JP2008139940A - アクセス権限判定装置、セキュリティシステム、セキュリティシステムにおけるアクセス権限判定方法、プログラム - Google Patents

Abstract

【課題】静的に決定された権限による判定のみならずその状況に応じた木目細かな判定を可能とし、他システムとの連携をはかることを目的とする。
【解決手段】セキュアサーバ（アクセス権限判定装置）１５を、アクセスする主体が持つ属性をＤＢサーバ１４に保持するとともに、アクセスする主体の行動に応じて動的に変化する状態を監視する属性管理部と、アプリケーション実行装置１（入退管理サーバ１１、物品管理サーバ１２、ＰＣログインサーバ１３）からアクセス権限判定要求を受信したときに指定される、あらかじめ登録されたアクセス権限判定条件を解釈し、属性および状態を参照してアクセスする主体が守るべき対象にアクセスする権限があるか否かを判定するアクセス権限判定機能部と、アクセス権限判定機能部による判定結果を要求のあったアプリケーション実行装置１に出力するアクセス権限判定出力部と、により構成した。
【選択図】図１

Description

本発明は、静的に決定された権限による判定のみならずその状況に応じた木目細かな判定を可能とし、セキュリティシステムで作成されたデータをファイル連携することにより他システムでも活用できるアクセス権限判定装置、セキュリティシステム、セキュリティシステムにおけるアクセス権限判定方法、プログラムに関する。

従来のセキュリティシステムにおけるアクセス権限判定は、アクセスする人に対して、予め静的に決められたアクセス権限によるものが一般的である。入退管理システムの例では、人の属性情報（例えば、所属部署、職位、入場資格の有無等）により、各部屋の入場権限が予め決まっている（例えば、特許文献１参照）。また、ＰＣログイン管理システムにおいても同様に、予め許可された人であれば、そのシステムの使用が許可されている（例えば、特許文献２参照）。
特開平５−２６３５５８号公報（段落「００１５」、図１） 特開２００２−２５１５０２号公報（段落「００１１」、図３）

しかしながら、より厳密なセキュリティを要求する場合は、静的に決定された権限による判定だけでは不十分であり、時間、場所、状態等、その状況に応じた木目細かな判定が必要になる。例えば、入退管理システムの場合、入場許可のある人でも決められた時間内（勤務時間内）において入場を許可し、時間外（勤務時間外や就業日以外）は入場を許可しない場合がある。また、ＰＣログイン管理システムの例では、その人がログインできる場所を制限する場合がある。

すなわち、予め許可された場所にいる場合は使用が許可されるが、許可されていない社外にいる場合はログインを許可しない等、その人がいる場所によって、アクセス権限を判定する必要がある。しかしながら従来の業務システムにおいて、これらのアクセス権限判定機能を実現したもの、あるいは、適宜、権限判定方法を変更するものは見当たらない。

また、セキュリティシステムで人や物に対するアクセス権限を判定する場合、それらの人や物の情報が必要となる。通常、これらの人や物の情報は、各企業で運用する人事情報システムや、資産（物品）管理システム上で管理している。しかしながら、これら情報を利用するためには、個別にその連携システムを構築する必要があり、データ利用の隘路となっている。一方、入退管理システム等で得られる入退時刻情報を勤怠システム等、他のシステムで活用できる場合もあるが、この場合も同様に連携シテムを構築する必要があり、データの有効な活用が促進されない。

従来のセキュリティシステムでは、人事異動等による人の属性情報変更時におけるアクセス権限の変更は、変更になった属性情報を人間が判断し、セキュリティシステムに反映しなければならない。そのため、セキュリティシステムへの反映漏れ、反映誤り等、人的セキュリティホールが存在する。

本発明は、前記した課題を解決するためになされたものであり、静的に決定された権限による判定のみならずその状況に応じた木目細かな判定を可能とし、セキュリティシステムで作成されたデータをファイル連携することにより他システムでも活用可能な、アクセス権限判定装置、セキュリティシステム、セキュリティシステムにおけるアクセス権限判定方法、プログラムを提供することを目的とする。

前記した課題を解決するために本発明のアクセス権限判定装置は、アクセスする主体が持つ属性を記憶装置に保持するとともに、アクセスする主体の行動に応じて動的に変化する状態を監視する属性管理部と、アプリケーション実行装置からアクセス権限判定要求を受信したときに指定される、あらかじめ登録されたアクセス権限判定条件を解釈し、属性および状態を参照してアクセスする主体が守るべき対象にアクセスする権限があるか否かを判定するアクセス権限判定機能部と、アクセス権限判定機能部による判定結果を要求のあったアプリケーション実行装置に出力するアクセス権限判定出力部と、を備えて構成したものである。

本発明によれば、静的に決定された権限による判定のみならずその状況に応じた木目細かな判定を可能とし、セキュリティシステムで作成されたデータをファイル連携することにより他システムでの活用が可能になる。

