JP2015099461A - データ保護装置、方法、および、プログラム - Google Patents

Abstract

【課題】 端末またはアプリケーション毎に利用者が意図した権限による各データへのアクセスを容易にかつ詳細に設定、制御することを可能とする。
【解決手段】 データ保護装置は、端末装置の識別子、複数の属性の各々に対するアクセス権の指定を含む、複数のサブアカウント情報を、ユーザアカウントに関連付けて格納するアカウント記憶手段と、アカウント配下で実行されているアプリケーションプログラムから、ユーザデータ記憶装置に格納されているユーザデータへのアクセス要求を入力されて、当該ユーザデータに付与されている属性と、アプリケーションプログラムを起動した端末装置に関連付けられているサブアカウント情報に包含されるアクセス権の指定に基づいて、ユーザデータのアクセスを実行または拒否するアクセス制御手段と、を備える。
【選択図】 図１

Description

本発明は、データ保護装置、方法、および、プログラム、特に、共有データに対し、端末やアプリケーションプログラム等ごとにデータへのアクセス権限を付与するデータ保護装置、方法、および、プログラムに関する。

近年、モバイル端末の普及が進み、個人がPCやスマートフォンなど複数の端末を所有し、それら複数の端末からデータを共有して使用している。

一般的に共有手法にはメールアドレスやユーザIDとパスワードを使用したアカウント方式が利用されている。また、特許文献１に開示されているように、ファイル毎に所有者ＩＤ、グループ名、グループの権限の有無などのセキュリティ情報およびドメイン名を書き込んでおき、これらをもとにアクセス権の有無をチェックしてセキュリティを管理する方式も利用されている。

一方、アカウントの管理については、特許文献２が開示するように、一つのメインアカウント配下に複数のサブアカウントを設け、個々のサブアカウントの取引の決済をマインアカウントで一括して行うシステムがある。

特開平9-146843号公報 特開2001-338254号公報

一般のアカウント方式や特許文献１の技術は、個々の端末やアプリケーションのセキュリティレベルは異なるにも関わらず、同一のアカウントを使用してデータを共有することは情報のセキュリティの観点から好ましいとは言えない。例えば、紛失リスクの高いスマートフォンとリスクの低いビジネス利用しているPCで同じアカウント、つまり同じセキュリティ設定によるデータ共有をしている場合、紛失の際の情報漏えいのリスクが高い。

本発明は、上記課題を解決する、データ保護装置、方法、および、プログラムを提供することを目的とする。

本発明の一実施形態にかかるデータ保護装置は、端末装置の識別子、複数の属性の各々に対するアクセス権の指定を含む、複数のサブアカウント情報を、ユーザアカウントに関連付けて格納するアカウント記憶手段と、前記アカウント配下で実行されているアプリケーションプログラムから、ユーザデータ記憶装置に格納されているユーザデータへのアクセス要求を入力されて、当該ユーザデータに付与されている属性と、前記アプリケーションプログラムを起動した端末装置に関連付けられているサブアカウント情報に包含されるアクセス権の指定に基づいて、前記ユーザデータのアクセスを実行または拒否するアクセス制御手段と、を備える。

本発明の一実施形態にかかる方法は、端末装置の識別子、複数の属性の各々に対するアクセス権の指定を含む、複数のサブアカウント情報を、ユーザアカウントに関連付けて記憶し、前記アカウント配下で実行されているアプリケーションプログラムから、ユーザデータ記憶装置に格納されているユーザデータへのアクセス要求を入力されて、当該ユーザデータに付与されている属性と、前記アプリケーションプログラムを起動した端末装置に関連付けられているサブアカウント情報に包含される、アクセス権の指定に基づいて、前記ユーザデータのアクセスを実行または拒否する。

