JP3831990B2 - 通信データ監査方法および装置 - Google Patents

Description

【０００１】
【発明の属する技術分野】
本発明はコンピュータネットワークにおける通信データの機密性を確保する技術に関する。
【０００２】
【従来の技術】
インタネットおよびイントラネットの普及にともない、いわゆるマルチメディアデータやソフトウエア等のプログラム（以下、コンテンツと記す）をネットワークを介して流通させる上で、以下の問題点が生じている。
【０００３】
(1) 不特定多数の利用者によるコンテンツ複製
流通の末端である計算機（パーソナルコンピュータ）で、コンテンツの複製が容易にできる。しかも、権利者が末端のＰＣの状況を監視できないので、知的財産権を主張しづらい。
【０００４】
(2) コンテンツの利用時に発生する課金
権利者がネットワークを介してコンテンツを送った段階ではなく、利用者がコンテンツを使用して、初めて対価を権利者に支払う後金方式である。しかし、問題点(1)同様に、権利者が末端の状況を監視できないので、利用者に課金を請求しづらい。
【０００５】
このような問題に対処するため、権利者は、自らの情報を電子的なラベルとして添付したコンテンツをネットワークに流通させ、利用者は、コンテンツの使用量に応じ、ラベルに記された権利者に対価を支払う超流通という方式および装置が考案された。超流通は、たとえば
森亮一、河原正治、大瀧保広「超流通：知的財産権処理のための電子技術」、情報処理学会, Vol. 37, No. 2, February, 1996
で開示されている。
【０００６】
【発明が解決しようとする課題】
しかし、上記公知例には、イントラネットの設備者（企業）とシステム管理者にとって、以下の不満足な点がある。
【０００７】
(1) コンテンツの無断流通を抑制できない
システム管理者は、たとえば、ＣＤーＲＯＭやＤＶＤの可搬媒体を用いたインストールする、あるいは、ＦＴＰやＷＷＷ等の通信プログラムを用いてダウンロードし、コンテンツを蓄積するサーバ装置を用意する。一般利用者は、サーバ装置にアクセスすることで、コンテンツを利用できる。
【０００８】
しかし、一般利用者が、システム管理者に無断でコンテンツを導入し、ネットワーク内で流通させる可能性がある。
【０００９】
その際に、計画外のコンテンツの導入により、ハードディスクやネットワーク等の計算機資源を浪費し、業務を阻害するケースが発生する。あるいは、ウィルスがネットワークに混入し、データ破損の経済的被害が発生するケースもありうる。
【００１０】
システム管理者は、ネットワーク内で、利用者がコンテンツを無断に流通していないことを設備者に証明する必要がある。
【００１１】
(2)コンテンツの無断複製行為を抑制できない
権利者と企業の間で、企業内ネットワークに接続した計算機の使用に限り、コンテンツの複製を許すサイトライセンス契約を結ぶ。権利者は、コンテンツの対価が企業から確実に得られる。企業は、一括して契約を結ぶことで、使用料やコンテンツ管理の手間を削減できる。
【００１２】
しかし、一般利用者が、システム管理者や権利者に無断でコンテンツを複製し、契約外のネットワークや計算機で利用する可能性がある。その際に、不正が発覚した場合、権利者が契約違反として企業を訴えるケースが生ずる。
【００１３】
システム管理者は、ネットワーク内で、利用者がコンテンツを無断に複製していないことを権利者に証明する必要がある。
【００１４】
【課題を解決するための手段】
上記目的を達成するために、ラベルをもとに、計算機あるいはネットワークの範囲で有効な機密レベルを検出し、通信データをアクセスあるいは複製した際に、操作者の顔写真あるいは各計算機の操作画面を履歴として記録する。
【００１５】
とくに、機密ラベルの検出にあたり、
（１）機密ラベルが未検出の際に、計算機の操作画面に通信データのアクセス禁止を示す勧告メッセージを表示する。
【００１６】
（２）ファイアウォール等で暗号化されたラベルを、利用者あるいは計算機ごとに独立した暗号鍵で復号する。
【００１７】
であると望ましい。
【００１８】