図１は、本発明の実施の形態に係わるセキュリティシステムの構成図である。図１に示されるように、本発明の実施の形態に係わるセキュリティシステムは、セキュリティを管理するアプリケーションプログラム（セキュリティアプリケーション）を実行する１以上のアプリケーション実行装置１（例えば、入退管理サーバ１１、物品管理サーバ１２、ＰＣログインサーバ１３）と、人、物、情報等のオブジェクトやログを管理するＤＢサーバ（記憶装置）１４と、入退管理サーバ１１、物品管理サーバ１２、あるいはＰＣログインサーバ１３からアクセス権限判定要求を受信し、ユーザが定義したアクセス権限の判定を行うセキュアサーバ（アクセス権限判定装置）１５と、ユーザにより定義されるオブジェクト、あるいはアクセス権限判定条件を生成する管理端末（管理装置）１６、動態監視システム１８とにより構成される。

入退管理サーバ１１、物品管理サーバ１２、ＰＣログインサーバ１３、ＤＢサーバ１４、セキュアサーバ１５、管理端末１６、動態監視システム１８のそれぞれは、ＬＡＮ１７を介して接続される。ここではＬＡＮを用いることとしたが、ＬＡＮに限らず、ＷＡＮで接続を代替してもよい。なお、ＤＢはData Baseの略、ＬＡＮはLocal Area Networkの略、ＷＡＮはWide Area Networkの略である。

なお、入退管理サーバ１１は指静脈照合による人の入退管理を、物品管理サーバ１２は無線タグチップによる物品の管理（動態管理）を、ＰＣログインサーバ１３はログイン可能な人の管理を行なうアプリケーション実行装置１として機能する。

動態監視システム１８は、アクセスする主体の行動の監視システムであり、例えば、生体認証と、監視カメラによる画像認証、あるいは名札に実装した無線タグと、構内に既設の無線ＬＡＮ等のインフラとの組み合わせによる周知の動態監視システムである。

図２は、図１に示すセキュアサーバの機能構成図である。図２に示されるように、セキュアサーバ１５は、属性管理部１５１と、アクセス権限判定要求取得部１５２と、アクセス権限判定機能部１５３と、アクセス権限判定出力部１５４と、ログ閲覧管理部１５５とにより構成される。なお、ＤＢ１４０は、図１に示すＤＢサーバ１４が管理するデータベース（記憶装置）である。

属性管理部１５１は、人、物、情報等、アクセスする主体が持つ属性を、ＤＢサーバ１４（図１参照）が管理するＤＢ１４０に保持するとともに、アクセスする主体の行動に応じて動的に変化する状態を監視する機能を持つ。動的に変化する状態を監視する機能とは、具体的には、アクセスする時間や人が所在する場所の検知、ＰＣのログイン状態等である。属性管理部１５１は、管理端末１６（図１参照）を操作することにより生成される入力情報からオブジェクト定義ファイル５１１、あるいはアクセス条件定義ファイル５１２を生成してＤＢ１４０に割り当て、保持し、あるいは格納する。

ここで、「オブジェクト」とは、アクセスする主体の属性を管理する単位をいい、ＤＢ１４０に割当てた後記するテーブルにより管理される。また、「属性」とは、社員ＩＤや名前等、オブジェクトの静的なデータをいい、特に断りのない場合、アクセスする主体の行動によって動的に変化する状態データ（時間や場所等）も含むものとする（後記図７、図９（ｃ）参照）。また、属性管理部１５１は、不正アクセスから守るべき対象と、守るべき対象の重要度に応じてグルーピングされた属性（セキュリティレベル）とを対応付けて管理するとともに、管理端末１６を操作することにより生成される入力情報からセキュリティレベル毎に定義されるアクセス条件定義ファイル５１２を生成し、ＤＢ１４０にあらかじめ登録する機能も併せ持つ。

アクセス権限判定要求取得部１５２は、入退管理サーバ１１、物品管理サーバ１２、ＰＣログインサーバ１３のいずれかにより生成されるアクセス権限判定要求を受信してアクセス権限判定機能部１５３に出力する機能を持つ。

アクセス権限判定機能部１５３は、アクセス権限判定要求を受信したときに指定される、あらかじめ登録されたアクセス権限判定条件（アクセス条件定義ファイル５１２）を解釈し、不正アクセスから守るべき対象にアクセスがあったときに、アクセス主体に不正アクセスから守るべき対象にアクセスする権限があるか否かを判定してアクセス権限判定出力部１５４へ出力する機能を持つ。アクセス権限判定出力部１５４は、アクセス権限判定機能部１５３による判定結果をアクセス権限判定要求のあった入退管理サーバ１１、物品管理サーバ１２、ＰＣログインサーバ１３のいずれかに出力する機能を持つ。

なお、ログ閲覧管理部１５５は、管理端末１６、あるいは入退管理サーバ１１、物品管理サーバ１２、ＰＣログインサーバ１３のいずれからかログ閲覧要求を受信したときに、入退管理サーバ１１、物品管理サーバ１２、ＰＣログインサーバ１３によるアプリケーション実行過程で生成される認証ログおよび動作ログをＤＢ１４０から読み出し、出力する機能を持つ。

