特表 2024-546566 算出された不確実性および予測されたリソース消費に基づくセキュリティ・ポリシ選択

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2024-12-26

(54)【発明の名称】算出された不確実性および予測されたリソース消費に基づくセキュリティ・ポリシ選択

(51)【国際特許分類】

   G06F 21/57 20130101AFI20241219BHJP

【ＦＩ】

G06F21/57 370

【審査請求】有

【予備審査請求】未請求

(21)【出願番号】P 2024521911

(86)(22)【出願日】2023-02-23

(85)【翻訳文提出日】2024-04-10

(86)【国際出願番号】 EP2023054547

(87)【国際公開番号】W WO2024104617

(87)【国際公開日】2024-05-23

(31)【優先権主張番号】17/990,511

(32)【優先日】2022-11-18

(33)【優先権主張国・地域又は機関】US

(81)【指定国・地域】

(71)【出願人】

【識別番号】521555742

【氏名又は名称】キンドリル・インク

【氏名又は名称原語表記】Ｋｙｎｄｒｙｌ Ｉｎｃ．

【住所又は居所原語表記】Ｏｎｅ Ｖａｎｄｅｒｂｉｌｔ Ａｖｅｎｕｅ，１５ｔｈ Ｆｌｏｏｒ，Ｎｅｗ Ｙｏｒｋ，Ｎｅｗ Ｙｏｒｋ １００１７，ＵＳＡ

(74)【代理人】

【識別番号】110000420

【氏名又は名称】弁理士法人ＭＩＰ

(72)【発明者】

【氏名】ロブソン、ペレイラ

(72)【発明者】

【氏名】レアンドロ、セザール、フィーダ

(72)【発明者】

【氏名】エドソン、ジョゼ、モンタニーニ

(72)【発明者】

【氏名】セルジオ、バルガ

(72)【発明者】

【氏名】ダニエレ、ジャクリーヌ、マルキオーリ

(57)【要約】

一実施形態によるコンピュータ実装方法は、ＩＴ環境における第１のクライアントに関連付けられた第１のデプロイについてセキュリティ・ポリシ実装分析を実施する要求を受け取ることを含む。第１のデプロイに関連付けられたＩＴ情報が収集される。本方法は、訓練された機械学習モデルを適用して第１のクライアントのＩＴ情報を分析し、第１のデプロイについてセキュリティ・ポリシを計算することをさらに含む。セキュリティ・ポリシを第１のデプロイに適用することにより引き起こすことのできる効果の算出された不確実性と、セキュリティ・ポリシを第１のデプロイに適用することにより消費されることになる第１のデプロイのリソースの予測量とに基づいて、セキュリティ・ポリシが計算される。セキュリティ・ポリシの標示は、第１のクライアントのユーザ・デバイスのディスプレイ上でダッシュボードに提示するための出力である。

【特許請求の範囲】

【請求項1】

ＩＴ環境において第１のクライアントに関連付けられた第１のデプロイについてセキュリティ・ポリシ実装分析を実施することの要求を受信すること、
前記第１のデプロイに関連付けられたＩＴ情報を収集すること、
訓練された機械学習モデルを適用して前記第１のクライアントの前記ＩＴ情報を分析し、前記第１のデプロイについてセキュリティ・ポリシを計算することであって、

前記セキュリティ・ポリシは、前記セキュリティ・ポリシを前記第１のデプロイに適用することにより引き起こすことのできる効果の算出された不確実性と、前記セキュリティ・ポリシを前記第１のデプロイに適用することによって消費するものとなる前記第１のデプロイのリソースの予測量とに基づいて計算される、前記訓練された機械学習モデルを適用することと、
前記第１のクライアントのユーザ・デバイスのディスプレイ上でダッシュボードに提示するためのセキュリティ・ポリシの標示を出力することと
を含む、コンピュータ実装方法。

【請求項2】

ＩＴ情報を分析するように前記機械学習モデルを訓練することと、前記訓練された機械学習モデルを所定のデータベースに記憶することとを含む方法であって、前記機械学習モデルを訓練することは、訓練ＩＴ環境の第２のデプロイに関連付けられたＩＴ情報を読み出すことと、前記第２のデプロイのコンポーネントと前記第２のデプロイのアプリケーションとに由来するリスク・レベル誤差を計算することと、前記ＩＴ情報を前記機械学習モデルのための訓練データセットに変換することと、第１の前記訓練データセットを用いて第１の前記機械学習モデルを訓練することであって、不確実性を算出するために前記第１の前記機械学習モデルが訓練される、前記訓練することと、第２の前記訓練データセットを用いて第２の前記機械学習モデルを訓練することであって、リソース消費を予測するために前記第２の前記機械学習モデルが訓練される、前記訓練することとを含む、請求項１に記載のコンピュータ実装方法。

【請求項3】

前記第１のデプロイが現在前記ＩＴ環境においてサポートできる、リスクの程度の標示を受け取ることを含み、前記セキュリティ・ポリシの前記標示は、複数の推奨セキュリティ・パラメータを含み、前記推奨セキュリティ・パラメータのそれぞれは、前記推奨セキュリティ・パラメータが前記リスクの程度にどれほど適合するかに従って段層化される、請求項１に記載のコンピュータ実装方法。

【請求項4】

前記セキュリティ・ポリシの前記標示は、前記ＩＴ情報に関連付けられた複数のアプリケーションのブレークダウンを含み、前記ブレークダウンは、前記アプリケーションのそれぞれについて、セキュリティ・コンピテンシの課題と、課題特異的な不確実性レベルとを含み、セキュリティ・ポリシを第１のデプロイに適用することにより引き起こすことのできる効果の前記算出された不確実性は、前記課題特異的な不確実性レベルのそれぞれに基づく、請求項１に記載のコンピュータ実装方法。

【請求項5】

前記セキュリティ・ポリシを前記第１のデプロイに適用することにより引き起こすことのできる前記効果は、前記セキュリティ・ポリシを前記適用することにより、前記第１のデプロイのアプリケーションによって与えられるカスタマの特徴に引き起こされる副次的な効果、非意図的にアクセス可能となりつつある私的なカスタマ情報、アクセス・イベントの喪失、および前記第１のデプロイのコンポーネントの機能性の喪失からなる群から選択され、前記第１のデプロイの前記リソースは、アドミニストレータの時間、前記第１のクライアントの負うコスト、内容領域専門家（ＳＭＥ）のコンサルテーション、トラブルシューティング・オペレーションに充てられている処理オペレーション、および前記第１のデプロイに関連付けられたアプリケーションの更新に費やされる時間からなる群から選択される、請求項１に記載のコンピュータ実装方法。

【請求項6】

前記セキュリティ・ポリシは、訓練された機械学習モデルを適用する結果から識別された複数の可能なセキュリティ・アクションから計算され、前記可能なセキュリティ・アクションは、前記セキュリティ・ポリシの前記計算に用いられる所定の遺伝的アルゴリズムに対する入力として使用される、請求項１に記載のコンピュータ実装方法。

【請求項7】

前記セキュリティ・ポリシに少なくとも所定の程度の類似性を有するサービスを供給するＩＴサービス・プロバイダを決定することと、前記決定されたＩＴサービス・プロバイダの標示を前記ユーザ・デバイスに出力することとを含む、請求項１に記載のコンピュータ実装方法。

【請求項8】

それ自体により具現化されるプログラム命令を有するコンピュータ可読記憶媒体を含むコンピュータ・プログラム製品であって、前記プログラム命令は、
ＩＴ環境において第１のクライアントに関連付けられた第１のデプロイについてセキュリティ・ポリシ実装分析を実施することの要求をコンピュータにより受信すること、
前記第１のデプロイに関連付けられたＩＴ情報をコンピュータにより収集すること、
コンピュータにより、訓練された機械学習モデルを適用して前記第１のクライアントの前記ＩＴ情報を分析し、前記第１のデプロイについてセキュリティ・ポリシを計算することであって、
前記セキュリティ・ポリシは、前記セキュリティ・ポリシを前記第１のデプロイに適用することにより引き起こすことのできる効果の算出された不確実性と、前記セキュリティ・ポリシを前記第１のデプロイに適用することによって消費するものとなる前記第１のデプロイのリソースの予測量とに基づいて計算される、前記訓練された機械学習モデルを適用することと、
前記第１のクライアントのユーザ・デバイスのディスプレイ上でダッシュボードに提示するための前記セキュリティ・ポリシの標示をコンピュータによって出力することと
をコンピュータに実施させるようにコンピュータにより実行可能である、コンピュータ・プログラム製品。

【請求項9】

前記プログラム命令は、前記コンピュータによって、ＩＴ情報を分析するように前記機械学習モデルを訓練することと、前記コンピュータによって、前記訓練された機械学習モデルを所定のデータベースに記憶することとを前記コンピュータに行わせるよう前記コンピュータによって実行可能であって、前記機械学習モデルを訓練することは、訓練ＩＴ環境の第２のデプロイに関連付けられたＩＴ情報を読み出すことと、前記第２のデプロイのコンポーネントと前記第２のデプロイのアプリケーションとに由来するリスク・レベル誤差を計算することと、前記ＩＴ情報を前記機械学習モデルのための訓練データセットに変換することと、第１の前記訓練データセットを用いて第１の前記機械学習モデルを訓練することであって、不確実性を算出するために前記第１の前記機械学習モデルが訓練される、前記訓練することと、第２の前記訓練データセットを用いて第２の前記機械学習モデルを訓練することであって、リソース消費を予測するために前記第２の前記機械学習モデルが訓練される、前記訓練することとを含む、請求項８に記載のコンピュータ・プログラム製品。

【請求項10】

前記プログラム命令は、前記第１のデプロイが現在前記ＩＴ環境においてサポートできるリスクの程度の標示を受け取ることを前記コンピュータに行わせるように前記コンピュータによって実行可能であり、前記セキュリティ・ポリシの前記標示は、複数の推奨セキュリティ・パラメータを含み、前記推奨セキュリティ・パラメータのそれぞれは、前記推奨セキュリティ・パラメータが前記リスクの程度にどれほど適合するかに従って段層化される、請求項８に記載のコンピュータ・プログラム製品。

【請求項11】

前記セキュリティ・ポリシの前記標示は、前記ＩＴ情報に関連付けられた複数のアプリケーションのブレークダウンを含み、前記ブレークダウンは、前記アプリケーションのそれぞれについて、セキュリティ・コンピテンシの課題と、課題特異的な不確実性レベルとを含み、セキュリティ・ポリシを第１のデプロイに適用することにより引き起こすことのできる効果の前記算出された不確実性は、前記課題特異的な不確実性レベルのそれぞれに基づく、請求項８に記載のコンピュータ・プログラム製品。

【請求項12】

前記セキュリティ・ポリシを前記第１のデプロイに適用することにより引き起こすことのできる前記効果は、前記セキュリティ・ポリシを前記適用することにより、前記第１のデプロイのアプリケーションによって与えられるカスタマの特徴に引き起こされる副次的な効果、非意図的にアクセス可能となりつつある私的なカスタマ情報、アクセス・イベントの喪失、および前記第１のデプロイのコンポーネントの機能性の喪失からなる群から選択され、前記第１のデプロイの前記リソースは、アドミニストレータの時間、前記第１のクライアントの負うコスト、内容領域専門家（ＳＭＥ）のコンサルテーション、トラブルシューティング・オペレーションに充てられている処理オペレーション、および前記第１のデプロイに関連付けられたアプリケーションの更新に費やされる時間からなる群から選択される、請求項８に記載のコンピュータ・プログラム製品。

【請求項13】

前記セキュリティ・ポリシは、訓練された機械学習モデルを適用する結果から識別された複数の可能なセキュリティ・アクションから計算され、前記可能なセキュリティ・アクションは、前記セキュリティ・ポリシの前記計算に用いられる所定の遺伝的アルゴリズムに対する入力として使用される、請求項８に記載のコンピュータ・プログラム製品。

