JP2007141180A - 情報処理システム - Google Patents

Abstract

【課題】機密情報がサーバからローカルマシンにダウンロードされて作業が行われる環境において機密情報の保護を実現することができる情報処理システムを提供する。
【解決手段】補助記憶手段を有さないユーザ端末と、機密ファイルを保持する機密ファイルサーバとを含んだ情報処理システムにおいて、前記ユーザ端末は、主記憶手段上のみで動作可能なＯＳを含み、当該ＯＳ上にインストールされたアプリケーションにより、前記機密ファイルサーバにアクセスし、前記機密ファイルを利用・編集することを特徴とする情報処理システム。
【選択図】図１

Description

本発明は、機密情報が漏洩等しないように管理された情報処理システムに関し、特に、機密情報がサーバからローカルマシンにダウンロードされて作業が行われる環境において機密情報の保護を実現することができる情報処理システムに関するものである。

従来、機密情報がサーバからローカルマシンにダウンロードされて作業が行われるような場面においては、ローカルマシンの記憶装置（ハードディスク等）やリムーバブルメディアに機密ファイルが保存される際に、強制的に暗号化して保存させることにより、機密情報の漏洩を防止することが一般的に行われている。これにより、万が一、機密ファイルがローカルマシンの外部に持ち出されたとしても、ファイルが暗号化されているため、機密情報漏洩を防ぐことができる。

例えば、特許文献１に記載のシステムでは、アプリケーションプログラムからオペレーティングシステムへ発行する記憶装置へのデータ読み込み・書き出し要求を横取りし、書き出し要求の際にはデータを暗号化するための暗号鍵をネットワークで接続している鍵管理コンピュータから取り寄せ、この暗号鍵でデータを暗号化して記憶装置に保存し、また、読み込み要求の際には記憶装置から暗号化データを読み出し、この暗号化データを復号するための鍵を鍵管理コンピュータから取り寄せ、この暗号鍵で暗号化データを復号して取り出した元のデータをアプリケーションプログラムに渡すという方法をとっている。これにより、ユーザが煩わしい操作を行なうことなく記憶装置内のデータの盗み見や改変を防止することができ、また、コンピュータ自身が盗難されたとしても記憶装置内のデータを盗聴から防止することが可能となっている。

また、リムーバブルデバイスや印刷デバイスへのアクセス制御をＯＳ（オペレーティングシステム）レベルで行うことにより、機密情報が平文のまま外部に流出してしまうのを防ぐ技術も提案され、実装されている。

特開平１１−１４９４１４号公報。

しかしながら、上記したような自動ファイル暗号化を行うシステムにおいても、一定の権限を有するユーザの行為により機密情報が漏洩してしまう可能性がある。例えば、編集権限のあるユーザは、機密情報の編集作業中に、平文の機密情報を他のアプリケーションにコピー＆ペーストしたり、暗号化されないフォルダに保存したりすることが可能である。このため、機密情報の保護が完全に実現されているとは言い難い。

一方で、上記したようなＯＳレベルでの強制的なファイル暗号化システムでは、様々なアプリケーションの利用に制限をかけることになってしまい、利便性が損なわれるという問題点がある。また、たとえ暗号化されているとしても、ローカルマシンの記憶装置などに機密ファイルが保存されるのを避けたいという要求もある。

本発明は、このような実情に鑑みてなされたものであり、機密情報がサーバからローカルマシンにダウンロードされて作業が行われる環境において、ユーザによるいかなる行為によっても機密情報が漏洩せず、かつ、ローカルマシン環境の利便性を損なわない情報処理システムを提供しようとするものである。

上記解決課題に鑑みて鋭意研究の結果、本発明者は、ユーザ端末に対して、ユーザ端末の主記憶上のみで稼働するＯＳ及びアプリケーションを配信し、当該ＯＳ及びアプリケーションにより機密ファイルを取り扱う際には、ユーザ端末の２次記憶装置やネットワーク上の所定サーバ以外の機器に機密ファイルを保存、複製するのを一切禁止した情報処理システムに想到した。

