特許 7607179 脅威分析方法、脅威分析システム及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-12-18

(45)【発行日】2024-12-26

(54)【発明の名称】脅威分析方法、脅威分析システム及びプログラム

(51)【国際特許分類】

   G06F 21/55 20130101AFI20241219BHJP

【ＦＩ】

G06F21/55

【請求項の数】 9

(21)【出願番号】P 2024524164

(86)(22)【出願日】2023-02-03

(86)【国際出願番号】 JP2023003579

(87)【国際公開番号】W WO2023233709

(87)【国際公開日】2023-12-07

【審査請求日】2024-08-23

(31)【優先権主張番号】P 2022087544

(32)【優先日】2022-05-30

(33)【優先権主張国・地域又は機関】JP

【早期審査対象出願】

(73)【特許権者】

【識別番号】322003857

【氏名又は名称】パナソニックオートモーティブシステムズ株式会社

(74)【代理人】

【識別番号】100109210

【弁理士】

【氏名又は名称】新居 広守

(74)【代理人】

【識別番号】100137235

【弁理士】

【氏名又は名称】寺谷 英作

(74)【代理人】

【識別番号】100131417

【弁理士】

【氏名又は名称】道坂 伸一

(72)【発明者】

【氏名】青島 初帆

(72)【発明者】

【氏名】根本 祐輔

(72)【発明者】

【氏名】和田 紘幸

(72)【発明者】

【氏名】永田 峰久

【審査官】平井 誠

(56)【参考文献】

【文献】特開２００３－１９６４７６（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／００－８８

(57)【特許請求の範囲】

【請求項1】

監視対象物に対して発生するサイバー攻撃の分析結果に基づいて当該サイバー攻撃の脅威に対する対応策を提示させる脅威分析システムにおいて実行される脅威分析方法であって、
前記監視対象物に対するサイバー攻撃の脅威を分析した脅威分析結果を取得し、
前記脅威分析結果に基づいて、前記脅威に対する複数の対応策を決定し、
前記複数の対応策の過去の採用実績を含む実績データベースに基づいて、決定された前記複数の対応策それぞれに対する推奨度合いを決定し、
決定された前記複数の対応策に対して当該対応策ごとの前記推奨度合いを関連付けて出力してユーザに提示させ、
前記脅威分析結果に基づいて、前記複数の対応策それぞれの暫定推奨度合いを決定し、
前記実績データベースに基づいて、前記暫定推奨度合いを補正することで前記推奨度合いを決定し、
前記実績データベースは、対応策の過去の採用実績と、監視対象物のＯＥＭ先を示すＯＥＭ情報と、当該監視対象物における攻撃対象の製品を示す製品情報とが対応付けられた情報を１以上含み、
前記脅威分析結果には、当該脅威分析結果に対応する前記監視対象物に対するＯＥＭ情報及び製品情報が含まれており、
当該脅威分析結果に対応する前記監視対象物に対する前記ＯＥＭ情報及び前記製品情報の少なくとも一方が一致する採用実績を前記実績データベースから抽出し、抽出された前記採用実績に基づいて前記推奨度合いを決定する
脅威分析方法。

【請求項2】

前記複数の対応策のうち一の対応策が過去に採用された実績がある場合、前記一の対応策が過去に不採用となった実績がある場合に比べて前記推奨度合いが高くなるように、前記一の対応策の前記暫定推奨度合いを補正する
請求項１に記載の脅威分析方法。

【請求項3】

前記一の対応策が過去に採用された実績がある場合、前記暫定推奨度合いに第１補正値を加算することで前記一の対応策の前記推奨度合いを決定し、前記一の対応策が過去に不採用となった実績がある場合、前記暫定推奨度合いから第２補正値を減算することで前記一の対応策の前記推奨度合いを決定する
請求項２に記載の脅威分析方法。

【請求項4】

前記一の対応策の採用回数が多いほど、高い数値となるように前記第１補正値を決定し、
前記一の対応策の不採用回数が多いほど、高い数値となるように前記第２補正値を決定する
請求項３に記載の脅威分析方法。

【請求項5】

前記実績データベースは、さらに採用実績に関する日時を示す日時情報を含み、
さらに、前記日時情報に基づいて前記推奨度合いを決定する
請求項１～４のいずれか１項に記載の脅威分析方法。

【請求項6】

提示された対応策がユーザにおいて実際に脅威に対して対処されるのに選択されたか否かに関する対応策の採用実績を取得し、
取得された前記採用実績に基づいて、前記実績データベースを更新する
請求項１～４のいずれか１項に記載の脅威分析方法。

【請求項7】

前記複数の対応策のうち前記推奨度合いが高い対応策を前記推奨度合いが低い対応策より強調して提示させる
請求項１～４のいずれか１項に記載の脅威分析方法。

【請求項8】

監視対象物に対して発生するサイバー攻撃の分析結果に基づいて当該サイバー攻撃の脅威に対する対応策を提示させる脅威分析システムであって、
前記監視対象物に対するサイバー攻撃の脅威を分析した脅威分析結果を取得する取得部と、
前記脅威分析結果に基づいて、前記脅威に対する複数の対応策を決定する第１決定部と、
前記複数の対応策の過去の採用実績を含む実績データベースに基づいて、決定された前記複数の対応策それぞれに対する推奨度合いを決定する第２決定部と、
決定された前記複数の対応策に対して当該対応策ごとの前記推奨度合いを関連付けて出力してユーザに提示させる出力部とを備え、
前記第１決定部は、前記脅威分析結果に基づいて、前記複数の対応策それぞれの暫定推奨度合いを決定し、
前記第２決定部は、前記実績データベースに基づいて、前記暫定推奨度合いを補正することで前記推奨度合いを決定し、
前記実績データベースは、対応策の過去の採用実績と、監視対象物のＯＥＭ先を示すＯＥＭ情報と、当該監視対象物における攻撃対象の製品を示す製品情報とが対応付けられた情報を１以上含み、
前記脅威分析結果には、当該脅威分析結果に対応する前記監視対象物に対するＯＥＭ情報及び製品情報が含まれており、
前記第２決定部は、当該脅威分析結果に対応する前記監視対象物に対する前記ＯＥＭ情報及び前記製品情報の少なくとも一方が一致する採用実績を前記実績データベースから抽出し、抽出された前記採用実績に基づいて前記推奨度合いを決定する
脅威分析システム。

【請求項9】

請求項１～４のいずれか１項に記載の脅威分析方法をコンピュータに実行させるためのプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、脅威分析方法、脅威分析システム及びプログラムに関する。

