JP2017102758A - 認証装置、認証方法及びプログラム - Google Patents

Abstract

【課題】情報機器の操作が行われる際のセキュリティを高めることが可能な技術を提供する。
【解決手段】操作を受け付ける端末と接続される認証装置であって、前記端末が受け付けた操作の内容と前記端末で撮影された撮影画像とを前記端末から受信する受信手段と、前記端末が受け付けた操作に対して認証を行う認証手段と、を有し、前記認証手段は、操作の内容と該操作を行う操作者と該操作を認証する認証者とが対応づけられた認証情報から、前記端末が受け付けた操作を行う操作者と認証者とを取得し、取得した操作者と認証者とが前記撮影画像に写っているか否かの判定を行うことで認証を行う。
【選択図】図５

Description

本発明は、認証装置、認証方法及びプログラムに関する。

情報機器の操作に関するセキュリティの向上を目的として、操作者が情報機器を操作する際に操作者を撮影した撮影画像を分析し、操作者以外の第三者の立会いのもとで操作が行われていることが確認された場合に限って操作を認めることで、操作者が単独で情報機器を操作することを排除する技術が知られている（例えば、特許文献１参照）。

特開２０１５−０３６９１８号公報

上述の技術は、撮影画像に複数人が写っている場合に情報機器の操作を許可するものであるが、管理者権限での情報機器の操作など、高いセキュリティが要求される操作については、単純に複数人が写っていることのみで操作が許可されてしまうのは好ましくないと考えられる。高いセキュリティが要求される操作については、例えば、適切な立会人のもとで操作が許可されることが望ましい。

本発明は上記に鑑みてなされたものであって、情報機器の操作が行われる際のセキュリティを高めることが可能な技術を提供することを目的とする。

開示の技術の認証装置は、操作を受け付ける端末と接続される認証装置であって、前記端末が受け付けた操作の内容と前記端末で撮影された撮影画像とを前記端末から受信する受信手段と、前記端末が受け付けた操作に対して認証を行う認証手段と、を有し、前記認証手段は、操作の内容と該操作を行う操作者と該操作を認証する認証者とが対応づけられた認証情報から、前記端末が受け付けた操作を行う操作者と認証者とを取得し、取得した操作者と認証者とが前記撮影画像に写っているか否かの判定を行うことで認証を行う。

開示の技術によれば、情報機器の操作が行われる際のセキュリティを高めることができる技術が提供される。

実施の形態に係る認証システムの構成の一例を示す図である。 実施の形態に係る認証装置、ユーザ端末及び管理者端末の機能構成の一例を示す図である。 認証情報及びユーザ情報の一例を示す図である。 ログ情報の一例を示す図である。 実施の形態に係るリアルタイム認証処理の一例を示すシーケンス図である。 実施の形態に係る事後認証処理の一例を示すシーケンス図である。 実施の形態に係る認証処理の変形例その１を示すシーケンス図である。 実施の形態に係る認証処理の変形例その２を示すシーケンス図である。

以下、図面を参照して本発明の実施の形態を説明する。なお、以下で説明する実施の形態は一例に過ぎず、本発明が適用される実施の形態は、以下の実施の形態に限られるわけではない。以下、本実施の形態に係る認証システムを企業内における認証管理に用いる場合を例に説明するが、本実施の形態に係る認証システムは、企業内に関わらず一般のユーザ間で認証管理を行う場合にも適用できる。

＜システム構成＞
図１は、実施の形態に係る認証システムの構成の一例を示す図である。図１に示すように、実施の形態に係る認証システムは、認証装置１０と、ユーザが利用するユーザ端末２０_１〜Ｎと、管理者が利用する管理者端末３０と、ユーザ端末２０_１〜Ｎに接続される情報機器４０とを有する。以下の説明おいて、ユーザ端末２０_１〜Ｎのうち任意のユーザ端末は「ユーザ端末２０」と表す。

認証装置１０は、ユーザがユーザ端末２０を用いて行う各種操作を認証する機能を有する。認証装置１０は、例えば、パーソナルコンピューター、サーバ又は仮想サーバ等である。なお、ユーザがユーザ端末２０を用いて行う各種操作とは、ユーザ端末２０上で行われる操作（メール送信など）及びユーザ端末２０に接続される情報機器４０に対して行われる操作を含む。

ユーザ端末２０はカメラ（内蔵カメラ又は外付けカメラ）を備えており、ユーザから各種操作を受け付けた際に、各種操作の内容とカメラにより撮像した画像とを認証装置１０に送信する機能を有している。ユーザ端末２０は、例えば、パーソナルコンピューター、携帯電話、スマートフォン又はタブレット端末等である。ユーザ端末２０は、情報機器４０をコントロールする専用のコンソール端末であってもよい。

管理者端末３０は、認証装置１０から認証に失敗したとの通知を受けた場合に、管理画面等にアラームを表示する機能を有する。管理者端末３０は、例えば、パーソナルコンピューター、携帯電話、スマートフォン又はタブレット端末等である。

情報機器４０は、ユーザ端末２０により操作される情報機器であり、例えば、ネットワーク機器（ルータ、スイッチ等）、サーバ（クラウドサーバを含む）等である。また、サーバには、例えば、金融系の顧客管理サーバ等のように高いセキュリティが要求されるサーバが含まれるが、これに限られず、どのような用途のサーバであってもよい。

以下の説明において、ユーザ端末２０を用いて各種操作を行うユーザを「操作者」と呼び、操作者が行う各種操作を認証するユーザ（例えば、操作者が行う各種操作に立ち会うユーザ）を「認証者」と呼ぶ。

