分析装置、分析方法およびプログラム
【課題】情報が漏洩するリスクを、包括的にかつ適切に評価する。
【解決手段】情報を記憶する複数の装置から構成されたシステムと接続された分析装置の記憶パターン特定部は、複数の装置の間の通信接続関係および装置の設置場所を示す構成情報と、記憶された情報に対する装置の動作を示す運用ポリシーとに基づいて、情報が装置に記憶される記憶パターンを特定する。そして、リスク分析部は、特定した記憶パターンに基づいて、情報がシステム外へ漏洩するリスクの程度を示すリスク評価指標を算出する。
【解決手段】情報を記憶する複数の装置から構成されたシステムと接続された分析装置の記憶パターン特定部は、複数の装置の間の通信接続関係および装置の設置場所を示す構成情報と、記憶された情報に対する装置の動作を示す運用ポリシーとに基づいて、情報が装置に記憶される記憶パターンを特定する。そして、リスク分析部は、特定した記憶パターンに基づいて、情報がシステム外へ漏洩するリスクの程度を示すリスク評価指標を算出する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、分析装置、分析方法およびプログラムに関する。
【背景技術】
【０００２】
近年、インターネット技術の発展に伴い、企業の内部情報や顧客の個人情報などに代表される機密情報の資産的価値が飛躍的に向上すると共に、機密情報の漏洩事故が多発している。これらの事故は、実に様々な要因によって引き起こされる。
【０００３】
例えば、ＯＳ（Operating System）やソフトウェアの脆弱性を利用した外部からの攻撃やマルウェア（不正ソフトウェア）感染によるものや、ファイル共有ソフトなどを通じて重要なデータが流出することもある。特に多いのが、機密情報を記憶しているノートＰＣ（Personal Computer）やＵＳＢ（Universal Serial Bus）メモリなどの外部記憶装置の盗難・紛失によって内部から機密情報が漏洩するケースである。
【０００４】
このように、種々の要因が複雑に関与しあって引き起こされるセキュリティ事故の脅威から機密情報を守るためには、その機密情報が存在する情報システム全体において、どのような効果を発揮するセキュリティ対策が講じられていて、どの位のリスクが存在するかを的確に分析することで、そのシステムの状態を正しく把握する必要がある。
【０００５】
この種の一般的な技術として、特許文献１では、分析対象となるシステムの設定状態を収集し、ネットワーク上のデータの流れ（受け渡し）を明らかにする技術が開示されている。この文献に記載されたシステムでは、あらかじめ定義した不正なデータの流れが発生するかどうかを、アクセス権の設定状態によって判別している。
【０００６】
また、この種の他の一般的な技術として、特許文献２では、検査対象システムにおいて脆弱性が存在する機器同士の繋がりから、不正侵入されるおそれのあるルートを探索するセキュリティ管理システムが開示されている。同文献に記載された技術では、機器に存在する脆弱性によって検査対象システムのどこまで侵入できるかを「侵入深度」という量で測り、分析対象となるシステムの危険度を評価している。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００５−１９６７２８号公報
【特許文献２】特開２００８−２５７５７７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
上記のように、システムにおいては、導入されているセキュリティ対策の有効度に応じて、保護対象となる機密情報に対するリスクの大きさを適切に把握することが重要である。このような分析を漏れや重複がないように網羅的に行うためには、セキュリティ製品の機能だけではなく、どのような運用ポリシーや管理ルールが策定されているかについても考慮する必要がある。
【０００９】
例えば、機密情報を有する機器に対して、ネットワークを経由した外部からの攻撃に対しては強固なセキュリティ対策が講じられていても、その機器自体が、誰でも出入り自由な場所に置かれていては、そこに保存された機密情報が外部に流出してしまうリスクは非常に高い。
【００１０】
また、機密情報を守るためには単にセキュリティ効果の高い機器を導入するだけでなく、どのようなセキュリティポリシーに基づいてシステムの運用管理を行うかが非常に重要である。
【００１１】
しかし、特許文献１に開示された技術においては、ネットワーク経由の攻撃に対する各システム構成機器の設定検証を行っているものの、セキュリティポリシーの策定などの運用管理的なセキュリティ対策の効果などについては考慮されていない。
【００１２】
また、特許文献２に開示された技術においては、システムへの物理的な侵入経路に加え、運用管理的な脆弱性についても扱っているが、ごく一部の限定されたものだけである。
【００１３】
また、この技術においては、脆弱性が存在するという単一の原因だけではなく、システムを構成する機器の設定状態や運用形態などの様々な条件が重なることで発生する脅威については取り扱うことができない。
【００１４】
例えば、機密情報が強固なセキュリティ対策が施されたデータベース上に保管されているが、その機密情報を外部記憶媒体に保存して持ち出すことが許可されている、という状況について考察する。
【００１５】
すなわち、機密情報は、データベース上、又は、外部記憶媒体上に保存されているという複数の状態が考えられ、そのどちらに存在するかによって、機密情報の漏洩リスクは変化する。また、このような場合、外部記憶媒体の紛失などによる情報漏洩事故に対する抑止として、機密情報を外部記憶媒体に保存して持ち出す際には、携行品管理システムに登録しておき上司の承認を得る、といった機密情報の取り扱いに関する運用ポリシーを定めることが多い。
【００１６】
しかし、このような運用管理的なセキュリティ対策による効果は、ファイアウォールによるパケットフィルタリングなどと比べると、曖昧で不確実なものであり、ルール自体がきちんと守られていないこともある。特許文献２に開示された技術では、上記のような複雑な状況には対応することができない。
【００１７】
また、侵入深度という量でセキュリティリスクを評価しているが、これは単に脆弱性を持つ機器同士の接続状態のみから、システムのどこまで侵入可能であるかを分析するもので、分析対象のシステムにおける状態変化などを考慮したリスクを適切に評価することはできない。
【００１８】
本発明は、上述した課題を解決する分析装置、分析方法およびプログラムを提供することを目的とする。
【課題を解決するための手段】
【００１９】
上記課題を解決するために、本発明の分析装置は、情報を記憶する複数の装置から構成されたシステムと接続された分析装置であって、前記複数の装置の間の通信接続関係および該装置の設置場所を示す構成情報と、前記記憶された情報に対する前記装置の動作を示す運用ポリシーとに基づいて、前記情報が前記装置に記憶される記憶パターンを特定する記憶パターン特定部と、前記特定した記憶パターンに基づいて、前記情報が前記システム外へ漏洩するリスクの程度を示すリスク評価指標を算出するリスク分析部とを有する。
【００２０】
上記課題を解決するために、本発明の分析方法は、情報を記憶する複数の装置から構成されたシステムの分析方法であって、前記複数の装置の間の通信接続関係および該装置の設置場所を示す構成情報と、前記記憶された情報に対する前記装置の動作を示す運用ポリシーとに基づいて、前記情報が前記装置に記憶される記憶パターンを特定する記憶パターン特定処理と、前記特定した記憶パターンに基づいて、前記情報が前記システム外へ漏洩するリスクの程度を示すリスク評価指標を算出するリスク分析処理とを有する。
【００２１】
また、コンピュータに実行させるプログラムであって、情報を記憶する複数の装置から構成されたシステムと接続された分析装置に、前記複数の装置の間の通信接続関係および該装置の設置場所を示す構成情報と、前記記憶された情報に対する前記装置の動作を示す運用ポリシーとに基づいて、前記情報が前記装置に記憶される記憶パターンを特定する記憶パターン特定手順と、前記特定した記憶パターンに基づいて、前記情報が前記システム外へ漏洩するリスクの程度を示すリスク評価指標を算出するリスク分析手順とを実行させる。
【発明の効果】
【００２２】
本発明によれば、情報が漏洩するリスクを、包括的にかつ適切に評価することができる。
【図面の簡単な説明】
【００２３】
【図１】本発明の実施形態１に従った分析装置と、分析対象となるシステムとの接続形態を示す図である。
【図２】分析対象のシステムにおける配置状態および通信接続状態の一例を示す図である。
【図３】実施形態１の分析装置の構成を示す図である。
【図４】構成情報のデータ構造の一例を示す図である。
【図５】ポリシー情報のデータ構造の一例を示す図である。
【図６】分析対象のシステムにおける機密情報の記憶パターンの第１の例を示す図である。
【図７】分析対象のシステムにおける機密情報の記憶パターンの第２の例を示す図である。
【図８】分析対象のシステムにおける機密情報の記憶パターンの第３の例を示す図である。
【図９】分析対象のシステムにおける機密情報の記憶パターンの第４の例を示す図である。
【図１０】配置情報のデータ構造の一例を示す図である。
【図１１】リスク情報のデータ構造の一例を示す図である。
【図１２】実施形態１の分析装置がリスク評価指標を算出する動作を示すフローチャート図である。
【図１３】実施形態２の分析装置の構成を示す図である。
【図１４】基準パターン情報のデータ構造の一例を示す図である。
【図１５】遷移パターン情報のデータ構造の一例を示す図である。
【図１６】実施形態２の分析装置がリスク評価指標を算出する動作を示すフローチャート図である。
【図１７】実施形態３の分析装置の構成を示す図である。
【図１８】セキュリティ対策情報のデータ構造の一例を示す図である。
【図１９】実施形態３の分析装置がリスク評価指標を算出する動作を示すフローチャート図である。
【発明を実施するための形態】
【００２４】
（実施形態１）
以下、本発明の実施形態１に従った分析装置（分析方法およびプログラムを含む）について説明する。
【００２５】
図１に示すように、実施形態１の分析装置１は、当該分析装置１によるセキュリティリスクの分析対象となるシステム２と接続されている。
【００２６】
システム２は、複数の「装置」から構成される任意のシステムでよい。この装置の例としては、クライアントＰＣ、ファイアウォール、侵入検知装置（ＩＤＳ（Intrusion Detection System））、サーバ機器などが挙げられる。本実施形態では、システム２に設けられた「装置」が、Ｗｅｂサーバ２−１、２−２と、ＰＣ２−３と、ファイアウォール２−４とである場合を例に挙げて説明する。
【００２７】
また、Ｗｅｂサーバ２−１、２−２、ＰＣ２−３、ファイアウォール２−４が、図２に破線でそれぞれ示す拠点やサーバ室などの任意の場所に物理的に配置されている場合を例に挙げて説明する。
【００２８】
本発明の分析装置１は、漏洩防止からの保護対象となる任意の「情報」（例えば、データファイルなど）がこれらの装置に記憶されている記憶パターンや、第三者の出入りを防止する当該装置の設置場所に設けられたセキュリティゲートなどの物理的な侵入防止装置なども考慮して、機密情報が漏洩するリスクを分析することが可能である。
【００２９】
また、分析装置１は、外部からシステム２内部への攻撃に対する情報の漏洩リスクと、システム２内部から外部への「情報」の漏洩リスクとのどちらも分析することが可能である。以下では、外部からの通信を介した攻撃に対する、機密情報（「情報」）の漏洩リスクを分析する場合を例に挙げて説明する。
【００３０】
つぎに、図１に示した分析装置１の構成について、図３を参照して説明する。
【００３１】
図３に示すように、分析装置１は、取得部１１と、構成データベース１２と、ポリシーデータベース１３と、記憶パターン特定部１４と、発生確率算出部１４１と、配置データベース１５と、リスク分析部１６とを有する。
【００３２】
取得部１１は、システム２内の各装置（Ｗｅｂサーバ２−１、２−２、ＰＣ２−３、ファイアウォール２−４）と通信を行うことにより当該装置それぞれに付随する「設定情報」を取得する。
【００３３】
この設定情報は、各装置が接続されている他の装置を示す情報、その装置の設置場所を示す情報のことを指す。設定情報の具体例としては、システム２のネットワークトポロジーに関する情報、各装置の物理的な設置場所に関する情報などが挙げられる。
【００３４】
そして、取得部１１は、設定情報に基づいて、これらの装置間の「通信接続関係」と、各装置の設置場所である「装置配置関係」とを示す構成情報を生成する。
【００３５】
ここで、「通信接続関係」とは、ファイアウォールやＩＤＳなどのようにシステム２内で各装置間の通信接続を制御する通信制御装置と、各装置との接続関係のことを指す。
【００３６】
また、「装置配置関係」とは、システム２が具備する各装置と、これらの装置の設置場所または当該設置場所に設けられたセキュリティゲートのような第三者の出入りを制御する装置との関係のことを指す。
【００３７】
本実施形態では、図４に示すように、取得部１１は、システム２の構成要素（設置場所や装置）と、この構成要素を固有に識別するための要素識別子と、この構成要素に付随する装置配置関係と、この構成要素に付随する通信接続関係とを対応付ける情報を、「構成情報１２１」として生成する。
【００３８】
そして、取得部１１は、生成した構成情報１２１を構成データベース１２へ書込む。
【００３９】
図２に示した例では、Ｗｅｂサーバ２−１、２−２やＰＣ２−３は、ファイアウォール２−４と通信可能に接続された通信接続関係を有する。そのため、図４に示した構成情報１２１において、Ｗｅｂサーバ２−１、２−２、ＰＣ２−３のそれぞれは、ファイアウォール２−４と対応付けて記憶されている。
【００４０】
また、図２に示した例では、ＰＣ２−３は、拠点のセキュリティゲートに設けられた装置配置関係を有する。そのため、構成情報１２１においては、ＰＣ２−３（要素識別子ｇ６）と、拠点のセキュリティゲート（要素識別子ｇ１）とが対応付けて記憶されている。
【００４１】
ポリシーデータベース１３は、ポリシー情報１３１を記憶している。
【００４２】
図５に示すように、「ポリシー情報１３１」は、保護対象となる機密情報に対してシステム２で定められている「運用ポリシー」と、機密情報と、運用ポリシーにより機密情報が配置されることが許可されている構成要素を示す「情報配置関係」と、その運用ポリシーに従った場合に当該構成要素に当該機密情報が配置されている「情報存在確率」とを対応付ける情報である。なお、本実施形態では、ポリシー情報１３１が、あらかじめ設定された情報である場合を例に挙げて説明する。
【００４３】
また、本実施形態では、ＰＣ２−３内の暗号化ファイルが不正に復号化されることを回避するためにシステム２における運用ポリシーとして、以下の運用ポリシーＯＰＥ１〜ＯＰＥ４が定められている場合を例に挙げて説明する。
【００４４】
運用ポリシーＯＰＥ１として、ＰＣ２−３は、ＰＣ２−３内の暗号化ファイルを復号化する場合、Ｗｅｂサーバ２−１を指定して復号鍵ダウンロード用のＷｅｂページにログインする。
【００４５】
この運用ポリシーＯＰＥ１に従った場合、図６に示す記憶パターンＬ１のように、ＰＣ２−３が暗号化ファイルの復号処理を行う前における機密情報の記憶パターンＬ１では、Ｗｅｂサーバ２−１は、復号鍵およびインポートパスワードを記憶している。
【００４６】
また、運用ポリシーＯＰＥ２として、ＰＣ２−１は、Ｗｅｂサーバ２−１上に保存されている復号鍵を当該ＰＣ２−１のローカルディスクにダウンロードする。
【００４７】
この運用ポリシーＯＰＥ２に従った場合、図７に示すように、ＰＣ２−３が、暗号化ファイルの復号処理を行うために、Ｗｅｂサーバ２−１に記憶されている復号鍵をダウンロードすることにより、システム２における機密情報の記憶パターンは、図６に示した記憶パターンＬ１から記憶パターンＬ２へ遷移する。
【００４８】
また、運用ポリシーＯＰＥ３として、復号鍵ダウンロード用のＷｅｂページに記載されているパスワードを入力し、ダウンロードした復号鍵を復号鍵の管理ツールへインポートする。
【００４９】
この運用ポリシーＯＰＥ３に従った場合、図８に示すように、Ｗｅｂサーバ２−２が、Ｗｅｂサーバ２−１に記憶されているインポートパスワードをダウンロードすることにより、システム２における機密情報の記憶パターンは、図７に示した記憶パターンＬ２から記憶パターンＬ３へ遷移する。
【００５０】
運用ポリシーＯＰＥ４として、ＰＣ２−３は、当該ＰＣ２−３が備えるローカルディスクに保存された暗号化ファイルの復号化を行う。
【００５１】
その後、図９に示すように、ＰＣ２−３が、暗号化ファイルの復号化が終了して当該ＰＣ２−３から復号鍵を削除した場合、システム２における機密情報の記憶パターンは、図８に示した記憶パターンＬ３から記憶パターンＬ４へ遷移する。
【００５２】
なお、運用ポリシーが示す各装置の機密情報に対する動作は、後述の実施形態３で例に挙げて説明する外部からの攻撃を行う手順と共通する。つまり、この説明例では、暗号化ファイルの復号化を行うために入手する必要のある機密情報が、攻撃者からの保護対象に相当する。
【００５３】
なお、ポリシー情報１３１のデータ構造は、対応表、オントロジーなどの知識構造を含む任意のものでよい。また、ポリシー情報１３１は、特定の複数のパターンに対してあらかじめ記述しておき、分析装置１の利用者が随時編集することにより、あらかじめ記述されている運用ポリシー以外の運用ポリシーを追加することも可能である。
