特開 2024-141144 審査システム、審査方法及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024141144

(43)【公開日】2024-10-10

(54)【発明の名称】審査システム、審査方法及びプログラム

(51)【国際特許分類】

   G06Q 40/08 20120101AFI20241003BHJP

【ＦＩ】

G06Q40/08

【審査請求】未請求

【請求項の数】4

【出願形態】ＯＬ

(21)【出願番号】P 2023052631

(22)【出願日】2023-03-29

(71)【出願人】

【識別番号】399035766

【氏名又は名称】エヌ・ティ・ティ・コミュニケーションズ株式会社

(74)【代理人】

【識別番号】110001634

【氏名又は名称】弁理士法人志賀国際特許事務所

(72)【発明者】

【氏名】酒井 崇夫

【テーマコード（参考）】

5L040

5L055

【Ｆターム（参考）】

5L040BB61

5L055BB61

(57)【要約】

【課題】サイバー保険の保険金の請求手続きにおけるエンドユーザの負担を軽減することが可能である審査システム、審査方法及びプログラムを提供する。
【解決手段】審査システムは、エンドユーザ端末のセキュリティログを抽出するログ抽出部と、セキュリティログを分析し、セキュリティログの分析結果に基づいて、予め定められたインシデントが発生したか否かを判定する分析部と、インシデントが発生したと判定された場合、セキュリティログとセキュリティログの分析結果と保険の約款とのうちの少なくとも一つに基づいて、保険金の支払の可否を判定する審査部とを備える。
【選択図】図１

【特許請求の範囲】

【請求項1】

エンドユーザ端末のセキュリティログを抽出するログ抽出部と、
前記セキュリティログを分析し、前記セキュリティログの分析結果に基づいて、予め定められたインシデントが発生したか否かを判定する分析部と、
前記インシデントが発生したと判定された場合、前記セキュリティログと前記セキュリティログの分析結果と保険の約款とのうちの少なくとも一つに基づいて、保険金の支払の可否を判定する審査部と
を備える審査システム。

【請求項2】

前記分析部は、予め定められたセキュリティサービスごとに抽出された前記セキュリティログの相関を分析する、請求項１に記載の審査システム。

【請求項3】

審査システムが実行する審査方法であって、
エンドユーザ端末のセキュリティログを抽出するステップと、
前記セキュリティログを分析し、前記セキュリティログの分析結果に基づいて、予め定められたインシデントが発生したか否かを判定するステップと、
前記インシデントが発生したと判定された場合、前記セキュリティログと前記セキュリティログの分析結果と保険の約款とのうちの少なくとも一つに基づいて、保険金の支払の可否を判定するステップと、
を含む審査方法。

【請求項4】

コンピュータに、
エンドユーザ端末のセキュリティログを抽出する手順と、
前記セキュリティログを分析し、前記セキュリティログの分析結果に基づいて、予め定められたインシデントが発生したか否かを判定する手順と、
前記インシデントが発生したと判定された場合、前記セキュリティログと前記セキュリティログの分析結果と保険の約款とのうちの少なくとも一つに基づいて、保険金の支払の可否を判定する手順と
を実行させるためのプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、審査システム、審査方法及びプログラムに関する。

【背景技術】

【0002】

近年、サイバーセキュリティの対策サービスへの投資が増加している。サイバーセキュリティの対策サービスは、セキュリティサービス企業から、エンドユーザ（契約者）に提供される。また、サイバーセキュリティの被害を包括的に補償するための保険として、サイバー保険がある。サイバー保険のサービスは、保険サービス企業から、エンドユーザに提供される。これらのように、サイバーセキュリティの対策サービスと、サイバー保険のサービスとは、別々に、エンドユーザに提供される。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特開２０１７－１１７０６７号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

サイバー保険の対象とされたエンドユーザ端末にセキュリティのインシデント（例えば、不正アクセス）が発生した場合、サイバー保険のエンドユーザは、保険サービス企業のシステムと、セキュリティサービス企業のシステムとを相互に確認しながら、保険金の請求手続きに必要な証拠（例えば、セキュリティログ）を、自らの判断でエンドユーザ端末から収集する。このように、必要な証拠をエンドユーザは自ら収集しなければならないので、サイバー保険の保険金の請求手続きは、エンドユーザにとって大きな負担となっている。