【請求項14】

前記プログラム命令は、前記セキュリティ・ポリシに少なくとも所定の程度の類似性を有するサービスを供給するＩＴサービス・プロバイダを前記コンピュータによって決定することと、前記決定されたＩＴサービス・プロバイダの標示を前記コンピュータによって前記ユーザ・デバイスに出力することとを、前記コンピュータに行わせるように前記コンピュータによって実行可能である、請求項８に記載のコンピュータ・プログラム製品。

【請求項15】

ハードウェア・プロセッサと、
前記プロセッサに統合された論理とを含み、前記論理は、前記プロセッサによって実行可能であるか、または前記プロセッサに統合され前記プロセッサによって実行可能であり、前記論理は、
ＩＴ環境において第１のクライアントに関連付けられた第１のデプロイについてセキュリティ・ポリシ実装分析を実施することの要求を受信すること、
前記第１のデプロイに関連付けられたＩＴ情報を収集すること、
訓練された機械学習モデルを適用して前記第１のクライアントの前記ＩＴ情報を分析し、前記第１のデプロイについてセキュリティ・ポリシを計算することであって、
前記セキュリティ・ポリシは、前記セキュリティ・ポリシを前記第１のデプロイに適用することにより引き起こすことのできる効果の算出された不確実性と、前記セキュリティ・ポリシを前記第１のデプロイに適用することによって消費するものとなる前記第１のデプロイのリソースの予測量とに基づいて計算される、前記訓練された機械学習モデルを適用することと、
前記第１のクライアントのユーザ・デバイスのディスプレイ上でダッシュボードに提示するための前記セキュリティ・ポリシの標示を出力することと
を行うように構成される、システム。

【請求項16】

前記論理が、ＩＴ情報を分析するように前記機械学習モデルを訓練することと、前記訓練された機械学習モデルを所定のデータベースに記憶することとを行うように構成されており、前記機械学習モデルを訓練することは、訓練ＩＴ環境の第２のデプロイに関連付けられたＩＴ情報を読み出すことと、前記第２のデプロイのコンポーネントと前記第２のデプロイのアプリケーションとに由来するリスク・レベル誤差を計算することと、前記ＩＴ情報を前記機械学習モデルのための訓練データセットに変換することと、第１の前記訓練データセットを用いて第１の前記機械学習モデルを訓練することであって、不確実性を算出するために前記第１の前記機械学習モデルが訓練される、前記訓練することと、第２の前記訓練データセットを用いて第２の前記機械学習モデルを訓練することであって、リソース消費を予測するために前記第２の前記機械学習モデルが訓練される、前記訓練することとを含む、請求項１５に記載のシステム。

【請求項17】

前記論理は、前記第１のデプロイが現在前記ＩＴ環境においてサポートできる、リスクの程度の標示を受け取るように構成されており、前記セキュリティ・ポリシの前記標示は、複数の推奨セキュリティ・パラメータを含み、前記推奨セキュリティ・パラメータのそれぞれは、前記推奨セキュリティ・パラメータが前記リスクの程度にどれほど適合するかに従って段層化される、請求項１５に記載のシステム。

【請求項18】

前記セキュリティ・ポリシの前記標示は、前記ＩＴ情報に関連付けられた複数のアプリケーションのブレークダウンを含み、前記ブレークダウンは、前記アプリケーションのそれぞれについて、セキュリティ・コンピテンシの課題と、課題特異的な不確実性レベルとを含み、セキュリティ・ポリシを第１のデプロイに適用することにより引き起こすことのできる効果の前記算出された不確実性は、前記課題特異的な不確実性レベルのそれぞれに基づく、請求項１５に記載のシステム。

【請求項19】

前記セキュリティ・ポリシは、訓練された機械学習モデルを適用する結果から識別された複数の可能なセキュリティ・アクションから計算され、前記可能なセキュリティ・アクションは、前記セキュリティ・ポリシの前記計算に用いられる所定の遺伝的アルゴリズムに対する入力として使用される、請求項１５に記載のシステム。

【請求項20】

前記セキュリティ・ポリシに少なくとも所定の程度の類似性を有するサービスを供給するＩＴサービス・プロバイダを決定することと、前記決定されたＩＴサービス・プロバイダの標示を前記ユーザ・デバイスに出力することとを行うように、前記論理が構成される、請求項１５に記載のシステム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、情報および技術（ＩＴ）の環境において適用されるセキュリティ・ポリシに関し、より具体的には、本発明は、推奨セキュリティ・ポリシの適用にそれぞれ関連付けられた算出された不確実性とリソース消費の予測量とに基づいて、上記セキュリティ・ポリシを計算することに関する。

【背景技術】

【0002】

ＩＴ環境は、ＩＴコンポーネント、例えば、サーバ・システム、コンピュータ・ネットワーク、ネットワーキング・デバイス、少なくとも１つの他のコンピュータデバイスと通信中のコンピュータデバイスなどの最上位に、一連のアプリケーションを含むことがある。さらに、これらのアプリケーションは、ビジネスのアドミニストレータによって管理され得る任意の公知のタイプのビジネス・アプリケーションを含むことがある。そのようなＩＴ環境内では、ＩＴコンポーネントは、異なる行為者、例えば、クライアント、アドミニストレータ、ビジネスなどにそれぞれ関連付けられてそれらによって管理される、ＩＴコンポーネントのサブグループに分解されることがある。

【0003】

ＩＴ環境は、例えば、人間のインタラクションゆえに、システム同士のインタラクションゆえに、進展しているＩＴ環境における１つまたは複数のデプロイに対するセキュリティ上の脅威ゆえになどで、絶えず変化している。確実にＩＴ環境をセキュアに留めるために、不適当なまたは脆弱な構成がＩＴ環境内に結果として攻撃者に悪用される事態をもたらし得るかまたは可能にし得るというセキュリティ・リスクを最小限にするべく、一連のＩＴセキュリティ・ポリシが典型的にＩＴ環境に適用されている。

【0004】

これらのセキュリティ・ポリシは、企業の運営するビジネスに合致させたＩＴインフラストラクチャにとって価値のあるカスタマイズされたレベルのセキュリティを提供することを意図している。ＩＴインフラストラクチャがビジネス・アプリケーションに、例えば、マルウェア、カスタマ・データが権限のないパーティーにアクセス可能である状態、フィッシング攻撃、準拠法などを持ち込み得るという、セキュリティのすべての課題を特定することは簡単なことではない。さらに、セキュリティの課題と、その課題の悪用され得る潜在的な方法とに応じて、これらの課題がそのようなアプリケーションもしくはインフラストラクチャまたはその両方に突きつけるリスクは、比較的低いこともあれば比較的高いこともある。そのため、企業は、セキュリティ・リスクを確実に低く保ち、かつ企業のビジネス上のオペレーションに影響を与えない、ＩＴセキュリティ・ポリシを実装することを目指す。

【発明の概要】

【0005】

コンピュータ実装方法は、一実施形態によれば、ＩＴ環境において第１のクライアントに関連付けられた第１のデプロイについてセキュリティ・ポリシ実装分析を実施することの要求を受信することを含む。第１のデプロイに関連付けられたＩＴ情報が収集される。本方法はさらに、訓練された機械学習モデルを適用して、第１のクライアントのＩＴ情報を分析して第１のデプロイのセキュリティ・ポリシを計算することを含む。セキュリティ・ポリシは、セキュリティ・ポリシを第１のデプロイに適用することにより引き起こすことのできる効果の算出された不確実性と、セキュリティ・ポリシを第１のデプロイに適用することによって消費するものとなる第１のデプロイのリソースの予測量とに基づいて計算される。セキュリティ・ポリシの標示は、第１のクライアントのユーザ・デバイスのダッシュボードに提示するための出力である。

【0006】

コンピュータ・プログラム製品は、別の実施形態によれば、それ自体によって具現化されるプログラム命令を有するコンピュータ可読記憶媒体を含む。プログラム命令は、コンピュータに前述の方法を実施させるようにコンピュータによって実行可能である。

【0007】

システムは、別の実施形態によれば、ハードウェア・プロセッサと、プロセッサに統合された論理とを含み、この論理は、上記プロセッサによって実行可能であるか、または上記プロセッサに統合されて上記プロセッサによって実行可能である。論理は、前述の方法を実施するように構成される。

【0008】

本発明の他の態様および実施形態は、図面と併せた際に本発明の概念を例示として説明する、下記の詳細な記載から明らかとなろう。

【図面の簡単な説明】

【0009】

【図1】本発明の一実施形態によるネットワーク・アーキテクチャの図である。

【図2】本発明の一実施形態による、図１のサーバもしくはクライアントまたはその両方に関連付けられ得る代表的なハードウェア環境の図である。

【図3A】本発明の一実施形態による方法のフローチャートである。

【図3B】本発明の一実施形態による方法のフローチャートである。

【図3C】本発明の一実施形態による方法のフローチャートである。

【図3D】本発明の一実施形態による方法のフローチャートである。

【図3E】本発明の一実施形態による方法のフローチャートである。

【図4】本発明の一実施形態による方法のフローチャートである。

【図5】本発明の一実施形態による方法のフローチャートである。

【図6】本発明の一実施形態によるグラフィック・ダッシュボード描写である。

【発明を実施するための形態】

【0010】

以下の記載は、本発明の概ねの原理を説明する目的でなされ、本明細書に請求される発明の概念を制限することを意味しない。さらに、本明細書に記載される具体的な特徴は、他の記載される特徴と様々な可能な組合せおよび順列のそれぞれで組み合わせて用いることができる。

【0011】

本明細書に特段に定義されない限り、すべての用語は、本明細書から汲み取られる意味、ならびに当業者の理解するもしくは辞書、学術論文などに定義されるまたはその両方の意味を含めた、最も広い可能な解釈を与えられるものとなる。

【0012】

また、本明細書および添付の特許請求の範囲に用いられる際に、単数形「ａ」、「ａｎ」、および「ｔｈｅ」は、別段に指定のない限り、複数への言及を含むことに留意されたい。用語「含む（comprises）」もしくは「含むこと（comprising）」またはその両方は、本明細書に用いられる際に、述べられた特徴、整数、ステップ、オペレーション、要素、もしくは構成要素、またはそれらの組合せの存在を指定するが、１つまたは複数の他の特徴、整数、ステップ、オペレーション、要素、構成要素、もしくはそれらの群、またはそれらの組合せの存在または追加を排除しないことがさらに理解されよう。

【0013】

以下の記載は、推奨セキュリティ・ポリシの適用にそれぞれ関連付けられた算出された不確実性およびリソース消費の予測量に基づいて、上記セキュリティ・ポリシを計算するためのシステム、方法、およびコンピュータ・プログラム製品のいくつかの好適な実施形態を開示する。

【0014】

一般的な一実施形態では、コンピュータ実装方法は、ＩＴ環境における第１のクライアントに関連付けられた第１のデプロイについてセキュリティ・ポリシ実装分析を実施する要求を受け取ることを含む。第１のデプロイに関連付けられたＩＴ情報が収集される。本方法は、訓練された機械学習モデルを適用して第１のクライアントのＩＴ情報を分析し、第１のデプロイについてセキュリティ・ポリシを計算することをさらに含む。セキュリティ・ポリシを第１のデプロイに適用することにより引き起こすことのできる効果の算出された不確実性と、セキュリティ・ポリシを第１のデプロイに適用することにより消費されることになる第１のデプロイのリソースの予測量とに基づいて、セキュリティ・ポリシが計算される。セキュリティ・ポリシの標示は、第１のクライアントのユーザ・デバイスのディスプレイ上でダッシュボードに提示するための出力である。

【0015】

別の一般的な実施形態では、コンピュータ・プログラム製品は、それ自体により具現化されるプログラム命令を有するコンピュータ可読記憶媒体を含む。プログラム命令は、コンピュータに前述の方法を実施させるようにコンピュータにより実行可能である。

