(57)【要約】【課題】情報制御システムへの影響を最小限にして、ウィルス感染を防止できるようにする。【解決手段】ネットワーク内の第１の装置で、ブラックリストを使用してデータやプログラムのセキュリティチェックを実行し、チェック済みのデータやプログラムとチェック結果情報をネットワーク内に配信する。ネットワーク内の第２の装置では、受信したチェック結果に基づいて、受信したデータまたはプログラムの、第１の装置でのセキュリティチェック結果の可否を判定し、可と判定されたデータまたはプログラムからホワイトリストを生成する。そして、キュリティチェック結果が実行されていないデータまたはプログラムを、ホワイトリストとの照合で実行の可否を判定する。【選択図】図１
2014112322.tif 000002
【特許請求の範囲】
【請求項１】
複数の装置をネットワークで接続して構成される情報制御システムにおいて、
前記ネットワークに接続される第１の装置として、
用意されたブラックリストを使用してデータまたはプログラムのセキュリティチェックを実行するブラックリストチェック処理部と、
前記ブラックリストチェック処理部でセキュリティチェックを実施したデータまたはプログラムとセキュリティチェック結果情報を配信する配信部とを備え、
前記ネットワークに接続される第２の装置として、
前記第１の装置の配信部から配信されたデータまたはプログラムとセキュリティチェック結果情報を受信する受信部と、
前記受信部が受信したセキュリティチェック結果情報に基づいて、前記受信部が受信したデータまたはプログラムの、前記第１の装置のブラックリストチェック処理部でのセキュリティチェックの実行結果を判定する判定部と、
前記判定部で実行可と判定されたデータまたはプログラムからホワイトリストを生成し、その生成したホワイトリストの照合によりデータまたはプログラムの実行の可否を判定するホワイトリストチェック処理部と、
前記判定部でセキュリティチェック結果が実行可であるデータまたはプログラムと、ホワイトリストチェック処理部により実行可と判定されたデータまたはプログラムを実行する制御部とを備える
情報制御システム。
【請求項２】
さらに前記第２の装置は、
前記受信部とは別のデータ入力部を備え、
前記制御部は、前記ホワイトリストの編集の可否を予め設定し、
前記制御部がホワイトリストの編集を許可した場合のみ、前記データ入力部に入力したデータまたはプログラムで前記ホワイトリストを編集すると共に、前記第２の装置が実行するデータまたはプログラムを編集するようにした
請求項１記載の情報制御システム。
【請求項３】
前記第２の装置のホワイトリストチェック処理部でのホワイトリストの照合による可否の判定が完了した後に、前記第２の装置の制御部はプログラムを起動する
請求項２記載の情報制御システム。
【請求項４】
前記第２の装置のホワイトリストチェック処理部でホワイトリストの作成中または更新中には、前記制御部はプログラムの起動を抑止する
請求項３記載の情報制御システム。
【請求項５】
前記第２の装置の制御部は、特定のパスワードまたは識別コードが入力された場合に、前記データ入力部に入力したデータまたはプログラムにより、ホワイトリストの編集を許可する
請求項２記載の情報制御システム。
【請求項６】
前記制御部は、前記ホワイトリストチェック処理部がチェック済みのデータまたはプログラムについて、前記受信部が受信した時刻または日付から一定期間が経過したとき、該当するデータまたはプログラムの前記ホワイトリストチェック処理部でのチェックを、再度実行させる
請求項１〜５のいずれか１項に記載の情報制御システム。
【請求項７】
複数の装置をネットワークで接続して構成される情報制御システムに適用されるセキュリティチェック方法において、
前記ネットワークに接続される第１の装置で、用意されたブラックリストを使用してデータまたはプログラムのセキュリティチェックを実行し、
前記セキュリティチェックを実施したデータまたはプログラムとセキュリティチェック結果情報を前記ネットワーク内に配信し、
前記ネットワークに接続された第２の装置で、配信されたデータまたはプログラムとセキュリティチェック結果情報を受信し、
前記受信したセキュリティチェック結果情報に基づいて、前記受信したデータまたはプログラムの、前記第１の装置でのセキュリティチェック結果を判定し、
前記セキュリティチェック結果で実行可と判定されたデータまたはプログラムからホワイトリストを生成し、
前記判定でセキュリティチェック結果が実行可であるデータまたはプログラムと、前記ホワイトリストの照合により実行可と判定されたデータまたはプログラムを実行する
