JP2007282103A - セキュリティシステム及びセキュリティ管理サーバ - Google Patents

Abstract

【課題】移動端末の情報セキュリティと物理セキュリティを基にしたセキュリティ対策を実行可能なセキュリティシステム及びセキュリティ管理サーバの提供。
【解決手段】セキュリティシステムＳは、移動端末１と無線ＡＰ装置３とセキュリティ管理サーバ４とから構成される。セキュリティ管理サーバ４が物理的ゾーンに基づくセキュリティルール４０，４１を有する。セキュリティ管理サーバ４が１以上の無線ＡＰ装置３を介してデータを送信してきた移動端末１の物理的な位置を特定する。セキュリティ管理サーバ４が接続した移動端末１の物理的な位置及びセキュリティルール４０，４１を使用して、移動端末１に対する情報セキュリティレベルと物理セキュリティレベルを決定する。
【選択図】図１

Description

本発明は、移動端末の情報セキュリティと物理セキュリティとを基にしたセキュリティ対策を行うセキュリティシステム及びセキュリティ管理サーバに関するものである。

現状では、情報セキュリティと物理セキュリティは、別々の管理下にあり、相互の連携は浅い。

従来、情報セキュリティにおいても、エリアの概念はあったが、基本的にはＩＰネットワークの単位であり、物理的なエリアの概念ではなかった。

そのため、セキュリティでのアクションで物理的手段を取ることができなかったり、ネットワーク接続されていない状態では、管理自体ができない、といった課題があった。

図３は、従来のセキュリティシステムにおける移動端末の移動に応じたセキュリティ対策の説明図である。
従来のセキュリティシステムＳ´は、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスによる無線アクセスポイント装置（図示せず）への無線通信可能なゾーン（以下、単にＩＰアドレスによるゾーンという）分けを行う。

従来、ネットワーク通信網及びネットワーク通信網に接続可能な端末装置における安全性を確保するための接続環境自動判別セキュリティシステムが特許文献１に開示されている。
特開２００５−１５９９７４号公報

ところが、ゾーンによるセキュリティ対策として、論理ネットワークによるゾーン分けは従来からあったが、物理的なゾーンに対応するものはない。

情報セキュリティと物理セキュリティをトータルに扱うためには、物理的なゾーンに応じて情報セキュリティ側の対応を変えることが課題となる。

図３に示す従来のセキュリティシステムＳ´においては、まず、利用者が移動端末１´を携行してＩＰアドレスによるゾーンＣ´内に入ると、セキュリティ管理サーバ４´が無線アクセスポイント装置を介して接続した移動端末１´にＩＰアドレス（例えば、「１０．２２．２７．×××」）を付与し、セキュリティ管理サーバ４´がＩＰアドレスによるゾーンＣ´のセキュリティレベルを「中」に設定する。

また、利用者が移動端末１´を携行しながら移動してＩＰアドレスによるゾーンＣ´からＩＰアドレスによるゾーンＤ´内に入ると、セキュリティ管理サーバ４´が無線アクセスポイント装置を介して接続した移動端末１´にＩＰアドレス（例えば、「１９２．１６８．１０．×××」）を付与し、セキュリティ管理サーバ４´がＩＰアドレスによるゾーンＤ´のセキュリティレベルを「中」から「高」に変更する。

さらに、セキュリティ管理サーバ４´が、セキュリティレベルに応じて、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）ポートを無効にしたり、ウイルススキャンの頻度を多くするなどの移動端末１´の機能を変更する。

従来の特許文献１に開示された接続環境自動判別セキュリティシステムは、端末装置が接続しているＩＰベースの環境に応じて、端末装置内のプログラムが自身のセキュリティ設定を動的に変更するものであった。

そこで、本発明の目的は、上記の事情に鑑みてなされたものであって、移動端末の持ち出しなどの物理的な脅威も含めてセキュリティを確保するため、移動端末の物理的な位置を動的に把握し、接続した移動端末の物理的な位置と情報セキュリティルールと物理セキュリティルールを使用して、移動端末に対する情報セキュリティレベルと物理セキュリティレベルとを決定することができ、移動端末の情報セキュリティと物理セキュリティとを基にしたセキュリティ対策の実行が可能なセキュリティシステム及びセキュリティ管理サーバを提供することにある。