監査用装置をネットワーク上に設ける。
【００１９】
この監査用装置は、監査者の公開鍵を生成し、計算機に送信する鍵生成手段と、監査者の公開鍵を用いて暗号化した各計算機の履歴を蓄積する履歴蓄積手段と監査者の秘密鍵で操作履歴を復号する履歴復号手段とで構成する装置が望ましい。
【００２０】
監視用装置をネットワーク上に設ける。
【００２１】
この監視用装置は、通信データに添付された機密性を示すラベルと監査規則との対応表を記録する規則設定手段と、計算機の問い合わせに応じて、対応表を検索し、通信データに関する履歴採取の必要性の有無を返信する機密判定手段とで構成する装置が望ましい。
【００２２】
また、上述したラベル制御を前提とするネットワークに設置するファイアウォールは、機密レベルの低いネットワークから受信した通信データに機密レベルの属性を示すラベルを添付する手段と、機密レベルの低いネットワークに送信する通信データから上記ラベルを削除する手段を有することを特徴とする。
【００２３】
とくに、
（１）機密レベルの高いネットワークの少なくとも一つの計算機および少なくとも一人以上の利用者が復号できる暗号化鍵を保有し、通信データとラベルを結合したデータを、上記暗号化鍵を用いて暗号化し、ラベルを暗号化する。
【００２４】
（２）暗号化データを復号する復号鍵を所有し、通信データとラベルが含まれる暗号データを、復号鍵を用いて復号し、通信データとラベルとを分離するラベル削除し、通信データを機密レベルの低いネットワークへ送る履歴を機密レベルに応じて蓄積する。
【００２５】
であると望ましい。
【００２６】
また、ラベル復号用の可搬型カードを各計算機で利用する。
【００２７】
この可搬型カードには、利用者ならび機密レベル別に独立した暗号鍵を蓄積し、ファイアウオールで暗号化したラベルならび通信データを復号する際に用いるのが望ましい。
【００２８】
【発明の実施の形態】
本発明の実施例を図面を用いてより詳細に述べる。
【００２９】
図１は、本発明を施した、計算機におけるコンテンツ監査方法の流れ図である。
【００３０】
図１で、１１１はコンテンツよりラベルを抽出する処理、１１６は抽出したラベルをもとにコンテンツの機密レベルを判定する処理、１２１は、利用者のコンテンツの複製操作を検出する処理、１２２は操作画面を記録する処理である。機密レベルに応じて履歴（操作画面や利用者の顔写真）を記録するかどうかを判定するところに特徴がある。
【００３１】
図２は、本発明のラベルを添付するファイルアウォールの１実施例を示したブロック図である。
【００３２】
図２において、２３１はラベルを添付するプログラム、２３２はラベルとともに通信データを暗号化するプログラム、２４１はラベルを破棄するプログラム、２４２はラベルを復号するプログラムである。ファイルアウォール２１０は、機密レベルの異なるネットワークに接続し、低いレベルのネットワークから送られた通信データを暗号化し、高いレベルのネットワークから送られた通信データを復号するところに特徴がある。
【００３３】
図３は、本発明で記録した操作履歴を暗号化し、監査者用のサーバに送信し、蓄積する構成を示したブロック図である。この例は、暗号鍵と復号鍵が異なる非対称暗号方式を用いた実施例である。
【００３４】
図３で、３６１は（監査者の公開鍵３２１と秘密鍵３２２を生成し）、公開鍵３２１を履歴を記録する各計算機に配布する鍵（生成）配布プログラムである。３６２は各計算機の操作履歴３２４を蓄積するプログラム、３６３は操作履歴３２４を復号し、監査者に提示するプログラムである。図３では、各計算機で暗号化し、監査者サーバに送ることで、業務の機密も守り、かつ、利用者のプライバシも保証するところに特徴がある。
【００３５】
図４は、ラベルの判定をネットワーク上の独立したコンテンツ監視装置で行う１実施例の構成を示したブロック図である。
【００３６】
図４で、４１３と４６３は暗号化通信手段、４６２は判定手段、４６０は、ラベルと操作画面の記録の有無の規則をしるした規則表である。この例では、各計算機でいったんラベルを復号し、別の暗号化プログラム４１３を用いて暗号化し、ラベル判定用にコンテンツ監視装置４５１に送る。４６０の規則表をもとに操作履歴の記録の必要性を判定した結果を返すのが特徴である。
