(57)【要約】【課題】  組織内のクライアントマシンに対して、ネットワークへのアクセス、クライアントマシン上のファイルへのアクセス、ファイル持ち出し制御等を含むセキュリティポリシーを配布・更新するシステムを提供する。【解決手段】  クライアントに対してセキュリティポリシーを配布するシステムであって、クライアントのセキュリティレベルに応じた１以上のセキュリティポリシーを保持しており、各クライアントに対していずれのセキュリティポリシーを適用するかを設定する手段と、各クライアントに対してセキュリティポリシーを送信する手段とを備えたサーバと、前記サーバからセキュリティポリシーを受信し、自機に設定されたセキュリティポリシーを適用するクライアントとを含むセキュリティポリシー配布システム。【選択図】  図１
2006243791.tif 000002
【特許請求の範囲】
【請求項１】
クライアントに対してセキュリティポリシーを配布するシステムであって、
クライアントのセキュリティレベルに応じた１以上のセキュリティポリシーを保持しており、
各クライアントに対していずれのセキュリティポリシーを適用するかを設定する手段と、
各クライアントに対してセキュリティポリシーを送信する手段とを備えたサーバと、
前記サーバからセキュリティポリシーを受信し、自機に設定されたセキュリティポリシーを適用するクライアントとを含むセキュリティポリシー配布システム。
【請求項２】
各セキュリティポリシーには一意のポリシーIDが付されており、
前記サーバは、各クライアントに対して適用すべきセキュリティポリシーのポリシーIDを通知することを特徴とする請求項１に記載のセキュリティポリシー配布システム。
【請求項３】
前記サーバは、クライアントに対してセキュリティポリシーをブロードキャストし、
前記クライアントは、ブロードキャストされたセキュリティポリシーの中から自機に設定されたセキュリティポリシーを選択受信して適用することを特徴とする請求項１又は２に記載のセキュリティポリシー配布システム。
【請求項４】
前記サーバは、各クライアントに対していずれのセキュリティポリシーを適用するかを設定する際に、各クライアントに設定されるセキュリティポリシーに対応する鍵を各クライアントに対して通知し、さらに、各クライアントに対してセキュリティポリシーを送信する際に、各セキュリティポリシーをそれぞれ対応する鍵で暗号化して送信し、
前記クライアントは、前記サーバから受信したセキュリティポリシーを通知されている鍵で復号することを特徴とする請求項１又は２に記載のセキュリティポリシー配布システム。
【請求項５】
前記クライアントは、前記サーバから受信したセキュリティポリシーを自機に適用した後、前記サーバに対して、セキュリティポリシーを適用したことを通知することを特徴とする請求項１又は２に記載のセキュリティポリシー配布システム。
【請求項６】
前記セキュリティポリシーは、クライアント上のファイルに対する行為であって、外部記録媒体への持ち出し、プリント出力、メール添付、他フォルダ及び他ドライブへの持ち出し、ファイルアクセスのうち少なくとも１つの行為の制限を規定するものであることを特徴とする請求項１又は２に記載のセキュリティポリシー配布システム。
【請求項７】
クライアントのセキュリティレベルに応じた１以上のセキュリティポリシーをクライアントに対して配布する方法であって、
各クライアントに対していずれのセキュリティポリシーを適用するかを設定する設定ステップと、
各クライアントに対してセキュリティポリシーを送信する送信ステップと、
各クライアントにおいて、前記送信されたセキュリティポリシーを受信し、自機に設定されたセキュリティポリシーを適用するステップとを含むセキュリティポリシー配布方法。
【請求項８】
各セキュリティポリシーには一意のポリシーIDが付されており、
前記設定ステップでは、各クライアントに対して適用すべきセキュリティポリシーのポリシーIDを通知することを特徴とする請求項７に記載のセキュリティポリシー配布方法。
【請求項９】
前記送信ステップでは、クライアントに対してセキュリティポリシーをブロードキャストし、
各クライアントにおいて、ブロードキャストされたセキュリティポリシーの中から自機に設定されたセキュリティポリシーを選択受信して適用することを特徴とする請求項７又は８に記載のセキュリティポリシー配布方法。
【請求項１０】
前記設定ステップでは、各クライアントに設定されるセキュリティポリシーに対応する鍵を各クライアントに対して通知し、
前記送信ステップでは、各セキュリティポリシーをそれぞれ対応する鍵で暗号化して送信し、
