JP5226636B2 - セキュリティ維持支援システムおよび情報端末 - Google Patents

Description

この発明は、データ処理技術に関し、特に、情報処理システムのセキュリティ技術に関する。

近年、企業における情報処理システムの重要性が高まっており、企業の業務継続のためには情報処理システムの正常な運用が不可欠となっている。本出願人は、情報処理システムのセキュリティを維持するために、情報処理システムのメンテナンス作業およびその作業者が申請済のものか否かに基づいて、そのメンテナンス作業の許否を決定する技術を提案している（例えば、特許文献１参照）。

特開２００８−１１７３１７号公報

企業の機密情報が外部に漏洩する原因の１つとして、機密情報を保持するサーバに対する作業権限を有する作業者が、悪意をもって機密情報をサーバから取得することが挙げられる。このように情報処理システムに対する作業権限を有する作業者が悪意を持つ場合であっても、情報処理システムのセキュリティを維持するための発想やそのための具体的な方法はこれまで十分に提案されてこなかった。

本発明は、こうした課題に鑑みてなされたものであり、その主たる目的は、情報処理システムのセキュリティの維持を支援する技術を提供することである。

上記課題を解決するために、本発明のある態様のセキュリティ維持支援システムは、管理サーバと、作業対象サーバに対して作業者が作業を行うための情報端末と、を備える。管理サーバは、作業対象サーバへ送信するコマンドであって、作業対象サーバに対する作業内容の許否を決定する承認プロセスにおいて許可された許可済コマンドを取得するコマンド取得部と、情報端末に対する所定の操作と許可済コマンドとが対応づけられたアプリケーションであって、情報端末において実行させるべき作業用アプリケーションを設定するアプリケーション設定部と、を含む。情報端末は、当該情報端末に対する作業者による操作を検出する操作検出部と、管理サーバにより生成された作業用アプリケーションを取得するアプリケーション取得部と、取得された作業用アプリケーションを実行し、当該情報端末に対する所定の操作が検出されたとき、その操作に対応づけられた許可済コマンドを選択するアプリケーション実行部と、アプリケーション実行部により選択された許可済コマンドを作業対象サーバへ送信する一方、所定の操作以外の操作に基づくコマンドの送信は制限する通信処理部と、を含む。

本発明の別の態様は、情報端末である。この情報端末は、作業対象サーバに対する作業プロセスにおいて使用される情報端末であって、作業対象サーバへ送信するコマンドであって、作業対象サーバに対する作業内容の許否を決定する承認プロセスにおいて許可された許可済コマンドを、当該情報端末に対する所定の操作と対応づけて保持するコマンド保持部と、作業プロセスにおける当該情報端末に対する操作を検出する操作検出部と、当該情報端末に対する所定の操作が検出されたとき、その操作に対応づけられた許可済コマンドを作業対象サーバへ送信する一方、所定の操作以外の操作に基づくコマンドの送信は制限する通信処理部と、を備える。

なお、以上の構成要素の任意の組合せ、本発明の表現を装置、方法、システム、プログラム、プログラムを格納した記録媒体などの間で変換したものもまた、本発明の態様として有効である。

本発明によれば、情報処理システムのセキュリティの維持を支援できる。

本発明の実施の形態である情報処理システムの構成を示す図である。 図１の管理サーバの機能構成を示すブロック図である。 作業情報に設定される作業内容を示す図である。 セキュリティＡＰの処理ロジックを模式的に示す図である。 図１の携帯情報端末の機能構成を示すブロック図である。 作業対象サーバに対して作業が行われる場合の情報処理システムにおける処理フローを示すフローチャートである。 図６のＳ１６の処理を詳細に示すフローチャートである。 図６のＳ１８の処理を詳細に示すフローチャートである。 図６のＳ２０の処理を詳細に示すフローチャートである。

本発明の実施の形態について、その構成を説明する前にまず概要を説明する。
企業の基幹業務の遂行を支援する業務サーバや、機密情報を保持するデータベースサーバ等は、高いセキュリティレベル、すなわち高い機密性と保全性とが要求される。これらの装置を以下では「保全対象サーバ」と呼ぶこととする。保全対象サーバは、高いセキュリティレベルを担保するために、入退室が管理されたデータセンタに配置され、また、ネットワークとの接続が制限されることがある。

保全対象サーバにインストールされたソフトウェアがエンハンスされる場合等、これらの装置に対するメンテナンス作業が実施されることがある。一般的には、保全対象サーバに接続されたコンソール端末を使用して、ファイル更新等の作業が作業者により実施される。作業者は、コンソール端末を操作して保全対象サーバに任意のコマンドを実行させることができるため、機密情報へのアクセス等、本来行うべきでない作業・承認されていない作業を任意に実行できた。本発明者は、保全対象サーバに対するこのような作業の形態はセキュリティ事故を招く要因であると考えた。

そこで、本実施の形態においては、保全対象サーバに対する作業において、その作業に対し作業者の悪意が入り込む余地を無くすことにより、保全対象サーバのセキュリティ維持を支援する技術を提案する。

