特開 2022-180094 計算機システム及びサイバーセキュリティ情報の評価方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2022180094

(43)【公開日】2022-12-06

(54)【発明の名称】計算機システム及びサイバーセキュリティ情報の評価方法

(51)【国際特許分類】

   G06Q 50/10 20120101AFI20221129BHJP

   G06F 21/57 20130101ALI20221129BHJP

【ＦＩ】

G06Q50/10

G06F21/57 370

【審査請求】未請求

【請求項の数】11

【出願形態】ＯＬ

(21)【出願番号】P 2021087011

(22)【出願日】2021-05-24

(71)【出願人】

【識別番号】000005108

【氏名又は名称】株式会社日立製作所

(74)【代理人】

【識別番号】110001678

【氏名又は名称】藤央弁理士法人

(72)【発明者】

【氏名】チェン イーウェン

(72)【発明者】

【氏名】粕谷 桃伽

(72)【発明者】

【氏名】山▲崎▼ 裕紀

(72)【発明者】

【氏名】檜垣 宏行

【テーマコード（参考）】

5L049

【Ｆターム（参考）】

5L049CC11

(57)【要約】

【課題】ターゲット（分野、製品等）を考慮してサイバーセキュリティ情報の内容の充実度を評価し、価値を判定する。
【解決手段】計算機システムは、サイバーセキュリティ情報の鮮度を評価する鮮度評価部と、サイバーセキュリティ情報の情報源の信頼性の高さを評価する信頼性評価部と、サイバーセキュリティ情報の内容の充実度を評価する充実度評価部と、鮮度評価部、信頼性評価部、及び充実度評価部の評価結果に基づいて、サイバーセキュリティ情報の価値を評価する価値評価部と、を備え、充実度評価部は、サイバーセキュリティ情報の対象とするターゲットを特定し、特定されたターゲットにおけるサイバーセキュリティ情報の内容の充実度を評価する。
【選択図】図１

【特許請求の範囲】

【請求項1】

少なくとも一つの計算機を含む計算機システムであって、
サイバーセキュリティ情報の鮮度を評価する鮮度評価部と、
前記サイバーセキュリティ情報の情報源の信頼性の高さを評価する信頼性評価部と、
前記サイバーセキュリティ情報の内容の充実度を評価する充実度評価部と、
前記鮮度評価部、前記信頼性評価部、及び前記充実度評価部の評価結果に基づいて、前記サイバーセキュリティ情報の価値を評価する価値評価部と、を備え、
前記充実度評価部は、
前記サイバーセキュリティ情報の対象とするターゲットを特定し、
前記特定されたターゲットにおける前記サイバーセキュリティ情報の内容の充実度を評価することを特徴とする計算機システム。

【請求項2】

請求項１に記載の計算機システムであって、
前記充実度評価部は、
前記サイバーセキュリティ情報について、複数のターゲットの各々との関連性を表す関連度を算出し、
前記複数のターゲットの各々の前記関連度に基づいて、前記ターゲットを特定することを特徴とする計算機システム。

【請求項3】

請求項２に記載の計算機システムであって、
前記複数のターゲットの各々に関連する文字列を格納するデータベースにアクセス可能であって、
前記充実度評価部は、前記データベースを参照し、前記サイバーセキュリティ情報に含まれる前記特定されたターゲットに関連する文字列を抽出することによって、前記特定されたターゲットにおける前記サイバーセキュリティ情報の内容の充実度を評価することを特徴とする計算機システム。

【請求項4】

請求項３に記載の計算機システムであって、
前記価値評価部は、
前記鮮度評価部、前記信頼性評価部、及び前記充実度評価部の評価結果に基づいて、前記サイバーセキュリティ情報の価値を表す総合評価値を算出し、
前記総合評価値に基づいて、ユーザに提示する前記サイバーセキュリティ情報を選択することを特徴とする計算機システム。

【請求項5】

少なくとも一つの計算機を含む計算機システムが実行するサイバーセキュリティ情報の評価方法であって、
前記少なくとも一つの計算機が、サイバーセキュリティ情報の鮮度を評価する第１のステップと、
前記少なくとも一つの計算機が、前記サイバーセキュリティ情報の情報源の信頼性の高さを評価する第２のステップと、
前記少なくとも一つの計算機が、前記サイバーセキュリティ情報の内容の充実度を評価する第３のステップと、
前記少なくとも一つの計算機が、前記サイバーセキュリティ情報の鮮度、前記サイバーセキュリティ情報の情報源の信頼性の高さ、及び前記サイバーセキュリティ情報の内容の充実度の評価結果に基づいて、前記サイバーセキュリティ情報の価値を評価する第４のステップと、を含み、
前記第３のステップは、
前記少なくとも一つの計算機が、前記サイバーセキュリティ情報の対象とするターゲットを特定する第５のステップと、
前記少なくとも一つの計算機が、前記特定されたターゲットにおける前記サイバーセキュリティ情報の内容の充実度を評価する第６のステップと、を含むことを特徴とするサイバーセキュリティ情報の評価方法。

