(57)【要約】【課題】一定の基準を満たす資産を保有する接続対象端末のみをネットワークに接続できるようにして、ネットワーク運用上の問題が生じたり問題のある好ましくないソフトウエアがネットワーク内に取り込まれたりするのを確実に防止する。【解決手段】認証サーバ４０が接続対象端末５０の利用者の個人認証および接続対象端末５０の端末認証を行なった後、クライアント管理サーバ１０が接続対象端末５０における資産情報を収集し、その資産情報に基づいて接続対象端末５０における資産がネットワーク接続条件（一定の基準）を満たしていることが認証された場合に、認証サーバ４０が接続対象端末５０とネットワーク６０とを接続するよう制御する。【選択図】図１
2005346183.tif 000002
【特許請求の範囲】
【請求項１】
クライアントにおける資産情報を収集し該クライアントにおける資産を管理するクライアント管理サーバと、
ネットワークへの接続対象端末についての認証を行ない、その認証結果に応じて該接続対象端末と該ネットワークおよび該クライアント管理サーバとの間の遮断／接続の切換えを制御する認証サーバとをそなえ、
該認証サーバが、該接続対象端末の利用者によって入力される個人認証情報に基づき該利用者が登録者であるか否かを判定して該利用者の個人認証を行なうとともに、該接続対象端末が該クライアント管理サーバのクライアントたる端末であるか否かを認識して該接続対象端末の端末認証を行ない、該利用者が登録者であることを認証し且つ該接続対象端末が該クライアント管理サーバのクライアントたる端末であることを認証した場合、該接続対象端末と該ネットワークとの間の遮断状態を維持しつつ該接続対象端末と該クライアント管理サーバとの間を遮断状態から接続状態に切り換えるように制御し、
該接続対象端末に接続された該クライアント管理サーバが、該接続対象端末における資産情報を収集し、
該認証サーバが、該クライアント管理サーバによって収集された該接続対象端末における資産情報に基づき該接続対象端末における資産が予め設定されたネットワーク接続条件を満たしているか否かを判定して該接続対象端末の資産認証を行ない、当該資産が該ネットワーク接続条件を満たしていることを認証した場合、該接続対象端末と該ネットワークとの間を遮断状態から接続状態に切り換えるように制御することを特徴とする、ネットワーク接続制御システム。
【請求項２】
該認証サーバが、当該資産が該ネットワーク接続条件を満たしていないと判定した場合、該接続対象端末と該ネットワークとの間の遮断状態を維持し、
該クライアント管理サーバが、当該資産が該ネットワーク接続条件を満たすように該接続対象端末における資産のメンテナンスを実行した後、
該認証サーバが、該接続対象端末の資産認証を再度行ない、当該資産が該ネットワーク接続条件を満たしていることを認証した場合、該接続対象端末と該ネットワークとの間を遮断状態から接続状態に切り換えるように制御することを特徴とする、請求項１記載のネットワーク接続制御システム。
【請求項３】
該認証サーバが、該利用者が登録者ではないと判定した場合もしくは該接続対象端末が該クライアント管理サーバのクライアントたる端末ではないと認識した場合、該接続対象端末と該ネットワークおよび該クライアント管理サーバとの間の遮断状態を維持することを特徴とする、請求項１または請求項２に記載のネットワーク接続制御システム。
【請求項４】
該接続対象端末における資産が該ネットワークの運用に必要なソフトウエアを含んでいることを、該ネットワーク接続条件とすることを特徴とする、請求項１〜請求項３のいずれか１項に記載のネットワーク接続制御システム。
【請求項５】
該ネットワークの運用に必要なソフトウエアがセキュリティパッチ更新ソフトウエアであることを特徴とする、請求項４記載のネットワーク制御システム。
【請求項６】
該認証サーバが、該セキュリティパッチ更新ソフトウエアにより最新のセキュリティパッチが該接続対象端末の基本ソフトウエアに適用されているか否かを判定し、最新のセキュリティパッチが適用されていない場合、該接続対象端末と該ネットワークとの間の遮断状態を維持しつつ該セキュリティパッチ更新ソフトウエアにセキュリティパッチの更新を実行させてから、該接続対象端末と該ネットワークとの間を遮断状態から接続状態に切り換えるように制御することを特徴とする、請求項５記載のネットワーク制御システム。
【請求項７】
該ネットワークの運用に必要なソフトウエアがウイルス対策ソフトウエアであることを特徴とする、請求項４〜請求項６のいずれか１項に記載のネットワーク制御システム。
【請求項８】
該認証サーバが、該ウイルス対策ソフトウエアによりウイルス定義ファイルが最新のものに更新されているか否かを判定し、該ウイルス定義ファイルが最新のものに更新されていない場合、該接続対象端末と該ネットワークとの間の遮断状態を維持しつつ該ウイルス対策ソフトウエアにウイルス定義ファイルの更新を実行させてから、該接続対象端末と該ネットワークとの間を遮断状態から接続状態に切り換えるように制御することを特徴とする、請求項７記載のネットワーク制御システム。
【請求項９】
該接続対象端末における資産が該ネットワークの運用に影響を与え障害発生要因となりうるソフトウエアを含んでいないことを、該ネットワーク接続条件とすることを特徴とする、請求項１〜請求項８のいずれか１項に記載のネットワーク接続制御システム。
【請求項１０】
ネットワークへの接続対象端末についての認証を行ない、その認証結果に応じて該接続対象端末と該ネットワークおよびクライアントにおける資産情報を収集し該クライアントにおける資産を管理するクライアント管理サーバとの間の遮断／接続の切換えを制御するサーバとして、コンピュータを機能させるネットワーク接続制御プログラムであって、
該接続対象端末の利用者によって入力される個人認証情報に基づき該利用者が登録者であるか否かを判定して該利用者の個人認証を行なう個人認証部、
該接続対象端末が該クライアント管理サーバのクライアントたる端末であるか否かを認識して該接続対象端末の端末認証を行なう端末認証部、
該クライアント管理サーバによって収集された該接続対象端末における資産情報に基づき該接続対象端末における資産が予め設定されたネットワーク接続条件を満たしているか否かを判定して該接続対象端末の資産認証を行なう資産認証部、および、
該個人認証部によって該利用者が登録者であることが認証され且つ該端末認証部によって該接続対象端末が該クライアント管理サーバのクライアントたる端末であることを認証された場合に該接続対象端末と該ネットワークとの間の遮断状態を維持しつつ該接続対象端末と該クライアント管理サーバとの間を遮断状態から接続状態に切り換えるように制御し、該クライアント管理サーバによって該接続対象端末における資産情報が収集された後に該資産認証部によって該接続対象端末における資産が該ネットワーク接続条件を満たしていることを認証した場合に該接続対象端末と該ネットワークとの間を遮断状態から接続状態に切り換えるように制御する制御部として、該コンピュータを機能させることを特徴とする、ネットワーク接続制御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、例えば、企業等の社内ネットワークや大学等の学内ネットワークに対し、ノートパソコン等の端末を接続するためのシステムに関し、特に、その端末における資産情報（例えば端末内に保有されるソフトウエアに関する情報）に基づいて、当該端末と上記ネットワークとの間の遮断／接続を制御するネットワーク接続制御システムおよびネットワーク接続制御プログラムに関する。
【背景技術】
【０００２】
企業等の社内ネットワークや学校等の学内ネットワークでは、外部から社内／学内に持ち込まれたノートパソコンなどからウイルスがネットワークに侵入し爆発的に感染が広がることがあるほか、安全上問題のあるパソコン（以下、ＰＣという）を放置することで機密情報や個人情報などの漏洩するおそれがある。
そこで、ネットワークに接続されたＰＣを、一旦、検疫ネットワークに強制的に接続させ、この検疫ネットワークにより、そのＰＣがウイルス対策やセキュリティホールの修復を十分に施されたものであるか否かを調べ、十分に対策を施されたＰＣのみをネットワークに接続する技術が提案されている（下記非特許文献１参照）。
【非特許文献１】２００４年（平成１６年）５月２０日発行の日経産業新聞（日本経済新聞社刊）第１面のタイトル“社内ネットに「検疫所」”の記事
【発明の開示】
【発明が解決しようとする課題】
【０００３】
しかしながら、下記非特許文献１に開示されたシステムでは、ウイルス対策ソフトウエアの更新や基本ソフトウエア（ＯＳ：Operating System）の安全上の欠陥であるセキュリティホールの修復を実行していない危険なＰＣ（非セキュア(insecure)なＰＣ）がネットワークに接続されるのを防止することはできるが、ウイルス対策やセキュリティホールの修復を施されたＰＣであれば、どのようなＰＣでもネットワークに接続することが可能である。
