JP7240356B2

JP7240356B2 - セルラー通信端末のネットワークへの接続方式

Info

Publication number: JP7240356B2
Application number: JP2020098059A
Authority: JP
Inventors: 浩明仁藤
Original assignee: イニシャル・ポイント株式会社
Priority date: 2020-06-04
Filing date: 2020-06-04
Publication date: 2023-03-15
Anticipated expiration: 2040-06-04
Also published as: JP2021190971A

Description

本発明は、高い安全性を確保したセルラー通信端末のネットワークへの接続方式に関するものである。

近年、パソコンやタブレット、スマートフォンなどのＩＴ機器を業務目的で社外に持ち出して使用する機会は多い。在宅勤務もこの流れの一環であると考えられる。

社外から社内の情報にアクセスしたい場合、従来はインターネットＶＰＮを使うことが一般的であった。

インターネットＶＰＮとは、誰もが自由に使えるインターネット上に認証や暗号化等のセキュリティ対策を施した通信路（ＶＰＮ：ＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ）を作成し、社外に持ち出したＩＴ機器と社内の装置（サーバーなど）とがこのＶＰＮを使って通信することにより、情報の漏洩を防止することを目的とした技術である。

しかし、インターネットＶＰＮには大きく３つの問題がある。第１に、社内にＶＰＮの作成を待ち受ける装置（ＶＰＮゲートウェイ装置）が必要であり、この運用費用が掛かることである。第２に、先のＶＰＮゲートウェイ装置はインターネットに接続される必要があり、常にインターネットを経由した世界中からの攻撃にさらされることである。このため、この対策にまた大きな費用が発生することになる。第３に、インターネットＶＰＮはＶＰＮを作成する際に社外に持ち出したＩＴ機器に認証情報を入力する必要があり、これが漏洩した場合は悪意を持った人間が社内の情報にアクセス出来てしまうことである。よって、この認証情報は厳格な管理が求められるため使う人間にとっては大きな負担となる。

このような問題点から、近年インターネットを経由しない通信方式が注目されている。それが閉域ＳＩＭと呼ばれる物である。閉域ＳＩＭとは、セルラー通信事業者と会社とをインターネットを経由しない専用線で結び、社外に持ち出したＩＴ機器が持つセルラー通信機に専用のＳＩＭを挿入することによって、そのＩＴ機器の通信を会社と結んだ専用線にすべて誘導する技術である。このことによって上記のインターネットＶＰＮの３つの問題点が解決され、利用者の利便性は大いに向上することとなった。例えば、公衆回線網から専用線を介しＬＡＮにアクセスする発明（特許文献１）や、公衆回線網からＬＡＮにアクセスすることや、ＬＡＮ側から外部端末にアクセスすることや、公衆回線網に認証機能を持たせる発明が知られている（特許文献２）。

特開２００２－１６４９３６特開２００６－１４８６６１

しかし、閉域ＳＩＭが普及するにつれて新たな問題が発生することになった。最も大きな問題は、社外に持ち出したＩＴ機器やそこに挿入されたＳＩＭの盗難である。通常、セルラー通信を行うには物理的なＳＩＭの他に、ＡＰＮ、ユーザー名、パスワードといった情報が必要である。しかし、これらは一度設定してしまうと揮発することはなくＩＴ機器の電源を入れれば誰でも使える状態になる。

また、ＡＰＮ、ユーザー名、パスワードは社外に持ち出したＩＴ機器を利用するすべての利用者で共通であることも多く認証情報としての意味は薄い。よって、社外に持ち出したＩＴ機器やＳＩＭを盗んだ者は容易に社内の情報に無制限にアクセスすることが可能になり、結果としてインターネットＶＰＮよりもはるかにセキュリティが低下してしまうこととなる可能性がある。

このような状況から、閉域ＳＩＭを用いた上でさらに本来は必要ない認証と暗号化を伴うＶＰＮを作成することが行われることとなった。これはインターネットから攻撃されることはないが、インターネットＶＰＮと同様にＶＰＮゲートウェイ装置が必要であり、その運用費が別途発生する。また、利用者はインターネットＶＰＮと同様にＶＰＮを作成するために認証情報を入力する必要があり負担も軽減されない。

