(57)【特許請求の範囲】
【請求項１】
ユーザ端末と連動するデータアクセス制御及び暗号化装置で行われるデータアクセス制御及び暗号化方法において、
前記ユーザ端末が接続したアプリケーションからデータベースに対するアクセス要請が受信されることによって、アプリケーションアクセス制御に関する情報に基づいてアプリケーション認証情報を生成する段階と、
あらかじめ設定された暗号化キーに基づいて前記アプリケーション認証情報を暗号化する段階と、
前記あらかじめ設定された暗号化キーに基づいて復号化情報を生成する段階と、
暗号化されたアプリケーション認証情報と前記復号化情報が一致する場合前記アプリケーションの前記データベースに対するアクセスを承認する段階と、
前記アプリケーションの前記データベースに対するアクセスが承認されることによって、前記アプリケーションアクセス制御に関する情報に基づいて前記アプリケーションでアクセス可能なデータのサイズ及びアクセス持続時間のうち少なくとも１つを含むデータアクセス範囲を設定する段階と、
を含むデータアクセス制御及び暗号化方法。
【請求項２】
前記アプリケーション認証情報を生成する段階の前に、
前記アプリケーションアクセス制御に関する情報を事前に得る段階をさらに含むことを特徴とする、請求項１に記載のデータアクセス制御及び暗号化方法。
【請求項３】
前記アプリケーションアクセス制御に関する情報は、
前記アプリケーションに対する識別情報及び前記アプリケーションの前記データベースに対するアクセス情報のうち少なくとも１つを含んでアプリケーション別にあらかじめ設定されることを特徴とする、請求項２に記載のデータアクセス制御及び暗号化方法。
【請求項４】
前記データアクセス制御及び暗号化方法は、
暗号化されたアプリケーション認証情報と前記復号化情報が一致しない場合は、前記アプリケーションの前記データベースに対するアクセスを拒否する段階を更に含むことを特徴とする、請求項１に記載のデータアクセス制御及び暗号化方法。
【請求項５】
前記データアクセス範囲を設定する段階は、
前記アプリケーションのデータベースに対するアクセスが承認されることによって、前記アプリケーションアクセス制御に関する情報に基づいて前記アプリケーションでアクセス可能なデータのサイズ及びアクセス持続時間のうち少なくとも１つを含むデータアクセス範囲を動的に割り当てることを特徴とする、請求項４に記載のデータアクセス制御及び暗号化方法。
【請求項６】
前記データアクセス範囲は、
前記ユーザ端末を運用するユーザが属する組職、社会的位置または業務種類によってあらかじめ設定されたデータベースアクセス可能時間に基づいて設定されることを特徴とする、請求項５に記載のデータアクセス制御及び暗号化方法。
【請求項７】
ユーザ端末と連動するデータアクセス制御及び暗号化装置において、
前記ユーザ端末が接続したアプリケーションからデータベースに対するアクセス要請が受信されることによって、事前に獲得したアプリケーションアクセス制御に関する情報に基づいてアプリケーション認証情報を生成し、前記アプリケーション認証情報をあらかじめ設定された暗号化キーに基づいて暗号化する暗号化モジュールを含む認証情報生成部と、
前記あらかじめ設定された暗号化キーに基づいて復号化情報を生成し、暗号化されたアプリケーション認証情報と前記復号化情報が一致する場合前記アプリケーションの前記データベースに対するアクセスを承認し、前記アプリケーションの前記データベースに対するアクセスが承認されることによって、前記アプリケーションアクセス制御に関する情報に基づいて前記アプリケーションでアクセス可能なデータのサイズ及びアクセス持続時間のうち少なくとも１つを含むデータアクセス範囲を設定するデータアクセス制御部と、
を含むデータアクセス制御及び暗号化装置。
【請求項８】
前記認証情報生成部は、
前記ユーザ端末によって接続され、特定プロセスを行う少なくとも１つのアプリケーションと連動することを特徴とする、請求項７に記載のデータアクセス制御及び暗号化装置。
【請求項９】
前記データアクセス制御部は、
前記少なくとも１つのアプリケーションで特定プロセスを行うのに必要なデータを格納するデータベースを管理するデータベース管理システム（ＤＢＭＳ、Ｄａｔａｂａｓｅ  Ｍａｎａｇｅｍｅｎｔ  Ｓｙｓｔｅｍ）と連動し、アプリケーション別にデータのアクセスを制御することを特徴とする、請求項８に記載のデータアクセス制御及び暗号化装置。
【請求項１０】
前記データアクセス制御部は、
前記少なくとも１つのアプリケーションそれぞれに対する識別情報及び前記少なくとも１つのアプリケーションそれぞれの前記データベースに対するアクセス情報のうち少なくとも１つを含んでアプリケーション別にアプリケーションアクセス制御に関する情報を設定する政策設定モジュールを含むことを特徴とする、請求項９に記載のデータアクセス制御及び暗号化装置。
【請求項１１】
前記認証情報生成部は、
前記政策設定モジュールで設定されたアプリケーションアクセス制御に関する情報を事前に得る政策受信モジュールを含むことを特徴とする、請求項１０に記載のデータアクセス制御及び暗号化装置。
【請求項１２】
前記認証情報生成部は、
