JP5064912B2 - 管理装置及びネットワークシステム及びプログラム及び管理方法 - Google Patents

Description

この発明は、管理対象がセキュリティポリシーを満たすよう管理する管理装置に関する。

情報の漏洩などを防止するため、コンピュータなどの機器のセキュリティを正しく設定する必要がある。特にネットワークを介して接続した複数の機器のなかに、一つでも正しいセキュリティ設定がされていない機器があると、そこから情報が漏洩する危険がある。
そのため、セキュリティ設定の基準を定めたセキュリティポリシーを設け、管理対象である機器などが、セキュリティポリシーに適合しているかチェックしたり、セキュリティポリシーに違反している場合に、自動的に所定のプログラムを実行して、セキュリティ設定を変更したり、変更を促したりする管理装置がある。
セキュリティポリシーを記述した情報のなかに、機器を特定する識別情報を含ませることにより、機器ごとに異なるセキュリティポリシーを適用することもできる。
特開２００２−２４７０３３号公報 特開２００４−２８２６６２号公報 特開２００６−１８４９３６号公報

機器に適用すべきセキュリティポリシーは、その機器のネットワーク上の位置や、その機器の管理者、管理部署などの条件により、変化する場合がある。
この発明は、例えば、上記のような課題を解決するためになされたものであり、組織改編・人事異動・ネットワーク構成の変更などにより、管理対象に適用すべきセキュリティポリシーが変化した場合であっても、正しく管理対象に適用すべきセキュリティポリシーを判別し、管理対象がセキュリティポリシーに適合しているかチェックしたり、管理対象がセキュリティポリシーに違反している場合に、対策を取ったりできるようにすることを目的とする。

この発明にかかる管理装置は、
情報を記憶する記憶装置と、情報を処理する処理装置とを有し、管理対象がセキュリティポリシーを満たすよう管理する管理装置において、
セキュリティポリシー記憶部と、属性記憶部と、抽出条件記憶部と、実行アクション記憶部と、管理対象抽出部と、状態取得部と、ポリシー違反抽出部と、アクション実行部とを有し、
上記セキュリティポリシー記憶部は、上記記憶装置を用いて、上記管理対象が満たすべき条件を記述したセキュリティ条件情報を記憶し、
上記属性記憶部は、上記記憶装置を用いて、上記管理対象の属性を記述した管理対象属性情報を記憶し、
上記抽出条件記憶部は、上記記憶装置を用いて、上記セキュリティ条件情報に記述された条件を満たすべき管理対象を抽出する条件を記述した管理対象抽出条件情報を記憶し、
上記実行アクション記憶部は、上記記憶装置を用いて、上記セキュリティ条件情報に記述された条件を上記管理対象が満たしていない場合に実行すべきアクションを記述した実行アクション情報を記憶し、
上記管理対象抽出部は、上記処理装置を用いて、上記属性記憶部が記憶した管理対象属性情報に基づいて、上記抽出条件記憶部が記憶した管理対象抽出条件情報に記述された条件を満たす管理対象を抽出し、
上記状態取得部は、上記処理装置を用いて、上記管理対象抽出部が抽出した管理対象について、上記管理対象の状態を取得し、
上記ポリシー違反抽出部は、上記処理装置を用いて、上記状態取得部が取得した状態に基づいて、上記セキュリティポリシー記憶部が記憶したセキュリティ条件情報に記述された条件を満たしていない管理対象を抽出し、
上記アクション実行部は、上記処理装置を用いて、上記ポリシー違反抽出部が抽出した管理対象について、上記実行アクション記憶部が記憶した実行アクション情報に記述されたアクションを実行することを特徴とする。

この発明にかかる管理装置によれば、管理対象抽出部が、属性記憶部が記憶した管理対象属性情報に基づいて、抽出条件記憶部が記憶した管理対象抽出条件情報が記述した条件を満たす管理対象を抽出し、ポリシー違反抽出部が、セキュリティポリシー記憶部が記憶したセキュリティ条件情報が記述した条件を、管理対象抽出部が抽出した管理対象が満たしているか否かを判定するので、組織改編・人事異動・ネットワーク構成の変更などにより、管理対象に適用すべきセキュリティポリシーが変化した場合であっても、正しく管理対象に適用すべきセキュリティポリシーを判別し、管理対象がセキュリティポリシーに適合しているかチェックし、管理対象がセキュリティポリシーに違反している場合に、対策を取ることができるという効果を奏する。

実施の形態１．
実施の形態１について、図１〜図１６を用いて説明する。

図１は、この実施の形態におけるネットワークシステム８００の全体構成の一例を示すシステム構成図である。

ネットワークシステム８００は、セキュリティ運用管理システム１００、クライアント装置２００ａ〜クライアント装置２００ｃ、ネットワーク３００を備える。
ネットワーク３００は、例えば、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）などであり、セキュリティ運用管理システム１０とクライアント装置２００ａ〜２００ｃとの間やクライアント装置２００ａ〜２００ｃ同士の間を接続し、互いに通信可能にする。
クライアント装置２００ａ〜２００ｃは、例えば、パーソナルコンピュータやサーバ装置など、ネットワーク３００に接続された情報端末装置である。

セキュリティ運用管理システム１００は、クライアント装置２００ａ〜２００ｃを管理対象として、クライアント装置２００ａ〜２００ｃが、あらかじめ定めたセキュリティポリシーにしたがって運用されているかを管理する。
セキュリティ運用管理システム１００は、ポリシーデータベース記憶部１２０、対象グループデータベース記憶部１３０、対象情報データベース記憶部１４０などを有する。
ポリシーデータベース記憶部１２０は、ポリシーを管理する。ポリシーデータベース記憶部１２０は、セキュリティ運用管理システム１００の管理対象であるクライアント装置２００ａ〜２００ｃに適用するセキュリティポリシーや、ポリシー違反があった場合の対処方法などの情報をデータベースとして記憶している。
対象グループデータベース記憶部１３０は、セキュリティチェック対象のグループ情報を管理する。対象グループデータベース記憶部１３０は、セキュリティ運用管理システム１００の管理対象であるクライアント装置２００ａ〜２００ｃのうち、同一のセキュリティポリシーを適用する対象をグループ化するための情報をデータベースとして記憶している。
対象情報データベース記憶部１４０は、実際にセキュリティチェックの対象である各クライアント装置２００ａ〜２００ｃに関する情報を管理する。対象情報データベース記憶部１４０は、セキュリティ運用管理システム１００の管理対象であるクライアント装置２００ａ〜２００ｃの属性など管理対象についての情報をデータベースとして記憶している。

図２は、この実施の形態におけるセキュリティ運用管理システム１００及びクライアント装置２００ａ〜２００ｃの外観の一例を示す図である。
セキュリティ運用管理システム１００及びクライアント装置２００ａ〜２００ｃは、システムユニット９１０、ＣＲＴ（Ｃａｔｈｏｄｅ・Ｒａｙ・Ｔｕｂｅ）やＬＣＤ（液晶）の表示画面を有する表示装置９０１、キーボード９０２（Ｋｅｙ・Ｂｏａｒｄ：Ｋ／Ｂ）、マウス９０３、ＦＤＤ９０４（Ｆｌｅｘｉｂｌｅ・Ｄｉｓｋ・Ｄｒｉｖｅ）、コンパクトディスク装置９０５（ＣＤＤ）、プリンタ装置９０６、スキャナ装置９０７などのハードウェア資源を備え、これらはケーブルや信号線で接続されている。
システムユニット９１０は、コンピュータであり、ファクシミリ機９３２、電話器９３１とケーブルで接続され、また、ローカルエリアネットワーク９４２（ＬＡＮ）、ゲートウェイ９４１を介してインターネット９４０に接続されている。

図３は、この実施の形態におけるセキュリティ運用管理システム１００及びクライアント装置２００ａ〜２００ｃのハードウェア資源の一例を示す図である。
図３において、セキュリティ運用管理システム１００及びクライアント装置２００ａ〜２００ｃは、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ・Ｐｒｏｃｅｓｓｉｎｇ・Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。ＣＰＵ９１１は、バス９１２を介してＲＯＭ９１３、ＲＡＭ９１４、通信装置９１５、表示装置９０１、キーボード９０２、マウス９０３、ＦＤＤ９０４、ＣＤＤ９０５、プリンタ装置９０６、スキャナ装置９０７、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。磁気ディスク装置９２０の代わりに、光ディスク装置、メモリカード読み書き装置などの記憶装置でもよい。
ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３、ＦＤＤ９０４、ＣＤＤ９０５、磁気ディスク装置９２０の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置あるいは記憶部の一例である。
通信装置９１５、キーボード９０２、スキャナ装置９０７、ＦＤＤ９０４などは、入力部、入力装置の一例である。
また、通信装置９１５、表示装置９０１、プリンタ装置９０６などは、出力部、出力装置の一例である。

通信装置９１５は、ファクシミリ機９３２、電話器９３１、ＬＡＮ９４２等に接続されている。通信装置９１５は、ＬＡＮ９４２に限らず、インターネット９４０、ＩＳＤＮ等のＷＡＮ（ワイドエリアネットワーク）などに接続されていても構わない。インターネット９４０或いはＩＳＤＮ等のＷＡＮに接続されている場合、ゲートウェイ９４１は不用となる。
磁気ディスク装置９２０には、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。プログラム群９２３のプログラムは、ＣＰＵ９１１、オペレーティングシステム９２１、ウィンドウシステム９２２により実行される。

上記プログラム群９２３には、以下に述べる実施の形態の説明において「〜部」として説明する機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
ファイル群９２４には、以下に述べる実施の形態の説明において、「〜の判定結果」、「〜の計算結果」、「〜の処理結果」として説明する情報やデータや信号値や変数値やパラメータが、「〜ファイル」や「〜データベース」の各項目として記憶されている。「〜ファイル」や「〜データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリになどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示などのＣＰＵの動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示のＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。
また、以下に述べる実施の形態の説明において説明するフローチャートの矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ９１４のメモリ、ＦＤＤ９０４のフレキシブルディスク、ＣＤＤ９０５のコンパクトディスク、磁気ディスク装置９２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ（Ｄｉｇｉｔａｌ・Ｖｅｒｓａｔｉｌｅ・Ｄｉｓｃ）等の記録媒体に記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体によりオンライン伝送される。

また、以下に述べる実施の形態の説明において「〜部」として説明するものは、「〜回路」、「〜装置」、「〜機器」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。すなわち、「〜部」として説明するものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。すなわち、プログラムは、以下に述べる「〜部」としてコンピュータを機能させるものである。あるいは、以下に述べる「〜部」の手順や方法をコンピュータに実行させるものである。

図４は、この実施の形態におけるセキュリティ運用管理システム１００の機能ブロックの構成の一例を示す内部ブロック図である。

セキュリティ運用管理システム１００は、セキュリティチェック部１１０、ポリシーデータベース記憶部１２０、対象グループデータベース記憶部１３０、対象情報データベース記憶部１４０を有する。

ポリシーデータベース記憶部１２０は、ポリシーのデータ管理を行う。ポリシーデータベース記憶部１２０は、ポリシー記憶部１２１、実行アクション記憶部１２２を有する。
ポリシー記憶部１２１は、磁気ディスク装置９２０などの記憶装置を用いて、ポリシー情報を記憶する。ポリシー情報とは、管理対象であるクライアント装置２００ａ〜２００ｃに適用するセキュリティポリシーを記述した情報である。
実行アクション記憶部１２２は、磁気ディスク装置９２０などの記憶装置を用いて、アクション情報を記憶する。アクション情報とは、管理対象であるクライアント装置２００ａ〜２００ｃが適用されるセキュリティーポリシーに違反している場合、クライアント装置２００ａ〜２００ｃにセキュリティーポリシーを遵守させるために実行するアクションを記述した情報である。アクションには、例えば、強制的に設定を変更するプログラムの実行や、対象の管理者に対する通知メールの送信などがある。

対象グループデータベース記憶部１３０は、セキュリティチェック対象のグループ化情報を管理する。対象グループデータベース記憶部１３０は、条件対応記憶部１３２、抽出条件記憶部１３３を有する。
抽出条件記憶部１３３は、磁気ディスク装置９２０などの記憶装置を用いて、抽出条件情報を記憶する。抽出条件情報とは、セキュリティポリシーを適用すべき対象を抽出するための条件を記述した情報である。
条件対応記憶部１３２は、磁気ディスク装置９２０などの記憶装置を用いて、条件対応情報を記憶する。条件対応情報とは、ポリシー記憶部１２１が記憶したポリシー情報と、抽出条件記憶部１３３が記憶した抽出条件情報との対応づけを記述した情報である。すなわち、条件対応情報は、ポリシー情報に記述されたセキュリティポリシーと、抽出条件情報に記述されたセキュリティーポリシーを適用すべき対象を抽出する条件とを関係づける情報である。

対象情報データベース記憶部１４０は、セキュリティチェック部１１０が実際にセキュリティチェックを行う際に対象を選択するための基本情報を管理する。対象情報データベース記憶部１４０は、属性記憶部１４１を有する。
属性記憶部１４１は、磁気ディスク装置９２０などの記憶装置を用いて、管理対象属性情報を記憶する。管理対象属性情報とは、管理対象であるクライアント装置２００ａ〜２００ｃの属性を記述した情報である。属性とは、例えば、資産番号、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス、設置場所、管理者名などのデータである。これらのデータは、ネットワーク構成の変更や人事異動、組織改編などがない限り変わらないものである。管理対象属性情報は、属性記憶部１４１が静的に管理する。属性に変更があった場合、管理責任者などがキーボード９０２などの入力装置を操作して、管理対象属性情報を変更する指示を入力し、属性記憶部１４１は、入力した指示にしたがって、管理対象属性情報の追加、変更、削除などをする。なお、セキュリティ運用管理システム１００やクライアント装置２００ａ〜２００ｃ自身がＩＰアドレスを自動的に検出するなどして、属性の変更を検出し、属性記憶部１４１が記憶した管理対象属性情報を自動的に更新するよう構成してもよい。