本発明の一実施形態にかかるプログラムは、端末装置の識別子、複数の属性の各々に対するアクセス権の指定を含む、複数のサブアカウント情報を、ユーザアカウントに関連付けて記憶するアカウント記憶処理と、前記アカウント配下で実行されているアプリケーションプログラムから、ユーザデータ記憶装置に格納されているユーザデータへのアクセス要求を入力されて、当該ユーザデータに付与されている属性と、前記アプリケーションプログラムを起動した端末装置に関連付けられているサブアカウント情報に包含される、アクセス権の指定に基づいて、前記ユーザデータのアクセスを実行または拒否するアクセス制御処理と、をコンピュータに実行させる。

本発明によれば、端末またはアプリケーション毎に利用者が意図した権限による各データへのアクセスを容易にかつ詳細に設定、制御することが可能となる。

図１は、第１の実施の形態にかかるデータ保護システム40の構成図である。 図２は、アカウント記憶部22が記憶するアカウントデータの構造図である。 図３は、サブアカウントブロック52のアクセス／キャッシュ権に格納されるデータの構造図である。 図４は、アカウント管理部21の動作フローチャートである。 図５は、アクセス制御部25の動作フローチャートである。 図６は、第２の実施形態にかかるデータ保護装置２０の構成図である。

本発明は、サブアカウント方式を採用する。マスタアカウントとサブアカウントを用いるマルチアカウント方式により、各サブアカウントにユーザデータへのアクセス権限を設定可能とする。それにより、個々の端末だけでなく、さらにはアプリケーション毎にもセキュリティを設定することが可能となる。以下に、詳細に説明する。

＜第１の実施の形態＞
図１は、第１の実施の形態にかかるデータ保護システム40の構成図である。データ保護システム40は、ネットワーク30に接続された端末装置10とデータ保護装置20を包含する。

１台のデータ保護装置20は、通常複数台の端末装置10からアクセスされる。端末装置10は、通常ブラウザ11を実行している。

データ保護装置20は、アカウント管理部21、アクセス制御部25、および、アカウント記憶部22を備え、アプリケーションプログラム23（以降、ＡＰと略記する場合が有る）を実行している。ＡＰは、例えば、メーラ、スケジューラ、ワードプロセッサである。また、データ保護装置20は、ユーザデータを記憶するユーザデータ記憶装置31に接続されている。ユーザデータは、例えば、電子メール、スケジュール表、ドキュメントである。

ユーザは、端末装置10からブラウザ11を経由して各ＡＰを操作する。各ＡＰは、アクセス制御部25を経由してユーザデータ装置31が記憶しているユーザデータにアクセスする。また、ユーザは、端末装置10からブラウザ11を経由してアカウント管理部21を操作し、アカウント記憶部22が記憶しているアカウントデータにアクセスする。アクセス制御部25は、ＡＰからユーザデータのアクセス要求があると、アカウント記憶部22を参照して、アクセス権の有無を確認し、アクセスを実行したり、拒否したりする。

なお、1つのユーザデータ記憶装置31にアクセスするＡＰは複数存在しても良い。例えば、電子メールにアクセスするメーラが複数存在しても良い。例えば、セキュリティの高いビジネス用のメーラ（アプリケーションプログラム23-1）とプライベート用の使い勝手の良いメーラ（アプリケーションプログラム23-2）が存在しても良い。

ここで、端末装置10およびデータ保護装置20はコンピュータである。アカウント管理部21およびアクセス制御部25は電子回路を搭載した専用ボードである。アカウント管理部21およびアクセス制御部25は、データ保護装置20のメモリ（図示されず）に格納され、データ保護装置20のプロセッサ（図示されず）により実行されるソフトウェアにより実現されても良い。アカウント記憶部22、ユーザデータ記憶装置31は、例えば、ディスク装置、半導体メモリである。

図２は、アカウント記憶部22が記憶するアカウントデータの構造図である。アカウントデータは、複数のユーザアカウントのそれぞれに対応するアカウントレコード50を包含する。各アカウントレコード50は、アカウントの情報を含むアカウントブロック51と、サブアカウントの情報を含むサブアカウントブロック52から構成される。アカウントレコード50は、複数のサブアカウントブロック52を包含し得る。

