特開 2024-127085 情報処理装置及び情報処理方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024127085

(43)【公開日】2024-09-20

(54)【発明の名称】情報処理装置及び情報処理方法

(51)【国際特許分類】

   G06F 21/57 20130101AFI20240912BHJP

【ＦＩ】

G06F21/57 370

【審査請求】未請求

【請求項の数】7

【出願形態】ＯＬ

(21)【出願番号】P 2023035961

(22)【出願日】2023-03-08

(71)【出願人】

【識別番号】000005108

【氏名又は名称】株式会社日立製作所

(74)【代理人】

【識別番号】110000925

【氏名又は名称】弁理士法人信友国際特許事務所

(72)【発明者】

【氏名】小倉 貴志

(72)【発明者】

【氏名】藤田 淳也

(72)【発明者】

【氏名】亀田 貴之

(57)【要約】

【課題】対象システム又は構成要素に関連がある脅威事象が報告や観測された際に迅速な対応／対策を可能にする。
【解決手段】対象システム３００を構成する要素の中から脅威事象に関連する要素を基点に、各要素間において一方の要素から他方の要素に対する信頼のレベルと、各要素間において一方の要素から他方の要素に対する方向を示す信頼の方向とを用いて、要素の中から予め設定した信頼のレベルの条件を満たす要素を、脅威事象の影響範囲を特定するための確認作業を実施する要素として抽出して確認要素に決定する確認要素決定部１０２と、確認要素について、少なくとも各要素間の信頼のレベルと信頼の方向に基づいて、確認作業を実施する順番を決定する確認順序決定部１０３と、を備える。
【選択図】図１

【特許請求の範囲】

【請求項1】

対象システムを構成する要素の中から脅威事象に関連する要素を基点に、各要素間において一方の要素から他方の要素に対する信頼のレベルと、各要素間において前記一方の要素から前記他方の要素に対する方向を示す信頼の方向とを用いて、前記要素の中から予め設定した前記信頼のレベルの条件を満たす要素を、前記脅威事象の影響範囲を特定するための確認作業を実施する要素として抽出して確認要素に決定する確認要素決定部と、
前記確認要素について、少なくとも各要素間の前記信頼のレベルと前記信頼の方向に基づいて、前記確認作業を実施する順番を決定する確認順序決定部と、を備える
情報処理装置。

【請求項2】

前記確認順序決定部は、前記基点の要素から前記確認要素までの通信路上の距離と、前記信頼のレベルとに基づいて、前記確認要素の確認作業を実施する順番を決定する
請求項１に記載の情報処理装置。

【請求項3】

前記確認要素決定部は、前記要素の中から抽出した前記信頼のレベルの条件を満たす要素を起点にして、前記信頼のレベルの条件を満たす要素を抽出する
請求項２に記載の情報処理装置。

【請求項4】

前記脅威事象と前記要素との関係に基づいて、前記対象システムを構成する要素の中から前記脅威事象に関連する要素を選択して基点に決定する基点決定部、を備える
請求項１に記載の情報処理装置。

【請求項5】

前記信頼のレベル及び前記信頼の方向に対して１以上の評価項目の属性が付与され、
前記脅威事象と、前記信頼のレベル及び前記信頼の方向に対して付与された評価項目との関連に基づいて、前記信頼のレベルを更新する更新部、を備える
請求項１に記載の情報処理装置。

【請求項6】

前記確認要素決定部は、さらに前記信頼のレベルの条件に関係なく、指定された業務内容に関連した要素を前記確認要素に決定し、
前記確認順序決定部は、すべての前記確認要素のうち前記業務内容に関連した要素を最優先の順番に決定する
請求項１に記載の情報処理装置。

【請求項7】

情報処理装置による情報処理方法であって、
対象システムを構成する要素の中から脅威事象に関連する要素を基点に、各要素間において一方の要素から他方の要素に対する信頼のレベルと、各要素間において前記一方の要素から前記他方の要素に対する方向を示す信頼の方向とを用いて、前記要素の中から予め設定した前記信頼のレベルの条件を満たす要素を、前記脅威事象の影響範囲を特定するための確認作業を実施する要素として抽出して確認要素に決定する処理と、
前記確認要素について、少なくとも各要素間の前記信頼のレベルと前記信頼の方向に基づいて、前記確認作業を実施する順番を決定する処理と、を含む
情報処理方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、産業制御システム等のシステムに適用して好適な情報処理装置及び情報処理方法に関する。

【背景技術】

【0002】

ＤＸ（Digital Transformation）に伴い、多様かつ多数の要素（装置、ＯＳ（Operating System）、ソフトウェア、サブシステム、クラウドなど）が複雑に絡み合い産業制御システム等のシステムが構成されるようになる。システムに対する脅威事象（攻撃の予兆や痕跡など）が観測／報告された場合には、迅速に対応することが求められる。

【0003】

特許文献１には、システムの要件情報及び影響情報を用いて、要件情報に示される該システム要件の充足度に基づき１以上のセキュリティ対策技術を順位付けすることが記載されている。影響情報は、１以上のセキュリティ対策技術を示す情報と、その１以上のセキュリティ対策技術に含まれるそれぞれのセキュリティ対策技術をシステムに導入した際に該システムに与える影響を示す情報と、の対応関係を示す情報である。

【先行技術文献】

【特許文献】

【0004】

【特許文献1】特開２０２１－１４４２６８号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

ところで、ＤＸに伴う産業制御システム等のシステムに関連する要素の多様化と関係性の複雑化により、脅威事象の影響が及んだ範囲、又は将来的にその影響が及ぶと考えられる範囲の特定に時間（工数）がかかる。様々な要素が複雑に絡み合うシステムにおいて、観測／報告された脅威事象に迅速に対応し該システムをセキュアに運用したいという要望がある。

【0006】

本発明は、上記の状況に鑑みてなされたものであり、本発明は、対象システム又は構成要素に関連がある脅威事象が報告又は観測された際に、迅速な対応／対策を可能にする手法を提供することを目的とする。

【課題を解決するための手段】

【0007】

上記課題を解決するために、本発明の一態様の情報処理装置は、対象システムを構成する要素の中から脅威事象に関連する要素を基点に、各要素間において一方の要素から他方の要素に対する信頼のレベルと、各要素間において一方の要素から他方の要素に対する方向を示す信頼の方向とを用いて、要素の中から予め設定した信頼のレベルの条件を満たす要素を、脅威事象の影響範囲を特定するための確認作業を実施する要素として抽出して確認要素に決定する確認要素決定部と、確認要素について、少なくとも各要素間の信頼のレベルと信頼の方向に基づいて、確認作業を実施する順番を決定する確認順序決定部と、を備える。

【発明の効果】

【0008】

本発明の少なくとも一態様によれば、効率的に脅威事象の影響範囲（要素）を絞り込むことができるため、脅威事象への迅速な対応が可能となる。
上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。

