JP2005293426A - 内部電子情報漏洩防止システム、内部電子情報漏洩防止プログラムおよびコンピュータで読み取り可能な記録媒体または記憶した機器 - Google Patents

Abstract

【課題】セキュリティ管理の外部委託を可能とし、ネットワーク内部での不正アクセスを監視してデータ漏洩を確実に阻止する。
【解決手段】内部電子情報漏洩防止システムは、各端末に接続された入出力デバイスの動作を監視し、入出力デバイスが予め規定された制限動作を行おうとした場合に制限動作情報を送信する入出力監視部と、入出力監視部から制限動作情報を受けると該端末を動作不能なロック状態に移行させ、ロック解除信号を受け取るまでロック状態を解除しないロック部と、ローカルネットワークと外部ネットワークを介して接続され、ローカルネットワーク内でロック部によってロック状態に移行されると、ロック解除の権限を有する所定の連絡先にロック状態である旨およびその理由となった制限動作情報を通知すると共に、ロック解除の承認を得た場合にロック部にロック解除信号を送信する外部管理部とを備える。
【選択図】図１

Description

本発明は、内部からのデータなどの持ち出しを監視して内部電子情報の漏洩を防止可能な内部電子情報漏洩防止システム、内部電子情報漏洩防止プログラムおよびコンピュータで読み取り可能な記録媒体または記憶した機器に関する。

近年、個人データの漏洩など、不正な手段で重要情報を入手して流出する事件が相次いで発生しており、データ管理の重要性、特に秘密情報の管理と漏洩防止の重要性が注目されている。このような観点から、データの不正アクセスや機密情報の漏洩を防止するためのソフトウェアやシステムが開発されている（例えば特許文献１、２等参照）。
特開２００３−１９８７５６号公報 特開平７−１３１４５１号公報

しかしながら、従来のソフトウェアやシステムにおいては、いずれも外部からの不正アクセスを防止するという観点から設計されており、内部からの犯行には無力であった。いいかえると、社内ＬＡＮの例では外部からアクセス権のないものによる攻撃に対しては有効に機能し得るが、アクセス権を有する社内の人間がデータを持ち出すことについては何ら対抗できなかった。一方で近年の機密情報漏洩事件をみると、社内の人間によるデータ持ち出しが原因となっている事例が多くあり、このような社内でのデータ管理に対しても何らかの対策が必要であると思われるが、従来このようなネットワーク内でのアクセス管理は殆ど行われておらず、また内部の者による不正アクセスに有効に対抗し得るシステムは存在していなかった。

また一方で、システムの管理を誰が行うべきかという問題がある。従来は、社内のシステムエンジニアなどが社内ネットワークのシステム管理者として機能することが一般的であったが、外部からの不正アクセスのみならずネットワーク内部における不正アクセスをも管理するには負担が大きくなる。一方で増大するデータ漏洩事件に対処するため２００３年５月に個人情報保護法が公布された。この法律によって情報漏洩者に対する罰則が強化されると共に、システム管理者の責務も明確化されており、データ漏洩事故に対してシステム管理者も一定の責任を負わなければならなくなった。このような重責を承知の上でシステム管理者を務める者あるいは務められる者は少なく、社員の中から引き受け手や適任者を選出することは困難である。またネットワーク内すなわち会社内部のデータ漏洩を監視することは、他の社員の行動を逐一監視することにも繋がるため、監視される側のみならず監視する側においても抵抗感があり、またプライバシー保護の問題なども考慮すべきであるため、適切な運用が極めて困難であった。

本発明は、このような状況に鑑み、システム管理の外部委託が必要との発想に基づいてなされたものである。本発明の主な目的は、ネットワーク内部での不正アクセスを管理し、データ漏洩を確実に阻止して重要情報を保護できる内部電子情報漏洩防止システム、内部電子情報漏洩防止プログラムおよびコンピュータで読み取り可能な記録媒体または記憶した機器を提供することにある。

