JP4903408B2 - 組織参照データ及び資格システム - Google Patents

Description

本発明は、組織参照データ及び資格システムに関する。

金融サービス業界内の組織などの多くの組織は、例えば、人資源情報、クライアント情報などに関するデータを格納及び管理するように働く複数のデータベース及びシステムを有する。こうしたシステムは、一般に、連合したシステムではなく、複数のアプリケーションによるデータの共有、資源資格の集中化、又は、ワークフロー経路指定の容易さを可能にしない。同様に、こうしたシステムでは、各アプリケーションは、どのユーザが、種々の資源にアクセスするか、又は、種々の機能を実施する資格があるかを判断しなければならない。そのため、各アプリケーションは、関連する資格ロジックを有し、最新の資格データを維持し、アプリケーションにとってローカルである記憶装置にデータを格納しなければならない。

こうしたシステムは、例えば、金融サービス・エンティティにおいて特に役立たない。その理由は、クライアント・アカウントへのアクセスが制限されることが多く、一定の資源クラスへのアクセスを有するユーザに対して範囲の広過ぎるアクセスが不注意で許可される場合があるからである。同様に、ユーザは、エンティティ内で他の組織へ移動することが多く、ユーザのアクセス証明書（ｃｒｅｄｅｎｔｉａｌ）が更新されない場合があるため、ユーザは、新しい証明書をとる間、古い証明書を保持する場合がある。そのため、こうしたユーザは、古い証明書と新しい証明書に従って機能を実施する能力を有するであろう。

米国特許出願公開第２００２／０１１６３０４号明細書

（発明の概要）
一実施形態では、本発明は、中央組織情報データベースと通信する中央組織情報システムを含むシステムを対象とする。システムはまた、中央組織情報システム及び複数の資格データベースと通信する連合した資格エンジンのセットを含み、資格エンジンはそれぞれ、ユーザが、ユーザによって要求されたセキュア化された資源にアクセスする資格があるかどうかを判断するためのものである。

一実施形態では、本発明は、あるシステムを対象とする。システムは、中央組織情報データベースと通信する中央組織情報システムを含み、組織情報データベースは、組織データを含む。システムはまた、組織情報システムと通信する複数の連合した資格エンジンを含み、資格エンジンはそれぞれ、組織データを使用して、ユーザがセキュア化された資源にアクセスする資格があるかどうかを判断する。システムは、組織情報システムと通信するワークフロー・アプリケーションと、資格エンジン及び組織情報システムのうちの少なくとも１つと通信するレポーティング・アプリケーションと、を更に含み、ワークフロー・アプリケーションは、ワーク項目をルーティングするために組織データを使用し、レポーティング・アプリケーションは、レポーティング・アプリケーションのユーザに情報を報告するために、組織データを使用する。

一実施形態では、本発明は、コンピュータによって実施される方法を対象とする。その方法は、組織に関する組織データを、中央データベースに格納すること、及び、複数の連合した資格エンジンのうちの少なくとも１つと通信する資格データベースに格納されたデータに基づいて、ユーザがセキュア化された資源にアクセスする資格があるかどうかを判断することを含む。

一実施形態では、本発明は、プロセッサによる実行時に、
組織に関する組織データを、中央データベースに格納すること、及び、
複数の連合した資格エンジンのうちの少なくとも１つと通信する資格データベースに格納されたデータに基づいて、ユーザがセキュア化された資源にアクセスする資格があるかどうかを判断することをプロセッサに行わせる命令を格納するコンピュータ読み取り可能媒体を対象とする。

一実施形態では、本発明は、装置を対象とする。その装置は、組織に関する組織データを、中央データベースに格納する手段と、複数の連合した資格エンジンのうちの少なくとも１つと通信する資格データベースに格納されたデータに基づいて、ユーザがセキュア化された資源にアクセスする資格があるかどうかを判断する手段とを含む。

なお、本発明のさらなる利点を、添付図面に関連して行われる以下の説明を参照することによってよりよく理解することができる。

本発明の図及び説明は、明確にするために他の要素を排除しながら、本発明の明確な理解のために重要な要素を説明するために簡略化されたことが理解されるべきである。しかし、これらの、また、他の要素は望ましい場合があることを、当業者は認識するであろう。しかし、こうした要素は、当技術分野ではよく知られ、また、本発明のよりよい理解を容易にしないため、こうした要素の説明は、本明細書では提供されない。同様に、本発明の種々の実施形態が、金融サービス・エンティティにおいて採用されるとして本明細書で述べられるが、本発明の種々の実施形態が、任意のタイプの業界における任意のタイプのエンティティにおいて採用されてもよいことが理解される可能性がある。

本明細書で使用される「資格」という用語は、個人、コンピュータ・ユーザなどが、データ資源又は他のタイプのデータなどの保護された資源、アプリケーション、ワークフロー・タスク、アプリケーション内の機能等にアクセスするためのアクセス制御ポリシーの管理を意味する。

本発明の種々の実施形態では、資格インテグレータは、規定されたビジネス資格ルールを使用して、組織データ及び他のデータを資格に変換する。資格は、資格データとして格納され、アプリケーションは、資格エンジンからクエリされた資格情報に基づいて意思決定することによって資格を実施する。

図１は、本発明の一実施形態に従って、参照データ及び資格プラットフォーム１２を有するシステム１０を示す図である。プラットフォーム１２は、組織情報システム１４及び資格エンジン１６を含む。組織情報システム１４は、システム１０が展開されるエンティティ又は組織の種々の構成員の、組織、役割、責任等に関する組織情報を管理する。資格エンジン１６は、資格が、システム１０に関連するか、又は、システム１０と一体になる種々の資源（例えば、データ、アプリケーションなど）に関連するように、資格を管理する。

組織を正確に述べるために、組織情報システム１４は、例えば、人資源データベース１７（例えば、人資源データを含む）、連絡データベース１８（例えば、クライアント連絡データを含む）、全社ディレクトリ・データベース２０（例えば、システムが利用される組織又は会社の要員に関するデータを含む）、アカウント参照データ・データベース２２（例えば、アカウント、アカウント所有者などに関する情報を含む）、及び、静的データ・データベース２３（例えば、国及び通貨などの一覧を含む）を含む種々のデータベース内に存在するデータを参照することができる。組織、及び、アカウント参照データ・データベース２２に格納される場合があるデータのタイプの例は、本出願の譲受人によって所有され、参照により本明細書に組み込まれる米国特許出願公開第２００２／０１１６３０４号に含まれている。

組織情報システム１４は、種々のレポーティング・アプリケーション２４によってアクセスされる場合がある。レポーティング・アプリケーション２４は、ユーザが、例えば、販売収益報告などの、組織に関する種々の報告を生成することを可能にする。ワークフロー・アプリケーション２６は、ワークフロー・インスタンス２８によって要求されると、組織情報システム１４から組織情報を利用する場合がある。ワークフロー・アプリケーション２６は、例えば、トランザクション・イベント及び例外ルーティング・アプリケーション、又は、Ｓａｖｖｉｏｎベース・アプリケーションなどの他のワークフロー・アプリケーションである場合がある。資格のあるアプリケーション３０は、資格エンジン１６によってアクセスが確定されたセキュア化された資源を利用する。資格エンジン１６は、資格のあるアプリケーション３０のユーザが、組織情報システム１４から引き出された資格データに基づいてセキュア化された資源にアクセスする資格があるかどうかを判断する。データベース６２は、セキュア化された資源の例である。データベース６２へのアプリケーションのアクセスは、データベース・アクセス制御サーバ３４によって制限される可能性がある。データベース・アクセス制御サーバ３４は、資格エンジン１６から資格を取得する。データベース・アクセス制御サーバ３４は、例えば、Ｓｙｂａｓｅ Ｏｐｅｎｓｅｒｖｅｒなどのサーバであってよい。