セキュリティチェック方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、制御装置や監視装置などで構成される情報制御システム、およびそのシステムに適用されるセキュリティチェック方法に関する。
【背景技術】
【０００２】
近年、情報制御システムがセキュリティ脅威にさらされるようになってきている。情報制御システムは、種々の設備と、設備から取得したその設備の状態に関する情報に基づいて制御信号を送信する制御装置と、制御装置から設備の状態に関する情報を取得して表示する監視装置と、制御装置と監視装置を接続するネットワークとによって構成されている。例えば、鉄道分野の制御システムは、信号機や転轍器等の設備と、列車の進行情報に基づいて設備を制御するための制御信号を送信する制御装置と、列車の現在の進行情報や設備の現在の状態を画面表示する監視装置から構成される。
【０００３】
情報制御システムに関わるセキュリティ脅威は、ＤＯＳ攻撃(Denial of Service attack)に代表されるネットワーク外部からの攻撃と、ネットワーク上を流れる通信データの漏洩・改ざんと、情報制御システムに接続される各装置のウィルスの感染がある。これらのセキュリティ脅威のうち、近年、情報制御システムを構成する各装置へのウィルスの感染事例が増えてきており、そのための対策が必要になっている。
【０００４】
このような各装置へのウィルスの感染を防ぐ技術としては、パーソナルコンピュータ用のウィルス対策ソフトで実施されているブラックリスト方式によりセキュリティチェックを行う技術と、ホワイトリスト方式によりセキュリティチェックを行う技術が知られている。
ブラックリスト方式は、ウィルスのファイル名が記載してあるパタンファイルと実際のファイルを照合し、パタンファイルと一致した実際のファイルを駆除することで、ウィルス感染を未然に防止する方式である。ブラックリスト方式は、このパタンファイルを定期的に更新しないと、パタンファイルに記載されていないウィルスには感染してしまう恐れがある。一方、ホワイトリスト方式は、実行可能なファイル等が記載してあるホワイトリストと実行対象のファイルを照合することで、許可されたモノしか実行させない方式である。
【０００５】
特許文献１には、ブラックリスト方式によりセキュリティチェックを行う例が開示され、特許文献２には、ホワイトリスト方式によりセキュリティチェックを行う例が開示されている。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２０１１−６５５２４号公報
【特許文献２】特開２０１０−１７１４７１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
情報制御システムを構成する各装置で、常に有効なセキュリティチェックを行う場合、ブラックリスト方式によりセキュリティチェックを行うのが好ましい。なぜなら、ブラックリスト方式によりセキュリティチェックを行うことで、情報制御システム内の各装置へのウィルスの感染を防止することができるからである。
【０００８】
ところが、ブラックリスト方式によりセキュリティチェックを行うソフトウェアは、実行時の演算処理量が大きなソフトウェアであり、情報制御システム内の装置によっては、そのようなセキュリティチェックを行うソフトウェアを実装するのに必要な性能上の余力がないものがある。
また、ブラックリスト方式によりセキュリティチェックを行うソフトウェアが実装された装置は、セキュリティチェックの実行中やブラックリストの更新中に、情報処理能力のかなりの部分がチェックや更新の処理に割かれ、性能劣化を招く可能性がある。このため、列車制御システムやプラント制御システムなどの運用中の性能確保が必要な情報制御システムには、セキュリティチェック用ソフトをそのまま適用することが困難である。
【０００９】
セキュリティチェックの実行中に性能劣化を招く問題は、ホワイトリスト方式によりセキュリティチェックを行う場合も同様であり、やはり情報制御システムにそのまま適用することは困難である。
【００１０】
本発明は、情報制御システムへの影響を最小限にして、ウィルス感染を防止できる情報制御システムおよびセキュリティチェック方法を提供することを目的とする。
【課題を解決するための手段】
【００１１】
本発明の情報制御システムは、少なくとも第１の装置と第２の装置をネットワークで接続して構成される情報制御システムである。
ネットワークに接続される第１の装置は、ブラックリストチェック処理部と、配信部とを備える。
