JP4585925B2 - セキュリティ設計支援方法及び支援装置 - Google Patents

Description

本発明は、セキュリティ設計支援方法及び支援装置に係り、特に、ＩＴ製品またはシステムのセキュリティ環境定義、考慮すべき脅威及び実施する対策の決定を支援するセキュリティ設計支援方法及び支援装置に関する。

近年、ＩＴ製品及びシステムを構成する要素が急速に増大しており、これら要素間の関連も益々複雑化してきている。また、世の中の基盤・基幹を担うＩＴ製品及びシステムも多く、セキュリティの確保が必要不可欠となっている。一方、ＩＴ製品またはシステムにおける考慮すべきセキュリティ上の脅威及びこれに対する対策を漏れなく、効率よく決定することは益々困難になってきている。

ＩＴ製品及びシステムのセキュリティ設計を行うためには、熟練者の経験・専門技術が必要であるが、従来、セキュリティ設計を通じて得られたノウハウ・スキルを再利用することは困難であった。また、複雑なＩＴ製品及びシステムで考慮すべき脅威を抜け漏れなく洗い出し、矛盾なく有効な対策を決定するためには、多大な労力を要するという問題点を抱えていた。これらの問題に対応することが可能なセキュリティ仕様書作成支援ツールに関する従来技術として、例えば、特許文献１等に記載された技術が知られている。この従来技術は、複数のＩＴ製品を構成する情報ネットワークシステムに対して、国際セキュリティ評価基準ＩＳＯ／ＩＥＣ１５４０８に準拠した既存のセキュリティ仕様書を元にセキュリティ仕様書を作成する方法に関するものである。
特開２００４−３４１６２３号公報

前述した特許文献１に記載の従来技術は、情報ネットワークシステムを構成するＩＴ製品に関する再利用可能なセキュリティ仕様書が充分存在し、また、各ＩＴ製品のセキュリティ仕様書の評価対象が、ユーザが想定している対象と一致することを前提としている。一般に、ＩＴ製品及びシステムのセキュリティ設計を行うためには、対象とするＩＴ製品またはシステムで想定される脅威及び実施すべき対策を過不足なく抽出することが肝要である。

このため、前述した従来技術による方法を使用する場合にも、熟練者の経験・専門技術が必要であり、また、セキュリティ設計を通じて得られたノウハウ・スキルを明文化することが難しく、再利用することが困難であるという問題点を生じていた。

すなわち、前述した従来技術による方法を利用しようとしても、未熟練者にとっては、何が脅威か判らない、どの脅威が深刻なのかが判らない、どのように対策すればよいのかが判らない、どこまで対策すればよいのか判らないといった問題があった。

また、前述した従来技術は、日増しに複雑化していくIT製品及びシステムで考慮すべき脅威を抜け漏れなく洗い出し、矛盾なく有効な対策を決定するためには、多大な労力を必要とするという問題点を有している。

本発明の目的は、前述した従来技術の問題点を解決し、ＩＴ製品またはシステムのセキュリティ環境定義、考慮すべき脅威及び実施する対策の決定を支援することを可能にしたセキュリティ設計支援方法及び支援装置を提供することにある。

本発明によれば前記目的は、記憶装置を有し、ＩＴ製品またはシステムに対するセキュリティ設計を支援するセキュリティ設計支援装置におけるセキュリティ設計支援方法において、前記セキュリティ設計支援装置のセキュリティ環境定義支援部が、前記ＩＴ製品またはシステムの環境要素である情報資産、アクセスエージェント、物理環境、インタフェースを有するネットワーク環境、インタフェースを有する前提ソフトウェア、及び、前提ハードウェアのそれぞれの環境要素に、前記セキュリティ設計支援装置が有するＧＵＩからユーザが入力装置を介して入力した属性を設定し、前記セキュリティ設計支援装置のアクセスルール設定部が、前記情報資産と前記アクセスエージェントとの間のアクセスルールを前記ＧＵＩからユーザ入力装置を介してユーザから受け付け、前記セキュリティ設計支援装置の環境要素間関連付け処理部が、前記前提ハードウェア、前記物理環境、及び、前記ネットワーク環境の各環境要素間の関連と、前記前提ハードウェア及び前記前提ソフトウェアの各環境要素間の関連とを前記ＧＵＩからユーザ入力装置を介してユーザから受け付け、前記セキュリティ設計支援装置のデータフロー定義処理部が、前記環境要素間のデータフローを前記ＧＵＩからユーザ入力装置を介してユーザから受け付け、前記属性が設定された前記環境要素と、脅威の対象毎に、前記記憶装置に記憶された、前記アクセスエージェント、前記情報資産、前記インタフェースを割り当てて定義される脅威の内容が格納された脅威ＤＢとから定まる脅威侯補の内、前記セキュリティ設計支援装置の脅威侯補抽出処理部が、前記アクセスルールとして正当なアクセスとして定義された操作を脅威ではないとして前記脅威候補から省き、前記データフローにより定義された環境要素が持つインタフェースの内、前記環境要素間の関連から前記アクセスエージェントがアクセスできないインタフェースに関連した脅威を前記脅威候補から省き、また、前記データフローで定義された環境要素が持つインタフェースの内、前記環境要素間の関連から前記アクセスエージェントがアクセスできるインタフェースに関連し、環境要素自身が持つ属性値から存在し得ない脅威を前記脅威候補から省き、前記脅威候補を省いた結果、残っている脅威を前記ＧＵＩを介して出力装置からユーザに提示することにより、前記ユーザが前記ＧＵＩを介して入力装置から指定した脅威に対して、前記脅威ＤＢに定義されている脅威に対応付けられている対策ＩＤを用いて、前記記憶装置に記憶されている前記対策ＩＤに対応する対策候補を抽出し、前記ＧＵＩを介して出力装置から前記ユーザに抽出した対策候補を提示することにより達成される。

