特許 7595217 情報処理システム、情報処理方法及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B1)

(11)【特許番号】

(24)【登録日】2024-11-27

(45)【発行日】2024-12-05

(54)【発明の名称】情報処理システム、情報処理方法及びプログラム

(51)【国際特許分類】

   G06Q 50/10 20120101AFI20241128BHJP

【ＦＩ】

G06Q50/10

【請求項の数】 14

(21)【出願番号】P 2024169732

(22)【出願日】2024-09-30

【審査請求日】2024-09-30

【早期審査対象出願】

(73)【特許権者】

【識別番号】521541734

【氏名又は名称】株式会社アシュアード

(74)【代理人】

【識別番号】100218970

【弁理士】

【氏名又は名称】大杉 肇

(74)【代理人】

【識別番号】100176876

【弁理士】

【氏名又は名称】各務 幸樹

(72)【発明者】

【氏名】大方 知

(72)【発明者】

【氏名】長尾 朋美

(72)【発明者】

【氏名】松本 昂之

【審査官】星野 裕

(56)【参考文献】

【文献】特開２００９－１５７８２４（ＪＰ，Ａ）

【文献】特開２００２－０５６１７６（ＪＰ，Ａ）

【文献】特開２００４－２９５５９１（ＪＰ，Ａ）

【文献】特開２００６－１７８８５２（ＪＰ，Ａ）

【文献】特開２００９－００３６８４（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｑ １０／００－９９／００

(57)【特許請求の範囲】

【請求項1】

情報処理システムであって、
少なくとも１つのプロセッサを備え、
前記プロセッサは、プログラムを読み出すことで次の各ステップを実行するように構成され、
判定ルール登録ステップでは、評価者から、セキュリティに関する調査における質問項目への回答に対する複数の判定ルールと、前記判定ルールそれぞれに対応付けたリスクメッセージとの入力を受け付けるとともに、前記判定ルールと当該判定ルールに対応付けられた前記リスクメッセージとを組み合わせてデータベースに登録し、ここで、前記リスクメッセージには、前記判定ルールに抵触する事項を説明する文章が含まれ、
回答受付ステップでは、サービス提供者から前記調査における質問項目への回答の入力を受け付け、
判定ステップでは、入力された回答の前記判定ルールへの抵触の有無を判定し、抵触がある場合に当該回答に対する前記リスクメッセージを表示させ、
評価受付ステップでは、前記調査における前記サービス提供者の回答に対する評価を前記評価者から受け付け、
前記判定ルールは、複数の抵触条件を含み、ここで、前記抵触条件は、１つの質問項目において抵触の充足条件を構成する回答内容を１つずつ規定し、
前記判定ステップでは、複数の前記抵触条件がすべて満たされる場合、又は複数の前記抵触条件のいずれかが満たされる場合に、前記判定ルールへの抵触があると判定する、情報処理システム。

【請求項2】

請求項１に記載の情報処理システムにおいて、
前記判定ルールは、他の回答との矛盾を規定する条件、日付に関する矛盾を規定する条件、及び回答の非公開に関する条件の少なくとも１つを含む、情報処理システム。

【請求項3】

請求項２に記載の情報処理システムにおいて、
前記他の回答には、他の質問項目における回答と、同一の質問項目内における回答とが含まれる、情報処理システム。

【請求項4】

情報処理システムであって、
少なくとも１つのプロセッサを備え、
前記プロセッサは、プログラムを読み出すことで次の各ステップを実行するように構成され、
判定ルール登録ステップでは、評価者から、セキュリティに関する調査における質問項目への回答に対する複数の判定ルールと、前記判定ルールそれぞれに対応付けたリスクメッセージとの入力を受け付けるとともに、前記判定ルールと当該判定ルールに対応付けられた前記リスクメッセージとを組み合わせてデータベースに登録し、ここで、前記リスクメッセージには、前記判定ルールに抵触する事項を説明する文章が含まれ、
回答受付ステップでは、サービス提供者から前記調査における質問項目への回答の入力を受け付け、
判定ステップでは、入力された回答の前記判定ルールへの抵触の有無を判定し、抵触がある場合に当該回答に対する前記リスクメッセージを表示させ、
評価受付ステップでは、前記調査における前記サービス提供者の回答に対する評価を前記評価者から受け付け、
前記リスクメッセージには、当該リスクメッセージに関連する他の質問項目へのリンクが含まれる、情報処理システム。

【請求項5】

請求項１に記載の情報処理システムにおいて、
前記判定ステップでは、前記調査における質問項目に対し回答が入力された際に、当該回答の前記判定ルールへの抵触の判定結果に応じて前記リスクメッセージを表示させる、情報処理システム。

【請求項6】

請求項１に記載の情報処理システムにおいて、
前記判定ステップでは、前記リスクメッセージの表示対象となった質問項目及び回答を、前記リスクメッセージとともに一覧表示させる、情報処理システム。

【請求項7】

情報処理システムであって、
少なくとも１つのプロセッサを備え、
前記プロセッサは、プログラムを読み出すことで次の各ステップを実行するように構成され、
判定ルール登録ステップでは、評価者から、セキュリティに関する調査における質問項目への回答に対する複数の判定ルールと、前記判定ルールそれぞれに対応付けたリスクメッセージとの入力を受け付けるとともに、前記判定ルールと当該判定ルールに対応付けられた前記リスクメッセージとを組み合わせてデータベースに登録し、ここで、前記リスクメッセージには、前記判定ルールに抵触する事項を説明する文章が含まれ、
回答受付ステップでは、サービス提供者から前記調査における質問項目への回答の入力を受け付け、
判定ステップでは、入力された回答の前記判定ルールへの抵触の有無を判定し、抵触がある場合に当該回答に対する前記リスクメッセージを表示させ、
評価受付ステップでは、前記調査における前記サービス提供者の回答に対する評価を前記評価者から受け付け、
前記回答受付ステップでは、前記調査における質問項目に対して入力された回答の送信指示を前記サービス提供者から受け付け、
前記判定ステップでは、前記送信指示の受付時に前記判定ルールに抵触する回答があることを示すアラートを表示させ、
前記アラートには、前記判定ルールに抵触する回答に対応する質問項目へのリンク、又は前記判定ルールに抵触する回答が表示された、当該回答に対応する質問項目への回答入力フォームが含まれる、情報処理システム。

【請求項8】

請求項１に記載の情報処理システムにおいて、
前記判定ステップでは、前記リスクメッセージの表示対象となった質問項目及び回答と、前記リスクメッセージに関連する他の質問項目及び回答とを同一画面上に並べて表示させる、情報処理システム。

【請求項9】

情報処理システムであって、
少なくとも１つのプロセッサを備え、
前記プロセッサは、プログラムを読み出すことで次の各ステップを実行するように構成され、
判定ルール登録ステップでは、評価者から、セキュリティに関する調査における質問項目への回答に対する複数の判定ルールと、前記判定ルールそれぞれに対応付けたリスクメッセージとの入力を受け付けるとともに、前記判定ルールと当該判定ルールに対応付けられた前記リスクメッセージとを組み合わせてデータベースに登録し、ここで、前記リスクメッセージには、前記判定ルールに抵触する事項を説明する文章が含まれ、
回答受付ステップでは、サービス提供者から前記調査における質問項目への回答の入力を受け付け、
判定ステップでは、入力された回答の前記判定ルールへの抵触の有無を判定し、抵触がある場合に当該回答に対する前記リスクメッセージを表示させ、
評価受付ステップでは、前記調査における前記サービス提供者の回答に対する評価を前記評価者から受け付け、
前記判定ルール登録ステップでは、前記評価者から、前記判定ルールごとに、前記判定ルールに抵触する回答の修正が必須であることを示す修正必須属性の設定を受け付けるとともに、前記判定ルールと前記修正必須属性とを対応付けて前記データベースに登録する、情報処理システム。

【請求項10】

請求項９に記載の情報処理システムにおいて、
回答送信ステップでは、前記調査における前記サービス提供者の回答に前記修正必須属性が設定された前記判定ルールへ抵触する修正必須回答が含まれないか判定し、前記修正必須回答が含まれない場合に、前記サービス提供者の回答を前記評価者に送信する、情報処理システム。

【請求項11】

情報処理システムであって、
少なくとも１つのプロセッサを備え、
前記プロセッサは、プログラムを読み出すことで次の各ステップを実行するように構成され、
判定ルール登録ステップでは、評価者から、セキュリティに関する調査における質問項目への回答に対する複数の判定ルールと、前記判定ルールそれぞれに対応付けたリスクメッセージとの入力を受け付けるとともに、前記判定ルールと当該判定ルールに対応付けられた前記リスクメッセージとを組み合わせてデータベースに登録し、ここで、前記リスクメッセージには、前記判定ルールに抵触する事項を説明する文章が含まれ、
回答受付ステップでは、サービス提供者から前記調査における質問項目への回答の入力を受け付け、
判定ステップでは、入力された回答の前記判定ルールへの抵触の有無を判定し、抵触がある場合に当該回答に対する前記リスクメッセージを表示させ、
評価受付ステップでは、前記調査における前記サービス提供者の回答に対する評価を前記評価者から受け付け、
回答送信ステップでは、前記調査における前記サービス提供者の回答とともに、前記判定ルールへの抵触が解消されていない回答を示す情報を前記評価者に送信する、情報処理システム。

【請求項12】

請求項１１に記載の情報処理システムにおいて、
前記回答送信ステップでは、前記サービス提供者の前記リスクメッセージに対する確認操作を受け付け、前記確認操作を受け付けたことを示す情報を前記評価者に送信する、情報処理システム。

【請求項13】

情報処理方法であって、
請求項１から請求項１２のいずれか１項に記載の情報処理システムが実行する各ステップを備える、情報処理方法。

【請求項14】

プログラムであって、
コンピュータに、請求項１から請求項１２のいずれか１項に記載の情報処理システムの各ステップを実行させるための、プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、情報処理システム、情報処理方法及びプログラムに関する。

