JP6027069B2 - Ｖｐｎアクセス制御システム、その作動方法及びプログラム、並びにｖｐｎルータ及びサーバ - Google Patents

Description

本発明は、ＶＰＮを利用したリモートアクセスを制御するＶＰＮアクセス制御システム、その作動方法及びプログラム、並びにＶＰＮルータ及びサーバに関するものである。

情報セキュリティの高い通信ネットワークを構築するための通信技術としてＶＰＮ（Virtual Private Network）が知られている。ＶＰＮは、インターネットや、通信事業者が提供する広域ＩＰ（Internet Protocol）ネットワークなどの共用型の広域ネットワークを共用ネットワークとして使用し、この共用ネットワーク上に複数のユーザ（企業や病院など）の仮想的な専用線を構築する技術である。専用線は、物理的に回線を占有するため、情報セキュリティが高い反面、コストも高くなるというデメリットがある。ＶＰＮは、共用型のバックボーンネットワーク上に複数のユーザの専用線を仮想的に構築できるため、低コストで高い情報セキュリティを確保できる。

インターネットや広域ＩＰネットワークは、通信プロトコルとしてＴＣＰ／ＩＰ（Transmission Control Protocol／Internet Protocol）が使用されるため、データはＩＰ（Internet Protocol）パケットの形態で転送される。ＶＰＮでは、ＩＰパケットにユーザ毎のＶＰＮに固有な「ラベル」と呼ばれる識別子を付けて転送する、「ＭＰＬＳ（Multi Protocol Label Switching）」などのカプセリング技術や、ＩＰｓｅｃ（Internet Protocol Security）などの暗号化技術を使うことで、共用ネットワーク内に論理的な専用通信チャンネルが確立される。これにより、情報セキュリティが確保される。

ＶＰＮは、ＶＰＮルータを用いることによって実現される。ＶＰＮルータは、転送するＩＰパケットに関してネットワーク上の通信経路の選択を行う通常のルーティング機能に加えて、ＩＰパケットの暗号化を行う暗号化機能を有する。ＶＰＮルータは、医療施設内のＬＡＮ（Local Area Network）などの内部の通信ネットワークと、インターネットなどの外部の通信ネットワークとの間の通信を媒介するゲートウェイとして機能する。

外部の通信ネットワークから内部の通信ネットワークに対するアクセスは、一般にリモートアクセスと呼ばれる。ＶＰＮルータによってＶＰＮが構築されている場合には、内部の通信ネットワークに対して、ＶＰＮを利用したリモートアクセスを行うことになる。ＶＰＮルータは、リモートアクセスをする端末についてアクセス権限の有無を判定し、アクセス権限の有る端末のアクセスを許可し、アクセス権限の無い端末のアクセスを禁止する。

アクセス権限は、ＶＰＮルータに対するユーザ登録と、登録ユーザに対する認証情報の通知により、付与される。具体的には、ＶＰＮルータは、要求に応じてユーザの認証情報としてユーザＩＤとパスワードを発行して、発行した認証情報をユーザのアカウント情報として登録する。これによりＶＰＮルータに対するユーザ登録が行われる。登録ユーザに対しては、認証情報が通知される。これにより登録ユーザに対してアクセス権限が付与される。また、登録ユーザの端末には、ＶＰＮアクセス用のソフトウェア（ＶＰＮクライアントソフトウェアなどと呼ばれる）がインストールされ、ＶＰＮクライアントソフトウェアを通じて認証が行われる。

特許文献１に記載の中継システムでは、緊急時において、未登録ユーザ（臨時オペレータ）の端末のリモートアクセスを一時的に許可する技術が記載されている（段落００８５〜００９４）。特許文献１に記載の中継システムでは、内部の通信ネットワークのゲートウェイとして、ルータ機能を有するセンター端末５が設けられている（図１、図２）。管理者（第２オペレータＯｐ２、段落００８９）は、リモートアクセスの一時アクセス許可の依頼を受け付けると、センター端末５に対して設定を行い、リモートアクセスを行うユーザに対して、電話などによって、ワンタイムパスワードなどの認証情報を通知する（段落００８９）。これにより未登録ユーザの端末の登録が行われて、アクセス権限が付与される。センター端末５を通じてアクセスすることで、外部の通信ネットワークから内部の通信ネットワークへのリモートアクセスが可能となる。リモートアクセスするユーザの端末がログアウトすると、再度のリモートアクセスは禁止される（段落０１０３〜０１０６）。

特開２０１２−２３１２９３号公報

上述のとおり、ＶＰＮを利用したリモートアクセスをする場合には、第１に、ゲートウェイとなるＶＰＮルータの認証を得ることが必要であるが、実際には、ＶＰＮルータの認証に加えて、さらに、最終的なアクセス先となるサーバの認証が必要となる場合が多い。例えば、病院内部の通信ネットワークである院内ネットワークの画像サーバに対して、ＶＰＮを利用したリモートアクセスを行う場合には、院内ネットワークのゲートウェイとなるＶＰＮルータの認証に加えて、最終的なアクセス先となる画像サーバの認証を得る必要がある。この場合には、未登録ユーザの端末に対してリモートアクセスの許可を与えるためには、ＶＰＮルータに対するユーザ登録に加えて、画像サーバのユーザ登録も必要となる。このようにＶＰＮルータ及びアクセス先のサーバの２つの登録を行うのは手間が多く時間も掛かる。こうした手間の軽減や時間の短縮化に関する要望は、医療現場など迅速性が求められる現場では、特に強い。

特許文献１に記載の技術では、リモートアクセスの必要がある場合には、管理者によってＶＰＮルータの設定を行うようにしているが、サーバの設定については記載されていない。仮に管理者がサーバの設定を行うようにしても、管理者の作業の手間が減ることにはならず、上記問題を解決する解決策にはならない。しかも、特許文献１に記載されているように、認証情報の通知に関しては、管理者が、臨時オペレータに対して電話連絡によって行っている。このような電話連絡は、本人確認の確実性を担保する意味では有効であるが、管理者にとっては作業の手間が掛かるため、こうした作業の軽減要望も強い。

本発明は、管理者の作業の手間を減らし、かつ、迅速に、ＶＰＮを利用したリモートアクセスの許可を与えることができるＶＰＮアクセス制御システムその作動方法及びプログラム、並びにＶＰＮルータ及びサーバを提供することを目的とする。

本発明のＶＰＮアクセス制御システムは、ＶＰＮルータとサーバとを備え、ＶＰＮルータの外部の通信ネットワークから、サーバが接続された内部の通信ネットワークに対するリモートアクセスを制御するＶＰＮアクセス制御システムであり、サーバは、要求受付部、第１ユーザ登録部及びコマンド発行部を有しており、ＶＰＮルータは、第２ユーザ登録部及び認証情報送信部を有している。ＶＰＮルータは、アクセス権限が付与された登録ユーザの端末からアクセス要求を受信した場合に、ルータ認証情報に基づいてアクセス許可を与える認証機能を有する。サーバは、登録ユーザの端末からＶＰＮルータを経由したアクセス要求を受信した場合に、ルータ認証情報とは別のサーバ認証情報に基づいてアクセス許可を与える認証機能を有する。要求受付部は、アクセス権限を付与された登録ユーザの端末から発行され、アクセス権限が付与されていない未登録ユーザの端末に対してアクセス権限を付与するためのアクセス権限付与要求を受け付ける。第１ユーザ登録部は、アクセス権限付与要求に基づいて、未登録ユーザに対するサーバ認証情報の発行と第１ユーザ登録を実行する。コマンド発行部は、サーバ認証情報を含み、かつ、ＶＰＮルータに対してルータ認証情報の発行と第２ユーザ登録とを指令するコマンドを発行する。第２ユーザ登録部は、コマンドに基づいて、ルータ認証情報を発行し、かつ、第２ユーザ登録を実行する。ルータ認証情報及びサーバ認証情報を含む認証情報を未登録ユーザに送信する認証情報送信部とを有している。