【請求項6】

請求項５に記載のサイバーセキュリティ情報の評価方法であって、
前記第５のステップは、
前記少なくとも一つの計算機が、前記サイバーセキュリティ情報について、複数のターゲットの各々との関連性を表す関連度を算出するステップと、
前記少なくとも一つの計算機が、前記複数のターゲットの各々の前記関連度に基づいて、前記ターゲットを特定するステップと、を含むことを特徴とするサイバーセキュリティ情報の評価方法。

【請求項7】

請求項６に記載のサイバーセキュリティ情報の評価方法であって、
前記計算機システムは、前記複数のターゲットの各々に関連する文字列を格納するデータベースにアクセス可能であって、
前記第３のステップは、前記少なくとも一つの計算機が、前記データベースを参照し、前記サイバーセキュリティ情報に含まれる前記特定されたターゲットに関連する文字列を抽出することによって、前記特定されたターゲットにおける前記サイバーセキュリティ情報の内容の充実度を評価するステップを含むことを特徴とするサイバーセキュリティ情報の評価方法。

【請求項8】

請求項７に記載のサイバーセキュリティ情報の評価方法であって、
前記第４のステップは、
前記少なくとも一つの計算機が、前記サイバーセキュリティ情報の鮮度、前記サイバーセキュリティ情報の情報源の信頼性の高さ、及び前記サイバーセキュリティ情報の内容の充実度の評価結果に基づいて、前記サイバーセキュリティ情報の価値を表す総合評価値を算出するステップと、
前記少なくとも一つの計算機が、前記総合評価値に基づいて、ユーザに提示する前記サイバーセキュリティ情報を選択するステップと、を含むことを特徴とするサイバーセキュリティ情報の評価方法。

【請求項9】

少なくとも一つの計算機を含む計算機システムであって、
サイバーセキュリティ情報の鮮度を表す鮮度評価値を算出する鮮度評価部と、
前記サイバーセキュリティ情報の情報源の信頼性の高さを表す信頼性評価値を算出する信頼性評価部と、
前記サイバーセキュリティ情報の内容の充実度を表す充実度評価値を算出する充実度評価部と、
前記鮮度評価値、前記信頼性評価値、及び前記充実度評価値に基づいて、前記サイバーセキュリティ情報の価値を表す総合評価値を算出する価値評価部と、を備え、
複数の分野の各々に関連する文字列を格納するデータベースにアクセス可能であって、
前記充実度評価部は、
前記サイバーセキュリティ情報の対象とする分野を特定し、
前記データベースを参照して、前記サイバーセキュリティ情報に含まれる前記特定された分野に関連する文字列を抽出し、
前記抽出の結果に基づいて、前記充実度評価値を算出することを特徴とする計算機システム。

【請求項10】

請求項９に記載の計算機システムであって、
前記充実度評価部は、
前記サイバーセキュリティ情報について、前記複数の分野の各々との関連性を表す関連度を算出し、
前記複数の分野の各々の前記関連度に基づいて、前記分野を特定することを特徴とする計算機システム。

【請求項11】

請求項１０に記載の計算機システムであって、
前記価値評価部は、前記総合評価値に基づいて、ユーザに提示する前記サイバーセキュリティ情報を選択することを特徴とする計算機システム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、サイバーセキュリティ情報の価値を判定するシステム及び方法に関する。

【背景技術】

【0002】

近年、サイバー攻撃への対策の重要性が高まっている。例えば、車両のサイバーセキュリティに関する国際標準規格であるＩＳＯ２１４３４では、車両の制御システムの電子化の進展に伴って、長期のサイバーセキュリティ対策が求められる。

【0003】

サイバーセキュリティ対策では、脅威及び脆弱性等に関する情報（サイバーセキュリティ情報）の収集、分析が必要となる。情報の収集及び分析は、例えば、ＰＳＩＲＴ（Ｐｒｏｄｕｃｔ Ｓｅｃｕｒｉｔｙ Ｉｎｃｉｄｅｎｔ Ｒｅｓｐｏｎｓｅ Ｔｅａｍ）によって行われる。

【0004】

近年、サイバーセキュリティ情報を共有する基盤が構築されており、当該基盤よりサイバーセキュリティ情報を自動的に収集するシステム及びツールが存在する。しかし、人が、収集されたサイバーセキュリティ情報の価値を判断する必要があり、確認に要する工数が大きいという課題がある。そのため、サイバーセキュリティ情報を自動的に評価するシステムが求められている。これに対して、特許文献１及び非特許文献１に記載の技術が知られている。

【0005】

特許文献１には、「実施形態のサイバー攻撃情報処理プログラムは、記憶する処理と、更新する処理とをコンピュータに実行させる。記憶する処理は、サイバー攻撃に関する情報を取得した場合、サイバー攻撃に関する情報をサイバー攻撃に関する情報の取得源に基づく信頼度と対応づけて記憶部に記憶する。更新する処理は、サイバー攻撃に関する情報に対応する投稿情報が情報処理端末からアップロードされたことを検知すると、投稿情報にかかる信頼度に応じてサイバー攻撃に関する情報に対応付けられた信頼度を更新する。」ことが記載されている。