図２は、本発明の一実施形態による、組織情報システム１４のためのデータ・アーキテクチャの高レベルのデータ概念を示す図である。アイデンティティ４０は、システム１０の全てのユーザを列挙し、チーム４４は、システム１０に関連する全てのチーム４４を列挙する。アイデンティティ４０の例は、社員、不確定な労働力要員、連絡、及び自動化エージェントであってよい。関係４２は、アイデンティティ４０とチーム４４の間か、又は、チーム４４間の関係を規定する。チーム４４は、例えば、組織チーム又は仮想チーム（即ち、組織化が緩いチーム又は組織の公式の記述が無いチーム）であってよい。関係４２の例は、
１．ジョー社員は、部門Ｘの上級管理者である。
２．ジョー・コンサルタントは、仮想チームＹに対するコンサルタントである。
３．部門ＸとチームＹの関係は、タスク・オーダＺによってイネーブルされる。

役割割り当て４７で割り当てられた役割４６は、チーム４４又はチーム４４上のアイデンティティ４０に割り当てられるジョブ機能（例えば、クライアント・サービス、データ品質、販売業者、調査販売など）を規定する。適用範囲割り当て４９で割り当てられた適用範囲４８は、割り当てられた役割４６に対する、チーム又はアイデンティティの責任の範囲を規定する（例えば、資本分野においてクライアントＡ〜Ｍをカバーする）。時間５０は、適用範囲の周期性（月曜日〜金曜日までの午前９時〜午後５時（東部標準時間）まで）を規定する。適用範囲能力５２は、チーム４４又はアイデンティティ４０の責任の性質（例えば、主であるか、バックアップであるか、責任を伴うか、又は、利害関係を持つかなど）を規定する。適用範囲４８は、適用範囲属性５４によって規定される。各適用範囲属性は、サービスが、アイデンティティ４０及び／又はチーム４４によってそこに提供される、職業、金融商品、クライアント、システムなどを記述する。

図３は、本発明の一実施形態に従って、資格システム７０を示す図である。図３に見られるように、資格は、多数のアプリケーション３０について、連合して行われる。アプリケーション３０はそれぞれ、異なる資格エンジン１６−１〜１６−ｎとインタフェースする個別のドメインとして図３に示される。しかし、資格エンジン１６によってサービスされるドメインは、２つ以上のアプリケーション３０を含んでもよいことを理解することができる。各資格サービス７２は、複数のドメインを有してもよく、各資格サービス７２は、それ自身のローカル（資格）・データベース３２を有する。一実施形態では、データベース３２のそれぞれに格納されるデータは、資格エンジン１６のそれぞれについて一貫性がある。

データベース３２に格納される資格データは、組織情報システム１４及び他のデータ６０から引き出される。ビジネス・ルール７６は、保護される必要がある機能及びデータ、並びに、こうした機能及びデータにアクセスすべき人を規定する。ビジネス・ルール７６の例は、ＡＢＣグループ内の「販売業者」の役割を有する誰もが、彼らがカバーするクライアントについての取引を閲覧することができる。他のデータ６０は、例えば、特定のドメインに特有のデータであってよい。インテグレータ６４は、組織情報システム１４からデータを読み取り、ビジネス・ルール７６をデータに適用する。インテグレータ６４はまた、資格データベース３２に資格データを格納する。従って、資格のあるアプリケーション３０は、資格エンジン１６についての資格クエリを行う可能性がある。

図３に示すように、資格のあるアプリケーション３０を使用するユーザが、アプリケーション３０が保護された資源にアクセスするよう要求されるように、アプリケーション３０を使用しようと試みると、適切な資格エンジン１６は、その特定のユーザが、保護された資源にアクセスするのを許可されているかどうかを判断する。

一実施形態では、組織情報システム１４は、メンテナンス・ルールのセット（図示せず）を含む。メンテナンス・ルールは、特定の組織情報のセットの、生成、変更、削除などを調整する論理試験である場合がある。例えば、こうした論理試験は、グループが、それ自身のサブ・グループでないことを確保するであろう。メンテナンス・ルールはまた、個人が有する可能性がある、役割４６又は適用範囲４８に対する制約である場合がある。こうしたルールの例は、
１．「販売業者」の役割を有する者は誰も、「支払い処理」の役割を有することができない。
２．「販売業者」の役割を有する誰もが、現在のＮＡＳＤシリーズ７ライセンスを有しなければならない。

システム７０は、例外を処理し、ワークフロー項目をルーティングする例外及びワーク項目ルータ８０を含む。ワーク項目を正当な所有者に自動的にルーティングする能力は、かなりの利益をもたらす。これらの利益は、例えば、ワーク項目を正しい所有者に転送するのに手作業の労力がかからないことによる効率性、項目のミス・ルーティングの可能性が著しく減ることによるリスク管理の改善、クライアント・サービス代行者に対してワーク項目がより時宜を得て利用可能になることによる顧客サービスの改善などを含む。本発明の種々の実施形態は、例外処理システム及びワークフロー自動化システムなどのワーク項目システムとインタフェースするために、適用範囲及び役割規定を含む組織データを使用する。

システム７０はまた、情報ポータル８２を含む。組織は、コンテンツを内部ユーザ及び外部クライアントに配信するために、ウェブベースの情報ポータルを広範囲に使用することが多い。こうしたポータルのコンテンツは、商品エリア、市場、場所、ビジネス分野などのような基準に基づいて、個々のユーザ及びビジネス・エリアのニーズに応じて変わる。情報ポータル・コンテンツを特定の部門及びユーザのクラスに適合させるために、情報ポータル・コンテンツをプロファイリングすることに対してかなりの手作業の労力が費やされることが多い。本発明の種々の実施形態は、情報ポータル８２において必要とされる実際のコンテンツを確定するために、適用範囲及び役割規定を含む組織データを使用し、従って、手作業のコンテンツ・カスタマイゼーションの必要性が減る。

動作時、組織情報システム１４に対してアプリケーション３０によって行われる要求のタイプは、例えば、チーム、役割、及び適用範囲に関する要求などの非資格要求であってよい。こうした要求の例は、
１．どのチーム（複数可）がサラ・ジョーンズに関わっているか？。
２．誰が、「販売業者」の役割を有するか？。
３．ＸＹＺ分野のニューヨーク・チームの中の誰が、ＡＢＣクライアント株式会社の現金資本ビジネスについての確認処理に責任があるか？。

資格エンジン１６に対してアプリケーション３０によって行われる要求のタイプは、例えば、オペレーション又はレポーティングに関する要求などの資格要求であってよい。
こうした要求の例は、
１．ジョー・スミスは＄１ＭＭの支払いを許可できるか？。
２．ＡＢＣクライアント株式会社に関する取引を閲覧する能力を誰が有するか？。

図４は、本発明の一実施形態による図１のシステム１０を使用した、セキュア化された機能に対する制御されたアクセスの例を示す図である。例では、組織情報システム１４は、ＡＢＣチーム及びサブ・チーム８６並びにＤＥＦチーム及びサブ・チーム８８に関する情報を含む。個人「ケビン」はＡＢＣチームのサブ・グループに関わり、個人「ラリー」はＤＥＦチームのサブ・グループに関わる。インテグレータ６４は、組織情報システム１４からこの情報を入手し、ビジネス・ルール７６を適用し、資格データ３２を生成する。関連するビジネス・ルール７６の例は、「ＡＢＣのコア商品又はＤＥＦのコア商品の適用範囲について、取引処理、確認処理、又は、失敗処理の役割を有する誰もが、Ｍｙ Ｓｅｒｖｉｃｅ Ｔａｂへのアクセスを有するべきである」ことである。資格データ３２は、ケビンはＡＢＣチームに関わり、ラリーはＤＥＦチームに関わり、「閲覧」のＡＢＣ及びＤＥＦアクションは、資源グループ「Ｍｙ Ｓｅｒｖｉｃｅ機能」に関係することである。そのため、「ケビンがＭｙ Ｓｅｒｖｉｃｅ Ｔａｂにアクセスできるか？」と問うポータルのアプリケーションは、資格エンジン１６から肯定的な返答を受け取るであろう。

