JP5124525B2 - ファイルアクセス制御方法 - Google Patents

Description

本発明は、ファイルアクセス制御技術に関するものである。

企業や官公庁自治体などの組織では、情報の電子化が進展し、大量の電子ファイルが組織内に蓄積されている。また、いつでも、どこでも、これらの電子ファイルにアクセスできるような利便性の高い環境になっている。その一方で、内部者の不注意により、個人情報などの機密性の高いファイルが、インターネット上で漏洩するなど情報漏洩の問題が深刻化しており、その対策が急務となっている。

従来は、ファイルの機密性に応じて、情報にアクセスできるユーザを制限してきたが、今後は、さらに、アクセスできるユーザであったとしても、不適切な時間帯や場所であれば、ファイルに対するアクセスを制限するような運用が求められてくる。特に、セキュリティ対策が及びにくい組織外からのファイルアクセスは制限されるべきである。

場所によって、ファイルに対するアクセスを制限する方法として、ＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）や携帯電話の位置情報を利用し、ユーザの所在を特定し、ファイルアクセス制御する方法が考えられてきた。

例えば、特許文献１に開示の技術は、ユーザの所在情報として、携帯電話網の基地局の位置情報を利用している。ここでは、ユーザ認証及びユーザのアクセス元の場所情報に基づいて、ファイルに対するアクセス制御を実現している。

また、特許文献２に開示の技術は、入退室管理システムを使って、ユーザの所在居室を特定している。ここでは、所在居室に応じて、ファイルアクセスを許すかどうかを判定している。

特開２００８−２５７４１２号公報 特開２００８−２８２１８２号公報

上記の特許文献１及び特許文献２に開示の技術によれば、ユーザの場所に応じて、ファイルへのアクセス制御を実行するための判定を行うことが可能である。ところが、情報へのアクセス制御を確実に実施することができるとは限らない状況がありうる。

例えば、携帯電話やＧＰＳを使った位置特定方法は、携帯電話網の圏外やＧＰＳ信号が到達しない領域での信頼性に乏しく、場合によっては、許されない情報アクセスを許可してしまう可能性がある。

また、上記の特許文献２は、ユーザの所在を判定し、アクセス制御の判定を行う装置とアクセス制御を実施する装置が、通信ネットワークが常時接続していることを前提としている。そのため、アクセス制御を実施する装置が、アクセス制御の判定を行う装置と通信できない場合、本来許されないアクセスが可能になってしまうという問題がある。

本発明は、上記課題を解決する、つまり、ユーザの場所によるファイルアクセス制御を確実に実施できるファイルアクセス制御方法を提供する。

より具体的には、本発明は、以下の特徴を備えるアクセス制御を実施することにより、上記の課題を解決する。すなわち、本発明は、入退室管理システム、ユーザの属性情報及びにファイルへのアクセスポリシを管理するファイルアクセスポリシ管理装置と、ファイルアクセスポリシを実行するクライアントシステムと、を含んで構成されるシステムにおいて、
クライアントシステムは、予め定義されたイベント毎に、ポリシに準拠しているのかどうかの判定を依頼するポリシ準拠判定依頼メッセージをファイルアクセスポリシ管理装置へ送信し、
ファイルアクセスポリシ管理装置は、ポリシ準拠判定依頼メッセージを受信すると、予め定義されたポリシ準拠判定ルールを参照し、判定を依頼されたイベントが、予め定めたポリシに準拠しているのかどうかを判定し、ポリシ準拠判定応答メッセージを作成し、クライアントシステムへ送信し、
クライアントシステムは、ポリシ準拠判定依頼メッセージの送信から予め定めた時間以内に、ポリシ準拠判定応答メッセージを受信した場合に、当該ポリシ準拠判定応答メッセージ内容に従った動作を実施し、ポリシ準拠判定依頼メッセージの送信から予め定めた時間内に、ポリシ準拠判定応答メッセージを受信できない場合は、予め定義されたデフォルトポリシが示すアクセス制御を実行することを特徴とする。

なお、イベントとは、クライアントシステムを操作するユーザによるファイル操作の受付け、あるいは、ファイルアクセスポリシ管理装置からのポリシ実施命令メッセージの受付け、のいずれか一つ以上であってもよい。

また、ポリシ準拠判定依頼メッセージには、クライアントシステムを操作するユーザを識別するユーザ識別情報、操作対象となるファイルの機密性、ファイル状態のいずれか一つ以上が含まれてもよい。

また、ファイルアクセスポリシ管理装置は、ユーザの属性情報及びファイルの属性情報に基づいてファイルアクセス可否の判定を実施するものであってもよい。

また、ユーザの属性情報は、ユーザの所属、職位、または、ユーザの現在の所在地のいずれか一つ以上を含み、ファイルの属性情報は、ファイルの機密性、ファイルの作成日時、または、ファイルの作成者のいずれか一つ以上を含んでもよい。

また、クライアントシステムは、予め定めた時間内に、ポリシ準拠判定応答メッセージを受信できないと、ポリシ準拠判定依頼メッセージをメッセージ送信キューに追加し、予め定めた他の時間後に、ポリシ準拠判定応答メッセージを再送してもよい。

