JP7220095B2 - セキュリティ設計立案支援装置 - Google Patents

Description

本発明は、車載ネットワークシステムの設計者が行うセキュリティ設計の立案を支援する装置に関する。

近年の車両においては、車両に搭載された各種ＥＣＵ（Electrical Control Unit）の制御データを容易に収集、管理するための環境として、車内ＬＡＮ（Local Area Network）等を用いて構成された車載ネットワークの普及が進んでいる。この車載ネットワークを利用する技術として、例えば、他車両や外部サーバとの通信機能を車両に付加し、この通信機能を用いて、自動運転や運転支援において利用される周辺環境情報の収集やＥＣＵのソフトウェア更新を行う技術の開発が進んでいる。

従来の車載ネットワークシステムでは、一般に独自のＯＳとネットワークが用いられており、外部システムとは接続しない構成であった。そのため、車載ネットワークシステムが外部からウイルス等による攻撃を受けてセキュリティ上の脅威にさらされることはないと考えられていた。しかし、近年は車載ネットワークシステムの分野でもオープン化に向かっており、汎用ＯＳや標準プロトコルの採用が進んでいる。こういった背景から、これまで安全とされていた車載ネットワークシステムについても、これを対象としたサイバー攻撃の報告が年々増えている。

サイバー攻撃によるセキュリティ上の脅威への対処に関して、例えば一般的な情報システムの分野では、セキュリティ製品（ハード／ソフトウェア）および情報システムの開発や製造、運用などに関する国際標準であるＩＳＯ／ＩＥＣ１５４０８が、セキュリティ実装の保証レベルを向上させるために活用されている。ＩＳＯ／ＩＥＣ１５４０８では、対象とする情報システムに対して、セキュリティ上起こり得る脅威を分析してセキュリティ対策を策定し、セキュリティ要求仕様書（ＳＴ：Security Target）を作成することが求められる。

ところで、設計者や管理者が情報システムのセキュリティ対策を適切に策定するためには、その情報システムの構成やトポロジー構造を熟知する必要があり、これには非常に高度な技術や多大な工数が要求される。これに関して、例えば特許文献１の技術が知られている。特許文献１には、システム構成が異なる複数の情報システムに共通に適応可能な知識を用いることによって、個々の情報システムの構成に合わせて脅威対策知識を構築する必要性を省き、管理者の負担を軽減する技術が記載されている。

特許第５１４５９０７号

特許文献１に記載された技術では、個々の脅威と対策との対応関係が明確ではなく、そのため、対象とされる情報システムについて、想定される脅威に対して必要なセキュリティ対策を管理者が容易に確認できないという課題がある。

本発明によるセキュリティ設計立案支援装置は、車載ネットワークに対するセキュリティ設計の立案を支援する装置であって、前記車載ネットワークに対する脅威にそれぞれ対応する複数の対策案を表す第１の対策方針情報を作成する対策方針作成部と、前記対策方針作成部が作成した前記対策方針情報が表す前記複数の対策案のうち同一種類の対策案同士をマージして前記複数の対策案をグループ化するマージ処理部と、前記脅威と前記マージ処理部によりグループ化された前記複数の対策案との関係を表す第２の対策方針情報を外部に出力する通信部と、予め設定された各対策案の特徴に関するマージルール情報を記憶した記憶部と、を備え、前記マージ処理部は、前記マージルール情報を用いて前記同一種類の対策案同士をマージする。

本発明によれば、車載ネットワークにおいて想定される脅威に対して必要なセキュリティ対策を容易に確認することができる。

本発明の一実施形態に係るセキュリティ設計立案支援システムの構成図 センタサーバの機能構成を例示するブロック図 脅威分析テーブルの構成例を示す図 対策案テーブルの構成例を示す図 対策案選択テーブルの構成例を示す図 マージルールテーブルの構成例を示す図 対策方針テーブル（マージ前）の構成例を示す図 対策方針テーブル（マージ後）の構成例を示す図 セキュリティ設計立案支援システムのシーケンス図 センタサーバが実行する保持情報の更新処理のフローチャート

以下、本発明の実施形態について図面を参照して説明する。図１は、本発明の一実施形態に係るセキュリティ設計立案支援システムの構成図である。図１に示すセキュリティ設計立案支援システム１は、情報通信システムであって、センタサーバ２、ネットワーク３、およびＰＣ（パーソナルコンピュータ）４を含む。

ＰＣ４は、不図示の表示装置を備えている。センタサーバ２とＰＣ４は、ネットワーク３を介して相互に接続される。センタサーバ２は、ネットワーク３を介して、ＰＣ４とデータ通信を行う。ネットワーク３としては、例えば、ＷＡＮ（Wide Area Network）を用いることができる。なお、ＰＣ４は、１台のみ図示してあるが、セキュリティ設計立案支援システム１には、複数のＰＣ４がそれぞれ異なる地点に設置されていてもよい。

