(57)【要約】【課題】閲覧者の履歴を残す事により、職員による不正が行われた場合の証拠として成り立たせ、これにより職員による不正を防ぐ効果を期待する。【解決手段】住民情報にアクセスする端末及びシステムにおいて、住民情報を画面に表示する端末に電波受信装置を備え、一以上の職員が携帯する職員識別情報発信装置から発する電波を該受信装置で受信し、端末と回線で接続するサーバ内の職員情報を管理する職員情報データベースと照合して該当する職員を特定することにより一以上の画面閲覧者を特定し、表示中の情報と対応付けて履歴として格納する。【選択図】  図１
2004246629.tif 000002
【特許請求の範囲】
【請求項１】
住民情報にアクセスする端末及びシステムにおいて、住民情報を画面に表示する端末に電波受信装置を備え、一以上の職員が携帯する職員識別情報発信装置から発する電波を該受信装置で受信し、端末と回線で接続するサーバ内の職員情報を管理する職員情報データベースと照合して該当する職員を特定することにより一以上の画面閲覧者を特定し、表示中の情報と対応付けて履歴として格納することを特徴とする操作監視システム。
【請求項２】
請求項１に記載の操作監視システムにおいて、システムへのログイン時に操作者が入力したユーザ識別情報とパスワード及び受信装置で受信した一以上の職員識別情報が全て登録情報と一致した場合にログインを許可し、受信した職員識別情報の中に職員情報データベースに該当するものが無い識別情報が含まれる場合はログインを非許可とし、かつサーバが以降の端末との送受信を受付けないまたは端末が操作を受付けないことを特徴とする操作監視システム。
【請求項３】
請求項１または２に記載の操作監視システムにおいて、端末と回線で接続するサーバに一定時間以上受信装置からの受信情報が送信されない場合に、サーバが該当する端末との送受信を受付けないことを特徴とする操作監視システム。
【請求項４】
住民情報にアクセスする端末及びシステムにおいて、ネットワークに接続される全ての端末の物理アドレス表を住民情報を管理するサーバ側または職員管理情報を管理するサーバ側に備え、端末との通信を確立する際に該端末の物理アドレスがアドレス表に無い場合、サーバはその端末からの送受信要求を全て破棄もしくは無視し、サーバから他の接続端末へ警報を発する、またはネットワークを管理する他のサーバへ管理外端末の検出を通知することを特徴とする操作監視システム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、住民基本台帳のような住民情報を扱う上で必要なレベルのセキュリティを備えた住民情報を管理するシステムに関する。
【０００２】
【従来の技術】
重要な情報を扱うシステムにおいては、不正な操作者の操作を防止する他に、正当な操作者以外に画面情報を見せないようにすることが求められている。通常の端末に搭載されているようなスクリーンセーバーや画面ロック等による画面の保護技術では、ユーザのＩＤとパスワードにより保護を解除でき、単純なパスワードを用いている場合には他者に容易に解除されてしまうという問題があった。
【０００３】
この問題を解決するシステムとしては、特許第２９３１２７６号に示される様な操作者一人に操作を許可し、操作者の持つ無線ＩＤカードからの発信を検出して一定の距離に近づいた際に端末の使用を可能とし、離れた際には電子ロックがなされるというシステムがある。
【０００４】
【特許文献１】
特許第２９３１２７６号
【０００５】
【発明が解決しようとする課題】
しかし上記従来のシステムでは、操作者がロックを解除して操作している時は、画面情報を保護することができず、画面が見える位置にいる者が情報を不正に入手する可能性があり、また端末近傍にいる者を監視する仕組みが無く不正入手者を特定できないという問題があった。
【０００６】
また、正当な操作者においても、外部から持ち込んだ端末と既存端末をつなぎ換えて正当な端末のように見せかけて情報を格納し、外部に持ち出すという可能性がある。このような「端末の成りすまし」はシステムの知識を有する者なら容易に実行することができるという問題があった。
【０００７】
本発明の目的は、上記操作者以外の画面閲覧者による情報の流出及び操作者の不正操作による情報の流出の防止を支援する操作監視システムを提供することにある。
【０００８】
【課題を解決するための手段】
上記一つ目の課題である画面閲覧者による情報の流出防止を支援する手段として、住民情報に触れる可能性のある職員全員に職員識別情報である職員ＩＤを無線発信する装置を内蔵した職員証等を配布し、住民情報にアクセスする端末には職員証の発信する職員ＩＤを受信する受信装置を設ける。職員証は常時または端末からの電波を受信して職員ＩＤを発信し、端末は受信装置から一定距離以内の複数の職員ＩＤを受信し、その情報を定期的に格納または職員管理情報を備えるサーバに送信する。受信した職員ＩＤをサーバ内の職員管理情報と照合し、端末の近傍にいる職員が誰であるかを特定する。このＩＤまたは職員を特定する情報と、受信時にアクセスしている情報を識別するレコード番号等とを対応付けて職員管理情報を備えるサーバまたは端末内に格納し、情報閲覧者の履歴を管理する。この履歴により誰が何を閲覧したかが確認できるので、情報流出時に該当者を絞り込む手がかりとなり、結果的に画面閲覧者による情報の流出を防止する効果を生じる。
【０００９】