【００３７】
図５以降は、本発明に関連する装置や手順を示した説明図である。
【００３８】
図５は、各計算機でのラベルを検出する手順を示した流れ図である。
【００３９】
図６は、計算機とファイアウォールでのラベルを生成、分離するプログラムの配置を示したブロック図である。この例では、ラベルと通信データとを結合し、暗号化してある（カプセル化）データを、解決するのが特徴である。
【００４０】
図７は、ファイアウォールで暗号化した通信データを、各計算機で復号する手順を示した流れ図である。この例は、暗号鍵と復号鍵が異なる非対称暗号方式を用いた実施例である。
【００４１】
図７で、７０４は、ファイアウォールにおいて、あらかじめ利用者別あるいは計算機別に登録されている公開鍵が存在しないので、ファイアウォール用に登録してある公開鍵を利用するステップ、７１４は、各計算機において、復号できない場合に、改めて、自ら復号可能な公開鍵を添付し、ファイアウォールに再送し、再暗号化を依頼するステップである。
【００４２】
図８は、各計算機で暗号化した通信データを、ファイアウォールにおいて、復号可能であるかを検査する手順を示した流れ図である。８０４は、機密の低いネットワークの通信先の公開鍵がないので、ファイアウォール用に登録してある公開鍵を利用するステップ、８１４は、各計算機において、復号できない場合に、依頼するステップである。
【００４３】
図９は、各計算機の構成で、とくに通信データを暗号化を行うための鍵管理に可搬型カードを用いる場合の構成を示したブロック図である。カード９２１は、ファイアウォールの公開鍵９２１と利用者の暗号鍵９２２を内蔵している。この例は対称暗号アルゴリズムと非対称暗号アルゴリズムとをミックスさせたセッション鍵の交換方式の一実施例を示している。９１４はカード９２１を読み取る装置である。
【００４４】
また、９１３はディジタルカメラである。ＣＲＴ９１２の操作画面９３０だけでなく、操作者の顔写真を同時に記録するのが目的である。
【００４５】
以上の図面を使って、本実施例の詳細な説明をしていく。
【００４６】
ラベルを検出する手順について、図１、図２ならび図５を用いて説明する。
【００４７】
図２はこのラベルを利用するシステムの全体構成を説明する図である。
【００４８】
計算機２０１は機密レベルの低いネットワーク２０２（たとえばＷＡＮ）、計算機２０３は２０２に比べて機密レベルの高いネットワーク２０４（社内ＬＡＮ）に接続する。２０２と２０４との間にファイアウォール２１０が存在する。ファイアウォール２１０には一時記憶装置２１１（たとえば、磁気ディスク、フラッシュメモリ）が接続し、下記に示すようなプログラムやデータ、鍵等を格納する。
【００４９】
計算機２０１から計算機２０３に対し、通信データ２２０を送受信する際に、ラベル２４１をファイアウォール２１０で添付あるいは削除する様子を示す。
【００５０】
ファイアウォール２１０は、各通信データの機密性に応じて通信データの配送、通過停止等の処理を行う。具体的には、２０４内を流れる通信データには、機密性を示すラベルを添付し、計算機２０３では、このラベルを利用した、アクセス制御を行う。ファイアウォール２１０には、２０２から２０４へ流れる通信データにラベルを添付する手段２３１、ならびに２０４から２０２へ流れる通信データ２２０から削除する手段２４１が常駐する。
【００５１】
とくに、ラベル２４１を、計算機２０３やネットワーク２０４上で改ざん、盗聴を防ぐ、ラベル暗号化機能も設けることが望ましい。暗号手段２４３は添付手段２３１と、復号手段２４２は破棄手段２４２と連動する。本実施例では、説明を簡単にするために、非対称暗号を用いた実施例を、以下で説明していく。
【００５２】
計算機２０３の暗号手段２４３とファイアウォールの復号手段２４２、計算機２０３の復号手段２３３とファイアウォールの暗号手段２４２とはそれぞれ対応する暗号・復号プログラムである。２３０、２４０、２４４、２３４は、暗号・復号で使用する鍵である。ファイアウォール２１０の公開鍵２３０で暗号化したラベルを計算機２０３の秘密鍵２３４で復号する。計算機２０３の公開鍵２４４で暗号化したラベルをファイアウォール２１０の秘密鍵２４０で復号する。
