JP2009070073A - 情報処理装置及びエージェントコンピュータプログラム - Google Patents

Abstract

【課題】情報処理装置のセキュリティ管理を、位置に応じて適切に行う。
【解決手段】位置情報を用いてセキュリティ管理を行う情報処理装置１であって、当該情報処理装置１の位置情報を取得する位置情報取得部１０１と、セキュリティポリシーデータＰＦを記憶するための記憶部１０６と、前記セキュリティポリシーデータに基づいて当該情報処理装置においてセキュリティ管理を要する機能の制限を位置情報に応じて行う機能制限部１０４と、を備えている。セキュリティポリシーデータＰＦは、当該情報処理装置が有する前記機能のうち、どの機能を制限するかを、位置情報に応じて決定するためのデータである。
【選択図】図３

Description

本発明は、情報処理装置及びエージェントコンピュータプログラムに関するものである。

パーソナルコンピュータなどの情報処理装置のセキュリティ管理のために、位置情報を用いるものがある。
例えば、特許文献1には、情報処理装置に携帯端末を接続し、この携帯端末から入力された識別情報を認証とユーザパスワードによる認証を行うとともに、さらに端末装置の位置情報による認証を多重的に行い、すべての認証が成功すると、情報処理装置を使用可能とする技術が開示されている。

特許文献１において、位置情報を用いて認証を行うには、まず、ユーザが操作部を操作して情報処理装置のメモリに使用可能範囲を設定しておく。情報処理装置の制御部は、接続された携帯端末から取得した位置情報が、使用可能範囲内にあるか否かを判定する。情報処理装置の制御部は、携帯端末から取得した位置情報が、使用可能範囲内にあれば、その携帯端末を持つユーザを正規のユーザと判断し、識別情報を認証とユーザパスワードによる認証が完了していれば、情報処理装置の使用を可能とする。
特開２００７−１４８８７７号公報

特許文献１記載の技術は、位置情報をユーザパスワードとともに認証することからも明らかなように、認証の結果によって「情報処理装置」全体を使用可能にしたり、使用不可にしたりするものである。
したがって、予め設定された使用可能範囲外に携帯端末がある場合、情報処理装置を一切使用できなくなる。

しかし、使用可能範囲外であっても、情報処理装置を使用したい場合がある。例えば、会社員が使用するパソコン等の情報処理装置の使用範囲が、会社内に限定された場合であっても、セキュリティ上問題が無い程度であれば、客先などの会社外でも使用できた方が、利便性が高い。
特許文献１の技術では、そのような使用可能範囲外での使用ができないため、ユーザの作業効率を著しく低下させるおそれがある。

また、特許文献１の技術では、使用許可範囲を利用者自部からが設定することとなっているが、これでは利用者がセキュリティ上の問題を鑑みず利用者の利己的な判断で設定を行う可能性があり、企業の情報セキュリティを管理する立場から見た場合に好ましい実施形態とは言えない。

そこで、本発明は、パーソナルコンピュータなどの情報処理装置のセキュリティ管理を、位置に応じて適切に行うことを目的とする。

本発明は、位置情報を用いてセキュリティ管理を行う情報処理装置であって、当該情報処理装置の位置情報を取得する位置情報取得部と、当該情報処理装置においてセキュリティ管理を要する機能のうち、どの機能を制限するかを、位置情報に応じて決定するためのセキュリティポリシーデータを記憶するための記憶部と、前記セキュリティポリシーデータに基づいて当該情報処理装置が有する前記機能の制限を位置情報に応じて行う機能制限部と、を備えている。

上記本発明によれば、セキュリティポリシーデータは、当該情報処理装置においてセキュリティ管理を要する機能のうち、どの機能を制限するかを、位置情報に応じて決定するためのデータとして構成されているため、機能制限部は、セキュリティポリシーデータに基づいて、位置情報に応じて柔軟に機能の制限を行うことができる。

前記記憶部は、前記セキュリティポリシーデータとして、位置情報によって適用条件が設定された複数のポリシーサブデータを記憶可能に構成され、前記ポリシーサブデータは、当該情報処理装置においてセキュリティ管理を要する機能のうち、どの機能を制限するかを規定しているとともに、それぞれ適用条件が異なるように設定され、前記機能制限部は、取得した位置情報に応じて、適用されるポリシーサブデータを選択して、選択したポリシーサブデータに基づいて当該情報処理装置が有する機能の制限を行うのが好ましい。この場合、機能制限部は、複数のポリシーサブデータの中から、位置情報に応じたポリシーサブデータを選択することができ、位置情報に応じて柔軟に機能の制限を行うことができる。

