【０００１】[0001]
【発明の属する技術分野】本発明は、情報システムのセ
キュリティポリシーの作成を支援するシステムに関し、
特に、過去の事例データに基づいてセキュリティポリシ
ーの作成を支援するシステムに関する。BACKGROUND OF THE INVENTION 1. Field of the Invention The present invention relates to a system that supports the creation of security policies for information systems,
In particular, it relates to a system that supports the creation of a security policy based on past case data.
【０００２】[0002]
【従来の技術】従来より、情報セキュリティポリシーの
策定手法・手順としては、ISO/IEC TR13335 (GMITS:Gui
delines for the management of IT Security)やISO/IE
C 17799 (BS7799)等の国際標準により規定され推奨され
る手法・手順がある。この手法・手順では、(1)適用対
象・範囲の決定、(2)情報資産の定義、(3)脅威の抽出、
(4)リスク評価、(5)ポリシー（対策）の策定、の各ステ
ップをこの順に正確に実施する。また、情報技術製品や
情報システムのセキュリティ機能の設計・評価に関する
国際標準としてISO/IEC 15408 (CC:Common Criteria)が
あり、前述のISO/IEC TR 13335やISO/IEC 17799等と同
様の手順でのセキュリティ設計を推奨している。この手
法・手順では、まず最初に対象となる情報システムの固
有性を定義し、その定義をもとにして対象システムに固
有の脅威を洗い出すことにより、対象システム固有の対
策を策定できる。つまり、この手法・手順は、対象とな
る情報システムに適したセキュリティポリシー、あるい
はセキュリティに関する対策を策定するために有効なも
のである。2. Description of the Related Art Conventionally, ISO / IEC TR13335 (GMITS: Gui
delines for the management of IT Security) and ISO / IE
There are methods and procedures defined and recommended by international standards such as C 17799 (BS7799). In this method / procedure, (1) application and scope determination, (2) definition of information assets, (3) threat extraction,
Accurately implement each step of (4) risk assessment and (5) policy (countermeasure) formulation. In addition, there is ISO / IEC 15408 (CC: Common Criteria) as an international standard for the design and evaluation of security functions of information technology products and information systems, and the procedure is the same as ISO / IEC TR 13335 or ISO / IEC 17799 described above. Security design is recommended. In this method / procedure, first, the peculiarities of the target information system are defined, and the threats peculiar to the target system are identified based on the definition, whereby the countermeasures peculiar to the target system can be formulated. In other words, this method / procedure is effective for formulating a security policy or security measures suitable for the target information system.
【０００３】また、簡易なポリシー策定方法としては、
セキュリティポリシーの作成事例を利用するものがあ
り、例えば、特開２００１−１０１１３５号公報「セキ
ュリティ評価方法および装置、セキュリティ施策の作成
支援方法および装置」がある。この先行技術文献では、
各情報機器タイプのポリシー事例を事前にデータベース
に格納しておき、対象システム構成に応じて、各構成機
器のポリシー事例を組み合わせることにより、対象シス
テム全体のポリシーを策定するものである。A simple policy formulation method is as follows.
There is one that uses an example of creating a security policy, for example, Japanese Patent Laid-Open No. 2001-101135 “Security Evaluation Method and Device, Security Policy Creation Support Method and Device”. In this prior art document,
The policy examples of each information device type are stored in a database in advance, and the policy of the entire target system is formulated by combining the policy examples of each component device according to the target system configuration.
【０００４】[0004]
【発明が解決しようとする課題】しかしながら、前述の
国際標準で推奨されているセキュリティポリシー策定手
法・手順の実施には、リスク分析等、高度な専門知識や
技術に加えて、脅威や対策事例の豊富な知識と、どの脅
威に対してどの対策が有効であるかといったセキュリテ
ィに関するノウハウが必要となる。このため、限られた
専門家が時間およびコストをかけなければ実施できない
という問題点がある。However, in order to implement the security policy formulation method / procedure recommended by the above-mentioned international standard, in addition to advanced expertise and technology such as risk analysis, the A wealth of knowledge and security know-how such as which countermeasures are effective against which threats are required. For this reason, there is a problem that it cannot be carried out by a limited specialist without spending time and cost.
【０００５】一方、前述の先行技術文献の手法では、構
成機器からセキュリティポリシーを導出するノウハウを
データベース化しているが、インターネット接続システ
ム等のような各構成要素の固有性が小さい情報システム
を対象としており、適用範囲が限定されている。On the other hand, in the method of the above-mentioned prior art document, the know-how for deriving the security policy from the constituent devices is made into a database, but it is intended for an information system such as an Internet connection system in which each constituent element is less unique. And the scope of application is limited.
【０００６】そこで、本発明は、ノウハウを有しない者
であっても、対象となる情報システムに適したセキュリ
ティに関する対策の決定、あるいはセキュリティポリシ
ーを作成することができるように支援するシステムを提
供することを目的とする。Therefore, the present invention provides a system that assists even a person who does not have know-how to determine a security measure suitable for a target information system or create a security policy. The purpose is to
【０００７】また、本発明は、セキュリティポリシーの
作成に対してノウハウを提供して、それに対する課金を
行うシステムを提供することを別の目的とする。It is another object of the present invention to provide a system for providing know-how for creating a security policy and charging for it.
【０００８】また、セキュリティポリシーの作成事例デ
ータを収集して、効率的にノウハウを蓄積することをさ
らに別の目的とする。Another object is to collect security policy creation case data and efficiently accumulate know-how.
【０００９】[0009]
【課題を解決するための手段】本発明の一つの形態に従
うセキュリティポリシーの作成支援システムによれば、
情報システムを構成する情報資産と、前記情報資産に関
連するキーワードとを対応付けて記憶する第１の記憶手
段と、前記情報資産が曝される脅威と、前記脅威に関連
するキーワードとを対応付けて記憶する第２の記憶手段
と、前記脅威に対する対策と、前記対策に関連するキー
ワードとを対応付けて記憶する第３の記憶手段と、セキ
ュリティポリシーの作成対象となる情報システムに関す
るキーワードの入力を受け付ける受付手段と、前記受付
手段が受け付けたキーワードに基づいて、情報資産と脅
威と対策とを抽出する抽出手段と、前記抽出手段による
抽出結果を表示する表示手段とを備える。According to a security policy creation support system according to one aspect of the present invention,
First storage means for storing information assets constituting an information system and keywords associated with the information assets in association with each other, threats to which the information assets are exposed, and keywords associated with the threats A second storage unit for storing the above information, a third storage unit for storing the countermeasure against the threat and a keyword related to the countermeasure in association with each other, and input of a keyword related to an information system for which a security policy is to be created. The reception unit includes a reception unit, an extraction unit that extracts the information asset, the threat, and the countermeasure based on the keyword received by the reception unit, and a display unit that displays the extraction result of the extraction unit.
【００１０】本発明の他の形態に従うセキュリティポリ
シーの作成支援システムによれば、情報システムを構成
する情報資産と、前記情報資産が曝される脅威との関連
を記憶する記憶手段と、セキュリティポリシーの作成対
象となる情報システムに含まれる情報資産を決定する資
産決定手段と、前記資産決定手段により決定された情報
資産に対する脅威の候補を抽出する抽出手段と、前記抽
出手段による抽出結果を表示する表示手段とを備える。According to a security policy creation support system according to another aspect of the present invention, an information asset forming the information system, a storage means for storing a relation between a threat to which the information asset is exposed, and a security policy. Asset determining means for determining an information asset included in the information system to be created, extracting means for extracting a threat candidate for the information asset determined by the asset determining means, and a display for displaying the extraction result by the extracting means And means.
【００１１】本発明の他の形態に従うセキュリティ対策
決定支援システムによれば、情報システムが曝される脅
威と、前記脅威に対する対策との関連を記憶する記憶手
段と、セキュリティに関する対策を決定する対象となる
情報システムが曝される脅威を決定する脅威決定手段
と、前記脅威決定手段により決定された脅威に対する対
策の候補を抽出する抽出手段と、前記抽出手段による抽
出結果を表示する表示手段とを備える。According to another aspect of the present invention, there is provided a security measure decision support system, a storage means for storing a relation between a threat to which an information system is exposed and a measure against the threat, and an object for determining a security measure. A threat determining unit to which the information system is exposed, a extracting unit extracting a candidate of a countermeasure against the threat determined by the threat determining unit, and a display unit displaying an extraction result of the extracting unit. .
【００１２】[0012]
【発明の実施の形態】以下、本発明の実施形態につい
て、図面を用いて説明する。BEST MODE FOR CARRYING OUT THE INVENTION Embodiments of the present invention will be described below with reference to the drawings.
【００１３】図１は、本発明を適用した第一の実施形態
に係るセキュリティポリシー作成支援システムの全体構
成を示す図である。本システムは、セキュリティポリシ
ーの作成を支援するセキュリティポリシー作成支援装置
（以下、支援装置）１１と、セキュリティポリシーの作
成時に使用するノウハウを管理するノウハウ管理装置１
２とを有する。ノウハウ管理装置１２は、セキュリティ
ポリシーを作成する際に利用するノウハウを保持したノ
ウハウデータベース１３と、複数のセキュリティポリシ
ー作成事例データからなる事例データベース１５と、ノ
ウハウデータベース１３の利用者の情報を管理する利用
者データベース１６とを有する。FIG. 1 is a diagram showing the overall configuration of a security policy creation support system according to the first embodiment to which the present invention is applied. This system includes a security policy creation support device (hereinafter, support device) 11 that supports creation of a security policy, and a know-how management device 1 that manages know-how used when creating a security policy.
2 and. The know-how management device 12 manages the know-how database 13 that holds know-how to be used when creating a security policy, the case database 15 including a plurality of security policy creation case data, and the user information of the know-how database 13. Person database 16.
【００１４】支援装置１１の詳細な構成を図２に示す。
支援装置１１は、汎用のパーソナルコンピュータ等で構
成することができる。例えば、支援装置１１は、ＣＰＵ
２１と、入出力制御部２２と、バス２３と、外部記憶装
置２４と、主記憶装置（メモリ）２５と、端末入出力制
御部２２に接続されたディスプレイ２６およびキーボー
ド２７と、他の装置との間のネットワーク回線を制御す
るネットワーク制御部２８とを有する。FIG. 2 shows a detailed configuration of the support device 11.