セキュリティチェック部１１０は、ポリシーに基づくクライアント装置２００ａ〜２００ｃのセキュリティチェックを行う。セキュリティチェック部１１０は、ポリシー取得部１１１、抽出条件取得部１１２、管理対象抽出部１１３、状態取得部１１４、ポリシー違反抽出部１１５、アクション取得部１１６、アクション実行部１１７を有する。

ポリシー取得部１１１は、ＣＰＵ９１１などの処理装置を用いて、ポリシー記憶部１２１が記憶したポリシー情報を取得する。
抽出条件取得部１１２は、ＣＰＵ９１１などの処理装置を用いて、抽出条件記憶部１３３が記憶した抽出条件情報から、ポリシー取得部１１１が取得したポリシー情報に対応する抽出条件情報を取得する。
管理対象抽出部１１３は、ＣＰＵ９１１などの処理装置を用いて、属性記憶部１４１が記憶した属性情報に基づいて、抽出条件取得部１１２が取得した抽出条件情報に記述された条件を満たす管理対象を抽出する。

状態取得部１１４は、ＣＰＵ９１１などの処理装置を用いて、管理対象抽出部１１３が抽出した管理対象について、管理対象の状態を取得する。
管理対象の状態とは、例えば、動作ＯＳ、ウィルス対策ソフトやウィルスパターンファイルのバーション、インストールされているソフトウェア、ログインパスワードの長さや最終変更日時、ファイアウォールの設定などである。これらは、短期間で変化する可能性が高く、セキュリティに直結する項目を含む。

ポリシー違反抽出部１１５は、ＣＰＵ９１１などの処理装置を用いて、状態取得部１１４が取得した管理対象の状態に基づいて、ポリシー取得部１１１が取得したポリシー情報に記述されたセキュリティポリシーを満たしていない管理対象を抽出する。

アクション取得部１１６は、ＣＰＵ９１１などの処理装置を用いて、実行アクション記憶部１２２が記憶したアクション情報から、ポリシー取得部１１１が取得したポリシー情報に対応するアクション情報を取得する。
アクション実行部１１７は、ＣＰＵ９１１などの処理装置を用いて、ポリシー違反抽出部１１５が抽出した管理対象について、アクション取得部１１６が取得したアクション情報に記述されたアクションを実行する。

図５は、この実施の形態におけるセキュリティ運用管理システム１００が記憶する情報の一例を示す図である。

抽出条件情報５１０（対象グループテーブル）は、抽出条件記憶部１３３が記憶している情報である。抽出条件情報５１０は、実際のセキュリティチェック時の対象となる管理対象の情報を、対象情報データベース記憶部１４０から検索するための条件を示す。抽出条件情報５１０は、グループＩＤ５１１、グループ名称５１２、抽出条件５１３を含む。
グループＩＤ５１１（対象グループＩＤ）は、グループを一意に識別する識別データである。
グループ名称５１２（対象グループ名称）は、グループの名称を記述したデータである。
抽出条件５１３は、グループに属する管理対象を抽出するための条件を記述したデータである。
抽出条件記憶部１３３は、通常、複数の抽出条件情報５１０を記憶している。抽出条件記憶部１３３は、例えば、データベースのレコードとして抽出条件情報５１０を管理し、複数の抽出条件情報５１０からなるテーブル（対象グループテーブル）を記憶する。

条件対応情報５２０（ポリシー対象グループマッピングテーブル）は、条件対応記憶部１３２が記憶している情報である。条件対応情報５２０は、ポリシーとグループとをマッピングする。条件対応情報５２０は、対応ＩＤ５２１、ポリシーＩＤ５２２、グループＩＤ５２３を含む。
対応ＩＤ５２１は、条件対応情報５２０を一意に識別する識別データであり、なくてもよい。
ポリシーＩＤ５２２は、その条件対応情報５２０により抽出条件情報５１０に対応づけられるポリシー定義情報５３０を示すデータである。ポリシーＩＤ５２２は、その条件対応情報５２０により抽出条件情報５１０に対応づけられるポリシー定義情報５３０のポリシーＩＤ５３１と等しい。
グループＩＤ５２３は、その条件対応情報５２０によりポリシー定義情報５３０に対応づけられる抽出条件情報５１０を示すデータである。グループＩＤ５２３は、その条件対応情報５２０によりポリシー定義情報５３０に対応づけられる抽出条件情報５１０のグループＩＤ５１１と等しい。

ポリシー定義情報５３０及び設定ポリシー情報５４０は、ポリシー記憶部１２１が記憶しているポリシー情報（セキュリティ条件情報）である。
ポリシー定義情報５３０（ポリシーテーブル）は、ある管理対象に適用するポリシー（セキュリティポリシー群）を定義する情報である。ポリシー定義情報５３０は、ポリシーＩＤ５３１、ポリシー名称５３２、ステータス５３３を含む。
ポリシーＩＤ５３１は、ポリシーを一意に識別する識別データである。
ポリシー名称５３２は、ポリシーの名称を記述したデータである。
ステータス５３３は、ポリシーの状態を表わすデータである。ポリシーの状態とは、例えば、そのポリシーが公開中であるか、編集中であるかなどの状態のことである。

設定ポリシー情報５４０（設定ポリシーテーブル）は、ポリシー定義情報５３０により定義されたセキュリティポリシー群に含まれる個々のセキュリティポリシー（設定ポリシー）を表わす情報である。設定ポリシー情報５４０は、ポリシー内に規定する対象のセキュリティ設定として「あるべき」状態を示す。１つのポリシー定義情報５３０には、１以上の設定ポリシー情報５４０が対応づけられる。設定ポリシー情報５４０は、設定ＩＤ５４１、ポリシーＩＤ５４２、設定名称５４３、セキュリティ条件５４４を含む。
設定ＩＤ５４１（設定ポリシーＩＤ）は、設定ポリシーを一意に識別する識別データである。
ポリシーＩＤ５４２は、その設定ポリシー情報５４０に対応づけられたポリシー定義情報５３０を示すデータである。ポリシーＩＤ５４２は、その設定ポリシー情報５４０に対応づけられたポリシー定義情報５３０のポリシーＩＤ５３１と等しい。
設定名称５４３（設定ポリシー名称）は、その設定ポリシー情報５４０の名称を記述したデータである。
セキュリティ条件５４４（セキュリティ設定要件）は、その設定ポリシー情報５４０が規定する管理対象の「あるべき」状態を記述したデータである。

実行アクション情報５５０及びアクション定義情報５６０は、実行アクション記憶部１２２が記憶しているアクション情報である。
実行アクション情報５５０（対策アクションテーブル）は、ポリシー違反の場合に実行するアクションを記述した情報である。実行アクション情報５５０は、セキュリティチェック時に設定ポリシー情報５４０で規定される条件に違反する場合に実行させるプログラムに関する情報である。実行アクション情報５５０は、アクションＩＤ５５１、設定ＩＤ５５２、プログラムＩＤ５５３、パラメータ５５４を含む。
アクションＩＤ５５１は、アクションを一意に識別する識別データである。
設定ＩＤ５５２は、その実行アクション情報５５０に対応づけられた設定ポリシー情報５４０を示すデータである。設定ＩＤ５５２は、その実行アクション情報５５０が記述したアクションを実行する対象の設定ポリシー情報５４０を示す。設定ＩＤ５５２は、その実行アクション情報５５０に対応づけられた設定ポリシー情報５４０の設定ＩＤ５４１と等しい。
プログラムＩＤ５５３は、その実行アクション情報５５０に対応づけられたアクション定義情報５６０を示すデータである。プログラムＩＤ５５３は、その実行アクション情報５５０に対応づけられたアクション定義情報５６０のプログラムＩＤ５６１と等しい。
パラメータ５５４は、その実行アクション情報５５０に対応づけられたアクション定義情報５６０が定義するプログラムに渡すパラメータを記述したデータである。

アクション定義情報５６０（対策アクション定義テーブル）は、アクションを実行するにあたり、実行するプログラムを具体的に定義する情報である。アクション定義情報５６０は、実行アクション情報５５０で指定するアクションを実行するプログラムを示す。アクション定義情報５６０は、プログラムＩＤ５６１、アクション名称５６２、プログラム呼出し名５６３を含む。
プログラムＩＤ５６１は、プログラムを一意に識別する識別データである。
アクション名称５６２は、アクションの名称を記述したデータである。
プログラム呼出し名５６３は、そのアクションを実行するにあたり、実行するプログラムを呼ぶためのデータである。プログラム呼出し名５６３は、例えば、実行するプログラムのパス名やメソッド名を記述したデータである。

属性定義情報５７０及び属性情報５８０は、属性記憶部１４１が記憶している管理対象属性情報である。
属性定義情報５７０（対象情報項目定義テーブル）は、属性（対象情報として管理する項目）を定義する情報である。属性定義情報５７０は、属性ＩＤ５７１、属性タイプ５７２、対象種別５７３、属性名称５７４を含む。
属性ＩＤ５７１は、属性を一意に識別する識別データである。
属性タイプ５７２は、その属性定義情報５７０が定義する属性のタイプを記述したデータである。属性のタイプとは、例えば、数値、文字列、日付、ＩＰアドレスなど、その属性が取り得る値の範囲を示すものである。
対象種別５７３は、その属性定義情報５７０が定義する属性を有する管理対象の種別を記述したデータである。
属性名称５７４は、その属性定義情報５７０が定義する属性の名称を記述したデータである。

属性情報５８０（対象情報テーブル）は、個々の対象が有する属性の属性値を記述したデータである。属性は、抽出条件情報５１０の抽出条件５１３が記述する条件を管理対象が満たすか否かを判定するために用いられる。すなわち、属性情報５８０は、セキュリティチェック時の対象を識別するための情報である。属性情報５８０は、項目ＩＤ５８１、対象ＩＤ５８２、属性ＩＤ５８３、属性値５８４を有する。
項目ＩＤ５８１は、項目を一意に識別する識別データであり、なくてもよい。
対象ＩＤ５８２は、その属性情報５８０が記述した属性を有する対象を示すデータである。対象には、あらかじめ管理対象を一意に識別するため、対象ＩＤが付されている。対象ＩＤ５８２は、その属性情報５８０が記述した属性を有する対象の対象ＩＤと等しい。

属性ＩＤ５８３は、その属性情報５８０が記述した属性を定義する属性定義情報５７０を示すデータである。属性ＩＤ５８３は、その属性情報５８０が記述した属性を定義する属性定義情報５７０の属性ＩＤ５７１と等しい。
属性値５８４は、その属性情報５８０が記述した属性の値を表わすデータである。

次に、セキュリティ運用管理システム１００が記憶している情報の具体例について説明する。

図６は、この実施の形態におけるポリシー記憶部１２１が記憶したポリシー定義情報５３０の具体例を示す図である。
この図において、ポリシー定義情報５３０は表形式で表わされている。横の行は、１つのポリシー定義情報５３０を表わす。縦の列は、それぞれのポリシー定義情報５３０の各項目（ポリシーＩＤ５３１、ポリシー名称５３２、ステータス５３３）を表わす。ポリシー記憶部１２１が、ポリシー定義情報５３０をデータベース形式で記憶している場合、横の行がデータベースのレコードに相当し、縦の列がデータベースのフィールドに相当する。

ポリシーＩＤ５３１は、例えば、「Ｐ００００１」「Ｐ００００２」「Ｐ００００３」「Ｐ００００４」「Ｐ００００５」などの固定長文字列データである。ポリシーＩＤ５３１は、例えば、ポリシー管理者がポリシーを登録・編集するとき、セキュリティ運用管理システム１００が自動的に付すものであり、ポリシーを一意に識別するため、各ポリシー定義情報５３０ごとに異なるポリシーＩＤ５３１が付される。
ポリシー名称５３２は、例えば、「全社ポリシー」「人事部用ポリシー」「総務部用ポリシー」「開発部用ポリシー」「管理職用ポリシー」などの可変長文字列データである。ポリシー名称５３２は、ポリシー管理者がそのポリシーの適用対象や内容などを識別し理解しやすくするために付けたものであり、例えば、ポリシー管理者がポリシーを登録・編集するとき、ポリシー管理者がキーボード９０２などの入力装置を操作して入力し、ポリシー管理者がポリシーを閲覧・編集するとき、ＣＲＴなどの表示装置９０１が表示する。
ステータス５３３は、例えば、「公開」「編集」などのデータである。ステータス５３３は、ポリシーの運用状況などの状態を表わす。

図７は、この実施の形態におけるポリシー記憶部１２１が記憶した設定ポリシー情報５４０の具体例を示す図である。
図６と同様、この図において、設定ポリシー情報５４０は表形式で表わされている。横の行が１つの設定ポリシー情報５４０を表わし、縦の列がそれぞれのポリシー定義情報５３０の各項目（設定ＩＤ５４１、ポリシーＩＤ５４２、設定名称５４３、セキュリティ条件５４４）を表わす。

