特許 7594144 脆弱性分析システム、脆弱性分析方法、およびプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B1)

(11)【特許番号】

(24)【登録日】2024-11-25

(45)【発行日】2024-12-03

(54)【発明の名称】脆弱性分析システム、脆弱性分析方法、およびプログラム

(51)【国際特許分類】

   G06F 21/57 20130101AFI20241126BHJP

【ＦＩ】

G06F21/57 370

【請求項の数】 9

(21)【出願番号】P 2024039485

(22)【出願日】2024-03-13

【審査請求日】2024-08-02

【早期審査対象出願】

(73)【特許権者】

【識別番号】322003857

【氏名又は名称】パナソニックオートモーティブシステムズ株式会社

(74)【代理人】

【識別番号】100109210

【弁理士】

【氏名又は名称】新居 広守

(74)【代理人】

【識別番号】100137235

【弁理士】

【氏名又は名称】寺谷 英作

(74)【代理人】

【識別番号】100131417

【弁理士】

【氏名又は名称】道坂 伸一

(72)【発明者】

【氏名】富家 琴音

(72)【発明者】

【氏名】根本 祐輔

(72)【発明者】

【氏名】和田 紘幸

(72)【発明者】

【氏名】青島 初帆

【審査官】塩澤 如正

(56)【参考文献】

【文献】特開２０２３－０４７５６９（ＪＰ，Ａ）

【文献】特開２０２０－１６６６５０（ＪＰ，Ａ）

【文献】特開２０１５－０４１１６７（ＪＰ，Ａ）

【文献】特開２０２０－０５２６８６（ＪＰ，Ａ）

【文献】中国特許出願公開第１１２３２９０２２（ＣＮ，Ａ）

【文献】米山 哲平 他，システム設計における車載機器向けソフトウェア脆弱性抽出のコンセプト，２０１９年 暗号と情報セキュリティシンポジウム（ＳＣＩＳ２０１９）予稿集 ［ＵＳＢ］，日本，一般社団法人電子情報通信学会，2019年02月12日，pp1-5

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／５７

(57)【特許請求の範囲】

【請求項1】

車両が有する資産ごとに当該資産の種類を示す分類情報を格納している分類格納部と、
分析対象アイテムが有する資産を示す設計情報を取得し、前記設計情報によって示されている資産の種類を、前記分類情報を参照することによって特定する分類特定部と、
特定された前記種類に予め対応付けられている１以上の第１脆弱性のそれぞれが前記分析対象アイテムに該当するか否かを判定する該非判定部と、
前記該非判定部による判定結果を示す分析結果レポートを出力する出力部と、を備え、
前記分類情報によって示されている複数の種類には、車載セキュリティに関する種類と、前記車載セキュリティに限定されないセキュリティに関する種類とが含まれている、
脆弱性分析システム。

【請求項2】

前記分類格納部は、
前記車載セキュリティに関する１以上の種類のそれぞれと、当該種類に分類される１以上の資産とを関連付けて示す第１分類情報を格納している第１分類格納部と、
前記車載セキュリティに限定されないセキュリティに関する１以上の種類のそれぞれと、当該種類に分類される１以上の資産とを関連付けて示す第２分類情報を格納している第２分類格納部とを含む、
請求項１に記載の脆弱性分析システム。

【請求項3】

前記脆弱性分析システムは、さらに、
前記分析対象アイテムに該当すると判定された前記第１脆弱性である該当脆弱性ごとに、当該該当脆弱性への対策の優先度を対策優先度として導出する優先度導出部を備える、
請求項１に記載の脆弱性分析システム。

【請求項4】

前記優先度導出部は、
（ａ）前記分析対象アイテムを有する車両の走行に前記該当脆弱性が与える影響、
（ｂ）前記該当脆弱性に属する第２脆弱性が過去に複数の車両から見つかった実績数、および
（ｃ）過去に前記該当脆弱性への対策にかかった実績工数、
のうちの少なくとも１つを用いて、前記該当脆弱性の前記対策優先度を導出する、
請求項３に記載の脆弱性分析システム。

【請求項5】

前記優先度導出部は、
前記分析対象アイテムが有する前記資産が与えるアーキテクチャへの影響の大きさである影響度を用いて、前記該当脆弱性の前記対策優先度を導出する、
請求項３に記載の脆弱性分析システム。

【請求項6】

前記優先度導出部は、
前記資産への攻撃によって前記分析対象アイテムが受ける影響のレベル、前記資産への攻撃可能性のレベル、および前記資産への攻撃経路の数を用いて、前記該当脆弱性の前記対策優先度を導出する、
請求項３に記載の脆弱性分析システム。

【請求項7】

前記脆弱性分析システムは、さらに、
前記分析対象アイテムに該当しないと判定された前記第１脆弱性に対して、前記第１脆弱性が前記分析対象アイテムに該当しない理由を導出する理由導出部を備える、
請求項１に記載の脆弱性分析システム。

【請求項8】

コンピュータによって行われる脆弱性分析方法であって、
分析対象アイテムが有する資産を示す設計情報を取得し、
車両が有する資産ごとに当該資産の種類を示す分類情報を参照することによって、前記設計情報によって示されている資産の種類を特定し、
特定された前記種類に予め対応付けられている１以上の第１脆弱性のそれぞれが前記分析対象アイテムに該当するか否かを判定し、
前記１以上の第１脆弱性のそれぞれの判定結果を示す分析結果レポートを出力し、
前記分類情報によって示されている複数の種類には、車載セキュリティに関する種類と、前記車載セキュリティに限定されないセキュリティに関する種類とが含まれている、
脆弱性分析方法。

【請求項9】

分析対象アイテムが有する資産を示す設計情報を取得し、
車両が有する資産ごとに当該資産の種類を示す分類情報を参照することによって、前記設計情報によって示されている資産の種類を特定し、
特定された前記種類に予め対応付けられている１以上の第１脆弱性のそれぞれが前記分析対象アイテムに該当するか否かを判定し、
前記１以上の第１脆弱性のそれぞれの判定結果を示す分析結果レポートを出力することを、
コンピュータに実行させ、
前記分類情報によって示されている複数の種類には、車載セキュリティに関する種類と、前記車載セキュリティに限定されないセキュリティに関する種類とが含まれている、
プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、分析対象アイテムの脆弱性を分析する脆弱性分析システムなどに関する。

【背景技術】

【0002】

例えば、特許文献１には、脆弱性分析システムとして脆弱性評価装置が開示されている。この脆弱性評価装置は、資産価値に基づいて、製品の構成要素ごとのセキュリティホールに対する脅威レベルを算出するとともに、対応すべきセキュリティ対策の優先順位を決定する。資産価値およびセキュリティホールを示す情報は、製品の構成要素ごとに保持部に格納されている。また、その脆弱性評価装置は、攻撃経路を形成する要素名、およびその要素名に対応した脆弱性情報を紐付けた攻撃マップが格納される攻撃マップ保持部を備える。さらに、脆弱性評価装置は、セキュリティ対策ごとに、防御対象の構成要素、および対策効果を数値化した係数が紐付けられて格納されたセキュリティ対策分類保持部を備える。また、脆弱性評価装置は、セキュリティホールへの攻撃難易度と資産価値との乗算結果に基づいて、脆弱性の評価数値を設定する。

【先行技術文献】

【特許文献】

【0003】

【文献】特許第６９９５７２６号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

しかしながら、上記特許文献１の脆弱性評価装置では、脆弱性の分析精度が低いという課題がある。

【0005】

そこで、本開示は、脆弱性の分析精度の向上を図ることができる脆弱性分析システムなどを提供する。

【課題を解決するための手段】

【0006】

本開示の一態様に係る脆弱性分析システムは、車両が有する資産ごとに当該資産の種類を示す分類情報を格納している分類格納部と、分析対象アイテムが有する資産を示す設計情報を取得し、前記設計情報によって示されている資産の種類を、前記分類情報を参照することによって特定する分類特定部と、特定された前記種類に予め対応付けられている１以上の第１脆弱性のそれぞれが前記分析対象アイテムに該当するか否かを判定する該非判定部と、前記該非判定部による判定結果を示す分析結果レポートを出力する出力部と、を備え、前記分類情報によって示されている複数の種類には、車載セキュリティに関する種類が含まれている。

【0007】

なお、その包括的または具体的な態様は、装置、方法、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ－ＲＯＭなどの記録媒体で実現されてもよく、装置、方法、集積回路、コンピュータプログラム、および記録媒体の任意な組み合わせで実現されてもよい。また、記録媒体は、非一時的な記録媒体であってもよい。

【発明の効果】

【0008】

本開示の脆弱性分析システムは、脆弱性の分析精度の向上を図ることができる。

【0009】

なお、本開示の一態様における更なる利点および効果は、明細書および図面から明らかにされる。かかる利点および／または効果は、実施の形態並びに明細書および図面に記載された構成によって提供されるが、必ずしも全ての構成が必要とはされない。

