(57)【要約】【課題】  セキュリティポリシーにおける責務の定義を容易に行わせることのできる情報処理装置、責務判定方法、責務判定プログラム及び記録媒体の提供を目的とする。【解決手段】  操作の対象となる資源の分類と、前記資源を操作する主体の分類との組み合わせに応じて前記操作の分類ごとに前記操作の許否判定に関する規則が定義された定義情報に基づく許否判定に応じて、要求される操作を実行する情報処理装置であって、前記操作の分類に応じて当該操作の分類に係る操作を実行するときに併せて実行が要求される責務に関する情報を保持する責務情報保持手段と、前記責務情報保持手段に基づいて、前記要求される操作に対応する責務の内容を判定する責務内容判定手段とを有することにより上記課題を解決する。【選択図】  図３
2006134216.tif 000002
【特許請求の範囲】
【請求項１】
操作の対象となる資源の分類と、前記資源を操作する主体の分類との組み合わせに応じて前記操作の分類ごとに前記操作の許否判定に関する規則が定義された定義情報に基づく許否判定に応じて、要求される操作を実行する情報処理装置であって、
前記操作の分類に応じて当該操作の分類に係る操作を実行するときに併せて実行が要求される責務に関する情報を保持する責務情報保持手段と、
前記責務情報保持手段に基づいて、前記要求される操作に対応する責務の内容を判定する責務内容判定手段とを有することを特徴とする情報処理装置。
【請求項２】
前記定義情報における前記操作の分類は、前記要求される操作を抽象化させた概念により分類されており、
前記定義情報における操作の分類と、前記要求される操作との対応付けを保持する操作情報保持手段を更に有し、
前記操作情報保持手段に基づいて、前記要求される操作が属する前記操作の分類を特定し、特定された該分類に基づいて前記許否判定を実行させることを特徴とする請求項１記載の情報処理装置。
【請求項３】
前記責務情報保持手段に保持される前記責務に関する情報は、前記資源の分類及び前記主体の分類とは非依存に定められていることを特徴とする請求項１又は２記載の情報処理装置。
【請求項４】
前記責務情報保持手段は、前記操作を実行するときに記録すべきログの種別を前記操作の分類に対応づけて保持することを特徴とする請求項１乃至３いずれか一項記載の情報処理装置。
【請求項５】
前記責務情報保持手段は、前記操作を実行するときに記録すべきログの種別を前記資源の分類及び前記主体の分類とは非依存に保持することを特徴とする請求項４記載の情報処理装置。
【請求項６】
操作の対象となる資源の分類と、前記資源を操作する主体の分類との組み合わせに応じて前記操作の分類ごとに前記操作の許否判定に関する規則が定義された定義情報に基づく許否判定に応じて、要求される操作を実行する情報処理装置における責務判定方法であって、
前記操作の分類に応じて当該操作の分類に係る操作を実行するときに併せて実行が要求される責務に関する情報が定義された責務情報を取得する責務情報取得手順と、
前記責務情報取得手順において取得された前記責務情報に基づいて、前記要求される操作に対応する責務の内容を判定する責務内容判定手順とを有することを特徴とする責務判定方法。
【請求項７】
操作の対象となる資源の分類と、前記資源を操作する主体の分類との組み合わせに応じて前記操作の分類ごとに前記操作の許否判定に関する規則が定義された定義情報に基づく許否判定に応じて、要求される操作を実行する情報処理装置に、
前記操作の分類に応じて当該操作の分類に係る操作を実行するときに併せて実行が要求される責務に関する情報が定義された責務情報を取得する責務情報取得手順と、
前記責務情報取得手順において取得された前記責務情報に基づいて、前記要求される操作に対応する責務の内容を判定する責務内容判定手順とを有することを特徴とする責務判定プログラム。
【請求項８】
請求項７記載の責務判定プログラムを記録したコンピュータ読み取り可能な記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置、責務判定方法、責務判定プログラム及び記録媒体に関し、特にセキュリティポリシーに基づいて資源に対する操作の許否を判定させる情報処理装置、責務判定方法、責務判定プログラム及び記録媒体に関する。
