JP6578637B2 - 情報装置、情報システムおよびアクセス権評価方法 - Google Patents

Description

本発明は、情報システムにおけるアクセス権の制御に関するものであり、特に適切な範囲のアクセス権の設定を行う技術に関するものである。

情報社会の発展により、企業などの組織内において用途に応じた複数の情報システムや複数のファイルサーバなどがネットワークを介して利用されるようになっている。情報システムやファイルサーバなどは、データやファイルへのアクセスの可否、すなわち、アクセス権をユーザごとまたはグループごとに設定し、データやファイルへのアクセスに制限を設けていることが多い。また、ファイルサーバなどでは、ファイルごとにアクセス権を設定するのではなく、フォルダ単位でアクセス権が設定されることが多い。例えば、情報システムやファイルサーバは、フォルダ単位などでアクセス権を設定する際に、アクセス権を有するユーザの設定をＡＣＬ（Access Control List)として設定し、フォルダへのアクセス権の制御を行う。

各々の情報システム等がユーザの管理等を行っていると、ユーザの追加や削除、ユーザの所属するグループの変更があった場合などに、情報システムごとにユーザ情報の設定変更を行う必要が生じる。そのような情報システムごとの設定変更を不要とするために、情報システム等のユーザを一括して管理するシステムであるディレクトリサービスが用いられることがある。ディレクトリサービスでは、ユーザの情報と、ユーザが所属するグループの情報等がサーバ装置等に保存され、ユーザの情報がグループごとに管理されている。情報システムやファイルサーバはディレクトリサービスの情報を参照して、ユーザの所属するグループを判断してアクセスの可否を判断する。そのような構成とすることにより、情報装置やファイルサーバがそれぞれユーザの情報を有する必要が無くなるため、情報の変更等にかかる作業量を抑制することができる。

ディレクトリサービスを使用した場合においても、フォルダごとにアクセス権を設定するのではなく、あるフォルダとその下層のフォルダ全てに同じアクセス権を設定する方式が用いられることが多い。そのような方式とすることにより、あるフォルダの下層に新たにフォルダを作成した場合などに、アクセス権を新たに設定しなくても上位フォルダのアクセス権に従った管理が可能となる。そのため、アクセス権の設定にかかる作業量が抑制できるともに、個々のユーザによるフォルダ等の作成やファイルの更新が可能となる。

しかし、上層のフォルダに従って下層のフォルダに一括してアクセス権を設定する方式は、個々のユーザが自由にアクセスできる範囲が増える代わりに、必要がないフォルダにアクセスできることも多くなる。そのため、一括してフォルダにアクセス権を設定する場合においても、適切な階層のフォルダにアクセス権を設定する必要がある。よって、設定変更等の作業量を抑制しつつ、所定のフォルダに適切な範囲のアクセス権を設定するために、アクセス権を設定する際の判断の基となる情報があることが望ましい。そのため、フォルダ等へのアクセス権を設定するユーザやグループの選定を行う際の選定の指標の情報を得るための技術開発が行われている。データやフォルダ等へのアクセス権を設定するユーザやグループの選択の指標の情報を得る技術としては、例えば、特許文献１のような技術が開示されている。

特許文献１は、アクセスログのデータを基にして、ユーザグループであるロールにリソースを割り当てる割り当て装置に関するものである。特許文献１において、ユーザは属性ごとに分けられたグループであるロールに属している。特許文献１の割り当て装置は、ロールに属するユーザのリソースへのアクセス実績を基に、リソースとロールの組み合わせごとに所定の値を算出する。算出される所定の値は、リソースにアクセスしたユーザの数が多いほど、値が大きくなるように算出される。特許文献１の割り当て装置は、リソースとロールの組み合わせごとに所定の値を算出すると、リソースごとに見た場合に値が大きかったロールにリソースを優先的に割り当てる。特許文献１では、上記のようなリソースの割り当てを行うことにより、ロール、すなわち、ユーザグループへの適切なリソースの割り当てを行うことができるとしている。

特開２０１１−２２７５７９号公報

しかしながら、特許文献１の技術は次のような点で十分ではない。特許文献１の割り当て装置は、リソースごとにユーザグループであるロールの所定の値を算出し、所定の値を比較してリソースを優先的に割り当てるロールを判断している。そのため、特許文献１ではあるリソースに対しては、１つのロールに排他的なアクセス権が与えられる。しかし、ファイルサーバなどにおいては、所定のフォルダに対して適切なアクセス権の範囲を設定することが要求され得る。その際に、ファイルサーバなどでは所定のフォルダに対して複数のユーザグループにアクセス権が設定されることがある。よって、特許文献１の技術は、ファイルサーバなどにおいて、所定のフォルダへの適切なアクセス権の範囲を設定するための技術としては用いることができない。

本発明は、適切な範囲のユーザグループに所定のフォルダへのアクセス権を設定することが可能な情報装置を得ることを目的としている。

上記の課題を解決するため、本発明の情報装置は、アクセスログ取得手段と、グループ情報取得手段と、評価値算出手段を備えている。アクセスログ取得手段は、所定のフォルダへアクセスしたユーザのアクセスログのデータを取得する。グループ情報取得手段は、ユーザがそれぞれ属するユーザグループの情報をグループ情報として取得する。評価値算出手段は、アクセスログおよびグループ情報に基づいて、所定の評価値を、第１のユーザグループと、第１のユーザグループを内部に含む第２のユーザグループとについてそれぞれ算出する。所定の評価値は、所定のフォルダへのアクセス権を設定する範囲としての適性を示す。

本発明のアクセス権評価方法は、所定のフォルダへアクセスしたユーザのアクセスログのデータを取得し、ユーザがそれぞれ属するユーザグループの情報をグループ情報として取得する。また、本発明のアクセス権評価方法は、アクセスログおよびグループ情報に基づいて、所定の評価値を、第１のユーザグループと、第１のユーザグループを内部に含む第２のユーザグループとについてそれぞれ算出する。所定の評価値は、所定のフォルダへのアクセス権を設定する範囲としての適性を示す。

