JP2007316686A - セキュリティ状態管理サーバ、セキュリティパッチ配信サーバ、ファイルサーバ、持ち出し検知装置及びそのシステム。 - Google Patents

Abstract

【課題】 情報端末のセキュリティ強度に応じて情報端末の処理、運用を制限するセキュリティ状態管理サーバ等を提供する。
【解決手段】セキュリティの強度を評価するためのセキュリティデータと当該セキュリティデータがセキュリティの強度に寄与する程度を示す値であるセキュリティポイントとを関連付けて記憶するセキュリティ評価基準記憶手段と、情報端末から、ネットワークを介して当該情報端末の複数のセキュリティデータを取得するセキュリティ情報取得手段と、取得した複数のセキュリティデータと上記セキュリティ評価基準記憶手段とに基づいて、情報端末のセキュリティの強度を算出するセキュリティ強度算出手段と、算出されたセキュリティ強度を記憶するセキュリティ強度記憶手段とを備えるセキュリティ状態管理サーバ等を提供する。
【選択図】 図１

Description

本発明は、セキュリティ状態管理サーバ等に関し、詳しくは情報端末のセキュリティ強度に応じて情報端末の処理、運用を制限するセキュリティ状態管理サーバ等に関するものである。

近年、ハードディスクドライブの大容量化に伴い、ノート型パーソナルコンピュータやＰＤＡ（Personal Digital(Data) Assistants）等の小型の情報端末を利用して一度に大量の電子データを持ち運びすることが可能になった。

これにより、電子データの利用に対する利便性が高まったものの、企業などの場合には、機密情報に属する電子データの持ち出しも容易に行われるに至っている。

なお、悪意で機密情報を持ち出した場合に限らず、情報端末に十分なセキュリティ対策が施されていない場合には、善意であってもその情報端末の盗難などにより、第三者に機密情報が漏洩する場合がある。

また、持ち運びができないデスクトップ型情報端末であっても、そのセキュリティ対策が十分でない場合には、ネットワークを介在した情報漏洩の原因となっている。

なお、特開２００５−２８４５０５公報に記載の技術では、資産に付与されたＩＣタグを読み取ることにより、持ち出しを許可された資産の場合にのみ持ち出しを可能とする技術が開示されている。
特開２００５−２８４５０５公報

情報漏洩対策として、すべての情報端末についてウイルス検知ソフトの装備、ソフトウェアなどの脆弱性の担保を目的としたアップデートプログラム（セキュリティパッチ）の適用などを徹底して行うことで、ネットワークを介した情報漏洩を回避できる可能性が高くなる。

また、情報端末の起動時などにパスワードを要求する設定にし、さらにハードディスクドライブに記憶される情報を暗号化するなどの対策により、盗難時であっても情報漏洩を回避することが可能となる。

つまり、情報端末に十分な対策を施すことで情報漏洩を回避することが可能となるのである。

しかしながら、情報端末に対するセキュリティ対策は時々刻々と変化する。例えば、ウイルス検知ソフトの場合には最新のパターンファイルに常時更新する必要が生じる。また、パッチも最新のものを適用する必要があり、パスワードに至っては、利用者が適宜変更することが望まれる。よって、特に多数の情報端末を保持する例えば大企業などの場合、すべての情報端末について最新のセキュリティ対策を施すことは困難である。

このような背景があり、多数の情報端末を所有する大企業などの場合には、すべての情報端末の運用上の制限を同一とし、つまりセキュリティ対策が十分でない情報端末であっても情報漏洩を防止できる運用を行っている。

したがって、セキュリティ対策が十分に行われている情報端末である場合には、情報漏洩の防止が十分に保障できるにもかかわらず、その運用上の制限により利便性が低くなるという問題が生じている。

本発明は上記従来の事情に基づいて提案されたものであって、強固なセキュリティと利便性とを両立する運用が可能なセキュリティ状態管理サーバ等を提供する事を目的とするものである。

本発明は、上記目的を達成するために以下の手段を採用している。すなわち本発明に係るセキュリティ状態管理サーバは、セキュリティの強度を評価するためのセキュリティデータと当該セキュリティデータがセキュリティの強度に寄与する程度を示す値であるセキュリティポイントとを関連付けて記憶するセキュリティ評価基準記憶手段と、情報端末から、ネットワークを介して当該情報端末の複数のセキュリティデータを取得するセキュリティ情報取得手段と、取得した複数のセキュリティデータと上記セキュリティ評価基準記憶手段とに基づいて、情報端末のセキュリティの強度を算出するセキュリティ強度算出手段と、算出されたセキュリティ強度を記憶するセキュリティ強度記憶手段とを備える。

上記セキュリティ状態管理サーバでは、各情報端末のセキュリティ強度に応じた処理上及び運用上の制限が可能となる。

なお、上記ワークフローシステムは、コンピュータを用いて具体化することができる。その場合、上述した各手段は、コンピュータ上でプログラムを動作させることにより具体化される。また、記憶手段についてはＨＤＤ（Hard Disk Drive）や各種メモリにて具体化される。

セキュリティに関する設定である各セキュリティデータを、セキュリティデータ毎にその強度に応じてセキュリティポイントに変換し、当該セキュリティポイントに応じて各情報端末のセキュリティ強度を算出している。これにより、各情報端末のセキュリティ強度に応じた処理上及び運用上の制限が可能となる。

また、セキュリティ強度に基づいてセキュリティパッチ配信のための優先順位を決定することで、セキュリティパッチ配信サーバの負荷を分散することが可能になり、サーバ能力増強などのコストが削減できる。

また、セキュリティ強度の低い情報端末が優先的にセキュリティパッチを受信できるため、セキュリティパッチ配信システム上の複数の情報端末に対してむらなくセキュリティ強度を上げることが可能となる。

さらに、セキュリティ強度に基づいてアクセスデータへのアクセスの可否を判断することで、情報漏洩の可能性が高い、すなわちセキュリティ強度の低い情報端末の、機密情報へのアクセスを制限することが可能となる。