【0006】

非特許文献１には、情報源、公開日時及び更新日時等の時間、並びに情報の一致性に基づいて情報の信頼度を算出する方法が記載されている。

【先行技術文献】

【特許文献】

【0007】

【特許文献1】特開２０１９－１０１６７２号公報

【非特許文献】

【0008】

【非特許文献1】Lei Li, Xiaoyong Li, Y. Gao、"MTIV: A Trustworthiness Determination Approach for Threat Intelligence"、Security, Privacy, and Anonymity in Computation, Communication, and Storage pp.5-14

【発明の概要】

【発明が解決しようとする課題】

【0009】

情報源が信頼でき、また、内容が正確であっても、サイバーセキュリティ情報の開示対象の分野及び製品等のターゲットが分析対象の分野及び製品等のターゲットと関係がない場合、サイバーセキュリティ情報の価値は低くなる。例えば、サイバーセキュリティ情報の開示対象は医療分野であり、分析対象が自動車分野である場合、当該サイバーセキュリティ情報の情報源が信頼でき、かつ、正確な内容が記載されていても、価値は低い。また、サイバーセキュリティ情報の開示対象は製品Ａであり、分析対象が製品Ｂである場合も同様である。

【0010】

しかし、従来技術では、サイバーセキュリティ情報の内容の充実度はターゲットを考慮して評価されていないため、前述のような情報の絞り込みができない。

【0011】

本発明は、ターゲットを考慮してサイバーセキュリティ情報の内容の充実度を評価し、価値を自動的に判定するシステム及び方法を提供する。

【課題を解決するための手段】

【0012】

本願において開示される発明の代表的な一例を示せば以下の通りである。すなわち、少なくとも一つの計算機を含む計算機システムであって、サイバーセキュリティ情報の鮮度を評価する鮮度評価部と、前記サイバーセキュリティ情報の情報源の信頼性の高さを評価する信頼性評価部と、前記サイバーセキュリティ情報の内容の充実度を評価する充実度評価部と、前記鮮度評価部、前記信頼性評価部、及び前記充実度評価部の評価結果に基づいて、前記サイバーセキュリティ情報の価値を評価する価値評価部と、を備え、前記充実度評価部は、前記サイバーセキュリティ情報の対象とするターゲットを特定し、前記特定されたターゲットにおける前記サイバーセキュリティ情報の内容の充実度を評価する。

【発明の効果】

【0013】

本発明によれば、ターゲットを考慮してサイバーセキュリティ情報の内容の充実度を評価し、価値を自動的に判定できる。上記した以外の課題、構成及び効果は、以下の実施例の説明により明らかにされる。

【図面の簡単な説明】

【0014】

【図1】実施例１のシステムの構成例を示す図である。

【図2】実施例１のシステムに含まれる計算機の構成例を示す図である。

【図3】実施例１のシステムが実行する構造化ＤＢの登録処理の一例を説明するフローチャートである。

【図4】実施例１のシステムが提示する画面の一例を示す図である。

【図5】実施例１のシステムが実行するサイバーセキュリティ情報評価処理の一例を説明するフローチャートである。

【図6】実施例１のシステムが提示する画面の一例を示す図である。

【図7】実施例１のシステムがサイバーセキュリティ情報評価処理において使用する情報の一例を示す図である。

【図8】実施例１のシステムがサイバーセキュリティ情報評価処理において使用する情報の一例を示す図である。

【図9】実施例１のシステムがサイバーセキュリティ情報評価処理において使用する情報の一例を示す図である。

【発明を実施するための形態】

【0015】

以下、本発明の実施例を、図面を用いて説明する。ただし、本発明は以下に示す実施例の記載内容に限定して解釈されるものではない。本発明の思想ないし趣旨から逸脱しない範囲で、その具体的構成を変更し得ることは当業者であれば容易に理解される。

【0016】

以下に説明する発明の構成において、同一又は類似する構成又は機能には同一の符号を付し、重複する説明は省略する。

【0017】

本明細書等における「第１」、「第２」、「第３」等の表記は、構成要素を識別するために付するものであり、必ずしも、数又は順序を限定するものではない。

【0018】

図面等において示す各構成の位置、大きさ、形状、及び範囲等は、発明の理解を容易にするため、実際の位置、大きさ、形状、及び範囲等を表していない場合がある。したがって、本発明では、図面等に開示された位置、大きさ、形状、及び範囲等に限定されない。

【実施例0019】

図１は、実施例１のシステムの構成例を示す図である。図２は、実施例１のシステムに含まれる計算機の構成例を示す図である。

【0020】

システム１００は、ＳＮＳ、Ｗｅｂ、組織等の情報源（提供元）から収集した情報の価値を評価するシステムであり、少なくとも一つの計算機２００から構成される。なお、システム１００は、ストレージシステム、ネットワークスイッチ、ゲートウェイ等を備えてもよい。