【背景技術】
【０００２】
コンピュータシステムにおいては、文書等の資源の不正利用等を防止すべく各資源に対してアクセス権が定義されているのが一般である。かかるアクセス権が定義されたデータは、一般にＡＣＬ（Access Control List）と呼ばれている。ＡＣＬは、文書ごとに定義されており、その定義内容は、各ユーザに対する各種操作権限の有無を示すものである
他方において、従来、各種システムごとに保持されていた操作権限情報を、各種のセキュリティ情報と合わせて特定のサーバ（以下、「セキュリティサーバ」という。）において一元管理することにより、複数のシステムにおける資源に対するアクセス制御について、共通のセキュリティルールを適用することが可能なシステム形態が採用され始めている。ここで、セキュリティサーバにおいて管理されている情報は、一般にセキュリティポリシーと呼ばれている。
【０００３】
セキュリティポリシーにおいては、文書等、操作（閲覧、印刷、編集、削除等）の対象となる資源を当該資源の特定の属性に基づいて分類し、ユーザ等、操作の主体を当該主体の特定の属性に基づいて分類し、資源の分類と主体の分類との組み合わせに応じて、各操作の種別ごとに当該操作の許否判定に関する規則（セキュリティルール）が定義される。セキュリティルールにおいて操作が許可される場合は、当該操作を実行する際に併せて実行すべき責務についても定義され得る。
【０００４】
代表的な責務の一つがログ記録である。許可された操作に対する責務としてログ記録が定義されている場合、操作が正常に終了した際に、いつ、誰が、どの資源に対して、当該操作を実行したか等に関する情報をログ（アクセスログ）として記録することが義務付けられる。また、許可された操作を実行中にエラーが発生した場合は、責務としてログ記録が規定されているかどうかに関わらず、操作の種類や発生したエラーの程度に応じたログ（エラーログ）を記録しておく必要もある。
【特許文献１】特開２００２−５６１７６号公報
【特許文献２】特開２００３−１５０７５１号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、上述したように、セキュリティルールは、資源の分類と主体の分類との組み合わせごとに定義されるところ、セキュリティルールに応じて出力するログの内容が異なる場合は、その組み合わせごとに責務の定義を行う必要がある。したがって、セキュリティポリシーの保守作業が煩雑となるだけでなく、セキュリティポリシー全体として矛盾のない定義を行うことが困難となるという問題がある。
【０００６】
本発明は、上記の点に鑑みてなされたものであって、セキュリティポリシーにおける責務の定義を容易に行わせることのできる情報処理装置、責務判定方法、責務判定プログラム及び記録媒体の提供を目的とする。
【課題を解決するための手段】
【０００７】
そこで上記課題を解決するため、本発明は、請求項１に記載されるように、操作の対象となる資源の分類と、前記資源を操作する主体の分類との組み合わせに応じて前記操作の分類ごとに前記操作の許否判定に関する規則が定義された定義情報に基づく許否判定に応じて、要求される操作を実行する情報処理装置であって、前記操作の分類に応じて当該操作の分類に係る操作を実行するときに併せて実行が要求される責務に関する情報を保持する責務情報保持手段と、前記責務情報保持手段に基づいて、前記要求される操作に対応する責務の内容を判定する責務内容判定手段とを有することを特徴とする。
【０００８】
このような情報処理装置では、操作の分類に対応させて責務に関する情報を定義すればよいため、上記許否判定に関する規則ごとに責務に関する情報を定義する必要はなく、セキュリティポリシーにおける責務の定義を容易に行わせることができる。
【０００９】
また、上記課題を解決するため、本発明は、上記情報処理装置における責務判定方法、前記責務判定方法を前記情報処理装置に実行させるための責務判定プログラム、又は前記責務判定プログラムを記録した記録媒体としてもよい。
【発明の効果】
【００１０】
本発明によれば、セキュリティポリシーにおける責務の定義を容易に行わせることのできる情報処理装置、責務判定方法、責務判定プログラム及び記録媒体を提供することができる。
【発明を実施するための最良の形態】