また、アクセス制御とは、（１）ファイルのオープン、クローズ、実行のいずれか一つ以上のファイル操作制御であり、デフォルトポリシは、ファイルのクローズを含む、または、（２）ファイルを扱うアプリケーションが提供する機能の制御であり、デフォルトポリシは、ファイルのクローズを含む、または、（３）ファイルの暗号化、または復号化であり、デフォルトポリシは、ファイルの暗号化、または復号化に用いる鍵情報の破棄を含む、のいずれであってもよい。

ファイルへのアクセス制御を、ユーザの所在場所に応じて実施するクライアントシステムに、不具合が発生した場合でも、情報漏えいの危険性を小さくすることができる。

第１実施例に係わるファイルアクセス制御システムの機能構成を例示する図。 リモート管理サーバ装置、ファットクライアント装置、ファイルアクセスポリシ管理装置のハードウェア構成を例示する図。 シンクライアント装置のハードウェア構成を例示する図。 ファイルアクセスポリシのデータ構造を例示する図。 ユーザ属性情報のデータ構造を例示する図。 ポリシ準拠判定依頼メッセージのデータ構造を例示する図。 ポリシ準拠判定応答メッセージ、あるいは、ポリシ実施命令メッセージのデータ構造を例示する図。 ポリシ実施状態メッセージのデータ構造を例示する図。 ファイル操作状況のデータ構造を例示する図。 デフォルトポリシのデータ構造を例示する図。 リモート管理サーバ装置やファットクライアント装置におけるファイルアクセスポリシ動作処理フローを例示する図。 リモート管理サーバ装置やファットクライアント装置における通信メッセージ処理フローを例示する図。 ファイルアクセスポリシ管理装置におけるイベント処理フローを例示する図。 ファイルアクセスポリシ管理装置におけるクライアントシステムのイベント処理フローを例示する図。 第２実施例に係わるファイルアクセス制御システムのシステム構成を例示する図。

以下、本発明を実施するための形態を図面に基づいて詳細に説明する。

図１は、実施例１として説明する情報アクセス制御システムの構成を示すものである。ファイルアクセス制御システムは、入退室管理システム１３０、ファイルアクセスポリシ管理装置１４０、少なくとも一つ以上のクライアントシステム１００及び１１０、通信ネットワーク１６０を含んで構成される。

入退室管理システム１３０は、居室へ入るためのドアやゲートの開閉を制御するシステムである。居室を出入りするユーザを認証し、ドアの開閉を実施する。ユーザ認証の方法としては、個人に貸与されたＩＣカードに含まれる個人識別情報を利用する方法、個人の生体情報を利用する方法がある。

また、入退室管理システム１３０は、居室毎のユーザ在室状況も管理している。ユーザが居室を出入りする毎に、時刻情報、ユーザ識別情報、ドア・ゲート出入りイベント情報、居室情報などが含まれるログを作成し、蓄積する。また、そのログを後述するファイルアクセスポリシ管理装置１４０へ送信する。

ファイルアクセスポリシ管理装置１４０は、ポリシ管理部１４４を備える装置である。ポリシ管理部１４４は、ワープロファイル、プレゼンテーションファイル、表計算ファイル、などのファイルへのアクセスポリシをポリシ情報１４８として管理する。アクセスポリシとは、情報を利用するユーザの属性情報、及びファイルに関連付けられた属性情報に基づいた情報へのポリシ準拠判定ルールを示す。ポリシ管理部１４４は、例えば、ＲＦＣ２２５１で規定されるＬＤＡＰを実装したディレクトリサーバで実現することができる。

ユーザの属性情報とは、ユーザ個人を特定する識別情報、ユーザの職位、ユーザが所属する組織情報、ユーザの最新の所在場所（ユーザの所在居室）、等に関する情報である。ファイルに関連付けられた属性情報とは、ファイルの分類、ファイルの機密性、ファイルの作成日時、ファイルの作成者、等に関する情報である。

ＩＤ情報管理部１４２は、ユーザの属性情報及びファイルの属性情報をＩＤ情報１５２として管理する。ユーザの属性情報の例としては、ユーザの所属部署の情報やユーザの所在情報がある。

ユーザの属性情報は、ファイルアクセスポリシ管理装置１４０の管理者により、作成されたり、更新されたりする。また、入退室管理システム１３０から送信されるログに含まれた情報に基づいて更新されることもある。

ファイルの属性情報は、ファイルの作成時に、ファイル作成者が手動で設定したもの、あるいは、予め決められたルールに従い、クライアントシステム１００や１１０が設定したものである。ファイルの属性情報は、ＩＤ情報１５２に格納されるだけでなく、ファイルシステムの拡張領域やファイルの中に含まれてもよい。

また、ファイルアクセスポリシ管理装置１４０に含まれるポリシ管理部１４４は、後述するクライアントシステムから送信されるメッセージを受信し、クライアントシステム内で操作されるファイル操作情報１５０を管理する。

