特許 7602845 検査装置、検査方法、及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B1)

(11)【特許番号】

(24)【登録日】2024-12-11

(45)【発行日】2024-12-19

(54)【発明の名称】検査装置、検査方法、及びプログラム

(51)【国際特許分類】

   G06F 21/55 20130101AFI20241212BHJP

【ＦＩ】

G06F21/55

【請求項の数】 8

(21)【出願番号】P 2024201281

(22)【出願日】2024-11-19

【審査請求日】2024-11-19

(31)【優先権主張番号】P 2024163455

(32)【優先日】2024-09-20

(33)【優先権主張国・地域又は機関】JP

【早期審査対象出願】

(73)【特許権者】

【識別番号】522092170

【氏名又は名称】Ｃｌｏｕｄｂａｓｅ株式会社

(74)【代理人】

【識別番号】110002790

【氏名又は名称】Ｏｎｅ ｉｐ弁理士法人

(72)【発明者】

【氏名】大峠 和基

【審査官】岸野 徹

(56)【参考文献】

【文献】特表２０２３－５４０８９４（ＪＰ，Ａ）

【文献】特開２０２２－１８４９３４（ＪＰ，Ａ）

【文献】米国特許出願公開第２０２２／００７８１８８（ＵＳ，Ａ１）

【文献】米国特許出願公開第２０１５／００７３９６０（ＵＳ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／５５

(57)【特許請求の範囲】

【請求項1】

ユーザが利用するパブリッククラウドであって、複数のリソースを有するマネージドサービスを提供する前記パブリッククラウドから、前記マネージドサービスの状況として、前記パブリッククラウド内の前記複数のリソース、及び、該複数のリソースが有する複数のパラメータがリストされている環境情報を取得する取得部と、
前記取得された環境情報と、前記環境情報にリストされている前記複数のリソースが有する前記複数のパラメータが満たすべき条件である複数のポリシーの内容とを照合することにより、前記複数のリソースのうちの１つのリソースが、前記複数のポリシーのうちの１つのポリシーに違反しないか否かを判定する判定部と、
前記１つのリソースが前記１つのポリシーに違反すると判定されるとき、当該違反する旨を、当該違反する１つのポリシーの重要度に応じて、前記ユーザに通知する通知部と、
を含む検査装置。

【請求項2】

前記複数のポリシーの内容の各々は、更に、前記複数のポリシーの各々の重要度が定義されている、請求項１に記載の検査装置。

【請求項3】

前記判定部による判定の結果を記憶する記憶部を更に含む請求項１に記載の検査装置。

【請求項4】

前記１つのリソースが前記１つのポリシーに違反することが、前記ユーザにより解決された場合であって、前記解決された旨を前記ユーザが使用する端末から受信したとき、前記記憶部で、前記違反する旨を解決した旨に書き換える書換部と、
を更に含む請求項３に記載の検査装置。

【請求項5】

前記１つのリソースが前記１つのポリシーに違反することが、前記ユーザにより解決されない場合であって、前記解決されない旨を前記ユーザが使用する端末から受信したとき、前記記憶部で、前記違反する旨を未解決である旨に書き換える書換部と、
を更に含む請求項３に記載の検査装置。

【請求項6】

前記書換部は、前記未解決である理由を前記ユーザが使用する端末から受信したとき、前記記憶部で、前記未解決である旨を書き換えることに加えて、前記未解決である理由を付記する、
請求項５に記載の検査装置。

【請求項7】

コンピュータが、
ユーザが利用するパブリッククラウドであって、複数のリソースを有するマネージドサービスを提供する前記パブリッククラウドから、前記マネージドサービスの状況として、前記パブリッククラウド内の前記複数のリソース、及び、該複数のリソースが有する複数のパラメータがリストされている環境情報を取得し、記憶部に記憶する取得工程と、
前記記憶部に記憶された環境情報と、前記環境情報にリストされている前記複数のリソースが有する前記複数のパラメータが満たすべき条件である複数のポリシーの内容とを照合することにより、前記複数のリソースのうちの１つのリソースが、前記複数のポリシーのうちの１つのポリシーに違反しないか否かを判定する判定工程と、
前記１つのリソースが前記１つのポリシーに違反すると判定されるとき、当該違反する旨を、当該違反する１つのポリシーの重要度に応じて、前記ユーザに通知する通知工程と、
を実行する検査方法。