The support device 11 can be configured by a general-purpose personal computer or the like. For example, the support device 11 is a CPU
21, an input / output control unit 22, a bus 23, an external storage device 24, a main storage device (memory) 25, a display 26 and a keyboard 27 connected to the terminal input / output control unit 22, and other devices. And a network control unit 28 for controlling the network line between the two.
【００１５】外部記憶装置２４には、セキュリティポリ
シーの作成支援プログラム２４１と、通信処理プログラ
ム２４２とが記憶されている。ＣＰＵ２１が、作成支援
プログラム２４１と通信処理プログラム２４２とを読み
込んで、実行することにより以下の各処理部２５０１〜
２５８が実現する。つまり、ＣＰＵ２１上には、セキュ
リティポリシーを作成する対象システムのキーワード入
力処理部２５１と、対象システムのキーワードに基づい
て情報資産、脅威、対策等のポリシー作成に関わるデー
タ群（以降、事例データと呼ぶ）の雛型を作成する雛型
作成処理部２５２と、情報資産の定義を支援する情報資
産定義処理部２５３と、情報資産に対する脅威を洗い出
し、対策を取るべき脅威の決定を支援する脅威抽出・決
定処理部２５４と、リスク及び対策に要するコストを評
価するリスク・コスト管理処理部２５５と、脅威に対す
る対策の決定を支援する対策立案・決定処理部２５６
と、ネットワーク回線を介した通信を行うための通信処
理部２５８とを備える。The external storage device 24 stores a security policy creation support program 241 and a communication processing program 242. The CPU 21 reads the creation support program 241 and the communication processing program 242 and executes them to execute the following processing units 2501 to 2501.
258 is realized. That is, on the CPU 21, a keyword input processing unit 251 of the target system that creates a security policy, and a data group related to policy creation of information assets, threats, countermeasures, etc. based on the keyword of the target system (hereinafter referred to as case data). ) A template creation processing unit 252 that creates a template, an information asset definition processing unit 253 that supports the definition of information assets, a threat extraction process that identifies threats to information assets and assists in determining threats to take countermeasures. A decision processing unit 254, a risk / cost management processing unit 255 that evaluates costs required for risks and countermeasures, and a countermeasure planning / decision processing unit 256 that assists in determining countermeasures against threats.
And a communication processing unit 258 for performing communication via a network line.
【００１６】ノウハウ管理装置１２の詳細な構成を図３
に示す。ノウハウ管理装置１２は、汎用のパーソナルコ
ンピュータ等で構成することができる。例えば、ノウハ
ウ管理装置１２は、ＣＰＵ３１と、入出力制御部３２
と、バス３３と、外部記憶装置３４と、主記憶装置（メ
モリ）３５と、端末入出力制御部３２に接続されたディ
スプレイ３６およびキーボード３７と、他の装置との間
のネットワーク回線を制御するネットワーク制御部３８
とを有する。The detailed structure of the know-how management device 12 is shown in FIG.
Shown in. The know-how management device 12 can be configured by a general-purpose personal computer or the like. For example, the know-how management device 12 includes the CPU 31 and the input / output control unit 32.
A bus 33, an external storage device 34, a main storage device (memory) 35, a display 36 and a keyboard 37 connected to the terminal input / output control unit 32, and a network line between other devices. Network control unit 38
Have and.
【００１７】外部記憶装置３４には、ノウハウデータベ
ース等を管理するデータベース管理プログラム３４１
と、ネットワーク回線を介して通信を行うための通信制
御処理プログラム３４２と、事例データベースを構成す
る事例データ３４３と、ノウハウデータベースを構成す
るノウハウデータ３４４と、利用者管理データベースを
構成する利用者データ３４５と、課金処理プログラム３
４６と、優先度算出処理プログラム３４７とが記憶され
ている。ＣＰＵ３１が、データベース管理プログラム３
４１、通信処理プログラム２４２、課金処理プログラム
３４６、及び優先度算出処理プログラム３４７を読み込
んで、実行することにより以下の各処理部３５１〜３５
６が実現する。つまり、ＣＰＵ３１上には、通信処理部
３５１と、データベース検索処理部３５２と、データベ
ース更新処理部３５３と、ノウハウ利用者識別・認証処
理部３５４と、課金処理部３５５と、優先度算出処理部
３５６とを備える。The external storage device 34 has a database management program 341 for managing a know-how database and the like.
A communication control processing program 342 for communicating via a network line, case data 343 forming a case database, know-how data 344 forming a know-how database, and user data 345 forming a user management database. And charging processing program 3
46 and a priority calculation processing program 347 are stored. The CPU 31 uses the database management program 3
41, the communication processing program 242, the charging processing program 346, and the priority calculation processing program 347 are read and executed to execute the following processing units 351 to 35.
6 is realized. That is, on the CPU 31, the communication processing unit 351, the database search processing unit 352, the database update processing unit 353, the know-how user identification / authentication processing unit 354, the charging processing unit 355, and the priority calculation processing unit 356. With.
【００１８】つぎに、ノウハウデータベース１３が有す
るデータ項目を図４及び図５に示す。ノウハウデータベ
ース１３は、要素データ１３１と、要素間リンクデータ
１３２と、実績データ１３３、１３４と、キーワードデ
ータ１３５とを有する。Next, the data items of the know-how database 13 are shown in FIGS. 4 and 5. The know-how database 13 has element data 131, inter-element link data 132, performance data 133 and 134, and keyword data 135.
【００１９】要素データ１３１は、セキュリティポリシ
ーの作成に必要な要素を定義する。要素データには、対
象となるシステムが保有する情報資産（以下、単に資産
という）の種類に関する情報４１と、対象となるシステ
ムが曝される脅威の種類に関する情報４２と、脅威に対
する対策の種類に関する情報４３と、脅威の種別を定義
する定義情報４４と、対策の種別を定義する定義情報４
５とが含まれる。The element data 131 defines elements necessary for creating a security policy. The element data includes information 41 regarding the type of information assets (hereinafter, simply referred to as assets) held by the target system, information regarding the type of threat to which the target system is exposed, and type of countermeasures against the threat. Information 43, definition information 44 that defines the type of threat, and definition information 4 that defines the type of countermeasure
And 5 are included.
【００２０】資産の種類に関する情報４１は、資産を識
別するための資産ＩＤ４１１と、資産の分類項目４１２
と、情報資産名４１３と、資産の存在場所４１４と、資
産の形態４１５とを含む。The information 41 on the type of asset includes an asset ID 411 for identifying the asset and a classification item 412 of the asset.
Information asset name 413, asset location 414, and asset form 415.
【００２１】脅威の種類に関する情報４２は、脅威を識
別するための脅威ＩＤ４２１と、脅威の種別を識別する
ための脅威種別ＩＤ４２２と、攻撃者または脅威の要因
４２３と、攻撃方法４２４と、基準リスク４２５とを含
む。基準リスク４２５とは、脅威の度合い（その脅威が
起こったときの損失の度合い）を示すものであり、他の
脅威と比較するための指標である。例えば、基準リスク
４２５は、脅威が起こったときに予想される損失額と、
その脅威の起こる確率の積で求めることができる。基準
リスク４２５は、随時、更新することができる。The threat type information 42 includes a threat ID 421 for identifying a threat, a threat type ID 422 for identifying a threat type, an attacker or threat factor 423, an attack method 424, and a standard risk. 425 and. The standard risk 425 indicates the degree of threat (degree of loss when the threat occurs), and is an index for comparison with other threats. For example, the base risk 425 is the expected loss amount when a threat occurs,
It can be calculated by the product of the probabilities of the threat. The reference risk 425 can be updated at any time.
【００２２】脅威に対する対策の種類に関する情報４３
は、対策を識別するための対策ＩＤ４３１と、対策の種
別を識別するための対策種別ＩＤ４３２と、対策の内容
４３３と、基準コスト４３４と、基準削減効果４３５と
を含む。基準コスト４３４とは、その対策を実施するの
に要するコストである。基準削減効果４３５は、対策を
実施することにより期待できる基準リスク４２５の削減
効果であり、他の対策と比較するための指標である。基
準コスト４３４および基準削減効果４３５は、随時、更
新することができる。Information about the types of countermeasures against threats 43
Includes a countermeasure ID 431 for identifying the countermeasure, a countermeasure type ID 432 for identifying the countermeasure type, a countermeasure content 433, a reference cost 434, and a reference reduction effect 435. The reference cost 434 is a cost required to implement the countermeasure. The standard reduction effect 435 is a reduction effect of the standard risk 425 that can be expected by implementing the measures, and is an index for comparison with other measures. The reference cost 434 and the reference reduction effect 435 can be updated at any time.
【００２３】脅威の種別を定義する定義情報４４は、脅
威種別ＩＤ４４１と、脅威種別４４２とを対応付ける。The definition information 44 defining the threat type associates the threat type ID 441 with the threat type 442.
【００２４】対策の種別を定義する定義情報４５は、対
策種別ＩＤ４５１と、対策種別４５２とを対応付ける。The definition information 45 defining the type of countermeasure associates the countermeasure type ID 451 with the countermeasure type 452.
【００２５】要素間リンクデータ１３２は、要素間の関
連を定義する。具体的には、要素間リンクデータ１３２
は、資産と、その資産に対して生じ得る脅威とを関連付
ける脅威−資産リンク４７と、脅威と、その脅威に対す
る対策とを関連付ける対策−脅威間リンク４８とを含
む。The inter-element link data 132 defines the relation between the elements. Specifically, the inter-element link data 132
Includes a threat-asset link 47 that associates an asset with a possible threat to the asset, and a countermeasure-inter-threat link 48 that associates the threat with a countermeasure against the threat.
【００２６】脅威−資産リンク４７は、脅威−資産リン
クＩＤ４７１と、脅威ＩＤ４２１と、資産ＩＤ４１１と
をそれぞれ対応付ける。The threat-asset link 47 associates the threat-asset link ID 471, the threat ID 421, and the asset ID 411 with each other.