【0005】

また、セキュリティ対策サービスが提供するシステムには、難解な専門用語が使われていることがある。このため、エンドユーザのＩＴ（Information Technology）リテラシが高くない場合、保険金の請求手続きに必要な証拠（証跡）をエンドユーザが収集することが困難な場合がある。そのため、保険金の請求手続きに必要な証拠の収集をエンドユーザが諦めたり、証拠の不足により請求が却下される可能性がある。このように、サイバー保険の保険金の請求手続きにおけるエンドユーザの負担を軽減することができないという問題がある。

【0006】

上記事情に鑑み、本発明は、サイバー保険の保険金の請求手続きにおけるエンドユーザの負担を軽減することが可能である審査システム、審査方法及びプログラムを提供することを目的としている。

【課題を解決するための手段】

【0007】

本発明の一態様は、エンドユーザ端末のセキュリティログを抽出するログ抽出部と、前記セキュリティログを分析し、前記セキュリティログの分析結果に基づいて、予め定められたインシデントが発生したか否かを判定する分析部と、前記インシデントが発生したと判定された場合、前記セキュリティログと前記セキュリティログの分析結果と保険の約款とのうちの少なくとも一つに基づいて、保険金の支払の可否を判定する審査部とを備える審査システムである。

【0008】

本発明の一態様は、審査システムが実行する審査方法であって、エンドユーザ端末のセキュリティログを抽出するステップと、前記セキュリティログを分析し、前記セキュリティログの分析結果に基づいて、予め定められたインシデントが発生したか否かを判定するステップと、前記インシデントが発生したと判定された場合、前記セキュリティログと前記セキュリティログの分析結果と保険の約款とのうちの少なくとも一つに基づいて、保険金の支払の可否を判定するステップと、を含む審査方法である。

【0009】

本発明の一態様は、コンピュータに、エンドユーザ端末のセキュリティログを抽出する手順と、前記セキュリティログを分析し、前記セキュリティログの分析結果に基づいて、予め定められたインシデントが発生したか否かを判定する手順と、前記インシデントが発生したと判定された場合、前記セキュリティログと前記セキュリティログの分析結果と保険の約款とのうちの少なくとも一つに基づいて、保険金の支払の可否を判定する手順とを実行させるためのプログラムである。

【発明の効果】

【0010】

本発明により、サイバー保険の保険金の請求手続きにおけるエンドユーザの負担を軽減することが可能である。

【図面の簡単な説明】

【0011】

【図1】実施形態における、審査システムの構成例を示す図である。

【図2】実施形態における、ダッシュボードの表示例を示す図である。

【図3】実施形態における、審査システムの動作例を示すシーケンス図である。

【発明を実施するための形態】

【0012】

（概要）
インシデントが発生したことの証拠を収集及び保全する作業は、（デジタル）フォレンジックと呼ばれる。フォレンジックには、セキュリティ及び法務に関する高度な知識並びにスキルが要求される。このため、ＩＴリテラシが高くないエンドユーザでは、どの期間のどのような証拠をどのようにして収集するのかが判断できないことがあった。エンドユーザ自身が証拠を収集できない場合には、外部の専門業者に証拠の収集を委託することによって、コストがかかることがあった。また、保険金の請求を諦めてしまうことがあった。そのようなことにならないように、実施形態の審査システムでは、セキュリティサービス装置とフォレンジック装置と保険サービス装置とが連携する。

【0013】

実施形態の審査システムでは、サイバー保険の契約者（エンドユーザ）には、ブラウザ又はアプリケーション等を用いて閲覧可能なマイページが提供される。マイページのトップページには、セキュリティサービスの情報と、保険サービスの情報との両方が、同一画面で表示される。エンドユーザ装置からのセキュリティログに基づいて、エンドユーザ端末（保険対象端末）に対するセキュリティ攻撃を、セキュリティサービス装置が検知した場合、セキュリティのインシデントの発生がマイページを介してエンドユーザに通知されると共に、そのインシデントには管理番号が付与される。また、セキュリティサービス装置は、保険金の請求手続きに必要な証拠（セキュリティログ）を、セキュリティ攻撃が検知されたエンドユーザ端末のセキュリティログから抽出する。エンドユーザは、管理番号が付与されたインシデントの保険金の請求手続きを、マイページを介して行う。このように、エンドユーザの大きな負担となっていたフォレンジック作業を実施形態の審査システムが実行するので、エンドユーザの負担を軽減することが可能である。