セキュリティ設計立案支援システム１は、センタサーバ２とＰＣ４がネットワーク３を介してデータ通信を行うことにより、自動車等の車両に搭載されて使用される車載ネットワークの設計者が行うセキュリティ設計の立案を支援する。この際、センタサーバ２は、設計者がＰＣ４に入力したセキュリティ上の脅威に関する情報をＰＣ４から受信し、この情報と予め保持した情報とを用いて、脅威への対策方針に関する分析を行う。そして、分析結果をＰＣ４に送信し、ＰＣ４の表示装置に表示させる。

なお、セキュリティ設計立案支援システム１がセキュリティ設計立案の支援対象とする車載ネットワークは、データ通信機能を有する複数の機器により構成される。この複数の機器には、例えば車両に搭載される各種ＥＣＵや、外部ネットワークとの通信に用いられる通信機器などが含まれる。

上記のように、本実施形態のセキュリティ設計立案支援システム１では、設計対象の車載ネットワークにおいて想定されるセキュリティ上の脅威に対する対策方針の立案を支援するための処理が、センタサーバ２において実施される。ＰＣ４は、このセンタサーバ２が行う処理の結果をセンタサーバ２から受けて表示装置に表示したり、設計者からの入力情報を受け付けてセンタサーバ２へ送信したりすることで、ＨＭＩ（ヒューマンマシンインターフェース）として作用する。そのため以下の説明では、センタサーバ２の動作を中心として説明する。

図２は、センタサーバ２の機能構成を例示するブロック図である。センタサーバ２は、通信部１０６と、通信部１０６に接続されている処理部２０とを備える。

処理部２０は、記憶部１０１と演算部１０２を備える。演算部１０２は、記憶部１０１が保持する情報と、通信部１０６がＰＣ４から取得した情報とを用いて、設計対象の車載ネットワークにおけるセキュリティ上の脅威への対策方針の立案を支援するための各種演算処理を実行する。これにより、センタサーバ２は、車載ネットワークに対するセキュリティ設計の立案を支援するセキュリティ設計立案支援装置として作用する。

記憶部１０１は、例えばフラッシュメモリやＨＤＤのような不揮発性の記憶装置を用いて構成されており、対策案テーブル２１００、対策案選択テーブル２２００、マージルールテーブル２３００、対策方針テーブル（マージ前）２４００、および対策方針テーブル（マージ後）２５００の各情報を記憶保持する。このうち対策案テーブル２１００、対策案選択テーブル２２００、およびマージルールテーブル２３００は、予め設定されて記憶部１０１に保持されている情報（保持情報）である。一方、対策方針テーブル（マージ前）２４００は、演算部１０２の処理により作成されて記憶部１０１に一時的に記憶される情報（一時記憶情報）である。また、対策方針テーブル（マージ後）２５００は、対策方針テーブル（マージ前）２４００に基づいて作成されてＰＣ４に出力される情報（設計者出力情報）である。

対策案テーブル２１００は、設計対象の車載ネットワークにおいて現在利用可能な対策案がテーブル形式で記載された情報である。対策案テーブル２１００は、後述する対策方針作成部１１００が対策方針テーブル（マージ前）２４００を作成する際に利用されるとともに、後述する対策案更新部１４００によって更新される。

対策案選択テーブル２２００は、設計対象の車載ネットワークにおいて想定される脅威に対して適切な対策案を選択するための選択条件がテーブル形式で記載された情報である。対策案選択テーブル２２００は、後述する対策方針作成部１１００が対策方針テーブル（マージ前）２４００を作成する際に利用されるとともに、後述するルール更新部１５００によって更新される。

マージルールテーブル２３００は、対策方針テーブル（マージ前）２４００に含まれる複数の対策案のうち、同一種類の対策案同士をまとめてグループ化するためのマージ条件がテーブル形式で記載された情報である。マージルールテーブル２３００は、後述するマージ処理部１２００が対策方針テーブル（マージ前）２４００から対策方針テーブル（マージ後）２５００を作成する際に利用されるとともに、後述するルール更新部１５００によって更新される。

対策方針テーブル（マージ前）２４００は、設計対象の車載ネットワークにおいて想定される様々な脅威にそれぞれ対応する複数の対策案がテーブル形式で記載された情報である。対策方針テーブル（マージ前）２４００は、後述する対策方針作成部１１００によって作成され、一時記憶情報として記憶部１０１に格納される。

