(57)【要約】  複数の端末に装着されるＵＳＢ機器を統合して管理するＵＳＢ機器管理システムであって、前記端末を識別する端末識別情報と、前記端末の利用者の個人認証情報と、前記ＵＳＢ機器を識別するＵＳＢ機器情報との組み合わせに対応して、前記ＵＳＢ機器の使用権限が登録されているＵＳＢ利用許可情報ＤＢと、前記端末に装着された前記ＵＳＢ機器に対する操作に関する、前記端末識別情報、前記個人認証情報、及び前記ＵＳＢ機器情報をＵＳＢ利用管理装置に送信し、前記ＵＳＢ利用管理装置から受信された使用権限の情報にしたがって、当該端末に装着された前記ＵＳＢ機器を制御するＵＳＢ制御部と、前記ＵＳＢ制御部から受信された前記端末識別情報、前記個人認証情報、及び前記ＵＳＢ機器情報の組み合わせに対応して前記ＵＳＢ利用許可情報ＤＢに登録されている前記使用権限の情報を前記ＵＳＢ制御部に送信するＵＳＢ利用管理装置と、を備える。
2018173528.tif 000002
【特許請求の範囲】
【請求項１】
複数の端末に装着されるＵＳＢ機器を統合して管理するＵＳＢ機器管理システムであって、
前記端末を識別する端末識別情報と、前記端末の利用者の個人認証情報と、前記ＵＳＢ機器を識別するＵＳＢ機器情報との組み合わせに対応して、前記ＵＳＢ機器の使用権限が登録されているＵＳＢ利用許可情報データベースと、
前記端末に装着された前記ＵＳＢ機器に対する操作に関する、前記端末識別情報、前記利用者の前記個人認証情報、及び前記ＵＳＢ機器情報をＵＳＢ利用管理装置に送信し、前記ＵＳＢ利用管理装置から受信された前記使用権限の情報にしたがって、当該端末に装着された前記ＵＳＢ機器を制御するＵＳＢ制御部と、
前記ＵＳＢ制御部から受信された前記端末識別情報、前記利用者の前記個人認証情報、及び前記ＵＳＢ機器情報の組み合わせに対応して前記ＵＳＢ利用許可情報データベースに登録されている前記使用権限の情報を前記ＵＳＢ制御部に送信するＵＳＢ利用管理装置と、
を備えるＵＳＢ機器管理システム。
【請求項２】
前記操作の履歴情報を記憶するＵＳＢ利用状況履歴データベースを備え、
前記ＵＳＢ制御部は、前記操作が行われた際に、前記操作の内容、前記操作の対象、及び前記操作の発生時刻を含む操作情報を前記ＵＳＢ利用管理装置に送信し、
前記ＵＳＢ利用管理装置は、前記端末識別情報、前記個人認証情報、前記ＵＳＢ機器情報、及び前記操作情報を前記ＵＳＢ利用状況履歴データベースに記憶する、
請求項１に記載のＵＳＢ機器管理システム。
【請求項３】
前記端末識別情報と前記個人認証情報との組み合わせに対応して、前記ＵＳＢ機器に対して設定可能な前記使用権限の情報が登録されているＵＳＢ許可登録情報データベースを備え、
前記ＵＳＢ制御部は、前記端末識別情報、前記個人認証情報、前記ＵＳＢ機器情報、及び前記使用権限の情報を含む、前記使用権限を要求する要求情報を前記ＵＳＢ利用管理装置に送信し、
前記ＵＳＢ利用管理装置は、前記要求情報に含まれる前記端末識別情報と前記個人認証情報との組み合わせに対応して前記ＵＳＢ許可登録情報データベースに登録されるＵＳＢ使用権限の範囲内で、前記要求情報に含まれる前記ＵＳＢ機器情報に前記要求情報に含まれる前記使用権限を設定可能とする情報を前記ＵＳＢ利用許可情報データベースに登録する請求項１に記載のＵＳＢ機器管理システム。
【請求項４】
前記端末識別情報は、少なくとも、ＭＡＣアドレス、又は電子証明書の情報のいずれかである請求項１乃至３のいずれかに記載のＵＳＢ機器管理システム。
【請求項５】
前記個人認証情報は、少なくとも、バイオメトリクス認証情報、又は顔認証情報のいずれかである請求項１乃至３のいずれかに記載のＵＳＢ機器管理システム。
【請求項６】
前記ＵＳＢ機器情報は、少なくとも、シリアルＩＤ、ベンダＩＤ、又はプロダクトＩＤのいずれかである請求項１乃至３のいずれかに記載のＵＳＢ機器管理システム。
【請求項７】
複数の端末に装着されるＵＳＢ機器を統合して管理するＵＳＢ機器管理方法であって、
前記端末のＵＳＢ制御部が、前記端末に装着された前記ＵＳＢ機器に対する操作に関する、前記端末を識別する端末識別情報、利用者の個人認証情報、及び前記ＵＳＢ機器を識別するＵＳＢ機器情報をＵＳＢ利用管理装置に送信し、
ＵＳＢ利用管理装置が、前記端末識別情報、前記利用者の前記個人認証情報、及び前記ＵＳＢ機器情報の組み合わせに対応して前記ＵＳＢ機器の使用権限が登録されるＵＳＢ利用許可情報データベースを参照し、前記ＵＳＢ制御部から受信された前記端末識別情報、前記利用者の前記個人認証情報、及び前記ＵＳＢ機器情報の組み合わせに対応して前記ＵＳＢ利用許可情報データベースに登録されている前記使用権限の情報を前記ＵＳＢ制御部に送信し、
前記端末のＵＳＢ制御部が、前記ＵＳＢ利用管理装置から受信された前記使用権限の情報にしたがって、当該端末に装着された前記ＵＳＢ機器を制御する、