【0014】

また、サイバー保険の保険金をエンドユーザが請求するためには、エンドユーザ端末（保険対象端末）に対するセキュリティ攻撃を検知できる仕組みが整っていなければならない。検知できる仕組みが整っていない場合、エンドユーザは、セキュリティサービス装置と保険サービス装置との両方を確認し、エンドユーザ端末に発生したどのインシデントが保険金の請求対象であるのかを、個別に分析しなければならない。このため、ＩＴリテラシが高くないエンドユーザでは、どのようなセキュリティ対策サービスを導入すれば保険金の請求手続きに必要な証拠（証跡）が収集できるのかを判断することができないことがあった。また、セキュリティ対策サービスの導入そのものを見送るか、導入したとても必要な証拠を収集できずに保険金の請求を諦めてしまうことがあった。そのようなことにならないように、実施形態の審査システムでは、セキュリティサービス装置とフォレンジック装置と保険サービス装置とが連携する。

【0015】

これにより、実施形態の審査システムでは、エンドユーザ端末に対するセキュリティ攻撃をセキュリティサービス装置が検知することが可能となる。また、セキュリティのインシデントの報告から保険金の請求までの手続きを、切れ目なくエンドユーザが行うことが可能である。

【0016】

本発明の実施形態について、図面を参照して詳細に説明する。
（実施形態）
図１は、実施形態における、審査システム１の構成例を示す図である。審査システム１は、サイバー保険に関して、保険金の支払の可否を審査するシステムである。審査システム１は、１台以上のエンドユーザ装置２と、エンドユーザ端末３と、審査装置４と、通信回線５とを備える。エンドユーザ装置２は、例えば、エンドユーザ端末３と通信回線５の間に設置される。エンドユーザ端末３は、例えば、エンドユーザ企業に属するエンドユーザによって操作される。

【0017】

審査システム１は、セキュリティサービス端末６と、保険サービス端末７とを備えてもよい。セキュリティサービス端末６は、例えば、パーソナルコンピュータ、タブレット端末及びスマートフォン端末等の情報処理装置である。セキュリティサービス端末６は、例えば、セキュリティサービス企業に属する担当者によって操作される。保険サービス端末７は、例えば、パーソナルコンピュータ、タブレット端末及びスマートフォン端末等の情報処理装置である。保険サービス端末７は、例えば、保険サービス企業に属する担当者によって操作される。保険サービス企業に属する担当者は、保険サービス企業の代理店に属する担当者でもよい。

【0018】

エンドユーザ装置２は、エンドユーザ端末３のセキュリティログを生成する装置（専用アプライアンス）である。例えば、エンドユーザ装置２は、統合脅威管理（Unified Threat Management）装置である。セキュリティログには、エンドユーザ端末３に対するセキュリティ攻撃の痕跡が含まれていることがある。セキュリティログの分析結果に基づいてインシデントの発生が検知されることによって、エンドユーザ装置２はエンドユーザ端末３をセキュリティ攻撃から防御することが可能である。エンドユーザ装置２は、例えば、エンドユーザ企業のオフィス等に設置される。エンドユーザ装置２は、エンドユーザ端末３にインストールされるセキュリティ対策ソフトウェア（例えば、EDR（Endpoint Detection and Response））として、エンドユーザ端末３に実装されてもよい。エンドユーザ端末３は、例えば、パーソナルコンピュータ、タブレット端末及びスマートフォン端末等の情報処理装置である。審査装置４は、例えば、クラウドサーバである。通信回線５は、例えば、インターネットである。

【0019】

エンドユーザ端末３は、通信部３１と、制御部３２と、操作部３３と、表示部３４とを備える。審査装置４は、通信装置４１と、認証装置４２と、セキュリティサービス装置４３と、エンドユーザ処理装置４４と、フォレンジック装置４５と、保険サービス装置４６と、記憶装置４７とを備える。審査装置４は、セキュリティサービス装置４３を、セキュリティサービスごとに備える。

【0020】

セキュリティサービス装置４３は、検知部４３１と、警告部４３２とを備える。エンドユーザ処理装置４４は、管理部４４１と、ダッシュボード部４４２とを備える。フォレンジック装置４５は、取得部４５１と、ログ抽出部４５２と、分析部４５３とを備える。保険サービス装置４６は、審査部４６１と、案件化部４６２と、支払部４６３とを備える。