【0016】

別の一般的な実施形態では、システムは、ハードウェア・プロセッサと、プロセッサに統合された論理とを含み、この論理は、上記プロセッサによって実行可能であるか、または上記プロセッサに統合され上記プロセッサによって実行可能である。論理は、前述の方法を実施するように構成される。

【0017】

図１は、一実施形態によるアーキテクチャ１００を説明する。図１に示されるように、複数の遠隔ネットワーク１０２が、第１の遠隔ネットワーク１０４と第２の遠隔ネットワーク１０６とを含んで与えられる。ゲートウェイ１０１は、遠隔ネットワーク１０２と近位ネットワーク１０８との間に結合され得る。ここでのアーキテクチャ１００のコンテキストでは、ネットワーク１０４および１０６はそれぞれ、以下に限定されないがローカル・エリア・ネットワーク（ＬＡＮ）、インターネットなどのワイド・エリア・ネットワーク（ＷＡＮ）、公衆交換電話ネットワーク（ＰＳＴＮ）、国際電話ネットワークなどを含む、任意の形態をとっていてもよい。

【0018】

使用時に、ゲートウェイ１０１は、遠隔ネットワーク１０２から近位ネットワーク１０８への入口点の役割を果たす。そのため、ゲートウェイ１０１は、ゲートウェイ１０１に到着した所与のデータ・パケットを方向付けることのできるルータとして、および所与のパケットに対しゲートウェイ１０１内外への実際の経路を供給するスイッチとして、機能することがある。

【0019】

さらに含まれるのは、近位ネットワーク１０８に結合され、遠隔ネットワーク１０２からゲートウェイ１０１を介してアクセス可能な、少なくとも１つのデータ・サーバ１１４である。データ・サーバ１１４は、任意のタイプの計算デバイス／グループウェアを含み得ることに留意するべきである。各データ・サーバ１１４に結合されるのは、複数のユーザ・デバイス１１６である。ユーザ・デバイス１１６はまた、ネットワーク１０４、１０６、および１０８のうち１つを通じて直接的に接続されていてもよい。そのようなユーザ・デバイス１１６は、デスクトップ・コンピュータ、ラップトップ・コンピュータ、ハンドヘルド・コンピュータ、プリンタ、または任意の他のタイプの論理を含んでいてもよい。一実施形態では、ユーザ・デバイス１１１はまた、任意のネットワークに直接的に結合されてもよいことに留意するべきである。

【0020】

周辺機器１２０または一連の周辺機器１２０、例えば、ファクシミリ機器、プリンタ、ネットワーク化されたかもしくはローカル・ストレージのまたはその両方のユニットまたはシステムなどは、ネットワーク１０４、１０６、および１０８のうち１つまたは複数に結合されていてもよい。データベースもしくは追加のコンポーネントまたはその両方が、ネットワーク１０４、１０６、および１０８に結合された任意のタイプのネットワーク要素と併せて利用されているかまたは上記ネットワーク要素内に統合されていることに留意するべきである。本記載のコンテキストでは、ネットワーク要素とは、ネットワークの任意のコンポーネントを指し得る。

【0021】

いくつかのアプローチによれば、本明細書に記載の方法およびシステムは、仮想システム、または１つもしくは複数の他のシステムをエミュレートするシステム、またはその両方により実装されていることも、またはそれらの上において実装されていることも、またはその両方であることもある。上記他のシステムは、例えば、ＩＢＭ（登録商標）ｚ／ＯＳ（登録商標）環境（ＩＢＭおよびすべてのＩＢＭベースの商標およびロゴは、インターナショナル・ビジネス・マシンズ・コーポレーションもしくはその系列会社の商標または登録商標である）をエミュレートするＵＮＩＸ（登録商標）システム、公知のオペレーティング・システム環境を事実上ホストするＵＮＩＸ（登録商標）システム、ＩＢＭ（登録商標）ｚ／ＯＳ（登録商標）環境をエミュレートするオペレーティング・システムなどである。この仮想化もしくはエミュレーションまたはその両方は、一部の実施形態では、ＶＭｗａｒｅ（登録商標）ソフトウェアの使用を通じて増強されることがある。

【0022】

さらに多くのアプローチでは、１つまたは複数のネットワーク１０４、１０６、および１０８は、「クラウド」と称されるシステムのクラスタを表すことがある。クラウド計算において、共有リソース、例えば、処理能力、周辺機器、ソフトウェア、データ、サーバなどが、オンデマンドの関係のクラウド内の任意のシステムに提供され、それによって数多くの計算システムにわたるアクセスおよびサービスの分配が可能になる。クラウド計算は、典型的には、クラウド内で運用されているシステム間のインターネット接続を含むが、それらのシステムを接続する他の手法も用いられてもよい。

【0023】

図２は、一実施形態による図１のユーザ・デバイス１１６もしくはサーバ１１４またはその両方に関連付けられた代表的なハードウェア環境を示す。このような図は、マイクロプロセッサなどの中央処理ユニット２１０と、システムバス２１２を介して相互接続された複数の他のユニットとを有するワークステーションの典型的なハードウェア構成を示す。

【0024】

図２に示されるワークステーションは、ランダム・アクセス・メモリ（ＲＡＭ）２１４と、リード・オンリ・メモリ（ＲＯＭ）２１６と、ディスク・ストレージ・ユニット２２０などの周辺機器デバイスをバス２１２に接続するための入力／出力（Ｉ／Ｏ）アダプタ２１８と、キーボード２２４、マウス２２６、スピーカ２２８、マイクロフォン２３２、もしくはタッチ・スクリーンおよびデジタルカメラ（図示せず）などの他のユーザ・インタフェースデバイスまたはそれらの組合せをバス２１２に接続するためのユーザ・インタフェース・アダプタ２２２と、ワークステーションをコミュニケーション・ネットワーク２３５（例えば、データ処理ネットワーク）に接続するためのコミュニケーション・アダプタ２３４と、バス２１２をディスプレイ・デバイス２３８に接続するためのディスプレイ・アダプタ２３６とを含む。

【0025】

ワークステーションは、その上に常駐オペレーティング・システム、例えば、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ（登録商標）オペレーティング・システム（ＯＳ）、ｍａｃＯＳ（登録商標）、ＵＮＩＸ（登録商標）ＯＳなどを有する。好適な実施形態はまた、記述したもの以外のプラットフォームおよびオペレーティング・システム上に実装され得ることを認識されよう。好適な実施形態は、ｅＸｔｅｎｓｉｂｌｅ Ｍａｒｋｕｐ言語（ＸＭＬ）、Ｃ、および／またはＣ＋＋言語、または他のプログラミング言語を用いて、オブジェクト指向プログラミングの方法論に沿って書き込まれてもよい。複雑なアプリケーションを開発するために用いられるようになりつつあるオブジェクト指向プログラミング（ＯＯＰ）が用いられてもよい。

【0026】

本発明は、任意の可能な技術的詳細レベルの統合におけるシステム、方法、もしくはコンピュータ・プログラム製品、またはそれらの組合せとすることができる。コンピュータ・プログラム製品は、プロセッサに本発明の態様を実施させるためにコンピュータ可読プログラム命令を有するコンピュータ可読記憶媒体を含むことができる。

【0027】

コンピュータ可読記憶媒体は、命令実行デバイスによる使用のための命令を保持および記憶することができる有形デバイスとすることができる。コンピュータ可読記憶媒体は、例えば、以下に限定されないが、電子記憶デバイス、磁気記憶デバイス、光記憶デバイス、電磁気記憶デバイス、半導体記憶デバイス、または前述のものの任意の適切な組合せとすることができる。コンピュータ可読記憶媒体のより具体的な例の非網羅的なリストには、以下のもの、すなわち、ポータブル・コンピュータ・ディスケット、ハード・ディスク、ランダム・アクセス・メモリ（ＲＡＭ）、リード・オンリ・メモリ（ＲＯＭ）、消去可能プログラマブル・リード・オンリ・メモリ（ＥＰＲＯＭまたはフラッシュ・メモリ）、スタティック・ランダム・アクセス・メモリ（ＳＲＡＭ）、ポータブル・コンパクト・ディスク・リード・オンリ・メモリ（ＣＤ－ＲＯＭ）、デジタル多用途ディスク（ＤＶＤ）、メモリ・スティック、フロッピー（登録商標）・ディスク、パンチカードまたは命令が記録された溝内の隆起構造などの機械的符号化デバイス、および前述のものの任意の適切な組合せが含まれる。本明細書で使用される際に、コンピュータ可読記憶媒体は、電波もしくは他の自由に伝播する電磁波、導波路もしくは他の伝送媒体を通って伝搬する電磁波（例えば、光ファイバ・ケーブルを通過する光パルス）、またはワイヤを通して伝送される電気信号などのそれ自体が一過性信号であると解釈されるべきではない。

【0028】

本明細書に記載されるコンピュータ可読プログラム命令は、コンピュータ可読記憶媒体からそれぞれのコンピューティング／処理デバイスに、またはネットワーク、例えば、インターネット、ローカル・エリア・ネットワーク、ワイド・エリア・ネットワーク、もしくは無線ネットワーク、またはそれらの組合せを介して外部コンピュータまたは外部記憶デバイスにダウンロードされてもよい。ネットワークは、銅伝送ケーブル、光伝送ファイバ、無線伝送、ルータ、ファイアウォール、スイッチ、ゲートウェイ・コンピュータ、もしくはエッジ・サーバ、またはそれらの組合せを備えていてもよい。各コンピューティング／処理デバイスのネットワーク・アダプタ・カードまたはネットワーク・インタフェースは、ネットワークからのコンピュータ可読プログラム命令を受け取り、コンピュータ可読プログラム命令を、それぞれのコンピューティング／処理デバイス内のコンピュータ可読記憶媒体に記憶するために転送する。

【0029】

本発明の動作を実行するためのコンピュータ可読プログラム命令は、アセンブラ命令、命令セット・アーキテクチャ（ＩＳＡ）命令、マシン命令、マシン依存命令、マイクロコード、ファームウェア命令、状態設定データ、集積回路のための構成データ、またはＳｍａｌｌｔａｌｋ（登録商標）、Ｃ＋＋などのオブジェクト指向プログラミング言語、および「Ｃ」プログラミング言語もしくは同様のプログラミング言語などの手続き型プログラミング言語を含む１つもしくは複数のプログラミング言語の任意の組合せで記述されたソース・コードまたはオブジェクト・コードであってよい。コンピュータ可読プログラム命令は、ユーザのコンピュータ上で全体的に実行すること、ユーザのコンピュータ上でスタンドアロン・ソフトウェア・パッケージとして部分的に実行すること、ユーザのコンピュータ上およびリモート・コンピュータ上でそれぞれ部分的に実行すること、またはリモート・コンピュータ上もしくはサーバ上で全体的に実行することができる。後者のシナリオでは、リモート・コンピュータは、ローカル・エリア・ネットワーク（ＬＡＮ）または広域ネットワーク（ＷＡＮ）を含む任意の種類のネットワークを介してユーザのコンピュータに接続されてよく、または接続は、（例えば、インターネット・サービス・プロバイダを使用してインターネットを介して）外部コンピュータに対して行われてよい。一部の実施形態では、本発明の態様を実施するために、例えばプログラマブル・ロジック回路、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）、またはプログラマブル・ロジック・アレイ（ＰＬＡ）を含む電子回路は、コンピュータ可読プログラム命令の状態情報を利用して電子回路を個人仕様にすることによってコンピュータ可読プログラム命令を実行してもよい。

【0030】

本発明の態様は、本明細書において、本発明の実施形態に従って、方法、装置（システム）、およびコンピュータ・プログラム製品のフローチャートもしくはブロック図またはその両方を参照して説明される。フローチャートもしくはブロック図またはその両方の各ブロック、ならびにフローチャートもしくはブロック図またはその両方に含まれるブロックの組合せが、コンピュータ可読プログラム命令によって実装され得るということが理解されるであろう。

