JP7820268B2 - 事業リスク分析システム及び事業リスク分析方法 - Google Patents

Description

本発明は、事業における情報セキュリティに関するリスクを分析する技術に関する。

本技術分野の背景技術として、非特許文献１及び特許文献１が知られている。非特許文献１では、「事業レベルでのリスク分析手法として、事業全体のリスクを効率的に抽出し、それらを俯瞰したうえで優先的に対策すべき業務／システムを把握する手法を示す。」と記載されている。また、特開２０１３－２２５１８５号公報（特許文献１）では、「災害対策評価装置は、情報システムを用いて行われる各業務について、情報システムを構成する各要素の接続関係からサービスの利用側要素からサービスの提供側要素までを接続する要素を接続要素として特定するとともに、各要素の依存関係に基づき、接続要素が依存する要素を依存要素として特定する。災害対策評価装置は、所定の災害が発生した場合に対象要素が使用できなくなる要素停止期間と、各業務の単位期間当たりの評価値とから、各業務について、前記災害が発生した場合の損害値を計算して、各業務についての損害値を合計して前記災害に対する情報システムの損害値を計算する。」と記載されている。

特開２０１３－２２５１８５号公報

熊谷洋子、他５名、"制御システム向け事業レベルでのリスク分析手法の提案"、情報処理学会論文誌 Vol.60 No.9 1518-1527 (Sep. 2019)

非特許文献１に記載された技術によれば、事業をモデルとして定義することで、事業のリスクを評価することができる。具体的には、非特許文献１には、リスクが事業に与える影響の大きさを示す「影響度」に基づいて事業のリスクを評価することが記載されている。

また、特許文献１に記載された技術によれば、複数個所に分散して配備された情報システムの災害リスクを分析し、結果を定量的に示すことで、複数の災害対策方法の中から最適な方法を選択することができる。

ここで、災害リスクは、発生確率に発生時の損失額を乗じることによって計算される。そして、発生確率として、これまでに発生した災害の統計値を採用することが例示されている。

情報セキュリティ上の問題に起因する事業のリスクの大きさを推定するために、上記と同様に、発生確率に発生時の損失の大きさを乗じる方法を採用することができる。しかし、その場合、セキュリティインシデントの発生確率を単純にこれまでに発生した回数の統計値だけに基づいて推定することはできない。

本願において開示される発明の代表的な一例を示せば以下の通りである。すなわち、事業リスク分析システムであって、演算部と、記憶部と、を有し、前記記憶部は、事業構成情報と、発生確率評価情報と、を保持し、前記事業構成情報は、事業に含まれる業務及び前記業務を構成する構成要素を特定する情報を含み、前記発生確率評価情報は、前記構成要素において情報セキュリティ上の脅威の現実化が発生する確率を示す値と、前記構成要素の状態を表現するガイドワードとを対応付ける情報、及び、前記構成要素において前記脅威による脆弱性の利用が発生する確率を示す値と、前記構成要素の状態を表現するガイドワードとを対応付ける情報を含み、前記演算部は、前記発生確率評価情報に含まれる前記ガイドワードに基づいて、前記業務の構成要素の実際の状態に対応する前記脅威の現実化が発生する確率を示す値及び前記脆弱性の利用が発生する確率を示す値が特定された場合、前記特定された値に基づいて、前記業務の構成要素において情報セキュリティに関する事象が発生する頻度を算出し、前記構成要素における前記事象の発生頻度に基づいて、前記業務における前記事象の発生頻度を算出し、前記事象の発生頻度と、前記事象が前記事業に与える影響の大きさと、に基づいて、前記業務のリスク値を算出することを特徴とする。

本発明の一態様によれば、情報セキュリティ上の問題に起因する事業のリスクを適切に評価することができる。前述した以外の課題、構成及び効果は、以下の実施例の説明によって明らかにされる。

本発明の実施例の事業リスク分析システムの構成を示すブロック図である。 本発明の実施例の事業リスク分析装置のハードウェア構成を示すブロック図である。 本発明の実施例の事業リスク分析装置が実行する処理を示すフローチャートである。 本発明の実施例における事業モデルを示す説明図である。 本発明の実施例における業務モデルを示す説明図である。 本発明の実施例において明確化された事業の構成を示す説明図である。 本発明の実施例の事業リスク分析装置が事業の出力に関連する業務を特定する処理を示すフローチャートである。 本発明の実施例において特定された業務の分類の説明図である。 本発明の実施例におけるオンライン処理の業務の抽出及び意図する出力の関連業務の特定の説明図である。 本発明の実施例における意図しない出力の関連業務の特定の説明図である。 本発明の実施例において特定された関連業務情報の説明図である。 本発明の実施例の事業リスク分析装置が事象の発生確率を評価する処理を示すフローチャートである。 本発明の実施例の事業リスク分析装置が保持する、人に関する発生確率評価表を示す説明図である。 本発明の実施例の事業リスク分析装置が保持する、システム／装置に関する発生確率評価表を示す説明図である。 本発明の実施例の事業リスク分析装置が保持する、入力、規格、計画に関する発生確率評価表を示す説明図である。 本発明の実施例の事業リスク分析装置が保持する、入力、規格、計画及び人に関する発生頻度算出表を示す説明図である。 本発明の実施例の事業リスク分析装置が保持する、システム及び装置に関する発生頻度算出表を示す説明図である。 本発明の実施例の事業リスク分析装置が各関連業務における事象の発生頻度を特定した結果を示す説明図である。 本発明の実施例の事業リスク分析装置が起こりうる事象及びそのインパクトを評価した結果を示す説明図である。 本発明の実施例の事業リスク分析装置が保持するリスク値算出表を示す説明図である。 本発明の実施例の事業リスク分析装置が各業務のリスク値を算出した結果を示す説明図である。 本発明の実施例の事業リスク分析装置が処理の結果として出力する情報の第１の例を示す説明図である。 本発明の実施例の事業リスク分析装置が処理の結果として出力する情報の第２の例を示す説明図である。

以下、本発明を実施するための形態を、図面を参照して説明する。

図１Ａは、本発明の実施例の事業リスク分析システムの構成を示すブロック図である。

本実施例の事業リスク分析システムは、ネットワーク１３を介して通信可能に接続された事業リスク分析装置１１及びユーザ端末１２によって構成される。

図１Ｂは、本発明の実施例の事業リスク分析装置１１のハードウェア構成を示すブロック図である。

事業リスク分析装置１１は、例えば、演算部１１１、記憶部１１２、入力部１１３、表示部１１４および通信部１１５を有するシステムによって実現される。

演算部１１１は、ＣＰＵ（Central Processing Unit）などの演算装置を用いて構成することができる。以下の説明において事業リスク分析装置１１が実行する処理は、演算部１１１の機能によって実現される。演算部１１１の機能は、その機能を実装した回路デバイスを用いて構成することもできるし、その機能を実装したソフトウェア（例えば後述する事業リスク分析プログラム１２１）を演算部１１１が実行することによって構成することもできる。

記憶部１１２は、演算部１１１によって実行されるソフトウェア、演算部１１１が実行する処理において参照される情報、及び、処理の結果として生成される情報等を格納する記憶装置である。記憶部１１２は、例えば、ＤＲＡＭ（Dynamic Random Access Memory）等の主記憶装置及びＨＤＤ（Hard Disk Drive）又はＳＳＤ（Solid State Drive）等の補助記憶装置を含んでもよい。本実施例の記憶部２３２には、事業リスク分析プログラム１２１、事業構成情報１２２、関連業務情報１２３、発生確率評価表１２４、発生頻度算出表１２５、インパクト情報１２６及びリスク値算出表１２７が格納される。

