特許 7642143 評価支援システム、評価支援方法、およびプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B1)

(11)【特許番号】

(24)【登録日】2025-02-27

(45)【発行日】2025-03-07

(54)【発明の名称】評価支援システム、評価支援方法、およびプログラム

(51)【国際特許分類】

   G06F 21/57 20130101AFI20250228BHJP

【ＦＩ】

G06F21/57

【請求項の数】 16

(21)【出願番号】P 2024157078

(22)【出願日】2024-09-11

【審査請求日】2024-09-20

(31)【優先権主張番号】P 2024039465

(32)【優先日】2024-03-13

(33)【優先権主張国・地域又は機関】JP

【早期審査対象出願】

(73)【特許権者】

【識別番号】322003857

【氏名又は名称】パナソニックオートモーティブシステムズ株式会社

(74)【代理人】

【識別番号】100109210

【弁理士】

【氏名又は名称】新居 広守

(74)【代理人】

【識別番号】100137235

【弁理士】

【氏名又は名称】寺谷 英作

(74)【代理人】

【識別番号】100131417

【弁理士】

【氏名又は名称】道坂 伸一

(72)【発明者】

【氏名】岡崎 大暉

(72)【発明者】

【氏名】安齋 潤

(72)【発明者】

【氏名】田邉 正人

【審査官】塩澤 如正

(56)【参考文献】

【文献】特開２０２４－０５８３７７（ＪＰ，Ａ）

【文献】特許第７４０３６８６（ＪＰ，Ｂ２）

【文献】国際公開第２０２０／１１５７８２（ＷＯ，Ａ１）

【文献】特開２０１９－１９２１０１（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／００－２１／８８

Ｈ０４Ｌ ９／００－ ９／４０

(57)【特許請求の範囲】

【請求項1】

評価対象機器の評価を支援する評価支援システムであって、
前記評価対象機器に対する１以上の評価仕様を示す第１評価仕様情報に、前記評価対象機器における情報セキュリティの脅威に対する分析結果を示す脅威分析情報の少なくとも一部を連結する第１連携処理を行う脅威連結部と、
前記第１評価仕様情報に、前記評価対象機器における情報セキュリティの脆弱性に対する分析結果を示す脆弱性分析情報の少なくとも一部を連結する第２連携処理を行う脆弱性連結部と、
前記第１連携処理および前記第２連携処理に基づいて、前記第１評価仕様情報に示されている１以上の評価仕様を再定義することによって、第２評価仕様情報を生成して出力する再定義部と、を備え、
前記再定義部は、
前記第１評価仕様情報に示されていない評価仕様である不足評価仕様に対応する前記脆弱性の識別情報が、前記脆弱性分析情報に存在する場合には、
前記不足評価仕様と、前記不足評価仕様に対応する前記脆弱性の識別情報とを、前記第１連携処理および前記第２連携処理が行われた後の前記第１評価仕様情報に追加することによって、前記第１評価仕様情報に示されている１以上の評価仕様を再定義する、
評価支援システム。

【請求項2】

前記第１評価仕様情報は、評価項目ごとに、当該評価項目に対応する評価仕様を示し、
前記脅威連結部は、
前記第１評価仕様情報の前記評価項目ごとに、前記脅威分析情報に含まれている、当該評価項目に対応する分析結果として前記脅威への対策を示す情報が、当該評価項目の前記評価仕様に関連付けられるように、前記情報を前記第１評価仕様情報に連結することによって、前記第１連携処理を行う、
請求項１に記載の評価支援システム。

【請求項3】

評価対象機器の評価を支援する評価支援システムであって、
前記評価対象機器に対する１以上の評価仕様を示す第１評価仕様情報に、前記評価対象機器における情報セキュリティの脅威に対する分析結果を示す脅威分析情報の少なくとも一部を連結する第１連携処理を行う脅威連結部と、
前記第１評価仕様情報に、前記評価対象機器における情報セキュリティの脆弱性に対する分析結果を示す脆弱性分析情報の少なくとも一部を連結する第２連携処理を行う脆弱性連結部と、
前記第１連携処理および前記第２連携処理に基づいて、前記第１評価仕様情報に示されている１以上の評価仕様を再定義することによって、第２評価仕様情報を生成して出力する再定義部と、を備え、
前記第１評価仕様情報は、評価項目ごとに、当該評価項目に対応する評価仕様を示し、
前記脆弱性連結部は、
前記第１評価仕様情報の前記評価項目ごとに、前記脆弱性分析情報に含まれている、当該評価項目に対応する分析結果である前記脆弱性の識別情報が、当該評価項目の前記評価仕様に関連付けられるように、前記識別情報を前記第１評価仕様情報に連結することによって、前記第２連携処理を行う、
評価支援システム。

【請求項4】

前記評価支援システムは、さらに、
前記第２評価仕様情報にしたがった評価によって得られる前記評価対象機器の評価結果が示されている前記第２評価仕様情報を、脅威分析部および脆弱性分析部に評価済仕様情報としてフィードバックするフィードバック部を備え、
前記脅威分析部は、前記評価対象機器に対する脅威分析を行うことによって前記脅威分析情報を生成し、
前記脆弱性分析部は、前記評価対象機器に対する脆弱性分析を行うことによって前記脆弱性分析情報を生成する、
請求項１に記載の評価支援システム。

【請求項5】

評価対象機器の評価を支援する評価支援システムであって、
前記評価対象機器に対する１以上の評価仕様を示す第１評価仕様情報に、前記評価対象機器における情報セキュリティの脅威に対する分析結果を示す脅威分析情報の少なくとも一部を連結する第１連携処理を行う脅威連結部と、
前記第１連携処理に基づいて、前記第１評価仕様情報に示されている１以上の評価仕様を再定義することによって、第２評価仕様情報を生成して出力する再定義部と、を備え、
前記再定義部は、
前記第１評価仕様情報に示されていない評価仕様である不足評価仕様に対応する前記脅威への対策を示す情報が、前記脅威分析情報に存在する場合には、
前記不足評価仕様と、前記不足評価仕様に対応する前記脅威への対策を示す情報とを、前記第１連携処理が行われた後の前記第１評価仕様情報に追加することによって、前記第１評価仕様情報に示されている１以上の評価仕様を再定義する、
評価支援システム。

【請求項6】

前記第１評価仕様情報は、評価項目ごとに、当該評価項目に対応する評価仕様を示し、
前記脅威連結部は、
前記第１評価仕様情報の前記評価項目ごとに、前記脅威分析情報に含まれている、当該評価項目に対応する分析結果として前記脅威への対策を示す情報が、当該評価項目の前記評価仕様に関連付けられるように、前記情報を前記第１評価仕様情報に連結することによって、前記第１連携処理を行う、
請求項５に記載の評価支援システム。

【請求項7】

前記評価支援システムは、さらに、
前記第２評価仕様情報にしたがった評価によって得られる前記評価対象機器の評価結果が示されている前記第２評価仕様情報を、脅威分析部に評価済仕様情報としてフィードバックするフィードバック部を備え、
前記脅威分析部は、前記評価対象機器に対する脅威分析を行うことによって前記脅威分析情報を生成する、
請求項５に記載の評価支援システム。

【請求項8】

評価対象機器の評価を支援する評価支援システムであって、
前記評価対象機器に対する１以上の評価仕様を示す第１評価仕様情報に、前記評価対象機器における情報セキュリティの脆弱性に対する分析結果を示す脆弱性分析情報の少なくとも一部を連結する第２連携処理を行う脆弱性連結部と、
前記第２連携処理に基づいて、前記第１評価仕様情報に示されている１以上の評価仕様を再定義することによって、第２評価仕様情報を生成して出力する再定義部と、を備え、
前記再定義部は、
前記第１評価仕様情報に示されていない評価仕様である不足評価仕様に対応する前記脆弱性の識別情報が、前記脆弱性分析情報に存在する場合には、
前記不足評価仕様と、前記不足評価仕様に対応する前記脆弱性の識別情報とを、前記第２連携処理が行われた後の前記第１評価仕様情報に追加することによって、前記第１評価仕様情報に示されている１以上の評価仕様を再定義する、
評価支援システム。

【請求項9】

評価対象機器の評価を支援する評価支援システムであって、
前記評価対象機器に対する１以上の評価仕様を示す第１評価仕様情報に、前記評価対象機器における情報セキュリティの脆弱性に対する分析結果を示す脆弱性分析情報の少なくとも一部を連結する第２連携処理を行う脆弱性連結部と、
前記第２連携処理に基づいて、前記第１評価仕様情報に示されている１以上の評価仕様を再定義することによって、第２評価仕様情報を生成して出力する再定義部と、を備え、
前記第１評価仕様情報は、評価項目ごとに、当該評価項目に対応する評価仕様を示し、
前記脆弱性連結部は、
前記第１評価仕様情報の前記評価項目ごとに、前記脆弱性分析情報に含まれている、当該評価項目に対応する分析結果である前記脆弱性の識別情報が、当該評価項目の前記評価仕様に関連付けられるように、前記識別情報を前記第１評価仕様情報に連結することによって、前記第２連携処理を行う、
評価支援システム。

【請求項10】

前記評価支援システムは、さらに、
前記第２評価仕様情報にしたがった評価によって得られる前記評価対象機器の評価結果が示されている前記第２評価仕様情報を、脆弱性分析部に評価済仕様情報としてフィードバックするフィードバック部を備え、
前記脆弱性分析部は、前記評価対象機器に対する脆弱性分析を行うことによって前記脆弱性分析情報を生成する、
請求項８に記載の評価支援システム。

【請求項11】

コンピュータが評価対象機器の評価を支援する評価支援方法であって、
前記評価対象機器に対する１以上の評価仕様を示す第１評価仕様情報に、前記評価対象機器における情報セキュリティの脅威に対する分析結果を示す脅威分析情報の少なくとも一部を連結する第１連携処理を行い、
前記第１評価仕様情報に、前記評価対象機器における情報セキュリティの脆弱性に対する分析結果を示す脆弱性分析情報の少なくとも一部を連結する第２連携処理を行い、
前記第１連携処理および前記第２連携処理に基づいて、前記第１評価仕様情報に示されている１以上の評価仕様を再定義することによって、第２評価仕様情報を生成して出力し、
前記１以上の評価仕様の再定義部では、
前記第１評価仕様情報に示されていない評価仕様である不足評価仕様に対応する前記脆弱性の識別情報が、前記脆弱性分析情報に存在する場合には、
前記不足評価仕様と、前記不足評価仕様に対応する前記脆弱性の識別情報とを、前記第１連携処理および前記第２連携処理が行われた後の前記第１評価仕様情報に追加することによって、前記第１評価仕様情報に示されている１以上の評価仕様を再定義する、
評価支援方法。

【請求項12】

コンピュータが評価対象機器の評価を支援する評価支援方法であって、
前記評価対象機器に対する１以上の評価仕様を示す第１評価仕様情報に、前記評価対象機器における情報セキュリティの脅威に対する分析結果を示す脅威分析情報の少なくとも一部を連結する第１連携処理を行い、
前記第１連携処理に基づいて、前記第１評価仕様情報に示されている１以上の評価仕様を再定義することによって、第２評価仕様情報を生成して出力し、
前記１以上の評価仕様の再定義では、
前記第１評価仕様情報に示されていない評価仕様である不足評価仕様に対応する前記脅威への対策を示す情報が、前記脅威分析情報に存在する場合には、
前記不足評価仕様と、前記不足評価仕様に対応する前記脅威への対策を示す情報とを、前記第１連携処理が行われた後の前記第１評価仕様情報に追加することによって、前記第１評価仕様情報に示されている１以上の評価仕様を再定義する、
評価支援方法。

