特許 6048508 セキュリティ機能設計支援装置、セキュリティ機能設計支援方法、およびプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6048508

(24)【登録日】2016年12月2日

(45)【発行日】2016年12月21日

(54)【発明の名称】セキュリティ機能設計支援装置、セキュリティ機能設計支援方法、およびプログラム

(51)【国際特許分類】

   G06F 21/57 20130101AFI20161212BHJP

【ＦＩ】

   G06F21/57 370

【請求項の数】9

【全頁数】19

(21)【出願番号】特願2014-541975(P2014-541975)

(86)(22)【出願日】2013年7月18日

(86)【国際出願番号】JP2013069555

(87)【国際公開番号】WO2014061325

(87)【国際公開日】20140424

【審査請求日】2016年6月16日

(31)【優先権主張番号】特願2012-228072(P2012-228072)

(32)【優先日】2012年10月15日

(33)【優先権主張国】JP

(73)【特許権者】

【識別番号】000004237

【氏名又は名称】日本電気株式会社

(74)【代理人】

【識別番号】100109313

【弁理士】

【氏名又は名称】机 昌彦

(74)【代理人】

【識別番号】100124154

【弁理士】

【氏名又は名称】下坂 直樹

(72)【発明者】

【氏名】芦野 佑樹

【審査官】 平井 誠

(56)【参考文献】

【文献】 特開２０１１−１９７７９９（ＪＰ，Ａ）

【文献】 特開２０１２−０３８１０８（ＪＰ，Ａ）

【文献】 特開２００６−３５０３９９（ＪＰ，Ａ）

【文献】 特開２０１１−２３２８７４（ＪＰ，Ａ）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｇ０６Ｆ ２１／５７

(57)【特許請求の範囲】

【請求項1】

システムの構成の情報を記憶するシステム構成データ記憶部と、
セキュリティ機能を実現するために、前記システムの構成要素に対して設定されたセキュリティ実現方式のデータを記憶する実現方式記憶部と、
前記セキュリティ実現方式の機能を保護するために、前記システムの構成要素に対して設定された付随機能要素のデータを記憶する付随機能要素記憶部と、
ある付随機能要素の設定の妥当性を判定するための条件を記憶する付随機能要素定義記憶部と、
前記妥当性を判定するための条件に基づいて、前記システムの構成要素に対して設定された付随機能要素が妥当であるか否かを判定する付随機能要素評価部と、
前記付随機能要素評価部による判定の結果を出力する評価結果出力部と、を含むセキュリティ機能設計支援装置。

【請求項2】

前記付随機能要素評価部は、
ユーザによって予め登録された前記付随機能要素のデータを前記実現方式記憶部から取得し、
前記付随機能要素定義記憶部から取得した前記妥当性を判定するための条件に基づいて、前記システム構成データ記憶部および前記実現方式記憶部の情報を参照しながら付随機能要素の妥当性を判定する、請求項１に記載のセキュリティ機能設計支援装置。

【請求項3】

各々の付随機能要素に対して予め設定された判定条件に基づいて、前記システムの構成要素に対して設定された前記付随機能要素が妥当であるか否かの評価を実施すべきか否かを判定する、付随機能要素フィルタリング部を備える、請求項１または２に記載のセキュリティ機能設計支援装置。

【請求項4】

前記付随機能要素記憶部に記憶された付随機能要素のデータを、前記システムの構成要素に対して設定されたセキュリティ実現方式のデータと、前記システムの構成要素に対して設定された付随機能要素のデータに分類する、配置済み付随機能要素分類部を備える、請求項１から３のいずれか１項に記載のセキュリティ機能設計支援装置。

【請求項5】

各々の付随機能要素に対して予め登録されたセキュリティ規定情報を記憶する規定データ記憶部を備え、
前記評価結果出力部は、
前記付随機能要素評価部による判定の結果、合格した付随機能要素に対応する前記セキュリティ規定情報を出力する、請求項１から４のいずれか１項に記載のセキュリティ機能設計支援装置。

【請求項6】

前記システム構成データ記憶部は、システムの構成要素と、各々の構成要素が通信経路を介して接続されている他の構成要素の情報を含み、
前記実現方式記憶部は、各々のセキュリティ実現方式が保護する情報資産と、その情報資産の送信元および受信先の情報を含み、
前記付随機能要素評価部は、
前記システムの構成要素に対して設定され、前記セキュリティ実現方式の機能を保護するために設定された付随機能要素が通信経路のセキュリティ維持に関するものである場合には、前記システム構成データ記憶部を参照し、前記送信元と前記受信先が通信経路を介して接続されているか否かに基づいて、判定を行う、請求項１から５のいずれか１項に記載のセキュリティ機能設計支援装置。

【請求項7】

前記実現方式記憶部は、セキュリティ実現方式の機能を保護するために設定された付随機能要素が他のセキュリティ実現方式によって実現されている場合は、前記セキュリティ実現方式のレコードにリンクする当該他のセキュリティ実現方式のレコードを含み、 前記付随機能要素評価部は、
前記システムの構成要素に対して設定され、前記セキュリティ実現方式の機能を保護するために設定された付随機能要素が他のセキュリティ実現方式によって実現されている場合は、前記実現方式記憶部を参照し、前記セキュリティ実現方式のレコードにリンクする当該他のセキュリティ実現方式のレコードが存在するか否かに基づいて、判定を行う、請求項１から５のいずれか１項に記載のセキュリティ機能設計支援装置。