【００５４】
記憶パターン特定部１４は、構成情報１２１とポリシー情報１３１とに基づいて、ポリシー情報１３１内の運用ポリシーＯＰＥ１〜ＯＰＥ３に従った場合にシステム２において起こり得る機密情報のすべての「記憶パターン」を決定する。
【００５５】
本実施形態では、記憶パターン特定部１４は、ポリシー情報１３１内の運用ポリシーに対応する機密情報の種類を特定する。図５の例では、記憶パターン特定部１４は、運用ポリシーＯＰＥ１に対する機密情報として、暗号化ファイルと復号鍵とインポートパスワードとを特定し、図１０に示す配置情報１５１へ書込む。
【００５６】
また、記憶パターン特定部１４は、ポリシー情報１３１内でこれらの機密情報と対応付けられている情報配置関係が示す装置をそれぞれ特定するとともに、この装置に対して通信接続関係を有する装置すべてを構成情報１２１を用いて特定する。
【００５７】
上述した運用ポリシーＯＰＥ１の例では、記憶パターン特定部１４は、機密情報と対応付けられた通信接続関係が示す要素識別子ｇ４（Ｗｅｂサーバ２−１）、ｇ６（ＰＣ２−３）を特定する。また、記憶パターン特定部１４は、構成情報１２１に基づいて、ｇ４およびｇ６はファイアウォール２−４を介してｇ５（Ｗｅｂサーバ２−２）と接続されていることを特定する。そして、記憶パターン特定部１４は、これらの特定した情報を、配置データベース１５内の配置情報１５１へ書込む。
【００５８】
図１０に示すように、配置情報１５１は、ポリシー情報１３１が示すシステム２に対して定められた各運用ポリシーＯＰＥ１、ＯＰＥ２、ＯＰＥ３の下で、機密情報がシステム２内の各装置に配置される「記憶パターンＬ１〜Ｌ４」と、その記憶パターンが起こる「発生確率」とを対応付ける情報である。
【００５９】
なお、図１０の例では、記憶パターンを、各機密情報（暗号化ファイル、復号鍵、インポートパスワード）のそれぞれに対する情報配置フラグで示している。
【００６０】
情報配置フラグとは、機密情報が、当該情報配置フラグと対応付けられている要素識別子が付与された装置に配置（記憶）されているかどうかを示す情報である。本実施形態では、情報配置フラグは、その値が「０」である場合、機密情報が配置されていないことを示し、その値が「１」である場合、機密情報が配置されていることを示す。
【００６１】
発生確率算出部１４１は、記憶パターン特定部１４が特定した記憶パターンと、ポリシー情報１３１内の各装置に機密情報が配置されている情報存在確率とに基づいて、記憶パターン特定部１４が特定した記憶パターンＬ１〜Ｌ４が起こる発生確率を算出する。
【００６２】
例えば、発生確率算出部１４１は、ある記憶パターンにおいて、暗号化ファイルが配置されている情報存在確率と、復号鍵が配置されている情報存在確率と、インポートパスワードが配置されている情報存在確率とを乗算した値を、その記憶パターンの発生確率として算出する。
【００６３】
そして、遷移確率算出部１４１は、算出した発生確率と、配置情報１５１に記憶されている機密情報に対する記憶パターンとを対応付けて当該配置情報１５１に書込む。
【００６４】
リスク分析部１６は、配置データベース１５を参照し、システム２内の機密情報が漏洩するリスクの程度を示す「リスク評価指標」を算出する。
【００６５】
なお、本実施形態では、リスク分析部１６は、図１１に示すリスク情報を記憶している。このリスク情報は、システム２内の各装置（この例では、Ｗｅｂサーバ２−１、２−２、ＰＣ２−３）と、当該装置に対してそれぞれ想定されるリスクの程度を数値で表したリスク想定値とを対応付けてあらかじめ設定された情報である。
【００６６】
この例では、リスク分析部１６は、配置データベース１５内の配置情報１５１に記述されている発生確率を用いてリスク想定値に対する重み付けを行うことにより得られた数値を、各装置に対する「リスク評価指標」として算出する。
【００６７】
例えば、図１０に示したパターン識別子Ｌ１においてＷｅｂサーバ２−１（要素識別子ｇ４）に復号鍵およびインポートパスワードが記憶される発生確率は「１」である。また、図１１に示したリスク情報内のＷｅｂサーバ２−１のリスク想定値は「２」である。
【００６８】
そのため、リスク分析部１６は、発生確率「１」とリスク想定値「２」との乗算値を、パターン識別子Ｌ１におけるＷｅｂサーバ２−１のリスク評価指標として算出する。なお、リスク分析部１６は、Ｌ１以外の他のパターン識別子Ｌ２〜Ｌ４におけるＷｅｂサーバ２−１のリスク評価指標も算出し、パターン識別子Ｌ１〜Ｌ４それぞれにおけるＷｅｂサーバ２−１のリスク評価指標の合計値を、Ｗｅｂサーバ２−１のリスク評価指標として算出する。
【００６９】
なお、リスク分析部１６は、各装置についてそれぞれ得られたリスク評価指標同士を比較し、それらの大小関係を特定して得られたランク付け結果を、分析装置１と接続された任意の出力装置（図示せず）へ出力してもよい。
【００７０】
つぎに、実施形態１の分析装置１がリスク評価指標を算出する動作について、図１２に示すフローチャートを参照して説明する。
【００７１】
まず、取得部１１は、システム２内の各装置から当該装置の構成情報を取得する。
【００７２】
そして、図１２に示すステップ３１にて、取得部１１は、設定情報に基づいて、これらの装置間の通信接続関係と、各装置の設置場所を示す装置配置関係とを示す構成情報１２１を生成し、構成データベース１２へ書込む。
【００７３】
続いて、記憶パターン特定部１４は、システム２が有する機密情報に対して定められている運用ポリシーＯＰＥ１〜ＯＰＥ３を参照する。そして、ステップ３２にて、記憶パターン特定部１４は、ポリシー情報１３１内の運用ポリシーに対応する機密情報の種類を特定して配置情報１５１へ書込む。
【００７４】
また、ステップ３３にて、記憶パターン特定部１４は、ポリシー情報１３１内でこれらの機密情報と対応付けられている情報配置関係が示す装置、つまり、機密情報が配置される装置をそれぞれ特定する。
【００７５】
さらに、記憶パターン特定部１４は、機密情報が配置される装置に対して通信接続関係を有する装置すべてを構成情報１２１にて特定する。これにより、ステップ３４にて、記憶パターン特定部１４は、構成情報１２１とポリシー情報１３１とに基づいて、ポリシー情報１３１内の運用ポリシーＯＰＥ１〜ＯＰＥ３に従った場合にシステム２において起こり得る機密情報のすべての「記憶パターン」を特定する。
【００７６】
なお、本実施形態では、記憶パターン特定部１４は、特定した記憶パターンを各装置に対する情報配置フラグで表した形式で求め、各情報配置フラグを配置データベース１５内の配置情報１５１へ書込む。
【００７７】
そして、ステップ３５にて、発生確率算出部１４１は、ポリシー情報１３１内の機密情報の情報存在確率に基づいて、配置情報１５１へ書込まれた記憶パターンがシステム２において起こる発生確率を決定する。そして、発生確率算出部１４１は、決定した発生確率を、図１０に示した配置情報１５１へ書込む。
【００７８】
その後、ステップ３６にて、リスク分析部１６によって、ステップ３４で特定した機密情報の記憶パターンそれぞれにおけるリスク評価指標を、その記憶パターンが起こる発生確率に基づいて算出する。
【００７９】
以上で、実施形態１の分析装置１がリスク評価指標を算出する一連の動作が終了する。
【００８０】
以上説明したように、本発明の実施形態１によれば、運用管理面により奏する機密情報の保護に対する効果を、機密情報のある記憶パターンから別の記憶パターンへの状態遷移によって表現することで、システム的なセキュリティ対策（ファイアウォールでのパケットフィルタリングなど）による効果と、運用管理的な対策の効果を同時に考慮したリスク分析を行うことが可能となる。
【００８１】
すなわち、資産的価値の高い機密情報の取り扱いを定める運用ポリシーに基づいて、ある記憶パターンがどの位の確率で起こるかを決定することで、複雑な運用形態に対応して包括的にかつ適切にシステム２における機密情報の漏洩リスクを分析することができる。
（実施形態２）
つぎに、実施形態２の分析装置について説明する。
【００８２】
まず、実施形態２の分析装置の構成について説明する。
【００８３】
実施形態２の分析装置１Ａは、図２に示したポリシーデータベース１３に代えて、図１３に示す基準配置データベース１７１と遷移配置データベース１７３とを有する点で、実施形態１の分析装置１と異なる。
【００８４】
基準配置データベース１７１は、ある機密情報に対する全記憶パターンのうちからシステム２の基準状態としてあらかじめ定められた特定の記憶パターン（以下、「基準記憶パターン」という）を示す基準パターン情報１７２を記憶している。
【００８５】
以下では、図５に示した記憶パターンＬ１を基準記憶パターンとして決定した場合を例に挙げて説明する。この場合、基準パターン情報１７２は、図１４に示すデータ構造を有している。
【００８６】
また、遷移配置データベース１７３は、遷移パターン情報１７４を記憶している。
【００８７】
遷移パターン情報１７４とは、ある機密情報に対する基準記憶パターンから、その機密情報に対する残りの記憶パターン（以下、「遷移記憶パターン」という）それぞれへ遷移する遷移確率を示す情報である。
【００８８】
本実施形態では、図１５に示すように、遷移パターン情報１７４は、運用ポリシーを識別するための番号と、運用ポリシーと、その運用ポリシーに従ったときの機密情報に対する遷移記憶パターンと、その運用ポリシーに従ったときの機密情報に対する基準記憶パターンから遷移記憶パターンへ遷移する「遷移確率」とを対応付ける情報である。
【００８９】
なお、本実施形態では、遷移確率を、以下の式１〜４に示すような遷移行列を用いて表す。
【００９０】
【数１】
【００９１】
【数２】
【００９２】
【数３】
【００９３】
【数４】
【００９４】
上述した式１の右辺第１式において、１行目の成分Ｔ(1,0,0)→(1,0,0)およびＴ(1,0,0)→(1,1,0)は、ＰＣ２−３（要素識別子ｇ６）が暗号化ファイルのみを記憶している図５に示した記憶パターンＬ１が、ＰＣ２−３が暗号化ファイルおよび復号鍵を記憶している図６に示した記憶パターンＬ２へ遷移するかどうかを示す成分である。なお、１行目の２つの成分Ｔ(1,0,0)→(1,0,0)とＴ(1,0,0)→(1,1,0)との和は「１」である。
【００９５】
これらのうち１行１列成分Ｔ(1,0,0)→(1,0,0)は、ＰＣ２−３が暗号化ファイルのみを記憶している記憶パターンＬ１がそのまま維持されて記憶パターンＬ２へ遷移しない確率を示している。なお、式１は、記憶パターンＬ１から記憶パターンＬ２へ遷移しない確率が「０．５」としてあらかじめ設定されている例である。
【００９６】
また、１行２列成分Ｔ(1,0,0)→(1,1,0)は、ＰＣ２−３が復号鍵をＷｅｂサーバ２−１からダウンロードすることにより、配置状態Ｌ１から配置状態Ｌ２へ遷移する確率を示している。なお、式１は、記憶パターンＬ１から記憶パターンＬ２へ遷移する確率が「０．５」としてあらかじめ設定されている例である。
【００９７】
また、上述の式１の右辺第１式において、２行目の成分Ｔ(1,1,0)→(1,0,0)およびＴ(1,1,0)→(1,1,0)は、ＰＣ２−３が暗号化ファイルおよび復号鍵を記憶している記憶パターンＬ２が、ＰＣ２−３が暗号化ファイルのみを記憶している記憶パターンＬ１へ遷移するかどうかを示す成分である。
【００９８】
これらのうち２行１列成分Ｔ(1,1,0)→(1,0,0)は、ＰＣ２−３が暗号化ファイルおよび復号鍵を記憶している記憶パターンＬ２から、暗号化ファイルのみを記憶している記憶パターンＬ１へ遷移する確率を示している。なお、式１は、ファイル復号後にＰＣ２−３内から復号鍵が削除されて記憶パターンＬ２から記憶パターンＬ１へ遷移する確率が「０．２」としてあらかじめ設定されている例である。
【００９９】
また、２行２列成分Ｔ(1,1,0)→(1,1,0)は、ＰＣ２−３が暗号化ファイルおよび復号鍵を記憶している記憶パターンＬ２がそのまま維持されて記憶パターンＬ１へ遷移しない確率を示している。式１は、ファイル復号後にＰＣ２−３内から復号鍵が削除されて記憶パターンＬ２から記憶パターンＬ１へ遷移しない確率が「０．８」としてあらかじめ設定されている例である。
【０１００】
本実施形態では、発生確率算出部１４１は、上述の式１〜式４に示した機密情報の記憶パターンが相互に遷移する「遷移確率」に基づいて、機密情報の記憶パターンの発生確率を算出する。
【０１０１】
具体的には、式１〜式４の条件の下で、以下の式５および式６に示すような線型一次方程式を解くための演算を行うことにより、発生確率算出部１４１は、システム２内でそれぞれの記憶パターンが起こる発生確率を決定する。
【０１０２】
【数５】
【０１０３】
【数６】
【０１０４】
つぎに、上記構成を有する実施形態２の分析装置１Ａの動作について、図１６に示すフローチャートを参照して説明する。
【０１０５】
まず、分析装置１Ａの取得部１１は、システム２内の各装置から当該装置の設定情報を取得する。
【０１０６】
そして、図１６に示すステップ４１にて、取得部１１は、設定情報に基づいて、これらの装置間の通信接続関係と各装置の設置場所を示す装置配置関係とを示す構成情報１２１を生成して構成データベース１２へ書込む。
【０１０７】
続いて、ステップ４２にて、記憶パターン特定部１４は、遷移パターン情報１７４に基づいて、機密情報に対して定められている運用ポリシーＯＰＥ１〜ＯＰＥ３に対応する機密情報の種類を特定して配置情報１５１へ書込む。
【０１０８】
また、ステップ４３にて、記憶パターン特定部１４は、遷移パターン情報１７４内でこれらの機密情報と対応付けられている情報配置関係が示す装置、つまり、機密情報が配置される装置をそれぞれ特定する。
【０１０９】
さらに、記憶パターン特定部１４は、構成情報１２１を用いて、機密情報が配置される装置に対して通信接続関係を有する装置すべてを特定する。これにより、ステップ４４にて、記憶パターン特定部１４は、構成情報１２１と遷移パターン情報１７４とに基づいて、遷移パターン情報１７４内の運用ポリシーＯＰＥ１〜ＯＰＥ３に従った場合に基準遷移パターンからの遷移によって起こり得るすべての機密情報の記憶パターンを特定する。
【０１１０】
なお、本実施形態では、記憶パターン特定部１４は、特定した記憶パターンを各装置に対する情報配置フラグで表した形式で求め、各情報配置フラグを配置データベース１５内の配置情報１５１へ書込む。
【０１１１】
そして、ステップ４５にて、発生確率算出部１４１は、遷移パターン情報１７４内の記憶パターンの遷移確率に基づいて、配置情報１５１へ書込まれた記憶パターンがシステム２において起こる発生確率を決定する。そして、発生確率算出部１４１は、決定した発生確率を、図１０に示した配置情報１５１へ書込む。
【０１１２】
その後、ステップ４６にて、リスク分析部１６は、ステップ４４で特定した機密情報の記憶パターンそれぞれにおけるリスク評価指標を、その記憶パターンが起こる発生確率に基づいて算出する。例えば、リスク分析部１６は、この発生確率を用いて、図１１に示したリスク情報内のリスク想定値に対して重み付けすることにより得られた数値を、各装置に対する「リスク評価指標」として算出する。
【０１１３】
以上で、実施形態２の分析装置１Ａがリスク評価指標を算出する一連の動作が終了する。
【０１１４】
以上説明したように、実施形態２によれば、複数の記憶パターンの間で相互に遷移する遷移確率に基づいて、その記憶パターンの発生確率を決定し、リスク評価指標の値の変化を求める。
【０１１５】
これにより、システム２に対して定められている運用ポリシーに従った場合の記憶パターンの変化を、利用者がより直感的に理解しやすい形で示すことが可能となる。
（実施形態３）
つぎに、実施形態３の分析装置について説明する。
【０１１６】
実施形態３の分析装置１Ｂは、図１７に示す発生条件決定部１９１、到達確率算出部１９２、対策データベース１８１、対策状況決定部１８３を備える点で、実施形態１の分析装置１と異なる。
【０１１７】
対策データベース１８１は、セキュリティ対策情報１８２を記憶している。
【０１１８】
図１８に示すように、セキュリティ対策情報１８２は、システム２内において構成要素（設置場所や装置）に固有に付与された要素識別子と、当該構成要素に対して施されているセキュリティ対策の種類と、そのセキュリティ機能の「有効度」とを対応付ける情報である。
【０１１９】
ここで、「有効度」とは、ある構成要素（設置場所または装置）に施されたセキュリティ対策の強制力の程度を表す量、つまり、機密情報に対する不正なアクセスの防止に寄与する有利な効果の程度を示す評価指標のことを指す。
【０１２０】
例えば、ファイアウォールが有するパケットフィルタリング機能のように人手を介さずに機械的に実行されるセキュリティ対策は、一定して強い強制力を有する。これに対し、ノートＰＣの持出し制限のような人手による運用面のルールを定めることによるセキュリティ対策の強制力の強さにはばらつきがある。そのため、構成要素に施されたセキュリティ対策の種類に応じて、機密情報の漏洩に対するリスク評価指標は大きく変動すると考えられる。このような観点から、実施形態３では、リスク分析部１６は、有効度を考慮してリスク評価指標を算出する。
【０１２１】
そのために、まず、対策状況決定部１８３は、構成情報１２１とセキュリティ対策情報１８２とに基づいて、システム２内の構成要素（設置場所または装置）に対して実際に施されているセキュリティ対策と、そのセキュリティ対策による有効度とを特定する。そして、対策状況決定部１８３は、特定したセキュリティ対策と有効度とを到達確率算出部１９２へ出力する。
【０１２２】