【請求項8】

コンピュータに、
ユーザが利用するパブリッククラウドであって、複数のリソースを有するマネージドサービスを提供する前記パブリッククラウドから、前記マネージドサービスの状況として、前記パブリッククラウド内の前記複数のリソース、及び、該複数のリソースが有する複数のパラメータがリストされている環境情報を取得する取得工程と、
前記取得された環境情報と、前記環境情報にリストされている前記複数のリソースが有する前記複数のパラメータが満たすべき条件である複数のポリシーの内容とを照合することにより、前記複数のリソースのうちの１つのリソースが、前記複数のポリシーのうちの１つのポリシーに違反しないか否かを判定する判定工程と、
前記１つのリソースが前記１つのポリシーに違反すると判定されるとき、当該違反する旨を、当該違反する１つのポリシーの重要度に応じて、前記ユーザに通知する通知工程と、
実行させるためのプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、検査装置、検査方法、及びプログラムに関する。

【背景技術】

【0002】

特許文献１に記載のクラウド監視方法等は、パブリッククラウドの利用者による、クラウドリソースの過失・故意の操作により情報セキュリティ上の問題が発生することを防止することを目的とする。前記クラウド監視方法等は、前記目的を達成すべく、前記利用者による前記クラウドリソースへの操作のログに基づき、前記操作がセキュリティリスクを高める可能性があるか否かを判定する。

【先行技術文献】

【特許文献】

【0003】

【文献】特開２０２１－１２１８８６号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

しかしながら、上記したクラウド監視方法等では、上述したように、上記した利用者の操作に関する判定を、上記した利用者の操作のログに基づくことから、上記した判定は、個別的であり、即ち、網羅的な判定を行うことができなかった。

【0005】

本開示の目的は、パブリッククラウドのリソースについて、網羅的な判定結果を与えることができる検査装置、検査方法、及びプログラムを提供することにある。

【課題を解決するための手段】

【0006】

上記した課題を解決すべく、本開示に係る検査装置は、ユーザが利用するパブリッククラウドであって、複数のリソースを有するマネージドサービスを提供する前記パブリッククラウドから、前記マネージドサービスの状況として、前記パブリッククラウド内の前記複数のリソース、及び、該複数のリソースが有する複数のパラメータがリストされている環境情報を取得する取得部と、前記取得された環境情報と、前記環境情報にリストされている前記複数のリソースが有する前記複数のパラメータが満たすべき条件である複数のポリシーの内容とを照合することにより、前記複数のリソースのうちの１つのリソースが、前記複数のポリシーのうちの１つのポリシーに違反しないか否かを判定する判定部と、前記１つのリソースが前記１つのポリシーに違反すると判定されるとき、当該違反する旨を、当該違反する１つのポリシーの重要度に応じて、前記ユーザに通知する通知部と、を含む。

【発明の効果】

【0007】

本開示に係る検査装置によれば、パブリッククラウドのリソースについて、網羅的な判定結果を与えることができる。

【図面の簡単な説明】

【0008】

【図1】実施形態１のポリシー検査システムＰＫＳの構成を示す。

【図2】実施形態１の検査装置ＫＳの構成を示す。

【図3】実施形態１のパブリッククラウドＰＫの構成を示す。

【図4】実施形態１の端末ＴＭの構成を示す。

【図5】実施形態１のポリシー検査システムＰＫＳの動作を示す。

【図6】実施形態１のコンプライアンスＫＯを示す。

【図7】実施形態２のポリシー検査システムＰＫＳの動作を示す。

【図8】実施形態２の判定結果ＨＫを示す。

【図9】実施形態２の判定結果ＨＫを示す（書き換え１）。

【図10】実施形態２の判定結果ＨＫを示す（書き換え２）。

【図11】変形例の環境情報ＫＪを示す。

【図12】変形例のコンプライアンスＫＯを示す。

【図13】実施形態１、２のポリシー検査システムＰＫＳのハードウェアによる構成を示す。

【図14】実施形態１、２のポリシー検査システムＰＫＳのソフトウェアによる実現に基づくハードウェアの構成を示す。

【発明を実施するための形態】

【0009】

本開示に係るポリシー検査システムの実施形態について説明する。

【0010】

〈実施形態１〉
実施形態１のポリシー検査システムＰＫＳについて説明する。

【0011】

〈実施形態１の構成〉
図１は、実施形態１のポリシー検査システムＰＫＳの構成を示す。

【0012】

実施形態１のポリシー検査システムＰＫＳは、図１に示されるように、検査装置ＫＳと、パブリッククラウドＰＫと、端末ＴＭと、を含む。検査装置ＫＳと、パブリッククラウドＰＫと、端末ＴＭとは、図１に示されるように、ネットワークＮＷ（例えば、インターネット）を介して、相互に接続されている。

【0013】

ポリシー検査システムＰＫＳでは、図１に示されるように、検査装置ＫＳは、パブリッククラウドＰＫをスキャンＳＣすることにより、パブリッククラウドＰＫからマネージドサービスＭＳの状況を示す環境情報ＫＪを取得することよって、マネージドサービスＭＳの状況を監視し、かつ、必要に応じて、マネージドサービスＭＳの違反ＩＨ（詳細を後述）を、パブリッククラウドＰＫを利用するユーザＵＳの端末ＴＭに通知する。

