安全性验证设备和安全性验证方法

摘要

本发明提供一种安全性验证设备和一种安全性验证方法，其能够验证准备用于实现安全性测量所需的所有元素的能力。在此安全性认证设备和方法中，基于安全性要求信息选择验证项目，基于待实现的安全性的模型生成验证项目所标识的部分的安全性要求信息，基于根据验证项目中所包括的实现模型而提取的能力项目而生成表示待实现的安全性的模型中所包括的部分的安全性保持能力的信息，并且输出对关于部分的安全性要求信息与表示保持能力的信息进行比较的验证结果。

权利要求

1.一种安全性验证设备，包括：

验证项目存储单元，所述验证项目存储单元存储验证项目中的一个或多个验证项目，所述验证项目至少包括安全性功能名称、实现方法和部分信息，所述安全性功能名称是用于指定安全性内容的信息，所述实现方法是用于指示所述安全性的实现方法的信息，所述部分信息包括部分标识信息，所述部分标识信息是实现所述安全性的部分的一个或多个部分中的每个部分的标识信息；

功能项目存储单元，所述功能项目存储单元存储功能项目中的一个或多个功能项目，所述功能项目至少包括所述部分标识信息、所述安全性功能名称和实现单元，所述实现单元是用于指示所述部分标识信息所指定的部分的所述安全性功能名称所指定的安全性的实现单元的信息；

要求模型生成单元，所述要求模型生成单元基于系统要求从所述验证项目存储单元中选择和输出所述验证项目，所述系统要求是用于指示待验证的系统的安全性要求的信息，并且基于安全性目标模型来生成和输出指示在选择的所述验证项目的所述部分信息中包括的所述部分标识信息所指定的每个部分的所述安全性要求的信息，所述安全性目标模型是用于指示待验证的所述系统的安全性目标部分的结构的信息；

保有功能模型生成单元，所述保有功能模型生成单元基于所述要求模型生成单元所选择的所述验证项目中包括的所述实现方法，从所述功能项目存储单元中提取所述功能项目，并且基于提取的所述功能项目来生成和输出指示在所述安全性目标模型中包括的每个部分的安全性的保有功能的信息；以及验证单元，所述验证单元执行对指示每个部分的所述安全性要求的所述信息与指示每个部分的安全性的所述保有功能的所述信息的比较和验证，并且输出所述比较和验证的验证结果。

2.根据权利要求1所述的安全性验证设备，其特征在于还包括：安全性目标模型提取单元，所述安全性目标模型提取单元基于所述系统要求和系统模型，来生成和输出所述安全性目标模型，所述系统模型包括作为整个结构的一部分的、所述安全性目标模型的结构。

3.根据权利要求1所述的安全性验证设备，其特征在于还包括：安全性规则存储单元，所述安全性规则存储单元包括记录中的一个或多个记录，在所述记录中使所述安全性功能名称和规则标识信息相关，所述规则标识信息是用于指定在预先设置的安全性标准中每个规则中的、并且与所述安全性功能名称所指定的所述安全性内容相对应的一个或多个规则的信息，其中所述验证单元参考所述安全性规则存储单元，并且输出与作为所述验证结果的目标的安全性功能相对应的所述规则标识信息。

4.根据权利要求2所述的安全性验证设备，其特征在于还包括：安全性规则存储单元，所述安全性规则存储单元包括记录中的一个或多个记录，在所述记录中使所述安全性功能名称和规则标识信息相关，所述规则标识信息是用于指定在预先设置的安全性标准中每个规则中的、并且与所述安全性功能名称所指定的所述安全性内容相对应的一个或多个规则的信息，其中所述验证单元参考所述安全性规则存储单元，并且输出与作为所述验证结果的目标的安全性功能相对应的所述规则标识信息。

5.根据权利要求1所述的安全性验证设备，其中其特征在于，所述验证单元还输出指示每个部分的所述安全性要求的所述信息和指示每个部分的安全性的所述保有功能的所述信息之中的任意信息。

6.根据权利要求2所述的安全性验证设备，其中其特征在于，所述验证单元还输出指示每个部分的所述安全性要求的所述信息和指示每个部分的安全性的所述保有功能的所述信息之中的任意信息。

7.根据权利要求3所述的安全性验证设备，其中其特征在于，所述验证单元还输出指示每个部分的所述安全性要求的所述信息和指示每个部分的安全性的所述保有功能的所述信息之中的任意信息。

8.根据权利要求4所述的安全性验证设备，其中其特征在于，所述验证单元还输出指示每个部分的所述安全性要求的所述信息和指示每个部分的安全性的所述保有功能的所述信息之中的任意信息。

9.一种安全性验证方法，包括：

计算机，所述计算机存储验证项目中的一个或多个验证项目以及功能项目中的一个或多个功能项目，所述验证项目至少包括安全性功能名称、实现方法和部分信息，所述安全性功能名称是用于指定安全性内容的信息，所述实现方法是用于指示所述安全性的实现方法的信息，所述部分信息包括部分标识信息，所述部分标识信息是实现所述安全性的部分中的一个或多个部分的标识信息，所述功能项目至少包括所述部分标识信息、所述安全性功能名称和实现方式，所述实现方式是用于指示所述部分标识信息所指定的部分的所述安全性功能名称所指定的安全性的实现方式的信息，基于系统要求从所述验证项目中的存储的所述一个或多个验证项目之中选择和输出所述验证项目，所述系统要求是用于指示待验证的系统的安全性要求的信息；

基于安全性目标模型来生成和输出指示在选择的所述验证项目的所述部分信息中包括的所述部分标识信息所指定的每个部分的所述安全性要求的信息，所述安全性目标模型是用于指示待验证的所述系统的安全性目标部分的结构的信息；