設定ＩＤ５４１は、例えば、「ＴＰ０００１」「ＴＰ０００２」などの固定長文字列データである。設定ＩＤ５４１は、例えば、ポリシー管理者が設定ポリシーを登録・編集するとき、セキュリティ運用管理システム１００が自動的に付すものであり、設定ポリシーを一意に識別するため、各設定ポリシー情報５４０ごとに異なる設定ＩＤ５４１が付される。なお、設定ＩＤ５４１とポリシーＩＤ５４２との組み合わせにより設定ポリシーを識別する場合、設定ＩＤ５４１は、異なるポリシーＩＤ５４２を有する設定ポリシー情報５４０の設定ＩＤ５４１と重複していてもよい。

ポリシーＩＤ５４２は、例えば、「Ｐ００００１」「Ｐ００００２」などの固定長文字列データであり、いずれかのポリシー定義情報５３０のポリシーＩＤ５３１と等しい。例えば、ポリシー管理者が設定ポリシーを登録・編集するとき、キーボード９０２などの入力装置を操作してその設定ポリシーを対応づけるポリシーを入力し、セキュリティ運用管理システム１００が、入力内容に基づいて、対応づけられたポリシーを記述したポリシー定義情報５３０のポリシーＩＤ５３１を取得し、設定する。

設定名称５４３は、例えば、「利用ＯＳ制限」「ウィルス対策ソフト利用」などの可変長文字列データである。設定名称５４３は、ポリシー管理者がその設定ポリシーの内容などを識別し理解しやすくするために付けたものであり、例えば、ポリシー管理者が設定ポリシーを登録・編集するとき、ポリシー管理者がキーボード９０２などの入力装置を操作して入力し、ポリシー管理者が設定ポリシーを閲覧・編集するとき、ＣＲＴなどの表示装置９０１が表示する。

セキュリティ条件５４４は、例えば、「ＯＳサービスパック（ＸＰ）≧ＳＰ１ ｏｒ ＯＳサービスパック（２０００）≧ＳＰ１」「ウィルス対策ソフトパターン≧４．３３０」などの可変長文字列データである。セキュリティ条件５４４は、その設定ポリシーが適用される対象が、ポリシーに適合しているか否かを判定するための条件を記述したデータであり、例えば、ポリシー管理者が設定ポリシーを登録・編集するとき、ポリシー管理者がキーボード９０２などの入力装置を操作して入力し、ポリシー管理者が設定ポリシーを閲覧・編集するとき、ＣＲＴなどの表示装置９０１が表示する。ポリシー管理者の入力を助けるためポリシー管理者が理解しやすい記述形式・文法をあらかじめ定めておき、セキュリティ条件５４４は、それにしたがって記述される。セキュリティ条件５４４の記述形式は、もっと自然言語に近い形式であってもよいし、ＳＱＬ文の記述形式に準拠した形式などデータベース処理に適した形式であってもよい。

この例に示したように、設定ポリシーは、個々の具体的なセキュリティポリシーを表わすものである。通常、管理対象には複数の設定ポリシーの組み合わせが適用され、同種の管理対象には、同じ組み合わせが適用される。そこで、複数の設定ポリシーの組み合わせを１つのポリシーとして定義し、ポリシーと、ポリシーに対応する１以上の設定ポリシーとして管理する。

図８は、この実施の形態における実行アクション記憶部１２２が記憶した実行アクション情報５５０の具体例を示す図である。
図６及び図７と同様、この図において、実行アクション情報５５０は表形式で表わされ、横の行が１つの実行アクション情報５５０を表わし、縦の列が各項目（アクションＩＤ５５１、設定ＩＤ５５２、プログラムＩＤ５５３、名称５５５、値５５６）を表わす。

アクションＩＤ５５１は、例えば、「ＡＣ０００１」「ＡＣ０００２」などの固定長文字列データである。アクションＩＤ５５１は、例えば、ポリシー管理者がアクションを登録・編集するとき、セキュリティ運用管理システム１００が自動的に付すものであり、アクションを一意に識別するため、実行アクション情報５５０ごとに異なるアクションＩＤ５５１が付される。

設定ＩＤ５５２は、例えば、「ＴＰ０００１」「ＴＰ０００２」などの固定長文字列データであり、いずれかの設定ポリシー情報５４０の設定ＩＤ５４１と等しい。例えば、ポリシー管理者がアクションを登録・編集するとき、キーボード９０２などの入力装置を操作してそのアクションを対応づける設定ポリシーを入力し、セキュリティ運用管理システム１００が、入力内容に基づいて、対応づけられた設定ポリシーを記述した設定ポリシー情報５４０の設定ＩＤ５４１を取得し、設定する。

プログラムＩＤ５５３は、例えば、「ＰＧ０００１」「ＰＧ０００２」などの固定長文字列データであり、いずれかのアクション定義情報５６０のプログラムＩＤ５６１と等しい。例えば、ポリシー管理者がアクションを登録・編集するとき、キーボード９０２などの入力装置を操作してそのアクションにおいて実行するプログラムを入力し、セキュリティ運用管理システム１００が、入力内容に基づいて、そのアクションにおいて実行するプログラムを定義したアクション定義情報５６０のプログラムＩＤ５６１を取得し、設定する。

名称５５５及び値５５６は、パラメータ５５４の一例である。
名称５５５は、例えば、「Ｆｒｏｍ」「Ｔｏ」などの可変長文字列データであり、プログラムＩＤ５５３が示すプログラムに渡すパラメータの名称である。
値５５６は、例えば、「ａｄｍｉｎ＠ＸＸＸ」「ｕｓｅｒ＠ＸＸＸ」などの可変長文字列データであり、プログラムＩＤ５５３が示すプログラムに渡すパラメータの値である。

図９は、この実施の形態における実行アクション記憶部１２２が記憶したアクション定義情報５６０の具体例を示す図である。
図６乃至図８と同様、この図において、アクション定義情報５６０は表形式で表わされ、横の行が１つのアクション定義情報５６０を、縦の列が各項目（プログラムＩＤ５６１、アクション名称５６２、プログラム呼出し名５６３）を表わす。

プログラムＩＤ５６１は、例えば、「ＰＧ００００」「ＰＧ０００１」などの固定長文字列データである。プログラムＩＤ５６１は、例えば、ポリシー管理者がプログラムを登録・編集するとき、セキュリティ運用管理システム１００が自動的に付すものであり、プログラムを一意に識別するため、アクション定義情報５６０ごとに異なるプログラムＩＤ５６１が付される。
アクション名称５６２は、例えば、「何もしない」「メール送付」などの可変長文字列データである。アクション名称５６２は、ポリシー管理者がそのプログラムの機能などを識別し理解しやすくするために付けたものであり、ポリシー管理者がプログラムを登録・変更するとき、ポリシー管理者がキーボード９０２などの入力装置を操作して入力し、ポリシー管理者がアクションを登録・編集するとき、ＣＲＴなどの表示装置９０１が表示する。
プログラム呼出し名５６３は、例えば、「ａｃｔｉｏｎＮｏＡｃｔｉｏｎ」「ａｃｔｉｏｎＳｅｎｄＭａｉｌ」などの可変長文字列データである。プログラム呼出し名５６３は、実行するプログラムのパス名やメソッド名などプログラムの実体を示し、プログラムを呼び出す際に必要となるデータである。
アクション定義情報５６０が定義するアクションを追加することにより、あとからアクションの種類を増やすことも可能である。

図１０は、この実施の形態における抽出条件記憶部１３３が記憶している抽出条件情報５１０の具体例を示す図である。
図６乃至図９と同様、この図において、抽出条件情報５１０は表形式で表わされ、横の行が１つの抽出条件情報５１０を、縦の列が各項目（グループＩＤ５１１、グループ名称５１２、抽出条件５１３）を表わす。

グループＩＤ５１１は、例えば、「ＴＧ０００１」「ＴＧ０００２」などの固定長文字列データである。グループＩＤ５１１は、例えば、ポリシー管理者がグループを登録・編集するとき、セキュリティ運用管理システム１００が自動的に付すものであり、グループを一意に識別するため、抽出条件情報５１０ごとに異なるグループＩＤ５１１が付される。

グループ名称５１２は、例えば、「社内全体のＰＣ」「人事部のＰＣ」などの可変長文字列データである。グループ名称５１２は、ポリシー管理者がそのグループが表わす対象などを識別し理解しやすくするために付けたものであり、ポリシー管理者がグループを登録・編集するとき、ポリシー管理者がキーボード９０２などの入力装置を操作して入力し、ポリシー管理者がグループを閲覧・編集するとき、ＣＲＴなどの表示装置９０１が表示する。

抽出条件５１３は、例えば、「（場所＝Ａ棟 ｏｒ 場所＝Ｂ棟）ａｎｄ 機器種別＝ＰＣ」「管理組織＝人事 ａｎｄ 機器種別＝ＰＣ」などの可変長文字列データである。抽出条件５１３は、管理対象がそのグループに属するか否かを判定するための条件を記述したデータであり、例えば、ポリシー管理者がグループを登録・編集するとき、ポリシー管理者がキーボード９０２などの入力装置を操作して入力し、ポリシー管理者がグループを閲覧・編集するとき、ＣＲＴなどの表示装置９０１が表示する。抽出条件５１３は、セキュリティ条件５４４と同様、ポリシー管理者の入力を助けるためポリシー管理者が理解しやすい記述形式・文法をあらかじめ定めておき、それにしたがって記述される。抽出条件５１３の記述形式も、もっと自然言語に近い形式であってもよいし、ＳＱＬ文の記述形式に準拠した形式などデータベース処理に適した形式であってもよい。

抽出条件５１３が記述した条件を満たす管理対象は、グループ化され、グループＩＤ５１１により管理される。一つのグループに属する管理対象には、同一のセキュリティポリシーが適用される。

図１１は、この実施の形態における条件対応記憶部１３２が記憶している条件対応情報５２０の具体例を示す図である。
図６乃至図１０と同様、この図において、条件対応情報５２０は表形式で表わされ、横の行が１つの条件対応情報５２０を、縦の列が各項目（対応ＩＤ５２１、ポリシーＩＤ５２２、グループＩＤ５２３）を表わす。

対応ＩＤ５２１は、例えば、「Ｃ０００１」「Ｃ０００２」などの固定長文字列データである。対応ＩＤ５２１は、例えば、ポリシー管理者がグループを登録・編集するとき、セキュリティ運用管理システム１００が自動的に付すものであり、条件対応情報５２０を一意に識別するため、条件対応情報５２０ごとに異なる対応ＩＤ５２１が付される。

ポリシーＩＤ５２２は、例えば、「Ｐ００００１」「Ｐ００００２」などの固定長文字列データであり、いずれかのポリシー定義情報５３０のポリシーＩＤ５３１と等しい。例えば、ポリシー管理者がグループを登録・編集するとき、キーボード９０２などの入力装置を操作してグループに適用するポリシーを入力し、セキュリティ運用管理システム１００が、入力内容に基づいて、グループに適用するポリシーを記述したポリシー定義情報５３０のポリシーＩＤ５３１を取得し、設定する。

グループＩＤ５２３は、例えば、「ＴＧ０００１」「ＴＧ０００２」などの固定長文字列データであり、いずれかの抽出条件情報５１０のグループＩＤ５１１と等しい。例えば、ポリシー管理者がグループを登録・編集するとき、キーボード９０２などの入力装置を操作してポリシーを適用するグループを入力し、セキュリティ運用管理システム１００が、入力内容に基づいて、ポリシーを適用するグループを記述した抽出条件情報５１０のグループＩＤ５１１を取得し、設定する。

条件対応情報５２０は、ポリシーＩＤ５２２が示すポリシー定義情報５３０と、グループＩＤ５２３が示す抽出条件情報５１０とがマッピングされていることを表わす。すなわち、グループＩＤ５２３が示す抽出条件情報５１０が記述した条件によりグループ化された管理対象に対して、ポリシーＩＤ５２２が示すポリシー定義情報５３０が記述したセキュリティポリシーを適用することを表わす。

図１２は、この実施の形態における属性記憶部１４１が記憶している属性情報５８０の具体例を示す図である。
図６乃至図１１と同様、この図において、属性情報５８０は表形式で表わされ、横の行が１つの属性情報５８０を、縦の列が各項目（項目ＩＤ５８１、対象ＩＤ５８２、属性ＩＤ５８３、属性値５８４）を表わす。

項目ＩＤ５８１は、例えば、「Ｖ００００」「Ｖ０００１」などの固定長文字列データである。項目ＩＤ５８１は、例えば、システム管理者が管理対象の属性を登録・変更するとき、セキュリティ運用管理システム１００が自動的に付すものであり、属性情報５８０を一意に識別するため、属性情報５８０ごとに異なる項目ＩＤ５８１が付される。

対象ＩＤ５８２は、例えば、「ＡＳＴ０００１」「ＡＳＴ０００２」などの固定長文字列データであり、ネットワークシステム８００内で管理対象を一意に識別するためあらかじめ管理対象に付された対象ＩＤのいずれかと等しい。例えば、システム管理者が管理対象の属性を登録・変更するとき、キーボード９０２などの入力装置を操作して属性値を設定する管理対象を入力し、セキュリティ運用管理システム１００が、入力した内容に基づいて、属性値を設定する管理対象に付された対象ＩＤを取得し、設定する。

属性ＩＤ５８３は、例えば、「Ａ０００００」「Ａ００００１」などの固定長文字列データであり、いずれかの属性定義情報５７０の属性ＩＤ５７１と等しい。例えば、システム管理者が管理対象の属性を登録・変更するとき、キーボード９０２などの入力装置を操作して管理対象に設定する属性を入力し、セキュリティ運用管理システム１００が、入力した内容に基づいて、管理対象に設定する属性を定義した属性定義情報５７０の属性ＩＤ５７１を取得し、設定する。