ブラックリストチェック処理部は、用意されたブラックリストを使用してデータまたはプログラムのセキュリティチェックを実行する。
配信部は、セキュリティチェックを実施したデータまたはプログラムとセキュリティチェック結果情報を配信する
ネットワークに接続される第２の装置は、受信部と、判定部と、ホワイトリストチェック処理部と、制御部とを備える。
受信部は、第１の装置から配信されたデータまたはプログラムとセキュリティチェック結果を受信する。
判定部は、受信したセキュリティチェック結果情報に基づいて、セキュリティチェック結果の可否を判定する。
ホワイトリストチェック処理部は、セキュリティチェック結果が可と判定されたデータまたはプログラムからホワイトリストを生成し、その生成したホワイトリストの照合によりデータまたはプログラムの実行の可否を判定する。
制御部は、判定部でセキュリティチェック結果が実行可であるデータまたはプログラムと、ホワイトリストチェック処理部により実行可と判定されたデータまたはプログラムを実行する。
【００１２】
本発明のセキュリティチェック方法は、複数の装置をネットワークで接続して構成される情報制御システムに適用されるものである。
そして、ネットワークに接続される第１の装置で、用意されたブラックリストを使用してデータまたはプログラムのセキュリティチェックを実行する。
そして、セキュリティチェックを実施したデータまたはプログラムとセキュリティチェック結果情報をネットワーク内に配信する。
ネットワークに接続された第２の装置では、配信されたデータまたはプログラムとセキュリティチェック結果情報を受信する。
そして、受信したセキュリティチェック結果情報に基づいて、受信したデータまたはプログラムの、第１の装置でのセキュリティチェック結果の可否を判定する。
そのセキュリティチェック結果の判定でセキュリティチェック結果が可と判定されたデータまたはプログラムからホワイトリストを生成し、生成したホワイトリストの照合によりデータまたはプログラムの実行の可否を判定する。
さらに、第１の装置でのセキュリティチェック結果が実行可であるデータまたはプログラムと、ホワイトリストとの照合により実行可と判定されたデータまたはプログラムを実行する。
【発明の効果】
【００１３】
本発明によると、セキュリティチェック実行時の情報制御システム内の各装置の負担を最小限に抑えた上で、情報制御システム内の各装置のウィルス感染を防止することができる。
【図面の簡単な説明】
【００１４】
【図１】本発明の一実施の形態によるシステムの全体構成例を示すブロック図である。
【図２】本発明の一実施の形態によるセキュリティチェック装置の構成例を示すブロック図である。
【図３】本発明の一実施の形態によるセキュリティチェック装置での処理の流れの例を示すフローチャートである。
【図４】本発明の一実施の形態によるセキュリティチェック結果情報の例を示す図である。
【図５】本発明の一実施の形態による情報制御システム内の装置での処理の流れの例を示すフローチャートである。
【図６】本発明の一実施の形態によるホワイトリストの例を示す図である。
【図７】本発明の一実施の形態によるホワイトリストチェックの際の処理の流れの例を示すフローチャートである。
【図８】本発明の一実施の形態によるデータまたはプログラムの編集処理の流れの例を示すフローチャートである。
【発明を実施するための形態】
【００１５】
以下、本発明の一実施の形態の例（以下、「本例」と称する）を、添付図面を参照して説明する。
図１は、本例の情報制御システムの全体を示す図である。本例の情報制御システム２０は、監視装置２１と制御装置２２とを有する。そして、監視装置２１と制御装置２２とが、ネットワーク２３でシステム内の複数の設備２４に接続されている。ここで、監視装置２１が各設備２４の監視を行い、制御装置２２が各設備２４の制御を行っている。ここでは各設備２４の具体例は示していないが、例えば鉄道運行制御システムや、発電プラントの制御システムなど、産業用の様々な情報制御システムが備える設備であれば、どのような設備にも適用可能である。
【００１６】
そして、本例の情報制御システム２０には、セキュリティチェックシステム１０が接続されている。セキュリティチェックシステム１０は、パタンファイル管理装置１１とセキュリティチェック装置１２とを有する。このパタンファイル管理装置１１とセキュリティチェック装置１２は、情報ネットワーク３０を使用して、情報制御システム２０の監視装置２１及び制御装置２２に情報を転送することができる。
