JP3952648B2

JP3952648B2 - Safety policy creation device

Info

Publication number: JP3952648B2
Application number: JP33382199A
Authority: JP
Inventors: 博光加藤; 雅年古谷; 照治瀬古沢; 宮尾　　健
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 1999-11-25
Filing date: 1999-11-25
Publication date: 2007-08-01
Anticipated expiration: 2019-11-25
Also published as: JP2001155081A

Description

【０００１】
【発明の属する技術分野】
本発明は化学プラント、上下水プラント、鉄道、航空機、情報システムなど、リスクが内在するシステムの安全対策方針の作成を支援する安全対策方針作成装置および方法、並びに伝送媒体に関し、特に、対策目標に対応したセキュリティ機能要件の機能強度の設定が必要なセキュリティ基本設計書の作成に用いて好適な安全対策方針作成装置および方法、並びに伝送媒体に関する。
【０００２】
【従来の技術】
社会システムの広域化、高機能化、高度情報化に伴い、性能向上やサービスの多様化が著しく飛躍してきた。しかし、その反面、犯罪手口の多様化、事故の被害影響ポテンシャルの拡大が進んでいるのも事実である。このため、システムに内在するリスクに対抗する手段を適切に講じるために、システム設計企画の段階から安全対策方針を明確にすることが益々重要になってきている。
【０００３】
安全対策方針を作成する手段として、例えば、「セキュリティ国際標準の活用法」（日経コミュニケーション１９９８．４．２０、ｐｐ．１５６〜１６３および日経コミュニケーション１９９８．５．４、ｐｐ．１５８〜１６４）には、システムや製品に含まれる保護すべき資源を決定し、保護すべき資源の利用規則を決定し、保護すべき資源に対する脅威を決定し、利用規則や脅威に対応したセキュリティ方針を決定するセキュリティ基本設計書作成手法について述べてある。リスクの発生しやすさとユーザに与える影響度の度合いを基にリスクの重大度を決定し、セキュリティ対策は重大度の高いリスクから優先して実施していく。
【０００４】
【発明が解決しようとする課題】
かかる従来技術には次のような課題がある。
すなわち、脅威に対抗するための対策目標を策定する際に、リスクの大きさに見合わない対策目標を策定してしまう可能性がある。一般にセキュリティ強度を上げると、対策コストが増し、システムの利便性が低下する。必要以上に高いセキュリティ強度を施して、コスト高になったり、使い勝手が悪くならないように、リスクの大きさに応じて適切なセキュリティ強度を設定することは一般には困難である。
【０００５】
本発明の目的は、リスクの大きさに応じた対策強度を自動的に選定し、対策強度に適合する対策目標を自動的に検索するシステムを提供することにある。
【０００６】
【課題を解決するための手段】
上記の目的を達成するために本発明は、以下の構成をとる。
【０００７】
脅威それぞれの対策の必要性の度合いを示すリスク情報および脅威に対する安全対策についての費用対効果を示す費用対効果情報に基づいて、脅威に対してどの程度の対策を実行すべきかを示す対策強度情報を選定する。また、対策強度情報に対応する具体的な対策である対策目標情報を選定してもよい。
【０００８】
また、対策強度情報を選定するために、前記コンポーネントと当該コンポーネントで生じる脅威および当該脅威に対応する難易度情報を対応付けて記憶する脅威対策データベースを用いてもよい。脅威対策データベースは、対策強度情報に対応させて、コンポーネント毎に実施すべき対策を示す対策目標情報を記憶していてもよい。
【０００９】
また、本発明を実行する安全対策方針作成装置が、ネットワークをを介して情報処理装置と接続し、この情報処理装置からの要求により、対策強度情報および対策目標情報のうちすくなくとも一方を、情報処理装置に送信してもよい。ここで、要求する情報処理装置と対策強度情報や対策目標情報が送信される情報処理装置は、別のものでもよい。
【００１０】
これらの発明の形態としては、算出を行う安全対策方針作成装置、算出する方法、算出を行うためのプログラム、プログラムを格納した媒体およびプログラムを格納した伝送媒体が含まれる。
【００１１】
より具体的な本発明の安全対策方針作成装置としては、入力されたコンポーネント情報に適合した脅威リストと難易度情報を脅威対策データベースから検索する手段と、脅威リスト中の各脅威の難易度情報と脅威が発生した場合の被害の影響度合いとして入力された影響度情報からリスクの大きさを評価するリスク算出手段と、算出されたリスク情報と費用対効果情報とから対策強度と対応する対策目標のリストを脅威対策データベースから検索する対策強度選定手段とを備えることを特徴とする。
【００１２】
また、安全対策方針作成方法は、入力されたコンポーネント情報に適合した脅威リストと難易度情報を脅威対策データベースから検索するステップと、脅威リスト中の各脅威の難易度情報と該脅威が発生した場合の被害の影響度合いとして入力された影響度情報からリスクの大きさを評価するリスク算出ステップと、算出されたリスク情報と費用対効果情報とから対策強度と対応する対策目標のリストを脅威対策データベースから検索する対策強度選定ステップとを備えることを特徴とする。