属性値５８４は、例えば、「機器」「ＡＳＴ０００１」「ＨＯＳＴ０１」などの可変長文字列データである。属性値５８４は、例えば、システム管理者が属性を登録・編集するとき、キーボード９０２などの入力装置を操作して入力し、システム管理者が属性を閲覧・編集するとき、ＣＲＴなどの表示装置９０１が表示する。

図１３は、この実施の形態における属性記憶部１４１が記憶している属性定義情報５７０の具体例を示す図である。
図６乃至図１２と同様、この図において、属性定義情報５７０は表形式で表わされ、横の行が１つの属性定義情報５７０を、縦の列が各項目（属性ＩＤ５７１、属性タイプ５７２、対象種別５７３、属性名称５７４）を表わす。

属性ＩＤ５７１は、例えば、「Ａ０００００」「Ａ００００１」などの固定長文字列データである。属性ＩＤ５７１は、例えば、システム管理者が属性定義情報５７０を登録・編集するとき、セキュリティ運用管理システム１００が自動的に付すものであり、属性定義情報５７０を一意に識別するため、属性定義情報５７０ごとに異なる属性ＩＤ５７１が付される。

属性タイプ５７２は、例えば、「文字列」「ＩＰアドレス」などの文字列データである。あるいは、「文字列」「ＩＰアドレス」などに対応するコード（数値）をあらかじめ定めておき、属性タイプ５７２は、あらかじめ定めたコードを表わす数値データであってもよい。属性タイプ５７２は、例えば、システム管理者が属性定義情報５７０を登録・編集するとき、キーボード９０２などの入力装置を操作して入力し、システム管理者が属性定義情報５７０を閲覧・編集するとき、ＣＲＴなどの表示装置９０１が表示する。
属性タイプ５７２は、例えば、以下のように利用される。システム管理者が属性を登録・編集するとき、セキュリティ運用管理システム１００は、属性タイプ５７２に基づいて、入力した属性値がその属性の属性値として適切な値であるか否かを判定し、適切でない場合には再入力を要求する。

対象種別５７３は、例えば、「すべて」「機器」などの文字列データである。あるいは、「すべて」「機器」などに対応するコード（数値）をあらかじめ定めておき、対象種別５７３は、あらかじめ定めたコードを表わす数値データであってもよい。対象種別５７３は、例えば、システム管理者が属性定義情報５７０を登録・編集するとき、キーボード９０２などの入力装置を操作して入力し、システム管理者が属性定義情報５７０を閲覧・編集するとき、ＣＲＴなどの表示装置９０１が表示する。
対象種別５７３は、例えば、以下のように利用される。システム管理者が属性を登録・編集するとき、セキュリティ運用管理システム１００は、対象種別５７３に基づいて、その管理対象に設定可能な属性の一覧を生成し、生成した一覧をＣＲＴなどの表示装置９０１が表示して、システム管理者に設定する属性を選択させる。

属性名称５７４は、例えば、「種別」「資産番号」「資産名称」などの可変長文字列データである。属性名称５７４は、システム管理者がその属性が表わす内容などを理解しやすくするために付けたものであり、例えば、システム管理者が属性定義情報５７０を登録・編集するとき、キーボード９０２などの入力装置を操作して入力し、システム管理社が属性を登録・編集するとき、ＣＲＴなどの表示装置９０１が表示する。

次に、セキュリティ運用管理システム１００の動作について説明する。

図１４は、この実施の形態におけるセキュリティ運用管理システム１００がネットワークシステム８００のセキュリティをチェックするセキュリティチェック処理の流れの一例を示すフローチャート図である。
セキュリティチェック処理は、例えば、定期的に（例えば１日１回）繰返し実行する。これにより、ポリシー違反を早期に発見し、対処することができる。なお、ネットワーク３００の負荷などを軽減するため、繰返しの周期を長くしてもよいし、安全性を向上するため、繰返しの周期を短くしてもよい。また、ポリシー管理者がキーボード９０２などの入力装置を操作することにより、セキュリティ運用管理システム１００にセキュリティチェック処理を実行させてもよいし、セキュリティ運用管理システム１００がタイマーを内蔵し、前回の実行から所定の時間が経過した場合に、自動的にセキュリティチェック処理を実行してもよい。

第一ループＬ１において、セキュリティ運用管理システム１００は、ＣＰＵ９１１などの処理装置を用いて、ポリシー記憶部１２１が記憶したポリシー定義情報５３０について、１つずつ処理を行い、すべてのポリシー定義情報５３０についての処理が終わるまで処理を繰り返す。
第一ループＬ１は、ポリシー取得工程Ｓ１１、ポリシーリスト取得工程Ｓ１２、抽出条件取得工程Ｓ１３、対象リスト取得工程Ｓ１４、第二ループＬ２の各処理を繰り返す処理である。

ポリシー取得工程Ｓ１１において、ポリシー取得部１１１は、ＣＰＵ９１１などの処理装置を用いて、ポリシー記憶部１２１が記憶したポリシー定義情報５３０のなかから、未処理のポリシー定義情報５３０を１つ取得する。なお、ポリシー記憶部１２１が記憶したポリシー定義情報５３０のなかに、未処理のポリシー定義情報５３０がない場合には、第一ループＬ１を抜けて、セキュリティチェック処理を終了する。

ポリシーリスト取得工程Ｓ１２において、ポリシー取得部１１１は、ＣＰＵ９１１などの処理装置を用いて、ポリシー記憶部１２１が記憶した設定ポリシー情報５４０のなかから、ポリシー取得工程Ｓ１１で取得したポリシー定義情報５３０に関連づけられている設定ポリシー情報５４０のリストを取得する。ポリシーリスト取得工程Ｓ１２の処理の詳細は、例えば、以下のような手順である。
まず、ポリシー取得部１１１は、ＣＰＵ９１１などの処理装置を用いて、ポリシー取得工程Ｓ１１で取得したポリシー定義情報５３０から、ポリシーＩＤ５３１を取得する。
次に、ポリシー取得部１１１は、ＣＰＵ９１１などの処理装置を用いて、ポリシー記憶部１２１に対してポリシーリストの生成を要求するポリシーリスト生成要求データを生成する。ポリシーリスト生成要求データは、例えば、ＳＱＬ文のような形式で記述されたデータであり、ポリシー記憶部１２１が記憶した設定ポリシー情報５４０のなかから、ポリシーＩＤ５４２が、取得したポリシーＩＤ５３１と等しい設定ポリシー情報５４０を抽出し、抽出した設定ポリシー情報５４０に含まれる設定ＩＤ５４１を列挙したポリシーリストを生成して、ポリシー取得部１１１に送付することを要求するものである。
ポリシー取得部１１１は、ＣＰＵ９１１などの処理装置を用いて、生成したポリシーリスト生成要求データを、ポリシー記憶部１２１に対して送付する。
ポリシー記憶部１２１は、ＣＰＵ９１１などの処理装置を用いて、ポリシー取得部１１１が送付したポリシーリスト生成要求データを取得する。
ポリシー記憶部１２１は、ＣＰＵ９１１などの処理装置を用いて、取得したポリシーリスト生成要求データを解析し、解析結果に基づいて、ポリシー取得部１１１から要求された処理を行う。すなわち、ポリシー記憶部１２１は、磁気ディスク装置９２０などの記憶装置を用いて記憶した設定ポリシー情報５４０のなかから、ＣＰＵ９１１などの処理装置を用いて、ポリシーＩＤ５４２がポリシーＩＤ５３１と等しい設定ポリシー情報５４０を抽出する。ポリシー記憶部１２１は、ＣＰＵ９１１などの処理装置を用いて、抽出した設定ポリシー情報５４０から設定ＩＤ５４１を取得し、取得した設定ＩＤ５４１を列挙してポリシーリストを生成する。ポリシー記憶部１２１は、ＣＰＵ９１１などの処理装置を用いて、生成したポリシーリストを、ポリシー取得部１１１に対して送付する。
ポリシー取得部１１１は、ＣＰＵ９１１などの処理装置を用いて、ポリシー取得部１１１が送付したポリシーリストを取得する。

抽出条件取得工程Ｓ１３において、抽出条件取得部１１２は、ＣＰＵ９１１などの処理装置を用いて、抽出条件記憶部１３３が記憶した抽出条件情報５１０のなかから、ポリシー取得工程Ｓ１１で取得したポリシー定義情報５３０に対応する抽出条件情報５１０に含まれる抽出条件５１３を取得する。

図１５は、この実施の形態における抽出条件取得部１１２が抽出条件情報５１０を取得する抽出条件取得工程Ｓ１３の処理の詳細の一例を示すフローチャート図である。

ポリシーＩＤ取得工程Ｓ３１において、抽出条件取得部１１２は、ＣＰＵ９１１などの処理装置を用いて、ポリシー取得工程Ｓ１１で取得したポリシー定義情報５３０から、ポリシーＩＤ５３１を取得する。

条件対応情報検索工程Ｓ３２において、条件対応記憶部１３２は、ＣＰＵ９１１などの処理装置を用いて、記憶した条件対応情報５２０のなかから、ポリシーＩＤ５２２が、ポリシーＩＤ取得工程Ｓ３１で抽出条件取得部１１２が取得したポリシーＩＤ５３１と一致する条件対応情報５２０を検索する。
例えば、抽出条件取得部１１２は、ＣＰＵ９１１などの処理装置を用いて、条件対応記憶部１３２に対して条件対応情報５２０の検索を要求する条件対応情報検索要求データを生成する。条件対応情報検索要求データは、例えば、ＳＱＬ文のような形式で記述されたデータであり、条件対応記憶部１３２が記憶した条件対応情報５２０のなかから、ポリシーＩＤ５２２が、ポリシーＩＤ取得工程Ｓ３１で取得したポリシーＩＤ５３１と等しい条件対応情報５２０を抽出し、抽出した条件対応情報５２０のグループＩＤ５２３（のリスト）を抽出条件取得部１１２に送付することを要求するものである。
抽出条件取得部１１２は、ＣＰＵ９１１などの処理装置を用いて、生成した条件対応情報検索要求データを、条件対応記憶部１３２に対して送付する。条件対応記憶部１３２は、ＣＰＵ９１１などの処理装置を用いて、抽出条件取得部１１２が送付した条件対応情報検索要求データを取得する。
条件対応記憶部１３２は、ＣＰＵ９１１などの処理装置を用いて、取得した条件対応情報検索要求データを解析し、解析結果に基づいて、要求された処理を行う。すなわち、条件対応記憶部１３２は、磁気ディスク装置９２０などの記憶装置を用いて記憶した条件対応情報５２０のなかから、ＣＰＵ９１１などの処理装置を用いて、ポリシーＩＤ５２２がポリシーＩＤ５３１と等しい条件対応情報５２０を抽出する。

グループＩＤ取得工程Ｓ３３において、抽出条件取得部１１２は、ＣＰＵ９１１などの処理装置を用いて、条件対応情報検索工程Ｓ３２で条件対応記憶部１３２が検索した条件対応情報５２０から、グループＩＤ５２３を取得する。
例えば、条件対応記憶部１３２は、ＣＰＵ９１１などの処理装置を用いて、条件対応情報検索工程Ｓ３２で抽出した条件対応情報５２０からグループＩＤ５２３を取得する。
条件対応記憶部１３２は、ＣＰＵ９１１などの処理装置を用いて、取得したグループＩＤ５２３（のリスト）を、抽出条件取得部１１２に対して送付する。抽出条件取得部１１２は、ＣＰＵ９１１などの処理装置を用いて、条件対応記憶部１３２が送付したグループＩＤ５２３を取得する。
これにより、ポリシーＩＤ取得工程Ｓ３１で取得したポリシーＩＤ５３１に割り当てられているグループＩＤ５２３が得られる。

抽出条件情報検索工程Ｓ３４において、抽出条件記憶部１３３は、ＣＰＵ９１１などの処理装置を用いて、記憶した抽出条件情報５１０のなかから、グループＩＤ５１１が、グループＩＤ取得工程Ｓ３３で抽出条件取得部１１２が取得したグループＩＤ５２３と一致する抽出条件情報５１０を検索する。
例えば、抽出条件取得部１１２は、ＣＰＵ９１１などの処理装置を用いて、抽出条件記憶部１３３に対して抽出条件情報５１０の検索を要求する抽出条件情報検索要求データを生成する。抽出条件情報検索要求データは、例えば、ＳＱＬ文のような形式で記述されたデータであり、抽出条件記憶部１３３が記憶した抽出条件情報５１０のなかから、グループＩＤ５１１が、グループＩＤ取得工程Ｓ３３で取得したグループＩＤ５２３と等しい抽出条件情報５１０を抽出し、抽出した抽出条件情報５１０の抽出条件５１３（のリスト）を抽出条件取得部１１２に送付することを要求するものである。
抽出条件取得部１１２は、ＣＰＵ９１１などの処理装置を用いて、生成した抽出条件情報検索要求データを、抽出条件記憶部１３３に対して送付する。抽出条件記憶部１３３は、ＣＰＵ９１１などの処理装置を用いて、抽出条件取得部１１２が送付した抽出条件情報検索要求データを取得する。
抽出条件記憶部１３３は、ＣＰＵ９１１などの処理装置を用いて、取得した抽出条件情報検索要求データを解析し、解析結果に基づいて、要求された処理を行う。すなわち、抽出条件記憶部１３３は、磁気ディスク装置９２０などの記憶装置を用いて記憶した抽出条件情報５１０のなかから、グループＩＤ５１１がグループＩＤ５２３と等しい抽出条件情報５１０を抽出する。