図１では、情報ネットワーク３０を情報制御システム２０内のネットワーク２３とは別個に設けているが、この二つのネットワークを共有することも考えられる。すなわち、情報制御システム２０が備えるネットワーク２３に、パタンファイル管理装置１１とセキュリティチェック装置１２を直接接続するようにしてもよい。
【００１７】
図１に示すように、パタンファイル管理装置１１は、パタンファイル生成部１１１とパタンファイル送信部１１２とを備える。パタンファイル生成部１１１は、ファイルやデータのブラックリスト方式でセキュリティチェックを行う上で必要なブラックリストの元になるパタンファイルを生成する。このパタンファイル生成部１１１が生成するパタンファイルは、外部のサーバ（図示せず）などにアクセスすることで随時更新される。そして、パタンファイル生成部１１１が生成したパタンファイルが、パタンファイル送信部１１２からセキュリティチェック装置１２に送信される。
【００１８】
セキュリティチェック装置１２は、パタンファイル管理装置１１から送信されたパタンファイルをブラックリストとして使用して、プログラムやデータのセキュリティチェックを行うものである。パタンファイル内のパタンと一致しないプログラムやデータは、チェック結果で使用可「ＯＫ」となり、パタンと一致したプログラムやデータは、チェック結果で使用否「ＮＧ」となる。なお、以下の説明では、チェック対象となるプログラムとデータを総称して「プログラム／データ」と述べる場合がある。
【００１９】
図２は、セキュリティチェック装置１２の構成を示す図である。
セキュリティチェック装置１２は、処理部１２００と、記憶部１２１０と、通信部１２２０とから構成される。処理部１２００は、ブラックリスト方式によりセキュリティチェックを実行するブラックリストチェック処理部である。この処理部１２００は、パタンファイルを取得するパタンファイル取得部１２０１と、記憶部１２１０が記憶したパタンファイルを更新するパタンファイル更新部１２０２とを備える。さらに、処理部１２００は、チェック対象のファイル／データと、記憶部１２１０が記憶したパタンファイルとの照合処理によりセキュリティチェックを実行するセキュリティチェック実行部１２０３を備える。
そして、セキュリティチェック実行部１２０３がセキュリティチェックを実行したファイル／データと、そのセキュリティチェック結果が、データ配信部１２０４から監視装置２１と制御装置２２に配信される。なお、データ配信部１２０４からのファイル／データやセキュリティチェック結果の配信は、通信部１２２０を経由して行われる。
【００２０】
セキュリティチェック装置１２の記憶部１２１０は、パタンファイル管理装置１１のパタンファイル送信部１１２から送信されたパタンファイル(受信データ)を一時記憶する受信データ記憶部１２１１を備える。そして、受信データ記憶部１２１１が記憶したパタンファイルが、パタンファイル取得部１２０１とパタンファイル更新部１２０２に供給される。パタンファイル更新部１２０２は、パタンファイル記憶部１２１２が記憶したパタンファイルを、パタンファイル更新部１２０２に供給される新たなパタンファイルで更新する処理を行う。
【００２１】
そして、処理部１２００のセキュリティチェック実行部１２０３が、パタンファイル記憶部１２１２が記憶したパタンファイル（ブラックリスト）を使用して、チェック対象のプログラム／データのセキュリティチェックを実行する。チェック対象のプログラム／データは、プログラム／データ記憶部１２１４が記憶する。このセキュリティチェックを実行した結果が、セキュリティチェック結果情報記憶部１２１３に記憶される。
【００２２】
そして、プログラム／データ記憶部１２１４が記憶したプログラム／データと、そのプログラム／データのセキュリティチェック結果情報が、データ配信部１２０４から配信される。
【００２３】
図１の説明に戻ると、セキュリティチェック装置１２から配信されるプログラム／データとセキュリティチェック結果情報が、監視装置２１のデータ受信部２１１と制御装置２２のデータ受信部２２１で受信される。
【００２４】
そして、監視装置２１のデータ受信部２１１が受信したセキュリティチェック結果情報が、セキュリティチェック結果情報記憶部２１２に記憶される。また、データ受信部２１１が受信したプログラム／データが、プログラム／データ記憶部２１３に記憶される。
【００２５】