【背景技術】

【0002】

特許文献１には、セキュリティに関する質問への回答の入力を受け付け、セキュリティの評価を行う技術が開示されている。

【先行技術文献】

【特許文献】

【0003】

【文献】特開２００５－２３４７５６号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

ここで、効率的にセキュリティの評価を行うことが望まれている。

【0005】

本発明では上記事情に鑑み、効率的にセキュリティの評価を行うことができる情報処理システム等を提供することとした。

【課題を解決するための手段】

【0006】

本発明の一態様によれば、情報処理システムであって、少なくとも１つのプロセッサを備え、プロセッサは、プログラムを読み出すことで次の各ステップを実行するように構成され、判定ルール登録ステップでは、評価者から、セキュリティに関する調査における質問項目への回答に対する複数の判定ルールと、判定ルールそれぞれに対応付けたリスクメッセージとの入力を受け付けるとともに、判定ルールと当該判定ルールに対応付けられたリスクメッセージとを組み合わせてデータベースに登録し、リスクメッセージには、判定ルールに抵触する事項を説明する文章が含まれ、回答受付ステップでは、サービス提供者から調査における質問項目への回答の入力を受け付け、判定ステップでは、入力された回答の判定ルールへの抵触の有無を判定し、抵触がある場合に当該回答に対するリスクメッセージを表示させ、評価受付ステップでは、調査におけるサービス提供者の回答に対する評価を評価者から受け付ける、情報処理システムが提供される。

【0007】

このような態様によれば、セキュリティ調査における質問への回答入力時に、不備のある回答に表示されるリスクメッセージに基づいて、サービス提供者（回答者）が回答の見直し又は修正をすることができる。その結果、効率的にセキュリティの評価を行うことができる。

【図面の簡単な説明】

【0008】

【図1】情報処理システム１を表す構成図である。

【図2】サーバ装置１０及び提供者端末２０のハードウェア構成を示すブロック図である。

【図3】評価者端末３０及び利用者端末４０のハードウェア構成を示すブロック図である。

【図4】サーバ装置１０（制御部１１）、提供者端末２０（制御部２１）、評価者端末３０（制御部３１）及び利用者端末４０（制御部４１）によって実現される機能を示すブロック図である。

【図5】評価者端末３０に表示される判定ルール登録画面ＲＤの一例を示す図である。

【図6】評価者端末３０に表示される判定ルール一覧画面ＬＤの一例を示す図である。

【図7】提供者端末２０に表示される回答入力画面ＡＤの一例を示す図である。

【図8】提供者端末２０に表示される回答入力画面ＡＤの別の例を示す図である。

【図9】提供者端末２０に表示される回答入力画面ＡＤのさらに別の例を示す図である。

【図10】提供者端末２０に表示される送信確認画面ＣＤの一例を示す図である。

【図11】提供者端末２０に表示される送信確認画面ＣＤの別の例を示す図である。

【図12】情報処理システム１によって実行される情報処理（セキュリティ調査処理）の流れの一例を示すアクティビティ図である。

【発明を実施するための形態】

【0009】

以下、図面を用いて本発明の実施形態について説明する。以下に示す実施形態中で示した各種特徴事項は、互いに組み合わせ可能である。

【0010】

ところで、一実施形態に登場するソフトウェアを実現するためのプログラムは、コンピュータが読み取り可能な非一時的な記録媒体（Ｎｏｎ－Ｔｒａｎｓｉｔｏｒｙ Ｃｏｍｐｕｔｅｒ－Ｒｅａｄａｂｌｅ Ｍｅｄｉｕｍ）として提供されてもよいし、外部のサーバからダウンロード可能に提供されてもよいし、外部のコンピュータで当該プログラムを起動させてクライアント端末でその機能を実現（いわゆるクラウドコンピューティング）するように提供されてもよい。

【0011】

また、一実施形態に係る種々の情報処理において、入力と、入力に応じた出力とが実現されうる。ここで、入力の結果として出力が得られれば、かかる情報処理において参照される情報（以下、参照情報と称する。）の態様は、限定されない。参照情報は、例えば、データベース、ルックアップテーブル、所定の関数（統計学的手法によって構築された、回帰式等の判定式を含む。）等のルールベースの情報でもよいし、入力と出力との相関を予め学習させた学習済みモデルでもよいし、プロンプトを入力することで所望の結果を出力可能な大規模言語モデルでもよい。

【0012】

また、一実施形態において「部」とは、例えば、広義の回路によって実施されるハードウェア資源と、これらのハードウェア資源によって具体的に実現されうるソフトウェアの情報処理とを合わせたものも含みうる。また、一実施形態においては様々な情報を取り扱うが、これら情報は、例えば電圧・電流を表す信号値の物理的な値、０又は１で構成される２進数のビット集合体としての信号値の高低、又は量子的な重ね合わせ（いわゆる量子ビット）によって表され、広義の回路上で通信・演算が実行されうる。

【0013】

さらに、広義の回路とは、回路（Ｃｉｒｃｕｉｔ）、回路類（Ｃｉｒｃｕｉｔｒｙ）、プロセッサ（Ｐｒｏｃｅｓｓｏｒ）、及びメモリ（Ｍｅｍｏｒｙ）等を少なくとも適当に組み合わせることによって実現される回路である。また、プロセッサは、汎用プロセッサでもよいし、専用の回路でもよい。すなわち、特定用途向け集積回路（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ：ＡＳＩＣ）、プログラマブル論理デバイス（例えば、単純プログラマブル論理デバイス（Ｓｉｍｐｌｅ Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｄｅｖｉｃｅ：ＳＰＬＤ）、複合プログラマブル論理デバイス（Ｃｏｍｐｌｅｘ Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｄｅｖｉｃｅ：ＣＰＬＤ）、及びフィールドプログラマブルゲートアレイ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ：ＦＰＧＡ））等を含むものである。

【0014】

１．ハードウェア構成
本節では、ハードウェア構成について説明する。

【0015】

<情報処理システム１>
図１は、情報処理システム１を表す構成図である。情報処理システム１は、通信回線２と、サーバ装置１０と、複数の提供者端末２０と、少なくとも１つの評価者端末３０と、複数の利用者端末４０とを備える。サーバ装置１０と、提供者端末２０と、評価者端末３０と、利用者端末４０とは、通信回線２を通じて相互に通信可能に構成されている。サーバ装置１０、提供者端末２０、評価者端末３０及び利用者端末４０の接続は有線でも無線でもよい。

【0016】

情報処理システム１は、例えば、複数のサービス提供者（第１サービス提供者Ｕ１及び第２サービス提供者Ｕ２）と、少なくとも一人の評価者Ｕ３と、複数のサービス利用者（第１サービス利用者Ｕ４及び第２サービス利用者Ｕ５）とが利用するインターネットサービスのセキュリティ評価システムの少なくとも一部を構成する。情報処理システム１は、サービス提供者が提供するサービスのセキュリティの評価、セキュリティ調査の評価結果の提供等を主に行うものであり、例えば、情報処理システム１は、評価者によるセキュリティ評価サービスの提供を主に行う。一実施形態において、情報処理システム１とは、１つ又はそれ以上の装置又は構成要素からなるものである。以下、これらの構成要素について説明する。

【0017】

<サーバ装置１０>
図２は、サーバ装置１０及び提供者端末２０のハードウェア構成を示すブロック図である。図２Ａに示されるように、サーバ装置１０は、制御部１１と、記憶部１２と、通信部１３と、通信バス１４とを備える。制御部１１、記憶部１２、及び通信部１３は、サーバ装置１０の内部において通信バス１４を介して電気的に接続されている。

【0018】

<制御部１１>
制御部１１は、サーバ装置１０に関連する全体動作の処理・制御を行う。制御部１１は、例えば中央処理装置（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ：ＣＰＵ）である。制御部１１は、記憶部１２に記憶された所定のプログラムを読み出すことによって、サーバ装置１０に係る種々の機能を実現する。すなわち、記憶部１２に記憶されているソフトウェアによる情報処理が、ハードウェアの一例である制御部１１によって具体的に実現されることで、制御部１１に含まれる各機能部として実行されうる。これらについては、次節においてさらに詳述する。なお、制御部１１は単一であることに限定されず、機能毎に複数の制御部１１を有してもよい。また、制御部１１は、これらを組み合わせた構成を有してもよい。

【0019】

<記憶部１２>
記憶部１２は、前述の記載により定義される様々な情報を記憶する。これは、例えば、制御部１１によって実行されるサーバ装置１０に係る種々のプログラム等を記憶するソリッドステートドライブ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ：ＳＳＤ）等のストレージデバイスとして、あるいは、プログラムの演算に係る一時的に必要な情報（引数、配列等）を記憶するランダムアクセスメモリ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ：ＲＡＭ）等のメモリとして実施されうる。記憶部１２は、制御部１１によって実行されるサーバ装置１０に係る種々のプログラム、変数等を記憶している。

【0020】

<通信部１３>
通信部１３は、ＵＳＢ、ＩＥＥＥ１３９４、Ｔｈｕｎｄｅｒｂｏｌｔ（登録商標）、有線ＬＡＮネットワーク通信等といった有線型の通信手段が好ましいものの、無線ＬＡＮネットワーク通信、３Ｇ／ＬＴＥ／５Ｇ等のモバイル通信、ＢＬＵＥＴＯＯＴＨ（登録商標）通信等を必要に応じて含めてもよい。すなわち、これら複数の通信手段の集合として実施することがより好ましい。すなわち、サーバ装置１０は、通信部１３及びネットワークを介して、外部から種々の情報を通信してもよい。

