JP5060240B2 - セキュリティシステム - Google Patents

Description

本発明は、ログイン時に認証サーバよりアクセス制御ポリシーを取得し反映させるクライアントを含むクライアントサーバ型のセキュリティシステムでのサーバにおけるユーザのアクセス制御ポリシー設定に関するものである。

従来からのクライアントマシンにおけるアクセス制御は企業のような情報システムを想定するとクライアントはシステムログイン時に認証サーバよりアクセス制御ポリシーを取得し、そのアクセス制御ポリシーがログイン後に反映され、ログアウト後に再度、全権限が制限された状態に戻るという形式のものが中心となっている。

ユーザ毎のアクセス制御ポリシーはサーバでのユーザデータベース登録時にまず登録初期値が設定され、必要に応じて変更される。通常登録初期値は最も権限の低いアクセス制御ポリシーが自動的に割り当てられる。しかし運用環境によってはこれらの登録初期値を自由に使い分けたいという状況も考えられる。

これらのアクセス制御ポリシーまたは一般的にセキュリティポリシーの設定の運用負担を軽減する方式として特許文献１が提案されている。特許文献１では管理者が特に意識しなくてもISMS等の標準的なセキュリティポリシーに準じた形でポリシー設定を行う方式を提案している。
特開２００５−４５４９号公報

しかしながら特許文献１の技術は、ユーザへのアクセス制御ポリシーではなく情報資産へのセキュリティポリシー設定に関するものであり本発明が提案するユーザ毎のアクセス制御ポリシーとは、方式と領域において異なっている。

本発明の目的は、ユーザのアクセス制御ポリシーの登録初期値を管理者が容易に変更できるシステムを提供することにある。

上記課題を解決するために、本発明のクライアントサーバシステムは、クライアントを認証し該当するアクセス制御ポリシーをクライアントへ送付するサーバと、このサーバからアクセス制御ポリシーを受信する複数のクライアントから成り、サーバには、ユーザの認証とアクセス制御ポリシーに関するデータベースとそれを更新する更新手段を設ける。
アクセス制御ポリシーＤＢには通常のユーザ毎のアクセス制御ポリシーが保持されるが、それ以外にユーザの登録初期値設定を保持するためだけの特別なダミーユーザも保持されている。
管理者は新規にユーザを登録したとき、あるいは登録済ユーザの設定を初期値に戻す操作を行ったときにユーザに設定されるべきアクセス制御ポリシーをダミーユーザに設定しておく。管理者は通常ユーザに対する方法と同様の方法で、登録したダミーユーザに対しアクセス制御ポリシーを設定できるため覚える操作手順が少なくて済む。
ダミーユーザは複数登録可能でユーザ新規登録時にどのダミーユーザを使用するか管理者は指定する。もし指定されなければシステムで規定された登録初期値が適用される。

請求項１に記載したセキュリティシステムは、
イントラネット上におかれたサーバと、複数のクライアントからなるセキュリティシステムであって、
前記サーバは、
前記クライアントからの要求に応答して、ユーザ毎に設定されたアクセス制御ポリシーをクライアントへ送付するアクセス制御ポリシー送付手段と、
ユーザの認証と前記アクセス制御ポリシーに関する情報を格納するアクセス制御ポリシーＤＢと、
該アクセス制御ポリシーＤＢを更新するＤＢ更新手段と、
を有し、
前記クライアントは、
前記サーバからアクセス制御ポリシーを受信するアクセス制御ポリシー受信手段と、
該アクセス制御ポリシー受信手段が受信したアクセス制御ポリシーを当該クライアントに適用するアクセス制御ポリシー適用手段と、
を有し、
前記アクセス制御ポリシーＤＢは、実際に存在しないユーザであるダミーユーザのアクセス制御ポリシーを複数保持し、ユーザの登録初期値として設定される前記ダミーユーザのアクセス制御ポリシーを示すダミーユーザの名前をユーザ毎に保持し、
前記ＤＢ更新手段は、新規にユーザを登録するとき、あるいは登録済ユーザの設定を登録初期値に戻すとき、当該ユーザのアクセス制御ポリシーとして、前記ダミーユーザの名前の指定がある場合には当該指定された名前の前記ダミーユーザのアクセス制御ポリシーを設定し、前記ダミーユーザの名前の指定がない場合にはシステム固定のアクセス制御ポリシー登録初期値を設定する、
ことを特徴とする。