【請求項8】

コンピュータによって、
システムの構成の情報と、
セキュリティ機能を実現するために、前記システムの構成要素に対して設定されたセキュリティ実現方式のデータと、
前記セキュリティ実現方式の機能を保護するために、前記システムの構成要素に対して設定された付随機能要素のデータと、
ある付随機能要素の設定の妥当性を判定するための条件と、を取得し
前記妥当性を判定するための条件に基づいて、前記システムの構成要素に対して設定された付随機能要素が妥当であるか否かを判定し、
前記判定の結果を出力する、セキュリティ機能設計支援方法。

【請求項9】

コンピュータを、
システムの構成の情報を記憶するシステム構成データ記憶部と、
セキュリティ機能を実現するために、前記システムの構成要素に対して設定されたセキュリティ実現方式のデータを記憶する実現方式記憶部と、
前記セキュリティ実現方式の機能を保護するために、前記システムの構成要素に対して設定された付随機能要素のデータを記憶する付随機能要素記憶部と、
ある付随機能要素の設定の妥当性を判定するための条件を記憶する付随機能要素定義記憶部と、
前記妥当性を判定するための条件に基づいて、前記システムの構成要素に対して設定された付随機能要素が妥当であるか否かを判定する付随機能要素評価部と、
前記付随機能要素評価部による判定の結果を出力する評価結果出力部と、
して機能させるプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、セキュリティ機能設計支援装置、セキュリティ機能設計支援方法、およびプログラムに関する。

【背景技術】

【0002】

コンピュータシステムのセキュリティ機能設計の要素には、あるセキュリティ機能（例えば主体認証）を実現するための具体的な方策（セキュリティ実現方式）と、そのセキュリティ実現方式を機能させる上で必要となる付随的な方策（付随機能要素）が含まれる。付随機能要素は、システム構成によって変化する。例えば、セキュリティ実現方式としてユーザＩＤとパスワードを用いた認証方式を採用する際、ユーザＩＤとパスワードが送受信される通信経路の暗号化が必要か否かは、システムがオンラインかオフラインかによって変化する。すなわち、この例では通信路の暗号化が付随機能要素となる。システムの設計者は、システム構成を考慮して付随機能要素を選択し、過不足が無いように設計する必要がある。そのためには、システム設計者は、システム全体の知識の他、セキュリティ全般の知識が必要となり、大変な労力が必要となる。また、付随機能要素の設計が不十分であると、それが原因でシステム全体のセキュリティ機能が有効に働かなくなり、結果としてセキュリティ事故が発生する要因となり得る。

【0003】

特許文献１に記載されたセキュリティ設計支援方法は、ユーザにＩＴ製品またはシステムのセキュリティ環境を定義させ、定義されたセキュリティ環境に基づいて、想定される脅威を抽出してユーザに提示し、さらに、ユーザによる脅威の選択結果に基づいて、対策候補を抽出してユーザに提示し、ユーザに対策を選択させる。

【先行技術文献】

【特許文献】

【0004】

【特許文献1】特開２００６−３５０７０８号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

しかし、特許文献１に記載の方法では、セキュリティ機能を実現するための対策の選択の支援は行えても、その対策を機能させるための付随機能要素の選択を支援することはできない。

【0006】

本発明は、システム構成によって異なる、セキュリティ実現方式に必要な付随機能要素の配置の妥当性を評価し、付随機能要素の設計を支援することである。

【0007】

本発明に係るセキュリティ機能設計支援装置は、システムの構成の情報を記憶するシステム構成データ記憶部と、セキュリティ機能を実現するために、前記システムの構成要素に対して設定されたセキュリティ実現方式のデータを記憶する実現方式記憶部と、前記セキュリティ実現方式の機能を保護するために、前記システムの構成要素に対して設定された付随機能要素のデータを記憶する付随機能要素記憶部と、ある付随機能要素の設定の妥当性を判定するための条件を記憶する付随機能要素定義記憶部と、前記妥当性を判定するための条件に基づいて、前記システムの構成要素に対して設定された付随機能要素が妥当であるか否かを判定する付随機能要素評価部と、前記付随機能要素評価部による判定の結果を出力する評価結果出力部と、を含む。

【発明の効果】

【0008】

本発明によれば、システム構成によって異なる、セキュリティ実現方式に必要な付随機能要素の配置の妥当性を評価し、付随機能要素の設計を支援することができる。

【図面の簡単な説明】

【0009】

【図1】本発明の実施の形態１による、セキュリティ機能設計支援装置の構成を示すブロック図。

【図2】本発明の実施の形態１による、システム構成データ記憶部に記憶されるデータの例を示す図。

【図3】本発明の実施の形態１による、実現方式記憶部に記憶されるデータの例を示す図。

【図4】本発明の実施の形態１による、付随機能要素記憶部に記憶されるデータの例を示す図。

【図5】本発明の実施の形態１による、付随機能要素定義記憶部に記憶されるデータの例を示す図。

【図6】本発明の実施の形態１による、セキュリティ機能設計支援装置の動作のフローチャート。

【図7】本発明の実施の形態１による、付随機能要素の評価の動作のフローチャート。

【図8】本発明の実施の形態２による、セキュリティ機能設計支援装置の構成を示すブロック図。

【図9】本発明の実施の形態２による、付随機能要素定義記憶部に記憶されるデータの例を示す図。

【図10】本発明の実施の形態２による、付随機能要素の評価の動作のフローチャート。

【図11】本発明の実施の形態３による、セキュリティ機能設計支援装置の構成を示すブロック図。

【図12】本発明の実施の形態４による、セキュリティ機能設計支援装置の構成を示すブロック図。

【図13】本発明の実施の形態４による、規定データ記憶部に記憶されるデータの例を示す図。

【図14】本発明の実施の形態４による、付随機能要素定義記憶部に記憶されるデータの例を示す図。

【発明を実施するための形態】

【0010】

実施の形態１．
（セキュリティ機能設計）
コンピュータシステムが提供する機能（提供機能）には、例えば、特定の利用者のみに情報を提供するものがある。しかし、悪意を持った第三者（攻撃者）は、この提供機能に対して不正な操作などを行う（攻撃）ことによって、本来手に入れることのできない情報を入手することがある。