基于在所述选择的所述验证项目中包括的所述实现方法，从所述功能项目中的存储的所述一个或多个功能项目之中提取所述功能项目；

基于提取的所述功能项目，生成和输出指示在所述安全性目标模型中包括的每个部分的安全性的保有功能的信息；

执行对指示每个目标部分的所述安全性要求的所述信息与指示每个部分的安全性的所述保有功能的所述信息的比较和验证；以及输出所述比较和验证的验证结果。

10.一种安全性验证方法，包括：

存储验证项目中的一个或多个验证项目，所述验证项目至少包括安全性功能名称、实现方法和部分信息，所述安全性功能名称是用于指定安全性内容的信息，所述实现方法是用于指示所述安全性的实现方法的信息，所述部分信息包括部分标识信息，所述部分标识信息是实现所述安全性的部分的一个或多个部分中的每个部分的标识信息；

存储功能项目中的一个或多个功能项目，所述功能项目至少包括所述部分标识信息、所述安全性功能名称和实现方式，所述实现方式是用于指示所述部分标识信息所指定的部分的所述安全性功能名称所指定的安全性的实现方式的信息；

基于系统要求选择和输出所述验证项目，所述系统要求是用于指示待验证的系统的安全性要求的信息，并且基于安全性目标模型来生成和输出指示在选择的所述验证项目的所述部分信息中包括的所述部分标识信息所指定的每个部分的所述安全性要求的信息，所述安全性目标模型是用于指示待验证的所述系统的安全性目标部分的结构的信息；

基于所选择的所述验证项目中包括的所述实现方法，提取所述功能项目，并且基于提取的所述功能项目来生成和输出指示在所述安全性目标模型中包括的每个部分的安全性的保有功能的信息；以及执行对指示每个部分的所述安全性要求的所述信息与指示每个部分的安全性的所述保有功能的所述信息的比较和验证，并且输出所述比较和验证的验证结果。

11.一种安全性验证设备，包括：

验证项目存储装置，所述验证项目存储装置存储验证项目中的一个或多个验证项目，所述验证项目至少包括安全性功能名称、实现方法和部分信息，所述安全性功能名称是用于指定安全性内容的信息，所述实现方法是用于指示所述安全性的实现方法的信息，所述部分信息包括部分标识信息，所述部分标识信息是实现所述安全性的部分的一个或多个部分中的每个部分的标识信息；

功能项目存储装置，所述功能项目存储装置存储功能项目中的一个或多个功能项目，所述功能项目至少包括所述部分标识信息、所述安全性功能名称和实现方式，所述实现方式是用于指示所述部分标识信息所指定的部分的所述安全性功能名称所指定的安全性的实现方式的信息；

要求模型生成装置，所述要求模型生成装置基于系统要求从所述验证项目存储装置中选择和输出所述验证项目，所述系统要求是用于指示待验证的系统的安全性要求的信息，并且基于安全性目标模型来生成和输出指示在选择的所述验证项目的所述部分信息中包括的所述部分标识信息所指定的每个部分的所述安全性要求的信息，所述安全性目标模型是用于指示待验证的所述系统的安全性目标部分的结构的信息；

保有功能模型生成装置，所述保有功能模型生成装置基于所述要求模型生成装置所选择的所述验证项目中包括的所述实现方法，从所述功能项目存储装置中提取所述功能项目，并且基于提取的所述功能项目来生成和输出指示在所述安全性目标模型中包括的每个部分的安全性的保有功能的信息；以及验证装置，所述验证装置执行对指示每个部分的所述安全性要求的所述信息与指示每个部分的安全性的所述保有功能的所述信息的比较和验证，并且输出所述比较和验证的验证结果。

说明书

安全性验证设备和安全性验证方法

技术领域

[0001] 本发明涉及系统安全性，并且具体地，涉及一种验证安全性设计的安全性验证设备和安全性验证方法及其程序。

背景技术

[0002] 涉及安全性技术的各种有关技术是已知的。

[0003] 专利文献1公开一种下文所示的信息安全性测量决策支持设备。

[0004] 信息安全性测量决策支持设备接收诊断目标系统的属性信息输入。接下来，信息安全性测量决策支持设备参考威胁或者在威胁与安全性测量(下文简称为测量)之间的关系的列表并且找出在诊断目标系统中包括的关于信息安全性的问题。这里，威胁列表是基于安全性事件转变模型生成的威胁列表，该安全性事件转变模型是一个非法访问操作的结构化过程。

[0005] 接下来，信息安全性测量决策支持设备呈现用于保持诊断目标消息体的信息安全性的测量的模式。

[0006] 而且，信息安全性测量决策支持设备参考指示每个测量的成本和效果的测量列表并且为找出的每个测量计算测量需要的成本、在执行测量的情况下的效果、残留风险等。并且信息安全性测量决策支持设备基于这一计算结果选择和呈现用于与请求匹配的测量。用于与请求匹配的测量诸如是：使成本最小化并且可以保证测量的所需强度的测量的示例、使性能成本比最大的测量的示例以及忽略成本并且使安全性测量的强度最大化的测量的示例。

[0007] 专利文献2公开一种下文所示的集成系统安全性设计方法。

[0008] 专利文献2的集成系统安全性设计方法是一种与符合国际安全性标准ISO17799(ISMS(信息安全性管理系统))和ISO15408(CC(共同标准))这两个标准的站点和信息系统有关的安全性设计方法。