＜機能構成＞
図２は、実施の形態に係る認証装置、ユーザ端末及び管理者端末の機能構成の一例を示す図である。

（認証装置）
図２（ａ）に示すように、認証装置１０は、通信部１０１と、ログ記録部１０２と、認証部１０３と、アラーム通知部１０４と、記憶部１０５とを有する。記憶部１０５には、各種操作の内容と各種操作を行う操作者と各種操作を認証する認証者とが対応づけられた認証情報と、ユーザ名と各ユーザの顔を特定するための情報等とが対応づけられたユーザ情報が格納される。記憶部１０５は、認証装置１０が備えるメモリ又は認証装置１０にネットワークを介して接続される記憶装置等を用いて実現可能である。

通信部１０１は、ネットワークを介してユーザ端末２０、管理者端末３０と通信する機能を有する。また、通信部１０１は、ユーザ端末２０が操作者から受け付けた操作の内容と、ユーザ端末２０が備えるカメラで撮影された撮影画像とをユーザ端末２０から受信する。

ログ記録部１０２は、ユーザ端末２０から受信した操作の内容と、認証部１０３により撮影画像から特定された操作者と認証者とをログ情報に記録する機能を有する。

認証部１０３は、認証情報とユーザ情報とを用いて、操作者により行われる各種操作を認証する機能を有する。より具体的には、認証部１０３は、認証情報から、ユーザ端末２０が受け付けた操作を行うことが許可されている操作者と当該操作を認証する認証者とを取得し、取得した操作者と認証者とが撮影画像に写っているか否かの判定を行うことで認証を行う。認証部１０３は、認証に失敗した場合、認証に失敗したことをアラーム通知部１０４に通知する。

また、認証部１０３は、ログ情報から操作の内容と操作者と認証者とを取得し、取得した当該操作の内容に含まれる一連の操作のうち認証すべき操作の範囲に含まれる操作に対して認証を行うようにしてもよい。この場合、認証情報には、各種操作の内容に含まれる一連の操作のうち認証すべき操作の範囲を示す情報が含まれるようにしてもよい。

アラーム通知部１０４は、認証部１０３から認証に失敗したとの通知を受けた場合、アラーム信号を管理者端末３０に送信することで、認証に失敗したことを管理者に通知する。

図３は、認証情報及びユーザ情報の一例を示す図である。図３を用いて、認証情報及びユーザ情報の具体例を説明する。

図３（ａ）は認証情報の一例である。「操作内容」には、ユーザ端末２０を用いて行われる様々な操作のうち、認証の対象である操作の内容を示す情報が格納される。なお、認証の対象である操作には、１つの操作手順で完結する操作と複数（一連）の操作手順からなる操作とが含まれる。

「操作Ａ」は、メール送信ボタンを押下する操作を示す情報である。「操作Ｂ」は、添付ファイルをメールに添付してメール送信ボタンを押下するまでの一連の操作を示す情報である。「操作Ｃ」は、ルータ又はサーバ等のパスワードを変更するコマンドを入力する操作を示す情報である。「操作Ｄ」及び「操作Ｅ」は、ルータ又はサーバ等にパッチ（バグ修正用プログラム）をインストールする際の一連のコマンドを入力する操作を示す情報である。「操作Ｆ」は、経費を管理するデータベースを参照、更新する操作を示す情報である。

「操作者」には、「操作内容」の操作を行うことが許可されているユーザを示す情報が格納される。図３（ａ）の例では「操作者」にはユーザの役職が格納されているが、具体的なユーザ名が格納されてもよい。「認証者」には、操作者が行う操作を監視することで操作者が不正な操作を行っていないかの認証（確認）を行う認証者、及び必要な認証者の人数を示す情報が格納される。例えば、「上司（１名）」とは、操作Ａ又はＢにおける認証者は、操作者の上司であるユーザ１名であることを意味している。また、例えば「経費管理（１名）、ＤＢ管理（１名）」とは、操作Ｆにおける認証者は、経費管理の権限を有するユーザ１名及びＤＢ（データベース）管理の権限を有するユーザ１名であることを意味している。なお、「認証者」には具体的なユーザ名が格納されてもよい。「認証人数」には、「操作者」と「認証者」とを合計した人数が格納される。

「認証範囲」には、「操作内容」に係る操作のうち、どの範囲の操作に対して認証者が監視していたことが確認された場合に、認証が成功したと判定すべきかを示す情報が格納される。「全体」とは、操作の開始から終了までの操作全体を認証者が監視していたことが確認された場合に認証が成功したと判定されることを示している。「一部（時間比率Ｘ）」とは、操作の開始から終了までの一連の操作に要した時間のうち、所定の割合の時間（例えばＸ＝７０％であれば、全ての操作時間のうち７０％の時間）において認証者が監視していたことが確認された場合に認証が成功したと判定されることを示している。「一部（特定操作）」とは、操作の開始から終了までの一連の操作のうち特定の操作が行われる際（例えば、ログインからパスワード変更までに投入される全てのコマンドのうち、パスワード変更コマンドが投入される際）に認証者が監視していたことが確認された場合に認証が成功したと判定されることを示している。なお、操作の開始から終了までの一連の操作のうち、所定の割合の操作（例えば、全体で５つの操作のうち２つの操作）が行われる際に認証者が監視していたことが確認された場合に認証が成功したと判定されるようにしてもよい。また、操作の開始と操作の終了については、それぞれ特定のキー操作又は特定の操作コマンド等により定義されるようにしてもよい。例えば、所定のコマンドＡは操作の開始を意味し、所定のコマンドＢは操作の終了を意味するというように予め定義されていてもよい。