ここで、本発明の実施の形態に係わるセキュリティシステム（セキュアサーバ１５）の動作説明に先立ち、本発明で意図するセキュリティの概念について、ＤＢサーバ１４が管理するＤＢ１４０上に割り付けられて格納されるテーブルのデータ構造と対応付けて、図３〜図９を参照しながら説明する。

組織や業務により不正アクセスから守るべき対象が異なることは言うまでもない。例えば、建物や部屋のエリア、ＰＣやサーバのアクセス手段、紙ファイルや工具の物品、電子文書等の情報であったりする。ここでは、まず、組織や業務で何を不正なアクセスから守るかを決定する。

図３は、不正アクセスから守るべき対象を説明するための図である。図３（ａ）にエリアを対象とした場合、図３（ｂ）にアクセス手段を不正アクセスから守るべき対象とした場合を例示した。

次に、不正アクセスから守るべき対象のセキュリティレベルを明確化する。ここでいうセキュリティレベルとは、不正アクセスから守るべき対象の重要度によってグルーピングする属性であり、例えば、エリアについては、共用区域、立ち入り制限区域、立ち入り禁止区域等があり、アクセスする手段に関しては、ＯＡ用、開発用、管理者用等の用途がある。

図４は、不正アクセスから守るべき対象のセキュリティレベルを説明するための図である。図４（ａ）にエリアにおけるセキュリティレベルを、図４（ｂ）にアクセス手段におけるセキュリティレベルを示し、どの属性を用いてセキュリティレベルを判定するかを決定する。なお、セキュリティレベルは、「共用」よりも「立入制限」の方が厳しく、「立入制限」よりも「立入禁止」の方がセキュリティレベルは高い。また、セキュリティレベルは、「ＯＡ用」よりも「開発用」の方が厳しく、「開発用」よりも「管理者用」の方がセキュリティレベルは高い。

続いて、守るべき対象に対してセキュリティレベルを設定する。これにより、個々の守るべき対象をセキュリティレベルでグルーピングして管理することができる。

図５は、不正アクセスから守るべき対象とセキュリティレベルの対応付けを説明するための図である。図５（ａ）に、エリアにおけるセキュリティレベルの対応付けが、図５（ｂ）に、アクセス手段におけるセキュリティレベルの対応付けが表形式で示されている。

ところで、守るべき対象は、アクセス権限の無いユーザのアクセスから守る必要がある。アクセス権限は、通常、ユーザ個人毎に設定されるが、管理するユーザ数が数百人、数千人になると、個別に管理することが困難になる。そこで、各個人をある単位でグルーピングする情報が必要になる。なお、アクセスする主体をユーザとして説明を行う。

ここで、グルーピングする情報とは、「社員」、「外注員」等の契約区分や、「部長」、「課長」、「企画職」、「一般」等の職位や、「総務部」、「技術部」等の所属、「プロジェクトメンバ」等のユーザの属性情報である。ここでは、アプリケーションがどの単位でグルーピングされた情報で管理するかを決定する。前記したユーザ（Ａさん〜Ｅさん）の属性情報の一例を図６に示す。

図６は、ユーザの所属情報を説明するための図である。例えば、Ａさんは、社員であり、設計部の部長職にあり、現在のところプロジェクトメンバには該当していない。

前記により決定されたユーザの属性情報はあらかじめ設定可能な静的な条件であるが、この条件には、ユーザの行動等により変化する動的な条件が存在する。動的な条件は、ユーザの行動等により逐次変化するため、予め設定することはできない。動的な条件を有効にするためにはユーザの現在の状態を保持し、ユーザの行動毎に状態を更新する必要がある。

図７は、状態管理を説明するための図である。図７に示すように、各ユーザの状態変化が管理されており、Ａさん、Ｃさん、Ｄさん、Ｅさんは、状態変化はないが、Ｂさんは、状態が変化している様子がわかる。当初Ｂさんは、工場内にいたが、設計室１に入った場合の更新の様子が示されている。

次に、不正アクセスから守るべき対象のセキュリティレベルに対し、利用可能とする条件を設定する。このことにより、守るべき対象毎にアクセス権限を決定することができる。

図８は、不正アクセスから守るべき対象のセキュリティレベルと条件との関係を説明するための図である。図８（ａ）は、エリアにおけるセキュリティレベルと条件との関係が、図８（ｂ）には、アクセス手段におけるセキュリティレベルと条件との関係が示されている。例えば、図８（ａ）において、セキュリティレベルが「共用」の場合、平日であれば、社員あるいは外注員が許可される。一方、セキュリティレベルが「立入制限」の場合、平日の時刻７：００〜２２：００であり、社員が工場内にいる場合に限り許可される。ちなみに、正規の手順を経ないで工場内に入った場合は、たとえ社員が工場内にいても、「工場内」という条件を満たさない。