【図面の簡単な説明】

【0009】

【図1】本発明の第１の実施形態に係るトラステッドシステムの機能構成の例を示すブロック図である。

【図2】本発明の第１の実施形態に係るトラステッドシステムのハードウェア構成の例を示す図である。

【図3】産業制御システムの例を示す図である。

【図4】本発明の第１の実施形態に係る信頼の方向とレベルの例を示す図である。

【図5】本発明の第１の実施形態に係る脅威情報テーブルの例を示す図である。

【図6】本発明の第１の実施形態に係る確認要素決定部による確認要素決定処理の手順例を示すフローチャートである。

【図7】本発明の第１の実施形態に係る確認順序決定部による確認順序決定処理の手順例を示すフローチャートである。

【図8】本発明の第１の実施形態において産業制御システムの脅威事象に影響する要素を特定するための確認作業の順序の例を示す図である。

【図9】本発明の第２の実施形態に係るトラステッドシステムの機能構成の例を示すブロック図である。

【図10】本発明の第２の実施形態に係る信頼の方向とレベルと属性の例を示す図である。

【図11】図１０において脆弱性が信頼性に関連する場合の例を示す図である。

【図12】本発明の第３の実施形態に係るトラステッドシステムの機能構成の例を示すブロック図である

【図13】本発明の第３の実施形態に係る業務情報の例を示す図である。

【図14】本発明の第３の実施形態に係る確認要素決定部による確認要素決定処理の手順例を示すフローチャートである。

【図15】本発明の第３の実施形態に係る確認順序決定部による確認順序決定処理の手順例を示すフローチャートである。

【図16】本発明の第３の実施形態において産業制御システムの脅威事象に影響する要素を特定するための確認作業の順序の例を示す図である。

【発明を実施するための形態】

【0010】

以下、本発明を実施するための形態（以下、「実施形態」と称する）の例について、添付図面を参照して説明する。本明細書及び添付図面において、同一の構成要素又は実質的に同一の機能を有する構成要素には同一の符号を付して重複する説明を省略する。

【0011】

＜第１の実施形態＞
［トラステッドシステムの構成］
まず、本発明の第１の実施形態に係るトラステッドシステムの構成について、図１を用いて説明する。
図１は、第１の実施形態に係るトラステッドシステムの機能構成の例を示すブロック図である。トラステッドシステム１００は、対象システム（例えば、後述する図３の産業制御システム３００）を構成する要素に関連した脅威事象の影響が及ぶ範囲を特定するシステムである。トラステッドシステム１００は、情報処理装置の一例である。トラステッドシステム１００は少なくとも対象システムに対して一つ接続され、対象システムで観測／報告された脅威事象の情報がトラステッドシステム１００に入力される。

【0012】

対象システム情報入力部１１０は、対象システムに関する情報（以下「対象システム情報」）を、トラステッドシステム１００に入力する。対象システム情報（システム構成と要素）は、対象システム情報記憶部１０４に格納される。対象システム情報入力部１１０は、例えば、ＰＣ等の通信端末の入力装置、又は外部装置と通信を行う通信デバイスを用いて構成することができる。

【0013】

対象システム情報には、対象システムを構成する要素（装置、ＯＳ、ソフトウェア、サブシステム、クラウドなど）の情報と、システム構成の情報が含まれる。システム構成の情報は、複数の要素の接続形態を示す情報である。この接続形態は、物理的な接続関係（物理ネットワーク）と論理的な接続関係（論理ネットワーク）に分けられる。大まかにいえば、物理的な接続関係とは、要素としてネットワークスイッチを反映した接続関係であり、論理的な接続関係とは、要素としてネットワークスイッチを省いた接続関係である。

【0014】

トラスト情報入力部１２０は、対象システムの複数の要素間での信頼に関する情報（以下「トラスト情報」）を、トラステッドシステム１００に入力する。トラスト情報には、信頼の方向（トラスト方向）の情報と、信頼のレベル（トラストレベル）の情報が含まれる。トラスト情報は、対象システム情報記憶部１０４に格納される。トラスト情報入力部１２０は、例えば、ＰＣ等の通信端末の入力装置、又は外部装置と通信を行う通信デバイスを用いて構成することができる。トラスト情報（トラスト方向、トラストレベル）については、後述の図４を参照して詳述する。

【0015】

トラスト方向とは、対象システムを構成する一の要素を起点として、この一の要素と接続する他の要素をみた場合の方向である。例えば、機器Ａから機器Ｂを見た場合、トラスト方向は“機器Ａから機器Ｂへ向かう方向”となる。

【0016】

トラストレベルとは、ある機器や対象システムから見て対象の信頼の高さを表す情報である。トラストレベルは、要素自体又は要素の管理の状態についての情報を用いて判断される。本実施形態では、トラストレベルを定性的又は／及び定量的に評価する。

【0017】

トラストレベルは、「真正性」、「信頼性」、「保護性」の１つ、又は複数の評価項目を総合的にみて判断することができる。例えば、トラストレベルを設定する方法として、各評価項目の評価内容を点数化してそれらの合計ポイントに基づいてトラストレベルを設定（定量的評価）する方法が考えられる。また、他の方法として、各評価項目の点数のうち最高点及び／又は最低点を選択して、その最高点及び／又は最低点に基づいてトラストレベルを設定する方法でもよい。さらに、これらの評価項目及びその点数を表示装置に出力し、人間が各評価項目の点数を確認してトラストレベルを設定してもよい。これは、定性的評価の一種と言える。

【0018】

真正性は、対象の要素が、それが何であるかの記述や主張どおり本物であること、また、本物であることを確実にしたり証明したりできる性質を示す項目である。また、真正性は、要素が出力するデータの場合、作成者や送信者（又はデータを出力する要素）に偽りや誤りがなく、作成や送信が行われて以降、システムの誤作動や何者かの悪意ある操作などで内容が消去、改ざん、すり替えなどされていない状態を指す。

【0019】

真正性を担保する仕組みとしては、例えば、電子署名による作成者や送信者の検証、ハッシュ値やメッセージ認証などによる改ざん検知、暗号化による盗み取りや改ざんの防止などの技術がある。この真正性については、産業制御システムで用いられている製品の製造番号、ＩＰアドレス、又は通信機能を備えた装置のＭＡＣアドレスなどで確認する方法もある。

【0020】

信頼性とは、一定の条件下で安定して期待された役割を果たすことができる能力（故障など能力の発揮を妨げる事象（意図しない変な動き）の起こりにくさ、故障や破損のしにくさ）を示す項目である。信頼性は、システムの脆弱性に対する対策状況を示す情報と言える。

【0021】

信頼性の評価方法として、ＩＳＯ（International Organization for Standardization）などの国際期間が定めた規格を利用する方法がある。例えば、情報セキュリティに関する管理の仕組みであるＩＳＯ２７０００シリーズの認証を受けたメーカーが作る製品は、一定の信頼性があると評価できる。

