(57)【特許請求の範囲】
【請求項１】
移動通信端末と認証サーバを含むネットワークシステムであって、
前記移動通信端末は、
自端末の物理的な位置情報及び／又はネットワーク上の位置情報の変化を検知する機能部と、
前記変化の検出時、認証サーバに対し、自端末の位置情報及び／又はネットワーク上の位置情報を送信する機能部と、
自端末の位置情報及び／又はネットワーク上の位置情報に対応した通信経路を指定する通信制御ポリシを認証サーバから受信し、自端末に適用する機能部とを有し、
前記認証サーバは、
移動通信端末からその位置情報及び／又はネットワーク上の位置情報を受信する機能部と、
受信した位置情報及び／又はネットワーク上の位置情報に対応した通信経路を指定する通信制御ポリシを管理テーブルから検索する機能部と、
検索された通信制御ポリシを対応する移動通信端末に送信する機能部とを有する
ことを特徴とするネットワークシステム。
【請求項２】
請求項１に記載のネットワークシステムにおいて、
前記移動通信端末は、前記ネットワーク上の位置情報の変化を、ＩＰアドレスの変化により検出する
ことを特徴とするネットワークシステム。
【請求項３】
請求項１に記載のネットワークシステムにおいて、
前記移動通信端末は、前記ネットワーク上の位置情報の変化を、無線アクセスポイントのＳＳＩＤの変化により検出する
ことを特徴とするネットワークシステム。
【請求項４】
請求項１に記載のネットワークシステムにおいて、
前記移動通信端末は、前記ネットワーク上の位置情報の変化を、無線アクセスポイントのＭＡＣアドレスの変化により検出する
ことを特徴とするネットワークシステム。
【請求項５】
請求項１に記載のネットワークシステムにおいて、
前記移動通信端末は、前記物理的な位置情報の変化を、前記移動通信端末が備えるＧＰＳの観測値が所定の緯度・経度の範囲を外れたことにより検出する
ことを特徴とするネットワークシステム。
【請求項６】
認証サーバと共にネットワークシステムを構成する移動通信端末であって、
自端末の物理的な位置情報及び／又はネットワーク上の位置情報の変化を検知する機能部と、
前記変化の検出時、認証サーバに対し、自端末の位置情報及び／又はネットワーク上の位置情報を送信する機能部と、
自端末の位置情報及び／又はネットワーク上の位置情報に対応した通信経路を指定する通信制御ポリシを認証サーバから受信し、自端末に適用する機能部と
を有することを特徴とする移動通信端末。
【請求項７】
認証サーバと共にネットワークシステムを構成する移動通信端末に搭載されるコンピュータに、
自端末の物理的な位置情報及び／又はネットワーク上の位置情報の変化を検知する機能と、
認証サーバに対し、変化を検出した自端末の位置情報及び／又はネットワーク上の位置情報を送信する機能と、
自端末の位置情報及び／又はネットワーク上の位置情報に対応した通信経路を指定する通信制御ポリシを認証サーバから受信し、自端末に適用する機能と
を実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、移動通信端末の通信制御方法技術に関する。例えば移動通信端末と認証サーバとで構成されるネットワークシステム、移動通信端末及びその通信制御プログラムに関する。
【背景技術】
【０００２】
近年、スマートフォンやタブレット端末に代表される移動通信端末の普及に伴い、移動通信端末の業務への利用が検討され始めている。例えばフィールドワークを行う社員が、移動通信端末を用い、社外から社内のイントラネットワークに接続し、業務に必要な資料を移動通信端末に保存する利用形態やメールを送受信する利用形態が検討されている。移動通信端末を業務に利用できれば、本来は社内でしか行うことができなかった業務を、フィールドワークの合間等に社外で行うことが可能となり、業務効率を向上させることができると考えられている。
【０００３】