【００１３】
さらに、伝送媒体は、入力されたコンポーネント情報に適合した脅威リストと難易度情報を脅威対策データベースから検索するステップと、脅威リスト中の各脅威の難易度情報と脅威が発生した場合の被害の影響度合いとして入力された影響度情報からリスクの大きさを評価するリスク算出ステップと、算出されたリスク情報と費用対効果情報とから対策強度と対応する対策目標のリストを脅威対策データベースから検索する対策強度選定ステップとを備えるコンピュータプログラムを伝送することを特徴とする。
【００１４】
ここで、安全対策方針作成装置においては、脅威対策データベースが、前記コンポーネント情報と、前記脅威リストと、前記難易度情報と、前記対策目標と、前記対策強度をそれぞれ対応付けて格納していることを特徴とする。
【００１５】
さらに、安全対策方針作成装置においては、コンポーネント情報が、脅威対策データベースに格納されているコンポーネント情報のリストから選択入力されることを特徴とする。
【００１６】
またさらに、安全対策方針作成装置においては、リスク算出手段が、離散値化された難易度情報と離散値化された影響度情報から、離散値化されたリスク情報を出力する手段を有することを特徴とする。
【００１７】
またさらに、安全対策方針作成装置においては、費用対効果情報が、費用最小重視と効果最大重視の間の選好情報を定量化したものであることを特徴とする。
【００１８】
またさらに、安全対策方針作成装置においては、対策強度選定手段が、離散値化されたリスク情報と離散値化された費用対効果情報から、離散値化された対策強度情報を出力する手段を有することを特徴とする。
【００１９】
またさらに、安全対策方針作成装置においては、対策強度選定手段は、コンポーネント情報を入力したユーザに対策強度と対策目標のデータを送信する際に、ユーザに対して課金する手段を有することを特徴とする。
【００２０】
本発明では、脅威として、コンポーネントに対する事故を含む。また、リスク情報としては、脅威が発生したことによる被害の大きさ（金額を含む）と被害の起る確率に基づいて算出してもよい。その一例としては、被害の大きさと被害の起る確率の積として算出してもよい。
【００２１】
【発明の実施の形態】
以下、本発明の実施の形態を図面を用いて説明する。
【００２２】
本発明による安全対策方針作成装置を、情報システムのセキュリティ対策方針を作成する支援ツールとした場合の実施の形態を図１に示す。本実施の形態では、画面１３０を便宜的に第１の画面１３０−１、第２の画面１３０−２、第３の画面１３０−３に分けているが、この画面数はいくつであっても構わない。
【００２３】
本発明による安全対策方針作成支援装置の動作処理フローを図２に示し、処理フローを追いながら図１の各要素を説明する。第1の画面１３０−１には、情報システムがどのような構成になっているかを示すコンポーネント情報１０１と、承認を示すＯＫボタン１２０−１が表示されている。コンポーネント情報１０１は、システムを構成するコンポーネントを他と区別する情報で、例えばコンポーネントの識別番号、チェックリストによる選択情報がある。
【００２４】
コンポーネント情報１０１をユーザが与える（ステップ２０１）ことにより、該当コンポーネントにおいて想定される脅威リスト１０３と難易度情報１０４を脅威対策データベース１０２が検索し（ステップ２０２）、第２の画面１３０−２に表示する。ここで難易度情報１０４は、特定の脅威が発生する難易度を表す情報で、「１，２，３」のように発生確率の大小が分かるような難易度のレベルを表す数値情報が代表的である。
【００２５】
第２の画面１３０−２にて、表示された脅威リスト１０３中の各脅威に対して影響度情報１０５をユーザが入力する（ステップ２０３）。影響度情報１０５とは、脅威が発生することによって情報システムが被る被害の影響度を表す情報で、「１，２，３」のように被害の大小レベルを表す数値情報が代表的である。
【００２６】
さらに費用対効果情報１０６をユーザが入力し（ステップ２０４）、ＯＫボタン１２０−２を押す。これによりリスク算出部１０７が起動し、難易度情報１０４と影響度情報１０５からリスク情報１０８をリスク算出部１０７が算出する（ステップ２０５）。
【００２７】
費用対効果情報１０６は、「効果は最低限で良いので費用を最小としたい」、あるいは、「必要なだけ費用をかけてでも最大限の効果をあげたい」といったセキュリティ対策の費用対効果に関する選好情報であり、例えば費用最小の場合を「１」、効果最大の場合を「５」として１から５の間の値の数量情報として与えることができる。
【００２８】
費用対効果情報１０６は、コンポーネント情報１０１毎に必要となるが、与え方はシステム全体に対して共通のものを与えてもよいし、個別に設定できるものとしてもよい。本実施形態の以下の説明では、システム全体に対して共通なものを与える形態について述べる。
【００２９】
対策強度選定部１０９は、算出されたリスク情報１０８と費用対効果情報１０６を用いて対策強度情報１１０を選定し（ステップ２０６）、脅威対策データベース１０２の中から該当脅威に対応する対策目標の内、対策強度情報１１０に見合った対策目標を検索し（ステップ２０７）、第３の画面１３０−３に表示する。対策強度情報１１０は、脅威に対する対策の有効性を表す指標で、例えば「１，２，３」のような有効性を数値情報で表したり、「並，強，最強」のようにレベルを表す記号で表すことが可能である。
【００３０】
