JP4991968B2 - コンピュータシステム、管理システム及び記録媒体 - Google Patents

Description

本発明は、コンピュータシステム、管理システム及び記録媒体に関する。

社員の使用するコンピュータから企業秘密が外部に漏洩するのを防止するために、セキュリティポリシーを各コンピュータに設定しておき、セキュリティポリシーに違反するコンピュータの起動を禁止するようにした技術は知られている（特許文献１）。

特開２００９−２３０１７８号公報

従来技術では、各コンピュータに統一的なセキュリティポリシーが設定されることを前提にしており、複数の管理者からそれぞれ異なるセキュリティポリシーが設定される場合を全く考慮していない。従来技術には、複数の管理者により管理されているコンピュータのセキュリティ管理をどのように実現するのか、全く記載されていない。

従って、従来技術では、複数の管理者が一つのコンピュータをそれぞれ管理することのできるシステムにおいて、セキュリティ維持と使い勝手の両立を図ることができないという問題がある。

そこで、本発明の目的は、複数のセキュリティポリシーをクライアントコンピュータに設定することができ、それらのセキュリティポリシーから所定のルールに従って得られる新たなセキュリティポリシーに基づいて、クライアントコンピュータのセキュリティを管理することができるようにしたコンピュータシステム、管理システム及び記録媒体を提供することにある。

本発明の他の目的は、複数のユーザがそれぞれ異なるセキュリティポリシーをクライアントコンピュータに設定でき、かつ、所定ユーザのみが各セキュリティポリシーから新たなセキュリティポリシーを生成するためのルールをクライアントコンピュータに設定することができ、さらに、各ユーザの設定するセキュリティポリシーの一部または全部が相反する場合には、予め設定される中間動作をクライアントコンピュータに行わせることができる、コンピュータシステム、管理システム及び記録媒体を提供することにある。本発明の更なる目的は、後述する実施形態の記載から明らかになるであろう。

上記課題を解決すべく、本発明の第１観点に従うコンピュータシステムは、クライアントコンピュータと、第１管理コンピュータと、第２管理コンピュータとが、互いに通信可能に接続されたコンピュータシステムであって、第１管理コンピュータは、クライアントコンピュータの有するセキュリティ管理プログラムの動作を制御するための第１セキュリティポリシー情報と、複数の第１セキュリティポリシー情報から第２セキュリティポリシー情報を生成させるためのルールを示すルール情報とを、クライアントコンピュータに送信し、第２管理コンピュータは、第１管理コンピュータからクライアントコンピュータに送信される第１セキュリティポリシー情報と制御動作の異なる、他の第１セキュリティポリシー情報を、クライアントコンピュータに送信し、クライアントコンピュータは、第１管理コンピュータから受信するルール情報に基づいて、第１管理コンピュータから受信する第１セキュリティポリシー情報と第２管理コンピュータから受信する他の第１セキュリティポリシー情報とから第２セキュリティポリシー情報を生成し、第２セキュリティポリシー情報に基づいてセキュリティ管理プログラムの動作を制御する。

第２観点では、第１観点において、クライアントコンピュータは、第１管理コンピュータからクライアントコンピュータに送信された第１セキュリティポリシー情報と第２セキュリティポリシー情報との差分と、第２管理コンピュータからクライアントコンピュータに送信された他の第１セキュリティポリシー情報と第２セキュリティポリシー情報との差分とをそれぞれ検出し、検出された各差分を出力させる。

第３観点では、第１観点において、ルール情報は、第１管理コンピュータから受信する第１セキュリティポリシー情報の制御動作と、第２管理コンピュータから受信する他の第１セキュリティポリシー情報の他の制御動作とが相反する場合、第２セキュリティポリシー情報を、制御動作と他の制御動作との中間の動作として予め設定されている中間動作として生成させることができる。

第４観点では、第１観点において、クライアントコンピュータ上で実行される所定のコンピュータプログラムについて、第１セキュリティポリシー情報または他の第１セキュリティポリシー情報のうち、いずれか一方が作動を禁止しており、残りの他方が作動を許可している場合、ルール情報は、所定のコンピュータプログラムの作動を所定の条件付きで認めるように構成することができる。

第５観点では、第１観点において、第１管理コンピュータは、複数の第１ユーザにより操作され、各第１ユーザ毎に第１セキュリティポリシー情報を作成できるようになっており、第２管理コンピュータは、複数の第２ユーザにより操作され、各第２ユーザ毎に他の第１セキュリティポリシー情報を作成できるようになっており、各第１ユーザのうち予め設定される所定の第１ユーザのみがルール情報を作成できるようになっている。

他の観点に従う記録媒体では、クライアントコンピュータの有するセキュリティ管理プログラムの動作を制御するための第１セキュリティポリシー情報を複数生成させる機能と、各第１セキュリティポリシー情報から第２セキュリティポリシー情報を生成させるためのルールを示すルール情報を作成させる機能と、各第１セキュリティポリシー情報及びルール情報をクライアントコンピュータに送信させることにより、クライアントコンピュータ内で、ルール情報に基づいて、各第１セキュリティポリシー情報から第２セキュリティポリシー情報を生成させ、生成された第２セキュリティポリシー情報に基づいてセキュリティ管理プログラムの動作を制御させる機能と、をコンピュータにそれぞれ実現させるためのコンピュータプログラムを、該コンピュータが読取り及び実行可能な形式で記録している。
なお、上記観点の組合せ以外の他の組合せも本発明の範囲に含まれる。

図１は、システムの全体概要を示す図である。 図２は、マージルールの構成を説明するための図である。 図３は、マージルールの適用結果の一例を示す図である。 図４は、各機能毎に設定可能なマージルールの一例を示す図である。 図５は、管理サーバのハードウェア構成を示す図である。 図６は、最上位管理サーバのプログラム構成を示す図である。 図７は、最上位管理サーバのテーブル構成を示す図である。 図８は、ユーザ管理テーブルを示す図である。 図９は、マージルールテーブルを示す図である。 図１０は、マネージャ管理テーブルを示す図である。 図１１は、クライアント管理テーブルを示す図である。 図１２は、ポリシーテーブルを示す図である。 図１３は、複数ポリシーを適用した結果を示すテーブルの図である。 図１４は、図１３の一部を構成するテーブルの図である。 図１５は、図１４の一部を構成するテーブルの図である。 図１６は、クライアントコンピュータの動作履歴を管理するためのテーブルである。 図１７は、システムの構成を示すテーブルである。 図１８は、マージルールを作成するための画面例である。 図１９は、管理サーバのプログラム構成を示す図である。 図２０は、管理サーバのテーブル構成を示す図である。 図２１は、ユーザ管理テーブルを示す図である。 図２２は、マネージャ管理テーブルを示す図である。 図２３は、クライアント管理テーブルを示す図である。 図２４は、上位装置を管理するためのテーブルである。 図２５は、マネージャ名を管理するテーブルである。 図２６は、クライアントコンピュータのプログラム構成を示す。 図２７が、クライアントコンピュータのテーブル構成を示す。 図２８は、マージルールを管理するテーブルである。 図２９は、受信したポリシーを管理するテーブルである。 図３０は、マージポリシーを管理するテーブルである。 図３１は、複数ポリシーを適用した結果を示すテーブルである。 図３２は、クライアントコンピュータの名を管理するテーブルである。 図３３は、クライアントコンピュータの動作履歴を管理するためのテーブルである。 図３４は、最上位管理サーバにログインする場合の処理を示すフローチャートである。 図３５は、最上位管理サーバのＧＵＩ処理を示すフローチャート。 図３６は、通信統括処理のフローチャート。 図３７は、ユーザ管理処理のフローチャート。 図３８は、マージルール作成処理のフローチャート。 図３９は、マネージャ管理処理のフローチャート。 図４０は、図３９の一部を示すフローチャート。 図４１は、図３９の他の一部を示すフローチャート。 図４２は、マネージャ情報を変更する処理のフローチャート。 図４３は、クライアント管理処理のフローチャート。 図４４は、図４３の一部を示すフローチャート。 図４５は、図４３の他の一部を示すフローチャート。 図４６は、図４３のさらに別の一部を示すフローチャート。 図４７は、ポリシー作成処理のフローチャート。 図４８は、クライアントコンピュータへマージルール及びポリシーを配信するための処理を示すフローチャート。 図４９は、複数ポリシーの適用結果をクライアントコンピュータから収集する処理を示すフローチャート。 図５０は、クライアントコンピュータの動作履歴を収集する処理を示すフローチャート。 図５１は、クライアントコンピュータの動作履歴を表示させる処理を示すフローチャート。 図５２は、システム構成を管理する処理を示すフローチャート。 図５３は、図５２の一部を示すフローチャート。 図５４は、図５２の他の一部を示すフローチャート。 図５５は、システム構成を表示させる処理を示すフローチャート。 図５６は、管理サーバにログインする処理を示すフローチャート。 図５７は、クライアントコンピュータの動作を統括する処理を示すフローチャート。 図５８は、マージルールを格納する処理を示すフローチャート。 図５９は、受信したポリシーを格納する処理を示すフローチャート。 図６０は、図５９の一部を示すフローチャート。 図６１は、複数ポリシーをマージさせる処理を示すフローチャート。 図６２は、図６１の一部を示すフローチャート。 図６３は、図６２の一部を示すフローチャート。 図６４は、ポリシーをセキュリティ管理機能群に適用する処理を示すフローチャート。 図６５は、ポリシー適用結果を格納する処理を示すフローチャート。 図６６は、クライアントコンピュータの動作履歴を管理サーバにアップロードする処理を示すフローチャート。 セキュリティ管理処理を示すフローチャート。

以下、図面に基づいて、本発明の実施の形態を説明する。本発明は、後述のように、一つまたは複数のクライアントコンピュータ２０を複数の管理サーバ１０で管理しており、各管理サーバ１０がそれぞれ個別にセキュリティポリシーをクライアントコンピュータ２０に設定できるようになっている。

クライアントコンピュータ２０は、最上位管理サーバ１０（Ｍｓａ）から配信されたマージルールに基づいて、複数のセキュリティポリシーから一つのセキュリティポリシーを生成する。クライアントコンピュータ２０は、各セキュリティポリシーに含まれる各項目の設定値を、マージルールに従って調整することにより、新たなセキュリティポリシーを作成する。クライアントコンピュータ２０は、新たなセキュリティポリシーに従って、コンピュータプログラムの作動を制御する。

各クライアントコンピュータ２０毎に、新たなセキュリティポリシーが生成され、各クライアントコンピュータ２０毎にセキュリティが管理される。これにより、各管理サーバ１０がそれぞれ異なるセキュリティポリシーを各クライアントコンピュータ２０に設定することができると共に、システム全体に統一的なルールを適用させることができる。従って、使い勝手の良さとセキュリティ性能の維持とを両立させることができる。

図１は、本実施例におけるコンピュータシステムの全体概要を示す。コンピュータシステムは、複数の管理サーバ１０と、複数のクライアントコンピュータ２０とを備える。複数の管理サーバ１０のうち一つの管理サーバ１０（Ｍｓａ）は、「第１管理コンピュータ」としての最上位管理サーバである。他の管理サーバ１０（Ｍａ，Ｍｂ，Ｍｃ，Ｍｄ）は、「第２管理コンピュータ」としての管理サーバである。以下の説明では、最上位管理サーバ１０（Ｍｓａ）を、ＳＡサーバと呼ぶ場合がある。

最上位管理サーバ１０（Ｍｓａ）を頂点とする階層構造が採用されている。最上位管理サーバ１０（Ｍｓａ）と中間層の管理サーバ１０（Ｍａ，Ｍｂ，Ｍｃ）とは、第１通信ネットワークＣＮ１を介して接続されている。各管理サーバ１０（Ｍｓａ，Ｍａ−Ｍｄ）は、それぞれ複数のユーザ（管理者）により使用可能である。最上位管理サーバ１０（Ｍｓａ）を使用可能な複数ユーザのうち所定のユーザは最上位ユーザとなり、後述のマージルールを作成することができる。

中間層の管理サーバ１０（Ｍｃ，Ｍｃ）は、クライアントコンピュータ２０（Ｃｂ）と第２通信ネットワークＣＮ２を介して接続されている。中間層の管理サーバ１０（Ｍａ）は、第２通信ネットワークＣＮ２を介して、最下層の管理サーバ１０（Ｍｄ）に接続されている。最下層の管理サーバ１０（Ｍｄ）は、第３通信ネットワークＣＮ３を介して、クライアントコンピュータ２０（Ｃａ）に接続されている。

最上位管理サーバ１０（Ｍｓａ）と各管理サーバ１０（Ｍａ，Ｍｄ）とは直列的に接続されている。最上位管理サーバ１０（Ｍｓａ）と各管理サーバ１０（Ｍｂ，Ｍｃ）とは並列的に接続されている。なお、最上位管理サーバ１０（Ｍｓａ）により直接的に管理されるクライアントコンピュータ２０を設けることもできる。

なお、各通信ネットワークＣＮ１，ＣＮ２，ＣＮ３はそれぞれ異なる通信ネットワークとして構成してもよいし、同一の通信ネットワークとして構成してもよい。最上位管理サーバ１０（Ｍｓａ）は、各管理サーバ（Ｍａ，Ｍｂ，Ｍｃ，Ｍｄ）及び各クライアントコンピュータ２０（Ｃａ，Ｃｂ）と双方向通信可能である。

最上位管理サーバ１０（Ｍｓａ）は、マージルールを作成して各クライアントコンピュータ２０に設定させる機能と、セキュリティポリシー（以下、ポリシー）を作成して各クライアントコンピュータ２０に配信させる機能とを備える。

他の管理サーバ１０（Ｍａ−Ｍｄ）は、ポリシーを作成して各クライアントコンピュータ２０に配信させる機能を有しており、マージルールを作成して各クライアントコンピュータ２０に設定させる機能は備えていない。