図５は、本発明の一実施形態による、図１のシステム１０を使用したセキュア化された機能に対する制御されたアクセスの別の例を示す図である。例では、組織情報システム１４は、トレジャリ・チーム９０に関するデータを含む。トレジャリ・チーム９０は、ジョーが、ビジネスＡＢＣについて現金支払い作成者の役割を有し、ジルが、ビジネスＡＢＣについて現金支払い作成者及び現金支払い許可者の役割をするという情報を含む。インテグレータ６４は、組織情報システム１４からこの情報を入手し、ビジネス・ルール７６を適用し、資格データ３２を作成する。関連するビジネス・ルール７６の例は、「トレジャリ・チームの現金支払い作成者の役割を有する誰もが、カバーするビジネスについての現金支払いを閲覧し、作成することができる」、「トレジャリ・チームの現金支払い許可者の役割を有する誰もが、カバーするビジネスについての現金支払いを閲覧し、許可することができる」、及び、「支払い許可者は、同じ処理の支払いイニシエータであることができない」である。そのため、資格データ３２は、ジョーが作成者の役割を有し、かつ、ジルがトレジャリ・チームの作成者及び許可者の役割を有し、ジョーが閲覧し、作成することができ、かつ、ジルが閲覧し、作成し、承認することができ、ジョーとジルが、トレジャリ支払い資源にアクセス権を有し、ポリシーとして、現金支払い作成者は現金支払い許可者と同じであることができないということである。

図５に示す例では、現金支払いアプリケーションが、「ジルは、ＡＢＣのビジネスについて作成したこの支払いを許可することができるか？」と問うと、ポリシーにより、作成者が許可者と同じ個人であることができないため、資格エンジン１６は否定的に回答するであろう。

図６は、本発明の一実施形態による、図１のシステム１０を使用したセキュア化された機能に対する制御されたアクセスの別の例を示す図である。例では、組織情報システム１４は、ＵＳコンバーチブル・チーム７００を含む。コンバーチブル・チーム７００は、スーザンが、ＵＳコンバーチブル商品並びにクライアントＡＢＣ ＮＹ及びＸＹＺ ＮＹについての販売業者の役割を有するという情報を含む。インテグレータ６４は、組織情報システム１４からこの情報を入手し、ビジネス・ルール７６を適用し、資格データ３２を作成する。関連するビジネス・ルール７６の例は、「販売業者の役割を有するアイデンティティは、アイデンティティがカバーするクライアント及び商品についての注文を閲覧し、作成することができる」ことである。そのため、資格データ３２は、スーザンが販売業者の役割を有し、ＮＹコンバーチブル販売デスク注文の資源を閲覧し、作成することができるということである。

図６に示す例では、注文エントリ・アプリケーションが、「スーザンは、クライアントＡＢＣ ＮＹのために、ＵＳコンバーチブル商品における注文を作成することができるか？」と問うと、資格エンジン１６は、肯定的に回答するであろう。

図７は、本発明の一実施形態による、組織情報システム１４自体による資格エンジン１６の使用を示す図である。組織情報システム１４は、組織情報データベース５００、メンテナンス・サービス９６、及び資格エンジン１６−３を含む。メンテナンス・サービス９６は、資格エンジン１６−３を使用して組織情報システム１４から行われる全ての要求（例えば、作成、更新、読み取り、削除など）を検証する。

メンテナンス・サービス９６は、例えば、許可されたユーザが組織情報を維持することを可能にする。一実施形態では、メンテナンス・サービス９６は、メンテナンス・サービスのユーザが組織情報にアクセスする資格があることを検証するために、資格エンジン１６−３を使用する。動作時、図２に関連して述べたように、メンテナンス・サービス９６は、組織情報システム１４のユーザが、組織情報を追加、除去、更新、及び変更することを可能にする。

メンテナンス・サービス９６は、ユーザが、任意の組織情報を追加、除去、更新、及び変更しようと試みる時に、正しいステップ又はワークフローに従うことを確保する場合がある。例えば、メンテナンス・サービス９６は、ある個人について、その人が、例えば、ＡＢＣクライアント株式会社をカバーすることを指定するように適用範囲４８が変更される前に、管理者は、その変更が組織情報システム１４において実施される前にその変更に電子的に同意することを必要とする場合がある。別の例では、ある個人について、その人が、現金支払いを許可することができることを指定するように、適用範囲４８が変更される予定である場合、許可現金支払いの役割の所有者として組織情報システム１４で指定された個人は、許可現金支払いが関連付けられる個人について、許可現金支払いの役割の追加を電子的に許可しなければならない。

組織情報システム１４に関連する資格に影響を及ぼす、組織情報データベース５００における役割及び適用範囲に対する変更（例えば、組織情報システムメンテナンスの役割及び適用範囲に対する変更）は、資格エンジン１６−３に伝達される。

図８は、本発明の一実施形態による、組織情報データベース５００の論理データ・モデルを示す。データ構造に関連するデータ・エンティティは以下の表に示される。

表１：ＯｒｇＵｎｉｔ２００
この表は、システム１０を利用する組織が構成される組織ユニットについての情報を示す。

表２：Ｉｄｅｎｔｉｔｙ２０２
この表は、アイデンティティに固有の組織情報を示す。

表３：ＯｒｇＴｅａｍ２０４
この表は、組織チームに固有な詳細情報を示す。

表４：ＶｉｒｔｕａｌＴｅａｍ２０６
この表は、仮想チームに固有な詳細情報を示す。

表５：ＯｒｇＵｎｉｔＲｅｌａｔｉｏｎｓｈｉｐ２０８
この表は、チーム間か、チームとアイデンティティ間の何れかに存在する場合がある関係の性質を示す。これは、親−子階層構造、不確定な労働力チーム、チーム・メンバーシップ、特定のチームに関するアイデンティティのメンバーシップ能力などを捕捉するのに使用される。

表６：ＯｒｇＵｎｉｔＲｅｌａｔｉｏｎｓｈｉｐ２１０
この表は、２つの組織ユニットが共有する場合がある関係を示す。

表７：Ｒｏｌｅ２１２
この表は、割り当て可能な役割の一覧を示す。

表８：ＯｒｇＵｎｉｔＲｏｌｅ２１４
この表は、チームの構成員としてのアイデンティティか、別のチームに関係するチームの何れかに割り当てられた役割を示す。

表９：Ｃｏｖｅｒａｇｅ２１６
この表は、チーム及びアイデンティティに割り当てられた適用範囲レコードを示す。

表１０：ＣｏｖｅｒａｇｅＯｒｇＵｎｉｔ２１８
この表は、ある役割を有するチーム及びある役割を有する別のチームに関連するチームと、適用範囲レコードを関連付ける。

表１１：ＣｏｖｅｒａｇｅＡｔｔｒｉｂｕｔｅ２２０
この表は、適用範囲レコードを含む個人の適用範囲属性を記憶する。

表１２：ＣｏｖｅｒａｇｅＡｔｔｒｉｂｕｔｅＴｙｐｅ２２２
この表は、適用範囲データ源の一覧を含む。

図９は、本発明の一実施形態による、組織情報システム１４によって使用される会計監査データベースの論理データ・モデルを示す。図９のデータ・モデルは、組織情報システム１４内の会計監査トレールの作成をサポートするのに必要とされる場合がある種々のデータ・エンティティのグラフィック表示を提供する。会計監査データベース２３０は、組織情報データベース５００と同じ場所に配置され、イベント及びその対応する詳細を捕捉することができる表のレポジトリであってよい。