具体的には、保全対象サーバに対する作業において作業者が使用する情報端末は、所定の入力操作と、予め承認者により許可されたコマンド（以下、「許可済コマンド」とも呼ぶ）とを対応づけて保持する。この情報端末は、作業者から所定の入力操作を受け付けると、その入力操作に対応づけられた許可済コマンドを保全対象サーバへ送信する一方で、その他の操作に基づくコマンドの送信は禁止する。これにより、保全対象サーバに対する作業において、作業者による任意のコマンドの送信を制限する。

図１は、本発明の実施の形態である情報処理システム１００の構成を示す。この情報処理システム１００は、作業対象サーバ１０のセキュリティ維持を支援するよう構成される。

データセンタには、作業対象サーバ１０と、ファイルサーバ１１と、作業者ＰＣ１２とが設置される。作業対象サーバ１０は、作業の対象となる保全対象サーバである。ファイルサーバ１１は、作業対象サーバ１０に置かれた旧ファイルを置き換えるための更新ファイルを保持する。この作業対象サーバ１０およびファイルサーバ１１は、作業者がこれらの装置を直接操作可能なコンソール端末を備えないことが望ましく、少なくとも、作業者の作業時点においてはコンソール端末と未接続の状態におかれる。作業者ＰＣ１２は、作業対象サーバ１０に対する作業を実施する作業者が事務作業を行うためのＰＣであり、後述するアクティベーションキーが通知される。

開発部門には開発者ＰＣ１４が設置される。開発者ＰＣ１４は、作業対象サーバ１０に対する作業の内容を決定する開発者が事務作業を行うためのＰＣであり、後述するアクティベーションキーが通知される。開発者ＰＣ１４は、開発者により決定された作業内容であり、その作業内容の許否を決定する承認者により許可された作業内容を示すデータ（以下、「作業情報」とも呼ぶ）を管理サーバ１８へ送信する。この作業情報には、作業内容として承認者により事前に許可された許可済コマンドが設定される。

セキュリティ管理部門には管理サーバ１８が設置される。管理サーバ１８は、作業対象サーバ１０のセキュリティを管理する管理者により適宜操作される。管理サーバ１８は、開発者ＰＣ１４から受け付けられた作業情報に応じて、作業対象サーバ１０への作業にあたり携帯情報端末１６において実行させるアプリケーションを設定する。このアプリケーションは、作業対象サーバ１０のセキュリティが維持されるよう構成されたものであり、以下、「セキュリティＡＰ」と呼ぶこととする。

携帯情報端末１６は、持ち運びが可能な情報端末であり、例えばスマートフォンである。作業対象サーバ１０への作業においては、携帯情報端末１６が従来のコンソール端末の役割を担う。開発部門の開発者は、セキュリティＡＰを携帯情報端末１６へダウンロードし、その携帯情報端末１６をデータセンタの作業者に貸与する。作業者は、そのセキュリティＡＰをアクティベート後、携帯情報端末１６を操作することにより、作業対象サーバ１０への作業を遂行する。

なお図１の各装置は、ＬＡＮ・ＷＡＮ・インターネット等、公知の通信手段により適宜接続される。例えば、携帯情報端末１６と作業対象サーバ１０とは、無線ＬＡＮや赤外線通信、Ｂｌｕｅｔｏｏｔｈ（登録商標）等の手段により接続されてもよい。

図２は、図１の管理サーバ１８の機能構成を示すブロック図である。管理サーバ１８は、各種データを記憶する記憶領域であるデータ保持部２０と、各種データ処理を実行するデータ処理部３４と、通信処理部３２とを備える。

本明細書のブロック図において示される各ブロックは、ハードウェア的には、コンピュータのＣＰＵをはじめとする素子や機械装置で実現でき、ソフトウェア的にはコンピュータプログラム等によって実現されるが、ここでは、それらの連携によって実現される機能ブロックを描いている。したがって、これらの機能ブロックはハードウェア、ソフトウェアの組合せによっていろいろなかたちで実現できることは、当業者には理解されるところである。例えば、各機能ブロックは、ソフトウェアとして記録媒体に格納され、管理サーバ１８のハードディスクにインストールされ、管理サーバ１８のメインメモリに適宜読み出されてプロセッサにて実行されてもよい。後述するブロック図についても同様である。

データ保持部２０は、ログイン情報保持部２２と、秘密情報保持部２４と、ＡＰ保持部２６と、接続条件保持部２８と、ログ保持部３０とを有する。ログイン情報保持部２２は、作業対象サーバ１０やファイルサーバ１１へのログイン時に必要なる情報（以下、「ログイン情報」とも呼ぶ）を保持する。ログイン情報には、ユーザＩＤとパスワードとが含まれる。

秘密情報保持部２４は、開発者および作業者のそれぞれが外部に対して非公開にする秘密情報を保持する。つまり、開発者の秘密情報は開発者のみが知っている情報であり、作業者の秘密情報は作業者のみが知っている情報である。ＡＰ保持部２６は、後述するＡＰ設定部３８により設定されたセキュリティＡＰのデータを保持する。接続条件保持部２８は、後述する接続条件を保持する。ログ保持部３０は、携帯情報端末１６よりアップロードされたログ情報を、作業者による作業内容の証跡情報として保持する。