【０００４】
通常、外部から持ち込まれてネットワークに接続されるＰＣには、どのようなソフトウエアが保有されているか分からず、ネットワークの運用に必要なソフトウエアを保有していなかったりネットワークの運用に影響を与え障害発生要因となりうるソフトウエアを含んでいるようなＰＣがネットワークに接続されると、ネットワークの運用上、問題を生じる場合がある。また、ネットワークに接続されたＰＣに、違法性のあるソフトウエア（例えば著作権法上問題のあるファイル交換ソフトウエア等）や公序良俗に反するソフトウエアが保有されていると、これらのソフトウエアがネットワーク内に取り込まれる可能性があり好ましくない。
【０００５】
このため、社内ネットワークや学内ネットワークなどにＰＣを接続する際に、接続対象ＰＣに保有されている資産（ソフトウエアやハードウエア）を認識し、その資産が一定の基準（ネットワーク接続条件）を満たす場合に接続対象ＰＣをネットワークに接続する一方、一定の基準を満たさない場合には接続対象ＰＣをネットワークに接続しないようにすることが望まれている。
【０００６】
本発明は、このような状況に鑑み創案されたもので、接続対象端末における資産情報に基づいて接続対象端末とネットワークとの間の遮断／接続を制御することにより、一定の基準を満たす資産を保有する接続対象端末のみをネットワークに接続できるようにして、ネットワーク運用上の問題が生じたり問題のある好ましくないソフトウエアがネットワーク内に取り込まれたりするのを確実に防止することを目的としている。
【課題を解決するための手段】
【０００７】
上記目的を達成するために、本発明のネットワーク接続制御システム（請求項１）は、クライアントにおける資産情報を収集し該クライアントにおける資産を管理するクライアント管理サーバと、ネットワークへの接続対象端末についての認証を行ない、その認証結果に応じて該接続対象端末と該ネットワークおよび該クライアント管理サーバとの間の遮断／接続の切換えを制御する認証サーバとをそなえ、該認証サーバが、該接続対象端末の利用者によって入力される個人認証情報に基づき該利用者が登録者であるか否かを判定して該利用者の個人認証を行なうとともに、該接続対象端末が該クライアント管理サーバのクライアントたる端末であるか否かを認識して該接続対象端末の端末認証を行ない、該利用者が登録者であることを認証し且つ該接続対象端末が該クライアント管理サーバのクライアントたる端末であることを認証した場合、該接続対象端末と該ネットワークとの間の遮断状態を維持しつつ該接続対象端末と該クライアント管理サーバとの間を遮断状態から接続状態に切り換えるように制御し、該接続対象端末に接続された該クライアント管理サーバが、該接続対象端末における資産情報を収集し、該認証サーバが、該クライアント管理サーバによって収集された該接続対象端末における資産情報に基づき該接続対象端末における資産が予め設定されたネットワーク接続条件を満たしているか否かを判定して該接続対象端末の資産認証を行ない、当該資産が該ネットワーク接続条件を満たしていることを認証した場合、該接続対象端末と該ネットワークとの間を遮断状態から接続状態に切り換えるように制御することを特徴としている。
【０００８】
このとき、該認証サーバが、当該資産が該ネットワーク接続条件を満たしていないと判定した場合、該接続対象端末と該ネットワークとの間の遮断状態を維持し、該クライアント管理サーバが、当該資産が該ネットワーク接続条件を満たすように該接続対象端末における資産のメンテナンスを実行した後、該認証サーバが、該接続対象端末の資産認証を再度行ない、当該資産が該ネットワーク接続条件を満たしていることを認証した場合、該接続対象端末と該ネットワークとの間を遮断状態から接続状態に切り換えるように制御するように構成してもよい（請求項２）。
【０００９】
また、該認証サーバが、該利用者が登録者ではないと判定した場合もしくは該接続対象端末が該クライアント管理サーバのクライアントたる端末ではないと認識した場合、該接続対象端末と該ネットワークおよび該クライアント管理サーバとの間の遮断状態を維持すせるように構成してもよい（請求項３）。
なお、前記ネットワーク接続条件としては、例えば以下の条件(1),(2)が適用される。
【００１０】
(1)該接続対象端末における資産が該ネットワークの運用に必要なソフトウエアを含んでいること（請求項４）。ここで、該ネットワークの運用に必要なソフトウエアとしては、例えば、セキュリティパッチ更新ソフトウエア（請求項５）やウイルス対策ソフトウエア（請求項７）が挙げられる。
(2)該接続対象端末における資産が該ネットワークの運用に影響を与え障害発生要因となりうるソフトウエアを含んでいないこと（請求項９）。
【００１１】
また、上記項目(1)のネットワーク接続条件を適用する場合には、以下のような構成(1-1)および(1-2)をさらに適用することも可能である。
(1-1)該認証サーバが、該セキュリティパッチ更新ソフトウエアにより最新のセキュリティパッチが該接続対象端末の基本ソフトウエアに適用されているか否かを判定し、最新のセキュリティパッチが適用されていない場合、該接続対象端末と該ネットワークとの間の遮断状態を維持しつつ該セキュリティパッチ更新ソフトウエアにセキュリティパッチの更新を実行させてから、該接続対象端末と該ネットワークとの間を遮断状態から接続状態に切り換えるように制御する（請求項６）。
【００１２】
(1-2)該認証サーバが、該ウイルス対策ソフトウエアによりウイルス定義ファイルが最新のものに更新されているか否かを判定し、該ウイルス定義ファイルが最新のものに更新されていない場合、該接続対象端末と該ネットワークとの間の遮断状態を維持しつつ該ウイルス対策ソフトウエアにウイルス定義ファイルの更新を実行させてから、該接続対象端末と該ネットワークとの間を遮断状態から接続状態に切り換えるように制御する（請求項８）。
【００１３】
一方、本発明のネットワーク接続制御プログラム（請求項１０）は、ネットワークへの接続対象端末についての認証を行ない、その認証結果に応じて該接続対象端末と該ネットワークおよびクライアントにおける資産情報を収集し該クライアントにおける資産を管理するクライアント管理サーバとの間の遮断／接続の切換えを制御するサーバとして、コンピュータを機能させるものであって、該接続対象端末の利用者によって入力される個人認証情報に基づき該利用者が登録者であるか否かを判定して該利用者の個人認証を行なう個人認証部、該接続対象端末が該クライアント管理サーバのクライアントたる端末であるか否かを認識して該接続対象端末の端末認証を行なう端末認証部、該クライアント管理サーバによって収集された該接続対象端末における資産情報に基づき該接続対象端末における資産が予め設定されたネットワーク接続条件を満たしているか否かを判定して該接続対象端末の資産認証を行なう資産認証部、および、該個人認証部によって該利用者が登録者であることが認証され且つ該端末認証部によって該接続対象端末が該クライアント管理サーバのクライアントたる端末であることを認証された場合に該接続対象端末と該ネットワークとの間の遮断状態を維持しつつ該接続対象端末と該クライアント管理サーバとの間を遮断状態から接続状態に切り換えるように制御し、該クライアント管理サーバによって該接続対象端末における資産情報が収集された後に該資産認証部によって該接続対象端末における資産が該ネットワーク接続条件を満たしていることを認証した場合に該接続対象端末と該ネットワークとの間を遮断状態から接続状態に切り換えるように制御する制御部として、該コンピュータを機能させることを特徴としている。
【発明の効果】
【００１４】
上述した本発明によれば、ネットワークへの接続対象端末の利用者の個人認証およびその接続対象端末の端末認証が行なわれた後、クライアント管理サーバにより接続対象端末における資産情報が収集され、その資産情報に基づいて接続対象端末における資産がネットワーク接続条件（一定の基準）を満たしていることが認証された場合に、接続対象端末とネットワークとを接続するように制御されるので、一定の基準を満たす資産を保有する接続対象端末のみがネットワークに接続されることになり、ネットワーク運用上の問題が生じたり問題のある好ましくないソフトウエアがネットワーク内に取り込まれたりするのを確実に防止することができる。
【００１５】
このとき、接続対象端末の資産がネットワーク接続条件を満たしていない場合、クライアント管理サーバにより、その資産が一定の基準を満たすように接続対象端末における資産のメンテナンスが実行された後、接続対象端末とネットワークとを接続するように制御されるので、接続対象端末の資産が一定の基準を満たしていないためにネットワークとの接続を一旦拒否されても、接続対象端末を、一定の基準を満たす状態にしてから、ネットワークに接続することができる。
【００１６】
