JP2017509072A - セキュリティ評価のシステムおよび方法 - Google Patents

Abstract

システムは、１つまたはそれより多くのコンポーネントに分解され得る。コンポーネントの各々は、セキュリティスコアをコンポーネントの各々に帰するように評価され得る。複合セキュリティスコアが、セキュリティスコアと、システムの確率的なセキュリティ劣化を特徴づける低下率測定とに基づいて、システムについて生成され得る。低下率測定は、現在の複合セキュリティスコアを得るために、複合セキュリティスコアに適用され得る。

Description

関連出願

[0001] 本開示は、２０１４年２月２８日に出願された「Ｃｏｍｍｏｎ Ｓｅｃｕｒｉｔｙ Ｍｅａｓｕｒｅｍｅｎｔ Ｍｅｔｈｏｄ」と題する米国仮出願第６１／９４６，６５６からの優先権を主張し、その全体が参照によりこの中に組み込まれる。

［0002］ 図１は、本発明の実施形態に係るセキュリティモジュールである。 ［0003］ 図２は、本発明の実施形態に係るセキュリティスコア導出である。 ［0004］ 図３は、本発明の実施形態に係るアセットである。 ［0005］ 図4は、本発明の実施形態に係るアセット評価である。 ［0006］ 図５Ａ−５Ｄは、本発明の実施形態に係るアセット細分化である。 ［0006］ 図５Ａ−５Ｄは、本発明の実施形態に係るアセット細分化である。 ［0006］ 図５Ａ−５Ｄは、本発明の実施形態に係るアセット細分化である。 ［0006］ 図５Ａ−５Ｄは、本発明の実施形態に係るアセット細分化である。 ［0007］ 図６は、本発明の実施形態に係るベースセキュリティスコア証明書である。 ［0008］ 図７は、本発明の実施形態に係るベースセキュリティスコア証明書である。 ［0009］ 図８は、本発明の実施形態に係るセキュリティスコア劣化である。 ［0010］ 図９は、本発明の実施形態に係るセキュリティ要件証明書である。 ［0011］ 図１０は、本発明の実施形態に係るベースセキュリティスコア証明書である。 ［0012］ 図１１は、本発明の実施形態に係るセキュリティ要件証明書である。 ［0013］ 図１２は、本発明の実施形態に係る正規化されたセキュリティスコア比較である。 ［0014］ 図１３は、本発明の実施形態に係る正規化されたセキュリティスコア比較である。 ［0015］ 図１４は、本発明の実施形態に係るセキュリティ検証である。 ［0016］ 図１５は、本発明の実施形態に係るセキュリティ比較である。 ［0017］ 図１６は、本発明の実施形態に係るセキュリティ検証である。 ［0018］ 図１７は、本発明の実施形態に係る相互セキュリティ検証である。 ［0019］ 図１８は、本発明の実施形態に係るセキュリティ検証である。 ［0020］ 図１９は、本発明の実施形態に係るセキュリティ検証である。 ［0021］ 図２０は、本発明の実施形態に係るセキュリティ検証である。 ［0022］ 図２１は、本発明の実施形態に係るセキュリティ検証である。

詳細な説明

［0023］ 本明細書に記載のシステムおよび方法は、量子セキュリティモデル（quantum security model：ＱＳＭ）に基づいて、１つまたはそれより多くのシステムについてのセキュリティ評価を提供し得る。ＱＳＭは、システムを分解し、一貫した方法で、基本コンポーネントを評価する正規化された方法論を提供し得、相互依存性がより正確に理解され測定されることを可能にし得る。ＱＳＭは、リソース所有者が、彼らが何の評価（署名）権限者を認識し、受容するかを特定することを可能にし得る。ＱＳＭ方法は、システムまたはデバイスの現在と確率的な将来のセキュリティ状態の両方を評価するために用いられ得る。ＱＳＭは、個々のリソース所有者が、アクセスを許可する前に、アセット（asset）のセキュリティスコアを特定し、検証することを可能にし得る。ＱＳＭは、リソースまたはサービスを共有する前に、お互いを相互に認証するための計算能力を持つアセットを可能にし得る。

[0024] ＱＳＭでは、共通の測定は、合意され、再現可能で、独立して検証可能なセキュリティレベル決定が所望されるデバイス、システム、または、エンティティ（「アセット」）上で行われる評価プロセスを介して到達され得る。「ｑＳ」で記号化され、「ｑＳｅｃ」と発音される量子セキュリティユニットは、ＱＳＭに基づいて、システムのセキュリティのための測定の標準ユニットであってよい。ｑＳｅｃは、観察者によって測定が行われた時点における最善で推定され、最善で知られるだけであるように、量子物理学における粒子の位置と同様な時間的値であってよい。測定後、粒子の位置は、時間とともに劣化する精度で、確率的に決定され得る。量子測定であるｑＳｅｃは、この特性を共有し得る。システムがセキュリティの観点から波状システムとして見られ得、量子力学の原理が適用され得ることが仮定されてよい。システムのセキュリティは、そのシステムの特性である。システムの平常の機能性と動作、および、その環境と共に、時間の経過は、全て、システムのセキュリティに影響を与え得る。その結果、システムのセキュリティは、動的であってもよく、セキュリティの既知の状態が自然に過渡してもよい。したがって、システムは、波状システムとして表され、および、システムセキュリティは量子特性として表され得る。粒子の位置と同様に、システムのセキュリティは、測定のために量子力学の原理を使用して、定量的に定義することができる。測定結果は、量子セキュリティユニットで表されたセキュリティ測定を提供し得、そこでは、ゼロの値は、システムにおけるセキュリティの完全な欠如を示し、増加する値は、より高いセキュリティを示す。

［0025］ １つのｑＳｅｃが表す値は、システムセキュリティ測定プロセスの間に評価されるべき基準に由来し得る。各基準は、セキュリティへのそれらのインパクトに関連する共通の値の範囲を有し得る。また、各基準は、当該範囲内の結果を生成する関連付けられた評価プロセスを有していてもよい。基準重み付け方法が各基準に適用され得、共通の値の範囲は、ｑＳｅｃに示されるように、量子セキュリティ測定値が何を表すかのセキュリティ値スケールになり得る。例えば、ｑＳｅｃ値は、行列力学の固有値を表し得る。時間の異なる期間における異なる観察者は、この値を、彼らの視点に応じて異なって解釈し、ｑＳｅｃ値に彼ら自身の確率的フィルタを適用するか、または、システムのｑＳｅｃ値を決定するために、彼ら自身の測定プロセスを実施することを望み得る。したがって、システムセキュリティを分類する際に意味のある方法でｑＳｅｃ測定を利用するために、値は予め決定され得る。事前決定は自動的になされてもよく、ユーザによって設定されてもよく、および/または、システム初期化の時または以前に設定されてもよい。