すなわち、本発明は、補助記憶手段を有さないユーザ端末と、機密ファイルを保持する機密ファイルサーバとを含んだ情報処理システムにおいて、前記ユーザ端末は、主記憶手段上のみで動作可能なＯＳを含み、当該ＯＳ上にインストールされたアプリケーションにより、前記機密ファイルサーバにアクセスし、前記機密ファイルを利用・編集することを特徴とする情報処理システムを提供するものである。

本発明の情報処理システムにおいて、前記ユーザ端末は、ブート時にネットワークを通じてＯＳを主記憶手段上に取得し、当該ＯＳの起動を行うことを特徴とする。いわゆるネットワークブートを行うことにより、ハードディスク等の補助記憶装置を有さないユーザ端末において、システム管理側が配信するＯＳを起動させることができる。

本発明の情報処理システムにおいて、前記ユーザ端末は、ブート時に外部記録媒体からＯＳを主記憶手段上に取得し、当該ＯＳの起動を行うことを特徴とする。例えば、当該ＯＳを記録したＣＤ−ＲＯＭによりＣＤ−ＲＯＭブートを行うことができる。

本発明の情報処理システムにおいて、前記ＯＳ上には、ネットワークアクセス監視手段がインストールされており、前記ネットワークアクセス監視手段により、前記ユーザ端末によるネットワーク上の他端末へのアクセスが制御されることを特徴とする。例えば、アクセス先の端末のアドレスやユーザアカウントなどの情報に基づいて適切なアクセス制御を行うことができる。

本発明の情報処理システムにおいて、前記ユーザ端末は、前記アプリケーションにより、前記機密ファイルを所定の機密ファイルサーバ以外の場所に保存することを禁止されていることを特徴とする。これにより、機密ファイルがユーザ端末内に保存、複製されることのみならず、ネットワーク上の他端末に保存されたり、メール送信、ＦＴＰ転送などが行われたりするのを防ぐことができる。

本発明は、また、主記憶手段上のみで動作可能なＯＳを含むユーザ端末と、機密ファイルを保持する機密ファイルサーバとを含んだ情報処理システムにおいて、前記ＯＳ上には、前記ユーザ端末において前記機密ファイルサーバにアクセスして前記機密ファイルを利用・編集するためのアプリケーションと、前記機密ファイルが前記ユーザ端末の補助記憶手段に保存されるのを禁止するディスクアクセス制御手段とがインストールされていることを特徴とする情報処理システムを提供するものである。

本発明の情報処理システムにおいて、前記ユーザ端末は、ブート時にネットワークを通じてＯＳを主記憶手段上に取得し、当該ＯＳの起動を行うことを特徴とする。いわゆるネットワークブートを行うことにより、ハードディスク等の補助記憶装置を有さないユーザ端末において、システム管理側が配信するＯＳを起動させることができる。

本発明の情報処理システムにおいて、前記ユーザ端末は、ブート時に外部記録媒体からＯＳを主記憶手段上に取得し、当該ＯＳの起動を行うことを特徴とする。例えば、当該ＯＳを記録したＣＤ−ＲＯＭによりＣＤ−ＲＯＭブートを行うことができる。

本発明の情報処理システムにおいて、前記ＯＳ上には、ネットワークアクセス監視手段がインストールされており、前記ネットワークアクセス監視手段により、前記ユーザ端末によるネットワーク上の他端末へのアクセスが制御されることを特徴とする。例えば、アクセス先の端末のアドレスやユーザアカウントなどの情報に基づいて適切なアクセス制御を行うことができる。

本発明の情報処理システムにおいて、前記ユーザ端末は、前記アプリケーションにより、前記機密ファイルを所定の機密ファイルサーバ以外の場所に保存することを禁止されていることを特徴とする。これにより、機密ファイルがユーザ端末内に保存、複製されることのみならず、ネットワーク上の他端末に保存されたり、メール送信、ＦＴＰ転送などが行われたりするのを防ぐことができる。