なお、セキュリティポリシーデータは、情報処理装置の外部の管理コンピュータから情報処理装置が自動的に取得したものを情報処理装置において用いるのが好ましい。この場合、情報処理装置の利用者がセキュリティ上の問題を鑑みず利用者の利己的な判断でセキュリティポリシーの設定を行うことを回避できる。

前記セキュリティポリシーデータは、位置情報と位置情報以外の付加情報とによって適用条件が設定されたポリシーサブデータを有し、前記機能制限部は、取得した位置情報とともに前記付加情報に従って、適用されるポリシーサブデータを選択して、選択したポリシーサブデータに基づいて当該情報処理装置が有する機能の制限を行うのが好ましい。この場合、位置情報以外の付加情報によってもポリシーサブデータを選択することができ、状況に応じてより柔軟に機能の制限を行うことができる。

前記セキュリティポリシーデータは、適用条件としての位置情報は同一であるが付加情報が異なることで、適用条件が区別される複数のポリシーサブデータを有しているのが好ましい。この場合、位置情報が同一でも、付加情報の違いによって適用されるポリシーサブデータを異ならせることができ、より柔軟な機能の制限を行うことができる。

前記セキュリティポリシーデータには、位置情報が位置不明を示す情報であるときの機能の制限を規定した位置不明データが含まれ、前記機能制限部は、取得した位置情報が位置不明を示す情報である場合には、前記位置不明データを参照して、情報処理装置の機能の制限を行うのが好ましい。この場合、情報処理装置の位置がわからない場合であっても、位置不明データを利用した機能の制限が可能である。

前記機能制限部は、位置不明を示す位置情報を取得した回数がしきい値を超えると、前記位置不明データを参照して、情報処理装置の機能の制限を行うのが好ましい。この場合、位置不明データに基づく機能制限が不必要に行われることを防止できる。

前記情報処理装置の起動後における位置情報の取得を、定期的又は不定期的に、前記位置情報取得部に行わせる管理部を備えているのが好ましい。この場合、時間が経過して情報処理装置の位置が変わった場合、セキュリティポリシーを変更することができる。

前記位置情報取得部は、当該情報処理装置と通信可能な携帯電話から、前記位置情報を取得するのが好ましい。

他の観点からみた本発明は、情報処理装置のセキュリティ管理を行うエージェントコンピュータプログラムであって、当該情報処理装置を、当該情報処理装置の位置情報を取得する位置情報取得部と、当該情報処理装置においてセキュリティ管理を要する機能のうち、どの機能を制限するかを、位置情報に応じて決定するためのセキュリティポリシーデータを記憶するための記憶部と、前記セキュリティポリシーデータに基づいて当該情報処理装置が有する前記機能の制限を位置情報に応じて行う機能制限部と、として機能させるためのエージェントコンピュータプログラムである。

コンピュータプログラムに係る本発明によれば、セキュリティポリシーデータは、情報処理装置においてセキュリティ管理を要する機能のうち、どの機能を制限するかを、位置情報に応じて決定するためのデータとして構成されているため、機能制限部は、セキュリティポリシーデータに基づいて、位置情報に応じて柔軟に機能の制限を行うことができる。

本発明によれば、セキュリティポリシーデータに基づき、位置情報に応じて柔軟に機能の制限を行うことができる。

以下、本発明の実施形態を、図面を参照して説明する。
図１は、ノート型パーソナルコンピュータ等の情報処理装置（以下、「端末」という）１のセキュリティ管理（監視）を行うためのセキュリティシステムの全体構成を示している。
このセキュリティシステムは、端末１と、端末１と通信可能な携帯電話（携帯型端末）２とを有している。また、セキュリティシステムは、社内ＬＡＮ４等のネットワークを介して端末装置１と接続される管理サーバ３を有している。
ここで、携帯電話２は、ＧＰＳ機能など携帯電話２自身の位置情報を取得する機能を有している。

端末１と携帯電話２には、それぞれ、端末エージェントコンピュータプログラム（以下、「端末エージェント」という）１ａと携帯エージェントコンピュータプログラム（以下、「携帯エージェント」という）２ａがインストールされている。
端末エージェント１ａは、端末１の起動中は、常時起動している。携帯エージェント２ａは、常時起動していてもよいが、必要に応じて起動してもよい。
これらのエージェント１ａ，２ａは、互いに通信することにより連携して動作し、端末１のセキュリティ管理（監視）のための処理を行う。
なお、図１では、端末１と携帯電話２を、それぞれ１つずつしか図示していないが、通常、端末１は複数存在し、また、端末１の数に対応した数の携帯電話２が存在する。