また、前記目的は、記憶装置を有し、ＩＴ製品またはシステムに対するセキュリティ設計を支援するセキュリティ設計支援装置において、セキュリティ環境定義支援部と、アクセスルール設定部と、環境要素間関連付け処理部と、データフロー定義処理部と、脅威侯補抽出処理部とを備え、前記セキュリティ環境定義支援部が、前記ＩＴ製品またはシステムの環境要素である情報資産、アクセスエージェント、物理環境、インタフェースを有するネットワーク環境、インタフェースを有する前提ソフトウェア、及び、前提ハードウェアのそれぞれの環境要素に、前記セキュリティ設計支援装置が有するＧＵＩからユーザが入力装置を介して入力した属性を設定し、前記アクセスルール設定部が、前記情報資産と前記アクセスエージェントとの間のアクセスルールを前記ＧＵＩからユーザ入力装置を介してユーザから受け付け、前記環境要素間関連付け処理部が、前記前提ハードウェア、前記物理環境、及び、前記ネットワーク環境の各環境要素間の関連と、前記前提ハードウェア及び前記前提ソフトウェアの各環境要素間の関連とを前記ＧＵＩからユーザ入力装置を介してユーザから受け付け、前記データフロー定義処理部が、前記環境要素間のデータフローを前記ＧＵＩからユーザ入力装置を介してユーザから受け付け、前記属性が設定された前記環境要素と、脅威の対象毎に、前記記憶装置に記憶された、前記アクセスエージェント、前記情報資産、前記インタフェースを割り当てて定義される脅威の内容が格納された脅威ＤＢとから定まる脅威侯補の内、前記脅威侯補抽出処理部が、前記アクセスルールとして正当なアクセスとして定義された操作を脅威ではないとして前記脅威候補から省き、前記データフローにより定義された環境要素が持つインタフェースの内、前記環境要素間の関連から前記アクセスエージェントがアクセスできないインタフェースに関連した脅威を前記脅威候補から省き、また、前記データフローで定義された環境要素が持つインタフェースの内、前記環境要素間の関連から前記アクセスエージェントがアクセスできるインタフェースに関連し、環境要素自身が持つ属性値から存在し得ない脅威を前記脅威候補から省き、前記脅威候補を省いた結果、残っている脅威を前記ＧＵＩを介して出力装置からユーザに提示することにより、前記ユーザが前記ＧＵＩを介して入力装置から指定した脅威に対して、前記脅威ＤＢに定義されている脅威に対応付けられている対策ＩＤを用いて、前記記憶装置に記憶されている前記対策ＩＤに対応する対策候補を抽出し、前記ＧＵＩを介して出力装置から前記ユーザに抽出した対策候補を提示することにより達成される。

本発明によれば、ＩＴ製品またはシステムのセキュリティ環境を容易に定義することができ、かつ、未熟練者でも容易に、抜け漏れなくセキュリティ設計を行うことができる。

以下、本発明によるセキュリティ設計支援方法及び支援装置の実施形態を図面により詳細に説明する。

図１は本発明の一実施形態によるセキュリティ設計支援装置の機能構成を示すブロック図である。図１において、１００は入出力・編集機能部、２００はセキュリティ環境定義処理部、２０１は環境要素配置処理部、２０２は環境要素属性設定処理部、２０３はアクセスルール設定処理部、２０４は環境要素間関連付け処理部、２０５はデータフロー定義処理部、２０６、３０５は結果出力部、３００は脅威・対策抽出・選定支援機能部、３０１は脅威候補抽出処理部、３０２は脅威候補提示・選択処理部、３０３は対策候補抽出処理部、３０４は対策候補提示・選択処理部、４００はデータベース読み出し機能部、５００はデータベース登録・編集機能部、６１０は環境要素ＤＢ、６２０は脅威抽出ルールＤＢ、６３０は脅威ＤＢ、６４０は対策ＤＢ、７０１はセキュリティ環境データ、７０２は脅威−対策データである。

本発明の実施形態によるセキュリティ設計支援装置は、図１に示すように、入出力・編集機能部１００と、セキュリティ環境データ７０１を生成出力するセキュリティ環境定義処理部２００と、脅威−対策データ７０２を生成出力する脅威・対策抽出・選定支援機能部３００と、データベース読み出し機能部４００と、データベース登録・編集機能部５００と、環境要素ＤＢ６１０と、脅威抽出ルールＤＢ６２０と、脅威ＤＢ６３０と、対策ＤＢ６４０とを備えて構成される。また、セキュリティ環境定義処理部２００は、環境要素配置処理部２０１、環境要素属性設定処理部２０２、アクセスルール設定処理部２０３、環境要素間関連付け処理部２０４、データフロー定義処理部２０６、結果出力部２０６の各処理部を備えて構成され、脅威・対策抽出・選定支援機能部３００は、脅威候補抽出処理部３０１、脅威候補提示・選択処理部３０２、対策候補抽出処理部３０３、対策候補提示・選択処理部３０４、結果出力部３０５の各処理部を備えて構成されている。

前述したような機能構成を備えるセキュリティ設計支援装置は、ＣＰＵ、主メモリ、ハードディスク等の外部記憶装置、入力装置としてのキーボード、マウス、表示装置等を備えて構成されるＰＣ、ワークステーション等を代表としてよく知られている情報処理装置内に構築することができる。そして、前述したセキュリティ設計支援装置を構成する各機能部は、外部記憶装置から主メモリにロードされて、ＯＳの下でＣＰＵにより実行されることによりそれぞれの機能が実行される。また、前述したセキュリティ設計支援装置に含まれる各ＤＢは、外部記憶装置内に格納されて利用される。

前述したセキュリティ設計支援装置を使用してセキュリティ設計を行うユーザは、入出力・編集機能部１００、環境要素ＤＢ６１０、環境要素配置処理部２０１を使用して環境要素である情報資産、アクセスエージェント、物理環境、ネットワーク環境、前提ハードウェア、前提ソフトウェアの配置を行う。また、ユーザは、環境要素属性設定処理部２０２を使用して各環境要素の属性値を設定し、アクセスルール設定処理部２０３を使用して、情報資産とアクセスエージェント間の正当なアクセスルールとを設定する。さらに、ユーザは、要素間関連付け処理部２０４を使用して配置した前提ハードウェアと物理的環境及びネットワーク環境との関連付け、並びに、前提ソフトウェアと前提ハードウェアとの関連付けを行うと共に、データフロー定義処理部２０５を使用して各情報資産のデータフローを前提ソフトウェアに関連付ける。前述で定義されたセキュリティ環境は、結果出力部２０６により、セキュリティ環境データ７０１として出力される。