本発明によると、適切な範囲のユーザグループに所定のフォルダへのアクセス権を設定することができる。

本発明の第１の実施形態の構成の概要を示す図である。 本発明の第２の実施形態の構成の概要を示す図である。 本発明の第２の実施形態における装置構成の概要を示す図である。 本発明の第２の実施形態における装置構成の一部を示す図である。 本発明の第２の実施形態における動作フローの概要を示す図である。 本発明の第２の実施形態における動作フローの概要を示す図である。 本発明の第２の実施形態における計算手順を示した図である。 本発明の第２の実施形態におけるグループの構成を示した図である。 本発明の第３の実施形態における計算手順を示した図である。 本発明の第３の実施形態におけるグループの構成を示した図である。

（第１の実施形態）
本発明の第１の実施形態について図を参照して詳細に説明する。図１は、本実施形態の情報装置の構成の概要について示したものである。本実施形態の情報装置は、アクセスログ取得手段１と、グループ情報取得手段２と、評価値算出手段３を備えている。

アクセスログ取得手段１は、所定のフォルダへアクセスしたユーザのアクセスログのデータを取得する。グループ情報取得手段２は、ユーザがそれぞれ属するユーザグループの情報をグループ情報として取得する。評価値算出手段３は、アクセスログおよびグループ情報に基づいて、所定の評価値を、第１のユーザグループと、第１のユーザグループを内部に含む第２のユーザグループとについてそれぞれ算出する。所定の評価値は、所定のフォルダへのアクセス権を設定する範囲としての適性を示す。

本実施形態の情報装置では、アクセスログ取得手段１が所定のフォルダのアクセスログのデータを取得し、グループ情報取得手段２は、所定のフォルダにアクセスしたユーザの属するユーザグループの情報を取得している。また、評価値算出手段３は、アクセスログおよびグループ情報に基づいて、所定の評価値を算出している。評価値算出手段３は、第１のユーザグループと、第１のユーザグループを含む第２のユーザグループの所定の評価値を算出している。このような方法で所定の評価値を算出することにより、第１のユーザグループと、第１のユーザグループよりも範囲の広い第２のユーザグループのいずれがアクセス権の設定範囲として適しているかを示す指標を得ることができる。その結果、本実施形態の情報装置を用いることにより、適切な範囲のユーザグループに所定のフォルダへのアクセス権を設定することができる。

（第２の実施形態）
本発明の第２の実施形態について図を参照して詳細に説明する。図２は、本実施形態の情報システムの構成の概要を示したものである。本実施形態の情報システムは、端末装置１０と、アクセス権評価装置２０と、ユーザ管理装置３０と、記憶装置４０を備えている。各装置は通信回線を介して互いに接続されている。また、記憶装置４０は、複数、備えられていてもよい。

端末装置１０は、作業者が記憶装置４０のフォルダやファイルへのアクセス権の設定等の操作を行う情報端末装置としての機能を有している。端末装置１０は、設定部１１と、アクセス権候補要求部１２と、記憶装置アクセス部１３を備えている。端末装置１０は、記憶装置４０に保存されているファイルの参照やファイル内のデータの処理を行う情報端末装置としての機能を備えていてもよい。

設定部１１は、作業者からのデータ入力等を受け付けて他の部位へ情報を伝達する機能と、情報システムの動作に必要な設定項目の情報や処理結果等の表示を行う機能を有する。設定部１１は、入力装置と表示装置を備えている。入力装置および表示装置等は端末装置１０と一体のものとして形成されていてもよく、また、少なくとも一方が独立して備えられて信号ケーブルまたは無線通信回線などにより端末装置１０と接続されていてもよい。

設定部１１は、作業者が入力装置において入力または選択したデータを他の部位に送る。設定部１１では、アクセス権の設定を行う対象となるフォルダの選択や、アクセス権の候補の情報に基づいたフォルダへのアクセス権の設定の操作が作業者により行われる。また、設定部１１は、アクセス権の設定が行われる際に、作業者が設定項目を入力するために必要な情報を表示装置に表示する。設定部１１は、アクセス権評価装置２０から送られてくる最適なアクセス権の候補を表示装置に表示する。また、端末装置１０が、ファイルのデータの参照や処理行う情報端末装置として用いられる場合は、設定部１１は作業者がファイルのデータの参照や処理を行う際に必要な入力装置と表示装置としての機能を有する。

アクセス権候補要求部１２は、アクセス権評価装置２０に対してアクセス権の候補の情報を要求する機能を有する。また、アクセス権候補要求部１２はアクセス権評価装置２０からアクセス権の候補の情報を受信し、設定部１１に送る機能を有する。アクセス権候補要求部１２は、設定部１１から送られてくるアクセス権の設定を開始する情報と、対象となるフォルダ等の情報をアクセス権候補要求信号Ｓ１としてアクセス権評価装置２０に送る。また、アクセス権候補要求部１２は、アクセス権評価データ信号Ｓ６として送られるてくるアクセス権を設定する候補となるグループの情報と、ユーザグループごとの所定の評価値の情報を設定部１１に送る。

記憶装置アクセス部１３は、記憶装置４０に保存されているフォルダやファイルへのアクセス権の設定を要求する機能を有する。記憶装置アクセス部１３は、アクセス権を設定する対象となるフォルダやファイルの情報と、アクセス権を設定するユーザグループの情報をアクセス権設定要求信号Ｓ７として記憶装置４０に送る。また、端末装置１０が情報端末装置として用いられる際は、記憶装置アクセス部１３は、設定部１１における作業者の操作に基づいてファイルサーバ内に保存されている各データの書き込みや読み込み等の処理を行う機能を有する。

アクセス権評価装置２０は、情報記憶装置４０のフォルダやファイルにアクセス権を設定する際の、アクセス権を設定するユーザグループの候補の情報とユーザグループごとの所定の評価値の情報を生成する機能を有する。所定の評価値は、フォルダやファイルにアクセス権を設定する範囲として各ユーザグループがどれだけ適しているかを示す指標として設定される。アクセス権評価装置２０は、要求処理部２１と、アクセス権候補決定部２２と、アクセスログ集計部２３と、集計データ記憶部２４を備えている。