管理サーバ３は、端末エージェント１ａを介して、当該端末エージェント１ａが搭載された機器（端末１）を管理する。
具体的には、管理サーバ３は、その記憶部（図示省略）に、端末１のためのセキュリティポリシーを記述したセキュリティポリシーファイルＰＦを有しており、管理サーバ３では、セキュリティポリシーファイルＰＦの作成、セキュリティポリシーファイルＰＦの端末１への配布が行われる。
セキュリティポリシーファイルＰＦは、端末１のユーザではなく、管理サーバ３と端末１を含んだコンピュータネットワークのセキュリティ管理者によって管理・変更されるものである。なお、セキュリティポリシーファイルの詳細については後述する。

図２（ａ）は、端末１のハードウェア構成を示している。端末１は、演算処理部（ＣＰＵ）１１と、ＲＯＭ、ＲＡＭ、ハードディスク等からなる記憶部１２と、通信インターフェース１３とを備えている。また、図２（ｂ）は、携帯電話２におけるコンピュータとしてのハードウェア構成を示している。携帯電話２も、演算処理部（ＣＰＵ）２１、ＲＯＭ、ＲＡＭ、ハードディスク等からなる記憶部２２と、通信インターフェース２３と、位置情報を取得するためのＧＰＳ２４とを備えている。

端末１の記憶部１２には、前記端末エージェント１ａのほか、オペレーティングシステムや各種アプリケーションプログラムがインストールされている。また、携帯電話２の記憶部２２にも、前記携帯エージェント２ａのほか、オペレーティングシステムや各種アプリケーションプログラムがインストールされている。

端末１の通信インターフェース１３と携帯電話２の通信インターフェース２３とは、端末エージェントコンピュータプログラム１ａが、端末１の地理的な位置情報を携帯電話２から取得する際の通信に用いられる。両通信インターフェース１３，２３による接続には、接続端末間の距離が物理的に近いことが保証される近距離通信が用いられる。近距離通信による接続としては、無線通信によるものが好ましく、具体的には、Ｂｌｕｅｔｏｏｔｈ（登録商標）、赤外通信のＩｒＤＡ（商標）、Ｆｅｌｉｃａ（登録商標）など携帯電話内蔵の非接触型スマートカードを介した接続を採用できる。また、ＵＳＢケーブルなどの通信ケーブによって、端末１と携帯電話２とを物理的に接続してもよい。

図３は、端末エージェント１ａが端末１によって実行されることによって実現される端末１の機能を示している。
図示のように、端末１は、携帯電話２がＧＰＳ機能によって取得した位置情報を、当該携帯電話２から通信インターフェース１２を介して取得する位置情報取得部１０１としての機能を有している。位置情報取得部１０１が、位置情報を取得するタイミングについては、管理部１０２によって管理される。
なお、本実施形態では、位置情報を携帯電話２から取得するが、端末１自体がＧＰＳ機能などを有している場合には、携帯電話２を省略することが可能である。

また、端末１の端末エージェントは、携帯電話２と接続を確立する際に、携帯エージェントとの間で相互認証を行うエージェント間認証部１０３を備えている。なお、本実施形態では、エージェント１ａ，２ａ同士がアプリケーションレイヤーで認証を行うが、Ｂｌｕｅｔｏｏｔｈ（登録商標）のように通信プロトコル内で認証が行われる場合には、エージェントにおける認証部１０３を省略することができる。

端末１は、位置情報取得部１０１によって取得した位置情報を用いて、端末１の各種機能であって、セキュリティ管理が必要な機能を制限する機能制限部１０４の機能を有している。この機能制限部１０４は、位置情報及び必要であれば付加情報記憶部１０５に記憶されている付加情報を用いて、セキュリティポリシーファイル記憶部１０６に記憶されたセキュリティポリシーファイル（セキュリティポリシーデータ）ＰＦを参照する。そして、機能制限部１０４は、位置情報（及び付加情報）に応じたセキュリティポリシー（ポリシーサブデータ）を決定して、当該セキュリティポリシーに従って端末１における各種機能を制限（又は許可）する。

セキュリティポリシーにおいて制限又は許可の対象（セキュリティ管理の対象）となる機能としては、例えば、（１）ネットワーク接続又はその接続先、（２）ＵＳＢメモリなどの外部記憶装置の使用、（３）指定アプリケーションの起動、（４）プリンタの使用、などがある。
セキュリティ管理の対象となる機能は、典型的には、端末１の外部との間での入出力を伴う機能である。つまり、（１）ネットワーク接続、（２）ＵＳＢメモリなどの外部記憶装置の使用、及び（４）プリンタの使用は、端末１が端末外部への出力を行ったり、端末１が端末外部からの入力を受け付けたりするため、情報処理装置を外部からの脅威にさらすことになるからである。また、本実施携帯では、（３）アプリケーションの起動についても、アプリケーションの機能によっては、セキュリティ管理上、起動を許可しない方がよい場合があるため、セキュリティ管理の対象としている。

