JP2007304835A

JP2007304835A - アクセス制御方式

Info

Publication number: JP2007304835A
Application number: JP2006132283A
Authority: JP
Inventors: Eiji Hatanaka; 栄治畠中
Original assignee: Hitachi Electronics Services Co Ltd
Current assignee: Hitachi Electronics Services Co Ltd
Priority date: 2006-05-11
Filing date: 2006-05-11
Publication date: 2007-11-22
Anticipated expiration: 2026-05-11
Also published as: JP4699940B2

Abstract

【課題】アクセス制御リスト（ＡＣＬ）は、通常、人手にて作成・保守が行われているため、新規作成時、人の追加・削除、昇級・所属変更にともなう変更など、ツール等を利用しても大変であった。また、アクセス制御の条件として、時間帯や場所なども追加して、より厳しい制限を行うと、作成・保守のための工数が増大するという問題があった。
【解決手段】アクセス制御情報を設定するＡＣＬに利用可能時間帯、利用可能場所の情報を追加し、利用者が携帯する無線通信機能付ユーザＩＤカードと、情報機器の利用場所に設置されたアクセスポイントと無線通信をすることにより、現在の利用者の位置を検知し、ネットワーク経由でファイルにアクセスする時、ユーザＩＤ／パスワードに加え、該当するユーザＩＤの利用者の位置情報・時間情報により、ファイルのアクセス制御を行う。
【選択図】図１

Description

本発明は、アクセス制御方式に関し、特に、アクセス制御リストの作成・保守を容易化する方式に関する。

従来はネットワーク経由でアクセス可能なファイルには、機密情報が含まれているものがあるため、センタの管理装置のアクセス制御リスト（ＡＣＬ）にて、ユーザＩＤ／パスワード、職位、所属などでアクセス制限を行っている。

特許文献１には、アクセス制御機能付き情報処理装置及び記憶媒体が記載されている。
また、特許文献２には、ネットワークアクセス制御システムおよびネットワークアクセス制御プログラムが記載されている。更に、特許文献３には、アクセス制御リスト生成方法及びその装置が記載されている。
特開２０００−１４８５９２号公報特開２００３−３０８２９６号公報特開平１１−３１３１０２号公報

しかしながら、アクセス制御リスト（ＡＣＬ）は、通常、人手にて作成・保守が行われているため、新規作成時、入社・退社にともなう人の追加・削除、昇級・所属変更にともなう変更など、ツール等を利用しても大変であった。また、アクセス制御の条件として、時間帯や場所なども追加して、より厳しい制限が可能だが、その分、作成・保守のための工数が増大する。という問題があった。

本発明は、利用者が、利用する時にアクセス制御リスト（ＡＣＬ）の作成・保守（更新・削除制御）を半自動化することで、場所・時間帯などの複雑なアクセス制御のリスト（ＡＣＬ）の作成・保守作業を容易化することを目的とする。

本発明は、アクセス制御情報を設定するＡＣＬに利用可能時間帯、利用可能場所の情報を追加し、利用者が携帯する無線通信機能付ユーザＩＤカードと、情報機器の利用場所に設置されたアクセスポイントとが無線通信をすることにより、現在の利用者の位置を検知し、ネットワーク経由でファイルにアクセスする時、ユーザＩＤ／パスワードに加え、該当するユーザＩＤの利用者の位置情報・時間情報により、ファイルのアクセス制御を行うことを特徴とする。

本発明によれば、アクセス制御リスト（ＡＣＬ）の作成・保守が、半自動化により容易化。且つ、アクセスするユーザ情報に加え、アクセス時間帯、アクセス場所のより綿密なアクセス制限が可能となる。

