JP2007048047A - データ出力制御方法及びシステム - Google Patents

Abstract

【課題】 データ出力デバイスからのデータ漏洩を確実に防ぎ、システム脆弱性を利用した遠隔操作によるデータ閲覧も防ぐ事が可能なデータ出力制御方法及びシステムを提供する。
【解決手段】 データを出力するデータ出力デバイス、システム内で取り扱うデータ、システムを操作するユーザ毎にセキュリティレベルを設定する。そして、データ出力デバイスに設定されたセキュリティレベルをデバイスレベル、システム内で取り扱うデータに設定されたセキュリティレベルをデータレベル、ユーザに設定されたセキュリティレベルをユーザレベルとする場合、デバイスレベルがデータレベルより大きく、且つ、デバイスレベルがユーザレベルより小さい条件を満足する時にデータ出力デバイスからのデータ出力を許可する。
【選択図】 図１

Description

本発明は、システムからのデータ漏洩を防止するためのデータ出力制御方法及びシステムに関するものである。

従来、システムのセキュリティを管理する技術としては、様々な方法が提案されている。例えば、特開２００４−２３４３７８号公報に記載されているように端末のセキュリティレベルを検出し、セキュリティレベルが所定レベルに達していない場合には、当該端末のアクセス許容範囲を制限する方法がある（特許文献１）。

また、特開２００４−２３４２４１号公報に記載されているように各ストレージやプリンタ等の機器にセキュリティレベルを付与し、ユーザが所望のセキュリティレベルの機器を選択する方法がある（特許文献２）。

更に、特開２００１−１６０１１７号公報（特許文献３）、或いは特開２００４−２１３９４号公報（特許文献４）には、ユーザのセキュリティレベルに応じて機器の動作を制御する方法が記載されている。
特開２００４−２３４３７８号公報（段落００２０〜００２２等） 特開２００４−２３４２４１号公報（段落００８４、０１３３等） 特開２００１−１６０１１７号公報（段落００３０等） 特開２００４−２１３９４号公報（段落００３１等）

従来の様々なデバイス構成からなる情報機器端末等のシステムにおいては、秘密保持義務があるデータにおいても、ＯＳやデータベースのユーザ権限を悪用したり、或いはシステムの脆弱性を突く事によって、予期しない情報流出が行われてしまう場合がある。

例えば、店舗におけるＰＯＳシステム等において顧客のクレジット利用データ等がＰＯＳのＨＤＤに保存されていたような場合には、いくらアプリケーション上で閲覧制限を設けていても、ＵＳＢポートにＵＳＢ記憶装置を接続し、アプリケーションが動作している環境下でＯＳを直接操作する事によりデータベース毎コピーしてしまえば、データの流出は可能であった。

本発明の目的は、データ出力デバイスからのデータ漏洩を確実に防ぎ、システム脆弱性を利用した遠隔操作によるデータ閲覧も防ぐ事が可能なデータ出力制御方法及びシステムを提供することにある。

本発明のデータ出力制御方法は、上記目的を達成するため、システムからデータを出力するデータ出力デバイス毎にセキュリティレベルを設定し、且つ、システム内で取り扱うデータ毎にセキュリティレベルを設定し、更にシステムを操作するユーザ毎にセキュリティレベルを設定し、
前記データ出力デバイスからデータを出力する場合には、該当するデータ出力デバイスのセキュリティレベル、そのデータ出力デバイスから出力するデータのセキュリティレベル、及びシステムを操作するユーザのセキュリティレベルに基づいてデータの出力を許可するか否かの判定を行い、
前記データ出力デバイスに設定されたセキュリティレベルをデバイスレベル、システム内で取り扱うデータに設定されたセキュリティレベルをデータレベル、ユーザに設定されたセキュリティレベルをユーザレベルとする場合、
デバイスレベルがデータレベルより大きく、且つ、デバイスレベルがユーザレベルより小さい条件を満足する時に前記データ出力デバイスからのデータ出力を許可することを特徴とする。

