートした共通対策ソリューションのリストをユーザに提示してもよい。そして、さらに、リスト内の各共通対策ソリューションのソリューション名の横にチェック欄を設け、ユーザがチェックをＯＮ／ＯＦＦする度に、チェックがＯＮになっている共通対策ソリューションのみを導入した場合の評価マップ４０２を作成し、端末装置３００の表示装置３５２に出力する（画面上の評価マップ４０２を更新する）ようにしてもよい。
【０１７７】
以上、本発明の実施の形態について説明したが、これらのうち、２つ以上の実施の形態を組み合わせて実施しても構わない。あるいは、これらのうち、１つの実施の形態を部分的に実施しても構わない。あるいは、これらのうち、２つ以上の実施の形態を部分的に組み合わせて実施しても構わない。
【符号の説明】
【０１７８】
１００ セキュリティ評価システム、１５０ ネットワーク、２００ サーバ装置、２０１ ビジネスインパクト設定機能、２０２ セキュリティ管理策選定機能、２０３ 共通対策ソリューション設定機能、２０４ 実施有無・運用レベル設定機能、２０５ 評価マップ作成機能、２１０ データベース、２１１ セキュリティ管理策ＤＢ、２１２ ビジネスインパクトＤＢ、２１３ 運用レベルＤＢ、２１４ 共通対策ソリューションＤＢ、２１５ 運用レベル定義ＤＢ、２２１ 条件入力部、２２２ 目標設定部、２２３ 目標記憶部、２２４ ソリューション情報記憶部、２２５ 実績設定部、２２６ 実績入力部、２２７ 対策実施率計算部、２２８ 対策充足率計算部、２２９ 評価マップ作成部、２３０ シミュレーション部、２５１ 処理装置、２５２ 記憶装置、２５３ 入力装置、２５４ 出力装置、３００ 端末装置、３０１ ビジネスインパクト条件入力機能、３０２ セキュリティ管理策一覧表示機能、３０３ 共通対策ソリューション入力機能、３０４ 実施有無・運用レベル入力機能、３０５ 評価マップ表示機能、３５１ 入力装置、３５２ 表示装置、４０１ａ，ｂ セキュリティ管理策一覧、４０２ 評価マップ、９０１ ＬＣＤ、９０２ キーボード、９０３ マウス、９０４ ＦＤＤ、９０５ ＣＤＤ、９０６ プリンタ、９１１ ＣＰＵ、９１２ バス、９１３ ＲＯＭ、９１４ ＲＡＭ、９１５ 通信ボード、９２０ ＨＤＤ、９２１ オペレーティングシステム、９２２ ウィンドウシステム、９２３ プログラム群、９２４ ファイル群。
【特許請求の範囲】
【請求項１】
情報システムのセキュリティに係る対策である複数のセキュリティ管理策を２種類以上の分類項目の組み合わせによって複数のグループに分類し、セキュリティ管理策のグループごとにセキュリティの評価を行うセキュリティ評価装置であって、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の要否を示す目標フラグと、各セキュリティ管理策の実施内容を数値評価した場合の目標値とを記憶装置に記憶する目標記憶部と、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の有無を示す実績フラグと、各セキュリティ管理策の実施内容を数値評価した実績値とを入力し、記憶装置に記憶する実績入力部と、
セキュリティ管理策のグループごとに、前記目標記憶部により記憶された目標フラグと前記実績入力部により記憶された実績フラグとを参照して、実施する必要があるセキュリティ管理策の数と、実際に実施しているセキュリティ管理策の数との比率を対策実施率として処理装置により計算する対策実施率計算部と、
セキュリティ管理策のグループごとに、前記目標記憶部により記憶された目標値の合計と前記実績入力部により記憶された実績値の合計との比率を対策充足率として処理装置により計算する対策充足率計算部と、
セキュリティ管理策のグループごとに、前記対策実施率計算部により計算された対策実施率と前記対策充足率計算部により計算された対策充足率とを表示装置に出力する出力部とを備えることを特徴とするセキュリティ評価装置。
【請求項２】
情報システムのセキュリティに係る対策である複数のセキュリティ管理策を２種類以上の分類項目の組み合わせによって複数のグループに分類し、セキュリティ管理策のグループごとにセキュリティの評価を行うセキュリティ評価装置であって、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の要否を示す目標フラグと、各セキュリティ管理策の実施内容を数値評価した場合の目標値とを記憶装置に記憶する目標記憶部と、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の有無を示す実績フラグと、各セキュリティ管理策の実施内容を数値評価した実績値とを入力し、記憶装置に記憶する実績入力部と、