【0021】

本実施例では、サイバーセキュリティ情報が収集されるものとする。なお、本発明は、収集される情報の種別及び内容に限定されない。

【0022】

計算機２００は、図２に示すように、プロセッサ２０１、ネットワークインタフェース２０２、主記憶装置２０３、及び副記憶装置２０４を備える。なお、計算機２００は、キーボード、マウス、及びタッチパネル等の入力装置、並びに、ディスプレイ等の出力装置を備えてもよい。

【0023】

プロセッサ２０１は、主記憶装置２０３に格納されるプログラムを実行する演算装置である。プロセッサ２０１がプログラムにしたがって処理を実行することによって、特定の機能を実現する機能部（モジュール）として動作する。以下の説明では、機能部を主語に処理を説明する場合、プロセッサ２０１が当該機能部を実現するプログラムを実行していることを示す。

【0024】

ネットワークインタフェース２０２は、ネットワークを介して外部装置と通信を行うインタフェースである。

【0025】

主記憶装置２０３は、プロセッサ２０１が実行するプログラム及びプログラムが実行する情報を格納する記憶装置であり、例えば、ＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。主記憶装置２０３はワークエリアとしても用いられる。副記憶装置２０４は、情報を永続的に格納する記憶装置であり、例えば、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）及びＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等である。

【0026】

主記憶装置２０３に格納されるプログラム及び情報は、副記憶装置２０４に格納されてもよい。この場合、プロセッサ２０１が副記憶装置２０４からプログラム及び情報を読み出し、主記憶装置２０３にロードする。

【0027】

システム１００は、入力部１１０、前処理部１１１、鮮度評価部１１２、信頼性評価部１１３、ターゲット判定部１１４、充実度評価部１１５、総合評価値算出部１１６、価値評価部１１７、及び出力部１１８を有する。また、システム１００は、情報源ＤＢ１２０、複数の構造化ＤＢ１２１、及び収集情報ＤＢ１２２を保持する。

【0028】

情報源ＤＢ１２０は、情報源に関する情報を管理するデータベースである。情報源ＤＢ１２０には、例えば、情報源の種別、情報源となる組織等の名称等を含むデータが格納される。情報源の種別は、例えば、Ａｕｔｏ－ＩＳＡＣ、ＳＮＳ等である。

【0029】

構造化ＤＢ１２１は、ターゲット（分野、製品等）で扱われる単語を管理するデータベースである。本実施例では、一つのターゲットに対して一つの構造化ＤＢ１２１が存在するものとする。システム１００は、ターゲット及び構造化ＤＢ１２１を対応づけて管理する。構造化ＤＢ１２１には、単語及びカテゴリ等を含むデータが格納される。カテゴリは、大カテゴリ、中カテゴリ、小カテゴリ等、階層的な構造でもよい。例えば、セキュリティのカテゴリの場合、大カテゴリが「セキュリティ」であり、中カテゴリが「攻撃元」及び「対策」等である。

【0030】

なお、システム１００は、いずれのターゲットにも属さない構造化ＤＢ１２１を保持してもよい。

【0031】

収集情報ＤＢ１２２は、システム１００に入力されたサイバーセキュリティ情報を管理するデータベースである。収集情報ＤＢ１２２には、例えば、ＩＤが付与されたサイバーセキュリティ情報が格納される。

【0032】

なお、本実施例のサイバーセキュリティ情報は文字列からなる文書を含むものとする。ただし、サイバーセキュリティ情報には、画像、グラフ等が含まれてもよい。

【0033】

入力部１１０は、サイバーセキュリティ情報、及び、閾値等の処理に使用する情報の入力を受け付ける。入力部１１０は、各種設定情報の入力を受け付けるためのインタフェースを提供する。入力部１１０は、前処理部１１１にサイバーセキュリティ情報を出力し、また、収集情報ＤＢ１２２にＩＤを付与したサイバーセキュリティ情報を格納する。入力部１１０は、閾値等の処理に使用する設定情報を各機能部に出力する。図１では、入力部１１０は、価値あるサイバーセキュリティ情報を選択するための閾値を価値評価部１１７に出力している。

【0034】

前処理部１１１は、サイバーセキュリティ情報に対して前処理を実行する。前処理は、例えば、データの変換、成形、結合、及び正規化等である。

【0035】

鮮度評価部１１２は、サイバーセキュリティ情報の作成日、更新日、及び更新頻度等に基づいて、サイバーセキュリティ情報の鮮度を評価し、鮮度評価値を算出する。信頼性評価部１１３は、サイバーセキュリティ情報の情報源等に基づいて、サイバーセキュリティ情報の情報源の信頼性の高さを評価し、信頼性評価値を算出する。

【0036】

ターゲット判定部１１４は、構造化ＤＢ１２１を用いて、サイバーセキュリティ情報の対象とするターゲットを判定する。充実度評価部１１５は、任意のターゲットにおけるサイバーセキュリティ情報の内容の充実度を評価し、充実度評価値を算出する。