【0021】

サーバ装置１０は、オンプレミス形態であってもよく、クラウド形態であってもよい。クラウド形態のサーバ装置１０は、例えば、ＳａａＳ（Ｓｏｆｔｗａｒｅ ａｓ ａ Ｓｅｒｖｉｃｅ）、クラウドコンピューティングという形態で、上述の機能や処理を提供してもよい。

【0022】

<提供者端末２０>
提供者端末２０は、ＩＴサービスを提供するサービス提供者が使用する情報処理端末である。図２Ｂに示されるように、提供者端末２０は、制御部２１と、記憶部２２と、通信部２３と、入力部２４と、出力部２５と、通信バス２６とを備える。制御部２１、記憶部２２、通信部２３、入力部２４、及び出力部２５は、提供者端末２０の内部において通信バス２６を介して電気的に接続されている。制御部２１、記憶部２２及び通信部２３の説明は、サーバ装置１０における各部の説明と同様のため省略する。

【0023】

<入力部２４>
入力部２４は、ユーザによってなされた操作入力を受け付ける。操作入力は、命令信号として通信バス２６を介して制御部２１に転送される。制御部２１は、必要に応じて、転送された命令信号に基づいて所定の制御や演算を実行しうる。入力部２４は、提供者端末２０の筐体に含まれるものであってもよいし、外付けされるものであってもよい。例えば、入力部２４は、出力部２５と一体となってタッチパネルとして実施されてもよい。入力部２４がタッチパネルとして実施される場合、ユーザは、入力部２４に対してタップ操作、スワイプ操作等を入力することができる。入力部２４としては、タッチパネルに代えて、スイッチボタン、マウス、トラックパッド、ＱＷＥＲＴＹキーボード等が採用可能である。

【0024】

<出力部２５>
出力部２５は、ユーザが操作可能なグラフィカルユーザインターフェース（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ：ＧＵＩ）の画面を表示する。出力部２５は、提供者端末２０の筐体に含まれるものであってもよいし、外付けされるものであってもよい。具体的には、出力部２５は、ＣＲＴディスプレイ、液晶ディスプレイ、有機ＥＬディスプレイ、プラズマディスプレイ等の表示デバイスとして実施されうる。これらの表示デバイスは、提供者端末２０の種類に応じて使い分けて実施されることが好ましい。

【0025】

<評価者端末３０>
評価者端末３０は、利用者の回答を評価する評価者が使用する情報処理端末である。評価者は、セキュリティの評価を行う企業等の組織（例えば、クラウドサービス等のサービス、ソフトウェア等のセキュリティ評価を行うセキュリティ評価企業）又はその担当者である。評価者は、例えば、評価者端末３０から情報処理システム１を介してサービスの評価を行う。

【0026】

図３は、評価者端末３０及び利用者端末４０のハードウェア構成を示すブロック図である。図３Ａに示されるように、評価者端末３０は、制御部３１と、記憶部３２と、通信部３３と、入力部３４と、出力部３５と、通信バス３６とを備える。制御部３１、記憶部３２、通信部３３、入力部３４、及び出力部３５は、評価者端末３０の内部において通信バス３６を介して電気的に接続されている。評価者端末３０の制御部３１、記憶部３２、通信部３３、入力部３４及び出力部３５の説明は、提供者端末２０における各部の説明と同様のため省略する。

【0027】

<利用者端末４０>
利用者端末４０は、サーバ装置１０によって提供されるセキュリティ評価サービスの利用者が使用する情報処理端末である。図３Ｂに示されるように、利用者端末４０は、制御部４１と、記憶部４２と、通信部４３と、入力部４４と、出力部４５と、通信バス４６とを備える。制御部４１、記憶部４２、通信部４３、入力部４４、及び出力部４５は、利用者端末４０の内部において通信バス４６を介して電気的に接続されている。利用者端末４０の制御部４１、記憶部４２、通信部４３、入力部４４及び出力部４５の説明は、提供者端末２０における各部の説明と同様のため省略する。

【0028】

２．機能構成
本節では、本実施形態の機能構成について説明する。記憶部１２に記憶されているソフトウェアによる情報処理がハードウェアの一例である制御部１１によって具体的に実現されることで、制御部１１（情報処理システム１が備える少なくとも１つのプロセッサ）に含まれる各機能部として実行されうる。

【0029】

図４は、サーバ装置１０（制御部１１）、提供者端末２０（制御部２１）、評価者端末３０（制御部３１）及び利用者端末４０（制御部４１）によって実現される機能を示すブロック図である。

【0030】

図４Ａに示されるように、サーバ装置１０（制御部１１）は、基本表示制御部１１１と、判定ルール登録部１１２と、回答受付部１１３と、判定部１１４と、回答送信部１１５と、評価受付部１１６と、レポート出力部１１７とを備える。図４Ｂに示されるように、提供者端末２０（制御部２１）は、表示部２１１と、操作取得部２１２とを備える。図４Ｃに示されるように、評価者端末３０（制御部３１）は、表示部３１１と、操作取得部３１２とを備える。図４Ｄに示されるように、利用者端末４０（制御部４１）は、表示部４１１と、操作取得部４１２とを備える。

【0031】

<基本表示制御部１１１>
基本表示制御部１１１は、種々の情報を提供者端末２０、評価者端末３０及び利用者端末４０に表示させるように構成される。例えば、基本表示制御部１１１は、サービス提供者が回答を入力する入力フォーム、サービス提供者が入力した回答、評価者による評価結果等を、提供者端末２０の表示部２１１、評価者端末３０の表示部３１１、又は利用者端末４０の表示部４１１に表示させる。

【0032】

<判定ルール登録部１１２>
判定ルール登録部１１２は、サービス提供者のセキュリティに関する調査における質問項目への回答に対する判定ルールを登録するように構成される。

【0033】

サービス提供者が提供する「サービス」には、ＳａａＳ、ＩａａＳ（Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ ａｓ ａ Ｓｅｒｖｉｃｅ）、ＰａａＳ（Ｐｌａｔｆｏｒｍ ａｓ ａ Ｓｅｒｖｉｃｅ）、クラウドサービス等の、インターネットを通じて提供されるサービスが含まれ、「サービス提供者」には、クラウドサービス事業者等が含まれる。また、サービス提供者が提供する「サービス」は、取引相手や顧客等に対して提供する役務であってもよい。

【0034】

「質問項目」は、サービス提供者に回答を要求する事項であり、例えば、サービス提供者自身のセキュリティ、サービス提供者が提供するサービスのセキュリティ等に関する項目が含まれてもよい。また、質問項目には、サービス提供者のサプライチェーンに含まれる他の組織のセキュリティ等に関する項目が含まれてもよい。「他の組織」には、例えば、サービス提供者が自身の業務を委託している組織（委託先業者、再委託先業者、再々委託先・・・等を含む）等の、サービス提供者の取引先組織が含まれる。

【0035】

１つの質問項目には、複数の回答要素（解答欄）が含まれてもよい。また、質問項目は、いわゆるセキュリティチェックシートを含んでもよい。

【0036】

判定ルールは、質問項目の回答に含まれる不備や誤り、矛盾等の有無を判定するためのルールである。回答の不備等は、例えば、そのままではセキュリティの評価ができない、セキュリティの評価の正確性が下がる、又はセキュリティの評価が著しく低下する回答の状態であり、評価者によって、サービス提供者への回答の見直しや再入力等が求められる回答の状態である。

【0037】

判定ルールは、他の回答との矛盾を規定する第１矛盾条件、日付に関する矛盾を規定する第２矛盾条件、及び回答の非公開に関する非公開条件の少なくとも１つを含むとよい。これにより、比較的簡潔な条件設定によって精度の高い抵触有無の判定が可能となるため、サービス提供者による回答の品質が高められる。その結果、評価者による回答の差し戻しの発生が抑制されるとともに、評価者が評価に要する時間を短縮できる。

【0038】

第１矛盾条件は、指定された複数の回答の間に矛盾がある（複数の回答が矛盾の定義条件を満たす）場合に抵触となることを規定する。第１矛盾条件における他の回答には、他の質問項目における回答と、同一の質問項目内における回答とが含まれるとよい。これにより、独立した質問項目間の回答の矛盾と、１つの質問項目における複数の回答要素間の矛盾とを判定できるため、評価者による回答の差し戻しの発生抑制効果が促進される。

【0039】

第２矛盾条件は、例えば、現在の日付と、回答が入力された日付、又は回答として入力された日付とが所定の関係を満たす場合に抵触となることを規定する。これにより、例えば、認証等の有効期限を有する事項に関する質問項目において、有効期限が切れていると判定される場合にリスクメッセージを表示させることができる。

【0040】

非公開条件は、例えば、回答として「非公開」が入力（選択）されている場合に抵触となることを規定する。これにより、回答を非公開とする入力に対しリスクメッセージを表示させることができる。

【0041】

判定ルールは、複数の抵触条件を含んでもよい。抵触条件は、１つの質問項目において抵触の充足条件を構成する回答内容を１つずつ規定したものである。これにより、評価者が質問項目単位、又は回答単位で判定ルールを設定することができるため、セキュリティ調査における判定ルール網を効率的に構築することができる。

【0042】

複数の抵触条件には、複数の回答が入力可能であるか、複数の回答の入力が必須である１つの質問項目における、複数の回答ごとの回答内容を規定したものが含まれてもよい。例えば、１つの判定ルールにおいて、「Ｎ番目の質問項目の回答に選択肢Ａが含まれる」という抵触条件と、「Ｎ番目の質問項目の回答に選択肢Ｂが含まれないこと」という抵触条件とが含まれてもよい。また、判定ルールには、矛盾が生じうる複数の質問項目の組み合わせと、当該組み合わせに含まれる複数の質問項目それぞれにおける抵触条件とが含まれてもよい。