［0026］ 本明細書に記載されたシステムおよび方法は、プロセッサと呼ばれることもある、１つまたはそれより多くのコンピュータを備え得る。コンピュータは、算術および／または論理演算を実行することができる任意のプログラム可能なマシンまたは複数のマシンであってよい。いくつかの実施形態では、コンピュータは、プロセッサ、メモリ、データ記憶デバイス、および/または、他の一般的に知られているか、または、新規のコンポーネントを備え得る。これらのコンポーネントは、物理的に、または、ネットワークまたは無線リンクを介して、接続され得る。また、コンピュータは、上述のコンポーネントの動作を指示することができるソフトウェアを備え得る。コンピュータは、サーバ、ＰＣ、モバイルデバイス、ルータ、スイッチ、データセンター、分散コンピュータ、および、他の用語等の、関連する分野の当業者によって一般的に使用される用語で呼ばれてもよい。コンピュータは、ユーザ間および／または他のコンピュータ間の通信を容易にし、データベースを提供し、データの分析および／または変換を実行し、および/または、他の機能を実行し得る。本明細書中で使用されるそれらの用語は互換可能であり、記載された機能を実行することができる任意のコンピュータが使用され得ることが、通常の技量を有する者によって理解され得る。コンピュータは、ネットワークまたは複数のネットワークを介して互いに連結され得る。ネットワークは、任意の複数の完全にまたは部分的に相互接続されたコンピュータであってよく、そこでは、コンピュータのいくつかまたは全てがお互いに通信することができる。コンピュータの間の接続は、いくつかの場合には有線（例えば、イーサネット（登録商標）、同軸ケーブル、光、または、他の有線接続を介して）であってよく、または、無線（例えば、ＷｉＦｉ、ＷｉＭＡＸ、または、他の無線接続を介して）であってよい。コンピュータ間の接続は、ＴＣＰ等のコネクション指向プロトコル、または、ＵＤＰ等のコネクションレスプロトコルを含む、任意のプロトコルを使用することができる。少なくとも２台のコンピュータがデータを交換し得る任意の接続は、ネットワークの基礎となり得る。

［0027］ 図１は、本発明の実施形態に係るセキュリティモジュール１００である。セキュリティモジュール１００は、プロセッサ１１０と、ルールデータベース１２２および／または証明書データベース等の物理的メモリ１１５を含み得る。ルールデータベース１２２は、以下により詳細に記載されるように様々なアクセス制御ルールを記憶し得る。証明書データベースは、以下により詳細に記載されるように、デバイス、ドキュメント、ユーザ、等のためのさまざまな証明書を記憶し得る。また、セキュリティモジュール１００は、セキュリティスコアを導出および／または更新し得るスコアリングモジュール１３２、セキュリティルールが合致されているかどうかを決定し得る検証モジュール１３４、セキュリティルールおよび／またはアクセス許可を自動的にまたは手動で定義し得る許可モジュール１３６等のサブモジュールを含み得る。セキュリティ検証を行うとして、または、ＱＳＭ対応可能デバイスまたはＱＳＭデバイスとして本明細書に記載された任意のデバイスは、セキュリティモジュール１００を含むことができ、記載されているようにＱＳＭに関連した検証および／または他のプロセスを実行するためにセキュリティモジュール１００を使用してもよいことを注記する。

［0028］ 図２は、本発明の実施形態に係るセキュリティスコア導出２００である。評価プロセスは、セキュリティレベルを決定するために、アセット上で実施され得る。この結果を達成するために、アセットのセキュリティレベルを表す正規化されたセキュリティスコアが、評価の結論時に生成され得る。スコアは、セキュリティ基準（「セキュリティ目標（security objectives）」）の所定のセットを、評価目的のために事前に定義されたグループ化（「セキュリティカテゴリ（security category）」）によって分離されたアセットの基礎的な機能（それが何をなすか、その目的）に対して適用するプロセスを介して正規化され得る。各セキュリティ目標２１０について、評価は、アセットのセキュリティカテゴリのそれぞれ上で行われ得、セキュリティ目標に割り当てられた範囲内にはいるセキュリティスコア（「目標スコア（objective score）」）が生成され得る。各スコアのための重要度は、アセットからアセットに、または、インスタンスからインスタンスにさえ、変わり得る。目標スコアのすべてが生成されたとき、それらは、正規化されたセキュリティスコア（normalized security score：ＮＳＳ）２３０に帰結する、予め定義された目標スコア集約法（例えば、加重平均）を用いて結合され得る。図３は、いくつかの実施形態で使用されることができるセキュリティカテゴリ２２０とセキュリティ目標２１０の特定の例を示す、本発明の実施形態に係るアセット２３０である。例えば、アセット２３０は、アセット２３０によって実行される基本的な機能（例えば、データ記憶、データ処理、データ伝送）に対応し得る、記憶（storage）、処理（process）、および、伝送（transport）セキュリティカテゴリ２２０を有し得る。セキュリティカテゴリ２２０の各々は、認可（authorization：ＡＺ）、機密性（confidentiality：Ｃ）、完全性（integrity：Ｉ）、可用性（availability：ＡＶ）、否認不可（non-repudiation：ＮＲ）、および、認証（authentication：ＡＩ）のセキュリティ目標（security objectives）２１０を有し得る。アセット２３０のためのＮＳＳは
、機能カテゴリの各々が、セキュリティ目標２１０上のセキュリティカテゴリ２２０のスコアに以下に良好に関連付けられるかに基づいて、アセット２３０がセキュリティ目標２１０の全体にいかに良好に合致するかの指標を提供し得る。

［0029］ 図４は、本発明の実施形態に係るアセット評価３００である。

［0030］ いくつかのアセットは、（例えば、多くのサブコンポーネントで構成された）複合体であってもよい。例えば、これらの複合体アセットについて、図４の手法３００のような測定技術が、各サブコンポーネントについてのＮＳＳ値を導出するために、独立して各サブコンポーネント上で行われ得る。これらのサブコンポーネント値は、最上位のアセットのＮＳＳを生成するために結合され得る。アセットは、評価のために選択され得、評価が始まる（３０５）。１つまたはそれより多くのセキュリティカテゴリ２２０が識別され得、各セキュリティカテゴリ２２０が評価され得る（３１０）。各セキュリティカテゴリ２２０は、１つまたはそれより多くのセキュリティ目標２１０を含み得、および、各セキュリティ目標２１０が評価され得る（３１５）。セキュリティモジュール１００は、セキュリティ目標２１０について、セキュリティ目標スコアが計算され得るかどうかを決定することができる（３２０）。そうであれば、セキュリティ目標スコア計算が始まり（３２５）、そのセキュリティ目標スコアが生成される（３３０）。セキュリティ目標スコア計算の例が以下により詳細に検討される。スコアが計算された場合（３３５）、次のセキュリティ目標２１０が選択され得る（３１５）。セキュリティ目標２１０についてセキュリティ目標スコアが計算され得ない場合は、セキュリティモジュール１００が、アセットが細分化されるべきかどうかを決定し得る（３４０）。いくつかのアセットは、セキュリティ目標スコアを導出するのにあまりにも複雑である、または、以前に評価されたコンポーネント、デバイス、および／または、システムを備え得る。このような状況に対応するために、アセットは細分化されることができる。

［0031］ 図５Ａ−５Ｄは、本発明の実施形態によるアセット細分化例１７００と１７５０である。図５Ａは、例として、ラップトップを用いるこの仕組みを示し、ここで、ラップトップは、ＣＰＵ、オペレーティングシステム、および、ＧＰＵコンポーネントに分割される。図５Ｂは、他の例として、浄水プラントを示し、プラントは、水収集システム、浄化システム、および、飲料水システムのコンポーネントに分割される。示されるように、いくつかのサブアセットが単一のセキュリティカテゴリスコアに寄与するのみであることが可能であるが、他のコンポーネントは、複数のセキュリティカテゴリに寄与し得る。図５Ｃは、図５Ａからのラップトップのサブアセットが、どのように、ドライバサブアセットの下の特定のドライバに、および、アプリケーションサブアセットの下の特定のアプロケーションに、更に分解され得るかを示す。図において、アプリケーションサブアセットの仮想マシン（Virtual Machine：ＶＭ）サブアセットは、更に、ＶＭの下で実行されているアプリケーションに分解される。このプロセスは、すべてのサブアセットが正確に評価され得るまで、必要に応じて繰り返され得る。図５Ｄは、図５Ｂからの浄化前処理サブアセットの浄水サブアセットの更なる分解を示し、ＱＳＭは、アセットのタイプにかかわらず、評価を必要とする任意の重要なインフラストラクチャコンポーネントまたはアセットに適用可能であることを明らかにする。アセットが属する領域に精通した人は、この方法に従い、任意の複雑なシステムを、システムが基本要素（primitives）（評価が行われ得る、または、行われたサブアセット）から構成されるまで、更なるサブアセットに再帰的に分解し得る。水プラントの例において、これらは、物理的なセキュリティ上のインパクトがよく文書で裏付けられており、定量化され得る、フェンス、ガード、および、ロックのようなサブアセットであってよい。