【0037】

総合評価値算出部１１６は、鮮度評価値、信頼性評価値、及び充実度評価値を用いて総合評価値を算出する。価値評価部１１７は、総合評価値を用いて、ターゲット判定部１１４によって判定されたターゲットに対する価値が高いサイバーセキュリティ情報を選択する。

【0038】

出力部１１８は、価値評価部１１７によって選択されたサイバーセキュリティ情報に関する情報を評価情報として出力する。出力部１１８は、評価情報を表示するためのインタフェースを提供する。

【0039】

なお、システム１００が有する各機能部については、複数の機能部を一つの機能部にまとめてもよいし、一つの機能部を機能毎に複数の機能部に分けてもよい。例えば、充実度評価部１１５がターゲット判定部１１４の機能を有してもよいし、価値評価部１１７が総合評価値算出部１１６の機能を有してもよい。

【0040】

次にシステム１００が実行する処理について具体的に説明する。

【0041】

図３は、実施例１のシステム１００が実行する構造化ＤＢ１２１の登録処理の一例を説明するフローチャートである。図４は、実施例１のシステム１００が提示する画面の一例を示す図である。

【0042】

ユーザは、端末等を用いてシステム１００にアクセスし、構造化ＤＢ１２１の登録開始要求を送信する。システム１００の入力部１１０は、当該登録開始要求を受信した場合、図４に示すような画面４００を提示する（ステップＳ１０１）。

【0043】

画面４００は、ターゲット入力欄４０１、ＤＢ入力欄４０２、及び登録ボタン４０３を含む。ターゲット入力欄４０１は、構造化ＤＢ１２１のターゲットを入力する欄である。ＤＢ入力欄４０２は、構造化ＤＢ１２１を入力する欄である。ＤＢ入力欄４０２には、構造化ＤＢ１２１の実態であるファイル、又は構造化ＤＢ１２１のファイルパス及びＵＲＬ等が入力される。登録ボタン４０３は、構造化ＤＢ１２１を登録するための操作ボタンである。ユーザが、ターゲット入力欄４０１及びＤＢ入力欄４０２にデータを入力し、登録ボタン４０３を操作した場合、登録要求がシステム１００に送信される。

【0044】

入力部１１０は、登録要求を受信した場合、ターゲットと対応づけて構造化ＤＢ１２１を登録する（ステップＳ１０２）。

【0045】

図５は、実施例１のシステム１００が実行するサイバーセキュリティ情報評価処理の一例を説明するフローチャートである。図６は、実施例１のシステム１００が提示する画面の一例を示す図である。図７、図８、及び図９は、実施例１のシステム１００がサイバーセキュリティ情報評価処理において使用する情報の一例を示す図である。

【0046】

ユーザは、端末等を用いてシステム１００にアクセスし、サイバーセキュリティ情報の評価開始要求を送信する。システム１００の入力部１１０は、当該評価開始要求を受信した場合、図６に示すような画面６００を提示する（ステップＳ２０１）。

【0047】

画面６００は、サイバーセキュリティ情報入力欄６０１、追加ボタン６０２、及び評価ボタン６０３を含む。サイバーセキュリティ情報入力欄６０１は、評価するサイバーセキュリティ情報を入力する欄である。サイバーセキュリティ情報入力欄６０１には、サイバーセキュリティ情報の実態であるファイル、又はサイバーセキュリティ情報のファイルパス及びＵＲＬ等が入力される。追加ボタン６０２は、サイバーセキュリティ情報入力欄６０１を追加するための操作ボタンである。評価ボタン６０３は、サイバーセキュリティ情報を評価するための操作ボタンである。ユーザが、サイバーセキュリティ情報入力欄６０１にデータを入力し、評価ボタン６０３を操作した場合、評価要求がシステム１００に送信される。

【0048】

入力部１１０は、評価要求を受信した場合、ユーザによって入力されたサイバーセキュリティ情報を収集情報ＤＢ１２２に格納し（ステップＳ２０２）、また、前処理部１１１にサイバーセキュリティ情報を出力する。

【0049】

前処理部１１１は、サイバーセキュリティ情報に対して前処理を実行する（ステップＳ２０３）。本発明は、実行される前処理の内容に限定されない。また、前処理は実行されなくてもよい。

【0050】

次に、サイバーセキュリティ情報のループ処理が開始される（ステップＳ２０４）。具体的には、前処理部１１１は、サイバーセキュリティ情報を一つ選択し、鮮度評価部１１２、信頼性評価部１１３、及びターゲット判定部１１４に出力する。

【0051】

鮮度評価部１１２は、サイバーセキュリティ情報の作成日、更新日、及び更新回数等に基づいて、サイバーセキュリティ情報の鮮度を表す鮮度評価値Ｃ_１を算出し（ステップＳ２０５）、総合評価値算出部１１６に鮮度評価値Ｃ_１を出力する。鮮度の評価方法は公知の技術を用いればよいため詳細な説明は省略する。