なお、各管理サーバ１０（Ｍｓａ，Ｍａ−Ｍｄ）の備える他の機能は後述する。マージルールは「ルール情報」の一例であり、各管理サーバ１０で作成されるポリシーＰａ−Ｐｄは「第１セキュリティポリシー」の一例である。

各クライアントコンピュータ２０は、各クライアントコンピュータ２０を管理する複数の管理サーバ１０から受信されるポリシーを記憶する。最上位管理サーバ１０（Ｍｓａ）は、全てのクライアントコンピュータ２０を管理ため、システム内の全クライアントコンピュータ２０には、最上位管理サーバ１０（Ｍｓａ）で作成されたポリシーＰｓが記憶される。

一方のクライアントコンピュータ２０（Ｃａ）は、最上位管理サーバ１０（Ｍｓａ）以外に、２つの管理サーバ１０（Ｍａ，Ｍｄ）によっても管理されている。従って、クライアントコンピュータ２０（ＣＡ）は、ポリシーＰｓに加えて、管理サーバ１０（Ｍａ）から受信するポリシーＰａと、管理サーバ１０（Ｍｄ）から受信するポリシーＰｄも記憶している。即ち、一方のクライアントコンピュータ２０（Ｃａ）には、最上位管理サーバ１０（Ｍｓａ）からのポリシーＰｓに加えて、同一系統上に存在する複数の管理サーバ１０（Ｍａ，Ｍｄ）によりそれぞれ作成されるポリシーＰａ，Ｐｄも記憶される。

他方のクライアントコンピュータ２０（Ｃｂ）は、最上位管理サーバ１０（Ｍｓａ）以外に、２つの管理サーバ１０（Ｍｂ，Ｍｃ）によっても管理されている。従って、クライアントコンピュータ２０（ＣＡ）は、ポリシーＰｓに加えて、管理サーバ１０（Ｍｂ）から受信するポリシーＰｂと、管理サーバ１０（Ｍｃ）から受信するポリシーＰｃも記憶している。即ち、他方のクライアントコンピュータ２０（Ｃｂ）には、最上位管理サーバ１０（Ｍｓａ）からのポリシーＰｓに加えて、異なる系統上に存在する複数の管理サーバ１０（Ｍｂ，Ｍｃ）によりそれぞれ作成されるポリシーＰｂ，Ｐｃも記憶される。

クライアントコンピュータ２０は、自身を管理する各管理サーバ１０から受信したポリシーを、マージルールに従ってマージすることにより、新たなポリシーを作成する。クライアントコンピュータ２０は、新たなポリシーに基づいて、セキュリティ管理プログラム（後述するセキュリティ管理機能群Ｐ２０７）を動作させる。

新たなポリシーは「第２セキュリティポリシー」の一例である。紙面の都合上、図１では、セキュリティ管理プログラムを「セキュリティ」と略記する。マージさせるとは、例えば、複数ポリシーの設定内容（制御動作の項目）に基づいて、設定値を調整することを意味する。

詳細はさらに後述するが、クライアントコンピュータ２０は、マージルールに従って、複数のポリシーから一つの新しいポリシーを生成させる。マージルールは、最上位管理サーバ１０（Ｍｓａ）のみが設定可能である。従って、マージルールによって、システム内の各クライアントコンピュータ２０の備える新ポリシーに必要最低限度のセキュリティ性能を確保させることができる。

図２は、マージルールの内容を模式的に示す説明図である。同一機能に対する複数の制御動作を調整するためのマージルールは、以下のように構成可能である。機能設定は、例えば、非リスト式とリスト式とに分類することができる。

非リスト式の機能設定とは、機能の作用対象が一つであって、リストを備えないものを言う。例えば、機能の作用対象が「印刷機能」である場合、「印刷許可」と「印刷禁止」との２つの値のうちいずれか一つを採用する。また例えば、機能の採用対象が「操作ログの取得」である場合、「ログ取得」と「ログ不要」との２つの値のうちいずれか一つを採用する。

リスト式の機能設定とは、機能の作用対象が複数であって、作用対象のリストを備えているものを言う。例えば、コンピュータプログラムの起動を禁止させる場合、複数の禁止リストのいずれかに記載されているコンピュータプログラムの起動を禁止させるように設定することができる。また例えば、複数の許可リストのそれぞれに重複記載されているコンピュータプログラムのみを起動させるように設定することもできる。

非リスト式の機能設定の場合は、下記のルールを用いることができる。但し、本発明は以下の各ルールに限定されない。

（Ａ１）先優先：先に設定されている設定値を優先するルールである。例えば、最初に設定されたパスワードのみを有効にさせたい場合等に使用される。
（Ａ２）後優先：後から設定されたポリシーを優先するルールである。このルールは、古い設定値を新しい設定値で上書きする。例えば、最新のパスワードのみを有効にしたい場合等に使用される。
（Ａ３）禁止優先：禁止を許可よりも優先させるルールである。
（Ａ４）許可優先：許可を禁止よりも優先させるルールである。
（Ａ５）オン優先：オン状態をオフ状態よりも優先させるルールである。
（Ａ６）オフ優先：オフ状態をオン状態よりも優先させるルールである。
（Ａ７）設定禁止：初期設定値の変更を禁止するルールである。
（Ａ８）多数優先：複数のポリシーのうち同一設定値となるポリシーの多い方に従うルールである。

（Ａ９）中間動作：各ポリシーの設定値が相反する関係の場合、各ポリシーの設定値の中間的な動作を行わせるルールである。例えば、一方の設定が「プログラムの起動禁止」であり、他方の設定が「プログラムの起動許可」である場合、例えば、「プログラムの起動を許可し、ログを取得する。」、「プログラムの起動を所定時間だけ許可する」等の中間動作を行わせることができる。中間動作は、例えば、禁止と許可との間の中間を設定するためのルールであり、条件付き許可、または、条件付き禁止を設定するためのルールであると定義することもできる。

（Ａ１０）リスト化：各ポリシーの設定値をリスト化し、リストに載っている全ての設定値を許可（または禁止）させるルールである。例えば、あるポリシーがプログラムＡの作動を許可しており、他のポリシーがプログラムＢの作動を許可している場合、プログラムＡとプログラムＢの作動を許可するリストが作成される。これら以外に、後述する追加（ＯＲ）、追加（ＡＮＤ）等のルールも使用できる。

リスト式の機能設定の場合は、一つの機能についてそれぞれ異なる属性を有するリストにより制御可能な場合がある。例えば、ある機能に関する禁止リストと、その機能に関する許可リストとの２つのリストを用いて、その機能の動作を制御する場合である。

従って、本実施例では、リストの属性についてのルールと、リストの内容についてのルールとに分けて検討する。リスト属性のルールをフェーズ１（Ｐｈ．１）と呼び、リスト内容のルールをフェーズ２（Ｐｈ．２）と呼ぶ。ここでは、説明の便宜上、禁止リストと許可リストの２つの属性を例に挙げて説明する。

フェーズ１のルールは、例えば、以下の４つである。
（Ｐｈ．１Ａ）禁止リストのみをマージする。
（Ｐｈ．１Ｂ）許可リストのみをマージする。
（Ｐｈ．１Ｃ）許可リストをベースとして、許可リストと禁止リストをマージする（ブラックリスト形式）。
（Ｐｈ．１Ｄ）禁止リストをベースとして、許可リストと禁止リストをマージする（ブラックリスト形式）。

フェーズ２のルールは、例えば、以下の通りである。フェーズ１のルール（Ｐｈ．１Ａ）と（Ｐｈ．１Ｂ）とについては、以下の３つのルール（Ｐｈ．２ＡＢ１）、（Ｐｈ．２ＡＢ２）、（Ｐｈ．２ＡＢ３）のいずれかが適用可能である。

（Ｐｈ．２ＡＢ１）全てのリストに載っているもののみを残すルールである。
（Ｐｈ．２ＡＢ２）いずれかのリストに載っていれば残すルールである。
（Ｐｈ．２ＡＢ３）いずれかのリストに載っていれば、中間動作に設定するルールである。例えば、いずれかのリストに載っているプログラムについては、起動を許可するがログも取得する等の中間的な制御動作が行われる。

フェーズ１の他のルール（Ｐｈ．１Ｃ）と（Ｐｈ．１Ｄ）については、以下の２つのルール（Ｐｈ．２ＣＤ１）、（Ｐｈ．２ＣＤ２）のいずれかが適用可能である。
（Ｐｈ．２ＣＤ１）全てのリストで許可されているもののみを残す、または、全てのリストで禁止されているもののみを残すルールである。
（Ｐｈ．２ＣＤ２）いずれかのリストに載っていれば、中間動作に設定するルールである。

図３は、許可リストと禁止リストをマージする場合の結果の例を示す。（Ｐｈ．１Ｃ）の場合を例に挙げて説明する。つまり、許可リストをベースとして、許可リストと禁止リストをマージする場合を説明する。項番１（図中、＃１。以下同様）から項番４までは
（Ｐｈ．２ＣＤ１）のルールを適用する場合を示し、項番５から項番８までは（Ｐｈ．２ＣＤ２）のルールを適用する場合を示す。

例えば、項番１では、ある設定項目が許可リストに掲載されており、禁止リストには掲載されていない場合を示す。禁止リストに掲載されていないということは、結果的に許可されている場合、即ち、消極的に許可されている場合である。許可リストに掲載された設定項目は、禁止リストによって消極的に許可されている。従って、その設定項目はマージ後も残り、動作が許可される。

項番２は、ある設定項目が許可リストでは明確に許可されているのに、禁止リストでは明確に禁止されている場合である。この場合、その設定項目はマージ後に残らない。従って、その設定項目の動作は禁止される。

項番３は、ある設定項目が許可リスト及び禁止リストの両方に掲載されていない場合を示す。許可リストに明示されていない設定項目は、その動作が消極的に禁止されている設定項目である。この場合、その設定項目は、許可リストでは消極的に禁止されているが、禁止リストでは消極的に許可されている。従って、その設定項目はマージ後に残らず、動作が禁止される。

項番４は、ある設定項目が許可リストに掲載されておらず、禁止リストに掲載されている場合を示す。この場合、その設定項目は、許可リストによって消極的に禁止されており、禁止リストによって明確に禁止されている。しかし、その設定項目は、そもそも許可リストに掲載されていないので、マージ後に残らない。従って、結果的に、その設定項目の動作は禁止される。

項番５は、ある設定項目が許可リストに掲載されており、禁止リストに掲載されていない場合を示す。この場合、その設定項目の動作は、禁止リストによって消極的に許可されている。従って、両方のリストで動作を許可されているため、マージ後に、その設定項目は残される。

項番６は、同一の設定項目が、許可リストと禁止リストの両方に掲載されている場合を示す。この場合、相反する設定内容であるため、中間動作が指定される。例えば、外部記録媒体の使用が許可リストと禁止リストの両方に載っている場合、読込み専用で使用する場合のみ許可する、のような中間動作を設定することができる。

項番７は、ある設定項目が許可リスト及び禁止リストの両方に掲載されていない場合を示す。その設定項目は許可リストに存在しないので、マージ後に残らない。従って、その設定項目の動作は禁止される。

項番８は、ある設定項目が許可リストに掲載されておらず、禁止リストにのみ掲載されている場合を示す。その設定項目は許可リストに掲載されていないため、マージ後に残らない。従って、その設定項目の動作は禁止される。

なお、以上の各ルールの説明は例示であって、本発明の範囲を上述の例に限定する趣旨ではない。以下の説明においても、本発明の範囲は、図示されたテーブル構造及びフローチャートの内容に限定されない。

図４は、各機能の種類に応じて設定可能なマージルールを予め規定する例を示す説明図である。マージルールは、上述のように複数存在しうるが、複数のマージルールの全てを各機能のそれぞれに適用できるとは限らない。つまり、各機能の性質に応じて、マージルールを選択する必要がある。

そこで、本実施例では、ユーザによるマージルールの編集作業を支援するために、各機能の種類毎に設定可能なマージルールの一覧を用意している。図４に示す例では、対象機能を、「ログ取得機能」、「リスト機能」、「禁止機能」、「動作設定機能」の４つに分類している。

「ログ取得機能」とは、クライアントコンピュータ２０の操作の履歴を取得して保存させる機能である。ログ取得機能としては、例えば、クライアントコンピュータ操作履歴を取得する機能、ファイル操作履歴を取得する機能、Ｗｅｂアクセス履歴を取得する機能等がある。ログ取得機能に設定可能な項目として、ここでは、「オン優先」と「後優先」の２つを例示している。ユーザは、例示された以外の項目（例えば、「設定禁止」、「多数優先」等）を設定することもできる（以下同様）。

「リスト機能」とは、監視対象を複数設定し、監視対象がクライアントコンピュータ２０上で動作した場合に、所定のアクションを起こすための機能である。リスト機能には、例えば、ソフトウェアの起動を抑止する機能と、プロセスの起動時間を監視する機能とが含まれる。これら以外の機能をリスト機能に含めてもよい。

リスト機能で設定可能な項目として、ここでは、「後優先」、「追加（ＯＲ）」、「追加（ＡＮＤ）」、「追加（中間動作）」を例示する。「追加（ＯＲ）」とは、既存の設定対象に、後から受信した新しい設定対象を追加するルールである。「追加（ＡＮＤ）」とは、既存の設定対象と後から受信した新しい設定対象との重複部分のみを対象とするルールである。「追加（中間動作）」とは、各ポリシーの禁止リストで明確に禁止されている対象は動作を禁止し、一つ以上の許可リストで明確に許可されている対象は、中間動作に設定させるルールである。

ソフトウェアの起動を抑止させる機能の場合、ユーザは、例えば、以下のような中間動作を定義することができる。あるいは、中間動作を予め定義しておき、その中からユーザが所望の中間動作を選択する構成でもよい。