発生条件決定部１９１は、ポリシー情報１３１に記述されている運用ポリシーに基づいて、システム２において想定される脅威発生条件を決定して到達確率算出部１９２へ出力する。
【０１２３】
ここで、「脅威発生条件」とは、保護対象となる資産的価値を有する機密情報に対する攻撃手順のことを指す。
【０１２４】
具体的には、本実施形態における脅威発生条件は、システム２に対する脅威が発生する際に必要となる機密情報の種類と、システム２の外部から当該機密情報に到達するまでの経路上に設けられた装置とを示す。
【０１２５】
本実施形態では、発生条件決定部１９１は、ポリシー情報１３１内の運用ポリシーが示す各装置の機密情報に対する動作を、脅威発生条件として決定する。これは、例えば、攻撃者は、暗号化ファイルの復号化を行うためにポリシー情報１３１内に記述された機密情報を入手する必要があり、この入手時の手順は運用ポリシーが示す機密情報に対する動作と一致するためである。
【０１２６】
到達確率算出部１９２は、発生条件決定部１９１から出力されてきた脅威発生条件に基づいて、機密情報と、外部からその機密情報に到達する経路上の装置とを特定する。
【０１２７】
そして、到達確率算出部１９２は、脅威発生条件を満たすときの配置データベース１５内の各記憶パターンにおいて各機密情報まで到達する「情報到達確率」を、論理演算（例えば、論理積ＡＮＤや論理和ＯＲ）を用いて算出する。そして、到達確率算出部１９２は、算出した情報到達確率をリスク分析部１６へ出力する。
【０１２８】
本実施形態では、到達確率算出部１９２は、発生条件決定部１９１からの脅威発生条件に基づいて特定した装置について、対策状況決定部１８３から出力されてきた有効度の値を「１」から減算した値を、システム２の外部からその装置まで到達できる「装置到達確率」として算出する。
【０１２９】
ただし、脅威発生条件を満たすために複数の機密情報を攻撃者が入手する必要があり、それらのうちの第１の機密情報に対する攻撃者からの経路の一部または全部と、第１の機密情報と異なる第２の機密情報に対する経路とが共通している場合、これらの経路上の共通部分に設けられている構成要素（装置）のセキュリティ対策（アクセス制御）は、第１の機密情報に対する攻撃と第２の機密情報に対する攻撃とのどちらか一方の攻撃に対してのみ有効となる。
【０１３０】
この場合、到達確率算出部１９２は、第１の機密情報に対する経路と第２の機密情報に対する経路との共通部分に設けられた構成要素（装置）に対する装置到達確率の値として、「１」を算出する。
【０１３１】
換言すれば、特定の機密情報に対する情報到達確率は、攻撃者がどの構成要素まで到達したかという「条件」（事前状況）に応じて異なる。そのため、到達確率算出部１９２が算出する「情報到達確率」は、所定の条件を満たした上で機密情報に到達できる「条件付きの確率」に相当し、特定の機密情報に対する情報到達確率と、その機密情報以外の別の機密情報に対する情報到達確率とは、互いに独立した関係には立たず互いに従属的な関係にある。
【０１３２】
到達確率算出部１９２は、各記憶パターンにおける到達確率に基づいて、ある脅威発生条件を満たすために必要となる全機密情報までの条件付きの「情報到達確率」を算出する。
【０１３３】
なお、ここでいう情報到達確率は、システム２の外部から機密情報へ至る経路上に設けられた構成要素のセキュリティ対策を攻撃者が突破することにより当該機密情報に到達されてしまう確率である。そのため、当該到達確率は、システム２に対する脅威が発生する「脅威発生確率」に相当する。
【０１３４】
また、実施形態３のリスク分析部１６は、到達確率算出部１９２が算出した情報到達確率と、その記憶パターンが発生する発生確率と、資産的価値との乗算値を、リスク評価指標として算出する。なお、機密情報のそれぞれが有する資産的価値の決定方法は任意でよい。
【０１３５】
つまり、実施形態３においては、「リスク評価指標」は、「ある記憶パターンにおける情報到達確率」×「その記憶パターンが起こる発生確率」×「資産的価値」で表される。
【０１３６】
以下、実施形態３において、分析装置１Ｂがリスク評価指標を算出する具体例について詳細に説明する。
【０１３７】
なお、以下では、図５に示した運用ポリシーＯＰＥ１、つまり、ＰＣ２−３が復号鍵をインポートする場合にパスワード認証を行うことが定められている場合を例に挙げて説明する。また、以下では、暗号化ファイルをａ、Ｗｅｂサーバ２−１上にある復号鍵をｂ、ＰＣ２−３内にある復号鍵をｂ’、インポートパスワードをｃと表記する。
【０１３８】
この場合、記憶パターン特定部１４は、ポリシー情報１３１に基づいて、保護対象が暗号化ファイルと復号鍵とインポートパスワードとであることを特定する。そして、記憶パターン特定部１４は、構成情報１２１に基づいて、機密情報が配置される記憶パターンとして記憶パターンＬ１およびＬ２を特定する。そして、記憶パターン特定部１４は、特定した記憶パターンを配置データベース１５内の配置情報１５１へ書込む。
【０１３９】
また、発生確率算出部１４１は、配置情報１５１内の記憶パターンとポリシー情報１３１内の情報存在確率とに基づいて、記憶パターンＬ１の発生確率として発生確率Ｐ１（Ｌ１）=０．２を算出し、記憶パターンＬ２の発生確率として発生確率Ｐ１（Ｌ２）=０．８を算出する。そして、発生確率算出部１４１は、発生確率を配置データベース１５へ書込む。これは、運用ポリシーＯＰＥ１においては、ＰＣ２−３が暗号化ファイルａの復号化を終了した後の復号鍵ｂ’の取り扱いについては定められていないため、復号鍵ｂ’の記憶パターンとしては、記憶パターンＬ２が起こる発生確率が高いことを意味する。
【０１４０】
その後、対策状況決定部１８３は、セキュリティ対策情報１８２に記述されているセキュリティ対策のうちから、システム２内の構成要素（設置場所または装置）に実際に施されているセキュリティ対策と、そのセキュリティ対策の有効度とを特定する。
【０１４１】
例えば、対策状況決定部１８３は、図１８に示したセキュリティ対策情報１８２のうちから、セキュリティ対策の種類として、ファイアウォール２−４で外部からの受信パケットを制限する対策と、Ｗｅｂサーバ２−１へのログイン時にパスワード認証を行う対策と、ＰＣ２−３へのログオンパスワード（文字数制限なし）を設定する対策とを特定する。
【０１４２】
さらに、対策状況決定部１８３は、これらのセキュリティ対策のそれぞれと対応付けられた有効度を特定して到達確率算出部１９２へ出力する。なお、図１８の例では、ファイアウォール２−４による受信パケット制限の有効度は「０．９」であり、Ｗｅｂサーバ２−１によるログイン時のパスワード認証の有効度は「０．８５」であり、ＰＣ２−３によるログオンパスワード（文字数制限なし）設定の有効度は「０．７」である。
【０１４３】
次に、発生条件決定部１９１は、ポリシー情報１３１に記述されている運用ポリシーに基づいて、システム２において想定される脅威発生条件を決定して到達確率算出部１９２へ出力する。
【０１４４】
この説明例では、攻撃者が、暗号化ファイルａ、復号鍵ｂ、インポートパスワードを同時に入手できた場合に限り、ＰＣ２−３内に存在する暗号化ファイルが不正に復号されてしまうという脅威が発生すると考えられる。そのため、発生条件決定部１９１は、ＰＣ２−３内の暗号化ファイルａへ到達できることと、ＰＣ２−３内の復号鍵ｂ’またはＷｅｂサーバ２−１内の復号鍵ｂへ到達できることと、Ｗｅｂサーバ２−１内のインポートパスワードｃへ到達できることとを、脅威発生条件として決定する。
【０１４５】
なお、記憶パターンＬ２に対する脅威発生条件は、以下の式７で表すことができる。なお、式７における記号「∧」は論理積を表し、記号「∨」は論理和を表す。
【０１４６】
【数７】
【０１４７】
また、記憶パターンＬ１に対する脅威発生条件は、以下の式８で表わすことができる。
【０１４８】
【数８】
【０１４９】
また、脅威発生条件は、機密情報に対する攻撃手順を示す役割を果たす。つまり、記憶パターンＬ１の例では、攻撃者は、まず暗号化ファイルａを入手してから、つぎに復号鍵ｂを入手し、その後にインポートパスワードｃを入手するという手順で脅威を発生させることに相当する。また、記憶パターンＬ２の例では、攻撃者は、まず暗号化ファイルａを入手してから、つぎに復号鍵ｂ’を入手し、その後にインポートパスワードｃを入手するという手順で脅威を発生させることに相当する。
【０１５０】
次に、到達確率算出部１９２は、記憶パターンＬ１において攻撃者が各機密情報まで到達できる情報到達確率と、記憶パターンＬ２において攻撃者が各機密情報まで到達できる情報到達確率とを求める。
【０１５１】
なお、本実施形態では、機密情報への経路上に存在する構成要素が当該機密情報以外の機密情報へ到達するときにすでに通過したものである場合、その構成要素の有効度は「０」（すなわち、装置到達確率は１）として、当該機密情報への情報到達確率を算出する。
【０１５２】
これは、ある構成要素（例えば、ファイアウォール２−４）の下位にそれぞれ並列して存在する複数の装置への装置到達確率については、一度、上位の構成要素（ファイアウォール２−４）に施されたアクセス制御を突破してシステム２の内部に侵入できれば、それ以後、その構成要素の下位の装置まで到達できてしまうためである。
【０１５３】
そのため、本実施形態では、脅威発生条件として、各機密情報への攻撃が行われる順序や手順も考慮した上で、リスク評価指標を算出する。このように複数の機密情報までの情報到達確率を算出することで、攻撃発生の手順まで含めてモデル化することが可能である。
【０１５４】
その後、到達確率算出部１９２は、システム２の外部からシステム２内の装置それぞれに到達する装置到達確率に基づいて、条件付きの情報到達確率を算出する。
【０１５５】
まず、外部の攻撃者からＰＣ２−３内の暗号化ファイルａまでの経路上に存在するセキュリティ対策（アクセス制御）が施された構成要素（装置）は、ファイアウォール２−４、ＰＣ２−３である。
【０１５６】
対策状況決定部１８３は、ファイアウォール２−４におけるセキュリティ対策の有効度は「０．９」であり、ＰＣ２−３におけるセキュリティ対策の有効度は「０．７」である。
【０１５７】
そのため、到達確率算出部１９２は、「１」から各有効度を減算した値を、装置到達確率として算出する。つまり、到達確率算出部１９２は、ファイアウォール２−４に対する装置到達確率として「０．１」（＝１−０．９）を算出し、ＰＣ２−３に対する装置到達確率として「０．３」（＝１−０．７）を算出する。
【０１５８】
そして、到達確率算出部１９２は、外部から暗号化ファイルａまでの情報到達確率として、「０．１×０．３」を算出する。
【０１５９】
つぎに、到達確率算出部１９２は、外部から復号鍵ｂ’までの情報到達確率を算出する。なお、外部から復号鍵ｂ’までの経路上に存在する構成要素は、ファイアウォール２−４およびＰＣ２−３である。
【０１６０】
ここで、セキュリティ対策情報１８２が示す有効度を「１」から減算した場合、ファイアウォール２−４に対する到達確率は「０．１」であり、ＰＣ２−３に対する到達確率は「０．３」である。
【０１６１】
しかし、上述した暗号化ファイルａまでの情報到達確率を算出する際、すでにこれらの装置に対する装置到達確率の値「０．１」、「０．３」を用いている。そのため、到達確率算出部１９２は、復号鍵ｂ’までの情報到達確率を算出する場合、両構成要素（ファイアウォール２−４およびＰＣ２−３）までの各装置到達確率として、「１」をそれぞれ算出する。
【０１６２】
これは、外部から暗号化ファイルａまで到達する際、ファイアウォール２−４、ＰＣ２−３それぞれのアクセス制御はすでに突破されているという観点からである。すなわち、外部の攻撃者がＰＣ２−３内の暗号化ファイルａへ到達可能である場合、その攻撃者は同じ構成要素（ＰＣ２−３）に存在する機密情報（復号鍵ｂ’）へ到達することが可能であり、暗号化ファイルａへの経路と復号鍵ｂ’への経路との共通部分にあるアクセス制御機能は意味をなさないためである。
【０１６３】
よって、外部から暗号化ファイルａまですでに到達されているという状況下では、外部から復号鍵ｂ’までの到達確率は、ファイアウォール２−４までの装置到達確率「１」とＰＣ２−３までの装置到達確率「１」との乗算値「１×１」となる。
【０１６４】
つぎに、到達確率算出部１９２は、外部からＷｅｂサーバ２−１上の復号鍵ｂまでの情報到達確率を算出する。なお、外部から復号鍵ｂまでの経路上に存在する構成要素（装置）は、ファイアウォール２−４およびＷｅｂサーバ２−１である。
【０１６５】
ここで、セキュリティ対策情報１８２が示す有効度を「１」から減算した場合、ファイアウォール２−４に対する装置到達確率は「０．１」である。しかし、上述した暗号化ファイルａまたは復号鍵ｂ’までの情報到達確率を算出する際、ファイアウォール２−４に対する装置到達確率「０．１」をすでに用いている。そのため、到達確率算出部１９２は、復号鍵ｂまでの情報到達確率を算出する場合、ファイアウォール２−４までの装置到達確率として「１」を算出する。
【０１６６】
また、対策状況決定部１８３は、Ｗｅｂサーバ２−１におけるセキュリティ対策の有効度は「０．８５」として決定する。そのため、到達確率算出部１９２は、「１」から当該有効度「０．８５」を減算した値「０．１５」を、Ｗｅｂサーバ２−１に対する装置到達確率として算出する。
【０１６７】
そして、到達確率算出部１９２は、外部から復号鍵ｂまでの情報到達確率として、「１×０．１５」を算出する。
【０１６８】
さらに、到達確率算出部１９２は、外部からインポートパスワードｃまでの情報到達確率を算出する。
【０１６９】
なお、外部からインポートパスワードｃまでの経路上に存在する構成要素は、ファイアウォール２−４およびＷｅｂサーバ２−１である。インポートパスワードｃへの経路における構成要素は、Ｗｅｂサーバ２−１上の復号鍵ｂへの経路における構成要素と同じである。そのため、ｂまで到達された場合、インポートパスワードｃに対する到達確率を算出するときの各構成要素への装置到達確率として、それぞれ「１」を用いる必要がある。よって、外部から復号鍵ｂまではすでに到達されているという状況下においては、到達確率算出部１９２は、外部からインポートパスワードｃまでの情報到達確率を「１×１」に算出する。
【０１７０】
一方、復号鍵を入手するために、Ｗｅｂサーバ２−１内の復号鍵ｂではなく、ＰＣ２−３内の復号鍵ｂ’を入手するという攻撃経路が利用された場合、すでに突破された構成要素はファイアウォール２−４のみであり、Ｗｅｂサーバ２−１におけるアクセス制御は有効なままである。
【０１７１】
この場合、到達確率算出部１９２は、ファイアウォール２−４への装置到達確率として「1」を算出するとともに、ファイアウォール２−４からＷｅｂサーバ２−１への装置到達確率として、セキュリティ対策情報１８２内の有効度「０．８５」を「１」から減算した値「０．１５」を算出する。
【０１７２】
これは、インポートパスワードｃまでの到達確率は、復号鍵に対する到達経路として、ファイアウォール２−４からＰＣ２−３へ到達した場合、またはファイアウォール２−４からＷｅｂサーバ２−１へ到達した場合に応じて変化するため、両方の場合を考慮する必要があるからである。よって、外部からＰＣ２−３まではすでに到達されているが、Ｗｅｂサーバ２−１までは到達されていないという状況下においては、到達確率算出部１９２は、外部からインポートパスワードｃまでの情報到達確率として「１×０．１５」を算出する。
【０１７３】
以上をまとめると、この説明例では、到達確率算出部１９２は、それぞれの機密情報までの条件付きの情報到達確率として、以下の式９に示す値を算出する。
【０１７４】
【数９】
【０１７５】
なお、式９のなかのＰ（ｂ’｜ａ）は、暗号化ファイルａまで到達されているという条件の下で復号鍵ｂ’まで到達できるという条件付きの情報到達確率を表す。
【０１７６】
続いて、リスク分析部１６は、記憶パターンＬ１、Ｌ２において脅威発生条件が満たされる確率（リスク評価指標）を、到達確率算出部１９２が算出した到達確率に対する論理演算（論理積ＡＮＤ、論理和ＯＲ）により算出する。本実施例では、それぞれの記憶パターンＬ１、Ｌ２における各リスク評価指標Ｒ（Ｌ１）、Ｒ（Ｌ２）は、以下の式１０に示す値となる。
【０１７７】
【数１０】
【０１７８】
以上より、運用ポリシーＯＰＥ１に対して脅威が発生するリスク評価指標Ｒ１は、以下の式１１に示す値となる。
【０１７９】
【数１１】
【０１８０】
つぎに、上述した運用ポリシーＯＰＥ１に加えて、「復号鍵をインポートした場合、その復号鍵を直ちに削除する」という運用ポリシーＯＰＥ２が定められている場合のリスク評価指標の算出方法について説明する。
【０１８１】
この場合、当該運用ポリシーＯＰＥ２がシステム２において遵守されていれば、復号鍵ｂ’がＰＣ２−３内に存在することはない。なお、以下では、運用ポリシーＯＰＥ２の有効度が「０．９」である場合を例に挙げて説明する。
【０１８２】
つまり、運用ポリシーＯＰＥ２に対する脅威発生のリスク評価指標Ｒ２を算出する場合、記憶パターンＬ１が起こる発生確率を、式１１中のＰ１（Ｌ１）に代えてＰ２（Ｌ１）＝０．９と変更すればよい。また、この場合、記憶パターンＬ２が起こる発生確率を、式１１中のＰ１（Ｌ２）に代えてＰ２（Ｌ２）＝０．１と変更すればよい。
【０１８３】
つまり、運用ポリシーＯＰＥ２に変更した後の脅威発生のリスク評価指標Ｒ２は、以下の式１２に示すように変化する。
【０１８４】
【数１２】
【０１８５】
なお、式１２に示したＲ（Ｌ１）およびＲ（Ｌ２）それぞれの値としては、リスク分析部１６が算出したリスク評価指標を用いればよい。これにより、運用ポリシーＯＰＥ１に加えて運用ポリシーＯＰＥ２を新たに定めたことにより記憶パターンＬ１、Ｌ２が起こる発生確率が変化した場合でも、それに伴って変化したリスク評価指標の値を算出することが可能である。