また、利用者が登録者ではない場合もしくは接続対象端末がクライアント管理サーバのクライアントたる端末ではない場合、接続対象端末とネットワークおよびクライアント管理サーバとの間の遮断状態を維持するので、不正な利用者が端末を介してネットワークにアクセスしたり、ネットワークへのアクセス権をもたない不正な端末がネットワークに接続されたりするのを確実に防止することができる。
【００１７】
さらに、接続対象端末の基本ソフトウエアに最新のセキュリティパッチが適用されていない場合やウイルス定義ファイルが最新のものに更新されていない場合、セキュリティパッチやウイルス定義ファイルの更新を実行してから接続対象端末とネットワークとの間を接続状態に切り換えるように制御されるので、ウイルス対策ソフトウエアの更新や基本ソフトウエアのセキュリティホールの修復を実行していない危険な端末（非セキュアな端末）がネットワークに接続されるのを確実に防止することができる。また、接続対象端末が非セキュアであるとしてネットワークとの接続を一旦拒否されても、接続対象端末をセキュアな状態にしてからネットワークに安全に接続することができる。
【発明を実施するための最良の形態】
【００１８】
以下、図面を参照して本発明の実施の形態を説明する。
〔１〕本実施形態のネットワーク接続制御システムの構成
図１は本発明の一実施形態としてのネットワーク接続制御システムの機能構成を示すブロック図、図４は同システムの全体構成を示す図で、これらの図１および図４に示すように、本実施形態のネットワーク接続制御システム１は、クライアント管理サーバ１０，クライアント情報データベース２０，スイッチ３０および認証サーバ４０をそなえて構成されている。
【００１９】
クライアント管理サーバ１０は、クライアントにおける資産情報を収集しこのクライアントにおける資産（実行環境）を管理するもので、必要に応じてソフトウエアをクライアントにインストールする機能を有している。クライアント管理サーバ１０としての機能は、ＰＣ等に所定のアプリケーションプログラムをインストールし、そのプログラムをＰＣ（ＣＰＵ）に実行させることによって実現される。
【００２０】
このクライアント管理サーバ１０によって収集される資産情報（インベントリ／実行環境情報）には、クライアントにおけるハードウエア資源やソフトウエア資源に関する情報が含まれる。
ハードウエア資源に関する情報としては、例えば、コンピュータ名／ＯＳ／ＣＰＵ／ＣＰＵスピード／キーボードタイプ／物理メモリ／利用可能メモリ／ビデオカード／解像度／プリンタ／スワップサイズ／ドメイン名／ログオンユーザ名／モデル名／ネットワークカード／ＭＡＣアドレス／ＩＰアドレス／ネットマスク／デフォルトゲートウェイ／ＤＮＳサーバ／ソケットバージョン／ローカルドライブ毎の総容量や空き容量／ＢＩＯＳバージョン／ＢＩＯＳメーカ／マシンメーカ／マシン名／マシンシリアルマシンＵＵＩＤ／マザーボードメーカ名／マザーボード名／ＣＰＵ ＩＤなどに関する情報が挙げられる。
【００２１】
また、ソフトウエア資源に関する情報としては、クライアントに保有されているソフトウエア（各種アプリケーションプログラム）に関する情報（例えば、製品名，詳細バージョン，ファイルサイズ，ファイル更新日など）が挙げられる。特に、ＯＳのセキュリティホールを修復するためのセキュリティパッチ更新ソフトウエア〔例えば“Windows(登録商標) Update”等〕をクライアントが保有している場合には、セキュリティパッチの更新情報（最新であるか否か）も収集される。さらに、ウイルス対策ソフトウエア〔例えば“Norton AntiVilus(登録商標)”等〕をクライアントが保有している場合には、そのウイルス対策ソフトウエアにおけるウイルス定義ファイルの更新情報（最新であるか否か）も収集される。
【００２２】
このようなクライアント管理サーバ１０の管理対象となるクライアントに対しては、そのクライアントが管理対象であることを識別するための個体識別情報が予め設定され、そのクライアント内に設定登録されている。この個体識別情報（ホストＩＤ）は、管理対象のクライアントに予めインストールされた管理用ソフトウエアであるエージェントによって設定される。本実施形態では、後述するごとく上記個体識別情報を用いて接続対象端末５０（５０ａ，５０ｂ，５０ｃ；図４参照）の端末認証が行なわれるようになっている。
【００２３】
クライアント情報データベース２０は、クライアント管理サーバ１０によって収集された、上述のごとき資産情報を保持するものである。
スイッチ３０は、ネットワーク６０に接続されるべきノートＰＣ等の端末（以下、接続対象端末という）５０を連結接続され、この接続対象端末５０とネットワーク６０およびクライアント管理サーバ１０との間の遮断／接続の切換えを行なうもので、図１に示すように、上記コネクタ３１および２つの遮断／接続切換部３２，３３をそなえて構成されている。
【００２４】
コネクタ３１は接続対象端末５０側のコネクタ５１を連結されるものであり、このコネクタ３１にコネクタ５１を連結することにより接続対象端末５０がスイッチ３０に接続されるようになっている。
遮断／接続切換部３２は、接続対象端末５０とクライアント管理サーバ１０とを接続する通信ライン上に介装され、接続対象端末５０とクライアント管理サーバ１０との間の遮断／接続の切換えを行なうものである。同様に、遮断／接続切換部３３は、接続対象端末５０とネットワーク６０とを接続する通信ライン上に介装され、接続対象端末５０とネットワーク６０との間の遮断／接続の切換えを行なうものである。これらの遮断／接続切換部３２，３３による遮断（開）／接続（閉）の切換えは、後述する認証サーバ４０（スイッチ制御部４５）によって制御される。また、接続対象端末５０をスイッチ３０に接続した当初において、遮断／接続切換部３２，３３は常に遮断状態（開状態）に保たれ、このような状態で接続対象端末５０と認証サーバ４０とは相互に通信可能に接続されるようになっている。
【００２５】
なお、図１では、遮断／接続切換部３２，３３が、いずれも、接続対象端末５０とクライアント管理サーバ１０およびネットワーク６０との間の通信を物理的に遮断している状態（開状態）が図示されているが、遮断／接続切換部３２，３３はハードウエアによって実現されてもよいしソフトウエアによって実現されてもよい。また、図１に示す例では、コネクタ３１，５１を用い有線の通信ラインで接続対象端末５０をスイッチ３０，認証サーバ４０およびクライアント管理サーバ１０に接続しているが、本発明はこれに限定されるものではなく、無線の通信ラインで接続対象端末５０をスイッチ３０，認証サーバ４０およびクライアント管理サーバ１０に接続するように構成してもよい。
【００２６】
認証サーバ４０は、スイッチ３０に接続された接続対象端末５０（５０ａ〜５０ｃ）についての認証を行なうとともに、その認証結果に応じてスイッチ３０（遮断／接続切換部３２，３３）による切換えを制御することにより接続対象端末５０（５０ａ〜５０ｃ）の通信を制御する機能を有している。この認証サーバ４０は、図１に示すように、個人認証部４１，端末認証部４２，資産認証部４３，セキュリティパッチ／ウイルス定義ファイル更新チェック部４４およびスイッチ制御部４５をそなえて構成されている。なお、この認証サーバ４０としての機能も、後述するごとく、ＰＣ等に所定のアプリケーションプログラム（ネットワーク接続制御プログラム）をインストールし、そのプログラムをＰＣ（ＣＰＵ）に実行させることによって実現される。
【００２７】
個人認証部４１は、スイッチ３０に接続対象端末５０が接続された場合に、接続対象端末５０のユーザ（利用者）によって入力される個人認証情報に基づきユーザが登録者（本システムに対する正当なアクセス権を有する者）であるか否かを判定してユーザの個人認証を行なうものである。より具体的に説明すると、個人認証部４１は、認証サーバ４０もしくはクライアント管理サーバ１０（クライアント情報データベース２０）に予め登録保存されている登録者情報と接続対象端末５０のユーザによって入力された個人認証情報とを比較照合することで、ユーザの個人認証（ユーザ認証）を行なう。なお、個人認証情報としては、例えばＩＤ番号とパスワードとを接続対象端末５０のキーボードから入力してもよいし、パスワードに代えて、指紋，掌紋，虹彩，静脈パターンなどの生体情報を接続対象端末５０のセンサから入力するようにしてもよい。
【００２８】
端末認証部４２は、スイッチ３０に接続対象端末５０が接続された場合に、接続対象端末５０がクライアント管理サーバ１０のクライアントたる端末であるか否かを認識して接続対象端末５０の端末認証を行なうものである。本実施形態においては、クライアント管理サーバ１０の管理対象端末、つまりクライアント管理サーバ１０のクライアントたる端末のみがネットワーク６０へのアクセス権を有するという前提で、端末認証部４２が、上述のような端末認証を行なっている。
【００２９】