アカウントブロック51は、アカウントＩＤ、パスワード、および、ステータス（ログイン中またはログアウト中）を包含する。アカウントブロック51は、アカウントに関するその他の情報、例えば、課金情報、ユーザプロフィール情報を含んでいても良い。

サブアカウントブロック52は、識別情報、付与属性、および、アクセス／キャッシュ権限を包含する。サブアカウントブロック52は、サブアカウントに関するその他の情報、例えば、課金情報を含んでいても良い。

サブアカウントは、端末装置10、ＡＰ、または、端末装置10とＡＰの組み合わせに対して設定される。識別子は、端末の識別子、ＡＰの識別子、あるいは、端末の識別子とＡＰの識別子の対が格納される。なお、端末装置10とＡＰの組み合わせに対してサブアカウントを設定するとは、ある端末装置10から操作されるＡＰに対して、サブアカウントを設定することを意味する。

１つのサブアカウントブロック52は、複数の識別情報を格納していても良い。このことは、複数の端末装置10やＡＰで、１つのサブアカウントを共有しても良いことを意味する。

付与属性は、サブアカウントの属性が格納される。このサブアカウントが設定されている端末あるいはＡＰが更新したユーザデータには、この付与属性が与えられる。図２、図３において、属性は、ａ、ｂ……ｐ、等と表記される。なお、ユーザデータに属性を与えるとは、例えば、ユーザデータ記憶装置内の領域であって、ユーザデータ格納領域とは別の、当該ユーザデータに関連付けられた領域に、この付与属性が格納されることを意味する。

図３は、サブアカウントブロック52のアクセス／キャッシュ権に格納されるデータの構造図である。アクセス／キャッシュ権は、ユーザデータに付与された属性対応に、このサブアカウントが設定されている端末あるいはＡＰが、当該ユーザデータをリード可能か否か（Ｒ可否）、ライト可能か否か（Ｗ可否）、及び、キャッシュ可能か否か（キャッシュ可否）を示すデータを格納する。

なお、キャッシュとは、ユーザデータ記憶装置31から読み出したユーザデータの写しを、端末装置10のメモリに一時的に保存しておくことを指す。

図４は、アカウント管理部21の動作フローチャートである。アカウント管理部21は、端末装置10のブラウザ11から、アカウントＩＤ、操作指示、その他を受信して操作指示の種別を判別する（Ｓ１）。操作指示は、例えば、ログイン、ログアウト、アカウントデータ更新である。

操作指示がログインである場合、アカウント管理部21は、受信したアカウントＩＤと一致するアカウントＩＤを格納するアカウントレコード50アカウント記憶部22から読み出す（Ｓ４）。受信したパスワードと読み出したアカウントレコード50のパスワードが一致すると（Ｓ５でＹ）、アカウント管理部21はアカウントレコード50のステータスをログイン中に変更し（Ｓ６）、ログイン完了をブラウザ11に送信する。

操作指示がアカウントデータ更新である場合、アカウント管理部21は、受信したアカウントＩＤと一致するアカウントＩＤを格納するアカウントレコード50アカウント記憶部22から読み出す（Ｓ７）。読み出したアカウントレコード50のステータスがログイン中であれば（Ｓ８でＹ）、アカウント管理部21は、ブラウザ11から更新項目指定、更新データ内容を受信して、読み出したアカウントレコード50のデータを更新する（Ｓ９）。更新項目は、アカウントブロック51のデータでも良いし、サブアカウントブロック52のデータでもよい。ユーザは、この機能を用いて、サブアカウントの作成／消去、アクセス権の設定／変更等を行う。

操作指示がログアウトである場合、アカウント管理部21は、受信したアカウントＩＤと一致するアカウントＩＤを格納するアカウントレコード50を、アカウント記憶部22から読み出す（Ｓ２）。その後、アカウント管理部21はアカウントレコード50のステータスをログアウト中に変更し（Ｓ３）、ログアウト完了をブラウザ11に送信する。