【０１８６】
つぎに、実施形態３の分析装置１Ｂがリスク評価指標を算出する動作について、図１９に示すフローチャートを参照して説明する。
【０１８７】
まず、分析装置１Ｂの取得部１１は、システム２内の各装置から当該装置の設定情報を取得する。そして、図１９に示すステップ５１にて、取得部１１は、設定情報に基づいて、これらの装置間の通信接続関係と、各装置の設置場所とを示す構成情報１２１を生成し、構成データベース１２へ書込む。
【０１８８】
続いて、記憶パターン特定部１４は、機密情報に対して定められている運用ポリシーＯＰＥ１〜ＯＰＥ３を参照する。そして、ステップ５２にて、記憶パターン特定部１４は、ポリシー情報１３１内の運用ポリシーに対応する機密情報の種類を特定して配置情報１５１へ書込む。
【０１８９】
また、ステップ５３にて、記憶パターン特定部１４は、ポリシー情報１３１内でこれらの機密情報と対応付けられている情報配置関係が示す装置、つまり、機密情報が配置される装置をそれぞれ特定する。
【０１９０】
さらに、記憶パターン特定部１４は、構成情報１２１を用いて、機密情報が配置される装置に対して通信接続関係を有する装置すべてを特定する。これにより、ステップ５４にて、記憶パターン特定部１４は、構成情報１２１とポリシー情報１３１とに基づいて、ポリシー情報１３１内の運用ポリシーＯＰＥ１〜ＯＰＥ３に従った場合にシステム２において起こり得る機密情報のすべての記憶パターンを特定する。
【０１９１】
そして、ステップ５５にて、発生確率算出部１４１は、ポリシー情報１３１内の機密情報の情報存在確率に基づいて、配置情報１５１へ書込まれた記憶パターンがシステム２において起こる発生確率を算出する。
【０１９２】
続いて、ステップ５６にて、対策状況決定部１８３は、セキュリティ対策情報１８２に基づいて、システム２内の各構成要素に実際に施されているセキュリティ対策とその有効度とを特定して到達確率算出部１９２へ出力する。
【０１９３】
続いて、ステップ５７にて、発生条件決定部１９１は、ポリシー情報１３１に記述されている運用ポリシーに基づいて、システム２において想定される脅威発生条件を決定して到達確率算出部１９２へ出力する。
【０１９４】
すると、ステップ５８にて、到達確率算出部１９２は、攻撃者から特定の機密情報までの経路上に存在するセキュリティ対策が施された構成要素を特定する。
【０１９５】
続いて、ステップ５９にて、到達確率算出部１９２は、その構成要素が、特定の機密情報以外の他の機密情報への経路上にも存在するかどうかを判別する。
【０１９６】
この判別の結果、その構成要素が他の機密情報への経路上には存在しないと判別した場合、ステップ５１０にて、到達確率算出部１９２は、対策状況決定部１８３から出力されてきた有効度を、その構成要素の有効度として算出する。
【０１９７】
一方、ステップ５１１にて、その構成要素が他の機密情報への経路上にも存在すると判別した場合、到達確率算出部１９２は、その構成要素の有効度として「０」を算出する。
【０１９８】
ステップ５１２にて、攻撃者と機密情報との経路上に存在するすべての構成要素について有効度の算出が完了したと判別するまで、到達確率算出部１９２は、上述したステップ５８〜ステップ５１１の処理を繰り返す。
【０１９９】
その後、到達確率算出部１９２は、機密情報への経路上に存在する構成要素それぞれの有効度に基づいて、当該構成要素までの装置到達確率を算出する。
【０２００】
さらに、ステップ５１３にて、到達確率算出部１９２は、それぞれの構成要素の装置到達確率に対する論理演算（論理積ＡＮＤ、論理和ＯＲ）により、脅威発生条件を満たすために必要となるすべての機密情報に対する条件付きの情報到達確率を算出する。
【０２０１】
そして、ステップ５１４にて、リスク分析部１６は、この情報到達確率と、配置情報１５１内の記憶パターンが起こる発生確率とを乗算することで、システム２の運用ポリシーに対して脅威が発生するリスク評価指標を算出する。なお、リスク分析部１６は、情報到達確率と発生確率との乗算値に、さらに機密情報の資産的価値を乗算した値を、リスク評価指標として算出してもよい。
【０２０２】
以上で、実施形態３の分析装置１Ｂがリスク評価指標を算出するときの一連の動作が終了する。
【０２０３】
以上説明したように、実施形態３によれば、ある記憶パターンにおける一定のリスク評価指標とその記憶パターンが起こる確率との期待値を用いて、リスク評価指標を算出する。
【０２０４】
これにより、システム２の運用状況によって流動的に変化するセキュリティリスクを評価することが可能となる。
【０２０５】
また、実施形態３によれば、攻撃者が機密情報に到達するまでの攻撃経路を考慮して、脅威が発生する条件付きの到達確率を算出することで、独立事象でない従属的に発生する事象についてのリスク評価指標を適切に取り扱うことができる。
【０２０６】
なお、本発明の要旨を逸脱しない範囲で各種の変形が可能である。
【０２０７】
取得部１１の機能は、システム２内の各装置の構成を検査するための一般的な検査・管理ツールを用いて実現するようにしてもよい。
【０２０８】
また、取得部１１は、検査・管理ツールなどを用いて自動的に取得できない情報については、分析を行う利用者から当該情報の入力を受け付けるようにしてもよい。
【０２０９】
例えば、取得部１１は、通信接続関係を示す設定情報を検査・管理ツールを用いて取得可能であり、装置配置関係を示す情報を検査・管理ツールを用いて取得できない場合、通信接続関係を示す設定情報を検査・管理ツールを用いて自動的に取得するとともに、装置配置関係を示す設定情報の入力を利用者から受付けるようにしてもよい。
【０２１０】
また、上述した実施形態では、想定する脅威として「情報が外部の攻撃者に読まれること（情報漏洩）」を例に挙げ、脅威発生条件として「外部の攻撃者が暗号化ファイルを復号できること」を例に挙げて説明した。しかしながら、本発明の分析装置１Ｂは、機密情報の改竄や機密情報に対するコンピュータウイルスの感染などに代表されるセキュリティに対する脅威となる任意の事象を取り扱うことが可能である。この場合、保護対象となる機密情報や脅威発生条件を状況に応じて変更すればよい。
【０２１１】
なお、本発明においては、分析装置１内の処理は上述の専用のハードウェアにより実現されるもの以外に、その機能を実現するためのプログラムを分析装置１にて読取可能な記録媒体に記録し、この記録媒体に記録されたプログラムを分析装置１に読み込ませ、実行するものであってもよい。分析装置１にて読取可能な記録媒体とは、フロッピーディスク（登録商標）、光磁気ディスク、ＤＶＤ、ＣＤなどの移設可能な記録媒体の他、分析装置１に内蔵されたＨＤＤ等を指す。この記録媒体に記録されたプログラムは、例えば、分析装置１が有する記憶パターン特定部１４、発生確率算出部１４１およびリスク分析部１６にて読み込まれ、記憶パターン特定部１４、発生確率算出部１４１およびリスク分析部１６の制御によって、上述したものと同様の処理が行われる。
【０２１２】
ここで、分析装置１が有する記憶パターン特定部１４、発生確率算出部１４１およびリスク分析部１６は、プログラムが記録された記録媒体から読み込まれたプログラムを実行するコンピュータとして動作するものである。
【０２１３】
以上、実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明の要旨を逸脱しない範囲で当業者が理解し得る各種の変形が可能である。
【符号の説明】
【０２１４】
１、１Ａ、１Ｂ 分析装置
１１ 取得部
１２ 構成データベース
１３ ポリシーデータベース
１４ 記憶パターン特定部
１４１ 発生確率算出部
１５ 配置データベース
１６ リスク分析部
１７１ 基準配置データベース
１７２ 基準パターン情報
１７３ 遷移配置データベース
１７４ 遷移パターン情報
１８１ 対策データベース
１８２ セキュリティ対策情報
１８３ 対策状況決定部
１９１ 発生条件決定部
１９２ 到達確率算出部
２ システム
２−１、２−２ Ｗｅｂサーバ
２−３ ＰＣ
２−４ ファイアウォール
【技術分野】
【０００１】
本発明は、分析装置、分析方法およびプログラムに関する。
【背景技術】
【０００２】
近年、インターネット技術の発展に伴い、企業の内部情報や顧客の個人情報などに代表される機密情報の資産的価値が飛躍的に向上すると共に、機密情報の漏洩事故が多発している。これらの事故は、実に様々な要因によって引き起こされる。
【０００３】
例えば、ＯＳ（Operating System）やソフトウェアの脆弱性を利用した外部からの攻撃やマルウェア（不正ソフトウェア）感染によるものや、ファイル共有ソフトなどを通じて重要なデータが流出することもある。特に多いのが、機密情報を記憶しているノートＰＣ（Personal Computer）やＵＳＢ（Universal Serial Bus）メモリなどの外部記憶装置の盗難・紛失によって内部から機密情報が漏洩するケースである。
【０００４】
このように、種々の要因が複雑に関与しあって引き起こされるセキュリティ事故の脅威から機密情報を守るためには、その機密情報が存在する情報システム全体において、どのような効果を発揮するセキュリティ対策が講じられていて、どの位のリスクが存在するかを的確に分析することで、そのシステムの状態を正しく把握する必要がある。
【０００５】
この種の一般的な技術として、特許文献１では、分析対象となるシステムの設定状態を収集し、ネットワーク上のデータの流れ（受け渡し）を明らかにする技術が開示されている。この文献に記載されたシステムでは、あらかじめ定義した不正なデータの流れが発生するかどうかを、アクセス権の設定状態によって判別している。
【０００６】
また、この種の他の一般的な技術として、特許文献２では、検査対象システムにおいて脆弱性が存在する機器同士の繋がりから、不正侵入されるおそれのあるルートを探索するセキュリティ管理システムが開示されている。同文献に記載された技術では、機器に存在する脆弱性によって検査対象システムのどこまで侵入できるかを「侵入深度」という量で測り、分析対象となるシステムの危険度を評価している。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００５−１９６７２８号公報
【特許文献２】特開２００８−２５７５７７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
上記のように、システムにおいては、導入されているセキュリティ対策の有効度に応じて、保護対象となる機密情報に対するリスクの大きさを適切に把握することが重要である。このような分析を漏れや重複がないように網羅的に行うためには、セキュリティ製品の機能だけではなく、どのような運用ポリシーや管理ルールが策定されているかについても考慮する必要がある。
【０００９】
例えば、機密情報を有する機器に対して、ネットワークを経由した外部からの攻撃に対しては強固なセキュリティ対策が講じられていても、その機器自体が、誰でも出入り自由な場所に置かれていては、そこに保存された機密情報が外部に流出してしまうリスクは非常に高い。
【００１０】
また、機密情報を守るためには単にセキュリティ効果の高い機器を導入するだけでなく、どのようなセキュリティポリシーに基づいてシステムの運用管理を行うかが非常に重要である。
【００１１】
しかし、特許文献１に開示された技術においては、ネットワーク経由の攻撃に対する各システム構成機器の設定検証を行っているものの、セキュリティポリシーの策定などの運用管理的なセキュリティ対策の効果などについては考慮されていない。
【００１２】
また、特許文献２に開示された技術においては、システムへの物理的な侵入経路に加え、運用管理的な脆弱性についても扱っているが、ごく一部の限定されたものだけである。
【００１３】
また、この技術においては、脆弱性が存在するという単一の原因だけではなく、システムを構成する機器の設定状態や運用形態などの様々な条件が重なることで発生する脅威については取り扱うことができない。
【００１４】
例えば、機密情報が強固なセキュリティ対策が施されたデータベース上に保管されているが、その機密情報を外部記憶媒体に保存して持ち出すことが許可されている、という状況について考察する。
【００１５】
すなわち、機密情報は、データベース上、又は、外部記憶媒体上に保存されているという複数の状態が考えられ、そのどちらに存在するかによって、機密情報の漏洩リスクは変化する。また、このような場合、外部記憶媒体の紛失などによる情報漏洩事故に対する抑止として、機密情報を外部記憶媒体に保存して持ち出す際には、携行品管理システムに登録しておき上司の承認を得る、といった機密情報の取り扱いに関する運用ポリシーを定めることが多い。
【００１６】
しかし、このような運用管理的なセキュリティ対策による効果は、ファイアウォールによるパケットフィルタリングなどと比べると、曖昧で不確実なものであり、ルール自体がきちんと守られていないこともある。特許文献２に開示された技術では、上記のような複雑な状況には対応することができない。
【００１７】
また、侵入深度という量でセキュリティリスクを評価しているが、これは単に脆弱性を持つ機器同士の接続状態のみから、システムのどこまで侵入可能であるかを分析するもので、分析対象のシステムにおける状態変化などを考慮したリスクを適切に評価することはできない。
【００１８】
本発明は、上述した課題を解決する分析装置、分析方法およびプログラムを提供することを目的とする。
【課題を解決するための手段】
【００１９】
上記課題を解決するために、本発明の分析装置は、情報を記憶する複数の装置から構成されたシステムと接続された分析装置であって、前記複数の装置の間の通信接続関係および該装置の設置場所を示す構成情報と、前記記憶された情報に対する前記装置の動作を示す運用ポリシーとに基づいて、前記情報が前記装置に記憶される記憶パターンを特定する記憶パターン特定部と、前記特定した記憶パターンに基づいて、前記情報が前記システム外へ漏洩するリスクの程度を示すリスク評価指標を算出するリスク分析部とを有する。
【００２０】
上記課題を解決するために、本発明の分析方法は、情報を記憶する複数の装置から構成されたシステムの分析方法であって、前記複数の装置の間の通信接続関係および該装置の設置場所を示す構成情報と、前記記憶された情報に対する前記装置の動作を示す運用ポリシーとに基づいて、前記情報が前記装置に記憶される記憶パターンを特定する記憶パターン特定処理と、前記特定した記憶パターンに基づいて、前記情報が前記システム外へ漏洩するリスクの程度を示すリスク評価指標を算出するリスク分析処理とを有する。
【００２１】
また、コンピュータに実行させるプログラムであって、情報を記憶する複数の装置から構成されたシステムと接続された分析装置に、前記複数の装置の間の通信接続関係および該装置の設置場所を示す構成情報と、前記記憶された情報に対する前記装置の動作を示す運用ポリシーとに基づいて、前記情報が前記装置に記憶される記憶パターンを特定する記憶パターン特定手順と、前記特定した記憶パターンに基づいて、前記情報が前記システム外へ漏洩するリスクの程度を示すリスク評価指標を算出するリスク分析手順とを実行させる。
【発明の効果】
【００２２】
本発明によれば、情報が漏洩するリスクを、包括的にかつ適切に評価することができる。
【図面の簡単な説明】
【００２３】
【図１】本発明の実施形態１に従った分析装置と、分析対象となるシステムとの接続形態を示す図である。
【図２】分析対象のシステムにおける配置状態および通信接続状態の一例を示す図である。
【図３】実施形態１の分析装置の構成を示す図である。
【図４】構成情報のデータ構造の一例を示す図である。
【図５】ポリシー情報のデータ構造の一例を示す図である。
【図６】分析対象のシステムにおける機密情報の記憶パターンの第１の例を示す図である。
【図７】分析対象のシステムにおける機密情報の記憶パターンの第２の例を示す図である。
【図８】分析対象のシステムにおける機密情報の記憶パターンの第３の例を示す図である。
【図９】分析対象のシステムにおける機密情報の記憶パターンの第４の例を示す図である。
【図１０】配置情報のデータ構造の一例を示す図である。
【図１１】リスク情報のデータ構造の一例を示す図である。
【図１２】実施形態１の分析装置がリスク評価指標を算出する動作を示すフローチャート図である。
【図１３】実施形態２の分析装置の構成を示す図である。
【図１４】基準パターン情報のデータ構造の一例を示す図である。
【図１５】遷移パターン情報のデータ構造の一例を示す図である。
【図１６】実施形態２の分析装置がリスク評価指標を算出する動作を示すフローチャート図である。
【図１７】実施形態３の分析装置の構成を示す図である。
【図１８】セキュリティ対策情報のデータ構造の一例を示す図である。
【図１９】実施形態３の分析装置がリスク評価指標を算出する動作を示すフローチャート図である。
【発明を実施するための形態】
【００２４】
（実施形態１）
以下、本発明の実施形態１に従った分析装置（分析方法およびプログラムを含む）について説明する。
【００２５】
図１に示すように、実施形態１の分析装置１は、当該分析装置１によるセキュリティリスクの分析対象となるシステム２と接続されている。
【００２６】
システム２は、複数の「装置」から構成される任意のシステムでよい。この装置の例としては、クライアントＰＣ、ファイアウォール、侵入検知装置（ＩＤＳ（Intrusion Detection System））、サーバ機器などが挙げられる。本実施形態では、システム２に設けられた「装置」が、Ｗｅｂサーバ２−１、２−２と、ＰＣ２−３と、ファイアウォール２−４とである場合を例に挙げて説明する。
