知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2024-04-08
(45)【発行日】2024-04-16
(54)【発明の名称】端末、制御方法、及びプログラム
(51)【国際特許分類】
G06F 21/57 20130101AFI20240409BHJP
G06F 21/60 20130101ALI20240409BHJP
【ＦＩ】
G06F21/57 370
G06F21/60 320
【請求項の数】
28
(21)【出願番号】P 2023005525
(22)【出願日】2023-01-18
(62)【分割の表示】P 2021111443の分割
【原出願日】2016-03-25
(65)【公開番号】P2023033526
(43)【公開日】2023-03-10
【審査請求日】2023-02-02
(73)【特許権者】
【識別番号】000004237
【氏名又は名称】日本電気株式会社
(74)【代理人】
【識別番号】100103894
【弁理士】
【氏名又は名称】家入 健
(72)【発明者】
【氏名】薄羽 利光
【審査官】岸野 徹
(56)【参考文献】
【文献】特開２００４－１０２４７９（ＪＰ，Ａ）
【文献】国際公開第２０１４／１３０４７２（ＷＯ，Ａ１）
【文献】米国特許第９１５８９１５（ＵＳ，Ｂ１）
【文献】特開２００６－０１１５１０（ＪＰ，Ａ）
【文献】特開２００７－１２２４０８（ＪＰ，Ａ）
【文献】特開２００９－０１５５７０（ＪＰ，Ａ）
【文献】寺田 真敏，製品識別子を用いた脆弱性対策情報データベースと資産管理との連携に関する検討，情報処理学会 研究報告 マルチメディア通信と分散処理，日本，情報処理学会，2016年02月25日，pp.1～8
【文献】成島 佳孝 Yoshitaka Narishima，社会インフラセキュリティ，日立評論 第９６巻 第３号，日立評論社，2014年03月01日，第96巻，pp.62～66
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０６Ｆ ２１／５７
Ｇ０６Ｆ ２１／６０
(57)【特許請求の範囲】
【請求項1】
端末の制御方法であって、
前記端末が、公開日時情報と、調査方法情報と、ソフトウェアに存在する脆弱性に関する情報と、を含む脆弱性情報を受信する受信ステップ
を含み、
前記受信ステップは、前記公開日時情報が示す公開日時前に実行される、
制御方法。
【請求項2】
端末の制御方法であって、
前記端末が、脆弱性情報に含まれる調査方法情報に基づいて、脆弱性の有無を自端末に対して調査する調査ステップ
を含み、
前記調査ステップは、前記脆弱性情報に含まれる公開日時情報を示す公開日時前に実行される、
制御方法。
【請求項3】
端末の制御方法であって、
前記端末が、脆弱性情報に含まれる公開に関する公開情報に基づき調査方法を取得する取得ステップと、
前記端末が、前記脆弱性情報に含まれる調査方法に基づいて、脆弱性の有無を調査する調査ステップと、
を含む、
制御方法。
【請求項4】
前記公開情報は公開日時を示す情報であり、
前記取得ステップは、前記公開日時より前に実行され、
前記調査ステップは、前記公開日時より前に実行される、
請求項３に記載の制御方法。
【請求項5】
前記公開情報は公開日時を示す情報であり、
前記調査ステップは、前記公開日時より後に実行される、
請求項３に記載の制御方法。
【請求項6】
前記公開情報は公開状態を示す情報であり、
前記公開状態が未公開と判断された場合に、
前記取得ステップと前記調査ステップとが実行される、
請求項３に記載の制御方法。
【請求項7】
前記公開情報は公開状態を示す情報であり、
前記公開状態が公開済みと判断された場合に、
前記調査ステップが実行される、
請求項３の制御方法。
【請求項8】
端末の制御方法であって、
前記端末が、脆弱性情報に含まれる公開に関する公開情報に基づく判断を行う判断ステップと、
前記端末が、前記脆弱性情報に含まれる調査方法情報を用いて、脆弱性の有無を自端末に対して調査する調査ステップと、
を含む、
制御方法。
【請求項9】
前記公開情報は公開日時を示す情報であり、
前記判断ステップは、前記公開日時が、現在より後であることを判断し、
前記調査ステップは、前記公開日時より前に実行される、
請求項８に記載の制御方法。
【請求項10】
前記公開情報は公開日時を示す情報であり、
前記判断ステップは、前記公開日時が、現在より前と判断し、
前記調査ステップは、前記公開日時より後に実行される、
請求項８に記載の制御方法。
【請求項11】
前記公開情報は公開状態を示す情報であり、
前記判断ステップは、前記公開状態が、未公開か公開済みかを判断し、
前記公開状態が未公開と判断された場合に、前記調査ステップが実行される、
請求項８に記載の制御方法。
【請求項12】
前記公開情報は公開状態を示す情報であり、
前記判断ステップは、前記公開状態が、未公開か公開済みかを判断し、
前記公開情報が公開済みと判断された場合に、前記調査ステップが実行される、
請求項８に記載の制御方法。
【請求項13】
端末であって、
公開日時情報と、調査方法情報と、ソフトウェアに存在する脆弱性に関する情報と、を含む脆弱性情報を受信する第１手段
を含み、
前記第１手段は、前記公開日時情報が示す公開日時前に前記受信を行う、
端末。
【請求項14】
端末であって、
脆弱性情報に含まれる調査方法情報に基づいて、脆弱性の有無を自端末に対して調査する第１手段
を含み、
前記第１手段は、前記脆弱性情報に含まれる公開日時情報を示す公開日時前に前記調査を行う、
端末。
【請求項15】
端末であって、
脆弱性情報に含まれる公開に関する公開情報に基づき調査方法を取得する第１手段と、
前記脆弱性情報に含まれる調査方法に基づいて、脆弱性の有無を調査する第２手段と、
を含む、
端末。
【請求項16】
前記公開情報は公開日時を示す情報であり、
前記第１手段は、前記公開日時より前に前記取得を行い、
前記第２手段は、前記公開日時より前に前記調査を行う、
請求項１５に記載の端末。
【請求項17】
前記公開情報は公開日時を示す情報であり、
前記第２手段は、前記公開日時より後に前記調査を行う、
請求項１５に記載の端末。
【請求項18】
前記公開情報は公開状態を示す情報であり、
前記公開状態が未公開と判断された場合に、
前記第１手段は、前記取得を行い、
前記第２手段は、前記調査を行う、
請求項１５に記載の端末。
【請求項19】
前記公開情報は公開状態を示す情報であり、
前記公開状態が公開済みと判断された場合に、
前記第２手段は、前記調査を行う、
請求項１５の端末。
【請求項20】
端末であって、
脆弱性情報に含まれる公開に関する公開情報に基づく判断を行う第１手段と、
前記脆弱性情報に含まれる調査方法情報を用いて、脆弱性の有無を自端末に対して調査する第２手段と、
を含む、
端末。
【請求項21】
前記公開情報は公開日時を示す情報であり、
前記第１手段は、前記公開日時が、現在より後であることを判断し、
前記第２手段は、前記公開日時より前に前記調査を行う、
請求項２０に記載の端末。
【請求項22】
前記公開情報は公開日時を示す情報であり、
前記第１手段は、前記公開日時が、現在より前と判断し、
前記第２手段は、前記公開日時より後に前記調査を行う、
請求項２０に記載の端末。
【請求項23】
前記公開情報は公開状態を示す情報であり、
前記第１手段は、前記公開状態が、未公開か公開済みかを判断し、
前記第２手段は、前記公開状態が未公開と判断された場合に、前記調査を行う、
請求項２０に記載の端末。
【請求項24】
前記公開情報は公開状態を示す情報であり、
前記第１手段は、前記公開状態が、未公開か公開済みかを判断し、
前記第２手段は、前記公開情報が公開済みと判断された場合に、前記調査を行う、
請求項２０に記載の端末。
【請求項25】
端末に、
公開日時情報と、調査方法情報と、ソフトウェアに存在する脆弱性に関する情報と、を含む脆弱性情報を受信する受信手順
を実行させるためのプログラムであって、
前記受信手順は、前記公開日時情報が示す公開日時前に実行される、
プログラム。
【請求項26】
端末に、
脆弱性情報に含まれる調査方法情報に基づいて、脆弱性の有無を自端末に対して調査する調査手順
を実行させるためのプログラムであって、
前記調査手順は、前記脆弱性情報に含まれる公開日時情報を示す公開日時前に実行される、
プログラム。
【請求項27】
端末に、
脆弱性情報に含まれる公開に関する公開情報に基づき調査方法を取得する取得手順と、
前記脆弱性情報に含まれる調査方法に基づいて、脆弱性の有無を調査する調査手順と、
を実行させるためのプログラム。
【請求項28】
端末に、
脆弱性情報に含まれる公開に関する公開情報に基づく判断を行う判断手順と、
前記脆弱性情報に含まれる調査方法情報を用いて、脆弱性の有無を自端末に対して調査する調査手順と、
を実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、セキュリティリスク管理システム、サーバ、制御方法、プログラムに関する。
【背景技術】
【0002】
企業で使用する端末には、ハードウェアやソフトウェアに存在する脆弱性などのセキュリティリスクが存在する。そのため、企業では、企業内の端末の脆弱性を管理する必要がある。最近では、脆弱性の管理を支援するセキュリティリスク管理システムも提案されている（例えば、特許文献１）。
【先行技術文献】
【特許文献】
【0003】
【文献】特開２００９－０１５５７０号公報
【発明の概要】
【発明が解決しようとする課題】
【0004】
ところで、セキュリティリスク管理システムを利用する企業では、一般的には、以下のようにして、脆弱性の管理を行っている。
企業のセキュリティ管理者は、脆弱性情報の公開後、セキュリティリスク管理システムを利用して、企業内の端末について脆弱性の有無を調査する。
企業のセキュリティ管理者は、調査の結果、脆弱性がある端末が存在する場合、セキュリティリスク管理システムを利用して、脆弱性の対策を立案し、その対策を実行する。
企業のセキュリティ管理者は、脆弱性情報の公開後、セキュリティリスク管理システムを利用して、企業内の端末について脆弱性の有無を調査する。
企業のセキュリティ管理者は、調査の結果、脆弱性がある端末が存在する場合、セキュリティリスク管理システムを利用して、脆弱性の対策を立案し、その対策を実行する。
【0005】
しかし、脆弱性情報が公開されると、悪意のある個人または団体から端末が攻撃される危険性があるため、脆弱性の対策を行うまでにかかる時間の短縮化を図る必要がある。
上述の特許文献１に開示された技術は、端末の脆弱性の対処状況を、その脆弱性の種類を示すキーワードと関連付けてデータベースに登録する。すなわち、特許文献１に開示された技術は、端末が実際に行った脆弱性の対処状況をデータベースに登録する技術であり、脆弱性の対策を行うまでの時間の短縮化を図る技術ではない。
上述の特許文献１に開示された技術は、端末の脆弱性の対処状況を、その脆弱性の種類を示すキーワードと関連付けてデータベースに登録する。すなわち、特許文献１に開示された技術は、端末が実際に行った脆弱性の対処状況をデータベースに登録する技術であり、脆弱性の対策を行うまでの時間の短縮化を図る技術ではない。
【0006】
本発明の目的は、上述した課題を解決し、脆弱性の対策を行うまでの時間の短縮化を図ることができる技術を提供することにある。
【課題を解決するための手段】
【0007】
本発明の一態様によれば、セキュリティリスク管理システムは、
サーバと、
端末に備えられたエージェント部と、を含み、
前記サーバは、
脆弱性情報の公開日時前に、前記脆弱性情報を前記エージェント部に送信し、
前記エージェント部は、
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の調査方法の情報を基に前記端末の脆弱性の有無を調査し、該調査結果を含む脆弱性調査結果を前記サーバに送信し、
前記サーバは、
前記脆弱性情報の公開日時以降に、前記脆弱性情報および前記脆弱性調査結果を提示する。
サーバと、
端末に備えられたエージェント部と、を含み、
前記サーバは、
脆弱性情報の公開日時前に、前記脆弱性情報を前記エージェント部に送信し、
前記エージェント部は、
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の調査方法の情報を基に前記端末の脆弱性の有無を調査し、該調査結果を含む脆弱性調査結果を前記サーバに送信し、
前記サーバは、