最後に、不正アクセスから守るべき対象のセキュリティレベルに対するアクセス可否の判定条件となる属性を抽出する。前記したように、判定条件には、予め決められた静的な条件と、ユーザの行動等により変化する動的な条件がある。ここで、静的な条件とは、ユーザの属性情報であり、動的な条件とはユーザがアクセスする時間やどこからアクセスするかを示す場所等の情報である。

図９は、静的条件と動的条件を説明するための図である。図９（ａ）に静的条件としての人の条件、図９（ｂ）に動的条件としての時間の条件、図９（ｃ）に動的条件としての場所の条件の一例が示されている。例えば、図９（ａ）に示す人の条件の場合には、社員、外注員、総務部、部長、課長等がある。

図１０は、本発明の実施の形態に係わるセキュアサーバの動作を説明するための図である。図１０に、入退管理システムを例示し、不正アクセスから守るべき対象と、状態管理と、ユーザ属性と、その対応表が、それぞれ、図１０（ａ）、（ｂ）、（ｃ）、（ｄ）として示されている。ここで、セキュリティアプリケーションの一例として、人の入退管理を実行する入退管理サーバ１１から「Ｄさんはプロジェクト室に入ってもいいか」という問い合わせがあったとする。

図１１は、図１０に例示した問い合わせに対し、本発明の実施の形態にかかわるセキュアサーバが動作する手順を説明するために引用したフローチャートである。以下、図１、図２に示すセキュアサーバ１５によるアクセス権限判定の流れについて図１０、図１１を参照しながら詳細に説明する。

セキュアサーバ１５は、システム構築時、アクセスする主体（ここではＤさん）が持つ静的な属性を外部ファイルとしてＤＢサーバ１４のＤＢ１４０に保持するとともに、Ｄさんの行動に応じて動的に変化する状態を監視し、静的な属性に対応付けて管理している。具体的に、属性管理部１５１は、後記するオブジェクト定義に従いＤさんが持つ静的な属性をＤＢ１４０に保持する（Ｓ１１１）。そして、Ｄさんの行動に応じて動的に変化する状態（ここでは何処に居るか）を監視しており（Ｓ１１２）、その状態変化があった場合は（Ｓ１１２，Ｙｅｓ）、ＤＢ１４０にリアルタイムに状態が更新される（Ｓ１１３）。状態変化がない場合（Ｓ１１２，Ｎｏ）、属性管理部１５１は、状態変化の監視を継続する。

セキュアサーバ１５は、運用時、前記した問い合わせがあったときに（Ｓ１１４，Ｙｅｓ）、アクセス権限判定要求としてアクセス権限判定要求取得部１５２で受信し、アクセス権限判定機能部１５３を起動する。このことにより、アクセス権限判定機能部１５３は、アクセス権限判定要求受信時、ＤＢ１４０から入退管理サーバ１１により指定されるアクセス権限判定条件についてＤＢサーバ１４のＤＢ１４０から読み出し（Ｓ１１５）、それを解析して、アクセスする主体が守るべき対象にアクセスする権限があるか否かを解析する（Ｓ１１６）。なお、セキュアサーバ１５は、運用時、前記した問い合わせがない場合（Ｓ１１４，Ｎｏ）、問合せの監視を継続する。

具体的に、図１０に示す例では、プロジェクト室に入るためのアクセス権限判定条件は、「守るべき対象」のＮｏ．３、「対応表」のＮｏ．３から「社員」かつ「工場内」に居ることである。これに対し、Ｄさんは、「ユーザ属性情報」のＮｏ．４から「社員」かつ「プロジェクトＡ」に属し、「状態管理」のＮｏ．４から「工場内」に居ることがわかる。

したがって、アクセス権限判定機能部１５３は、Ｄさんは、プロジェクト室に入室可能であると判定することができ、アクセス権限判定出力部１５４に出力する。すなわち、アクセス権限判定機能部１５３は、入退管理サーバ１１により指定されるアクセス権限判定条件（アクセス条件定義ファイル５１２）と、ＤＢ１４０に登録されてあるＤさんの属性（状態を含む）とを比較して該当の有無に基づくアクセス権限の判定を行う（Ｓ１１７）。このことにより、アクセス権限判定出力部１５４は、アクセス権限判定機能部１５３による判定結果（入出許可、もしくは入出禁止）をアクセス権限判定要求のあった入退管理サーバ１１（要求アプリ）に返答する（Ｓ１１８、Ｓ１１９）。

なお、前記した入退管理サーバ１１、あるいは物品管理サーバ１２、ＰＣログインサーバ１３で発生したセキュリティイベントログは、ＤＢサーバ１４のＤＢ１４０の所定の領域にログテーブルとして割当てられ格納されている。ログ閲覧管理部１５５は、例えば、管理端末１６からログ閲覧要求があったときに（Ｓ１２０，Ｙｅｓ）該当するログを出力することにより（Ｓ１２１）、異なるアプリケーション間の一連の行動、動作を把握でき、運用における監査証跡を可能とする。なお、ログ閲覧管理部１５５は、ログ閲覧要求がなかった場合（Ｓ１２０，Ｎｏ）、ログ閲覧管理要求の監視を継続する。