また、監視装置２１は、セキュリティチェック実行部２１５を備える。このセキュリティチェック実行部２１５は、ホワイトリスト方式によるセキュリティチェックを実行するホワイトリストチェック処理部である。すなわち、セキュリティチェック実行部２１５は、セキュリティチェック結果情報記憶部２１２が記憶したセキュリティチェック結果情報で、セキュリティチェック結果の可否を判定する。この判定でチェック結果が可で、ブラックリストと一致しない適切なプログラム／データであると判定されたとき、該当するプログラムまたはデータをホワイトリストに加える。ホワイトリストは、セキュリティチェック実行部２１５により生成され、セキュリティチェック実行部２１５に記憶される。
【００２６】
そして、監視装置２１が起動する際に、セキュリティチェック実行部２１５が、プログラム／データ記憶部２１３が記憶したプログラム／データと、ホワイトリストとを照合して、ホワイトリスト方式によるセキュリティチェックを実行する。
このセキュリティチェック実行部２１５で、プログラム／データ記憶部２１３が記憶したプログラム／データのセキュリティチェックが完了すると、監視装置２１の操作制御部２１４が、監視装置２１を起動させる。監視装置２１が起動すると、操作制御部２１４の制御下で、プログラム／データ記憶部２１３が記憶したプログラム／データを操作制御部２１４が実行して、ネットワーク２３で接続された各設備２４の監視を行う。
【００２７】
制御装置２２についても、セキュリティチェックに関する構成については、監視装置２１と同じである。すなわち、制御装置２２のデータ受信部２２１が受信したセキュリティチェック結果情報が、セキュリティチェック結果情報記憶部２２２に記憶される。また、データ受信部２２１が受信したプログラム／データが、プログラム／データ記憶部２２３に記憶される。
【００２８】
セキュリティチェック実行部２２５は、セキュリティチェック結果判定部としての機能を有し、セキュリティチェック結果情報記憶部２２２が記憶したセキュリティチェック結果情報に基づいて、セキュリティチェック結果の可否を判定する。この判定でチェック結果が可で、ブラックリストと一致しない適切なプログラム／データであると判定されたとき、該当するプログラムまたはデータをホワイトリストに加える。ホワイトリストは、セキュリティチェック実行部２２５により生成され、セキュリティチェック実行部２２５に記憶される。
【００２９】
そして、制御装置２２が起動する際に、セキュリティチェック実行部２２５が、プログラム／データ記憶部２２３が記憶したプログラム／データと、ホワイトリストとを照合して、ホワイトリスト方式によるセキュリティチェックを実行する。
このセキュリティチェック実行部２２５で、プログラム／データ記憶部２２３が記憶したプログラム／データのセキュリティチェックが完了すると、操作制御部２２４により制御装置２２が起動される。制御装置２２が起動すると、操作制御部２２４の制御下で、プログラム／データ記憶部２２３が記憶したプログラム／データを操作制御部２２４が実行して、ネットワーク２３で接続された各設備２４の制御がなされる。
【００３０】
なお、監視装置２１や制御装置２２は、データ入力部であるデータ入力ポート２１６，２２６を備え、それぞれのデータ入力ポート２１６，２２６に外部メモリ（いわゆるＵＳＢメモリやメモリカードなど）を接続することができる。図１の例では、データ入力ポート２１６に、外部メモリ２１７を接続した例を示す。
この場合、操作制御部２１４は、後述する所定の条件を満たした場合のみ、外部メモリ２１７に記憶されたプログラム／データを読み出し、プログラム／データ記憶部２２３が記憶したプログラム／データを編集する。このプログラム／データの編集を許可する条件については後述する（図８のフローチャート参照）。
【００３１】
次に、図３を参照して、パタンファイル管理装置１１とセキュリティチェック装置１２でのセキュリティチェック処理の流れを説明する。
まず、パタンファイル管理装置１１のパタンファイル送信部１１２が、パタンファイルをセキュリティチェック装置１２に送信する（ステップＳ３０１）。そして、セキュリティチェック装置１２が、この送信されたパタンファイルを受信する（ステップＳ３０２）。セキュリティチェック装置１２は、この新たなパタンファイルを受信したとき、パタンファイル記憶部１２１２が記憶したパタンファイルを更新する処理を実行する（ステップＳ３０３）。
【００３２】
そして、情報制御システム側に送信するプログラム／データがあるとき、更新されたパタンファイルを使用して、セキュリティチェック実行部２１５が、そのプログラム／データのセキュリティチェックを実行する（ステップＳ３０４）。このセキュリティチェックは、パタンファイルを使用したブラックリスト方式のチェックである。
このセキュリティチェックで得られたセキュリティチェック結果情報が、セキュリティチェック結果情報記憶部１２１３に格納される。
