JP2021072047A - セキュリティ管理システム及びセキュリティ管理方法 - Google Patents

Abstract

【課題】記憶媒体を介して受け渡しされるソフトウエアのすり替えや改竄を防止するセキュリティ管理技術を提供する。
【解決手段】セキュリティ管理システム１０は、ソフトウエアＰを第１施設１１において記憶する格納手段１５と、同一の秘匿情報や情報Ｑが記録される第１記録手段２１及び第２記録手段２２と、第１施設１１で秘匿情報や情報ＱとソフトウエアＰとを結合し第１認証符号Ｋ₁を演算する第１演算手段３１と、第１認証符号Ｋ₁及びソフトウエアＰを記憶媒体３５に書き込む書込手段１６と、記憶媒体３５から第１認証符号Ｋ₁及びソフトウエアＰを読み出す読出手段１７と、第２施設１２で秘匿情報や情報ＱとソフトウエアＰとを結合し第２認証符号Ｋ₂を演算する第２演算手段３２と、第１認証符号Ｋ₁及び第２認証符号Ｋ₂を照合する照合手段１８と、を備えている。
【選択図】図１

Description

本発明の実施形態は、記憶媒体でソフトウエアを受け渡しする際のセキュリティ管理技術に関する。

社会インフラ、各種のプラントや工場などには、外部の通信ネットワークと接続されない施設もある。このような施設に配置された設備についてソフトウエアの保守や改造を行う場合は、必要なソフトウエアを記憶した記憶媒体が用いられる。ソフトウエアが記憶された記憶媒体が施設へ持ち込まれ、対象設備に接続されて必要な処理が行われる。このような記憶媒体によるソフトウエアの受け渡しではセキュリティ管理が重要である。

記憶媒体を施設内の設備に接続し、セキュリティ管理を行ったあとにソフトウエア処理する従来のセキュリティ管理システムとして、例えば図５に示すものがある。図５に示す従来のセキュリティ管理システムは、工場内に設置され必要なソフトウエアを検査して第１記憶媒体４０に記憶する操作手段４１と、第１記憶媒体４０が持ち込まれる施設内に設置され第１記憶媒体４０を検査し記憶情報を第２記憶媒体４２へ複製する検査手段４３とから構成されている。そして第２記憶媒体４２が対象設備４４に接続され、必要なソフトウエア処理が行われる（例えば、特許文献１参照）。

ここで、工場内の操作手段４１では、ソフトウエアに対してハッシュ値Ｈｔの算出、ウイルス検査、シリアル番号の付与が行われ、これらを暗号化して、第１記憶媒体４０へ記憶する。第２記憶媒体４２は、施設内の検査手段４３に接続されて復号され、ソフトウエアのハッシュ値Ｈｒの算出と照合、ウイルス検査、シリアル番号の確認が行われる。算出された二つのハッシュ値Ｈｔ，Ｈｒの比較から改竄が判定され、シリアル番号の確認からすり替えが判定される。そして問題がなければソフトウエアとシリアル番号は第２記憶媒体４２へ複製され、第２記憶媒体４２が対象設備４４へ接続されてシリアル番号が再度確認された後、必要なソフトウエアの処理が行われる。

特開２０１８−１３３０３０号公報

ところで、上述した従来システムでは、記憶媒体とは別に、照合用のシリアル番号を施設内へ持ち込む必要がある。このため、持ち込まれる照合用のシリアル番号の漏洩や改竄のおそれがある。シリアル番号の漏洩は、記憶媒体に書き込まれたソフトウエアに関する情報のすり替えや漏洩につながる。またシリアル番号の改竄で照合エラーが起き、ソフトウエア処理の作業を妨げることになる。さらには工場内で記憶媒体にソフトウエアを書き込む際に人為的なミスが起こり、シリアル番号との関連付けを間違うという課題もある。

本発明の実施形態はこのような事情を考慮してなされたもので、記憶媒体を介して受け渡しされるソフトウエアのすり替えや改竄を防止するセキュリティ管理技術を提供することを目的とする。

実施形態に係るセキュリティ管理システムにおいて、第１施設において第２施設の設備に関わるソフトウエアが記憶される格納手段と、前記第１施設及び前記第２施設の各々に設けられ同一の秘匿情報や情報が記録される第１記録手段及び第２記録手段と、前記第１記録手段に記録された前記秘匿情報や情報と前記格納手段に格納された前記ソフトウエアとを結合し第１認証符号を演算する第１演算手段と、前記第１施設に設けられ前記第１認証符号及び前記ソフトウエアを記憶媒体に書き込む書込手段と、前記第２施設に設けられ前記記憶媒体から前記第１認証符号及び前記ソフトウエアを読み出す読出手段と、前記第２記録手段に記録された前記秘匿情報や情報と前記読出手段で読み出された前記ソフトウエアとを結合し第２認証符号を演算する第２演算手段と、前記第２施設に設けられ前記第１認証符号及び前記第２認証符号を照合する照合手段と、を備える。