上記の目的を達成するために、本発明の内部電子情報漏洩防止システムは、入出力デバイスを接続した複数の端末同士がネットワーク接続されたローカルネットワークにおいてセキュリティを管理するための内部電子情報漏洩防止システムであって、各端末に接続された入出力デバイスの動作を監視し、入出力デバイスが予め規定された制限動作を行おうとした場合に制限動作情報を送信する入出力監視部と、入出力監視部から制限動作情報を受けると該端末を動作不能なロック状態に移行させ、ロック解除信号を受け取るまでロック状態を解除しないロック部と、ローカルネットワークと外部ネットワークを介して接続された外部管理部であって、ローカルネットワーク内でロック部によってロック状態に移行されると、ロック解除の権限を有する所定の連絡先にロック状態である旨およびその理由となった制限動作情報を通知すると共に、ロック解除の承認を得た場合にロック部にロック解除信号を送信する外部管理部とを備える。これによって、データの漏洩などセキュリティ上問題となるおそれがある動作を予め制限動作として規定しておくことで、該制限動作を検出すると端末をロック状態として問題とされた動作を中止させ、ローカルネットワーク内部からのデータ漏洩などを未然に防止できる。またネットワーク外部におかれた外部管理部でなければロックが解除できない構成とすることで、ネットワーク内部の者であってもロックを解除してデータを取得することもできず、安全性が保たれる。特に外部管理部は、会社役員など決裁権のある者にロック状態解除の承認を得てからロック解除信号を送信してロックを解除するため、コントロールが確実に行われる。このようにネットワーク内部でのセキュリティ上問題となる動作を排除し、さらにシステムの復旧に責任者の承認を得る構成とすることで、高いセキュリティを維持できる。

また本発明の他の内部電子情報漏洩防止システムは、外部管理部が、ローカルネットワークとＶＰＮを介して接続されている。これにより、ローカルネットワークとこれを外部から管理する外部管理部との通信をセキュアにでき、この通信傍受による情報の漏洩のおそれを極限できる。

さらに本発明の他の内部電子情報漏洩防止システムは、ＶＰＮによる接続が確立できない場合には、外部管理部がロック解除の権限を有する所定の連絡先に接続できない旨を通知する。これにより、ＶＰＮの接続が切断され外部管理部が外部からローカルネットワークを監視できなくなると、責任者にその旨が警告されるため、速やかに適切な対策を講じることが可能となる。

さらにまた本発明の他の内部電子情報漏洩防止システムは、ロック部が、入出力監視部から生成した制限動作情報のログを記録する。これによって、端末毎の動作履歴を記録でき、問題のある動作の特定や監視に役立てることができる。

さらにまた本発明の他の内部電子情報漏洩防止システムは、制限動作が、ローカルネットワーク内部の端末もしくはサーバに記録されたデータのリムーバブルメディアへのコピーまたはローカルネットワーク外部へのデータ送信を含む。これによって、データをネットワーク内部から持ち出すことを禁止できる。なお本明細書においてリムーバブルメディアとは携行可能な記録媒体であり、リムーバブルハードディスクや各種記録媒体が含まれる。

さらにまた本発明の他の内部電子情報漏洩防止システムは、ロック部が、ローカルネットワーク内での端末同士の間で固定ディスク間のデータのコピー動作を許可する。これによって、ローカルネットワーク内の閉じたネットワーク内部でのデータの受け渡しといったデータ漏洩のおそれのない行為については認証手続きなどの手間を省いて、効率的な運用が可能となる。

さらにまた本発明の他の内部電子情報漏洩防止システムは、ロック状態に移行されると該端末の再起動動作も不可能な状態となる。これによって、再起動により強制的にロック状態を解除するような手法も無効とすることができ、ロック状態をより強固に保持してセキュリティを高めることができる。

さらにまた本発明の他の内部電子情報漏洩防止システムは、ロック解除の権限を有する所定の連絡先が、ローカルネットワークにおいて決裁権を有する決済者への連絡先である。これによって、ネットワーク外部の外部管理部がネットワーク内部の決裁権を有する決済者に直接問い合わせてロック解除の承認を得るため、ローカルネットワークのコントロール権限を責任者が保持でき、かつ責任者への連絡を必要時のみに限定することで責任者の負担を軽減することができ、システムの適切な運用が図られる。