前記ユーザ端末が接続したアプリケーションからデータベースに対するアクセス要請が受信されることによって、前記事前に得たアプリケーションアクセス制御に関する情報に基づいてアプリケーション認証情報を生成する情報生成モジュールを含むことを特徴とする、請求項１１に記載のデータアクセス制御及び暗号化装置。
【請求項１３】
前記データアクセス制御部は、
認証実行モジュールを含み、
前記認証実行モジュールは前記復号化情報を生成し、前記アプリケーションの前記データベースに対するアクセスを承認するか否かを決定することを特徴とする、請求項７に記載のデータアクセス制御及び暗号化装置。
【請求項１４】
前記認証実行モジュールは、
暗号化されたアプリケーション認証情報と前記復号化情報が一致しない場合は、前記アプリケーションの前記データベースに対するアクセスを拒否することを特徴とする、請求項１３に記載のデータアクセス制御及び暗号化装置。
【請求項１５】
前記データアクセス制御部は、
前記アプリケーションのデータベースに対するアクセスが承認されることによって、前記アプリケーションアクセス制御に関する情報を利用して前記アプリケーションでアクセス可能なデータのサイズ及びアクセス持続時間のうち少なくとも１つを含むデータアクセス範囲を動的に割り当てるデータアクセス制御モジュールを含むことを特徴とする、請求項１４に記載のデータアクセス制御及び暗号化装置。
【請求項１６】
前記データアクセス範囲は、
前記ユーザ端末を運用するユーザが属する組職、社会的位置または業務種類によってあらかじめ設定されたデータベースアクセス可能時間に基づいて設定されることを特徴とする、請求項１５に記載のデータアクセス制御及び暗号化装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、データベース保護技術に関し、より詳細には、サイバー攻撃によってデータベースに格納されたデータの大量流出を防止するためのデータアクセス制御及び暗号化方法並びにこれを実行する装置に関する。
【背景技術】
【０００２】
最近、スマートホン、タブレットパソコン、ＰＤＡ（Ｐｅｒｓｏｎａｌ  Ｄｉｇｉｔａｌ  Ａｓｓｉｓｔａｎｔ）、コンピュータ、ノートパソコンのようなユーザ端末の性能が発展し、移動通信技術が発達するに伴い、ユーザは、自分が所有したユーザ端末で生成されたデータを他人と共有することができるようになった。
【０００３】
特に、ユーザ端末の普及及び使用が大衆化されるに伴い、多数のユーザ端末で生成される大容量のデータを効率的に管理するために、多数のユーザ端末とネットワークで連結されたデータベース（ｄａｔａｂａｓｅ）が活用される傾向にある。
【０００４】
データベースは、ユーザそれぞれの個人情報のように、セキュリティが必須に維持されなければならない多様なデータが格納され得るので、データベースを保護するための研究が活発に進行されている。
【０００５】
かくして、従来、データベースに対するアクセス権限が付与されたユーザにのみデータベースに格納されたデータのアクセスを許容することによって、データの破損または流出などのセキュリティ事故を誘発する攻撃者のアクセスを遮断するデータ保護技術が一般的に用いられた。
【０００６】
すなわち、ユーザがユーザ端末を利用して特定データに対する照会、検索、修正、削除などを要請すれば、データベースは、ユーザに対する認証を行った後、データベースに対するアクセス権限があるユーザの場合に限って特定データに対するアクセスを承認することによって、データに対するアクセスを制御した。
【０００７】
但し、前述したような従来の技術は、データベースに対するアクセスが承認されれば、データベース内に格納された大容量のデータ全体にアクセスすることができるから、ユーザ端末がデータベースにアクセスするに必要な認証情報が攻撃者によって外部に流出されるかまたはハッキングされれば、データベースに格納された大量のデータ全体が流出され得るという点から、データ保護に脆弱であるという問題がある。また、そのため、深刻なセキュリティ事故が発生することが有る。
【０００８】
特に、最近、データベースを狙ったサイバー攻撃の方法と攻撃回数が増加し、その被害が拡散するにつれて、データの大量流出を防止できる保護技術が要求される傾向にある。
【発明の概要】
【発明が解決しようとする課題】
【０００９】
本発明は、前述のような問題点を解決するためになされたものであって、その目的は、ユーザ端末が接続するアプリケーション別にデータベースに対するアクセスを制御することによって、データベースまたはデータベースに格納されたデータに対する安全性を向上させることができるデータアクセス制御及び暗号化方法を提供することにある。
【００１０】
また、本発明の他の目的は、ユーザ端末が接続するアプリケーション別にアクセス可能なデータの範囲を制限することによって、サイバー攻撃によるデータの流出を最小化できるデータアクセス制御及び暗号化装置を提供することにある。
【課題を解決するための手段】
【００１１】
前記目的を達成するための本発明の一態様によるデータアクセス制御及び暗号化方法は、ユーザ端末と連動するデータアクセス制御及び暗号化装置で実行され、ユーザ端末が接続したアプリケーションからデータベースに対するアクセス要請が受信されることによって、アプリケーションアクセス制御政策に基づいてアプリケーション認証情報を生成する段階と、アプリケーション認証情報を利用してアプリケーションのデータベースに対するアクセス認証を行う段階と、アプリケーションのデータベースに対するアクセスが承認されることによって、アプリケーションアクセス制御政策に基づいてアプリケーションでアクセス可能なデータのサイズ及びアクセス持続時間のうち少なくとも１つを含むデータアクセス範囲を設定する段階とを含む。
