UML要求分析モデルとコモンクライテリアに基づくセキュリティ要求分析の統合手法

摘要

システム開発の上流工程でセキュリティ要求を定義することは，脆弱性の少ないシステムの開発のために有益である.しかし，開発者のセキュリティ知識の乏しさ，従来の開発方法とのミスマッチ，要求分析の複雑化などの問題から現状ではその手法は確立されていない.そのため，現状では開発の下流工程でセキユリティ要件として分析されているが，開発の手戻りにより開発時間，コストの増大が発生する. 本研究ではシステム開発の上流工程で開発の手戻りを抑制するセキュリティ要求分析手法として，UMLモデルによる機能の要求分析モデルに，コモンクライテリァを用いて分析したセキュリティ機能の要求分析モデルを統合する手法を提案する.また，統合したモデルから自動生成されるプロトタイプを用いて顧客とのセキュリティ要求の確認を行うことで分析漏れを減少させる.%Analyzing security requirements for a system at an early stage of development is effective in developing a system with lesser vulnerability. However, general application developers do not have rich security knowledge. Moreover, requirements of recent systems increasingly have many factors of wide variety and complexity. Thus, there is no useful method for general developers to analyze and verify security requirements at an early stage of development. Because security requirements are currently analyzed in a lower process of development, the production rework causes increase of development periods and costs. To reduce product rework in the upper process of a system development, we propose a security requirements analysis technique that integrates a UML based requirements analysis model with the requisite security functions derived from Common Criteria. Because the customers can confirm the security requirements using automatic generated prototype from the integrated models, some oversights in analyzing security requirements can be reduced.