JP2017173940A - セキュリティ対処サーバ及びシステム - Google Patents

Abstract

【課題】企業などの組織内でインシデント（マルウェアに感染等）を検知した際に、インシデントを検知した端末のセキュリティ対策を施す技術は知られている。しかし、ある端末がマルウェアに感染した場合、他の端末にもそのマルウェアが伝染する可能性が非常に高く、組織内の複数端末全体のセキュリティリスクを低減するための対処方法は考慮されていない。【解決手段】インシデントが発生した際、組織内の複数端末に対して、守るべき資産の分布状況とセキュリティの状態を把握し、それを考慮したセキュリティの状態に変更する。【選択図】図１

Description

本発明は、企業などの組織内でインシデントを検知した際に、当該組織全体のセキュリティレベルを上げるシステムに関するものである。

企業・組織によっては、セキュリティが高すぎると作業性が悪いため、システム部門によって導入された設定を実施せずに、勝手にセキュリティを下げて作業（パスワードを解除、平文の保存、等）している実態があることが報告されている。

しかし、セキュリティを下げたままでは脆弱であり、いざマルウェア等の脅威にさらされたときに被害を受ける可能性が高い。そこで、作業性を良くしたまま、高セキュリティを保つことが求められている。

資産を保持する端末を高セキュリティに保つ技術に関連する公知例として、特許文献１がある。特許文献１は、対象端末の状態（脆弱性の有無、脅威の発生頻度、資産価値など）を基にリスクを分析した上で、リスクを低減するための対処方法を対象端末に対して提示する技術である。

国際公開08/004498号

一般に、ある端末がマルウェアに感染した場合、他の端末にもそのマルウェアが伝染する可能性が非常に高い。しかしながら、特許文献１に記載の技術は端末一台のみを対象にするものであり、対象となっていない他の端末についてはリスクを低減できない。よって、特許文献1記載の技術を適用したとしても、マルウェアが組織内の複数端末にも伝染している場合には、これら複数端末についてセキュリティリスクを低減するための対処方法を提示できず、組織全体のセキュリティレベルは改善されない。

インシデントが発生した際、組織内の複数端末に対して、守るべき資産の分布状況とセキュリティの状態を把握し、あるべきセキュリティの状態に変更する。

具体的には、各端末上の資産の属性情報を予め管理しておき、インシデントが発生した際、組織内の端末が保持するすべての資産の属性情報に基づき、守るべき資産の分布状況を把握し、前記資産のセキュリティの状態を把握し、前記セキュリティの状態と前記資産があるべきセキュリティに差があれば、前記差を埋める処理を実施する。

本発明によれば、ある端末にイベントが発生（セキュリティリスクを検知）した際に、当該端末のみならず、当該端末に関係する組織全体のセキュリティレベルを上げることで、組織全体としてのセキュリティ向上を実現する。

セキュリティ対処システムの全体構成及び機能構成の図である。 セキュリティ対処サーバの構成図の例である。 資産管理記憶部の構成の例である。 リスク値評価記憶部の構成の例である。 セキュリティポリシ記憶部（属性テーブル）の構成の例である。 セキュリティポリシ記憶部（属性の組みテーブル）の構成の例である。 セキュリティポリシ記憶部（検索・対処関連テーブル）の構成の例である。 対処案記憶部の構成の例である。 セキュリティ対処システムの全体概要フローの例である。 資産分布状況把握の詳細フローの例である。 リスク値計算の詳細フローの例である。 対処案計算の詳細フローの例である。 実施例２における端末所属管理記憶部の構成の例である。 実施例２におけるセキュリティポリシ記憶部（密度閾値テーブル）の構成の例である。 実施例２における資産分布状況把握の詳細フローの例である。 実施例３におけるセキュリティポリシ記憶部（時系列での資産のベースリスク値変更テーブル）の構成の例である。

