評価支援システムによる脅威・脆弱性再定義

本技術は、評価対象機器の評価を支援するシステムです。第1評価仕様情報に、脅威分析情報の一部と脆弱性分析情報の一部を連結します。第1連携処理と第2連携処理を経て、第2評価仕様情報を生成・出力します。再定義部は、不足評価仕様に対応する脆弱性識別情報が分析情報に存在する場合、それを不足評価仕様と識別情報とを、第1評価仕様情報へ追加して評価仕様を再定義します。実運用では、分析情報の正確性と更新頻度、識別情報の整合性が重要です。この仕組みは、評価の抜けを減らし、運用の迅速さを向上させます。

評価支援システムは、評価項目ごとに示す第1評価仕様情報と、脅威分析情報・脆弱性分析情報を用いた動的更新機構を備える。脅威連結部は評価項目ごとに脅威分析結果から対策情報を関連付け、第1連携処理を通じて第1評価仕様情報を拡張する。脆弱性連結部は、同様に脆弱性分析情報の識別情報を評価仕様へ紐付ける。再定義部は、不足評価仕様に対応する脆弱性識別情報が脆弱性分析情報に含まれていれば、それを不足評価仕様と対応づけて第1評価仕様情報へ追加し、第2評価仕様情報を生成する。併せて、評価結果を脅威分析部・脆弱性分析部へフィードバックすることで、継続的な評価改善ループを実現する。運用上の留意点は、分析情報の更新タイミング、項目間の整合性、ポリシー適合性である。