本発明の方式によれば、次のような効果がある。
（１）もしアクセス制御ポリシーの登録初期値がシステムで固定されている場合、管理者はユーザ登録後にユーザに対し適切なアクセス制御ポリシーの設定が必ず必要となる。しかし管理者が任意の登録初期値を持てるダミーユーザを事前に登録できれば、アクセス制御ポリシーの設定ミスや設定漏れを軽減することが可能となる。
（２）複数のダミーユーザの登録ができることで各部署毎に異なるアクセス制御ポリシーの登録初期値を設定することができる。管理者は事前によく用いられるアクセス制御ポリシーのテンプレートを複数用意しておき使い分けることでユーザ登録操作が簡易になる。

以下、本発明を適用したクライアントサーバシステムの実施の一形態について説明する。

図６は、本発明に係るセキュリティシステムの動作環境を示す概念図である。イントラネット６０１上に設けられたサーバ６０２上に本発明に係るセキュリティシステムのうちの中心部分であるアクセス制御ポリシー送付手段、ユーザの認証とアクセス制御ポリシーに関する情報を格納するアクセス制御ポリシーＤＢ、該アクセス制御ポリシーＤＢを更新するＤＢ更新手段などの管理プログラムがインストールされる。端末装置（クライアントコンピュータ）６１１、６１２、６１３などからイントラネット６０１を介してサーバ６０２にアクセスすることにより、アクセス制御ポリシーの送付を受ける。本発明のセキュリティシステムのうち、アクセス制御ポリシーを受信する部分、受信したアクセス制御ポリシーをそのクライアントマシンに適用する部分などは、クライアント側にインストールされている。

図７は、端末装置６１１のハードウェア構成を示すブロック図である。ＣＰＵ７０１のバス７００上には、ＲＡＭ（ランダムアクセスメモリ）７０２、ＲＯＭ（リードオンリメモリ）７０３、ＨＤＤ（ハードディスクドライブ）７０４、表示回路７０５、入力信号処理部７０６、ネットワーク回路部７０７が接続されている。さらに、表示回路部７０５には、表示装置７１５が接続される。表示装置７１５は、具体的には液晶モニタ装置、ＣＲＴ装置、プラズマディスプレイ装置などのいずれかが用いられる。そして、入力信号処理部７０６には、マウス７１２、キーボード７１１などの入力装置が接続される。端末装置６１１の操作者は表示装置の画面上に表示される処理内容を視認しつつ、キーボード７１１とマウス７１２とを操作して入力し、さらに端末装置６１１の処理内容が進められる。ネットワーク回路部７０７は、さらに必要な機器を介してイントラネット６０１につながる。端末装置６１１から管理サーバ６０２にアクセスするためにネットワーク接続が必要となる。

図１は本発明のシステム構成とログイン時の処理の概要を示している。この図が示すとおりクライアント１０はセキュリティシステムにログインするタイミングで認証サーバ１００に対してアクセス制御ポリシーを要求し、認証サーバ１００はそれを受けてクライアント１０に対し、当該ユーザに設定されたアクセス制御ポリシーを送信する。クライアント１０は、それを受信して、自らのマシンにそれを適用し、その情報を保存する。アクセス制御ポリシーは、各ユーザ毎に管理者が事前に設定してアクセス制御ポリシーＤＢ１１０に格納してある。クライアント１０とサーバ１００との通信は、企業内のネットワークを用いて行われる。

図２はユーザ登録処理のフローである。管理者は、ユーザの新規登録に当たってダミーユーザ名を指定することでアクセス制御ポリシーの登録初期値を容易に指定できる。ダミーユーザ名の指定があれば、ステップ２０１でＴＲＵＥと判断されて、指定されたダミーユーザのアクセス制御ポリシーがその新規登録ユーザに設定される（ステップ２０２）。ダミーユーザ名の指定がなければステップ２０１でＦＡＬＳＥと判断されて、システム固定のアクセス制御ポリシー登録初期値が使用される（ステップ２０３）。