[0009] 实现集成系统安全性设计方法的安全性设计支持设备关于某个站点接收变成安全性目标的财产组的信息输入。

[0010] 接下来，安全性设计支持设备显示财产组的输入信息。继而，安全性设计支持设备接收信息系统的与每个财产组对应的‘财产信息’输入。

[0011] 接下来，安全性设计支持设备显示财产组的输入信息。继而，安全性设计支持设备接收关于每个财产组的‘站点威胁信息’输入。

[0012] 接下来，安全性设计支持设备基于在财产组与财产之间的对应关系显示关于财产组的输入的‘站点威胁信息’和‘财产信息’。继而，安全性设计支持设备接收关于财产的‘信息系统威胁信息’输入。

[0013] 接下来，安全性设计支持设备显示输入的‘站点威胁信息’。继而，安全性设计支持设备接收关于每个站点威胁的‘站点测量策略’输入。

[0014] 接下来，安全性设计支持设备基于在‘站点威胁信息’与‘信息系统威胁信息’之间的对应关系显示与‘站点威胁信息’和‘信息系统威胁信息’对应输入的‘站点测量策略’。继而，安全性设计支持设备接收关于信息系统的每个威胁的‘信息系统测量策略’输入。

[0015] 接下来，安全性设计支持设备显示输入的‘站点测量策略’并且通过参考测量标准映射表来显示高级测量标准。继而，安全性设计支持设备接收关于选择的‘站点测量策略’的高级测量标准选择输入。这里，测量标准映射表是存储在符合ISMS的高级测量标准与符合CC的低级测量标准之间的对应关系的表。

[0016] 接下来，安全性设计支持设备基于在‘站点测量策略’与‘信息系统测量策略’之间的对应关系显示与选择的‘站点测量策略’对应的‘信息系统测量策略’。接下来，安全性设计支持设备与‘选择的站点测量策略’对应选择的高级测量标准和在测量标准映射表中具有对应关系的低级测量标准。继而，安全性设计支持设备接收关于选择的‘信息系统策略测量’的低级测量选择输入。

[0017] 接下来，安全性设计支持设备根据包括那些对应的对应关系生成和输出符合ISMS的安全性规范和符合CC的安全性规范，这些对应来自财产组信息和财产信息的对应直至选择的高级测量标准和选择的低级测量标准的对应。

[0018] [专利文献]

[0019] [专利文献1]日本未审查专利申请公布号2009-110177

[0020] [专利文献2]日本未审查专利申请公布号2005-258512

发明内容

[0021] [本发明要解决的问题]

[0022] 然而，在上文提到的专利文献中所公开的技术中，存在这样的问题：无法无遗漏地验证用于实现系统所需的安全性测量的元素(例如设备和软件)可被预备。

[0023] 无法验证的原因如下。

[0024] 在系统的安全性设计中，需要通过构成设备的设备和软件实现IT(信息技术)安全性测量，这些IT安全性测量满足系统的安全性要求(例如客户投资的财产的保密/完整保护)。

[0025] 系统的安全性要求例如是系统的结构/操作要求，这些结构/操作要求满足用户的请求。系统的安全性要求也是与用户指明的各种安全性规则对应的安全性要求(行业、诸如NISC(国家信息安全性中心)标准定义的安全性要求)。

[0026] 对于构成系统的元素如何实现系统的那些安全性要求，需要验证IT安全性测量是否是具有确定性地被设计。

[0027] 专利文献1的信息安全性测量决策支持设备未验证在系统对安全性测量的实现方式与每个部件之间的完整性。因此，在信息安全性测量决策支持设备的设计中，不能确保无遗漏地包括安全性设计所需的产品，并且有可能的是遗漏产品供应等可能在系统建造时出现。

[0028] 类似地，专利文献2的集成系统安全性设计方法也未验证在系统对安全性测量的实现方式与每个部件之间的完整性。

[0029] 本发明的目的是提供一种可以解决上述问题的安全性验证设备和安全性验证方法及其程序。

[0030] [解决问题的方式]

[0031] 根据本发明的一种安全性验证设备包括：验证项目存储装置，存储一个或多个验证项目，验证项目至少包括安全性功能名称、实现方法和部分信息，安全性功能名称是用于指定安全性内容的信息，实现方法是用于指示所述安全性的实现方法的信息，部分信息包括部分标识信息，部分标识信息是实现所述安全性的一个或多个部分的标识信息；功能项目存储装置，存储一个或多个功能项目，功能项目至少包括所述部分标识信息、所述安全性功能名称和实现方式，实现方式是用于指示所述部分标识信息指定的部分的所述安全性功能名称指定的安全性的实现方式的信息；要求模型生成装置，基于系统要求从所述验证项目存储装置选择和输出所述验证项目，系统要求是用于指示待验证的系统的安全性要求的信息，并且基于安全性目标模型生成和输出指示在所述选择的验证项目的部分信息中包括的部分标识信息指定的每个部分的安全性要求的信息，安全性目标模型是用于指示待验证的所述系统的安全性目标部分的结构的信息；保有功能模型生成装置，基于在所述要求模型生成装置选择的所述验证项目中包括的实现方法从所述功能项目存储装置提取所述功能项目，并且基于所述提取的功能项目生成和输出指示在所述安全性目标模型中包括的每个部分的安全性的保有功能的信息；以及验证装置，执行指示每个部分的安全性要求的所述信息和指示每个部分的保有功能的所述信息的比较和验证并且输出所述比较和验证的结果。