セキュリティ管理策のグループごとに、前記目標記憶部により記憶された目標フラグと前記実績入力部により記憶された実績フラグとを参照して、実施する必要があるセキュリティ管理策の数と、実際に実施しているセキュリティ管理策の数との比率を対策実施率として処理装置により計算する対策実施率計算部と、
セキュリティ管理策のグループごとに、前記目標記憶部により目標値が記憶されているセキュリティ管理策の数と、前記実績入力部により記憶された実績値が前記目標記憶部により記憶された目標値に達しているセキュリティ管理策の数との比率を対策充足率として処理装置により計算する対策充足率計算部と、
セキュリティ管理策のグループごとに、前記対策実施率計算部により計算された対策実施率と前記対策充足率計算部により計算された対策充足率とを表示装置に出力する出力部とを備えることを特徴とするセキュリティ評価装置。
【請求項３】
前記出力部は、２種類の分類項目の一方を縦軸に配置し、他方を横軸に配置し、セキュリティ管理策のグループごとに、前記対策実施率計算部により計算された対策実施率と前記対策充足率計算部により計算された対策充足率とを表示した評価マップを作成し、表示装置に出力する評価マップ作成部であることを特徴とする請求項１又は２に記載のセキュリティ評価装置。
【請求項４】
前記評価マップ作成部は、前記対策実施率計算部により計算された対策実施率と前記対策充足率計算部により計算された対策充足率とをそれぞれの値に応じて色分け表示した評価マップを作成することを特徴とする請求項３に記載のセキュリティ評価装置。
【請求項５】
前記評価マップ作成部は、セキュリティ管理策のグループごとに、前記対策実施率計算部により計算された対策実施率と前記対策充足率計算部により計算された対策充足率とを上下又は左右２段に並べて表示した評価マップを作成することを特徴とする請求項３又は４に記載のセキュリティ評価装置。
【請求項６】
前記セキュリティ評価装置は、さらに、
特定のセキュリティ管理策を組み合わせ、当該セキュリティ管理策のそれぞれの実施内容を定めた共通対策ソリューションを複数定義するソリューション情報を記憶装置に記憶するソリューション情報記憶部と、
前記ソリューション情報記憶部により記憶されたソリューション情報で定義された複数の共通対策ソリューションのうち、情報システムに導入された共通対策ソリューションを選択し、選択した共通対策ソリューションに含まれるセキュリティ管理策の実績フラグと実績値とを当該ソリューション情報に基づいて設定する実績設定部とを備え、
前記実績入力部は、前記実績設定部により選択された共通対策ソリューションに含まれるセキュリティ管理策以外のセキュリティ管理策の実績フラグと実績値とを入力し、入力したセキュリティ管理策の実績フラグと実績値と、前記実績設定部により設定されたセキュリティ管理策の実績フラグと実績値とを記憶装置に記憶することを特徴とする請求項１から５までのいずれかに記載のセキュリティ評価装置。
【請求項７】
前記セキュリティ評価装置は、さらに、
前記出力部により対策実施率と対策充足率とが出力された後に、前記ソリューション情報記憶部により記憶されたソリューション情報で定義された複数の共通対策ソリューションのいずれかを任意に選択し、選択した共通対策ソリューションに含まれるセキュリティ管理策の実績フラグと実績値とを当該ソリューション情報に基づいて設定した場合に前記対策実施率計算部により計算される対策実施率と前記対策充足率計算部により計算される対策充足率とを表示装置に出力するシミュレーション部を備えることを特徴とする請求項６に記載のセキュリティ評価装置。
【請求項８】
前記対策充足率計算部は、さらに、セキュリティ管理策ごとに、前記実績入力部により記憶された実績値から前記目標記憶部により記憶された目標値を減算し、セキュリティ管理策のグループごとに、当該減算結果の最小値と最大値との少なくともいずれかを対策充足度として処理装置により計算し、
前記出力部は、セキュリティ管理策のグループごとに、前記対策充足率計算部により計算された対策充足度を表示装置に出力することを特徴とする請求項１から７までのいずれかに記載のセキュリティ評価装置。
【請求項９】
情報システムのセキュリティに係る対策である複数のセキュリティ管理策を２種類以上の分類項目の組み合わせによって複数のグループに分類し、セキュリティ管理策のグループごとにセキュリティの評価を行うセキュリティ評価方法であって、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の要否を示す目標フラグと、各セキュリティ管理策の実施内容を数値評価した場合の目標値とを記憶装置に記憶し、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の有無を示す実績フラグと、各セキュリティ管理策の実施内容を数値評価した実績値とを入力し、記憶装置に記憶し、