通信処理部３２は、作業者ＰＣ１２、開発者ＰＣ１４、携帯情報端末１６との通信処理を実行する。データ処理部３４は、通信処理部３２を介して外部装置との間でデータを送受する。

データ処理部３４は、作業情報取得部３６と、ＡＰ設定部３８と、キー設定部４０と、条件設定部４２と、ＡＰ提供部４４と、ログ取得部４６とを有する。作業情報取得部３６は、承認者により内容が承認された作業情報を開発者ＰＣ１４から受け付ける。この作業情報には、作業の終期を含む作業予定日時、作業対象サーバのＩＤ、作業内容、開発者の情報、作業者の情報が含まれる。

図３は、作業情報に設定される作業内容を示す。同図は、作業内容として設定された許可済コマンドを示している。実行順序欄には、コマンドが実行されるべき順序が設定される。コマンド欄には、作業対象サーバ１０に送信すべき許可済コマンドが設定される。パラメータ欄には、許可済コマンドとともに作業対象サーバ１０に送信すべき情報が設定される。なお、許可済コマンドの中には作業対象サーバ１０やファイルサーバ１１へのログイン情報を必要とするものがある。しかし、ログイン情報は開発者には開示されないため、開発者が設定する作業情報においてはログイン情報は指定されない。

図２に戻りＡＰ設定部３８は、作業情報を参照して、携帯情報端末１６に対する所定の操作が行われたときに、その操作に対応する許可済コマンドを作業対象サーバ１０へ送信するよう構成したセキュリティＡＰを設定する。セキュリティＡＰは、ＪＡＶＡ（登録商標）アプリケーションであってもよい。またＡＰ設定部３８は、作業情報に設定された許可済コマンドの中で、ログイン情報を必要とする許可済コマンドを検出する。ログイン情報を必要とする許可済コマンドに対しては、ログイン情報保持部２２に保持されたログイン情報を、その許可済コマンドのパラメータとして追加する。

図４は、セキュリティＡＰの処理ロジックを模式的に示す。同図の入力キー欄は、携帯情報端末１６に対する入力操作、ここでは「特定の入力キーの押下」を示している。コマンド欄は、入力操作がなされた際に作業対象サーバ１０へ送信する許可済コマンドを示している。パラメータ欄は、許可済コマンドとともに作業対象サーバ１０に送信する情報を示している。上述したように、ログイン情報を必要とする許可済コマンドに対しては、作業対象サーバ１０やファイルサーバ１１のログイン情報が追加されている。

図４で示すように、セキュリティＡＰは、携帯情報端末１６の所定の入力キーが押下されると、その入力キーに対応するコマンドとパラメータとを作業対象サーバ１０へ送信するよう構成される。例えば、図４が示すセキュリティＡＰの場合、データセンタにおいて作業者が入力キーを１から７まで順次押下すれば、作業対象サーバへのログイン、更新ファイルの取得、旧ファイルを更新ファイルへ置換、サーバの再起動という一連の作業が実現される。なお、作業者の作業手順は、管理者または開発者から作業者へ予め通知されてもよく、管理サーバ１８がセキュリティＡＰに設定された入力操作の情報にしたがって作業手順の情報を自動設定し、作業者ＰＣ１２へ送信してもよい。

図２に戻りキー設定部４０は、作業情報にしたがって、携帯情報端末１６においてセキュリティＡＰを利用可能にするために必要となるアクティベーションキーを設定する。このアクティベーションキーは、作業対象サーバ１０のＩＤ、作業日時、開発者の社員ＩＤ、作業者の社員ＩＤを組み合わせた文字列を、所定のハッシュ関数に入力して得られるハッシュ値であってもよい。キー設定部４０は、アクティベーションキーを開発者ＰＣ１４および作業者ＰＣ１２へ送信する。

条件設定部４２は、セキュリティＡＰを携帯情報端末１６において利用するための各種条件を設定する。具体的には、秘密情報保持部２４を参照して、アクティベーションキーと開発者の秘密情報とを組み合わせたデータを、管理サーバ１８と携帯情報端末１６との間でのデータ送受を許容するための条件（以下、「接続条件」とも呼ぶ）として設定する。条件設定部４２は、この接続条件を接続条件保持部２８へ格納する。

また条件設定部４２は、秘密情報保持部２４を参照して、アクティベーションキーと作業者の秘密情報とを組み合わせたデータを、セキュリティＡＰを利用可能に有効化するための有効化条件として設定する。この有効化条件は、セキュリティＡＰを利用不能に無効化するための条件にもなる。また条件設定部４２は、作業情報を参照して、その作業予定日時の終期を作業終期として設定する。そして、セキュリティＡＰと、有効化条件と、作業終期とを対応づけてＡＰ保持部２６へ格納する。以下では、ＡＰ保持部２６が保持するデータを、単にセキュリティＡＰのデータとも呼ぶ。