アクセス権限付与要求には、未登録ユーザの通知先が含まれており、認証情報送信部は、認証情報を通知先に送信することが好ましい。

コマンド発行部は、サーバ認証情報及びコマンドをメール形式でＶＰＮルータに送信することが好ましい。

端末には、リモートアクセスをするためのＶＰＮクライアントソフトウェアがインストールされており、ＶＰＮルータは、ＶＰＮクライアントソフトウェアを通じて、ルータ認証情報を受信することが好ましい。

認証情報送信部は、サーバ認証情報及びルータ認証情報を、ＶＰＮクライアントソフトウェアが解読可能な情報に暗号化して送信することが好ましい。認証情報送信部は、サーバのアドレスも暗号化することが好ましい。

第１ユーザ登録部又は第２ユーザ登録部は、ルータ認証情報又はサーバ認証情報の有効期間を設定する有効期間設定機能を有していることが好ましい。

アクセス権限付与要求には、アクセス権限の有効期間を指定することが可能であり、第１ユーザ登録部又は第２ユーザ登録部は、指定に基づいてサーバ認証情報又はルータ認証情報の有効期間を設定することが好ましい。

第１ユーザ登録部又は第２ユーザ登録部は、指定が無い場合には予め設定された有効期間を設定することが好ましい。

ＶＰＮルータは、受信したＩＰパケットのアドレス情報を参照して、送信元アドレスがサーバで、宛先アドレスがＶＰＮルータである場合に、ＩＰパケットにコマンドが含まれていると判定することが好ましい。

サーバは、医療情報を配信する医療情報サーバであることが好ましい。医療情報サーバは、医療施設内に設置されていることが好ましい。

本発明のＶＰＮアクセス制御システムの作動方法は、ＶＰＮルータとサーバとを備え、ＶＰＮルータの外部の通信ネットワークから、サーバが接続された内部の通信ネットワークに対するリモートアクセスを制御するＶＰＮアクセス制御システムの作動方法であり、サーバは、要求受付ステップ、第１ユーザ登録ステップ及びコマンド発行ステップを実行し、ＶＰＮルータは、第２ユーザ登録ステップ及び認証情報送信ステップを実行する。要求受付ステップは、アクセス権限を付与された登録ユーザの端末から発行され、アクセス権限が付与されていない未登録ユーザの端末に対してアクセス権限を付与するためのアクセス権限付与要求を受け付ける。第１ユーザ登録ステップは、アクセス権限付与要求に基づいて、未登録ユーザに対するサーバ認証情報の発行と第１ユーザ登録を実行する。コマンド発行ステップは、サーバ認証情報を含み、かつ、ＶＰＮルータに対してルータ認証情報の発行と第２ユーザ登録とを指令するコマンドを発行する。第２ユーザ登録ステップは、コマンドに基づいて、ルータ認証情報を発行し、かつ、第２ユーザ登録を実行する。認証情報送信ステップは、ルータ認証情報及びサーバ認証情報を含む認証情報を未登録ユーザに送信する。

本発明のＶＰＮアクセス制御システムのプログラムは、ＶＰＮルータとサーバとを備え、ＶＰＮルータの外部の通信ネットワークから、サーバが接続された内部の通信ネットワークに対するリモートアクセスを制御するＶＰＮアクセス制御システムのプログラムであり、サーバを、要求受付部、第１ユーザ登録部及びコマンド発行部として機能させ、ＶＰＮルータを、第２ユーザ登録部及び認証情報送信部として機能させる。要求受付部は、アクセス権限を付与された登録ユーザの端末から発行され、アクセス権限が付与されていない未登録ユーザの端末に対してアクセス権限を付与するためのアクセス権限付与要求を受け付ける。

本発明のＶＰＮルータは、アクセス権限が付与された登録ユーザの端末からアクセス要求を受信した場合に、ルータ認証情報に基づいてアクセス許可を与える認証機能を有するＶＰＮルータであり、登録ユーザの端末からＶＰＮルータを経由したアクセス要求を受信した場合に、ルータ認証情報とは別のサーバ認証情報に基づいてアクセス許可を与える認証機能を有するサーバと協働して、ＶＰＮルータの外部の通信ネットワークから、サーバが接続された内部の通信ネットワークに対するリモートアクセスを制御するＶＰＮアクセス制御を行うＶＰＮルータにおいて、第２ユーザ登録部と、認証情報送信部とを備える。第２ユーザ登録部は、アクセス権限を付与された登録ユーザの端末から発行され、アクセス権限が付与されていない未登録ユーザの端末に対してアクセス権限を付与するためのアクセス権限付与要求に基づいて、サーバが、未登録ユーザに対するサーバ認証情報の発行と第１ユーザ登録を実行した後、サーバが発行する、サーバ認証情報を含むコマンドに基づいて、ルータ認証情報を発行し、かつ、第２ユーザ登録を実行する。認証情報送信部は、ルータ認証情報及びサーバ認証情報を含む認証情報を未登録ユーザに送信する。

本発明のサーバは、アクセス権限が付与された登録ユーザの端末からアクセス要求を受信した場合に、サーバ認証情報に基づいてアクセス許可を与える認証機能を有するサーバであり、サーバ認証情報とは別のルータ認証情報に基づいてアクセス許可を与える認証機能を有するＶＰＮルータと協働して、ＶＰＮルータの外部の通信ネットワークから、サーバが接続された内部の通信ネットワークに対するリモートアクセスを制御するＶＰＮアクセス制御を行うサーバにおいて、要求受付部と、第１ユーザ登録部とを備えている。

本発明によれば、管理者の作業の手間を減らし、かつ、迅速に、ＶＰＮを利用したリモートアクセスの許可を与えることができるＶＰＮアクセス制御システムその作動方法及びプログラム、並びにＶＰＮルータ及びサーバを提供することができる。

院内システムの構成図である。 アクセス権限付与申請画面の説明図である。 ＶＰＮアクセス制御システムを構成する画像サーバ及びＶＰＮルータの機能ブロックズである。 第１ユーザ登録テーブルの説明図である。 携帯端末からサーバに送信されるＩＰパケットの説明図である。 画像サーバからＶＰＮルータに送信されるコマンドの説明図である。 認証情報通知の説明図である。 認証情報通知部の暗号化手順を示すフローチャートである。 アクセス権限付与手順を示すフローチャートである。

図１において、本発明のＶＰＮアクセス制御システムの一形態である院内システム１０は、病院（医療施設）１１に構築される情報システムであり、カルテサーバ１２、画像サーバ１３、クライアント端末１４、ＶＰＮルータ１６を備えている。これらは、病院１１内に敷設された通信ネットワークであるＬＡＮ（Local Area Network）１７によって相互に通信可能に接続される。

カルテサーバ１２は、患者の電子カルテを配信するサーバであり、電子カルテを検索可能に格納するカルテＤＢ（Data Base）１２Ａを備えている。画像サーバ１３は、患者の検査画像を配信するサーバであり、検査画像を検索可能に格納する画像ＤＢ１３Ａを備えている。

クライアント端末１４は、外科や内科といった診療科に設置される端末であり、電子カルテや画像の閲覧機能を有している。クライアント端末１４には、カルテサーバ１２や画像サーバ１３に対するアクセス権限が付与されている。カルテサーバ１２や画像サーバ１３は、クライアント端末１４に対するアクセス許可を与える認証機能を有している。カルテサーバ１２や画像サーバ１３は、クライアント端末１４からの閲覧や更新要求などのアクセス要求を受信した場合には、予め登録されたユーザに対して発行されるサーバ認証情報に基づいて、アクセス権限の認証を行う。アクセス権限が認証されたクライアント端末１４に対するアクセスを許可し、アクセスを許可した場合には、アクセス要求の内容に基づいて電子カルテや検査画像の配信や電子カルテの更新を行う。