あるいは、簡易な方法として社内の機器によってアプリケーションレベル（ＯＳＩ７階層参照モデルの第７層）でアクセス制限を行うこともしばしば行われる。この場合は上記のＶＰＮゲートウェイ装置が不要となるが、ネットワークレベル（ＯＳＩ７階層参照モデルの第３層）では社内の機器は常に攻撃を受ける可能性があり十分ではない。また、利用者の利便性も改善はされない。

解決しようとする問題点は、閉域ＳＩＭを用いた際に本来必要ない認証と暗号化を伴うＶＰＮを作成する点である。また、利用者が上記ＶＰＮを作成するために認証情報を入力しなければならない点である。この問題点を解決することによって利便性を改善する。

本発明は、上述した課題を解決するために、安全かつ利便性の高いセルラー通信端末のネットワークへの接続方式を提供することを目的とする。

本発明の一つの態様は、社外に持ち出したＩＴ機器の認証状態に応じてセルラー通信における網側から払い出されるＩＰアドレスを変更することを特徴とするセルラー通信端末のネットワークへの接続方式である。

好ましくは、前記ＩＰアドレスにマッチするフィルタリングルールを予め前記網側に設定し、前記社外に持ち出したＩＴ機器の認証状態に応じて、その通信先を制限／許可することを特徴とするセルラー通信端末のネットワークへの接続方式である。

好ましくは、前記社外に持ち出したＩＴ機器の認証は、３ＧＰＰが定めるところの通信端末の認証の外で実施されるものであり、様々な認証方式を選択可能であることを特徴とするセルラー通信端末のネットワークへの接続方式である。

好ましくは、前記社外に持ち出したＩＴ機器の認証状態は、ＳＩＭや機器の所有部門や利用者を特定することが出来る情報を含み、事前に設定したルールに従い社外に持ち出した前記ＩＴ機器の通信を社内の任意のネットワークに誘導することを特徴とするセルラー通信端末のネットワークへの接続方式である。

本発明は、閉域ＳＩＭの技術を用いて社外に持ち出したＩＴ機器が社内にある情報にアクセスする際に、独自のネットワークレベルでの認証と接続機能を付与することによって、本来必要ない認証と暗号化を伴うＶＰＮの作成を不要とする。また、上記認証と接続機能は利用者の個人認証においても生体認証などの利便性とセキュリティ向上を両立し得る認証方法を容易に組み合わせることを可能にすることを特徴とする。さらに、上記認証と接続機能は３ＧＰＰ仕様が定めるセルラー通信機の認証とネットワークへの接続仕様から一切逸脱せず、これを拡張する形で実現されるため市場への即時投入が可能であることを特徴とする。

本発明は、閉域ＳＩＭ技術を用いつつ認証と暗号化を伴うＶＰＮの作成を不要とするため、ＶＰＮゲートウェイ装置が不要であり運用コストの低減が期待出来る。

また、インターネットを用いないことによってそれを経由した攻撃を受ける心配もない。また、独自のネットワークレベルでの認証と接続機能によって、社外に持ち出したＩＴ機器やそれに挿入されたＳＩＭが盗難された場合でも悪意を持った人間が社内の情報にアクセスすることは不可能である。さらに、独自のネットワークレベルでの認証と接続機能は厳密な個人認証を行った上で社外に持ち出したＩＴ機器を社内の任意のネットワークに接続することを可能とする技術であるため、社内にアクセス制限ポリシーが異なる複数のネットワーク（例えば利用者が所属する部署毎に異なるネットワークなど）がある場合には、社外に持ち出したＩＴ機器の利用者によって適切に接続されるネットワークを選択出来るという付加的な機能も持つ。

本発明の第１実施形態にかかるネットワークを説明する概念図である。本発明の第１実施形態にかかる処理を説明するフロー図である。本発明の第２実施形態にかかるネットワークを説明する概念図である。本発明の第２実施形態にかかる処理を説明するフロー図である。

［実施例１］
図１は、本発明の実施形態にかかるネットワークを説明する概念図である。セルラー通信事業者Ｃ０１は、広域のセルラー通信サービスを提供するセルラー通信事業者である。サービス事業者Ｃ０２は、本発明をサービスとして提供するサービス事業者である。セルラー通信事業者Ｃ０１のシステムとサービス事業者Ｃ０２のシステムとは電気通信回線を通じて接続されている。なお、セルラー通信事業者自身が本発明をサービスとして提供する場合は、Ｃ０１とＣ０２は同一の事業者となる。企業Ｃ０３は、本発明をサービスとして利用する企業、組織等である。

