特許 6965987 セキュリティ評価システム、セキュリティ評価方法及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6965987

(24)【登録日】2021年10月25日

(45)【発行日】2021年11月10日

(54)【発明の名称】セキュリティ評価システム、セキュリティ評価方法及びプログラム

(51)【国際特許分類】

   G06F 21/57 20130101AFI20211028BHJP

【ＦＩ】

   G06F21/57 370

【請求項の数】10

【全頁数】23

(21)【出願番号】特願2020-510256(P2020-510256)

(86)(22)【出願日】2018年3月27日

(86)【国際出願番号】JP2018012558

(87)【国際公開番号】WO2019186719

(87)【国際公開日】20191003

【審査請求日】2020年9月18日

(73)【特許権者】

【識別番号】000004237

【氏名又は名称】日本電気株式会社

(74)【代理人】

【識別番号】100080816

【弁理士】

【氏名又は名称】加藤 朝道

(74)【代理人】

【識別番号】100098648

【弁理士】

【氏名又は名称】内田 潔人

(72)【発明者】

【氏名】山田 祥之

(72)【発明者】

【氏名】太田 和伸

(72)【発明者】

【氏名】井ノ口 真樹

【審査官】 宮司 卓佳

(56)【参考文献】

【文献】 米国特許第０９１００４３０（ＵＳ，Ｂ１）

【文献】 米国特許第０８８８１２８８（ＵＳ，Ｂ１）

【文献】 特許第６０１６９８２（ＪＰ，Ｂ１）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｇ０６Ｆ ２１／５７

(57)【特許請求の範囲】

【請求項1】

セキュリティ評価の対象となるリソース同士の接続関係を示す第１の評価グラフを生成する第１グラフ生成部と、
前記リソースに対してアクセス可能なユーザ同士の人的関係を示す第２の評価グラフを生成する第２グラフ生成部と、
前記第１の評価グラフと、前記第２の評価グラフとを対応付けて表示する表示部と、
を備えたセキュリティ評価システム。

【請求項2】

前記第２グラフ生成部は、
前記リソースに対してアクセス権限を持つユーザをノードとして表し、
媒体の授受が行われうる前記ユーザ間の関係をリンクとして表した第２の評価グラフを生成する請求項１のセキュリティ評価システム。

【請求項3】

さらに、
前記リソースに対し、使用権限を持つユーザの情報を記憶する使用権限記憶部を備え、
前記表示部は、
前記第１の評価グラフの付随情報として、前記リソースに対して使用権限を持つユーザの情報を表示する請求項１又は２のセキュリティ評価システム。

【請求項4】

さらに、
前記セキュリティ評価の対象となるリソースに対する攻撃グラフを生成する第３グラフ生成部を備え、
前記表示部は、さらに、前記第１の評価グラフと、前記攻撃グラフとを対応付けて表示する請求項１から３いずれか一のセキュリティ評価システム。

【請求項5】

前記第１グラフ生成部は、
前記リソース間における媒体を介したデータ交換経路を含むデータ交換経路を定義したリソース間の接続情報に基づいて、前記リソース間における媒体を介したデータ交換経路を表した第１の評価グラフを生成する請求項１から４いずれか一のセキュリティ評価システム。

【請求項6】

さらに、
前記リソースのＩＤ、前記リソースの種別の少なくとも一方の指定を含む表示条件を受け付ける条件受付部を備え、
前記表示部は、前記第１の評価グラフの前記表示条件に該当するリソースと、該リソースに対応する前記第２の評価グラフ又は前記リソースに関連する攻撃グラフを表示する請求項１から５いずれか一のセキュリティ評価システム。

【請求項7】

さらに、
前記ユーザの指定を含む表示条件を受け付ける条件受付部を備え、
前記表示部は、前記第２の評価グラフの前記表示条件に該当するユーザと、該ユーザと関連を持つ前記第１の評価グラフの部分グラフと、該部分グラフに関連する攻撃グラフを表示する請求項１から５いずれか一のセキュリティ評価システム。

【請求項8】

さらに、
前記データ交換経路のうち、前記リソース間における媒体を介したデータ交換経路の有無の指定を受け付ける条件受付部を備え、
前記表示部は、前記リソース間における媒体を介したデータ交換経路無しの指定を受けた場合、前記リソース間における媒体を介したデータ交換経路無しの第１の評価グラフと、前記第１の評価グラフに関連する攻撃グラフのうち、前記リソース間の媒体の移動によるデータ交換経路の存在を必要としない攻撃グラフを表示する請求項５のセキュリティ評価システム。

【請求項9】

プロセッサと記録装置とを備えるコンピュータが各ステップを実行するセキュリティ評価方法であって、
セキュリティ評価の対象となるリソース同士の接続関係を示す第１の評価グラフを生成するステップと、
前記リソースに対してアクセス可能なユーザ同士の人的関係を示す第２の評価グラフを生成するステップと、
前記第１の評価グラフと、前記第２の評価グラフとを対応付けて表示するステップと、
を備えたセキュリティ評価方法。

【請求項10】

プロセッサと記録装置とを備えるコンピュータに、
セキュリティ評価の対象となるリソース同士の接続関係を示す第１の評価グラフを生成する処理と、
前記リソースに対してアクセス可能なユーザ同士の人的関係を示す第２の評価グラフを生成する処理と、
前記第１の評価グラフと、前記第２の評価グラフとを対応付けて表示する処理と、
を実行させるプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、セキュリティ評価システム、セキュリティ評価方法及びプログラムに関する。

【背景技術】

【0002】

特許文献１に、対象システムにおいて効果的な業務保護が可能となるセキュリティ対策実施箇所を提案できるというセキュリティ対策支援装置が開示されている。同公報によると、このセキュリティ対策支援装置は、対象システムで各業務を構成する各サブシステムの属性情報を格納した外部記憶装置を備える。そして、このセキュリティ対策支援装置１０は、各業務の各サブシステムの属性情報を所定アルゴリズムに適用して、業務ごとの各サブシステムのリスクレベルを判定する処理を行う演算装置を含む。この演算装置は、前記判定したリスクレベルまたは属性情報を所定アルゴリズムに適用して該当業務の重要度を判定する処理と、属性情報に基づいて各サブシステムが関連する業務数を算定する処理と、を実行する。さらに、この演算装置は、各サブシステムに関する重要度および業務数の大きさに基づき各サブシステムに関するセキュリティ対策の実施優先度を算定し、当該実施優先度の情報を所定装置に出力する。

【0003】

特許文献２に、脆弱性個々の技術的な特性に加え、システム構成やトポロジに基づいて脆弱性リスクを評価し、現実のシステム状況に対応した有効性の高いリスク評価を行うリスク評価システムが開示されている。このリスク評価システムを成すリスク評価サーバは、リスク評価の対象システムを成す機器、ネットワーク、及び脆弱性の各情報を互いに関連付けて保持する記憶装置を備える。また、リスク評価サーバは、上述の各情報をグラフ理論に基づく所定アルゴリズムに適用し、ネットワーク上での各機器の配置に応じた脆弱性の影響関係について規定するリスク評価モデルを作成する演算装置を備える。さらに、このリスク評価サーバの演算装置は、前記リスク評価モデルを所定の推論アルゴリズムに適用して、対象システムにおける脆弱性がもたらすリスクを評価し、当該評価結果を所定装置に出力する。

