JP2014182559A - 情報端末、制御方法、制御プログラム - Google Patents

Abstract

【課題】情報端末の機能部の利用制限を行う。
【解決手段】複数の機能部を備える情報端末が、複数の機能部ごとに、機能部を利用させるか否かを示す第１の利用可否が定められる第１のポリシファイルを取得する第１のポリシファイル取得部と、複数の機能部ごとに、機能部を利用させるか否かを示す第２の利用可否が定められる第２のポリシファイルを取得する第２のポリシファイル取得部と、機能部に対する利用要求を検知する機能利用検知部と、利用要求の対象である機能部に対応する第１の利用可否と第２の利用可否とが一致するか否かを判定する整合性判定部と、整合性判定部によって、第１の利用可否と第２の利用可否とが一致しないと判定された場合、自端末の利用状況に基づいて、利用要求の対象である機能部を利用させるか否かを判定する利用可否判定部と、を備える。
【選択図】図５

Description

本発明は、情報端末の機能部の利用制限を行う技術に関する。

複数の機能部を備える情報端末について、予め定められたポリシにより各機能部の利用を制限する技術が存在する（例えば、特許文献１参照）。ＭＤＭ（Mobile Device Management）とよばれる技術では、企業等が、その社員に利用させるスマートフォン等の情報端末に対して、その情報端末にインストールされたアプリケーションや、情報端末が備えるカメラ等のデバイスのような機能部ごとの利用可否を定めたポリシファイルを送信する。情報端末は、送信されたポリシファイルに基づいて機能部の利用制限を行う。

特許第４８８２６７１号公報

しかしながら、上述のようなＭＤＭによるポリシファイルは、サーバ側における管理者等の操作に応じて情報端末に送信されるものであり、情報端末は、サーバから新たなポリシファイルが送信されるまで同じポリシに基づいて画一的に機能部の利用制限を行う。そこで、より柔軟に利用制限を行うためにこのような静的なＭＤＭのポリシファイルとは別に、例えばユーザが情報端末にログインした際に、情報端末がサーバにポリシファイルを要求して取得し、取得したポリシファイルに基づいて機能部の利用制限を行うことが考えられる。このような動的制御により取得したポリシファイルによれば、より細やかな利用制限を実現することができると考えられる。ただし、この場合、静的に取得したポリシファイルと動的に取得したポリシファイルとのそれぞれに定められる機能部ごとの利用可否が異なり整合性がとれない場合に、どのように利用制限をすべきかが問題となる。さらに、動的に取得したポリシファイルを適用する場合にも、新たなポリシファイルを取得するまでは同一の利用制限が行われることになる。そこで、より柔軟な利用制限を行うことが望ましい。

本発明は、このような状況に鑑みてなされたもので、情報端末の機能部の利用制限を行う情報端末、制御方法、制御プログラムを提供する。

上述した課題を解決するために、本発明の一態様は、複数の機能部を備える情報端末であって、複数の機能部ごとに、機能部を利用させるか否かを示す第１の利用可否が定められる第１のポリシファイルを取得する第１のポリシファイル取得部と、複数の機能部ごとに、機能部を利用させるか否かを示す第２の利用可否が定められる第２のポリシファイルを取得する第２のポリシファイル取得部と、機能部に対する利用要求を検知する機能利用検知部と、利用要求の対象である機能部に対応する第１の利用可否と第２の利用可否とが一致するか否かを判定する整合性判定部と、整合性判定部によって、第１の利用可否と第２の利用可否とが一致しないと判定された場合、自端末の利用状況に基づいて、利用要求の対象である機能部を利用させるか否かを判定する利用可否判定部と、を備えることを特徴とする。

また、本発明の一態様は、整合性判定部によって、第１の利用可否と第２の利用可否とが一致しないと判定された場合、自端末の利用状況に応じた属性値に基づいて、機能部を利用させるか否かを判定するためのスコアを算出するスコア算出部を備え、利用可否判定部は、スコア算出部によって算出されたスコアと、予め定められた閾値とに基づいて、機能部を利用させるか否かを判定することを特徴とする。

また、本発明の一態様は、利用状況を示す複数の属性ごとに、利用状況に応じた属性値が対応付けられた属性値情報と、閾値を示す閾値情報とが含まれるポリシ調整情報を取得するポリシ調整情報取得部を備え、スコア算出部は、属性値情報に基づいてスコアを算出し、利用可否判定部は、スコア算出部によって算出されたスコアと、閾値情報が示す閾値とに基づいて、機能部を利用させるか否かを判定することを特徴とする。

また、本発明の一態様は、属性値が、ユーザの所属と、ユーザの役職と、時刻と、自端末の位置と、利用要求の対象である機能部との属性のうち、少なくともいずれかの属性に応じた値であることを特徴とする。

また、本発明の一態様は、スコア算出部が、予め定められた時点と現在時点との差と、予め定められた位置と自端末の現在位置との差とのうち、少なくともいずれかの差に応じて定められる重みに基づいてスコアを補正することを特徴とする。

また、本発明の一態様は、スコア算出部が、自端末の利用状況に応じた複数の属性の組み合わせに基づいて、スコアを補正することを特徴とする。

また、本発明の一態様は、利用可否判定部による判定結果に基づいて、機能部の利用を制御する機能利用制御部と、を備えることを特徴とする。

また、本発明の一態様は、複数の機能部を備える情報端末の制御方法であって、複数の機能部ごとに、機能部を利用させるか否かを示す第１の利用可否が定められる第１のポリシファイルを取得するステップと、複数の機能部ごとに、機能部を利用させるか否かを示す第２の利用可否が定められる第２のポリシファイルを取得するステップと、機能部に対する利用要求を検知するステップと、利用要求の対象である機能部に対応する第１の利用可否と第２の利用可否とが一致するか否かを判定するステップと、第１の利用可否と第２の利用可否とが一致しないと判定した場合、自端末の利用状況に基づいて、利用要求の対象である機能部を利用させるか否かを判定するステップと、を備えることを特徴とする制御方法である。

また、本発明の一態様は、複数の機能部を備える情報端末のコンピュータに、複数の機能部ごとに、機能部を利用させるか否かを示す第１の利用可否が定められる第１のポリシファイルを取得するステップと、複数の機能部ごとに、機能部を利用させるか否かを示す第２の利用可否が定められる第２のポリシファイルを取得するステップと、機能部に対する利用要求を検知するステップと、利用要求の対象である機能部に対応する第１の利用可否と第２の利用可否とが一致するか否かを判定するステップと、第１の利用可否と第２の利用可否とが一致しないと判定した場合、自端末の利用状況に基づいて、利用要求の対象である機能部を利用させるか否かを判定するステップと、を実行させる制御プログラムである。

以上説明したように、本発明によれば、複数の機能部を備える情報端末が、複数の機能部ごとに、機能部を利用させるか否かを示す第１の利用可否が定められる第１のポリシファイルを取得する第１のポリシファイル取得部と、複数の機能部ごとに、機能部を利用させるか否かを示す第２の利用可否が定められる第２のポリシファイルを取得する第２のポリシファイル取得部と、機能部に対する利用要求を検知する機能利用検知部と、利用要求の対象である機能部に対応する第１の利用可否と第２の利用可否とが一致するか否かを判定する整合性判定部と、整合性判定部によって、第１の利用可否と第２の利用可否とが一致しないと判定された場合、自端末の利用状況に基づいて、利用要求の対象である機能部を利用させるか否かを判定する利用可否判定部と、を備えるようにしたので、情報端末の機能部の利用制限を行うことができる。