【００２７】対策−脅威間リンク４８は、対策−脅威間
リンクＩＤ４８１と、対策ＩＤ４３１と、脅威ＩＤ４２
１とをそれぞれ対応付ける。The countermeasure-threat link 48 includes a countermeasure-threat link ID 481, a countermeasure ID 431, and a threat ID 42.
Corresponds 1 and 1, respectively.
【００２８】キーワードデータ１３５は、セキュリティ
ポリシーの適用対象システムの特徴を表すキーワードと
して使用できるものが登録されている。キーワードは、
例えば、業種（例えば金融、証券、官公庁等）、システ
ム種別（例えばインターネット接続システム、リモート
アクセスシステム、ATMシステム等）、部門種別（例え
ば全社、人事部門、開発部門等）等を含む。キーワード
データ１３５は、キーワードＩＤ５６１と、キーワード
５６２と、上位キーワード５６３とが対応付けられてい
る。キーワード同士が階層的な関係を有する場合、上位
キーワード５６３には、キーワード５６２の上位となる
キーワードのＩＤが登録される。The keyword data 135 is registered as a keyword that can be used as a keyword representing the characteristics of the system to which the security policy is applied. The keywords are
For example, it includes the type of business (for example, finance, securities, government offices, etc.), system type (for example, Internet connection system, remote access system, ATM system, etc.), department type (for example, company-wide, personnel department, development department, etc.). In the keyword data 135, a keyword ID 561, a keyword 562, and an upper keyword 563 are associated with each other. When the keywords have a hierarchical relationship with each other, the upper keyword 563 is registered with the ID of the keyword that is higher than the keyword 562.
【００２９】実績データ１３３、１３４は、要素データ
の実績データ１３３と要素間リンクデータの実績データ
１３４とがあり、要素データ１３１または要素間リンク
データ１３２が、セキュリティポリシーの作成に使用さ
れた回数の実績を示す。さらに、要素実績データ１３３
および要素間リンク実績データ１３４は、要素データま
たは要素間リンクデータとキーワードとを対応付ける。The actual data 133, 134 includes the actual data 133 of element data and the actual data 134 of inter-element link data, and indicates the number of times the element data 131 or the inter-element link data 132 has been used for creating a security policy. Show actual results. Furthermore, the element performance data 133
The inter-element link record data 134 associates the element data or the inter-element link data with the keyword.
【００３０】要素データの実績データ１３３は、資産の
実績データ５１と、脅威の実績データ５２と、対策の実
績データ５３とを含む。要素間リンクの実績データ１３
４は、脅威−資産間リンクの実績データ５４と、対策−
脅威間リンクの実績データ５５とを含む。The element data record data 133 includes asset record data 51, threat record data 52, and countermeasure record data 53. Actual data of link between elements 13
4 is threat-actual data 54 of the link between assets and countermeasures-
The actual data 55 of the link between threats is included.
【００３１】資産実績データ５１は、資産ＩＤ４１１
と、その資産が使用された使用総数５１２と、この資産
を登録した登録者のＩＤ５１６とを含む。さらに、資産
実績データ５１は、資産ＩＤ４１１に対応付けられたキ
ーワード５１３と、そのキーワードの使用回数５１４と
の組み合わせを複数含む。使用総数５１２は、資産がセ
キュリティポリシーの作成時に使用された総数である。
キーワード別の使用回数５１４は、そのキーワードに基
づいて資産が使用された回数を示す。The asset performance data 51 is the asset ID 411.
And the total number 512 of uses of the asset and the ID 516 of the registrant who registered this asset. Further, the asset record data 51 includes a plurality of combinations of a keyword 513 associated with the asset ID 411 and a usage count 514 of the keyword. The total number of uses 512 is the total number of uses of the asset when creating the security policy.
The usage count 514 for each keyword indicates the number of times the asset has been used based on the keyword.
【００３２】脅威の実績データ５２、対策の実績データ
５３、脅威−資産間リンクの実績データ５４、および対
策−脅威間リンクの実績データ５５についても、同様の
構造を有する。The threat record data 52, the countermeasure record data 53, the threat-assets link record data 54, and the countermeasure-threat link record data 55 have the same structure.
【００３３】次に、事例データベース１５が有するデー
タ項目を図６に示す。事例データベース１５は、本シス
テムがセキュリティポリシーの作成を行った事例に関す
るデータを蓄積したデータベースである。事例データベ
ース１５は、セキュリティポリシーの作成対象システム
の事例データ６１と、要素データの事例データ６２、６
３、６４と、要素間リンクデータの事例データ６５、６
６とを含む。Next, FIG. 6 shows the data items included in the case database 15. The case database 15 is a database that stores data on cases in which the system creates a security policy. The case database 15 includes case data 61 of a system for which a security policy is created and case data 62 and 6 of element data.
3, 64 and case data 65, 6 of inter-element link data
6 and.
【００３４】セキュリティポリシーの作成対象システム
の事例データ６１は、対象となる事例の事例ＩＤ６０１
と、キーワード６０２と、作成者ＩＤ６０３とを含む。
キーワード６０２は、ここでは４つ登録することができ
る。作成者ＩＤ６０３は、事例を作成して登録した者の
ＩＤである。The case data 61 of the system for which the security policy is created is the case ID 601 of the target case.
And a keyword 602 and a creator ID 603.
Four keywords 602 can be registered here. The creator ID 603 is the ID of the person who created and registered the case.
【００３５】要素データの事例データは、資産の事例デ
ータ６２と、脅威の事例データ６３と、対策の事例デー
タ６４とを有する。The element data case data includes asset case data 62, threat case data 63, and countermeasure case data 64.
【００３６】資産の事例データ６２は、資産事例ＩＤ６
２１と、具体的資産名６２２と、資産ＩＤ４１１と、分
類項目４１２と、情報資産名４１３と、存在場所４１４
と、資産形態４１５とを有する。The asset case data 62 is asset case ID 6
21, a specific asset name 622, an asset ID 411, a classification item 412, an information asset name 413, and a location 414.
And an asset form 415.
【００３７】脅威の事例データ６３は、脅威事例ＩＤ６
３１と、具体的脅威記述６３２と、設定リスク６３３
と、脅威ＩＤ４２１と、脅威種別４２２と、攻撃者／要
因４２３と、攻撃方法４２４とを有する。The threat case data 63 is the threat case ID 6
31, a specific threat description 632, and a setting risk 633
A threat ID 421, a threat type 422, an attacker / factor 423, and an attack method 424.
【００３８】対策の事例データ６４は、対策事例ＩＤ６
４１と具体的対策記述６４２と、設定コスト６４３と、
リスク削減効果６４４と、対策ＩＤ４３１と、対策種別
ＩＤ４３２と、対策内容４３３とを有する。The countermeasure case data 64 is the countermeasure case ID 6
41, a concrete measure description 642, a setting cost 643,
It has a risk reduction effect 644, a countermeasure ID 431, a countermeasure type ID 432, and a countermeasure content 433.
【００３９】要素間リンクデータの事例データは、脅威
−資産間リンクの事例データ６５と、対策−脅威間リン
クの事例データ６６とを含む。The case data of the inter-element link data includes the case data 65 of the threat-asset link, and the case data 66 of the countermeasure-threat link.
【００４０】脅威−資産間リンクの事例データ６５は、
脅威−資産事例リンクＩＤ６５１と、脅威事例ＩＤ６３
１と、資産事例ＩＤ６２１と、脅威−資産間リンクＩＤ
４７１とを含む。The threat-assets link case data 65 is
Threat-asset case link ID 651 and threat case ID 63
1, asset case ID 621, threat-asset link ID
471 and.
【００４１】対策−脅威間リンクの事例データ６６は、
対策−脅威事例リンクＩＤ６６１と、対策事例ＩＤ６４
１と、脅威事例ＩＤ６３１と、対策−脅威リンクＩＤ４
８１とを含む。Countermeasure-the case data 66 of the link between threats is
Countermeasure-threat case link ID 661 and counter case ID 64
1, threat case ID 631, and countermeasure-threat link ID 4
81 and.
【００４２】つぎに、利用者データベース１６のデータ
項目を、図７に示す。利用者データベース１６は、ユー
ザＩＤ７１１と、利用者を認証するためのパスワード７
１２と、利用者の人名や会社名等のユーザ詳細情報７１
３と、課金総額７１４と、ポリシー事例データの作成回
数７１５と、ポリシー事例データの提供回数７１６と、
各ポリシー事例データの利用回数の総和７１７とを含
む。Next, the data items of the user database 16 are shown in FIG. The user database 16 has a user ID 711 and a password 7 for authenticating the user.
12 and user detailed information 71 such as user name and company name
3, the total amount of charge 714, the number of times 715 of creating policy case data, the number of times 716 of providing policy case data,
And the total number of times the policy case data is used 717.
【００４３】次に、新規にセキュリティポリシーを作成
するときの処理手順について、説明する。Next, a processing procedure for creating a new security policy will be described.
【００４４】図９は、標準的なセキュリティポリシー作
成手順を示すフローチャートである。セキュリティポリ
シーの作成は、支援装置１１とノウハウ管理装置１２と
がそれぞれ処理を実行し、セキュリティポリシーの適用
対象の決定９１１、保護すべき情報資産の定義９１２、
定義した情報資産に対する脅威の抽出９１３、脅威に対
するリスクの評価９１４、および対策の立案９１５の順
に行われる。FIG. 9 is a flowchart showing a standard security policy creating procedure. The creation of the security policy is performed by the support device 11 and the know-how management device 12, respectively, to determine the application target 911 of the security policy, the definition 912 of the information asset to be protected,
The threat extraction 913 against the defined information asset, the risk assessment 914 against the threat, and the countermeasure planning 915 are performed in this order.