前記したように、アクセス権限判定機能部１５３によるアクセス権限の判定は、不正アクセスから守るべき対象のセキュリティレベル（図１０（ａ）参照）毎に定義された利用条件（アクセス権限判定条件）と、ユーザの属性情報と状態とを比較判定することである。これに対し、通常のアプリケーションプログラムにおける機能の追加、変更は、不正アクセスから守るべき対象の重要度毎に定義された利用条件の追加、変更である。

このため、利用条件を外部ファイル（アクセス条件定義ファイル５１２）に定義し、外部ファイルに定義された条件を読み出し解析する仕組みを構築することにより、アプリケーションプログラムに影響を与えることなく機能の追加、変更が可能になる。また、状態管理を行なうにあたり、アプリケーションの認証ログ、動作ログを合わせて登録することで、複数のアプリケーションを導入した場合にもトータルとして監査証跡を実行することができる。

なお、図１１に示すフローチャートによれば、属性オブジェクトの状態変化を監視し（Ｓ１１１〜Ｓ１１３）、アクセス権限判定要求があったときにアクセス条件に該当するか否かを判定し（Ｓ１１４〜Ｓ１１９）、そして、ログ閲覧要求があったときに該当ログを出力する（Ｓ１２０、Ｓ１２１）機能を、セキュアサーバ１５により実行される一連の動作として説明したが、前記したそれぞれの機能は、実際的には並行して実現されるものであり、ここでは便宜上一連の動作の流れとして示したものである。

次に、管理端末１６を操作することによってオブジェクト定義ファイル５１１およびアクセス条件定義ファイル５１２を生成し、ＤＢサーバ１４のＤＢ１４０に登録する場合のセキュアサーバ１５の動作について、図１２、図１３のフローチャートを参照しながら補足説明を行う。

図１２は、オブジェクト定義による処理のフローチャートである。セキュアサーバ１５は、人や物の属性、状態等のオブジェクトをＤＢサーバ１４のＤＢ１４０のテーブルで管理することは前記したとおりである。このために、ユーザは、管理端末１６に表示された画面を見ながらエディタ等を用いて人や物の属性、状態等をオブジェクト定義ファイル５１１に記述することで、セキュアサーバ１５経由でＤＢサーバ１４のＤＢ１４０にテーブル追加や項目追加を行なう。例えば、表計算ソフトで編集したＣＳＶ（Comma Separated Values）ファイルにテーブル定義情報を記述することでオブジェクトの作成が可能である。

具体的に、ユーザは、管理端末１６を操作することにより、オブジェクトの作成、変更、削除を行なう（Ｓ１２１〜Ｓ１２４）。このとき、セキュアサーバ１５は、ユーザが定義したオブジェクトをオブジェクト定義ファイル５１１の内容にしたがってＤＢサーバ１４のＤＢ１４０上にオブジェクトを作成する（Ｓ１２５）。そして、ユーザが定義したオブジェクト定義ファイルの内容にしたがってＤＢ１４０が管理しているオブジェクトに、属性とインデックスとを追加して更新する（Ｓ１２６）。なお、ＤＢ１４０からユーザが指定したオブジェクトを削除することもできる。

セキュアサーバ１５は、また、ユーザ入力に基づき、アクセス条件をアクセス条件定義ファイル５１２として作成し、ＤＢ１４０に登録することで、アクセス条件の追加、更新を行なうことができる。セキュアサーバ１５は、入退管理サーバ１１、物品管理サーバ１２、ＰＣログインサーバ１３のいずれかがアクセス条件定義ファイル５１２の一つを指定するだけで、選択されたアクセス条件定義ファイル５１２の記述に従いアクセス条件を判定し、その判定結果を要求のあった入退管理サーバ１１、物品管理サーバ１２、ＰＣログインサーバ１３のいずれかに返答するものである。

図１３は、アクセス条件定義による処理のフローチャートである。具体的に、図１３において、システム構築時（Ｓ１３１，システム構築）、ユーザは、管理端末１６を操作することにより、システム構築を要求する。すると、セキュアサーバ１５は、アクセス条件定義ファイルを作成する（Ｓ１３２）。ユーザは、エディタ等を用いて作成可能なアクセス条件を記述したアクセス条件定義ファイル５１２を、セキュアサーバ１５に登録する（Ｓ１３３，登録、およびＳ１３４）。このとき、セキュアサーバ１５は、登録済みのアクセス条件定義ファイル５１２を削除することもできる（Ｓ１３３，削除、およびＳ１３５）。なお、Ｓ１３２において、アクセス条件定義ファイルは、ここでは、セキュアサーバ１５が作成しているが、ユーザがアクセス条件定義ファイルを作成して準備してもよい。