ＡＰ提供部４４は、セキュリティＡＰのダウンロード要求を携帯情報端末１６から受け付ける。そして、そのダウンロード要求で指定されたアクティベーションキーおよび開発者の秘密情報が、接続条件として保持されたアクティベーションキーおよび開発者の秘密情報に合致することを条件として、セキュリティＡＰのダウンロードを許可する。セキュリティＡＰのダウンロードを許可した場合、ＡＰ提供部４４は、セキュリティＡＰのデータをＡＰ保持部２６から取得して携帯情報端末１６へ送信する。

ログ取得部４６は、セキュリティＡＰのアップロード要求を携帯情報端末１６から受け付ける。そして、そのアップロード要求で指定されたアクティベーションキーおよび開発者の秘密情報が、接続条件として保持されたアクティベーションキーおよび開発者の秘密情報に合致することを条件として、セキュリティＡＰのアップロードを許可する。セキュリティＡＰのアップロードを許可した場合、そのアップロードデータを取得するとともに、そのデータに含まれるログ情報を抽出してログ保持部３０へ格納する。

なお図２には図示しないが、管理サーバ１８は、ログ保持部３０に保持されたログ情報を、管理者に確認させるために所定のディスプレイに表示させるログ表示部や、ログ情報の解析処理を実行するログ解析部をさらに備えてもよい。例えば、ログ解析部は、ログ情報に記録された作業者の操作内容と、セキュリティＡＰに設定された入力操作とが異なることを検出した場合、所定の外部装置へアラートメッセージを送出してもよい。

図５は、図１の携帯情報端末１６の機能構成を示すブロック図である。携帯情報端末１６は、各種データを記憶するデータ保持部５０と、各種データ処理を実行するデータ処理部６４と、操作検出部６０と、通信処理部６２とを備える。

データ保持部５０は、ＡＰ保持部５２と、ＡＰ保護部５４と、ログ保持部５６と、ログ保護部５８とを有する。データ保持部５０は、外部からの記憶データの参照および改変が困難なよう構成されたＩＣチップを記録媒体として実装されてもよい。

ＡＰ保持部５２は、管理サーバ１８から取得されたセキュリティＡＰを保持する記憶領域である。ＡＰ保護部５４は、ＡＰ保持部５２の保持データにアクセスするためのインタフェース機能を提供し、操作検出部６０において検出された操作内容にかかわらずＡＰ保持部５２に保持されたセキュリティＡＰの参照・改変を拒否する。すなわち、後述するデータ処理部６４の各機能ブロックからのアクセス要求のみを許可する。例えば、データ処理部６４の各機能ブロックからのアクセス要求には、データ処理部６４が要求元であることを示す識別データが設定されてもよく、ＡＰ保護部５４はアクセス要求からこの識別データを検出したときに限りそのアクセス要求を許可してもよい。後述するログ保持部５６についても同様である。

ログ保持部５６は、ログ情報を保持する記憶領域である。ログ保護部５８は、ログ保持部５６の保持データにアクセスするためのインタフェース機能を提供し、操作検出部６０において検出された操作内容にかかわらずログ保持部５６に保持されたログ情報の参照・改変を拒否する。すなわち、後述するデータ処理部６４の各機能ブロックからのアクセス要求のみを許可する。

操作検出部６０は、携帯情報端末１６の入力キーに対して開発者および作業者が入力した操作内容を検出する。例えば、どの入力キーが押下されたかを検出する。データ処理部６４は、操作検出部６０において検出された操作内容にしたがって、開発者および作業者の指示内容を判別する。

通信処理部６２は、作業対象サーバ１０および管理サーバ１８との通信処理を実行する。データ処理部６４は、通信処理部６２を介して外部装置のデータの送受を行う。通信処理部６２は、管理サーバ１８等、予め定められた装置以外が通信の対向装置である場合、通信要求の要求元が後述するＡＰ実行部７４であることを条件としてその通信要求を許可して通信処理を実行する。言い換えれば、ＡＰ実行部７４以外が通信要求の要求元である場合、例えば、ＡＰ実行部７４を経由せずに開発者や作業者から受け付けられた通信要求は拒否する。例えば、ＡＰ実行部７４からの通信要求には、ＡＰ実行部７４が要求元であることを示す識別データが設定されてもよく、通信処理部６２は通信要求からこの識別データを検出したときに限りその通信要求を許可してもよい。これにより、作業対象サーバ１０に対する開発者または作業者による任意のコマンドの送信は禁止される。

データ処理部６４は、ＡＰ取得部６６と、ＡＰ送信部６８と、ＡＰ有効化部７０と、ＡＰ無効化部７２と、ＡＰ実行部７４とを有する。ＡＰ取得部６６は、アクティベーションキーと開発者の秘密情報とが指定された、セキュリティＡＰのダウンロード要求を開発者から受け付ける。ＡＰ取得部６６は、セキュリティＡＰのダウンロード要求を管理サーバ１８へ送信し、管理サーバ１８から受け付けられたセキュリティＡＰのデータをＡＰ保持部５２へ格納する。

ＡＰ送信部６８は、アクティベーションキーと開発者の秘密情報とが指定された、セキュリティＡＰのアップロード要求を開発者から受け付ける。ＡＰ送信部６８は、セキュリティＡＰのデータをＡＰ保持部５２から取得し、そのセキュリティＡＰに対応するログ情報をログ保持部５６から取得し、それぞれのデータをアップロード要求とともに管理サーバ１８へ送信する。