事業リスク分析プログラム１２１は、後述する事業リスク分析装置１１の処理を演算部１１１に実行させるためのプログラムである。すなわち、後にフローチャート等を参照して説明する事業リスク分析装置１１の処理の処理は、演算部１１１が事業リスク分析プログラム１２１に従って実行する。事業リスク分析プログラム１２１は、ネットワーク１３に接続された外部装置（図示省略）の不揮発又は非一時的記憶媒体からネットワーク１３経由で事業リスク分析装置１１に導入されてもよいし、可搬型の不揮発又は非一時的記憶媒体経由で事業リスク分析装置１１に導入されてもよい。事業構成情報１２２～リスク値算出表１２７の詳細については後述する。

入力部１１３は、事業リスク分析装置１１の管理者又はユーザ等からの情報の入力を受け付ける装置であり、例えばキーボード、マウス及びタッチパネル等の少なくともいずれかを含んでもよい。表示部１１４は、事業リスク分析装置１１の管理者又はユーザ等に対して情報を出力するための装置であり、例えば画像表示装置であってもよい。通信部１１５は、ネットワーク１３に接続され、他の機器との通信を実行する。図１Ｂの例では、通信部１１５は、ネットワーク１３を介してユーザ端末１２と通信する。

各ユーザ端末１２は、例えば、事業リスク分析装置１１の各ユーザが所持する携帯型もしくは据え置き型のＰＣ（Personal Computer）、いわゆるタブレット端末、又はいわゆるスマートフォン等であってもよい。事業リスク分析装置１１のユーザとして想定されるのは、例えば、セキュリティ対策の提供元である事業者の営業担当者、又は、セキュリティ対策を自社に導入しようとしている事業者のシステム担当者等であるが、以下は前者のユーザを例として説明する。

ユーザは、ユーザ端末１２を使用せずに事業リスク分析装置１１を直接操作してもよいし、事業リスク分析装置１１の機能をユーザ端末１２に実装できる場合にはそのユーザ端末１２を事業リスク分析装置１１として使用してもよい。後者の場合、ユーザ端末１２の構成は図１Ｂに示したものと同様であってもよい。

図２は、本発明の実施例の事業リスク分析装置１１が実行する処理を示すフローチャートである。

以下、セキュリティ対策の提供元である事業者の営業担当者（ユーザ）が、提供先である顧客事業者にセキュリティ対策を提案する例を説明する。

最初に、ユーザは、顧客事業者に対するヒアリング等を実施して、顧客の事業の構成を明確化し、その結果を事業リスク分析装置１１に入力する（ステップＳ１００１）。この処理の詳細については図３Ａ～図４を参照して後述する。

次に、ユーザは、ヒアリング等に基づいて顧客の事業の出力に関連する業務（すなわち関連業務）を特定して、その結果を事業リスク分析装置１１に入力する（ステップＳ１００２）。この処理の詳細については図５～図８を参照して後述する。

次に、事業リスク分析装置１１は、関連業務の構成要素の情報に基づいて、事業３０１において情報セキュリティに関連して発生する望ましくない事象の発生確率を評価する（ステップＳ１００４）。この処理の詳細については図９～図１４を参照して後述する。

次に、事業リスク分析装置１１は、事業の出力に基づいて、起こりうる事象を抽出し、それが事業に対して与えるインパクトを評価する（ステップＳ１００５）。この処理の詳細については図１５を参照して後述する。

次に、事業リスク分析装置１１は、評価した発生確率及びインパクトに基づいて、各事業リスクの大きさ（リスク値）を計算する（ステップＳ１００６）。この処理の詳細については図１６及び図１７を参照して後述する。

最後に、事業リスク分析装置１１は、リスク値が高い事業リスクと、それに関連する業務とを出力する。（ステップＳ１００７）。この処理の詳細については図１８及び図１９を参照して後述する。

図３Ａ及び図３Ｂは、それぞれ、本発明の実施例における事業モデル及び業務モデルを示す説明図である。

ステップＳ１００１における事業の構成の明確化は、事業モデル及び業務モデルに基づいて行われる。図３Ａに示すように、事業３０１は、入力３０２が入力されると、所定の業務（後述）を行って、出力３０３を出力するものである。この事業３０１は、規格／計画３０６に基づいて行われ、その遂行のために人３０７及びシステム／装置３０８といったリソースが投入される。

例えば、事業３０１が部品を製造する事業である場合、入力３０２は部品の原材料等であり、規格／計画３０６は当該部品を製造するための規格及び製造計画等の少なくともいずれかである。ここでは入力３０２と規格／計画３０６とを区別しているが、これらを全て入力３０２に含めてもよい。人３０７は当該業務に関与する人（例えば設計者、製造作業者等）であり、システム／装置３０８は、業務に使用するシステム及び装置等の少なくともいずれかである。

出力３０３は、事業の成果物などの、意図する出力３０４と、意図しない出力３０５とを含む。例えば部品製造事業の場合、製造された部品が意図する出力３０４に該当する。また、製造が正常に行われた場合にも当然に発生する廃棄物等も意図する出力３０４に含まれる。一方、製造が正常に行われなかった場合の廃棄物（例えば不良の部品等）は、意図しない出力３０５に該当する。また、意図しない出力３０５として情報が含まれる場合がある。例えば本来は機密である設計情報等が流出した場合には、その情報が意図しない出力３０５に該当する。

上記の説明では事業３０１の例として部品を製造する事業を挙げたが、事業３０１はそれ以外の事業であってもよい。例えば事業３０１が何らかの情報サービスを提供する事業である場合、入力３０２はその事業の顧客からの発注情報であり、意図する出力３０４は当該サービスによって提供される情報であり、意図しない出力３０５は当該サービスに関する機密情報（例えば顧客の個人情報等）であってもよい。

事業３０１は、一般に１以上の業務によって構成される。図３Ｂには、二つの業務によって構成される事業３０１の例を示す。図３Ｂの例では、事業３０１は第１の業務である業務３１１－１及び第２の業務である業務３１１－２によって構成される。なお、以下の説明において複数の業務を区別せずにいずれにも共通する説明をする場合には業務３１１のように記載し、各業務を区別して説明する場合には業務３１１－１のように枝番号を付して記載する。他の構成要素についても同様である。

業務３１１－１は、入力３１２－１が入力されると、出力３１６－１を出力するものである。出力３１６－１は、次の業務３１１－２に入力される。この業務３１１－１は、規格／計画３１３－１に基づいて行われ、その遂行のために人３１４－１及びシステム／装置３１５－１といったリソースが投入される。

業務３１１－２は、業務３１１－１の出力３１６－１が入力されると、出力３１６－２を出力するものである。この業務３１１－２は、規格／計画３１３－２に基づいて行われ、その遂行のために人３１４－２及びシステム／装置３１５－２といったリソースが投入される。

入力３１２－１は事業３０１の入力３０２に相当し、出力３１６－２は事業３０１の出力３０３に相当する。規格／計画３１３－１及び規格／計画３１３－２はそれぞれ規格／計画３０６の少なくとも一部である。人３１４－１及び人３１４－２はそれぞれ人３０７の少なくとも一部である。システム／装置３１５－１及びシステム／装置３１５－２はそれぞれシステム／装置３０８の少なくとも一部である。

図４は、本発明の実施例において明確化された事業の構成を示す説明図である。

図４の例では、事業３０１が、仕入れ業務３１１－３、部品製造業務３１１－４、出荷管理業務３１１－５、Ｒ＆Ｄ（研究開発）業務３１１－６及び設計業務３１１－７によって構成されることが明確化される。