【0043】

リスクメッセージは、判定ルールに抵触する回答があることを示す通知である。リスクメッセージには、判定ルールに抵触する事項を説明する文章が含まれる。「抵触する事項」には、例えば、判定ルールに抵触する理由、抵触と判定された根拠（日付等）、関連する質問項目と対応する入力済み回答等が含まれる。また、リスクメッセージには、回答の修正方針の示唆等が含まれてもよい。

【0044】

「関連する質問項目」は、判定ルールにおいて矛盾関係が定義されている質問項目であり、換言すれば、抵触する判定ルールにおける「矛盾が生じうる複数の質問項目の組み合わせ」に含まれる質問項目である。

【0045】

リスクメッセージには、当該リスクメッセージに関連する他の質問項目へのリンクが含まれてもよい。これにより、関連する質問項目の確認、関連する質問項目に対する回答の修正等を即時行うことができるため、サービス提供者が効率よく回答を修正できる。

【0046】

他の質問項目へのリンクは、リスクメッセージに含まれる文章中の質問項目を示すキーワード（例えば、質問番号）に付されてもよいし、例えば、ボタン等のオブジェクトとして文章とは独立した形でリスクメッセージに含まれてもよい。提供者端末２０においてリンクに対する入力操作が行われると、リンクされた質問項目の回答入力画面（回答入力欄）が提供者端末２０に表示される。

【0047】

判定ルール登録部１１２は、評価者から、複数の判定ルールと、判定ルールそれぞれに対応付けたリスクメッセージとの入力を受け付けるとともに、判定ルールと当該判定ルールに対応付けられたリスクメッセージとを組み合わせてルールデータベースに登録する。

【0048】

判定ルール登録部１１２は、例えば、判定ルールの入力を受け付ける判定ルール入力欄と、当該判定ルールに対応付けるリスクメッセージの入力を受け付けるリスクメッセージ入力欄とを含む、判定ルール登録画面を評価者端末３０に表示させる。判定ルール登録部１１２は、判定ルール入力欄に入力された判定ルールと、リスクメッセージ入力欄に入力されたリスクメッセージとを対応付けて、ルールデータベースに登録する。これにより、後述される判定部１１４において、１つの判定ルールに回答が抵触するとされる場合には、この判定ルールに対応付けて登録された１つのリスクメッセージが提供者端末２０に表示される。つまり、判定ルールとリスクメッセージとは、１対１で対応付けられている。さらに換言すれば、個々のリスクメッセージは、リスクメッセージの表示対象となる質問項目が条件として含まれている判定ルールと紐づけられてルールデータベースに登録されている。

【0049】

判定ルール登録部１１２は、評価者から、判定ルールごとの属性の設定を受け付けるとともに、判定ルールと属性とを対応付けてルールデータベースに登録してもよい。判定ルールの属性としては、例えば、判定ルールの警告レベル、警告タイミング等が含まれる。判定ルールのリスクメッセージは、例えば、属性に応じた形態（例えば、警告レベルが高いほど強調される形）で表示されてもよい。また、判定ルールのリスクメッセージは、例えば、属性に応じたタイミング（例えば、回答入力直後、回答送信後等）に応じて表示されてもよい。

【0050】

特に、判定ルール登録部１１２は、評価者から、判定ルールごとに、判定ルールに抵触する回答の修正が必須であることを示す修正必須属性の設定を受け付けるとともに、判定ルールと修正必須属性とを対応付けてルールデータベースに登録してもよい。これにより、評価者が評価できない内容を含む回答が評価者に提出される前に、サービス提供者に当該回答の修正を促すことができる。その結果、効率的にセキュリティの評価を行うことができる。

【0051】

判定ルール登録部１１２は、例えば、評価者端末３０から判定ルール及びリスクメッセージの入力を受け付ける際に、修正必須属性であるか否かの入力をさらに受け付ける。修正必須属性の入力は、修正必須属性であることを示す選択肢の選択によって行われてもよい。判定ルール登録部１１２は、対応付けて入力された判定ルール及びリスクメッセージとともに、修正必須属性をルールデータベースに登録する。したがって、修正必須属性は、リスクメッセージとも対応付けられる。

【0052】

ルールデータベースに登録された判定ルールは、すべてのサービス提供者に共通して適用される。判定ルール登録部１１２は、登録された判定ルールの一覧を評価者端末３０に表示させてもよい。また、判定ルール登録部１１２は、登録された判定ルールの編集（修正、削除等）を評価者端末３０から受け付けてもよい。

【0053】

なお、サービス提供者及び利用者は、判定ルール及びリスクメッセージを登録することはできない。つまり、判定ルール登録部１１２は、評価者端末３０からのみ、判定ルール及びリスクメッセージの登録を受け付ける。

【0054】

図５は、評価者端末３０に表示される判定ルール登録画面ＲＤの一例を示す図である。判定ルール登録画面ＲＤは、ＩＤ入力欄ＩＦ、ルール名入力欄ＮＦ、リスクメッセージ入力欄ＭＦ、属性入力欄ＡＦ、判定ルール入力欄ＲＦと、登録ボタンＢ１１とを含む。

【0055】

ＩＤ入力欄ＩＦは、個々の判定ルールに付与するＩＤの入力を受け付ける。個々の判定ルール及びリスクメッセージは、このＩＤによって識別及び管理される。ルール名入力欄ＮＦは、判定ルールの名称の入力を受け付ける。リスクメッセージ入力欄ＭＦは、リスクメッセージの入力を受け付ける。リスクメッセージ入力欄ＭＦに入力されたリスクメッセージは、ＩＤ入力欄ＩＦに入力されたＩＤと紐づけられる。

【0056】

属性入力欄ＡＦは、判定ルールの属性の入力を受け付ける。図５の例では、属性入力欄ＡＦには、修正必須属性（「修正必須」）についての選択肢（チェックボックス）が表示されている。属性入力欄ＡＦにおいて入力（選択）された属性は、ＩＤ入力欄ＩＦに入力されたＩＤと紐づけられる。

【0057】

判定ルール入力欄ＲＦは、判定ルールの具体的な条件の入力を受け付ける。判定ルール入力欄ＲＦにおいて入力（選択）された判定ルールの条件は、ＩＤ入力欄ＩＦに入力されたＩＤと紐づけられる。判定ルール入力欄ＲＦは、全体条件入力欄ＡＣＦと、少なくとも１つの項目条件入力欄ＩＣＦと、条件グループ追加ボタンＢ１２とを含む。

【0058】

項目条件入力欄ＩＣＦは、１つの質問項目における抵触条件の入力を受け付ける。少なくとも１つの項目条件入力欄ＩＣＦそれぞれに入力された抵触条件によって、条件グループが構成される。項目条件入力欄ＩＣＦは、それぞれ、質問項目入力欄ＩＦ１と、回答選択肢入力欄ＩＦ２と、補助条件入力欄ＩＦ３と、削除ボタンＢ１３と、入力欄追加ボタンＢ１４とを含む。

【0059】

質問項目入力欄ＩＦ１は、抵触条件の対象となる質問項目（設問）の入力を受け付ける。図５の例では、質問項目入力欄ＩＦ１は、セキュリティ調査（サービス提供者が回答を入力する入力フォーム）に含まれる複数の質問項目をプルダウン式で表示し、質問項目の選択を受け付ける。回答選択肢入力欄ＩＦ２は、質問項目入力欄ＩＦ１で入力された質問項目に対する回答（選択肢）の入力を受け付ける。図５の例では、回答選択肢入力欄ＩＦ２は、質問項目入力欄ＩＦ１で入力された質問項目に回答として設定されている複数の選択肢をプルダウン式で表示し、回答（選択肢）の選択を受け付ける。

【0060】

補助条件入力欄ＩＦ３は、「回答選択肢入力欄ＩＦ２で入力された回答を含むか否か」の判定条件の入力を受け付ける。図５の例では、補助条件入力欄ＩＦ３は、複数の判定条件をプルダウン式で表示し、判定条件（「回答を含む」又は「回答を含まない」）の選択を受け付ける。削除ボタンＢ１３は、項目条件入力欄ＩＣＦを削除する操作の入力を受け付ける。入力欄追加ボタンＢ１４は、同じ条件グループに、新たな項目条件入力欄ＩＣＦを追加する操作の入力を受け付ける。

【0061】

全体条件入力欄ＡＣＦは、１つの条件グループに含まれる複数の質問項目における抵触条件（項目条件入力欄ＩＣＦに入力された条件）の理論条件（ＡＮＤ条件又はＯＲ条件）の入力を受け付ける。図５の例では、全体条件入力欄ＡＣＦは、複数の理論条件をプルダウン式で表示し、理論条件（「かつ」又は「または」）の選択を受け付ける。

【0062】

条件グループ追加ボタンＢ１２は、新たな条件グループ（１つの全体条件入力欄ＡＣＦ及び少なくとも１つの項目条件入力欄ＩＣＦのセット）を追加する操作の入力を受け付ける。

【0063】

登録ボタンＢ１１は、ＩＤ入力欄ＩＦ、ルール名入力欄ＮＦ、リスクメッセージ入力欄ＭＦ、属性入力欄ＡＦ、及び判定ルール入力欄ＲＦに入力された項目をルールデータベースに登録する操作の入力を受け付ける。この操作により、１つの判定ルールのＩＤに対し、判定ルール、リスクメッセージ、及び属性が紐づけられて登録される。

【0064】

図６は、評価者端末３０に表示される判定ルール一覧画面ＬＤの一例を示す図である。判定ルール一覧画面ＬＤは、クエリ入力欄ＱＦと、検索実行ボタンＢ２１と、一覧表示欄ＬＦとを含む。

【0065】

一覧表示欄ＬＦには、登録済みの判定ルールの一覧が表示される。クエリ入力欄ＱＦは、判定ルールの検索クエリ（一覧表示欄ＬＦに表示される判定ルールの絞り込み条件）の入力を受け付ける。検索実行ボタンＢ２１は、クエリ入力欄ＱＦに入力された検索クエリによる判定ルールの検索（フィルタリング）を実行する操作の入力を受け付ける。

