知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024088567
(43)【公開日】2024-07-02
(54)【発明の名称】セキュリティツールを評価する装置および方法
(51)【国際特許分類】
G06F 21/57 20130101AFI20240625BHJP
【ＦＩ】
G06F21/57 370
【審査請求】未請求
【請求項の数】8
【出願形態】ＯＬ
(21)【出願番号】P 2023072121
(22)【出願日】2023-04-26
(31)【優先権主張番号】P 2022203159
(32)【優先日】2022-12-20
(33)【優先権主張国・地域又は機関】JP
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．ＭｙＳＱＬ
(71)【出願人】
【識別番号】000005234
【氏名又は名称】富士電機株式会社
(74)【代理人】
【識別番号】110004185
【氏名又は名称】インフォート弁理士法人
(74)【代理人】
【識別番号】100121083
【弁理士】
【氏名又は名称】青木 宏義
(74)【代理人】
【識別番号】100138391
【弁理士】
【氏名又は名称】天田 昌行
(74)【代理人】
【識別番号】100132067
【弁理士】
【氏名又は名称】岡田 喜雅
(74)【代理人】
【識別番号】100131521
【弁理士】
【氏名又は名称】堀口 忍
(72)【発明者】
【氏名】藤巻 和輝
(57)【要約】
【課題】パブリッククラウド向けセキュリティツールによる効果を適切に評価する装置および方法を提供する。
【解決手段】セキュリティツール評価装置は、ツール情報収集部、保存部、及び評価部を備え、パブリッククラウドのセキュリティを確認するセキュリティツールを評価する。ツール情報収集部は、セキュリティツールがサポートするセキュリティ要件を表す情報およびセキュリティツールのコストを表す情報を含むツール情報を収集する。保存部は、パブリッククラウドのセキュリティの確認に関連してユーザが要求するセキュリティ要件を表す情報、ユーザが使用するパブリッククラウドのリソースを表す情報、及びパブリッククラウドのセキュリティを確認するために要するコストを表す情報を含むユーザ情報を保存する。評価部は、ツール情報及びユーザ情報に基づいてセキュリティツールを評価する。
【選択図】図１
【解決手段】セキュリティツール評価装置は、ツール情報収集部、保存部、及び評価部を備え、パブリッククラウドのセキュリティを確認するセキュリティツールを評価する。ツール情報収集部は、セキュリティツールがサポートするセキュリティ要件を表す情報およびセキュリティツールのコストを表す情報を含むツール情報を収集する。保存部は、パブリッククラウドのセキュリティの確認に関連してユーザが要求するセキュリティ要件を表す情報、ユーザが使用するパブリッククラウドのリソースを表す情報、及びパブリッククラウドのセキュリティを確認するために要するコストを表す情報を含むユーザ情報を保存する。評価部は、ツール情報及びユーザ情報に基づいてセキュリティツールを評価する。
【選択図】図１
【特許請求の範囲】
【請求項1】
指定されたパブリッククラウドのセキュリティを確認するセキュリティツールを評価するセキュリティツール評価装置であって、
前記セキュリティツールがサポートするセキュリティ要件を表す情報および前記セキュリティツールのコストを表す情報を含むツール情報を収集するツール情報収集部と、
前記パブリッククラウドのセキュリティの確認に関連して前記パブリッククラウドのユーザが要求するセキュリティ要件を表す情報、前記ユーザが使用する前記パブリッククラウドのリソースを表す情報、および前記パブリッククラウドのセキュリティを確認するために要するコストを表す情報を含むユーザ情報を保存する保存部と、
前記ツール情報および前記ユーザ情報に基づいて前記セキュリティツールを評価する評価部と、
を備えるセキュリティツール評価装置。
前記セキュリティツールがサポートするセキュリティ要件を表す情報および前記セキュリティツールのコストを表す情報を含むツール情報を収集するツール情報収集部と、
前記パブリッククラウドのセキュリティの確認に関連して前記パブリッククラウドのユーザが要求するセキュリティ要件を表す情報、前記ユーザが使用する前記パブリッククラウドのリソースを表す情報、および前記パブリッククラウドのセキュリティを確認するために要するコストを表す情報を含むユーザ情報を保存する保存部と、
前記ツール情報および前記ユーザ情報に基づいて前記セキュリティツールを評価する評価部と、
を備えるセキュリティツール評価装置。
【請求項2】
前記評価部は、前記ユーザが要求するセキュリティ要件のうち、前記セキュリティツールによりサポートされるセキュリティ要件の割合を表す情報を出力する
ことを特徴とする請求項１に記載のセキュリティツール評価装置。
ことを特徴とする請求項１に記載のセキュリティツール評価装置。
【請求項3】
前記評価部は、
前記セキュリティツールを導入して前記パブリッククラウドのセキュリティを確認するときに発生する人件費を表す第１のコストを計算し、
前記セキュリティツールを導入せずに前記パブリッククラウドのセキュリティを確認するときに発生する人件費を表す第２のコストを計算し、
前記第１のコストおよび前記第２のコストに基づいて、前記セキュリティツールを導入することにより削減されるコストを表す情報を出力する
ことを特徴とする請求項１に記載のセキュリティツール評価装置。
前記セキュリティツールを導入して前記パブリッククラウドのセキュリティを確認するときに発生する人件費を表す第１のコストを計算し、
前記セキュリティツールを導入せずに前記パブリッククラウドのセキュリティを確認するときに発生する人件費を表す第２のコストを計算し、
前記第１のコストおよび前記第２のコストに基づいて、前記セキュリティツールを導入することにより削減されるコストを表す情報を出力する
ことを特徴とする請求項１に記載のセキュリティツール評価装置。
【請求項4】
前記第１のコストは、前記セキュリティツールがサポートするセキュリティ要件について、前記セキュリティツールを利用して前記パブリッククラウドのセキュリティを確認するときに発生する人件費と、前記セキュリティツールがサポートしないセキュリティ要件について、前記セキュリティツールを利用せずに前記パブリッククラウドのセキュリティを確認するときに発生する人件費との和である
ことを特徴とする請求項３に記載のセキュリティツール評価装置。
ことを特徴とする請求項３に記載のセキュリティツール評価装置。
【請求項5】
前記評価部は、前記第１のコストと前記第２のコストの差分を計算することで、前記セキュリティツールを導入することによる人件費の削減額を計算する
ことを特徴とする請求項３に記載のセキュリティツール評価装置。
ことを特徴とする請求項３に記載のセキュリティツール評価装置。
【請求項6】
前記評価部は、前記人件費の削減額に前記セキュリティツールの使用料を加算することで、前記セキュリティツールを導入することによるコスト削減額を計算する
ことを特徴とする請求項５に記載のセキュリティツール評価装置。
ことを特徴とする請求項５に記載のセキュリティツール評価装置。
【請求項7】
前記ツール情報収集部は、複数の異なるセキュリティツールそれぞれのツール情報を収集し、
前記評価部は、前記複数の異なるセキュリティツールそれぞれについての前記ツール情報および前記ユーザ情報に基づいて、前記複数のセキュリティツールを導入することによる効果を評価する
ことを特徴とする請求項１に記載のセキュリティツール評価装置。
前記評価部は、前記複数の異なるセキュリティツールそれぞれについての前記ツール情報および前記ユーザ情報に基づいて、前記複数のセキュリティツールを導入することによる効果を評価する
ことを特徴とする請求項１に記載のセキュリティツール評価装置。
【請求項8】
指定されたパブリッククラウドのセキュリティを確認するセキュリティツールを評価するセキュリティツール評価方法であって、
前記セキュリティツールがサポートするセキュリティ要件を表す情報および前記セキュリティツールのコストを表す情報を含むツール情報を収集し、
前記パブリッククラウドのユーザからの入力に基づいて、前記パブリッククラウドのセキュリティの確認に関連して前記ユーザが要求するセキュリティ要件を表す情報、前記ユーザが使用する前記パブリッククラウドのリソースを表す情報、および前記パブリッククラウドのセキュリティを確認するために要するコストを表す情報を含むユーザ情報を作成し、