ＵＳＢ機器管理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＵＳＢ機器管理システム及びＵＳＢ機器管理方法に関する。
【背景技術】
【０００２】
ＵＳＢ（Universal Serial Bus）機器は、ＵＳＢメモリなど手軽にコンピュータなどの端末に接続してデータのやり取りを行うことができる外部接続機器である。しかしながら、ＵＳＢメモリ等のＵＳＢ機器を利用した、端末内の情報の漏えいや端末のウィルスの感染が多発している。そこで、ＵＳＢ機器の情報を保護する技術が提案されている。特許文献１及び特許文献２には、ネットワークを介して、ＵＳＢ機器の情報を管理する技術が記載されている。特許文献３には、シリアル番号を用いて、ＵＳＢ機器の使用を管理する技術が記載されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１３−１９０８８０号公報
【特許文献２】特開２０１１−１８０８３７号公報
【特許文献３】特開２００７−１４８７３３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
ＵＳＢ機器の接続に関する一般的なセキュリティ対策として、ＵＳＢ接続自体を禁止する方法がある。しかし、この方法によるとＵＳＢ本来の特長である利便性が失われてしまう。ＵＳＢ接続自体の禁止が原因で端末の用途の制限や、作業効率の低下などが発生してしまう。【０００５】
また、一般的にＵＳＢメモリ自体にＩＣ（Integrated Circuit）チップなどの認証情報を記録するための機器を追加で実装し、端末側で使用する際にＵＳＢメモリの認証を行う方法がある。しかし、このような特別な機能を実装したＵＳＢメモリを用意する必要があり、通常のＵＳＢメモリが使用できないなどの問題がある。【０００６】
この課題を解決する為にＵＳＢメモリのシリアルＩＤを認証に用いることで、ＩＣチップなどを実装せずともＵＳＢメモリの認証を行う技術が存在する。しかし、ＵＳＢ機器のシリアルＩＤには、ＵＳＢ機器によってそのＵＳＢ機器固有の情報とならない値が設定されているものがある。また、ＵＳＢ機器によってはシリアルＩＤ自体が設定されていないものも存在する。そのため、ＵＳＢ機器のシリアルＩＤのみを認証に用いる手法では識別の確実性に欠ける。また、この手法は一意のシリアルＩＤを持つＵＳＢ機器のみにしか適用できず、全てのＵＳＢ機器に適用することはできない。【０００７】
そもそもＵＳＢメモリなどのＵＳＢ記録媒体は小型かつ軽量であることが多く、紛失や盗難が発生しやすい。そのためＵＳＢメモリの認証によって端末側で特定のＵＳＢメモリのみを使用可能にする方法だけでは、次の課題が生じる。すなわち、使用可能なＵＳＢメモリを悪意のある者が入手してしまった場合、そのＵＳＢメモリを端末に接続し情報漏えいやウィルス感染を行うことができてしまう。【０００８】
さらに企業におけるＵＳＢメモリによる情報の漏洩やウィルスの感染は、部外者による犯行だけではなく、情報リテラシーが欠如した本来、ＵＳＢを利用できる内部作業者が原因となることもある。このようなＵＳＢメモリのセキュリティ脅威は、本来想定される使用方法がなされている。このため、原因となった個人や端末、日時をすべて特定することが困難である。セキュリティ脅威の原因となった個人や端末や日時やＵＳＢ機器をそれぞれ特定できない場合、脅威に対する対処の遅れや、最悪脅威に対して対処できない事態が生じ得る。これにより、被害の増大や同様のセキュリティ脅威の再発を防止する処置を施すこともできない。【０００９】
一般的に端末そのものの利用を特定の人に制限することでセキュリティを担保する方法がある。ただし、不特定多数の人が端末を利用することを前提とした運用方法やシステムではこのような方法を用いることができない。【００１０】
多数の端末を扱っている環境では、端末の運用方法や用途によって端末を操作する利用者や端末が取り扱っている機密情報の重要度は異なる。そのため、運用方法や用途に応じて別々のセキュリティレベルで運用でき、かつ各端末の設定が一括して管理できることが望まれる。【００１１】
このような状況に対し、端末のＵＳＢ以外の機能を制限せず、かつＵＳＢ機器の本来の特長である利便性をできるだけ損なわず、セキュリティ脅威の原因となった端末、個人、ＵＳＢ機器を特定できるＵＳＢ機器の利用状況の監視とＵＳＢ機器の使用の制御の統合管理が必要となる。【００１２】
上述の課題を鑑み、本発明は、ＵＳＢ機器の利用状況の監視とＵＳＢ機器の使用の制御の統合管理が行えるＵＳＢ機器管理システム及びＵＳＢ機器管理方法を提供することを目的とする。
【課題を解決するための手段】
【００１３】