【0021】

通信部３１は、通信装置４１と通信する。通信部３１は、エンドユーザ装置２と通信してもよい。制御部３２は、エンドユーザ端末３の各機能部の動作を制御する。操作部３３は、例えば、キーボード、マウス又はタッチパネル等の操作デバイスである。操作部３３がタッチパネルである場合、操作部３３と表示部３４とは一体に構成されてもよい。操作部３３は、受け付けた操作に応じた信号を、制御部３２に出力する。表示部３４は、液晶ディスプレイ等の表示デバイスを備える。表示部３４は、制御部３２による制御に基づいて画像を表示する。例えば、表示部３４は、制御部３２による制御に基づいて、ダッシュボード部４４２によって生成されたダッシュボードの画像を表示する。

【0022】

審査装置４において、認証装置４２と、セキュリティサービス装置４３と、エンドユーザ処理装置４４と、フォレンジック装置４５と、保険サービス装置４６とは、アプリケーション・プログラミング・インタフェイス（API: Application Programming Interface）を用いて連携する。

【0023】

通信装置４１は、エンドユーザ装置２及びエンドユーザ端末３と通信する。通信装置４１は、セキュリティサービス端末６と通信してもよい。例えば、通信装置４１は、セキュリティサービス端末６とセキュリティサービス装置４３との間の制御信号を中継してもよい。また、通信装置４１は、保険サービス端末７と通信してもよい。例えば、通信装置４１は、保険サービス端末７と保険サービス装置４６との間の制御信号を中継してもよい。

【0024】

認証装置４２は、エンドユーザ端末３を操作するエンドユーザを認証する。認証装置４２は、例えば、ＩｄＰ（Identify Provider）に基づいて、ＳＡＭＬ（Security Assertion Markup Language）認証においてエンドユーザ等を認証する。これによって、セキュリティサービスのアカウントと保険サービスのアカウントとに関するシングルサインオンと、各アカウントのフェデレーション機能とが、エンドユーザに提供される。認証されたエンドユーザは、そのエンドユーザ専用のページ（マイページ）を、エンドユーザ端末３において動作するブラウザ等を用いて参照することができる。

【0025】

セキュリティサービス装置４３は、例えば、クラウドサーバである。セキュリティサービス装置４３は、エンドユーザ装置２における統合脅威管理（UTM）を集中管理する。検知部４３１は、エンドユーザ端末３のセキュリティログを、時系列で記憶装置４７に記録する。セキュリティログは、一定期間、記憶装置４７に記憶される。検知部４３１は、エンドユーザ端末３のセキュリティログを分析することによって、エンドユーザ端末３に提供されたセキュリティサービスにおけるインシデントの発生を検知する。すなわち、検知部４３１は、セキュリティログにおけるセキュリティ攻撃の疑いがセキュリティ攻撃であると判定された場合、セキュリティ攻撃の疑いをインシデントとして扱う。警告部４３２は、インシデントの発生が検知された場合、セキュリティに関するインシデントが発生したことを、インシデントの深刻度に応じて、管理部４４１に警告する。

【0026】

管理部４４１（チケット管理システム）は、発生が検知されたインシデントに、管理番号（チケット）を割り当てる。ダッシュボード部４４２は、例えば、セキュリティサービスの情報と、保険サービスの情報との両方を、マイページのトップページの同一画面に表示する。例えば、ダッシュボード部４４２は、セキュリティのインシデントの検知結果と、保険金の支払の審査結果とを、通信装置４１を介して、表示部３４に表示されたエンドユーザのマイページに表示させる。ダッシュボード部４４２は、管理番号ごとに、インシデント及び審査結果をマイページに表示させてもよい。

【0027】

取得部４５１は、発生が報告されたインシデントの管理番号を、管理部４４１又はダッシュボード部４４２から取得する。ログ抽出部４５２は、例えば、ＳＯＡＲ（Security Orchestration, Automation and Response）に基づいて、エンドユーザ装置２におけるアクセスログ等のセキュリティログを、記憶装置４７から抽出する。例えば、ログ抽出部４５２は、セキュリティサービスの種類に基づいて、所定期間のセキュリティログを、記憶装置４７から抽出する。抽出の対象とされる期間は、例えばデータテーブルの形式で、セキュリティ機能（セキュリティサービスの種類）ごとに予め定められる。なお、ログ抽出部４５２は、所定期間のセキュリティログを、エンドユーザ装置２から取得してもよい。