【００２７】
また、Ｗｅｂサーバ２−１、２−２、ＰＣ２−３、ファイアウォール２−４が、図２に破線でそれぞれ示す拠点やサーバ室などの任意の場所に物理的に配置されている場合を例に挙げて説明する。
【００２８】
本発明の分析装置１は、漏洩防止からの保護対象となる任意の「情報」（例えば、データファイルなど）がこれらの装置に記憶されている記憶パターンや、第三者の出入りを防止する当該装置の設置場所に設けられたセキュリティゲートなどの物理的な侵入防止装置なども考慮して、機密情報が漏洩するリスクを分析することが可能である。
【００２９】
また、分析装置１は、外部からシステム２内部への攻撃に対する情報の漏洩リスクと、システム２内部から外部への「情報」の漏洩リスクとのどちらも分析することが可能である。以下では、外部からの通信を介した攻撃に対する、機密情報（「情報」）の漏洩リスクを分析する場合を例に挙げて説明する。
【００３０】
つぎに、図１に示した分析装置１の構成について、図３を参照して説明する。
【００３１】
図３に示すように、分析装置１は、取得部１１と、構成データベース１２と、ポリシーデータベース１３と、記憶パターン特定部１４と、発生確率算出部１４１と、配置データベース１５と、リスク分析部１６とを有する。
【００３２】
取得部１１は、システム２内の各装置（Ｗｅｂサーバ２−１、２−２、ＰＣ２−３、ファイアウォール２−４）と通信を行うことにより当該装置それぞれに付随する「設定情報」を取得する。
【００３３】
この設定情報は、各装置が接続されている他の装置を示す情報、その装置の設置場所を示す情報のことを指す。設定情報の具体例としては、システム２のネットワークトポロジーに関する情報、各装置の物理的な設置場所に関する情報などが挙げられる。
【００３４】
そして、取得部１１は、設定情報に基づいて、これらの装置間の「通信接続関係」と、各装置の設置場所である「装置配置関係」とを示す構成情報を生成する。
【００３５】
ここで、「通信接続関係」とは、ファイアウォールやＩＤＳなどのようにシステム２内で各装置間の通信接続を制御する通信制御装置と、各装置との接続関係のことを指す。
【００３６】
また、「装置配置関係」とは、システム２が具備する各装置と、これらの装置の設置場所または当該設置場所に設けられたセキュリティゲートのような第三者の出入りを制御する装置との関係のことを指す。
【００３７】
本実施形態では、図４に示すように、取得部１１は、システム２の構成要素（設置場所や装置）と、この構成要素を固有に識別するための要素識別子と、この構成要素に付随する装置配置関係と、この構成要素に付随する通信接続関係とを対応付ける情報を、「構成情報１２１」として生成する。
【００３８】
そして、取得部１１は、生成した構成情報１２１を構成データベース１２へ書込む。
【００３９】
図２に示した例では、Ｗｅｂサーバ２−１、２−２やＰＣ２−３は、ファイアウォール２−４と通信可能に接続された通信接続関係を有する。そのため、図４に示した構成情報１２１において、Ｗｅｂサーバ２−１、２−２、ＰＣ２−３のそれぞれは、ファイアウォール２−４と対応付けて記憶されている。
【００４０】
また、図２に示した例では、ＰＣ２−３は、拠点のセキュリティゲートに設けられた装置配置関係を有する。そのため、構成情報１２１においては、ＰＣ２−３（要素識別子ｇ６）と、拠点のセキュリティゲート（要素識別子ｇ１）とが対応付けて記憶されている。
【００４１】
ポリシーデータベース１３は、ポリシー情報１３１を記憶している。
【００４２】
図５に示すように、「ポリシー情報１３１」は、保護対象となる機密情報に対してシステム２で定められている「運用ポリシー」と、機密情報と、運用ポリシーにより機密情報が配置されることが許可されている構成要素を示す「情報配置関係」と、その運用ポリシーに従った場合に当該構成要素に当該機密情報が配置されている「情報存在確率」とを対応付ける情報である。なお、本実施形態では、ポリシー情報１３１が、あらかじめ設定された情報である場合を例に挙げて説明する。
【００４３】
また、本実施形態では、ＰＣ２−３内の暗号化ファイルが不正に復号化されることを回避するためにシステム２における運用ポリシーとして、以下の運用ポリシーＯＰＥ１〜ＯＰＥ４が定められている場合を例に挙げて説明する。
【００４４】
運用ポリシーＯＰＥ１として、ＰＣ２−３は、ＰＣ２−３内の暗号化ファイルを復号化する場合、Ｗｅｂサーバ２−１を指定して復号鍵ダウンロード用のＷｅｂページにログインする。
【００４５】
この運用ポリシーＯＰＥ１に従った場合、図６に示す記憶パターンＬ１のように、ＰＣ２−３が暗号化ファイルの復号処理を行う前における機密情報の記憶パターンＬ１では、Ｗｅｂサーバ２−１は、復号鍵およびインポートパスワードを記憶している。
【００４６】
また、運用ポリシーＯＰＥ２として、ＰＣ２−１は、Ｗｅｂサーバ２−１上に保存されている復号鍵を当該ＰＣ２−１のローカルディスクにダウンロードする。
【００４７】
この運用ポリシーＯＰＥ２に従った場合、図７に示すように、ＰＣ２−３が、暗号化ファイルの復号処理を行うために、Ｗｅｂサーバ２−１に記憶されている復号鍵をダウンロードすることにより、システム２における機密情報の記憶パターンは、図６に示した記憶パターンＬ１から記憶パターンＬ２へ遷移する。
【００４８】
また、運用ポリシーＯＰＥ３として、復号鍵ダウンロード用のＷｅｂページに記載されているパスワードを入力し、ダウンロードした復号鍵を復号鍵の管理ツールへインポートする。
【００４９】
この運用ポリシーＯＰＥ３に従った場合、図８に示すように、Ｗｅｂサーバ２−２が、Ｗｅｂサーバ２−１に記憶されているインポートパスワードをダウンロードすることにより、システム２における機密情報の記憶パターンは、図７に示した記憶パターンＬ２から記憶パターンＬ３へ遷移する。
【００５０】
運用ポリシーＯＰＥ４として、ＰＣ２−３は、当該ＰＣ２−３が備えるローカルディスクに保存された暗号化ファイルの復号化を行う。
【００５１】
その後、図９に示すように、ＰＣ２−３が、暗号化ファイルの復号化が終了して当該ＰＣ２−３から復号鍵を削除した場合、システム２における機密情報の記憶パターンは、図８に示した記憶パターンＬ３から記憶パターンＬ４へ遷移する。
【００５２】
なお、運用ポリシーが示す各装置の機密情報に対する動作は、後述の実施形態３で例に挙げて説明する外部からの攻撃を行う手順と共通する。つまり、この説明例では、暗号化ファイルの復号化を行うために入手する必要のある機密情報が、攻撃者からの保護対象に相当する。
【００５３】
なお、ポリシー情報１３１のデータ構造は、対応表、オントロジーなどの知識構造を含む任意のものでよい。また、ポリシー情報１３１は、特定の複数のパターンに対してあらかじめ記述しておき、分析装置１の利用者が随時編集することにより、あらかじめ記述されている運用ポリシー以外の運用ポリシーを追加することも可能である。
【００５４】
記憶パターン特定部１４は、構成情報１２１とポリシー情報１３１とに基づいて、ポリシー情報１３１内の運用ポリシーＯＰＥ１〜ＯＰＥ３に従った場合にシステム２において起こり得る機密情報のすべての「記憶パターン」を決定する。
【００５５】
本実施形態では、記憶パターン特定部１４は、ポリシー情報１３１内の運用ポリシーに対応する機密情報の種類を特定する。図５の例では、記憶パターン特定部１４は、運用ポリシーＯＰＥ１に対する機密情報として、暗号化ファイルと復号鍵とインポートパスワードとを特定し、図１０に示す配置情報１５１へ書込む。
【００５６】
また、記憶パターン特定部１４は、ポリシー情報１３１内でこれらの機密情報と対応付けられている情報配置関係が示す装置をそれぞれ特定するとともに、この装置に対して通信接続関係を有する装置すべてを構成情報１２１を用いて特定する。
【００５７】
上述した運用ポリシーＯＰＥ１の例では、記憶パターン特定部１４は、機密情報と対応付けられた通信接続関係が示す要素識別子ｇ４（Ｗｅｂサーバ２−１）、ｇ６（ＰＣ２−３）を特定する。また、記憶パターン特定部１４は、構成情報１２１に基づいて、ｇ４およびｇ６はファイアウォール２−４を介してｇ５（Ｗｅｂサーバ２−２）と接続されていることを特定する。そして、記憶パターン特定部１４は、これらの特定した情報を、配置データベース１５内の配置情報１５１へ書込む。
【００５８】
図１０に示すように、配置情報１５１は、ポリシー情報１３１が示すシステム２に対して定められた各運用ポリシーＯＰＥ１、ＯＰＥ２、ＯＰＥ３の下で、機密情報がシステム２内の各装置に配置される「記憶パターンＬ１〜Ｌ４」と、その記憶パターンが起こる「発生確率」とを対応付ける情報である。
【００５９】
なお、図１０の例では、記憶パターンを、各機密情報（暗号化ファイル、復号鍵、インポートパスワード）のそれぞれに対する情報配置フラグで示している。
【００６０】
情報配置フラグとは、機密情報が、当該情報配置フラグと対応付けられている要素識別子が付与された装置に配置（記憶）されているかどうかを示す情報である。本実施形態では、情報配置フラグは、その値が「０」である場合、機密情報が配置されていないことを示し、その値が「１」である場合、機密情報が配置されていることを示す。
【００６１】
発生確率算出部１４１は、記憶パターン特定部１４が特定した記憶パターンと、ポリシー情報１３１内の各装置に機密情報が配置されている情報存在確率とに基づいて、記憶パターン特定部１４が特定した記憶パターンＬ１〜Ｌ４が起こる発生確率を算出する。
【００６２】
例えば、発生確率算出部１４１は、ある記憶パターンにおいて、暗号化ファイルが配置されている情報存在確率と、復号鍵が配置されている情報存在確率と、インポートパスワードが配置されている情報存在確率とを乗算した値を、その記憶パターンの発生確率として算出する。
【００６３】
そして、遷移確率算出部１４１は、算出した発生確率と、配置情報１５１に記憶されている機密情報に対する記憶パターンとを対応付けて当該配置情報１５１に書込む。
【００６４】
リスク分析部１６は、配置データベース１５を参照し、システム２内の機密情報が漏洩するリスクの程度を示す「リスク評価指標」を算出する。
【００６５】
なお、本実施形態では、リスク分析部１６は、図１１に示すリスク情報を記憶している。このリスク情報は、システム２内の各装置（この例では、Ｗｅｂサーバ２−１、２−２、ＰＣ２−３）と、当該装置に対してそれぞれ想定されるリスクの程度を数値で表したリスク想定値とを対応付けてあらかじめ設定された情報である。
【００６６】
この例では、リスク分析部１６は、配置データベース１５内の配置情報１５１に記述されている発生確率を用いてリスク想定値に対する重み付けを行うことにより得られた数値を、各装置に対する「リスク評価指標」として算出する。
【００６７】
例えば、図１０に示したパターン識別子Ｌ１においてＷｅｂサーバ２−１（要素識別子ｇ４）に復号鍵およびインポートパスワードが記憶される発生確率は「１」である。また、図１１に示したリスク情報内のＷｅｂサーバ２−１のリスク想定値は「２」である。
【００６８】
そのため、リスク分析部１６は、発生確率「１」とリスク想定値「２」との乗算値を、パターン識別子Ｌ１におけるＷｅｂサーバ２−１のリスク評価指標として算出する。なお、リスク分析部１６は、Ｌ１以外の他のパターン識別子Ｌ２〜Ｌ４におけるＷｅｂサーバ２−１のリスク評価指標も算出し、パターン識別子Ｌ１〜Ｌ４それぞれにおけるＷｅｂサーバ２−１のリスク評価指標の合計値を、Ｗｅｂサーバ２−１のリスク評価指標として算出する。
【００６９】
なお、リスク分析部１６は、各装置についてそれぞれ得られたリスク評価指標同士を比較し、それらの大小関係を特定して得られたランク付け結果を、分析装置１と接続された任意の出力装置（図示せず）へ出力してもよい。
【００７０】
つぎに、実施形態１の分析装置１がリスク評価指標を算出する動作について、図１２に示すフローチャートを参照して説明する。
【００７１】
まず、取得部１１は、システム２内の各装置から当該装置の構成情報を取得する。
【００７２】
そして、図１２に示すステップ３１にて、取得部１１は、設定情報に基づいて、これらの装置間の通信接続関係と、各装置の設置場所を示す装置配置関係とを示す構成情報１２１を生成し、構成データベース１２へ書込む。
【００７３】
続いて、記憶パターン特定部１４は、システム２が有する機密情報に対して定められている運用ポリシーＯＰＥ１〜ＯＰＥ３を参照する。そして、ステップ３２にて、記憶パターン特定部１４は、ポリシー情報１３１内の運用ポリシーに対応する機密情報の種類を特定して配置情報１５１へ書込む。
【００７４】
また、ステップ３３にて、記憶パターン特定部１４は、ポリシー情報１３１内でこれらの機密情報と対応付けられている情報配置関係が示す装置、つまり、機密情報が配置される装置をそれぞれ特定する。
【００７５】
さらに、記憶パターン特定部１４は、機密情報が配置される装置に対して通信接続関係を有する装置すべてを構成情報１２１にて特定する。これにより、ステップ３４にて、記憶パターン特定部１４は、構成情報１２１とポリシー情報１３１とに基づいて、ポリシー情報１３１内の運用ポリシーＯＰＥ１〜ＯＰＥ３に従った場合にシステム２において起こり得る機密情報のすべての「記憶パターン」を特定する。
【００７６】
なお、本実施形態では、記憶パターン特定部１４は、特定した記憶パターンを各装置に対する情報配置フラグで表した形式で求め、各情報配置フラグを配置データベース１５内の配置情報１５１へ書込む。
【００７７】
そして、ステップ３５にて、発生確率算出部１４１は、ポリシー情報１３１内の機密情報の情報存在確率に基づいて、配置情報１５１へ書込まれた記憶パターンがシステム２において起こる発生確率を決定する。そして、発生確率算出部１４１は、決定した発生確率を、図１０に示した配置情報１５１へ書込む。
【００７８】
その後、ステップ３６にて、リスク分析部１６によって、ステップ３４で特定した機密情報の記憶パターンそれぞれにおけるリスク評価指標を、その記憶パターンが起こる発生確率に基づいて算出する。
【００７９】
以上で、実施形態１の分析装置１がリスク評価指標を算出する一連の動作が終了する。
【００８０】
以上説明したように、本発明の実施形態１によれば、運用管理面により奏する機密情報の保護に対する効果を、機密情報のある記憶パターンから別の記憶パターンへの状態遷移によって表現することで、システム的なセキュリティ対策（ファイアウォールでのパケットフィルタリングなど）による効果と、運用管理的な対策の効果を同時に考慮したリスク分析を行うことが可能となる。
【００８１】
すなわち、資産的価値の高い機密情報の取り扱いを定める運用ポリシーに基づいて、ある記憶パターンがどの位の確率で起こるかを決定することで、複雑な運用形態に対応して包括的にかつ適切にシステム２における機密情報の漏洩リスクを分析することができる。
（実施形態２）
つぎに、実施形態２の分析装置について説明する。
【００８２】
まず、実施形態２の分析装置の構成について説明する。
【００８３】
実施形態２の分析装置１Ａは、図２に示したポリシーデータベース１３に代えて、図１３に示す基準配置データベース１７１と遷移配置データベース１７３とを有する点で、実施形態１の分析装置１と異なる。
【００８４】
基準配置データベース１７１は、ある機密情報に対する全記憶パターンのうちからシステム２の基準状態としてあらかじめ定められた特定の記憶パターン（以下、「基準記憶パターン」という）を示す基準パターン情報１７２を記憶している。
【００８５】
以下では、図５に示した記憶パターンＬ１を基準記憶パターンとして決定した場合を例に挙げて説明する。この場合、基準パターン情報１７２は、図１４に示すデータ構造を有している。
【００８６】
また、遷移配置データベース１７３は、遷移パターン情報１７４を記憶している。
【００８７】
遷移パターン情報１７４とは、ある機密情報に対する基準記憶パターンから、その機密情報に対する残りの記憶パターン（以下、「遷移記憶パターン」という）それぞれへ遷移する遷移確率を示す情報である。
【００８８】
本実施形態では、図１５に示すように、遷移パターン情報１７４は、運用ポリシーを識別するための番号と、運用ポリシーと、その運用ポリシーに従ったときの機密情報に対する遷移記憶パターンと、その運用ポリシーに従ったときの機密情報に対する基準記憶パターンから遷移記憶パターンへ遷移する「遷移確率」とを対応付ける情報である。
【００８９】
なお、本実施形態では、遷移確率を、以下の式１〜４に示すような遷移行列を用いて表す。
【００９０】
【数１】
【００９１】
【数２】
【００９２】
【数３】
【００９３】
【数４】
【００９４】
上述した式１の右辺第１式において、１行目の成分Ｔ(1,0,0)→(1,0,0)およびＴ(1,0,0)→(1,1,0)は、ＰＣ２−３（要素識別子ｇ６）が暗号化ファイルのみを記憶している図５に示した記憶パターンＬ１が、ＰＣ２−３が暗号化ファイルおよび復号鍵を記憶している図６に示した記憶パターンＬ２へ遷移するかどうかを示す成分である。なお、１行目の２つの成分Ｔ(1,0,0)→(1,0,0)とＴ(1,0,0)→(1,1,0)との和は「１」である。
【００９５】
これらのうち１行１列成分Ｔ(1,0,0)→(1,0,0)は、ＰＣ２−３が暗号化ファイルのみを記憶している記憶パターンＬ１がそのまま維持されて記憶パターンＬ２へ遷移しない確率を示している。なお、式１は、記憶パターンＬ１から記憶パターンＬ２へ遷移しない確率が「０．５」としてあらかじめ設定されている例である。
【００９６】
