JP7040535B2 - セキュリティ情報処理装置、情報処理方法及びプログラム - Google Patents

Description

本発明は、製品のセキュリティに関する情報を収集する技術に関する。

情報処理システムに限らず、その他のシステム（例えば制御システム等）を標的としたセキュリティに関する攻撃（サイバー攻撃等）が発生している。

製品に関連するリスクを評価する技術に関連して、例えば、特許文献１には、過去の発注履歴を参照して、ある部品を末端サプライヤから購入する際の調達リスクを算出する技術が記載されている。

特許文献２には、定常時と、リスク事象発生時とに個別に対応したサプライチェーンモデルを用意し、サプライチェーンからの実績データに基づいてリスク事象が発生したと判定した場合には、リスク対応のサプライチェーンモデルを用いてリスク損失を最小化するサプライチェーン体制を導出する技術が記載されている。

特許文献３には、違法又は有害情報を含むＷｅｂページを提供するサーバに特徴的な情報を用いて、あるｗｅｂページが違法又は有害情報を含むか否かを判定するスコアを算出する技術が記載されている。

特開２０１３－１９６４０３号公報 特開２０１１－２２７８５２号公報 特開２０１１－２４８５００号公報

ある製品（例えば、制御システム等）に関するセキュリティのリスクを評価する際、その製品を構成する構成要素（サブシステム、各種装置、ハードウェア及びソフトウェア部品等）に含まれ得る未知及び既知の脆弱性に関する情報を収集して調査することは、必ずしも容易ではない。

上記特許文献１、２に記載された技術は、いずれも製品のサプライチェーンにおいて発生するリスクを評価する技術である。また、上記特許文献３に記載された技術は、あるＷｅｂページが有害情報を含むか否かを判定する技術である。すなわち、これらの技術は、製品のセキュリティに関するリスクの評価に適切な技術ではない。

本開示に係る技術は、上記のような事情を鑑みて開発されたものである。即ち、本開示は、ある製品に影響し得るセキュリティの脅威を効率的に調査可能とする技術を提供することを、その目的の一つとする。

上記目的を達成すべく、本開示の一態様に係るセキュリティ情報処理装置は、以下のような構成を備える。即ち、本開示の一態様に係るセキュリティ情報処理装置はセキュリティに関する脅威を表す脅威情報を含む第１脅威情報を用いて、ある情報を前記脅威情報に分類可能な脅威情報モデルを生成する脅威情報モデル生成部と、セキュリティに関連する情報を提供する情報源から、脅威情報の候補である脅威情報候補を収集する収集部と、ある製品を構成する構成要素に関する情報と、脅威情報モデルとを用いて、収集した脅威情報候補から、製品に影響し得る脅威情報を含む第２脅威情報を検出する検出部と、を備える。

また、本開示の他の一態様に係る情報処理方法は、以下のような構成を備える。即ち、本開示の一態様に係るセキュリティ情報処理方法は、情報処理装置が、セキュリティに関する脅威を表す脅威情報を含む第１脅威情報を用いて、ある情報を前記脅威情報に分類可能な脅威情報モデルを生成し、セキュリティに関連する情報を提供する情報源から、脅威情報の候補である脅威情報候補を収集し、ある製品を構成する構成要素に関する情報と、脅威情報モデルとを用いて、収集した脅威情報候補から、製品に影響し得る脅威情報を含む第２脅威情報を検出することを含む。

また、上記目的は、上記構成を有するセキュリティ情報処理装置、情報処理方法等をコンピュータによって実現するコンピュータ・プログラム、及び、そのコンピュータ・プログラムが格納されているコンピュータ読み取り可能な記録媒体等によっても達成される。

本開示の他の一態様に係るセキュリティ情報処理プログラムは、以下のような構成を備える。即ち、本開示の一態様に係るセキュリティ情報処理プログラムは、セキュリティに関する脅威を表す脅威情報を含む第１脅威情報を用いて、ある情報を前記脅威情報に分類可能な脅威情報モデルを生成する処理と、セキュリティに関連する情報を提供する情報源から、脅威情報の候補である脅威情報候補を収集する処理と、ある製品を構成する構成要素に関する情報と、脅威情報モデルとを用いて、収集した脅威情報候補から、製品に影響し得る脅威情報を含む第２脅威情報を検出する処理と、をコンピュータに実行させる。なお、本開示の一態様に係る記録媒体には、上記したコンピュータ・プログラムが記録されてもよい。

本開示によれば、ある製品に影響し得るセキュリティの脅威を効率的に調査することができる。

図１は、本開示の第1実施形態におけるセキュリティ情報処理装置の機能的な構成を例示するブロック図である。 図２は、本開示の第１実施形態におけるセキュリティ情報処理装置における処理を概念的に表す説明図である。 図３は、本開示の第１実施形態におけるセキュリティ情報処理装置の動作の一例を示すフローチャートである。 図４は、本開示の第２実施形態におけるセキュリティ情報処理装置の機能的な構成を例示するブロック図である。 図５は、既知脅威情報データベースの具体例を示す説明図である。 図６は、収集サイト設定データベースの具体例を示す説明図である。 図７は、情報源から脅威情報の候補を収集する過程を例示する説明図である。 図８は、脅威情報候補データベースの具体例を示す説明図である。 図９は、構成情報データベースの具体例を示す説明図である。 図１０は、本開示の第２実施形態におけるセキュリティ情報処理装置の動作の一例を示すフローチャート（その１）である。 図１１は、本開示の第２実施形態におけるセキュリティ情報処理装置の動作の一例を示すフローチャート（その２）である。 図１２は、本開示の第２実施形態におけるセキュリティ情報処理装置の動作の一例を示すフローチャート（その３）である。 図１３は、本開示の第２実施形態におけるセキュリティ情報処理装置の動作の一例を示すフローチャート（その４）である。 図１４は、本開示の第３実施形態に係るセキュリティ情報処理装置の機能的な構成を例示するブロック図である。 図１５は、売上データベースの具体例を示す説明図である。 図１６は、本開示の第３実施形態におけるセキュリティ情報処理装置の動作の一例を示すフローチャートである。 図１７は、本開示の各実施形態を実現可能なハードウェア装置の構成を例示する説明図である。

各実施形態の詳細な説明に先立って、本開示に関する技術的な検討事項等について詳細に説明する。

以下、説明の便宜上、セキュリティに関連する攻撃を総称して、サイバー攻撃と記載する。

以下、説明の便宜上、外部から制御可能な構成要素を含むシステムのうち、主に情報通信装置等により構成される情報システム以外のシステムを総称して、「制御システム」と記載する。すなわち、本開示における「制御システム」は特定の分野、領域に限定されず、例えば、各種社会基盤（インフラストラクチャー）、各種プラント、各種産業機械、各種交通システム、各種輸送機器、空調、ロボット、各種センサなどを制御対象とするシステム（又は、そのようなシステムを構成するサブシステム）が含まれてよい。また、以下においては、制御システムを含む製品を、「制御システム製品」、又は、単に「製品」と記載することがある。

制御システムは、通信回線に接続されずに、オフラインで稼働することが比較的多かったものの、インターネット、汎用バス等の普及にともない、通信回線と接続したオンライン状態で稼働する制御システムが増えている。

これにともない、例えば、情報通信機器において広く用いられているオペレーティングシステム、アプリケーションなどが、制御システムの一部として採用される機会が増加している。このため、制御システムについても、情報システムと同様に、オペレーティングシステムやアプリケーションの欠陥を攻撃する脆弱性攻撃の対象となりえる。

脆弱性攻撃の手法や被害状況等、セキュリティ上の脅威に関する内容が記載された情報（以下「脅威情報」と記載する）は、公的機関やベンダによって一般に開示されることがある。情報通信機器の場合、例えば、自己更新機能などを用いて脆弱性を自動的に修正することが、現在では一般的に実行されている。一方、制御システムを構成する構成要素は、必ずしも自動更新のような機能を備えているとは限らない。また、自動更新機能を実行できる環境が用意されていないこともある。

制御システムにおいては、複数の構成要素（例えば、ハードウェア部品、ソフトウェア部品等）を組み合わせることにより、一つの製品が構成されることが多い。このため、ある製品（制御システム）について検討を要する脅威情報の範囲は、その製品の複雑度（例えば、構成要素の数）に比例して増大する。また、製品ごとに検討を要する脅威情報が異なる。

セキュリティ上の脅威に関する情報（特に、未知の脅威に関する情報）は、例えば、インターネットにおけるソーシャルメディア等を介して流通することが多い。有用な情報を得るためには、脅威情報を検索するサイトやソーシャルメディアを適切に選択する必要がある。また、流通する情報が多いことから、例えば、制御システムに関連する部品等の名称をキーワードとして適切に指定しないと、脅威情報を的確に検索できないことがある。

ある制御システムの製品に関する脅威が顕在化した場合の被害は、脅威にさらされる構成要素（制御システムの部品）を用いた製品の売上に応じて拡大する。このような事情から、制御システムの提供者（ベンダ）は、制御システムを構成する構成要素について、セキュリティ上の脅威に関する情報を適切に調査・収集し、リスクを検討することを求められる。

しかしながら、上記したように、調査すべき制御システムの構成要素の数が制御システムの複雑度に応じて増大することから、制御システムに含まれ得る既知及び未知の脆弱性を把握することは容易ではない。また、大量の脆弱性情報のなかから、制御システム（及びその構成要素）に影響する可能性があるセキュリティ上の脅威に関する情報を適切に検索することも、容易ではない。

上記のような状況から、本発明者らは、流通している情報（セキュリティの脅威に関する情報）のうち、制御システムを構成する構成要素（例えば、ソフトウェア部品、ハードウェア部品等）に影響する可能性がある情報を適切に検出可能な、本開示に係る技術を着想するに至った。

以下において説明する本開示に係る技術の一態様であるセキュリティ情報処理装置は、例えば、セキュリティに関する脅威を表す情報である脅威情報に基づいて、ある情報を脅威情報に分類可能な脅威情報モデルを生成するよう構成されてもよい。なお、セキュリティ情報処理装置は、この際、公的機関やベンダによって一般に開示された既知の脅威情報を用いて、脅威情報モデルを作成してもよい。セキュリティ情報処理装置は、例えば、特定の情報源（例えば、脅威情報を提供するｗｅｂサイトやソーシャルネットワーク等）から、ある製品に影響し得る脅威情報の候補である脅威情報候補を収集するよう構成されてもよい。セキュリティ情報処理装置は、例えば、生成した脅威情報モデルを用いて、上記収集した脅威情報候補のうち、ある製品に影響し得る脅威情報を含む脅威情報候補を検出するよう構成されてもよい。

上記のような構成を含む本開示に係る技術によれば、ある製品（例えば、制御システム等）に影響し得るセキュリティの脅威を効率的に調査することが可能となる。その理由は、既知の脅威情報を用いて作成した脅威情報モデルを用いて、情報源から収集した脅威情報の候補のうち、ある製品に影響し得る脅威情報を検出することができるからである。

以下、本開示に係る技術について、具体的な実施形態を用いて具体的に説明する。以下の具体的な実施形態の構成は例示であり、本開示に係る技術の技術範囲は、それらには限定されない。以下の各実施形態を構成する構成要素の分割（例えば、機能的な単位による分割）は、その実施形態を実現可能な一例である。各実施形態を実現可能な構成は、以下の例示に限定されず、様々な構成が想定され得る。以下の各実施形態を構成する構成要素は、更に分割されてもよく、また、以下の各実施形態を構成する１以上の構成要素が統合されてもよい。

以下に例示する各実施形態が１以上の物理的装置、仮想的装置、及びその組合せを用いて実現される場合、１以上の構成要素が１以上の装置により実現されてもよく、１つの構成要素が複数の装置を用いて実現されてもよい。なお、各実施形態を実現可能な装置のハードウェア構成の具体例については、後述する。