対策方針テーブル（マージ後）２５００は、対策方針テーブル（マージ前）２４００に含まれる複数の対策案のうち、同一種類の対策案同士をマージしてグループ化した情報であり、対策方針テーブル（マージ前）２４００と同様にテーブル形式で記載されている。対策方針テーブル（マージ後）２５００は、後述するマージ処理部１２００によって作成され、設計者出力情報として記憶部１０１に格納される。

演算部１０２は、対策方針作成部１１００、マージ処理部１２００、条件判定処理部１３００、対策案更新部１４００、およびルール更新部１５００の各機能ブロックを備える。演算部１０２は、これらの機能ブロックを、例えばマイコン等のＣＰＵにより所定の制御プログラムを実行することで、ソフトウェア的に実現することができる。あるいは、例えばＦＰＧＡ（Field Programmable Gate Array）のような演算処理機能を有する電子回路を用いて、これらの機能ブロックを実現してもよい。

通信部１０６は、ネットワーク３を介してＰＣ４に接続されており、ＰＣ４との間でデータ通信を行う。通信部１０６は、ＰＣ４から送信される脅威分析テーブル２０００を受信して演算部１０２に出力するとともに、設計対象の車載ネットワークにおいて想定される脅威への対策方針に関する分析結果として、記憶部１０１から読み出された対策方針テーブル（マージ後）２５００をＰＣ４へ送信する。

ＰＣ４では、通信部１０６から受信した対策方針テーブル（マージ後）２５００を不図示の表示装置に画面表示することで、設計者に提示する。これにより、設計者は、設計対象の車載ネットワークにおいて想定される脅威に対して必要なセキュリティ対策を容易に確認することができる。

対策方針作成部１１００は、通信部１０６がＰＣ４から受信した脅威分析テーブル２０００を取得する。脅威分析テーブル２０００とは、設計対象の車載ネットワークにおいて想定される様々なセキュリティ上の脅威に対する分析結果をテーブル形式で記載した情報であり、設計者がＰＣ４を用いて所定の情報を入力することにより作成される。対策方針作成部１１００は、ＰＣ４から取得した脅威分析テーブル２０００と、記憶部１０１に保持された保持情報のうち対策案テーブル２１００および対策案選択テーブル２２００とを用いて、対策方針テーブル（マージ前）２４００を作成し、記憶部１０１に格納する。

マージ処理部１２００は、記憶部１０１に保持された保持情報のうちマージルールテーブル２３００を参照することで、対策方針テーブル（マージ前）２４００に含まれる複数の対策案の中に、同一種類の対策案が含まれるか否かを判断する。その結果、同一種類の対策案が含まれると判断した場合は、それらを１つの対策案項目としてグループ化するマージ処理を行う。このマージ処理により、対策方針テーブル（マージ前）２４００が表す脅威ごとの各対策案がそれぞれの種類に応じてグループ分けされ、対策方針テーブル（マージ後）２５００が作成される。マージ処理部１２００は、作成した対策方針テーブル（マージ後）２５００を設計者出力情報として記憶部１０１に格納する。

条件判定処理部１３００は、外部から新たな脅威と対策案の通知を受けた場合に、記憶部１０１における保持情報の更新を行うか否かを判定する。例えば、センタサーバ２の管理者が不図示の入力装置を用いて入力した新たな脅威に関する脅威情報を受け付け、この脅威情報が表す脅威とその対策案に対応する内容が、対策案選択テーブル２２００において既に登録済みであるか否かを判定する。その結果、未登録である場合は、保持情報の更新を行う必要があると判断し、対策案更新部１４００に対して対策案テーブル２１００の更新を指示するとともに、ルール更新部１５００に対して対策案選択テーブル２２００およびマージルールテーブル２３００の更新を指示する。

対策案更新部１４００は、条件判定処理部１３００の指示に応じて、記憶部１０１に記憶されている対策案テーブル２１００を更新する。対策案更新部１４００は、例えば外部から取得した脅威情報に基づき、新たな脅威に対して有効な対策案を対策案テーブル２１００に追加することで、対策案テーブル２１００を更新する。

ルール更新部１５００は、条件判定処理部１３００の指示に応じて、記憶部１０１に記憶されている対策案選択テーブル２２００およびマージルールテーブル２３００を更新する。ルール更新部１５００は、例えば外部から取得した脅威情報に基づき、新たな脅威に対して有効な対策案を選択するための選択条件を対策案選択テーブル２２００に追加することで、対策案選択テーブル２２００を更新する。また、当該対策案の特徴に関するマージ条件をマージルールテーブル２３００に追加することで、マージルールテーブル２３００を更新する。

続いて、ＰＣ４からセンタサーバ２へ送信される脅威分析テーブル２０００と、記憶部１０１に記憶されている対策案テーブル２１００、対策案選択テーブル２２００、マージルールテーブル２３００、対策方針テーブル（マージ前）２４００、および対策方針テーブル（マージ後）２５００の各情報の具体例について、以下に図３～図８を参照して説明する。