【請求項13】

コンピュータが評価対象機器の評価を支援する評価支援方法であって、
前記評価対象機器に対する１以上の評価仕様を示す第１評価仕様情報に、前記評価対象機器における情報セキュリティの脆弱性に対する分析結果を示す脆弱性分析情報の少なくとも一部を連結する第２連携処理を行い、
前記第２連携処理に基づいて、前記第１評価仕様情報に示されている１以上の評価仕様を再定義することによって、第２評価仕様情報を生成して出力し、
前記１以上の評価仕様の再定義では、
前記第１評価仕様情報に示されていない評価仕様である不足評価仕様に対応する前記脆弱性の識別情報が、前記脆弱性分析情報に存在する場合には、
前記不足評価仕様と、前記不足評価仕様に対応する前記脆弱性の識別情報とを、前記第２連携処理が行われた後の前記第１評価仕様情報に追加することによって、前記第１評価仕様情報に示されている１以上の評価仕様を再定義する、
評価支援方法。

【請求項14】

評価対象機器の評価を支援するためのプログラムであって、
前記評価対象機器に対する１以上の評価仕様を示す第１評価仕様情報に、前記評価対象機器における情報セキュリティの脅威に対する分析結果を示す脅威分析情報の少なくとも一部を連結する第１連携処理を行い、
前記第１評価仕様情報に、前記評価対象機器における情報セキュリティの脆弱性に対する分析結果を示す脆弱性分析情報の少なくとも一部を連結する第２連携処理を行い、
前記第１連携処理および前記第２連携処理に基づいて、前記第１評価仕様情報に示されている１以上の評価仕様を再定義することによって、第２評価仕様情報を生成して出力し、
前記１以上の評価仕様の再定義では、
前記第１評価仕様情報に示されていない評価仕様である不足評価仕様に対応する前記脆弱性の識別情報が、前記脆弱性分析情報に存在する場合には、
前記不足評価仕様と、前記不足評価仕様に対応する前記脆弱性の識別情報とを、前記第１連携処理および前記第２連携処理が行われた後の前記第１評価仕様情報に追加することによって、前記第１評価仕様情報に示されている１以上の評価仕様を再定義する、
ことをコンピュータに実行させるプログラム。

【請求項15】

評価対象機器の評価を支援するためのプログラムであって、
前記評価対象機器に対する１以上の評価仕様を示す第１評価仕様情報に、前記評価対象機器における情報セキュリティの脅威に対する分析結果を示す脅威分析情報の少なくとも一部を連結する第１連携処理を行い、
前記第１連携処理に基づいて、前記第１評価仕様情報に示されている１以上の評価仕様を再定義することによって、第２評価仕様情報を生成して出力し、
前記１以上の評価仕様の再定義では、
前記第１評価仕様情報に示されていない評価仕様である不足評価仕様に対応する前記脅威への対策を示す情報が、前記脅威分析情報に存在する場合には、
前記不足評価仕様と、前記不足評価仕様に対応する前記脅威への対策を示す情報とを、前記第１連携処理が行われた後の前記第１評価仕様情報に追加することによって、前記第１評価仕様情報に示されている１以上の評価仕様を再定義する、
ことをコンピュータに実行させるプログラム。

【請求項16】

評価対象機器の評価を支援するためのプログラムであって、
前記評価対象機器に対する１以上の評価仕様を示す第１評価仕様情報に、前記評価対象機器における情報セキュリティの脆弱性に対する分析結果を示す脆弱性分析情報の少なくとも一部を連結する第２連携処理を行い、
前記第２連携処理に基づいて、前記第１評価仕様情報に示されている１以上の評価仕様を再定義することによって、第２評価仕様情報を生成して出力し、
前記１以上の評価仕様の再定義では、
前記第１評価仕様情報に示されていない評価仕様である不足評価仕様に対応する前記脆弱性の識別情報が、前記脆弱性分析情報に存在する場合には、
前記不足評価仕様と、前記不足評価仕様に対応する前記脆弱性の識別情報とを、前記第２連携処理が行われた後の前記第１評価仕様情報に追加することによって、前記第１評価仕様情報に示されている１以上の評価仕様を再定義する、
ことをコンピュータに実行させるプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、評価対象機器の評価を支援する評価支援システムなどに関する。

【背景技術】

【0002】

例えば、特許文献１には、評価支援システムとしてリスク評価対策立案システムが開示されている。このリスク評価対策立案システムは、評価対象であるシステムに対する攻撃に関する対策を立案し、セキュリティテストを立案する。なお、セキュリティテストの立案は、評価仕様の定義とも言える。

【先行技術文献】

【特許文献】

【0003】

【文献】国際公開第２０２０／２０２９３４号

【発明の概要】

【発明が解決しようとする課題】

【0004】

しかしながら、上記特許文献１のリスク評価対策立案システムでは、評価対象機器の評価を効果的に支援することができないという課題がある。

【0005】

そこで、本開示は、評価対象機器の評価を効果的に支援することができる評価支援システムなどを提供する。

【課題を解決するための手段】

【0006】

本開示の一態様に係る評価支援システムは、評価対象機器の評価を支援する評価支援システムであって、前記評価対象機器に対する１以上の評価仕様を示す第１評価仕様情報に、前記評価対象機器における情報セキュリティの脅威に対する分析結果を示す脅威分析情報の少なくとも一部を連結する第１連携処理を行う脅威連結部と、前記第１評価仕様情報に、前記評価対象機器における情報セキュリティの脆弱性に対する分析結果を示す脆弱性分析情報の少なくとも一部を連結する第２連携処理を行う脆弱性連結部と、前記第１連携処理および前記第２連携処理に基づいて、前記第１評価仕様情報に示されている１以上の評価仕様を再定義することによって、第２評価仕様情報を生成して出力する再定義部と、を備える。

【0007】

なお、その包括的または具体的な態様は、装置、方法、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ－ＲＯＭなどの記録媒体で実現されてもよく、装置、方法、集積回路、コンピュータプログラム、および記録媒体の任意な組み合わせで実現されてもよい。また、記録媒体は、非一時的な記録媒体であってもよい。

【発明の効果】

【0008】

本開示の評価支援システムは、評価対象機器の評価を効果的に支援することができる。

【0009】

なお、本開示の一態様における更なる利点および効果は、明細書および図面から明らかにされる。かかる利点および／または効果は、実施の形態並びに明細書および図面に記載された構成によって提供されるが、必ずしも全ての構成が必要とはされない。

【図面の簡単な説明】

【0010】

【図1】図１は、実施の形態１における開発システムの構成の一例を示す図である。

【図2】図２は、実施の形態１における脅威分析部による脅威分析の一部を例示的に説明するための図である。

【図3】図３は、実施の形態１における脅威分析部によって生成されて出力される脅威分析情報の概略的な一例を示す図である。

【図4】図４は、実施の形態１における脆弱性分析部によって生成されて出力される脆弱性分析情報の概略的な一例を示す図である。

【図5】図５は、実施の形態１における評価仕様定義部によって生成されて出力される第１評価仕様情報の概略的な一例を示す図である。

【図6】図６は、実施の形態１における評価支援システムの処理動作を説明するための図である。

【図7】図７は、実施の形態１における評価済仕様情報の一例を示す図である。

【図8】図８は、実施の形態１における脅威分析情報の具体的な一例を示す図である。

【図9】図９は、実施の形態１における脆弱性分析情報の具体的な一例を示す図である。

【図10】図１０は、実施の形態１における第２評価仕様情報の具体的な一例を示す図である。

【図11】図１１は、実施の形態１における評価済仕様情報の一部の具体的な一例を示す図である。

【図12】図１２は、実施の形態１における開発システムの処理動作の一例を示すシーケンス図である。

【図13】図１３は、実施の形態１における評価支援システムの処理動作の一例を示すフローチャートである。

【図14】図１４は、実施の形態２における開発システムの構成の一例を示す図である。

【図15】図１５は、実施の形態３における開発システムの構成の一例を示す図である。

【発明を実施するための形態】

【0011】

（本開示の基礎となった知見）
本発明者は、「背景技術」の欄において記載した特許文献１のリスク評価対策立案システムに関し、以下の問題が生じることを見いだした。

【0012】

特許文献１のリスク評価対策立案システムでは、製品開発におけるセキュリティへの対応として行われる、脅威分析、脆弱性分析、およびセキュリティテストが連携されていない。したがって、製品となる評価対象機器の評価が適切に行われない可能性があるという課題がある。例えば、必要な評価が行われない可能性がある。

【0013】

そこで、本開示の第１態様に係る評価支援システムは、評価対象機器の評価を支援する評価支援システムであって、前記評価対象機器に対する１以上の評価仕様を示す第１評価仕様情報に、前記評価対象機器における情報セキュリティの脅威に対する分析結果を示す脅威分析情報の少なくとも一部を連結する第１連携処理を行う脅威連結部と、前記第１評価仕様情報に、前記評価対象機器における情報セキュリティの脆弱性に対する分析結果を示す脆弱性分析情報の少なくとも一部を連結する第２連携処理を行う脆弱性連結部と、前記第１連携処理および前記第２連携処理に基づいて、前記第１評価仕様情報に示されている１以上の評価仕様を再定義することによって、第２評価仕様情報を生成して出力する再定義部と、を備える。

【0014】

これにより、第１連携処理、第２連携処理、および再定義によって、第２評価仕様情報に含まれる１以上の評価仕様は、脅威分析情報と脆弱性分析情報とに連携される。つまり、従来では、評価対象機器のセキュリティの評価と、脅威分析と、脆弱性分析とは、連携されていないが、第１態様では、それらが連携される。その結果、必要な評価の抜けを抑制して評価対象機器の評価を網羅的に行うことができる可能性を高めることができる。つまり、評価対象機器のセキュリティの評価が不完全になってしまう可能性を抑えることができる。そのため、評価対象機器の評価を効果的に支援することができる。

【0015】

また、第２態様に係る評価支援システムでは、前記第１評価仕様情報は、評価項目ごとに、当該評価項目に対応する評価仕様を示し、前記脅威連結部は、前記第１評価仕様情報の前記評価項目ごとに、前記脅威分析情報に含まれている、当該評価項目に対応する分析結果として前記脅威への対策を示す情報が、当該評価項目の前記評価仕様に関連付けられるように、前記情報を前記第１評価仕様情報に連結することによって、前記第１連携処理を行ってもよい。なお、第２態様は第１態様に従属していてもよい。

【0016】

これにより、第１連携処理によって、脅威への対策が評価仕様に関連付けられる。したがって、第１連携処理済みの第１評価仕様情報にしたがった評価では、その対策を参考にすることができ、評価対象機器の評価をより効果的に支援することができる。