移動通信端末を、社外から社内のイントラネットワークに接続する技術としては、ＶＰＮ（Virtual Private Network）技術が一般的である。例えば非特許文献１に示すＩＰｓｅｃ（IP Security）と呼ばれる通信プロトコルが用いられている。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】馬場達也著、「マスタリングIPsec 第２版」、オライリー・ジャパン、2006年8月23日
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかし、従来のＶＰＮ技術は、社員が、移動通信端末を用いて社内イントラネットワークから業務情報をＶＰＮ経由で保存した後に、ＶＰＮを利用することなく、インターネット等の社外ネットワークに直接接続するような使い方を防ぐことができない。このため、業務情報が、インターネット経由で漏洩するリスクがある。このリスクのため、現在、移動通信端末の業務活用が妨げられている。
【０００６】
業務情報が移動通信端末から漏洩する事態を防止するためには、移動通信端末から送信される通信データを、ＶＰＮ経由で社内イントラネットワークに確実に経由させることを保証する必要がある。例えば、移動通信端末がインターネット上のＷｅｂページ等にアクセスする場合、その通信を社内イントラネットワーク経由にすれば、社内に設置したファイアウォール等によりＷｅｂページに業務情報をアップロードする等の行為を禁止することができ、情報漏洩を防止することができる。つまり、業務に使用する移動通信端末については、社内に設置したＶＰＮ装置等の特定の装置としか通信できないようにできる仕組みが求められる。
【課題を解決するための手段】
【０００７】
前述した通信制御方法の実現のため、本発明者は、移動通信端末と認証サーバを含むネットワークシステムにおいて、以下に示す機能を移動通信端末と認証サーバにそれぞれ搭載することを提案する。
【０００８】
まず、移動通信端末には、（１）自端末の物理的な位置情報及び／又はネットワーク上の位置情報を検知する機能部と、（２）変化の検出時、認証サーバに対し、自端末の位置情報及び／又はネットワーク上の位置情報を送信する機能部と、（３）自端末の位置情報及び／又はネットワーク上の位置情報に対応した通信制御ポリシを認証サーバから受信し、自端末に適用する機能部とを搭載する。
【０００９】
また、認証サーバには、（１）移動通信端末からその位置情報及び／又はネットワーク上の位置情報を受信する機能部と、（２）受信した位置情報及び／又はネットワーク上の位置情報に対応した通信制御ポリシを管理テーブルから検索する機能部と、（３）検索された通信制御ポリシを対応する移動通信端末に送信する機能部とを搭載する。
【発明の効果】
【００１０】
本発明によれば、移動通信端末からの通信は、その物理的な位置又はネットワーク上の位置情報に対して認証サーバが定めた通信制御ポリシに基づいて制御される。例えば通信制御ポリシにおいて、社外での通信を認証サーバ経由に固定することにより、移動通信端末からの業務情報の漏洩を防止することができる。上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。
【図面の簡単な説明】
【００１１】
【図１】実施の形態に係るネットワークシステムの概念図。
【図２】実施の形態に係る移動通信端末の機能構成図。
【図３】実施の形態に係る認証サーバの機能構成図。
【図４】実施の形態に係るポリシデータベースの概念構成図。
【図５】実施の形態に係るポリシデータベースの作成手順を示すフローチャート。
【図６】実施の形態に係る移動通信端末の電源投入時の処理手順を示すフローチャート。
【図７】実施の形態に係る認証サーバにおいて実行されるポリシ情報の選択手順を示すフローチャート。
【図８】実施の形態に係る移動通信端末におけるポリシ情報の再適用手順を示すフローチャート。
【発明を実施するための形態】
【００１２】