また、セキュリティ強度テーブルのセキュリティ項目データやセキュリティデータは随時更新されているため、情報端末のセキュリティ強度も逐次変化する。このため、時間経過と共にセキュリティ強度が低下した情報端末について、機密情報へのアクセスを自動的に制限することが可能となる。

また、セキュリティ強度に基づいて所定区域外への情報端末の持ち出しの可否を判断することで、情報漏洩の可能性が高い、すなわちセキュリティ強度の低い情報端末の、所定区域外への持ち出しを制限することが可能となる。

さらに、セキュリティ強度の高い情報端末は、盗難に遭った場合であっても情報漏洩の可能性が低いため、持ち出し可能とすることで運用上の利便性を高めることができる。

以下、添付図面を参照して、本発明の実施の形態につき説明し、本発明の理解に供する。尚、以下の実施の形態は、本発明を具体化した一例であって、本発明の技術的範囲を限定する性格のものではない。

以下、本発明に係るセキュリティ状態管理サーバについて説明する。

図１は、情報端末１１１と、セキュリティ状態管理サーバ１０１の概略機能ブロック図であるが、各手段の処理等については後述する。

また、図２は、セキュリティ状態管理サーバ１０１及び情報端末１１１の概略構成図であり、ＣＰＵ（Central Processing Unit）２０１、ＲＡＭ（Random Access Memory）２０２、ＲＯＭ（Read Only Memory）２０３、ＨＤＤ２０４及びネットワークＩ／Ｆ（インターフェイス）２０５が内部バス２０６を介して接続されている。上記ＣＰＵ２０１は、例えばＲＡＭ２０２を作業領域として利用し、ＲＯＭ２０３やＨＤＤ２０４等に記憶されているプログラムを実行することで上記図１に示した各手段として動作する。上記ネットワークＩ／Ｆ２０５は、ネットワークと接続されており、他の情報端末とデータの授受が可能となっている。また、後述するセキュリティパッチ配信サーバ、ファイルサーバの構成も上記セキュリティ状態管理サーバ１０１の構成と同様であり、上記記憶されているプログラムやデータが異なることで、異なる処理を実行可能となっている。

図３は、セキュリティ状態管理サーバ１０１を含んでなる各システムのシステム構成例であり、セキュリティ状態管理サーバ１０１、セキュリティパッチ配信サーバ３０１、ファイルサーバ３０２、持ち出し検知装置３０３及び複数の情報端末１１１がネットワーク２０７を介して通信可能に接続されている。なお、情報端末１１１にはデスクトップ型のパーソナルコンピュータ（ＰＣ）やノート型のＰＣ、あるいはＰＤＡ（Personal Digital(Data) Assistants）等も含まれる。

（実施の形態１）
続いて、上記セキュリティ状態管理サーバ１０１の処理について説明する。

まず、上記セキュリティ状態管理サーバ１０１が、他の情報端末１１１よりセキュリティデータを取得する処理について説明する。ここでいうセキュリティとは、情報端末へ所有者・利用者が意図しない外部からの侵入や操作、意図しない情報の送信を防ぐための保護を意味し、セキュリティ強度とは、上記セキュリティの程度、度合い、強さである。セキュリティ強度が強い（大きい）ほど、強く保護されている。また、セキュリティデータとは、上記セキュリティ強度に関連する仕組みの有無やその設定内容を示すデータを指す。

上記セキュリティ管理サーバ１０１は、セキュリティ評価基準記憶手段１０４を備えており、当該セキュリティ評価基準記憶手段１０４には、セキュリティ評価基準テーブルが記憶されている。当該セキュリティ評価基準テーブルの一例を図４のセキュリティ評価基準テーブル４００に示す。

上記セキュリティ評価基準テーブル４００には、あらかじめ上記セキュリティデータの項目（セキュリティデータ項目）４０２と当該セキュリティデータ項目に対応するセキュリティデータ４４０が、セキュリティ強度に寄与する程度に応じた数値すなわちセキュリティポイント４０３〜４０６とを関連付けて記憶されている。また、セキュリティデータ項目４０２は、その種別に応じて複数のグループ、すなわちセキュリティデータ種別４０１に分類されている。

上記セキュリティデータ種別の一項目として、BIOS（ベーシックインプットアウトプットシステム）設定４１０があり、当該項目に該当するセキュリティデータ項目の例として、
・スーパバイザパスワードの設定有無
・ユーザパスワードの設定有無
が挙げられる。

上記“スーパバイザパスワードの設定有無”とは、情報端末のBIOSに関する機能すべてについて設定の変更権限を有するユーザ（スーパバイザ）にパスワードが設定されているか否かを示すセキュリティデータ項目である。当該セキュリティデータ項目に対応するセキュリティデータは、例えば“あり”と“なし”で示され、パスワードが設定されている場合には、セキュリティポイントとして“3”ポイント４２０、パスワードが設定されていない場合には、セキュリティポイントとして“０”ポイント４２１が対応付けられている。なお、当該セキュリティデータが存在せず、すなわち取得できない場合にはセキュリティポイントが“０”となる。

上記“ユーザパスワードの設定有無” とは、情報端末のBIOSに関する機能について設定の変更権限を有するユーザにパスワードが設定されているか否かを示すセキュリティデータ項目である。当該セキュリティデータ項目に対応するセキュリティデータも、例えば“あり”と“なし”で示され、パスワードが設定されている場合には、セキュリティポイントとして3ポイント、パスワードが設定されていない場合には、セキュリティポイントとして０ポイントが対応付けられている。

上記セキュリティデータ種別の他の項目として、OS（オペレーションシステム）設定４１１があり、当該項目に該当するセキュリティデータ項目の例として、
・OS種別
・スタンバイ復帰時のパスワード要求
・PC起動時の最終アカウントの非表示
・OSへの自動ログオンの設定有無
・管理者アカウント名の変更
が挙げられる。