【0004】

特許文献３に、分析対象のシステムの物理的な構成状態に依存して発生する脅威の流れも考慮してリスクを分析することができるという機密性分析支援システムが開示されている。機密性分析支援システムは、情報システムを構成する機器の物理的な接続状態を表す構造モデルと、前記機器の上で行われる処理フローを表す振る舞いモデルとに対して、前記機器が有する機能を示す情報を付与していく攻撃フローモデル生成手段を含む。そして、この攻撃フローモデル生成手段は、発生し得る攻撃の流れを表す攻撃フローモデルを情報システムにおける機密性を分析するためのモデルとして生成する。

【0005】

特許文献４に、所定のビジネスに関する情報処理を実行するシステムの脆弱性に関するリスクを評価することができるという脆弱性リスク評価システムが開示されている。この脆弱性リスク評価システムは、システム構成情報とセキュリティ情報に基づいて、機器の脆弱性を検出する脆弱性検出部を備える。また、脆弱性リスク評価システムは、脆弱性ノードと機器ノードを対応付けて配置することで、脆弱性が機器に生じさせうるリスクを評価する機器リスク評価モデルを生成する機器リスク評価モデル生成部を備える。さらに、脆弱性リスク評価システムは、ビジネス関連リスク評価モデル生成部を備える。このビジネス関連リスク評価モデル生成部は、ビジネス関連ノードを機器リスク評価モデルに追加配置し、ビジネス関連ノードと機器ノードとを対応付ける。さらに、ビジネス関連リスク評価モデル生成部は、検出された脆弱性が所定のビジネス処理に生じさせうるリスクを評価するためのビジネス関連リスク評価モデルを生成する。

【0006】

また、情報システムに対するさまざま攻撃手法の分析を行う方法として攻撃グラフを用いた手法が研究されている。例えば、特許文献５には、事前に準備した攻撃モデルを用いて、攻撃検出時に、前記攻撃モデルを参照して、セキュリティポリシーの実施、不実施を判定する方法が開示されている。

【先行技術文献】

【特許文献】

【0007】

【特許文献1】特開２０１６−１９２１７６号公報

【特許文献2】特開２０１６−０９１４０２号公報

【特許文献3】国際公開第２０１１／０９６１６２号

【特許文献4】特開２０１７−２２４０５３号公報

【特許文献5】特表２０１３−５２５９２７号公報

【発明の概要】

【発明が解決しようとする課題】

【0008】

以下の分析は、本発明によって与えられたものである。特許文献５の図３の攻撃グラフは、システムの状態遷移を引き起こす操作（攻撃行動）をノードとしてモデル化、攻撃行動の発生順をリンクで表現している。一方で、現実の情報システムにおいては、様々なセキュリティ対策に加えて、リソースやネットワークを物理的に離隔する措置等が採られているが、上記攻撃モデル単体では、上記離隔の効果を把握することや、その対策を採ることが難しいという問題点がある。

【0009】

典型的な例としては、Ｓｔｕｘｎｅｔと呼ばれるコンピュータワームの例が挙げられる。Ｓｔｕｘｎｅｔは、踏み台となるＰＣ（パーソナルコンピュータ）を介して、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）メモリ経由で、標的とするスタンドアロンコンピュータに感染する。このような感染を防ぐには、その感染経路を把握し、有効な対策を採る必要があるが、インシデントの発生前にそのリスク評価を行うことは難しい。

【0010】

本発明は、情報システムのセキュリティ評価手法の豊富化に貢献するセキュリティ評価システム、セキュリティ評価方法及びプログラムを提供することを目的とする。

【課題を解決するための手段】

【0011】

第１の視点によれば、セキュリティ評価の対象となるリソース同士の接続関係を示す第１の評価グラフを生成する第１グラフ生成部と、前記リソースに対してアクセス可能なユーザ同士の人的関係を示す第２の評価グラフを生成する第２グラフ生成部と、前記第１の評価グラフと、前記第２の評価グラフとを対応付けて表示する表示部と、を備えたセキュリティ評価システムが提供される。

【0012】

第２の視点によれば、セキュリティ評価の対象となるリソース同士の接続関係を示す第１の評価グラフを生成するステップと、前記リソースに対してアクセス可能なユーザ同士の人的関係を示す第２の評価グラフを生成するステップと、前記第１の評価グラフと、前記第２の評価グラフとを対応付けて表示するステップと、を備えたセキュリティ評価方法が提供される。本方法は、上記した第１、第２の評価グラフを生成し、表示する機能を備えたコンピュータという、特定の機械に結びつけられている。

【0013】

第３の視点によれば、プロセッサと記憶装置とを備えるコンピュータに、セキュリティ評価の対象となるリソース同士の接続関係を示す第１の評価グラフを生成する処理と、前記リソースに対してアクセス可能なユーザ同士の人的関係を示す第２の評価グラフを生成する処理と、前記第１の評価グラフと、前記第２の評価グラフとを対応付けて表示する処理と、を実行させるプログラムが提供される。なお、このプログラムは、コンピュータが読み取り可能な（非トランジトリーな）記憶媒体に記録することができる。即ち、本発明は、コンピュータプログラム製品として具現することも可能である。