【0031】

これらのコンピュータ可読プログラム命令は、コンピュータまたは他のプログラム可能なデータ処理装置のプロセッサを介して実行される命令がフローチャートもしくはブロック図またはその両方の１つまたは複数のブロック中に指定された機能／動作を実現するための手段を作り出すように、コンピュータまたは他のプログラム可能なデータ処理装置のプロセッサに提供され得る。これらのコンピュータ可読プログラム命令はまた、命令が記憶されたコンピュータ可読記憶媒体がフローチャートもしくはブロック図またはその両方の１つまたは複数のブロック中に指定された機能／動作の態様を実装する命令を含む製品を構成するように、コンピュータ、プログラム可能なデータ処理装置、もしくは他のデバイス、またはそれらの組合せに対し、特定のやり方で機能するように指示することができるコンピュータ可読記憶媒体に記憶されてもよい。

【0032】

コンピュータ可読プログラム命令はまた、コンピュータ、他のプログラム可能な装置、または他のデバイス上で実行される命令がフローチャートもしくはブロック図またはその両方の１つまたは複数のブロック中に指定された機能／動作を実現するように、コンピュータ、他のプログラム可能なデータ処理装置、または他のデバイスにロードされて、一連の動作ステップをコンピュータ、他のプログラム可能な装置、または他のデバイス上で実行させて、コンピュータ実装プロセスを生じさせてもよい。

【0033】

図中のフローチャートおよびブロック図は、本発明の様々な実施形態によるシステム、方法、およびコンピュータ・プログラム製品の可能な実施態様のアーキテクチャ、機能、および動作を示す。これに関して、フローチャートまたはブロック図の各ブロックは、指定された論理機能を実現するための１つまたは複数の実行可能な命令を含むモジュール、セグメント、または命令の一部を表すことができる。いくつかの代替的な実施態様では、ブロックに記された機能が、図に記された順序から外れて生じ得る。例えば、連続して示される２つのブロックは、実際には、1ステップとして完遂されてもよいし、同時に、実質的に同時に、または部分的もしくは全体的に一時的に重複した様式で実行されてもよいし、またはブロックは、時には、関与する機能に応じて逆の順序で実行されてもよい。ブロック図もしくはフローチャート図またはその両方の各ブロック、およびブロック図もしくはフローチャート図またはその両方におけるブロックの組合せは、指定された機能もしくは動作を実行するかまたは専用ハードウェアとコンピュータ命令との組合せを実施する専用ハードウェア・ベース・システムによって実現できることも留意されたい。

【0034】

さらに、様々な実施形態によるシステムは、プロセッサと、プロセッサに統合されているかもしくはプロセッサによって実行可能であるかまたはその両方である論理とを含み、この論理は、本明細書に記載される１つまたは複数のプロセス・ステップを実施するように構成される。プロセッサは、処理ハードウェア、メモリ、Ｉ／Ｏインタフェースなどの数多くのコンポーネントを含む別々のプロセッサまたは処理回路など、本明細書に記載されるような任意の構成であってよい。統合されるとは、プロセッサが、それ自体と共にハードウェア論理として埋め込まれた論理、例えば、特定用途向け集積回路（ＡＳＩＣ）、ＦＰＧＡなどを有することを意味する。プロセッサによって実行可能であるとは、上記論理が、ハードウェア論理であることや、ファームウェア、オペレーティング・システムの一部分、アプリケーション・プログラムの一部分などのソフトウェア論理であることなど、またはプロセッサによりアクセス可能であり、プロセッサにより実行されるといくつかの機能をプロセッサに実施させるように構成される、ハードウェアおよびソフトウェア論理のいくつかの組合せであることを意味する。ソフトウェア論理は、当技術分野に公知の任意のメモリ・タイプのローカルもしくはリモートまたはその両方のメモリに記憶されてもよい。当技術分野に公知の任意のプロセッサ、例えば、ソフトウェア・プロセッサ・モジュール、もしくはＡＳＩＣ、ＦＰＧＡ、中央処理ユニット（ＣＰＵ）、集積回路（ＩＣ）、グラフィックス処理ユニット（ＧＰＵ）などのハードウェア・プロセッサが使用されてもよい。

【0035】

上記の他の箇所で述べたように、ＩＴ環境は、ＩＴコンポーネント、例えば、サーバ・システム、コンピュータ・ネットワーク、ネットワーキング・デバイス、少なくとも１つの他のコンピュータデバイスと通信中のコンピュータデバイスなどの最上位に、一連のアプリケーションを含むことがある。さらに、これらのアプリケーションは、ビジネスのアドミニストレータによって管理され得る任意の公知のタイプのビジネス・アプリケーションを含むことがある。そのようなＩＴ環境内では、ＩＴコンポーネントは、異なる行為者、例えば、クライアント、アドミニストレータ、ビジネスなどにそれぞれ関連付けられてそれらによって管理される、ＩＴコンポーネントのサブグループに分解されることがある。

【0036】

ＩＴ環境は、例えば、人間のインタラクションゆえに、システム同士のインタラクションゆえに、進展しているＩＴ環境における１つまたは複数のデプロイに対するセキュリティ上の脅威ゆえになどで絶えず変化している。確実にＩＴ環境をセキュアに留めるために、不適当なまたは脆弱な構成がＩＴ環境内に結果として攻撃者に悪用される事態をもたらし得るかまたは可能にし得るというセキュリティ・リスクを最小限にするべく、一連のＩＴセキュリティ・ポリシが典型的にＩＴ環境に適用されている。

【0037】

これらのセキュリティ・ポリシは、企業の運営するビジネスに合致させたＩＴインフラストラクチャにとって価値のあるカスタマイズされたレベルのセキュリティを提供することを意図している。ＩＴインフラストラクチャがビジネス・アプリケーションに、例えば、マルウェア、カスタマ・データが権限のないパーティーにアクセス可能である状態、フィッシング攻撃、準拠法などを持ち込み得るという、セキュリティのすべての課題を特定することは簡単ではない。さらに、セキュリティの課題と、その課題の悪用され得る潜在的な方法とに応じて、これらの課題がそのようなアプリケーションもしくはインフラストラクチャまたはその両方に突きつけるリスクは、比較的低いこともあれば比較的高いこともある。そのため、企業は、セキュリティ・リスクを確実に低く保ち、かつ企業のビジネス上のオペレーションに影響を与えない、ＩＴセキュリティ・ポリシを実装することを目指す。

【0038】

これらのセキュリティ・ポリシを実装するために、ＩＴ環境の全容、例えば、ＩＴ環境の技術、ＩＴ環境が含む製品、産業、ビジネス・アプリケーションの目的などを理解することが有用である。この情報を用いて、ＩＴセキュリティ・ポリシが選択されて、ＩＴ環境内の１つまたは複数のデプロイに適用されてもよい。しかし、このアプローチに関する問題は、これが時間のかかる活動であって、ＩＴ環境においてＩＴセキュリティ設定を変更することの実際の影響についてクライアント、アプリケーション・オーナ、およびＩＴスタッフの理解が乏しい場合が多いことを考慮しないことである。クライアントは、典型的には、ＩＴセキュリティ・ポリシの必要性および重要性を理解している。しかし、セキュリティ・ポリシのデプロイのこととなれば、典型的には、一般に提起される非常に多くのバリケードがある。したがって、場合によっては、セキュリティ・ポリシは散発的にデプロイされるが、そのようにすることにより組織全体からかなりの量のリソース、例えば、労力、コスト、時間、潜在的な処理力などが消費される。したがって、ランドスケープ全体をマッピングおよび識別し、ＩＴ情報を分析してクライアントのビジネス・アプリケーションに合致させる方法を決定し、クライアントのセキュリティ・ニーズを満たすことができかつクライアントに何ら負荷を与えることなく実装することのできるＩＴセキュリティ・ポリシを構築するための、予測方法をデプロイする長年のニーズがある。

【0039】

上記の欠陥とははっきりと対照的に、本明細書に記載される様々な実施形態およびアプローチの手法は、ＩＴセキュリティ・ポリシを評価し実装する方法を変更および変換することを意図している。機械学習アルゴリズムは、クライアント環境を検証し、実行可能なＩＴセキュリティ・アクションを分析し、そのようなアクションのそれぞれに関連付けられたリスクと労力とを評価するように実装される。次いで、クライアントの不確実性レベルが識別され、リスクに対するクライアントの欲求に基づき適用され得るＩＴポリシが提案される。これらの手法を用いて、クライアントのビジネスのために構築されたＩＴセキュリティ・ポリシの適用において消費される時間を大幅に低減することができ、その結果、ＩＴによる介入を軽減しつつクライアントの費用を節約することができる。コンテキストでは、「セキュリティ・ポリシ」は、ＩＴ環境中の任意のタイプの技術システムに実装および構成することのできる一連のハードニング・パラメータ、例えば、携帯電話上でアプリケーションにアクセスするためのパスワード長として定義されてもよい。したがって、一部のアプローチでは、セキュリティ・ポリシは、データおよびシステムのためのあるレベルのセキュリティを保証するために、ある環境で実装することのできる技術的な測定および制御を記載する文書である。さらに、クライアントが、セキュリティ・ポリシを購入し、例えば、ポリシとアプリケーションの既存の特徴との適合性など、ある種のパラメータを適用することのリスクを知らないという、セキュリティ・ポリシの「不確実性」が定義されてもよい。

【0040】

次に図３を参照すると、方法３００のフローチャートが一実施形態に従って示されている。方法３００は、様々な実施形態で、中でも、図１～６に図示される任意の環境の本発明に従って実施されてもよい。もちろん、当業者が本記載を読むと理解するように、図３に具体的に記載されるものよりも多くのまたは少ないオペレーションが方法３００に含まれてもよい。

【0041】

方法３００の各ステップは、オペレーティング環境の任意の適切なコンポーネントによって実施されてもよい。例えば、様々な実施形態で、方法３００は、コンピュータか、または１つもしくは複数のプロセッサを中に有する複数の他のデバイスによって、部分的にまたは全体的に実施されてもよい。ハードウェアもしくはソフトウェアまたはその両方に実装され、好ましくは少なくとも１つのハードウェア・コンポーネントを有するプロセッサ、例えば、処理回路、チップ、もしくはモジュール、またはそれらの組合せが、方法３００の１つまたは複数のステップを実施するように任意のデバイスにおいて利用されてもよい。例証となるプロセッサとしては、以下に限定されないが、中央処理ユニット（ＣＰＵ）、特定用途向け集積回路（ＡＳＩＣ）、フィールド・プログラマブル・ゲート・アウェイ（ＦＰＧＡ）など、それらの組合せ、または当技術分野で公知の任意の他の適切なコンピューティング・デバイスが挙げられる。

【0042】

方法３００が、推奨セキュリティ・ポリシの適用にそれぞれ関連付けられた算出された不確実性およびリソース消費の予測量に基づいて、上記セキュリティ・ポリシを計算するための新規の手法を含むことが、好適となり得る。これらの手法は、サービスとしてデプロイされるか、もしくはセキュリティ製品に組み込まれるか、またはその両方であってよい。さらに具体的には、これらの手法は、そのようなＩＴセキュリティ・ポリシを自動的に評価し識別することを含む。また、予測機械学習モデルを使用して、不確実性を識別し、セキュリティ・アクションまたはセキュリティ・フィックスをデプロイする。さらに、予測機械学習モデルを使用して、セキュリティ・フィックスに適用するのに求められる労力と必要な時間とを決定し、遺伝的アルゴリズムを使用して、クライアントのユーザ・デバイスに標示され得る最適化されたＩＴセキュリティ・ポリシを計算する。本明細書の他の箇所にさらに詳細に記載されているように、これらの手法の恩恵には、各ＩＴセキュリティ・ポリシ・アクションの影響を分析するインフラストラクチャ・サポート・チーム、機能チーム、およびビジネス・エリアの費やす時間の低減が含まれる。これはなぜなら、ユーザがそのようなポリシのアプリケーションを購入または指示する前に、不確実性が算出されてユーザに提供されるためである。これらの手法を、追加的にもしくは代替的にまたはその両方で使用して、ＩＴセキュリティ・ポリシのデプロイ時に消費されてそのデプロイに関連付けられるコストおよび労力を適正に評価してもよい。