前記ツール情報および前記ユーザ情報に基づいて前記セキュリティツールを評価する
ことを特徴とするセキュリティツール評価方法。
前記セキュリティツールがサポートするセキュリティ要件を表す情報および前記セキュリティツールのコストを表す情報を含むツール情報を収集し、
前記パブリッククラウドのユーザからの入力に基づいて、前記パブリッククラウドのセキュリティの確認に関連して前記ユーザが要求するセキュリティ要件を表す情報、前記ユーザが使用する前記パブリッククラウドのリソースを表す情報、および前記パブリッククラウドのセキュリティを確認するために要するコストを表す情報を含むユーザ情報を作成し、
前記ツール情報および前記ユーザ情報に基づいて前記セキュリティツールを評価する
ことを特徴とするセキュリティツール評価方法。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、パブリッククラウド向けセキュリティツールを評価する装置および方法に係わる。
【背景技術】
【0002】
近年、パブリッククラウドを利用して業務を行う事業形態が増加してきている。これに伴い、パブリッククラウドのセキュリティレベルを確認したいという要望も増加している。このため、パブリッククラウドのセキュリティ対策を示す情報と、自組織のセキュリティポリシを示す情報とを比較し、セキュリティポリシとセキュリティ対策が所定の関係を満たしているかを判定する方法が提案されている（例えば、特許文献１）。
【先行技術文献】
【特許文献】
【0003】
【特許文献1】特開２０１７－０５８９８５号公報
【発明の概要】
【発明が解決しようとする課題】
【0004】
パブリッククラウドのセキュリティレベルを確認するセキュリティツールを導入する場合、どの程度の効果が見込めるのかを評価することは容易でない。また、利用しているパブリッククラウドに対して複数のセキュリティツールが提供されている場合、どのツールを選択すべきかの判断も難しい。
【0005】
本発明の１つの側面に係わる目的は、パブリッククラウド向けセキュリティツールによる効果を適切に評価する装置および方法を提供することである。
【課題を解決するための手段】
【0006】
本発明の１つの態様のセキュリティツール評価装置は、指定されたパブリッククラウドのセキュリティを確認するセキュリティツールを評価する。セキュリティツール評価装置は、前記セキュリティツールがサポートするセキュリティ要件を表す情報および前記セキュリティツールのコストを表す情報を含むツール情報を収集するツール情報収集部と、前記パブリッククラウドのセキュリティの確認に関連して前記パブリッククラウドのユーザが要求するセキュリティ要件を表す情報、前記ユーザが使用する前記パブリッククラウドのリソースを表す情報、および前記パブリッククラウドのセキュリティを確認するために要するコストを表す情報を含むユーザ情報を保存する保存部と、前記ツール情報および前記ユーザ情報に基づいて前記セキュリティツールを評価する評価部と、を備える。
【発明の効果】
【0007】
上述の態様によれば、パブリッククラウド向けセキュリティツールによる効果を適切に評価することができる。
【図面の簡単な説明】
【0008】
【図1】本発明の実施形態に係わるセキュリティツール評価装置の一例を示す図である。
【図2】ツール情報（サポート情報およびコスト情報）の一例を示す図である。
【図3】ツール情報（対象リソース情報および適用可能リソース情報）の一例を示す図である。
【図4】ユーザ情報（自社セキュリティ要件情報）の入力および保存の一例を示す図である。
【図5】ユーザ情報（自社コスト情報）の入力および保存の一例を示す図である。
【図6】ユーザ情報（使用リソース情報）の入力および保存の一例を示す図である。
【図7】ツール情報を収集して保存する手順の一例を示すフローチャートである。
【図8】ユーザ情報を作成して保存する手順の一例を示すフローチャートである。
【図9】評価部の処理の一例を示すフローチャートである。
【図10】自社で選択したセキュリティ要件に対する可能率を計算する処理の一例を示すフローチャートである。
【図11】セキュリティツールを導入することによるコスト削減効果を計算する処理の一例を示すフローチャートである。
【図12】ユーザ情報（自社セキュリティ要件情報、自社コスト情報、使用リソース情報）の一例を示す図である。
【図13】ツール情報（サポート情報、コスト情報、対象リソース情報、適用可能リソース情報）の一例を示す図である。
【図14】セキュリティツール評価装置により得られる評価結果の一例を示す図である。
【図15】セキュリティ要件選択画面のバリエーションを示す図である。
【図16】評価結果を表示する評価結果画面の一例を示す図である。
【図17】第２の実施形態において作成されるサポート情報の一例を示す図である。
【図18】第２の実施形態におけるセキュリティツール評価装置の処理の一例を示すフローチャートである。
【図19】セキュリティツールペアに対して作成されるサポート情報の一例を示す図である。
【図20】第２の実施形態において自社要件に対する自動チェックの可能率を計算する処理の一例を示すフローチャートである。
【図21】第２の実施形態において必須要件に対する自動チェックの可能率を計算する処理の一例を示すフローチャートである。
【図22】第２の実施形態においてコスト削減効果を計算する処理の一例を示すフローチャートである。
【図23】第２の実施形態において得られる評価結果の一例を示す図である。
【図24】自動チェックを行うことができないセキュリティ要件一覧の表示例を示す図である。
【図25】ユーザ情報（自社セキュリティ要件情報、自社コスト情報、使用リソース情報）の一例を示す図である。
【図26】ツール情報（サポート情報、コスト情報、対象リソース情報、適用可能リソース情報）の一例を示す図である。
【図27】セキュリティツール評価装置により得られる評価結果の一例を示す図である。
【図28】セキュリティツール評価装置のハードウェア構成の一例を示す図である。
【発明を実施するための形態】
【0009】
図１は、本発明の実施形態に係わるセキュリティツール評価装置の一例を示す。本発明の実施形態に係わるセキュリティツール評価装置１は、ツール情報収集部１１、インタフェース部１２、データベースＤＢ１、データベースＤＢ２、および評価部１３を備える。ただし、セキュリティツール評価装置１は、図１に示していない他の機能をさらに備えてもよい。
【0010】
ユーザは、この実施例では、パブリッククラウドを利用する組織に属するシステム管理者である。ここで、パブリッククラウドは、インターネット等のネットワークを介して情報システムのリソースを提供するサービス形態であり、ユーザは、パブリッククラウド事業者から提供されるサーバ環境を使用できる。
【0011】
パブリッククラウドを利用する際には、そのセキュリティレベルを確認することが好ましい。このため、従来から、パブリッククラウドのセキュリティレベルまたはセキュリティポリシを確認するためのセキュリティツールが提供されている。このようなセキュリティツールとして、例えば、ＣＳＭＰ（Cloud Security Posture Management）ツールが実用化されている。
【0012】
ＣＳＰＭツールは、クラウドサービスのセキュリティ評価およびコンプライアンスの監視を行い、クラウドセキュリティリスクを事前に特定して修正する。具体的には、ＣＳＰＭツールは、例えば、下記の機能を提供する。
（１）アクセスの識別
（２）コンプライアンスポリシの評価および監視
（３）オペレーションの監視
（４）インシデント対応
（５）リスクの検出および可視化
（１）アクセスの識別
（２）コンプライアンスポリシの評価および監視
（３）オペレーションの監視
（４）インシデント対応
（５）リスクの検出および可視化
【0013】
セキュリティツール評価装置１は、上述のようなセキュリティツールを評価する。具体的には、セキュリティツール評価装置１は、パブリッククラウドのセキュリティを確認するセキュリティツールの性能およびコストを評価する。
【0014】