図４に示すように、セキュリティポリシーファイルＰＦは、適用条件がそれぞれ異なるセキュリティポリシーを複数有して構成されている。具体的には、セキュリティポリシーファイルＰＦは、セキュリティポリシーごとに設けられた複数のポリシーサブデータＰＳ１〜ＰＳ４を１ファイルに束ねて構成されている。
各ポリシーサブデータＰＳ１〜ＰＳ４の適用条件は、主に位置情報により設定されている。ここでは、位置情報は、「社内」エリアとそれ以外のエリアである「社外」エリアと「位置不明」のいずれかを示すものとする。なお、位置情報として、社内・社外以外に例えば、端末１のユーザの自宅等、会社以外の場所を指定してもよい。

各ポリシーサブデータＰＳ１〜ＰＳ４の適用条件は、位置情報以外の付加情報によっても設定されている。付加情報は、例えば、ユーザの組織上の所属、ＩＰアドレス、又はそれらの組み合わせであってもよい。なお、セキュリティポリシーファイルには、適用条件として、位置情報がなく付加情報のみが設定されているものを含んでいてもよい。

図４に示すように、セキュリティポリシーファイルＰＦの第１ポリシーサブデータＰＳ１は、適用条件として、「社内＆人事部」が設定されている。これは、位置情報が「社内」を示しており、かつ、付加情報としての「ユーザの組織上の所属」が「人事部」である場合に適用されるセキュリティポリシーであることを示している。

また、第２ポリシーサブデータＰＳ２は、適用条件として、「社内＆総務部」が設定されている。これは、位置情報が「社内」を示しており、かつ、付加情報としての「ユーザの組織上の所属」が「総務部」である場合に適用されるセキュリティポリシーであることを示している。

第３ポリシーサブデータＰＳ３は、適用条件として、「社外」が設定されている。これは、付加情報にかかわらず、位置情報が「社外」を示している場合に適用されるセキュリティポリシーであることを示している。なお、「社外」の場合も、付加情報に応じて、複数のセキュリティポリシーを設けても良い。

第４ポリシーサブデータ（位置不明データ）ＰＳ４は、適用条件として、「位置不明」が設定されている。これは、位置情報が「位置不明」を示している場合に適用されるセキュリティポリシーであることを示している。なお、「位置不明」の場合も、付加情報に応じて、複数のセキュリティポリシーを設けても良い。

上述の各ポリシーサブデータＰＳ１〜ＰＳ４は、図４に示すように、それぞれ優先順位が付けられており、機能制限部１０４は、優先順位の高いポリシーデータから順に、適用すべきものか否かを確認する。つまり、端末１の状況によっては、セキュリティポリシーファイルに含まれる複数のセキュリティポリシーが適用可能な場合があるが、そのような場合、優先順位の高いセキュリティポリシーが適用される。

図５は、セキュリティポリシーファイルＰＦに含まれるポリシーサブデータＰＳ１〜Ｐ４それぞれのセキュリティポリシーの例を示している。例えば、「社内＆人事部」の適用条件を持つ第１ポリシーサブデータＰＳ１や「社内＆総務部」の適用条件を持つ第２ポリシーサブデータＰＳ２では、いずれも社内での端末１の使用のため、端末の機能を制限する必要が少ない。したがって、一部のアプリケーションプログラムを除いて、ほとんどの機能が許可となっている。

また、第１ポリシーサブデータＰＳ１と第２ポリシーサブデータＰＳ２とは、いずれも位置情報として同一（社内）であるが、付加情報（ユーザの組織上の所属；ユーザ属性情）が異なることで、両データＰＳ１，ＰＳ２の適用条件が異なっている。このように付加情報を含めて適用条件を設定可能になっているため、同じ位置（社内）であっても、ユーザごとに端末１の機能の制限を異ならせることができる。

第３ポリシーサブデータＰＳ３は、端末１が社外で使用される際のセキュリティポリシーを規定しているため、社内のセキュリティポリシーに比べて、制限が多くなっている。ただし、一部のアプリケーションな使用が可能であるため、例えば、セキュリティ管理上問題の無い範囲で、客先における作業のために一部のアプリケーションを利用することは可能である。つまり、社内以外の位置で、一律に端末１の使用が禁止されるわけではなく、ある程度の機能の使用が可能であるため、ユーザの利便性が高まっている。