【0043】

方法３００は、機械学習アルゴリズムを訓練するための訓練部分３０２、より具体的には機械学習モデルに関連するパッチのための訓練フェーズを含むことが好適となり得る。方法３００は、さらに、訓練された機械学習アルゴリズムを適用するための応用部３０４を含む。

【0044】

図３の訓練部分３０２をまず参照すると、オペレーション３０６は、規制基準および業界基準のリストを読み出すことを含む。さらに具体的には、そのような読出しは、セキュリティ・ポリシ実装分析を要求するクライアントのデプロイに適用し得るすべての規制基準および業界基準をリスト化している外部ソース上で実施される。クライアントのデプロイとは、例えば、ＩＴ環境に現在デプロイされている１つまたは複数のＩＴセキュリティ・ポリシ、ビジネス・ソリューション、製品インタフェース、記憶プラットフォーム、計算リソースなどとして管理または提供される、ＩＴ環境の１つまたは複数のアプリケーションもしくは物理的システムまたはその両方である。クライアントのデプロイは、そのデプロイを保護する１つまたは複数のＩＴセキュリティ・ポリシを有していてもよい。さらに、一部のアプローチでは、ＩＴ環境は複数のデプロイを含む。この複数内の各デプロイは、１つまたは複数のＩＴセキュリティ・ポリシによって保護されてもよく、このＩＴセキュリティ・ポリシは、１つまたは複数の上記デプロイに対し具体的に設計されたものであり得る。一部のアプローチでは、少なくとも１つのＩＴセキュリティ・ポリシが、複数のデプロイに適用されてもよい。上記リストの規制基準および業界基準に従ってデプロイを作動させるために、これらのＩＴセキュリティ・ポリシは１つまたは複数のＩＴセキュリティ・アクションが実施されるようにし得ることに、留意することが重要である。このコンテキストでは、読み出された規制基準および業界基準のリストは、一部の好適なアプローチでは、ＩＴ環境におけるクライアントのデプロイに適用可能な規制基準および業界基準としてもよい。他の一部のアプローチでは、機械学習モデルを訓練するために方法３００の訓練部分３０２が実施されることから、１つまたは複数の規制基準および業界基準は、クライアントのデプロイに適用可能ではないことがある。

【0045】

上記リストは、規制基準および業界基準の外部データベースとしてもよく、このデータベースは、一部のアプローチでは、１つまたは複数のリソースから受け取る規制および業界の要求３０８、例えば、法律、法令、制定法、アドミニストレータ要件、クライアント要求、コミュニケーション・フォーラム、ウェブ・サイトなどをインプットされる。一部のアプローチによれば、規制基準および業界基準のリストは、構造化されていないテキスト・フィールド（textual field）を含むことがある。例えば、そのようなアプローチの１つでは、構造化されていないテキスト・フィールドは、規制基準の目的と業界／分野とを示すタイトルおよび記載を含むことがある。そのようなアプローチの別の１つでは、構造化されていないテキスト・フィールドは、リスト、例えば、所定の重要なセキュリティ対策のリストを含むことがある。そのようなアプローチのさらに別の１つでは、構造化されていないテキスト・フィールドは、詳細なセキュリティ実装を含むことがある。そのような実装は、１つまたは複数の基準を確実に順守するためにデプロイされるものとなる１つまたは複数のセキュリティ・アクションおよび規制アクションの詳細な記載を提供することがある。他の一部のアプローチによれば、規制基準および業界基準のリストは、追加的にもしくは代替的にまたはその両方で、構造化されたデータを含むことがある。例えば、そのようなアプローチの１つでは、構造化されたデータは、基準のバージョンに関する情報を提供する製品およびバージョンであり得る。

【0046】

オペレーション３１０は、製品から記述的なセキュリティ構成を抽出することを含む。尚、オペレーション３１０の情報は、技術および製品のセキュリティ・ベスト・プラクティス３０３の公知のソースから抽出されてもよい。このステップでは、ＩＴ環境の各製品に利用可能なＩＴセキュリティ構成に関する情報が抽出される。一部の好適なアプローチでは、抽出された情報は、構造化されていないテキスト・フィールドもしくは構造化されたデータまたはその両方を含む。例えば、構造化されていないテキスト・フィールドは、例えば、製品に関する情報を与えるタイトルおよび記載、重要なセキュリティ対策のリスト、セキュリティ構成の設定の詳細な記載を示す詳細なセキュリティ実装などを含んでいてよい。構造化されたデータは、一部の例証的なアプローチでは、例えば、製品、バージョンおよびセキュリティの識別を含んでいてよい。

【0047】

例としてオペレーション３１２にみられるように、ＩＴセキュリティ・リスク・マッピングが受け取られることがある。一部のアプローチでは、ＩＴセキュリティ・リスク・マッピングは、本明細書の記載を読めば当業者には明らかになるタイプのセキュリティ・リスク管理エンジンから受け取られる。例としてオペレーション３１４にみられるように、マッピングされた各構成に対しＩＴセキュリティ・リスクのレベルが読み出されることがある。この読出しステップでは、各ＩＴセキュリティ・アクションと、ＩＴ環境に発生する可能性がある各リスクの影響のレベル（または重要度（criticality））とについて、読出しが実施されてもよい。例えば、ＩＴ環境を有効にしているファイル転送プロトコル（ＦＴＰ）は、比較的リスクの高いアクションであるものと考えられてもよく、一方で、そのようなプロトコルが無効にされていることは、比較的リスクの低いアクションと考えられ得る。これらのレベルのＩＴセキュリティ・リスクは、例えば、１つまたは複数のセキュリティ・リスクの記載およびレベルを含むように識別されている、構造化されていないテキスト・フィールドから読み出されてもよい。

【0048】

機械学習モデルを訓練することは、追加的にもしくは代替的にまたはその両方で、訓練ＩＴ環境のデプロイに関連付けられたＩＴ情報を読み出すことを含むことがある。他の一部のアプローチでは、例として応用部３０４にみられるように、機械学習モデルを訓練することは、追加的にもしくは代替的にまたはその両方で、訓練されたモデルを中で適用するＩＴ環境からＩＴ情報を読み出すことを含むことがある。例えば、そのようなアプローチの少なくとも１つでは、例として「クライアントＩＴ環境から」にみられるように、情報がクライアントＩＴ環境から受け取られてもよい。別の例では、例としてオペレーション３１６にみられるように、情報は、追加的にもしくは代替的にまたはその両方で、分析予定のクライアントＩＴ環境から読み出される。一部のアプローチでは、この情報は、クライアントＩＴツールから読み出される。この情報は、ビジネス・アプリケーション、アプリケーション毎にデプロイされるＩＴシステム、デプロイされる製品、システム構成、重要度マトリックス、各システム上でデプロイされるアプリケーション・コードなどに関連する情報を含むことがある。この情報は、一部のアプローチでは、構造化されていないテキスト・フィールドから読み出されてもよい。例えば、１つまたは複数のこれらの構造化されていないテキスト・フィールドは、コンポーネントの名称および構成設定を含むことがあり、この構成設定は、例えばＩＴ環境の１つまたは複数のデプロイにおいて、ＩＴ環境にデプロイされるのに利用可能なセキュリティもしくはＩＴセキュリティ・ポリシまたはその両方に関連する構成設定のリストを詳述し得る。この情報は、他の一部のアプローチでは、構造化されたデータから読み出されてもよく、この構造化されたデータは、ＩＴ環境内の各コンポーネントに対しデプロイされたビジネス・アプリケーション、アプリケーション、ＩＴコンポーネント、および製品のリストなどを含むことがある。

【0049】

機械学習モデルを訓練するためにＩＴ情報を読み出すことは、追加的にもしくは代替的にまたはその両方で、訓練ＩＴ環境の少なくとも１つのデプロイに関連付けられたアプリケーション・マッピングを読み出すことを含むことがある。例えば、オペレーション３１８は、ビジネス・システムのアプリケーション・マッピングおよび重要度をクライアントＩＴ環境から読み出すことを含む。この読出しオペレーションは、ＩＴ環境にインストールされたビジネス・アプリケーションのリストと、アプリケーション毎にデプロイされたすべてのＩＴコンポーネントの各アプリケーションおよびマッピングの重要度を読み出すことを含むことがある。この情報は、一部のアプローチでは、構造化されていないテキスト・フィールド、例えば、タイトル、およびビジネス・アプリケーションのリストや重要度マトリックスなどの記載から読み出されてもよい。他の一部のアプローチでは、この情報は、一部のアプローチでは、構造化されたデータ、例えば、ビジネス・システムのマッピング・リスト、アプリケーション、およびＩＴコンポーネントなどから読み出されてもよい。

【0050】

上記デプロイに関連付けられたサーバおよび製品の情報が、追加的にもしくは代替的にまたはその両方で、機械学習モデルを訓練するために受け取られてもよい。例えば、オペレーション３２０は、ＩＴ環境にデプロイされたサーバおよび製品の情報を読み出すことを含む。ここでは、上記環境のクライアント部分にインストールされたＩＴコンポーネントの在庫リスト、例えば、クライアントのデプロイと、その中にインストールされた各製品の詳細とが読み出される。この情報は、一部のアプローチでは、構造化されていないテキスト・フィールド、例えば、製品に関する情報を提供し得るタイトルおよび記載、重要なセキュリティ対策を含むリスト、各セキュリティ構成設定の詳細な記載を提供し得る詳細なセキュリティ実装などから読み出される。この情報は、他の一部のアプローチでは、構造化されたデータ、例えば、製品もしくはバージョンまたはその両方、および製品のバージョンに関する情報を提供し得るサポート・パッケージなどから読み出される。ＩＴ環境のデプロイに関連付けられたアプリケーション・コードが、追加的にもしくは代替的にまたはその両方で、機械学習モデルを訓練するために読み出されてもよい。例えば、オペレーション３２２は、デプロイされたアプリケーション・コードをＩＴ環境から読み出すことを含む。さらに具体的には、オペレーション３２２は、一部のアプローチでは、各サーバ上にデプロイされたすべてのアプリケーション・コードを読み出して、所定のベスト・セキュリティ・プラクティスの集まり、例えば、固定化ＩＰアドレスまたは証明書などから外れたプログラミング・プラクティスを識別することを含む。アプリケーション・コードは、所定のベスト・セキュリティ・プラクティスを考慮しないハードコードされたプログラミング・ステップを識別し得るプログラミング・コードなど、構造化されていないテキスト・フィールドを含むことがある。アプリケーション・コードは、追加的にもしくは代替的にまたはその両方で、各ＩＴコンポーネントに関連付けられたプログラムなどの構造化されたデータを含むことがある。

【0051】

方法３００は、一部のアプローチでは、ＩＴ環境におけるデプロイのコンポーネントおよびアプリケーションに由来するリスク・レベル誤差を計算することを含むことがある。例えば、オペレーション３２４は、分析されたＩＴコンポーネントに由来する各ＩＴセキュリティ・マッピング済みＩＤのすべてのリスク・レベル誤差を識別することを含む。このステップでは、ＩＴコンポーネントに関連する各ＩＴセキュリティ・アクションのリスク・レベル誤差が識別される。例えば、定義された適正なファイルシステムのｃｈｍｏｄ、もしくは広く開かれている場合の、例えば、所定のリスク閾値を超えて影響を受けやすい場合のリスクのレベル、またはその両方が決定されてもよい。