そして、セキュリティチェック結果情報記憶部１２１３に格納されたセキュリティチェック結果情報と、そのチェックを実行したプログラム／データが、情報制御システムの監視装置２１または制御装置２２に配信される（ステップＳ３０５）。
【００３３】
図４は、セキュリティチェック結果情報記憶部１２１３が記憶するセキュリティチェック結果情報４００の例を示す図である。
セキュリティチェック結果情報４００は、チェックＩＤ４０１と、チェック日時分４０２と、チェック結果４０３と、受信日時分４０４とからなる。チェックＩＤ４０１は、セキュリティチェックを実行したプログラム／データごとに付与される識別番号で、例えば１からセキュリティチェック実施毎に１ずつカウントアップする連番とする。チェック日時分４０２は、チェックを実行した日付および時刻（時分）を示す。チェック結果４０３は、「ＯＫ」または「ＮＧ」を示す。受信日時分４０４は、データ受信部２１１が受信した日付および時刻（時分）を示す。
なお、同じプログラム／データに対するチェック結果４０３が前回「ＮＧ」で、同日などに再チェックの結果「ＯＫ」になった場合でも、チェックＩＤ４０１は別々の値が振られる。
【００３４】
図５は、情報制御システム２０内の各装置（例えば監視装置２１や制御装置２２）におけるセキュリティチェック処理の流れを示すフローチャートである。図５では、情報制御システム２０の監視装置２１で実行する例を説明するが、制御装置２２などの他の装置で実行する場合も同様の処理である。
【００３５】
最初に、監視装置２１のデータ受信部２１１が、セキュリティチェック装置１２から送信されたプログラム／データとセキュリティチェック結果情報を受信する。そして、セキュリティチェック結果情報記憶部２１２が記憶するセキュリティチェック結果情報４００を受信情報で更新する（ステップＳ５０１）。
ここでは、図４に示したチェックＩＤ４０１と、チェック日時分４０２と、チェック結果４０３とを更新する。また、データ受信部２１１が受信した日時（日付および時刻）の情報を、セキュリティチェック結果情報４００に付加する。
【００３６】
次に、操作制御部２１４が、全てのユーザプログラム起動を抑止する（ステップＳ５０２）。このユーザプログラム起動を抑止した状態で、セキュリティチェック実行部２１５がホワイトリストを生成する（ステップＳ５０３）。このホワイトリストは、データ受信部２１１が受信したセキュリティチェック済みのプログラム／データ（チェック結果が「ＯＫ」のもの）の一覧を示すリストである。
【００３７】
次に、操作制御部２１４が、ユーザプログラム起動抑止を解除する（ステップＳ５０４）。このユーザプログラム起動抑止が行われることで、監視装置２１の操作制御部２１４が、ユーザ操作に基づいて、監視用の画面表示等を実行するプログラムの起動要求や、データの処理要求などを出力する（ステップＳ５０５）。
次に、セキュリティチェック実行部２１５は、セキュリティチェック結果情報４００を参照し、起動要求があるプログラムや実行するデータが、セキュリティチェック実行済であるか否かを判定する（ステップＳ５０６）。ここで、セキュリティチェック実行済で結果が可「ＯＫ」であれば、ステップＳ５０９に移り、セキュリティチェック実行部２１５でのセキュリティチェックを実施せず、操作制御部２１４が、該当するプログラムの起動やデータ処理を行う。
【００３８】
そして、ステップＳ５０６で、セキュリティチェック実行結果が実行否「ＮＧ」が示された場合と、セキュリティチェック実行結果が取得できない場合、セキュリティチェック実行部２１５は、セキュリティチェックを実行する（ステップＳ５０７）。このステップＳ５０７でのセキュリティチェックは、ステップＳ５０３で作成したホワイトリストを参照したホワイトリスト方式によるチェックであり、ホワイトリストに含まれたプログラム／データであるか否かが判断される。
【００３９】
そして、操作制御部２１４は、セキュリティチェック実行部２１５でのチェック結果を判断する（ステップＳ５０８）。ここで、チェック結果が実行可「ＯＫ」と判断されたとき、操作制御部２１４が、該当するプログラムの起動やデータ処理を行う（ステップＳ５０９）。また、チェック結果が実行否「ＮＧ」であれば、操作制御部２１４は、該当するプログラムの起動やデータの処理を行うことなく終了する。
【００４０】
図６は、情報制御システム２０の監視装置２１のセキュリティチェック実行部２１５が作成するホワイトリストの例を示す図である。