また、１行２列成分Ｔ(1,0,0)→(1,1,0)は、ＰＣ２−３が復号鍵をＷｅｂサーバ２−１からダウンロードすることにより、配置状態Ｌ１から配置状態Ｌ２へ遷移する確率を示している。なお、式１は、記憶パターンＬ１から記憶パターンＬ２へ遷移する確率が「０．５」としてあらかじめ設定されている例である。
【００９７】
また、上述の式１の右辺第１式において、２行目の成分Ｔ(1,1,0)→(1,0,0)およびＴ(1,1,0)→(1,1,0)は、ＰＣ２−３が暗号化ファイルおよび復号鍵を記憶している記憶パターンＬ２が、ＰＣ２−３が暗号化ファイルのみを記憶している記憶パターンＬ１へ遷移するかどうかを示す成分である。
【００９８】
これらのうち２行１列成分Ｔ(1,1,0)→(1,0,0)は、ＰＣ２−３が暗号化ファイルおよび復号鍵を記憶している記憶パターンＬ２から、暗号化ファイルのみを記憶している記憶パターンＬ１へ遷移する確率を示している。なお、式１は、ファイル復号後にＰＣ２−３内から復号鍵が削除されて記憶パターンＬ２から記憶パターンＬ１へ遷移する確率が「０．２」としてあらかじめ設定されている例である。
【００９９】
また、２行２列成分Ｔ(1,1,0)→(1,1,0)は、ＰＣ２−３が暗号化ファイルおよび復号鍵を記憶している記憶パターンＬ２がそのまま維持されて記憶パターンＬ１へ遷移しない確率を示している。式１は、ファイル復号後にＰＣ２−３内から復号鍵が削除されて記憶パターンＬ２から記憶パターンＬ１へ遷移しない確率が「０．８」としてあらかじめ設定されている例である。
【０１００】
本実施形態では、発生確率算出部１４１は、上述の式１〜式４に示した機密情報の記憶パターンが相互に遷移する「遷移確率」に基づいて、機密情報の記憶パターンの発生確率を算出する。
【０１０１】
具体的には、式１〜式４の条件の下で、以下の式５および式６に示すような線型一次方程式を解くための演算を行うことにより、発生確率算出部１４１は、システム２内でそれぞれの記憶パターンが起こる発生確率を決定する。
【０１０２】
【数５】
【０１０３】
【数６】
【０１０４】
つぎに、上記構成を有する実施形態２の分析装置１Ａの動作について、図１６に示すフローチャートを参照して説明する。
【０１０５】
まず、分析装置１Ａの取得部１１は、システム２内の各装置から当該装置の設定情報を取得する。
【０１０６】
そして、図１６に示すステップ４１にて、取得部１１は、設定情報に基づいて、これらの装置間の通信接続関係と各装置の設置場所を示す装置配置関係とを示す構成情報１２１を生成して構成データベース１２へ書込む。
【０１０７】
続いて、ステップ４２にて、記憶パターン特定部１４は、遷移パターン情報１７４に基づいて、機密情報に対して定められている運用ポリシーＯＰＥ１〜ＯＰＥ３に対応する機密情報の種類を特定して配置情報１５１へ書込む。
【０１０８】
また、ステップ４３にて、記憶パターン特定部１４は、遷移パターン情報１７４内でこれらの機密情報と対応付けられている情報配置関係が示す装置、つまり、機密情報が配置される装置をそれぞれ特定する。
【０１０９】
さらに、記憶パターン特定部１４は、構成情報１２１を用いて、機密情報が配置される装置に対して通信接続関係を有する装置すべてを特定する。これにより、ステップ４４にて、記憶パターン特定部１４は、構成情報１２１と遷移パターン情報１７４とに基づいて、遷移パターン情報１７４内の運用ポリシーＯＰＥ１〜ＯＰＥ３に従った場合に基準遷移パターンからの遷移によって起こり得るすべての機密情報の記憶パターンを特定する。
【０１１０】
なお、本実施形態では、記憶パターン特定部１４は、特定した記憶パターンを各装置に対する情報配置フラグで表した形式で求め、各情報配置フラグを配置データベース１５内の配置情報１５１へ書込む。
【０１１１】
そして、ステップ４５にて、発生確率算出部１４１は、遷移パターン情報１７４内の記憶パターンの遷移確率に基づいて、配置情報１５１へ書込まれた記憶パターンがシステム２において起こる発生確率を決定する。そして、発生確率算出部１４１は、決定した発生確率を、図１０に示した配置情報１５１へ書込む。
【０１１２】
その後、ステップ４６にて、リスク分析部１６は、ステップ４４で特定した機密情報の記憶パターンそれぞれにおけるリスク評価指標を、その記憶パターンが起こる発生確率に基づいて算出する。例えば、リスク分析部１６は、この発生確率を用いて、図１１に示したリスク情報内のリスク想定値に対して重み付けすることにより得られた数値を、各装置に対する「リスク評価指標」として算出する。
【０１１３】
以上で、実施形態２の分析装置１Ａがリスク評価指標を算出する一連の動作が終了する。
【０１１４】
以上説明したように、実施形態２によれば、複数の記憶パターンの間で相互に遷移する遷移確率に基づいて、その記憶パターンの発生確率を決定し、リスク評価指標の値の変化を求める。
【０１１５】
これにより、システム２に対して定められている運用ポリシーに従った場合の記憶パターンの変化を、利用者がより直感的に理解しやすい形で示すことが可能となる。
（実施形態３）
つぎに、実施形態３の分析装置について説明する。
【０１１６】
実施形態３の分析装置１Ｂは、図１７に示す発生条件決定部１９１、到達確率算出部１９２、対策データベース１８１、対策状況決定部１８３を備える点で、実施形態１の分析装置１と異なる。
【０１１７】
対策データベース１８１は、セキュリティ対策情報１８２を記憶している。
【０１１８】
図１８に示すように、セキュリティ対策情報１８２は、システム２内において構成要素（設置場所や装置）に固有に付与された要素識別子と、当該構成要素に対して施されているセキュリティ対策の種類と、そのセキュリティ機能の「有効度」とを対応付ける情報である。
【０１１９】
ここで、「有効度」とは、ある構成要素（設置場所または装置）に施されたセキュリティ対策の強制力の程度を表す量、つまり、機密情報に対する不正なアクセスの防止に寄与する有利な効果の程度を示す評価指標のことを指す。
【０１２０】
例えば、ファイアウォールが有するパケットフィルタリング機能のように人手を介さずに機械的に実行されるセキュリティ対策は、一定して強い強制力を有する。これに対し、ノートＰＣの持出し制限のような人手による運用面のルールを定めることによるセキュリティ対策の強制力の強さにはばらつきがある。そのため、構成要素に施されたセキュリティ対策の種類に応じて、機密情報の漏洩に対するリスク評価指標は大きく変動すると考えられる。このような観点から、実施形態３では、リスク分析部１６は、有効度を考慮してリスク評価指標を算出する。
【０１２１】
そのために、まず、対策状況決定部１８３は、構成情報１２１とセキュリティ対策情報１８２とに基づいて、システム２内の構成要素（設置場所または装置）に対して実際に施されているセキュリティ対策と、そのセキュリティ対策による有効度とを特定する。そして、対策状況決定部１８３は、特定したセキュリティ対策と有効度とを到達確率算出部１９２へ出力する。
【０１２２】
発生条件決定部１９１は、ポリシー情報１３１に記述されている運用ポリシーに基づいて、システム２において想定される脅威発生条件を決定して到達確率算出部１９２へ出力する。
【０１２３】
ここで、「脅威発生条件」とは、保護対象となる資産的価値を有する機密情報に対する攻撃手順のことを指す。
【０１２４】
具体的には、本実施形態における脅威発生条件は、システム２に対する脅威が発生する際に必要となる機密情報の種類と、システム２の外部から当該機密情報に到達するまでの経路上に設けられた装置とを示す。
【０１２５】
本実施形態では、発生条件決定部１９１は、ポリシー情報１３１内の運用ポリシーが示す各装置の機密情報に対する動作を、脅威発生条件として決定する。これは、例えば、攻撃者は、暗号化ファイルの復号化を行うためにポリシー情報１３１内に記述された機密情報を入手する必要があり、この入手時の手順は運用ポリシーが示す機密情報に対する動作と一致するためである。
【０１２６】
到達確率算出部１９２は、発生条件決定部１９１から出力されてきた脅威発生条件に基づいて、機密情報と、外部からその機密情報に到達する経路上の装置とを特定する。
【０１２７】
そして、到達確率算出部１９２は、脅威発生条件を満たすときの配置データベース１５内の各記憶パターンにおいて各機密情報まで到達する「情報到達確率」を、論理演算（例えば、論理積ＡＮＤや論理和ＯＲ）を用いて算出する。そして、到達確率算出部１９２は、算出した情報到達確率をリスク分析部１６へ出力する。
【０１２８】
本実施形態では、到達確率算出部１９２は、発生条件決定部１９１からの脅威発生条件に基づいて特定した装置について、対策状況決定部１８３から出力されてきた有効度の値を「１」から減算した値を、システム２の外部からその装置まで到達できる「装置到達確率」として算出する。
【０１２９】
ただし、脅威発生条件を満たすために複数の機密情報を攻撃者が入手する必要があり、それらのうちの第１の機密情報に対する攻撃者からの経路の一部または全部と、第１の機密情報と異なる第２の機密情報に対する経路とが共通している場合、これらの経路上の共通部分に設けられている構成要素（装置）のセキュリティ対策（アクセス制御）は、第１の機密情報に対する攻撃と第２の機密情報に対する攻撃とのどちらか一方の攻撃に対してのみ有効となる。
【０１３０】
この場合、到達確率算出部１９２は、第１の機密情報に対する経路と第２の機密情報に対する経路との共通部分に設けられた構成要素（装置）に対する装置到達確率の値として、「１」を算出する。
【０１３１】
換言すれば、特定の機密情報に対する情報到達確率は、攻撃者がどの構成要素まで到達したかという「条件」（事前状況）に応じて異なる。そのため、到達確率算出部１９２が算出する「情報到達確率」は、所定の条件を満たした上で機密情報に到達できる「条件付きの確率」に相当し、特定の機密情報に対する情報到達確率と、その機密情報以外の別の機密情報に対する情報到達確率とは、互いに独立した関係には立たず互いに従属的な関係にある。
【０１３２】
到達確率算出部１９２は、各記憶パターンにおける到達確率に基づいて、ある脅威発生条件を満たすために必要となる全機密情報までの条件付きの「情報到達確率」を算出する。
【０１３３】
なお、ここでいう情報到達確率は、システム２の外部から機密情報へ至る経路上に設けられた構成要素のセキュリティ対策を攻撃者が突破することにより当該機密情報に到達されてしまう確率である。そのため、当該到達確率は、システム２に対する脅威が発生する「脅威発生確率」に相当する。
【０１３４】
また、実施形態３のリスク分析部１６は、到達確率算出部１９２が算出した情報到達確率と、その記憶パターンが発生する発生確率と、資産的価値との乗算値を、リスク評価指標として算出する。なお、機密情報のそれぞれが有する資産的価値の決定方法は任意でよい。
【０１３５】
つまり、実施形態３においては、「リスク評価指標」は、「ある記憶パターンにおける情報到達確率」×「その記憶パターンが起こる発生確率」×「資産的価値」で表される。
【０１３６】
以下、実施形態３において、分析装置１Ｂがリスク評価指標を算出する具体例について詳細に説明する。
【０１３７】
なお、以下では、図５に示した運用ポリシーＯＰＥ１、つまり、ＰＣ２−３が復号鍵をインポートする場合にパスワード認証を行うことが定められている場合を例に挙げて説明する。また、以下では、暗号化ファイルをａ、Ｗｅｂサーバ２−１上にある復号鍵をｂ、ＰＣ２−３内にある復号鍵をｂ’、インポートパスワードをｃと表記する。
【０１３８】
この場合、記憶パターン特定部１４は、ポリシー情報１３１に基づいて、保護対象が暗号化ファイルと復号鍵とインポートパスワードとであることを特定する。そして、記憶パターン特定部１４は、構成情報１２１に基づいて、機密情報が配置される記憶パターンとして記憶パターンＬ１およびＬ２を特定する。そして、記憶パターン特定部１４は、特定した記憶パターンを配置データベース１５内の配置情報１５１へ書込む。
【０１３９】
また、発生確率算出部１４１は、配置情報１５１内の記憶パターンとポリシー情報１３１内の情報存在確率とに基づいて、記憶パターンＬ１の発生確率として発生確率Ｐ１（Ｌ１）=０．２を算出し、記憶パターンＬ２の発生確率として発生確率Ｐ１（Ｌ２）=０．８を算出する。そして、発生確率算出部１４１は、発生確率を配置データベース１５へ書込む。これは、運用ポリシーＯＰＥ１においては、ＰＣ２−３が暗号化ファイルａの復号化を終了した後の復号鍵ｂ’の取り扱いについては定められていないため、復号鍵ｂ’の記憶パターンとしては、記憶パターンＬ２が起こる発生確率が高いことを意味する。
【０１４０】
その後、対策状況決定部１８３は、セキュリティ対策情報１８２に記述されているセキュリティ対策のうちから、システム２内の構成要素（設置場所または装置）に実際に施されているセキュリティ対策と、そのセキュリティ対策の有効度とを特定する。
【０１４１】
例えば、対策状況決定部１８３は、図１８に示したセキュリティ対策情報１８２のうちから、セキュリティ対策の種類として、ファイアウォール２−４で外部からの受信パケットを制限する対策と、Ｗｅｂサーバ２−１へのログイン時にパスワード認証を行う対策と、ＰＣ２−３へのログオンパスワード（文字数制限なし）を設定する対策とを特定する。
【０１４２】
さらに、対策状況決定部１８３は、これらのセキュリティ対策のそれぞれと対応付けられた有効度を特定して到達確率算出部１９２へ出力する。なお、図１８の例では、ファイアウォール２−４による受信パケット制限の有効度は「０．９」であり、Ｗｅｂサーバ２−１によるログイン時のパスワード認証の有効度は「０．８５」であり、ＰＣ２−３によるログオンパスワード（文字数制限なし）設定の有効度は「０．７」である。
【０１４３】
次に、発生条件決定部１９１は、ポリシー情報１３１に記述されている運用ポリシーに基づいて、システム２において想定される脅威発生条件を決定して到達確率算出部１９２へ出力する。
【０１４４】
この説明例では、攻撃者が、暗号化ファイルａ、復号鍵ｂ、インポートパスワードを同時に入手できた場合に限り、ＰＣ２−３内に存在する暗号化ファイルが不正に復号されてしまうという脅威が発生すると考えられる。そのため、発生条件決定部１９１は、ＰＣ２−３内の暗号化ファイルａへ到達できることと、ＰＣ２−３内の復号鍵ｂ’またはＷｅｂサーバ２−１内の復号鍵ｂへ到達できることと、Ｗｅｂサーバ２−１内のインポートパスワードｃへ到達できることとを、脅威発生条件として決定する。
【０１４５】
なお、記憶パターンＬ２に対する脅威発生条件は、以下の式７で表すことができる。なお、式７における記号「∧」は論理積を表し、記号「∨」は論理和を表す。
【０１４６】
【数７】
【０１４７】
また、記憶パターンＬ１に対する脅威発生条件は、以下の式８で表わすことができる。
【０１４８】
【数８】
【０１４９】
また、脅威発生条件は、機密情報に対する攻撃手順を示す役割を果たす。つまり、記憶パターンＬ１の例では、攻撃者は、まず暗号化ファイルａを入手してから、つぎに復号鍵ｂを入手し、その後にインポートパスワードｃを入手するという手順で脅威を発生させることに相当する。また、記憶パターンＬ２の例では、攻撃者は、まず暗号化ファイルａを入手してから、つぎに復号鍵ｂ’を入手し、その後にインポートパスワードｃを入手するという手順で脅威を発生させることに相当する。
【０１５０】
次に、到達確率算出部１９２は、記憶パターンＬ１において攻撃者が各機密情報まで到達できる情報到達確率と、記憶パターンＬ２において攻撃者が各機密情報まで到達できる情報到達確率とを求める。
【０１５１】
なお、本実施形態では、機密情報への経路上に存在する構成要素が当該機密情報以外の機密情報へ到達するときにすでに通過したものである場合、その構成要素の有効度は「０」（すなわち、装置到達確率は１）として、当該機密情報への情報到達確率を算出する。
【０１５２】
これは、ある構成要素（例えば、ファイアウォール２−４）の下位にそれぞれ並列して存在する複数の装置への装置到達確率については、一度、上位の構成要素（ファイアウォール２−４）に施されたアクセス制御を突破してシステム２の内部に侵入できれば、それ以後、その構成要素の下位の装置まで到達できてしまうためである。
【０１５３】
そのため、本実施形態では、脅威発生条件として、各機密情報への攻撃が行われる順序や手順も考慮した上で、リスク評価指標を算出する。このように複数の機密情報までの情報到達確率を算出することで、攻撃発生の手順まで含めてモデル化することが可能である。
【０１５４】
その後、到達確率算出部１９２は、システム２の外部からシステム２内の装置それぞれに到達する装置到達確率に基づいて、条件付きの情報到達確率を算出する。
【０１５５】
まず、外部の攻撃者からＰＣ２−３内の暗号化ファイルａまでの経路上に存在するセキュリティ対策（アクセス制御）が施された構成要素（装置）は、ファイアウォール２−４、ＰＣ２−３である。
【０１５６】
対策状況決定部１８３は、ファイアウォール２−４におけるセキュリティ対策の有効度は「０．９」であり、ＰＣ２−３におけるセキュリティ対策の有効度は「０．７」である。
【０１５７】
そのため、到達確率算出部１９２は、「１」から各有効度を減算した値を、装置到達確率として算出する。つまり、到達確率算出部１９２は、ファイアウォール２−４に対する装置到達確率として「０．１」（＝１−０．９）を算出し、ＰＣ２−３に対する装置到達確率として「０．３」（＝１−０．７）を算出する。
【０１５８】
そして、到達確率算出部１９２は、外部から暗号化ファイルａまでの情報到達確率として、「０．１×０．３」を算出する。
【０１５９】