院内システム１０においては、病院１１内から病院１１外のインターネット１８などの外部の通信ネットワークへの情報漏洩や、外部の通信ネットワークから内部の通信ネットワークであるＬＡＮ１７及び院内システム１０への不法侵入に対する対策として、ＶＰＮルータ１６を用いることによりＶＰＮが構築されている。ＬＡＮ１７やインターネット１８では、ＴＣＰ／ＩＰで規定されたＩＰパケットの形態でデータが転送される。ＶＰＮルータ１６は、ネットワーク上で転送されるＩＰパケットについて、ＩＰパケットに含まれるＩＰアドレスに基づいて通信経路の選択（ルーティング）を行う通常のルータ機能に加えて、暗号化機能を備えたものである。

ＶＰＮルータ１６は、院内のＬＡＮ１７など、ＶＰＮルータ１６を基準とする内部の通信ネットワークと、インターネット１８など、ＶＰＮルータ１６を基準とする外部の通信ネットワークとを接続するゲートウェイとして機能する。外部の通信ネットワークから内部の通信ネットワークへの接続は、すべてＶＰＮルータ１６経由で行われる。外部の通信ネットワークは、インターネット１８の他、公衆電話網（ＰＴＳＮ：Public Switched Telephone Network）や広域ＩＰネットワークなどのＷＡＮ（Wide Area Network）がある。

上述のとおり、ＶＰＮは、ＩＰｓｅｃなどの暗号化技術により、ＩＰパケットを特定の相手にのみ解読可能な形態に変換して送信する技術であり、ＩＰパケットの暗号化により、インターネット１８などの共用ネットワーク内に論理的な専用通信チャンネルが確立される。

ＶＰＮルータ１６は、登録ユーザの端末からアクセス要求を受信した場合に、ルータ認証情報に基づいてアクセス許可を与える認証機能を有している。ルータ認証情報は、画像サーバ１３のサーバ認証情報と同様に、登録ユーザに対して発行される。ＶＰＮルータ１６は、ルータ認証情報に基づく認証処理を行って、アクセス権限の有無を判定する。そして、アクセス権限が付与された端末からのアクセスのみを許容し、アクセス権限の無い端末からのアクセスを禁止する。

例えば、病院１１（Ａ病院）の職員である医師Ｄ１が、医師Ｄ１の携帯端末２１を用いて、出先から、ＶＰＮが構築された院内システム１０にアクセスする場合がある。この場合には、インターネット１８などの外部の通信ネットワークから、ＬＡＮ１７などの内部の通信ネットワークに対して、ＶＰＮを利用したリモートアクセスを行うことになる。医師Ｄ１は、病院１１の職員であるため、ＶＰＮルータ１６には、医師Ｄ１の情報が登録されており、医師Ｄ１に対してはアクセス権限が付与されている。医師Ｄ１の携帯端末２１には、ＶＰＮルータ１６に対して外部ネットワーク経由でリモートアクセスするためのＶＰＮクライアントソフトウェア２２がインストールされている。

携帯端末２１は、例えば、スマートフォン、タブレット型端末、ノート型端末などの無線通信機能を備えた携帯端末である。なお、本例では、リモートアクセスする端末として、携帯端末を例に説明しているが、据え置き型の端末を使用してもよい。

ＶＰＮクライアントソフトウェア２２は、ＶＰＮルータ１６と通信するために、ＩＰパケットの暗号化や復号化などを行うアプリケーションソフトウェアである。ＶＰＮルータ１６は、リモートアクセスする端末については、ＶＰＮクライアントソフトウェア２２がインストールされている端末のみと通信する。つまり、ＶＰＮルータ１６を経由して院内システム１０にアクセスするためには、ＶＰＮクライアントソフトウェア２２が必要になる。

ＶＰＮクライアントソフトウェア２２は、携帯端末２１には予めインストールされているが、例えば、インターネット１８に接続されたＷＥＢ（World Wide Webの略称）サーバ２３からダウンロードしてインストールすることも可能である。ＷＥＢサーバ２３は、ＶＰＮクライアントソフトウェア２２などのアプリケーションソフトウェアを格納するアプリＤＢ２３Ａを有しており、端末からの配信要求に応じてアプリケーションソフトウェアを配信するサーバである。

医師Ｄ１が院内システム１０にリモートアクセスする場合は、例えば、携帯端末２１においてＶＰＮクライアントソフトウェア２２を起動して、院内システム１０内の画像サーバ１３のＵＲＬ（Uniform Resource Locator）アドレスを指定して、インターネット１８経由でアクセス要求を送信する。登録ユーザの携帯端末２１が送信するアクセス要求には、ルータ認証情報及びサーバ認証情報が含まれている。携帯端末２１からのアクセス要求は、院内システム１０のゲートウェイであるＶＰＮルータ１６で受信される。ＶＰＮルータ１６は、アクセス要求を受信すると、ルータ認証情報に基づいてアクセス権限の認証を行ってアクセスを許可する。ＶＰＮルータ１６で認証されたアクセス要求は、ＬＡＮ１７を経由して、画像サーバ１３に送信される。画像サーバ１３において、さらにサーバ認証情報に基づくアクセス権限の認証が行われて、画像サーバ１３に対するアクセスが許可される。

このように院内システム１０ではＶＰＮが構築されているため、医師Ｄ１のようにアクセス権限を有する登録ユーザはリモートアクセスが可能だが、病院１１（Ａ病院）の職員以外の部外者などの未登録ユーザはアクセス権限が無いため、リモートアクセスを行うことは、原則としてできない。しかしながら、例えば、Ａ病院の医師Ｄ１が、Ｂ病院の医師Ｄ２など外部の医師に対して、Ａ病院の患者の検査画像の読影を依頼する場合がある。院内システム１０は、このような場合に医師Ｄ２に対して一時的に院内システム１０に対するアクセス権限を付与する機能を備えている。

このように、それぞれ認証機能を有するＶＰＮルータ１６と画像サーバ１３は、インターネット１８などの外部の通信ネットワークから、画像サーバ１３が接続された内部の通信ネットワークであるＬＡＮ１７に対する、ＶＰＮを利用したリモートアクセスを制御するＶＰＮアクセス制御システムとして機能する。

院内システム１０は、ＶＰＮルータ１６を通じて、院内システム１０のアクセス権限を有する医師Ｄ１の携帯端末２１から、アクセス権限を持たない医師Ｄ２に対して一時的なアクセス権限を付与するためのアクセス権限付与要求を受け付ける。院内システム１０は、アクセス権限付与要求を受け付けると、認証情報を発行して、医師Ｄ２の携帯端末２４に通知する。医師Ｄ２は、携帯端末２４において、ＷＥＢサーバ２３からＶＰＮクライアントソフトウェア２２をダウンロードして、ＶＰＮクライアントソフトウェア２２と認証情報を利用することにより、院内システム１０にアクセスすることができる。

図２に示すように、医師Ｄ１の携帯端末２１からのアクセス権限付与要求の発行は、アクセス権限付与申請画面２７を通じて行われる。アクセス権限付与申請画面２７は、携帯端末２１からの要求により、アクセス対象のサーバ、例えば、画像サーバ１３からダウンロードされる。アクセス権限付与申請画面２７は、携帯端末２１のディスプレイに表示される。

アクセス権限付与申請画面２７には、アクセス権限付与申請をする対象者のメールアドレスを入力する入力欄２７Ａ、アクセス権限の有効期間を入力する入力欄２７Ｂ、ＯＫボタン２７Ｃ、キャンセルボタン２７Ｄが設けられている。また、アクセス権限付与申請画面２７には、入力欄２７Ａ及び入力欄２７Ｂに対して、アクセス権限付与申請する対象者のメールアドレス及びアクセス権限の有効期間の入力を促す案内メッセージが表示される。

