(57)【特許請求の範囲】
【請求項１】
複数のネットワークによって端末とゲートウェイサーバが接続されるネットワークシステムであって、
前記端末には、セキュリティプラットフォーム領域で動作するプラットフォームソフトウェアと当該ソフトウェアによって制御されるアプリケーションがインストールされ、当該ソフトウェアの動作によって、当該端末が接続可能なネットワークを検出し、予め定められたネットワーク接続の順位に従って選択されたネットワークを用いて前記ゲートウェイサーバにアクセスするものであり、
前記ゲートウェイサーバは、ネットワーク環境と使用可能なアプリケーションの対応をネットワーク対応テーブルとして内部に記憶しており、前記端末からアクセスがあると前記対応テーブルを前記端末に通知し、
前記端末は、前記ゲートウェイサーバから通知された前記対応テーブルに従って、前記使用可能なアプリケーションのアイコンを表示し、表示されたアイコンが選択されると、当該選択されたアイコンに対応するアプリケーションの通信を、対応するネットワーク環境を用いて行うことを特徴とするネットワークシステム。
【請求項２】
ゲートウェイサーバは、対応テーブルにおいてネットワーク環境と使用可能なアプリケーションに対応する暗号化方式を記憶しており、端末に前記対応テーブルを通知する際に、前記暗号化方式も通知し、
前記端末は、表示されたアイコンが選択されると、当該選択されたアイコンに対応するアプリケーションの通信を、対応するネットワーク環境と暗号化方式を用いて行うことを特徴とする請求項１記載のネットワークシステム。
【請求項３】
端末は、表示されたアイコンが選択されると、当該端末が接続可能なネットワークを再度検出し、対応テーブルを参照し、前記選択されたアイコンのアプリケーションと接続可能なネットワーク環境の組み合わせがあるか否かを判定し、組み合わせが１つあれば、前記アプリケーションに対応する暗号化方式で当該アプリケーションでの通信を行うことを特徴とする請求項２記載のネットワークシステム。
【請求項４】
端末は、表示されたアイコンが選択されると、当該端末が接続可能なネットワークを再度検出し、対応テーブルを参照し、前記選択されたアイコンのアプリケーションと接続可能なネットワーク環境の組み合わせがあるか否かを判定し、組み合わせが複数あれば、予め定められたネットワーク接続の順位に従って接続可能なネットワークを特定し、当該特定されたネットワーク環境における前記アプリケーションに対応する暗号化方式で当該アプリケーションでの通信を行うことを特徴とする請求項２記載のネットワークシステム。
【請求項５】
端末は、予め定められたネットワーク接続の順位に従って選択されたネットワークを用いてゲートウェイサーバにアクセスする際に、前記選択されたネットワークに対応する暗号化方式で暗号化して、記憶する端末証明書を用いてアクセスし、
前記ゲートウェイサーバは、前記暗号化方式に対応する復号方式で復号し、前記端末証明書の認証を行うことを特徴とする請求項１乃至４のいずれか記載のネットワークシステム。
【請求項６】
セキュリティプラットフォーム領域で動作するアプリケーションは、ゲートウェイサーバに接続するシステムのデータにアクセスするものであることを特徴とする請求項１乃至５のいずれか記載のネットワークシステム。
【請求項７】
セキュリティプラットフォーム領域で動作するアプリケーションを端末にゲートウェイサーバを介してダウンロードするアプリケーション配信サーバを設けたことを特徴とする請求項１乃至６のいずれか記載のネットワークシステム。
【請求項８】
ゲートウェイサーバに接続して、端末の状態を管理する端末管理サーバを設け、
前記端末は、セキュリティプラットフォーム領域で動作するアプリケーションの情報を、前記ゲートウェイサーバを介して前記端末管理サーバに送信し、
前記端末管理サーバが、前記端末における前記セキュリティプラットフォーム領域で動作するアプリケーションの情報を記憶することを特徴とする請求項１乃至６のいずれか記載のネットワークシステム。
【請求項９】
端末において、セキュリティプラットフォーム領域で動作し、当該端末が接続可能なネットワークを検出し、予め定められたネットワーク接続の順位に従って選択されたネットワークを用いてゲートウェイサーバにアクセスすると共に、前記ゲートウェイサーバから通知された、ネットワーク環境と使用可能なアプリケーションの対応が設定されたネットワーク対応テーブルを受信し、前記対応テーブルに従って、前記使用可能なアプリケーションのアイコンを表示し、表示されたアイコンが選択されると、当該選択されたアイコンに対応するアプリケーションの通信を、対応するネットワーク環境を用いて行うことを特徴とするコンピュータプログラム。
【請求項１０】
端末において、ゲートウェイサーバから受信する対応テーブルにはネットワーク環境と使用可能なアプリケーションに対応する暗号化方式も設定されており、表示されたアイコンが選択されると、当該選択されたアイコンに対応するアプリケーションの通信を、対応するネットワーク環境と暗号化方式を用いて行うことを特徴とする請求項９記載のコンピュータプログラム。
【請求項１１】
端末において、表示されたアイコンが選択されると、当該端末が接続可能なネットワークを再度検出し、対応テーブルを参照し、前記選択されたアイコンのアプリケーションと接続可能なネットワーク環境の組み合わせがあるか否かを判定し、組み合わせが１つあれば、前記アプリケーションに対応する暗号化方式で当該アプリケーションでの通信を行うことを特徴とする請求項１０記載のコンピュータプログラム。