つぎに、到達確率算出部１９２は、外部から復号鍵ｂ’までの情報到達確率を算出する。なお、外部から復号鍵ｂ’までの経路上に存在する構成要素は、ファイアウォール２−４およびＰＣ２−３である。
【０１６０】
ここで、セキュリティ対策情報１８２が示す有効度を「１」から減算した場合、ファイアウォール２−４に対する到達確率は「０．１」であり、ＰＣ２−３に対する到達確率は「０．３」である。
【０１６１】
しかし、上述した暗号化ファイルａまでの情報到達確率を算出する際、すでにこれらの装置に対する装置到達確率の値「０．１」、「０．３」を用いている。そのため、到達確率算出部１９２は、復号鍵ｂ’までの情報到達確率を算出する場合、両構成要素（ファイアウォール２−４およびＰＣ２−３）までの各装置到達確率として、「１」をそれぞれ算出する。
【０１６２】
これは、外部から暗号化ファイルａまで到達する際、ファイアウォール２−４、ＰＣ２−３それぞれのアクセス制御はすでに突破されているという観点からである。すなわち、外部の攻撃者がＰＣ２−３内の暗号化ファイルａへ到達可能である場合、その攻撃者は同じ構成要素（ＰＣ２−３）に存在する機密情報（復号鍵ｂ’）へ到達することが可能であり、暗号化ファイルａへの経路と復号鍵ｂ’への経路との共通部分にあるアクセス制御機能は意味をなさないためである。
【０１６３】
よって、外部から暗号化ファイルａまですでに到達されているという状況下では、外部から復号鍵ｂ’までの到達確率は、ファイアウォール２−４までの装置到達確率「１」とＰＣ２−３までの装置到達確率「１」との乗算値「１×１」となる。
【０１６４】
つぎに、到達確率算出部１９２は、外部からＷｅｂサーバ２−１上の復号鍵ｂまでの情報到達確率を算出する。なお、外部から復号鍵ｂまでの経路上に存在する構成要素（装置）は、ファイアウォール２−４およびＷｅｂサーバ２−１である。
【０１６５】
ここで、セキュリティ対策情報１８２が示す有効度を「１」から減算した場合、ファイアウォール２−４に対する装置到達確率は「０．１」である。しかし、上述した暗号化ファイルａまたは復号鍵ｂ’までの情報到達確率を算出する際、ファイアウォール２−４に対する装置到達確率「０．１」をすでに用いている。そのため、到達確率算出部１９２は、復号鍵ｂまでの情報到達確率を算出する場合、ファイアウォール２−４までの装置到達確率として「１」を算出する。
【０１６６】
また、対策状況決定部１８３は、Ｗｅｂサーバ２−１におけるセキュリティ対策の有効度は「０．８５」として決定する。そのため、到達確率算出部１９２は、「１」から当該有効度「０．８５」を減算した値「０．１５」を、Ｗｅｂサーバ２−１に対する装置到達確率として算出する。
【０１６７】
そして、到達確率算出部１９２は、外部から復号鍵ｂまでの情報到達確率として、「１×０．１５」を算出する。
【０１６８】
さらに、到達確率算出部１９２は、外部からインポートパスワードｃまでの情報到達確率を算出する。
【０１６９】
なお、外部からインポートパスワードｃまでの経路上に存在する構成要素は、ファイアウォール２−４およびＷｅｂサーバ２−１である。インポートパスワードｃへの経路における構成要素は、Ｗｅｂサーバ２−１上の復号鍵ｂへの経路における構成要素と同じである。そのため、ｂまで到達された場合、インポートパスワードｃに対する到達確率を算出するときの各構成要素への装置到達確率として、それぞれ「１」を用いる必要がある。よって、外部から復号鍵ｂまではすでに到達されているという状況下においては、到達確率算出部１９２は、外部からインポートパスワードｃまでの情報到達確率を「１×１」に算出する。
【０１７０】
一方、復号鍵を入手するために、Ｗｅｂサーバ２−１内の復号鍵ｂではなく、ＰＣ２−３内の復号鍵ｂ’を入手するという攻撃経路が利用された場合、すでに突破された構成要素はファイアウォール２−４のみであり、Ｗｅｂサーバ２−１におけるアクセス制御は有効なままである。
【０１７１】
この場合、到達確率算出部１９２は、ファイアウォール２−４への装置到達確率として「1」を算出するとともに、ファイアウォール２−４からＷｅｂサーバ２−１への装置到達確率として、セキュリティ対策情報１８２内の有効度「０．８５」を「１」から減算した値「０．１５」を算出する。
【０１７２】
これは、インポートパスワードｃまでの到達確率は、復号鍵に対する到達経路として、ファイアウォール２−４からＰＣ２−３へ到達した場合、またはファイアウォール２−４からＷｅｂサーバ２−１へ到達した場合に応じて変化するため、両方の場合を考慮する必要があるからである。よって、外部からＰＣ２−３まではすでに到達されているが、Ｗｅｂサーバ２−１までは到達されていないという状況下においては、到達確率算出部１９２は、外部からインポートパスワードｃまでの情報到達確率として「１×０．１５」を算出する。
【０１７３】
以上をまとめると、この説明例では、到達確率算出部１９２は、それぞれの機密情報までの条件付きの情報到達確率として、以下の式９に示す値を算出する。
【０１７４】
【数９】
【０１７５】
なお、式９のなかのＰ（ｂ’｜ａ）は、暗号化ファイルａまで到達されているという条件の下で復号鍵ｂ’まで到達できるという条件付きの情報到達確率を表す。
【０１７６】
続いて、リスク分析部１６は、記憶パターンＬ１、Ｌ２において脅威発生条件が満たされる確率（リスク評価指標）を、到達確率算出部１９２が算出した到達確率に対する論理演算（論理積ＡＮＤ、論理和ＯＲ）により算出する。本実施例では、それぞれの記憶パターンＬ１、Ｌ２における各リスク評価指標Ｒ（Ｌ１）、Ｒ（Ｌ２）は、以下の式１０に示す値となる。
【０１７７】
【数１０】
【０１７８】
以上より、運用ポリシーＯＰＥ１に対して脅威が発生するリスク評価指標Ｒ１は、以下の式１１に示す値となる。
【０１７９】
【数１１】
【０１８０】
つぎに、上述した運用ポリシーＯＰＥ１に加えて、「復号鍵をインポートした場合、その復号鍵を直ちに削除する」という運用ポリシーＯＰＥ２が定められている場合のリスク評価指標の算出方法について説明する。
【０１８１】
この場合、当該運用ポリシーＯＰＥ２がシステム２において遵守されていれば、復号鍵ｂ’がＰＣ２−３内に存在することはない。なお、以下では、運用ポリシーＯＰＥ２の有効度が「０．９」である場合を例に挙げて説明する。
【０１８２】
つまり、運用ポリシーＯＰＥ２に対する脅威発生のリスク評価指標Ｒ２を算出する場合、記憶パターンＬ１が起こる発生確率を、式１１中のＰ１（Ｌ１）に代えてＰ２（Ｌ１）＝０．９と変更すればよい。また、この場合、記憶パターンＬ２が起こる発生確率を、式１１中のＰ１（Ｌ２）に代えてＰ２（Ｌ２）＝０．１と変更すればよい。
【０１８３】
つまり、運用ポリシーＯＰＥ２に変更した後の脅威発生のリスク評価指標Ｒ２は、以下の式１２に示すように変化する。
【０１８４】
【数１２】
【０１８５】
なお、式１２に示したＲ（Ｌ１）およびＲ（Ｌ２）それぞれの値としては、リスク分析部１６が算出したリスク評価指標を用いればよい。これにより、運用ポリシーＯＰＥ１に加えて運用ポリシーＯＰＥ２を新たに定めたことにより記憶パターンＬ１、Ｌ２が起こる発生確率が変化した場合でも、それに伴って変化したリスク評価指標の値を算出することが可能である。
【０１８６】
つぎに、実施形態３の分析装置１Ｂがリスク評価指標を算出する動作について、図１９に示すフローチャートを参照して説明する。
【０１８７】
まず、分析装置１Ｂの取得部１１は、システム２内の各装置から当該装置の設定情報を取得する。そして、図１９に示すステップ５１にて、取得部１１は、設定情報に基づいて、これらの装置間の通信接続関係と、各装置の設置場所とを示す構成情報１２１を生成し、構成データベース１２へ書込む。
【０１８８】
続いて、記憶パターン特定部１４は、機密情報に対して定められている運用ポリシーＯＰＥ１〜ＯＰＥ３を参照する。そして、ステップ５２にて、記憶パターン特定部１４は、ポリシー情報１３１内の運用ポリシーに対応する機密情報の種類を特定して配置情報１５１へ書込む。
【０１８９】
また、ステップ５３にて、記憶パターン特定部１４は、ポリシー情報１３１内でこれらの機密情報と対応付けられている情報配置関係が示す装置、つまり、機密情報が配置される装置をそれぞれ特定する。
【０１９０】
さらに、記憶パターン特定部１４は、構成情報１２１を用いて、機密情報が配置される装置に対して通信接続関係を有する装置すべてを特定する。これにより、ステップ５４にて、記憶パターン特定部１４は、構成情報１２１とポリシー情報１３１とに基づいて、ポリシー情報１３１内の運用ポリシーＯＰＥ１〜ＯＰＥ３に従った場合にシステム２において起こり得る機密情報のすべての記憶パターンを特定する。
【０１９１】
そして、ステップ５５にて、発生確率算出部１４１は、ポリシー情報１３１内の機密情報の情報存在確率に基づいて、配置情報１５１へ書込まれた記憶パターンがシステム２において起こる発生確率を算出する。
【０１９２】
続いて、ステップ５６にて、対策状況決定部１８３は、セキュリティ対策情報１８２に基づいて、システム２内の各構成要素に実際に施されているセキュリティ対策とその有効度とを特定して到達確率算出部１９２へ出力する。
【０１９３】
続いて、ステップ５７にて、発生条件決定部１９１は、ポリシー情報１３１に記述されている運用ポリシーに基づいて、システム２において想定される脅威発生条件を決定して到達確率算出部１９２へ出力する。
【０１９４】
すると、ステップ５８にて、到達確率算出部１９２は、攻撃者から特定の機密情報までの経路上に存在するセキュリティ対策が施された構成要素を特定する。
【０１９５】
続いて、ステップ５９にて、到達確率算出部１９２は、その構成要素が、特定の機密情報以外の他の機密情報への経路上にも存在するかどうかを判別する。
【０１９６】
この判別の結果、その構成要素が他の機密情報への経路上には存在しないと判別した場合、ステップ５１０にて、到達確率算出部１９２は、対策状況決定部１８３から出力されてきた有効度を、その構成要素の有効度として算出する。
【０１９７】
一方、ステップ５１１にて、その構成要素が他の機密情報への経路上にも存在すると判別した場合、到達確率算出部１９２は、その構成要素の有効度として「０」を算出する。
【０１９８】
ステップ５１２にて、攻撃者と機密情報との経路上に存在するすべての構成要素について有効度の算出が完了したと判別するまで、到達確率算出部１９２は、上述したステップ５８〜ステップ５１１の処理を繰り返す。
【０１９９】
その後、到達確率算出部１９２は、機密情報への経路上に存在する構成要素それぞれの有効度に基づいて、当該構成要素までの装置到達確率を算出する。
【０２００】
さらに、ステップ５１３にて、到達確率算出部１９２は、それぞれの構成要素の装置到達確率に対する論理演算（論理積ＡＮＤ、論理和ＯＲ）により、脅威発生条件を満たすために必要となるすべての機密情報に対する条件付きの情報到達確率を算出する。
【０２０１】
そして、ステップ５１４にて、リスク分析部１６は、この情報到達確率と、配置情報１５１内の記憶パターンが起こる発生確率とを乗算することで、システム２の運用ポリシーに対して脅威が発生するリスク評価指標を算出する。なお、リスク分析部１６は、情報到達確率と発生確率との乗算値に、さらに機密情報の資産的価値を乗算した値を、リスク評価指標として算出してもよい。
【０２０２】
以上で、実施形態３の分析装置１Ｂがリスク評価指標を算出するときの一連の動作が終了する。
【０２０３】
以上説明したように、実施形態３によれば、ある記憶パターンにおける一定のリスク評価指標とその記憶パターンが起こる確率との期待値を用いて、リスク評価指標を算出する。
【０２０４】
これにより、システム２の運用状況によって流動的に変化するセキュリティリスクを評価することが可能となる。
【０２０５】
また、実施形態３によれば、攻撃者が機密情報に到達するまでの攻撃経路を考慮して、脅威が発生する条件付きの到達確率を算出することで、独立事象でない従属的に発生する事象についてのリスク評価指標を適切に取り扱うことができる。
【０２０６】
なお、本発明の要旨を逸脱しない範囲で各種の変形が可能である。
【０２０７】
取得部１１の機能は、システム２内の各装置の構成を検査するための一般的な検査・管理ツールを用いて実現するようにしてもよい。
【０２０８】
また、取得部１１は、検査・管理ツールなどを用いて自動的に取得できない情報については、分析を行う利用者から当該情報の入力を受け付けるようにしてもよい。
【０２０９】
例えば、取得部１１は、通信接続関係を示す設定情報を検査・管理ツールを用いて取得可能であり、装置配置関係を示す情報を検査・管理ツールを用いて取得できない場合、通信接続関係を示す設定情報を検査・管理ツールを用いて自動的に取得するとともに、装置配置関係を示す設定情報の入力を利用者から受付けるようにしてもよい。
【０２１０】
また、上述した実施形態では、想定する脅威として「情報が外部の攻撃者に読まれること（情報漏洩）」を例に挙げ、脅威発生条件として「外部の攻撃者が暗号化ファイルを復号できること」を例に挙げて説明した。しかしながら、本発明の分析装置１Ｂは、機密情報の改竄や機密情報に対するコンピュータウイルスの感染などに代表されるセキュリティに対する脅威となる任意の事象を取り扱うことが可能である。この場合、保護対象となる機密情報や脅威発生条件を状況に応じて変更すればよい。
【０２１１】
なお、本発明においては、分析装置１内の処理は上述の専用のハードウェアにより実現されるもの以外に、その機能を実現するためのプログラムを分析装置１にて読取可能な記録媒体に記録し、この記録媒体に記録されたプログラムを分析装置１に読み込ませ、実行するものであってもよい。分析装置１にて読取可能な記録媒体とは、フロッピーディスク（登録商標）、光磁気ディスク、ＤＶＤ、ＣＤなどの移設可能な記録媒体の他、分析装置１に内蔵されたＨＤＤ等を指す。この記録媒体に記録されたプログラムは、例えば、分析装置１が有する記憶パターン特定部１４、発生確率算出部１４１およびリスク分析部１６にて読み込まれ、記憶パターン特定部１４、発生確率算出部１４１およびリスク分析部１６の制御によって、上述したものと同様の処理が行われる。
【０２１２】
ここで、分析装置１が有する記憶パターン特定部１４、発生確率算出部１４１およびリスク分析部１６は、プログラムが記録された記録媒体から読み込まれたプログラムを実行するコンピュータとして動作するものである。
【０２１３】
以上、実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明の要旨を逸脱しない範囲で当業者が理解し得る各種の変形が可能である。
【符号の説明】
【０２１４】
１、１Ａ、１Ｂ 分析装置
１１ 取得部
１２ 構成データベース
１３ ポリシーデータベース
１４ 記憶パターン特定部
１４１ 発生確率算出部
１５ 配置データベース
１６ リスク分析部
１７１ 基準配置データベース
１７２ 基準パターン情報
１７３ 遷移配置データベース
１７４ 遷移パターン情報
１８１ 対策データベース
１８２ セキュリティ対策情報
１８３ 対策状況決定部
１９１ 発生条件決定部
１９２ 到達確率算出部
２ システム
２−１、２−２ Ｗｅｂサーバ
２−３ ＰＣ
２−４ ファイアウォール
【特許請求の範囲】
【請求項１】
情報を記憶する複数の装置から構成されたシステムと接続された分析装置であって、
前記複数の装置の間の通信接続関係および該装置の設置場所を示す構成情報と、前記記憶された情報に対する前記装置の動作を示す運用ポリシーとに基づいて、前記情報が前記装置に記憶される記憶パターンを特定する記憶パターン特定部と、
前記特定した記憶パターンに基づいて、前記情報が前記システム外へ漏洩するリスクの程度を示すリスク評価指標を算出するリスク分析部とを有する分析装置。
【請求項２】
請求項１に記載の分析装置において、
前記記憶パターン特定部が特定したすべての記憶パターンのうちから基準記憶パターンとして定められた記憶パターンと、前記運用ポリシーに従った場合に前記基準記憶パターンから遷移可能な前記情報の遷移記憶パターンと、該基準記憶パターンと該遷移記憶パターンとの間で相互に遷移する遷移確率とに基づいて、前記記憶パターンが起こる発生確率を算出する発生確率算出部を有し、
前記リスク分析部は、前記情報に対するすべての記憶パターンと該記憶パターンそれぞれの発生確率とに基づいて、前記リスク評価指標を算出することを特徴とする分析装置。
【請求項３】
請求項１に記載の分析装置において、
前記記憶パターン特定部が特定した記憶パターンと、該記憶パターンにおいて前記情報が前記装置に存在する情報存在確率とに基づいて、該記憶パターンが起こる発生確率を算出する発生確率算出部を有し、
前記リスク分析部は、前記情報に対するすべての記憶パターンと該記憶パターンそれぞれの発生確率とに基づいて、前記リスク評価指標を算出することを特徴とする分析装置。
【請求項４】
請求項３に記載の分析装置において、
前記システム外から前記情報までの経路上に設けられた前記装置に施されているセキュリティ対策の該情報の漏洩に対する効果の程度を示す有効度を特定する対策状況決定部と、
前記有効度に基づいて前記記憶パターン特定部が特定した記憶パターンにおける前記システム外から前記装置に到達する装置到達確率を算出し、該装置到達確率に基づいて該記憶パターンにおける前記システム外から前記情報まで到達する情報到達確率を算出する到達確率算出部とをさらに有し、
前記リスク分析部は、前記情報に対するすべての記憶パターンと、該記憶パターンそれぞれの発生確率と、該記憶パターンにおける情報到達確率とに基づいて、前記リスク評価指標を算出することを特徴とする分析装置。
【請求項５】
請求項４に記載の分析装置において、