ファイルアクセスポリシ管理装置１４０は、さらにポリシ準拠判定部１４６を備える。ポリシ準拠判定部１４６は、ポリシ情報１４８、ファイル操作情報１５０、ＩＤ情報１５２を参照し、ファイルアクセスポリシに準拠しているかどうかを判定する。

クライアントシステムは、ユーザ認証を実施後に、クライアントシステム操作者に対して、サービスを提供する。具体的には、ユーザの操作を受け付けて、ワープロファイル、表計算ファイル、プレゼンテーションファイル、などのファイル情報（ファイル１２４）の作成・編集・表示などのサービスを提供する。

クライアントシステムには、以下の２つの形態がある。実施例１では、シンクライアントタイプに基づいて説明を行う。ファットクライアントタイプは、後述する実施例２にて説明する。

（１）シンクライアントタイプ：シンクライアント装置１００とリモートサーバ装置１１０を含んで構成される。

（２）ファットクライアントタイプ：ファットクライアント装置を含んで構成される。

シンクライアントタイプとは、シンクライアント装置１００と呼ばれる装置とリモートサーバ装置１１０と呼ばれる装置が連携して動作する。

シンクライアント装置１００は、ユーザインタフェース専用の機能に特化している。シンクライアント装置１００に含まれるリモートデスクトップクライアントプログラム１０２は、キーボードやマウス操作などの入力情報を受け取ると、その情報をリモートサーバ装置に送信する。リモートサーバ装置１１０の構成要素であるリモートデスクトップサーバプログラム１１８は、受け取った入力情報に基づき、アプリケーション１１２のサービス処理を実行し、実行結果となる画面情報をシンクライアント装置１００に送信する。シンクライアント装置１００は、受け取った画面情報に基づいて、ユーザに提示する画面を更新する。リモートデスクトップクライアントプログラム１０２は、繰り返し（例えば定期的に）リモートデスクトップサーバとの接続状態を確認する。接続できない状態であると、画面をブラックアウトする。

シンクライアント装置１００とリモートサーバ装置１１０は、設置場所に違いがある。リモートサーバ装置１１０は、組織内の専用のコンピュータルームに設置される。一方、シンクライアント装置は、組織内の一般居室に設置されるデスクトップ型のＰＣだけでなく、組織外に持出すことが可能なノートＰＣやスマートフォンなどのモバイル型の装置も対象とする。このように設置場所に対して考え方が違うため、シンクライアント装置１００とリモートサーバ装置１１０の間の通信環境は、様々な形態がありうる。例えば、信頼性の高い有線LAN、屋外の通信エリアに制限のある無線通信、低速帯域かつ信頼性の低い衛星回線などが考えられる。

リモートサーバ装置１１０のポリシ管理部１１４は、ファイルアクセスポリシ管理装置１４０と通信ネットワーク１６０を通じて連携を行う。ポリシ管理部１１４は、ファイルアクセスポリシ管理装置１４０に問い合わせる、あるいは、ファイルアクセスポリシ管理装置１４０からの通知により、ファイルへのアクセス可否を判定する。ポリシ実行部１１６は、判定結果を踏まえて、ファイルへのアクセスポリシを実施する。ポリシ管理部は、ファイル操作状態をファイル操作情報１２２として管理する。また、リモートデスクトップサーバプログラム１１８は、ファイルの属性をファイルアクセスポリシ管理装置１４０へ通知する。

リモートサーバ装置１１０のポリシ管理部１１４は、予め設定されたポリシ情報１２０を管理する。ここには、ファイルアクセスポリシ管理装置１４０に対するファイルアクセス可否の問合せ回答が受信できない場合のアクセスポリシルールが格納される。

図２は、ファイルアクセスポリシ管理装置１４０とリモートサーバ装置１１０のハードウェア構成例である。

これらの装置は、中央演算装置（ＣＰＵ）２０２、キーボードやマウスなどの入力装置２１０、ハードディスクなどの外部記憶装置２０６や、揮発性の半導体メモリ（ＲＡＭ）２０４などの記憶装置、ＣＲＴディスプレイ、液晶ディスプレイ、プリンタなどの出力装置２１２、光磁気メディアなどの記憶媒体２１６を読み書きするための外部メディアインタフェース２１４、通信用の通信インタフェース２０８、がバスなどの内部通信線２５０で接続された構成を持つ汎用的なコンピュータ機器を用いて実現できる。もちろん、コンピュータ機器に限るわけではなく、ユーザに対する入力装置と出力装置、そして通信装置を備えた計算機であれば使用可能である。

通信ネットワーク１６０は、公衆網、インターネット、ＩＳＤＮ、専用線、ＬＡＮなどの有線網や移動通信用基地局や通信用人工衛星を利用した無線網などの通信ネットワークで実現できる。但し、入退室管理システム１３０、ファイルアクセスポリシ管理装置１４０、リモートサーバ装置１１０の間の通信では、信頼性の高い常時接続の通信ネットワークを用いるものとする。一方、組織外持ち出しが容易に可能なシンクライアント装置１００とリモートサーバ装置１１０の間は、信頼性が低く接続が不安定な通信ネットワークも含むものとする。