【背景技術】

【0002】

従来、車載システムなどの移動体システムに含まれるセキュリティ上の問題点を分析し、それぞれの問題点に対する対策（対応策）を施すことが、移動体の開発段階で行われている。特許文献１には、情報セキュリティリスクを網羅的に分析し、その対策を提示することができる装置が開示されている。

【先行技術文献】

【特許文献】

【0003】

【文献】特開２００９－１１０１７７号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

ところで、対応策を決定する分析者が、提示された複数の対応策の中から採用する対応策を決定することがある。このような場合、採用する対応策を決定するための適切な情報が提示されることが望まれる。しかしながら、特許文献１の技術では、採用する対応策を決定するための適切な情報が出力されない場合がある。

【0005】

そこで、本開示は、対応策を決定するための適切な情報を出力可能な脅威分析方法、脅威分析システム及びプログラムを提供する。

【課題を解決するための手段】

【0006】

本開示の一態様に係る脅威分析方法は、監視対象物に対して発生するサイバー攻撃の分析結果に基づいて当該サイバー攻撃の脅威に対する対応策を提示させる脅威分析システムにおいて実行される脅威分析方法であって、前記監視対象物に対するサイバー攻撃の脅威を分析した脅威分析結果を取得し、前記脅威分析結果に基づいて、前記脅威に対する複数の対応策を決定し、前記複数の対応策の過去の採用実績を含む実績データベースに基づいて、決定された前記複数の対応策それぞれに対する推奨度合いを決定し、決定された前記複数の対応策に対して当該対応策ごとの前記推奨度合いを関連付けて出力してユーザに提示させる。

【0007】

本開示の一態様に係る脅威分析システムは、監視対象物に対して発生するサイバー攻撃の分析結果に基づいて当該サイバー攻撃の脅威に対する対応策を提示させる脅威分析システムであって、前記監視対象物に対するサイバー攻撃の脅威を分析した脅威分析結果を取得する取得部と、前記脅威分析結果に基づいて、前記脅威に対する複数の対応策を決定する第１決定部と、前記複数の対応策の過去の採用実績を含む実績データベースに基づいて、決定された前記複数の対応策それぞれに対する推奨度合いを決定する第２決定部と、決定された前記複数の対応策に対して当該対応策ごとの前記推奨度合いを関連付けて出力してユーザに提示させる出力部とを備える。

【0008】

本開示の一態様に係るプログラムは、上記の脅威分析方法をコンピュータに実行させるためのプログラムである。

【発明の効果】

【0009】

本開示の一態様によれば、対応策を決定するための適切な情報を出力可能な脅威分析方法等を実現することができる。

【図面の簡単な説明】

【0010】

【図1】図１は、実施の形態に係る脅威分析システムの機能構成を示すブロック図である。

【図2】図２は、実施の形態に係る資産分類の一例を示す図である。

【図3】図３は、実施の形態に係る脅威分類の一例を示す図である。

【図4】図４は、実施の形態に係る管理策ＤＢの一例を示す図である。

【図5】図５は、実施の形態に係る実績ＤＢの一例を示す図である。

【図6】図６は、実施の形態に係る脅威分析システムの動作を示すフローチャートである。

【図7】図７は、実施の形態に係る各種データの流れを示す図である。

【図8】図８は、実施の形態に係る暫定管理策の一例を示す図である。

【図9】図９は、実施の形態に係る推奨度の更新を説明するための図である。

【発明を実施するための形態】

【0011】

（本開示に至った経緯）
近年、車両内の車載機器がＣＡＮ（Ｃｏｎｔｒｏｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）又はＥｔｈｅｒｎｅｔなどを通じて、車載ネットワークに接続されており、車載ネットワークを介した車載機器と車両外部の機器との通信が多様化している。車載機器は、例えば、車載ネットワークを介した通信により自己診断機能（ダイアグ）、デバッグ機能などを実現する。

【0012】

一方で、車両がサイバー攻撃の脅威に晒される可能性が生じるというデメリットも発生し、セキュリティ対策が欠かせなくなっている。自動車のＣＡＳＥ（Ｃｏｎｎｅｃｔｅｄ Ａｕｔｏｎｏｍｏｕｓ Ｓｈａｒｅｄ＆Ｓｅｒｖｉｃｅｓ Ｅｌｅｃｔｒｉｃ）化に伴い、自動車基準調和世界フォーラム（ＷＰ２９）において策定された自動車のサイバーセキュリティ対応の国連標準である「ＵＮＲ１５５」、又は、自動車のライフサイクル全般にわたるサイバーセキュリティ対策を定めた国際規格である「ＩＳＯ／ＳＡＥ ２１４３４」などにより、車両の開発プロセスの初期段階に、車両に対するサイバー攻撃の脅威分析によるセキュリティリスクの分析及び管理を行うことが必須となっている。

【0013】

そのため、開発プロセスにおいて車両の脆弱性分析を行い、脅威分析によって洗い出されたリスクを元にセキュリティリスクの分析及び管理を行い、適切な対応策を策定することが行われている。製品の高機能化とそれに伴う攻撃手段の増加とによって、脆弱性分析の作業量は増加している。限られた開発期間の中で分析、対応策の策定等を行う必要があるので、分析、対応策の策定等を人力で行うには限界がある。

【0014】

そこで、コンピュータ等を用いて情報処理により自動で対応策を出力させることが検討されている。人力で分析、対応策の策定等を行う場合、セキュリティリスクと対応策との関係に一貫性が保証されないことが危惧されるが、コンピュータ等を用いることで、そのような危惧も低減される。なお、車両の種類、ＯＥＭ先（ＯＥＭ先の要望又は嗜好）、製品等に応じて対応策が異なるので、コンピュータ等は、対応策を決定するための適切な情報を出力することが望まれる。

【0015】

そこで、本願発明者らは、対応策を決定するための適切な情報を出力可能な脅威分析方法等について鋭意検討を行い、以下に示す脅威分析方法等を創案した。

【0016】

本開示の一態様に係る脅威分析方法は、監視対象物に対して発生するサイバー攻撃の分析結果に基づいて当該サイバー攻撃の脅威に対する対応策を提示させる脅威分析システムにおいて実行される脅威分析方法であって、前記監視対象物に対するサイバー攻撃の脅威を分析した脅威分析結果を取得し、前記脅威分析結果に基づいて、前記脅威に対する複数の対応策を決定し、前記複数の対応策の過去の採用実績を含む実績データベースに基づいて、決定された前記複数の対応策それぞれに対する推奨度合いを決定し、決定された前記複数の対応策に対して当該対応策ごとの前記推奨度合いを関連付けて出力してユーザに提示させる。