【0014】

パブリッククラウドＰＫは、図１に示されるように、ユーザＵＳの利用に供するマネージドサービスＭＳを有し、マネージドサービスＭＳは、複数のリソースＲＥａ、ＲＥｂ、ＲＥｃ、、、を備える。ここで、リソースＲＥは、広義に解釈されるべきであり、例えば、ユーザＵＳ（特に、ユーザＵＳに関連する事項、ユーザＵＳの挙動）をも意味し得る。例えば、ユーザＵＳが、パブリッククラウドＰＫを利用するときに入力すべき識別番号ＩＤ及びパスワードＰＷ、並びに、パスワードＰＷを変更することも、リソースＲＥに含まれる。

【0015】

以下では、説明及び理解を容易にすべく、例えば、複数の名称を１つの名称で総称することがあり、例えば、リソースＲＥａ、ＲＥｂ、ＲＥｃ、、、をリソースＲＥと総称することがある。

【0016】

〈検査装置ＫＳの構成〉
図２は、実施形態１の検査装置ＫＳの構成を示す。

【0017】

実施形態１の検査装置ＫＳは、図２に示されるように、入出力部ＮＹ（ＫＳ）と、処理部ＳＹ（ＫＳ）と、記憶部ＫＩ（ＫＳ）と、通信部ＴＵ（ＫＳ）と、を有する。

【0018】

入出力部ＮＹ（ＫＳ）は、例えば、検査装置ＫＳの管理者（図示せず。）が、検査装置ＫＳの動作を監視・制御するための入出力を行うために用いられる。入出力部ＮＹ（ＫＳ）は、例えば、キーボード、マウス、液晶モニター、プリンタである。

【0019】

処理部ＳＹ（ＫＳ）は、例えば、パブリッククラウドＰＫのマネージドサービスＭＳの状況を監視することに関連する処理、例えば、スキャンＳＣ（図１に図示。）を行う。

【0020】

記憶部ＫＩ（ＫＳ）は、例えば、処理部ＳＹ（ＫＳ）の処理に必要なデータを記憶する。

【0021】

通信部ＴＵ（ＫＳ）は、ネットワークＮＷを介した通信を行う。通信部ＴＵ（ＫＳ）は、例えば、パブリッククラウドＰＫから、パブリッククラウドＰＫのマネージドサービスＭＳの状況を示す環境情報ＫＪ（図１に図示。）を受信し、また、必要に応じて、ユーザＵＳの端末ＴＭへ、リソースＲＥがポリシーＰＯ（例えば、図６に図示。）に違反する旨、即ち違反ＩＨ（図１に図示。）を通知する。

【0022】

〈パブリッククラウドＰＫの構成〉
図３は、実施形態１のパブリッククラウドＰＫの構成を示す。

【0023】

実施形態１のパブリッククラウドＰＫは、図３に示されるように、入出力部ＮＹ（ＰＫ）と、処理部ＳＹ（ＰＫ）と、記憶部ＫＩ（ＰＫ）と、通信部ＴＵ（ＰＫ）と、を有する。

【0024】

入出力部ＮＹ（ＰＫ）は、パブリッククラウドＰＫの管理者（図示せず。）が、パブリッククラウドＰＫの動作を監視・制御するために用いられる。入出力部ＮＹ（ＰＫ）は、例えば、キーボード、マウス、液晶モニター、プリンタである。

【0025】

処理部ＳＹ（ＰＫ）は、例えば、マネージドサービスＭＳ（図１に図示。）をユーザＵＳに提供するための処理を行い、また、検査装置ＫＳからのスキャンＳＣ（図１に図示。）に応じて、マネージドサービスＭＳの状況を示す環境情報ＫＪ（図１に図示。）を返答する。

【0026】

記憶部ＫＩ（ＰＫ）は、例えば、処理部ＳＹ（ＰＫ）の処理に必要なデータを記憶する。

【0027】

通信部ＴＵ（ＰＫ）は、ネットワークＮＷを介した通信を行う。通信部ＴＵ（ＰＫ）は、例えば、検査装置ＫＳからスキャンＳＣを受信し、また、検査装置ＫＳへ環境情報ＫＪを返信する。