ツール情報収集部１１は、指定されたパブリッククラウドのセキュリティを確認するためのセキュリティツールに係わる情報を収集する。以下の記載では、指定されたパブリッククラウドのセキュリティを確認するためのセキュリティツールに係わる情報を「ツール情報」と呼ぶことがある。ツール情報は、セキュリティ要件の対象となるパブリッククラウド上のリソースに係わる情報、セキュリティツールのコストに係わる情報、セキュリティツールを提供可能なパブリッククラウド上のリソースを表す情報等を含む。また、ツール情報収集部１１は、例えば、使用しているパブリッククラウドまたは所望のパブリッククラウドを指定することにより、Ｗｅｂスクレイピング等により、ツール情報を収集できるものとする。そして、ツール情報収集部１１は、収集したツール情報をデータベースＤＢ１に保存する。
【0015】
図２～図３は、データベースＤＢ１に保存されたツール情報の一例を示す。なお、以下の記載では、ＣＳＰＭツールは、セキュリティツールの一例である。また、この実施例では、複数のセキュリティツール（ＣＳＰＭ－Ａ、ＣＳＰＭ－Ｂ、ＣＳＰＭ－Ｃ、．．．）についてのツール情報が収集される。
【0016】
図２（ａ）は、サポート情報の一例を示す。サポート情報は、セキュリティ要件がＣＳＰＭツールによりサポートされているか否かを表す。たとえば、セキュリティ要件「すべての特権ユーザに対して多要素認証が有効になっていることを確認する」は、ＣＳＰＭ－Ａ、ＣＳＰＭ－Ｂ、およびＣＳＰＭ－Ｃによりサポートされている。これに対して、セキュリティ要件「すべての仮想マシンに対して最新のＯＳパッチが適用されていることを確認する」は、ＣＳＰＭ－ＡおよびＣＳＰＭ－Ｃによりサポートされているが、ＣＳＰＭ－Ｂはこのセキュリティ要件をサポートしていない。なお、ツール情報収集部１１は、収集した情報の内容を分析することにより、各セキュリティツール（ＣＳＰＭ－Ａ、ＣＳＰＭ－Ｂ、ＣＳＰＭ－Ｃ、．．．）が各セキュリティ要件をサポートするか否かを判定できるものとする。
【0017】
図２（ｂ）は、コスト情報の一例を示す。コスト情報は、各セキュリティツールの使用料を表す。この例では、１月当たりの使用料が記録されている。例えば、ＣＳＰＭ－Ａの使用料は「２０万円／月」であり、ＣＳＰＭ－Ｂの使用料は「１５万円／月」であり、ＣＳＰＭ－Ｃの使用料は「１８万円／月」である。
【0018】
図３（ａ）は、対象リソース情報の一例を示す。対象リソース情報は、セキュリティ要件が対象とするリソースを表す。例えば、セキュリティ要件「転送中に機密データを暗号化する」は、コンテナおよびＭｙＳＱＬを対象とするが、仮想マシンを対象としない。また、セキュリティ要件「すべての仮想マシンに対して最新のＯＳパッチが適用されていることを確認する」は、仮想マシンを対象とするが、コンテナおよびＭｙＳＱＬを対象としない。なお、対象リソース情報は、この実施例では、パブリッククラウドまたはセキュリティツールの標準化団体等により決定されるものであり、各セキュリティツール（ＣＳＰＭ－Ａ、ＣＳＰＭ－Ｂ、ＣＳＰＭ－Ｃ、．．．）に対して共通であるものとする。この場合、ツール情報収集部１１は、その標準化団体のサイトから対象リソース情報を取得してもよい。
【0019】
図３（ｂ）は、適用可能リソース情報の一例を示す。適用可能リソース情報は、セキュリティツール毎に、評価／監視処理を適用可能なクラウド上のリソースを表す。例えば、ＣＳＰＭ－Ａは、仮想マシン、コンテナ、ＭｙＳＱＬ、およびゲートウェイに係わる評価／監視処理をサポートする。ＣＳＰＭ－Ｂは、仮想マシン、コンテナ、ＭｙＳＱＬ、ＦａａＳ、ＰｏｓｔｇｒｅＳＱＬ、およびゲートウェイに係わる評価／監視処理をサポートする。
【0020】
インタフェース部１２は、ユーザからの入力を受け付ける。ユーザは、上述のように、例えば、パブリッククラウドを利用する組織または企業に属するシステム管理者である。ただし、以下の記載では、パブリッククラウドを利用する組織または企業を「ユーザ」と呼ぶことがある。
【0021】
インタフェース部１２は、ユーザから、パブリッククラウドのセキュリティの確認に関連してユーザが要求する機能を表す情報、ユーザが使用するパブリッククラウドのリソースを表す情報、およびパブリッククラウドのセキュリティを確認するために要するコストを表す情報などを受け取る。そして、インタフェース部１２は、ユーザから入力されるこれらの情報をデータベースＤＢ２に保存する。なお、以下の記載では、インタフェース部１２がユーザから受け取ってデータベースＤＢ２に保存する情報を「ユーザ情報」と呼ぶことがある。
【0022】
図４は、ユーザ情報（自社セキュリティ要件情報）の入力および保存の一例を示す。この実施例では、インタフェース部１２は、図４（ａ）に示すセキュリティ要件選択画面２１を提供する。セキュリティ要件選択画面２１は、パブリッククラウドのセキュリティの確認に関連してユーザが必要とする機能をユーザに選択させるための画面である。ユーザは、このセキュリティ要件選択画面２１を利用して、自社が必要とするセキュリティ要件を選択する。そうすると、インタフェース部１２は、ユーザの選択に基づいて図４（ｂ）に示す自社セキュリティ要件情報を作成してデータベースＤＢ２に保存する。この実施例では、「すべての特権ユーザに対して多要素認証が有効になっていることを確認する」および「すべての仮想マシンに対して最新のＯＳパッチが適用されていることを確認する」が選択されている。なお、図４（ｂ）において、「１」はユーザにより選択されたことを表し、「０」はユーザにより選択されなかったことを表す。
【0023】
図５は、ユーザ情報（自社コスト情報）の入力および保存の一例を示す。この実施例では、インタフェース部１２は、図５（ａ）に示すコスト入力画面２２を提供する。コスト入力画面２２は、各セキュリティ要件に対応する作業を実行することに要するコストをユーザに入力させるための画面である。自社コスト情報における「コスト」は、人件費を表す。手動チェック時のコストは、セキュリティツールを使用することなくネットワーク管理者がセキュリティ要件に対応する作業を実行したときに発生する人件費を意味する。自動チェック時のコストは、セキュリティツールを使用してネットワーク管理者がセキュリティ要件に対応する作業を実行したときに発生する人件費を意味する。
【0024】
ユーザは、このコスト入力画面２２を利用して、各セキュリティ要件について手動チェック時のコストおよび自動チェック時のコストを入力する。このとき、ユーザは、たとえば、過去の経験に基づいて、或いは、類似する作業において実際に発生するコストに基づいて、手動チェック時のコストおよび自動チェック時のコストを推定してコスト入力画面２２に入力してもよい。そうすると、インタフェース部１２は、ユーザの入力に基づいて図５（ｂ）に示す自社コスト情報を作成してデータベースＤＢ２に保存する。この実施例では、例えば、「すべての特権ユーザに対して多要素認証が有効になっていることを確認する」を実行する際に発生する人件費は、手動チェック時には「１万円／月」であり、自動チェック時には「１０００円／月」である。
【0025】
図６は、ユーザ情報（使用リソース情報）の入力および保存の一例を示す。この実施例では、インタフェース部１２は、図６（ａ）に示す使用リソース入力画面２３を提供する。使用リソース入力画面２３は、パブリッククラウド上で自社が使用しているリソースをユーザに入力させるための画面である。したがって、ユーザは、この使用リソース入力画面２３を利用して、自社がパブリッククラウド上で使用しているリソースを入力する。この実施例では、自社がパブリッククラウド上で３個の仮想マシン、８個のコンテナ、１個のＭｙＳＱＬ、２個のＦａａＳ、１個のゲートウェイを使用している。
【0026】
評価部１３は、データベースＤＢ１に保存されているツール情報およびデータベースＤＢ２に保存されているユーザ情報に基づいてセキュリティツールを評価する。このとき、評価部１３は、ユーザが要求するセキュリティ要件（機能）のうち、評価対象セキュリティツールにより提供されるセキュリティ要件の割合を表す情報を出力する。また、評価部１３は、セキュリティツールを利用して評価対象パブリッククラウドのセキュリティを確認するときに発生するコストを表す第１のコストを計算すると共に、セキュリティツールを利用せずに評価対象パブリッククラウドのセキュリティを確認するときに発生するコストを表す第２のコストを計算する。そして、評価部１３は、第１のコストおよび第２のコストに基づいて、セキュリティツールを導入することにより削減されるコストを表す情報を出力する。
【0027】
