JPH10111855A - 通信データ監査方法および装置 - Google Patents

Abstract

(57)【要約】 【課題】イントラネットのシステム管理者は、コンテン
ツをイントラネット内で流通させるにあたり、以下の課
題をもつ。 (1) 契約外コンテンツの無断流通の抑制 (2) コンテンツの無断複製行為の抑制 【解決手段】(1) 企業独自のラベルを設け、ネットワー
ク内のコンテンツ流通を制御する。 (2) コンテンツ複製の操作画面ならびに利用者の顔写真
を履歴として記録する。 (3) とくに、(1)のラベルの種類に応じ、(2)の履歴を記
録する方法や管理形態を決定する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明はコンピュータネット
ワークにおける通信データの機密性を確保する技術に関
する。

【０００２】

【従来の技術】インタネットおよびイントラネットの普
及にともない、いわゆるマルチメディアデータやソフト
ウエア等のプログラム（以下、コンテンツと記す）をネ
ットワークを介して流通させる上で、以下の問題点が生
じている。

【０００３】(1) 不特定多数の利用者によるコンテンツ
複製 流通の末端である計算機（パーソナルコンピュータ）
で、コンテンツの複製が容易にできる。しかも、権利者
が末端のＰＣの状況を監視できないので、知的財産権を
主張しづらい。

【０００４】(2) コンテンツの利用時に発生する課金 権利者がネットワークを介してコンテンツを送った段階
ではなく、利用者がコンテンツを使用して、初めて対価
を権利者に支払う後金方式である。しかし、問題点(1)
同様に、権利者が末端の状況を監視できないので、利用
者に課金を請求しづらい。

【０００５】このような問題に対処するため、権利者
は、自らの情報を電子的なラベルとして添付したコンテ
ンツをネットワークに流通させ、利用者は、コンテンツ
の使用量に応じ、ラベルに記された権利者に対価を支払
う超流通という方式および装置が考案された。超流通
は、たとえば森亮一、河原正治、大瀧保広「超流通：知
的財産権処理のための電子技術」、情報処理学会, Vol.
37, No. 2, February, 1996で開示されている。

【０００６】

【発明が解決しようとする課題】しかし、上記公知例に
は、イントラネットの設備者（企業）とシステム管理者
にとって、以下の不満足な点がある。

【０００７】(1) コンテンツの無断流通を抑制できない システム管理者は、たとえば、ＣＤーＲＯＭやＤＶＤの
可搬媒体を用いたインストールする、あるいは、ＦＴＰ
やＷＷＷ等の通信プログラムを用いてダウンロードし、
コンテンツを蓄積するサーバ装置を用意する。一般利用
者は、サーバ装置にアクセスすることで、コンテンツを
利用できる。

【０００８】しかし、一般利用者が、システム管理者に
無断でコンテンツを導入し、ネットワーク内で流通させ
る可能性がある。

【０００９】その際に、計画外のコンテンツの導入によ
り、ハードディスクやネットワーク等の計算機資源を浪
費し、業務を阻害するケースが発生する。あるいは、ウ
ィルスがネットワークに混入し、データ破損の経済的被
害が発生するケースもありうる。

【００１０】システム管理者は、ネットワーク内で、利
用者がコンテンツを無断に流通していないことを設備者
に証明する必要がある。

【００１１】(2)コンテンツの無断複製行為を抑制でき
ない 権利者と企業の間で、企業内ネットワークに接続した計
算機の使用に限り、コンテンツの複製を許すサイトライ
センス契約を結ぶ。権利者は、コンテンツの対価が企業
から確実に得られる。企業は、一括して契約を結ぶこと
で、使用料やコンテンツ管理の手間を削減できる。

【００１２】しかし、一般利用者が、システム管理者や
権利者に無断でコンテンツを複製し、契約外のネットワ
ークや計算機で利用する可能性がある。その際に、不正
が発覚した場合、権利者が契約違反として企業を訴える
ケースが生ずる。

【００１３】システム管理者は、ネットワーク内で、利
用者がコンテンツを無断に複製していないことを権利者
に証明する必要がある。

【００１４】

【課題を解決するための手段】上記目的を達成するため
に、ラベルをもとに、計算機あるいはネットワークの範
囲で有効な機密レベルを検出し、通信データをアクセス
あるいは複製した際に、操作者の顔写真あるいは各計算
機の操作画面を履歴として記録する。