【0017】

また、第３態様に係る評価支援システムでは、前記第１評価仕様情報は、評価項目ごとに、当該評価項目に対応する評価仕様を示し、前記脆弱性連結部は、前記第１評価仕様情報の前記評価項目ごとに、前記脆弱性分析情報に含まれている、当該評価項目に対応する分析結果である前記脆弱性の識別情報が、当該評価項目の前記評価仕様に関連付けられるように、前記識別情報を前記第１評価仕様情報に連結することによって、前記第２連携処理を行ってもよい。なお、第３態様は第１態様または第２態様に従属していてもよい。

【0018】

これにより、第２連携処理によって、脆弱性の識別情報が評価仕様に関連付けられる。したがって、第２連携処理済みの第２評価仕様情報にしたがった評価では、その脆弱性を参考にすることができ、評価対象機器の評価をより効果的に支援することができる。

【0019】

また、第４態様に係る評価支援システムでは、前記再定義部は、前記第１評価仕様情報に示されていない評価仕様である不足評価仕様に対応する前記脆弱性の識別情報が、前記脆弱性分析情報に存在する場合には、前記不足評価仕様と、前記不足評価仕様に対応する前記脆弱性の識別情報とを、前記第１連携処理および前記第２連携処理が行われた後の前記第１評価仕様情報に追加することによって、前記第１評価仕様情報に示されている１以上の評価仕様を再定義してもよい。なお、第４態様は第３態様に従属していてもよい。

【0020】

これにより、再定義によって、第１評価仕様情報が、不足評価仕様と脆弱性の識別情報とを含む第２評価仕様情報に更新される。これにより、必要な評価の抜けを抑制して評価対象機器の評価を網羅的に行うことができる。

【0021】

また、第５態様に係る評価支援システムは、さらに、前記第２評価仕様情報にしたがった評価によって得られる前記評価対象機器の評価結果が示されている前記第２評価仕様情報を、脅威分析部および脆弱性分析部に評価済仕様情報としてフィードバックするフィードバック部を備え、前記脅威分析部は、前記評価対象機器に対する脅威分析を行うことによって前記脅威分析情報を生成し、前記脆弱性分析部は、前記評価対象機器に対する脆弱性分析を行うことによって前記脆弱性分析情報を生成してもよい。なお、第５態様は、第１態様～第４態様のうちの何れか１つに従属していてもよい。

【0022】

これにより、評価済仕様情報が脅威分析部および脆弱性分析部にフィードバックされる。したがって、脅威分析部は、評価仕様に対して良い評価結果が評価済仕様情報に示されていれば、脅威に対する分析結果を保証することができる。例えば、分析結果が脅威への対策であれば、その対策の有効性を保証することができる。一方、脅威分析部は、評価仕様に対して悪い評価結果が評価済仕様情報に示されていれば、脅威分析を改善することができる。例えば、分析結果が脅威への対策であれば、その対策を改善することができる。その結果、対策の立案の精度を高めることができる。また、脆弱性分析部は、評価済仕様情報に示されている評価結果に基づいて、脆弱性分析の精度を高めることができる。つまり、第５態様では、脅威分析および脆弱性分析から評価への一方通行だけでなく、評価結果が脅威分析および脆弱性分析にフィードバックされるため、評価対象機器のリスク管理を効果的に行うことができる。

【0023】

本開示の第６態様に係る評価支援システムは、評価対象機器の評価を支援する評価支援システムであって、前記評価対象機器に対する１以上の評価仕様を示す第１評価仕様情報に、前記評価対象機器における情報セキュリティの脅威に対する分析結果を示す脅威分析情報の少なくとも一部を連結する第１連携処理を行う脅威連結部と、前記第１連携処理に基づいて、前記第１評価仕様情報に示されている１以上の評価仕様を再定義することによって、第２評価仕様情報を生成して出力する再定義部と、を備える。

【0024】

これにより、評価対象機器の脅威について、第１態様に係る評価支援システムと同様の作用効果を奏することができる。

【0025】

また、第７態様に係る評価支援システムでは、前記第１評価仕様情報は、評価項目ごとに、当該評価項目に対応する評価仕様を示し、前記脅威連結部は、前記第１評価仕様情報の前記評価項目ごとに、前記脅威分析情報に含まれている、当該評価項目に対応する分析結果として前記脅威への対策を示す情報が、当該評価項目の前記評価仕様に関連付けられるように、前記情報を前記第１評価仕様情報に連結することによって、前記第１連携処理を行ってもよい。なお、第７態様は第６態様に従属していてもよい。

【0026】

これにより、第２態様に係る評価支援システムと同様の作用効果を奏することができる。

【0027】

また、第８態様に係る評価支援システムでは、前記再定義部は、前記第１評価仕様情報に示されていない評価仕様である不足評価仕様に対応する前記脅威への対策を示す情報が、前記脅威分析情報に存在する場合には、前記不足評価仕様と、前記不足評価仕様に対応する前記脅威への対策を示す情報とを、前記第１連携処理が行われた後の前記第１評価仕様情報に追加することによって、前記第１評価仕様情報に示されている１以上の評価仕様を再定義してもよい。なお、第８態様は第６態様または第７態様に従属していてもよい。

【0028】

これにより、再定義によって、第１評価仕様情報が、不足評価仕様と脅威への対策を示す情報とを含む第２評価仕様情報に更新される。これにより、必要な評価の抜けを抑制して評価対象機器の評価を網羅的に行うことができる。

【0029】

また、第９態様に係る評価支援システムは、さらに、前記第２評価仕様情報にしたがった評価によって得られる前記評価対象機器の評価結果が示されている前記第２評価仕様情報を、脅威分析部に評価済仕様情報としてフィードバックするフィードバック部を備え、前記脅威分析部は、前記評価対象機器に対する脅威分析を行うことによって前記脅威分析情報を生成してもよい。なお、第９態様は第６態様～第８態様のうちの何れか１つに従属していてもよい。

【0030】

これにより、評価対象機器の脅威について、第５態様に係る評価支援システムと同様の作用効果を奏することができる。

【0031】

本開示の第１０態様に係る評価支援システムは、評価対象機器の評価を支援する評価支援システムであって、前記評価対象機器に対する１以上の評価仕様を示す第１評価仕様情報に、前記評価対象機器における情報セキュリティの脆弱性に対する分析結果を示す脆弱性分析情報の少なくとも一部を連結する第２連携処理を行う脆弱性連結部と、前記第２連携処理に基づいて、前記第１評価仕様情報に示されている１以上の評価仕様を再定義することによって、第２評価仕様情報を生成して出力する再定義部と、を備える。

【0032】

これにより、評価対象機器の脆弱性について、第１態様に係る評価支援システムと同様の作用効果を奏することができる。

【0033】

また、第１１態様に係る評価支援システムでは、前記第１評価仕様情報は、評価項目ごとに、当該評価項目に対応する評価仕様を示し、前記脆弱性連結部は、前記第１評価仕様情報の前記評価項目ごとに、前記脆弱性分析情報に含まれている、当該評価項目に対応する分析結果である前記脆弱性の識別情報が、当該評価項目の前記評価仕様に関連付けられるように、前記識別情報を前記第１評価仕様情報に連結することによって、前記第２連携処理を行ってもよい。なお、第１１態様は第１０態様に従属していてもよい。

【0034】

これにより、第３態様に係る評価支援システムと同様の作用効果を奏することができる。

【0035】

また、第１２態様に係る評価支援システムでは、前記再定義部は、前記第１評価仕様情報に示されていない評価仕様である不足評価仕様に対応する前記脆弱性の識別情報が、前記脆弱性分析情報に存在する場合には、前記不足評価仕様と、前記不足評価仕様に対応する前記脆弱性の識別情報とを、前記第２連携処理が行われた後の前記第１評価仕様情報に追加することによって、前記第１評価仕様情報に示されている１以上の評価仕様を再定義してもよい。なお、第１２態様は第１０態様または第１１態様に従属していてもよい。

【0036】

これにより、第４態様に係る評価支援システムと同様の作用効果を奏することができる。

【0037】

また、第１３態様に係る評価支援システムは、さらに、前記第２評価仕様情報にしたがった評価によって得られる前記評価対象機器の評価結果が示されている前記第２評価仕様情報を、脆弱性分析部に評価済仕様情報としてフィードバックするフィードバック部を備え、前記脆弱性分析部は、前記評価対象機器に対する脆弱性分析を行うことによって前記脆弱性分析情報を生成してもよい。なお、第１３態様は第１０態様～第１２態様のうちの何れか１つに従属していてもよい。

【0038】

これにより、評価対象機器の脆弱性について、第５態様に係る評価支援システムと同様の作用効果を奏することができる。

【0039】

以下、実施の形態について、図面を参照しながら具体的に説明する。

【0040】

なお、以下で説明する実施の形態は、いずれも包括的または具体的な例を示すものである。以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置位置および接続形態、ステップ、ステップの順序などは、一例であり、本開示を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素については、任意の構成要素として説明される。

【0041】

また、各図は、模式図であり、必ずしも厳密に図示されたものではない。また、各図において、同じ構成部材については同じ符号を付している。

【0042】

（実施の形態１）
図１は、本実施の形態における開発システムの構成の一例を示す図である。

【0043】

本実施の形態における開発システム１００は、例えば車両に搭載されるＥＣＵ（Electronic Control Unit）などの評価対象機器（例えば製品）の開発を支援するシステムである。なお、開発システム１００は、ＩＳＯ（International Organization for Standardization）／ＳＡＥ（Society of Automotive Engineers） ２１４３４の法規に対応するためのシステムであってもよい。この開発システム１００は、脅威分析部２１、脆弱性分析部２２、評価仕様定義部３１、評価部３２、結果判定部３３、判定処理部３４、および評価支援システム１０を含む。

【0044】

脅威分析部２１は、評価対象機器に対する脅威分析を行うことによって脅威分析情報ｄ２１を生成する。その脅威分析情報ｄ２１は、その評価対象機器における情報セキュリティの脅威に対する分析結果を示す。例えば、脅威分析部２１は、その脅威分析によって、脅威への対策を立案し、その対策を示す脅威分析情報ｄ２１を生成する。脅威分析部２１は、評価対象機器が直面する可能性のある脅威を識別して評価してもよい。その脅威は、悪意のある攻撃者、自然災害など、評価対象機器のセキュリティを妨げる可能性のあるあらゆる要素を含む。

【0045】

脆弱性分析部２２は、評価対象機器に対する脆弱性分析を行うことによって脆弱性分析情報ｄ２２を生成して出力する。その脆弱性分析情報ｄ２２は、評価対象機器における情報セキュリティの脆弱性に対する分析結果を示す。例えば、脆弱性分析部２２は、その評価対象機器が各脆弱性を有するか否かを判定することによって、その判定結果を示す脆弱性分析情報ｄ２２を生成する。また、脆弱性分析部２２は、評価対象機器に存在する脆弱性を特定して評価してもよい。なお、脆弱性は、評価対象機器が攻撃に対して防御できない弱点であるとも言える。また、脆弱性分析部２２は、脆弱性の深刻度の特定を脆弱性分析として行ってもよい。その深刻度は、例えばＣＶＳＳ（Common Vulnerability Scoring System）の値である。