以下、本発明の実施形態を、図面に示す実施例を基に説明する。なお、本発明は下記の実施形態に限定されるものではない。

図１を用いて、セキュリティ対処システムの全体構成及び機能構成を説明する。

セキュリティ対処システムは、セキュリティ対処サーバ１０１と、ひとつ又は複数の端末１２０と、これらを接続するネットワークとで構成される。セキュリティ対処サーバ１０１は構成要素として、資産管理記憶部１０７、端末所属管理記憶部１０８、リスク値評価記憶部１１０、セキュリティポリシ記憶部１０９、対処案記憶部１１１を有する。セキュリティ対処サーバ１０１は、通信制御装置２０６によって実現される検知部１０２により、複数の端末１２０に接続することで、これら端末の状態を監視している。ここで、セキュリティ対処サーバは、端末が所属する組織に一つでも複数でも良いし、それとは逆に、ひとつのセキュリティ対処サーバが複数の組織の端末の状態の監視をしてもよい。なお、ここでいう組織とは、例えば、ひとつの会社の場合もあれば、複数の会社が共同でプロジェクトを実行するときの纏まった単位等でもよい。セキュリティ対処サーバ１０１の検知部が、ネットワークの状態を監視することでクライアント端末への攻撃を検知する、若しくは前記クライアント端末から攻撃を受けた旨の通知をクライアント端末の通信部から受信し、当該クライアント端末におけるインシデント情報（当該端末の端末IDやインシデント種別など）を取得する。ここで、端末IDとは組織内で当該端末を一意に特定する識別情報であり、インデント種別とはインシデント内容が不審メール受信かマルウェア感染かなどを指す。

前記取得したインシデント情報を用いて、資産分布状況計算部１０３で、当該クライアント端末が有する資産と類似の資産が当該組織のどこに分布しているかを取得する。ここで資産とは、価値のあるデータ（情報資産）を指す。次に、リスク値計算部１０４で、前記資産分布状況計算部１０３で取得した各資産のセキュリティに関する状態とリスク値を計算する。次に、対処案計算部１０５で、前記リスク値計算部１０４で計算したリスク値を基に対処案を計算する。これら資産分布状況抽出部１０３、リスク値計算部１０４、対処案計算部１０５は、メモリ２０２に格納された各種プログラムをCPU２０１が実行することで実現される。最後に前記計算結果の対処案を、通信制御装置２０６により実現される対処指示部が各クライアント端末１２０へ送信し、クライアント端末では通信部１２１を介して受信した対処案の実施、表示部１２２での表示などを 行う。

図２を用いて、セキュリティ対処サーバを実現するためのハードウエア構成を示す。図示するとおり通常のコンピュータシステムにより実現することができる。具体的には、CPU２０１、メモリ２０２、記憶装置２０３、入力装置２０４、出力装置２０５、通信制御装置２０６、これらを相互に接続するバス２０７からなる。CPU２０１は、記憶装置２０３に記憶され、メモリ２０２に展開された各種プログラムを実行する。入力装置２０４は例えばキーボード、マウスなどであり、出力装置２０５は例えばディスプレイである。通信制御装置２０６は、例えば無線ネットワークインターフェース、ネットワークインターフェースカードである。これらは、バス２０７によって相互に接続される。

なお、セキュリティ対処サーバでは端末所属管理記憶部１０８とセキュリティポリシ記憶部１０９、リスク値評価記憶部１１０、対処案記憶部１１１は、予めインプット情報として記憶装置に保持する。

次に、図１で説明した各記憶部に格納される情報について説明する。

端末所属管理記憶部に格納される端末所属管理情報は、当該組織が保持するすべての端末の所属情報を管理するための情報であって、端末ＩＤと端末の種別、所属情報などがある。

リスク値評価部に格納されるリスク値評価情報は、当該組織においてインシデントを検知した際の、組織内に分布する資産のリスク値を計算するための情報であって、資産の重要度とインシデント種別、当該資産のベースとなるリスク値、当該資産に対して各セキュリティ対処を実施することによるリスク軽減値を定めた情報である。

セキュリティポリシ記憶部に格納されるセキュリティポリシ情報は、各資産の属性に紐づく重要度や、属性の組みに紐づく重要度、当該組織において資産を保持する端末の検索や前記端末へのセキュリティ対処に関する各種ポリシを定めた情報である。

対処案記憶部に格納される対処案情報は、当該組織内において資産のセキュリティレベルを上げるために、組織単位、端末単位で実施可能な対処の方法と、実施に伴う業務への影響の度合いを定めた情報である。