＜第１実施形態＞
以下、本開示に係る技術の基本的な実施形態である第１実施形態について説明する。

〔構成〕
図１は、本実施形態におけるセキュリティ情報処理装置１００の機能的な構成を例示するブロック図である。

図１に例示するように、セキュリティ情報処理装置１００は、脅威情報モデル生成部１０１（脅威情報モデル生成手段）と、収集部１０２（収集手段）と、検出部１０３（検出手段）と、を有する。セキュリティ情報処理装置１００を構成するこれらの構成要素の間は、適切な方法を用いて通信可能に接続されていてもよい。セキュリティ情報処理装置１００は、専用のハードウェア装置を用いて実装されてもよく、汎用のハードウェア装置とソフトウェア・プログラムとを用いて実装されてもよい。なお、セキュリティ情報処理装置１００を構成するハードウェア装置は、物理的な装置であってもよく、適切な仮想化基盤を用いて構築された仮想ハードウェア装置（例えば、仮想マシン）であってもよい。

セキュリティ情報処理装置１００が物理的ハードウェア装置を用いて実装される場合、セキュリティ情報処理装置１００に含まれる各構成要素は、例えば、適切な回路デバイス（通信デバイス、演算デバイス、記憶デバイス等）を用いて実現されてよい。セキュリティ情報処理装置１００が汎用のハードウェア装置とソフトウェア・プログラムとを用いて実装される場合、セキュリティ情報処理装置１００に含まれる各構成要素は、例えば、適切なソフトウェアモジュールとして実現されてよい。

以下、セキュリティ情報処理装置１００の各構成要素について説明する。

脅威情報モデル生成部１０１は、セキュリティに関する脅威を表す脅威情報を含む第１脅威情報に基づいて、ある情報を脅威情報に分類可能な脅威情報モデルを生成するよう構成される。

第１脅威情報は、例えば、公的機関、セキュリティベンダ、セキュリティ研究者等によって公開されている、既知の脅威情報であってよい。すなわち、第１脅威情報は、何らかのセキュリティ上の脅威を表す情報が含まれていると判定されている情報（換言すると、セキュリティ上の脅威を表す情報が含まれていることが既知である情報）である。これらの情報は、例えば、インターネットなどを介して適宜入手することが可能である。

本実施形態においては、予め収集された第１脅威情報が、セキュリティ情報処理装置１００（脅威情報モデル生成部１０１）に提供されてもよく、セキュリティ情報処理装置１００が、第１脅威情報を収集してもよい。第１脅威情報は、セキュリティ情報処理装置１００からアクセス可能な外部の記憶装置に記憶されてもよく、セキュリティ情報処理装置１００に記憶されてもよい。

収集される第１脅威情報は、例えば、セキュリティの脅威に関する情報を含む文書（テキスト）データであってよい。なお、第１脅威情報として、音声、画像（静止画、動画含む）などのデータが収集された場合、セキュリティ情報処理装置１００は、適切な方法（例えば、音声認識、画像解析等）を用いて、これらのデータから文書データ（テキストデータ）を生成してもよい。

脅威情報モデル生成部１０１は、例えば、収集した第１脅威情報を用いて、ある情報を脅威情報に分類可能な脅威情報モデルを生成する。具体的には、脅威情報モデルは、例えば、ある情報が、脅威情報か否か（又は、脅威情報に類似する情報であるか否か）を分類可能なモデルであってよい。脅威情報モデルは、例えば、ある情報を入力した際に、その情報が脅威情報であるか否かを表すバイナリ値（例えば”０”と”１”）を算出可能なモデルであってもよく、確率を算出可能なモデルであってもよく、スコアを算出可能なモデルであってもよく、信頼度を算出可能なモデルであってもよい。

脅威情報モデルを実現する具体的なモデル表現は特に限定されない。一例として、脅威情報モデル生成部１０１は、ロジスティクス回帰モデルを用いて、脅威情報モデルを実現してもよい。また、脅威情報モデル生成部１０１は、例えば、パターン認識の分野において一般的に使用可能な分類器（識別器）を用いて、脅威情報モデルを実現してもよい。

脅威情報モデル生成部１０１は、収集した第１脅威情報を、適切な形式の特徴量データに変換し、その特徴量データを用いて、脅威情報モデルを学習してもよい。第１脅威情報が文書データ（テキストデータ）である場合、脅威情報モデル生成部１０１は、適切な方法を用いてその文書データを文書ベクトルに変換し、その文書ベクトルを特徴量データとして用いてよい。

脅威情報モデル生成部１０１は、例えば、生成した脅威情報モデルを記憶してもよく、検出部１０３に適宜提供してもよい。

収集部１０２は、特定の情報源から、脅威情報の候補である脅威情報候補を収集するよう構成される。具体的には、収集部１０２は、例えば、特定の情報源として、脅威情報が流通している各種サイト、ソーシャルネットワーク、各種データベース等を用いてもよい。情報源を特定する設定情報は、例えば、セキュリティ情報処理装置１００に予め設定されていてもよく、セキュリティ情報処理装置１００のユーザなどが適宜設定してもよい。各情報源から収集される脅威情報候補は、ある製品のセキュリティに影響するか否かが不明（未確認）な脅威情報である。なお、脅威情報候補には、例えば、既知の脆弱性に関する情報が含まれてもよく、未知の脆弱性に関する情報が含まれてもよい。

収集部１０２は、例えば、ある製品（例えば、制御システム）を構成する構成要素に関連する情報を、脅威情報候補として収集するよう構成されてもよい。この場合、ある製品（例えば制御システム）を構成する構成要素（例えば、ソフトウェア部品、ハードウェア部品）の情報は、例えば、データベースなどの形式で予めセキュリティ情報処理装置１００に与えられてよい。各情報源において検索処理（例えば、キーワード検索等）を実行可能な場合、収集部１０２は、例えば、製品を構成する構成要素をキーワードとして検索し、その検索結果を脅威情報候補として収集してもよい。なお、収集部１０２は、例えば、各情報源が発信している情報をそのまま取得してもよい。この場合、収集部１０２は、例えば、情報源から取得した情報のうち、製品を構成する構成要素に関連する情報（例えば、製品を構成する構成要素の名称などを含む情報）を、脅威情報候補として選択してもよい。

検出部１０３は、ある製品を構成する構成要素に関する情報と、脅威情報モデルとを用いて、収集部１０２が収集した脅威情報候補から、製品に影響し得る脅威情報を含む第２脅威情報を選択するよう構成される。

検出部１０３は、例えば、脅威情報モデル生成部１０１により生成された脅威情報モデルを用いて、収集部１０２により収集された脅威情報候補が、セキュリティ上の脅威に関連する脅威情報であるか否かを分類（判定）する。具体的には、検出部１０３は、例えば、脅威情報候補が文書データである場合、その文書データから特徴量データ（文書ベクトル）を作成する。検出部１０３は、例えば、脅威情報モデル生成部１０１が第１脅威情報から特徴量データを作成する方法と同じ方法を用いて、特徴量データを作成してよい。検出部１０３は、例えば、脅威情報候補から作成された特徴量データを脅威情報モデルに入力することで得られる出力から、ある脅威情報候補が、製品に影響し得る脅威情報（第２脅威情報）であるか否かを判定してもよい。

具体例として、脅威情報モデルが確率値を出力するモデルである場合を想定する。検出部１０３は、例えば、ある特徴量データを入力した際に得られる確率値が、ある特定の閾値以上であれば、その特徴量データを作成する元となった脅威情報候補が、製品に影響し得る脅威情報（第２脅威情報）であると判定してもよい。これにより、検出部１０３は、収集部１０２により収集された脅威情報候補のうち、ある製品（より具体的には、その製品の構成要素）に影響し得る脅威情報を検出することができる。

〔動作〕
以下、上記のように構成されたセキュリティ情報処理装置１００の動作について図２、図３を参照して説明する。

図２は、セキュリティ情報処理装置１００において実行される各種処理を概念的に示す説明図である。なお、図２は説明のための具体例を示しており、本実施形態は図２に示す具体例に限定されない。

セキュリティ情報処理装置１００（脅威情報モデル生成部１０１）は、第１脅威情報（図２の２０１）を用いて、脅威情報モデル（図２の２０２）を生成する。上記したように、第１脅威情報は、予め収集された既知の脅威情報であってもよい。

セキュリティ情報処理装置１００（収集部１０２）は、各種情報源（図２の２０３）から、脅威情報候補（図２の２０４）を収集する。この際、セキュリティ情報処理装置１００は、ある製品を構成する構成要素に関する情報を、脅威情報候補として収集してもよい。ある製品を構成する構成要素に関する情報は、例えば、データベース（図２の２０５）として提供されてもよい。

セキュリティ情報処理装置１００（検出部１０３）は、作成された脅威情報モデル２０２を用いて、各脅威情報候補２０４のうち、製品（具体的には製品の構成要素）に対するセキュリティの脅威を含む脅威情報候補２０４を、第２脅威情報（図２の２０６）として選択する。これにより、検出部１０３は、製品（具体的には製品の構成要素）に対するセキュリティの脅威を含む脅威情報を検出することができる。

以下、図３に例示するフローチャートを参照して、本実施形態におけるセキュリティ情報処理装置１００の動作について説明する。

セキュリティ情報処理装置１００（脅威情報モデル生成部１０１）は、セキュリティに関する脅威を表す脅威情報を含む第１脅威情報を取得する（ステップＳ３０１）。上記したように、第１脅威情報は、予め収集され、セキュリティ情報処理装置１００に提供されてもよい。

セキュリティ情報処理装置１００（脅威情報モデル生成部１０１）は、取得した第１脅威情報を用いて、脅威情報を分類可能な脅威情報モデルを生成する（ステップＳ３０２）。具体的には、セキュリティ情報処理装置１００は、第１脅威情報から特徴量データを作成し、その特徴量データを用いて、ある情報が脅威情報であるか否かを分類（判定）可能な脅威情報モデルを学習してもよい。

セキュリティ情報処理装置１００（収集部１０２）は、セキュリティに関連する情報を提供する情報源から、脅威情報の候補である脅威情報候補を収集する（ステップＳ３０３）。情報源は、例えば、脆弱性情報を流通するサイトや、ソーシャルネットワークであってよい。

セキュリティ情報処理装置１００（検出部１０３）は、ある製品を構成する構成要素に関する情報と、作成した脅威情報モデルとを用いて、脅威情報候補から、製品に影響し得る脅威情報を含む第２脅威情報を選択する（ステップＳ３０４）。

具体的には、セキュリティ情報処理装置１００は、例えば、収集された各脅威情報候補から特徴量データを作成し、その特徴量データを脅威情報モデルに入力することで得られる出力に基づいて、その特徴量データの元となった脅威情報候補が、製品に影響し得る脅威情報（第２脅威情報）であるか否かを分類してもよい。

上記のように構成された本実施形態におけるセキュリティ情報処理装置１００によれば、あるシステムに影響し得るセキュリティの脅威を効率的に調査することが可能となる。その理由は、既知の脅威情報を用いて作成した脅威情報モデルを用いて、情報源から収集した脅威情報の候補のうち、ある製品に影響し得る脅威情報を選択することができるからである。すなわち、比較的入手が容易な既知の脅威情報を用いて作成した脅威情報モデルを用いることで、未確認の脅威情報の候補から、有用な情報を選択することができるからである。情報源の数や、各情報源が提供する情報の量に応じて、収集部１０２は、比較的多くの脅威情報の候補を収集することがあり、そのなかには有用な情報と、有用ではない情報とが混在している。例えば、このような情報のなかから、ある製品に関する有用な情報（セキュリティの脅威に関する情報）を人手により検出することは容易ではない。これに対して、本実施形態におけるセキュリティ情報処理装置１００においては、例えば、収集された脅威情報の候補を、脅威情報モデルを用いて分類する（脅威情報であるか否かを判定する）ことで、脅威情報の候補のなかから、有用な情報（第２の脅威情報）を効率的に検出することが可能である。