【００１２】
ここで、データアクセス制御及び暗号化方法は、アプリケーション認証情報を生成する段階の前に、アプリケーションアクセス制御政策を事前に獲得する段階をさらに含むことができる。
【００１３】
ここで、アプリケーションアクセス制御政策は、アプリケーションに対する識別情報及びアプリケーションのデータベースに対するアクセス情報のうち少なくとも１つを含んでアプリケーション別にあらかじめ設定されてもよい。
【００１４】
ここで、アプリケーション認証情報を生成する段階は、アプリケーション認証情報を、あらかじめ設定された暗号化キーに基づいて生成された暗号化情報と結合して暗号化することができる。
【００１５】
ここで、データベースに対するアクセス認証を行う段階は、アプリケーション認証情報の暗号化に用いられたあらかじめ設定された暗号化キーに基づいて復号化情報を生成し、アプリケーション認証情報に結合された暗号化情報と復号化情報を比較し、一致するか否かを確認することができる。
【００１６】
ここで、データベースに対するアクセス認証を行う段階は、アプリケーション認証情報に結合された暗号化情報と復号化情報が一致する場合、アプリケーションのデータベースに対するアクセスを承認し、アプリケーション認証情報に結合された暗号化情報と復号化情報が一致しない場合、アプリケーションのデータベースに対するアクセスを拒否することができる。
【００１７】
ここで、データアクセス範囲を設定する段階は、アプリケーションのデータベースに対するアクセスが承認されることによって、アプリケーションアクセス制御政策に基づいてアプリケーションでアクセス可能なデータのサイズ及びアクセス持続時間のうち少なくとも１つを含むデータアクセス範囲を動的に割り当てることができる。
【００１８】
ここで、データアクセス範囲は、ユーザ端末を、ユーザが属する組職、社会的位置または業務種類によってあらかじめ設定されたデータベースアクセス可能時間に基づいて設定されてもよい。
【００１９】
また、前記他の目的を達成するための本発明の一態様によるデータアクセス制御及び暗号化装置は、ユーザ端末と連動し、ユーザ端末が接続したアプリケーションからデータベースに対するアクセス要請が受信されることによって、事前に獲得したアプリケーションアクセス制御政策に基づいてアプリケーション認証情報を生成する認証情報生成部と、アプリケーション認証情報に対する認証を行い、アプリケーションのデータベースに対するアクセスが承認されることによって、アプリケーションアクセス制御政策に基づいてアプリケーションでアクセス可能なデータのサイズ及びアクセス持続時間のうち少なくとも１つを含むデータアクセス範囲を設定するデータアクセス制御部とを含む。
【００２０】
ここで、認証情報生成部は、ユーザ端末によって接続され、特定プロセスを行う少なくとも１つのアプリケーションと連動することができる。
【００２１】
ここで、データアクセス制御部は、少なくとも１つのアプリケーションで特定プロセスの実行に必要なデータを格納するデータベースを管理するデータベース管理システム（ＤＢＭＳ、Ｄａｔａｂａｓｅ  Ｍａｎａｇｅｍｅｎｔ  Ｓｙｓｔｅｍ）と連動し、少なくとも１つのアプリケーション別にデータベースのアクセスを制御することができる。
【発明の効果】
【００２２】
前述のような本発明の実施例によるデータアクセス制御及び暗号化方法並びにこれを実行する装置によれば、ユーザ端末が接続するアプリケーション別にデータベースに対するアクセスを制御することによって、データベースまたはデータベースに格納されたデータに対するセキュリティ性を向上させることができる。
また、ユーザ端末が接続するアプリケーション別にアクセス可能なデータの範囲を制限することによって、サイバー攻撃によるデータの流出を最小化することができる。
【図面の簡単な説明】
【００２３】
【図１】図１は、本発明の実施例によるデータアクセス制御及び暗号化方法を説明するフローチャートである。
【図２】図２は、本発明の実施例によるアプリケーションアクセス制御政策に基づいてアプリケーション認証情報が生成されることを説明する例示図である。
【図３】図３は、本発明の実施例によるデータベースに対するアクセス認証を行うことを説明するフローチャートである。
【図４】図４は、本発明の実施例によるアプリケーション別にアクセス可能なデータアクセス範囲が設定されることを説明する例示図である。
【図５】図５は、本発明の実施例によるデータアクセス制御及び暗号化装置を示すブロック図である。
【発明を実施するための形態】
【００２４】
本発明は、多様な変更を行うことができ、さまざまな実施例を有することができるところ、ここに特定の実施例を図面に例示し、詳細に説明する。しかし、これは、本発明を特定の実施形態に限定しようとするものではなく、本発明の思想及び技術範囲に含まれるすべての変更、均等物ないし代替物を含むものと理解しなければならない。各図面の説明において類似の参照符号を類似の構成要素について使用した。
【００２５】