本発明の実施形態により、記憶媒体を介して受け渡しされるソフトウエアのすり替えや改竄を防止するセキュリティ管理技術が提供される。

本発明の第１実施形態に係るセキュリティ管理システムのブロック図。 第２実施形態に係るセキュリティ管理システムのブロック図。 （Ａ）（Ｂ）（Ｃ）（Ｄ）実施形態に係るセキュリティ管理システムの構成要素の第２施設内における配置例を示す図。 実施形態に係るセキュリティ管理方法を説明するフローチャート。 従来例に係るセキュリティ管理システムのブロック図

（第１実施形態）
以下、本発明の実施形態を添付図面に基づいて説明する。図１は本発明の第１実施形態に係るセキュリティ管理システム１０Ａのブロック図である。このように、セキュリティ管理システム１０Ａ（１０）は、第１施設１１において第２施設１２の設備３０に関わるソフトウエアＰが記憶される格納手段１５と、第１施設１１及び第２施設１２の各々に設けられ同一の秘匿情報や情報Ｑ（Ｑ₁、Ｑ₂、Ｑ₃、Ｑ₅）が記録される第１記録手段２１及び第２記録手段２２と、第１記録手段２１に記録された秘匿情報や情報Ｑと格納手段１５に格納されたソフトウエアＰとを結合し第１認証符号Ｋ₁を演算する第１演算手段３１と、第１施設１１に設けられ第１認証符号Ｋ₁及びソフトウエアＰを記憶媒体３５に書き込む書込手段１６と、第２施設１２に設けられ記憶媒体３５から第１認証符号Ｋ₁及びソフトウエアＰを読み出す読出手段１７と、第２記録手段２２に記録された秘匿情報や情報Ｑと読出手段１７で読み出されたソフトウエアＰとを結合し第２認証符号Ｋ₂を演算する第２演算手段３２と、第２施設１２に設けられ第１認証符号Ｋ₁及び第２認証符号Ｋ₂を照合する照合手段１８と、を備えている。

そしてセキュリティ管理システム１０Ａ（１０）において、秘匿情報や情報Ｑは、設備３０の識別情報Ｑ₁、ソフトウエアＰの属性情報Ｑ₂、ソフトウエアＰの保守履歴を示す履歴情報Ｑ₃、及び秘匿情報Ｑ₅の中から選択される１つ又は２つ以上を結合したものである。そして所定の時間毎又は使用回数毎に更新される共通の秘匿情報Ｑ₅は、第１施設１１及び第２施設１２の各々に配置した認証手段（図示略）で発生させ、第１記録手段２１及び第２記録手段２２の各々に記録されるものである。

さらにセキュリティ管理システム１０Ａ（１０）は、第１施設１１に暗号手段２５が設けられ、第２施設１２に復号手段２６が設けられている。なお暗号手段２５及び復号手段２６を設けない場合であっても、第１認証符号Ｋ₁及び第２認証符号Ｋ₂の照合により、ソフトウエアＰがすり替え又は改竄されているか否かの判断は可能である。

共通鍵暗号化方式を採用する場合、暗号手段２５は、秘匿情報や情報Ｑを共通暗号鍵にして、記憶媒体３５に書き込む前に、第１認証符号Ｋ₁及びソフトウエアＰを暗号化する。そして復号手段２６は、秘匿情報や情報Ｑを共通暗号鍵にして、第１認証符号Ｋ₁及びソフトウエアＰを復号化する。また暗号手段２５及び復号手段２６に暗号鍵の発生器を設け、時間や使用回数で暗号鍵を変更してもよい。記憶媒体３５の移送等で、暗号化と復号化のタイミングに時間差が生じるが、暗号鍵を変更する時間間隔や時刻は、この時間差を考慮して設定することもできる。

また公開鍵暗号化方式を採用する場合、暗号手段２５は、記憶媒体３５に書き込む前に、第１認証符号Ｋ₁及びソフトウエアＰを、公開暗号鍵により暗号化する。そして復号手段２６は、秘密暗号鍵により、第１認証符号Ｋ₁及びソフトウエアＰを復号化する。公開鍵暗号方式として、ＲＳＡ、ＥｌＧａｍａｌ、楕円ＥｌＧａｍａｌなどが適用できる。暗号鍵は正規ユーザのみが取り扱い可能であり、各種の認証手段で管理され、また暗号鍵の保護にあたっては記憶装置の物理的な切り離し、一方向伝送装置による記憶装置の保護などが行われる。

設備３０は、電気、上下水道やガスなどの社会インフラ、鉄鋼や化学等のプラントや工場などの施設（第２施設１２）における設備機器である。これらの設備機器には多種多様な電子機器が使用され、その数量も多い。これら設備３０に関するソフトウエアＰは、バージョンアップなどの更新、保守点検や改造などを行うソフトウエアである。これら設備３０の更新、保守や改造は、第１施設１１と第２施設を結ぶ通信ネットワークがあれば、これに接続することで容易に可能である。