＜第２実施形態＞
以下、本開示に係る技術の第２実施形態について説明する。第2実施形態におけるセキュリティ情報処理装置４０００（後述）は、例えば、第１実施形態におけるセキュリティ情報処理装置１００の機能を拡張した装置として実現されてよい。

〔構成〕
本実施形態におけるセキュリティ情報処理装置４０００は、製品のライフサイクルを管理する製品管理システム（例えば、ＰＬＭ（Ｐｒｏｄｕｃｔｓ Ｌｉｆｅｃｙｃｌｅ Ｍａｎａｇｅｍｅｎｔ）システム）と連携可能であり、製品管理システムにおいて管理されている製品（例えば、制御システム）に影響し得るセキュリティの脅威を表す情報を検出するよう構成される。

図４は、本実施形態におけるセキュリティ情報処理装置４０００の機能的な構成及びセキュリティ情報処理装置４０００が配置（デプロイ）される環境を例示するブロック図である。

図４に例示するように、セキュリティ情報処理装置４０００は、情報源４１００（後述）及び、製品管理システム４２００（後述）と、適切な通信方法を用いて通信可能に接続される。セキュリティ情報処理装置４０００は、また、既知脅威情報設定装置４３００（後述）、収集サイト設定装置４４００（後述）と、適切な通信方法を用いて通信可能に接続されてもよい。

情報源４１００は、上記第１実施形態と同様、セキュリティに関する各種情報（脅威情報を含む）が流通している各種サイト、ソーシャルネットワーク、各種データベース等であってよい。セキュリティ情報処理装置４０００は、例えば、インターネットなどの通信ネットワークを介して、情報源４１００から、脅威情報（より具体的には、脅威情報の候補）を取得してよい。

製品管理システム４２００は、例えば、製品のライフサイクルを管理可能な情報システムであり、例えば、各種サーバやデータベースなどを用いて実現されてよい。本実施形態においては、具体例として、製品管理システム４２００が、製造業において取り扱う製品（例えば、制御システム）のライフサイクルを一元管理するシステムである、ＰＬＭシステムにより実現されることを想定する。

製品管理システム４２００が、ある製品に関して管理する情報は特に限定されない。製品管理システム４２００は、例えば、ある製品に関する様々なデータを、データベースなどの適切な形式で管理してよい。製品管理システム４２００は、例えば、ある製品を構成する構成要素（構成部品）に関するデータ（部品表）を、データベースに保持してもよい。製品管理システム４２００は、例えば、ある製品に関する設計データ（例えば、ＣＡＤ（ｃｏｍｐｕｔｅｒ－ａｉｄｅｄ ｄｅｓｉｇｎ）データ、回路設計データ、プログラム設計データ等）を、データベースに保持してもよい。製品管理システム４２００は、例えば、ある製品の納品先や、販売情報（売上数量、売り上げ金額等）を、データベースに保持してもよい。

製品管理システム４２００は、要求に応じて、管理しているデータを適宜提供するよう構成される。製品管理システム４２００は、この際、各データを管理しているデータベースへのアクセスを提供してもよい。

既知脅威情報設定装置４３００は、後述する脅威情報モデル生成部４００１に対して、既知の脅威情報を第１脅威情報として提供する装置である。

既知脅威情報設定装置４３００は、例えば、ローカルのファイルシステム上のファイル、通信ネットワーク上の各種ホストが提供するファイルなどから、既知の脅威情報を取得してもよい。既知脅威情報設定装置４３００は、既知脅威情報設定装置４３００に接続された入出力装置（例えば、キーボード、マウス、ディスプレイ）などを介して、既知の脅威情報の入力を受け付けてもよい。この場合、既知脅威情報設定装置４３００は、例えば、情報源のＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）、タイトル、及び、本文を受け付ける画面を入力画面として提示し、入力画面に入力された内容を受け付けてもよい。また、既知脅威情報設定装置４３００は、例えば、公的機関、セキュリティベンダ、セキュリティ研究者等によって公開されている既知の脅威情報を、インターネットなどの通信回線を介して取得してもよい。既知脅威情報設定装置４３００は、既知の脅威情報を取得する処理を、ある特定のタイミングで実行してもよく、定期的に実行してもよい。

既知脅威情報設定装置４３００が提供する第１脅威情報は、セキュリティの脅威に関する情報を含む文書（テキスト）データであってよい。なお、既知の脅威情報として、音声、画像（静止画、動画含む）などのデータが収集された場合、既知脅威情報設定装置４３００は、適切な方法（例えば、音声認識、画像解析等）を用いて、これらのデータから文書データ（テキストデータ）を生成し、第１脅威情報として脅威情報モデル生成部４００１に提供してよい。

既知脅威情報設定装置４３００は、例えば、取得した既知の脅威情報を、第１脅威情報として脅威情報モデル生成部４００１に提供する。既知脅威情報設定装置４３００が脅威情報モデル生成部４００１に提供する第１脅威情報には、例えば、その情報を取得した情報源のＵＲＬと、コンテンツ（例えば、タイトル及び本文）とが含まれてもよい。

収集サイト設定装置４４００は、後述する収集部４００２に対して、脅威情報候補を収集する情報源４１００を特定可能な情報を設定する装置である。収集サイト設定装置４４００は、例えば、ローカルのファイルシステム上のファイル、通信ネットワーク上の各種ホストが提供するファイル、又は、収集サイト設定装置４４００に接続された入力装置を介した入力等から、情報源４１００を特定可能な情報を取得してもよい。収集サイト設定装置４４００は、情報源４１００を特定可能な情報として、例えば、情報源４１００のＵＲＬと、情報源４１００において情報を取得する際の探索の深さを表すデータとを、収集部４００２に提供してよい。

以下、セキュリティ情報処理装置４０００の具体的な構成について説明する。セキュリティ情報処理装置４０００は、脅威情報モデル生成部４００１と、収集部４００２と、検出部４００３とを含む。セキュリティ情報処理装置４０００は、また、未知脅威情報出力部４００４を含んでもよい。セキュリティ情報処理装置４０００を構成するこれらの構成要素の間は、適切な通信方法を用いて通信可能に接続されていてよい。以下、セキュリティ情報処理装置４０００を構成するこれらの構成要素について説明する。

〔脅威情報モデル生成部〕
脅威情報モデル生成部４００１（脅威情報モデル生成手段）は、第１実施形態における脅威情報モデル生成部１０１と同様、セキュリティに関する脅威を表す脅威情報を含む第１脅威情報に基づいて、ある情報を脅威情報に分類可能な脅威情報モデルを生成するよう構成される。脅威情報モデル生成部４００１は、脅威情報モデル生成部１０１の機能を拡張可能な構成を備えてよい。

具体的には、脅威情報モデル生成部４００１は、図４に例示するように、既知脅威情報データベース４００１ａ、モデル学習部４００１ｂ、及び、脅威情報モデルデータベース４００１ｃを有してもよい。

既知脅威情報データベース４００１ａは、既知脅威情報設定装置４３００から提供された、第１脅威情報を記憶する。図５は、既知脅威情報データベース４００１ａの具体例を示す説明図である。図５に例示するように、既知脅威情報データベース４００１ａは、第１脅威情報がレコードとして記録された脅威情報テーブル５００を格納する。脅威情報テーブル５００には、第１脅威情報として、例えば、ある脅威情報を提供した情報源を特定可能なＵＲＬ（図５の５０１）と、脅威情報を含むコンテンツ（図５の５０２）と、が登録される。コンテンツ５０２は、例えば、ＵＲＬ５０１により特定されるリソースのタイトルと本文の文書データであってもよい。この際、文書データは、テキストデータとして格納されてもよい。なお、第１脅威情報に含まれる情報は特に制限されず、セキュリティの脅威に関連する情報を表す文書データが含まれればよい。すなわち、第１脅威情報には、ＵＲＬ及びコンテンツ以外の情報が含まれてもよい。また、第１脅威情報には、ＵＲＬが含まれなくてもよい。なお、図５に例示する具体例に限定されず、既知脅威情報データベース４００１ａは、テーブル以外の適切なデータ構造により、第１脅威情報を記憶してよい。

なお、既知脅威情報データベース４００１ａは、後述する検出部４００３（具体的には、影響範囲計測部４００３ｂ）に対して、脅威情報テーブル５００に登録されたデータ（例えば、コンテンツ（図５の５０２）に登録されたデータ）を提供してもよい。

モデル学習部４００１ｂは、既知脅威情報データベース４００１ａに格納された第１脅威情報を用いて、脅威情報を分類可能な脅威情報モデルを生成する。具体的には、脅威情報モデルは、例えば、ある情報が、脅威情報か否か（又は、脅威情報に類似する情報であるか否か）を分類可能なモデルであってよい。

一具体例として、本実施形態におけるモデル学習部４００１ｂは、既知脅威情報データベース４００１ａに格納された第１脅威情報に含まれるコンテンツ（タイトルと本文の文書データ）から文書ベクトルを作成し、その文書ベクトルを特徴量として用いて脅威情報モデルを学習する。以下、第１脅威情報に含まれるコンテンツを、単に「文書データ」と記載することがある。

モデル学習部４００１ｂが文書データから文書ベクトルを作成する方法は特に限定されず、文書データを数値として表現可能な種々の方法を採用可能である。

一例として、モデル学習部４００１ｂは、例えば、文書データに含まれる単語に着目して、文書データをベクトル化する方法として、ＢｏＷ（Ｂａｇ ｏｆ Ｗｏｒｄｓ）を用いてもよい。ＢｏＷは、１以上の文書データの集合に出現する単語を全て数え上げ、各単語の出現頻度をベクトルの要素として並べたベクトル表現である。ＢｏＷの次元数は、元の文書データに含まれる単語の数に応じて増大する。このため、本実施形態におけるモデル学習部４００１ｂは、トピックモデリングに使用される技術を用いて、より低次元の文書ベクトルを作成してもよい。

トピックモデリングは、文書データに含まれる単語（ワード）の出現頻度等から、単語の重みベクトルを生成し、文書が含まれるカテゴリを分類することや、文書に関連するトピックを抽出することが可能な技術である。トピックモデリングを用いることで、例えば、ある文書データが脅威情報のカテゴリに分類されるか否かを判定することも可能である。

トピックモデリングの実現手段としては、種々の方法を採用可能である。具体的には、モデル学習部４００１ｂは、例えば、潜在意味解析（ＬＳＡ（Ｌａｔｅｎｔ Ｓｅｍａｎｔｉｃ Ａｎａｌｙｓｉｓ）、ＬＳＩ（Ｌａｔｅｎｔ Ｓｅｍａｎｔｉｃ Ｉｎｄｅｘｉｎｇ））、潜在ディリクレ配分法（ＬＤＡ（Ｌａｔｅｎｔ Ｄｉｒｉｃｈｌｅｔ Ａｌｌｏｃａｔｉｏｎ））、ｄｏｃ２ｖｅｃ等において用いられる文書のベクトル化手法を用いて、第１脅威情報の文書データを、文書ベクトルに変換してよい。

例えば、潜在意味解析（ＬＳＡ）を用いる場合、モデル学習部４００１ｂは、以下のような処理を実行することで、第１脅威情報の文書データから、文書ベクトルを作成することができる。すなわち、モデル学習部４００１ｂは、既知脅威情報データベース４００１ａに含まれる１以上の第１脅威情報の文書データを、例えばＢｏＷ（Ｂａｇ ｏｆ Ｗｏｒｄｓ）の行列表現（文書行列）に変換する。ＢｏＷは、ある文書データに出現する単語を全て数え上げ、各単語の出現頻度をベクトルの要素として並べたベクトル表現である。この場合、例えば、モデル学習部４００１ｂは、文書行列の各列が１つの文書データ（第１脅威情報の文書データ）に対応し、各行が、文書に含まれる単語の種類に対応するように、文書行列を作成してもよい。モデル学習部４００１ｂは、係る文書行列を特異値分解（ＳＶＤ：ｓｉｎｇｕｌａｒ ｖａｌｕｅ ｄｅｃｏｍｐｏｓｉｔｉｏｎ）して、大きい順に特定個（例えばｋ個）の特異値のみを用いて、近似行列を構築する。モデル学習部４００１ｂは、このようにして作成した近似行列の列ベクトルを、文書データの特徴を表す文書ベクトルとして採用してよい。なお、モデル学習部４００１ｂは、文書行列の各行が文書データに対応し、各列が単語の種類に対応するように、文書行列を作成してもよい。この場合、近似行列の行ベクトルを、文書データを表す文書ベクトルとして採用してよい。