また、受信した職員ＩＤをユーザＩＤとパスワードと合わせて住民情報へのアクセスまたは端末操作許可の認証情報として利用しても良い。サーバ内の職員管理情報に無い不正な職員ＩＤを検出した場合には住民情報へのアクセスまたは端末操作を禁止することで、よりセキュリティの高い情報管理が実現する。
【００１０】
また、この端末受信装置が物理的に外されて閲覧者の検出が不可能となった場合に、端末の操作が出来ないよう電子ロック機能を設ける。職員管理情報をもつサーバが端末からの職員ＩＤの送信を監視し、一定時間以上職員ＩＤの送信が無いことで閲覧者の検出不可と判定する。この判定後、端末からの操作を受付けないことにより、少なくとも外された時点の情報以上の閲覧・操作を不可能とすることができる。更に、受信した職員ＩＤとログインＩＤ及びパスワードを確認する事により、職員証等の発信装置の盗難における不正使用を防ぐ事が可能となる。
【００１１】
二つ目の課題であるシステム有識者による不正操作による情報の流出の防止については、不正接続自体を不可能とする為に、ＭＡＣアドレス（物理アドレス）を住民情報を蓄えるサーバまたは職員管理情報を備えるサーバに登録する。端末との通信を確立する際に該端末のＭＡＣアドレスサーバのアドレス表に無い場合、サーバはその端末からの送受信要求を全て破棄もしくは無視し、サーバから他の接続端末へ警報を発する、またはネットワークを管理する他のサーバへ管理外端末の検出を通知する機能を備える。これにより、ネットワーク管理サーバへの通達及び警報の発報や不正端末からの命令を破棄もしくは無視することが可能となる。
【００１２】
【発明の実施の形態】
以下、本発明の実施の例を図１、図２、図３及び図４を用いて説明する。
【００１３】
図１は、本システムの全体構成を示す図である。図１において、１は住民情報を管理するサーバ、４は職員の操作する端末装置、５は端末装置に備えた受信装置である。２は操作履歴を格納する操作データベース、３は職員情報を格納する職員情報データベースであり、１のサーバで管理しても別に管理するサーバを設けても良い。６は職員証等の職員ＩＤ発信装置である。
【００１４】
図１により操作履歴の管理処理の流れを説明する。まず、職員ＩＤ発信装置６から発信された職員ＩＤは、端末４に設けられたＢｌｕｅＴｏｏｔｈ等の無線技術を用いた受信装置５にて受信される。受信された職員ＩＤは、職員情報管理サーバの職員情報ＤＢ３にて職員の特定を行った後、アクセス中の情報のレコードＩＤと対応付けて操作履歴データベース２にその情報の閲覧者として登録される。操作履歴データベース２の管理する操作テーブル７のデータの例を図２に示す。情報の登録は一定時間もしくは画面遷移のタイミングでを行い、受信している職員ＩＤ等の操作履歴情報を操作履歴ＤＢ２へ登録する。これにより、画面表示された全ての情報に関して閲覧者の履歴が確保される。操作テーブル７は、職員が扱ったデータのレコードＩＤ２０１、操作日時２００、操作者２０２、閲覧者のデータ２０３を管理し、情報漏れ等の不正が発覚した際には、漏れた情報のレコードＩＤ２０１を元に検索が可能であり、漏れた情報を扱った操作者２０２及び閲覧者２０３が全て検索可能である。
【００１５】
次に図３により端末の監視処理の流れを説明する。図３は、端末に関する不正操作が行われた場合の模式図である。
【００１６】
各端末４が所有するＭＡＣアドレス（物理アドレス）は、予めサーバ１に登録されている。登録されているＭＡＣアドレステーブル１０は図のようなデータを持つ。
【００１７】
端末４から受信装置５が外された端末８の状態となった場合には、サーバ１が一定時間の職員ＩＤ受信が無いことを検知し端末に通知する。端末側の機能として設けた電子ロックが起動し、以降の全ての操作を無効とする。これにより、受信装置を外すことにより操作、閲覧履歴を残さずに操作するという不正行為を防ぐ事が可能となる。
【００１８】
また、サーバ１に登録されていないＭＡＣアドレスを持つ端末９が接続された場合には、サーバ側にてネットワーク上に流れたＭＡＣアドレスとＭＡＣアドレステーブル１０とのチェックによりつなぎ替えを検知し、ネットワーク管理サーバへの通知もしくは自ら警報を発報する機能により、不正を防ぐ事が可能となる。この際のサーバ及び端末の処理フローの例を図４に示す。端末の電源が入れられ初期の立ち上げ動作が完了した後にＭＡＣアドレスを付与したパケットをサーバへ送付する。それを受け取ったサーバは、ＭＡＣアドレステーブルを検索して正規の端末である事を確認し、確認された事を端末へ伝達した後に端末はログイン可能な状態となる。
【００１９】
【発明の効果】
本発明によれば、閲覧者の履歴が残る事により、職員による不正が行われた場合の証拠として成り立ち、これにより職員による不正を防ぐ効果が期待できる。また、電子ロック機能とサーバへのＭＡＣアドレス登録により、職員による物理的な不正行為も防ぐ事が可能となる。
【図面の簡単な説明】
【図１】本発明のシステム構成図である。
【図２】操作テーブルの内容を示す図である。
【図３】端末に関する不正操作が行われた場合の模式図である。
【図４】ＭＡＣアドレス検知に関する処理の流れの一例を示した図である。
【符号の説明】
１…サーバ、２…操作ＤＢ、３…職員情報ＤＢ、４…端末（パソコン）、５…受信装置、６…職員証等職員ＩＤ発信装置、７…操作テーブル、８…受信装置を外された端末（パソコン）、９…不正に繋げられた端末（パソコン）、１０…ＭＡＣアドレステーブル。
【図１】
2004246629.tif 000003
【図２】
2004246629.tif 000004
【図３】
2004246629.tif 000005
【図４】
2004246629.tif 000006