【0011】

そのため、攻撃者から提供機能を守るためには、提供機能を守る機能（セキュリティ機能）が必要である。システム設計時には、そのセキュリティ機能をどこにどのように配置するかを設計すること（セキュリティ機能設計）が必要である。

【0012】

セキュリティ機能設計においては、まず守るべき情報資産を決める。例えば、特定のユーザに提供する情報が情報資産として挙げられる。
次に、この情報資産を守るために必要なセキュリティ機能を検討する必要がある。例えば、特定のユーザを認証できるようにすること（主体認証）が挙げられる。

【0013】

次に、このセキュリティ機能を実現するために必要なソフトウェアなどの方式（セキュリティ実現方式）を選定する。例えば、ユーザを識別するための識別符号であるＩＤと、ユーザしか知りえないパスワードを用いた認証方式（ＩＤ／ＰＷ認証）を選定することができる。

【0014】

次に、このセキュリティ実現方式そのものが攻撃者によって攻撃を受ける可能性があるため、セキュリティ実現方式を保護するための機能（付随機能要素）も必要となる。例えば、上述のＩＤ／ＰＷ認証では、通信経路上をＩＤとＰＷが行き来するため、付随機能として通信路の暗号化が必要である。ただし、付随機能はシステム構成によっては必須ではない。例えば、通信機能を一切持たないコンピュータシステムでは、通信路の暗号化機能は不要となる。このように、セキュリティ機能設計においては、システム構成によって変化する付随機能要素を過不足なく適切に設定する必要がある。

【0015】

（セキュリティ機能設計支援装置の構成）
以下、本発明の実施の形態１によるセキュリティ機能設計支援装置の構成について説明する。
図１は、本発明の実施の形態１によるセキュリティ機能設計支援装置１００の構成を示すブロック図である。図に示すように、セキュリティ機能設計支援装置１００は、付随機能要素評価部２０１、評価結果出力部２０２、システム構成データ記憶部３０１、実現方式記憶部３０２、付随機能要素記憶部３０３、付随機能要素定義記憶部３０４を備えている。

【0016】

セキュリティ機能設計支援装置１００は、ＣＰＵ、ＲＯＭやＲＡＭ等のメモリ、各種の情報を格納する外部記憶装置、入力インタフェース、出力インタフェース、通信インタフェース及びこれらを結ぶバスを備える専用又は汎用のコンピュータを適用することができる。なお、セキュリティ機能設計支援装置１００は、単一のコンピュータにより構成されるものであっても、通信回線を介して互いに接続された複数のコンピュータにより構成されるものであってもよい。

【0017】

付随機能要素評価部２０１、評価結果出力部２０２は、ＣＰＵがＲＯＭ等に格納された所定のプログラムを実行することにより実現される機能のモジュールに相当する。システム構成データ記憶部３０１、実現方式記憶部３０２、付随機能要素記憶部３０３、付随機能要素定義記憶部３０４は外部記憶装置により実装される。外部記憶装置は、セキュリティ機能設計支援装置１００とネットワーク等を介して接続されていてもよい。

【0018】

システム構成データ記憶部３０１は、システムの構成の情報を記憶する。図２は、システム構成データ記憶部３０１に記憶されるシステム構成データの例を示す図である。図２に示すように、システム構成データは、構成要素名４０１と接続先４０２をデータ項目として含んでいる。構成要素名４０１は、セキュリティ機能設計の対象となるシステムを構成する構成要素の名称である。接続先４０２は、それぞれの構成要素と通信回線を介して接続された構成要素を表している。

【0019】

図２の例におけるシステムは、３つの構成要素（クライアント、ＷＷＷ／ＡＰサーバ、ＤＢサーバ）によって構成され、クライアントとＷＷＷ／ＡＰサーバ、ＷＷＷ／ＡＰサーバとＤＢサーバにそれぞれ無方向の接続関係がある。このシステムのシステム構成データは、図２に示すように、構成要素名４０１として（クライアント、ＷＷＷ／ＡＰサーバ、ＤＢサーバ）が設けられ、それぞれの構成要素の接続先４０２が記録される。この例では、クライアントとＤＢサーバはＷＷＷ／ＡＰサーバを介して接続されていることが分かる。

【0020】

実現方式記憶部３０２は、システムの構成要素に対して設定したセキュリティ機能を実現するためのセキュリティ実現方式のデータを記憶する。図３は、実現方式記憶部３０２に記憶されるデータの例を示す図である。図３に示すように、実現方式記憶部３０２は、構成要素名４１１、採用した実現方式名４１２、実現方式が取り扱う保護資産４２０、実現方式が取り扱う保護資産の送信元４１３、実現方式が取り扱う保護資産の受信先４１４を含むテーブル４１５を含んでいる。