【0066】

<回答受付部１１３>
回答受付部１１３は、サービス提供者から調査における質問項目への回答の入力を受け付けるように構成される。

【0067】

回答受付部１１３は、例えば、セキュリティに関する質問項目への回答の入力を受け付ける所定の入力フォームを提供者端末２０に表示させる。質問項目には、例えば、セキュリティに関する認証又は評価、サービスレベル、責任範囲、サービス提供者内でのセキュリティ対策、サービス利用者が作成したデータの取扱、サービスの開発、保守又は運用方針（アカウントの管理等）を確認するもの（サービス提供者に対して回答を求めるもの）等が含まれる。

【0068】

サービス提供者による回答の入力完了後、回答受付部１１３は、調査における質問項目に対して入力された回答の送信指示をサービス提供者から受け付ける。具体的には、回答受付部１１３は、提供者端末２０から、入力フォームに入力された回答の送信指示（評価者への提出指示）を受け付ける。

【0069】

<判定部１１４>
判定部１１４は、入力された回答の、登録済みの判定ルールへの抵触の有無を判定し、抵触がある場合に当該回答に対する、登録済みのリスクメッセージを提供者端末２０に表示させるように構成される。

【0070】

判定部１１４は、判定ルールに含まれる複数の抵触条件がすべて満たされる場合、又は判定ルールに含まれる複数の抵触条件のいずれかが満たされる場合に、判定ルールへの抵触があると判定するとよい。例えば、判定ルールに含まれる複数の抵触条件に対する理論条件（条件グループにおける理論条件）がＡＮＤ条件の場合は、入力された回答のうち各抵触条件で言及された回答が、それぞれの抵触条件に規定された回答内容すべてと合致することが抵触の判定条件となる。また、例えば、判定ルールに含まれる複数の抵触条件に対する理論条件がＯＲ条件の場合は、入力された回答のうち各抵触条件に言及された回答の少なくとも１つが、それぞれの抵触条件に規定された回答内容と合致することが抵触の判定条件となる。

【0071】

判定部１１４による抵触判定のタイミング及びリスクメッセージ表示のタイミングはそれぞれ、判定ルールの属性として評価者が任意に設定することができる。また、リスクメッセージは、必ずしも判定部１１４によって抵触が判定された直後に表示されなくてもよい。

【0072】

判定部１１４は、調査における質問項目に対し回答が入力された際に、当該回答の判定ルールへの抵触の判定結果に応じてリスクメッセージを提供者端末２０に表示させてもよい。これにより、サービス提供者が質問項目を切り替えることなく即時的に修正をすることができるため、回答の入力効率が上昇する。

【0073】

回答が入力された際にリスクメッセージを表示させる場合、判定部１１４は、例えば、１つの質問項目に対する少なくとも１つの回答が入力された時点、又は１つの質問項目への回答の入力が確定した時点（例えば、質問項目への回答が保存された時点）で抵触判定を実行し、抵触判定後、リスクメッセージを当該質問項目と関連付けて表示させる。「質問項目と関連付けられた表示」には、入力フォームにおいて質問項目に割り当てられた領域（例えば、回答入力欄）への表示、質問項目と並べての表示、質問項目が表示された状態でのポップアップ表示等が含まれる。

【0074】

図７は、提供者端末２０に表示される回答入力画面ＡＤの一例を示す図である。回答入力画面ＡＤには、質問番号ＱＮと、質問内容ＱＣと、回答入力欄ＡＩＦと、回答保存ボタンＢ４１と、進行ボタンＢ４２とが含まれる。なお、図７では、回答入力画面ＡＤには１つの質問項目が表示されているが、回答入力画面ＡＤに複数の質問項目が表示され、例えば、スクロール等の操作によって表示される質問項目が切り替えられてもよい。

【0075】

図７の例では、質問番号ＱＮが「ＡＡ－１」である質問項目の質問内容ＱＣと回答入力欄ＡＩＦとが表示されている。回答入力欄ＡＩＦには、複数の回答選択肢ＡＣ及び補助選択肢ＳＣが表示されている。回答選択肢ＡＣには、それぞれ、例えば、チェックボックス等の複数選択が可能な入力受付オブジェクトが付される。また、補助選択肢ＳＣには、例えば、ラジオボタン等の排他的に選択が可能な入力受付オブジェクトが付される。補助選択肢ＳＣには、回答選択肢ＡＣと視覚的に区別できるように、回答選択肢ＡＣとは異なる入力受付オブジェクトが付されてもよい。

【0076】

補助選択肢ＳＣには、例えば、提示された回答選択肢ＡＣに回答として適切なもの（該当するもの）が存在しないことを示す選択肢、質問項目への回答をサービス提供者が公開しない（回答しない）ことを示す選択肢等が含まれる。また、補助選択肢ＳＣと、回答選択肢ＡＣとは、排他的選択の関係にある。すなわち、補助選択肢ＳＣのいずれかを選択した場合は、いずれかの回答選択肢ＡＣ同時に選択することはできない。例えば、任意の認証名を選択した状態で補助選択肢ＳＣを選択した場合は、回答選択肢ＡＣの選択は解除される。

【0077】

図７の例では、質問内容ＱＣとして「データセンターのリージョン又はエリアについての質問」が表示され、回答選択肢ＡＣとして、リージョン又はエリアを表す選択肢がリスト表示され、「日本」の選択肢が回答として選択されている。また、図７の例では、このケースにおいて、「日本」の回答が判定ルールに抵触することを説明するリスクメッセージＲＭが回答入力欄ＡＩＦの下部に表示されている。具体的には、「日本」の回答が他の質問項目（「ＤＤ－１」）の回答と矛盾することを示唆する文章が含まれるリスクメッセージＲＭが表示されている。また、リスクメッセージＲＭの他の質問項目を示すキーワード（「ＤＤ－１」）には、この質問事項へのリンクが設定されている。提供者端末２０において、「ＤＤ－１」のリンクに対し入力操作が行われると、「ＤＤ－１」の質問項目の質問番号ＱＮ、質問内容ＱＣ、及び回答入力欄ＡＩＦが提供者端末２０に表示される。

【0078】

リスクメッセージＲＭが表示されている質問項目において、サービス提供者による回答の修正（図７の例では、「ＡＡ－１」の質問項目の回答の修正、又は「ＤＤ－１」の質問項目の回答の修正）によって判定ルールへの抵触が解消されると、リスクメッセージＲＭの表示は解除される。

【0079】

回答保存ボタンＢ４１は、回答入力欄ＡＩＦに入力された回答を保存する操作の入力を受け付ける。入力された回答は、例えば、記憶部１２の回答データベースに記憶される。このとき、リスクメッセージＲＭが表示されている場合は、リスクメッセージが表示されていること、つまり、判定ルールへの抵触が解消されていないことを示す未解消情報が回答と紐づけられて回答データベースに記憶される。

【0080】

進行ボタンＢ４２は、回答入力画面ＡＤに表示される質問項目を切り替える操作の入力を受け付ける。

【0081】

図８は、提供者端末２０に表示される回答入力画面ＡＤの別の例を示す図である。図８の例では、質問番号ＱＮが「ＣＣ－１」である質問項目の質問内容ＱＣと回答入力欄ＡＩＦとが表示されている。具体的には、質問内容ＱＣとして「セキュリティに関する認証又は評価の有無についての質問」が表示され、回答選択肢ＡＣとして、セキュリティに関する認証を表す情報（認証名）を表す選択肢がリスト表示され、「ＩＳＯ／ＩＥＣ ○○○」の選択肢が回答として選択されている。

【0082】

また、図８の例では、このケースにおいて、「ＩＳＯ／ＩＥＣ ○○○を取得している」との回答が判定ルールに抵触することを説明するリスクメッセージＲＭが該当する回答（選択済みの選択肢）の直下に表示されている。なお、リスクメッセージＲＭは、すべての選択肢の下方に表示されてもよい。具体的には、図８の例では、「ＩＳＯ／ＩＥＣ ○○○を取得している」の回答が同じ質問項目内の他の回答（「ＩＳＯ／ＩＥＣ ×××を取得していない」）と矛盾することを示唆する文章が含まれるリスクメッセージＲＭが表示されている。図８の例では、「ＩＳＯ／ＩＥＣ ○○○」の選択の解除、又は「ＩＳＯ／ＩＥＣ ×××」の選択によって判定ルールへの抵触が解消されると、リスクメッセージＲＭの表示は解除される。

【0083】

判定部１１４は、リスクメッセージの表示対象となった質問項目及び回答を、リスクメッセージとともに提供者端末２０に一覧表示させてもよい。これにより、サービス提供者がリスクメッセージの表示対象となった質問項目及び回答（判定ルールに抵触している回答とその質問項目）を俯瞰し、必要に応じて回答を修正することができる。その結果、サービス提供者による回答の修正効率が上昇する。

【0084】

判定部１１４は、例えば、一覧表示の対象となる質問項目、回答及びリスクメッセージを、上下方向に連結して提供者端末２０に表示させる。また、判定部１１４は、一覧表示の対象となる質問項目を示す情報（質問番号等）を提供者端末２０にリスト表示させてもよい。

【0085】

判定部１１４は、例えば、提供者端末２０に判定ルールに抵触する回答があること又は確認が必要な質問項目があることを示す、通知、メニュー項目等を提供者端末２０に表示させ、提供者端末２０から一覧表示の指示を受け付けてもよい。例えば、判定部１１４は、判定ルールに抵触する回答がない場合に、判定ルールに抵触している回答とその質問項目の一覧表示の指示を受け付けるメニュー項目を不活性又は非表示とし、判定ルールに抵触する回答がある場合に当該メニュー項目を活性化又は可視化させてもよい。