抽出条件取得工程Ｓ３５において、抽出条件取得部１１２は、ＣＰＵ９１１などの処理装置を用いて、抽出条件情報検索工程Ｓ３４で抽出条件記憶部１３３が検索した抽出条件情報５１０から、抽出条件５１３を取得する。
例えば、抽出条件記憶部１３３は、ＣＰＵ９１１などの処理装置を用いて、抽出条件情報検索工程Ｓ３４で抽出した抽出条件情報５１０から抽出条件５１３を取得する。
抽出条件記憶部１３３は、ＣＰＵ９１１などの処理装置を用いて、取得した抽出条件５１３（のリスト）を、抽出条件取得部１１２に対して送付する。抽出条件取得部１１２は、ＣＰＵ９１１などの処理装置を用いて、抽出条件記憶部１３３が送付した抽出条件５１３を取得する。
これにより、ポリシーＩＤ取得工程Ｓ３１で取得したポリシーＩＤ５３１に割り当てられている抽出条件５１３が得られる。

図１４に戻り、セキュリティチェック処理の説明を続ける。

対象リスト取得工程Ｓ１４において、管理対象抽出部１１３は、ＣＰＵ９１１などの処理装置を用いて、属性記憶部１４１が記憶した属性情報５８０に基づいて、抽出条件取得工程Ｓ３５で取得した抽出条件５１３を満たす管理対象のリストを取得する。

図１６は、この実施の形態における管理対象抽出部１１３が抽出条件５１３を満たす管理対象のリストを取得する対象リスト取得工程Ｓ１４の処理の詳細の一例を示すフローチャート図である。

ＳＱＬ生成工程Ｓ４１において、管理対象抽出部１１３は、ＣＰＵ９１１などの処理装置を用いて、抽出条件取得工程Ｓ１３で抽出条件取得部１１２が取得した抽出条件５１３に基づいて、ＳＱＬ文を生成する。管理対象抽出部１１３が生成するＳＱＬ文は、属性記憶部１４１が記憶した属性情報５８０のなかから、抽出条件取得工程Ｓ１３で抽出条件取得部１１２が取得した抽出条件５１３を満たす属性情報５８０を抽出し、抽出した属性情報５８０に含まれる対象ＩＤ５８２を列挙した対象リストを生成して、管理対象抽出部１１３に送付することを要求するものである。
管理対象抽出部１１３は、ＣＰＵ９１１などの処理装置を用いて、生成したＳＱＬ文を、属性記憶部１４１に対して送付する。

属性情報検索工程Ｓ４２において、属性記憶部１４１は、ＣＰＵ９１１などの処理装置を用いて、ＳＱＬ生成工程Ｓ４１で管理対象抽出部１１３が生成したＳＱＬ文に基づいて、属性情報５８０を検索する。
例えば、属性記憶部１４１は、ＣＰＵ９１１などの処理装置を用いて、ＳＱＬ生成工程Ｓ４１で管理対象抽出部１１３が送付したＳＱＬ文を取得する。属性記憶部１４１は、ＣＰＵ９１１などの処理装置を用いて、取得したＳＱＬ文を解析し、解析結果に基づいて、要求された処理を行う。すなわち、属性記憶部１４１は、磁気ディスク装置９２０などの記憶装置を用いて記憶した属性情報５８０のなかから、ＣＰＵ９１１などの処理装置を用いて、抽出条件５１３を満たす属性情報５８０を抽出する。

対象ＩＤ取得工程Ｓ４３において、属性記憶部１４１は、ＣＰＵ９１１などの処理装置を用いて、属性情報検索工程Ｓ４２で検索（抽出）した属性情報５８０から対象ＩＤ５８２を取得する。

対象リスト生成工程Ｓ４４において、属性記憶部１４１は、ＣＰＵ９１１などの処理装置を用いて、対象ＩＤ取得工程Ｓ４３で取得した対象ＩＤ５８２を列挙して、対象リストを生成する。
属性記憶部１４１は、ＣＰＵ９１１などの処理装置を用いて、生成した対象リストを、管理対象抽出部１１３に対して送付する。

リスト取得工程Ｓ４５において、管理対象抽出部１１３は、ＣＰＵ９１１などの処理装置を用いて、対象リスト生成工程Ｓ４４で属性記憶部１４１が送付した対象リストを取得する。
これにより、抽出条件５１３に基づいてチェック対象となる管理対象のリストが得られる。

図１４に戻り、セキュリティチェック処理の説明を続ける。

第二ループＬ２において、セキュリティ運用管理システム１００は、対象リスト取得工程Ｓ１４で管理対象抽出部１１３が取得した対象リストに列挙された対象ＩＤ５８２が示す管理対象について、１つずつ処理を行い、すべての管理対象についての処理が終わるまで処理を繰り返す。
第二ループＬ２は、対象選択工程Ｓ１５、第三ループＬ３の各処理を繰り返す処理である。

対象選択工程Ｓ１５において、管理対象抽出部１１３は、ＣＰＵ９１１などの処理装置を用いて、対象リスト取得工程Ｓ１４で取得した対象リストから、未処理の対象ＩＤ５８２（チェック対象）を１つ取得する。なお、対象リスト取得工程Ｓ１４で取得した対象リストに列挙された対象ＩＤ５８２のなかに、未処理の対象ＩＤ５８２がない場合は、第二ループＬ２を抜けて、次の処理（第一ループＬ１の繰返し処理）へ進む。

第三ループＬ３において、セキュリティ運用管理システム１００は、ポリシーリスト取得工程Ｓ１２で取得したポリシーリストに列挙された設定ＩＤ５４１を有する設定ポリシー情報５４０について、１つずつ処理を行い、すべての設定ポリシー情報５４０についての処理が終わるまで処理を繰り返す。
第三ループＬ３は、設定ポリシー取得工程Ｓ１６、状態取得工程Ｓ１７、ポリシー違反判定工程Ｓ１８、アクション取得工程Ｓ１９、アクション実行工程Ｓ２０の各処理を繰り返す処理である。

設定ポリシー取得工程Ｓ１６において、ポリシー取得部１１１は、ＣＰＵ９１１などの処理装置を用いて、ポリシーリスト取得工程Ｓ１２で取得したポリシーリストに列挙された設定ＩＤ５４１のなかから、対象選択工程Ｓ１５で取得した対象ＩＤ５８２が示す管理対象について未処理の設定ＩＤ５４１を１つ取得する。なお、ポリシーリスト取得工程Ｓ１２で取得したポリシーリストに列挙された設定ＩＤ５４１のなかに未処理の設定ＩＤ５４１がない場合には、第三ループＬ３の処理を抜けて、次の処理（第二ループＬ２の繰返し処理）へ進む。
ポリシー取得部１１１は、ＣＰＵ９１１などの処理装置を用いて、ポリシー記憶部１２１が記憶した設定ポリシー情報５４０のなかから、設定ＩＤ５４１が、取得した設定ＩＤ５４１と等しい設定ポリシー情報５４０を取得する。

状態取得工程Ｓ１７において、状態取得部１１４は、ＣＰＵ９１１などの処理装置を用いて、対象選択工程Ｓ１５で管理対象抽出部１１３が取得した対象ＩＤ５８２が示す管理対象について、状態を取得する。
例えば、状態取得部１１４は、ＣＰＵ９１１などの処理装置を用いて、設定ポリシー取得工程Ｓ１６でポリシー取得部１１１が取得した設定ポリシー情報５４０から、セキュリティ条件５４４を取得する。
状態取得部１１４は、ＣＰＵ９１１などの処理装置を用いて、取得したセキュリティ条件５４４が記述した条件を管理対象が満たしているか否かを判定するために知る必要がある状態の種別（セキュリティ設定項目）を判別する。
状態取得部１１４は、ＣＰＵ９１１などの処理装置を用いて、対象選択工程Ｓ１５で管理対象抽出部１１３が取得した対象ＩＤ５８２により識別される管理対象（以下、「選択管理対象」という。）に対して、判別した種別の状態についての値（セキュリティ設定の内容）を送信することを要求する状態送信要求データを生成する。
状態取得部１１４は、ＣＰＵ９１１などの処理装置を用いて、クライアント装置２００ａ〜２００ｃのうち選択管理対象であるクライアント装置に対して、ネットワーク３００を介して、生成した状態送信要求データを送信する。
選択管理対象であるクライアント装置は、ＣＰＵ９１１などの処理装置を用いて、セキュリティ運用管理システム１００（の状態取得部１１４）が送信した状態送信要求データを受信する。
選択管理対象であるクライアント装置は、ＣＰＵ９１１などの処理装置を用いて、受信した状態送信要求データを解析し、解析結果に基づいて、セキュリティ運用管理システム１００に対して送信すべき状態の種別を判別する。
選択管理対象であるクライアント装置は、ＣＰＵ９１１などの処理装置を用いて、判別した状態の種別についての値を取得する。
選択管理対象であるクライアント装置は、ＣＰＵ９１１などの処理装置を用いて、取得した値を、セキュリティ運用管理システム１００に対して送信する。
状態取得部１１４は、ＣＰＵ９１１などの処理装置を用いて、選択管理対象であるクライアント装置が送信した状態の値を受信する。

なお、クライアント装置は、ＣＰＵ９１１などの処理装置を用いて、あらかじめエージェントプログラムを実行して、セキュリティ運用管理システム１００に送信する可能性がある状態の値を取得しておき、セキュリティ運用管理システム１００から要求があった場合、あらかじめ取得しておいた状態の値を送信することとしてもよい。
あるいは、クライアント装置は、ＣＰＵ９１１などの処理装置を用いて、あらかじめ取得しておいた状態の値を、あらかじめセキュリティ運用管理システム１００に対して送信し、セキュリティ運用管理システム１００が受信して、磁気ディスク装置９２０などの記憶装置を用いて記憶し、状態取得部１１４は、クライアント装置と通信することなく、あらかじめ記憶しておいた状態の値を取得することとしてもよい。あらかじめ収集した状態の値は、対象情報データベース記憶部１４０が記憶してもよい。また、他の資産管理ツールなどがあらかじめ収集した情報を記憶しておき、状態取得部１１４が取得してもよい。

ポリシー違反判定工程Ｓ１８において、ポリシー違反抽出部１１５は、ＣＰＵ９１１などの処理装置を用いて、選択管理対象がセキュリティポリシーに適合しているか違反しているかを判定する。
例えば、ポリシー違反抽出部１１５は、ＣＰＵ９１１などの処理装置を用いて、設定ポリシー取得工程Ｓ１６でポリシー取得部１１１が取得した設定ポリシー情報５４０から、セキュリティ条件５４４を取得する。
ポリシー違反抽出部１１５は、ＣＰＵ９１１などの処理装置を用いて、状態取得工程Ｓ１７で状態取得部１１４が取得した状態の値に基づいて、取得したセキュリティ条件５４４に記述された条件を、選択管理対象が満たしているか否かを判定する。
取得したセキュリティ条件５４４に記述された条件を選択管理対象が満たしていないと判定した場合、ポリシー違反として、アクション取得工程Ｓ１９及びアクション実行工程Ｓ２０へ進み、アクションを実行する。
取得したセキュリティ条件５４４に記述された条件を選択管理対象が満たしていると判定した場合、ポリシー適合として、アクション取得工程Ｓ１９及びアクション実行工程Ｓ２０を飛ばし、アクションを実行せずに次の処理（第三ループＬ３の繰返し処理）へ進む。

アクション取得工程Ｓ１９において、アクション取得部１１６は、ＣＰＵ９１１などの処理装置を用いて、実行アクション記憶部１２２が記憶した実行アクション情報５５０のなかから、設定ポリシー取得工程Ｓ１６でポリシー取得部１１１が取得した設定ポリシー情報５４０に記述されたセキュリティポリシーに選択管理対象が違反している場合に実行すべきアクションを記述した設定ポリシー情報５４０を取得する。
例えば、アクション取得部１１６は、ＣＰＵ９１１などの処理装置を用いて、設定ポリシー取得工程Ｓ１６でポリシー取得部１１１が取得した設定ポリシー情報５４０から、設定ＩＤ５４１を取得する。
アクション取得部１１６は、ＣＰＵ９１１などの処理装置を用いて、実行アクション記憶部１２２に対して実行アクション情報５５０の検索を要求するアクション検索要求データを生成する。アクション検索要求データは、例えば、ＳＱＬ文のような形式で記述されたデータであり、実行アクション記憶部１２２が記憶した実行アクション情報５５０のなかから、設定ＩＤ５５２が、取得した設定ＩＤ５４１と等しい実行アクション情報５５０を抽出し、アクション取得部１１６に送付することを要求するものである。
アクション取得部１１６は、ＣＰＵ９１１などの処理装置を用いて、生成したアクション検索要求データを、実行アクション記憶部１２２に対して送付する。実行アクション記憶部１２２は、ＣＰＵ９１１などの処理装置を用いて、アクション取得部１１６が送付したアクション検索要求データを取得する。
実行アクション記憶部１２２は、ＣＰＵ９１１などの処理装置を用いて、取得したアクション検索要求データを解析し、解析結果に基づいて、要求された処理を行う。すなわち、実行アクション記憶部１２２は、磁気ディスク装置９２０などの記憶装置を用いて記憶した実行アクション情報５５０のなかから、設定ＩＤ５５２が設定ＩＤ５４１と等しい実行アクション情報５５０を抽出する。
実行アクション記憶部１２２は、ＣＰＵ９１１などの処理装置を用いて、抽出した実行アクション情報５５０を、アクション取得部１１６に対して送付する。アクション取得部１１６は、ＣＰＵ９１１などの処理装置を用いて、実行アクション記憶部１２２が送付した実行アクション情報５５０を取得する。