また、モデル学習部４００１ｂは、ＬＤＡを用いる場合、例えば以下のような処理を実行することで、第１脅威情報の文書データから、文書ベクトルを作成することができる。すなわち、モデル学習部４００１ｂは、既知脅威情報データベース４００１ａに含まれる１以上の第１脅威情報の文書データをＢｏＷの行列表現（文書行列）に変換する。この際、モデル学習部４００１ｂは、ＴＦ－ＩＤＦ（ＴＦ：Ｔｅｒｍ Ｆｒｅｑｕｅｎｃｙ、ＩＤＦ：Ｉｎｖｅｒｓｅ Ｄｏｃｕｍｅｎｔ Ｆｒｅｑｕｅｎｃｙ）を計算することで、文書行列の各要素を重みづけしてもよい。モデル学習部４００１ｂは、文書行列と、特定のトピック数（例えば”ｋ”個）とに基づいて、ある文書データに対するトピックの選択確率に関する確率分布と、各トピックに対する単語の生成確率に関する確率分布とを推定する。なお、トピックの数（”ｋ”）は、予め与えられてもよく、予備的な実験などを通じて適切な値が選択されてもよい。ＬＤＡを用いる場合、モデル学習部４００１ｂは、ある文書を、各トピックの重みを要素と有する”ｋ”次元の文書ベクトルとしてあらわすことができる。なお、ＬＤＡを用いて文書データを解析する方法については、例えば、下記（参考文献１）に記載された方法が知られている。

（参考文献１）
岩田具治著、「トピックモデル 機械学習プロフェッショナルシリーズ」、第１版、講談社、２０１５年４月、ｐ．５５－７７．
また、モデル学習部４００１ｂは、ｗｏｒｄ２ｖｅｃを用いる場合、例えば以下の、参考文献２、参考文献３に開示された処理を実行することで、第１脅威情報の文書データから、文書ベクトルを作成することができる。

（参考文献２）
Ｔｏｍａｓ Ｍｉｋｏｌｏｖ， Ｋａｉ Ｃｈｅｎ， Ｇｒｅｇ Ｃｏｒｒａｄｏ， ａｎｄ Ｊｅｆｆｒｅｙ Ｄｅａｎ． Ｅｆｆｉｃｉｅｎｔ Ｅｓｔｉｍａｔｉｏｎ ｏｆ Ｗｏｒｄ Ｒｅｐｒｅｓｅｎｔａｔｉｏｎｓ ｉｎ Ｖｅｃｔｏｒ Ｓｐａｃｅ． Ｉｎ Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ Ｗｏｒｋｓｈｏｐ ａｔ ＩＣＬＲ， ２０１３．

（参考文献３）
Ｔｏｍａｓ Ｍｉｋｏｌｏｖ， Ｉｌｙａ Ｓｕｔｓｋｅｖｅｒ， Ｋａｉ Ｃｈｅｎ， Ｇｒｅｇ Ｃｏｒｒａｄｏ， ａｎｄ Ｊｅｆｆｒｅｙ Ｄｅａｎ． Ｄｉｓｔｒｉｂｕｔｅｄ Ｒｅｐｒｅｓｅｎｔａｔｉｏｎｓ ｏｆ Ｗｏｒｄｓ ａｎｄ Ｐｈｒａｓｅｓ ａｎｄ ｔｈｅｉｒ Ｃｏｍｐｏｓｉｔｉｏｎａｌｉｔｙ． Ｉｎ Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ Ａｄｖａｎｃｅｓ ｉｎ Ｎｅｕｒａｌ Ｉｎｆｏｒｍａｔｉｏｎ Ｐｒｏｃｅｓｓｉｎｇ Ｓｙｓｔｅｍｓ ２６ （ＮＩＰＳ ２０１３）， ２０１３．
モデル学習部４００１ｂは、文書データから作成された特徴量（文書ベクトル）を用いて、脅威情報モデルを学習する。本実施形態において脅威情報モデルは特定のモデルに限定されず、モデル学習部４００１ｂは適切なモデルを選択してよい。

一例として、モデル学習部４００１ｂは、ロジスティック回帰モデルを用いてもよい。上記したように、第１脅威情報は、何らかのセキュリティ上の脅威を表す情報が含まれていると判定されている情報（即ち、セキュリティ上の脅威を表す情報が含まれていることが既知である情報）である。このため、モデル学習部４００１ｂは、第１脅威情報の文書データから作成された文書ベクトルを学習データとして用いることで、ある入力データ（文書データ）が、脅威情報である確率を推定可能な、ロジスティック回帰モデルを作成（学習）することができる。

ロジスティック回帰モデルは、例えば、ロジスティック関数を用いて、ある入力（例えば、文書ベクトル）が与えられた際の、出力の確率（その文書ベクトルに相当する文書データが脅威情報である確率）を算出可能なモデルである。モデル学習部４００１ｂは、例えば、学習データを用いた最尤推定法により、ロジスティック回帰モデル（具体的には、モデルのパラメータ）を学習することができる。ロジスティック回帰モデルの学習は、例えば、公知技術を用いて実現可能である。なお、モデル学習部４００１ｂは、ロジスティック回帰モデル以外の適切なモデル表現を用いて、脅威情報モデルを作成してもよい。

モデル学習部４００１ｂは、作成した脅威情報モデルを、脅威情報モデルデータベース４００１ｃに提供してよい。

脅威情報モデルデータベース４００１ｃは、モデル学習部４００１ｂにより作成された脅威情報モデルを記憶する。脅威情報モデルデータベース４００１ｃは、複数の脅威情報モデルを記憶してもよい。脅威情報モデルデータベース４００１ｃは、例えば、テーブル形式のデータ構造を用いて脅威情報モデルを記憶してもよく、テーブル形式以外の適切なデータ構造を用いて脅威情報モデルを記憶してもよい。

〔収集部〕
以下、収集部４００２の具体的な構成について説明する。第１実施形態における収集部１０２と同様、収集部４００２（収集手段）は、特定の情報源から、脅威情報の候補である脅威情報候補を収集するよう構成される。収集部４００２は、収集部１０２の機能を拡張可能な構成を備えてよい。図４に例示するように収集部４００２は、収集サイト設定データベース４００２ａ、脅威情報収集部４００２ｂ、及び、脅威情報候補データベース４００２ｃを有してもよい。

収集サイト設定データベース４００２ａは、図６に例示するように、セキュリティに関連する各種情報（脅威情報を含む）を発信する情報源４１００を特定可能なデータを記憶する。図６は、収集サイト設定データベース４００２ａの具体例を示す説明図である。図６に例示するように、収集サイト設定データベース４００２ａは、情報源４１００を特定可能な情報（図６の６０１）と、その情報源において脅威情報収集部４００２ｂ（後述）が実行する探索処理の深さを表す情報（図６の６０２）とがレコードとして記録された収集サイトテーブル６００を格納する。図６に示す具体例の場合、情報源４１００を特定可能な情報として、ＵＲＬが用いられているが、本実施形態はこれには限定されず、情報源４１００を特定可能な他の情報（例えば、ユニークなアドレス等）が用いられてもよい。収集サイト設定データベース４００２ａは、脅威情報収集部４００２ｂに対して、収集サイトテーブル６００に登録された情報を適宜提供可能である。

収集サイトテーブル６００に記録された情報源４１００のＵＲＬには、情報源４１００において検索（例えばキーワード検索）を実行する際に用いられるクエリ部分が含まれていてもよい。例えば、図６に示す具体例の場合、ＵＲＬに含まれる文字列”％ＱＵＥＲＹ”が、クエリ部分に該当する。ＵＲＬに含まれるクエリ部分は、後述する脅威情報収集部４００２ｂが情報源４１００において検索処理（キーワード検索等）を実行する際に、検索される文言（キーワード等）に置き換えられる。この場合、脅威情報収集部４００２ｂは、クエリ部分が置き換えられたＵＲＬを、情報源４１００に送信する。

図６に例示する具体例に限定されず、収集サイトテーブル６００には、ＵＲＬとは別にクエリ部を表すデータが登録されてもよい。その場合、例えば、後述する脅威情報収集部４００２ｂが情報源４１００において検索処理（キーワード検索等）を実行する際に、クエリ部分が置き換えられたデータ（例えば、ＨＴＴＰ（Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）通信におけるボディ部分）を、情報源４１００に送信してもよい。

収集サイトテーブル６００に記録された探索の深さ（図６の６０２）は、ＵＲＬ（図の６０１）により特定される情報源４１００において、脅威情報収集部４００２ｂが反復して（あるいは再帰的に）実行する検索処理の回数を表す。

脅威情報収集部４００２ｂは、収集サイト設定データベース４００２ａに格納された収集サイトテーブル６００に記録されたＵＲＬから、ある製品に関する脅威情報の候補である脅威情報候補を収集する。具体的には、脅威情報収集部４００２ｂは、後述する構成情報データベース４００３ａに格納された、構成テーブル（後述）を参照する。構成テーブルには、ある製品を構成する構成要素（例えば、ソフトウェア部品、ハードウェア部品等）を表すデータなどが記録される。

脅威情報収集部４００２ｂは、構成テーブルに記録された１以上のレコードを選択する。なお、この際、脅威情報収集部４００２ｂは、構成テーブルに記録された全てのレコードを選択してもよく、セキュリティ情報処理装置４０００のユーザ等により指定された特定の範囲のレコードを取得してもよい。脅威情報収集部４００２ｂは、取得したレコードの重複を取り除くことで、ある製品を構成する構成要素である構成部品を表すデータ（構成部品データ）を取得する。構成部品データは、例えば、構成要素を特定可能な情報（例えば、名称、型番等）を表してもよい。

脅威情報収集部４００２ｂは、収集サイトテーブル６００に記録されたＵＲＬ（図６の６０１）のクエリ部分を、構成部品データに置き換えた、検索用ＵＲＬを作成する。複数の（例えば”Ｎ”個（”Ｎ”は１以上の自然数））構成部品データが得られた場合、脅威情報収集部４００２ｂは、各構成部品データに対応する検索用ＵＲＬ（”Ｎ”個）を作成してもよい。収集サイトテーブル６００に記録されたＵＲＬにクエリ部が含まれない場合、脅威情報収集部４００２ｂは、そのＵＲＬをそのまま用いてもよい。

脅威情報収集部４００２ｂは、作成したＵＲＬにより特定されるコンテンツを、情報源４１００から取得する。脅威情報収集部４００２ｂは、また、取得したコンテンツを解析し、そのコンテンツに含まれるリンクを抽出する。脅威情報収集部４００２ｂは、収集サイトテーブル６００に記録された探索の深さ（図の６０２）に応じて、抽出したリンクからコンテンツを取得する処理を繰り返す。リンクは、他のコンテンツの所在を特定可能な情報である。リンクは、ＵＲＬを用いて表されてもよく、ＵＲＬ以外の適切な方法を用いて表されてもよい。以下、具体例を用いて説明する。以下の具体例においては、リンクとしてＵＲＬが用いられることを想定する。

一例として、収集サイトテーブル６００において、あるＵＲＬ（６０１）に対する探索の深さ（６０２）に「１」が設定されている場合を想定する。この場合、脅威情報収集部４００２ｂは、収集サイトテーブル６００に設定されたＵＲＬ（６０１）（以下、「第1レベルのＵＲＬ」と記載することがある）から、コンテンツを取得する。