また、本発明のデータ出力制御システムは、システムからデータを出力するデータ出力デバイス毎に設定されたセキュリティレベル、システム内で取り扱うデータ毎に設定されたセキュリティレベル、及びシステムを操作するユーザ毎に設定されたセキュリティレベルをそれぞれ記憶する手段と、
前記データ出力デバイスからデータを出力する場合、該当するデータ出力デバイスのセキュリティレベル、そのデータ出力デバイスから出力するデータのセキュリティレベル、及びシステムを操作するユーザのセキュリティレベルに基づいてデータの出力を許可するか否かの判定を行う手段とを含み、
前記判定手段は、前記データ出力デバイスに設定されたセキュリティレベルをデバイスレベル、システム内で取り扱うデータに設定されたセキュリティレベルをデータレベル、ユーザに設定されたセキュリティレベルをユーザレベルとする場合、
デバイスレベルがデータレベルより大きく、且つ、デバイスレベルがユーザレベルより小さい条件を満足する時に前記データ出力デバイスからのデータ出力を許可することを特徴とする。

本発明においては、データ出力デバイス、システムで取り扱うデータ、システムを操作するユーザにセキュリティレベルを設定し、それらのセキュリティレベルに基づいてデータ出力可否を判定する事でデバイス経由のデータ流出を防いでいる。セキュリティレベルの付与されていないデータ出力デバイス、データポート等においてはデータ参照、データ出力等が一切できないため、データ漏洩をデータ出力デバイス全てから防ぎ、近年問題となっているシステム脆弱性を利用した遠隔操作によるデータ閲覧も防ぐ事が可能となる。

本発明によれば、データ出力デバイス、データ、ユーザ毎にセキュリティレベルを設定し、それらセキュリティレベルに基づいてデータ出力可否を判定することにより、システム外部へのデータ漏洩を確実に防止でき、システムのセキュリティを向上することができる。

次に、発明を実施するための最良の形態について図面を参照して詳細に説明する。図１は本発明によるシステムの一実施形態を示すブロック図である。なお、図１は本発明に係るデータ出力制御方法をＰＯＳシステムに使用した場合の実施形態を示すものである。

図中１０１はシステムの制御を司るＰＯＳアプリケーション、１０２はシステム外部へのデータ漏洩を防止するためのセキュリティ制御を行うセキュリティコントロールミドルウェアである。

１０３はセキュリティデータベースであり、システム内のデータを出力するデータ出力デバイス毎に設定されたセキュリティレベル、システム内で取り扱うデータ毎に設定されたセキュリティレベル、システムを操作するユーザ毎に設定されたセキュリティレベルをそれぞれ格納する。これらのセキュリティレベルは、予めユーザによって設定され、セキュリティコントロールミドルウェア１０２配下のデータベース１０３に格納されている。

本実施形態では、どのセキュリティレベルも、例えば、１から１０までの１０段階とし、最も高い重要度のセキュリティレベル＝１０、最も低い重要度のセキュリティレベル＝１とする。もちろん、セキュリティレベルの設定はこの限りではない。

１０４は顧客のクレジット利用データ等のクレジットデータを格納するクレジットデータベース、１０５は店舗の商品の売り上げデータを格納する売り上げデータベース、１０６は従業員の氏名、年齢、性別、住所、学歴、役職、給与（時給）等の従業員データを格納する従業員データベースである。

ＰＯＳシステムで取り扱うデータとしてはそれ以外にもあるが、本実施形態ではシステム内で取り扱うデータとして以上のようなクレジットデータ、売り上げデータ、従業員データを例として説明する。これらのデータには、データの重要度に応じてセキュリティレベルが設定されている。

例えば、上述のように最も高い重要度のセキュリティレベルを１０、最も低い重要度のセキュリティレベルを１の１０段階とし、例えば、クレジットデータはレベル＝９、売り上げデータはレベル＝３、従業員データはレベル＝６とする。これらセキュリティレベルは上述のようにセキュリティデータベース１０３に格納されている。

また、１０７は各種データを表示するディスプレイ、１０８は各種データを印刷するＰＯＳプリンタである。更に、１０９はＬＡＮアダプタ、１１０はＵＳＢポートである。ＬＡＮアダプタ１０９、ＵＳＢポート１１０はシステムから外部にデータを出力する場合の通り道となるものである。