図３（ｂ）は、ユーザ情報の一例である。「権限」には、そのユーザが有する管理権限が格納される。例えば、図３（ｂ）の例では、ユーザＡは経費管理に関する操作を管理（認証）する権限を有していることを意味しており、図３（ａ）の操作Ｆが行われる際の認証者に該当する。「上司」には、そのユーザの上司であるユーザ名が格納される。「顔情報」は、認証装置１０の認証部１０３が、撮影画像に写っているユーザを特定する際に用いられる情報であり、例えばユーザの顔を撮影した画像データであってもよいし、顔の特徴を示すデータであってもよい。

「位置情報」には、ユーザ端末２０が備えるＧＰＳ又はその他ユーザの現在位置を特定することができる何れかの方法により取得されたユーザの現在位置が格納される。位置情報が取得されるタイミングは、定期的なタイミングであってもよいし、特定のタイミング（例えばユーザにより操作が開始されるタイミング）であってもよい。

図４は、ログ情報の一例を示す図である。ログ情報には、時間ごとの操作内容と、当該時間帯における操作者及び認証者のユーザ名が格納される。なお、当該時間帯における操作者及び認証者のユーザ名には、ユーザ端末２０から送信された撮影画像に写っていたユーザのユーザ名が格納される。図４の例では、１０：１４〜１０：２０までの間に行われた操作Ｄのうち、１０：１６〜１０：１７までの時間は認証者が不在であり、ユーザＥが単独で操作していたことを示している。

（ユーザ端末）
図２（ｂ）に示すように、ユーザ端末２０は、通信部２０１と、撮影部２０２と、ＵＩ(User Interface)制御部２０３とを有する。ＵＩ制御部２０３は、更に、操作受付部２１３と、操作記録部２１４と、認証要求部２１５と、操作実行部２１６とを有する。

通信部２０１は、ネットワークを介して認証装置１０と通信する機能を有する。

撮影部２０２は、ユーザ端末２０が備えるカメラ（内蔵カメラ又は外付けカメラ）を用いて撮影した撮影画像を、通信部２０１を介して認証装置１０に送信する機能を有する。また、撮影部２０２は、操作者が操作を行う度に撮影画像を認証装置１０に送信するようにしてもよいし、継続して動画像（又は周期的に撮影された撮影画像）を認証装置１０に送信するようにしてもよい。

ＵＩ制御部２０３は、入力デバイス（キーボード、マウス、タッチパネル等）を介してユーザ（操作者）から受け付けた操作に関する各種制御を行う機能、各種画面を表示する機能を有する。具体的には後述するが、本実施の形態に係る認証システムは、ユーザにより何らかの操作が行われる度に認証を行う「リアルタイム認証処理」と、ログ情報を用いて事後的に認証を行う「事後認証処理」とを実行することができる。ＵＩ制御部２０３は、リアルタイム認証手順が適用される場合、入力デバイスから入力された操作をすぐに実行するのではなく、認証装置１０により認証が許可されてから当該操作を実行する。また、事後認証手順が適用される場合、ＵＩ制御部２０３は、入力デバイスから入力された操作をすぐに実行する。ＵＩ制御部２０３は、ユーザ端末２０のディスプレイ等に表示されている操作画面を他のユーザ端末２０との間で共有する機能を有していてもよい。

操作受付部２１３は、入力デバイスを介してユーザから操作を受け付ける。また、操作受付部２１３は、リアルタイム認証処理が適用される場合、受け付けた操作を操作記録部２１４に通知する。操作記録部２１４は、操作受付部２１３から通知された操作を一時的に記憶する。

認証要求部２１５は、操作受付部２１３に記憶された操作の内容を、通信部２０１を介して認証装置１０に送信する。また、認証要求部２１５は、認証装置１０から受信した認証結果を操作実行部２１６に通知する。操作実行部２１６は、認証要求部２１５から認証成功との通知を受けた場合、操作記録部２１４に一時的に記憶されている操作を実行する。一方、認証失敗との通知を受けた場合、操作実行部２１６は、操作記録部２１４に一時的に記憶されている操作を実行しない。

また、操作受付部２１３は、事後認証処理が適用される場合、受け付けた操作を操作実行部２１６に直接通知する。操作実行部２１６は、直接通知された操作を実行する。

（管理者端末）
図２（ｃ）に示すように、管理者端末３０は、アラーム受信部３０１と、表示部３０２とを有する。

アラーム受信部３０１は、認証装置１０から認証に失敗したとの通知を受けた場合、認証の失敗が発生したことを示すアラームを表示させるように表示部３０２に指示する。表示部３０２は、当該アラームを画面等に表示する。

＜システム動作例＞
本実施の形態に係る認証システムは、操作が行われる度に認証を行う「リアルタイム認証処理」と、ログ情報を用いて事後的に認証を行う「事後認証処理」とを実行することができる。本認証システムにおいてリアルタイム認証処理が適用されるのか又は事後認証処理が適用されるのかは、認証装置１０及びユーザ端末２０にフラグを保持させておき、当該フラグに従っていずれか一方の認証処理に固定的に切替えられるようにしてもよい。また、認証の対象である操作毎にどちらの認証処理が適用されるのかを示す情報を認証装置１０及びユーザ端末２０に保持させておき、操作毎に認証処理が切替えられるようにしてもよい。例えば、図３（ａ）に示す操作Ａ及び操作Ｂのように、短時間で操作が完了するような操作についてはリアルタイム認証処理が適用されるようにして、操作Ｃ〜Ｆのように、ある程度の時間を要するような操作については事後認証処理が適用されるようにしてもよい。また、重要度の高い操作をリアルタイム認証にすることでもよい。

