JPH06243016A - ファイル機密保護方法 - Google Patents

Abstract

(57)【要約】 【目的】ファイル属性にデータ種別と機密保護レベルを
付加し、利用者がアクセス可能なデータ種別と機密保護
レベルの上限を規定することによって、ファイル上のデ
ータを体系的かつ容易に保護できるようにする。 【構成】利用者がシステムに対するアクセスを開始した
時には、利用者管理システム１６が利用者管理データベ
ース１９を検索し、利用者がアクセス可能なデータ種別
と機密保護レベルの上限とを組み合わせたアクセス権リ
ストを、メモリ内に読み込む。また利用者がファイルの
割当を要求した時には、ファイル管理システム１１がフ
ァリル管理データベース１０を検索し、ファイルのデー
タ種別と機密保護レベルを読み込み、このデータ種別が
利用者のアクセス権リストに含まれることと、機密保護
レベルが、利用者の機密保護レベルの上限を超えていな
ことを確認し、違反している時には割当要求を拒否す
る。これにより、ファイル上のデータと利用者との関連
が整理され、体系的で管理し易い機密保護が実現され
る。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、ファイル機密保護方法
に関し、特に汎用コンピュータシステムにおける、ファ
イルの機密保護方法に関する。

【０００２】

【従来の技術】従来の方法においては、ファイルやディ
レクトリに、アクセス権を持った利用者名あるいは利用
者グループ名のリストを登録するのが一般的であった。

【０００３】利用者が、ファイルのアクセスを要求した
時には、ファイルやファイルが所属するディレクトリの
属性情報を検査し、アクセス権が与えられているとを確
認し、違反している時にはアクセスを拒否していた。

【０００４】一般に、ディレクトリとは、ファイルを階
層構造によって管理する際に、ファイルをグループ化す
る単位として導入される概念であり、カタログと呼ばれ
ていることもある。

【０００５】

【発明が解決しようとする課題】従来の方法は、ファイ
ルを新規に作成したり、利用者が追加されたり、利用者
の担当業務が変更される度に、ファイルと利用者の関連
を見直し、アクセス権を付与し直す必要がある。利用者
数や、ファイル数が多くなった現在の汎用コンピュータ
システムにおいては、このような手続きは、非常に複雑
で、管理し難いものになっている。ファイルをグループ
化したディレクトリや、利用者をグループ化した利用者
グループといった概念を導入して改善が図られてはいる
が、質的な改善ではなく、根本的な解決にはなっていな
い。この為、必要に迫られて、機密保護を緩めたり、誤
ったアクセス権を利用者に与えてしまうことが多い。結
果的に、不注意に因るデータ破壊や、悪意に因る機密漏
洩といった事態を招き易くなっていた。

【０００６】

【課題を解決するための手段】本発明のファイル機密保
護方法は、ファイルに対しては、ファイル内のデータの
種類を示すデータ種別と、機密保護の度合いを示す機密
保護レベルを登録する手段と、利用者に対しては、利用
者がアクセス可能なデータ種別と、機密保護レベルの上
限とを組み合わせたアクセス権リストを登録する手段と
を有し、利用者がファイルへのアクセスを要求した時に
は、ファイルのデータ種別が利用者のアクセス権リスト
に含まれ、しかもファイルの機密保護レベルが利用者の
機密保護レベルの上限を超えていないことを確認し、違
反している場合にはアクセスを拒否することによって、
体系的で、しかも管理し易い機密保護を実現することに
ある。

【０００７】

【実施例】以下、本発明の一実施例について図面を参照
して説明する。

【０００８】図１は、本発明の一実施例であるファイル
機密保護方法に使用するシステムのブロック図である。
図２は、利用者管理データベースに格納される利用者属
性レコードの形式を示し、図３は、ファイル管理データ
ベースに格納されるファイル属性レコードの形式を示
し、図４は、システムにアクセスしている利用者毎に、
主記憶内に生成されるテーブル群の形式を示す。