【0028】

〈端末ＴＭの構成〉
図４は、実施形態１の端末ＴＭの構成を示す。

【0029】

実施形態１のパブリッククラウドＰＫは、図３に示されるように、入出力部ＮＹ（ＴＭ）と、処理部ＳＹ（ＴＭ）と、記憶部ＫＩ（ＴＭ）と、通信部ＴＵ（ＴＭ）と、を有する。

【0030】

入出力部ＮＹ（ＴＭ）は、ユーザＵＳが端末ＴＭを使用するために用いられる。入出力部ＮＹ（ＴＭ）は、例えば、キーボード、マウス、液晶モニター、プリンタである。

【0031】

処理部ＳＹ（ＴＭ）は、例えば、パブリッククラウドＰＫのマネージドサービスＭＳの利用に関する処理を行う。

【0032】

記憶部ＫＩ（ＴＭ）は、例えば、処理部ＳＹ（ＰＫ）の処理に必要なデータを記憶する。

【0033】

通信部ＴＵ（ＴＭ）は、ネットワークＮＷを介した通信を行う。通信部ＴＵ（ＴＭ）は、例えば、検査装置ＫＳから違反ＩＨ（図１に図示。）の通知を受信し、また、検査装置ＫＳへ、違反ＩＨを解決する旨、または、違反ＩＨを解決しない旨（その理由を含む）を送信する。

【0034】

〈対応関係〉
検査装置ＫＳの処理部ＳＹ（ＫＳ）は、「取得部」、「判定部」、「通知部」、「書換部」に対応し、検査装置ＫＳの記憶部（ＫＩ）は、「記憶部」に対応する。

【0035】

〈実施形態１の動作〉
図５は、実施形態１のポリシー検査システムＰＫＳの動作を示す。

【0036】

図６は、実施形態１のコンプライアンスＫＯを示す。

【0037】

実施形態１のポリシー検査システムＰＫＳの動作について、図５～図６を参照して説明する。

【0038】

説明及び理解を容易にすべく、ユーザＵＳ（図１に図示。）が、パスワードＰＷ（図１に図示のリソースＲＥｃに相当。）を定期的に、即ち、予め定められた期間（例えば、１ヶ月）毎に変更すべきところ、パスワードＰＷが前記予め定められた期間を経過している（例えば、１ヶ月半を経過している）ことを想定する。

【0039】

ステップＳＴ１：検査装置ＫＳ（図１に図示。）では、処理部ＳＹ（ＫＳ）は、ネットワークＮＷ（図１に図示。）経由で、ＡＰＩ（Application Programming Interface）を通じてパブリッククラウドＰＫ（図１に図示。）をスキャンＳＣ（図１に図示。）することにより、パブリッククラウドＰＫから、マネージドサービスＭＳの状況、より詳しくは、複数のリソースＲＥの状況に環境情報ＫＪを取得する。ここで、環境情報ＫＪは、ユーザＵＳがパブリッククラウドＰＫを利用するときに入力すべきパスワードＰＷの状況（例えば、パスワードＰＷを変更した日時）を含む。

【0040】

検査装置ＫＳでは、処理部ＳＹ（ＫＳ）（図２に図示。）は、パブリッククラウドＰＫから取得した環境情報ＫＪを、記憶部ＫＩ（ＫＳ）（図２に図示。）に記憶する。

【0041】

ステップＳＴ２：検査装置ＫＳでは、処理部ＳＹ（ＫＳ）は、上記した環境情報ＫＪと、コンプライアンスＫＯ（図６に図示。）に定義されている複数のポリシーＰＯ（図６に図示。）とを照合することにより、環境情報ＫＪにより示されるリソースＲＥの状況が、コンプライアンスＫＯに規定されているポリシーＰＯのいずれかの内容に違反しないか否かを判定する。

【0042】

ここで、コンプライアンスＫＯ中のポリシーＰＯ（例えば、ポリシーＰＯ１、ＰＯ２、ＰＯ３）は、リソースＲＥ（例えば、リソースＲＥａ、ＲＥｂ、ＲＥｃ（図１に図示。））のあるべき姿を定義する。より詳しくは、例えば、図６に示されるように、ポリシーＰＯ０２は、「認証」の内容を定義し、具体的には、「パスワードＰＷが『１ヵ月』以内に変更されるべきである」旨を規定し、重要度「高」であり、閾値「ＴＨ（Ｐ０２）」であることを定義する。

【0043】

検査装置ＫＳでは、処理部ＳＹ（ＫＳ）は、環境情報ＫＪが示すリソースＲＥｃ（ユーザＵＳのパスワードＰＷに相当。）が、「１ヶ月半」の間、変更されていないことから、ポリシーＰＯ２に違反すると判定する。

【0044】

ステップＳＴ３：検査装置ＫＳでは、処理部ＳＹ（ＫＳ）は、ステップＳＴ２で、上記した違反する旨を判定すると、ポリシーＰＯ２の重要度「高」（図６に図示。）、閾値「ＴＨ（ＰＯ２）」に応じて、リソースＲＥｃ、即ち、ユーザＵＳのパスワードＰＷがポリシーＰＯ２に違反する旨（違反ＩＨ）を、ユーザＵＳの端末ＴＭへ通知する。ここで、閾値「ＴＨ（ＰＯ２）」は、重要度「高」が、例えば、数値化された情報である。