前記運用ポリシーに基づいて、前記情報に対する脅威が発生する条件である脅威発生条件を特定する発生条件決定部をさらに有し、
前記到達確率算出部は、前記脅威発生条件を満たすために必要となる前記情報を特定し、前記システム外から該特定した情報までの経路上に設けられた前記装置に対する有効度に基づいて、該装置の装置到達確率を算出することを特徴とする分析装置。
【請求項６】
請求項１乃至５のいずれか１項に記載の分析装置において、
前記複数の装置のそれぞれから該装置が接続されている装置と該装置の設置場所とを示す設定情報を取得し、該設定情報に基づいて前記構成情報を生成する取得部を有することを特徴とする分析装置。
【請求項７】
情報を記憶する複数の装置から構成されたシステムの分析方法であって、
前記複数の装置の間の通信接続関係および該装置の設置場所を示す構成情報と、前記記憶された情報に対する前記装置の動作を示す運用ポリシーとに基づいて、前記情報が前記装置に記憶される記憶パターンを特定する記憶パターン特定処理と、
前記特定した記憶パターンに基づいて、前記情報が前記システム外へ漏洩するリスクの程度を示すリスク評価指標を算出するリスク分析処理とを有する分析方法。
【請求項８】
請求項７に記載の分析方法において、
前記記憶パターン特定処理にて特定したすべての記憶パターンのうちから基準記憶パターンとして定められた記憶パターンと、前記運用ポリシーに従った場合に前記基準記憶パターンから遷移可能な前記情報の遷移記憶パターンと、該基準記憶パターンと該遷移記憶パターンとの間で相互に遷移する遷移確率とに基づいて、前記記憶パターンが起こる発生確率を算出する発生確率算出処理を有し、
前記リスク分析処理では、前記情報に対するすべての記憶パターンと該記憶パターンそれぞれの発生確率とに基づいて、前記リスク評価指標を算出することを特徴とする分析方法。
【請求項９】
請求項７に記載の分析方法において、
前記記憶パターン特定処理にて特定した記憶パターンと、該記憶パターンにおいて前記情報が前記装置に存在する情報存在確率とに基づいて、該記憶パターンが起こる発生確率を算出する発生確率算出処理を有し、
前記リスク分析処理では、前記情報に対するすべての記憶パターンと該記憶パターンそれぞれの発生確率とに基づいて、前記リスク評価指標を算出することを特徴とする分析方法。
【請求項１０】
請求項９に記載の分析方法において、
前記システム外から前記情報までの経路上に設けられた前記装置に施されているセキュリティ対策の該情報の漏洩に対する効果の程度を示す有効度を特定する対策状況決定処理と、
前記有効度に基づいて前記記憶パターン特定処理にて特定した記憶パターンにおける前記システム外から前記装置に到達する装置到達確率を算出し、該装置到達確率に基づいて該記憶パターンにおける前記システム外から前記情報まで到達する情報到達確率を算出する到達確率算出処理とをさらに有し、
前記リスク分析処理では、前記情報に対するすべての記憶パターンと、該記憶パターンそれぞれの発生確率と、該記憶パターンにおける情報到達確率とに基づいて、前記リスク評価指標を算出することを特徴とする分析方法。
【請求項１１】
請求項１０に記載の分析方法において、
前記運用ポリシーに基づいて、前記情報に対する脅威が発生する条件である脅威発生条件を特定する発生条件決定処理をさらに有し、
前記到達確率算出処理では、前記脅威発生条件を満たすために必要となる前記情報を特定し、前記システム外から該特定した情報までの経路上に設けられた前記装置に対する有効度に基づいて、該装置の装置到達確率を算出することを特徴とする分析方法。
【請求項１２】
請求項７乃至１１のいずれか１項に記載の分析方法において、
前記複数の装置のそれぞれから該装置が接続されている装置と該装置の設置場所とを示す設定情報を取得し、該設定情報に基づいて前記構成情報を生成する取得処理を有することを特徴とする分析方法。
【請求項１３】
情報を記憶する複数の装置から構成されたシステムと接続された分析装置に、
前記複数の装置の間の通信接続関係および該装置の設置場所を示す構成情報と、前記記憶された情報に対する前記装置の動作を示す運用ポリシーとに基づいて、前記情報が前記装置に記憶される記憶パターンを特定する記憶パターン特定手順と、
前記特定した記憶パターンに基づいて、前記情報が前記システム外へ漏洩するリスクの程度を示すリスク評価指標を算出するリスク分析手順とを実行させるためのプログラム。
【請求項１４】
請求項１３に記載のプログラムにおいて、
前記記憶パターン特定手順にて特定したすべての記憶パターンのうちから基準記憶パターンとして定められた記憶パターンと、前記運用ポリシーに従った場合に前記基準記憶パターンから遷移可能な前記情報の遷移記憶パターンと、該基準記憶パターンと該遷移記憶パターンとの間で相互に遷移する遷移確率とに基づいて、前記記憶パターンが起こる発生確率を算出する発生確率算出手順を前記分析装置に実行させ、
前記リスク分析手順では、前記情報に対するすべての記憶パターンと該記憶パターンそれぞれの発生確率とに基づいて、前記リスク評価指標を算出することを特徴とするプログラム。
【請求項１５】
請求項１３に記載のプログラムにおいて、
前記記憶パターン特定手順にて特定した記憶パターンと、該記憶パターンにおいて前記情報が前記装置に存在する情報存在確率とに基づいて、該記憶パターンが起こる発生確率を算出する発生確率算出手順を前記分析装置に実行させ、
前記リスク分析手順では、前記情報に対するすべての記憶パターンと該記憶パターンそれぞれの発生確率とに基づいて、前記リスク評価指標を算出することを特徴とするプログラム。
【請求項１６】
請求項１５に記載のプログラムにおいて、
前記システム外から前記情報までの経路上に設けられた前記装置に施されているセキュリティ対策の該情報の漏洩に対する効果の程度を示す有効度を特定する対策状況決定手順と、
前記有効度に基づいて前記記憶パターン特定手順にて特定した記憶パターンにおける前記システム外から前記装置に到達する装置到達確率を算出し、該装置到達確率に基づいて該記憶パターンにおける前記システム外から前記情報まで到達する情報到達確率を算出する到達確率算出手順とを前記分析装置にさらに実行させ、
前記リスク分析手順では、前記情報に対するすべての記憶パターンと、該記憶パターンそれぞれの発生確率と、該記憶パターンにおける情報到達確率とに基づいて、前記リスク評価指標を算出することを特徴とするプログラム。
【請求項１７】
請求項１６に記載のプログラムにおいて、
前記運用ポリシーに基づいて、前記情報に対する脅威が発生する条件である脅威発生条件を特定する発生条件決定手順を前記分析装置にさらに実行させ、
前記到達確率算出手順では、前記脅威発生条件を満たすために必要となる前記情報を特定し、前記システム外から該特定した情報までの経路上に設けられた前記装置に対する有効度に基づいて、該装置の装置到達確率を算出することを特徴とするプログラム。
【請求項１８】
請求項１３乃至１７のいずれか１項に記載のプログラムにおいて、
前記複数の装置のそれぞれから該装置が接続されている装置と該装置の設置場所とを示す設定情報を取得し、該設定情報に基づいて前記構成情報を生成する取得手順を前記分析装置に実行させることを特徴とするプログラム。
【請求項１】
情報を記憶する複数の装置から構成されたシステムと接続された分析装置であって、
前記複数の装置の間の通信接続関係および該装置の設置場所を示す構成情報と、前記記憶された情報に対する前記装置の動作を示す運用ポリシーとに基づいて、前記情報が前記装置に記憶される記憶パターンを特定する記憶パターン特定部と、
前記特定した記憶パターンに基づいて、前記情報が前記システム外へ漏洩するリスクの程度を示すリスク評価指標を算出するリスク分析部とを有する分析装置。
【請求項２】
請求項１に記載の分析装置において、
前記記憶パターン特定部が特定したすべての記憶パターンのうちから基準記憶パターンとして定められた記憶パターンと、前記運用ポリシーに従った場合に前記基準記憶パターンから遷移可能な前記情報の遷移記憶パターンと、該基準記憶パターンと該遷移記憶パターンとの間で相互に遷移する遷移確率とに基づいて、前記記憶パターンが起こる発生確率を算出する発生確率算出部を有し、
前記リスク分析部は、前記情報に対するすべての記憶パターンと該記憶パターンそれぞれの発生確率とに基づいて、前記リスク評価指標を算出することを特徴とする分析装置。
【請求項３】
請求項１に記載の分析装置において、
前記記憶パターン特定部が特定した記憶パターンと、該記憶パターンにおいて前記情報が前記装置に存在する情報存在確率とに基づいて、該記憶パターンが起こる発生確率を算出する発生確率算出部を有し、
前記リスク分析部は、前記情報に対するすべての記憶パターンと該記憶パターンそれぞれの発生確率とに基づいて、前記リスク評価指標を算出することを特徴とする分析装置。
【請求項４】
請求項３に記載の分析装置において、
前記システム外から前記情報までの経路上に設けられた前記装置に施されているセキュリティ対策の該情報の漏洩に対する効果の程度を示す有効度を特定する対策状況決定部と、
前記有効度に基づいて前記記憶パターン特定部が特定した記憶パターンにおける前記システム外から前記装置に到達する装置到達確率を算出し、該装置到達確率に基づいて該記憶パターンにおける前記システム外から前記情報まで到達する情報到達確率を算出する到達確率算出部とをさらに有し、
前記リスク分析部は、前記情報に対するすべての記憶パターンと、該記憶パターンそれぞれの発生確率と、該記憶パターンにおける情報到達確率とに基づいて、前記リスク評価指標を算出することを特徴とする分析装置。
【請求項５】
請求項４に記載の分析装置において、
前記運用ポリシーに基づいて、前記情報に対する脅威が発生する条件である脅威発生条件を特定する発生条件決定部をさらに有し、
前記到達確率算出部は、前記脅威発生条件を満たすために必要となる前記情報を特定し、前記システム外から該特定した情報までの経路上に設けられた前記装置に対する有効度に基づいて、該装置の装置到達確率を算出することを特徴とする分析装置。
【請求項６】
請求項１乃至５のいずれか１項に記載の分析装置において、
前記複数の装置のそれぞれから該装置が接続されている装置と該装置の設置場所とを示す設定情報を取得し、該設定情報に基づいて前記構成情報を生成する取得部を有することを特徴とする分析装置。
【請求項７】
情報を記憶する複数の装置から構成されたシステムの分析方法であって、
前記複数の装置の間の通信接続関係および該装置の設置場所を示す構成情報と、前記記憶された情報に対する前記装置の動作を示す運用ポリシーとに基づいて、前記情報が前記装置に記憶される記憶パターンを特定する記憶パターン特定処理と、
前記特定した記憶パターンに基づいて、前記情報が前記システム外へ漏洩するリスクの程度を示すリスク評価指標を算出するリスク分析処理とを有する分析方法。
【請求項８】
請求項７に記載の分析方法において、
前記記憶パターン特定処理にて特定したすべての記憶パターンのうちから基準記憶パターンとして定められた記憶パターンと、前記運用ポリシーに従った場合に前記基準記憶パターンから遷移可能な前記情報の遷移記憶パターンと、該基準記憶パターンと該遷移記憶パターンとの間で相互に遷移する遷移確率とに基づいて、前記記憶パターンが起こる発生確率を算出する発生確率算出処理を有し、
前記リスク分析処理では、前記情報に対するすべての記憶パターンと該記憶パターンそれぞれの発生確率とに基づいて、前記リスク評価指標を算出することを特徴とする分析方法。
【請求項９】
請求項７に記載の分析方法において、
前記記憶パターン特定処理にて特定した記憶パターンと、該記憶パターンにおいて前記情報が前記装置に存在する情報存在確率とに基づいて、該記憶パターンが起こる発生確率を算出する発生確率算出処理を有し、
前記リスク分析処理では、前記情報に対するすべての記憶パターンと該記憶パターンそれぞれの発生確率とに基づいて、前記リスク評価指標を算出することを特徴とする分析方法。
【請求項１０】
請求項９に記載の分析方法において、
前記システム外から前記情報までの経路上に設けられた前記装置に施されているセキュリティ対策の該情報の漏洩に対する効果の程度を示す有効度を特定する対策状況決定処理と、
前記有効度に基づいて前記記憶パターン特定処理にて特定した記憶パターンにおける前記システム外から前記装置に到達する装置到達確率を算出し、該装置到達確率に基づいて該記憶パターンにおける前記システム外から前記情報まで到達する情報到達確率を算出する到達確率算出処理とをさらに有し、
前記リスク分析処理では、前記情報に対するすべての記憶パターンと、該記憶パターンそれぞれの発生確率と、該記憶パターンにおける情報到達確率とに基づいて、前記リスク評価指標を算出することを特徴とする分析方法。
【請求項１１】
請求項１０に記載の分析方法において、
前記運用ポリシーに基づいて、前記情報に対する脅威が発生する条件である脅威発生条件を特定する発生条件決定処理をさらに有し、
前記到達確率算出処理では、前記脅威発生条件を満たすために必要となる前記情報を特定し、前記システム外から該特定した情報までの経路上に設けられた前記装置に対する有効度に基づいて、該装置の装置到達確率を算出することを特徴とする分析方法。
【請求項１２】
請求項７乃至１１のいずれか１項に記載の分析方法において、
前記複数の装置のそれぞれから該装置が接続されている装置と該装置の設置場所とを示す設定情報を取得し、該設定情報に基づいて前記構成情報を生成する取得処理を有することを特徴とする分析方法。
【請求項１３】
情報を記憶する複数の装置から構成されたシステムと接続された分析装置に、
前記複数の装置の間の通信接続関係および該装置の設置場所を示す構成情報と、前記記憶された情報に対する前記装置の動作を示す運用ポリシーとに基づいて、前記情報が前記装置に記憶される記憶パターンを特定する記憶パターン特定手順と、
前記特定した記憶パターンに基づいて、前記情報が前記システム外へ漏洩するリスクの程度を示すリスク評価指標を算出するリスク分析手順とを実行させるためのプログラム。
【請求項１４】
請求項１３に記載のプログラムにおいて、
前記記憶パターン特定手順にて特定したすべての記憶パターンのうちから基準記憶パターンとして定められた記憶パターンと、前記運用ポリシーに従った場合に前記基準記憶パターンから遷移可能な前記情報の遷移記憶パターンと、該基準記憶パターンと該遷移記憶パターンとの間で相互に遷移する遷移確率とに基づいて、前記記憶パターンが起こる発生確率を算出する発生確率算出手順を前記分析装置に実行させ、
前記リスク分析手順では、前記情報に対するすべての記憶パターンと該記憶パターンそれぞれの発生確率とに基づいて、前記リスク評価指標を算出することを特徴とするプログラム。
【請求項１５】
請求項１３に記載のプログラムにおいて、
前記記憶パターン特定手順にて特定した記憶パターンと、該記憶パターンにおいて前記情報が前記装置に存在する情報存在確率とに基づいて、該記憶パターンが起こる発生確率を算出する発生確率算出手順を前記分析装置に実行させ、
前記リスク分析手順では、前記情報に対するすべての記憶パターンと該記憶パターンそれぞれの発生確率とに基づいて、前記リスク評価指標を算出することを特徴とするプログラム。
【請求項１６】
請求項１５に記載のプログラムにおいて、
前記システム外から前記情報までの経路上に設けられた前記装置に施されているセキュリティ対策の該情報の漏洩に対する効果の程度を示す有効度を特定する対策状況決定手順と、
前記有効度に基づいて前記記憶パターン特定手順にて特定した記憶パターンにおける前記システム外から前記装置に到達する装置到達確率を算出し、該装置到達確率に基づいて該記憶パターンにおける前記システム外から前記情報まで到達する情報到達確率を算出する到達確率算出手順とを前記分析装置にさらに実行させ、
前記リスク分析手順では、前記情報に対するすべての記憶パターンと、該記憶パターンそれぞれの発生確率と、該記憶パターンにおける情報到達確率とに基づいて、前記リスク評価指標を算出することを特徴とするプログラム。
【請求項１７】
請求項１６に記載のプログラムにおいて、
前記運用ポリシーに基づいて、前記情報に対する脅威が発生する条件である脅威発生条件を特定する発生条件決定手順を前記分析装置にさらに実行させ、
前記到達確率算出手順では、前記脅威発生条件を満たすために必要となる前記情報を特定し、前記システム外から該特定した情報までの経路上に設けられた前記装置に対する有効度に基づいて、該装置の装置到達確率を算出することを特徴とするプログラム。
【請求項１８】
請求項１３乃至１７のいずれか１項に記載のプログラムにおいて、
前記複数の装置のそれぞれから該装置が接続されている装置と該装置の設置場所とを示す設定情報を取得し、該設定情報に基づいて前記構成情報を生成する取得手順を前記分析装置に実行させることを特徴とするプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【公開番号】特開２０１１−２２９０３（Ｐ２０１１−２２９０３Ａ）
【公開日】平成２３年２月３日（２０１１．２．３）
【国際特許分類】
【出願番号】特願２００９−１６８８８９（Ｐ２００９−１６８８８９）
【出願日】平成２１年７月１７日（２００９．７．１７）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
【公開日】平成２３年２月３日（２０１１．２．３）
【国際特許分類】
【出願日】平成２１年７月１７日（２００９．７．１７）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
[ Back to top ]