【図面の簡単な説明】

【0010】

【図1】図１は、実施の形態における脆弱性分析システムの構成の一例を示す図である。

【図2】図２は、実施の形態における設計情報を生成するための画面の一例を示す図である。

【図3】図３は、実施の形態における分類特定部および該非判定部の処理の一例を説明するための図である。

【図4】図４は、実施の形態における該非判定部の処理の一例を説明するための図である。

【図5】図５は、実施の形態における優先度導出部の構成の一例を示す図である。

【図6】図６は、実施の形態における第１優先度導出部の処理を説明するための図である。

【図7】図７は、実施の形態における第２優先度導出部の処理を説明するための図である。

【図8】図８は、実施の形態における第３優先度導出部の処理を説明するための図である。

【図9】図９は、脅威分析システムによるリスク値の決定などを例示的に説明するための図である。

【図10】図１０は、実施の形態における出力部から出力される分析結果レポートの一例を示す図である。

【図11】図１１は、実施の形態における分類特定部、該非判定部、および理由導出部の一連の処理動作の一例を示すフローチャートである。

【図12】図１２は、実施の形態における優先度導出部の処理動作の一例を示すフローチャートである。

【発明を実施するための形態】

【0011】

本開示の第１態様に係る脆弱性分析システムは、車両が有する資産ごとに当該資産の種類を示す分類情報を格納している分類格納部と、分析対象アイテムが有する資産を示す設計情報を取得し、前記設計情報によって示されている資産の種類を、前記分類情報を参照することによって特定する分類特定部と、特定された前記種類に予め対応付けられている１以上の第１脆弱性のそれぞれが前記分析対象アイテムに該当するか否かを判定する該非判定部と、前記該非判定部による判定結果を示す分析結果レポートを出力する出力部と、を備え、前記分類情報によって示されている複数の種類には、車載セキュリティに関する種類が含まれている。なお、第１脆弱性は、例えば、ＣＷＥ（Common Weakness Enumeration）－ＩＤによって識別される脆弱性であって、脆弱性タイプとも呼ばれる。

【0012】

これにより、分類情報によって示されている複数の種類には、車載セキュリティに関する種類が含まれているため、資産の種類として車載セキュリティ特有の種類が特定される場合がある。このような場合、車載セキュリティ特有の第１脆弱性が分析対象アイテムに該当するか否かが判定される。したがって、第１脆弱性の判定を、車載セキュリティ特有の観点から行うことができる。これにより、脆弱性の分析精度の向上を図ることができる。

【0013】

また、第２態様に係る脆弱性分析システムでは、前記分類格納部は、前記車載セキュリティに関する１以上の種類のそれぞれと、当該種類に分類される１以上の資産とを関連付けて示す第１分類情報を格納している第１分類格納部と、前記車載セキュリティに限定されないセキュリティに関する１以上の種類のそれぞれと、当該種類に分類される１以上の資産とを関連付けて示す第２分類情報を格納している第２分類格納部とを含んでもよい。なお、第２態様は第１態様に従属していてもよい。

【0014】

これにより、第１脆弱性の判定を、車載セキュリティ特有の観点と、一般的なセキュリティの観点とに基づいて行うことができる。これにより、脆弱性の分析精度の向上をより効果的に図ることができる。

【0015】

また、第３態様に係る脆弱性分析システムは、さらに、前記分析対象アイテムに該当すると判定された前記第１脆弱性である該当脆弱性ごとに、当該該当脆弱性への対策の優先度を対策優先度として導出する優先度導出部を備えてもよい。なお、第３態様は第１態様または第２態様に従属していてもよい。

【0016】

これにより、分析対象アイテムに該当すると判定された複数の第１脆弱性、すなわち複数の該当脆弱性のそれぞれに対して対策優先度が導出される。そして、その複数の該当脆弱性には、車載セキュリティ特有の該当脆弱性が含まれる場合がある。このような場合には、その車載セキュリティ特有の該当脆弱性に対して、他の該当脆弱性よりも大きい対策優先度を導出することができる。あるいは、その車載セキュリティ特有の該当脆弱性に対して、車載セキュリティ特有の手法によって対策優先度を導出することができる。これにより、複数の該当脆弱性に対して適切な対策優先度を導出することができ、それらの該当脆弱性への対策の不足または遅れなどを抑制することができる。また、該当脆弱性の数が多くても、それらの対策優先度が適切に導出されため、それらの該当脆弱性への対策を適切な順序で行うことができる。

【0017】

また、第４態様に係る脆弱性分析システムでは、前記優先度導出部は、（ａ）前記分析対象アイテムを有する車両の走行に前記該当脆弱性が与える影響、（ｂ）前記該当脆弱性に属する第２脆弱性が過去に複数の車両から見つかった実績数、および（ｃ）過去に前記該当脆弱性への対策にかかった実績工数、のうちの少なくとも１つを用いて、前記該当脆弱性の前記対策優先度を導出してもよい。なお、第４態様は、第１態様または第２態様に従属する第３態様に従属していてもよい。また、車両の走行は、車両の走る、曲がる、および止まるなどの機能に相当する。また、第２脆弱性は、例えば、ＣＶＥ（Common Vulnerabilities and Exposures）－ＩＤによって識別される脆弱性である。

【0018】

これにより、車両の走行に該当脆弱性が与える影響、第２脆弱性の実績数、該当脆弱性への対策の実績工数などの観点から、対策優先度が高精度に導出することができる。

【0019】

また、第５態様に係る脆弱性分析システムでは、前記優先度導出部は、前記分析対象アイテムが有する前記資産が与えるアーキテクチャへの影響の大きさである影響度を用いて、前記該当脆弱性の前記対策優先度を導出してもよい。なお、第５態様は、第１態様または第２態様に従属する第３態様、あるいは第４態様に従属していてもよい。

【0020】

これにより、アーキテクチャへの影響の大きさの観点から、対策優先度を高精度に導出することができる。

【0021】

また、第６態様に係る脆弱性分析システムでは、前記優先度導出部は、前記資産への攻撃によって前記分析対象アイテムが受ける影響のレベル、前記資産への攻撃可能性のレベル、および前記資産への攻撃経路の数を用いて、前記該当脆弱性の前記対策優先度を導出してもよい。なお、第６態様は、第１態様または第２態様に従属する第３態様、第４態様、あるいは第５態様に従属していてもよい。なお、攻撃経路は、アタックパスとも呼ばれる。

【0022】

これにより、影響のレベル、攻撃可能性のレベル、および攻撃経路の数の観点から、対策優先度を高精度に導出することができる。

【0023】

また、第７態様に係る脆弱性分析システムは、さらに、前記分析対象アイテムに該当しないと判定された前記第１脆弱性に対して、前記第１脆弱性が前記分析対象アイテムに該当しない理由を導出する理由導出部を備えてもよい。なお、第７態様は、第１態様～第６態様の何れか１つに従属していてもよい。

【0024】

これにより、非該当の理由が導出されるため、該非判定部による判定結果の信頼性を保証することができる。

【0025】

以下、実施の形態について、図面を参照しながら具体的に説明する。

【0026】

なお、以下で説明する実施の形態は、いずれも包括的または具体的な例を示すものである。以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置位置および接続形態、ステップ、ステップの順序などは、一例であり、本開示を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素については、任意の構成要素として説明される。

【0027】

また、各図は、模式図であり、必ずしも厳密に図示されたものではない。また、各図において、同じ構成部材については同じ符号を付している。

【0028】

（実施の形態）
図１は、本実施の形態における脆弱性分析システムの構成の一例を示す図である。

【0029】

本実施の形態における脆弱性分析システム１０は、例えば車両に含まれる分析対象アイテムにおける情報セキュリティの脆弱性を分析するシステムである。つまり、脆弱性分析システム１０は、分析対象アイテムの設計情報ｄ１を取得し、その設計情報ｄ１に示されている１以上の資産のそれぞれに対して、その資産の脆弱性を分析する。そして、脆弱性分析システム１０は、その脆弱性の分析結果を示す情報として分析結果レポートｄ２を出力する。

【0030】

なお、分析対象アイテムおよび資産は、例えばプログラムによって実現される機能であってもよい。また、分析対象アイテムは、車両に搭載されるＥＣＵ（Electronic Control Unit）などであってもよい。また、脆弱性分析システム１０は、例えば、ＩＳＯ（International Organization for Standardization）／ＳＡＥ（Society of Automotive Engineers） ２１４３４の法規に対応したシステムであってもよい。

【0031】

このような脆弱性分析システム１０は、分類特定部１１、分類格納部１２、該非判定部１３、脆弱性管理格納部１４、理由導出部１５、優先度導出部１６、および出力部１７を備える。

【0032】

分類格納部１２は、車両が有する資産ごとにその資産の種類を示す分類情報を格納している記録媒体である。なお、分類情報は、資産を分類した結果を示す情報であるとも言える。また、本実施の形態では、分類格納部１２は、第１分類格納部１２ａと、第２分類格納部１２ｂとを有する。

【0033】

第１分類格納部１２ａは、複数の資産を車両特有の観点で分類した結果を示す第１分類情報を格納している記録媒体である。具体的には、第１分類情報は、車載セキュリティに関する１以上の種類のそれぞれと、その種類に分類される１以上の資産とを関連付けて示す。言い換えれば、第１分類情報では、複数の資産が、車両特有、車載特有、または車載セキュリティ特有の観点で分類されている。

【0034】

第２分類格納部１２ｂは、複数の資産を一般的なセキュリティの観点で分類した結果を示す第２分類情報を格納している記録媒体である。具体的には、第２分類情報は、車載セキュリティに限定されないセキュリティに関する１以上の種類のそれぞれと、その種類に分類される１以上の資産とを関連付けて示す。

【0035】

つまり、本実施の形態における分類情報は、第１分類情報および第２分類情報を含む。そして、その分類情報によって示されている複数の種類には、車載セキュリティに関する種類が含まれている。なお、車載セキュリティは、例えば、車両に搭載される情報処理システムまたはプログラムにおけるセキュリティである。

【0036】

脆弱性管理格納部１４は、複数の種類のそれぞれと、その種類に該当する１以上の第１脆弱性と対応付けて示す脆弱性管理情報を格納している記録媒体である。

【0037】

なお、本実施の形態では、その第１脆弱性は、ＣＷＥ－ＩＤによって識別される脆弱性である。ＣＷＥ―ＩＤは、脆弱性のカテゴリーまたはタイプの識別情報である。つまり、本実施の形態において、第１脆弱性は、抽象度の高い脆弱性であって、脆弱性タイプとも呼ばれる。また、具体的には、ＣＷＥは、ＭＩＴＲＥ Corporationが公開している、ソフトウェアにおけるセキュリティ上の脆弱性の種類を識別するための共通の基準である。そして、ＣＷＥ－ＩＤは、ＶｉｅｗまたはＣａｔｅｇｏｒｙなどによって分類されている。