【0045】

上記とは対照的に、仮に、ポリシーＰＯ２の重要度が「低」であるときには、処理部ＳＹ（ＫＳ）は、上記した違反の旨（違反ＩＨ）をユーザＵＳの端末ＴＭへ通知しない。

【0046】

〈実施形態１の効果〉
上述したように、実施形態１のポリシー検査システムＰＫＳでは、検査装置ＫＳは、リソースＲＥの１つであるリソースＲＥｃ、即ち、ユーザＵＳのパスワードＰＷが、コンプライアンスＫＯに含まれる複数のポリシーＰＯの１つであるポリシーＰＯ２に違反すると判定するとき、当該違反の旨（違反ＩＨ）をユーザＵＳの端末ＴＭに通知する。これにより、ユーザＵＳは、パブリッククラウドＰＫのマネージドサービスＭＳのリソースＲＥが、コンプライアンスＫＯのポリシーＰＯに違反するか否かの網羅的な判定結果として、違反ＩＨの有無を知得することが可能となる。

【0047】

上記したパスワードＰＷを用いた認証に代えて、従来知られたと同様に、例えば、ユーザＵＳがパブリッククラウドＰＫの認証情報ＮＪ（図示せず。）を発行し、当該認証情報ＮＪを検査装置ＫＳに受け渡す、という認証を用いてもよい。

【0048】

〈実施形態２〉
実施形態２のポリシー検査システムＰＫＳについて説明する。

【0049】

〈実施形態２の構成〉
実施形態２のポリシー検査システムＰＫＳの構成は、実施形態１のポリシー検査システムＰＫＳの構成（図１～４に図示。）と同様である。

【0050】

〈実施形態２の動作〉
実施形態２のポリシー検査システムＰＫＳの動作は、実施形態１のポリシー検査システムＰＫＳの動作（図５に図示。）に引き続く動作である。

【0051】

図７は、実施形態２のポリシー検査システムＰＫＳの動作を示す。

【0052】

図８は、実施形態２の判定結果ＨＫを示す。

【0053】

図９は、実施形態２の判定結果ＨＫを示す（書き換え１）。

【0054】

図１０は、実施形態２の判定結果ＨＫを示す（書き換え２）。

【0055】

実施形態２のポリシー検査システムＰＫＳの動作について、図７～図１０を参照して説明する。

【0056】

説明及び理解を容易にすべく、リソースＲＥ（図１に図示。）がポリシーＰＯ（図６に図示。）に違反するとき（違反ＩＨがあるとき）、（１）ユーザＵＳが違反ＩＨを解決する場合、（２）ユーザＵＳ違反ＩＨを解決しない場合を想定する。

【0057】

〈ユーザＵＳが違反ＩＨを解決する場合〉
ステップＳＴ４：検査装置ＫＳでは、処理部ＳＹ（ＫＳ）は、ステップＳＴ３で、ユーザＵＳの端末ＴＭへ違反ＩＨ（ユーザＵＳのパスワードＰＷがポリシーＰＯ２に違反する旨）を通知した後に、判定（図５のステップＳＴ２）の結果（以下、「判定結果ＨＫ」という。図８に図示。）を記憶部ＫＩ（ＫＳ）に記憶する。

【0058】

ステップＳＴ５Ａ：端末ＴＭのユーザＵＳは、ステップＳＴ３で、検査装置ＫＳから、上記した違反ＩＨを受信すると、当該違反ＩＨを解決する。より詳しくは、ユーザＵＳは、パスワードＰＷを速やかに変更する。

【0059】

ステップＳＴ６Ａ：ユーザＵＳの端末ＴＭは、違反ＩＨを解決した旨を検査装置ＫＳへ送信する。換言すれば、検査装置ＫＳは、ユーザＵＳの端末ＴＭから、違反ＩＨを解決した旨を受信する。

【0060】

ステップＳＴ７Ａ：検査装置ＫＳでは、処理部ＳＹ（ＫＳ）は、図９中（点線）で示されるように、記憶部ＫＩ（ＫＳ）に記憶されている判定結果ＨＫに、「ポリシーＰＯ２に違反していたリソースＲＥｃが０７：１５：２４に解決した」を追記し、即ち、判定結果ＨＫを書き換える。

【0061】

〈ユーザＵＳが違反ＩＨを解決しない場合〉
ステップＳＴ４：検査装置ＫＳでは、処理部ＳＹ（ＫＳ）は、ユーザＵＳが違反ＩＨ（ユーザＵＳのパスワードＰＷがポリシーＰＯ２に違反する旨）を解決する場合でのステップＳＴ４と同様に、判定結果ＨＫ（図８に図示。）を記憶部ＫＩ（ＫＳ）に記憶する。