上記“OS種別” とは、OSの種類を示すセキュリティデータ項目である。当該セキュリティデータ項目に対応するセキュリティデータは、例えばセキュリティ強度の高い“OSγ”と、セキュリティ強度の低い“OSα”とその中間の強度である“OSβ”がそれぞれセキュリティポイント“３”、“０”、“２”と対応付けられている。

上記“スタンバイ復帰時のパスワード要求” とは、OSに対して長時間入力がない場合などに移行するスタンバイ状態から、通常の作業が可能となる通常状態に移行する際にパスワードを要求するか否かを示すセキュリティデータ項目である。当該セキュリティデータ項目に対するセキュリティデータは、例えば“あり”と“なし”で示され、“あり”が設定されている場合には、セキュリティポイントとして3ポイント、“なし”が設定されている場合には、セキュリティポイントとして０ポイントが対応付けられている。

上記“PC起動時の最終アカウントの非表示”とは、PCを起動した際に前回利用していたユーザのユーザアカウント（ユーザID）が表示される設定であるか否かを示すセキュリティデータ項目である。当該セキュリティデータ項目に対するセキュリティデータは、例えば“あり”と“なし”で示され、“あり”が設定されている場合には、セキュリティポイントとして０ポイント、“なし”が設定されている場合には、セキュリティポイントとして２ポイントが対応付けられている。

上記“OSへの自動ログオンの設定有無”とは、PCを起動した際にユーザアカウント及びパスワードの入力を必要とせずにOSを利用可のである設定であるか否かを示すセキュリティデータ項目である。当該セキュリティデータ項目に対するセキュリティデータは、例えば“あり”と“なし”で示され、“あり”が設定されている場合には、セキュリティポイントとして２ポイント、“なし”が設定されている場合には、セキュリティポイントとして０ポイントが対応付けられている。

上記“管理者アカウント名の変更”とは、PCの管理者となるデフォルトのユーザ名が変更されているか否かを示すセキュリティデータ項目である。当該セキュリティデータ項目に対するセキュリティデータは、例えば“あり”と“なし”で示され、“あり”が設定されている場合には、セキュリティポイントとして２ポイント、“なし”が設定されている場合には、セキュリティポイントとして０ポイントが対応付けられている。

上記セキュリティデータ種別の他の項目として、内臓ディスク暗号化４１２があり、当該項目に該当するセキュリティデータ項目の例として、
・暗号化設定有無
が挙げられる。

上記“暗号化設定有無”とは、ハードディスクドライブにデータ等が暗号化されて記憶されているか否かを示すセキュリティデータ項目である。当該セキュリティデータ項目に対するセキュリティデータは、例えば“あり”と“なし”で示され、“あり”が設定されている場合には、セキュリティポイントとして３ポイント、“なし”が設定されている場合には、セキュリティポイントとして０ポイントが対応付けられている。

上記セキュリティデータ種別の他の項目として、ブラウザ設定４１３があり、当該項目に該当するセキュリティデータ項目の例として、
・ブラウザセキュリティゾーン設定レベル
・ブラウザ標準メールクライアント
が挙げられる。

上記“ブラウザセキュリティゾーン設定レベル”とは、例えばネットワーク上のコンテンツを表示するブラウザがどの程度の危険度のコンテンツまで取得し表示するかを示すセキュリティデータ項目である。当該セキュリティデータ項目に対するセキュリティデータは、例えば“低”、“カスタマイズ”、“高”で示される。“低”が設定されている場合には、危険度の高いコンテンツまで取得できるためセキュリティポイントとして０ポイント、“高”が設定されている場合には、危険度の高いコンテンツは取得しないためセキュリティポイントとして３ポイント、“カスタマイズ”の場合にはユーザの設定に順ずるためセキュリティポイントとして１ポイントが対応付けられている。

上記“ブラウザ標準メールクライアント”とは、OSがデフォルトで利用するメーラー（電子メールソフト）を示すセキュリティデータ項目である。メーラーによってセキュリティ強度が異なるため、当該セキュリティデータ項目に対するセキュリティデータは、例えば“メーラーα”と“メーラーβ”で示され、“メーラーα”が設定されている場合には、セキュリティポイントとして０ポイントが対応付けられており、“メーラーβ”の場合には１ポイントが対応付けられている。

上記セキュリティデータ種別の他の項目として、アンチウイルス４１４があり、当該項目に該当するセキュリティデータ項目の例として、
・ウイルス検索パターンファイルNo
・ウイルスソフトバージョン（種別）
が挙げられる。

上記“ウイルス検索パターンファイルNo” とは、コンピュータウイルスを検索するためのパターンファイルの種類を示すセキュリティデータ項目であり、新しいものほど新しいウイルスに対応しているといえる。当該セキュリティデータは、例えば新しいナンバーのものほど高いキュリティポイントと対応付けられている。

上記“ウイルスソフトバージョン（種別）” とは、コンピュータウイルスを検索するためのウイルスソフトの種類を示すセキュリティデータであり、新しいものほど高機能であり新しいウイルスに対応しているといえる。当該セキュリティデータ項目に対するセキュリティデータは、例えば新しいナンバーや新しいソフトウェアのものほど高いキュリティポイントと対応付けられている。

上記セキュリティデータ種別の他の項目として、パッチ適用４１５があり、当該項目に該当するセキュリティデータ項目の例として、
・パッチNo及びその適用の有無
が挙げられる。

上記“パッチNo及びその適用の有無”とは、例えばパッチを一意に特定可能なNoと、当該Noが示すパッチの適用の有無を示すセキュリティデータ項目である。当該セキュリティデータ項目に対するセキュリティデータは、例えばパッチの重要度が高いものほど、適用している場合に高いセキュリティポイントが対応付けられている。なお、パッチとは、セキュリティ機能の向上すなわちソフトウェアなどの脆弱性の担保を目的としたアップデートプログラムである。

なお、上記セキュリティデータ項目やセキュリティデータは一例であり、他のセキュリティデータ項目を利用してもよい。上記セキュリティデータ項目に対応するセキュリティデータが取得できなかった場合には、例えばすべてセキュリティポイントとして０が割り当てられる。

