JP2009276930A - データベースアクセス履歴取得システム - Google Patents

Abstract

【課題】アクセス履歴を漏れなく取得することを可能とし、取得項目多数となっても通常業務の性能を劣化させずに、どのレコードにアクセスしたかをリアルタイムで取得できるデータベースアクセス履歴取得システムを提供する。
【解決手段】サーバ１０５内に構築されるシステムと、管理者端末１０７とから成るデータベースアクセス履歴取得システム１０６であって、サーバ１０５は、データベース１０２へのアクセスがあると、データベースアクセス制御部１０４からＳＱＬ文及びＳＱＬ結果を抽出する手段と、取得したＳＱＬ結果及びＳＱＬ文とを参照データに加工する手段等を備え、管理者端末１０７は、サーバ１０５から転送された参照データを参照データ記憶部１１６に格納する手段と、監査対象項目をキーに、参照データ記憶部１１６のＳＱＬ項目を取得する手段等を備える。
【選択図】図１

Description

本発明は、過去分のアクセス履歴を漏れなく取得することを可能とし、取得項目多数となっても通常業務の性能を劣化させずに、テーブルのどのレコードにアクセスしたかをリアルタイムで取得できるデータベースアクセス履歴取得システムに関するものである。

近年、情報漏洩時に誰が情報を漏洩させたかを特定するためデータベースへのアクセス履歴が必要になってきている。また、個人情報保護の観点から、個人情報へのアクセス履歴を情報漏洩時に限らず取得する必要もでてきている。
上述の問題を解決するために、データベースにアクセスしたＳＱＬ文を構文解析して、個人情報にアクセスしたＳＱＬ文、ＳＱＬ結果を保持しておく方法もある。さらに、テーブルのどのレコードにアクセスしたかを検出できる手法もある(例えば、特許文献１参照）。
特開２００５−２７６０７８号公報

しかしながら、上述したどのレコードにアクセスしたかを検出できるシステムでは、アクセス履歴取得対象をテーブル項目単位で事前に設定するため、後から他の項目の履歴が必要だったと分かっても過去分の履歴は取得できないという問題がある。
また、アクセス履歴取得対象項目を多数設定した場合に項目比較が多数になり通常業務の性能が劣化する可能性がある。

以上の現状に鑑み、本発明は、過去分のアクセス履歴を漏れなく取得することを可能とし、取得項目多数となっても通常業務の性能を劣化させずに、テーブルのどのレコードにアクセスしたかをリアルタイムで取得できるデータベースアクセス履歴取得システムを提供することを目的とする。

上記の課題を解決すべく、本発明は以下の構成を提供する。尚、以下に述べる「手段」は、何れもＣＰＵが必要なコンピュータプログラムを読み込んで実現するものである。
請求項１に係る発明は、データベース及び前記データベースへのアクセス制御を行なうデータベースアクセス制御部を備えるサーバと、前記データベースに対し検索を行なうための端末群とから構成される情報系システムに対し、前記情報系システムのデータベースへのアクセス履歴の取得を目的として、前記サーバ内に構築されるサーバ内システムと、前記サーバに通信自在に接続される管理者端末とから成るデータベースアクセス履歴取得システムであって、
前記サーバ内システムは、前記情報系システムにおいて前記端末群が前記データベースアクセス制御部を介して前記データベースへのアクセスを行うと、前記端末群からのＳＱＬ文を前記データベースアクセス制御部から抽出する手段と、
抽出したＳＱＬ文をＳＱＬ文格納部に格納する手段と、
前記データベースからのＳＱＬ結果を前記データベースアクセス制御部から抽出する手段と、
抽出したＳＱＬ結果をＳＱＬ結果格納部に格納する手段と、
所定の設定された時刻に、前記ＳＱＬ文格納部より格納されたＳＱＬ文を１件づつ取得する手段と、
取得したＳＱＬ文に対するＳＱＬ結果を前記ＳＱＬ結果格納部より検索する手段と、
取得したＳＱＬ結果とＳＱＬ文とを参照データ用のレイアウトに加工する手段と、
加工した成果物を参照データ一時記憶部に格納する手段と、
前記ＳＱＬ文格納部からのＳＱＬ文の取得が終了した場合は、前記参照データ一時記憶部に格納された参照データ全てを前記管理者端末に転送する手段と、
転送後に、前記ＳＱＬ文格納部、ＳＱＬ結果格納部及び参照データ一時記憶部のデータを全件削除する手段とを備え、
前記管理者端末は、前記サーバから転送された前記参照データを参照データ記憶部に格納する手段と、
アクセス履歴抽出起動指示を受信すると、データ項目設定部から予め設定された監査対象項目を１つづつ取得する手段と、
取得された前記監査対象項目をキーに、前記参照データ記憶部のＳＱＬ項目を取得する手段と、
取得結果をアクセス履歴として表示する手段とを備えたことを特徴とするデータベースアクセス履歴取得システムを提供するものである。