これらディスプレイ１０７、ＰＯＳプリンタ１０８、ＬＡＮアダプタ１０９、ＵＳＢポート１１０はデータ出力デバイスとし、デバイスの重要度に応じてセキュリティレベルが設定されている。

この場合も同様に最も高い重要度のセキュリティレベルを１０、最も低い重要度のセキュリティレベルを１の１０段階とし、例えば、ディスプレイ１０７はレベル＝８、ＰＯＳプリンタ１０８はレベル＝６、ＬＡＮアダプタ１０９はレベル＝９、ＵＳＢポート１１０は最高レベルのレベル＝１０とする。各デバイスのセキュリティレベルはセキュリティデータベース１０３に格納されている。

また、本実施形態では、システムを操作するユーザ毎にセキュリティレベルが設定されている。この場合も同様に最も高い重要度のセキュリティレベルを１０、最も低い重要度のセキュリティレベルを１とし、例えば、店舗の店長はレベル＝１０、社員はレベル＝８、アルバイト（パート）＝３というように各ユーザ毎にセキュリティレベルが設定されている。

これは、システム内のディスプレイ１０３やＰＯＳプリンタ１０８等のデータ出力デバイスを操作するユーザに応じてセキュリティレベルを設定したものであり、セキュリティレベルが大きいほど責任の重い立場にあるユーザであるものとする。これ以外に役職等に応じてセキュリティレベルを更に細かく設定してもよいことはもちろんである。これらユーザ毎に設定されたセキュリティレベルは同様にセキュリティデータベース１０３に格納されている。

次に、本実施形態の動作を図１、図２を参照して説明する。図２はシステム内の各データ出力デバイス毎にデータを出力する場合の、セキュリティコントロールミドルウェア１０２によるデータ出力可否の判定結果を示すものである。図２の例では、操作するユーザのセキュリティレベル＝８とする。

まず、本実施形態では、セキュリティコントロールミドルウェア１０２は、次の判定基準に基づいてデータ出力デバイスからのデータ出力動作を許可するか否かの判定を行い、判定結果に応じてシステム内のデータ出力デバイスのデータ出力動作を制御する。

即ち、データ出力デバイスのセキュリティレベルをデバイスレベル、システム内で取り扱うデータのセキュリティレベルをデータレベル、システムを操作するユーザのセキュリティレベルをユーザレベルとすると、
デバイスレベル＞データレベル、且つ、デバイスレベル≦ユーザレベル …（１）
を満たす時にそのデータ出力デバイスからのデータ出力動作を許可する。

まず、デバイスレベル≦ユーザレベルは、ユーザ権限によってデータが流出することを防止するものであり、例えば、ユーザレベル＝８のユーザが、図１のデータ出力デバイスのうちデータを出力できるのはディスプレイ１０７とＰＯＳプリンタ１０８だけとなり、ユーザによって使用できるデバイスを制限するものである。

また、デバイスレベル＞データレベルは、データの通り道（データ出力デバイス）に関所を設け、その際、データの種別によってデータ出力に制限を設けていることを意味している。例えば、ＰＯＳプリンタ１０８によって印刷できるのはそれよりセキュリティレベルの低い売り上げデータであり、それよりセキュリティレベルの高いクレジットデータは印刷できないというように、各データ出力デバイスでデータ種別によってデータ出力を制限するものである。

以上の２つの条件を同時に満足する場合のみデータ出力を許可することにより、より確実にシステムから外部へのデータ漏洩を防ぐというものである。以下、具体的な例を挙げて説明する。

なお、（１）式を満足せず、データレベル＝デバイスレベル、且つ、デバイスレベル≦ユーザレベル …（２）
であった場合には、データ出力制限を一部緩和する例外措置をとる。即ち、ミドルウェア１０２の制御により該当データ部分をマスクし、例えば、＊＊＊等の記号で埋める等の処置を行い、該当データ部分以外は出力可能とする。