より具体的に説明すると、クライアント管理サーバ１０の管理対象であってクライアント管理サーバ１０による資産管理下にあるクライアントに対しては、上述した通り、そのクライアントが管理対象であることを識別するための個体識別情報が予め設定登録されている。そこで、本実施形態では、端末認証部４２が、接続対象端末５０（５０ａ，５０ｂ，５０ｃ）に予め登録保存されているはずの上記個体識別情報に基づいて、接続対象端末５０（５０ａ，５０ｂ，５０ｃ）がクライアント管理サーバ１０の管理対象であるか否かを認識して上記端末認証を行なえるように構成されている。
【００３０】
資産認証部４３は、クライアント管理サーバ１０によって収集された接続対象端末５０（５０ａ，５０ｂ，５０ｃ）における資産情報に基づき接続対象端末５０（５０ａ，５０ｂ，５０ｃ）における資産が予め設定されたネットワーク接続条件（一定の基準）を満たしているか否かを判定して接続対象端末５０（５０ａ，５０ｂ，５０ｃ）の資産認証を行なうものである。この資産認証部４３の、より具体的な機能や動作タイミングについては後述する。
【００３１】
セキュリティパッチ／ウイルス定義ファイル更新チェック部４４は、セキュリティパッチ更新ソフトウエアにより最新のセキュリティパッチが接続対象端末５０（５０ａ，５０ｂ，５０ｃ）のＯＳに適用されているか否かを判定するほか、接続対象端末５０（５０ａ，５０ｂ，５０ｃ）においてウイルス対策ソフトウエアによりウイルス定義ファイルが最新のものに更新されているか否かを判定するものである。このセキュリティパッチ／ウイルス定義ファイル更新チェック部４４の、より具体的な機能や動作タイミングについては後述する。
【００３２】
スイッチ制御部（制御部）４５は、上述した個人認証部４１，端末認証部４２，資産認証部４３およびセキュリティパッチ／ウイルス定義ファイル更新チェック部４４による認証結果やチェック結果に応じて、スイッチ３０における２つの遮断／接続切換部３２，３３の切換を制御するものであり、以下に、その切換制御のタイミングや条件について、資産認証部４３およびセキュリティパッチ／ウイルス定義ファイル更新チェック部４４の機能や動作タイミングとともに説明する。
【００３３】
個人認証部４１によってユーザが登録者であることが認証され、且つ、端末認証部４２によって接続対象端末５０がクライアント管理サーバ１０のクライアントたる端末であることが認証された場合、スイッチ制御部４５は、接続対象端末５０とネットワーク６０との間の遮断状態（遮断／接続切換部３３の開状態）を維持しつつ、接続対象端末５０とクライアント管理サーバ１０との間における遮断／接続切換部３２を遮断状態（開状態）から接続状態（閉状態）に切り換えるようにスイッチ３０を制御する。これにより、接続対象端末５０とクライアント管理サーバ１０とが相互に通信可能に接続されることになる。
【００３４】
スイッチ３０を介して接続対象端末５０に接続されたクライアント管理サーバ１０は、接続対象端末５０における資産情報を収集し、収集された資産情報をクライアント情報データベース２０に保存するようになっている。
このように接続対象端末５０における資産情報が収集・保存されると、資産認証部４３が動作し、クライアント管理サーバ１０によって収集された接続対象端末５０における資産情報に基づき接続対象端末５０の資産認証を行なう。資産認証部４３が、接続対象端末５０における資産がネットワーク接続条件を満たしていることを認証した場合、スイッチ制御部４５は、接続対象端末５０とネットワーク６０との間における遮断／接続切換部３３を遮断状態（開状態）から接続状態（閉状態）に切り換えるようにスイッチ３０を制御する。これにより、接続対象端末５０とネットワーク（全てのネットワークリソース）６０とが相互に通信可能に接続されることになる。
【００３５】
このとき、本実施形態において適用されるネットワーク接続条件（ポリシ定義，一定の基準）としては、例えば、以下の条件(11)〜(15)が挙げられる。
(11)接続対象端末５０における資産がネットワーク６０の運用に必要なソフトウエア、例えば、ネットワーク６０の安全な運用に必要となる、セキュリティパッチ更新ソフトウエアやウイルス対策ソフトウエアを含んでいること。
【００３６】
(12)接続対象端末５０における資産がネットワーク６０の運用に影響を与え障害発生要因となりうるソフトウエアを含んでいないこと。
(13)接続対象端末５０における資産が違法性のあるソフトウエア（例えば著作権法上問題のあるファイル交換ソフトウエア等）を含んでいないこと。
(14)接続対象端末５０における資産が公序良俗に反するソフトウエアを含んでいないこと。
【００３７】
(15)接続対象端末５０における資産（例えばＯＳを含む各種ソフトウエア）における設定情報（例えばユーザ名，パスワード等）として、企業等のセキュリティポリシ上、認められていないものが含まれていないこと。
このようなネットワーク接続条件は、クライアント管理サーバ１０（クライアント情報データベース２０）もしくは認証サーバ４０にポリシ定義として予め登録保存されている。そして、接続対象端末５０における資産がネットワーク接続条件を満たしているか否かのポリシチェック（ポリシ判定）は、資産認証部４３が実行してもよいが、資産認証部４３がクライアント管理サーバ１０にポリシ問い合わせを行なうことによりクライアント管理サーバ１０に実行させてもよい（図５参照）。この場合、資産認証部４３は、クライアント管理サーバ１０からのポリシチェック結果（判定結果）を受けて資産認証を行なうことになる。
【００３８】
そして、資産認証部４３が、接続対象端末５０の資産がネットワーク接続条件を満たしていないと判定した場合、スイッチ制御部４５は接続対象端末５０とネットワーク６０との間の遮断状態（遮断／接続切換部３３の開状態）を維持させ、クライアント管理サーバ１０が、接続対象端末５０の資産がネットワーク接続条件を満たすように接続対象端末５０における資産のメンテナンスを実行した後、資産認証部４３が、接続対象端末５０の資産認証を再度行ない、その資産がネットワーク接続条件を満たしていることを認証した場合に、スイッチ制御部４５が、接続対象端末５０とネットワーク６０との間における遮断／接続切換部３３を遮断状態（開状態）から接続状態（閉状態）に切り換えるようにスイッチ３０を制御するようになっている。このとき、上記メンテナンスは自動的に実行してもよいが、例えば、不適合であったネットワーク接続条件（ポリシ定義）の内容を接続対象端末５０のディスプレイ上に表示させ（例えば図５参照）、その内容を参照したユーザ等が接続対象端末５０から指示を行なうことによって上記メンテナンスを実行するようにしてもよい。
【００３９】
さらに、本実施形態では、上記項目(11)のネットワーク接続条件に対応し、資産認証部４３による接続対象端末５０の資産認証とともに、セキュリティパッチ／ウイルス定義ファイル更新チェック部４４が、セキュリティパッチ更新ソフトウエアにより最新のセキュリティパッチが接続対象端末５０のＯＳに適用されているか否かを判定するとともに、ウイルス対策ソフトウエアによりウイルス定義ファイルが最新のものに更新されているか否かを判定するようになっている。
【００４０】
このとき、最新のセキュリティパッチが適用されていないと判定された場合、上記メンテナンスの実行時と同様、スイッチ３０により接続対象端末５０とネットワーク６０との間の遮断状態（遮断／接続切換部３３の開状態）を維持しつつセキュリティパッチ更新ソフトウエアにセキュリティパッチの更新を実行させてから、スイッチ制御部４５が、接続対象端末５０とネットワーク６０との間における遮断／接続切換部３３を遮断状態（開状態）から接続状態（閉状態）に切り換えるようにスイッチ３０を制御するようになっている。
【００４１】
同様に、ウイルス定義ファイルが最新のものに更新されていないと判定された場合も、スイッチ３０により接続対象端末５０とネットワーク６０との間の遮断状態（遮断／接続切換部３３の開状態）を維持しつつウイルス対策ソフトウエアにウイルス定義ファイルの更新を実行させてから、スイッチ制御部４５が、接続対象端末５０とネットワーク６０との間における遮断／接続切換部３３を遮断状態（開状態）から接続状態（閉状態）に切り換えるようにスイッチ３０を制御するようになっている。
【００４２】
一方、個人認証部４１もしくは端末認証部４２が、ユーザが登録者ではないと判定した場合もしくは接続対象端末５０がクライアント管理サーバ１０のクライアントたる端末ではないと認識した場合、スイッチ制御部４５は、接続対象端末５０とネットワーク６０およびクライアント管理サーバ１０との間の遮断状態（遮断／接続切換部３２および３３の開状態）を維持させることになり、接続対象端末５０は、クライアント管理サーバ１０にもネットワーク６０にも接続されることはない。
【００４３】