【００４５】まず、ポリシー作成支援プログラム２４１
が表示するメニュー画面の例を図１８に示す。ここで、
適用対象の決定ボタン１８０１が押下されると、後述す
るステップＳ９２２、Ｓ９２３の処理が実行される。情
報資産の定義ボタン１８０２が押下されると、後述する
ステップＳ９２４の処理が実行される。脅威抽出＆リス
ク評価ボタン１８０３が押下されると、後述するステッ
プＳ９２５、Ｓ９２６が実行される。対策立案ボタン１
８０４が押下されると、後述するステップＳ９２７が実
行され、ユーザがセキュリティポリシーの作成が完了し
たと判断して、完了ボタン１８０６が押下されると、後
述するステップＳ９２８の処理が実行される。First, the policy creation support program 241
FIG. 18 shows an example of the menu screen displayed by. here,
When the decision button 1801 to be applied is pressed, the processes of steps S922 and S923 described below are executed. When the information asset definition button 1802 is pressed, the process of step S924 described below is executed. When the threat extraction & risk evaluation button 1803 is pressed, steps S925 and S926 described below are executed. Countermeasure planning button 1
When 804 is pressed, step S927 described below is executed, and when the user determines that the creation of the security policy is completed and the completion button 1806 is pressed, the processing of step S928 described below is executed.
【００４６】（セキュリティポリシーの適用対象の決定
９１１）まず、ユーザが支援装置１１へログインする。
ユーザのログインは、例えば、図２２に示すような、利
用者を識別するためのユーザＩＤ２２０１と、パスワー
ドの入力領域２２０２を備えたログイン２２０画面を利
用してもよい。支援装置１１は、受け付けたユーザＩＤ
とパスワードをノウハウ管理装置１２へ通知する（Ｓ９
２１）。(Determination of Security Policy Application Target 911) First, the user logs in to the support apparatus 11.
For the login of the user, for example, a login 220 screen including a user ID 2201 for identifying the user and a password input area 2202 as shown in FIG. 22 may be used. The support device 11 receives the user ID
And the password are notified to the know-how management device 12 (S9
21).
【００４７】ノウハウ管理装置１２のノウハウ利用者識
別・認証処理部３５４は、通知されたユーザＩＤとパス
ワードを利用者データベース１６の登録内容と照らし合
わせることにより利用可否を決定する。登録ユーザの場
合はノウハウデータベース１３のキーワードデータ１３
５に登録されているキーワード一覧を送信する（Ｓ９３
１）。The know-how user identification / authentication processing unit 354 of the know-how management device 12 determines the availability by comparing the notified user ID and password with the registered contents of the user database 16. For registered users, keyword data 13 of know-how database 13
The keyword list registered in No. 5 is transmitted (S93
1).
【００４８】支援装置１１の対象システムのキーワード
入力処理部２５１は、図１０に示すセキュリティポリシ
ー適用対象のキーワード情報入力画面１００を表示し、
ユーザからキーワード等の入力を受け付ける。キーワー
ドは、新規追加１０１を選択して入力するか、または受
信したキーワード一覧１０２から選択できる。入力完了
後にキーワードをノウハウ管理装置１２に送信する（Ｓ
９２２）。The keyword input processing unit 251 of the target system of the support apparatus 11 displays the keyword information input screen 100 for security policy application shown in FIG.
Input of keywords etc. from the user is accepted. The keyword can be selected by inputting the new addition 101 or can be selected from the received keyword list 102. After completing the input, the keyword is transmitted to the know-how management device 12 (S
922).
【００４９】ノウハウ管理装置１２のデータベース検索
・データ取得処理部３５２は、受信したキーワードに基
づいて、セキュリティポリシーの雛形を作成し、支援装
置１１へ送信される（Ｓ９３２）。雛形作成の詳細な処
理手順は、図１９に示す。The database search / data acquisition processing unit 352 of the know-how management apparatus 12 creates a security policy template based on the received keyword and transmits it to the support apparatus 11 (S932). A detailed processing procedure for creating a template is shown in FIG.
【００５０】すなわち、データベース検索・データ取得
処理部３５２は、受信したキーワードのうちキーワード
データ１３５に登録されているものを抽出し、キーワー
ドリストを作成する（Ｓ１９０１）。さらに、データベ
ース検索・データ取得処理部３５２は、キーワードリス
トに含まれる各キーワードの上位キーワード５６３を抽
出する（Ｓ１９０２）。そして、１３３を検索して、キ
ーワードリストの各キーワードが関連する資産、脅威、
対策、および、脅威―資産リンク、対策―脅威リンクを
抽出する（Ｓ１９０３）。最後に、要素間リンクデータ
１３２を参照し、対応付けられている資産、脅威、対策
のみを残し、セキュリティポリシーの雛型をする（Ｓ１
９０４）。なお、ステップＳ１９０３の具体的な処理と
しては、関連するキーワードに対して少なくとも１回以
上使用されているものを抽出してもよいし、事前に設定
した使用回数（例えば１０回）以上使用されているもの
を抽出してもよい。That is, the database search / data acquisition processing unit 352 extracts, from the received keywords, those registered in the keyword data 135 and creates a keyword list (S1901). Further, the database search / data acquisition processing unit 352 extracts the higher-level keyword 563 of each keyword included in the keyword list (S1902). Then, search for 133 and search for the assets, threats,
The countermeasure, the threat-asset link, and the countermeasure-threat link are extracted (S1903). Finally, the inter-element link data 132 is referred to, only the associated assets, threats, and countermeasures are left, and a security policy template is created (S1).
904). As a specific process of step S1903, a keyword that has been used at least once or more with respect to the related keyword may be extracted, or the keyword may be used more than a preset number of times (for example, 10 times). You may extract the existing ones.
【００５１】支援装置１１のポリシーデータ雛形作成処
理部２５２が、受信した情報資産、脅威、対策、脅威−
資産リンク、対策−脅威リンクを含む雛形データを事例
データベース１５へ格納する。ただし、雛型データの場
合、事例ＩＤ（６２１、６３１、６４１、６５１、６６
１）および具体的記述（６２２、６３２、６４２、６５
２、６６２）は空欄とし、設定リスク６３３、設定コス
ト６４３にはそれぞれ基準リスク４２５、基準コスト４
３４を設定する。この雛形データをベースにして以降の
処理を行う。The policy data template creation processing unit 252 of the support apparatus 11 receives the received information assets, threats, countermeasures, threats-
Template data including asset links and countermeasure-threat links is stored in the case database 15. However, in the case of template data, case IDs (621, 631, 641, 651, 66)
1) and specific description (622, 632, 642, 65)
2, 662) are blank, and the setting risk 633 and the setting cost 643 are the reference risk 425 and the reference cost 4 respectively.
Set 34. The subsequent processing is performed based on this template data.
【００５２】（資産の定義９１２）支援装置１１の情報
資産定義処理部２５３は、図１１に示す資産の定義画面
１１０に、初期状態として資産雛型一覧を表示させる。
ユーザは、この画面１１０を利用して、雛型をベースに
資産の追加/編集、削除を行う（Ｓ９２４）。(Asset Definition 912) The information asset definition processing section 253 of the support apparatus 11 displays the asset template list as an initial state on the asset definition screen 110 shown in FIG.
The user uses this screen 110 to add / edit and delete assets based on the template (S924).
【００５３】資産の定義画面１１０は、抽出された資産
の分類項目１１０１と、一般名称１１０２と、固有名称
１１０３と、資産の所在する場所および形態１１０４の
表示領域を有し、さらに、雛形に含まれる資産の追加及
び編集を行うための追加／編集ボタン１１０５と、削除
するための削除ボタン１１０６とを有する。追加／編集
ボタン１１０５が押されると、図１２に示す追加／編集
画面１２０が表示される。追加／編集画面１２０では、
雛形には含まれていない新たな資産を追加することがで
きる。追加／編集画面１２０は、分類項目１２０１、資
産一般名称１２０２、資産固有名称１２０４、場所／形
態１２０５等の入力欄を有する。The asset definition screen 110 has a display area for the extracted asset classification item 1101, general name 1102, proper name 1103, where the asset is located and form 1104, and is included in the template. It has an add / edit button 1105 for adding and editing assets to be deleted and a delete button 1106 for deleting. When the add / edit button 1105 is pressed, the add / edit screen 120 shown in FIG. 12 is displayed. In the add / edit screen 120,
You can add new assets that are not included in the template. The add / edit screen 120 has input fields such as a classification item 1201, a general asset name 1202, a unique asset name 1204, and a place / form 1205.
【００５４】支援装置１１の情報資産定義処理部２５３
は、ノウハウ管理装置１２に対して資産一覧を要求し、
ノウハウ管理装置１２のデータベース検索・データ取得
処理部３５２は実績データを含む情報資産一覧を支援装
置１１に送信する。情報資産定義処理部２５３は受信し
た資産一覧を、分類項目１２０１、資産一般名称１２０
２、および場所/形態１２０５の入力領域における選択
肢として表示する。ここで、一般名称１２０２は、その
資産名がこれまでに使用された回数に基づいて資産の選
択優先度１２０３を決定し、その優先度順に一覧表示す
る。優先度１２０３は、例えば、使用回数が多いほど優
先度を高くする。具体的には、(a)総使用回数の大きい
順に優先度を割り振る、(b)キーワードに関連するが雛
型として採用されなかった資産を使用回数順に優先付け
した後、キーワードに関連しない資産を総使用回数順に
優先付けする等の方法がある。Information asset definition processing unit 253 of support apparatus 11
Requests a list of assets from the know-how management device 12,
The database search / data acquisition processing unit 352 of the know-how management device 12 transmits a list of information assets including performance data to the support device 11. The information asset definition processing unit 253 uses the received asset list as the classification item 1201 and the asset general name 120.
2 and place / form 1205 are displayed as options in the input area. Here, the general name 1202 determines the selection priority 1203 of the asset based on the number of times the asset name has been used so far, and displays the list in order of the priority. As for the priority 1203, for example, the higher the number of times of use, the higher the priority. Specifically, (a) priorities are assigned in descending order of total number of uses, and (b) assets related to keywords but not adopted as templates are prioritized in order of use, and then assets not related to keywords are assigned. There is a method of prioritizing in the order of the total number of times of use.
【００５５】本システムは、上記のような画面を用い
て、ユーザによる資産定義を支援する。The present system supports the asset definition by the user using the above screen.