【0052】

ＩＴ情報は、機械学習モデルを訓練するための訓練データセットに変換されてもよい。例えば、オペレーション３２６は、ＩＴ情報を変数の訓練データセットに変換して、少なくとも１つの機械学習モデル、例えば、好ましくは不確実レベルの機械学習モデルを訓練することを含む。一部のアプローチでは、この変換は、例えば、定義された適正なファイルシステムのｃｈｍｏｄ、および広く開かれている場合のリスクのレベルなど、ＩＴコンポーネントに関連する各ＩＴセキュリティ・アクションのリスク・レベル誤差を計算することによって、変数を計算して不確実レベルの機械学習モデルを訓練することを含むことがある。

【0053】

オペレーション３２８は、テキスト・フィールドに対し自然言語処理（ＮＬＰ）手法を採用することを含む。さらに具体的には、このステップでは、所定の自然言語プロセス（ＮＬＰ）アルゴリズムを使用して、オペレーション３１０のＩＴ情報に示された構造化されていないテキスト・フィールドから、重要でない任意のワードを除去してもよい。その後、好ましくは、所定のバッグ・オブ・ワード（bag-of-words）プロセスを採用して、ワークフローの構造化されていないテキスト情報のベクトル表現を得る。この時点で、データセットは、ベクトル表現と構造化されたデータとを入力として有し、変数をインストールする受諾と時間とを含む出力、例えば、ＩＴセキュリティ・ポリシをデプロイするためにインストールされたものを有する。

【0054】

例としてオペレーション３３０にみられるように、本明細書の記載を読めば当業者に明らかとなる次元削減手法が、テキスト・フィールドに対し採用されてもよい。一部のアプローチでは、これらは、バッグ・オブ・ワード・ベクトルの疎行列によって形成される空間の次元削減手法を含んでいてよい。このステップは、構造化されていないテキスト・フィールドのベクトル表現の高い次元性に直面した際の構造化されたフィールドの適合性の喪失を避けるため、オペレーション３２８において得られたベクトル表現を、構造化された変数に結合するのに極めて重要である。可能な一アプローチでは、次元削減手法の適用は、主成分分析（ＰＣＡ）もしくは潜在意味解析（ＬＳＡ）またはその両方を含むことがある。

【0055】

オペレーション３３２では、分析されたＩＴコンポーネントに由来する各ＩＴセキュリティ・マッピング済みのＩＤのリスク・レベル誤差が計算される。このステップでは、分析されたそれぞれのコンポーネントに関連する各ＩＴセキュリティ・アクションのリスク・レベル誤差が計算されることが好ましい。

【0056】

例としてオペレーション３３４にみられるように、各ビジネス・アプリケーションのリスク・レベル誤差、例えば、アプリケーションおよび重要度マッピング由来のものが、追加的にもしくは代替的にまたはその両方で計算されてもよい。さらに具体的には、一部のアプローチでは、オペレーション３３２で識別されたリスク・レベルによる各ビジネス・アプリケーションのリスク・レベル誤差と、重要度マトリックスとが計算されてもよい。

【0057】

例としてオペレーション３３６にみられるように、不確実レベルの機械学習モデルを訓練するデータセットをアセンブルする。このステップでは、データセットは、オペレーション３０６で読み出されたすべての規制基準、オペレーション３１０およびオペレーション３１４で読み出された技術と技術毎のセキュリティ・ベスト・プラクティスと関連リスクのデータ、オペレーション３１６、３１８、３２０、および３２２で読み出されてオペレーション３２４、３２６、３３２、および３３４で計算されたＩＴ環境情報データによって形成され得る。このデータセットは、オペレーション３０６、３１０、３１４、および３１６で読み出されてオペレーション３２８および３３０で変換された、構造化されていないテキスト・フィールドの入力と、オペレーション３１４、３１６、３１８、３２０、および３２２で読み出された、構造化されたデータの入力とを有するという特徴を持ち得る。

【0058】

オペレーション３３８は、例えば、オペレーション３３６でアセンブルされたデータセットを用いて、ＩＴ情報を分析するように不確実レベル予測機械学習モデルを訓練することを含む。一部の好適なアプローチでは、教師付き機械学習手法を採用して、オペレーション３３６で記載される入力および出力の変数をマッピングする不確実性予測機械学習モデルを推測し得る。入力および出力の変数が別々もしくは可算のどちらかであるか、またはこのフォーマットに変換できると仮定すれば、教師付き機械学習手法のいくつかの可能なアプローチは、単純ベイズ（naive bayes）、サポート・ベクトル・マシン（ＳＶＭ）、および標準ニューラル・ネットワーク（多層パーセプトロン）である。この訓練の結果として、不確実性レベル予測機械学習モデルは、好ましくは、セキュリティ・ポリシをデプロイに適用することにより引き起こすことのできる効果の不確実性を算出するために訓練される。

【0059】

オペレーション３４０は、データセットをアセンブルして労力の機械学習モデルを訓練することを含む。一部のアプローチでは、データセットは、オペレーション３０６で読み出されたすべての規制基準、オペレーション３１０およびオペレーション３１４で読み出された技術と技術毎のセキュリティ・ベスト・プラクティスと関連リスクのデータ、オペレーション３１６、３１８、３２０、および３２２で読み出されてオペレーション３２４、３２６、３３２、および３３４で計算されたＩＴ環境情報データによって形成され得る。このデータセットは、オペレーション３０６、３１０、３１４、および３１６で読み出されてオペレーション３２８および３３０で変換された、構造化されていないテキスト・フィールドを含む入力と、オペレーション３１４、３１６、３１８、３２０、および３２２で読み出された、構造化されたデータを含む入力とを有するという特徴を持ち得る。

【0060】

例としてオペレーション３４２にみられるように、第２の機械学習モデルは、オペレーション３４０において進展した訓練データセットを用いて訓練される。一部のアプローチでは、この訓練は、教師付き機械学習手法を採用して、オペレーション３４０で記載された入力および出力の変数をマッピングする、受諾予測機械学習モデルを推測し得る。出力変数をインストールする時間が連続的であると仮定すれば、教師付き機械学習手法のあり得るアプローチは、サポート・ベクトル・マシン（ＳＶＭ）および標準ニューラル・ネットワーク（多層パーセプトロン）である。第２の機械学習モデルは、セキュリティ・ポリシをデプロイに適用した結果生じるリソース消費を予測するために訓練された、労力予測機械学習モデルである。

【0061】

オペレーション３４４は、訓練された機械学習モデルを所定のデータベース、例えば、ＩＴ環境のデータベースに記憶することを含む。一部のアプローチでは、訓練された機械学習モデルは、訓練された機械学習アルゴリズムを適用してＩＴ環境のデプロイのためのセキュリティ・ポリシを決定する、方法３００の応用部３０４で後に使用される所定のレポジトリに記憶される。

【0062】

一部のアプローチでは、クライアントのＩＴ情報を分析して第１のデプロイに対しセキュリティ・ポリシを計算するための所定の精度閾値を機械学習モデルが超えることが可能であるという決定がなされるまで、方法３００の訓練部分３０２の間、機械学習モデルは、教師役スペシャリスト（supervising specialist）を用いて、例えば、内容領域専門家（subject matter expert（ＳＭＥ））による１つまたは複数の確認によって、（少なくとも部分的に）進展し得ることに留意するべきである。以降、訓練された機械学習アルゴリズムを適用するための様々なオペレーションを含む、下記の方法３００の応用部３０４を参照する。

【0063】

オペレーション３４６は、ＩＴ環境において第１のクライアントに関連付けられた第１のデプロイについてセキュリティ・ポリシ実装分析を実施することの要求を、ＩＴ環境の第１のクライアントによって用いられるユーザ・デバイスから受信することを含む。一部のアプローチでは、第１のデプロイもしくはＩＴ環境またはその両方は、機械学習モデルが訓練された際に基づいたものであり得る。第１のデプロイは、ＩＴ環境におけるサーバなどの少なくとも１つのデバイス上で動作する、少なくとも１つのアプリケーションを含んでいてよい。一部のアプローチでは、例としてオペレーション３４８にみられるように、ＩＴ情報、例えば、少なくとも第１のデプロイに関連付けられたＩＴ情報が収集されてもよい。他の一部のアプローチでは、ＩＴ情報は、例としてオペレーション３５２に参照されるように上記要求と共に受け取られ、ユーザ・デバイスにクエリを発行した後に受け取られ、所定のデータベースにおいてアクセスされるなどであり得る。一部の好適なアプローチでは、このＩＴ情報は、オペレーション３１８、３２０、および３２２のうち１つまたは複数に記載された情報、もしくはそのようなオペレーションに記載される類似の手法を用いた情報、またはその両方と同じタイプである。例としてオペレーション３５０にみられるように、第１のデプロイが現在ＩＴ環境においてサポートできる、例えば、ＩＴ環境の第１のデプロイにおいてデプロイされる１つまたは複数のビジネス・アプリケーションのオペレーションの間に受け容れることのできる、リスクの程度の標示、例えば、クライアントのＩＴリスクの基準または欲求が、受け取られてもよい。例えば、そのようなクライアントのＩＴリスクの基準または欲求は、例えば、高位、中位の、および低位のレベルであり得、中位とは、低位よりも比較的高いリスクの基準または欲求を有し、高位とは、中位よりも比較的高いリスクの基準または欲求を有する。

【0064】

オペレーション３５４は、オペレーション３３８において訓練された不確実性予測機械学習モデルを読み出すことを含む。訓練された不確実性予測機械学習モデルを適用して、第１のクライアントのデプロイのＩＴ情報を分析して第１のデプロイのセキュリティ・ポリシを計算する。さらに具体的には、オペレーション３５６は、訓練された予測不確実性機械学習モデルを適用すること、例えば実行することによって、不確実性レベルを予測することを含む。コンテキストでは、「不確実性」は、好ましくはＩＴセキュリティ・ポリシを第１のデプロイに適用することにより引き起こすことのできる効果の算出された不確実性に相関する。例えば、これらの効果は、一部のアプローチでは、例えば、セキュリティ・ポリシを適用することにより生じる未知量の処理リソース、セキュリティ・ポリシを適用することにより生じる副次的な効果などを含むことがある。セキュリティ・ポリシを第１のデプロイに適用することにより引き起こすことのできる効果は、例えば、セキュリティ・ポリシを適用することにより、第１のデプロイのアプリケーションによって与えられるカスタマの特徴に引き起こされる副次的な効果、非意図的にアクセス可能となりつつある私的なカスタマ情報、ログインを介したアプリケーションなどへのアクセス・イベントの喪失、第１のデプロイのコンポーネントの機能性の喪失などを、追加的にもしくは代替的にまたはその両方で含むことがある。したがって、一部のアプローチでは、不確実性レベルは、例えば、深く不確実である、不確実である、危険である、明確であるなどであり、訓練された不確実性予測機械学習モデル内に少なくともいくらかのＩＴ情報を入力することに基づいており、不確実性レベルは、訓練された予測不確実性機械学習モデルの出力として生成される。留意すべきは、比較的高い不確実性を有する、例えば、深く不確実であるＩＴセキュリティ・ポリシが、ＩＴ環境において適用した結果としてさらに程度の大きな未知の効果をデプロイに引き起こす可能性を有するものと予測され、一方で、比較的低い不確実性を有する、例えば、明確であるＩＴセキュリティ・ポリシが、ＩＴ環境において適用した結果としてさらに程度の小さな未知の効果をデプロイに引き起こす可能性を有するものと予測されることである。