図９にネットワーク９０３を介したクライアントサーバシステムとして本発明による安全対策方針作成支援ツールを構築した例を示す。サーバ９０１にインターネットのホームページを開設し、画面１３０−１〜３を表示させ、クライアント９０２とサーバ９０１間で必要な情報をやり取りすることで、ステップ２０１〜２０７を実行することが可能である。
【００３１】
以下、各構成要素を具体的に説明する。まず、脅威対策データベース１０２の構造を図３に示す。脅威対策データベース１０２は表形式になっており、コンポーネントの列３０１、脅威の列３０２、難易度の列３０３、対策目標の列３０４、対策強度の列３０５からなる。コンポーネントの列３０１には情報システムを構成する代表的なコンポーネントが記され、各コンポーネントに対応する行には、代表的な脅威リスト１０３が脅威の列３０２にあり、難易度の列３０３の対応する行には脅威を実行する難易度情報１０４が記されている。難易度情報１０４は難易度に応じて、意図しなくても脅威が成立してしまうなら「１」、脅威の実現が非常に困難であれば「５」として5段階の値で表現している。一方、対策強度の列３０５には該当する対策目標がリスクを縮小する効果の大きさに応じて、対策強度情報１１０が「並」「強」「最強」の３段階で格納されている。図３の例では、「ＷＷＷサーバ」というコンポーネントにおいて想定される代表的な脅威の一つに「認証情報を推測して他人になりすます」というものがあり、この難易度は「２」である。この脅威への対策目標として、対策目標の列３０４と対策強度の列３０５の該当する行には「パスワードの定期的変更（対策強度：並）」「システム利用ログの監査（対策強度：強）」「複数認証機構の採用（対策強度：最強）」が登録されている。以上のコンポーネントの列３０１、脅威の列３０２、難易度の列３０３、対策目標の列３０４、対策強度の列３０５に格納される情報は、データベース管理者が予め登録しておくものである。
【００３２】
本実施の形態では、脅威対策データベース１０２において、各脅威に対して難易度情報１０４が、各対策目標に対して対策強度情報１１０が関連付けられているところに特徴がある。
【００３３】
次に第１の画面１３０−１の画面例を図４に示す。コンポーネント情報１０１の欄には脅威対策データベース１０２に登録されているコンポーネントが示され、チェックボックス４０１ａ〜ｄを用いて、対象としている情報システムを構成するコンポーネントを選択できるようになっている。ＯＫボタン１２０−１を押すことでコンポーネント情報１０１を確定し、該当する脅威リスト１０３の検索を実行する。
【００３４】
第２の画面１３０−２の画面例を図５に示す。先の第１の画面１３０−１でコンポーネント情報１０１として「ＷＷＷサーバ」「メールサーバ」「ファイアウォール」を選択したので、脅威対策データベース１０２の中で該当するコンポーネントの脅威を脅威リスト１０３として表示している。対応する難易度情報１０４を本実施の形態では第２の画面１３０−２に表示しているが、非表示にしても構わない。脅威リスト１０３の横には脅威発生の影響度情報１０５を記入する欄があり、影響度の大きさに応じて５段階評価で影響度情報１０５をユーザが入力する。
【００３５】
さらに、第２の画面１３０−２には費用対効果情報１０６を入力する手段としてスクロールバー５０１が用意されている。スクロールバー５０１のスライダー５０２を左右に動かして、セキュリティ対策の費用対効果に関する態度を設定する。本実施の形態では、最低限の対策だけでセキュリティ対策にかかるコストを最小にしたい場合を「１」、対策コストを払ってもリスクを回避するために頑強なセキュリティ対策を望む場合を「５」として５段階の姿勢を表現できるようにしている。ここでＯＫボタン１２０−２を押すと、影響度情報１０５と費用対効果情報１０６が確定し、リスク算出部１０７および対策強度選定部１０９が動作する。
【００３６】
リスク算出部１０７はリスク情報１０８を演算する機能を有するもので、まず第１の例として表を用いてリスク情報１０８を出力する実施形態を示す。リスク算出部１０７として機能する表を図６に示す。図６のリスク算出部１０７は、難易度情報１０４を列ラベル、影響度情報１０５を行ラベルとするテーブル形式となっている。テーブルを構成する各セル６０１は、難易度情報１０４と影響度情報１０５に対応したリスク情報１０８が格納されている。リスク情報１０８はリスクの大きさに応じて１から５までの５段階の評価値を使っている。例えば、難易度情報１０４が「２」で影響度情報１０５が「４」のセル６０１ａの値は「４」であるので、対応するリスク情報１０８は「４」であると算出される。同様にして脅威リスト１０３にある全ての脅威に対してリスク情報１０８を算出する。
【００３７】
次に、対策強度選定部１０９が有する対策強度選定表７０１を図７に示す。図７の対策強度選定表７０１は、リスク情報１０８を列ラベル、費用対効果情報１０６を行ラベルとするテーブル形式になっている。テーブルを構成する各セル７０２は、リスク情報１０８と費用対効果情報１０６に対応した対策強度情報１１０が格納されている。よって、先に設定した費用対効果情報１０６を行、算出したリスク情報１０８を列とするセル７０２を確定し、セル７０２に格納されている値が対策強度情報１１０となる。
【００３８】
リスク算出部１０７の別な実施形態として、難易度情報１０４と影響度情報１０５から年間予想損失額（ＡＬＥ）を近似計算で行なう例を示す。図１０のように発生頻度に応じて難易度情報１０４がｆとしてグレード付けされ、1回当たりの被害損失の見積もり額に応じて影響度情報１０５がｉとしてグレード付けされるものとする。このときＡＬＥは
【００３９】
【数１】