前記脆弱性情報の公開日時以降に、前記脆弱性情報および前記脆弱性調査結果を提示する。
【0008】
本発明の一態様によれば、サーバは、
脆弱性情報の公開日時前に、前記脆弱性情報を端末に備えられたエージェント部に送信すると共に、前記エージェント部から、前記脆弱性情報に含まれる脆弱性の調査方法の情報を基に前記エージェント部で調査された前記端末の脆弱性の有無の調査結果を含む脆弱性調査結果を受信する通信部と、
前記脆弱性情報の公開日時以降に、前記脆弱性情報および前記脆弱性調査結果を提示する提示部と、
を備える。
脆弱性情報の公開日時前に、前記脆弱性情報を端末に備えられたエージェント部に送信すると共に、前記エージェント部から、前記脆弱性情報に含まれる脆弱性の調査方法の情報を基に前記エージェント部で調査された前記端末の脆弱性の有無の調査結果を含む脆弱性調査結果を受信する通信部と、
前記脆弱性情報の公開日時以降に、前記脆弱性情報および前記脆弱性調査結果を提示する提示部と、
を備える。
【0009】
本発明の一態様によれば、制御方法は、
サーバの制御方法であって、
脆弱性情報の公開日時前に、前記脆弱性情報を端末に備えられたエージェント部に送信する送信ステップと、
前記エージェント部から、前記脆弱性情報に含まれる脆弱性の調査方法の情報を基に前記エージェント部で調査された前記端末の脆弱性の有無の調査結果を含む脆弱性調査結果を受信するステップと、
前記脆弱性情報の公開日時以降に、前記脆弱性情報および前記脆弱性調査結果を提示する提示ステップと、
を含む。
サーバの制御方法であって、
脆弱性情報の公開日時前に、前記脆弱性情報を端末に備えられたエージェント部に送信する送信ステップと、
前記エージェント部から、前記脆弱性情報に含まれる脆弱性の調査方法の情報を基に前記エージェント部で調査された前記端末の脆弱性の有無の調査結果を含む脆弱性調査結果を受信するステップと、
前記脆弱性情報の公開日時以降に、前記脆弱性情報および前記脆弱性調査結果を提示する提示ステップと、
を含む。
【0010】
本発明の一態様によれば、プログラムは、
コンピュータに、
脆弱性情報の公開日時前に、前記脆弱性情報を端末に備えられたエージェント部に送信する送信手順と、
前記脆弱性情報の公開日時前に、前記エージェント部から、前記脆弱性情報に含まれる脆弱性の調査方法の情報を基に前記エージェント部で調査された前記端末の脆弱性の有無の調査結果を含む脆弱性調査結果を受信する手順と、
前記脆弱性情報の公開日時以降に、前記脆弱性情報および前記脆弱性調査結果を提示する提示手順と、
を実行させるためのプログラムである。
コンピュータに、
脆弱性情報の公開日時前に、前記脆弱性情報を端末に備えられたエージェント部に送信する送信手順と、
前記脆弱性情報の公開日時前に、前記エージェント部から、前記脆弱性情報に含まれる脆弱性の調査方法の情報を基に前記エージェント部で調査された前記端末の脆弱性の有無の調査結果を含む脆弱性調査結果を受信する手順と、
前記脆弱性情報の公開日時以降に、前記脆弱性情報および前記脆弱性調査結果を提示する提示手順と、
を実行させるためのプログラムである。
【0011】
本発明の一態様によれば、プログラムは、
コンピュータに、
脆弱性情報の公開日時前に、サーバから、前記脆弱性情報を受信する受信手順と、
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の調査方法の情報を基に端末の脆弱性の有無を調査する調査手順と、
前記脆弱性情報の公開日時前に、前記調査手順の調査結果を含む脆弱性調査結果を前記サーバに送信する手順と、
を実行させるためのプログラムである。
コンピュータに、
脆弱性情報の公開日時前に、サーバから、前記脆弱性情報を受信する受信手順と、
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の調査方法の情報を基に端末の脆弱性の有無を調査する調査手順と、
前記脆弱性情報の公開日時前に、前記調査手順の調査結果を含む脆弱性調査結果を前記サーバに送信する手順と、
を実行させるためのプログラムである。
【発明の効果】
【0012】
本発明によれば、脆弱性の対策を行うまでの時間の短縮化を図ることができるという効果が得られる。
【図面の簡単な説明】
【0013】
【図1】実施の形態１に係るセキュリティシステムの構成例を示す図である。
【図2】実施の形態１に係る脆弱性情報配布システムおよびセキュリティリスク管理システムのブロック構成例を示すブロック図である。
【図3】実施の形態１に係る脆弱性情報配布システム、サーバ、および端末を実現するコンピュータのハードウェア構成の構成例を示す図である。
【図4】実施の形態１に係る脆弱性情報配布システムにおいて、脆弱性情報送信システムから脆弱性情報を受信し、脆弱性情報データを作成してサーバに送信するまでの動作例を示すフローチャートである。
【図5】実施の形態１に係る脆弱性情報データの一例を示す図である。
【図6】実施の形態１に係るサーバにおいて、脆弱性情報配布システムから脆弱性情報データを受信し、エージェント部に脆弱性情報データを送信するまでの動作例を示すフローチャートである。
【図7】実施の形態１に係るエージェント部において、サーバから脆弱性データを受信し、対応する端末の脆弱性の有無を調査し、脆弱性調査結果をサーバに送信するまでの動作例を示すフローチャートである。
【図8】実施の形態１に係る脆弱性調査結果の一例を示す図である。
【図9】実施の形態１に係るサーバにおいて、エージェント部から脆弱性調査結果を受信し、脆弱性調査結果格納部に脆弱性調査結果を格納するまでの動作例を示すフローチャートである。
【図10】実施の形態１に係るサーバにおいて、脆弱性情報データ格納部の脆弱性情報データを定期的に確認して、公開日時が現在の日時以前の脆弱性情報データを復号し、復号した脆弱性情報データを、再度、脆弱性情報データ格納部に格納する動作例を示すフローチャートである。
【図11】実施の形態１に係るサーバにおいて、脆弱性情報および脆弱性調査結果を表示する動作例を示すフローチャートである。
【図12】実施の形態１に係るエージェント部において、脆弱性情報データ格納部の脆弱性情報データを定期的に確認して、公開日時が現在の日時以前の脆弱性情報データを復号し、復号した脆弱性情報データを、再度、脆弱性情報データ格納部に格納する動作例を示すフローチャートである。
【図13】実施の形態１に係るエージェント部において、脆弱性情報を表示する動作例を示すフローチャートである。
【図14】実施の形態２に係るセキュリティリスク管理システムのブロック構成例を示すブロック図である。
【図15】実施の形態２に係るセキュリティリスク管理システムの動作例を示すシーケンス図である。
【発明を実施するための形態】
【0014】
以下、図面を参照して本発明の実施の形態について説明する。
（１）実施の形態１
（１－１）実施の形態１の構成
（１－１－１）全体構成
図１に、本実施の形態１に係るセキュリティシステムの構成例を示す。図２に、本実施の形態１に係る脆弱性情報配布システム２１０およびセキュリティリスク管理システム３０５のブロック構成例を示す。
（１）実施の形態１
（１－１）実施の形態１の構成
（１－１－１）全体構成
図１に、本実施の形態１に係るセキュリティシステムの構成例を示す。図２に、本実施の形態１に係る脆弱性情報配布システム２１０およびセキュリティリスク管理システム３０５のブロック構成例を示す。
【0015】
図１および図２を参照すると、本実施の形態１に係るセキュリティシステムは、脆弱性情報提供機関１００に設けられた脆弱性情報送信システム１１０、セキュリティリスク管理システム提供会社２００に設けられた脆弱性情報配布システム２１０、および、セキュリティリスク管理システム利用会社３００に設けられたセキュリティリスク管理システム３０５を備えている。
【0016】
脆弱性情報提供機関１００は、脆弱性の概要、調査方法、対策方法などを含む脆弱性情報を提供する機関であり、例えば、ＣＥＲＴ（Computer Emergency Response Team）、ＪＰＣＥＲＴ（Japan Computer Emergency Response Team）や、ＩＰＡ（Information-technology Promotion Agency）などである。セキュリティリスク管理システム提供会社２００は、セキュリティリスク管理システム３０５を提供する会社である。セキュリティリスク管理システム利用会社３００は、セキュリティリスク管理システム提供会社２００が提供するセキュリティリスク管理システム３０５を利用する会社である。セキュリティリスク管理システム利用会社３００は、セキュリティリスク管理システム３０５を利用して、自社の端末３３０の脆弱性を管理する。
【0017】
脆弱性情報提供機関１００は、ソフトウェアに脆弱性がある場合、そのソフトウェアを作成したソフトウェアベンダーに対し、調査の目的で、その脆弱性の脆弱性情報を、公開日時前に、提供することがある。脆弱性情報提供機関１００がソフトウェアベンダーに提供した脆弱性情報は、セキュリティリスク管理システム提供会社２００が利用することができる。ただし、セキュリティリスク管理システム提供会社２００は、脆弱性情報が公開日時前の場合、脆弱性情報の利用は自社での利用に限定される。このように、セキュリティリスク管理システム提供会社２００は、脆弱性情報提供機関１００が公開日時前に提供した脆弱性情報について、自社での利用に限定されるものの、利用することはできる。
【0018】
本実施の形態１は、セキュリティリスク管理システム利用会社３００が、脆弱性情報提供機関１００が提供した公開日時前の脆弱性情報を利用できることに着目し、公開日時前に、その脆弱性情報を利用して、端末３３０の脆弱性の有無の調査を完了させるものである。
【0019】
（１－１－２）脆弱性情報送信システム１１０の構成
脆弱性情報送信システム１１０は、脆弱性情報配布システム２１０に脆弱性情報を送信する。なお、脆弱性情報送信システム１１０は、脆弱性情報配布システム２１０に脆弱性情報を送信する機能を備えていれば良く、この機能は周知技術で実現可能であるため、詳細なブロック構成の説明は省略する。
脆弱性情報送信システム１１０は、脆弱性情報配布システム２１０に脆弱性情報を送信する。なお、脆弱性情報送信システム１１０は、脆弱性情報配布システム２１０に脆弱性情報を送信する機能を備えていれば良く、この機能は周知技術で実現可能であるため、詳細なブロック構成の説明は省略する。
【0020】
（１－１－３）脆弱性情報配布システム２１０の構成
脆弱性情報配布システム２１０は、脆弱性情報受信部２１１、脆弱性情報データ作成部２１２、脆弱性情報データ暗号化部２１３、共通鍵格納部２１４、脆弱性情報データ格納部２１５、および脆弱性情報データ送信部２１６を備えている。
脆弱性情報配布システム２１０は、脆弱性情報受信部２１１、脆弱性情報データ作成部２１２、脆弱性情報データ暗号化部２１３、共通鍵格納部２１４、脆弱性情報データ格納部２１５、および脆弱性情報データ送信部２１６を備えている。
【0021】
脆弱性情報受信部２１１は、脆弱性情報送信システム１１０から脆弱性情報を受信する。脆弱性情報データ作成部２１２は、脆弱性情報受信部２１１が受信した脆弱性情報を基にして脆弱性情報データ作成者が行う操作に従い、脆弱性情報データを作成する。脆弱性情報データ暗号化部２１３は、共通鍵を使用して、脆弱性情報データ作成部２１２が作成した脆弱性情報データの暗号化を行う。共通鍵格納部２１４は、脆弱性情報データ暗号化部２１３が脆弱性情報データを暗号化するときに使用する共通鍵を格納する。脆弱性情報データ格納部２１５は、脆弱性情報データ作成部２１２が作成した脆弱性情報データを格納する。脆弱性情報データ送信部２１６は、脆弱性情報データ格納部２１５から脆弱性情報データを読み出し、読み出した脆弱性情報データをサーバ３１０に送信する。
【0022】
（１－１－４）セキュリティリスク管理システム３０５の構成
セキュリティリスク管理システム３０５は、サーバ３１０およびエージェント部３２０を備えている。エージェント部３２０は、エージェントソフトウェアあるいはエージェントとも呼ばれるソフトウェアである。エージェント部３２０は、セキュリティリスク管理システム利用会社３００が脆弱性を管理する端末３３０に対応しており、対応する端末３３０にインストールされる。図１においては、複数の端末３３０があると仮定し、複数の端末３３０のそれぞれに対応する複数のエージェント部３２０を設けているが、端末３３０が１つであれば、エージェント部３２０も１つとなる。
