JP2007058526A - 認証システムおよび方法、プログラム - Google Patents

Abstract

【課題】 保護すべき情報毎に個別に認証を設定し、保護すべき情報にアクセスする毎にユニークなパスワードによる認証を要求して不正アクセスを阻止する。
【解決手段】 個人情報保護システム１を、個人情報保護ＤＢ８と、この個人情報保護ＤＢ８に記憶されている個人情報定義テーブル９と、個人情報保護サーバ１０と、個人情報定義機能１１と、個人情報監視機能１２と、パスワード発行・通知機能１３と、ユーザ認証機能１４で構成する。人事情報サーバ６が人事情報ＤＢ７に問合せを行う際、個人情報保護ＤＢ８に登録されているテーブル（またはカラム）のデータを操作する命令が含まれるか否かを監視し、個人情報を操作する命令が検出された場合は操作は一旦保留され個人情報の操作かどうかを判断する。個人情報の操作の場合、パスワード発行・通知機能１３、ユーザ認証機能１４を用い、ユーザ認証を行う。
【選択図】 図１

Description

本発明は、保護すべき情報への不正アクセスを阻止するための認証システムおよび方法、プログラムに関する。

企業等の組織内において、従来より従業員の個人情報を人事情報システムなどのデータベース上で管理することが行われている。しかしながら、社員情報を電子データとして扱いデータベース上で管理することになるため、不正アクセスや「なりすまし」による情報の改竄や流出の可能性も少なくはない。このような可能性に対して、その対策としてユーザ識別システムや不正アクセス防止システムなどが数多く提案されている。

たとえば、個人情報管理システムのユーザごとにアクセス可能な個人情報を期限付きで設定することにより、不正アクセス防止を可能とする技術が知られている（特許文献１参照）。
特開２００２−２２９９５３

しかしながら、上述した従来の技術による認証システムでは、個人情報管理システムなどのシステム全体に対し、無条件にアクセス可能な個人情報をユーザへ期限付きで提供するのみであるので、個人情報を含むそれぞれの情報の内容に応じた個別のアクセス制限を行うことはできなかった。

また、設定された期限内において個人情報に任意にアクセス可能であるため、その期限内においてなりすましなどの不正アクセスがあっても、それを防止し情報を保護することはできなかった。

本発明は、上記に鑑みてなされたもので、その目的とするところは、保護すべき情報毎に個別に認証を設定でき、保護すべき情報にアクセスする度毎にユニークなパスワードによる認証を要求して不正アクセスを阻止する認証システムおよび方法、プログラムを提供することにある。

請求項１記載の本発明は、データベースに記憶された保護すべき情報を認証されたユーザに提供するための認証システムにおいて、ユーザに提供する情報を記憶するデータベースと、データベースに記憶された情報に対してあらかじめ設定された定義に基づいて保護すべき情報を指定するための保護定義設定手段と、保護すべき情報の提供を要求したユーザへ電子メールによってパスワードを送信するパスワード送信手段と、保護すべき情報の提供を要求したユーザへパスワードの入力を要求し、正しいパスワードが入力されたことをもって認証を行う認証手段と、認証されたユーザへ保護すべき情報を提供する情報提供手段と、を備える。

また、請求項５記載の本発明は、データベースに記憶された保護すべき情報を認証されたユーザに提供するための認証方法において、データベースによって、ユーザに提供する情報を記憶するステップと、保護定義設定手段によって、データベースに記憶された情報に対してあらかじめ設定された定義に基づいて保護すべき情報を指定するステップと、パスワード送信手段によって、保護すべき情報の提供を要求したユーザへ電子メールによってパスワードを送信するステップと、認証手段によって、保護すべき情報の提供を要求したユーザへパスワードの入力を要求し、正しいパスワードが入力されたことをもって認証を行うステップと、情報提供手段によって、認証されたユーザへ保護すべき情報を提供するステップと、を有する。