第４ポリシーサブデータ（位置不明データ）ＰＳ４は、端末１が位置を把握できなかった場合のセキュリティポリシーを規定している。位置不明の場合のセキュリティポリシーも、社外に準じて制限が多いものとなっているが、一部のアプリケーションなどの機能が使用可能であるため、端末１が位置を把握できない場合であっても、一律に端末１の使用が禁止されるわけではなく、ユーザの利便性が高まっている。

上述のようなセキュリティポリシーファイルＰＦは、図３に示すように、端末１のセキュリティポリシーファイル取得部１０７が、管理サーバ３から取得し、セキュリティポリシーファイル記憶部（セキュリティポリシーデータ記憶部）１０６に格納する。

上記のように、本実施形態では、セキュリティポリシーは、個々のユーザによって設定されるのではなく、様々な端末の様々な状況に応じて適用条件が設定された複数のセキュリティポリシーを一纏めにしたセキュリティポリシーファイルを、端末１が管理サーバ３から取得し、端末１が適用条件に従ってセキュリティポリシーを自動的に選択する。
したがって、使用位置に応じた個々の端末１のセキュリティポリシーは、管理サーバ３側で統一的に管理されることになる。この結果、ユーザが恣意的にセキュリティポリシーを変更できず、組織的なセキュリティ管理として好ましい形態が得られる。

図６は、ユーザ１が端末１を起動したときの端末エージェント１ａによるセキュリティポリシー決定処理を示している。まず、ユーザが端末１を起動すると（ステップＳ１）、端末エージェント１ａは、端末１の起動に合わせて自動起動する（ステップＳ２）。

端末エージェント１ａは、端末１の「現在位置」データを、初期値として「位置不明」に設定する（ステップＳ３）。
続いて、端末エージェント１ａの機能制限部１０４は、セキュリティポリシーファイル記憶部１０６を参照して、端末１の現在位置が「位置不明」である場合に適用されるセキュリティポリシー（第４ポリシーサブデータＰＳ４）を選択し、このセキュリティポリシーを適用して、端末１の各機能を制限する（ステップＳ４）。最初に位置不明用のセキュリティポリシーを適用しておくことで、この後の処理において位置情報を取得できなかった場合であっても、所定のセキュリティポリシー（位置不明の場合のセキュリティポリシー）を適用することができる。

さらに、端末エージェント１ａの管理部１０２は、セキュリティポリシーファイル取得部１０７に、最新のセキュリティポリシーファイルＰＦを管理サーバ３から取得させるかどうかを判断する（ステップＳ５）。ポリシーファイルＰＦを取得する条件としては、（１）端末起動時、（２）最後の管理サーバへのアクセスから一定期間経過した後、などが挙げられる。

ステップＳ５において最新のポリシーファイルＰＦを取得すると判断された場合、端末エージェント１ａは、管理サーバ３へアクセスし、自身が持つセキュリティポリシーファイルよりも新しいセキュリティポリシーファイルが管理サーバ３上にある場合、それを取得して、自身の持つ古いセキュリティポリシーファイルを置き換える（ステップＳ６）。

最新ポリシーファイルＰＦの取得が完了するか、又は最新ポリシーファイルを取得しない場合、端末エージェント１ａは、携帯電話２との接続を試みる（ステップＳ７）。接続できなかった場合は、本処理を終了する。ただし、接続できなかった場合でも、位置不明のセキュリティポリシーが適用されるため、確実なセキュリティ管理が可能である。

ステップＳ７において携帯電話２との接続ができた場合、端末エージェント１ａは、携帯エージェント２ａとの間で、互いに接続可能な機器であるかどうかの認証を行うか否かの判断をする（ステップＳ８）。ステップＳ７の接続において、端末１及び携帯電話の相互認証が完了している場合は、端末エージェント１ａのアプリケーションレベルで認証を行う必要がないため、ステップＳ１０へ進む。一方、通信プロトコルの仕様上、端末及び携帯電話の一方だけしか認証しない又は両者ともに認証しない場合は、エージェント１ａ，２ａのアプリケーションレベルでエージェント間の認証を行う必要があるため、ステップＳ９へ進む。

ステップＳ９では、端末エージェント１ａと携帯エージェント２ａとの間で、互いに接続可能な機器であるかどうかの認証を行う。端末１が、携帯電話２を認証するための情報としては例えば、電話番号などが利用できる。携帯電話２が、端末１を認証するための情報としては、ユーザＩＤ、パスワードなどが利用できる。なお、ステップＳ７の接続において、端末１と携帯電話２のいずれか一方の認証が完了している場合には、本ステップＳ９では、残る一方の認証だけを行っても良い。