【0021】

テーブル４１５は階層構造を持つことができる。例えば、あるセキュリティ実現方式を保護するための付随機能要素が、他のセキュリティ実現方式によって実現されている場合は、テーブル４１５のレコード４１８を親としてテーブル４１６を作成し、その親のレコード４１８からテーブル４１６を辿れるようにリンク構造４１７を設ける。

【0022】

図３の例では、ＷＷＷ／ＡＰサーバにおいて、ＩＤ／ＰＷ認証というセキュリティ実現方式を採用している。さらに、ＩＤ／ＰＷ認証で取り扱う保護資産はＩＤ／ＰＷであり、保護資産の送信元はクライアントであり、保護資産の受信先はＷＷＷ／ＡＰサーバである（テーブル４１５）。また、ＩＤ／ＰＷ認証の付随機能要素を実現するセキュリティ実現方式がＳＳＬであり、ＳＳＬが取り扱う保護資産の送信元がクライアントで、その保護資産の受信先がＷＷＷ／ＡＰサーバである（テーブル４１６）。また、親レコード４１８からテーブル４１６が辿れるようにリンク構造４１７が設定されている。

【0023】

付随機能要素記憶部３０３は、システムの構成要素に対して設定され、セキュリティ実現方式の機能を保護するために設定された付随機能要素のデータを記憶する。図４は、付随機能要素記憶部３０３に記憶されるデータの例を示す図である。図４に示すように、付随機能要素記憶部３０３は、構成要素名４２１、構成要素に対して配置されたセキュリティ機能の実現方式名４２２、付随機能要素名４２３、その付随機能要素を実現するためのセキュリティ機能の実現方式（副実現方式）４２４を含むテーブル４２５を含んでいる。

【0024】

テーブル４２５は階層構造を持つことができる。例えば、一つの付随機能要素が他のセキュリティ実現方式によって実現されている場合は、テーブル４２５の該当するレコード４２９を親としてテーブル４２６を作成し、親レコード４２９から子テーブル４２６が辿れるようにリンク構造４２７を設定する。

【0025】

図４の例では、ＷＷＷ／ＡＰサーバに対し、セキュリティ実現方式としてＩＤ／ＰＷ認証が採用されている。ＩＤ／ＰＷ認証に対し、付随機能要素である「機能主体」および「通信路暗号化」が配置されている（テーブル４２５）。また、通信路暗号化は、他のセキュリティ実現方式「ＳＳＬ」によって実現されるため、副実現方式４２４としてＳＳＬが登録されている。さらに、レコード４２９を親として、子テーブル４２６にリンク構造４２７が設定されている。テーブル４２６には、セキュリティ実現方式「ＳＳＬ」の付随機能要素に関する情報が格納されている。

【0026】

付随機能要素定義記憶部３０４は、あるセキュリティ実現方式の機能を保護するための付随機能要素の情報を記憶する。図５は、付随機能要素定義記憶部３０４に記憶されるデータの例を示す図である。図５に示すように、付随機能要素定義記憶部３０４は、セキュリティ実現方式名４３１、セキュリティ実現方式を保護するための付随機能要素名４３２、その付随機能要素が取り扱う保護資産名（取扱い資産）４３３、付随機能要素の合否を判定するための判定ルール４３４、付随機能要素を実現するための他のセキュリティ実現方式があるか否かを示す情報（副実現方式）４３５を含むテーブル４３６を含んでいる。判定ルール４３４には、副テーブル４３９がリンクしている。副テーブル４３９は、判定ルールインデックス４３７、合格条件４３８を含んでおり、判定ルール４３４から副テーブル４３９が辿れるようにリンク構造４４０が設定されている。

【0027】

図５の例では、例えばＩＤ／ＰＷ認証の場合、機能主体と通信路暗号化の２つが付随機能として定義されている。機能主体のレコード４４２を見ると、取扱い資産４３３は機能主体である。これは、セキュリティ実現方式であるＩＤ／ＰＷ認証の機能そのものを意味している。なお、取扱い資産４３３が「指定」の場合は、実現方式記憶部３０２で指定されている保護資産が充てられる。また、判定ルールについては、例えば「１」とされている場合には、リンク構造４４０を辿り、副テーブル４３９の中の判定ルールインデックス４３７が「１」を含むレコードを参照する。図５の例では、「システム構成上に配置されて、システム構成に矛盾が無い」が判定ルールとなる。副実現方式４３５については、「ある」の場合は付随機能が他の実現方式によって実現されることを示し、「ない」の場合は他の実現方式によって実現されるものではないことを示す。

【0028】

（セキュリティ機能設計支援装置の動作）
次に、本発明の実施の形態１によるセキュリティ機能設計支援装置の動作について説明する。

【0029】

ここで、システム構成データ記憶部３０１、実現方式記憶部３０２、および付随機能要素記憶部３０３には、事前にシステム設計者によって入力されたシステム構成データ、システムの構成要素に対して設定されたセキュリティ実現方式のデータ、システムの構成要素に対して設定された付随機能要素のデータがそれぞれ記憶されている。また、付随機能要素定義記憶部３０４には、各種のセキュリティ規定に基づいて定められた付随機能要素の定義情報が記憶されている。なお、本実施形態では、図２〜５に示すデータがそれぞれの記憶部に記憶されている場合を例として説明する。

【0030】

図６は、実施の形態１によるセキュリティ機能設計支援装置１００の動作のフローチャートである。
まず、付随機能要素評価部２０１は、実現方式記憶部３０２より、未検証の実現方式を１つ取得する（ステップＳ１００１）。具体的には、図３に示すテーブル４１５から、未検証のレコード４１８（以下、構成要素に対して採用した実現方式レコードと記す。）を選択する。