また、請求項９記載の本発明は、データベースに記憶された保護すべき情報を認証されたユーザに提供するための認証プログラムにおいて、データベースによって、ユーザに提供する情報を記憶するステップと、保護定義設定手段によって、データベースに記憶された情報に対してあらかじめ設定された定義に基づいて保護すべき情報を指定するステップと、パスワード送信手段によって、保護すべき情報の提供を要求したユーザへ電子メールによってパスワードを送信するステップと、認証手段によって、保護すべき情報の提供を要求したユーザへパスワードの入力を要求し、正しいパスワードが入力されたことをもって認証を行うステップと、情報提供手段によって、認証されたユーザへ保護すべき情報を提供するステップと、を有する。

本発明によれば、保護すべき情報毎に個別に認証を設定でき、保護すべき情報にアクセスする度毎にユニークなパスワードによる認証を要求して不正アクセスを阻止することができる。

＜第１の実施の形態＞
図１は、認証システムの第１の実施の形態の全体構成を説明するための構成図を示している。

この図１には主な構成として、個人情報保護システム１と、メールアドレス管理ＤＢ（データベース）２と、人事情報システム３と、システム管理者（管理端末）４と、ユーザ（ユーザ端末）５と、が示されている。

さらに個人情報保護システム１には、個人情報保護ＤＢ８と、この個人情報保護ＤＢ８に記憶されている個人情報定義テーブル９と、個人情報保護サーバ１０と、この個人情報保護サーバ１０を構成する個人情報定義機能１１と、個人情報監視機能１２と、パスワード発行・通知機能１３と、ユーザ認証機能１４と、が示されている。人事情報システム３は、人事情報サーバ６と、人事情報ＤＢ７を備えている。

上述のユーザ５は、人事情報システム３に対し、人事情報の操作（データ検索・追加・変更・削除など）を命令するソフトウェアを実装するコンピュータで実現可能な情報端末であり、システム管理者４とは、個人情報保護システム１に対し保護すべき個人情報を登録するソフトウェアを実装したコンピュータで実現可能な情報端末である。個人情報の具体的な指定の仕方は、人事情報ＤＢ７にて管理する全テーブル（またはカラム）の中から選択することによる。

人事情報システム３は、企業等の人事情報を管理する人事情報ＤＢ７を構成し、人事情報サーバ６を利用して人事情報ＤＢ７に格納されている人事情報をネットワーク経由でユーザ５やシステム管理者４に配信する。こうした配信は、ソフトウェアがインストールされ実行されるコンピュータにより実現してもよく、たとえばＰＣやサーバ等を用いてもよい。

個人情報保護システム１は、人事情報サーバ６からの人事情報ＤＢ７に対する問合せ文を監視している。個人情報保護ＤＢ８に登録されている個人情報定義テーブル（またはカラム）９のデータが操作される場合について、人事情報サーバ６から人事情報ＤＢ７への問合せは、常に個人情報保護システム１を経由し行われる。

個人情報保護サーバ１０は、クライアント、人事情報システム３と接続されているコンピュータであり、ＰＣやサーバ等を用いてもよい。この個人情報保護サーバ１０においては以下の機能が実装されている。

まず、個人情報定義機能１１は、システム管理者４より入力された個人情報として保護すべきテーブル（またはカラム）情報（図１中のＳ１）を受信し、個人情報保護ＤＢ８に登録する機能を実現している。このＳ１において認証により保護すべき対象となる個人情報を指定する。

個人情報監視機能１２は、ユーザ５より操作命令を受けた人事情報サーバ６が人事情報ＤＢ７に問合せを行う際、個人情報保護ＤＢ８に登録されているテーブル（またはカラム）のデータを操作する命令が含まれるか否かを監視する。この監視において個人情報を操作する命令が検出された場合（Ｓ２）は操作は一旦保留され個人情報の操作かどうかを判断する（Ｓ３）。ここで個人情報の操作であると判断されると、パスワード発行・通知機能１３とユーザ認証機能１４とがユーザ認証を行う。