例えば、データ受信部２１１が、セキュリティチェック実行済みのＡ，Ｂ，Ｃのファイル（データ）を受信した場合、ホワイトリスト６０１に、これらのファイルＡ，Ｂ，Ｃを特定する情報が記載される。
また、データ受信部２１１が、セキュリティチェック実行済みのプログラムである“／ｕｓｒ１／ａｐｐ／Ａ”と“／ｕｓｒ２／ａｐｐ／Ｂ”のプログラムを受信した場合、ホワイトリスト６０２に、これらのプログラムを特定する情報が記載される。
【００４１】
図７は、情報制御システム２０内の監視装置２１のセキュリティチェック実行部２１５が、セキュリティチェック済みのプログラム／データについて、ホワイトリストによるチェックを実行する際の流れの例を示すフローチャートである。
まず、セキュリティチェック実行部２１５は、チェックを実行するプログラム／データの受信日時分を、セキュリティチェック結果情報４００から取得する（ステップＳ７０１）。そして、セキュリティチェック実行部２１５は、取得した受信日時分が、現在時刻と比較して一定時間（一定日数）以上前であるか否かを判断する（ステップＳ７０２）。ここで判断する一定時間は、例えば３０日や半年などの比較的長い時間（日数）とする。
【００４２】
そして、ステップＳ７０２で、一定時間（一定日数）以上前の受信であると判断したとき、セキュリティチェック実行部２１５は、該当するプログラム／データについて、ホワイトリストによるチェックを実行する（ステップＳ７０３）。なお、このホワイトリストによるチェックを実行したときには、セキュリティチェック結果情報４００に、そのチェックを行った日時分の情報を付加するようにしてもよい。
【００４３】
図８は、情報制御システム２０内の各装置（監視装置２１，制御装置２２など）におけるデータ／プログラムの入換えや更新などの編集を制限する処理の流れを示すフローチャートである。この図８の処理についても、監視装置２１で実行する例を説明するが、制御装置２２などの他の装置で実行する場合も同様の処理である。
【００４４】
まず、監視装置２１の操作制御部２１４が、データやプログラムの入換え等の編集作業の実施可否を設定する（ステップＳ８０１）。ここでは、監視装置２１は、ユーザが監視操作に利用する装置なので、編集作業実施可とする。この編集作業実施可や実施否の情報は、操作制御部２１４が備えるメモリなどが記憶する。
次に、監視装置２１において、ユーザ操作に基づいて、操作制御部２１４がデータやプログラムの入換え等の編集作業を実施する（ステップＳ８０２）。
ここで、操作制御部２１４は、監視装置２１での編集作業の実施可否を判断する（ステップＳ８０３）。このステップＳ８０３で、編集作業が実施否と判断した場合には、操作制御部２１４は編集作業を実行せずに終了する。
【００４５】
そして、ステップＳ８０３で編集作業が実施可であると判断したとき、操作制御部２１４は、表示画面上に編集ダイアログを表示する（ステップＳ８０４）。この編集ダイアログ上で、操作を行っているユーザは、ユーザＩＤと、ユーザＩＤごとに予めきめられたパスワードを入力する。
このユーザＩＤとパスワードの入力があると、操作制御部２１４は、そのユーザＩＤとパスワードが正しいか否かを判断する（ステップＳ８０５）。ここで、ユーザＩＤとパスワードが正しくない場合には、操作制御部２１４は編集作業を実行せずに終了する。
【００４６】
そして、編集ダイアログで入力されたユーザＩＤとパスワードが正しいと判断したとき、操作制御部２１４は、ユーザにより入力されたデータやプログラムにより、セキュリティチェック結果情報を更新し、編集を許可する（ステップＳ８０６）。ここでの編集の許可とは、例えば、図１に示す監視装置２１のデータ入力ポート２１６に接続した外部メモリ２１７（いわゆるＵＳＢメモリや各種メモリカード）から読み出したデータによる編集を許可する処理である。あるいは、監視装置２１に接続されたキーボード（図示せず）などのユーザ操作による、データやプログラムの編集を許可するようにしてもよい。これらの編集により、監視装置２１が実行するプログラムやデータが更新される。このとき、ホワイトリストについても更新して、更新されたデータがセキュリティチェックで排除されないようにする。
【００４７】
以上説明した情報制御システム２０によると、情報制御システム２０内の監視装置２１や制御装置２２などの装置は、予めセキュリティチェック装置１２でブラックリスト方式によりセキュリティチェックが済んだプログラムやデータだけが実装される。このため、監視装置２１や制御装置２２を運用する際には、実行する大部分のプログラムやデータについては、監視装置２１や制御装置２２の内部でセキュリティチェックを行うことなく、セキュリティが確保される。そして、セキュリティチェック装置１２でセキュリティチェックを行った履歴がないプログラムやデータが見つかった場合だけ、ホワイトリスト方式でセキュリティチェックを行うので、最低限のセキュリティチェック処理でセキュリティが確保される。