【0038】

なお、第１分類格納部１２ａ、第２分類格納部１２ｂ、脆弱性管理格納部１４などの記録媒体は、例えば、ハードディスクドライブ、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、または半導体メモリなどである。また、このような記録媒体は、揮発性であっても不揮発性であってもよい。

【0039】

分類特定部１１は、分析対象アイテムが有する資産を示す設計情報ｄ１を取得する。そして、分類特定部１１は、その設計情報ｄ１によって示されている資産の種類を、上述の分類情報（すなわち第１分類情報および第２分類情報）を参照することによって特定する。なお、分類特定部１１は、１つの資産に対して複数の種類を特定してもよい。

【0040】

該非判定部１３は、分類特定部１１によって特定された種類に予め対応付けられている１以上の第１脆弱性のそれぞれが分析対象アイテムに該当するか否かを判定する。つまり、該非判定部１３は、脆弱性管理格納部１４の脆弱性管理情報を参照することによって、その脆弱性管理情報において、分類特定部１１によって特定された種類に予め対応付けられている１以上の第１脆弱性のそれぞれを検索する。そして、該非判定部１３は、その検索された１以上の第１脆弱性のそれぞれが分析対象アイテムに該当するか否かを判定する。該非判定部１３は、その判定結果を示す判定結果情報を理由導出部１５、優先度導出部１６、および出力部１７に出力する。

【0041】

理由導出部１５は、該非判定部１３から判定結果情報を取得すると、その判定結果情報に基づいて、分析対象アイテムに該当しないと判定された第１脆弱性に対して、その第１脆弱性が分析対象アイテムに該当しない理由を導出する。なお、分析対象アイテムに該当すると判定された第１脆弱性は、以下、該当脆弱性とも呼ばれる。そして、理由導出部１５は、その導出された理由を示す理由情報を出力部１７に出力する。

【0042】

優先度導出部１６は、分析対象アイテムに該当すると判定された第１脆弱性、すなわち該当脆弱性ごとに、その該当脆弱性への対策の優先度を対策優先度として導出する。そして、優先度導出部１６は、導出された対策優先度を示す優先度情報を出力部１７に出力する。本実施の形態における優先度導出部１６は、分析対象アイテムが有する資産の数が多く、それらの資産のそれぞれに対応する該当脆弱性の数が多い場合でも、それらの該当脆弱性への対策優先度を導出する。

【0043】

出力部１７は、該非判定部１３から判定結果情報を取得し、理由導出部１５から理由情報を取得し、優先度導出部１６から優先度情報を取得する。そして、出力部１７は、その判定結果情報、理由情報、および優先度情報を含む分析結果レポートｄ２を出力する。つまり、分析結果レポートｄ２には、該非判定部１３による判定結果が示されている。

【0044】

図２は、設計情報ｄ１を生成するための画面の一例を示す図である。

【0045】

例えば、コンピュータは、図２に示す画面をディスプレイに表示する。その画面は、ユーザに対して質問を行うことによって、その質問に対する回答をユーザから受け付けるための画面である。質問は、分析対象アイテムについての質問である。コンピュータは、その画面を介して、ユーザから回答を受け付けることによって、その回答に応じた１以上の資産を示す設計情報ｄ１を生成して分類特定部１１に出力する。

【0046】

具体的には、その画面には、質問１－１「外部の機器と通信するプログラムですか？」が含まれる。さらに、その画面には、その質問に対する回答が「はい」の場合、他の質問１－２「使用する外部インターフェース、プログラムが接続する機器、使用するプロトコル、接続先機器の認証方法、の組み合わせを全て列挙してください」が含まれる。なお、外部インターフェースは、外部Ｉ／Ｆとも表記される。

【0047】

コンピュータは、ユーザによる入力操作に応じて、質問１－１に対する回答「はい」を受け付け、さらに、質問１－２に対する回答を受け付ける。質問１－２に回答するときには、ユーザは、各項目に対して複数の選択肢から１つの選択肢を回答として選択する。各項目は、「使用外部Ｉ／Ｆ」、「接続先外部機器」、「プロトコル」、「接続先機器認証方法」、「ネットワーク防御機能」、「正当性検証方法」などである。ユーザは、これらの各項目に対して回答を選択する。例えば、ユーザは、項目「外部使用Ｉ／Ｆ」に対して「車内ＣＡＮ」を回答として選択し、項目「接続先外部機器」に対して「ＧＷ内部の制御ＥＣＵ／機器」を回答として選択し、項目「プロトコル」に対して「ＣＡＮ－ＦＤ」を回答として選択する。さらに、ユーザは、項目「接続先機器認証方法」に対して「なし」を回答として選択し、項目「ネットワーク防御機能」に対して「ＩＤＳ／ＩＰＳ」を回答として選択し、項目「正当性検証方法」に対して「なし」を回答として選択する。これにより、質問１－２に対して、「車内ＣＡＮ」、「ＧＷ内部の制御ＥＣＵ／機器」、「ＣＡＮ－ＦＤ」、「なし」、「ＩＤＳ／ＩＰＳ」、および「なし」を含む１つの組み合わせが回答として受け付けられる。つまり、回答番号「１－２－２」によって示される回答が受け付けられる。

【0048】

コンピュータは、このように受け付けられた回答に基づいて設計情報ｄ１を生成する。

【0049】

図３は、分類特定部１１および該非判定部１３の処理の一例を説明するための図である。

【0050】

分類特定部１１は、上述の設計情報ｄ１を取得する。その設計情報ｄ１は、例えば図３の（ａ）に示すように、「ＣＡＮプロトコル」および「パスワード認証機能」をそれぞれ資産として示す。なお、ＣＡＮは、Controller Area Networkを意味する。また、「ＣＡＮプロトコル」および「パスワード認証機能」は、図２に示す回答番号「１－２－２」および「１－２－４」のそれぞれによって示される回答に基づく資産の例である。

【0051】

分類特定部１１は、資産「ＣＡＮプロトコル」を、第１分類格納部１２ａの第１分類情報１２ａｄおよび第２分類格納部１２ｂの第２分類情報１２ｂｄから検索する。この場合、資産「ＣＡＮプロトコル」は、第１分類情報１２ａｄに示されている。そのため、分類特定部１１は、図３の（ｂ）に示すように、第１分類情報１２ａｄにおいて資産「ＣＡＮプロトコル」に関連付けられている種類を特定する。その種類は、車載セキュリティに関する種類、あるいは車載セキュリティ特有の種類である。また、種類は、例えば第１種類および第２種類を含む。第２種類は、第１種類をさらに細かく分類することによって得られる種類であってもよい。あるいは、第２種類は、第１種類とは独立した種類であってもよい。図３の例では、分類特定部１１は、資産「ＣＡＮプロトコル」に関連付けられている、第１種類として「ＣＡＮ」を特定し、第２種類として「－」を特定する。なお、「－」は、第２種類がないことを示し、「（なし）」とも表記される。

【0052】

同様に、分類特定部１１は、資産「パスワード認証」を、第１分類格納部１２ａの第１分類情報１２ａｄおよび第２分類格納部１２ｂの第２分類情報１２ｂｄから検索する。この場合、資産「パスワード」は、第２分類情報１２ｂｄに示されている。そのため、分類特定部１１は、図３の（ｂ）に示すように、第２分類情報１２ｂｄにおいて資産「パスワード認証」に関連付けられている種類を特定する。その種類は、車載セキュリティに限定されないセキュリティ、すなわち一般的なセキュリティに関する種類である。図３の例では、分類特定部１１は、資産「パスワード認証」に関連付けられている、第１種類として「認証」を特定し、第２種類として「パスワード」を特定する。

【0053】

これにより、図３の（ｃ）に示すように、資産「ＣＡＮプロトコル」に対して、第１種類「ＣＡＮ」と第２種類「（なし）」との組み合わせが特定結果として得られる。さらに、資産「パスワード認証」に対して、第１種類「認証」と第２種類「パスワード」との組み合わせが特定結果として得られる。

【0054】

そして、該非判定部１３は、図３の（ｄ）に示すように、脆弱性管理格納部１４の脆弱性管理情報１４ｄを参照することによって、特定された第１種類と第２種類との組み合わせに対応付けられている１以上の第１脆弱性を検索する。すなわち、該非判定部は、１以上のＣＷＥ－ＩＤを検索する。具体的には、脆弱性管理情報１４ｄでは、第１種類「ＣＡＮ」と第２種類「－」との組み合わせに対して、ＣＷＥ－ＩＤ「３００」および「４１９」などが対応付けられている。さらに、脆弱性管理情報１４ｄでは、第１種類「認証」と第２種類「パスワード」との組み合わせに対して、ＣＷＥ－ＩＤ「２５８」および「２５９」などが対応付けられている。したがって、該非判定部１３は、第１種類「ＣＡＮ」と第２種類「－」との組み合わせに対して、ＣＷＥ－ＩＤ「３００」および「４１９」などを検索する。さらに、該非判定部１３は、第１種類「認証」と第２種類「パスワード」との組み合わせに対して、ＣＷＥ－ＩＤ「２５８」および「２５９」などを検索する。

【0055】

なお、脆弱性管理情報１４ｄでは、第１種類および第２種類のそれぞれに対して、１以上のＣＷＥ－ＩＤが対応付けられていてもよい。この場合、該非判定部１３は、脆弱性管理情報１４ｄを参照することによって、第１種類に対応付けられている１以上のＣＷＥ－ＩＤを検索し、さらに、第２種類に対応付けられている１以上のＣＷＥ－ＩＤを検索する。