各クライアントにおいて、受信したセキュリティポリシーを通知されている鍵で復号することを特徴とする請求項７又は８に記載のセキュリティポリシー配布方法。
【請求項１１】
各クライアントにおいて、受信したセキュリティポリシーを自機に適用した後、セキュリティポリシーを適用したことを配布元に通知することを特徴とする請求項７又は８に記載のセキュリティポリシー配布方法。
【請求項１２】
前記セキュリティポリシーは、クライアント上のファイルに対する行為であって、外部記録媒体への持ち出し、プリント出力、メール添付、他フォルダ及び他ドライブへの持ち出し、ファイルアクセスのうち少なくとも１つの行為の制限を規定するものであることを特徴とする請求項７又は８に記載のセキュリティポリシー配布方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、組織内のクライアントマシンに対してセキュリティポリシーを配布・更新するシステムに関し、特に、組織内のクライアントマシンからの情報漏洩防止管理を徹底するためのセキュリティポリシー配布システムに関するものである。
【背景技術】
【０００２】
ＬＡＮなどによりネットワーク接続された組織内のクライアントマシンを不正アクセスから防衛したり、ソフトウェアの更新などの機器構成管理を行ったりするために、管理サーバから各クライアントマシンに対してセキュリティポリシーを配布する技術が研究され、実用化されている。
【０００３】
特許文献１には、パーソナルコンピュータに組み込まれたパーソナルファイアウォールに設定されるセキュリティポリシー（本文献では、通信を許可または拒否するアプリケーション、プロトコル、ホスト、およびネットワークなどの設定情報をいうが、本発明における「セキュリティポリシー」とは必ずしも内容が一致するものではない）を、セキュリティ管理者等が一元的に設定、管理するシステムが記載されている。
【０００４】
特許文献２には、組織内の情報機器が予め設定された情報に基づいて管理サーバに接続し、情報機器と管理サーバとが相互認証し、管理サーバが情報機器に対して情報機器自身の管理に関する機器管理情報を配布するシステムが記載されている。
【特許文献１】特開２００４−６２４１６号公報。
【特許文献２】特開２００４−１３５１９５号公報。
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、上記特許文献１に記載の技術によれば、セキュリティポリシーの設定・配布により、パーソナルコンピュータに保存されたデータがネットワークを介して盗難、破壊、あるいは改竄されることを防止することはできるが、データがFDやMOなどのリムーバブルディスクに不正に持ち出されたり印刷されたりすることに関しては、管理をすることができない。
【０００６】
また、上記特許文献２に記載の技術は、機器管理情報を組織内情報機器側から管理サーバに対して要求し取得する技術であるが、管理サーバから情報機器へのアクションで、情報機器管理情報を配布することはできない。例えば、更新した機器管理情報を早急に情報機器へ通知する必要がある場合であっても、組織内情報機器からの管理サーバへの接続を待ってからの配布となってしまう。
【０００７】
本発明は、このような実情に鑑みてなされたものであり、組織内のクライアントマシンに対して、ネットワーク上のファイルへのアクセス、クライアントマシン上のファイルへのアクセス、ファイル持ち出し制御等を含むセキュリティポリシーを配布・更新することにより、組織内のクライアントマシンからの情報漏洩防止管理を徹底することができるシステムを提供しようとするものである。
【課題を解決するための手段】
【０００８】
本発明者は、以下のような特徴を有するセキュリティポリシーの配布システム及び配布方法により、上記課題に対する解決手段を提供する。
【０００９】
本発明は、クライアントに対してセキュリティポリシーを配布するシステムであって、クライアントのセキュリティレベルに応じた１以上のセキュリティポリシーを保持しており、各クライアントに対していずれのセキュリティポリシーを適用するかを設定する手段と、各クライアントに対してセキュリティポリシーを送信する手段とを備えたサーバと、前記サーバからセキュリティポリシーを受信し、自機に設定されたセキュリティポリシーを適用するクライアントとを含むセキュリティポリシー配布システムを提供するものである。
【００１０】
本発明のセキュリティポリシー配布システムにおいて、各セキュリティポリシーには一意のポリシーIDが付されており、前記サーバは、各クライアントに対して適用すべきセキュリティポリシーのポリシーIDを通知することを特徴とする。
【００１１】