（リアルタイム認証処理）
図５は、実施の形態に係るリアルタイム認証処理の一例を示すシーケンス図である。

ステップＳ１０１で、ユーザ端末２０の操作受付部２１３は、ユーザ（操作者）からの操作を受け付ける。受け付けた操作の内容は、操作記録部２１４に記憶される。

ステップＳ１０２で、ユーザ端末２０の撮影部２０２は、ユーザ端末２０自身が備えるカメラを用いて画像の撮影を行う。

ステップＳ１０３で、ユーザ端末２０の認証要求部２１５及び撮影部２０２は、操作記録部２１４に記憶されている操作の内容を示す情報と、撮影画像とを認証装置１０に送信する。

ステップＳ１０４で、認証装置１０の認証部１０３は、ステップＳ１０３の処理手順で受信した撮影画像を分析し、撮影画像に写っている複数のユーザの顔を抽出する。また、ユーザ情報の「顔情報」と抽出された複数のユーザの顔とを比較し、撮影画像に写っている複数のユーザを特定する。続いて、認証部１０３は、ステップＳ１０３の処理手順で受信した操作の内容に対応する「操作者」及び「認証者」を認証情報から抽出し、撮影画像に写っている複数のユーザが「操作者」及び「認証者」に該当するか否かを確認する。認証部１０３は、撮影画像に写っている複数のユーザが「操作者」及び「認証者」に該当する場合は認証成功と判定し、撮影画像に写っている複数のユーザが「操作者」及び「認証者」に該当しない場合は認証失敗と判定する。

図３を用いて具体例を説明する。例えば、ユーザＤが、ユーザＢ立会いの下でメール送信（操作Ａ）を行う場合を想定する。ユーザＤは、自身のユーザ端末２０を用いてメール送信ボタンを押下する。ユーザ端末２０は、ユーザＤ及びユーザＢが写っている撮影画像と操作の内容を示す情報（メール送信ボタン押下）とを認証装置１０に送信する（Ｓ１０３）。

認証部１０３は、撮影画像を分析し、ユーザＤ及びユーザＢが撮影画像に写っていることを特定する。続いて、認証部１０３は、ユーザ端末２０から受信した操作の内容を示す情報（メール送信ボタン押下）をキーに認証情報を検索し、メール送信を行うことが許可されているのは役職が「担当」であるユーザであること、及びメール送信の認証者は操作者の上司であることを認識する。続いて、認証部１０３は、ユーザ情報を検索し、撮影画像に写っているユーザＤの役職は「担当」であり、ユーザＢはユーザＤの上司であることを認識する。以上の処理により、撮影画像に写っている複数のユーザ（ユーザＤ及びユーザＢ）はメール送信時の「操作者」及び「認証者」に該当することが確認されるため、認証部１０３は認証成功と判定する。

なお、認証部１０３は、ユーザ情報に格納されている操作者の位置情報と認証者の位置情報とを比較し、操作者の位置と認証者の位置とが所定の距離以上に離れている場合は、認証者が操作者の傍にいないことを特定して認証失敗と判定するようにしてもよい。また、認証部１０３は、撮影画像（動画像）から、認証者のまばたき又は表情の変化などを検出し、まばたき又は表情の変化などが検出されない場合は認証失敗と判定するようにしてもよい。これにより、操作者が、ユーザ端末２０のカメラの前に認証者の顔写真をかざしながら操作を行うような不正行為を排除することができ、セキュリティを更に高めることが可能になる。また、認証部１０３は、撮影画像に写っているユーザを特定できない場合は、ユーザの特定が困難であることをユーザ端末２０に通知するようにしてもよい。これにより、ユーザはカメラの位置を自身に近づけるなどの対応を行うことが可能になる。

ステップＳ１０５で、認証装置１０の認証部１０３は、認証成功をユーザ端末２０に通知する。ステップＳ１０６で、ユーザ端末２０の認証要求部２１５は、認証成功を操作実行部２１６に通知し、操作実行部２１６は、操作記録部２１４に記憶されている操作を実行する。

ステップＳ１０７で、認証装置１０のアラーム通知部１０４は、認証失敗が発生したことを管理者に通知するため、アラーム通知信号を管理者端末３０に送信する。管理者端末３０の表示部３０２は、認証装置１０から送信されたアラームを表示する。

ステップＳ１０８で、認証装置１０の認証部１０３は、認証失敗をユーザ端末２０に通知する。ステップＳ１０９で、ユーザ端末２０の認証要求部２１５は、認証失敗を操作実行部２１６に通知し、操作実行部２１６は、操作記録部２１４に記憶されている操作を実行せずに動作を終了する。なお、認証失敗の場合、ユーザ端末２０のＵＩ制御部２０３は、認証に失敗したことをユーザ端末２０の画面に表示するようにしてもよい。

なお、図３（ａ）の操作Ｄなどのように一連の操作手順を伴う場合、操作手順毎にステップＳ１０１乃至ステップＳ１０９の処理手順が繰り返し行われるようにしてもよい。例えば操作Ｄの場合、パッチのインストールに係る一連のコマンド入力操作において、コマンド入力が行われる度にステップＳ１０１乃至ステップＳ１０９の処理手順が繰り返し行われるようにしてもよい。この場合、図３（ｂ）の「認証範囲」の設定に関わらず一連の操作全体に対して認証が行われることになる。