以下、図面を用いて、本発明の実施の形態について説明する。

図１は、本発明の実施例のシステム構成図を示す。図１は、ネットワーク経由でドキュメント類にアクセス可能なお客様サイトのコンピュータ室とセンタとを公衆網／インターネット網４を介して接続した遠隔アクセスシステムの構成を示す。図１において、アクセスポイント（１）が配置されたコンピュータ室１とアクセスポイント（２）が配置されたコンピュータ室２と、センタ３とは、公衆網／インターネット網４を介して接続されている。コンピュータ室２内には、無線通信機能付ユーザＩＤカード１１を携行した作業者が入室しており、利用者用端末装置１２、通信装置１３、ローカル管理装置１４、ユーザＩＤ確認テーブル１５を備えた記憶装置１７、ＬＡＮ１７が配置され、センタ３内には、記憶装置２１が配置され、記憶装置２１内には、アクセス制御リスト（ＡＣＬ）２３、利用者位置情報リスト２４、マニュアル、手順書等のドキュメント類２５が備えられている。また、センタ管理装置２６、管理者用端末装置２７、通信装置２８が配置されている。

また、図２は、本発明の実施例１のアクセス制御方式の動作のフローチャートを示す。図２のフローチャートにおいて、ステップｉ）において、利用場所のアクセスポイントにて、利用者が携帯する無線通信機能付ユーザＩＤカードと無線通信可能となることにより、利用者のユーザＩＤ、場所情報（ロケーション情報）、時間情報（ユーザＩＤ確認時間）を、ローカル管理装置−通信装置経由でセンタ管理装置で取得し、ステップii）において、センタ管理装置にて、利用者位置・時間情報リストに受信した情報を追加・保存し、ステップiii）において、ローカル管理装置では、ユーザＩＤ確認テーブルにて無線通信機能付ユーザＩＤカードの通信状態を監視しており、通信可能であったアクセスポイントで無線通信機能付ユーザＩＤカードの通信が不可になった時に通信装置経由でセンタ管理装置で取得し、ステップiv）において、センタ管理装置にて、利用者位置・時間情報リストから該当情報を削除する。

図２には、以下の処理フローも示されている。ステップ（１）において、利用者用端末装置から、センタ管理装置へネットワーク経由でファイルのアクセス要求を受信し、ステップ（２）において、「ユーザＩＤ／パスワード情報」の入力要求を返信し、ステップ（３）において、利用者用端末装置から「ユーザＩＤ／パスワード情報」を受信し、ステップ（４）において、受信したユーザＩＤと利用者位置・時間情報リストから、現在の利用者（＝ユーザＩＤ）の位置情報・時間帯情報を検索・取得し、ステップ（５）において、受信・取得したユーザＩＤ／パスワード情報、位置情報・時間帯情報にてＡＣＬを検索し、ステップ（６）において、アクセス可能な場合、ステップ（７）において、アクセス要求のあったファイルのデータを利用者用端末装置へ送信し、ステップ（８）において、アクセスした情報（ユーザ情報、位置情報・時間帯情報）をアクセス履歴リストに蓄積・保存して処理を終了する。

ステップ（６）において、アクセス不可能な場合、ステップ（９）において、アクセス不可とした情報（ユーザ情報、位置情報・時間帯情報）を管理者用端末装置へ「ＡＣＬ追加・更新の承認要求」として送信し、ステップ（１０）において、管理者用端末装置は、「ＡＣＬ追加・更新の承認要求」を受信し、ステップ（１１）において、アクセス不可とした情報（ユーザ情報、位置情報・時間帯情報）を画面に表示し、管理者の承認／非承認の入力待ちになる。

ステップ（１２）において、管理者の承認／非承認の入力を確認し、入力情報をセンタ監視装置へ返信し、ステップ（１３）において、管理者用端末装置から承認／非承認の返信を受信し、ステップ（１４）において、返信が承認だった場合、ステップ（１５）において、ＡＣＬにユーザ情報、位置情報・時間帯情報を追加または更新してアクセス可能とし、その後、アクセス可能時の処理（（ステップ（７）、ステップ（８））を実行する。

ステップ（１４）において、返信が承認だった場合、処理を終了する。（ステップ（１０）〜（１２）で現在は、管理者が社内ルールに基づき判断して、承認／非承認の処理を行っているが、社内ルールに基づく判断を自動で行わせることも可能である。）

図２には、以下の処理フローも示されている。
ステップＩ）において、ＡＣＬとアクセス履歴リストを検索し、任意の期間以前（例．１年前）から、アクセスしていないＡＣＬの情報をピックアップ（リストアウト）する。ステップII）において、ピックアップ（リストアウト）したＡＣＬの情報を削除（更新）し、長期間未使用なアクセス許可は、削除する。