ステップＳ９の認証処理において、認証に成功した場合には、ステップＳ１０へ進む。一方、認証に失敗した場合には、ステップＳ１３へ進み、携帯電話２との通信を切断する。

ステップＳ１０では、端末エージェント１ａの位置情報取得部１０１は、携帯エージェント２ａより位置情報を取得する。
携帯エージェント２ａは、携帯電話２のＧＰＳ機能によって位置を取得する。本実施形態の携帯エージェント２ａは、ＧＰＳ機能によって取得された位置座標から、当該携帯電話２が、セキュリティポリシーの適用条件に相当するどのエリア（社内エリア又は社外エリア）の位置にあるかを判定する。そして、携帯エージェント２ａは、判定して得られたエリア（社内エリア又は社外エリア）を位置情報として、端末エージェント１ａの位置情報取得部１０１に渡す。また、携帯エージェント２ａが位置を取得できなかった場合は、位置情報を「位置不明」とする。
なお、携帯エージェント２ａは、位置座標を端末エージェント１ａに渡し、エリア判定は、端末エージェント１ａ側で行っても良い。

なお、携帯電話２が位置を取得するのは、ＧＰＳに限られず、基地局から取得してもよい。また、端末エージェント１ａは、携帯電話２を介して位置を取得する必要はなく、端末１自身が直接、ＧＰＳ等から位置を取得してもよい。

ステップＳ１０において、端末１が位置情報を携帯電話２側から取得すると、端末エージェント１ａは、「現在位置」データを、取得した「位置情報」にセットする（ステップＳ１１）。
そして、端末エージェント１ａの機能制限部１０４は、セキュリティポリシーファイル記憶部１０６を参照して、「現在位置」にセットされた位置情報に該当するセキュリティポリシーを選択し、このセキュリティポリシーを適用して、端末１の各機能を制限又は許可する（ステップＳ１２）。なお、セキュリティポリシーを選択する場合には、位置情報だけでなく、付加情報を含めて判断される。

例えば、現在位置にセットされた位置情報が「社内」であり、しかも付加情報記憶部１０５に記憶されているユーザの組織上の所属が人事部である場合には、セキュリティポリシーファイル記憶部１０６に記憶されている複数のポリシーサブデータＰＳ１〜ＰＳ４のうち、第１ポリシーサブデータＰＳ１が選択され、そのセキュリティポリシーが端末１に適用される。

以上の処理が完了すると、端末エージェント１ａは、携帯電話との通信を切断し（ステップＳ１３）、端末１起動時のセキュリティポリシー決定処理を終了する。

さて、図７は、端末１の起動後に定期的又は不定期的に位置情報のチェックを行って適用されるセキュリティポリシーの維持・変更を行うための処理を示している。
まず、端末エージェント１ａの管理部１０２は、位置情報のチェック開始指示を生成する（ステップＳ２１）。定期的な位置情報のチェックは、例えば、タイマーによって一定時間経過したことを検出した場合に行うことができる。また、不定期的な位置情報のチェックは、端末１のユーザからの指示によって行うことができる。

続いて、端末エージェント１ａの管理部１０２は、セキュリティポリシーファイル取得部１０７に、最新のセキュリティポリシーファイルＰＦを管理サーバ３から取得させるかどうかを判断する（ステップＳ２２）。

ステップＳ２２において最新のポリシーファイルＰＦを取得すると判断された場合、端末エージェント１ａは、管理サーバ３へアクセスし、自身が持つセキュリティポリシーファイルよりも新しいセキュリティポリシーファイルが管理サーバ３上にある場合、それを取得して、自身の持つ古いセキュリティポリシーファイルを置き換える（ステップＳ２３）。

最新ポリシーファイルＰＦの取得が完了するか、又は最新ポリシーファイルを取得しない場合、端末エージェント１ａは、携帯電話２との接続を試みる（ステップＳ２４）。

接続できなかった場合は、「現在位置」データを、「位置不明」にセットし（ステップＳ２７）、位置不明のセキュリティポリシーを適用し（ステップＳ３５）、処理を終了する。このように、本実施形態では、携帯電話２と接続できなくなった場合には、位置不明のセキュリティポリシーに変更されるため、制限の緩やかなセキュリティポリシーが適用された後に、端末１から携帯電話２が外されるなど携帯電話２との接続が無くなった場合には、制限の厳しいセキュリティポリシーに変更され、適切なセキュリティ管理が実現される。