【0017】

これにより、対応策に対応付けて出力される推奨度合いを、当該対応策の採用実績に応じた度合いとすることができる。つまり、過去の採用実績に応じた推奨度合いを出力することができる。よって、本開示の一態様に係る脅威分析方法によれば、対応策を決定するための適切な情報を出力可能である。

【0018】

また、例えば、前記脅威分析結果に基づいて、前記複数の対応策それぞれの暫定推奨度合いを決定し、前記実績データベースに基づいて、前記暫定推奨度合いを補正することで前記推奨度合いを決定してもよい。

【0019】

これにより、暫定推奨度合いを補正するだけで対応策の採用実績に応じた推奨度合いを決定することができる。

【0020】

また、例えば、前記複数の対応策のうち一の対応策が過去に採用された実績がある場合、前記一の対応策が過去に不採用となった実績がある場合に比べて前記推奨度合いが高くなるように、前記一の対応策の前記暫定推奨度合いを補正してもよい。

【0021】

これにより、過去に採用された実績がある対応策の推奨度合いが高い度合いとなるので、分析者による対応策の決定を容易にすることができる情報を出力することができる。

【0022】

また、例えば、前記一の対応策が過去に採用された実績がある場合、前記暫定推奨度合いに第１補正値を加算することで前記一の対応策の前記推奨度合いを決定し、前記一の対応策が過去に不採用となった実績がある場合、前記暫定推奨度合いから第２補正値を減算することで前記一の対応策の前記推奨度合いを決定してもよい。

【0023】

これにより、採用された実績、及び、不採用となった実績のそれぞれを反映した推奨度合いを出力することができる。例えば、採用された実績、及び、不採用となった実績の一方を用いて推奨度合いを決定する場合に比べて、採用する対応策を決定するためのより適切な情報を出力可能である。

【0024】

また、例えば、前記一の対応策の採用回数が多いほど、高い数値となるように前記第１補正値を決定し、前記一の対応策の不採用回数が多いほど、高い数値となるように前記第２補正値を決定してもよい。

【0025】

これにより、採用回数、不採用回数に応じて重み付けされた補正値を用いて、採用実績をより反映した推奨度合いを出力することができる。

【0026】

また、例えば、前記実績データベースは、対応策の過去の採用実績と、監視対象物のＯＥＭ先を示すＯＥＭ情報と、当該監視対象物における攻撃対象の製品を示す製品情報とが対応付けられた情報を１以上含み、前記脅威分析結果には、当該脅威分析結果に対応する前記監視対象物に対するＯＥＭ情報及び製品情報が含まれており、当該脅威分析結果に対応する前記監視対象物に対する前記ＯＥＭ情報及び前記製品情報の少なくとも一方が一致する採用実績を前記実績データベースから抽出し、抽出された前記採用実績に基づいて前記推奨度合いを決定してもよい。

【0027】

これにより、ＯＥＭ情報及び製品情報の少なくとも一方が一致する採用実績を用いるので、顧客及び製品の少なくとも一方により適した推奨度合いを出力することができる。

【0028】

また、例えば、前記実績データベースは、さらに採用実績に関する日時を示す日時情報を含み、さらに、前記日時情報に基づいて前記推奨度合いを決定してもよい。

【0029】

これにより、採用実績の日時に応じた推奨度合いを出力することができる。例えば、直近の顧客の要望などが反映された推奨度合いを出力することができる。

【0030】

また、例えば、提示された対応策がユーザにおいて実際に脅威に対して対処されるのに選択されたか否かに関する対応策の採用実績を取得し、取得された前記採用実績に基づいて、前記実績データベースを更新してもよい。

【0031】

これにより、次回以降の推奨度合いの決定に、今回の採用実績を反映することができる。例えば、顧客の要望が変更になった場合でも要望の変更を反映した推奨度合いを出力することができる。

【0032】

また、例えば、前記複数の対応策のうち前記推奨度合いが高い対応策を前記推奨度合いが低い対応策より強調して提示させてもよい。

【0033】

これにより、推奨度合いが高い対応策が強調して提示されるので、採用する対応策を決定するための適切な情報を提示可能である。このような情報が提示されることで、顧客の要望などに沿った対応策を分析者がより確実に採用することを支援でき、また分析者が対応策を割り当てる作業を効率化することができる。

【0034】

また、本開示の一態様に係る脅威分析システムは、監視対象物に対して発生するサイバー攻撃の分析結果に基づいて当該サイバー攻撃の脅威に対する対応策を提示させる脅威分析システムであって、前記監視対象物に対するサイバー攻撃の脅威を分析した脅威分析結果を取得する取得部と、前記脅威分析結果に基づいて、前記脅威に対する複数の対応策を決定する第１決定部と、前記複数の対応策の過去の採用実績を含む実績データベースに基づいて、決定された前記複数の対応策それぞれに対する推奨度合いを決定する第２決定部と、決定された前記複数の対応策に対して当該対応策ごとの前記推奨度合いを関連付けて出力してユーザに提示させる出力部とを備える。また、本開示の一態様に係るプログラムは、上記の脅威分析方法をコンピュータに実行させるためのプログラムである。

【0035】

これにより、上記の脅威分析方法と同様の効果を奏する。

【0036】

なお、これらの全般的又は具体的な態様は、システム、方法、集積回路、コンピュータプログラム又はコンピュータで読み取り可能なＣＤ－ＲＯＭ等の非一時的記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラム又は記録媒体の任意な組み合わせで実現されてもよい。プログラムは、記録媒体に予め記憶されていてもよいし、インターネット等を含む広域通信網を介して記録媒体に供給されてもよい。

【0037】

以下、実施の形態について、図面を参照しながら具体的に説明する。

【0038】

なお、以下で説明する実施の形態は、いずれも包括的又は具体的な例を示すものである。以下の実施の形態で示される数値、形状、構成要素、構成要素の配置位置及び接続形態、ステップ、ステップの順序などは、一例であり、本開示を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、独立請求項に記載されていない構成要素については、任意の構成要素として説明される。

【0039】

また、各図は、模式図であり、必ずしも厳密に図示されたものではない。したがって、例えば、各図において縮尺などは必ずしも一致しない。また、各図において、実質的に同一の構成については同一の符号を付しており、重複する説明は省略又は簡略化する。

【0040】

また、本明細書において、一致などの要素間の関係性を示す用語、並びに、数値、及び、数値範囲は、厳格な意味のみを表す表現ではなく、実質的に同等な範囲、例えば数％程度（あるいは、１０％程度）の差異をも含むことを意味する表現である。