【0052】

信頼性評価部１１３は、サイバーセキュリティ情報の情報源に関する情報及び情報源ＤＢ１２０に基づいて、サイバーセキュリティ情報の情報源の信頼性の高さを表す信頼性評価値Ｃ_２を算出し（ステップＳ２０６）、総合評価値算出部１１６に信頼性評価値Ｃ_２を出力する。情報源の信頼性の評価方法は公知の技術を用いればよいため詳細な説明は省略する。

【0053】

ターゲット判定部１１４は、ターゲット判定処理を実行する（ステップＳ２０７）。具体的には、以下のような処理が実行される。

【0054】

（Ｓ２０７－１）ターゲット判定部１１４は、一つのターゲットを選択し、当該ターゲットに対応する構造化ＤＢ１２１を参照する。このとき、ターゲット判定部１１４は、中間情報７００にエントリを登録する。

【0055】

中間情報７００は、情報ＩＤ７０１及び関連度７０２から構成されるエントリを格納する。情報ＩＤ７０１は、サイバーセキュリティ情報のＩＤを格納するフィールドである。関連度７０２は、サイバーセキュリティ情報のターゲットとの関連性を表す関連度を格納するフィールド群である。関連度７０２は、ターゲットの列を一つ以上含む。

【0056】

この時点では、追加されたエントリの関連度７０２は空欄である。

【0057】

（Ｓ２０７－２）ターゲット判定部１１４は、構造化ＤＢ１２１を用いて、サイバーセキュリティ情報に含まれる文書を分析することによって、選択したターゲットに関するトピックを抽出する。ターゲット判定部１１４は、抽出されたトピックの数及び内容等に基づいて、サイバーセキュリティ情報の選択したターゲットとの関連性を表す関連度を算出する。ターゲット判定部１１４は、中間情報７００に追加されたエントリの関連度７０２を参照し、選択したターゲットの列に関連度を格納する。

【0058】

なお、関連度の算出方法は一例であってこれに限定されない。機械学習によって生成されたモデルに文書を入力して関連度を算出する方法でもよい。

【0059】

（Ｓ２０７－３）ターゲット判定部１１４は、すべてのターゲットについて処理が完了したか否かを判定する。すべてのターゲットについて処理が完了していない場合、ターゲット判定部１１４は、Ｓ２０７－１に戻り、同様の処理を実行する。

【0060】

（Ｓ２０７－４）すべてのターゲットについて処理が完了した場合、ターゲット判定部１１４は、中間情報７００を参照して関連度が最も大きいターゲットを選択し、選択したターゲットの識別情報を充実度評価部１１５に出力する。その後、ターゲット判定部１１４はターゲット判定処理を終了する。

【0061】

なお、関連度が大きく、かつ、差異が小さいターゲットが複数存在する場合、ターゲット判定部１１４は、出力部１１８を介して、ユーザにターゲットの選択を問い合わせてもよいし、複数のターゲットを選択してもよい。また、ターゲット判定部１１４は、いずれのターゲットにも属さないことを示す値を充実度評価部１１５に出力してもよい。

【0062】

なお、ユーザが、あらかじめターゲット判定部１１４に判定させるターゲットの種別を指定してもよい。

【0063】

以上がステップＳ２０７の処理の説明である。

【0064】

充実度評価部１１５は、ターゲット判定部１１４によって選択されたターゲットにおけるサイバーセキュリティ情報の内容の充実度を表す充実度評価値Ｃ_３を算出し（ステップＳ２０８）、総合評価値算出部１１６に充実度評価値Ｃ_３を出力する。具体的には、以下のような処理が実行される。

【0065】

（Ｓ２０８－１）充実度評価部１１５は、中間情報８００にエントリを追加する。

【0066】

中間情報８００は、情報ＩＤ８０１、ターゲット８０２、及び項目数８０３から構成されるエントリを格納する。サイバーセキュリティ情報及びターゲットの組み合わせに対して一つのエントリが存在する。情報ＩＤ８０１は、サイバーセキュリティ情報のＩＤを格納するフィールドである。ターゲット８０２は、ターゲットの識別情報を格納するフィールドである。ターゲット８０２には、ターゲットの名称及び識別番号等が格納される。項目数８０３は、サイバーセキュリティ情報におけるターゲットに関連する項目の数を格納するフィールド群である。項目数８０３では、カテゴリごとに項目数が管理される。なお、カテゴリが階層的である場合、中カテゴリ単位又は小カテゴリ単位で項目数が管理される。図８の中間情報８００では、中カテゴリ単位に項目数が管理されている。

【0067】

この時点では、追加されたエントリの項目数８０３は空欄である。

【0068】

なお、複数のカテゴリが入力された場合、充実度評価部１１５は、カテゴリの数と同数のエントリを追加する。

【0069】

（Ｓ２０８－２）充実度評価部１１５は、選択されたターゲットに対応する構造化ＤＢ１２１を用いて、各カテゴリの項目（単語等の文字列）の数をカウントし、中間情報８００のエントリの項目数８０３に格納する。