中間動作の一つの例として、ソフトウェアの起動を許可し、使用履歴を取得する。中間動作の他の例として、ソフトウェアの起動を条件付きで許可する。例えば、編集と新規作成は許可するが、データの保存を禁止する等の場合である。中間動作のさらに別の例として、所定時間または所定時刻のみソフトウェアの起動を許可する。これら以外の他の動作を中間動作として採用することもできる。

なお、プロセスの起動時間を監視する機能の場合は、中間動作を設定できないように構成することができる。

「禁止機能」とは、特定の操作を禁止させる機能である。禁止機能は、例えば、印刷を抑止させる機能と、外部記録媒体の使用を禁止させる機能とを含む。これら以外の機能を禁止機能に含めてもよい。禁止機能で設定可能な項目として、ここでは、例えば、「禁止優先」、「許可優先」、「中間動作」を挙げる。

印刷を抑止させる機能の場合、中間動作として、例えば、印刷を許可するが使用履歴を取得して保存する、最初の１ページだけ印刷を許可する、１部だけ印刷を許可する、テキスト部分のみ印刷を許可する、イメージ部分のみ印刷を許可する、所定の時間帯だけ印刷を許可する、モノクロ印刷のみ許可する等を設定することができる。

外部記録媒体の使用を禁止させる機能として、例えば、外部記録媒体からの読み出しは許可するが外部記録媒体への書込みは禁止する、外部記録媒体から所定サイズのデータのみを読み書き可能とする、外部記録媒体から所定ファイル形式のデータのみ読み書き可能とする、所定時間帯でのみ外部記録媒体を使用可能とする等を設定できる。

「動作設定機能」とは、複数の機能で共通する動作を設定するための機能である。動作設定機能には、例えば、履歴のアップロードを設定するための機能、履歴ファイルのサイズを設定するための機能、印刷抑止を解除するための解除パスワードを設定するための機能が含まれる。

図５は、管理サーバ１０及びクライアントコンピュータ２０のハードウェア構成を示す図である。管理サーバ１０とクライアントコンピュータ２０とは、以下に述べる構成を備えるコンピュータ装置として構成される。符号１１−１６は管理サーバ１０の構成要素であることを示し、符号２１−２６はクライアントコンピュータ２０の構成要素であることを示す。

管理サーバ１０（クライアントコンピュータ２０）は、例えば、メモリ１１（２１）と、マイクロプロセッサ１２（２２）と、補助記憶装置１３（２３）と、入力装置１４（１５）と、表示装置１５（２５）と、通信インターフェース１６（２６）とを備える。

メモリ１１（２１）には、後述する各プログラムが記憶される。マイクロプロセッサ１２（２２）は、メモリ１１（２１）から各プログラムを読み出して実行することにより、後述の各処理を実施する。

補助記憶装置１３（２３）は、例えば、ハードディスクドライブまたはフラッシュメモリデバイスのような記憶装置として構成される。補助記憶装置１３（２３）には、後述する各種テーブルが記憶される。

入力装置１４（２４）は、例えば、キーボード、ポインティングデバイス、マイクロフォン等の、ユーザの操作をコンピュータに入力するための装置である。表示装置１５（２５）は、例えば、ディスプレイ装置等の、ユーザに情報を与えるための装置である。なお、スピーカーから合成音声でユーザに通知する構成でもよい。

通信インターフェース１６（２６）は、通信ネットワークを介して、他のコンピュータ装置と双方向通信するための回路である。通信インターフェース１６（２６）は、有線または無線のいずれかまたは両方で、他のコンピュータ装置と双方向通信可能である。

管理サーバ１０は、入力装置１４及び表示装置１５を含むユーザインターフェースを必ずしも備える必要はない。例えば、管理サーバ１０を操作するための操作端末を管理サーバ１０に接続し、その操作端末を介してユーザからの操作を受け入れたり、ユーザに通知したりする構成としてもよい。なお、表示用端末と操作用端末とを管理サーバ１０に接続する構成、表示用端末のみを管理サーバ１０に接続し、操作は管理サーバ１０の入力装置１４を使用する構成でもよい。さらに、管理サーバ１０は、単一のコンピュータ装置として構成される必要はなく、複数のコンピュータ装置から一つの管理サーバ１０を構成してもよい。

図６は、最上位管理サーバ（ＳＡサーバ）のメモリ１１に記憶されているプログラムの例を示す。以下の説明において、符号「ＳＡ」は最上位管理サーバであることを示す。従って、メモリ１１（ＳＡ）は、最上位管理サーバのメモリであることを示し、補助記憶装置１３（ＳＡ）は、最上位管理サーバの補助記憶装置であることを示す。

最上位管理サーバのメモリ１１（ＳＡ）には、例えば、ユーザ管理部Ｐ１００と、ＧＵＩ（Graphical User
Interface）部Ｐ１０１と、マージルール編集部Ｐ１０２と、マネージャ管理部Ｐ１０３と、クライアント管理部Ｐ１０４と、ポリシー編集部Ｐ１０５と、配信部Ｐ１０６と、ポリシー適用結果収集部Ｐ１０７と、クライアント動作結果収集及び表示部Ｐ１０８と、システム構成管理及び表示部Ｐ１０９と、通信統括部Ｐ１１０とが、記憶されている。

各プログラムの詳細はフローチャートと共に後述するが、先に概要を簡単に述べる。なお、以下の説明では、最上位管理サーバのうちマージルールを設定することのできる管理機能をＳＡマネージャと呼び、ＳＡマネージャを使用するユーザをＳＡユーザと呼ぶ。セキュリティ確保のため、システム内で１名のユーザがＳＡユーザとして登録される。

ＳＡマネージャを使用が許可されていないユーザを一般ユーザと呼ぶ。一般ユーザは、最上位管理サーバを通常の管理サーバとして使用する。つまり、一般ユーザは、最上位管理サーバを用いて、ポリシーを最上位管理サーバが直接管理するクライアントコンピュータ２０に配信させることができる。一般ユーザは、マージルールを作成したり、マージルールを各クライアントコンピュータ２０に配信することはできない。

ユーザ管理部Ｐ１００は、ＧＵＩにより起動されるもので、最上位管理サーバを使用する各ユーザを管理するためのプログラムである。最上位管理サーバを使用するユーザには、上述の通り、ＳＡマネージャと一般ユーザとの２種類がある。

ＧＵＩ部Ｐ１０１は、ＳＡマネージャのＧＵＩ部分を担当するプログラムである。

マージルール編集部Ｐ１０２は、ＳＡマネージャのみが使用できるプログラムであり、マージルールの作成及び編集を行う。

マネージャ管理部Ｐ１０３は、最上位管理サーバの配下の各管理サーバ１０の情報を管理するためのプログラムである。

クライアント管理部Ｐ１０４は、最上位管理サーバの配下の全クライアントコンピュータ２０（つまり、コンピュータシステム内の全クライアントコンピュータ）の情報を管理するためのプログラムである。

ポリシー編集部Ｐ１０５は、各クライアントコンピュータ２０に配信させるためのポリシーを作成したり編集したりするためのプログラムである。

配信部Ｐ１０６は、マージルールまたはポリシー等を各クライアントコンピュータ２０に配信させるためのプログラムである。さらに、配信部Ｐ１０６は、ポリシーの適用を要求するための指令、動作結果（動作履歴）のアップロードを要求するための指令等を各クライアントコンピュータ２０に送信する。

ポリシー適用結果収集部Ｐ１０７は、各クライアントコンピュータ２０におけるポリシーの適用結果を収集する。上述の通り、各クライアントコンピュータ２０は、同一管理サーバまたは異なる管理サーバから受信される複数のポリシーとマージルールとに基づいて、新たなポリシーを生成する。ポリシー適用結果収集部Ｐ１０７は、各クライアントコンピュータ２０毎に生成された新たなポリシーを収集する。

クライアント動作結果収集及び表示部Ｐ１０８は、各クライアントコンピュータ２０でのセキュリティ機能の動作結果（動作履歴）を収集したり、収集された動作結果を表示させるためのプログラムである。

紙面の都合上、図６では、クライアントコンピュータ２０から動作結果を収集するプログラムと、収集した動作結果を表示させるプログラムとを、一つのプログラムであるかのように図示している。実際には、クライアント動作結果を収集するプログラムと、クライアント動作結果を表示させるプログラムとは別々に構成できる。

システム構成管理及び表示部Ｐ１０９は、コンピュータシステムの構成を示す情報を管理したり、その情報を表示させたりするためのプログラムである。システム構成管理及び表示部Ｐ１０９も、便宜上一つのプログラムであるかのように示されているが、実際には、システム構成を管理するプログラムと、システム構成を表示させるプログラムとに分けて構成することができる。

通信統括部Ｐ１１０は、他の管理サーバ１０及び各クライアントコンピュータ２０との通信を制御するためのプログラムである。

図７は、ＳＡサーバの補助記憶装置１３（ＳＡ）に格納される各種テーブルの構成を示す説明図である。ＳＡサーバの補助記憶装置１３（ＳＡ）には、例えば、ユーザ管理テーブルＴ１００と、マージルールテーブルＴ１０１と、マネージャ管理テーブルＴ１０２と、クライアント管理テーブル宇Ｔ１０３と、ポリシーテーブルＴ１０４と、ポリシー適用結果テーブルＴ１０５と、クライアント動作結果テーブルＴ１０６と、システム構成テーブルＴ１０７とが記憶される。次に、各テーブルの構成を詳細に説明する。

図８は、ＳＡサーバの有するユーザ管理テーブルＴ１００の構成例を示す。ユーザ管理テーブルＴ１００は、ＳＡサーバを使用する各ユーザの情報を管理するためのテーブルである。ユーザ管理テーブルＴ１００は、例えば、ユーザＩＤ欄Ｃ１０００と、パスワード欄Ｃ１００１と、属性欄Ｃ１００２とを備える。

本実施例では、便宜上、ＳＡユーザのＩＤを「ＳＡＵＳＥＲ」とし、それ以外の一般ユーザのＩＤを「ＵＳＥＲＡ」、「ＵＳＥＲＢ」と示す。より多くの一般ユーザが存在してもよい。ＳＡユーザは、一人だけ設定される。但し、システムの信頼性を維持できるのであれば、ＳＡユーザを複数設定する構成としてもよい。

図９は、マージルールテーブルＴ１０１の構成例を示す。マージルールは、ＳＡユーザにより作成または編集される。一般ユーザは、マージルールを作成したり編集したりすることはできない。

マージルールテーブルＴ１０１は、ＳＡユーザにより作成されるマージルールを管理するためのテーブルである、ＳＡユーザは、複数のマージルールを作成できる。従って、例えば、コンピュータシステムを複数の領域に分けて、一方の領域に属するクライアントコンピュータ２０には一方のマージルールを適用し、他方の領域に属するクライアントコンピュータ２０には他方のマージルールを適用することができる。

図１に示す例では、クライアントコンピュータ２０（Ｃａ）に第１マージルールを適用し、クライアントコンピュータ２０（Ｃｂ）に第２マージルールを適用できる。従って、例えば、会社毎に、事業部毎に、部署毎に、グループ毎に、それぞれ異なるマージルールを設定することができる。同一のポリシーを受信していてもマージルールが異なれば、クライアントコンピュータ２０内で生成されるポリシーは異なる。複数のマージルールを設定できるという構成は、コンピュータシステムを使用する各組織（会社、部署、グループ等）の性質等に応じて、それぞれに適したセキュリティポリシーでシステムを運用可能であるという効果をもたらす。

マージルールテーブルＴ１０１は、例えば、ルール名欄Ｃ１０１０と、ＳＡＩＤ欄Ｃ１０１１と、パスワード欄Ｃ１０１２と、マージルールの内容（Ｃ１０１３，Ｃ１０１４，Ｃ１０１５，Ｃ１０１６，Ｃ１０１７）とを管理する。マージルールの内容は、項目ＩＤ欄Ｃ１０１３（Ｃ１０１５）と、ルール欄Ｃ１０１４（Ｃ１０１７）とを備える。さらに、マージルールの内容として、例外欄Ｃ１０１６を設けることもできる。

ルール名欄Ｃ１０１０には、各マージルールを特定するための情報が設定される。ＳＡＩＤ欄Ｃ１０１１には、マージルールを作成したＳＡユーザのＩＤが設定される。なお、本実施例において、ＩＤ、識別情報、名前は、置換可能である。パスワード欄Ｃ１０１２は、ＳＡユーザに設定されるパスワードを示す。

項目ＩＤ欄Ｃ１０１３（Ｃ１０１５）には、ポリシーの設定項目を特定するための情報が設定される。設定項目としては、例えば、クライアントコンピュータの操作ログ、ファイル操作ログ、Ｗｅｂアクセスログ、ソフトウェア起動抑止、プロセス起動時間取得、外部記録媒体の使用禁止、印刷抑止、印刷抑止を解除するパスワード、履歴アップロードの設定、履歴ファイルのサイズ等を挙げることができる。

ルール欄Ｃ１０１４（Ｃ１０１７）には、各設定項目に適用されるルールを特定するための情報が設定される。ルールとしては、例えば、先優先、後優先、オン優先、オフ優先、多数優先、設定禁止、禁止優先、許可優先、追加（ＯＲ）、追加（ＡＮＤ）、追加（中間動作）、最大値優先、最小値優先等を挙げることができる。

例外欄Ｃ１０１６には、設定項目の例外となる対象が設定される。例えば、「印刷抑止」が設定されている場合でも、特定マネージャ（管理サーバ）または特定ユーザからのポリシーに応じて、印刷を例外的に許可させることができる。または、印刷抑止を解除するためのパスワードに「先優先」のルールが設定されている場合でも、特定マネージャまたは特定ユーザにより作成されたポリシーに従って、例外的に、先に設定されているパスワード以外のパスワードで、印刷抑止を解除させることもできる。