第１、第２、Ａ、Ｂなどの用語は、多様な構成要素を説明するのに使用され得るが、前記構成要素は、前記用語に限定されるわけではない。前記用語は、１つの構成要素を他の構成要素から区別する目的で使用される。例えば、本発明の権利範囲を逸脱することなく、第１構成要素は、第２構成要素として命名することができ、同様に、第２構成要素も第１構成要素として命名することができる。「及び／または」という用語は、複数の、関連され記載された項目の組み合わせまたは複数の、関連され記載された項目のうちいずれかの項目を含む。
【００２６】
任意の構成要素が他の構成要素に「連結されて」いる、または「接続されて」いると言及されたときには、他の構成要素に直接的に連結されている、または接続されていることもできるが、中間に他の構成要素が存在することもできることと理解しなければならない。一方、任意の構成要素が他の構成要素に「直接連結されて」いる、または「直接接続されて」いると言及されたときには、中間に他の構成要素が存在しないものと理解しなければならない。
【００２７】
本出願で使用された用語は、単に特定の実施例を説明するために使用されたものであって、本発明を限定しようとする意図ではない。単数の表現は、文脈上、明白に異なって意味しない限り、複数の表現を含む。本出願で、「含む」または「有する」などの用語は、明細書上に記載された特徴、数字、段階、動作、構成要素、部品またはこれらを組み合わせたものが存在することを指定しようとするものであって、１つまたはそれ以上の他の特徴や数字、段階、動作、構成要素、部品またはこれらを組み合わせたものの存在または付加可能性をあらかじめ排除しないものと理解しなければならない。
【００２８】
別途定義しない限り、技術的や科学的な用語を含んでここで使用されるすべての用語は、本発明の属する技術分野における通常の知識を有する者によって一般的に理解されるものと同一の意味を有している。一般的に使用される辞書に定義されているもののような用語は、関連技術の文脈上有する意味と一致する意味を有するものと解釈されなければならないし、本発明で明白に定義しない限り、理想的や過度に形式的な意味として解釈されない。
【００２９】
本発明の明細書で使用する用語を定義すれば、次の通りである。
ユーザ端末は、ユーザによって運用されるスマートホン、タブレットパソコン及びＰＤＡ（Ｐｅｒｓｏｎａｌ  Ｄｉｇｉｔａｌ  Ａｓｓｉｓｔａｎｔ）などの移動通信端末機、スマートテレビなどのスマート家電機器、コンピュータ、ノートパソコンのような情報処理装置を含むことができるが、これに限定されず、ローカルまたは遠隔に位置するデータにアクセスし、ユーザの動作に相当するサービスを提供することができる多様な機器が含まれてもよい。
【００３０】
ユーザ端末には、情報検索、金融取引、ショッピング、ゲーム、マルチメディア感想、通話、メッセージ送受信などのような特定サービスをユーザに提供する多数のアプリケーション（ａｐｐｌｉｃａｔｉｏｎ）が設置され得る。
【００３１】
アプリケーションには、ユーザ端末の運営体制（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）上で特定プロセスを行うプログラムであって、ユーザ端末に基本的に設置されているプログラムだけでなく、ユーザの必要に応じて選択的にダウンロードして使用することができるモバイル応用プログラムを意味するアプリ（ａｐｐ）が含まれてもよい。
【００３２】
この際、アプリケーションは、プロセスの実行に必要なデータにアクセスするためにデータが格納されているデータベースがアクセスする。
【００３３】
ここで、データベース（ｄａｔａｂａｓｅ）は、ユーザ端末の内部に搭載された格納装置だけでなく、多数のユーザ端末とネットワークで連結されたクラウド格納所、サーバーなど外部の格納装置に格納され、多数のユーザによって共有される目的で管理されるデータの集合を意味する。
【００３４】
一般的に、データベースは、多数のデータを保護するために暗号化されている。それで、アクセスが許容された多数のユーザによってデータが効率的に利用され得るようにデータベース管理システム（ＤＢＭＳ、Ｄａｔａｂａｓｅ  Ｍａｎａｇｅｍｅｎｔ  Ｓｙｓｔｅｍ）を通じてデータに対するアクセスを管理することができる。
【００３５】
この際、多数のアプリケーションが設置されている少なくとも１つのユーザ端末とデータベースは、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ  Ｓｅｒｉａｌ  Ｂｕｓ）、ブルートゥース（Ｂｌｕｅｔｏｏｔｈ：登録商標）、Ｗｉ−Ｆｉ（Ｗｉｒｅｌｅｓｓ  Ｆｉｄｅｌｉｔｙ：登録商標）、３Ｇ（３  Ｇｅｎｅｒａｔｉｏｎ）、ＬＴＥ（Ｌｏｎｇ  Ｔｅｒｍ  Ｅｖｏｌｕｔｉｏｎ）のような有無線ネットワークで連結され、データを共有することができる。
【００３６】
以下、本発明による好ましい実施例を添付の図面を参照して詳細に説明する。
図１は、本発明の実施例によるデータアクセス制御及び暗号化方法を説明するフローチャートであり、図２は、本発明の実施例によるアプリケーションアクセス制御政策に基づいてアプリケーション認証情報が生成されることを説明する例示図である。
【００３７】