【００１５】とくに、機密ラベルの検出にあたり、 （１）機密ラベルが未検出の際に、計算機の操作画面に
通信データのアクセス禁止を示す勧告メッセージを表示
する。

【００１６】（２）ファイアウォール等で暗号化された
ラベルを、利用者あるいは計算機ごとに独立した暗号鍵
で復号する。

【００１７】であると望ましい。

【００１８】監査用装置をネットワーク上に設ける。

【００１９】この監査用装置は、監査者の公開鍵を生成
し、計算機に送信する鍵生成手段と、監査者の公開鍵を
用いて暗号化した各計算機の履歴を蓄積する履歴蓄積手
段と監査者の秘密鍵で操作履歴を復号する履歴復号手段
とで構成する装置が望ましい。

【００２０】監視用装置をネットワーク上に設ける。

【００２１】この監視用装置は、通信データに添付され
た機密性を示すラベルと監査規則との対応表を記録する
規則設定手段と、計算機の問い合わせに応じて、対応表
を検索し、通信データに関する履歴採取の必要性の有無
を返信する機密判定手段とで構成する装置が望ましい。

【００２２】また、上述したラベル制御を前提とするネ
ットワークに設置するファイアウォールは、機密レベル
の低いネットワークから受信した通信データに機密レベ
ルの属性を示すラベルを添付する手段と、機密レベルの
低いネットワークに送信する通信データから上記ラベル
を削除する手段を有することを特徴とする。

【００２３】とくに、 （１）機密レベルの高いネットワークの少なくとも一つ
の計算機および少なくとも一人以上の利用者が復号でき
る暗号化鍵を保有し、通信データとラベルを結合したデ
ータを、上記暗号化鍵を用いて暗号化し、ラベルを暗号
化する。

【００２４】（２）暗号化データを復号する復号鍵を所
有し、通信データとラベルが含まれる暗号データを、復
号鍵を用いて復号し、通信データとラベルとを分離する
ラベル削除し、通信データを機密レベルの低いネットワ
ークへ送る履歴を機密レベルに応じて蓄積する。

【００２５】であると望ましい。

【００２６】また、ラベル復号用の可搬型カードを各計
算機で利用する。

【００２７】この可搬型カードには、利用者ならび機密
レベル別に独立した暗号鍵を蓄積し、ファイアウオール
で暗号化したラベルならび通信データを復号する際に用
いるのが望ましい。

【００２８】

【発明の実施の形態】本発明の実施例を図面を用いてよ
り詳細に述べる。

【００２９】図１は、本発明を施した、計算機における
コンテンツ監査方法の流れ図である。

【００３０】図１で、１１１はコンテンツよりラベルを
抽出する処理、１１６は抽出したラベルをもとにコンテ
ンツの機密レベルを判定する処理、１２１は、利用者の
コンテンツの複製操作を検出する処理、１２２は操作画
面を記録する処理である。機密レベルに応じて履歴（操
作画面や利用者の顔写真）を記録するかどうかを判定す
るところに特徴がある。

【００３１】図２は、本発明のラベルを添付するファイ
ルアウォールの１実施例を示したブロック図である。

【００３２】図２において、２３１はラベルを添付する
プログラム、２３２はラベルとともに通信データを暗号
化するプログラム、２４１はラベルを破棄するプログラ
ム、２４２はラベルを復号するプログラムである。ファ
イルアウォール２１０は、機密レベルの異なるネットワ
ークに接続し、低いレベルのネットワークから送られた
通信データを暗号化し、高いレベルのネットワークから
送られた通信データを復号するところに特徴がある。

【００３３】図３は、本発明で記録した操作履歴を暗号
化し、監査者用のサーバに送信し、蓄積する構成を示し
たブロック図である。この例は、暗号鍵と復号鍵が異な
る非対称暗号方式を用いた実施例である。

【００３４】図３で、３６１は（監査者の公開鍵３２１
と秘密鍵３２２を生成し）、公開鍵３２１を履歴を記録
する各計算機に配布する鍵（生成）配布プログラムであ
る。３６２は各計算機の操作履歴３２４を蓄積するプロ
グラム、３６３は操作履歴３２４を復号し、監査者に提
示するプログラムである。図３では、各計算機で暗号化
し、監査者サーバに送ることで、業務の機密も守り、か
つ、利用者のプライバシも保証するところに特徴があ
る。

【００３５】図４は、ラベルの判定をネットワーク上の
独立したコンテンツ監視装置で行う１実施例の構成を示
したブロック図である。

【００３６】図４で、４１３と４６３は暗号化通信手
段、４６２は判定手段、４６０は、ラベルと操作画面の
記録の有無の規則をしるした規則表である。この例で
は、各計算機でいったんラベルを復号し、別の暗号化プ
ログラム４１３を用いて暗号化し、ラベル判定用にコン
テンツ監視装置４５１に送る。４６０の規則表をもとに
操作履歴の記録の必要性を判定した結果を返すのが特徴
である。

