(57)【特許請求の範囲】
【請求項１】
ログ情報の生成機能を有する複数のログ情報生成装置において生成されたログ情報を証跡情報として収集する収集手段と、
送られてきた処理の実行要求に対し、当該処理が実行されたときの証跡の記録に必要な全ての証跡情報が前記収集手段により収集可能な場合に当該処理の実行を許可するよう制御し、当該全ての証跡情報が前記収集手段により収集可能でない場合に当該処理の実行を拒否するよう制御する制御手段と、
を有することを特徴とする実行制御装置。
【請求項２】
前記制御手段は、前記全ての証跡情報が前記収集手段により収集可能な場合であっても、当該処理の実行を許容する条件が予め設定された実行許容条件を満たさない場合には、当該処理の実行を拒否するよう制御することを特徴とする請求項１に記載の実行制御装置。
【請求項３】
前記制御手段は、前記全ての証跡情報が前記収集手段により収集可能な場合であっても、前記処理の実行要求に関連する証跡情報が時系列的な整合性を満たさない場合には、当該処理の実行を拒否するよう制御することを特徴とする請求項２に記載の実行制御装置。
【請求項４】
ログ情報の生成機能を有する複数のログ情報生成装置と、
前記各ログ情報生成装置からログ情報を証跡情報として収集する収集手段と、
処理の実行要求を受け付ける受付手段と、
前記受付手段により受け付けられた処理の実行要求に対し、当該処理が実行されたときの証跡の記録に必要な証跡情報が前記収集手段により収集可能な場合に、当該処理の実行先として指定された処理実行装置において当該処理の実行を許可するよう制御し、当該全ての証跡情報が前記収集手段により収集可能でない場合に当該処理の実行を拒否するよう制御する制御手段と、
を有することを特徴とする処理実行システム。
【請求項５】
前記受付手段と、前記制御手段と、前記制御手段により処理の実行が許可された場合に前記受付手段により受け付けられた当該処理の実行要求を当該処理の実行先として指定された前記処理実行装置へ送信する送信手段と、を有する実行制御装置を有することを特徴とする請求項４に記載の処理実行システム。
【請求項６】
前記処理実行装置は、前記受付手段及び前記制御手段を有することを特徴とする請求項４に記載の処理実行システム。
【請求項７】
前記証跡情報には、真正性を示す情報が付加されていることを特徴とする請求項４に記載の処理実行システム。
【請求項８】
コンピュータを、
ログ情報の生成機能を有する複数のログ情報生成装置において生成されたログ情報を証跡情報として収集する収集手段、
送られてきた処理の実行要求に対し、当該処理が実行されたときの証跡の記録に必要な全ての証跡情報が前記収集手段により収集可能な場合に当該処理の実行を許可するよう制御し、当該全ての証跡情報が前記収集手段により収集可能でない場合に当該処理の実行を拒否するよう制御する制御手段、
として機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、実行制御装置、処理実行システム及びプログラムに関する。
【背景技術】
【０００２】
コンピュータや機器からの情報漏洩等、何らかの不正や問題が生じた場合、入退室の履歴情報やアクセスログ情報等の証跡情報を分析して原因を特定することは一般的に行われている。原因を正しく特定するためには、各種証跡情報の相関関係を解析しなければならない場合があり、そのためには解析対象とする各種証跡情報が取得されていることが前提となる。
【０００３】
従来では、ログ情報等の証跡情報を改ざん等から保護する技術として、ログ情報に時刻配信サーバから配信される時刻情報（タイムスタンプ）を付与して蓄積することが提案されている（例えば、特許文献１）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００５−２７７７９６号公報
【特許文献２】特開２００８−１６０４８５号公報
【特許文献３】特開２００７−１９９８１３号公報
【特許文献４】特開２０１０−１７０３１４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