本発明によれば、過去分のアクセス履歴について、テーブル項目を指定して、テーブルのどのレコードにアクセスしたかを漏れなく取得でき、また、アクセス履歴取得を同一環境で実施しないので、取得項目多数となっても通常業務の性能を劣化させないデータベースアクセス履歴システムを提供することができる。

以下、実施例を示した図面を参照しつつ本発明の実施の形態を説明する。
図１は、本発明のデータベースアクセス履歴取得システムを含む、データベースセキュリティシステムを利用したデータベース検索システムの全体構成を示すブロック図である。
情報系システム１０１は、比較的緩やかなアクセス制限のもとに会社内の不特定多数のユーザーが使用しているシステムで、顧客の個人情報が格納されたデータベース１０２と、ユーザーがデータベース検索の際に使用する、コンピュータから成る端末群１０３と、端末群１０３からのデータベースへのアクセスを制御するデータベースアクセス制御部１０４を有している。データベース１０２とデータベースアクセス制御部１０４は、コンピュータから成るサーバ１０５内に設置されている。

一方、本発明のデータベースアクセス履歴取得システム１０６は、情報系システム１０１のアクセス履歴の取得を目的とし、サーバ１０５内システムと管理者端末内部１０８に分かれて構成されている。
ＳＱＬ文抽出に関しては、端末群１０３からのデータベース１０２へのＳＱＬ文を、データベースアクセス制御部１０４から抽出するＳＱＬ文抽出部１０９、ＳＱＬ文抽出部１０９が抽出したＳＱＬ文を格納するＳＱＬ文格納部１１０を有する。
ＳＱＬ結果抽出に関しては、データベース１０２からのＳＱＬ結果をデータベースアクセス制御部１０４から抽出するＳＱＬ結果抽出部１１１、ＳＱＬ結果格納部１１１が抽出したＳＱＬ結果を格納するＳＱＬ結果格納部１１２を有する。
ＳＱＬ結果加工に関しては、格納されたＳＱＬ文、ＳＱＬ結果を参照用レイアウトに加工する参照データ作成部１１３、作成された参照データを一時的に格納する参照データ一時記憶部１１４、参照データを管理者端末へ１０７と転送する参照データ転送部１１５、転送された参照データを保存する参照データ記憶部１１６を有する。

アクセス履歴作成に関しては、情報セキュリティ管理者のみ使用可能の管理者端末１０７、管理者端末１０７からのアクセス履歴作成指示を受信する起動指示受信部１１７、流出したときに問題となる監査データ項目（監査対象項目）の設定情報を保持しておくデータ項目設定部１１８、データ項目設定部１１８と参照データ記憶部１１６の情報を比較するデータ項目判定部１１９、判定結果を表示する結果表示部１２０を有する。

図２は、データベースアクセス履歴取得システムの日中の処理（処理は通常日中に行なわれる。）を示すフローチャートである。
情報系システム１０１において、ユーザーが端末群１０３を通じて、データベースアクセス制御部１０４を介しデータベース１０２へのアクセスを行うと（ステップ２０１）、ＳＱＬ文抽出部１０９が端末群１０３からのＳＱＬ文をデータベースアクセス制御部１０４から抽出する（ステップ２０２）。
ＳＱＬ文抽出部１０６がステップ２０２で抽出したＳＱＬ文をＳＱＬ文格納部１１０へ格納する（ステップ２０３）。
ＳＱＬ結果抽出部１１１がデータベース１０２からのＳＱＬ結果をデータベースアクセス制御部１０４から抽出する（ステップ２０４）。
ＳＱＬ結果抽出部１１１がステップ２０４で抽出したＳＱＬ結果をＳＱＬ結果格納部１１２へ格納する（ステップ２０５）。

図３は、データベースアクセス履歴取得システムの夜間の処理（処理は通常夜間に行なわれる。）を示すフローチャートである。
この処理は、夜間等の所定の設定された時刻に実行される。
ＳＱＬ文格納部１１０よりＳＱＬ文１件を抽出する（ステップ３０１）。
ステップ３０１でＳＱＬ文を取得した場合はステップ３０３へ、ＳＱＬ文を取得できない場合（全ＳＱＬ文を取得処理済みの場合）はステップ３０６へ進む（ステップ３０２）。
ＳＱＬ結果格納部１１２よりステップ３０１で取得したＳＱＬ文に対するＳＱＬ結果を検索する（ステップ３０３）。
ステップ３０３で取得したＳＱＬ結果とＳＱＬ文を参照データ用のレイアウトに加工する（ステップ３０４）。
ステップ３０４の成果物を参照データ一時記憶部１１４に格納する（ステップ３０５）。
参照データ転送部１１５を介して、参照データ一時記憶部１１４に格納された参照データ全てを管理者端末内部１０８の参照データ記憶部１１６に転送、格納する（ステップ３０６）。
ＳＱＬ文格納部１１０のデータを全件削除する（ステップ３０７）。
ＳＱＬ結果格納部１１２のデータを全件削除する（ステップ３０８）。
参照データ一時記憶部１１４のデータを全件削除する（ステップ３０９）。