【００３７】図５以降は、本発明に関連する装置や手順
を示した説明図である。

【００３８】図５は、各計算機でのラベルを検出する手
順を示した流れ図である。

【００３９】図６は、計算機とファイアウォールでのラ
ベルを生成、分離するプログラムの配置を示したブロッ
ク図である。この例では、ラベルと通信データとを結合
し、暗号化してある（カプセル化）データを、解決する
のが特徴である。

【００４０】図７は、ファイアウォールで暗号化した通
信データを、各計算機で復号する手順を示した流れ図で
ある。この例は、暗号鍵と復号鍵が異なる非対称暗号方
式を用いた実施例である。

【００４１】図７で、７０４は、ファイアウォールにお
いて、あらかじめ利用者別あるいは計算機別に登録され
ている公開鍵が存在しないので、ファイアウォール用に
登録してある公開鍵を利用するステップ、７１４は、各
計算機において、復号できない場合に、改めて、自ら復
号可能な公開鍵を添付し、ファイアウォールに再送し、
再暗号化を依頼するステップである。

【００４２】図８は、各計算機で暗号化した通信データ
を、ファイアウォールにおいて、復号可能であるかを検
査する手順を示した流れ図である。８０４は、機密の低
いネットワークの通信先の公開鍵がないので、ファイア
ウォール用に登録してある公開鍵を利用するステップ、
８１４は、各計算機において、復号できない場合に、依
頼するステップである。

【００４３】図９は、各計算機の構成で、とくに通信デ
ータを暗号化を行うための鍵管理に可搬型カードを用い
る場合の構成を示したブロック図である。カード９２１
は、ファイアウォールの公開鍵９２１と利用者の暗号鍵
９２２を内蔵している。この例は対称暗号アルゴリズム
と非対称暗号アルゴリズムとをミックスさせたセッショ
ン鍵の交換方式の一実施例を示している。９１４はカー
ド９２１を読み取る装置である。

【００４４】また、９１３はディジタルカメラである。
ＣＲＴ９１２の操作画面９３０だけでなく、操作者の顔
写真を同時に記録するのが目的である。

【００４５】以上の図面を使って、本実施例の詳細な説
明をしていく。

【００４６】ラベルを検出する手順について、図１、図
２ならび図５を用いて説明する。

【００４７】図２はこのラベルを利用するシステムの全
体構成を説明する図である。

【００４８】計算機２０１は機密レベルの低いネットワ
ーク２０２（たとえばＷＡＮ）、計算機２０３は２０２
に比べて機密レベルの高いネットワーク２０４（社内Ｌ
ＡＮ）に接続する。２０２と２０４との間にファイアウ
ォール２１０が存在する。ファイアウォール２１０には
一時記憶装置２１１（たとえば、磁気ディスク、フラッ
シュメモリ）が接続し、下記に示すようなプログラムや
データ、鍵等を格納する。

【００４９】計算機２０１から計算機２０３に対し、通
信データ２２０を送受信する際に、ラベル２４１をファ
イアウォール２１０で添付あるいは削除する様子を示
す。

【００５０】ファイアウォール２１０は、各通信データ
の機密性に応じて通信データの配送、通過停止等の処理
を行う。具体的には、２０４内を流れる通信データに
は、機密性を示すラベルを添付し、計算機２０３では、
このラベルを利用した、アクセス制御を行う。ファイア
ウォール２１０には、２０２から２０４へ流れる通信デ
ータにラベルを添付する手段２３１、ならびに２０４か
ら２０２へ流れる通信データ２２０から削除する手段２
４１が常駐する。

【００５１】とくに、ラベル２４１を、計算機２０３や
ネットワーク２０４上で改ざん、盗聴を防ぐ、ラベル暗
号化機能も設けることが望ましい。暗号手段２４３は添
付手段２３１と、復号手段２４２は破棄手段２４２と連
動する。本実施例では、説明を簡単にするために、非対
称暗号を用いた実施例を、以下で説明していく。

【００５２】計算機２０３の暗号手段２４３とファイア
ウォールの復号手段２４２、計算機２０３の復号手段２
３３とファイアウォールの暗号手段２４２とはそれぞれ
対応する暗号・復号プログラムである。２３０、２４
０、２４４、２３４は、暗号・復号で使用する鍵であ
る。ファイアウォール２１０の公開鍵２３０で暗号化し
たラベルを計算機２０３の秘密鍵２３４で復号する。計
算機２０３の公開鍵２４４で暗号化したラベルをファイ
アウォール２１０の秘密鍵２４０で復号する。