脅威候補抽出処理部３０１は、脅威抽出ルールＤＢ６２０、脅威ＤＢ６３０、定義されたセキュリティ環境から脅威の候補を抽出する。脅威候補提示・選択処理部３０２は、抽出された脅威候補をユーザに提示し、ユーザは、セキュリティ設計を行う対象システムの脅威として考慮すべきか否かを選定する。対策候補抽出処理部３０３は、対策ＤＢ６４０を検索し、選定された脅威に対応する対策候補を抽出する。対策候補提示・選択処理部３０４は、選定された脅威及び抽出された対策候補をユーザに提示し、ユーザは、対象システムの対策として実施する対策を選定する。選定された脅威及び対策は、結果出力部３０５により、脅威−対策データ７０２として出力される。

図２は本発明の実施形態によるセキュリティ設計支援方法を用いてセキュリティ設計を行う対象システムの構成例を示すブロック図である。図２において、１０００はマシンエリア、１１００はサーバマシン、１１０１、２１０１はＣＰＵ、１１０２、２１０２は主メモリ、１１０３、２１０３はネットワーク装置、１１０４、２１０４は外部記憶装置、１１０５、２１０５は入出力装置、１２０１はサーバＯＳ、１２０２は業務サーバアプリケーション、１２０３はデータベース、１２０４は管理コマンド、１３０１は業務データ、１３０２は認証データ、１３０３は設定データ、１５０１は管理ユーザ、２０００はオフィスエリア、２１００はクライアントマシン、２５０１は正当な業務ユーザ、２５０２、３５０１は不正なユーザ、３０００は社内ネットワークである。

対象システムは、図２に示すように、マシンエリア１０００にサーバマシン１１００が設置され、オフィスエリア２０００にクライアントマシン２１００が設置されてコマンドされているものとする。サーバマシン１１００は、ＣＰＵ１１０１、主メモリ１１０２、ネットワーク装置１１０３、外部記憶装置１１０４、入出力装置１１０５を備え、クライアントマシン２１００は、ＣＰＵ２１０１、主メモリ２１０２、ネットワーク装置２１０３、外部記憶装置２１０４、入出力装置２１０５を備えている。サーバマシン１１００とクライアントマシン２１００とは、社内ネットワーク３０００で接続されている。

サーバマシン１１００の主メモリ１１０２には、サーバＯＳ１２０１と、業務サーバアプリケーション１２０２と、データベース１２０３と、管理コマンド１２０４とが格納され、ＣＰＵ１１０１に制御されて動作する。また、クライアントマシン２１００の主メモリ２１０２には、クライアントＯＳ２２０１と、業務クライアントアプリケーション２２０２とが格納されて、ＣＰＵ２１０１に制御されて動作する。業務データ１３０１及び認証データ１３０２は、データベース１２０３として、外部記憶装置１１０４内に格納されている。

前述のようにコマンドされる対象システムにおいて、正当な業務ユーザ２５０１は、入出力装置２１０５を使用して、業務クライアントアプリケーション２２０２、クライアントＯＳ２２０１、社内ネットワーク３０００、サーバＯＳ１２０１、業務サーバアプリケーション１２０２、データベース１２０３を介して教務データ１３０１にアクセスすることができる。また、管理ユーザ１５０１は、メンテナンスのために、入出力装置１１０５を使用して、管理コマンド１２０４、データベース１２０３を介して業務データ１３０１及び認証データ１３０２にアクセスすることができる。

設定データ１３０３は、サーバマシン１１００の主メモリ１１０３にファイルの形式で格納され、業務サーバアプリケーション１２０２から利用される。また、設定データ１３０３は、管理ユーザ１５０１からメンテナンスのためにアクセスされる。マシンエリア１０００には、管理ユーザ１５０１のみが立ち入ることができるが、オフィスエリア２０００には、正当な業務ユーザ２５０１及び不正なユーザ２５０２が立ち入る可能性がある。また、ネットワーク３０００に対して不正なユーザ３５０１がアクセスする可能性がある。管理ユーザ１５０１は、信頼できるものとし、正当な業務ユーザ２５０１は、自分の業務の遂行に関して、信頼できるものとする。

図３、図４は各環境要素の雛型の例を示す図であり、次に、各環境要素の雛型の例について説明する。すでに説明したように、環境要素には、情報資産、アクセスエージェント、物理環境、ネットワーク環境、前提ソフトウェア、前提ハードウェアがある。

情報資産の雛形６１１は、図３（ａ）に示すように、属性名として、環境要素ＩＤ、種別、名称、説明、機密レベル、脅威の項目があり、これらに属性値が設定できるように構成され、アクセスエージェントの雛形６１２は、図３（ｂ）に示すように、属性名として、環境要素ＩＤ、役割、名称、説明、責任、信頼度合いの項目があり、これらに属性が設定できるように構成され、また、物理環境の雛形６１３は、図３（ｂ）に示すように、属性名として、環境要素ＩＤ、種別、名称、説明の項目がありこれらに属性値が設定できるように構成される。ネットワーク環境の雛形６１４は、図４（ａ）に示すように、属性名として、環境要素ＩＤ、種別、名称、説明、インタフェースの項目があり、これらに属性値が設定できるように構成され、前提ソフトウェアの雛形６１５は、図４（ｂ）に示すように、属性名として、環境要素ＩＤ、種別、名称、説明、インタフェース、セキュリティ機能の項目があり、これらに属性値が設定できるように構成され、また、前提ハードウェアの雛形６１６は、図４（ｃ）に示すように、属性名として、環境要素ＩＤ、種別、名称、説明の項目があり、これらに属性値が設定できるように構成される。

前述した各環境要素は、セキュリティ設計を行うユーザにより、入出力・編集機能部１００、環境要素ＤＢ６１０、環境要素配置処理部２０１を使用して環境要素である情報資産、アクセスエージェント、物理環境、ネットワーク環境、前提ハードウェア、前提ソフトウェアの配置が行われ、また、環境要素属性設定処理部２０２を使用して各環境要素の属性値を含む項目が設定される。これらの項目の設定は、図２に示したセキュリティ設計を行う対象システムのブロック構成を、ＧＵＩ(Graphical User Interface)を使用して表示させて行われる。次に、前述した各環境要素の雛型に対して各属性値を設定した例について説明する。

図５は図２に示したセキュリティ設計を行う対象システムの情報資産に属性値を設定した例を示す図である。対象システムには、図２から判るように、情報資産として、業務データ１３０１、認証データ１３０２、設定データ１３０３があり、これらのそれぞれに対して属性値が設定される。