そして、セキュアサーバ１５は、登録済みのアクセス条件定義ファイル５１２の一覧（アクセス条件判定名）を取得し管理端末１６に出力することができる（Ｓ１３６，判定名、およびＳ１３７）。あるいは、セキュアサーバ１５は、登録済みのアクセス条件定義ファイル５１２を取得しテキストファイルとして出力することもできる（Ｓ１３６，定義ファイル、およびＳ１３８）。そして、一連の処理を終了する。

一方、運用時（Ｓ１３１，運用）、セキュアサーバ１５は、前記したように、セキュリティアプリケーションを実行する入退管理サーバ１１、物品管理サーバ１２、ＰＣログインサーバ１３のいずれかにより生成されるアクセス権限判定要求を受信すると（Ｓ１３９，Ｙｅｓ）、このとき、同時に指定されるアクセス条件定義ファイルをＤＢサーバ１４のＤＢ１４０から読み出す（Ｓ１４０）。そして、セキュアサーバ１５は、そのアクセス条件定義ファイルを解析してアクセス権限判定を行う（Ｓ１４１）。そして、アクセス権限判定の結果を要求アプリ（入退管理サーバ１１、物品管理サーバ１２、ＰＣログインサーバ１３のいずれか）に返答する（Ｓ１４２）。なお、セキュアサーバ１５は、アクセス権限判定要求がないとき（Ｓ１３９，Ｎｏ）、アクセス権限判定要求の監視を継続する。

以上説明のように本発明のセキュリティシステムによれば、強化されたアクセス権限判定として、静的に決定された権限による判定のみならず、その動的な状態に応じた木目細かな判定が可能である。また、セキュアサーバ１５内部にその具体的な機能を作りこむことなく、プログラムから分離された外部ファイルにアクセス条件定義ファイル５１２を設定し、セキュアサーバ１５が、これを解析して実行する仕組みを構築することにより、アクセス権限判定方法の設定および変更について追加、更新が容易であり、柔軟性が確保できる。

更に、他システムのデータをファイル連携することで簡単に利用できるセキュリティシステムを提供することができ、また、複数のシステムがそれぞれ管理している人、物等の情報を一元的に管理する環境を提供できる。また、各セキュリティシステムが個別に出力しているログを一元的に管理、出力することができ、監査証跡に有効である。

なお、図１１に示したフローチャートは、本発明の実施の形態に係わるセキュアサーバ１５の動作の他に、本発明の実施の形態に係わるプログラムによる処理手順も併せて示している。

すなわち、本発明のプログラムは、セキュリティアプリケーションを実行する１以上のアプリケーション実行装置１（１１、１２、１３）に接続され、アクセスする主体が守るべき対象にアクセスする権限があるか否かを判定するアクセス権限判定装置（セキュアサーバ１５）に用いられるプログラムであって、アクセスする主体が持つ属性を記憶装置（ＤＢサーバ１４のＤＢ１４０）に保持するとともに、アクセスする主体の行動に応じて動的に変化する状態を監視して前記属性に対応付けて管理する処理（Ｓ１１１〜Ｓ１１３）と、アプリケーション実行装置１（１１、１２、１３）からアクセス権限判定要求を受信したときに指定される、あらかじめ登録されたアクセス権限判定条件を解釈し、アクセスする主体が守るべき対象にアクセスする権限があるか否かを判定する処理（Ｓ１１４〜Ｓ１１７）と、判定結果を要求のあったアプリケーション実行装置１（１１、１２、１３）に出力する処理（Ｓ１１８、Ｓ１１９）と、を含む。

前記した本発明のプログラムによれば、利用条件を外部ファイル（アクセス条件定義ファイル５１２）に定義し、外部ファイルに定義された条件を読み出して解析する仕組みを構築することにより、アプリケーションプログラムに影響を与えることなく機能の追加、変更が可能になる。また、状態管理を行なうにあたり、アプリケーションの認証ログ、動作ログを合わせて登録することで、複数のアプリケーションを導入した場合にもトータルとして監査証跡を実行することができる。

また、図１２、図１３に示したフローチャートは、本発明の実施の形態に係わるセキュリティシステムの動作の他に、本発明の実施の形態に係わるアクセス権限判定方法による各工程も併せて示している。