アクション実行工程Ｓ２０において、アクション実行部１１７は、ＣＰＵ９１１などの処理装置を用いて、アクション取得工程Ｓ１９で取得した実行アクション情報５５０に基づいて、ポリシー違反と判定された管理対象について、アクションを実行する。
例えば、アクション実行部１１７は、ＣＰＵ９１１などの処理装置を用いて、アクション取得工程Ｓ１９でアクション取得部１１６が取得した実行アクション情報５５０から、プログラムＩＤ５５３とパラメータ５５４とを取得する。
アクション実行部１１７は、ＣＰＵ９１１などの処理装置を用いて、実行アクション記憶部１２２が記憶したアクション定義情報５６０のなかから、プログラムＩＤ５６１が、取得したプログラムＩＤ５５３と等しいアクション定義情報５６０に含まれるプログラム呼出し名５６３を取得する。
アクション実行部１１７は、ＣＰＵ９１１などの処理装置を用いて、取得したプログラム呼出し名５６３に基づいてプログラムを呼び出し、取得したパラメータ５５４に基づいて、呼び出したプログラムにパラメータを渡して、実行する。
なお、アクション実行部１１７が実行するプログラムは、ポリシー違反の選択管理対象の管理者に対してメールを送信する場合のように、セキュリティ運用管理システム１００が実行するものであってもよいし、ポリシー違反の選択管理対象であるクライアント装置が所定のプログラムをインストールする場合のように、クライアント装置に実行させるものであってもよい。

以上のように、管理対象がポリシー違反である場合、自動的に対策プログラムを実行して、強制的に管理対象をポリシーに適合させることもできるし、管理対象の管理者に通知して、管理対象をポリシーに適合させるよう、注意喚起することもできる。

次に、この実施の形態におけるセキュリティ運用管理システム１００の効果について説明する。

この実施の形態におけるセキュリティ運用管理システム１００（管理装置）は、
情報を記憶する磁気ディスク装置９２０などの記憶装置と、情報を処理するＣＰＵ９１１などの処理装置とを有し、管理対象（クライアント装置２００ａ〜２００ｃ）がセキュリティポリシーを満たすよう管理する管理装置（セキュリティ運用管理システム１００）において、
ポリシー記憶部１２１と、属性記憶部１４１と、抽出条件記憶部１３３と、実行アクション記憶部１２２と、管理対象抽出部１１３と、状態取得部１１４と、ポリシー違反抽出部１１５と、アクション実行部１１７とを有することを特徴とする。
上記ポリシー記憶部１２１は、上記記憶装置を用いて、上記管理対象が満たすべき条件を記述したセキュリティ条件情報（ポリシー定義情報５３０及び設定ポリシー情報５４０）を記憶することを特徴とする。
上記属性記憶部１４１は、上記記憶装置を用いて、上記管理対象の属性を記述した管理対象属性情報（属性定義情報５７０及び属性情報５８０）を記憶することを特徴とする。
上記抽出条件記憶部１３３は、上記記憶装置を用いて、上記セキュリティ条件情報に記述された条件を満たすべき管理対象を抽出する条件を記述した管理対象抽出条件情報（抽出条件情報５１０）を記憶することを特徴とする。
上記実行アクション記憶部１２２は、上記記憶装置を用いて、上記セキュリティ条件情報に記述された条件を上記管理対象が満たしていない場合に実行すべきアクションを記述した実行アクション情報５５０を記憶することを特徴とする。
上記管理対象抽出部１１３は、上記処理装置を用いて、上記属性記憶部１４１が記憶した管理対象属性情報に基づいて、上記抽出条件記憶部１３３が記憶した管理対象抽出条件情報に記述された条件を満たす管理対象を抽出することを特徴とする。
上記状態取得部１１４は、上記処理装置を用いて、上記管理対象抽出部１１３が抽出した管理対象について、上記管理対象の状態を取得することを特徴とする。
上記ポリシー違反抽出部１１５は、上記処理装置を用いて、上記状態取得部１１４が取得した状態に基づいて、上記ポリシー記憶部１２１が記憶したセキュリティ条件情報に記述された条件を満たしていない管理対象を抽出することを特徴とする。
上記アクション実行部１１７は、上記処理装置を用いて、上記ポリシー違反抽出部１１５が抽出した管理対象について、上記実行アクション記憶部１２２が記憶した実行アクション情報５５０に記述されたアクションを実行することを特徴とする。

ポリシー記憶部１２１が記憶したセキュリティ条件情報（ポリシー定義情報５３０及び設定ポリシー情報５４０）には、そのセキュリティポリシーを適用する管理対象を直接特定するデータが含まれていない。セキュリティポリシーを適用する管理対象は、属性記憶部１４１が記憶した管理対象属性情報（属性定義情報５７０及び属性情報５８０）に基づいて、抽出条件記憶部１３３が記憶した抽出条件情報５１０に記述された条件を満たす管理対象を、管理対象抽出部１１３が抽出する。

したがって、組織改編・人事異動・ネットワーク構成の変更などにより、管理対象に適用すべきセキュリティポリシーが変化した場合、ポリシー記憶部１２１が記憶したセキュリティ条件情報（ポリシー情報）や、抽出条件記憶部１３３が記憶した管理対象抽出条件情報を変更する必要はなく、属性記憶部１４１が記憶した管理対象属性情報を変更するだけでよい。
また、離れた場所で運用している複数のネットワークシステム８００に、同じセキュリティポリシーを適用する場合、ポリシー定義情報５３０、設定ポリシー情報５４０、抽出条件情報５１０として、同じものを共有できる。
このため、ポリシー管理者の負担が少なくなり、ネットワークシステム８００の管理コストを低減できる。また、ポリシー管理者の入力ミスなどによりポリシー違反を見過ごす危険が減少するので、ネットワークシステム８００の安全性を高めることができる。

また、属性記憶部１４１が記憶した管理対象属性情報は、セキュリティ運用管理システム１００だけでなく、ネットワークシステム８００を管理する他のシステムなどでも利用することができる。そのため、他のシステムから属性記憶部１４１にアクセスすることを許すこととしてもよい。
逆に、他のシステムが既に管理対象属性情報を記憶している場合、それを複製したものを属性記憶部１４１が記憶してもよいし、管理対象属性情報を記憶している他のシステムを、属性記憶部１４１として利用してもよい。
これにより、情報入力の手間を削減し、記憶装置の記憶容量を節約することができる。

この実施の形態におけるセキュリティ運用管理システム１００（管理装置）は、更に、条件対応記憶部１３２と、抽出条件取得部１１２とを有することを特徴とする。
上記ポリシー記憶部１２１は、上記記憶装置を用いて、複数のセキュリティ条件情報（ポリシー情報）を記憶することを特徴とする。
上記抽出条件記憶部１３３は、上記記憶装置を用いて、複数の管理対象抽出条件情報（抽出条件情報５１０）を記憶することを特徴とする。
上記条件対応記憶部１３２は、上記記憶装置を用いて、上記ポリシー記憶部が記憶した複数のセキュリティ条件情報のうち上記抽出条件記憶部１３３が記憶した複数の管理対象抽出条件情報それぞれに記述された条件により抽出される管理対象が満たすべき条件を記述したセキュリティ条件情報と、上記管理対象抽出条件情報との対応づけを記述した条件対応情報５２０を記憶することを特徴とする。
上記抽出条件取得部１１２は、上記処理装置を用いて、上記条件対応記憶部１３２が記憶した条件対応情報５２０に基づいて、上記ポリシー記憶部１２１が記憶した複数のセキュリティ条件情報それぞれに記述された条件を満たすべき管理対象を抽出する条件を記述した管理対象抽出条件情報（抽出条件情報５１０）を、上記抽出条件記憶部１３３が記憶した複数の管理対象抽出条件情報のうちから取得することを特徴とする。
上記管理対象抽出部１１３は、上記処理装置を用いて、上記属性記憶部１４１が記憶した管理対象属性情報に基づいて、上記ポリシー記憶部１２１が記憶した複数のセキュリティ条件情報それぞれについて、上記抽出条件取得部１１２が取得した管理対象抽出条件情報に記述された条件を満たす管理対象を抽出することを特徴とする。

ポリシー記憶部１２１が記憶したセキュリティ条件情報（ポリシー定義情報５３０及び設定ポリシー情報５４０）には、管理対象を直接特定する情報だけでなく、管理対象を抽出する条件に関する情報も含まれていない。管理対象を抽出する条件を記述した管理対象抽出条件情報（抽出条件情報５１０）は、抽出条件記憶部１３３が記憶し、セキュリティ条件情報とは別に管理されている。セキュリティ条件情報と管理対象抽出条件情報との対応関係を記述した条件対応情報５２０は、条件対応記憶部１３２が記憶している。

組織改編やネットワーク構成の変更などにより、属性の定義や属性の取り得る値が変化した場合、管理対象属性情報（属性定義情報５７０及び属性情報５８０）を変更するだけでなく、抽出条件を変更する必要が生じる場合がある。
この実施の形態におけるセキュリティ運用管理システム１００（管理装置）は、セキュリティ条件情報と管理対象抽出条件情報とを別々に管理しているので、上記のような場合、ポリシー記憶部１２１が記憶したポリシー情報（ポリシー定義情報５３０及び設定ポリシー情報５４０）を変更する必要がなく、抽出条件記憶部１３３が記憶した管理対象抽出条件情報（抽出条件情報５１０）を変更するだけでよい。
このため、ポリシー管理者の負担が更に少なくなり、ネットワークシステム８００の管理コストを更に低減できる。また、ポリシー管理者の入力ミスなどによりポリシー違反を見過ごす危険が更に減少するので、ネットワークシステム８００の安全性を更に高めることができる。

この実施の形態におけるネットワークシステム８００は、上述した管理装置（セキュリティ運用管理システム１００）と、上記管理装置の管理対象である対象装置（クライアント装置２００ａ〜２００ｃ）とを備えることを特徴とする。

ネットワークシステム８００は、このようなセキュリティ運用管理システム１００を備えているので、クライアント装置２００ａ〜２００ｃのポリシー違反を、漏らさず発見し、対処することができる。これにより、ネットワークシステム８００の安全性を高めることができる。

この実施の形態におけるセキュリティ運用管理システム１００（管理装置）は、情報を記憶する記憶装置と情報を処理する処理装置とを有するコンピュータをセキュリティ運用管理システム１００として機能させるプログラムをコンピュータが実行することにより、実現可能である。

このようなプログラムは、ポリシー管理者の負担を少なくし、ネットワークシステム８００の管理コストを低減でき、ネットワークシステム８００の安全性を高めることができる管理装置（セキュリティ運用管理システム１００）を実現できるという効果を奏する。

この実施の形態におけるセキュリティ運用管理システム１００（情報を記憶する磁気ディスク装置９２０などの記憶装置と情報を処理するＣＰＵ９１１などの処理装置とを有する管理装置）が、管理対象（クライアント装置２００ａ〜２００ｃ）がセキュリティポリシーを満たすよう管理する管理方法は、以下の特徴を有する。
上記記憶装置は、
上記管理対象が満たすべき条件を記述したセキュリティ条件情報（ポリシー定義情報５３０及び設定ポリシー情報５４０）と、
上記管理対象の属性を記述した管理対象属性情報（属性定義情報５７０及び属性情報５８０）と、
上記セキュリティ条件情報に記述された条件を満たすべき管理対象を抽出する条件を記述した管理対象抽出条件情報（抽出条件情報５１０）と、
上記セキュリティ条件情報に記述された条件を上記管理対象が満たしていない場合に実行すべきアクションを記述した実行アクション情報５５０とを記憶する。
上記処理装置は、
上記記憶装置が記憶した管理対象属性情報に基づいて、上記記憶装置が記憶した管理対象抽出条件情報に記述された条件を満たす管理対象を抽出し、
抽出した管理対象について、上記管理対象の状態を取得し、
取得した状態に基づいて、上記記憶装置が記憶したセキュリティ条件情報に記述された条件を満たしていない管理対象を抽出し、
抽出した管理対象について、上記記憶装置が記憶した実行アクション情報に記述されたアクションを実行する。

これにより、組織改編・人事異動・ネットワーク構成の変更などにより、管理対象に適用すべきセキュリティポリシーが変化した場合、記憶装置が記憶したセキュリティ条件情報（ポリシー情報）や管理対象抽出条件情報を変更する必要はなく、管理対象属性情報を変更するだけでよい。
また、離れた場所で運用している複数のネットワークシステム８００に、同じセキュリティポリシーを適用する場合、ポリシー情報や管理対象抽出条件情報として、同じものを共有できる。
このため、ポリシー管理者の負担が少なくなり、ネットワークシステム８００の管理コストを低減できる。また、ポリシー管理者の入力ミスなどによりポリシー違反を見過ごす危険が減少するので、ネットワークシステム８００の安全性を高めることができる。

以上説明したセキュリティ運用管理システム１００（ポリシーベースセキュリティ運用管理システム）は、
ポリシーを管理する手段及びデータベース（ポリシーデータベース記憶部１２０）と、
ポリシーを基にしたセキュリティチェックの対象のグループ情報を管理する手段及びデータベース（対象グループデータベース記憶部１３０）と、
セキュリティチェックを行う対象の機器などの情報を管理する手段及びデータベース（対象情報データベース記憶部１４０）と、
特定の機器などに対して、ポリシーに基づくセキュリティチェックを行う手段（セキュリティチェック部１１０）とを備えることを特徴とする。