[0032] 根据本发明的一种安全性验证方法，包括：计算机，存储一个或多个验证项目和一个或多个功能项目，验证项目至少包括安全性功能名称、实现方法和部分信息，安全性功能名称是用于指定安全性内容的信息，实现方法是用于指示所述安全性的实现方法的信息，部分信息包括部分标识信息，部分标识信息是实现所述安全性的一个或多个部分的标识信息，功能项目至少包括所述部分标识信息、所述安全性功能名称和实现方式，实现方式是用于指示所述部分标识信息指定的部分的所述安全性功能名称指定的安全性的实现方式的信息，基于系统要求从所述存储的一个或多个验证项目之中选择和输出所述验证项目，系统要求是用于指示待验证的系统的安全性要求的信息；基于安全性目标模型生成和输出指示在所述选择的验证项目的部分信息中包括的部分标识信息指定的每个部分的安全性要求的信息，安全性目标模型是用于指示待验证的所述系统的安全性目标部分的结构的信息；基于在所述选择的所述验证项目中包括的实现方法从所述存储的一个或多个功能项目之中提取所述功能项目；基于所述提取的功能项目生成和输出指示在所述安全性目标模型中包括的每个部分的安全性的保有功能的信息；执行指示每个部分的安全性要求的所述信息和指示每个部分的保有功能的所述信息的比较和验证；并且输出所述比较和验证的结果。

[0033] 根据本发明的一种用于存储程序的非易失性存储介质，程序使计算机执行以下过程，计算机存储一个或多个验证项目和一个或多个功能项目，验证项目至少包括安全性功能名称、实现方法和部分信息，安全性功能名称是用于指定安全性内容的信息，实现方法是用于指示所述安全性的实现方法的信息，部分信息包括部分标识信息，部分标识信息是实现所述安全性的一个或多个部分的标识信息，功能项目至少包括所述部分标识信息、所述安全性功能名称和实现方式，实现方式是用于指示所述部分标识信息指定的部分的所述安全性功能名称指定的安全性的实现方式的信息：基于系统要求从所述存储的一个或多个验证项目之中选择和输出所述验证项目的过程，系统要求是用于指示待验证的系统的安全性要求的信息；基于安全性目标模型生成和输出指示在所述选择的验证项目的部分信息中包括的部分标识信息指定的每个部分的安全性要求的信息的过程，安全性目标模型是用于指示待验证的所述系统的安全性目标部分的结构的信息；基于在所述选择的所述验证项目中包括的实现方法从所述存储的一个或多个功能项目之中提取所述功能项目的过程；基于所述提取的功能项目生成和输出指示在所述安全性目标模型中包括的每个部分的安全性的保有功能的信息的过程；执行指示每个部分的安全性要求的所述信息和指示每个部分的保有功能的所述信息的比较和验证的过程；以及输出所述比较和验证的结果的过程。

[0034] [本发明的效果]

[0035] 本发明具有如下效果：可以无遗漏地验证用于实现系统所需的安全性测量的元素可被预备。

附图说明

[0036] 图1是示出第一示例性实施例的结构的框图。

[0037] 图2是示出第一示例性实施例中的系统要求的示例的图。

[0038] 图3是示出第一示例性实施例中的安全性目标模型的示例的图。

[0039] 图4是示出第一示例性实施例中的验证项目数据库的示例的图。

[0040] 图5是示出第一示例性实施例中的验证项目的示例的图。

[0041] 图6是示出第一示例性实施例中的要求模型的示例的图。

[0042] 图7是示出第一示例性实施例中的功能项目数据库的示例的图。

[0043] 图8是示出第一示例性实施例中的功能项目的示例的图。

[0044] 图9是示出第一示例性实施例中的保有功能模型的示例的图。

[0045] 图10是示出第一示例性实施例的硬件结构的图。

[0046] 图11是示出第一示例性实施例中的安全性验证设备101的操作的流程图。

[0047] 图12是示出第二示例性实施例的结构的框图。

[0048] 图13是示出第二示例性实施例中的系统模型的示例的图。

[0049] 图14是示出第三示例性实施例的结构的框图。

[0050] 图15是示出第三示例性实施例中的安全性规则数据库的示例的图。

[0051] 图16是示出其中记录程序的非易失性存储介质的示例的框图。

具体实施方式

[0052] 将参照附图具体描述用于实现本发明的实施例。

[0053] <<第一示例性实施例>>

[0054] 图1是示出本发明的第一示例性实施例的结构的框图。

[0055] 参照图1，根据这一示例性实施例的安全性验证设备101包括：要求模型生成单元200、验证项目数据库(也称为验证项目存储装置)210、保有功能模型生成单元300、功能项目数据库(也称为功能项目存储装置)310和验证单元400。

[0056] 首先，将描述根据这一示例性实施例的安全性验证设备101的操作概况。

[0057] 安全性验证设备101从外部设备(未示出)或者操作者(未示出)接收待验证的系统的安全性要求。安全性验证设备还接收如下信息，该信息指示与安全性要求对应、并且处于待验证的系统之中的安全性目标部分的结构。继而，安全性验证设备101基于接收的信息验证待验证的系统的安全性(安全)并且输出结果。

[0058] 图2是示出安全性要求的示例的图，安全性要求是用于指示待验证的系统的安全性要求的信息。如图2中所示，系统要求110包括关于安全性要求的关键字，例如，‘主体认证’、‘WEB(意味着万维网)’、‘AP(应用)’和‘DB(数据库)’。另外，图2中所示系统要求110指示安全性要求的一个范例。然而，系统要求110可以是指示任意数目安全性要求的系统要求。

[0059] 图3是示出安全性目标模型140的示例的图，安全性目标模型140是用于指示待验证的系统的安全性目标部分的结构的信息。如图3中所示，作为指示待验证的系统的安全性目标部分的结构的信息，安全性目标模型140包括连接源标识信息(例如设备名称和功能块名称)142和连接目的地标识信息143。另外，图3中所示安全性目标模型140是指示待验证的系统的安全性目标部分的与图2中所示系统要求110对应的结构的信息。在系统要求110指示多个范例数目的安全性要求的情况下，已有安全性目标模型140的数目是与安全性要求对应的、待验证系统的安全性目标部分的结构种类的数目相同的数目。