【0086】

質問項目及び回答をリスクメッセージとともに一覧表示させる場合、判定部１１４は、例えば、各質問項目への回答入力時に抵触判定を実行して結果を記憶しておき、提供者端末２０からの一覧表示指示を受けた際に、記憶した判定結果に基づいて、質問項目、回答及びリスクメッセージを提供者端末２０に一覧表示させてもよい。また、判定部１１４は、提供者端末２０からの一覧表示指示を受けてから、調査に含まれる複数の質問項目のうち回答が入力されている質問項目の回答に対する抵触判定を実行し、抵触判定後、抵触ありと判定された質問項目、回答及びリスクメッセージを提供者端末２０に一覧表示させてもよい。

【0087】

判定部１１４は、リスクメッセージの表示対象となった質問項目及び回答と、リスクメッセージに関連する他の質問項目及び回答を含む関連質問情報とを同一画面上に並べて提供者端末２０に表示させてもよい。これにより、サービス提供者が判定ルールへの抵触理由を他の質問項目の回答から確認できる。また、提供者端末２０において改めて他の質問項目を表示させることなく、他の質問項目の回答の修正を行うこともできる。

【0088】

判定部１１４は、判定ルールに抵触する回答が入力された際に、リスクメッセージとともに関連質問情報を提供者端末２０に表示させてもよい。また、判定部１１４は、判定ルールに抵触する複数の質問項目、回答及びリスクメッセージの一覧表示において、質問項目ごとに対応する関連質問情報をあわせて表示させてもよい。

【0089】

図９は、提供者端末２０に表示される回答入力画面ＡＤのさらに別の例を示す図である。図９の回答入力画面ＡＤでは、リスクメッセージＲＭが表示されている質問項目の入力フォームとともに、関連する質問項目の情報が関連質問表示欄ＣＡＦに表示される。図９の例では、リスクメッセージＲＭが表示されている質問項目（「ＡＡ－１」）の表示欄の右隣に関連質問表示欄ＣＡＦが並べて表示されている。関連質問表示欄ＣＡＦには、リスクメッセージＲＭに含まれる質問項目（「ＤＤ－１」）（例えば、「ＡＡ－１」の回答と矛盾する回答が入力されている質問項目）の質問番号、質問内容、入力済み回答等が表示される。なお、関連質問表示欄ＣＡＦにおいて、回答の修正が受け付けられてもよい。

【0090】

判定部１１４は、回答受付部１１３による質問項目への回答の送信指示の受付時に、判定ルールに抵触する回答があることを示すアラートを提供者端末２０に表示させてもよい。これにより、回答が評価者に提出される前に、サービス提供者に回答の見直し又は修正を行う機会を与えることができる。その結果、回答の差し戻しの発生が抑制される。

【0091】

アラートには、判定ルールに抵触する回答又はその質問項目を示す抵触質問情報（例えば、質問番号）が含まれてもよい。また、抵触する回答が複数存在する場合は、アラートには、複数の抵触質問情報が含まれてもよい。さらに、アラートには、抵触する判定ルールに対応するリスクメッセージが含まれてもよい。

【0092】

アラートには、判定ルールに抵触する回答に対応する質問項目へのリンク、又は判定ルールに抵触する回答が表示された、当該回答に対応する質問項目への回答入力フォームが含まれてもよい。これにより、サービス提供者が回答の見直し又は修正を行う質問項目にすぐにアクセスできるため、サービス提供者が回答の提出までに要する時間が短縮される。

【0093】

アラートにおける質問項目へのリンクは、抵触質問情報（例えば、質問番号）に付されてもよいし、例えば、ボタン等のオブジェクトとして、抵触質問情報やリスクメッセージ等とは独立した形でアラートに含まれてもよい。提供者端末２０においてリンクに対する入力操作が行われると、リンクされた質問項目の回答入力画面（回答入力欄）が提供者端末２０に表示される。

【0094】

図１０は、提供者端末２０に表示される送信確認画面ＣＤの一例を示す図である。送信確認画面ＣＤは、例えば、サービス提供者が評価者への回答の送信指示（評価依頼指示）を入力した際に表示される。送信確認画面ＣＤには、アラートメッセージＡＭと、コメント入力欄ＣＩＦと、キャンセルボタンＢ５１と、送信ボタンＢ５２とが含まれる。

【0095】

アラートメッセージＡＭには、判定ルールに抵触する回答（リスクメッセージが表示され、抵触が解消されていない回答）が含まれることを表す文章、抵触する回答に対応する質問項目を示すキーワード（質問番号）等が含まれる。また、質問項目を示すキーワードには、この質問項目へのリンクが設定されている。提供者端末２０において、例えば、アラートメッセージＡＭ内の「ＰＵ－１」のリンクに対し入力操作が行われると、「ＰＵ－１」の質問項目及び回答（入力フォーム）が提供者端末２０に表示される。なお、送信する回答に、判定ルールに抵触する回答が含まれない場合は、アラートメッセージＡＭは表示されない。

【0096】

コメント入力欄ＣＩＦは、サービス提供者から評価者に対するコメント（申し送り事項）の入力を受け付ける。コメントとしては、例えば、アラートメッセージＡＭの対象となっている回答の入力理由等が挙げられる。

【0097】

キャンセルボタンＢ５１は、回答の送信を取り消す操作の入力を受け付ける。また、キャンセルボタンＢ５１に対する入力によって、判定ルールに抵触している回答とその質問項目が提供者端末２０に一覧表示されてもよい。送信ボタンＢ５２は、回答の送信を実行する操作の入力を受け付ける。送信ボタンＢ５２に対する入力によって、サービス提供者が入力した回答が回答データベースに登録されるとともに、評価者に送信される。

【0098】

図１１は、提供者端末２０に表示される送信確認画面ＣＤの別の例を示す図である。図１０の送信確認画面ＣＤでは、アラートメッセージＡＭにおいて、図９の回答入力画面ＡＤに例示される抵触する回答に対応する質問項目を示すリンク（「ＤＤ－１」）に替えて、質問項目表示欄ＱＩＦが表示される。質問項目表示欄ＱＩＦには、抵触する回答に対応する質問項目が１つずつ表示される、また、左右の切替オブジェクトＣＯによって、表示される質問項目の切替が受け付けられる。なお、質問項目表示欄ＱＩＦにおいて、回答の修正が直接受け付けられてもよいし、質問項目表示欄ＱＩＦに表示された質問項目を選択する（例えば、表示領域のどこかをクリックする）ことで、当該質問項目の入力フォームが提供者端末２０に表示されてもよい。

【0099】

判定部１１４は、リスクメッセージ及びアラートを、質問項目の表記言語（回答の入力言語）を用いて提供者端末２０に表示させる。質問項目の表記言語は、例えば、提供者端末２０からの選択入力によって変更される。リスクメッセージ、アラート等は、複数の表記言語ごとに（例えば、日本語と英語とで）登録されてもよい。

【0100】

<回答送信部１１５>
回答送信部１１５は、回答受付部１１３が受け付けた、サービス提供者のセキュリティ調査への回答を評価者に送信するように構成される。

【0101】

具体的には、回答送信部１１５は、提供者端末２０による回答の送信を受け付ける送信入力オブジェクト（送信ボタン）への入力を受けて、サービス提供者の回答を評価用情報として登録するとともに、評価者に評価用情報又は評価用情報へのアクセス情報（アドレス）を送信する。回答送信部１１５は、セキュリティ調査における必須の質問項目への回答がすべて入力されていない場合に、送信入力オブジェクトを不活性状態とし、サービス提供者から送信の入力を受け付けないようにしてもよい。反対に、回答送信部１１５は、セキュリティ調査における必須の質問項目への回答がすべて入力されている場合に、送信入力オブジェクトを活性状態とし、サービス提供者から送信の入力を受け付けるようにしてもよい。

【0102】

「評価用情報」は、サービスのセキュリティ等に関する複数の質問項目それぞれに対する、サービス提供者の回答で構成され、評価者が内容のチェックや評価等を行う対象となる情報である。評価用情報は、１回のみ評価されてもよいし、複数回評価されてもよい。つまり、評価用情報に対する評価は、初期評価（いわゆるレビュー）、中間評価、最終評価等を含んでもよい。初期評価及び中間評価は、評価後に、さらに別の評価が行われる評価である。複数の評価は、同じ評価者によって実行されてもよいし、別の評価者（いわゆるレビュワー等）によって実行されてもよい。最終評価では、サービス利用者に提供されるレポート又は報告書に使用される評価を作成する。また、評価用情報は、サービス提供者によって修正や更新等がなされた際に、再度、評価者によって評価されてもよい。

【0103】

評価者による評価用情報の評価結果は、レポート又は報告書の一部又は参考情報として使用される。なお、情報処理システム１における「サービス利用者」には、評価の対象となるサービスを利用する個人又は組織に加えて、特定のサービスの評価を求める個人又は組織も含まれ、例えば、自社で利用しているクラウドサービス等のセキュリティに関する評価を行いたい企業、当該評価を確認したい企業等が含まれる。

【0104】

評価用情報には、回答とともにその回答に対応する質問項目が含まれていてもよい。また、評価用情報には、サービス属性（対象となるサービスの種類、サービスの提供先、サービスに含まれるプランの種類、又はこれらの組み合わせを示す情報）が含まれてもよい。

【0105】

評価用情報は、例えば、記憶部１２の回答データベースに登録される。評価用情報に含まれる、各質問項目への回答は、入力フォームに提示される質問項目ごとにサービス提供者が当該入力フォームに対して入力した回答を、回答データベースに登録したものである。１つの質問項目に対する回答は、階層化されていてもよい。