以下、図面に基づいて、本発明の実施の形態を説明する。なお、本発明の実施態様は、後述する形態例に限定されるものではなく、その技術思想の範囲において、種々の変形が可能である。また、実施の形態を説明するための全図において、同一の機能を有する部材には同一または関連する符号を付し、その繰り返しの説明は省略する。
【００１３】
［システム構成］
図１に、実施の形態に係るネットワークシステムの概念構成例を示す。同システムは、移動通信端末１０１と、ネットワーク１０２と、認証サーバ１０３と、ＤＮＳサーバ１０４とにより構成される。図に示すように、移動通信端末１０１、認証サーバ１０３及びＤＮＳサーバ１０４は、ネットワーク１０２を介して相互に接続されている。
【００１４】
本実施例では、ネットワーク１０２を詳細には図示しないが、情報の伝達が可能であれば、任意の物理ネットワーク、任意の接続形態を含んで良い。また、ネットワーク１０２は、有線ネットワークと無線ネットワークのどちらか一方又は両方で構成されていても良い。
【００１５】
なお、図１では、説明を簡単にするために、移動通信端末１０１、認証サーバ１０３、ＤＮＳサーバ１０４をそれぞれ１つだけ記載しているが、いずれも１つ以上であれば任意の個数でよい。
【００１６】
以下では、図１に示したネットワークシステムを構成する個々の要素について説明する。
【００１７】
［移動通信端末１０１の構成］
図２に、移動通信端末１０１の機能ブロック構成を示す。移動通信端末１０１は、端末位置情報変化検知部２０２、パケットフィルタリング部２０３、ポリシ取得部２０４、ＶＰＮ接続部２０５、ネットワーク接続部２０６、記憶部２０７から構成されている。記憶部２０７以外の各部は、ハードウェアとして構成されても良いし、ソフトウェア上の機能として実現しても良い。
【００１８】
本実施例の場合、移動通信端末１０１は、例えばスマートフォンやタブレット端末を想定する。もっとも、これらの端末に限るものではなく、ノート型のコンピュータ端末や携帯型の専用端末も含むものとする。なお、移動通信端末１０１には、不図示ではあるが、移動通信端末に一般的な装置が必要に応じて搭載されている。例えばＣＰＵ、メモリ、入力指示装置（タッチパネル）、ＧＰＳ（Global Positioning System）受信装置、Ｗｉ−Ｆｉ（商標）に準拠した無線通信装置などが搭載されている。
【００１９】
ネットワーク接続部２０６は、移動通信端末１０１とネットワーク１０２とを接続する装置であり、例えば無線ＬＡＮ（Local Area Network）装置や３Ｇ（第３世代移動通信システム）無線装置が相当する。
【００２０】
端末位置情報変化検知部２０２は、移動通信端末１０１の位置変化を検知するための処理を実行するデバイス又はプログラムである。本明細書において、この「位置」は、移動通信端末１０１のネットワーク的な位置や物理的な位置、又はこれらの組み合わせを意味するものとする。例えばネットワーク接続部２０６に割り当てられたＩＰアドレスによるネットワーク的な位置、移動通信端末１０１が備えるＧＰＳ装置により検出された移動通信端末１０１の地球における物理的な位置、移動通信端末１０１が接続している無線ＬＡＮのアクセスポイントのＳＳＩＤ（Service Set ID）、ＭＡＣアドレス等の情報に基づいたネットワーク的及び物理的な位置、又はこれらの位置の組み合わせ等が相当する。
【００２１】
なお、以下の説明では、説明を簡単にするために、移動通信端末１０１のネットワーク接続部２０６に割り当てられたＩＰアドレスによるネットワーク的な位置と、ＧＰＳによる物理的な位置を用いて説明する。
【００２２】
端末位置情報変化検知部２０２は、記憶部２０７に格納される端末位置変化閾値情報２０８を参照し、自端末の位置の変化を検知する。すなわち、端末位置情報変化検知部２０２は、ＩＰアドレスによるネットワーク的な位置とＧＰＳによる物理的な位置のそれぞれを端末位置変化閾値情報２０８と比較し、いずれかの位置が端末位置変化閾値情報２０８に記載されている条件を満たさなくなった場合に、位置が変化したと検知する。端末位置変化閾値情報２０８については後述する。