静的なポリシファイルを用いて情報端末の機能部の利用制限を行う例を示す図である。 動的に取得するポリシファイルを用いて情報端末の機能部の利用制限を行う例を示す図である。 ポリシファイルごとに異なる利用可否が定められている場合の例を示す図である。 本発明の一実施形態により機能部の利用可否を判定する際の概要を示す図である。 本発明の一実施形態による制御システムの構成を示すブロック図である。 本発明の一実施形態による第１のポリシファイルのデータ例を示す図である。 本発明の一実施形態による第２のポリシファイルのデータ例を示す図である。 本発明の一実施形態による所属属性値情報のデータ例を示す図である。 本発明の一実施形態による役職属性値情報のデータ例を示す図である。 本発明の一実施形態による時刻属性値情報のデータ例を示す図である。 本発明の一実施形態による位置属性値情報のデータ例を示す図である。 本発明の一実施形態による機能属性値情報のデータ例を示す図である。 本発明の一実施形態による一定型の重みの例を示す図である。 本発明の一実施形態による単調減少型の重みの例を示す図である。 本発明の一実施形態による曲線型の重みの例を示す図である。 本発明の一実施形態による時間重み情報のデータ例を示す図である。 本発明の一実施形態による距離重み情報のデータ例を示す図である。 本発明の一実施形態による組み合わせ情報のデータ例を示す図である。 本発明の一実施形態による閾値情報のデータ例を示す図である。 本発明の一実施形態による閾値の上限と下限との例の概要を示す図である。 本発明の一実施形態による閾値情報のデータ例を示す図である。 本発明の一実施形態によるユーザ情報のデータ例を示す図である。 本発明の一実施形態による情報端末の動作例を示すフローチャートである。

以下、本発明の一実施形態について、図面を参照して説明する。まず、図面を参照して、静的なポリシファイルと動的に取得するポリシファイルとについて詳細に説明する。図１は、静的なポリシファイルを用いて情報端末の機能部の利用制限を行う例を示す図である。ここでは、ＭＤＭによる一般的な利用制限を説明する。例えば、管理者１ａは、ＭＤＭサーバ１ｂを操作し、企業ポリシに従ったＭＤＭポリシファイルを作成して入力する。ＭＤＭサーバ１ｂは、管理者１ａの操作に従って、ＭＤＭポリシファイル１ｃを情報端末１ｄに送信（プッシュ送信）する。情報端末１ｄが、ＭＤＭサーバ１ｂから送信されたＭＤＭポリシファイル１ｃを受信すると、情報端末１ｄに予めインストールされているＭＤＭクライアント１ｅが、ＭＤＭポリシファイル１ｃに基づいて各機能部を利用制限する処理を行う。例えば、アプリＡである機能部については利用を許可し、アプリＢである機能部については利用を禁止する。このようなＭＤＭの制御では、情報端末１ｄにおけるＭＤＭポリシファイル１ｃは、管理者１ａの操作に応じてＭＤＭサーバ１ｂから送信される。すなわち、機能部の利用可否は、管理者１ａの操作に応じてＭＤＭサーバ１ｂから新たなＭＤＭポリシファイル１ｃが送信されることによってのみ変更される。

図２は、動的に取得するポリシファイルを用いて情報端末の機能部の利用制限を行う例を示す図である。近年では、スマートフォンやタブレットＰＣ（パーソナルコンピュータ）のような可搬の情報端末が普及しており、企業等においてもこのような情報端末を用いて社員が業務を行っている場合がある。ここでは、同一の情報端末を複数の社員が利用する利用形態や、企業等の社員が個人保有の携帯情報端末等を用いて業務を行うＢＹＯＤ（Bring your own device）とよばれるような情報端末の利用形態が望まれてきている。このような場合には、ＭＤＭのような静的なポリシファイルによる利用制限のみならず、ユーザ固有のポリシファイルや、情報端末を利用する時刻や位置に基づいて利用制限を行うことが望ましい。

そこで、管理者２ａは、ポリシ管理サーバ２ｂを操作し、ユーザごと、利用状況ごとに機能部の利用可否を定めた動的制御ポリシファイルを作成して入力する。情報端末２ｃは、自端末を利用するユーザが変更されると、ポリシ管理サーバ２ｂに、動的制御ポリシファイル２ｅの取得要求を送信する。ポリシ管理サーバ２ｂは、ユーザに応じた動的制御ポリシファイル２ｅを、情報端末２ｃに送信する。情報端末２ｃが、動的制御ポリシファイル２ｅを受信すると、情報端末２ｃに予めインストールされている動的制御機能部２ｄが、動的制御ポリシファイル２ｅに基づいて各機能部の利用制限する処理を行う。例えば、アプリＡである機能部について、社内においては利用を許可し、社外においては利用を禁止する。このようにすれば、ユーザごと、社内や社外等の利用状況ごとに、利用制限を制御することができる。

このように、ＭＤＭによる静的なＭＤＭポリシファイル１ｃは、ＭＤＭサーバ１ｂから強制的に情報端末１ｄに送信される。このため、例えば企業において全社的に同一の企業ポリシを適用するなど、多数の情報端末１ｄに対して一度にＭＤＭポリシファイル１ｃを送信する場合や、適用するＭＤＭポリシファイル１の制御内容を変更する機会が少ない場合に適している。一方、動的制御ポリシファイル２ｅは、情報端末２ｃが適宜、ポリシ管理サーバ２ｂにアクセスして取得する。このため、部署や担当のような小規模な単位に適用する場合や、制御内容を変更する機会が多い場合に適している。このように、全社的に情報端末を管理・統制する場合にはＭＤＭポリシファイル１ｃが適するが、ユーザごとの小さな単位では動的制御ポリシファイル２ｅが適するため、双方のポリシファイルによる利用制限を行うことが考えられる。

ただし、双方のポリシファイルによる利用制限を行う場合、ＭＤＭポリシファイル１ｃと動的制御ポリシファイル２ｅとにおいて、同一の機能部について異なる利用可否が定められている場合に、情報端末がどのような利用制限を行うべきか問題となる。図３は、ポリシファイルごとに異なる利用可否が定められている場合の例を示す図である。例えば、ある企業においては全社員に対して可搬の情報端末の利用を許可していて、ＭＤＭを導入しているものとする。この企業における特定部署では、社外利用やＢＹＯＤ利用の運用を認める代わりに、動的制御技術を導入しているものとする。このとき、ＭＤＭサーバ１ｂから送信されるＭＤＭポリシファイル１ｃにおいては、メールアプリである機能部の利用を禁止し、日報アプリの利用を許可し、機能Ｃの利用を許可するように利用可否が定められているとする。ここでは、例えば機密情報の漏えい対策などの観点から、メールの利用を禁止している。

一方、ポリシ管理サーバ２ｂから送信される動的制御ポリシファイル２ｅにおいては、メールアプリである機能部の利用を許可し、日報アプリの利用を許可し、機能Ｃの利用を禁止するように利用可否が定められているとする。ここでは、例えば社外での営業活動が多く、移動中等にメールの対応を行いたいため、メールの利用を許可している。このように、ＭＤＭポリシファイル１ｃにおいてはメールアプリの利用が許可されているが、動的制御ポリシファイル２ｅにおいてはメールアプリの利用が許可されておらず、ＭＤＭポリシファイル１ｃにより定められる利用可否と、動的制御ポリシファイル２ｅにより定められる利用可否とが一致していない。