しかし、そのような通信ネットワークを用いる方法では、情報漏えい、改竄、成りすまし、マルウエア感染などセキュリティ上の懸念がある。さらにその他の事情により、第１施設１１と第２施設を通信ネットワークで結べない場合もある。このため、第１施設１１で作成したソフトウエアＰを第１施設１１で記憶媒体３５に記憶させ、この記憶媒体３５を第２施設１２に移送し、設備３０のソフトウエアＰの更新、保守点検や改造を行う。ソフトウエアＰは、設備３０に関するもので、ソースコードや実行ファイル、データファイル等が記述されている。

第１記録手段２１は、ソフトウエアＰを取り扱う工場内（第１施設１１）に設置され、マイクロコントローラ、パーソナル・コンピューター、スーパーコンピューターなどの汎用の電子機器、あるいは専用の電子装置で構成され、その記録装置である。この記録装置は半導体メモリ、ＲＡＭ、各種ストレージなどである。なお各実施形態において第１記録手段２１には、識別情報Ｑ₁、属性情報Ｑ₂、履歴情報Ｑ₃、秘匿情報Ｑ₅で例示される秘匿情報や情報Ｑが記録されている。これら秘匿情報や情報Ｑ（Ｑ₁、Ｑ₂、Ｑ₃、Ｑ₅）は、ハードウェアとしては一つの記録装置に記録される場合の他に、それぞれ別々に異なるハードウェアの記録装置に記録される場合もある。

設備３０の識別情報Ｑ₁については特に制限がなく、設備３０のＩＰアドレスやＭＡＣアドレス、設備３０の管理番号や名称、暗号鍵、乱数などが適用できる。この識別情報Ｑ₁は、第１記録手段２１に記憶され、正規ユーザのみが取り扱い可能である。正規ユーザは、パスワードや生体認証、物理キー、あるいはこれらの認証手段を組み合わせて管理される。なお秘匿情報や情報Ｑ（Ｑ₁、Ｑ₂、Ｑ₃、Ｑ₅）の保護にあたっては、暗号化、記憶装置の物理的な切り離し、一方向伝送装置による記憶装置の保護などが行われる。

第２施設１２の第２記録手段２２は、第１施設１１の第１記録手段２１と同様の構成であり、設備３０へ直接、必要な時に接続することができる。あるいはこの第２記録手段２２は、設備３０に組み込ませることもできる。第２施設１２の第２記録手段２２は、そもそも該当のソフトウエアＰに関わりがあるソフトウエアＰ₀を取り扱う工場内（第１施設１１）から出荷されるため、出荷時に第１記録手段２１に記録された秘匿情報や情報Ｑを、第２記録手段２２に容易かつ安全に複製して記録できる。第２記録手段２２に記録される秘匿情報や情報Ｑは、第１記録手段２１に記録される秘匿情報や情報Ｑと同様、正規ユーザのみが取り扱い可能であり、各種の認証手段で管理され、また秘匿情報の保護にあたっては暗号化、記憶装置の物理的な切り離し、一方向伝送装置による記憶装置の保護などが行われる。

属性情報Ｑ₂とは、例えば、ソフトウエアＰ₀の名称、種類、用途、製造番号、製造業者、製造年月日、製造場所、バージョン情報、固有番号、あるいはソフトウエアＰ₀のソースコードや実行ファイル、データファイルそのものである。第１記録手段２１及び第２記録手段２２に記録される属性情報Ｑ₂は、正規ユーザのみが取り扱い可能であり、各種の認証手段で管理され、また属性情報Ｑ₂の保護にあたっては、暗号化、記憶装置の物理的な切り離し、一方向伝送装置による記憶装置の保護などが行われる。

履歴情報Ｑ₃とは、例えば、設備３０のそれぞれに適用されるソフトウエアＰ₀の、保守履歴が反映されたバージョン情報、名称、製造番号、固有番号、製作年月日、あるいは保守または改造後のソフトウエアＰ₀のソースコードや実行ファイル、データファイルそのものである。第１記録手段２１及び第２記録手段２２に記録される履歴情報Ｑ₃は、正規ユーザのみが取り扱い可能であり、各種の認証手段で管理され、また秘匿情報の保護にあたっては暗号化、記憶装置の物理的な切り離し、一方向伝送装置による記憶装置の保護などが行われる。

格納手段１５は、ソフトウエアＰやソフトウエアＰ₀としてのプログラム本体、属性情報や履歴情報等のデータを格納する必要があるため、リレーショナルデータベースやＮｏｎＳＱＬデータベースなどのデータベースで構築される。格納手段１５は、正規ユーザのみが操作可能であり、各種の認証手段で管理され、また格納手段１５の物理的な切り離し、一方向伝送装置による格納手段１５の保護などが行われる。