この例において、事業３０１は部品を製造する事業であり、入力３０２は原材料である鉄であり、出力３０４には少なくとも製造された部品が含まれる。仕入れ業務３１１－３の入力３１２－３及び出力３１６－３は、いずれも鉄である。仕入れ業務３１１－３には、人３１４－３として在庫管理者が、システム／装置３１５－３として在庫管理システムが投入される。

なお、上記のように入力３１２－３及び出力３１６－３が鉄である場合に、これらを鉄３１２－３及び鉄３１６－３と記載する場合がある。他の構成要素についても同様である。また、後述する他の業務の構成要素についても同様である。

部品製造業務３１１－４には、仕入れ業務３１１－３の出力３１６－３である鉄、及び、設計業務３１１－７の出力３１６－７である設計情報が入力される。部品製造業務３１１－４は、規格／計画３１３－４である生産計画に基づいて行われ、人３１４－４として作業者が、システム／装置３１５－４として製造システム及び成型装置が投入され、出力３１６－４として部品が出力される。

出荷管理業務３１１－５には、部品製造業務３１１－４の出力３１６－４である部品が入力され、人３１４－５として出荷管理者が、システム／装置３１３－５として出荷管理システム及び出荷倉庫が投入される。出荷管理業務３１１－５の出力３１６－５として部品が出力される。

Ｒ＆Ｄ業務３１１－６には、人３１４－６として研究員が、システム／装置３１５－６として研究用システムが投入される。Ｒ＆Ｄ業務３１１－６の出力３１６－６は、研究結果である。設計業務３１１－７には、Ｒ＆Ｄ業務３１１－６の出力３１６－６である研究結果が入力され、人３１４－７として設計者が、システム／装置３１５－７として設計システムが投入される。設計業務３１１－７の出力３１６－７は、設計情報である。

事業３０１の出力３０３を構成する意図する出力３０４のうち部品３０４－１は、出荷管理業務３１１－５の出力である部品３１６－５に相当する。一方、意図しない出力３０５のうちモノに相当する廃棄物３０５－１は、部品製造業務３１１－４から出力されることが想定される。ここで、廃棄物３０５－１は、部品製造が正常に行われた場合に当然に発生する廃棄物ではなく、業務における何らかの問題に起因して発生する廃棄物である。ここで、問題としては、例えば、低品質の鉄又は設計情報の誤りといった入力の不良、生産計画の誤り、作業者による作業ミス、又は、製造システム等の不具合等が想定される。

また、意図しない出力３０５のうち情報に相当する設計情報３０５－２は、本来機密であるのに漏洩するものであり、部品製造業務３１１－４又は設計業務３１１－７から出力されることが想定される。

上記のように事業３０１を構成する業務３１１、各業務に投入されるリソース及び各業務の入出力等が明確化され、それらを示す情報が事業構成情報１２２として事業リスク分析装置１１に保持される。

図５は、本発明の実施例の事業リスク分析装置１１が事業の出力に関連する業務を特定する処理を示すフローチャートである。

具体的には、図５は、図２のステップＳ１００２において実行される処理を詳細に説明するものである。

最初に、ユーザは、顧客事業者に対するヒアリング等に基づいて、事業３０１に含まれる業務３１１を、バリューチェーンにおける「主活動」と「支援活動」とに分類し、その結果を事業リスク分析装置１１に入力する（ステップＳ２００１）。この処理の詳細については図６を参照して後述する。

次に、ユーザは、顧客事業者に対するヒアリング等に基づいて、事業３０１に含まれる業務３１１から、オンライン処理の業務を抽出して、その結果を事業リスク分析装置１１に入力する（ステップＳ２００２）。この処理の詳細については図７Ａを参照して後述する。

次に、事業リスク分析装置１１は、意図する出力の関連業務を特定し（ステップＳ２００３）、意図しない出力の関連業務を特定して（ステップＳ２００４）、それらの結果を事業リスク分析装置１１に入力する。これらの処理の詳細については図７Ａ及び図７Ｂを参照して後述する。

最後に、事業リスク分析装置１１は、各出力と業務３１１との関係を整理する（ステップＳ２００５）。この処理の詳細については図８を参照して後述する。

図６は、本発明の実施例において特定された業務の分類の説明図である。

ここでは、図４に示すように特定された業務３１１を「主活動」及び「支援活動」に分類する例を示す。「主活動」とは、一般的なバリューチェーン分析において、直接的な価値を生む活動と分類されるものである。例えば特定された業務３１１のうち仕入れ業務３１１－３、部品製造業務３１１－４及び出荷管理業務３１１－５が主活動に分類される。図６ではこれらの業務を太枠で示す。一方、「支援活動」とは、主活動をサポートするための活動と分類されるものである。例えば特定された業務３１１のうちＲ＆Ｄ業務３１１－６及び設計業務３１１－７が支援活動に分類される。なお、このような分類は一例であり、ユーザはヒアリング等の結果に基づいて適宜分類を行うことができる。

図７Ａは、本発明の実施例におけるオンライン処理の業務の抽出及び意図する出力の関連業務の特定の説明図である。

ここでは、図４に示すように特定された業務３１１から、オンライン処理の業務を抽出し、さらに、意図する出力に関連する業務を特定する例を示す。オンライン処理の業務とは、入力が行われた場合に直ちに業務が実行されてその成果が出力される業務３１１である。

図７Ａの例では、部品製造業務３１１－４及び出荷管理業務３１１－５が、即時的に行われるオンライン処理の業務として特定される。一方、仕入れ業務３１１－３は、例えば１日に１回、それまでに入力された鉄を対象として実行されるなど、即時的でない処理が行われるため、オンライン処理の業務として抽出されない。Ｒ＆Ｄ業務３１１－６及び設計業務３１１－７も同様に即自的でないためオンライン処理の業務として抽出されない。

なお、オンライン処理の業務は、即時的に行われるため、セキュリティリスクが発生した場合に、出力の停止、出力の遅延又は不正な出力など、業務において望ましくない事象を起こしやすい。本実施例では、そのような業務が、より分析の重要性が高い業務として抽出される。ただし、各業務がオンライン処理の業務に該当するか否かは、それぞれの業務の実態に依存するため、ユーザはヒアリング等の結果に基づいて業務の実態に即して適切にオンライン処理の業務を抽出することが望ましい。また、全ての業務を対象として重要度を設定せずに分析したい場合には、ステップＳ２００２をスキップしてもよい。

また、図７Ａは、意図する出力の関連業務として部品製造業務３１１－４及び出荷管理業務３１１－５が特定される例を示す。これは、意図する出力である部品３０４－１が部品製造業務３１１－４によって製造され、出荷管理業務３１１－５を経て出力されるためである。

図７Ｂは、本発明の実施例における意図しない出力の関連業務の特定の説明図である。

図７Ｂは、意図しない出力の関連業務として部品製造業務３１１－４及び設計業務３１１－７が特定される例を示す。これは、意図しない出力である廃棄物３０５－１が部品製造業務３１１－４から出力され、意図しない出力である設計情報３０５－２が部品製造業務３１１－４及び設計業務３１１－７から出力されるためである。

図７Ａ及び図７Ｂに示した関連業務の特定は、事業リスク分析装置１１が、図４に示した事業構成情報１２２に基づいて行うことができる。特定された関連業務は、例えば図８に示す関連業務情報１２３として事業リスク分析装置１１の記憶部１１２に保持される。

図８は、本発明の実施例において特定された関連業務情報１２３の説明図である。

関連業務情報１２３は、出力種別８０１、出力８０２及び関連業務８０３を含む。出力種別８０１は、各出力の種別（すなわち意図する出力か意図しない出力か）を示す。出力８０２は、各出力の内容を示す。関連業務８０３は、各出力に関連する業務を示す。