【発明の効果】

【0014】

本発明によれば、情報システムのセキュリティ評価手法の豊富化に貢献することが可能となる。

【図面の簡単な説明】

【0015】

【図1】本発明の一実施形態の構成を示す図である。

【図2】本発明の一実施形態の動作を説明するための図である。

【図3】本発明の第１の実施形態のセキュリティ評価システムの構成を示す図である。

【図4】本発明の第１の実施形態のセキュリティ評価システムのアセスメントグラフ生成部の構成例を示す図である。

【図5】本発明の第１の実施形態のセキュリティ評価システムのアセットグラフ生成部の構成例を示す図である。

【図6】本発明の第１の実施形態のセキュリティ評価システムが保持するアセット情報の一例を示す図である。

【図7】本発明の第１の実施形態のセキュリティ評価システムが保持するアセット間接続情報の一例を示す図である。

【図8】本発明の第１の実施形態のセキュリティ評価システムのソーシャルグラフ生成部の構成例を示す図である。

【図9】本発明の第１の実施形態のセキュリティ評価システムが保持するユーザ情報の一例を示す図である。

【図10】本発明の第１の実施形態のセキュリティ評価システムが保持するユーザ間関係情報の一例を示す図である。

【図11】本発明の第１の実施形態のセキュリティ評価システムの攻撃グラフ生成部の構成例を示す図である。

【図12】本発明の第１の実施形態のセキュリティ評価システムが保持する攻撃行動情報の一例を示す図である。

【図13】本発明の第１の実施形態のセキュリティ評価システムが保持する攻撃手順情報の一例を示す図である。

【図14】本発明の第１の実施形態のセキュリティ評価システムの動作を表したフローチャートである。

【図15】本発明の第１の実施形態のセキュリティ評価システムのアセスメントグラフ生成処理の例を表したフローチャートである。

【図16】本発明の第１の実施形態のセキュリティ評価システムによって表示されるアセスメントグラフの例である。

【図17】本発明の第１の実施形態のセキュリティ評価システムによって表示されるアセスメントグラフの別の一例である。

【図18】本発明の第１の実施形態のセキュリティ評価システムによって表示されるアセスメントグラフの別の一例である。

【図19】本発明の第２の実施形態のセキュリティ評価システムの構成を示す図である。

【図20】本発明の第２の実施形態のセキュリティ評価システムのアセスメントグラフ生成部の構成例を示す図である。

【図21】本発明の第２の実施形態のセキュリティ評価システムのアセットグラフ生成部の構成例を示す図である。

【図22】本発明の第２の実施形態のセキュリティ評価システムが保持するアセット使用権限情報の一例を示す図である。

【図23】本発明の第２の実施形態のセキュリティ評価システムのアセスメントグラフ生成処理の例を表したフローチャートである。

【図24】本発明の第２の実施形態のセキュリティ評価システムによって表示されるアセスメントグラフの例である。

【図25】本発明の第２の実施形態におけるアセット使用権限情報の別の保持形態を説明するための図である。

【図26】本発明の第３の実施形態のセキュリティ評価システムの構成を示す図である。

【図27】本発明の第３の実施形態のセキュリティ評価システムが保持するアセット情報の一例を示す図である。

【図28】本発明の第３の実施形態のセキュリティ評価システムの動作を表したフローチャートである。

【図29】本発明の第３の実施形態のセキュリティ評価システムによって表示されるアセスメントグラフの例である。

【図30】本発明の第３の実施形態のセキュリティ評価システムによって表示されるアセスメントグラフの別の一例である。

【図31】本発明の第３の実施形態のセキュリティ評価システムによって表示されるアセスメントグラフの別の一例である。

【図32】本発明と連携可能なセキュリティの評価プラットフォームの一例を示す図である。

【図33】本発明のセキュリティ評価システムを構成するコンピュータの構成を示す図である。

【発明を実施するための形態】

【0016】

はじめに本発明の一実施形態の概要について図面を参照して説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、本発明を図示の態様に限定することを意図するものではない。また、以降の説明で参照する図面等のブロック間の接続線は、双方向及び単方向の双方を含む。一方向矢印については、主たる信号（データ）の流れを模式的に示すものであり、双方向性を排除するものではない。

【0017】

本発明は、その一実施形態において、図１に示すように、第１グラフ生成部１０と、第２グラフ生成部２０と、表示部３０と、を備えたセキュリティ評価システム１にて実現できる。

【0018】

より具体的には、第１グラフ生成部１０は、セキュリティ評価の対象となるリソース同士の接続関係を示す第１の評価グラフを生成する。第２グラフ生成部２０は、前記リソースに対してアクセス可能なユーザ同士の人的関係を示す第２の評価グラフを生成する。さらに、前記表示部３０は、前記第１の評価グラフと、前記第２の評価グラフとを対応付けて表示する。

【0019】

図２は、本発明の一実施形態の動作を説明するための図である。図２の上段右側に示すように、第１グラフ生成部１０は、セキュリティ評価の対象となるリソース同士の接続関係を示す第１の評価グラフを生成する。このような第１の評価グラフは、例えば、事前に準備されたネットワーク構成情報等を参照して作成することができる。

【0020】

一方、第２グラフ生成部２０は、図２の下段右側に示すように、リソースに対してアクセス可能なユーザ同士の人的関係を示す第２の評価グラフを生成する。このような第２の評価グラフは、例えば、事前に準備された人事情報や組織構成情報等を参照して作成することができる。図２の例では、拠点Ａのリーダーの下にスタッフＡとスタッフＢが配置され、拠点Ｂのリーダーの下にスタッフＣが配置され、そして、それぞれのリーダーはマネージャーの下に配置されていることが分かる。

【0021】

そして、表示部３０は、図２の破線で示すように、前記第１の評価グラフと、前記第２の評価グラフとを対応付けて表示する。このようなグラフにより、第１の評価グラフ上では、左側の４つのリソースと右側の２つのリソースは離隔しているもの、それを操作する人的な観点では、繋がっていることが分かる。そして、Ｓｔｕｘｎｅｔに代表されるＵＳＢメモリ等を媒介したインシデント対策については、上記第２の評価グラフの人的なつながりに着目してセキュリティポリシーを改訂したり、入退場時の所持品チェックを実施すればよいことが分かる。

【0022】

以上のように、本実施形態によれば、リソース同士の接続関係を示す第１の評価グラフや攻撃グラフでは把握しにくい人的なつながりを考慮したセキュリティの評価を行うことが可能となる。

【0023】

［第１の実施形態］
続いて、上記第１、第２の評価グラフに、攻撃グラフを加えて３つのレイヤを統合したアセスメントグラフを表示可能とした第１の実施形態について図面を参照して詳細に説明する。なお、以下の説明において「アセット」が、上記「リソース」に対応する。即ち、以下の説明における「アセット」の語は、「リソース」に置き換えることが可能である。

【0024】

図３は、本発明の第１の実施形態のセキュリティ評価システムの構成を示す図である。図３を参照すると、アセット関連情報記憶部１０１と、ユーザ関連情報記憶部１０２と、攻撃関連情報記憶部１０３と、アセスメントグラフ生成部１１０と、アセスメントグラフ表示部１２０と、を備えた構成が示されている。

【0025】

アセット関連情報記憶部１０１は、アセット情報と、アセット間接続情報と、を記憶する。ユーザ関連情報記憶部１０２は、ユーザ情報と、ユーザ間関係情報と、を記憶する。攻撃関連情報記憶部１０３は、攻撃行動情報と、攻撃手順情報とを記憶する。これらの具体例については、後に図面を用いて詳細に説明する。

【0026】

アセスメントグラフ生成部１１０は、上記アセット関連情報記憶部１０１、ユーザ関連情報記憶部１０２及び攻撃関連情報記憶部１０３から取得した情報を用いて、図１６〜図１８に例示するアセスメントグラフを生成する。

【0027】

アセスメントグラフ表示部１２０は、図１６〜図１８に例示するアセスメントグラフをグラフィカルに表示する。

【0028】

続いて、上記アセスメントグラフ生成部１１０の詳細構成について説明する。図４は、本発明の第１の実施形態のセキュリティ評価システムのアセスメントグラフ生成部の構成例を示す図である。図４を参照すると、アセットグラフ生成部１１１と、ソーシャルグラフ生成部１１２と、攻撃グラフ生成部１１３と、アセスメントグラフ構成部１１４とを備えた構成が示されている。