また、図３（ａ）の操作Ｄなどのように一連の操作手順を伴う場合、一連の操作手順全体に対してステップＳ１０１乃至ステップＳ１０９の処理手順がまとめて行われるようにしてもよい。この場合、ステップＳ１０３の処理手順において、ユーザ端末２０の認証要求部２１５及び撮影部２０２は、一連の操作手順に係る操作の内容を示す情報と一連の操作手順の各々に対応する撮影画像とを認証装置１０に送信する。また、ステップＳ１０４の処理手順において、認証部１０３は、一連の操作手順について、認証情報の「認証範囲」の設定値に従って認証を行うようにする。

以上、リアルタイム認証処理について説明した。リアルタイム認証処理が行われることで、認証者の立会いの下でのみ、ユーザ端末２０を用いて行われる各種操作を許可することが可能になり、セキュリティを高めることが可能になる。

（事後認証処理）
図６は、実施の形態に係る事後認証処理の一例を示すシーケンス図である。

ステップＳ２０１で、ユーザ端末２０の操作受付部２１３は、ユーザ（操作者）からの操作を受け付ける。なお、受け付けた操作は、操作記録部２１４に記憶される。

ステップＳ２０２で、ユーザ端末２０の撮影部２０２は、ユーザ端末２０自身が備えるカメラを用いて画像の撮影を行う。

ステップＳ２０３で、ユーザ端末２０の認証要求部２１５及び撮影部２０２は、操作記録部２１４に記憶されている操作の内容を示す情報と、撮影画像とを認証装置１０に送信する。

ステップＳ２０４で、ユーザ端末２０の操作実行部２１６は、操作記録部２１４に記憶されている操作を実行する。

ステップＳ２０５で、認証装置１０の認証部１０３は、ステップＳ２０３の処理手順で受信した撮影画像を分析し、撮影画像に写っているユーザの顔を抽出する。また、ユーザ情報の「顔情報」と抽出されたユーザの顔とを比較し、撮影画像に写っているユーザのユーザ名を特定する。続いて、認証部１０３は、ステップＳ２０３の処理手順で受信した操作の内容に対応する「操作者」及び「認証者」を認証情報から抽出し、撮影画像に写っているユーザが「操作者」及び「認証者」のどちらに該当するかを特定する。なお、認証部１０３は、ユーザ端末２０のログインアカウントをユーザ端末２０から取得し、撮影画像に写っているユーザのうち、取得したログインアカウントに該当するユーザを「操作者」として特定し、他方を「認証者」として特定するようにしてもよい。

認証装置１０のログ記録部１０２は、認証部１０３により特定された「操作者」のユーザ名及び「認証者」のユーザ名と、ステップＳ２０３の処理手順で受信した操作の内容とをログ情報に記録する。また、ステップＳ２０３の処理手順で受信した撮影画像から認証部１０３が「操作者」又は／及び「認証者」を特定できない場合（例えば、撮影画像に１人しか写っていないような場合で、かつ、そのユーザが認証情報の「操作者」及び「認証者」のどちらにも該当しないような場合）、ログ記録部１０２は、「操作者」又は／及び「認証者」を特定できないことをログ情報に記録するようにしてもよい。

ステップＳ２０６で、ユーザ端末２０の操作受付部２１３は、操作の終了を検出する。操作受付部２１３は、ユーザからの明示的な指示（例えば、ログオフなど）により操作の終了を検出するようにしてもよい。ステップＳ２０７で、ユーザ端末２０の操作受付部２１３は、操作が終了したことを認証装置１０に通知する。

ステップＳ２０８で、認証装置１０の認証部１０３は、ログ情報の各レコードに含まれる「操作内容」、「操作者」及び「認証者」と、認証情報とを比較することで認証を行う。

ここで、認証部１０３は、認証情報の「認証範囲」の設定値に従って認証を行うようにする。図４を用いて具体例を説明する。例えば、１０：１４〜１０：２０には操作Ｄが行われ、操作者はユーザＡであることが記録されている。また、１０：１４〜１０：１６及び１０：１７〜１０：２０の認証者はユーザＣであるものの、１０：１６〜１０：１７の認証者は不在であることが記録されている。また、認証情報によれば、操作Ｄの認証範囲は「一部（時間比率Ｘ）」である。この場合、認証部１０３は、１０：１４〜１０：２０のうち、時間比率Ｘの時間で正しい認証者が記録されている場合に認証成功であると判定する。例えばＸ＝５０％に設定されている場合、認証部１０３は、操作Ｄについては認証成功であると判定することになる。また、例えばＸ＝１０％に設定されている場合、認証部１０３は、操作Ｄについては認証失敗であると判定することになる。

ステップＳ２０９は、図５のステップＳ１０７の処理手順と同一であるため説明は省略する。

なお、図３（ａ）の操作Ｄなどのように一連の操作手順を伴う場合、操作手順毎にステップＳ２０１乃至ステップＳ２０５の処理手順が繰り返し行われるようにしてもよいし、一連の操作手順全体に対してステップＳ２０１乃至ステップＳ２０５の処理手順がまとめて行われるようにしてもよい。後者の場合、ステップＳ２０３の処理手順において、ユーザ端末２０の認証要求部２１５及び撮影部２０２は、一連の操作手順に係る操作の内容を示す情報と一連の操作手順の各々に対応する撮影画像とを認証装置１０に送信する。