他の一例として、収集サイトテーブル６００において、あるＵＲＬ（６０１）に対する探索の深さ（６０２）に「２」が設定されている場合を想定する。この場合、脅威情報収集部４００２ｂは、収集サイトテーブル６００に設定された第１レベルのＵＲＬから、コンテンツを取得する。脅威情報収集部４００２ｂは、更に、第１レベルのＵＲＬから取得したコンテンツを解析することで、そのコンテンツに含まれるＵＲＬ（以下「第２レベルのＵＲＬ」）を抽出する。第２レベルのＵＲＬが抽出された場合、脅威情報収集部４００２ｂは、第２レベルのＵＲＬから、更にコンテンツを取得する。

このようにして、脅威情報収集部４００２ｂは、例えば、探索の深さ（図６の６０２）に”（Ｎ＋１）”（Ｎは１以上の自然数）が設定されている場合、第”Ｎ”レベル（Ｎは１以上の自然数）のＵＲＬからコンテンツを取得し、そのコンテンツに含まれるＵＲＬ（第”Ｎ＋１”レベルのＵＲＬ）を抽出する（図７参照）。第”Ｎ＋１”レベルのＵＲＬが抽出された場合、脅威情報収集部４００２ｂは、それらのＵＲＬにより特定される情報源４１００から、コンテンツを更に取得する、という処理を繰り返してよい。なお、第”Ｎ＋１”レベルのＵＲＬが複数抽出された場合、脅威情報収集部４００２ｂは、例えば、設定等に応じて、抽出された第”Ｎ＋１”レベルのＵＲＬの一部からコンテンツを取得してもよく、全部からコンテンツを取得してもよい。そのような設定は、例えば、収集サイトテーブル６００のレコードとして登録されてもよい。

脅威情報収集部４００２ｂは、上記のように取得したコンテンツを、ある製品に関連する脅威情報候補として、後述する脅威情報候補データベース４００２ｃに格納してもよい。具体的には、脅威情報収集部４００２ｂは、取得したコンテンツのＵＲＬと、コンテンツ本文との組を、脅威情報候補として、脅威情報候補データベース４００２ｃに格納してもよい。なお、取得されたコンテンツが文書データ（テキストデータ）である場合、脅威情報収集部４００２ｂは、その文書データをそのまま脅威情報候補データベース４００２ｃに格納してもよい。取得されたコンテンツが音声データ、画像データ（動画、静止画含む）などのデータである場合、脅威情報収集部４００２ｂは、適切な方法（例えば、音声認識、画像認識等）を用いて、コンテンツを文書データに変換して、脅威情報候補データベース４００２ｃに格納してもよい。

脅威情報候補データベース４００２ｃは、脅威情報収集部４００２ｂにより収集された脅威情報候補を記憶する。脅威情報候補データベース４００２ｃは、例えば、図８に例示するように、脅威情報収集部４００２ｂにより収集されたコンテンツ（脅威情報候補、図８の８０２）と、そのコンテンツが収集されたＵＲＬ（図８の８０１）とをレコードとして含む、候補テーブル８００を格納してもよい。

脅威情報候補データベース４００２ｃ（候補テーブル８００）には、上記したように、脅威情報収集部４００２ｂにより収集された、ある製品に関する脅威情報の候補が登録される。候補テーブル８００に登録される脅威情報候補（図８の８０２）は、ある製品に関する脅威情報であるか否かが確認されていない情報（ある製品に関するセキュリティの脅威を表す情報が含まれるか否かが未知である情報）である。以下、脅威情報候補データベース４００２ｃに格納される脅威情報の候補を、「未知脅威情報」と記載することがある。

〔検出部〕
以下、検出部４００３の具体的な構成について説明する。検出部４００３（検出手段）は、脅威情報モデル生成部４００１において作成された脅威情報モデルを用いて、収集部４００２により収集された脅威情報候補のうち、ある製品に対するセキュリティの脅威を含む脅威情報（第２脅威情報）を選択する。検出部４００３は、第１実施形態における検出部１０３の機能を拡張可能な構成を備えてもよい。図４に例示するように、検出部４００３は、構成情報データベース４００３ａと、影響範囲計測部４００３ｂと、未知脅威情報抽出部４００３ｃと、を有してよい。

構成情報データベース４００３ａは、製品管理システム４２００において管理される製品及びその構成要素に関する情報を記憶する。以下、本開示においては、構成情報データベース４００３ａを、構成情報記憶部（構成情報記憶手段）と記載することがある。構成情報データベース４００３ａは、例えば、図９に例示するように、構成テーブル９００を格納してもよい。構成テーブル９００には、ある製品を特定可能な製品名（図９の９０１）と、その製品を構成する構成要素を表す構成部品群（図９の９０２）とが、レコードとして登録されてよい。構成情報データベース４００３ａは、上記したように、脅威情報収集部４００２ｂに対して、構成テーブル９００に登録された情報を提供してもよい。

製品名（９０１）には、ある製品を特定可能な情報（例えば、製品の名称）が登録される。なお、製品名（図９の９０１）は、ある製品の名称に限定されず、その製品を特定可能な他の情報（例えば、型番、製品コード等）が登録されてもよい。

構成部品群（図９の９０２）には、製品名（図９の９０１）により特定される製品を構成する構成要素（より具体的には、その製品を実現するために用いられる構成部品）を特定可能な情報が登録される。具体例として、構成部品群には、ある製品を構成するハードウェア部品、ソフトウェア部品、サブシステム等を特定可能な情報が登録されてもよい。図９に例示する具体例の場合、例えば、製品名「画像処理カメラ１００１」を構成する部品（ソフトウェア部品）として、「Ｌｉｎｕｘ Ｋｅｒｎｅｌ ３．４」（なお、Ｌｉｎｕｘは登録商標である。以下同様）、「ＯｐｅｎＣＶ １．１」、「ｇｌｉｂｃ ２．２」などが登録されている。構成部品群（図９の９０２）に登録されるデータは、ある構成要素（部品）の名称を表すデータであってもよく、その要素を特定可能な他のデータ（例えば、型番、製品コード等）であってもよい。

なお、本実施形態においては、例えば、上記した製品管理システム４２００において管理される製品の情報が更新される際に、製品管理システム４２００において管理される情報と整合するように、構成情報データベース４００３ａが更新されてもよい。また、構成情報データベース４００３ａは、例えば、製品管理システム４２００に配置されてもよい。

影響範囲計測部４００３ｂは、ある構成要素を有する製品の範囲を特定する。より具体的には、影響範囲計測部４００３ｂは、ある特定の用語（例えば、ある特定の固有名詞）により特定可能な構成要素を有する製品の範囲を特定する。以下、影響範囲計測部４００３ｂの具体的な処理について説明する。

影響範囲計測部４００３ｂは、例えば、上記した既知脅威情報データベース４００１ａ（脅威情報テーブル５００）に登録されたコンテンツ（図５の５０２）を解析し、特徴的な用語を表す固有名詞を抽出してもよい。固有名詞を抽出する方法は、特に限定されず、適切な方法（例えば、形態素解析及び辞書を用いた固有表現抽出等）を適宜採用してよい。これにより、影響範囲計測部４００３ｂは、例えば、ある製品について特徴的な部品（例えば、製品を構成する特徴的な構成要素（構成部品）等）を表す特徴的な用語（以下、「特徴的用語」と記載することがある）抽出することができる。一例として、影響範囲計測部４００３ｂは、例えば、”Ｌｉｎｕｘ Ｋｅｒｎｅｌ”、”Ａｎｄｒｏｉｄ”、”ＣＡＮ”（ＣＡＮ：Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）、”ＦｌｅｘＲａｙ”などを、特徴的用語として抽出することができる。（なお、Ａｎｄｒｏｉｄは登録商標である。以下同様。）

影響範囲計測部４００３ｂは、上記に限定されず、例えば、構成情報データベース４００３ａ（構成テーブル９００）の構成部品群（図９の９０２）に登録されたいずれかのデータから、特徴的用語を抽出してもよい。

影響範囲計測部４００３ｂは、抽出した構成情報データベース４００３ａ（構成テーブル９００）から、特徴的用語を含む構成部品群（図９の９０２）及びそれに対応する製品名（図９の９０１）を特定する。これにより、影響範囲計測部４００３ｂは、例えば、ある特徴的用語が表す構成要素（部品）にセキュリティの脅威が見つかった場合に、影響を受ける製品の範囲を特定することができる。以下、影響範囲計測部４００３ｂにより特定された構成部品群を、「特定構成部品」と記載することがある。具体例として、影響範囲計測部４００３ｂが、特徴的用語として、”Ｌｉｎｕｘ Ｋｅｒｎｅｌ”を抽出したことを想定する。構成情報データベース４００３ａに、図９に例示する構成テーブル９００が格納されている場合、影響範囲計測部４００３ｂは、構成テーブル９００から、”Ｌｉｎｕｘ Kernel”を含む構成部品群（例えば、図９における”Ｌｉｎｕｘ Ｋｅｒｎｅｌ ３．４”、”Ｌｉｎｕｘ Ｋｅｒｎｅｌ ２．６”、”Ｌｉｎｕｘ Ｋｅｒｎｅｌ ４．２”等）を特定構成部品として抽出する。この際、影響範囲計測部４００３ｂは、特定構成部品を含む製品名（例えば、図９の”画像処理カメラ１００１”、”画像処理カメラ１００２”、”リモートセキュリティＥＣＵ３００１”等）を併せて抽出してもよい。

影響範囲計測部４００３ｂは、抽出した特定構成部品を表す情報（例えば、特定構成部品の名称）を、後述する未知脅威情報抽出部４００３ｃに提供してもよい。

未知脅威情報抽出部４００３ｃは、脅威情報候補データベース４００２ｃに格納された各脅威情報候補から、ある製品に影響するセキュリティの脅威を表す脅威情報を抽出する。以下、未知脅威情報抽出部４００３ｃの具体的な処理について説明する。

未知脅威情報抽出部４００３ｃは、脅威情報候補データベース４００２ｃに格納された各脅威情報候補を取得する。この際、未知脅威情報抽出部４００３ｃは、例えば、
脅威情報モデルデータベース４００１ｃに登録された脅威情報モデルを用いて、候補テーブル８００の各行に登録されたコンテンツ（図８の８０２）を取得してもよい。

未知脅威情報抽出部４００３ｃは、また、脅威情報モデルデータベース４００１ｃから、脅威情報モデル生成部４００１により作成された脅威情報モデルを取得する。

未知脅威情報抽出部４００３ｃは、脅威情報候補データベース４００２ｃから取得した各脅威情報候補のデータ（文書データ）を特徴量（文書ベクトル）に変換し、その特徴量を、脅威情報モデルに入力する。これにより、未知脅威情報抽出部４００３ｃは、ある脅威情報候補が、セキュリティ上の脅威を表す情報に分類されるか否かを判定する。なお、脅威情報候補を表す文書データを特徴量（文書ベクトル）に変換する方法は、特に限定されず、適宜選択可能である。一例として、モデル学習部４００１ｂが第１脅威情報を表す文書データから文書ベクトルを作成する方法と同様の方法を用いて、脅威情報候補を表す文書データから文書ベクトルが作成されてもよい。

一例として、脅威情報モデルがロジスティック回帰モデルである場合、未知脅威情報抽出部４００３ｃは、ある特徴量を脅威情報モデルに入力することで、その特徴量の元となった脅威情報候補が、セキュリティに関する脅威情報であるか否かを判定可能な値（この場合は確率）を算出することができる。未知脅威情報抽出部４００３ｃは、例えば、算出された値と、閾値とを比較することで、ある特徴量の元となった脅威情報候補が、セキュリティに関する脅威情報であるか否かを評価（判定）してもよい。未知脅威情報抽出部４００３ｃは、このように、既知の脅威情報を用いて学習された脅威情報モデルを用いて、既知の脅威情報に類似する脅威情報候補を、新たに脅威情報として抽出することができる。