表１３は、全ての組織情報システム１４の機能について、会計監査トレールの正確でかつ効率的な作成を可能にするために、会計監査データベース２３０内で捕捉される場合があるイベントを挙げる。
表１３：ＡｕｄｉｔＥｖｅｎｔｓ

以下の表は、図９の会計監査ログ論理データ・モデルで概説される種々のエンティティの説明を提供し、並びに、例示のために、属性のサンプル・セットを提供する。
表１４：イベント２３４
この表は、組織情報システム１４内で起こる場合があるシステム・イベントの全てをログする。各イベントＩＤ２３２は、会計監査エンティティの複数のバージョン内に結合してもよい。各バージョンは、組織情報システム１４内での、個別の挿入、更新、又は削除作業を表す。

表１５：ＥｖｅｎｔＴｙｐｅ２５５
この表は、コアの組織情報システム１４のイベント２３４のための詳細情報を記憶する。

表１６：ＷｏｒｋｆｌｏｗＥｖｅｎｔＤｅｔａｉｌｓ２３６
この表は、組織情報システム１４によって発行されるワークフロー・イベント２３６を捕捉する。

表１７：ＮｏｔｉｆｉｃａｔｉｏｎＥｖｅｎｔＤｅｔａｉｌｓ２３８
この表は、組織情報システム１４から発行される通知イベント２３８を捕捉する。

表１８：ＲｅｑｕｅｓｔＥｖｅｎｔＤｅｔａｉｌｓ２４０
この表は、要求先システムによって始動される要求イベント２４０を捕捉する。

表１９：ＯｒｇＵｎｉｔＶｅｒ２４２
この表は、ＯｒｇＵｎｉｔエンティティ２４２を捕捉し、データのバージョン更新及びイベント会計監査のために欄を追加する。

表２０：ＩｄｅｎｔｉｔｙＶｅｒ（図９には示さず）
この表は、アイデンティティ・エンティティを捕捉し、データのバージョン更新及びイベント会計監査のために欄を追加する。

表２１：ＯｒｇＴｅａｍＶｅｒ２４４
この表は、ＯｒｇＴｅａｍエンティティ２４４を捕捉し、データのバージョン更新及びイベント会計監査のために欄を追加する。

表２２：ＶｉｒｔｕａｌＴｅａｍＶｅｒ２４６
この表は、ＶｉｒｔｕａｌＴｅａｍエンティティ２４６を捕捉し、データのバージョン更新及びイベント会計監査のために欄を追加する。

表２３：ＯｒｇＵｎｉｔＲｅｌａｔｉｏｎｓｈｉｐＶｅｒ２４８
この表は、ＯｒｇＵｎｉｔＲｅｌａｔｉｏｎｓｈｉｐエンティティ２４８を捕捉し、データのバージョン更新及びイベント会計監査のために欄を追加する。

表２４：ＯｒｇＵｎｉｔＲｅｌａｔｉｏｎｓｈｉｐＴｙｐｅＶｅｒ２５０
この表は、ＯｒｇＵｎｉｔＲｅｌａｔｉｏｎｓｈｉｐＴｙｐｅエンティティ２５０を捕捉し、データのバージョン更新及びイベント会計監査のために欄を追加する。

表２５：ＲｏｌｅＶｅｒ２５２
この表は、Ｒｏｌｅエンティティ２５２を捕捉し、データのバージョン更新及びイベント会計監査のために欄を追加する。

表２６：ＯｒｇＵｎｉｔＲｏｌｅＶｅｒ２５３
この表は、ＯｒｇＵｎｉｔＲｏｌｅＶｅｒエンティティ２５３を捕捉し、データのバージョン更新及びイベント会計監査のために欄を追加する。

表２７：ＣｏｖｅｒａｇｅＶｅｒ２５４
この表は、Ｃｏｖｅｒａｇｅエンティティ２５４を捕捉し、データのバージョン更新及びイベント会計監査のために欄を追加する。

表２８：ＣｏｖｅｒａｇｅＯｒｇＵｎｉｔＶｅｒ２５６
この表は、ＣｏｖｅｒａｇｅＯｒｇＵｎｉｔエンティティ２５６を捕捉し、データのバージョン更新及びイベント会計監査のために欄を追加する。

表２９：ＣｏｖｅｒａｇｅＡｔｔｒｉｂｕｔｅＶｅｒ２５８
この表は、ＣｏｖｅｒａｇｅＡｔｔｒｉｂｕｔｅエンティティ２５８を捕捉し、データのバージョン更新及びイベント会計監査のために欄を追加する。

表３０：ＣｏｖｅｒａｇｅＴｙｐｅＶｅｒ２６０
この表は、ＣｏｖｅｒａｇｅＡｔｔｒｉｂｕｔｅＴｙｐｅＶｅｒエンティティ２６０を捕捉し、データのバージョン更新及びイベント会計監査のために欄を追加する。

図１０は、本発明の一実施形態によるデータ・メンテナンス組織の組織構造を示す。データ・メンテナンス組織は、データの精度に依存する、ユーザに対する管理責任を分配することによってデータの完全性を確保する。

中央管理グループ３００は、参照データ・メンテナンスについて最終的な責任を有する。組織情報システム・メンテナンス・サービス９６の「スーパー・ユーザ」として、中央管理グループ３００は、組織情報システム１４のユーザ集合体にわたって、被委任管理者３０２に対して管理責任を委任し、特権を与える。中央管理グループ３００の責任は表３１で概説される。

データ所有者３１０の責任は表３２で概説される。

データ・メンテナンス・プロセスを最適化するために、組織情報システムのユーザ集合体にわたって、管理能力が委任されてもよい。被委任管理者３０２は、被委任管理者３０２の委任範囲内のチームを管理するための、承認された全ての権利であってよい。チーム所有者３１４の責任は表３３で概説される。

自己メンテナンスは、リアルタイム・チーム・メンバーシップ更新を可能にする。全ての組織情報システム１４のユーザは、データ・メンテナンス組織において、表３４で概説されるチーム登録プロセスを始動する、要求者としての役割を有してもよい。

図１１及び図１２は、本発明の一実施形態による、高レベル参照データの例を示す。図１１及び図１２の例は、図２の高レベル・データ構造を使用する。図１１及び図１２では、取引処理の役割について、ＸＹＺチームの、ある個人の適用範囲の割り当てを実演するために、センテンス類推が使用される。図１１及び図１２に見られるように、適用範囲は、チーム４４又は個人が、属するチーム４４に対する自分たちの関係４２の中で有する役割４６に割り当てられる。そのため、図１１及び図１２に見られるように、デブラは、クライアントＡ−Ｃの適用範囲を有するだけでなく、取引処理の役割について、ＸＹＺチームの構成員としてクライアントＡ−Ｃをカバーする。

図１３は、本発明の一実施形態による、組織情報システム１４を使用して組織をマッピングするプロセスを示す。組織は、例えば、システム１０を使用したいと思う、ビジネス・ユニット、グループなど、又は、株式会社全体、エンティティなどであってよい。ステップ３６０にて、最初に、ジョブ・アクティビティ及び責任によって組織を規定することによって、組織は組織情報システム１４内にマッピングされる。組織は、組織情報システム１４が、システム１０を使用するアプリケーション、ユーザなどに利用可能な、役割及び適用範囲の中央データ源を提供できるようにモデル化される。

ステップ３６２にて、組織構造は、構造（役割及び適用範囲の割り当てを含む）が、組織データが従わねばならない種々の規格に適合するということを確認するために検証される。一実施形態では、ステップ３６０及びステップ３６２は、１つの作業に結合される可能性がある。

ステップ３６４にて、アプリケーションが、ステップ３６０にて作成された組織データを使用できることを確保するためにチェックが行われる。ステップ３６６にて、組織データは、例えば、システム１０の管理者、アプリケーション所有者などによって署名される。