なお、本実施例では、特定マネージャまたは特定ユーザの単位で、例外を設定する場合を述べるが、これに限らず、例えば、クライアントコンピュータ２０にインストールされるソフトウェアの種別、または、クライアントコンピュータ２０の属する部署またはクライアントコンピュータ２０を使用するユーザの役職等に応じて、例外を設定可能な構成としてもよい。

例えば、クライアントコンピュータ２０にインストールされている各ソフトウェアのうち特定のソフトウェアのみ例外的に印刷を許可することができる。または、開発部や経理部等の所定部署に属するクライアントコンピュータ２０のみ、例外的に印刷を許可することができる。さらに、部長や課長等の所定役職のユーザからの指示で、例外的に印刷を許可することができる。

図１０は、マネージャ管理テーブルＴ１０２の構成例を示す。マネージャ管理テーブルＴ１０２は、ＳＡマネージャ配下の各マネージャ（一般の管理サーバ）の情報と、各マネージャを使用するユーザの情報とを管理するためのテーブルである。

マネージャ管理テーブルＴ１０２は、例えば、マネージャ名欄Ｃ１０２０と、ホスト名欄Ｃ１０２１と、ＩＰアドレス欄Ｃ１０２２と、ユーザ名欄Ｃ１０２３と、直上位マネージャ名欄Ｃ１０２４とを備える。

マネージャ名欄Ｃ１０２０には、コンピュータシステム内の各マネージャを一意に特定するための情報が設定される。重複したマネージャ名が発生しないように、ＳＡマネージャが各マネージャの名前を決定する。

ホスト名欄Ｃ１０２１には、各マネージャの設けられているホストコンピュータ名が設定される。ホストコンピュータ名とは、管理サーバを識別するための情報である。ホスト名とマネージャ名とを分離することにより、比較的簡単にマネージャを別のサーバに移すことができる。なお、マネージャ名とホスト名とのいずれか一方のみを用いて、各マネージャを識別する構成でもよい。または、他の情報を用いて各マネージャを識別する構成としてもよい。

ＩＰアドレス欄Ｃ１０２２には、ホスト名で特定される管理サーバのＩＰアドレスが設定される。ユーザ名欄Ｃ１０２３には、マネージャを使用するユーザを特定するための情報が設定される。

直上位マネージャ名欄Ｃ１０２４には、コンピュータシステムの構成上、そのマネージャの直上位に位置するマネージャを特定するための情報が設定される。

図１１は、クライアント管理テーブルＴ１０３の構成例を示す。クライアント管理テーブルＴ１０３は、ＳＡマネージャ配下の各クライアントコンピュータ２０、つまり、コンピュータシステム内の全クライアントコンピュータ２０を管理する。コンピュータシステム内の全クライアントコンピュータ２０とは、本発明によりセキュリティポリシーが管理される範囲内の全クライアントコンピュータを意味し、本発明の対象外のクライアントコンピュータは含まれない。

クライアント管理テーブルＴ１０３は、例えば、クライアント名欄Ｃ１０３０と、ホスト名欄Ｃ１０３１と、ＩＰアドレス欄Ｃ１０３２と、直上位マネージャ欄Ｃ１０３３と、ユーザ数欄Ｃ１０３４と、各ユーザにより設定されるポリシーを示す欄Ｃ１０３５，Ｃ１０３６と、マージルール欄Ｃ１０３７とを備える。

クライアント名欄Ｃ１０３０には、各クライアントを特定する情報が設定される。ホスト名欄Ｃ１０３１には、各クライアントの設けられているコンピュータを特定する情報が設定される。ＩＰアドレス欄Ｃ１０３２には、各クライアントの設けられているコンピュータのＩＰアドレスが設定される。

直上位マネージャ名欄Ｃ１０３３には、コンピュータシステムの構成上、クライアントコンピュータ２０の直上位に位置するマネージャを特定する情報が設定される。欄Ｃ１０３４，Ｃ１０３５は、ＳＡマネージャを使用する各ユーザ毎に用意される。例えば、４人のユーザがＳＡマネージャを用いてポリシーを作成可能な場合、その４人分の欄が用意される。欄Ｃ１０３４，Ｃ１０３５には、ＳＡマネージャを使用する各ユーザにより作成されたポリシーの名称及び世代情報が設定される。ＳＡマネージャは、全てのポリシーの名称及び世代情報を参照することができる。ポリシーを設定した各ユーザは、自分の設定したポリシーについてのみ、ポリシー名及び世代情報を参照可能である。

マージルール欄Ｃ１０３７には、クライアントコンピュータ２０に適用されるマージルールを特定するための情報が設定される。セキュリティ維持の観点から、マージルール欄Ｃ１０３７は、ＳＡマネージャのみが参照可能となっている。

図１２は、ポリシーテーブルＴ１０４の構成例を示す。ポリシーテーブルＴ１０４は、ＳＡマネージャを使用する各ユーザにより作成されたポリシーを管理する。ポリシーテーブルＴ１０４は、例えば、マネージャ名欄Ｃ１０４０と、ユーザＩＤ欄Ｃ１０４１と、ポリシー名欄Ｃ１０４２と、世代欄Ｃ１０４３と、結果通知欄Ｃ１０４４と、設定ＩＤ欄Ｃ１０４５（１）−（４）と、設定欄Ｃ１０４６（１）−（４）とを備える。

マネージャ名欄Ｃ１０４０には、ポリシーを作成したマネージャを識別するための情報が設定される。ユーザ名欄Ｃ１０４１には、ポリシーを作成したユーザを識別するための情報が設定される。

ポリシー名欄Ｃ１０４２には、ポリシーを識別するための情報が設定される。世代欄Ｃ１０４３には、ポリシーの世代情報、すなわちバージョン情報が設定される。結果通知欄Ｃ１０４４には、クライアントコンピュータ２０からポリシー適用結果を通知させるか否かを示すフラグ情報が設定される。結果通知欄Ｃ１０４４に「オン」が設定された場合、そのポリシーが適用された全てのクライアントコンピュータ２０から、そのポリシーを作成したマネージャに向けて、ポリシー適用結果が通知される。結果通知欄Ｃ１０４４に「オフ」が設定された場合、マネージャからの要求に応じて、クライアントコンピュータ２０から結果通知を送信させることができる。

設定ＩＤ欄Ｃ１０４５（１）−（４）には、ポリシーの項目（機能）を識別するための情報が設定される。項目とは、上述した「印刷抑止」、「ソフトウェア起動抑止」、「ログ取得」等である。設定欄Ｃ１０４６（１）−（４）には、ポリシー項目をオンさせるかオフさせるかの区別を示す情報が設定される。

ここで、欄Ｃ１０４６（３）には、アクション対象が設定される。オンまたはオフのいずれか一つを設定すれば足りる機能ではなく、その機能が作用する対象を明示する必要があるためである。従って、図１２では、欄Ｃ１０４６（３）を「対象」として表示させている。

図１３は、ポリシー適用結果テーブルＴ１０５の構成例を示す。ポリシー適用結果テーブルＴ１０５は、各クライアントコンピュータ２０におけるポリシーの適用結果を管理するテーブルである。

上述の通り、本実施例では、クライアントコンピュータ２０に複数のポリシーが適用される。クライアントコンピュータ２０は、マージルールに基づいて複数のポリシーから新たなポリシーを作成する。従って、クライアントコンピュータ２０に送信されたポリシーと、そのクライアントコンピュータ２０に実際に適用されているポリシーとは、相違する場合がある。ポリシー適用結果テーブルＴ１０５は、クライアントコンピュータ２０における実際の適用結果を管理する。

ポリシー適用結果テーブルＴ１０５は、例えば、ユーザＩＤ欄Ｃ１０５０と、収集日時欄Ｃ１０５１と、クライアント毎情報セットＣ１０５２（１）−（ｎ）とを備える。ユーザＩＤ欄Ｃ１０５０には、ポリシーを作成したユーザを識別する情報が設定される。収集日時欄Ｃ１０５１には、クライアントコンピュータ２０からポリシー適用結果を収集した日時が設定される。クライアント毎情報セットＣ１０５２（１）−（ｎ）には、そのポリシーが適用されている各クライアントコンピュータ２０における適用結果を示す情報がそれぞれ設定される。

図１４は、図１３中のクライアント毎情報セットＣ１０５２の一つを示す。クライアント毎情報セットＣ１０５２は、例えば、クライアント名欄Ｃ１０５２０と、記憶日時欄Ｃ１０５２１と、ポリシー名／世代欄Ｃ１０５２２と、設定毎情報セットＣ１０５２３とを備える。

クライアント名欄Ｃ１０５２０には、クライアントコンピュータ２０を識別する情報が設定される。記憶日時欄Ｃ１０５２１には、クライアントコンピュータ２０から取得したポリシー適用結果をテーブルＴ１０５に格納した日時が設定される。ポリシー名／世代欄Ｃ１０５２２には、ポリシー名及び世代情報が設定される。

ポリシー適用結果をクライアントコンピュータ２０から受領して記憶した日時を管理することにより、タイムラグ等による適用結果のばらつきを検出することができる。例えば、ポリシーＡとポリシーＢの適用される２台のクライアントコンピュータ２０Ａ，２０Ｂがあるとする。通信ネットワークの混雑等により、一方のクライアントコンピュータ２０Ａは、先に受信したポリシーＡのみの適用結果をマネージャに通知し、他方のクライアントコンピュータ２０Ｂは、ポリシーＡ及びポリシーＢの両方が適用された結果をマネージャに通知したとする。このように、同一となるべきポリシー適用結果が、通信ネットワーク上の問題等によって、異なってしまうことも考えられる。しかし、本実施例では、ポリシー適用結果がテーブルＴ１０５に記憶された日時を管理するため、適用結果の相違の有無を検出可能である。

設定毎情報セットＣ１０５２３には、ポリシーの各項目（機能）毎の設定内容が登録される。図１５は、設定毎情報セットＣ１０５２３の詳細を示す。設定毎情報セットＣ１０５２３は、機能ＩＤ欄Ｃ１０５２３３０（１）−（４）と、ポリシー設定欄Ｃ１０５２３１（１）−（４）と、適用結果欄Ｃ１０５２３２（１）−（４）とを備える。なお、図１５では、便宜上、４つの機能とその設定値について示すが、４個に限らず、より多くの、または４個未満の、機能とその設定値を含ませることができる。

機能ＩＤ欄Ｃ１０５２３３０には、各機能を識別するための情報が設定される。ポリシー設定欄Ｃ１０５２３１には、機能ＩＤで特定される機能を作動させるか否かの情報、または、その機能の対象を示す情報等が設定される。

適用結果欄Ｃ１０５２３２には、その機能の実際の適用結果が設定される。従って、ポリシー設定欄Ｃ１０５２３１の内容と適用結果欄Ｃ１０５２３２の内容とを比較すれば、作成時点のポリシーと実際に適用されたポリシーとの差分を検出できる。

図１５の例では、ＰＣ操作ログについて最初はオフが設定されていたが、実際には、オンに設定されている。また、ＡＢＣ．ｅｘｅ、ＤＥＦ．ｅｘｅ、ＧＨＩ．ｅｘｅの３つのソフトウェアは起動が抑止されていたが、実際には、ＡＢＣ．ｅｘｅは起動が抑止され、ＤＥＦ．ｅｘｅは起動が許可され、ＧＨＩ．ｅｘｅは中間動作に設定されている。さらに、外部記録媒体の使用は禁止されていたが、実際には、中間動作が設定されている。

なお、ポリシーの最初の設定内容と適用結果とが相違する場合に、その相違が生じた理由を収集して記録する構成としてもよい。但し、ポリシー設定者であるユーザ以外のユーザに、そのポリシーの設定内容が知られないような構成とするのが好ましい。

図１６は、クライアント動作結果テーブルＴ１０６の構成例である。クライアント動作結果テーブルＴ１０６は、各クライアントコンピュータ２０でのセキュリティ機能の動作結果を管理する。クライアント動作結果テーブルＴ１０６は、例えば、クライアント名欄Ｃ１０６０と、ログＩＤ欄Ｃ１０６１欄と、ログ欄Ｃ１０６２とを備える。

クライアント名欄Ｃ１０６０には、各クライアントコンピュータ２０を識別するための情報が設定される。ログＩＤ欄Ｃ１０６１には、ログの種別を示す情報、すなわち、どのセキュリティ機能の動作履歴であるかを示す情報が設定される。ログ欄Ｃ１０６２には、ログＩＤで特定されるセキュリティ機能の動作内容が記録される。動作内容は、セキュリティ機能の種類によって異なる。例えば、ファイルコピーを監視するセキュリティ機能の場合、コピー日時、コピー元アドレス、コピー先アドレス、ファイル名、実行者アカウント等がログとして記録される。

図１７は、システム構成テーブルＴ１０７の例を示す。システム構成テーブルＴ１０７は、コンピュータシステムの構成を管理する。システム構成テーブルＴ１０７は、例えば、階層数欄Ｃ１０７０と、直上位マネージャ欄Ｃ１０７１と、種別欄Ｃ１０７２と、名称欄Ｃ１０７３とを備える。

階層数欄Ｃ１０７０には、システムの階層構造上の段数が設定される。ＳＡマネージャの段数は「０」である。ＳＡマネージャの直下に位置する階層の段数は「１」、さらにその下の階層の段数は「２」、さらにその下の階層の段数は「３」となる。

直上位マネージャ欄Ｃ１０７１には、自装置の直上に位置するマネージャを特定するための情報が設定される。種別欄Ｃ１０７２には、自装置がマネージャであるかクライアントであるかを示す情報が設定される。名称欄Ｃ１０７３には、自装置を識別するための情報が設定される。

図１８は、ＳＡユーザがマージルールを登録する場合に使用するマージルール登録画面の例を示す。マージルール登録画面は、上側に位置する「マージルール基本設定」領域と、下側に位置する「各機能のマージルール」領域とを含む。