【0029】

アセットグラフ生成部１１１は、アセット情報と、アセット間接続情報とを入力として、アセットグラフを生成する。アセットグラフは、評価対象システムのアセットの接続関係を示したグラフであり、上述した第１の評価グラフに相当する。

【0030】

ソーシャルグラフ生成部１１２は、ユーザ情報と、ユーザ間関係情報とを入力として、ソーシャルグラフを生成する。ソーシャルグラフは、評価対象システムのリソースに対してアクセス可能なユーザ同士の関係（人的なつながり）を示したグラフであり、上述した第２の評価グラフに相当する。ソーシャルグラフ生成部１１２の具体的な動作については、後に詳述する。

【0031】

攻撃グラフ生成部１１３は、攻撃行動情報と、攻撃手順情報とを入力として、攻撃グラフを生成する。攻撃グラフは、評価対象システムに対して想定される攻撃手順を状態遷移グラフの形で表したグラフである。攻撃グラフの形態はさまざまな形態が提案されているが、本実施形態では、攻撃者の攻撃行動をノードとし、その順序関係をリンク（矢線）で表した攻撃グラフを用いて説明する。攻撃グラフ生成部１１３の具体的な動作については、後に詳述する。

【0032】

アセスメントグラフ構成部１１４は、上記したアセットグラフ、ソーシャルグラフ及び攻撃グラフを互いに対応付けて階層表示するアセスメントグラフを構成する（図１６〜図１８参照）。アセスメントグラフの具体的な態様とその効用については後に詳述する。

【0033】

続いて、上記したアセットグラフ生成部１１１と、ソーシャルグラフ生成部１１２と、攻撃グラフ生成部１１３の具体的な構成例を説明する。図５は、アセットグラフ生成部１１１の構成例を示す図である。図５を参照すると、ノード生成部１１１１と、リンク生成部１１１２と、グラフ構成部１１１３とを備えた構成が示されている。

【0034】

アセットグラフ生成部１１１のノード生成部１１１１は、アセット情報に基づいて、アセットグラフ上のノードを生成する。

【0035】

図６は、アセット関連情報記憶部１０１に保持されているアセット情報の一例を示す図である。図６の例では、アセットを一意に示すアセットＩＤと、アセット名と、所有ユーザＩＤとを対応付けたエントリが示されている。例えば、ａｓｓｅｔ−ｎｏｄｅ：１のアセットは、Ｆｉｒｅｗａｌｌ−１という名称のファイアウォール装置であり、ｐｅｒｓｏｎ−ｎｏｄｅ：１で特定されるユーザと所有関係にあることが示されている。なお、「所有関係」とは狭義の意味ではなく、あるユーザが該当するアセットについて管理責任を有しているという関係も含む。なお、図６において、ＰＬＣは、Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｃｏｎｔｒｏｌｌｅｒの略である。

【0036】

アセットグラフ生成部１１１のノード生成部１１１１は、例えば、上記アセット情報に基づいてａｓｓｅｔ−ｎｏｄｅ：１に対応するノードを生成する。

【0037】

アセットグラフ生成部１１１のリンク生成部１１１２は、アセット間接続情報に基づいてアセットグラフ上のリンクを生成する。

【0038】

図７は、アセット関連情報記憶部１０１に保持されているアセット間接続情報の一例を示す図である。図７の例では、アセット間のリンクを一意に示すリンクＩＤと、そのリンクの接続タイプ情報と、始点アセットＩＤと、終点アセットＩＤとを対応付けたエントリが示されている。例えば、ａｓｓｅｔ−ｌｉｎｋ：１のリンクは、ネットワークで接続されており、ａｓｓｅｔ−ｎｏｄｅ：１とａｓｓｅｔ−ｎｏｄｅ：２間のリンクであることが示されている。なお、図７の例では、接続タイプ情報には、Ｎｅｔｗｏｒｋのほかに、ＵＳＢがある。ＵＳＢは、ＵＳＢなどの媒体の受け渡しによるデータ交換経路であることを示している。このような媒体の受け渡しによるデータ交換経路は、対象となる機器のログ情報やユーザに対する聞き取り調査、現場観察などを通じて把握することができる。また、図７の例ではＵＳＢのみを例示したが、媒体の受け渡しによるデータ交換経路を構成可能な媒体はこれに限られない。例えば、その他のリムーバブルディスクの挿抜によるやり取りや近距離無線通信デバイスを媒体として用いる形態なども考えられる。以降、このような媒体の受け渡しによるデータ交換経路を「エアギャップパス」とも呼ぶ。

【0039】

アセットグラフ生成部１１１のグラフ構成部１１１３は、上記ノードとリンクで構成されたアセットグラフを作成する（図１６〜図１８の中段参照）。

【0040】

図８は、ソーシャルグラフ生成部１１２の構成例を示す図である。図８を参照すると、ノード生成部１１２１と、リンク生成部１１２２と、グラフ構成部１１２３とを備えた構成が示されている。

【0041】

ソーシャルグラフ生成部１１２のノード生成部１１２１は、ユーザ情報に基づいて、ソーシャルグラフ上のノードを生成する。

【0042】

図９は、ユーザ関連情報記憶部１０２に保持されているユーザ情報の一例を示す図である。図９の例では、ユーザを一意に示すユーザＩＤと、ユーザ名とを対応付けたエントリが示されている。例えば、ｐｅｒｓｏｎ−ｎｏｄｅ：１のユーザは、Ｐｅｒｓｏｎ−１という名称であることが示されている。なお、図９の例では、ユーザ名のみを定義しているが、ユーザ情報として、個々のユーザの所属やその他属している団体などの属性情報を記録しておいてもよい。

【0043】

ソーシャルグラフ生成部１１２のノード生成部１１２１は、例えば、上記ユーザ情報に基づいてｐｅｒｓｏｎ−ｎｏｄｅ：１に対応するノードを生成する。

【0044】

ソーシャルグラフ生成部１１２のリンク生成部１１２２は、ユーザ間関係情報に基づいてソーシャルグラフ上のリンクを生成する。このリンクは、ユーザ間の関係、例えば、媒体を介したデータ交換が行われうる関係を示す。

【0045】

図１０は、ユーザ関連情報記憶部１０２に保持されているユーザ間関係情報の一例を示す図である。図１０の例では、ユーザ間のリンクを一意に示すリンクＩＤと、始点ユーザＩＤと、終点ユーザＩＤとを対応付けたエントリが示されている。例えば、ｐｅｒｓｏｎ−ｌｉｎｋ：１のリンクは、ｐｅｒｓｏｎ−ｎｏｄｅ：１とｐｅｒｓｏｎ−ｎｏｄｅ：２間のリンクであることが示されている。なお、ユーザ間関係情報においても、そのリンクの接続タイプ情報を持たせてもよい。ユーザ間のリンクにおける接続タイプ情報としては、上司と部下の関係のような垂直の関係にあるか否かや、同期、同一グループ、同一サークルといった水平の関係にあるかといった情報などを含めることができる。また、ユーザ間関係情報としてＳＮＳ（ソーシャルネットワーキングサービス）で友達や知り合いに関する情報を用いることもできる。さらに、より望ましくは、セキュリティ上の対策立案用の資料となる観点から、これらのユーザ同士の人的関係のうち、媒体の授受が行われうる関係があるつながりのみを、ユーザ間関係情報とすることでもよい。