【0022】

保護性は、システム運用の妨害（破壊）や情報の搾取や改ざんなどの脅威からの保護、又はそのために講じる措置や対策の強さを示す項目である。例えば、コンピュータやソフトウェア、データ、通信路などを暗号化ソフトウェアや防御ソフトウェア、アクセス制御機構などを用いて技術的に保護し、機密情報の漏洩や通信の盗聴、データの改ざんや消去、コンピュータへの攻撃や侵入などの危険を排除する。さらに、システムの保護には、物理的対策（防塵、防火、防水等）、盗難対策がある。

【0023】

トラストレベルの判断には、主に以下の３パターンが考えられる。
（Ａ）ある範囲で統一的な尺度で判断する（範囲の例：組織などの絶対的な範囲（会社、工場、支社、製造部門など）、図３のゲートウェイ３０が関わる範囲）
（Ｂ）起点要素との対比で決める（相対的判断）
（Ｃ）起点要素からの要求によって決める（絶対的判断）

【0024】

相対的判断では、起点要素からみた相手側要素の状況も加味してトラストレベルが設定される。例えば、相手側要素のセキュリティ対策が起点要素よりも充実している場合はトラストレベルが高くなり、その逆の場合にはトラストレベルが低くなる。

【0025】

絶対的判断では、起点要素ごとにトラストレベル設定のための絶対的基準を持ち、相手側要素の状況に関わらず絶対的基準を満たすかどうかでトラストレベルが設定される。例えば、相手側要素のセキュリティ対策がある基準を満たす場合にはトラストレベル“２”、基準を満たさない場合にはトラストレベル“１”のように設定される。

【0026】

トラストレベルの判断に資する情報とトラストレベルの一例を以下に示す。ここでは、トラストレベルの判断に資する情報は、主にシステムを構成する要素自体又は要素の管理の状態についての情報である。カッコ内の数値が大きくなるほどトラストレベルが高い。
（１）対策なし
（２）システムリソース管理（≒システム内部の構成情報の把握、構成情報にはソフトウェア的な情報（ファームウェア等）も含む）
（３）定期点検（人手又は自動で点検）
（４）自動セキュリティパッチ適用（自動対策していることを意味し、点検の結果必要ならばパッチを適用）

【0027】

トラスト方向とトラストレベルは、人が入力、又は自動で決定することができる。例えば、システム管理の経験者やシステムの責任者が、開発工程／製造工程の情報などを手入力する。また、ロジックが定まっていれば、自動でトラスト方向とトラストレベルを決定することも可能である。例えば、情報を以下の手段で集めて自動で判定し、判定結果を入力する仕組みも考えられる。この場合、収集した情報を上述した３つの項目に分類し、各項目に分類した情報を判定してトラスト方向とトラストレベルを決定する。収集する情報には、例えば外部情報、撮影情報、内部情報などがある。なお、情報を収集する方法については、周知慣用の技術を用いることができる。

【0028】

外部情報は、インターネットなどのネットワークを通じて外部からトラステッドシステム１００が取得できる情報である。例えば、クラウド３０１（図３参照）から取得できる情報や、産業制御システム３００（図３参照）内のＬＡＮなどを通じて取得できる情報である。これらの情報としては、例えば、対象の性能や機能、仕様、諸元などをまとめたスペック表、ＢＯＭ情報（部品表又は部品構成表）、脆弱性情報などがある。

【0029】

撮影情報は、システムを構成する機器（ネットワーク機器や現場機器）などの外観から得られる情報である。撮影情報には、カメラで機器の外観を撮影した画像の他に、バーコード読み取り情報なども含まれる。これらの情報には、機器の製造番号や外観状態の情報が含まれる。

【0030】

内部情報は、システムを構成する機器から収集できる機器内部の情報である。ネットワーク機器や現場機器の内部情報として、例えば、ＯＳの種類とバージョン、セキュリティに関する設定情報などがある。システムで利用しているセキュリティ対策ソフトウェアを用いて、セキュリティに関する設定情報を取得できる。

【0031】

脅威事象入力部１３０は、対象システムについて観測／報告された脅威事象の情報を、トラステッドシステム１００に入力する。対象システムに対する脅威事象は、例えば、対象システムに適用されたファイアウォール、ＩＤＳ（Intrusion Detection System）、ＩＰＳ（Intrusion Prevention System）、セキュリティ対策ソフトウェア等の脅威検出手段を用いて検出することができる。また、脅威検出手段としてＡＩ（Artificial Intelligence）を用いて対象システム内の各要素の挙動や通信データ等を解析することで、対象システムに対する脅威事象を検出することができる。脅威検出手段で検出された脅威事象の情報は、脅威事象入力部１３０によりトラステッドシステム１００に自動的に入力されてもよいし、管理端末等を通じて人手により入力されてもよい。脅威事象入力部１３０は、一例として、端末装置等が備える入出力インタフェース、又は、端末装置等が備える入力装置（キーボード等）である。

【0032】

図１に示すトラステッドシステム１００は、基点決定部１０１、確認要素決定部１０２、確認順序決定部１０３、対象システム情報記憶部１０４、及び脅威情報テーブル５００を備える。

【0033】

対象システム情報記憶部１０４は、対象システム情報入力部１１０から入力される対象システム情報（システム構成、要素）と、トラスト情報入力部１２０から入力されるトラスト情報（トラスト方向、トラストレベル）を格納する。また、対象システム情報記憶部１０４は、基点決定部１０１へ対象システム情報のシステム構成を出力する。さらに、対象システム情報記憶部１０４は、確認要素決定部１０２へ対象システム情報のシステム構成及び要素と、トラスト情報を出力する。

【0034】

脅威情報テーブル５００は、脅威情報と、該脅威情報に対して観測すべき要素又は関連が疑われる要素と、が対応づけられているテーブル（後述する図５参照）である。脅威情報テーブル５００については、後述の図５を参照して詳述する。

【0035】

基点決定部１０１は、脅威事象入力部１３０から入力された脅威事象の情報（「脅威情報」とも称する）と、脅威情報テーブル５００と、対象システム情報記憶部１０４に格納された対象システム情報（システム構成）とに基づいて、対象システム内の脅威事象に関連する要素を特定する。そして、特定した要素を、脅威事象の影響範囲を特定するための確認作業を実施する際の基点に決定する。例えば、脅威事象が、サーバに実装されたＯＳの脆弱性をついたものである場合、当該サーバが異常な動作をしてシステムに影響が及ぶので、基点はこのサーバとなる。なお、脅威事象によっては、基点が２つ以上になることもある。例えば、対象システム内で変な動きをする要素が２つある場合、基点は２つとなる。