図２の（１）の例は、売り上げデータをディスプレイ１０７で表示する場合の判定結果を示す。まず、ユーザがシステムを操作する場合には、セキュリティコントロールミドルウェア１０２によるユーザ認証を行う。

認証方法としては、例えば、ＰＯＳアプリケーション１０１の起動時にユーザがカード入力や指紋入力等によって行う方法がある。ミドルウェア１０２はユーザによって入力された情報に基づいてセキュリティデータベース１０３からそのユーザに対応するセキュリティレベルを取得する。

なお、ユーザ認証方法としては、これ以外に様々な方法があることは言うまでもない。また、ディスプレイやプリンタ等のデータ出力デバイス毎にユーザ認証を行ってもよいことはもちろんである。

また、ミドルウェア１０２はユーザが表示しようとする売り上げデータのセキュリティレベル、及びデータ出力デバイスであるディスプレイ１０７のセキュリティレベルをセキュリティデータベース１０３から取得する。この例では、売り上げデータはレベル＝３、ディスプレイ１０７はレベル＝８、ユーザはレベル＝８である。

次に、ミドルウェア１０２は上記（１）式に基づいてディスプレイ１０７による売り上げデータの表示を許可するか否かの判定を行う。この場合には、ユーザレベル＝８、データレベル＝３、デバイスレベル＝８であり、（１）式を満足するのでディスプレイ１０７による売り上げデータの表示を許可する。

図２の（２）の例は、売り上げデータをＰＯＳプリンタ１０８で印刷する場合の判定結果を示す。この場合にも、同様にミドルウェア１０２によるユーザ認証を行い、セキュリティデータベース１０３からユーザレベルを取得する。また、同様に売り上げデータとＰＯＳプリンタ１０８のセキュリテイレベルを取得する。売り上げデータはレベル＝３、ＰＯＳプリンタ１０８はレベル＝６、ユーザは同様にレベル＝８である。

次に、ミドルウェア１０２は同様に（１）式に基づいてＰＯＳプリンタ１０８による売り上げデータの印刷を許可するか否かの判定を行う。この場合にも、（１）式を満足するので売り上げデータの印刷を許可する。

図２の（３）の例は、売り上げデータをＬＡＮアダプタ１０９経由で転送する場合の判定結果を示す。この場合にも、ミドルウェア１０２によるユーザ認証を行い、且つ、売り上げデータ及びＬＡＮアダプタ１０９のセキュリティレベルを取得する。売り上げデータはレベル＝３、ＬＡＮアダプタ１０９はレベル＝９である。また、ユーザは同様にレベル＝８である。

次に、ミドルウェア１０９は（１）式に基づいて売り上げデータをＬＡＮアダプタ１０９経由で転送を許可するか否かの判定を行う。この場合には、ユーザレベル＝８がデバイスレベル＝９より小さいため、売り上げデータは転送不可と判定し、売り上げデータの転送はできない。

図２の（４）の例は、売り上げデータをＵＳＢポート１１０経由で記憶装置（図示せず）に保存する場合の判定結果を示す。ユーザ認証やセキュリティレベルの取得は同様なので省略するが、売り上げデータはレベル＝３、ＵＳＢポート１１０はレベル＝１０、ユーザはレベル＝８である。

この場合にも、ミドルウェア１０２は同様に（１）式に基づいて判定を行うが、ユーザレベル＝８がデバイスレベル＝１０より小さいため、（１）式を満足しない。そのため、ミドルウェア１０２は売り上げデータをＵＳＢポート１１０経由で記憶装置へ保存することは不可と判定する。

図２の（５）の例は、クレジットデータをディスプレイ１０７で表示する場合の判定結果を示す。データレベル＝９、デバイスレベル＝８、ユーザレベル＝８である。この場合には、データレベル＝９がデバイスレベル＝８より大きいため、（１）式を満足せず、クレジットデータをディスプレイ１０７で表示することは不可と判定する。

図２の（６）の例は、クレジットデータをＰＯＳプリンタ１０８で印刷する場合の判定結果を示す。データレベル＝９、デバイスレベル＝６、ユーザレベル＝８である。この場合には、データレベル＝９がデバイスレベル６より大きいため、（１）式を満足せず、クレジットデータをディスプレイ１０７で表示することは不可と判定する。