【請求項１２】
端末において、表示されたアイコンが選択されると、当該端末が接続可能なネットワークを再度検出し、対応テーブルを参照し、前記選択されたアイコンのアプリケーションと接続可能なネットワーク環境の組み合わせがあるか否かを判定し、組み合わせが複数あれば、予め定められたネットワーク接続の順位に従って接続可能なネットワークを特定し、当該特定されたネットワーク環境における前記アプリケーションに対応する暗号化方式で当該アプリケーションでの通信を行うことを特徴とする請求項１０記載のコンピュータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、スマートフォンを利用したネットワークシステムに係り、特に、スマートフォンを企業利用する場合のセキュリティ対策を実現するネットワークシステムに関する。
【背景技術】
【０００２】
［従来の技術］
近年、スマートフォンやスマートタブレット（以下、「スマートフォン」と称する）の性能が向上したことにより、従業員の生産性の向上を目的として、業務利用としてのスマートフォンの導入を検討する企業が増えてきている。
【０００３】
［関連技術］
尚、関連する先行技術として、特開平０６−２１４９１３号公報「分散処理システムのプロトコル選択方法」（株式会社日立製作所）［特許文献１］がある。
特許文献１には、分散処理システムにおいて、アプリケーションプログラムの業務レベルを解析して蓄積し、計算機システムで利用可能なプロトコル、レベル、応用コンテキストの特徴を評価し、各プロトコル等の通信路の利用状況を管理（選択）する処理が示されている。
【０００４】
また、非特許文献１として、「Android搭載デバイス向けセキュリティ管理サービスについて」2011年03月01日、ＫＤＤＩ株式会社（www.kddi.com/business/service/security/pdf/ android_security_kanri.pdf）［非特許文献１］がある。
非特許文献１では、スマートフォンを導入し易い環境を提供するために、アプリケーションをプッシュ型で特定のスマートフォンにダウンロードすることが示されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開平０６−２１４９１３号公報
【非特許文献】
【０００６】
【非特許文献１】「Android搭載デバイス向けセキュリティ管理サービスについて」2011年03月01日、ＫＤＤＩ株式会社（www.kddi.com/business/service/security/pdf/ android_security_kanri.pdf）
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、上記従来のネットワークシステムでは、セキュリティ対策を考慮する場合に、これまでは従来のノートＰＣの延長としてとらえられ、記憶デバイスの暗号化や指紋等の生体認証、アンチウィルスソフトの導入等、スマートフォンを完全に防御するという原則に基づいてセキュリティルールが規定されるというアプローチが多くの企業で採用されている。
【０００８】
このような状況下では、以下のような問題点があった。
つまり、スマートフォンの利用は、常時オンラインであるとは限らないこと、ＣＰＵ（Central Processing Unit）パワーや電源容量が限られていること、一部の端末についてはオープンなＯＳ（Operating System）を採用しているため、プラットフォームとしてセキュリティ対策が十分でないこと、生体認証デバイスの対応状況が十分でないこと等、スマートフォンのスペックや、利用・導入シーンを考えた場合に、従来のノートＰＣ型のルールは不適合になる場合が多いという問題点があった。
【０００９】
特に、アンチウィルスソフトをスマートフォンにインストールして常時動作させると、電源容量（電池）の消耗が速く、更に、スマートフォンの動作を遅くしてしまうことになっていた。
【００１０】
更に、従来のノートＰＣのように、業務に関連する管理対象のアプリケーションのみをインストール許可する運用とすると、個人所有のスマートフォンという端末を利用したい場合に、ユーザの抵抗感が強くなり、スマートフォンが本来備える利便性を大きく損なってしまうことになり、結果として、スマートフォンを業務用に活用することにより生産性を向上させる効果が限定されてしまうことになる。
【００１１】
本発明は上記実状に鑑みて為されたものであり、スマートフォンを業務用に利用してもセキュリティ対策を図ることができるスマートフォンを利用したネットワークシステムを提供することを目的とする。
【課題を解決するための手段】
【００１２】
上記従来例の問題点を解決するための本発明は、複数のネットワークによって端末とゲートウェイサーバが接続されるネットワークシステムであって、端末には、セキュリティプラットフォーム領域で動作するプラットフォームソフトウェアと当該ソフトウェアによって制御されるアプリケーションがインストールされ、当該ソフトウェアの動作によって、当該端末が接続可能なネットワークを検出し、予め定められたネットワーク接続の順位に従って選択されたネットワークを用いて前記ゲートウェイサーバにアクセスするものであり、ゲートウェイサーバが、ネットワーク環境と使用可能なアプリケーションの対応をネットワーク対応テーブルとして内部に記憶しており、端末からアクセスがあると対応テーブルを端末に通知し、端末が、ゲートウェイサーバから通知された対応テーブルに従って、使用可能なアプリケーションのアイコンを表示し、表示されたアイコンが選択されると、当該選択されたアイコンに対応するアプリケーションの通信を、対応するネットワーク環境を用いて行うことを特徴とする。