要求処理部２１は、端末装置１０から送られてくるアクセス権の候補の要求を受信する機能を有する。また、要求処理部２１は、アクセス権の候補のユーザグループの情報とユーザグループごとの所定の評価値の情報を端末装置１０に送信する機能を有する。要求処理部２１は、端末装置１０から受信するアクセス権候補要求信号Ｓ１から、アクセス権を設定する対象となるフォルダやファイルの情報を抽出する。要求処理部２１は、アクセス権を設定する対象となるフォルダやファイルの情報をアクセスログ集計部２３およびアクセス権候補決定部２２に送る。また、要求処理部２１は、アクセス権候補決定部２２から受け取った、アクセス権を設定する候補のユーザグループの情報、ユーザグループごとの所定の評価値の情報および対象となるフォルダの情報をアクセス権評価データ信号Ｓ６として端末装置１０に送る。

アクセス権候補決定部２２は、アクセス権の候補となるグループ情報とグループごとの所定の評価値の情報を生成する機能を有する。アクセス権候補決定部２２は、端末装置１０から要求のあったフォルダまたはファイルにアクセスを設定する際に、アクセス権を設定する候補となるグループの情報を生成する。

本実施形態では、アクセス権候補決定部２２は、ユーザ管理装置３０に保存されている最小単位のユーザグループと、複数のユーザグループの上位のユーザグループを、アクセス権を設定する候補のユーザグループとする。また、アクセス権候補決定部２２は、複数のユーザグループの組み合わせによって生成されるユーザグループについても、アクセス権を設定するユーザグループの候補とする。すなわち、本実施形態のアクセス権候補設定部２２は、ユーザ管理装置３０に保存されている各ユーザグループから生成される全ての組み合わせのユーザグループをアクセス権の設定候補として、所定の評価値の算出の対象とする。

アクセス権候補決定部２２は、アクセス権を設定する候補のユーザグループごとに、アクセス権を設定する範囲として適しているかを示す所定の評価値を算出する。アクセス権候補決定部２２は、集計データ記憶部２４に保存されている記憶装置４０のアクセスログの集計データと、ユーザグループの総数やユーザの所属グループの情報を基に、候補となるユーザグループの情報の生成および所定の評価値の算出を行う。また、本実施形態のアクセス権候補決定部２２は、第１の実施形態のグループ情報取得手段および評価値算出手段３に相当する。

アクセス権候補決定部２２は、ユーザグループの情報やユーザの所属グループの情報をユーザ管理装置３０から得る。アクセス権候補決定部２２は、ユーザグループの情報と、ユーザの所属するグループの情報を要求する信号をユーザ管理装置３０に、グループ情報要求信号Ｓ４として送る。また、アクセス権候補決定部２２は、ユーザグループの総数の情報と、ユーザの所属するユーザグループの情報をグループ情報信号Ｓ５として受信する。所定の評価値の算出方法は後で説明する。

アクセスログ集計部２３は、記憶装置４０が保存しているアクセスログのデータを基に、記憶装置４０の情報記憶部４２に保存されているファイルへアクセス数を集計する機能を有する。アクセスログ集計部２３は、情報記憶部４２に保存されているファイルへのアクセスログのデータを要求する信号を、アクセスログ要求信号Ｓ２として記憶装置４０に送る。また、アクセスログ集計部２３は、記憶装置４０からアクセスログデータＳ３として送られてくるアクセスログのデータを受信する。アクセスログ集計部２３は、受け取ったアクセスログからユーザの情報を抽出し、フォルダごとに集計して集計したデータを集計データ記憶部２４に保存する。また、本実施形態のアクセスログ集計部２３は、第１の実施形態のアクセスログ取得手段１に相当する。

集計データ記憶部２４は、情報記憶装置４０の情報記憶部４２のフォルダごとのアクセスログを集計したデータを保存する機能を有する。集計データ記憶部２４は、アクセスログ集計部２３が集計した、フォルダごとのアクセスログを保存している。

ユーザ管理装置３０は、サーバ装置等の情報処理装置で構成され、ディレクトリサービスとしての機能を有する。ユーザ管理装置３０は、各ユーザの情報とそのユーザが所属するユーザグループの情報を保存している。ユーザ管理装置３０は、各ユーザの情報をユーザグループごとに保存している。また、ユーザグループの情報は、ディレクトリ構造を構成している。ユーザ管理装置３０は、企業や企業の１事業部など複数のユーザからなる集団について、その集団に所属するほぼ全てのユーザの情報を保存している。

図３は、ディレクトリサービスとしての機能を有する本実施形態のユーザ管理装置３０に保存されているユーザグループおよびユーザのデータの例を示している。図３の例では、「開発部」というユーザグループに、「ＸＸ課」および「ＹＹ課」という２つのユーザグループと、「開発部長」というユーザが属している。図３の例では、「ＸＸ課」というユーザグループには２０人のユーザが属し、「ＹＹ課」というユーザグループには１４人のユーザが属している。よって、図３の例では、「開発部」というユーザグループに３５人のユーザが属している。また、「開発部」とは独立した「Ｘ社プロジェクト担当」というユーザグループには、「ＸＸ課」にも属する「開発花子」および「開発太郎」という２人のユーザが属している。

図３の例において、「ＸＸ課」を第１のユーザグループとし、第１のユーザグループを内部に含む「開発部」を第２のユーザグループとしたとする。このとき、本実施形態のアクセス権評価装置２０は、第１のユーザグループとともに第２のユーザグループもアクセス権を設定する際の候補として、それぞれの所定の評価値を算出する。本実施形態の情報システムでは、このようにそれぞれ範囲の異なるユーザグループ間で所定の評価値を比較することにより、所定のフォルダに設定するアクセス権の適切な設定範囲の情報を得ることができる。

記憶装置４０は、データファイル等を階層化されたフォルダ内に保存する機能を有する。記憶装置４０は、アクセスログ記憶部４１と、情報記憶部４２を備えている。

アクセスログ記憶部４１は、情報記憶部４２の各ファイルにアクセスしたユーザの情報をアクセスログとして保存する機能を有する。アクセスログ記憶部４１には、ファイルにアクセスしたユーザの情報とともに使用された情報端末、アクセスした日時、行った操作内容の情報が互いに関連づけられて保存されている。ファイルに対して行った操作とは、例えば、ファイルの参照、更新、削除、作成および移動など、ファイルに対してユーザが行った操作のことをいう。また、アクセスログ記憶部４１は、アクセスログ要求信号Ｓ２をアクセス権評価装置２０から受け取ったときに、アクセスログのデータをアクセスログデータ信号Ｓ３としてアクセス権評価装置２０に送る。