【００４８】
このため、監視装置２１や制御装置２２は、ホワイトリスト方式のセキュリティチェックを行う頻度を非常に少なくすることができ、システムの運用中に、監視装置２１や制御装置２２の性能を低下させるセキュリティチェックを行う必要がなくなる。特に、監視装置２１や制御装置２２でのホワイトリスト生成処理が行われるまで、受信したプログラムの起動を抑止するようにしたことで、ホワイトリスト生成処理が装置内での監視や制御の処理を邪魔することがなく、適切に処理できるようになる。
【００４９】
また、本例においては、セキュリティチェック装置１２から送信されたプログラムやデータは、ホワイトリストでのチェックを実行不要としているが、データ受信後の経過時間により、ホワイトリストのチェックを実施するようにしたため、より安全性が高まる。すなわち、監視装置２１や制御装置２２に実装されてから時間や日数が経過して、安全性に問題が生じた場合でも、ホワイトリストが随時適正に更新されることで、監視装置２１や制御装置２２での安全性が確保される。
【００５０】
また、本例においては、図８のフローチャートで説明したように、編集を許可するか否かの設定により、外部メモリ２１７から監視装置２１に取り込んだデータで編集をできるようにしたことで、不正なデータ編集を効果的に阻止できる。すなわち、セキュリティチェック装置１２を経由しないデータ受信が、特定の装置でだけ許可され、編集が許可されない装置ではセキュリティが確実に確保される。
【００５１】
編集が許可された装置であっても、ユーザＩＤやパスワードで正しいユーザであると認識した場合にだけ、編集を許可するため、不用意なデータ編集を排除でき、安全性を確保できる。
【００５２】
なお、上述した実施の形態の例では、監視装置２１と制御装置２２を設備２４と接続した情報制御システム２０に適用した例を示した。これに対して、その他のシステム構成の情報制御システムに適用してもよい。
また、図１に示したシステム構成では、セキュリティチェック装置１２を備えたセキュリティチェックシステム１０を設けて、このセキュリティチェックシステム１０を情報制御システム２０に接続するようにした。これに対して、情報制御システム２０を構成するネットワーク２３に、直接セキュリティチェック装置１２を接続するようにしてもよい。
【００５３】
また本発明は、上述した実施の形態の例に限定されるものではなく、様々な変形例が含まれる。例えば、上述した実施の形態の例は本発明を判りやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。
また、実施の形態の例の各構成、機能、処理部等は、それらの一部または全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上述した各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイルなどの情報は、メモリや、ハードディスク、ＳＳＤ（Solid State Drive）等の記録装置（記憶装置）、または、ＩＣカードや光ディスクなどの記録媒体に置くことができる。
【符号の説明】
【００５４】
１０…セキュリティチェックシステム、１１…パタンファイル管理装置、１２…セキュリティチェック装置、２０…情報制御システム、２１…監視装置、２２…制御装置、２３…ネットワーク、２４…設備、３０…情報ネットワーク、２１１…データ受信部、２１２…セキュリティチェック結果情報記憶部、２１３…プログラム／データ記憶部、２１４…操作制御部、２１５…セキュリティチェック実行部、２２１…データ受信部、２２２…セキュリティチェック結果情報記憶部、２２３…プログラム／データ記憶部、２２４…操作制御部、２２５…セキュリティチェック実行部、１２００…処理部、１２０３…セキュリティチェック実行部、１２０４…データ配信部、１２２０…通信部
【図１】
2014112322.tif 000003
【図２】
2014112322.tif 000004
【図３】
2014112322.tif 000005
【図４】
2014112322.tif 000006
【図５】
2014112322.tif 000007
【図６】
2014112322.tif 000008
【図７】
2014112322.tif 000009
【図８】
2014112322.tif 000010