どのアクセスに伴い実行される処理が不正に相当するのかを特定するためには、処理が実行されたときの証跡が記録された証跡情報を収集しておかなければならない。換言すると、いずれかの装置へのアクセス要求に対し、そのアクセスに基づく証跡情報が収集できない状態にある場合、そのアクセスが不正であるときにはその不正の原因が特定できなくなる。
【０００６】
本発明は、要求された処理が実行されたときの証跡が記録できる状態にある場合にのみ当該処理の実行を許可するよう制御することを目的とする。
【課題を解決するための手段】
【０００７】
本発明に係る実行制御装置は、ログ情報の生成機能を有する複数のログ情報生成装置において生成されたログ情報を証跡情報として収集する収集手段と、送られてきた処理の実行要求に対し、当該処理が実行されたときの証跡の記録に必要な全ての証跡情報が前記収集手段により収集可能な場合に当該処理の実行を許可するよう制御し、当該全ての証跡情報が前記収集手段により収集可能でない場合に当該処理の実行を拒否するよう制御する制御手段と、を有することを特徴とする。
【０００８】
また、前記制御手段は、前記全ての証跡情報が前記収集手段により収集可能な場合であっても、当該処理の実行を許容する条件が予め設定された実行許容条件を満たさない場合には、当該処理の実行を拒否するよう制御することを特徴とする。
【０００９】
また、前記制御手段は、前記全ての証跡情報が前記収集手段により収集可能な場合であっても、前記処理の実行要求に関連する証跡情報が時系列的な整合性を満たさない場合には、当該処理の実行を拒否するよう制御することを特徴とする。
【００１０】
本発明に係る処理実行システムは、ログ情報の生成機能を有する複数のログ情報生成装置と、前記各ログ情報生成装置からログ情報を証跡情報として収集する収集手段と、処理の実行要求を受け付ける受付手段と、前記受付手段により受け付けられた処理の実行要求に対し、当該処理が実行されたときの証跡の記録に必要な証跡情報が前記収集手段により収集可能な場合に、当該処理の実行先として指定された処理実行装置において当該処理の実行を許可するよう制御し、当該全ての証跡情報が前記収集手段により収集可能でない場合に当該処理の実行を拒否するよう制御する制御手段と、を有することを特徴とする。
【００１１】
また、前記受付手段と、前記制御手段と、前記制御手段により処理の実行が許可された場合に前記受付手段により受け付けられた当該処理の実行要求を当該処理の実行先として指定された前記処理実行装置へ送信する送信手段と、を有する実行制御装置を有することを特徴とする。  
【００１２】
また、前記処理実行装置は、前記受付手段及び前記制御手段を有することを特徴とする。
【００１３】
また、前記証跡情報には、真正性を示す情報が付加されていることを特徴とする。
【００１４】
本発明に係るプログラムは、コンピュータを、ログ情報の生成機能を有する複数のログ情報生成装置において生成されたログ情報を証跡情報として収集する収集手段、送られてきた処理の実行要求に対し、当該処理が実行されたときの証跡の記録に必要な全ての証跡情報が前記収集手段により収集可能な場合に当該処理の実行を許可するよう制御し、当該全ての証跡情報が前記収集手段により収集可能でない場合に当該処理の実行を拒否するよう制御する制御手段、として機能させる。
【発明の効果】
【００１５】
請求項１に記載の発明によれば、要求された処理が実行されたときの証跡が記録できる状態にある場合にのみ当該処理の実行を許可するよう制御することができる。
【００１６】
請求項２に記載の発明によれば、実行許容条件を更に満たす場合に当該処理の実行を許可するよう制御することができる。
【００１７】
請求項３に記載の発明によれば、処理の実行が要求された際の証跡が時系列的な整合性を満たす場合に当該処理の実行を許可するよう制御することができる。
【００１８】
請求項４に記載の発明によれば、要求された処理が実行されたときの証跡が記録できる状態にある場合にのみ当該処理の実行を許可するよう制御することができる。