【0056】

図４は、該非判定部１３の処理の一例を説明するための図である。

【0057】

該非判定部１３は、図４の（ａ）に示すように１以上のＣＷＥ－ＩＤを検索すると、図４の（ｂ）に示すように、その１以上のＣＷＥ－ＩＤのそれぞれが、分析対象アイテムに該当するか否かを判定する。例えば、該非判定部１３は、予め定められたテーブルを参照することによって、その判定を行ってもよく、ユーザによる入力操作に応じて、その判定を行ってもよい。そして、該非判定部１３は、その１以上のＣＷＥ－ＩＤのそれぞれに対する判定結果を示す判定結果情報ｄ３を生成して出力する。なお、判定結果情報ｄ３は、ＣＷＥ－ＩＤごとに、そのＣＷＥ－ＩＤのタイトルを示していてもよい。

【0058】

このように、本実施の形態では、第１分類情報１２ａｄおよび第２分類情報１２ｂｄからなる分類情報によって示されている複数の種類には、車載セキュリティに関する種類が含まれている。したがって、資産の種類として車載セキュリティ特有の種類が特定される場合がある。このような場合、車載セキュリティ特有の第１脆弱性が分析対象アイテムに該当するか否かが判定される。したがって、第１脆弱性の判定を、車載セキュリティ特有の観点から行うことができる。これにより、脆弱性の分析精度の向上を図ることができる。

【0059】

また、本実施の形態では、分類情報が第１分類情報１２ａｄおよび第２分類情報１２ｂｄからなるため、第１脆弱性の判定を、車載セキュリティ特有の観点と、一般的なセキュリティの観点とに基づいて行うことができる。これにより、脆弱性の分析精度の向上をより効果的に図ることができる。

【0060】

図５は、優先度導出部１６の構成の一例を示す図である。

【0061】

本実施の形態における優先度導出部１６は、第１優先度導出部２１、第２優先度導出部２２、第３優先度導出部２３、ＣＷＥ実績格納部２４、実績工数格納部２５、およびアーキテクチャ格納部２６を備える。

【0062】

ＣＷＥ実績格納部２４は、ＣＷＥ実績情報を格納している記録媒体である。そのＣＷＥ実績情報は、ＣＷＥ－ＩＤごとに、そのＣＷＥ－ＩＤに属するＣＶＥ－ＩＤが車載ＣＶＥとして過去１年間で割り当てられた数である実績数を示す。なお、ＣＶＥ－ＩＤによって識別される脆弱性は、第２脆弱性とも呼ばれる。

【0063】

実績工数格納部２５は、実績工数情報を格納している記録媒体である。その実績工数情報は、ＣＷＥ－ＩＤごとに、そのＣＷＥ－ＩＤによって識別される脆弱性（すなわち第１脆弱性）への対策にかかった実績工数を示す。

【0064】

アーキテクチャ格納部２６は、アーキテクチャ情報を格納している記録媒体である。そのアーキテクチャ情報は、アーキテクチャの種類ごとに、その種類のアーキテクチャへの影響の大きさを影響度として示す。

【0065】

なお、ＣＷＥ実績格納部２４、実績工数格納部２５、アーキテクチャ格納部２６などの記録媒体は、例えば、ハードディスクドライブ、ＲＡＭ、ＲＯＭ、または半導体メモリなどである。また、このような記録媒体は、揮発性であっても不揮発性であってもよい。

【0066】

第１優先度導出部２１は、該非判定部１３による判定結果を示す判定結果情報ｄ３を取得する。判定結果情報ｄ３は、例えば、図４の（ｂ）に示すように、１以上のＣＷＥ－ＩＤと、各ＣＷＥ－ＩＤが該当か非該当かの判定結果とを示す。なお、該当すると判定されたＣＷＥ－ＩＤは、以下、該当ＣＷＥ－ＩＤとも呼ばれ、該当ＣＷＥ－ＩＤによって識別される脆弱性（すなわち第１脆弱性）は、以下、該当脆弱性とも呼ばれる。

【0067】

そして、第１優先度導出部２１は、該当ＣＷＥ－ＩＤごとに、すなわち該当ＣＷＥ－ＩＤによって識別される該当脆弱性ごとに、その該当脆弱性への対策の優先度を第１優先度として導出する。このとき、第１優先度導出部２１は、ＣＷＥ実績格納部２４のＣＷＥ実績情報と、実績工数格納部２５の実績工数情報とに基づいて、各該当ＣＷＥ－ＩＤの第１優先度を導出する。また、第１優先度導出部２１は、各該当ＣＷＥ－ＩＤに対して導出された第１優先度を示す第１優先度情報を、第２優先度導出部２２に出力する。

【0068】

第２優先度導出部２２は、該当ＣＷＥ－ＩＤごとに、すなわち該当ＣＷＥ－ＩＤによって識別される該当脆弱性ごとに、その該当脆弱性への対策の優先度を第２優先度として導出する。例えば、第２優先度導出部２２は、第１優先度導出部２１から第１優先度情報を取得すると、その第１優先度情報に示されている各該当ＣＷＥ－ＩＤの第１優先度を特定する。さらに、第２優先度導出部２２は、各該当ＣＷＥ－ＩＤと、各該当ＣＷＥ－ＩＤの第１優先度と、アーキテクチャ格納部２６のアーキテクチャ情報とを用いて、各該当ＣＷＥ－ＩＤの第２優先度を導出する。そして、第２優先度導出部２２は、各該当ＣＷＥ－ＩＤに対して導出された第２優先度を示す第２優先度情報を、第３優先度導出部２３に出力する。

【0069】

第３優先度導出部２３は、該当ＣＷＥ－ＩＤごとに、すなわち該当ＣＷＥ－ＩＤによって識別される該当脆弱性ごとに、その該当脆弱性への対策の優先度を第３優先度として導出する。例えば、第３優先度導出部２３は、第２優先度導出部２２から第２優先度情報を取得すると、その第２優先度情報に示されている各該当ＣＷＥ－ＩＤの第２優先度を特定する。さらに、第３優先度導出部２３は、資産のリスク値と、各該当ＣＷＥ－ＩＤの第２優先度と、資産へのアタックパス数とを用いて、各該当ＣＷＥ－ＩＤの第３優先度を導出する。そして、第３優先度導出部２３は、各該当ＣＷＥ－ＩＤに対して導出された第３優先度を対策優先度として示す優先度情報ｄ４を出力する。

【0070】

図６は、第１優先度導出部２１の処理を説明するための図である。

【0071】

例えば、分析対象アイテムは、図６に示すように、車両のリモート駐車機能である。その分析対象アイテムには、Ｂｌｕｅｔｏｏｔｈ（登録商標）通信機能、第１機能、第２機能、およびＣＡＮ通信機能がそれぞれ資産として含まれている。それらの資産のうち、資産「ＣＡＮ通信機能」には、ＣＷＥ－ＩＤ「ＣＷＥ－ｂ」によって識別される第１脆弱性（具体的には脆弱性タイプ）がある。なお、「ＣＷＥ－ｂ」は、該当ＣＷＥ－ＩＤであり、上述の第１脆弱性は、該当脆弱性である。

【0072】

第１優先度導出部２１は、例えばユーザによる入力操作に応じて、該当ＣＷＥ－ＩＤによって識別される該当脆弱性が車両に与える影響を受け付ける。その影響は、例えば、安全（Ｓ）のレベルと、財産（Ｆ）のレベルと、操作性能（Ｏ）のレベルと、プライバシー（Ｐ）のレベルとによって表現される。言い換えれば、影響は、ＳＦＯＰによって表現される。そのレベルは４段階で表現される。例えば、そのレベルには、レベルの高い順に、「Ｓｅｖｅｒｅ」、「Ｍａｊｏｒ」、「Ｍｏｄｅｒａｔｅ」、「Ｎｅｇｌｉｇｉｂｌｅ」などがある。

【0073】

例えば、第１優先度導出部２１は、図６の（ａ）に示すように、安全性（Ｓ）のレベルとして「Ｓｅｖｅｒｅ」を受け付け、財産（Ｆ）のレベルとして「Ｍｏｄｅｒａｔｅ」を受け付ける。さらに、第１優先度導出部２１は、操作性能（Ｏ）のレベルとして「Ｍａｊｏｒ」を受け付け、プライバシー（Ｆ）のレベルとして「Ｎｅｇｌｉｇｉｂｌｅ」を受け付ける。安全性（Ｓ）のレベル「Ｓｅｖｅｒｅ」は、生命を脅かす障害または致命傷が生じるレベルである。財産（Ｆ）のレベル「Ｍｏｄｅｒａｔｅ」は、車両価格を下回る軽微な損失が生じるレベルである。操作性能（Ｏ）のレベル「Ｍａｊｏｒ」は、重要な車両機能の喪失が生じるレベルである。プライバシー（Ｐ）のレベル「Ｎｅｇｌｉｇｉｂｌｅ」は、車両の機能または性能に影響がないレベルである。

【0074】

なお、上述の例では、第１優先度導出部２１は、該当ＣＷＥ－ＩＤに対するＳＦＯＰを、ユーザによる入力操作に応じて受け付けるが、予め定められたテーブルを参照することによって受け付けてもよい。そのテーブルでは、各ＣＷＥ－ＩＤごとにＳＦＯＰが定義されている。