なお、各装置は、予め装置に設定された通信先相手となる他の装置アドレスを用いて、通信先と接続し、通信を行う。

以上の各装置の各機能や各処理部や、以下に説明する処理内容は、それぞれのＣＰＵ２０２が外部記憶装置２０６に格納されたプログラムを実行することにより、具現化される。また、各プログラムは、予め各外部記憶装置２０６に格納されていても良いし、必要に応じて、当該装置が利用可能な、着脱可能な記憶媒体２１６や通信媒体である通信ネットワーク１６０または通信ネットワーク１６０上を伝搬する搬送波やデジタル信号を介して、他の装置から導入されても良い。

図３は、シンクライアント装置１００のハードウェア構成例である。

シンクライアント装置１００は、中央演算装置（ＣＰＵ）３０２、キーボードやマウスなどの入力装置３１０、揮発性の半導体メモリ（ＲＡＭ）３０４などの記憶装置、不揮発性の半導体メモリ（ＲＯＭ）３０６、ＣＲＴディスプレイ、液晶ディスプレイ、プリンタなどの出力装置３１２、通信用の通信インタフェース２０８、がバスなどの内部通信線３５０で接続された構成を持つコンピュータ機器を用いて実現できる。通信ネットワーク１６０は、公衆網、インターネット、ＩＳＤＮ、専用線、ＬＡＮなどの有線網や移動通信用基地局や通信用人工衛星を利用した無線網などの通信ネットワークで実現できる。

なお、シンクライアント装置１００は、予め装置に設定された通信先相手となるリモートサーバ装置１１０の装置アドレスを用いて、通信先と接続し、通信を行う。

以下に説明するシンクライアント装置１００の動作は、ＣＰＵ３０２がＲＯＭ３０６に格納されたプログラムを実行することにより、具現化される。

図４は、ファイルアクセスポリシ管理装置１４０が管理するポリシ情報１４８、すなわち、ポリシ準拠判定ルールの一例である。データベースとして実現することができる。ファイル区分カラム４０２は、ファイルの属性の一つである機密性を示す情報が格納される。閲覧可能区域カラム４０４は、ファイル区分に該当するファイルを閲覧してもよい居室を示す場所識別情報が含まれる。この場所識別情報は、入退室管理システム１３０にて管理される。ポリシ準拠判定部１４６は、このポリシ情報１４８を参照することで、ファイルへのアクセス可否を判定することができる。

図５は、ファイルアクセスポリシ管理装置１４０が管理するＩＤ情報１５２の一例である。ディレクトリサーバとして実現することができる。ノード識別情報５０２は、ディレクトリサーバ内で一意となるノードの番号である。このノードの配下にユーザ属性情報、あるいは、ファイルの属性情報が格納される。図５は、ユーザ属性情報の例を示す。

ユーザ識別情報５０４は、組織内で固有なユーザ識別情報を表す。入退室管理システム１３０、ファイルポリシ管理装置１４０、シンクライアント装置１００、リモートサーバ装置１１０は、ユーザ識別情報を共有し、ユーザ識別・ユーザ認証を実行する。ユーザ所属情報５０６とユーザ職位情報５０８は、ユーザが所属する組織部門と肩書きをそれぞれ示す。図４で示したポリシ情報１４８に、これらのユーザ所属情報５０６やユーザ役職情報５０８を加えることで、ファイル区分だけでなく、ユーザの属性情報も踏まえたファイルアクセスポリシにしてもよい。

ユーザ所在情報５１０は、入退室管理システム１３０から得られたユーザの現在の所在場所を示す情報が格納される。このように、ファイルアクセス管理ポリシ管理装置は、ユーザの現在の所在を把握することができる。

図６、図７、図８は、リモートサーバ装置１１０とファイルアクセスポリシ管理装置１４０の間で送受信される通信メッセージの例を示す。

リモートサーバ装置１１０のポリシ管理部１１４は、イベント毎に、図６に示されるポリシ準拠判定依頼メッセージ６００を作成し、そのメッセージをファイルアクセスポリシ管理装置１４０へ送信する。ポリシ準拠判定依頼メッセージ６００には、メッセージの識別情報となるメッセージＩＤ６０２、リモートサーバ装置１１０及びシンクライアント装置１００の操作者を示すユーザ識別情報６０４、前記の操作者が、実行しようとしているファイル操作に関わるファイル区分６０６及びファイル状態６０８が含まれている。ファイル区分６０６とは、ファイルの属性の一つである機密性を示す。ファイル状態とは、操作者が要求するファイル操作を示し、例えば、ファイルのオープン、ファイルのクローズ、ファイルの実行（例：プログラムファイルを実行する）などがある。

図７は、ファイルアクセスポリシ管理装置１４０のポリシ準拠判定部１４６が作成するポリシ準拠判定応答メッセージ７００の例である。ポリシ準拠判定応答メッセージ７００には、リモートサーバ装置１１０が作成したポリシ準拠判定依頼メッセージ６００に含まれるメッセージＩＤ、ポリシに合致しているかどうかの判定結果が含まれるポリシ準拠判定結果７０４、ポリシに合致していない場合の動作命令が格納される動作命令７０６が含まれている。ファイルアクセスポリシ管理装置１４０は、このメッセージを通知することで、ファイルアクセスポリシを徹底させることができる。