業務データの情報資産６１１１には、図５（ａ）に示すように、環境要素ＩＤに＜１３０１＞、種別に［ユーザデータ］、名称に＜業務データ＞、説明に＜業務で使用するデータである＞、機密レベルに［中］、脅威に［改竄、盗聴、破壊］の属性値が設定される。認証データの情報資産６１１２には、図５（ｂ）に示すように、環境要素ＩＤに＜１３０２＞、種別に［セキュリティデータ］、名称に＜認証データ＞、説明に＜業務ユーザを認証するためのデータである＞、機密レベルに［高］、脅威に［改竄、盗聴］の属性値が設定される。設定データの情報資産６１１３には、図５（ｃ）に示すように、環境要素ＩＤに＜１３０３＞、種別に［設定データ］、名称に＜設定データ＞、説明に＜業務サーバアプリケーションを動作させるためのデータである＞、機密レベルに［低］、脅威に［改竄］の属性値が設定される。

図６は図２に示したセキュリティ設計を行う対象システムのアクセスエージェントに属性値を設定した例を示す図である。対象システムには、図２から判るように、アクセスエージェントとして、管理ユーザ１５０１、一般ユーザとしての正当な業務ユーザ２５０１、不正なユーザ２５０２、３５０１があり、これらのそれぞれに対して属性値が設定される。

管理ユーザのアクセスエージェント６１２１には、図６（ａ）に示すように、環境要素ＩＤに＜１５０１＞、種別に［管理ユーザ］、名称に＜管理ユーザ＞、説明に＜サーバマシンのメンテナンスを行う。マシンエリアに立ち入ることができる。＞、責任に＜マシンエリア内のサーバマシンの安定稼働に責任を持つ＞、信頼度合いに［高］の属性値が設定される。一般ユーザのアクセスエージェント６１２２には、図６（ｂ）に示すように、環境要素ＩＤに＜２５０１＞、種別に［一般ユーザ］、名称に＜正当な業務クライアント＞、説明に＜クライアントマシンから業務を行う、オフィスエリアに立ち入ることができる。マシンエリアに立ち入ることはできない。＞、責任に＜自分に課せられた業務に対しては責任を持つ＞、信頼度合いに［中］の属性値が設定される。

オフィスエリア内の不正なユーザのアクセスエージェント６１２３には、図６（ｃ）に示すように、環境要素ＩＤに＜２５０２＞、種別に［不正ユーザ］、名称に＜不正なユーザ＞、説明に＜業務システムに対してアカウントを持たない。オフィスエリアには立ち入ることができる。＞、責任に＜業務システム及び業務に対して何の責任も持たない＞、信頼度合いに［低］の属性値が設定される。外部に居る不正なユーザのアクセスエージェント６１２４には、図６（ｄ）に示すように、環境要素ＩＤに＜３５０１＞、種別に［不正ユーザ］、名称に＜不正なユーザ＞、説明に＜社内のネットワークにアクセスすることができる＞、責任に＜業務システム及び業務に対して何の責任も持たない＞、信頼度合いに［低い］の属性値が設定される。

図７は図２に示したセキュリティ設計を行う対象システムの物理環境に属性値を設定した例を示す図である。対象システムには、図２から判るように、物理環境として、マシンエリア１０００、オフィスエリア２０００、社内ネットワーク３０００のあるネットワーク環境があり、これらのそれぞれに対して属性値が設定される。

マシンエリアの物理環境６１３１には、図７（ａ）に示すように、環境要素ＩＤに＜１０００＞、種別に［マシンエリア］、名称に＜マシンエリア＞、説明に＜入退出管理が行われており、許可された人物しか立ち入ることができない。＞の属性値が設定される。オフィスエリアの物理環境６１３２には、図７（ｂ）に示すように、環境要素ＩＤに＜２０００＞、種別に［オフィスエリア］、名称に＜オフィスエリア＞、説明に＜入退出管理が行われていない。＞の属性値が設定される。また、ネットワーク環境の物理環境６１３３には、図７（ｃ）に示すように、環境要素ＩＤに＜３０００＞、種別に［イントラネット］、名称に＜社内ネットワーク＞、説明に＜入力＞、インタフェースに＜物理的なアクセス＞の属性値が設定される。

図８、図９は図２に示したセキュリティ設計を行う対象システムの前提ソフトウェアに属性値を設定した例を示す図である。対象システムには、図２から判るように、前提ソフトウェアとして、サーバＯＳ１２０１、業務サーバアプリケーション１２０２、データベース１２０３、クライアントＯＳ２２０１、業務クライアントアプリケーション２２０２があり、これらのそれぞれに対して属性値が設定される。

サーバＯＳの前提ソフトウェア６１５１には、図８（ａ）に示すように、環境要素ＩＤに＜１２０１＞、種別に［ＯＳ］、名称に＜サーバＯＳ＞、説明に＜サーバマシンで稼働するＯＳ＞、インタフェースに＜サーバＯＳコマンド＞、セキュリティ機能に＜識別・認証機能、アクセス制御機能、ファイル暗号化機能＞の属性値が設定される。業務サーバアプリケーションの前提ソフトウェア６１５２には、図８（ｂ）に示すように、環境要素ＩＤに＜１２０２＞、種別に［アプリケーション］、名称に＜業務サーバアプリケーション＞、説明に＜業務を処理するサーバアプリケーション＞、インタフェースに＜サーバＯＳインタフェース、データベースインタフェース＞の属性値が設定される。

データベースの前提ソフトウェア６１５３には、図９（ａ）に示すように、環境要素ＩＤに＜１２０３＞、種別に［ＤＢＭＳ］、名称に＜データベース＞、説明に＜業務で使用するデータベース＞、インタフェースに＜データベースコマンド＞、セキュリティ機能に＜識別・認証機能、アクセス制御機能、テーブル暗号化機能＞の属性値が設定される。クライアントＯＳの前提ソフトウェア６１５４には、図９（ｂ）に示すように、環境要素ＩＤに＜２２０１＞、種別に［ＯＳ］、名称に＜クライアントＯＳ＞、説明に＜クライアントマシンで稼働するＯＳ＞、インタフェースに＜クライアントＯＳコマンド＞、セキュリティ機能に＜識別・認証機能、アクセス制御機能、ファイル暗号化機能＞の属性値が設定される。また、業務クライアントアプリケーションの前提ソフトウェア６１５５には、図９（ｃ）に示すように、環境要素ＩＤに＜２２０２＞、種別に［アプリケーション］、名称に＜業務クライアントアプリケーション＞、説明に＜業務で使用するクライアントアプリケーション＞、インタフェースに＜クライアントＯＳインタフェース＞の属性値が設定される。