【0075】

第１優先度導出部２１は、このようなＳＦＯＰを受け付けると、そのＳＦＯＰのうち、ＣＷＥ－ＩＤ「ＣＷＥ－ｂ」によって識別される該当脆弱性が車両の安全および走行に与える影響に基づいて、その該当脆弱性に対する第１係数を導出する。車両の安全に与える影響は、安全（Ｓ）のレベルによって表現される。車両の走行に与える影響は、車両の走る機能、曲がる機能、および止まる機能に与える影響であって、操作性能（Ｏ）のレベルによって表現される。そこで、第１優先度導出部２１は、安全（Ｓ）のレベル「Ｓｅｖｅｒｅ」と、操作性能（Ｏ）のレベル「Ｍａｊｏｒ」とから、第１係数「３．５」を導出する。なお、安全（Ｓ）のレベルおよび操作性能（Ｏ）のレベルからなる組み合わせと、第１係数とは、予め対応付けられていてもよい。つまり、第１優先度導出部２１は、複数のその組み合わせのそれぞれと、その組み合わせに対応付けられている第１係数とを示すテーブルから、受け付けられた安全（Ｓ）のレベルおよび操作性能（Ｏ）のレベルからなる組み合わせに対応する第１係数を検索する。これにより、第１係数が導出される。

【0076】

なお、上述の例では、第１優先度導出部２１は、安全（Ｓ）のレベルおよび操作性能（Ｏ）のレベルからなる組み合わせに基づいて、第１係数を導出するが、安全（Ｓ）のレベルおよび操作性能（Ｏ）のレベルのうちの一方のみに基づいて、第１係数を導出してもよい。例えば、第１優先度導出部２１は、安全（Ｓ）のレベルのみに基づいて、第１係数を導出してもよい。あるいは、第１優先度導出部２１は、ＳＦＯＰの全てのレベルを用いて、第１係数を導出してもよい。

【0077】

次に、第１優先度導出部２１は、図６の（ｂ）に示すように、ＣＷＥ実績格納部２４に格納されているＣＷＥ実績情報２４ｄを参照する。ＣＷＥ実績情報２４ｄは、上述のように、ＣＷＥ－ＩＤごとに、そのＣＷＥ－ＩＤに属するＣＶＥ－ＩＤが車載ＣＶＥとして過去１年間で割り当てられた数である実績数を示す。つまり、ＣＷＥ実績情報２４ｄは、車載業界または車両業界において、ＣＷＥ－ＩＤに属する複数の車載ＣＶＥのそれぞれによって識別される脆弱性（すなわち第２脆弱性）が直近の過去１年間で見つかった数を示す。第１優先度導出部２１は、該当脆弱性がＣＷＥ－ＩＤ「ＣＷＥ－ｂ」によって識別される第１脆弱性である場合、ＣＷＥ実績情報２４ｄからＣＷＥ－ＩＤ「ＣＷＥ－ｂ」を検索する。そして、第１優先度導出部２１は、ＣＷＥ実績情報２４ｄにおいてそのＣＷＥ－ＩＤ「ＣＷＥ－ｂ」に対応付けられている実績数「２００」を特定する。さらに、第１優先度導出部２１は、実績数が多いほど、大きい第２係数を導出する。例えば、第１優先度導出部２１は、実績数「２００」から第２係数「４」を導出する。なお、実績数と第２係数との関係は、関数によって表現されてもよく、テーブル形式で表現されていてもよい。

【0078】

次に、第１優先度導出部２１は、図６の（ｃ）に示すように、実績工数格納部２５に格納されている実績工数情報２５ｄを参照する。実績工数情報２５ｄは、上述のように、ＣＷＥ－ＩＤごとに、そのＣＷＥ－ＩＤによって識別される第１脆弱性への対策にかかった実績工数を示す。第１優先度導出部２１は、該当脆弱性がＣＷＥ－ＩＤ「ＣＷＥ－ｂ」によって識別される第１脆弱性である場合、実績工数情報２５ｄからＣＷＥ－ＩＤ「ＣＷＥ－ｂ」を検索する。そして、第１優先度導出部２１は、実績工数情報２５ｄにおいてそのＣＷＥ－ＩＤ「ＣＷＥ－ｂ」に対応付けられている実績工数「１」を特定する。さらに、第１優先度導出部２１は、実績工数が多いほど、大きい第３係数を導出する。例えば、第１優先度導出部２１は、実績工数「１」から第３係数「２」を導出する。なお、実績工数と第３係数との関係は、関数によって表現されてもよく、テーブル形式で表現されていてもよい。

【0079】

そして、第１優先度導出部２１は、第１係数、第２係数、および第３係数に基づいて、第１優先度を導出する。例えば、第１優先度導出部２１は、第１係数、第２係数、および第３係数を乗算することによって、第１優先度を導出する。上述の例の場合、第１優先度導出部２１は、第１係数「３．５」、第２係数「４」、および第３係数「２」を乗算することによって、第１優先度「２８」を導出する。なお、上述の例では、第１優先度の導出には乗算が用いられるが、上記３つの係数の平均など、乗算以外の他の演算または数式が用いられてもよい。

【0080】

このように、本実施の形態における第１優先度導出部２１は、第１係数、第２係数、および第３係数に基づいて、該当脆弱性への対策の第１優先度を導出する。また、本実施の形態における優先度導出部１６は、その第１優先度を用いて対策優先度を導出する。したがって、本実施の形態における優先度導出部１６は、（ａ）分析対象アイテムを有する車両の走行に該当脆弱性が与える影響、（ｂ）該当脆弱性に属する第２脆弱性が過去に複数の車両から見つかった実績数、および、（ｃ）過去に該当脆弱性への対策にかかった実績工数を用いて、該当脆弱性の対策優先度を導出する。なお、（ａ）の影響は、上述の安全（Ｓ）のレベルおよび操作性能（Ｏ）のレベルであり、（ｂ）の実績数は、ＣＷＥ実績情報２４ｄから特定される実績数であり、（ｃ）の実績工数は、実績工数情報２５ｄから特定される実績工数である。

【0081】

このように、本実施の形態では、分析対象アイテムに該当すると判定された複数の第１脆弱性、すなわち複数の該当脆弱性のそれぞれに対して対策優先度が導出される。そして、その複数の該当脆弱性には、車載セキュリティ特有の該当脆弱性が含まれる場合がある。このような場合には、その車載セキュリティ特有の該当脆弱性に対して、他の該当脆弱性よりも大きい対策優先度を導出することができる。あるいは、その車載セキュリティ特有の該当脆弱性に対して、車載セキュリティ特有の手法によって対策優先度を導出することができる。これにより、複数の該当脆弱性に対して適切な対策優先度を導出することができ、それらの該当脆弱性への対策の不足または遅れなどを抑制することができる。また、該当脆弱性の数が多くても、それらの対策優先度が適切に導出されため、それらの該当脆弱性への対策を適切な順序で行うことができる。

【0082】

また、本実施の形態では、上述の（ａ）、（ｂ）および（ｃ）を用いて、該当脆弱性の対策優先度が導出される。したがって、車両の走行に該当脆弱性が与える影響、第２脆弱性の実績数、該当脆弱性への対策の実績工数などの観点から、対策優先度が高精度に導出することができる。

【0083】

図７は、第２優先度導出部２２の処理を説明するための図である。

【0084】

第２優先度導出部２２は、図７に示すように、アーキテクチャ格納部２６に格納されているアーキテクチャ情報２６ｄを参照する。アーキテクチャ情報２６ｄは、上述のように、アーキテクチャの種類ごとに、その種類のアーキテクチャへの影響の大きさを影響度として示す。例えば、アーキテクチャ情報２６ｄでは、アーキテクチャの種類が、複数の上位類に分類され、さらに、各上位類は複数の下位類に分類されている。つまり、アーキテクチャの種類は、上位類と下位類との組み合わせからなる。言い換えれば、アーキテクチャの種類は、大分類と小分類とから構成されている。また、アーキテクチャ情報２６ｄでは、各上位類は、ＣＷＥ－Ｖｉｅｗに対応付けられている。

【0085】

第２優先度導出部２２は、該当脆弱性がＣＷＥ－ＩＤ「ＣＷＥ－ｂ」によって識別される第１脆弱性である場合、そのＣＷＥ－ＩＤ「ＣＷＥ－ｂ」に対応するアーキテクチャの種類を特定する。ＣＷＥ－ＩＤ「ＣＷＥ－ｂ」に対応する資産は、ＣＡＮ通信機能であって、アーキテクチャの種類としてシステムおよびソフトウェアに関連する。したがって、第２優先度導出部２２は、ＣＷＥ－ＩＤ「ＣＷＥ－ｂ」に対応するアーキテクチャの種類として、システムおよびソフトウェアを特定する。そして、第２優先度導出部２２は、アーキテクチャ情報２６ｄにおいて、上位類「システム」に対応付けられている影響度「４」と、上位類「ソフトウェア」に対応付けられている影響度「３、２、１」とを特定する。さらに、第２優先度導出部２２は、それらの特定された影響度から、最も大きい影響度「４」を選択する。

【0086】

次に、第２優先度導出部２２は、第１優先度情報に示されている該当ＣＷＥ－ＩＤ「ＣＷＥ－ｂ」の第１優先度と、該当ＣＷＥ－ＩＤ「ＣＷＥ－ｂ」に対して特定および選択された影響度「４」とに基づいて、第２優先度を導出する。例えば、第２優先度導出部２２は、第１優先度と影響度とを乗算することによって、第２優先度を導出する。上述の例の場合、第２優先度導出部２２は、第１優先度「２８」と影響度「４」とを乗算することによって、第２優先度「１１２」を導出する。なお、上述の例では、第２優先度の導出には乗算が用いられるが、乗算以外の他の演算または数式が用いられてもよい。

【0087】

このように、本実施の形態における第２優先度導出部２２は、アーキテクチャへの影響度に基づいて、該当脆弱性への対策の第２優先度を導出する。また、本実施の形態における優先度導出部１６は、その第２優先度を用いて対策優先度を導出する。したがって、本実施の形態における優先度導出部１６は、分析対象アイテムが有する資産が与えるアーキテクチャへの影響の大きさである影響度を用いて、該当脆弱性の対策優先度を導出する。