第１演算手段３１は、第１記録手段２１に記録されている秘匿情報や情報Ｑ及び格納手段１５に格納されているソフトウエアＰを結合し第１認証符号Ｋ₁を演算する。第２演算手段３２は、第２記録手段２２に記録されている秘匿情報や情報Ｑ及び読出手段１７で読み出されたソフトウエアＰを結合し第２認証符号Ｋ₂を演算する。この演算手段３１，３２で採用される秘匿情報や情報Ｑは、設備３０の識別情報Ｑ₁、ソフトウエアＰ₀の属性情報Ｑ₂、ソフトウエアＰ₀の保守履歴を示す履歴情報Ｑ₃、秘匿情報Ｑ₅の中から選択される１つ又は２つ以上を結合したものとすることができる。

秘匿情報や情報Ｑ及びソフトウエアＰは、バイナリ値で表現される。属性情報Ｑ₂については、名称、種類、用途、製造番号、製造業者、製造年月日・・・・を任意の数だけ選び出してバイナリ値へ変換し、任意の順序での連結や四則演算を行って求める。履歴情報Ｑ₃も属性情報Ｑ₂と同様の手順で生成される。

そして秘匿情報や情報Ｑ（Ｑ₁、Ｑ₂、Ｑ₃、Ｑ₅）及びソフトウエアＰの結合は、四則演算（ＡＮＤ、ＯＲ、ＸＯＲ）や四則演算を組み合せた計算により行われる。そして計算された結合値に、一方向性関数や認証付きブロック暗号のアルゴリズムなどを適用して第１認証符号Ｋ₁及び第２認証符号Ｋ₂を求める。一方向性関数には、例えば、ＭＤ２、ＭＤ４、ＭＤ５、ＳＨＡ−１、ＳＨＡ−２、ＳＨＡ−３、ＲＩＰＥＭＤ−１２８、ＲＩＰＥＭＤ−１６０のようなハッシュ関数が適用できる。また認証付きブロック暗号のアルゴリズムにはＣＢＣ−ＭＡＣ、ＣＭＡＣ、ＣＣＭ、ＧＣＭ／ＧＭＡＣなどが適用できる。このような関数や認証付きブロック暗号のアルゴリズムには、出力値から入力値を求めることが非常に困難、出力値が与えられた時にその出力値となる別の入力値を見つけることが非常に困難、同一の出力値が得られる異なる入力値を見つけることが非常に困難、という性質がある。

暗号手段２５は、第１認証符号Ｋ₁及びソフトウエアＰを暗号化する。暗号鍵は、第１記録手段２１に記録されている秘匿情報や情報Ｑで代用することができる。暗号にはブロック暗号、あるいは第１演算手段３１でハッシュ関数を適用する時にはストリーム暗号が適用できる。ブロック暗号にはＡＥＳ、３ＤＥＳなどが適用できる。暗号鍵は正規ユーザのみが取り扱い可能であり、各種の認証手段で管理され、また暗号鍵の保護にあたっては記憶装置の物理的な切り離し、一方向伝送装置による記憶装置の保護などが行われる。

記憶媒体３５は、ＵＳＢフラッシュメモリ、ＳＤ／ＳＤＨＣ／ＳＤＸＣカード、外付けＨＤＤやＦＤＤ、記録型ＣＤ／ＤＶＤ、Ｂｌｕｅ−ｒａｙなどのメディアが適用できる。記憶容量などに応じてメディアを選定する。また記憶媒体３５の不良や入出力時の不具合、さらには改竄を想定し、同一内容を記憶した複数の記憶媒体３５を用いることができる。

書込手段１６は、第１認証符号Ｋ₁が付与されたソフトウエアＰを、記憶媒体３５に出力する各種のコネクタやドライブである。書込手段１６として、例えば、ＵＳＢコネクタ、有線ＬＡＮコネクタ、ＦＤＤドライブ、カードスロットなどが挙げられる。そして書込手段１６は、第１認証符号Ｋ₁が付与されたソフトウエアＰ、さらに必要に応じて書き込み時刻も合わせて付与して暗号化される。なお必ずしも暗号化する必要はない。

読出手段１７は，書込手段１６と同様の構造であり、記憶媒体３５を接続して第１認証符号Ｋ₁が付与されたソフトウエアＰ又はこれらの暗号化データを読み出す。そして読出手段１７は、第１認証符号Ｋ₁が付与されたソフトウエアＰ又はこれらの暗号化データに対し、読み出し時刻も合わせて付与することができる。

復号手段２６は、暗号化データから第１認証符号Ｋ₁及びソフトウエアＰを復号する。復号鍵は、暗号手段２５の暗号鍵と同一にする運用が容易である。復号手段２６は、第１施設１１から第２施設１２に出荷されるため、出荷時に暗号手段２５の暗号鍵を容易かつ安全に複製し、復号鍵として復号手段２６に共有させることができる。復号手段２６の復号鍵は暗号手段２５の暗号鍵と同様、正規ユーザのみが取り扱い可能であり、各種の認証手段で管理され、また暗号鍵の保護にあたっては記憶装置の物理的な切り離し、一方向伝送装置による記憶装置の保護などが行われる。なお復号鍵は第２記録手段２２に記録されている秘匿情報や情報Ｑで代用することもできる。また暗号手段２５と復号手段２６に同一の鍵発生手段を設けて時間や使用回数で暗号鍵及び復号鍵を変えることもできる。