情報記憶部４２は、ハードディスク等の記憶装置を備え、複数のファイルを保存する機能を有する。各ファイルはいずれかのフォルダ内に保存され、各フォルダは必要に応じて階層化された構造を構成している。図４は、本実施形態の情報記憶部４２に保存されたフォルダおよびファイルの例を示したものである。図４の例では、「開発部」、「営業部」および「人事部」の３つのフォルダが存在している。また、「開発部」のフォルダには、「Ｘ社ＰＪ」および「見積書」の２つのフォルダが従属している。図４の例では、「Ｘ社ＰＪ」のフォルダには、「契約書．ｐｐｔ」というファイルが保存されている。また、「見積書」のフォルダには「見積もり．ｄｏｃ」というファイルが保存している。このように、情報記憶部４２には、フォルダおよびファイルが階層化されて保存されている。

情報記憶部４２は、保存している各ファイルへのアクセスがあると、アクセスログをアクセスログ記憶部４１に保存する。また、情報記憶部４２は、ファイル単位またはフォルダ単位のアクセス権の情報を保存し、アクセス権のあるグループに所属するユーザからのアクセスのみを許可する。情報記憶部４２は、各ユーザが所属しているグループを、ユーザ管理装置３０のディレクトリサービスを参照して判断する。

アクセス権の設定情報は、ユーザやグループからのアクセス可否の情報がファイルやフォルダごとに設定されている。階層構造のフォルダに対するアクセス権は、ある階層から下層のフォルダおよびその中に含まれるファイルについて、同じアクセス権となるように設定することもできる。また、情報記憶部４０は、端末装置１０からアクセス権設定要求信号Ｓ７を受け取ると、受け取った情報に基づいてアクセス権の情報を更新する。

本実施形態の情報システムにおいて、記憶装置４０に保存されたフォルダ等にアクセス権が設定される際の動作について説明する。図５および図６は、本実施形態の情報システムにおいて、アクセス権の設定が行われる際の動作フローの概要を示したものである。

始めに記憶装置４０のファイルへのアクセスログが保存され、アクセスログの情報が蓄積される際の動作について説明する。端末装置１０または他の情報処理装置から記憶装置４０の情報記憶部４２のいずれかのファイルにアクセスが行われる。ここでは、端末装置１０から情報記憶部４２にアクセスが行われ、図４に示した「見積もり．ｄｏｃ」の参照が行われたものとする。端末装置１０のユーザにアクセス権がある場合は、アクセスしたユーザの識別情報、アクセス日時および参照の動作等の情報がアクセスログ記憶部４１に保存される。端末装置１０のユーザにアクセス権が無い場合は、権限不足のエラーが生じ端末装置１０のユーザは「見積もり．ｄｏｃ」にアクセスできない。権限不足のエラーが生じた場合は、エラーの発生したアクセスとしてユーザの識別情報、アクセス日時、参照の動作の情報とともに権限不足のエラーが発生した情報がアクセスログ記憶部４１に保存される。

次に記憶装置４０に保存されている所定のフォルダにアクセス権が設定される際の動作について説明する。端末装置１０の設定部１１において、作業者等によりアクセス権を設定する対象となるフォルダが指定される（ステップ１０１）。アクセス権の設定の対象はファイルごとであってもよい。本実施形態では、あるフォルダが選択されると、下層のフォルダやファイルが全てアクセス権の設定の対象として設定される。作業者によりアクセス権の設定の対象となるフォルダが指定されると、設定部１１は、アクセス権の設定の対象となるフォルダの情報を、アクセス権候補要求部１２に送る。対象となるフォルダの情報を受け取ると、アクセス権候補要求部１２は、対象となるフォルダの情報とともに、アクセス権を設定するユーザグループの候補の情報の要求をアクセス権候補要求信号Ｓ１としてアクセス権評価装置２０に送る（ステップ１０２）。

アクセス権評価装置２０は、要求処理部２１においてアクセス権候補要求信号Ｓ１を受け取ると、アクセス権の設定する候補となるユーザグループの情報とユーザグループごとの評価情報を生成する動作を開始する。アクセス権候補要求信号Ｓ１を受け取ると、要求処理部２１は、受け取った信号で指定されたフォルダの情報を、アクセス権候補決定部２２およびアクセスログ集計部２３に送る。アクセスログ集計部２３は、アクセス権を設定する対象となるフォルダの情報を受け取ると、対象となるフォルダのアクセスログのデータの収集を開始する（ステップ１０３）。

アクセスログの収集を開始すると、アクセスログ集計部２３は、アクセス権設定の対象となるフォルダのアクセスログのデータを要求する信号を、アクセスログ要求信号Ｓ２として記憶装置４０に送る（ステップ１０４）。

記憶装置４０のアクセスログ記憶部４１はアクセスログ要求信号Ｓ２を受け取ると、受け取った信号で指定されたフォルダのアクセスログのデータをアクセスログデータ信号Ｓ３としてアクセス権評価装置２０に送る（ステップ１０５）。

アクセスログ集計部２３は、記憶装置４０からアクセスログデータ信号Ｓ３を受け取ると、アクセスログのデータから対象となるフォルダにアクセスしたユーザの情報を抽出する。アクセスログからユーザの情報を抽出すると、アクセスログ集計部２３は、アクセスの実績のあるユーザの情報を集計する（ステップ１０６）。対象となるフォルダが階層化されているときは、アクセスログ集計部２３は、フォルダごとにユーザの情報を集計する。アクセスログ集計部２３はアクセスログのデータを集計すると、集計したデータを集計データ記憶部２４に保存する。

アクセスログの集計データが保存されると、アクセス権候補決定部２２は、形成することが可能なユーザグループの情報と各ユーザが所属しているユーザグループの情報の収集を開始する（ステップ１０７）。アクセス候補決定部２２は、ユーザグループの情報および各ユーザの所属するユーザグループの情報を要求する信号を、グループ情報要求信号Ｓ４としてユーザ管理装置３０に送る（ステップ１０８）。