【００４０】
として計算することができる。この場合、対策強度選定部１０９としては、
【００４１】
【数２】

【００４２】
のようなシグモイド関数を用意し、ＡＬＥを入力として必要対策強度Ｎを算出する。ここで、ｋは適当な係数（例えば１０）、αは費用対効果情報１０６に従って設定される値である。費用対効果情報１０６の五段階の値をｘとすると、αは例えばα＝１０−ｘとして与えられる。算出された必要対策強度Ｎに基づいて、Ｎ＜０．３ならば対策強度情報１１０は「並」、Ｎ＞０．７ならば「最強」、それ以外ならば「強」とすることで、対策強度情報１１０を得ることができる。
【００４３】
対策強度選定部１０９は得られた対策強度情報１１０を用いて脅威対策データベース１０２を検索し、先に脅威リスト１０３としてリストアップした脅威と関連付いている対策目標の内、対策強度情報１１０を満足するのに必要なものをリストアップし、対策リスト１１１とする。選定された対策強度情報１１０を満足するためには、前提として下位のレベルの対策強度を持つ対策目標も対策リスト１１１の中に含める必要がある。例えば、「認証情報を推測して他人になりすます」という脅威に対抗するための対策強度情報１１０が「強」であった場合、対策強度が「並」および「強」である「パスワードの定期的変更（対策強度：並）」「システム利用ログの監査（対策強度：強）」が対策リスト１１１となる。
【００４４】
対策リスト１１１を第３の画面１３０−３に表示した画面例を図８に示す。第３の画面１３０−３には、算出したリスク情報１０８と対策強度情報１１０も同時に表示している。図８に示す実施の形態では、第２の画面１３０−２と並べて表示することで、コンポーネント情報１０１、脅威リスト１０３、リスク情報１０８、対策強度情報１１０の相互の対応関係を見やすくしている。その後ユーザから終了命令が送られたかどうかを判断し（図２のステップ２０８）、ユーザが終了命令を送れば終了であるが、費用対効果情報１０６を調節してＯＫボタン１２０−３を押すことで費用対効果情報１０６を再入力する（ステップ２０４）ことも可能である。ステップ２０６〜２０７の処理を再度実行することで対策強度情報１１０および対応する対策リスト１１１が更新される。このとき、例えば図９に示すようなネットワーク９０３を介してクライアントサーバシステムとして実施される場合には、対策リスト１１１を第3の画面１３０−３に表示する際に、対策強度選定部１０９はクライアント９０２のユーザに対して対策リスト情報料の課金を行なう。
【００４５】
本実施の形態では、全ての脅威に対して同じ強さの対策を施すのではなく、必要な対策強度の対策目標が策定されるところに特徴があり、特にリスクと費用対効果の大きさに応じて対策強度が自動的に選定されているところに特徴がある。これにより、費用対効果情報１０６を調節することで対策強度情報１１０および対策リスト１１１が自動更新されるので、リスクと対策コストのバランスに関する考え方を反映した安全対策方針作成を支援することができる。
【００４６】
上記各処理を行うプログラムは、磁気ディスク、ＣＤ−ＲＯＭなどの情報記録媒体よりなる伝送媒体のほか、インターネット、デジタル衛星などのネットワーク伝送媒体を介してユーザに伝送することができる。
【００４７】
【発明の効果】
以上述べたように、本発明によれば、安全対策方針を作成する場合には、リスクに応じた対策強度を自動的に選定し、該当する対策リストを提供するので、セキュリティに関する詳しい知識なしでは判断が困難な対策強度の選定に煩わされることなく、費用対効果の高い安全対策方針を容易に作成することができる。また、提示される安全対策方針が、費用対効果に関して意図するものと異なる場合にも、意図に合わせて対策強度を選定し直すことが可能なので、多様な事情に対応した安全対策方針の作成を支援できる。
【００４８】
また、ネットワークを介してクライアントサーバシステムを構築すると、脅威対策データベースをサーバ側で専門家が適切な形で維持管理することで、セキュリティ対策に関する知識のない遠隔のクライアントユーザも適切なセキュリティ対策方針を作成できる。
【図面の簡単な説明】
【図１】本発明を適用した安全対策方針作成装置の全体構成図である。
【図２】本発明を適用した安全対策方針作成処理の手続きを示すフローチャートである。
【図３】図１の脅威対策データベースの構成を示す図である。
【図４】図１に示す第１の画面の画面例である。
【図５】図１に示す第２の画面の画面例である。
【図６】図１に示すリスク算出部が有するリスク算出表を示す図である。
【図７】図１に示す対策強度選定部が有する対策強度選定表を示す図である。
【図８】図１に示す第２の画面と第３の画面を組み合わせて表示した画面例である。
【図９】本発明を適用したクライアントサーバシステムの構築例を示す図である。
【図１０】発生頻度と損失額をグレード付けすることにより難易度情報と影響度情報を得る表を示す図である。
【符号の説明】
１２０…ＯＫボタン、１３０−１…第１の画面、１３０−２…第２の画面、１３０−３…第３の画面、３０１…コンポーネントの列、３０２…脅威の列、３０３…難易度の列、３０４…対策目標の列、対策強度の列、４０１…チェックボックス、５０１…スクロールバー、５０２…スライダー、６０１…リスク算出表のセル、７０１…対策強度選定表、７０２…対策強度選定表のセル、９０１…サーバ、９０２…クライアント、９０３…ネットワーク。[0001]
BACKGROUND OF THE INVENTION
The present invention relates to a safety policy creating apparatus and method and a transmission medium for supporting creation of a safety policy for a risk inherent system such as a chemical plant, a water and sewage plant, a railway, an aircraft, an information system, etc. The present invention relates to a safety measure policy creating apparatus and method suitable for use in creating a security basic design document that requires setting of the strength of function of a corresponding security function requirement, and a transmission medium.
[0002]
[Prior art]
With the widening, high functionality, and advanced information systems of social systems, performance improvements and service diversification have taken a significant leap forward. However, on the other hand, it is also true that the diversification of crime techniques and the potential impact of accidents are expanding. For this reason, in order to take appropriate measures against the risks inherent in the system, it is becoming increasingly important to clarify the safety policy from the system design planning stage.
[0003]
As a means for creating a safety policy, for example, “Utilization of International Security Standards” (Nikkei Communication 1998. 4.20, pp. 156 to 163 and Nikkei Communication 1998.5.4, pp. 158 to 164) Security basics that determine resources to be protected in systems and products, determine rules for the use of resources to be protected, determine threats to resources to be protected, and determine the security rules corresponding to the rules of use and threats Describes how to create a design document. The severity of the risk is determined based on the likelihood of occurrence of the risk and the degree of influence on the user, and the security measures are prioritized from the risk of higher severity.
[0004]
[Problems to be solved by the invention]
Such conventional techniques have the following problems.
In other words, when formulating a countermeasure target to counter a threat, there is a possibility of formulating a countermeasure target that does not match the magnitude of the risk. In general, increasing the security strength increases the cost of countermeasures and decreases the convenience of the system. In general, it is difficult to set an appropriate security strength according to the size of the risk so that the security strength is higher than necessary and the cost is not increased and the usability is not deteriorated.
[0005]
An object of the present invention is to provide a system that automatically selects a countermeasure strength according to the magnitude of risk and automatically searches for a countermeasure target that matches the countermeasure strength.
[0006]
[Means for Solving the Problems]
In order to achieve the above object, the present invention has the following configuration.
[0007]
Countermeasure strength information indicating how much countermeasures should be taken against threats based on risk information indicating the degree of necessity of countermeasures for each threat and cost-effective information indicating cost-effectiveness regarding safety measures against threats Is selected. Further, countermeasure target information that is a specific countermeasure corresponding to the countermeasure strength information may be selected.
[0008]
In order to select countermeasure strength information, a threat countermeasure database that stores the component, the threat generated by the component, and the difficulty level information corresponding to the threat in association with each other may be used. The threat countermeasure database may store countermeasure target information indicating countermeasures to be taken for each component in association with countermeasure strength information.
[0009]
In addition, a safety measure policy creating apparatus for executing the present invention is connected to an information processing apparatus via a network, and at least one of the countermeasure strength information and the countermeasure target information is processed according to a request from the information processing apparatus. It may be sent to the device. Here, the requested information processing device may be different from the information processing device to which countermeasure strength information and countermeasure target information are transmitted.
[0010]
The forms of these inventions include a safety policy creation apparatus that performs calculation, a calculation method, a program for performing calculation, a medium that stores the program, and a transmission medium that stores the program.
[0011]