【0046】

ソーシャルグラフ生成部１１２のグラフ構成部１１２３は、上記ノードとリンクで構成されたソーシャルグラフを作成する（図１６〜図１８の下段参照）。

【0047】

図１１は、攻撃グラフ生成部１１３の構成例を示す図である。図１１を参照すると、ノード生成部１１３１と、リンク生成部１１３２と、グラフ構成部１１３３とを備えた構成が示されている。

【0048】

攻撃グラフ生成部１１３のノード生成部１１３１は、攻撃行動情報に基づいて、攻撃グラフ上のノードを生成する。

【0049】

図１２は、攻撃関連情報記憶部１０３に保持されている攻撃行動情報の一例を示す図である。図１２の例では、攻撃行動を一意に示す攻撃ＩＤと、その攻撃内容の詳細と、攻撃対象となる対象アセットＩＤとを対応付けたエントリが示されている。例えば、ａｔｔａｃｋ−ｎｏｄｅ：１の攻撃は、システムの脆弱性を利用して特定のコードを実行するものであり、その対象がａｓｓｅｔ−ｎｏｄｅ：１であることが示されている。

【0050】

攻撃グラフ生成部１１３のノード生成部１１３１は、例えば、上記攻撃行動情報に基づいてａｔｔａｃｋ−ｎｏｄｅ：１に対応するノードを生成する。

【0051】

攻撃グラフ生成部１１３のリンク生成部１１３２は、攻撃手順情報に基づいて攻撃グラフ上のリンクを生成する。

【0052】

図１３は、攻撃関連情報記憶部１０３に保持されている攻撃手順情報の一例を示す図である。図１３の例では、攻撃行動間のリンクを一意に示すリンクＩＤと、始点ノードを示す始点攻撃ＩＤと、終点ノードを示す終点攻撃ＩＤとを対応付けたエントリが示されている。例えば、ａｔｔａｃｋ−ｌｉｎｋ：１のリンクは、ａｔｔａｃｋ−ｎｏｄｅ：１とａｔｔａｃｋ−ｎｏｄｅ：２間のリンクであることが示されている。

【0053】

攻撃グラフ生成部１１３のグラフ構成部１１３３は、上記ノードとリンクで構成された攻撃グラフを作成する（図１６〜図１８の上段参照）。

【0054】

続いて、本実施形態の動作について図面を参照して詳細に説明する。図１４は、本発明の第１の実施形態のセキュリティ評価システムの動作を表したフローチャートである。図１４を参照すると、まず、セキュリティ評価システム１００のアセスメントグラフ生成部１１０がアセスメントグラフを作成する。図１５は、上記アセスメントグラフ生成部１１０によるアセスメントグラフ生成処理の例を表したフローチャートである。

【0055】

図１５を参照すると、セキュリティ評価システム１００の攻撃グラフ生成部１１３が、攻撃行動情報と、攻撃手順情報とに基づいて、攻撃グラフを生成する（ステップＳ０１１）。

【0056】

次に、セキュリティ評価システム１００のアセットグラフ生成部１１１が、アセット情報と、アセット間接続情報とに基づいて、アセットグラフを生成する（ステップＳ０１２）。

【0057】

次に、セキュリティ評価システム１００のソーシャルグラフ生成部１１２が、ユーザ情報と、ユーザ間関係情報とに基づいて、ソーシャルグラフを生成する（ステップＳ０１３）。

【0058】

最後に、セキュリティ評価システム１００のアセスメントグラフ構成部１１４が、上記したアセットグラフ、ソーシャルグラフ及び攻撃グラフのレイヤ間の関連付け情報に基づいて、アセスメントグラフを構成する（ステップＳ０１４）。ここで、「レイヤ間の関連付け情報」としては、アセット情報における所有ユーザＩＤ、攻撃行動情報における対象アセットＩＤなど、あるレイヤの情報中の異なるレイヤのノード等との対応関係を示した情報のことである。

【0059】

再度、図１４を参照すると、セキュリティ評価システム１００のアセスメントグラフ表示部１２０が前記構成されたアセスメントグラフを表示する（ステップＳ００２）。

【0060】

図１６は、上記ステップＳ００２の段階で表示されるアセスメントグラフの一例を示す図である。このアセスメントグラフは、３層の構成となっており、上段の攻撃グラフレイヤＡＴには、想定される攻撃行動をノードとし、攻撃間の順序関係をリンク（矢線）で表した攻撃グラフが表示されている。そして、中段のアセットグラフレイヤＡＳには、評価対象のシステムのアセットをノードとし、アセット間のデータ交換経路をリンクで表したアセットグラフが表示されている。また、このアセットグラフは、ＵＳＢ等の媒体を介したデータ交換経路（エアギャップパス）も表示可能となっている。そして、下段のソーシャルグラフレイヤＵＳに、アセットと所有関係になりうるユーザをノードとし、このユーザ間の関係をリンクで表したソーシャルグラフが表示されている。なお、図１６において、ＳＷはＳｗｉｔｃｈの略であり、ＦＷはＦｉｒｅｗａｌｌの略である。

【0061】

図１７は、アセスメントグラフの別の表示態様を示す図である。図１７の例では、アセットグラフ上のＰＣ１、ＰＣ２、ＰＬＣと、攻撃グラフのノードとの対応関係が破線で示されている。このような破線は、上述した「レイヤ間の関連付け情報」を用いて表示することができる。システムの評価者はこのような表示を見て、図１７の攻撃グラフがエアギャップパスを前提に成立していることを把握することができる。

【0062】

図１８は、アセスメントグラフの別の表示態様を示す図である。図１８の例では、ソーシャルグラフ上のＰｅｒｓｏｎ１、Ｐｅｒｓｏｎ２と、アセットグラフ上のアセット群との対応関係が破線で示されている。このような破線は、上述した「レイヤ間の関連付け情報」を用いて表示することができる。システムの評価者はこのような表示を見て、図１８上段の攻撃グラフの前提となっているエアギャップパスを介した攻撃を遮断するには、ソーシャルグラフに表されたＰｅｒｓｏｎ１、Ｐｅｒｓｏｎ２間の関係について対策を講じるべきと判断することができる。