【0036】

確認要素決定部１０２は、基点に決定された要素（以下「基点要素」）を基点にして、対象システム情報記憶部１０４に格納された対象システム情報（システム構成と要素）と、トラスト情報（トラスト方向、トラストレベル）とに基づいて、影響範囲の特定のための確認作業を実施する要素を決定（取捨選択）する。確認要素決定部１０２は、基点要素からみたトラストレベルが予め設定したトラストレベルよりも低い要素（以下「抽出要素」）を抽出する。続いて、確認要素決定部１０２は、抽出要素からみたトラストレベルが設定レベルよりも低い要素を抽出し、確認すべき要素（以下「確認要素」）として決定する。そして、確認要素決定部１０２は決定した１以上の確認要素（確認要素群）を、確認順序決定部１０３へ出力する。

【0037】

確認順序決定部１０３は、確認要素決定部１０２で決定された１以上の要素（確認要素群）について、確認作業を実施する順序（確認順序）を決定する。確認順序は、影響範囲の特定のための確認作業を実施する要素の優先順位であり、例えば、基点要素からの距離とトラストレベルに基づいて決定される。なお、条件が同じ要素については、一例として五十音順でもよい。

【0038】

確認要素／順序出力部１４０は、確認順序決定部１０３から出力された確認要素と順序の情報を、外部へ出力する。確認要素と順序の情報は、端末装置２６－１，２６－２（図２）へ出力される。図１では、確認要素／順序出力部１４０はトラステッドシステム１００の外部にあるが、確認要素／順序出力部１４０はトラステッドシステム１００に内蔵されていてもよい。

【0039】

［トラステッドシステムのハードウェア構成］
次に、トラステッドシステム１００のハードウェア構成について、図２を参照して説明する。
図２は、トラステッドシステム１００のハードウェア構成の例を示す図である。トラステッドシステム１００は、情報処理装置２０と、記憶装置２４を備える。ここでは、情報処理装置２０と記憶装置２４を別々に設置する例を挙げたが、情報処理装置２０が記憶装置２４を内蔵する構成であってもよい。

【0040】

情報処理装置２０は、バスにそれぞれ接続された処理部２１と、メモリ２２と、入出力インタフェース（図中「Ｉ／Ｆ」）２３を備える。処理部２１、メモリ２２及び入出力Ｉ／Ｆ２３は、いわゆるコンピュータとして用いられるハードウェアである。

【0041】

処理部２１は、メモリ２２に格納されたコンピュータプログラムを実行することで、本実施形態に係る各機能（基点決定部１０１、確認要素決定部１０２、確認順序決定部１０３）を実現する。処理部２１には、ＣＰＵ（Central Processing Unit）を用いることを想定するが、ＣＰＵの代わりにＭＰＵ（Micro-Processing Unit）等のプロセッサを用いてもよい。

【0042】

メモリ２２は、一例としてＲＯＭ及びＲＡＭにより構成される。ＲＡＭには、処理部２１によってＲＯＭから読み出されたコンピュータプログラムや処理部２１による演算処理の途中に発生した変数やパラメータ等が一時的に書き込まれる。

【0043】

記憶装置２４には、不揮発性ストレージが用いられる。不揮発性ストレージとしては、例えば、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、ＮＶＲＡＭ（Non-Volatile Random Access Memory）、フレキシブルディスク、光ディスク、光磁気ディスク、ＣＤ－ＲＯＭ、ＣＤ－Ｒ、不揮発性のメモリカード等を用いることができる。この記憶装置２４には、ＯＳ、各種のパラメータの他に、情報処理装置２０のコンピュータを機能させるためのプログラム等が記録される。

【0044】

トラステッドシステム１００（図１）の対象システム情報記憶部１０４及び脅威情報テーブル５００の機能は、記憶装置２４によって実現される。

【0045】

入出力Ｉ／Ｆ２３は、情報処理装置２０と他の装置との間で行われるデータの入力及び出力の制御を行うデバイスにより構成される。本実施形態では、他の装置として、記憶装置２４、端末装置２６－１，２６－２などが挙げられる。なお、対象システム情報入力部１１０、トラスト情報入力部１２０、確認要素／順序出力部１４０を、及び後述する図１２の業務情報入力部１２１０を、入出力Ｉ／Ｆ２３を用いて構成してもよい。

【0046】

端末装置２６－１は、専用回線のような閉回路網を利用して情報処理装置２０と通信を行う。端末装置２６－１は、オンプレミス型のシステムで利用される。エンジニアや管理者等が端末装置２６－１に接続されたキーボード等の入力装置を操作することで、対象システム情報やトラスト情報が入力され、これらの情報がトラステッドシステム１００の情報処理装置２０に送信される。

【0047】

端末装置２６－２は、ネットワーク２５を介して情報処理装置２０と通信を行う。端末装置２６－１と同様に、エンジニアや管理者等が端末装置２６－２に接続されたキーボード等の入力装置を操作することで、対象システム情報やトラスト情報が入力され、これらの情報がトラステッドシステム１００の情報処理装置２０に送信される。

【0048】

ネットワーク２５は、例えば、Ｗｉ－Ｆｉ（登録商標）のような無線ネットワーク、又は、イーサネット（登録商標）のような複数のトポロジを提供する有線ＬＡＮ（Local Area Network）である。

【0049】

インターネット２７は、公衆回線網の一例である。トラステッドシステム１００の情報処理装置２０は、インターネット２７を介して、後述の図３に示すクラウド３０１や外部工場３０２内の通信装置と通信を行う。公衆回線網は、回線事業者により提供される無線通信インフラ（無線ネットワーク）であってもよい。

【0050】

なお、端末装置２６－１，２６－２も、処理部２１（プロセッサ）、メモリ２２、入出力Ｉ／Ｆ２３、及び記憶装置２４（不揮発性ストレージ）を備え、処理部２１がメモリ２２に格納されたコンピュータプログラムを実行することで、端末装置としての機能を実現する。端末装置２６－１,２６－２は、対象システムの状態等の情報を表示する表示装置（図示略）と、システム管理者等による入力内容に応じた入力信号を生成する入力装置（図示略）と、を備える。

【0051】

［対象システムの例］
次に、本実施形態における対象システムの例について、図３を参照して説明する。
図３は、対象システムとしての産業制御システムの例を示す図である。図３に示す産業制御システム３００は、ゲートウェイ３０、制御装置３１、サーバ３２、サブシステム３３、ロボット３４、及びＰＣ３５を備える。