【００２３】
パケットフィルタリング部２０３は、記憶部２０７に格納されるポリシ情報２１１に基づいて、特定のＩＰアドレスを有する装置との通信のみを許可若しくは拒否する等の通信制御を実現するデバイス又はプログラムである。
【００２４】
ポリシ取得部２０４は、認証サーバ１０３のポリシ送受信部３０２（図３）からポリシ情報２１１を取得する処理を実行するデバイス又はプログラムである。
【００２５】
ＶＰＮ接続部２０５は、認証サーバ１０３のＶＰＮ接続部３０５（図３）に接続し、ＶＰＮ通信に必要な処理を実行するデバイス又はプログラムである。
【００２６】
［移動通信端末１０１の記憶部２０７の構成］
記憶部２０７は、本実施例に係る通信制御の実現に必要とされる情報の記憶に使用される。例えば端末位置変化閾値情報２０８、端末識別情報２０９、認証サーバアドレス情報２１０、ポリシ情報２１１が記憶される。なお、記憶部２０７には、不図示の任意の情報が格納されていてもよい。
【００２７】
端末位置変化閾値情報２０８は、端末位置情報変化検知部２０２が移動通信端末１０１（自端末）の位置に変化が発生したか否かを判断するために使用する情報である。端末位置変化閾値情報２０８には、例えば(1) 企業の建屋が含まれる緯度・経度の範囲、(2) 社内ネットワークにおいて移動通信端末１０１のネットワーク接続部２０６に割り当てられるＩＰアドレスの範囲、(3)その両方などが記憶される。
【００２８】
例えば端末位置変化閾値情報２０８に、企業等ユーザが所属する組織の建屋が含まれる緯度・経度の範囲が記憶されている場合、移動通信端末１０１が備えるＧＰＳの観測値が記憶されている所定の緯度・経度の範囲を外れたとき、端末位置情報変化検知部２０２は、移動通信端末１０１（自端末）の社内から社外への移動を検知する。
【００２９】
端末識別情報２０９は、移動通信端末１０１を一意に特定する情報であり、例えば移動通信端末１０１の端末固有番号、ユーザ名とパスワードの組、移動通信端末１０１のネットワーク接続部２０６のＭＡＣアドレス、これら情報の組み合わせ等が相当する。
【００３０】
認証サーバアドレス情報２１０は、認証サーバ１０３のＩＰアドレス又はドメイン名で与えられる。
【００３１】
ポリシ情報２１１の詳細は後述するが、移動通信端末１０１の通信制御に適用される条件が相当する。
【００３２】
［認証サーバ１０３の構成］
図３に、認証サーバ１０３の構成を示す。認証サーバ１０３は、ポリシ送受信部３０２、ポリシ検索部３０３、ポリシ設定部３０４、ＶＰＮ接続部３０５、ネットワーク接続部３０６、記憶部３０７から構成される。
【００３３】
ポリシ送受信部３０２は、移動通信端末１０１のポリシ取得部２０４から接続され、ポリシ取得部２０４にポリシ情報２１１を送信するデバイス又はプログラムである。
【００３４】
ポリシ検索部３０３は、移動通信端末１０１の端末識別情報２０９と端末位置情報変化検知部２０２が検知した端末位置情報とに基づいて、ポリシ情報２１１が複数格納されるポリシデータベース３０８から対応するポリシ情報２１１を検索する処理を実行するデバイス又はプログラムである。
【００３５】
ポリシ設定部３０４は、ユーザインタフェースを通じ、認証サーバ１０３の管理者からポリシ情報２１１の追加・修正・削除といった指示を受け取ると、ポリシデータベース３０８内にポリシ情報２１１を追加・修正・削除する処理を実行するデバイス又はプログラムである。
【００３６】
ＶＰＮ接続部３０５は、移動通信端末１０１のＶＰＮ接続部２０５から接続され、ＶＰＮ通信に必要な処理を実行するデバイス又はプログラムである。
【００３７】
ネットワーク接続部３０６は、移動通信端末１０１等と接続する装置であり、例えばＮＩＣ（ネットワーク・インタフェース・カード）が相当する。