さて、上記セキュリティ評価基準テーブル４００を備えたセキュリティ状態管理サーバ１０１は、情報端末１１１よりセキュリティデータ項目４０２に対応する1又は複数のセキュリティデータ４４０を取得（受信）する（図７：Ｓ７０１）。当該受信は、例えば情報端末１１１の起動時に、当該情報端末１１１を構成するセキュリティ情報検出手段１１３が当該情報端末１１１のBIOSやOS、内臓ディスク、およびインストールされているソフトウェアなどより上記セキュリティデータを取得する。そして、情報端末１１１を構成する送受信手段１１２、及びセキュリティ状態管理サーバ１０１を構成する送受信手段１０２を介してセキュリティ情報取得手段１０３に、取得したセキュリティデータを送信するのである。なお、送信するタイミングをOS起動時としたが、セキュリティ情報取得手段１０３が所定の時間間隔でネットワーク上の情報端末１１１に対してポーリングを行い、当該ポーリングに応答した情報端末１１１から順次セキュリティデータを取得するようにしてもよい。また、セキュリティ情報取得手段１０３は、あらかじめ時刻や時間間隔を定めたスケジュールデータを情報端末１１１に送付し、情報端末１１１は、当該スケジュールデータに定められた時刻や時間間隔をもってセキュリティ情報取得手段１０３にセキュリティデータを送付することで、セキュリティデータを取得してもよい。

なお、上記情報端末１１１に非接触ＩＣタグ、すなわち非接触にて当該ＩＣタグ内の記憶装置より情報を読み出すことが可能であるＩＣタグ１１４が備えられている場合には、上記セキュリティ情報検出手段１１３は、上記非接触ＩＣタグに記憶されている、当該情報端末を一意に特定可能な情報端末ＩＤも取得して送信する（図７：Ｓ７０２）。ＩＣタグ１１４が付されていない場合には、上記セキュリティ情報検出手段１１３は、当該情報端末を一意に特定可能な情報、例えばあらかじめ記憶されているＩＤやＩＰアドレスなどを情報端末ＩＤとして送信する。

セキュリティ情報取得手段１０３により取得されたセキュリティデータ及び情報端末ＩＤは、セキュリティ強度評価手段１０５に送信される。セキュリティ強度評価手段１０５は、上記受信したセキュリティデータと上記セキュリティ評価基準テーブル４００とより、取得した情報端末ＩＤに対応する情報端末の、各セキュリティデータに対応するセキュリティポイントを算出する（図７：Ｓ７０３）。

上記算出は、図５の、取得したセキュリティデータの一例５００に示すように、取得したセキュリティデータ５０１を情報端末Ａ〜Ｄ(情報端末ＩＤ)毎にセキュリティ評価基準テーブル４００と比較し、セキュリティポイントに変換することで行われる。当該変換により、図６に示すセキュリティ強化テーブル６００の各セキュリティポイント６０１を算出する。情報端末Ａ〜Ｄ毎、且つセキュリティデータ項目ごとに変換されたセキュリティポイントは、情報端末Ａ〜Ｄ毎に合計され、セキュリティ強度として算出される（図７：Ｓ７０４）。

なお、本実施の形態では、図６に示す複数のセキュリティデータ項目６０２、６０３、６０４、６０５毎にそのセキュリティポイントの総和を求め、持ち出しに関する強度６０２’、ウイルスに関する強度６０３’、パッチ適用に関する強度６０４’、ファイルアクセスに関する強度６０５’として出力している。
つまり、そのセキュリティデータ種別がセキュリティの保護に寄与する特性に応じて、各セキュリティデータ項目に関連したセキュリティ強度を算出している。

算出された、図6に示すセキュリティ強度６０２’〜 ６０５’は、セキュリティ強度記憶手段１０６にセキュリティ強度テーブル６００として記憶される（図７：Ｓ７０５）。
以後、異なる情報端末からの、情報端末ＩＤをキーとしたセキュリティ強度の問合せがあると、セキュリティ強度提供手段１０７は、受信した情報端末ＩＤと上記セキュリティ強度記憶手段１０６とに基づいて対応するセキュリティ強度を検索し、問合せ元の情報端末に返信する。

なお、セキュリティ強度の算出方法として、上記ではポイントを加算のみしているが、セキュリティ対策としてふさわしくないセキュリティデータ（設定）はマイナスとし、和と差により強度を求めてもよい。

以上のように、セキュリティに関する設定である各セキュリティデータを、セキュリティデータ毎にその強度に応じてセキュリティポイントに変換し、当該セキュリティポイントに応じて各情報端末のセキュリティ強度を算出している。これにより、以後に説明するように、各情報端末のセキュリティ強度に応じた処理上及び運用上の制限が可能となる。

なお、セキュリティ強度テーブルのセキュリティ項目データやセキュリティデータは管理者により随時更新する運用とする。これにより、情報端末のセキュリティ強度も逐次変化するため、時間経過と共にセキュリティ強度が低下し、情報漏洩の可能性が高まった情報端末については、以下の実施の形態２〜４に示す制限が課せられることになる。

（実施の形態２）
続いて、上記セキュリティ状態管理サーバ１０１を利用したセキュリティパッチの配信について説明を行う。

本実施の形態では、ネットワーク２０７上に、図８に示すセキュリティパッチ配信サーバ３０１が備えられており、上記セキュリティ状態管理サーバ１０１と併せてセキュリティパッチ配信システムを構成する。

上記セキュリティパッチ配信サーバ３０１は、例えばパッチ記憶手段８０５に、セキュリティ機能の向上、すなわちソフトウェアなどの脆弱性の担保を目的としたアップデートプログラムであるパッチを記憶している。

情報端末１１１が、例えばＯＳの起動時に、ネットワーク２０７を介してセキュリティパッチ配信サーバ３０１にアクセスする。この際に、即座に当該情報端末１１１にて未適用のパッチを送信することで、情報端末１１１のパッチの適用は完了する。しかし、大企業の場合などは、就業時に数千台の情報端末がセキュリティパッチ配信サーバ３０１にアクセスするため、すべてに対応することは現実的に不可能である。