【0041】

（実施の形態）
以下、本実施の形態に係る脅威分析方法等について、図１～図９を参照しながら説明する。

【0042】

［１．脅威分析システムの構成］
まず、本実施の形態に係る脅威分析システムの構成について、図１～図５を参照しながら説明する。図１は、本実施の形態に係る脅威分析システム１００の機能構成を示すブロック図である。なお、以下では、対応策のことを管理策とも記載する。

【0043】

図１に示すように、脅威分析システム１００は、管理策決定部１０と、第１記憶部２０と、出力処理部３０と、実績更新部４０と、第２記憶部５０とを備える。脅威分析システム１００は、車両等の移動体の開発段階において、当該移動体のセキュリティリスクに対する管理策を出力するための情報処理システムである。例えば、脅威分析システム１００は、監視対象物に対して発生するサイバー攻撃の分析結果に基づいて当該サイバー攻撃の脅威に対する対応策を分析者（ユーザ）等に提示させるための情報処理システムである。監視対象物は、移動体そのものであってもよいし、移動体に搭載された製品（例えば、車載機器）であってもよい。

【0044】

管理策決定部１０は、移動体のサイバー攻撃に対する脅威の分析結果（脅威分析結果）を取得し、取得した脅威分析結果と、第１記憶部２０に記憶されている管理策ＤＢ（データベース）とに基づいて、当該脅威に対する管理策を決定する。管理策決定部１０が決定した管理策を暫定管理策とも記載する。暫定管理策には、管理策及び当該管理策の推奨度が含まれる。また、本実施の形態では、暫定管理策には、複数の管理策及び当該複数の管理策それぞれの推奨度が含まれる。なお、脅威とは、移動体内のネットワーク（例えば、車載ネットワーク）において想定されるサイバー攻撃による脅威を意味する。

【0045】

管理策決定部１０は、脅威分析結果として、資産（情報資産）の資産分類、及び、脅威分類を示す情報を取得する。

【0046】

図２は、本実施の形態に係る資産分類の一例を示す図である。

【0047】

図２に示すように、資産分類は、資産名及び保存データの取扱いを含む。資産分類は、資産に付随する情報から取得可能である。

【0048】

資産名は、移動体内のネットワークで入出力される、又は、記憶されている情報（資産）を識別するものであり、駐車位置、認証情報、目的地情報、走行軌跡、地図データ、制御データ、センサ情報等が例示される。駐車位置は、駐車位置に関する情報を示しており、認証情報は、ユーザ等の認証に関する情報を示している。

【0049】

保存データの取扱いは、保存されている資産名に関する情報の取扱い内容を示しており、暗号化方法、正当性検証方法、アクセス制御及び消去方法を含む。データは、移動体内の記憶部に記憶されている。保存データの取扱いを示す情報は、資産の属性情報の一例である。

【0050】

暗号化方法は、資産名に関する情報を暗号化した暗号化方法を示す。資産名に関する情報は、例えば、暗号化されて保存されている。

【0051】

正当性検証方法は、資産名に関する情報が正当であるか否かを検証する方法を示す。

【0052】

アクセス制御は、保存されている資産名に関する情報を不正なアクセスから守る制御方法を示している。強制アクセス制御として、ＭＡＣ（Ｍａｎｄａｔｏｒｙ ａｃｃｅｓｓ ｃｏｎｔｒｏｌ）、ＳＥＬｉｎｕｘ（Ｌｉｎｕｘは登録商標）（Ｓｅｃｕｒｉｔｙ－Ｅｎｈａｎｃｅｄ Ｌｉｎｕｘ（登録商標））等が例示される。

【0053】

消去方法は、保存されている資産名に関する情報の削除方法を示す。

【0054】

図２の例では、資産名「駐車位置」の保存データの取扱いは、暗号化方法が「暗号化ファイルシステム」であり、正当性検証方法が「なし」であり、アクセス制御が「強制アクセス制御」であり、消去方法が「ユーザがボタンで消去可能」である。また、資産名「認証情報」の保存データの取扱いは、暗号化方法が「暗号化ファイルシステム」であり、正当性検証方法が「ハッシュ値／ＭＡＣ（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）」であり、アクセス制御が「強制アクセス制御」であり、消去方法が「ユーザがデータを上書き可能」である。

【0055】

図３は、本実施の形態に係る脅威分類の一例を示す図である。図３は、脅威のリストを示す。脅威は、属性情報の一例である。

【0056】

図３に示すように、脅威分類は、資産に対するサイバー攻撃の種類を示しており、なりすまし、改ざん、否認、情報漏えい、サービス拒否及び特権の昇格が例示される。例えば、資産名「駐車位置」に対して、なりすまし、改ざん、否認、情報漏えい、サービス拒否及び特権の昇格の少なくとも１つの脅威が対応付けられる。脅威分類は、データフローから分析された攻撃経路、脅威事例などによって導出可能である。

【0057】

図１を再び参照して、第１記憶部２０は、既知の脅威及びその対応策に関する情報を記憶する。第１記憶部２０は、管理策決定部１０が脅威分析結果から管理策の暫定策（暫定管理策）を決定するための管理策ＤＢを記憶する。第１記憶部２０は、半導体メモリ等により構成されるが、これに限定されない。

【0058】

脅威分析結果は、図２に示す資産分類と図３に示す脅威分類とが対応付けられたリストである。

【0059】

図４は、実施の形態に係る管理策ＤＢの一例を示す図である。

【0060】

図４に示すように、管理策ＤＢは、資産分類及び脅威分類と、管理策及び推奨度とが対応付けられた情報（テーブル）である。

【0061】

管理策は、資産分類及び脅威分類に対する対策を示す。

【0062】

推奨度は、資産分類及び脅威分類に対して当該管理策を採用する場合の推奨度を示す。

【0063】

なお、推奨度は、数値が高いほど推奨される度合いが高いことを示しているが、数値が低いほど推奨される度合いが高いように設定されていてもよい。推奨度は、推奨度合いの一例である。また、推奨度合いは、数値ではなく、「高」、「中」、「低」などの段階で設定されていてもよい。

【0064】

出力処理部３０は、管理策決定部１０からの暫定管理策に対して、第２記憶部５０に記憶された実績ＤＢ（後述する図５を参照）に含まれる採用実績に応じた処理を行い、処理後の暫定管理策を推奨管理策として出力する。出力処理部３０は、当該処理として、管理策の採用実績に応じて暫定管理策に含まれる管理策に対する推奨度を決定する。本実施の形態では、出力処理部３０は、当該処理として、採用実績に応じて暫定管理策に含まれる管理策に対する推奨度を更新する。実績ＤＢは、管理策ごとに採用されたか否かを示す情報を含む。実績ＤＢは、さらに、管理策ごとのメタデータを含んでいてもよい。