図１０は図２に示したセキュリティ設計を行う対象システムの前提ハードウェアに属性値を設定した例を示す図である。対象システムには、図２から判るように、前提ハードウェアとして、サーバマシン１１００、クライアントマシン２１００があり、これらのそれぞれに対して属性値が設定される。

サーバマシンの前提ハードウェア６１６１には、図１０（ａ）に示すように、環境要素ＩＤに＜１１００＞、種別に［サーバマシン］、名称に＜サーバマシン＞、説明に＜業務サーバアプリケーションが稼働するハードウェア＞の属性値が設定される。クライアントマシンの前提ハードウェア６１６２には、図１０（ｂ）に示すように、環境要素ＩＤに＜２１００＞、種別に［クライアントマシン］、名称に＜クライアントマシン＞、説明に＜業務クライアントアプリケーションが稼働するハードウェア＞の属性値が設定される。

図１１は図２に示したセキュリティ設計を行う対象システムの例に対して、アクセスルール設定処理部２０３により設定した、情報資産とアクセスエージェントのアクセスルールとの例を説明する図である。

アクセスルール２１１は、情報資産である業務データ１３０１、認証データ１３０２、設定データ１３０３と、アクセスエージェントである管理ユーザ１５０１、正当な業務ユーザ２５０１、不正なユーザ２５０２との間の通常の業務におけるアクセスルールを定めたものである。図１１に示すように、管理ユーザ１５０１は、業務データ１３０１、認証データ１３０２、設定データ１３０３に対して、読み、書き、削除を行うことができ、また、正当な業務ユーザ２５０１は、業務データ１３０１、認証データ１３０２に対して、読み、書きを行うことができるが、設定データに対してはアクセスすることができない。一方、不正なユーザ２５０２は、業務データ、認証データ、設定データに対してアクセスすることができない。

図１２は図２に示したセキュリティ設計を行う対象システムの例に対して、環境要素間関連付け処理部２０４により関連付けられた前提ハードウェアと物理的環境とネットワーク環境との各環境要素間の関連の例を説明する図である。

図１２（ａ）に示すように、マシンエリア１０００は、管理ユーザ１５０１、サーバマシン１１００と関連付けられ、サーバマシン１１００は、ＣＰＵ１１０１、メモリ１１０２、ネットワーク装置１１０３、外部記憶装置１１０４、入出力装置１１０５と関連付けられる。また、図１２（ｂ）に示すように、オフィスエリア２０００は、正当なユーザ２５０１、不正なユーザ２５０２、クライアントマシン２１００と関連付けられ、クライアントマシン２１００は、ＣＰＵ２１０１、メモリ２１０２、ネットワーク装置２１０３、外部記憶装置２１０４、入出力装置２１０５と関連付けられる。さらに、図１２（ｃ）に示すように、社内ネットワーク３０００は、サーバマシン１１００内のネットワーク装置１１０３と、クライアントマシン２１００内のネットワーク装置２１０３と、不正なユーザ３５０１と関連付けられる。

図１３は図２に示したセキュリティ設計を行う対象システムの例に対して、環境要素間関連付け処理部２０４により関連付けられた前提ハードウェアと前提ソフトウェアとの各環境要素間の関連の例を説明する図である。

図１３（ａ）に示すように、サーバマシン１１００は、サーバＯＳ１２０１、業務サーバアプリケーション１２０２、管理コマンド１２０３、データベース１２０４と関連付けられ、また、図１３（ｂ）に示すように、クライアントマシン２１００は、クライアントＯＳ２２０１、業務クライアントアプリケーション２２０２と関連付けられる。

図１４は図２に示したセキュリティ設計を行う対象システムの例に対して、データフロー定義処理部２０５により定義されたデータフローの例を説明する図である。

図１４に示すデータフロー２０５１は、業務データ１３０１が、データベース１２０３、業務サーバアプリケーション１２０２、サーバＯＳ１２０１、サーバマシン１１００、社内ネットワーク３０００、クライアントマシン２１００、クライアントＯＳ２２０１、業務クライアントアプリケーション２２０２を介して正当な業務ユーザ２５０１へと流れるフローを示している。このフローは、正当な業務ユーザ２５０１が、業務データの要求を行う場合、前述とは逆の方向に要求データが流れることになる。

図１５は脅威ＤＢ６３０に格納される脅威の雛形としてのテーブルの構成例を説明する図である。脅威ＤＢ６３０に格納されるテーブルは、脅威の対象毎に備えられており、各テーブルは、脅威ＩＤ、脅威の対象、脅威の内容、対策ＩＤから構成されている。なお、各テーブルで、＜割当：＞となっている部分の意味については後述する。

図１５（ａ）に示すテーブルは、着脱可能なメディアに格納されたデータを脅威の対象としたテーブルであり、脅威の内容として、「アクセスエージェントが不正にメディアを取り外すことにより、情報資産が漏洩するかもしれない。」が格納され、対策ＩＤとして、対策ＤＢ６４０に格納された対策のＩＤが示されている。

図１５（ｂ）に示すテーブルは、マシン内部のメモリ、外部記憶装置等のメディアに格納されたデータを脅威の対象としたテーブルであり、脅威の内容として、「アクセスエージェントがインタフェースを使用して、情報資産を参照／改変／削除／追加するかもしれない。」が格納され、対策ＩＤとして、対策ＤＢ６４０に格納された対策のＩＤが示されている。

図１５（ｃ）に示すテーブルは、通信回線上のデータを脅威の対象としたテーブルであり、脅威の内容として、「アクセスエージェントが通信回線を流れてくる情報資産を参照するかもしれない。」が格納され、対策ＩＤとして、対策ＤＢ６４０に格納された対策のＩＤが示されている。

図１６〜図１８は対策ＤＢ６４０に格納されるテーブルの構成例を説明する図である。対策ＤＢ６４０に格納されるテーブルは、脅威の対象毎の複数の対策のそれぞれに対応して備えられており、各テーブルは、対策ＩＤ、種別、効果、対策の内容から構成されている。