また本発明の内部電子情報漏洩防止プログラムは、入出力デバイスを接続した複数の端末同士がネットワーク接続されたローカルネットワークにおいてセキュリティを管理するための内部電子情報漏洩防止プログラムであって、各端末に接続された入出力デバイスの動作を監視し、入出力デバイスが予め規定された制限動作を行おうとした場合に制限動作情報を送信する入出力監視機能と、入出力監視機能により制限動作情報の送信を受けると該端末を動作不能なロック状態に移行させ、ロック解除信号を受け取るまでロック状態を解除しないロック機能とをコンピュータに実現させ、ローカルネットワーク内でロック機能によってロック状態に移行されると、ローカルネットワークと外部ネットワークを介して接続された外部管理部がロック解除の権限を有する所定の連絡先にロック状態である旨およびその理由となった制限動作情報を通知すると共に、ロック解除の承認を得た場合にロック解除信号を送信してロック機能を解除するよう構成している。これによって、データの漏洩などセキュリティ上問題となるおそれがある動作を予め制限動作として規定しておくことで、該制限動作を検出すると端末をロック状態として問題とされた動作を中止させ、ローカルネットワーク内部からのデータ漏洩などを未然に防止できる。またネットワーク外部におかれた外部管理部でなければロックが解除できない構成とすることで、ネットワーク内部の者であってもロックを解除してデータを取得することもできず、安全性が保たれる。特に外部管理部は、会社役員など決裁権のある者にロック状態解除の承認を得てからロック解除信号を送信してロックを解除するため、コントロールが確実に行われる。このようにネットワーク内部でのセキュリティ上問題となる動作を排除し、さらにシステムの復旧に責任者の承認を得る構成とすることで、高いセキュリティを維持できる。

さらに本発明の他の内部電子情報漏洩防止プログラムは、入出力監視機能が、ＨＩＤを監視、制御する。これにより、端末のコンピュータに接続されたＨＩＤを監視するため、アプリケーションプログラムを選ばず使用できる。

また本発明のコンピュータで読み取り可能な記録媒体または記憶した機器は、上記内部電子情報漏洩防止プログラムを記録している。記録媒体には、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＣＤ−ＲＷやフレキシブルディスク、磁気テープ、ＭＯ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＤＶＤ−Ｒ、ＤＶＤ−ＲＷ、ＤＶＤ＋Ｒ、ＤＶＤ＋ＲＷ、Ｂｌｕ−ｒａｙ、ＨＤ ＤＶＤ（ＡＯＤ）等の磁気ディスク、光ディスク、光磁気ディスク、半導体メモリその他のプログラムを格納可能な媒体が含まれる。またプログラムには、上記記録媒体に格納されて配布されるものの他、インターネット等のネットワーク回線を通じてダウンロードによって配布される形態のものも含まれる。さらに記憶した機器には、上記プログラムがソフトウェアやファームウェア等の形態で実行可能な状態に実装された汎用もしくは専用機器を含む。さらにまたプログラムに含まれる各処理や機能は、コンピュータで実行可能なプログラムソフトウエアにより実行してもよいし、各部の処理を所定のゲートアレイ（ＦＰＧＡ、ＡＳＩＣ）等のハードウエア、又はプログラムソフトウエアとハードウェアの一部の要素を実現する部分的ハードウエアモジュールとが混在する形式で実現してもよい。

以上のように本発明の内部電子情報漏洩防止システム、内部電子情報漏洩防止プログラムおよびコンピュータで読み取り可能な記録媒体または記憶した機器によれば、入出力デバイスの動作を監視することで、外部からの不正のみならず、ネットワーク内部での認可を得ていないデータ持ち出し等も確実に阻止して、高いセキュリティを実現できる。また、管理を外部の管理機関に委託できるため、ネットワーク内部システム担当者の業務負担を軽減し、客観的で信頼性の高いセキュリティ運用が可能となる。

以下、本発明の実施の形態を図面に基づいて説明する。ただし、以下に示す実施の形態は、本発明の技術思想を具体化するための内部電子情報漏洩防止システム、内部電子情報漏洩防止プログラムおよびコンピュータで読み取り可能な記録媒体または記憶した機器を例示するものであって、本発明は内部電子情報漏洩防止システム、内部電子情報漏洩防止プログラムおよびコンピュータで読み取り可能な記録媒体または記憶した機器を以下のものに特定しない。さらに、本明細書は、特許請求の範囲を理解し易いように、実施の形態に示される部材に対応する番号を、「特許請求の範囲の欄」、及び「課題を解決するための手段の欄」に示される部材に付記している。ただ、特許請求の範囲に示される部材を、実施の形態の部材に特定するものでは決してない。なお、各図面が示す部材の大きさや位置関係等は、説明を明確にするため誇張していることがある。さらに以下の説明において、同一の名称、符号については同一もしくは同質の部材を示しており、詳細説明を適宜省略する。さらに、本発明を構成する各要素は、複数の要素を同一の部材で構成して一の部材で複数の要素を兼用する態様としてもよいし、逆に一の部材の機能を複数の部材で分担して実現することもできる。