【００５３】
本実施例では、とくに、情報データ２２０の送信先・受信元のアドレス（たとえばＩＰアドレス、ＭＡＣアドレス）、サービスの種類（たとえばポート番号：ニュース、ＦＴＰ、ＨＴＴＰ等）、送信先・受信元の利用者ＩＤ等の属性情報とラベル２２１との関連を規定した対応表２２２をファイアウォール２１０に備えることが望ましい。対応ラベルを複数用意し、きめ細かい制御を行うことが可能となる。
【００５４】
図２のシステム構成を踏まえ、図１を用いて、計算機２０３でのコンテンツ監査方法の流れを説明する。
【００５５】
ファイアウォール２１０からラベル２３１を添付した通信データ２３０をダウンロードし（１１０）、暗号化している場合には復号操作も含め、一定形式でのラベルを抽出する（１１１）。もし抽出できない場合には（１１２）、１４０以下のエラー処理を行う。ラベルの内容、たとえば機密を示す種別、利用できる範囲を読み取り、たとえば暗号化ともに行われたディジタル署名をもとに、ラベルが偽造されるかどうかを判定する（１１４）。さらに、ラベルをもとに機密レベル判定する（１１６）。とくにローカルマシンでは判定できない場合には、ネットワーク上のラベル監視サーバ（後述４６２）に問い合わせる、記述されているラベルと機密レベルとの関係（セキュリティ基準にあわせ、指定されている）を検索する（１１５、１３０、１３１）。
【００５６】
機密レベルが判定でき、履歴収集が必要なレベル（たとえば代表的なセキュリティ基準ＴＣＳＥＣでは、Ｂ１レベル以上）のデータと判定された場合に、監視を開始する（１１７）。たとえば、キーボードやマウス等の入力により、ダウンロードした通信データに対するインタラクティブな画面操作が行われる。外部システムへの送信（たとえば電子メール、ＦＴＰ）、ローカルな可搬媒体（たとえば磁気ディスク、ハードディスク）への複写に関する操作を行うことで、ＯＳで規定しているシステム関数、たとえばWindowsでいえばWinsockやFile I/Oが呼ばれることを検出する（１２１）、あるいは一定時間ごとに、たとえば１分おきに（１２５）、操作画面のイメージ、Bitmapをファイルに記録する（１２２）。なお、操作者を写すディジタルカメラが、２０３に接続されているのならば、画面操作同時に記録することで、一層効果的な履歴を残すことができる。ダウンロードした通信データに関する操作するプログラムを終了する（１２４）しない場合には、再びステップ１２１へ戻る（１２３）。
【００５７】
ラベルを用いた機密レベルの判定に関するエラー処理（１４０、１４１）について述べる。ラベルを抽出できない、ラベルが偽造である場合には、不正コンテンツであると端末の利用者に警告を表示し、終了か継続するかどうかの判定を求める（１４０）。利用者が「終了」を選択した場合は、ダウンロードした通信データに関するアクセスを終了する（１４１）。「継続」を選択した場合は、操作履歴を採ることに利用者が同意したと見なし、ステップ１２０へ進む。
【００５８】
図１におけるラベル抽出処理１１１を詳細に述べる。とくに、コンテンツ流通に関し、暗号を用いたカプセル化の一実施例を図５および図６を用いて、説明する。
【００５９】
抽出処理に対応し、ファイアウォール２１０でのラベル添付処理を説明する。
【００６０】
図６において、通信データ２３０は、６１０のコンテンツの本体であるデータ部とコンテンツの属性（シリアル番号、サービスの内容など）を示すヘッダ部６１１とに分かれる。このような属性のヘッダ部に対応し、添付するラベル６１２を決定する（本実施例では"Project"というキーワードに対し、"SECRET,R&D"というラベルが対応）ための対応表２２２に照らしあわるのが、添付手段２３１である。６１２を６１１および６１０と結合し、公開鍵２３０を用いて暗号化する。
【００６１】