そこで、本実施形態では、このように、複数のポリシファイルを適用する情報端末において、その複数のポリシファイル間で特定の機能部の利用可否が一致していない場合に、利用可否を判定する。図４は、本実施形態により機能部の利用可否を判定する際の概要を示す図である。例えば、情報端末を利用するユーザの役職、特定の機能部を利用する時刻、特定の機能部を利用する時点における情報端末の位置等の利用状況に基づいて、スコアを算出する。そして、算出したスコアが閾値を超える場合、その機能部の利用を許可し、算出したスコアが閾値未満である場合、その機能部の利用を禁止する。以下、このような実施形態について詳細に説明する。

図５は、本実施形態による制御システム１の構成を示すブロック図である。制御システム１は、情報端末１０００と、第１のポリシ管理サーバ２０００と、第２のポリシ管理サーバ３０００と、ポリシ調整サーバ４０００とを備えている。情報端末１０００は、インターネット等のネットワークを介して第１のポリシ管理サーバ２０００と、第２のポリシ管理サーバ３０００と、ポリシ調整サーバ４０００とに接続されている。

情報端末１０００は、制御システム１による制御対象であり、例えば、スマートフォン、タブレットＰＣ等の、複数の機能部を備えた可搬のコンピュータ装置である。情報端末１０００は、入力部１１００と、出力部１２００と、記憶部１３００と、第１のポリシファイル取得部１４００と、第２のポリシファイル取得部１５００と、制御部１６００とを備えている。

入力部１１００は、例えばキーボードやボタン等の入力デバイスを備えており、ユーザからの操作を受け付ける。
出力部１２００は、文字や画像等を表示する表示デバイスである。入力部１１００と出力部１２００とは、一体として構成されるタッチパネルでもよい。

記憶部１３００には、情報端末１０００が動作する際に参照する各種情報が記憶されており、第１のポリシファイル記憶部１３１０と、第２のポリシファイル記憶部１３２０と、ポリシ調整情報記憶部１３３０とを備えている。
第１のポリシファイル記憶部１３１０には、第１のポリシ管理サーバ２０００から取得された第１のポリシファイルが記憶される。第１のポリシファイルは、例えば、ＭＤＭによるポリシファイルである。図６は、第１のポリシファイル記憶部１３１０に記憶される第１のポリシファイルのデータ例を示す図である。第１のポリシファイルには、情報端末１０００が備える複数の機能部ごとに、その機能部を利用させるか否かを示す第１の利用可否が定められる。ここでは、カメラ機能部の利用を禁止し、メール機能部の利用を許可し、Ｗｅｂ機能部の利用を許可する利用可否の例が示されている。

第２のポリシファイル記憶部１３２０には、第２のポリシ管理サーバ３０００から取得された第２のポリシファイルが記憶される。第２のポリシファイルは、例えば、動的制御技術によるポリシファイルである。図７は、第２のポリシファイル記憶部１３２０に記憶される第２のポリシファイルのデータ例を示す図である。第２のポリシファイルには、情報端末１０００が備える複数の機能部ごとに、その機能部を利用させるか否かを示す第２の利用可否が定められる。この例では、時間内と時間外、社内と社外との状況に応じた利用可否が定められている。時間内とは、例えば予め定められた勤務時間（例えば、９：００から１７：００）の時間であり、時間外とは、勤務時間外（例えば、１７：００から９：００）の時間である。社内とは、例えば予め定められた企業の建物内であり、社外とは、その建物の外である。ここでは、例えば、カメラ機能部については、時間内において社内では利用を禁止し、社外では利用を許可し、時間外において社内と社外との双方で利用を許可している利用可否の例が示されている。

ポリシ調整情報記憶部１３３０には、機能部の利用可否を判定するためのポリシ調整情報が記憶される。ポリシ調整情報は、ポリシ調整サーバ４０００から取得されて記憶される。ポリシ調整情報には、属性値情報と、重み情報と、組み合わせ情報と、閾値情報とが含まれており、ポリシ調整情報記憶部１３３０は、属性値情報記憶部１３３１と、重み情報記憶部１３３２と、組み合わせ情報記憶部１３３３と、閾値情報記憶部１３３４とを備えている。

属性値情報記憶部１３３１には、情報端末１０００の利用状況を示す複数の属性ごとに、その利用状況に応じた属性値が対応付けられた属性値情報が記憶される。属性値とは、機能部を利用させるか否かを判定するためのスコアを算出するための基準となる値である。情報端末１０００の利用状況とは、利用制限の制御対象である機能部に対する利用要求が入力された際の状況をいい、例えば、情報端末１０００を利用するユーザの所属、ユーザの役職、情報端末１０００が機能部を利用する現在時刻、現在位置、利用要求の対象である機能部等をいう。このような利用状況を表す個別の要素を属性という。属性値情報記憶部１３３１に記憶される属性値情報には、ユーザの所属についての所属属性値情報と、ユーザの役職についての役職属性値情報と、現在時刻についての時刻属性値情報と、情報端末１０００の現在位置についての位置属性値情報と、利用要求の対象である機能部についての機能属性値情報とが含まれる。

図８は、属性値情報記憶部１３３１に記憶される所属属性値情報のデータ例を示す図である。この例では、ユーザの所属が「営業」であれば属性値が「５」であり、所属が「開発」であれば属性値が「３」であり、所属が「人事業」であれば属性値が「１」であることが示されている。属性値は、値が大きいほど利用が許可されやすく、値が小さいほど利用が禁止されやすくセキュリティが厳しい。例えば営業は社外利用が多いことや、開発は機密情報を扱いやすいこと等の観点から、ユーザの所属に応じた属性値を定めている。ユーザが複数の所属を持つ場合には、例えば最も低い属性値を適用することができる。

図９は、属性値情報記憶部１３３１に記憶される役職属性値情報のデータ例を示す図である。この例では、ユーザの役職が「部長」であれば属性値が「５」であり、役職が「課長」であれば属性値が「３」であり、役職が「社員」であれば属性値が「１」であることが示されている。ここでは、役職の位が高いほど、大きい値が定められている。ユーザが複数の所属を持つ場合には、例えば最も高い属性値を適用することができる。

図１０は、属性値情報記憶部１３３１に記憶される時刻属性値情報のデータ例を示す図である。この例では、時刻が「時間内」であれば属性値が「３」であり、時刻が「時間外」であれば属性値が「１」であることが示されている。ここでは、時間内である方が、時間外であるよりも相対的に大きい値が定められている。
図１１は、属性値情報記憶部１３３１に記憶される位置属性値情報のデータ例を示す図である。この例では、位置が「社内」であれば属性値が「３」であり、位置が「社外」であれば属性値が「１」であることが示されている。ここでは、社内である方が、社外であるよりも相対的に大きい値が定められている。このように、時刻や位置に応じた属性値を定めることで、利用状況に応じた最適な利用制限を行うことができる。

図１２は、属性値情報記憶部１３３１に記憶される機能属性値情報のデータ例を示す図である。この例では、機能部が「カメラ」であれば属性値が「１」であり、機能部が「メール」であれば属性値が「３」であり、機能部が「Ｗｅｂ」であれば属性値が「５」であることが示されている。ここでは、機密情報を撮影されかねないカメラなど、各機能部を利用した場合のリスクの大きさに応じた値が定められている。複数の機能部を利用する場合には、例えば最も低い属性値を適用することができる。