資産管理記憶部に格納される資産管理情報は、当該組織の各端末が保持する資産を管理するための情報であって、更新のタイミングは各端末が保持する資産の状況が変わったタイミングであってもよいし、定期的に一括で更新するタイミングであってもよい。

資産管理情報は資産ＩＤや当該資産の所有端末ＩＤ、当該資産のセキュリティの状態、当該資産の内容のメタ情報に関する属性の情報からなる。

以下では、図を用いて、上記の各記憶部の詳細を説明する。

図３を用いて資産管理記憶部３０１の構成を示す。資産管理記憶部３０１は、セキュリティ対処サーバが対象とする組織が管理するすべての資産情報を保持する。具体的には、資産管理記憶部３０１は資産ID３０２、保持端末ID３０３、セキュリティの状態３０４、属性３０５からなる。資産IDは、当該組織において所有する資産を一意に特定する情報を保持する。保持端末ID３０３は、当該資産を所有する端末を一意に特定する情報を保持する。セキュリティの状態３０４は、当該資産に対して実施済みのセキュリティ対処に関する情報を保持する。属性３０５は、当該資産の内容に関するメタ情報を保持する。たとえば、資産ＩＤ３０２が「0003」の資産について、当該資産を保持する端末の保持端末ＩＤは「SF367886」であり、当該資産のセキュリティの状態３０４は「暗号化」と「アクセス制限」がなされている状態であり、当該資産の内容は属性３０５から、「財務情報」「金額」「年月日」に関する情報であることが分かる。

図４を用いてリスク値評価記憶部４０１の構成を示す。リスク値評価記憶部４０１は、各端末が保持する資産について、インシデントを検知した際に計算されるリスクの度合いに関する情報を保持する。具体的には、当該資産の重要度４０２、インシデント種別４０３、ベースリスク値４０４、各セキュリティ対処によるリスク軽減値４０５からなる。重要度４０２は、当該資産の重要度の度合いに関する情報を保持する。インシデント種別４０３はインシデントの内容が不審メール受信かマルウェア感染かなどに関する情報を保持する。ベースリスク値４０４は、前記インシデント種別に際して、当該資産に対するセキュリティ対処が何もなされてなかった際のリスクの度合いに関する情報を保持する。セキュリティ対処によるリスク軽減値４０５は各対処を実施することによるリスク値の軽減度合いに関する情報を保持する。

図５−１、図５−２、図５−３の各テーブル５０１、５１１、５２１を用いてセキュリティポリシ記憶部の構成を示す。セキュリティポリシ記憶部は、セキュリティ対処サーバがセキュリティ対処に際しての、当該組織で予め定めた各ポリシに関する情報を保持する。

まず、属性テーブル５０１について説明する。属性テーブル５０１は、各属性の内容とその重要度に関する情報を保持する。具体的には、属性テーブル５０１は属性ＩＤ５０２、属性５０３、重要度５０４からなる。属性ＩＤ５０２は各属性情報を一意に特定する情報を保持する。属性５０３は各属性の内容に関する情報を保持する。重要度５０４は、各属性の重要度の度合いに関する情報を保持する。たとえば、属性ＩＤ５０２の値が「0090」の属性について、属性５０３の内容は「財務情報」であり、重要度５０４は「２」であることが分かる。

次に、属性の組みテーブル５１１について説明する。属性の組みテーブル５１１は、各属性の組みの内容とその重要度に関する情報を保持する。具体的には、属性の組み５１２、重要度５１３からなる。属性の組み５１２は各属性情報の組みの内容に関する情報を保持する。重要度５１３は、各属性の組みの重要度の度合いに関する情報を保持する。たとえば、属性の組み５１２の内容が属性「給与」と「氏名」の組みの場合、属性テーブル５０１では属性「給与」と「氏名」の重要度はそれぞれ「２」と「１」だが、属性の組みテーブル５１１で定められたポリシから、重要度５１３が「３」となることが分かる。