持ち出し端末Ｔ０１は、企業Ｃ０３が所有するノートＰＣ、タブレット、スマートフォン等の持ち出し端末である。ゲートウェイ装置Ｅ０１は、セルラー通信事業者Ｃ０１から提供されるゲートウェイ装置である。４Ｇ／ＬＴＥ通信の３ＧＰＰ仕様においてはＰＧＷ（ＰａｃｋｅｔｄａｔａｎｅｔｗｏｒｋＧａｔｅＷａｙ）と呼ばれる。

サービス事業者Ｃ０２のシステムは、認証装置Ａ０１と、認証装置Ａ０２と、ゲートウェイ装置Ｅ０１と、ネットワーク装置Ｅ０２とを備えて構成されている。

ネットワーク装置Ｅ０２は、持ち出し端末Ｔ０１に付与されたＩＰアドレスに従ってその通信先を許可・制限し、ネットワークを分割するネットワーク装置である。

認証装置Ａ０１は、セルラー通信端末（本実施例においてはＴ０１持ち出し端末）を認証する３ＧＰＰ仕様における認証装置である。ＡＡＡ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ／Ａｕｔｈｏｒｉｚａｔｉｏｎ／Ａｃｃｏｕｎｔｉｎｇ）装置とも呼ばれ、セルラー通信端末に払い出すＩＰアドレスの管理も担当する。

認証装置Ａ０２は、本発明が新たに提供する認証装置である。持ち出し端末Ｔ０１の追加的な認証を行い、その結果を３ＧＰＰ認証装置Ａ０１にＩＰアドレスといった形で反映する。

専用線Ｄ０１は、ネットワークＮ０１とネットワークＮ０２を収容するサービス事業者Ｃ０２と企業Ｃ０３とを結ぶ専用線である。

ネットワークＮ０１とネットワークＮ０２は、ネットワーク装置Ｅ０２によって分割されたネットワークである。一般的にはこれらはＶＬＡＮ（ＶｉｒｔｕａｌＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）として多重化されて、専用線Ｄ０１を経由して企業Ｃ０３まで到達する。これらはそれぞれ異なるアクセス制限ポリシーを持つ。

企業Ｃ０３のシステムは、装置Ｐ０１と装置Ｐ０２を備えて構成されている。装置Ｐ０１と装置Ｐ０２は、それぞれネットワークＮ０１とネットワークＮ０２に接続される企業Ｃ０３組織内に設置される装置である。これらはそれぞれネットワークＮ０１とネットワークＮ０２のアクセス制限ポリシーに準ずる異なったアクセス制限ポリシーを持つ。

図２は、本発明の実施例の動作を説明したフローチャートである。ステップＳ０１は接続要求処理である。この処理は、持ち出し端末Ｔ０１によるセルラー通信に対する接続要求処理である。

ステップＳ０２は着信処理である。この処理は、ステップＳ０１の接続要求に対するゲートウェイ装置Ｅ０１による着信処理である。ゲートウェイ装置Ｅ０１は、着信と同時に得られた持ち出し端末Ｔ０１から得られた情報とともに認証要求を３ＧＰＰ認証装置Ａ０１に送る。

ステップＳ０３は３ＧＰＰ認証処理（第一認証処理）である。この処理は、３ＧＰＰ認証装置Ａ０１による持ち出し端末Ｔ０１の認証処理である。持ち出し端末Ｔ０１に挿入されたＳＩＭの情報と設定されたＡＰＮ、ユーザー名、パスワードをもとに３ＧＰＰ仕様にもとづいた認証を行う。

ステップＳ０４は、アドレス払い出し処理である。この処理は、ステップＳ０３の３ＧＰＰ認証処理の結果がＯＫの場合に、持ち出し端末Ｔ０１に付与する「ＩＰアドレス（検疫）」をゲートウェイ装置Ｅ０１に払い出す処理である。

「ＩＰアドレス（検疫）」は、本発明の認証装置Ａ０２には到達可能だが、ネットワーク装置Ｅ０２で通信を制限されているため、ネットワークＮ０１とネットワークＮ０２には到達出来ないＩＰアドレスである。