【0065】

出力処理部３０は、例えば、脅威分析システム１００と接続された表示装置（図示しない）に推奨管理策を出力することで、当該表示装置に推奨管理策を表示させてもよいし、無線通信又は有線通信により他の装置に推奨管理策を送信してもよい。これにより、出力処理部３０は、表示装置に推奨管理策を表示させることができる。なお、表示することは、提示することの一例である。提示することは、例えば、出音することなどであってもよい。

【0066】

出力処理部３０が複数の管理策及び当該管理策に対する推奨度を出力すると、例えば、分析者によりいずれかの管理策が採用される。ここで採用される管理策は、移動体の種類、ＯＥＭ先（顧客）の要望等に沿った管理策である。なお、推奨度は、分析者が管理策を選択するための参考として用いられる。

【0067】

実績更新部４０は、推奨管理策のうちいずれの管理策が採用されたかを示す採用実績情報を、受付部（図示しない）などを介して、分析者から取得する。採用実績情報には、例えば、推奨管理策のうち採用された管理策、及び、採用されなかった管理策の双方を示す情報が含まれる。なお、受付部は、ボタン、キーボードなどの操作部であってもよいし、マイクなどの収音部であってもよいし、通信回路であってもよい。採用実績情報は、さらに、管理策ごとのメタデータを含んでいてもよい。

【0068】

そして、実績更新部４０は、採用実績情報に基づいて実績ＤＢを更新する。具体的には、実績更新部４０は、取得した採用実績情報を、実績ＤＢに追加する。

【0069】

第２記憶部５０は、出力処理部３０が暫定管理策から推奨管理策を生成するための実績ＤＢを記憶する。実績ＤＢは、採用された管理策のデータ（採用実績）を蓄積したデータベースである。第２記憶部５０は、半導体メモリ等により構成されるが、これに限定されない。

【0070】

図５は、本実施の形態に係る実績ＤＢの一例を示す図である。

【0071】

図５に示すように、実績ＤＢは、データ名、管理策、採用実績及びメタデータが対応付けられた情報（テーブル）である。

【0072】

データ名は、管理策、採用実績及びメタデータの組を識別するための識別情報を示す。

【0073】

管理策は、管理策の種類を示す。図５では、管理策として、管理策（Ｘ）と管理策（Ｙ）の２つが含まれる例を示している。

【0074】

採用実績は、脅威分析システム１００が過去に推奨管理策として出力した管理策が採用されたか否かの結果を示す。

【0075】

メタデータは、管理策と採用実績との関係に影響を与える情報であり、例えば、顧客、製品（車載機器）等に関する情報を含む。例えば、管理策は共通でメタデータの内容が異なる場合、採用実績も異なる場合がある。図５では、ＯＥＭ情報、管理策で保護する対象の製品を示す製品特性、及び、採用実績に関する日時（例えば、管理策の採用／不採用の情報が取得された日時）がメタデータに含まれる例を示す。なお、メタデータは、少なくともＯＥＭ情報及び製品特性の一方を含んでいればよい。製品特性は、製品情報の一例であり、日時は日時情報の一例である。

【0076】

なお、ＯＥＭ情報（Ｔ）は、ＯＥＭ先がＴ社であることを示し、ＯＥＭ情報（Ｓ）は、ＯＥＭ先がＳ社であることを示す。また、製品特性（ＮＡＶＩ）は、ナビゲーション装置を示し、製品特性（ＲＡＤＩＯ）は、ラジオを示す。

【0077】

［２．脅威分析システムの動作］
上記のように構成される脅威分析システム１００の動作について、図６～図９を参照しながら説明する。図６は、本実施の形態に係る脅威分析システム１００の動作（脅威分析方法）を示すフローチャートである。図７は、本実施の形態に係る各種データの流れを示す図である。

【0078】

図６に示すように、管理策決定部１０は、外部のサーバ装置又は分析者からの入力により、脅威分析結果を取得する（Ｓ１１）。図７に示すように、管理策決定部１０は、脅威分析結果として、資産、資産分類、脅威分類及びメタデータを取得する。管理策決定部１０は、取得部として機能する。

【0079】

図６を再び参照して、次に、管理策決定部１０は、脅威分析結果と管理策ＤＢとに基づいて、脅威に対する１以上の管理策を含む暫定管理策を決定する（Ｓ１２）。管理策決定部１０は、管理策ＤＢの中から、資産分類及び脅威分類が一致する管理策及び推奨度を抽出し、抽出した管理策及び推奨度を暫定管理策として出力処理部３０に出力する。抽出される管理策及び推奨度は、１つであってもよいし、複数であってもよい。ステップＳ１２において抽出される推奨度、つまり暫定管理策に含まれる推奨度は、暫定推奨度合いの一例である。以下では、暫定管理策に含まれる推奨度を識別のため暫定推奨度とも記載する場合がある。また、管理策決定部１０は、第１決定部として機能する。なお、暫定管理策の決定にメタデータは用いられない。

【0080】

図８は、本実施の形態に係る暫定管理策の一例を示す図である。図８は、資産分類（Ｉ）及び脅威分類（Ｓ）のときの暫定管理策を示す。

【0081】

図８に示すように、暫定管理策は、資産分類（Ｉ）及び脅威分類（Ｓ）の場合の管理策及び推奨度として、管理策（Ｘ）及び推奨度（１．０）と、管理策（Ｙ）及び推奨度（１．４）とを含む。資産分類（Ｉ）及び脅威分類（Ｓ）の場合の推奨度は、管理策（Ｘ）より管理策（Ｙ）の方が高い。

【0082】

なお、暫定管理策に、対策の技術的要求、ソフト的要求及びハード的要求を示す情報が含まれてもよい。また、暫定管理策に推奨度は含まれていなくてもよい。例えば、ステップＳ１２では、脅威分析結果に基づいて、少なくとも対応策が決定されればよい。

【0083】

図６を再び参照して、次に、出力処理部３０は、暫定管理策に含まれる管理策に対する過去の実績（採用実績）があるか否かを判定する（Ｓ１３）。出力処理部３０は、暫定管理策に含まれる管理策と一致する採用実績が実績ＤＢにあるか否かによりステップＳ１３の判定を行う。