【００１１】
以下、図面に基づいて本発明の実施の形態を説明する。図１は、本発明の実施の形態における文書管理システムの構成例を示す図である。図１に示されるように、本実施の形態における文書管理システム１は、セキュリティ管理サーバ１０、文書管理サーバ２０、認証サーバ３０、クライアント装置４０、印刷サーバ５１、変換サーバ５２及び配信サーバ５３等が、インターネットやＬＡＮ（Local Area Network）等のネットワーク６０（有線又は無線の別は問わない。）を介して接続されることにより構成されている。
【００１２】
セキュリティ管理サーバ１０は、文書に関連したセキュリティ上の各種情報（以下、「セキュリティ情報」という。）の管理を行うためのコンピュータである。文書管理システム１において文書を取り扱う各種サーバ（文書管理サーバ１０、印刷サーバ５１、変換サーバ５２、及び配信サーバ５３）は、セキュリティ管理サーバ１０に管理されているセキュリティ情報に基づいて、各ユーザの文書に対する操作権限の有無等を判断する。
【００１３】
文書管理サーバ２０は、文書の管理機能等が実装されたコンピュータである。
【００１４】
認証サーバ３０は、文書管理システム１のユーザの認証を行うための認証モジュール３１が実装されたコンピュータである。認証モジュール３１は、認証要求に応じてユーザの認証を行い、ユーザが認証された場合は、当該ユーザが認証された旨を証明する電子的な証明書（以下、「チケット」という。）を認証要求元に対して発行する。
【００１５】
印刷サーバ５１、変換サーバ５２及び配信サーバ５３等は、文書管理サーバ２０に管理されている文書を扱う各種サーバの例示である。印刷サーバ５１は、文書をプリンタに印刷させるための機能が実装されたコンピュータである。変換サーバ５２は、文書を所定のデータ形式に変換するための機能が実装されたコンピュータである。配信サーバ５３は、文書を所定の宛先に配信するための機能が実装されたコンピュータである。
【００１６】
クライアント装置４０は、上述した各種サーバの機能を利用するアプリケーションが実装されたコンピュータである。但し、クライアント装置４０は、ユーザが直接利用する端末であるとは限らない。例えば、クライアント装置４０は、Ｗｅｂサーバであってもよく、その場合、クライアント装置４０に実装されたアプリケーションは、Ｗｅｂアプリケーションに相当する。
【００１７】
なお、上記各サーバにおける各機能は、Ｗｅｂサービスとして実装されていてもよい。この場合、クライアント装置４０及び各サーバ間の通信はＳＯＡＰ（Simple Object Access Protocol）によって行われる。
【００１８】
次に、文書管理サーバ２０の詳細について説明する。図２は、本発明の実施の形態における文書管理サーバのハードウェア構成例を示す図である。図２の文書管理サーバ２０は、それぞれバスBで相互に接続されているドライブ装置２００と、補助記憶装置２０２と、メモリ装置２０３と、演算処理装置２０４と、インタフェース装置２０５とを有するように構成される。
【００１９】
文書管理サーバ２０での処理を実現するプログラムは、ＣＤ−ＲＯＭ等の記録媒体２０１によって提供される。プログラムが記録された記録媒体２０１がドライブ装置２００にセットされると、当該プログラムが記録媒体２０１からドライブ装置２００を介して補助記憶装置２０２にインストールされる。
【００２０】
補助記憶装置２０２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。メモリ装置２０３は、プログラムの起動指示があった場合に、補助記憶装置２０２からプログラムを読み出して格納する。演算処理装置２０４は、メモリ装置２０３に格納されたプログラムに従って文書管理サーバ２０に係る機能を実行する。インタフェース装置２０５は例えばモデム、ルータ等で構成され、図１のネットワーク６０に接続するために用いられる。
【００２１】
なお、セキュリティ管理サーバ１０、認証サーバ３０、印刷サーバ５１、変換サーバ５２、及び配信サーバ５３等についても図２に示されるハードウェア構成によって実現することができる。
【００２２】
図３は、本発明の実施の形態における文書管理サーバ及びセキュリティ管理サーバの機能構成例を示す図である。図３において、文書管理サーバ２０は、文書管理モジュール２１、責務内容判定モジュール２２及び操作分類情報２３等より構成される。