More specifically, the safety policy creating apparatus of the present invention includes means for retrieving a threat list and difficulty information conforming to input component information from the threat countermeasure database, difficulty information of each threat in the threat list, Risk calculation means that evaluates the magnitude of the risk from the impact information input as the impact level of damage when a threat occurs, and the countermeasure target corresponding to the strength of the countermeasure from the calculated risk information and cost-effectiveness information A measure strength selecting means for searching the list from the threat measure database is provided.
[0012]
In addition, the safety countermeasure policy creation method includes a step of searching the threat countermeasure database for a threat list and difficulty information conforming to the input component information, and the difficulty information of each threat in the threat list and when the threat occurs. A risk calculation step that evaluates the magnitude of the risk from the impact information input as the degree of impact of the damage, and a list of countermeasure targets corresponding to the strength of the countermeasure from the calculated risk information and cost-effectiveness information And a measure strength selection step for searching from the above.
[0013]
In addition, the transmission medium searches the threat countermeasure database for a threat list and difficulty level information that matches the input component information, and the impact information of each threat in the threat list and the damage effect when a threat occurs. A risk calculation step that evaluates the magnitude of the risk from the degree of impact information input as a degree, and a countermeasure that searches the threat countermeasure database for a list of countermeasure targets corresponding to the strength of the countermeasure from the calculated risk information and cost-effectiveness information A computer program comprising an intensity selection step is transmitted.
[0014]
Here, in the safety countermeasure policy creation device, the threat countermeasure database stores the component information, the threat list, the difficulty level information, the countermeasure target, and the countermeasure strength in association with each other. It is characterized by.
[0015]
Furthermore, in the safety countermeasure policy creation device, component information is selected and input from a list of component information stored in the threat countermeasure database.
[0016]
Still further, in the safety measure policy making device, the risk calculating means has means for outputting the risk information that has been converted into discrete values from the difficulty level information that has been converted into discrete values and the influence information that has been converted into discrete values. Features.
[0017]
Still further, in the safety policy creating apparatus, the cost-effectiveness information is characterized by quantifying the preference information between the importance of the minimum cost and the importance of the maximum effect.
[0018]
Still further, in the safety measure policy creation device, the measure strength selection means has means for outputting the measure strength information converted into discrete values from the risk information converted into discrete values and the cost-effectiveness information converted into discrete values. It is characterized by that.
[0019]
Still further, in the safety policy creating apparatus, the measure strength selecting means includes means for charging the user when transmitting the measure strength and measure target data to the user who has input the component information. To do.
[0020]
In the present invention, an accident to a component is included as a threat. Further, the risk information may be calculated based on the magnitude of damage (including the amount) due to the occurrence of a threat and the probability of occurrence of damage. As an example, it may be calculated as the product of the magnitude of damage and the probability that damage will occur.
[0021]
DETAILED DESCRIPTION OF THE INVENTION
Hereinafter, embodiments of the present invention will be described with reference to the drawings.
[0022]
FIG. 1 shows an embodiment in which the safety policy creating apparatus according to the present invention is a support tool for creating a security policy for an information system. In the present embodiment, the screen 130 is divided into a first screen 130-1, a second screen 130-2, and a third screen 130-3 for convenience. I do not care.
[0023]
FIG. 2 shows an operation processing flow of the safety measure policy creation support apparatus according to the present invention, and each element of FIG. 1 will be described following the processing flow. On the first screen 130-1, component information 101 indicating the configuration of the information system and an OK button 120-1 indicating approval are displayed. The component information 101 is information for distinguishing components constituting the system from others, and includes, for example, component identification numbers and selection information based on a check list.
[0024]
When the user gives the component information 101 (step 201), the threat countermeasure database 102 searches the threat list 103 and difficulty information 104 assumed in the corresponding component (step 202) and displays them on the second screen 130-2. To do. Here, the difficulty level information 104 is information indicating the level of difficulty in which a specific threat occurs, and is typically numerical information indicating the level of difficulty level such as “1, 2, 3” that indicates the level of occurrence probability. It is.
[0025]
On the second screen 130-2, the user inputs the impact information 105 for each threat in the displayed threat list 103 (step 203). The impact information 105 is information that represents the impact of damage to the information system due to the occurrence of a threat, and is typically numerical information that represents the magnitude of damage, such as “1, 2, 3”.
[0026]
Further, the user inputs cost effectiveness information 106 (step 204) and presses an OK button 120-2. As a result, the risk calculation unit 107 is activated, and the risk calculation unit 107 calculates the risk information 108 from the difficulty level information 104 and the influence level information 105 (step 205).
[0027]
Cost-effectiveness information 106 is a preference for cost-effectiveness of security measures such as “I want to minimize the cost because the effect is minimal” or “I want to maximize the effect even if I spend as much as necessary” For example, “1” is the case where the cost is the minimum, and “5” is the case where the effect is the maximum.
[0028]
The cost-effectiveness information 106 is necessary for each component information 101. However, the cost-effective information 106 may be common to the entire system or may be set individually. In the following description of the present embodiment, a mode for giving something common to the entire system will be described.
[0029]