図３は、脅威分析テーブル２０００の構成例を示す図である。図３に示す例では、脅威分析テーブル２０００は、脅威番号３０１、資産３０２、脅威特徴３０３～３０７、およびリスク値３０８の各項目により構成されている。

脅威番号３０１は、脅威分析テーブル２０００が表す各脅威を一意に特定するための情報であり、脅威ごとに固有の番号がそれぞれ割り当てられる。資産３０２は、設計対象の車載ネットワークが有する資産（機能や情報）のうち、脅威によって影響を受ける資産を表す情報である。脅威特徴３０３～３０７は、脅威の特徴を表す情報である。図３の例では、様々な課題に対する対策立案の手法として広く利用されている５Ｗ法を用いて、脅威の特徴を表現している。具体的には、「どこから」（侵入経路）を表す脅威特徴３０３、「誰が」（発生者）を表す脅威特徴３０４、「いつ」（発生時期）を表す脅威特徴３０５、「なぜ」（発生原因）を表す脅威特徴３０６、「どうやって」（脅威手法）を表す脅威特徴３０７の各項目により、脅威の特徴を表現している。リスク値３０８は、脅威によるリスクの大きさを表す情報である。例えば、資産への影響度、発生する際の条件の難易度、発生する際の経路などに基づいて脅威のリスク評価を実施し、その評価結果に基づいてリスク値３０８を決定することができる。本実施形態では、例えば周知の情報をもとに共通脆弱性評価システム（ＣＶＳＳ：Common Vulnerability Scoring System）を用いて、リスク値３０８の算出を行うことができる。すなわち、ＰＣ４においてＣＶＳＳを用いたリスク値の算出に必要なデータを設計者に入力させ、このデータを予め保持したデータと関連付けて管理することにより、設計対象の車載ネットワークにおいて想定される脅威の抽出や、当該脅威のリスク値を自動的に算出することが可能となる。

なお、図３以外の表現形式を用いて脅威分析テーブル２０００を構成してもよい。例えば、脅威により損害が発生する経路や損害の発生する段階など、脅威特徴３０３～３０７以外の項目を用いて、脅威の特徴を表現することも可能である。これ以外にも、様々な表現形式を用いて脅威分析テーブル２０００を構成することが可能である。

図４は、対策案テーブル２１００の構成例を示す図である。図４に示す例では、対策案テーブル２１００は、対策案番号４０１、および対策案４０２の各項目により構成されている。

対策案番号４０１は、対策案テーブル２１００が表す各対策案を一意に特定するための情報であり、対策案ごとに固有の番号がそれぞれ割り当てられる。対策案４０２は、設計対象の車載ネットワークにおいて発生する様々な脅威に対して有効と考えられる各種の対策案を表す情報である。例えば、脅威の発生を防止または低減したり、脅威が発生した場合の被害を軽減したりするのに有効なものとして、脅威の種類に応じて事前に規定された対策案の内容を示している。

図５は、対策案選択テーブル２２００の構成例を示す図である。図５に示す例では、対策案選択テーブル２２００は、番号５０１、リンクワード５０２～５０７、対策案番号５０８、および対策案５０９の各項目により構成されている。

番号５０１は、対策案選択テーブル２２００が表す各選択条件を一意に特定するための情報であり、選択条件ごとに固有の番号がそれぞれ割り当てられる。リンクワード５０２～５０７は、脅威と対策案の対応関係を表す情報である。図５の例では、前述の５Ｗ法を用いて、脅威と対策案の対応関係を表現している。具体的には、リンクワード（ＮＯＴ）５０２、５０３は除外条件を示しており、ここに記載された単語が脅威分析テーブル２０００に含まれる脅威は当該対策案に対応しないことを表している。一方、リンクワード（ＡＮＤ）５０４およびリンクワード（ＯＲ）５０５～５０７は合致条件を示しており、ここに記載された単語が脅威分析テーブル２０００に含まれる脅威は当該対策案に対応することを表している。なお、リンクワード（ＡＮＤ）５０４はＡＮＤ条件、すなわち対応関係を満たすために必須の単語を表しており、リンクワード（ＯＲ）５０５～５０７はＯＲ条件、すなわちいずれかを含めば対応関係を満たす単語を表している。対策案番号５０８および対策案５０９は、脅威に対して有効な対策案を表す情報であり、図４の対策案テーブル２１００における対策案番号４０１、対策案４０２とそれぞれ対応している。