未知脅威情報抽出部４００３ｃは、上記のように脅威情報モデルを用いて抽出された脅威情報候補のうち、影響範囲計測部４００３ｂにおいて抽出された特定構成部品を表す情報を含む脅威情報候補を、第２脅威情報として選択する。

具体的には、未知脅威情報抽出部４００３ｃは、特定構成部品を表す情報を含む脅威情報候補を選択する際、例えば、特定構成部品を表す文字列を部分的に含む脅威情報候補を選択してもよい。未知脅威情報抽出部４００３ｃは、また、特定構成部品を表す文字列に含まれる当業者にとって特有の表記を適切に解釈して、特定構成部品に関連する文字列表記を含む脅威情報候補を選択してもよい。具体例として、特定構成部品の文字列表記に、ある部品のバージョン番号（例えば、”Ｌｉｎｕｘ Ｋｅｒｎｅｌ ２．６”のうち、”２．６”の部分）が含まれることを想定する。この場合、未知脅威情報抽出部４００３ｃは、例えば、文字列”Ｌｉｎｕｘ Ｋｅｒｎｅｌ ２．６”を含む脅威情報候補だけではなく、例えば、文字列”Ｌｉｎｕｘ Ｋｅｒｎｅｌ ２．ｘ”を含む脅威情報候補を選択してもよい。特定構成部品を表す文字列に含まれる特有の表記を解釈する具体的な処理方法は、特に限定されず、言語処理やパターン認識の分野で使用可能な方法を適宜採用することができる。一つの具体例として、未知脅威情報抽出部４００３ｃは、例えば、正規表現を用いて、特定構成部品を表す文字列に含まれる、当業者にとって特有の表記を解釈してよい。

未知脅威情報抽出部４００３ｃにより選択される第２脅威情報には、ある製品（より具体的には、その製品の構成要素である特定構成部品）に影響するセキュリティの脅威に関する情報が含まれる。これにより、未知脅威情報抽出部４００３ｃは、脅威情報候補データベース４００２ｃに格納された脅威情報候補のうち、ある製品（より具体的には、その製品の構成要素（構成部品））に影響するセキュリティの脅威に関する情報を含む脅威情報候補を、第２脅威情報として選択することができる。

未知脅威情報抽出部４００３ｃは、選択した第２脅威情報を、未知脅威情報出力部４００４（後述）に提供してもよい。この際、未知脅威情報抽出部４００３ｃは、特定構成部品を表す情報及び特定構成部品を含む製品を表す情報を、未知脅威情報出力部４００４に提供してもよい。

〔未知脅威情報出力部〕
未知脅威情報出力部４００４（未知脅威情報出力手段）は、検出部４００３により選択された第２脅威情報を出力するよう構成される。なお、未知脅威情報出力部４００４は、第２脅威情報と合わせて、特定構成部品を表す情報及び特定構成部品を含む製品を表す情報を出力してもよい。

未知脅威情報出力部４００４が各種情報を出力する対象（出力先）は特に限定されず、適宜選択されてよい。一例として、未知脅威情報出力部４００４は、例えば、セキュリティ情報処理装置４０００のユーザに対して各種情報を表示可能なユーザインタフェースを表示する表示装置に対して、上記各情報を出力してもよい。未知脅威情報出力部４００４は、例えば、脅威情報候補データベース４００２ｃにおける候補テーブル８００のうち、第２脅威情報に該当する行を表示するよう、表示装置を制御してもよい。未知脅威情報出力部４００４は、例えば、構成情報データベース４００３ａにおける構成テーブル９００のうち、第２脅威情報に含まれる特定構成部品及び特定構成部品を含む製品に該当する行を表示するよう、表示装置を制御してもよい。表示装置の具体的な構成は特に限定されず、各種の表示デバイス（例えば、液晶パネル等）を含む装置を適宜選択してよい。

他の例として、未知脅威情報出力部４００４は、例えば、上記した各種情報を、ファイルシステムにおけるファイルに出力してもよく、通信ネットワークを介して他のシステムなどに送信してもよく、印刷装置を介して印刷物として出力してもよい。

セキュリティ情報処理装置４０００のユーザは、未知脅威情報出力部４００４の出力を確認することで、ある製品に関するセキュリティ上の脅威を表す情報を確認することが可能である。

〔動作〕
上記のように構成されたセキュリティ情報処理装置４０００の動作について、図１０に例示するフローチャートを参照して説明する。

セキュリティ情報処理装置４０００（具体的には、脅威情報モデル生成部４００１）は、各種情報源等から収集された既知の脅威情報を取得する（ステップＳ１００１）。この際、脅威情報モデル生成部４００１は、例えば、上記したように、既知脅威情報設定装置４３００により収集された既知の脅威情報を第１脅威情報として、既知脅威情報データベース４００１ａに格納してよい。

セキュリティ情報処理装置４０００（具体的には、モデル学習部４００１ｂ）は、取得した第１脅威情報に基づいて、脅威情報を分類可能な脅威情報モデルを生成する（ステップＳ１００２）。以下、ステップＳ１００２における処理について、図１１に例示するフローチャートを参照して説明する。

上記したように、モデル学習部４００１ｂは、例えば、既知脅威情報データベース４００１ａに格納された既知脅威情報を表す文書データから、特徴量（文書ベクトル）を作成する（ステップＳ１１０１）。文書ベクトルの作成方法は特に限定されず、例えば、トピックモデリングの手法が採用されてもよい。

モデル学習部４００１ｂは、作成した特徴量（文書ベクトル）を用いて、脅威情報モデルを学習し（ステップＳ１１０２）、学習された脅威情報モデルを脅威情報モデルデータベース４００１ｃに格納する（ステップＳ１１０３）。上記したように、脅威情報モデルとして、ロジスティック回帰モデルが採用されてもよい。

以下、図１０に例示するフローチャートに戻って説明を継続する。

セキュリティ情報処理装置４０００（具体的には、収集部４００２）は、情報源４１００から、製品の構成を示す構成情報を含む脅威情報の候補を収集する（ステップＳ１００３）。以下、ステップＳ１００３における処理を、図１２に例示するフローチャートを参照して説明する。

収集部４００２における脅威情報収集部４００２ｂは、収集サイト設定データベース４００２ａを参照し、脅威情報候補を収集する情報源４１００を特定する（ステップＳ１２０１）。具体的には、脅威情報収集部４００２ｂは、収集サイト設定データベース４００２ａから、情報源４１００のＵＲＬ）を取得する。なお、本実施形態においては、例えば、収集サイト設定装置４４００により、脅威情報候補の収集に用いられる情報が、収集サイト設定データベース４００２ａに格納されてもよい。

収集部４００２における脅威情報収集部４００２ｂは、情報源４１００から、脅威情報候補を取得する（ステップＳ１２０２）。上記したように、脅威情報収集部４００２ｂは、構成情報データベース４００３ａを参照し、収集サイト設定データベース４００２ａから取得したＵＲＬのクエリ部分を構成部品データに置き換えた、検索用ＵＲＬを作成してもよい。

また、脅威情報収集部４００２ｂは、収集サイト設定データベース４００２ａに設定された探索の深さに応じて、情報源４１００から脅威情報候補を取得する処理を繰り返してもよい。

脅威情報収集部４００２ｂは、収集した脅威情報候補を、脅威情報候補データベース４００２ｃに格納する（ステップＳ１２０３）。

以下、図１０に例示するフローチャートに戻って説明を継続する。

セキュリティ情報処理装置４０００（具体的には、検出部４００３）は、収集部４００２が収集した脅威情報から、脅威情報モデル生成部４００１が生成した脅威情報モデルを用いて、ある製品に関するセキュリティの脅威を表す第２脅威情報を選択する（ステップＳ１００４）。以下、図１３に例示するフローチャートを参照して、ステップＳ１００４における処理について説明する。

検出部４００３における影響範囲計測部４００３ｂは、既知脅威情報データベース４００１ａを参照して特徴的用語を抽出し、構成情報データベースから、特徴的用語（製品を構成する特徴的な構成部品を示す用語）を含む特定構成部品を抽出する（ステップＳ１３０１）。この際、影響範囲計測部４００３ｂは、構成情報データベース４００３ａから、特徴的用語を抽出してもよい。

未知脅威情報抽出部４００３ｃは、脅威情報モデルデータベース４００１ｃに格納された脅威情報モデルを用いて、脅威情報候補データベース４００２ｃに登録された脅威情報候補を評価する（ステップＳ１３０２）。具体的には、未知脅威情報抽出部４００３ｃは、上記したように、脅威情報候補データベース４００２ｃに登録された脅威情報候補の文書データから特徴量（文書ベクトル）を作成し、その特徴量を脅威情報モデルに入力する。脅威情報モデルは、ある脅威情報候補から作成された特徴量が脅威情報であるか否かを判定可能な値（より具体的には、脅威情報である確率）を算出する。

未知脅威情報抽出部４００３ｃは、ステップＳ１３０２における評価に応じて、脅威情報候補から、セキュリティの脅威を表す脅威情報を抽出する（ステップＳ１３０３）。具体的には、未知脅威情報抽出部４００３ｃは、脅威情報モデルにより算出される値に応じて、脅威情報候補から、セキュリティの脅威を表す脅威情報を抽出する。

未知脅威情報抽出部４００３ｃは、ステップＳ１３０３において抽出した脅威情報候補のうち、製品に影響し得る脅威情報を、第２脅威情報として選択する（ステップＳ１３０４）。上記したように、未知脅威情報抽出部４００３ｃは、例えば、ステップＳ１３０３において抽出した脅威情報候補のうち、影響範囲計測部４００３ｂにより抽出された特定構成部品に関する情報（例えば、特定構成部品を表す名称の文字列）を含む脅威情報候補を、第２脅威情報として選択してよい。

これにより、未知脅威情報抽出部４００３ｃは、収集部４００２により収集された脅威情報候補のうち、ある製品（より具体的には、ある製品を構成する構成要素（構成部品））に影響し得る脅威情報を、第２脅威情報として選択することが可能である。また、影響範囲計測部４００３ｂは、構成情報データベース４００３ａから、特定構成部品と特定構成部品を含む製品とを抽出可能であることから、第２脅威情報により影響を受ける可能性がある製品の範囲を特定することが可能である。

検出部４００３（具体的には、影響範囲計測部４００３ｂ、未知脅威情報抽出部４００３ｃ）は、選択した第２脅威情報を、未知脅威情報出力部４００４に提供してよい。

以下、図１０に例示するフローチャートに戻って説明を継続する。

セキュリティ情報処理装置４０００（具体的には、未知脅威情報出力部４００４）は、ステップＳ１００４において選択された第２脅威情報を出力する（ステップＳ１００５）。未知脅威情報出力部４００４は、例えば、上記したように、第２脅威情報を表示装置に出力してもよく、ファイルに出力してもよく、通信ネットワークを介して他のシステムなどに送信してもよく、印刷してもよい。

上記のように構成された本実施形態におけるセキュリティ情報処理装置４０００によれば、あるシステムに影響し得るセキュリティの脅威を効率的に調査することが可能となる。その理由は、セキュリティ情報処理装置４０００は、既知の脅威情報（例えば、既知脅威情報データベース４００１ａに格納された第１脅威情報）を用いて作成した脅威情報モデルを用いて、情報源４１００から収集した脅威情報の候補（例えば、脅威情報候補データベース４００２ｃに格納された脅威情報候補）のうち、ある製品に影響し得る脅威情報（例えば、特定構成部品を含む製品に関する第２脅威情報）を選択することができるからである。すなわち、セキュリティ情報処理装置４０００は、比較的入手が容易な既知の脅威情報を用いて作成した脅威情報モデルを用いることで、未確認の脅威情報の候補から、有用な情報を選択することができるからである。