したがって、本実施の形態では、情報端末１１１がセキュリティパッチ配信サーバ３０１にアクセスした場合、その旨の信号と、当該情報端末１１１の情報端末ＩＤとを、パッチ配信手段８０４が送受信手段８０１を介して受信する（図９：Ｓ９０１、Ｓ９０２）。

アクセスを検知すると、上記パッチ配信手段８０４は、セキュリティ強度問合せ手段８０２に対して取得した情報端末ＩＤを送信する。

上記セキュリティ強度問合せ手段８０２は、当該情報端末ＩＤに基づいて、上記実施の形態１に示したセキュリティ状態管理サーバ１０１を構成するセキュリティ強度提供手段１０７に対してセキュリティ強度の問合せを行う（図９：Ｓ９０３）。

上記問合せに対して、セキュリティ強度提供手段１０７は、受信した情報端末ＩＤに基づいてセキュリティ強度テーブル６００よりセキュリティ強度を取得し、上記セキュリティ強度問合せ手段８０２に返信する。なお、送信するセキュリティ強度として、すべてのセキュリティデータに対応するセキュリティポイントを加算したものであってもよいが、ここでは、セキュリティパッチ配信サーバ３０１からのアクセスに基づいて、パッチ配信に関連するセキュリティ強度、すなわちパッチ適用に関する強度６０４’を返信する。

特にパッチ適用に関する強度６０４’は、パッチの適用の未済のみに関するセキュリティデータより算出されたセキュリティ強度である。

具体的には、情報端末ＩＤ＝Ａの情報端末であれば、パッチ適用に関する強度６０４’＝３が返信される。また、情報端末ＩＤ＝Ｂの情報端末であれば、パッチ適用に関する強度６０４’＝４が、情報端末ＩＤ＝Ｃの情報端末であれば、パッチ適用に関する強度６０４’＝１が、情報端末ＩＤ＝Ｄの情報端末であれば、パッチ適用に関する強度６０４’＝３が返信される。

上記セキュリティ強度を受信したセキュリティ強度問合せ手段８０２は、当該受信したセキュリティ強度を優先順位決定手段８０３に送信する。優先順位決定手段８０３では、上記受信したセキュリティ強度に基づいて、対応する情報端末にセキュリティパッチを送信する優先順位を決定する（図９：Ｓ９０４）。当該優先順位の決定は以下のように行われる。例えば、情報端末Ａのセキュリティ強度は４であり、パッチ適用に関するセキュリティ強度は高いといえる。したがって、パッチを送信する優先順位は低く設定される。また、情報端末Ｃであれば、セキュリティ強度が１であり、パッチ適用に関するセキュリティ強度は低いといえる。したがって、パッチを送信する優先順位は高く設定される。

上記優先順位決定手段８０３が決定した優先順位は、例えばパッチ取得までの待ち時間として、例えば優先順位決定手段８０３より送受信手段８０１を介して情報端末に送信される（図９：Ｓ９０５）。

上記待ち時間は、ネットワークに接続される情報端末の数やパッチの量にもよるが、例えば優先順位が高い（例えば０）場合には、待ち時間ナシとして情報端末に送信される。また、優先順位が低い（例えば４）場合には、待ち時間4時間として情報端末に送信される。

上記待ち時間を受信した情報端末の例えばセキュリティ情報検出手段１１３は、上記待ち時間経過後に、例えば待ち時間が経過した旨を示すデータを伴ってセキュリティパッチ配信サーバ３０１にアクセスする。

上記アクセスは、パッチ配信手段８０４にて受信され、例えば情報端末１１１より適用されていないパッチを通知することにより、パッチ配信手段８０４は該当するパッチを送信する（図９：Ｓ９０５）。

以上のように、セキュリティ強度に基づいてセキュリティパッチ配信のための優先順位を決定することで、セキュリティパッチ配信サーバの負荷を分散することが可能になり、サーバ能力増強などのコストが削減できる。

また、セキュリティ強度の低い情報端末が優先的にセキュリティパッチを受信できるため、セキュリティパッチ配信システム上の複数の情報端末に対してむらなくセキュリティ強度を上げることが可能となる。

さらに、パッチ適用に関する強度を用いることで、パッチ適用に特化したセキュリティ強度により優先順位を決定することができるため、セキュリティパッチ配信システムの運用目的に適した優先順位を決定することが可能になる。

（実施の形態３）
続いて、上記セキュリティ状態管理サーバ１０１を利用したファイルサーバについて説明を行う。

本実施の形態では、ネットワーク２０７上に、図１０に示すファイルサーバ３０２が備えられており、上記セキュリティ状態管理サーバ１０１と併せてファイル共有システムを構成する。

上記ファイルサーバ３０２は、例えばアクセスデータ記憶手段１００７に、複数の情報端末１１１により共有されるアクセスデータを記憶している。

情報端末１１１が、必要なアクセスデータを取得しようとする際には、まず、ネットワーク２０７を介してファイルサーバ３０２にアクセスする。この際に、情報端末ＩＤや、必要とされるアクセスデータ名も通知される。

上記アクセスが、送受信手段１００１を介してアクセス検知手段１００２により検知されると、上記アクセス検知手段１００２は、セキュリティ強度問合せ手段１００３に対して取得した情報端末ＩＤを送信する（図１１：Ｓ１１０１、Ｓ１１０２）。

上記セキュリティ強度問合せ手段１００３は、当該情報端末ＩＤに基づいて、上記実施の形態１に示したセキュリティ状態管理サーバ１０１を構成するセキュリティ強度提供手段１０７に対してセキュリティ強度の問合せを行う（図１１：Ｓ１１０３）。