【００１９】
請求項５に記載の発明によれば、要求された処理の実行制御を、実行制御装置が一括して行うことができる。
【００２０】
請求項６に記載の発明によれば、要求された処理の実行制御を処理実行装置に分散させて行わせることができる。
【００２１】
請求項７に記載の発明によれば、証跡情報に証拠能力を持たせることができる。
【００２２】
請求項８に記載の発明によれば、要求された処理が実行されたときの証跡が記録できる状態にある場合にのみ当該処理の実行を許可するよう制御することができる。
【図面の簡単な説明】
【００２３】
【図１】本実施の形態における処理実行システムを示したブロック構成図である。
【図２】本実施の形態におけるアクセス制御装置を形成するコンピュータのハードウェア構成図である。
【図３】本実施の形態におけるアクセス制御情報記憶部に記憶されるアクセス制御情報のデータ構成の一例を示した図である。
【図４】本実施の形態におけるログ管理情報記憶部に記憶されるログ管理情報のデータ構成の一例を示した図である。
【図５】本実施の形態における必要ログ情報記憶部に記憶される必要ログ情報のデータ構成の一例を示した図である。
【図６】本実施の形態におけるアクセス制御部が実施するアクセス制御処理を示したフローチャートである。
【図７】本実施の形態においてログ情報の関係を示した概念図である。
【図８】本実施の形態において証跡の時間の関係を示した概念図である。
【発明を実施するための形態】
【００２４】
以下、図面に基づいて、本発明の好適な実施の形態について説明する。
【００２５】
図１は、本実施の形態における処理実行システムを示したブロック構成図である。図１には、複数のログ情報生成装置１と、アクセス制御装置１０とが示されている。ログ情報生成装置１はそれぞれ、処理の実行等に伴いログ情報を生成する機能を有している。図１には、ログ情報生成装置１の例として、入退室管理システムの主構成である入退室管理サーバ、文書を管理する文書管理サーバ、メールの送受信機能を有するメールサーバ、外部とのアクセス制御を行うプロキシサーバ、処理の実行を要求するユーザが使用するユーザ端末２、コピー機能やプリント機能等種々の機能を有する複合機、ユーザ端末として利用可能なネットワーク機器及びユーザの個人情報を管理する個人情報管理サーバを示した。これらのうち、例えば、ユーザ端末２やネットワーク機器は、ユーザのログイン／ログアウト等に基づきログ情報を生成する。また、文書サーバや複合機は、ユーザからの処理の実行要求に応じて当該処理を実行するが、その処理の実行の内容を記録するためにログ情報を生成する。本実施の形態では、これらの装置を個別に説明する必要がない場合、ログ情報生成装置１と総称する。なお、本実施の形態では、以上の複数の装置をログ生成装置の例としたが、これ以外の装置を含めてもよい。
【００２６】
アクセス制御装置１０は、各ログ情報生成装置１と種々のネットワークを介してアクセス可能に接続されている。アクセス制御装置１０は、リクエストされた処理の実行制御装置として機能し、ユーザ端末２から送信されてくる処理の実行要求を受け付け、その受け付けた要求に実行先として指定されている処理実行装置に当該処理の実行要求を送信して実行させる。図１においては、文書の登録、取り出し等を行う文書サーバ、メールの送受信を行うメールサーバ、印刷処理、ＦＡＸ送信処理等の各種機能処理を実行する複合機、また個人情報データベースを保持管理し、個人情報の登録、取り出し等を行う個人情報管理サーバ等が処理実行装置に該当する。
【００２７】
本実施の形態におけるアクセス制御装置１０は、ユーザからの処理の実行要求を一括して受け付け、その受け付けた実行要求を、ユーザにより処理実行先として指定された処理実行装置に配信するというアクセス制御を行うが、その受け付けた処理の実行要求を指定された処理実行装置に送信する際、その送信をいったん保留し、当該処理が実行されたときの証跡の記録に必要なログ情報が収集可能な状態であるかどうかを確認してから送信することを特徴としている。