【0063】

なお、上記図１６から図１８の例では、攻撃グラフ層のノードは、攻撃対象のアセット情報に基づいてアセットグラフ層のいずれかのノードに関連付けられる。これは、アセットグラフ層のノードが、攻撃グラフ層のノードを包含するグループ（スーパーセット）として定義されていることになる。同様に、アセットグラフ層のノードは、当該アセットと所有関係にあるユーザ情報に基づいてソーシャルグラフ層のいずれかのノードに関連付けられる。これは、ソーシャルグラフ層のノードが、アセットグラフ層のノードを包含するグループ（スーパーセット）として定義されていることになる。このような構成を採ることにより、任意の攻撃グラフの任意のノード、パスからアセットグラフのノードを特定し、さらにソーシャルグラフ層の対策を講ずべき箇所の絞込みが容易化される。

【0064】

一方で、アセスメントグラフの表示態様は、図１６〜図１８の例に限られない。例えば、アセットグラフのみを表示し、必要に応じて攻撃グラフやソーシャルグラフをポップアップ表示する形態であってもよい。また、アセットグラフのみを表示した態様と、アセスメントグラフを表示した態様とを切り替え表示してもよい。このような形態によれば、アセットグラフのみを表示する際に、各アセットの詳細情報（例えば、図６のアセット情報など）を同時に表示することができる。

【0065】

［第２の実施形態］
続いて、ソーシャルグラフの表示内容に変更を加えた第２の実施形態について図面を参照して詳細に説明する。図１９は、本発明の第２の実施形態のセキュリティ評価システム１００Ａの構成を示す図である。図３に示した第１の実施形態のセキュリティ評価システム１００との構成上の相違点は、アセット使用権限情報記憶部１０４が追加され、アセスメントグラフ生成部１１０Ａが、アセット使用権限に関する情報を含んだアセスメントグラフを生成する点である。その他の構成は第１の実施形態と同等であるので、以下、その相違点を中心に説明する。

【0066】

図２０は、本実施形態のアセスメントグラフ生成部１１０Ａの構成例を示す図である。図４に示したアセスメントグラフ生成部との相違点は、アセットグラフ生成部１１１Ａにアセット使用権限情報が入力される点である。

【0067】

図２１は、本実施形態のアセットグラフ生成部１１１Ａの構成例を示す図である。図５に示したアセットグラフ生成部との相違点は、リンク生成部１１１２Ａにアセット使用権限情報が入力され、リンク生成部１１１２Ａがリンクの付属情報としてアセット使用権限情報を付加する点である。

【0068】

そして、本実施形態のアセットグラフ生成部１１１Ａのグラフ構成部１１１３Ａは、アクセス権限情報が付加されたアセットグラフを生成する（図２４参照）。

【0069】

図２２は、アセット使用権限情報記憶部１０４に保持されるアセット使用権限情報の一例を示す図である。図２２の例では、ａｓｓｅｔ−ｎｏｄｅ：１とのＩＤで特定されるアセット（Ｆｉｒｅｗａｌｌ）の使用権限を有しているユーザとして、Ｕｓｅｒ−１、Ｕｓｅｒ−２が定義されている。同様に、ａｓｓｅｔ−ｎｏｄｅ：２とのＩＤで特定されるアセット（Ｓｗｉｔｃｈ）のアクセス権限を有しているユーザとして、Ｕｓｅｒ−２、Ｇｒｏｕｐ−１が定義されている。このように使用権限を有しているユーザとしてグループを定義することも可能である。なお、ここでのユーザは、あくまでアセットの使用権限を有するユーザである。一方、ソーシャルグラフ上のユーザ（Ｐｅｒｓｏｎ）は、実体として存在する人物のことである。両者は同一である場合もあるが、異なる場合もある。例えば、あるＰＣを共有のアカウント（ｓｈａｒｅ−ｕｓｅｒ）で共有している場合、アセットグラフ上では、単一のユーザとして取り扱われるが、ソーシャルグラフ上では別人物となる。逆に、実在する人物が、あるアセットに対し複数のアカウント（管理者と一般ユーザ）を有している場合もある。この場合は、アセットグラフ上では、別のユーザとして取り扱われるが、ソーシャルグラフ上では同一人物となる。

【0070】

図２３は、本発明の第２の実施形態のセキュリティ評価システムのアセスメントグラフ生成処理の例を表したフローチャートである。図１５に示した第１の実施形態のフローチャートとの相違点は、ステップＳ１１２において、アセットグラフ生成部１１１Ａが、アセット情報と、アセット間接続情報と、アセット使用権限情報とに基づいてアセットグラフを生成する点である。その他の処理は第１の実施形態と同様であるので説明を省略する。

【0071】

図２４は、本発明の第２の実施形態のセキュリティ評価システム１００Ａによって表示されるアセスメントグラフの例である。図１６〜図１８に示した第１の実施形態のセキュリティ評価システム１００によって表示されるアセスメントグラフとの相違点は、アセットグラフにおいて付属情報として、各アセットの使用権限を有しているユーザの情報が表示されている点である。

【0072】

本実施形態によれば、上記第１の実施形態の効果に加えて、アセットにいかなる使用権限が与えられているのか、そして、その使用権限と、実在するユーザとの対応関係を把握することが可能となる。

【0073】

なお、上記した説明では、セキュリティ評価システム１００Ａに、アセット使用権限情報記憶部１０４を独立して設けるものとして説明したが、アセット使用権限情報記憶部１０４を省略した構成も採用可能である。例えば、図２５に示すように、アセット情報に、アセット使用権限情報を格納するアセット使用権限フィールドを追加して保持させる形態も採用可能である。

【0074】

なお、上記した実施形態では、アセット使用権限情報として、使用権限を持つユーザの情報を定義した例を挙げて説明したが、例えば、このアセットレイヤのユーザと、ソーシャルレイヤのユーザ（Ｐｅｒｓｏｎ）との対応関係を保持させてもよい。

【0075】

［第３の実施形態］
続いて、アセスメントグラフの表示形態を変更可能とした第３の実施形態について図面を参照して詳細に説明する。図２６は、本発明の第３の実施形態のセキュリティ評価システム１００Ｂの構成を示す図である。図１９に示した第２の実施形態のセキュリティ評価システム１００Ａとの構成上の相違点は、表示条件入力部１０５が追加され、アセスメントグラフ表示部１２０Ａが、入力された表示条件に従って、アセスメントグラフの表示態様に変更を加える点である。また、本実施形態では、アセット情報に、アセットの種類を示すアセットタイプフィールドが追加されている。その他の構成は第１、第２の実施形態と同等であるので、以下、その相違点を中心に説明する。

【0076】

図２７は、本発明の第３の実施形態のセキュリティ評価システムが保持するアセット情報の一例を示す図である。図６に示したアセット情報との相違点は、アセットタイプフィールドが追加され、アセットグラフ上のノードのアセット種別を特定可能となっている点である。

【0077】

表示条件入力部１０５は、システム評価者等から、アセスメントグラフの表示を行う際の表示条件の入力を受け、アセスメントグラフ表示部１２０Ａに送信する。ここでの表示条件としては、各レイヤのノードＩＤやその属性などが挙げられる。例えば、攻撃グラフにおけるノードに相当する攻撃ＩＤを指定できるようにしてもよい。また、同様に、アセットグラフにおけるアセットタイプやアセットＩＤ、リンクの接続タイプを指定できるようにしてもよい。また、同様に、ソーシャルグラフにおけるユーザＩＤやアクセス権限情報を指定できるようにしてもよい。