第２演算手段３２は、第１施設１１の第１演算手段３１と完全に同一の演算を行う。第２演算手段３２は、第２記録手段２２から秘匿情報や情報Ｑを取り出し、読出手段１７を経由したソフトウエアＰに結合し、第２認証符号Ｋ₂を演算する。この時、ハッシュ関数や認証付きブロック暗号のアルゴリズムの性質から、第２認証符号Ｋ₂をとる秘匿情報や情報Ｑ及びソフトウエアＰの組み合わせは、一意である。

照合手段１８では、書込手段１６における書き込み時刻と読出手段１７における（又は照合時における）読み出し時刻を比較し、経過時間が予め設定された時間以上の場合にはソフトウエアＰの受領を拒否する。経過時間が予め設定された時間以内の場合は、メッセージ認証手法を応用して第１演算手段３１で演算された第１認証符号Ｋ₁と第２演算手段３２で演算された第２認証符号Ｋ₂とを照合する。第１認証符号Ｋ₁と第２認証符号Ｋ₂とが一致する場合、秘匿情報や情報Ｑ（Ｑ₁、Ｑ₂、Ｑ₃、Ｑ₅）及びソフトウエアＰが、第１施設１１と第２施設１２との間の受け渡し前後で同一であることが確認できる。ここで第１認証符号Ｋ₁と第２認証符号Ｋ₂が一致しない場合は、秘匿情報や情報Ｑ（Ｑ₁、Ｑ₂、Ｑ₃、Ｑ₅）及びソフトウエアＰのうち少なくとも一つが同一でないことを表している。この場合、第１施設１１と第２施設１２との間で受け渡しが行われる際に、ソフトウエアＰのすり替え又は改竄の発生が疑われる。

次に、第１実施形態の効果について説明する。セキュリティ管理システム１０Ａでは、記憶媒体３５を用いて、設備３０が設置された第２施設１２に、第１認証符号Ｋ₁を付与したソフトウエアＰを受け渡す。第２施設１２で演算した第２認証符号Ｋ₂とこの第１認証符号Ｋ₁とを対比することにより、記憶媒体３５に書き込まれる前と読み出される後とで、ソフトウエアＰの一致／不一致を確認することができる。これにより、ソフトウエアＰは、正規ユーザから送信されたこと、移送途中で改竄やすり替えがないことが確認される。これにより、ソフトウエアＰによる設備３０に対するソフトウエアＰ₀の更新、保守点検や改造の際に、セキュリティ強化が実現される。なお、設備３０に対するソフトウエアＰ₀の更新、保守点検や改造後にはＰ₀、Ｑ₂が最も新しい状態に更新される。また、その更新履歴がＱ₃に追加される。

さらに第１実施形態のセキュリティ管理システム１０Ａでは、記憶媒体３５で第１施設１１から第２施設１２へ移送されるソフトウエアＰ及び第１認証符号Ｋ₁は暗号化されている。これによって、記憶媒体３５で移送されるソフトウエアＰに関する情報漏洩を防止できる。

さらに第１実施形態のセキュリティ管理システム１０Ａでは、第１施設１１から移送されるソフトウエアＰに、記憶媒体３５に対する書き込み時刻が付与される。これにより、第２施設１２で受け渡されたときの読み取り時刻から、ソフトウエアＰの移送に要した経過時間を求めることができる。これにより、経過時間が予め設定した時間以上の場合には、ソフトウエアＰの盗難やすり替え、改竄の可能性を想定することができる。

（第２実施形態）
次に図２を参照して本発明における第２実施形態について説明する。図２は第２実施形態に係るセキュリティ管理システム１０Ｂのブロック図である。なお、図２において図１と共通の構成又は機能を有する部分は、同一符号で示し、重複する説明を省略する。このように、第２実施形態のセキュリティ管理システム１０Ｂ（１０）は、第１実施形態と同様、第１施設１１には、ソフトウエアＰの格納手段１５と、秘匿情報や情報Ｑが記録される第１記録手段２１と、第１認証符号Ｋ₁を演算する第１演算手段３１と、記憶媒体３５に書き込みを行う書込手段１６と、が設けられ、第２施設１２には、秘匿情報や情報Ｑが記録される第２記録手段２２と、第２認証符号Ｋ₂を演算する第２演算手段３２と、記憶媒体３５から読み出しを行う読出手段１７と、第１認証符号Ｋ₁及び第２認証符号Ｋ₂を照合する照合手段１８と、が設けられている。