【００１３】
本発明は、上記ネットワークシステムにおいて、ゲートウェイサーバが、対応テーブルにおいてネットワーク環境と使用可能なアプリケーションに対応する暗号化方式を記憶しており、端末に対応テーブルを通知する際に、暗号化方式も通知し、端末が、表示されたアイコンが選択されると、当該選択されたアイコンに対応するアプリケーションの通信を、対応するネットワーク環境と暗号化方式を用いて行うことを特徴とする。
【００１４】
本発明は、上記ネットワークシステムにおいて、端末が、表示されたアイコンが選択されると、当該端末が接続可能なネットワークを再度検出し、対応テーブルを参照し、選択されたアイコンのアプリケーションと接続可能なネットワーク環境の組み合わせがあるか否かを判定し、組み合わせが１つあれば、アプリケーションに対応する暗号化方式で当該アプリケーションでの通信を行うことを特徴とする。
【００１５】
本発明は、上記ネットワークシステムにおいて、端末が、表示されたアイコンが選択されると、当該端末が接続可能なネットワークを再度検出し、対応テーブルを参照し、選択されたアイコンのアプリケーションと接続可能なネットワーク環境の組み合わせがあるか否かを判定し、組み合わせが複数あれば、予め定められたネットワーク接続の順位に従って接続可能なネットワークを特定し、当該特定されたネットワーク環境におけるアプリケーションに対応する暗号化方式で当該アプリケーションでの通信を行うことを特徴とする。
【００１６】
本発明は、上記ネットワークシステムにおいて、端末が、予め定められたネットワーク接続の順位に従って選択されたネットワークを用いてゲートウェイサーバにアクセスする際に、選択されたネットワークに対応する暗号化方式で暗号化して、記憶する端末証明書を用いてアクセスし、ゲートウェイサーバが、暗号化方式に対応する復号方式で復号し、端末証明書の認証を行うことを特徴とする。
【００１７】
本発明は、上記ネットワークシステムにおいて、セキュリティプラットフォーム領域で動作するアプリケーションは、ゲートウェイサーバに接続するシステムのデータにアクセスするものであることを特徴とする。
【００１８】
本発明は、上記ネットワークシステムにおいて、セキュリティプラットフォーム領域で動作するアプリケーションを端末にゲートウェイサーバを介してダウンロードするアプリケーション配信サーバを設けたことを特徴とする。
【００１９】
本発明は、上記ネットワークシステムにおいて、ゲートウェイサーバに接続して、端末の状態を管理する端末管理サーバを設け、端末が、セキュリティプラットフォーム領域で動作するアプリケーションの情報を、ゲートウェイサーバを介して端末管理サーバに送信し、端末管理サーバが、端末におけるセキュリティプラットフォーム領域で動作するアプリケーションの情報を記憶することを特徴とする。
【００２０】
本発明は、コンピュータプログラムであって、端末において、セキュリティプラットフォーム領域で動作し、当該端末が接続可能なネットワークを検出し、予め定められたネットワーク接続の順位に従って選択されたネットワークを用いてゲートウェイサーバにアクセスすると共に、前記ゲートウェイサーバから通知された、ネットワーク環境と使用可能なアプリケーションの対応が設定されたネットワーク対応テーブルを受信し、前記対応テーブルに従って、前記使用可能なアプリケーションのアイコンを表示し、表示されたアイコンが選択されると、当該選択されたアイコンに対応するアプリケーションの通信を、対応するネットワーク環境を用いて行うことを特徴とする。
【００２１】
本発明は、上記コンピュータプログラムであって、端末において、ゲートウェイサーバから受信する対応テーブルにはネットワーク環境と使用可能なアプリケーションに対応する暗号化方式も設定されており、表示されたアイコンが選択されると、当該選択されたアイコンに対応するアプリケーションの通信を、対応するネットワーク環境と暗号化方式を用いて行うことを特徴とする。
【００２２】
本発明は、上記コンピュータプログラムであって、端末において、表示されたアイコンが選択されると、当該端末が接続可能なネットワークを再度検出し、対応テーブルを参照し、選択されたアイコンのアプリケーションと接続可能なネットワーク環境の組み合わせがあるか否かを判定し、組み合わせが１つあれば、アプリケーションに対応する暗号化方式で当該アプリケーションでの通信を行うことを特徴とする。
【００２３】
本発明は、上記コンピュータプログラムであって、端末において、表示されたアイコンが選択されると、当該端末が接続可能なネットワークを再度検出し、対応テーブルを参照し、選択されたアイコンのアプリケーションと接続可能なネットワーク環境の組み合わせがあるか否かを判定し、組み合わせが複数あれば、予め定められたネットワーク接続の順位に従って接続可能なネットワークを特定し、当該特定されたネットワーク環境におけるアプリケーションに対応する暗号化方式で当該アプリケーションでの通信を行うことを特徴とする。