本発明のセキュリティシステムは、利用者が携行する移動端末と、ネットワークに接続した無線アクセスポイント装置と、前記ネットワークに接続されるセキュリティ管理サーバとから構成され、前記移動端末の情報セキュリティと物理セキュリティとを基にしたセキュリティ対策を行うシステムであって、前記移動端末が、前記無線アクセスポイント装置とデータを送受信する手段を備え、前記無線アクセスポイント装置が、前記移動端末及び前記セキュリティ管理サーバとデータを送受信する手段を備え、前記セキュリティ管理サーバが、前記無線アクセスポイント装置とデータを送受信する手段と、前記無線アクセスポイント装置を介して接続した移動端末にＩＰアドレスを付与する手段と、物理的ゾーンに基づく情報セキュリティルール及び物理セキュリティルールと、１以上の無線アクセスポイント装置を介してデータを送信してきた移動端末の物理的な位置を特定する手段とを備え、接続した移動端末の物理的な位置及び２つの前記セキュリティルールを使用し、移動端末に対する情報セキュリティレベルと物理セキュリティレベルとを決定することを特徴とする構成を有するものである。

本発明のセキュリティシステムは、上記セキュリティ管理サーバが、情報セキュリティレベルに応じて移動端末の機能を変更するようになっている。

本発明のセキュリティシステムは、上記セキュリティ管理サーバが、移動端末の機能を、前記移動端末の位置する物理的ゾーンに応じて変更するようになっている。

本発明のセキュリティシステムは、上記セキュリティ管理サーバが、物理的ゾーンに応じた異常発生時の対応アクションを設定可能である。

本発明のセキュリティシステムは、上記ネットワークが、ＬＡＮであり、前記ＬＡＮが、複数の物理的ゾーンに配置される。

本発明のセキュリティシステムは、上記ネットワークが、２以上のＬＡＮからなり、前記２以上のＬＡＮが、１つの物理的ゾーンに配置される。

本発明のセキュリティ管理サーバは、無線アクセスポイント装置にネットワークを介して接続され、前記無線アクセスポイント装置とデータを送受信する手段と、前記無線アクセスポイント装置を介して接続した移動端末にＩＰアドレスを付与する手段と、物理的ゾーンに基づく情報セキュリティルール及び物理セキュリティルールと、１以上の無線アクセスポイント装置を介してデータを送信してきた移動端末の物理的な位置を特定する手段とを備え、接続した移動端末の物理的な位置及び２つの前記セキュリティルールを使用し、移動端末に対する情報セキュリティレベルと物理セキュリティレベルとを決定することを特徴とする構成を有するものである。

以上に述べたように、本発明によれば、移動端末の持ち出しなどの物理的な脅威も含めてセキュリティを確保するため、移動端末の物理的な位置を動的に把握し、接続した移動端末の物理的な位置と情報セキュリティルールと物理セキュリティルールを使用して、移動端末に対する情報セキュリティレベルと物理セキュリティレベルとを決定することができ、移動端末の情報セキュリティと物理セキュリティとを基にしたセキュリティ対策の実行が可能なセキュリティシステム及びセキュリティ管理サーバを得ることができる。

以下、本発明を実施するための最良の形態を図面を参照して詳細に説明する。

本発明のセキュリティシステムＳは、利用者が携行する移動端末１と、ネットワークであるＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）２に接続した無線アクセスポイント（ＡＰ；Ａｃｃｅｓｓ Ｐｏｉｎｔ）装置３と、ＬＡＮ２に接続されるセキュリティ管理サーバ４とから構成されている。

本発明のセキュリティシステムＳは、移動端末１の情報セキュリティと物理セキュリティとを基にしたセキュリティ対策を行うシステムである。

本発明のセキュリティシステムＳは、移動端末１が、無線アクセスポイント装置３とデータを送受信する手段を備えている。

本発明のセキュリティシステムＳは、無線アクセスポイント装置３が、移動端末１及びセキュリティ管理サーバ４とデータを送受信する手段を備えている。

本発明のセキュリティシステムＳは、セキュリティ管理サーバ４が、無線アクセスポイント装置３とデータを送受信する手段と、無線アクセスポイント装置３を介して接続した移動端末１にＩＰアドレスを付与する手段と、物理的ゾーンに基づく情報セキュリティルール４０及び物理セキュリティルール４１と、１以上の無線アクセスポイント装置３を介してデータを送信してきた移動端末１の物理的な位置を特定する手段とを備えている。