次に、ユーザ認証が成功すると中断された処理が再開し（Ｓ７）、再びデータ操作が続行可能となり要求する個人情報が結果としてユーザ５へ表示される（Ｓ８）。なお、ここで実行されるユーザ認証は人事情報システム３にユーザ５がログインするための図示しない認証処理とは独立しており、ユーザ５が人事情報システム３に対して、あらかじめ与えられたＩＤやパスワードを入力することで認証が行われていることを前提としている。

そして、パスワード発行・通知機能１３はランダムな値を持つワンタイムパスワードを発行し、ユーザ５のメールアドレスにワンタイムパスワードを通知する（Ｓ４）。ユーザのメールアドレスは、パスワード発行・通知機能１３により次のようにして取得される。すなわち、パスワード発行・通知機能１３は、ユーザの人事情報システム３へのログイン時に入力されたユーザＩＤに基づいてメールアドレス管理ＤＢ２を参照し、該当するユーザＩＤに関連付けされたメールアドレスを読み出すことにより取得する。

また、ユーザ認証機能１４は、ログインユーザに対し、パスワード発行・通知機能１３にて発行されたワンタイムパスワードの入力を要求し（Ｓ５）、ユーザ５におけるパスワードの入力（Ｓ６）をもってユーザ認証を行う。ユーザ認証機能１４で認証されたユーザ認証結果（認証成功あるいは認証失敗）を個人情報監視機能１２に報告する。

さらに、個人情報保護ＤＢ８は、個人情報保護サーバ１０と接続されたデータベースであり、個人情報定義テーブル９を備えている。この個人情報定義テーブル９は、個人情報定義機能１１にて、人事情報ＤＢ７にて管理されているテーブル（またはカラム）のうち、個人情報として保護するテーブル（またはカラム）の情報を格納している。

次に、図２に個人情報定義機能１１おける処理を説明するためのフロー図を示す。

まず、図１中のＳ１に示すように、システム管理者４から保護したい個人情報を指定するためのテーブル（またはカラム）情報が個人情報保護システム１に入力され、個人情報保護ＤＢ８に個人情報定義テーブル９として登録される。

この登録のための処理が開始されると、まず人事情報ＤＢ７に格納されている全テーブル、各カラムをシステム管理者４へ表示する（Ｓ１０）。

次に、システム管理者４に表示されたテーブルやカラムのうち、個人情報として保護すべきテーブルまたはカラムを選択し、個人情報保護サーバ１０へ送信する（Ｓ１１）。

次に、システム管理者４において保護を指定された個人情報のテーブルもしくはカラムを個人情報保護サーバ１０が受信して、個人情報定義テーブル９に登録され（Ｓ１２）、処理が終了する。

次に、図３に個人情報監視機能１２における処理を説明するためのフロー図を示す。

個人情報監視機能１２はユーザ５より操作命令を受けた人事情報サーバ６が人事情報ＤＢ７に問合せを行う際、個人情報保護ＤＢ８に登録されている個人情報定義テーブル（またはカラム）９のデータを操作する命令が含まれていないかを監視する。個人情報定義テーブル９を操作する命令が検出された場合、パスワード発行・通知機能１３とユーザ認証機能１４が、ユーザ認証を行う。ユーザ認証が成功するとデータ操作を続行する。

この一連の処理は、図３に示すように、処理の開始と共に人事情報システム３の問合せ処理を中断し、人事情報サーバ６が人事情報ＤＢ７に対する問合わせを個人情報保護システム１に送信する（Ｓ２０）。