図１４〜２２は、本発明の種々の実施形態による、図１のシステム１０の使用例を示す。図１４は、新しい社員が組織情報システム１４に追加される実施形態を示す。実施形態では、新しい社員「メアリー・ブラック」は、組織に加わっており、組織内のＸＹＺグループで働くであろう。ステップ３８０にて、ブラックについての新しいアイデンティティがＨＲデータベース１７内に追加される。アイデンティティ情報はブラックの名前、コスト・センタ、及び社員ＩＤを含む。

ステップ３８２にて、ブラックのアイデンティティが会社全体ディレクトリ２０に追加される。ステップ３８４にて、ブラックのアイデンティティは、組織情報システム１４に公表され、アイデンティティは、組織情報に追加され、ブラックは、自分のコスト・センタと提携する。ステップ３８６にて、組織情報における更新は、ブラックが関係するコスト・センタに責任がある被委任管理者に対する通知をトリガーする。ステップ３８８にて、被委任管理者は、ブラックを正確な組織チーム（ＸＹＺグループ）に追加し、ブラックの役割及び適用範囲能力が規定される。

ステップ３９０にて、被委任管理者は、ブラックを、クライアントＡ−Ｈをカバーする仮想チームに追加する。見られるように、種々のチームに対する受け入れは、さらなる承認者による許可が必要とされる場合がある。ステップ３９２にて、ブラックは、いまや組織情報システム１４内のクライアントＡ−Ｈ仮想チームの構成員である。種々の実施形態では、ステップ３９０及びステップ３９２は必要とされる場合繰り返されてもよい。

図１５は、臨時の作業者（例えば、コンサルタント）が組織情報システム１４に追加される実施形態を示す。ステップ３９６にて、ＡＢＣ株式会社についてのコンサルタント「ティム・フォリー」は、会社全体ディレクトリ２０に追加される。ステップ４００にて、会社全体ディレクトリ２０内のアイデンティティの存在は、フォリーがコンサルタントとして識別される会社全体ディレクトリ２０において、アイデンティティの作成をトリガーした。

ステップ４０２にて、会社全体ディレクトリ２０におけるアイデンティティが完成すると、アイデンティティは、組織情報システム１４に公表される。フォリーは、組織情報内の適切なコスト・センタと提携し、コンサルタントとしてフラッグを立てられる。一実施形態では、フォリーがコンサルタントであるため、組織情報システム１４における彼のアイデンティティは、所定の時間期間の後に自動的に期限が切れ、組織情報システム１４におけるアイデンティティの存在の延長のために、手作業による介入が必要とされる。

ステップ４０４にて、組織情報システム１４における更新は、フォリーが関係するコスト・センタに責任がある被委任管理者に対する通知をトリガーする。ステップ４０６にて、被委任管理者は、組織情報システム１４のＡＢＣ組織チームにフォリーを追加する。一実施形態では、フォリーのチームにおけるメンバーシップの有効期限が設定される可能性がる。ステップ４０８にて、被委任管理者は、適切な仮想チーム（即ち、ＸＹＺチーム）にフォリーを追加する。見られるように、種々のチームに対する受け入れは、さらなる承認者による承認が必要とされる場合がある。ステップ４１０にて、フォリーは、いまや組織情報システム１４内のＸＹＺプロジェクト仮想チームの構成員である。種々の実施形態では、ステップ４０８及びステップ４１０は必要とされる場合繰り返されてもよい。

図１６は、組織情報システム１４において、社員が、終了し、従って、停止するか、又は、終了したとマーク付けされる実施形態を示す。図１６に見られるように、ステップ４１２にて、社員「ジョン・ドイ」は、終了し、彼のアイデンティティは、ＨＲデータベース１７内で「終了した」に更新される。ステップ４１４にて、ドイのアイデンティティは、ドイが終了したことを指示するために、全社ディレクトリ２０内で変更される。

ステップ４１６にて、組織情報システム１４は、ドイのアイデンティティを終了したとしてマーク付けするようにトリガーされる。ステップ４１８にて、ドイが関係するコスト・センタに責任がある中央管理者及び被委任管理者はドイの終了を報知される。一実施形態では、他の個人（例えば、ラインのマネジャなど）は、同様に、適切なステップがとられるように（例えば、一定の資源に対するドイのアクセスをディセーブルする、ドイの以前の責任について適用範囲を提供する、など）ドイの終了を報知される。

ステップ４２０にて、ドイは、組織情報システム１４の全てのチームに関してディセーブルされる。ステップ４２２にて、ドイの終了は、例えば、資格エンジン１６などの他のシステムに対して公表される。

図１７は、社員の要求、組織情報システム１４の仮想チームに対する受け入れが許可される実施形態を示す。ステップ４２４にて、社員「アンナ・グリーン」又は社員の助手は、彼女のチームのメンバーシップを更新するために、組織情報システム管理機能内にログインする。ステップ４２６にて、グリーン又は彼女の助手は、ＸＹＺクライアント仮想チームに追加されるように要求する。図１７の場合と同様に、こうした追加が承認（例えば、ラインのマネジャの承認）を必要とする場合、社員（又は社員の助手）に対して、その趣旨で通知が与えられる。

ステップ４２８にて、グリーンがＸＹＺクライアント・チームに追加されるための許可を要求する通知が、グリーンのラインのマネジャに送られる。図１７の場合と同様に、ラインのマネジャがこうした承認を許可し、さらなる許可が必要である場合、ステップ４３０にて、仮想チームのデータ所有者に対して通知が送られる。図１７の場合と同様に、仮想チームのデータ所有者が承認を許可する場合、ステップ４３２にて、許可を要求する通知が仮想チームのデータ所有者に送られる。ステップ４３４にて、仮想チームのデータ所有者が承認を許可する場合、グリーンは、組織情報システム１４のＸＹＺクライアント仮想チームの構成員として追加される。

図１７に見られるように、承認が種々のレベルで拒否される場合、要求元の社員に対して種々の通知が送られる場合がある。同様に、プロセスは、例えば、社員がチームのメンバーシップを更新することを可能にするのに、承認の２つのレベル未満が必要とされる時には承認レベルを変えることを可能にする。

図１８は、社員が、組織情報システム１４において組織の変更を行う実施形態を示す。ステップ４２６にて、社員「マイク・スミス」は役割を変更した。スミスについての変更された情報はＨＲデータベース１７内で更新される。ステップ４３８にて、ＨＲデータベース１７の更新は、全社ディレクトリ２０に対する更新をトリガーする。ステップ４４０にて、組織情報システム１４は、スミスについての新しいコスト・センタを反映するために更新される。ステップ４４２にて、組織情報システム１４において、以前のコスト・センタについてのスミスの遅延した分離が起こる。

ステップ４４４にて、スミスの新しいコスト・センタの被委任管理者及びスミスの以前のコスト・センタの被委任管理者は、スミスが以前のコスト・センタと分離することになるという通知を送られる。ステップ４４６にて、スミスは、組織情報システム１４内の、以前のコスト・センタに関連する全てのチームから外された。一実施形態では、スミスは、こうしたチームから外されたことを通知される。

ステップ４４６にて、組織情報システム１４内でのスミスに関する変更は、例えば、組織情報システム１４を利用する下流及び上流のアプリケーション及びシステムに対して公表される。一実施形態では、コスト・センタの変更が、ＨＲデータベース１７で更新される前に、組織情報システム１４内で更新される場合、組織情報システム１４は、ＨＲデータベース１７に変更を公表するであろう。