重み情報記憶部１３３２には、属性値に基づいて算出されるスコアを補正するための重みを示す重み情報が記憶される。例えば、同じユーザが同じ時刻、同じ位置で特定の機能部を利用する場合にも、重みによる変化を加えることで、より利用状況に応じた利用制限が可能となる。例えば、同じユーザが同じ時刻、同じ位置でカメラを利用する場合でも、セキュリティ強化月間においてはスコアを下げ、カメラ機能部を使わせないようにすること等が考えられる。本実施形態では、時刻と位置による重みを適用し、重みが下がるほどスコアが下がり、重みが上がるほどスコアが上がるように制御する例を説明する。具体的には、予め定められた時点と現在時点との差である時間と、予め定められた位置と情報端末１０００の現在位置との差である距離とに応じて重みを定める。

このような、時間や距離のような利用状況に応じた重みの変化について、図面を参照して説明する。図１３は、一定範囲内で重みを一定に保つ一定型の例を示す図である。ｘは、時間または距離を示す。例えば時間であれば、セキュリティ強化月間等の一定の範囲内は重みを下げることができる。あるいは、情報端末の利用許可期間内だけは重みを上げ、他の期間では重みを下げることができる。一方、距離であれば、比較的安全であると考えられる特定の地域では重みを上げ、比較的危険であると考えられる特定の地域では重みを下げることができる。

図１４は、重みを単調に減少させる単調減少型の例を示す図である。ｘは、時間または距離を示す。例えば時間であれば、情報端末１０００が紛失、盗難された場合で、その情報端末１０００がネットワークに接続されていないためにリモートワイプ等の対策ができない場合でも、時間経過に応じて重みを下げることで、情報漏えい等の対策が可能となる。あるいは、例えば、情報端末１０００にポリシを送信した時点と現在時点との差に応じて重みを算出することができる。例えば、情報端末１０００にポリシが送信された時点からの経過時間に応じて、経過時間が長いほどポリシが古くなっている可能性が高まるため、重みによりスコアを下げるように制御することができる。一方、距離であれば、情報端末１０００が紛失、盗難された場合に、社外で機密情報を含んだアプリケーションのような機能部が悪用されることへの対策として、距離が離れるほど重みを下げるように制御することができる。すなわち、例えば、企業の自社ビルや特定の範囲といった、予め定められた位置から情報端末１０００の現在位置までの距離に応じて重みを算出することができる。例えば、情報端末１０００の現在位置が予め定められた位置から離れれば離れるほど重みによりスコアを下げ、セキュリティを厳しくするように制御することができる。

図１５は、重みを曲線的に減少させる曲線型の例を示す図である。ｘは、時間または距離を示す。例えば時間であれば、社内のポリシが半期ごと（あるいは、年度ごと）に変更される等、一定期間ごとにポリシが更新される場合に、ポリシが更新されずに情報端末１０００が利用され続けることを防ぐため、指定された期間を超えると急激に重みを下げて利用可能な機能部を減らすように制御することができる。一方、距離であれば、海外等における紛失、盗難の可能性や、リスクの大きい場所では情報端末１０００をほとんど利用できないようにするため、距離が大きく離れると重みを大きく下げて、利用可能な機能部を減らすように制御することができる。

このように、本実施形態の重み情報には、時間に応じた重みを定める時間重み情報と、距離に応じた重みを定める距離重み情報とが含まれる。図１６は、重み情報記憶部１３３２に記憶される時間重み情報のデータ例を示す図である。時間重み情報には、重みのタイプと、適用期間と、重み値とが対応付けられる。重みのタイプは、一定型、単調減少型、曲線型のいずれかを定める情報である。適用期間は、対応する重みを適用する期間を示す。重み値は、対応する期間に、対応するタイプの重みによりスコアを補正する基準値を示す。一定型の場合、重みｐは、０から１の範囲（０≦ｐ≦１）で定められる。単調減少型の場合、重みｐは、以下式（１）により算出される。

ここで、ｍは適用期間の最終日と適用期間の開始日との差（ｍ＝（適用期間の最終日）−（適用期間の開始日））であり、ｘは現在日と適用期間の開始日との差（ｘ＝（現在日）−（適用期間の開始日））である。曲線型の場合、重みｐは、以下式（２）により算出される。

図１７は、重み情報記憶部１３３２に記憶される距離重み情報のデータ例を示す図である。距離重み情報には、重みのタイプと、適用距離と、適用期間と、重み値とが対応付けられる。重みのタイプは、一定型、単調減少型、曲線型のいずれかを定める情報である。適用距離は、重みによる制御を行う範囲を示す。適用期間は、対応する重みを適用する期間を示す。重み値は、対応する期間に、対応するタイプの重みによりスコアを補正する基準値を示す。一定型の場合、重みｐは、０から１の範囲（０≦ｐ≦１）で定められる。単調減少型の場合、重みｐは、上記式（１）により算出される。曲線型の場合、重みｐは、上記式（２）により算出される。ただし、ｍは適用距離であり、ｘは現在位置と予め定められた基準位置との差（ｘ＝（現在位置）−（基準位置））である。

組み合わせ情報記憶部１３３３には、属性値に基づいて算出されるスコアを補正するための属性の組み合わせを示す組み合わせ情報が記憶される。例えば、上述したように、社内と社外とを比較した場合、一般的に社内の方が社外よりもリスクが低いと考えられるため、位置属性値情報において、社内の方が社外よりも大きい属性値が定められる。ただし、例えば社内でカメラを利用する場合と社外でカメラを利用する場合とを比較すると、社内でカメラを利用すると機密情報が撮影される危険性が高いことから、社外よりも社内の方がリスクは高い。このため、位置が「社内」であり、機能部が「カメラ」である場合にはスコアを下げるように補正することが望ましい。そこで、組み合わせ情報として、このような組み合わせに、その組み合わせの場合にスコアを補正するための減少率を対応付けて記憶する。

図１８は、組み合わせ情報記憶部１３３３に記憶される組み合わせ情報のデータ例を示す図である。組み合わせ情報には、所属、役職、時刻、位置、機能の属性の組み合わせごとに、スコアに乗じる減少率が対応付けられる。この例において、「−」の個所はＮＵＬＬ（設定なし）であることを示している。例えば１行目には、位置が「社内」であり、機能部が「カメラ」である場合の減少率が「０．９」であることが示されている。２行目には、時刻が「時間内」であり、位置が「社内」であり、機能部が「動画視聴アプリ」である場合の減少率が「０．９」であることが示されている。
閾値情報記憶部１３３４には、閾値を示す閾値情報が記憶される。図１９は、閾値情報記憶部１３３４に記憶される閾値情報のデータ例を示す図である。ここでは、閾値として１３が定められている。

図５に戻り、第１のポリシファイル取得部１４００は、第１のポリシ管理サーバ２０００から送信される第１のポリシファイルを受信し、受信した第１のポリシファイルを第１のポリシファイル記憶部１３１０に記憶させる。本実施形態では、第１のポリシファイル取得部１４００が取得する第１のポリシファイルはＭＤＭポリシファイルであるとして説明する。このため、第１のポリシファイル取得部１４００は、管理者の操作に応じて第１のポリシ管理サーバ２０００から送信される第１のポリシファイルを受信するのみであり、第１のポリシ管理サーバ２０００に対して第１のポリシファイルの取得要求を送信することはない。