上記問合せに対して、セキュリティ強度提供手段１０７は、受信した情報端末ＩＤに基づいてセキュリティ強度テーブル６００よりセキュリティ強度を取得し、上記セキュリティ強度問合せ手段１００３に返信する。なお、送信するセキュリティ強度として、すべてのセキュリティデータに対応するポイントを加算したものであってもよいが、ここでは、ファイルサーバ３０２からのアクセスに基づいて、ファイルアクセスに関連するセキュリティ強度、すなわちファイルアクセスに関する強度６０５’を返信する。

特にファイルアクセスに関する強度６０５’は、意図しない情報漏洩への対応を目的としたセキュリティデータより算出されたセキュリティ強度である。

具体的には、情報端末ＩＤ＝Ａの情報端末であれば、ファイルアクセスに関する強度６０５’＝１１が返信される。また、情報端末ＩＤ＝Ｂの情報端末であれば、ファイルアクセスに関する強度６０５’＝１３が、情報端末ＩＤ＝Ｃの情報端末であれば、ファイルアクセスに関する強度６０５’＝９が、情報端末ＩＤ＝Ｄの情報端末であれば、ファイルアクセスに関する強度６０５’＝９が返信される。

上記セキュリティ強度を受信したセキュリティ強度問合せ手段１００３は、当該受信したセキュリティ強度をアクセス可否判定手段１００４に送信する。アクセス可否判定手段１００４では、上記受信したセキュリティ強度に基づいて、アクセスデータへのアクセスの可否を判断する（図１１：Ｓ１１０４）。当該アクセス可否の判断は以下のように行われる。例えば、ファイルサーバ３０２が記憶するアクセスデータへのアクセスに必要なセキュリティ強度を閾値としてあらかじめ記憶しておき、当該閾値よりアクセス強度が大きいか同じであればアクセスデータへのアクセスを可と判断する。閾値よりアクセス強度が小さければ、アクセスは不可とするのである。

上記アクセス可否判定手段１００４の判断は、アクセスデータ送信手段１００６に送信され、アクセスが可と判断された場合にはアクセスデータ名に対応するアクセスデータが情報端末に送信される（図１１：Ｓ１１０５Ｙｅｓ→Ｓ１１０６）。なお、アクセスが不可と判断された場合には、不可である旨が情報端末に送信される（図１１：Ｓ１１０５Ｎｏ→Ｅｎｄ）。なお、上記不可である旨には、不可である理由を示す例えば「セキュリティ強度が不十分であるためアクセス不可です」などの文言を含むようにしてもよい。
以上のように、セキュリティ強度に基づいてアクセスデータへのアクセスの可否を判断することで、情報漏洩の可能性が高い、すなわちセキュリティ強度の低い情報端末の、機密情報へのアクセスを制限することが可能となる。つまり、このようなシステムでは、社内で機密情報にアクセスできる身分であっても、情報端末のセキュリティ強度が低い場合には機密情報へのアクセスを防止することができ、利用するユーザにかかわらず意図しない情報漏洩を防止することができる。

また、セキュリティ強度テーブル６００のセキュリティ項目データやセキュリティデータは随時更新されているため、情報端末のセキュリティ強度も逐次変化する。このため、時間経過と共にセキュリティ強度が低下した情報端末について、機密情報へのアクセスを自動的に制限することが可能となる。

なお、アクセスデータ名（ＩＤ）と、当該アクセスデータ名にアクセスする際に必要とされるセキュリティ強度とを関連付けて記憶するアクセスデータ・セキュリティ強度記憶手段１００５を設けてもよい。機密性の高いアクセスデータほどアクセス時に必要とされるアクセス強度を高く設定するのである。そして、アクセス可否判定手段１００４は、情報端末がアクセスしようとしているアクセスデータについて、必要とされるセキュリティ強度を当該アクセスデータ・セキュリティ強度記憶手段１００５より取得することで、個々のアクセスデータに対して独立してアクセスの可否判定が可能となる。

これにより、重要なアクセスデータへのアクセスには、高いセキュリティ強度を必要とし、重要でないアクセスデータへのアクセスには、低いセキュリティ強度でもアクセス可能とするといった柔軟な運用が可能となる。

また、ファイルアクセスに関する強度を用いることで、意図しない情報漏洩の防止に特化したセキュリティ強度によりアクセスファイル送信の可否を決定することができるため、機密情報を強固に保護するファイルサーバの運用目的に適している。

なお、上記実施の形態では、アクセスデータへのアクセスを禁止しているが、例えばセキュリティ強度に応じてファイルサーバへのユーザのログインを禁止してもよい。

（実施の形態４）
続いて、上記セキュリティ状態管理サーバ１０１を利用した持ち出し検知装置について説明を行う。

本実施の形態では、ネットワーク２０７上に、図１２に示す持ち出し検知装置３０３が備えられており、上記セキュリティ状態管理サーバ１０１と併せて持ち出し検知システムを構成する。

上記持ち出し検知装置３０３は、所定区域である例えば社内と、当該所定区域外である例えば社外との間に設置される。ここで所定区域とは、情報端末の移動が自由である区域であり、所定区域外とは、情報端末の持ち出しが制限される区域をいう。

まず、携帯可能な小型の情報端末１１１を所定区域内から所定区域外へ持ち出そうとした場合、上記持ち出し検知装置３０３を構成するゲート（図３の持ち出し検知装置３０３）を通過する必要がある。なお、上記小型の情報端末１１１には、必ず図１２に示す上記ＩＣタグ１１４が付されている。

上記情報端末が上記ゲートを通過した場合、当該ゲートを構成する、無線通信にてＩＣタグに記憶されているデータを読み出し可能なＩＣタグ読出手段１２０３が、当該情報端末１１１に付されたＩＣタグ１１４より、内部に記憶されている情報端末１１１の情報端末ＩＤを読み出す（図１３：Ｓ１３０１）。

ＩＣタグ読出手段１２０３は、情報端末ＩＤを取得すると、セキュリティ強度問合せ手段１２０２に対して取得した情報端末ＩＤを送信する。
上記セキュリティ強度問合せ手段１２０２は、当該情報端末ＩＤに基づいて、上記実施の形態１に示したセキュリティ状態管理サーバ１０１を構成するセキュリティ強度提供手段１０７に対して、送受信手段１２０１を介してセキュリティ強度の問合せを行う（図１３：Ｓ１３０２）。