グループ情報要求信号Ｓ４を受け取ると、ユーザ管理装置３０は、保存しているユーザグループから形成することが可能なグループの情報およびユーザの所属するユーザグループの情報を、グループ情報信号Ｓ５としてアクセス権候補決定部２２に送る。保存しているユーザグループから形成することが可能なグループの情報とは、ユーザ管理装置３０に保存されているユーザグループの組み合わせによって構成されるグループに関する情報のことをいう。保存しているユーザグループから形成することが可能なグループの情報をグループ情報と呼ぶ。グループ情報は、ユーザグループの組み合わせに関する情報と、組み合わせて形成されるグループの総数Ｎの情報により構成される。

アクセス権候補決定部２２は、グループ情報信号Ｓ５を受け取ると、グループ情報に含まれるユーザグループの情報を一時保存する。また、アクセス権候補決定部２２は、ユーザの所属するユーザグループの情報を、集計データ記憶部２４に保存されている各ユーザのアクセスログの情報と関連づけて保存する。

アクセス権候補決定部２２は、グループ情報を得ると、ユーザグループごとに所定の評価値を算出する（ステップ１１０）。所定の評価値の算出方法は、後で説明する。Ｎ個のユーザグループについてグループごとの所定の評価値を算出すると、アクセス権候補決定部２２は、候補となるユーザグループの情報と、ユーザグループごとの所定の評価値の情報を、要求処理部２１に送る。所定の評価値等の情報を受け取ると、要求処理部２１は、受け取った情報をアクセス権評価データ信号Ｓ６として端末装置１０に送る（ステップ１１１）。

端末装置１０のアクセス権要求部１２は、アクセス権評価信号Ｓ６を受け取ると、受け取った信号に含まれるユーザグループごとの評価結果等の情報を設定部１１に送信する。設定部１１は、ユーザグループごとの評価結果等の情報を受け取ると、アクセス権を設定する候補となるユーザグループと、ユーザグループごとの所定の評価値の情報を表示装置に表示する。アクセス権を設定する候補となるユーザグループの表示は、評価値が高い順位に行われてもよく、また、所定の基準値以上の評価値のユーザグループのみについて行われてもよい。

作業者は、設定部１１の表示を参照して、アクセス権を設定するユーザグループを選択する（ステップ１１２）。ユーザグループが選択されると、設定部１１は選択されたユーザグループの情報を記憶装置アクセス部１３に送る。選択されたユーザグループの情報を受け取ると記憶装置アクセス部１３は、選択されたユーザグループに、対象となるフォルダへのアクセス権を設定することを要求する信号を、アクセス権設定要求信号Ｓ７として記憶装置４０に送る（ステップ１１３）。

記憶装置４０の情報記憶部４２は、アクセス権設定要求信号Ｓ７を受け取ると、受け取った信号に含まれるユーザグループに対象となるフォルダへのアクセス権を設定する（ステップ１１４）。アクセス権が設定されると、情報記憶部４２は、アクセス権が設定されているユーザグループに所属しているユーザに対して、対象となるフォルダへのアクセスを許可した状態となる。以上で、本実施形態の情報システムにおいて、記憶装置４０に保存されたフォルダ等へのアクセス権の設定の動作は完了する。

次に、所定の評価値の算出方法について説明する。図７は、本実施形態のアクセス権評価装置２０が、ユーザグループごとに所定の評価値を算出する際の動作フローの概要を示したものである。

アクセス権評価装置２０のアクセス権候補決定部２２は、指定されたフォルダのファイルにアクセスした履歴のあるユーザの情報を取得する。また、アクセス権候補決定部２２は、ユーザ管理装置３０からグループ情報を取得する。本実施形態は、Ｎ個のグループの情報が取得されたとする。また、Ｎは２以上の整数とする。

アクセス権候補決定部２２は、Ｎ個のユーザグループの１番目（ｎ＝１）のグループの所定の評価値の算出を開始する（ステップ１２１）。Ｎ個のグループ内で所定の評価値を算出する順番は、例えば、ユーザ管理装置３０から送られてきたデータの順とすることができる。所定の評価値を算出する順序は他の基準に従ってもよい。開始直後の状態、すなわち、ｎ＝１ではステップ１２２でＮｏであるので、ステップ１２３からの動作が行われる。アクセス権候補決定部２２は、過剰アクセス権率αを計算する（ステップ１２３）。

過剰アクセス率αは、ユーザグループに所属している人数のうち対象のフォルダにアクセスしていない人の割合を示すものである。本実施形態では過剰アクセス率αは、α＝１−（ａ÷（ａ＋ｃ））として計算される。ここで、ａは、対象となるフォルダにアクセスが成功したユーザのうちｎ番目のユーザグループに所属しているユーザの数を示す。ｃは、ｎ番目のユーザグループに所属しているユーザのうち、ａ以外の人数を示す。過剰アクセス権率αは、１に近くなるほどアクセス権が設定されているのに、対象となるフォルダにアクセスしていない人の数が多いことを示す。すなわち、過剰アクセス権率αは、０に近い値になるほど、ｎ番目のユーザグループに含まれるユーザの範囲が、対象となるフォルダへのアクセス権の設定として適切であることを示す。

過剰アクセス権率αを計算すると、アクセス権候補決定部２２は、アクセス権カバー率βを計算する（ステップ１２４）。アクセス権カバー率βは、β＝ａ÷（ａ＋ｂ）として計算される。ｂは、対象となるフォルダにアクセスが成功したユーザのうちｎ番目のユーザグループに所属していないユーザの数を示す。

アクセス権カバー率βは、０に近い値になるほど、アクセス権をそのユーザグループに設定したときに、アクセスの実績があるのに対象となるフォルダにアクセスできなくなるユーザが多くなることを示す。すなわち、アクセス権カバー率βは、１に近づくほどアクセスの実績のあるユーザのうち、対象となるフォルダに継続してアクセスが可能となるユーザの数が多くなることを示す。

以上より、１−αとβの値が両方とも１に近い値になるグループにアクセス権を設定することで、適切なアクセス権の設定が可能となる。すなわち、１−αとβの値が両方とも１に近い値になるグループを選択することで、過剰にアクセス権を与えることなく必要なユーザにアクセス権を設定することが可能となる。本実施形態の情報システムでは、過剰アクセス率αおよびアクセス権カバー率βを基にして所定の評価値を算出することにより、過剰なアクセス権が設定されることを抑制しつつ、必要なユーザをアクセス権の範囲に含むことができる。