上述の課題を解決するために、本発明の一態様に係るＵＳＢ機器管理システムは、複数の端末に装着されるＵＳＢ機器を統合して管理するＵＳＢ機器管理システムであって、前記端末を識別する端末識別情報と、前記端末の利用者の個人認証情報と、前記ＵＳＢ機器を識別するＵＳＢ機器情報との組み合わせに対応して、前記ＵＳＢ機器の使用権限が登録されているＵＳＢ利用許可情報データベースと、前記端末に装着された前記ＵＳＢ機器に対する操作に関する、前記端末識別情報、前記利用者の前記個人認証情報、及び前記ＵＳＢ機器情報をＵＳＢ利用管理装置に送信し、前記ＵＳＢ利用管理装置から受信された前記使用権限の情報にしたがって、当該端末に装着された前記ＵＳＢ機器を制御するＵＳＢ制御部と、前記ＵＳＢ制御部から受信された前記端末識別情報、前記利用者の前記個人認証情報、及び前記ＵＳＢ機器情報の組み合わせに対応して前記ＵＳＢ利用許可情報データベースに登録されている前記使用権限の情報を前記ＵＳＢ制御部に送信するＵＳＢ利用管理装置と、を備える。【００１４】
本発明の一態様に係るＵＳＢ機器管理方法は、複数の端末に装着されるＵＳＢ機器を統合して管理するＵＳＢ機器管理方法であって、前記端末のＵＳＢ制御部が、前記端末に装着された前記ＵＳＢ機器に対する操作に関する、前記端末を識別する端末識別情報、利用者の個人認証情報、及び前記ＵＳＢ機器を識別するＵＳＢ機器情報をＵＳＢ利用管理装置に送信し、ＵＳＢ利用管理装置が、前記端末識別情報、前記利用者の前記個人認証情報、及び前記ＵＳＢ機器情報の組み合わせに対応して前記ＵＳＢ機器の使用権限が登録されるＵＳＢ利用許可情報データベースを参照し、前記ＵＳＢ制御部から受信された前記端末識別情報、前記利用者の前記個人認証情報、及び前記ＵＳＢ機器情報の組み合わせに対応して前記ＵＳＢ利用許可情報データベースに登録されている前記使用権限の情報を前記ＵＳＢ制御部に送信し、前記端末のＵＳＢ制御部が、前記ＵＳＢ利用管理装置から受信された前記使用権限の情報にしたがって、当該端末に装着された前記ＵＳＢ機器を制御する。
【発明の効果】
【００１５】
本発明によれば、ＵＳＢ機器の利用状況の監視と、ＵＳＢ機器の使用の制御の統合管理が行える。
【図面の簡単な説明】
【００１６】
【図１】第１の実施形態に係るＵＳＢ機器管理システムの構成例を示すブロック図である。
【図２】第１の実施形態に係るＵＳＢ機器管理システムにおけるシステム管理者及び端末の利用者とＵＳＢ機器との説明図である。
【図３】本実施形態に係るＵＳＢ機器管理システムで設定できるＵＳＢ使用権限の説明図である。
【図４】ＵＳＢ利用許可情報データベースに登録されている内容の説明図である。
【図５】ＵＳＢ許可登録情報データベースに登録されている、端末からのＵＳＢ機器許可登録の設定情報の説明図である。
【図６】ＵＳＢ許可登録情報データベースに登録されている、端末からの許可登録履歴の説明図である。
【図７】ＵＳＢ利用状況履歴データベースに登録されている内容の説明図である。
【図８】利用者が端末にＵＳＢ接続又は切断した際の動作を示すフローチャートである。
【図９Ａ】利用者が端末に接続したＵＳＢ機器を操作する際の動作を示す第１のフローチャートである。
【図９Ｂ】利用者が端末に接続したＵＳＢ機器を操作する際の動作を示す第２のフローチャートである。
【図１０Ａ】端末からＵＳＢ利用許可情報ＤＢ５１に半自動で使用権限を登録する際の動作を示す第１のフローチャートである。
【図１０Ｂ】端末からＵＳＢ利用許可情報ＤＢ５１に半自動で使用権限を登録する際の動作を示す第２のフローチャートである。
【図１１】一実施形態におけるＵＳＢ機器管理システムの基本構成を示す概略ブロック図である。
【発明を実施するための形態】
【００１７】
以下、本発明の実施の形態について図面を参照しながら説明する。図１は、第１の実施形態に係るＵＳＢ機器管理システム１の構成例を示す図である。図１に示すように、第１の実施形態に係るＵＳＢ機器管理システム１は、ＰＣ（personal computer）等の端末１１、１２、１３と、ネットワーク上のサーバで構成されるＵＳＢ利用管理装置４１と、ＵＳＢ利用許可情報データベース５１と、ＵＳＢ許可登録情報データベース６１と、ＵＳＢ利用状況履歴データベース７１とを備えている。
【００１８】
端末１１は、ＵＳＢ制御部１１１と、個人認証情報入力部１１３と、ＵＳＢ端子１１４と、端末情報取得部１１５と、ＵＳＢ情報取得部１１６とで構成される。また、端末１１には、データ１１２が保存されている。ＵＳＢ制御部１１１は、ネットワーク９１を介してＵＳＢ利用管理装置４１と通信し、端末１１に装着されるＵＳＢ機器の使用権限の制御を行う。個人認証情報入力部１１３は、端末１１の利用者からの個人認証情報を収集する。個人認証情報とはバイオメトリクス認証や顔認証などの個人が特定できる情報である。ＵＳＢ端子１１４には、ＵＳＢ機器３１、３２、３３（図２参照）を接続可能である。端末情報取得部１１５は、ＭＡＣ（Media Access Control）アドレスや電子証明書など端末固有の端末識別情報を取得する。ＵＳＢ情報取得部１１６は、シリアルＩＤ、ベンダＩＤ、プロダクトＩＤ等のＵＳＢ機器を識別する情報（ＵＳＢ機器情報）を取得する。