以上、事後認証処理について説明した。事後認証処理が適用されることで、リアルタイム認証処理よりもユーザ端末２０における操作レスポンスを向上させることができる。

（認証処理の変形例その１）
図５及び図６で説明したリアルタイム認証処理及び事後認証処理では、操作者は、認証者の立会いの下で操作を行っている前提で説明したが、認証者が操作者の傍に立ち会うことが出来ない場合も想定される。そこで、以下の処理手順では、操作者が用いるユーザ端末２０と認証者が用いるユーザ端末２０との間で操作画面を共有し、認証者は共有された操作画面を参照することで操作者が行う操作を監視することを可能にする。また、認証装置１０は、操作者のユーザ端末２０_１及び認証者のユーザ端末２０_２の各々から受信した撮影画像を用いて認証を行うようにする。

図７は、実施の形態に係る認証処理の変形例その１を示すシーケンス図である。本処理手順をリアルタイム認証処理に適用する場合、図５のステップＳ１０１乃至ステップＳ１０３の処理手順を、図７の処理手順に置き換えればよい。また、本処理手順を事後認証処理に適用する場合、図６のステップＳ２０１乃至Ｓ２０３の処理手順を、図７の処理手順に置き換えればよい。

ステップＳ３０１で、操作者のユーザ端末２０_１のＵＩ制御部２０３と認証者のユーザ端末２０_２のＵＩ制御部２０３との間で、操作者のユーザ端末２０_１の画面に表示されている操作画面が共有される。具体的には、操作者のユーザ端末２０の画面に表示されている操作画面と同一の操作画面が、認証者のユーザ端末２０_２の画面に表示される。なお、ユーザ端末２０_１のＵＩ制御部２０３は、どのユーザ端末２０との間で操作画面を共有すべきかを、操作者の明示的な指示により判断してもよいし、操作の内容と操作者のユーザ名（例えば、ユーザ端末２０のログインアカウントを用いて特定）とを認証装置１０に通知し、認証装置１０から指示されたユーザ端末２０に呼出し信号を送信するようにしてもよい。この場合、認証装置１０に格納されているユーザ情報に、予めユーザごとのユーザ端末２０のＩＰアドレス等を格納するようにしておく。

ステップＳ３０２の処理手順は、図５のステップＳ１０１、又は図６のステップＳ２０１と同一であるため説明は省略する。

ステップＳ３０３で、ユーザ端末２０_１のＵＩ制御部２０３は、ユーザ端末２０_２に対して撮影指示信号を送信する。

ステップＳ３０４で、ユーザ端末２０_１の撮影部２０２は、ユーザ端末２０_１自身が備えるカメラを用いて画像の撮影を行う。ステップＳ３０５で、ユーザ端末２０_２の撮影部２０２は、ユーザ端末２０_２自身が備えるカメラを用いて画像の撮影を行う。

ステップＳ３０６で、ユーザ端末２０_１の認証要求部２１５及び撮影部２０２は、操作記録部２１４に記憶されている操作の内容と、撮影画像とを認証装置１０に送信する。ステップＳ３０７で、ユーザ端末２０_２の撮影部２０２は、撮影画像を認証装置１０に送信する。

以上、認証処理の変形例その１によれば、認証者が操作者の傍に立ち会うことが出来ない場合であっても認証処理を行うことが可能になり、ユーザの利便性を高めることが可能になる。

（認証処理の変形例その２）
認証処理の変形例その２は、認証処理の変形例その１と異なり、予め認証者のユーザ端末２０との間で操作画面を共有するのではなく、操作の都度、操作者から認証者のユーザ端末２０を呼出すようにする。特に言及しない点は認証処理の変形例その１と同一でよい。

図８は、実施の形態に係る認証処理の変形例その２を示すシーケンス図である。本処理手順をリアルタイム認証処理に適用する場合、図５のステップＳ１０１乃至ステップＳ１０３の処理手順を、図８の処理手順に置き換えればよい。また、本処理手順を事後認証処理に適用する場合、図６のステップＳ２０１乃至Ｓ２０３の処理手順を、図８の処理手順に置き換えればよい。

ステップＳ４０１の処理手順は、図５のステップＳ１０１、又は図６のステップＳ２０１と同一であるため説明は省略する。

ステップＳ４０２で、ユーザ端末２０_１のＵＩ制御部２０３は、ユーザ端末２０_２に対して呼出し信号を送信する。なお、ＵＩ制御部２０３は、どのユーザ端末２０に呼出し信号を送信すべきかを、操作者の明示的な指示により判断してもよいし、操作の内容と操作者のユーザ名とを認証装置１０に通知し、認証装置１０から指示されたユーザ端末２０に呼出し信号を送信するようにしてもよい。また、呼出し信号には、ステップＳ４０１で受け付けた操作の内容が含まれていてもよい。認証者は、操作者がどのような操作を行おうとしているのかを事前に把握することができる。

ステップＳ４０３乃至Ｓ４０６の処理手順は、それぞれ図７のステップＳ３０４乃至ステップＳ３０７の処理手順と同一であるため説明は省略する。

なお、以上の処理手順において、ユーザ端末２０_１のＵＩ制御部２０３は、連続して操作が行われる際、呼出し信号を送信するユーザ端末２０を認証者が変わる度に切替えるようにしてもよい。例えば、ユーザＥが操作Ａを行う際、ユーザ端末２０_１のＵＩ制御部２０３はユーザＣのユーザ端末２０_２に呼出し信号を送信し、続けてユーザＥが操作Ｃを行う際、ユーザ端末２０_１のＵＩ制御部２０３はユーザＢのユーザ端末２０_２に呼出し信号を送信するようにしてもよい。これにより、認証装置１０には適切な認証者の撮影画像が届くことになる。