このように、セキュリティツール評価装置１は、パブリッククラウドのセキュリティを確認するためのセキュリティツールに係わる情報を収集すると共に、そのセキュリティツールに係わるユーザの要求およびコスト情報を取得する。そして、セキュリティツール評価装置１は、これらの情報に基づいて、自社が必要とするセキュリティ要件がどの程度セキュリティツールによりサポートされるのか、及び、セキュリティツールを導入することによるコスト削減効果がどの程度なのか評価する。したがって、パブリッククラウドのユーザは、セキュリティツールを導入すべきか否か、或いは、どのセキュリティツールを導入すべきかについて、具体的な情報を得ることができる。
【0028】
図７は、ツール情報を収集して保存する手順の一例を示すフローチャートである。このフローチャートの処理は、例えば、ユーザからの指示に応じて開始される。このとき、ユーザは、自社が使用しているパブリッククラウドを指定してもよい。また、ユーザは、自社が使用しているパブリッククラウドのセキュリティを確認する１または複数のセキュリティツールを指定してもよい。
【0029】
Ｓ１において、ツール情報収集部１１は、ユーザからの指示に応じて、セキュリティツールを提供する各ベンダのサイトにアクセスしてツール情報を収集する。ツール情報は、例えば、セキュリティツールについて記載しているカタログ、パンフレット、仕様書、および技術資料などから抽出される。これにより、ツール情報収集部１１は、たとえば、図２（ａ）に示すサポート情報、図２（ｂ）に示すコスト情報、および図３（ｂ）に示す適用可能リソース情報などを取得する。
【0030】
Ｓ２において、ツール情報収集部１１は、セキュリティツールまたはパブリッククラウドの標準化団体などのサイトにアクセスして、各セキュリティツールに共通するツール情報を収集する。これにより、ツール情報収集部１１は、たとえば、図３（ａ）に示す対象リソース情報などを取得する。この後、Ｓ３において、ツール情報収集部１１は、Ｓ１～Ｓ２で収集したツール情報をデータベースＤＢ１に保存する。
【0031】
図８は、ユーザ情報を作成して保存する手順の一例を示すフローチャートである。このフローチャートの処理は、例えば、ユーザからの指示に応じて開始される。なお、破線で示すステップ（Ｓ１２、Ｓ１５、Ｓ１８）は、ユーザによる操作を表す。
【0032】
Ｓ１１において、インタフェース部１２は、ユーザ端末の表示装置に図４（ａ）に示すセキュリティ要件選択画面２１を表示する。Ｓ１２において、ユーザは、セキュリティ要件選択画面２１を利用して提示されるセキュリティ要件の中から、自社が必要とするセキュリティ条件を選択する。Ｓ１３において、インタフェース部１２は、ユーザの選択に基づいて、図４（ｂ）に示す自社セキュリティ要件情報を作成する。
【0033】
Ｓ１４において、インタフェース部１２は、ユーザ端末の表示装置に図５（ａ）に示すコスト入力画面２２を表示する。Ｓ１５において、ユーザは、コスト入力画面２２を利用して、各セキュリティ要件について、手動チェック時のコストおよび自動チェック時のコストを入力する。Ｓ１６において、インタフェース部１２は、ユーザの入力に基づいて、図５（ｂ）に示す自社コスト情報を作成する。
【0034】
Ｓ１７において、インタフェース部１２は、ユーザ端末の表示装置に図６（ａ）に示す使用リソース入力画面２３を表示する。Ｓ１８において、ユーザは、使用リソース入力画面２３を利用して、パブリッククラウド上で自社が使用しているリソースを入力する。Ｓ１９において、インタフェース部１２は、ユーザの入力に基づいて、図６（ｂ）に示す使用リソース情報を作成する。この後、Ｓ２０において、インタフェース部１２は、作成した自社セキュリティ要件情報、自社コスト情報、および使用リソース情報をデータベースＤＢ２に保存する。
【0035】
図９は、評価部１３の処理の一例を示すフローチャートである。このフローチャートの処理は、例えば、ユーザからの指示に応じて実行される。なお、このフローチャートの処理が実行される前に、データベースＤＢ１にツール情報が保存されており、且つ、データベースＤＢ２にユーザ情報が保存されているものとする。
【0036】
評価部１３は、ツール情報収集部１１によりツール情報が収集された各セキュリティツールについて、或いは、ユーザにより指定された各セキュリティツールについて、Ｓ３０およびＳ４０の処理を実行する。このとき、評価部１３は、例えば、１または複数のセキュリティツールのうちから１つずつ順番に処理対象のセキュリティツールを選択してＳ３０およびＳ４０の処理を実行する。なお、以下の記載では、Ｓ３０およびＳ４０の処理を実行するために選択されたセキュリティツールを「対象セキュリティツール」と呼ぶことがある。
【0037】
Ｓ３０において、評価部１３は、自社で選択したセキュリティ要件に対する可能率を計算する。Ｓ４０において、評価部１３は、セキュリティツールを導入することによるコスト削減効果を計算する。なお、評価部１３は、Ｓ４０の前にＳ３０を実行してもよいし、Ｓ３０の前にＳ４０を実行してもよい。
【0038】
【0039】
Ｓ３１において、評価部１３は、自社が必要とするセキュリティ要件の個数をカウントする。自社が必要とするセキュリティ要件は、図４を参照して説明したように、セキュリティツール評価装置１が提示するセキュリティ要件の中からユーザにより選択されたセキュリティ要件に相当する。したがって、評価部１３は、データベースＤＢ２に保存されている自社セキュリティ要件情報を参照することにより、自社が必要とするセキュリティ要件の個数をカウントできる。
【0040】
Ｓ３２において、評価部１３は、自社が必要とするセキュリティ要件のうちで、対象セキュリティツールがサポートするセキュリティ要件の個数をカウントする。対象セキュリティツールがサポートするセキュリティ要件は、図２（ａ）に示すサポート情報として表されている。したがって、評価部１３は、データベースＤＢ１に保存されているサポート情報を参照することにより、自社が必要とするセキュリティ要件のうちで、対象セキュリティツールがサポートするセキュリティ要件の個数をカウントできる。
【0041】
Ｓ３３において、評価部１３は、Ｓ３２で得られた個数をＳ３１で得られた個数で除算することにより、対象セキュリティツールの可能率を計算する。この可能率は、自社が必要とするセキュリティ要件のうちで、どの程度のセキュリティ要件が対象セキュリティツールによりサポートされているかの割合を表す。
【0042】
例えば、図４に示す例では、自社が必要とするセキュリティ要件として「すべての特権ユーザに対して多要素認証が有効になっていることを確認する（要件１）」および「すべての仮想マシンに対して最新のＯＳパッチが適用されていることを確認する（要件２）」が選択されている。ここで、図２（ａ）に示すサポート情報がデータベースＤＢ１に保存されているものとする。この場合、例えば、対象セキュリティツールがＣＳＰＭ－Ａであれば、評価部１３は、Ｓ３２において、これら２つの要件をカウントする。また、対象セキュリティツールがＣＳＰＭ－Ｂであれば、評価部１３は、Ｓ３２において、要件１をカウントするが、要件２はカウントしない。
【0043】
評価部１３は、Ｓ３３で計算した可能率を表す情報を出力する。例えば、自社が必要とするセキュリティ要件の個数が「２０」であり、自社が必要とするセキュリティ要件のうちで対象セキュリティツールがサポートするセキュリティ要件の個数が「１７」であるものとする。この場合、「可能率：０．８５」が出力される。
【0044】
【0045】
Ｓ４１において、評価部１３は、自社が必要とするセキュリティ要件のうちで、対象セキュリティツールを使用してパブリッククラウドのセキュリティの確認作業が行われるセキュリティ要件について、その確認作業に際して発生するコストＣ１を計算する。Ｓ４２において、評価部１３は、自社が必要とするセキュリティ要件のうちで、対象セキュリティツールなしでパブリッククラウドのセキュリティの確認作業が行われるセキュリティ要件について、その確認作業に際して発生するコストＣ２を計算する。コストＣ１およびコストＣ２は、この実施例では、それぞれ人件費である。Ｓ４３において、評価部１３は、コストＣ１とコストＣ２とを足し合わせることで、対象セキュリティツールを導入したケースで発生する人件費Ｘを計算する。
【0046】
例えば、自社が必要とするセキュリティ要件として、要件Ｒ１～Ｒ２０が選択されているものとする。また、対象セキュリティツールは、要件Ｒ１～Ｒ１７をサポートしているものとする。この場合、評価部１３は、Ｓ４１において、各要件Ｒ１～Ｒ１７について、対象セキュリティツールを使用して確認作業を行う際に発生するコストを求め、その合計を計算する。また、評価部１３は、Ｓ４２において、各要件Ｒ１８～Ｒ２０について、対象セキュリティツールなしで確認作業を行う際に発生するコストを求め、その合計を計算する。なお、具体的な計算の例は後で記載する。