なお、本実施形態では、ネットワーク接続条件がソフトウエア資源に係るものである場合について説明しているが、本発明はこれに限定されるものではなく、ハードウエア資源に係る条件をネットワーク接続条件（ポリシ定義，一定の基準）に含ませてもよい。例えば、接続対象端末５０の資産がネットワーク６０の運用に必要な所定のハードウエアを含んでいることや、接続対象端末５０の資産がネットワーク６０の運用に影響を及ぼす不要なハードウエアを含んでいないことや、接続対象端末５０が特定のメーカのものであることなどを、ネットワーク接続条件に含ませることもできる。この場合、接続対象端末５０のハードウエア資源がネットワーク接続条件を満たしていない場合、その旨が接続対象端末５０のユーザに通知され、ユーザは、その通知に応じてハードウエアの実装状態がネットワーク接続条件を満たすようにハードウエアのメンテナンスや交換を行なってから認証サーバ４０に再度アクセスすることになる。
【００４４】
〔２〕本実施形態のネットワーク接続制御システムの動作
次に、上述のごとく構成されたネットワーク接続制御システム１の動作について、図２〜図５を参照しながら説明する。ここで、図２は本実施形態のネットワーク接続制御システム１における認証サーバ４０の動作を説明するためのフローチャート（ステップＳ１１〜Ｓ２４）、図３は本実施形態のネットワーク接続制御システム１の動作を説明するためのシーケンス図（矢印Ｔ１１〜Ｔ２２）、図４および図５は本実施形態のネットワーク接続制御システム１の動作を説明するための図である。
【００４５】
まず、図２，図３および図５を参照しながら、接続対象端末５０をスイッチ３０に接続してから、この接続対象端末５０とネットワーク６０とが相互に通信可能に接続されるまでの動作について説明する。なお、図２では接続対象端末が「ＰＣ」と表記され、図３では接続対象端末が「クライアント」と表記されている。
スイッチ３０に接続対象端末５０が接続されこの接続対象端末５０が認証サーバ４０に対しブラウザでアクセスすると（図３の矢印Ｔ１１参照）、認証サーバ４０側でスイッチ３０に接続対象端末５０が接続されたことが認識される（図２のステップＳ１１のＹＥＳルート参照）。
【００４６】
認証サーバ４０は、スイッチ３０に接続対象端末５０が接続されたことを認識すると、接続対象端末５０に対しユーザ認証および端末認証の要求を行なう（図２のステップＳ１２および図３の矢印Ｔ１２参照）。ユーザ認証／端末認証の要求を受けた接続対象端末５０は、認証応答として、ユーザによって入力された個人認証情報と接続対象端末５０に登録保存されている個体識別情報（図５参照）とを認証サーバ４０に送り返すとともに、ネットワーク６０への接続要求を認証サーバ４０に対して行なう（図３の矢印Ｔ１３参照）。
【００４７】
認証サーバ４０は、接続対象端末５０から認証応答／ネットワーク接続要求を受けると（図２のステップＳ１３のＹＥＳルート参照）、まず、個人認証部４１により接続対象端末５０からの個人認証情報に基づきユーザ認証を行なう（図２のステップＳ１４参照）。
このユーザ認証でユーザが登録者ではないと判定された場合（図２のステップＳ１５のＮＯルート参照）、認証サーバ４０は、接続対象端末５０とネットワーク６０およびクライアント管理サーバ１０との間の遮断状態（遮断／接続切換部３２および３３の開状態）を維持して接続対象端末５０をクライアント管理サーバ１０にもネットワーク６０にも接続することなく、接続対象端末５０に対しネットワーク接続拒否通知を行なってから（図２のステップＳ１８参照）、接続処理を終了する。
【００４８】
ユーザ認証でユーザが登録者であると判定された場合（図２のステップＳ１５のＹＥＳルート参照）、認証サーバ４０は、端末認証部４２により接続対象端末５０の個体識別情報に基づき端末認証を行なう（図２のステップＳ１６参照）。
この端末認証で接続対象端末５０がクライアント管理サーバ１０のクライアントたる端末ではないと認識された場合（図２のステップＳ１７のＮＯルート参照）、認証サーバ４０は、接続対象端末５０とネットワーク６０およびクライアント管理サーバ１０との間の遮断状態（遮断／接続切換部３２および３３の開状態）を維持して接続対象端末５０をクライアント管理サーバ１０にもネットワーク６０にも接続することなく、接続対象端末５０に対しネットワーク接続拒否通知を行なってから（図２のステップＳ１８参照）、接続処理を終了する。
【００４９】
端末認証で接続対象端末５０がクライアント管理サーバ１０のクライアントたる端末であると認識された場合（図２のステップＳ１７のＹＥＳルート参照）、認証サーバ４０のスイッチ制御部４５によって、接続対象端末５０とネットワーク６０との間の遮断状態（遮断／接続切換部３３の開状態）を維持しながら接続対象端末５０とクライアント管理サーバ１０との間における遮断／接続切換部３２を遮断状態（開状態）から接続状態（閉状態）に切り換え、接続対象端末５０とクライアント管理サーバ１０とを相互に通信可能に接続する（図２のステップＳ１９参照）。
【００５０】
このような状態で、クライアント管理サーバ１０は、接続対象端末５０における資産情報を収集し、収集された資産情報をクライアント情報データベース２０に保存する。そして、認証サーバ４０は、接続対象端末５０の個体識別情報をクライアント情報データベース２０（クライアント管理サーバ１０）に送信し、接続対象端末５０についてのポリシ問い合わせ／確認を行なう（図３の矢印Ｔ１４参照）。これにより、クライアント管理サーバ１０によって収集された接続対象端末５０における資産情報に基づき、接続対象端末５０のポリシチェック（ポリシ判定）が行なわれ、接続対象端末５０における資産がネットワーク接続条件（ポリシ定義）を満たしているか否かが判定される。
【００５１】
このポリシチェックに際しては、セキュリティパッチ／ウイルス定義ファイル更新チェック部４４により、セキュリティパッチ更新ソフトウエアにより最新のセキュリティパッチが接続対象端末５０のＯＳに適用されているか否か、および、ウイルス対策ソフトウエアによりウイルス定義ファイルが最新のものに更新されているか否かの判定も併せて行なわれる。
【００５２】
このようなポリシチェックおよび更新チェックは、認証サーバ４０内の資産認証部４３およびセキュリティパッチ／ウイルス定義ファイル更新チェック部４４で行なってもよいし（図２のステップＳ２０参照）、図３および図５に示す例では、そのチェックをクライアント情報データベース２０（クライアント管理サーバ１０）に依頼して実行させ、資産認証部４３が、クライアント管理サーバ１０からのポリシチェック結果（判定結果）を受けて資産認証を行なっている（図２のステップＳ２１参照）。
【００５３】
そして、認証サーバ４０の資産認証部４３によって接続対象端末５０における資産がネットワーク接続条件を満たしていることを認証された場合、且つ、最新のセキュリティパッチが接続対象端末５０のＯＳに適用され接続対象端末５０のウイルス定義ファイルが最新のものであることが確認された場合（図２のステップＳ２２のＹＥＳルート参照）、認証サーバ４０のスイッチ制御部４５によって、接続対象端末５０とネットワーク６０との間における遮断／接続切換部３３を遮断状態（開状態）から接続状態（閉状態）に切り換え、接続対象端末５０とネットワーク（全てのネットワークリソース）６０とを相互に通信可能に接続し（図２のステップＳ２３参照）、接続処理を終了する。
【００５４】
一方、認証サーバ４０の資産認証部４３によって接続対象端末５０における資産がネットワーク接続条件を満たしていないと判断された場合、もしくは、最新のセキュリティパッチが接続対象端末５０のＯＳに適用されていないと判断された場合、もしくは、接続対象端末５０のウイルス定義ファイルが最新のものではないと判断された場合（図２のステップＳ２２のＮＯルート参照；図３の矢印Ｔ１５参照）、認証サーバ４０は、接続対象端末５０に対しネットワーク接続拒否通知を行なうとともに、ポリシチェック／更新チェックで不適合であると判定された要件の内容や、その要件に対する対処についての情報を含むメンテナンスメッセージ（例えば図５参照）を作成して接続対象端末５０に通知し（図２のステップＳ２４参照；図３の矢印Ｔ１６参照）、そのメッセージを接続対象端末５０で表示させる。この後、認証サーバ４０は、ステップＳ１３に戻り、接続対象端末５０から、再度、認証応答／ネットワーク接続要求を受けるのを待機する。
【００５５】
そのメッセージを参照したユーザ等が接続対象端末５０からクライアント管理サーバ１０に対して指示を行なうことにより（図３の矢印Ｔ１７参照；メンテナンスリクエスト）、その指示を受けたクライアント管理サーバ１０が接続対象端末５０のメンテナンスを実行する（図３の矢印Ｔ１８参照）。これにより、接続対象端末５０とネットワーク６０との間の遮断状態（遮断／接続切換部３３の開状態）を維持しながら、接続対象端末５０の資産がネットワーク接続条件（ポリシ定義）を満たすように接続対象端末５０における資産のメンテナンス（必要なソフトウエアの導入／不要なソフトウエアの削除など）や、セキュリティパッチ／ウイルス定義ファイルの更新が実行される。
【００５６】