【0031】

次に、付随機能要素評価部２０１は、付随機能要素定義記憶部３０４から、ステップＳ１００１で選択した実現方式の付随機能要素の定義レコードを取得する（ステップＳ１００２）。例えば、ステップＳ１００１で取得したレコードの採用した実現方式名４１２が「ＩＤ／ＰＷ認証」だった場合には、図５に示すテーブル４３６から、実現方式名４３１が「ＩＤ／ＰＷ認証」であるレコード群４４１（以下、付随機能要素定義レコード群と記す。）を取得する。

【0032】

次に、付随機能要素評価部２０１は、付随機能要素記憶部３０３のテーブル４２５から、ステップＳ１００１で取得したレコードの採用した実現方式名４１２と実現方式名４２２の内容が同一のレコード群（以下、配置された付随機能要素レコード群と記す。）を取得する（ステップＳ１００３）。具体的には、ステップＳ１００１で取得したレコードの採用した実現方式名４１２が「ＩＤ／ＰＷ認証」だった場合には、図４に示すレコード群４３０が取得される。

【0033】

次に、ステップＳ１００２とステップＳ１００３で取得したデータを基に、付随機能要素評価部２０１は付随機能要素の評価を行う（ステップＳ１００４）。

【0034】

図７は、付随機能要素の評価の動作のフローチャートである。
まず、付随機能要素評価部２０１は、図６のステップＳ１００２で取得した付随機能要素定義レコード群の中から、レコード（以下、評価対象付随機能要素レコードと記す。）を１つ取得する（ステップＳ１１０１）。

【0035】

次に、ステップＳ１００３で取得した配置された付随機能要素レコード群の中に、実現方式名４２２と付随機能要素名４２３が、ステップＳ１１０１で取得した評価対象付随機能要素レコードの実現方式名４３１および付随機能要素名４３２と一致するレコード（以下、配置済み付随機能要素レコードと記す。）が存在するか否かを判定する（ステップ１１０２）。配置済み付随機能要素レコードが存在する場合はステップＳ１１０３に移行し、存在しない場合はステップＳ１１０８に移行する。

【0036】

図４、５を用いて具体的に説明する。ステップＳ１１０１において、評価対象付随機能要素レコード４４２が選択される。レコード４４２の実現方式名４３１は「ＩＤ／ＰＷ認証」であり、付随機能要素名４３２は「機能主体」である。これと同じ内容の実現方式名４２２と付随機能要素名４２３を持つレコードを、ステップＳ１００３で取得した配置された付随機能要素レコード群の中から取得する。図４の例ではレコード４２８が該当する。したがって、レコード４２８が配置済み付随機能要素レコードとなる。

【0037】

ステップＳ１１０３では、ステップＳ１１０１で取得した評価対象付随機能要素レコードの判定ルール４３４に基づいてリンク構造４４０を辿り、テーブル４３９から合格条件が記述された１つ以上のレコード（以下、判定ルールレコード群と記す。）を取得する。

【0038】

図５を用いて具体的に説明する。ステップＳ１１０１で取得されたレコード４４２の判定ルール４３４は「１」である。評価結果出力部２０２は、リンク構造４４０を辿って、テーブル４３９の中から判定ルールインデックス４３７が判定ルール４３４とおなじ内容のレコード４４５を取得する。付随機能要素評価部２０１は、レコード４４５の合格条件４３８の内容「システム構成上に配置されて、システム構成に矛盾が無い」を判定ルールとして取得する。

【0039】

次に、付随機能要素評価部２０１は、ステップＳ１１０３で取得した判定ルールに基づいて、付随機能要素の合否判定を行う。判定ルールが複数ある場合は、全ての判定ルールについて評価を行う（ステップＳ１１０４）。

【0040】

付随機能要素の合否判定について、図４、５を用いて具体的に説明する。ステップＳ１１０１では評価対象付随機能要素レコード４４２が取得され、ステップＳ１１０２では配置済み付随機能要素レコード４２８が取得される。また、ステップＳ１１０３では判定ルールレコード群としてレコード４４５が取得される。この結果、判定ルールは１つのみで、「システム構成上に配置されて、システム構成に矛盾が無い」である。

【0041】

「システム構成上に配置されて、システム構成に矛盾が無い」とは、配置済み付随機能要素レコードが存在し、ステップＳ１００１で取得したレコードの構成要素名４１１が、システム構成データ記憶部３０１の構成要素名４０１に存在し、且つ、保護資産の送信元４１３と保護資産の受信先４１４が通信可能であれば合格という意味である。

【0042】

ここで、配置済み付随機能要素レコード４２８の構成要素名４２１は「ＷＷＷ／ＡＰサーバ」である。図２のシステム構成データ記憶部３０１を参照すると、構成要素名４０１が「ＷＷＷ／ＡＰサーバ」のレコードが存在する。また、図２より「クライアント」と「ＷＷＷ／ＡＰサーバ」は接続されているため通信可能である。

【0043】

また、ステップＳ１１０１で評価対象付随機能要素レコード４４３が取得された場合には、ステップＳ１１０２では配置済み付随機能要素レコード４２９が取得される。そして、レコード４４３の判定ルール４３４は「２，３，４，５」であるため、ステップＳ１１０３では判定ルールとして「副実現方式が選択されている」、「実現方式と同じ構成要素に配置されている」、「副実現方式の取り扱い保護資産、送信元、受信先が同じである」、「副実現方式が合格している」が取得される。