【００２８】
ここで、本実施の形態でいう「処理が実行されたときの証跡」というのは、実行された処理の内容を具体的に特定しうる証拠のことである。具体的には、「誰が、いつ、どこで、何を用いて、どの経路で、どの情報に対して、何をしたか」ということを特定しうる証拠のことである。つまり、本実施の形態は、要求された処理が実行されたときに、その処理の実行の証跡がログ情報生成装置１から収集された１又は複数のログ情報に記録されることが確認できてはじめて当該処理に実行を許可することを特徴としている。なお、処理が実行されたときの証跡として、本実施の形態では、上記のように「誰が」、「いつ」、「どこで」、「何を用いて」、「どの経路で」、「どの情報に対して」、「何をしたか」ということをログ情報により処理の実行の証跡を証明しようとするものであるが、処理の内容によっては、例えば「どの経路で」など不要な要素も存在しうる。この証跡の証明に必要な要素に関しては、後述するアクセス制御情報にて定義される。
【００２９】
図２は、本実施の形態におけるアクセス制御装置１０を形成するコンピュータのハードウェア構成図である。本実施の形態においてアクセス制御装置１０を形成するコンピュータは、従前から存在する汎用的なハードウェア構成で実現できる。すなわち、コンピュータは、図２に示したようにＣＰＵ２１、ＲＯＭ２２、ＲＡＭ２３、ハードディスクドライブ（ＨＤＤ）２４、入力手段として設けられたマウス２５とキーボード２６、及び表示装置として設けられたディスプレイ２７をそれぞれ接続する入出力コントローラ２８、通信手段として設けられたネットワークコントローラ２９を内部バス３０に接続して構成される。
【００３０】
図１に戻り、本実施の形態におけるアクセス制御装置１０は、ログ情報収集部１１、必要ログ情報生成部１２、アクセス制御部１３、ログ情報蓄積部１４、アクセス制御情報記憶部１５、ログ管理情報記憶部１６及び必要ログ情報記憶部１７を有している。なお、本実施の形態の説明に用いない構成要素については図から省略している。ログ情報収集部１１は、ログ情報生成装置１において記録されるログ情報を証跡情報として収集し、ログ情報蓄積部１４に蓄積させるログ収集機能を提供する。必要ログ情報生成部１２は、アクセス制御情報記憶部１５及びログ管理情報記憶部１６に記憶された各情報に基づいて、各処理が実行されたときに、証跡の記録に必要なログ情報が設定された必要ログ情報を生成し、必要ログ情報記憶部１７に設定登録する。アクセス制御部１３は、制御手段、受付手段及び送信手段として設けられ、本実施の形態において特徴的なアクセス制御機能を提供する。すなわち、アクセス制御部１３は、ユーザ端末２から送られてくる処理の実行要求を受け付け、その処理の実行要求に対し、当該処理が実行されたときの証跡の記録に必要な証跡情報がログ情報収集部１１により収集可能な場合に当該処理の実行を許可するよう制御する。そして、処理の実行を許可する場合に、受け付けた処理の実行要求を当該処理の実行先として指定された処理実行装置へ送信する。なお、各記憶手段１４〜１７に含まれるデータに関しては、追って説明する。
【００３１】
アクセス制御装置１０における各構成要素１１〜１３は、アクセス制御装置１０を形成するコンピュータと、コンピュータに搭載されたＣＰＵ２１で動作するプログラムとの協調動作により実現される。また、各記憶手段１４〜１７は、アクセス制御装置１０に搭載されたＨＤＤ２４にて実現される。あるいは、ＲＡＭ２３又は外部にある記憶手段をネットワーク経由で利用してもよい。
【００３２】
また、本実施の形態で用いるプログラムは、通信手段により提供することはもちろん、ＣＤ−ＲＯＭやＵＳＢメモリ等のコンピュータ読み取り可能な記録媒体に格納して提供することも可能である。通信手段や記録媒体から提供されたプログラムはコンピュータにインストールされ、コンピュータのＣＰＵがプログラムを順次実行することで各種処理が実現される。
【００３３】