すなわち、本発明の実施の形態に係わるアクセス権限判定方法は、セキュリティアプリケーションを実行する１以上のアプリケーション実行装置１（１１、１２、１３）と、アクセスする主体が守るべき対象にアクセスする権限があるか否かを判定するアクセス権限判定装置（セキュアサーバ１５）と、記憶装置（ＤＢサーバ１４）と、が通信ネットワーク（ＬＡＮ１７）を介して接続されて成る、セキュリティシステムにおけるアクセス権限判定方法であって、守るべき対象にアクセスする主体の属性、および主体の行動によって動的に変化する状態を記述したオブジェクト定義ファイル５１１を記憶装置（ＤＢサーバ１４のＤＢ１４０）に割り当て保持する工程（Ｓ１２１〜Ｓ１２６）と、オブジェクトに対するアクセス条件を記述したアクセス条件定義ファイル５１２を記憶装置（ＤＢサーバ１４のＤＢ１４０）に割当て格納する工程（Ｓ１３１〜Ｓ１３５）と、アプリケーション実行装置１（１１、１２、１３）により生成されるアクセス権限判定要求に基づき指定されるアクセス条件定義ファイル５１２のアクセス権限判定を解釈してアクセスする主体が守るべき対象にアクセスする権限があるか否かを判定する工程（Ｓ１３９〜Ｓ１４１）と、判定結果を要求のあったアプリケーション実行装置１（１１、１２、１３）に返答する工程（Ｓ１４２）と、を有するものである。

前記した本発明のアクセス権限判定方法によれば、強化されたアクセス権限判定として、静的に決定された権限による判定のみならず、その状況に応じた木目細かな判定が可能である。また、セキュアサーバ１５内部にその具体的な機能を作りこむことなく、プログラムから分離された外部ファイルにアクセス条件定義ファイル５１２を設定し、セキュアサーバ１５が、これを解析して実行する仕組みを構築することにより、アクセス権限判定方法の設定および変更について追加、更新が容易であり、柔軟性が確保できる。

更に、他システムのデータをファイル連携することで簡単に利用できるセキュリティシステムを提供することができ、また、複数のシステムがそれぞれ管理している人、物等の情報を一元的に管理する環境を提供できる。また、各セキュリティシステムが個別に出力しているログを一元的に管理、出力することができ、監査証跡に有効である。

なお、図２に示したセキュアサーバ１５の属性管理部１５１、アクセス権限判定要求取得部１５２、アクセス権限判定機能部１５３、アクセス権限判定出力部１５４、ログ閲覧管理部１５５の各構成ブロックが持つ機能は、具体的には、セキュアサーバ１５の制御中枢となるＣＰＵ（Central Processing Unit）が、メモリに記録されたプログラム逐次読み出し実行することにより実現されるものである。また、前記したセキュアサーバ１５の各構成ブロックの機能は、全てをソフトウェアによって実現しても、あるいはその少なくとも一部をハードウエアで実現してもよい。

なお、前記した本発明の実施の形態によれば、ＤＢサーバ１４は、セキュアサーバ１５とは独立して存在するものとして説明したが、セキュアサーバ１５が、ＤＢサーバ１４が持つ機能を取り込んで持ってもよい。この場合、セキュアサーバ１５の負荷が大きくなるが、ＤＢサーバ１４を不要とするため、コンパクトな構成になる。

また、本発明の実施の形態によれば、セキュアサーバ１５と、動態監視システム１８とは、独立して存在するものとして説明したが、セキュアサーバ１５内に、動態監視システム１８が持つ機能を取り込んで持ってもよい。

本発明の実施の形態に係わるセキュリティシステムのシステム構成の一例を示す図である。 本発明の実施の形態に係わるセキュアサーバの機能構成を示す図である。 不正アクセスから守るべき対象を説明するための図である。 不正アクセスから守るべき対象のセキュリティレベル説明するための図である。 不正アクセスから守るべき対象とセキュリティレベルの対応付けを説明するための図である。 ユーザの所属情報を説明するための図である。 状態管理を説明するための図である。 不正アクセスから守るべき対象のセキュリティレベルと条件との関係を説明するための図である。 静的条件と動的条件を説明するための図である。 本発明の実施の形態に係わるセキュアサーバの動作を説明するための図である。 図１０に例示した問い合わせに対し、本発明の実施の形態にかかわるセキュアサーバが動作する手順を説明するためのフローチャートである。 オブジェクト定義による処理のフローチャートである。 アクセス条件定義による処理のフローチャートである。

符号の説明

１ アプリケーション実行装置
１１ 入退管理サーバ（アプリケーション実行装置）
１２ 物品管理サーバ（アプリケーション実行装置）
１３ ＰＣログインサーバ（アプリケーション実行装置）
１４ ＤＢサーバ
１５ セキュアサーバ（アクセス権限判定装置）
１６ 管理端末
１７ ＬＡＮ
１８ 動態監視システム
１４０ ＤＢ（記憶装置）
１５１ 属性管理部
１５２ アクセス権限判定要求取得部
１５３ アクセス権限判定機能部
１５４ アクセス権限判定出力部
１５５ ログ閲覧管理部

Claims (8)