ＡＰ有効化部７０は、アクティベーションキーと作業者の秘密情報とが指定された、セキュリティＡＰを利用可能に有効化させるための有効化要求を作業者から受け付ける。ＡＰ有効化部７０は、有効化要求で指定されたアクティベーションキーおよび作業者の秘密情報が、ＡＰ保持部５２のセキュリティＡＰと対応づけられた有効化条件、すなわちアクティベーションキーおよび作業者の秘密情報と合致することを条件として、その有効化要求を許可する。有効化要求を許可した場合、ＡＰ有効化部７０は、セキュリティＡＰの実行を継続させるための所定の有効化処理を実行する。例えば、ＡＰ保持部５２のセキュリティＡＰのデータに、実行継続が可能であることを示すフラグを設定してもよい。

ＡＰ無効化部７２は、アクティベーションキーと作業者の秘密情報とが指定された。セキュリティＡＰを利用不能に無効化させるための無効化要求を作業者から受け付ける。ＡＰ無効化部７２は、無効化要求で指定されたアクティベーションキーおよび作業者の秘密情報が、ＡＰ保持部５２のセキュリティＡＰと対応づけられた有効化条件と合致することを条件として、その無効化要求を許可する。無効化要求を許可した場合、ＡＰ有効化部７０は、セキュリティＡＰの実行を継続させないための所定の無効化処理を実行する。例えば、ＡＰ保持部５２のセキュリティＡＰのデータから、実行継続が可能であることを示すフラグを除外してもよい。

ＡＰ実行部７４は、セキュリティＡＰをＡＰ保持部５２から読み出して実行することにより、作業対象サーバ１０に対する作業者の作業を支援する。ＡＰ実行部７４は、実行制御部７６と、コマンド送信部７８と、ログ記録部８０とを含む。

実行制御部７６は、セキュリティＡＰの起動・停止等の実行状態を制御する。例えば、セキュリティＡＰの起動要求を作業者から受け付けると、セキュリティＡＰの実行を開始し、セキュリティＡＰのデータに対し実行継続可能を示すフラグが設定されていない場合は、その実行を停止する。また、セキュリティＡＰに設定された一連の入力操作の完了を検出すると、セキュリティＡＰの実行を終了する。また、セキュリティＡＰの実行中であっても、そのセキュリティＡＰに対応づけられた作業終期を途過した場合、その実行を強制的に停止する。

コマンド送信部７８は、作業者からの入力操作が受け付けられた際、その入力操作がセキュリティＡＰに規定された入力操作と合致する場合、セキュリティＡＰにおいてその入力操作と対応づけられた許可済コマンドを選択する。そして、その許可済コマンドを作業対象サーバ１０へ送信させるための通信要求を通信処理部６２へ送出することにより、その許可済コマンドを作業対象サーバ１０へ送信させる。作業者からの入力操作がセキュリティＡＰに規定された入力操作と合致しない場合は、何らの通信要求を送出することなく、その入力操作を無視する。

ログ記録部８０は、作業者からの入力操作が受け付けられた際、その入力操作の内容にかかわらず、言い換えれば、その入力操作がセキュリティＡＰに規定された操作であるか否かによらず、その入力操作をログ保持部５６のログ情報へ逐次記録する。

以上の構成による動作を以下説明する。
図６は、作業対象サーバ１０に対して作業が行われる場合の情報処理システム１００における処理フローを示すフローチャートである。管理サーバ１８の作業情報取得部３６は、作業内容として許可済コマンドが設定された作業情報を開発者ＰＣ１４から取得する（Ｓ１０）。管理サーバ１８のＡＰ設定部３８は、その作業情報にしたがってセキュリティＡＰを設定する（Ｓ１２）。キー設定部４０は、セキュリティＡＰのアクティベーションキーを設定する。そして、条件設定部４２は、「アクティベーションキー＋作業者の秘密情報」をセキュリティＡＰの有効化条件として設定し、「アクティベーションキー＋開発者の秘密情報」を管理サーバ１８と携帯情報端末１６との接続条件として設定する（Ｓ１４）。その後、開発者からのダウンロード要求に基づいて、携帯情報端末１６に対するセキュリティＡＰのダウンロード処理が実行される（Ｓ１６）。

続いて、開発者から携帯情報端末１６を貸与された作業者からの有効化要求に基づいて、携帯情報端末１６においてセキュリティＡＰの有効化処理が実行される（Ｓ１８）。そして、作業者による作業対象サーバ１０への作業時に、携帯情報端末１６においてセキュリティＡＰの実行処理がなされる（Ｓ２０）。携帯情報端末１６においてセキュリティＡＰが有効であれば（Ｓ２２のＹ）、作業者からの無効化要求に基づいて、携帯情報端末１６のＡＰ無効化部７２は、セキュリティＡＰを無効化する（Ｓ２４）。セキュリティＡＰがそもそも無効であれば（Ｓ２２のＮ）、Ｓ２４はスキップされる。続いて、作業者から携帯情報端末１６を回収した開発者からのアップロード要求に基づいて、携帯情報端末１６のＡＰ送信部６８は、セキュリティＡＰとログ情報とを対応づけて管理サーバ１８へアップロードする（Ｓ２６）。管理サーバ１８のログ取得部４６は、携帯情報端末１６からアップロードされたログ情報を取得してログ保持部３０へ格納する（Ｓ２８）。