［0032］ 再び図４を参照して、細分化が可能でない場合、デフォルトのセキュリティ目標が割り当てられ得（３４５）、評価３００が、次のセキュリティ目標３１５に移行し得る。細分化がなされることが可能である場合（３４０）は、セキュリティモジュール１００は、サブアセットを定義し（３５０）、サブアセット重み付け式を定義し（３５５）得る。上述のように、サブアセットは、それら自身を更に分割され得、事例分析（case analysis）は、更に分割されたサブアセット上で実行され得る。各サブアセット３６０について、アセット評価３６５が実行され得、セキュリティ目標スコア３７０が生成され得る。全てのセキュリティ目標スコアが評価され得（３７５）、セキュリティカテゴリスコアが評価され得る（３８０）。評価されるべき更に多くのセキュリティカテゴリが存在する場合、次のセキュリティカテゴリ２２０が選択され得（３１０）、上記された評価が、次のセキュリティカテゴリ２２０のセキュリティ目標２１０について実行され得る。全てのセキュリティカテゴリ２２０が評価された場合、アセット評価は終了し得る（３８５）。図３のアセット２３０について、各々が６つのセキュリティ目標２１０をもつ３つのセキュリティカテゴリ２２０を用いて、合計１８の評価が行われる。

［0033］ 公開−秘密鍵証明書等の暗号化技術と共にＮＳＳ、目標スコアセット、導出されたセキュリティルールを利用して、デジタルアセットは、ベースセキュリティスコア証明書（Base Security Score Certificate：ＢＳＳＣ）に、それらのセキュリティレベルを、アセットの評価が行われた時間と共に安全に記憶し得る。図６は、本発明の実施形態に係るＢＳＳＣ７００である。ＢＳＳＣ７００は、各セキュリティ目標２１０とカテゴリ２２０についてのスコアを含み得る。例えば、図３の例示のアセット２３０について、ＢＳＳＣ７００は、３つの要素からなるセキュリティカテゴリ２２０のスコア（security category score：ＳＣＳ）の組であり得、それらの各々は、６つの要素からなるセキュリティ目標２１０のスコアの組であり得る。図７は、図３のアセット２３０についてのＢＳＳＣ７００の例示である。この例のＢＳＳＣ７００は、ベースセキュリティスコア（base security score：ＢＳＳ）を有し得、ＢＳＳは、

または、

として表現され、ここで、Ｃ＝機密性（confidentiality）、Ｉ＝完全性（integrity）、ＡＺ＝認可（authorization）、ＡＩ＝認証（authentication）、ＡＶ＝可用性（availability）、ＮＲ＝否認不可（non-repudiation）、である。ＢＳＳＣ７００は、例えば、個人、企業、規制当局、または、政府機関によって署名され得る。ＢＳＳＣ７００は、証明書が発行された日付／時刻、および、証明書の失効する日付／時刻を含み得る。また、ＢＳＳＣ７００は、以下でより詳細に説明される、ＮＳＳについての低下率を含み得る。

［0034］ セキュリティが測定後の劣化の高い確率をもっていることを意味する、セキュリティの過渡的である性質を考慮して、セキュリティ低下率（security rate of decay：ＲＯＤ）アルゴリズムが、ＢＳＳＣに記された最後のＮＳＳ評価が行われて以降に生じた確率論的セキュリティ劣化を要因として含めるために使用され得る。ＲＯＤは、ＢＳＳＣが最初に発行されてから経過した時間を与えられて、システムのための現実的なセキュリティスコアを決定するために用いられ得る。ＲＯＤを計算するためのアルゴリズムは、システムをスコア付けするために選択された基準（metrics）に依存し得る。最後の評価の時間と共に、入力としてＮＳＳと目標スコアの組（および、オプションとして、他のセキュリティルール、または、記録されたアセットの使用履歴）を用いることによって、新しいＮＳＳスコアが計算され、より正確な共通のセキュリティ比較のために使用され得る。

［0035］ 図８は、本発明の実施形態に係るセキュリティスコア劣化９００である。線９１０は、経時的に一定のままである、ＲＯＤ値なしのシステムについてのセキュリティを示す。しかし、システムが長く稼働すればするほど、システムが危うくされるようになる可能性がより高くなる。セキュリティにおけるこの劣化が線９２０によって示され、それは、単位時間あたり０．０１の線形ＲＯＤを示す。線９３０と９４０は、システムのセキュリティに負のインパクトを与える可能性があるイベントを考慮に入れながら、時間の経過にともなうシステムのセキュリティを示す。線９３０は、システムのセキュリティを低下させるが、ＲＯＤの変化を引き起こさない４つのセキュリティイベントを表す。線９４０は、同じ４つのイベントを示すが、これらの各イベントがＲＯＤ値も変えることを前提としている。図８に示されたイベントは、例えば、ＵＳＢデバイスをシステムに接続する、システムを信頼できないネットワークに接続する、悪質なＷｅｂサイトへの閲覧をする、または、ダウンロードされたアプリケーションをインストールする、といった結果であり得る。

[0036］ アセットが重要なイベントの履歴を維持することを可能にするために、ＱＳＭは、証明書チェーン（certificate chains）、または、セキュリティスコアチェーン（Security Score Chain：ＳＳＣ）の概念をサポートし得る。ＢＳＳＣは、任意のＳＳＣの中でベース証明書を提供し得る。アセットは、スコアを変更し、ＢＳＳＣをもった新しい証明書に署名することができ、それによってＳＳＣが作成される。ＳＳＣを作成する場合、アセットは、なぜ変更がなされているのかの記録を含み得る。図８において、線９３０または９４０上の各イベントの後、ＲＯＤへの変化を反映し、これらの変化を引き起こしたイベントを文書化して、ＳＳＣへの更新がなされ得る。ＢＳＳＣがＲＯＤを与えられている場合は、チェーン内の新しい証明書が新しい発行日／時間をもつので、新しいセキュリティスコアが（例えば、線９４０に示されるように）任意の低下のために順応し得る。失効日／時間は、ＢＳＳＣの失効を越えて延長され得ないが、適切な場合には短縮され得る。加えて、適切な場合には、ＲＯＤは、新たなリスクと脅威を反映するように修正され得る。