【0088】

これにより、アーキテクチャへの影響の大きさの観点から、対策優先度を高精度に導出することができる。

【0089】

図８は、第３優先度導出部２３の処理を説明するための図である。

【0090】

第３優先度導出部２３は、図８に示すように、該当脆弱性がＣＷＥ－ＩＤ「ＣＷＥ－ｂ」によって識別される第１脆弱性である場合、そのＣＷＥ－ＩＤ「ＣＷＥ－ｂ」、すなわち該当ＣＷＥ－ＩＤ「ＣＷＥ－ｂ」に対応する資産のリスク値を決定する。さらに、第３優先度導出部２３は、そのリスク値と、その資産へのアタックパスの数であるアタックパス数とに基づいて、第４係数を導出する。なお、アタックパスは、攻撃経路とも呼ばれる。そして、第３優先度導出部２３は、その第４係数と、第２優先度導出部２２によって導出された第２優先度とに基づいて、第３優先度を対策優先度として導出する。

【0091】

具体的には、第３優先度導出部２３は、まず、設計情報ｄ１などに基づいて、分析対象アイテムのＤＦＤ（Data Flow Diagram）を導出する。なお、第３優先度導出部２３は、他の情報を用いてＤＦＤを導出してもよく、ＤＦＤを他のシステムまたは装置から取得してもよく、ユーザによる入力操作に基づいて導出してもよい。また、ＤＦＤは、スマートフォン、ＧＷ（Gateway）、センサーＥＣＵなどの外部機器と、分析対象アイテムであるリモート駐車機能に含まれる各構成要素との間におけるデータの流れなどを示す図である。

【0092】

次に、第３優先度導出部２３は、そのＤＦＤに基づいて、該当ＣＷＥ－ＩＤ「ＣＷＥ－ｂ」に対応する資産へのアタックパスを特定する。図８の例では、その資産は、ＣＡＮ通信機能である。ＣＡＮ通信機能へのアタックパスには、第１アタックパスと、第２アタックパスと、第３アタックパスとがある。第１アタックパスは、図８に示すように、リモート駐車機能の外部にあるスマートフォンからＣＡＮ通信機能に至るパスである。第２アタックパスは、リモート駐車機能の外部にあって車両制御ＥＣＵに接続されているＧＷからＣＡＮ通信機能に至るパスである。第３アタックパスは、リモート駐車機能の外部にあるセンサーＥＣＵからＣＡＮ通信機能に至るパスである。したがって、リモート駐車機能の外部からＣＡＮ通信機能へのアタックパスの数、すなわちアタックパス数は、「３」である。そのため、第３優先度導出部２３は、アタックパス数として「３」を特定する。

【0093】

次に、第３優先度導出部２３は、該当ＣＷＥ－ＩＤ「ＣＷＥ－ｂ」に対応する資産（図８の例ではＣＡＮ通信機能）へのアタックパスごとのリスク値を決定する。第３優先度導出部２３は、資産のリスク値を決定するときには、その資産への攻撃によって分析対象アイテムが受ける影響のレベルと、その資産へのアタックパスを介した攻撃可能性のレベルと、リスクマトリクステーブルとを用いる。なお、影響のレベル、攻撃可能性のレベル、およびリスクマトリクステーブルは、例えばＩＳＯ２１４３４によって定義されている。例えば、第３優先度導出部２３は、影響のレベルが「Ｓｅｖｅｒｅ」であって、攻撃可能性のレベルが「Ｌｏｗ」である場合、リスクマトリクステーブルにおいて、影響のレベル「Ｓｅｖｅｒｅ」および攻撃可能性のレベル「Ｌｏｗ」に対応付けられているリスク値を検索する。このような検索によって、第３優先度導出部２３は、リスク値「３」を決定する。また、第３優先度導出部２３は、アタックパスごとにリスク値を決定した後、それらのリスク値から最大のリスク値を選択する。図８の例では、最大のリスク値として「３」が選択される。

【0094】

次に、第３優先度導出部２３は、上述のように選択された最大のリスク値「３」と、特定されたアタックパス数「３」とを例えば乗算することによって、第４係数「９」を導出する。さらに、第３優先度導出部２３は、その第４係数「９」と第２優先度「１１２」とを例えば乗算することによって、第３優先度「１１０８」を導出する。この第３優先度「１１０８」が、対策優先度として扱われる。なお、上述の例では、第３優先度の導出には乗算が用いられるが、乗算以外の他の演算または数式が用いられてもよい。

【0095】

このように、本実施の形態における第３優先度導出部２３は、リスク値とアタックパス数とに基づいて、該当脆弱性への対策の第３優先度を導出する。そのリスク値は、資産への攻撃によって分析対象アイテムが受ける影響のレベルと、その資産への攻撃可能性のレベルとに基づいて決定される。また、本実施の形態では、その第３優先度が対策優先度として扱われる。したがって、本実施の形態における優先度導出部１６は、資産への攻撃によって分析対象アイテムが受ける影響のレベル、資産への攻撃可能性のレベル、および資産への攻撃経路の数を用いて、該当脆弱性の対策優先度を導出する。

【0096】

これにより、影響のレベル、攻撃可能性のレベル、および攻撃経路の数の観点から、対策優先度を高精度に導出することができる。

【0097】

なお、第３優先度導出部２３によるリスク値の決定と、最大のリスク値の選択とは、脅威分析システムでも行われていてもよい。例えば、分析対象アイテムに対しては、まず、脅威分析システムによって脅威分析が行われ、その後、脆弱性分析システム１０によって脆弱性分析が行われる。そして、脅威分析システムによる脅威分析では、リスク値の決定と、最大のリスク値の選択とが行われ、脆弱性分析システム１０による脆弱性分析でも、第３優先度導出部２３によって、リスク値の決定と、最大のリスク値の選択とが行われる。つまり、本実施の形態における第３優先度導出部２３は、その脅威分析システムと同様の処理を行うことによって、リスク値の決定と、最大のリスク値の選択とを行う。あるいは、脅威分析システムによる脅威分析において、リスク値の決定と、最大のリスク値の選択とが行われる場合には、第３優先度導出部２３は、リスク値の決定と、最大のリスク値の選択とを行うことなく、脅威分析システムによる処理結果として得られる最大のリスク値を、その脅威分析システムから取得してもよい。

【0098】

図９は、脅威分析システムによるリスク値の決定などを例示的に説明するための図である。

【0099】

脅威分析システムは、図９の（ａ）に示すように、例えば、分析対象アイテム８０が有する資産Ａ、資産Ｂ、および資産Ｃのそれぞれのリスク値を評価する。資産Ａ、資産Ｂ、および資産Ｃは、分析対象アイテム８０において守られるべきデータまたは機能などである。また、分析対象アイテム８０は、例えば車両に搭載されるＥＣＵとして構成され、スマホ９１およびＤｉａｇ９２などの外部機器と無線または有線を介して通信する。なお、スマホ９１は、スマートフォンであり、Ｄｉａｇ９２は、車両の不備、不具合などを診断する装置、すなわちダイアグノーシスである。このような分析対象アイテム８０は、それぞれ物理構成要素であるＢＴインターフェース８１、ＵＳＢインターフェース８２、ＣＡＮインターフェース８３、Ｍａｉｎマイコン８４、およびＣＡＮマイコン８５を備える。ＢＴインターフェース８１は、ＢＴ Ｉ／Ｆとも表記され、Ｂｌｕｅｔｏｏｔｈのためのインターフェースである。ＵＳＢインターフェース８２は、ＵＳＢ Ｉ／Ｆとも表記され、ＵＳＢ（Universal Serial Bus）のためのインターフェースである。ＣＡＮインターフェース８３は、ＣＡＮ Ｉ／Ｆとも表記され、ＣＡＮのためのインターフェースである。Ｍａｉｎマイコン８４は、分析対象アイテム８０を制御するマイクロコンピュータである。Ｍａｉｎマイコン８４は、上述の資産Ａ、資産Ｂ、および資産Ｃを有する。ＣＡＮマイコン８５は、分析対象アイテム８０のＣＡＮに関する制御を行うマイクロコンピュータである。なお、物理構成要素は、ハードウェアの構成要素である。

【0100】

ここで、Ｍａｉｎマイコン８４と、ＢＴインターフェース８１、ＵＳＢインターフェース８２、およびＣＡＮマイコン８５のそれぞれとの間には、物理経路がある。また、ＢＴインターフェース８１とスマホ９１との間にも物理経路がある。また、ＣＡＮマイコン８５とＣＡＮインターフェース８３との間にも物理経路があり、ＣＡＮインターフェース８３とＤｉａｇ９２との間にも物理経路がある。なお、物理経路は、物理的な接続経路である。

【0101】

また、物理構成要素には、攻撃可能性のレベルが割り当てられている場合がある。例えば、ＢＴインターフェース８１には、攻撃可能性のレベルとして「Ｍｅｄｉｕｍ」が割り当てられている。また、ＵＳＢインターフェース８２には、攻撃可能性のレベルとして「Ｖｅｒｙ Ｌｏｗ」が割り当てられている。

【0102】

また、資産には、その資産への攻撃によって分析対象アイテム８０が受ける影響のレベルが設定されている。例えば、資産Ａには、影響のレベルとして「Ｍｏｄｅｒａｔｅ」が設定され、資産Ｂには、影響のレベルとして「Ｓｅｖｅｒｅ」が設定され、資産Ｃには、影響のレベルとして「Ｍａｊｏｒ」が設定されている。なお、影響のレベルは、影響度とも呼ばれる。

【0103】

脅威分析システムは、資産Ａ、資産Ｂ、および資産Ｃのそれぞれについて、その資産への１以上のアタックパスを決定する。つまり、脅威分析システムは、資産Ａ、資産Ｂ、および資産Ｃのそれぞれについて、外部機器からその資産に至るまでの１以上の物理構成要素の配列からなる物理経路を１つ以上決定する。