次に、本実施の形態における動作について説明するが、アクセス制御装置１０がアクセス制御の実行を行う前に必要ログ情報を生成しておく必要がある。以下、必要ログ情報を生成について、各記憶部１５〜１７に記憶される情報と合わせて説明する。
【００３４】
図３は、本実施の形態におけるアクセス制御情報記憶部１５に記憶されるアクセス制御情報のデータ構成の一例を示した図である。本実施の形態においては、アクセス制御情報を予め生成してアクセス制御情報記憶部１５に登録しておく必要がある。
【００３５】
本実施の形態では、ユーザがいずれかの処理実行装置が提供するサービスを利用するために、ユーザ端末２は、ユーザ若しくはアプリケーションからの指示に応じて処理の実行要求をアクセス制御装置１０へ送信する。この処理の実行要求には、その処理の内容を特定する所定形式のコマンドと、要求するユーザを識別するユーザＩＤとが含まれている。なお、本実施の形態では、処理の実行要求又は実行を要求する処理の内容のことを「リクエスト」と称することにする。
【００３６】
アクセス制御情報には、利用サービスとコマンドと必要履歴種別と必要状態条件とが組にして設定される。利用サービスには、ユーザがリクエストを発して利用したいサービスを実行する処理実行装置が設定される。コマンドには、当該処理実行装置に対する処理の内容を示すコマンドが設定される。必要履歴種別には、当該コマンドに従い処理が実行されたときの証跡の記録に必要な履歴の種別が設定される。例えば、文書取得のリクエストに対し、時刻、ユーザＩＤ及び操作対象が必要履歴種別に設定されているが、これは、いつ（時刻）、誰が（ユーザＩＤ）、どの情報（文書）に対して、何をしたか（操作対象）、が記録されているログ情報が必要であることを示している。上記において処理の実行の証跡として「誰が、いつ、どこで、何を用いて、どの経路で、どの情報に対して、何をしたか」を記録するように説明したが、文書取得のリクエストに対しては、このうち、「いつ」、「誰が」、「どの情報に対して」が記録された１又は複数のログ情報を収集すればよいことを示している。
【００３７】
必要状態条件には、当該リクエストに対し、当該処理の実行を許容する条件が実行許容条件として予め設定される。例えば、文書取得のリクエストは、業務時間中に行われる必要があることを示している。また、個人情報閲覧のリクエストは、いずれかの部屋に入室した後にいずれかの端末にログインしたという時系列的な整合性の必要条件を満たす必要があることを示している。図３には、必要状態条件として、リクエストをしたときの証跡に時系列的な関係（「いつ」の前後関係）が必要とされる場合の例を設定しているが、例えば、誰が何（どのユーザ端末）を用いてリクエストを行う必要があるなど人と使用する装置等、時系列的な関係以外の実行許容条件を設定するようにしてもよい。
【００３８】
図４は、本実施の形態におけるログ管理情報記憶部１６に記憶されるログ管理情報のデータ構成の一例を示した図である。本実施の形態においては、処理が実行されたときの証跡の記録に必要なログ情報が収集可能であるかを確認してから当該処理の実行を許可することを特徴としているが、どのログ情報からどの証跡の要素を得られるかということがログ管理情報に設定されている。図４に示したように、ログ管理情報には、ログ情報収集元とログ情報名と証跡種別とが組にして設定される。ログ情報収集元は、ログ情報収集部１１がログ情報の収集先とするログ情報生成装置である。ログ情報名は、当該ログ情報生成装置から収集するログ情報を識別する名称である。証跡種別は当該ログ情報から得る証跡の要素である。本実施の形態では、前述した「誰が」、「いつ」、「どこで」、「何を用いて」、「どの経路で」、「どの情報に対して」、「何をしたか」を要素の例として示している。
【００３９】