また、図３は、本発明の実施例によるデータベースに対するアクセス認証を行うことを説明するフローチャートであり、図４は、本発明の実施例によるアプリケーション別に、アクセス可能なデータアクセス範囲が設定されることを説明する例示図である。
【００３８】
図１を参照すれば、データアクセス制御及び暗号化方法は、データアクセス制御及び暗号化装置によって行うことができる。
【００３９】
ここで、データアクセス制御及び暗号化装置は、特定プロセスを行う少なくとも１つのアプリケーションと特定プロセスを行うのに必要なデータを格納するデータベースが搭載された少なくとも１つのユーザ端末によって実現され得る。
【００４０】
また、少なくとも１つのアプリケーションが設置されたユーザ端末と多数のユーザ端末が有無線ネットワークで連結されたデータベースとの間に実現され、ユーザ端末及びデータベースそれぞれと連動することができるが、これに限定されるものではない。
【００４１】
一般的に、ユーザは、ユーザ端末に設置されたアプリケーションに接続し、データベースにアクセスする。かくして、従来、データベースに対するアクセス権限が付与されたユーザ端末にのみデータベースのアクセスを許容し、データの破損または流出などのセキュリティ事故を誘発する攻撃者のアクセスを遮断することによって、データベースに格納されたデータを保護しようとしてきた。
【００４２】
但し、このような従来の技術は、データベースへのアクセスの承認を受けるために用いられる認証情報が外部に流出される場合、データベースに格納されたデータ全体が外部に流出され得るという点から、データ保護に脆弱である。
【００４３】
したがって、本発明は、ユーザ端末が接続するアプリケーション別に、アクセス可能なデータの範囲を設定することによって、データベース及びデータに対するセキュリティ性を向上させると同時に、サイバー攻撃によるデータの大量流出を防止することができるデータアクセス制御及び暗号化方法を提案する。
【００４４】
本発明によるデータアクセス制御及び暗号化方法は、アプリケーション認証情報を生成する段階（Ｓ２００）と、アプリケーション認証情報を利用して、アプリケーションのデータベースに対するアクセス認証を行う段階（Ｓ３００）と、アプリケーションでアクセス可能なデータアクセス範囲を設定する段階（Ｓ４００）とを含む。
【００４５】
アプリケーション認証情報を生成するために、事前にアプリケーションアクセス制御政策を獲得することができる（Ｓ１００）。
【００４６】
アプリケーションアクセス制御政策は、アプリケーションに対する識別情報及びアプリケーションの、データベースに対するアクセス情報のうち少なくとも１つを含んでアプリケーション別にあらかじめ設定されてもよい。
【００４７】
より具体的に、アプリケーションアクセス制御政策は、図２のａに示すように、アプリケーションに対する識別情報２１とアプリケーションのデータベースに対するアクセス情報２３がマッピングされることによって設定することができる。
【００４８】
ここで、アプリケーションに対する識別情報は、アプリケーションの種類及び特性によってあらかじめ付与された分類体系、分類コードまたは固有識別情報が含まれてもよいが、これに限定されるものではない。
【００４９】
また、アプリケーションのデータベースに対するアクセス情報は、アプリケーションの種類及び特性別にアクセスできるデータのサイズに対する情報またはデータベースへの接続を維持できる時間情報が含むが、これに限定されるものではない。
【００５０】
例えば、グループ作業を支援するアプリケーションに対するアクセス制御政策は、アプリケーションの種類及び特性によってあらかじめ付与された識別情報である「Ｇｒｏｕｐｗａｒｅ」と、グループ作業を支援するアプリケーションでアクセスできるデータのサイズ‘２５６ＭＢ’及びデータベースへの接続を維持できる時間‘４０ｍｉｎ’をマッピングすることによって、あらかじめ設定することができる。
【００５１】
これと同様の方式として、メッセージを伝送するアプリケーションに対するアクセス制御政策は、アプリケーションに対する識別情報「ＭｅｓｓａｇｅＳｅｎｄ」と、メッセージを伝送するアプリケーションでアクセスできるデータのサイズ‘８４ＭＢ’及びデータベースへの接続を維持できる時間‘２ｍｉｎ’をマッピングすることによって、あらかじめ設定することができる。
【００５２】
アプリケーションアクセス制御政策が獲得された後、ユーザ端末が接続したアプリケーションからデータベースに対するアクセス要請が受信されれば、アプリケーションアクセス制御政策に基づいてアプリケーション認証情報を生成することができる（Ｓ２００）。
【００５３】
例えば、図２のｂに示すように、アプリケーション認証情報２５は、事前に獲得したアプリケーションアクセス制御政策に基づいてユーザ端末に対する識別情報またはユーザ端末がデータベースに接続を試みた接続時間などが含まれて生成され得る。
【００５４】
もし、ユーザ端末がグループ作業を支援するアプリケーションに接続した場合、アプリケーション認証情報２５は、アプリケーションアクセス制御政策によってあらかじめ設定されたアプリケーションに対する識別情報「Ｇｒｏｕｐｗａｒｅ」に、アプリケーションに接続したユーザ端末を識別するＩＰアドレスである‘２０１．１１３．３９．２２４’、ユーザ端末がアプリケーションを通じてデータベースに接続を試みた接続時間の‘２０１４０２０１０３０９０９’を含んで‘ｇｒｏｕｐｗａｒｅ＿２０１．１１３．３９．２２４＿２０１４０２０１０３０９０９’のような形式で生成され得る。