【0062】

ステップＳＴ５Ｂ：端末ＴＭのユーザＵＳは、ステップＳＴ３で、検査装置ＫＳから、違反ＩＨを受信しても、当該違反ＩＨを解決しない。より詳しくは、ユーザＵＳは、パスワードＰＷを何ら変更しない。

【0063】

ステップＳＴ６Ｂ：ユーザＵＳの端末ＴＭは、違反ＩＨを解決しない旨、及び、解決しない理由、即ち、未解決の旨及び未解決の理由を検査装置ＫＳへ送信する。換言すれば、検査装置ＫＳは、ユーザＵＳの端末ＴＭから、未解決の旨及び未解決の理由を受信する。

【0064】

ステップＳＴ７Ｂ：検査装置ＫＳでは、処理部ＳＹ（ＫＳ）は、図１０中（点線）で示されるように、記憶部ＫＩ（ＫＳ）に記憶されている判定結果ＨＫに、「ポリシーＰＯ２に違反していたリソースＲＥｃが０７：１５：２４に解決していない」（未解決）を追記し、かつ、「解決していない理由」（未解決の理由）を付記し、即ち、判定結果ＨＫを書き換える。

【0065】

〈実施形態２の効果〉
上述したように、実施形態２のポリシー検査システムＰＫＳでは、端末ＴＭのユーザＵＳが、ポリシーＰＯ２に違反するリソースＲＥｃを解決し、または、未解決にし、検査装置ＫＳでは、処理部ＳＹ（ＫＳ）が、記憶部ＫＩ（ＫＳ）に記憶されている判定結果ＨＫに、解決または未解決（未解決の理由を含む。）を追記し、即ち、判定結果ＨＫの書き換えを行う。これにより、ユーザＵＳは、リソースＲＥがポリシーＰＯに違反した後にユーザＵＳがどのように対応したかの履歴を一覧で把握することができる。

【0066】

〈変形例〉
実施形態の変形例について説明する。

【0067】

図１１は、変形例の環境情報ＫＪを示す。

【0068】

図１２は、変形例のコンプライアンスＫＯを示す。

【0069】

変形例のポリシー検査システムＰＫＳ（図１に図示。）では、検査装置ＫＳの処理部ＳＹ（ＫＳ）（図２に図示。）は、環境情報ＫＪ（図１１に図示。）に含まれるリソースＲＥが有するパラメータＰが、前記リソースＲＥのタイプであるリソースタイプＲＴ１に対応する、コンプライアンスＫＯ（図１２に図示。）中のリソースタイプＲＴ２であるポリシーの内容ＰＯ（ＣＯＮ）の条件ＪＯを満たすか否かを判定する。

【0070】

検査装置ＫＳの処理部ＳＹ（ＫＳ）は、例えば、環境情報ＫＪ中のリソースＲＥ「ＩＡＭユーザーのＩＤや名前」のパラメータＰ「ＭＦＡ状態＝無効」が、前記リソースＲＥ「ＩＡＭユーザーのＩＤや名前」のリソースタイプＲＴ１「ＩＡＭユーザー」に対応する、コンプライアンスＫＯ中のリソースタイプＲＴ２「ＩＡＭユーザー」のポリシーの内容ＰＯ（ＣＯＮ）「ＭＦＡが有効化されていないＩＡＭユーザー」の条件ＪＯ「コンソールにアクセス可能なすべてのＩＡＭユーザーに対してＭＦＡを有効化している」に違反していないか否かを判定する。

【0071】

検査装置ＫＳの処理部ＳＹ（ＫＳ）は、また、例えば、環境情報ＫＪ中のリソースＲＥ「Ｓｅｃｕｒｉｔｙ ＧｒｏｕｐのＩＤや名前」のパラメータＰ「「「０．０．０．０／０」をソースとし、２０から２５番までをポート範囲とするインバウンドルール」が、前記リソースＲＥ「Ｓｅｃｕｒｉｔｙ ＧｒｏｕｐのＩＤや名前」のリソースタイプＲＴ１「Ｓｅｃｕｒｉｔｙ Ｇｒｏｕｐ」に対応する、コンプライアンスＫＯ中のリソースタイプＲＴ２「Ｓｅｃｕｒｉｔｙ Ｇｒｏｕｐ」のポリシーの内容ＰＯ（ＣＯＮ）「セキュリティグループがリスクの高いポートへの無制限アクセスを許可している」の条件ＪＯ「「０．０．０．０／０」もしくは「：：／０」をソースとし、２０・２１、２２、２３、２５、１１０、１３５、１４３、４４５、１４３３・１４３４、３０００、３３０６、３３８９、４３３３、５０００、５４３２、５５００、５６０１、８０８０・８０８８・８８８８、９２００・９３００をポート範囲とするインバウンドルールがあるセキュリティグループが存在しない」に違反していないか否かを判定する。