【0047】
Ｓ４４において、評価部１３は、現在の人件費Ｙを計算する。即ち、評価部１３は、セキュリティツールを導入していない現在の状況において、自社が必要とする全てのセキュリティ要件を手動で確認する際に発生する人件費Ｙを計算する。
【0048】
Ｓ４５において、評価部１３は、対象セキュリティツールを導入することによる人件費の削減額ＭＰを計算する。具体的には、Ｓ４３で得られる人件費ＸからＳ４４で得られる人件費Ｙを引算することで、人件費の削減額ＭＰが計算される。
【0049】
Ｓ４６において、評価部１３は、図２（ｂ）に示すコスト情報を参照することで、対象セキュリティツールのコストＺを特定する。コストＺは、対象セキュリティツールの使用料に相当する。そして、Ｓ４７において、評価部１３は、Ｓ４５で得られる人件費の削減額ＭＰに、Ｓ４６で得られる対象セキュリティツールのコストＺを加算することで、セキュリティツールを導入することによるコスト削減効果を計算する。
【0050】
＜実施例＞
以下に記載する実施例では、データベースＤＢ２には、図１２に示すユーザ情報が保存されているものとする。また、データベースＤＢ１には、図１３に示すツール情報が保存されているものとする。具体的には以下の通りである。
以下に記載する実施例では、データベースＤＢ２には、図１２に示すユーザ情報が保存されているものとする。また、データベースＤＢ１には、図１３に示すツール情報が保存されているものとする。具体的には以下の通りである。
【0051】
ユーザは、図１２（ａ）に示すように、自社が必要とするセキュリティ要件として、要件１～３を選択している。各セキュリティ要件に係わる確認作業を行うときに発生する人件費（手動チェック時のコストおよび自動チェック時のコスト）は、図１２（ｂ）に示す通りである。自社が使用するパブリッククラウド上のリソースは、図１２（ｃ）に示す通りである。
【0052】
使用するセキュリティツールの候補として、ＣＳＰＭ－ＡおよびＣＳＰＭ－Ｂが抽出されている。各セキュリティツールは、図１３（ａ）に示すように、１または複数のセキュリティ要件をサポートする。各セキュリティツールの使用料は、図１３（ｂ）に示す通りである。各セキュリティ要件は、図１３（ｃ）に示すように、１または複数のリソースを対象とする。各セキュリティツールは、図１３（ｄ）に示すように、１または複数のリソースに適用可能である。なお、以下の記載では、説明を簡潔にするために、ＣＳＰＭ－ＡおよびＣＳＰＭ－Ｂがそれぞれすべてのリソースに適用可能であり、図１３（ｂ）に示す適用可能リソース情報を考慮せずにコストを計算するものとする。
【0053】
ＣＳＰＭ－Ａについての評価は以下の通りである。ＣＳＰＭ－Ａは、要件１～３をサポートする。よって、評価部１３は、Ｓ４１において、ＣＳＰＭ－Ａを用いて各要件１～３に係わる確認作業を行う際の人件費Ｃ１を計算する。ここで、要件１は、仮想マシンを対象とする。また、自社は３個の仮想マシンを使用する。さらに、要件１の自動チェック時のコストは１０００円／月である。よって、要件１に係わる人件費は以下の通りである。
要件１に係わる人件費＝3×1000＝3000
要件２は、コンテナおよびＭｙＳＱＬを対象とする。また、自社は、８個のコンテナおよび１個のＭｙＳＱＬを使用する。さらに、要件２の自動チェック時のコストは１０００円／月である。よって、要件２に係わる人件費は以下の通りである。
要件２に係わる人件費＝8×1000＋1×1000＝9000
要件３は、仮想マシン、コンテナ、およびＭｙＳＱＬを対象とする。また、自社は、３個の仮想マシン、８個のコンテナ、および１個のＭｙＳＱＬを使用する。さらに、要件３の自動チェック時のコストは５００円／月である。よって、要件３に係わる人件費は以下の通りである。
要件３に係わる人件費＝3×500＋8×500＋1×500＝6000
要件１に係わる人件費＝3×1000＝3000
要件２は、コンテナおよびＭｙＳＱＬを対象とする。また、自社は、８個のコンテナおよび１個のＭｙＳＱＬを使用する。さらに、要件２の自動チェック時のコストは１０００円／月である。よって、要件２に係わる人件費は以下の通りである。
要件２に係わる人件費＝8×1000＋1×1000＝9000
要件３は、仮想マシン、コンテナ、およびＭｙＳＱＬを対象とする。また、自社は、３個の仮想マシン、８個のコンテナ、および１個のＭｙＳＱＬを使用する。さらに、要件３の自動チェック時のコストは５００円／月である。よって、要件３に係わる人件費は以下の通りである。
要件３に係わる人件費＝3×500＋8×500＋1×500＝6000
【0054】
続いて、評価部１３は、Ｓ４２の人件費を計算する。ただし、ＣＳＰＭ－Ａは、要件１～３のすべてをサポートする。すなわち、要件１～３に対して手動チェックを行う必要はない。よって、Ｓ４２で得られる人件費Ｃ２はゼロであり、Ｓ４３で得られる合計人件費Ｘは、１８０００円／月である。
【0055】
続いて、評価部１３は、Ｓ４４において、セキュリティツールを導入していない現在の状況における人件費Ｙを計算する。人件費Ｙを計算する方法は、Ｓ４１～Ｓ４２の人件費を計算する方法と実質的に同じである。ただし、「自動チェック時のコスト」の代わりに「手動チェック時のコスト」が使用される。具体的には、以下の通りである。
要件１に係わる人件費＝3×10000＝30000
要件２に係わる人件費＝8×10000＋1×10000＝90000
要件３に係わる人件費＝3×10000＋8×10000＋1×10000＝120000
したがって、Ｓ４４において計算される、セキュリティツールを導入していないケースでの人件費Ｙは、２４００００円／月である。
要件１に係わる人件費＝3×10000＝30000
要件２に係わる人件費＝8×10000＋1×10000＝90000
要件３に係わる人件費＝3×10000＋8×10000＋1×10000＝120000
したがって、Ｓ４４において計算される、セキュリティツールを導入していないケースでの人件費Ｙは、２４００００円／月である。
【0056】
Ｓ４５で計算される人件費の削減額ＭＰは、人件費Ｘと人件費Ｙとの差分に相当する。よって、人件費の削減額ＭＰは２２２０００円／月である。
【0057】
ここで、ＣＳＰＭ－Ａの使用料は、図１３（ｂ）に示すように、１０００００円／月である。よって、ＣＳＰＭ－Ａを導入することによるコスト削減効果は１２２０００円／月である。なお、ＣＳＰＭ－Ａは、要件１～３をすべてサポートする。したがって、自社が必要とするセキュリティ要件に対する可能率は１００パーセントである。
【0058】
ＣＳＰＭ－Ｂについての評価は以下の通りである。ＣＳＰＭ－Ｂは、要件１～２をサポートする。よって、評価部１３は、Ｓ４１において、ＣＳＰＭ－Ｂを用いて各要件１～２に係わる確認作業を行う際の人件費を計算する。なお、この人件費の計算は、ＣＳＰＭ－ＡおよびＢＣＳＰＭ－Ｂに対して実質的に同じである。したがって、要件１～２に対して下記の計算結果が得られる。
要件１に係わる人件費＝3×1000＝3000
要件２に係わる人件費＝8×1000＋1×1000＝9000
すなわち、人件費Ｃ１は、１２０００円／月である。
要件１に係わる人件費＝3×1000＝3000
要件２に係わる人件費＝8×1000＋1×1000＝9000
すなわち、人件費Ｃ１は、１２０００円／月である。
【0059】
続いて、評価部１３は、Ｓ４２の人件費を計算する。ここで、ＣＳＰＭ－Ｂは、要件３をサポートしない。すなわち、ユーザは、要件３については、手動でチェックを行う必要がある。この場合、下記の人件費が発生する。
要件３に係わる人件費＝3×10000＋8×10000＋1×10000＝120000
すなわち、人件費Ｃ２は、１２００００円／月である。したがって、ＣＳＰＭ－Ｂを導入したケースにおいて要件１～３に係わる合計人件費Ｘは１３２０００円／月である。
要件３に係わる人件費＝3×10000＋8×10000＋1×10000＝120000
すなわち、人件費Ｃ２は、１２００００円／月である。したがって、ＣＳＰＭ－Ｂを導入したケースにおいて要件１～３に係わる合計人件費Ｘは１３２０００円／月である。
【0060】
人件費の削減額ＭＰは、人件費Ｘと人件費Ｙとの差分に相当する。ここで、セキュリティツールを導入していない現在の状況における人件費を表す人件費Ｙは、上述した通りであり、２４００００円／月である。したがって、人件費Ｘと人件費Ｙとの差分に相当する人件費の削減額ＭＰは１０８０００円／月である。