次に、Ｓ２０にて受信した問合せ文の中に保護すべきテーブル（またはカラム）に対する操作が含まれているか個人情報定義テーブル９を参照し、確認する（Ｓ２１）。

次に、個人情報監視機能１２は、問合せ文に保護すべきテーブル（またはカラム）名を含むか否かを判断する（Ｓ２２）。この判断について図４（ａ）〜（ｃ）に示すテーブルとカラムの構成例を用いて説明する。図４（ａ）に示すようにある企業の社員情報テーブルが定義されているとする。このテーブルに対して図４（ｂ）に示す内容の個人情報定義テーブル９が個人情報保護ＤＢ８内に記憶されている。

一方、社員情報テーブルの住所カラムに格納されているデータを参照しようとすると、図４（ｃ）に示す「社員コードが003未満でかつ、生年月日が19500505以前という条件を満たすレコードの住所を参照する」という問合せ文が実行される。この問合せ文を解析すると、社員情報テーブルの住所カラムのデータを参照しようとしていることが判断され、これにより個人情報を操作する命令の検出を実現している。

そして、Ｓ２２で含むと判断されるとパスワード発行・通知機能１３により図５に示す処理が実行されて、ランダムな値を持つワンタイムパスワードを発行し、ユーザ５へ電子メールにてパスワードを通知する（Ｓ２３）。

このＳ２３で実行されるワンタイムパスワードの発行処理は、図５に示すように、まず一回のみログイン可能で、ランダムな値を持つパスワードを発行することによって行われる（図５中のＳ３０）。

次に、問合せ文を発行したユーザ５に対し、Ｓ３０にて発行されたパスワードをログインユーザのメールアドレスに送信して（Ｓ３１）終了する。

次に、ユーザ５から人事情報システム３に対して個人情報の操作をする命令文が送信された場合、ユーザ認証機能１４においてパスワード発行・通知機能１３が発行したワンタイムパスワードを要求し、ユーザ認証が実行される（Ｓ２４）。このユーザ認証をパスすることにより個人情報の操作を行うことが可能となる。

このＳ２４で実行されるユーザ認証処理は、図６に示すように、まず問合せ文を発行したログインユーザ（ユーザ５）に対し、パスワードの入力を要求する（図６中のＳ４０）。

次に、入力されたパスワードがパスワード発行・通知機能にて発行されたパスワードと一致するか否かが判断される（Ｓ４１）。ここで、一致しない場合はユーザ認証失敗として判断される（Ｓ４３）。一方、一致する場合はユーザ認証成功として判断される（Ｓ４２）。

なお、ユーザ認証においてはパスワードの入力のみならず、ユーザごとにあらかじめ与えられたＩＤを同時に入力要求してもよい。パスワードとＩＤが両方揃った場合に認証成功とすることによって、より確実な認証を行うことができる。

次に、Ｓ４２あるいはＳ４３のいずれかの判断結果が個人情報監視機能１２へ返される（Ｓ４４）。

そして、図３に示すＳ２４にて実行される認証処理により認証が成功すると人事情報システム３の問い合わせを再開する（Ｓ２５）。一方、認証に失敗すると人事情報システム３の問い合わせ処理を停止する（Ｓ２６）。

このように、第１の実施の形態によれば、システム管理者４により保護すべき個人情報を定義することが可能となっているため、独自のプライバシーポリシーに応じた個人情報の管理が可能となる。

また、個人情報を操作するためのユーザ認証を人事情報システム３へのログイン時とは別に設けることにより、セキュリティの高いシステム運用が可能となる。

また、個人情報を操作する際に要求されるパスワードは一度だけ認証可能なものであり、電子メールにてユーザ５に通知されるため、不正アクセスユーザによる情報の操作を防ぐことができる。

＜第２の実施の形態＞
認証システムの第２の実施の形態は、既に説明した第１の実施の形態に比して、ユーザ認証が成功した情報をログアウトするまで保持する機能を追加している。これにより、一度個人情報の操作が許可されると、ログアウトするまで人事情報システム３内の全個人情報の操作が可能となり、効率的でかつ安全な人事情報システム３の利用が可能になる。