上記の図４に示した事業構成情報１２２に基づく関連業務情報１２３は、意図する出力である部品３０４－１が部品製造業務３１１－４及び出荷管理業務３１１－５に関連すること、意図しない出力である廃棄物３０５－１が部品製造業務３１１－４に関連すること、及び、意図しない出力である設計情報３０５－２が部品製造業務３１１－４及び設計業務３１１－７に関連することを示している。

図９は、本発明の実施例の事業リスク分析装置１１が事象の発生確率を評価する処理を示すフローチャートである。

最初に、ユーザは、顧客事業者に対して発生確率評価表１２４及び発生頻度算出表１２５を提示して、その内容について合意する（ステップＳ３００１）。発生確率評価表１２４及び発生頻度算出表１２５の詳細については、図１０～図１３Ｂを参照して後述する。

次に、事業リスク分析装置１１は、発生確率評価表１２４に基づいて、「脅威の現実化」の観点で、いずれかの関連業務の各構成要素におけるリスクの発生確率を評価する（ステップＳ３００２）。次に、事業リスク分析装置１１は、発生確率評価表１２４に基づいて、「脆弱性の利用」の観点で、各構成要素におけるリスクの発生確率を評価する（ステップＳ３００３）。次に、事業リスク分析装置１１は、ステップＳ３００２及びステップＳ３００３の評価結果に基づいて、各構成要素におけるリスクの発生確率を特定する（ステップＳ３００４）。

次に、事業リスク分析装置１１は、当該関連業務の全ての構成要素について評価が完了したかを判定する（ステップＳ３００５）。評価が完了していない構成要素が残っている場合（ステップＳ３００５：Ｎｏ）、事業リスク分析装置１１は、評価が完了していない構成要素を対象としてステップＳ３００２～ステップＳ３００４を実行する。全ての構成要素について評価が完了した場合（ステップＳ３００５：Ｙｅｓ）、事業リスク分析装置１１は、構成要素の評価結果のうち最も高い値を当該関連業務におけるリスクの発生確率として採用する（ステップＳ３００６）。

次に、事業リスク分析装置１１は、全ての関連業務について評価が完了したかを判定する（ステップＳ３００７）。評価が完了していない関連業務が残っている場合（ステップＳ３００７：Ｎｏ）、事業リスク分析装置１１は、評価が完了していない関連業務を対象としてステップＳ３００２～ステップＳ３００６を実行する。全ての関連業務について評価が完了した場合（ステップＳ３００７：Ｙｅｓ）、処理を終了する。

図１０は、本発明の実施例の事業リスク分析装置１１が保持する、人に関する発生確率評価表１２４を示す説明図である。

具体的には、図１０は、発生確率評価表１２４のうち、業務３１１の構成要素である人３１４に関する部分１２４－１を示す。

発生確率評価表１２４は、構成要素１００１、観点１００２、サブ観点１００３、尺度１００４及びガイドワード１００５を含む。

構成要素１００１は、業務３１１の構成要素を特定する情報である。図１０の例では構成要素１００１の値は「人」となる。

観点１００２は、リスクの評価の観点を示すものである。本実施例では、観点１００２の値は「脅威の現実化」又は「脆弱性の利用」のいずれかとなる。ここで、脅威の現実化の発生頻度とは、情報セキュリティ上の脅威が発生する確率であり、脆弱性の利用の発生確率とは、発生した脅威がシステム等に存在する脆弱性を利用する事態が発生する確率である。一例を挙げると、脅威の現実化とは、ウィルスが事業のシステムに到達することに相当し、脆弱性の利用は、そのウィルスが事業のシステムに構築されたセキュリティ対策を突破することに相当する。これらは、例えば、ＩＥＣ６２４４３－２－１に記述されたものであってもよい。脅威が発生し、かつ、その脅威がシステムの脆弱性を利用できたときに、情報セキュリティに関連する望ましくない事象が発生すると考えられる。

尺度１００４は、各観点の（すなわち脅威の現実化又は脆弱性の利用の）発生確率の高さを示す値である。図１０の例では、尺度１００４の値は、高い発生確率を示す「高」、中程度の発生確率を示す「中」、及び、低い発生確率を示す「低」のいずれかとなる。このような値は一例であり、例えばより具体的な確率の数値など、上記と異なる値が使用されてもよい。

ガイドワード１００５は、各構成要素における各観点の発生確率の高さに対応する、各構成要素の状態を表現する情報である。

なお、構成要素と観点との組み合わせをさらに分類することによって適切なガイドワードを設定しやすい場合がある。このために、サブ観点１００３が設定されてもよい。この分類は必要に応じて行えばよく、図１０の例ではサブ観点１００３は設定されない。

図１０の例では、構成要素「人」の観点「脅威の現実化」の発生確率の尺度「低」、「中」及び「高」に対応するガイドワード１００５は、それぞれ、「本人認証の仕組みがあり、定期的に監査を実行している」、「本人認証の仕組み、又は監査の仕組みが一部ある」、及び、「本人認証の仕組みや監査の仕組みがない」である。これは、業務３１１の構成要素である人３１４に関して、脅威の現実化の発生確率が次のように評価されることを示している。すなわち、本人認証の仕組みがあって定期的に監査を実施している場合には脅威の現実化の発生確率が低いと評価され、本人認証の仕組み又は監査の仕組みが一部ある場合には脅威の現実化の発生確率が中程度と評価され、本人認証の仕組みも監査の仕組みもない場合には脅威の現実化の発生確率が高いと評価される。

一方、構成要素「人」の観点「脆弱性の利用」の発生確率の尺度「低」、「中」及び「高」に対応するガイドワード１００５は、それぞれ、「教育や訓練を定期的に実施」、「始めに教育を実施」、及び、「教育や訓練プログラムがない」である。これは、業務３１１の構成要素である人３１４に関して、脆弱性の利用の発生確率が次のように評価されることを示している。すなわち、リスク低減のための人に対する教育及び訓練を定期的に実施している場合には脆弱性の利用の発生確率が低いと評価され、最初（例えば入社時又は着任時等）に教育を実施している場合には脆弱性の利用の発生確率が中程度と評価され、教育及び訓練プログラムがない場合には脆弱性の利用の発生確率が高いと評価される。

図１１は、本発明の実施例の事業リスク分析装置１１が保持する、システム／装置に関する発生確率評価表１２４を示す説明図である。

具体的には、図１１は、発生確率評価表１２４のうち、業務３１１の構成要素であるシステム／装置３１５に関する部分１２４－２を示す。

図１１の例では、構成要素１００１の値は「人」となる。また、観点１００２の値「脅威の現実化」に対応するサブ観点１００３として「ネットワーク」及び「コンポーネント」が含まれる。

構成要素「システム／装置」の観点「脅威の現実化」及びサブ観点「ネットワーク」の発生確率の尺度「低」、「中」及び「高」に対応するガイドワード１００５は、それぞれ、「他ネットワークから隔離された状態」、「専用線の閉域網に接続」、及び、「インターネット等の公衆網に接続」である。これは、業務３１１の構成要素であるシステム／装置３１５に関して、ネットワークにおける脅威の現実化の発生確率が次のように評価されることを示している。すなわち、当該システム又は装置が他のネットワークから隔離された状態である場合には脅威の現実化の発生確率が低いと評価され、専用線等の閉域網に接続されている場合には脅威の現実化の発生確率が中程度と評価され、インターネット等の公衆網に接続されている場合には脅威の現実化の発生確率が高いと評価される。