以上説明したセキュリティ運用管理システム１００は、
ポリシーを基にセキュリティチェックを行う対象のグループ情報を管理する手段（対象グループデータベース記憶部１３０）において、セキュリティチェック対象をグループ化するために、セキュリティチェック対象をデータベースから絞り込むための条件（抽出条件）を用いることを特徴とする。

以上のように、ポリシーデータベース（ポリシーデータベース記憶部１２０）がポリシーの情報を管理し、対象グループデータベース（対象グループデータベース記憶部１３０）がポリシーに割り当てるべき対象グループ情報と対象情報を検索するための条件を管理し、さらに、対象情報データベース（対象情報データベース記憶部１４０）が実際のセキュリティチェック対象の詳細な情報を管理することで、個々の情報を独立して管理することができる。それによって、対象情報データベースの情報に追加・変更があっても、ポリシーデータベースの情報に直接的な影響を及ぼさないため、上位セキュリティ管理組織で作成したポリシーを下位のセキュリティ管理組織へ配布する際に、上位セキュリティ管理組織は下位のセキュリティ管理組織内の情報システム構成等の対象情報を気にすることなくポリシーを配布することができる。

以上説明したセキュリティ運用管理システム１００は、
特定の機器などに対してポリシーに基づくセキュリティチェックを行う手段（セキュリティチェック部１１０）において、ポリシーに基づくセキュリティチェックの実施直前に管理するセキュリティチェック対象をデータベースから絞り込むための条件を基にして対象情報を取得することを特徴とする。

これにより、セキュリティチェック時に対象グループ内の条件を用いてチェック対象を検索、取得することで、最新の対象情報に基づくセキュリティチェックも可能となる。

以上のように、ポリシーに基づくセキュリティチェック対象をポリシーとは独立して予めグループ化し、グループ化した情報（対象グループＩＤ）を対象グループ情報としてポリシーとは別に管理することにより、動的にセキュリティポリシーに従ったシステム設定を行うことができるとともに、ある上位のセキュリティ管理組織で作成したポリシーを下位のセキュリティ管理組織や他の事業所等で稼動しているセキュリティ運用管理システムに展開する場合、その展開先の資産の管理状況やチェック対象情報システムに応じて、ポリシー内に記述されたセキュリティチェック対象の条件に変更する必要がなく、他の場所で稼動しているセキュリティ運用管理システムへのポリシーの展開・配布を容易となる。

実施の形態２．
実施の形態２について、図１７〜図１８を用いて説明する。

図１７は、この実施の形態におけるセキュリティ運用管理システム１００の機能ブロックの構成の一例を示す内部ブロック図である。
なお、実施の形態１で説明したセキュリティ運用管理システム１００と共通する部分については、同一の符号を付し、ここでは説明を省略する。

セキュリティ運用管理システム１００は、複数の対象情報データベース記憶部１４０ａ，１４０ｂを有する。
対象情報データベース記憶部１４０ａは属性記憶部１４１ａを、対象情報データベース記憶部１４０ｂは属性記憶部１４１ｂを有する。

実施の形態１で述べたように、既存の他のシステムが管理対象属性情報を記憶している場合があり、そのような場合、既存の他のシステムを、対象情報データベース記憶部１４０（属性記憶部１４１）として利用することにより、資源を有効に活用できる。
しかし、既存の他のシステムが記憶している管理対象属性情報だけでは、情報が不足している場合がある。
例えば、対象情報データベース記憶部１４０ａが既存の他のシステムである場合、対象情報データベース記憶部１４０ｂは、対象情報データベース記憶部１４０ａが記憶している情報だけでは不足する部分について、磁気ディスク装置９２０などの記憶装置を用いて、管理対象属性情報を記憶する。
あるいは、対象情報データベース記憶部１４０ａだけでなく、対象情報データベース記憶部１４０ｂも既存の他のシステムを利用して、両者が記憶した管理対象属性情報を利用できるようにしてもよい。

また、対象情報データベース記憶部１４０として既存の他のシステムを利用しない場合であっても、情報を管理しやすくしたり安全性を向上したりするため、属性記憶部１４１を複数に分ける場合がある。例えば、属性記憶部１４１が記憶した管理対象属性情報の一部を公開するような場合である。

この実施の形態におけるセキュリティ運用管理システム１００は、例えば上記のような理由により、複数の属性記憶部１４１ａ，１４１ｂを有する。

図１８は、この実施の形態における抽出条件記憶部１３３が記憶している抽出条件情報５１０の具体例を示す図である。
なお、実施の形態１で説明した抽出条件情報５１０と共通する部分については、同一の符号を付し、ここでは説明を省略する。

抽出条件５１３は、例えば、「（管理者役職．対象情報データベースＡ＝課長 ｏｒ 管理者役職．対象情報データベースＡ ＝次長 ｏｒ 管理者役職．対象情報データベースＡ ＝部長） ａｎｄ 機器種別．対象情報データベースＢ＝ＰＣ」などの可変長文字列データである。この例において、「．対象情報データベースＡ」は、その管理対象属性情報を属性記憶部１４１ａが記憶していることを示し、「．対象情報データベースＢ」は、属性記憶部１４１ｂが記憶していることを示す。例えば、管理者の役職など人事関係の管理対象属性情報は、属性記憶部１４１ａが記憶し、機器の種別など資産関係の管理対象属性情報は、属性記憶部１４１ｂが記憶しているとする。このように、抽出条件５１３に、どちらの属性記憶部１４１を参照すべきかを示す情報を記述することにより、管理対象属性情報に素早くアクセスすることができる。また、属性記憶部１４１ａと属性記憶部１４１ｂが同じ管理対象属性情報を重複して記憶している場合には、どちらにアクセスすればよいかが明確になる。

この実施の形態におけるセキュリティ運用管理システム１００（管理装置）は、複数の属性記憶部１４１ａ，１４１ｂを有することを特徴とする。
これにより、既存の他のシステムが記憶している管理対象属性情報を流用しやすくなり、資源を有効に活用できる。また、管理対象属性情報を分割して記憶することにより、安全性を向上することができる。

例えば、属性記憶部１４１ａは、一般的なユーザ情報（ユーザ名や所属、役職など）を記憶し、属性記憶部１４１ｂは、ＰＣやサーバ、ネットワーク機器などの機器情報を記憶するといった運用が可能である。

この実施の形態におけるセキュリティ運用管理システム１００（管理装置）は、抽出条件記憶部１３３が記憶した管理対象抽出条件情報（抽出条件情報５１０）に、管理対象属性情報を記憶した属性記憶部を指示する記述が含まれることを特徴とする。
これにより、複数の属性記憶部１４１ａ，１４１ｂのいずれかか記憶した管理対象属性情報に対するアクセスが容易になり、複数の属性記憶部１４１ａ，１４１ｂの複数が記憶した管理対象属性情報を参照する場合に参照先を一意に定めることができる。

以上説明したセキュリティ運用管理システム１００は、対象グループデータベース記憶部１３０が記憶した抽出条件情報５１０の抽出条件５１３に、チェック対象の項目の条件だけでなく、対象情報データベース記憶部を特定するキーワードが記述されていることを特徴とする。

以上のように、対象情報を管理する各々の対象情報データベース（対象情報データベース記憶部１４０）のテーブル構造やデータ構造を把握しておき、それを基にした条件を対象グループテーブル（対象グループデータベース記憶部１３０）に定義することで、柔軟なチェック対象リストの取得が可能となる。例えば、従来から情報システム内で稼動している資産管理システムやユーザ情報管理システムなどを利用したチェック対象リストの取得も可能となる。

実施の形態３．
実施の形態３について、図１９〜図２１を用いて説明する。

図１９は、この実施の形態におけるネットワークシステム８００ａ，８００ｂの全体構成の一例を示すシステム構成図である。
ネットワークシステム８００ａ及びネットワークシステム８００ｂは、実施の形態１または実施の形態２で説明したネットワークシステム８００と同様のシステムである。
ネットワークシステム８００ａは、セキュリティ運用管理システム１００ａ、クライアント装置２００ａ〜２００ｃ、ネットワーク３００ａを有する。
ネットワークシステム８００ｂは、セキュリティ運用管理システム１００ｂ、クライアント装置２００ｄ〜２００ｆ、ネットワーク３００ｂを有する。
ネットワークシステム８００ａとネットワークシステム８００ｂとは、共通のセキュリティポリシーのもとに運用するシステムであり、互いに独立して存在している。例えば、ネットワークシステム８００ａとネットワークシステム８００ｂとは、離れた事業所内で独立に運用されている社内ＬＡＮである。なお、ネットワークシステム８００ａとネットワークシステム８００ｂとは、インターネット９４０などを介して接続可能であってもよい。

図２０は、この実施の形態におけるセキュリティ運用管理システム１００ａ及びセキュリティ運用管理システム１００ｂの機能ブロックの構成の一例を示す内部ブロック図である。
なお、実施の形態１で説明したセキュリティ運用管理システム１００と共通する部分については、同一の符号を付し、ここでは説明を省略する。

セキュリティ運用管理システム１００ａ及びセキュリティ運用管理システム１００ｂは、更に、ポリシー書出部１５０、ポリシー読込部１６０を有する。
なお、セキュリティ運用管理システム１００ａ及びセキュリティ運用管理システム１００ｂの双方が、ポリシー書出部１５０及びポリシー読込部１６０を両方とも有する必要はなく、例えば、セキュリティ運用管理システム１００ａはポリシー書出部１５０を有し、ポリシー読込部１６０を有さず、セキュリティ運用管理システム１００ｂはポリシー書出部１５０を有さず、ポリシー読込部１６０を有する構成としてもよい。

ポリシー書出部１５０は、ＣＰＵ９１１などの処理装置を用いて、ポリシーデータベース記憶部１２０が記憶したポリシー定義情報５３０、設定ポリシー情報５４０、実行アクション情報５５０などを他のセキュリティ運用管理システムに配布可能な形式に変換する。ポリシー書出部１５０は、ＣＰＵ９１１などの処理装置を用いて、変換したデータを配布データとして出力する。
ここで、配布可能な形式とは、例えば、ＸＭＬ（Ｅｘｔｅｎｓｉｂｌｅ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）やＣＳＶ（Ｃｏｍｍａ Ｓｅｐａｒａｔｅｄ Ｖａｌｕｅｓ）などの形式で記述されたファイルなどである。なお、第三者による盗聴や改変を避けるため、暗号化や電子署名などがされていてもよい。

ポリシー書出部１５０が出力した配布データは、例えば、ＣＤＤ９０５がＣＤＲＯＭに書き込むなどして、記録媒体に記録され、他のセキュリティ運用管理システムに配布される。あるいは、ポリシー書出部１５０が出力した配布データは、電子メールに添付して送信したり、ＦＴＰ（Ｆｉｌｅ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）により送信したりすることにより、他のセキュリティ運用管理システムに配布されてもよい。

ポリシー読込部１６０は、ＣＰＵ９１１などの処理装置を用いて、他のセキュリティ運用管理システムのポリシー書出部１５０が出力した配布データを、記録媒体や電子メールの添付ファイルなどから取得する。
ポリシー読込部１６０は、ＣＰＵ９１１などの処理装置を用いて、取得した配布データに基づいて、ポリシー定義情報５３０、設定ポリシー情報５４０、実行アクション情報５５０などを復元し、復元したポリシー定義情報５３０、設定ポリシー情報５４０、実行アクション情報５５０などを出力する。
ポリシーデータベース記憶部１２０は、ＣＰＵ９１１などの処理装置を用いて、ポリシー読込部１６０が出力したポリシー定義情報５３０、設定ポリシー情報５４０、実行アクション情報５５０などを入力する。ポリシーデータベース記憶部１２０は、磁気ディスク装置９２０などの記憶装置を用いて、入力したポリシー定義情報５３０、設定ポリシー情報５４０、実行アクション情報５５０などを記憶する。

ここで、ポリシー書出部１５０が、他のセキュリティ運用管理システムに配布可能な形式に変換する元の情報は、上記のほか、アクション定義情報５６０などを含んでもよいが、抽出条件情報５１０及び条件対応情報５２０は含まないものとする。同じセキュリティポリシーを適用する場合であっても、セキュリティ運用管理システム１００ａ及びセキュリティ運用管理システム１００ｂそれぞれに固有の属性などが存在するため、適用対象であるグループの抽出条件が異なる場合があるからである。

そのため、配布データを取得した側のセキュリティ運用管理システムのポリシー管理者は、取得したポリシー定義情報５３０に含まれるポリシー名称５３２などを参照して、そのポリシー定義情報５３０に対応づけるべきグループやその抽出条件を判断する。ポリシー管理者は、キーボード９０２などの入力装置を操作して、そのポリシー定義情報５３０に対応づけるべきグループやその抽出条件に関する情報を入力し、セキュリティ運用管理システム１００が、ＣＰＵ９１１などの処理装置を用いて、入力された情報に基づいて、抽出条件情報５１０や条件対応情報５２０を生成し、対象グループデータベース記憶部１３０が、磁気ディスク装置９２０などの記憶装置を用いて記憶する。

図２１は、この実施の形態におけるセキュリティ運用管理システム１００ａとセキュリティ運用管理システム１００ｂとがセキュリティポリシーを共有するポリシー共有処理の流れの一例を示すフローチャート図である。
なお、この例では、セキュリティ運用管理システム１００ａが記憶したセキュリティポリシーをセキュリティ運用管理システム１００ｂに配布することにより、セキュリティポリシーを共有する。