図１９は、新しいクライアント連絡先がアプリケーション内で追加される実施形態を示す。ステップ４５０にて、新しい連絡先「ジューン・マーフィ」は、アプリケーション内でＡＢＣ株式会社での連絡先として追加される。ステップ４５２にて、マーフィは連絡先データベース１８内で連絡先として追加される。ステップ４５４にて、マーフィは、組織情報システム１４内でＡＢＤ株式会社と提携する。ステップ４５６にて、ＡＢＣ株式会社に責任がある被委任管理者に通知が送られる。一実施形態では、ＡＢＣ株式会社についての関係マネジャもまた通知される。

ステップ４５８にて、被委任管理者は、組織情報システム１４内のＡＢＣ株式会社クライアント・チームにマーフィを追加する。ステップ４６０にて、被委任管理者は、組織情報システム１４内のＡＢＣ株式会社仮想チームにマーフィを追加する。ステップ４６２にて、マーフィは、いまや組織情報システム１４内のＡＢＣ株式会社仮想チームの構成員である。種々の実施形態では、ステップ４６０及びステップ４６２は必要とされる場合繰り返されてもよい。

図２０は、クライアントとの連絡先の関係が終了する実施形態を示す。ステップ４６４にて、連絡先「ビル・ジェンキンス」は、例えば、彼の雇用が終了したか、又は、彼が辞めたために、もはやクライアントＸとの関係を有さない。ステップ４６６にて、連絡先データベース１８は、クライアントＸとのジェンキンスの提携を除去するように更新される。ステップ４６８にて、ジェンキンスについての連絡先情報は、組織情報システム１４内で更新され、ステップ４７０にて、クライアントＸのための被委任管理者及びクライアントＸのための関係マネジャに対して、更新通知が送られる。

ステップ４７２にて、ジェンキンスは、組織情報システム１４内の全てのチームから外される。ステップ４７４にて、組織情報システム１４に対する更新は、下流のシステム、及び、例えば、資格エンジン１６などのアプリケーションに対して公表される。

図２１は、組織情報システム１４に対して、新しい役割が要求され、追加される実施形態を示す。ステップ４７６にて、ユーザ「ジル・ジョーンズ」は、新しい役割が、組織情報システム１４のチームによって使用されるために追加されることを要求する。ステップ４７８にて、ジョーンの要求の通知は、役割標準チームに送られる。役割標準チームは、既存の役割を修正し、新しい役割を作成し、無効な役割を削除するために、全ての要求を再調査する責任がある。

ステップ４８０にて、役割標準チームは、匹敵する役割がすでに存在しないことを確認し、ステップ４８２にて、新しい役割の追加が承認される。ステップ４８４にて、役割標準チームは、新しい役割に関連する種々の制限を規定する。ステップ４８６にて、役割管理者は、役割を作成し、ステップ４８８にて、新しい役割の存在をチームに報知するために、グローバル管理チームに通知が送られる。ステップ４９０にて、新しい役割は、組織情報システム１４内で利用可能である。

図２２は、新しいチームが組織情報システム１４に追加される実施形態を示す。ステップ４９２にて、管理者は、チームを作成するために、メンテナンス・サービス９６にログインする。管理者は、中央チーム管理者４９４、チーム（例えば、「資本」チーム）のための被委任チーム管理者４９６、又は、サブ・チーム（例えば、「資本ＮＹ」チーム）のための被委任チーム管理者４９８であってよい。中央チーム管理者４９４は、任意の属性を有する任意のチームを作成する能力を有する。チーム４９６のための被委任チーム管理者は、チーム及び任意のサブ・チームをカバーする任意のチームを作成する能力を有する。サブ・チーム４９８のための被委任管理者は、サブ・チームをカバーするチームを作成する能力を有する。こうした能力は、ステップ５００、５０２、５０４に示される。ステップ５０６にて、新しいチームは組織情報システム１４内で作成される。

本明細書で使用される「コンピュータ読み取り媒体」という用語は、例えば、ディスケット、読み出し専用と書き込み可能な種類の両方のコンパクトディスク、光ディスク・ドライブ、及びハード・ディスク・ドライブなどの、磁気及び光メモリ・デバイスを含む。コンピュータ読み取り媒体はまた、物理的、仮想、永久、一時、半永久、かつ／又は半一時である可能性があるメモリ記憶装置を含む。コンピュータ読み取り媒体は更に、１つ又は複数の搬送波上で送信される１つ又は複数のデータ信号を含んでもよい。

本発明の種々の実施形態の種々の部分及び部品は、例えば、オブジェクト指向技法を使用する、例えば、Ｖｉｓｕａｌ Ｂａｓｉｃ、Ｃ、又はＣ＋＋コンピュータ言語を使用するコンピュータ・ソフトウェア・コードで実施される可能性がある。

本発明の幾つかの実施形態が述べられたが、本発明の利点の一部又は全てを得ながら、実施形態に対する種々の修正、変更、及び適応を当業者が思いつくことができる。従って、添付特許請求項に規定される本発明の範囲及び精神から逸脱することなく、こうした全ての修正、変更、及び適応を包含することが意図される。

本発明の一実施形態による組織データ及び資格プラットフォームを有するシステムを示す図である。 本発明の一実施形態による組織データのためのデータ・アーキテクチャの高レベル・データ概念を示す図である。 本発明の一実施形態による資格システムを示す図である。 本発明の一実施形態による、図１のシステムを使用したセキュア化された機能に資格を与える例を示す図である。 本発明の一実施形態による、図１のシステムを使用したセキュア化された機能に資格を与える例を示す図である。 本発明の一実施形態による、図１のシステムを使用したセキュア化された機能に資格を与える例を示す図である。 本発明の一実施形態による組織情報システム自体による資格エンジンの使用を示す図である。 本発明の一実施形態による組織情報の論理データ・モデルを示す図である。 本発明の一実施形態による組織情報システムによって使用される会計監査データベースの論理データ・モデルを示す図である。 本発明の一実施形態による組織データ・メンテナンス組織の組織構造を示す図である。 本発明の一実施形態による高レベル組織情報の例を示す図である。 本発明の一実施形態による高レベル組織情報の例を示す図である。 本発明の一実施形態による組織情報システムを使用して組織情報を作成するプロセスを示す図である。 本発明の種々の実施形態による、図１のシステムの使用の例を示す図である。 本発明の種々の実施形態による、図１のシステムの使用の例を示す図である。 本発明の種々の実施形態による、図１のシステムの使用の例を示す図である。 本発明の種々の実施形態による、図１のシステムの使用の例を示す図である。 本発明の種々の実施形態による、図１のシステムの使用の例を示す図である。 本発明の種々の実施形態による、図１のシステムの使用の例を示す図である。 本発明の種々の実施形態による、図１のシステムの使用の例を示す図である。 本発明の種々の実施形態による、図１のシステムの使用の例を示す図である。 本発明の種々の実施形態による、図１のシステムの使用の例を示す図である。

符号の説明

１０ システム
１２ 参照データ及び資格プラットフォーム
１４ 組織情報システム
１６ 資格エンジン
１７ 人資源データベース
１８ 連絡データベース
２０ 全社ディレクトリ・データベース
２２ アカウント参照データ・データベース
２３ 静的データ・データベース
２４ レポーティング・アプリケーション
２６ ワークフロー・アプリケーション
２８ ワークフロー・インスタンス
３０ 資格のあるアプリケーション
３２ 資格データベース
３４ データベース・アクセス制御サーバ
４０ アイデンティティ
４２ 関係
４４ チーム
４６ 役割
４７ 役割割り当て
４８ 適用範囲
４９ 適用範囲割り当て
５０ 時間
５２ 能力
５４ 適用範囲属性
６０ データ
６２ データベース
６４ インテグレータ
７０ 資格システム
７２ 資格サービス
７６ ビジネス・ルール
８０ 例外及びワーク項目ルータ
８２ 情報ポータル
８６ ＡＢＣチーム及びサブ・チーム
８８ ＤＥＦチーム及びサブ・チーム
９０ トレジャリ・チーム
９６ メンテナンス・サービス
２３０ 会計監査データベース
５００ 組織情報データベース
７００ コンバーチブル・チーム