ちなみに、ユーザ端末２から収集するログ情報（ログイン履歴）には、ユーザがログイン又はログアウトをした日時、ログイン又はログアウトしたユーザ端末のＩＰアドレス、ログイン又はログアウトしたユーザのユーザＩＤ、ログイン又はログアウトの別が少なくとも含まれている。入退室管理サーバから収集するログ情報（入退室履歴）には、入室又は退室した日時、ユーザのユーザＩＤ、部屋、入室又は退室の別が少なくとも含まれている。文書サーバから収集するログ情報（文書サービス利用履歴）には、当該文書サービスを利用した日時、当該サービスの利用の要求に用いられたユーザ端末のＩＰアドレス、当該サービスの利用のために送信されたリクエストの内容（コマンド）が少なくとも含まれている。ＳＳＬ−ＶＰＮ装置から収集するログ情報（リモートログイン履歴）には、ユーザがログイン又はログアウトをした日時、ログイン又はログアウトしたユーザ端末のＩＰアドレス、当該ユーザのユーザＩＤ、ログイン又はログアウトの別が少なくとも含まれている。複合機から収集するログ情報（サービス利用履歴）には、利用されたサービスのサービスＩＤ、当該サービスを利用した日時、当該サービスの利用の要求に用いられたユーザ端末のＩＰアドレス、当該サービスの利用のために送信されたリクエストの内容（コマンド）が少なくとも含まれている。メールサーバから収集するログ情報（メール送受信履歴）には、送信又は受信した日時、送信又は受信したユーザのユーザＩＤ、送信又は受信の別が少なくとも含まれている。プロキシサーバから収集するログ情報（アクセス履歴）には、ＧＥＴ又はＰＵＴした日時、ＧＥＴ又はＰＵＴしたユーザのユーザＩＤ、ＧＥＴ又はＰＵＴの別が少なくとも含まれている。
【００４０】
本実施の形態では、以上の各ログ情報からそれぞれ取得する証跡の種別を特定し、ログ管理情報に設定しているが、図４に例示した証跡種別は一例であって、当該ログ情報から特定可能な証跡であれば、その証跡を証跡種別に設定するようにしてもよい。
【００４１】
システム管理者等は、図３，４に示したアクセス制御情報及びログ管理情報を事前に設定しておく必要がある。そして、これらの情報が設定されると、必要ログ情報生成部１２は、これらの情報に基づき以下に説明するように必要ログ情報を生成することになる。
【００４２】
図５は、本実施の形態における必要ログ情報記憶部１７に記憶される必要ログ情報のデータ構成の一例を示した図である。必要ログ情報には、コマンドとログ情報とが対応付けして設定される。コマンドは、リクエストに含まれるコマンドであり、処理実行装置が当該コマンドに従い処理を実行する。ログ情報には、当該コマンドに基づき処理が実行されたときの証跡の記録に必要なログ情報が設定される。すなわち、必要ログ情報生成部１２は、アクセス制御情報に含まれているコマンド毎に、ログ管理情報を参照することにより当該コマンドに対応した必要履歴種別を得るために必要なログ情報を特定し、その特定したログ情報を当該コマンドに対応付けして設定する。
【００４３】
以上のようにして必要ログ情報が設定されると、本実施の形態において特徴的なアクセス制御処理が実行できるようになる。本実施の形態におけるアクセス制御装置１０が行う処理は、ログ情報収集部１１におけるログ収集処理と、アクセス制御部１３におけるアクセス制御処理とに大別できる。まずログ情報収集部１１が実施するログ収集処理について説明する。
【００４４】
ログ情報収集部１１は、各ログ情報生成装置からログ情報が生成される度に当該ログ情報を逐次収集する。なお、ログ情報の収集先とするログ情報生成装置は、システム管理者等により事前に決められている。このとき、各ログ情報生成装置は、時間を証明するタイムスタンプを発行する時計サーバからタイムスタンプを取得し、アクセス制御装置１０へ送信するログ情報に付加することで、時間の真正性を証明するようにしてもよい。また、各ログ情報生成装置は、ログ情報に電子署名を付加することで、情報の内容の真正性を証明するようにしてもよい。これにより、ログ情報収集部１１は、証拠能力のあるログ情報を取得できるようになる。ここで、「証拠能力のあるログ情報」というのは、ログ情報の生成元が詐称されておらず、ログ情報が改竄されておらず、日時情報が保証されており、「誰が、いつ、どこで、何を用いて、どの経路で、どの情報に対して、何をしたか」が追跡可能に生成されているログ情報のことを意味する。証拠能力のあるログ情報のみを用いることで、アクセス制御部１３は、アクセス制御をより正確に実行することが可能になるといえる。