【0070】

（Ｓ２０８－３）充実度評価部１１５は、各カテゴリの項目の数に基づいて、充実度評価値Ｃ_３を算出する。例えば、式（１）を用いて充実度評価値Ｃ_３が算出される。

【0071】

【数1】

【0072】

ここで、ｉはカテゴリの種別を表す文字である。本実施例では、カテゴリごとに整数が割り当てられているものとする。Ｎ_ｉは、構造化ＤＢ１２１に登録されているカテゴリｉの単語の総数を表し、Ａ_ｉはサイバーセキュリティ情報に含まれるカテゴリｉの単語の数を表し、ｐ_ｉはカテゴリｉの重みを表す。重みｐ_ｉはあらかじめ設定されているものとする。ユーザは重みｐ_ｉを任意の値に設定することができる。重みを調整することによって、着目するカテゴリに関するサイバーセキュリティ情報の内容の充実度を評価することができる。カテゴリが二つの場合、任意のｐを用いて、ｐ_１＝ｐ、ｐ_２＝１－ｐと設定してもよい。

【0073】

なお、複数のターゲットが選択された場合、各ターゲットについて、サイバーセキュリティ情報の内容の充実度が算出される。この場合、充実度評価部１１５は、ターゲットの識別情報とともに、充実度評価値Ｃ_３を出力する。

【0074】

なお、いずれのターゲットにも属さないこと示す値が入力された場合、充実度評価部１１５は、いずれのターゲットに依存しない構造化ＤＢ１２１を用いて充実度評価値Ｃ_３を算出する。

【0075】

以上がステップＳ２０８の処理の説明である。

【0076】

総合評価値算出部１１６は、鮮度評価値Ｃ_１、信頼性評価値Ｃ_２、及び充実度評価値Ｃ_３が入力された場合、総合評価値を算出する（ステップＳ２０９）。具体的には、以下のような処理を実行する。

【0077】

（Ｓ２０９－１）総合評価値算出部１１６は、中間情報９００にエントリを追加する。

【0078】

中間情報９００は、情報ＩＤ９０１、ターゲット９０２、鮮度９０３、信頼性９０４、充実度９０５、及び総合評価９０６から構成されるエントリを格納する。サイバーセキュリティ情報及びターゲットの組み合わせに対して一つのエントリが存在する。情報ＩＤ９０１は、サイバーセキュリティ情報のＩＤを格納するフィールドである。ターゲット９０２は、ターゲットの識別情報を格納するフィールドである。鮮度９０３は、鮮度評価値Ｃ_１を格納するフィールドである。信頼性９０４は、信頼性評価値Ｃ_２を格納するフィールドである。充実度９０５は、充実度評価値Ｃ_３を格納するフィールドである。総合評価９０６は、総合評価値を格納するフィールドである。

【0079】

この時点で、中間情報９００の追加されたエントリの総合評価９０６は空欄である。

【0080】

なお、ターゲットの識別情報と対応付けられた充実度評価値Ｃ_３が複数入力された場合、ターゲットの数と同数のエントリが追加される。

【0081】

（Ｓ２０９－２）総合評価値算出部１１６は、例えば、式（２）を用いて総合評価値を算出し、追加されたエントリの総合評価９０６に総合評価値を格納する。

【0082】

【数2】

【0083】

ここで、ｑは重みを表す。重みｑはあらかじめ設定されているものとする。ユーザは重みｑを任意の値に設定することができる。

【0084】

（Ｓ２０９－３）総合評価値算出部１１６は、前処理部１１１に処理の完了を通知する。

【0085】

以上がステップＳ２０９の処理の説明である。

【0086】

前処理部１１１は、総合評価値算出部１１６から通知を受け付けた場合、ユーザが入力したすべてのサイバーセキュリティ情報について処理が完了したか否かを判定する（ステップＳ２１０）。

【0087】

ユーザが入力したすべてのサイバーセキュリティ情報について処理が完了していない場合、前処理部１１１は、ステップＳ２０４に戻り、同様の処理を実行する。ユーザが入力したすべてのサイバーセキュリティ情報について処理が完了した場合、前処理部１１１は、総合評価値算出部１１６に中間情報９００の出力を指示する。当該指示を受け付けた総合評価値算出部１１６は、価値評価部１１７に中間情報９００を出力する。

【0088】

価値評価部１１７は、中間情報９００が入力された場合、中間情報９００に基づいて、評価情報を生成し（ステップＳ２１１）、出力部１１８に評価情報を出力する。具体的には、以下のような処理が実行される。

【0089】

（Ｓ２１１－１）価値評価部１１７は、ターゲットを一つ選択する。

【0090】

（Ｓ２１１－２）価値評価部１１７は、中間情報９００のターゲット９０２に選択されたターゲットの識別情報が格納されるエントリを検索する。

【0091】

（Ｓ２１１－３）価値評価部１１７は、検索されたエントリの総合評価９０６に格納される総合評価値と閾値とを比較することによって、検索されたエントリに対応するターゲットにおいて、当該エントリに対応するサイバーセキュリティ情報の価値が高いか否かを判定する。例えば、価値評価部１１７は、総合評価値が閾値より大きい場合、ターゲットにおいて、サイバーセキュリティ情報の価値は高いと判定する。価値評価部１１７は、価値が低いサイバーセキュリティ情報のエントリを中間情報９００から削除する。なお、価値評価部１１７は、エントリを削除しなくてもよい。あるターゲットについてサイバーセキュリティ情報の価値が低いことを提示することによって、サイバーセキュリティ情報に含まれるデータの見直し等が可能となる。