【００５３】本実施例では、とくに、情報データ２２０
の送信先・受信元のアドレス（たとえばＩＰアドレス、
ＭＡＣアドレス）、サービスの種類（たとえばポート番
号：ニュース、ＦＴＰ、ＨＴＴＰ等）、送信先・受信元
の利用者ＩＤ等の属性情報とラベル２２１との関連を規
定した対応表２２２をファイアウォール２１０に備える
ことが望ましい。対応ラベルを複数用意し、きめ細かい
制御を行うことが可能となる。

【００５４】図２のシステム構成を踏まえ、図１を用い
て、計算機２０３でのコンテンツ監査方法の流れを説明
する。

【００５５】ファイアウォール２１０からラベル２３１
を添付した通信データ２３０をダウンロードし（１１
０）、暗号化している場合には復号操作も含め、一定形
式でのラベルを抽出する（１１１）。もし抽出できない
場合には（１１２）、１４０以下のエラー処理を行う。
ラベルの内容、たとえば機密を示す種別、利用できる範
囲を読み取り、たとえば暗号化ともに行われたディジタ
ル署名をもとに、ラベルが偽造されるかどうかを判定す
る（１１４）。さらに、ラベルをもとに機密レベル判定
する（１１６）。とくにローカルマシンでは判定できな
い場合には、ネットワーク上のラベル監視サーバ（後述
４６２）に問い合わせる、記述されているラベルと機密
レベルとの関係（セキュリティ基準にあわせ、指定され
ている）を検索する（１１５、１３０、１３１）。

【００５６】機密レベルが判定でき、履歴収集が必要な
レベル（たとえば代表的なセキュリティ基準ＴＣＳＥＣ
では、Ｂ１レベル以上）のデータと判定された場合に、
監視を開始する（１１７）。たとえば、キーボードやマ
ウス等の入力により、ダウンロードした通信データに対
するインタラクティブな画面操作が行われる。外部シス
テムへの送信（たとえば電子メール、ＦＴＰ）、ローカ
ルな可搬媒体（たとえば磁気ディスク、ハードディス
ク）への複写に関する操作を行うことで、ＯＳで規定し
ているシステム関数、たとえばWindowsでいえばWinsock
やFile I/Oが呼ばれることを検出する（１２１）、ある
いは一定時間ごとに、たとえば１分おきに（１２５）、
操作画面のイメージ、Bitmapをファイルに記録する（１
２２）。なお、操作者を写すディジタルカメラが、２０
３に接続されているのならば、画面操作同時に記録する
ことで、一層効果的な履歴を残すことができる。ダウン
ロードした通信データに関する操作するプログラムを終
了する（１２４）しない場合には、再びステップ１２１
へ戻る（１２３）。

【００５７】ラベルを用いた機密レベルの判定に関する
エラー処理（１４０、１４１）について述べる。ラベル
を抽出できない、ラベルが偽造である場合には、不正コ
ンテンツであると端末の利用者に警告を表示し、終了か
継続するかどうかの判定を求める（１４０）。利用者が
「終了」を選択した場合は、ダウンロードした通信データ
に関するアクセスを終了する（１４１）。「継続」を選択
した場合は、操作履歴を採ることに利用者が同意したと
見なし、ステップ１２０へ進む。

【００５８】図１におけるラベル抽出処理１１１を詳細
に述べる。とくに、コンテンツ流通に関し、暗号を用い
たカプセル化の一実施例を図５および図６を用いて、説
明する。

【００５９】抽出処理に対応し、ファイアウォール２１
０でのラベル添付処理を説明する。

【００６０】図６において、通信データ２３０は、６１
０のコンテンツの本体であるデータ部とコンテンツの属
性（シリアル番号、サービスの内容など）を示すヘッダ
部６１１とに分かれる。このような属性のヘッダ部に対
応し、添付するラベル６１２を決定する（本実施例で
は"Project"というキーワードに対し、"SECRET,R&D"と
いうラベルが対応）ための対応表２２２に照らしあわる
のが、添付手段２３１である。６１２を６１１および６
１０と結合し、公開鍵２３０を用いて暗号化する。