［0037］ 図９は、本発明の実施形態に係るセキュリティ要件証明書（security requirements certificate：ＳＲＣ）１４００である。ＳＲＣは、ＢＳＳＣに似て、セキュリティ目標２１０のスコア（security objective score：ＳＯＳ）の各々のためのセキュリティ要件重み付け（security requirement weightings：ＳＲＷ）、セキュリティ目標２１０の各々のためのセキュリティ重み付け、認可されたＢＳＳＣおよびＳＳＣの署名者、および／または、最小の正規化されたセキュリティスコア（Normalized Security Score：ＮＳＳ）を含む、暗号化によって安全化され、署名された文書であり得る。ＮＳＳは、ＱＳＭにおける最も高いレベルのスコアであってよく、セキュリティ要件証明書におけるセキュリティ要件重み付けを、ベースセキュリティスコアにおけるセキュリティ目標スコアに適用することによって計算され得る。数学的には、ＳＲＣはＢＳＳＣに類似する（例えば、（カテゴリの各々がＮＳＳに寄与する百分率重み付けであってよい）３つの要素からなるセキュリティカテゴリ重み付け（Security Category Weightings：ＳＣＷ）の組で、各ＳＣＷは、（ＳＯＳ値の各々に帰する百分率重み付けである）６つの要素値からなるセキュリティ目標重み付け（security objective weightings：ＳＯＷ）の組である）。例えば、ＳＲＷは次のように表すことができる：
図３と７の例について、

または、

［0038］ ＮＳＳは、時間（ΔＴ）にわたって所与のアセットのセキュリティ状態を評価するために用いられ得る基準を提供することができる。このスコアは、例えば、アセットを認証する、アクセスを認可する、アセットのセキュリティユーティリティを比較する、または、改善がどこで所与のアセットに対してなされるべきかを決定するために使用し得る。ＮＳＳは、次のように計算され得る：

従って、図３と７の例についてのＮＳＳは、

［0039］ 図１０は、本発明の実施形態に係るベースセキュリティスコア証明書１５００である。この例では、

である。ＲＯＤは、０．０１３／日であり、証明書は、２０１４年２月２２日に発行され、２０１４年８月２４日の失効日をもつ。図１１は、本発明の実施形態に係るセキュリティ要件証明書１６００である。この例では、

である。伝送セキュリティ目標重み付けにおける０．０の重み付けは、この特定のアセットの所有者が伝送活動を気にしないか、伝送活動を利用しないことを示す。このようなシナリオは、データ伝送の手段を持たないが、記憶及び処理能力をもつ、スタンドアロンマシンまたはスマートカードのために存在し得る。ＳＲＣにリストされた最小の必要とされるＮＳＳは５．０であり、現在の日付またはＴＣＵＲＲＥＮＴ＝２０１４年３月２３日 である。以下は、記憶部分の具体的な計算である。その他の具体的な計算は省略される。

［0040］ 記憶部分（Storage portion）

［0041］ ＮＳＳ

［0042］ この計算されたＮＳＳは、記憶されている最小のＮＳＳ値に対して比較され得、それが最小のＮＳＳ値を超えている場合、それが承認され得る。上記の例において、４．６の計算されたＮＳＳはＳＲＣが許可する（５．０）よりも小さいので、デバイスは拒否される。

[0043] セキュリティレベル指標がアセットのセキュリティに適用されることを可能にして、ＮＳＳ値が比較され、対比され得る。図１２は、本発明の実施形態に係るＮＳＳ比較４００である。アセットについてＮＳＳが、アセットが最小の必要とされるセキュリティレベルを有することを示しているかどうかを決定するために、ＮＳＳ値４１０は、ＮＳＳ指標４２０と比較され得る。例えば、５．５またはそれより大きいスコアをもつアセットが受容可能なセキュリティレベルを有すること、および、５．５5未満のスコアをもったアセットが受容可能なセキュリティレベルをもたないことを、ＮＳＳ指標４２０は示し得る。図１２の例において、アセットは、６．８のＮＳＳをもっており、従って、５．５の要件を超えている。更に、２つまたはそれより多くのアセットは、それらが同じまたは対照的なセキュリティレベルを有するかどうかを決定するため、または、アセットのどれがより安全であるかを決定するために、比較され得る。図１３は、本発明の実施形態に係るＮＳＳ比較５００である。この例では、アセット１は６．８のＮＳＳ値５１０をもち、アセット２は７．２のＮＳＳ値５２０0をもっており、従って、アセット２がアセット１より安全であるとみなされ得る。予め定められたスコア合計（aggregation）プロセスと共通のセキュリティ測定方法と共に、同意された予め定められたセキュリティ目標およびカテゴリに基づいて、推移性（transitivity）は、同意され、再現可能で、独立に検証可能なセキュリティ比較であることを示唆し得る。

［0044］ ＮＳＳと目標スコアの組を利用して、より具体的なセキュリティ属性を共通に測定し得る、拡張されたセキュリティ比較が行われ得る。図１４は、本発明の実施形態に係るセキュリティ検証６００である。アセット６１０（例えば、ＵＳＢデバイス）は、算出されたＮＳＳ（例えば、６．８）を有し得る。ＱＳＭ対応可能システム６２０は、アセットと相互作用する前に、アセットセキュリティ６００を検証し得る。システム６２０は、例えば、ユーザを介して、アセットを使用した動作（例えば、ＵＳＢデバイスへの書き込み動作）６３０を実行するように求められ得る。アセット６１０は、そのＮＳＳ６４０をシステム６２０に送り得る。システム６２０はＮＳＳを評価し得る（例えば、図１２に示されるように比較を行うことによって）。ＮＳＳ評価が適切な安全性を示している場合、動作は進み得る。そうでない場合、動作は防止され得る。

［0045］ 図１５の例は、本発明の実施形態に係るセキュリティ比較２１００であり、ここで、２つの異なるシステムが比較される。システム＃１は、システム＃２よりも低いＮＳＳスコアをもっているが、システム＃１は、記憶の機密性について、システム＃２よりも高いカテゴリスコアを有する。このような比較は、どの製品を購入すべきか決定する（例えば、どの製品がユーザのセキュリティニーズに最もよく合っているか）ため、または、どのシステムが最初にアップグレードされるべきかを決定するため、または、システムセキュリティに関する他の決定に通知するために用いられ得る。

［0046］ 図１６は、本発明の実施形態に係るセキュリティ検証８００であり、ここで、アセット（ラップトップ８１０）のＢＳＳＣは、企業内ネットワーク８２０との相互作用のために用いられ得る。アセット８１０は、ネットワーク８２０への参加を試み得、ＢＳＳＣを提供する（８３０）。ネットワーク８２０は、ＢＳＳＣを評価し、アセット８１０が安全かどうかを決定する（８４０）。この例では、アセットは、ネットワーク８２０によって必要とされる閾値を下回る、そのＢＳＳＣにおけるＮＳＳを有しており、従って、ネットワーク８２０は、アセット８１０へのアクセスを拒否する。

[0047] ＳＯＳは、危うくされる（compromise）可能性を記述し得るセキュリティ基準を計算することによって決定された確率ベースの評価を提供し得る。この確率的な式は以下のように表され得る：

ＳＯＳは、脅威（threats）に対する安全策がとられていない実装されたセキュリティ対策による、アセットが危うくされる確率的な可能性であり、ここで、脅威（threat）は、所与の動機（motivation）をもった行為者（actor）が悪用（exploit）を利用し得ることの時間（time）にわたる確率的な表現（probabilistic expression）である。

［0048］ＳＯＳが値の組であることを可能にするために、時間が引き出され、ＲＯＤとして表されて、ＢＳＳＣにおいて運ばれ得る。ＲＯＤは、ＳＯＳが時間露出にどれだけ敏感かを示し得る。より高いＲＯＤは、より低いＲＯＤよりも、アセットに対する脅威が時間にわたってより多く増加することを示し得る。