Ｂ病院の医師Ｄ２に対してアクセス権限の付与を要求する場合には、入力欄２７ＡにはＢ病院の医師Ｄ２のメールアドレスが入力される。有効期間は、例えば、２０１４年６月６日〜２０１４年６月１３日というように、始期と終期を入力することにより、指定される。有効期間は、３日、１週間、１ヶ月というように期間そのものを入力することにより指定できるようにしてもよい。ＯＫボタン２７Ｃが押されると、入力したメールアドレスや有効期間を含むアクセス権限付与要求が発行されて、画像サーバ１３に送信される。キャンセルボタン２７Ｄは入力内容をキャンセルする操作ボタンである。

図３において、画像サーバ１３とＶＰＮルータ１６の組み合わせを例に、ＶＰＮアクセス制御機能を実現する構成について説明する。画像サーバ１３は、パーソナルコンピュータやワークステーションなどのコンピュータをベースに、オペレーティングシステムなどの制御プログラムや、コンピュータを画像サーバ１３として機能させるためのサーバプログラム３６をインストールして構成される。なお、図示しないが、画像サーバ１３は、ディスプレイ及び入力デバイス（キーボードやマウス）を備えている。

画像サーバ１３は、ＣＰＵ（Central Processing Unit）３１、メモリ３２、ストレージデバイス３３、通信Ｉ／Ｆ（Inter/face）３４が設けられており、これらはデータバス（図示せず）を介して接続されている。

ストレージデバイス３３は、各種データを格納するデバイスであり、例えば、ハードディスクドライブで構成される。ストレージデバイス３３は、制御プログラムや、サーバプログラム３６が格納される。また、ストレージデバイス３３には、画像サーバ１３に対するアクセス可能な登録ユーザに関する情報を記録した第１ユーザ登録テーブル３７が格納されている。

メモリ３２は、ＣＰＵ３１が処理を実行するためのワークメモリであり、例えば、ＲＡＭ（Random Access Memory）で構成される。ＣＰＵ３１は、ストレージデバイス３３に格納された制御プログラムを、メモリ３２へロードして、プログラムに従った処理を実行することにより、コンピュータの各部を統括的に制御する。通信Ｉ／Ｆ３４は、ＬＡＮ１７に接続するための伝送制御を行う。画像サーバ１３は、通信Ｉ／Ｆ３４を介して、ＬＡＮ１７に接続されたクライアント端末１４と通信し、通信Ｉ／Ｆ３４及びＶＰＮルータ１６を介して外部の携帯端末２１などと通信を行う。

サーバプログラム３６には、画像サーバ機能に加えて、ＶＰＮアクセス制御機能の一端を担うサーバ認証機能を実現するためのプログラムが含まれており、サーバプログラム３６が起動すると、画像サーバ１３のＣＰＵ３１は、メモリ３２と協働して、サーバ認証部３１Ａ、要求受付部３１Ｂ、第１ユーザ登録部３１Ｃ、コマンド発行部３１Ｄとして機能する。

サーバ認証部３１Ａは、予め登録されたユーザに与えられたサーバ認証情報に基づいて、画像サーバ１３に対するアクセスを許可するか否かの認証処理を行う。具体的には、サーバ認証部３１Ａは、例えば、医師Ｄ１などの登録ユーザの携帯端末２１から各種のアクセス要求（配信要求、更新要求など）を受信した場合には、携帯端末２１に対してサーバ認証情報の入力を求めるメッセージが記述された入力画面を送信する。入力画面においてユーザによってサーバ認証情報が入力されると、携帯端末２１から画像サーバ１３にサーバ認証情報が送信される。サーバ認証部３１Ａは、携帯端末２１から送信されるサーバ認証情報と、第１ユーザ登録テーブル３７にユーザ毎に登録されたサーバ認証情報とを照合する。サーバ認証部３１Ａは、照合の結果、両者が一致する場合には、当該ユーザがアクセス権限を有すると判定して、アクセスを許可し、一致しない場合には、アクセスを拒否する。

要求受付部３１Ｂは、アクセスが許可された携帯端末２１からの各種のアクセス要求を受け付けて、受け付けたアクセス要求を要求内容に応じて各部に振り分ける。例えば、画像の配信要求を受け付けた場合には、画像配信部（図示せず）に配信要求を入力する。更新要求の場合には、データベース更新部に更新要求を入力する。また、アクセス権限付与要求（図２参照）を受け付けた場合には、アクセス権限付与要求を第１ユーザ登録部３１Ｃに入力する。上述のとおり、アクセス権限付与要求は、アクセス権限が付与されていない未登録ユーザの端末に対してアクセス権限を付与するための要求である。

第１ユーザ登録部３１Ｃは、アクセス権限付与要求が入力されると、アクセス権限付与要求の内容に基づいて、未登録ユーザのユーザ登録を行ってサーバ認証情報を発行し、第１ユーザ登録処理を行う。アクセス権限付与要求には、アクセス権限の付与対象の未登録ユーザである対象者のメールアドレスと有効期間が含まれている。第１ユーザ登録部３１Ｃは、有効期間などのアクセス権限の内容と、発行したサーバ認証情報とを関連付けて第１ユーザ登録テーブル３７に登録する。

図４に示すように、第１ユーザ登録テーブル３７には、ユーザ毎のユーザ登録情報が記録される。ユーザ登録情報は、ユーザＩＤ（Identification Data）、パスワード（ＰＡＳＳ）、ユーザ種別、アクセス権限の有効期間などの項目を有する。ユーザ登録情報のうち、ユーザＩＤとパスワードでサーバ認証情報が構成される。

ユーザ種別は、例えば、標準ユーザ（標準）と一時ユーザ（一時）の２種類がある。標準ユーザは、医師Ｄ１のように、画像サーバ１３を保有するＡ病院の職員である。標準ユーザの有効期間は期限無しとされる。一時ユーザは、Ｂ病院の医師Ｄ２のように、Ａ病院以外の外部ユーザであり、アクセス権限付与要求によって一時的にアクセス権限が付与されるユーザである。一時ユーザの場合には、アクセス権限付与要求において指定された有効期間が設定される。有効期間が経過しているユーザに対しては、サーバ認証情報の判定結果いかんに関わらず、サーバ認証部３１Ａによってアクセスが禁止される。

コマンド発行部３１Ｄは、第１ユーザ登録部３１Ｃが第１ユーザ登録処理を完了すると、第１ユーザ登録部３１Ｃが発行したサーバ認証情報を受け取り、サーバ認証情報を含むコマンド３８を発行する処理を行う。コマンド３８は、ＶＰＮルータ１６に対して、ユーザ登録と、ルータ認証情報の発行を指令するコマンドである。後述するように、コマンド３８は、メール形式のメールデータ５１（図７参照）に挿入された形態で作成される。

ＶＰＮルータ１６は、コンピュータ機器であり、ＣＰＵ４１、メモリ４２、ストレージデバイス４３、通信Ｉ／Ｆ４４を有しており、これらはデータバス（図示せず）を介して接続されている。

ストレージデバイス３３は、各種データを格納するデバイスであり、例えば、フラッシュメモリやＥＥＰＲＯＭ（Electrically Erasable Programmable Read-Only Memory）などの不揮発性メモリで構成される。ストレージデバイス４３は、ＣＰＵ４１にＶＰＮルータ１６としての機能を実現させるためのルータプログラム４６が格納される。また、ストレージデバイス４３には、ＶＰＮルータ１６に対するアクセス可能な登録ユーザに関する情報を記録した第２ユーザ登録テーブル４７が格納されている。

メモリ４２は、ＣＰＵ４１が処理を実行するためのワークメモリであり、例えばＲＡＭで構成される。ＣＰＵ４１は、ストレージデバイス４３に格納されたルータプログラム４６をメモリ３２へロードして、プログラムに従った処理を実行することにより、各部を統括的に制御する。通信Ｉ／Ｆ４４は、ＬＡＮ１７及びインターネット１８に接続するための伝送制御を行う。ＶＰＮルータ１６は、通信Ｉ／Ｆ４４を介して、ＬＡＮ１７に接続されたクライアント端末１４や画像サーバ１３と、インターネット１８を経由してアクセスする外部の携帯端末２１との通信を中継する。