【００６１】このように暗号化した通信データとラベル
を分離するのが、抽出処理１１１である。基本的には、
添付処理に対応して、逆の処理を行う。秘密鍵２３４を
用いて、平文に復号する。図５で、暗号化された通信デ
ータかを判定する（５０１）。判定方法としては、たと
えばRFC1847(Security Multiparts for MIME: Multipar
t/Signed and Multipart/Encrypted)で示しているよう
な属性と属性値とを組みとしたタグで判定する方法でお
こなう。判定できた場合には、秘密鍵２３４を用いて復
号処理を試み（５０３）、復号し（５０４）たのちに、
ラベル部分を含んだヘッダ部分（６１２）の範囲を判定
し（５０５）、切り取った後（５０６）に、定められた
ラベルの形式にあわせ（５０７）、各項目（たとえば、
機密レベル、カテゴリ）等の検査（５０８）を行う。

【００６２】次に、図３を用いて、計算機２０３のステ
ップ１２２で一次記憶装置３０１に記録した履歴３２３
を、暗号化し、収集するシステムの構成を説明する。

【００６３】３５１は、監査人専用の計算機であり、３
５２はＣＲＴ、３５３は履歴を蓄積する一次記憶装置で
ある。

【００６４】計算機２０３には、履歴を一次記憶装置３
０１に記憶するプログラム３１０、３０１に記憶した履
歴３２３を暗号化するプログラム３１１、暗号化した履
歴を送付するプログラム３１２を備える。

【００６５】計算機３５１には、鍵生成ならびに計算機
２０３に鍵配布するプログラム３６１、履歴をハードデ
ィスク３５３に収集するサーバプログラム３６２、収集
した履歴３２４を復号し、ＣＲＴ３５２に表示するプロ
グラム３６３を備える。３２１と３２２は、プログラム
３６１が生成する暗号鍵である。３２１は履歴３２３を
暗号化する公開鍵、３２２は履歴３２４を復号するため
の秘密鍵である。あらかじめ、あるいは暗号プログラム
３１１が用いる場合に備えて、鍵３２１は計算機２０３
に送られ、一次記憶装置３０１に記憶する。

【００６６】本実施例では、監査者用の公開鍵を使っ
て、暗号化した後に、適宜管理者用の専用装置に送り、
履歴の改ざん、盗聴、各計算機でのディスクの消費を防
ぐところにある。

【００６７】次に、図４を用いて、計算機２０３のステ
ップ１３０で、コンテンツに添付されたラベルを抽出
し、サーバ４５１に問い合わせるシステム構成を説明す
る。

【００６８】４５１は、管理者専用の計算機であり、４
５２はＣＲＴ、４５３はラベルと機密レベルとの対応表
４６０を格納する一次記憶装置である。

【００６９】計算機２０３には、一次記憶装置４０１に
記憶したコンテンツ４２０ならびにラベル４２３を復号
するプログラム２３３、コンテンツをラベルを検査する
プログラム４１２、ラベルに関する問い合わせを行う、
とくにラベルに関する情報をそのまま暗号化してプログ
ラム４１３を備える。

【００７０】計算機４５１には、鍵生成ならびに計算機
２０３に鍵配布するプログラム４６４、プログラム４１
３からの問い合わせに応じ対応する暗号通信プログラム
４６３、４６３から呼び出され、暗号化したラベルと機
密レベルとの対応表４６０とを比較し、操作履歴を記録
すべきかどうかを判定するプログラム４６２、プログラ
ム４６２からさらに呼び出され、ＣＲＴ４５２に、機密
アクセス違反が発生し、操作履歴を記録するメッセージ
を表示する警告プログラムを備える。また、対応表４６
０の内容を管理者が設定するなプログラム４６１も備え
る。４２１と４２２は、プログラム４６４が生成する暗
号鍵である。４２１はラベル４２４を暗号化する公開
鍵、４２２はラベル４２４を復号するための秘密鍵であ
る。あらかじめ、あるいは暗号プログラム４１３が用い
る場合に備えて、鍵４２１は計算機２０３に送られ、一
次記憶装置４０１に記憶する。

【００７１】本実施例では、ラベルに対応する機密性の
意味付けをネットワーク上の管理者が定めた対応表４６
０上の規則に応じて、動的に変更できるところにある。

【００７２】図７および図８を用いて、ファイアウォー
ル２１０と計算機２０３での暗号通信の手順を示す。

【００７３】図７は、ファイアウォール２１０での暗号
プログラム２３２、計算機２０３での復号プログラム２
３３の処理を示す。ファイアウォール２１０に対応表２
２２を備え、行き先の計算機や利用者にあわせて異なる
暗号鍵を利用するところに特徴がある。ここでは、ネッ
トワークのパケットのレベルで暗号化を行う例を示す
（アプリケーション層での暗号化でも、ＩＰアドレスや
ポート番号の変わりに、利用者ＩＤ等の情報を使って同
様にして行うことができる）。