次に、検索・対処関連テーブル５２１について説明する。検索・対処関連テーブル５２１は、セキュリティ対処サーバが検索・対処の処理を実行する際に当該組織が定めたポリシに関する情報を保持する。具体的には、検索の優先順序５２２、対処範囲優先順序５２３、対処選択順序５２４、類似度閾値５２５、ポリシ５２６からなる。検索の優先順序５２２は、セキュリティ対処サーバが資産の属性をキーに当該組織内から前記資産の属性を保持する端末を検索する際に、どのような優先順序で検索するかを定めたポリシに関する情報を保持する。対処範囲優先順序５２３は、セキュリティ対処サーバがセキュリティ対処を実施する際に、どの範囲から優先して前記対処を実施するかを定めたポリシに関する情報を保持する。対処選択順序５２４は、後述する対処案記憶部１１１から、セキュリティ対処サーバがセキュリティ対処を選択して実施する際に、どの対処から優先して選択・実施するかを定めたポリシに関する情報を保持する。類似度閾値５２５は、当該組織内で、インシデント発生した端末が保持する資産と類似の資産を保持する端末を検索する際、インシデント端末が保持する資産の属性のうちどの程度一致した属性を持つ資産であれば、類似の資産とみなすかについて定めたポリシに関する情報を保持する。ポリシ５２６は、各種ポリシの内容に関する情報を保持する。たとえば、検索の優先順序５２２のポリシ５２６が「重要度が３から」とあれば、インシデント発生の際にセキュリティ対処サーバが資産を基点に保持端末を検索する際、重要度が３のものから降順に検索することが分かる。

図６を用いて、対処案記憶部６０１の構成を示す。対処案記憶部６０１は、各インシデント種別に対応する対処案の一覧と各対処の対処範囲、当該端末における業務への影響度に関する情報を保持する。具体的には、対処案記憶部６０１は対処範囲６０２、インシデント種別６０３、対処６０４、業務影響度６０５からなる。対処範囲６０２は、セキュリティ対処を実施する対象範囲に関する情報を保持する。インシデント種別６０３は、インシデントの内容のメタ情報に関する情報を保持する。対処６０４は、対処の内容に関する情報を保持する。リスク軽減値６０５は、各対処が当該端末の業務への影響度合いに関する情報を保持する。たとえば、対処範囲６０２が「組織」に関する対処案について、インシデント種別６０３が「不審メール」や「改ざん」、「ファイル破壊」などであれば、当該組織において予め定めている対処６０４は「ネットワーク一部停止」または「ネットワーク停止」であり、それぞれの業務影響度６０５は「15」と「20」であることが分かる。

以上の各記憶部を基に、セキュリティ対処サーバは当該組織において守るべき資産の分布状況とセキュリティの状態を把握し、前記セキュリティの状態が前記資産のあるべきセキュリティの状態に満たない場合には、前記差を埋める。

図７を用いて、セキュリティ対処サーバ１０１の全体の処理概要を説明する。なお、本フローチャートは全体処理の概要を説明するものであり、主要なステップ（ステップ７０２、７０３、７０４）については別の図を用いて詳細な説明を行う。

セキュリティ対処サーバの全体概要フローではまず、検知部１０２でインシデントが発生したクライアント端末の端末ＩＤやインシデント情報を取得する（ステップ７０１）。次に、前記取得したインシデント情報とインシデントが発生した端末情報を基に、当該組織における、前記インシデント発生端末が保持する資産と類似の資産の分布状況に関する情報を取得する（ステップ７０２）。次に、前記取得した資産分布状況の情報を基に、リスク値を計算する（ステップ７０３）。次に、前記計算したリスク値を基に、対処案を計算する（ステップ７０４）。次に、前記計算した対処案を基に、前記対処を指示する（ステップ７０５）。最後に、ステップ７０２で取得した端末リストに対して未対処の端末があるかどうかの判定を行い、未対処の端末があればステップ７０３へ戻り、未対処の端末がなければ処理を終了する（ステップ７０６）。