本発明のセキュリティポリシー配布システムにおいて、前記サーバは、クライアントに対してセキュリティポリシーをブロードキャストし、前記クライアントは、ブロードキャストされたセキュリティポリシーの中から自機に設定されたセキュリティポリシーを選択受信して適用することを特徴とする。
【００１２】
本発明のセキュリティポリシー配布システムにおいて、前記サーバは、各クライアントに対していずれのセキュリティポリシーを適用するかを設定する際に、各クライアントに設定されるセキュリティポリシーに対応する鍵（暗号鍵、復号鍵の双方を含む。以下同じ）を各クライアントに対して通知し、さらに、各クライアントに対してセキュリティポリシーを送信する際に、各セキュリティポリシーをそれぞれ対応する鍵で暗号化して送信し、前記クライアントは、前記サーバから受信したセキュリティポリシーを通知されている鍵で復号することを特徴とする。
【００１３】
本発明のセキュリティポリシー配布システムにおいて、前記クライアントは、前記サーバから受信したセキュリティポリシーを自機に適用した後、前記サーバに対して、セキュリティポリシーを適用したことを通知することを特徴とする。
【００１４】
本発明のセキュリティポリシー配布システムにおいて、前記セキュリティポリシーは、クライアント上のファイルに対する行為であって、外部記録媒体への持ち出し、プリント出力、メール添付、他フォルダ及び他ドライブへの持ち出し、ファイルアクセスのうち少なくとも１つの行為の制限を規定するものであることを特徴とする。
【００１５】
本発明は、また、クライアントのセキュリティレベルに応じた１以上のセキュリティポリシーをクライアントに対して配布する方法であって、各クライアントに対していずれのセキュリティポリシーを適用するかを設定する設定ステップと、各クライアントに対してセキュリティポリシーを送信する送信ステップと、各クライアントにおいて、前記送信されたセキュリティポリシーを受信し、自機に設定されたセキュリティポリシーを適用するステップとを含むセキュリティポリシー配布方法を提供するものである。
【００１６】
本発明のセキュリティポリシー配布方法において、各セキュリティポリシーには一意のポリシーIDが付されており、前記設定ステップでは、各クライアントに対して適用すべきセキュリティポリシーのポリシーIDを通知することを特徴とする。
【００１７】
本発明のセキュリティポリシー配布方法において、前記送信ステップでは、クライアントに対してセキュリティポリシーをブロードキャストし、各クライアントにおいて、ブロードキャストされたセキュリティポリシーの中から自機に設定されたセキュリティポリシーを選択受信して適用することを特徴とする。
【００１８】
本発明のセキュリティポリシー配布方法において、前記設定ステップでは、各クライアントに設定されるセキュリティポリシーに対応する鍵を各クライアントに対して通知し、前記送信ステップでは、各セキュリティポリシーをそれぞれ対応する鍵で暗号化して送信し、各クライアントにおいて、受信したセキュリティポリシーを通知されている鍵で復号することを特徴とする。
【００１９】
本発明のセキュリティポリシー配布方法において、各クライアントにおいて、受信したセキュリティポリシーを自機に適用した後、セキュリティポリシーを適用したことを配布元に通知することを特徴とする。
【００２０】
本発明のセキュリティポリシー配布方法において、前記セキュリティポリシーは、クライアント上のファイルに対する行為であって、外部記録媒体への持ち出し、プリント出力、メール添付、他フォルダ及び他ドライブへの持ち出し、ファイルアクセスのうち少なくとも１つの行為の制限を規定するものであることを特徴とする。
【発明の効果】
【００２１】
以上、説明したように、本発明のセキュリティポリシー配布システムによれば、組織内のクライアントマシンに対して、ネットワーク上のファイルへのアクセス、クライアントマシン上のファイルへのアクセス、ファイル持ち出し制御等を含むセキュリティポリシーを配布・更新することにより、組織内のクライアントマシンからの情報漏洩防止管理を徹底することができる。
【００２２】
また、ポリシーIDとセキュリティポリシーの対応付けを行うことで、ポリシーIDごとに同じセキュリティポリシー設定を持つクライアントマシンとして認識し、グループ管理することができる。もちろん、セキュリティポリシーをクライアント毎に個別に設定することも可能である。
【００２３】
また、一部のクライアントマシングループに対し、早急にセキュリティレベルを上げる必要がある場合にも、管理サーバからクライアントマシンへセキュリティポリシー設定ファイルを送信することで迅速にセキュリティポリシーの更新を行うことができる。