そして第２実施形態のセキュリティ管理システム１０Ｂの秘匿情報や情報Ｑには、第１実施形態における識別情報Ｑ₁、属性情報Ｑ₂、履歴情報Ｑ₃、秘匿情報Ｑ₅に加え、さらに記憶媒体３５を区別する記憶媒体固有情報Ｑ₄も含まれている。さらに履歴情報Ｑ₃には、ソフトウエアＰのマルウエア検査の項目が追加されている。マルウエア検査の項目とは、例えば、適用される検査ソフトウエアのバージョン情報、名称、製造番号、固有番号、製作年月日、あるいは検査ソフトウエアそのものである。検査ソフトウエアは正規ユーザのみが操作可能であり、各種の認証手段で管理され、また検査ソフトウエアの保護にあたっては記憶装置の物理的な切り離し、一方向伝送装置による記憶装置の保護などが行われる。

第１施設１１で実施したマルウエア検査の内容（検査実施の有無も含む）は、第１記録手段２１及び第２記録手段２２の両方に記録されている履歴情報Ｑ₃に追加される。このマルウエア検査の内容の追加は、正規ユーザのみが操作可能であり、各種の認証手段で管理され、また検査有無と検査内容の保護にあたっては暗号化、記憶装置の物理的な切り離し、一方向伝送装置による記憶装置の保護などが行われる。なお、第２施設１２においてもマルウエア検査を実施することができ、その内容は、第１施設１１で実施した場合と同様に第１記録手段２１及び第２記録手段２２の両方に記録されている履歴情報Ｑ₃に追加される。

記憶媒体３５の固有情報Ｑ₄とは、例えば、名称、種類、製造番号、製造業者、製造年月日、固有番号などである。記憶媒体３５の固有情報Ｑ₄は、正規ユーザのみが取り扱い可能であり、各種の認証手段で管理され、また記憶媒体３５の固有情報の保護にあたっては暗号化、記憶装置の物理的な切り離し、一方向伝送装置による記憶装置の保護などが行われる。また記憶媒体３５の固有情報Ｑ₄は、異なる記憶媒体３５と一緒に必要に応じて追加記憶することができる。

また第２実施形態のセキュリティ管理システム１０Ｂにおいて、履歴情報Ｑ₂には、記憶媒体３５の接続回数の項目が追加されるようにしてもよい。この場合、記憶媒体３５の書込手段１６への接続回数が番号管理される。管理番号は連続する数字だけではなく、予め順番が決められた番号であればよく、また番号には数字以外が含まれていてもよいし、数字以外でも構成できる。書込手段１６への接続回数は、正規ユーザのみが取り扱い可能であり、各種の認証手段で管理され、また書込手段１６への接続回数情報の保護にあたっては暗号化、記憶装置の物理的な切り離し、一方向伝送装置による記憶装置の保護などが行われる。

第２実施形態の効果について説明する。セキュリティ管理システム１０Ｂでは、少なくとも第１施設１１においてソフトウエアＰのマルウエア検査を行い、この検査内容を履歴情報Ｑ₃に反映させて第１施設１１及び第２施設１２で共有させる。さらに、使用する記憶媒体３５についてもその固有情報Ｑ₄や接続回数等に基づいて同一性を確認する。これによって設備３０のマルウエア感染を防ぐとともに、情報漏洩、改竄、すり替えの防止を万全にすることができる。

図３（Ａ）（Ｂ）（Ｃ）（Ｄ）は、各実施形態に係るセキュリティ管理システム１０の構成要素の第２施設１２内における配置例を示す図である。図１及び図２に示すように、セキュリティ管理システム１０の第２施設１２内における構成要素は、読出手段１７，復号手段２６，第２演算手段３２，照合手段１８，第２記録手段２２，設備３０である。これらのうち設備３０の除く構成要素は、任意に組み合わされてユニット３６，３６ａ，３６ｂを形成する。そしてこれらユニット３６，３６ａ，３６ｂは、ケーブル３７を介して設備３０に接続されるか、もしくは独立して配置される。

図４のフローチャートを参照して実施形態に係るセキュリティ管理方法を説明する（適宜、図１参照）。設備３０について、更新、保守点検や改造を行う必要性が生じた場合、格納手段１５に格納したソフトウエアＰの中から必要なものが選定される（Ｓ１１）。なお、必要に応じてソフトウエアＰのマルウエア検査を実施して、その健全性を確認する。これと並行して設備３０の識別情報Ｑ₁、ソフトウエアＰ₀に関する属性情報Ｑ₂、さらにソフトウエアＰ₀及びソフトウエアＰに関する更新、保守点検や改造に関する履歴情報Ｑ₃、記憶媒体３５の固有情報Ｑ₄、秘匿情報Ｑ₅等が記録された秘匿情報や情報Ｑを、第１記録手段２１から抽出する（Ｓ１２）。なおマルウエア検査を実施した場合は、検査結果の内容が含まれるように履歴情報Ｑ₃が更新されている。また記憶媒体３５の書込手段１６への接続回数も考慮する場合はその情報も含まれるように履歴情報Ｑ₃が更新されている。