以上がセキュリティ対処サーバにおける全体の処理概要である。

以下では、実施例１〜３を上記処理フローの詳細フローに沿って説明する。実施例１については図８〜１０の詳細フローに沿って説明する。

図８を用いて、図７のステップ７０２（資産分布状況把握）の詳細を説明する。

資産分布状況計算部１０３では、検知部１０２で取得したインシデント端末の端末ＩＤをキーに、資産管理記憶部１０７から該当する行を検索する（ステップ８０１）。たとえば、検知部１０２で取得したインシデント端末の端末ＩＤが「JB120001」であるとき、資産分布状況計算部１０３は、資産管理部３０１において、該当する行を検索する。前記検索により、資産ＩＤ３０３が「0001」の行がまず該当することが分かる。以降、同様に検索し、当該端末が保持する資産に該当するすべての行と、セキュリティの状態３０４、当該資産の属性３０５が取得できる。

上記検索の結果取得した、該当する端末が保持するすべての資産について、セキュリティポリシ記憶部１０９のポリシ情報を基に、前記各資産の属性情報をキーに資産管理記憶部１０７から、インシデント端末が保持する資産と類似の資産を保持する他端末を検索する（ステップ８０２）。たとえばステップ８０２の検索の結果、資産管理記憶部３０１において該当する行が資産ＩＤ３０２の行のみであったとき、属性３０５は「個人情報」と「氏名」、「住所」であることが分かる。そして、セキュリティポリシ記憶部１０９の属性テーブル５０１から、上記検索で取得した属性（「個人情報」、「氏名」、「住所」）についてそれぞれ、重要度が「2」、「1」、「1」であることが分かる。また、属性の組みテーブル５１１のでは、上記取得した属性の組みに関して該当する行がないため、特に追加処理はしない。また、検索・対処関連テーブル５２１において、各種ポリシの情報を基に検索処理を実施する。具体的には、検索の優先順序５２２のポリシ５２６が「重要度が３から」であることから、前記取得した属性「個人情報」「氏名」「住所」のうち、重要度５０４が「2」の、属性に「個人情報」を持つ資産から検索していく。前記検索の方法については、ステップ８０１の検索と同様の検索で、検索キーを属性の値とする点のみが異なる。また、検索に際して、類似度閾値５２５のポリシ５２６が「５割以上」であることから、属性「個人情報」「氏名」「住所」のうち、少なくとも２つ以上（約6割6分）を持つ他資産を資産管理記憶部３０１から検索する。本例では、属性「個人情報」と「氏名」が一致する、資産ＩＤ３０２の行が該当することが分かる。

そして、上記検索の結果取得した他端末のリストすべてについて、前記他端末が保持する資産の属性と属性テーブル５０１を基に、前記他端末が保持する資産の重要度を計算する（ステップ８０３）。たとえば、前記ステップ８０２の検索の結果取得した他端末に関して、保持端末ＩＤ３０３が「XD31766」である場合、当該保持端末ＩＤが「XD31766」となっている資産全てを資産管理記憶部１０７から取得する。続いて、得られた資産全てに対して、設定されている属性情報全てを取得する。ここで得られた属性情報全てに対して、セキュリティポリシ記憶部１０９の属性テーブルを参照して重要度を取得する。また、セキュリティポリシ記憶部１０９の属性の組みテーブルを参照し、当該資産に設定されている属性情報の組みに対応する重要度を取得する。このようにして他端末が所有する資産とその重要度を取得する。

図９を用いて、図７のステップ７０３（リスク値計算）の詳細を説明する。

まず、資産分布状況計算部１０３のステップ８０３で計算した、各端末が保持する資産のうち、最も高い重要度の値を取得する（ステップ９０１）。

次に、インシデント種別情報と前記取得した当該端末が保持する資産の重要度の最大値、当該資産のセキュリティの状態を基に、リスク値計算部１０４はリスク値評価記憶部１１０から当該資産のリスク値を計算する（ステップ９０２）。具体的には、資産管理記憶部１０７を参照し、当該端末で最大の重要度を持つ資産のセキュリティ状態を取得する。続いて、リスク値評価記憶部を参照し、当該資産の重要度および発生したインシデントの種別に対応したベースリスク値、セキュリティ対処によるリスク軽減値を取得する。取得したリスク軽減値のうち、当該資産のセキュリティ状態に対応するものを抽出し、ベースリスク値から減算することで当該資産のリスク値とする。