【００２４】
また、セキュリティポリシー設定ファイルが盗み出されたとしても、不正にクライアントマシン環境に適用できないため、セキュリティポリシー設定ファイルの管理が容易である。
【００２５】
また、クライアントマシンへの的確なセキュリティポリシー設定ファイルの適用後、クライアントマシンは管理サーバへ、セキュリティポリシー設定ファイルの適用完了を通知するため、管理者は情報漏洩防止対象組織内のクライアントマシンのセキュリティポリシー適用状況を把握することができる。
【発明を実施するための最良の形態】
【００２６】
以下、添付図面を参照しながら、本発明のセキュリティポリシー配布システムを実施するための最良の形態を詳細に説明する。図１〜図５は、本発明の一実施形態を例示する図であり、これらの図において、同一の符号を付した部分は同一物を表わし、基本的な構成及び動作は同様であるものとする。
【００２７】
図１は、本実施形態のセキュリティポリシー配布システムの全体構成を概略的に示す図である。図１において、セキュリティポリシー配布システムは、配布されるセキュリティポリシーを一元管理する管理サーバ１０２と、セキュリティポリシーをクライアントマシンに配信する配信サーバ１０５と、セキュリティポリシーが適用されるクライアントマシン群１０７とから構成されている。管理サーバ１０２、配信サーバ１０５及びクライアントマシン群１０７は、管理者または管理者グループ１０１により適宜管理されているものとする。
【００２８】
管理サーバ１０２は、セキュリティレベルに応じた複数のセキュリティポリシー１０４を保持している。各セキュリティポリシー１０４は、ポリシーID１０３及びセキュリティポリシーに対応する鍵に対応付けられている。配信サーバ１０５は、各ポリシーIDに対応するセキュリティポリシーを含むセキュリティポリシー設定ファイル１０６を管理サーバ１０２から取得し保持している。セキュリティポリシー設定ファイル１０６は対応する鍵により暗号化されているものとする。
【００２９】
クライアントマシン群１０７は、配布されたセキュリティポリシーに従って自機を制御するように設定されているものとする。
【００３０】
図２は、本実施形態のセキュリティポリシー配布システムにおいて用いられるセキュリティポリシー１０４の設定項目の具体例を示す図である。本システムでは、特に、クライアントマシン上に保存されたファイルのリムーバブルメディア（FD、MO、フラッシュメモリ、メモリスティック、SDカード、スマートメディア、USBメモリ、CD-R／RW、DVD-RAMなど）への持ち出し制御、外付けハードディスク（USB接続のハードディスク、IEEE接続のハードディスク、PCMCIA接続のハードディスクなど）への持ち出し制御、プリント出力（クライアントプリンタ、ネットワークプリンタなど）による持ち出し制御、メール添付ファイルによる持ち出し制御、ネットワークドライブやフォルダへの持ち出し制御、ファイルアクセス制御などをセキュリティポリシーの設定項目として採用していることを特徴とする。
【００３１】
次に、本実施形態のセキュリティポリシー配布システムにおけるセキュリティポリシーの配布及び適用について説明する。セキュリティポリシーの配布に先立って、各クライアントマシンにはそれぞれのセキュリティレベルが決定されており、それに応じたセキュリティポリシーのポリシーIDとセキュリティポリシーに対応する鍵とが管理サーバ１０２からあらかじめ付与されているものとする。図１に示す例では、クライアント（１）にはポリシーID（１）が付与され、クライアント（２）にはポリシーID（２）が付与されている。
【００３２】
配信サーバ１０５は、クライアントマシン群１０７に対して、暗号化されたセキュリティポリシー設定ファイル１０６をブロードキャストで送信する。図３は、ブロードキャスト送信される情報と各クライアントマシンによる受信の方法を概略的に示す図である。図３において、ブロードキャスト情報１１０は、配信サーバ１０５が保持する各ポリシーIDのセキュリティポリシー設定ファイル１０６を含んでいる（但し、セキュリティポリシー設定ファイルは暗号化されている）。各クライアントマシンは、受信したブロードキャスト情報１１０の中から自機に付与されているポリシーIDに対応するセキュリティポリシー設定ファイル１０６を選択して、自機に取得し適用する。例えば、図３では、クライアント（１）はポリシーID（１）のセキュリティポリシー設定ファイルを取得し、クライアント（２）はポリシーID（２）のセキュリティポリシー設定ファイルを取得することになる。
【００３３】