情報源４１００の数や、各情報源が提供する情報の量に応じて、収集部４００２は、多くの脅威情報の候補を収集可能であり、そのなかには有用な情報と、有用ではない情報とが混在している。本実施形態におけるセキュリティ情報処理装置４０００は、例えば、既知の脅威情報（第１脅威情報）を用いて学習された脅威情報モデルを用いることで、収集された脅威情報の候補のなかから、セキュリティ上の脅威を含む可能性が高い情報（既知の脅威情報に類似する情報）を抽出することができる。また、セキュリティ情報処理装置４０００（検出部４００３）は、抽出した脅威情報の候補のなかから、特性構成部品に関する情報を含む脅威情報の候補を、第２脅威情報として選択することができる。以上より、セキュリティ情報処理装置４０００は、各種情報源から収集された未知の脅威情報候補のなかから、ある製品に対するセキュリティの脅威を含む情報（第２脅威情報）を人手によらず効率的に検出することが可能であり、ある製品に影響し得るセキュリティの脅威を効率的に調査することができる。

＜第３実施形態＞
以下、本開示に係る技術の第３実施形態について説明する。図１４は、第３実施形態におけるセキュリティ情報処理装置５０００の機能的な構成を例示するブロック図である。

本実施形態におけるセキュリティ情報処理装置５０００は、第２実施形態におけるセキュリティ情報処理装置４０００に相当する構成を備え、更に、その一部の構成が拡張されている。具体的には、図１４に例示するように、セキュリティ情報処理装置５０００は、第２実施形態におけるセキュリティ情報処理装置４０００に対して、損失算出部５００１と、予測損失出力部５００２とを更に備えてよい。セキュリティ情報処理装置５０００を構成するその他の構成要素は、第２実施形態におけるセキュリティ情報処理装置４０００と概略同様としてよい。以下、第２実施形態との主要な差異について説明し、第２実施形態と同様の構成についてはその説明を省略する。

〔損失算出部〕
損失算出部５００１（損失算出手段）は、検出部４００３により検出（選択）された第２脅威情報に影響され得る製品に関して発生し得る損失を算出する。損失算出部５００１は、売上データベース５００１ａと、損失予測部５００１ｂとを有する。

売上データベース５００１ａは、ある製品に関する売上を記憶するデータベースであり、図１５に例示するように、製品名（図１５の１５０１）、顧客名（図１５の１５０２）、及び、売上（図１５の１５０３）がレコードとして登録された売上テーブル１５００を記憶するよう構成される。以下、本開示においては、売上データベース５００１ａを、「売上記憶部」（売上記憶手段）と記載することがある。製品名（１５０１）には、構成情報データベース４００３ａにおける構成テーブル９００の製品名（図９の９０１）と同じデータが登録されてよい。顧客名（１５０２）には、ある製品を購入した顧客を特定可能なデータ（例えば、顧客の名称や、識別番号等）が登録されてよい。売上（１５０３）には、ある製品の売上金額が登録されてよい。

なお、売上データベース５００１ａに格納されるデータは、例えば、製品管理システム４２００から提供されてもよい。具体的には、製品管理システム４２００において、管理される製品の売上情報が更新された際に、製品管理システム４２００が、売上データベース５００１ａの内容を更新してもよい。また、損失算出部５００１が、製品管理システム４２００において管理される製品の売上情報を参照し、売上データベース５００１ａを更新してもよい。なお、図１４に例示する具体例においては、損失算出部５００１に売上データベース５００１ａが含まれるが、本実施形態はこれに限定されない。即ち、本実施形態においては、損失算出部５００１に売上データベース５００１ａを設けず、損失予測部５００１ｂ（後述）が、製品管理システム４２００において管理される売上情報を直接参照してもよい。

損失予測部５００１ｂは、検出部４００３において選択された第２脅威情報の影響を受ける可能性がある製品を特定し、その製品に関して発生し得る損失を、予測損失額として算出するよう構成される。具体的には、損失予測部５００１ｂは、検出部４００３から、第２脅威情報により影響される製品を特定可能な情報を受付け、売上データベース５００１ａに登録された売上を参照して、第２脅威情報により影響される製品に関連する損失額を算出する。損失予測部５００１ｂの具体的な処理について、後述する。

予測損失出力部５００２（予測損失表示手段）は、損失算出部５００１により算出された損失額を出力する。予測損失出力部５００２が算出された損失額を出力する対象（出力先）は特に限定されず、適宜選択されてよい。一例として、予測損失出力部５００２は、例えば、セキュリティ情報処理装置５０００のユーザに対して各種情報を表示可能なユーザインタフェースを表示する表示装置に対して、損失額を出力してもよい。他の例として、予測損失出力部５００２は、例えば、算出した損失額を、ファイルシステムにおけるファイルに出力してもよく、通信ネットワークを介して他のシステムなどに送信してもよく、印刷装置を介して印刷物として出力してもよい。なお、未知脅威情報出力部４００４と、予測損失出力部５００２とは、図１４に例示するように、個別に実現されてもよく、一つに統合されてもよい。

〔動作〕
以下、上記のように構成された本実施形態におけるセキュリティ情報処理装置５０００の動作について、図１６に例示するフローチャートを参照して説明する。以下においては、主に、損失算出部５００１及び予測損失出力部５００２の動作について説明する。セキュリティ情報処理装置５０００を構成する他の構成要素の動作は、概ね上記第２実施形態と同様としてよい。

損失算出部５００１は、製品管理システム４２００において管理されている売上データを取得し、売上データベース５００１ａに格納する（ステップＳ１６０１）。

損失算出部５００１（損失予測部５００１ｂ）は、第２脅威情報により影響される可能性がある製品を特定する（ステップＳ１６０２）。具体的には、損失予測部５００１ｂは、検出部４００３から、影響範囲計測部４００３ｂにより特定された、第２脅威情報により影響される可能性がある製品を特定可能な情報を受け付けてもよい。

損失予測部５００１ｂは、第２脅威情報により影響される可能性がある製品に関する損失額を算出する（ステップＳ１６０３）。

具体的には、損失予測部５００１ｂは、売上データベース５００１ａに格納された売上テーブル１５００のうち、第２脅威情報の影響を受ける製品を含む行を抽出する。損失予測部５００１ｂは、抽出した各行について、予測直接損失額を算出する。想定直接損失額は、第２脅威情報により特定されるセキュリティの脅威が顕在化した場合に、その第２脅威情報により影響される製品に関して発生し得る直接損失の想定値である。

想定直接損失額を算出する方法は特に限定されず、適切な方法を選択してよい。一例として、損失予測部５００１ｂは、売上テーブル１５００から抽出された各行（製品）について、式（１）を用いて、想定直接損失額を算出してもよい。

[数１]
（想定直接損失額）＝（売上）×（製品に含まれる部品に関する脅威情報の総数）^Ａ （１）．
上記したように、一つの製品は複数の構成要素（部品）を含むことがある。また、ある一つの第２脅威情報が複数の製品（より具体的には、製品を構成する構成要素（部品））に影響する可能性があり、また、ある一つの製品に複数の第２脅威情報が影響する可能性がある。即ち、ある製品に影響し得る第２脅威情報の数は、その製品に含まれる部品（特定構成部品）に影響し得る第２脅威情報の総数となる。このため、式（１）においては、ある製品に含まれる部品に関する脅威情報の総数を考慮して、その製品に関する想定直接損失額を算出する。なお、式（１）において、”Ａ”は、適宜選択可能な設定値である。”Ａ”の値は、例えば、経験則に基づいて適宜設定されてもよく、予備的な実験などにより適切な値が求められてもよい。一例として、”Ａ”の値として”０．０２”が設定されてもよい。

また、損失予測部５００１ｂは、例えば、製品ごとの想定直接損失額を算出してもよい。この場合、損失予測部５００１ｂは、式（１）により算出した値を、製品ごとに集計すればよい。図１５に例示する具体例において、「画像処理カメラ１００１」に関する想定直接損失額を算出する場合を想定する。この場合、損失予測部５００１ｂは、売上テーブルの１行目から算出した想定直接損失額と、２行目から算出した想定直接損失額とを集計すればよい。

また、損失予測部５００１ｂは、例えば、顧客ごとの想定直接損失額を算出してもよい。この場合、損失予測部５００１ｂは、各製品について想定直接損失額を算出し、売上テーブル１５００を参照して、顧客ごとに想定直接損失額を集計すればよい。

また、損失予測部５００１ｂは、例えば、第２脅威情報ごとに想定直接損失額を算出してもよい。この場合、損失予測部５００１ｂは、各第２脅威情報が関連する製品（ある第２脅威情報により影響を受ける部品を含む製品）を特定し、その製品に関する想定直接損失額を集計すればよい。

予測損失出力部５００２は、損失算出部５００１において算出された想定直接損失額を出力する（ステップＳ１６０４）。上記したように、予測損失出力部５００２は、例えば、損失算出部５００１において算出された想定直接損失額を表示装置に表示してもよく、ファイルに保存してもよく、通信ネットワークを介して他のシステムに送信してもよく、印刷してもよい。

上記のように構成されたセキュリティ情報処理装置５０００は脅威が顕在化した際に想定される損失額（想定直接損失額）を算出することができる。このため、セキュリティ情報処理装置５０００のユーザは、例えば、算出された想定直接損失額に基づいて、セキュリティ対策の方針を検討することができる。具体的には、ユーザは、検出部４００３により選択された第２脅威情報に起因して発生し得る損失の総額を確認することができる。また、製品ごとの想定直接損失額が提供された場合、セキュリティ情報処理装置５０００のユーザは、例えば、想定直接損失額の大きい製品からセキュリティ対策を実行することができる。また、顧客ごとの想定直接損失額が提供された場合、セキュリティ情報処理装置５０００のユーザは、例えば、想定直接損失額の大きい顧客向けの製品からセキュリティ対策を実行することができる。

なお、セキュリティ情報処理装置５０００は、第２実施形態におけるセキュリティ情報処理装置４０００と概略同様の構成を備えることから、あるシステムに影響し得るセキュリティの脅威を効率的に調査することができる。

＜ハードウェア及びソフトウェア・プログラム（コンピュータ・プログラム）の構成＞
以下、上記説明した各実施形態を実現可能なハードウェア構成について説明する。以下の説明においては、上記各実施形態において説明した各セキュリティ情報処理装置（１００、４０００、５０００）を、まとめて「セキュリティ情報処理装置」と記載する。

上記各実施形態において説明した各セキュリティ情報処理装置は、１つ又は複数の専用のハードウェア装置により構成されてもよい。その場合、上記各図（例えば、図１、４、１４）に示した各構成要素は、一部又は全部を統合したハードウェア（処理ロジックを実装した集積回路等）として実現してもよい。例えば、セキュリティ情報処理装置をハードウェア装置により実現する場合、セキュリティ情報処理装置の構成要素は、それぞれの機能を提供可能な集積回路（例えば、ＳｏＣ（Ｓｙｓｔｅｍ ｏｎ ａ Ｃｈｉｐ）等）として実装されてもよい。この場合、例えば、セキュリティ情報処理装置の構成要素が有するデータは、ＳｏＣに統合されたＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）領域やフラッシュメモリ領域に記憶されてもよい。

この場合、セキュリティ情報処理装置は、例えば、脅威情報モデル生成部（１０１、４００１）、収集部（１０２、４００２）、検出部（１０３、４００３）、未知脅威情報出力部４００４、損失算出部５００１、及び、予測損失出力部５００２の機能を実現可能な１以上の処理回路（ｐｒｏｃｅｓｓｉｎｇ ｃｉｒｃｕｉｔｒｙ）、通信回路、及び記憶回路等を用いて実現されてよい。なお、セキュリティ情報処理装置を実現する回路構成の実装においては、様々なバリエーションが想定される。セキュリティ情報処理装置を複数のハードウェア装置により構成する場合、それぞれのハードウェア装置の間は、適切な通信方法（有線、無線、またはそれらの組み合わせ）により通信可能に接続されていてもよい。

また、上述したセキュリティ情報処理装置は、図１７に例示するような汎用のハードウェア装置１７００と、ハードウェア装置１７００によって実行される各種ソフトウェア・プログラム（コンピュータ・プログラム）とによって構成されてもよい。この場合、セキュリティ情報処理装置は、１以上の適切な数のハードウェア装置１７００及びソフトウェア・プログラムにより構成されてもよい。