また、ポリシ準拠判定応答メッセージ７００のデータ構造は、ポリシ実施命令メッセージとしても使うことが出来る。ポリシ実施命令メッセージとは、ファイルアクセスポリシ管理装置１４０が、リモートサーバ装置１１０へ送信するポリシの実行を命令するメッセージである。
例えば、ファイルアクセスポリシ管理装置１４０が、ユーザの所在場所が変化したことを検知し、さらに、ポリシ違反であると判断した場合、このポリシ実施命令メッセージを使う。

図８は、リモートサーバ装置１１０のポリシ実行部１１６が、ファイルアクセスポリシを実施し、その結果を、ファイルアクセスポリシ管理装置１４０へ通知するときに使用するポリシ実施状態メッセージ８００の例である。ポリシ実施状態メッセージ８００には、メッセージの識別情報を示すメッセージＩＤ８０２，ポリシの実行結果の状態を示すポリシ実施結果８０４が含まれる。このメッセージにより、ファイルアクセスポリシ管理装置１４０は、リモートサーバ装置１１０のファイル操作状態を把握することができる。

図９は、リモートサーバ装置１１０のポリシ管理部１１４が管理するファイル操作情報１２２の例である。データベースとして実現することが可能である。マシン識別情報カラムは、リモートサーバ装置１１０の識別情報を格納する。ユーザ識別情報カラム９０４は、シンクライアント装置１００を操作するユーザを識別する情報を格納する。ファイル区分カラム９０６、ファイルパスカラム９０８、ファイル状態９１０は、シンクライアント装置１００を操作するユーザがアクセス中のファイルの状態を示す。１行目の例では、ファイル属性の一つである機密性が「秘」のファイルであり、かつ、ファイルの論理的な所在が、「ｃ：\ａ．ｄｏｃ」であるファイルが、「オープン中（閲覧中）」であることを示している。

これらのファイル状態を示す情報は、図８に示したポリシ実施状態メッセージ８００のポリシ実施結果８０４に使われる。そのため、ファイルアクセスポリシ管理装置１４０は、複数のリモートサーバ装置のファイル操作情報１５０を一元的に把握できる。

図１０は、リモートサーバ装置１１０のポリシ管理部１１４が管理するポリシ情報１２０に含まれるデフォルトポリシの例である。データベースとして実現することができる。条件カラム１００２は、デフォルトポリシの実行条件を示す。動作カラム１００４は、前記の条件が満足した場合に実施する動作を示す。例では、ファイルアクセスポリシ管理装置１４０からポリシ準拠判定応答メッセージ７００を一定時間内に受信しなかった場合の動作が記される。ここでは、一定時間として、５秒としており、５秒を過ぎると、ファイル属性として秘区分を持つファイルを閉じる動作を実行する（シンクライアント装置１００においてはファイル破棄と同等と見なせる）。このように、フェイルセーフの考えに基づき、デフォルトポリシを実施することにより、ファイルアクセスポリシ管理装置１４０の明示的な許可がない限り、機密性の高い情報の表示は行われない。その結果、ファイルアクセスポリシを実施するクライアントシステムが、ファイルアクセス制御を実施する際に、不具合の発生時にも、情報漏えいの危険性を小さくすることが可能となる。

なお、これらのデフォルトポリシは、予め、管理者によって、登録されたものである。ファイルアクセスポリシ管理装置１４０を操作する管理者が、新たなデフォルトポリシをポリシ情報１４８として登録したり、ポリシ情報１４８として登録済みのデフォルトポリシの内容を変更したりする。ファイルアクセスポリシ管理装置１４０は、リモートサーバ装置１１０に対して、これらのデフォルトポリシを通信ネットワーク１６０経由で配信する。

図１１及び図１２は、リモートサーバ装置１１０内で実行されるファイルアクセスポリシ実施処理動作を示すフロー例である。

リモートサーバ装置１１０が起動すると、ポリシ管理部１１４は、ステップ１１０４にて、ファイル操作の監視を開始する。ポリシ管理部１１４は、ステップ１１０６にて、イベントの発生有無を判定する。ここで、イベントとは、シンクライアント装置１００を操作するユーザからのファイル操作受付け、または、ファイルアクセスポリシ管理装置１４０からのポリシ実施命令メッセージの受付け、の少なくともどれかである。イベント発生がなければ（ステップ１１０６でＮｏ）、イベント発生まで待ち続ける。イベント発生時（ステップ１１０６でＹｅｓ）は、イベント内容に従って以下の処理を実行する。

（１）ユーザからのファイル操作受付
イベントが、ユーザからのファイル操作受付、例えば、ファイルの選択またはファイルのオープンだった場合、ポリシ管理部１１４及びポリシ実行部１１６が実行する、ステップ１１０８の実行内容は、図１２の処理フローとなる。