【００１９】
端末１２及び端末１３も、端末１１と同様に構成されている。すなわち、端末１２は、ＵＳＢ制御部１２１と、個人認証情報入力部１２３と、ＵＳＢ端子１２４と、端末情報取得部１２５と、ＵＳＢ情報取得部１２６で構成される。また、端末１２には、データ１２２が保存されている。端末１３は、ＵＳＢ制御部１３１と、個人認証情報入力部１３３と、ＵＳＢ端子１３４と、端末情報取得部１３５と、ＵＳＢ情報取得部１３６とで構成される。また、端末１３には、データ１３２が保存されている。
【００２０】
なお、ここでは、３つの端末１１、１２、１３を図示しているが、端末の数は３つに限定されるものではない。端末１２や端末１３のように、端末１１と同様の構成要素を持つ端末であれば、ネットワーク９１に接続することで、端末の数はいくつであってもＵＳＢ利用管理装置４１によって、使用権限を統合管理することができる。
【００２１】
ＵＳＢ利用管理装置４１は、ＵＳＢ機器に対して実行可能な操作内容（以下、ＵＳＢ使用権限と称する）やＵＳＢ機器の利用履歴の管理を行う。ＵＳＢ利用管理装置４１は、管理される各端末（端末１１、１２、１３）のＵＳＢ制御部（ＵＳＢ制御部１１１、１２１、１３１）とネットワーク９１を介して接続可能である。また、ＵＳＢ利用管理装置４１は、ＵＳＢ利用許可情報データベース５１と、ＵＳＢ利用状況履歴データベース７１と、ＵＳＢ許可登録情報データベース６１へアクセスすることが可能である。
【００２２】
ＵＳＢ利用許可情報データベース５１には、ＵＳＢ使用権限と、端末、利用者、ＵＳＢ機器の情報が格納されている。ＵＳＢ許可登録情報データベース６１には、端末からのＵＳＢ機器許可登録の設定情報と、端末の許可登録履歴の情報が格納されている。端末からのＵＳＢ機器許可登録の設定情報は、端末におけるＵＳＢ使用権限を許可する登録処理に関する設定情報である。端末の許可登録履歴の情報は、端末におけるＵＳＢ使用権限を許可する登録処理の履歴である。ＵＳＢ利用状況履歴データベース７１には、ＵＳＢ機器が利用された際に、ＵＳＢ機器を利用した端末、利用者、利用されたＵＳＢ機器の情報、利用時の操作内容、操作対象、操作の発生時刻等が記録される。
【００２３】
図２は、第１の実施形態に係るＵＳＢ機器管理システム１におけるシステム管理者及び端末の利用者と、ＵＳＢ機器とを説明する図である。
【００２４】
図２において、システム管理者８１は、ＵＳＢ機器管理システム１を利用して、ＵＳＢ機器の制御の設定やＵＳＢ機器の利用状況の閲覧を行う権限を有する人を表す。システム管理者８１は、ＵＳＢ利用管理装置４１を用いて、ＵＳＢ利用許可情報データベース５１の登録内容の編集を行うことができる。また、システム管理者８１は、ＵＳＢ利用管理装置４１を用いて、ＵＳＢ許可登録情報データベース６１における端末からのＵＳＢ機器許可登録の設定の編集、端末からの許可登録履歴の閲覧を行うことができる。また、システム管理者８１は、ＵＳＢ利用管理装置４１を用いて、ＵＳＢ利用状況履歴データベース７１に記録されている内容の閲覧が可能である。
【００２５】
利用者２１、利用者２２、及び利用者２３のそれぞれは、端末１１、端末１２、端末１３のいずれかを利用する人を表す。本実施形態では、利用者の数に制限は無い。なお、利用者２１、利用者２２、利用者２３を、バイオメトリクス認証や顔認証などの個人認証情報により識別可能である。また、端末１１、端末１２、端末１３を、ＭＡＣ（Media Access Control）アドレスや電子証明書など端末固有の情報を表す端末識別情報により識別可能である。
【００２６】
ＵＳＢ機器３１、ＵＳＢ機器３２、ＵＳＢ機器３３のそれぞれは、端末１１、端末１２、端末１３のＵＳＢ端子１１４、ＵＳＢ端子１２４、ＵＳＢ端子１３４に装着できる一般的な外部接続機器である。ＵＳＢ機器３１、ＵＳＢ機器３２、ＵＳＢ機器３３は、それぞれ自身のＵＳＢ機器情報としてシリアルＩＤ、ベンダＩＤ、プロダクトＩＤを所有している。また、ＵＳＢ機器３１はデータ３１１を保存し、ＵＳＢ機器３２はデータ３２１を保存し、ＵＳＢ機器３３はデータ３３１を保存している。本実施形態では、ＵＳＢ機器の数に制限は無く複数扱うことができる。
【００２７】