構成要素「システム／装置」の観点「脅威の現実化」及びサブ観点「コンポーネント」の発生確率の尺度「低」、「中」及び「高」に対応するガイドワード１００５は、それぞれ、「汎用ＯＳ／ミドル／アプリをほとんど利用していない」、「一部汎用ＯＳ／ミドル／アプリを利用」、及び、「汎用ＯＳ／ミドル／アプリを利用」である。これは、業務３１１の構成要素であるシステム／装置３１５に関して、コンポーネントにおける脅威の現実化の発生確率が次のように評価されることを示している。すなわち、当該システム又は装置がＯＳ（Operating System）、ミドルウェア及びアプリケーションといったコンポーネントとして汎用品をほとんど利用していない（例えば利用しているコンポーネントのうち汎用品が全体の３割より少ない）場合には脅威の現実化の発生確率が低いと評価され、一部に汎用品を利用している（例えば全体の３割から７割が汎用品である）場合には脅威の現実化の発生確率が中程度と評価され、汎用品を利用している（例えば全体の７割以上が汎用品である）場合には脅威の現実化の発生確率が高いと評価される。

構成要素「システム／装置」の観点「脆弱性の利用」の発生確率の尺度「低」、「中」及び「高」に対応するガイドワード１００５は、それぞれ、「セキュリティを考慮したシステム開発／構築＋セキュリティ運用保守の実施」、「ある程度セキュリティを考慮しているが、更新されるセキュリティ状況（脆弱性等）はキャッチできていない」、及び、「設計開発において、セキュリティを特に考慮していない」である。これは、業務３１１の構成要素であるシステム／装置３１５に関して、脆弱性の利用の発生確率が次のように評価されることを示している。すなわち、当該システム又は装置が開発又は構築されるときにセキュリティが考慮され、かつ、セキュリティ運用保守が実施されている場合には脆弱性の利用の発生確率が低いと評価され、ある程度セキュリティが考慮されているが、更新されるセキュリティ状況をキャッチできていない場合には脆弱性の利用の発生確率が中程度と評価され、セキュリティが考慮されていない場合には脆弱性の利用の発生確率が高いと評価される。

図１２は、本発明の実施例の事業リスク分析装置１１が保持する、入力、規格、計画に関する発生確率評価表１２４を示す説明図である。

具体的には、図１２は、発生確率評価表１２４のうち、業務３１１の構成要素である入力３１２及び規格／計画３１３に関する部分１２４－４を示す。

図１２の例では、構成要素１００１の値は「入力、規格／計画」となる。

構成要素「入力、規格／計画」の観点「脅威の現実化」の発生確率の尺度「低」、「中」及び「高」に対応するガイドワード１００５は、それぞれ、「組織内ネットワーク（ＬＡＮ、Local Area Network等）を経由して受け取る、又は、内部者のみがアクセス可能な敷地内で内部者により渡される」、「広域ネットワーク（ＷＡＮ、Wide Area Network等）を経由して受け取る、又は、内部者を介して受け取るが、外部者もアクセスできる可能性がある」、及び、「インターネットを経由して受け取る、又は、外部者を介して受け取る」である。これは、業務３１１の構成要素である入力、規格又は計画に関して、脅威の現実化の発生確率が次のように評価されることを示している。すなわち、当該入力、規格又は計画がＬＡＮ等の組織内ネットワークを経由して取得されるか、又は、内部者のみがアクセス可能な敷地内で内部者から取得される場合には脅威の現実化の発生確率が低いと評価され、ＷＡＮ等の広域ネットワークを経由して取得されるか、又は、内部者から取得されるが外部者からもアクセスできる可能性がある場合には脅威の現実化の発生確率が中程度と評価され、インターネットを経由して取得されるか、外部者を介して取得される場合には脅威の現実化の発生確率が高いと評価される。

構成要素「入力、規格／計画」の観点「脆弱性の利用」の発生確率の尺度「低」、「中」及び「高」に対応するガイドワード１００５は、それぞれ、「受け取った入力をチェックする仕組みがある（技術的にある）」、「受け取った入力を簡易チェックする（目視確認など）」、及び、「受け取った入力をチェックする仕組みがない」である。これは、業務３１１の構成要素である入力、規格又は計画に関して、脆弱性の利用の発生確率が次のように評価されることを示している。すなわち、当該入力、規格又は計画を取得したときにそれをチェックする技術的な仕組みがある場合には脆弱性の利用の発生確率が低いと評価され、目視チェックなどの簡易チェックを行う仕組みがある場合には脆弱性の利用の発生確率が中程度と評価され、チェックする仕組みがない場合には脆弱性の利用の発生確率が高いと評価される。

図１３Ａは、本発明の実施例の事業リスク分析装置１１が保持する、入力、規格、計画及び人に関する発生頻度算出表１２５を示す説明図である。

発生頻度算出表１２５は、評価された脅威の現実化及び脆弱性の利用の発生確率に基づいて、望ましくない事象が発生する頻度を算出するための表である。具体的には、脅威の現実化のリスクの発生確率１４０２と脆弱性の利用のリスクの発生確率１４０１との組み合わせに対応する事象の発生頻度の値（すなわち事象の発生確率の高さを示す値）が保持される。

図１３Ａには、業務３１１の構成要素のうち入力３１２、規格／計画３１３及び人３１４に関する脅威の現実化及び脆弱性の利用の発生確率に基づく事象の発生頻度を算出するための発生頻度算出表１２５－１を示す。この例では、脅威の現実化の発生確率及び脆弱性の利用の発生確率の両方が「高」である場合に、事象の発生頻度は「５」となる。なお、この例では事象の発生頻度の数値が大きいほど発生頻度が高いことを示す。

同様に、脅威の現実化のリスクの発生確率及び脆弱性の利用のリスクの発生確率の一方が「高」、もう一方が「中」である場合に、事象の発生頻度は「４」となる。脅威の現実化のリスクの発生確率及び脆弱性の利用のリスクの発生確率の一方が「高」、もう一方が「低」であるか、又は、それらの両方が「中」である場合に、事象の発生頻度は「３」となる。脅威の現実化のリスクの発生確率及び脆弱性の利用のリスクの発生確率の一方が「中」、もう一方が「低」である場合に、事象の発生頻度は「２」となる。脅威の現実化のリスクの発生確率及び脆弱性の利用のリスクの発生確率の両方が「低」である場合に、事象の発生頻度は「１」となる。

図１３Ｂは、本発明の実施例の事業リスク分析装置１１が保持する、システム及び装置に関する発生頻度算出表１２５を示す説明図である。

図１３Ｂには、業務３１１の構成要素のうちシステム／装置３１５に関する脅威の現実化及び脆弱性の利用の発生確率に基づく事象の発生頻度を算出するための発生頻度算出表１２５－２を示す。図１１に示すように、脅威の現実化については二つのサブ観点に応じた値が設定されるため、この例では、それらの二つの値と、脆弱性の利用の発生確率の値との組み合わせに応じた事象の発生頻度が保持される。

具体的には、脅威の現実化の二つのサブ観点の発生確率の両方が「高」、又は、一方が「高」でもう一方が「中」である場合に、脆弱性の利用のリスクの発生確率が「高」であれば事象の発生頻度は「５」、脆弱性の利用の発生確率が「中」であれば事象の発生頻度は「４」、脆弱性の利用の発生確率が「低」であれば事象の発生頻度は「３」となる。

脅威の現実化の二つのサブ観点の発生確率の両方が「中」、又は、一方が「高」でもう一方が「低」である場合に、脆弱性の利用の発生確率が「高」であれば事象の発生頻度は「４」、脆弱性の利用の発生確率が「中」であれば事象の発生頻度は「３」、脆弱性の利用の発生確率が「低」であれば事象の発生頻度は「２」となる。