本明細書において内部電子情報漏洩防止システム、内部電子情報漏洩防止プログラムおよびコンピュータで読み取り可能な記録媒体または記憶した機器は、セキュリティ管理に関する操作や表示、設定を行うシステムそのもの、ならびにセキュリティ管理の操作、表示、設定等に関連する入出力、表示、演算、通信その他の処理をハードウェア的に行う装置や方法に限定するものではない。ソフトウェア的に処理を実現する装置や方法も本発明の範囲内に包含する。例えば汎用の回路やコンピュータにソフトウェアやプログラム、プラグイン、オブジェクト、ライブラリ、アプレット、スクリプレット、コンパイラ、モジュール、特定のプログラム上で動作するマクロ等を組み込んでセキュリティ管理そのものあるいはこれに関連する処理を可能とした汎用あるいは専用のコンピュータ、ワークステーション、端末、携帯型電子機器その他の電子デバイスも、本発明の内部電子情報漏洩防止システム、内部電子情報漏洩防止プログラムおよびコンピュータで読み取り可能な記録媒体または記憶した機器の少なくともいずれかに含まれる。また本プログラムは単体で使用するものに限られず、特定のコンピュータプログラムやソフトウェア、サービス等の一部として機能する態様や、必要時に呼び出されて機能する態様、ＯＳ等の環境においてサービスとして提供される態様、環境に常駐して動作する態様、バックグラウンドで動作する態様やその他の支援プログラムという位置付けで使用することもできる。

［接続、通信形態］

また本発明の実施の形態において使用されるコンピュータ等の端末同士、およびサーバやこれらに接続される操作、制御、入出力、表示、各種処理その他のためのコンピュータ、あるいはプリンタ等その他の周辺機器との接続は、例えばＩＥＥＥ１３９４、ＲＳ−２３２ｘやＲＳ−４２２、ＵＳＢ等のシリアル接続、パラレル接続、あるいは１０ＢＡＳＥ−Ｔ、１００ＢＡＳＥ−ＴＸ、１０００ＢＡＳＥ−Ｔ等のネットワークを介して電気的に接続して通信を行うことができる。接続は有線を使った物理的な接続に限られず、ＩＥＥＥ８０２．１ｘ、ＯＦＤＭ方式等の無線ＬＡＮやＢｌｕｅｔｏｏｔｈ等の電波、赤外線、光通信等を利用した無線接続等でもよい。さらにデータの交換や設定の保存等を行うための記録媒体には、メモリカードや磁気ディスク、光ディスク、光磁気ディスク、半導体メモリ等が利用できる。

図１に、本発明の一実施の形態に係る内部電子情報漏洩防止システムを示す。この図に示す内部電子情報漏洩防止システム１００では、ローカルネットワーク１０を構成するサーバ１２と端末１４とがネットワーク接続されている。またローカルネットワーク１０は、ルータなどを介して外部管理部２０ともネットワーク接続されている。ローカルネットワーク１０と外部管理部２０との接続は、好ましくは専用回線やＶＰＮ（Virtual Private Network）などのセキュアな回線で接続するが、インターネットや電話等の一般公衆回線で接続することもできる。一般公衆回線で接続する場合は、第三者による通信傍受やデータ漏洩を回避するために、暗号化や認証などの手段を利用することが好ましい。また必要に応じてファイアウォール等のゲートウェイを設置する。

なお本明細書においてローカルネットワークとは、コンピュータなどの端末同士を所定のプロトコルに従いネットワーク接続したシステムを指し、ＬＡＮ(local area network)、複数のLANを接続するキャンパスＬＡＮあるいはＭＡＮ(metropolitan area network)、さらにこれらを接続するＷＡＮ(wide area network)などを含む概念で使用する。またネットワークプロトコルはＴＣＰ／ＩＰなど既知のプロトコルが使用できる。

図１に示すローカルネットワーク１０は、企業内で構築されたいわゆる社内ＬＡＮをイメージしており、複数の端末１４とサーバ１２とがネットワークで接続されている。端末１４はデスクトップコンピュータやラップトップコンピュータなどの電子計算機である。端末１４同士は、ハブなどを介して接続されている。また、特定の端末１４をグループ化して、グループ毎にグループ管理者１５を置くこともできる。またサーバ１２はファイルサーバやプリントサーバなどである。さらに、これらの端末１４やサーバ１２あるいはネットワークに対して直接あるいは切り替え器などを介して間接的に入出力デバイス１６が接続されている。なお本明細書において入出力デバイス１６には、キーボードやマウスなどのユーザーが操作するデバイスであるＨＩＤ（Human Interface Device）に加えて、ハードディスクなどのディスク装置や記録メディア、プリンタなどの外部出力機器、ネットワーク機器も含む意味で使用する。ＨＩＤは、端末１４やサーバ１２に接続されてこれらを操作するインターフェースである。またこのようなＨＩＤ等の入出力デバイス１６は外部接続される機器に限られず、端末１４やサーバ１２に組み込まれるものも含まれる。例えばキーボード一体型のコンピュータやノートブック型コンピュータ、あるいは各種メディアの読み込みドライブを内蔵するコンピュータなども該当する。記録メディアには上述した記録媒体やコンパクトフラッシュ（登録商標）、ＳＤカード、メモリースティック等の半導体メモリ等が含まれる。