【0106】

回答送信部１１５は、セキュリティ調査におけるサービス提供者の回答に修正必須属性が設定された判定ルールへ抵触する修正必須回答が含まれないか判定し、修正必須回答が含まれない場合に、サービス提供者の回答を評価者に送信してもよい。つまり、回答送信部１１５は、送信対象の回答に修正必須回答が含まれる場合は、サービス提供者の回答を評価者に送信しなくてもよい。これにより、クリティカルな不備が含まれる回答が評価者に送信されることが抑制できるため、評価者の作業効率が向上する。

【0107】

回答送信部１１５は、送信対象の回答に修正必須回答が含まれる場合に、サービス提供者からの送信指示自体を受け付けなくてもよい。例えば、回答送信部１１５は、修正必須回答が存在する場合に、回答の送信を受け付ける送信入力オブジェクトを非活性状態にしてもよい。反対に、回答送信部１１５は、修正必須回答が存在しない場合に、回答の送信を受け付ける送信入力オブジェクトを活性の状態にしてもよい。これと合わせて、回答送信部１１５は、修正必須回答が存在することを示す情報、又は修正必須回答が含まれる質問項目を示す情報を提供者端末２０に表示させてもよい。

【0108】

回答送信部１１５は、セキュリティ調査におけるサービス提供者の回答とともに、判定ルールへの抵触が解消されていない回答を示す情報を評価者に送信してもよい。つまり、評価用情報には、判定ルールへの抵触状態を示す情報が含まれてもよい。これにより、評価者が判定ルールへの抵触状況を確認しながら、コメント作成、スコアリング等を行うことができるため、評価作業の効率が向上する。さらに、回答送信部１１５は、判定ルールに抵触している回答の属性を示す情報を評価者に送信してもよい。

【0109】

回答送信部１１５は、サービス提供者のリスクメッセージに対する確認操作を受け付け、確認操作を受け付けたことを示す情報を評価者に送信してもよい。これにより、評価者が判定ルールに抵触する回答について、サービス提供者がリスクメッセージを確認した上で維持されたものであるか否かを確認することができる。そのため、コメント作成、スコアリング等の作業効率が向上する。

【0110】

「リスクメッセージに対する確認操作」には、例えば、リスクメッセージに付与された確認入力用オブジェクト（例えば、「確認済み」チェックボックス）への入力、判定ルールに抵触している回答とその質問項目を一覧表示させた画面の終端（最下部）までのスクロール、判定ルールへの抵触に対するコメントの記載等が挙げられる。当該コメントには、例えば、回答間に矛盾が生じている場合や、回答が非公開とされている場合においてのサービス提供者による補足的な説明、回答の入力理由等が含まれる。

【0111】

回答送信部１１５は、確認操作が受け付けられた場合のみに、サービス提供者の回答を評価者に送信してもよい。つまり、回答送信部１１５は、確認操作が受け付けられなかった場合は、サービス提供者の回答を評価者に送信しなくてもよい。また、回答送信部１１５は、所定の属性の判定ルールに抵触する回答（例えば、警告レベルが高い判定ルールに抵触する回答）が含まれる場合のみ、リスクメッセージの確認操作を送信の必須条件としてもよい。

【0112】

<評価受付部１１６>
評価受付部１１６は、セキュリティ調査におけるサービス提供者の回答に対する評価を評価者から受け付けるように構成される。評価受付部１１６は、評価された評価用情報を評価結果とともに回答データベース等に登録するように構成される。

【0113】

「評価」は、評価用情報に含まれる回答における不備の有無の確認、回答の内容に対する指摘事項（コメント）の作成、回答の内容の査定、所定の基準に基づく回答に対するスコアリング等を実施する行為である。上述のように評価は複数の評価者によって行われてもよく、一の評価者から他の評価者に対し、登録された評価用情報に対する評価が依頼されてもよい。その場合、評価受付部１１６は、一の評価者の評価後に、他の評価者からの評価を受け付けてもよい。

【0114】

例えば、評価が２段階で行われる場合、初期評価（レビュー）では、不備の有無の確認、指摘事項の作成等が行われる。続いて、初期評価後の評価用情報に対し、所定の基準に基づき、その内容（回答）に対する査定やスコアリング、評価用情報全体に対するコメント作成等の評価が最終評価として行われ、その結果を含むレポート又は報告書（例えば、セキュリティレポート）が作成される。レポート又は報告書は、最終評価者、又は制御部１１が有する評価部によって作成される。評価部は、入力された評価用情報に基づいてレポート又は報告書の一部又は全体を生成するように構成される。評価用情報の評価結果は、レポート又は報告書の一部又は参考情報として、レポート又は報告書に含まれてもよい。レポート又は報告書は、レポート又は報告書を要求したサービス利用者の利用者端末４０に送信される。

【0115】

評価受付部１１６は、評価者端末３０から、評価に用いられる文字、文章等の入力を受け付ける。なお、評価は、典型的には、すべての質問項目へ回答がされている評価用情報に対して行われる。未回答の質問項目（回答が登録されていない質問項目）がある評価用情報は、評価の対象とせず、評価受付部１１６による評価の受け付けは行われなくてもよい。また、未回答の質問項目（回答が登録されていない質問項目）が含まれる評価用情報であっても、回答済みの質問項目についてのみ、部分的に評価の対象とされてもよい。さらに、判定ルールに抵触していない回答のみ、又は判定ルールに抵触していないか、若しくはリスクメッセージの確認操作が受け付けられた回答のみが評価の対象とされてもよい。

【0116】

<レポート出力部１１７>
レポート出力部１１７は、評価受付部１１６が受け付けた評価に基づいて作成されたレポート又は報告書を利用者端末４０に出力するように構成される。レポート又は報告書には、サービス提供者が入力した評価用情報の全体又は一部と、評価者による評価結果（例えば、評価値、コメント等）とを少なくとも含む。

【0117】

<表示部>
提供者端末２０の表示部２１１、評価者端末３０の表示部３１１及び利用者端末４０の表示部４１１は、それぞれ、サーバ装置１０から送信されてきた画面データが示す画面を表示する。

【0118】

<操作取得部>
提供者端末２０の操作取得部２１２は、提供者端末２０を使用する提供者による操作を受け付ける。評価者端末３０の操作取得部３１２は、評価者端末３０を使用する評価者による操作を受け付ける。利用者端末４０の操作取得部４１２は、利用者端末４０を使用する利用者による操作を受け付ける。

【0119】

３．情報処理方法
本節では、サーバ装置１０の情報処理方法について説明する。この情報処理方法は、サーバ装置１０の各部が、各ステップとしてコンピュータにより実行される。

【0120】

この情報処理は、判定ルール登録ステップと、回答受付ステップと、判定ステップと、評価受付ステップとを備える。判定ルール登録ステップでは、評価者から、セキュリティに関する調査における質問項目への回答に対する複数の判定ルールと、判定ルールそれぞれに対応付けたリスクメッセージとの入力を受け付けるとともに、判定ルールと当該判定ルールに対応付けられたリスクメッセージとを組み合わせてデータベースに登録する。回答受付ステップでは、サービス提供者から調査における質問項目への回答の入力を受け付ける。判定ステップでは、入力された回答の判定ルールへの抵触の有無を判定し、抵触がある場合に当該回答に対するリスクメッセージを表示させる。評価受付ステップでは、調査におけるサービス提供者の回答に対する評価を評価者から受け付ける。

【0121】

図１２は、情報処理システム１によって実行される情報処理（セキュリティ調査処理）の流れの一例を示すアクティビティ図である。以下では、このアクティビティ図の各アクティビティに沿って、情報処理を説明する。

【0122】

セキュリティ調査処理は、判定ルールの登録から開始される。評価者は、評価者端末３０において、判定ルールとリスクメッセージとを対応付けて入力する（アクティビティＡ１０１）。サーバ装置１０は、評価者端末３０から送信された判定ルールとリスクメッセージとを受け付ける（アクティビティＡ１０２）。続いて、サーバ装置１０は、受け付けた判定ルールとリスクメッセージとを対応付けて登録する（アクティビティＡ１０３）。

【0123】

サービス提供者は、判定ルール及びリスクメッセージが登録された状態で、提供者端末２０において、回答を入力する（アクティビティＡ２０１）。サーバ装置１０は、提供者端末２０から送信された回答を受け付ける（アクティビティＡ２０２）。続いて、サーバ装置１０は、受け付けた回答の判定ルールへの抵触を判定する（アクティビティＡ２０３）。抵触の判定後、サーバ装置１０は、判定結果に応じてリスクメッセージを提供者端末２０へ出力する（アクティビティＡ２０４）。これにより、提供者端末２０にリスクメッセージが表示される（アクティビティＡ２０５）。

【0124】

サービス提供者は、リスクメッセージを受けて、提供者端末２０において回答の修正、リスクメッセージの確認操作等の対応作業を実行するとともに、回答の送信指示を行う（アクティビティＡ２０６）。サーバ装置１０は、提供者端末２０から送信された回答を登録する（アクティビティＡ２０７）。続いて、サーバ装置１０は、登録した回答を評価者端末３０に送信力する（アクティビティＡ２０８）。これにより、評価者端末３０にサービス提供者の回答が表示される（アクティビティＡ２０９）。評価者は、評価者端末３０において回答の評価を行い、結果を送信する（アクティビティＡ２１０）。サーバ装置１０は、評価者端末３０から送信された評価を受け付け、登録する（アクティビティＡ２１１）。

【0125】

４．作用
本実施形態の作用をまとめると、次の通りとなる。すなわち、セキュリティ調査における質問への回答入力時に、不備のある回答に表示されるリスクメッセージに基づいて、サービス提供者（回答者）が回答の見直し又は修正をすることができる。その結果、効率的にセキュリティの評価を行うことができる。