脅威の現実化の二つのサブ観点の発生確率の両方が「低」、又は、一方が「中」でもう一方が「低」である場合に、脆弱性の利用の発生確率が「高」であれば事象の発生頻度は「３」、脆弱性の利用の発生確率が「中」であれば事象の発生頻度は「２」、脆弱性の利用の発生確率が「低」であれば事象の発生頻度は「１」となる。

図１０～図１３Ｂに示した表の作成方法は限定しない。例えばユーザが顧客事業者に対するヒアリング等に基づいてこれらの表を作成してもよいし、予め用意されたテンプレートを使用してもよいし、予め用意されたテンプレートをヒアリングの結果に基づいて修正することで作成してもよい。そのような作成及び確認作業が図９のステップＳ３００１において行われてもよい。

ステップＳ３００２及びＳ３００３では、例えば、ユーザが顧客事業者に対するヒアリング等を行うことで顧客事業者の事業の各業務の各構成要素の状態を把握し、それを図１０～図１２に示したガイドワード１００５と照合し、該当するガイドワード１００５に対応する尺度１００４を取得することによって、各構成要素の脅威の現実化及び脆弱性の利用の発生確率を特定してもよい。

また、図１３Ａ及び図１３Ｂに示した発生頻度算出表１２５は、発生頻度を算出するための情報の一例であり、上記以外の情報が使用されてもよい。前述のように、脅威が現実化し、かつ、その脅威が脆弱性を利用したときに事象が発生すると考えられることから、事象の発生頻度は、脅威の現実化の発生確率が高いほど事象の発生頻度が高くなり、脆弱性の利用の発生確率が高いほど事象の発生頻度が高くなるように算出される。例えば、脅威の現実化の発生確率及び脆弱性の利用の発生確率が、０から１までの数値又は０％から１００％までの数値によって表される場合、両者の発生確率を乗算することによって事象の発生頻度を算出する数式を、発生頻度算出表１２５の代わりに発生頻度を算出するための情報として使用してもよい。

図１４は、本発明の実施例の事業リスク分析装置１１が各関連業務における事象の発生頻度を特定した結果を示す説明図である。

すなわち、図１４は、図９のステップＳ３００６の実行結果として得られる情報の一例である。この情報は、関連業務１５０１、構成要素１５０２、評価結果及び理由１５０３、構成要素の発生頻度１５０４及び関連業務の発生頻度１５０５を含む。関連業務１５０１は、事業３０１を構成する業務３１１のうち関連業務を特定する情報である。構成要素１５０２は、関連業務の構成要素を特定する情報である。評価結果及び理由１５０３は、各構成要素における脅威の現実化及び脆弱性の利用の発生確率の評価結果及びその理由を示す。構成要素の発生頻度１５０４は、各構成要素における事象の発生頻度を示す。関連業務の発生頻度１５０５は、各関連業務における事象の発生頻度を示す。

ここで、図１４の例について説明する。関連業務である部品製造業務３１１－４の構成要素のうち入力は鉄及び設計情報である。これらのうち設計情報の入力についてヒアリングした結果、設計情報が社内ＬＡＮを経由して入手され、担当者の承認済みであることが目視で確認されていることが判明した場合、これらは図１２に示すガイドワード１００５のうち「組織内ネットワーク（ＬＡＮ等）を経由して受け取る」及び「受け取った入力を簡易チェックする（目視確認など）」に該当することから、設計情報の入力に関する脅威の現実化の発生確率は「低」、脆弱性の利用の発生確率は「中」と特定される（ステップＳ３００２～Ｓ３００４）。これらの結果を図１３Ａに示す発生頻度算出表１２５－１に照合することによって、部品製造業務３１１－４への設計情報の入力における事象の発生頻度は「２」と特定され、構成要素の発生頻度１５０４として保持される（ステップＳ３００６）。

同様に、部品製造業務３１１－４の構成要素である鉄、作業者、製造システム、整形装置及び生産計画における事象の発生頻度を特定した結果、それぞれ「２」、「１」、「４」、「２」及び「１」となった場合、それらのうち最大の値「４」が、部品製造業務３１１－４における事象の発生頻度として採用され、関連業務の発生頻度１５０５として保持される。

他の関連業務である出荷管理業務３１１－５及び設計業務３１１－７についても同様の処理が行われ、関連業務の発生頻度１５０５としてそれぞれ「３」及び「５」が特定される。

図１５は、本発明の実施例の事業リスク分析装置１１が起こりうる事象及びそのインパクトを評価した結果を示す説明図である。

すなわち、図１５は、図２のステップＳ１００５の実行結果として得られるインパクト情報１２６の一例である。この情報は、出力項目１６０１、ＨＡＺＯＰガイドワード１６０２、発生事象１６０３、観点１６０４、事業リスク１６０５及びインパクト１６０６を含む。出力項目１６０１は、事業の出力を特定する情報である。ＨＡＺＯＰガイドワード１６０２は、事業の出力に対応して起こりうる事象の類型を示す。例えば、ＨＡＺＯＰ（Hazard and Operability Studies）のガイドワードに基づく類型であってもよいし、それ以外の類型の情報を利用できる場合にはそれを利用してもよい。

発生事象１６０３は、出力及び事象の類型に対応して実際に発生することが想定される事象を示す。観点１６０４は、想定した事象が発生した場合にその影響が及ぶ対象（例えば、人、環境及び組織）を示す。事業リスク１６０５は、想定した事象が発生した場合の影響の内容を表現する情報である。インパクト１６０６は、想定した事象が発生した場合の影響の大きさを示す。観点ごとの事象の影響のレベルは、例えばＩＥＣ６２４４３－２－１など、公知の規格に準拠したものであってもよい。

出力項目１６０１には、事業３０１において想定される全ての出力、例えば、意図する出力３０４である部品３０４－１、意図しない出力３０５である廃棄物３０５－１及び設計情報３０５－２を示す情報が保持される。「部品」に対応するＨＡＺＯＰガイドワード１６０２には、部品の出力に関する事象の類型として、「ｎｏ」（出力なし）、「ｉｎｖａｌｉｄ」（不正出力）、「ｍｕｃｈ」（過剰出力）及び「ｌｅｓｓ」（出力不足）が保持される。これらに対応する発生事象１６０３は、それぞれ、「部品の製造が停止する」、「不正な部品が製造される」、「過剰に部品が製造される」及び「部品の製造量が不足する」である。

一方、意図しない出力である「廃棄物」及び「設計情報」については、出力されないことが望ましいものであるため、それらに対応するＨＡＺＯＰガイドワード１６０２の値はいずれも「出力される」となり、発生事象１６０３としてそれぞれ「予期せぬ廃棄物が出る」及び「設計情報が流出する」が保持される。

例えば、部品の出力について、「部品の製造が停止する」という事象が発生した場合、それが組織に対して与える影響（事業リスク１６０５）として、「部品の製造が停止し、顧客の信頼を失墜する」といったものが想定され、そのインパクト１６０６は「大」と評価される。

一方、部品の出力について、「不正な出力が製造される」という事象が発生した場合、それが人に対して与える影響として、「不正な部品が製造され、その顧客（利用者）が負傷する」といったものが想定され、そのインパクト１６０６は「中」と評価される。さらに、それが組織に与える影響として、「不正な部品が製造され、顧客の信頼を失墜する」といったものが想定され、そのインパクト１６０６は「中」と評価される。