【００７４】まず、コンテンツが流れてきたネットワー
クの機密レベルを送信元のＩＰアドレスで判定し（７０
１）、暗号化が必要な場合は、さらに受信先の計算機２
０３のＩＰアドレスをパケットから抽出し（７０２）、
受信先のＩＰアドレスに対応した公開鍵２３０を使って
暗号化し（７０５）、もし公開鍵２３０がないときには
（７０３）、ファイアウォール２１０の公開鍵を使って
暗号化する（７０４）。暗号化したパケットを計算機２
０３へ送付する（７０５）。計算機２０３では、流れて
きたパケットが復号が必要な場合には、公開鍵２３０に
対応する秘密鍵２３４を用いて復号する（７１２）。復
号できない場合には、ステップ７０４の処理が行われた
と判定し（７１３）、ファイアウォールに自分の公開鍵
２３０とパケットを送り、ファイアウォール内で、いっ
たんパケットを復号したのちに、公開鍵２３０で再暗号
化する（７１４）。

【００７５】本実施例では、ファイアウォールに、外部
の計算機との通信を頻繁に行わない計算機では、再暗号
化処理を設けることで、応答性能とセキュリティを満足
できるようにしてあるところに特徴がある。

【００７６】図７と逆に、機密の高いネットワークから
低いネットワークへのパケットの流れを制御する、ファ
イアウォール２１０での復号プログラム２４２、計算機
２０３での暗号プログラム２４３の処理を図８を使って
示す。

【００７７】ファイアウォール２１０に対応表２２２を
備え、行き先の計算機や利用者にあわせて異なる復号鍵
を利用するところに特徴がある。ここでは、図７同様に
ネットワークのパケットのレベルで復号化を行う例を示
す。

【００７８】計算機２０３において、他の計算機へデー
タを送る場合暗号が必要であると判定し（８０１）、各
計算機のＩＰアドレスにあわせた公開鍵で暗号化する
（８０５）。送信先がとくに機密レベルが低いネットワ
ーク２０２に属する計算機２０１であると判定した場合
は（８０３）、ファイアウォール２１０の公開鍵２３０
で暗号化する（８０４）。暗号化した通信データをパケ
ットとして送信する（８０６）。

【００７９】ファイアウォール２１０において、送信元
の計算機２０３のＩＰアドレスをパケットから抽出し、
通信データが流れてきたネットワークの機密レベルを送
信元のＩＰアドレスで判定し（８１１）、ファイアウォ
ールの秘密鍵２４０を使って復号する（８１２）。復号
できた場合には、ファイアウォールから機密レベルの低
いネットワーク２０２の計算機２０１へ送付（８１
５）、復号できない場合には、ファイアウォールの通過
を許さない（８１４）。

【００８０】本実施例では、外部の計算機にデータ通信
を行う場合は、必ずファイアウォールでファイアウォー
ルで平文に復号し、外部への機密持ち出しを監視できる
ようにしてあるところに特徴がある。

【００８１】以上、計算機のＩＰアドレスを利用して、
暗号鍵を設定する実施例で述べた。以下では、アプリケ
ーション層の利用者ＩＤを利用して、暗号鍵を設定する
別の実施例を述べる。

【００８２】図９は、可搬型媒体（たとえばＰＣＭＣＩ
Ａカード９２０）を用いて、利用者ＩＤに対応した暗号
鍵を管理するシステム構成を説明したブロック図であ
る。計算機２０３は、ハードディスクやメモリ、ＣＰＵ
を内蔵した本体９１１、ＣＲＴ９１２、ディジタルカメ
ラ９１３、カードリーダ９１４、キーボード（マウス）
９１５で構成する。ディジタルカメラ９１３、カードリ
ーダ９１４は本体９１１の付属装置である。

【００８３】ＣＲＴ９１２には操作画面９３０（マルチ
ウィンドウ）が映し出される。キーボード９１５を用い
て操作する操作画面９３０ならびに、ディジタルカメラ
９１３で写された利用者の顔写真を履歴として記憶す
る。