【0028】

分析部４５３は、予め定められたセキュリティサービス（セキュリティ機能）ごとに抽出されたセキュリティログに対して、所定の分析（例えば、相関分析）を実行する。例えば、分析部４５３は、ファイヤーウォール、不正侵入検知システム（IDS: Intrusion Detection System）、不正侵入防御システム（IPS: Intrusion Prevention System）、ＵＲＬ（Uniform Resource Locator）フィルタリング、及び、アンチウィルス等の予め定められたセキュリティサービスごとの警告の相関（有無）を分析する。分析部４５３は、セキュリティログに対して、機械学習モデル（人工知能モデル）を用いて、所定の分析を実行してもよい。分析部４５３は、保険金の支払の対象となり得るインシデント（予め定められたインシデント）が発生したか否かを、分析結果に基づいて判定する。

【0029】

審査部４６１は、インシデントが発生したと判定された場合、抽出されたセキュリティログと、セキュリティログの分析結果（インシデントの内容）と、保険の約款とのうちの少なくとも一つに基づいて、保険金の支払の可否（インシデントが請求勧奨案件であるか否か）を判定する。案件化部４６２は、保険金の支払の可否を、ダッシュボード部４４２に通知する。また、保険金の支払が可であると判定された場合には、案件化部４６２は、請求に対応付けられたインシデントの管理番号を、請求勧奨案件の管理番号として、記憶装置４７に記録する。支払部４６３は、保険金の請求手続きを表すデータと、請求手続きに対応付けられたインシデントの管理番号とを、ダッシュボード部４４２から取得する。支払部４６３は、管理番号に基づいて、保険金の支払処理を実行する。

【0030】

次に、ダッシュボード部４４２の詳細を説明する。
図２は、実施形態における、ダッシュボード１００の表示例を示す図である。ダッシュボード１００は、サイバー保険のマイページにおけるトップページの画像として、ダッシュボード部４４２によってエンドユーザに提供される。エンドユーザは、エンドユーザ端末３において動作するブラウザ又はアプリケーションを用いて、サイバー保険のマイページにログインする。ここで、例えば、ＩｄＰのシングルサインオンとフェデレーション機能とが用いられることによって、エンドユーザは、セキュリティサービス装置４３における複数のセキュリティ対策サービス（セキュリティ機能）と、保険サービスとに、一つのアカウントでログインする。

【0031】

ダッシュボード部４４２は、セキュリティのインシデントの検知結果を、ＡＰＩを用いて、セキュリティサービス装置４３から取得する。ダッシュボード部４４２は、セキュリティのインシデントの検知結果を、通信装置４１を介して、表示部３４に表示させる。ダッシュボード部４４２は、管理部４４１によってインシデントに割り当てられた管理番号を、通信装置４１を介して、表示部３４に表示させる。ダッシュボード部４４２は、保険金の支払の審査結果を、ＡＰＩを用いて、保険サービス装置４６から取得する。ダッシュボード部４４２は、保険金の支払の審査結果を、通信装置４１を介して、表示部３４に表示させる。

【0032】

ダッシュボード１００は、セキュリティサービス（セキュリティ対策サービス）に関する表示領域と、サイバー保険に関する表示領域とを備える。図２では、セキュリティサービスに関する表示領域は、一例として、操作キー画像１０１と、操作キー画像１０２と、セキュリティ関連通知欄１０３とを含む。また、サイバー保険に関する表示領域は、一例として、操作キー画像２０１と、操作キー画像２０２と、保険関連通知欄２０３とを含む。

【0033】

サイバー保険に関する表示領域と、セキュリティサービスに関する表示領域とは、案内用画像２００（例えば、感嘆符画像）を含んでもよい。案内用画像２００は、通知事項（例えば、インシデントの発生）をエンドユーザに案内するために表示される。エンドユーザは、案内用画像２００が表示された位置の操作キー画像及び通知欄に注目することができる。