【0052】

ゲートウェイ３０は、組織内（ここでは、産業制御システム３００内）のコンピュータネットワークと、組織外の通信装置との間で行われる通信の制御を行う装置である。

【0053】

制御装置３１は、産業制御システム３００が備えるロボット３４に制御信号を出力して、ロボット３４の動作を制御する装置である。

【0054】

サーバ３２は、制御装置３１とサブシステム３３で生成されるデータを収集、集約する装置である。また、サーバ３２は、ＰＣ３５と通信を行う。

【0055】

サブシステム３３は、ロボット３３ａとコントローラ３３ｂをまとめて制御、管理するために、産業制御システム３００内に構築されたサブシステムである。

【0056】

ロボット３４は、制御装置３１から入力される制御信号に基づいて作業を実施するロボットであり、部品や製品のピッキング、組立などを行う。

【0057】

ＰＣ３５は、サーバ３２が収集したデータを処理、監視する端末装置である。ＰＣ３５は、図２に示した端末装置２６－１，２６－２と同様のハードウェア構成を備える。すなわち、ＰＣ３５は、処理部２１（プロセッサ）、メモリ２２、入出力Ｉ／Ｆ２３、記憶装置２４（不揮発性ストレージ）、表示装置、及び入力装置により構成することができる。

【0058】

このＰＣ３５には、ＯＳ３６及びＰＣアプリケーション（図には“ａｐｐ”と表記）３７がインストールされている。ＰＣ３５は、サブシステム３３のコントローラ３３ｂと接続されており、コントローラ３３ｂに指令を出すことができる。ＰＣ３５がサブシステム３３をリアルタイムで監視、制御することを可能にするため、ＯＳ３６はリアルタイム処理に適したＯＳであることが望ましい。

【0059】

クラウド３０１は、産業制御システム３００の情報を管理、管理し、例えばＡＩなどを用いて対象システム（産業制御システム３００等）の稼働状態を最適化する処理を行う。一例として、クラウド３０１は、インターネット２７に接続されたＡＩを備える監視サーバによって構成することができる。

【0060】

外部工場３０２は、産業制御システム３００で生産される製品とは異なる製品を製造する工場である。外部工場３０２では、独自のコンピュータネットワークが構築されている。

【0061】

トラステッドシステム１００は、ゲートウェイ３０及びネットワークを介して、産業制御システム３００と通信可能に接続されている。また、トラステッドシステム１００は、観測／報告された脅威事象、対象システム情報、及びトラスト情報に基づいて、産業制御システム３００を構成する要素に関連した脅威事象の影響範囲を特定する処理を行う。

【0062】

なお、上述した実施形態では、トラステッドシステム１００は、ネットワーク２５又はインターネット２７を介して、産業制御システム３００のゲートウェイ３０と通信を行うものとするが、この例に限られない。トラステッドシステム１００が、クラウド３０１を介して、産業制御システム３００のゲートウェイ３０と通信を行う構成としてもよい。

【0063】

［トラスト方向とトラストレベル］
次に、トラスト情報に含まれるトラスト方向とトラストレベルについて、図４を参照して説明する。
図４は、トラスト方向とトラストレベルの例を示す図である。図４に示すように、トラスト情報４００は、Ｆｒｏｍフィールド４１０と、Ｔｏフィールド４２０と、レベルフィールド４３０を有する。

【0064】

Ｆｒｏｍフィールド４１０には、トラスト方向の起点要素を示す情報が格納される。
Ｔｏフィールド４２０には、起点要素からみた、起点要素と接続する他の要素（終点要素）を示す情報が格納される。
レベルフィールド４３０には、Ｆｒｏｍフィールド４１０とＴｏフィールド４２０の各情報により特定される要素間（トラスト方向）における、トラストレベルを示す情報が格納される。

【0065】

図４の例では、トラスト方向として“ゲートウェイ３０からクラウド３０１に向かう方向”では、トラストレベルは“０”に設定されている。同様に、“ゲートウェイ３０から外部工場３０２に向かう方向”のトラストレベルは“１”である。“ゲートウェイ３０からサーバ３２に向かう方向”のトラストレベルは“２”である。“制御装置３１からロボット３４に向かう方向”のトラストレベルは“３”である。起点の要素が同じであっても相手の要素（終点要素）が変わると、トラストレベルが異なるものとなる。

【0066】

［脅威情報テーブル］
次に、脅威情報テーブルについて、図５を参照して説明する。
図５は、脅威情報テーブルに含まれる脅威情報と観測・関連要素の例を示す図である。図５に示すように、脅威情報テーブル５００は、脅威情報フィールド５１０、観測・関連要素フィールド５２０を有する。この脅威情報テーブル５００は、予めエンジニア又は管理者等が対象システムごとに作成して、記憶装置２４に格納しておく。なお、テーブルではなく、データベースの形態で脅威情報テーブル５００と同様の情報を記憶装置２４に格納しておいてもよい。

【0067】

脅威情報フィールド５１０には、予め想定される脅威事象を示す情報（以下「脅威情報」と称す）が格納される。
観測・関連要素フィールド５２０には、上記脅威情報に対して観測すべき要素又は関連が疑われる要素を示す情報が格納される。

【0068】

例えば、図５の例では、“通常業務から外れた操作”という脅威情報に対して、観測・関連要素として“サーバ”が登録されている。同様に、脅威情報“不審なログインの痕跡”に対する観測・関連要素は“ゲートウェイ”である。また、脅威情報“関連業界での脆弱性をついた攻撃事例”に対する観測・関連要素は“制御装置”である。産業制御システム３００のように、ロボット３４やサブシステム３３を要素に含むシステムの場合、関連業界は例えば産業ロボット業界である。

【0069】

基点決定部１０１は、脅威情報テーブル５００に定義されているような脅威事象と要素との関係に基づいて、対象システムを構成する要素の中から脅威事象に関連する要素を選択して基点に決定する。すなわち、基点決定部１０１は、対象システムのシステム構成と、脅威事象入力部１３０から入力された脅威情報（観測／検出された脅威事象）を基に、脅威情報テーブル５００から観測・関連要素を検索する。そして、検索した観測・関連要素とシステム構成に基づいて、脅威事象の影響範囲を特定するための確認作業の基点とする要素（例えば、後述する図８のサーバ３２）を決定し、その要素を基点要素として確認要素決定部１０２へ通知する。

【0070】

［確認要素決定処理］
次に、本実施形態に係る確認要素決定部１０２による確認要素決定処理について、図６を参照して説明する。
図６は、確認要素決定部１０２による確認要素決定処理の手順例を示すフローチャートである。

【0071】

まず、確認要素決定部１０２は、脅威情報から確認作業の対象とするトラストレベルの上限を設定する（Ｓ６０１）。この確認作業におけるトラストレベルの上限は、脅威情報の深刻さに基づいて決定することが望ましい。例えば、業務継続が困難になるような脅威の場合には、上限のトラストレベルを上げて確認作業を行う。

【0072】

次に、確認要素決定部１０２は、基点決定部１０１で決定された基点要素（例えば、図８のサーバ３２）からみたトラストレベルが、設定した上限よりも低いレベルの要素を抽出する（Ｓ６０２）。上限のトラストレベルが“３”であれば、確認要素決定部１０２は、トラストレベルが“０”～“２”の要素を抽出する。図８の例では、制御装置３１、サブシステム３３、及びＰＣ３５が抽出される要素に該当する。