対策方針作成部１１００は、図３に示した脅威分析テーブル２０００と、図５に示した対策案選択テーブル２２００とを比較することで、設計対象の車載ネットワークにおいて想定される様々な脅威に対する対策案を選択する。具体的には、脅威分析テーブル２０００に示された各脅威について、脅威特徴３０３～３０７の内容と、対策案選択テーブル２２００におけるリンクワード５０２～５０７の内容とを比較することで、対策案選択テーブル２２００が表す複数の選択条件の中から、当該脅威に対応するものを抽出する。そして、抽出した選択条件の対策案５０９を参照することで、当該脅威に対して有効な対策案を選択する。こうした処理を脅威分析テーブル２０００に含まれる全ての脅威について実施し、その結果を表形式にまとめることで、対策方針テーブル（マージ前）２４００を作成することができる。

例えば、図３の脅威分析テーブル２０００において脅威番号３０１の値が「１」の脅威には、脅威特徴３０６に「過失」、脅威特徴３０７に「機能への大量アクセスで動作を阻害する」という特徴がそれぞれ記載されている。したがって、図５の対策案選択テーブル２２００において、リンクワード５０７、５０６に示された合致条件がこれらの特徴とそれぞれ合致する選択条件、すなわち番号５０１の値が「１」の選択条件が抽出され、この選択条件の対策案５０９に記載された「ＤｏＳ対策」が、当該脅威に対応する対策案として選択される。

また、図３の脅威分析テーブル２０００において脅威番号３０１の値が「２」の脅威には、脅威特徴３０３に「無線通信インターフェース」、脅威特徴３０６に「故意」、脅威特徴３０７に「正規に存在する設定機能を利用して動作を停止させる」という特徴がそれぞれ記載されている。したがって、図５の対策案選択テーブル２２００において、リンクワード５０５、５０７、５０６に示された合致条件がこれらの特徴とそれぞれ合致する選択条件、すなわち番号５０１の値が「２」の選択条件が抽出され、この選択条件の対策案５０９に記載された「不正アクセス対策」が、当該脅威に対応する対策案として選択される。

また、図３の脅威分析テーブル２０００において脅威番号３０１の値が「３」の脅威には、脅威特徴３０３に「非正規のインターフェース」という特徴が記載されている。したがって、図５の対策案選択テーブル２２００において、リンクワード５０７に示された合致条件がこの特徴と合致し、かつリンクワード５０２に示された除外条件がこの特徴と合致しない選択条件として、番号５０１の値が「３」の選択条件が選択され、この選択条件の対策案５０９に記載された「改ざん書換対策」が、当該脅威に対応する対策案として選択される。

なお、対策案選択テーブル２２００では、図５のリンクワード５０２～５０７で示した除外条件や合致条件以外の表現を用いて、脅威と対策案の対応関係を表すことも可能である。対策方針作成部１１００において、設計対象の車載ネットワークにおいて想定される複数の脅威にそれぞれ対応する複数の対策案を適切に選択できるものであれば、どのような表現形式で脅威と対策案の対応関係を表してもよい。

図６は、マージルールテーブル２３００の構成例を示す図である。図６に示す例では、マージルールテーブル２３００は、番号６０１、マージ条件６０２～６０８の各項目により構成されている。

番号６０１は、マージルールテーブル２３００が表す各マージ条件を一意に特定するための情報であり、マージ条件ごとに固有の番号がそれぞれ割り当てられる。マージ条件６０２～６０８は、複数の対策案をマージする条件を表す情報である。図６の例では、対策案に関連する資産の種類と、前述の５Ｗ法を用いて表現された対策案に対応する脅威の特徴と、脅威のリスク値とにより、複数の対策案をマージする条件を示している。具体的には、資産の種類を表すマージ条件６０２、図３の脅威特徴３０３～３０７にそれぞれ対応するマージ条件６０３～６０７、図３のリスク値３０８に対応するマージ条件６０８の各項目により、対策案のマージ条件を示している。

なお、マージルールテーブル２３００では、図６のマージ条件６０２～６０８で示したもの以外の表現を用いて、複数の対策案をマージする条件を表すことも可能である。マージ処理部１２００において、設計対象の車載ネットワークにおいて想定される複数の脅威にそれぞれ対応する複数の対策案のうち、同一種類の対策案同士を適切にマージできるものであれば、どのような表現形式で複数の対策案をマージする条件を表してもよい。

図７は、対策方針テーブル（マージ前）２４００の構成例を示す図である。図７に示す例では、対策方針テーブル（マージ前）２４００は、脅威番号７０１、資産７０２、脅威特徴７０３～７０７、リスク値７０８、および対策案番号７０９の各項目により構成されている。