【0034】

例えば、操作キー画像１０１「サービスＡ」に関する通知事項がある場合、操作キー画像１０１に対応付けて、案内用画像２００－１が表示される。エンドユーザは、操作部３３を操作することによって、操作キー画像１０１を押下する。表示部３４は、サービスＡ（例えば、アンチウィルス）において現在までに警告されたインシデントの詳細を表示する。

【0035】

例えば、操作キー画像１０２「サービスＢ」に対応付けて案内用画像２００が表示されていない場合でも、エンドユーザは、操作部３３を操作することによって、操作キー画像１０２を押下してもよい。操作キー画像１０２「サービスＢ」が押下された場合、表示部３４は、サービスＢ（例えば、ＵＲＬフィルタリング）において警告されたインシデントが無い旨を表示する。

【0036】

セキュリティ関連通知欄１０３には、セキュリティに関する事項（お知らせ）が、ダッシュボード部４４２から通知される。ここで、セキュリティ関連通知欄１０３に対応付けて、案内用画像２００－２が表示されてもよい。

【0037】

例えば、１個以上のサービスにおいてインシデントの発生が検知された場合、操作キー画像２０１「インシデント報告」に対応付けて、案内用画像２００－３が表示される。エンドユーザは、操作部３３を操作することによって、操作キー画像２０１を押下する。表示部３４は、現在までに警告されたインシデントのリストを表示する。エンドユーザは、審査装置４に報告するインシデントを、インシデントのリストから選択する。表示部３４は、選択されたインシデントを報告するためのウィザードを表示する。エンドユーザは、ウィザードに従って、インシデントの発生を審査装置４に報告する。

【0038】

例えば、保険金の支払が可であるとの判定結果（請求勧奨）が保険関連通知欄２０３に通知された場合、エンドユーザは、操作部３３を操作することによって、操作キー画像２０２「各種手続」を押下する。操作キー画像２０２が押下された場合、表示部３４は、各種手続（例えば、保険金の請求手続き）のためのウィザードを表示する。なお、操作キー画像２０２に対応付けて案内用画像２００が表示されていない場合でも、エンドユーザは、操作部３３を操作することによって、操作キー画像２０２「各種手続」を押下してもよい。

【0039】

保険関連通知欄２０３には、エンドユーザが契約しているサイバー保険に関する事項（お知らせ）が、ダッシュボード部４４２から通知される。ここで、保険関連通知欄２０３に対応付けて、案内用画像２００－４が表示されてもよい。例えば、保険金が支払われた場合、その旨が保険関連通知欄２０３に表示される。

【0040】

次に、審査システム１の動作例について説明する。
図３は、実施形態における、審査システム１の動作例を示すシーケンス図である。エンドユーザ装置２は、エンドユーザ端末３に対する通信がエンドユーザ装置２を通過するごとに、エンドユーザ端末３のセキュリティログ（アクセスログ）を生成する。エンドユーザ装置２は、セキュリティサービスごとのセキュリティログを、検知部４３１に所定周期で送信する。検知部４３１は、セキュリティログを時系列で記憶装置４７に記録する（ステップＳ１０１）。セキュリティログには、エンドユーザ端末３に対するセキュリティ攻撃の痕跡が含まれていることがある。検知部４３１は、記憶装置４７に記憶されたセキュリティログを分析することによって、エンドユーザ端末３におけるセキュリティのインシデントの発生を検知する（ステップＳ１０２）。警告部４３２は、セキュリティのインシデントが発生したことを、インシデントの深刻度に応じて、管理部４４１に警告する（ステップＳ１０３）。

【0041】

管理部４４１は、発生したインシデントに管理番号を割り当てる（ステップＳ１０４）。ダッシュボード部４４２は、セキュリティのインシデントが発生したことを表すダッシュボードのデータを、通信部３１に送信する（ステップＳ１０５）。表示部３４は、ダッシュボードのデータに基づいて、インシデントが発生したことを表すダッシュボード１００を表示する（ステップＳ１０６）。通信部３１及び制御部３２は、操作部３３が受け付けた操作に基づいて、インシデントの発生を審査装置４（セキュリティサービス企業）に報告する（ステップＳ１０７）。ダッシュボード部４４２は、インシデントの発生の報告を受け付ける（ステップＳ１０８）。