これらの入出力デバイス１６の動作は、入出力監視部３０により監視され、規定された制限動作を行おうとするとロック部３２によってロック状態とされる。図２に、端末１４と外部管理部２０との接続状態を示すブロック図を示す。この図に示す各端末１４は、入出力デバイス１６と、入出力監視部３０と、ロック部３２とを備えており、ロック部３２はさらにネットワーク接続により外部管理部２０と接続されている。ここで制限動作とは、セキュリティ上管理する必要のある動作であり、予め規定して入出力監視部３０に登録しておく。例えばデータのリムーバブルメディアへのコピーやローカルネットワーク外部へのデータ送信、印刷、画面のハードコピーなどである。これらの制限動作を実行するためのコマンドを入出力監視部３０が検出すると、図２に示すように入出力監視部３０はロック部３２に対して制限動作情報を送信する。コマンドは、マウス操作やキーボード入力によって命令されるので、ＨＩＤを監視する入出力監視部３０は制限動作を命じるコマンドを予めリストしておき、該コマンドが検出されると制限動作情報をロック部３２に送出する。

ロック部３２は制限動作情報を受けると端末をロック状態とし、ロック解除信号を受けるまでロック状態を維持する。端末のロック状態とは、入出力監視部３０が制限動作を検出した端末の動作をロックすることを意味するが、一台の端末のみならず端末の所属するグループ内のすべての端末の動作をロックしたり、あるいはローカルネットワーク上のすべての端末やシステムそのものをロックするよう構成してもよい。これらのロック状態の範囲は、予め設定できる。また検出された制限動作のレベルに応じて、ロック状態のレベルを変更することもできる。例えば、軽微な制限動作が検出された場合は低レベルのロック状態として要求された動作を禁止すると共に警告メッセージを表示するのみとし、重要な制限動作が検出された場合はロック状態のレベルを上げてグループ内の端末をロックする、あるいは極めて重大な制限動作が検出された場合はローカルネットワーク内の全端末を遮断するといったように、検出される制限動作とロック状態の範囲を適宜設定することが可能である。

またロック状態とする端末の範囲にレベルを設けるのみならず、各端末のロック状態のレベルも適宜設定できる。例えば、「ＬＯＣＫ！」、「ＢＬＯＣＫ！」、「ＡＬＡＲＴ！」等の警告画面を端末表示画面に表示して、マウスやキーボードを含めた入出力デバイスからの操作を完全に受け付けなくする。あるいは、制限動作を所定回数、あるいは所定の時間を超えて行った場合にロック状態に移行させてもよい。この際、規制された制限動作を行おうとしている旨の警告メッセージを表示させる他、端末のＯＳなどが備える一般的な警告メッセージと同様の警告を表示させることも可能である。例えば、端末から外部メモリにデータを移動させようとする際、残容量の有無に拘わらず「ディスクがいっぱいです」「コピーするファイルが大きすぎて、受け側のドライブに入りません」等といったメッセージを表示してコピーを禁止する。このように一般的な警告メッセージを表示させることで、該動作を要求した者に内部電子情報漏洩防止プログラムの動作を感じさせないようすることもでき、また一方で該制限動作を検出して外部管理部２０に通知することも可能である。

図２の例においては、各行の端末１４を３つ毎にグループ化しており、各グループ内では右側に位置する端末１４がグループ管理者１５となってグループ内の管理を統括する。ここでは、グループ内のいずれかの端末１４で制限動作が検出されると、グループ管理者１５の端末１４がグループ内の端末１４をすべてロックさせる。また制限動作のレベルに応じて、外部管理部を通じて決裁者の決定を得ることなく、グループ管理者１５の判断でロック状態の解除を指示可能に構成することもできる。これによって、問題となる制限動作のレベルに応じて適切かつ迅速な対応が可能となり、業務への負担を低減できる。