ステップＳ０５は、接続（検疫）処理である。この処理は、ゲートウェイ装置Ｅ０１によって「ＩＰアドレス（検疫）」を持ち出し端末Ｔ０１に付与し、持ち出し端末Ｔ０１がセルルラー通信を可能とする処理である。これによって持ち出し端末Ｔ０１は本発明の認証装置Ａ０２のみと通信することが可能となる。

ステップＳ０６は、本発明認証処理（第二認証処理）である。この処理は、本発明の認証装置Ａ０２による持ち出し端末Ｔ０１に対する追加的な認証処理である。この認証は３ＧＰＰのセルラー通信端末の認証仕様の外で行われるものであり、その認証方法は自由に選択可能である。本実施例において、認証方法として、持ち出し端末Ｔ０１のＩＤ（いわゆるＩＭＥＩ（ＩｎｔｅｒｎａｔｉｏｎａｌＭｏｂｉｌｅＳｕｂｓｃｒｉｂｅｒＩｄｅｎｔｉｔｙ）又は、クライアント証明書）、そこに挿入されたＳＩＭのＩＤ（いわゆるＩＭＳＩ（ＩｎｔｅｒｎａｔｉｏｎａｌＭｏｂｉｌｅＳｕｂｓｃｒｉｂｅｒＩｄｅｎｔｉｔｙ））、利用者のＩＤの３種類のＩＤの組み合わせで認証を行うものとする。また、利用者のＩＤに関しては、利便性が高くセキュリティも高い生体認証を用いることも可能である。

ステップＳ０７は、ＩＰアドレス更新処理である。この処理は、ステップＳ０６の本発明認証がＯＫだった場合に、本発明の認証装置Ａ０２が認証結果にもとづいて３ＧＰＰ認証装置Ａ０１が管理する持ち出し端末Ｔ０１に付与するＩＰアドレスを更新する処理である。ここで更新されるＩＰアドレスは「ＩＰアドレス（閉域）」であり、ネットワーク装置Ｅ０２を経由してネットワークＮ０１からネットワークＮ０２のいずれかに到達可能なＩＰアドレスである。

ステップＳ０８からステップＳ１２は、ステップＳ０１からステップＳ０５と同じ処理を繰り返す。ただし、ステップＳ０７のＩＰアドレス更新処理において持ち出し端末Ｔ０１に付与するＩＰアドレスが更新されているため、持ち出し端末Ｔ０１に付与されるＩＰアドレスは「ＩＰアドレス（閉域）」となる。

ステップＳ１３は、通信振り分け処理である。この処理は、持ち出し端末Ｔ０１のＩＰアドレスにもとづいて、通信可能なネットワークを許可／制限し通信をＮ０１及びＮ０２のいずれかのネットワークに振り分ける処理である。どのネットワークに振り分けるかは予めネットワーク装置Ｅ０２に設定されたフィルタリングルールに従う。

ステップＳ１４は、閉域通信開始処理である。この処理は、持ち出し端末Ｔ０１と、企業組織内装置Ｐ０１及び企業組織内装置Ｐ０２のいずれかの企業組織内装置との通信開始処理である。当然、ステップＳ１３の通信振り分け処理によって許可された通信先とのみ通信が可能となる。

このように、本処理は、社外に持ち出したＩＴ機器（持ち出し端末Ｔ０１）の認証状態（ＳＩＭ認証、機器認証、利用者認証など）によって（ステップＳ０６）セルラー通信における網側から払い出されるＩＰアドレスを変更する（ステップＳ０７）ことを特徴とするセルラー通信端末のネットワークへの接続方式の一例である。

このように、本処理は、上記ＩＰアドレスにマッチするフィルタリングルールを予め網側に設定しておくことによって、社外に持ち出したＩＴ機器の認証状態によってその通信先を制限／許可する（ステップＳ１３）ことを特徴とするセルラー通信端末のネットワークへの接続方式の一例である。

このように、本処理は、上記社外に持ち出したＩＴ機器の認証を３ＧＰＰが定めるところの通信端末の認証の外で実施し、利便性の高い様々な認証方式が自由に選択可能である（ステップＳ０６）ことを特徴とするセルラー通信端末のネットワークへの接続方式の一例である。

このように、本処理は、上記社外に持ち出したＩＴ機器の認証状態は、ＳＩＭや機器の所有部門や利用者を特定することが出来る情報を含み、事前に設定したルールに従い社外に持ち出したＩＴ機器の通信を社内の任意のネットワークに誘導することを特徴とするセルラー通信端末のネットワークへの接続方式の一例である。