ルータプログラム４６には、ルータ機能に加えて、ＶＰＮアクセス制御機能の一端を担うルータ認証機能を実現するためのプログラムが含まれており、ルータプログラム４６が起動すると、ＣＰＵ４１は、メモリ４２と協働して、ルータ認証部４１Ａ、ルーティング処理部４１Ｂ、第２ユーザ登録部４１Ｃ、認証情報送信部４１Ｄとして機能する。ここで、サーバプログラム３６及びルータプログラム４６は、ＶＰＮ制御システムのプログラムを構成する。

ルータ認証部４１Ａは、予め登録されたユーザに与えられたルータ認証情報に基づいて、ＶＰＮルータ１６に対するアクセスを許可するか否かの認証処理を行う。具体的には、ルータ認証部４１Ａは、外部のインターネット１８からＩＰパケットを受信すると、認証に先立って、ＶＰＮに対応したＩＰパケットか否かを識別する。ＶＰＮに対応したＩＰパケットは、例えば、ＩＰｓｅｃなどの暗号化技術によって暗号化されている。ルータ認証部４１Ａは、受信したＩＰパケットがＶＰＮに対応したＩＰパケットの場合には、ＩＰパケットの認証処理に移行する。一方、受信したＩＰパケットがＶＰＮに対応していない場合には、ルータ認証処理に移行することなくＩＰパケットを破棄する。

ルータ認証部４１Ａは、ルータ認証処理において、復号化されたＩＰパケットからルータ認証情報を読み出して、読み出したルータ認証情報と、第２ユーザ登録テーブル４７にユーザ毎に登録されたルータ認証情報とを照合する。例えば、図５に示すように、ＩＰパケットは、ＴＣＰ／ＩＰよりも上位のアプリケーションが使用するユーザデータと、ＴＣＰ／ＩＰで規定されたＩＰヘッダとで構成される。なお、ＩＰヘッダには、ＩＰが使用するＩＰヘッダに加えて、ＴＣＰが使用するＴＣＰヘッダも含むものとする。

ユーザデータは、例えば、医師Ｄ１などの登録ユーザの携帯端末２１から送信される各種のアクセス要求である。ＩＰヘッダには、ＩＰパケットの宛先アドレス（ＤＡ： Destination Address）と、送信元アドレス（Source Address）とからなるアドレス情報と、その他伝送制御に関連する伝送制御情報が含まれる。ルータ認証情報は、例えば、携帯端末２１においてＶＰＮクライアントソフトウェア２２によってＩＰヘッダに付加される。

ルータ認証部４１Ａは、照合の結果、ＩＰヘッダから読み出したルータ認証情報と第２ユーザ登録テーブル４７から読み出したルータ認証情報が一致する場合には、当該ユーザがアクセス権限を有すると判定して、アクセスを許可し、一致しない場合には、アクセスを拒否する。ルータ認証部４１Ａは、アクセスを許可した場合には、受信したＩＰパケットをルーティング処理部４１Ｂに入力する。

ルーティング処理部４１Ｂは、アクセスが許可されたＩＰパケットに含まれるアドレス情報に基づいてルーティングを行って、宛先アドレスに向けてＩＰパケットを転送する。一方、ＬＡＮ１７から外部のインターネット１８に向けて転送する場合には、ルーティング処理部４１Ｂは、ＩＰパケットを暗号化した上でルーティングを行う。

また、ルーティング処理部４１Ｂは、ルータ認証部４１Ａから入力されたＩＰパケットが画像サーバ１３からのコマンド３８を含む場合には、コマンド３８を含むＩＰパケットを転送することなく、第２ユーザ登録部４１Ｃに入力する。ルーティング処理部４１Ｂにおいて、受信したＩＰパケットにコマンド３８が含まれているか否かの判定は、次のように行われる。

図６に示すように、画像サーバ１３からのコマンド３８は、図５に示すアクセス要求などと同様に、ＩＰパケットのユーザデータとして送信される。ルーティング処理部４１Ｂは、例えば、ＩＰヘッダに含まれるアドレス情報に基づいて、送信元アドレス（ＳＡ）が画像サーバで、かつ、宛先アドレス（ＤＡ）がＶＰＮルータアドレスの場合には、ユーザデータに、画像サーバ１３からのコマンド３８が含まれていると判定する。

コマンド３８には、画像サーバ１３において第１ユーザ登録を行ったユーザに関して、ＶＰＮルータ１６に対して第２ユーザ登録を要求する登録要求コマンドと、第２ユーザ登録後に、ユーザの端末に対して、サーバ認証情報及びルータ認証情報を含む認証情報の送信を要求する認証情報送信要求コマンドが含まれている。コマンド３８は、後述するように、携帯端末２４などの端末で受信可能な一般的なメール形式のメールデータ５１に挿入されている。

図３において、第２ユーザ登録部４１Ｃは、コマンド３８が入力されると、ルータ認証情報を発行して、第２ユーザ登録を実行する。コマンド３８に従って、未登録ユーザのユーザ登録を行ってルータ認証情報を発行する。第２ユーザ登録部４１Ｃは、有効期間などのアクセス権限の内容と、ルータ認証情報とを関連付けて第２ユーザ登録テーブル４７に登録する。第２ユーザ登録テーブル４７は、図４に示す第１ユーザ登録テーブル３７の構成とほぼ同様であり、ルータ認証部４１Ａの認証処理において使用される。

第２ユーザ登録部４１Ｃは、第２ユーザ登録を完了すると、アクセス権限を付与するユーザに対して認証情報を送信する認証情報送信処理を実行する。ＶＰＮルータ１６は、ユーザに対する認証情報を、例えば、携帯端末２４などで受信できるような一般的なメール形式で送信する。そのため、画像サーバ１３は、ＶＰＮルータ１６が最終的に認証情報を送信する形式に合わせて、認証情報通知のひな形であるメールデータ５１を作成し、コマンド３８をメールデータ５１に挿入した形態でＶＰＮルータ１６に対して送信する。

図７に示すように、メールデータ５１は、認証情報通知５２として使用できるように、画像サーバ１３が受け付けたアクセス権限付与要求の内容に応じて、メールヘッダとメール本文が作成されている。メールヘッドの送信先には、アクセス権限を付与する対象者のメールアドレスが入力され、また、タイトルには、サーバアクセス許可のご案内といったタイトルが入力される。メール本文には、依頼元の情報と、サーバのアクセス許可が認められたこと、さらに、アクセス用のソフトウェア（ＶＰＮクライアントソフトウェア２２など）のダウンロードなどサーバにアクセスする手順の説明などのメッセージと、加えて、画像サーバ１３において発行したサーバ認証情報、画像サーバ１３のサーバアドレス（ＵＲＬ：Uniform Resource Locator）やＩＰアドレス、コマンド３８などが含まれている。

第２ユーザ登録部４１Ｃは、メールデータ５１からコマンド３８を読み取り、コマンド３８に基づいて、ルータ認証情報を発行して、第２登録処理を実行する。認証情報送信部４１Ｄは、第２ユーザ登録部４１Ｃからメールデータ５１とルータ認証情報を受け取り、メールデータ５１に対して、コマンド３８に代えてルータ認証情報を挿入する変更を加える。これにより、サーバ認証情報とルータ認証情報を含む認証情報通知５２が作成される。

図３において、認証情報送信部４１Ｄは、第２ユーザ登録部４１Ｃから認証情報通知５２を受け取り、ルーティング処理部４１Ｂを介して、メールヘッダの宛先に向けて認証情報通知５２を送信する。認証情報通知５２は、未登録ユーザに対して送信されるデータであるため、例えば、認証情報通知５２を、医師Ｄ２の携帯端末２４に送信する段階では、携帯端末２４にはＶＰＮクライアントソフトウェア２２がインストールされていないため、ＶＰＮによる暗号化通信を行うことができない。しかし、認証情報は、院内システム１０の情報セキュリティを確保するためには、外部への漏洩防止の必要性が高い。