【００２３】
文書管理モジュール２１は、管理している文書に対する各種の操作手段（閲覧、印刷、削除、及び属性変更等）を提供するモジュールである。文書管理モジュール２１は、アプリケーション４１から要求される文書の操作についての許否判定をセキュリティ管理サーバ１０のセキュリティ管理モジュール１１に要求し、当該許否判定において許可された場合に当該操作を実行する。但し、後述されるように、セキュリティ管理サーバ１０においては、他のサーバ（印刷サーバ５１、変換サーバ５２、及び配信サーバ５３等）からも共通に利用可能なように、抽象度の高い概念によって各種操作が分類されている。したがって、文書管理モジュール２１は、操作の許否判定をセキュリティ管理サーバ１０に要求するに際し、操作分類情報２３に基づいて、当該操作が属する分類を判別し、当該分類についての許否判定を要求する。
【００２４】
図４は、操作分類情報の例を示す図である。図４に示されるように、操作分類情報２３は、文書管理モジュール２１における各種操作を当該操作の特徴に応じてより抽象度の高い概念に分類するものである。すなわち、操作分類情報２３は、文書管理モジュール２１における各種操作と、当該抽象度の高い分類との対応づけを管理している。例えば、図４より、文書の閲覧及び印刷は、情報出力に、文書の削除は、消去に、文書の属性変更は、変更機能に属することが分かる。また、ネットワーク設定変更は、管理機能及び変更機能に属することが分かる。なお、操作分類情報２３は、例えば、システム設計時等において、システム設計者によって予め定義される。
【００２５】
責務内容判定モジュール２２は、アプリケーション４１より要求された操作に対応する責務として「ログ記録」が後述されるポリシー１１３において規定されていた場合に、いかなる種類のログを出力すべきかを責務詳細情報１１４に基づいて判定する機能である。
【００２６】
図５は、責務詳細情報の例を示す図である。図５に示されるように責務詳細情報１１４は、操作が属する分類ごとに当該分類に対応するログの種別を規定する情報である。すなわち、図５より、管理機能に係る操作を実行した際にログ記録の必要がある場合は、通常のアクセスログを出力すべきことが分かり、変更機能又は情報出力に係る操作を実行した際にログ記録の必要がある場合は、通常のアクセスログと、異常が発生した場合には更に不正処理に関するエラーログを出力する必要があることが分かる。また、消去に係る操作を実行した際にログ記録の必要がある場合は、詳細なアクセスログと、異常が発生した場合は、警告レベルのエラーログと不正処理に関するエラーログとを出力する必要があるのが分かる。なお、ここで、アクセスログとは、いつ、誰が、どの資源に対して、どの操作を実行したか等を示すログをいう。このように、本実施の形態において、責務がログ記録である場合に具体的にどのようなログを出力すべきかについては、操作が属する分類に依存し、後述される操作の主体の分類や、操作の対象となる資源の分類に対して非依存に定められる。実運用においては、操作が属する分類に応じて定めてあれば十分な場合が多く、主体の分類や資源の分類をも考慮すると責務詳細情報の構成が複雑となり、管理が煩雑となるからである。但し、運用上必要であれば、主体の分類や資源の分類をも考慮して責務詳細情報を規定してもよい。
【００２７】
なお、本実施の形態において、責務詳細情報１１４は、セキュリティ管理サーバ１０において管理されているものが、文書管理サーバ２０にダウンロードされて利用される。
【００２８】
一方、図３において、セキュリティ管理サーバ１０には、セキュリティ管理モジュール１１が実装されている。セキュリティ管理モジュール１１は、各種セキュリティ情報の管理機能が実装されたモジュールである。セキュリティ管理モジュール１１においては、主体分類情報１１１、資源分類情報１１２、ポリシー１１３及び責務詳細情報１１４等がセキュリティ情報として管理されている。
【００２９】