図３は、本実施形態に係るＵＳＢ機器管理システム１で設定できるＵＳＢ使用権限を示す図である。ＵＳＢ機器のデータ読み込みとは、ＵＳＢ機器３１、３２、３３内のデータの参照を意味する。ＵＳＢ機器へデータ書き込みとは、端末１１、１２、１３内のデータをＵＳＢ機器３１、３２、３３内に保存することを意味する。ＵＳＢ機器内のファイルの実行権限とは、ＵＳＢ機器３１、３２、３３内に保存されている実行ファイルを動作させる権限である。ＵＳＢ機器から端末へデータ書き込みとは、ＵＳＢ機器３１、３２、３３内のデータを端末１１、１２、１３内に保存することを意味する。
【００２８】
図４は、ＵＳＢ利用許可情報データベース５１に登録されている内容の例を示す図である。ＵＳＢ利用許可情報データベース５１には、ＵＳＢ機器の利用が許可される端末の端末識別情報、端末の利用者の個人認証情報、ＵＳＢ機器情報の組み合わせと、その組み合わせで許可されるＵＳＢ使用権限が登録されている。また、端末識別情報、利用者の個人認証情報、ＵＳＢ機器情報のそれぞれは、不特定の任意の端末、任意の利用者、任意のＵＳＢ機器であってもよい。例えば、図４に示すＵＳＢ利用許可情報データベース５１によると、”利用者の個人認証情報”列の”全ての利用者を許可”は、利用者の制限を行わず、任意の利用者を許可する条件が設定されていることを示す。
【００２９】
図５及び図６は、ＵＳＢ許可登録情報データベース６１に登録されている内容の例を示す図である。ＵＳＢ許可登録情報データベース６１には、端末からのＵＳＢ機器許可登録の設定情報（図５）と、端末の許可登録履歴（図６）の２つの情報が格納されている。
【００３０】
図５は、ＵＳＢ許可登録情報データベース６１に登録されている、端末からのＵＳＢ機器許可登録の設定情報の例を示す図である。ＵＳＢ許可登録情報データベース６１には、端末からのＵＳＢ機器の利用の許可登録を行うための条件が登録される。すなわち、図５に示すＵＳＢ許可登録情報データベース６１には、許可登録を行うことができる端末識別情報と利用者の個人認証情報の組み合わせと、その組み合わせで設定可能なＵＳＢ使用権限の情報が登録されている。
【００３１】
図６は、ＵＳＢ許可登録情報データベース６１に登録されている、端末からの許可登録履歴の例を示す図である。端末からのＵＳＢ機器の利用許可登録が行われると、ＵＳＢ利用許可情報データベース５１に登録した内容と時刻が、図６に示すＵＳＢ許可登録情報データベース６１に記録される。すなわち、許可登録を行った端末の端末識別情報及び利用者の個人認証情報、許可されたＵＳＢ機器のＵＳＢ機器情報、許可されたＵＳＢ使用権限、許可登録が行われた時刻が登録される。
【００３２】
図７は、ＵＳＢ利用状況履歴データベース７１に登録されている内容の例を示す図である。ＵＳＢ利用状況履歴データベース７１には、ＵＳＢ機器が利用された際に、利用した端末の端末識別情報及び利用者の個人認証情報、利用されたＵＳＢ機器情報、利用時の操作内容、操作対象、操作の発生時刻が記録される。操作内容はＵＳＢ機器の接続／切断、及び、操作によって使用されたＵＳＢ使用権限（読み込み等）である。操作対象とは操作内容の対象となったデータである。
【００３３】
本実施形態では、各端末１１、１２、１３のＵＳＢ制御部１１１、１２１、１３１とＵＳＢ利用管理装置４１とがネットワーク９１を介して接続される。また、ＵＳＢ利用管理装置４１には、ＵＳＢ制御部１１１、１２１、１３１から、端末識別情報、利用者の個人認証情報、ＵＳＢ機器情報が送信される。ＵＳＢ利用管理装置４１は、ＵＳＢ利用許可情報データベース５１（図４）に保存されているＵＳＢ機器の利用を許可する端末識別情報、利用者の個人認証情報、ＵＳＢ機器情報の組み合わせと、各端末１１、１２、１３のＵＳＢ制御部１１１、１２１、１３１から送信された端末識別情報、利用者の個人認証情報、ＵＳＢ機器情報とを照合する。これにより、ＵＳＢ利用管理装置４１は、ＵＳＢ装置の使用権限を管理している。また、ＵＳＢ利用管理装置４１は、ＵＳＢ機器の利用履歴をＵＳＢ利用状況履歴データベース７１（図７）に保存して、ＵＳＢ装置の使用履歴を管理している。
【００３４】
ここで、ＵＳＢ機器を利用する端末１１、１２、１３を特定する端末識別情報としては、ＭＡＣアドレスや電子証明書など端末固有の情報が用いられる。利用者２１、２２、２３を特定する情報としては、バイオメトリクス認証や顔認証などの個人が特定できる個人認証情報が用いられる。ＵＳＢ機器３１、３２、３３を特定する情報としては、一般的にＵＳＢ機器に登録されているシリアルＩＤ、ベンダＩＤ、プロダクトＩＤ等のＵＳＢ機器情報が用いられる。
【００３５】
本実施形態のＵＳＢ機器管理システム１は、端末識別情報、利用者の個人認証情報、ＵＳＢ機器情報の組み合わせにより、端末と個人とＵＳＢ機器を識別する。これにより、ＵＳＢ機器管理システム１は、ＵＳＢ機器自体に特殊なデータの保持やＩＣチップなどの実装を必要とせず、端末やシステムで認証を行い、ＵＳＢ機器の利用の制御を行っている。