ポリシ管理部１１４は、図１２のステップ１２０４にて、図６に示したポリシ準拠判定依頼メッセージ６００を作成する。次に、ステップ１２０６にて、ポリシ準拠判定依頼メッセージ６００をファイルアクセスポリシ管理装置１４０に送信する。さらに、ステップ１２０８にて、図７に示すポリシ準拠判定応答メッセージ７００の受信を待つ。ステップ１２０６での送信から、予め、ポリシ情報１２０に含まれる図１０に示すデフォルトポリシに定めた時間内に受信しない場合（ステップ１２０８でＮｏ）は、ステップ１２１２にて、ポリシ実行部１１６は、当該デフォルトポリシを実行する。一方、予め定めた時間内に受信すれば（ステップ１２０８でＹｅｓ）、ポリシ実行部１１６は、ステップ１２１０にて、受信したポリシ準拠判定応答メッセージ７００に含まれる動作を実行する。その後、ステップ１２１４にて、図８に示すポリシ実施状態メッセージ８００をファイルアクセスポリシ管理装置１４０に送信する。

（２）ポリシ実施命令メッセージ受付
イベントが、ポリシ実施命令メッセージ受付であった場合は、ステップ１１０８にて、ポリシ管理部１１４は、メッセージに含まれるポリシ実施内容を確認し、ポリシ実行部１１６は、当該ポリシを実施する。その後、ポリシ管理部１１４は、その実施結果をファイルアクセスポリシ管理装置１４０に通知する。

ポリシ管理部１１４は、ステップ１１１０にて、リモートサーバ装置１１０がシャットダウン状態を判定し、シャットダウンであれば（ステップ１１１２でＹｅｓ）、ファイル操作監視を終了する。

以上のように、リモートサーバ装置１１０は、フェイルセーフの考えに基づき、ファイルアクセスポリシ管理装置１４０の明示的な許可がない限り、機密性の高い情報の表示は行わない。その結果、ファイルアクセスポリシを実施するクライアントシステムが、ファイルアクセス制御を実施する際に、不具合の発生時にも、情報漏えいの危険性を小さくすることが可能となる。

なお、ポリシ管理部１１４及びポリシ実行部１１６は、ファイルに関連付けられたアプリケーション１１２の拡張機能（プラグイン）の形で実装することができる。また、オペレーティングシステムと同等な権限を持つ特権プログラム（例えば、デバイスドライバ）として実現し、アプリケーション１１２及びファイル操作などを監視・制御する形で実装することもできる。

また、図１１と図１２の処理フローにて、リモートサーバ装置１１０は、永続的なメッセージキューを用いて図６に示すポリシ準拠判定依頼６００を送信してもよい。つまり、リモートサーバ装置１１０とファイルアクセスポリシ管理装置１４０の間で通信できない場合は、リモートサーバ装置１１０は、ポリシ準拠判定依頼メッセージ６００をメッセージキューに蓄積し、接続可能な状態になったときに、再送するようにすることができる。このようにすることで、通信メッセージの作成処理の二度手間を削減することができる。

図１３は、ファイルアクセスポリシ管理装置１４０がイベントを処理する動作を示すフロー図である。ファイルアクセスポリシ管理装置１４０は、イベントの種類に応じて、以降に示す処理を実行する。

ステップ１３０４にて、ファイルアクセスポリシ管理装置１４０に含まれたポリシ管理部１４４は、イベントの受信を判定する。ステップ１３０６にて、受信したイベントが、入退室管理システム１３０からのイベント、すなわち、ユーザが居室を出入りしたときに、入退室管理システム１３０が作成するログを含む場合（ステップ１３０６でＹｅｓ）には、ＩＤ情報管理部１４２は、ステップ１３０８にて、ＩＤ情報１５２を更新する。

次に、ステップ１３１０にて、ポリシ準拠判定部１４６は、ファイル操作情報１５０、更新されたＩＤ情報１５２、及びポリシ情報１４８を参照し、ポリシに準拠しているのかどうかを判定する。具体的には、ファイル操作情報１５０に含まれるユーザ識別情報９０４及びＩＤ情報１５２に含まれるユーザ識別情報５０４をキーとして、ユーザ識別情報、ユーザ所在情報５１０、ファイル区分９０６、ファイル状態９１０を抽出し、ポリシ情報１４８に含まれるファイル区分４０２及び閲覧可能区域４０４（ファイルのオープンを許可する場所）に違反していないかどうかを確認する。

ステップ１３１２にて、ポリシ準拠判定部１４６は、ポリシ準拠違反があると判断する（ステップ１３１２でＹｅｓ）と、ステップ１３１４にて、ポリシ管理部１４４は、ポリシ実施命令メッセージ７００を作成し、該当するリモートサーバ装置１１０へ送信する。

ファイルアクセスポリシ管理装置１４０に含まれるポリシ管理部１４４が、ステップ１３０６でＮｏと判断し、さらに、ステップ１３１６にて、受信イベントが、クライアントシステムのイベントであると判定する（ステップ１３１６でＹｅｓ）と、ステップ１３１８にて、ポリシ管理部１４４及びポリシ準拠判定部１４６は、図１４にて説明するクライアントシステムイベント処理を実行する。