【発明の効果】
【００２４】
本発明によれば、複数のネットワークによって端末とゲートウェイサーバが接続されるネットワークシステムであって、端末には、セキュリティプラットフォーム領域で動作するプラットフォームソフトウェアと当該ソフトウェアによって制御されるアプリケーションがインストールされ、当該ソフトウェアの動作によって、当該端末が接続可能なネットワークを検出し、予め定められたネットワーク接続の順位に従って選択されたネットワークを用いて前記ゲートウェイサーバにアクセスするものであり、ゲートウェイサーバが、ネットワーク環境と使用可能なアプリケーションの対応をネットワーク対応テーブルとして内部に記憶しており、端末からアクセスがあると対応テーブルを端末に通知し、端末が、ゲートウェイサーバから通知された対応テーブルに従って、使用可能なアプリケーションのアイコンを表示し、表示されたアイコンが選択されると、当該選択されたアイコンに対応するアプリケーションの通信を、対応するネットワーク環境を用いて行うネットワークシステムとしているので、業務用に利用してもセキュリティ対策を図ることができる効果がある。
【００２５】
本発明によれば、ゲートウェイサーバが、対応テーブルにおいてネットワーク環境と使用可能なアプリケーションに対応する暗号化方式を記憶しており、端末に対応テーブルを通知する際に、暗号化方式も通知し、端末が、表示されたアイコンが選択されると、当該選択されたアイコンに対応するアプリケーションの通信を、対応するネットワーク環境と暗号化方式を用いて行う上記ネットワークシステムとしているので、業務用に利用してもセキュリティ対策を図ることができる効果がある。
【図面の簡単な説明】
【００２６】
【図１】本発明の実施の形態に係るネットワークシステムの概略図である。
【図２】端末のソフトウェア構成の概略図である。
【図３】端末での処理フローチャート（１）である。
【図４】端末での処理フローチャート（２）である。
【図５】ＧＷサーバでの処理フローチャートである。
【図６】端末の画面例を示し、（ａ）がＳＳＰアプリ選択前、（ｂ）がＳＳＰアプリ選択後を示す図である。
【図７】ネットワーク優先選択テーブルの概略図である。
【図８】ネットワーク対応アプリケーション／暗号化方式テーブルの概略図である。
【発明を実施するための形態】
【００２７】
本発明の実施の形態について図面を参照しながら説明する。
［実施の形態の概要］
本発明の実施の形態に係るネットワークシステムは、端末にスマートフォンセキュリティプラットフォームソフトウェアをインストールし、認証済アプリを暗号化してプラットフォーム領域に格納し、暗号化された認証済アプリを復号して使用し、使用終了で暗号化して記憶し、本プラットフォームのネットワーク制御部が、ネットワーク環境から安全で最良の使用ネットワークを選択し、更に企業内ネットワークのゲートウェイサーバで通信経路と端末証明書に応じて企業内で利用できるアプリケーションを制御するものであり、スマートフォンを業務用に利用してもセキュリティ対策を図ることができるものである。
【００２８】
［本システムの概要：図１］
本発明の実施の形態に係るネットワークシステム（本システム）について図１を参照しながら説明する。図１は、本発明の実施の形態に係るネットワークシステムの概略図である。
本システムは、図１に示すように、端末（スマートフォン）１と、携帯閉域網４ａと、携帯公衆網４ｂと、基地局５ａ，５ｂ，５ｃと、一般アプリケーションマーケットサーバ６と、インターネット７と、企業内ネットワーク（企業内ＮＷ）２０とから構成されている。
尚、図１に示したネットワークシステムの構成は、本実施の形態の一例である。また、スマートフォンは端末の一例である。
【００２９】
［本システムの各部］
［端末（スマートフォン）１］
端末（スマートフォン）１は、通常のアプリケーションを動作させる環境とは別にスマートフォンセキュリティプラットフォーム（以下、「本プラットフォーム」）を備え、本プラットフォームソフトウェアを動作させて、スマートフォン利用のセキュリティを向上させる処理を行うものである。当該端末１における特徴的な処理については後述する。
【００３０】
［携帯閉域網４ａ］
携帯閉域網４ａは、閉鎖的なネットワーク環境であり、携帯電話機のキャリアが提供する通信網である。
［携帯公衆網５ｂ］
携帯公衆網５ｂは、携帯電話機の公衆通信網である。
【００３１】
［基地局５］
基地局５ａは、携帯閉域網４ａと有線接続し、端末１と無線接続し、携帯閉域網４ａと端末１との間での通信を実現する。
基地局５ｂは、携帯公衆網５ｂと有線接続し、端末１と無線接続し、携帯公衆網５ｂと端末１との間での通信を実現する。
基地局５ｃは、インターネット７と有線接続し、端末１と無線接続し、インターネット７と端末１との間での通信を実現する。
【００３２】
［一般アプリケーションマーケットサーバ６］
一般アプリケーションマーケットサーバ６は、インターネット７に接続し、スマートフォン向けの一般的なアプリケーションを提供するサーバである。
【００３３】
［インターネット７］
インターネット７は、基地局５ｃと企業ＮＷ２０とを接続するネットワークであり、一般アプリケーションマーケットサーバ６が接続している。
【００３４】
［企業内ＮＷ２０］