そこで、図８に示すように、認証情報送信部４１Ｄは、認証情報通知５２を作成すると（ステップ（Ｓ）１００）、認証情報通知５２において、メール本文に含まれる認証情報（サーバ認証情報やルータ認証情報）をＶＰＮクライアントソフトウェア２２が解読可能な情報に暗号化する（Ｓ１１０）。これにより、メールデータ５１が外部に漏洩した場合でも、認証情報については暗号化されるため、認証情報の外部漏洩が防止される。

また、認証情報に加えて、またはそれに代えて、サーバアドレスを暗号化してもよい。サーバアドレスが暗号化されていれば、認証情報が漏洩した場合でも、アクセス先が分からないため、情報セキュリティが確保される。もちろん、認証情報とサーバアドレスの両方を暗号化しておくことが好ましい。

認証情報及びサーバアドレス以外の部分については、漏洩防止の必要性は低い。しかも、アクセス手順などの説明は、携帯端末２４のユーザが判読できなければ意味が無い。そのため、認証情報及びサーバアドレス以外の部分については、暗号化は行われない。認証情報送信部４１Ｄは、暗号化終了後、送信する（Ｓ１２０）。

上記構成による作用について、図９に示すフローチャートを参照しながら説明する。例えば、Ａ病院の医師Ｄ１が外出している場合に、Ａ病院から緊急に患者の検査画像の診断の依頼を受けた場合を想定する。このような場合に、医師Ｄ１が緊急に対応できればよいが、対応できない場合には、Ａ病院の別の医師に連絡をとって検査画像の読影を依頼する。さらに、Ａ病院内の医師も対応できない場合には、Ａ病院以外のＢ病院の医師Ｄ２に検査画像の読影を依頼する必要が生じる場合がある。

この場合、医師Ｄ１は、医師Ｄ２に連絡をとって検査画像の読影を依頼し、さらに、Ａ病院の院内システム１０内の画像サーバ１３へのアクセス権限を医師Ｄ２に与えるので、院内システム１０にアクセスして検査画像をダウンロードして欲しい旨を伝える。医師Ｄ２の承諾が得られた場合には、医師Ｄ１は、携帯端末２１から院内システム１０に対して、医師Ｄ２に対してアクセス権限を付与するための処理を行う。

図９に示すように、読影の依頼元の医師Ｄ１は、携帯端末２１から画像サーバ１３にアクセスして、アクセス権限付与申請画面２７（図２参照）をダウンロードする。アクセス権限付与申請画面２７において、アクセス権限付与の対象者（医師Ｄ２）のメールアドレス及びアクセス権限の有効期間が入力される。ＯＫボタン２７Ｃが操作されると、携帯端末２１からアクセス権限付与要求が画像サーバ１３に向けて送信される。

医師Ｄ１は、画像サーバ１３やＶＰＮルータ１６の登録ユーザであるから、ルータ認証情報及びサーバ認証情報が与えられている。また、医師Ｄ１の携帯端末２１にはＶＰＮクライアントソフトウェア２２がインストールされているので、携帯端末２１は、ＶＰＮルータ１６のルータ認証や画像サーバ１３のサーバ認証を受けることが可能である。

画像サーバ１３は、アクセス権限付与要求を受け付けると、第１ユーザ登録部３１Ｃがサーバ認証情報を発行して、第１ユーザ登録処理を実行する。第１ユーザ登録部３１Ｃが第１ユーザ登録処理を完了すると、コマンド発行部３１Ｄが、ＶＰＮルータ１６に対するしてコマンド３８を発行する。コマンド３８は、認証情報通知のひな形となるメールデータ５１のメール本文に挿入される。コマンド３８を含むメールデータ５１はＶＰＮルータ１６に送信される。

ＶＰＮルータ１６において、ルーティング処理部４１Ｂは、受信したＩＰパケットのＩＰヘッダのアドレス情報に基づいて、受信したＩＰパケットのユーザデータにコマンド３８が含まれているか否かを判定する。コマンド３８が含まれていないＩＰパケットについては、通常のルーティングを行って転送先へ転送する。ＩＰパケットにコマンド３８が含まれている場合には、ルーティング処理部４１Ｂは、コマンド３８を含むＩＰパケットのユーザデータを第２ユーザ登録部４１Ｃに入力する。第２ユーザ登録部４１Ｃは、コマンド３８に従って、ルータ認証情報を発行して、第２ユーザ登録処理を実行する。

認証情報送信部４１Ｄは、メールデータ５１とルータ認証情報に基づいて認証情報通知５２を作成し、さらに、図８に示す手順で認証情報を暗号化して、メールデータ５１の宛先（アクセス権限を付与する対象者である医師Ｄ２）の携帯端末２４に送信する。これにより、読影の依頼先の医師Ｄ２に対してアクセス権限が付与されて、携帯端末２４から、ＶＰＮを利用した院内システム１０へのリモートアクセスが可能となる。

医師Ｄ２は、携帯端末２４で認証情報通知５２を受信すると、認証情報通知５２の指示に従ってＷＥＢサーバ２３からＶＰＮクライアントソフトウェア２２をダウンロードして、携帯端末２４にインストールする。インストールが完了すると、ＶＰＮクライアントソフトウェア２２は、認証情報通知５２内の暗号化された認証情報を解読して、復号化する。医師Ｄ２は、インストール完了後、携帯端末２４で、認証情報通知５２に記載された画像サーバ１３のサーバアドレスにアクセスする。

携帯端末２４は、ＶＰＮクライアントソフトウェア２２及びルータ認証情報を有しているため、ＶＰＮルータ１６のルータ認証をパスすることができる。さらに、画像サーバ１３からサーバ認証情報を要求された場合には、サーバ認証情報を入力することにより、サーバ認証もパスすることができる。そして、画像サーバ１３から指定された検査画像の配信を受けることができる。これにより、医師Ｄ２は、配信された検査画像の読影が可能となる。

画像サーバ１３やＶＰＮルータ１６は、認証情報の有効期間が経過した場合には、医師Ｄ２の登録を自動的に削除する。登録削除により、医師Ｄ２のアクセス権限は消滅し、医師Ｄ２は未登録ユーザになるため、院内システム１０へのアクセスが禁止される。

以上のとおり、本実施形態によれば、登録ユーザの端末からのアクセス権限付与要求に基づいて、画像サーバ１３とＶＰＮルータ１６の両方に対するアクセス権限を付与することができるため、画像サーバ１３やＶＰＮルータ１６の登録作業を行っていた管理者の作業の手間を減らし、かつ、迅速に、ＶＰＮを利用したリモートアクセスを制御することができる。

ユーザ登録など、ＶＰＮルータ１６の設定作業は、画像サーバ１３の設定と比較して、専門性が高い知識が要求される。ＶＰＮルータ１６に第２ユーザ登録部４１Ｃと認証情報送信部４１Ｄという構成を持たせることにより、ＶＰＮルータ１６における設定作業を自動化している。これにより簡易迅速なアクセス権限付与が可能となる。

しかも、本実施形態では、登録ユーザからのアクセス権限付与要求に基づいて、未登録ユーザに対するアクセス権限を付与する構成を採用している。これは、登録ユーザに対する信頼を基礎にアクセス権限を与えるため、未登録ユーザの本人確認を省いても、信頼性を確保することができる。そのため、管理者の手間を軽減することができる。