図４は、クライアントマシンにおいてブロードキャスト情報１１０から自機のポリシーIDに適したセキュリティポリシー設定ファイルを選択的に取得する処理の流れを示すフローチャートである。図４において、クライアントマシンは配信サーバ１０５からブロードキャスト情報１１０を受信すると（ステップＳ０１）、自機に予め付与されている鍵（セキュリティポリシーに対応する鍵）を取得し（ステップＳ０２）、ブロードキャスト情報１１０に含まれる各ポリシーIDのセキュリティポリシー設定ファイル１０６について、自機に予め付与されているポリシーIDと一致するかどうかを判定し（ステップＳ０３）、ポリシーIDが一致する場合には、上記鍵を用いてそのセキュリティポリシー設定ファイル１０６を復号する（ステップＳ０４）。セキュリティポリシー設定ファイルを復号して得られたセキュリティポリシーはクライアントマシン内に取得され適用される（ステップＳ０５）。クライアントマシンは、セキュリティポリシーの適用が完了したことを管理サーバに通知して（ステップＳ０６）処理を終了する。
【００３４】
以上のようにして、管理サーバ１０２からクライアントマシン群１０７の各クライアントマシンに対して、予め設定されたポリシーIDに対応するセキュリティポリシーが配布される。すなわち、各クライアントマシンは自機に設定されたセキュリティレベルに応じたセキュリティポリシーを自動的に取得することができる。各クライアントマシンにおいて取得されたセキュリティポリシーが適用されることにより、ネットワーク上のファイルへのアクセス、クライアントマシン上のファイルへのアクセス、ファイル持ち出し制御等に関して適切なセキュリティが実現されるので、クライアントマシン群１０７から秘密情報漏洩などが効果的に防止される。
【００３５】
さらに、本実施形態のセキュリティポリシー配布システムでは、管理サーバ１０２等への不正アクセスやネットワークの盗聴などによりセキュリティポリシー設定ファイルが盗み出されたとしても、これを用いてクライアントマシンに不正なセキュリティポリシーを設定することはできないようになっている。図５に示すように、悪意の者が盗み出したセキュリティポリシー設定ファイル１２１をクライアント１２２に適用しようとしても、セキュリティポリシー設定ファイル１２１のポリシーIDはクライアント１２２に設定されたポリシーID１２３と異なるので、クライアント１２２はこれを適用することがない。また、ポリシーIDが異なれば対応する鍵も異なるので、セキュリティポリシー設定ファイルが復号されることもない。
【００３６】
以上、本発明のセキュリティポリシー配布システムについて、具体的な実施の形態を示して説明したが、本発明はこれらに限定されるものではない。当業者であれば、本発明の要旨を逸脱しない範囲内において、上記各実施形態又は他の実施形態にかかる発明の構成及び機能に様々な変更・改良を加えることが可能である。
【産業上の利用可能性】
【００３７】
本発明のセキュリティポリシー配布システムは、ＬＡＮなどによりネットワーク接続された組織内のクライアントマシンとそのセキュリティ管理を行うサーバマシンとの間でセキュリティポリシーを配布するシステムとして利用可能である。
【図面の簡単な説明】
【００３８】
【図１】セキュリティポリシー配布システムの全体構成を概略的に示す図である。
【図２】セキュリティポリシー配布システムにおいて用いられるセキュリティポリシーの設定項目の具体例を示す図である。
【図３】セキュリティポリシー配布においてブロードキャスト送信される情報と各クライアントマシンによる受信の方法を概略的に示す図である。
【図４】クライアントマシンにおいてブロードキャスト情報１１０から自機のポリシーIDに適したセキュリティポリシー設定ファイルを選択的に取得する処理の流れを示すフローチャートである。
【図５】セキュリティポリシー配布システムにおいて、セキュリティポリシー設定ファイルの不正な適用ができないことを説明する図である。
【符号の説明】
【００３９】
１０１  セキュリティ管理者等
１０２  管理サーバ
１０３  セキュリティポリシーID
１０４  セキュリティポリシー
１０５  配信サーバ
１０６  セキュリティポリシー設定ファイル
１０７  クライアントマシン群
１１０  ブロードキャスト情報
１２１  セキュリティポリシー設定ファイル
１２２  クライアントマシン
１２３  セキュリティポリシーID
【図１】
2006243791.tif 000003
【図２】
2006243791.tif 000004
【図３】
2006243791.tif 000005
【図４】
2006243791.tif 000006
【図５】
2006243791.tif 000007