【００３６】
また、本実施形態のＵＳＢ機器管理システム１は、端末１１、１２、１３にＵＳＢ機器３１、３２、３３が接続されて使用された場合、ＵＳＢ利用状況履歴データベース７１（図７）に、使用端末、利用者、使用されたＵＳＢ機器情報、ＵＳＢ機器の操作、操作時刻を記録する。つまり、ＵＳＢ機器管理システム１は、各端末でどんなＵＳＢ機器をいつ誰がどのように使用したのかを記録し、参照可能にしている。このような監視機能によってＵＳＢセキュリティ脅威の原因を特定するための情報が提供される。
【００３７】
ＵＳＢ機器の利用制御の設定は、特別な権限を有するシステム管理者８１が行うことができる。すなわち、システム管理者８１は、ＵＳＢ利用管理装置４１を用いて、ＵＳＢ利用許可情報データベース５１（図４）に、端末識別情報と個人認証情報とＵＳＢ機器情報とこれらの条件（組み合わせ）におけるＵＳＢ使用制限を登録する。
【００３８】
これとは別に、本実施形態のＵＳＢ機器管理システム１は、ＵＳＢ許可登録情報データベース６１（図５）に、端末からのＵＳＢ機器許可登録の設定情報が保存されている。このＵＳＢ許可登録情報データベース６１に保存されている特定の利用者と端末との組み合わせに基づくことにより、ＵＳＢ利用管理装置４１を用いずに、端末１１、１２、１３で利用制御の設定を行うことができる。特定の利用者２１、２２、２３若しくはシステム管理者８１と端末１１、１２、１３との組み合わせの場合には、次のことが可能になる。すなわち、利用者２１、２２、２３若しくはシステム管理者８１は、端末１１、１２、１３にＵＳＢ機器３１、３２、３３を接続することで、端末識別情報と個人認証情報とＵＳＢ機器情報の内容を意識することなく、半自動でＵＳＢ機器の利用制御の設定を行うことができる。そして、ＵＳＢ機器管理システム１は、ＵＳＢ許可登録情報データベース６１（図６）に、半自動による設定にしたがって登録した端末及び利用者、設定されたＵＳＢ機器情報及びＵＳＢ使用権限を記録する。これにより、ＵＳＢ機器管理システム１は、ＵＳＢセキュリティ脅威が発生した際に原因を特定するための情報を提供する。
【００３９】
このように、本実施形態では、これらＵＳＢ機器の制御と利用状況の監視を複数の端末に対して行い統合管理している。ＵＳＢ機器の制御は各端末の用途や利用者やＵＳＢ機器に応じて別々の制御を行うことを可能とする。
【００４０】
次に、第１の実施形態の動作について説明する。先ず、利用者２１、２２、２３が、端末１１、１２、１３にＵＳＢ機器３１、３２、３３を接続した際の動作又は切断した際の動作について説明する。
【００４１】
図８は、利用者が端末にＵＳＢ接続又は切断した際の動作を示すフローチャートである。図８のフローチャートに記載されているＵＳＢ制御部は、図１に示される端末１１、１２、１３のＵＳＢ制御部１１１、１２１、１３１の何れであっても良い。図８のフローチャートに記載されている利用者は、図２に示す利用者２１、２２、２３任意の一人の利用者を表す。図８のフローチャートに記載されているＵＳＢ機器情報は、図２に示すＵＳＢ機器３１、３２、３３のうちの任意の１つのＵＳＢ機器情報を表す。以下の説明では、利用者２１が端末１１のＵＳＢ端子１１４にＵＳＢ機器３１を接続、切断した場合を例に挙げて説明する。
【００４２】
（ステップＳ２００１）ＵＳＢ制御部１１１は、ＵＳＢ端子１１４にＵＳＢ機器３１が接続されていない時には、ＵＳＢ端子１１４のＵＳＢ使用権限を全て無効に設定している。つまり、ＵＳＢ端子１１４のＵＳＢ使用権限は権限無しの状態（初期状態）に設定される。ただし、初期状態は権限無しの状態に限定されるものではなく、所定の権限が付与された状態であってもよい。
【００４３】
（ステップＳ２００２）利用者２１は、端末１１のＵＳＢ端子１１４にＵＳＢ機器３１を接続して、ステップＳ２００３に処理を進める。
【００４４】
（ステップＳ２００３）ＵＳＢ端子１１４にＵＳＢ機器３１が接続されると、ＵＳＢ制御部１１１は、ＵＳＢ機器３１のＵＳＢ機器情報であるシリアルＩＤ、ベンダＩＤ、プロダクトＩＤをＵＳＢ情報取得部１１６から収集する。そして、ＵＳＢ制御部１１１は、処理をステップＳ２００４に進める。
【００４５】
（ステップＳ２００４）ＵＳＢ制御部１１１は、収集した情報を、ネットワーク９１を介してＵＳＢ利用管理装置４１に送信する。収集した情報は、すなわちＵＳＢ機器３１のＵＳＢ機器情報（シリアルＩＤ、ベンダＩＤ、プロダクトＩＤ）、端末１１の識別情報（ＭＡＣアドレスや電子証明書など端末固有の情報）と、接続時刻を含む。そして、ＵＳＢ制御部１１１は、ステップＳ２００５に処理を進める。
【００４６】