たとえば、当該組織に対して「不審メール」に関するインシデントが発生した際、重要度４０２が「2」の資産について、インシデント種別４０３は「不審メール」であり、当該資産のベースリスク値４０４が「20」で、当該資産に対して「暗号化」の対処がなされているとすれば、セキュリティ対処によるリスク軽減値４０６は「4」となり、ベースリスク値「20」から前記リスク軽減値「4」を引いた値「16」が当該資産に対するリスク値であることが分かる。

図１０を用いて、図７のステップ７０４（対処案計算処理）の詳細を説明する。

まず、セキュリティポリシ記憶部１０９のポリシ情報を基に、対処案記憶部１１１から、保持する資産に対して未実施の対処案を検索する（ステップ１００１）。具体的には、セキュリティポリシ記憶部１０９の検索・対処関連テーブル５２１を参照し、対策範囲優先順序５２３の値を取得する。取得した値によって、組織単位と端末単位の対策のどちらを優先するかが決まる。続いて対処案記憶部１１１を参照し、優先される対処範囲、および発生したインシデント種別に対応する対処の一覧を取得する。得られた対処案から、資産管理記憶部１１０に記録されている当該資産のセキュリティ状態に記載されている対処を除去し、対処案のリストとする。このリストから1つ以上の対処の組み合わせを洗い出して得られた対処案リストを、未実施の対処案とする。

次に、前記検索した対処案を基にリスク値評価記憶部１１０でリスク軽減値を計算する（ステップ１００２）。具体的には、ステップ１００１で得られた未実施の対処案全てに対して、当該対処を実施した場合の当該資産のリスク値をステップ９０２で算出したのと同様の算出法により算出する。ここで、リスク値が０を下回る場合にはリスク値を０とする。得られたリスク値と、ステップ９０２で算出されたリスク値との差分を取ることによりリスク軽減値とする。

前記ステップ１００２の計算の結果、当該端末が保持する資産に対する対処のリスク軽減値がリスク値以下の場合にはステップ１００１に戻り、リスク値以上の場合には処理を終了する（ステップ１００３）。

以上が、当該組織においてインシデントを検知した際の、実施例１におけるセキュリティ対処の詳細である。これにより、インシデント発生端末が保持する資産と類似の資産を保持する端末を、重要度の高い資産を保持する端末から順に検索し、セキュリティ対処を実施することができる。

次に、実施例２について説明する。

本実施例では、端末所属管理記憶部１０８と、実施例１で用いたセキュリティポリシ記憶部１０９の構成を拡張した、図１２の密度閾値テーブル１２０１を利用する。端末所属管理記憶部１１０１は各端末が所属管理されている事業者や部署に関する情報を保持する。

具体的には、端末所属管理記憶部１１０１は、端末ＩＤ１１０２、種別１１０３、所属１１０４からなる。

また密度閾値テーブル１２０１は、当該組織のある事業部や部署単位で見たときに、インシデント発生端末が保持する資産と類似の資産を保持する端末の数の割合別に、当該資産に関するベースリスク値の変更値を定めたポリシに関する情報を保持する。

具体的には、密度閾値テーブル１２０１は、密度閾値１２０２、ベースリスク値の変更値１２０３からなる。密度閾値１２０２は、前記事業部や部署単位で見たときの、インシデント発生端末が保持する資産と類似の資産を保持する端末の数の割合の閾値の情報を保持する。ベースリスク値の変更値１２０３は、前記密度閾値別に当該資産のベースリスク値をどの程度変更するかに関する情報を保持する。これにより、たとえばある事業部または部署において当該資産を保持する端末の数の割合が大きい（密度が高い）とき、ベースリスク値を下げることで、前記事業部または部署への業務影響度を軽減した上でセキュリティレベルを上げる。

たとえば、密度閾値１２０２が「0.7以上」の事業部または部署について、前記事業部または部署の端末が保持する資産のベースリスク値を「8下げた」上で、セキュリティ対処を実施することが分かる。
次に、実施例２の処理について説明する。

図１３を用いて実施例２における資産分布状況把握の詳細フローを説明する。

まず、図８のステップ８０１〜８０３の検索処理の結果得られた、インシデント発生端末が保持する資産と類似の資産を保持する他の端末の、リスト情報を取得する（ステップ１３０１）。