セキュリティ管理策のグループごとに、記憶装置に記憶された目標フラグと実績フラグとを参照して、実施する必要があるセキュリティ管理策の数と、実際に実施しているセキュリティ管理策の数との比率を対策実施率として処理装置により計算し、
セキュリティ管理策のグループごとに、記憶装置に記憶された目標値の合計と記憶装置に記憶された実績値の合計との比率を対策充足率として処理装置により計算し、
セキュリティ管理策のグループごとに、計算された対策実施率と対策充足率とを表示装置に出力することを特徴とするセキュリティ評価方法。
【請求項１０】
情報システムのセキュリティに係る対策である複数のセキュリティ管理策を２種類以上の分類項目の組み合わせによって複数のグループに分類し、セキュリティ管理策のグループごとにセキュリティの評価を行うセキュリティ評価方法であって、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の要否を示す目標フラグと、各セキュリティ管理策の実施内容を数値評価した場合の目標値とを記憶装置に記憶し、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の有無を示す実績フラグと、各セキュリティ管理策の実施内容を数値評価した実績値とを入力し、記憶装置に記憶し、
セキュリティ管理策のグループごとに、記憶装置に記憶された目標フラグと実績フラグとを参照して、実施する必要があるセキュリティ管理策の数と、実際に実施しているセキュリティ管理策の数との比率を対策実施率として処理装置により計算し、
セキュリティ管理策のグループごとに、記憶装置に目標値が記憶されているセキュリティ管理策の数と、記憶装置に記憶された実績値が目標値に達しているセキュリティ管理策の数との比率を対策充足率として処理装置により計算し、
セキュリティ管理策のグループごとに、計算された対策実施率と対策充足率とを表示装置に出力することを特徴とするセキュリティ評価方法。
【請求項１１】
情報システムのセキュリティに係る対策である複数のセキュリティ管理策を２種類以上の分類項目の組み合わせによって複数のグループに分類し、セキュリティ管理策のグループごとにセキュリティの評価を行うセキュリティ評価プログラムであって、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の要否を示す目標フラグと、各セキュリティ管理策の実施内容を数値評価した場合の目標値とを記憶装置に記憶する目標記憶処理と、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の有無を示す実績フラグと、各セキュリティ管理策の実施内容を数値評価した実績値とを入力し、記憶装置に記憶する実績入力処理と、
セキュリティ管理策のグループごとに、前記目標記憶処理により記憶された目標フラグと前記実績入力処理により記憶された実績フラグとを参照して、実施する必要があるセキュリティ管理策の数と、実際に実施しているセキュリティ管理策の数との比率を対策実施率として処理装置により計算する対策実施率計算処理と、
セキュリティ管理策のグループごとに、前記目標記憶処理により記憶された目標値の合計と前記実績入力処理により記憶された実績値の合計との比率を対策充足率として処理装置により計算する対策充足率計算処理と、
セキュリティ管理策のグループごとに、前記対策実施率計算処理により計算された対策実施率と前記対策充足率計算処理により計算された対策充足率とを表示装置に出力する出力処理とをコンピュータに実行させることを特徴とするセキュリティ評価プログラム。
【請求項１２】
情報システムのセキュリティに係る対策である複数のセキュリティ管理策を２種類以上の分類項目の組み合わせによって複数のグループに分類し、セキュリティ管理策のグループごとにセキュリティの評価を行うセキュリティ評価プログラムであって、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の要否を示す目標フラグと、各セキュリティ管理策の実施内容を数値評価した場合の目標値とを記憶装置に記憶する目標記憶処理と、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の有無を示す実績フラグと、各セキュリティ管理策の実施内容を数値評価した実績値とを入力し、記憶装置に記憶する実績入力処理と、
セキュリティ管理策のグループごとに、前記目標記憶処理により記憶された目標フラグと前記実績入力処理により記憶された実績フラグとを参照して、実施する必要があるセキュリティ管理策の数と、実際に実施しているセキュリティ管理策の数との比率を対策実施率として処理装置により計算する対策実施率計算処理と、