上記問合せに対して、セキュリティ強度提供手段１０７は、受信した情報端末ＩＤに基づいてセキュリティ強度テーブル６００よりセキュリティ強度を取得し、上記セキュリティ強度問合せ手段１２０２に返信する。

なお、送信するセキュリティ強度として、すべてのセキュリティデータに対応するポイントを加算したものであってもよいが、ここでは、持ち出し検知装置３０３からのアクセスに基づいて、持ち出しに関するセキュリティ強度、すなわち持ち出しに関する強度６０２’を返信する。特に持ち出しに関する強度６０２’は、盗難時に情報漏洩を防止するセキュリティデータより算出されたセキュリティ強度である。

具体的には、情報端末ＩＤ＝Ａの情報端末であれば、持ち出しに関する強度６０２’＝２０が返信される。また、情報端末ＩＤ＝Ｂの情報端末であれば、持ち出しに関する強度６０２’＝１９が、情報端末ＩＤ＝Ｃの情報端末であれば、持ち出しに関する強度６０２’＝７が、情報端末ＩＤ＝Ｄの情報端末であれば、持ち出しに関する強度６０２’＝２１が返信される。

上記セキュリティ強度を受信したセキュリティ強度問合せ手段１２０２は、当該受信したセキュリティ強度を持ち出し判定手段１２０４に送信する。持ち出し判定手段１２０４では、上記受信したセキュリティ強度に基づいて、当該情報端末ＩＤに対応する情報端末の所定区域外への持ち出しの可否を判断する（図１３：Ｓ１３０３）。当該アクセス可否の判断は以下のように行われる。例えば、持ち出し検知装置３０３が記憶する持ち出しに必要なセキュリティ強度を閾値としてあらかじめ記憶しておき、当該閾値よりアクセス強度が大きいか同じであれば持ち出しを可と判断する。閾値よりアクセス強度が小さければ、持ち出しは不可とするのである。

上記持ち出し判定手段１２０４の判断の結果、持ち出しが可と判断された場合、その旨が、出力手段１２０５に送信される。なお、持ち出しが可であるため、出力手段１２０５は持ち出しが可である旨を、出入りを管理する管理者が監視するディスプレイなどの表示手段や、あるいは持ち出し管理ログに出力し処理を終了する（図１３：Ｓ１３０４Ｙｅｓ→Ｅｎｄ）。

なお、持ち出しが不可と判断された場合には、不可である旨が出力手段１２０５に送信される（図１３：Ｓ１３０４Ｎｏ）。出力手段１２０５は、持ち出しが不可である旨を、出入りを管理する管理者が監視するディスプレイなどの表示手段や、あるいは持ち出し管理ログに出力し、さらに情報端末を持ち出そうとしているユーザに警告を発する出力を行う。

上記処理により、持ち出しができない情報端末が社外に持ち出されることを防止することが可能になる。なお、実際の運用では、例えば上記ゲートを２つ設け、１つ目のゲートを持ち出し不可と判定された情報端末が通過した場合には、出力手段１２０５が警告を出力する。そして、２つ目のゲートを通過した際には、出力手段１２０５が警報を鳴らすなどの処理がなされる。

以上のように、セキュリティ強度に基づいて所定区域外への情報端末の持ち出しの可否を判断することで、情報漏洩の可能性が高い、すなわちセキュリティ強度の低い情報端末の、所定区域外への持ち出しを制限することが可能となる。

また、セキュリティ強度の高い情報端末は、例えば盗難に遭った場合であっても情報漏洩の可能性が低いため、持ち出し可能とすることで運用上の利便性を高めることができる。

また、さらに、持ち出しに関する強度を用いることで、持ち出し時のリスクに対応したセキュリティ強度により持ち出し可否を決定することができるため、持ち出し検知システムの運用目的に適した判断が可能になる。

なお、上記実施の形態２〜４に記載の技術をそれぞれ組み合わせて利用することも可能である。

本発明にかかるセキュリティ状態管理サーバ等は、強固なセキュリティと利便性とを両立する運用が可能なセキュリティ状態管理サーバ等として有用である。

セキュリティ状態管理サーバ及び情報端末の概略機能ブロック図。 セキュリティ状態管理サーバの概略構成図。 セキュリティ状態管理サーバを備えるシステムの構成例を示す図。 セキュリティ評価基準テーブルの一例を示す図。 取得したセキュリティデータの一例を示す図。 セキュリティ強度テーブルの一例を示す図。 セキュリティ状態管理サーバの処理手順を示すフローチャート。 セキュリティパッチ配信サーバの概略機能ブロック図。 セキュリティパッチ配信サーバの処理手順を示すフローチャート。 ファイルサーバの概略機能ブロック図。 ファイルサーバの処理手順を示すフローチャート。 持ち出し検知装置の概略機能ブロック図。 持ち出し検知装置の処理手順を示すフローチャート。

符号の説明

１０１ セキュリティ状態管理サーバ
１０２ 送受信手段
１０３ セキュリティ情報取得手段
１０４ セキュリティ評価基準記憶手段
１０５ セキュリティ強度評価手段
１０６ セキュリティ強度記憶手段
１０７ セキュリティ強度提供手段
１１１ 情報端末
１１２ 送受信手段
１１３ セキュリティ情報検出手段
１１４ ＩＣタグ
３０１ セキュリティパッチ配信サーバ
３０２ ファイルサーバ
３０３ 持ち出し検知装置

Claims (14)