また、この処理は、
社内ネットワーク外部にあるＩＴ機器を３ＧＰＰ認証処理する第一認証処理と、
前記第一認証処理の結果に応じた第一ＩＰアドレスを前記ＩＴ機器に付与するアドレス払い出し処理と、
前記第一認証処理と異なる第二認証処理と、
前記第二認証処理の結果に応じて、前記ＩＴ機器に付与されたＩＰアドレスを前記第一ＩＰアドレスから第二ＩＰアドレスに更新するＩＰアドレス更新処理を備えることを特徴とするセルラー通信端末のネットワークへの接続方式の一例である。

また、この処理は、
前記網側に設定された前記第二ＩＰアドレスにマッチするフィルタリングルールに応じた通信振り分け処理を備えることを特徴するセルラー通信端末のネットワークへの接続方式の一例である。

また、この処理は、
３ＧＰＰのセルラー通信端末の認証仕様の外で行われる認証を行う第二認証処理を備えることを特徴するセルラー通信端末のネットワークへの接続方式の一例である。

また、この処理おいて、
３ＧＰＰのセルラー通信端末の認証仕様の外で行われる認証を行う第二認証処理は、ＩＴ機器固有の識別子（例えば、ＩＭＥＩ、又はクライアント証明書）、通信カード固有の識別子（例えば、ＩＭＳＩ）及び利用者固有の識別子（例えば、指紋や顔や音声や虹彩などの生体情報、会社から賦与された固有のＩＤ、ワンタイムパスワードなど）を用いた認証方法から選択された認証処理であることを特徴とするセルラー通信端末のネットワークへの接続方式の一例である。

また、この処理おいて、
３ＧＰＰのセルラー通信端末の認証仕様の外で行われる認証を行う第二認証処理は、ＩＴ機器固有の識別子（例えば、ＩＭＥＩ又は、クライアント証明書）、通信カード固有の識別子（例えば、ＩＭＳＩ）及び利用者固有の識別子（例えば、指紋や顔や音声や虹彩などの生体情報、会社から賦与された固有のＩＤ、ワンタイムパスワードなど）を用いた認証方法から少なくとも２種類の認証方法を組み合わせた認証処理であることを特徴とするセルラー通信端末のネットワークへの接続方式の一例である。

また、この処理において、
３ＧＰＰのセルラー通信端末の認証仕様の外で行われる認証を行う第二認証処理は、ＩＴ機器固有の識別子（例えば、ＩＭＥＩ又は、クライアント証明書）、通信カード固有の識別子（例えば、ＩＭＳＩ）及び利用者固有の識別子（例えば、指紋や顔や音声や虹彩などの生体情報、会社から賦与された固有のＩＤ、ワンタイムパスワードなど）を用いた認証方法から３種類の認証方法を組み合わせた認証処理であることを特徴とするセルラー通信端末のネットワークへの接続方式の一例である。

また、この処理において、
第二認証処理は、機器の所有部門を特定可能なＩＴ機器固有の識別子（例えば、ＩＭＥＩ又は、クライアント証明書）、通信カード固有の識別子（例えば、ＩＭＳＩ）及び利用者を特定可能な利用者固有の識別子（例えば、指紋や顔や音声や虹彩などの生体情報、会社から賦与された固有のＩＤ、ワンタイムパスワードなど）を用いた認証方法のうち少なくとも１つの認証方法を用い、
前記第二認証処理の結果に応じて、前記ＩＴ機器に付与されたＩＰアドレスを前記第一ＩＰアドレスから第二ＩＰアドレスに更新するＩＰアドレス更新処理と、
前記網側に設定された前記第二ＩＰアドレスにマッチするフィルタリングルールに応じた通信振り分け処理を備えることを特徴するセルラー通信端末のネットワークへの接続方式の一例である。

［実施例２］
図３は、本発明のもう一つの実施例である。実施例１との機器構成上の違いは、ネットワークＡ（Ｎ０Ａ）と企業組織内認証装置Ａ０３が追加されている点である。

ネットワークＡ（Ｎ０Ａ）は、持ち出し端末Ｔ０１を企業組織Ｃ０３側で認証するために設置されるネットワークである。ネットワークＮ０１やネットワークＮ０２と同様にＶＬＡＮとして多重化されて専用線Ｄ０１を経由して企業組織Ｃ０３まで伸びる。