本発明のセキュリティシステムＳは、セキュリティ管理サーバ４が、接続した移動端末１の物理的な位置及び２つの上記セキュリティルール４０，４１を使用し、移動端末１に対する情報セキュリティレベルと物理セキュリティレベルとを決定するようになっている。

本発明のセキュリティシステムＳは、セキュリティ管理サーバ４が、情報セキュリティレベルに応じて移動端末１の機能を変更するようになっている。

本発明のセキュリティシステムＳは、セキュリティ管理サーバ４が、移動端末１の機能を、移動端末１の位置する物理的ゾーンに応じて変更するようになっている。

本発明のセキュリティシステムＳは、セキュリティ管理サーバ４が、物理的ゾーンに応じた異常発生時の対応アクションを設定可能である。

本発明のセキュリティシステムＳは、ネットワークが、ＬＡＮである。

本発明のセキュリティシステムＳは、ＬＡＮが、複数の物理的ゾーンに配置されている。

本発明のセキュリティシステムＳは、ネットワークが、２以上のＬＡＮからなる。

本発明のセキュリティシステムＳは、２以上のＬＡＮが、１つの物理的ゾーンに配置されている。

本発明のセキュリティ管理サーバは、無線アクセスポイント装置３にネットワークであるＬＡＮ２を介して接続されている。

本発明のセキュリティ管理サーバは、無線アクセスポイント装置３とデータを送受信する手段と、無線アクセスポイント装置３を介して接続した移動端末１にＩＰアドレスを付与する手段と、物理的ゾーンに基づく情報セキュリティルール４０及び物理セキュリティルール４１と、１以上の無線アクセスポイント装置３を介してデータを送信してきた移動端末１の物理的な位置を特定する手段とを備えている。

本発明のセキュリティ管理サーバは、接続した移動端末１の物理的な位置及び２つの上記セキュリティルール４０，４１を使用し、移動端末１に対する情報セキュリティレベルと物理セキュリティレベルとを決定するようになっている。

図１は、本発明の実施例に係るセキュリティシステムを示すシステム構成図である。
セキュリティシステムＳは、図１に示すように、移動可能な情報端末である移動端末１と、移動端末１と無線通信を行う無線アクセスポイント装置３（３ａ，３ｂ）と、移動端末１の物理的な位置を一元的に管理するセキュリティ管理サーバ４とから構成されている。

移動端末１は、無線アクセスポイント装置３（３ａ，３ｂ）を介してＬＡＮ２（２ａ，２ｂ）に接続される。

開発エリアの物理的ゾーンＡ内には、複数の無線アクセスポイント装置３ａがそれぞれ配置されている。

また、開発エリアの物理的ゾーンＡ外にも、無線アクセスポイント装置３ａが配置されている。

開発エリアの物理的ゾーンＡ内には、セキュリティ管理対象となる移動端末１を撮影する撮像装置であるカメラ（図示せず）が設置されている。

複数の無線アクセスポイント装置３ａは、ＬＡＮ２ａにそれぞれ接続されている。

玄関ロビーなどのパブリックエリアの物理的ゾーンＢ内には、複数の無線アクセスポイント装置３ｂがそれぞれ配置されている。

また、パブリックエリアの物理的ゾーンＢ外にも、無線アクセスポイント装置３ｂが配置されている。

複数の無線アクセスポイント装置３ｂは、ＬＡＮ２ｂにそれぞれ接続されている。

セキュリティ管理サーバ４は、図１に示すように、物理的ゾーンに基づく情報セキュリティルール４０と物理セキュリティルール４１とを有している。

複数の無線アクセスポイント装置３ａとセキュリティ管理サーバ４とは、ＬＡＮ２ａでネットワーク接続されている。

複数の無線アクセスポイント装置３ｂとセキュリティ管理サーバ４とは、ＬＡＮ２ｂでネットワーク接続されている。

本発明のセキュリティシステムでは、ＩＰアドレスによる無線アクセスポイント装置３への無線通信可能なゾーン（以下、ＩＰアドレスによるゾーンという）分けに加えて物理的ゾーン分けが行われる。

図２は、本発明の実施例に係るセキュリティシステムにおける移動端末の移動に応じたセキュリティ対策の説明図である。
まず、利用者が移動端末１を携行してパブリックエリアの物理的ゾーンＢ内に入ると、セキュリティ管理サーバ４が無線アクセスポイント装置３ｂを介して接続した移動端末１にＩＰアドレス（例えば、「１０．２２．２７．×××」）を付与し、セキュリティ管理サーバ４が１以上の無線アクセスポイント装置３ｂを介してデータを送信してきた移動端末１の物理的な位置を特定し、セキュリティ管理サーバ４が接続した移動端末１の物理的な位置及び２つのセキュリティルール４０，４１を使用し、移動端末１に対する情報セキュリティレベルと物理セキュリティレベルを決定し、ＩＰアドレスによるゾーンＣの情報セキュリティレベルを「中」に設定する。