脅威番号７０１は、対策方針テーブル（マージ前）２４００が表す各対策方針における脅威を一意に特定するための情報である。資産７０２は、設計対象の車載ネットワークが有する資産のうち、脅威によって影響を受ける資産を表す情報である。脅威特徴７０３～７０７は、脅威の特徴を表す情報である。リスク値７０８は、脅威によるリスクの大きさを表す情報である。対策案番号７０９は、脅威に対応する対策案を特定するための情報である。なお、脅威番号７０１、資産７０２、脅威特徴７０３～７０７、およびリスク値７０８は、図３の脅威分析テーブル２０００における脅威番号３０１、資産３０２、脅威特徴３０３～３０７、およびリスク値３０８とそれぞれ対応している。また、対策案番号７０９は、図４の対策案テーブル２１００における対策案番号４０１および図５の対策案選択テーブル２２００における対策案番号５０８と対応している。

対策方針作成部１１００は、図３に示した脅威分析テーブル２０００と、図５に示した対策案選択テーブル２２００とを用いて、前述のような処理を行うことにより、図７の対策方針テーブル（マージ前）２４００を作成することができる。具体的には、図３の脅威番号３０１、資産３０２、脅威特徴３０３～３０７、およびリスク値３０８の各項目に記載された内容から、図７の脅威番号７０１、資産７０２、脅威特徴７０３～７０７、およびリスク値７０８の内容がそれぞれ決定される。また、これらの項目によって特定される各脅威について、図５の対策案選択テーブル２２００との比較により選択された対策案に対応する対策案番号５０８の値から、図７の対策案番号７０９の値が決定される。

図８は、対策方針テーブル（マージ後）２５００の構成例を示す図である。図８に示す例では、対策方針テーブル（マージ後）２５００は、脅威番号８０１、資産８０２、脅威特徴８０３～８０７、リスク値８０８、および対策案番号８０９の各項目により構成されている。

脅威番号８０１は、図７の対策方針テーブル（マージ前）２４００における脅威番号７０１と同様に、対策方針テーブル（マージ後）２５００が表す各対策方針における脅威を一意に特定するための情報である。ただし対策方針テーブル（マージ後）２５００では、一つのグループにマージされた同一種類の複数の対策案に対応する複数の脅威を表すために、脅威番号８０１には複数の番号が記載されていることがある。資産８０２、脅威特徴８０３～８０７、およびリスク値８０８は、図７の対策方針テーブル（マージ前）２４００における資産７０２、脅威特徴７０３～７０７、およびリスク値７０８とそれぞれ同様である。ただし対策方針テーブル（マージ後）２５００では、一つのグループにマージされた同一種類の複数の対策案に対応する複数の脅威のリスク値を表すために、リスク値８０８には最小値から最大値までの範囲が記載されていることがある。対策案番号８０９は、図７の対策方針テーブル（マージ前）２４００における対策案番号７０９と同様に、脅威に対応する対策案を特定するための情報である。ただし対策方針テーブル（マージ後）２５００では、一つのグループにマージされた同一種類の複数の対策案を表すために、対策案番号８０９には複数の番号が記載されていることがある。

マージ処理部１２００は、図６に示したマージルールテーブル２３００を用いて、図７に示した対策方針テーブル（マージ前）２４００が表す複数の対策案のうち、同一種類の対策案同士をマージしてグループ化することで、図８の対策方針テーブル（マージ後）２５００を作成することができる。

例えば、図６のマージルールテーブル２３００において番号６０１の値が「１」のマージ条件は、資産の種類が「機能」に該当し、「機能への大量アクセスで動作を阻害する」という特徴を有し、かつリスク値が「９．０」から「６．０」の範囲内である脅威と、これに対応する対策案とを、一つのグループにマージすることを表している。また、図６のマージルールテーブル２３００において番号６０１の値が「２」のマージ条件は、「故意」、「正規に存在する設定機能を利用して動作を停止させる」という特徴を有する脅威と、これに対応する対策案とを、一つのグループにマージすることを表している。また、図６のマージルールテーブル２３００において番号６０１の値が「３」のマージ条件は、資産の種類が「情報」に該当し、「非正規のインターフェース」、「情報を読み取る」という特徴を有する脅威と、これに対応する対策案とを、一つのグループにマージすることを表している。これらのマージ条件を図７の対策方針テーブル（マージ前）２４００に適用することで、図８の対策方針テーブル（マージ後）２５００が作成される。

図９は、セキュリティ設計立案支援システム１が実行する処理の流れを示すシーケンス図である。

ステップＳ１０において、ＰＣ４は、設計者に入力された情報から脅威分析テーブル２０００を作成し、センタサーバ２に送信する。

ステップＳ４０において、センタサーバ２は、対策方針作成部１１００により、ステップＳ１０でＰＣ４から送信された脅威分析テーブル２０００に基づいて、設計対象の車載ネットワークで想定されるセキュリティ上の脅威に対する対策方針の作成を行う。ここでは、記憶部１０１に記憶されている対策案テーブル２１００および対策案選択テーブル２２００を、対策方針の作成に用いる情報として入力し、これらの情報を用いることで、脅威分析テーブル２０００が表す各脅威に対応する対策案を選択し、対策方針テーブル（マージ前）２４００を作成する。