次に、前記取得した他の端末のリスト情報の端末ＩＤをキーに、端末所属管理記憶部１０８から各端末の所属情報を取得する（ステップ１３０２）。

そして、各端末の所属毎に資産の密度を計算する（ステップ１３０３）。ここで資産の密度とは、当該所属組織が保持する全端末数のうち、ある資産を保持する端末数の割合を指す。

続いて、密度閾値テーブル１２０１を参照し、資産の密度ごとのベースリスク値の変更値を取得する。この情報とステップ１３０３で得られた資産の密度とをつき合わせて、当該資産に対するベースリスク値の変更値を取得する。以降は、当該資産のリスク値算出や対処案導出の際に、当該資産のベースリスク値にここで得られた変更値を加えた値をベースリスク値として処理を行う。以降の処理については実施例１と同様のため、省略する。

以上が、実施例２におけるセキュリティ対処の詳細である。このように、資産の分布の度合い（密度）により対処を変えることで、インシデント発生端末が保持する資産と類似の資産を保持し、普段の業務において利用している事業部や部署に対して、業務への影響度を低減したセキュリティ対処が実施できる。

次に、実施例３について説明する。本実施例では、実施例１で用いたセキュリティポリシ記憶部１０９の構成を拡張した、時系列での資産のベースリスク値変更テーブル１２０１を利用する。

図１４を用いて、時系列での資産のベースリスク値変更テーブル１４０１を説明する。テーブル１４０１は時系列で重要度が変化する資産について、当該資産のセキュリティ状態によって、ベースリスク値の変更の度合いを定めたポリシに関する情報を保持する。これにより時系列で重要度が変化する資産を保持する端末へのセキュリティ対処について、たとえば重要度が徐々に下がる資産のセキュリティ状態を考慮して、ベースリスク値を下げることで、前記資産を保持する端末に対して業務影響度が低減されたセキュリティ対処を実施することができる。たとえば、ニュースリリースに関する情報は、当該リリースが出されるまでは厳密に管理をし、外部に漏えいすることなど内容にしなければならないが、一旦リリースが公開されるとそれは公開情報となり、機密情報ではなくなるため、当該情報に対するセキュリティ対処を緩めても構わなくなる。

時系列での資産のベースリスク値変更テーブル１４０１は、資産ＩＤ１４０２、およびリスク値の変動１４０３からなる。資産ＩＤ１４０２は、当該資産を一意に特定するための識別子である。リスク値の変動１４０３は、当該資産のリスク値の時系列での変動度合いを示した情報である。本実施例においては、資産のリスク値を変動させることで資産価値の変動を表現するようにしているが、この方式に限定するものではなく、資産の重要度を変動させるような方式にしていてもよい。また、本実施例においてはリスク値の変動１４０３を、時系列グラフの形で表現しているが、その他の表現、たとえば何月何日にリスク値がいくつになる、という情報のリストであってもよい。

当該テーブルの情報は、リスク値を算出する際に用い、リスク値の変動１４０３に基づいて現在のリスク値の変動を求め、算出結果に反映させる。これ以外の処理については実施例１と同様のため、省略する。

以上が、実施例３におけるセキュリティ対処の詳細である。このように、資産の重要度の時系列変化により処理を変えることで、時系列で重要度が変化する資産を保持する端末へのセキュリティ対処について、前記資産を保持する端末に対して業務影響度を考慮したセキュリティ対処を実施することができる。

１０１：セキュリティ対処サーバ、 １０２：検知部、 １０３：分布状況抽出部、 １０４：資産管理記憶部、 １０５：端末所属管理記憶部、 １０６：リスク値計算部、 １０７：リスク値評価記憶部、 １０８：対処案計算部、 １０９：セキュリティポリシ記憶部、 １１０：対処案記憶部、 １１１：対処指示部

Claims (12)