【００３８】
［認証サーバ１０３の記憶部３０７の構成］
記憶部３０７は、ポリシ情報２１１を格納するポリシデータベース３０８から構成される。なお、記憶部３０７には図示していないが、ポリシデータベース３０８以外の任意の情報が格納されていてもよい。
【００３９】
図３においては、認証サーバ１０３内にＶＰＮ接続部３０５を設けているが、必ずしもこの構成に限らない。例えばＶＰＮ接続部３０５を認証サーバ１０３とは別のサーバ内に設け、認証サーバ１０３とＶＰＮサーバの二つに分けてもよい。
【００４０】
［ポリシデータベース３０８の構成］
図４に、ポリシデータベース３０８の構成例を示す。ポリシデータベース３０８は、端末識別情報４０１と、ネットワーク的位置範囲４０２と、物理的位置範囲４０３と、フィルタリングポリシ４０４とで構成されるポリシ情報２１１を複数格納している。図４では、例として３つのポリシ情報４０５〜４０７を示している。
【００４１】
ポリシ情報４０５は、端末識別情報４０１が「１１１１１」の移動通信端末１０１に対するものであり、ネットワーク接続部２０６に割り当てられたＩＰアドレスがネットワーク的位置範囲４０２「１９２．１６８．０．０／２４」に含まれ、かつ、移動通信端末１０１のＧＰＳによる物理的な位置が物理的位置範囲４０３「建屋が含まれる緯度・経度の範囲」に含まれる場合に、フィルタリングポリシ４０４の「全て許可」を適用すること、すなわち端末識別情報４０１が「１１１１１」の移動通信端末１０１からの通信を全て許可することを示している。
【００４２】
ポリシ情報４０５が当てはまる状況としては、例えば社内において、移動通信端末１０１が利用されており、移動通信端末１０１が社内のＷｉ−Ｆｉアクセスポイントに接続している場合が挙げられる。このような状況では、移動通信端末１０１からインターネットへの通信は、社内ネットワーク経由で行われるため、通信を社内ネットワークに設置されたウェブやメール等に関するフィルタリング装置を経由させることができる。
【００４３】
ポリシ情報４０６は、端末識別情報４０１が「１１１１１」の移動通信端末１０１に対するものであり、ネットワーク接続部２０６に割り当てられたＩＰアドレスがネットワーク的位置範囲４０２「１０．０．０．０／８」に含まれ、かつ、移動通信端末１０１のＧＰＳによる物理的な位置が物理的位置範囲４０３「建屋が含まれる緯度・経度の範囲」に含まれる場合に、フィルタリングポリシ４０４の「認証サーバのみ許可」を適用すること、すなわち端末識別情報４０１が「１１１１１」の移動通信端末１０１からの通信は認証サーバとの間でのみ許可することを示している。
【００４４】
ポリシ情報４０６が当てはまる状況としては、例えば社内で移動通信端末１０１を利用しているが、３Ｇ無線通信によりインターネットに直接接続する場合が挙げられる。この場合、移動通信端末１０１からインターネットへの通信は、社内ネットワークを経由しない。すなわち、ウェブやメール等に関するフィルタリングを行うことができない。この状態は、移動通信端末１０１は、物理的には社内に位置するものの、ネットワーク的には社外に位置することに相当する。従って、このような状況では、移動通信端末１０１からの通信を認証サーバ１０３との間でのみに許可し、通信経路を強制的に社内ネットワーク経由に設定するフィルタリングポリシ４０４を適用する。
【００４５】
ポリシ情報４０７は、端末識別情報４０１が「２２２２２」の移動通信端末１０１に対応するものであり、ネットワーク接続部２０６に割り当てられたＩＰアドレスによるネットワーク的な位置及びＧＰＳによる物理的な位置に関わらず、その移動通信端末１０１からの通信は認証サーバとの間でのみ許可することを示している。
【００４６】
ポリシ情報４０７が当てはまる状況としては、セキュリティ強度を最大限高めることを目的として、移動通信端末１０１からの通信を確実に認証サーバ経由にさせたい場合が相当する。
【００４７】