[0060] 待验证的系统的安全性验证结果是如下信息，该信息指示安全性目标模型140所拥有的功能是否满足系统要求110指示的安全性要求。另外，结果可以包括其它信息(例如，安全性功能的操作条件和用于满足安全性的设置信息)。

[0061] 接下来，将描述在第一示例性实施例中的安全性验证设备101中提供的每个部件。另外，图1中所示部件指示以功能为单位的部件而不是以硬件为单位的部件。

[0062] ＝＝＝要求模型生成单元200＝＝＝

[0063] 要求模型生成单元200参考验证项目数据库210的内容，基于待验证系统的系统要求110来选择和输出验证项目，在该验证项目中使安全性功能、实现方法和目标部分相关。要求模型生成单元200还基于安全性目标模型140生成和输出如下信息，该信息指示针对在选择的验证项目中包括的目标部分中的每个目标部分的安全性要求。

[0064] 特别地，要求模型生成单元200首先参考验证项目数据库210并且选择和输出与接收的系统要求110对应的验证项目。

[0065] 图4是验证项目数据库210的示例。如图4中所示，验证项目数据库210包括一个或多个记录(验证项目)，在该记录中使安全性功能名称212、实现方法213和部分信息214相关。安全性功能名称212是指定安全性内容(例如主体认证)的信息。实现方法213是指示安全性功能名称212所指定的安全性的实现方法(例如ID(标识)/口令方法)。部分信息214包括实现安全性的一个或多个部分(例如设备和功能块)的标识信息(例如WWW服务器、AP服务器和DB服务器)。

[0066] 图5是示出要求模型生成单元200所选择的验证项目211的示例的图。另外，图5指示了当对应于系统要求110而从验证项目数据库210选择一个记录时的示例。然而，在系统要求110指明多个安全性内容的情况下，选择的记录也可以是多个。

[0067] 其次，要求模型生成单元200根据接收的安全性目标模型140和验证项目211生成模型，该模型指示针对每个部分的安全性验证要求。

[0068] 图6是示出要求模型230的示例的图，该要求模型是指示针对每个部分的安全性验证要求的模型。如图6中所示，安全性模型包括由部分标识信息232、安全性功能名称233和实现方法234构成的一个或多个记录。部分标识信息232是这样的标识信息，其中在验证项目211的部分信息214中所指示的部分标识信息与接收到的安全性目标模型140中所包括的连接目的地标识信息143相符。安全性功能名称233是验证项目211的安全性功能名称212的复制。实现方法234是验证项目211的实现方法213的复制。

[0069] 也就是说，要求模型生成单元200在验证项目211的部分信息214中指示的部分标识信息之中，提取与接收到的安全性目标模型140中所包括的连接目的地标识信息143相符的标识信息所指定的部分。接下来，要求模型生成单元200生成要求模型230，其指示针对每个所提取部分的安全性要求。

[0070] ＝＝＝验证项目数据库210＝＝＝

[0071] 验证项目数据库210存储多个验证项目211并且输出它们以便对请求进行答复。

[0072] ＝＝＝保有功能模型生成单元300＝＝＝

[0073] 保有功能模型生成单元300基于要求模型生成单元200输出的验证项目211中所包括的实现方法213，从功能项目数据库310提取功能项目。接下来，保有功能模型生成单元300基于提取的功能项目生成和输出如下信息，该信息指示在安全性目标模型140中包括的每个部分的安全性的保有功能。

[0074] 特别地，首先，保有功能模型生成单元300基于接收到的验证项目211的实现方法213，从功能项目数据310提取功能项目。

[0075] 图7是示出功能项目数据库310的示例的图。如图7中所示，功能项目数据310包括一个或多个记录(功能项目)，在该记录中使部分标识信息312、安全性功能名称313和实现方式314相关。部分标识信息312是标识每个部分的信息。安全性功能名称313是指定安全性内容(例如身份认证)的信息。实现方式314是这样的信息，该信息指示部分标识信息312所指定的部分的安全性功能名称313所指定的安全性的实现方式(例如ID(标识)/口令方法)。

[0076] 图8是示出功能项目320的示例的图。如图8中所示，功能项目320包括从验证项目数据库210选择的一个或多个记录。

[0077] 其次，保有功能模型生成单元300根据接收的安全性目标模型140和功能项目320生成模型，该模型指示用于每个部分的安全性的保有功能。

[0078] 图9是示出保有功能模型330的示例的图，该保有功能模型是指示用于每个部分的安全性验证的保有功能的模型。如图9中所示，保有功能模型330包括由部分标识信息332、安全性功能名称333和实现方式334构成的一个或多个记录。部分标识信息332是标识每个部分的信息。该部分标识信息332是这样的标识信息，其中功能项目320的部分标识信息312和接收到的安全性目标模型140中所包括的连接目的地标识信息143相符。安全性功能名称333是安全性功能名称313的复制。实现方式334是功能项目320的实现方式314的复制。

[0079] 也就是说，保有功能模型生成单元300在功能项目320的部分标识信息312之中提取如下记录，该记录包括与接收到的安全性目标模型140中所包括的连接目的地标识信息143相符的部分标识信息312。接下来，保有功能模型生成单元300生成保有功能模型330，其指示用于每个提取的部分的保有功能。