【0046】

評価仕様定義部３１は、評価対象機器に対する１以上の評価仕様を示す第１評価仕様情報ｄ３１を生成して出力する。例えば、評価仕様定義部３１は、評価対象機器のセキュリティ要件１、テストガイドライン２、およびアーキテクチャ仕様３を取得し、それらに基づいて、第１評価仕様情報ｄ３１を生成する。第１評価仕様情報ｄ３１は、評価項目ごとに、その評価項目に対応する評価仕様を示す。

【0047】

評価部３２は、第１評価仕様情報ｄ３１に基づいて評価支援システム１０によって生成された第２評価仕様情報ｄ１３を取得し、その第２評価仕様情報ｄ１３にしたがった評価対象機器に対する評価（すなわちテスト）を行う。そして、評価部３２は、その評価結果を示す情報を結果情報ｄ３２として出力する。その結果情報ｄ３２は、例えば、評価項目ごとに、その評価項目に対する評価結果を示す。なお、評価対象機器に対する評価は、セキュリティ状態の評価であって、例えば、ファジングテスト、脆弱性テスト、機能テスト、ペネトレーションテストなどである。評価仕様は、これらの評価を行うための仕様である。

【0048】

結果判定部３３は、評価部３２から出力される結果情報ｄ３２を取得し、その結果情報ｄ３２に示されている評価項目ごとの評価結果に対して判定を行うことによって、判定情報ｄ３３を生成する。その判定情報ｄ３３は、評価項目の評価結果が例えばＯＫかＮＧかを示す。なお、ＮＧは、評価結果がＯＫではないこと、すなわち不可であることを示す。そして、結果判定部３３は、その判定情報ｄ３３を評価支援システム１０および判定処理部３４に出力する。

【0049】

判定処理部３４は、結果判定部３３から出力される判定情報ｄ３３を取得し、その判定情報ｄ３３に示されているＮＧの評価項目および評価結果に関するＮＧレポートを出力する。また、判定処理部３４は、ＮＧの評価項目の対策についての改善案を提案してもよい。

【0050】

本実施の形態における評価支援システム１０は、評価対象機器の評価を支援する評価支援システムであって、第１評価仕様情報ｄ３１に対して再定義などの処理を行うことによって第２評価仕様情報ｄ１３を生成する。そして、評価支援システム１０は、その第２評価仕様情報ｄ１３に上述の判定情報ｄ３３が追加されて構成される評価済仕様情報ｄ１４を、脅威分析部２１および脆弱性分析部２２にフィードバックする。

【0051】

このような評価支援システム１０は、脅威連結部１１、脆弱性連結部１２、再定義部１３、および評価データベース（評価ＤＢとも表記される）１４を備える。

【0052】

脅威連結部１１は、脅威分析部２１から脅威分析情報ｄ２１を取得し、評価仕様定義部３１から第１評価仕様情報ｄ３１を取得する。そして、脅威連結部１１は、脅威分析情報ｄ２１を第１評価仕様情報ｄ３１に連携させる。つまり、脅威連結部１１は、評価対象機器に対する１以上の評価仕様を示す第１評価仕様情報ｄ３１に脅威分析情報ｄ２１の少なくとも一部を連結する第１連携処理を行う。脅威連結部１１は、その第１連携処理の結果を示す脅威連携情報ｄ１１を再定義部１３に出力する。

【0053】

脆弱性連結部１２は、脆弱性分析部２２から脆弱性分析情報ｄ２２を取得し、評価仕様定義部３１から第１評価仕様情報ｄ３１を取得する。そして、脆弱性連結部１２は、脆弱性分析情報ｄ２２を第１評価仕様情報ｄ３１に連携させる。つまり、脆弱性連結部１２は、第１評価仕様情報ｄ３１に脆弱性分析情報ｄ２２の少なくとも一部を連結する第２連携処理を行う。脆弱性連結部１２は、その第２連携処理の結果を示す脆弱性連携情報ｄ１２を再定義部１３に出力する。

【0054】

再定義部１３は、第１連携処理および第２連携処理に基づいて、第１評価仕様情報ｄ３１に示されている１以上の評価仕様を再定義することによって、第２評価仕様情報ｄ１３を生成して出力する。つまり、再定義部１３は、脅威連結部１１から脅威連携情報ｄ１１を取得し、脆弱性連結部１２から脆弱性連携情報ｄ１２を取得し、その脅威連携情報ｄ１１および脆弱性連携情報ｄ１２に基づいて、第２評価仕様情報ｄ１３を生成する。そして、再定義部１３は、その第２評価仕様情報ｄ１３を評価部３２に出力するとともに、評価データベース１４に格納する。

【0055】

評価データベース１４は、その第２評価仕様情報ｄ１３などを格納するための記録媒体である。例えば、評価データベース１４は、ハードディスクドライブ、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、または半導体メモリなどである。なお、このような評価データベース１４は、揮発性であっても不揮発性であってもよい。

【0056】

また、評価データベース１４には、評価済仕様情報ｄ１４が格納される。つまり、結果判定部３３は、判定情報ｄ３３を評価データベース１４に格納する。このとき、結果判定部３３は、既に評価データベース１４に格納されている第２評価仕様情報ｄ１３に判定情報ｄ３３を追加することによって評価済仕様情報ｄ１４を生成する。これにより、その評価済仕様情報ｄ１４が評価データベース１４に格納される。そして、評価データベース１４に格納されている評価済仕様情報ｄ１４は、脅威分析部２１および脆弱性分析部２２にフィードバックされる。つまり、本実施の形態における評価データベース１４は、第２評価仕様情報ｄ１３にしたがった評価によって得られる評価対象機器の評価結果が示されている第２評価仕様情報ｄ１３を、脅威分析部２１および脆弱性分析部２２に評価済仕様情報ｄ１４としてフィードバックするフィードバック部として構成されている。

【0057】

図２は、脅威分析部２１による脅威分析の一部を例示的に説明するための図である。

【0058】

脅威分析部２１は、図２の（ａ）に示すように、例えば、評価対象機器４０が有する資産Ａ、資産Ｂ、および資産Ｃのそれぞれのリスク値を評価してもよい。資産Ａ、資産Ｂ、および資産Ｃは、評価対象機器４０において守られるべきデータまたは機能などである。なお、その機能は例えばプログラムによって実現される。また、評価対象機器４０は、例えば車両に搭載されるＥＣＵとして構成され、スマホ９１およびＤｉａｇ９２などの外部機器と無線または有線を介して通信する。なお、スマホ９１は、スマートフォンであり、Ｄｉａｇ９２は、車両の不備、不具合などを診断する装置、すなわちダイアグノーシスである。このような評価対象機器４０は、それぞれ物理構成要素であるＢＴインターフェース４１、ＵＳＢインターフェース４２、ＣＡＮインターフェース４３、Ｍａｉｎマイコン４４、およびＣＡＮマイコン４５を備える。ＢＴインターフェース４１は、ＢＴ Ｉ／Ｆとも表記され、Ｂｌｕｅｔｏｏｔｈ（登録商標）のためのインターフェースである。ＵＳＢインターフェース４２は、ＵＳＢ Ｉ／Ｆとも表記され、ＵＳＢ（Universal Serial Bus）のためのインターフェースである。ＣＡＮインターフェース４３は、ＣＡＮ Ｉ／Ｆとも表記され、ＣＡＮ（Controller Area Network）のためのインターフェースである。Ｍａｉｎマイコン４４は、評価対象機器４０を制御するマイクロコンピュータである。Ｍａｉｎマイコン４４は、上述の資産Ａ、資産Ｂ、および資産Ｃを有する。ＣＡＮマイコン４５は、評価対象機器４０のＣＡＮに関する制御を行うマイクロコンピュータである。なお、物理構成要素は、ハードウェアの構成要素である。

【0059】

ここで、Ｍａｉｎマイコン４４と、ＢＴインターフェース４１、ＵＳＢインターフェース４２、およびＣＡＮマイコン４５のそれぞれとの間には、物理経路がある。また、ＢＴインターフェース４１とスマホ９１との間にも物理経路がある。また、ＣＡＮマイコン４５とＣＡＮインターフェース４３との間にも物理経路があり、ＣＡＮインターフェース４３とＤｉａｇ９２との間にも物理経路がある。なお、物理経路は、物理的な接続経路である。

【0060】

また、物理構成要素には、攻撃可能性のレベルが割り当てられている場合がある。例えば、ＢＴインターフェース４１には、攻撃可能性のレベルとしてＭｅｄｉｕｍが割り当てられている。また、ＵＳＢインターフェース４２には、攻撃可能性のレベルとしてＶｅｒｙ Ｌｏｗが割り当てられている。

【0061】

また、資産には、その資産への攻撃によって評価対象機器４０が受ける影響のレベルが設定されている。例えば、資産Ａには、影響のレベルとしてＭｏｄｅｒａｔｅが設定され、資産Ｂには、影響のレベルとしてＳｅｖｅｒｅが設定され、資産Ｃには、影響のレベルとしてＭａｊｏｒが設定されている。なお、影響のレベルは、影響度とも呼ばれる。

【0062】

脅威分析部２１は、資産Ａ、資産Ｂ、および資産Ｃのそれぞれについて、その資産への攻撃経路を決定する。つまり、脅威分析部２１は、資産Ａ、資産Ｂ、および資産Ｃのそれぞれについて、外部機器からその資産に至るまでの１以上の物理構成要素の配列からなる物理経路を決定する。資産への攻撃経路が複数あるときには、脅威分析部２１は、それらの複数の攻撃経路から１つの攻撃経路を決定する。なお、攻撃経路は、アタックパスとも呼ばれる。

【0063】

例えば、スマホ９１が資産Ａ、資産Ｂ、および資産Ｃに対する攻撃を行う場合、スマホ９１は、攻撃可能性のレベル「Ｍｅｄｉｕｍ」が割り当てられているＢＴインターフェース４１を介してＭａｉｎマイコン４４にアクセスする可能性がある。あるいは、スマホ９１は、攻撃可能性のレベル「Ｖｅｒｙ Ｌｏｗ」が割り当てられているＵＳＢインターフェース４２を介してＭａｉｎマイコン４４にアクセスする可能性がある。つまり、資産Ａ、資産Ｂ、および資産Ｃへの攻撃経路には、ＢＴインターフェース４１を経由する攻撃経路と、ＵＳＢインターフェース４２を経由する攻撃経路とがある。この場合、脅威分析部２１は、最も高い攻撃可能性のレベルが割り当てられている物理構成要素を経由する攻撃経路を決定する。上述の例の場合、最も高い攻撃可能性のレベルは、Ｍｅｄｉｕｍである。したがって、脅威分析部２１によって決定される攻撃経路は、スマホ９１からＢＴインターフェース４１を介してＭａｉｎマイコン４４に至る物理経路を示す。

【0064】

脅威分析部２１は、図２の（ｂ）に示すリスクマトリクステーブルを参照しながら、その攻撃可能性のレベル「Ｍｅｄｉｕｍ」と、資産の影響のレベルとを用いて、その資産のリスク値を導出することによって、そのリスク値を評価する。