以上、認証処理の変形例その２によれば、認証者が操作者の傍に立ち会うことが出来ない場合であっても認証処理を行うことが可能になり、ユーザの利便性を高めることが可能になる。

（認証処理の変形例その３）
以上説明した実施の形態では、認証部１０３は、認証情報からユーザ端末２０が受け付けた操作を行うことが許可されている操作者と当該操作を認証する認証者とを取得し、取得した操作者と認証者とが撮影画像に写っているか否かの判定を行うことで認証を行うようにした。一方、認証処理の変形例その３では、操作者を限定せずに認証を行うようにする。なお、本変形例では、認証情報に「操作者」を格納しないようにしてもよい。また、本変形例は、上述の変形例その１又は変形例その２と組み合わせるようにしてもよい。

具体的には、図５のステップＳ１０４において、認証装置１０の認証部１０３は、撮影画像に「操作者」が写っていることを確認せずに「認証者」が写っていることのみを確認することで認証を行うようにしてもよい。

同様に、図６のステップＳ２０８において、認証装置１０の認証部１０３は、ログ情報の各レコードに含まれる「操作者」と認証情報とを比較せずに、ログ情報の各レコードに含まれる「操作内容」及び「認証者」と、認証情報とを比較することで認証を行うようにしてもよい。ログ記録部１０２は、ログ情報に「操作者」を記録しないようにしてもよい。

また、他の具体例として、図５のステップＳ１０４において、認証装置１０の認証部１０３は、撮影画像に最低２人以上のユーザが写っていることを確認すると共に、撮影画像に写っているユーザのうち少なくとも１人が「認証者」であることを確認することで認証を行うようにしてもよい。

同様に、図６のステップＳ２０５の処理手順において、認証装置１０の認証部１０３は、撮影画像に最低２人以上のユーザが写っていることを確認すると共に、撮影画像に写っているユーザのうち少なくとも１人が「認証者」に該当するかを特定し、ログ記録部１０２は、撮影画像に最低２人以上のユーザが写っているか否かを示すフラグ、及び、特定された「認証者」をログ情報に記録するようにしてもよい。また、認証部１０３は、図６のステップＳ２０８において、ログ情報の各レコードに含まれる「操作内容」及び「認証者」と、認証情報とを比較すると共に、ログ情報の各レコードに撮影画像に最低２人以上のユーザが写っていることを示すフラグが付与されているかを確認することで認証を行うようにしてもよい。

また、他の具体例として、認証情報において「操作者」と「認証者」に同一のユーザが設定されることを許容し、図５のステップＳ１０４において、認証装置１０の認証部１０３は、撮影画像に「操作者」及び「認証者」の両方に該当するユーザが写っていることを確認することで認証を行うようにしてもよい。

同様に、図６のステップＳ２０５の処理手順において、認証装置１０の認証部１０３は、撮影画像に写っているユーザが「操作者」及び「認証者」の両方に該当する場合を許容し、ログ記録部１０２は、特定された「操作者」及び「認証者」として同一のユーザ名をログ情報に記録するようにしてもよい。また、認証部１０３は、図６のステップＳ２０８において、ログ情報の各レコードに含まれる「操作内容」、「操作者」及び「認証者」と、認証情報とを比較することで認証を行うようにしてもよい。

（認証処理の変形例その４）
以上説明した事後認証処理では、認証装置１０は、ログ情報に操作者と認証者とを記録するようにしたが、認証処理の変形例その４では、認証装置１０は、操作者と認証者に代えて（又は加えて）撮影画像をログ情報に記録しておき、ログ情報に記録された撮影画像から操作者及び認証者を特定して認証を行うようにしてもよい。なお、本変形例は、上述の変形例その１又は変形例その２と組み合わせるようにしてもよい。

具体的には、図６のステップＳ２０５の処理手順で、認証装置１０のログ記録部１０２は、ステップＳ２０３の処理手順で受信した操作の内容と撮影画像とをログ情報に記録する。つまり、ログ情報には、図４に示す「操作者」及び「認証者」のカラムに代えて（又は加えて）「撮影画像」が格納される。

続いて、ステップＳ２０８の処理手順で、認証装置１０の認証部１０３は、ログ情報の各レコードに記録された撮影画像を分析し、撮影画像に写っているユーザの顔を抽出する。また、ユーザ情報の「顔情報」と抽出されたユーザの顔とを比較し、撮影画像に写っているユーザのユーザ名を特定する。続いて、認証部１０３は、当該レコードに記録された「操作内容」に対応する「操作者」及び「認証者」を認証情報から抽出し、撮影画像に写っているユーザが「操作者」及び「認証者」のどちらに該当するかを特定する。なお、認証部１０３は、ユーザ端末２０のログインアカウントをユーザ端末２０から取得し、撮影画像に写っているユーザのうち、取得したログインアカウントに該当するユーザを「操作者」として特定し、他方を「認証者」として特定するようにしてもよい。

続いて、認証装置１０の認証部１０３は、ログ情報の各レコードに含まれる「操作内容」と、当該レコードの撮影画像より特定された「操作者」及び「認証者」と、認証情報とに基づいて、認証情報の「認証範囲」の設定値に従って認証を行う。

なお、本変形例は、上述の認証処理の変形例その３と組み合わせるようにしてもよい。

具体的には、図６のステップＳ２０８の処理手順で、認証装置１０の認証部１０３は、ログ情報の各レコードに記録された撮影画像に最低２人以上のユーザが写っていることを確認すると共に、当該レコードの「操作内容」と認証情報とを参照し、撮影画像に写っているユーザのうち少なくとも１人が、「操作内容」に対応する「認証者」に該当するかを確認することで認証を行うようにしてもよい。なお、認証情報には「操作者」が格納されていなくてもよい。