［0049］ 例えば、ＮＳＳは、ゼロはセキュリティなしで、１０は完全に安全であるとして、０から１０の範囲を有し得る。所与のアセットが、７７０日の有効期間（shelf life）（または、パッチまたは更新が必要とされるまでの時間）を有し、他の要因がこの有効期間を減らすか、または、延長することに寄与しない場合、ＲＯＤを計算する１つの方法は、１０の最大ＮＳＳ値を取り、それを７７０日で割ることによる。

システムのセキュリティにかかわらず、計算されたＮＳＳを、ＲＯＤの時間（日数）での変化倍だけ減じることによって、７７０日の終わりで、スコアがゼロになる。言い換えると、システムは、いくつかのアクションなしで、安全でないとみなされ得る。実際に、システムが安全でないと考えられ得るゼロの上のどこかに、ある最小値が存在し得、この値はＳＲＣにおける最小ＮＳＳとして表され得る。

［0050］ 別の例は、軍事施設における掩蔽壕を含み得る。掩蔽壕上の保管室の扉は、セキュリティの１つの成分（「Ｓ１」）に寄与し得る。保管室を６時間の侵入レベル（penetration level）で見積もられるとし、ベンダーテストが６時間期間後の無制限のアクセスをもった熟練アタッカーについて６０％の侵入率、それ以降、毎時５％だけ増加すると示すとする。従って、Ｓ１は０．９５であり、６時間で０．６へのＲＯＤステップと、それ以降毎時一様な０．０５の低下をもつ。保管室のＢＳＳにおいて詳述されたこれのように、司令官は、３時間毎に掩蔽壕を通り過ぎて歩き回るように警備員に命じ得る（基本的に扉についてのＲＯＤをリセットする）。これら２つの要因が、共に、一貫性のある０．９５の扉についてのＳ１を提供する。

［0051］ ＳＲＣは、リソースへのアクセスを得るために見ているアセットのＢＳＳＣを評価する際に、どの署名者がリソースによって認識され、受容されるかを特定し得る。これは、不正な署名者によって署名されたＢＳＳＣを生成することによってセキュリティスコアを改ざんしようとする試みに対して、リソースを保護することができる。加えて、信頼できる署名者を特定する能力は、使用されるセキュリティ基準における変化とＮＳＳのための評価尺度を考慮し得る。例えば、セキュリティ基準は、Ｓａｎｄｉａ ＲＡＭシリーズの評価に基づいてもよく、そのような仕様は、Ｓａｎｄｉａ ＲＡＭの範囲のＮＳＳへの変換を可能にする。同様に、他の実施形態は、ＣＡＲＶＥＲ法、または、ある対比較（pair-wise comparison）評価を使用してもよく、ＱＳＭの０−１０のスケールを使用し得る。同様に、実施形態は、独自の基準と０．００から１．００のスケールを利用し得る。上記の組み合わせの任意のものや全てが、複雑なシステムの評価に利用され得、ＮＳＳおよびＱＳＭ方法が、それらの包含を考慮し得る。ＱＳＭは、低下率を高め、基準の不確実性によりＮＳＳを低減することにより、方法における既知の欠点を考慮に入れることができる。従って、既存のシステムと評価は、有効なＱＳＭ評価が行われ得るまでの短期間において活用され得る。

[0052] アセット間の強化された認証と認可のプロセスは、上記の共通のセキュリティ測定と比較の方法を利用し得る。これは、リアルタイム評価にアセットのＮＳＳおよび目標スコアの組を導出させること、または、過去の評価からＢＳＳＣに記憶された情報を利用すること、並びに、オプションとしてアセットの低下率アルゴリズムを用いること、によって行われ得る。ＢＳＳＣに記憶されるセキュリティルール等の追加のセキュリティルールは、また、認証または認可セキュリティ基準として使用され得る。セキュリティレベル検証は、上述の例示のセキュリティ検証に示されたように、認証または認可プロセスに引き込まれたアセットの１つについて一方向で行われ得る。いくつかの実施形態では、双方向検証（または、２つまたはそれより多くのアセットが互いを認証または認可しようと試みている場合の全方向検証）が実行され得、ここで、各アセットは、他のもののセキュリティレベルを検証する。図１７は、本発明の実施形態に係る相互セキュリティ認証１０００である。この例では、ラップトップ１０１０は、企業内ネットワーク１０２０のＢＳＳＣを検証することができ、企業内ネットワーク１０２０は、ラップトップ１０１０のＢＳＳＣを検証することができ、各アセットは、他のものが相互作用を可能にするのに十分に高い安全性を有するかどうかを個別に決定し得る。

［0053］ いくつかの実施形態では、検証プロセスの間のセキュリティルールの行使は、認証や認可に参加するアセットのうちの1つまたはそれより多くの再評価を促すことができる。図１８は、本発明の実施形態に係るセキュリティ検証１１００である。アセット（ラップトップ１１１０）のＢＳＳＣは、企業内ネットワーク１１２０との相互作用のために用いられ得る。アセット１１１０は、ネットワーク１１２０に参加することを試み得、そのＢＳＳＣを提供し得る（１１３０）。ネットワーク１１２０は、ＢＳＳＣを評価し、アセット１１１０が安全でないと決定し得る（１１４０）。この例では、アセット１１１０は、ネットワーク１１２０によって必要とされる閾値を下回る、そのＢＳＳＣにおけるＮＳＳをもっており、従って、ネットワーク１１２０は、アセット１１１０へのアクセスを拒否する。アセット１１１０は、応答して、セキュリティモジュール１００によって再評価され得る（１１５０）。上述のように、ＮＳＳ値は、時間の経過とともに劣化し得る。更に、新しいセキュリティ機能が、時間の経過とともにアセットに実装され得る。従って、再評価１１５０は、更新されたＢＳＳＣのための新しいＮＳＳ値を生成することがでる。この例では、新しい値は、アセット１１１０がネットワーク１１２０と相互作用するのに十分に安全であることを示す。アセット１１１０は、ネットワーク１１２０に参加する２回目の試みを行うことができ、その更新されたＢＳＳＣを提供し得る（１１６０）。ネットワーク１１２０は、ＢＳＳＣを再評価し、アセット１１１０が安全であると決定し得る。

［0054］ サーバ、ＰＣ、ルータ等の組込み処理能力をもつデバイスのＱＳＭ評価は自動的に実行される。これは、ＮＳＳを生成するために、バックエンドデータベース、コンピュータ上の構成情報のスキャン、および/または、自動化された侵入テストツールの組み合わせを利用するＱＳＭプロセスを実行することによって達成される。これは、サービスプロバイダまたはネットワークが、完全なＱＳＭ評価を受けていない可能性がある、それらのサービスへの接続を希望するデバイスについて、最小のセキュリティ状態を少なくとも要求することを可能にし得る。

［0055］ この自動化は、ＱＳＭデバイスを先取り的に保護するためのステップを更に取り得る。新たな不当利用や他の脅威が識別された場合、バックエンドデータベースが、影響を受けやすい登録されたデバイスを検索し、先取りの動作をとり得る。この動作は、例えば、それらのＮＳＳを下げること、それらの証明書を取り消すこと、および/または、アセットの所有者に、それらが特定のサービスを非稼働にするか、パッチまたは更新をインストールすべきであることを勧告すること、または、システム管理者に脅威を通知すること、である。多くのコンピュータネットワークの性質のために、これらの先取り的なサービスは、いくつかの実施形態において、デバイスとバックエンドサービスとの間の定期的な通信を必要とし得る。