ロック状態の解除は、ローカルネットワーク１０で自律的に行うことはできず、ローカルネットワーク１０外部に位置する外部管理部２０からロック解除信号を得る必要がある。外部管理部２０は、ロック部３２からロック状態移行の信号を受け、あるいは外部管理部２０自らロック状態を検出して、ロック解除のための承認を権限のある決裁者Ｄに連絡する。決裁者Ｄはロック解除の決定権を持つ責任者であり、例えば会社役員など決裁権を持つ者とすることが望ましい。予め、ロック状態となったとき決裁者Ｄとしてどの連絡先の誰に連絡してロック解除の判断を求めるかを定めておくことで、外部管理部２０は電子メールによる通知や携帯電話への音声案内、あるいは直接オペレータが電話するなどの手段により承認を求める。また責任者は複数設定することもでき、例えば３名以上の承認を得て初めてロック解除を行えるように設定したり、あるいは責任者が不在の場合に備えて承認を仰ぐ者への問い合わせ順序を設定することも可能である。

外部管理部２０はローカルネットワーク１０外部に位置しており、好ましくはローカルネットワーク１０の所属する組織（企業、病院、公官庁、学校等）とは異なる機関に所属する部署あるいは装置とする。組織外の第三者機関にセキュリティ管理を委託することにより、組織内部のシステム管理者の負担やコスト軽減と共に、客観性、信頼性が高まる。外部管理部２０は、決裁者Ｄに対してロック状態となった原因となる制限動作情報を通知して状況を説明する。このような通知は電子メールによる自動送信の他、必要であれば外部管理部２０の担当者が電話連絡などにより説明することができる。また制限動作の種別に応じて、低レベルの制限動作であれば電子メールによる通知のみ、高レベルの制限動作であれば電子メールの通知に加えて電話連絡を行うといった、レベル毎に通知の方法を変更することもできる。

そして、決裁者Ｄからロック解除の承認を得ると、外部管理部２０は該当するロック部３２に対してロック解除信号を送出し、ロック状態を解除する。これによって、データの漏洩を阻止すると共に、権限のある決裁者Ｄが問題の所在や状況確認などに鑑みてシステムを復旧してもよいかどうかを判断できるので、被害を最小限に止めることができる。またローカルネットワーク１０外部に外部管理部２０を置くことにより、これらを切り離して客観的な判断が可能となり、また外注により業務委託などの形で運用でき、ローカルネットワーク１０内部のシステム管理者の負担を大幅に軽減できる上、外部管理部２０の判断のみでなく最終的には責任者の決裁を仰ぐことで、システム運用の妥当性、独立性も担保できる。

ローカルネットワーク１０内の端末には、内部電子情報漏洩防止プログラムがインストールされている。内部電子情報漏洩防止プログラムは、入出力監視機能とロック機能とを端末１４を構成するコンピュータに実現させる。なお、内部電子情報漏洩防止プログラムがインストールされていない端末は、ローカルネットワークに参加することができず、ネットワークを介したデータやプログラムの持ち出しを行うことができない。一方で本内部電子情報漏洩防止システムにおいては、外部からのデータやプログラムの持ち込みは許可している。例えばフレキシブルディスクやＣＤ−ＲＯＭなどのリムーバブルメディアに記録されたデータやプログラムを、入出力デバイスを介して端末のハードディスクなどにコピーすることは可能である。このように、データの漏洩に繋がるおそれのある動作のみを制限して、そうでない動作は制限を設けないことで、通常業務に支障を来すことを極力排除し快適な使用環境を維持しつつ、データ漏洩を効果的に阻止することができる。なおコンピュータウィルスの感染を防ぐために、ローカルネットワーク内に持ち込む前に適宜ウィルスチェックなどを実行し得ることは言うまでもない。

次に、内部電子情報漏洩防止プログラムの入出力監視機能が入出力デバイスの動作を監視する様子を、図３に基づいて説明する。この図において入出力監視部３０は、内部電子情報漏洩防止プログラムによってソフトウェア的に実現されており、端末１４を構成するコンピュータのハードウェアとソフトウェアとの管理を行うＯＳ３４とデバイスドライバ３６の間に介在している。一般にコンピュータにインストールされたアプリケーションプログラム３８は、ユーザがコンピュータに接続されたマウスやキーボードなどのＨＩＤ１６Ａを操作することで操作される。またプログラムは必要に応じてハードディスクなどのディスクシステム１６Ｂにアクセスしたり、ネットワーク１６Ｃに接続する。これらの入出力デバイス１６をプログラムで制御するために、通常はＯＳ３４との間でデバイスドライバ３６と呼ばれるソフトウェアが利用される。これによってＯＳ３４やアプリケーション３８が直接入出力デバイス１６を操作するのでなく、デバイスドライバ３６を経由してアクセスしている。図３の例では、デバイスドライバ３６としてＨＩＤドライバ３６Ａ、ファイルシステムドライバ３６Ｂ、ネットワークドライバ３６Ｃが備えられる。