マージルール基本設定領域では、マージルール名と、マージルールを管理するためのパスワードとを入力する。

各機能のマージルール領域では、各設定項目（機能）毎に、適用されるべきルールを選択または入力する。図１８中、右下の３個の細長い楕円は、例外を設定するためのボタンである。紙面の都合上、「例外」の文言を省略している。

図１８に示すように各機能単位でルールを設定する構成としても良いし、または、一つまたは複数の機能を含むグループ単位でルールを設定する構成としてもよい。例えば、Ｗｅｂアクセスログ、ＰＣ操作ログ、ファイル操作ログを「ログ管理」というグループにまとめ、ログ管理グループについて一つのルールを設定することもできる。これにより、Ｗｅｂアクセスログ、ＰＣ操作ログ、ファイル操作ログのそれぞれに同一のルールが一括して設定される。

図１９−図２５を参照して通常の管理サーバ（マネージャ）の構成を説明する。図１９は、管理サーバ１０のメモリ１１（Ｍ）に記憶されているプログラム構成を示す。メモリ１１（Ｍ）には、図６で述べた各プログラムＰ１００−Ｐ１１０のうち、Ｐ１００，Ｐ１０１，Ｐ１０３−Ｐ１１０が記憶される。マージルール編集部Ｐ１０２は、メモリ１１（Ｍ）に記憶されていない。マージルールはＳＡマネージャのみが作成可能であり、一般のマネージャでは作成することができない。既に述べた構成と共通する構成については説明を省略する。

図２０は、管理サーバの補助記憶装置１３（Ｍ）に記憶されているテーブル構成を示す図である。ＳＡサーバ以外の通常の管理サーバは、ユーザ管理テーブルＴ１００Ｍと、マネージャ管理テーブルＴ１０２Ｍと、クライアント管理テーブルＴ１０３Ｍと、ポリシーテーブルＴ１０４と、ポリシー適用結果テーブルＴ１０５と、クライアント動作結果テーブルＴ１０６と、システム構成テーブルＴ１０７と、上位情報テーブルＴ１０８と、マネージャ名テーブルＴ１０９とを備える。

ポリシーテーブルＴ１０４と、ポリシー適用結果テーブルＴ１０５と、クライアント動作結果テーブルＴ１０６と、システム構成テーブルＴ１０７とについては、図７で述べたと同様であるので、説明を省略する。

図２１は、ユーザ管理テーブルＴ１００Ｍの構成例を示す。ユーザ管理テーブルＴ１００Ｍは、マネージャを使用するユーザを管理する。ＳＡマネージャの場合は、ＳＡユーザと通常ユーザとの２種類のユーザが存在するが、通常マネージャの場合は、通常ユーザしか存在しない。従って、ユーザ管理テーブルＴ１００Ｍには、ユーザＩＤ欄Ｃ１０００と、パスワード欄Ｃ１００１とが設けられており、図７に示す属性欄Ｃ１００２は設けられていない。

図２２は、マネージャ管理テーブルＴ１０２Ｍの例を示す。マネージャ管理テーブルＴ１０２Ｍは、マネージャの配下のマネージャを管理する。通常マネージャでは、マージルールを扱うことができないため、マネージャ管理テーブルＴ１０２Ｍは、図１０に示すユーザ名欄Ｃ１０２３を備えない。その他の構成は共通なので説明を省略する。

図２３は、クライアント管理テーブルＴ１０３Ｍの例を示す。クライアント管理テーブルＴ１０３Ｍは、マネージャ配下の各クライアントを管理する。通常マネージャは、マージルールを扱うことができないため、クライアント管理テーブルＴ１０３Ｍは、図１１に示すクライアント管理テーブルＴ１０３に示すマージルール欄Ｃ１０３７を備えない。その他の構成は共通なので説明を省略する。

図２４は、上位情報テーブルＴ１０８の例を示す。上位情報テーブルＴ１０８は、自装置の直上位に位置するコンピュータの情報を管理するテーブルである。ＳＡマネージャは、システム階層の最上位に位置するため、上位情報テーブルを備えない。

上位装置テーブルＴ１０８は、例えば、マネージャ名欄Ｃ１０８０と、ホスト名欄Ｃ１０８１と、ＩＰアドレス欄Ｃ１０８２とを備える。マネージャ名欄Ｃ１０８０には、直上位のマネージャを特定するための情報が設定される。ホスト名欄Ｃ１０８１には、直上位のマネージャのサーバを特定するための情報が設定される。ＩＰアドレス欄Ｃ１０８２には、直上位のマネージャのＩＰアドレスが設定される。

図２５は、マネージャ名テーブルＴ１０９の例を示す。マネージャ名テーブルＴ１０９は、ＳＡマネージャから自装置に与えられたマネージャ名を管理する。

図２６−図３３を参照してクライアントコンピュータ２０の構成を説明する。図２６は、クライアントコンピュータ２０のメモリ２１に記憶されているプログラム構成を示す図である。

クライアントコンピュータ２０のメモリ２１には、例えば、動作統括部Ｐ２００と、マージルール格納部Ｐ２０１と、ポリシー格納部Ｐ２０２と、ポリシーマージ部Ｐ２０３と、ポリシー適用部Ｐ２０４と、ポリシー適用結果格納部Ｐ２０５と、動作結果アップロード部Ｐ２０６と、セキュリティ管理機能群Ｐ２０７とが記憶されている。

動作統括部Ｐ２００は、クライアントコンピュータ２０の動作を制御するためのプログラムである。動作統括部Ｐ２００は、例えば、マネージャからの要求に応じて所定処理を起動させたりする。

マージルール格納部Ｐ２０１は、ＳＡマネージャから受領したマージルールをマージルールテーブルＴ２０１に格納させるプログラムである。

ポリシー格納部Ｐ２０２は、ＳＡマネージャ及びマネージャから受領したポリシーを受信ポリシーテーブルＴ２０２に格納させるプログラムである。

ポリシーマージ部Ｐ２０３は、受信した複数ポリシーをマージルールに基づいてマージし、マージされたポリシーをマージポリシーテーブルＴ２０３に格納させるプログラムである。

ポリシー適用部Ｐ２０４は、マージポリシーを各セキュリティ管理機能群Ｐ２０７に適用させるプログラムである。

ポリシー適用結果格納部Ｐ２０５は、受信ポリシーの実際の適用結果（マージされたポリシー）を、ポリシー適用結果テーブルＴ２０４に格納させるプログラムである。

動作結果アップロード部Ｐ２０６は、セキュリティ管理機能群Ｐ２０７の動作結果（動作ログ）を、直上位マネージャに送信するプログラムである。

セキュリティ管理機能群Ｐ２０７は、各セキュリティ機能を管理するためのプログラム群である。例えば、印刷を管理するためのプログラム、ソフトウェアの起動を監視するためのプログラム、外部記録媒体との入出力を監視するプログラム等が該当する。

図２７は、クライアントコンピュータ２０の補助記憶装置２３に記憶されているテーブル構成を示す。補助記憶装置２３には、例えば、上位情報テーブルＴ２００と、マージルールテーブルＴ２０１と、受信ポリシーテーブルＴ２０２と、マージポリシーテーブルＴ２０３と、ポリシー適用結果テーブルＴ２０４と、クライアント名テーブルＴ２０５と、動作結果テーブル群Ｔ２０６とが記憶されている。

上位情報テーブルＴ２００は、図２４に示す上位情報テーブルＴ１０８と同様に、直上位のマネージャを管理するテーブルであり、図２４と同様の構成であるため、図示を省略する。

図２８は、マージルールテーブルＴ２０１の例を示す。マージルールテーブルＴ２０１は、ＳＡマネージャから受信したマージルールを記憶する。ＳＡマネージャは複数のマージルールを作成することができるが、各クライアントコンピュータ２０には一つのマージルールのみが設定される。

従って、マージルールテーブルＴ２０１は、一つのマージルールのみを管理する。管理するマージルールの数が一つに限られる点を除いて、マージルールテーブルＴ２０１の構成は、図９に示すマージルールテーブルＴ１０１と同様である。Ｃ２０１０−Ｃ２０１７は、図９のＣ１０１０−Ｃ１０１７に対応する。

図２９は、受信したポリシーを管理するテーブルＴ２０２の例を示す。受信ポリシーテーブルＴ２０２は、各ユーザから配布されたポリシーを管理する。同一ユーザから複数のポリシーが配布された場合、新しい方のポリシーで古いポリシーを上書きする。

受信ポリシーテーブルＴ２０２は、図１２に示すポリシーテーブルＴ１０４と同様の構成を有する。Ｃ２０２０−Ｃ２０２６（４）は、図１２のＣ１０４０−Ｃ１０４６（４）に対応するため、説明を省略する。

マージポリシーテーブルＴ２０３は、複数のポリシーとマージルールとから生成されるポリシーを管理する。マージポリシーテーブルＴ２０３は、各クライアントコンピュータ２０に一つだけ生成される。

マージポリシーテーブルＴ２０３は、例えば、設定ＩＤ欄Ｃ２０３０（１）−（４）と、設定欄Ｃ２０３１（１）−（４）とを備える。図３０では、４つの設定項目を示すが、これは例示であって、本発明は４つの設定項目に限定されない。設定ＩＤ欄Ｃ２０３０には、各機能（設定項目）を識別するための情報が設定される。設定欄Ｃ２０３１には、各機能の適用の有無または適用対象が設定される。

図３１は、ポリシー適用結果テーブルＴ２０４の例を示す。ポリシー適用結果テーブルＴ２０４は、例えば、マネージャ名欄Ｃ２０４０と、ユーザＩＤ欄Ｃ２０４１と、ポリシー名／世代欄Ｃ２０４２と、設定毎情報セット欄Ｃ２０４３とを備える。

マネージャ名欄Ｃ２０４０には、ポリシーが作成されたマネージャを特定するための情報が設定される。ユーザＩＤ欄Ｃ２０４１には、ポリシーを作成したユーザを特定するための情報が設定される。ポリシー名／世代欄Ｃ２０４２には、そのポリシーを特定するための名称及び世代情報が設定される。設定毎情報セットＣ２０４３には、各設定項目毎の設定内容が設定される。設定毎情報セットＣ２０４３は、図１５に示す構成と同様の構成を備える。

図３２は、クライアント名テーブルＴ２０５を示す。クライアント名テーブルＴ２０５は、ＳＡマネージャから与えられるクライアント名を管理する。

図３３は、動作結果テーブルＴ２０６の例を示す。動作結果テーブルＴ２０６は、セキュリティ機能の動作履歴を管理する。動作結果テーブルＴ２０６は、監視対象の機能毎に相違する。図３３では、ファイル操作に関するテーブルを例示する。動作結果テーブルＴ２０６は、例えば、日時欄Ｃ２０６０と、種別欄Ｃ２０６１と、操作元欄Ｃ２０６２と、操作先欄Ｃ２０６３と、ファイル名欄Ｃ２０６４と、ログインユーザ名欄Ｃ２０６５とを備える。

日時欄Ｃ２０６０には、監視対象の操作が実施された日時が設定される。種別欄Ｃ２０６１には、監視対象の種別が設定される。操作元欄Ｃ２０６２には、コピー元または移動元のような、操作元のパスが設定される。操作先欄Ｃ２０６３には、コピー先または移動先のような、操作先のパスが設定される。ファイル名欄Ｃ２０６４には、操作されたファイルを特定する情報が設定される。ログインユーザ名欄Ｃ２０６５には、ファイルを操作したクライアントユーザを特定するための情報が設定される。

図３４−図６７を参照して本システムの動作を説明する。図中、ステップを「Ｓ」と略記する。また、各フローチャートは、本発明の理解及び実施に必要な範囲で各処理の概要を示している。いわゆる当業者であれば、図示されたステップの削除または変更したり、新たなステップを追加したりすることができるであろう。

図３４−図５５は、ＳＡマネージャに関する処理を示し、図５６はマネージャに関する処理を示し、図５７−図６７はクライアントに関する処理を示す。ＳＡマネージャに関する処理のうちの幾つかの処理はマネージャにも関係する。

各処理は、所定のプログラムをマイクロプロセッサ１２（２２）がメモリ１１（２１）から読み込んで実行することにより、実現される。以下、処理の主体を、管理サーバ（あるいはＳＡサーバ）、マネージャ（あるいはＳＡマネージャ）、クライアントコンピュータ、または、各プログラムとして説明する。

図３４は、ＳＡマネージャにログインするための処理を示すフローチャートである。ＳＡサーバ（最上位管理サーバ）は、外部からのアクセスに応じてＧＵＩ部Ｐ１０１を起動させる（Ｓ１０）。ＧＵＩ部Ｐ１０１は、ログイン画面を表示させ（Ｓ１１）、ユーザから入力されたＩＤ及びパスワードを、ユーザ管理部Ｐ１００に引き渡す（Ｓ１２）。

ユーザ管理部Ｐ１００によりユーザ認証が行われ、ＳＡユーザであるか通常ユーザであるかが判別される（Ｓ１３）。ＳＡユーザの場合、ＳＡユーザ用のＧＵＩが表示される（Ｓ１４）。通常ユーザの場合、通常ユーザ用のＧＵＩが表示される（Ｓ１５）。なお、図３４では、便宜上省略しているが、ＳＡユーザまたは通常ユーザのいずれにも該当しない場合は、エラー処理が行われる。

図３５は、ＳＡユーザ用ＧＵＩの処理または通常ユーザ用ＧＵＩの処理を示すフローチャートである。ＳＡマネージャ（またはマネージャ）は、ＳＡユーザ用ＧＵＩ（または通常ユーザ用ＧＵＩ）を表示させ（Ｓ２０）、ＳＡユーザまたは通常ユーザからの操作を待つ（Ｓ２１）。