企業内ネットワーク（企業内ＮＷ）２０は、ファイアウォール（ＦＷ：Fire Wall）２１と、ゲートウェイサーバ（ＧＷサーバ）２２と、営業支援システム２３と、顧客管理システム２４と、基幹システム２５と、シンクライアントサーバ２６、メールサーバ２７、勤怠管理システム２８、ＭＤＭ（Mobile Device Management）サーバ２と、企業内アプリケーション配信サーバ３とを有している。ただし、企業内システムについては営業支援システム２３と、顧客管理システム２４と、基幹システム２５と、シンクライアントサーバ２６、メールサーバ２７、勤怠管理システム２８に限定されるものではない。
【００３５】
［ＦＷ２１］
ＦＷ２１は、外部のネットワークとＧＷサーバ２２との間に設けられ、外部のネットワークからの不正アクセス、ウィルスの侵入を防止するものである。
【００３６】
［ＧＷサーバ２２］
ＧＷサーバ２２は、端末１から端末証明書を受信し、認証後、ネットワーク対応アプリケーション／暗号化方式テーブルを端末１に送信する。
【００３７】
特に、ＧＷサーバ２２は、選択されたネットワークによってセキュリティレベルを決定し、そのセキュリティレベルに応じてアプリケーションを制御する。例えば、社内の無線ＬＡＮ（Local Area Network）を経由してアクセスしてきた特定の端末のみ基幹システム２５へのアクセスを許可する等を行うものである。
【００３８】
［ＭＤＭサーバ２］
ＭＤＭ（Mobile Device Management）サーバ２は、端末１の管理を行うためのサーバであり、端末１の新規導入時に、端末１から端末ＩＤを取得して登録し、デバイスドライバ、端末証明書、認証済アプリの端末１へのダウンロードを行い、端末１の紛失時に、ＧＰＳ（Global Positioning System）による定期通知情報を受信して紛失場所を特定すると共にリモートロック、リモートワイプを実行する。
【００３９】
［企業内アプリケーション配信サーバ３］
企業内アプリケーション配信サーバ３は、企業内で専用に使用される許可されたアプリケーション（認証済アプリ）を端末１の本プラットフォームのプラットフォーム領域にダウンロードするものである。
そして、企業内アプリケーション配信サーバ３は、認証済アプリ毎に端末証明書を付けてダウンロードする。
【００４０】
［営業支援システム２３］
営業支援システム２３は、営業支援を行うための情報処理を行うコンピュータによるシステムである。
［顧客管理システム２４］
顧客管理システム２４も、顧客管理を行うための情報処理を行うコンピュータによるシステムである。
【００４１】
［基幹システム２５］
基幹システム２５は、基幹業務に関する処理を行うコンピュータによるシステムである。
［シンクライアントサーバ２６］
シンクライアントサーバ２６は、企業内ＮＷ２０内で営業支援システム２３、顧客管理システム２４、基幹システム２５、勤怠管理システム２８等にアクセスするコンピュータである。
【００４２】
［メールサーバ２７］
メールサーバ２７は、企業内ＮＷ２０で端末１のユーザに対する業務用のメールの送受信、保存を制御・管理するサーバである。
［勤怠管理システム２８］
勤怠管理システム２８は、端末１のユーザに対する勤怠管理を行うための情報処理を行うコンピュータによるシステムである。
【００４３】
［端末の構成：図２］
次に、端末１の具体的構成について図２を参照しながら説明する。図２は、端末のソフトウェア構成の概略図である。
端末１は、図２に示すように、特徴的なスマートフォンセキュリティプラットフォーム（本プラットフォーム）１１を備えており、それ以外には、アプリケーション１２、アプリケーションフレームワーク１３、ライブラリ１４、ランタイム１５、デバイスドライバを含むカーネルドライバ１６、端末ＯＳ１７を記憶領域に記憶している。
特に、本プラットフォームのソフトウェアは、記憶領域の中でプラットフォーム領域という特殊な領域に記憶される。
【００４４】
アプリケーション１２は、一般アプリケーションマーケットサーバ６から配信された未承認アプリである。
アプリケーションフレームワーク１３は、端末ＯＳ１７のためのアプリケーションの標準構造を実装するのに使われるクラスやライブラリの集まりである。
ライブラリ１４は、デバイスを制御するためのプログラムである。
【００４５】
ランタイム１５は、プログラム実行時に必要になる実行環境やライブラリ等のソフトウェア部品である。
カーネルドライバ１６は、デバイスドライバを含み、ＣＰＵ、メモリ、入出力を中心としたハードウェアを抽象化し、ハードウェアとソフトウェアがやりとりできるようにするために、プロセスの抽象化、プロセス間通信、システムコール等を提供するソフトウェア部品である。
端末ＯＳ１７は、端末用にカスタマイズされたオペレーティングシステムである。
【００４６】
［スマートフォンセキュリティプラットフォーム１１］
スマートフォンセキュリティプラットフォーム（本プラットフォーム）１１は、プラットフォーム領域というセキュリティ領域に格納されており、図２に示すように、認証済アプリ（１）１１１と、認証済アプリ（２）１１２を記憶し、セキュリティ基盤１１３には、ネットワーク（ＮＷ）制御部１１４を備え、端末証明書１１５を記憶している。
セキュリティ基盤１１３には、ＭＤＭサーバ２から新規登録時に本プラットフォームソフトウェアがインストールされており、端末１の電源オンに連動して常駐アプリとなり、後述する様々の特徴的な処理を実行する。尚、本プラットフォームソフトウェアのインストールは、端末１をＭＤＭサーバ２とオフライン（例えば、ＵＳＢケーブル等）で接続してダウンロードにより行う。ＧＷサーバ２２は新規端末を認識していないためである。