セキュリティ管理策のグループごとに、前記目標記憶処理により目標値が記憶されているセキュリティ管理策の数と、前記実績入力処理により記憶された実績値が前記目標記憶処理により記憶された目標値に達しているセキュリティ管理策の数との比率を対策充足率として処理装置により計算する対策充足率計算処理と、
セキュリティ管理策のグループごとに、前記対策実施率計算処理により計算された対策実施率と前記対策充足率計算処理により計算された対策充足率とを表示装置に出力する出力処理とをコンピュータに実行させることを特徴とするセキュリティ評価プログラム。
【請求項１】
情報システムのセキュリティに係る対策である複数のセキュリティ管理策を２種類以上の分類項目の組み合わせによって複数のグループに分類し、セキュリティ管理策のグループごとにセキュリティの評価を行うセキュリティ評価装置であって、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の要否を示す目標フラグと、各セキュリティ管理策の実施内容を数値評価した場合の目標値とを記憶装置に記憶する目標記憶部と、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の有無を示す実績フラグと、各セキュリティ管理策の実施内容を数値評価した実績値とを入力し、記憶装置に記憶する実績入力部と、
セキュリティ管理策のグループごとに、前記目標記憶部により記憶された目標フラグと前記実績入力部により記憶された実績フラグとを参照して、実施する必要があるセキュリティ管理策の数と、実際に実施しているセキュリティ管理策の数との比率を対策実施率として処理装置により計算する対策実施率計算部と、
セキュリティ管理策のグループごとに、前記目標記憶部により記憶された目標値の合計と前記実績入力部により記憶された実績値の合計との比率を対策充足率として処理装置により計算する対策充足率計算部と、
セキュリティ管理策のグループごとに、前記対策実施率計算部により計算された対策実施率と前記対策充足率計算部により計算された対策充足率とを表示装置に出力する出力部とを備えることを特徴とするセキュリティ評価装置。
【請求項２】
情報システムのセキュリティに係る対策である複数のセキュリティ管理策を２種類以上の分類項目の組み合わせによって複数のグループに分類し、セキュリティ管理策のグループごとにセキュリティの評価を行うセキュリティ評価装置であって、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の要否を示す目標フラグと、各セキュリティ管理策の実施内容を数値評価した場合の目標値とを記憶装置に記憶する目標記憶部と、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の有無を示す実績フラグと、各セキュリティ管理策の実施内容を数値評価した実績値とを入力し、記憶装置に記憶する実績入力部と、
セキュリティ管理策のグループごとに、前記目標記憶部により記憶された目標フラグと前記実績入力部により記憶された実績フラグとを参照して、実施する必要があるセキュリティ管理策の数と、実際に実施しているセキュリティ管理策の数との比率を対策実施率として処理装置により計算する対策実施率計算部と、
セキュリティ管理策のグループごとに、前記目標記憶部により目標値が記憶されているセキュリティ管理策の数と、前記実績入力部により記憶された実績値が前記目標記憶部により記憶された目標値に達しているセキュリティ管理策の数との比率を対策充足率として処理装置により計算する対策充足率計算部と、
セキュリティ管理策のグループごとに、前記対策実施率計算部により計算された対策実施率と前記対策充足率計算部により計算された対策充足率とを表示装置に出力する出力部とを備えることを特徴とするセキュリティ評価装置。
【請求項３】
前記出力部は、２種類の分類項目の一方を縦軸に配置し、他方を横軸に配置し、セキュリティ管理策のグループごとに、前記対策実施率計算部により計算された対策実施率と前記対策充足率計算部により計算された対策充足率とを表示した評価マップを作成し、表示装置に出力する評価マップ作成部であることを特徴とする請求項１又は２に記載のセキュリティ評価装置。
【請求項４】
前記評価マップ作成部は、前記対策実施率計算部により計算された対策実施率と前記対策充足率計算部により計算された対策充足率とをそれぞれの値に応じて色分け表示した評価マップを作成することを特徴とする請求項３に記載のセキュリティ評価装置。
【請求項５】
前記評価マップ作成部は、セキュリティ管理策のグループごとに、前記対策実施率計算部により計算された対策実施率と前記対策充足率計算部により計算された対策充足率とを上下又は左右２段に並べて表示した評価マップを作成することを特徴とする請求項３又は４に記載のセキュリティ評価装置。
【請求項６】
前記セキュリティ評価装置は、さらに、