本実施の形態においては、入出力デバイス１６の動作を管理するためにＯＳ３４とデバイスドライバ３６との間に入出力監視部３０を介在させている。図３の例では、入出力監視部３０はＨＩＤ監視部３０Ａ、ファイルシステム監視部３０Ｂ、ネットワーク監視部３０Ｃを備える。例えばユーザがＨＩＤ１６Ａを操作すると、ＯＳ３４のデバイスドライバ３６であるＨＩＤドライバ３６Ａを介して動作命令がＨＩＤ監視部３０Ａに確認され、その後プログラム３８にＨＩＤ１６Ａの操作が伝えられる。また、プログラム３８がハードディスクなどのディスクシステム１６Ｂにアクセスする際は、ファイルシステム監視部３０Ｂで該アクセスを確認した後、ファイルシステムドライバ３６Ｂに伝達されてファイルアクセスが許可される。同様に、プログラム３８がネットワーク１６Ｃにアクセスする場合は、ネットワーク監視部３０Ｃを介してネットワークドライバ３６ＣであるＮＤＩＳ（Network Driver Interface Specification）ドライバ等に伝達されて、ネットワーク１６Ｃとの接続が開始される。このようにして入出力監視部３０は、デバイスドライバ３６とＯＳ３４の間に介在して入出力デバイス１６の動作や挙動を監視する。

入出力監視機能は、予め規定された制限動作を入出力デバイス１６が要求すると、制限動作情報をロック部３２に送信する。この手順を図４のフローチャートに基づいて説明する。まずステップＳ１において入出力監視部３０が制限動作を検出する。検出されるまでステップＳ１をループすることで、制限動作検出待ち状態となる。そして制限動作が検出されると、入出力監視部３０はロック部３２に制限動作情報を送出し、ステップＳ２でロック部３２が端末をロック状態に移行させる。さらにステップＳ３でロック状態を検知した外部管理部２０がロック解除の承認を決裁者Ｄに求める。ステップＳ４で承認が得られた場合は、ステップＳ５に進みロック状態を解除し、再びステップＳ１に戻って制限動作の検出待ち状態となる。一方ロック解除の承認が得られない場合はステップＳ４をループし、端末の復旧待ちとなる。なおロック状態においては、端末のＯＳ再起動も含めて動作が完全にストップされるため、例えば強制的にＯＳをリブートしてロック状態をリセットするといった手段も利用できない。このように入出力デバイス１６の動作を監視することで、外部からの不正アクセスはもちろんのこと、ネットワーク内部での認可を得ていないデータ持ち出し等も確実に阻止して、高いセキュリティを実現できる。

なお、ロック部や入出力監視部によるセキュリティ管理は、時間帯によってセキュリティレベルや設定内容を変更することも可能である。例えば業務時間中のみ印刷動作を許可し、この時間帯は印刷に関する動作を制限動作から外すと共に、業務時間外になると該動作を制限動作に指定して、印刷を制限することができる。これによって業務に必要な動作を支障なく行えると共に、業務時間外での動作を監視してデータ漏洩を防止できる。このように時間帯に応じて監視すべき動作項目を変更することで適切な運用を図ることもできる。

本発明により、社内ＬＡＮなどのネットワーク接続されたシステムからデータの漏洩を効果的に防止できる。

本発明の一実施の形態に係る内部電子情報漏洩防止システムを示すブロック図である。 端末と外部管理部との接続状態を示すブロック図である。 入出力監視部が入出力デバイスの動作を監視する状態を示す概念図である。 ロック状態への移行から解除までの手順を示すフローチャートである。

符号の説明

１００…内部電子情報漏洩防止システム
１０…ローカルネットワーク
１２…サーバ
１４…端末
１５…グループ管理者
１６…入出力デバイス
１６Ａ…ＨＩＤ；１６Ｂ…ディスクシステム；１６Ｃ…ネットワーク
２０…外部管理部
３０…入出力監視部；３０Ａ…ＨＩＤ監視部；３０Ｂ…ファイルシステム監視部；３０Ｃ…ネットワーク監視部
３２…ロック部
３４…ＯＳ
３６…デバイスドライバ；３６Ａ…ＨＩＤドライバ；３６Ｂ…ファイルシステムドライバ；３６Ｃ…ネットワークドライバ
３８…アプリケーションプログラム
Ｄ…決裁者