【００５５】
このような方式で、ユーザ端末が他のユーザ端末にメッセージを伝送するアプリケーションに接続した場合、アプリケーション認証情報２５は、アプリケーションアクセス制御政策によってあらかじめ設定されたアプリケーションに対する識別情報「ＭｅｓｓａｇｅＳｅｎｄ」、アプリケーションに接続したユーザ端末の識別情報「Ｕｓｅｒ１」及びメッセージが伝送されるユーザ端末の識別情報「Ｕｓｅｒ４」、ユーザ端末がアプリケーションを通じてデータベースへの接続を試みた接続時間の‘２０１４０６３０１７０８３４’を含んで‘ＭｅｓｓａｇｅＳｅｎｄ＿Ｕｓｅｒ１＿Ｕｓｅｒ４＿２０１４０６３０１７０８３４’のように生成され得る。
【００５６】
ここで、生成されたアプリケーション認証情報は、あらかじめ設定された暗号化キーに基づいて生成された暗号化情報と結合して暗号化することができる。
【００５７】
より具体的に、ユーザがアプリケーションによって、要請するクエリーのヘッドにアプリケーション認証情報とあらかじめ設定された暗号化キーとに基づいて生成された暗号化情報を結合してクエリーを修正することによって、アプリケーション認証情報を暗号化することができる。
【００５８】
この際、あらかじめ設定された暗号化キーは、ＡＥＳ（Ａｄｖａｎｃｅｄ  Ｅｎｃｒｙｐｔｉｏｎ  Ｓｔａｎｄａｒｄ）、ＲＳＡ（Ｒｉｖｅｓｔ  Ｓｈａｍｉｒ  Ａｄｌｅｍａｎ）のような標準暗号化アルゴリズムで利用する暗号化キーまたはデータアクセス制御及び暗号化装置で任意に生成した値を意味するが、これに限定されるものではない。また、暗号化情報は、アプリケーション認証情報を暗号化キーとＫｅｙｅｄ  Ｈａｓｈアルゴリズムにより特定の規則を有する意味のない文字の配列で生成したｋｅｙｅｄ  Ｈａｓｈ値を意味するが、これに限定されるものではない。
【００５９】
暗号化されたアプリケーション認証情報を利用してアプリケーションのデータベースに対するアクセス認証を行うことができる（Ｓ３００）。
【００６０】
この際、データベースは、暗号化されているので、暗号化されたデータベースに対するアプリケーションのアクセスを制御するためには、暗号化されたアプリケーション認証情報を利用してアクセス認証を行う必要がある。
【００６１】
このようにして、図３に示すように、暗号化されたアプリケーション認証情報が受信されれば（Ｓ３１０）、アプリケーション認証情報の暗号化に使用された暗号化キーを利用して復号化情報を生成することができる（Ｓ３２０）。
【００６２】
すなわち復号化情報は、暗号化されて受信されたアプリケーション認証情報でアプリケーション認証情報を暗号化するために使用された暗号化キーを抽出した後、抽出された暗号化キーとＫｅｙｅｄ  Ｈａｓｈアルゴリズムを利用して生成されたｋｅｙｅｄ  Ｈａｓｈ値とすることができる。
【００６３】
このようにして、暗号化されたアプリケーション認証情報に結合された暗号化情報と復号化情報を比較し（Ｓ３３０）、暗号化情報と復号化情報が一致するか否かを確認することによって、アプリケーションのデータベースに対するアクセスの承認及び拒否を決定することができる（Ｓ３４０）。
【００６４】
もし、暗号化情報と復号化情報が一致する場合は、アプリケーションのデータベースに対するアクセスを承認し（Ｓ３４１）、暗号化情報と復号化情報が一致しない場合は、アプリケーション認証情報に対する操作または流出などの無欠性破損が疑われるので、アプリケーションのデータベースに対するアクセスを拒否することができる（Ｓ３４３）。
【００６５】
アプリケーションのデータベースに対するアクセスが承認されることによって、アプリケーションでアクセス可能なデータアクセス範囲を設定することができる（Ｓ４００）。
【００６６】
仮に、図４に示すように、データベースに対するアクセスが承認された‘アプリケーション＿１’で２次元配列の形態で整列されたデータ‘Ｄａｂ’にアクセスし、データベースに対するアクセスが承認された‘アプリケーション＿２’で２次元配列の形態で整列されたデータ‘Ｄｃｄ’にアクセスすれば、あらかじめ設定されたアプリケーションアクセス制御政策に基づいて‘アプリケーション＿１’でアクセス可能なデータアクセス範囲Ａとアプリケーション＿２’でアクセス可能なデータアクセス範囲Ｂがそれぞれ動的に割り当てられる。
【００６７】
例えば、ユーザ端末が接続した‘アプリケーション＿１’がグループ作業を支援するアプリケーションの場合、‘アプリケーション＿１’でアクセスしようとする‘Ｄａｂ’を基準として図２ａのようにあらかじめ設定されたアプリケーションアクセス制御政策によって２５６ＭＢサイズのデータに４０分間接続を維持できるデータアクセス範囲Ａを設定することができる。
【００６８】
また、ユーザ端末が接続した‘アプリケーション＿２’がメッセージを送受信するアプリケーションである場合、‘アプリケーション＿２’でアクセスしようとする‘Ｄｃｄ’を基準として、図２のａに示すように、あらかじめ設定されたアプリケーションアクセス制御政策によって８４ＭＢサイズのデータに２分間接続を維持できるデータアクセス範囲Ｂを設定することができる。
【００６９】