【0065】

リスクマトリクステーブルは、図２の（ｂ）に示すように、攻撃可能性のレベルと影響のレベルとの組み合わせごとに、その組み合わせに対応するリスク値を示す。攻撃可能性のレベルは、Ｖｅｒｙ Ｌｏｗ、Ｌｏｗ、Ｍｅｄｉｕｍ、Ｈｉｇｈによって区別される。
なお、これらのレベルは、低い順に配列されている。また、影響のレベルは、Ｓｅｖｅｒｅ、Ｍａｊｏｒ、Ｍｏｄｅｒａｔｅ、Ｎｅｇｌｉｇｉｂｌｅによって区別される。なお、これらのレベルは、高い順に配列されている。

【0066】

上述の例では、資産Ａの影響のレベルは、Ｍｏｄｅｒａｔｅであり、資産Ｂの影響のレベルは、Ｓｅｖｅｒｅであり、資産Ｃの影響のレベルは、Ｍａｊｏｒである。また、それらの資産への攻撃経路に対する攻撃可能性のレベルは、Ｍｅｄｉｕｍである。つまり、攻撃経路、すなわち資産に至る物理経路上において、最も高い攻撃可能性のレベルはＭｅｄｉｕｍである。したがって、脅威分析部２１は、リスクマトリクステーブルを参照することによって、資産Ａのリスク値として「２」を導出し、資産Ｂのリスク値として「４」を導出し、資産Ｃのリスク値として「３」を導出する。これにより、資産Ａ、資産Ｂ、および資産Ｃのそれぞれのリスク値が評価される。なお、影響のレベル、攻撃可能性のレベル、およびリスクマトリクステーブルは、例えばＩＳＯ２１４３４によって定義されている。

【0067】

図３は、脅威分析部２１によって生成されて出力される脅威分析情報ｄ２１の概略的な一例を示す図である。

【0068】

脅威分析部２１によって生成される脅威分析情報ｄ２１は、図３に示すように、例えば、脅威シナリオＩＤごとに、その脅威シナリオＩＤと、その脅威シナリオＩＤによって識別される脅威に対する対策とを関連付けて示す。脅威シナリオＩＤは、脅威を識別するための情報である。その脅威は、例えば上述の資産Ａなどの資産に対する脅威である。具体的な一例では、脅威分析情報ｄ２１は、脅威シナリオＩＤ「ＩＤ－ａ１」と、その脅威シナリオＩＤ「ＩＤ－ａ１」によって識別される脅威に対する対策「Ａ１」とを関連付けて示す。なお、脅威分析情報ｄ２１は、その脅威の内容を示していてもよい。脅威の内容には、上述の攻撃経路、影響のレベル、リスク値などが含まれていてもよい。

【0069】

図４は、脆弱性分析部２２によって生成されて出力される脆弱性分析情報ｄ２２の概略的な一例を示す図である。

【0070】

脆弱性分析部２２によって生成される脆弱性分析情報ｄ２２は、図４に示すように、例えば、脆弱性ＩＤごとに、その脆弱性ＩＤと、その脆弱性ＩＤによって識別される脆弱性が評価対象機器４０に該当するか否かの該非判定結果とを関連付けて示す。脆弱性ＩＤは、脆弱性を識別するための情報（すなわち識別情報）である。該非判定結果は、脆弱性が評価対象機器４０にある場合には、「該当」を示し、脆弱性が評価対象機器４０にない場合には、「非該当」を示す。つまり、脆弱性判定結果は、脆弱性が評価対象機器４０にあるか否かを示す。具体的な一例では、脆弱性分析情報ｄ２２は、脆弱性ＩＤ「ＩＤ－ｂ１」と、その脆弱性ＩＤ「ＩＤ－ｂ１」によって識別される脆弱性の該非判定結果「該当」とを関連付けて示す。なお、脆弱性分析情報ｄ２２は、その脆弱性の内容を示していてもよい。

【0071】

図５は、評価仕様定義部３１によって生成されて出力される第１評価仕様情報ｄ３１の概略的な一例を示す図である。

【0072】

評価仕様定義部３１によって生成される第１評価仕様情報ｄ３１は、図５に示すように、例えば、評価ＩＤごとに、その評価ＩＤと、その評価ＩＤによって識別される評価項目に対応する評価仕様とを示す。評価ＩＤは、評価項目を識別するための情報である。具体的な一例では、第１評価仕様情報ｄ３１は、評価ＩＤ「１」と、その評価ＩＤ「１」によって識別される評価項目に対応する評価仕様「Ｃ４」とを関連付けて示す。

【0073】

図６は、評価支援システム１０の処理動作を説明するための図である。

【0074】

まず、評価支援システム１０の脅威連結部１１は、第１連携処理を行う。具体的には、第１連携処理では、脅威連結部１１は、第１評価仕様情報ｄ３１の評価項目ごとに、脅威分析情報ｄ２１に含まれている、その評価項目に対応する分析結果として脅威への対策を示す情報が、その評価項目の評価仕様に関連付けられるように、その情報を第１評価仕様情報ｄ３１に連結する。

【0075】

このような第１連携処理によって、第１連携処理が行われた後の第１評価仕様情報ｄ３１、すなわち、第２評価仕様情報ｄ１３では、各評価仕様に対して対策が関連付けて示される。具体的な一例では、評価仕様「Ｃ４」に対して対策「Ａ１」が関連付けられ、評価仕様「Ｃ６」に対して対策「Ａ６」が関連付けられる。このような、評価仕様に対する対策の関連付けは、各評価仕様と各対策とを予め対応付けて示すテーブルを参照することによって行われてもよく、人の入力操作に応じて行われてもよい。

【0076】

次に、評価支援システム１０の脆弱性連結部１２は、第２連携処理を行う。具体的には、第２連携処理では、脆弱性連結部１２は、第１評価仕様情報ｄ３１の評価項目ごとに、脆弱性分析情報ｄ２２に含まれている、その評価項目に対応する脆弱性の識別情報が、その評価項目の評価仕様に関連付けられるように、その識別情報を第１評価仕様情報ｄ３１に連結する。その脆弱性の識別情報は、脆弱性ＩＤである。

【0077】

具体的には、脆弱性連結部１２は、脆弱性分析情報ｄ２２のうち、判定結果「該当」に関連付けられている脆弱性ＩＤのみを第１評価仕様情報ｄ３１に連結する。このとき、脆弱性連結部１２は、脆弱性仕様テーブルを参照する。脆弱性仕様テーブルは、脆弱性ＩＤごとに、その脆弱性ＩＤによって識別される脆弱性を評価するための評価仕様を示す。つまり、脆弱性連結部１２は、脆弱性分析情報ｄ２２において判定結果「該当」に関連付けられている脆弱性ＩＤを、脆弱性仕様テーブルから検索し、その脆弱性仕様テーブルにおいてその脆弱性ＩＤに関連付けられている評価仕様を特定する。そして、脆弱性連結部１２は、その特定された評価仕様を第１評価仕様情報ｄ３１から検索し、その検索された評価仕様に上述の脆弱性ＩＤを関連付ける。例えば、脆弱性連結部１２は、脆弱性分析情報ｄ２２のうち、判定結果「該当」に関連付けられている脆弱性ＩＤ「ＩＤ－ｂ１」を第１評価仕様情報ｄ３１に連結する。このとき、脆弱性連結部１２は、脆弱性仕様テーブルから、その脆弱性ＩＤ「ＩＤ－ｂ１」を検索し、その脆弱性ＩＤ「ＩＤ－ｂ１」によって識別される脆弱性を評価するための評価仕様「Ｃ１」を特定する。そして、脆弱性連結部１２は、その特定された評価仕様「Ｃ１」を第１評価仕様情報ｄ３１から検索し、その検索された評価仕様「Ｃ１」に脆弱性ＩＤ「ＩＤ－ｂ１」を関連付ける。

【0078】

次に、評価支援システム１０の再定義部１３は、第１評価仕様情報ｄ３１に示されている１以上の評価仕様を再定義する。例えば、第１評価仕様情報ｄ３１に示されていない評価仕様である不足評価仕様に対応する脆弱性の識別情報（すなわち脆弱性ＩＤ）が、脆弱性分析情報ｄ２２に存在する場合がある。このような場合、再定義部１３は、その不足評価仕様と、その不足評価仕様に対応する脆弱性ＩＤとを、第１連携処理および第２連携処理が行われた後の第１評価仕様情報ｄ３１に追加することによって、第１評価仕様情報ｄ３１に示されている１以上の評価仕様を再定義する。

【0079】

具体的な一例では、脆弱性分析情報ｄ２２には、脆弱性ＩＤ「ＩＤ－ｂ２」が判定結果「該当」に関連付けて示されている。また、脆弱性仕様テーブルには、その脆弱性ＩＤ「ＩＤ－ｂ２」に対して評価仕様「Ｃ２」が関連付けられている。しかし、その評価仕様「Ｃ２」は、図５に示す第１評価仕様情報ｄ３１には示されていない。したがって、その評価仕様「Ｃ２」は、上述の不足評価仕様である。したがって、再定義部１３は、その不足評価仕様である評価仕様「Ｃ２」と、その評価仕様「Ｃ２」に対応する脆弱性ＩＤ「ＩＤ－ｂ２」とを、第１評価仕様情報ｄ３１に追加する。このとき、再定義部１３は、その脆弱性ＩＤ「ＩＤ－ｂ２」および評価仕様「Ｃ２」に新たな評価ＩＤ「ｎ＋１」を関連付け、さらに、脅威分析情報ｄ２１に示されている対策「Ａ２」を評価仕様「Ｃ２」に関連付ける。

【0080】

なお、再定義部１３は、第１連携処理および第２連携処理が行われた後の第１評価仕様情報ｄ３１に示されている評価仕様を、その評価仕様に関連付けられている脅威への対策および脆弱性IＤに基づいて変更することによって、上述の再定義を行ってもよい。このような評価仕様の変更は、脅威への対策および脆弱性ＩＤに評価仕様を関連付けて示すテーブルを参照することによって行われてもよい。例えば、評価仕様の変更では、第１評価仕様情報ｄ３１において、脅威への対策および脆弱性ＩＤに関連付けて示されている評価仕様が、そのテーブルにおいて、その脅威への対策および脆弱性ＩＤに関連付けて示されている評価仕様に置き換えられてもよい。

【0081】

このような第１連携処理、第２連携処理、および再定義によって、第１評価仕様情報ｄ３１が第２評価仕様情報ｄ１３に更新される。そして、再定義部１３は、その第２評価仕様情報ｄ１３を評価データベース１４に格納するとともに、評価部３２に出力する。評価部３２は、その第２評価仕様情報ｄ１３にしたがって評価対象機器４０の評価を行うことによって、その評価結果を示す結果情報ｄ３２を生成して結果判定部３３に出力する。結果判定部３３は、その結果情報ｄ３２を取得し、その結果情報ｄ３２に示されている評価結果に対して判定を行うことによって、その判定結果を示す判定情報ｄ３３を生成する。そして、結果判定部３３は、評価データベース１４に格納されている第２評価仕様情報ｄ１３にその判定情報ｄ３３を結合することによって、評価済仕様情報ｄ１４を生成する。