図６は、主体分類情報の例を示す図である。図６に示されるように、主体分類情報１１１は、各ユーザ（主体）を、当該ユーザが関係している部署、及び当該ユーザの権限レベルを基準として分類する情報であり、ユーザごとに、各部署（部署Ａ、部署Ｂ、部署Ｃ）の関係者であるか否かについて（以下、「ユーザ区分」という。）と権限レベルとが定義されている。ここで、「部署の関係者」とは、例えば、当該部署に所属している者や、当該部署におけるプロジェクトに参加している者等が該当する。また、権限レベルとは、企業等の組織における役職等が該当する。例えば、主体分類情報１１１において、ユーザＡは、部署Ａの関係者であって正社員であるが、部署Ｂ及び部署Ｃの関係者ではないことが定義されている。
【００３０】
図７は、資源分類情報の例を示す図である。図７に示されるように、資源分類情報１１２は、文書管理モジュール２１において管理されている各文書を文書カテゴリ、機密レベル及び管理部署等を基準として分類する情報であり、文書ごとに文書名、文書カテゴリ、機密レベル、及び管理部署等が定義されている。文書名は、文書に付された名前である。文書カテゴリは、設計文書、技術文書、人事文書、議事録、仕様書及び一般文書等の別のように、文書の内容に基づく分類である。機密レベルは、文書の機密度である。管理部署は、文書を管理している部署の部署名である。例えば、資源分類情報１１２において、文書１は、部署Ａにおいて管理されている社外秘扱いの議事録であるということが定義されている。
【００３１】
図８及び図９は、ポリシーの定義例を示す図である。図８等におけるポリシー１１３には、操作の対象となる資源の分類と、資源を操作する主体の分類と、資源の分類との組み合わせに応じて操作の分類ごとに当該操作の許否判定に関する規則が、ＸＡＣＭＬ（eXtensible Access Control Markup Language）の仕様を参考に定義されている。なお、図８及び図９は、一つのファイル内においてなされている定義を、便宜上分割して表示したものである。
【００３２】
図８及び図９のポリシー１１３は、開始タグｐｓ１−１（図８）及び終了タグｐｓ１−２（図９）に囲まれた一つのＰｏｌｉｃｙＳｅｔ定義（以下、当該ＰｏｌｉｃｙＳｅｔ定義を「ＰｏｌｉｃｙＳｅｔ定義ｐｓ１」という。）として定義されている。ＰｏｌｉｃｙＳｅｔ定義は、Ｔａｒｇｅｔ定義を子要素として含むことができ、ＰｏｌｉｃｙＳｅｔ定義ｐｓ１には、Ｔａｒｇｅｔ定義ｔ１が含まれている。
【００３３】
Ｔａｒｇｅｔ定義は、ＰｏｌｉｃｙＳｅｔ定義や、後述されるＰｏｌｉｃｙ定義、又はＲｕｌｅ定義等の子要素として定義され、当該Ｔａｒｇｅｔ定義が属するこれらの親要素による定義の適用対象を特定する。Ｔａｒｇｅｔ定義は、主体を特定するためのＳｕｂｊｅｃｔ定義、資源を特定するためのＲｅｓｏｕｒｃｅ定義、及び操作の分類を特定するためのＡｃｔｉｏｎ定義等を子要素として含む。Ｔａｒｇｅｔ定義ｔ１において、Ｓｕｂｊｅｃｔ定義ｓ１、Ｒｅｓｏｕｒｃｅ定義ｒ１、及びＡｃｔｉｏｎ定義ａ１の値はいずれも「ＡＮＹ」であるため、ＰｏｌｉｃｙＳｅｔ定義ｐｓ１は、全ての主体、資源及び操作を適用対象とする定義であることが分かる。
【００３４】
ＰｏｌｉｃｙＳｅｔ定義は、また、一つ以上のＰｏｌｉｃｙＳｅｔ定義や、Ｐｏｌｉｃｙ定義等を子要素として含むことができ、ＰｏｌｉｃｙＳｅｔ定義ｐｓ１は、開始タグｐｓ２−１（図８）及び終了タグｐｓ２−２（図９）で囲まれた一つのＰｏｌｉｃｙＳｅｔ定義（以下「ＰｏｌｉｃｙＳｅｔ定義ｐｓ２」という。）を含んでいる。ＰｏｌｉｃｙＳｅｔ定義ｐｓ２のＴａｒｇｅｔ定義ｔ２におけるＲｅｓｏｕｒｃｅ定義ｒ２の値より、ＰｏｌｉｃｙＳｅｔ定義ｐｓ２は、文書カテゴリが「議事録」であり、機密レベルが「社外秘」である文書（資源）に対する定義であることが分かる。なお、親要素において定義されたＴａｒｇｅｔ定義は、その子要素に対しても有効となる。したがって、ポリシー１１３は、ＰｏｌｉｃｙＳｅｔ定義ｐｓ１においては、全ての資源が適用対象だったが、ＰｏｌｉｃｙＳｅｔ定義ｐｓ２において特定の文書を適用対象とするものに絞り込まれたことになる。
【００３５】