【0042】

取得部４５１は、発生が報告されたインシデントの管理番号を、管理部４４１又はダッシュボード部４４２から取得する（ステップＳ１０９）。ログ抽出部４５２は、所定条件に基づいて、セキュリティログを記憶装置４７から取得する（ステップＳ１１０）。分析部４５３は、セキュリティログに対して、所定の分析を実行する。分析部４５３は、保険金の支払の対象となり得るインシデント（予め定められたインシデント）が発生したか否かを、分析結果に基づいて判定する（ステップＳ１１１）。

【0043】

保険金の支払の対象となり得るインシデントが発生していないと判定された場合（ステップＳ１１１：ＮＯ）、分析部４５３は、保険金の支払の対象となり得るインシデントが発生していないことを、ダッシュボード部４４２に通知してもよい（ステップＳ１１２）。ダッシュボード部４４２は、保険金の支払の対象となり得るインシデントが発生していないことを表すダッシュボードのデータを、通信部３１に送信する（ステップＳ１１３）。表示部３４は、ダッシュボードのデータに基づいて、保険金の支払の対象となり得るインシデントが発生していないことを表すダッシュボード１００を表示する（ステップＳ１１４）。

【0044】

保険金の支払の対象となり得るインシデントが発生したと判定された場合（ステップＳ１１１：ＹＥＳ）、分析部４５３は、インシデントの内容を、審査部４６１に通知する。分析部４５３は、抽出されたセキュリティログを、審査部４６１に通知してもよい（ステップＳ１１２）。インシデントが発生したことが通知された場合（ステップＳ１１２：ＹＥＳ）、審査部４６１は、抽出されたセキュリティログと、セキュリティログの分析結果（インシデントの内容）と、保険の約款とのうちの少なくとも一つに基づいて、保険金の支払の可否（インシデントが請求勧奨案件であるか否か）を判定する。例えば、審査部４６１は、セキュリティログの分析結果と、保険の約款とを照合する。審査部４６１は、セキュリティログの分析結果と、保険の約款との照合結果に基づいて、保険金の支払の可否を判定する（ステップＳ１１５）。

【0045】

案件化部４６２は、保険金の支払の可否を、ダッシュボード部４４２に通知する。また、保険金の支払が可である（インシデントが請求勧奨案件である）と判定された場合には（ステップＳ１１５：ＹＥＳ）、案件化部４６２は、請求手続きに対応付けられたインシデントの管理番号を、請求勧奨案件の管理番号として、記憶装置４７に記録する（ステップＳ１１６）。

【0046】

ダッシュボード部４４２は、保険金の支払が可であるか否かの判定結果を表すダッシュボードのデータを、通信部３１に送信する（ステップＳ１１７）。表示部３４は、ダッシュボードのデータに基づいて、保険金の支払が可であるか否かの判定結果を表すダッシュボード１００を表示する（ステップＳ１１８）。

【0047】

通信部３１及び制御部３２は、操作部３３が受け付けた操作に基づいて、審査装置４（保険サービス企業）に保険金を請求する（ステップＳ１１８）。ダッシュボード部４４２は、保険金の請求を受け付ける（ステップＳ１２０）。支払部４６３は、保険金の請求手続きを表すデータと、請求手続きに対応付けられたインシデントの管理番号とを、ダッシュボード部４４２から取得する（ステップＳ１２１）。

【0048】

支払部４６３は、管理番号に基づいて、保険金の支払処理を実行する（ステップＳ１２２）。ダッシュボード部４４２は、保険金が支払が完了したことを表すダッシュボードのデータを、通信部３１に送信する（ステップＳ１２３）。表示部３４は、ダッシュボードのデータに基づいて、保険金の支払が完了したことを表すダッシュボード１００を表示する（ステップＳ１２４）。

【0049】

なお、保険金の支払の可否は、支払の可否の判定結果に基づいて、保険サービス企業に属する担当者によって最終的に決定されてもよい。

【0050】

以上のように、エンドユーザ装置２は、エンドユーザ端末３の時系列のセキュリティログを、審査装置４に所定周期で送信する。検知部４３１は、セキュリティログを、例えば記憶装置４７に記録する。ログ抽出部４５２は、所定期間におけるエンドユーザ装置２のセキュリティログを、例えば記憶装置４７から抽出する。分析部４５３は、抽出されたセキュリティログを分析する。例えば、分析部４５３は、予め定められたセキュリティサービスごとに抽出されたセキュリティログの相関を分析する。分析部４５３は、セキュリティ攻撃の痕跡が含まれていることがあるセキュリティログの分析結果に基づいて、予め定められたインシデントが発生したか否かを判定する。審査部４６１は、インシデントが発生したと判定された場合、セキュリティログとセキュリティログの分析結果と保険の約款とのうちの少なくとも一つに基づいて、保険金の支払の可否を判定する。