この後、接続対象端末５０は、再度、認証応答およびネットワーク６０への接続要求を認証サーバ４０に対して行ない（図３の矢印Ｔ１９参照）、認証サーバ４０は、再度、その接続対象端末５０についてユーザ認証，端末認証および資産認証（ポリシチェック／更新チェック）を行なう（図２のステップＳ１３〜Ｓ２２参照；図３の矢印Ｔ２０参照）。
認証の結果、接続対象端末５０の資産がネットワーク接続条件を満たすことや、セキュリティパッチ／ウイルス定義ファイルの更新が行なわれていることが確認されると（図２のステップＳ２２のＹＥＳルート；図３の矢印Ｔ２１参照）、認証サーバ４０から接続対象端末５０へネットワーク接続許可が通知されるとともに（図３の矢印Ｔ２２参照）、認証サーバ４０のスイッチ制御部４５によって、接続対象端末５０とネットワーク６０との間における遮断／接続切換部３３を遮断状態（開状態）から接続状態（閉状態）に切り換え、接続対象端末５０とネットワーク（全てのネットワークリソース）６０とを相互に通信可能に接続し（図２のステップＳ２３参照）、接続処理を終了する。
【００５７】
このような本実施形態のネットワーク接続制御システム１では、図４に示すように、クライアント管理サーバ１０の資産管理対象でなく個体識別情報（ホストＩＤもしくはそのホストＩＤを設定しうるエージェント）を持たない接続対象端末５０ａはクライアント管理サーバ１０にもネットワーク６０にも接続されない。個体識別情報を有していても、端末認証部４２による個体識別情報に基づく端末認証結果がＮＧであった場合にも接続対象端末５０ａはクライアント管理サーバ１０にもネットワーク６０にも接続されない。
【００５８】
また、クライアント管理サーバ１０の資産管理対象であり個体識別情報を有し且つその個体識別情報に基づく端末認証結果がＯＫであった接続対象端末５０ｂおよび５０ｃは、いずれもクライアント管理サーバ１０に接続されてポリシチェックを実行される。そして、ポリシチェック結果がＮＧとなった接続対象端末５０ｂはネットワーク６０には接続されないが、ポリシチェック結果ＯＫとなった接続対象端末５０ｃは、ネットワーク６０に接続され、全てのネットワークリソースを利用することが可能になる。
【００５９】
なお、図５に示すように、クライアント管理サーバ１０および認証サーバ４０には、連携用プログラムＡ，Ｂがそれぞれインストールされ、これらのプログラムＡ，Ｂは、インタフェースを介して接続されて連携動作する。そして、認証サーバ４０では、プログラムＢによって、スイッチ３０の制御（スイッチ制御部４５としての機能）や、上述したユーザ認証／端末認証のほか、上述したポリシ問い合わせ／判定結果処理（資産認証部４３や更新チェック部４４としての機能）や、上述したメンテナンスメッセージの作成通知が実行される。また、クライアント管理サーバ１０では、プログラムＡによって、ポリシ定義や、ポリシ判定や、判定結果の認証サーバ４０への返信が実行される。
【００６０】
〔３〕本実施形態のネットワーク接続制御システムの効果
このように、本発明の一実施形態としてのネットワーク接続制御システム１によれば、一定の基準を満たす資産（実行環境）を保有する接続対象端末５０のみがネットワーク６０に接続されることになり、ネットワーク運用上の問題が生じたり問題のある好ましくないソフトウエアがネットワーク６０内に取り込まれたりするのを確実に防止することができる。
【００６１】
このとき、接続対象端末５０の資産が一定の基準を満たしていない場合、クライアント管理サーバ１０により、その資産が一定の基準を満たすように接続対象端末５０における資産のメンテナンスが実行された後、接続対象端末５０とネットワーク６０とが接続されるので、接続対象端末５０の資産が一定の基準を満たしていないためにネットワーク６０との接続を一旦拒否されても、その接続対象端末５０を、一定の基準を満たすようメンテナンスしてから、ネットワーク６０に接続することができる。
【００６２】
また、ユーザが登録者ではない場合や接続対象端末５０がクライアント管理サーバ１０のクライアントたる端末ではない場合、接続対象端末５０とネットワーク６０およびクライアント管理サーバ１０との間の遮断状態を維持するので、不正なユーザが端末を介してネットワーク６０にアクセスしたり、ネットワーク６０へのアクセス権をもたない不正な端末がネットワーク６０に接続されたりするのを確実に防止することができる。
【００６３】
さらに、接続対象端末５０のＯＳに最新のセキュリティパッチが適用されていない場合やウイルス定義ファイルが最新のものに更新されていない場合にも、セキュリティパッチやウイルス定義ファイルの更新を実行してから接続対象端末５０とネットワーク６０とが接続されるので、非セキュアな端末がネットワーク６０に接続されるのを確実に防止することができる。また、接続対象端末５０が非セキュアであるとしてネットワーク６０との接続を一旦拒否されても、接続対象端末５０をセキュアな状態にしてからネットワーク６０に安全に接続することができる。
【００６４】
〔４〕その他
なお、本発明は上述した実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で種々変形して実施することができる。
また、上述した認証サーバ４０における個人認証部４１，端末認証部４２，資産認証部４３，セキュリティパッチ／ウイルス定義ファイル更新チェック部４４およびスイッチ制御部４５としての機能（全部もしくは一部の機能）は、コンピュータ（ＣＰＵ，情報処理装置，各種端末を含む）が所定のアプリケーションプログラム（ネットワーク接続制御プログラム；例えば図５に示したプログラムＡ，Ｂ参照）を実行することによって実現される。
【００６５】
そのプログラムは、例えばフレキシブルディスク，ＣＤ−ＲＯＭ，ＣＤ−Ｒ，ＣＤ−ＲＷ，ＤＶＤ等のコンピュータ読取可能な記録媒体に記録された形態で提供される。この場合、コンピュータはその記録媒体から上記アプリケーションプログラムを読み取って内部記憶装置または外部記憶装置に転送し格納して用いる。また、そのプログラムを、例えば磁気ディスク，光ディスク，光磁気ディスク等の記憶装置（記録媒体）に記録しておき、その記憶装置から通信回線を介してコンピュータに提供するようにしてもよい。
【００６６】
ここで、コンピュータとは、ハードウエアとＯＳとを含む概念であり、ＯＳの制御の下で動作するハードウエアを意味している。また、ＯＳが不要でアプリケーションプログラム単独でハードウェアを動作させるような場合には、そのハードウェア自体がコンピュータに相当する。ハードウエアは、少なくとも、ＣＰＵ等のマイクロプロセッサと、記録媒体に記録されたコンピュータプログラムを読み取るための手段とをそなえている。上記ネットワーク接続制御プログラムとしてのアプリケーションプログラムは、上述のようなコンピュータに、個人認証部４１，端末認証部４２，資産認証部４３，セキュリティパッチ／ウイルス定義ファイル更新チェック部４４およびスイッチ制御部４５としての機能を実現させるプログラムコードを含んでいる。また、その機能の一部は、アプリケーションプログラムではなくＯＳによって実現されてもよい。
【００６７】
さらに、本実施形態における記録媒体としては、上述したフレキシブルディスク，ＣＤ−ＲＯＭ，ＣＤ−Ｒ，ＣＤ−ＲＷ，ＤＶＤ，磁気ディスク，光ディスク，光磁気ディスク（ＭＯディスク）のほか、ＩＣカード，ＲＯＭカートリッジ，磁気テープ，パンチカード，コンピュータの内部記憶装置（ＲＡＭやＲＯＭなどのメモリ），外部記憶装置等や、バーコードなどの符号が印刷された印刷物等の、コンピュータ読取可能な種々の媒体を利用することもできる。
【図面の簡単な説明】
【００６８】
【図１】本発明の一実施形態としてのネットワーク接続制御システムの機能構成を示すブロック図である。
【図２】本実施形態のネットワーク接続制御システムにおける認証サーバの動作を説明するためのフローチャートである。
【図３】本実施形態のネットワーク接続制御システムの動作を説明するためのシーケンス図である。
【図４】本実施形態のネットワーク接続制御システムの全体構成を示すとともに同システムの動作を説明するための図である。
【図５】本実施形態のネットワーク接続制御システムの動作を説明するための図である。
【符号の説明】
【００６９】
１    ネットワーク接続制御システム
１０    クライアント管理サーバ
２０    クライアント情報データベース
３０    スイッチ
３１    コネクタ
３２    クライアント管理サーバ側遮断／接続切換部
３３    ネットワーク側遮断／接続切換部
４０    認証サーバ
４１    個人認証部
４２    端末認証部
４３    資産認証部
４４    セキュリティパッチ／ウイルス定義ファイル更新チェック部
４５    スイッチ制御部（制御部）
５０，５０ａ，５０ｂ，５０ｃ    接続対象端末（クライアント，ＰＣ）
５１    コネクタ
６０    ネットワーク（全てのネットワークリソース）
【図１】
2005346183.tif 000003
【図２】