【0073】

次に、確認要素決定部１０２は、この抽出した要素からみたトラストレベルが設定した上限よりも低いトラストレベルの要素を抽出する（Ｓ６０３）。このように、確認要素決定部１０２は、要素の中から抽出した信頼のレベル（トラストレベル）の条件を満たす要素を起点にして、信頼のレベルの条件を満たす要素を抽出する。つまり、確認要素決定部１０２は、ステップＳ６０２で抽出した要素をトラスト方向の起点として、上限よりも低いトラストレベルの要素を抽出する。そして、確認要素決定部１０２は、ステップＳ６０２で抽出したすべての要素を起点として上記条件を満たす要素の抽出可否を確認する。

【0074】

次に、確認要素決定部１０２は、ステップＳ６０２及びステップ６０３で抽出したすべての要素について該要素を基点として上記条件を満たす要素の抽出可否を確認したかどうかを判定する（Ｓ６０４）。ここで、抽出したすべての要素を基点として上記条件を満たす要素の抽出可否を確認していない場合は（Ｓ６０４のＮＯ判定）、確認要素決定部１０２は、ステップＳ６０３に戻って、上記条件を満たす要素の抽出可否を確認する。すなわち、確認要素決定部１０２は、上限よりも低いトラストレベルの要素がなくなるまで、ステップＳ６０３における上記条件を満たす要素の抽出処理を行う。

【0075】

ステップＳ６０４において、抽出したすべての要素を基点として上記条件を満たす要素の抽出可否を確認した場合には（Ｓ６０４のＹＥＳ判定）、確認要素決定部１０２は、ステップＳ６０２及びＳ６０３で抽出された要素を確認要素とするデータを生成し、メモリ２２に記憶する（Ｓ６０５）。ステップＳ６０５の処理が終了後、確認要素決定処理を終了する。

【0076】

［確認順序決定処理］
次に、本実施形態に係る確認順序決定部１０３による確認順序決定処理について、図７を参照して説明する。
図７は、確認順序決定部１０３による確認順序決定処理の手順例を示すフローチャートである。

【0077】

まず、確認順序決定部１０３は、図６のステップＳ６０５において確認要素決定部１０２で生成した確認要素のデータを読み込む（Ｓ７０１）。

【0078】

次に、確認順序決定部１０３は、基点要素から確認要素までの距離とトラストレベルとに基づいて確認要素を並べ替える（Ｓ７０２）。並べ替えの一例としては、第１にトラストレベルが低い確認要素、第２に距離が近い確認要素をより上位に位置づけるといったルールが考えられる。

【0079】

距離は、一の要素と他の要素との間にあるリンク（通信路）の数である。第三の要素が介在することなく一の要素と他の要素が通信路によって直接接続されている場合、リンク数は最小単位の“１”である。図８の例で説明すると、サーバ３２と制御装置１との間のリンク数は“１”であり、サーバ３２とロボット３４との間のリンク数は“２”である。よって、サーバ３２から制御装置３１までの距離は、サーバ３２からロボット３４までの距離よりも近いということになる。

【0080】

次に、確認順序決定部１０３は、確認要素と順序の情報を含むデータを生成してメモリ２２に記憶する（Ｓ７０３）。ステップＳ７０３の処理が終了後、確認順序決定処理を終了する。

【0081】

そして、確認順序決定部１０３は、確認要素と順序の情報を含むデータを確認要素／順序出力部１４０へ送る。確認要素／順序出力部１４０は、確認要素と順序の情報を含むデータを、端末装置２６－１，２６－２等へ出力する。管理者は、端末装置２６－１，２６－２等に表示される確認要素を指定された順番で確認することで、観測／報告された脅威事象に対して迅速に対応や対策を検討又は実施することが可能となり、対象システムをセキュアに運用することができる。

【0082】

このように本実施形態は、確認順序決定部１０３は、基点の要素から確認要素までの通信路上の距離と、信頼のレベルとに基づいて、確認要素の確認作業を実施する順番を決定するように構成されている。

【0083】

［確認作業の順序］
次に、脅威事象に影響する要素（影響範囲）を特定するための確認作業の順序について、図８を参照して説明する。
図８は、産業制御システム３００の脅威事象に影響する要素（影響範囲）を特定するための確認作業の順序の例を示す図である。この例では、基点要素がサーバ３２であり、実線で示したトラストレベル３未満の要素間を確認作業の対象とし、破線で示したトラストレベル３以上の要素間を確認作業の対象から排除している。

【0084】

図８では、基点要素（サーバ３２）からの距離がリンク１つ分の要素（制御装置３１、サブシステム３３、ＰＣ３５）に対して、トラストレベルが低い順（トラストレベル０，１，２）に確認作業を実行するように順番を決定する。すなわち、管理者は、サブシステム３３、制御装置３１、ＰＣ３５の順に、脅威事象に対する対応／対策等に関して確認作業（１）～（３）を実行する。最後に、管理者は、基点要素（サーバ３２）からの距離がリンク２つ分の要素（ＰＣアプリケーション３７）について確認作業（４）を実行する。

【0085】

ここで、サブシステム３３、制御装置３１、及びＰＣ３５は、図６のステップＳ６０２の処理で抽出された要素に相当する。また、ＰＣアプリケーション３７は、ステップＳ６０３の処理で抽出された要素に相当する。

【0086】

以上のとおり、第１の実施形態に係るトラステッドシステム１００（情報処理装置２０、記憶装置２４）は、少なくとも確認要素決定部（確認要素決定部１０２）と、確認順序決定部（確認順序決定部１０３）とを備える。確認要素決定部は、対象システムを構成する要素の中から脅威事象に関連する要素（例えば、サーバ３２）を基点に、各要素間において一方の要素から他方の要素に対する信頼のレベル（トラストレベル）と、各要素間において一方の要素から他方の要素に対する方向を示す信頼の方向（トラスト方向）とを用いて、要素の中から予め設定した信頼のレベルの条件を満たす要素を、脅威事象の影響範囲を特定するための確認作業を実施する要素として抽出して確認要素に決定する。確認順序決定部は、上記確認要素について、少なくとも各要素間の信頼のレベルと信頼の方向に基づいて、確認作業を実施する順番を決定する。

【0087】

上述した第１の実施形態によれば、要素間にトラスト方向とトラストレベルを設定することで、脅威事象の影響範囲を要素個別で特定することが可能になる。よって、本実施形態では、効率的に脅威事象の影響範囲（確認対象の要素）を絞り込むことができるため、迅速に脅威事象へ対応／対策することが可能となる。