また、本実施形態では、第１に、画像サーバ１３に対してアクセス権限付与要求を送信することにより、画像サーバ１３においてサーバ認証情報の発行を含む第１ユーザ登録処理を実行し、第２に、画像サーバ１３からＶＰＮルータ１６に対してコマンドを送信することにより、ＶＰＮルータ１６においてルータ認証情報の発行を含む第２ユーザ登録処理を実行している。このように一次処理を画像サーバ１３に担当させて、二次処理をＶＰＮルータ１６に担当させることにより、ＶＰＮルータ１６の処理負担や改造を低減することができる。

というのも、上述のとおり、ＶＰＮルータ１６は、基本的にはＩＰパケットのＩＰヘッダに基づいてルーティングを行う通信機器であるため、本来的には、ＩＰパケットのユーザデータを参照して処理を実行する機能を備えていない。そのため、ＶＰＮルータ１６に対して、ルーティング以外の機能を付加するのは最小限に留めることが好ましい。

例えば、一次処理をＶＰＮルータ１６に担当させる場合には、ＶＰＮルータ１６が受信するＩＰパケットの中からアクセス権限付与要求が含まれるＩＰパケットを判別しなければならない。しかし、ＩＰヘッダの情報だけでは、外部から受信するＩＰパケットのどれにアクセス権限付与要求が含まれているか判別できないため、ＶＰＮルータ１６は、すべてのＩＰパケットのユーザデータを参照する必要が生じる。そうすると、ＶＰＮルータ１６に掛かる処理負荷が大きくなる。

これに対して、画像サーバ１３は、ＶＰＮルータ１６と異なり、ＩＰパケット内のユーザデータを参照して処理を行う要求受付部３１Ｂを本来的に備えているため、ＶＰＮルータ１６と比較して、処理負荷が大きくなることはない。本実施形態では、画像サーバ１３に対してアクセス権限付与要求を送信して、一次処理を画像サーバ１３に担わせて、ＶＰＮルータ１６に対しては、画像サーバ１３からのコマンド３８に従って二次処理を担当させている。

こうすれば、上述したように、ＶＰＮルータ１６のルーティング処理部４１Ｂは、ユーザデータを参照しなくても、アドレス情報に基づいて画像サーバ１３からＶＰＮルータ１６宛に送信されたＩＰパケットを、コマンド３８を含むＩＰパケットと判別できる。そのため、すべてのＩＰパケットのユーザデータを参照する場合と比較して、処理負荷が大きくなることが無いし、改造も小規模で済む。また、すべてのユーザデータの内容を調べる必要が無いため、ルーティング処理の遅延も最小限にすることができる。

また、画像サーバ１３からＶＰＮルータ１６に対するコマンド３８は、メール形式、具体的には、認証情報通知５２のひな形となるメールデータ５１で送信している。ＩＰパケットのルーティングを本来的な機能とするＶＰＮルータ１６の処理負荷や改造をさらに低減することができる。

上記実施形態では、認証情報通知５２の宛先を、未登録ユーザであるアクセス権限を付与する対象者（上記例ではＢ病院の医師Ｄ２）にしているが、アクセス権限付与要求の送信元（上記例ではＡ病院の医師Ｄ１）にしてもよい。この場合には、アクセス権限付与要求の送信元から、アクセス権限付与の対象者に対して認証情報通知５２を転送する必要がある。そのため、上記実施形態で示したとおり、認証情報通知５２の宛先は、アクセス権限を付与する対象者にすることが好ましい。

上記実施形態では、第１ユーザ登録部３１Ｃ及び第２ユーザ登録部４１Ｃは、アクセス権限付与要求において指定された有効期間を設定しているが、指定が無い場合には、例えば、１日や１週間など、予め設定された有効期間の初期値を設定してもよい。

上記実施形態では、アクセス権限付与要求によって、一時的なアクセス権限を付与する例で説明しているが、標準ユーザのアクセス権限のように恒久的なアクセス権限を付与する場合に本発明を利用してもよい。

上記実施形態では、ＶＰＮアクセス制御システムを、画像サーバ１３とＶＰＮルータ１６の組み合わせを例に説明をしたが、画像サーバ１３の代わりに、またはそれに加えて、カルテサーバ１２などの他のサーバと、ＶＰＮルータ１６の組み合わせでもよい。

上記実施形態では、ＶＰＮアクセス制御システムを構成するサーバを、画像サーバ１３やカルテサーバ１２など、検査画像やカルテなど医療情報を配信する医療情報サーバとする例で説明している。医療情報は、プライバシーに関わる情報が多いため、情報セキュリティを高める必要性が高い。そのため、ＶＰＮアクセス制御システムを、医療情報を扱う医療情報システムに利用することは特に好ましい。また、医療情報サーバが院内システム１０を構成している場合には、さらに情報セキュリティの要求レベルが上がるため、より必要性が高い。

なお、医療情報サーバは、上記実施形態のように医療施設内に設置されていなくてもよい。例えば、医療情報サーバは、複数の医療施設が共用するデータセンタに設置されていてもよい。さらに、医療情報以外の情報を取り扱う情報システムに利用してもよい。医療情報以外でも、高い情報セキュリティが必要な情報システムであれば、本実施形態のＶＰＮアクセス制御システムは有効である。

１０ 院内システム
１２ カルテサーバ
１３ 画像サーバ
１４ クライアント端末
１６ ＶＰＮルータ
１７ ＬＡＮ
１８ インターネット
２１ 携帯端末
２４ 携帯端末
３１、４１ ＣＰＵ
３１Ａ サーバ認証部
３１Ｂ 要求受付部
３１Ｃ 第１ユーザ登録部
３１Ｄ コマンド発行部
３８ コマンド
４１Ａ ルータ認証部
４１Ｂ ルーティング処理部
４１Ｃ 第２ユーザ登録部
４１Ｄ 認証情報送信部
５１ メールデータ
５２ 認証情報通知

Claims (16)