図１６（ａ）〜図１６（ｃ）に示すテーブルは、図１５（ａ）により説明したような着脱可能なメディアに格納されたデータへの脅威に対する対策を格納しており、これらのテーブルには、対策の内容として「メディアの取り外しができないような機器を使用する。」、「データを暗号かする。」、「ストレージメディアの有無を定期的にチェックする。」が格納されている。

図１７（ａ）〜図１７（ｃ）に示すテーブルは、図１５（ｂ）により説明したようなマシン内部のメモリ、外部記憶装置等のメディアに格納されたデータへの脅威に対する対策を格納しており、これらのテーブルには、対策の内容として「アプリケーションの実行を制限する。」、「データへのアクセス制限を実施する。」、「アプリケーションの操作ログを監視する。」が格納されている。

図１８（ａ）〜図１８（ｃ）に示すテーブルは、図１５（ｃ）により説明したような通信回線上のデータへの脅威に対する対策を格納しており、これらのテーブルには、対策の内容として「通信回線を物理的に保護する。」、「回線が制御された装置を管理する。」、「盗聴・改ざんを防止する前提ソフトウェアを使用する。」が格納されている。

図１９は脅威候補抽出処理部３０１が脅威抽出ルールＤＢ６２０と脅威ＤＢ６３０とを使用して脅威を抽出する処理動作を説明するフローチャートであり、次に、これについて説明する。

（１）脅威候補抽出処理部３０１は、脅威ＤＢ６３０に格納されている図１５に示すような脅威の雛形６３００１〜６３００３に記述された＜割当：＞となっている部分に、セキュリティ環境で定義された全てのアクセスエージェント、情報資産、インタフェースを当てはめた脅威候補のリストを作成する（ステップ６２００１）。

（２）ステップ６２００１のリストの１つ１つについて、アクセスルールとして正当なアクセスとして定義された操作は、脅威とはならないので、その候補リストの脅威が図１１に示すアクセスルールに定義されているか否かを判定する（ステップ６２００２、６２００３）。

（３）ステップ６２００３の判定で、その候補リストの脅威が図１１に示すアクセスルールに定義されていなかった場合、その候補リストの脅威は、脅威とはならないので、ステップ６００２からの処理に戻って次の候補リストについての処理を続け、定義されていた場合、図１４に示したデータフロー２０５１で定義された環境要素が持つインタフェースの内、環境要素間の関連からアクセスエージェントがアクセスできないインタフェースに関連した脅威は、脅威とはならないので、その候補リストのアクセスエージェントが、データフロー２０５１内の各インタフェースにアクセスできないものであるか否かをアクセスルールに基づいて判定する（ステップ６２００４、６２００５）。

（４）ステップ６２００５の判定で、アクセスエージェントが、データフロー２０５１内の各インタフェースにアクセスできないものであった場合、その候補リストの脅威は、脅威とはならないので、ステップ６００２からの処理に戻って次の候補リストについての処理を続け、アクセスできるものであった場合、図１４に示したデータフロー２０５１で定義された環境要素が持つインタフェースの内、環境要素自身がが持つ属性値から存在し得ない脅威は、脅威とはならないので、その候補リストについて、環境要素の属性値として脅威とならないか否かを判定する（ステップ６２００６、６２００７）。

（５）ステップ６２００７の判定で、環境要素の属性値として脅威とならないものであった場合、その候補リストの脅威は、脅威とはならないので、ステップ６００２からの処理に戻って次の候補リストについての処理を続け、環境要素の属性値として脅威となるものであった場合、その候補リストの脅威は、脅威となるものであるので、その候補リスト脅威としてユーザに提示すると共に、その脅威を格納し、脅威が残っているか否かを判定する（ステップ６２００８、６２００９）。

（６）ステップ６２００９の判定で、脅威が残っていれば、ステップ６００２からの処理に戻って次の候補リストについての処理を続け、脅威が残っていなければ、ここでの処理を終了する。

脅威候補抽出処理部３０１は、図１１に示したアクセスルール、図１２、図１３に示した環境要素の関連、図１４に示したデータフローに基づいて、前述で説明したような処理を行うことにより脅威を抽出することができる。

前述した本発明の実施形態での処理は、プログラムとして構成して装置内に備えられているＣＰＵに実行させることができ、また、このプログラムは、ＦＤ、ＣＤ、ＭＯ、ＤＶＤＲＯＭ等の記録媒体に格納して提供することができ、また、ネットワークを介してディジタル情報により提供することができる。

図２０は脅威候補抽出処理部３０１による処理により得られた脅威候補の例について説明する図である。

図２０には、図２０（ａ）〜図２０（ｅ）に５つの脅威候補５０００１〜５０００５を示している。そして、図２０（ａ）に示す脅威候補５０００１は、「不正なユーザ２５０２が、業務クライアントアプリケーション２２０２を使用して、業務データ１３０１を参照、改変、削除するかもしれない。」となっており、図２０（ｂ）に示す脅威候補５０００２は、「不正なユーザ２５０２が、クライアントＯＳ２２０１のコマンドを使用して、業務データ１３０１を参照、改変、削除するかもしれない。」となっている。また、図２０（ｃ）に示す脅威候補５０００３は、「正当な業務ユーザ２５０１が、業務クライアントアプリケーション２２０２を使用して、業務データ１３０１を削除するかもしれない。」となっており、図２０（ｄ）に示す脅威候補５０００４は、「不正なユーザ３５０１が、社内ネットワーク３０００を流れる業務データ１３０１を参照するかもしれない。」となっている。

さらに、図２０（ｅ）に示す脅威候補５０００５は、「不正なユーザ２５０２が、不正にメディアを取り外すことにより、業務データ１３０１が漏洩するかもしれない。」となっているが、この脅威候補５０００５は、図１９に示すフローのステップ６２００４の処理における脅威抽出ルールの参照により排除される。

脅威候補提示・選択処理部３０２は、抽出された脅威候補をユーザに提示し、ユーザに、セキュリティ設計を行う対象システムの脅威として考慮すべきかどうかを選定させる。そして、対策候補抽出処理部３０３は、ユーザにより選定された脅威に対応付けられた対策ＩＤを元に、対策ＤＢ６４０を検索し、該当する対策候補を抽出する。対策候補提示・選択処理部３０４は、選定された脅威及び抽出された対策候補をユーザに提示し、ユーザに、対象システムの対策として実施する対策を選定させる。