【００５６】（脅威の抽出９１３）ユーザが資産の定義
を終わると、本システムは、ユーザによる脅威の定義を
支援する。すなわち、支援装置１１の脅威抽出・決定処
理部２５４は、図１３に示す脅威抽出・リスク評価画面
１３０で、脅威雛型一覧をユーザに提示する。ここで示
された脅威の雛型をベースに、ユーザは脅威の追加、編
集、削除を行う（Ｓ９２５）。脅威抽出・リスク評価画
面１３０は、定義した資産ごとに脅威を抽出、決定する
ための画面であり、脅威種別１３０１と、セキュリティ
ポリシー作成のために採用した脅威リスト１３０２と、
使用回数に基づく優先度１３０３と、リスク１３０４
と、追加候補のリスト１３０５と、追加ボタン１３０６
と、削除ボタン１３０７と、新規追加ボタン１３０８
と、リスク評価ボタン１３０９とを有する。脅威抽出・
リスク評価画面１３０を開いたとき、採用脅威１３０２
に脅威の雛型が表示され、追加候補リスト１３０５にノ
ウハウデータベース１３から取得した脅威の一覧が表示
される。ここで、追加候補リスト１３０５は、脅威の選
択優先度１３０３の順に表示される。優先度１３０３
は、その脅威がこれまでに使用された回数に基づいて算
出される。例えば、優先度１３０３は、使用回数が多い
ほど優先度を高くする。具体的には、(a)総使用回数の
大きい順に優先度を割り振る、(b)対象とする情報資産
が関わる脅威−資産リンクの総使用回数の大きい順に優
先度を割り振る、(c)まず(b)の方法で優先度を割り振
り、同じ使用回数のものについてはさらに(a)の方法で
順位をつける、(d)(c)の方法でもなお同じ順位となる場
合はさらにキーワードとの関連の有無やキーワードに使
用回数の大小で判断する等の方法がある。(Threat Extraction 913) When the user finishes defining the asset, the present system supports the definition of the threat by the user. That is, the threat extraction / determination processing unit 254 of the support apparatus 11 presents the threat template list to the user on the threat extraction / risk evaluation screen 130 shown in FIG. Based on the threat template shown here, the user adds, edits, or deletes a threat (S925). The threat extraction / risk evaluation screen 130 is a screen for extracting and determining a threat for each defined asset, and includes a threat type 1301, a threat list 1302 adopted for creating a security policy,
Priority 1303 based on the number of times of use and risk 1304
, A list of candidates for addition 1305, and an add button 1306
And a delete button 1307 and a new add button 1308
And a risk evaluation button 1309. Threat extraction
When the risk evaluation screen 130 is opened, the adoption threat 1302
A threat template is displayed in, and a list of threats acquired from the know-how database 13 is displayed in the additional candidate list 1305. Here, the additional candidate list 1305 is displayed in the order of the threat selection priority 1303. Priority 1303
Is calculated based on the number of times the threat has been used. For example, as the priority 1303, the higher the number of times of use, the higher the priority. Specifically, (a) priorities are assigned in descending order of total number of uses, (b) threats related to target information assets-priorities are assigned in order of total number of uses of asset links, (c) first ( Allocate priorities by the method of b), rank the same number of times by the method of (a), and if the methods of (d) and (c) still have the same rank, There is a method of judging the presence or absence and the keyword depending on the number of times of use.
【００５７】（リスクの評価９１４）そして、採用した
脅威リスト１３０２には、ユーザが採用した脅威がリス
トアップされる。ここでリスク評価ボタン１３０９が押
されると、リスク・コスト管理処理部２５５がリスクを
評価する（Ｓ９２６）。リスク表示領域１３０４には、
リスク評価結果の値が表示される。なお、リスク評価手
法は公知の定量手法、定性手法等があり、いずれかの方
式に基づいて別途算出する。(Risk Evaluation 914) The threats adopted by the user are listed in the adopted threat list 1302. When the risk evaluation button 1309 is pressed here, the risk / cost management processing unit 255 evaluates the risk (S926). In the risk display area 1304,
The value of the risk evaluation result is displayed. Note that there are known quantitative methods, qualitative methods, etc. as the risk evaluation method, and they are calculated separately based on either method.
【００５８】（対策の立案９１５）最後に、図１４に示
す対策決定・コスト設定画面１４０、図１５に示す対策
立案・コスト設定画面１５０および図１６に示す対策選
択画面１６０で、脅威に対する対策を洗い出し、設定し
た許容リスク、許容コストを満足するようにコスト効果
の高い対策を選択する（Ｓ９２７）。対策決定・コスト
設定画面１４０は、各資産別に対策をとるべき脅威一覧
１４０７と、資産別残存リスク１４０２と、対策にかか
る所要コスト１４０４と、許容リスクの入力領域１４０
１と、許容コストの入力領域１４０３と、対策候補作成
ボタン１４０５と、対策選択ボタン１４０６とを有す
る。(Countermeasure planning 915) Finally, on the countermeasure determination / cost setting screen 140 shown in FIG. 14, the countermeasure planning / cost setting screen 150 shown in FIG. 15, and the countermeasure selection screen 160 shown in FIG. A measure with high cost effectiveness is selected so as to satisfy the specified allowable risk and allowable cost that have been identified (S927). The measure determination / cost setting screen 140 includes a threat list 1407 to be taken for each asset, a residual risk 1402 for each asset, a required cost 1404 for the measure, and an allowable risk input area 140.
1, a permissible cost input area 1403, a measure candidate creation button 1405, and a measure selection button 1406.
【００５９】ユーザが脅威一覧１４０７から脅威を選択
後、対策候補作成ボタン１４０５を押下すると、対策立
案・コスト設定画面１５０が開き、脅威に対する対策の
洗い出しと各対策の所要コストの設定を行う。対策立案
・コスト設定画面１５０は、選択した脅威に対する対策
案を洗い出し、各対策のコストを設定するための画面で
あり、対策候補リスト１５０２、使用回数に基づく優先
度１５０３と、コスト１５０４と、追加候補リスト１５
０６、追加ボタン１５０７と、削除ボタン１５０８と、
新規追加ボタン１５０９とを有する。この画面１５０が
開いたときには、対策候補１５０２に対策の雛型が表示
され、追加候補リスト１５０６にノウハウデータベース
１３から取得した対策の一覧が表示される。ここで、追
加候補リスト１５０６は、対策の優先度１５０３の順に
表示される。優先度１５０３は、その対策がこれまでに
使用された回数に基づいて算出される。具体的には、
(a)各対策の総使用回数の大きい順に優先度を割り振
る、(b)対象とする脅威が関わる対策−脅威リンクの総
使用回数の大きい順に優先度を割り振る、(c)まず(b)の
方法で優先度を割り振り同じ使用回数のものについては
さらに(a)の方法で順位をつける、(d)(c)の方法でもな
お同じ順位となる場合はさらにキーワードとの関連の有
無やキーワードに使用回数の大小で判断する、等の方法
がある。When the user selects a threat from the threat list 1407 and then presses the countermeasure candidate creation button 1405, the countermeasure planning / cost setting screen 150 opens, and the countermeasure against the threat is identified and the required cost for each countermeasure is set. The measure planning / cost setting screen 150 is a screen for identifying a measure against the selected threat and setting the cost of each measure. The measure candidate list 1502, priority 1503 based on the number of times of use, cost 1504, and addition Candidate list 15
06, an add button 1507, a delete button 1508,
It has a new addition button 1509. When this screen 150 is opened, a countermeasure model is displayed in the countermeasure candidate 1502, and a list of countermeasures acquired from the know-how database 13 is displayed in the additional candidate list 1506. Here, the additional candidate list 1506 is displayed in the order of the priority 1503 of the countermeasure. The priority 1503 is calculated based on the number of times the countermeasure has been used so far. In particular,
(a) Priority is assigned to each measure in descending order of total number of uses, (b) Countermeasures related to target threats-Priority is assigned to order of total use number of threat links, (c) First of (b) If the method is assigned priorities and the number of times of use is the same, the method of (a) is used to further rank, and if the methods of (d) and (c) are still in the same order, the presence or absence of the relationship with the keyword and the keyword There is a method such as judging by the number of times of use.
【００６０】次に、ユーザが対策選択ボタン１４０６を
押下すると、対策選択画面１６０が開き、各資産につい
て許容リスク、許容コストを満足する対策を選択する。
対策選択画面１６０は、残存リスク、所要コストが許容
範囲に収まり、脅威に対して抜け漏れなく対処する対策
を選択するための画面であり、脅威一覧リスト１６０
１、対策一覧リスト１６０２、対策の選択領域１６０３
と、未対策脅威の有無の表示領域１６０４と、残存リス
クと所要コスト表示領域１６０６とを有する。ユーザが
対策の選択領域１６０３にチェックを入れて選択するこ
とにより、残存リスクと所要コスト表示領域１６０６お
よび未対策脅威の有無の表示領域１６０４に、その時の
状況が表示される。Next, when the user presses the measure selection button 1406, the measure selection screen 160 opens, and a measure that satisfies the allowable risk and the allowable cost for each asset is selected.
The countermeasure selection screen 160 is a screen for selecting a countermeasure that the remaining risk and the required cost are within the allowable range and the threat is dealt with without omission, and the threat list list 160
1. Measure list 1602, measure selection area 1603
And a display area 1604 of the presence / absence of unresolved threats, a residual risk and required cost display area 1606. When the user checks and selects the countermeasure selection area 1603, the situation at that time is displayed in the residual risk / required cost display area 1606 and the display area 1604 of the presence / absence of an unmeasured threat.
【００６１】以上によりセキュリティポリシーの作成は
完了する。本方式のセキュリティポリシー作成支援方法
および装置ではさらに、支援装置１１の通信処理部２５
８が、ポリシー作成完了時に、事例データ全体あるいは
一部をノウハウ管理装置１２に送信する（Ｓ９２８）。With the above, the creation of the security policy is completed. In the security policy creation support method and apparatus of this method, the communication processing unit 25 of the support apparatus 11 is further provided.
When the policy creation is completed, 8 sends all or part of the case data to the know-how management device 12 (S928).
【００６２】一方、ノウハウ管理装置１２のデータベー
ス自動更新処理部３５３は、受信した事例データの全
体、または一部に基づいてノウハウデータベース１３を
更新する。On the other hand, the database automatic update processing unit 353 of the know-how management device 12 updates the know-how database 13 based on the whole or part of the received case data.