パブリックエリアの物理的ゾーンＢ内に位置する移動端末１からセキュリティ管理サーバ４への不正侵入があった場合、物理セキュリティレベルとなる物理的ゾーンＢによる対応アクション（物理アクション）として、セキュリティ管理サーバ４がカメラを作動し、カメラで移動端末１の利用者を撮影する。

利用者が移動端末１を携行しながら移動してパブリックエリアの物理的ゾーンＢから開発エリアの物理的ゾーンＡ内に入ると、セキュリティ管理サーバ４が無線アクセスポイント装置３ａを介して接続した移動端末１にＩＰアドレス（例えば、「１９２．１６８．１０．×××」）を付与し、セキュリティ管理サーバ４が１以上の無線アクセスポイント装置３ａを介してデータを送信してきた移動端末１の物理的な位置を特定し、セキュリティ管理サーバ４が接続した移動端末１の物理的な位置及び２つのセキュリティルール４０，４１を使用し、移動端末１に対する情報セキュリティレベルと物理セキュリティレベルを決定し、ＩＰアドレスによるゾーンＤの情報セキュリティレベルを「中」から「高」に変更する。

開発エリアの物理的ゾーンＡ内に位置する移動端末１からセキュリティ管理サーバ４への不正侵入があった場合、物理セキュリティレベルとなる物理的ゾーンＡによる対応アクションとして、セキュリティ管理サーバ４が開発室の入口のドアをロックし、警備員を呼び出す。

セキュリティ管理サーバ４は、情報セキュリティレベルに応じて、ＵＳＢポートを無効にしたり、ウイルススキャンの頻度を多くするなどの移動端末１の機能を変更する。

また、セキュリティ管理サーバ４は、移動端末１の位置する物理的ゾーンＡ，Ｂに応じて、移動端末１の機能を変更する。

さらに、セキュリティ管理サーバ４は、異常発生時の対応アクションを、物理的ゾーンＡ，Ｂに応じて設定可能である。

本発明のセキュリティシステムでは、無線ＬＡＮやセンサネットワークなどで移動端末１の物理的な位置を動的に把握し、物理的ゾーンによる対応アクションを物理セキュリティルールベースで実行する。

本発明のセキュリティシステムは、移動端末１の物理的な位置を動的に把握し、移動端末１の物理的な位置の情報をセキュリティ管理サーバ４で参照する。
セキュリティ管理サーバ４が、接続した移動端末１の物理的な位置と情報セキュリティルール４０と物理セキュリティルール４１を使って、移動端末１の物理的な位置に応じた処理を実現する。

本発明のセキュリティシステムによれば、情報セキュリティ側の対策だけでは対応できない部分まで含めてリアルタイムに物理セキュリティ側の対策が可能になる。

本発明のセキュリティシステムは、移動端末１の近くにカメラがある場合は、カメラを作動させ、移動端末１の持ち出しの可能性がある場合は、警備員を呼び出すなどの物理的ゾーンによる対応アクションを物理セキュリティルールベースで実行する。

本発明のセキュリティシステムの応用例としては、セキュリティ以外にも、移動端末１に物理的に最も近い位置のプリンタを判定するなど、利用者の利便性を向上させることができる。

本発明のセキュリティシステムは、動的に変わる移動端末１の物理的な位置の情報を、セキュリティ分析・対策のパラメータとして利用する。

本発明のセキュリティシステムでは、これまでできなかった物理面からの対応を自動的に行うことが可能になる。
また、移動端末１の物理的な位置に応じたルールで適切な対応を選択できるようになる。

本発明のセキュリティシステムは、ＬＡＮが複数の物理的ゾーンに配置され、ＬＡＮを室外に延ばすことができる。

本発明のセキュリティシステムは、２以上のＬＡＮが１つの物理的ゾーンに配置され、ＬＡＮを室内に増やすことができる。

以上実施例で説明したが、本発明のセキュリティシステムの特徴は、以下の通りである。
（１）移動端末１の物理的な位置の把握は、無線ＬＡＮやセンサネットワークなどで行われる。