ステップＳ５０において、センタサーバ２は、マージ処理部１２００により、ステップ４０で作成した対策方針テーブル（マージ前）２４００に対して、同一種類の対策案同士をマージしてグループ化するマージ処理を行う。ここでは、記憶部１０１に記憶されているマージルールテーブル２３００をマージ処理に用いる情報として入力し、この情報を用いることで、対策方針テーブル（マージ前）２４００が表す複数の対策案のうち、同一種類の対策案同士をグループ化し、対策方針テーブル（マージ後）２５００を作成する。対策方針テーブル（マージ後）２５００を作成したら、センタサーバ２は、通信部１０６により、作成した対策方針テーブル（マージ後）２５００をＰＣ４に送信する。

ステップＳ２０において、ＰＣ４は、ステップＳ５０でセンタサーバ２から送信された対策方針テーブル（マージ後）２５００を受信し、これに基づいて図８に示すような表示画面を作成して、不図示の表示装置に表示する。

ステップＳ３０において、設計者は、ステップＳ３０でＰＣ４の表示装置に表示された図８の画面において示された対策方針を参照して、設計対象の車載ネットワークにおける脅威への対策を選定する。

図１０は、セキュリティ設計立案支援システム１においてセンタサーバ２が実行する保持情報の更新処理の流れを示すフロー図である。

ステップＳ１１０において、センタサーバ２は、通信部１０６により、新たな脅威に関する脅威情報を外部から取得する。

ステップＳ１２０において、センタサーバ２は、条件判定処理部１３００により、ステップＳ１１０で取得した脅威情報に含まれる脅威が既登録の脅威かどうかを判定する。ここでは、取得した脅威情報に一致する脅威と対策案の組み合わせを対策案選択テーブル２２００において検索し、一致する組み合わせが対策案選択テーブル２２００に存在しない場合は、既登録の脅威ではない、すなわち未登録の脅威であると判定し、ステップ１３０に移る。一方、一致する組み合わせが対策案選択テーブル２２００に存在した場合は、既登録の脅威であると判定し、図１０の処理フローを終了する。

ステップＳ１３０において、センタサーバ２は、対策案更新部１４００により、ステップＳ１２０で未登録と判定した脅威に対して有効な対策案を、新しい対策案として対策案テーブル２１００に追加する。

ステップＳ１４０において、センタサーバ２は、ルール更新部１５００により、ステップＳ１２０で未登録と判定した脅威と対策案の組み合わせに基づいて、新たな選択条件を対策案選択テーブル２２００に追加し、対策案選択テーブル２２００を更新する。

ステップＳ１５０において、センタサーバ２は、ルール更新部１５００により、ステップＳ１２０で未登録と判定した脅威と対策案の組み合わせに基づいて、新たなマージ条件をマージルールテーブル２３００に追加し、マージルールテーブル２３００を更新する。ステップＳ１５０の処理を実行したら、センタサーバ２は、図１０の処理フローを終了する。

以上説明した本発明の一実施形態によれば、対策案の種類が一致する脅威同士を集合として扱うことができるため、複数の脅威と対策案を互いに関連付けたままで、設計者に対策方針を提示することができる。その結果、セキュリティ対策立案の工数の低減や、トレーサビリティの確保を図ることができる。

以上説明した本発明の一実施形態によれば、以下の作用効果を奏する。

（１）センタサーバ２は、車載ネットワークに対するセキュリティ設計の立案を支援する装置であって、車載ネットワークに対する脅威にそれぞれ対応する複数の対策案を表す第１の対策方針情報、すなわち対策方針テーブル（マージ前）２４００を作成する対策方針作成部１１００と、対策方針作成部１１００が作成した対策方針テーブル（マージ前）２４００が表す複数の対策案のうち同一種類の対策案同士をマージして複数の対策案をグループ化するマージ処理部１２００と、脅威とマージ処理部１２００によりグループ化された複数の対策案との関係を表す第２の対策方針情報、すなわち対策方針テーブル（マージ後）２５００を外部に出力する通信部１０６と、を備える。このようにしたので、車載ネットワークにおいて想定される脅威に対して必要なセキュリティ対策を設計者が容易に確認することができる。

（２）センタサーバ２は、予め設定された各対策案の特徴に関するマージルール情報、すなわちマージルールテーブル２３００を記憶した記憶部１０１をさらに備える。マージ処理部１２００は、マージルールテーブル２３００を用いて同一種類の対策案同士をマージする。このようにしたので、対策方針テーブル（マージ前）２４００が表す複数の対策案のうち同一種類の対策案同士を、確実にマージすることができる。