図２の（７）の例は、クレジットデータをＬＡＮアダプタ１０９経由で転送する場合の判定結果を示す。データレベル＝９、デバイスレベル＝９、ユーザレベル＝８である。この場合には、ユーザレベル＝８がデバイスレベル＝９より小さいため、（１）式を満足せず、転送不可と判定する。

図２の（８）の例は、クレジットデータをＵＳＢポート１１０経由で記憶装置（図示せず）に保存する場合の判定結果を示す。データレベル＝９、デバイスレベル＝１０、ユーザレベル＝８である。この場合には、ユーザレベル＝８がデバイスレベル＝１０より小さいため、（１）式を満足せず、クレジットデータのＵＳＢポート１１０を経由しての保存は不可と判定する。

このように本実施形態では、ＰＯＳアプリケーションによる情報操作だけでなく、ミドルウェアの制御によって各データ出力デバイスからのデータ出力を制限しているので、重要情報であるクレジットデータや売り上げデータ等の表示や印刷、或いは外部記憶装置へのコピー等を防御することができる。

また、セキュリティレベルが設定されていないデータ出力デバイスやデータ、或いはセキュリティレベルが設定されていないユーザ操作に対してはミドルウェア１０２はデータ出力を禁止するものとする。

次に、図３を用いて上記（２）式の判定基準に基づく例外措置について説明する。図３ではＰＯＳプリンタ１０８から各種データを印刷する場合の例を示す。

図３（ａ）はＰＯＳプリンタ１０８（デバイスレベル＝８）でデータレベル＝３のデータを印刷する場合の例であり、ユーザレベル＝７とする。この場合には、プリンタ１０８のセキュリティレベルがユーザレベルより大きいため、（１）式を満足せず、ＰＯＳプリンタ１０８を停止させて印刷不可能とする。

図３（ｂ）の例はＰＯＳプリンタ１０８からレベル＝８のデータを印刷する場合の例であり、ユーザレベル＝８とする。この場合には、デバイスレベル＝データレベルであり、データのセキュリティレベルがデバイスレベルと同じであるため、（２）式の判定基準に該当する。そのため、印刷は可能であるが、ミドルウェア１０２の制御により目的の該当データ部分はマスクして印刷する。例えば、該当データ部分は＊＊＊等の記号で埋めて印刷するのが良い。

図３（ｃ）の例は図３（ａ）と同様にユーザのセキュリティレベルに問題がある場合の例であるが、ＰＯＳプリンタ１０８からレベル＝５のデータを印刷する場合の例であり、ユーザレベル＝４とする。この場合には、デバイスレベルがユーザレベルより大きいため、図３（ａ）の場合と同様に印刷不可能とする。

図４は本発明のデータ出力制御方法をパソコン等の情報処理装置に使用した場合の実施形態を示す。図中２０１はアプリケーション、２０２は図１のミドルウェア１０２と同様のセキュリティ制御を行うミドルウェアである。

２０３は図１のセキュリティデータベース１０３と同様にデータ出力デバイス毎に設定されたセキュリティレベル、システム内で取り扱うデータ毎に設定されたセキュリティレベル、及びユーザ毎に設定されたセキュリティレベルを格納するセキュリティデータベースである。

２０４〜２０６は情報処理装置内で取り扱う各種データを格納するデータベースである。更に、２０７はデータ表示装置、２０８はデータ印字装置、２０９はネットワークアダプタ、２１０はＵＳＢアダプタ、２１１は光学メディア記録装置を示す。

システム内で取り扱うデータには同様にセキユリティレベルが設定され、セキュリティデータベース２０３に格納されている。また、システム内の各データ出力デバイス２０７〜２１１にも同様にセキュリティレベルが設定され、セキュリティデータベース２０３に格納されている。ユーザにも同様にセキュリティレベルが設定され、データベース２０３に格納されている。ミドルウェア２０２は図１のシステムと全く同様に（１）式や（２）式に基づいてデータの出力を許可するか否かの判定を行う。