【0061】
ここで、ＣＳＰＭ－Ｂの使用料は、図１３（ｂ）に示すように、５００００円／月である。よって、ＣＳＰＭ－Ｂを導入することによるコスト削減効果は５８０００円／月である。なお、ＣＳＰＭ－Ｂは、要件１～２をサポートするが要件２をサポートしない。したがって、自社が必要とするセキュリティ要件に対する可能率は６７パーセントである。
【0062】
この後、セキュリティツール評価装置１は、評価部１３による評価結果を出力する。この実施例では、図１４に示す評価結果が出力される。この評価結果によれば、ＣＳＰＭ－Ｂと比較して、ＣＳＰＭ－Ａの方が、ツール自体のコスト（すなわち、使用料）は高いものの、人件費の削減額だけでなく、セキュリティツールを導入することによる総コスト削減額も大きくなることが分かる。これに加えて、ＣＳＰＭ－Ｂと比較して、ＣＳＰＭ－Ａの方が、より多くのセキュリティ要件をサポートしていることが分かる。
【0063】
＜バリエーション＞
図２～図１４に示す実施例では、ユーザが複数のセキュリティ要件の中から「自社が必要とするセキュリティ要件」を選択するが、より柔軟にセキュリティ要件を選択できるようにしてもよい。例えば、セキュリティ要件選択画面２１は、図１５に示すように、ユーザが「自社要件（自社が必要とするセキュリティ要件）」に加えて「必須要件」を選択できるように構成してもよい。必須要件は、例えば、セキュリティツールを用いて自動チェックを行いたいセキュリティ要件を表す。なお、図１５に示す黒丸印は、ユーザが選択した状態を表している。
図２～図１４に示す実施例では、ユーザが複数のセキュリティ要件の中から「自社が必要とするセキュリティ要件」を選択するが、より柔軟にセキュリティ要件を選択できるようにしてもよい。例えば、セキュリティ要件選択画面２１は、図１５に示すように、ユーザが「自社要件（自社が必要とするセキュリティ要件）」に加えて「必須要件」を選択できるように構成してもよい。必須要件は、例えば、セキュリティツールを用いて自動チェックを行いたいセキュリティ要件を表す。なお、図１５に示す黒丸印は、ユーザが選択した状態を表している。
【0064】
この場合、自社要件および必須要件それぞれに対して、ツールを用いて自動チェックが可能なセキュリティ要件の割合を表す可能率が計算される。すなわち、図１０に示すフローチャートの処理は、自社要件および必須要件それぞれに対して実行される。自社要件に対する可能率は、自社要件として選択されているセキュリティ要件の個数（Ａ１）をカウントし、自社要件として選択されているセキュリティ要件のうちで対象セキュリティツールがサポートするセキュリティ要件の個数（Ｂ１）をカウントし、個数Ｂ１を個数Ａ１で除算することで算出される。また、必須要件に対する可能率は、必須要件として選択されているセキュリティ要件の個数（Ａ２）をカウントし、必須要件として選択されているセキュリティ要件のうちで対象セキュリティツールがサポートするセキュリティ要件の個数（Ｂ２）をカウントし、個数Ｂ２を個数Ａ２で除算することで算出される。
【0065】
評価結果を表示する評価結果画面の一例を図１６に示す。この例では、評価結果は、各セキュリティツールについて、自社要件の可能率、必須要件の可能率、人件費の削減額、ツールのコスト、および費用削減額を表す。そして、セキュリティツール評価装置１は、ユーザ端末の表示装置に評価結果画面２４を表示する。
【0066】
セキュリティツール評価装置１のユーザインタフェースは、並べ替え機能および絞り込み機能を提供する。並べ替え機能は、ユーザの選択に応じて、自社要件の可能率、必須要件の可能率、人件費の削減額、ツールのコスト、または費用削減額に基づく順番で各セキュリティツールを並べて表示する。図１６に示す例では、自社要件の可能率が高い順にセキュリティツールが表示されている。絞り込み機能は、評価結果画面２４において、所望のセキュリティツールを選択した状態で「ツールでチェックできないセキュリティ要件の確認」をクリックすると呼び出される。この機能により、選択されたセキュリティツールがチェックできないセキュリティ要件が表示される。よって、ユーザは、選択したセキュリティツールではチェックできないセキュリティ要件を容易に認識できる。
【0067】
＜第２の実施形態＞
図２～図１４に示す実施例では、各セキュリティツールの可能率およびコスト削減効果が評価される。ただし、１つのセキュリティツールではユーザが必要とするセキュリティ要件を十分にチェックできないことがある。この場合、ユーザは、複数のセキュリティツールを組み合わせてパブリッククラウドをチェックすることがある。そこで、以下に記載する第２の実施形態では、複数（実施例では、２つ）のセキュリティツールの組合せに対して可能率およびコスト削減効果が評価される。なお、第２の実施形態においても、セキュリティツール評価装置１は、図１に示すように、ツール情報収集部１１、インタフェース部１２、データベースＤＢ１、データベースＤＢ２、および評価部１３を備える。
図２～図１４に示す実施例では、各セキュリティツールの可能率およびコスト削減効果が評価される。ただし、１つのセキュリティツールではユーザが必要とするセキュリティ要件を十分にチェックできないことがある。この場合、ユーザは、複数のセキュリティツールを組み合わせてパブリッククラウドをチェックすることがある。そこで、以下に記載する第２の実施形態では、複数（実施例では、２つ）のセキュリティツールの組合せに対して可能率およびコスト削減効果が評価される。なお、第２の実施形態においても、セキュリティツール評価装置１は、図１に示すように、ツール情報収集部１１、インタフェース部１２、データベースＤＢ１、データベースＤＢ２、および評価部１３を備える。
【0068】
図１７は、第２の実施形態において作成されるサポート情報の一例を示す。サポート情報は、セキュリティツールが各セキュリティ要件をサポートしているか否か（即ち、チェックできるか否か）を表す。この例では、評価対象としてユーザにより選択された、セキュリティツールＴ０００１～Ｔ００１０についてのサポート情報が作成されている。具体的には、セキュリティツールＴ０００１～Ｔ００１０がそれぞれセキュリティ要件Ｓ０００１～０１００をサポートするか否かを表している。すなわち、各セキュリティツールがセキュリティ要件Ｓ０００１～０１００をチェックできるか否かを表している。例えば、セキュリティツールＴ０００１は、セキュリティ要件Ｓ０００１、Ｓ０００２、Ｓ０１００をサポートするが、セキュリティ要件Ｓ０００３、Ｓ０００４をサポートしない。セキュリティツールＴ０００２は、セキュリティ要件Ｓ０００１、Ｓ０００３、Ｓ０００４、Ｓ０１００をサポートするが、セキュリティ要件Ｓ０００２をサポートしない。なお、サポート情報は、例えば、Ｗｅｂスクレイピング等により、各セキュリティツールのベンダのサイトから収集した情報を解析することで作成される。
【0069】
サポート情報には、図１７に示す実施例では、各セキュリティ要件が自社要件または必須要件としてユーザにより選択されている否かを表すユーザ情報が付与されている。このユーザ情報は、図１５に示すセキュリティ要件選択画面２１を利用してユーザが所望の要件を選択することで作成される。
【0070】
【0071】
Ｓ５１において、評価部１３は、Ｓ５２～Ｓ５５の処理が未だ実行されていないセキュリティツールのペアを選択する。以下の記載では、Ｓ５１において選択された２個のセキュリティツールを「評価対象セキュリティツールペア」と呼ぶことがある。
【0072】
Ｓ５２において、評価部１３は、評価対象セキュリティツールペアを構成する２個のセキュリティツールのサポート情報を結合する。このとき、評価部１３は、要件ＩＤ毎に、チェック可否の値の論理和を設定する。
【0073】
一例として、図１７に示すサポート情報が作成されている状況において、評価対象セキュリティツールペアとしてセキュリティツールＴ０００１およびＴ０００２が選択されるものとする。この場合、Ｓ５２において、セキュリティ要件Ｓ０００１～Ｓ０１００それぞれについて、チェック可否の値の論理和が計算される。例えば、セキュリティ要件Ｓ０００１については、セキュリティツールＴ０００１のチェック可否の値は「１」であり、セキュリティツールＴ０００２のチェック可否の値も「１」である。よって、その論理和は「１」である。また、セキュリティ要件Ｓ０００３については、セキュリティツールＴ０００１のチェック可否の値は「０」であるが、セキュリティツールＴ０００２のチェック可否の値は「１」である。したがって、この場合も、論理和は「１」である。