（３）センタサーバ２は、予め設定された各脅威と対策案との関係を表す対策案選択情報、すなわち対策案選択テーブル２２００を記憶した記憶部１０１をさらに備える。対策方針作成部１１００は、脅威に対する分析結果を表す脅威分析情報、すなわち脅威分析テーブル２０００を取得し、その脅威分析テーブル２０００と対策案選択テーブル２２００とを用いて対策方針テーブル（マージ前）２４００を作成する。このようにしたので、脅威に対して有効な対策案を確実に選択し、対策方針テーブル（マージ前）２４００を作成することができる。

（４）センタサーバ２は、外部から取得した情報に基づいて対策案選択テーブル２２００やマージルールテーブル２３００を更新するルール更新部１５００をさらに備える。このようにしたので、対策案選択テーブル２２００やマージルールテーブル２３００を常に最新の状態に保つことができる。

（５）通信部１０６は、対策方針テーブル（マージ後）２５００を外部のコンピュータであるＰＣ４に出力する。対策方針テーブル（マージ後）２５００は、脅威とマージ処理部１２００によりグループ化された複数の対策案との関係を示す図８のような画面を、ＰＣ４が備える表示装置に表示させるための情報である。このようにしたので、車載ネットワークにおいて想定される脅威に対して必要なセキュリティ対策を分かりやすい表示形態で設計者に提示することができる。

なお、以上説明した実施形態や各種の変形例はあくまで一例である。本発明の特徴を損なわない限り、本発明は上記実施の形態に限定されるものではなく、本発明の技術的思想の範囲内で考えられるその他の形態についても、本発明の範囲内に含まれる。すなわち、実施形態の構成の一部について、他の構成の追加・削除・置換を任意に行うことが可能である。

また、上記の各構成、機能等は、それらの一部又は全部を、例えば、集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈して実行することにより、ソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリ、ハードディスク、ＳＳＤ（Solid State Drive）等の記録装置、または、ＩＣ（Integrated Circuit）カード、メモリカード、ＤＶＤ等の記録媒体に記録しておくことができる。

１…セキュリティ設計立案支援システム、２…センタサーバ、３…ネットワーク、４…ＰＣ、２０…処理部、１０１…記憶部、１０２…演算部、１０６…通信部、１１００…対策方針作成部、１２００…マージ処理部、１３００…条件判定処理部、１４００…対策案更新部、１５００…ルール更新部、２０００…脅威分析テーブル、２１００…対策案テーブル、２２００…対策案選択テーブル、２３００…マージルールテーブル、２４００…対策方針テーブル（マージ前）、２５００…対策方針テーブル（マージ後）

Claims (5)

1. 車載ネットワークに対するセキュリティ設計の立案を支援する装置であって、
   前記車載ネットワークに対する脅威にそれぞれ対応する複数の対策案を表す第１の対策方針情報を作成する対策方針作成部と、
   前記対策方針作成部が作成した前記第１の対策方針情報が表す前記複数の対策案のうち同一種類の対策案同士をマージして前記複数の対策案をグループ化するマージ処理部と、
   前記脅威と前記マージ処理部によりグループ化された前記複数の対策案との関係を表す第２の対策方針情報を外部に出力する通信部と、
   予め設定された各対策案の特徴に関するマージルール情報を記憶した記憶部と、を備え、
   前記マージ処理部は、前記マージルール情報を用いて前記同一種類の対策案同士をマージするセキュリティ設計立案支援装置。
2. 請求項１に記載のセキュリティ設計立案支援装置において、
   外部から取得した情報に基づいて前記マージルール情報を更新するルール更新部をさらに備えるセキュリティ設計立案支援装置。
3. 請求項１に記載のセキュリティ設計立案支援装置において、
   前記記憶部は、予め設定された各脅威と対策案との関係を表す対策案選択情報をさらに記憶し、
   前記対策方針作成部は、前記脅威に対する分析結果を表す脅威分析情報を取得し、前記脅威分析情報と前記対策案選択情報とを用いて前記第１の対策方針情報を作成するセキュリティ設計立案支援装置。
4. 請求項３に記載のセキュリティ設計立案支援装置において、
   外部から取得した情報に基づいて前記対策案選択情報を更新するルール更新部をさらに備えるセキュリティ設計立案支援装置。
5. 請求項１に記載のセキュリティ設計立案支援装置において、
   前記通信部は、前記第２の対策方針情報を外部のコンピュータに出力し、
   前記第２の対策方針情報は、前記脅威と前記マージ処理部によりグループ化された前記複数の対策案との関係を示す画面を、前記コンピュータが備える表示装置に表示させるための情報であるセキュリティ設計立案支援装置。

Images