ファイルアクセスポリシ管理装置１４０に含まれるポリシ管理部１４４が、ステップ１３１６でＮｏと判断し、さらに、ステップ１３２０にて、受信イベントが管理者による管理イベントである、すなわち、管理者操作を受け付けたとする（ステップ１３２０でＹｅｓ）と、操作内容に応じて、ポリシ管理部１４４及びＩＤ情報管理部１４２は、それぞれ、ポリシ情報１４８とＩＤ情報１５２を更新する。例えば、操作内容が、ファイル区分が「秘」であるファイルの閲覧可能区域の追加（例えば、Ａ００８という新たな区域を追加）であれば、ポリシ管理部１４４は、図４に示すポリシ情報におけるファイル区分カラム４０２が「秘」に対応する閲覧可能区域カラム４０４に当該追加情報を追記する。

図１４は、図１３に示す、ファイルアクセスポリシ管理装置１４０におけるクライアントシステムイベント処理１３１８の詳細な動作フローを示す。

ステップ１４０４にて、ポリシ管理部１４４は、リモートサーバ装置１１０から受信したイベントが、ポリシ準拠判定依頼メッセージを示すものであると判定すると（ステップ１４０４でＹｅｓ）、ポリシ準拠判定部１４６は、ステップ１４０６にて、ポリシ準拠判定を実施する。具体的には、ポリシ準拠判定依頼メッセージに含まれるユーザ識別情報６０４及びＩＤ情報１５２に含まれるユーザ識別情報５０４をキーとして、ユーザ識別情報、ユーザ所在情報５１０、ファイル区分９０６、ファイル状態９１０を抽出し、ポリシ情報１４８に含まれるファイル区分４０２及び閲覧可能区域４０４（ファイルのオープンを許可する場所）に違反していないかどうかを確認する。

次に、ステップ１４０８にて、ポリシ管理部１４４は、ポリシ準拠判定応答メッセージを作成し、該当するリモートサーバ装置１１０へ送信する。例えば、リモートサーバ装置１１０が、ファイルオープンを許可する場所には、存在していないと判断すると、ポリシ準拠判定結果７０４には、「ポリシ違反」との文字列が格納され、動作命令７０６には、「ファイルのクローズ」という文字列が格納される。なお、ポリシ準拠判定結果７０４及び動作命令７０６の定義は、管理者によって定義され、ポリシ情報１４８に格納されるものである。

ポリシ管理部１４４が、ステップ１４０４にて、リモートサーバ装置１１０から受信したイベントが、ポリシ準拠判定依頼メッセージではないと判定し（ステップ１４０４でＮｏ）、さらに、ステップ１４１０にて、リモートサーバ装置１１０から受信したイベントが、ポリシ実施状態メッセージであると判定すると（ステップ１４１０でＹｅｓ）、ステップ１４１２にて、ポリシ管理部１４４は、ポリシ実施状態メッセージのポリシ実施結果８０４に含まれた情報をファイル操作情報１５０に追記する。

図１５は、実施例２として説明する、ファットクライアントタイプを採用したクライアントシステムを使った場合のファイルアクセス制御システムの構成例である。

実施例１で示したシンクライアント装置１００及びリモートサーバ装置１１０の両者で提供していた機能が、ファットクライアント装置１５００に実装されている。ファットクライアント装置１５００は、図２に示されるハードウェア構成で実現可能である。また、以下に説明するファットクライアント装置１５００の動作は、ＣＰＵ２０２が外部記憶装置２０６に格納されたプログラムを実行することにより、具現化される。なお、ファットクライアント装置１５００には、居室に設置されるデスクトップ型のＰＣだけでなく、可搬性のあるノートＰＣやＰＤＡも含まれる。

実施例２では、ファットクライアント装置１５００にて作成される情報ファイルは、ファイルアクセスポリシ管理装置１５２０と連携し、暗号化される。具体的には、ファットクライアント装置１５００のポリシ実行部１５０６は、ファイルアクセスポリシ管理装置１５２０の鍵管理部１５２２が管理する鍵情報１５２４を参照し、アクセス制御として、情報ファイルの暗号化を実行する。

ファットクライアント装置１５００が、ユーザからファイル操作の命令を受け付けると、図１１及び図１２にて説明したポリシ確認・実施処理を実行する。

このとき、ファイルアクセスポリシ管理装置１５２０がファイルアクセスを許可した場合、図７に示すポリシ準拠判定応答メッセージ７００の動作命令７０６の中には、ファイルを復号するための鍵情報が含まれる。次に、ファットクライアント装置１５００のポリシ実行部は、受け取った鍵情報を用いて、アクセス制御として、暗号化されたファイルを復号化する。

一方、ファットクライアント装置１５００が、ステップ１２０８にて、ステップ１２０６での送信から予め定めた時間内に、図７に示すポリシ準拠判定応答メッセージ７００を受信できない場合（ステップ１２０８でＮｏ）、デフォルトポリシの実行を行う。なお、ファイルの復号化に用いた鍵情報をキャッシュとして保持していた場合は、その鍵情報の破棄も、デフォルトポリシに含める。