特定のセキュリティ管理策を組み合わせ、当該セキュリティ管理策のそれぞれの実施内容を定めた共通対策ソリューションを複数定義するソリューション情報を記憶装置に記憶するソリューション情報記憶部と、
前記ソリューション情報記憶部により記憶されたソリューション情報で定義された複数の共通対策ソリューションのうち、情報システムに導入された共通対策ソリューションを選択し、選択した共通対策ソリューションに含まれるセキュリティ管理策の実績フラグと実績値とを当該ソリューション情報に基づいて設定する実績設定部とを備え、
前記実績入力部は、前記実績設定部により選択された共通対策ソリューションに含まれるセキュリティ管理策以外のセキュリティ管理策の実績フラグと実績値とを入力し、入力したセキュリティ管理策の実績フラグと実績値と、前記実績設定部により設定されたセキュリティ管理策の実績フラグと実績値とを記憶装置に記憶することを特徴とする請求項１から５までのいずれかに記載のセキュリティ評価装置。
【請求項７】
前記セキュリティ評価装置は、さらに、
前記出力部により対策実施率と対策充足率とが出力された後に、前記ソリューション情報記憶部により記憶されたソリューション情報で定義された複数の共通対策ソリューションのいずれかを任意に選択し、選択した共通対策ソリューションに含まれるセキュリティ管理策の実績フラグと実績値とを当該ソリューション情報に基づいて設定した場合に前記対策実施率計算部により計算される対策実施率と前記対策充足率計算部により計算される対策充足率とを表示装置に出力するシミュレーション部を備えることを特徴とする請求項６に記載のセキュリティ評価装置。
【請求項８】
前記対策充足率計算部は、さらに、セキュリティ管理策ごとに、前記実績入力部により記憶された実績値から前記目標記憶部により記憶された目標値を減算し、セキュリティ管理策のグループごとに、当該減算結果の最小値と最大値との少なくともいずれかを対策充足度として処理装置により計算し、
前記出力部は、セキュリティ管理策のグループごとに、前記対策充足率計算部により計算された対策充足度を表示装置に出力することを特徴とする請求項１から７までのいずれかに記載のセキュリティ評価装置。
【請求項９】
情報システムのセキュリティに係る対策である複数のセキュリティ管理策を２種類以上の分類項目の組み合わせによって複数のグループに分類し、セキュリティ管理策のグループごとにセキュリティの評価を行うセキュリティ評価方法であって、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の要否を示す目標フラグと、各セキュリティ管理策の実施内容を数値評価した場合の目標値とを記憶装置に記憶し、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の有無を示す実績フラグと、各セキュリティ管理策の実施内容を数値評価した実績値とを入力し、記憶装置に記憶し、
セキュリティ管理策のグループごとに、記憶装置に記憶された目標フラグと実績フラグとを参照して、実施する必要があるセキュリティ管理策の数と、実際に実施しているセキュリティ管理策の数との比率を対策実施率として処理装置により計算し、
セキュリティ管理策のグループごとに、記憶装置に記憶された目標値の合計と記憶装置に記憶された実績値の合計との比率を対策充足率として処理装置により計算し、
セキュリティ管理策のグループごとに、計算された対策実施率と対策充足率とを表示装置に出力することを特徴とするセキュリティ評価方法。
【請求項１０】
情報システムのセキュリティに係る対策である複数のセキュリティ管理策を２種類以上の分類項目の組み合わせによって複数のグループに分類し、セキュリティ管理策のグループごとにセキュリティの評価を行うセキュリティ評価方法であって、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の要否を示す目標フラグと、各セキュリティ管理策の実施内容を数値評価した場合の目標値とを記憶装置に記憶し、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の有無を示す実績フラグと、各セキュリティ管理策の実施内容を数値評価した実績値とを入力し、記憶装置に記憶し、
セキュリティ管理策のグループごとに、記憶装置に記憶された目標フラグと実績フラグとを参照して、実施する必要があるセキュリティ管理策の数と、実際に実施しているセキュリティ管理策の数との比率を対策実施率として処理装置により計算し、
セキュリティ管理策のグループごとに、記憶装置に目標値が記憶されているセキュリティ管理策の数と、記憶装置に記憶された実績値が目標値に達しているセキュリティ管理策の数との比率を対策充足率として処理装置により計算し、
セキュリティ管理策のグループごとに、計算された対策実施率と対策充足率とを表示装置に出力することを特徴とするセキュリティ評価方法。