ＳＡマネージャ（マネージャ）は、ＳＡユーザまたは通常ユーザからの操作を受領すると（Ｓ２２）、要求された処理を起動させる（Ｓ２３）。

図３６は、通信統括処理を示すフローチャートである。通信統括部Ｐ１１０は、ＳＡサーバの起動時に起動される（Ｓ３０）。通信統括部Ｐ１１０は、通信イベントが発生するのを待つ（Ｓ３１）。通信イベントとは、ＳＡマネージャ配下の各マネージャまたはクライアントとの通信を要求するイベントである。

通信イベントが発生すると（Ｓ３２）、通信統括部Ｐ１１０は、通信イベントに応じた処理を実行する（Ｓ３３）。

図３７は、ＳＡマネージャを使用するユーザを管理するための処理を示すフローチャートである。ユーザ管理部Ｐ１００は、ＧＵＩでユーザ管理イベントが発生すると起動する（Ｓ４０）。ユーザ管理部Ｐ１００は、イベントの種類を判別する（Ｓ４１）。

ログインイベントの場合、ユーザ管理部Ｐ１００は、ＩＤ及びパスワードに基づいてユーザを認証し（Ｓ４２）、その結果をＧＵＩ部Ｐ１０１に返す（Ｓ４３）。

ユーザ管理イベントの場合、ユーザ管理部Ｐ１００は、操作種別を判別する（Ｓ４４）。新規ユーザの作成の場合、ユーザ管理部Ｐ１００は、入力されたＩＤ及びパスワードをユーザ管理テーブルＴ１００に登録する（Ｓ４５）。

登録済みユーザの削除の場合、ユーザ管理部Ｐ１００は、削除対象として指定されたユーザをユーザ管理テーブルＴ１００から削除し（Ｓ４６）、そのユーザに関する情報をポリシー適用結果テーブルＴ１０５から削除する（Ｓ４７）。さらに、ユーザ管理部Ｐ１００は、削除対象として指定されたユーザに関する情報をポリシーテーブルＴ１０４から削除する（Ｓ４８）。ユーザ管理部Ｐ１００は、削除対象のユーザからポリシーを受領した各クライアントコンピュータ２０に、削除対象のユーザから受領したポリシーを削除するよう通知する（Ｓ４９）。

図３８は、マージルール作成処理を示すフローチャートである。上述の通り、マージルールは、ＳＡユーザのみが作成可能である。マージルール編集部Ｐ１０２は、ＧＵＩにより呼び出されると起動する（Ｓ６０）。マージルール編集部Ｐ１０２は、操作種別を判別する（Ｓ６１）。

マージルールの作成が要求された場合、マージルール編集部Ｐ１０２は、ＳＡユーザにマージルールの作成を要求する（Ｓ６２）。マージルール編集部Ｐ１０２は、ＳＡユーザにより作成されたマージルールを、マージルールテーブルＴ１０１に新規に登録する（Ｓ６３）。

操作種別がマージルールの編集である場合、マージルール編集部Ｐ１０２は、ＳＡユーザに編集対象のマージルールの選択を要求する（Ｓ６４）。マージルール編集部Ｐ１０２は、ＳＡユーザにより選択（指定）されたマージルールをマージルールテーブルＴ１０１から読み出し、ＳＡユーザに編集を要求する（Ｓ６５）。マージルール編集部Ｐ１０２は、ＳＡユーザにより編集されたマージルールをマージルールテーブルＴ１０１に記憶させる（Ｓ６６）。具体的には、ＳＡユーザにより更新された箇所のみが、マージルールテーブルＴ１０１で上書きされる。

操作種別がマージルールの削除である場合、マージルール編集部Ｐ１０２は、ＳＡユーザに削除対象のマージルールの選択を要求し（Ｓ６７）、ＳＡユーザにより選択されたマージルールをマージルールテーブルＴ１０１から削除する（Ｓ６８）。

図３９は、配下のマネージャを管理する処理を示すフローチャートである。マネージャ管理部Ｐ１０３は、ＳＡサーバの起動と同時に起動し、マネージャ管理イベントが発生するのを待つ（Ｓ７０）。

マネージャ管理部Ｐ１０３は、発生したイベントの種類を判別し（Ｓ７１）、新規登録イベントの場合は、新規登録処理を行う（Ｓ７２）。マネージャ管理部Ｐ１０３は、削除イベントが発生した場合には削除処理を実行し（Ｓ７３）、情報変更イベントが発生した場合には情報変更イベントを実行する（Ｓ７４）。次に、各処理Ｓ７２−Ｓ７４の詳細を説明する。

図４０は、図３９にＳ７２で示すマネージャ新規登録処理のフローチャートである。マネージャ管理部Ｐ１０３は、新しいマネージャ名を決定し（Ｓ７２０）、マネージャ管理テーブルＴ１０２に新規マネージャの情報を登録する（Ｓ７２１）。

マネージャ管理部Ｐ１０３は、Ｓ７２０で決定されたマネージャ名を、新規登録対象のマネジャに通知する（Ｓ７２２）。マネージャ管理部Ｐ１０３は、システム構成管理及び表示部（以下、システム構成管理部と略記する場合がある）Ｐ１０９に、システム構成の更新を要求する（Ｓ７２３）。

図４１は、図３９にＳ７３で示すマネージャ削除処理のフローチャートである。マネージャ管理部Ｐ１０３は、削除対象のマネージャの情報をマネージャ管理テーブルＴ１０２から削除し（Ｓ７３０）、システム構成管理部Ｐ１０９にシステム構成の更新を要求する（Ｓ７３１）。

図４２は、図３９にＳ７４で示すマネージャ情報変更処理のフローチャートである。マネージャ管理部Ｐ１０３は、変更対象の情報の種類を判別する（Ｓ７４０）。変更対象の情報の種類には、直上位マネージャの情報と、ＩＰアドレスまたはホスト名と、ユーザ情報とがある。

直上位マネージャの情報を変更する場合、マネージャ管理部Ｐ１０３は、マネージャ管理テーブルＴ１０２において直上位マネージャの情報を更新し（Ｓ７４１）、システム構成管理部Ｐ１０９にシステム構成の更新を要求する（Ｓ７４２）。

変更対象の情報がＩＰアドレスまたはホスト名の場合、マネージャ管理部Ｐ１０３は、マネージャ管理テーブルＴ１０２において、ＩＰアドレスまたはホスト名を更新する（Ｓ７４３）。

変更対象の情報がユーザ情報の場合、マネージャ管理部Ｐ１０３は、マネージャ管理テーブルＴ１０２において、ユーザ情報を更新する（Ｓ７４４）。これにより、ユーザが追加、または、変更、または、削除される。

図４３は、クライアント管理処理を示すフローチャートである。クライアント管理部Ｐ１０４は、ＳＡサーバの起動と共に起動し、クライアント管理イベントが発生するのを待つ（Ｓ８０）。

新規登録イベントが発生した場合、クライアント管理部Ｐ１０４は、新規登録処理を実行する（Ｓ８２）。削除イベントが発生した場合、クライアント管理部Ｐ１０４は、削除処理を実行する（Ｓ８３）。情報変更イベントが発生した場合、クライアント管理部Ｐ１０４は、情報変更処理を実行する（Ｓ８４）。

図４４は、図４３中にＳ８２で示されるクライアント新規登録処理のフローチャートである。クライアント管理部Ｐ１０４は、新たなクライアント名を決定し（Ｓ８２０）、新規クライアントの情報をクライアント管理テーブルＴ１０３に登録する（Ｓ８２１）。さらに、クライアント管理部Ｐ１０４は、新たに決定されたクライアント名を対象のクライアントコンピュータ２０に通知する（Ｓ８２２）。クライアント管理部Ｐ１０４は、システム構成管理部Ｐ１０９にシステム構成の更新を要求する（Ｓ８２３）。

図４５は、図４３中にＳ８３で示すクライアント削除処理のフローチャートである。クライアント管理部Ｐ１０４は、削除対象のクライアントの情報をクライアント管理テーブルＴ１０３から削除し（Ｓ８３０）、システム構成管理部Ｐ１０９にシステム構成の更新を要求する（Ｓ８３１）。

図４６は、図４３中にＳ８４で示されるクライアント情報変更処理のフローチャートである。まず最初に、クライアント管理部Ｐ１０４は、変更対象の情報の種類を判別する（Ｓ８４０）。

直上位マネージャの情報を変更する場合、クライアント管理部Ｐ１０４は、クライアント管理テーブルＴ１０３において直上位マネージャの情報を更新し（Ｓ８４１）、システム構成管理部Ｐ１０９にシステム構成の更新を要求する（Ｓ８４２）。ＩＰアドレスまたはホスト名を変更する場合、クライアント管理部Ｐ１０４は、クライアント管理テーブルＴ１０３においてＩＰアドレスまたはホスト名を更新する（Ｓ８４３）。

図４７は、ポリシー作成処理を示すフローチャートである。ポリシー編集部Ｐ１０５は、ＧＵＩから呼び出されると起動し（Ｓ９０）、操作種別を判定する（Ｓ９１）。

新規ポリシーを作成する場合、ポリシー編集部Ｐ１０５は、ユーザにポリシーの作成を要求し（Ｓ９２）、作成されたポリシーをポリシーテーブルＴ１０４に格納させる（Ｓ９３）。

登録済みポリシーを編集する場合、ポリシー編集部Ｐ１０５は、ユーザに編集対象のポリシーの選択を要求し（Ｓ９４）、選択されたポリシーをポリシーテーブルＴ１０４から読み出してユーザに編集を要求する（Ｓ９５）。ポリシー編集部Ｐ１０５は、編集されたポリシーをポリシーテーブルＴ１０４に格納する（Ｓ９６）。

登録済みポリシーを削除する場合、ポリシー編集部Ｐ１０５は、ユーザに削除対象ポリシーの選択を要求し（Ｓ９７）、ユーザにより選択されたポリシーをポリシーテーブルＴ１０４から削除する（Ｓ９８）。

図４８は、クライアントコンピュータ２０にマージルールまたはポリシーを配信するための処理のフローチャートである。配信部Ｐ１０６は、ＧＵＩにより呼び出されて起動し、指令の種類を判定する（Ｓ１００）。

クライアントからの情報収集が指示された場合、配信部Ｐ１０６は、指令内容として、収集対象の情報を指定するフラグをセットする（Ｓ１０１）。配信部Ｐ１０６は、情報収集対象のクライアントを選択して（Ｓ１０５）、指令内容をクライアントに送信する（Ｓ１０６）。これにより、クライアントコンピュータ２０は、指定された情報を指令元であるＳＡマネージャに送信する。

クライアントへの情報配信が指示された場合、配信部Ｐ１０６は、配信対象の情報を判別する（Ｓ１０２）。マージルールを配信する場合、配信部Ｐ１０６は、マージルールテーブルＴ１０１からマージルールを読み出して、指令内容を作成する（Ｓ１０３）。配信部Ｐ１０６は、配信対象のクライアントを選択してマージルールを送信する（Ｓ１０５，Ｓ１０６）。

クライアントにポリシーを配信する場合、配信部Ｐ１０６は、ポリシーテーブルＴ１０４からポリシーを読み出して指令内容を作成する（Ｓ１０４）。配信部Ｐ１０６は、配信対象のクライアントを選択してポリシーを送信する（Ｓ１０５，Ｓ１０６）。

図４９は、ポリシー適用結果収集処理のフローチャートである。ポリシー適用結果収集部Ｐ１０７は、ＳＡサーバの起動と共に起動し、イベントの発生を待つ（Ｓ１１０）。イベントとは、クライアントコンピュータから送信されたポリシー適用結果の受信イベントである。

イベントが発生すると、ポリシー適用結果収集部Ｐ１０７は、ポリシー適用結果を送信してきたクライアントを判別し（Ｓ１１１）、そのクライアントがポリシー適用結果テーブルＴ１０５に存在するか否かを判定する（Ｓ１１２）。

ポリシー適用結果の送信元であるクライアントがポリシー適用結果テーブルＴ１０５に登録されている場合（S112:YES）、ポリシー適用結果収集部Ｐ１０７は、テーブルＴ１０５の情報を更新させる（Ｓ１１３）。

送信元のクライアントがポリシー適用結果テーブルＴ１０５に登録されていない場合（S112:NO）、ポリシー適用結果収集部Ｐ１０７は、テーブルＴ１０５に新規エントリを作成して、送信元から受信したポリシー適用結果を格納させる（Ｓ１１４）。

図５０は、クライアントコンピュータ２０からクライアント動作結果を収集する処理を示すフローチャートである。クライアント動作結果収集及び表示部（以下、クライアント動作結果収集部と略記する場合がある）Ｐ１０８は、ＳＡサーバの起動と共に起動し、収集イベントの発生を待つ（Ｓ１２０）。

収集イベントが発生すると、クライアント動作結果収集部Ｐ１０８は、受信されたクライアント動作結果のうち、自サーバ向けのエントリを抽出する（Ｓ１２１）。クライアント動作結果収集部Ｐ１０８は、抽出したエントリの情報をクライアント動作結果テーブルＴ１０６に格納させる（Ｓ１２２）。

図５１は、収集されたクライアント動作結果を表示させる処理を示すフローチャートである。ここでは、クライアント動作収集及び表示部Ｐ１０８を、クライアント動作結果表示部として説明する。

クライアント動作結果表示部は、ＧＵＩからの呼び出しにより起動し、表示条件の指定を要求する（Ｓ１３０）。クライアント動作結果表示部は、指定された表示条件に基づいて、クライアント動作結果テーブルＴ１０６から情報を取得し（Ｓ１３１）、クライアント動作結果を表示させる（Ｓ１３２）。