The countermeasure strength selection unit 109 selects the countermeasure strength information 110 using the calculated risk information 108 and the cost-effectiveness information 106 (step 206), and among the countermeasure targets corresponding to the threat from the threat countermeasure database 102. Then, a countermeasure target corresponding to the countermeasure strength information 110 is retrieved (step 207) and displayed on the third screen 130-3. The countermeasure strength information 110 is an index representing the effectiveness of countermeasures against threats. For example, the effectiveness such as “1, 2, 3” is represented by numerical information, or the level is represented as “normal, strong, strongest”. It can be represented by a symbol.
[0030]
FIG. 9 shows an example in which a safety measure policy creation support tool according to the present invention is constructed as a client server system via a network 903. Steps 201 to 207 can be executed by establishing a homepage on the Internet on the server 901, displaying the screens 130-1 to 130-3, and exchanging necessary information between the client 902 and the server 901.
[0031]
Each component will be specifically described below. First, the structure of the threat countermeasure database 102 is shown in FIG. The threat countermeasure database 102 has a table format, and includes a component column 301, a threat column 302, a difficulty column 303, a countermeasure target column 304, and a countermeasure strength column 305. In the component column 301, representative components constituting the information system are described. In the row corresponding to each component, the representative threat list 103 is in the threat column 302, and the difficulty column 303 corresponds. The row includes difficulty level information 104 for executing a threat. The difficulty level information 104 is expressed in five levels according to the difficulty level as “1” if the threat is established without intention, and “5” if the threat is very difficult to realize. . On the other hand, in the countermeasure strength column 305, the countermeasure strength information 110 is stored in three levels of “normal”, “strong”, and “strongest” in accordance with the magnitude of the effect that the corresponding countermeasure target reduces the risk. In the example of FIG. 3, one of the typical threats assumed in the component “WWW server” is “assuming authentication information and impersonating another person”, and this difficulty level is “2”. As countermeasure targets against this threat, the corresponding rows in the countermeasure target column 304 and the countermeasure strength column 305 include “periodic password change (measure strength: average)” and “system usage log audit (measure strength: strong)”. "" Adoption of multiple authentication mechanisms (strength of countermeasures: strongest) "is registered. The information stored in the component column 301, the threat column 302, the difficulty column 303, the countermeasure target column 304, and the countermeasure strength column 305 is registered in advance by the database administrator.
[0032]
The present embodiment is characterized in that in the threat countermeasure database 102, the difficulty level information 104 is associated with each threat and the countermeasure strength information 110 is associated with each countermeasure target.
[0033]
Next, FIG. 4 shows a screen example of the first screen 130-1. In the component information 101 column, components registered in the threat countermeasure database 102 are shown, and components constituting the target information system can be selected using check boxes 401a to 401d. By pressing the OK button 120-1, the component information 101 is confirmed, and the corresponding threat list 103 is searched.
[0034]
A screen example of the second screen 130-2 is shown in FIG. Since “WWW server”, “mail server”, and “firewall” are selected as the component information 101 on the first screen 130-1, the threat of the corresponding component in the threat countermeasure database 102 is displayed as the threat list 103. Yes. Although the corresponding difficulty level information 104 is displayed on the second screen 130-2 in the present embodiment, it may be hidden. Next to the threat list 103 is a column for entering the impact information 105 of the occurrence of the threat, and the user inputs the impact information 105 in a five-step evaluation according to the magnitude of the impact.
[0035]
Further, a scroll bar 501 is prepared on the second screen 130-2 as means for inputting the cost-effectiveness information 106. By moving the slider 502 of the scroll bar 501 to the left and right, the attitude regarding the cost effectiveness of the security measure is set. In the present embodiment, “1” is used to minimize the cost for security measures with only a minimum measure, and “5” is used if robust security measures are desired to avoid risk even if the measure costs are paid. As a result, it is possible to express five levels of posture. When the OK button 120-2 is pressed here, the impact information 105 and the cost effectiveness information 106 are confirmed, and the risk calculation unit 107 and the countermeasure strength selection unit 109 operate.
[0036]
The risk calculation unit 107 has a function of calculating the risk information 108. First, as a first example, an embodiment in which the risk information 108 is output using a table will be described. A table functioning as the risk calculation unit 107 is shown in FIG. The risk calculation unit 107 in FIG. 6 has a table format in which the difficulty level information 104 is a column label and the influence level information 105 is a row label. Each cell 601 constituting the table stores risk information 108 corresponding to the difficulty level information 104 and the influence level information 105. The risk information 108 uses five levels of evaluation values from 1 to 5 according to the magnitude of the risk. For example, since the value of the cell 601a in which the difficulty level information 104 is “2” and the influence level information 105 is “4” is “4”, the corresponding risk information 108 is calculated to be “4”. Similarly, risk information 108 is calculated for all threats in the threat list 103.
[0037]
Next, FIG. 7 shows a countermeasure strength selection table 701 that the countermeasure strength selection unit 109 has. The countermeasure strength selection table 701 in FIG. 7 has a table format in which the risk information 108 is a column label and the cost effectiveness information 106 is a row label. Each cell 702 constituting the table stores countermeasure strength information 110 corresponding to the risk information 108 and the cost-effectiveness information 106. Accordingly, the cell 702 having the previously set cost-effectiveness information 106 as the row and the calculated risk information 108 as the column is determined, and the value stored in the cell 702 becomes the countermeasure strength information 110.
[0038]
As another embodiment of the risk calculation unit 107, an example is shown in which the annual expected loss (ALE) is calculated by approximation calculation from the difficulty level information 104 and the influence level information 105. Assume that the difficulty level information 104 is graded as f according to the occurrence frequency as shown in FIG. 10, and the impact level information 105 is graded as i according to the estimated damage loss per time. At this time, ALE is [0039]
[Expression 1]