図５は、アクセス制御部25の動作フローチャートである。アクセス制御部25は、ＡＰからユーザデータ記憶装置31に対するリード／更新（ライト）要求が発行されると動作する。

ＡＰから起動されると、アクセス制御部25は、受信したアカウントＩＤと一致するアカウントＩＤを格納するアカウントレコード50を、アカウント記憶部22から読み出す（Ｓ１１）。読み出したアカウントレコード50のステータスがログイン中であれば（Ｓ１２でＹ）、アクセス制御部25は、識別情報をキーにサブアカウントブロック52得する（Ｓ１３）。

識別情報が端末ＩＤである場合、アクセス制御部25は、起動したＡＰを操作している端末装置10のＩＤと一致する識別情報を格納するサブアカウントブロック52を取得する（Ｓ１３）。アクセス制御部25は、端末のＩＤを端末装置10からＡＰ経由で取得しても良い。あるいは、ログイン時に、アカウント管理部21がログイン端末の端末ＩＤをアカウントブロック51に格納し、アクセス制御部25は、当該アカウントブロック51を参照しても良い。

識別情報がＡＰのＩＤである場合、アクセス制御部25は、起動したＡＰのＩＤと一致する識別情報を格納するサブアカウントブロック52を取得する（Ｓ１３）。アクセス制御部25は、ＡＰのＩＤをＡＰから取得しても良い。

識別子が、端末ＩＤとＡＰのＩＤの対である場合、アクセス制御部25は、起動したＡＰを操作している端末装置10のＩＤ、および、起動したＡＰのＩＤの対と一致する識別情報を格納するサブアカウントブロック52を取得する（Ｓ１３）。

ＡＰからの要求がリードである場合（Ｓ１４でＹ）、アクセス制御部25は、リード対象となるユーザデータに対してリード権が有るかを判定する（Ｓ１５）。この判定は、取得したサブアカウントブロック52のアクセス／キャッシュ権限を参照して行う。具体的に、アクセス制御部25は、リード対象となるユーザデータに付与されている属性を取得し、当該属性に対応するＲ可否が、リード可能を示しているかを判定する。

リード権がある場合（Ｓ１５でＹ）、アクセス制御部25は、対象ユーザデータをユーザデータ記憶装置31から読み出してＡＰに出力する（Ｓ１６）。リード権がない場合（Ｓ１５でＮ）、アクセス制御部25は、当該リード要求を拒絶する。

対象ユーザデータ読み込み後、アクセス制御部25は、リード対象のユーザデータに対してキャッシュ権が有るかを判定する（Ｓ１７）。アクセス制御部25は、リード対象となるユーザデータに付与されている属性を取得し、サブアカウントブロック52のアクセス／キャッシュ権限において、当該属性に対応するキャッシュ可否がキャッシュ可能を示しているかを判定する。

キャッシュ権がある場合（Ｓ１７でＹ）、アクセス制御部25は、キャッシュ許可をＡＰに出力する（Ｓ１６）。

ＡＰは、アクセス制御部25が出力したユーザデータとキャッシュ許可を、端末装置10のブラウザ11に送信する。ブラウザ11は、読み出されたユーザデータを表示する。ブラウザ11は、キャッシュ許可があれば当該ユーザデータを端末装置10のキャッシュメモリ（図示されず）に保存し、キャッシュ許可がなければ当該ユーザデータを、表示後に消去する。

ＡＰからの要求が更新（ライト）である場合（Ｓ１４でＮ）、アクセス制御部25は、リード対象となるユーザデータに対してライト権が有るかを判定する（Ｓ１９）。アクセス制御部25は、ライト対象となるユーザデータに付与されている属性を取得し、サブアカウントブロック52のアクセス／キャッシュ権限において、当該属性に対応するＷ可否がライト可能を示しているかを判定する。