【0044】

付随機能要素評価部２０１は、それぞれの判定ルールに基づいて評価を行う。まず、「副実現方式が選択されている」の評価について説明する。レコード４２９の副実現方式４２４にはＳＳＬが設定されている。この場合、構成要素に対して採用した実現方式レコード４１８から子テーブル４１６へのリンク構造４１７を辿る。子テーブル４１６に、採用した実現方式名４１２が「ＳＳＬ」のレコード（以下、副実現方式レコードと記す。）が存在している場合は合格とする。

【0045】

次に、「実現方式と同じ構成要素に配置されている」の評価について説明する。ステップ１００１で取得した「構成要素が採用した実現方式レコード（４１８）」からから子テーブル４１６へのリンク構造４１７を辿る。「配置済み付随機能要素レコード（４２９）」の副実現方式４２４と同一の実現方式名４２２を持つレコードが、子テーブル４１６に存在する場合は合格と判断する。

【0046】

次に、「副実現方式の取り扱い保護資産、送信元、受信先が同じである」の評価について説明する。まず、「評価対象付随機能要素レコード（４４３）」の取扱い資産４３３が「指定」となっている場合、「構成要素が採用した実現方式レコード（４１８）」の取扱い保護資産４２０に記述された保護資産と同値とする。例えば、この値が「ＩＤ／ＰＷ」の場合は、「副実現方式レコード（４１９）」の実現方式名４１２が「ＩＤ／ＰＷ」であり、「副実現方式レコード（４１９）」の保護資産の送信元４１３と保護資産の受信先４１４が、「構成要素が採用した実現方式レコード（４１８）」の保護資産の送信元４１３と保護資産の受信先４１４と同じであれば合格と判断する。

【0047】

次に、「副実現方式が合格している」の評価について説明する。検証する実現方式をＳＳＬとしてステップＳ１００１から動作を実行し、その結果が合格と判定されれば合格となる。
なお、判定ルールは図５に記載されているものに限られない。

【0048】

ステップＳ１１０５では、ステップＳ１００２で取得した「付随機能要素定義レコード群」の中に未評価の付随機能要素がある場合は、ステップＳ１１０１へ移行する。未評価の付随機能要素がない場合は、ステップＳ１１０６へ移行する。

【0049】

ステップＳ１１０６では、全ての付随機能要素についての評価が合格だった場合はステップＳ１１０７へ移行し、不合格の付随機能要素がある場合はステップＳ１１０８へ移行する。

【0050】

ステップＳ１１０７では、本実現方式についての付随機能要素の設計が妥当であると判断して処理を終了する（ステップＳ１１０７）。
ステップＳ１１０８では、本実現方式についての付随機能要素の設計が妥当でないと判断して処理を終了する（ステップＳ１１０８）。

【0051】

図６のステップＳ１００５に戻り、未検証の実現方式がある場合は再びステップＳ１００１に戻る。全ての実現方式の検証が終わった場合はステップＳ１００６に移行する。

【0052】

ステップＳ１００６では、評価結果出力部２０２が、実現方式記憶部３０２に記述されている実現方式毎に評価結果を出力する。
以上で、本発明の実施の形態１によるセキュリティ機能設計支援装置の動作が終了する。

【0053】

以上のように、本発明の実施の形態１によれば、付随機能要素評価部２０１が、設計者が予め設定した付随機能要素の情報を実現方式記憶部３０２から取得し、付随機能要素定義記憶部３０４から取得した合格条件に基づいて、システム構成データ記憶部３０１および実現方式記憶部３０２の情報を参照しながら付随機能要素の妥当性を判定するようにした。
これにより、コンピュータシステムのセキュリティ機能設計時に、システム構成によって要否の異なる付随機能要素の妥当性の検証を支援することができる。

【0054】

実施の形態２．
図８は、本発明の実施の形態２によるセキュリティ機能設計支援装置１１０の構成を示すブロック図である。図１と同一の符合は同じ構成要素を表している。図に示すように、セキュリティ機能設計支援装置１１０は、さらに付随機能要素フィルタリング部２０３を備えている。また、付随機能要素定義記憶部５０４に記憶されている情報が実施の形態１の付随機能要素定義記憶部３０４と異なっている。

【0055】

図９は、付随機能要素定義記憶部５０４に記憶されるデータの例を示す図である。図５と同一の符号は同じ項目を表している。図９に示すように、テーブル５３７には、実施の形態１のテーブル４３６のデータ項目に加えて評価条件５３４が含まれている。評価条件５３４には、副テーブル５４２がリンクしている。副テーブル５４２は、評価条件５４０、判定条件５４１を含んでおり、評価条件５３４から副テーブル５４２が辿れるようにリンク構造５４４が設定されている。判定条件５４１は、その付随機能要素の評価を実施すべきか否かの判定条件である。

【0056】

図１０は、実施の形態２によるセキュリティ機能設計支援装置１１０の付随機能要素の評価の動作のフローチャートである。図７と同一の符号は、同様の処理を行うステップを示している。なお、その他の動作については図６に示す実施の形態１の動作と同様である。

【0057】

ステップＳ２１０１において、付随機能要素フィルタリング部２０３は、ステップＳ１１０１で取得した「評価対象付随機能要素レコード」の評価条件５３４を参照し、リンク構造５４４を辿ってテーブル５４２を参照する。たとえば、評価条件５３４が「２」の場合、副テーブル５４２の評価条件５４０を参照すると判定条件５４１は「実現方式の取り扱う保護資産が送信元≠受信先の時」である。この場合、図６のステップＳ１００１で取得した「構成要素に対して採用した実現方式レコード」の保護資産の送信元４１３と保護資産の受信先４１４が異なる場合は、その付随機能要素を評価対象とし、ステップＳ１１０２へ移行する。一方、保護資産の送信元４１３と保護資産の受信先４１４が同一の場合は、その付随機能要素を評価対象とはせず、ステップＳ２１０２へ移行する。