【００４７】
プラットフォーム領域は、ＭＤＭサーバ２から、又はＭＤＭサーバ２によって許可された企業内アプリケーション配信サーバ３からのみ、かつ許可された認証済アプリのみをダウンロード可能とし、ダウンロードされたアプリケーションは管理対象アプリケーションとしてインストールされる。
【００４８】
認証済アプリ１１１，１１２は、企業内アプリケーション配信サーバ３から端末１にダウンロードされ、プラットフォーム領域に格納されたものである。
そして、認証済アプリ１１１，１１２は、企業ＮＷ２０におけるシステム等のデータにアクセスすることが許可されたアプリケーションである。
尚、認証済アプリとして認証済アプリ１１１、認証済アプリ１１２を記憶しているが、更に多くの認証済アプリを登録して記憶してもよい。認証済アプリは、通常、暗号化されており、当該アプリを利用する場合に、端末証明書を用いて復号し、利用終了すれば暗号化される。
【００４９】
セキュリティ基盤１１３は、本プラットフォームの中核を為す構成である。
具体的には、セキュリティ基盤１１３で動作する本プラットフォームソフトウェアの実行により、第１に、プラットフォーム領域の認証済アプリ、データの暗・復号化、第２に、不正アクセスの制限と監視、第３に、セキュアネットワークの自動制御を行うものである。
ＮＷ制御部１１４は、セキュアネットワークの自動制御で最適なネットワークを選択するための制御を行い、企業内ＮＷ２０に対して端末証明書１１５を送信する。
【００５０】
［本システムの機能］
次に、本システムの機能について説明する。
本システムで実現される機能は、端末１で実現されるセキュリティプラットフォーム機能及びセキュアネットワーク選択機能、ＭＤＭサーバ２で実現されるＭＤＭ機能、企業内アプリケーション配信サーバ３で実現されるアプリケーションダウンロードサイト機能、ＧＷサーバ２２で実現される企業ゲートウェイ機能等がある。
【００５１】
［セキュリティプラットフォーム機能］
セキュリティプラットフォーム機能は、端末１内の制御部がプラットフォーム領域に記憶する処理プログラム（プラットフォームソフトウェア）を動作させることで実現されるものであり、プラットフォーム領域内に記憶される認証済アプリ、データについて暗号化を行い、データ使用時に復号し、使用終了で暗号化して記憶する。
【００５２】
また、セキュリティプラットフォーム機能は、プラットフォーム領域における認証済アプリに対して他のアプリからの呼出を制限し、監査、通知することにより、マルウェア等からのプラットフォーム領域（サンドボックス）へのアタックを監視し、不正アクセスを防御する。
具体的には、プラットフォーム領域では、端末１の利用者のログを取って記憶し、アクセス監視を行う。
また、認証済アプリ間のデータのやり取りも、端末証明書で認証した上で行う。
【００５３】
［セキュアネットワーク選択機能］
セキュアネットワーク選択機能は、端末１のＮＷ制御部１１４によって実現され、本プラットフォームに登録された認証済みアプリケーションが、ＶＰＮ（Virtual Private Network：仮想私設網）、ＨＴＴＰＳ（Hyper Text Transfer Protocol over Secure Socket Layer）、携帯閉域網、携帯公衆網等のセキュアネットワークからアプリケーションの特性や端末の環境に応じて最良のネットワークを選択するものである。
【００５４】
具体的には、ＮＷ制御部１１４が接続可能な複数のネットワーク環境を検出し、ＮＷ制御部１１４内に記憶するネットワーク優先選択テーブルを参照して、優先の順位が高いネットワークを選択してＧＷサーバ２２に端末証明書１１５を送信する。
ＧＷサーバ２２は、端末１から送信された端末証明書１１５の認証を行い、認証がＯＫであれば、ネットワーク対応アプリケーション／暗号化方式テーブルを端末１に返信（通知）する。
【００５５】
端末１では、ＧＷサーバ２２から通知されたネットワーク対応アプリケーション／暗号化方式テーブルを受信し、当該テーブルを参照して接続可能なネットワークの情報から使用可能なアプリケーションを特定して画面に表示し、アプリケーション選択により再度接続可能なネットワークを検出し、ネットワーク対応アプリケーション／暗号化方式テーブル、ネットワーク優先選択テーブルを参照して、使用可能なアプリケーションと暗号化方式を用いて当該アプリケーションでの通信が為される。
具体的なアプリケーションに対応したネットワークの選択例は後述する。
【００５６】
ここで、ネットワーク対応アプリケーション／暗号化方式テーブルは、基本的にはＧＷサーバ２２が端末１に通知するが、端末１で予め記憶しておくようにしてもよい。
尚、「シンクライアントサーバ」は、端末１から企業内ＮＷ２０の各サーバ及びシステム上のデスクトップ環境にアクセスするためのアプリケーションという意味である。
【００５７】
［端末での処理フロー：図３，４，６］
次に、上記セキュアネットワーク選択機能が実現されるようにするための端末１での処理フローについて図３、図４及び図６を参照しながら説明する。図３は、端末での処理フローチャート（１）であり、図４は、端末での処理フローチャート（２）である。また、図６は、端末の画面例を示し、（ａ）がＳＳＰ（Smart phone Security Platform）アプリ選択前、（ｂ）がＳＳＰアプリ選択後を示している。