［0056］ また、自動化された評価と証明書生成は、わずか数日経過した証明書が受容可能でないような特に高いセキュリティ要件を有し得るシステムへのアクセスのために実行されるように、リアルタイム評価を考慮し得る。これらの高いセキュリティシステムは、現在（例えば、その日、その週、等）の証明書を要求し得る。これは、いくつかの実施形態では、自動的に処理され得る。いくつかの実施形態において、自動化されたＱＳＭ評価プロセスは、システムが、システムリソースを利用するための要求毎に再評価と再証明を要求することを可能にし得る。

[0057] 以下の追加の例が、ＱＳＭが認証および／または認可のために用いられ得るシナリオを示す。本項の目的のために、ＱＳＭ内のデバイスはＳＳＣを有すると仮定される。それら自身のコンピューティングリソースを有するデバイスまたはシステムは、また、ＳＲＣを有すると仮定され得る。ＳＲＣをもたない可能性があるデバイスの例は、ＵＳＢメモリスティックである。多くのＵＳＢメモリスティックがそれら自身のコンピューティングリソースをもたないので、それらは、それらのＳＲＣを、それらが受け取るＳＳＣと比較することができず、従って、それらがＳＲＣを持つ理由が存在しない。加えて、自身のコンピューティングリソースのないデバイスのためのＳＳＣは、デバイスがＢＳＳＣからＳＳＣを更新することができないので、単に、ＢＳＳＣであってよい。

[0058] ＱＳＭを使用するデバイスは、デバイス認証を行い、ネットワークアクセスを認可するために、ＳＳＣを活用し得る。この認証と認可は、上述したように、各エンティティが他のものを認証し、認可することを可能にして、相互であり得る。自動化されたＱＳＭ評価ツールを利用して、この相互認証は、企業オフィスにおけるＷｉＦｉアクセスポイントへの参加、オンライン商取引へのアクセス等、ネットワークリソースへの一時的または時折のアクセスを必要とし得る外部デバイスに拡張することができる。リソース所有者は、それらのリソースへの時折のアクセスを必要とし得るデバイス毎の物理的な評価を要求することができず、そこでは、登録や契約プロセスの一部としてＱＳＭ評価ツールのダウンロードまたはアクセスを必要とすることが適している。そして、ＱＳＭツールは、上述のように、自動化されたスキャンに基づいて、自動化されたＢＳＳＣを生成し得、その後、デバイスは、ネットワークリソースへのアクセスを許可される前に、相互認証交換に参加し得る。

［0059］ 図19は、本発明の実施形態に係るセキュリティ検証１８００である。ネットワークにセス属することに応じて、デバイスは、ネットワークにそのＳＳＣを提供し得る（１８１０）。ＳＳＣは、暗号で署名された証明書であるので、ＳＳＣは、デバイスに固有である。その結果、それは、ネットワークにデバイス（むしろ、ユーザよりも）を認証するために利用され得る。ネットワークは、悪意のる、または、不審な方法で振る舞う任意のデバイスを特定するための記録（logging）目的のためにＳＳＣを活用し得る。いくつかの実施形態において、ネットワーク管理者は、デバイスの現在のセキュリティレベルに基づいて、デバイスがネットワークへの参加を許可されるか否かを決定するためにＳＳＣを活用し得る。要件に合致するデバイスは、ネットワークに参加することを許可され得る（１８２０）。単にアクセスを許可するか、許可しないかに加えて、ＳＳＣは、デバイスがどのネットワークセグメントにアクセスを認可されたかを決定するために活用され得る。例えば、企業のセキュリティ要件に合致していないデバイスは、デバイスがインターネットにアクセスすることを可能にするが、企業リソースへのアクセスを防止して、ゲストネットワーク上に配置され得る（１８３０）。

［0060］ 図２０は、本発明の実施形態に係るセキュリティ検証１９００である。また、デバイスは、ネットワーク自体を認証および認可するためにＳＳＣを活用することができる。ネットワークそれ自身が暗号で署名されたＳＳＣを有し得るので、デバイスは、それが参加しようと試みているネットワークを特定することができる。この方法は、有線、無線、または、セルラかによらず、ネットワークのなりすましの可能性を排除し得る。ユーザおよび／またはシステム管理者は、デバイスがどのネットワークを使用するかを制限するためにＳＳＣを活用し得る。例えば、企業内管理者はラップトップを構成（configure）でき、従って、それらは、企業内ネットワーク、従業員の家における指定だれた遠隔通信ルータ、および、指定されたセルラネットワークへの接続のみをし得る。従業員は、他の何らのネットワークへも彼らのデバイスを接続できない。この例では、ラップトップは、そのＳＳＣを、ネットワークに送り得る（１９１０）。それがＮＳＳ準拠について評価されない場合、ネットワークはＳＳＣを無視し得る（１９２０）。この場合、ＳＲＣが満足されないから、ラップトップは、ネットワークに接続することを拒否し得る（１９３０）。

［0061］ 更に、ＳＳＣは時々更新され得るので、システム管理者は、デバイスが安全性の低いネットワークに参加することを許可し得る。デバイスのＳＳＣは、それがどの安全でないネットワークに参加していたかを示すために更新され得る。ＳＳＣにおける結果としての減少により、企業内ネットワークは、デバイスに、それがネットワークに再参加うることを許可する前に再評価されることを強い得る。例えば、そのような技術は、従業員が彼らのラップトップを持って旅行するとき有用であり得る。更に、ユーザまたはシステム管理者は、ネットワークがどのデバイスリソースにアクセスすることを許可され得るかを認可するために、ネットワークのＳＳＣを活用することができる。例えば、デバイスのファイアウォールは、あるセキュリティレベルに合致しないネットワークがデバイス上で実行されているファイル共有やＷｅｂサーバへのアクセスが許可されることを防止し得る。

［0062］ 図２１は、本発明の実施形態に係るセキュリティ検証２０００である。ネットワークの認証と認可の他に、コンピュータは、それらのＳＳＣに基づいてデバイスを認証し、認可することができる。例えば、ＵＳＢ記憶デバイスは、ＳＳＣを含み得、コンピュータに接続するとき、コンピュータにＳＳＣを送る（２０１０）。ＳＳＣがある基準に合致していない（例えば、静止時に適切にデータを暗号化しない）場合、ホストコンピュータは、ユーザがＵＳＢスティックに情報をコピーすることを防止し得る（２０２０）。更に、ホストコンピュータが、コピーされるデータの特質を検出することができる場合、コピーが起こることを可能にするか否かの決定（２０２０）は、データ自身と宛先デバイスのＳＳＣとの組み合わせに基づくことができる。同様の例は、デバイスの多くの他のタイプのために存在し得る。いくつかの実施形態では、デバイス間でのハンドシェイクが、ＳＳＣが常に送信されることを確実にするために修正され得る。例えば、ＵＳＢハンドシェイクプロトコルの一部として、ホストとスレーブデバイスの両方は、それらのＳＳＣを共有し得る。これは、デバイスが相互認証と認可を実行することを可能にし得る。

［0063］ また、デバイスは、デバイス自身上の取り扱に注意を要する情報へのアクセスを可能にするためにＳＳＣを利用し得る。例えば、信頼されたコンピューティング空間をもったデバイスは、ＳＳＣがある基準に合致する場合、デバイス上の暗号化された情報へのアクセスのみを許可するように構成され得る。信頼されたコンピューティングプロセッサは、暗号化されたボリュームにアクセスする試みを検出し得、そして、現在のＳＳＣがその暗号化されたボリュームについての基準に合致しているかどうかを決定し得る。ユーザが復号鍵を知っている場合でも、デバイスが（危険にさらされていた場合があり得る）もはや信頼されていないから、デバイスは、彼らが情報を解読することを防止し得る。これは、ＳＳＣがＳＲＣに従うことを求める、取扱に注意を要する記憶のために別個のコンポーネントを活用する特別に設計されたコンピューティングデバイスを可能にし得る。本質的に、取扱に注意を要する記憶のコンポーネントは、システムによって、別々のデバイスとして見られ得る。