[0040]
Can be calculated as In this case, as the countermeasure strength selection unit 109,
[0041]
[Expression 2]

[0042]
The necessary countermeasure strength N is calculated by using ALE as an input. Here, k is an appropriate coefficient (for example, 10), and α is a value set according to the cost-effectiveness information 106. If the five-stage value of the cost-effectiveness information 106 is x, α is given as α = 10−x, for example. Based on the calculated necessary countermeasure strength N, the countermeasure strength information 110 is “average” if N <0.3, “strongest” if N> 0.7, and “strong” otherwise. Countermeasure strength information 110 can be obtained.
[0043]
The countermeasure strength selection unit 109 searches the threat countermeasure database 102 using the obtained countermeasure strength information 110 and satisfies the countermeasure strength information 110 among the countermeasure targets associated with the threats previously listed as the threat list 103. What is necessary to do so is listed, and a countermeasure list 111 is set. In order to satisfy the selected measure strength information 110, it is necessary to include a measure target having a measure strength at a lower level in the measure list 111 as a premise. For example, when the measure strength information 110 for countering the threat of “spoofing authentication information and impersonating another person” is “strong”, the measure strength is “normal” and “strong” “periodic passwords” “Change (measure strength: average)” and “system use log audit (measure strength: strong)” are the measure list 111.
[0044]
FIG. 8 shows a screen example in which the countermeasure list 111 is displayed on the third screen 130-3. On the third screen 130-3, the calculated risk information 108 and countermeasure strength information 110 are also displayed. In the embodiment shown in FIG. 8, the correspondence between the component information 101, the threat list 103, the risk information 108, and the countermeasure strength information 110 can be easily seen by displaying side by side with the second screen 130-2. Thereafter, it is determined whether or not an end command has been sent from the user (step 208 in FIG. 2), and if the user sends an end command, the process ends. However, the cost effectiveness information 106 is adjusted and the OK button 120-3 is pressed. It is also possible to re-enter the cost-effectiveness information 106 (step 204). By executing the processing in steps 206 to 207 again, the countermeasure strength information 110 and the corresponding countermeasure list 111 are updated. At this time, for example, when implemented as a client server system via the network 903 as shown in FIG. 9, when the countermeasure list 111 is displayed on the third screen 130-3, the countermeasure strength selecting unit 109 is the client. The countermeasure list information fee is charged to the user 902.
[0045]
This embodiment is characterized by the fact that countermeasure targets of the necessary countermeasure strength are established rather than taking countermeasures of the same strength against all threats, especially in terms of risk and cost effectiveness. The characteristic is that the countermeasure strength is automatically selected accordingly. As a result, the countermeasure strength information 110 and the countermeasure list 111 are automatically updated by adjusting the cost-benefit information 106, so that it is possible to support the creation of a safety countermeasure policy that reflects the idea of the balance between risk and countermeasure costs.
[0046]
The program for performing the above processes can be transmitted to the user via a transmission medium composed of an information recording medium such as a magnetic disk or a CD-ROM, or a network transmission medium such as the Internet or a digital satellite.
[0047]
【The invention's effect】
As described above, according to the present invention, when creating a safety countermeasure policy, the countermeasure strength corresponding to the risk is automatically selected, and the corresponding countermeasure list is provided. A cost-effective safety policy can be easily created without bothering to select a countermeasure strength that is difficult to judge. In addition, even if the proposed safety policy is different from what is intended for cost-effectiveness, it is possible to re-select the strength of the countermeasure according to the intention, so it is necessary to create a safety policy that responds to various circumstances. Can support.
[0048]
In addition, when a client-server system is built over the network, experts on the server side maintain and manage the threat countermeasure database in an appropriate manner, so that remote client users who have no knowledge of security countermeasures can also implement appropriate security countermeasure policies. Can be created.
[Brief description of the drawings]
FIG. 1 is an overall configuration diagram of a safety policy creating apparatus to which the present invention is applied.
FIG. 2 is a flowchart showing a procedure of safety countermeasure policy creation processing to which the present invention is applied.
FIG. 3 is a diagram showing a configuration of a threat countermeasure database of FIG. 1;
4 is a screen example of a first screen shown in FIG. 1. FIG.
FIG. 5 is a screen example of a second screen shown in FIG. 1;
6 is a diagram showing a risk calculation table possessed by the risk calculation unit shown in FIG. 1; FIG.
7 is a diagram showing a countermeasure strength selection table possessed by the countermeasure strength selection section shown in FIG. 1. FIG.
8 is a screen example in which the second screen and the third screen shown in FIG. 1 are combined and displayed.
FIG. 9 is a diagram illustrating a construction example of a client server system to which the present invention is applied.
FIG. 10 is a diagram showing a table for obtaining difficulty level information and influence level information by grading occurrence frequency and loss amount.
[Explanation of symbols]
120 ... OK button, 130-1 ... first screen, 130-2 ... second screen, 130-3 ... third screen, 301 ... component column, 302 ... threat column, 303 ... difficulty column 304: Countermeasure target column, Countermeasure strength column, 401 ... Check box, 501 ... Scroll bar, 502 ... Slider, 601 ... Risk calculation table cell, 701 ... Countermeasure strength selection table, 702 ... Countermeasure strength selection table cell 901, server, 902, client, 903, network.

Claims

複数のコンポーネントから構成されるシステムに対する被害を防止するため安全対策の方針を作成する安全対策方針作成装置において、
コンポーネント情報と、各コンポーネントで起りうる正当でない行為である脅威と、各脅威が発生する確率を示す難易度情報と、各コンポーネント毎に実施すべき対策を示す対策目標情報と、前記各脅威に対してどの程度の対策を実施すべきかを示す対策強度情報とが格納されている脅威対策データベースであって、各脅威に対して難易度情報が対応付けられ、各対策目標情報に対して対策強度情報が対応付けられている脅威対策データベースと、
各コンポーネントで起りうる正当でない行為である脅威と、各脅威が発生する確率を示す難易度情報と、前記脅威に対する安全対策についての費用対効果を示す費用対効果情報の入力をユーザから受けるためのスクロールバーとを含む第１の画面を表示する表示手段と、
各脅威が発生することにより前記システムが被る被害の影響度を示す影響度情報の入力および前記スクロールバーを用いた前記費用対効果情報の入力を、前記ユーザから受ける入力手段と、
前記入力手段で入力された前記影響度情報および前記難易度情報に基づいて、前記各脅威の対策の必要性の度合いを示すリスク情報又は損失を算出する算出手段と、
前記算出手段で算出された前記リスク情報又は前記損失および前記入力手段で入力された前記費用対効果情報に基づいて、前記各脅威に対してどの程度の対策を実施すべきかを示す対策強度情報を選定し、前記コンポーネント毎に実施すべき対策を示す対策目標情報であって前記脅威に対応する対策目標情報のうち前記対策強度情報を満足する対策目標情報を前記脅威対策データベースから検索する選定手段とを有し、
前記算出手段は、難易度情報および影響度情報に対応するリスク情報を格納したテーブルから、前記入力手段で入力された前記影響度情報および前記難易度情報に対応するリスク情報を検索し、又は、前記損失をＡＬＥとし、前記難易度情報をｆとし、前記影響度情報をｉとした場合に表される