Claims (11)

1. 入出力デバイスを接続した複数の端末同士がネットワーク接続されたローカルネットワークにおいてセキュリティを管理するための内部電子情報漏洩防止システムであって、
   各端末に接続された入出力デバイスの動作を監視し、入出力デバイスが予め規定された制限動作を行おうとした場合に制限動作情報を送信する入出力監視部と、
   前記入出力監視部から制限動作情報を受けると該端末を動作不能なロック状態に移行させ、ロック解除信号を受け取るまでロック状態を解除しないロック部と、
   前記ローカルネットワークと外部ネットワークを介して接続された外部管理部であって、前記ローカルネットワーク内で前記ロック部によってロック状態に移行されると、ロック解除の権限を有する所定の連絡先にロック状態である旨およびその理由となった制限動作情報を通知すると共に、ロック解除の承認を得た場合に前記ロック部にロック解除信号を送信する外部管理部と、
   を備えることを特徴とする内部電子情報漏洩防止システム。
2. 請求項１に記載の内部電子情報漏洩防止システムであって、
   前記外部管理部が、前記ローカルネットワークとＶＰＮを介して接続されてなることを特徴とする内部電子情報漏洩防止システム。
3. 請求項２に記載の内部電子情報漏洩防止システムであって、
   前記ＶＰＮによる接続が確立できない場合には、前記外部管理部がロック解除の権限を有する所定の連絡先に接続できない旨を通知することを特徴とする内部電子情報漏洩防止システム。
4. 請求項１から３のいずれかに記載の内部電子情報漏洩防止システムであって、
   前記ロック部が、前記入出力監視部から生成した制限動作情報のログを記録することを特徴とする内部電子情報漏洩防止システム。
5. 請求項１から４のいずれかに記載の内部電子情報漏洩防止システムであって、
   制限動作が、ローカルネットワーク内部の端末もしくはサーバに記録されたデータのリムーバブルメディアへのコピーまたはローカルネットワーク外部へのデータ送信を含むことを特徴とする内部電子情報漏洩防止システム。
6. 請求項１から５のいずれかに記載の内部電子情報漏洩防止システムであって、
   前記ロック部が、前記ローカルネットワーク内での端末同士の間で固定ディスク間のデータのコピー動作を許可することを特徴とする内部電子情報漏洩防止システム。
7. 請求項１から６のいずれかに記載の内部電子情報漏洩防止システムであって、
   ロック状態に移行されると該端末の再起動動作も不可能な状態となることを特徴とする内部電子情報漏洩防止システム。
8. 請求項１から７のいずれかに記載の内部電子情報漏洩防止システムであって、
   ロック解除の権限を有する所定の連絡先が、前記ローカルネットワークにおいて決裁権を有する決済者への連絡先であることを特徴とする内部電子情報漏洩防止システム。
9. 入出力デバイスを接続した複数の端末同士がネットワーク接続されたローカルネットワークにおいてセキュリティを管理するための内部電子情報漏洩防止プログラムであって、
   各端末に接続された入出力デバイスの動作を監視し、入出力デバイスが予め規定された制限動作を行おうとした場合に制限動作情報を送信する入出力監視機能と、
   前記入出力監視機能により制限動作情報の送信を受けると該端末を動作不能なロック状態に移行させ、ロック解除信号を受け取るまでロック状態を解除しないロック機能と、
   をコンピュータに実現させ、
   前記ローカルネットワーク内で前記ロック機能によってロック状態に移行されると、前記ローカルネットワークと外部ネットワークを介して接続された外部管理部がロック解除の権限を有する所定の連絡先にロック状態である旨およびその理由となった制限動作情報を通知すると共に、ロック解除の承認を得た場合にロック解除信号を送信して前記ロック機能を解除するよう構成してなることを特徴とする内部電子情報漏洩防止プログラム。
10. 請求項９に記載の内部電子情報漏洩防止プログラムであって、
    前記入出力監視機能が、ＨＩＤを監視、制御することを特徴とする内部電子情報漏洩防止プログラム。
11. 請求項９または１０に記載の内部電子情報漏洩防止プログラムを記録したコンピュータで読み取り可能な記録媒体または記憶した機器。
    

Images