以上、説明したように、本発明によれば、機密情報がサーバからローカルマシンにダウンロードされて作業が行われる環境において、ユーザによるいかなる行為によっても機密情報が漏洩せず、かつ、ローカルマシン環境の利便性を損なわない情報処理システムが実現される。本発明の情報処理システムでは、ユーザ端末に対して配信するＯＳ上にインストールされる全てのアプリケーションに対して、機密ファイルの複製、送信、印刷等を制限することができるため、徹底した機密情報保護を行うことができる。

以下、添付図面を参照しながら、本発明の機密情報保護のための情報処理システムを実施するための最良の形態を詳細に説明する。図１〜図７は、本発明の実施の形態を例示する図であり、これらの図において、同一の符号を付した部分は同一物を表わし、基本的な構成及び動作は同様であるものとする。

[第１実施形態]
図１は、本発明の情報処理システムの第１実施形態について、システム構成を概略的に示す図である。図１において、本システムは、ユーザ端末101、ＯＳ配信サーバ102、機密ファイルサーバ103、ユーザ情報・アクセス管理ＤＢ104から構成されている。ユーザ端末101、ＯＳ配信サーバ102、機密ファイルサーバ103は、ネットワーク105に接続されており、機密ファイルサーバ103とユーザ情報・アクセス管理ＤＢ104とが接続されている。

ユーザ端末101は、ＯＳ106により稼動され、ＯＳ106上にはアプリケーション107及びネットワーク監視モジュール108がインストールされている。本システムにおいて、ユーザ端末101は、ハードディスク等の２次記憶装置を持たないディスクレスクライアントであり、データは全てＲＡＭなどの主記憶上に保持される。ユーザ端末101は、起動時にＯＳ配信サーバ102にアクセスして、アプリケーション107及びネットワーク監視モジュール108がインストールされたＯＳ106をダウンロードして、主記憶上で実行する。

このような起動方式はネットワークブートと呼ばれる。Windows EmbeddedやLinuxはネットワークブートが可能な代表的ＯＳである。一般的に、ネットワークブートを行うには、特殊なネットワークカードが必要となる。例えば、ＰＸＥ（Pre-boot eXecution Environment）対応のネットワークカードでは、カードのＲＯＭ部分に、ユーザ端末の電源投入時に実行されるプログラムがインストールされており、ＯＳ配信サーバで稼動中のＤＨＣＰサービスからＩＰアドレスが割り当てられた後、ＯＳ配信サーバよりネットワークブート用プログラムをダウンロードする。その後、随時、ネットワークブート用プログラムによりＯＳをダウンロードする。

本実施形態では、ユーザ端末101は、ネットワークブートによるＯＳ起動を行うものとする。ＯＳは仮想的なドライブを必要とするが、Windows Embeddedの場合にはＲＡＭディスク上にファイルシステムが構築され、Linuxの場合にはＮＦＳによりネットワーク上の他のマシン上にルートファイルシステムが構築されるため、２次記憶装置を持たないユーザ端末101においても仮想ドライブの構築が可能である。

機密ファイルサーバ103は、機密ファイル109を格納するファイルサーバである。機密ファイルサーバ103へのアクセスには認証が必要であり、ユーザ認証とログ収集を行うユーザ情報・アクセス管理ＤＢ104が接続されている。ユーザは、ユーザ端末101のアプリケーション107により機密ファイルサーバ103にアクセスし、機密ファイル109をユーザ端末101の主記憶上に読み出して利用・編集することができるが、編集後の機密ファイル109は、機密ファイルサーバ103にのみ保存されるよう、ネットワーク監視モジュール108により制御されている。ここで、ユーザ端末101は２次記憶装置を持たないため、機密ファイルサーバ103から読み出した機密ファイル109をローカルに保存・複製することはできない。また、ネットワーク監視モジュール108により、メールサーバやＦＴＰサーバ等へのアクセスも制限しておくのが好ましい。これにより、機密ファイル109のネットワーク経由の流出が防止される。