図７に、認証システムの第２の実施の形態を説明するための全体構成図を示す。この図７は図１に示した構成に対して、個人情報保護サーバ１０に認証確認機能２０が追加され、また、個人情報保護ＤＢ８に認証情報テーブル２１が追加された点において異なっている。

認証確認機能２０は、ユーザ５より操作命令を受けた人事情報サーバ６が人事情報ＤＢ７に問合せを行う際に、ユーザ５にログインされてから一度でも個人情報の操作が許可される認証を受けたか否かを確認する。この確認により、過去に認証されたユーザ５はログアウトするまでの期間で個人情報の操作が可能となる。一方、過去に認証されていないユーザに対しては、第１実施例と同様のユーザ認証を行う。

また、認証情報テーブル２１は、ログインしてから一度でも個人情報の操作が許可される認証がされたユーザを登録するテーブルであり、認証確認機能２０により参照される。

このような構成において、図７に示すように、ログオンしたユーザ５から人事情報の操作の命令が入力される（Ｓ５０）。

次に、人事情報システム３ではユーザ５からの人事情報の操作の命令を受けて、人事情報サーバ６から人事情報ＤＢ７への問い合わせを中断し、個人情報操作の認証が過去に成功しているか否かを判断する（Ｓ５１）。

次に、Ｓ５１の判断で過去に認証がされていると判断された場合は、中断された処理が再開される（Ｓ５２）。

図８に認証確認機能２０により実行される処理を説明するためのフロー図を示す。

まず、人事情報システム３の問合せ処理を中断し、問合せ文を発行したログインユーザのレコードが認証情報テーブル２１に登録されていることを確認する（Ｓ６０）。

次に、認証情報テーブル２１にログインユーザのレコードが存在するか否かが判断される（Ｓ６１）。この判断でレコードが存在すると判断されると、中断された処理が再開される（Ｓ６２）。

一方、レコードが存在しないと判断されると、個人情報監視機能１２によりログインユーザに対してワンタイムパスワードが電子メールを介して発行される（Ｓ６３）。

次に、発行されたワンタイムパスワードがユーザ５から入力され、認証に成功したらログインユーザ情報を認証情報テーブルに追加する（Ｓ６４）。

なお、図７および図８に示した第２の実施の形態では、一度ログインしたユーザ５が次にログアウトするまでの期間で自由に人事情報を操作することができるが、ログインからログアウトまでの期間に限定されるものではない。たとえば、一度ログインした時から計時を開始して所定の時間の経過時点で人事情報の操作を強制的に不可能にしてもよく、あるいは一度のログインからあらかじめ設定された所定の回数の操作のみを可能としてもよい。

このように、第２の実施の形態によれば、一度認証されたユーザ５は個人情報保護システム１によるユーザ認証を免除されるため、効率的なシステムの利用が可能となる。

また、以上説明した第１および第２の実施の形態によれば、保護すべき情報毎に個別に認証を設定でき、保護すべき情報にアクセスする度毎にユニークなパスワードによる認証を要求して不正アクセスを阻止することができる。

第１の実施の形態の全体構成を説明するための構成図。 個人情報定義機能おける処理を説明するためのフロー図。 個人情報監視機能における処理を説明するためのフロー図。 テーブルとカラムの構成例であって、（ａ）は、ある企業の社員情報テーブルの一例を示し、（ｂ）は、個人情報定義テーブルの一例を示し、（ｃ）は、問合せ文の一例。 Ｓ２３で実行されるワンタイムパスワードの発行処理を説明するためのフロー図。 図３中のＳ２４で実行されるユーザ認証処理を説明するためのフロー図。 第２の実施の形態を説明するための全体構成図。 認証確認機能により実行される処理を説明するためのフロー図。