【0074】
図１９は、セキュリティツールペアに対して作成されるサポート情報の一例を示す。このサポート情報は、各セキュリティツールペアに対してＳ５２の処理を実行することで得られる。例えば、セキュリティツールＴ０００１およびＴ０００２から構成されるセキュリティツールペアに対してＳ５２の処理を実行すると、図１９に示す太線枠内の情報が得られる。
【0075】
なお、このケースでは、図１７に示すように、セキュリティツールＴ０００１は、セキュリティ要件Ｓ０００３をサポートしない。よって、セキュリティツールＴ０００１を使用しても、自社要件および必須要件として選択されているセキュリティ要件Ｓ０００３の自動チェックを行うことはできない。他方、セキュリティツールＴ０００２は、セキュリティ要件Ｓ０００２をサポートしない。よって、セキュリティツールＴ０００２を使用しても、自社要件として選択されているセキュリティ要件Ｓ０００２の自動チェックを行うことはできない。これに対して、セキュリティツールＴ０００１およびＴ０００２を組み合わせれば、図１９に示すように、セキュリティ要件Ｓ０００１～Ｓ０００３は、少なくとも一方のセキュリティツールによりサポートされる。
【0076】
Ｓ５３において、評価部１３は、評価対象セキュリティツールペアに対して、自社要件についての可能率を計算する。Ｓ５４において、評価部１３は、評価対象セキュリティツールペアに対して、必須要件についての可能率を計算する。Ｓ５５において、評価部１３は、評価対象セキュリティツールペアに対して、コストを計算する。Ｓ５６は、全てのセキュリティツールペアに対してＳ５２～Ｓ５５の処理を実行するために設けられている。すなわち、すべてのセキュリティツールの組合せに対して、自社要件についての可能率、必須要件についての可能率、およびコストが計算される。
【0077】
図２０は、第２の実施形態において自社要件に対する自動チェックの可能率を計算する処理の一例を示すフローチャートである。このフローチャートの処理は、図１８に示すＳ５３に相当する。よって、このフローチャートの処理は、評価対象セキュリティツールペアに対して実行される。
【0078】
Ｓ６１～Ｓ６２において、評価部１３は、自社要件としてユーザにより選択されているセキュリティ要件の個数（Ａ１）をカウントする。このとき、評価部１３は、図１９に示すサポート情報／ユーザ情報から、評価対象セキュリティツールペアに対応するレコード取得する。続いて、評価部１３は、取得したレコードの中から、自社要件の値が「１」であるレコードを抽出する。そして、評価部１３は、抽出したレコードの個数をカウントする。
【0079】
Ｓ６３において、評価部１３は、自社要件としてユーザにより選択されているセキュリティ要件のうちで、評価対象セキュリティツールペアがサポートするセキュリティ要件の個数（Ｂ１）をカウントする。このとき、評価部１３は、Ｓ６１で抽出したレコードのうちで、チェック可否の値が「１」であるレコードの個数をカウントする。そして、Ｓ６４において、評価部１３は、Ｂ１をＡ１で除算することで、自社要件がセキュリティツールにより自動チェックされる可能率を計算する。
【0080】
図２１は、第２の実施形態において必須要件に対する自動チェックの可能率を計算する処理の一例を示すフローチャートである。このフローチャートの処理は、図１８に示すＳ５４に相当する。よって、このフローチャートの処理は、選択されたセキュリティツールペアに対して実行される。
【0081】
Ｓ７１～Ｓ７２において、評価部１３は、必須要件としてユーザにより選択されているセキュリティ要件の個数（Ａ２）をカウントする。このとき、評価部１３は、図１９に示すサポート情報／ユーザ情報から、評価対象セキュリティツールペアに対応するレコード取得する。続いて、評価部１３は、取得したレコードの中から、必須要件の値が「１」であるレコードを抽出する。そして、評価部１３は、抽出したレコードの個数をカウントする。
【0082】
Ｓ７３において、評価部１３は、必須要件としてユーザにより選択されているセキュリティ要件のうちで、評価対象セキュリティツールペアがサポートするセキュリティ要件の個数（Ｂ２）をカウントする。このとき、評価部１３は、Ｓ７１で抽出したレコードのうちで、チェック可否の値が「１」であるレコードの個数をカウントする。そして、Ｓ７４において、評価部１３は、Ｂ２をＡ２で除算することで、必須要件がセキュリティツールにより自動チェックされる可能率を計算する。
【0083】
図２２は、第２の実施形態においてコスト削減効果を計算する処理の一例を示すフローチャートである。ここで、Ｓ８１～Ｓ８７の処理は、図１１に示すＳ４１～Ｓ４７と概ね同じである。但し、Ｓ４１～Ｓ４７は、１つのセキュリティツールに対して実行される。これに対して、Ｓ８１～Ｓ８７は、１組のセキュリティツール（即ち、セキュリティツールペア）に対して実行される。したがって、Ｓ８１～Ｓ８７は、以下の点においてＳ４１～Ｓ４７と異なる。
【0084】
Ｓ８１においては、評価部１３は、評価対象セキュリティツールペアを構成する２つのセキュリティツールのうちの少なくとも一方のセキュリティツールがサポートするセキュリティ要件について、ツール使用時に発生するコスト（Ｃ１）を計算する。Ｓ８２においては、評価部１３は、評価対象セキュリティツールペアのうちのいずれのセキュリティツールもサポートしていないセキュリティ要件について、ツール未使用時に発生するコスト（Ｃ２）を計算する。Ｓ８６においては、評価部１３は、評価対象セキュリティツールペアを構成する２つのセキュリティツールのコストの和（Ｚ）を計算する。
【0085】
評価部１３は、すべてのセキュリティツールペアに対して図１８（即ち、図２０～図２２）に示すフローチャートの処理を実行する。これにより、各セキュリティツールペアに対して自動チェックの可能率およびコスト削減額が計算される。
【0086】
図２３は、第２の実施形態において得られる評価結果の一例を示す。このように、第２の実施形態では、２個のセキュリティツールの組合せ（すなわち、セキュリティツールペア）に対して自社要件に対する自動チェックの可能率、必須要件に対する自動チェックの可能率、人件費の削減額、ツールのコスト、および費用削減額を表す。そして、評価結果を表す評価結果画面がユーザ端末の表示装置に表示される。なお、第２の実施形態においても、図１６を参照して説明した並べ替え機能および絞り込み機能が提供されるものとする。
【0087】
なお、いずれのセキュリティツールを用いても自動チェックを行うことができないセキュリティ要件が存在することがある。この場合、セキュリティツール評価装置１は、図２４に示すように、いずれのセキュリティツールを用いても自動チェックを行うことができないセキュリティ要件の一覧を表示してもよい。この場合、セキュリティツール評価装置１は、絞り込み機能を提供することが好ましい。例えば、「必須要件」で絞り込みが行われるときは、ユーザにより必須要件として選択されているセキュリティ要件の中で、いずれのセキュリティツールを用いても自動チェックを行うことができないセキュリティ要件が表示される。また、「自社要件」で絞り込みが行われるときは、ユーザにより自社要件として選択されているセキュリティ要件の中で、いずれのセキュリティツールを用いても自動チェックを行うことができないセキュリティ要件が表示される。
【0088】
＜第２の実施形態の実施例＞
以下に記載する実施例は、２個のセキュリティツールを組み合わせることによる効果を説明するためのものであり、自社要件および必須要件を区別することなく、「ユーザにより選択されたセキュリティ要件」に対して可能率およびコストを計算する。
以下に記載する実施例は、２個のセキュリティツールを組み合わせることによる効果を説明するためのものであり、自社要件および必須要件を区別することなく、「ユーザにより選択されたセキュリティ要件」に対して可能率およびコストを計算する。
【0089】
データベースＤＢ２には、図２５（ａ）～図２５（ｃ）に示すユーザ情報が保存されているものとする。また、データベースＤＢ１には、図２６（ａ）～図２６（ｄ）に示すツール情報が保存されているものとする。ここで、図２５（ａ）～図２５（ｃ）に示すユーザ情報および図２６（ａ）～図２６（ｄ）に示すツール情報は、それぞれ図１２に示すユーザ情報および図１３に示すツール情報とほぼ同じなので、説明を省略する。ただし、図２６（ａ）に示すサポート情報では、ＣＳＰＭ－Ａは、要件２をサポートしていない。また、図２６（ａ）に示すサポート情報は、ＣＳＰＭ－ＡとＣＳＰＭ－Ｂとのペアに対して各要件がサポートされているか否かを表す情報を含む。なお、以下の記載では、ＣＳＰＭ－ＡとＣＳＰＭ－Ｂとのペアを「ＣＳＰＭ－ＡＢ」と呼ぶことがある。