【0104】

例えば、スマホ９１が資産Ａ、資産Ｂ、および資産Ｃに対する攻撃を行う場合、スマホ９１は、攻撃可能性のレベル「Ｍｅｄｉｕｍ」が割り当てられているＢＴインターフェース８１を介してＭａｉｎマイコン８４にアクセスする可能性がある。あるいは、スマホ９１は、攻撃可能性のレベル「Ｖｅｒｙ Ｌｏｗ」が割り当てられているＵＳＢインターフェース８２を介してＭａｉｎマイコン８４にアクセスする可能性がある。つまり、資産Ａ、資産Ｂ、および資産Ｃへのアタックパスには、ＢＴインターフェース８１を経由するアタックパスと、ＵＳＢインターフェース８２を経由するアタックパスとがある。そのため、脅威分析システムは、資産Ａ、資産Ｂ、および資産Ｃのそれぞれについて、２つのアタックパスを決定する。

【0105】

脅威分析システムは、資産Ａ、資産Ｂ、および資産Ｃのそれぞれについて、決定されたアタックパスごとに、図９の（ｂ）に示すリスクマトリクステーブルを参照しながら、そのアタックパスに対応する攻撃可能性のレベルと、資産の影響のレベルとを用いて、リスク値を決定する。つまり、脅威分析システムは、資産Ａへの２つのアタックパスのそれぞれに対してリスク値を決定し、資産Ｂへの２つのアタックパスのそれぞれに対してリスク値を決定し、資産Ｃへの２つのアタックパスのそれぞれに対してリスク値を決定する。

【0106】

リスクマトリクステーブルは、図９の（ｂ）に示すように、攻撃可能性のレベルと影響のレベルとの組み合わせごとに、その組み合わせに対応するリスク値を示す。攻撃可能性のレベルは、「Ｖｅｒｙ Ｌｏｗ」、「Ｌｏｗ」、「Ｍｅｄｉｕｍ」、「Ｈｉｇｈ」によって区別される。なお、これらのレベルは、低い順に配列されている。また、影響のレベルは、「Ｓｅｖｅｒｅ」、「Ｍａｊｏｒ」、「Ｍｏｄｅｒａｔｅ」、「Ｎｅｇｌｉｇｉｂｌｅ」によって区別される。なお、これらのレベルは、高い順に配列されている。

【0107】

上述の例では、資産Ａの影響のレベルは、「Ｍｏｄｅｒａｔｅ」であり、資産Ｂの影響のレベルは、「Ｓｅｖｅｒｅ」であり、資産Ｃの影響のレベルは、「Ｍａｊｏｒ」である。また、２つのアタックパスのうちの一方に対応する攻撃可能性のレベルは、「Ｍｅｄｉｕｍ」であり、他方に対応する攻撃可能性のレベルは、「Ｖｅｒｙ Ｌｏｗ」である。

【0108】

したがって、脅威分析システムは、リスクマトリクステーブルを参照することによって、資産Ａのリスク値として、攻撃可能性のレベル「Ｍｅｄｉｕｍ」と資産Ａの影響のレベル「Ｍｏｄｅｒａｔｅ」との組み合わせに対応するリスク値「２」を決定する。さらに、脅威分析システムは、資産Ａのリスク値として、攻撃可能性のレベル「Ｖｅｒｙ Ｌｏｗ」と資産Ａの影響のレベル「Ｍｏｄｅｒａｔｅ」との組み合わせに対応するリスク値「１」を決定する。そして、脅威分析システムは、そのリスク値「２」および「１」から、最大のリスク値「２」を選択する。

【0109】

同様に、脅威分析システムは、リスクマトリクステーブルを参照することによって、資産Ｂのリスク値として、攻撃可能性のレベル「Ｍｅｄｉｕｍ」と資産Ｂの影響のレベル「Ｓｅｖｅｒｅ」との組み合わせに対応するリスク値「４」を決定する。さらに、脅威分析システムは、資産Ｂのリスク値として、攻撃可能性のレベル「Ｖｅｒｙ Ｌｏｗ」と資産Ｂの影響のレベル「Ｓｅｖｅｒｅ」との組み合わせに対応するリスク値「２」を決定する。そして、脅威分析システムは、そのリスク値「４」および「２」から、最大のリスク値「４」を選択する。

【0110】

同様に、脅威分析システムは、リスクマトリクステーブルを参照することによって、資産Ｃのリスク値として、攻撃可能性のレベル「Ｍｅｄｉｕｍ」と資産Ｃの影響のレベル「Ｍａｊｏｒ」との組み合わせに対応するリスク値「３」を決定する。さらに、脅威分析システムは、資産Ｃのリスク値として、攻撃可能性のレベル「Ｖｅｒｙ Ｌｏｗ」と資産Ｃの影響のレベル「Ｍａｊｏｒ」との組み合わせに対応するリスク値「１」を決定する。そして、脅威分析システムは、そのリスク値「３」および「１」から、最大のリスク値「３」を選択する。

【0111】

図１０は、出力部１７から出力される分析結果レポートｄ２の一例を示す図である。

【0112】

出力部１７は、該非判定部１３から取得された判定結果情報ｄ３と、理由導出部１５から取得された理由情報ｄ５と、優先度導出部１６から取得された優先度情報ｄ４とを含む分析結果レポートｄ２を出力する。つまり、分析結果レポートｄ２は、図１０に示すように、ＣＷＥ－ＩＤごとに、そのＣＷＥ－ＩＤによって識別される第１脆弱性のタイトルと、その第１脆弱性が分析対象アイテムに該当するか否かの判定結果とを示す。このような、タイトルおよび判定結果は、判定結果情報ｄ３に示されている。また、図１０の例では、分析結果レポートｄ２は、ＣＷＥ－ＩＤごとに、そのＣＷＥ－ＩＤによって識別される第１脆弱性の配置先を示す。配置先は、例えば、分析対象アイテム（例えば、リモート駐車機能）に含まれる各機能のうちの、第１脆弱性を有する機能である。このような配置先も、判定結果情報ｄ３に示されていてもよい。

【0113】

さらに、分析結果レポートｄ２は、ＣＷＥ－ＩＤごとに、そのＣＷＥ－ＩＤによって識別される第１脆弱性が該当脆弱性ではない場合、その第１脆弱性が分析対象アイテムに該当しない理由を判定理由として示す。この判定理由は、理由情報ｄ５に示されている。例えば、理由導出部１５は、該非判定部１３から判定結果情報ｄ３を取得すると、その判定結果情報ｄ３に示されている第１脆弱性のタイトルなどの内容に基づいて、第１脆弱性の特徴「パスワード」を特定する。そして、理由導出部１５は、その特徴「パスワード」が第１脆弱性の配置先「ＣＡＮ通信機能」で使用されないことを、上述の判定理由として導出し、その判定理由を示す理由情報ｄ５を出力する。このような理由情報ｄ５によって示される判定理由が分析結果レポートｄ２に含められている。これにより、第１脆弱性が分析対象アイテムに該当しない理由、すなわち非該当の理由が判定理由として導出されるため、該非判定部１３による判定結果の信頼性を保証することができる。

【0114】

さらに、分析結果レポートｄ２は、ＣＷＥ－ＩＤごとに、そのＣＷＥ－ＩＤによって識別される第１脆弱性が該当脆弱性である場合、その第１脆弱性への対策の優先度を対策優先度として示す。この対策優先度は、優先度情報ｄ４に示されている。

【0115】

図１１は、分類特定部１１、該非判定部１３、および理由導出部１５の一連の処理動作の一例を示すフローチャートである。

【0116】

まず、分類特定部１１は、分析対象アイテムの設計情報ｄ１に示されている１以上の資産を特定する（ステップＳ１）。そして、分類特定部１１は、その１以上の資産から１つの資産を選択する（ステップＳ２）。

【0117】

次に、分類特定部１１は、選択された資産が属する１以上の種類を、第１分類情報１２ａｄおよび第２分類情報１２ｂｄを参照することによって特定する（ステップＳ３）。なお、１以上の種類は、上述の第１種類および第２種類であってもよい。

【0118】

次に、該非判定部１３は、ステップＳ３で特定された１以上の種類から１つの種類を選択する（ステップＳ４）。そして、該非判定部１３は、選択された種類に対応付けられている全ての第１脆弱性を、脆弱性管理情報１４ｄを参照することによって検索し、その全ての第１脆弱性のそれぞれが分析対象アイテムに該当するか否かを判定する（ステップＳ５）。さらに、該非判定部１３は、そのステップＳ５の判定結果を示す判定結果情報ｄ３を出力する（ステップＳ６）。

【0119】

次に、該非判定部１３は、ステップＳ３で特定された１以上の種類のうち、ステップＳ４で選択されていない他の種類があるか否かを判定する（ステップＳ７）。ここで、該非判定部１３は、他の種類があると判定する場合には（ステップＳ７のＹｅｓ）、他の種類に対してステップＳ４からの処理を繰り返し実行する。一方、他の種類がないと該非判定部１３によって判定されると（ステップＳ７のＮｏ）、理由導出部１５は、ステップＳ６で出力された全ての判定結果情報ｄ３に示されている非該当の第１脆弱性ごとに、その非該当の理由を出力する（ステップＳ８）。つまり、理由導出部１５は、理由情報ｄ５を出力する。

【0120】

そして、分類特定部１１は、ステップＳ８の処理が行われた後、分析対象アイテムの設計情報ｄ１に示されている１以上の資産のうち、ステップＳ２で選択されていない他の資産があるか否かを判定する（ステップＳ９）。ここで、分類特定部１１は、他の資産があると判定すると（ステップＳ９のＹｅｓ）、他の資産に対してステップＳ２からの処理を繰り返し実行する。一方、分類特定部１１は、他の資産がないと判定すると（ステップＳ９のＮｏ）、資産に関する処理を終了する。