【0082】

図７は、評価済仕様情報ｄ１４の一例を示す図である。

【0083】

評価済仕様情報ｄ１４は、第２評価仕様情報ｄ１３と判定情報ｄ３３とを含む。具体的には、評価済仕様情報ｄ１４は、第２評価仕様情報ｄ１３によって示される評価ＩＤごとに、その評価ＩＤによって識別される評価項目の評価結果に対する判定結果を示す。判定結果は、ＯＫ、ＮＧ、ＮＴ、条件付きＯＫなどによって示される。評価結果が数値として表現される場合、結果判定部３３は、例えば、その数値が閾値以上であれば、その評価結果に対する判定結果としてＯＫを、評価済仕様情報ｄ１４のうちの判定情報ｄ３３に書き込む。あるいは、結果判定部３３は、評価結果が期待どおりであれば、ＯＫを判定情報ｄ３３に書き込む。一方、結果判定部３３は、例えば、その数値が閾値未満であれば、その評価結果に対する判定結果としてＮＧを、評価済仕様情報ｄ１４のうちの判定情報ｄ３３に書き込む。あるいは、結果判定部３３は、評価結果が期待どおりでなければ、ＮＧを判定情報ｄ３３に書き込む。なお、ＮＴは、評価が対象外であることを示す。条件付きＯＫは、所定の条件が満たされていれば評価結果がＯＫであることを示す。あるいは、条件付きＯＫは、評価結果がセキュリティ的に問題ではあるが仕様に対する結果としては正しいことを示す。

【0084】

このような評価済仕様情報ｄ１４は、評価データベース１４に格納され、脅威分析部２１および脆弱性分析部２２にフィードバックされる。評価済仕様情報ｄ１４のフィードバックは、脅威分析部２１および脆弱性分析部２２が評価データベース１４にアクセスして評価済仕様情報ｄ１４を取得することによって実現されてもよい。あるいは、評価済仕様情報ｄ１４のフィードバックは、評価データベース１４に備えられた処理回路が、評価済仕様情報ｄ１４を脅威分析部２１および脆弱性分析部２２に積極的に送信することによって実現されてもよい。

【0085】

図８は、脅威分析情報ｄ２１の具体的な一例を示す図である。

【0086】

脅威分析情報ｄ２１は、脅威シナリオＩＤ、脅威シナリオ、アタックパスＩＤ、アタックパス、および設計対策例を示す。図８の例では、脅威シナリオの一例として、第１ユニットのプログラム・データが改ざんされることによって、安全に対してＭａｊｏｒな影響が発生することが、脅威分析情報ｄ２１に示されている。そのプログラム・データは、資産の一例であってもよい。アタックパスは、上述の攻撃経路であってもよい。設計対策例は、脅威への対策であって、技術的に要求される対策であるＴＣＲと、ハードウェア的に要求される対策であるＨＣＲと、ソフトウェア的に要求されるＳＣＲとを含む。

【0087】

図９は、脆弱性分析情報ｄ２２の具体的な一例を示す図である。

【0088】

脆弱性分析情報ｄ２２は、ＣＷＥ（Common Weakness Enumeration）－ＩＤ、カテゴリー、ＣＶＥ（Common Vulnerabilities and Exposures）－ＩＤ、タイトル、説明、および該非判定結果を示す。ＣＷＥ―ＩＤは、脆弱性のカテゴリーの識別情報である。ＣＶＥ－ＩＤは、脆弱性の識別情報であって、脆弱性ＩＤに相当する。タイトルは、脆弱性の件名であり、説明は、脆弱性の説明である。

【0089】

図１０は、第２評価仕様情報ｄ１３の具体的な一例を示す図である。

【0090】

第２評価仕様情報ｄ１３は、評価ＩＤ、ＣＶＥ－ＩＤ、要件名、テストケース目的、前提条件、確認事項、ＴＣＲ、ＳＣＲ、ＨＣＲ、および操作手順を示す。例えば、要件名、テストケース目的、前提条件、および確認事項によって、評価仕様が構成され、ＴＣＲ、ＳＣＲ、およびＨＣＲによって、対策が構成されている。要件名は、評価項目の名称であり、テストケース目的は、評価の目的である。前提条件は、評価の前提とされる条件であり、確認事項は、評価において確認されるべき事項である。操作手順は、評価を行うための手順である。

【0091】

図１１は、評価済仕様情報ｄ１４の一部の具体的な一例を示す図である。

【0092】

評価済仕様情報ｄ１４は、評価仕様、判定結果、および備考を示す。なお、図１１の例では、評価仕様を具体的に示すために、評価ＩＤ、脆弱性ＩＤ、および対策が省かれている。

【0093】

評価仕様は、テストタイプ、要件名、前提条件、確認事項、操作手順、およびクライテリアを含む。なお、評価仕様には、評価の目的が含まれていてもよい。テストタイプは、評価のタイプである。例えば、テストタイプには、ファジングテスト、脆弱性テストなどがある。ファジングテストは、不正なデータの入力に対して未知の脆弱性を見つけるテストである。このファジングテストに含まれる評価項目の数は、例えば、約１００である。また、これらの評価項目は、Ｂｌｕｅｔｏｏｔｈ、ＢＬＥ（Bluetooth Low Energy）、ＣＡＮ、ＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）、Ｄｏｓ（Denial of Service attack）攻撃などのカテゴリーに分類されてもよい。脆弱性テストは、ネットワークまたはプラットフォームなどにおける既知の脆弱性を見つけるテストである。この脆弱性テストに含まれる評価項目の数は、例えば、約１２０である。また、これらの評価項目は、ネットワーク通信解析、車内ネットワーク（例えばＣＡＮ）解析、バイナリ解析、アプリケーション解析、プラットフォーム解析などのカテゴリーに分類されてもよい。クリテリアは、例えば、上述の確認事項に相当し、判定処理部３４による判定のための条件、基準、閾値などを示す。評価結果がその条件などを満たしていれば、ＯＫの判定結果が評価済仕様情報ｄ１４に示される。

【0094】

このような評価済仕様情報ｄ１４が、脅威分析部２１および脆弱性分析部２２にフィードバックされる。脅威分析部２１は、そのフィードバックによって評価済仕様情報ｄ１４を取得すると、その評価済仕様情報ｄ１４に示されている判定結果に基づいて、対策の見直しを行う。例えば、脅威分析部２１は、判定結果「ＮＧ」に対応する対策の見直しを行う。さらに、脅威分析部２１は、判定結果「ＮＧ」に対応する複数の脅威のそれぞれに対してリスク値を導出している場合には、その複数の脅威のそれぞれに対する対策の見直しを、それらのリスク値を用いて優先付けしてもよい。つまり、脅威分析部２１は、リスク値を用いることによって、複数の対策の見直しに対して優先度を付けること、すなわち複数の対策の見直しの重み付けを行うことができる。例えばインシデントの発生時などには、優先度に応じた分析を行うことができる。一方、脅威分析部２１は、判定結果「ＯＫ」に対応する対策については、その対策の有効性を保証することができる。また、脆弱性分析部２２も、脅威分析部２１と同様、フィードバックによって評価済仕様情報ｄ１４を取得すると、その評価済仕様情報ｄ１４に示されている判定結果に基づいて、脆弱性分析の見直しを行う。例えば、脆弱性分析部２２は、脆弱性が評価対象機器４０に該当するか否かの該非判定結果の見直しを行ってもよい。あるいは、脆弱性分析部２２は、その該非判定結果の有効性を保証してもよい。このように、評価済仕様情報ｄ１４に基づいて、分析の効率化を図ることができる。

【0095】

図１２は、開発システム１００の処理動作の一例を示すシーケンス図である。

【0096】

評価仕様定義部３１は、第１評価仕様情報ｄ３１を生成して脅威連結部１１および脆弱性連結部１２に出力する（ステップＳ１）。脅威分析部２１は、脅威分析情報ｄ２１を生成して脅威連結部１１に出力する（ステップＳ２）。脆弱性分析部２２は、脆弱性分析情報ｄ２２を生成して脆弱性連結部１２に出力する（ステップＳ３）。脅威連結部１１は、第１評価仕様情報ｄ３１および脅威分析情報ｄ２１に基づいて、脅威連携情報ｄ１１を生成して再定義部１３に出力する。さらに、脆弱性連結部１２は、第１評価仕様情報ｄ３１および脆弱性分析情報ｄ２２に基づいて、脆弱性連携情報ｄ１２を生成して再定義部１３に出力する（ステップＳ４）。

【0097】

再定義部１３は、脅威連携情報ｄ１１および脆弱性連携情報ｄ１２に基づいて、第２評価仕様情報ｄ１３を生成して評価データベース１４に出力し（ステップＳ５）、さらに、その第２評価仕様情報ｄ１３を評価部３２に出力する（ステップＳ６）。

【0098】

評価部３２は、その第２評価仕様情報ｄ１３にしたがって評価対象機器４０を評価し、その評価結果を示す結果情報ｄ３２を生成して結果判定部３３に出力する（ステップＳ７）。結果判定部３３は、結果情報ｄ３２に示されている評価結果がＯＫかＮＧかなどの判定を、上述のクリテリアなどに基づいて行い、その判定結果を示す判定情報ｄ３３を評価データベース１４に格納する（ステップＳ８）。これにより、評価データベース１４には、第２評価仕様情報ｄ１３と判定情報ｄ３３とを含む評価済仕様情報ｄ１４が生成されて格納される。

【0099】

このような評価済仕様情報ｄ１４は、評価データベース１４から脅威分析部２１および脆弱性分析部２２にフィードバックされる（ステップＳ９、Ｓ１０）。

【0100】

図１３は、評価支援システム１０の処理動作の一例を示すフローチャートである。

【0101】

まず、脅威連結部１１および脆弱性連結部１２のそれぞれは、評価仕様定義部３１から第１評価仕様情報ｄ３１を取得する（ステップＳ２１）。そして、脅威連結部１１は、脅威分析部２１から脅威分析情報ｄ２１を取得し（ステップＳ２２）、脆弱性連結部１２は、脆弱性分析部２２から脆弱性分析情報ｄ２２を取得する（ステップＳ２３）。

【0102】

次に、脅威連結部１１および脆弱性連結部１２は、ループ処理を実行する（ステップＳ２４）。このループ処理では、脅威連結部１１は、脅威番号に対応する対策を脅威分析情報ｄ２１から見つけて、第１評価仕様情報ｄ３１のうちのその対策に対応する評価仕様にその対策を連結する処理、すなわち対策のマッピングを行う（ステップＳ２４ａ）。脅威番号は、脅威分析情報ｄ２１に含まれている各脅威ＩＤに割り当てられている番号である。例えば、脅威分析情報ｄ２１に含まれている各脅威ＩＤには、０～ｈ（ｈは１以上の整数）の範囲で互いに異なる整数が脅威番号として割り当てられている。そして、ステップＳ２４では、脅威連結部１１は、その脅威番号についてのマッピング（ステップＳ２４ａ）を、脅威番号が０からｈまでの範囲で、脅威番号をインクリメントしながら繰り返し実行する。