さらに、ＯＳ配信サーバ102により配信するＯＳ106が保持するドライバを必要最低限のもののみ制限することで、印刷やＵＳＢ接続のリムーバブルメディア等の使用をも制限し、機密ファイル109の情報漏洩の防止が徹底される。ＯＳ106は、ユーザ端末101において機密ファイル109の保存・複製・出力等を行い得る全てのデバイスに対してドライバを持たないようにしておくのが望ましい。

図２は、図１に示すユーザ端末101のハードウェア構成図である。図２において、ユーザ端末101は、通常のＰＣと同様、ＣＰＵ201、主記憶装置202、入出力装置203、制御装置204、ネットワークカード206を搭載しているが、２次記憶装置205は搭載していない。ネットワークカード206は、ネットワークブートが可能なＲＯＭチップが搭載されたＰＸＥ対応のネットワークカードを使用する。

図３は、図１に示すユーザ情報・アクセス管理ＤＢ104が保持するデータ構成を示すテーブル図である。図３において、ユーザ情報・アクセス管理ＤＢ104は、利用者情報管理テーブル300とアクセスログ管理テーブル303の２つのテーブルを保持している。利用者情報管理テーブル300には、ユーザＩＤ301とパスワード302が保持されており、アクセスログ管理テーブル303には、機密ファイルサーバ103上の機密ファイル109に関して、ファイルパス304とアクセスログ305が保持されている。ユーザＩＤは、機密ファイルサーバ103にアクセス可能なユーザのアカウントであり、パスワードはユーザ認証のために用いられるものである。このように、ユーザ情報・アクセス管理ＤＢ104において、いずれのユーザがいずれの機密ファイルに何時にアクセスしたのかというログを収集することにより、機密ファイル109の不正使用を防止することができる。

図４は、図１に示すユーザ端末101のＯＳ106上にインストールされたネットワーク監視モジュール108が保持するアクセス制御テーブルのデータ構成を示すテーブル図である。図４において、アクセス制御テーブル400には、ユーザ端末が101アクセス対象とする、ネットワーク105に接続された各種サーバ等のＩＰアドレスと、それぞれに対するユーザアカウントごとのアクセス許可情報とが保持されている。このアクセス制御テーブルは、ＯＳ配信サーバ102により配信されるＯＳ106に含まれていてもよいし、ユーザ端末101がネットワークアクセスする際に、ＯＳ配信サーバ102又は他のサーバから動的にダウンロードしてもよい。ネットワーク監視モジュール108は、図４に示すアクセス制御テーブルを参照して、ユーザ端末101からネットワーク105上の他のマシンへのアクセスを制御する。例えば、ＩＰアドレス123.1.2.123のマシンへのアクセスは、アカウントがSuzukiのユーザに対しては許可するが、アカウントがYamadaのユーザに対しては許可しない。ネットワーク監視モジュール108によるアクセス制御は、ＩＰレベルでパケットフィルタリングを行うなど、様々な方法で実現することができる。尚、サーバ等のＩＰアドレスだけでなく、アクセス対象のファイル名やファイルタイプなどによってアクセス制御を行うこともできる。

図５は、本実施形態の情報処理システムにおいて、ユーザ端末101がネットワークブートする際の動作の流れを示すフローチャートである。図５において、利用者がユーザ端末101の電源をオンにすると（ステップ501）、ＢＩＯＳがネットワークカードに搭載されているＲＯＭ内のプログラムを実行する（ステップ502）。通常のＰＣの場合、ＢＩＯＳは２次記憶装置に格納されているＯＳイメージを実行するが、本システムでは上記のように動作するようＢＩＯＳの設定を変更している。起動されたプログラムは、ＯＳ配信サーバ102のＤＨＣＰサービスよりＩＰアドレスを取得した後（ステップ503）、再度ＯＳ配信サーバ102にアクセスして、ＯＳ106をダウンロードする（ステップ504）。ダウンロードしたＯＳ106は、ユーザ端末101の主記憶上に構成されるＲＡＭディスクにコピーされ、実行される（ステップ505）。以上のようにして、２次記憶装置を持たないユーザ端末101上でＯＳ106を起動することができる。