図３〜図８は、本発明の実施例において用いられる各種リストを示している。図３は、アクセス制御リスト（ＡＣＬ）（記録例）を示し、図４は、利用者位置・時間情報リスト（記録例）を示し、図５は、ユーザＩＤ確認テーブル（記録例）を示し、図６は、アクセス履歴リスト（記録例）を示し、図７は、ユーザ情報リスト（記録例）を示し、図８は、場所・時間帯リスト（記録例）を示している。

図３に示されたアクセス制御リスト（ＡＣＬ）（記録例）には、ユーザＩＤ、パスワード、職位コード、所属コード、ロケーション♯と時間帯の組が記録されている。図４に示された利用者位置・時間情報リスト（記録例）には、ユーザＩＤ、ロケーション♯とユーザ確認時間が記録されている。図５に示されたユーザＩＤ確認テーブル（記録例）には、ユーザＩＤ、ロケーション♯とユーザ確認時間が記録されている。図６に示されたアクセス履歴リスト（記録例）には、ユーザＩＤ、ロケーション♯とユーザ確認時間が記録されている。図７に示されたユーザ情報リスト（記録例）には、ユーザＩＤ、パスワード、職位コード、所属コードが記録されている。そして、図８に示された、場所・時間帯リスト（記録例）には、ロケーション♯と時間帯が記録されている。本発明では、これらの各種リストを用いて、センタの管理装置のアクセス制御リスト（ＡＣＬ）を用いた、ユーザＩＤ／パスワード、職位、所属などでアクセス制限を行う。

本発明は、情報漏洩防止システム、作業支援システムに適用が可能であり。既に保守作業（電子マニュアル参照）支援システム、コンプライアンス対応サービスに適用されている。

図１は、本発明の実施例のシステム構成を示す図である図２は、本発明の実施例のアクセス制御方式の動作のフローチャートである。図３は、本発明の実施例に用いるアクセス制御リスト（ＡＣＬ）（記録例）である。図４は、本発明の実施例に用いる利用者位置・時間情報リスト（記録例）である。図５は、本発明の実施例に用いるユーザＩＤ確認テーブル（記録例）である。図６は、本発明の実施例に用いるアクセス履歴リスト（記録例）である。図７は、本発明の実施例に用いるユーザ情報リスト（記録例）である。図８は、本発明の実施例に用いる場所・時間帯リスト（記録例）である。

符号の説明

１コンピュータ室
２コンピュータ室
３センタ
４公衆網／インターネット網
１１無線通信機能付ユーザＩＤカード
１２利用者用端末装置
１３通信装置
１４ローカル管理装置
１５ユーザＩＤ確認テーブル
１６記憶装置
１７ＬＡＮ
２１記憶装置
２３アクセス制御リスト（ＡＣＬ）
２４利用者位置情報リスト
２５マニュアル、手順書等のドキュメント類
２６センタ管理装置
２７管理者用端末装置
２８通信装置

Claims

無線通信を利用してユーザのアクセス位置・アクセス時間帯を制限するアクセス制御方式。
請求項１に記載のアクセス制御方式において、
アクセス制御リストからの長期未使用ユーザ情報を自動削除することを特徴とするアクセス制御方式。
アクセス制御情報を設定するアクセス制御リストに利用可能時間帯及び利用可能場所の情報を追加し、利用者が携帯した無線通信機能付ユーザＩＤカードと情報機器の利用場所に設置されたアクセスポイントと無線通信をすることにより、現在の利用者の位置を検知し、ネットワーク経由でファイルにアクセスする時、ユーザＩＤ／パスワードに加え、該当するユーザＩＤの利用者の位置情報・時間情報により、ファイルのアクセス制御を行うことを特徴とするアクセス制御方式。
請求項３に記載のアクセス制御方式において、
アクセス制御リストで制限された場合、情報を管理者用の端末装置に送り、管理者の承認を受けた時、アクセス制御リストにアクセス可能な情報（ユーザＩＤ・時間帯・場所等）として追加（作成）・更新（保守）することを特徴とするアクセス制御方式。
請求項２ないし請求項４に記載のアクセス制御方式において、
前記アクセス制御リストの作成・保守を容易化することを特徴とするアクセス制御方式。