このように暗号化した通信データとラベルを分離するのが、抽出処理１１１である。基本的には、添付処理に対応して、逆の処理を行う。秘密鍵２３４を用いて、平文に復号する。図５で、暗号化された通信データかを判定する（５０１）。判定方法としては、たとえばRFC1847(Security Multiparts for MIME: Multipart/Signed and Multipart/Encrypted)で示しているような属性と属性値とを組みとしたタグで判定する方法でおこなう。判定できた場合には、秘密鍵２３４を用いて復号処理を試み（５０３）、復号し（５０４）たのちに、ラベル部分を含んだヘッダ部分（６１２）の範囲を判定し（５０５）、切り取った後（５０６）に、定められたラベルの形式にあわせ（５０７）、各項目（たとえば、機密レベル、カテゴリ）等の検査（５０８）を行う。
【００６２】
次に、図３を用いて、計算機２０３のステップ１２２で一次記憶装置３０１に記録した履歴３２３を、暗号化し、収集するシステムの構成を説明する。
【００６３】
３５１は、監査人専用の計算機であり、３５２はＣＲＴ、３５３は履歴を蓄積する一次記憶装置である。
【００６４】
計算機２０３には、履歴を一次記憶装置３０１に記憶するプログラム３１０、３０１に記憶した履歴３２３を暗号化するプログラム３１１、暗号化した履歴を送付するプログラム３１２を備える。
【００６５】
計算機３５１には、鍵生成ならびに計算機２０３に鍵配布するプログラム３６１、履歴をハードディスク３５３に収集するサーバプログラム３６２、収集した履歴３２４を復号し、ＣＲＴ３５２に表示するプログラム３６３を備える。３２１と３２２は、プログラム３６１が生成する暗号鍵である。３２１は履歴３２３を暗号化する公開鍵、３２２は履歴３２４を復号するための秘密鍵である。あらかじめ、あるいは暗号プログラム３１１が用いる場合に備えて、鍵３２１は計算機２０３に送られ、一次記憶装置３０１に記憶する。
【００６６】
本実施例では、監査者用の公開鍵を使って、暗号化した後に、適宜管理者用の専用装置に送り、履歴の改ざん、盗聴、各計算機でのディスクの消費を防ぐところにある。
【００６７】
次に、図４を用いて、計算機２０３のステップ１３０で、コンテンツに添付されたラベルを抽出し、サーバ４５１に問い合わせるシステム構成を説明する。
【００６８】
４５１は、管理者専用の計算機であり、４５２はＣＲＴ、４５３はラベルと機密レベルとの対応表４６０を格納する一次記憶装置である。
【００６９】
計算機２０３には、一次記憶装置４０１に記憶したコンテンツ４２０ならびにラベル４２３を復号するプログラム２３３、コンテンツをラベルを検査するプログラム４１２、ラベルに関する問い合わせを行う、とくにラベルに関する情報をそのまま暗号化してプログラム４１３を備える。
【００７０】
計算機４５１には、鍵生成ならびに計算機２０３に鍵配布するプログラム４６４、プログラム４１３からの問い合わせに応じ対応する暗号通信プログラム４６３、４６３から呼び出され、暗号化したラベルと機密レベルとの対応表４６０とを比較し、操作履歴を記録すべきかどうかを判定するプログラム４６２、プログラム４６２からさらに呼び出され、ＣＲＴ４５２に、機密アクセス違反が発生し、操作履歴を記録するメッセージを表示する警告プログラムを備える。また、対応表４６０の内容を管理者が設定するなプログラム４６１も備える。４２１と４２２は、プログラム４６４が生成する暗号鍵である。４２１はラベル４２４を暗号化する公開鍵、４２２はラベル４２４を復号するための秘密鍵である。あらかじめ、あるいは暗号プログラム４１３が用いる場合に備えて、鍵４２１は計算機２０３に送られ、一次記憶装置４０１に記憶する。
【００７１】
本実施例では、ラベルに対応する機密性の意味付けをネットワーク上の管理者が定めた対応表４６０上の規則に応じて、動的に変更できるところにある。
【００７２】
図７および図８を用いて、ファイアウォール２１０と計算機２０３での暗号通信の手順を示す。
【００７３】