また、過剰アクセス権率αおよびアクセス権カバー率βを計算する順番、すわなち、ステップ１２３およびステップ１２４は順序が逆でも良い。

図８は、ａ、ｂおよびｃがどのような集合を示すのかについて概要を図示したものである。図８に示す通り、ａの集合は、ｎ番目のユーザグループの全ユーザの集合と、対象となるフォルダにアクセスが成功した集合の両方に所属するユーザの集合である。また、図８において、ｂの集合は、対象となるフォルダにアクセスが成功した集合からａを除いた集合であることが示されている。同様に、図８において、ｃの集合はｎ番目のユーザグループの全ユーザの集合からａを除いた集合であることが示されている。

過剰アクセス権率αおよびアクセス権カバー率βを計算すると、アクセス権候補決定部２２は、調和平均を計算し所定の評価値として算出する（ステップ１２５）。アクセス権候補決定部２２は、１−αとβの調和平均Ａを計算し、調和平均Ａの値を所定の評価値とする。調和平均Ａは、Ａ＝（２×（１−α）×β）÷（（１−α）＋β）として計算することができる。本実施形態では調和平均として算出した所定の評価値が１に近いほど、そのユーザグループが、対象となるフォルダへのアクセス権の設定範囲として適していることを示す。所定の評価値は、調和平均以外の方法で算出されてもよい。

ステップ１２５において所定の評価値を算出すると、アクセス権候補決定部２２はｎを１増加させて（ステップ１２６）、ステップ１２２に戻り、次のグループの所定の評価値の算出を行う。Ｎ個のグループ全ての所定の評価値の算出を終えてステップ１２２でＹｅｓのとき、アクセス権候補決定部２２は所定の評価値の算出の動作を完了する。

図３のようなグループが設定されている場合に、図４の「Ｘ社ＰＪ」フォルダの最適なアクセス権を設定する場合を例に、所定の評価値の算出方法について説明する。また、図４の「Ｘ社ＰＪ」のフォルダには、図３の「Ｘ社プロジェクト」のユーザグループのユーザにあらかじめアクセス権が設定されていたとして説明する。

図３および図４の場合において、「開発部」グループの過剰アクセス率αは、α＝１−（２÷３５）≒０．９４となる。このとき、対象となるフォルダにアクセスが成功したユーザの数であるうちｎ番目のユーザグループに所属しているユーザの数を示すａは、「Ｘ社プロジェクト」のユーザグループにも登録している２人である。また、ｎ番目のユーザグループに所属しているユーザのうちａ以外の人数を示す値であるｃは、３３人である。

また、アクセス権カバー率βは、β＝２÷２＝１である。このとき、対象となるフォルダにアクセスが成功したユーザのうちｎ番目のユーザグループに所属していないユーザの数を示すｂは、０人である。よって、所定の評価値として調和平均Ａを算出すると、Ａ＝（２×（１−０．９４）×１）÷（（１−０．９６）＋１）≒０．１１となる。

次に、現在の設定における所定の評価値を算出すると、「Ｘ社プロジェクト担当」のグループの過剰アクセス率αは、α＝１−（２÷２）＝０である。また、アクセス権カバー率βは、β＝２÷２＝１となる。よって、所定の評価値として調和平均Ａを算出すると、Ａ＝（２×（１−０）×１）÷（（１−０）＋１）＝１となる。「開発部」と「Ｘ社プロジェクト担当」のグループを比較すると、「Ｘ社プロジェクト担当」の方が所定の評価値が高く、「Ｘ社プロジェクト担当」の方が対象となるフォルダに対してアクセス権を設定するグループとして適している。

また、本実施形態の情報システムにおいて、ユーザグループの所定の評価値を基にユーザ管理装置３０に新たなユーザグループを生成してもよい。例えば、所定の評価値が高いユーザグループが、ユーザグループの組み合わせによるものであるとき、組み合わせ後のユーザグループを新たな１つのユーザグループとして登録してもよい。また、端末装置１０で作業者がユーザグループを選択した際に、ユーザ管理装置３０に選択されたユーザグループと同内容のグループが１つのユーザグループとして登録される構成としてもよい。

本実施形態の情報システムにおいて、アクセス権評価装置２０は、ユーザ管理装置３０において管理されているユーザグループの情報と、記憶装置４０に保存されているアクセスログの情報を基にユーザグループごとの所定の評価値を算出している。また、所定の評価値は、ユーザ管理装置３０に保存されている個々のユーザグループを組み合わせにより生成されるユーザグループについても算出される。

所定の評価値を、所定のフォルダへのユーザのアクセス実績等に基づいた所定の評価値として算出することにより、アクセス権の設定範囲として適するかの指標を候補となるユーザグループ間で比較することが可能となる。その際に、あるユーザグループとそのユーザグループを含むさらに広い範囲のユーザグループとの間でも所定の評価値を比較することができる。そのため、本実施形態の情報システムでは、所定のフォルダへの適切なアクセス権の設定範囲について、ユーザグループごとの所定の評価値としての情報を基に判断することができる。その結果、本実施形態の情報システムを用いることにより、適切な範囲のユーザグループに所定のフォルダへのアクセス権を設定することができる。

（第３の実施形態）
本発明の第３の実施形態について詳細に説明する。第２の実施形態では、アクセス権が無く対象となるフォルダにアクセスが行えなかったユーザは、アクセス権の設定の際に考慮されていなかった。本実施形態では、アクセス権が無いユーザのアクセス履歴も考慮して、アクセス権の設定が行われる。

本実施形態の情報システムの構成は第２の実施形態と同様である。よって、以下では、情報システムの構成を示す図２も参照して本実施形態の情報システムの動作の説明を行う。また、本実施形態の情報システムの動作のうち、所定の評価値を算出するステップ以外の動作は、第２の実施形態におけるステップ１０１からステップ１１４と同様である。よって、以下では所定の評価値の算出の動作についてのみ説明を行う。図９は、本実施形態のアクセス権評価装置２０が、ユーザグループごとに所定の評価値を算出する際の動作フローの概要を示したものである。