【００４５】
続いて、本実施の形態におけるアクセス制御部１３が実施するアクセス制御処理について図６に示したフローチャートを用いて説明する。
【００４６】
いずれかのユーザ端末２からリクエストが送信されてくると、アクセス制御部１３は、そのリクエストを受信する（ステップ１０１）。そして、アクセス制御部１３は、その受信したリクエストに含まれているコマンドに対応させて必要ログ情報記憶部１７に設定されているログ情報を特定する（ステップ１０２）。続いて、アクセス制御部１３は、その特定した全てのログ情報が現在取得可能な状態であるかを判断する（ステップ１０３）。例えば、当該ログ情報が送信するログ情報生成装置が停止している場合、当該ログ情報生成装置との間のネットワークが切断されている場合などは、ログ情報が現在取得可能な状態ではなく、これ以外は現在取得可能な状態であると判断する。
【００４７】
図７は、ログ情報の関係を示した概念図である。図７には、“ｐｉｄｂ／ｇｅｔ”コマンドを例にしている。このコマンドの必要ログ情報を参照すると、当該コマンドにはログイン履歴、文書サービス履歴及び入退室履歴の各ログ情報が対応付けられている。図７から明らかなように、各ログ情報は、ＩＰアドレス及びユーザＩＤによって関連付けられている。これにより、ユーザＩＤによって「誰が」が、日時によって「いつ」が、入退室履歴の部屋から「どこで」が、ＩＰアドレスによって「何（どのユーザ端末）を用いて」が、文書サービス履歴のリクエストによって「どの情報（文書）に対して」及び「何をしたか」が、それぞれ証跡として関連付けされた状態で記録されることになる。なお、このコマンドの場合、「どの経路で」は必要でない証跡の要素と判断され、当該要素を記録するログ情報は、システム管理者等によってアクセス制御情報に設定されなかった。
【００４８】
必要ログ情報に設定されたログ情報の全てが現在取得可能な状態である場合（ステップ１０４でＹ）、当該コマンドが実行されたときの証跡は、これらのログ情報によって記録されていることになる。この場合、アクセス制御部１３は、続いてアクセス制御情報を参照して当該リクエスト（コマンド）に対応した必要状態条件を特定する（ステップ１０５）。そして、時系列的な整合性を判断する（ステップ１０６）。例えば、個人情報を閲覧する“ｐｉｄｂ／ｇｅｔ”コマンドを例にして説明すると、このコマンドの必要状態条件には、“入室中”と“ログイン中”が設定されている。通常、いずれかの部屋に設置されているユーザ端末２を用いて個人情報を閲覧するには、そのユーザ端末２が設置された部屋に入室してからユーザ端末２にログインすることになる。つまり、入室時刻がログイン時刻より先である。本実施の形態では、このような時系列的な整合性を、ログ情報を用いて検証する。図８は、本実施の形態において証跡の時間の関係を示した概念図であるが、時系列的な整合性の検証について、図８を用いて具体的に説明する。
【００４９】
アクセス制御部１３は、リクエストの内容からリクエスト要求元のユーザ端末を特定する。この例では、端末Ａからのリクエストであるとすると、アクセス制御部１３は、端末Ａのログイン履歴を参照して、リクエストの発行日時（２０１５／３／２０  １０：３４）からユーザＩＤが“ＩＤ１１１１１１”のユーザがその時点でログイン中であることからそのユーザがリクエストを発行したことを認識する。また、アクセス制御部１３は、入退室履歴を参照することで、ユーザＩＤ“ＩＤ１１１１１１”のユーザは、リクエストの発行時点に部屋Ａに入室中であることがわかる。
【００５０】
ここで、入室日時とログイン日時とを比較してみると、入室したのは２０１５年３月２０日８時１２分で、ログインした２０１５年３月２０日９時３分より前であることがわかる。すなわち、入室してからユーザ端末Ａにログインしていることから時系列的な整合性はあると判断できる。
【００５１】