本発明によるシステムの一実施形態を示すブロック図である。 本発明のセキュリティコントロールミドルウェアによるデータ出力可否の判定方法を説明する図である。 本発明の他の判定基準による判定方法を説明する図である。 本発明の他の実施形態を示すブロック図である。

符号の説明

１０１ ＰＯＳアプリケーション
１０２ セキュリティコントロールミドルウェア
１０３ セキュリティデータベース
１０４ クレジットデータベース
１０５ 売り上げデータベース
１０６ 従業員データベース
１０７ ディスプレイ
１０８ ＰＯＳプリンタ
１０９ ＬＡＮアダプタ
１１０ ＵＳＢポート
２０１ アプリケーション
２０２ セキュリティコントロールミドルウェア
２０３ セキュリティデータベース
２０４〜２０６ データベース
２０７ データ表示装置
２０８ データ印字装置
２０９ ネットワークアダプタ
２１０ ＵＳＢアダプタ
２１１ 光学メディア記録装置

Claims (8)

1. システムからデータを出力するデータ出力デバイス毎にセキュリティレベルを設定し、且つ、システム内で取り扱うデータ毎にセキュリティレベルを設定し、更にシステムを操作するユーザ毎にセキュリティレベルを設定し、
   前記データ出力デバイスからデータを出力する場合には、該当するデータ出力デバイスのセキュリティレベル、そのデータ出力デバイスから出力するデータのセキュリティレベル、及びシステムを操作するユーザのセキュリティレベルに基づいてデータの出力を許可するか否かの判定を行い、
   前記データ出力デバイスに設定されたセキュリティレベルをデバイスレベル、システム内で取り扱うデータに設定されたセキュリティレベルをデータレベル、ユーザに設定されたセキュリティレベルをユーザレベルとする場合、
   デバイスレベルがデータレベルより大きく、且つ、デバイスレベルがユーザレベルより小さい条件を満足する時に前記データ出力デバイスからのデータ出力を許可することを特徴とするデータ出力制御方法。
2. データレベルとデバイスレベルが同じであった場合には、データの出力は可能であるが、目的データ部分はマスクして出力することを特徴とする請求項１に記載のデータ出力制御方法。
3. 前記データ出力デバイスは、ディスプレイ又はプリンタであることを特徴とする請求項１又は２に記載のデータ出力制御方法。
4. 前記データ出力デバイスは、システムからのデータの通り道であるＬＡＮアダプタ又はＵＳＢポートであることを特徴とする請求項１又は２に記載のデータ出力制御方法。
5. システムからデータを出力するデータ出力デバイス毎に設定されたセキュリティレベル、システム内で取り扱うデータ毎に設定されたセキュリティレベル、及びシステムを操作するユーザ毎に設定されたセキュリティレベルをそれぞれ記憶する手段と、
   前記データ出力デバイスからデータを出力する場合、該当するデータ出力デバイスのセキュリティレベル、そのデータ出力デバイスから出力するデータのセキュリティレベル、及びシステムを操作するユーザのセキュリティレベルに基づいてデータの出力を許可するか否かの判定を行う手段とを含み、
   前記判定手段は、前記データ出力デバイスに設定されたセキュリティレベルをデバイスレベル、システム内で取り扱うデータに設定されたセキュリティレベルをデータレベル、ユーザに設定されたセキュリティレベルをユーザレベルとする場合、
   デバイスレベルがデータレベルより大きく、且つ、デバイスレベルがユーザレベルより小さい条件を満足する時に前記データ出力デバイスからのデータ出力を許可することを特徴とするデータ出力制御システム。
6. 前記判定手段は、データレベルとデバイスレベルが同じであった場合には、データの出力は可能であるが、目的データ部分はマスクして出力させることを特徴とする請求項５に記載のデータ出力制御システム。
7. 前記データ出力デバイスは、ディスプレイ又はプリンタであることを特徴とする請求項５又は６に記載のデータ出力制御システム。
8. 前記データ出力デバイスは、システムからのデータの通り道であるＬＡＮアダプタ又はＵＳＢポートであることを特徴とする請求項５又は６に記載のデータ出力制御システム。