第２のポリシファイル取得部１５００は、第２のポリシ管理サーバ３０００に対して第２のポリシファイルの取得要求を送信し、送信した取得要求に応じて、第２のポリシ管理サーバ３０００から送信される第２のポリシファイルを受信する。第２のポリシファイル取得部１５００は、受信した第２のポリシファイルを第２のポリシファイル記憶部１３２０に記憶させる。本実施形態では、第２のポリシファイル取得部１５００は、情報端末１０００の利用状況の変化に応じて、第２のポリシ管理サーバ３０００に対して第２のポリシファイルの取得要求を送信する。例えば、第２のポリシファイル取得部１５００は、ユーザ認証が行われて利用ユーザが変更した際に、第２のポリシ管理サーバ３０００に対して第２のポリシファイルの取得要求を送信する。あるいは、例えば時刻が変更した場合や、位置が変更した場合、利用する機能部等の属性が変更した場合に、第２のポリシ管理サーバ３０００に対して第２のポリシファイルの取得要求を送信することもできる。

制御部１６００は、情報端末１０００が備える各部を制御する。制御部１６００は、現在位置取得部１６１０と、計時部１６２０と、ユーザ認証部１６３０と、機能部１６４０−１、機能部１６４０−２、機能部１６４０−３、・・・と、ポリシ調整部１６５０との機能部を備えている。

現在位置取得部１６１０は、情報端末１０００の現在位置を計測して出力する機能部である。例えば、現在位置取得部１６１０は、ＧＰＳ（Global Positioning System）により現在位置を測位する。あるいは、現在位置取得部１６１０は、例えば、通信可能なアクセスポイントのＳＳＩＤ（Service Set Identifier）に基づいて、現在位置を算出するものであってもよい。
計時部１６２０は、日時を計測して出力する機能部である。例えば、計時部１６２０は、スコア算出部１６５４からの要求に応じて、現在日時（例えば、ＹＹＹＹＭＭＤＤ ｈｈ：ｍｍ：ｓｓ形式のデータ）、現在日（例えば、ＹＹＹＹＭＭＤＤ形式のデータ）、現在時刻（例えば、ｈｈ：ｍｍ：ｓｓ形式のデータ）等の情報を出力する。あるいは、計時部１６２０は常に現在日時（ＹＹＹＹＭＭＤＤ ｈｈ：ｍｍ：ｓｓ）を出力し、スコア算出部１６５４が年、月、日、時、分、秒のうち必要なデータのみを抜き出すようにしてもよい。

ユーザ認証部１６３０は、ユーザ認証を行う機能部である。例えば、ユーザ認証部１６３０は、情報端末１０００が起動される際やユーザが変更される際に、ユーザＩＤとパスワードとの入力を要求する。ユーザから、入力部１１００にユーザＩＤとパスワードとが入力されると、ユーザ認証部１６３０は、ポリシ調整サーバ４０００にユーザＩＤとパスワードとを送信する。ポリシ調整サーバ４０００は、自身の記憶領域に記憶されているユーザ情報と、情報端末１０００から送信されたユーザＩＤとパスワードとを比較する。ポリシ調整サーバ４０００は、情報端末１０００から送信されたユーザＩＤとパスワードとの組み合わせに一致するユーザ情報が存在する場合、認証成功とし、ユーザＩＤとパスワードとの組み合わせに一致するユーザ情報が存在しない場合、認証失敗として、認証結果を情報端末１０００に送信する。認証成功の場合、認証結果には、ユーザの所属と役職との情報が含まれる。ユーザ認証部１６３０は、認証が成功した場合は、情報端末１０００を起動させ、認証が失敗した場合は、情報端末１０００を起動させない。認証成功の場合、ユーザ認証部１６３０は、受信した認証結果を自身の記憶領域に記憶する。

機能部１６４０−１、機能部１６４０−２、機能部１６４０−３、・・・は、情報端末１０００が備えるその他の機能部である。例えば、機能部１６４０−１はカメラ機能部であり、機能部１６４０−２はメール機能部であり、機能部１６４０−３はＷｅｂ機能部（インターネットブラウザ）である。ここでは３つの機能部１６４０を示しているが、情報端末１０００は、任意の数の機能部１６４０を備えていてよい。例えば、日報アプリ機能部、無線ＬＡＮ（Local Area Network）接続機能部等が考えられる。機能部は、ソフトウェアアプリケーションでもよいし、デバイスでもよい。

ポリシ調整部１６５０は、第１のポリシファイルと第２のポリシファイルとに定められる利用可否が異なる場合に利用可否を判定する機能部であり、ポリシ調整情報取得部１６５１と、機能利用検知部１６５２と、整合性判定部１６５３と、スコア算出部１６５４と、利用可否判定部１６５５と、機能利用制御部１６５６とを備えている。

ポリシ調整情報取得部１６５１は、ポリシ調整サーバ４０００に対してポリシ調整情報の取得要求を送信し、送信した取得要求に応じて、ポリシ調整サーバ４０００から送信されるポリシ調整情報を受信する。ポリシ調整情報取得部１６５１は、受信したポリシ調整情報をポリシ調整情報記憶部１３３０に記憶させる。ポリシ調整情報には、上述したように、属性値情報と、重み情報と、組み合わせ情報と、閾値情報とが含まれる。

機能利用検知部１６５２は、情報端末１０００が備える各機能部に対する利用要求を検知する。例えば、入力部１１００に対して、カメラである機能部１６４０−１の利用要求が入力されたことを検知する。あるいは、例えばＷｅｂアプリである機能部１６４０−３から、メールアプリである機能部１６４０−２に対する利用要求があったことを検知する。

整合性判定部１６５３は、利用要求の対象である機能部に対応する第１の利用可否と第２の利用可否とが一致するか否かを判定する。具体的には、整合性判定部１６５３は、機能利用検知部１６５２が利用要求を検知すると、第１のポリシファイル記憶部１３１０に記憶されている第１のポリシファイルと、第２のポリシファイル記憶部１３２０に記憶されている第２のポリシファイルとを読み出す。そして、機能利用検知部１６５２によって検知された利用要求の対象である機能部に対応付けられて第１のポリシファイルに定められる第１の利用可否と、第２のポリシファイルに定められる第２の利用可否とを比較し、第１の利用可否と第２の利用可否とが一致するか否かを判定する。

スコア算出部１６５４は、整合性判定部１６５３によって、利用要求の対象である機能部に対応する第１の利用可否と第２の利用可否とが一致しないと判定された場合、情報端末１０００の利用状況に応じた属性値に基づいて、利用要求の対象である機能部を利用させるか否かを判定するためのスコアを算出する。具体的には、スコア算出部１６５４は、整合性判定部１６５３によって、利用要求の対象である機能部に対応する第１の利用可否と第２の利用可否とが一致しないと判定されると、ポリシ調整情報記憶部１３３０に記憶されているポリシ調整情報を読み出す。読み出したポリシ調整情報には、属性値情報と、重み情報と、組み合わせ情報と、閾値情報とが含まれる。