セキュリティリスク管理システム３０５は、サーバ３１０およびエージェント部３２０を備えている。エージェント部３２０は、エージェントソフトウェアあるいはエージェントとも呼ばれるソフトウェアである。エージェント部３２０は、セキュリティリスク管理システム利用会社３００が脆弱性を管理する端末３３０に対応しており、対応する端末３３０にインストールされる。図１においては、複数の端末３３０があると仮定し、複数の端末３３０のそれぞれに対応する複数のエージェント部３２０を設けているが、端末３３０が１つであれば、エージェント部３２０も１つとなる。
【0023】
サーバ３１０は、脆弱性情報の公開日時前に、脆弱性情報配布システム２１０から脆弱性情報データを受信し、受信した脆弱性情報データをエージェント部３２０に送信して、脆弱性調査を指示する。また、サーバ３１０は、エージェント部３２０から脆弱性調査結果を受信して、脆弱性情報の公開日時以降に、脆弱性情報および脆弱性調査結果を表示する。一方、エージェント部３２０は、脆弱性情報の公開日時前に、サーバ３１０から脆弱性情報データを受信して、対応する端末３３０の脆弱性の有無を調査し、脆弱性調査結果をサーバ３１０に送信する。また、エージェント部３２０は、脆弱性情報の公開日時以降に、脆弱性情報を表示する。
【0024】
（１－１－５）サーバ３１０の構成
サーバ３１０は、脆弱性情報データ受信部３１１、脆弱性情報データ格納部３１２、脆弱性情報データ配布部３１３、脆弱性調査結果受信部３１４、脆弱性調査結果格納部３１５、脆弱性公開日時確認部３１６、脆弱性情報データ復号部３１７、共通鍵格納部３１８、および脆弱性情報・調査結果表示部３１９を備えている。なお、脆弱性情報データ配布部３１３および脆弱性調査結果受信部３１４は、通信部の構成要素の一例である。脆弱性情報・調査結果表示部３１９は、提示部の一例である。脆弱性情報データ格納部３１２は、脆弱性情報格納部の一例である。脆弱性公開日時確認部３１６は、公開日時確認部の一例である。脆弱性調査結果格納部３１５は、脆弱性調査結果格納部の一例である。
サーバ３１０は、脆弱性情報データ受信部３１１、脆弱性情報データ格納部３１２、脆弱性情報データ配布部３１３、脆弱性調査結果受信部３１４、脆弱性調査結果格納部３１５、脆弱性公開日時確認部３１６、脆弱性情報データ復号部３１７、共通鍵格納部３１８、および脆弱性情報・調査結果表示部３１９を備えている。なお、脆弱性情報データ配布部３１３および脆弱性調査結果受信部３１４は、通信部の構成要素の一例である。脆弱性情報・調査結果表示部３１９は、提示部の一例である。脆弱性情報データ格納部３１２は、脆弱性情報格納部の一例である。脆弱性公開日時確認部３１６は、公開日時確認部の一例である。脆弱性調査結果格納部３１５は、脆弱性調査結果格納部の一例である。
【0025】
脆弱性情報データ受信部３１１は、脆弱性情報配布システム２１０から脆弱性情報データを受信する。脆弱性情報データ格納部３１２は、脆弱性情報データ受信部３１１が受信した脆弱性情報データを格納する。脆弱性情報データ配布部３１３は、脆弱性情報データ格納部３１２から脆弱性情報データを読み出し、読み出した脆弱性情報データをエージェント部３２０に送信する。脆弱性調査結果受信部３１４は、エージェント部３２０から脆弱性調査結果を受信する。脆弱性調査結果格納部３１５は、脆弱性調査結果受信部３１４が受信した脆弱性調査結果を格納する。脆弱性公開日時確認部３１６は、定期的に脆弱性情報データ格納部３１２から脆弱性情報データを読み出し、公開日時を確認し、公開日時が過ぎている脆弱性情報データを脆弱性情報データ復号部３１７で復号し、復号した脆弱性情報データを脆弱性情報データ格納部３１２に書き戻す。脆弱性情報データ復号部３１７は、脆弱性公開日時確認部３１６から脆弱性情報データを受け取ると、共通鍵を使用して、その脆弱性情報データの復号を行う。共通鍵格納部３１８は、脆弱性情報データ復号部３１７が脆弱性情報データを復号するときに使用する共通鍵を格納する。脆弱性情報・調査結果表示部３１９は、脆弱性情報データ格納部３１２から公開日時を過ぎた脆弱性情報データを読み出し、読み出した脆弱性情報データを基に脆弱性調査結果格納部３１５から該当する脆弱性調査結果を読み出し、読み出した脆弱性調査結果を基に脆弱性情報および脆弱性調査結果を提示する。この提示は、以下では、サーバ３１０の画面に表示することであるものとする。
【0026】
（１－１－６）エージェント部３２０の構成
エージェント部３２０は、脆弱性情報データ受信部３２１、脆弱性情報データ格納部３２２、脆弱性調査部３２３、脆弱性情報データ復号部３２４、共通鍵格納部３２５、脆弱性調査結果格納部３２６、脆弱性調査結果送信部３２７、脆弱性公開日時確認部３２８、および脆弱性情報表示部３２９を備えている。なお、脆弱性情報データ受信部３２１および脆弱性調査結果送信部３２７は、通信部の構成要素の一例である。脆弱性情報表示部３２９は、提示部の一例である。脆弱性情報データ格納部３２２は、脆弱性情報格納部の一例である。脆弱性公開日時確認部３２８は、公開日時確認部の一例である。脆弱性調査結果格納部３２６は、脆弱性調査結果格納部の一例である。
エージェント部３２０は、脆弱性情報データ受信部３２１、脆弱性情報データ格納部３２２、脆弱性調査部３２３、脆弱性情報データ復号部３２４、共通鍵格納部３２５、脆弱性調査結果格納部３２６、脆弱性調査結果送信部３２７、脆弱性公開日時確認部３２８、および脆弱性情報表示部３２９を備えている。なお、脆弱性情報データ受信部３２１および脆弱性調査結果送信部３２７は、通信部の構成要素の一例である。脆弱性情報表示部３２９は、提示部の一例である。脆弱性情報データ格納部３２２は、脆弱性情報格納部の一例である。脆弱性公開日時確認部３２８は、公開日時確認部の一例である。脆弱性調査結果格納部３２６は、脆弱性調査結果格納部の一例である。
【0027】
脆弱性情報データ受信部３２１は、サーバ３１０から脆弱性情報データを受信する。脆弱性情報データ格納部３２２は、脆弱性情報データ受信部３２１が受信した脆弱性情報データを格納する。脆弱性調査部３２３は、脆弱性情報データ格納部３２２から脆弱性情報データを読み出し、読み出した脆弱性情報データを脆弱性情報データ復号部３２４で復号し、復号した脆弱性情報データに含まれる調査方法を基に、対応する端末３３０の脆弱性の有無を調査し、その調査結果を含む脆弱性調査結果を脆弱性調査結果格納部３２６に格納する。脆弱性情報データ復号部３２４は、脆弱性調査部３２３および脆弱性公開日時確認部３２８から脆弱性情報データを受け取ると、共通鍵を使用して、その脆弱性情報データの復号を行う。共通鍵格納部３２５は、脆弱性情報データ復号部３２４が脆弱性情報データを復号するときに使用する共通鍵を格納する。脆弱性調査結果格納部３２６は、脆弱性調査部３２３が調査した調査結果を含む脆弱性調査結果を格納する。脆弱性調査結果送信部３２７は、脆弱性調査結果格納部３２６から脆弱性調査結果を読み出し、読み出した脆弱性調査結果をサーバ３１０に送信する。脆弱性公開日時確認部３２８は、定期的に脆弱性情報データ格納部３２２から脆弱性情報データを読み出し、公開日時を確認し、公開日時が過ぎている脆弱性情報データを脆弱性情報データ復号部３２４で復号し、復号した脆弱性情報データを脆弱性情報データ格納部３２２に書き戻す。脆弱性情報表示部３２９は、脆弱性情報データ格納部３２２から公開日時を過ぎた脆弱性情報データを読み出し、読み出した脆弱性情報データを基に脆弱性調査結果格納部３２６から該当する脆弱性調査結果を読み出し、読み出した脆弱性調査結果を基に脆弱性情報を提示する。この提示は、以下では、対応する端末３３０の画面に表示することであるものとする。
【0028】
なお、脆弱性情報配布システム２１０の共通鍵格納部２１４、サーバ３１０の共通鍵格納部３１８、およびエージェント部３２０の共通鍵格納部３２５は、共通鍵を共有しており、共有する共通鍵を格納している。
【0029】
（１－１－７）ハードウェア構成
図３に、本実施の形態１に係る脆弱性情報配布システム２１０を実現するコンピュータ４００のハードウェア構成の構成例を示す。
図３に、本実施の形態１に係る脆弱性情報配布システム２１０を実現するコンピュータ４００のハードウェア構成の構成例を示す。
【0030】
図３を参照すると、本実施の形態１に係る脆弱性情報配布システム２１０は、コンピュータ４００で実現することができる。コンピュータ４００は、プロセッサ４０１、メモリ４０２、ストレージ４０３、入出力インタフェース（入出力Ｉ／Ｆ）４０４、および通信インタフェース（通信Ｉ／Ｆ）４０５などを備える。プロセッサ４０１、メモリ４０２、ストレージ４０３、入出力インタフェース４０４、および通信インタフェース４０５は、相互にデータを送受信するためのデータ伝送路で接続されている。
【0031】
プロセッサ４０１は、例えばＣＰＵ（Central Processing Unit）やＧＰＵ（Graphics Processing Unit）などの演算処理装置である。メモリ４０２は、例えばＲＡＭ（Random Access Memory）やＲＯＭ（Read Only Memory）などのメモリである。ストレージ４０３は、例えばＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、またはメモリカードなどの記憶装置である。また、ストレージ４０３は、ＲＡＭやＲＯＭ等のメモリであっても良い。
【0032】
ストレージ４０３は、脆弱性情報配布システム２１０が備える各処理部（脆弱性情報受信部２１１、脆弱性情報データ作成部２１２、脆弱性情報データ暗号化部２１３、脆弱性情報データ送信部２１６など）の機能を実現するプログラムを記憶している。プロセッサ４０１は、これら各プログラムを実行することで、各処理部の機能をそれぞれ実現する。ここで、プロセッサ４０１は、上記各プログラムを実行する際、これらのプログラムをメモリ４０２上に読み出してから実行しても良いし、メモリ４０２上に読み出さずに実行しても良い。また、メモリ４０２やストレージ４０３は、共通鍵格納部２１４および脆弱性情報データ格納部２１５の役割も果たす。
【0033】
入出力インタフェース４０４は、表示装置４０４１や入力装置４０４２などと接続される。表示装置４０４１は、ＬＣＤ（Liquid Crystal Display）やＣＲＴ（Cathode Ray Tube）ディスプレイのような、プロセッサ４０１により処理された描画データに対応する画面を表示する装置である。入力装置４０４２は、オペレータの操作入力を受け付ける装置であり、例えば、キーボード、マウス、およびタッチセンサなどである。表示装置４０４１および入力装置４０４２は一体化され、タッチパネルとして実現されていても良い。
【0034】
通信インタフェース４０５は、外部の装置との間でデータを送受信する。例えば、通信インタフェース４０５は、有線ネットワークまたは無線ネットワークを介して外部装置と通信する。
【0035】
なお、サーバ３１０および端末３３０も、図３に示されるコンピュータ４００で実現することができる。
例えば、サーバ３１０をコンピュータ４００で実現する場合、ストレージ４０３は、サーバ３１０が備える各処理部（脆弱性情報データ受信部３１１、脆弱性情報データ配布部３１３、脆弱性調査結果受信部３１４、脆弱性公開日時確認部３１６、脆弱性情報データ復号部３１７、および脆弱性情報・調査結果表示部３１９など）の機能を実現するプログラムを記憶する。また、メモリ４０２やストレージ４０３は、脆弱性情報データ格納部３１２、脆弱性調査結果格納部３１５、および共通鍵格納部３１８の役割も果たす。
例えば、サーバ３１０をコンピュータ４００で実現する場合、ストレージ４０３は、サーバ３１０が備える各処理部（脆弱性情報データ受信部３１１、脆弱性情報データ配布部３１３、脆弱性調査結果受信部３１４、脆弱性公開日時確認部３１６、脆弱性情報データ復号部３１７、および脆弱性情報・調査結果表示部３１９など）の機能を実現するプログラムを記憶する。また、メモリ４０２やストレージ４０３は、脆弱性情報データ格納部３１２、脆弱性調査結果格納部３１５、および共通鍵格納部３１８の役割も果たす。
【0036】
また、端末３３０をコンピュータ４００で実現する場合、ストレージ４０３は、エージェント部３２０が備える各処理部（脆弱性情報データ受信部３２１、脆弱性調査部３２３、脆弱性情報データ復号部３２４、脆弱性調査結果送信部３２７、脆弱性公開日時確認部３２８、および脆弱性情報表示部３２９など）の機能を実現するプログラムを記憶する。また、メモリ４０２やストレージ４０３は、脆弱性情報データ格納部３２２、共通鍵格納部３２５、および脆弱性調査結果格納部３２６の役割も果たす。