［0064］ ハードウェアおよびソフトウェア製品は、準拠を確実にするようにＳＯＳを確立するために、パラメータと設定を自動的に構成するためのユーザに提供ＳＲＣと所望のＳＳＣ（利用可能な範囲内で）を利用することができる。製品構成においてパラメータの何の組み合わせが利用可能かを決定するためのユーザからの負担を取り除くことが、機能性と安全性を提供し得る。同様に、リソースの所有者は、あるサービスまたはデバイスが、かれらのリソースにアクセスしている間に非稼働にされる、または、停止されることを必要とし得る。自動設定とＱＳＭ自動評価プロセスの両方を活用することは、このタイプの動的構成がセキュリティ要件に合致するために、このタイプの構成を考慮し得る。

［0065］ ＳＳＣは、製品購入情報を提供することができる。製品の製造者は、消費者を、彼らの特定のセキュリティ環境の製品間の直接的な比較を実行するために考慮し得る。同様に、ｗｅｂサイトは、潜在的な消費者に、何の製品が彼らのセキュリティ要件に合致するかを学習するためにＳＲＣを提出することを許可し得る。これは、消費者に、どの製品が所望のセキュリティ強化または性能を生成するかを、購入を行う前に判断することを許可し得る。新製品や構成を実装することがどれくらい全体のセキュリティにインパクトを与え得るかを学習するために、システムのシミュレーションを実行するためのシステムを開発することさえも可能であり得る。製造者は、彼らがユーザに提供できるセキュリティの量を定量化することができ、彼らが、所与のセキュリティＳＲＣについて、競合者を超えてどのくらいのセキュリティを加えるであろうかを示し得る。

[0066] 様々な実施形態が上述されてきたが、それらは、例として提示されたのであり、限定ではないことが理解されるべきである。形態や具体例における様々な変更が、意図や範囲から逸脱することなくそれらにおいてなされ得ることが、関連技術における習熟した者には明らかである。事実、上記説明を読んだ後、如何に代替的な実施形態を実装するかは、関連技術において習熟した者には明らかであろう。

［0067］ 追加で、機能性や利点を強調した任意の図面は、例示の目的でのみ提示されている。開示された方法とシステムは、各々、示されているもの以外の方法でそれらが利用され得るように、十分に順応性があり、構成可能である。

[0068] 「少なくとも１つ（at least one）」の用語は、明細書、特許請求の範囲、および、図面においてしばしば用いられるが、「ａ」、「ａｎ」、「ｔｈｅ」、「ｓａｉｄ」、等の用語もまた、明細書、特許請求の範囲、および、図面において、「少なくとも１つ（at least one）」または「前記少なくとも１つ（the at least one）」を意味する。

［0069］ 最後に、「〜のための手段（means for）」または「〜のためのステップ（step for）」の明確な用語を含む特許請求の範囲の請求項のみが米国特許法１１２条（ｆ）項に基づいて解釈されることが出願人の意図である。「〜のための手段（means for）」または「〜のためのステップ（step for）」の句を明示的に含まない特許請求の範囲の請求項は、米国特許法１１２条（ｆ）項に基づいて解釈されない。

Claims (42)