ライト権がある場合（Ｓ１９でＹ）、アクセス制御部25は、ユーザデータ記憶装置31内の対象ユーザデータを変更して（Ｓ２０）、サブアカウントブロック52の付与属性を対象データに付与する（Ｓ２１）。なお、ライト対象データが、新規のデータ（追加されるデータ）である場合、ライト権有無の判定（Ｓ１９）の判定は不要である。ライト権がない場合（Ｓ１９でＮ）、アクセス制御部25は、当該更新要求を拒絶する。

本実施形態のデータ保護システム40の効果について説明する。

第１に、ユーザは、ユーザデータを共有する端末装置10等の各サブアカウントにアクセス／キャッシュ権限を設定することにより、ユーザデータの詳細なアクセスを制御することが可能となる。

例えば、私用スマートフォンとビジネス用ＰＣ（Personal Computer）を使用し、スケジュールデータを共有する場合、私用スマートフォンからはプライベートスケジュールのみを参照可能とし、ビジネス用PCからはビジネス/プライベートどちらのスケジュールも参照可能とするような制御が可能となる。

その理由は、アクセス制御部25が、各サブアカウントに設定された属性を書き込んだユーザデータに付与し、他のサブアカウントからのアクセスを、当該他のサブアカウントに設定されたアクセス／キャッシュ権限に基づいて個別に制御するからである。

第２に、ユーザは、複数の端末装置10、または、アプリケーションプログラム23についてまとめて、ユーザデータへのアクセス／キャッシュ権限を設定することが可能となる。

例えば、私用の携帯電話とスマートフォンで同様の権限設定をする場合、それぞれに同じ権限設定をすることなく、同一のサブアカウントを、各端末装置10で共用することで、同様のアクセス権によるデータ共有が可能となる。

その理由は、 サブアカウント毎にアクセス／キャッシュ権限を設定し、端末やアプリケーション単位で使用するサブアカウントを変更することが可能であるためである。ユーザは、個々の端末装置10、アプリケーションプログラム23を意識せず、設定が可能となる。

＜第１の実施の形態の変形＞
データ保護装置20は、アカウント同士を連動させても良い。これにより、企業で使用するアカウントをシステム管理部門がマスタ管理するような方式を実現することも可能となる。

さらに、サブアカウント作成時にサブアカウントと関連付ける端末装置10もしくはアプリケーションプログラム23の固有情報を認証情報として組み込んでも良い。これにより、サブアカウントが意図しない端末装置10もしくはアプリケーションプログラム23で使用されることを防止することが可能となる。

＜第２の実施の形態＞
図６は、第２の実施形態にかかるデータ保護装置20の構成図である。本実施の形態にかかるデータ保護装置20は、アカウント記憶部22とアクセス制御部25を備える。

アカウント記憶部22は、端末装置10の識別子、複数の属性の各々に対するアクセス権の指定を含む、複数のサブアカウントブロック52を、ユーザアカウントに関連付けて格納する。

アクセス制御部25は、アカウント配下で実行されているアプリケーションプログラム23から、ユーザデータ記憶装置31に格納されているユーザデータへのアクセス要求を入力されて、当該ユーザデータに付与されている属性と、アプリケーションプログラム23動した端末装置10に関連付けられているサブアカウントブロック52に包含されるアクセス権の指定に基づいて、ユーザデータのアクセスを実行または拒否する。

本実施形態のデータ保護装置20は、端末装置10利用者が意図した権限による各データへのアクセスを容易にかつ詳細に設定、制御することを可能とする。

以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

10 端末装置
11 ブラウザ
20 データ保護装置
21 アカウント管理部
22 アカウント記憶部
23 アプリケーションプログラム
25 アクセス制御部
30 ネットワーク
40 データ保護システム
50 アカウントレコード
51 アカウントブロック
52 サブアカウントブロック

Claims (10)