なお、どのポリシ情報にも該当しない場合の扱いは規定しないが、例えば認証サーバ１０３の間でのみ通信を許可とするという動作をさせても良い。
【００４８】
［ＤＮＳサーバ１０４の構成］
ＤＮＳサーバ１０４は、ドメイン名とＩＰアドレスの対応付け等が可能な装置であれば何でもよく、例えば「ＢＩＮＤ」と呼ばれるプログラムを備えた装置が相当する。
【００４９】
［通信制御手順］
次に、前述したネットワークシステムにおいて、移動通信端末１０１の通信を制御するための処理手順を説明する。まず、移動通信端末１０１の通信を制御するための事前設定として、認証サーバ１０３の管理者が、ポリシデータベース３０８を作成する手順について説明する。続いて、移動通信端末１０１が認証サーバ１０３からポリシ情報２１１を取得し、その通信を制御する手順について説明する。最後に、移動通信端末１０１が移動し、位置の変化が検知された場合に、ポリシ情報２１１を再度取得し、通信制御をやり直す手順について説明する。
【００５０】
［ポリシデータベースの作成手順］
図５に、認証サーバ１０３の管理者がポリシデータベース３０８を作成する手順を示す。
【００５１】
認証サーバ１０３の管理者が、認証サーバ１０３と接続する移動通信端末１０１（数は任意）のポリシ情報を作成する（Ｓ５０１）。ポリシ情報の例としては、前述した図４の４０５〜４０７が相当する。
【００５２】
次に、認証サーバ１０３の管理者が、ステップＳ５０１で作成したポリシ情報を、ポリシ設定部３０４に入力し、ポリシデータベース３０８への追加を指示する（Ｓ５０２）。
【００５３】
最後に、ポリシ設定部３０４は、ステップＳ５０２で受取ったポリシ情報を、ポリシデータベース３０８に追加する（Ｓ５０３）。
【００５４】
図５は、ポリシ情報の新規に追加する場合の手順を示しているが、ポリシデータベース３０８内のポリシ情報を削除・修正する場合も同様の手順により行うことができる。
【００５５】
［移動通信端末１０１の電源投入時の処理手順］
図６に、移動通信端末１０１の電源が投入されてシステムが起動された後、ポリシが適用されるまでの手順を説明する。
【００５６】
移動通信端末１０１の電源投入後、まず端末位置情報変化検知部２０２が、移動通信端末１０１のネットワーク接続部２０６からＩＰアドレス及びＤＮＳサーバアドレスを取得する（Ｓ６０１）。ここで、ネットワーク接続部２０６が機能しておらず、ＩＰアドレス及びＤＮＳサーバアドレスの取得に失敗した場合には、任意の時間間隔を経てからステップＳ６０１を繰り返す。
【００５７】
ステップＳ６０１でＩＰアドレス及びＤＮＳサーバアドレスの取得に成功した場合、パケットフィルタリング部２０３が、移動通信端末１０１の通信がＤＮＳサーバアドレスで表わされるＤＮＳサーバ１０４としか通信できないように制御する（Ｓ６０２）。通信制御の方法としては、例えばＬｉｎｕｘにおける「ｉｐｔａｂｌｅｓ」が相当する。
【００５８】
次に、移動通信端末１０１のＶＰＮ接続部２０５が、認証サーバアドレス情報２１２に記載されている認証サーバ１０３のドメイン名に対応するＩＰアドレスを取得するため、ＤＮＳサーバ１０４に問合せ、認証サーバ１０３のＩＰアドレスを取得する（Ｓ６０３）。なお、認証サーバアドレス情報２１０に認証サーバ１０３のドメイン名ではなくＩＰアドレスが記載されていた場合は、ステップＳ６０３の処理は省略する。
【００５９】
次に、移動通信端末１０１のパケットフィルタリング部２０３が、ステップＳ６０３で取得した認証サーバ１０３のＩＰアドレスに基づき、移動通信端末１０１が認証サーバ１０３とのみ通信できるように制御する（Ｓ６０４）。
【００６０】
移動通信端末１０１のポリシ取得部２０４が、認証サーバ１０３に対し、端末識別情報２０９と移動通信端末１０１のＩＰアドレス及びＧＰＳの観測値を送信し、ポリシ情報２１１の取得要求をする（Ｓ６０５）。なお、認証サーバ１０３がポリシ情報２１１を要求された場合の処理手順（図７）は後述する。
【００６１】