【0072】

〈実施形態のハードウェアによる構成〉
図１３は、実施形態１、２のポリシー検査システムＰＫＳのハードウェアによる構成を示す。

【0073】

実施形態１、２のポリシー検査システムＰＫＳは、上述した機能を果たすべく、図１３に示されるように、処理回路ＳＹＯを含み、必要に応じて、入力回路ＮＹＵと、出力回路ＳＹＵと、を更に含む。

【0074】

処理回路ＳＹＯは、専用のハードウェアである。処理回路ＳＹＯは、検査装置ＫＳ、パブリッククラウドＰＫ、端末ＴＭの処理部ＳＹ（ＫＳ）、処理部ＳＹ（ＰＫ）、処理部ＳＹ（ＴＭ）（図２～図４に図示。）の機能を実現する。

【0075】

処理回路ＳＹＯは、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ（Application Specific Integrated Circuit）、ＦＰＧＡ（Field Programmable Gate Array）、またはこれらを組み合わせたものである。

【0076】

入力回路ＮＹＵ及び出力回路ＳＹＵは、例えば、検査装置ＫＳ、パブリッククラウドＰＫ、端末ＴＭの外部との間で、処理回路ＳＹＯの動作に関連する入力及び出力をやりとりする。

【0077】

〈実施形態のソフトウェアによる実現に基づくハードウェアの構成〉
図１４は、実施形態１、２のポリシー検査システムＰＫＳのソフトウェアによる実現に基づくハードウェアの構成を示す。

【0078】

実施形態１、２のポリシー検査システムＰＫＳは、図１４に示されるように、プロセッサＰＲＯと、記憶回路ＫＩＯと、を含み、必要に応じて、入力回路ＮＹＵと、出力回路ＳＹＵと、を更に含む。

【0079】

プロセッサＰＲＯは、プログラムを実行するＣＰＵ（Central Processing Unit、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、ＤＳＰ（Digital Signal Processing）ともいう。）である。プロセッサＰＲＯは、検査装置ＫＳ、パブリッククラウドＰＫ、端末ＴＭの処理部ＳＹ（ＫＳ）、処理部ＳＹ（ＰＫ）、処理部ＳＹ（ＴＭ）（図２～図４に図示。）の機能を実現する。

【0080】

プロセッサＰＲＯは、上記した機能の実現を、ソフトウェア、ファームウェア、またはソフトウェアとファームウェアとの組み合わせにより行う。ソフトウェア及びファームウェアは、プログラムとして記述され、記憶回路ＫＩＯに記憶されている。

【0081】

プロセッサＰＲＯは、記憶回路ＫＩＯから上記したプログラムを読み出して実行することにより、上記した機能を実現する。上記したプログラムは、検査装置ＫＳ、パブリッククラウドＰＫ、端末ＴＭの処理部ＳＹ（ＫＳ）、処理部ＳＹ（ＰＫ）、処理部ＳＹ（ＴＭ）の手順及び方法をコンピュータに実行させるものであるともいえる。

【0082】

ここで、記憶回路ＫＩＯは、例えば、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、フラッシュメモリ、ＥＰＲＯＭ（Erasable Programmable Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable Programmable Read-Only Memory）等の、不揮発性または揮発性の半導体メモリ、並びに、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ（Digital Versatile Disc）等である。

【0083】

検査装置ＫＳ、パブリッククラウドＰＫ、端末ＴＭの処理部ＳＹ（ＫＳ）、処理部ＳＹ（ＰＫ）、処理部ＳＹ（ＴＭ）の各機能のうち、一部の機能を処理回路ＳＹＯ（図１３に図示。）により実現し、他方で、他の一部の機能をプロセッサＰＲＯ（図１４に図示。）により実現してもよい。

【0084】

上述したように、検査装置ＫＳ、パブリッククラウドＰＫ、端末ＴＭの処理部ＳＹ（ＫＳ）、処理部ＳＹ（ＰＫ）、処理部ＳＹ（ＴＭ）の機能は、ハードウェア、ソフトウェア、ファームウェア、またはこれらの組み合わせにより実現可能である。

【0085】

入力回路ＮＹＵ及び出力回路ＳＹＵは、例えば、検査装置ＫＳ、パブリッククラウドＰＫ、端末ＴＭの外部との間でプロセッサＰＲＯの動作に関連する入力及び出力をやりとりする。