【請求項１１】
情報システムのセキュリティに係る対策である複数のセキュリティ管理策を２種類以上の分類項目の組み合わせによって複数のグループに分類し、セキュリティ管理策のグループごとにセキュリティの評価を行うセキュリティ評価プログラムであって、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の要否を示す目標フラグと、各セキュリティ管理策の実施内容を数値評価した場合の目標値とを記憶装置に記憶する目標記憶処理と、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の有無を示す実績フラグと、各セキュリティ管理策の実施内容を数値評価した実績値とを入力し、記憶装置に記憶する実績入力処理と、
セキュリティ管理策のグループごとに、前記目標記憶処理により記憶された目標フラグと前記実績入力処理により記憶された実績フラグとを参照して、実施する必要があるセキュリティ管理策の数と、実際に実施しているセキュリティ管理策の数との比率を対策実施率として処理装置により計算する対策実施率計算処理と、
セキュリティ管理策のグループごとに、前記目標記憶処理により記憶された目標値の合計と前記実績入力処理により記憶された実績値の合計との比率を対策充足率として処理装置により計算する対策充足率計算処理と、
セキュリティ管理策のグループごとに、前記対策実施率計算処理により計算された対策実施率と前記対策充足率計算処理により計算された対策充足率とを表示装置に出力する出力処理とをコンピュータに実行させることを特徴とするセキュリティ評価プログラム。
【請求項１２】
情報システムのセキュリティに係る対策である複数のセキュリティ管理策を２種類以上の分類項目の組み合わせによって複数のグループに分類し、セキュリティ管理策のグループごとにセキュリティの評価を行うセキュリティ評価プログラムであって、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の要否を示す目標フラグと、各セキュリティ管理策の実施内容を数値評価した場合の目標値とを記憶装置に記憶する目標記憶処理と、
セキュリティ管理策ごとに、各セキュリティ管理策の実施の有無を示す実績フラグと、各セキュリティ管理策の実施内容を数値評価した実績値とを入力し、記憶装置に記憶する実績入力処理と、
セキュリティ管理策のグループごとに、前記目標記憶処理により記憶された目標フラグと前記実績入力処理により記憶された実績フラグとを参照して、実施する必要があるセキュリティ管理策の数と、実際に実施しているセキュリティ管理策の数との比率を対策実施率として処理装置により計算する対策実施率計算処理と、
セキュリティ管理策のグループごとに、前記目標記憶処理により目標値が記憶されているセキュリティ管理策の数と、前記実績入力処理により記憶された実績値が前記目標記憶処理により記憶された目標値に達しているセキュリティ管理策の数との比率を対策充足率として処理装置により計算する対策充足率計算処理と、
セキュリティ管理策のグループごとに、前記対策実施率計算処理により計算された対策実施率と前記対策充足率計算処理により計算された対策充足率とを表示装置に出力する出力処理とをコンピュータに実行させることを特徴とするセキュリティ評価プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【公開番号】特開２０１０−２１１６５７（Ｐ２０１０−２１１６５７Ａ）
【公開日】平成２２年９月２４日（２０１０．９．２４）
【国際特許分類】
【出願番号】特願２００９−５８９１５（Ｐ２００９−５８９１５）
【出願日】平成２１年３月１２日（２００９．３．１２）
【特許番号】特許第４３８４２５２号（Ｐ４３８４２５２）
【特許公報発行日】平成２１年１２月１６日（２００９．１２．１６）
【出願人】（３９４０１３００２）三菱電機インフォメーションシステムズ株式会社 (251)
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【出願人】（５９８０４９３２２）株式会社三菱東京ＵＦＪ銀行 (200)
【Ｆターム（参考）】
【公開日】平成２２年９月２４日（２０１０．９．２４）
【国際特許分類】
【出願日】平成２１年３月１２日（２００９．３．１２）
【特許番号】特許第４３８４２５２号（Ｐ４３８４２５２）
【特許公報発行日】平成２１年１２月１６日（２００９．１２．１６）
【出願人】（３９４０１３００２）三菱電機インフォメーションシステムズ株式会社 (251)
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【出願人】（５９８０４９３２２）株式会社三菱東京ＵＦＪ銀行 (200)
【Ｆターム（参考）】
[ Back to top ]