図６は、本実施形態の情報処理システムにおいて、機密ファイルサーバ103が保持する機密ファイル109をユーザ端末101上で編集・利用する際の動作の流れを示すフローチャートである。図６において、利用者がユーザ端末101において機密ファイルサーバ103上の機密ファイル109に対してアクセス要求を行うと（ステップ601）、ＯＳ106上のネットワーク監視モジュール108により、アクセス制御テーブルを参照して、利用者の機密ファイルサーバ103へのアクセス認証を行う（ステップ602）。認証に失敗すれば、アクセス拒否メッセージを表示して終了する（ステップ607）。認証に成功すれば、ユーザ端末101は、ネットワーク105経由で機密ファイルサーバ103にアクセスし、機密ファイル109を主記憶上にダウンロードする（ステップ604）。ダウンロードされた機密ファイル109は、ＯＳ106上のアプリケーション107を用いて、利用・編集することができる（ステップ605）。編集後の機密ファイル109は、ネットワーク監視モジュール108の制御によって、機密ファイルサーバ103にのみ保存することができるようになっている（ステップ606）。このとき、上記したようにユーザ端末101は、機密ファイル109をローカルや遠隔の他サーバに保存することができないように制御されているため、機密ファイル109の情報保護が適切に行われている。

[第２実施形態]
図７は、本発明の情報処理システムの第２実施形態について、システム構成を概略的に示す図である。図７において、本システムは、ユーザ端末701、ＯＳ配信サーバ702、機密ファイルサーバ103、ユーザ情報・アクセス管理ＤＢ104から構成されている。ユーザ端末701、ＯＳ配信サーバ702、機密ファイルサーバ103は、ネットワーク105に接続されており、機密ファイルサーバ103とユーザ情報・アクセス管理ＤＢ104とが接続されている。

ユーザ端末701は、ＯＳ706により稼動され、ＯＳ706上にはアプリケーション107、ネットワーク監視モジュール108、ディスクアクセス制御モジュール711がインストールされている。本システムでは、第１実施形態とは異なり、ユーザ端末701が２次記憶装置710を有している。しかしながら、ＯＳ706に関しては、第１実施形態と同様にネットワークブートで主記憶上にロードされて実行されるように構成されている。

ＯＳ706にインストールされたディスクアクセス制御モジュール711は、２次記憶装置710へのアクセスを制御するためのモジュールであり、アプリケーション107による２次記憶装置710への書き込みを禁止するデバイスドライバとして実装される。これにより、ユーザ端末701において機密ファイルサーバ103から機密ファイル109を主記憶上に読み出して利用・編集する際に、機密ファイル109が２次記憶装置710に保存・複製等されてしまうのを防止することができる。その他の動作、処理等については、第１実施形態と同様である。

尚、本システムでは、２次記憶装置710にもＯＳをインストールしておき、機密ファイルを利用しない一般的な作業においては、２次記憶装置710上のＯＳを用いることとし、機密ファイルサーバ103上の機密ファイル109を利用・編集する必要が生じた時に、ＯＳ706のネットワークブートを行って、このＯＳ706上で処理を行うようにすることができる。このようにすれば、ユーザは機密ファイル以外のファイルを扱う際には、ファイル保存、メール通信、印刷などを自由に行うことができるので、機密ファイル保護のためにユーザの利便性が損なわれることはほとんどない。

以上、本発明の機密情報保護のための情報処理システムについて、具体的な実施の形態を示して説明したが、本発明はこれらに限定されるものではない。当業者であれば、本発明の要旨を逸脱しない範囲内において、上記各実施形態又は他の実施形態にかかる発明の構成及び機能に様々な変更・改良を加えることが可能である。

例えば、上記した各実施形態では機密ファイルを利用・編集するためのＯＳをネットワークブートによって起動しているが、このＯＳを記録したＣＤ−ＲＯＭを用いてＣＤ−ＲＯＭブートするなどしてもよい。