また、スコア算出部１６５４は、ユーザ認証部１６３０の記憶領域に記憶されている認証結果から、ユーザの所属と役職とを読み出す。また、スコア算出部１６５４は、計時部１６２０から、現在時刻を取得する。また、スコア算出部１６５４は、現在位置取得部１６１０から、現在位置を取得する。スコア算出部１６５４は、ユーザの所属と役職と、現在時刻と、現在位置と、利用要求の対象である機能部とのそれぞれに対応付けられて属性値情報記憶部１３３１に記憶されている属性値を読み出し、読み出した属性値の合計値をスコアとして算出する。例えば、所属が「営業」であり、役職が「部長」であるユーザが、時間外に、社内で、カメラ機能部を利用しようとする場合、上述のデータ例によれば、所属の属性値が「５」であり、役職の属性値が「５」であり、時刻の属性値が「１」であり、位置の属性値が「３」であり、機能の属性値が「１」であるため、算出するスコアは（５＋５＋１＋３＋１＝）１５である。

また、スコア算出部１６５４は、利用状況に応じた重みにより、スコアを補正する。ここでは、スコア算出部１６５４は、上述したような時間と距離による重み値を算出し、算出した重み値をスコアに乗じることにより補正する。具体的には、スコア算出部１６５４は、重み情報記憶部１３３２に記憶されている時間重み情報と距離重み情報とを読み出す。スコア算出部１６５４は、計時部１６２０から現在日を取得する。現在日が１１／１であるとすると、上述のデータ例によれば、時間重み情報のタイプは一定型であり、適用期間は１１／１から１１／３０であり、重み値は０．９であるから、時間に基づく重み値ｐは０．９である。

また、スコア算出部１６５４は、現在位置取得部１６１０から現在位置を取得する。ここで、スコア算出部１６５４は、重みを算出するための基準位置を自身の記憶領域に予め記憶しており、基準位置と、現在位置との距離を算出する。距離の算出には、例えばユークリッド距離を適用することができる。ここで、算出した距離が２００だとすると、上述のデータ例によれば、距離重み情報のタイプは単調減少型であり、適用距離は１０００であり、適用期間は「１１／１〜１１／３０」であるから、上記式（１）により、距離に基づく重み値ｐは（１−（２００／１０００）＝）０．８である。このように、時間に基づく重み値と距離に基づく重み値とが異なる場合、スコア算出部１６５４は、例えば、より小さい方の重み値を適用することができる。ここでは、時間に基づく重み値（０．９）よりも距離に基づく重み値（０．８）の方が小さいため、重み値を０．８とする。スコア算出部１６５４は、算出した重み値０．８をスコアに乗じることにより、スコアを補正する。この例では、スコア算出部１６５４は、重みによる補正後のスコアとして、（１５×０．８＝）１２を算出する。すなわち、スコアＳは、以下式（３）により算出される。

ここで、ｐは重み値であり、ｉは１から５であり、ａ_１は所属の属性値であり、ａ_２は役職の属性値であり、ａ_３は時刻の属性値であり、ａ_４は位置の属性値であり、ａ_５は機能の属性値である。

また、スコア算出部１６５４は、情報端末１０００の利用状況に応じた複数の属性の組み合わせに基づいて、スコアを補正する。具体的には、スコア算出部１６５４は、組み合わせ情報記憶部１３３３に記憶されている組み合わせ情報を読み出す。スコア算出部１６５４は、読み出した組み合わせ情報に、利用状況を示す属性の組み合わせが含まれるか否かを判定する。スコア算出部１６５４は、読み出した組み合わせ情報に、利用状況を示す属性の組み合わせが含まれないと判定すれば、組み合わせによるスコアの補正を行わない。一方、読み出した組み合わせ情報に、利用状況を示す属性の組み合わせが含まれると判定すれば、その組み合わせに対応する減少率を、組み合わせ情報記憶部１３３３から読み出し、読み出した減少率をスコアに乗じることにより補正する。上述のデータ例では、社内とカメラとの組み合わせには減少率「０．９」が対応付けられているため、スコア算出部１６５４は、組み合わせによる補正後のスコアとして、（１２×０．９＝）１０．８を算出する。

利用可否判定部１６５５は、整合性判定部１６５３によって、第１の利用可否と第２の利用可否とが一致しないと判定された場合、情報端末１０００の利用状況に基づいて、利用要求の対象である機能部を利用させるか否かを判定する。具体的には、利用可否判定部１６５５は、閾値情報記憶部１３３４に記憶されている閾値情報を読み出し、スコア算出部１６５４によって算出されたスコアと、閾値情報が示す閾値とに基づいて、機能部を利用させるか否かを判定する。例えば、利用可否判定部１６５５は、スコア算出部１６５４によって算出されたスコアと、閾値情報が示す閾値とを比較し、スコアが閾値以上であれば、機能部を利用させると判定し、スコアが閾値未満であれば、機能部を利用させないと判定する。

機能利用制御部１６５６は、利用要求の対象である機能部の利用制限を行う。例えば、機能利用制御部１６５６は、整合性判定部１６５３によって第１の利用可否と第２の利用可否とが一致すると判定された場合、第１のポリシファイルおよび第２のポリシファイルに基づいて、機能部の利用制限を行う。一方、整合性判定部１６５３によって第１の利用可否と第２の利用可否とが一致しないと判定された場合、利用可否判定部１６５５による判定結果に基づいて、利用要求の対象である機能部の利用制限を行う。具体的には、機能利用制御部１６５６は、利用可否判定部１６５５が、機能部を利用させないと判定した場合、利用要求の対象である機能部を動作させない。例えば、機能利用制御部１６５６は、利用要求を破棄し、利用要求の送信元にエラーを返す。一方、利用可否判定部１６５５が、機能部を利用させると判定した場合、機能利用制御部１６５６は、利用要求に応じて機能部を動作させる。例えば、機能利用制御部１６５６は、利用要求をそのまま対象の機能部に送信する。

第１のポリシ管理サーバ２０００は、第１のポリシファイルを管理するコンピュータ装置である。例えば、第１のポリシ管理サーバ２０００は、管理者からの操作により第１のポリシファイルが入力されると、入力された第１のポリシファイルを自身の記憶領域に記憶する。また、第１のポリシ管理サーバ２０００は、管理者からの操作に応じて、自身の記憶領域に記憶されている第１のポリシファイルを、情報端末１０００に送信する。

第２のポリシ管理サーバ３０００は、第２のポリシファイルを管理するコンピュータ装置である。例えば、第２のポリシ管理サーバ３０００は、管理者からの操作により第２のポリシファイルが入力されると、入力された第２のポリシファイルを自身の記憶領域に記憶する。また、第２のポリシ管理サーバ３０００は、情報端末１０００から送信される第２のポリシファイルの取得要求に応じて、自身の記憶領域に記憶されている第２のポリシファイルを、情報端末１０００に送信する。

ポリシ調整サーバ４０００は、ポリシ調整情報を管理するコンピュータ装置である。例えば、ポリシ調整サーバ４０００は、管理者からの操作によりポリシ調整情報が入力されると、入力されたポリシ調整情報を自身の記憶領域に記憶する。上述したように、ポリシ調整情報には、属性値情報と、重み情報と、組み合わせ情報と、閾値情報とが含まれる。また、ポリシ調整サーバ４０００は、情報端末１０００から送信されるポリシ調整情報の取得要求に応じて、自身の記憶領域に記憶されているポリシ調整情報を、情報端末１０００に送信する。