[0080] ＝＝＝功能项目数据库310＝＝＝

[0081] 功能项目数据库310存储多个功能项目320，并且输出它们以便对请求进行应答。

[0082] ＝＝＝验证单元400＝＝＝

[0083] 验证单元400执行对要求模型230和保有功能模型330的比较和验证，并且输出验证结果。

[0084] 特别地，首先，验证单元400在要求模型230中包括的部分标识信息232之中，验证是否存在与保有功能模型330中包括的部分标识信息332均不相符的部分标识信息232。

[0085] 其次，验证单元400输出验证结果。该验证结果是指示安全性目标模型140满足系统要求110的信息，或者是指示不满足系统要求110的信息。

[0086] 另外，除了验证结果之外，验证单元400还可以输出安全性功能名称233和保有功能模型330。

[0087] 上文是以安全性验证设备101的功能为单位对每个部件的描述。

[0088] 接下来，将描述以安全性验证设备101的硬件为单位的部件。

[0089] 图10是示出根据这一示例性实施例的安全性验证设备101及其外围设备的硬件结构的图。如图10中所示，安全性验证设备101包括：CPU(中央处理单元)1070、存储器单元1071、存储设备1072、输入单元1073、输出单元1074和通信单元1075。

[0090] 图16是其中记录程序的非易失性存储介质1077的示例的框图。

[0091] CPU1070使操作系统(未示出)操作和控制根据这一示例性实施例的安全性验证设备101的整个操作。而且，CPU1070例如从存储设备1072上加载的非易失性记录介质1077(或者存储介质)读取程序或者数据，并且在存储器单元1071中写入读取的程序或者数据。而且，CPU1070按照读取的程序或者基于读取的数据作为图1中所示要求模型生成单元200、保有功能模型生成单元300和验证单元400执行各种处理。

[0092] 另外，CPU1070可以从连接到通信网络(未示出)的外部计算机(未示出)向存储器单元1071中下载程序或者数据。

[0093] 存储器单元1071存储程序或者数据。

[0094] 存储设备1072例如是光盘、软盘、光磁盘、外部硬盘和半导体存储器并且包括非易失性存储介质1077。存储设备1072读取程序，从而它是计算机可读的。存储设备1072也可以记录数据，从而它计算机可读的。存储设备1072可以包括验证项目数据库210和功能项目数据库310。

[0095] 输入单元1073例如由诸如鼠标、键盘和内置键按钮实现并且用于输入操作。输入单元1073不限于鼠标、键盘和内置键按钮并且可以例如是诸如触板、加速度计、陀螺仪传感器和相机。

[0096] 输出单元1074例如由显示器实现并且被用来检查输出。

[0097] 通信单元1075实现安全性验证设备101与外部设备(未示出)之间的接口。通信单元1075被包括，以作为要求模型生成单元200、保有功能模型生成单元300和验证单元400的一部分。

[0098] 上文是以安全性验证设备101的硬件为单位对每个部件的描述。

[0099] 如上文已经描述的那样，图1中所示以功能为单位的块由图10中所示硬件结构来实现。然而，在安全性验证设备101中提供的每个部分的实现方式不限于上述实现方式。也就是说，安全性验证设备101可以由物理上组合的一个设备实现来实现，或者由可以通过利用有线或者无线以及这些多个设备来连接物理上分离的两个或者更多设备来实现。

[0100] 而且，在其中记录有上述程序的非易失性记录介质1077被提供给安全性验证设备101，并且安全性验证设备101可以读取和执行非易失性记录介质1077中存储的程序。也就是说，这一示例性实施例包括记录介质的一个示例性实施例，该记录介质临时存储或者非临时存储安全性验证设备101执行的程序。

[0101] 接下来将参照图1-图11具体描述这一示例性实施例的操作。

[0102] 图11是示出安全性验证设备101的操作的流程图。另外，这一流程图的处理可以基于程序控制由上述CPU执行。处理的步骤名称也可被描述为例如S601的符号。

[0103] 安全性验证设备101从外部设备(未示出)接收系统要求110和安全性目标模型140(S610)。

[0104] 例如，安全性验证设备101经由图10中所示的通信单元1075而从外部服务器(未示出)接收系统要求110和安全性目标模型140。安全性验证设备101也可以接收操作者从图10中所示输入单元1073输入的系统要求110和安全性目标模型140。

[0105] 接下来，安全性验证设备101的要求模型生成单元200提取关键词(在图2中所示系统要求110的范例中是‘主体认证’)，其指示在接收的系统要求110中包括的安全性功能(S612)。

[0106] 接下来，要求模型生成单元200在验证项目数据库210中搜索并且选择和输出包括所提取关键词相符的安全性功能名称212的记录(验证项目211)(S614)。

[0107] 接下来，要求模型生成单元200选择与所选择的验证项目211的部分信息214中包括的部分标识信息(这里为‘WWW服务器’、‘AP服务器’和‘DB服务器’)相符的、安全性目标模型140的连接目的地标识信息143(S616)。

[0108] 随后，要求模型生成单元200通过以下第一过程、第二过程和第三过程来生成要求模型230。第一，要求模型生成单元200使所选择的连接目的地标识信息143作为部分标识信息232。第二，要求模型生成单元200使验证项目数据库210的安全性功能名称212作为安全性功能名称233。第三，要求模型生成单元200使验证项目数据库210的实现方法213作为实现方法234(S618)。

[0109] 接下来，保有功能模型生成单元300从接收的验证项目211获取实现方法213(S620)。

[0110] 接下来，保有功能模型生成方法300在功能项目数据库310中搜索并且获取包括与所获取的实现方法213相符的实现方式314的记录作为功能项目320(S622)。

[0111] 接下来，保有功能模型生成单元300提取指示在所接收的系统要求110中包括的部分关键词的关键词(在图2中所示系统要求110的范例下，是‘WEB’、‘AP’和‘DB’)(S624)。