1. アクセス権限が付与された登録ユーザの端末からアクセス要求を受信した場合に、ルータ認証情報に基づいてアクセス許可を与える認証機能を有するＶＰＮルータと、前記登録ユーザの端末から前記ＶＰＮルータを経由した前記アクセス要求を受信した場合に、前記ルータ認証情報とは別のサーバ認証情報に基づいてアクセス許可を与える認証機能を有するサーバとを備え、前記ＶＰＮルータの外部の通信ネットワークから、前記サーバが接続された内部の通信ネットワークに対するリモートアクセスを制御するＶＰＮアクセス制御システムであって、
   前記サーバは、
   前記アクセス権限を付与された登録ユーザの端末から発行され、前記アクセス権限が付与されていない未登録ユーザの端末に対して前記アクセス権限を付与するためのアクセス権限付与要求を受け付ける要求受付部と、
   前記アクセス権限付与要求に基づいて、前記未登録ユーザに対する前記サーバ認証情報の発行と第１ユーザ登録を実行する第１ユーザ登録部と、
   前記サーバ認証情報を含み、かつ、前記ＶＰＮルータに対して前記ルータ認証情報の発行と第２ユーザ登録とを指令するコマンドを発行するコマンド発行部とを有しており、
   前記ＶＰＮルータは、
   前記コマンドに基づいて、前記ルータ認証情報を発行し、かつ、前記第２ユーザ登録を実行する第２ユーザ登録部と、
   前記ルータ認証情報及び前記サーバ認証情報を含む認証情報を前記未登録ユーザに送信する認証情報送信部とを有していることを特徴とするＶＰＮアクセス制御システム。
2. 前記アクセス権限付与要求には、前記未登録ユーザの宛先が含まれており、
   前記認証情報送信部は、前記認証情報を前記宛先に送信することを特徴とする請求項１に記載のＶＰＮアクセス制御システム。
3. 前記コマンド発行部は、前記サーバ認証情報及び前記コマンドをメール形式で前記ＶＰＮルータに送信することを特徴とする請求項１又は２に記載のＶＰＮアクセス制御システム。
4. 前記端末には、前記リモートアクセスをするためのＶＰＮクライアントソフトウェアがインストールされており、
   前記ＶＰＮルータは、前記ＶＰＮクライアントソフトウェアを通じて、前記ルータ認証情報を受信することを特徴とする請求項１〜３のいずれか１項に記載のＶＰＮアクセス制御システム。
5. 前記認証情報送信部は、前記サーバ認証情報及び前記ルータ認証情報を、前記ＶＰＮクライアントソフトウェアが解読可能な情報に暗号化して送信することを特徴とする請求項４に記載のＶＰＮアクセス制御システム。
6. 前記認証情報送信部は、前記サーバのアドレスも暗号化することを特徴とする請求項５に記載のＶＰＮアクセス制御システム。
7. 前記第１ユーザ登録部又は第２ユーザ登録部は、前記ルータ認証情報又は前記サーバ認証情報の有効期間を設定する有効期間設定機能を有していることを特徴とする請求項１〜６のいずれか１項に記載のＶＰＮアクセス制御システム。
8. 前記アクセス権限付与要求には、前記アクセス権限の有効期間を指定することが可能であり、
   前記第１ユーザ登録部又は前記第２ユーザ登録部は、前記指定に基づいて前記サーバ認証情報又は前記ルータ認証情報の前記有効期間を設定することを特徴とする請求項７に記載のＶＰＮアクセス制御システム。
9. 前記第１ユーザ登録部又は前記第２ユーザ登録部は、前記指定が無い場合には予め設定された有効期間の初期値を設定することを特徴とする請求項８に記載のＶＰＮアクセス制御システム。
10. 前記ＶＰＮルータは、受信したＩＰパケットのアドレス情報を参照して、送信元アドレスが前記サーバで、宛先アドレスが前記ＶＰＮルータである場合に、前記ＩＰパケットに前記コマンドが含まれていると判定することを特徴とする請求項１〜９のいずれか１項に記載のＶＰＮアクセス制御システム。
11. 前記サーバは、医療情報を配信する医療情報サーバであることを特徴とする請求項１〜１０のいずれか１項に記載のＶＰＮアクセス制御システム。
12. 前記医療情報サーバは、医療施設内に設置されていることを特徴とする請求項１１に記載のＶＰＮアクセス制御システム。
13. アクセス権限が付与された登録ユーザの端末からアクセス要求を受信した場合に、ルータ認証情報に基づいてアクセス許可を与える認証機能を有するＶＰＮルータと、前記登録ユーザの端末から前記ＶＰＮルータを経由した前記アクセス要求を受信した場合に、前記ルータ認証情報とは別のサーバ認証情報に基づいてアクセス許可を与える認証機能を有するサーバとを備え、前記ＶＰＮルータの外部の通信ネットワークから、前記サーバが接続された内部の通信ネットワークに対するリモートアクセスを制御するＶＰＮアクセス制御システムの作動方法であって、
    前記サーバは、
    前記アクセス権限を付与された登録ユーザの端末から発行され、前記アクセス権限が付与されていない未登録ユーザの端末に対して前記アクセス権限を付与するためのアクセス権限付与要求を受け付ける要求受付ステップと、
    前記アクセス権限付与要求に基づいて、前記未登録ユーザに対する前記サーバ認証情報の発行と第１ユーザ登録を実行する第１ユーザ登録ステップと、
    前記サーバ認証情報を含み、かつ、前記ＶＰＮルータに対して前記ルータ認証情報の発行と第２ユーザ登録とを指令するコマンドを発行するコマンド発行ステップとを実行し、
    前記ＶＰＮルータは、
    前記コマンドに基づいて、前記ルータ認証情報を発行し、かつ、前記第２ユーザ登録を実行する第２ユーザ登録ステップと、
    前記ルータ認証情報及び前記サーバ認証情報を含む認証情報を前記未登録ユーザに送信する認証情報送信ステップとを実行することを特徴とするＶＰＮアクセス制御システムの作動方法。
14. アクセス権限が付与された登録ユーザの端末からアクセス要求を受信した場合に、ルータ認証情報に基づいてアクセス許可を与える認証機能を有するＶＰＮルータと、前記登録ユーザの端末から前記ＶＰＮルータを経由した前記アクセス要求を受信した場合に、前記ルータ認証情報とは別のサーバ認証情報に基づいてアクセス許可を与える認証機能を有するサーバとを備え、前記ＶＰＮルータの外部の通信ネットワークから、前記サーバが接続された内部の通信ネットワークに対するリモートアクセスを制御するＶＰＮアクセス制御システムのプログラムであって、
    前記サーバを、
    前記アクセス権限を付与された登録ユーザの端末から発行され、前記アクセス権限が付与されていない未登録ユーザの端末に対して前記アクセス権限を付与するためのアクセス権限付与要求を受け付ける要求受付部と、
    前記アクセス権限付与要求に基づいて、前記未登録ユーザに対する前記サーバ認証情報の発行と第１ユーザ登録を実行する第１ユーザ登録部と、
    前記サーバ認証情報を含み、かつ、前記ＶＰＮルータに対して前記ルータ認証情報の発行と第２ユーザ登録とを指令するコマンドを発行するコマンド発行部として機能させ、
    前記ＶＰＮルータを、
    前記コマンドに基づいて、前記ルータ認証情報を発行し、かつ、前記第２ユーザ登録を実行する第２ユーザ登録部と、
    前記ルータ認証情報及び前記サーバ認証情報を含む認証情報を前記未登録ユーザに送信する認証情報送信部として機能させることを特徴とするＶＰＮアクセス制御システムのプログラム。
15. アクセス権限が付与された登録ユーザの端末からアクセス要求を受信した場合に、ルータ認証情報に基づいてアクセス許可を与える認証機能を有するＶＰＮルータであり、前記登録ユーザの端末から前記ＶＰＮルータを経由した前記アクセス要求を受信した場合に、前記ルータ認証情報とは別のサーバ認証情報に基づいてアクセス許可を与える認証機能を有するサーバと協働して、前記ＶＰＮルータの外部の通信ネットワークから、前記サーバが接続された内部の通信ネットワークに対するリモートアクセスを制御するＶＰＮアクセス制御を行うＶＰＮルータにおいて、
    前記アクセス権限を付与された登録ユーザの端末から発行され、前記アクセス権限が付与されていない未登録ユーザの端末に対して前記アクセス権限を付与するためのアクセス権限付与要求に基づいて、前記サーバが、前記未登録ユーザに対する前記サーバ認証情報の発行と第１ユーザ登録を実行した後、前記サーバが発行する、前記サーバ認証情報を含むコマンドに基づいて、前記ルータ認証情報を発行し、かつ、第２ユーザ登録を実行する第２ユーザ登録部と、
    前記ルータ認証情報及び前記サーバ認証情報を含む認証情報を前記未登録ユーザに送信する認証情報送信部とを有していることを特徴とするＶＰＮルータ。
16. アクセス権限が付与された登録ユーザの端末からアクセス要求を受信した場合に、サーバ認証情報に基づいてアクセス許可を与える認証機能を有するサーバであり、前記サーバ認証情報とは別のルータ認証情報に基づいてアクセス許可を与える認証機能を有するＶＰＮルータと協働して、前記ＶＰＮルータの外部の通信ネットワークから、前記サーバが接続された内部の通信ネットワークに対するリモートアクセスを制御するＶＰＮアクセス制御を行うサーバにおいて、
    前記アクセス権限を付与された登録ユーザの端末から発行され、前記アクセス権限が付与されていない未登録ユーザの端末に対して前記アクセス権限を付与するためのアクセス権限付与要求を受け付ける要求受付部と、
    前記アクセス権限付与要求に基づいて、前記未登録ユーザに対する前記サーバ認証情報の発行と第１ユーザ登録を実行する第１ユーザ登録部と、
    前記サーバ認証情報を含み、かつ、前記ＶＰＮルータに対して前記ルータ認証情報の発行と第２ユーザ登録とを指令するコマンドを発行するコマンド発行部とを有していることを特徴とするサーバ。
    

Images