【0088】

従来は、単純に論理ネットワーク等の単純な情報を用いてより広範なエリア（ネットワーク範囲）で、脅威事象の影響範囲を特定していた。そのため、接続関係にあるエリアすべてが確認作業の対象範囲内に含まれ、脅威事象の影響範囲を特定するのに時間を要していた。これに対し、本実施形態は、より迅速に脅威事象の影響範囲を特定することができる。

【0089】

＜第２の実施形態＞
第２の実施形態は、第１の実施形態によるトラステッドシステム１００（情報処理装置２０）において、トラスト情報に評価項目の属性を付与し、属性を脅威事象と関連づけることで影響範囲を特定する際の確認作業の優先度を変更する例である。

【0090】

［トラステッドシステムの構成］
図９は、第２の実施形態に係るトラステッドシステムの機能構成の例を示すブロック図である。本実施形態のトラステッドシステム１００Ａは、第１の実施形態のトラステッドシステム１００（図１）と比較して、トラスト情報更新部９０１を備える点が異なる。以下、第２の実施形態について第１の実施形態との相違点を中心に説明する。

【0091】

トラスト情報更新部９０１は、対象システム情報記憶部１０４と、基点決定部１０１及び確認要素決定部１０２との間に配置される。トラスト情報更新部９０１は、脅威事象入力部１３０から入力される脅威情報に基づいて、対象システム情報記憶部１０４に記憶されている、評価項目の属性が付与されたトラスト情報を更新する。

【0092】

そして、トラスト情報更新部９０１は、対象システム情報記憶部１０４に記憶されている対象システム情報のシステム構成と、更新後のトラスト情報とを、基点決定部１０１へ出力する。また、トラスト情報更新部９０１は、対象システム情報記憶部１０４に記憶されている対象システム情報のシステム構成及び要素と、更新後のトラスト情報とを、確認要素決定部１０２へ出力する。なお、基点決定部１０１が、対象システム情報記憶部１０４から直接システム構成を取得してもよい。同様に、確認要素決定部１０２が、対象システム情報記憶部１０４から直接システム構成及び要素を取得してもよい。

【0093】

［トラスト方向、トラストレベル、属性］
次に、トラスト情報に含まれるトラスト方向、トラストレベル、及び属性について、図１０及び図１１を参照して説明する。
図１０は、トラスト方向、トラストレベル、及び属性の例を示す図である。図１０に示すように、トラスト情報１０００は、Ｆｒｏｍフィールド４１０と、Ｔｏフィールド４２０と、レベルフィールド１０１０を有する。

【0094】

レベルフィールド１０１０には、要素間（トラスト方向）ごとに、要素間の信頼を評価する属性（真正性、信頼性、保護性のいずれかの項目）が登録されている。トラストレベルの値は、図４のレベルフィールド４３０に示した値と同じである。

【0095】

図１１は、図１０のトラスト情報１０００において観測／報告された脅威情報が信頼性に関連する場合の例を示す図である。図１１では、トラスト情報１０００の要素間ごとのトラストレベルを属性に応じて更新したトラスト情報１１００が示されている。

【0096】

例えば、対象システムに対する脅威情報が信頼性に関連する場合には、信頼性の属性を持つ要素間のトラストレベルの値を上げる。トラスト情報１１００では、ハッチングで示した信頼性の属性を持つ要素間のトラストレベルの値が“１”だけ大きくなっている。信頼性の属性を持たない要素間に接続された要素は、信頼性が脆弱であるため、トラストレベルの低い要素間に接続された該当要素を優先的に確認する。

【0097】

以上のとおり、第２の実施形態に係るトラステッドシステム１００Ａでは、トラスト情報（信頼のレベル及び信頼の方向）に対して１以上の評価項目（例えば、図１１では信頼性）の属性が付与され、脅威事象と、信頼のレベル及び信頼の方向に対して付与された評価項目との関連に基づいて、信頼のレベルを更新する更新部（トラスト情報更新部９０１）を備える。

【0098】

上述した第２の実施形態によれば、トラスト情報に付与された属性に基づいて、観測／報告された脅威情報に対して、より迅速な対応／対策が必要とされる要素から優先的に確認作業を実施することができる。

【0099】

＜第３の実施形態＞
第３の実施形態は、第１の実施形態によるトラステッドシステム１００（情報処理装置２０）において、業務情報に基づいて、業務影響度を加味した確認作業の優先度決定を行う例である。業務影響度が大きいほど、脅威事象によって対象システムに障害が発生したときの深刻度が大きい。したがって、換言するならば第３の実施形態は、障害発生時の深刻度に基づいて予め確認作業の優先度を決定する例であるとも言える。

【0100】

［トラステッドシステムの構成］
図１２は、第３の実施形態に係るトラステッドシステムの機能構成の例を示すブロック図である
本実施形態のトラステッドシステム１００Ｂは、第１の実施形態のトラステッドシステム１００（図１）と比較して、業務情報入力部１２１０から業務情報が入力される点が異なる。以下、第３の実施形態について第１の実施形態との相違点を中心に説明する。

【0101】

業務情報入力部１２１０は、業務や事業継続計画などの業務に関する情報（以下「業務情報」）を、トラステッドシステム１００Ｂの確認要素決定部１２０１及び確認順序決定部１２０２に入力する。事業継続計画は、例えば、地震などの災害発生時に、いかに事業を護るか、外部（工場等）との連携をどのようにするかなどを策定した計画である。

【0102】

確認要素決定部１２０１は、基点要素を基点にして、対象システム情報（システム構成と要素）と、トラスト情報（トラスト方向、トラストレベル）と、業務情報とを基に、影響範囲の特定のための確認作業を実施する要素を決定（取捨選択）する。

【0103】

確認順序決定部１２０２は、確認要素決定部１０２で決定された１以上の要素（確認要素群）について、業務情報を加味して、確認作業を実施する要素の順序（確認順序）を決定する。

【0104】

［業務情報］
次に、業務情報テーブルについて、図１３を参照して説明する。
図１３は、業務情報テーブルに含まれる業務内容と重要要素の例を示す図である。図１３に示すように、業務情報テーブル１３００は、業務内容フィールド１３１０と、重要要素フィールド１３２０を有する。この業務情報テーブル１３００は、予め管理者等が対象システムを用いて想定される業務ごとに作成して記憶装置２４に保存しておいてもよいし、トラステッドシステム１００Ｂへ入力する際に管理者等がその場で手入力してもよい。なお、テーブルではなく、データベースの形態で業務情報テーブル１３００と同様の情報を記憶装置２４に格納しておいてもよい。

【0105】

業務内容フィールド１３１０には、対象システム及びその対象システムに接続された要素が実施する、業務や事業継続計画等の内容を示す情報（以下「業務内容」）が格納される。
重要要素フィールド１３２０には、上記の業務や事業継続計画等を実施するのに重要又は必要な要素を示す情報が格納される。