Claims (25)

1. 組織のセキュア化された資源へのアクセスを制御するためのコンピュータにより実施される資格システムであって、
   少なくとも１つのプロセッサと、動作可能に関連付けられるデータ・ストレージとを備えており、前記データ・ストレージに含まれる命令が、前記少なくとも１つのプロセッサにより実行される時に、前記資格システムにコンピュータによって実施される組織情報システムと複数の資格エンジンとを実施させ、
   前記コンピュータによって実施される組織情報システムが、組織情報データベースで組織データを管理及び格納し、前記組織データが、論理データ・モデルに従って前記組織情報データベースに格納され、該論理データ・モデルが、
   ユーザ・アイデンティティと、
   チームであって、それぞれが、前記ユーザ・アイデンティティのうち少なくとも１つに関連付けられるチームと、
   リレーションであって、それぞれが、前記ユーザ・アイデンティティのうち少なくとも１つと前記チームのうち少なくとも１つとの間の関係、又は前記チームのうち少なくとも２つの間の関係を規定するリレーションと、
   役割であって、それぞれが、前記チームのうち少なくとも１つ又は前記ユーザ・アイデンティティのうち少なくとも１つに対して割り当てられるジョブ機能を規定する役割と、
   適用範囲であって、それぞれが、前記役割のうち関連付けられる一つに関して、前記チームのうち少なくとも１つ、又は前記チームのうち少なくとも１つに関連付けられる前記ユーザ・アイデンティティの少なくとも１つについての責任の範囲を規定し、ビジネス、製品、クライアントおよびシステムのラインを記述する少なくとも１つのデータから選択される１又はそれ以上の適用範囲属性を備える、適用範囲と
   を備えており、
   前記複数の資格エンジンが、前記組織情報システムと電気通信し、及びセキュア化された資源を使用するアプリケーションと電気通信し、各資格エンジンが、前記アプリケーションのうち少なくとも１つをサービスするように構成され、
   資格データベースと、
   ビジネス・ルールのロジックのストアと、
   インテグレータであって、
   前記組織情報システムからデータを読み取り、該読み取られたデータが、ユーザ・アイデンティティ・データ、割り当てられたジョブ機能を示す役割データ、及び割り当てられた責任の範囲を示す適用範囲データを含み、
   前記ビジネス・ルールのロジックを、前記読み取られたデータに適用して資格データを作成し、前記ビジネス・ルールのロジックが、前記役割から選択された１つの役割及び前記適用範囲のうち少なくとも１つに基づいて、前記セキュア化された資源のうち少なくとも１つについて、アクセス・ポリシーを規定しているアクセス制御ポリシーを特定し、
   ユーザ、前記少なくとも１つのセキュア化された資源、及び前記少なくとも１つのセキュア化されたリソースに関して実行されるアクションを示す前記資格データを、前記資格データベースに格納する、
   ようにプログラムされるインテグレータと、
   を備えており、
   前記複数の資格エンジンのそれぞれが、
   前記アプリケーションのユーザが前記アプリケーションによって使用される前記セキュア化された資源のうち少なくとも１つへのアクセスが認められているかについての指示を要求する、前記アプリケーションの１つからクエリを受け取り、
   前記資格データに基づき前記要求への応答を生成するようにプログラムされる、
   資格システム。
2. 請求項１に記載の資格システムであって、各資格エンジンの前記インテグレータが、前記ビジネス・ルールのロジックを、前記組織情報システムから読み取られた前記データ以外のデータに適用して、前記少なくとも１つの資格データベースに格納される前記資格データを作成する、資格システム。
3. 請求項１に記載の資格システムであって、前記資格エンジンのうち少なくとも１つは、資格管理者が、自身についての要求を行うことにより、セキュア化された資源を管理する資格があるかを判断するようにプログラムされる、資格システム。
4. 請求項１に記載の資格システムであって、前記資格エンジンのうち少なくとも１つは、前記組織情報システムが、それ自体がセキュア化された資源にアクセスする資格があるかを判断するようにプログラムされる、資格システム。
5. 請求項１に記載の資格システムであって、更に、前記組織情報システムと通信するワークフロー・アプリケーションを備えており、前記ワークフロー・アプリケーションが、ワーク項目をルーティングするために前記少なくとも１つの組織情報データベースに収容されたデータを使用する、資格システム。
6. 請求項５に記載の資格システムであって、前記ワークフロー・アプリケーションが、トランザクション・イベント及び例外ルーティング・アプリケーションのうち一方である、資格システム。
7. 請求項１に記載の資格システムであって、前記組織情報システムが、前記組織内のメンバーに関するデータを格納するディレクトリ・データベースと通信し、アカウント及びアカウント所有者に関するデータを格納するアカウント参照データ・データベースと通信する、資格システム。
8. 請求項１に記載の資格システムであって、前記組織情報システムが、前記組織に関する１又はそれ以上のレポートを作成するようにプログラムされる、１又はそれ以上のレポーティング・アプリケーションと電気通信する、資格システム。
9. 請求項１に記載の資格システムであって、前記複数のアプリケーションが、アプリケーションのドメインを含む前記資格エンジンのうち少なくとも１つと通信する、資格システム。
10. 前記チームが、組織チーム又は仮想チームである、請求項１に記載の資格システム。
11. 前記適用範囲のそれぞれが、適用範囲の周期性を規定する適用範囲時間に関連付けられる、請求項１に記載の資格システム。
12. 前記適用範囲のそれぞれが、プライマリ及びバックアップのうち少なくとも１つとして前記適用範囲を規定する適用範囲能力に関連付けられる、請求項１に記載の資格システム。
13. 請求項１に記載の資格システムであって、前記組織情報システムが、前記アプリケーションから非資格要求を受け取るようにプログラムされ、前記非資格要求が、前記チームの少なくとも１つ、前記役割の少なくとも１つ、及び前記適用範囲の少なくとも１つのうちの１又はそれ以上を特定するための要求を含む、資格システム。
14. 請求項１に記載の資格システムであって、前記組織情報システムが、メンテナンス・サービスを備え、該メンテナンス・サービスが、前記資格エンジンのうち少なくとも１つを使用して前記組織情報システムに格納されたデータを変更するために作られたリクエストを有効にするようにプログラムされる、資格システム。
15. 請求項１に記載の資格システムであって、前記少なくとも１つの組織情報データベース内の役割データ又は適用範囲データへの変更は、前記資格エンジンのうち少なくとも１つに伝達される、資格システム。
16. 請求項１に記載の資格システムであって、前記役割のそれぞれが、前記チームから選択されたチームに、又は、その関連するチームに対するそのリレーションについて、前記ユーザ・アイデンティティのうち少なくとも１つに割り当てられる、資格システム。
17. 請求項１に記載の資格システムであって、前記適法範囲のそれぞれが前記チームのうち少なくとも１つに割り当てられる少なくとも１つの役割に、又はその関連するチームに対するリレーションについて、前記ユーザ・アイデンティティのうち少なくとも１つに割り当てられる、資格システム。
18. 請求項１に記載の資格システムであって、前記組織情報システムが、ヒューマン・リソース・データベース及び辞書データベースの少なくとも１つと通信し、前記組織情報システムが、ユーザの終了を示すデータを受け取ると、前記終了したユーザのアイデンティティを終了したものとしてマーク付けされる、資格システム。
19. 請求項１８に記載の資格システムであって、前記終了したユーザのアイデンティティを終了したものとしてマーク付けすることにより、前記終了したユーザが前記組織情報システムの全てのチームに関してディセーブルになり、及び前記ユーザの終了が前記資格エンジンのうち少なくとも１つに対して公表される、資格システム。