図７は、図６のＳ１６の処理を詳細に示すフローチャートである。携帯情報端末１６のＡＰ取得部６６は、セキュリティＡＰのダウンロード要求を開発者から受け付けて管理サーバ１８へ転送する。管理サーバ１８のＡＰ提供部４４は、携帯情報端末１６から送信されたセキュリティＡＰのダウンロード要求を受け付ける（Ｓ３０）。そのダウンロード要求において接続条件が正しく指定されている場合（Ｓ３２のＹ）、ＡＰ提供部４４は、セキュリティＡＰと有効化条件と実行終期とが対応づけられたデータを携帯情報端末１６へ送信する（Ｓ３４）。ダウンロード要求において接続条件が正しく指定されていなければ（Ｓ３２のＮ）、Ｓ３４はスキップされる。

図８は、図６のＳ１８の処理を詳細に示すフローチャートである。携帯情報端末１６のＡＰ有効化部７０は、セキュリティＡＰの有効化要求を作業者から受け付ける（Ｓ４０）。その有効化要求において有効化条件が正しく指定されている場合（Ｓ４２のＹ）、ＡＰ有効化部７０は、セキュリティＡＰを実行可能な状態に設定する（Ｓ４４）。有効化要求において有効化条件が正しく指定されていなければ（Ｓ４２のＮ）、Ｓ４４はスキップされる。

なお、図６のＳ２６のアップロード処理についても、図７で示したダウンロード処理と同様に、アップロード要求において接続条件が正しく指定されていることを条件として、データのアップロードが許可される。また、図６のＳ２４の無効化処理についても、図８で示した有効化処理と同様に、無効化要求において有効化条件が正しく指定されていることを条件として、セキュリティＡＰの無効化が許可される。

図９は、図６のＳ２０の処理を詳細に示すフローチャートである。携帯情報端末１６の実行制御部７６は、セキュリティＡＰの起動要求を作業者から受け付けると、セキュリティＡＰの実行を開始する（Ｓ５０）。セキュリティＡＰが利用可能な状態に有効化されており（Ｓ５２のＹ）、作業終期を途過していなければ（Ｓ５４のＮ）、セキュリティＡＰの実行は継続される。作業者からの入力操作が受け付けられたとき（Ｓ５６のＹ）、コマンド送信部７８は、その入力操作がセキュリティＡＰに規定されているか否かを判別する。その入力操作がセキュリティＡＰに規定されている場合（Ｓ５８のＹ）、コマンド送信部７８は、その入力操作に対応づけられた許可済コマンドを作業対象サーバ１０へ送信させる（Ｓ６０）。それとともに、ログ記録部８０は、その入力操作をログ情報として逐次記録する（Ｓ６２）。作業者の入力操作がセキュリティＡＰに規定されたものでない場合（Ｓ５８のＮ）、Ｓ６０はスキップされる。

セキュリティＡＰに規定された一連の入力操作が完了すると（Ｓ６４のＹ）、実行制御部７６は、セキュリティＡＰの実行を終了する（Ｓ６６）。一連の入力操作が未完了であれば（Ｓ６４のＮ）、Ｓ５４に戻る。作業者からの入力操作が受け付けられなければ（Ｓ５６のＮ）、Ｓ５４に戻る。セキュリティＡＰが有効化されていなければ（Ｓ５２のＮ）、Ｓ５４〜Ｓ６４はスキップされる。すなわち実行制御部７６は、セキュリティＡＰの実行を継続しない。作業終期を途過すると（Ｓ５４のＹ）、Ｓ５６〜Ｓ６４はスキップされる。すなわち実行制御部７６は、セキュリティＡＰの実行を強制終了する。なお、作業期間を途過した場合、実行制御部７６はＡＰ無効化部７２に指示して、作業者による操作にかかわらず、セキュリティＡＰを強制的に無効化させてもよい。

本実施の形態の情報処理システム１００においては、作業対象サーバ１０に対する作業に関係する人の職責が分離されている。すなわち、管理者、開発者、承認者、作業者のそれぞれが行うことができる作業が限定されており、これらの関係者の全てが悪意をもった人でない限り、作業対象サーバ１０に対する悪意のあるコマンドの送信は回避される。したがって、情報処理システム１００の構成によれば、作業対象サーバ１０等の保全対象サーバの機密性および保全性を強固に維持することができる。

例えば、作業対象サーバ１０に対して直接的な作業を実施する作業者が悪意をもっていたとしても、情報処理システム１００では、作業対象サーバ１０への作業に対して作業者の悪意が入り込む余地を生じさせない。すなわち、作業者は許可済コマンド以外のコマンドを作業対象サーバ１０へ送信することはできず、また、機密情報を作業対象サーバ１０から取得することもできない。これにより、作業対象サーバ１０は、悪意のある作業者から保護される。