アクセス権候補決定部２２は、１番目のユーザグループ（ｎ＝１）の所定の評価値の算出を開始する（ステップ１３１）。ｎ＝１のときステップ１３２でＮｏのためステップ１３３からの動作が行われる。以下は、ｎ番目のユーザグループの所定の評価値を算出する際のステップ１３３からの動作について説明する。

アクセス権候補決定部２２は、Ｎ個のユーザグループのうちｎ番目のユーザグループの所定の評価値の算出を開始すると、ｎ番目のユーザグループについて過剰アクセス権率αを計算する（ステップ１３３）。過剰アクセス権率αを計算すると、アクセス権候補決定部２２はアクセス権カバー率βを計算する（ステップ１３４）。過剰アクセス権率αとアクセス権カバー率βの計算方法は、第２の実施形態と同様である。

過剰アクセス権率αとアクセス権カバー率βを計算すると、アクセス権候補決定部２２は、アクセス失敗のユーザのカバー率γを計算する（ステップ１３５）。アクセス失敗のユーザのカバー率γは、γ＝ｅ÷（ｅ＋ｄ）として計算される。ここで、ｄは対象となるフォルダにアクセスして失敗したユーザのうち、ｎ番目のユーザグループに所属していないユーザの数を示す。また、ｅは対象となるフォルダにアクセスして失敗したユーザのうち、ｎ番目のユーザグループに所属しているユーザの数を示す。すなわち、アクセス失敗のユーザのカバー率γが１に近い値になるほど、アクセスに失敗したユーザのうち、ｎ番目のユーザグループが設定されると対象となるフォルダにアクセスできるようになるユーザが多いことを示す。

図１０は、ａ、ｂ、ｃ、ｄおよびｅがどのような集合を示すのかについて概要を図示したものである。図１０に示す通り、ｅの集合は、ｎ番目のグループの全ユーザの集合と、対象となるフォルダにアクセスが失敗した集合の両方に所属するユーザの集合である。また、図１０において、ｄの集合は、対象となるフォルダにアクセスが失敗した集合からｅを除いた集合であることが示されている。ａ、ｂおよびｃは、第２の実施形態と同様である。

アクセス失敗のユーザのカバー率γを計算すると、アクセス権候補決定部２２は調和平均を計算して所定の評価値を算出する（ステップ１３６）。本実施形態では所定の評価値は、過剰アクセス権率α、アクセス権カバー率βおよびアクセス失敗のユーザのカバー率γの調和平均Ａとして算出される。本実施形態においても、調和平均Ａの値が１に近いユーザグループほど、対象となるフォルダにアクセス権を設定するユーザグループとして適している。

調和平均Ａは、Ａ＝（３×（１−α）×β×γ）÷（（１−α）×β）＋β×γ＋（１−α）×γ））として計算することができる。所定の評価値には、調和平均以外の値が用いられてもよい。

ｎ番目のグループの所定の評価値を算出すると、アクセス権候補決定部２２は、ｎを１増加させて（ステップ１３７）、ステップ１３２に戻り、次のユーザグループの所定の評価値の算出を行う。Ｎ個のユーザグループ全ての所定の評価値の算出を終えてステップ１３２でＹｅｓのとき、アクセス権候補決定部２２は所定の評価値の算出の動作を完了する。所定の評価値が算出を完了すると、第２の実施形態と同様にアクセス権の設定が行われる。

本実施形態の情報システムは、所定のフォルダへのアクセス権を設定する範囲としての適性を示す所定の評価値を算出する際に、アクセス権を持たずに所定のフォルダにアクセスして失敗したユーザのデータも用いている。そのため、アクセス権の設定を見直す前にはアクセスできなかったユーザが属しているユーザグループも含めて、所定の評価値を算出することができる。その結果、本実施形態の情報システムは、第２の実施形態の情報システムと比べて、より適切なアクセス権の設定範囲の情報を得ることが可能となる。

第２および第３の実施形態において、対象となるフォルダにアクセスした履歴のあるユーザが所属するユーザグループのみを、所定の評価値を算出するＮ個のユーザグループに含めるようにしてもよい。すなわち、対象となるフォルダにアクセスした履歴のないユーザのみからなるユーザグループは、所定の評価値を算出するＮ個のユーザグループの設定から除外するようにしてもよい。対象となるフォルダにアクセスした履歴のあるユーザが所属するユーザグループのみに限定することで、対象となるフォルダにアクセスした履歴のあるユーザのみで、ディレクトリサービスを構成したのと同じ状態で、アクセス権の設定が行われる。このような構成とすることにより、所定の評価値を算出した際に、評価値が低いユーザグループが多く存在することを防げるため、所定の評価値を基にしたより適切なアクセス権の設定が可能となる。また、所定の評価値を算出する対象となるユーザグループの数を抑制することができるので、アクセス権評価装置における処理量を抑制することができる。

第２および第３の実施形態において、端末装置、アクセス権評価装置、ユーザ管理装置および記憶装置は、それぞれ独立した装置として示したが、一部の装置の組み合わせまたはすべてを１つの装置として形成してもよい。また、複数台の記憶装置を備える場合に、一部の記憶装置が、ユーザ管理装置等の他の装置と同一の筐体内に備えられていてもよい。

第２および第３の実施形態において、端末装置、アクセス権評価装置、ユーザ管理装置および記憶装置の各部位で行う各処理は、コンピュータプログラムによって行われてもよい。例えば、アクセス権評価装置２０において行われる各処理について、ハードディスクに保存されたコンピュータプログラムを、サーバ装置上の中央演算処理装置や半導体記憶装置を用いて実行することにより各処理を行うことができる。また、各処理に用いるコンピュータプログラムは、電気通信回線等を介して各装置に送信することもできる。また、各処理に用いるコンピュータプログラムは、磁気記憶装置、光磁気ディスク、磁気テープおよびその他の記憶媒体に保存して使用や頒布等を行うことができる。