尚、図３と図４は連続した図であるが、紙面の制約により２図に分けたものであり、両図は（Ａ）で接続している。
【００５８】
図３に示すように、端末１で、ＳＳＰアプリのアイコン（図６（ａ）参照）がタッチされる等の操作が為されたか否かを判定し（Ｓ１）、操作が為されなければ（Ｎｏの場合）、当該判定処理Ｓ１を繰り返し、操作が為されると（Ｙｅｓの場合）、次に、ＮＷ制御部１１４が接続可能なネットワークの状況を判断する（Ｓ２）。
【００５９】
ここで、接続可能なネットワークが複数存在することも考えられる。例えば、携帯公衆網、Ｗｉ−Ｆｉ（社内）、Ｗｉ−Ｆｉ（社外）、携帯閉域網、インターネット等である。また、必要に応じてＶＰＮの設定が端末１に設定されていることを確認する。これはスマートフォンに標準で搭載されているライブラリ１４にて実現可能である。
【００６０】
ＮＷ制御部１１４は、予め記憶する接続の優先順位に従って接続するネットワークを選択し（Ｓ３）、選択したネットワークで端末証明書をＧＷサーバ２２に送信してネットワーク対応アプリケーション／暗号化方式テーブルを要求する（Ｓ４）。つまり、ＧＷサーバ２２へのアクセスには端末証明書が使用される。
【００６１】
端末１は、ＧＷサーバ２２からの通知を受けたか否かを判定し（Ｓ５）、通知を受けていなければ（Ｎｏの場合）、判定処理Ｓ５を繰り返す。通知を受けたならば（Ｙｅｓの場合）、ＧＷサーバ２２よりネットワーク対応アプリケーション／暗号化方式テーブルを受信しセキュリティ基盤１１３に格納する（Ｓ６）。
【００６２】
更に、端末１は、ネットワーク対応アプリケーション／暗号化方式テーブルを参照し、処理Ｓ２で取得した接続可能なネットワークの情報から使用可能なアプリケーションを特定する（Ｓ７）。そして、端末１は、特定したアプリケーションのアイコンを画面上に表示する（Ｓ８）。
【００６３】
その後、図４に示すように、画面に表示されたアプリケーションが選択されたか否かを判定し（Ｓ９）、選択されていなければ（Ｎｏの場合）、判定処理Ｓ９を繰り返す。アプリケーションが選択されると（Ｙｅｓの場合）、再度、ＮＷ制御部１１４は接続可能なネットワーク状況を判断する（Ｓ１０）。
【００６４】
そして、ＮＷ制御部１１４は、ネットワーク対応アプリケーション／暗号化方式テーブルに、選択されたアプリケーション及び処理Ｓ１０で検出した接続可能なネットワークの組み合わせがあるか否かを判定し（Ｓ１１）、組み合わせが無い場合は、処理を終了し、組み合わせが１つある場合には、対応する暗号化方式で選択したアプリケーションによる通信を行い（Ｓ１２）、その後、処理を終了する。
【００６５】
また、判定処理Ｓ１１で組み合わせが複数ある場合には、ネットワーク優先選択テーブルを参照して優先順位の高いネットワークの方の組み合わせに決定し（Ｓ１３）、決定したネットワークで対応した暗号化方式で前記アプリケーションによる通信を行い（Ｓ１４）、処理を終了する。
このようにして、端末１におけるアプリケーションの動作処理が為される。
【００６６】
［ＧＷサーバ２２での処理フロー：図５］
次に、ＧＷサーバ２２にける処理フローについて図５を参照しながら説明する。図５は、ＧＷサーバでの処理フローチャートである。
ＧＷサーバ２２は、端末１からの受信があるか否かを判定し（Ｓ２１）、受信がなければ（Ｎｏの場合）、判定処理Ｓ１１を繰り返す。受信があれば（Ｙｅｓの場合）、送信されてきた端末証明書による認証がＯＫか否かを判定し（Ｓ２２）、認証がＮＧの場合（Ｎｏの場合）、処理を終了する。
【００６７】
認証が為された（認証ＯＫの）場合（Ｙｅｓの場合）、端末１にネットワーク対応アプリケーション／暗号化方式テーブルを送信（通知）する（Ｓ２３）。
送信されるネットワーク対応アプリケーション／暗号化方式テーブルは、全ての端末に対して同じである必要はなく、端末ＩＤに応じて異なる内容のテーブルを送信してもよい。例えば、端末ＩＤから特定される職務権限に応じてテーブル内容を変更することが考えられる。
【００６８】
上記の例では、ＧＷサーバ２２が端末１にネットワーク対応アプリケーション／暗号化方式テーブルを通知するようにしているが、端末１に予め設定しておくようにしてもよい。
【００６９】
［具体的なネットワーク選択例：図７，８］
具体的なネットワーク選択例を説明する前に、端末１のＮＷ制御部１１４に記憶するネットワーク優先選択テーブルと、ＧＷサーバ２２に記憶するネットワーク対応アプリケーション／暗号化方式テーブルについて説明する。図７は、ネットワーク優先選択テーブルの概略図であり、図８は、ネットワーク対応アプリケーション／暗号化方式テーブルの概略図である。
【００７０】
［ネットワーク優先選択テーブル：図７］
ネットワーク優先選択テーブルは、図７に示すように、接続が予定される複数のネットワーク環境に対する優先順位を設定しており、ＮＷ制御部１１４が複数検出したネットワーク環境の中から当該テーブルを参照して優先順位の高いネットワーク環境を選択してＧＷサーバ２２にアクセスするものである。
【００７１】
［ネットワーク対応アプリケーション／暗号化方式テーブル：図８］
ネットワーク対応アプリケーション／暗号化方式テーブルは、図８に示すように、ネットワーク環境と、使用可能なアプリケーション（アプリ）と、暗号化方式の対応が設定されたテーブルである。
具体的には、ネットワーク環境が「社内Ｗｉ−Ｆｉ」の場合、使用可能アプリは「メール」となり、使用する暗号化方式は「暗号化なしのネットワーク」となる。