これにより、‘アプリケーション＿１’は、データアクセス範囲Ａ以外のデータにはアクセス不能であり、‘アプリケーション＿２’は、データアクセス範囲Ｂ以外のデータにアクセス不能である。
【００７０】
【数１】
0005980301.tif 000002
【００７１】
数式１を参照すると、データベースのデータ流出率を算出することができ、これにより、従来の技術と本発明で提示するデータアクセス制御及び暗号化方法それぞれでサイバー攻撃によるデータ流出率を比較することができる。
【００７２】
例えば、データベースに格納された全体データ量を１０２４ＭＢであると仮定したとき、従来、データベースが攻撃されると、データベースに格納されたデータ１０２４ＭＢ全体が外部に流出されるという点から、１００％のデータ流出率が算出できる。
【００７３】
これに対し、本発明で提示するデータアクセス制御及び暗号化方法によれば、データアクセス範囲Ａが設定された‘アプリケーション＿１’は、データベースの全体データのうちただ２５６ＭＢだけがアクセス可能であるので、２５％のデータ流出率が算出できる。
【００７４】
このように本発明で提示したデータアクセス制御及び暗号化方法は、ユーザ端末が接続するアプリケーション別にアクセス可能なデータのサイズ及び接続持続時間を含むデータアクセス範囲を制限することによって、サイバー攻撃によるデータの流出を最小化できることが確認できる。
【００７５】
図５は、本発明の実施例によるデータアクセス制御及び暗号化装置を示すブロック図である。
【００７６】
図５を参照すれば、データアクセス制御及び暗号化装置１００は、ユーザ端末と連動することができ、認証情報生成部１１０及びデータアクセス制御部１２０を含むことができる。
【００７７】
認証情報生成部１１０は、ユーザ端末が接続したアプリケーションからデータベースに対するアクセス要請が受信されることによって、事前に得たアプリケーションアクセス制御政策に基づいてアプリケーション認証情報を生成することができる。
【００７８】
この際、認証情報生成部１１０は、ユーザ端末によって接続され、特定プロセスを行う少なくとも１つのアプリケーションと連動することができる。少なくとも１つのアプリケーションは、ユーザ端末に設置することができる。
【００７９】
認証情報生成部１１０は、政策受信モジュール１１１、情報生成モジュール１１３及び情報暗号化モジュール１１５を含んでもよい。
【００８０】
政策受信モジュール１１１は、後述するデータアクセス制御部１２０の政策設定モジュール１２１であらかじめ設定されたアプリケーションアクセス制御政策を事前に得ることができる。
【００８１】
情報生成モジュール１１３は、ユーザ端末が接続したアプリケーションからデータベースに対するアクセス要請が受信されることによって、アプリケーションアクセス制御政策に基づいてアプリケーション認証情報を生成することができる。
【００８２】
例えば、アプリケーション認証情報は、事前に獲得したアプリケーションアクセス制御政策に基づいてユーザ端末に対する識別情報とユーザ端末がデータベースへの接続を試みた接続時間などを含んで生成することができる。
【００８３】
この際、ユーザ端末が接続したアプリケーションからデータベースに対するアクセス要請が受信されれば、生成されたアプリケーション認証情報をログ（ｌｏｇ）情報で記録することによって、アプリケーションのデータベースアクセス要請履歴として管理することができる。
【００８４】
情報暗号化モジュール１１５は、アプリケーション認証情報をあらかじめ設定された暗号化キーに基づいて生成された暗号化情報と結合して暗号化することができる。
【００８５】
より具体的に、例えば、ユーザがアプリケーションを通じて要請するクエリーのヘッドにアプリケーション認証情報とあらかじめ設定された暗号化キーに基づいて生成された暗号化情報を結合してクエリーを修正することによって、アプリケーション認証情報を暗号化することができる。
【００８６】
この際、あらかじめ設定された暗号化キーは、ＡＥＳ（Ａｄｖａｎｃｅｄ  Ｅｎｃｒｙｐｔｉｏｎ  Ｓｔａｎｄａｒｄ）、ＲＳＡ（Ｒｉｖｅｓｔ  Ｓｈａｍｉｒ  Ａｄｌｅｍａｎ）のような標準暗号化アルゴリズムを利用する暗号化キーまたはデータアクセス制御及び暗号化装置で任意に生成した値を指すが、これに限定されるものではない。
【００８７】
また、暗号化情報は、アプリケーション認証情報を、暗号化キーとＫｅｙｅｄ  Ｈａｓｈアルゴリズムにより、特定の規則を有する意味のない文字の配列で生成したｋｅｙｅｄ  Ｈａｓｈ値を指すが、これに限定されるものではない。
【００８８】
このようにして、暗号化されたアプリケーション認証情報をデータアクセス制御部１２０に伝送することができる。
【００８９】
データアクセス制御部１２０は、アプリケーション認証情報に対する認証を行い、アプリケーションのデータベースに対するアクセスが承認されることによって、アプリケーションアクセス制御政策に基づいてアプリケーション別にアクセス可能なデータのサイズ及びアクセス持続時間のうち少なくとも１つを含むデータアクセス範囲を設定することができる。
【００９０】
この際、データアクセス制御部１２０は、多数のデータが格納されているデータベースを保護するためにデータベースの暗号化及び復号化作業を行うことができる。
【００９１】