（２）移動端末１の物理的な位置は、セキュリティ管理サーバ４で一元的に管理される。
また、移動端末１のそれぞれが位置する物理的ゾーンＡ，Ｂには、異なるセキュリティポリシーをそれぞれ設定することができる。

（３）情報セキュリティレベルの変更とは、例えば、移動端末１の外部デバイスを無効にしたり、無線ＬＡＮの利用を制限するなどの移動端末１側の機能制限を行うこと、または、各移動端末１から機密データがあるセキュリティ管理サーバ４へのアクセスを制限するなどのシステム全体での利用制限を行うことである。

（４）物理アクション（対応アクション）とは、例えば、カメラで移動端末１の利用者を撮影したり、移動端末１に一番近い警備員をコールするなどの各物理的ゾーンで利用可能な物理セキュリティの機能を呼び出すことである。

本発明の実施例に係るセキュリティシステムを示すシステム構成図。 本発明の実施例に係るセキュリティシステムにおける移動端末の移動に応じたセキュリティ対策の説明図。 従来のセキュリティシステムにおける移動端末の移動に応じたセキュリティ対策の説明図。

符号の説明

１，１´ 移動端末
２，２ａ，２ｂ ＬＡＮ（ネットワーク）
３，３ａ，３ｂ 無線アクセスポイント装置
４，４´ セキュリティ管理サーバ
４０ 情報セキュリティルール
４１ 物理セキュリティルール
Ａ 開発エリアの物理的ゾーン
Ｂ パブリックエリアの物理的ゾーン
Ｃ，Ｃ´ ＩＰアドレスによるゾーン
Ｄ，Ｄ´ ＩＰアドレスによるゾーン
Ｓ，Ｓ´ セキュリティシステム

Claims (7)

1. 利用者が携行する移動端末と、ネットワークに接続した無線アクセスポイント装置と、前記ネットワークに接続されるセキュリティ管理サーバとから構成され、前記移動端末の情報セキュリティと物理セキュリティとを基にしたセキュリティ対策を行うシステムであって、
   前記移動端末は、前記無線アクセスポイント装置とデータを送受信する手段を備え、前記無線アクセスポイント装置は、前記移動端末及び前記セキュリティ管理サーバとデータを送受信する手段を備え、前記セキュリティ管理サーバは、前記無線アクセスポイント装置とデータを送受信する手段と、前記無線アクセスポイント装置を介して接続した移動端末にＩＰアドレスを付与する手段と、物理的ゾーンに基づく情報セキュリティルール及び物理セキュリティルールと、１以上の無線アクセスポイント装置を介してデータを送信してきた移動端末の物理的な位置を特定する手段とを備え、接続した移動端末の物理的な位置及び２つの前記セキュリティルールを使用し、移動端末に対する情報セキュリティレベルと物理セキュリティレベルとを決定することを特徴とするセキュリティシステム。
2. 上記セキュリティ管理サーバは、情報セキュリティレベルに応じて移動端末の機能を変更する請求項１に記載のセキュリティシステム。
3. 上記セキュリティ管理サーバは、移動端末の機能を、前記移動端末の位置する物理的ゾーンに応じて変更する請求項１に記載のセキュリティシステム。
4. 上記セキュリティ管理サーバは、物理的ゾーンに応じた異常発生時の対応アクションを設定可能である請求項１に記載のセキュリティシステム。
5. 上記ネットワークは、ＬＡＮであり、前記ＬＡＮは、複数の物理的ゾーンに配置される請求項１に記載のセキュリティシステム。
6. 上記ネットワークは、２以上のＬＡＮからなり、前記２以上のＬＡＮは、１つの物理的ゾーンに配置される請求項１に記載のセキュリティシステム。
7. 無線アクセスポイント装置にネットワークを介して接続され、前記無線アクセスポイント装置とデータを送受信する手段と、前記無線アクセスポイント装置を介して接続した移動端末にＩＰアドレスを付与する手段と、物理的ゾーンに基づく情報セキュリティルール及び物理セキュリティルールと、１以上の無線アクセスポイント装置を介してデータを送信してきた移動端末の物理的な位置を特定する手段とを備え、接続した移動端末の物理的な位置及び２つの前記セキュリティルールを使用し、移動端末に対する情報セキュリティレベルと物理セキュリティレベルとを決定することを特徴とするセキュリティ管理サーバ。
   

Images