また例えば、作業対象サーバ１０に対する作業内容を決定する開発者が悪意をもっていたとしても、情報処理システム１００では、作業対象サーバ１０への作業に対して開発者の悪意が入り込む余地を生じさせない。すなわち、開発者が決定した作業内容が作業対象サーバ１０に対して実行されるためには承認者による許可が必要であり、その作業内容を実装したセキュリティＡＰはセキュリティ管理部門の管理サーバ１８により設定される。これにより、作業対象サーバ１０は、悪意のある開発者からも保護される。

さらに情報処理システム１００によれば、セキュリティＡＰの改変およびログ情報の改変は禁止される。これにより、例えば、セキュリティＡＰが改変されて、悪意のあるコマンドが作業対象サーバ１０へ送信されることを防止できる。また、ログ情報を改変することにより、実施された悪意のある操作が隠蔽されることを防止できる。また情報処理システム１００によれば、作業対象サーバ１０へログインするためのログイン情報も開発者および作業者等から秘匿されるため、作業対象サーバ１０への不正アクセスも防止できる。

さらにまた情報処理システム１００によれば、セキュリティＡＰのダウンロードには開発者の秘密情報が必要とされ、その有効化には作業者の秘密情報が必要とされる。これにより、悪意のある第三者がセキュリティＡＰを取得し、使用することを防止できる。

以上、本発明を実施の形態をもとに説明した。この実施の形態は例示であり、それらの各構成要素や各処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本発明の範囲にあることは当業者に理解されるところである。以下変形例を示す。

第１の変形例を説明する。データセンタへの入退館や、サーバルームへの入退室のために必要となるキー情報として、セキュリティＡＰに設定された作業対象サーバ１０へのログイン情報が使用されてもよい。この場合、データセンタへの入退館や、サーバルームへの入退室のために、セキュリティＡＰをダウンロードして保持する携帯情報端末１６が使用されてもよい。これにより、データセンタへの入退館や、サーバルームへの入退室のためのＩＤ管理と、保全対象サーバのＩＤ管理とを一元化でき、管理コストを低減できる。

第２の変形例を説明する。実施の形態では言及しなかったが、携帯情報端末１６から作業対象サーバ１０への許可済コマンドの送信後、携帯情報端末１６は作業対象サーバ１０から許可済コマンドの実行状況を示すフィードバックデータを取得してもよい。そして、そのフィードバックデータを携帯情報端末１６の表示装置に表示させてもよい。また、そのフィードバックデータを表示するための専用の表示装置がデータセンタに配置されてもよい。この変形例によれば、作業者は、許可済コマンドの実行による作業対象サーバ１０の挙動を確認しながら携帯情報端末１６への入力操作を行うことができる。なお、携帯情報端末１６が受け付けたフィードバックデータは、ログ情報として記録されてもよい。

第３の変形例を説明する。管理サーバ１８の条件設定部４２は、セキュリティＡＰに対して、入力操作に基づき許可済コマンドを選択する条件として、入力操作の実行順序を定めた実行順序条件をさらに設定してもよい。このセキュリティＡＰを実行する携帯情報端末１６のコマンド送信部７８は、新たに受け付けた入力操作とその前に受け付けた入力操作とが実行順序条件を充足することを条件として、新たに受け付けた入力操作に対応する許可済コマンドを選択してもよい。実行順序条件を充足しない場合は、新たに受け付けた入力操作を無視してもよい。この変形例によれば、予め承認された順序での許可済コマンドの送信を担保でき、保全対象サーバのセキュリティを一層高めることができる。

第４の変形例を説明する。実施の形態では、セキュリティＡＰにおいて１つの入力操作と１つの許可済コマンドとが対応づけられた。変形例として、セキュリティＡＰにおいて１つの入力操作と複数の許可済コマンドとが対応づけられてもよい。

第５の変形例を説明する。実施の形態では、管理サーバ１８に対する作業情報の送信元は開発者ＰＣ１４であったが、変形例として、その送信元は承認者のＰＣであってもよい。また、開発者が決定した作業情報の許否を承認者が決定するビジネスプロセス・ワークフローを自動化した、その作業情報を承認者に回覧するワークフローサーバが、作業情報の送信元であってもよい。悪意を持つ開発者によって承認済の作業情報が改変されてしまうことを防止し、保全対象サーバのセキュリティを一層高めることができる。

第６の変形例を説明する。実施の形態では携帯情報端末１６の入力装置について言及しなかったが、その入力装置は、開発者および作業者による任意の情報入力が制限される態様であってもよい。例えば、セキュリティＡＰに規定されうる入力操作のみが可能な態様であってもよく、「１〜９」等の数字情報のみが入力可能であってもよい。

上述した実施の形態および変形例の任意の組み合わせもまた本発明の実施の形態として有用である。組み合わせによって生じる新たな実施の形態は、組み合わされる実施の形態および変形例それぞれの効果をあわせもつ。

請求項に記載の各構成要件が果たすべき機能は、実施の形態および変形例において示された各構成要素の単体もしくはそれらの連携によって実現されることも当業者には理解されるところである。