【００６３】図２１にデータベース自動更新処理部３５
３が行う更新処理の手順を示す。図８は更新前後の事例
データベース１５、およびノウハウデータベース１３を
示す。データベース自動更新処理部３５３は、受信する
ポリシー事例データの形式に基づいて処理２１１と処理
２１２に分岐する。ポリシー事例データ全体（フォーマ
ット６１、６２、６３、６４、６５、６６）を受信した
場合、まず受信したデータをポリシー事例データ３４３
に保存する（Ｓ３１１１）。次に、受信した事例データ
が、ノウハウデータベースに登録されている既存データ
に基づいて作成されたもの（資産ＩＤ８１１に識別子あ
り）か、ノウハウデータベースに存在せず新規に作成さ
れたもの（資産ＩＤ８１２に“−”あり）かを識別する
（Ｓ２１１２２）。次に、事例データが既存データに基
づいている場合、ノウハウデータベースの要素実績デー
タ１３３及び要素間リンク実績データ１３４の総使用回
数とキーワードが関連する場合の使用回数とを１増加さ
せる。新規作成データである場合、ノウハウデータベー
スに追加し、新しいＩＤを付与する（Ｓ２１１３）。例
えば、図８の場合、資産ＩＤ“０２４”の事例データに
ついては、更新前の資産使用実績記録部８３の総使用回
数“１５６"とキーワード”K００１“に関連する使用回
数”６３“が、更新後にそれぞれ”１５７“”６４“と
１ずつ増加する。また、資産ＩＤ”-“の新規作成の事
例データについては、資産定義部８２に新規の資産８２
１が追加され、資産ＩＤ”１００“が付与される。最後
に、付与された新規IDを事例データベースに反映させる
（Ｓ２１１４）。FIG. 21 shows the database automatic update processing unit 35.
3 shows the procedure of the updating process performed by No. 3. FIG. 8 shows the case database 15 and the know-how database 13 before and after the update. The database automatic update processing unit 353 branches to processing 211 and processing 212 based on the format of the received policy case data. When the entire policy case data (format 61, 62, 63, 64, 65, 66) is received, the received data is first converted to the policy case data 343.
It is stored in (S3111). Next, the received case data is created based on the existing data registered in the know-how database (asset ID 811 has an identifier), or is newly created without existing in the know-how database (asset ID 812). Whether there is "-" is identified (S21122). Next, when the case data is based on the existing data, the total number of times of use of the element actual result data 133 and the inter-element link actual result data 134 of the know-how database and the number of times of use when the keyword is related are incremented by one. If it is newly created data, it is added to the know-how database and a new ID is given (S2113). For example, in the case of FIG. 8, for the case data of the asset ID “024”, the total number of times of use “156” and the number of times of use 63 related to the keyword “K001” in the pre-updated asset use record unit 83 are updated. Later, they increase by "157" and "64", respectively. Further, regarding the newly created case data of the asset ID "-", the new asset 82 is added to the asset definition unit 82.
1 is added and the asset ID “100” is given. Finally, the assigned new ID is reflected in the case database (S2114).
【００６４】例えば、図８の場合、更新前に”-“であ
った資産ＩＤ８１２が更新後に”１００“となる。ポリ
シー事例データ個別（フォーマット５１、５２、５３、
５４、５５）に受信した場合、受信したポリシー事例デ
ータについて、ステップＳ２１１２、２１１３、２１１
４を実施する。For example, in the case of FIG. 8, the asset ID 812 which was "-" before the update becomes "100" after the update. Individual policy case data (formats 51, 52, 53,
54, 55), for the received policy case data, steps S2112, 2113, 211
Carry out 4.
【００６５】これにより、データベースの規模（データ
数）とデータ品質を示す指標（使用実績）の信頼性を効
率よく向上することができる。This makes it possible to efficiently improve the reliability of the scale (number of data) of the database and the index (use record) indicating the data quality.
【００６６】次に、本システムにおけるノウハウ使用に
対する課金処理について説明する。Next, a billing process for know-how use in this system will be described.
【００６７】図１７は、本システムを利用するノウハウ
提供企業１７１、およびノウハウ利用企業（セキュリテ
ィポリシー作成支援サービスを提供する企業あるいはセ
キュリティポリシーを必要とする顧客企業等）１７２と
の間におけるノウハウの流れと課金の仕組みを示す図で
ある。FIG. 17 shows the flow of know-how between a know-how providing company 171 that uses this system and a know-how using company (a company that provides a security policy creation support service or a client company that requires a security policy) 172. FIG. 3 is a diagram showing a charging mechanism.
【００６８】ノウハウ提供企業１７１は、事例データ１
７０１を保持している。ノウハウ利用企業１７２は、ノ
ウハウ提供企業１７１が提供する既存事例データ１７０
１と新規に作成した新規事例データ１７０２とを合わせ
てセキュリティポリシーを作成する。そして、ノウハウ
利用企業１７２は、新規事例データ１７０２と既存事例
データ使用実績１７０３をノウハウ提供企業に提供す
る。これにより、ノウハウ提供企業１７１はノウハウデ
ータベースの規模（データ数）を拡大できるとともに、
事例データの有用度の尺度として利用可能な使用実績デ
ータを更新して使用頻度データの信頼性を高めることが
できる。The know-how providing company 171 uses case data 1
701 is held. The know-how utilization company 172 uses the existing case data 170 provided by the know-how providing company 171.
A security policy is created by combining 1 and the newly created new case data 1702. Then, the know-how utilizing company 172 provides the new case data 1702 and the existing case data use record 1703 to the know-how providing company. As a result, the know-how providing company 171 can expand the scale (number of data) of the know-how database, and
The reliability of the usage frequency data can be improved by updating the usage record data that can be used as a measure of the usefulness of the case data.
【００６９】これらのノウハウの流れに対して、ノウハ
ウ提供企業１７１は、ノウハウ利用企業１７２に対して
ノウハウ使用料を請求する。ノウハウ利用企業１７２
は、提供を受けたノウハウの有用度に応じた代価を支払
う。一方、ノウハウ利用企業１７２が新規事例データを
提供したときは、ノウハウ提供企業１７１が、その有用
度に応じた対価を支払う。この仕組みにより、ノウハウ
利用企業１７２は、より多く、より品質の高い新規事例
データを提供することでノウハウ使用料を削減できる。
また、ノウハウ提供企業はより多く、より品質の高い事
例データを獲得することでノウハウデータベースの品質
を高め、より質の高いノウハウを提供できる。With respect to the flow of these know-hows, the know-how providing company 171 charges the know-how utilizing company 172 a know-how usage fee. Know-how company 172
Pays the price according to the usefulness of the know-how provided. On the other hand, when the know-how utilizing company 172 provides the new case data, the know-how providing company 171 pays the consideration according to its usefulness. With this mechanism, the know-how utilization company 172 can reduce the know-how usage fee by providing more new and higher quality new case data.
Further, the know-how providing company can improve the quality of the know-how database by acquiring more and higher-quality case data, and can provide higher-quality know-how.
【００７０】この課金システムにおける課金計算式の一
例を、次に示す。An example of the charging calculation formula in this charging system is shown below.
【００７１】ノウハウ使用料（Ｋ円）＝既存事例データ情報料（Ｋ円／回）×事例データ作成回数…（１）ノウハウ提供料（Ｋ円）＝新規事項データ情報料（Ｋ円／回）×事例データ作成回数…（２）提供ノウハウ付加価値料（Ｋ円）＝付加価値料（Ｋ円／回）×新規事例データ合計使用回数…（３）課金額（Ｋ円）＝ノウハウ使用料−ノウハウ提供料−提供ノウハウ付加価値料 …（４）[0071]Know-how usage fee (Kyen) = existing case data information fee (Kyen / time) x case data creationNumber of times (1)Know-how provision fee (K yen) = new matter data information fee (K yen / time) × case data creationNumber of times (2)Providing know-how Value-added charge (Kyen) = Value-added charge (Kyen / time) x New case dataTotal number of times used (3)Charge amount (K yen) = Know-how usage fee-Know-how providing fee-Provided know-how value-added fee … (4)
【００７２】ここで、既存事例データ情報料、新規事例
データ情報料および付加価値料は、予め設定しておく。
ポリシー事例作成回数およびポリシー事例提供回数は利
用者管理データベース１６に記録される。また、ノウハ
ウデータベース１３にノウハウデータを記録する場合、
それぞれのデータ登録者ID（５１６、５２６、５３６、
５４６、５５６）を記録し、各データ登録者ID毎のノウ
ハウデータ使用回数（５１２、５２２、５３２、５４
２、５５２）の総和を新規事例データ合計使用回数とす
ることにより、課金額を計算できる。Here, the existing case data information charge, the new case data information charge, and the value-added charge are set in advance.
The number of policy case creations and the number of policy case provisions are recorded in the user management database 16. When recording know-how data in the know-how database 13,
Each data registrant ID (516, 526, 536,
546, 556), and the number of times of know-how data use (512, 522, 532, 54) for each data registrant ID.
The charge amount can be calculated by setting the total of (2,552) as the total number of times of use of the new case data.
【００７３】これにより、作成結果のポリシー事例デー
タのノウハウデータベースへの提供回数、提供データ
数、および、提供データの利用頻度に基づいてノウハウ
使用に対する課金を減額することができる。その結果、
事例データの提供と、利用頻度が高い高品質なセキュリ
ティポリシーの作成を促進することができる。さらに、
ユーザ（課金支払い者）のセキュリティポリシー作成コ
ストを削減できると同時に、ノウハウデータベースの拡
充・高品質化を図ることができる。As a result, the charge for know-how use can be reduced based on the number of times the policy case data of the created result is provided to the know-how database, the number of provided data, and the frequency of use of the provided data. as a result,
It is possible to promote the provision of case data and the creation of high-quality security policies that are frequently used. further,
The cost of creating a security policy for users (payers) can be reduced, and at the same time, the know-how database can be expanded and quality improved.
【００７４】次に、本発明の第二の実施形態について説
明する。第二の実施形態は、ポリシー作成支援装置１１
がネットワーク上の配置したノウハウデータベースにア
クセスすることなく単独で動作する形態である。Next, a second embodiment of the present invention will be described. In the second embodiment, the policy creation support device 11
Is a mode that operates independently without accessing the know-how database arranged on the network.