そして第１施設１１の第１演算手段３１は、第１記録手段２１から抽出された秘匿情報や情報Ｑ（Ｑ₁、Ｑ₂、Ｑ₃、Ｑ₄、Ｑ₅）及び格納手段１５から抽出されたソフトウエアＰを結合したうえで（Ｓ１３）、第１認証符号Ｋ₁を演算する（Ｓ１４）。その後、第１認証符号Ｋ₁はソフトウエアＰに付与（Ｐ||Ｋ₁と略記）され（Ｓ１５）、識別情報Ｑ₁を暗号鍵として暗号手段２５において暗号化される（Ｓ１６）。ここで識別情報Ｑ₁は、第１施設１１及び第２施設１２の両者のみで共有される秘匿情報や情報Ｑである。暗号化されたＰ||Ｋ₁は記憶されるか、または書込手段１６で記憶媒体３５に書き込まれる（Ｓ１７）。ここで記憶媒体３５の不良や入出力時の不具合、さらには改竄を想定し、同一内容を記憶した複数以上の記憶媒体３５を用意することができる。

記憶媒体３５は、第１施設１１から第２施設１２に移送され（Ｓ１８）、読出手段１７へ接続され、Ｐ||Ｋ₁が読み出される（Ｓ１９）。この過程でＰ||Ｋ₁は、暗号化されていることにより、記憶媒体３５が盗難にあっても情報が漏洩することはない。また複数の記憶媒体３５を用いた場合は、読出手段１７への接続時に記憶内容が全て同一であることを比較確認することで不良や入出力時の不具合、さらには改竄を見つけることができる。

記憶媒体３５から読み出された、暗号化済のＰ||Ｋ₁は、第２記録手段２２から抽出される識別情報Ｑ₁を復号鍵として復号手段２６において復号され（Ｓ２０）、ソフトウエアＰ、第１認証符号Ｋ₁及び書き込み時刻が取り出される。なお、取り出したソフトウエアＰに対しマルウエア検査を実施してもよい。第２施設１２の第２演算手段３２は、第２記録手段２２から抽出された秘匿情報や情報Ｑ（Ｑ₁、Ｑ₂、Ｑ₃、Ｑ₄、Ｑ₅）とＰ||Ｋ₁から抽出されたソフトウエアＰとを結合したうえで（Ｓ２１）、第２認証符号Ｋ₂を演算する（Ｓ２２）。

照合手段１８では、第１施設１１における書込時刻と第２施設１２における読出時刻とを比較する（Ｓ２３）。その差分である経過時間が予め設定した時間以上の場合は（Ｓ２４ Ｎｏ）、漏洩、すり替え、改竄の可能性があると想定し、ソフトウエアＰの受領を拒否する（Ｓ２５ ＥＮＤ）。そして、経過時間が予め設定した時間内である場合は（Ｓ２４ Ｙｅｓ）、第１認証符号Ｋ₁と第２認証符号Ｋ₂を照合する（Ｓ２６）。そして両者が一致すれば（Ｓ２６ Ｙｅｓ）、ハッシュ関数や認証付きブロック暗号のアルゴリズムの性質から、第１施設１１の格納手段１５に格納されていたものと第２施設１２に受け渡されたものとは、ソフトウエアＰとして同一なものと判断され受領される（Ｓ２７ ＥＮＤ）。そして第１認証符号Ｋ₁≠第２認証符号Ｋ₂となれば（Ｓ２６ Ｎｏ）、ソフトウエアＰの受領を拒否する（Ｓ２５ ＥＮＤ）。

識別情報Ｑ₁や秘匿情報Ｑ₅が一致していることにより、ソフトウエアＰの発送元が正規ユーザからであることが保証され、ソフトウエアＰが一致していることにより、すり替えや改竄がないと判定される。また属性情報Ｑ₂が一致していることにより、対象としている設備３０で使用されているソフトウエアであることが保証され、履歴情報Ｑ₃が一致していることにより、今回適用されるソフトウエアＰのバージョンや仕様に間違いないことが判定できる。そして、このソフトウエアＰを設備３０に適用して更新、保守点検や改造がなされる。

以上述べた少なくともひとつの実施形態のセキュリティ管理システムによれば、二つの施設の両方に持たせた同一の秘匿情報をソフトウエアに付与して認証符号を演算することで、記憶媒体を介し施設間で受け渡しされるソフトウエアのすり替えや改竄を、より一層効果的に防止することが可能となる。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更、組み合わせを行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