【0084】

図８の場合、出力処理部３０は、管理策（Ｘ）及び（Ｙ）と一致する管理策の採用実績が実績ＤＢにあるか否かを判定する。出力処理部３０は、例えば、管理策（Ｘ）及び当該管理策（Ｘ）に対応するメタデータが一致する採用実績があるか否か、並びに、管理策（Ｙ）及び当該管理策（Ｙ）に対応するメタデータが一致する採用実績があるか否かを判定してもよい。つまり、ステップＳ１３の判定に、メタデータが用いられてもよい。なお、メタデータが一致するとは、ＯＥＭ情報及び製品特性の少なくとも一方が一致することを含む。

【0085】

図６を再び参照して、次に、出力処理部３０は、実績があると判定した場合（Ｓ１３でＹｅｓ）、実績ＤＢに基づいて、暫定管理策の推奨度（管理策に対する推奨度）を更新する（Ｓ１４）。出力処理部３０は、実績ＤＢに基づいて、暫定推奨度を補正することで推奨度（推奨管理策に含まれる推奨度）を決定する。出力処理部３０は、例えば、管理策が採用された実績がある場合、管理策が不採用である実績がある場合に比べて推奨度が高くなるように、推奨度を補正する。例えば、出力処理部３０は、採用された実績がある、又は、採用された回数が多い管理策の推奨度を高くするように更新し、採用された実績がない、又は、採用された回数が少ない推奨度を低くするように更新する。推奨度を更新することは、推奨度を決定することの一例である。出力処理部３０は、第２決定部として機能する。

【0086】

ここで、暫定管理策が図８に示す暫定管理策であり、実績ＤＢが図５に示す実績ＤＢである場合の推奨度の更新について、図９を参照しながら説明する。図９は、本実施の形態に係る推奨度の更新を説明するための図である。採用実績「採用」が１回あるごとに、推奨度を０．２加算し、採用実績「不採用」が１回あるごとに、推奨度を０．２減算する例を示す。

【0087】

図９に示す更新前は、図８に示す暫定管理策の管理策及び推奨度を示す。

【0088】

出力処理部３０は、暫定推奨度を更新する場合、当該暫定推奨度に対応する管理策及びメタデータと一致する採用実績を実績ＤＢから抽出し、抽出した採用実績の「採用」及び「不採用」の数に応じて、推奨度を更新する。

【0089】

例えば、管理策（Ｘ）の場合、メタデータのＯＥＭ情報はＯＥＭ情報（Ｔ）であり、製品特性は製品特性（ＮＡＶＩ）である。出力処理部３０は、管理策（Ｘ）、ＯＥＭ情報（Ｔ）及び製品特性（ＮＡＶＩ）である採用実績を実績ＤＢから抽出する。図５の場合、出力処理部３０は、Ｎｏ．１及びＮｏ．２の採用実績を抽出する。Ｎｏ．１及びＮｏ．２の採用実績は両方とも「採用」であるので、出力処理部３０は、暫定管理策の管理策（Ｘ）の推奨度に０．４（０．２＋０．２）を加算する。つまり、出力処理部３０は、管理策（Ｘ）の推奨度を「１」から「１．４」に更新する。

【0090】

加算される０．４は、第１補正値の一例である。このように、出力処理部３０は、管理策の採用回数が多いほど、高い数値となるように第１補正値を決定してもよい。また、出力処理部３０は、当該管理策が採用された実績がある場合又は不採用回数が所定回数より多い場合、暫定推奨度に第１補正値を加算することで推奨度を決定してもよい。

【0091】

なお、実績ＤＢに含まれるＮｏ．３は、管理策（Ｘ）とＯＥＭ情報が異なり、実績ＤＢに含まれるＮｏ．４は、管理策（Ｘ）と製品特性が異なるので、実績ＤＢのＮｏ．３及びＮｏ．４の採用実績は、管理策（Ｘ）の推奨度の更新には用いられない。

【0092】

また、例えば、暫定管理策に含まれる管理策（Ｙ）の場合、メタデータのＯＥＭ情報はＯＥＭ情報（Ｔ）であり、製品特性は製品特性（ＮＡＶＩ）である。出力処理部３０は、管理策（Ｙ）、ＯＥＭ情報（Ｔ）及び製品特性（ＮＡＶＩ）である採用実績を実績ＤＢから抽出する。図５の場合、出力処理部３０は、Ｎｏ．５の採用実績を抽出する。Ｎｏ．５の採用実績は「不採用」であるので、出力処理部３０は、暫定管理策の管理策（Ｙ）の推奨度に０．２を減算する。つまり、出力処理部３０は、管理策（Ｙ）の推奨度を「１．４」から「１．２」に更新する。

【0093】

減算される０．２は、第２補正値の一例である。このように、出力処理部３０は、管理策の不採用回数が多いほど、高い数値となるように第２補正値を決定してもよい。また、出力処理部３０は、当該管理策が不採用である実績がある場合又は不採用回数が所定回数より多い場合、暫定推奨度に第２補正値を減算することで推奨度を決定してもよい。

【0094】

これにより、出力処理部３０は、脅威分析結果に基づいて決定された推奨度を過去の採用実績を考慮した推奨度に更新することができる。出力処理部３０は、類似した製品又は同顧客の製品に対し、採用された実績のある管理策の推奨度をより高くすることができる。

【0095】

また、実績ＤＢは、メタデータとしてさらに日時を示す日時情報を含み、出力処理部３０は、さらに、日時情報に基づいて推奨度を決定してもよい。出力処理部３０は、例えば、日時が近いほど第１補正値が高い数値となるように当該第１補正値を決定してもよい。出力処理部３０は、日時に応じて第１補正値を重み付け加算してもよい。

【0096】

図６を再び参照して、また、出力処理部３０は、実績がないと判定した場合（Ｓ１３でＮｏ）、暫定推奨度の更新に利用する情報がないので、暫定管理策を推奨管理策とする（Ｓ１５）。ここでの推奨管理策は、暫定推奨度を推奨度として含む。

【0097】

次に、出力処理部３０は、推奨管理策を出力する（Ｓ１６）。これにより、出力処理部３０は、例えば、決定された１以上の対応策に対して当該対応策ごとの推奨度合いを関連付けて出力してユーザに提示させることができる。出力処理部３０は、出力部として機能する。

【0098】

推奨管理策が出力されると、例えば、分析者が使用する表示装置に、採用する管理策を決定するための画像が表示される。例えば、管理策及び推奨度が表示装置に表示されてもよい。また、推奨管理策に複数の管理策及び推奨度が含まれる場合、複数の管理策のうち推奨度が高い管理策を推奨度が低い管理策より強調して表示装置に表示されてもよい。言い換えると、出力処理部３０は、推奨度が高い管理策を推奨度が低い管理策より強調して表示するための情報を含む推奨管理策を出力してもよい。