本発明の機密情報保護のための情報処理システムは、ユーザ端末、ＯＳ配信サーバ、機密ファイルサーバといったコンピュータ装置として構成されるハードウェア資源が協働することにより、ユーザによる機密ファイルの利用・編集を可能にする一方で、機密ファイルの複製や印刷等を効果的に防止するシステムが具体的に実現されたものであるから、産業上利用することができる発明である。

第１実施形態の情報処理システムの構成を概略的に示す図である。 図１に示すユーザ端末のハードウェア構成図である。 図１に示すユーザ情報・アクセス管理ＤＢが保持するデータ構成を示すテーブル図である。 図１に示すユーザ端末のＯＳ上にインストールされたネットワーク監視モジュールが保持するアクセス制御テーブルのデータ構成を示すテーブル図である。 図１に示すユーザ端末がネットワークブートする際の動作の流れを示すフローチャートである。 図１に示すユーザ端末上で機密ファイルサーバが保持する機密ファイルを編集・利用する際の動作の流れを示すフローチャートである。 第２実施形態の情報処理システムの構成を概略的に示す図である。

符号の説明

101,701 ユーザ端末
102,702 ＯＳ配信サーバ
103 機密ファイルサーバ
104 ユーザ情報・アクセス管理ＤＢ
105 ネットワーク
107 アプリケーション
108 ネットワーク監視モジュール
109 機密ファイル
201 ＣＰＵ
202 主記憶装置
203 入出力装置
204 制御装置
205 ２次記憶装置
206 ネットワークカード
300 利用者情報管理テーブル
303 アクセスログ管理テーブル
400 アクセス制御テーブル
710 ２次記憶装置
711 ディスクアクセス制御モジュール

Claims (8)

1. 補助記憶手段を有さないユーザ端末と、機密ファイルを保持する機密ファイルサーバとを含んだ情報処理システムにおいて、
   前記ユーザ端末は、主記憶手段上のみで動作可能なＯＳを含み、当該ＯＳ上にインストールされたアプリケーションにより、前記機密ファイルサーバにアクセスし、前記機密ファイルを利用・編集することを特徴とする情報処理システム。
2. 前記ユーザ端末は、ブート時に、ネットワークを通じて又は外部記録媒体からＯＳを主記憶手段上に取得し、当該ＯＳの起動を行うことを特徴とする請求項１に記載の情報処理システム。
3. 前記ＯＳ上には、ネットワークアクセス監視手段がインストールされており、前記ネットワークアクセス監視手段により、前記ユーザ端末によるネットワーク上の他端末へのアクセスが制御されることを特徴とする請求項１又は２に記載の情報処理システム。
4. 前記ユーザ端末は、前記アプリケーションにより、前記機密ファイルを所定の機密ファイルサーバ以外の場所に保存することを禁止されていることを特徴とする請求項１から３のいずれか１項に記載の情報処理システム。
5. 主記憶手段上のみで動作可能なＯＳを含むユーザ端末と、機密ファイルを保持する機密ファイルサーバとを含んだ情報処理システムにおいて、
   前記ＯＳ上には、前記ユーザ端末において前記機密ファイルサーバにアクセスして前記機密ファイルを利用・編集するためのアプリケーションと、前記機密ファイルが前記ユーザ端末の補助記憶手段に保存されるのを禁止するディスクアクセス制御手段とがインストールされていることを特徴とする情報処理システム。
6. 前記ユーザ端末は、ブート時に、ネットワークを通じて又は外部記録媒体からＯＳを主記憶手段上に取得し、当該ＯＳの起動を行うことを特徴とする請求項５に記載の情報処理システム。
7. 前記ＯＳ上には、ネットワークアクセス監視手段がインストールされており、前記ネットワークアクセス監視手段により、前記ユーザ端末によるネットワーク上の他端末へのアクセスが制御されることを特徴とする請求項５又は６に記載の情報処理システム。
8. 前記ユーザ端末は、前記アプリケーションにより、前記機密ファイルを所定の機密ファイルサーバ以外の場所に保存することを禁止されていることを特徴とする請求項５から７のいずれか１項に記載の情報処理システム。

Images