１ アクセスログ取得手段
２ グループ情報取得手段
３ 評価値算出手段
１０ 端末装置
１１ 設定部
１２ アクセス権候補要求部
１３ 記憶装置アクセス部
２０ アクセス権評価装置
２１ 要求処理部
２２ アクセス権候補決定部
２３ アクセスログ集計部
２４ 集計データ記憶部
３０ ユーザ管理装置
４０ 記憶装置
４１ アクセスログ記憶部
４２ 情報記憶部
１０１−１１４ アクセス権の設定動作のステップ
１２１−１２６ 所定の評価値の算出のステップ
１３１−１３７ 所定の評価値の算出のステップ
Ｓ１ アクセス権候補要求信号
Ｓ２ アクセスログ要求信号
Ｓ３ アクセスログデータ信号
Ｓ４ グループ情報要求信号
Ｓ５ グループ情報信号
Ｓ６ アクセス権評価データ信号
Ｓ７ アクセス権設定要求信号

Claims (7)

1. 所定のフォルダへユーザがアクセスした情報を前記所定のフォルダごとに記録したアクセスログのデータを取得するアクセスログ取得手段と、
   前記ユーザがそれぞれ属するユーザグループの情報をグループ情報として取得するグループ情報取得手段と、
   前記所定のフォルダへのアクセス権を設定する範囲としての適性を示す所定の評価値を、前記所定のフォルダにアクセスした全ユーザのうち前記所定の評価値の算出を行う前記ユーザグループに所属しているユーザの割合を基にした評価値であり前記アクセスログおよび前記グループ情報を参照して算出された第１の評価値および前記所定の評価値の算出を行う前記ユーザグループに所属しているユーザのうち前記所定のフォルダにアクセスしたユーザの割合を基にした評価値であり前記アクセスログおよび前記グループ情報を参照して算出された第２の評価値を基に、第１のユーザグループと、前記第１のユーザグループを内部に含む第２のユーザグループとについてそれぞれ算出する評価値算出手段と、
   前記評価値算出手段が算出した前記所定の評価値に基づいて、前記所定のフォルダへのアクセス権の範囲を設定するアクセス権設定手段と
   を備えることを特徴とする情報装置。
2. 前記評価値算出手段は、
   前記所定のフォルダにアクセスした全ユーザのうち前記所定の評価値の算出を行う前記ユーザグループに所属しているユーザの割合が高く、
   かつ、
   前記所定の評価値の算出を行う前記ユーザグループに所属しているユーザのうち前記所定のフォルダにアクセスしたユーザの割合が高いときに、
   所定の評価値が大きくなるような所定の方法で前記所定の評価値を算出することを特徴とする請求項１に記載の情報装置。
3. 前記アクセスログ取得手段は、前記所定のフォルダにアクセスしようとしてできなかったユーザのアクセスログも併せて取得し、
   前記評価値算出手段は、前記所定のフォルダにアクセスしようとしてできなかった全ユーザのうち前記所定の評価値の算出を行う前記ユーザグループに所属しているユーザの割合を基に算出した第３の評価値をさらに算出し、前記第１の評価値、前記第２の評価値および前記第３の評価値を基に前記所定の評価値を算出することを特徴とする請求項１または２に記載の情報装置。
4. 前記評価値算出手段は、前記アクセスログ中に、自グループに所属するユーザが前記所定のフォルダにアクセスした記録のあるユーザグループについてのみ、前記所定の評価値の算出を行うことを特徴とする請求項１から３いずれかに記載の情報装置。
5. 請求項１から４いずれかに記載の情報装置と、
   データを複数のフォルダに分けて保存する手段と、前記フォルダへアクセスしたユーザの情報を前記アクセスログのデータとして保存する記録手段とを少なくとも有する記憶装置と、
   複数のユーザを所属するユーザグループごとにディレクトリとして管理するユーザ管理装置とを備え、
   前記情報装置の前記アクセスログ取得手段は、前記記憶装置から前記アクセスログのデータを取得し、
   前記情報装置のグループ情報取得手段は、前記ユーザ管理装置から前記グループ情報を取得することを特徴とする情報システム。
6. 所定のフォルダへユーザがアクセスした情報を前記所定のフォルダごとに記録したアクセスログのデータを取得するアクセスログ取得処理と、
   前記ユーザがそれぞれ属するユーザグループの情報をグループ情報として取得するグループ情報取得処理と、
   前記所定のフォルダへのアクセス権を設定する範囲としての適性を示す所定の評価値を、前記所定のフォルダにアクセスした全ユーザのうち前記所定の評価値の算出を行う前記ユーザグループに所属しているユーザの割合を基にした評価値であり前記アクセスログおよび前記グループ情報を参照して算出された第１の評価値および前記所定の評価値の算出を行う前記ユーザグループに所属しているユーザのうち前記所定のフォルダにアクセスしたユーザの割合を基にした評価値であり前記アクセスログおよび前記グループ情報を参照して算出された第２の評価値を基に、第１のユーザグループと、前記第１のユーザグループを内部に含む第２のユーザグループとについてそれぞれ算出する評価値算出処理と、
   算出した前記所定の評価値に基づいて、前記所定のフォルダへのアクセス権の範囲を設定するアクセス権設定処理と
   をコンピュータに実行させることを特徴とするコンピュータプログラム。
7. 情報処理装置におけるアクセス権評価方法であって、
   前記情報処理装置は、
   所定のフォルダへユーザがアクセスした情報を前記所定のフォルダごとに記録したアクセスログのデータを取得し、
   前記ユーザがそれぞれ属するユーザグループの情報をグループ情報として取得し、
   前記所定のフォルダへのアクセス権を設定する範囲としての適性を示す所定の評価値を、前記所定のフォルダにアクセスした全ユーザのうち前記所定の評価値の算出を行う前記ユーザグループに所属しているユーザの割合を基にした評価値であり前記アクセスログおよび前記グループ情報を参照して算出された第１の評価値および前記所定の評価値の算出を行う前記ユーザグループに所属しているユーザのうち前記所定のフォルダにアクセスしたユーザの割合を基にした評価値であり前記アクセスログおよび前記グループ情報を参照して算出された第２の評価値を基に、第１のユーザグループと、前記第１のユーザグループを内部に含む第２のユーザグループとについてそれぞれ算出し、
   算出した前記所定の評価値に基づいて、前記所定のフォルダへのアクセス権の範囲を設定することを特徴とするアクセス権評価方法。

Images