1. セキュリティ評価方法であって、
   プロセッサと物理的なメモリとを含むセキュリティモジュールの前記プロセッサを用いて、システムの１つまたはそれより多くのコンポーネントへの分解を受け取ることと、
   セキュリティスコアを前記コンポーネントの各々に帰するように、前記プロセッサを用いて、前記コンポーネントの各々を評価することと、
   前記プロセッサを用いて、前記セキュリティスコアに基づいて、前記システムのための複合セキュリティスコアを生成することと、
   前記プロセッサを用いて、前記システムの確率的なセキュリティ劣化を特徴付ける低下率測定を生成することと、
   現在の複合セキュリティスコアを得るために、前記プロセッサを用いて、前記低下率測定を前記複合セキュリティスコアに適用することと、
   前記プロセッサを用いて、前記現在の複合セキュリティスコアを供給することと、
   を備えた、方法。
2. 前記システムの前記分解は、複数の階層的なコンポーネントを備え、
   各階層的なコンポーネントは、同意され、再現可能で、独立に検証可能な、セキュリティレベル決定を備える、請求項１に記載の方法。
3. 各セキュリティレベル決定は、セキュリティ目標スコア成分を備える、請求項２に記載の方法。
4. 各セキュリティレベル決定は、セキュリティカテゴリの重み付け成分を備える、請求項２に記載の方法。
5. 前記低下率測定は、前記システムと、セキュリティの様々なレベルの他のシステムとの間の予想される相互作用に基づく、請求項１に記載の方法。
6. 前記低下率測定は、関連付けられた失効日を備える、請求項１に記載の方法。
7. 前記現在の複合セキュリティスコアがセキュリティ要件を満足しているかどうかを決定するために、前記プロセッサを用いて、前記現在の複合セキュリティスコアを前記セキュリティ要件に対して比較することと、
   前記現在の複合セキュリティスコアが前記セキュリティ要件を満足している場合、前記プロセッサを用いて、前記システムが前記セキュリティ要件に関連付けられたタスクを実行することを許可することと、
   前記現在の複合セキュリティスコアが前記セキュリティ要件を満足していない場合、前記プロセッサを用いて、前記システムが前記セキュリティ要件に関連付けられたタスクを実行することを防止することと、
   を更に備えた、請求項１に記載の方法。
8. 前記プロセッサを用いて、前記現在の複合セキュリティスコアのセキュリティレーティング指標に対する比較を供給することを更に備えた、請求項１に記載の方法。
9. 前記プロセッサを用いて、前記現在の複合セキュリティスコアの前記セキュリティレーティング指標に対する前記比較に基づいて、前記システムのための受容可能なセキュリティの１つまたはそれより多くの表示を生成することを更に備えた、請求項８に記載の方法。
10. 前記プロセッサを用いて、少なくとも１つのセキュリティ要件を備えた前記システムのためのセキュリティ要件証明書を受け取ることを更に備えた、請求項１に記載の方法。
11. 前記システムが前記少なくとも１つのセキュリティ要件に合致しているかどうかを決定するために、前記プロセッサを用いて、前記現在の複合セキュリティスコアを前記セキュリティ要件証明書に対して比較することを更に備えた、請求項１０に記載の方法。
12. 前記プロセッサを用いて、少なくとも１つのアクセス要件を備えた前記システムのためのベースセキュリティスコア証明書を受け取ることを更に備えた、請求項１に記載の方法。
13. 前記システムが前記少なくとも１つのアクセス要件に合致するかどうかを決定するために、前記プロセッサを用いて、前記現在の複合セキュリティスコアを前記ベースセキュリティスコア証明書に対して比較することを更に備えた、請求項１２に記載の方法。
14. 前記複合セキュリティスコアは、セキュリティ要件重み付けによって乗ぜられたベースセキュリティスコアの積から引かれたセキュリティ低下率と時間要因との積 に等しい正規化されたセキュリティスコアを計算することによって生成され、
    前記ベースセキュリティスコアは、複数のセキュリティカテゴリスコアから計算され、
    前記セキュリティ要件重み付けは、複数のセキュリティ目標スコアから計算される、
    請求項１に記載の方法。
15. セキュリティ評価システムであって、
    プロセッサと物理的なメモリを含むセキュリティモジュールを備え、
    前記プロセッサは、
    システムの１つまたはそれより多くのコンポーネントへの分解を受け取ることと、
    セキュリティスコアを前記コンポーネントの各々に帰するように、前記コンポーネントの各々を評価することと、
    前記セキュリティスコアに基づいて、前記システムのための複合セキュリティスコアを生成することと、
    前記システムの確率的なセキュリティ劣化を特徴付ける低下率測定を生成することと、
    現在の複合セキュリティスコアを得るために、前記低下率測定を前記複合セキュリティスコアに適用することと、
    前記現在の複合セキュリティスコアを供給することと、
    を行うように構築され、配置された、システム。
16. 前記システムの前記分解は、複数の階層的なコンポーネントを備え、
    各階層的なコンポーネントは、同意され、再現可能で、独立に検証可能な、セキュリティレベル決定を備える、請求項１５に記載のシステム。
17. 各セキュリティレベル決定は、セキュリティ目標スコア成分を備える、請求項１６に記載のシステム。
18. 各セキュリティレベル決定は、セキュリティカテゴリの重み付け成分を備える、請求項１６に記載のシステム。
19. 前記低下率測定は、前記システムと、セキュリティの様々なレベルの他のシステムとの間の予想される相互作用に基づく、請求項１５に記載のシステム。
20. 前記低下率測定は、関連付けられた失効日を備える、請求項１５に記載のシステム。
21. 前記プロセッサは、更に、
    前記現在の複合セキュリティスコアがセキュリティ要件を満足しているかどうかを決定するために、前記現在の複合セキュリティスコアを前記セキュリティ要件に対して比較することと、
    前記現在の複合セキュリティスコアが前記セキュリティ要件を満足している場合、前記システムが前記セキュリティ要件に関連付けられたタスクを実行することを許可することと、
    前記現在の複合セキュリティスコアが前記セキュリティ要件を満足していない場合、前記システムが前記セキュリティ要件に関連付けられたタスクを実行することを防止することと、
    を行うよう構築され、配置される、請求項１５に記載のシステム。
22. 前記プロセッサは、更に、前記現在の複合セキュリティスコアのセキュリティレーティング指標に対する比較を供給するよう構築され、配置される、請求項１５に記載のシステム。
23. 前記プロセッサは、更に、前記現在の複合セキュリティスコアの前記セキュリティレーティング指標に対する前記比較に基づいて、前記システムのための受容可能なセキュリティの１つまたはそれより多くの表示を生成するよう構築され、配置される、請求項２２に記載のシステム。
24. 前記プロセッサは、更に、少なくとも１つのセキュリティ要件を備えた前記システムのためのセキュリティ要件証明書を受け取るよう構築され、配置される、請求項１５に記載のシステム。
25. 前記プロセッサは、更に、前記システムが前記少なくとも１つのセキュリティ要件に合致しているかどうかを決定するために、前記現在の複合セキュリティスコアを前記セキュリティ要件証明書に対して比較するよう構築され、配置される、請求項２４に記載のシステム。
26. 前記プロセッサは、更に、少なくとも１つのアクセス要件を備えた前記システムのためのベースセキュリティスコア証明書を受け取るよう構築され、配置された、請求項１５に記載のシステム。
27. 前記プロセッサは、更に、前記システムが前記少なくとも１つのアクセス要件に合致するかどうかを決定するために、前記現在の複合セキュリティスコアを前記ベースセキュリティスコア証明書に対して比較するよう構成される、請求項２６に記載のシステム。
28. 前記複合セキュリティスコアは、セキュリティ要件重み付けによって乗ぜられたベースセキュリティスコアの積から引かれたセキュリティ低下率と時間要因との積 に等しい正規化されたセキュリティスコアを計算することによって生成され、
    前記ベースセキュリティスコアは、複数のセキュリティカテゴリスコアから計算され、
    前記セキュリティ要件重み付けは、複数のセキュリティ目標スコアから計算される、
    請求項１５に記載のシステム。
29. セキュリティ評価方法であって、
    システムの１つまたはそれより多くのコンポーネントへの分解を受け取ることと、
    セキュリティスコアを前記コンポーネントの各々に帰するように、前記コンポーネントの各々を評価することと、
    前記セキュリティスコアに基づいて、前記システムのための複合セキュリティスコアを生成することと、
    前記システムの確率的なセキュリティ劣化を特徴付ける低下率測定を生成することと、
    現在の複合セキュリティスコアを得るために、前記低下率測定を前記複合セキュリティスコアに適用することと、
    前記現在の複合セキュリティスコアを供給することと、
    を備えた、方法。
30. 前記システムの前記分解は、複数の階層的なコンポーネントを備え、
    各階層的なコンポーネントは、同意され、再現可能で、独立に検証可能な、セキュリティレベル決定を備える、請求項２９に記載の方法。
31. 各セキュリティレベル決定は、セキュリティ目標スコア成分を備える、請求項３０に記載の方法。
32. 各セキュリティレベル決定は、セキュリティカテゴリの重み付け成分を備える、請求項３０に記載の方法。
33. 前記低下率測定は、前記システムと、セキュリティの様々なレベルの他のシステムとの間の予想される相互作用に基づく、請求項２９に記載の方法。
34. 前記低下率測定は、関連付けられた失効日を備える、請求項２９に記載の方法。
35. 前記現在の複合セキュリティスコアがセキュリティ要件を満足しているかどうかを決定するために、前記現在の複合セキュリティスコアを前記セキュリティ要件に対して比較することと、
    前記現在の複合セキュリティスコアが前記セキュリティ要件を満足している場合、前記システムが前記セキュリティ要件に関連付けられたタスクを実行することを許可することと、
    前記現在の複合セキュリティスコアが前記セキュリティ要件を満足していない場合、前記システムが前記セキュリティ要件に関連付けられたタスクを実行することを防止することと、
    を更に備えた、請求項２９に記載の方法。
36. 前記現在の複合セキュリティスコアのセキュリティレーティング指標に対する比較を供給することを更に備えた、請求項２９に記載の方法。
37. 前記現在の複合セキュリティスコアの前記セキュリティレーティング指標に対する前記比較に基づいて、前記システムのための受容可能なセキュリティの１つまたはそれより多くの表示を生成することを更に備えた、請求項３６に記載の方法。
38. システムのための少なくとも１つのセキュリティ要件証明書を受け取ることを更に備えた、請求項２９に記載の方法。
39. 前記システムが前記少なくとも１つのセキュリティ要件に合致しているかどうかを決定するために、前記現在の複合セキュリティスコアを前記少なくとも１つのセキュリティ要件証明書に対して比較することを更に備えた、請求項３８に記載の方法。
40. 前記システムのための少なくとも１つのアクセス要件を受け取ることを更に備えた、請求項２９に記載の方法。
41. 前記システムが前記少なくとも１つのアクセス要件に合致するかどうかを決定するために、前記現在の複合セキュリティスコアを前記少なくとも１つのアクセス要件に対して比較することを更に備えた、請求項４０に記載の方法。
42. 前記複合セキュリティスコアは、セキュリティ要件重み付けによって乗ぜられたベースセキュリティスコアの積から引かれたセキュリティ低下率と時間要因との積 に等しい正規化されたセキュリティスコアを計算することによって生成され、
    前記ベースセキュリティスコアは、複数のセキュリティカテゴリスコアから計算され、
    前記セキュリティ要件重み付けは、複数のセキュリティ目標スコアから計算される、
    請求項２９に記載の方法。

Images