この後、移動通信端末１０１のポリシ取得部２０４が、認証サーバ１０３のポリシ送受信部３０２からポリシ情報２１１を受信する（Ｓ６０６）。
【００６２】
次に、移動通信端末１０１のポリシ取得部２０４が、ポリシ情報２１１をパケットフィルタリング部２０３に入力してポリシの適用を指示する（Ｓ６０７）。
【００６３】
移動通信端末１０１のパケットフィルタリング２０３は、受け取ったポリシ情報２１１のフィルタリングポリシ４０４に基づき、通信を制御する（Ｓ６０８）。
【００６４】
［ポリシ選択手順］
図７に、認証サーバ１０３が、移動通信端末１０１からポリシ情報２１１の送信を要求された場合の処理手順を示す。
【００６５】
まず、認証サーバ１０３のポリシ送受信部３０２が、移動通信端末１０１から端末識別情報２０９と、移動通信端末１０１のＩＰアドレスと、ＧＰＳの観測値とを受信する（Ｓ７０１）。
【００６６】
認証サーバ１０３のポリシ送受信部３０２が、ポリシ検索部３０３に対し、端末識別情報２０９と、移動通信端末１０１のＩＰアドレスと、ＧＰＳの観測値とに該当するポリシ情報２１１の検索を指示する（Ｓ７０２）。
【００６７】
次に、認証サーバ１０３のポリシ検索部３０３が、ポリシデータベース３０８から端末識別情報２０９が一致し、さらに、移動通信端末１０１のＩＰアドレスがネットワーク的位置範囲４０２に含まれ、さらに、移動通信端末１０１のＧＰＳの観測値が物理的位置範囲４０３に含まれるポリシ情報２１１を検索する（Ｓ７０３）。
【００６８】
認証サーバ１０３のポリシ検索部３０３が、検索されたポリシ情報２１１をポリシ送受信部３０２に入力する（Ｓ７０４）。
【００６９】
認証サーバ１０３のポリシ送受信部３０２が、ポリシ情報２１１を移動通信端末１０１のポリシ取得部２０４に送信する（Ｓ７０５）。
【００７０】
以上により、移動通信端末１０１には、その位置に応じたポリシ情報２１１が適用される。この結果、移動通信端末１０１からの通信は、フィルタリングポリシ４０４に記載された条件を満たすことが保証される。
【００７１】
例えばフィルタリングポリシ４０４が「認証サーバのみ許可」となっていた場合、移動通信端末１０１は、直接インターネット上の各種サーバ等と通信することはできなくなる。これらのサーバ等に接続するには、移動通信端末１０１のＶＰＮ接続部２０５と認証サーバ１０３のＶＰＮ接続部３０５とがＶＰＮ接続し、認証サーバ１０３を経由する必要がある。ここで、認証サーバ１０３からサーバ等の間にファイアウォール等を置くことで、移動通信端末１０１からの通信を適宜フィルタリングすることが可能となる。
【００７２】
［移動通信端末１０１の位置変化時のポリシ再適用手順］
図８に、移動通信端末１０１のネットワーク的位置や物理的位置が変化した場合に、ポリシを再適用する場合の手順を示す。
【００７３】
移動通信端末１０１の端末位置情報変化検知部２０２が、端末位置変化閾値情報２０８に基づいて位置変化を検知する（Ｓ８０１）。
【００７４】
ステップＳ８０１で変化が検知されなかった場合は、任意の時間間隔を経てからステップＳ８０１を繰り返す。
【００７５】
ステップＳ８０１で変化が検知された場合は、図６のステップＳ６０５〜Ｓ６０８の手順を行う。
【００７６】
図８の手順が想定する状況を以下に示す。移動通信端末１０１が社内のＷｉ−Ｆｉアクセスポイントに接続し、フィルタリングポリシ４０４が「全て許可」だったと仮定する。さらに、移動通信端末１０１からの通信は、社内ネットワークを経由するため、社内ネットワークに設置されたウェブやメールのフィルタリング装置による通信のフィルタリングが行われているものとする。
【００７７】
この条件のもと、移動通信端末１０１の利用者がＷｉ−Ｆｉの利用をやめ、３Ｇ通信を行おうとしたとする。フィルタリングポリシ４０４が「全て許可」のままだと、３Ｇ通信により、インターネット上のサーバとの直接通信が実現されてしまう。これでは、通信をフィルタリングできず、業務情報の漏洩を防止することができない。