【００８４】カード９２０には、利用者の秘密鍵９２３
ならび公開鍵９２４と、ファイアウォールの秘密鍵２４
０に対応する公開鍵９２５とを内蔵し、備えているとこ
ろが特徴である。ファイアウォールには、公開鍵９２４
のコピーである公開鍵２３０と、ファイアウォールの秘
密鍵２４０とを備えている。可搬媒体９２０を用いて、
カードリーダ９１４を備え、プログラム２３３やプログ
ラム２４３を常駐する不特定の計算機で利用すること
で、利便性が増す。

【００８５】

【発明の効果】本発明により従来の問題点が解決され
る。

【００８６】(1) 契約外のコンテンツの流通を許さな
い。

【００８７】各計算機で、ラベルを参照し、正規のラベ
ルが添付していないコンテンツの複製や他システムへの
転送が不正であることを明確にするので、不正流通の影
響を局所化できる。

【００８８】(2) 操作画面を履歴として記録することを
示し、利用者の無断複製を抑制できる。

【００８９】利用者に計算機上でコンテンツの複製する
操作が履歴として残ること、あわせて無断複製が発覚し
た際の罰則を示すことで、違反行為を抑制できる。

【００９０】また、操作画面や顔写真をビジュアルな履
歴として記録することで、組織外の監査者が、業務の内
容に関わらず客観的に不正行為の有無を判定できる別の
効果もある。

【００９１】本発明では、組織外の第３者である監査者
が作業する専用の監査装置をネットワーク上に設け、各
計算機での操作履歴を転送し、蓄積する。

【００９２】この際に、各計算機では監査者の公開暗号
鍵を用いて、操作履歴を暗号化する。監査者は、監査要
求があった際に初めて、別途厳重に管理した秘密暗号鍵
を用いて、蓄積された操作履歴を復号する。このよう
に、各計算機で操作履歴を暗号化し、監査装置に転送す
ることで、監査者以外の利用者や管理者が、操作履歴を
参照し、改ざん、隠滅することを防止する。

【００９３】本発明では、組織内の管理者が作業する専
用の監視装置をネットワーク上に設け、ラベルに対応
し、操作履歴を記録する必要性を監査規則表をもとに判
定する。

【００９４】このため、管理者が、組織（ドメイン）内
の規範に従い、各計算機でのコンテンツのアクセスや複
製の制御や管理ができ、また規範の変更にともなうメン
テナンス作業は、監査規則表の書き換えだけですむ。ま
た、監査規則表の設定により、すべてのコンテンツのア
クセスや複製について操作履歴をとる必要がなく、操作
履歴を蓄積する記憶媒体（ハードディスク）の浪費の防
止ならび利用者のプライバシーの保護に対応できるシス
テム運用が実現できる別の効果もある。

【００９５】本発明では、専用のファイアウォールをネ
ットワーク上に設け、通信データの入出力に対応し、ラ
ベルの生成や破棄処理をおこなう。機密レベルが高いネ
ットワーク（たとえばＴＣＳＥＣのＢレベル以上）に属
する計算機に、通信データのラベルを読み取る機能（ミ
ドルソフトウエアあるいはＯＳ）を設けている。

【００９６】このため、管理者が、組織（ドメイン）内
の規範に従い、ファイアウォールを境に機密レベルが異
なるドメイン間でのコンテンツのアクセスや複製の制御
ができる。

【００９７】さらに、専用のファイアウォールでは、コ
ンテンツの参照者を限定した暗号化鍵でラベルを暗号化
する。しかも、コンテンツを復号できる復号鍵は、通信
のたびに内容を変更するセッション鍵を利用者別に配布
された可搬型カード（たとえばSmart Card, PCMCIAカー
ド）に格納する。復号したコンテンツは、利用を終えた
段階で破棄する。

【００９８】このため、可搬型カードを用いて、コンテ
ンツのファイアウォールから各計算機へのダウンロード
（１次コピー）できるが、他システムへの転送やハード
ディスクへの別名でのファイル格納（２次コピー）を抑
制できる。

【図面の簡単な説明】

【図１】計算機におけるコンテンツ監査方法のフローチ
ャート。

【図２】機密レベルが異なるドメインを接続する本発明
のファイアウォールのブロック図。

【図３】端末の操作画面の履歴を蓄積する本発明の監査
装置のブロック図。

【図４】端末の操作画面の記録の必要性を判定する本発
明の監視装置のブロック図。

【図５】各計算機でのラベルを検出する手順を示したフ
ローチャート。

【図６】ラベルを生成し、分離するプログラムの配置を
示したブロック図。

【図７】ファイアウォールで暗号化した通信データを、
各計算機で復号する手順を示したフローチャート。

【図８】計算機でおいて暗号化した通信データを、ファ
イアウォールにおいて、復号可能であるかを検査する手
順を示したフローチャート。

【図９】本実施例の計算機端末の構成を示したブロック
図。

【符号の説明】

２０１、２０３…計算機、 ２１０…ファイアウォール、 ２３２、２３１、２４１、２４２…ファイアウォールに
常駐するプログラム、 ３１０…履歴記録プログラム、 ４５１…管理者用端末、 ３５１…監査者用端末、 ９１３…カメラ、 ９２０…カード。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 難波 電 神奈川県川崎市麻生区王禅寺1099番地株式 会社日立製作所システム開発研究所内