【0092】

（Ｓ２１１－４）価値評価部１１７は、すべてのターゲットについて処理が完了したか否かを判定する。

【0093】

すべてのターゲットについて処理が完了していない場合、価値評価部１１７は、Ｓ２１１－１に戻り、同様の処理を実行する。すべてのターゲットについて処理が完了した場合、価値評価部１１７は、中間情報９００を評価情報として生成する。

【0094】

以上がステップＳ２１１の処理の説明である。

【0095】

出力部１１８は、評価情報が入力された場合、ユーザに対して評価情報を提示する（ステップＳ２１２）。

【0096】

なお、ステップＳ２０５と、ステップＳ２０６と、ステップＳ２０７及びステップＳ２０８とは、順番が入れ替わってもよいし、並列に実行されてもよい。

【0097】

ユーザは、評価情報を参照することによって、目的のターゲットについての価値が高いサイバーセキュリティ情報を特定することができる。また、ユーザは、評価情報を参照することによって、各サイバーセキュリティ情報がどのようなターゲットについて価値があるのかを把握することができる。

【0098】

例えば、技術分野をターゲットとした場合、ユーザは、各技術分野に対するサイバーセキュリティ情報の価値を把握し、また、特定の技術分野に対する価値が高いサイバーセキュリティ情報を特定できる。例えば、製品をターゲットとした場合、ユーザは、製品に対するサイバーセキュリティ情報の価値を把握し、特定の製品に対する価値が高いサイバーセキュリティ情報を特定できる。

【0099】

本実施例によれば、評価するターゲットを特定し、当該ターゲットにおけるサイバーセキュリティ情報の内容の充実度を評価することによって、より正確にサイバーセキュリティ情報の価値を把握し、分類することができる。

【0100】

分析するサイバーセキュリティ情報を分類するシステムの場合、特待の分野のサイバーセキュリティ情報を絞り込むことができるため、分析に要する工数を削減することができる。

【0101】

なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。また、例えば、上記した実施例は本発明を分かりやすく説明するために構成を詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、各実施例の構成の一部について、他の構成に追加、削除、置換することが可能である。

【0102】

また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、本発明は、実施例の機能を実現するソフトウェアのプログラムコードによっても実現できる。この場合、プログラムコードを記録した非一時的記憶媒体をコンピュータに提供し、そのコンピュータが備えるプロセッサが非一時的記憶媒体に格納されたプログラムコードを読み出す。この場合、非一時的記憶媒体から読み出されたプログラムコード自体が前述した実施例の機能を実現することになり、そのプログラムコード自体、及びそれを記憶した非一時的記憶媒体は本発明を構成することになる。このようなプログラムコードを供給するための記憶媒体としては、例えば、フレキシブルディスク、ＣＤ－ＲＯＭ、ＤＶＤ－ＲＯＭ、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、光ディスク、光磁気ディスク、ＣＤ－Ｒ、磁気テープ、不揮発性のメモリカード、ＲＯＭなどが用いられる。

【0103】

また、本実施例に記載の機能を実現するプログラムコードは、例えば、アセンブラ、Ｃ／Ｃ＋＋、ｐｅｒｌ、Ｓｈｅｌｌ、ＰＨＰ、Ｐｙｔｈｏｎ、Ｊａｖａ（登録商標）等の広範囲のプログラム又はスクリプト言語で実装できる。

【0104】

さらに、実施例の機能を実現するソフトウェアのプログラムコードを、非一時的記憶装置を備える計算機からネットワークを介して配信することによって、それをコンピュータのハードディスクやメモリ等の記憶手段又はＣＤ－ＲＷ、ＣＤ－Ｒ等の記憶媒体に格納し、コンピュータが備えるプロセッサが当該記憶手段や当該記憶媒体に格納されたプログラムコードを読み出して実行するようにしてもよい。

【0105】

上述の実施例において、制御線や情報線は、説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。全ての構成が相互に接続されていてもよい。

【符号の説明】

【0106】

１００ システム
１１０ 入力部
１１１ 前処理部
１１２ 鮮度評価部
１１３ 信頼性評価部
１１４ ターゲット判定部
１１５ 充実度評価部
１１６ 総合評価値算出部
１１７ 価値評価部
１１８ 出力部
１２０ 情報源ＤＢ
１２１ 構造化ＤＢ
１２２ 収集情報ＤＢ
２００ 計算機
２０１ プロセッサ
２０２ ネットワークインタフェース
２０３ 主記憶装置
２０４ 副記憶装置
４００、６００ 画面
７００、８００、９００ 中間情報

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】