セキュリティ品質評価技術～ゾーン分析による品質予測～

サイバー攻撃のリスクに対応するために法令等でセキュリティ分析が義務化されるが，セキュリティ品質を対外的に説明することは難しい．著者らは，製品開発におけるセキュリティプロセスとセキュリティ対策機能に対し，網羅度の観点で評価する仕組みを開発した．この評価方法は，評価時点での評価にとどまるため，開発の手戻りが大きくなる可能性がある．そこで，ソフトウェア開発における品質予測を行うゾーン分析に着目し，セキュリティ評価に拡張した方法を提案する．まず，MITRE ATT&CK等の攻撃ナレッジベースを参考に， x軸に「セキュリティ対策密度」，y軸に「緩和されたセキュリティ脅威の密度」を定義する．それぞれの軸の上限・下限の範囲から下限同士と上限同士の交点を結ぶ直線を引くことで複数の区画を生成し，それぞれの区画に品質の見解を割り当ててゾーンモデルを生成する．次に，セキュリティ品質評価対象のセキュリティ脅威および対策情報からゾーンモデルに評価点をプロットし，プロットされた点が属する区画に割り当てられた品質見解をセキュリティ品質の評価とする．この評価を開発途中の段階で複数回行うことで，脅威に対するセキュリティ対策の品質の予測を行うことができる．

Although security analysis is required by some security laws and regulations for mitigation to the risk of cyberattacks, it is difficult to explain security quality. We developed a mechanism to evaluate security processes and security functions coverage in product development. This evaluation method is limited to evaluate the condition of the target system at the time of evaluation, which may cause some reworks in development. Therefore, we focus on zone analysis to estimate software quality and propose a method that is extended to security evaluation. At first, define "Density of Security mitigations" on the x-axis and "Density of mitigated security threats" on the y-axis by referring to attack knowledge bases such as MITRE ATT&CK. Next, generate multiple sections by drawing a straight line connecting the intersection of the lower and upper points of each axis, and generate a zone model by setting a quality view to each section. Finally, plot the evaluation points on the zone model by the security threat and mitigations of the target product, and decide the quality view from the section belonging to plotted point. The target product’s quality of mitigations against security threats can be estimated by using the proposal method multiple times in the middle of development.