Claims (9)

【特許請求の範囲】
1. 【請求項１】ネットワークに複数の計算機を接続し、 前記計算機の相互間で、通信データならびに前記通信デ
   ータに関するラベルを転送し前記ラベルを参照し、前記
   通信データの機密レベルを判定する計算機の通信データ
   監査方法において、 前記ラベルをもとに、前記計算機あるいは前記ネットワ
   ークの範囲で有効な機密レベルを検出するステップと、
   通信データをアクセスあるいは複製するステップと、操
   作者の顔写真あるいは各計算機の操作画面を履歴として
   記録するステップとを含むことを特徴とする通信データ
   監査方法。
2. 【請求項２】異なる機密レベルを設定したネットワーク
   間を流れる通信データを一時的に蓄積するファイアウォ
   ールであって、機密レベルの高いネットワークに接続す
   る計算機が、通信データ蓄積装置として利用するファイ
   アウォールにおいて、 機密レベルの低いネットワークから受信した通信データ
   に機密レベルの属性を示すラベルを添付する手段と、機
   密レベルの低いネットワークに送信する通信データから
   前記ラベルを削除する手段を有することを特徴とするフ
   ァイアウォール。
3. 【請求項３】複数の計算機と監査装置とをネットワーク
   で接続し、前記計算機での通信データのアクセスおよび
   複製の操作履歴を監査者に提示する通信データ監査装置
   において、監査者の公開鍵を生成し、前記計算機に送信
   する鍵生成手段と、操作者の顔写真および画面内容の暗
   号化した操作履歴を蓄積する履歴蓄積手段と、監査者の
   秘密鍵で操作履歴を復号する履歴復号手段とで構成する
   ことを特徴とする通信データ監査装置。
4. 【請求項４】複数の計算機と監視装置とをネットワーク
   で接続し、前記計算機での通信データのアクセスおよび
   複製の操作履歴を監視する通信データ監視装置におい
   て、通信データに添付された機密ラベルと、監査規則の
   対応表を記録する規則設定手段と各計算機の問い合わせ
   に応じて、上記対応表を検索し、上記通信データに関す
   る履歴採取の必要の有無を返信する機密判定手段とで構
   成することを特徴とする通信データ監視装置。
5. 【請求項５】請求項１において、機密レベルを示すラベ
   ルが未検出の際に、計算機の操作画面に通信データのア
   クセス禁止を示す勧告メッセージを表示するステップを
   有する通信データ監査方法。
6. 【請求項６】請求項１において、利用者あるいは計算機
   ごとに独立した暗号鍵で、ラベルならびに通信データを
   復号するステップを有する通信データ監査方法。
7. 【請求項７】請求項２において、機密レベルの低いネッ
   トワークの計算機から送られた通信データを蓄積する手
   段であって、機密レベルの高いネットワークの少なくと
   も一つの計算機および少なくとも一人の利用者が復号で
   きる暗号化鍵を保有し、通信データとラベルを結合した
   データを、前記暗号化鍵を用いて暗号化し、ラベルを暗
   号化するラベル添付手段を含むファイアウォール。
8. 【請求項８】請求項２において、機密レベルの高いネッ
   トワークの計算機から送られた暗号化データを蓄積する
   手段であって、上記暗号化データを復号する復号鍵を所
   有し、通信データとラベルが含まれる暗号データを、前
   記復号鍵を用いて復号し、前記通信データと前記ラベル
   とを分離するラベル削除手段と前記通信データを機密レ
   ベルの低いネットワークへ送る履歴を機密レベルに応じ
   て蓄積する手段を含むファイアウォール。
9. 【請求項９】複数の計算機とファイアウォールとをネッ
   トワークで接続し、 通信データとラベルを受信する計算機に接続する可搬型
   カードであって、暗号化された前記通信データとラベル
   を復号する際に用いる可搬型カードで、利用者ならび機
   密レベルごとに独立し、ファイアウォールとのセッショ
   ンで生成した暗号鍵を蓄積する可搬型カード。