ＰｏｌｉｃｙＳｅｔ定義ｐｓ２には、ＰｏｌｉｃｙＳｅｔ定義ｐｓ３（図８）及びＰｏｌｉｃｙＳｅｔ定義ｐｓ４（図９）の二つのＰｏｌｉｃｙＳｅｔ定義が含まれている。ＰｏｌｉｃｙＳｅｔ定義ｐｓ３は、Ｔａｒｇｅｔ定義ｔ３におけるＳｕｂｊｅｃｔ定義ｓ３の値より、ユーザカテゴリが「関係者」であり、権限レベルが「正社員」であるユーザ（主体）に対する定義であることが分かる。また、ＰｏｌｉｃｙＳｅｔ定義ｐｓ４は、Ｔａｒｇｅｔ定義ｔ４におけるＳｕｂｊｅｃｔ定義ｓ４の値より、ユーザカテゴリが「関係者」であり、権限レベルが「派遣」であるユーザ（主体）に対する定義であることが分かる。ここでの「関係者」とは、操作対象となっている文書に対する関係者を意味する。すなわち、操作対象となっている文書の管理部署と、操作の主体となっているユーザが関係を有する部署とが同じ場合は、当該ユーザは当該文書の「関係者」であるとされる。
【００３６】
ＰｏｌｉｃｙＳｅｔ定義ｐｓ３は、Ｐｏｌｉｃｙ定義ｐ３１及びＰｏｌｉｃｙ定義ｐ３２の二つのＰｏｌｉｃｙ定義を含んでいる。Ｐｏｌｉｃｙ定義は、一つのセキュリティルールが規定された要素である。各Ｐｏｌｉｃｙ定義には、Ｔａｒｇｅｔ定義の他にＲｕｌｅ定義、及びＯｂｂｌｉｇａｔｉｏｎ定義等を子要素として含んでいる。
【００３７】
Ｒｕｌｅ定義は、そのＥｆｆｅｃｔ属性において、当該Ｐｏｌｉｃｙ定義が適用される場合の判定値（許可又は不許可）が定義される要素である。Ｏｂｂｌｉｇａｔｉｏｎ定義は、当該Ｐｏｌｉｃｙ定義において対象となった操作を実行する際に併せて実行することが義務付けられる責務の内容が定義される要素である。
【００３８】
Ｐｏｌｉｃｙ定義ｐ３１は、そのＴａｒｇｅｔ定義３１におけるＡｃｔｉｏｎ定義３１より、「情報出力」操作に対する定義であることが分かる。また、Ｒｕｌｅ定義ｒ３１より、その判定値は許可（Ｐｅｒｍｉｔ）であり、Ｏｂｂｌｉｇａｔｉｏｎ定義ｏ３１より、「ログ記録」が責務とされていることが分かる。すなわち、Ｐｏｌｉｃｙ定義ｐ３１は、ＰｏｌｉｃｙＳｅｔ定義ｐｓ２におけるＴａｒｇｅｔ定義ｔ２と、ＰｏｌｉｃｙＳｅｔ定義ｐｓ３におけるＴａｒｇｅｔ定義ｔ３とによる資源及び主体の限定を継承することにより、「社外秘の議事録については、当該議事録の関係者である正社員のユーザによる情報出力は、許可する。但し、その際にはログ記録をしなければならない。」という規則が規定していることとなる。
【００３９】
同様に、Ｐｏｌｉｃｙ定義ｐ３２は、「社外秘の議事録については、当該議事録の関係者である正社員のユーザによる消去は、許可する。但し、その際にはログ記録をしなければならない。」旨を規定する。
【００４０】
また、Ｐｏｌｉｃｙ定義ｐ４１は、「社外秘の議事録については、当該議事録の関係者である派遣のユーザによる情報出力は、許可する。但し、その際にはログ記録をしなければならない。」旨を規定する。更に、Ｐｏｌｉｃｙ定義ｐ４２は、「社外秘の議事録については、当該議事録の関係者である派遣のユーザによる消去は、許可する。但し、その際にはログ記録をしなければならない。」旨を規定する。
【００４１】
なお、ポリシー１１３においては、いずれの責務に関しても「ログ記録」として定義されており、ログの種別については特定されていない点に注意を要する。後述されるように、ログの種別については、責務詳細情報１１４に基づいて判断されるため、ポリシー１１３内においてそのような細部まで特定する必要はないからである。
【００４２】
以下、図１の文書管理システム１の処理手順について説明する。図１０は、文書管理システムの処理を説明するためのシーケンス図である。
【００４３】
ステップＳ１０１において、責務内容判定モジュール２２は、責務詳細情報１１４の提供をセキュリティ管理モジュール１１に要求し、責務詳細情報１１４を文書管理サーバ２０にダウンロードする（Ｓ１０２）。なお、この処理は、例えば、文書管理サーバ２０の起動時等、後述される処理とは非同期に、予め、又は定期的に実行されるものである。但し、責務詳細情報１１４は、後述されるタイミング（Ｓ１１６）において、操作の許否判定の判定結果と共に文書管理モジュール２１が受信するようにしてもよい。
【００４４】
ステップＳ１０３からステップＳ１１１までは、文書管理サーバ１０に管理されている文書を操作するに際し前提となる処理（セッションの開設、文書の検索等）である。すなわち、ユーザによるユーザ名及びパスワードの入力に基づいて、アプリケーション４１は、ユーザ名及びパスワードを引数として認証モジュール３１に対してユーザの認証を要求する（Ｓ１０３）。認証モジュール３１は、ユーザを認証し、ユーザが認証された場合はその旨を証明するチケットを生成する（S１０４）。チケットには、例えば、当該チケットを識別するチケットＩＤ、当該チケットが有効なサービスを示す有効範囲、当該チケットによってサービスを利用できる有効期限、ユーザＩＤ、及び改竄チェック用のコード等が記録される。チケットは、その内容を認証モジュール３１のみが参照可能なように暗号化され、アプリケーション４１に送信される（Ｓ１０５）。