【0121】

図１２は、優先度導出部１６の処理動作の一例を示すフローチャートである。

【0122】

まず、優先度導出部１６は、設計情報ｄ１に示されている１以上の資産から、１つの資産を選択する（ステップＳ１１）。そして、優先度導出部１６は、ステップＳ１１で選択された資産に対応する全ての該当脆弱性のそれぞれに対してステップＳ１２のループ処理を実行する。

【0123】

具体的には、第１優先度導出部２１は、該当脆弱性に対して、第１係数をＳＦＯＰに基づいて導出する（ステップＳ１３）。さらに、第１優先度導出部２１は、該当脆弱性に対して、第２係数を車載ＣＶＥ割り当て実績数に基づいて導出する（ステップＳ１４）。さらに、第１優先度導出部２１は、該当脆弱性に対して、第３係数をその該当脆弱性への対策の実績工数に基づいて導出する（ステップＳ１５）。そして、第１優先度導出部２１は、ステップＳ１３～Ｓ１５で導出された第１係数、第２係数、および第３係数に基づいて、該当脆弱性への対策の第１優先度を導出する（ステップＳ１６）。

【0124】

次に、第２優先度導出部２２は、ステップＳ１６で導出された第１優先度と、アーキテクチャへの影響度とに基づいて、該当脆弱性への対策の第２優先度を導出する（ステップＳ１７）。

【0125】

次に、第３優先度導出部２３は、例えば設計情報ｄ１などに基づいて、分析対象アイテムのＤＦＤを導出する（ステップＳ１８）。そして、第３優先度導出部２３は、そのＤＦＤに基づいて、ステップＳ１１で選択された資産への１以上のアタックパスを特定する（ステップＳ１９）。さらに、第３優先度導出部２３は、ステップＳ１９で特定されたアタックパスごとに、そのアタックパスにおける資産のリスク値を決定する（ステップＳ２０）。その後、第３優先度導出部２３は、ステップＳ２０で決定されたアタックパスごとのリスク値から、最大のリスク値を選択する（ステップＳ２１）。そして、第３優先度導出部２３は、ステップＳ２１で選択されたリスク値と、ステップＳ１９で特定されたアタックパスの数であるアタックパス数とを用いて、該当脆弱性への対策の第３優先度を、対策優先度として導出する（ステップＳ２２）。このような対策優先度が、ステップＳ１１で選択された資産に対応する全ての該当脆弱性のそれぞれに対して導出される。

【0126】

そして、ステップＳ１２のループ処理が行われた後、優先度導出部１６は、設計情報ｄ１に示されている１以上の資産から、ステップＳ１１で選択されていない他の資産があるか否かを判定する（ステップＳ２３）。ここで、優先度導出部１６は、他の資産があると判定すると（ステップＳ２３のＹｅｓ）、ステップＳ１１からの処理を繰り返し実行する。そのステップＳ１１では、他の資産が選択され、ステップＳ１２のループ処理では、他の資産に対応する全ての該当脆弱性のそれぞれへの対策の第３優先度、すなわち対策優先度が導出される。一方、優先度導出部１６は、他の資産がないと判定すると（ステップＳ２３のＮｏ）、対策優先度の導出のための処理を終了する。

【0127】

以上、本開示の１つまたは複数の態様に係る脆弱性分析システム１０および脆弱性分析方法について、実施の形態に基づいて説明したが、本開示は、その実施の形態に限定されるものではない。本開示の趣旨を逸脱しない限り、当業者が思いつく各種変形を上記実施の形態に施したものも本開示に含まれてもよい。

【0128】

例えば、上記実施の形態では、脆弱性分析システム１０は、設計情報ｄ１に示されている資産の粒度に応じて、第１脆弱性が分析対象アイテムに該当するか否かの判定を行ってもよく、該当脆弱性の対策優先度の導出を行ってもよい。つまり、その資産の粒度は、ソフトウェアの構成単位であってもよく、そのソフトウェアに含まれる詳細なモジュール単位、また関数単位などであってもよい。

【0129】

また、上記実施の形態におけるＣＷＥ実績情報２４ｄには、過去に見つかった第２脆弱性の数として、ＣＶＥ－ＩＤによって識別される脆弱性の数が示されているが、その第２脆弱性は、ＣＶＥ－ＩＤによって識別される脆弱性以外の脆弱性であってもよい。さらに、ＣＷＥ実績格納部２４に格納されているそのＣＷＥ実績情報２４ｄは、定期的に更新されてもよい。例えば、第１優先度導出部２１は、脆弱性分析システム１０の外部にあるコンピュータとの間で通信ネットワークを介した通信を行うことによって、そのＣＷＥ実績情報２４ｄを更新してもよい。同様に、第１優先度導出部２１は、そのコンピュータとの間で通信ネットワークを介した通信を行うことによって、実績工数格納部２５に格納されている実績工数情報２５ｄを更新してもよい。

【0130】

また、上記実施の形態における理由導出部１５は、第１脆弱性が分析対象アイテムに該当しない理由、すなわち非該当の理由を導出するが、それに限定されることなく、他の事項を導出してもよい。例えば、理由導出部１５は、第１脆弱性への対策が既に行われていること、第１脆弱性への対策よりも他に優先すべき要件があること、第１脆弱性への対策が後工程で行われることなど、を導出してもよく、それらの理由を導出してもよい。このような理由導出部１５による導出は、予め定められたデータベースを参照することによって行われてもよい。

【0131】

また、上記実施の形態において、脆弱性分析システム１０に含まれる各構成要素は、その構成要素に対応する処理を、人による入力操作に応じて行ってもよく、その入力操作を受け付けずに自動的に行ってもよい。また、自動的に行われる処理には、入力と出力との相関関係を示す機械学習モデルなどが用いられてもよい。

【0132】

なお、上記実施の形態において、各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したソフトウェアプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵ（Central Processing Unit）またはプロセッサなどのプログラム実行部が、ハードディスクまたは半導体メモリなどの記録媒体に記録されたソフトウェアプログラムを読み出して実行することによって実現されてもよい。ここで、上記実施の形態の評価支援システムなどを実現するソフトウェアは、図１１または図１２に示すフローチャートの各ステップをコンピュータに実行させるコンピュータプログラムである。

【0133】

なお、以下のような場合も本開示に含まれる。

【0134】

（１）上記の少なくとも１つのシステムまたは装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどから構成されるコンピュータシステムである。そのＲＡＭまたはハードディスクユニットには、コンピュータプログラムが記憶されている。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、上記の少なくとも１つの装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。

【0135】

（２）上記の少なくとも１つのシステムまたは装置を構成する構成要素の一部または全部は、１個のシステムＬＳＩ（Large Scale Integration：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。ＲＡＭには、コンピュータプログラムが記憶されている。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、システムＬＳＩは、その機能を達成する。

【0136】

（３）上記の少なくとも１つのシステムまたは装置を構成する構成要素の一部または全部は、その装置に脱着可能なＩＣカードまたは単体のモジュールから構成されているとしてもよい。ＩＣカードまたはモジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコンピュータシステムである。ＩＣカードまたはモジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、ＩＣカードまたはモジュールは、その機能を達成する。このＩＣカードまたはこのモジュールは、耐タンパ性を有するとしてもよい。

【0137】

（４）本開示は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、コンピュータプログラムからなるデジタル信号であるとしてもよい。

【0138】

また、本開示は、コンピュータプログラムまたはデジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ（Compact Disc）－ＲＯＭ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Blu-ray（登録商標） Disc）、半導体メモリなどに記録したものとしてもよい。また、これらの記録媒体に記録されているデジタル信号であるとしてもよい。

【0139】

また、本開示は、コンピュータプログラムまたはデジタル信号を、電気通信回線、無線または有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。

【0140】

また、プログラムまたはデジタル信号を記録媒体に記録して移送することにより、またはプログラムまたはデジタル信号をネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。

【産業上の利用可能性】

【0141】

本開示の脆弱性分析システムは、例えば車両などに組み込まれるプログラムなどの脆弱性を分析する装置またはシステムなどに適用することができる。

【符号の説明】

【0142】

１０ 脆弱性分析システム
１１ 分類特定部
１２ 分類格納部
１２ａ 第１分類格納部
１２ａｄ 第１分類情報
１２ｂ 第２分類格納部
１２ｂｄ 第２分類情報
１３ 該非判定部
１４ 脆弱性管理格納部
１４ｄ 脆弱性管理情報
１５ 理由導出部
１６ 優先度導出部
１７ 出力部
２１ 第１優先度導出部
２２ 第２優先度導出部
２３ 第３優先度導出部
２４ ＣＷＥ実績格納部
２４ｄ ＣＷＥ実績情報
２５ 実績工数格納部
２５ｄ 実績工数情報
２６ アーキテクチャ格納部
２６ｄ アーキテクチャ情報
ｄ１ 設計情報
ｄ２ 分析結果レポート
ｄ３ 判定結果情報
ｄ４ 優先度情報
ｄ５ 理由情報

【要約】

【課題】脆弱性の分析精度の向上を図ることができる脆弱性分析システムを提供する。
【解決手段】脆弱性分析システム１０は、車両が有する資産ごとに当該資産の種類を示す分類情報を格納している分類格納部１２と、分析対象アイテムが有する資産を示す設計情報ｄ１を取得し、設計情報ｄ１によって示されている資産の種類を、分類情報を参照することによって特定する分類特定部１１と、特定された種類に予め対応付けられている１以上の第１脆弱性のそれぞれが分析対象アイテムに該当するか否かを判定する該非判定部１３と、該非判定部１３による判定結果を示す分析結果レポートｄ２を出力する出力部１７と、を備える。分類情報によって示されている複数の種類には、車載セキュリティに関する種類が含まれている。
【選択図】図１

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】