以上のように、実施例１及び実施例２から示されるように、ファイルアクセスポリシ管理装置（１４０あるいは１５２０）の明示的な許可がない限り、機密性の高いファイルへのアクセスは禁止される。その結果、クライアントシステムが、ファイルアクセスポリシに従い、ユーザの場所に応じたファイルアクセス制御を実施する際に、ユーザの位置が特定できないなどの不具合の発生時にも、情報漏えいの危険性を非常に小さくすることが可能となる。

上記各実施形態は、組織の内部統制強化や情報セキュリティマネジメントシステムの一環としての情報セキュリティ対策として組織内の業務システムに組み込むことが可能である。

１００：シンクライアント装置、１０２：リモートデスクトップクライアント、１１０：リモートサーバ装置、１１２：アプリケーション、１１４：ポリシ管理部、１１８：リモートデスクトップサーバ、１２０：ポリシ情報、１２２：ファイル操作情報、１２４：ファイル、１３０：入退室管理システム、１４０：ファイルアクセスポリシ管理装置、１４２：ＩＤ情報管理部、１４４：ポリシ管理部、１４６：ポリシ準拠判定部、１４８：ポリシ情報、１５０：ファイル操作情報、１５２：ＩＤ情報。

Claims (8)

1. 入退室管理システム、ユーザの属性情報及びにファイルへのアクセスポリシを管理するファイルアクセスポリシ管理装置と、ファイルアクセスポリシを実行するクライアントシステムと、を含んで構成されるシステムにおけるファイルアクセス制御方法において、
   前記クライアントシステムを操作するユーザによるファイル操作の受付け、及び、ファイルアクセスポリシ管理装置から、ポリシ違反である事項が検知されたときに作成されるポリシ実施命令メッセージの受付け、を含むイベントを前記クライアントシステムに送信し、
   前記クライアントシステムは、予め定義された前記イベント毎に、ポリシに準拠しているのかどうかの判定を依頼するポリシ準拠判定依頼メッセージを前記ファイルアクセスポリシ管理装置へ送信し、
   前記ファイルアクセスポリシ管理装置は、前記ポリシ準拠判定依頼メッセージを受信すると、予め定義されたポリシ準拠判定ルールを参照し、判定を依頼された前記イベントが、予め定めたポリシに準拠しているのかどうかを判定し、
   ポリシ準拠判定応答メッセージを作成し、前記クライアントシステムへ送信し、
   前記クライアントシステムは、
   ポリシ準拠判定依頼メッセージの送信から予め定めた時間以内に、前記ポリシ準拠判定応答メッセージを受信した場合に、当該ポリシ準拠判定応答メッセージ内容に従った動作を実施し、
   ポリシ準拠判定依頼メッセージの送信から予め定めた時間内に、前記ポリシ準拠判定応答メッセージを受信できない場合は、予め定義されたデフォルトポリシが示すアクセス制御を実行することを特徴とするファイルアクセス制御方法。
2. 請求項１に記載のファイルアクセス制御方法において、
   前記ポリシ準拠判定依頼メッセージには、前記クライアントシステムを操作するユーザを識別するユーザ識別情報、操作対象となるファイルの機密性、ファイル状態のいずれか一つ以上が含まれることを特徴とするファイルアクセス制御方法。
3. 請求項１又は２に記載のファイルアクセス制御方法において、
   前記ファイルアクセスポリシ管理装置は、ユーザの属性情報及びファイルの属性情報に基づいてファイルアクセス可否の判定を実施することを特徴とするファイルアクセス制御方法。
4. 請求項３に記載のファイルアクセス制御方法において、
   前記ユーザの属性情報は、ユーザの所属、職位、または、ユーザの最新の所在地のいずれか一つ以上を含み、
   前記ファイルの属性情報は、ファイルの機密性、ファイルの作成日時、または、ファイルの作成者のいずれか一つ以上を含むことを特徴とするファイルアクセス制御方法。
5. 請求項１ないし４いずれか一に記載のファイルアクセス制御方法において、
   前記クライアントシステムは、
   前記予め定めた時間内に、ポリシ準拠判定応答メッセージを受信できないと、ポリシ準拠判定依頼メッセージをメッセージ送信キューに追加し、
   予め定めた他の時間後に、ポリシ準拠判定依頼メッセージを再送する
   ことを特徴とするファイルアクセス制御方法。
6. 請求項１ないし５いずれか一に記載のファイルアクセス制御方法において、
   前記アクセス制御とは、ファイルのオープン、クローズ、実行のいずれか一つ以上のファイル操作の制御であり、
   前記デフォルトポリシは、ファイルのクローズを含むことを特徴とするファイルアクセス制御方法。
7. 請求項１ないし５いずれか一に記載のファイルアクセス制御方法において、
   前記アクセス制御とは、ファイルを扱うアプリケーションが提供する機能の制御であり、
   前記デフォルトポリシは、ファイルのクローズを含むことを特徴とするファイルアクセス制御方法。
8. 請求項１ないし５いずれか一に記載のファイルアクセス制御方法において、
   前記アクセス制御とは、ファイルの暗号化、または復号化であり、
   前記デフォルトポリシは、ファイルの暗号化、または復号化に用いる鍵情報の破棄を含むことを特徴とするファイルアクセス制御方法。

Images