このように、事業３０１の出力３０３に対応するそれぞれの類型の事象が発生した場合の各対象への影響の内容及びその程度（インパクトの大きさ）が評価され、記憶部１１２に保持される。この評価は、ユーザが顧客に対するヒアリングに基づいて行うことができる。

図１６は、本発明の実施例の事業リスク分析装置１１が保持するリスク値算出表１２７を示す説明図である。

リスク値算出表１２７には、インパクト１７０１の値と発生頻度１７０２の値とに対応するリスク値が保持される。ここで、インパクト１７０１は図１５のインパクト１６０６の値に対応し、発生頻度１７０２は図１４の関連業務の発生頻度１５０５に対応する。インパクト１７０１の値が大きいほどリスク値が大きくなり、発生頻度１７０２が大きいほどリスク値が大きくなるように設定される。

例えば、インパクト１７０１が「大」の場合の発生頻度１７０２の値「５」、「４」、「３」、「２」及び「１」に対応するリスク値がそれぞれ「５」、「４」、「３」、「２」及び「１」と設定されてもよい。インパクト１７０１が「中」の場合の発生頻度１７０２の値「５」、「４」、「３」、「２」及び「１」に対応するリスク値がそれぞれ「４」、「３」、「２」、「１」及び「１」と設定されてもよい。インパクト１７０１が「省」の場合の発生頻度１７０２の値「５」、「４」、「３」、「２」及び「１」に対応するリスク値がそれぞれ「３」、「２」、「１」、「１」及び「１」と設定されてもよい。

図１７は、本発明の実施例の事業リスク分析装置１１が各業務のリスク値を算出した結果を示す説明図である。

図１７に示すリスク値算出結果は、図１５に示したものと同様の出力項目１６０１～インパクト１６０６に加えて、関連業務１８０１、発生頻度１８０２及びリスク値１８０３を含む。出力項目１６０１～インパクト１６０６については説明を省略する。

関連業務１８０１は、各出力の関連業務を示す。発生頻度１８０２は、各関連業務における想定した事象の発生頻度を示す。リスク値１８０３は、インパクト１６０６と発生頻度１８０２都に基づいて算出された各関連業務のリスク値を示す。

例えば、部品の出力について、「部品の製造が停止する」という事象が発生した場合、それが組織に対して与える影響（事業リスク１６０５）として、「部品の製造が停止し、顧客の信頼を失墜する」といったものが想定され、そのインパクト１６０６は「大」と評価される。さらに、図１４に示したように、部品の出力の関連業務である部品製造業務３１１－４及び出荷管理業務３１１－５における事象の発生頻度はそれぞれ「４」及び「３」であることから、図１６のリスク値算出表１２７に基づいて、部品製造業務３１１－４及び出荷管理業務３１１－５における当該事象のリスク値はそれぞれ「４」及び「３」と算出される。部品の出力に関する他の事象のリスク値、及び、他の出力に関するリスク値も同様に算出される。

図１８は、本発明の実施例の事業リスク分析装置１１が処理の結果として出力する情報の第１の例を示す説明図である。

具体的には、図１８は、ステップＳ１００７において出力される情報の一例である。この情報は、事業リスク分析装置１１の表示部１１４がユーザに対して出力してもよいし、事業リスク分析装置１１がネットワーク１３を介してユーザ端末１２に出力し、ユーザ端末１２がユーザに対して出力してもよい。後述する図１９の情報も同様である。

図１８の例では、図１７に示したリスク値の算出結果をリスク値の高さに従ってソートした情報が出力される。すなわち、図１８に示す事業リスク１９０１、観点１９０２、インパクト１９０３、関連業務１９０４、発生頻度１９０５及びリスク値１９０６は、それぞれ、図１７の事業リスク１６０５、観点１６０４、インパクト１６０６、関連業務１８０１、発生頻度１８０２及びリスク値１８０３に対応し、それらの情報がリスク値１９０６の大きさの順にソートされている。

さらに、図１８に示す情報は、コメント１９０７を含んでもよい。図１８の例では、コメント１９０７として、大きいリスク値に関連する業務を特定する情報が出力される。

図１９は、本発明の実施例の事業リスク分析装置１１が処理の結果として出力する情報の第２の例を示す説明図である。

図１９の例では、図１７に示したリスク値の算出結果を、関連業務ごとにまとめてソートした情報が出力される。すなわち、図１９に示す事業リスク１９０１～リスク値１９０６は、図１８に示したものと同様であるが、図１９ではそれらの情報が業務ごとにまとめられており、さらに、業務の重要度２００１が追加されている。

業務の重要度２００１は、各関連業務のリスク値１９０６に基づいて算出される。例えば、関連業務ごとの事象のリスク値に、所定の基準（図１９の例では「４」）以上の値が含まれる場合には、その関連業務の重要度を「高」と判定し、そうでない場合には「中」又は「低」と判定してもよい。

コメント２００２としては、各関連業務の重要度をまとめた情報が出力されてもよい。

図１８又は図１９に示す情報を提示することによって、事業に潜在するセキュリティ上の脆弱性を可視化し、対策の提案に活用することができる。

なお、本発明の実施形態のシステムは、例えば次のように構成されてもよい。

（１）事業リスク分析システム（例えば事業リスク分析装置１１又はその機能を有するシステム全体）であって、演算部（例えば演算部１１１）と、記憶部（例えば記憶部１１２）と、を有し、記憶部は、事業構成情報（例えば事業構成情報１２２）と、発生確率評価情報（例えば発生確率評価表１２４）と、を保持し、事業構成情報は、事業に含まれる業務及び前記業務を構成する構成要素を特定する情報を含み、発生確率評価情報は、構成要素において情報セキュリティ上の脅威の現実化が発生する確率を示す値と、構成要素の状態を表現するガイドワードとを対応付ける情報、及び、構成要素において脅威による脆弱性の利用が発生する確率を示す値と、構成要素の状態を表現するガイドワードとを対応付ける情報を含み、演算部は、発生確率評価情報に含まれるガイドワードに基づいて、業務の構成要素の実際の状態に対応する脅威の現実化が発生する確率を示す値及び脆弱性の利用が発生する確率を示す値が特定された場合、特定された値に基づいて、業務の構成要素において情報セキュリティに関する事象が発生する頻度を算出し（例えばステップＳ１００４、Ｓ３００２～Ｓ３００３）、構成要素における事象の発生頻度に基づいて、業務における事象の発生頻度を算出し（例えばステップＳ１００４、Ｓ３００４）、事象の発生頻度と、事象が事業に与える影響の大きさと、に基づいて、業務のリスク値を算出する（例えばステップＳ１００６）。

これによって、事業におけるセキュリティのリスクを適切に評価することができる。

（２）上記（１）において、演算部は、脅威の現実化が発生する確率が高いほど事象が発生する頻度が高くなり、脆弱性の利用が発生する確率が高いほど事象が発生する頻度が高くなるように、事象が発生する頻度を算出する（例えばステップＳ３００４、図１３Ａ、図１３Ｂ）。

これによって、事象の発生頻度を適切に算出することができる。

（３）上記（２）において、事業は、複数の業務を含み、事業構成情報は、事業の出力を特定する情報を含み、演算部は、事業構成情報に基づいて、複数の業務から、事業の出力の関連業務を特定し（例えばステップＳ１００２）、特定された関連業務について、事象が発生する頻度を算出する（例えばステップＳ１００４）。

これによって、事業の出力への影響に基づいてリスクを適切に評価することができる。

（４）上記（３）において、複数の業務のうち、事業の出力となる物又は情報を出力する業務が関連業務として特定され、記憶部は、業務の出力ごとに、事象が発生した場合の事業への影響の大きさを示す情報（例えば図１５のインパクト１６０６）を保持し、演算部は、事象が発生する頻度が高いほど事業のリスク値が大きくなり、事象が発生した場合の事業への影響が大きいほど事業のリスク値が大きくなるように、事業のリスク値を算出する（例えばステップＳ１００６、図１６）。