【0051】

このように、サイバー保険の審査プロセスに、フォレンジック機能が統合されている。これによって、サイバー保険の保険金の請求手続きにおけるエンドユーザの負担を軽減することが可能である。

【0052】

セキュリティサービス企業にとっては、シングルプラットフォームで、サイバー保険のセキュリティサービスを提供することが可能である。

【0053】

保険サービス企業にとっては、正確に審査が行われるので、保険金の不要な支払のリスクを低下させることが可能である。スピーディに審査することが可能である。また、エンドユーザの満足度を向上させることが可能である。

【0054】

サイバー保険サービスのエンドユーザにとっては、フォレンジックに関する非定型作業が自動化されるので、エンドユーザのＩＴリテラシーが高くなくても、セキュリティのインシデントの発生に関して、保険金を適切に請求することが可能である。セキュリティ攻撃による事業停止を回避することが可能である。セキュリティ攻撃による情報漏洩の被害を軽減することが可能である。セキュリティ攻撃による損害賠償のリスクを低下させることが可能である。

【0055】

（ハードウェア構成）
審査装置４の各機能部のうちの一部又は全部は、ＣＰＵ（Central Processing Unit）等のプロセッサが、不揮発性の記録媒体（非一時的な記録媒体）を有するメモリに記憶されたプログラムを実行することにより、ソフトウェアとして実現される。プログラムは、コンピュータ読み取り可能な記録媒体に記録されてもよい。コンピュータ読み取り可能な記録媒体とは、例えばフレキシブルディスク、光磁気ディスク、ＲＯＭ（Read Only Memory）、ＣＤ－ＲＯＭ（Compact Disc Read Only Memory）等の可搬媒体、コンピュータシステムに内蔵されるハードディスク又はソリッド・ステート・ドライブ（SSD: Solid State Drive）等の記憶装置などの非一時的な記録媒体である。通信部は、他の通信装置（不図示）との間の通信を実行する。

【0056】

審査装置４の各機能部のうちの一部又は全部は、例えば、ＬＳＩ（Large Scale Integrated circuit）、ＡＳＩＣ（Application Specific Integrated Circuit）、ＰＬＤ（Programmable Logic Device）又はＦＰＧＡ（Field Programmable Gate Array）等を用いた電子回路（electronic circuit又はcircuitry）を含むハードウェアを用いて実現されてもよい。

【0057】

なお、上述した実施形態において、上記のような形態で実施されるプログラムは、単一の装置に依存するものでもよいし、プログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませて実行することによって所定の処理を行ってもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。また、「コンピュータシステム」は、ホームページ提供環境（あるいは表示環境）を備えたＷＷＷシステムも含むものとする。「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。

【0058】

また、上記プログラムは、このプログラムを記憶装置等に記憶したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。また、上記プログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。

【0059】

以上、この発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。

【産業上の利用可能性】

【0060】

本発明は、サイバー保険の審査システムに適用可能である。

【符号の説明】

【0061】

１…審査システム、２…エンドユーザ装置、３…エンドユーザ端末、４…審査装置、５…通信回線、６…セキュリティサービス端末、７…保険サービス端末、３１…通信部、３２…制御部、３３…操作部、３４…表示部、４１…通信装置、４２…認証装置、４３…セキュリティサービス装置、４４…エンドユーザ処理装置、４５…フォレンジック装置、４６…保険サービス装置、４７…記憶装置、１００…ダッシュボード、１０１…操作キー画像、１０２…操作キー画像、１０３…セキュリティ関連通知欄、２００…案内用画像、２０１…操作キー画像、２０２…操作キー画像、２０３…保険関連通知欄、４３１…検知部、４３２…警告部、４４１…管理部、４４２…ダッシュボード部、４５１…取得部、４５２…ログ抽出部、４５３…分析部、４６１…審査部、４６２…案件化部、４６３…支払部

【図1】

【図2】

【図3】