【００７５】図２０は、セキュリティポリシー作成支援
システムの第二の実施形態の構成を示す図である。第二
の実施形態における支援装置１１は、図２に示す構成に
加えて、FDD、CD-ROM、DVD等の外部記憶媒体を制御する
外部記憶媒体制御部２０１を備え、外部記憶装置２４に
はノウハウデータベース管理機能付きのポリシー作成支
援プログラム２０２、ノウハウデータ３４４、利用者管
理データ３４５が格納される。なお、ポリシー作成支援
プログラム２０２、ノウハウデータ３４４、利用者管理
データ３４５は、ネットワーク経由または外部記憶媒体
２０３経由で別途読み込まれる。ただし、ノウハウデー
タ３４４、利用者管理データ３４５は、支援装置に接続
された外部記憶媒体２０３上に格納された状態でもよ
い。さらに、ディスク上のプログラムを実行することに
より、ＣＰＵ上２１には図に示す各処理部が実現され
る。FIG. 20 is a diagram showing the configuration of the second embodiment of the security policy creation support system. The support device 11 in the second embodiment includes an external storage medium control unit 201 for controlling an external storage medium such as FDD, CD-ROM, DVD in addition to the configuration shown in FIG. A policy creation support program 202 with a know-how database management function, know-how data 344, and user management data 345 are stored. The policy creation support program 202, the know-how data 344, and the user management data 345 are separately read via the network or the external storage medium 203. However, the know-how data 344 and the user management data 345 may be stored in the external storage medium 203 connected to the support device. Further, by executing the program on the disk, each processing unit shown in the figure is realized on the CPU 21.
【００７６】支援装置１１が図２０に示す構成の場合、
図９に示すポリシー作成支援装置―ノウハウ管理装置間
のネットワーク経由の処理全体を、内部バス２３を介し
た支援装置１１内部の処理として置き換えることができ
る。When the support device 11 has the configuration shown in FIG. 20,
The entire processing via the network between the policy creation support apparatus and the know-how management apparatus shown in FIG. 9 can be replaced with the processing inside the support apparatus 11 via the internal bus 23.
【００７７】また、作成結果のポリシー事例データをネ
ットワーク経由または外部記憶媒体２０３経由でノウハ
ウ管理装置１２に送り込むことにより、第二の実施形態
においても、ノウハウ管理装置１２に接続されるノウハ
ウデータベースを更新可能であり、それに伴う課金の仕
組み（図１７）もまた実現可能である。Also, by sending the policy case data of the created result to the know-how management device 12 via the network or the external storage medium 203, the know-how database connected to the know-how management device 12 is updated also in the second embodiment. Yes, and the associated billing mechanism (FIG. 17) is also feasible.
【００７８】以上説明した実施形態によれば、資産、脅
威、対策の各要素間の対応関係情報を設けることによ
り、各要素間の対応関係を常に維持することが可能とな
る。これにより、抜け漏れのないセキュリティに関する
対策を策定できる。According to the embodiment described above, by providing the correspondence information between the respective elements of assets, threats, and countermeasures, it becomes possible to always maintain the correspondence relationship between each element. This makes it possible to formulate security measures without omission.
【００７９】さらに、資産、脅威、対策の各要素データ
の使用実績データを備えることにより、使用回数の多い
事例データを、多くのセキュリティポリシーの作成に利
用されるより重要なデータとして、優先的に利用するこ
とができる。加えて、各要素間リンクの使用実績データ
を設けることにより、使用頻度の高い対応関係を、より
結び付きの強い重要な関係であるとして優先的に利用す
ることができる。Further, by providing the usage record data of each element data of assets, threats, and countermeasures, the case data with a large number of uses is preferentially treated as more important data used for creating many security policies. Can be used. In addition, by providing the usage record data of each inter-element link, it is possible to preferentially use a correspondence relationship that is frequently used as an important relationship with a stronger connection.
【００８０】また、対象システムの特徴を表すキーワー
ドを利用してポリシー事例データの雛型を作成すること
により、対象システムに適した雛型をベースにして効率
よくセキュリティポリシーを策定できる。Further, by creating the template of the policy case data using the keyword representing the characteristic of the target system, the security policy can be efficiently formulated based on the template suitable for the target system.
【００８１】上述した本発明の実施形態は、本発明の説
明のための例示であり、本発明の範囲をそれらの実施形
態にのみ限定する趣旨ではない。当業者は、本発明の要
旨を逸脱することなしに、他の様々な態様で本発明を実
施することができる。The above-described embodiments of the present invention are examples for explaining the present invention, and the scope of the present invention is not limited only to those embodiments. Those skilled in the art can implement the present invention in various other modes without departing from the gist of the present invention.
【００８２】[0082]
【発明の効果】本発明によれば、ノウハウを有しない者
であっても、対象となる情報システムに適したセキュリ
ティに関する対策の決定、あるいはセキュリティポリシ
ーを作成することができる。According to the present invention, even a person who does not have know-how can determine a security measure suitable for a target information system or can create a security policy.
【図１】本発明を適用した第一の実施形態に係るセキュ
リティポリシー作成支援システムの全体構成を示す図で
ある。FIG. 1 is a diagram showing an overall configuration of a security policy creation support system according to a first embodiment to which the present invention is applied.
【図２】支援装置１１の詳細な構成を示す図である。FIG. 2 is a diagram showing a detailed configuration of a support device 11.
【図３】ノウハウ管理装置１２の詳細な構成を示す図で
ある。FIG. 3 is a diagram showing a detailed configuration of a know-how management device 12.
【図４】ノウハウデータベース１３が有するデータ項目
を示す図である。FIG. 4 is a diagram showing data items included in a know-how database 13.
【図５】ノウハウデータベース１３が有するデータ項目
を示す図である。FIG. 5 is a diagram showing data items included in a know-how database 13.
【図６】事例データベース１５が有するデータ項目を示
す図である。FIG. 6 is a diagram showing data items included in a case database 15.
【図７】利用者データベース１６が有するデータ項目を
示す図である。FIG. 7 is a diagram showing data items included in a user database 16.
【図８】事例データベース１５およびノウハウデータベ
ース１３の更新前後の様子を示す図である。FIG. 8 is a diagram showing a situation before and after updating the case database 15 and the know-how database 13.
【図９】標準的なセキュリティポリシー作成手順を示す
フローチャートである。FIG. 9 is a flowchart showing a standard security policy creation procedure.
【図１０】セキュリティポリシー適用対象のキーワード
情報入力画面１００を示す図である。FIG. 10 is a diagram showing a keyword information input screen 100 to which a security policy is applied.
【図１１】資産の定義画面１１０を示す図である。FIG. 11 is a diagram showing an asset definition screen 110.
【図１２】追加／編集画面１２０を示す図である。FIG. 12 is a diagram showing an addition / editing screen 120.
【図１３】脅威抽出・リスク評価画面１３０を示す図で
ある。FIG. 13 is a diagram showing a threat extraction / risk evaluation screen 130.
【図１４】対策決定・コスト設定画面１４０を示す図で
ある。FIG. 14 is a diagram showing a measure determination / cost setting screen 140.
【図１５】対策立案・コスト設定画面１５０を示す図で
ある。FIG. 15 is a diagram showing a measure planning / cost setting screen 150.
【図１６】対策選択画面１６０を示す図である。16 is a diagram showing a countermeasure selection screen 160. FIG.
【図１７】本実施形態におけるノウハウの流れと課金の
仕組みを示す図である。FIG. 17 is a diagram showing a flow of know-how and a charging mechanism in the present embodiment.
【図１８】メニュー画面の例を示す図である。FIG. 18 is a diagram showing an example of a menu screen.
【図１９】雛形作成の詳細な処理手順を示すフローチャ
ートである。FIG. 19 is a flowchart showing a detailed processing procedure for creating a template.
【図２０】本発明を適用した第二の実施形態に係るセキ
ュリティポリシー作成支援システムの全体構成を示す図
である。FIG. 20 is a diagram showing an overall configuration of a security policy creation support system according to a second embodiment to which the present invention is applied.
【図２１】データベース自動更新処理部３５３が行う更
新処理の手順を示すフローチャートである。FIG. 21 is a flowchart showing a procedure of update processing performed by the database automatic update processing unit 353.
【図２２】ログイン２２０画面を示す図である。FIG. 22 is a diagram showing a login 220 screen.
１１…セキュリティポリシー作成支援装置、１２…ノウ
ハウ提供装置、１３…ノウハウデータベース、１５…事
例データベース、１６…利用者データベース、１３１…
要素データ、１３２…要素間リンクデータ、１３３…要
素実績データ、１３４…要素間リンク実績データ、１３
５…キーワードデータ。11 ... Security policy creation support device, 12 ... Know-how providing device, 13 ... Know-how database, 15 ... Case database, 16 ... User database, 131 ...
Element data, 132 ... Inter-element link data, 133 ... Element actual result data, 134 ... Inter-element link actual data, 13
5 ... Keyword data.