ここで、ポリシ調整サーバ４０００が管理者からのポリシ調整情報の入力を受け付ける際、ポリシ調整情報に含まれる閾値については、閾値の上限と下限とを定めておき、入力される閾値が上限と下限との間にない場合には、警告を出力することができる。図２０は、閾値の上限と下限との例の概要を示す図である。閾値の上限とは、例えば、利用状況に関わらず全ての機能部が利用できなくなってしまう閾値である。例えば、上述のデータ例において、算出するスコアが最も高くなるのは、所属が「営業」（属性値は５）であり、役職が「部長」（属性値は５）であり、時刻が「時間内」（属性値は３）であり、位置が「社内」（属性値は３）であり、機能が「Ｗｅｂ」（属性値は５）の場合であり、このとき算出されるスコアは（５＋５＋３＋３＋５＝）２１である。よって、閾値が２１を超えると、利用状況に関わらず全ての機能部が利用できなくなる。そこで、これを防ぐため、閾値の上限を２１とする。

閾値の下限とは、例えば、役職の属性値が高いユーザにとって、他の利用状況に関わらず全ての機能部が利用できてしまう閾値である。例えば、上述のデータ例において、部長の役職は属性値が「５」である。よって、閾値が５未満であれば、部長の役職のユーザは、他の利用状況に関わらず全ての機能部が利用できてしまう。そこで、これを防ぐため、閾値の下限を５とする。ポリシ調整サーバ４０００は、属性値情報に基づいて、このような閾値の上限と下限とを算出し、自身の記憶領域に記憶しておく。ポリシ調整サーバ４０００は、管理者から閾値が入力されると、予め算出した閾値の上限および下限と比較し、入力された閾値が上限と下限との間にあるか否かを判定する。ポリシ調整サーバ４０００は、入力された閾値が上限と下限との間にあると判定すると、入力された閾値を自身の記憶領域に記憶する。図２１は、ポリシ調整サーバ４０００に記憶される閾値情報のデータ例を示す図である。ポリシ調整サーバ４０００は、入力された閾値が上限と下限との間にないと判定すると、その旨の警告を出力し、管理者に再度の閾値の入力を促す。ただし、閾値は、例えば、上限と下限との平均値を算出し、算出した平均値を、閾値の初期値として記憶しておくようにしてもよい。ただしこの場合でも、管理者からの入力に応じて閾値を更新するようにしてもよい。

また、ポリシ調整サーバ４０００は、自身の記憶領域に、ユーザに関するユーザ情報を記憶しており、情報端末１０００のユーザ認証を行う。図２２は、ポリシ調整サーバ４０００に記憶されるユーザ情報のデータ例を示す図である。ユーザ情報には、ユーザＩＤと、ユーザ名と、所属と、役職と、パスワードとが対応付けられる。ユーザＩＤは、ユーザを識別する識別情報である。ユーザ名は、ユーザＩＤにより識別されるユーザの名称である。所属は、ユーザＩＤにより識別されるユーザの所属である。役職は、ユーザＩＤにより識別されるユーザの役職である。パスワードは、ユーザ認証のために定められる情報である。上述したように、ポリシ調整サーバ４０００は、ユーザ認証の際に情報端末１０００から送信される、ユーザＩＤとパスワードとの情報を受信する。ポリシ調整サーバ４０００は、情報端末１０００から送信される情報に基づいてユーザ認証を行い、認証結果を情報端末１０００に送信する。

次に、図面を参照して、本実施形態による制御システム１の動作例を説明する。図２３は、本実施形態による情報端末１０００の動作例を示すフローチャートである。
管理者からの操作に応じて、第１のポリシ管理サーバ２０００から情報端末１０００に第１のポリシファイルが送信されると、第１のポリシファイル取得部１４００は、送信された第１のポリシファイルを受信し、受信した第１のポリシファイルを第１のポリシファイル記憶部１３１０に記憶させる（ステップＳ１）。情報端末１０００に、ユーザからユーザＩＤとパスワードが入力され、ユーザ認証部１６３０によってユーザ認証が行われると、第２のポリシファイル取得部１５００は、第２のポリシ管理サーバ３０００に第２のポリシファイルの取得要求を送信し、送信した取得要求に応じて第２のポリシ管理サーバ３０００から送信される第２のポリシファイルを受信する。第２のポリシファイル取得部１５００は、受信した第２のポリシファイルを第２のポリシファイル記憶部１３２０に記憶させる（ステップＳ２）。

ポリシ調整情報取得部１６５１は、ポリシ調整サーバ４０００にポリシ調整情報の取得要求を送信し、送信した取得要求に応じてポリシ調整サーバ４０００から送信されるポリシ調整情報を受信する。ポリシ調整情報取得部１６５１は、受信したポリシ調整情報をポリシ調整情報記憶部１３３０に記憶させる（ステップＳ３）。機能利用検知部１６５２は、機能部への利用要求を監視する（ステップＳ４）。機能利用検知部１６５２が、機能部への利用要求を検知すると（ステップＳ５）、整合性判定部１６５３は、利用要求の対象である機能部に対応する第１の利用可否を第１のポリシファイル記憶部１３１０から読み出す。また、整合性判定部１６５３は、利用要求の対象である機能部に対応する第２の利用可否を第２のポリシファイル記憶部１３２０から読み出す。そして、読み出した第１の利用可否と第２の利用可否とが一致するか否かを判定する（ステップＳ６）。

整合性判定部１６５３が、第１の利用可否と第２の利用可否とが一致すると判定すると（ステップＳ６：ＹＥＳ）、機能利用制御部１６５６は、第１のポリシファイルおよび第２のポリシファイルに基づいて、機能部の利用要求の制限処理を行う（ステップＳ７）。整合性判定部１６５３が、第１の利用可否と第２の利用可否とが一致しないと判定すると（ステップＳ６：ＮＯ）、スコア算出部１６５４は、ポリシ調整情報記憶部１３３０に記憶されている属性値情報を読み出し、利用状況に応じたスコアを算出する（ステップＳ８）。また、スコア算出部１６５４は、ポリシ調整情報記憶部１３３０に記憶されている重み情報を読み出して重み値を算出し、重み値を乗じて補正したスコアを算出する（ステップＳ９）。また、スコア算出部１６５４は、ポリシ調整情報記憶部１３３０に記憶されている組み合わせ情報を読み出し、読み出した組み合わせ情報に基づいて補正したスコアを算出する（ステップＳ１０）。

利用可否判定部１６５５は、閾値情報記憶部１３３４に記憶されている閾値情報を読み出し、読み出した閾値情報が示す閾値と、スコア算出部１６５４が算出したスコアとを比較する。利用可否判定部１６５５は、スコアが閾値を超えていれば、利用対象の機能部の利用を許可すると判定する。スコアが閾値を超えていなければ、利用対象の機能部の利用を禁止すると判定する（ステップＳ１１）。機能利用制御部１６５６は、判定結果に基づいて、機能部の利用要求の制限処理を行い（ステップＳ１２）、処理を終了する。

以上説明したように、本実施形態によれば、情報端末１０００を利用するユーザの所属、役職、現在時刻、現在位置、利用要求の対象である機能部等の利用状況に応じて、より細やかな利用制限を行うことができる。また、ＭＤＭのような静的なポリシファイルによる利用制限と、動的に取得するポリシファイルによる利用制限を併用する場合に、ポリシファイル間に利用可否の矛盾があっても、適切な利用制限を行うことが可能となる。すなわち、複数のポリシファイルのうちのいずれかのポリシファイルを適用することによる柔軟性の低下や、事前に大量のポリシを定めておくといった利便性の低下を招くことなく、機能部の利用制限を行うことが可能となる。