図２１は結果出力部３０５から出力された脅威−対策データ７０２の例を説明する図である。この脅威−対策データ７０２は、脅威候補抽出処理部３０１による処理により得られた脅威候補に対して、前述した対策候補抽出処理部３０３が対策ＤＢ６４０を検索して得られた結果からユーザに選択させたものである。

図２１（ａ）〜図２１（ｄ）に示す脅威−対策データ７０２は、図２０（ａ）〜図２０（ｄ）に示す脅威候補に対する対策データを示しており、図２１（ａ）に示す脅威−対策データ６０００１は、図２０（ａ）に示す脅威候補５０００１の「不正なユーザ２５０２が、業務クライアントアプリケーション２２０２を使用して、業務データ１３０１を参照、改変、削除するかもしれない。」という脅威に対して、「・クライアントＯＳ２２０１で、業務クライアントアプリケーションの実行を制限することで防止できる。」及び「・業務サーバアプリケーション１２０２の機能により業務データ１３０１に対するアクセス制御を実施することで防止できる。」という対策を示し、また、図２１（ｂ）に示す脅威−対策データ６０００２は、図２０（ｂ）に示す脅威候補５０００２の「不正なユーザ２５０２が、クライアントＯＳ２２０１のコマンドを使用して、業務データ１３０１を参照、改変、削除するかもしれない。」という脅威に対して、「・クライアントＯＳ２２０１で、クライアントＯＳコマンドの実行を制限することで防止できる。」という対策を示している。

また、図２１（ｃ）に示す脅威−対策データ６０００３は、図２０（ｃ）に示す脅威候補５０００３の「正当な業務ユーザ２５０１が、業務クライアントアプリケーション２２０２を使用して、業務データ１３０１を削除するかもしれない。」という脅威に対して、「・業務サーバアプリケーション１２０２の機能により業務データ１３０１に対するアクセス制御を実施することで防止できる。」及び「・業務サーバアプリケーション１２０２、業務クライアントアプリケーション２２０２の操作ログを監視することで検出できる。」という対策を示し、図２１（ｄ）に示す脅威−対策データ６０００４は、図２０（ｄ）に示す脅威候補５０００４の「不正なユーザ３５０１が、社内ネットワーク３０００を流れる業務データ１３０１を参照するかもしれない。」という脅威に対して、「・盗聴・改ざんを防止する前提ソフトウェアを使用することで防止することができる。」という対策を示している。

前述したように、本発明の実施形態により、ＩＴ製品またはシステムに対するセキュリティ設計を行うことができるが、本発明は、前記のようなセキュリティ設計を通じて得られた事例・ルールを、環境要素ＤＢ、脅威抽出ルールＤＢ、脅威ＤＢ、対策ＤＢに登録・編集することができる。

前述した本発明の実施形態によれば、ＩＴ製品またはシステムのセキュリティ環境を、ＧＵＩを使用して容易に定義することができ、かつ、定義されたセキュリティ環境に基づいて、対象としているＩＴ製品またはシステムで考慮すべき脅威の抽出・選択、実施する対策の抽出・決定を支援することができるため、未熟練者でも容易に、抜け漏れなくセキュリティ設計を行うことができ、また、セキュリティ設計を通じて得られた事例・ルールを、環境要素ＤＢ、脅威抽出ルールＤＢ、脅威ＤＢ、対策ＤＢとして登録・編集することにより、ノウハウを再利用することができる。

本発明の一実施形態によるセキュリティ設計支援装置の機能構成を示すブロック図である。 本発明の実施形態によるセキュリティ設計支援方法を用いてセキュリティ設計を行う対象システムの構成例を示すブロック図である。 各環境要素の雛型の例（その１）を示す図である。 各環境要素の雛型の例（その２）を示す図である。 図２に示したセキュリティ設計を行う対象システムの情報資産に属性値を設定した例を示す図である。 図２に示したセキュリティ設計を行う対象システムのアクセスエージェントに属性値を設定した例を示す図である。 図２に示したセキュリティ設計を行う対象システムの物理環境に属性値を設定した例を示す図である。 図２に示したセキュリティ設計を行う対象システムの前提ソフトウェアに属性値を設定した例（その１）を示す図である。 図２に示したセキュリティ設計を行う対象システムの前提ソフトウェアに属性値を設定した例（その２）を示す図である。 図２に示したセキュリティ設計を行う対象システムの前提ハードウェアに属性値を設定した例を示す図である。 図２に示したセキュリティ設計を行う対象システムの例に対して、アクセスルール設定処理部により設定した、情報資産とアクセスエージェントのアクセスルールとの例を説明する図である。 図２に示したセキュリティ設計を行う対象システムの例に対して、環境要素間関連付け処理部により関連付けられた前提ハードウェアと物理的環境とネットワーク環境との各環境要素間の関連の例を説明する図である。 図２に示したセキュリティ設計を行う対象システムの例に対して、環境要素間関連付け処理部により関連付けられた前提ハードウェアと前提ソフトウェアとの各環境要素間の関連の例を説明する図である。 図２に示したセキュリティ設計を行う対象システムの例に対して、データフロー定義処理部により定義されたデータフローの例を説明する図である。 脅威ＤＢに格納される脅威の雛形としてのテーブルの構成例を説明する図である。 対策ＤＢに格納されるテーブルの構成例（その１）を説明する図である。 対策ＤＢに格納されるテーブルの構成例（その２）を説明する図である。 対策ＤＢに格納されるテーブルの構成例（その３）を説明する図である。 脅威候補抽出処理部が脅威抽出ルールＤＢと脅威ＤＢとを使用して脅威を抽出する処理動作を説明するフローチャートである。 脅威候補抽出処理部による処理により得られた脅威候補の例について説明する図である。 結果出力部から出力された脅威−対策データの例を説明する図である。