【0037】
（１－２）実施の形態１の動作
以下、本実施の形態１に係るセキュリティシステムの動作について詳細に説明する。
（１－２－１）まず、脆弱性情報配布システム２１０において、脆弱性情報送信システム１１０から脆弱性情報を受信し、脆弱性情報データを作成してサーバ３１０に送信するまでの動作について、図４を参照して説明する。
以下、本実施の形態１に係るセキュリティシステムの動作について詳細に説明する。
（１－２－１）まず、脆弱性情報配布システム２１０において、脆弱性情報送信システム１１０から脆弱性情報を受信し、脆弱性情報データを作成してサーバ３１０に送信するまでの動作について、図４を参照して説明する。
【0038】
図４を参照すると、脆弱性情報配布システム２１０においては、脆弱性情報受信部２１１は、脆弱性情報送信システム１１０から送信された脆弱性情報を受信する（Ｓ１０１）。脆弱性情報は、脆弱性の概要の情報、調査方法の情報、対策方法の情報、および公開日時の情報を含む。脆弱性情報受信部２１１は、受信した脆弱性情報を脆弱性情報データ作成部２１２に送る。脆弱性情報データ作成部２１２は、脆弱性情報データ作成者が脆弱性情報を基にして行う操作に従って、脆弱性情報データを作成する（Ｓ１０２）。
【0039】
脆弱性情報データは、図５のように、脆弱性情報ＩＤ（Identifier）、公開日時の情報、公開フラグ、概要の情報、調査方法の情報、および対策方法の情報を含む形式になっている。脆弱性情報データは、脆弱性情報（脆弱性の概要、調査方法、対策方法、および公開日時）に、脆弱性情報ＩＤおよび公開フラグを付加したものに相当する。脆弱性情報ＩＤには、脆弱性情報データ作成部２１２が採番し、脆弱性情報を一意に識別するＩＤをセットする。公開日時には、脆弱性情報に含まれている公開日時の情報をセットする。公開フラグには、公開日時が現在の日時よりも後の場合は未公開を表す０をセットし、公開日時が現在の日時以前の場合は公開済を表す１をセットする。概要、調査方法、および対策方法には、脆弱性情報に含まれている概要、調査方法、および対策方法の情報をそれぞれセットする。
【0040】
脆弱性情報データ作成部２１２は、脆弱性情報データの公開フラグに未公開を表す０をセットした場合は（Ｓ１０３のＹｅｓ）、脆弱性情報データを脆弱性情報データ暗号化部２１３に送る。脆弱性情報データ暗号化部２１３は、共通鍵格納部２１４から共通鍵を読み出し、読み出した共通鍵を使用して、脆弱性情報データの概要、調査方法、および対策方法の情報を暗号化し（Ｓ１０４）、暗号化した脆弱性情報データを脆弱性情報データ作成部２１２に戻す。脆弱性情報データ作成部２１２は、脆弱性情報データ暗号化部２１３が暗号化した脆弱性情報データを脆弱性情報データ格納部２１５に格納する（Ｓ１０５）。一方、脆弱性情報データ作成部２１２は、脆弱性情報データに公開済を表す１をセットした場合は（Ｓ１０３のＮｏ）、脆弱性情報データを、暗号化することなく、脆弱性情報データ格納部２１５に格納する（Ｓ１０５）。脆弱性情報データ送信部２１６は、脆弱性情報データ格納部２１５から脆弱性情報データを読み出し（Ｓ１０６）、読み出した脆弱性情報データをサーバ３１０に送信する（Ｓ１０７）。
【0041】
（１－２－２）次に、サーバ３１０において、脆弱性情報配布システム２１０から脆弱性情報データを受信し、エージェント部３２０に脆弱性情報データを送信するまでの動作について、図６を参照して説明する。
【0042】
図６を参照すると、サーバ３１０においては、脆弱性情報データ受信部３１１は、脆弱性情報配布システム２１０から送信された脆弱性情報データを受信する（Ｓ２０１）。脆弱性情報データ受信部３１１は、受信した脆弱性情報データを脆弱性情報データ格納部３１２に格納する（Ｓ２０２）。脆弱性情報データ配布部３１３は、脆弱性情報データ格納部３１２から脆弱性情報データを読み出し（Ｓ２０３）、読み出した脆弱性情報データをエージェント部３２０に送信する（Ｓ２０４）。
【0043】
なお、エージェント部３２０が複数ある場合、サーバ３１０は、脆弱性情報データを複数のエージェント部３２０のそれぞれに送信する。
【0044】
（１－２－３）次に、エージェント部３２０において、サーバ３１０から脆弱性データを受信し、対応する端末３３０の脆弱性の有無を調査し、その調査結果を表す脆弱性調査結果をサーバ３１０に送信するまでの動作について、図７を参照して説明する。
【0045】
図７を参照すると、エージェント部３２０においては、脆弱性情報データ受信部３２１は、サーバ３１０から送信された脆弱性情報データを受信する（Ｓ３０１）。脆弱性情報データ受信部３２１は、受信した脆弱性情報データを脆弱性情報データ格納部３２２に格納する（Ｓ３０２）。脆弱性調査部３２３は、脆弱性情報データ格納部３２２から脆弱性情報データを読み出す（Ｓ３０３）。脆弱性調査部３２３は、読み出した脆弱性情報データの公開フラグに未公開を表す０がセットされていた場合は（Ｓ３０４のＹｅｓ）、脆弱性情報データを脆弱性情報データ復号部３２４に送る。脆弱性情報データ復号部３２４は、共通鍵格納部３２５から復号のための共通鍵を読み出し、読み出した共通鍵を使用して、脆弱性情報データの調査方法の情報を復号し（Ｓ３０５）、復号した脆弱性情報データを脆弱性調査部３２３に戻す。脆弱性調査部３２３は、脆弱性情報データ復号部３２４が復号した脆弱性情報データの調査方法の情報を基に、対応する端末３３０の脆弱性の有無を調査する（Ｓ３０６）。一方、脆弱性調査部３２３は、読み出した脆弱性情報データの公開フラグに公開済を表す１がセットされていた場合は（Ｓ３０４のＮｏ）、読み出した脆弱性情報データの調査方法の情報は暗号化されていないため、その調査方法の情報を基に、対応する端末３３０の脆弱性の有無を調査する（Ｓ３０６）。脆弱性調査部３２３は、対応する端末３３０の脆弱性の有無の調査結果を表す脆弱性調査結果を作成する（Ｓ３０７）。
【0046】
脆弱性調査結果は、図８のように、脆弱性情報ＩＤ、端末ＩＤ、調査日時の情報、および調査結果の情報を含む形式になっている。脆弱性情報ＩＤには、調査を行った脆弱性の脆弱性情報を一意に識別するＩＤ、すなわち脆弱性情報データに含まれていた脆弱性情報ＩＤをセットする。端末ＩＤには、調査を行った端末３３０を識別するＩＤをセットする。調査日時には、調査を行った日時の情報をセットする。調査結果には、端末３３０に脆弱性がない場合は０をセットし、端末３３０に脆弱性がある場合は１をセットする。
【0047】
脆弱性調査部３２３は、作成した脆弱性調査結果を脆弱性調査結果格納部３２６に格納する（Ｓ３０８）。脆弱性調査結果送信部３２７は、脆弱性調査結果格納部３２６から脆弱性調査結果を読み出し（Ｓ３０９）、読み出した脆弱性調査結果をサーバ３１０に送信する（Ｓ３１０）。
【0048】
なお、エージェント部３２０が複数ある場合、複数のエージェント部３２０のそれぞれが、上述の図７の動作を行う。
【0049】
（１－２－４）次に、サーバ３１０において、エージェント部３２０から脆弱性調査結果を受信し、脆弱性調査結果格納部３１５に脆弱性調査結果を格納するまでの動作について、図９を参照して説明する。
【0050】
図９を参照すると、サーバ３１０においては、脆弱性調査結果受信部３１４は、エージェント部３２０から送信された脆弱性調査結果を受信する（Ｓ４０１）。脆弱性調査結果受信部３１４は、受信した脆弱性調査結果を脆弱性調査結果格納部３１５に格納する（Ｓ４０２）。
【0051】
なお、エージェント部３２０が複数ある場合、サーバ３１０は、複数のエージェント部３２０のそれぞれから受信した脆弱性調査結果を脆弱性調査結果格納部３１５に格納する。
【0052】
（１－２－５）次に、サーバ３１０において、脆弱性情報データ格納部３１２の脆弱性情報データを定期的に確認して、公開日時が現在の日時以前の脆弱性情報データを復号し、復号した脆弱性情報データを、再度、脆弱性情報データ格納部３１２に格納する動作について、図１０を参照して説明する。
【0053】
図１０を参照すると、サーバ３１０においては、脆弱性公開日時確認部３１６は、定期的に（例えば、１０分に１回）、公開フラグが未公開を表す０になっている脆弱性情報データが脆弱性情報データ格納部３１２に格納されているか否かを確認し（Ｓ５０１）、そのような脆弱性情報データが格納されている場合は（Ｓ５０１のＹｅｓ）、そのうちの脆弱性情報データを１つ読み出す（Ｓ５０２）。脆弱性公開日時確認部３１６は、読み出した脆弱性情報データの公開日時が現在の日時以前の場合は（Ｓ５０３のＹｅｓ）、脆弱性情報データを脆弱性情報データ復号部３１７に送る。脆弱性情報データ復号部３１７は、共通鍵格納部３１８から復号のための共通鍵を読み出し、読み出した共通鍵を使用して、脆弱性情報データの概要、調査方法、および対策方法の情報を復号し（Ｓ５０４）、復号した脆弱性情報データを、脆弱性公開日時確認部３１６に戻す。脆弱性公開日時確認部３１６は、復号した脆弱性情報データの公開フラグに公開済を表す１をセットする（Ｓ５０５）。脆弱性公開日時確認部３１６は、復号し公開フラグに１をセットした脆弱性情報データを脆弱性情報データ格納部３１２に再度格納する（Ｓ５０６）。一方、脆弱性公開日時確認部３１６は、読み出した脆弱性情報データの公開日時が現在の日時よりも後の場合は（Ｓ５０３のＮｏ）、読み出した脆弱性情報データを脆弱性情報データ格納部３１２にそのまま再度格納する（Ｓ５０６）。以上でＳ５０２で読み出した脆弱性情報データについての処理が終了する。脆弱性公開日時確認部３１６は、公開フラグが未公開を表す０になっている脆弱性情報データが脆弱性情報データ格納部３１２に未だ格納されている場合は（Ｓ５０７のＹｅｓ）、Ｓ５０２の処理に戻る。一方、脆弱性公開日時確認部３１６は、公開フラグが未公開を表す０になっている脆弱性情報データが脆弱性情報データ格納部３１２にもう格納されていない場合は（Ｓ５０１のＮｏおよびＳ５０７のＮｏ）、処理を終了する。
【0054】
（１－２－６）次に、サーバ３１０において、脆弱性情報および脆弱性調査結果を表示する動作について、図１１を参照して説明する。
【0055】
図１１を参照すると、サーバ３１０においては、脆弱性情報・調査結果表示部３１９は、公開フラグが公開済を表す１になっている脆弱性情報データが脆弱性情報データ格納部３１２に格納されているか否かを確認し（Ｓ６０１）、そのような脆弱性情報データが格納されている場合は（Ｓ６０１のＹｅｓ）、そのうちの脆弱性情報データを１つ読み出す（Ｓ６０２）。脆弱性情報・調査結果表示部３１９は、読み出した脆弱性情報データの脆弱性情報ＩＤと一致し、かつ、調査結果が脆弱性ありを表す１になっている脆弱性調査結果が脆弱性調査結果格納部３１５に格納されている場合は（Ｓ６０３のＹｅｓ）、その脆弱性調査結果を全て読み出す（Ｓ６０４）。脆弱性情報・調査結果表示部３１９は、読み出した脆弱性情報データの概要、対策方法、および、読み出した脆弱性調査結果の端末ＩＤの一覧を、サーバ３１０の画面に表示する（Ｓ６０５）。一方、脆弱性情報・調査結果表示部３１９は、読み出した脆弱性情報データの脆弱性情報ＩＤと一致し、かつ、調査結果が脆弱性ありを表す１になっている脆弱性調査結果が脆弱性調査結果格納部３１５に格納されていない場合は（Ｓ６０３のＮｏ）、サーバ３１０の画面への表示は行わない。以上でＳ６０２で読み出した脆弱性情報データについての処理が終了する。脆弱性情報・調査結果表示部３１９は、公開フラグが公開済を表す１になっている脆弱性情報データが脆弱性情報データ格納部３１２に未だ格納されている場合は（Ｓ６０６のＹｅｓ）、Ｓ６０２の処理に戻る。一方、脆弱性情報・調査結果表示部３１９は、公開フラグが公開済を表す１になっている脆弱性情報データが脆弱性情報データ格納部３１２にもう格納されていない場合は（Ｓ６０１のＮｏおよびＳ６０６のＮｏ）、処理を終了する。
【0056】
なお、図１１の動作を開始するタイミングは、定期的なタイミングでも良いし、脆弱性情報および脆弱性調査結果の表示を指示する操作がなされたタイミングでも良い。
【0057】
（１－２－７）次に、エージェント部３２０において、脆弱性情報データ格納部３２２の脆弱性情報データを定期的に確認して、公開日時が現在の日時以前の脆弱性情報データを復号し、復号した脆弱性情報データを、再度、脆弱性情報データ格納部３２２に格納する動作について、図１２を参照して説明する。
【0058】