【0090】
ＣＳＰＭ－ＡＢについての評価は以下の通りである。ＣＳＰＭ－ＡＢは、要件１～３をサポートする。具体的には、図２６（ａ）に示すように、要件１はＣＳＰＭ－ＡおよびＣＳＰＭ－Ｂによりサポートされ、要件２はＣＳＰＭ－Ｂによりサポートされ、要件３はＣＳＰＭ－Ａによりサポートされている。したがって、評価部１３は、Ｓ８１において、セキュリティツールを用いて各要件１～３に係わる確認作業を行う際の人件費Ｃ１を計算する。ここで、要件１は、仮想マシンを対象とする。また、自社は３個の仮想マシンを使用する。さらに、要件１の自動チェック時のコストは１０００円／月である。よって、要件１に係わる人件費は以下の通りである。
要件１に係わる人件費＝3×1000＝3000
要件２は、コンテナおよびＭｙＳＱＬを対象とする。また、自社は、８個のコンテナおよび１個のＭｙＳＱＬを使用する。さらに、要件２の自動チェック時のコストは１０００円／月である。よって、要件２に係わる人件費は以下の通りである。
要件２に係わる人件費＝8×1000＋1×1000＝9000
要件３は、仮想マシン、コンテナ、およびＭｙＳＱＬを対象とする。また、自社は、３個の仮想マシン、８個のコンテナ、および１個のＭｙＳＱＬを使用する。さらに、要件３の自動チェック時のコストは５００円／月である。よって、要件３に係わる人件費は以下の通りである。
要件３に係わる人件費＝3×500＋8×500＋1×500＝6000
要件１に係わる人件費＝3×1000＝3000
要件２は、コンテナおよびＭｙＳＱＬを対象とする。また、自社は、８個のコンテナおよび１個のＭｙＳＱＬを使用する。さらに、要件２の自動チェック時のコストは１０００円／月である。よって、要件２に係わる人件費は以下の通りである。
要件２に係わる人件費＝8×1000＋1×1000＝9000
要件３は、仮想マシン、コンテナ、およびＭｙＳＱＬを対象とする。また、自社は、３個の仮想マシン、８個のコンテナ、および１個のＭｙＳＱＬを使用する。さらに、要件３の自動チェック時のコストは５００円／月である。よって、要件３に係わる人件費は以下の通りである。
要件３に係わる人件費＝3×500＋8×500＋1×500＝6000
【0091】
続いて、評価部１３は、Ｓ８２の人件費を計算する。ただし、ＣＳＰＭ－ＡＢは、要件１～３のすべてをサポートする。すなわち、要件１～３に対して手動チェックを行う必要はない。よって、Ｓ８２で得られる人件費Ｃ２はゼロであり、Ｓ８３で得られる合計人件費Ｘは、１８０００円／月である。
【0092】
続いて、評価部１３は、Ｓ８４において、セキュリティツールを導入していない現在の状況における人件費Ｙを計算する。人件費Ｙを計算する方法は、Ｓ８１～Ｓ８２の人件費を計算する方法と実質的に同じである。ただし、「自動チェック時のコスト」の代わりに「手動チェック時のコスト」が使用される。具体的には、以下の通りである。
要件１に係わる人件費＝3×10000＝30000
要件２に係わる人件費＝8×10000＋1×10000＝90000
要件３に係わる人件費＝3×10000＋8×10000＋1×10000＝120000
したがって、Ｓ８４において計算される、セキュリティツールを導入していないケースでの人件費Ｙは、２４００００円／月である。
要件１に係わる人件費＝3×10000＝30000
要件２に係わる人件費＝8×10000＋1×10000＝90000
要件３に係わる人件費＝3×10000＋8×10000＋1×10000＝120000
したがって、Ｓ８４において計算される、セキュリティツールを導入していないケースでの人件費Ｙは、２４００００円／月である。
【0093】
Ｓ８５で計算される人件費の削減額ＭＰは、人件費Ｘと人件費Ｙとの差分に相当する。よって、人件費の削減額ＭＰは２２２０００円／月である。
【0094】
ここで、ＣＳＰＭ－ＡおよびＣＳＰＭ－Ｂの使用料は、図２６（ｂ）に示すように、それぞれ１０００００円／月および５００００円／月である。よって、ＣＳＰＭ－ＡおよびＳＣＰＭ－Ｂを導入することによるコスト削減効果は７２０００円／月である。なお、ＣＳＰＭ－ＡＢは、図２６（ａ）に示すように、要件１～３をすべてサポートする。したがって、自社が必要とするセキュリティ要件に対する可能率は１００パーセントである。
【0095】
この後、セキュリティツール評価装置１は、評価部１３による評価結果を出力する。この実施例では、図２７に示す評価結果が出力される。この評価結果によれば、ＣＳＰＭ－ＡまたはＣＳＰＭ－Ｂのいずれか一方を導入するケースと比較して、ＣＳＰＭ－ＡおよびＣＳＰＭ－Ｂの双方を導入することにより、総コスト削減額が大きくなり、かつ、より多くのセキュリティ要件を自動チェックできる。
【0096】
なお、図１７～図２７に示す実施例では、２個のセキュリティツールを組み合わせるケースについて示したが、本発明の第２の実施形態はこれに限定されるものではない。すなわち、本発明の第２の実施形態は、３個以上のセキュリティツールを組み合わせるケースにも適用可能である。
【0097】
＜ハードウェア構成＞
図２８は、セキュリティツール評価装置１のハードウェア構成の一例を示す。セキュリティツール評価装置１は、プロセッサ１０１、メモリ１０２、記憶装置１０３、入出力デバイス１０４、記録媒体読取り装置１０５、および通信インタフェース１０６を備えるコンピュータ１００により実現される。
図２８は、セキュリティツール評価装置１のハードウェア構成の一例を示す。セキュリティツール評価装置１は、プロセッサ１０１、メモリ１０２、記憶装置１０３、入出力デバイス１０４、記録媒体読取り装置１０５、および通信インタフェース１０６を備えるコンピュータ１００により実現される。
【0098】
プロセッサ１０１は、記憶装置１０３に保存されているセキュリティツール評価プログラムを実行することにより、セキュリティツール評価装置１の動作を制御する。ここで、セキュリティツール評価プログラムは、図７～図１１に示すフローチャートの手順を記述したプログラムコードを含む。また、第２の実施形態では、セキュリティツール評価プログラムは、図１８および図２０～図２２に示すフローチャートの手順を記述したプログラムコードを含む。したがって、プロセッサ１０１がこのプログラムを実行することで、図１に示すツール情報収集部１１、インタフェース部１２、および評価部１３の機能が提供される。メモリ１０２は、プロセッサ１０１の作業領域として使用される。記憶装置１０３は、上述したセキュリティツール評価プログラムおよび他のプログラムを保存する。また、データベースＤＢ１およびデータベースＤＢ２は、例えば、記憶装置１０３に構築される。
【0099】
入出力デバイス１０４は、キーボード、マウス、タッチパネル、マイクなどの入力デバイスを含む。また、入出力デバイス１０４は、表示装置、スピーカーなどの出力デバイスを含む。記録媒体読取り装置１０５は、記録媒体１１０に記録されているデータおよび情報を取得できる。記録媒体１１０は、コンピュータ１００に着脱可能なリムーバブル記録媒体である。また、記録媒体１１０は、例えば、半導体メモリ、光学的作用で信号を記録する媒体、または磁気的作用で信号を記録する媒体により実現される。セキュリティツール評価プログラムは、記録媒体１１０からコンピュータ１００に与えられてもよい。通信インタフェース１０６は、ネットワークに接続する機能を提供する。なお、セキュリティツール評価プログラムがプログラムサーバ１２０に保存されているときは、コンピュータ１００は、プログラムサーバ１２０からセキュリティツール評価プログラムを取得してもよい。
【符号の説明】
【0100】
１ セキュリティツール評価装置
１１ ツール情報収集部
１２ インタフェース部
１３ 評価部
１００ コンピュータ
１０１ プロセッサ
１１ ツール情報収集部
１２ インタフェース部
１３ 評価部
１００ コンピュータ
１０１ プロセッサ
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】
【図16】
【図17】
【図18】
【図19】
【図20】
【図21】
【図22】
【図23】
【図24】
【図25】
【図26】
【図27】
【図28】