このように、ログ情報の日時を比較した結果、時系列的な整合性はあると判断した場合（ステップ１０７でＹ）、アクセス制御部１３は、ステップ１０１において受信したリクエストを許可し、そのリクエストを指定された要求先へ送信する（ステップ１０８）。
【００５２】
このように、本実施の形態においては、処理が実行されたときの証跡が記録できることを確認し、かつリクエストをしたユーザの行動に時系列的な整合性があってはじめて、リクエストを処理実行装置に送るようにした。
【００５３】
一方、全てのログ情報が現在取得可能な状態でない場合（ステップ１０４でＮ）、リクエストに応じて処理を実行しても、その実行の証跡が記録できないと判断して、アクセス制御部１３は、そのリクエストを拒否する（ステップ１０９）。例えば、個人情報を閲覧する“ｐｉｄｂ／ｇｅｔ”コマンドの場合、入退室管理サーバからログ情報が収集できない状態であれば、「どこで（どの部屋で）」の証跡を記録できない。この場合、アクセス制御部１３は、リクエストを拒否した旨をリクエスト送信元へ通知する。
【００５４】
ところで、上記説明においては、アクセス制御装置１０がユーザ端末２からのリクエストを一括して受け付け、証跡の記録が可能かどうかによって処理の実行を許可するかどうかを判断し、該当する処理実行装置にリクエストを配信するようにした。つまり、アクセス制御装置１０に受付手段、制御手段及び送信手段として機能させることで、要求された処理の実行制御を、実行制御装置が一括して行うようにした。ただ、各処理実行装置に受付手段及び制御手段を配設することで各処理実行装置がそれぞれ処理の実行を許可するかどうかを判断するように構成してもよい。この場合、アクセス制御装置１０におけるアクセス制御機能は各処理実行装置に割り振られ、アクセス制御装置１０は、ログ情報収集機能及びログ情報等の記憶手段として機能することになる。
【００５５】
基本的な処理の流れは上記と同様でよいが、ユーザ端末２から送信されるリクエストは、当該処理を実行する処理実行装置が直接受信する。リクエストを受信した処理実行装置は、リクエストに基づきアクセス制御装置１０に問い合わせることで、あるいは自らログ情報を解析することで処理を実行したときの証跡の記録に必要なログ情報が収集可能であるかを判断し、収集可能な状態であれば処理を実行する。
【００５６】
なお、本実施の形態では、例えば「誰が」という証跡を記録するログ情報をアクセス制御情報に設定した。アクセス制御情報に基づき作成される必要ログ情報によると、文書取得コマンド（ｄｏｃｄｂ／ｇｅｔ）においてはログイン履歴にて「誰が」の証跡を確認するようにした。ただ、ログ管理情報を参照すれば明らかなように「誰が」を特定しうるログ情報はログイン履歴に限るものではない。従って、仮にログイン履歴のログ情報が収集できない状態のときにはログイン履歴に代えて他のログ情報の「誰が」（ユーザＩＤ）を参照するようにしてもよい。あるいは、「誰が」の証跡のために複数のログ情報を必要ログ情報に設定するようにしてもよい。
【符号の説明】
【００５７】
１  ログ情報生成装置、２  ユーザ端末、１０  アクセス制御装置、１１  ログ情報収集部、１２  必要ログ情報生成部、１３  アクセス制御部、１４  ログ情報蓄積部、１５  アクセス制御情報記憶部、１６  ログ管理情報記憶部、１７  必要ログ情報記憶部、２１  ＣＰＵ、２２  ＲＯＭ、２３  ＲＡＭ、２４  ハードディスクドライブ（ＨＤＤ）、２５  マウス、２６  キーボード、２７  ディスプレイ、２８  入出力コントローラ、２９  ネットワークコントローラ、３０  内部バス。
【図１】
0006569378.tif 000002
【図２】
0006569378.tif 000003
【図３】
0006569378.tif 000004
【図４】
0006569378.tif 000005
【図５】
0006569378.tif 000006
【図６】
0006569378.tif 000007
【図７】
0006569378.tif 000008
【図８】
0006569378.tif 000009