（ステップＳ２００５）ＵＳＢ利用管理装置４１は、ＵＳＢ制御部１１１から受信した情報を基に、ＵＳＢ機器３１が端末１１に接続されたことをＵＳＢ利用状況履歴データベース７１に登録して、ステップＳ２００６に処理を進める。
【００４７】
（ステップＳ２００６）ＵＳＢ利用管理装置４１は、ＵＳＢ制御部１１１から受信した情報と、ＵＳＢ利用許可情報データベース５１に保存されている情報とを照合する。これにより、ＵＳＢ利用管理装置４１は、利用者２１によるＵＳＢ機器３１の利用時のＵＳＢ機器の制御を行う。なお、このときの処理については、後に、図９Ａ、及び図９Ｂのフローチャート図を用いて、利用者が端末に接続したＵＳＢ機器を操作する際の動作を例示して説明する。
【００４８】
（ステップＳ２００７）ＵＳＢ制御部１１１は、利用者２１が端末１１からＵＳＢ機器３１を切断するか否かを判定する。つまり、ＵＳＢ制御部１１１は、利用者２１がＵＳＢ機器３１を端末１１から切断することを試みているか否かを判定する。ＵＳＢ制御部１１１は、端末１１からＵＳＢ機器３１を切断する場合には（ステップＳ２００７：Ｙｅｓ）、ステップＳ２００８へ処理を進め、切断しない場合には（ステップＳ２００７：Ｎｏ）、処理をステップＳ２０１０へ進める。
【００４９】
（ステップＳ２００８）利用者２１は、端末１１に接続しているＵＳＢ機器３１を取り外す要求を行い、処理をステップＳ２００９に進める。
【００５０】
（ステップＳ２００９）端末１１は、利用者２１からの要求を受けて、ＵＳＢ機器３１との接続を切断し、処理をステップＳ２０１０に進める。
【００５１】
（ステップＳ２０１０）ＵＳＢ制御部１１１は、ＵＳＢ機器３１の接続状態を確認して、処理をステップＳ２０１１に進める。
【００５２】
（ステップＳ２０１１）ＵＳＢ制御部１１１は、ステップＳ２０１０における確認の結果、ＵＳＢ機器３１が端末１１に接続されているか否かを判定する。ＵＳＢ制御部１１１は、ＵＳＢ機器３１が端末１１に接続されている場合には（ステップＳ２０１１：Ｎｏ）、処理をステップＳ２００６に進め、端末１１から切断されている場合には（ステップＳ２０１１：Ｙｅｓ）、処理をステップＳ２０１２に進める。
【００５３】
（ステップＳ２０１２）ＵＳＢ制御部１１１は、端末１１の識別情報、ＵＳＢ機器３１のＵＳＢ機器情報、切断時刻を、ネットワーク９１を介してＵＳＢ利用管理装置４１に送信する。そして、ＵＳＢ制御部１１１は処理をステップＳ２０１３に進める。
【００５４】
（ステップＳ２０１３）ＵＳＢ利用管理装置４１は、受信した情報に基づいて、端末１１のＵＳＢ機器３１が切断された旨の情報をＵＳＢ利用状況履歴データベース７１に格納する。以上の処理が終了したら、処理はステップＳ２００１にリターンする。
【００５５】
次に、利用者が端末に接続したＵＳＢ機器を操作する際の動作について説明する。図９Ａ、及び図９Ｂは、利用者が端末に接続したＵＳＢ機器を操作する際の動作を示すフローチャートである。
【００５６】
図９Ａ、及び図９Ｂのフローチャートに記載されているＵＳＢ制御部と端末識別情報と個人認証情報入力部のそれぞれは、図１に示す端末１１、１２、１３のうちの任意の一つの端末と、その端末の端末識別情報と、その端末のＵＳＢ制御部１１１、１２１、又は１３１と、その個人認証情報入力部１１３、１２３、又は１３３とを表す。図９Ａ、及び図９Ｂのフローチャートに記載されている利用者と個人認証情報のそれぞれは、図２に示す利用者２１、２２、２３のうちの任意の一人の利用者とその利用者の個人認証情報を表す。図９Ａ、及び図９Ｂのフローチャートに記載されているＵＳＢ機器情報は、図２に示すＵＳＢ機器３１、３２、３３のうちの任意の１つのＵＳＢ機器のＵＳＢ機器情報を表す。
【００５７】
以下の説明では、利用者２１が端末１１に接続したＵＳＢ機器３１にデータ１１２を書き込む操作を例に取って動作の説明を行う。
【００５８】
（ステップＳ３００１）利用者２１は、端末１１から、端末１１に接続したＵＳＢ機器３１へデータ１１２の書き込みを試みる。つまり、この例では、端末１１において利用者２１がＵＳＢ機器３１に対して、書き込み操作を試みる場合を例示する。
【００５９】
（ステップＳ３００２）ＵＳＢ制御部１１１は、ＵＳＢ機器３１へのデータの書き込み操作が生じると、端末１１に個人認証情報の要求を表示させる。これにより、ＵＳＢ制御部１１１は利用者２１に個人認証を要求して、ステップＳ３００３に処理を進める。
【００６０】
（ステップＳ３００３）利用者２１は、個人認証の要求の表示を受けて、個人認証情報入力部１１３を用いて、利用者２１が特定できる個人認証情報を入力する。そして、ＵＳＢ制御部１１１は、処理をステップＳ３００４に進める。個人認証情報は、バイオメトリクス認証や顔認証等である。
【００６１】