2005346183.tif 000004
【図３】
2005346183.tif 000005
【図４】
2005346183.tif 000006
【図５】
2005346183.tif 000007
【手続補正書】
【提出日】平成16年8月4日(2004.8.4)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
クライアントにおける資産情報を収集し該クライアントにおける資産を管理するクライアント管理サーバと、
ネットワークへの接続対象端末についての認証を行ない、その認証結果に応じて該接続対象端末と該ネットワークおよび該クライアント管理サーバとの間の遮断／接続の切換えを制御する認証サーバとをそなえ、
該認証サーバが、該接続対象端末の利用者によって入力される個人認証情報に基づき該利用者が登録者であるか否かを判定して該利用者の個人認証を行なうとともに、該接続対象端末が該クライアント管理サーバのクライアントたる端末であるか否かを認識して該接続対象端末の端末認証を行ない、該利用者が登録者であることを認証し且つ該接続対象端末が該クライアント管理サーバのクライアントたる端末であることを認証した場合、該接続対象端末と該ネットワークとの間の遮断状態を維持しつつ該接続対象端末と該クライアント管理サーバとの間を遮断状態から接続状態に切り換えるように制御し、
該接続対象端末に接続された該クライアント管理サーバが、該接続対象端末における資産情報を収集し、
該認証サーバが、該クライアント管理サーバによって収集された該接続対象端末における資産情報に基づき該接続対象端末における資産が予め設定されたネットワーク接続条件を満たしているか否かを判定して該接続対象端末の資産認証を行ない、当該資産が該ネットワーク接続条件を満たしていることを認証した場合、該接続対象端末と該ネットワークとの間を遮断状態から接続状態に切り換えるように制御することを特徴とする、ネットワーク接続制御システム。
【請求項２】
該認証サーバが、当該資産が該ネットワーク接続条件を満たしていないと判定した場合、該接続対象端末と該ネットワークとの間の遮断状態を維持し、
該クライアント管理サーバが、当該資産が該ネットワーク接続条件を満たすように該接続対象端末における資産のメンテナンスを実行した後、
該認証サーバが、該接続対象端末の資産認証を再度行ない、当該資産が該ネットワーク接続条件を満たしていることを認証した場合、該接続対象端末と該ネットワークとの間を遮断状態から接続状態に切り換えるように制御することを特徴とする、請求項１記載のネットワーク接続制御システム。
【請求項３】
該認証サーバが、該利用者が登録者ではないと判定した場合もしくは該接続対象端末が該クライアント管理サーバのクライアントたる端末ではないと認識した場合、該接続対象端末と該ネットワークおよび該クライアント管理サーバとの間の遮断状態を維持することを特徴とする、請求項１または請求項２に記載のネットワーク接続制御システム。
【請求項４】
ネットワークへの接続対象端末についての認証を行ない、その認証結果に応じて該接続対象端末と該ネットワークおよびクライアントにおける資産情報を収集し該クライアントにおける資産を管理するクライアント管理サーバとの間の遮断／接続の切換えを制御するサーバとして、コンピュータを機能させるネットワーク接続制御プログラムであって、
該接続対象端末の利用者によって入力される個人認証情報に基づき該利用者が登録者であるか否かを判定して該利用者の個人認証を行なう個人認証部、
該接続対象端末が該クライアント管理サーバのクライアントたる端末であるか否かを認識して該接続対象端末の端末認証を行なう端末認証部、
該クライアント管理サーバによって収集された該接続対象端末における資産情報に基づき該接続対象端末における資産が予め設定されたネットワーク接続条件を満たしているか否かを判定して該接続対象端末の資産認証を行なう資産認証部、および、
該個人認証部によって該利用者が登録者であることが認証され且つ該端末認証部によって該接続対象端末が該クライアント管理サーバのクライアントたる端末であることを認証された場合に該接続対象端末と該ネットワークとの間の遮断状態を維持しつつ該接続対象端末と該クライアント管理サーバとの間を遮断状態から接続状態に切り換えるように制御し、該クライアント管理サーバによって該接続対象端末における資産情報が収集された後に該資産認証部によって該接続対象端末における資産が該ネットワーク接続条件を満たしていることを認証した場合に該接続対象端末と該ネットワークとの間を遮断状態から接続状態に切り換えるように制御する制御部として、該コンピュータを機能させることを特徴とする、ネットワーク接続制御プログラム。
【手続補正書】
【提出日】平成16年12月3日(2004.12.3)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
クライアントにおける資産情報を収集し該クライアントにおける資産を管理するクライアント管理サーバと、
ネットワークへの接続対象端末についての認証を行ない、その認証結果に応じて該接続対象端末と該ネットワークおよび該クライアント管理サーバとの間の遮断／接続の切換えを制御する認証サーバとをそなえ、
該認証サーバが、該接続対象端末の利用者によって入力される個人認証情報に基づき該利用者が登録者であるか否かを判定して該利用者の個人認証を行なうとともに、該接続対象端末が該クライアント管理サーバのクライアントたる端末であるか否かを認識して該接続対象端末の端末認証を行ない、該利用者が登録者であることを認証し且つ該接続対象端末が該クライアント管理サーバのクライアントたる端末であることを認証した場合、該接続対象端末と該ネットワークとの間の遮断状態を維持しつつ該接続対象端末と該クライアント管理サーバとの間を遮断状態から接続状態に切り換えるように制御し、
該接続対象端末に接続された該クライアント管理サーバが、該接続対象端末における資産情報を収集し、
該認証サーバが、該クライアント管理サーバによって収集された該接続対象端末における資産情報に基づき該接続対象端末における資産が予め設定されたネットワーク接続条件を満たしているか否かを判定して該接続対象端末の資産認証を行ない、当該資産が該ネットワーク接続条件を満たしていることを認証した場合、該接続対象端末と該ネットワークとの間を遮断状態から接続状態に切り換えるように制御し、
該接続対象端末における資産が、該ネットワークの運用に必要なソフトウエアを含み、且つ、該ネットワーク運用上の問題を生じさせるソフトウエアを含んでいないことを、該ネットワーク接続条件とすることを特徴とする、ネットワーク接続制御システム。
【請求項２】
該認証サーバが、当該資産が該ネットワーク接続条件を満たしていないと判定した場合、該接続対象端末と該ネットワークとの間の遮断状態を維持し、
該クライアント管理サーバが、当該資産が該ネットワーク接続条件を満たすように該接続対象端末における資産のメンテナンスを実行した後、
該認証サーバが、該接続対象端末の資産認証を再度行ない、当該資産が該ネットワーク接続条件を満たしていることを認証した場合、該接続対象端末と該ネットワークとの間を遮断状態から接続状態に切り換えるように制御することを特徴とする、請求項１記載のネットワーク接続制御システム。
【請求項３】
該認証サーバが、該利用者が登録者ではないと判定した場合もしくは該接続対象端末が該クライアント管理サーバのクライアントたる端末ではないと認識した場合、該接続対象端末と該ネットワークおよび該クライアント管理サーバとの間の遮断状態を維持することを特徴とする、請求項１または請求項２に記載のネットワーク接続制御システム。
【請求項４】
該ネットワークの運用に必要なソフトウエアがセキュリティパッチ更新ソフトウエアであることを特徴とする、請求項１〜請求項３のいずれか１項に記載のネットワーク制御システム。
【請求項５】
該認証サーバが、該セキュリティパッチ更新ソフトウエアにより最新のセキュリティパッチが該接続対象端末の基本ソフトウエアに適用されているか否かを判定し、最新のセキュリティパッチが適用されていない場合、該接続対象端末と該ネットワークとの間の遮断状態を維持しつつ該セキュリティパッチ更新ソフトウエアにセキュリティパッチの更新を実行させてから、該接続対象端末と該ネットワークとの間を遮断状態から接続状態に切り換えるように制御することを特徴とする、請求項４記載のネットワーク制御システム。
【請求項６】
該ネットワークの運用に必要なソフトウエアがウイルス対策ソフトウエアであることを特徴とする、請求項１〜請求項５のいずれか１項に記載のネットワーク制御システム。
【請求項７】
該認証サーバが、該ウイルス対策ソフトウエアによりウイルス定義ファイルが最新のものに更新されているか否かを判定し、該ウイルス定義ファイルが最新のものに更新されていない場合、該接続対象端末と該ネットワークとの間の遮断状態を維持しつつ該ウイルス対策ソフトウエアにウイルス定義ファイルの更新を実行させてから、該接続対象端末と該ネットワークとの間を遮断状態から接続状態に切り換えるように制御することを特徴とする、請求項６記載のネットワーク制御システム。