【0078】

アセスメントグラフ表示部１２０Ａは、前記表示条件入力部１０５から指示された表示条件に従って、アセスメントグラフを表示する。

【0079】

続いて、本実施形態の動作について図面を参照して詳細に説明する。図２８は、本実施形態のセキュリティ評価システム１００Ｂの動作を表したフローチャートである。図１４に示した第１の実施形態のセキュリティ評価システム１００の動作との相違点は、ステップＳ１０２において、表示条件の入力を受け付け、表示条件に従ってアセスメントグラフの表示態様に変更を加える点である（図２８のステップＳ１０２、Ｓ１０３）。

【0080】

上記表示条件の入力と、アセスメントグラフの表示態様について、図２９〜図３１を用いて具体的に説明する。図２９は、表示条件入力部１０５に、表示条件としてアセットタイプ＝Ｃｏｍｐｕｔｅｒを指定した場合に表示されるアセスメントグラフを示している。表示条件としてアセットタイプ＝Ｃｏｍｐｕｔｅｒと指定したことにより図２７のアセット情報からａｓｓｅｔ−ｎｏｄｅ：３〜５のＳｅｒｖｅｒ−１、ＰＣ−１、ＰＣ−２が特定される。そして、アセスメントグラフ表示部１２０Ａは、アセットグラフを、少なくともノードとしてＳｅｒｖｅｒ−１、ＰＣ−１、ＰＣ−２を示したアセットグラフ（部分グラフ）を表示する。なお、アセットグラフのその他のノードについては、図２９のように破線で示してもよいし、非表示としてもよい。さらに、図２９の例では、攻撃グラフにおいて、上記Ｓｅｒｖｅｒ−１、ＰＣ−１、ＰＣ−２に対応する攻撃グラフのノードを実線で示し、破線で対応関係を示している。図２９の例では、ソーシャルグラフにおいて、上記Ｓｅｒｖｅｒ−１、ＰＣ−１、ＰＣ−２に対して所有関係にあるユーザ（人物）を実線で示し、破線で対応関係を示している。このようなアセスメントグラフによれば、任意のアセットに関連を有する攻撃グラフの有無やその所有関係にあるユーザ（人物）を確認することができる。

【0081】

図３０は、表示条件入力部１０５に、表示条件としてソーシャルグラフのＰｅｒｓｏｎ１を指定した場合に表示されるアセスメントグラフを示している。表示条件としてユーザ名＝Ｐｅｒｓｏｎ１と指定したことにより図２７のアセット情報から所有ユーザＩＤがｐｅｒｓｏｎ−ｎｏｄｅ：１のＦｉｒｅｗａｌｌ−１、Ｓｗｉｔｃｈ−１、Ｓｅｒｖｅｒ−１、ＰＣ−１が特定される。そして、アセスメントグラフ表示部１２０Ａは、アセットグラフを、少なくともノードとしてＦｉｒｅｗａｌｌ−１、Ｓｗｉｔｃｈ−１、Ｓｅｒｖｅｒ−１、ＰＣ−１を示したアセットグラフ（部分グラフ）を表示する。なお、アセットグラフのその他のノードについては、図３０のように破線で示してもよいし、非表示としてもよい。さらに、図３０の例では、攻撃グラフにおいて、上記Ｆｉｒｅｗａｌｌ−１、Ｓｗｉｔｃｈ−１、Ｓｅｒｖｅｒ−１、ＰＣ−１に対応する攻撃グラフのノードを実線で示し、破線で対応関係を示している。図３０の例では、ソーシャルグラフにおいて、上記Ｐｅｒｓｏｎ１を実線で示し、破線で対応関係を示している。このようなアセスメントグラフによれば、任意のユーザ（人物）と所有関係にあるアセットや攻撃グラフの有無を確認することができる。

【0082】

図３１は、表示条件入力部１０５に、表示条件としてアセットグラフのリンクの接続タイプとしてＵＳＢ以外、即ち、「エアギャップパスの存在を条件としない」を指定した場合に表示されるアセスメントグラフを示している。表示条件として接続タイプ＝ＮＯＴ（ＵＳＢ）と指定したことにより図７のアセット間接続情報から接続タイプがＵＳＢ以外のエントリが選択される。これにより、アセットグラフからＰＣ１とＰＣ２間のリンクが非表示となる。さらに、図３１の例では、攻撃グラフにおいて、上記ＰＣ１とＰＣ２間のエアギャップパスに対応するリンクが破線表示となっている。これにより、この攻撃グラフがエアギャップパスの存在なしに成り立たないことが分かる。なお、図３１の例は、攻撃グラフを表示しているが、このように、エアギャップパスの存在なしに成り立たない場合、当該攻撃グラフを非表示としてもよい。

【0083】

なお、表示条件は、上記の例に限られずアセット情報、アセット間接続情報、ユーザ情報、ユーザ間関係情報、攻撃行動情報、攻撃手順情報、アクセス権限情報の任意の項目を指定できるようにしてもよい。例えば、表示条件として、任意のユーザの指定を受け、そのユーザが使用権限を持つアセットのみを表示したアセットグラフや攻撃グラフを表示するようにしてもよい。同様に、例えば、表示条件として、攻撃グラフの任意のノード（攻撃行動）の指定を受け、そのノード（攻撃行動）の対象となるアセットグラフのアセットと、そのアセットと所有関係にあるユーザ（人物）を表示するようにしてもよい。

【0084】

また、より望ましい形態において、攻撃グラフのリンク（パス）に、影響度（ｓｅｖｅｒｉｔｙ）や攻撃行動の難易度等により計算された重み情報等が与えられている場合、これらの値に基づいて、攻撃グラフのパスの表示非表示を切り替えるようにしてもよい。これらの値として、Ｃｏｍｍｏｎ Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ｓｃｏｒｉｎｇ Ｓｙｓｔｅｍとして知られているＣＶＳＳ値を用いても良い。

【0085】

以上、本発明の各実施形態を説明したが、本発明は、上記した実施形態に限定されるものではなく、本発明の基本的技術的思想を逸脱しない範囲で、更なる変形・置換・調整を加えることができる。例えば、各図面に示したネットワーク構成、各要素の構成、メッセージの表現形態は、本発明の理解を助けるための一例であり、これらの図面に示した構成に限定されるものではない。また、以下の説明において、「Ａ及び／又はＢ」は、Ａ及びＢの少なくともいずれかという意味で用いる。