【0058】

以上のように、本実施形態によれば、予め定めた判定条件に基づいて、評価するべき付随機能要素を事前にふるい分けるようにしたので、評価時間を短縮し、システムエンジニアの作業量を低減することができる。

【0059】

実施の形態３．
図１１は、本発明の実施の形態３によるセキュリティ機能設計支援装置１２０の構成を示すブロック図である。図１または８と同一の符合は同じ構成要素を表している。図に示すように、セキュリティ機能設計支援装置１２０は、さらに配置済み付随機能要素分類部２０４を備えている。

【0060】

配置済み付随機能要素分類部２０４は、付随機能要素記憶部３０３に記憶されたレコードの中から、構成要素が採用した実現方式をまとめたデータ３０２と、構成要素に配置された付随機能要素データ３０３に分類する手段である。

【0061】

分類方法は、付随機能要素記憶部３０３のレコード中に、付随機能要素名４２３が「機能主体」のレコード（以下、機能主体レコードと記す。）が存在した場合、そのレコードの構成要素名４２１と実現方式名４２２をキーとして、実現方式記憶部３０２を検索する。実現方式記憶部３０２に検索キーと一致する構成要素名４１１および採用した実現方式名４１２を有するレコードが存在しない場合は、機能主体レコードの構成要素名４２１が、実現方式名４２２を採用しているとみなし、このレコードを実現方式記憶部３０２に追加する。

【0062】

ただし、このままでは子の実現方式（あるセキュリティ実現方式の付随機能要素を実現するための実現方式）を識別できなくなる。そこで、上記の操作をした後、付随機能要素記憶部３０３を、実現方式名をキーとして検索し、抽出されたレコードの副実現方式４２４にデータが記録されていた場合は、その副実現方式を子の実現方式とする。

【0063】

以上のように、本実施形態によれば、付随機能要素が構成要素に直接配置されても、配置済み付随機能要素分類部２０４によって、実現方式と付随機能要素を分類しデータを再構築できるようにした。このため、システムエンジニアは、セキュリティ実現方式と付随機能要素の区別を意識せずに、セキュリティ機能設計を行うことができる。

【0064】

実施の形態４．
図１２は、本発明の実施の形態４によるセキュリティ機能設計支援装置１３０の構成を示すブロック図である。図１と同一の符合は同じ構成要素を表している。図に示すように、セキュリティ機能設計支援装置１２０は、さらに規定データ記憶部３０５を備えている。また、付随機能要素定義記憶部６０４に記憶されている情報が実施の形態１の付随機能要素定義記憶部３０４と異なっている。

【0065】

図１３は、規定データ記憶部３０５に記憶されるデータの例を示す図である。図１３に示すように、規定データは、項番６０１と説明６０２をデータ項目として含んでいる。項番６０１は、セキュリティ規定の項番である。説明６０２は、それぞれのセキュリティ規定の説明である。

【0066】

図１４は、付随機能要素定義記憶部６０４に記憶されるデータの例を示す図である。図５と同一の符号は同じ項目を表している。図１４に示すように、テーブル６３７には、実施の形態１のテーブル４３６のデータ項目に加えて対応規定項番６３６が含まれている。対応規定項番６３６は、各レコードが対応するセキュリティ規定の項番である。なお、対応規定項番６３６に「＊」が入力されている場合は、対応している項番は無いと判断する。

【0067】

評価結果出力部２０２は、評価の結果合格した付随機能要素のレコードの対応規定項番６３６をキーとして規定データ記憶部３０５を参照し、合格したセキュリティ規定を出力する。

【0068】

以上のように、本実施形態によれば、検証結果を出力する際に、その検証結果はセキュリティ規定のどの部分に対応しているものかを提示することができる。

【0069】

この出願は、２０１２年１０月１５日に出願された日本出願特願２０１２−２２８０７２を基礎とする優先権を主張し、その開示の全てをここに取り込む。

【0070】

以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

【産業上の利用可能性】

【0071】

本発明は、例えばシステム開発の設計時におけるセキュリティ機能設計に適用できる。

【0072】

上記の実施の形態の一部または全部は、以下の付記のようにも記載されうるが、以下には限られない。
（付記１）システムの構成の情報を記憶するシステム構成データ記憶部と、
セキュリティ機能を実現するために、前記システムの構成要素に対して設定されたセキュリティ実現方式のデータを記憶する実現方式記憶部と、
前記セキュリティ実現方式の機能を保護するために、前記システムの構成要素に対して設定された付随機能要素のデータを記憶する付随機能要素記憶部と、
ある付随機能要素の設定の妥当性を判定するための条件を記憶する付随機能要素定義記憶部と、
前記妥当性を判定するための条件に基づいて、前記システムの構成要素に対して設定された付随機能要素が妥当であるか否かを判定する付随機能要素評価部と、
前記付随機能要素評価部による判定の結果を出力する評価結果出力部と、を含むセキュリティ機能設計支援装置。