【0065】

例としてオペレーション３５８にみられるように、オペレーション３３８において訓練された第２の機械学習モデル、例えば、訓練された労力予測機械学習モデルが、追加的にもしくは代替的にまたはその両方で、読み出されてもよい。さらに、訓練された予測的不確実性機械学習モデルを適用して第１のクライアントのデプロイのＩＴ情報を分析し、第１のデプロイについてセキュリティ・ポリシを計算してもよい。さらに具体的には、オペレーション３６０は、訓練された機械学習モデルを用いてセキュリティ・ポリシを第１のデプロイに適用することにより消費されるものとなる労力、例えば、第１のデプロイのリソースの量を予測することを含む。セキュリティ・ポリシは、セキュリティ・ポリシを第１のデプロイに適用することにより引き起こすことのできる効果の算出された不確実性と、セキュリティ・ポリシを第１のデプロイに適用することによって消費されるものとなる第１のデプロイのリソースの予測量とに基づいて計算される。セキュリティ・ポリシは、追加的にもしくは代替的にまたはその両方で、セキュリティ・ポリシを第１のデプロイに適用することにより消費されるこの第１のデプロイのリソースの予測量に基づいて計算されてもよい。このリソースの量は、訓練された労力予測機械学習モデルを適用すること、例えば、実行することによって予測されてもよい。例えば、これらのリソースは、一部のアプローチでは、例えば、ＩＴ環境において既存のセキュリティ・ポリシの更新を更新することを組み込むことにより消費されるものとなる処理リソース、セキュリティ・ポリシを適用することにより取られるものとなるある量の時間、デプロイのアドミニストレータが要請されるものとなるある程度の監督もしくは時間またはその両方、ＩＴ環境においてセキュリティ・ポリシを適用することにより消費されるものとなるある量の出力、ＩＴ環境においてセキュリティ・ポリシを適用するためにデプロイにより必要とされるものとなるある量の追加の物理的リソース、ＩＴ環境においてセキュリティ・ポリシを適用するためにデプロイにより必要とされるものとなるある量の論理リソース、第１のクライアントの負うコスト、内容領域専門家（ＳＭＥ）のコンサルテーション、トラブルシューティング・オペレーションに充てられている処理オペレーション、第１のデプロイに関連付けられたアプリケーションの更新に費やされる時間などを含むことがある。したがって、一部のアプローチでは、リソースの予測量は、例えば、デプロイにおいて現在入手可能なものよりも多くのリソース、デプロイにおいて現在入手可能なものとほぼ同じ量のリソース、デプロイにおいて現在入手可能なものよりも少ないリソースなどを含むことがあり、訓練された労力予測機械学習モデル内に少なくともいくらかのＩＴ情報を入力することに基づいて、リソースの予測量が出力として生成される。

【0066】

計算されたセキュリティ・ポリシは、本明細書の記載を読めば当業者に明らかとなるＩＴ環境に対する既知のタイプのセキュリティ・パラメータ推奨を含み得る。例えば、セキュリティ・ポリシは、例えば、物理ポートもしくは論理ポートまたはその両方を閉じること、必要なパスワード長を増やすことなどによってアクセス信認強度（access credential strengths）を高めること、所定のセキュリティ・プロトコルを順守するようデバイスに要求すること、所定のプロトコルを無効化すること、暗号化基準を改変すること、アクセスが認められるとアクセス認証情報（access credentials）に対し再開カウントダウンを設定することなどを含むことによってこれらを推奨することがある。一部の好適なアプローチでは、計算されたセキュリティ・ポリシが、計算されたセキュリティ・ポリシを適用することによってかかる労力の量を最低限にしつつ、ＩＴ環境への１つまたは複数の現在の脅威を軽減するセキュリティ・パラメータ更新を推奨することに留意すべきである。しかし、労力を最小限にしながらセキュリティを増強するというこの理想的なバランスは、常に可能である訳ではない。それはなぜなら、セキュリティ・ポリシの計算が、好ましくは上述のリスクの程度の標示、例えば、ＩＴリスクの基準または欲求を考慮に入れるためである。例えば、リスクに対する標示された比較的非常に低い欲求を伴うデプロイを有するクライアントについては、計算されたセキュリティ・ポリシは、比較的範囲の広いセキュリティ・プロトコルの追加を、それを適用するには比較的大きな労力がかかることが予測されるとはいえ推奨することがある。さらに具体的な例によれば、計算されたセキュリティ・ポリシは、例えば、パスワード長が現在４字のみであるところ、パスワード長を１０字に変更する提案を含み、デプロイのアプリケーションは、８字以下のパスワードのみを扱うようにプログラムされるということが想定される。また、リスクに対し比較的非常に低い欲求を伴うデプロイにクライアントが関連付けられていることが判定されるということも想定される。デプロイのアプリケーションが、８字以下のパスワードのみを扱うようにプログラムされるため、計算されたセキュリティ・ポリシのアプリケーションは、８字超を扱うようアプリケーションを変更することが必要となるほどに、比較的大量の処理を費やすことが予想されるものとなる。このような過剰量の労力が、計算されたセキュリティ・ポリシのアプリケーションのために必要となることが予測されるものの、計算されたセキュリティ・ポリシは、例えば、訓練された機械学習モデルにより考えられた１つまたは複数のＩＴセキュリティ・ルールを満たすために、そしてさらにリスクに対する比較的非常に低い欲求を満たすために、パスワード長を１０字とするよう強いる提案を含む。これに対して、同じ事実ではあるがクライアントがリスクに対し比較的非常に高い欲求を有するということを想定すると、計算されたセキュリティ・ポリシは、パスワード長を１０字とするよう強いる提案を含む可能性は低いものとなる。なぜなら、リスクに対するクライアントの欲求がはるかに高く、このことは例えば、ＩＴセキュリティ・ルールを満たさないことをクライアントが許容する可能性があることを標示するためである。一部のアプローチでは、算出されたセキュリティ・ポリシの複数のパラメータは、追加的にもしくは代替的にまたはその両方で、算出されたセキュリティ・ポリシを適用するために消費することが予測される労力の量に応じて段層化されていることがある。

【0067】

決定３６２は、さらに多くのシステムが分析されることになるか否かを判定することを含む。そのような決定は、セキュリティ・ポリシ、例えば、複数の異なるデプロイ、第１のデプロイ内の複数のシステムなどを計算するために判定することがＩＴ環境内の複数のシステムに考慮されるという、一部のアプローチでなされることがある。さらに多くのシステムが分析されることになるという判定に対する応答では、方法は、例として判定３６２の「はい」の論理パスにみられるように、オペレーション３５４へと継続する。これに対し、さらに多くのシステムが分析されることはないという判定に対する応答では、方法は、例として判定３６２の「いいえ」の論理パスにみられるように、オペレーション３６４へと継続する。

【0068】

一部のアプローチでは、セキュリティ・ポリシは、訓練された機械学習モデルを適用する結果から識別された複数の可能なセキュリティ・アクションから計算される。例えば、オペレーション３６４は、オペレーション３５６および３６０（それぞれ）において予測された不確実性と値をインストールするための労力とを有してインストールする、セキュリティ・アクションのリストをアセンブルする。これらの可能なセキュリティ・アクションは、精緻化されてもよく、例えば、出力前にフィルタにかけられてもよい。例えば、この可能なセキュリティ・アクションは、一部のアプローチでは、例としてオペレーション３６６にみられるように、セキュリティ・ポリシの計算に用いられる所定の遺伝的アルゴリズムに対する入力として使用されてもよい。

【0069】

オペレーション３６８は、適用される最適なセキュリティ・ポリシの標示を出力することを含む。一部の好適なアプローチでは、セキュリティ・ポリシの標示は、第１のクライアントのユーザ・デバイスのディスプレイ上でダッシュボードに提示するための出力である。例として図６に参照されるように、そのようなダッシュボードは、本明細書の他の箇所でさらに詳細が記載される。

【0070】

セキュリティ・ポリシの標示は、一部のアプローチでは、複数の推奨セキュリティ・パラメータを含むことがある。推奨セキュリティ・パラメータのそれぞれは、推奨セキュリティ・パラメータがリスクの程度にどれほど適合するかに従って段層化され、例えば、複数の異なる段の段層を成していることがある。例えば、段層化されて第１の段を成しているセキュリティ・パラメータは、段層化されて第２の段を成している推奨セキュリティ・パラメータおよび段層化されて第３の段を成している推奨セキュリティ・パラメータ（最も推奨される）よりもパラメータがリスクの程度に比較的小さく適合し、結果として最も推奨されないものとなる。そのような例では、段層化されて第３の段を成している推奨セキュリティ・パラメータは、段層化されて第１の段を成している推奨セキュリティ・パラメータおよび段層化されて第２の段を成している推奨セキュリティ・パラメータよりもパラメータがリスクの程度に比較的大きく適合し、結果として最も推奨されるものとなる。

【0071】

セキュリティ・ポリシの標示は、追加的にもしくは代替的にまたはその両方で、第１のデプロイ内のＩＴ情報に関連付けられた複数のアプリケーションのブレークダウンを含んでいてよい。さらに具体的には、一部のそのようなアプローチでは、このブレークダウンは、各アプリケーションについて、セキュリティ・コンピテンシの課題と、課題特異的な不確実性レベルとを含むことがある。セキュリティ・ポリシを第１のデプロイに適用することにより引き起こすことのできる効果の算出された不確実性は、課題特異的な不確実性レベルのそれぞれに基づく。これによって確実に、クライアント側のリソースは、計算されたセキュリティ・ポリシのパラメータがデプロイ内でパフォーマンスを高めることになる理由について、例えば、課題および不確実性に基づき、アプリケーション特異的な解決策を提供する。このことがこれらのクライアント側リソースにより使用されて、標示されたセキュリティ・ポリシを採択するために契約するように、例えば、ＩＴ環境セキュリティのサービスおよびパッケージを供給する、１つまたは複数の第三者企業もしくはサービスまたはその両方を決定してもよい。これに対して、そのような決定が、追加的にもしくは代替的にまたはその両方で、クライアントに対して行われてもよく、そのような決定の結果が、クライアントに提供されてもよい。例えば、方法３００の任意選択的なオペレーションは、計算されたセキュリティ・ポリシに少なくとも所定の程度の類似性を有するサービスを供給する、ＩＴサービス・プロバイダを決定することを含む。決定されたＩＴサービス・プロバイダの標示は、例えば、セキュリティ・ポリシの出力と同じであるかまたは異なる出力オペレーションで、ユーザ・デバイスに出力されてもよい。

【0072】

推奨セキュリティ・ポリシの適用にそれぞれ関連付けられた算出された不確実性およびリソース消費の予測量に基づいて、上記セキュリティ・ポリシを計算するための本明細書に記載の手法を利用する結果として、様々な恩恵が可能になる。例えば、ＩＴ環境のデプロイ内のコンピュータ・アーキテクチャのパフォーマンスは、いくつかの理由で向上する。まず、デプロイのニーズに、例えば、分析されたＩＴ情報から決定される通りに適合する、セキュリティ・ポリシが識別される。これらのポリシは、そうでなければ、そのような分析が実施されない比較的範囲の広い処理オペレーション、例えば、試行誤差を行うことなく理解されることはない。さらに、そうでなければ、ＩＴ環境内で脅威がデプロイに浸透するのを現在のポリシが正確に防いでいるか否かを判定するように実施されるものとなるセキュリティ検査が除外され、その結果、ＩＴ環境で実施される処理にまで直接的に簡略化される。これはなぜなら、クライアントがむしろ、例えば、クライアントのリスク上の欲求に従って、またはデプロイに関連付けられたＩＴ情報に基づいてなどで、ＩＴ環境においてクライアントに関連付けられたデプロイに特異的に適合することが予め確保された、計算されたセキュリティ・ポリシを適用することができるためである。また、ランドスケープ全体をマッピングおよび識別し、ＩＴ情報を分析してクライアントのビジネス・アプリケーションに合致させる方法を決定し、クライアントのセキュリティ・ニーズを満たすことができかつクライアントに何ら負荷を与えることなく実装することのできるＩＴセキュリティ・ポリシを構築するための、予測方法をデプロイする長年のニーズがあるにも関わらず、機械学習モデルを訓練および適用して、算出された不確実性およびリソース消費の予測量に基づき推奨セキュリティ・ポリシを計算することを用いることが、従来のＩＴ環境ではこれまで考慮されてきていなかったことにも留意すべきである。したがって、本明細書に開示される創意に富んだ発明は、従来の知恵に反して行われる。