【請求項８】
ネットワークへの接続対象端末についての認証を行ない、その認証結果に応じて該接続対象端末と該ネットワークおよびクライアントにおける資産情報を収集し該クライアントにおける資産を管理するクライアント管理サーバとの間の遮断／接続の切換えを制御するサーバとして、コンピュータを機能させるネットワーク接続制御プログラムであって、
該接続対象端末の利用者によって入力される個人認証情報に基づき該利用者が登録者であるか否かを判定して該利用者の個人認証を行なう個人認証部、
該接続対象端末が該クライアント管理サーバのクライアントたる端末であるか否かを認識して該接続対象端末の端末認証を行なう端末認証部、
該クライアント管理サーバによって収集された該接続対象端末における資産情報に基づき該接続対象端末における資産が予め設定されたネットワーク接続条件を満たしているか否かを判定して該接続対象端末の資産認証を行なう資産認証部、および、
該個人認証部によって該利用者が登録者であることが認証され且つ該端末認証部によって該接続対象端末が該クライアント管理サーバのクライアントたる端末であることを認証された場合に該接続対象端末と該ネットワークとの間の遮断状態を維持しつつ該接続対象端末と該クライアント管理サーバとの間を遮断状態から接続状態に切り換えるように制御し、該クライアント管理サーバによって該接続対象端末における資産情報が収集された後に該資産認証部によって該接続対象端末における資産が該ネットワーク接続条件を満たしていることを認証した場合に該接続対象端末と該ネットワークとの間を遮断状態から接続状態に切り換えるように制御する制御部として、該コンピュータを機能させ、
該接続対象端末における資産が、該ネットワークの運用に必要なソフトウエアを含み、且つ、該ネットワーク運用上の問題を生じさせるソフトウエアを含んでいないことを、該ネットワーク接続条件とすることを特徴とする、ネットワーク接続制御プログラム。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】０００７
【補正方法】変更
【補正の内容】
【０００７】
上記目的を達成するために、本発明のネットワーク接続制御システムは、クライアントにおける資産情報を収集し該クライアントにおける資産を管理するクライアント管理サーバと、ネットワークへの接続対象端末についての認証を行ない、その認証結果に応じて該接続対象端末と該ネットワークおよび該クライアント管理サーバとの間の遮断／接続の切換えを制御する認証サーバとをそなえ、該認証サーバが、該接続対象端末の利用者によって入力される個人認証情報に基づき該利用者が登録者であるか否かを判定して該利用者の個人認証を行なうとともに、該接続対象端末が該クライアント管理サーバのクライアントたる端末であるか否かを認識して該接続対象端末の端末認証を行ない、該利用者が登録者であることを認証し且つ該接続対象端末が該クライアント管理サーバのクライアントたる端末であることを認証した場合、該接続対象端末と該ネットワークとの間の遮断状態を維持しつつ該接続対象端末と該クライアント管理サーバとの間を遮断状態から接続状態に切り換えるように制御し、該接続対象端末に接続された該クライアント管理サーバが、該接続対象端末における資産情報を収集し、該認証サーバが、該クライアント管理サーバによって収集された該接続対象端末における資産情報に基づき該接続対象端末における資産が予め設定されたネットワーク接続条件を満たしているか否かを判定して該接続対象端末の資産認証を行ない、当該資産が該ネットワーク接続条件を満たしていることを認証した場合、該接続対象端末と該ネットワークとの間を遮断状態から接続状態に切り換えるように制御し、該接続対象端末における資産が、該ネットワークの運用に必要なソフトウエアを含み、且つ、該ネットワーク運用上の問題を生じさせるソフトウエアを含んでいないことを、該ネットワーク接続条件とすることを特徴としている。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】０００８
【補正方法】変更
【補正の内容】
【０００８】
このとき、該認証サーバが、当該資産が該ネットワーク接続条件を満たしていないと判定した場合、該接続対象端末と該ネットワークとの間の遮断状態を維持し、該クライアント管理サーバが、当該資産が該ネットワーク接続条件を満たすように該接続対象端末における資産のメンテナンスを実行した後、該認証サーバが、該接続対象端末の資産認証を再度行ない、当該資産が該ネットワーク接続条件を満たしていることを認証した場合、該接続対象端末と該ネットワークとの間を遮断状態から接続状態に切り換えるように制御するように構成してもよい。
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】０００９
【補正方法】変更
【補正の内容】
【０００９】
また、該認証サーバが、該利用者が登録者ではないと判定した場合もしくは該接続対象端末が該クライアント管理サーバのクライアントたる端末ではないと認識した場合、該接続対象端末と該ネットワークおよび該クライアント管理サーバとの間の遮断状態を維持すせるように構成してもよい。
【手続補正５】
【補正対象書類名】明細書
【補正対象項目名】００１０
【補正方法】変更
【補正の内容】
【００１０】
ここで、該ネットワークの運用に必要なソフトウエアとしては、例えば、セキュリティパッチ更新ソフトウエアやウイルス対策ソフトウエアが挙げられる。
【手続補正６】
【補正対象書類名】明細書
【補正対象項目名】００１１
【補正方法】変更
【補正の内容】
【００１１】
このとき、該認証サーバが、該セキュリティパッチ更新ソフトウエアにより最新のセキュリティパッチが該接続対象端末の基本ソフトウエアに適用されているか否かを判定し、最新のセキュリティパッチが適用されていない場合、該接続対象端末と該ネットワークとの間の遮断状態を維持しつつ該セキュリティパッチ更新ソフトウエアにセキュリティパッチの更新を実行させてから、該接続対象端末と該ネットワークとの間を遮断状態から接続状態に切り換えるように制御する。
【手続補正７】
【補正対象書類名】明細書
【補正対象項目名】００１２
【補正方法】変更
【補正の内容】
【００１２】
また、該認証サーバが、該ウイルス対策ソフトウエアによりウイルス定義ファイルが最新のものに更新されているか否かを判定し、該ウイルス定義ファイルが最新のものに更新されていない場合、該接続対象端末と該ネットワークとの間の遮断状態を維持しつつ該ウイルス対策ソフトウエアにウイルス定義ファイルの更新を実行させてから、該接続対象端末と該ネットワークとの間を遮断状態から接続状態に切り換えるように制御する。
【手続補正８】
【補正対象書類名】明細書
【補正対象項目名】００１３
【補正方法】変更
【補正の内容】
【００１３】
一方、本発明のネットワーク接続制御プログラムは、ネットワークへの接続対象端末についての認証を行ない、その認証結果に応じて該接続対象端末と該ネットワークおよびクライアントにおける資産情報を収集し該クライアントにおける資産を管理するクライアント管理サーバとの間の遮断／接続の切換えを制御するサーバとして、コンピュータを機能させるものであって、該接続対象端末の利用者によって入力される個人認証情報に基づき該利用者が登録者であるか否かを判定して該利用者の個人認証を行なう個人認証部、該接続対象端末が該クライアント管理サーバのクライアントたる端末であるか否かを認識して該接続対象端末の端末認証を行なう端末認証部、該クライアント管理サーバによって収集された該接続対象端末における資産情報に基づき該接続対象端末における資産が予め設定されたネットワーク接続条件を満たしているか否かを判定して該接続対象端末の資産認証を行なう資産認証部、および、該個人認証部によって該利用者が登録者であることが認証され且つ該端末認証部によって該接続対象端末が該クライアント管理サーバのクライアントたる端末であることを認証された場合に該接続対象端末と該ネットワークとの間の遮断状態を維持しつつ該接続対象端末と該クライアント管理サーバとの間を遮断状態から接続状態に切り換えるように制御し、該クライアント管理サーバによって該接続対象端末における資産情報が収集された後に該資産認証部によって該接続対象端末における資産が該ネットワーク接続条件を満たしていることを認証した場合に該接続対象端末と該ネットワークとの間を遮断状態から接続状態に切り換えるように制御する制御部として、該コンピュータを機能させ、該接続対象端末における資産が、該ネットワークの運用に必要なソフトウエアを含み、且つ、該ネットワーク運用上の問題を生じさせるソフトウエアを含んでいないことを、該ネットワーク接続条件とすることを特徴としている。