図７は、ファイアウォール２１０での暗号プログラム２３２、計算機２０３での復号プログラム２３３の処理を示す。ファイアウォール２１０に対応表２２２を備え、行き先の計算機や利用者にあわせて異なる暗号鍵を利用するところに特徴がある。ここでは、ネットワークのパケットのレベルで暗号化を行う例を示す（アプリケーション層での暗号化でも、ＩＰアドレスやポート番号の変わりに、利用者ＩＤ等の情報を使って同様にして行うことができる）。
【００７４】
まず、コンテンツが流れてきたネットワークの機密レベルを送信元のＩＰアドレスで判定し（７０１）、暗号化が必要な場合は、さらに受信先の計算機２０３のＩＰアドレスをパケットから抽出し（７０２）、受信先のＩＰアドレスに対応した公開鍵２３０を使って暗号化し（７０５）、もし公開鍵２３０がないときには（７０３）、ファイアウォール２１０の公開鍵を使って暗号化する（７０４）。暗号化したパケットを計算機２０３へ送付する（７０５）。計算機２０３では、流れてきたパケットが復号が必要な場合には、公開鍵２３０に対応する秘密鍵２３４を用いて復号する（７１２）。復号できない場合には、ステップ７０４の処理が行われたと判定し（７１３）、ファイアウォールに自分の公開鍵２３０とパケットを送り、ファイアウォール内で、いったんパケットを復号したのちに、公開鍵２３０で再暗号化する（７１４）。
【００７５】
本実施例では、ファイアウォールに、外部の計算機との通信を頻繁に行わない計算機では、再暗号化処理を設けることで、応答性能とセキュリティを満足できるようにしてあるところに特徴がある。
【００７６】
図７と逆に、機密の高いネットワークから低いネットワークへのパケットの流れを制御する、ファイアウォール２１０での復号プログラム２４２、計算機２０３での暗号プログラム２４３の処理を図８を使って示す。
【００７７】
ファイアウォール２１０に対応表２２２を備え、行き先の計算機や利用者にあわせて異なる復号鍵を利用するところに特徴がある。ここでは、図７同様にネットワークのパケットのレベルで復号化を行う例を示す。
【００７８】
計算機２０３において、他の計算機へデータを送る場合暗号が必要であると判定し（８０１）、各計算機のＩＰアドレスにあわせた公開鍵で暗号化する（８０５）。送信先がとくに機密レベルが低いネットワーク２０２に属する計算機２０１であると判定した場合は（８０３）、ファイアウォール２１０の公開鍵２３０で暗号化する（８０４）。暗号化した通信データをパケットとして送信する（８０６）。
【００７９】
ファイアウォール２１０において、送信元の計算機２０３のＩＰアドレスをパケットから抽出し、通信データが流れてきたネットワークの機密レベルを送信元のＩＰアドレスで判定し（８１１）、ファイアウォールの秘密鍵２４０を使って復号する（８１２）。復号できた場合には、ファイアウォールから機密レベルの低いネットワーク２０２の計算機２０１へ送付（８１５）、復号できない場合には、ファイアウォールの通過を許さない（８１４）。
【００８０】
本実施例では、外部の計算機にデータ通信を行う場合は、必ずファイアウォールでファイアウォールで平文に復号し、外部への機密持ち出しを監視できるようにしてあるところに特徴がある。
【００８１】
以上、計算機のＩＰアドレスを利用して、暗号鍵を設定する実施例で述べた。以下では、アプリケーション層の利用者ＩＤを利用して、暗号鍵を設定する別の実施例を述べる。
【００８２】
図９は、可搬型媒体（たとえばＰＣＭＣＩＡカード９２０）を用いて、利用者ＩＤに対応した暗号鍵を管理するシステム構成を説明したブロック図である。計算機２０３は、ハードディスクやメモリ、ＣＰＵを内蔵した本体９１１、ＣＲＴ９１２、ディジタルカメラ９１３、カードリーダ９１４、キーボード（マウス）９１５で構成する。ディジタルカメラ９１３、カードリーダ９１４は本体９１１の付属装置である。
【００８３】
ＣＲＴ９１２には操作画面９３０（マルチウィンドウ）が映し出される。キーボード９１５を用いて操作する操作画面９３０ならびに、ディジタルカメラ９１３で写された利用者の顔写真を履歴として記憶する。
【００８４】