また、他の具体例として、認証部１０３は、認証情報において「操作者」と「認証者」に同一のユーザが設定されることを許容してもよい。この場合、図６のステップＳ２０８の処理手順で、認証部１０３は、ログ情報の各レコードに含まれる「操作内容」と認証情報とを比較し、当該レコードの撮影画像に写っているユーザが「操作者」及び「認証者」の両方に該当するかを確認すると共に、「認証範囲」の設定値を満たすか否かを確認することで認証を行うようにしてもよい。

＜実施形態の補足＞
本発明は、上記の実施の形態に限定されることなく、特許請求の範囲内において、種々変更・応用が可能である。実施の形態で述べたシーケンスは、矛盾の無い限り順序を入れ替えてもよい。

実施の形態において、認証装置１０はクラウドサーバであってもよい。すなわち、図２（ａ）に示す各機能部は、クラウドサーバ上に実装されるようにしてもよい。

実施の形態において、認証装置１０とユーザ端末２０は一体であってもよい。すなわち、認証装置１０が有する各機能部がユーザ端末２０に含まれていてもよい。また、管理者端末３０は、ユーザ端末２０と一体であってもよい。すなわち、管理者端末３０が有する各機能部がユーザ端末２０に含まれていてもよい。

実施の形態に係る認証装置１０、ユーザ端末２０及び管理者端末３０が有する各機能部は、これらが備えるＣＰＵ及びメモリなどのハードウェア資源を用いて、認証装置１０、ユーザ端末２０及び管理者端末３０の各々で実施される処理に対応するプログラムを実行することによって実現することが可能である。また、当該プログラムは、記憶媒体に格納することができる。また、実施の形態に係る認証装置１０、ユーザ端末２０及び管理者端末３０の各々は複数のコンピュータ等の組み合わせにより実現されてもよい。

実施の形態において、ユーザ端末２０は端末の一例である。通信部１０１は受信手段の一例である。認証部１０３は認証手段の一例である。ログ記録部１０２は記録手段の一例である。認証情報に含まれる認証範囲は、「操作の内容に含まれる一連の操作のうち認証すべき操作の範囲を示す情報」の一例である。「撮影画像に写っている操作者及び認証者」又は／及び「撮影画像」は、撮影画像に関する情報の一例である。

１０ 認証装置
２０ ユーザ端末
３０ 管理者端末
４０ 情報機器
１０１ 通信部
１０２ ログ記録部
１０３ 認証部
１０４ アラーム通知部
１０５ 記憶部
２０１ 通信部
２０２ 撮影部
２０３ ＵＩ制御部
２１３ 操作受付部
２１４ 操作記録部
２１５ 認証要求部
２１６ 操作実行部
３０１ アラーム受信部
３０２ 表示部

Claims (6)

1. 操作を受け付ける端末と接続される認証装置であって、
   前記端末が受け付けた操作の内容と前記端末で撮影された第一の撮影画像とを前記端末から受信する受信手段と、
   前記端末が受け付けた操作に対して認証を行う認証手段と、
   を有し、
   前記認証手段は、操作の内容と該操作を行う操作者と該操作を認証する認証者とが対応づけられた認証情報から、前記端末が受け付けた操作を行う操作者と認証者とを取得し、取得した操作者と認証者とが前記第一の撮影画像に写っているか否かの判定を行うことで認証を行う、認証装置。
2. 前記端末が受け付けた操作の内容と前記第一の撮影画像に関する情報とをログ情報に記録する記録手段、を有し、
   前記認証情報は、操作の内容に含まれる一連の操作のうち認証すべき操作の範囲を示す情報を更に含み、
   前記認証手段は、前記ログ情報から前記操作の内容と前記第一の撮影画像に関する情報とを取得し、取得した前記操作に内容に含まれる一連の操作のうち前記認証すべき操作の範囲に含まれる操作に対して前記判定を行うことで認証を行う、請求項１に記載の認証装置。
3. 前記認証手段は、操作の内容と該操作を認証する認証者とが対応づけられた認証情報から、前記端末が受け付けた操作を認証する認証者を取得し、取得した認証者が前記第一の撮影画像に写っているか否かの判定を行うことで認証を行う、請求項１に記載の認証装置。
4. 前記受信手段は、前記端末とは異なる他の端末で撮影された第二の撮影画像を前記他の端末から受信し、
   前記認証手段は、操作の内容と該操作を行う操作者と該操作を認証する認証者とが対応づけられた認証情報から、前記端末が受け付けた操作を行う操作者と認証者とを取得し、取得した操作者と認証者とが前記第一の撮影画像又は前記第二の撮影画像に写っているか否かの判定を行うことで認証を行う、請求項１に記載の認証装置。
5. 操作を受け付ける端末と接続される認証装置が行う認証方法であって、
   前記端末が受け付けた操作の内容と前記端末で撮影された撮影画像とを前記端末から受信する受信ステップと、
   前記端末が受け付けた操作に対して認証を行う認証ステップと、
   を有し、
   前記認証ステップは、操作の内容と該操作を行う操作者と該操作を認証する認証者とが対応づけられた認証情報から、前記端末が受け付けた操作を行う操作者と認証者とを取得し、取得した操作者と認証者とが前記撮影画像に写っているか否かの判定を行うことで認証を行う、認証方法。
6. コンピュータを、請求項１乃至４のいずれか一項に記載の認証装置の各手段として機能させるためのプログラム。

Images