ステップＳ２４において携帯電話２との接続ができた場合には、端末エージェント１ａは、携帯エージェント２ａとの間で、互いに接続可能な機器であるかどうかの認証を行うか否かの判断をする（ステップＳ２５）。ステップＳ２４の接続において、端末１及び携帯電話の相互認証が完了している場合は、端末エージェント１ａのアプリケーションレベルで認証を行う必要がないため、ステップＳ２８へ進む。一方、通信プロトコルの仕様上、端末及び携帯電話の一方だけしか認証しない又は両者ともに認証しない場合は、エージェント１ａ，２ａのアプリケーションレベルでエージェント間の認証を行う必要があるため、ステップＳ２６へ進む。

ステップＳ２６では、端末エージェント１ａと携帯エージェント２ａとの間で、互いに接続可能な機器であるかどうかの認証を行う。なお、ステップＳ２４の接続において、端末１と携帯電話２のいずれか一方の認証が完了している場合には、本ステップＳ２６では、残る一方の認証だけを行っても良い。

ステップＳ２６の認証処理において、認証に成功した場合には、ステップＳ２８へ進む。一方、認証に失敗した場合には、「現在位置」データを、「位置不明」にセットし（ステップＳ２７）、位置不明のセキュリティポリシーを適用し（ステップＳ３５）、処理を終了する。
このように、本実施形態では、不正な携帯電話２につなぎ替えられた場合など、認証に失敗した場合には、位置不明のセキュリティポリシーに変更される。
したがって、制限の緩やかなセキュリティポリシーが適用された後に、端末１に不正な携帯電話２が接続された場合等には、制限の厳しいセキュリティポリシーに変更され、適切なセキュリティ管理が実現される。

ステップＳ２８では、端末エージェント１ａの位置情報取得部１０１は、携帯エージェント２ａより位置情報を取得する。
続いて、端末エージェント１ａは、取得した位置情報が、「位置不明」であるか否かを判断する（ステップＳ２９）。

取得した位置情報が「位置不明」でない場合、端末エージェント１ａは、「現在位置」データを、取得した「位置情報」にセットする（ステップＳ３０）。そして、端末エージェント１ａの機能制限部１０４は、セキュリティポリシーファイル記憶部１０６を参照して、「現在位置」にセットされた位置情報に該当するセキュリティポリシーを選択し、このセキュリティポリシーを適用して、端末１の各機能を制限又は許可する（ステップＳ３５）。なお、セキュリティポリシーを選択する場合には、位置情報だけでなく、付加情報を含めて判断される。

一方、取得した位置情報が「位置不明」である場合、端末エージェント１ａは、「現在位置」データが示す位置情報（図７の処理フロー開始前の端末１の位置）が「位置不明」であるか否かを判断する（ステップＳ３１）。

以前取得した位置情報を示す「現在位置」データが「位置不明」である場合（＝位置不明連続回数カウント中ではない場合）、適用されるセキュリティポリシーを変更する必要がないので、「現在位置」データも変更せずに、そのまま処理を終了し、携帯電話２との通信を切断する（ステップＳ３６）。
以前取得した位置情報を示す「現在位置」データが「位置不明」ではない場合（位置不
連続回数カウント中である場合）、位置情報として「位置不明」を連続して取得した回数をカウントするためのカウンタ（図示省略；初期値は０）をカウントアップ（プラス１）する（ステップＳ３２）。

続いて、端末エージェント１ａは、ステップＳ３２においてカウンタをカウントアップした結果が、所定のしきい値（予め指定された回数）を超えたか否かを判断する（ステップＳ３３）。
位置不明の取得回数が、しきい値を超えていない場合には、適用されるセキュリティポリシーを変更しないようにするため、「現在位置」データも変更せずに、そのまま処理を終了し、携帯電話２との通信を切断する（ステップＳ３６）。
一方、位置不明の取得回数が、しきい値を超えた場合、カウンタをゼロクリアした上で、「現在位置」データに「位置不明」をセットする（ステップＳ３４）。これにより、位置不明のセキュリティポリシーが適用され（ステップＳ３５）、携帯電話２との通信を切断する（ステップＳ３６）。

このように、本実施携帯では、携帯電話２から取得した位置情報が「位置不明」であっても、直ちに「位置不明」のセキュリティポリシーを適用するのではなく、何度か、「位置不明」を取得してから、「位置不明」のセキュリティポリシーを取得するため、不必要にセキュリティポリシーが変動するのを防止できる。
つまり、もし、端末１が、一度でも「位置不明」を取得すると、位置不明のセキュリティポリシーを適用するものとすると、携帯電話２がたまたま瞬間的に位置情報を取得できなかった場合でも、セキュリティポリシーが厳しくなってしまい、ユーザに不便となる。
これに対し、本実施形態では、何度か「位置不明」を取得するため、セキュリティポリシーを変更しないため、不必要なポリシー変更が防止され、ユーザの利便性が高まる。