カード９２０には、利用者の秘密鍵９２３ならび公開鍵９２４と、ファイアウォールの秘密鍵２４０に対応する公開鍵９２５とを内蔵し、備えているところが特徴である。ファイアウォールには、公開鍵９２４のコピーである公開鍵２３０と、ファイアウォールの秘密鍵２４０とを備えている。可搬媒体９２０を用いて、カードリーダ９１４を備え、プログラム２３３やプログラム２４３を常駐する不特定の計算機で利用することで、利便性が増す。
【００８５】
【発明の効果】
本発明により従来の問題点が解決される。
【００８６】
(1) 契約外のコンテンツの流通を許さない。
【００８７】
各計算機で、ラベルを参照し、正規のラベルが添付していないコンテンツの複製や他システムへの転送が不正であることを明確にするので、不正流通の影響を局所化できる。
【００８８】
(2) 操作画面を履歴として記録することを示し、利用者の無断複製を抑制できる。
【００８９】
利用者に計算機上でコンテンツの複製する操作が履歴として残ること、あわせて無断複製が発覚した際の罰則を示すことで、違反行為を抑制できる。
【００９０】
また、操作画面や顔写真をビジュアルな履歴として記録することで、組織外の監査者が、業務の内容に関わらず客観的に不正行為の有無を判定できる別の効果もある。
【００９１】
本発明では、組織外の第３者である監査者が作業する専用の監査装置をネットワーク上に設け、各計算機での操作履歴を転送し、蓄積する。
【００９２】
この際に、各計算機では監査者の公開暗号鍵を用いて、操作履歴を暗号化する。監査者は、監査要求があった際に初めて、別途厳重に管理した秘密暗号鍵を用いて、蓄積された操作履歴を復号する。このように、各計算機で操作履歴を暗号化し、監査装置に転送することで、監査者以外の利用者や管理者が、操作履歴を参照し、改ざん、隠滅することを防止する。
【００９３】
本発明では、組織内の管理者が作業する専用の監視装置をネットワーク上に設け、ラベルに対応し、操作履歴を記録する必要性を監査規則表をもとに判定する。
【００９４】
このため、管理者が、組織（ドメイン）内の規範に従い、各計算機でのコンテンツのアクセスや複製の制御や管理ができ、また規範の変更にともなうメンテナンス作業は、監査規則表の書き換えだけですむ。また、監査規則表の設定により、すべてのコンテンツのアクセスや複製について操作履歴をとる必要がなく、操作履歴を蓄積する記憶媒体（ハードディスク）の浪費の防止ならび利用者のプライバシーの保護に対応できるシステム運用が実現できる別の効果もある。
【００９５】
本発明では、専用のファイアウォールをネットワーク上に設け、通信データの入出力に対応し、ラベルの生成や破棄処理をおこなう。機密レベルが高いネットワーク（たとえばＴＣＳＥＣのＢレベル以上）に属する計算機に、通信データのラベルを読み取る機能（ミドルソフトウエアあるいはＯＳ）を設けている。
【００９６】
このため、管理者が、組織（ドメイン）内の規範に従い、ファイアウォールを境に機密レベルが異なるドメイン間でのコンテンツのアクセスや複製の制御ができる。
【００９７】
さらに、専用のファイアウォールでは、コンテンツの参照者を限定した暗号化鍵でラベルを暗号化する。しかも、コンテンツを復号できる復号鍵は、通信のたびに内容を変更するセッション鍵を利用者別に配布された可搬型カード（たとえばSmart Card, PCMCIAカード）に格納する。復号したコンテンツは、利用を終えた段階で破棄する。
【００９８】
このため、可搬型カードを用いて、コンテンツのファイアウォールから各計算機へのダウンロード（１次コピー）できるが、他システムへの転送やハードディスクへの別名でのファイル格納（２次コピー）を抑制できる。
【図面の簡単な説明】
【図１】計算機におけるコンテンツ監査方法のフローチャート。
【図２】機密レベルが異なるドメインを接続する本発明のファイアウォールのブロック図。
【図３】端末の操作画面の履歴を蓄積する本発明の監査装置のブロック図。
【図４】端末の操作画面の記録の必要性を判定する本発明の監視装置のブロック図。
【図５】各計算機でのラベルを検出する手順を示したフローチャート。
【図６】ラベルを生成し、分離するプログラムの配置を示したブロック図。
【図７】ファイアウォールで暗号化した通信データを、各計算機で復号する手順を示したフローチャート。