企業組織内認証装置Ａ０３は、本発明認証装置Ａ０２の一部機能の移譲を受けて持ち出し端末Ｔ０１の認証を行う装置である。認証結果は持ち出し端末Ｔ０１によって本発明認証装置Ａ０２に送信される。持ち出し端末Ｔ０１を利用する利用者のマスターデータが企業組織Ｃ０３内に存在する場合には、企業組織内認証装置Ａ０３でそれらの認証を行うことが合理的と考えられる。

図４は、本発明のもう一つの実施例の動作を説明したフローチャートである。図４のステップＳ０１は、接続要求処理である。この処理は、持ち出し端末Ｔ０１によるセルラー通信に対する接続要求処理である。ステップＳ０２は、着信処理である。この処理は、ステップＳ０１の接続要求によるゲートウェイ装置Ｅ０１による着信処理である。ゲートウェイ装置Ｅ０１は、着信と同時に得られた持ち出し端末Ｔ０１から得られた情報とともに認証要求を３ＧＰＰ認証装置Ａ０１に送る。なお、段落００５７から段落００６９のステップは、図４に記載のステップである。

ステップＳ０３は、３ＧＰＰ認証処理である。この処理は、３ＧＰＰ認証装置Ａ０１による持ち出し端末Ｔ０１の認証処理である。持ち出し端末Ｔ０１に挿入されたＳＩＭの情報と設定されたＡＰＮ、ユーザー名、パスワードをもとに３ＧＰＰ仕様にもとづいた認証を行う。

ステップＳ０４は、アドレス払い出し処理である。この処理は、ステップＳ０３の３ＧＰＰ認証の結果がＯＫの場合に、持ち出し端末Ｔ０１に付与する「ＩＰアドレス（検疫１）」をゲートウェイ装置Ｅ０１に払い出す処理である。「ＩＰアドレス（検疫１）」は、本発明認証装置Ａ０２には到達可能だが、ネットワーク装置Ｅ０２で通信を制限されているため、ネットワークＡ（Ｎ０Ａ）およびネットワークＮ０１～ネットワークＮ０２ネットワークには到達出来ないＩＰアドレスである。

ステップＳ０５は、接続（検疫１）処理である。この処理は、ゲートウェイ装置Ｅ０１によって「ＩＰアドレス（検疫１）」を持ち出し端末Ｔ０１に付与し、持ち出し端末Ｔ０１がセルルラー通信を可能とする処理である。これによって持ち出し端末Ｔ０１は本発明認証装置Ａ０２のみと通信することが可能となる。

ステップＳ０６は、本発明認証処理である。この処理は、本発明認証装置Ａ０２による持ち出し端末Ｔ０１に対する追加的な認証処理である。この認証は３ＧＰＰのセルラー通信端末の認証仕様の外で行われるものであり、その認証方法は自由に選択可能である。ここでは持ち出し端末Ｔ０１のＩＤ、そこに挿入されたＳＩＭのＩＤの組み合わせで認証を行うものとする。

ステップＳ０７は、ＩＰアドレス更新処理である。この処理は、ステップＳ０６の本発明認証の結果がＯＫだった場合に、本発明認証装置Ａ０２が上記認証結果にもとづいて３ＧＰＰ認証装置Ａ０１が管理する持ち出し端末Ｔ０１に付与するＩＰアドレスを更新する処理である。ここで更新されるＩＰアドレスは「ＩＰアドレス（検疫２）」であり、ネットワーク装置Ｅ０２を経由してネットワークＡ（Ｎ０Ａ）にのみ到達可能なＩＰアドレスである。

ステップＳ０８からステップＳ１２は、ステップＳ０１からステップＳ０５と同じ処理を繰り返す。ただし、ステップＳ０７は、ＩＰアドレス更新で持ち出し端末Ｔ０１に付与するＩＰアドレスが更新されているため、持ち出し端末Ｔ０１に付与されるＩＰアドレスは「ＩＰアドレス（検疫２）」となる。

ステップＳ１３は、通信振り分け処理である。この処理は、持ち出し端末Ｔ０１のＩＰアドレスにもとづいて、通信可能なネットワークを許可／制限し通信をネットワークＡ（Ｎ０Ａ）ネットワークに振り分ける処理である。