符号の説明

１ 個人情報保護システム
２ メールアドレス管理ＤＢ
３ 人事情報システム
４ システム管理者（管理端末）
５ ユーザ（ユーザ端末）
６ 人事情報サーバ
７ 人事情報ＤＢ
８ 個人情報保護ＤＢ
９ 個人情報定義テーブル
１０ 個人情報保護サーバ
１１ 個人情報定義機能
１２ 個人情報監視機能
１３ パスワード発行・通知機能
１４ ユーザ認証機能
２０ 認証確認機能
２１ 認証情報テーブル

Claims (9)

1. データベースに記憶された保護すべき情報を認証されたユーザに提供するための認証システムにおいて、
   ユーザに提供する情報を記憶するデータベースと、
   データベースに記憶された情報に対してあらかじめ設定された定義に基づいて保護すべき情報を指定するための保護定義設定手段と、
   保護すべき情報の提供を要求したユーザへ電子メールによってパスワードを送信するパスワード送信手段と、
   保護すべき情報の提供を要求したユーザへパスワードの入力を要求し、正しいパスワードが入力されたことをもって認証を行う認証手段と、
   認証されたユーザへ保護すべき情報を提供する情報提供手段と、
   を備えることを特徴とする認証システム。
2. 前記パスワード送信手段は、ユーザが保護すべき情報の提供を要求する毎にユニークなパスワードを生成することを特徴とする請求項１記載の認証システム。
3. 前記データベースは、保護すべき情報として個人情報を記憶していることを特徴とする請求項１または２記載の認証システム。
4. 前記認証手段は、認証の完了をユーザのログインとして記憶しておき、このユーザがログアウトするまでの間において、前記情報提供手段に保護すべき情報を提供可能にしておく旨の信号を伝えることを特徴とする請求項１〜３のうちのいずれか記載の認証システム。
5. データベースに記憶された保護すべき情報を認証されたユーザに提供するための認証方法において、
   データベースによって、ユーザに提供する情報を記憶するステップと、
   保護定義設定手段によって、データベースに記憶された情報に対してあらかじめ設定された定義に基づいて保護すべき情報を指定するステップと、
   パスワード送信手段によって、保護すべき情報の提供を要求したユーザへ電子メールによってパスワードを送信するステップと、
   認証手段によって、保護すべき情報の提供を要求したユーザへパスワードの入力を要求し、正しいパスワードが入力されたことをもって認証を行うステップと、
   情報提供手段によって、認証されたユーザへ保護すべき情報を提供するステップと、
   を有することを特徴とする認証方法。
6. 前記パスワード送信手段は、ユーザが保護すべき情報の提供を要求する毎にユニークなパスワードを生成するステップを有することを特徴とする請求項５記載の認証方法。
7. 前記データベースは、保護すべき情報として個人情報を記憶するステップを有することを特徴とする請求項５または６記載の認証方法。
8. 前記認証手段は、認証の完了をユーザのログインとして記憶しておき、このユーザがログアウトするまでの間において、前記情報提供手段に保護すべき情報を提供可能にしておく旨の信号を伝えるステップを有することを特徴とする請求項５〜７のうちのいずれか記載の認証方法。
9. データベースに記憶された保護すべき情報を認証されたユーザに提供するための認証プログラムにおいて、
   データベースによって、ユーザに提供する情報を記憶するステップと、
   保護定義設定手段によって、データベースに記憶された情報に対してあらかじめ設定された定義に基づいて保護すべき情報を指定するステップと、
   パスワード送信手段によって、保護すべき情報の提供を要求したユーザへ電子メールによってパスワードを送信するステップと、
   認証手段によって、保護すべき情報の提供を要求したユーザへパスワードの入力を要求し、正しいパスワードが入力されたことをもって認証を行うステップと、
   情報提供手段によって、認証されたユーザへ保護すべき情報を提供するステップと、
   をコンピュータに実現させることを特徴とする認証プログラム。
   
   

Images