図１２を参照すると、エージェント部３２０においては、脆弱性公開日時確認部３２８は、定期的に（例えば、１０分に１回）、公開フラグが未公開を表す０になっている脆弱性情報データが脆弱性情報データ格納部３２２に格納されているか否かを確認し（Ｓ７０１）、そのような脆弱性情報データが格納されている場合は（Ｓ７０１のＹｅｓ）、そのうちの脆弱性情報データを１つ読み出す（Ｓ７０２）。脆弱性公開日時確認部３２８は、読み出した脆弱性情報データの公開日時が現在の日時以前の場合は（Ｓ７０３のＹｅｓ）、脆弱性情報データを脆弱性情報データ復号部３２４に送る。脆弱性情報データ復号部３２４は、共通鍵格納部３２５から復号のための共通鍵を読み出し、読み出した共通鍵を使用して、脆弱性情報データの概要、調査方法、および対策方法の情報を復号し（Ｓ７０４）、復号した脆弱性情報データを、脆弱性公開日時確認部３２８に戻す。脆弱性公開日時確認部３２８は、復号した脆弱性情報データの公開フラグに公開済を表す１をセットする（Ｓ７０５）。脆弱性公開日時確認部３２８は、復号し公開フラグに１をセットした脆弱性情報データを脆弱性情報データ格納部３２２に再度格納する（Ｓ７０６）。一方、脆弱性公開日時確認部３２８は、読み出した脆弱性情報データの公開日時が現在の日時よりも後の場合は（Ｓ７０３のＹｅｓ）、読み出した脆弱性情報データを脆弱性情報データ格納部３２２にそのまま再度格納する（Ｓ７０６）。以上でＳ７０２で読み出した脆弱性情報データについての処理が終了する。脆弱性公開日時確認部３２８は、公開フラグが未公開を表す０になっている脆弱性情報データが脆弱性情報データ格納部３２２に未だ格納されている場合は（Ｓ７０７のＹｅｓ）、Ｓ７０２の処理に戻る。一方、脆弱性公開日時確認部３２８は、公開フラグが未公開を表す０になっている脆弱性情報データが脆弱性情報データ格納部３２２にもう格納されていない場合は（Ｓ７０１のＮｏおよびＳ７０７のＮｏ）、処理を終了する。
【0059】
なお、エージェント部３２０が複数ある場合、複数のエージェント部３２０のそれぞれが、上述の図１２の動作を行う。
【0060】
（１－２－８）次に、エージェント部３２０において、脆弱性情報を表示する動作について、図１３を参照して説明する。
【0061】
図１３を参照すると、エージェント部３２０においては、脆弱性情報表示部３２９は、公開フラグが公開済を表す１になっている脆弱性情報データが脆弱性情報データ格納部３２２に格納されているか否かを確認し（Ｓ８０１）、そのような脆弱性情報データが格納されている場合は（Ｓ８０１のＹｅｓ）、そのうちの脆弱性情報データを１つ読み出す（Ｓ８０２）。脆弱性情報表示部３２９は、読み出した脆弱性情報データの脆弱性情報ＩＤと一致し、かつ、調査結果が脆弱性ありを表す１になっている脆弱性調査結果が脆弱性調査結果格納部３２６に格納されている場合は（Ｓ８０３のＹｅｓ）、その脆弱性調査結果を読み出す（Ｓ８０４）。脆弱性情報表示部３２９は、読み出した脆弱性情報データの概要、対策方法を、対応する端末３３０の画面に表示する（Ｓ８０５）。一方、脆弱性情報表示部３２９は、読み出した脆弱性情報データの脆弱性情報ＩＤと一致し、かつ、調査結果が脆弱性ありを表す１になっている脆弱性調査結果が脆弱性調査結果格納部３２６に格納されていない場合は（Ｓ８０３のＮｏ）、対応する端末３３０の画面への表示は行わない。以上でＳ８０２で読み出した脆弱性情報データについての処理が終了する。脆弱性情報表示部３２９は、公開フラグが公開済を表す１になっている脆弱性情報データが脆弱性情報データ格納部３２２に未だ格納されている場合は（Ｓ８０６のＹｅｓ）、Ｓ８０２の処理に戻る。一方、脆弱性情報表示部３２９は、公開フラグが公開済を表す１になっている脆弱性情報データが脆弱性情報データ格納部３２２にもう格納されていない場合は（Ｓ８０１のＮｏおよびＳ８０６のＮｏ）、処理を終了する。
【0062】
なお、図１３の動作を開始するタイミングは、定期的なタイミングでも良いし、脆弱性情報の表示を指示する操作がなされたタイミングでも良い。
また、エージェント部３２０が複数ある場合、複数のエージェント部３２０のそれぞれが、上述の図１３の動作を行う。
また、エージェント部３２０が複数ある場合、複数のエージェント部３２０のそれぞれが、上述の図１３の動作を行う。
【0063】
（１－３）実施の形態１の効果
上述したように本実施の形態１によれば、サーバ３１０は、公開日時よりも前に、暗号化された脆弱性情報をエージェント部３２０に送信して、端末３３０の脆弱性の有無の調査を完了させておき、公開日時が過ぎた時点で、脆弱性調査結果を表示する。
そのため、セキュリティリスク管理システム利用会社３００のセキュリティ管理者は、脆弱性情報の公開日時に、自社の端末３３０の脆弱性の有無の調査結果を把握することができ、すぐさま脆弱性の対策を立案するという次のステップに移行することができる。よって、脆弱性の対策を行うまでの時間の短縮化を図ることができるという効果が得られる。
上述したように本実施の形態１によれば、サーバ３１０は、公開日時よりも前に、暗号化された脆弱性情報をエージェント部３２０に送信して、端末３３０の脆弱性の有無の調査を完了させておき、公開日時が過ぎた時点で、脆弱性調査結果を表示する。
そのため、セキュリティリスク管理システム利用会社３００のセキュリティ管理者は、脆弱性情報の公開日時に、自社の端末３３０の脆弱性の有無の調査結果を把握することができ、すぐさま脆弱性の対策を立案するという次のステップに移行することができる。よって、脆弱性の対策を行うまでの時間の短縮化を図ることができるという効果が得られる。
【0064】
なお、本実施の形態１によれば、セキュリティリスク管理システム３０５の内部では、脆弱性情報の公開日時よりも前に、脆弱性調査のために脆弱性情報を復号している。しかし、復号した脆弱性情報を表示するのは、公開日時以降である。したがって、セキュリティリスク管理システム利用会社３００のセキュリティ管理者や社員が、公開日時よりも前に脆弱性情報を見ることはできないため、脆弱性情報の秘匿性は確保される。
【0065】
（２）実施の形態２
本実施の形態２は、上述の実施の形態１の上位概念を抽出した一実施の形態に相当するものである。図１４に、本実施の形態２に係るセキュリティリスク管理システム３０５のブロック構成例を示す。
本実施の形態２は、上述の実施の形態１の上位概念を抽出した一実施の形態に相当するものである。図１４に、本実施の形態２に係るセキュリティリスク管理システム３０５のブロック構成例を示す。
【0066】
図１４を参照すると、本実施の形態２に係るセキュリティリスク管理システム３０５は、上述の実施の形態１と同様に、サーバ３１０およびエージェント部３２０を備えている。エージェント部３２０は、脆弱性を管理する端末３３０（図１参照）に対応しており、対応する端末３３０にインストールされる。図１４は、１つの端末３３０に対応する１つのエージェント部３２０のみを設けた例であるが、端末３３０が複数であれば、それに対応して複数のエージェント部３２０を設ければ良い。
【0067】
サーバ３１０は、通信部３１０１および提示部３１０２を備えている。通信部３１０１は、上述の実施の形態１の脆弱性情報データ配布部３１３および脆弱性調査結果受信部３１４を組み合わせた構成要素に対応する。提示部３１０２は、上述の実施の形態１の脆弱性情報・調査結果表示部３１９に対応する。
【0068】
エージェント部３２０は、通信部３２０１および調査部３２０２を備えている。通信部３２０１は、上述の実施の形態１の脆弱性情報データ受信部３２１および脆弱性調査結果送信部３２７を組み合わせた構成要素に対応する。調査部３２０２は、上述の実施の形態１の脆弱性調査部３２３に対応する。
【0069】
以下、本実施の形態２に係るセキュリティリスク管理システム３０５の動作について、図１５を参照して説明する。
図１５を参照すると、サーバ３１０においては、通信部３１０１は、脆弱性情報の公開日時前に、脆弱性情報をエージェント部３２０に送信する（Ｓ９０１）。なお、エージェント部３２０が複数ある場合、サーバ３１０は、複数のエージェント部３２０のそれぞれに脆弱性情報を送信する。
図１５を参照すると、サーバ３１０においては、通信部３１０１は、脆弱性情報の公開日時前に、脆弱性情報をエージェント部３２０に送信する（Ｓ９０１）。なお、エージェント部３２０が複数ある場合、サーバ３１０は、複数のエージェント部３２０のそれぞれに脆弱性情報を送信する。
【0070】
エージェント部３２０においては、通信部３２０１は、脆弱性情報の公開日時前に、サーバ３１０から送信された脆弱性情報を受信する（Ｓ９０２）。調査部３２０２は、脆弱性情報の公開日時前に、脆弱性情報に含まれる脆弱性の調査方法を基に、対応する端末３３０の脆弱性の有無を調査する（Ｓ９０３）。さらに、調査部３２０２は、脆弱性情報の公開日時前に、端末３３０の脆弱性の有無の調査結果を含む脆弱性調査結果をサーバ３１０に送信する（Ｓ９０４）。なお、エージェント部３２０が複数ある場合、複数のエージェント部３２０のそれぞれが、上述のＳ９０２～Ｓ９０４の動作を行う。
【0071】
サーバ３１０においては、通信部３１０１は、脆弱性情報の公開日時前に、エージェント部３２０から送信された脆弱性調査結果を受信する（Ｓ９０５）。提示部３１０２は、脆弱性情報の公開日時以降に、脆弱性情報および脆弱性調査結果を提示（例えば、サーバ３１０の画面に表示）する（Ｓ９０６）。
【0072】
上述したように本実施の形態２によれば、サーバ３１０は、公開日時よりも前に、脆弱性情報をエージェント部３２０に送信して、端末３３０の脆弱性の有無の調査を完了させておき、公開日時が過ぎた時点で、脆弱性調査結果を提示する。
そのため、セキュリティ管理者は、脆弱性情報の公開日時に、端末３３０の脆弱性の有無の調査結果を把握することができ、すぐさま脆弱性の対策を立案するという次のステップに移行することができる。よって、脆弱性の対策を行うまでの時間の短縮化を図ることができるという効果が得られる。
そのため、セキュリティ管理者は、脆弱性情報の公開日時に、端末３３０の脆弱性の有無の調査結果を把握することができ、すぐさま脆弱性の対策を立案するという次のステップに移行することができる。よって、脆弱性の対策を行うまでの時間の短縮化を図ることができるという効果が得られる。
【0073】
なお、上述の説明では、本実施の形態２に係るサーバ３１０およびエージェント部３２０内の構成要素の動作を簡潔に説明したが、本実施の形態２に係るサーバ３１０およびエージェント部３２０内の構成要素は、上述の実施の形態１の対応する構成要素と同様の動作を行っても良い。また、本実施の形態２に係るサーバ３１０およびエージェント部３２０は、上述の実施の形態１に係るサーバ３１０およびエージェント部３２０が備える他の構成要素をさらに備えても良い。
【0074】
以上、実施の形態を参照して本発明を説明したが、本発明は上記によって限定されるものではない。本発明の構成や詳細には、発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
【0075】
例えば、上述の実施の形態では、エージェント部が、端末の脆弱性の有無を調査していたが、サーバが、端末の脆弱性の有無を調査しても良い。この場合、エージェント部は、端末から、調査に必要な情報のみを収集し、収集した情報をサーバに送信する。サーバは、各エージェント部から収集した情報を基に各端末の脆弱性の有無を調査する。
【0076】
また、上述の実施の形態１では、図１１及び図１３において、まず、公開フラグが公開済になっている脆弱性情報データを読み出し、読み出した脆弱性情報データを基に、脆弱性調査結果を読み出しているが、これには限定されない。例えば、上記とは逆に、まず、調査結果が脆弱性ありになっている脆弱性調査結果を読み出し、読み出した脆弱性調査結果を基に、脆弱性情報データを読み出しても良い。
【0077】
また、上述の説明で用いた複数のフローチャートでは、複数の工程（処理）が順番に記載されているが、上述の実施の形態で実行される工程の実行順序は、その記載の順番に制限されない。上述の実施の形態では、図示される工程の順番を内容的に支障のない範囲で変更することができる。
【0078】
また、上述の実施形態の一部または全部は、以下の付記のようにも記載されうるが、以下には限られない。
（付記１）
サーバと、
端末に備えられたエージェント部と、を含み、
前記サーバは、
脆弱性情報の公開日時前に、前記脆弱性情報を前記エージェント部に送信し、
前記エージェント部は、
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の調査方法の情報を基に前記端末の脆弱性の有無を調査し、該調査結果を含む脆弱性調査結果を前記サーバに送信し、
前記サーバは、