【0086】

また、上記した各実施形態では特に触れなかったが、本発明は、図３２に示す、デジタルシャドウを用いたシステムの評価プラットフォーム１０００のサブシステムとしても適用できる。ここで、デジタルシャドウとは、デジタルツインとも呼ばれる実システムの再現モデルを用いてシステムのセキュリティ評価等を行う手法であり、発電所のシステムに代表される実システムでの試験等が難しいシステムに好適に使用される。図３２の例では、情報収集部１０２０と、再現モデル生成部１０３０と、攻撃グラフ分析部１０４０と、対策分析部１０５０とを備える評価プラットフォーム１０００が示されている。このうちの攻撃グラフ分析部１０４０が上記した攻撃グラフ生成部１１３に対応する。例えば、本発明は、図３２の攻撃グラフ分析部１０４０と連携して動作するシステムとして構成することもできる。

【0087】

また、上記した第１〜第３の実施形態に示した手順は、セキュリティ評価システム１００、１００Ａ、１００Ｂとして機能するコンピュータ（図３３の９０００）に、セキュリティ評価システム１００としての機能を実現させるプログラムにより実現可能である。このようなコンピュータは、図３３のＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）９０１０、通信インタフェース９０２０、メモリ９０３０、補助記憶装置９０４０を備える構成に例示される。すなわち、図３３のＣＰＵ９０１０にて、アセスメントグラフ生成プログラムやアセスメントグラフ表示プログラムを実行し、その補助記憶装置９０４０等に保持された各計算パラメーターの更新処理を実施させればよい。

【0088】

即ち、上記した第１〜第３の実施形態に示したセキュリティ評価システムの各部（処理手段、機能）は、上記コンピュータのプロセッサに、そのハードウェアを用いて、上記した各処理を実行させるコンピュータプログラムにより実現することができる。

【0089】

最後に、本発明の好ましい形態を要約する。
［第１の形態］
（上記第１の視点によるセキュリティ評価システム参照）
［第２の形態］
上記したセキュリティ評価システムの第１グラフ生成部は、
前記リソース間における媒体を介したデータ交換経路を含むデータ交換経路を定義したリソース間の接続情報に基づいて、前記リソース間における媒体を介したデータ交換経路を表した第１の評価グラフを生成することが好ましい。
［第３の形態］
上記したセキュリティ評価システムの第２グラフ生成部は、
前記リソースに対してアクセス権限を持つユーザをノードとして表し、媒体の授受が行われうる前記ユーザ間の関係をリンクとして表した第２の評価グラフを生成することが好ましい。
［第４の形態］
上記したセキュリティ評価システムは、さらに、
リソースに対し、使用権限を持つユーザの情報を記憶する使用権限記憶部を備え、
前記表示部は、
前記第１の評価グラフの付随情報として、前記リソースに対して使用権限を持つユーザの情報を表示する構成を採ることができる。
［第５の形態］
上記したセキュリティ評価システムは、さらに、
前記セキュリティ評価の対象となるリソースに対する攻撃グラフを生成する第３グラフ生成部を備え、
前記表示部は、さらに、前記第１の評価グラフと、前記攻撃グラフとを対応付けて表示する構成を採ることができる。
［第６の形態］
上記したセキュリティ評価システムは、さらに、
前記リソースのＩＤ、前記リソースの種別の少なくとも一方の指定を含む表示条件を受け付ける条件受付部を備え、
前記表示部は、前記第１の評価グラフの前記表示条件に該当するリソースと、該リソースに対応する前記第２の評価グラフ又は前記リソースに関連する攻撃グラフを表示する構成を採ることができる。
［第７の形態］
上記したセキュリティ評価システムは、さらに、
前記ユーザの指定を含む表示条件を受け付ける条件受付部を備え、
前記表示部は、前記第２の評価グラフの前記表示条件に該当するユーザと、該ユーザと関連を持つ前記第１の評価グラフの部分グラフと該部分グラフに関連する攻撃グラフを表示する構成を採ることができる。
［第８の形態］
上記したセキュリティ評価システムは、さらに、
前記データ交換経路のうち、前記リソース間における媒体を介したデータ交換経路の有無の指定を受け付ける条件受付部を備え、
前記表示部は、前記リソース間における媒体を介したデータ交換経路無しの指定を受けた場合、前記リソース間における媒体を介したデータ交換経路無しの第１の評価グラフと、前記第１の評価グラフに関連する攻撃グラフのうち、前記リソース間の媒体の移動によるデータ交換経路の存在を必要としない攻撃グラフを表示する構成を採ることができる。
［第９の形態］
上記したセキュリティ評価システムは、さらに、
前記ユーザの指定を含む表示条件を受け付ける条件受付部を備え、
前記表示部は、前記第２の評価グラフの前記ユーザが立ち入りが許可される空間を選択し、
前記空間に存在する前記第１の評価グラフの部分グラフと、該部分グラフに関連する前記第２の評価グラフ及び攻撃グラフを表示する構成を採ることができる。
［第１０の形態］
上記したセキュリティ評価システムは、さらに、
前記攻撃グラフのノードの指定を含む表示条件を受け付ける条件受付部を備え、
前記表示部は、前記攻撃グラフの前記指定されたノードと関連付けられた前記第１の評価グラフの部分グラフと該部分グラフに関連する前記第２の評価グラフの部分グラフを表示する構成を採ることができる。
［第１１の形態］
（上記第２の視点によるセキュリティ評価方法参照）
［第１２の形態］
（上記第３の視点によるプログラム参照）
なお、上記第１１〜第１２の形態は、第１の形態と同様に、第２〜第１０の形態に展開することが可能である。

【0090】

なお、上記の特許文献の各開示を、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の開示の枠内において種々の開示要素（各請求項の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。

【符号の説明】

【0091】

１、１００、１００Ａ、１００Ｂ セキュリティ評価システム
１０ 第１グラフ生成部
２０ 第２グラフ生成部
３０ 表示部
１０１ アセット関連情報記憶部
１０２ ユーザ関連情報記憶部
１０３ 攻撃関連情報記憶部
１０４ アセット使用権限情報記憶部
１０５ 表示条件入力部
１１０、１１０Ａ アセスメントグラフ生成部
１１１、１１１Ａ アセットグラフ生成部
１１２、１１２Ａ ソーシャルグラフ生成部
１１３ 攻撃グラフ生成部
１１４ アセスメントグラフ構成部
１２０、１２０Ａ アセスメントグラフ表示部
１０００ 評価プラットフォーム
１０１０ ユーザインタフェース部及び制御部
１０２０ 情報収集部
１０３０ 再現モデル生成部
１０４０ 攻撃グラフ分析部
１０５０ 対策分析部
１１１１、１１２１、１１３１ ノード生成部
１１１２、１１１２Ａ、１１２２、１１３２ リンク生成部
１１１３、１１１３Ａ、１１２３、１１３３ グラフ構成部
９０００ コンピュータ
９０１０ ＣＰＵ
９０２０ 通信インタフェース
９０３０ メモリ
９０４０ 補助記憶装置
ＡＴ 攻撃グラフレイヤ
ＡＳ アセットグラフレイヤ
ＵＳ ソーシャルグラフレイヤ

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】

【図19】

【図20】

【図21】

【図22】

【図23】

【図24】

【図25】

【図26】

【図27】

【図28】

【図29】

【図30】

【図31】

【図32】

【図33】