表示終了が指示された場合（S133:YES）、本処理は終了する。表示終了が指示されない場合（S133:NO）、Ｓ１３０に戻る。

図５２は、システム構成管理処理を示すフローチャートである。システム構成管理部Ｐ１０９は、ＳＡサーバの起動と共に起動し、システム構成変更イベントの発生を待つ（Ｓ１４０）。

直上位情報を変更する場合、システム構成管理部Ｐ１０９は、システム構成管理テーブルＴ１０７の直上位情報を変更させる（Ｓ１４２）。マネージャまたはクライアントのいずれかを削除する場合、システム構成管理部Ｐ１０９は、削除対象の情報をシステム構成管理テーブルＴ１０７から削除させる（Ｓ１４３）。

図５３は、図５２中にＳ１４２で示す直上位情報変更処理のフローチャートである。システム構成管理部Ｐ１０９は、システム構成管理テーブルＴ１０７において、対象マネージャのエントリまたは対象クライアントのエントリの直上位情報を更新させ（Ｓ１４２０）、システム構成管理部（詳しくはシステム構成の表示を担当するプログラム）にシステム構成の更新を通知する（Ｓ１４２１）。

図５４は、図５２中にＳ１４３で示す削除処理のフローチャートである。システム構成管理部Ｐ１０９は、削除対象を判別する（Ｓ１４３０）。マネージャを削除する場合、システム構成管理部Ｐ１０９は、対象マネージャのエントリをシステム構成管理テーブルＴ１０７から削除する（Ｓ１４３１）。さらに、システム構成管理部Ｐ１０９は、削除されたマネージャがシステム構成管理テーブルＴ１０７の直上位情報列にも登録されている場合、直上位情報の列から対象マネージャを削除する（Ｓ１４３２）。

クライアントを削除する場合、システム構成管理部Ｐ１０９は、対象クライアントのエントリをシステム構成管理テーブルＴ１０７から削除する（Ｓ１４３３）。

図５５は、システム構成を表示させる処理のフローチャートである。システム構成管理及び表示部Ｐ１０９の一部であるシステム構成表示部を主語として説明する。システム構成表示部は、ＧＵＩから呼び出されると起動し、システム構成管理テーブルＴ１０７からシステム構成を読み出して表示させる（Ｓ１５０）。

システム構成表示は、再表示イベントが発生するのを待ち（Ｓ１５１）、再表示イベントが発生すると、システム構成をシステム構成管理テーブルＴ１０７から再び読み出して、表示させる（Ｓ１５２）。

図５６を参照して通常のマネージャにログインする処理を説明する。通常の管理サーバのマネージャ管理部Ｐ１０３はＧＵＩから呼び出されると起動し（Ｓ１６０）、ログイン画面を表示させる（Ｓ１６１）。

マネージャ管理部Ｐ１０３は、ユーザから入力されたＩＤ及びパスワードを、管理サーバのユーザ管理部Ｐ１００に引き渡し、ユーザ認証を行わせる（Ｓ１６２）。ユーザ認証が成功した場合（S163:YES）、マネージャ管理部Ｐ１０３は、通常ユーザ用のＧＵＩを表示させる（Ｓ１６４）。ユーザ認証に失敗した場合（S163:NO）、マネージャ管理部Ｐ１０３は、エラー処理を実行する（Ｓ１６５）。

通常のマネージャで実行される他の処理は、マージルールの作成ができない点を除いて、ＳＡマネージャについて述べたとほぼ同様であるため、その説明を省略する。

そこで、クライアントコンピュータ２０の動作について説明する。図５７は、動作統括処理のフローチャートである。動作統括部Ｐ２００はクライアントコンピュータ２０の起動と共に起動する。

動作統括部Ｐ２００は、ポリシー適用部Ｐ２０４を呼び出して、各セキュリティ管理機能群Ｐ２０７を作動させる（Ｓ１７０）。ここで、各セキュリティ管理機能群Ｐ２０７は、マージされたポリシーに基づいて動作する。動作統括部Ｐ２００は、動作統括イベントの発生を待ち（Ｓ１７１）、動作統括イベントが発生すると、そのイベントの内容に応じた処理を実行する（Ｓ１７２）。

図５８は、マージルール格納処理を示すフローチャートである。マージルール格納部Ｐ２０１は、動作統括部Ｐ２００により起動される。

マージルール格納部Ｐ２０１は、既に受信済みのマージルール（旧マージルールとも呼ぶ）のＳＡＩＤと、新たに受信したマージルール（新マージルールとも呼ぶ）のＳＡＩＤとが一致するか否かを判定する（Ｓ１８０）。

旧マージルールのＳＡＩＤと新マージルールのＳＡＩＤとが一致する場合（S180:YES）、マージルール格納部Ｐ２０１は、マージルールテーブルＴ２０１に記憶されている旧マージルールを新マージルールで更新する（Ｓ１８１）。

マージルール格納部Ｐ２０１は、ポリシーマージ部Ｐ２０３を呼び出して、新マージルールに基づいて各ポリシーをマージさせる（Ｓ１８２）。マージルール格納部Ｐ２０１は、マージルールが変更された旨をＳＡマネージャに通知する（Ｓ１８３）。

旧マージルールのＳＡＩＤと新マージルールのＳＡＩＤとが不一致の場合（S180:NO）、マージルール格納部Ｐ２０１は、旧マージルールのパスワードと新マージルールのパスワードとが一致するか否かを判定する（Ｓ１８４）。各パスワードが一致する場合（S184:YES）、Ｓ１８１に移り、新マージルールがマージルールテーブルＴ２０１に格納され（Ｓ１８１）、改めて各ポリシーがマージされる（Ｓ１８２）。

各パスワードが不一致の場合（S184:NO）、マージルール格納部Ｐ２０１は、エラー処理を行う（Ｓ１８５）。

図５９は、受信ポリシー格納処理を示すフローチャートである。ポリシー格納部Ｐ２０２は、動作統括部Ｐ２００により呼び出されて起動し、呼び出された理由を判別する（Ｓ１９０）。

ポリシーを受信した場合、ポリシー格納部Ｐ２０２は、受信した新ポリシーに対応する旧ポリシーを受信ポリシーテーブルＴ２０２から検索する（Ｓ１９１）。受信した新ポリシーに対応する旧ポリシーが存在する場合（S192:YES）、ポリシー格納部Ｐ２０２は、新ポリシーで旧ポリシーを上書きする（Ｓ１９３）。受信した新ポリシーに対応する旧ポリシーが存在しない場合（S192:NO）、ポリシー格納部Ｐ２０２は、新ポリシーを受信ポリシーテーブルＴ２０２に追加する（Ｓ１９５）。

ポリシー格納部Ｐ２０２は、ポリシーマージ部Ｐ２０３を呼び出して、新ポリシーを含む複数ポリシーをマージさせる（Ｓ１９４）。

このように、本実施例では、マージルールまたはポリシーのいずれか一方が変更された場合、改めて複数ポリシーのマージが行われ、クライアントコンピュータ毎の個別ポリシーが生成される。

さて、ポリシー格納部Ｐ２０２が呼び出された理由が、受信済ポリシーの削除である場合、ポリシー削除処理が行われる（Ｓ１９６）。

図６０は、図５９中にＳ１９６で示すポリシー削除処理のフローチャートである。ポリシー格納部Ｐ２０２は、削除対象がマネージャであるかユーザであるかを判別する（Ｓ１９６０）。

削除対象がマネージャの場合、ポリシー格納部Ｐ２０２は、対象マネージャから受信した全てのポリシーを受信ポリシーテーブルＴ２０２から削除する（Ｓ１９６１）。そして、ポリシー格納部Ｐ２０２は、ポリシーマージ部Ｐ２０３を呼び出して、残ったポリシーをマージさせる（Ｓ１９６２）。クライアントコンピュータ２０に登録されたポリシーが一つだけになった場合、その唯一のポリシーをそのまま使用する。

削除対象がユーザの場合、ポリシー格納部Ｐ２０２は、対象ユーザから受信した全てのポリシーを、受信ポリシーテーブルＴ２０２から削除し（Ｓ１９６３）、ポリシーマージ部Ｐ２０３を呼び出して、残ったポリシーをマージさせる（Ｓ１９６２）。

図６１は、ポリシーマージ処理を示すフローチャートである。ポリシーマージ部Ｐ２０３は、マージルール格納部Ｐ２０１またはポリシー格納部Ｐ２０２のいずれかから呼び出されて起動する。

ポリシーマージ部Ｐ２０３は、マージルールテーブルＴ２０１からマージルールを読込み（Ｓ２００）、マージルールに基づいて各ポリシーをマージする（Ｓ２０１）。これにより、クライアント毎の個別ポリシーが作成される。マージされたポリシーという意味で、マージポリシーと表現する場合がある。

ポリシーマージ部Ｐ２０３は、ポリシー適用部Ｐ２０４に、セキュリティ管理機能群Ｐ２０７にマージポリシー（クライアント毎に生成されるポリシー）を適用させるように要求する（Ｓ２０２）。ポリシーマージ部Ｐ２０３は、ポリシー適用結果格納部Ｐ２０５を呼び出して処理を終了する（Ｓ２０３）。

図６２は、図６１中にＳ２０１で示す、マージルールに基づいて各ポリシーをマージする処理のフローチャートである。ポリシーマージ部Ｐ２０３は、マージする項目の設定ＩＤを示す変数（マージ項目設定ＩＤ）に、最初のＩＤを設定する（Ｓ２０１０）。

ポリシーマージ部Ｐ２０３は、マージ項目設定ＩＤに対応するマージルールをマージルールテーブルＴ２０１から読込み（Ｓ２０１１）、受信ポリシーテーブルＴ２０２からマージ項目設定ＩＤに対応する列の情報を読込み（Ｓ２０１２）、読み込んだ列の情報をマージルールに従ってマージする（Ｓ２０１３）。

ポリシーマージ部Ｐ２０３は、マージされたポリシーをマージポリシーテーブルＴ２０３に上書きで保存する（Ｓ２０１４）。ポリシーマージ部Ｐ２０３は、マージ項目設定ＩＤが最後の設定ＩＤになったか否かを判定する（Ｓ２０１５）。マージ項目設定ＩＤが最後の設定ＩＤに到達していない場合（S2015:NO）、ポリシーマージ部Ｐ２０３は、マージ項目設定ＩＤを次の設定ＩＤに移動させて（Ｓ２０１６）、Ｓ２０１１に戻る。

図６３は、図６２中にＳ２０１３で示す、読み込んだ列の情報をマージルールに従ってマージする処理のフローチャートである。本処理は、マージする項目に適用されるマージルールの種類に応じてＳ２０１３０−Ｓ２０１３Ｄのいずれかの個別マージ処理に分岐して、マージされる。

個別マージ処理としては、上述の通り、例えば、オン優先（Ｓ２０１３０）、オフ優先（Ｓ２０１３１）、後優先（Ｓ２０１３２）、先優先（Ｓ２０１３３）、追加（ＯＲ）（Ｓ２０１３４）、追加（ＡＮＤ）（Ｓ２０１３５）、追加（中間動作）（Ｓ２０１３６）、禁止優先（Ｓ２０１３７）、許可優先（Ｓ２０１３８）、中間動作（Ｓ２０１３９）、設定禁止（Ｓ２０１３Ａ）、最大値優先（Ｓ２０１３Ｂ）、最小値優先（Ｓ２０１３Ｃ）、多数優先（Ｓ２０１３Ｄ）等を挙げることができる。

図６４は、ポリシー適用処理を示すフローチャートである。ポリシー適用部Ｐ２０４は、クライアントコンピュータ２０の起動と共に起動し、ポリシー適用イベントの発生を待つ（Ｓ２１０）。

イベントが発生すると、ポリシー適用部Ｐ２０４は、マージルールテーブルＴ２０１からマージルールを読み出し（Ｓ２１１）、読み出したマージルールをセキュリティ管理機能群Ｐ２０７に適用する（Ｓ２１２）。

図６５は、ポリシー適用結果格納処理を示すフローチャートである。ポリシー適用結果格納部Ｐ２０５は、動作統括部Ｐ２００またはポリシーマージ部Ｐ２０３のいずれかから呼び出されて起動する。

ポリシー適用結果格納部Ｐ２０５は、呼出元を判別する（Ｓ２２０）。動作統括部Ｐ２００から呼び出された場合、ポリシー適用結果格納部Ｐ２０５は、ポリシー適用結果テーブルＴ２０４から情報を読込み（Ｓ２２１）、要求元に送信する（Ｓ２２２）。

呼出元がポリシーマージ部Ｐ２０３の場合、ポリシー適用結果格納部Ｐ２０５は、マージポリシーテーブルＴ２０３をコピーし（Ｓ２２３）、さらに、受信ポリシーテーブルＴ２０２をコピーする（Ｓ２２４）。それらのテーブルＴ２０２，Ｔ２０３は、重要なのでコピーして用いる。

ポリシー適用結果格納部Ｐ２０５は、コピーした受信ポリシーテーブルＴ２０２から最初のエントリを読込み（Ｓ２２５）、受信ポリシーとマージポリシーとの差分に基づいて、ポリシー適用結果を生成し（Ｓ２２６）、ポリシー適用結果テーブルＴ２０４を更新する（Ｓ２２７）。

ポリシー適用結果格納部Ｐ２０５は、ポリシーの作成元に、ポリシー適用結果を送信する（Ｓ２２８）。最終エントリを処理するまで（S229:NO）、次のエントリに移動しながらポリシー適用結果を作成する（Ｓ２３０）。

図６５は、動作結果アップロード処理のフローチャートである。動作結果アップロード部Ｐ２０６（以下、アップロード部Ｐ２０６）は、クライアントコンピュータ２０の起動と共に起動する。

アップロード部Ｐ２０６は、マージポリシーの履歴アップロード設定を読込み、アップロード用タイマに設定し（Ｓ２４０）、アップロードイベントが発生するのを待つ（Ｓ２４１）。イベントとしては、タイムアップ、ポリシー変更、アップロード指令受信が用意されている。イベントが発生した場合、アップロード部Ｐ２０６は、イベントの種別を判定する（Ｓ２４２）。