また、ネットワーク環境が「社外Ｗｉ−Ｆｉ」の場合、使用可能アプリは「メール」と「勤怠管理システム」であり、使用する暗号化方式（使用する暗号化プロトコル）はそれぞれ「ＶＰＮ」、「ＨＴＴＰＳ」となる。
【００７２】
尚、暗号化方式を「アクセス不許可」として使用できないアプリの情報も設定できるようにしてもよい。
【００７３】
次に、端末１で検出されたネットワーク環境が「社外Ｗｉ−Ｆｉ」と「携帯公衆網」である場合の端末１とＧＷサーバ２２における処理を説明する。
まず、端末１は、ネットワーク優先選択テーブルを参照して優先順位の高い「社外Ｗｉ−Ｆｉ」を選択し（Ｓ３）、「社外Ｗｉ−Ｆｉ」でＧＷサーバ２２に端末証明書を送信する（Ｓ４）。
【００７４】
ＧＷサーバ２２は端末証明書を受信すると（Ｓ２１）、認証後、端末１にネットワーク対応アプリケーション／暗号化方式テーブルを送信する（Ｓ２２，Ｓ２３）。
端末１は、ネットワーク対応アプリケーション／暗号化方式テーブルを受信してセキュリティ基盤１１３に格納するとともに（Ｓ６）、当該テーブルを参照して使用可能なアプリケーションを特定する。つまり、検出された接続可能なネットワーク環境が「社外Ｗｉ−Ｆｉ」と「携帯公衆網」であることから、使用可能なアプリケーションは「メール」及び「勤怠管理システム」と特定し（Ｓ７）、画面に当該アプリケーションのアイコンを表示する（Ｓ８）。
【００７５】
端末１で、表示されたアイコンからアプリ「メール」が選択される（Ｓ９）と、ＮＷ制御部１１４は再度ネットワーク環境を検出する（Ｓ１０）。検出したネットワーク環境が「社外Ｗｉ−Ｆｉ」及び「携帯公衆網」の場合、ネットワークとアプリの組み合わせ、即ち、（ネットワーク「社外Ｗｉ−Ｆｉ」、アプリ「メール」）と（ネットワーク「携帯公衆網」、アプリ「メール」）がネットワーク対応アプリケーション／暗号化方式テーブルに登録されているかチェックし（Ｓ１１）、図８の例では、いずれも登録されているので、ネットワーク優先選択テーブルを参照して優先順位の高い「社外Ｗｉ−Ｆｉ」を使用するネットワークと決定し（Ｓ１３）、対応する暗号化方式「ＶＰＮ」でアプリ「メール」での通信を行う（Ｓ１４）。
【００７６】
尚、暗号化方式が「アクセス不許可」（アクセス禁止）の場合、その旨を表示画面に表示してもよい。
【００７７】
［実施の形態の効果］
本システムによれば、端末１にスマートフォンセキュリティプラットフォーム（本プラットフォーム）を形成し、本プラットフォームソフトウェアをインストールし、認証済アプリを暗号化してセキュアなプラットフォーム領域に格納し、暗号化された認証済アプリを復号して使用し、使用終了で暗号化して記憶し、本プラットフォームのＮＷ制御部１１４が、ネットワーク環境を検出して安全で最良の使用ネットワークを選択して企業内ＮＷ２０のＧＷサーバ２２にアクセスして端末証明書で認証を行い、ＧＷサーバ２２が、ネットワーク環境に対応した使用可能なアプリケーションと暗号化方式を設定するテーブルを端末１に通知し、端末１では通知されたテーブルに基づき、使用可能なアプリケーションを特定されたネットワークと暗号化方式で利用可能とするものであり、スマートフォンを業務用に利用してもセキュリティ対策を図ることができる効果がある。
【００７８】
また、本システムによれば、企業内におけるセキュリティの重要度に応じたアプリケーションの監視を可能とすることで、端末利用者の利便性、管理効率性の向上、業務効率の改善を図ることができる効果がある。
【産業上の利用可能性】
【００７９】
本発明は、スマートフォンを業務用に利用してもセキュリティ対策を図ることができるスマートフォンを利用したネットワークシステムに好適である。
【符号の説明】
【００８０】
１...端末（スマートフォン）、  ２...ＭＤＭサーバ、  ３...企業内アプリケーション配信サーバ、  ４ａ...携帯閉域網、  ４ｂ...携帯公衆網、  ５ａ，５ｂ，５ｃ...基地局、  ６...一般アプリケーションマーケットサーバ、  ７...インターネット、  １１...スマートフォンセキュリティプラットフォーム（本プラットフォーム）、  １２...アプリケーション、  １３...アプリケーションフレームワーク、  １４...ライブラリ、  １５...ランタイム、  １６...カーネルドライバ、  １７...端末ＯＳ、  ２０...企業内ネットワーク（企業内ＮＷ）、  ２１...ファイアウォール（ＦＷ）、  ２２...ゲートウェイサーバ（ＧＷサーバ）、  ２３...営業支援システム、  ２４...顧客管理システム、  ２５...基幹システム、  ２６...シンクライアントサーバ、  ２７...メールサーバ、  ２８...勤怠管理システム、  １１１...認証済アプリ（１）、  １１２...認証済アプリ（２）、  １１３...セキュリティ基盤、  １１４...ネットワーク（ＮＷ）制御部、  １１５...端末証明書
【図１】
0005602124.tif 000002
【図２】
0005602124.tif 000003
【図３】
0005602124.tif 000004
【図４】
0005602124.tif 000005
【図５】
0005602124.tif 000006
【図６】
0005602124.tif 000007
【図７】
0005602124.tif 000008
【図８】
0005602124.tif 000009