[0112] 接下来，保有功能模型生成单元300在功能项目320之中，选择包括与所提取关键词对应的部分标识信息312的记录(S626)。

[0113] 随后，保有功能模型生成单元300通过使选择的记录的部分标识信息312作为部分标识信息322、并且使实现方式314作为实现方式334，来生成保有功能模型330(S628)。

[0114] 接下来，验证单元400确定保有功能模型330是否包括与要求模型230中所包括的每个记录相对应的记录(S630)。这里，与要求模型230中所包括的每个记录相对应、并且被包括在保有功能模型230中的记录满足以下第一条件、第二条件和第三条件。第一，要求模型230中包括的记录的部分标识信息232和保有功能模型330中包括的记录的部分标识信息332相符。第二，要求模型230中包括的记录的安全性功能名称2233和保有功能模型330中包括的记录的安全性功能名称333对应。第三，要求模型230中包括的记录的实现方法234和保有功能模型330中包括的记录的实现方式334相符。另外，与安全性功能名称233对应的安全性功能名称333例如是‘身份认证’对‘主体认证’，这表示相同的认证功能。

[0115] 在保有功能模型330包括与要求模型230中所包括的所有记录对应的记录(在S630中为是)的情况下，验证单元400输出指示安全性目标模型140满足系统要求110的信息(S632)。

[0116] 在保有功能模型330未包括与要求模型230中所包括的记录中的任何一个记录相对应的记录(在S630中为否)的情况下，验证单元400输出指示安全性目标模型140不满足系统要求110的信息(S634)。

[0117] 在上述这一示例性实施例中的第一效果是：可以无遗漏地验证用于实现系统所需的安全性测量的元素可被预备。

[0118] 原因在于：包括了如下结构。也就是说，要求模型生成单元200生成要求模型230，其指示与待验证的系统的安全性要求相对应的每个部分的安全性要求。第二，保有功能模型生成单元300生成保有功能模型330，其指示关于构成待验证系统的安全性目标部分的每个部分的安全性的保有功能。第三，验证单元400执行对要求模型230和保有功能模型330的比较和验证。

[0119] 在上述这一示例性实施例中的第二效果是：可以呈现待验证的系统的部件如何实现系统要求110。

[0120] 原因在于：除了验证结果之外，验证单元400还示出安全性功能名称233和保有功能模型330。

[0121] <<<第二示例性实施例>>>

[0122] 接下来，将参照附图具体描述本发明的第二示例性实施例。只要对该示例性实施例的描述不会变得不确定，下面的描述中将会省略与上文重复的内容的有关描述。

[0123] 图12是示出根据本发明的第二示例性实施例的安全性验证设备102的结构的框图。

[0124] 参照图12，与第一示例性实施例的安全性验证设备101相比，此示例性实施例的安全性验证设备102还包括安全性目标模型提取单元500。

[0125] 安全性验证设备102接收如图13中所示的系统模型120，而不是第一示例性实施例的安全性验证设备101所接收的安全性目标模型140。系统模型120包括作为整个结构的一部分的安全性目标模型140的结构。例如，系统模型120是指示待验证的整个系统的结构的信息。

[0126] 图13是示出系统模型120的示例的图。如图13中所示，作为指示整个系统的结构的信息，系统模型120包括连接源标识信息142和连接目的地标识信息143。

[0127] ＝＝＝安全性目标模型提取单元500＝＝＝

[0128] 安全性目标模型提取单元500基于系统要求110，从接收到的系统模型120生成安全性目标模型140并且将其输出。

[0129] 例如，安全性目标模型提取单元500基于系统要求110中包括的关键词‘WEB’，从系统模型120提取关于从‘外部WWW服务器’到‘因特网’的路由的记录。另外，安全性目标模型提取单元500基于系统要求110中包括的关键词‘AP’，从系统模型120提取关于从‘AP服务器’到‘因特网’的路由的记录。另外，安全性目标模型提取单元500基于系统要求110中包括的关键词‘DB’，从系统模型120提取关于从‘DB服务器’到‘因特网’的路由的记录。接下来，安全性目标模型提取单元500输出这些提取的记录作为安全性目标模型140。

[0130] 在上述这一示例性实施例中的效果是：可以正确地生成安全性目标模型140。

[0131] 原因在于：安全性目标模型提取单元500基于系统要求110生成了安全性目标模型140。

[0132] <<<第三示例性实施例>>>

[0133] 接下来，将参照附图具体描述本发明的第三示例性实施例。只要对该示例性实施例的描述不会变得不确定，下面的描述中将会省略与上文重复的内容的有关描述。

[0134] 图14是示出根据本发明的第三示例性实施例的安全性验证设备103的结构的框图。

[0135] 参照图14，与第一示例性实施例的安全性验证设备101相比，这一示例性实施例的安全性验证设备103还包括安全性规则数据库(也称为安全性规则存储装置)410。而且，与第一示例性实施例的安全性验证设备101相比，安全性验证设备103包括验证单元403而不是验证单元400。

[0136] ＝＝＝安全性规则数据库410＝＝＝

[0137] 图15是示出安全性规则数据库410的示例的图。如图15中所示，安全性规则数据库410包括一个或多个记录，在该记录中使安全性功能名称412和规则标识信息413相关。安全性功能名称412是指定安全性内容的信息。规则标识信息413是如下信息，该信息指定与在安全性功能名称412中指定的安全性内容对应的、在预先设置的安全性标准中的每个规则的一个或多个规则。这里，预先设置的安全性标准例如是公共安全性标准(例如，‘用于政府组织的信息安全性测量的统一标准’)。而且，指定每个规则的信息例如是‘用于中央政府计算机系统的信息安全性测量的标准’的标题编号。而且，指定每个规则的信息可以是标准名称和由该标准名称指定的标准(例如ISMS：12.1.4)所规定的每个安全性功能的标识信息的集合。