これによって、事象の発生頻度とその影響の大きさに基づいて事業のリスクを適切に評価することができる。

（５）上記（４）において、事業の出力は、意図する出力（例えば意図する出力３０４）及び意図しない出力（例えば意図しない出力３０５）を含み、関連業務における前記事象は、意図する出力の停止、不正、過剰及び不足、並びに、意図しない出力の発生の少なくとも一つ（例えば図１５のＨＡＺＯＰガイドワード１６０２）を含む。

これによって、事業の出力への影響に基づいてリスクを適切に評価することができる。

（６）上記（１）において、業務の構成要素は、業務の入力（例えば入力３１２）、並びに、業務に投入される人（例えば人３１４）、システム、装置（例えばシステム／装置３１５）、規格及び計画（例えば規格／計画３１３）の少なくとも一つを含む。

これによって、業務の構成要素に基づいてリスクを適切に評価することができる。

（７）上記（１）において、業務は、複数の構成要素によって構成され、演算部は、業務を構成する複数の構成要素における事象の発生頻度のうち最大のものを、業務における事象の発生頻度として算出する。

これによって、各業務におけるリスクを適切に評価することができる。

（８）上記（１）において、事業は、複数の業務を含み、演算部は、複数の業務のうち、即時的な処理が行われるオンライン業務について、事象が発生する頻度を算出する。

これによって、事業のリスクを適切に評価することができる。

なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明のより良い理解のために詳細に説明したものであり、必ずしも説明の全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることが可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によってハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによってソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、不揮発性半導体メモリ、ハードディスクドライブ、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記憶デバイス、または、ＩＣカード、ＳＤカード、ＤＶＤ等の計算機読み取り可能な非一時的データ記憶媒体に格納することができる。

また、制御線及び情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線及び情報線を示しているとは限らない。実際にはほとんど全ての構成が相互に接続されていると考えてもよい。

１１ 事業リスク分析装置
１２ ユーザ端末
１３ ネットワーク
１１１ 演算部
１１２ 記憶部
１１３ 入力部
１１４ 表示部
１１５ 通信部

Claims (9)

1. 事業リスク分析システムであって、
   演算部と、記憶部と、を有し、
   前記記憶部は、事業構成情報と、発生確率評価情報と、を保持し、
   前記事業構成情報は、事業に含まれる業務及び前記業務を構成する構成要素を特定する情報を含み、
   前記発生確率評価情報は、前記構成要素において情報セキュリティ上の脅威の現実化が発生する確率を示す値と、前記構成要素の状態を表現するガイドワードとを対応付ける情報、及び、前記構成要素において前記脅威による脆弱性の利用が発生する確率を示す値と、前記構成要素の状態を表現するガイドワードとを対応付ける情報を含み、
   前記演算部は、
   前記発生確率評価情報に含まれる前記ガイドワードに基づいて、前記業務の構成要素の実際の状態に対応する前記脅威の現実化が発生する確率を示す値及び前記脆弱性の利用が発生する確率を示す値が特定された場合、前記特定された値に基づいて、前記業務の構成要素において情報セキュリティに関する事象が発生する頻度を算出し、
   前記構成要素における前記事象の発生頻度に基づいて、前記業務における前記事象の発生頻度を算出し、
   前記事象の発生頻度と、前記事象が前記事業に与える影響の大きさと、に基づいて、前記業務のリスク値を算出することを特徴とする事業リスク分析システム。
2. 請求項１に記載の事業リスク分析システムであって、
   前記演算部は、前記脅威の現実化が発生する確率が高いほど前記事象が発生する頻度が高くなり、前記脆弱性の利用が発生する確率が高いほど前記事象が発生する頻度が高くなるように、前記事象が発生する頻度を算出することを特徴とする事業リスク分析システム。
3. 請求項２に記載の事業リスク分析システムであって、
   前記事業は、複数の前記業務を含み、
   前記事業構成情報は、前記事業の出力を特定する情報を含み、
   前記演算部は、
   前記事業構成情報に基づいて、前記複数の業務から、前記事業の出力の関連業務を特定し、
   前記特定された関連業務について、前記事象が発生する頻度を算出することを特徴とする事業リスク分析システム。
4. 請求項３に記載の事業リスク分析システムであって、
   前記複数の業務のうち、前記事業の出力となる物又は情報を出力する業務が前記関連業務として特定され、
   前記記憶部は、前記業務の出力ごとに、前記事象が発生した場合の前記事業への影響の大きさを示す情報を保持し、
   前記演算部は、前記事象が発生する頻度が高いほど前記事業のリスク値が大きくなり、前記事象が発生した場合の前記事業への影響が大きいほど前記事業のリスク値が大きくなるように、前記事業のリスク値を算出することを特徴とする事業リスク分析システム。
5. 請求項４に記載の事業リスク分析システムであって、
   前記事業の出力は、意図する出力及び意図しない出力を含み、
   前記関連業務における前記事象は、前記意図する出力の停止、不正、過剰及び不足、並びに、前記意図しない出力の発生の少なくとも一つを含むことを特徴とする事業リスク分析システム。
6. 請求項１に記載の事業リスク分析システムであって、
   前記業務の構成要素は、前記業務の入力、並びに、前記業務に投入される人、システム、装置、規格及び計画の少なくとも一つを含むことを特徴とする事業リスク分析システム。
7. 請求項１に記載の事業リスク分析システムであって、
   前記業務は、複数の前記構成要素によって構成され、
   前記演算部は、前記業務を構成する前記複数の構成要素における前記事象の発生頻度のうち最大のものを、前記業務における前記事象の発生頻度として算出することを特徴とする事業リスク分析システム。
8. 請求項１に記載の事業リスク分析システムであって、
   前記事業は、複数の前記業務を含み、
   前記演算部は、前記複数の業務のうち、即時的な処理が行われるオンライン業務について、前記事象が発生する頻度を算出することを特徴とする事業リスク分析システム。
9. 事業リスク分析システムが実行する事業リスク分析方法であって、
   前記事業リスク分析システムは、演算部と、記憶部と、を有し、
   前記記憶部は、事業構成情報と、発生確率評価情報と、を保持し、
   前記事業構成情報は、事業に含まれる業務及び前記業務を構成する構成要素を特定する情報を含み、
   前記発生確率評価情報は、前記構成要素において情報セキュリティ上の脅威の現実化が発生する確率を示す値と、前記構成要素の状態を表現するガイドワードとを対応付ける情報、及び、前記構成要素において前記脅威による脆弱性の利用が発生する確率を示す値と、前記構成要素の状態を表現するガイドワードとを対応付ける情報を含み、
   前記事業リスク分析方法は、
   前記発生確率評価情報に含まれる前記ガイドワードに基づいて、前記業務の構成要素の実際の状態に対応する前記脅威の現実化が発生する確率を示す値及び前記脆弱性の利用が発生する確率を示す値が特定された場合、前記演算部が、前記特定された値に基づいて、前記業務の構成要素において情報セキュリティに関する事象が発生する頻度を算出する手順と、
   前記演算部が、前記構成要素における前記事象の発生頻度に基づいて、前記業務における前記事象の発生頻度を算出する手順と、
   前記演算部が、前記事象の発生頻度と、前記事象が前記事業に与える影響の大きさと、に基づいて、前記業務のリスク値を算出する手順と、を含むことを特徴とする事業リスク分析方法。