1. セキュリティアプリケーションを実行する１以上のアプリケーション実行装置に接続され、不正アクセスから守るべき対象にアクセスがあったときに、アクセス主体に当該不正アクセスから守るべき対象にアクセスする権限があるか否かを判定するアクセス権限判定装置であって、
   前記アクセスする主体が持つ属性を記憶装置に保持するとともに、前記アクセスする主体の行動に応じて動的に変化する状態を監視する属性管理部と、
   前記アプリケーション実行装置からアクセス権限判定要求を受信したときに指定される、あらかじめ登録されたアクセス権限判定条件を解釈し、前記属性および状態を参照してアクセスする主体が守るべき対象にアクセスする権限があるか否かを判定するアクセス権限判定機能部と、
   前記アクセス権限判定機能部による判定結果を前記要求のあったアプリケーション実行装置に出力するアクセス権限判定出力部と、を備える
   ことを特徴とするアクセス権限判定装置。
2. 前記属性管理部は、前記不正アクセスから守るべき対象と、前記不正アクセスから守るべき対象の重要度に応じてグルーピングされた属性とを対応付けて管理する
   ことを特徴とする請求項１に記載のアクセス権限判定装置。
3. 前記属性管理部は、前記不正アクセスから守るべき対象の重要度に応じてグルーピングされた属性毎に定義される前記アクセス権限判定条件となるアクセスする主体の属性と状態とを取得し、前記記憶装置にあらかじめ登録する
   ことを特徴とする請求項２に記載のアクセス権限判定装置。
4. 前記アクセス権限判定機能部は、前記アクセス権限判定要求を受信したときに前記記憶装置から読み出される、前記不正アクセスから守るべき対象の重要度に応じてグルーピングされた属性毎に定義される前記アクセス権限判定条件となる属性および状態と、前記記憶装置に保持された前記アクセスする主体の属性および状態とを比較し、前記アクセスする主体が不正アクセスから守るべき対象にアクセスする権限があるか否かを判定する
   ことを特徴とする請求項１に記載のアクセス権限判定装置。
5. １以上のアプリケーションプログラムを実行することにより生成される動作ログを前記記憶装置に保持し、外部から前記認証ログおよび動作ログを閲覧する要求を受信したときに該当するログを出力するログ閲覧管理部を備える
   ことを特徴とする請求項１に記載のアクセス権限判定装置。
6. セキュリティアプリケーションを実行する１以上のアプリケーション実行装置と、
   不正アクセスから守るべき対象にアクセスする主体の属性、および前記主体の行動によって動的に変化する状態を記述したオブジェクト定義ファイル、および前記オブジェクトに対するアクセス条件を記述したアクセス条件定義ファイルを生成する管理装置と、
   前記管理装置により生成されるオブジェクト定義ファイルおよびアクセス条件定義ファイルが割り付けられ保持され格納される記憶装置と、
   前記アプリケーション実行装置により生成されるアクセス権限判定要求に基づき指定される前記アクセス条件定義ファイルのアクセス権限判定を解釈し、前記属性および状態を参照して前記アクセスする主体が前記守るべき対象にアクセスする権限があるか否かを判定し、前記判定結果を前記要求のあった前記アプリケーション実行装置に返答するアクセス権限判定装置とを備える
   ことを特徴とするセキュリティシステム。
7. セキュリティアプリケーションを実行する１以上のアプリケーション実行装置と、アクセスする主体が不正アクセスから守るべき対象にアクセスする権限があるか否かを判定するアクセス権限判定装置と、記憶装置と、が通信ネットワークを介して接続されてなる、セキュリティシステムにおけるアクセス権限判定方法であって、
   不正アクセスから守るべき対象にアクセスする主体の属性、および前記主体の行動によって動的に変化する状態を記述したオブジェクト定義ファイルを前記記憶装置に割り当て保持する工程と、
   前記オブジェクトに対するアクセス条件を記述したアクセス条件定義ファイルを前記記憶装置に割当て格納する工程と、
   前記アプリケーション実行装置により生成されるアクセス権限判定要求に基づき指定される前記アクセス条件定義ファイルのアクセス権限判定を解釈し、前記属性および状態を参照して前記アクセスする主体が前記不正アクセスから守るべき対象にアクセスする権限があるか否かを判定する工程と、
   前記判定結果を前記要求のあったアプリケーション実行装置に返答する工程と、を有する
   ことを特徴とするセキュリティシステムにおけるアクセス権限判定方法。
8. セキュリティアプリケーションを実行する１以上のアプリケーション実行装置に接続され、アクセスする主体が不正アクセスから守るべき対象にアクセスする権限があるか否かを判定するアクセス権限判定装置に用いられるプログラムであって、
   前記アクセスする主体が持つ属性を記憶装置に保持するとともに、前記アクセスする主体の行動に応じて動的に変化する状態を監視して前記属性に対応付けて管理する処理と、
   前記アプリケーション実行装置からアクセス権限判定要求を受信したときに指定される、あらかじめ登録されたアクセス権限判定条件を解釈し、前記属性および状態を参照して前記アクセスする主体が不正アクセスから守るべき対象にアクセスする権限があるか否かを判定する処理と、
   前記判定結果を前記要求のあったアプリケーション実行装置に出力する処理とをコンピュータに実行させる
   ことを特徴とするプログラム。

Images