20. 請求項１に記載の資格システムであって、前記組織情報システムが、クライアント連絡先データベースと通信し、前記組織情報システムが、クライアント連絡先ユーザの終了を示すデータを受け取ると、前記ユーザの前記クライアントとの提携を除去するようにプログラムされる、資格システム。
21. 請求項２０に記載の資格システムであって、前記ユーザの前記クライアントとの提携を除去することにより、前記終了したクライアント連絡先ユーザが前記組織情報システムの全てのチームから除去され、その更新が前記資格エンジンのうち少なくとも１つに公表される、資格システム。
22. 組織のセキュア化された資源へのアクセスを制御するための、コンピュータにより実施される方法であって、
    組織データを、コンピュータによって実施される組織情報システムが有する少なくとも１つの組織情報データベースのデータ・モデルに格納するステップであって、前記組織データが、
    ユーザ・アイデンティティと、
    チームであって、それぞれが、前記ユーザ・アイデンティティのうち少なくとも１つに関連付けられるチームと、
    リレーションであって、それぞれが、前記ユーザ・アイデンティティのうち少なくとも１つと前記チームのうち少なくとも１つとの間の関係、又は前記チームのうち少なくとも２つの間の関係を規定するリレーションと、
    役割であって、それぞれが、前記チームのうち少なくとも１つ又は前記ユーザ・アイデンティティのうち少なくとも１つに対して割り当てられるジョブ機能を規定する役割と、
    適用範囲であって、それぞれが、前記役割のうち関連付けられる一つに関して、前記チームのうち少なくとも１つ、又は前記チームのうち少なくとも１つに関連付けられる前記ユーザ・アイデンティティの少なくとも１つについての責任の範囲を規定し、ビジネス、製品、クライアントおよびシステムのラインを記述する少なくとも１つのデータから選択される１又はそれ以上の適用範囲属性を備える、適用範囲と、
    を備えるステップを含み、
    少なくとも１つのプログラムされたコンピュータを用いて実施される複数の資格エンジンのそれぞれにおいて、前記組織情報システムと電気通信し、及びセキュア化された資源を使用する少なくとも１つのアプリケーションと電気通信し、それぞれの資格エンジンが、前記アプリケーションのうち少なくとも１つをサービスするように構成され、前記資格エンジンのうち少なくとも１つが複数の前記アプリケーションと電気通信して、
    前記資格システムのユーザが、前記アプリケーションを介して、対応する前記少なくとも１つの資格データベースに格納された前記資格データに基づいて、セキュア化された資源にアクセスする資格があるかを判定するステップであって、
    前記資格エンジンと通信する少なくとも１つのアプリケーションからセキュア化された資源にアクセスするための１又はそれ以上の資格要求を受け取り、前記資格エンジンの少なくとも１つが、前記複数のアプリケーションから資格要求を受け取ること、及び
    前記１又はそれ以上資格要求に応答して、前記１又はそれ以上の資格要求に関連付けられた前記ユーザが前記少なくとも１つのアプリケーションを介して、前記少なくとも１つの資格データベースに格納された前記資格データに基づいて、セキュア化された資源にアクセスする資格があるかを判定すること、を含むステップと、
    少なくとも１つの資格データベース及びビジネス・ルールのロジックのストアと電気通信してインテグレータを実施するステップであって、前記インテグレータが、
    前記組織情報システムからデータを読み取り、該読み取られたデータが、ユーザ・アイデンティティ・データ、役割データ、及び適用範囲データを含み、
    前記ビジネス・ルールのロジックを、前記読み取られたデータに適用して、前記資格エンジンの有する前記少なくとも１つの資格データベースに格納される資格データを作成し、前記ビジネス・ルールのロジックが、前記役割のうち少なくとも１つ及び前記適用範囲のうち少なくとも１つに基づいて、前記セキュア化された資源のうち少なくとも１つについて、アクセス・ポリシーを規定しているアクセス制御ポリシーを特定し、前記少なくとも１つの役割及び前記少なくとも１つの適用範囲が、前記読み取られたデータから選択され、前記資格データが、前記ユーザ、前記少なくとも１つのセキュア化された資源、及び前記少なくとも１つのセキュア化された資源について実行されるアクションを示す、
    ようにプログラムされる、ステップと、
    を含む、方法。
23. 請求項２２に記載の方法であって、前記ユーザがセキュア化された資源にアクセスする資格があるかを判断する前記ステップが、資格管理者がセキュア化された資源を管理する資格があるかを判断することを含む、方法。
24. 請求項２２に記載の方法であって、前記ユーザがセキュア化された資源にアクセスする資格があるかを判断する前記ステップが、前記ユーザが組織情報にアクセスする資格があるかを判断することを含む、方法。
25. 組織のセキュア化された資源へのアクセスを制御するためのコンピュータにより実施される資格システムであって、少なくとも１つのプロセッサと、動作可能に関連付けられるデータ・ストレージとを備えており、前記データ・ストレージに含まれる命令が、前記少なくとも１つのプロセッサにより実行される時に、前記資格システムにコンピュータにより実施される組織情報システムと複数の資格エンジンとを実施させ、
    前記コンピュータにより実施される組織情報システムが、組織情報データベースで組織データを管理及び格納し、前記組織データが、論理データ・モデルに従って前記組織情報データベースに格納され、該論理データ・モデルが、
    ユーザ・アイデンティティと、
    チームであって、それぞれが、前記ユーザ・アイデンティティのうち少なくとも１つに関連付けられるチームと、
    リレーションであって、それぞれが、前記ユーザ・アイデンティティのうち少なくとも１つと前記チームのうち少なくとも１つとの間の関係、又は前記チームのうち少なくとも２つの間の関係を規定するリレーションと、
    役割であって、それぞれが、前記チームのうち少なくとも１つ又は前記ユーザ・アイデンティティのうち少なくとも１つに対して割り当てられるジョブ機能を規定する役割と、
    適用範囲であって、それぞれが、前記役割のうち関連付けられる１つに関して、前記チームのうち少なくとも１つ、又は前記チームのうち少なくとも１つに関連付けられる前記ユーザ・アイデンティティのうち少なくとも１つについての責任の範囲を規定し、ビジネス、製品、クライアントおよびシステムのラインを記述する少なくとも１つのデータから選択される１又はそれ以上の適用範囲属性を備える、適用範囲と、
    を備えており、
    複数の資格エンジンが、それぞれ、インテグレータ、資格データベース、及びビジネス・ルールのロジックのストアを備えており、前記資格エンジンが、前記組織情報システム及びセキュア化された資源を使用するアプリケーションと電気通信し、
    前記複数の資格エンジンのそれぞれが、前記アプリケーションのユーザが前記アプリケーションを介して、前記資格データベースに格納された前記資格データに基づいて、セキュア化された資源にアクセスする資格があるかを判定するようにプログラムされ、前記資格エンジンのそれぞれが、前記アプリケーションのうち少なくとも１つをサービスするように構成され、
    各資格エンジンが備える前記インテグレータが、更に、前記資格データベース及び前記ビジネス・ロジックのストアと電気通信して、
    前記組織情報システムからデータを読み取り、
    前記ビジネス・ルールのロジックを、前記読み取られたデータに適用して、前記資格データベースに格納される資格データを作成し、前記ビジネス・ルールのロジックが、前記役割のうち少なくとも１つ及び前記適用範囲のうち少なくとも１つに基づいて、前記セキュア化された資源のうち少なくとも１つについて、前記役割のうち少なくとも１つ及び前記適用範囲のうち少なくとも１つに基づいてアクセス・ポリシーを規定しているアクセス制御ポリシーを特定し、前記資格データが、前記ユーザ、前記少なくとも１つのセキュア化された資源、及び前記少なくとも１つのセキュア化された資源について実行されるアクションを示す、ようにプログラムされる、
    資格システム。

Images