【0099】

なお、強調して表示するとは、例えば、推奨度が高い管理策を画面の上方に表示することであってもよいし、推奨度が高い管理策の表示態様を他と異ならせることであってもよい。例えば、推奨度が高い管理策の文字を大きく表示してもよいし、推奨度が高い管理策の文字の色を他と異ならせて表示してもよいし、推奨度が高い管理策の文字を点滅表示させてもよい。

【0100】

脅威に割り当てられた管理策のうち、ＯＥＭ先、開発製品によって採用される管理策の優先順位が異なることがある。そのため、状況に応じた管理策の優先順位の提示が求められる。そのため、脅威分析システム１００として、状況に応じた管理策の優先順位を含む情報を表示装置に表示させることが求められる。本実施の形態に係る脅威分析システム１００は、出力処理部３０により採用実績、メタデータ等を用いて推奨度が更新されるので、採用実績、メタデータ等に応じた管理策の優先順位を含む情報を表示装置に表示させることができる。

【0101】

そして、分析者により採用する管理策が決定される。分析者は、顧客の要望、製品等が考慮された推奨度を参考に管理策を決定することとなるので、分析者ごとに分析結果の解釈が相違することが抑制され、管理策の割り当て作業も効率化することができる。

【0102】

分析者は、採用する管理策を決定すると、採用したか否かを示す採用実績を含む採用実績情報を入力部等を介して入力する。言い換えると、実績更新部４０は、ステップＳ１６で出力された推奨管理策に対する採用実績を含む採用実績情報を分析者から取得する（Ｓ１７）。図７に示すように、採用実績情報には、資産、資産分類、脅威分類、管理策、推奨度、及び、メタデータに加えて採用実績が含まれる。採用実績は、ステップＳ１６で出力された（例えば、表示された）推奨管理策が分析者において実際に脅威に対して対処されるために選択されたか否かに関する情報である。採用実績情報は、推奨管理策に採用実績が追加された情報であってもよい。実績更新部４０は、採用実績情報を取得する取得部として機能する。このように、脅威分析システム１００は、推奨管理策に対する採用実績情報がフィードバックされるように構成される。

【0103】

図６を再び参照して、次に、実績更新部４０は、採用実績情報に基づいて、実績ＤＢを更新する（Ｓ１８）。実績更新部４０は、例えば、採用実績情報に含まれる管理策、採用実績及びメタデータを対応付けて、実績ＤＢに追加することで、実績ＤＢを更新する。

【0104】

これにより、実績ＤＢを実際の採用実績を用いて更新することができるので、次回の推奨管理策の推奨度の決定に、今回の採用実績の結果を反映することができる。

【0105】

（その他の実施の形態）
以上、一つ又は複数の態様に係る脅威分析方法等について、実施の形態に基づいて説明したが、本開示は、この実施の形態に限定されるものではない。本開示の趣旨を逸脱しない限り、当業者が思いつく各種変形を本実施の形態に施したものや、異なる実施の形態における構成要素を組み合わせて構築される形態も、本開示に含まれてもよい。

【0106】

例えば、上記実施の形態では、実績ＤＢの採用実績として、「採用」及び「不採用」の両方が含まれる例について説明したが、「採用」及び「不採用」の少なくとも一方が含まれていればよい。

【0107】

また、上記実施の形態において出力処理部は、管理策決定部が決定した推奨度（暫定推奨度）を更新する例について説明したが、これに限定されない。出力処理部は、実績ＤＢに基づいて、推奨度を新たに決定してもよい。出力処理部は、例えば、管理策に対応する採用実績において、「採用」の数が多いほど高くなるように当該管理策の推奨度を決定してもよい。

【0108】

また、上記実施の形態において、脅威分析結果には資産分類及び脅威分類が含まれる例について説明したが、これに限定されず、資産分類及び脅威分類の少なくとも一方に替えて又は資産分類及び脅威分類に加えて、他の条件が含まれていてもよい。そして、当該他の条件も利用して暫定管理策が決定されてもよい。

【0109】

また、上記実施の形態における採用実績情報には、さらに採用した管理策の採用頻度、採用回数、採用割合、製品の属性、顧客情報、世間一般の脅威及び対策事例の少なくとも１つが含まれていてもよい。そして、当該少なくとも１を用いて、推奨度が更新されてもよい。

【0110】

また、上記実施の形態では、移動体が車両である例について説明したが、移動体は外部の装置と無線通信可能な移動体であればよく、例えば、移動する（例えば、自律移動する）ロボット、ドローン等の飛行体、鉄道等であってもよい。

【0111】

また、上記実施の形態における出力処理部は、決定された管理策及び推奨度が複数ある場合、複数の管理策及び推奨度の中から１以上の管理策及び推奨度を選択し、選択した１以上の管理策及び推奨度のみを出力してもよい。出力処理部は、例えば、所定の推奨度以上の管理策及び当該管理策の推奨度のみを出力してもよい。

【0112】

また、上記実施の形態において、出力処理部は、実績ＤＢから暫定管理策に含まれる管理策と同じ管理策の採用実績を抽出し、抽出した採用実績に応じて当該管理策の推奨度を決定してもよい。つまり、採用実績の抽出に、メタデータが用いられなくてもよい。

【0113】

また、上記の図６では、実績ＤＢを更新する例に説明したが、実績ＤＢの更新は行われなくてもよい。

【0114】

また、上記実施の形態において、各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したソフトウェアプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵ又はプロセッサなどのプログラム実行部が、ハードディスク又は半導体メモリなどの記録媒体に記録されたソフトウェアプログラムを読み出して実行することによって実現されてもよい。

【0115】

また、フローチャートにおける各ステップが実行される順序は、本開示を具体的に説明するために例示するためのものであり、上記以外の順序であってもよい。また、上記ステップの一部が他のステップと同時（並列）に実行されてもよいし、上記ステップの一部は実行されなくてもよい。

【0116】

また、ブロック図における機能ブロックの分割は一例であり、複数の機能ブロックを一つの機能ブロックとして実現したり、一つの機能ブロックを複数に分割したり、一部の機能を他の機能ブロックに移してもよい。また、類似する機能を有する複数の機能ブロックの機能を単一のハードウェア又はソフトウェアが並列又は時分割に処理してもよい。

【0117】

また、上記実施の形態に係る脅威分析システムは、単一の装置として実現されてもよいし、複数の装置により実現されてもよい。脅威分析システムが複数の装置によって実現される場合、当該脅威分析システムが有する各構成要素は、複数の装置にどのように振り分けられてもよい。脅威分析システムが複数の装置で実現される場合、当該複数の装置間の通信方法は、特に限定されず、無線通信であってもよいし、有線通信であってもよい。また、装置間では、無線通信及び有線通信が組み合わされてもよい。