【0073】

次に図４を参照すると、方法４００のフローチャートが一実施形態によって示されている。様々な実施形態では、方法４００は、中でも図１～６に示される任意の環境で、本発明に従って実施され得る。本記載を読めば当業者が理解するものとなるように、もちろん、図４に具体的に記載されるよりも多いかまたは少ないオペレーションが、方法４００に含まれていてもよい。

【0074】

方法４００の各ステップは、オペレーティング環境の任意の適したコンポーネントにより実施されてよい。例えば、様々な実施形態では、方法４００は、コンピュータ、または１つもしくは複数のプロセッサを中に有するいくつかの他のデバイスによって、部分的にまたは全体的に実施されてよい。ハードウェアもしくはソフトウェアまたはその両方の中に実装され、好ましくは少なくとも１つのハードウェア・コンポーネントを有するプロセッサ、例えば、処理回路、チップ、もしくはモジュール、またはそれらの組合せが、方法４００の１つまたは複数のステップを実施するように任意のデバイスにおいて利用され得る。実例となるプロセッサとしては、以下に限定されないが、中央処理ユニット（ＣＰＵ）、特定用途向け集積回路（ＡＳＩＣ）、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）など、それらの組合せ、または当技術分野で公知の任意の他の適した演算デバイスが挙げられる。

【0075】

図４のフローチャートは、長年のニーズ４１６を抱えるクライアントを含む。例えば、クライアントは、サポートされたセキュリティ・パラメータの適用により消費される労力のレベル、例えば信頼性のレベルを予め知るために、ならびにクライアントのセキュリティ・リスクの欲求に基づいて何が最良の全般的なポリシであるかを決定するために、クライアントのＩＴ環境４０４上で動作させる予測方法を必要としている。例として方法３００の様々なオペレーションに参照されるように、本明細書に記載される手法を用いて方法４０８を実行することにより、コスト削減および時間節約が可能となり、クライアントのＩＴ環境４０４の可用性および整合性（integrity）に対し脅威が引き起こすことのできる潜在的な影響が劇的に低減される。例えば、例としてオペレーション４０６にみられるように、上記方法を実行させることは、ＩＴ環境情報を収集することを含むことがある。このＩＴ環境情報は、例えば、製品に関する技術情報、規制および基準の参照事項、クライアント・ビジネス・サービス・マトリックスなどを含むことがある。上記方法は、追加的にもしくは代替的にまたはその両方で、非リレーショナル・データベースにビッグ・データを構築すること、上記予測方法を適用する機械学習を実施すること、上記方法分析に従ってリスクに対する信頼性を決定することなどを含むことがある。さらに、上記方法は、訓練された機械学習モデルを適用してクライアントのＩＴ情報を分析し、セキュリティ・ポリシ４１０を計算することを含むことがあり、セキュリティ・ポリシ４１０は、セキュリティ・ポリシを第１のデプロイに適用することにより引き起こすことのできる効果の算出された不確実性、もしくはセキュリティ・ポリシを第１のデプロイに適用することによって消費するものとなる第１のデプロイのリソースの予測量、またはその両方に基づいて計算される。セキュリティ・ポリシの標示は、例えば、オペレーション４１２に参照されるように、クライアント４０２のユーザ・デバイスのディスプレイ上でダッシュボードに提示するための出力である。上記標示は、セキュリティ・ポリシに少なくとも所定の程度で類似性を有するサービスを供給するＩＴサービス・プロバイダ４１８を決定するために使用される。例えば、クライアント４０２は、方法４００を用いて決定されたものに類似するセキュリティ・ポリシ提供物により、例えばオペレーション４１４に参照されるように、第三者に、例えばＩＴサービス・プロバイダにコンタクトを取るように決定されることがある。

【0076】

図５に戻ると、一実施形態による方法５００のフローチャートが示されている。方法５００は、様々な実施形態で、中でも図１～６に示された任意の環境で本発明に従って実施され得る。もちろん、当業者が本記載を読めば理解することになるように、図５に具体的に記載されたものよりも多いかまたは少ないオペレーションが方法５００に含まれることがある。

【0077】

方法５００の各ステップは、オペレーティング環境の任意の適したコンポーネントにより実施されてもよい。例えば、様々な実施形態では、方法５００は、コンピュータ、または１つもしくは複数のプロセッサを中に有するいくつかの他のデバイスによって、部分的にまたは全体的に実施されてよい。ハードウェアもしくはソフトウェアまたはその両方の中に実装され、好ましくは少なくとも１つのハードウェア・コンポーネントを有するプロセッサ、例えば、処理回路、チップ、もしくはモジュール、またはそれらの組合せが、方法５００の１つまたは複数のステップを実施するように任意のデバイスにおいて利用され得る。実例となるプロセッサとしては、以下に限定されないが、中央処理ユニット（ＣＰＵ）、特定用途向け集積回路（ＡＳＩＣ）、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）など、それらの組合せ、または当技術分野で公知の任意の他の適した演算デバイスが挙げられる。

【0078】

方法５００が機械学習モデルを訓練し、訓練された機械学習モデルを適用して第１のクライアントのＩＴ情報を分析し、ＩＴ環境のデプロイについてセキュリティ・ポリシを計算するための、オペレーションのアーキテクチャの概観を描写したものを、さらに具体的に説明することが好適となり得る。方法５００は、クライアントのＩＴ環境およびクライアントのリスク基準の欲求から実際のセキュリティ設定を把握してリスクの信頼性のレベルを決定することを含むことが好適となり得る。さらに、クライアントにより提供されたリスク基準の欲求に基づきデプロイされた現在の環境の分析に基づいて、ＩＴセキュリティ・ポリシが決定される。

【0079】

方法５００は、教師役スペシャリスト５０４により任意選択的に実行される、クライアント５０２用に構築される機械学習を含む。方法５００は、ＩＴ環境においてＩＴ情報を収集することを含む。例えば、一部のアプローチでは、クライアントの作業量５０６およびクライアントのＩＴ環境のマッピング５０８は、例としてオペレーション５１０にみられるように、実際のセキュリティ情報としてＩＴ環境から収集される。機械学習モデルを訓練すること５１２は、例としてオペレーション５１４にみられるように、ＩＴ情報を把握して訓練のために用いることを含むことがある。このＩＴ情報は、１つまたは複数の例えば、ビジネス・アプリケーション・マトリックスおよび重要度５２２、規制基準および業界基準５２４、ソフトウェア（ＳＷ）に関する技術情報５２６などに基づくことがある。オペレーション５１８は、ＭＬ較正モデルを構築することを含み、この構築は例えば、例として方法３００にみられるように、機械学習モデルを構築し訓練するために本明細書の別の箇所に記載された手法を用いる。ＭＬ較正モデルは、例としてオペレーション５１６にみられるように訓練され、訓練されると、訓練された機械学習モデルを含む予測方法５２０として使用される。

【0080】

クライアント５０２のリスク基準／欲求は、例としてオペレーション５２８にみられるように受け取られ、リスクの信頼性のレベル、例えば、リスクに対するクライアントの忍容性が、例としてオペレーション５３０にみられるように決定される。これに基づいて、訓練された機械学習モデルが適用されるが、例えば、クライアント５０２のＩＴ情報は、例としてオペレーション５３２にみられるように、訓練されたモデルに入力されて、リスクの信頼性に基づく適用のためのセキュリティ設定を決定する。

【0081】

図６は、一実施形態によるダッシュボード表現６００を示す。任意選択的に、ここでのダッシュボード表現６００は、他の図を参照して記載されるものなど、本明細書に挙げた任意の他の実施形態に由来する特徴と併せて実装されてもよい。しかし、もちろん、そのようなダッシュボード表現６００と本明細書に示される他の表現とが、様々なアプリケーションで、または本明細書に挙げた例示的な実施形態に具体的に記載されているかもしくは記載されていない並べ替えで、またはその両方で用いられてもよい。さらに、本明細書に示されたダッシュボード表現６００は、任意の所望の環境で用いられてもよい。

【0082】

一部のアプローチでは、ダッシュボード表現６００は、ＩＴ環境のサイズに従うマップ・ツリー表示を含む。ダッシュボード表現６００は、本明細書の他の箇所に記載される訓練された機械学習モデルを実行した結果の全般的な不確実性、例えば、深く不確実である、不確実である、危険である、明確である、を特徴付けするダイヤル６０２を含む。全般的な不確実性の統計的な測定値６０４も、ダッシュボード表現６００上に含まれる。ダッシュボード表現６００はまた、セキュリティ・ポリシを計算するために分析されたＩＴ環境のデプロイを詳述する環境ブレークダウン６０６を含み、そのようなデプロイは、例えば、クリティカル・ビジネス・アプリケーション、ディベロパー・サンドボックス、製品の非高可用性（production non-high-availability）、および内部システムである。訓練された機械学習モデルによって分析されたクリティカル・ビジネス・アプリケーションに関する情報もダッシュボード表現６００に提供され、例えば、選択毎の詳細な表示６０８を参照されたい。このダッシュボードは、提供された情報、デプロイされた現在の環境、およびデプロイされたセキュリティ構成設定に基づいてクライアントが受容したいと思う、不確実性レベルを識別するものとなる。さらに具体的には、ブレークダウン６０６は、そのようなアプリケーションのそれぞれについてコンピテンシと不確実性レベル、例えば、セキュリティ・コンピテンシおよび不確実性レベルとを詳述する。

【0083】

ダッシュボード表現６００は、クライアントのセキュリティ・リスクの欲求に基づいて最適なＩＴセキュリティ・ポリシを含むこともあり、セキュリティ・ポリシの推奨ヒートマップを示す。例えば、計算されたセキュリティ・ポリシの推奨セキュリティ・パラメータも、推奨ヒートマップに説明される。これらの推奨は、適用される予定のパラメータの厳格性（severity）によって分割された予測方法論に基づく。例えば、一部のアプローチでは、推奨セキュリティ・パラメータのそれぞれは、推奨セキュリティ・パラメータがリスクの程度にどれほど合致するかに従って、複数の異なる段の１段、例えば、高位、中位、および低位に段層化される。さらに具体的には、低位の段は、２０個の推奨セキュリティ・パラメータを含み、中位の段は、４つの推奨セキュリティ・パラメータを含み、高位の段は、２つの推奨セキュリティ・パラメータを含み、例えば、ＦＴＰプロトコルを無効化する、ポート３８３９を閉じる、などがある。

【0084】

前述のシステムもしくは方法論またはその両方の様々な特徴が、任意の方法で組み合わされてもよく、それにより上に提示された記載から複数の組合せが作り出されることが明らかになろう。

【0085】

さらに、本発明の実施形態が、サービスをオンデマンドで供与するようカスタマのためにデプロイされたサービスの形で提供され得ることが認識されよう。

【0086】

本発明の様々な実施形態の説明は、例示の目的で提供されてきたが、網羅的であることまたは開示された実施形態に限定されることを意図するものではない。記載された実施形態の範囲および趣旨から逸脱することなく、多くの変更および変形が、当業者には明らかとなろう。本明細書で使用された用語は、実施形態の原理、実際の用途、もしくは市場で見出される技術に対する技術的改善を最も良く説明するように、または本明細書に開示された実施形態を他の当業者が理解できるように選ばれたものである。

【図1】

【図2】

【図3A】

【図3B】

【図3C】

【図3D】

【図3E】

【図4】

【図5】

【図6】

【国際調査報告】