ステップＳ１４は、企業組織内認証処理である。この処理は、企業組織内認証装置Ａ０３による持ち出し端末Ｔ０１の利用者を認証する処理である。この認証は３ＧＰＰのセルラー通信端末の認証仕様の外で行われるものであり、その認証方法は自由に選択可能である。よって、利便性が高くセキュリティも高い生体認証（指紋、虹彩、音声、顔など）を用いることも可能である。

ステップＳ１５は、ＩＰアドレス更新処理である。この処理は、ステップＳ１４の企業組織内認証がＯＫだった場合に、持ち出し端末Ｔ０１がそれを本発明認証装置Ａ０２に送信し３ＧＰＰ認証装置Ａ０１が管理する持ち出し端末Ｔ０１に付与するＩＰアドレスを更新する処理である。ここで更新されるＩＰアドレスは「ＩＰアドレス（閉域）」であり、ネットワーク装置Ｅ０２を経由してネットワークＮ０１～ネットワークＮ０２のいずれかに到達可能なＩＰアドレスである。

ステップＳ１６からステップＳ２０は、ステップＳ０８からステップＳ１２と同じ処理を繰り返す。ただし、ステップＳ１５は、ＩＰアドレス更新で持ち出し端末Ｔ０１に付与するＩＰアドレスが更新されているため、持ち出し端末Ｔ０１に付与されるＩＰアドレスは「ＩＰアドレス（閉域）」となる。

ステップＳ２１は、通信振り分け処理である。この処理は、持ち出し端末Ｔ０１のＩＰアドレスにもとづいて、通信可能なネットワークを許可／制限し通信をネットワークＮ０１～ネットワークＮ０２のいずれかのネットワークに振り分ける処理である。どのネットワークに振り分けるかは予めネットワーク装置Ｅ０２に設定されたフィルタリングルールに従う。

ステップＳ２２は、閉域通信開始処理である。この処理は、持ち出し端末Ｔ０１と企業組織内装置Ｐ０１及び企業組織内装置Ｐ０２のいずれかの企業組織内装置との通信処理である。当然、ステップＳ２１による通信振り分けによって許可された通信先とのみ通信が可能となる。

本発明は、高度なネットワークレベルでの制御を伴うものの３ＧＰＰで策定されるセルラー通信端末の通信と認証の仕様に完全に合致しておりそれらの修正を一切必要としない。よって本発明の実施例は即座に市場への投入が可能であり、その場合利用者は非常に高いセキュリティと利便性とを同時に享受しつつ、全体としては運用コストの低減が望める。このことは多くの企業や組織にとって非常に大きな利点となる。

Ａ０１・・・認証装置
Ａ０２・・・認証装置
Ｃ０１・・・サービス事業者
Ｃ０２・・・サービス事業者
Ｃ０３・・・企業
Ｄ０３・・・専用線
Ｅ０１・・・ゲートウェイ装置
Ｅ０１・・・ネットワーク装置
Ｎ０１・・・ネットワーク
Ｎ０２・・・ネットワーク
Ｐ０１・・・装置
Ｐ０２・・・装置
Ｔ０１・・・持ち出し端末

Claims

社外に持ち出したＩＴ機器の認証状態に応じてセルラー通信における網側から払い出されるＩＰアドレスを変更し、
前記社外に持ち出したＩＴ機器の認証は、３ＧＰＰが定めるところの通信端末の認証の外で実施されるものであり、様々な認証方式を選択可能であることを特徴とするセルラー通信端末のネットワークへの接続方式。
請求項１に記載のセルラー通信端末のネットワークへの接続方式において、
前記ＩＰアドレスに応じたフィルタリングルールを予め前記網側に設定し、前記社外に持ち出したＩＴ機器の認証状態に応じて、その通信先を制限または許可し、
前記社外に持ち出したＩＴ機器の認証は、３ＧＰＰが定めるところの通信端末の認証の外で実施されるものであり、様々な認証方式を選択可能であることを特徴とするセルラー通信端末のネットワークへの接続方式。
請求項１に記載のセルラー通信端末のネットワークへの接続方式において、
前記社外に持ち出したＩＴ機器の認証状態は、ＳＩＭや機器の所有部門や利用者を特定することが出来る情報を含み、事前に設定したルールに従い社外に持ち出した前記ＩＴ機器の通信を社内の任意のネットワークに振り分けることを特徴とするセルラー通信端末のネットワークへの接続方式。