【0118】

また、上記実施の形態で説明した各構成要素は、ソフトウェアとして実現されても良いし、典型的には、集積回路であるＬＳＩとして実現されてもよい。これらは、個別に１チップ化されてもよいし、一部又は全てを含むように１チップ化されてもよい。ここでは、ＬＳＩとしたが、集積度の違いにより、ＩＣ、システムＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路（例えば、専用のプログラムを実行する汎用回路）又は汎用プロセッサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）又は、ＬＳＩ内部の回路セルの接続若しくは設定を再構成可能なリコンフィギュラブル・プロセッサを利用してもよい。更には、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて構成要素の集積化を行ってもよい。

【0119】

システムＬＳＩは、複数の処理部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）などを含んで構成されるコンピュータシステムである。ＲＯＭには、コンピュータプログラムが記憶されている。マイクロプロセッサが、コンピュータプログラムに従って動作することにより、システムＬＳＩは、その機能を達成する。

【0120】

また、本開示の一態様は、図６に示される脅威分析方法に含まれる特徴的な各ステップをコンピュータに実行させるコンピュータプログラムであってもよい。

【0121】

また、例えば、プログラムは、コンピュータに実行させるためのプログラムであってもよい。また、本開示の一態様は、そのようなプログラムが記録された、コンピュータ読み取り可能な非一時的な記録媒体であってもよい。例えば、そのようなプログラムを記録媒体に記録して頒布又は流通させてもよい。例えば、頒布されたプログラムを、他のプロセッサを有する装置にインストールして、そのプログラムをそのプロセッサに実行させることで、その装置に、上記各処理を行わせることが可能となる。

【0122】

以下に、上記実施の形態に基づいて説明した脅威分析方法、脅威分析システム及びプログラムの特徴を示す。

【0123】

＜１＞
監視対象物に対して発生するサイバー攻撃の分析結果に基づいて当該サイバー攻撃の脅威に対する対応策を提示させる脅威分析システムにおいて実行される脅威分析方法であって、
前記監視対象物に対するサイバー攻撃の脅威を分析した脅威分析結果を取得し、
前記脅威分析結果に基づいて、前記脅威に対する複数の対応策を決定し、
前記複数の対応策の過去の採用実績を含む実績データベースに基づいて、決定された前記複数の対応策それぞれに対する推奨度合いを決定し、
決定された前記複数の対応策に対して当該対応策ごとの前記推奨度合いを関連付けて出力してユーザに提示させる
脅威分析方法。

【0124】

＜２＞
前記脅威分析結果に基づいて、前記複数の対応策それぞれの暫定推奨度合いを決定し、 前記実績データベースに基づいて、前記暫定推奨度合いを補正することで前記推奨度合いを決定する
＜１＞に記載の脅威分析方法。

【0125】

＜３＞
前記複数の対応策のうち一の対応策が過去に採用された実績がある場合、前記一の対応策が過去に不採用となった実績がある場合に比べて前記推奨度合いが高くなるように、前記一の対応策の前記暫定推奨度合いを補正する
＜２＞に記載の脅威分析方法。

【0126】

＜４＞
前記一の対応策が過去に採用された実績がある場合、前記暫定推奨度合いに第１補正値を加算することで前記一の対応策の前記推奨度合いを決定し、前記一の対応策が過去に不採用となった実績がある場合、前記暫定推奨度合いから第２補正値を減算することで前記一の対応策の前記推奨度合いを決定する
＜３＞に記載の脅威分析方法。

【0127】

＜５＞
前記一の対応策の採用回数が多いほど、高い数値となるように前記第１補正値を決定し、
前記一の対応策の不採用回数が多いほど、高い数値となるように前記第２補正値を決定する
＜４＞に記載の脅威分析方法。

【0128】

＜６＞
前記実績データベースは、対応策の過去の採用実績と、監視対象物のＯＥＭ先を示すＯＥＭ情報と、当該監視対象物における攻撃対象の製品を示す製品情報とが対応付けられた情報を１以上含み、
前記脅威分析結果には、当該脅威分析結果に対応する前記監視対象物に対するＯＥＭ情報及び製品情報が含まれており、
当該脅威分析結果に対応する前記監視対象物に対する前記ＯＥＭ情報及び前記製品情報の少なくとも一方が一致する採用実績を前記実績データベースから抽出し、抽出された前記採用実績に基づいて前記推奨度合いを決定する
＜２＞～＜５＞のいずれかに記載の脅威分析方法。

【0129】

＜７＞
前記実績データベースは、さらに採用実績に関する日時を示す日時情報を含み、
さらに、前記日時情報に基づいて前記推奨度合いを決定する
＜６＞に記載の脅威分析方法。

【0130】

＜８＞
提示された対応策がユーザにおいて実際に脅威に対して対処されるのに選択されたか否かに関する対応策の採用実績を取得し、
取得された前記採用実績に基づいて、前記実績データベースを更新する
＜１＞～＜７＞のいずれかに記載の脅威分析方法。

【0131】

＜９＞
前記複数の対応策のうち前記推奨度合いが高い対応策を前記推奨度合いが低い対応策より強調して提示させる
＜１＞～＜８＞のいずれかに記載の脅威分析方法。

【0132】

＜１０＞
監視対象物に対して発生するサイバー攻撃の分析結果に基づいて当該サイバー攻撃の脅威に対する対応策を提示させる脅威分析システムであって、
前記監視対象物に対するサイバー攻撃の脅威を分析した脅威分析結果を取得する取得部と、
前記脅威分析結果に基づいて、前記脅威に対する複数の対応策を決定する第１決定部と、
前記複数の対応策の過去の採用実績を含む実績データベースに基づいて、決定された前記複数の対応策それぞれに対する推奨度合いを決定する第２決定部と、
決定された前記複数の対応策に対して当該対応策ごとの前記推奨度合いを関連付けて出力してユーザに提示させる出力部とを備える
脅威分析システム。

【0133】

＜１１＞
＜１＞～＜９＞のいずれかに記載の脅威分析方法をコンピュータに実行させるためのプログラム。

【産業上の利用可能性】

【0134】

本開示は、移動体へのサイバー攻撃に対する管理策を出力するための脅威分析方法等に有用である。

【符号の説明】

【0135】

１０ 管理策決定部（取得部、第１決定部）
２０ 第１記憶部
３０ 出力処理部（出力部、第２決定部）
４０ 実績更新部
５０ 第２記憶部
１００ 脅威分析システム

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】