【００７８】
従って、このように移動通信端末１０１のネットワーク的位置が変化した場合には、適切なフィルタリングポリシ４０４を適用できるようにする必要がある。そこで、図８の手順を用意し、例えばＷｉ−Ｆｉから３Ｇに切り替わった場合に、移動通信端末１０１がフィルタリングポリシ４０４を再取得し、通信を「全て許可」から「認証サーバのみ許可」に制御し自動再設定する仕組みを導入する。
【００７９】
［効果］
以上説明したように、本実施例に係るネットワークシステムの場合には、移動通信端末１０１からの通信は、その物理的な位置又はＩＰアドレスに対して認証サーバ１０３が定めたポリシ情報２１１に基づいて制御させることができる。例えばポリシ情報２１１において、社外での通信を、社内の認証サーバ１０３経由に固定することができる。また、物理的な位置としては社内からの通信であったとしても、社内ネットワークを経由しない外部ネットワークへのネットワーク的位置の変更を伴う場合には、社外の場合と同様に、認証サーバ１０３経由での通信を強制することができる。これにより、移動通信端末１０１から業務情報が漏洩する事態を効果的に防止することができる。
【００８０】
［他の形態例］
本発明は上述した形態例に限定されるものでなく、様々な変形例が含まれる。例えば、上述した形態例は、本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある形態例の一部を他の形態例の構成に置き換えることが可能であり、また、ある形態例の構成に他の形態例の構成を加えることも可能である。また、各形態例の構成の一部について、他の構成を追加、削除又は置換することも可能である。
【００８１】
また、上述した各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路その他のハードウェアとして実現しても良い。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することにより実現しても良い。すなわち、ソフトウェアとして実現しても良い。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリやハードディスク、SSD（Solid State Drive）等の記憶装置、ICカード、SDカード、DVD等の記憶媒体に格納することができる。
【００８２】
また、制御線や情報線は、説明上必要と考えられるものを示すものであり、製品上必要な全ての制御線や情報線を表すものでない。実際にはほとんど全ての構成が相互に接続されていると考えて良い。
【符号の説明】
【００８３】
１０１…移動通信端末
１０２…ネットワーク
１０３…認証サーバ
１０４…ＤＮＳサーバ
２０２…端末位置情報変化検知部
２０３…パケットフィルタリング部
２０４…ポリシ取得部
２０５…ＶＰＮ接続部
２０６…ネットワーク接続部
２０７…記憶部
２０８…端末位置変化閾値情報
２０９…端末識別情報
２１０…認証サーバアドレス情報
２１１…ポリシ情報
３０２…ポリシ送受信部
３０３…ポリシ検索部
３０４…ポリシ設定部
３０５…ＶＰＮ接続部
３０６…ネットワーク接続部
３０７…記憶部
３０８…ポリシデータベース
４０１…端末識別情報 
４０２…ネットワーク的位置範囲
４０３…物理的位置範囲
４０４…フィルタリングポリシ 
４０５…ポリシ情報の一例
４０６…ポリシ情報の一例
４０７…ポリシ情報の一例
【図１】
0005941632.tif 000002
【図２】
0005941632.tif 000003
【図３】
0005941632.tif 000004
【図４】
0005941632.tif 000005
【図５】
0005941632.tif 000006
【図６】
0005941632.tif 000007
【図７】
0005941632.tif 000008
【図８】
0005941632.tif 000009