1. 端末装置の識別子、複数の属性の各々に対するアクセス権の指定を含む、複数のサブアカウント情報を、ユーザアカウントに関連付けて格納するアカウント記憶手段と、
   前記アカウント配下で実行されているアプリケーションプログラムから、ユーザデータ記憶装置に格納されているユーザデータへのアクセス要求を入力されて、当該ユーザデータに付与されている属性と、前記アプリケーションプログラムを起動した端末装置に関連付けられているサブアカウント情報に包含されるアクセス権の指定に基づいて、前記ユーザデータのアクセスを実行または拒否するアクセス制御手段と、を備えるデータ保護装置。
2. 前記サブアカウント情報は、端末装置の識別子の代わりにアプリケーションプログラムの識別子を包含し、
   前記アクセス制御手段は、当該ユーザデータに付与されている属性と、前記アプリケーションプログラムに関連付けられているサブアカウント情報のアクセス権の指定に基づいて、前記ユーザデータのアクセスを実行または拒否する、請求項１のデータ保護装置。
3. 前記サブアカウント情報は、前記複数の属性の何れかである付与属性を包含し、
   前記アクセス制御手段は、前記ユーザデータの書き込み、修正時に、当該ユーザデータに前記付与属性を付与する、請求項１または２のデータ保護装置。
4. 前記サブアカウント情報は、前記複数の属性の各々に対するキャッシュの可否指定を含み、
   前記アクセス制御手段は、読み込み対象のユーザデータであるリードデータに付与されている属性と、前記キャッシュの可否指定とに基づいてキャッシュの可否を判定し、可否通知を、前記アプリケーションプログラムを操作する端末装置に送信し、
   前記アプリケーションプログラムを操作する端末装置は、キャッシュ可通知を受信すると、前記リードデータをキャッシュする、請求項１乃至３の何れかのデータ保護装置。
5. 端末装置からの操作指示を受信して、前記アカウント記憶装置に格納されているデータの更新を行うアカウント管理部を備える、請求項１乃至４の何れかのデータ保護装置。
6. 前記ユーザデータ記憶装置を包含する請求項１乃至５の何れかのデータ保護装置。
7. 端末装置の識別子、複数の属性の各々に対するアクセス権の指定を含む、複数のサブアカウント情報を、ユーザアカウントに関連付けて記憶し、
   前記アカウント配下で実行されているアプリケーションプログラムから、ユーザデータ記憶装置に格納されているユーザデータへのアクセス要求を入力されて、当該ユーザデータに付与されている属性と、前記アプリケーションプログラムを起動した端末装置に関連付けられているサブアカウント情報に包含される、アクセス権の指定に基づいて、前記ユーザデータのアクセスを実行または拒否する方法。
8. 前記サブアカウント情報は、端末装置の識別子の代わりにアプリケーションプログラムの識別子を包含し、
   当該ユーザデータに付与されている属性と、前記アプリケーションプログラムに関連付けられているサブアカウント情報のアクセス権の指定に基づいて、前記ユーザデータのアクセスを実行または拒否する、請求項７の方法。
9. 端末装置の識別子、複数の属性の各々に対するアクセス権の指定を含む、複数のサブアカウント情報を、ユーザアカウントに関連付けて記憶するアカウント記憶処理と、
   前記アカウント配下で実行されているアプリケーションプログラムから、ユーザデータ記憶装置に格納されているユーザデータへのアクセス要求を入力されて、当該ユーザデータに付与されている属性と、前記アプリケーションプログラムを起動した端末装置に関連付けられているサブアカウント情報に包含される、アクセス権の指定に基づいて、前記ユーザデータのアクセスを実行または拒否するアクセス制御処理と、をコンピュータに実行させるプログラム。
10. 前記サブアカウント情報は、端末装置の識別子の代わりにアプリケーションプログラムの識別子を包含し、
    当該ユーザデータに付与されている属性と、前記アプリケーションプログラムに関連付けられているサブアカウント情報のアクセス権の指定に基づいて、前記ユーザデータのアクセスを実行または拒否する前記アクセス制御処理をコンピュータに実行させる、請求項９のプログラム。

Images