【図８】計算機でおいて暗号化した通信データを、ファイアウォールにおいて、復号可能であるかを検査する手順を示したフローチャート。
【図９】本実施例の計算機端末の構成を示したブロック図。
【符号の説明】
２０１、２０３…計算機、
２１０…ファイアウォール、
２３２、２３１、２４１、２４２…ファイアウォールに常駐するプログラム、
３１０…履歴記録プログラム、
４５１…管理者用端末、
３５１…監査者用端末、
９１３…カメラ、
９２０…カード。

Claims (8)

1. 第一のネットワークと，前記第一のネットワークより機密レベルの高い第二のネットワークとがファイアウォールを介して接続されたシステムにおける，通信データ監査方法であって，
   前記第一のネットワークに接続された第一の計算機が，前記ファイアウォールを介して，前記第二のネットワークに接続された第二の計算機へ通信データを送信する際に，前記ファイアウォールは，監査規則を定めた対応表に基づき，前記通信データに添付する機密レベル判定ラベルを決定し，
   前記通信データに，前記決定された機密レベル判定ラベルを添付し，
   前記第二の計算機は，
   前記機密レベル判定ラベルが添付された前記通信データを受信し，
   前記機密レベル判定ラベルに基づき，機密レベルを判定し，
   前記機密レベルが，所定のレベル以上であれば，当該第二の計算機の利用者による前記通信データへの操作履歴を記録する
   ことを特徴とする通信データ監査方法。
2. 請求項１に記載の通信データ監査方法において，
   前記操作履歴の記録は，操作画面イメージの記録であり，
   前記第二の計算機は，前記利用者による前記通信データの複写操作または他装置への送信操作の検出をきっかけとして，または，一定時間毎に，前記操作履歴の記録を行う
   ことを特徴とする通信データ監査方法。
3. 請求項１に記載の通信データ監査方法において，
   前記システムは，前記機密レベル判定ラベルと前記機密レベルとの対応を記憶するラベル監視サーバを備え，
   前記第二の計算機は，前記通信データに添付されていた前記機密レベル判定ラベルの機密レベルを判定できない場合には，前記ラベル監視サーバに，該機密レベル判定ラベルの機密レベルを問い合わせる
   ことを特徴とする通信データ監査方法。
4. 請求項１に記載の通信データ監査方法において，
   前記第二の計算機は，受信した前記通信データから前記機密レベル判定ラベルを抽出できない場合，または，抽出した前記機密レベル判定ラベルが偽造されていると判定した場合には，
   当該第二の計算機の前記利用者への警告画面を表示し，処理を継続するかどうかの判断を求め，
   前記利用者が「継続」を選択した場合は，前記操作履歴の記録を開始する
   ことを特徴とする通信データ監査方法。
5. 請求項１に記載の通信データ監査方法において，
   前記対応表は，前記第一の計算機と前記第二の計算機のアドレス，サービスの種類，前記第一の計算機と前記第二の計算機の利用者のＩＤ，からなる送信元と送信先の属性と，前記機密レベル判定ラベルとの関連を規定する
   ことを特徴とする通信データ監査方法。
6. 請求項５に記載の通信データ監査方法において，
   前記対応表は，さらに，前記通信データの属性と前記機密レベル判定ラベルとの関連を規定する
   ことを特徴とする通信データ監査方法。
7. 請求項１に記載の通信データ監査方法において，
   抽出した前記機密レベル判定ラベルに基づいて機密レベルを判定できない場合に，前記第二の計算機の操作画面に，前記通信データへのアクセス禁止を勧告するメッセージを表示する
   ことを特徴とする通信データ監査方法。
8. 請求項１に記載の通信データ監査方法において，
   前記システムは，監査者用サーバを備え，
   前記第二の計算機は，記録した前記操作履歴を暗号化して前記監査者用サーバに送信し，
   前記監査者用サーバは，
   暗号化された前記操作履歴を蓄積し，
   蓄積された，前記暗号化された前記操作履歴を復号し，前記監査者に提示する
   ことを特徴とする通信データ監査方法。

Images