【0106】

例えば、図１３の例では、“ロボット３４を用いた生産活動”という業務内容に対して、重要要素として“ロボット３４、制御装置３１”が登録されている。同様に、業務内容“サブシステム３３の安定稼働”に対する重要要素は“サーバ３２、サブシステム３３”である。また、業務内容“外部工場３０２との情報連携”に対する重要要素は“ゲートウェイ３０、外部工場３０２”である。

【0107】

なお、業務内容フィールド１３１０の情報及び重要要素フィールド１３２０の情報の内容、及びその組合せは一例であって、この例に限られない。例えば、管理者は、業務情報として業務内容と重要要素の一つの組合せを、業務情報入力部１２１０からトラステッドシステム１００Ｂ（図２の入出力Ｉ／Ｆ２３）に入力する。

【0108】

［確認要素決定処理］
次に、本実施形態に係る確認要素決定部１２０１による確認要素決定処理について、図１４を参照して説明する。
図１４は、確認要素決定部１２０１による確認要素決定処理の手順例を示すフローチャートである。図１４では、図６のステップＳ６０２の代わりに、ステップＳ１４０１とＳ１４０２を有する。以下、図１４について図６との相違点を中心に説明する。

【0109】

ステップＳ６０１の処理後、確認要素決定部１２０１は、トラストレベルの上限に関係なく、対象システムのシステム構成から、業務内容に関連した重要要素に該当する要素を抽出する（Ｓ１４０１）。

【0110】

次に、確認要素決定部１２０１は、ステップＳ１４０１で抽出した重要要素のうち基点要素からみたトラストレベルが、設定した上限よりも低いレベルの要素を抽出する（Ｓ１４０２）。その後、ステップＳ６０３～Ｓ６０５の処理を実行し、ステップＳ６０５の処理が終了後、確認要素決定処理を終了する。

【0111】

［確認順序決定処理］
次に、本実施形態に係る確認順序決定部１２０２による確認順序決定処理について、図１５を参照して説明する。
図１５は、確認順序決定部１２０２による確認順序決定処理の手順例を示すフローチャートである。図１５では、図７のステップＳ７０１の直後にステップＳ１５０１が追加されている。以下、図１５について図７との相違点を中心に説明する。

【0112】

まず、確認順序決定部１２０２は、図１４のステップＳ６０５において確認要素決定部１２０１で生成した確認要素のデータを読み込む（Ｓ７０１）。

【0113】

次に、確認順序決定部１２０２は、業務内容に関連した重要要素に該当する要素を最優先にして確認作業の順序を決定する（Ｓ１５０１）。その後、ステップＳ７０２～Ｓ７０３の処理を実行し、ステップＳ７０３の処理が終了後、確認順序決定処理を終了する。

【0114】

［確認作業の順序］
次に、脅威事象に影響する要素（影響範囲）を特定するための確認作業の順序について、図１６を参照して説明する。
図１６は、産業制御システム３００の脅威事象に影響する要素（撮影範囲）を特定するための確認作業の順序の例を示す図である。この例では、基点要素がサーバ３２、トラストレベル３未満の要素間が確認作業の対象、業務情報が“ロボット３４を用いた生産活動”の場合としている。

【0115】

図１６においては、管理者は、基点要素（サーバ３２）からの距離がリンク１つ分の要素（制御装置３１、サブシステム３３、ＰＣ３５）のうち、ロボット３４と接続する制御装置３１から脅威事象に対する対応／対策等に関して確認作業（１）を実行する。次に、管理者は、制御装置３１と接続するロボット３４の確認作業（２）を行う。次に、サーバ３２からの距離がリンク１つ分である残りの要素（サブシステム３３、ＰＣ３５）のうちトラストレベルが低い順（レベル０，２）、すなわちサブシステム３３、ＰＣ３５の順に確認作業（３）～（４）を実行する。最後に、基点要素（サーバ３２）からの距離がリンク２つ分の要素（ＰＣアプリケーション３７）の確認作業（５）を実行する。

【0116】

以上のとおり、第３の実施形態に係るトラステッドシステム１００Ｂでは、確認要素決定部（確認要素決定部１２０１）は、さらに信頼のレベルの条件に関係なく、指定された業務内容に関連した要素（重要要素）を確認要素に決定し、確認順序決定部（確認順序決定部１２０２）は、すべての確認要素のうち上記業務内容に関連した要素を最優先の順番に決定する。

【0117】

上述した第３の実施形態によれば、業務や事業継続計画等（業務内容）に基づいて、各要素の重要性を設定しておいて、この重要度とトラスト情報を用いた確認要素の抽出や確認順序の決定を行う。それにより、本実施形態では、指定した業務内容をより直接的に保護する対応が可能となる。

【0118】

なお、本発明は上述した実施形態に限られるものではなく、特許請求の範囲に記載した本発明の要旨を逸脱しない限りにおいて、その他種々の応用例、変形例を取り得ることは勿論である。例えば、上述した実施形態は本発明を分かりやすく説明するためにその構成を詳細かつ具体的に説明したものであり、必ずしも説明したすべての構成要素を備えるものに限定されない。また、ある実施形態の構成の一部を他の実施形態の構成要素に置き換えることが可能である。また、ある実施形態の構成に他の実施形態の構成要素を加えることも可能である。また、各実施形態の構成の一部について、他の構成要素の追加又は置換、削除をすることも可能である。

【0119】

例えば、上述した実施形態におけるトラステッドシステム１００，１００Ａ，１００Ｂの機能を、対象システム内の主要な要素（例えば、サーバ３２）に内蔵してもよい。また、対象システム内の１以上の要素又は各要素が、トラステッドシステム１００，１００Ａ，１００Ｂの機能を備えていてもよい。

【0120】

また、上記の各構成、機能、処理部等は、それらの一部又は全部を、例えば集積回路で設計するなどによりハードウェアで実現してもよい。ハードウェアとして、ＦＰＧＡ（Field Programmable Gate Array）やＡＳＩＣ（Application Specific Integrated Circuit）などの広義のプロセッサデバイスを用いてもよい。

【符号の説明】

【0121】

２０…情報処理装置、 ２１…処理部、 ２２…メモリ、 ２３…入出力インタフェース、 ２４…記憶装置、 １００，１００Ａ，１００Ｂ…トラステッドシステム、 １０１…基点決定部、 １０２…確認要素決定部、 １０３…確認順序決定部、 １０４…対象システム情報記憶部、 １１０…対象システム情報入力部、 １２０…トラスト情報入力部、 １３０…脅威事象入力部、 １４０…確認要素／順序出力部、 ３００…産業制御システム、 ４００…トラスト情報、 ５００…脅威情報テーブル、 ９０１…トラスト情報更新部、 １２０１…確認要素決定部、 １２０２…確認順序決定部、 １２１０…業務情報入力部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】