【0126】

以上、本発明の実施形態について説明したが、本発明はこれに限定されることなく、その発明の技術的思想を逸脱しない範囲で適宜変更可能である。

【0127】

５．その他
上記実施形態では、サーバ装置１０が種々の記憶・制御を行ったが、サーバ装置１０に代えて、複数の外部装置が用いられてもよい。すなわち、種々の情報やプログラムは、ブロックチェーン技術等を用いて複数の外部装置に分散して記憶されてもよい。

【0128】

本実施形態の態様は、情報処理システム１に限定されず、情報処理方法であっても、プログラムであってもよい。情報処理方法は、情報処理システム１が実行する各ステップを備える。プログラムは、コンピュータに、情報処理システム１の各ステップを実行させる。

【0129】

次に記載の各態様で提供されてもよい。

【0130】

（１）情報処理システムであって、少なくとも１つのプロセッサを備え、前記プロセッサは、プログラムを読み出すことで次の各ステップを実行するように構成され、判定ルール登録ステップでは、評価者から、セキュリティに関する調査における質問項目への回答に対する複数の判定ルールと、前記判定ルールそれぞれに対応付けたリスクメッセージとの入力を受け付けるとともに、前記判定ルールと当該判定ルールに対応付けられた前記リスクメッセージとを組み合わせてデータベースに登録し、ここで、前記リスクメッセージには、前記判定ルールに抵触する事項を説明する文章が含まれ、回答受付ステップでは、サービス提供者から前記調査における質問項目への回答の入力を受け付け、判定ステップでは、入力された回答の前記判定ルールへの抵触の有無を判定し、抵触がある場合に当該回答に対する前記リスクメッセージを表示させ、評価受付ステップでは、前記調査における前記サービス提供者の回答に対する評価を前記評価者から受け付ける、情報処理システム。

【0131】

（２）上記（１）に記載の情報処理システムにおいて、前記判定ルールは、他の回答との矛盾を規定する条件、日付に関する矛盾を規定する条件、及び回答の非公開に関する条件の少なくとも１つを含む、情報処理システム。

【0132】

（３）上記（２）に記載の情報処理システムにおいて、前記他の回答には、他の質問項目における回答と、同一の質問項目内における回答とが含まれる、情報処理システム。

【0133】

（４）上記（１）から（３）のいずれか１つに記載の情報処理システムにおいて、前記判定ルールは、複数の抵触条件を含み、ここで、前記抵触条件は、１つの質問項目において抵触の充足条件を構成する回答内容を１つずつ規定し、前記判定ステップでは、複数の前記抵触条件がすべて満たされる場合、又は複数の前記抵触条件のいずれかが満たされる場合に、前記判定ルールへの抵触があると判定する、情報処理システム。

【0134】

（５）上記（１）から（４）のいずれか１つに記載の情報処理システムにおいて、前記リスクメッセージには、当該リスクメッセージに関連する他の質問項目へのリンクが含まれる、情報処理システム。

【0135】

（６）上記（１）から（５）のいずれか１つに記載の情報処理システムにおいて、前記判定ステップでは、前記調査における質問項目に対し回答が入力された際に、当該回答の前記判定ルールへの抵触の判定結果に応じて前記リスクメッセージを表示させる、情報処理システム。

【0136】

（７）上記（１）から（６）のいずれか１つに記載の情報処理システムにおいて、前記判定ステップでは、前記リスクメッセージの表示対象となった質問項目及び回答を、前記リスクメッセージとともに一覧表示させる、情報処理システム。

【0137】

（８）上記（１）から（７）のいずれか１つに記載の情報処理システムにおいて、前記回答受付ステップでは、前記調査における質問項目に対して入力された回答の送信指示を前記サービス提供者から受け付け、前記判定ステップでは、前記送信指示の受付時に前記判定ルールに抵触する回答があることを示すアラートを表示させる、情報処理システム。

【0138】

（９）上記（８）に記載の情報処理システムにおいて、前記アラートには、前記判定ルールに抵触する回答に対応する質問項目へのリンク、又は前記判定ルールに抵触する回答が表示された、当該回答に対応する質問項目への回答入力フォームが含まれる、情報処理システム。

【0139】

（１０）上記（１）から（９）のいずれか１つに記載の情報処理システムにおいて、前記判定ステップでは、前記リスクメッセージの表示対象となった質問項目及び回答と、前記リスクメッセージに関連する他の質問項目及び回答とを同一画面上に並べて表示させる、情報処理システム。

【0140】

（１１）上記（１）から（１０）のいずれか１つに記載の情報処理システムにおいて、前記判定ルール登録ステップでは、前記評価者から、前記判定ルールごとに、前記判定ルールに抵触する回答の修正が必須であることを示す修正必須属性の設定を受け付けるとともに、前記判定ルールと前記修正必須属性とを対応付けて前記データベースに登録する、情報処理システム。

【0141】

（１２）上記（１１）に記載の情報処理システムにおいて、回答送信ステップでは、前記調査における前記サービス提供者の回答に前記修正必須属性が設定された前記判定ルールへ抵触する修正必須回答が含まれないか判定し、前記修正必須回答が含まれない場合に、前記サービス提供者の回答を前記評価者に送信する、情報処理システム。

【0142】

（１３）上記（１）から（１２）のいずれか１つに記載の情報処理システムにおいて、回答送信ステップでは、前記調査における前記サービス提供者の回答とともに、前記判定ルールへの抵触が解消されていない回答を示す情報を前記評価者に送信する、情報処理システム。

【0143】

（１４）上記（１３）に記載の情報処理システムにおいて、前記回答送信ステップでは、前記サービス提供者の前記リスクメッセージに対する確認操作を受け付け、前記確認操作を受け付けたことを示す情報を前記評価者に送信する、情報処理システム。

【0144】

（１５）情報処理方法であって、上記（１）から（１４）のいずれか１つに記載の情報処理システムが実行する各ステップを備える、情報処理方法。

【0145】

（１６）プログラムであって、コンピュータに、上記（１）から（１４）のいずれか１つに記載の情報処理システムの各ステップを実行させるための、プログラム。
もちろん、この限りではない。

【0146】

最後に、本開示に係る種々の実施形態を説明したが、これらは、例として提示したものであり、発明の範囲を限定することは意図していない。当該新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。当該実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

【符号の説明】

【0147】

１ ：情報処理システム
２ ：通信回線
１０ ：サーバ装置
１１ ：制御部
１２ ：記憶部
１３ ：通信部
１４ ：通信バス
２０ ：提供者端末
２１ ：制御部
２２ ：記憶部
２３ ：通信部
２４ ：入力部
２５ ：出力部
２６ ：通信バス
３０ ：評価者端末
３１ ：制御部
３２ ：記憶部
３３ ：通信部
３４ ：入力部
３５ ：出力部
３６ ：通信バス
４０ ：利用者端末
４１ ：制御部
４２ ：記憶部
４３ ：通信部
４４ ：入力部
４５ ：出力部
４６ ：通信バス
１１１ ：基本表示制御部
１１２ ：判定ルール登録部
１１３ ：回答受付部
１１４ ：判定部
１１５ ：回答送信部
１１６ ：評価受付部
１１７ ：レポート出力部
２１１ ：表示部
２１２ ：操作取得部
３１１ ：表示部
３１２ ：操作取得部
４１１ ：表示部
４１２ ：操作取得部
ＡＣ ：回答選択肢
ＡＣＦ ：全体条件入力欄
ＡＤ ：回答入力画面
ＡＦ ：属性入力欄
ＡＩＦ ：回答入力欄
ＡＭ ：アラートメッセージ
Ｂ１１ ：登録ボタン
Ｂ１２ ：条件グループ追加ボタン
Ｂ１３ ：削除ボタン
Ｂ１４ ：入力欄追加ボタン
Ｂ２１ ：検索実行ボタン
Ｂ４１ ：回答保存ボタン
Ｂ４２ ：進行ボタン
Ｂ５１ ：キャンセルボタン
Ｂ５２ ：送信ボタン
ＣＡＦ ：関連質問表示欄
ＣＤ ：送信確認画面
ＣＩＦ ：コメント入力欄
ＣＯ ：切替オブジェクト
ＩＣＦ ：項目条件入力欄
ＩＦ ：ＩＤ入力欄
ＩＦ１ ：質問項目入力欄
ＩＦ２ ：回答選択肢入力欄
ＩＦ３ ：補助条件入力欄
ＬＤ ：判定ルール一覧画面
ＬＦ ：一覧表示欄
ＭＦ ：リスクメッセージ入力欄
ＮＦ ：ルール名入力欄
ＱＣ ：質問内容
ＱＦ ：クエリ入力欄
ＱＩＦ ：質問項目表示欄
ＱＮ ：質問番号
ＲＤ ：判定ルール登録画面
ＲＦ ：判定ルール入力欄
ＲＭ ：リスクメッセージ
ＳＣ ：補助選択肢

【要約】

【課題】効率的にセキュリティの評価を行うことができる情報処理システム等を提供する。
【解決手段】本発明の一態様によれば、情報処理システムであって、少なくとも１つのプロセッサを備え、プロセッサは、プログラムを読み出すことで次の各ステップを実行するように構成され、判定ルール登録ステップでは、評価者から、セキュリティに関する調査における質問項目への回答に対する複数の判定ルールと、判定ルールそれぞれに対応付けたリスクメッセージとの入力を受け付けるとともに、判定ルールと当該判定ルールに対応付けられたリスクメッセージとを組み合わせてデータベースに登録し、リスクメッセージには、判定ルールに抵触する事項を説明する文章が含まれ、回答受付ステップでは、サービス提供者から調査における質問項目への回答の入力を受け付け、判定ステップでは、入力された回答の判定ルールへの抵触の有無を判定し、抵触がある場合に当該回答に対するリスクメッセージを表示させ、評価受付ステップでは、調査におけるサービス提供者の回答に対する評価を評価者から受け付ける、情報処理システムが提供される。
【選択図】図１

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】