【００４５】
アプリケーション４１は、チケットを引数としてセッションの開設要求を文書管理モジュール２１に送信する（Ｓ１０６）。文書管理モジュール２１は、受信したチケットの正当性の検証を認証モジュール３１に要求し（Ｓ１０７）、正当である旨の検証結果が返信されると（Ｓ１０８）、セッションＩＤをアプリケーション４１に対して返信する（Ｓ１０９）。なお、文書管理モジュール２１は、チケットをセッションＩＤと関連付けて保存しておく。
【００４６】
セッションの開設後、ユーザが、文書の検索を指示すると、アプリケーション４１は、セッションＩＤ及び検索条件等を引数として文書の検索要求を文書管理モジュール２１に送信する（Ｓ１１０）。文書管理モジュール２１は、検索条件に基づいて文書を検索し、その検索結果をアプリケーション４１に送信する（Ｓ１１１）。
【００４７】
この時点で、ユーザには、検索された文書の一覧を含む文書一覧画面が提示される。そこで、ユーザが任意の文書を選択し（選択された文書を以下「カレント文書」という。）、カレント文書を対象として閲覧、印刷、削除又は属性変更等の操作の実行を指示すると、アプリケーション４１は、チケット、カレント文書の文書ＩＤ、及び指示された操作を識別する操作ＩＤを引数として、当該操作の実行を文書管理モジュール２１に要求する（Ｓ１１２）。
【００４８】
ステップＳ１１２に続いてステップＳ１１３に進み、文書管理モジュール２１は、操作分類情報２３に基づいて指示された操作が属する分類を特定する。例えば、閲覧が指示された場合は、当該分類は、「情報出力」として特定される（図４参照）。なお、ここで特定された分類を以下「カレント操作分類」という。
【００４９】
ステップＳ１１３に続いてステップＳ１１４に進み、文書管理モジュール２１は、カレントユーザによるカレント文書に対するカレント操作分類の実行の許否判定をセキュリティモジュール１１に要求する。ステップＳ１１４に続いてステップＳ１１５に進み、セキュリティ管理モジュールは、主体分類情報１１１に基づいて、カレントユーザの権限レベルを判定し、資源分類情報１１２に基づいてカレント文書の文書カテゴリ及び機密レベルを判定し、主体分類情報１１１及び資源分類情報１１２に基づいてカレントユーザがカレント文書の関係者であるか否かを判定した後、その判定結果をポリシー１１３に当てはめて、カレント操作分類の実行が許可されるか否かや、許可される場合における責務等を判定する。
【００５０】
例えば、カレントユーザが「ユーザＡ」であり、カレント文書が「文書１」である場合は、カレントユーザの権限レベルは、「正社員」であり、カレント文書の文書カテゴリ、機密レベルは、それぞれ「議事録」、「社外秘」ということとなる。また、文書１の管理部署は「部署Ａ」であり、ユーザＡは、「部署Ａ」の関係者であることから、カレントユーザはカレント文書の関係者であるということとなる。ここで、例えばカレント操作分類が「情報出力」である場合は、ポリシー１１３におけるポリシー定義ｐ３１（図８）が適用される。そうすると、当該操作分類の実行は許可され、「ログ記録」が責務として要求される旨が判定される。
【００５１】
ステップＳ１１５に続いてステップＳ１１６に進み、セキュリティ管理モジュール１１は、判定結果（操作の許否、及び責務等）を文書管理モジュール２１に対して返信する。ステップＳ１１６に続いてステップＳ１１７に進み、文書管理モジュール２１は、アプリケーション４１より要求された操作、例えば、カレント文書を閲覧させるための処理等を実行する。ステップＳ１１７に続いてステップＳ１１８に進み、ステップＳ１１６においてセキュリティ管理モジュール１１より返信された判定結果において責務として「ログ記録」が指定されている場合は、文書管理モジュール２１は、カレント操作分類を識別するＩＤと、イベントＩＤとを引数として責務内容判定モジュール２２に対して出力すべきログの種別を問い合わせる。ここで、イベントＩＤとは、操作を実行した際に発生したエラー等を識別するためのＩＤである。