─────────────────────────────────────────────────────フロントページの続き (72)発明者 諸橋 政幸 神奈川県川崎市麻生区王禅寺1099番地 株 式会社日立製作所システム開発研究所内(72)発明者 相羽 律子 神奈川県川崎市幸区鹿島田890番地 株式 会社日立製作所情報サービス事業部内Ｆターム(参考） 5B085 AC04 AC14 AE00 BA06 BG07 ─────────────────────────────────────────────────── ───Continued front page (72) Inventor Masayuki Morohashi 1099 Ozenji, Aso-ku, Kawasaki City, Kanagawa Prefecture Ceremony company Hitachi Systems Development Laboratory(72) Inventor Ritsuko Aiba 890 Kashimada, Sachi-ku, Kawasaki City, Kanagawa Stock Company Information Service Division, Hitachi, Ltd.F term (reference) 5B085 AC04 AC14 AE00 BA06 BG07
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2001398244AJP3872689B2 (en) | 2001-12-27 | 2001-12-27 | Security policy creation support system and security measure decision support system |
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2001398244AJP3872689B2 (en) | 2001-12-27 | 2001-12-27 | Security policy creation support system and security measure decision support system |
| Publication Number | Publication Date |
|---|---|
| JP2003196476Atrue JP2003196476A (en) | 2003-07-11 |
| JP2003196476A5 JP2003196476A5 (en) | 2004-10-28 |
| JP3872689B2 JP3872689B2 (en) | 2007-01-24 |
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2001398244AExpired - Fee RelatedJP3872689B2 (en) | 2001-12-27 | 2001-12-27 | Security policy creation support system and security measure decision support system |
| Country | Link |
|---|---|
| JP (1) | JP3872689B2 (en) |
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2005258512A (en)* | 2004-03-09 | 2005-09-22 | Hitachi Ltd | Integrated system security design method and program thereof |
| JP2006185416A (en)* | 2004-09-30 | 2006-07-13 | Rockwell Automation Technologies Inc | Scalable and flexible information security for industrial automation |
| JP2006209649A (en)* | 2005-01-31 | 2006-08-10 | Nec Corp | Confidential document retrieval system, confidential document retrieval method and confidential document retrieval program |
| JP2006331383A (en)* | 2005-04-25 | 2006-12-07 | Hitachi Ltd | System security design / evaluation support tool, system security design / evaluation support method, and system security design / evaluation support program |
| JP2008107982A (en)* | 2006-10-24 | 2008-05-08 | Fujitsu Ltd | Development support program, development support method, and development support apparatus |
| JP2008287435A (en)* | 2007-05-16 | 2008-11-27 | Toshiba Corp | Security level monitoring and evaluation apparatus and security level monitoring and evaluation program |
| JP2009110177A (en)* | 2007-10-29 | 2009-05-21 | Ntt Data Corp | Unit and method for supporting information security measure decision, and computer program |
| WO2010074093A1 (en)* | 2008-12-24 | 2010-07-01 | 株式会社 東芝 | Security countermeasure function evaluation program |
| JP2010231600A (en)* | 2009-03-27 | 2010-10-14 | Toshiba Corp | Office quality control device and office quality control processing program |
| JP2011028613A (en)* | 2009-07-28 | 2011-02-10 | Nec Corp | Countermeasure candidate generation system, countermeasure candidate generation method and program |
| US8112786B2 (en) | 2004-06-22 | 2012-02-07 | International Business Machines Corporation | Security policy generation |
| JP2012043013A (en)* | 2010-08-12 | 2012-03-01 | Toshiba Corp | Threat analysis support apparatus and program |
| JP2012511217A (en)* | 2008-12-12 | 2012-05-17 | エヌイーシー ヨーロッパ リミテッド | Method and system for supporting generation of user access control and / or privacy preferences in a pervasive service environment |
| JPWO2016132730A1 (en)* | 2015-02-16 | 2017-11-30 | 日本電気株式会社 | Design support apparatus, design support system, design support method, and computer program |
| JP2019125267A (en)* | 2018-01-18 | 2019-07-25 | 富士通株式会社 | Cyber threat evaluation apparatus, cyber threat evaluation program and cyber threat evaluation method |
| JP2020135664A (en)* | 2019-02-22 | 2020-08-31 | クラリオン株式会社 | Security designing and planning support device |
| WO2023233709A1 (en)* | 2022-05-30 | 2023-12-07 | パナソニックＩｐマネジメント株式会社 | Threat analysis method, threat analysis system, and program |
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2005258512A (en)* | 2004-03-09 | 2005-09-22 | Hitachi Ltd | Integrated system security design method and program thereof |
| US8112786B2 (en) | 2004-06-22 | 2012-02-07 | International Business Machines Corporation | Security policy generation |
| US8141131B2 (en) | 2004-06-22 | 2012-03-20 | International Business Machines Corporation | Security policy generation |
| JP2006185416A (en)* | 2004-09-30 | 2006-07-13 | Rockwell Automation Technologies Inc | Scalable and flexible information security for industrial automation |
| US8607307B2 (en) | 2004-09-30 | 2013-12-10 | Rockwell Automation Technologies, Inc. | Scalable and flexible information security for industrial automation |
| JP2006209649A (en)* | 2005-01-31 | 2006-08-10 | Nec Corp | Confidential document retrieval system, confidential document retrieval method and confidential document retrieval program |
| JP2006331383A (en)* | 2005-04-25 | 2006-12-07 | Hitachi Ltd | System security design / evaluation support tool, system security design / evaluation support method, and system security design / evaluation support program |
| JP2008107982A (en)* | 2006-10-24 | 2008-05-08 | Fujitsu Ltd | Development support program, development support method, and development support apparatus |
| JP2008287435A (en)* | 2007-05-16 | 2008-11-27 | Toshiba Corp | Security level monitoring and evaluation apparatus and security level monitoring and evaluation program |
| JP2009110177A (en)* | 2007-10-29 | 2009-05-21 | Ntt Data Corp | Unit and method for supporting information security measure decision, and computer program |
| JP2012511217A (en)* | 2008-12-12 | 2012-05-17 | エヌイーシー ヨーロッパ リミテッド | Method and system for supporting generation of user access control and / or privacy preferences in a pervasive service environment |
| US8407801B2 (en) | 2008-12-24 | 2013-03-26 | Kabushiki Kaisha Toshiba | Security countermeasure function evaluation program |
| JP2010152560A (en)* | 2008-12-24 | 2010-07-08 | Toshiba Corp | Program for evaluation of security countermeasure function |
| WO2010074093A1 (en)* | 2008-12-24 | 2010-07-01 | 株式会社 東芝 | Security countermeasure function evaluation program |
| JP2010231600A (en)* | 2009-03-27 | 2010-10-14 | Toshiba Corp | Office quality control device and office quality control processing program |
| JP2011028613A (en)* | 2009-07-28 | 2011-02-10 | Nec Corp | Countermeasure candidate generation system, countermeasure candidate generation method and program |
| JP2012043013A (en)* | 2010-08-12 | 2012-03-01 | Toshiba Corp | Threat analysis support apparatus and program |
| JPWO2016132730A1 (en)* | 2015-02-16 | 2017-11-30 | 日本電気株式会社 | Design support apparatus, design support system, design support method, and computer program |
| JP2019125267A (en)* | 2018-01-18 | 2019-07-25 | 富士通株式会社 | Cyber threat evaluation apparatus, cyber threat evaluation program and cyber threat evaluation method |
| JP2020135664A (en)* | 2019-02-22 | 2020-08-31 | クラリオン株式会社 | Security designing and planning support device |
| JP7220095B2 (en) | 2019-02-22 | 2023-02-09 | 株式会社日立製作所 | Security design planning support device |
| WO2023233709A1 (en)* | 2022-05-30 | 2023-12-07 | パナソニックＩｐマネジメント株式会社 | Threat analysis method, threat analysis system, and program |
| JP7607179B2 (en) | 2022-05-30 | 2024-12-26 | パナソニックオートモーティブシステムズ株式会社 | Threat analysis method, threat analysis system, and program |
| Publication number | Publication date |
|---|---|
| JP3872689B2 (en) | 2007-01-24 |
| Publication | Publication Date | Title |
|---|---|---|
| US11144670B2 (en) | Data processing systems for identifying and modifying processes that are subject to data subject access requests | |
| US20220159041A1 (en) | Data processing and scanning systems for generating and populating a data inventory | |
| US11941137B2 (en) | Use of multi-faceted trust scores for decision making, action triggering, and data analysis and interpretation | |
| US10346638B2 (en) | Data processing systems for identifying and modifying processes that are subject to data subject access requests | |
| US11921737B2 (en) | ETL workflow recommendation device, ETL workflow recommendation method and ETL workflow recommendation system | |
| US7974870B2 (en) | Sales activity management system, server device, recording medium and computer data signal | |
| JP2003196476A (en) | Security policy creation support system and security measure decision support system | |
| US20150032645A1 (en) | Computer-implemented systems and methods of performing contract review | |
| CN112507116A (en) | Customer portrait method based on customer response corpus and related equipment thereof | |
| JP2019057160A (en) | Account managing apparatus, account managing method, and account managing program | |
| CN110109905A (en) | Risk list data generation method, device, equipment and computer storage medium | |
| US11809593B2 (en) | Sensitive data compliance manager | |
| WO2019028405A1 (en) | Data processing systems for the identification and deletion of personal data in computer systems | |
| JP2019016280A (en) | Information processing device and program | |
| CN113610504A (en) | Data processing method and device, computer equipment and storage medium | |
| CN119130366B (en) | Engine-based process approval method, device, computer equipment and storage medium | |
| US11222309B2 (en) | Data processing systems for generating and populating a data inventory | |
| JP7060369B2 (en) | Name identification support device, name identification support method and program | |
| JP7643557B2 (en) | Estimation device, estimation method, and estimation program | |
| JP2003141313A (en) | Workflow system and knowledge management system | |
| EP4475050A1 (en) | Information processing program, information processing method, and information processing device | |
| WO2019023550A1 (en) | Data processing systems for generating and populating a data inventory for processing data access requests | |
| JP5250394B2 (en) | EDI integrated processing system, EDI integrated processing method, and EDI integrated processing program | |
| JP3515975B2 (en) | Job mediation system and job mediation method | |
| JP2003044633A (en) | Human resources information processing system |
| Date | Code | Title | Description |
|---|---|---|---|
| A977 | Report on retrieval | Free format text:JAPANESE INTERMEDIATE CODE: A971007 Effective date:20060210 | |
| A131 | Notification of reasons for refusal | Free format text:JAPANESE INTERMEDIATE CODE: A131 Effective date:20060214 | |
| A521 | Request for written amendment filed | Free format text:JAPANESE INTERMEDIATE CODE: A523 Effective date:20060417 | |
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) | Free format text:JAPANESE INTERMEDIATE CODE: A01 Effective date:20060926 | |
| A61 | First payment of annual fees (during grant procedure) | Free format text:JAPANESE INTERMEDIATE CODE: A61 Effective date:20061020 | |
| FPAY | Renewal fee payment (event date is renewal date of database) | Free format text:PAYMENT UNTIL: 20091027 Year of fee payment:3 | |
| FPAY | Renewal fee payment (event date is renewal date of database) | Free format text:PAYMENT UNTIL: 20101027 Year of fee payment:4 | |
| FPAY | Renewal fee payment (event date is renewal date of database) | Free format text:PAYMENT UNTIL: 20111027 Year of fee payment:5 | |
| LAPS | Cancellation because of no payment of annual fees |