【0103】

同様に、脆弱性連結部１２は、そのループ処理では、脆弱性番号に対応する脆弱性ＩＤを脆弱性分析情報ｄ２２から見つけて、第１評価仕様情報ｄ３１のうちのその脆弱性ＩＤに対応する評価仕様にその脆弱性ＩＤを連結する処理、すなわち脆弱性ＩＤのマッピングを行う（ステップＳ２４ａ）。なお、第１評価仕様情報ｄ３１にその脆弱性ＩＤに対応する評価仕様がなければ、マッピングはスキップされる。脆弱性番号は、脆弱性分析情報ｄ２２に含まれている全ての脆弱性ＩＤのうち、該非判定結果「該当」に関連付けられている各脆弱性ＩＤに割り当てられている番号である。例えば、脆弱性分析情報ｄ２２に含まれている各脆弱性ＩＤには、０～ｋ（ｋは１以上の整数）の範囲で互いに異なる整数が脆弱性番号として割り当てられている。そして、ステップＳ２４では、脆弱性連結部１２は、その脆弱性番号についてのマッピング（ステップＳ２４ａ）を、脆弱性番号が０からｋまでの範囲で、脆弱性番号をインクリメントしながら繰り返し実行する。

【0104】

次に、再定義部１３は、ステップＳ２４のループ処理が行われた後の第１評価仕様情報ｄ３１に含まれる１以上の評価仕様に対する再定義を行うことによって、第２評価仕様情報ｄ１３を生成して出力する（ステップＳ２５）。つまり、再定義部１３は、マッピングがスキップされた脆弱性ＩＤと、その脆弱性ＩＤに対応する評価仕様（すなわち不足評価仕様）とを、ループ処理済みの第１評価仕様情報ｄ３１に追加することによって、第２評価仕様情報ｄ１３を生成する。この第２評価仕様情報ｄ１３は、評価部３２に出力されて、評価対象機器４０の評価に用いられ、さらに、評価データベース１４に格納される。そして、評価対象機器４０の評価結果は、結果判定部３３によって判定される。これにより、その判定結果を示す判定情報ｄ３３は、結果判定部３３によって評価データベース１４に格納される。

【0105】

結果判定部３３による判定情報ｄ３３の格納によって、評価データベース１４には、判定情報ｄ３３が反映された第２評価仕様情報ｄ１３が、評価済仕様情報ｄ１４として格納される（ステップＳ２６）。そして、評価データベース１４（すなわちフィードバック部）は、その評価済仕様情報ｄ１４を脅威分析部２１にフィードバックし（ステップＳ２７）、さらに、その評価済仕様情報ｄ１４を脆弱性分析部２２にフィードバックする（ステップＳ２８）。

【0106】

以上のように、本実施の形態における評価支援システム１０では、第１連携処理、第２連携処理、および再定義によって、第２評価仕様情報ｄ１３に含まれる１以上の評価仕様は、脅威分析情報ｄ２１と脆弱性分析情報ｄ２２とに連携される。つまり、従来では、評価対象機器４０のセキュリティの評価と、脅威分析と、脆弱性分析とは、連携されていないが、本実施の形態では、それらが連携される。その結果、必要な評価の抜けを抑制して評価対象機器４０の評価を網羅的に行うことができる可能性を高めることができる。つまり、評価対象機器４０のセキュリティの評価が不完全になってしまう可能性を抑えることができる。そのため、評価対象機器４０の評価を効果的に支援することができる。

【0107】

また、本実施の形態では、第１連携処理によって、脅威への対策が評価仕様に関連付けられる。したがって、第１連携処理済みの第１評価仕様情報ｄ３１にしたがった評価では、その対策を参考にすることができ、評価対象機器４０の評価をより効果的に支援することができる。

【0108】

また、本実施の形態では、第２連携処理によって、脆弱性の識別情報が評価仕様に関連付けられる。したがって、第２連携処理済みの第２評価仕様情報ｄ１３にしたがった評価では、その脆弱性を参考にすることができ、評価対象機器４０の評価をより効果的に支援することができる。

【0109】

また、本実施の形態では、再定義によって、第１評価仕様情報ｄ３１が、不足評価仕様と脆弱性の識別情報とを含む第２評価仕様情報ｄ１３に更新される。これにより、必要な評価の抜けを抑制して評価対象機器４０の評価を網羅的に行うことができる。

【0110】

また、本実施の形態では、評価済仕様情報ｄ１４が脅威分析部２１および脆弱性分析部２２にフィードバックされる。したがって、脅威分析部２１は、評価仕様に対して良い評価結果（例えばＯＫ）が評価済仕様情報ｄ１４に示されていれば、脅威に対する分析結果を保証することができる。例えば、分析結果が脅威への対策であれば、その対策の有効性を保証することができる。一方、脅威分析部２１は、評価仕様に対して悪い評価結果（例えばＮＧ）が評価済仕様情報ｄ１４に示されていれば、脅威分析を改善することができる。例えば、分析結果が脅威への対策であれば、その対策を改善することができる。その結果、対策の立案の精度を高めることができる。また、脆弱性分析部２２は、評価済仕様情報ｄ１４に示されている評価結果に基づいて、脆弱性分析の精度を高めることができる。つまり、本実施の形態では、脅威分析および脆弱性分析から評価への一方通行だけでなく、評価結果が脅威分析および脆弱性分析にフィードバックされるため、評価対象機器４０のリスク管理を効果的に行うことができる。

【0111】

（実施の形態２）
実施の形態２と実施の形態１との違いは、脅威分析情報ｄ２１および脆弱性分析情報ｄ２２のうち、脅威分析情報ｄ２１のみを扱うことである。以下、実施の形態２のうち、実施の形態１との違いのみを説明する。

【0112】

図１４は、実施の形態２における開発システム１００の構成の一例を示す図である。

【0113】

実施の形態２の開発システム１００は、脅威分析部２１、評価仕様定義部３１、評価部３２、結果判定部３３、判定処理部３４、および評価支援システム１０を備えている。

【0114】

脅威分析部２１，評価仕様定義部３１、評価部３２、結果判定部３３，判定処理部３４は実施の形態１との差分はない。

【0115】

評価支援システム１０は、脅威連結部１１、再定義部１３、および評価データベース（評価ＤＢとも表記される）１４を備える。脅威連結部１１は実施の形態１との差分はない。

【0116】

再定義部１３は、第１連携処理に基づいて、第１評価仕様情報ｄ３１に示されている１以上の評価仕様を再定義することによって、第２評価仕様情報ｄ１３を生成して出力する。つまり、再定義部１３は、脅威連結部１１から脅威連携情報ｄ１１を取得し、その脅威連携情報ｄ１１に基づいて、第２評価仕様情報ｄ１３を生成する。そして、再定義部１３は、その第２評価仕様情報ｄ１３を評価部３２に出力するとともに、評価データベース１４に格納する。なお、再定義部１３は、第１連携処理が行われた後の第１評価仕様情報ｄ３１に示されている評価仕様を、その評価仕様に関連付けられている脅威への対策に基づいて変更することによって、上述の再定義を行ってもよい。このような評価仕様の変更は、脅威への対策に評価仕様を関連付けて示すテーブルを参照することによって行われてもよい。例えば、評価仕様の変更では、第１評価仕様情報ｄ３１において、脅威への対策に関連付けて示されている評価仕様が、そのテーブルにおいて、その脅威への対策に関連付けて示されている評価仕様に置き換えられてもよい。

【0117】

また、評価支援システム１０の再定義部１３は、第１評価仕様情報ｄ３１に示されている１以上の評価仕様を再定義する。例えば、第１評価仕様情報ｄ３１に示されていない評価仕様である不足評価仕様に対応する脅威への対策を示す情報（すなわち脅威ＩＤ）が、脅威分析情報ｄ２１に存在する場合がある。このような場合、再定義部１３は、その不足評価仕様と、その不足評価仕様に対応する脅威ＩＤとを、第１連携処理が行われた後の第１評価仕様情報ｄ３１に追加することによって、第１評価仕様情報ｄ３１に示されている１以上の評価仕様を再定義する。

【0118】

評価データベース１４には、評価済仕様情報ｄ１４が格納される。評価データベース１４に格納されている評価済仕様情報ｄ１４は、脅威分析部２１にフィードバックされる。つまり、本実施の形態における評価データベース１４は、第２評価仕様情報ｄ１３にしたがった評価によって得られる評価対象機器の評価結果が示されている第２評価仕様情報ｄ１３を、脅威分析部２１に評価済仕様情報ｄ１４としてフィードバックするフィードバック部として構成されている。

【0119】

図１２は、開発システム１００の処理動作の一例を示すシーケンス図である。

【0120】

評価仕様定義部３１は、第１評価仕様情報ｄ３１を生成して脅威連結部１１に出力する（ステップＳ１）。脅威分析部２１は、脅威分析情報ｄ２１を生成して脅威連結部１１に出力する（ステップＳ２）。脅威連結部１１は、第１評価仕様情報ｄ３１および脅威分析情報ｄ２１に基づいて、脅威連携情報ｄ１１を生成して再定義部１３に出力する（ステップＳ４）。

【0121】

再定義部１３は、脅威連携情報ｄ１１に基づいて、第２評価仕様情報ｄ１３を生成して評価データベース１４に出力し（ステップＳ５）、さらに、その第２評価仕様情報ｄ１３を評価部３２に出力する（ステップＳ６）。

【0122】

再定義部１３および結果判定部３３は実施の形態１との差分はない。

【0123】

評価データベース１４内に生成された評価済仕様情報ｄ１４は、評価データベース１４から脅威分析部２１にフィードバックされる（ステップＳ１０）。

【0124】

図１３は、評価支援システム１０の処理動作の一例を示すフローチャートである。

【0125】

まず、脅威連結部１１は、評価仕様定義部３１から第１評価仕様情報ｄ３１を取得する（ステップＳ２１）。そして、脅威連結部１１は、脅威分析部２１から脅威分析情報ｄ２１を取得する（ステップＳ２２）。

【0126】

脅威連結部１１、再定義部１３および結果判定部３３は実施の形態１との差分はない。

【0127】

結果判定部３３による判定情報ｄ３３の格納によって、評価データベース１４には、判定情報ｄ３３が反映された第２評価仕様情報ｄ１３が、評価済仕様情報ｄ１４として格納される（ステップＳ２６）。そして、評価データベース１４（すなわちフィードバック部）は、その評価済仕様情報ｄ１４を脅威分析部２１にフィードバックする（ステップＳ２７）。

【0128】

実施の形態２における評価支援システム１０では、第１連携処理、および再定義によって、第２評価仕様情報ｄ１３に含まれる１以上の評価仕様は、脅威分析情報ｄ２１に連携される。つまり、従来では、評価対象機器４０のセキュリティの評価と、脅威分析は、連携されていないが、本実施の形態では、それらが連携される。その結果、必要な評価の抜けを抑制して評価対象機器４０の評価を網羅的に行うことができる可能性を高めることができる。つまり、評価対象機器４０のセキュリティの評価が不完全になってしまう可能性を抑えることができる。そのため、評価対象機器４０の評価を効果的に支援することができる。

【0129】

（実施の形態３）
実施の形態３と実施の形態１との違いは、脅威分析情報ｄ２１および脆弱性分析情報ｄ２２のうち、脆弱性分析情報ｄ２２のみを扱うことである。以下、実施の形態３のうち、実施の形態１との違いのみを説明する。