図４は、参照データ記憶部１１６に格納される参照データ情報の一例である。
データ通番はデータベースアクセス履歴取得システム内で設定する通番である。
日時データ、ユーザＩＤ、端末ＩＤ、ＳＱＬ文、ＳＱＬ結果はデータベースアクセス制御部１０４を通じて取得し、ＳＱＬ文格納部１１０もしくはＳＱＬ結果格納部１１２に格納していたデータである。

図５は、データベースアクセス履歴取得システムのアクセス履歴起動指示受信時におけるアクセス履歴抽出処理を示すフローチャートである。
起動指示受信部１１７が管理者端末１０７からのアクセス履歴抽出起動指示を受信する（ステップ５０１）と、データ項目判定部１１９がデータ項目設定部１１８から監査対象項目を１つ取得する（ステップ５０２）。
データ項目判定部１１９がステップ５０２で取得した監査対象項目をキーに参照データ記憶部１１６のＳＱＬ項目と比較する（ステップ５０３）。
該当ありの場合、結果表示部１２０に取得結果をアクセス履歴として表示する（ステップ５０４）。
そして、ステップ５０２からステップ５０４の処理を繰り返し、表示レイアウトは図４のレイアウトが連なった状態で表示する。

図６は、データ項目設定部１１８に設定されている監査データ項目（監査対象項目）のデータ構成図である。この項目はセキュリティ管理者が管理者端末１０７から設定する。

本発明によるデータベースアクセス履歴取得システムを含む、データベース検索システムの全体構成を示すブロック図である。 本発明によるデータベースアクセス履歴取得システムの日中時における処理のフローチャートである。 本発明によるデータベースアクセス履歴取得システムの夜間時における処理のフローチャートである。 本発明による参照データ記憶部のデータ構成図である。 本発明によるアクセス履歴起動指示受信時におけるアクセス履歴抽出処理を示すフローチャートである。 本発明によるデータ項目設定部に設定されている監査データ項目のデータ構成図である。

符号の説明

１０１ 情報系システム
１０２ データベース
１０３ 端末群
１０４ データベースアクセス制御部
１０５ サーバ
１０６ データベースアクセス履歴取得システム
１０７ 管理者端末
１１０ ＳＱＬ文格納部
１１２ ＳＱＬ結果格納部
１１４ 参照データ一時記憶部
１１６ 参照データ記憶部
１１８ データ項目設定部

Claims (1)

1. データベース及び前記データベースへのアクセス制御を行なうデータベースアクセス制御部を備えるサーバと、前記データベースに対し検索を行なうための端末群とから構成される情報系システムに対し、前記情報系システムのデータベースへのアクセス履歴の取得を目的として、前記サーバ内に構築されるサーバ内システムと、前記サーバに通信自在に接続される管理者端末とから成るデータベースアクセス履歴取得システムであって、
   前記サーバ内システムは、前記情報系システムにおいて前記端末群が前記データベースアクセス制御部を介して前記データベースへのアクセスを行うと、前記端末群からのＳＱＬ文を前記データベースアクセス制御部から抽出する手段と、
   抽出したＳＱＬ文をＳＱＬ文格納部に格納する手段と、
   前記データベースからのＳＱＬ結果を前記データベースアクセス制御部から抽出する手段と、
   抽出したＳＱＬ結果をＳＱＬ結果格納部に格納する手段と、
   所定の設定された時刻に、前記ＳＱＬ文格納部より格納されたＳＱＬ文を１件づつ取得する手段と、
   取得したＳＱＬ文に対するＳＱＬ結果を前記ＳＱＬ結果格納部より検索する手段と、
   取得したＳＱＬ結果とＳＱＬ文とを参照データ用のレイアウトに加工する手段と、
   加工した成果物を参照データ一時記憶部に格納する手段と、
   前記ＳＱＬ文格納部からのＳＱＬ文の取得が終了した場合は、前記参照データ一時記憶部に格納された参照データ全てを前記管理者端末に転送する手段と、
   転送後に、前記ＳＱＬ文格納部、ＳＱＬ結果格納部及び参照データ一時記憶部のデータを全件削除する手段とを備え、
   前記管理者端末は、前記サーバから転送された前記参照データを参照データ記憶部に格納する手段と、
   アクセス履歴抽出起動指示を受信すると、データ項目設定部から予め設定された監査対象項目を１つづつ取得する手段と、
   取得された前記監査対象項目をキーに、前記参照データ記憶部のＳＱＬ項目を取得する手段と、
   取得結果をアクセス履歴として表示する手段とを備えたことを特徴とするデータベースアクセス履歴取得システム。

Images