セキュリティ運用管理システム１００ａは、ポリシー取得工程Ｓ５１、配布データ生成工程Ｓ５２、配布データ出力工程Ｓ５３を行う。この一連の処理を、エクスポート処理と呼ぶ。
ポリシー取得工程Ｓ５１において、セキュリティ運用管理システム１００ａのポリシー書出部１５０は、ＣＰＵ９１１などの処理装置を用いて、ポリシーデータベース記憶部１２０が記憶したポリシー定義情報５３０など、セキュリティ運用管理システム１００ｂに配布する対象となる情報を取得する。
配布データ生成工程Ｓ５２において、セキュリティ運用管理システム１００ａのポリシー書出部１５０は、ＣＰＵ９１１などの処理装置を用いて、ポリシー取得工程Ｓ５１で取得した情報を変換して、配布データを生成する。
配布データ出力工程Ｓ５３において、セキュリティ運用管理システム１００ａのポリシー書出部１５０は、ＣＰＵ９１１などの処理装置を用いて、配布データ生成工程Ｓ５２で生成した配布データを、記録媒体などに出力する。

配布データは、記録媒体の運搬やインターネット９４０を介した送信などの手段により、セキュリティ運用管理システム１００ｂに配布される。

セキュリティ運用管理システム１００ｂは、配布データ取得工程Ｓ６１、ポリシー復元工程Ｓ６２、ポリシー記憶工程Ｓ６３、グループ記憶工程Ｓ６４を行う。この一連の処理を、インポート処理と呼ぶ。
配布データ取得工程Ｓ６１において、セキュリティ運用管理システム１００ｂのポリシー読込部１６０は、ＣＰＵ９１１などの処理装置を用いて、記憶媒体などから配布データを取得する。
ポリシー復元工程Ｓ６２において、セキュリティ運用管理システム１００ｂのポリシー読込部１６０は、ＣＰＵ９１１などの処理装置を用いて、配布データ取得工程Ｓ６１で取得した配布データを解析し、ポリシー定義情報５３０などを復元する。
ポリシー記憶工程Ｓ６３において、セキュリティ運用管理システム１００ｂのポリシーデータベース記憶部１２０は、磁気ディスク装置９２０などの記憶装置を用いて、ポリシー復元工程Ｓ６２でポリシー読込部１６０が復元したポリシー定義情報５３０などを記憶する。
グループ記憶工程Ｓ６４において、対象グループデータベース記憶部１３０は、ＣＰＵ９１１などの処理装置を用いて、ポリシー復元工程Ｓ６２でポリシー読込部１６０が復元したポリシー定義情報５３０などに対応するグループの抽出条件などの情報を入力し、ＣＰＵ９１１などの処理装置を用いて、入力した情報に基づいて、抽出条件情報５１０などを生成し、磁気ディスク装置９２０などの記憶装置を用いて、生成した抽出条件情報５１０などを記憶する。

これにより、セキュリティ運用管理システム１００ａとセキュリティ運用管理システム１００ｂとに同じセキュリティポリシーを適用することができる。

以上説明したセキュリティ運用管理システム１００は、
ポリシーを別のポリシーベースセキュリティ運用管理システムへ配布する際に、ポリシー内のセキュリティチェック対象情報を除いたポリシー情報を配布可能であることを特徴とする。

以上のように、ポリシーを電子データとして他のセキュリティ運用管理システムへ配布することが可能である。その際に、ポリシーと対象グループ情報が分かれて管理されているため、配布先のセキュリティ運用管理システムにおける対象グループ情報を割り当てることが容易に可能となる。

実施の形態１におけるネットワークシステム８００の全体構成の一例を示すシステム構成図。 実施の形態１におけるセキュリティ運用管理システム１００及びクライアント装置２００ａ〜２００ｃの外観の一例を示す図。 実施の形態１におけるセキュリティ運用管理システム１００及びクライアント装置２００ａ〜２００ｃのハードウェア資源の一例を示す図。 実施の形態１におけるセキュリティ運用管理システム１００の機能ブロックの構成の一例を示す内部ブロック図。 実施の形態１におけるセキュリティ運用管理システム１００が記憶する情報の一例を示す図。 実施の形態１におけるポリシー記憶部１２１が記憶したポリシー定義情報５３０の具体例を示す図。 実施の形態１におけるポリシー記憶部１２１が記憶した設定ポリシー情報５４０の具体例を示す図。 実施の形態１における実行アクション記憶部１２２が記憶した実行アクション情報５５０の具体例を示す図。 実施の形態１における実行アクション記憶部１２２が記憶したアクション定義情報５６０の具体例を示す図。 実施の形態１における抽出条件記憶部１３３が記憶している抽出条件情報５１０の具体例を示す図。 実施の形態１における条件対応記憶部１３２が記憶している条件対応情報５２０の具体例を示す図。 実施の形態１における属性記憶部１４１が記憶している属性情報５８０の具体例を示す図。 実施の形態１における属性記憶部１４１が記憶している属性定義情報５７０の具体例を示す図。 実施の形態１におけるセキュリティ運用管理システム１００がネットワークシステム８００のセキュリティをチェックするセキュリティチェック処理の流れの一例を示すフローチャート図。 実施の形態１における抽出条件取得部１１２が抽出条件情報５１０を取得する抽出条件取得工程Ｓ１３の処理の詳細の一例を示すフローチャート図。 実施の形態１における管理対象抽出部１１３が抽出条件５１３を満たす管理対象のリストを取得する対象リスト取得工程Ｓ１４の処理の詳細の一例を示すフローチャート図。 実施の形態２におけるセキュリティ運用管理システム１００の機能ブロックの構成の一例を示す内部ブロック図。 実施の形態２における抽出条件記憶部１３３が記憶している抽出条件情報５１０の具体例を示す図。 実施の形態３におけるネットワークシステム８００ａ，８００ｂの全体構成の一例を示すシステム構成図。 実施の形態３におけるセキュリティ運用管理システム１００ａ及びセキュリティ運用管理システム１００ｂの機能ブロックの構成の一例を示す内部ブロック図。 実施の形態３におけるセキュリティ運用管理システム１００ａとセキュリティ運用管理システム１００ｂとがセキュリティポリシーを共有するポリシー共有処理の流れの一例を示すフローチャート図。

符号の説明

１００ セキュリティ運用管理システム、１１０ セキュリティチェック部、１１１ ポリシー取得部、１１２ 抽出条件取得部、１１３ 管理対象抽出部、１１４ 状態取得部、１１５ ポリシー違反抽出部、１１６ アクション取得部、１１７ アクション実行部、１２０ ポリシーデータベース記憶部、１２１ ポリシー記憶部、１２２ 実行アクション記憶部、１３０ 対象グループデータベース記憶部、１３２ 条件対応記憶部、１３３ 抽出条件記憶部、１４０ 対象情報データベース記憶部、１４１ 属性記憶部、１５０ ポリシー書出部、１６０ ポリシー読込部、２００ クライアント装置、３００ ネットワーク、５１０ 抽出条件情報、５１１，５２３ グループＩＤ、５１２ グループ名称、５１３ 抽出条件、５２０ 条件対応情報、５２１ 対応ＩＤ、５２２，５３１，５４２ ポリシーＩＤ、５３０ ポリシー定義情報、５３２ ポリシー名称、５３３ ステータス、５４０ 設定ポリシー情報、５４１，５５２ 設定ＩＤ、５４３ 設定名称、５４４ セキュリティ条件、５５０ 実行アクション情報、５５１ アクションＩＤ、５５３，５６１ プログラムＩＤ、５５４ パラメータ、５５５ 名称、５５６ 値、５６０ アクション定義情報、５６２ アクション名称、５６３ プログラム呼出し名、５７０ 属性定義情報、５７１，５８３ 属性ＩＤ、５７２ 属性タイプ、５７３ 対象種別、５７４ 属性名称、５８０ 属性情報、５８１ 項目ＩＤ、５８２ 対象ＩＤ、５８４ 属性値、８００ ネットワークシステム、９０１ 表示装置、９０２ キーボード、９０３ マウス、９０４ ＦＤＤ、９０５ ＣＤＤ、９０６ プリンタ装置、９０７ スキャナ装置、９１０ システムユニット、９１１ ＣＰＵ、９１２ バス、９１３ ＲＯＭ、９１４ ＲＡＭ、９１５ 通信装置、９２０ 磁気ディスク装置、９２１ ＯＳ、９２２ ウィンドウシステム、９２３ プログラム群、９２４ ファイル群、９３１ 電話器、９３２ ファクシミリ機、９４０ インターネット、９４１ ゲートウェイ、９４２ ＬＡＮ。

Claims (5)

1. 情報を記憶する記憶装置と、情報を処理する処理装置とを有し、管理対象がセキュリティポリシーを満たすよう管理する管理装置において、
   セキュリティポリシー記憶部と、属性記憶部と、抽出条件記憶部と、実行アクション記憶部と、管理対象抽出部と、状態取得部と、ポリシー違反抽出部と、アクション実行部とを有し、
   上記セキュリティポリシー記憶部は、上記記憶装置を用いて、上記管理対象が満たすべき条件を記述したセキュリティ条件情報を記憶し、
   上記属性記憶部は、上記記憶装置を用いて、上記管理対象の属性を記述した管理対象属性情報を記憶し、
   上記抽出条件記憶部は、上記記憶装置を用いて、上記セキュリティ条件情報に記述された条件を満たすべき管理対象を抽出する条件を記述した管理対象抽出条件情報を記憶し、
   上記実行アクション記憶部は、上記記憶装置を用いて、上記セキュリティ条件情報に記述された条件を上記管理対象が満たしていない場合に実行すべきアクションを記述した実行アクション情報を記憶し、
   上記管理対象抽出部は、上記処理装置を用いて、上記属性記憶部が記憶した管理対象属性情報に基づいて、上記抽出条件記憶部が記憶した管理対象抽出条件情報に記述された条件を満たす管理対象を抽出し、
   上記状態取得部は、上記処理装置を用いて、上記管理対象抽出部が抽出した管理対象について、上記管理対象の状態を取得し、
   上記ポリシー違反抽出部は、上記処理装置を用いて、上記状態取得部が取得した状態に基づいて、上記セキュリティポリシー記憶部が記憶したセキュリティ条件情報に記述された条件を満たしていない管理対象を抽出し、
   上記アクション実行部は、上記処理装置を用いて、上記ポリシー違反抽出部が抽出した管理対象について、上記実行アクション記憶部が記憶した実行アクション情報に記述されたアクションを実行する
   ことを特徴とする管理装置。
2. 上記管理装置は、更に、条件対応記憶部と、抽出条件取得部とを有し、
   上記セキュリティポリシー記憶部は、上記記憶装置を用いて、複数のセキュリティ条件情報を記憶し、
   上記抽出条件記憶部は、上記記憶装置を用いて、複数の管理対象抽出条件情報を記憶し、
   上記条件対応記憶部は、上記記憶装置を用いて、上記セキュリティポリシー記憶部が記憶した複数のセキュリティ条件情報のうち上記抽出条件記憶部が記憶した複数の管理対象抽出条件情報それぞれに記述された条件により抽出される管理対象が満たすべき条件を記述したセキュリティ条件情報と、上記管理対象抽出条件情報との対応づけを記述した条件対応情報を記憶し、
   上記抽出条件取得部は、上記処理装置を用いて、上記条件対応記憶部が記憶した条件対応情報に基づいて、上記セキュリティポリシー記憶部が記憶した複数のセキュリティ条件情報それぞれに記述された条件を満たすべき管理対象を抽出する条件を記述した管理対象抽出条件情報を、上記抽出条件記憶部が記憶した複数の管理対象抽出条件情報のうちから取得し、
   上記管理対象抽出部は、上記処理装置を用いて、上記属性記憶部が記憶した管理対象属性情報に基づいて、上記セキュリティポリシー記憶部が記憶した複数のセキュリティ条件情報それぞれについて、上記抽出条件取得部が取得した管理対象抽出条件情報に記述された条件を満たす管理対象を抽出する
   ことを特徴とする請求項１に記載の管理装置。
3. 請求項１または請求項２に記載の管理装置と、
   上記管理装置の管理対象である対象装置と
   を備えることを特徴とするネットワークシステム。
4. 情報を記憶する記憶装置と情報を処理する処理装置とを有するコンピュータを、請求項１または請求項２に記載の管理装置として機能させることを特徴とするプログラム。
5. 情報を記憶する記憶装置と情報を処理する処理装置とを有する管理装置が、管理対象がセキュリティポリシーを満たすよう管理する管理方法において、
   上記記憶装置は、
   上記管理対象が満たすべき条件を記述したセキュリティ条件情報と、
   上記管理対象の属性を記述した管理対象属性情報と、
   上記セキュリティ条件情報に記述された条件を満たすべき管理対象を抽出する条件を記述した管理対象抽出条件情報と、
   上記セキュリティ条件情報に記述された条件を上記管理対象が満たしていない場合に実行すべきアクションを記述した実行アクション情報とを記憶し、
   上記処理装置は、
   上記記憶装置が記憶した管理対象属性情報に基づいて、上記記憶装置が記憶した管理対象抽出条件情報に記述された条件を満たす管理対象を抽出し、
   抽出した管理対象について、上記管理対象の状態を取得し、
   取得した状態に基づいて、上記記憶装置が記憶したセキュリティ条件情報に記述された条件を満たしていない管理対象を抽出し、
   抽出した管理対象について、上記記憶装置が記憶した実行アクション情報に記述されたアクションを実行する
   ことを特徴とする管理方法。

Images