【０００９】最初に、本実施例で使用する各部の役割
を、図１を用いて説明する。図１において、利用者１８
が、タイムシェアリングシステムなどの会話型プログラ
ム１２に対して、ログオンを要求すると、オペレーティ
ングシステムの一部であるログオン管理１５に制御が渡
される。また、利用者１８ａが、バッチプログラム１４
をシステムに投入すると、オペテーティングシステムの
一部であるジョブ入力管理１７に制御が渡される。ログ
オン管理１５や、ジョブ入力管理１７は、利用者管理シ
ステム１６を呼び出す。利用者管理システム１６は、利
用者管理データベース１９を検索して、利用者によるシ
ステムアクセスの妥当性を検証する。利用者管理データ
ベース１９には、システムにアクセスする総ての利用者
の名前と属性情報が格納されている。

【００１０】バッチプログラム１４や会話型プログラム
１２の利用者１８が、ファイル資源の割当を要求する
と、資源割当管理１３を介して、ファイル管理システム
１１が呼び出される。ファイル管理システム１１は、フ
ァイル管理データベース１０を検索して、ファイルアク
セスの妥当性を検証する。ファイル管理データベース１
０には、システム内に存在する総てのファイルの識別名
と、属性情報が格納されている。

【００１１】次に、本実施例において用いられるデータ
種別と機密保護レベルに関して説明する。

【００１２】データ種別は、最大８桁の英数字であり、
人事データ、Ａプロジェクト関連のデータ等のデータの
種類に対応付けられる。また、機密保護レベルは、１桁
の数字であり、大きな数ほど強い機密保護が必要である
ことを示す。９は最高機密、０は保護が不必要であるこ
とを示す。磁気ディスク、光ディスク、電子ディスク、
磁気テープなどの媒体上に存在するシステム内の総ての
ファイルには、ファイル上のデータの内容に応じたデー
タ種別と、機密保護レベルが付与される。また、利用者
に対しては、どの種類のデータを、どの程度までアクセ
スできるのかを規定するアクセス権リストが付与され
る。このアクセス権リストは、データ種別と機密保護レ
ベル上限の対が、複数集まったものである。また、機密
保護レベル上限は、実行、参照、更新、変更という４つ
のアクセスタイプ別に設けられる。これは、「最高機密
のデータを参照はできるが、更新はできない」といった
制御を可能にする為である。

【００１３】次に、利用者１８が会話型プログラム１２
にログオンした時、及び利用者１８ａがバッチプログラ
ム１４を起動した時の処理の流れに関して説明する。

【００１４】既に説明したように、上記いずれの場合に
も、利用者管理システム１６が呼び出される。この時、
利用者名と暗号名が引き数として渡される。利用者管理
システム１６は、利用者管理データベース１９を検索
し、利用者属性レコードを読み込む。この利用者属性レ
コードの形式は、図２に示される。利用者属性レコード
２１は、利用者毎に登録され、利用者の属性情報を含
む。利用者管理システム１６は、暗号名２３が正しいこ
とを確認した後、アクセス権リストポインタ２４を辿
り、アクセス権リスト２５を読み込む。このアクセス権
リスト２５には、データ種別２６と、機密保護レベル上
限２７の対が、複数個含まれる。また、機密保護レベル
上限２７は、実行、参照、更新、変更というアクセスタ
イプ別に１桁づつ設けられている。

【００１５】利用者管理システム１６は、読み込んだア
クセス権リスト２５を、メモリ内のアクセス管理テーブ
ル４５に転送する。このアクセス管理テーブル４５の形
式は、図４に示される。アクセス管理テーブル４５は、
システムにアクセスしている利用者毎に作成される。次
に、利用者管理システム１６は、アクセス管理テーブル
４５のポインタを、ログオン管理１５または、ジョブ入
力管理１７に戻す。ログオン管理１５は、アクセス管理
テーブルのポインタ４４を、端末管理テーブル４３内に
保存する。この端末管理テーブル４３は、会話型プログ
ラムに接続中の利用者単位に作成される。一方、ジョブ
入力管理１７は、アクセス管理テーブルのポインタ４２
を、ジョブ管理テーブル４１内に保存する。このジョブ
管理テーブル４１は、システム内で、実行中のジョブ単
位に作成される。