前記脆弱性情報の公開日時以降に、前記脆弱性情報および前記脆弱性調査結果を提示する、
セキュリティリスク管理システム。
（付記２）
前記サーバは、
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の調査方法の情報が暗号化された状態で、前記脆弱性情報を前記エージェント部に送信し、
前記エージェント部は、
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の調査方法の情報を復号し、復号した脆弱性の調査方法の情報を基に前記端末の脆弱性の有無を調査する、
付記１に記載のセキュリティリスク管理システム。
（付記３）
前記サーバは、
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の概要、調査方法、および対策方法の情報が暗号化された状態で、前記脆弱性情報を格納し、
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の概要、調査方法、および対策方法の情報が暗号化された状態で、前記脆弱性情報を前記エージェント部に送信し、
前記エージェント部は、
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の概要、調査方法、および対策方法の情報が暗号化された状態で、前記脆弱性情報を格納する、
付記１または２に記載のセキュリティリスク管理システム。
（付記４）
前記脆弱性情報には、
前記脆弱性情報が未公開または公開済を表す値がセットされる公開フラグが付加され、
前記サーバは、
前記格納した前記脆弱性情報のうち、未公開を表す値がセットされた前記公開フラグが付加された前記脆弱性情報を読み出し、
前記読み出した前記脆弱性情報に含まれる公開日時が現在の日時以前の場合、前記読み出した前記脆弱性情報に含まれる脆弱性の概要、調査方法、および対策方法の情報を復号すると共に、前記読み出した前記脆弱性情報に付加された前記公開フラグに公開済を表す値をセットした上で、前記読み出した前記脆弱性情報を再度格納する、
付記３に記載のセキュリティリスク管理システム。
（付記５）
前記脆弱性情報には、
前記脆弱性情報を識別する脆弱性情報ＩＤがさらに付加され、
前記脆弱性調査結果には、
調査した脆弱性の前記脆弱性情報を識別する脆弱性情報ＩＤ、前記端末を識別する端末ＩＤ、および前記端末の脆弱性の有無を示す調査結果が含まれ、
前記サーバは、
前記脆弱性調査結果を格納し、
前記格納した前記脆弱性情報のうち、公開済を表す値がセットされた前記公開フラグが付加された前記脆弱性情報を読み出し、
前記格納した前記脆弱性調査結果のうち、前記読み出した前記脆弱性情報と一致する前記脆弱性情報ＩＤを含み、かつ、前記端末に脆弱性があることを示す調査結果を含む前記脆弱性調査結果を読み出し、
前記読み出した前記脆弱性情報に含まれる概要および対策方法を提示するとともに、前記読み出した前記脆弱性調査結果に含まれる前記端末ＩＤを提示する、
付記４に記載のセキュリティリスク管理システム。
（付記６）
前記脆弱性情報には、
前記脆弱性情報が未公開または公開済を表す値がセットされる公開フラグが付加され、
前記エージェント部は、
前記格納した前記脆弱性情報のうち、未公開を表す値がセットされた前記公開フラグが付加された前記脆弱性情報を読み出し、
前記読み出した前記脆弱性情報に含まれる公開日時が現在の日時以前の場合、前記読み出した前記脆弱性情報に含まれる脆弱性の概要、調査方法、および対策方法の情報を復号すると共に、前記読み出した前記脆弱性情報に付加された前記公開フラグに公開済を表す値をセットした上で、前記読み出した前記脆弱性情報を再度格納する、
付記３に記載のセキュリティリスク管理システム。
（付記７）
前記脆弱性情報には、
前記脆弱性情報を識別する脆弱性情報ＩＤがさらに付加され、
前記脆弱性調査結果には、
調査した脆弱性の前記脆弱性情報を識別する脆弱性情報ＩＤ、前記端末を識別する端末ＩＤ、および前記端末の脆弱性の有無を示す調査結果が含まれ、
前記エージェント部は、
前記脆弱性調査結果を格納し、
前記格納した前記脆弱性情報のうち、公開済を表す値がセットされた前記公開フラグが付加された前記脆弱性情報を読み出し、
前記格納した前記脆弱性調査結果の中に、前記読み出した前記脆弱性情報と一致する前記脆弱性情報ＩＤを含み、かつ、前記端末に脆弱性があることを示す調査結果を含む前記脆弱性調査結果がある場合、前記読み出した前記脆弱性情報に含まれる概要および対策方法を提示する、
付記６に記載のセキュリティリスク管理システム。
（付記８）
脆弱性情報の公開日時前に、前記脆弱性情報を端末に備えられたエージェント部に送信すると共に、前記エージェント部から、前記脆弱性情報に含まれる脆弱性の調査方法の情報を基に前記エージェント部で調査された前記端末の脆弱性の有無の調査結果を含む脆弱性調査結果を受信する通信部と、
前記脆弱性情報の公開日時以降に、前記脆弱性情報および前記脆弱性調査結果を提示する提示部と、
を備えるサーバ。
（付記９）
前記通信部は、
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の調査方法の情報が暗号化された状態で、前記脆弱性情報を前記エージェント部に送信する、
付記８に記載のサーバ。
（付記１０）
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の概要、調査方法、および対策方法の情報が暗号化された状態で、前記脆弱性情報を格納する脆弱性情報格納部をさらに備え、
前記通信部は、
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の概要、調査方法、および対策方法の情報が暗号化された状態で、前記脆弱性情報を前記エージェント部に送信する、
付記８または９に記載のサーバ。
（付記１１）
公開日時確認部をさらに備え
前記脆弱性情報には、
前記脆弱性情報が未公開または公開済を表す値がセットされる公開フラグが付加され、
前記公開日時確認部は、
前記脆弱性情報格納部に格納された前記脆弱性情報のうち、未公開を表す値がセットされた前記公開フラグが付加された前記脆弱性情報を読み出し、
前記読み出した前記脆弱性情報に含まれる公開日時が現在の日時以前の場合、前記読み出した前記脆弱性情報に含まれる脆弱性の概要、調査方法、および対策方法の情報を復号すると共に、前記読み出した前記脆弱性情報に付加された前記公開フラグに公開済を表す値をセットした上で、前記読み出した前記脆弱性情報を前記脆弱性情報格納部に再度格納する、
付記１０に記載のサーバ。
（付記１２）
前記脆弱性調査結果を格納する脆弱性調査結果格納部をさらに備え、
前記脆弱性情報には、
前記脆弱性情報を識別する脆弱性情報ＩＤがさらに付加され、
前記脆弱性調査結果には、
調査した脆弱性の前記脆弱性情報を識別する脆弱性情報ＩＤ、前記端末を識別する端末ＩＤ、および前記端末の脆弱性の有無を示す調査結果が含まれ、
前記提示部は、
前記脆弱性情報格納部に格納された前記脆弱性情報のうち、公開済を表す値がセットされた前記公開フラグが付加された前記脆弱性情報を読み出し、
前記脆弱性調査結果格納部に格納された前記脆弱性調査結果のうち、前記読み出した前記脆弱性情報と一致する前記脆弱性情報ＩＤを含み、かつ、前記端末に脆弱性があることを示す調査結果を含む前記脆弱性調査結果を読み出し、
前記読み出した前記脆弱性情報に含まれる概要および対策方法を提示するとともに、前記読み出した前記脆弱性調査結果に含まれる前記端末ＩＤを提示する、
付記１１に記載のサーバ。
（付記１３）
サーバの制御方法であって、
脆弱性情報の公開日時前に、前記脆弱性情報を端末に備えられたエージェント部に送信する送信ステップと、
前記エージェント部から、前記脆弱性情報に含まれる脆弱性の調査方法の情報を基に前記エージェント部で調査された前記端末の脆弱性の有無の調査結果を含む脆弱性調査結果を受信するステップと、
前記脆弱性情報の公開日時以降に、前記脆弱性情報および前記脆弱性調査結果を提示する提示ステップと、
を含む制御方法。
（付記１４）
前記送信ステップでは、
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の調査方法の情報が暗号化された状態で、前記脆弱性情報を前記エージェント部に送信する、
付記１３に記載の制御方法。
（付記１５）
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の概要、調査方法、および対策方法の情報が暗号化された状態で、前記脆弱性情報を脆弱性情報格納部に格納するステップをさらに含み、
前記送信ステップでは、
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の概要、調査方法、および対策方法の情報が暗号化された状態で、前記脆弱性情報を前記エージェント部に送信する、
付記１３または１４に記載の制御方法。
（付記１６）
前記脆弱性情報には、
前記脆弱性情報が未公開または公開済を表す値がセットされる公開フラグが付加され、
前記制御方法は、
前記脆弱性情報格納部に格納された前記脆弱性情報のうち、未公開を表す値がセットされた前記公開フラグが付加された前記脆弱性情報を読み出すステップと、
前記読み出した前記脆弱性情報に含まれる公開日時が現在の日時以前の場合、前記読み出した前記脆弱性情報に含まれる脆弱性の概要、調査方法、および対策方法の情報を復号すると共に、前記読み出した前記脆弱性情報に付加された前記公開フラグに公開済を表す値をセットした上で、前記読み出した前記脆弱性情報を前記脆弱性情報格納部に再度格納するステップと、をさらに含む、
付記１５に記載の制御方法。
（付記１７）
前記脆弱性情報には、
前記脆弱性情報を識別する脆弱性情報ＩＤがさらに付加され、
前記脆弱性調査結果には、
調査した脆弱性の前記脆弱性情報を識別する脆弱性情報ＩＤ、前記端末を識別する端末ＩＤ、および前記端末の脆弱性の有無を示す調査結果が含まれ、
前記制御方法は、
前記脆弱性調査結果を脆弱性調査結果格納部に格納するステップと、
前記脆弱性情報格納部に格納された前記脆弱性情報のうち、公開済を表す値がセットされた前記公開フラグが付加された前記脆弱性情報を読み出すステップと、
前記脆弱性調査結果格納部に格納された前記脆弱性調査結果のうち、前記読み出した前記脆弱性情報と一致する前記脆弱性情報ＩＤを含み、かつ、前記端末に脆弱性があることを示す調査結果を含む前記脆弱性調査結果を読み出すステップと、をさらに含み、
前記提示ステップでは、
前記読み出した前記脆弱性情報に含まれる概要および対策方法を提示するとともに、前記読み出した前記脆弱性調査結果に含まれる前記端末ＩＤを提示する、
付記１６に記載の制御方法。
（付記１８）
コンピュータに、
脆弱性情報の公開日時前に、前記脆弱性情報を端末に備えられたエージェント部に送信する送信手順と、
前記脆弱性情報の公開日時前に、前記エージェント部から、前記脆弱性情報に含まれる脆弱性の調査方法の情報を基に前記エージェント部で調査された前記端末の脆弱性の有無の調査結果を含む脆弱性調査結果を受信する手順と、
前記脆弱性情報の公開日時以降に、前記脆弱性情報および前記脆弱性調査結果を提示する提示手順と、
を実行させるためのプログラム。
（付記１９）
前記送信手順では、
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の調査方法の情報が暗号化された状態で、前記脆弱性情報を前記エージェント部に送信する、
付記１８に記載のプログラム。
（付記２０）
前記コンピュータに、
前記脆弱性情報に含まれる脆弱性の概要、調査方法、および対策方法の情報が暗号化された状態で、前記脆弱性情報を脆弱性情報格納部に格納する手順をさらに実行させ、
前記送信手順では、
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の概要、調査方法、および対策方法の情報が暗号化された状態で、前記脆弱性情報を前記エージェント部に送信する、
付記１８または１９に記載のプログラム。
（付記２１）
前記脆弱性情報には、
前記脆弱性情報が未公開または公開済を表す値がセットされる公開フラグが付加され、
前記コンピュータに、
前記脆弱性情報格納部に格納された前記脆弱性情報のうち、未公開を表す値がセットされた前記公開フラグが付加された前記脆弱性情報を読み出す手順と、