アップロード用タイマが所定時刻に到達し、タイムアップした場合、アップロード部Ｐ２０６は、タイマを再設定し（Ｓ２４３）、セキュリティ管理機能群Ｐ２０７の動作結果を収集して、上位マネージャに送信する（Ｓ２４４）。

イベントの種類がポリシー変更の場合、アップロード部Ｐ２０６は、新たなマージポリシーに基づいてアップロード用タイマの値を設定し（Ｓ２４５）、Ｓ２４１に戻る。

イベントの種類がアップロード指令の受信である場合、アップロード部Ｐ２０６は、Ｓ２４４に移る。

図６７は、セキュリティ管理処理のフローチャートである。セキュリティ管理機能（群）Ｐ２０７は、ポリシー適用部Ｐ２０４からマージポリシーを適用されると起動する。上述の通り、ポリシー適用部Ｐ２０４は、クライアントコンピュータ２０の起動時に起動するため、セキュリティ管理機能（群）Ｐ２０７も、クライアントコンピュータ２０の起動時に起動する。

セキュリティ管理機能（群）Ｐ２０７は、自身に適用されるマージポリシーの内容を判断し（Ｓ２５０）、動作の必要性があるか否かを判断する（Ｓ２５１）。動作の必要性が無ければ（S251:NO）、処理を終了する。

動作の必要性があると判断した場合（S251:YES）、セキュリティ管理機能（群）Ｐ２０７は動作し、その結果を取得する（Ｓ２５２）。マージルールの変更または受信ポリシーの変更のいずれかが変化すると、新たなマージポリシーが適用される（Ｓ２５３）。セキュリティ管理機能（群）Ｐ２０７は、新たなマージポリシーに従って、自分に課せられたセキュリティ管理を実行する（Ｓ２５０−Ｓ２５２）。

このように構成される本実施例によれば、クライアントコンピュータ２０のセキュリティを複数のマネージャで管理することができ、かつ、最上位のＳＡマネージャにより統一的なルールを全クライアントコンピュータ２０に適用することができる。従って、各マネージャ毎のセキュリティ管理を許可しつつ、システム全体として統一的な基準でセキュリティを管理することができ、使い勝手と信頼性を両立させることができる。

例えば、技術部の各クライアントコンピュータ２０には技術部専用のポリシーと全社共通のポリシーとを適用し、経理部の各クライアントコンピュータ２０には経理部専用のポリシーと全社共通のポリシーを適用し、全社共通のマージルールに従って、各ポリシーをクライアントコンピュータ内でマージさせることができる。

全社共通のポリシーを用いない場合でも、例えば、部内で使用されるポリシーと課内で使用されるポリシーとを、全社共通のマージルールに従って、クライアントコンピュータ内でマージさせることができる。

あるいは、プロジェクト管理者がマージルールを発行し、プロジェクトに参加する各企業がそれぞれ独自のポリシーを使用する場合に、各企業の使い勝手を維持しつつ、プロジェクト全体の秘密管理を統一的に行うことができる。

さらに、本実施例では、複数のポリシーを単純にマージするのではなく、特定のＳＡユーザのみが設定可能なマージルールに従ってマージさせる。これにより、コンピュータシステム内にセキュリティホールが生じるのを未然に防止することができ、システム全体のセキュリティ性を高めることができる。

さらに、本実施例では、マネージャから発行されたポリシーと、クライアントコンピュータに実際に使用されているマージポリシーとの差分を検出することができる。従って、各ポリシーを作成するユーザは、実際の適用結果を容易に確認することができ、新たなポリシーの作成時に役立たせることができる。

さらに、本実施例では、複数のポリシー間で対立する項目が存在する場合、中間的な設定内容（中間動作）となるように構成する。例えば、同一項目について一方のポリシーが禁止を要求し、他方のポリシーが許可を要求する場合、条件付き許可、または、条件付き禁止のような中間動作を設定することができる。これにより、使い勝手を向上しつつ、セキュリティ性を維持することができる。なお、相反する複数ポリシーをマージする場合、必ずしも中間動作に設定する必要はない。いずれか一方のポリシーの設定内容を採用することもできる。さらに、特例を設定するための例外設定は、常に設定される必要はなく、必要に応じて設定される。

さらに、本実施例では、マージルールを図１８に示すような画面を用いて作成することができる。従って、ＳＡユーザは、マージルールを比較的簡単に作成することができ、状況の変化に速やかに対応することができる。

なお、本発明は、上述した実施形態に限定されない。当業者であれば、本発明の範囲内で、種々の追加や変更等を行うことができる。例えば、システム内にマネージャが一つだけ存在する場合でも、そのマネージャがクライアントに異なる複数のポリシーを設定可能な場合は、本発明を適用することができる。

１０：管理サーバ、１０（Ｍｓａ）：最上位管理サーバ、２０：クライアントコンピュータ、Ｐａ，Ｐｂ，Ｐｃ，Ｐｄ，Ｐｓ：ポリシー。

Claims (15)

1. クライアントコンピュータと、第１管理コンピュータと、第２管理コンピュータとが、互いに通信可能に接続されたコンピュータシステムであって、
   前記第１管理コンピュータは、前記クライアントコンピュータの有するセキュリティ管理プログラムの動作を制御するための第１セキュリティポリシー情報と、複数の前記第１セキュリティポリシー情報から第２セキュリティポリシー情報を生成させるためのルールを示すルール情報とを、前記クライアントコンピュータに送信し、
   前記第２管理コンピュータは、前記第１管理コンピュータから前記クライアントコンピュータに送信される前記第１セキュリティポリシー情報と制御動作の異なる、他の第１セキュリティポリシー情報を、前記クライアントコンピュータに送信し、
   前記クライアントコンピュータは、
   前記第１管理コンピュータから受信する前記ルール情報に基づいて、前記第１管理コンピュータから受信する前記第１セキュリティポリシー情報と前記第２管理コンピュータから受信する前記他の第１セキュリティポリシー情報とから前記第２セキュリティポリシー情報を生成し、
   前記第２セキュリティポリシー情報に基づいて前記セキュリティ管理プログラムの動作を制御する、
   コンピュータシステム。
2. 前記クライアントコンピュータは、
   前記第１管理コンピュータから前記クライアントコンピュータに送信された前記第１セキュリティポリシー情報と前記第２セキュリティポリシー情報との差分と、前記第２管理コンピュータから前記クライアントコンピュータに送信された前記他の第１セキュリティポリシー情報と前記第２セキュリティポリシー情報との差分とをそれぞれ検出し、検出された前記各差分を出力させる、
   請求項１に記載のコンピュータシステム。
3. 前記ルール情報は、
   前記第１管理コンピュータから受信する前記第１セキュリティポリシー情報の制御動作と、前記第２管理コンピュータから受信する前記他の第１セキュリティポリシー情報の他の制御動作とが相反する場合、
   前記第２セキュリティポリシー情報を、前記制御動作と前記他の制御動作との中間の動作として予め設定されている中間動作として生成させるように構成されている、
   請求項１に記載のコンピュータシステム。
4. 前記クライアントコンピュータ上で実行される所定のコンピュータプログラムについて、前記第１セキュリティポリシー情報または前記他の第１セキュリティポリシー情報のうち、いずれか一方が作動を禁止しており、残りの他方が作動を許可している場合、
   前記ルール情報は、前記所定のコンピュータプログラムの作動を所定の条件付きで認めるように構成されている、
   請求項１に記載のコンピュータシステム。
5. 前記第１管理コンピュータは、複数の第１ユーザにより操作され、前記各第１ユーザ毎に前記第１セキュリティポリシー情報を作成できるようになっており、
   前記第２管理コンピュータは、複数の第２ユーザにより操作され、前記各第２ユーザ毎に前記他の第１セキュリティポリシー情報を作成できるようになっており、
   前記各第１ユーザのうち予め設定される所定の第１ユーザのみが前記ルール情報を作成できるようになっている、
   請求項１に記載のコンピュータシステム。
6. クライアントコンピュータを管理するための管理システムであって、
   前記クライアントコンピュータと通信可能に接続される、第１管理コンピュータ及び第２管理コンピュータを含んでおり、
   前記第１管理コンピュータは、前記クライアントコンピュータの有するセキュリティ管理プログラムの動作を制御するための第１セキュリティポリシー情報と、複数の前記第１セキュリティポリシー情報から第２セキュリティポリシー情報を生成させるためのルールを示すルール情報とを、前記クライアントコンピュータに送信し、
   前記第２管理コンピュータは、前記第１管理コンピュータから前記クライアントコンピュータに送信される前記第１セキュリティポリシー情報と制御動作の異なる、他の第１セキュリティポリシー情報を、前記クライアントコンピュータに送信し、
   前記クライアントコンピュータ内で、前記第１管理コンピュータから受信する前記ルール情報に基づいて、前記第１管理コンピュータから受信する前記第１セキュリティポリシー情報と前記第２管理コンピュータから受信する前記他の第１セキュリティポリシー情報とから前記第２セキュリティポリシー情報を生成させ、生成された前記第２セキュリティポリシー情報に基づいて前記セキュリティ管理プログラムの動作を制御させる、
   管理システム。
7. 前記第１管理コンピュータは、
   前記他の第１セキュリティポリシー情報を前記第２管理コンピュータから取得し、
   前記第２セキュリティポリシー情報を前記クライアントコンピュータから取得し、
   前記第１管理コンピュータから前記クライアントコンピュータに送信された前記第１セキュリティポリシー情報と前記第２セキュリティポリシー情報との差分と、前記第２管理コンピュータから前記クライアントコンピュータに送信された前記他の第１セキュリティポリシー情報と前記第２セキュリティポリシー情報との差分とをそれぞれ検出し、検出された前記各差分を出力させる、
   請求項６に記載の管理システム。
8. 前記ルール情報は、
   前記第１管理コンピュータから受信する前記第１セキュリティポリシー情報の制御動作と、前記第２管理コンピュータから受信する前記他の第１セキュリティポリシー情報の他の制御動作とが相反する場合、
   前記第２セキュリティポリシー情報を、前記制御動作と前記他の制御動作との中間の動作として予め設定されている中間動作として生成させるように構成されている、
   請求項６に記載の管理システム。
9. 前記クライアントコンピュータ上で実行される所定のコンピュータプログラムについて、前記第１セキュリティポリシー情報または前記他の第１セキュリティポリシー情報のうち、いずれか一方が作動を禁止しており、残りの他方が作動を許可している場合、
   前記ルール情報は、前記所定のコンピュータプログラムの作動を所定の条件付きで認めるように構成されている、
   請求項６に記載の管理システム。
10. 前記第１管理コンピュータは、複数の第１ユーザにより操作され、前記各第１ユーザ毎に前記第１セキュリティポリシー情報を作成できるようになっており、
    前記第２管理コンピュータは、複数の第２ユーザにより操作され、前記各第２ユーザ毎に前記他の第１セキュリティポリシー情報を作成できるようになっており、
    前記各第１ユーザのうち予め設定される所定の第１ユーザのみが前記ルール情報を作成できるようになっている、
    請求項６に記載の管理システム。
11. クライアントコンピュータに通信可能に接続されるコンピュータを第１管理コンピュータとして機能させるためのコンピュータプログラムであって、
    前記第１管理コンピュータは、所定のコンピュータプログラムを記憶するメモリと、該メモリに記憶された前記所定のコンピュータプログラムを実行するマイクロプロセッサと、前記クライアントコンピュータと通信するための通信インターフェースとを含んで構成されており、
    前記マイクロプロセッサが前記所定のコンピュータプログラムを実行することで、
    前記クライアントコンピュータの有するセキュリティ管理プログラムの動作を制御するための第１セキュリティポリシー情報を複数生成させる機能と、
    前記各第１セキュリティポリシー情報から第２セキュリティポリシー情報を生成させるためのルールを示すルール情報を作成させる機能と、
    前記クライアントコンピュータ内で、前記ルール情報に基づいて、前記各第１セキュリティポリシー情報から前記第２セキュリティポリシー情報を生成させ、生成された前記第２セキュリティポリシー情報に基づいて前記セキュリティ管理プログラムの動作を制御させるために、前記各第１セキュリティポリシー情報及び前記ルール情報を前記通信インターフェースを介して前記クライアントコンピュータに送信する機能と、
    を前記第１管理コンピュータ上にそれぞれ実現するためのコンピュータプログラム。
12. 前記コンピュータプログラムは、前記クライアントコンピュータから前記第２セキュリティポリシー情報を取得し、前記各第１セキュリティポリシー情報と前記第２セキュリティポリシー情報との差分をそれぞれ検出し、検出された前記各差分を出力させるための機能をさらに実現する、
    請求項１１に記載のコンピュータプログラム。
13. 前記ルール情報は、
    前記各第１セキュリティポリシー情報の制御動作が相反する場合、
    前記第２セキュリティポリシー情報を、相反する複数の制御動作の中間の動作として予め設定される中間動作として生成させるように構成されている、
    請求項１１に記載のコンピュータプログラム。
14. 前記クライアントコンピュータ上で実行される所定のコンピュータプログラムについて、前記各第１セキュリティポリシー情報のうち、いずれか一方が作動を禁止しており、残りの他方が作動を許可している場合、
    前記ルール情報は、前記所定のコンピュータプログラムの作動を所定の条件付きで認めるように構成されている、
    請求項１１に記載のコンピュータプログラム。
15. 予め登録される複数の第１ユーザが、前記各第１ユーザ毎に前記第１セキュリティポリシー情報を作成できるようになっており、
    前記各第１ユーザのうち予め設定される所定の第１ユーザのみが前記ルール情報を作成できるようになっている、
    請求項１１に記載のコンピュータプログラム。

Images