【００５２】
ステップＳ１１８に続いてステップＳ１１９に進み、責務内容判定モジュール２２は、責務詳細情報１１４（図４）に基づいて、カレント操作分類に対応したログ種別を判定し、その判定結果を文書管理モジュール２１に出力する。例えば、情報出力に係る操作が実行された場合は、通常のアクセスログが、また、イベントＩＤにエラーが発生した旨が示されている場合には、更に、不正処理に関するエラー処理が出力すべきログの種別として判定される。
【００５３】
ステップＳ１１９に続いてステップＳ１２０に進み、文書管理モジュール２１は、責務内容判定モジュール２２によって判定された種別によるログを出力すると共に、実行された操作の成否等、処理結果を示す情報をアプリケーション４１に返信し（Ｓ１２１）、処理を終了させる。
【００５４】
上述したように、本実施の形態における文書管理システム１によれば、責務詳細情報１１４に基づいて、記録すべきログの種別が判定されるため、ポリシー１１３内におけるＰｏｌｉｃｙ定義ごとにログの種別を特定して責務を定義する必要は無い。したがって、操作に応じたログの種別を変更させたい場合は、責務詳細情報１１４において当該操作に対応する箇所を修正すればよく、ポリシー１１３の保守作業を簡略化させることができると共に、矛盾の無い定義を容易に行わせることができる。
【００５５】
なお、本実施の形態においては、責務の具体例としてログ記録を例として説明したが、本発明は、特定の責務に限定されず、様々な責務に関して適用可能である。
【００５６】
本発明は係る特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。
【図面の簡単な説明】
【００５７】
【図１】本発明の実施の形態における文書管理システムの構成例を示す図である。
【図２】本発明の実施の形態における文書管理サーバのハードウェア構成例を示す図である。
【図３】本発明の実施の形態における文書管理サーバ及びセキュリティ管理サーバの機能構成例を示す図である。
【図４】操作分類情報の例を示す図である。
【図５】責務詳細情報の例を示す図である。
【図６】主体分類情報の例を示す図である。
【図７】資源分類情報の例を示す図である。
【図８】ポリシーの定義例を示す図である。
【図９】ポリシーの定義例を示す図である。
【図１０】文書管理システムの処理を説明するためのシーケンス図である。
【符号の説明】
【００５８】
１            文書管理システム
１０          セキュリティ管理サーバ
１１          セキュリティ管理モジュール
２０          文書管理サーバ
２１          文書管理モジュール
２２          責務内容判定モジュール
２３          操作分類情報
３０          認証サーバ
３１          認証モジュール
４０          クライアント装置
４１          アプリケーション
５１          印刷サーバ
５２          変換サーバ
５３          配信サーバ
１１１        主体分類情報
１１２        資源分類情報
１１３        ポリシー
１１４        責務詳細情報
２００        ドライブ装置
２０１        記録媒体
２０２        補助記憶装置
２０３        メモリ装置
２０４        演算処理装置
２０５        インタフェース装置
Ｂ            バス
【図１】
2006134216.tif 000003
【図２】
2006134216.tif 000004
【図３】
2006134216.tif 000005
【図４】
2006134216.tif 000006
【図５】
2006134216.tif 000007
【図６】
2006134216.tif 000008
【図７】
2006134216.tif 000009
【図８】
2006134216.tif 000010
【図９】
2006134216.tif 000011
【図１０】
2006134216.tif 000012