図１７におけるプロセッサ１７０１は、例えば、汎用のＣＰＵ（中央処理装置：Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）やマイクロプロセッサである。プロセッサ１７０１は、例えば、後述する不揮発性記憶装置１７０３に記憶された各種ソフトウェア・プログラムをメモリ１７０２に読み出し、そのソフトウェア・プログラムに従って処理を実行してもよい。この場合、上記各実施形態におけるセキュリティ情報処理装置の構成要素は、例えば、プロセッサ１７０１により実行されるソフトウェア・プログラムとして実現可能である。

この場合、上記各実施形態におけるセキュリティ情報処理装置は、例えば、脅威情報モデル生成部（１０１、４００１）、収集部（１０２、４００２）、検出部（１０３、４００３）、未知脅威情報出力部４００４、損失算出部５００１、及び、予測損失出力部５００２の機能を実現可能な１以上のプログラムにより実現されてよい。なお、係るプログラムの実装においては、様々なバリエーションが想定される。

メモリ１７０２は、プロセッサ１７０１から参照可能な、ＲＡＭ等のメモリデバイスであり、ソフトウェア・プログラムや各種データ等を記憶する。なお、メモリ１７０２は、揮発性のメモリデバイスであってもよい。

不揮発性記憶装置１７０３は、例えば磁気ディスクドライブや、半導体記憶装置（フラッシュメモリ等）のような、不揮発性の記憶装置である。不揮発性記憶装置１７０３は、各種ソフトウェア・プログラムやデータ等を記憶可能である。上記セキュリティ情報処理装置における各種データベースは、例えば、不揮発性記憶装置１７０３に記憶されてもよい。

リーダライタ１７０４は、例えば、後述する記録媒体１７０５に対するデータの読み込みや書き込みを処理する装置である。セキュリティ情報処理装置は、例えば、リーダライタ１７０４を介して、記録媒体１７０５に記録された第１脅威情報を読み込んでもよい。

記録媒体１７０５は、例えば光ディスク、光磁気ディスク、半導体フラッシュメモリ等、データを記録可能な記録媒体である。本開示において、記録媒体の種類及び記録方法（フォーマット）は、特に限定されず、適宜選択されてよい。

ネットワークインタフェース１７０６は、通信ネットワークに接続するインタフェース装置であり、例えば有線及び無線のＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）接続用インタフェース装置等を採用してもよい。セキュリティ情報処理装置は、例えば、ネットワークインタフェース１７０６を介して、各種情報源４１００、製品管理システム４２００、既知脅威情報設定装置４３００、及び収集サイト設定装置４４００と通信可能に接続されていてよい。

入出力インタフェース１７０７は、外部装置との間の入出力を制御する装置である。外部装置は、例えば、ユーザからの入力を受付け可能な入力機器（例えば、キーボード、マウス、タッチパネル等）であってもよい。また、外部装置は、例えばユーザに対して各種出力を提示可能な出力機器（例えば、モニタ画面、プリンタ等）であってもよい。セキュリティ情報処理装置における未知脅威情報出力部４００４及び予測損失出力部５００２は、例えば、入出力インタフェースを介して各種データを出力してよい。

本開示に係る技術は、例えば、ハードウェア装置１７００に対して供給されたソフトウェア・プログラムを、プロセッサ１７０１が実行することによって実現されてもよい。この場合、ハードウェア装置１７００で稼働しているオペレーティングシステムや、データベース管理ソフト、ネットワークソフト等のミドルウェアなどが、各処理の一部を実行してもよい。

上述した各実施形態において、上記各図に示した各部は、上述したハードウェアにより実行されるソフトウェア・プログラムの機能（処理）の単位である、ソフトウェアモジュールとして実現されてもよい。例えば、上記各部をソフトウェアモジュールとして実現する場合、これらのソフトウェアモジュールは、不揮発性記憶装置１７０３に記憶されてもよい。そして、プロセッサ１７０１が、それぞれの処理を実行する際に、これらのソフトウェアモジュールをメモリ１７０２に読み出してもよい。また、これらのソフトウェアモジュールは、共有メモリやプロセス間通信等の適宜の方法により、相互に各種データを伝達できるように構成されてもよい。

更に、上記各ソフトウェア・プログラムは、記録媒体１７０５に記録されてもよい。この場合、上記各ソフトウェア・プログラムは、適当な治具（ツール）を利用してハードウェア装置１７００内にインストールされてもよい。また、各種ソフトウェア・プログラムは、インターネット等の通信回線を介して外部からダウンロードされてもよい。ソフトウェア・プログラムを供給する方法として、各種の一般的な手順を採用することができる。

このような場合において、本開示に係る技術は、ソフトウェア・プログラムを構成するコード、あるいはコードが記録されたところの、コンピュータ読み取り可能な記録媒体によって構成されてもよい。この場合、記録媒体は、ハードウェア装置１７００と独立した非一時的な記録媒体であってもよく、ＬＡＮやインターネットなどにより伝送されたソフトウェア・プログラムをダウンロードして記憶又は一時記憶した記録媒体であってもよい。

また、上述したセキュリティ情報処理装置、あるいは、当該セキュリティ情報処理装置の構成要素は、図１７に例示するハードウェア装置１７００を仮想化した仮想環境と、その仮想環境において実行されるソフトウェア・プログラム（コンピュータ・プログラム）とによって構成されてもよい。この場合、図１７に例示するハードウェア装置１７００の構成要素は、仮想環境における仮想デバイスとして提供される。

以上、上述した実施形態を模範的な例として本発明を説明した。しかしながら、本発明は、上述した実施形態には限定されない。即ち、本発明は、本発明のスコープ内において、当業者が理解し得る様々な態様を適用することができ、上記各実施形態の変形例や、その組合せも、本発明の技術的範囲に含まれる。

１００、４０００、５０００ セキュリティ情報処理装置
１０１、４００１ 脅威情報モデル生成部
１０２、４００２ 収集部
１０３、４００３ 検出部
４００４ 未知脅威情報出力部
４１００ 情報源
４２００ 製品管理システム
４３００ 既知脅威情報設定装置
４４００ 収集サイト設定装置
５００１ 損失算出部
５００２ 予測損失出力部
１７０１ プロセッサ
１７０２ メモリ
１７０３ 不揮発性記憶装置
１７０４ リーダライタ
１７０５ 記録媒体
１７０６ ネットワークインタフェース
１７０７ 入出力インタフェース

Claims (6)

1. セキュリティに関する脅威を表す脅威情報を含む第１脅威情報を用いて、ある情報が脅威情報に該当するか否かを分類するモデル、あるいは、前記ある情報が脅威情報に類似する情報に該当するか否かを分類するモデルの少なくともどちらか一方の脅威情報モデルを生成する脅威情報モデル生成手段と、
   セキュリティに関連する情報を提供する情報源から、前記脅威情報の候補である脅威情報候補を収集する収集手段と、
   ある製品を構成する構成要素に関する情報と、前記脅威情報モデルとを用いて、収集した前記脅威情報候補から、その製品に影響し得る前記脅威情報を含む第２脅威情報を検出する検出手段と、を備え、
   前記収集手段は、
   ある製品を構成する構成要素である構成部品を表す構成部品データを取得し、
   前記情報源において、前記構成部品データを含む情報を検索することで、前記脅威情報候補を収集し、
   前記検出手段は、前記構成部品データを含む前記脅威情報候補のうち、前記脅威情報モデルにより前記脅威情報又は前記脅威情報に類似する情報に分類された前記脅威情報候補を抽出し、
   抽出された前記脅威情報候補のうち、ある製品を構成する構成要素に関する情報を含む前記脅威情報候補を、その製品の構成に影響し得る前記第２脅威情報として選択する、
   セキュリティ情報処理装置。
2. 前記脅威情報モデルは、ある情報を表す文書データが前記脅威情報である確率を算出可能なモデルであり、
   前記検出手段は、前記脅威情報モデルを用いて各前記脅威情報候補から算出された確率に応じて、各前記脅威情報候補が前記脅威情報又は前記脅威情報に類似する情報に分類されるか否かを判定する
   請求項１に記載のセキュリティ情報処理装置。
3. ある製品に含まれる前記構成部品データを記憶する構成情報記憶手段を更に備え、
   前記検出手段は、
   前記第１脅威情報から特定の用語を抽出し、
   前記構成情報記憶手段に記憶されている前記構成部品データのうち、その用語に該当する前記構成部品データを、特定構成部品として特定し、
   前記脅威情報モデルにより前記脅威情報又は前記脅威情報に類似する情報に分類された前記脅威情報候補のうち、前記特定構成部品を含む前記脅威情報候補を、前記第２脅威情報として選択する
   請求項１又は請求項２に記載のセキュリティ情報処理装置。
4. ある製品と、その製品の売上を記憶する売上記憶手段を参照し、前記検出手段により検出された前記第２脅威情報により影響される可能性がある製品を特定し、
   特定した製品の売上から、前記第２脅威情報により表される脅威が顕在化した際の損失額を算出する損失算出手段を更に備える
   請求項１から請求項３のいずれか一項に記載のセキュリティ情報処理装置。
5. 情報処理装置が、
   セキュリティに関する脅威を表す脅威情報を含む第１脅威情報を用いて、ある情報が脅威情報に該当するか否かを分類する脅威情報モデル、あるいは、前記ある情報が脅威情報に類似する情報に該当するか否かを分類する脅威情報モデルの少なくともどちらか一方の脅威情報モデルを生成し、
   セキュリティに関連する情報を提供する情報源から、前記脅威情報の候補である脅威情報候補を収集し、
   ある製品を構成する構成要素に関する情報と、前記脅威情報モデルとを用いて、収集した前記脅威情報候補から、その製品に影響し得る前記脅威情報を含む第２脅威情報を検出し、
   前記脅威情報候補を収集することは、
   ある製品を構成する構成要素である構成部品を表す構成部品データを取得することと、
   前記情報源において、前記構成部品データを含む情報を検索することで、前記脅威情報候補を収集することと、を含み、
   前記第２脅威情報を検出することは、
   前記脅威情報候補のうち、前記脅威情報モデルにより前記脅威情報又は前記脅威情報に類似する情報に分類された前記脅威情報候補を抽出することと、
   抽出された前記脅威情報候補のうち、ある製品を構成する構成要素に関する情報を含む前記脅威情報候補を、その製品の構成に影響し得る前記第２脅威情報として選択することと、を含む、
   情報処理方法。
6. セキュリティに関する脅威を表す脅威情報を含む第１脅威情報を用いて、ある情報が脅威情報に該当するか否かを分類する脅威情報モデル、あるいは、前記ある情報が脅威情報に類似する情報に該当するか否かを分類する脅威情報モデルの少なくともどちらか一方の脅威情報モデルを生成する処理と、
   セキュリティに関連する情報を提供する情報源から、前記脅威情報の候補である脅威情報候補を収集する処理と、
   ある製品を構成する構成要素に関する情報と、前記脅威情報モデルとを用いて、収集した前記脅威情報候補から、前記製品に影響し得る前記脅威情報を含む第２脅威情報を検出する処理と、
   をコンピュータに実行させ、
   前記収集する処理は、
   ある製品を構成する構成要素である構成部品を表す構成部品データを取得する処理と、
   前記情報源において、前記構成部品データを含む情報を検索することで、前記脅威情報候補を収集する処理を含み、
   前記第２脅威情報を検出する処理は、
   前記脅威情報候補のうち、前記脅威情報モデルにより前記脅威情報又は前記脅威情報に類似する情報に分類された前記脅威情報候補を抽出する処理と、
   抽出された前記脅威情報候補のうち、ある製品を構成する構成要素に関する情報を含む前記脅威情報候補を、その製品の構成に影響し得る前記第２脅威情報として選択する処理と、を含む、
   コンピュータ・プログラム。

Images