【0086】

〈構成の例示〉
本開示に係る検査装置、検査方法、及びプログラムは、例えば、以下の構成を有する。

【0087】

［項目１］
ユーザが利用するパブリッククラウドであって、複数のリソースを有するマネージドサービスを提供する前記パブリッククラウドから、前記マネージドサービスの状況として、前記パブリッククラウド内の前記複数のリソース、及び、該複数のリソースが有する複数のパラメータがリストされている環境情報を取得する取得部と、
前記取得された環境情報と、前記環境情報にリストされている前記複数のリソースが有する前記複数のパラメータが満たすべき条件である複数のポリシーの内容とを照合することにより、前記複数のリソースのうちの１つのリソースが、前記複数のポリシーのうちの１つのポリシーに違反しないか否かを判定する判定部と、
前記１つのリソースが前記１つのポリシーに違反すると判定されるとき、当該違反する旨を、当該違反する１つのポリシーの重要度に応じて、前記ユーザに通知する通知部と、
を含む検査装置。

【0088】

［項目２］
前記複数のポリシーの内容の各々は、更に、前記複数のポリシーの各々の重要度が定義されている、項目１に記載の検査装置。

【0089】

［項目３］
前記判定部による判定の結果を記憶する記憶部を更に含む項目１に記載の検査装置。

【0090】

［項目４］
前記１つのリソースが前記１つのポリシーに違反することが、前記ユーザにより解決された場合であって、前記解決された旨を前記ユーザが使用する端末から受信したとき、前記記憶部で、前記違反する旨を解決した旨に書き換える書換部と、
を更に含む項目３に記載の検査装置。

【0091】

［項目５］
前記１つのリソースが前記１つのポリシーに違反することが、前記ユーザにより解決されない場合であって、前記解決されない旨を前記ユーザが使用する端末から受信したとき、前記記憶部で、前記違反する旨を未解決である旨に書き換える書換部と、
を更に含む項目３に記載の検査装置。

【0092】

［項目６］
前記書換部は、前記未解決である理由を前記ユーザが使用する端末から受信したとき、前記記憶部で、前記未解決である旨を書き換えることに加えて、前記未解決である理由を付記する、
項目５に記載の検査装置。

【0093】

［項目７］
コンピュータが、
ユーザが利用するパブリッククラウドであって、複数のリソースを有するマネージドサービスを提供する前記パブリッククラウドから、前記マネージドサービスの状況として、前記パブリッククラウド内の前記複数のリソース、及び、該複数のリソースが有する複数のパラメータがリストされている環境情報を取得し、記憶部に記憶する取得工程と、
前記記憶部に記憶された環境情報と、前記環境情報にリストされている前記複数のリソースが有する前記複数のパラメータが満たすべき条件である複数のポリシーの内容とを照合することにより、前記複数のリソースのうちの１つのリソースが、前記複数のポリシーのうちの１つのポリシーに違反しないか否かを判定する判定工程と、
前記１つのリソースが前記１つのポリシーに違反すると判定されるとき、当該違反する旨を、当該違反する１つのポリシーの重要度に応じて、前記ユーザに通知する通知工程と、
を実行する検査方法。

【0094】

［項目８］
コンピュータに、
ユーザが利用するパブリッククラウドであって、複数のリソースを有するマネージドサービスを提供する前記パブリッククラウドから、前記マネージドサービスの状況として、前記パブリッククラウド内の前記複数のリソース、及び、該複数のリソースが有する複数のパラメータがリストされている環境情報を取得する取得工程と、
前記取得された環境情報と、前記環境情報にリストされている前記複数のリソースが有する前記複数のパラメータが満たすべき条件である複数のポリシーの内容とを照合することにより、前記複数のリソースのうちの１つのリソースが、前記複数のポリシーのうちの１つのポリシーに違反しないか否かを判定する判定工程と、
前記１つのリソースが前記１つのポリシーに違反すると判定されるとき、当該違反する旨を、当該違反する１つのポリシーの重要度に応じて、前記ユーザに通知する通知工程と、
実行させるためのプログラム。

【符号の説明】

【0095】

ＰＫＳ ポリシー検査システム、ＫＳ 検査装置、ＰＫ パブリッククラウド、ＭＳ マネージドサービス、ＲＥ リソース、ＴＭ 端末ＴＭ、ＵＳ ユーザ。

【要約】

【課題】パブリッククラウドのリソースについて、網羅的な判定結果を与える。
【解決手段】検査装置は、ユーザが利用するパブリッククラウドであって、複数のリソースを有するマネージドサービスを提供するパブリッククラウドから、マネージドサービスの状況として、パブリッククラウド内の複数のリソース、及び、該複数のリソースが有する複数のパラメータがリストされている環境情報を取得し、取得された環境情報と、環境情報にリストされている複数のリソースが有する複数のパラメータが満たすべき条件である複数のポリシーの内容とを照合することにより、複数のリソースのうちの１つのリソースが、複数のポリシーのうちの１つのポリシーに違反しないか否かを判定し、１つのリソースが１つのポリシーに違反すると判定されるとき、当該違反する旨を、当該違反する１つのポリシーの重要度に応じて、ユーザに通知する。
【選択図】図１

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】