特に、データアクセス制御部１２０は、少なくとも１つのアプリケーションで特定プロセスを行うのに必要なデータを格納するデータベースを管理するデータベース管理システムと連動し、アプリケーションのデータベースに対するアクセス認証の成功可否、ユーザ端末がアプリケーションを通じて要請したデータまたはアプリケーションがデータベースに接続を維持する時間などの情報をログ情報として記録し、アプリケーション別にデータベースに対するアクセスを管理することができる。
【００９２】
データアクセス制御部１２０は、政策設定モジュール１２１、認証実行モジュール１２３及びデータアクセス制御モジュール１２５を含んでもよい。
【００９３】
政策設定モジュール１２１は、アプリケーションに対する識別情報及びアプリケーションのデータベースに対するアクセス情報のうち少なくとも１つを含んでアプリケーションアクセス制御政策を設定することができる。
【００９４】
ここで、アプリケーションに対する識別情報は、アプリケーションの種類及び特性によってあらかじめ付与された分類体系、分類コードまたは固有識別情報が含まれるが、これに限定されるものではない。
【００９５】
また、アプリケーションのデータベースに対するアクセス情報は、アプリケーションの種類及び特性によってアクセスできるデータのサイズに対する情報またはデータベースに接続を維持できる時間情報が含まれるが、これに限定されるものではない。
【００９６】
認証実行モジュール１２３は、認証情報生成部１１０の情報暗号化モジュール１１５で暗号化されたアプリケーション認証情報が受信されることによって、データベースに対するアクセス認証を行うことができる。
【００９７】
より具体的には、データベースは暗号化されているので、暗号化されたデータベースに対するアプリケーションのアクセスを制御するためには、暗号化されたアプリケーション認証情報を利用してアクセス認証を行うことができる。
【００９８】
アプリケーションのデータベースに対するアクセス認証を行うために、アプリケーション認証情報の暗号化に使用された暗号化キーを利用して復号化情報を生成することができる。この際、復号化情報は、暗号化されて受信されたアプリケーション認証情報からアプリケーション認証情報を暗号化するために使用された暗号化キーを抽出した後、抽出された暗号化キーとＫｅｙｅｄ  Ｈａｓｈアルゴリズムを利用して生成されたｋｅｙｅｄ  Ｈａｓｈ値とすることができる。
【００９９】
このようにして、暗号化されたアプリケーション認証情報に結合された暗号化情報と復号化情報を比較し、暗号化情報と復号化情報が一致するか否かを確認し、暗号化情報と復号化情報が一致する場合は、アプリケーションのデータベースに対するアクセスを承認し、暗号化情報と復号化情報が一致しない場合は、アプリケーション認証情報に対する操作または流出などの無欠性破損が疑われるので、アプリケーションのデータベースに対するアクセスを拒否することができる。
【０１００】
データアクセス制御モジュール１２５は、アプリケーションのデータベースに対するアクセスが承認されることによって、アプリケーションでアクセス可能なデータアクセス範囲を設定することができる。
【０１０１】
より具体的に、データアクセス範囲は、アプリケーションアクセス制御政策に基づいてアプリケーションでアクセス可能なデータサイズ及びアクセス持続時間のうち少なくとも１つを含むデータアクセス範囲を動的に割り当てることができる。
【０１０２】
例えば、データアクセス範囲は、ユーザ端末を運用するユーザが属する組職、社会的位置または業務種類によってあらかじめ設定されたデータベースアクセス可能時間に基づいてアプリケーション別にアクセス可能なデータのサイズ及びアクセス持続時間などの設定が相違することもあるが、これに限定されるものではない。
【０１０３】
ここでは、認証情報生成部１１０及びデータアクセス制御部１２０がデータアクセス制御及び暗号化装置１００に含まれるものとして説明したが、これに限定されず、認証情報生成部１１０は、アプリケーションが設置されるユーザ端末に実現され、データアクセス制御部１２０は、多数のユーザ端末と連動するデータベースに独立的に実現され、データベースのデータに対する大量流出を防止することができる。
【０１０４】
上記では、本発明の好ましい実施例を参照して説明したが、当該技術分野における熟練された当業者であれば、下記の特許請求の範囲に記載した本発明の思想及び領域を逸脱しない範囲内で本発明を多様に修正及び変更できることを理解するべきである。
【符号の説明】
【０１０５】
２１    アプリケーションに対する識別情報
２３    データベースに対するアクセス情報
２５    アプリケーション認証情報
１００  データアクセス制御及び暗号化装置
１１０  認証情報生成部
１１１  政策受信モジュール
１１３  情報生成モジュール
１１５  情報暗号化モジュール
１２０  データアクセス制御部
１２１  政策設定モジュール
１２３  認証実行モジュール
１２５  データアクセス制御モジュール
【図１】
0005980301.tif 000003
【図２】
0005980301.tif 000004
【図３】
0005980301.tif 000005
【図４】
0005980301.tif 000006
【図５】
0005980301.tif 000007