本発明は、上記実施形態に限定されるものではなく、その要旨を逸脱しない範囲で様々な変形が可能である。

セキュリティシステムの全体構成図である。 （ａ）は端末のハードウェアブロック図であり、（ｂ）は携帯電話のハードウェアブロック図である。 端末の機能ブロック図である。 セキュリティポリシーファイルの構成図である。 セキュリティポリシーファイルにおけるセキュリティポリシーの例である。 端末起動時におけるセキュリティポリシー決定のための処理を示すフローチャートである。 端末起動後の定期的又は不定期的に行われる位置情報チェックの処理を示すフローチャートである。

符号の説明

１：情報処理装置（端末）、１ａ：端末エージェントプログラム、２：携帯電話、２ａ：携帯エージェントプログラム、３：管理サーバ、４：社内ＬＡＮ、１１：演算処理部、
１２：記憶部、１３：通信インターフェース、２１：演算処理部、２２：記憶部、２３：通信インターフェース、２４：ＧＰＳ、１０１：位置情報取得部、１０２：管理部、１０３：エージェント間認証部、１０４：機能制限部、１０５：付加情報記憶部、１０６：セキュリティポリシーファイル記憶部、１０７：セキュリティポリシーファイル取得部、ＰＦ：セキュリティポリシーデータ（セキュリティポリシーファイル）、ＰＳ１：第１ポリシーサブデータ、ＰＳ２：第２ポリシーサブデータ、ＰＳ３：第３ポリシーサブデータ、ＰＳ４：第４ポリシーサブデータ（位置不明データ）

Claims (6)

1. 位置情報を用いてセキュリティ管理を行う情報処理装置であって、
   当該情報処理装置の位置情報を取得する位置情報取得部と、
   当該情報処理装置においてセキュリティ管理を要する機能のうち、どの機能を制限するかを、位置情報に応じて決定するためのセキュリティポリシーデータを記憶するための記憶部と、
   前記セキュリティポリシーデータに基づいて当該情報処理装置が有する前記機能の制限を位置情報に応じて行う機能制限部と、
   を備えていることを特徴とする情報処理装置。
2. 前記記憶部は、前記セキュリティポリシーデータとして、位置情報によって適用条件が設定された複数のポリシーサブデータを記憶可能に構成され、
   前記ポリシーサブデータは、当該情報処理装置においてセキュリティ管理を要する機能のうち、どの機能を制限するかを規定しているとともに、それぞれ適用条件が異なるように設定され、
   前記機能制限部は、取得した位置情報に応じて、適用されるポリシーサブデータを選択して、選択したポリシーサブデータに基づいて当該情報処理装置が有する機能の制限を行う、
   ことを特徴とする請求項１記載の情報処理装置。
3. 前記セキュリティポリシーデータは、位置情報と位置情報以外の付加情報とによって適用条件が設定されたポリシーサブデータを有し、
   前記機能制限部は、取得した位置情報とともに前記付加情報に従って、適用されるポリシーサブデータを選択して、選択したポリシーサブデータに基づいて当該情報処理装置が有する機能の制限を行う
   ことを特徴とする請求項２記載の情報処理装置。
4. 前記セキュリティポリシーデータには、位置情報が位置不明を示す情報であるときの機能の制限を規定した位置不明データが含まれ、
   前記機能制限部は、取得した位置情報が位置不明を示す情報である場合には、前記位置不明データを参照して、情報処理装置の機能の制限を行う、
   ことを特徴とする請求項１〜３のいずれか一に記載の情報処理装置。
5. 前記位置情報取得部は、当該情報処理装置と通信可能な携帯型端末から、前記位置情報を取得することを特徴とする請求項１〜４のいずれか一に記載の情報処理装置。
6. 情報処理装置のセキュリティ管理を行うエージェントコンピュータプログラムであって、
   当該情報処理装置を、
   当該情報処理装置の位置情報を取得する位置情報取得部と、
   当該情報処理装置においてセキュリティ管理を要する機能のうち、どの機能を制限するかを、位置情報に応じて決定するためのセキュリティポリシーデータを記憶するための記憶部と、
   前記セキュリティポリシーデータに基づいて当該情報処理装置が有する前記機能の制限を位置情報に応じて行う機能制限部と、
   として機能させるためのエージェントコンピュータプログラム。

Images