符号の説明

１００ 入出力・編集機能部
２００ セキュリティ環境定義処理部
２０１ 環境要素配置処理部
２０２ 環境要素属性設定処理部
２０３ アクセスルール設定処理部
２０４ 環境要素間関連付け処理部
２０５ データフロー定義処理部
２０６、３０５ 結果出力部
３００ 脅威・対策抽出・選定支援機能部
３０１ 脅威候補抽出処理部
３０２ 脅威候補提示・選択処理部
３０３ 対策候補抽出処理部
３０４ 対策候補提示・選択処理部
４００ データベース読み出し機能部
５００ データベース登録・編集機能部
６１０ 環境要素ＤＢ
６２０ 脅威抽出ルールＤＢ
６３０ 脅威ＤＢ
６４０ 対策ＤＢ
７０１ セキュリティ環境データ
７０２ 脅威−対策データ
１０００ マシンエリア
１１００ サーバマシン
１１０１、２１０１ ＣＰＵ
１１０２、２１０２ 主メモリ
１１０３、２１０３ ネットワーク装置
１１０４、２１０４ 外部記憶装置
１１０５、２１０５ 入出力装置
１２０１ サーバＯＳ
１２０２ 業務サーバアプリケーション
１２０３ データベース
１２０４ 管理コマンド
１３０１ 業務データ
１３０２ 認証データ
１３０３ 設定データ
１５０１ 管理ユーザ
２０００ オフィスエリア
２１００ クライアントマシン
２５０１ 正当な業務ユーザ
２５０２、３５０１ 不正なユーザ
３０００ 社内ネットワーク

Claims (2)

1. 記憶装置を有し、ＩＴ製品またはシステムに対するセキュリティ設計を支援するセキュリティ設計支援装置におけるセキュリティ設計支援方法において、
   前記セキュリティ設計支援装置のセキュリティ環境定義支援部が、前記ＩＴ製品またはシステムの環境要素である情報資産、アクセスエージェント、物理環境、インタフェースを有するネットワーク環境、インタフェースを有する前提ソフトウェア、及び、前提ハードウェアのそれぞれの環境要素に、前記セキュリティ設計支援装置が有するＧＵＩからユーザが入力装置を介して入力した属性を設定し、
   前記セキュリティ設計支援装置のアクセスルール設定部が、前記情報資産と前記アクセスエージェントとの間のアクセスルールを前記ＧＵＩからユーザ入力装置を介してユーザから受け付け、
   前記セキュリティ設計支援装置の環境要素間関連付け処理部が、前記前提ハードウェア、前記物理環境、及び、前記ネットワーク環境の各環境要素間の関連と、前記前提ハードウェア及び前記前提ソフトウェアの各環境要素間の関連とを前記ＧＵＩからユーザ入力装置を介してユーザから受け付け、
   前記セキュリティ設計支援装置のデータフロー定義処理部が、前記環境要素間のデータフローを前記ＧＵＩからユーザ入力装置を介してユーザから受け付け、
   前記属性が設定された前記環境要素と、脅威の対象毎に、前記記憶装置に記憶された、前記アクセスエージェント、前記情報資産、前記インタフェースを割り当てて定義される脅威の内容が格納された脅威ＤＢとから定まる脅威侯補の内、
   前記セキュリティ設計支援装置の脅威侯補抽出処理部が、前記アクセスルールとして正当なアクセスとして定義された操作を脅威ではないとして前記脅威候補から省き、前記データフローにより定義された環境要素が持つインタフェースの内、前記環境要素間の関連から前記アクセスエージェントがアクセスできないインタフェースに関連した脅威を前記脅威候補から省き、また、前記データフローで定義された環境要素が持つインタフェースの内、前記環境要素間の関連から前記アクセスエージェントがアクセスできるインタフェースに関連し、環境要素自身が持つ属性値から存在し得ない脅威を前記脅威候補から省き、
   前記脅威候補を省いた結果、残っている脅威を前記ＧＵＩを介して出力装置からユーザに提示することにより、
   前記ユーザが前記ＧＵＩを介して入力装置から指定した脅威に対して、前記脅威ＤＢに定義されている脅威に対応付けられている対策ＩＤを用いて、前記記憶装置に記憶されている前記対策ＩＤに対応する対策候補を抽出し、前記ＧＵＩを介して出力装置から前記ユーザに抽出した対策候補を提示することを特徴とするセキュリティ設計支援方法。
2. 記憶装置を有し、ＩＴ製品またはシステムに対するセキュリティ設計を支援するセキュリティ設計支援装置において、
   セキュリティ環境定義支援部と、アクセスルール設定部と、環境要素間関連付け処理部と、データフロー定義処理部と、脅威侯補抽出処理部とを備え、
   前記セキュリティ環境定義支援部が、前記ＩＴ製品またはシステムの環境要素である情報資産、アクセスエージェント、物理環境、インタフェースを有するネットワーク環境、インタフェースを有する前提ソフトウェア、及び、前提ハードウェアのそれぞれの環境要素に、前記セキュリティ設計支援装置が有するＧＵＩからユーザが入力装置を介して入力した属性を設定し、
   前記アクセスルール設定部が、前記情報資産と前記アクセスエージェントとの間のアクセスルールを前記ＧＵＩからユーザ入力装置を介してユーザから受け付け、
   前記環境要素間関連付け処理部が、前記前提ハードウェア、前記物理環境、及び、前記ネットワーク環境の各環境要素間の関連と、前記前提ハードウェア及び前記前提ソフトウェアの各環境要素間の関連とを前記ＧＵＩからユーザ入力装置を介してユーザから受け付け、
   前記データフロー定義処理部が、前記環境要素間のデータフローを前記ＧＵＩからユーザ入力装置を介してユーザから受け付け、
   前記属性が設定された前記環境要素と、脅威の対象毎に、前記記憶装置に記憶された、前記アクセスエージェント、前記情報資産、前記インタフェースを割り当てて定義される脅威の内容が格納された脅威ＤＢとから定まる脅威侯補の内、
   前記脅威侯補抽出処理部が、前記アクセスルールとして正当なアクセスとして定義された操作を脅威ではないとして前記脅威候補から省き、前記データフローにより定義された環境要素が持つインタフェースの内、前記環境要素間の関連から前記アクセスエージェントがアクセスできないインタフェースに関連した脅威を前記脅威候補から省き、また、前記データフローで定義された環境要素が持つインタフェースの内、前記環境要素間の関連から前記アクセスエージェントがアクセスできるインタフェースに関連し、環境要素自身が持つ属性値から存在し得ない脅威を前記脅威候補から省き、
   前記脅威候補を省いた結果、残っている脅威を前記ＧＵＩを介して出力装置からユーザに提示することにより、
   前記ユーザが前記ＧＵＩを介して入力装置から指定した脅威に対して、前記脅威ＤＢに定義されている脅威に対応付けられている対策ＩＤを用いて、前記記憶装置に記憶されている前記対策ＩＤに対応する対策候補を抽出し、前記ＧＵＩを介して出力装置から前記ユーザに抽出した対策候補を提示することを特徴とするセキュリティ設計支援装置。

Images