前記読み出した前記脆弱性情報に含まれる公開日時が現在の日時以前の場合、前記読み出した前記脆弱性情報に含まれる脆弱性の概要、調査方法、および対策方法の情報を復号すると共に、前記読み出した前記脆弱性情報に付加された前記公開フラグに公開済を表す値をセットした上で、前記読み出した前記脆弱性情報を前記脆弱性情報格納部に再度格納する手順と、をさらに実行させる、
付記２０に記載のプログラム。
（付記２２）
前記脆弱性情報には、
前記脆弱性情報を識別する脆弱性情報ＩＤがさらに付加され、
前記脆弱性調査結果には、
調査した脆弱性の前記脆弱性情報を識別する脆弱性情報ＩＤ、前記端末を識別する端末ＩＤ、および前記端末の脆弱性の有無を示す調査結果が含まれ、
前記コンピュータに、
前記脆弱性調査結果を脆弱性調査結果格納部に格納する手順と、
前記脆弱性情報格納部に格納された前記脆弱性情報のうち、公開済を表す値がセットされた前記公開フラグが付加された前記脆弱性情報を読み出す手順と、
前記脆弱性調査結果格納部に格納された前記脆弱性調査結果のうち、前記読み出した前記脆弱性情報と一致する前記脆弱性情報ＩＤを含み、かつ、前記端末に脆弱性があることを示す調査結果を含む前記脆弱性調査結果を読み出す手順と、をさらに実行させ、
前記提示手順では、
前記読み出した前記脆弱性情報に含まれる概要および対策方法を提示するとともに、前記読み出した前記脆弱性調査結果に含まれる前記端末ＩＤを提示する、
付記２１に記載のプログラム。
（付記２３）
コンピュータに、
脆弱性情報の公開日時前に、サーバから、前記脆弱性情報を受信する受信手順と、
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の調査方法の情報を基に端末の脆弱性の有無を調査する調査手順と、
前記脆弱性情報の公開日時前に、前記調査手順の調査結果を含む脆弱性調査結果を前記サーバに送信する手順と、
を実行させるためのプログラム。
（付記２４）
前記受信手順では、
前記脆弱性情報の公開日時前に、前記サーバから、前記脆弱性情報に含まれる脆弱性の調査方法の情報が暗号化された状態で、前記脆弱性情報を受信し、
前記調査手順では、
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の調査方法の情報を復号し、復号した脆弱性の調査方法の情報を基に前記端末の脆弱性の有無を調査する、
付記２３に記載のプログラム。
（付記２５）
前記受信手順では、
前記脆弱性情報の公開日時前に、前記サーバから、前記脆弱性情報に含まれる脆弱性の概要、調査方法、および対策方法の情報が暗号化された状態で、前記脆弱性情報を受信し、
前記コンピュータに、
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の概要、調査方法、および対策方法の情報が暗号化された状態で、前記脆弱性情報を脆弱性情報格納部に格納する手順をさらに実行させる、
付記２３または２４に記載のプログラム。
（付記２６）
前記脆弱性情報には、
前記脆弱性情報が未公開または公開済を表す値がセットされる公開フラグが付加され、
前記コンピュータに、
前記脆弱性情報格納部に格納された前記脆弱性情報のうち、未公開を表す値がセットされた前記公開フラグが付加された前記脆弱性情報を読み出す手順と、
前記読み出した前記脆弱性情報に含まれる公開日時が現在の日時以前の場合、前記読み出した前記脆弱性情報に含まれる脆弱性の概要、調査方法、および対策方法の情報を復号すると共に、前記読み出した前記脆弱性情報に付加された前記公開フラグに公開済を表す値をセットした上で、前記読み出した前記脆弱性情報を前記脆弱性情報格納部に再度格納する手順と、をさらに実行させる、
付記２５に記載のプログラム。
（付記２７）
前記脆弱性情報には、
前記脆弱性情報を識別する脆弱性情報ＩＤがさらに付加され、
前記脆弱性調査結果には、
調査した脆弱性の前記脆弱性情報を識別する脆弱性情報ＩＤ、前記端末を識別する端末ＩＤ、および前記端末の脆弱性の有無を示す調査結果が含まれ、
前記コンピュータに、
前記脆弱性調査結果を脆弱性調査結果格納部に格納する手順と、
前記脆弱性情報格納部に格納された前記脆弱性情報のうち、公開済を表す値がセットされた前記公開フラグが付加された前記脆弱性情報を読み出す手順と、
前記脆弱性調査結果格納部に格納された前記脆弱性調査結果の中に、前記読み出した前記脆弱性情報と一致する前記脆弱性情報ＩＤを含み、かつ、前記端末に脆弱性があることを示す調査結果を含む前記脆弱性調査結果がある場合、前記読み出した前記脆弱性情報に含まれる概要および対策方法を提示する手順と、をさらに実行させる、
付記２６に記載のプログラム。
（付記１）
サーバと、
端末に備えられたエージェント部と、を含み、
前記サーバは、
脆弱性情報の公開日時前に、前記脆弱性情報を前記エージェント部に送信し、
前記エージェント部は、
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の調査方法の情報を基に前記端末の脆弱性の有無を調査し、該調査結果を含む脆弱性調査結果を前記サーバに送信し、
前記サーバは、
前記脆弱性情報の公開日時以降に、前記脆弱性情報および前記脆弱性調査結果を提示する、
セキュリティリスク管理システム。
（付記２）
前記サーバは、
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の調査方法の情報が暗号化された状態で、前記脆弱性情報を前記エージェント部に送信し、
前記エージェント部は、
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の調査方法の情報を復号し、復号した脆弱性の調査方法の情報を基に前記端末の脆弱性の有無を調査する、
付記１に記載のセキュリティリスク管理システム。
（付記３）
前記サーバは、
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の概要、調査方法、および対策方法の情報が暗号化された状態で、前記脆弱性情報を格納し、
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の概要、調査方法、および対策方法の情報が暗号化された状態で、前記脆弱性情報を前記エージェント部に送信し、
前記エージェント部は、
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の概要、調査方法、および対策方法の情報が暗号化された状態で、前記脆弱性情報を格納する、
付記１または２に記載のセキュリティリスク管理システム。
（付記４）
前記脆弱性情報には、
前記脆弱性情報が未公開または公開済を表す値がセットされる公開フラグが付加され、
前記サーバは、
前記格納した前記脆弱性情報のうち、未公開を表す値がセットされた前記公開フラグが付加された前記脆弱性情報を読み出し、
前記読み出した前記脆弱性情報に含まれる公開日時が現在の日時以前の場合、前記読み出した前記脆弱性情報に含まれる脆弱性の概要、調査方法、および対策方法の情報を復号すると共に、前記読み出した前記脆弱性情報に付加された前記公開フラグに公開済を表す値をセットした上で、前記読み出した前記脆弱性情報を再度格納する、
付記３に記載のセキュリティリスク管理システム。
（付記５）
前記脆弱性情報には、
前記脆弱性情報を識別する脆弱性情報ＩＤがさらに付加され、
前記脆弱性調査結果には、
調査した脆弱性の前記脆弱性情報を識別する脆弱性情報ＩＤ、前記端末を識別する端末ＩＤ、および前記端末の脆弱性の有無を示す調査結果が含まれ、
前記サーバは、
前記脆弱性調査結果を格納し、
前記格納した前記脆弱性情報のうち、公開済を表す値がセットされた前記公開フラグが付加された前記脆弱性情報を読み出し、
前記格納した前記脆弱性調査結果のうち、前記読み出した前記脆弱性情報と一致する前記脆弱性情報ＩＤを含み、かつ、前記端末に脆弱性があることを示す調査結果を含む前記脆弱性調査結果を読み出し、
前記読み出した前記脆弱性情報に含まれる概要および対策方法を提示するとともに、前記読み出した前記脆弱性調査結果に含まれる前記端末ＩＤを提示する、
付記４に記載のセキュリティリスク管理システム。
（付記６）
前記脆弱性情報には、
前記脆弱性情報が未公開または公開済を表す値がセットされる公開フラグが付加され、
前記エージェント部は、
前記格納した前記脆弱性情報のうち、未公開を表す値がセットされた前記公開フラグが付加された前記脆弱性情報を読み出し、
前記読み出した前記脆弱性情報に含まれる公開日時が現在の日時以前の場合、前記読み出した前記脆弱性情報に含まれる脆弱性の概要、調査方法、および対策方法の情報を復号すると共に、前記読み出した前記脆弱性情報に付加された前記公開フラグに公開済を表す値をセットした上で、前記読み出した前記脆弱性情報を再度格納する、
付記３に記載のセキュリティリスク管理システム。
（付記７）
前記脆弱性情報には、
前記脆弱性情報を識別する脆弱性情報ＩＤがさらに付加され、
前記脆弱性調査結果には、
調査した脆弱性の前記脆弱性情報を識別する脆弱性情報ＩＤ、前記端末を識別する端末ＩＤ、および前記端末の脆弱性の有無を示す調査結果が含まれ、
前記エージェント部は、
前記脆弱性調査結果を格納し、
前記格納した前記脆弱性情報のうち、公開済を表す値がセットされた前記公開フラグが付加された前記脆弱性情報を読み出し、
前記格納した前記脆弱性調査結果の中に、前記読み出した前記脆弱性情報と一致する前記脆弱性情報ＩＤを含み、かつ、前記端末に脆弱性があることを示す調査結果を含む前記脆弱性調査結果がある場合、前記読み出した前記脆弱性情報に含まれる概要および対策方法を提示する、
付記６に記載のセキュリティリスク管理システム。
（付記８）
脆弱性情報の公開日時前に、前記脆弱性情報を端末に備えられたエージェント部に送信すると共に、前記エージェント部から、前記脆弱性情報に含まれる脆弱性の調査方法の情報を基に前記エージェント部で調査された前記端末の脆弱性の有無の調査結果を含む脆弱性調査結果を受信する通信部と、
前記脆弱性情報の公開日時以降に、前記脆弱性情報および前記脆弱性調査結果を提示する提示部と、
を備えるサーバ。
（付記９）
前記通信部は、
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の調査方法の情報が暗号化された状態で、前記脆弱性情報を前記エージェント部に送信する、
付記８に記載のサーバ。
（付記１０）
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の概要、調査方法、および対策方法の情報が暗号化された状態で、前記脆弱性情報を格納する脆弱性情報格納部をさらに備え、
前記通信部は、
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の概要、調査方法、および対策方法の情報が暗号化された状態で、前記脆弱性情報を前記エージェント部に送信する、
付記８または９に記載のサーバ。
（付記１１）
公開日時確認部をさらに備え
前記脆弱性情報には、
前記脆弱性情報が未公開または公開済を表す値がセットされる公開フラグが付加され、
前記公開日時確認部は、
前記脆弱性情報格納部に格納された前記脆弱性情報のうち、未公開を表す値がセットされた前記公開フラグが付加された前記脆弱性情報を読み出し、
前記読み出した前記脆弱性情報に含まれる公開日時が現在の日時以前の場合、前記読み出した前記脆弱性情報に含まれる脆弱性の概要、調査方法、および対策方法の情報を復号すると共に、前記読み出した前記脆弱性情報に付加された前記公開フラグに公開済を表す値をセットした上で、前記読み出した前記脆弱性情報を前記脆弱性情報格納部に再度格納する、
付記１０に記載のサーバ。
（付記１２）
前記脆弱性調査結果を格納する脆弱性調査結果格納部をさらに備え、
前記脆弱性情報には、
前記脆弱性情報を識別する脆弱性情報ＩＤがさらに付加され、
前記脆弱性調査結果には、
調査した脆弱性の前記脆弱性情報を識別する脆弱性情報ＩＤ、前記端末を識別する端末ＩＤ、および前記端末の脆弱性の有無を示す調査結果が含まれ、
前記提示部は、
前記脆弱性情報格納部に格納された前記脆弱性情報のうち、公開済を表す値がセットされた前記公開フラグが付加された前記脆弱性情報を読み出し、
前記脆弱性調査結果格納部に格納された前記脆弱性調査結果のうち、前記読み出した前記脆弱性情報と一致する前記脆弱性情報ＩＤを含み、かつ、前記端末に脆弱性があることを示す調査結果を含む前記脆弱性調査結果を読み出し、