[0138] ＝＝＝验‘证单元403＝＝＝

[0139] 除了验证单元400输出的验证结果之外，验证单元403还输出与作为验证结果的目标的安全性功能相对应的规则标识信息413。

[0140] 例如，在关于安全性功能名称233是‘主体认证’的要求模型230执行验证的情况下，验证单元403通过参考安全性规则数据库410而获取规则标识信息413‘2.2.1.1(1)(a)’，并且将它与验证结果一起输出。

[0141] 另外，验证单元403可以参考其它数据(未示出)并且将有关信息(例如部分标识信息332指定的部分的设置信息)与验证结果一起输出。

[0142] 而且，与第一示例性实施例相同，除了验证结果之外，验证单元403可以输出安全性功能名称233和保有功能模型330。

[0143] 另外，验证单元403可被应用于第二示例性实施例。

[0144] 上述这一示例性实施例中的第一效果是：可以针对政府/行业定义的安全性规则的每个项目，来指示待验证的系统是否满足规则。

[0145] 原因在于：验证单元403参考安全性规则数据库410并且输出规则标识信息413。

[0146] 上述这一示例性实施例中的第二效果是：可以呈现待验证的系统的部件如何实现预先设置的安全性标准。

[0147] 原因在于：除了验证结果之外，验证单元400还输出安全性功能名称233和保有功能模型330。

[0148] 另外，在上述每个示例性实施例中，所描述的情况是输入信息关于一个安全性功能被输入到每个安全性验证设备，并且与其对应的一个验证结果从每个安全性验证设备被输出。然而，每个安全性认证设备可以是这样的，使得输入信息关于多个安全性功能而被输入，并且与其对应的多个验证结果被输出。在这种情况下，可以用表的形式示出验证结果和其它有关信息。

[0149] 而且，在示例性实施例3的情况下，表可以预先设置的安全性标准的每个项目和与每个项目对应的列表。

[0150] 在每个上述示例性实施例中描述的每个部件可以未必是相互独立的部件。例如对于每个部件，可以实现多个部件为一个模块，或者一个部件可以有多个模块实现。每个部件也可以是如下结构使得某个部件是另一部分的部分或者某个部件的部分和另一部件的部分重叠。

[0151] 在每个上述示例性实施例中的每个部件和实现每个部件的模块可以如需要的那样并且如果可能则用硬件方式来实现、由计算机和程序实现或者由硬件方式的模块、计算机和程序的混合物实现。在非易失性计算机可读借助介质、诸如磁盘和半导体存储器记录和提供程序，并且它在计算机启动时等由计算机读取。读取的这一程序通过控制计算机的操作使计算机作为每个上述示例性实施例中的部件来工作。

[0152] 而且，根据每个上述示例性实施例，即使已经用流程图的形式依次描述多个操作，该描述的顺序未限制执行多个操作的顺序。出于这一原因，在执行每个示例性实施例时，可以在未影响内容的范围内改变多个操作的顺序。

[0153] 另外，根据每个上述示例性实施例，多个操作不限于在互不相同的定时执行。例如其它操作可以在执行某个操作期间出现或者某个操作和其它操作的执行定时可以部分或者全部重叠。

[0154] 另外，根据每个上述示例性实施例，虽然描述某个操作是另一操作的触发，但是该描述未限制在某个操作与另一操作之间的所有关系。出于这一原因，在执行每个示例性实施例时，可以在未影响内容的范围内改变多个操作的关系。每个部件的每个操作的具体描述未限制每个部件的每个操作。出于这一原因，可以在执行每个示例性实施例时在未影响功能、效率和其它特性的范围内改变每个部件的每个具体操作。

[0155] 虽然已经参照示例性实施例如上文描述本发明，但是本发明不限于上述示例性实施例。可以在本发明的组成和细节上执行本领域技术人员可以在本发明的范围内理解的各种改变。

[0156] 本申请要求基于2011年12月1日提交的日本专利申请号2011-263754的优先权，并且通过引用将其公开全部内容结合于此。

[0157] 参考标号描述

[0158] 101 安全性验证设备

[0159] 102 安全性验证设备

[0160] 103 安全性验证设备

[0161] 110 系统要求

[0162] 120 系统模型

[0163] 140 安全性目标模型

[0164] 142 连接源标识信息

[0165] 143 连接目的地标识信息

[0166] 200 要求模型生成单元

[0167] 210 验证项目数据库

[0168] 211 验证项目

[0169] 212 安全性功能名称

[0170] 213 实现方法

[0171] 214 部分信息

[0172] 230 性能模型

[0173] 232 部分标识信息

[0174] 233 安全性功能名称

[0175] 234 实现方法

[0176] 300 保有功能模型生成单元

[0177] 310 功能项目数据

[0178] 312 部分标识信息

[0179] 313 安全性功能名称

[0180] 314 实现方式

[0181] 320 功能项目

[0182] 330 保有功能模型

[0183] 332 部分标识信息

[0184] 333 安全性功能名称

[0185] 334 实现方式

[0186] 400 验证单元

[0187] 403 验证单元

[0188] 410 安全性规则数据库

[0189] 412 安全性功能名称

[0190] 413 规则标识信息

[0191] 500 安全性目标模型提取单元

[0192] 1070 CPU

[0193] 1071 存储器单元

[0194] 1072 存储设备

[0195] 1073 输入单元

[0196] 1074 输出单元

[0197] 1075 通信单元