【0073】

（付記２）前記付随機能要素評価部は、
ユーザによって予め登録された前記付随機能要素のデータを前記実現方式記憶部から取得し、
前記付随機能要素定義記憶部から取得した前記妥当性を判定するための条件に基づいて、前記システム構成データ記憶部および前記実現方式記憶部の情報を参照しながら付随機能要素の妥当性を判定する、付記１に記載のセキュリティ機能設計支援装置。

【0074】

（付記３）各々の付随機能要素に対して予め設定された判定条件に基づいて、前記システムの構成要素に対して設定された前記付随機能要素が妥当であるか否かの評価を実施すべきか否かを判定する、付随機能要素フィルタリング部を備える、付記１または２に記載のセキュリティ機能設計支援装置。

【0075】

（付記４）前記付随機能要素記憶部に記憶された付随機能要素のデータを、前記システムの構成要素に対して設定されたセキュリティ実現方式のデータと、前記システムの構成要素に対して設定された付随機能要素のデータに分類する、配置済み付随機能要素分類部を備える、付記１から３のいずれか１項に記載のセキュリティ機能設計支援装置。

【0076】

（付記５）各々の付随機能要素に対して予め登録されたセキュリティ規定情報を記憶する規定データ記憶部を備え、
前記評価結果出力部は、
前記付随機能要素評価部による判定の結果、合格した付随機能要素に対応する前記セキュリティ規定情報を出力する、付記１から４のいずれか１項に記載のセキュリティ機能設計支援装置。

【0077】

（付記６）前記システム構成データ記憶部は、システムの構成要素と、各々の構成要素が通信経路を介して接続されている他の構成要素の情報を含み、
前記実現方式記憶部は、各々のセキュリティ実現方式が保護する情報資産と、その情報資産の送信元および受信先の情報を含み、
前記付随機能要素評価部は、
前記システムの構成要素に対して設定され、前記セキュリティ実現方式の機能を保護するために設定された付随機能要素が通信経路のセキュリティ維持に関するものである場合には、前記システム構成データ記憶部を参照し、前記送信元と前記受信先が通信経路を介して接続されているか否かに基づいて、判定を行う、付記１から５のいずれか１項に記載のセキュリティ機能設計支援装置。

【0078】

（付記７）前記実現方式記憶部は、セキュリティ実現方式の機能を保護するために設定された付随機能要素が他のセキュリティ実現方式によって実現されている場合は、前記セキュリティ実現方式のレコードにリンクする当該他のセキュリティ実現方式のレコードを含み、
前記付随機能要素評価部は、
前記システムの構成要素に対して設定され、前記セキュリティ実現方式の機能を保護するために設定された付随機能要素が他のセキュリティ実現方式によって実現されている場合は、前記実現方式記憶部を参照し、前記セキュリティ実現方式のレコードにリンクする当該他のセキュリティ実現方式のレコードが存在するか否かに基づいて、判定を行う、付記１から５のいずれか１項に記載のセキュリティ機能設計支援装置。

【0079】

（付記８）システムの構成の情報と、
セキュリティ機能を実現するために、前記システムの構成要素に対して設定されたセキュリティ実現方式のデータと、
前記セキュリティ実現方式の機能を保護するために、前記システムの構成要素に対して設定された付随機能要素のデータと、
ある付随機能要素の設定の妥当性を判定するための条件と、を取得し
前記妥当性を判定するための条件に基づいて、前記システムの構成要素に対して設定された付随機能要素が妥当であるか否かを判定し、
前記付随機能要素評価部による判定の結果を出力する、セキュリティ機能設計支援方法。

【0080】

（付記９）コンピュータを、
システムの構成の情報を記憶するシステム構成データ記憶部と、
セキュリティ機能を実現するために、前記システムの構成要素に対して設定されたセキュリティ実現方式のデータを記憶する実現方式記憶部と、
前記セキュリティ実現方式の機能を保護するために、前記システムの構成要素に対して設定された付随機能要素のデータを記憶する付随機能要素記憶部と、
ある付随機能要素の設定の妥当性を判定するための条件を記憶する付随機能要素定義記憶部と、
前記妥当性を判定するための条件に基づいて、前記システムの構成要素に対して設定された付随機能要素が妥当であるか否かを判定する付随機能要素評価部と、
前記付随機能要素評価部による判定の結果を出力する評価結果出力部と、
して機能させるプログラム。

【符号の説明】

【0081】

１００，１１０，１２０，１３０ セキュリティ機能設計支援装置
２０１ 付随機能要素評価部
２０２ 評価結果出力部
２０３ 付随機能要素フィルタリング部
２０４ 配置済み付随機能要素分類部
３０１ システム構成データ記憶部
３０２ 実現方式記憶部
３０３ 付随機能要素記憶部
３０４，５０４，６０４ 付随機能要素定義記憶部
３０５ 規定データ記憶部
４０１，４１１，４２１ 構成要素名
４０２ 接続先
４１２ 採用した実現方式名
４２０ 取扱い保護資産
４１３ 保護資産の送信元
４１４ 保護資産の受信先
４１５，５１６，４２５，４２６，４３６，５３７，６３７ テーブル
４１７，４２７，４４０，５４４ リンク構造
４１８，４１９，４２８，４２９，４４２，４４３，４４４，４４５ レコード
４２２，４３１ 実現方式名
４２３，４３２ 付随機能要素名
４２４，４３５ 副実現方式
４３０，４４１ レコード群
４３３ 取扱い資産
４３４ 判定ルール
４３７ 判定ルールインデックス
４３８ 合格条件
４３９，５４２ 副テーブル
５３４，５４０ 評価条件
５４１ 判定条件
６０１ 項番
６０２ 説明
６３６ 対応規定項番

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】