１０（１０Ａ，１０Ｂ）…セキュリティ管理システム、１１…第１施設、１２…第２施設、１５…格納手段、１６…書込手段、１７…読出手段、１８…照合手段、２１…第１記録手段、２２…第２記録手段、２５…暗号手段、２６…復号手段、３０…設備、３１…第１演算手段、３２…第２演算手段、３５…記憶媒体、３６（３６ａ，３６ｂ）…ユニット、３７…ケーブル、Ｐ…ソフトウエア、Ｑ…秘匿情報、Ｑ₁…識別情報、Ｑ₂…属性情報、Ｑ₃…履歴情報、Ｑ₄…記憶媒体固有情報、Ｑ₅…秘匿情報、Ｋ₁…第１認証符号、Ｋ₂…第２認証符号。

Claims (10)

1. 第１施設において、第２施設の設備に関わるソフトウエアが記憶される格納手段と、
   前記第１施設及び前記第２施設の各々に設けられ、同一の秘匿情報や情報が記録される第１記録手段及び第２記録手段と、
   前記第１記録手段に記録された前記秘匿情報や情報と前記格納手段に格納された前記ソフトウエアとを結合し、第１認証符号を演算する第１演算手段と、
   前記第１施設に設けられ、前記第１認証符号及び前記ソフトウエアを記憶媒体に書き込む書込手段と、
   前記第２施設に設けられ、前記記憶媒体から前記第１認証符号及び前記ソフトウエアを読み出す読出手段と、
   前記第２記録手段に記録された前記秘匿情報や情報と前記読出手段で読み出された前記ソフトウエアとを結合し、第２認証符号を演算する第２演算手段と、
   前記第２施設に設けられ、前記第１認証符号及び前記第２認証符号を照合する照合手段と、を備えるセキュリティ管理システム。
2. 請求項１に記載のセキュリティ管理システムにおいて、
   前記秘匿情報や情報は、前記設備の識別情報、前記ソフトウエアの属性情報あるいは前記ソフトウエアそのもの、前記ソフトウエアの保守履歴を示す履歴情報あるいは保守及び点検、改造のソフトウエアそのもの、暗号鍵の中から選択される１つ又は２つ以上を結合したものであるセキュリティ管理システム。
3. 請求項１又は請求項２に記載のセキュリティ管理システムにおいて、
   前記第１施設に設けられ、前記記憶媒体に書き込む前に、前記第１認証符号及び前記ソフトウエアを、前記秘匿情報を共通暗号鍵にして暗号化する暗号手段と、
   前記第２施設に設けられ、前記秘匿情報を共通暗号鍵にして、前記第１認証符号及び前記ソフトウエアを復号化する復号手段と、を備えるセキュリティ管理システム。
4. 請求項１又は請求項２に記載のセキュリティ管理システムにおいて、
   前記第１施設に設けられ、前記記憶媒体に書き込む前に、前記第１認証符号及び前記ソフトウエアを、公開暗号鍵により暗号化する暗号手段と、
   前記第２施設に設けられ、秘密暗号鍵により、前記第１認証符号及び前記ソフトウエアを復号化する復号手段と、を備えるセキュリティ管理システム。
5. 請求項２に記載のセキュリティ管理システムにおいて、
   前記秘匿情報には、前記記憶媒体を区別する固有情報も含まれるセキュリティ管理システム。
6. 請求項２に記載のセキュリティ管理システムにおいて、
   前記履歴情報には、前記記憶媒体の接続回数の項目が追加されるセキュリティ管理システム。
7. 請求項２に記載のセキュリティ管理システムにおいて、
   前記履歴情報には、前記ソフトウエアのマルウエア検査の項目が追加されるセキュリティ管理システム。
8. 請求項１に記載のセキュリティ管理システムにおいて、
   前記第１記録手段及び前記第２記録手段に記録される前記秘匿情報は、所定の時間毎又は使用回数毎に更新されるセキュリティ管理システム。
9. 請求項１から請求項８のいずれか１項に記載のセキュリティ管理システムにおいて、
   前記第１施設における前記第１認証符号及び前記ソフトウエアの書込時刻も前記記憶媒体に含め、
   前記第２施設における前記ソフトウエアの読出時刻が、前記書込時刻から予め設定した時間を超過している場合、前記ソフトウエアの受領を拒否するセキュリティ管理システム。
10. 第１施設において、第２施設の設備に関わるソフトウエアを格納手段に記憶するステップと、
    前記第１施設及び前記第２施設の各々に設けられた第１記録手段及び第２記録手段に、同一の秘匿情報や情報を記録するステップと、
    前記第１記録手段に記録された前記秘匿情報や情報と前記格納手段に格納された前記ソフトウエアとを結合し、第１認証符号を演算するステップと、
    前記第１施設に設けられた書込手段で、前記第１認証符号及び前記ソフトウエアを記憶媒体に書き込むステップと、
    前記第２施設に設けられた読出手段で、前記記憶媒体から前記第１認証符号及び前記ソフトウエアを読み出すステップと、
    前記第２記録手段に記録された前記秘匿情報や情報と前記読出手段で読み出された前記ソフトウエアとを結合し、第２認証符号を演算するステップと、
    前記第２施設において、前記第１認証符号及び前記第２認証符号を照合するステップと、を含むセキュリティ管理方法。

Images