【0130】

図１５は、実施の形態３における開発システム１００の構成の一例を示す図である。

【0131】

実施の形態３の開発システム１００は、脆弱性分析部２２、評価仕様定義部３１、評価部３２、結果判定部３３、判定処理部３４、および評価支援システム１０を備えている。

【0132】

脆弱性分析部２２，評価仕様定義部３１、評価部３２、結果判定部３３，判定処理部３４は実施の形態１との差分はない。

【0133】

評価支援システム１０は、脆弱性連結部１２、再定義部１３、および評価データベース（評価ＤＢとも表記される）１４を備える。

【0134】

脆弱性連結部１２は実施の形態１との差分はない。

【0135】

再定義部１３は、第２連携処理に基づいて、第１評価仕様情報ｄ３１に示されている１以上の評価仕様を再定義することによって、第２評価仕様情報ｄ１３を生成して出力する。つまり、再定義部１３は、脆弱性連結部１２から脆弱性連携情報ｄ１２を取得し、その脆弱性連携情報ｄ１２に基づいて、第２評価仕様情報ｄ１３を生成する。そして、再定義部１３は、その第２評価仕様情報ｄ１３を評価部３２に出力するとともに、評価データベース１４に格納する。なお、再定義部１３は、第２連携処理が行われた後の第１評価仕様情報ｄ３１に示されている評価仕様を、その評価仕様に関連付けられている脆弱性ＩＤに基づいて変更することによって、上述の再定義を行ってもよい。このような評価仕様の変更は、脆弱性ＩＤに評価仕様を関連付けて示すテーブルを参照することによって行われてもよい。例えば、評価仕様の変更では、第１評価仕様情報ｄ３１において、脆弱性ＩＤに関連付けて示されている評価仕様が、そのテーブルにおいて、その脆弱性ＩＤに関連付けて示されている評価仕様に置き換えられてもよい。

【0136】

評価データベース１４には、評価済仕様情報ｄ１４が格納される。評価データベース１４に格納されている評価済仕様情報ｄ１４は、脆弱性分析部２２にフィードバックされる。つまり、本実施の形態における評価データベース１４は、第２評価仕様情報ｄ１３にしたがった評価によって得られる評価対象機器の評価結果が示されている第２評価仕様情報ｄ１３を、脆弱性分析部２２に評価済仕様情報ｄ１４としてフィードバックするフィードバック部として構成されている。

【0137】

図１２は、開発システム１００の処理動作の一例を示すシーケンス図である。

【0138】

評価仕様定義部３１は、第１評価仕様情報ｄ３１を生成して脆弱性連結部１２に出力する（ステップＳ１）。脆弱性分析部２２は、脆弱性分析情報ｄ２２を生成して脆弱性連結部１２に出力する（ステップＳ３）。脆弱性連結部１２は、第１評価仕様情報ｄ３１および脆弱性分析情報ｄ２２に基づいて、脆弱性連携情報ｄ１２を生成して再定義部１３に出力する（ステップＳ４）。

【0139】

再定義部１３は、脆弱性連携情報ｄ１２に基づいて、第２評価仕様情報ｄ１３を生成して評価データベース１４に出力し（ステップＳ５）、さらに、その第２評価仕様情報ｄ１３を評価部３２に出力する（ステップＳ６）。

【0140】

再定義部１３および結果判定部３３は実施の形態１との差分はない。

【0141】

評価データベース１４内に生成された評価済仕様情報ｄ１４は、評価データベース１４から脆弱性分析部２２にフィードバックされる（ステップＳ９）。

【0142】

図１３は、評価支援システム１０の処理動作の一例を示すフローチャートである。

【0143】

まず、脆弱性連結部１２は、評価仕様定義部３１から第１評価仕様情報ｄ３１を取得する（ステップＳ２１）。そして、脆弱性連結部１２は、脆弱性分析部２２から脆弱性分析情報ｄ２２を取得する（ステップＳ２３）。

【0144】

脆弱性連結部１２、再定義部１３および結果判定部３３は実施の形態１との差分はない。

【0145】

結果判定部３３による判定情報ｄ３３の格納によって、評価データベース１４には、判定情報ｄ３３が反映された第２評価仕様情報ｄ１３が、評価済仕様情報ｄ１４として格納される（ステップＳ２６）。そして、評価データベース１４（すなわちフィードバック部）は、その評価済仕様情報ｄ１４を脆弱性分析部２２にフィードバックする（ステップＳ２８）。

【0146】

実施の形態３における評価支援システム１０では、第２連携処理、および再定義によって、第２評価仕様情報ｄ１３に含まれる１以上の評価仕様は、脆弱性分析情報ｄ２２に連携される。つまり、従来では、評価対象機器４０のセキュリティの評価と、脆弱性分析は、連携されていないが、本実施の形態では、それらが連携される。その結果、必要な評価の抜けを抑制して評価対象機器４０の評価を網羅的に行うことができる可能性を高めることができる。つまり、評価対象機器４０のセキュリティの評価が不完全になってしまう可能性を抑えることができる。そのため、評価対象機器４０の評価を効果的に支援することができる。

【0147】

以上、本開示の１つまたは複数の態様に係る評価支援システム１０および評価支援方法について、各実施の形態に基づいて説明したが、本開示は、それらの実施の形態に限定されるものではない。本開示の趣旨を逸脱しない限り、当業者が思いつく各種変形を上記各実施の形態に施したものも本開示に含まれてもよい。

【0148】

例えば、上記各実施の形態では、評価対象機器４０はＥＣＵであるが、情報処理を行う機器であれば他の機器であってもよい。

【0149】

また、上記各実施の形態では、評価データベース１４には評価済仕様情報ｄ１４が格納されて、その評価済仕様情報ｄ１４がフィードバックされる。ここで、さらに、その評価済仕様情報ｄ１４に含まれる判定結果（具体的にはＮＧ）の評価項目に対する新たな対策案が、評価データベース１４に格納されてフィードバックされてもよい。その新たな対策案は、人による入力操作によって格納されてもよい。

【0150】

また、評価済仕様情報ｄ１４などは、脅威分析部２１および脆弱性分析部２２だけではなく、他の構成要素にもフィードバックされてもよい。他の構成要素は、セキュリティ実行部であっても、ＣＳ（Cyber Security）法規対応部などであってもよい。セキュリティ実行部は、自動車開発Ｖ字プロセスにおける最下部で行われる処理であって、評価対象機器４０のソフトウェアプログラムのコーディングなどを行う。

【0151】

また、上記各実施の形態では、評価支援システム１０は、評価部３２および結果判定部３３を備えていないが、これらの構成要素を備えていてもよい。

【0152】

また、上記各実施の形態において、評価支援システム１０に含まれる各構成要素は、その構成要素に対応する処理を、人による入力操作に応じて行ってもよく、その入力操作を受け付けずに自動的に行ってもよい。また、開発システム１００に含まれる各構成要素も、上述と同様、その構成要素に対応する処理を、人による入力操作に応じて行ってもよく、その入力操作を受け付けずに自動的に行ってもよい。また、自動的に行われる処理には、入力と出力との相関関係を示す機械学習モデルなどが用いられてもよい。

【0153】

なお、上記各実施の形態において、各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したソフトウェアプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵ（Central Processing Unit）またはプロセッサなどのプログラム実行部が、ハードディスクまたは半導体メモリなどの記録媒体に記録されたソフトウェアプログラムを読み出して実行することによって実現されてもよい。ここで、上記各実施の形態の評価支援システムなどを実現するソフトウェアは、図１３に示すフローチャートの各ステップをコンピュータに実行させるコンピュータプログラムである。

【0154】

なお、以下のような場合も本開示に含まれる。

【0155】

（１）上記の少なくとも１つのシステムまたは装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどから構成されるコンピュータシステムである。そのＲＡＭまたはハードディスクユニットには、コンピュータプログラムが記憶されている。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、上記の少なくとも１つの装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。

【0156】

（２）上記の少なくとも１つのシステムまたは装置を構成する構成要素の一部または全部は、１個のシステムＬＳＩ（Large Scale Integration：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。ＲＡＭには、コンピュータプログラムが記憶されている。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、システムＬＳＩは、その機能を達成する。

【0157】

（３）上記の少なくとも１つのシステムまたは装置を構成する構成要素の一部または全部は、その装置に脱着可能なＩＣカードまたは単体のモジュールから構成されているとしてもよい。ＩＣカードまたはモジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコンピュータシステムである。ＩＣカードまたはモジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、ＩＣカードまたはモジュールは、その機能を達成する。このＩＣカードまたはこのモジュールは、耐タンパ性を有するとしてもよい。

【0158】

（４）本開示は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、コンピュータプログラムからなるデジタル信号であるとしてもよい。

【0159】

また、本開示は、コンピュータプログラムまたはデジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ（Compact Disc）－ＲＯＭ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Blu-ray（登録商標） Disc）、半導体メモリなどに記録したものとしてもよい。また、これらの記録媒体に記録されているデジタル信号であるとしてもよい。

【0160】

また、本開示は、コンピュータプログラムまたはデジタル信号を、電気通信回線、無線または有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。

【0161】

また、プログラムまたはデジタル信号を記録媒体に記録して移送することにより、またはプログラムまたはデジタル信号をネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。

【産業上の利用可能性】

【0162】

本開示の評価支援システムは、例えば車両などに組み込まれるＥＣＵなどの評価を支援する装置またはシステムなどに適用することができる。

【符号の説明】

【0163】

１ セキュリティ要件
２ テストガイドライン
３ アーキテクチャ仕様
１０ 評価支援システム
１１ 脅威連結部
１２ 脆弱性連結部
１３ 再定義部
１４ 評価データベース（フィードバック部）
２１ 脅威分析部
２２ 脆弱性分析部
３１ 評価仕様定義部
３２ 評価部
３３ 結果判定部
３４ 判定処理部
４０ 評価対象機器
４１ ＢＴインターフェース
４２ ＵＳＢインターフェース
４３ ＣＡＮインターフェース
４４ Ｍａｉｎマイコン
４５ ＣＡＮマイコン
９１ スマホ
９２ Ｄｉａｇ
１００ 開発システム
ｄ１１ 脅威連携情報
ｄ１２ 脆弱性連携情報
ｄ１３ 第２評価仕様情報
ｄ１４ 評価済仕様情報
ｄ２１ 脅威分析情報
ｄ２２ 脆弱性分析情報
ｄ３１ 第１評価仕様情報
ｄ３２ 結果情報
ｄ３３ 判定情報

【要約】

【課題】評価対象機器の評価を効果的に支援することができ評価支援システムを提供する。
【解決手段】評価支援システム１０は、評価対象機器４０に対する１以上の評価仕様を示す第１評価仕様情報ｄ３１に、評価対象機器４０における情報セキュリティの脅威に対する分析結果を示す脅威分析情報ｄ２１の少なくとも一部を連結する第１連携処理を行う脅威連結部１１と、第１評価仕様情報ｄ３１に、評価対象機器４０における情報セキュリティの脆弱性に対する分析結果を示す脆弱性分析情報ｄ２２の少なくとも一部を連結する第２連携処理を行う脆弱性連結部１２と、第１連携処理および第２連携処理に基づいて、第１評価仕様情報ｄ３１に示されている１以上の評価仕様を再定義することによって、第２評価仕様情報ｄ１３を生成して出力する再定義部１３と、を備える。
【選択図】図１

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】