1. インシデントへの対処を指示するセキュリティ対処サーバにおいて、
   インシデントを検知する検知部と、
   前記インシデントが発生した端末が保持する情報資産に類似する情報資産を保有する他の端末に関する情報である資産分布状況情報を抽出する資産分布状況抽出部と、
   前記資産分布状況情報に基づき、前記インシデントのリスク値を計算するリスク値計算部と、
   前記インシデントの種類と前記リスク値とから、当該インシデントに対する対処案を計算する対処案計算部と、
   前記対処案を、前記情報資産を保有する他の端末に送信する対処指示部と、
   を備えることを特徴とするセキュリティ対処サーバ。
2. 請求項１に記載のセキュリティ対処サーバであって、
   端末と当該端末が保有する情報資産とを紐づけた資産管理情報を格納する資産管理記憶部を更に備え、
   前記資産分布状況抽出部は、前記インシデントが発生した端末の情報と前記資産管理情報とに基づいて前記資産分布状況情報を抽出することを特徴とするセキュリティ対処サーバ。
3. 請求項２に記載のセキュリティ対処サーバであって、
   前記資産管理情報は、前記情報資産のIDと、当該情報資産を有する端末のIDと、当該情報資産の属性情報と、を備え、
   前記資産分布状況抽出部は、前記インシデントが発生した端末が有する前記情報資産のIDから当該情報資産の属性情報を抽出し、当該属性情報を備える他の情報資産を抽出し、当該他の情報資産を備える端末を特定することで、前記資産分布状況情報を抽出することを特徴とするセキュリティ対処サーバ。
4. 請求項３に記載のセキュリティ対処サーバであって、
   前記属性情報には予め優先度が決められており、
   前記資産分布状況抽出部は、前記優先度に従い、前記他の情報資産を備える端末を特定し前記資産分布状況情報を抽出することを特徴とするセキュリティ対処サーバ。
5. 請求項３又は４に記載のセキュリティ対処サーバにおいて、
   前記属性情報の組みには予め優先度が決められていて、
   前記資産分布状況抽出部は、前記優先度に従い、前記他の情報資産を備える端末を特定し前記資産分布状況情報を抽出することを特徴とするセキュリティ対処サーバ。
6. 請求項１乃至５のいずれか一項に記載のセキュリティ対処サーバにおいて、
   前記資産分布状況抽出部は、前記インシデントが発生した端末に格納された前記情報資産の前記属性情報の組み合わせと、特定の数以上一致する情報資産を有する他の端末を特定し前記資産分布状況情報を抽出することを特徴とするセキュリティ対処サーバ。
7. 請求項３乃至６のいずれか一項に記載のセキュリティ対処サーバにおいて、
   前記リスク値計算部は、前記他の情報資産を備える端末が有する前記情報資産の属性情報に基づいて前記リスク値を計算することを特徴とするセキュリティ対処サーバ。
8. 請求項７に記載のセキュリティ対処サーバにおいて、
   前記リスク値は、時系列で変動することを特徴とするセキュリティ対処サーバ。
9. 請求項１乃至８のいずれか一項に記載のセキュリティ対処サーバにおいて、
   前記対処案計算部は、前記資産の分布の度合いにより、前記セキュリティ度の変更内容を変化させることを特徴とするセキュリティ対処サーバ。
10. 請求項１乃至９のいずれか一項に記載のセキュリティ対処サーバにおいて、
    前記検知部は、前記端末が新たに資産を保持する度に当該資産に関する属性情報を当該端末から受信することを特徴とするセキュリティ対処サーバ。
11. 請求項１乃至１０のいずれか一項に記載のセキュリティ対処サーバと、前記端末と、当該セキュリティ対処サーバと当該端末とを接続するネットワークと、を備えたセキュリティ対処システム。
12. インシデントへの対処を指示するセキュリティ対処方法において、
    端末でのインシデントを検知する検知ステップと、
    前記インシデントが発生した端末が保持する情報資産に類似する情報資産を保有する他の端末に関する情報である資産分布状況情報を抽出する資産分布状況抽出ステップと、
    前記資産分布状況情報に基づき、前記インシデントのリスク値を計算するリスク値計算ステップと、
    前記インシデントの種類と前記リスク値とから、当該インシデントに対する対処案を計算する対処案計算ステップと、
    前記対処案を、前記情報資産を保有する他の端末に送信する対処指示ステップと、
    を備えることを特徴とするセキュリティ対処方法。

Images