図３は登録済ユーザのアクセス制御ポリシーを初期値に戻す操作のフローである。一時的に特別な設定を行ったユーザに対して再度登録初期値のアクセス制御ポリシーに戻すときに有効である。ユーザに登録初期値を保持するダミーユーザが指定されている場合には、ステップ３０１でＴＲＵＥと判断されて、ダミーユーザに設定されている最新のアクセス制御ポリシーを取得し（ステップ３０２）、取得したアクセス制御ポリシーをユーザに設定する（ステップ３０３）。ユーザに登録初期値を保持するダミーユーザが指定されていなければ、ステップ３０１でＦＡＬＳＥと判断されて、システム固定のアクセス制御ポリシーの登録初期値が設定される（ステップ３０４）。

図４はダミーユーザ登録処理のフローである。ダミーユーザ登録のメニューが選択されると、まずシステム固定のアクセス制御ポリシーを表示する（ステップ４０１）。そしてダミーユーザ名の設定をする（ステップ４０２）。新規のダミーユーザを設定する場合には使用可能なユーザ名の候補を自動的に表示し、管理者は変更の必要がなければ、そのダミーユーザ名を使用する。管理者は、そのダミーユーザ名に対応する任意のアクセス制御ポリシーを設定する（ステップ４０３）。

図５はアクセス制御ポリシーDBの概略である。ダミーユーザは通常のユーザと混じって登録され、各通常ユーザには対応するダミーユーザ名が設定されている。ここでは、実際に存在するユーザである「Ｕｓｅｒ１」と「Ｕｓｅｒ２」とに対し、それぞれダミーユーザである「Ｄｕｍｍｙ＿Ｕｓｅｒ１」、「Ｄｕｍｍｙ＿Ｕｓｅｒ２」のアクセス制御ポリシーが適用されている。

管理者の変更作業の労力を軽減するセキュリティシステムが提供できる。

本発明の一実施の形態例を示すシステム構成図である。 ユーザの登録処理フローである。 登録済ユーザのアクセス制御ポリシーを初期値に戻す操作フローである。 ダミーユーザ登録処理フローである。 アクセス制御ポリシーDBの概略である。 本発明の情報漏洩防止システムの動作環境を示す概念図である。 端末装置のハードウェア構成を示すブロック図である。

符号の説明

１０ 端末装置（クライアントマシン）
１００ 認証サーバ
１１０ アクセス制御ポリシーＤＢ
６０１ イントラネット
６０２ サーバ
６１１，６１２，６１３ 端末装置
７００ バス
７０１ ＣＰＵ
７０２ ＲＡＭ
７０３ ＲＯＭ
７０４ ＨＤＤ
７０５ 表示回路部
７０６ 入力信号処理部
７０７ ネットワーク回路部
７１１ キーボード
７１２ マウス
７１５ 表示装置

Claims (1)

1. イントラネット上におかれたサーバと、複数のクライアントからなるセキュリティシステムであって、
   前記サーバは、
   前記クライアントからの要求に応答して、ユーザ毎に設定されたアクセス制御ポリシーをクライアントへ送付するアクセス制御ポリシー送付手段と、
   ユーザの認証と前記アクセス制御ポリシーに関する情報を格納するアクセス制御ポリシーＤＢと、
   該アクセス制御ポリシーＤＢを更新するＤＢ更新手段と、
   を有し、
   前記クライアントは、
   前記サーバからアクセス制御ポリシーを受信するアクセス制御ポリシー受信手段と、
   該アクセス制御ポリシー受信手段が受信したアクセス制御ポリシーを当該クライアントに適用するアクセス制御ポリシー適用手段と、
   を有し、
   前記アクセス制御ポリシーＤＢは、実際に存在しないユーザであるダミーユーザのアクセス制御ポリシーを複数保持し、ユーザの登録初期値として設定される前記ダミーユーザのアクセス制御ポリシーを示すダミーユーザの名前をユーザ毎に保持し、
   前記ＤＢ更新手段は、新規にユーザを登録するとき、あるいは登録済ユーザの設定を登録初期値に戻すとき、当該ユーザのアクセス制御ポリシーとして、前記ダミーユーザの名前の指定がある場合には当該指定された名前の前記ダミーユーザのアクセス制御ポリシーを設定し、前記ダミーユーザの名前の指定がない場合にはシステム固定のアクセス制御ポリシー登録初期値を設定する、
   ことを特徴とするセキュリティシステム。

Images