前記読み出した前記脆弱性情報に含まれる概要および対策方法を提示するとともに、前記読み出した前記脆弱性調査結果に含まれる前記端末ＩＤを提示する、
付記１１に記載のサーバ。
（付記１３）
サーバの制御方法であって、
脆弱性情報の公開日時前に、前記脆弱性情報を端末に備えられたエージェント部に送信する送信ステップと、
前記エージェント部から、前記脆弱性情報に含まれる脆弱性の調査方法の情報を基に前記エージェント部で調査された前記端末の脆弱性の有無の調査結果を含む脆弱性調査結果を受信するステップと、
前記脆弱性情報の公開日時以降に、前記脆弱性情報および前記脆弱性調査結果を提示する提示ステップと、
を含む制御方法。
（付記１４）
前記送信ステップでは、
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の調査方法の情報が暗号化された状態で、前記脆弱性情報を前記エージェント部に送信する、
付記１３に記載の制御方法。
（付記１５）
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の概要、調査方法、および対策方法の情報が暗号化された状態で、前記脆弱性情報を脆弱性情報格納部に格納するステップをさらに含み、
前記送信ステップでは、
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の概要、調査方法、および対策方法の情報が暗号化された状態で、前記脆弱性情報を前記エージェント部に送信する、
付記１３または１４に記載の制御方法。
（付記１６）
前記脆弱性情報には、
前記脆弱性情報が未公開または公開済を表す値がセットされる公開フラグが付加され、
前記制御方法は、
前記脆弱性情報格納部に格納された前記脆弱性情報のうち、未公開を表す値がセットされた前記公開フラグが付加された前記脆弱性情報を読み出すステップと、
前記読み出した前記脆弱性情報に含まれる公開日時が現在の日時以前の場合、前記読み出した前記脆弱性情報に含まれる脆弱性の概要、調査方法、および対策方法の情報を復号すると共に、前記読み出した前記脆弱性情報に付加された前記公開フラグに公開済を表す値をセットした上で、前記読み出した前記脆弱性情報を前記脆弱性情報格納部に再度格納するステップと、をさらに含む、
付記１５に記載の制御方法。
（付記１７）
前記脆弱性情報には、
前記脆弱性情報を識別する脆弱性情報ＩＤがさらに付加され、
前記脆弱性調査結果には、
調査した脆弱性の前記脆弱性情報を識別する脆弱性情報ＩＤ、前記端末を識別する端末ＩＤ、および前記端末の脆弱性の有無を示す調査結果が含まれ、
前記制御方法は、
前記脆弱性調査結果を脆弱性調査結果格納部に格納するステップと、
前記脆弱性情報格納部に格納された前記脆弱性情報のうち、公開済を表す値がセットされた前記公開フラグが付加された前記脆弱性情報を読み出すステップと、
前記脆弱性調査結果格納部に格納された前記脆弱性調査結果のうち、前記読み出した前記脆弱性情報と一致する前記脆弱性情報ＩＤを含み、かつ、前記端末に脆弱性があることを示す調査結果を含む前記脆弱性調査結果を読み出すステップと、をさらに含み、
前記提示ステップでは、
前記読み出した前記脆弱性情報に含まれる概要および対策方法を提示するとともに、前記読み出した前記脆弱性調査結果に含まれる前記端末ＩＤを提示する、
付記１６に記載の制御方法。
（付記１８）
コンピュータに、
脆弱性情報の公開日時前に、前記脆弱性情報を端末に備えられたエージェント部に送信する送信手順と、
前記脆弱性情報の公開日時前に、前記エージェント部から、前記脆弱性情報に含まれる脆弱性の調査方法の情報を基に前記エージェント部で調査された前記端末の脆弱性の有無の調査結果を含む脆弱性調査結果を受信する手順と、
前記脆弱性情報の公開日時以降に、前記脆弱性情報および前記脆弱性調査結果を提示する提示手順と、
を実行させるためのプログラム。
（付記１９）
前記送信手順では、
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の調査方法の情報が暗号化された状態で、前記脆弱性情報を前記エージェント部に送信する、
付記１８に記載のプログラム。
（付記２０）
前記コンピュータに、
前記脆弱性情報に含まれる脆弱性の概要、調査方法、および対策方法の情報が暗号化された状態で、前記脆弱性情報を脆弱性情報格納部に格納する手順をさらに実行させ、
前記送信手順では、
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の概要、調査方法、および対策方法の情報が暗号化された状態で、前記脆弱性情報を前記エージェント部に送信する、
付記１８または１９に記載のプログラム。
（付記２１）
前記脆弱性情報には、
前記脆弱性情報が未公開または公開済を表す値がセットされる公開フラグが付加され、
前記コンピュータに、
前記脆弱性情報格納部に格納された前記脆弱性情報のうち、未公開を表す値がセットされた前記公開フラグが付加された前記脆弱性情報を読み出す手順と、
前記読み出した前記脆弱性情報に含まれる公開日時が現在の日時以前の場合、前記読み出した前記脆弱性情報に含まれる脆弱性の概要、調査方法、および対策方法の情報を復号すると共に、前記読み出した前記脆弱性情報に付加された前記公開フラグに公開済を表す値をセットした上で、前記読み出した前記脆弱性情報を前記脆弱性情報格納部に再度格納する手順と、をさらに実行させる、
付記２０に記載のプログラム。
（付記２２）
前記脆弱性情報には、
前記脆弱性情報を識別する脆弱性情報ＩＤがさらに付加され、
前記脆弱性調査結果には、
調査した脆弱性の前記脆弱性情報を識別する脆弱性情報ＩＤ、前記端末を識別する端末ＩＤ、および前記端末の脆弱性の有無を示す調査結果が含まれ、
前記コンピュータに、
前記脆弱性調査結果を脆弱性調査結果格納部に格納する手順と、
前記脆弱性情報格納部に格納された前記脆弱性情報のうち、公開済を表す値がセットされた前記公開フラグが付加された前記脆弱性情報を読み出す手順と、
前記脆弱性調査結果格納部に格納された前記脆弱性調査結果のうち、前記読み出した前記脆弱性情報と一致する前記脆弱性情報ＩＤを含み、かつ、前記端末に脆弱性があることを示す調査結果を含む前記脆弱性調査結果を読み出す手順と、をさらに実行させ、
前記提示手順では、
前記読み出した前記脆弱性情報に含まれる概要および対策方法を提示するとともに、前記読み出した前記脆弱性調査結果に含まれる前記端末ＩＤを提示する、
付記２１に記載のプログラム。
（付記２３）
コンピュータに、
脆弱性情報の公開日時前に、サーバから、前記脆弱性情報を受信する受信手順と、
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の調査方法の情報を基に端末の脆弱性の有無を調査する調査手順と、
前記脆弱性情報の公開日時前に、前記調査手順の調査結果を含む脆弱性調査結果を前記サーバに送信する手順と、
を実行させるためのプログラム。
（付記２４）
前記受信手順では、
前記脆弱性情報の公開日時前に、前記サーバから、前記脆弱性情報に含まれる脆弱性の調査方法の情報が暗号化された状態で、前記脆弱性情報を受信し、
前記調査手順では、
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の調査方法の情報を復号し、復号した脆弱性の調査方法の情報を基に前記端末の脆弱性の有無を調査する、
付記２３に記載のプログラム。
（付記２５）
前記受信手順では、
前記脆弱性情報の公開日時前に、前記サーバから、前記脆弱性情報に含まれる脆弱性の概要、調査方法、および対策方法の情報が暗号化された状態で、前記脆弱性情報を受信し、
前記コンピュータに、
前記脆弱性情報の公開日時前に、前記脆弱性情報に含まれる脆弱性の概要、調査方法、および対策方法の情報が暗号化された状態で、前記脆弱性情報を脆弱性情報格納部に格納する手順をさらに実行させる、
付記２３または２４に記載のプログラム。
（付記２６）
前記脆弱性情報には、
前記脆弱性情報が未公開または公開済を表す値がセットされる公開フラグが付加され、
前記コンピュータに、
前記脆弱性情報格納部に格納された前記脆弱性情報のうち、未公開を表す値がセットされた前記公開フラグが付加された前記脆弱性情報を読み出す手順と、
前記読み出した前記脆弱性情報に含まれる公開日時が現在の日時以前の場合、前記読み出した前記脆弱性情報に含まれる脆弱性の概要、調査方法、および対策方法の情報を復号すると共に、前記読み出した前記脆弱性情報に付加された前記公開フラグに公開済を表す値をセットした上で、前記読み出した前記脆弱性情報を前記脆弱性情報格納部に再度格納する手順と、をさらに実行させる、
付記２５に記載のプログラム。
（付記２７）
前記脆弱性情報には、
前記脆弱性情報を識別する脆弱性情報ＩＤがさらに付加され、
前記脆弱性調査結果には、
調査した脆弱性の前記脆弱性情報を識別する脆弱性情報ＩＤ、前記端末を識別する端末ＩＤ、および前記端末の脆弱性の有無を示す調査結果が含まれ、
前記コンピュータに、
前記脆弱性調査結果を脆弱性調査結果格納部に格納する手順と、
前記脆弱性情報格納部に格納された前記脆弱性情報のうち、公開済を表す値がセットされた前記公開フラグが付加された前記脆弱性情報を読み出す手順と、
前記脆弱性調査結果格納部に格納された前記脆弱性調査結果の中に、前記読み出した前記脆弱性情報と一致する前記脆弱性情報ＩＤを含み、かつ、前記端末に脆弱性があることを示す調査結果を含む前記脆弱性調査結果がある場合、前記読み出した前記脆弱性情報に含まれる概要および対策方法を提示する手順と、をさらに実行させる、
付記２６に記載のプログラム。
【符号の説明】
【0079】
１００ 脆弱性情報提供機関
１１０ 脆弱性情報送信システム
２００ セキュリティリスク管理システム提供会社
２１０ 脆弱性情報配布システム
２１１ 脆弱性情報受信部
２１２ 脆弱性情報データ作成部
２１３ 脆弱性情報データ暗号化部
２１４ 共通鍵格納部
２１５ 脆弱性情報データ格納部
２１６ 脆弱性情報データ送信部
３００ セキュリティリスク管理システム利用会社
３０５ セキュリティリスク管理システム
３１０ サーバ
３１１ 脆弱性情報データ受信部
３１２ 脆弱性情報データ格納部
３１３ 脆弱性情報データ配布部
３１４ 脆弱性調査結果受信部
３１５ 脆弱性調査結果格納部
３１６ 脆弱性公開日時確認部
３１７ 脆弱性情報データ復号部
３１８ 共通鍵格納部
３１９ 脆弱性情報・調査結果表示部
３１０１ 通信部
３１０２ 提示部
３２０ エージェント部
３２１ 脆弱性情報データ受信部
３２２ 脆弱性情報データ格納部
３２３ 脆弱性調査部
３２４ 脆弱性情報データ復号部
３２５ 共通鍵格納部
３２６ 脆弱性調査結果格納部
３２７ 脆弱性調査結果送信部
３２８ 脆弱性公開日時確認部
３２９ 脆弱性情報表示部
３２０１ 通信部
３２０２ 調査部
３３０ 端末
４００ コンピュータ
４０１ プロセッサ
４０２ メモリ
４０３ ストレージ
４０４ 入出力インタフェース
４０４１ 表示装置
４０４２ 入力装置
４０５ 通信インタフェース
１１０ 脆弱性情報送信システム
２００ セキュリティリスク管理システム提供会社
２１０ 脆弱性情報配布システム
２１１ 脆弱性情報受信部
２１２ 脆弱性情報データ作成部
２１３ 脆弱性情報データ暗号化部
２１４ 共通鍵格納部
２１５ 脆弱性情報データ格納部
２１６ 脆弱性情報データ送信部
３００ セキュリティリスク管理システム利用会社
３０５ セキュリティリスク管理システム
３１０ サーバ
３１１ 脆弱性情報データ受信部
３１２ 脆弱性情報データ格納部
３１３ 脆弱性情報データ配布部
３１４ 脆弱性調査結果受信部
３１５ 脆弱性調査結果格納部
３１６ 脆弱性公開日時確認部
３１７ 脆弱性情報データ復号部
３１８ 共通鍵格納部
３１９ 脆弱性情報・調査結果表示部
３１０１ 通信部
３１０２ 提示部
３２０ エージェント部
３２１ 脆弱性情報データ受信部
３２２ 脆弱性情報データ格納部
３２３ 脆弱性調査部
３２４ 脆弱性情報データ復号部
３２５ 共通鍵格納部
３２６ 脆弱性調査結果格納部
３２７ 脆弱性調査結果送信部
３２８ 脆弱性公開日時確認部
３２９ 脆弱性情報表示部
３２０１ 通信部
３２０２ 調査部
３３０ 端末
４００ コンピュータ
４０１ プロセッサ
４０２ メモリ
４０３ ストレージ
４０４ 入出力インタフェース
４０４１ 表示装置
４０４２ 入力装置
４０５ 通信インタフェース
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】