【００１６】次に、バッチプログラム１４や、会話型プ
ログラム１２の利用者１８が、ファイル資源の割当を要
求した時の処理の流れに関して説明する。

【００１７】既に説明したように、ファイルの割当が要
求された時には、資源割当管理１３を経由して、ファイ
ル管理システム１１が呼び出される。この時、ファイル
の識別名と、実行、参照、更新のいずれかのアクセスタ
イプが引き数として渡される。ファイル管理システム１
１は、ファイル管理データベース１０を検索し、ファイ
ル属性レコード３１を読み込む。このファイル属性レコ
ード３１の形式は、図３に示される。ファイル属性レコ
ード３１は、システム内に存在するファイル単位に作成
されるレコードであり、ファイルの属性や物理的な位
置、アクセス履歴などの情報が記録されている。ファイ
ル管理システム１１は、ファイルが利用可能な状態であ
ることを確認した後、割当要求を受け入れるかどうかを
次のように検査する。

【００１８】要求元がバッチプログラム１４であった場
合には、ジョブ管理テーブル４１内のアクセス管理テー
ブルポインタ４２を辿って、アクセス管理テーブル４５
を参照し、要求元が会話型プログラム１２の利用者１８
であった場合には、端末管理テーブル４３内のアクセス
管理テーブルポインタ４４を辿って、アクセス管理テー
ブル４５を参照する。ファイル管理システム１１は、ア
クセス管理テーブル４５内に複数存在するデータ種別４
６の中に、ファイル属性レコード３１内のデータ種別３
３と一致するものがあるかどうかを検査する。一致する
ものがなかった場合には、割当を拒否し、資源割当管理
１３に理由コードを戻す。一致するデータ種別４６が存
在していた、場合には、次に、対応する機密保護レベル
上限４７を検査する。すなわち、引き数として渡された
アクセスタイプに合致する機密保護レベル上限４７を取
り出し、ファイルの機密保護レベル３４と比較する。機
密保護レベル上限４７の方が、小さかった場合には、割
当要求を拒否し、資源割当管理１３に利用コードを戻
す。最大の機密保護レベル４７の方が大きかったか、等
しかった場合には、割当要求を受け入れ、物理位置など
の情報を資源割当管理１３に通知する。

【００１９】次に、利用者がファイルを作成・削除・変
更する時の処理の流れに関して説明する。

【００２０】利用者が、ファイル属性の変更やファイル
の削除を要求した場合、ファイル管理システム１１に制
御が渡される。ファイルの割当を要求した時と同じよう
に、ファイル管理システム１１は、ファイル属性レコー
ド３１内の情報と、利用者のアクセス管理テーブル４５
内の情報とを比較して、要求の妥当性を検査する。すな
わち、アクセス管理テーブル４５内のデータ種別４６の
中に、ファイル属性レコード３１のデータ種別３３と一
致するものが存在することと、対応する機密保護レベル
上限４７が、ファイル属性レコード３１の機密保護レベ
ル３４を超えていることを確認する。この時、参照され
る機密保護レベル上限４７は、変更というアクセスタイ
プに対応するものである。

【００２１】また、利用者がファイルの作成を要求する
場合には、ファイルの属性情報と共に、ファイルのデー
タ種別と機密保護レベルを指定しなければならない。こ
の時、指定するデータ種別は、利用者のアクセス権リス
ト２５に含まれるものでなければならず、機密保護レベ
ルは、そのデータ種別２６に対応する機密保護レベル上
限２７を上回ることはできない。この時、検査される機
密保護レベル上限２７は、変更というアクセスタイプに
対応するものである。

【００２２】次に、利用者を登録・変更する時の処理の
流れに関して説明する。

【００２３】利用者が、他の利用者の登録を依頼する時
には、暗号などの属性情報と共に、アクセス権リストを
指定しなければならない。この時、指定するアクセス権
リストは、要求元の利用者のアクセス権リスト２５の部
分集合でなければならない。すなわち、指定するデータ
種別は、要求元の利用者のアクセス権リスト２５に含ま
れるものでなければならず、さらに、そのデータ種別に
対応する機密保護レベル上限も等しいか、小さいもので
なければならない。利用者が、他の利用者のアクセス権
リストを変更する時にも、同じ検査が行われる。