１０ 作業対象サーバ、 １６ 携帯情報端末、 １８ 管理サーバ、 ２２ ログイン情報保持部、 ２４ 秘密情報保持部、 ２６ ＡＰ保持部、 ２８ 接続条件保持部、 ３０ ログ保持部、 ３６ 作業情報取得部、 ３８ ＡＰ設定部、 ４０ キー設定部、 ４２ 条件設定部、 ４４ ＡＰ提供部、 ４６ ログ取得部、 ５２ ＡＰ保持部、 ５４ ＡＰ保護部、 ５６ ログ保持部、 ５８ ログ保護部、 ６０ 操作検出部、 ６２ 通信処理部、 ６６ ＡＰ取得部、 ６８ ＡＰ送信部、 ７０ ＡＰ有効化部、 ７２ ＡＰ無効化部、 ７４ ＡＰ実行部、 ７６ 実行制御部、 ７８ コマンド送信部、 ８０ ログ記録部、 １００ 情報処理システム。

Claims (7)

1. 管理サーバと、
   作業対象サーバに対して作業者が作業を行うための情報端末と、を備え、
   前記管理サーバは、
   前記作業対象サーバへ送信するコマンドであって、前記作業対象サーバに対する作業内容の許否を決定する承認プロセスにおいて許可された許可済コマンドを取得するコマンド取得部と、
   前記情報端末に対する所定の操作と前記許可済コマンドとが対応づけられたアプリケーションであって、前記情報端末において実行させるべき作業用アプリケーションを設定するアプリケーション設定部と、を含み、
   前記情報端末は、
   当該情報端末に対する作業者による操作を検出する操作検出部と、
   前記管理サーバにより生成された作業用アプリケーションを取得するアプリケーション取得部と、
   取得された作業用アプリケーションを実行し、当該情報端末に対する前記所定の操作が検出されたとき、その操作に対応づけられた許可済コマンドを選択するアプリケーション実行部と、
   前記アプリケーション実行部により選択された許可済コマンドを前記作業対象サーバへ送信する一方、前記所定の操作以外の操作に基づくコマンドの送信は制限する通信処理部と、を含むことを特徴とするセキュリティ維持支援システム。
2. 前記情報端末は、前記操作検出部において検出された操作内容にかかわらず、前記作業用アプリケーションの改変を禁止するアプリケーション保護部をさらに含むことを特徴とする請求項１に記載のセキュリティ維持支援システム。
3. 前記管理サーバのアプリケーション設定部は、前記作業対象サーバへのログインに必要なログイン情報を、前記作業対象サーバへログインするためのコマンドに対応づけて前記アプリケーションに設定し、
   前記情報端末は、前記操作検出部において検出された操作内容にかかわらず、前記ログイン情報の参照を禁止するアプリケーション保護部をさらに含むことを特徴とする請求項１に記載のセキュリティ維持支援システム。
4. 前記情報端末は、
   前記操作検出部において検出された操作内容をログ情報として逐次記録するログ記録部と、
   前記操作検出部において検出された操作内容にかかわらず、前記ログ情報の改変を禁止するログ保護部をさらに含むことを特徴とする請求項１から３のいずれかに記載のセキュリティ維持支援システム。
5. 前記管理サーバのアプリケーション設定部は、前記アプリケーションを利用可能にするためのキーとして、予め定められた作業者の秘密情報を前記アプリケーションに設定し、
   前記情報端末の操作受付部は、作業者による秘密情報の入力を検出し、
   前記情報端末のアプリケーション実行部は、作業者により入力された秘密情報が、前記予め定められた作業者の秘密情報と合致することを条件として、前記アプリケーションの実行を継続することを特徴とする請求項１から４のいずれかに記載のセキュリティ維持支援システム。
6. 作業対象サーバに対する作業プロセスにおいて使用される情報端末であって、
   前記作業対象サーバへ送信するコマンドであって、前記作業対象サーバに対する作業内容の許否を決定する承認プロセスにおいて許可された許可済コマンドを、当該情報端末に対する所定の操作と対応づけて保持するコマンド保持部と、
   前記作業プロセスにおける当該情報端末に対する操作を検出する操作検出部と、
   当該情報端末に対する前記所定の操作が検出されたとき、その操作に対応づけられた許可済コマンドを前記作業対象サーバへ送信する一方、前記所定の操作以外の操作に基づくコマンドの送信は制限する通信処理部と、
   を備えることを特徴とする情報端末。
7. 作業対象サーバに対する作業プロセスにおいて使用される情報端末に、
   前記作業対象サーバへ送信するコマンドであって、前記作業対象サーバに対する作業内容の許否を決定する承認プロセスにおいて許可された許可済コマンドを、当該情報端末に対する所定の操作と対応づけて所定の記憶装置に保持させる機能と、
   前記作業プロセスにおける当該情報端末に対する操作を検出する機能と、
   当該情報端末に対する前記所定の操作が検出されたとき、その操作に対応づけられた許可済コマンドを前記作業対象サーバへ送信する一方、前記所定の操作以外の操作に基づくコマンドの送信は制限する機能と、
   を実現させることを特徴とするコンピュータプログラム。

Images