に、前記入力手段で入力された前記影響度情報および前記難易度情報を代入して前記損失を計算し、
前記選定手段は、前記算出手段で前記リスク情報を算出した場合に、リスク情報および費用対効果情報に対応する対策強度情報を格納したテーブルから、前記算出手段で算出された前記リスク情報および前記費用対効果情報に対応する対策強度情報を検索し、又は、前記算出手段で前記損失を算出した場合に、前記対策強度情報をＮとし、係数をｋとし、前記費用対効果情報に従って設定される値をαとした場合に表される

に、前記算出手段で算出された前記損失を代入して前記対策強度情報を計算し、
前記表示手段は、前記脅威対策データベース中の前記第１の画面の前記脅威に対応する、前記リスク情報又は前記損失、前記対策強度情報および前記対策目標情報とを含む第２の画面を、前記第１の画面と共に表示し、
前記入力手段は、前記第２の画面と共に表示された前記第１の画面内の前記スクロールバーを用いた前記費用対効果情報の入力を再度受け、
前記算出手段は、前記入力手段で再度入力された前記影響度情報および前記難易度情報に基づいて、前記リスク情報又は前記損失を再度算出し、
前記選定手段は、前記算出手段で再度算出された前記リスク情報又は前記損失および前記入力手段で再度入力された前記費用対効果情報に基づいて、前記対策強度情報を選定し、前記対策強度情報を満足する対策目標情報を前記脅威対策データベースから検索することを特徴とする安全対策方針作成装置。In a safety measure policy creation device that creates a safety measure policy to prevent damage to a system composed of multiple components,
Component information, threats that are illegal actions that can occur in each component, difficulty level information that indicates the probability of occurrence of each threat, countermeasure target information that indicates a countermeasure to be taken for each component, and each threat Is a threat countermeasure database that stores countermeasure strength information that indicates how much countermeasures should be taken, with difficulty level information associated with each threat, and countermeasure strength information for each countermeasure target information A threat countermeasure database associated with
In order to receive from a user a threat that is an illegal act that can occur in each component, difficulty level information that indicates the probability that each threat will occur, and cost-effective information that indicates the cost-effectiveness of safety measures against the threat Display means for displaying a first screen including a scroll bar;
Input means for receiving from the user the input of the impact information indicating the impact of damage caused by the system due to the occurrence of each threat and the input of the cost-effectiveness information using the scroll bar;
Calculation means for calculating risk information or loss indicating the degree of necessity of countermeasures for each threat, based on the influence level information and the difficulty level information input by the input means;
Based on the risk information or the loss calculated by the calculation means and the cost-effectiveness information input by the input means, countermeasure strength information indicating how much countermeasure should be taken against each threat Selecting means for searching for countermeasure target information satisfying the countermeasure strength information among countermeasure target information corresponding to the threat, which is countermeasure target information indicating a countermeasure to be implemented for each component, from the threat countermeasure database ; Have
The calculation means searches the risk information corresponding to the influence information and the difficulty information input by the input means from a table storing risk information corresponding to the difficulty information and the influence information, or This is expressed when the loss is ALE, the difficulty level information is f, and the influence level information is i.

And calculating the loss by substituting the influence level information and the difficulty level information input by the input means,
The selection means calculates the risk information and the cost calculated by the calculation means from a table storing countermeasure strength information corresponding to the risk information and cost effectiveness information when the risk information is calculated by the calculation means. A value set according to the cost-effectiveness information when the countermeasure strength information corresponding to the effectiveness information is searched or the loss is calculated by the calculating means, where the countermeasure strength information is N, the coefficient is k Expressed when α is

To calculate the measure strength information by substituting the loss calculated by the calculation means,
The display means includes a second screen including the risk information or the loss, the countermeasure strength information, and the countermeasure target information corresponding to the threat of the first screen in the threat countermeasure database . With the screen of 1
The input means receives again the input of the cost-effectiveness information using the scroll bar in the first screen displayed together with the second screen,
The calculation means recalculates the risk information or the loss based on the influence level information and the difficulty level information input again by the input means,
The selecting means selects the countermeasure strength information based on the risk information or the loss calculated again by the calculating means and the cost-effectiveness information input again by the input means, and the countermeasure strength information is selected. An apparatus for creating a safety countermeasure policy, characterized in that satisfying countermeasure target information is searched from the threat countermeasure database .

請求項1に記載の安全対策方針作成装置において、
前記入力手段は、前記コンポーネントを特定するコンポーネント情報の入力を前記ユーザから受け、
前記算出手段は、前記入力手段で入力されたコンポーネント情報で特定されるコンポーネントに対応する脅威および難易度情報を前記脅威対策データベースから検索し、
前記入力手段は、検索された脅威が発生することにより前記システムが被る被害の影響度を示す影響度情報の入力を前記ユーザから受け、
前記算出手段は、入力された前記影響度情報および検索された前記難易度情報に基づいて、前記リスク情報又は前記損失を算出することを特徴とする安全対策方針作成装置。In the safety policy creating apparatus according to claim 1,
The input means receives input of component information specifying the component from the user,
The calculation means searches the threat countermeasure database for threat and difficulty information corresponding to the component specified by the component information input by the input means,
The input means receives from the user input of impact information indicating the impact of damage to the system due to occurrence of a searched threat,
The said calculating means calculates the said risk information or the said loss based on the input said influence information and the searched said difficulty information, The safety measure policy preparation apparatus characterized by the above-mentioned.

請求項１または２に記載の安全対策方針作成装置において、In the safety policy creating apparatus according to claim 1 or 2,
ネットワークを介して情報処理装置と接続し、 Connect to the information processing device via the network,
前記入力手段での入力は、前記ネットワークを介した前記情報処理手段からの入力であり、 The input at the input means is an input from the information processing means via the network,
前記対策強度情報または前記対策目標情報を、前記ネットワークを介して前記情報処理装置に送信することを特徴とする安全対策方針作成装置。The safety measure policy creation device, wherein the measure strength information or the measure target information is transmitted to the information processing device via the network.

請求項１乃至３のいずれかに記載の安全対策方針作成装置において、 In the safety policy making apparatus according to any one of claims 1 to 3,
前記脅威は、前記コンポーネントに対する事故を含むことを特徴とする安全対策方針作成装置。 The security policy creating apparatus, wherein the threat includes an accident to the component.