【００２４】上述したように、ファイルを作成したり、
変更する時には、データの種別と機密保護のレベルを考
慮するだけでよく、アクセスする利用者について配慮す
る必要はない。また、利用者を登録したり、変更する場
合にも、利用者がアクセスするデータの種類と、機密保
護レベルの上限を決めるだけでよく、アクセスするファ
イルについて配慮する必要はない。

【００２５】システムには、管理者と呼ばれる利用者が
存在する。管理者のアクセス権リストには、システム内
に存在する総てのデータ種別が含まれ、機密保護レベル
上限には最大値が含まれる。管理者は、データ種別毎に
管理責任者となる利用者を作成する。データ種別の管理
責任者は、そのデータ種別のファイルを作成したり、そ
のデータ種別をアクセスする利用者を登録することがで
きる。利用者が、複数のデータ種別をアクセスする必要
がある時には、それぞれのデータ種別の責任者によっ
て、利用者を変更し、アクセス権リストを追加する。

【００２６】また、疎結合型のマルチホストシステムで
は、利用者管理データベースやファイル管理データベー
スは共有され、それぞれのシステムに利用者管理システ
ムとファイル管理システムが置かれる。従って、それぞ
れのシステムにおいて、共通のファイルが利用でき、し
かも共通の機密保護が行われる。

【００２７】さらに、ネットワーク接続された複数のホ
ストシステム間で、ファイルを共有する場合には、ファ
イル・サーバとして動作するシステム上に、利用者管理
システムと利用者管理データベース、ファイル管理シス
テムとファイル管理データベースが置かれる。他のシス
テムからのファイルへのアクセス要求はトランザクショ
ンとして、利用者管理システムやファイル管理システム
に通知される。従って、総てのシステムにおいて、共通
の機密保護が実現できる。

【００２８】

【発明の効果】以上説明したように、本発明は、データ
種別と機密保護レベルという概念を導入することによっ
て、ファイル内のデータと利用者との関係を単純化し
て、体系的でしかも管理し易い機密保護を実現する。こ
のことは、大規模化し、遠隔化したコンピュータシステ
ムにおいて強く求められているデータの機密保護を、高
度化するという効果をもたらす。

【図面の簡単な説明】

【図１】本発明におけるファイル機密保護方式の実施に
使用するシステムのブロック図である。

【図２】利用者管理データベースに格納される利用者属
性レコードの形式を示すものである。

【図３】ファイル管理データベースに格納されるファイ
ル属性レコードの形式を示すものである。

【図４】システムにアクセスしている利用者毎に、主記
憶内に作成されるテーブル群の形式を示すものである。

【符号の説明】

１０ ファイル管理データベース １１ ファイル管理システム １２ 会話型プログラム １３ 資源割当管理 １４ バッチプログラム １５ ログオン管理 １６ 利用者管理システム １７ ジョブ入力管理 １８，１８ａ 利用者 １９ 利用者管理データベース

Claims (1)

【特許請求の範囲】
1. 【請求項１】 外部ファイルを有し、その外部ファイル
   を複数の利用者が使用する汎用コンピュータシステムに
   おいて、 ファイルに対しては、ファイル内のデータの種類を示す
   データ種別と、機密保護の度合いを示す機密保護レベル
   を登録する手段と、 利用者に対しては、利用者がアクセス可能なデータ種別
   と、機密保護レベルの上限とを組み合わせたアクセス権
   リストを登録する手段とを有し、 利用者がファイルへのアクセスを要求した時には、ファ
   イルのデータ種別が利用者のアクセス権リストに含ま
   れ、しかもファイルの機密保護レベルが利用者の機密保
   護レベルの上限を超えていないことを確認し、違反して
   いる場合にはアクセスを拒否することを特徴とするファ
   イル機密保護方法。