なお、本実施形態では、情報端末１０００はスマートフォンやタブレットＰＣ等である例を説明したが、可搬のコンピュータ装置であるノートパソコンや、据え置き型のＰＣ等の機能の利用制限に本実施形態の制御システム１を適用することもできる。
また、本実施形態では、情報端末１０００の利用状況を示す属性として、ユーザの所属と、ユーザの役職と、時刻と、自端末の位置と、利用要求の対象である機能部との属性の全てを用いる例を示したが、これらの属性のうち、少なくともいずれかの属性を適用してもよいし、他の属性を適用してもよい。

また、本実施形態では、スコアを補正するための重みとして、時間による重みと距離による重みとの双方を適用する例を示したが、これらの重みのうち、少なくともいずれかの重みを適用してもよいし、他の重みを適用してもよい。
また、上述の例では、利用制限の処理対象となる情報端末１０００の機能部は、アプリケーションやデバイス単位としたが、これらが備えるより細やかな機能単位に利用可否を判定するようにしてもよい。例えば、メール機能部であっても、メール送信機能部とメール受信機能部とを定義し、メールの送信は許可するが受信は禁止するといったような利用制限を行うこともできる。

なお、本発明における処理部の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより機能部の利用制限を行ってもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。また、「コンピュータシステム」は、インターネットやＷＡＮ、ＬＡＮ、専用回線等の通信回線を含むネットワークを介して接続された複数のコンピュータ装置を含んでもよい。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、ネットワークを介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。また、上記プログラムは、上述した機能の一部を実現するためのものであってもよい。さらに、上述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。

また、上述した機能の一部または全部を、ＬＳＩ（Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ）等の集積回路として実現してもよい。上述した各機能は個別にプロセッサ化してもよいし、一部、または全部を集積してプロセッサ化してもよい。また、集積回路化の手法はＬＳＩに限らず専用回路、または汎用プロセッサで実現してもよい。また、半導体技術の進歩によりＬＳＩに代替する集積回路化の技術が出現した場合、当該技術による集積回路を用いてもよい。

１ 制御システム
１０００ 情報端末
１１００ 入力部
１２００ 出力部
１３００ 記憶部
１３１０ 第１のポリシファイル記憶部
１３２０ 第２のポリシファイル記憶部
１３３０ ポリシ調整情報記憶部
１３３１ 属性値情報記憶部
１３３２ 重み情報記憶部
１３３３ 組み合わせ情報記憶部
１３３４ 閾値情報記憶部
１４００ 第１のポリシファイル取得部
１５００ 第２のポリシファイル取得部
１６００ 制御部
１６１０ 現在位置取得部
１６２０ 計時部
１６３０ ユーザ認証部
１６４０ 機能部
１６５０ ポリシ調整部
１６５１ ポリシ調整情報取得部
１６５２ 機能利用検知部
１６５３ 整合性判定部
１６５４ スコア算出部
１６５５ 利用可否判定部
１６５６ 機能利用制御部
２０００ 第１のポリシ管理サーバ
３０００ 第２のポリシ管理サーバ
４０００ ポリシ調整サーバ

Claims (9)

1. 複数の機能部を備える情報端末であって、
   前記複数の機能部ごとに、当該機能部を利用させるか否かを示す第１の利用可否が定められる第１のポリシファイルを取得する第１のポリシファイル取得部と、
   前記複数の機能部ごとに、当該機能部を利用させるか否かを示す第２の利用可否が定められる第２のポリシファイルを取得する第２のポリシファイル取得部と、
   前記機能部に対する利用要求を検知する機能利用検知部と、
   前記利用要求の対象である機能部に対応する前記第１の利用可否と前記第２の利用可否とが一致するか否かを判定する整合性判定部と、
   前記整合性判定部によって、前記第１の利用可否と前記第２の利用可否とが一致しないと判定された場合、自端末の利用状況に基づいて、前記利用要求の対象である機能部を利用させるか否かを判定する利用可否判定部と、
   を備えることを特徴とする情報端末。
2. 前記整合性判定部によって、前記第１の利用可否と前記第２の利用可否とが一致しないと判定された場合、自端末の利用状況に応じた属性値に基づいて、前記機能部を利用させるか否かを判定するためのスコアを算出するスコア算出部を備え、
   前記利用可否判定部は、前記スコア算出部によって算出された前記スコアと、予め定められた閾値とに基づいて、前記機能部を利用させるか否かを判定する
   ことを特徴とする請求項１に記載の情報端末。
3. 前記利用状況を示す複数の属性ごとに、当該利用状況に応じた属性値が対応付けられた属性値情報と、前記閾値を示す閾値情報とが含まれるポリシ調整情報を取得するポリシ調整情報取得部を備え、
   前記スコア算出部は、前記属性値情報に基づいて前記スコアを算出し、
   前記利用可否判定部は、前記スコア算出部によって算出された前記スコアと、前記閾値情報が示す前記閾値とに基づいて、前記機能部を利用させるか否かを判定する
   ことを特徴とする請求項２に記載の情報端末。
4. 前記属性値は、ユーザの所属と、ユーザの役職と、時刻と、自端末の位置と、利用要求の対象である前記機能部との属性のうち、少なくともいずれかの属性に応じた値である
   ことを特徴とする請求項２または請求項３のいずれか１項に記載の情報端末。
5. 前記スコア算出部は、予め定められた時点と現在時点との差と、予め定められた位置と自端末の現在位置との差とのうち、少なくともいずれかの差に応じて定められる重みに基づいて前記スコアを補正する
   ことを特徴とする請求項２から請求項４までのいずれか１項に記載の情報端末。
6. 前記スコア算出部は、自端末の利用状況に応じた複数の属性の組み合わせに基づいて、前記スコアを補正する
   ことを特徴とする請求項２から請求項５までのいずれか１項に記載の情報端末。
7. 前記利用可否判定部による判定結果に基づいて、前記機能部の利用を制御する機能利用制御部と、
   を備えることを特徴とする請求項１から請求項６までのいずれか１項に記載の情報端末。
8. 複数の機能部を備える情報端末の制御方法であって、
   前記複数の機能部ごとに、当該機能部を利用させるか否かを示す第１の利用可否が定められる第１のポリシファイルを取得するステップと、
   前記複数の機能部ごとに、当該機能部を利用させるか否かを示す第２の利用可否が定められる第２のポリシファイルを取得するステップと、
   前記機能部に対する利用要求を検知するステップと、
   前記利用要求の対象である機能部に対応する前記第１の利用可否と前記第２の利用可否とが一致するか否かを判定するステップと、
   前記第１の利用可否と前記第２の利用可否とが一致しないと判定した場合、自端末の利用状況に基づいて、前記利用要求の対象である機能部を利用させるか否かを判定するステップと、
   を備えることを特徴とする制御方法。
9. 複数の機能部を備える情報端末のコンピュータに、
   前記複数の機能部ごとに、当該機能部を利用させるか否かを示す第１の利用可否が定められる第１のポリシファイルを取得するステップと、
   前記複数の機能部ごとに、当該機能部を利用させるか否かを示す第２の利用可否が定められる第２のポリシファイルを取得するステップと、
   前記機能部に対する利用要求を検知するステップと、
   前記利用要求の対象である機能部に対応する前記第１の利用可否と前記第２の利用可否とが一致するか否かを判定するステップと、
   前記第１の利用可否と前記第２の利用可否とが一致しないと判定した場合、自端末の利用状況に基づいて、前記利用要求の対象である機能部を利用させるか否かを判定するステップと、
   を実行させる制御プログラム。

Images