1. セキュリティの強度を評価するためのセキュリティデータと当該セキュリティデータがセキュリティの強度に寄与する程度を示す値であるセキュリティポイントとを関連付けて記憶するセキュリティ評価基準記憶手段と、
   情報端末から、ネットワークを介して当該情報端末の複数のセキュリティデータを取得するセキュリティ情報取得手段と、
   上記取得した複数のセキュリティデータと上記セキュリティ評価基準記憶手段とに基づいて、上記情報端末のセキュリティの強度を算出するセキュリティ強度算出手段と、
   上記算出されたセキュリティ強度を記憶するセキュリティ強度記憶手段と、
   を備えたセキュリティ状態管理サーバ。
2. 上記取得手段は、セキュリティデータに加えて当該情報端末を一意に特定可能な情報端末ＩＤを取得すると共に、
   上記セキュリティ強度算出手段は、算出したセキュリティ強度と上記取得した情報端末ＩＤとを関連付けて上記セキュリティ強度記憶手段に記憶する請求項１に記載のセキュリティ状態管理サーバ。
3. 上記セキュリティデータは、少なくとも情報端末の
   ・ベーシックインプットアウトプットシステム（ＢＩＯＳ）に設定されたセキュリティデータ、
   ・オペレーションシステム（ＯＳ）に設定されたセキュリティデータ、
   ・ハードディスクドライブに設定されたセキュリティデータ、
   ・ブラウジングソフトウェアに設定されたセキュリティデータ、
   ・コンピュータウイルス検知ソフトウェアに設定されたセキュリティデータ、
   ・セキュリティ機能の向上を目的としたアップデートプログラム（セキュリティパッチ）の設定に関するセキュリティデータ、
   のいずれかを含む請求項１に記載のセキュリティ状態管理サーバ。
4. 上記セキュリティ強度算出手段は、取得した各セキュリティデータと上記セキュリティ評価基準記憶手段に基づいて、各セキュリティデータをセキュリティポイントに変換し、当該ポイントの和及び／又は差をもってセキュリティ強度として出力する請求項１に記載のセキュリティ状態管理サーバ。
5. 情報端末からのアクセス時に当該情報端末を一意に特定可能な情報端末ＩＤを取得し、当該情報端末ＩＤをキーとして、情報端末のセキュリティの強度を算出して記憶するセキュリティ状態管理サーバに当該情報端末ＩＤに対応する情報端末のセキュリティ強度を問い合わせるセキュリティ強度問合せ手段と、
   上記問合せに対して通知されたセキュリティ強度に基づいて、当該情報端末にセキュリティ機能の向上を目的としたアップデートプログラム（セキュリティパッチ）を送信する優先順位を決定する優先順位決定手段と、
   を備えたセキュリティパッチ配信サーバ。
6. 上記セキュリティ強度問合せ手段は、セキュリティパッチの適用の未済のみに関して算出されたセキュリティ強度を問い合わせると共に、
   上記優先順位決定手段は、セキュリティパッチの適用の未済のみに関して算出されたセキュリティ強度に基づいて上記優先順位を決定する請求項５に記載のセキュリティパッチ配信サーバ。
7. 請求項１に記載のセキュリティ状態管理サーバと、請求項５に記載のセキュリティパッチ配信サーバとを備えたセキュリティパッチ配信システム。
8. 情報端末からのデータへのアクセスを検知するアクセス検知手段と、
   上記アクセスに含まれる上記情報端末を一意に特定可能な情報端末ＩＤをキーとして情報端末のセキュリティの強度を算出して記憶するセキュリティ状態管理サーバに当該情報端末ＩＤに対応する情報端末のセキュリティ強度を問い合わせるセキュリティ強度問合せ手段と、
   上記問合せに対して通知されたセキュリティ強度に基づいて、上記情報端末の上記データへの可否を判定するアクセス可否判定手段と、
   上記アクセス可否判定手段にて上記データへのアクセスが可と判定された場合にのみ上記データを上記情報端末に送信するアクセスデータ送信手段と、
   を備えたファイルサーバ。
9. さらに、データと、当該データにアクセスする際に必要とされるセキュリティ強度とを関連付けて記憶するアクセスデータ・セキュリティ強度記憶手段を備え、
   上記アクセス可否判定手段は、上記問合せに対して通知されたセキュリティ強度と、アクセスしようとしているデータと、上記アクセスデータ・セキュリティ強度記憶手段とに基づいて上記情報端末の上記データへの可否を判定する請求項８に記載のファイルサーバ。
10. 上記セキュリティ強度問合せ手段は、意図しない情報漏洩の防止を目的とするセキュリティデータより算出されたセキュリティ強度を問い合わせると共に、
    上記アクセス可否判定手段は、意図しない情報漏洩の防止を目的とするセキュリティデータより算出されたセキュリティ強度に基づいてデータへのアクセスの可否を判定する請求項８に記載のファイルサーバ。
11. 請求項１に記載のセキュリティ状態管理サーバと、請求項８に記載のファイルサーバとを備えたファイル共有システム。
12. 情報端末に付された非接触ＩＣタグに記憶されている当該情報端末を一意に特定可能な情報端末ＩＤを無線通信にて取得するＩＣタグ読出手段を備えたゲートと、
    上記ＩＣタグ読出手段が読み出した情報端末ＩＤをキーとして、情報端末のセキュリティの強度を算出して記憶するセキュリティ状態管理サーバに当該情報端末ＩＤに対応する情報端末のセキュリティ強度を問い合わせるセキュリティ強度問合せ手段と、
    上記問合せに対して通知されたセキュリティ強度に基づいて、上記情報端末の上記ゲート通過の可否を判定する持ち出し判定手段と、
    上記持ち出し判定手段による判定結果を出力する出力手段と、
    を備えた持ち出し検知装置。
13. 上記セキュリティ強度問合せ手段は、盗難時に情報漏洩を防止するセキュリティデータより算出されたセキュリティ強度を問い合わせると共に、
    上記持ち出し判定手段は、盗難時に情報漏洩を防止するセキュリティデータより算出されたセキュリティ強度に基づいて持ち出しの可否を判定する請求項１２に記載の持ち出し検知装置。
14. 請求項２に記載のセキュリティ状態管理サーバと、請求項１２に記載の持ち出し検知装置とを備えた持ち出し検知システム。
    
    

Images