（ステップＳ３００４）ＵＳＢ制御部１１１は、個人認証情報入力部１１３から利用者２１の個人認証情報を受け取り、処理をステップＳ３００５に進める。
【００６２】
（ステップＳ３００５）ＵＳＢ制御部１１１は、ＵＳＢ機器３１のＵＳＢ機器情報（ＵＳＢ機器に登録されているシリアルＩＤ、ベンダＩＤ、プロダクトＩＤ等）と、利用者２１の個人認証情報（バイオメトリクス認証や顔認証等の情報）と、端末１１の識別情報（ＭＡＣアドレスや電子証明書等）を、ネットワーク９１を介して、ＵＳＢ利用管理装置４１に送信する。
【００６３】
（ステップＳ３００６）ＵＳＢ利用管理装置４１は、ＵＳＢ制御部１１１から受信した情報と、ＵＳＢ利用許可情報データベース５１に登録されている情報の照合を行う。ＵＳＢ制御部１１１は、ステップＳ３００７に処理を進める。ＵＳＢ利用管理装置４１は、ステップＳ３００７〜Ｓ３００９にしたがって、端末１１の識別情報、利用者２１の個人認証情報、及びＵＳＢ機器３１のＵＳＢ機器情報の組み合わせが、ＵＳＢ利用許可情報データベース５１に登録されているか否かを判定する。
【００６４】
（ステップＳ３００７）ＵＳＢ利用管理装置４１は、ＵＳＢ利用許可情報データベース５１に、端末１１の識別情報が登録されているか否かを確認する。ＵＳＢ利用管理装置４１は、端末１１の識別情報が登録されている場合は（ステップＳ３００７：Ｙｅｓ）、処理をステップＳ３００８に進め、登録されていない場合は（ステップＳ３００７：Ｎｏ）、処理をステップＳ３０２０に進める。図４に示すＵＳＢ利用許可情報データベース５１には、端末１１の識別情報が登録されている。このため、ＵＳＢ利用管理装置４１は処理をステップＳ３００８に進める。
【００６５】
（ステップＳ３００８）ＵＳＢ利用管理装置４１は、ＵＳＢ利用許可情報データベース５１に端末１１でのＵＳＢ利用許可者として利用者２１の個人認証情報が登録されているか否かを確認する。ＵＳＢ利用管理装置４１は、端末１１の識別情報に対応して利用者２１の個人認証情報が登録されている場合は（ステップＳ３００８：Ｙｅｓ）、処理をステップＳ３００９に進め、登録されていない場合は（ステップＳ３００８：Ｎｏ）、処理をステップＳ３０２０に進める。図４に示すＵＳＢ利用許可情報データベース５１には、端末１１でのＵＳＢ利用許可者として、利用者２１の個人認証情報が登録されている。このため、ＵＳＢ利用管理装置４１は、処理をステップＳ３００９に進める。
【００６６】
（ステップＳ３００９）ＵＳＢ利用管理装置４１は、ＵＳＢ利用許可情報データベース５１に端末１１での利用者２１が使用できるＵＳＢ機器情報としてＵＳＢ機器３１の情報が登録されているか否かを確認する。ＵＳＢ利用管理装置４１は、端末１１の識別情報及び利用者２１の個人認証情報の組み合わせに対応してＵＳＢ機器３１の情報が登録されている場合は（ステップＳ３００９：Ｙｅｓ）、処理をステップＳ３０１０に進め、登録されていなければ（ステップＳ３００９：Ｎｏ）、処理をステップＳ３０２０に進める。図４に示すＵＳＢ利用許可情報データベース５１には、端末１１での利用者２１が使用できるＵＳＢ機器情報として、ＵＳＢ機器３１の情報が登録されている。このため、ＵＳＢ利用管理装置４１は照合に成功し、処理をステップＳ３０１０に進める。
【００６７】
（ステップＳ３０１０）ＵＳＢ利用管理装置４１は、照合に成功した端末１１での利用者２１が使用できるＵＳＢ機器３１におけるＵＳＢ使用権限の情報をＵＳＢ利用許可情報データベース５１から取得する。つまり、ＵＳＢ利用管理装置４１は、端末１１、利用者２１、及びＵＳＢ機器３１の組み合わせに対応して登録されているＵＳＢ使用権限の情報を取得する。そして、ＵＳＢ利用管理装置４１は、処理をステップＳ３０１１（図９Ｂ）に進める。ここでは、図４に示すＵＳＢ利用許可情報データベース５１によると、端末１１、利用者２１、ＵＳＢ機器３１の組み合わせの場合のＵＳＢ使用権限として、”ＵＳＢ機器のデータ読み込み”、及び”ＵＳＢ機器へデータ書き込み”の権限が取得される。
【００６８】
（ステップＳ３０１１）ＵＳＢ利用管理装置４１は、ＵＳＢ利用許可情報データベース５１から取得したＵＳＢ使用権限の情報を端末１１のＵＳＢ制御部１１１に送信する。そして、ＵＳＢ利用管理装置４１は、処理をステップＳ３０１２に進める。
【００６９】
（ステップＳ３０１２）ＵＳＢ制御部１１１は、ネットワーク９１を介して、ＵＳＢ利用管理装置４１からＵＳＢ使用権限の情報を受け取る。そして、ＵＳＢ制御部１１１は、ステップＳ３００１（図９Ａ）で発生した操作とＵＳＢ使用権限とを比較する。
【００７０】
（ステップＳ３０１３）ＵＳＢ制御部１１１は、ステップＳ３００１で発生した操作がＵＳＢ利用管理装置４１から受信したＵＳＢ使用権限に含まれているか否かを判定する。使用権限があれば、すなわち、発生した操作がＵＳＢ使用権限に含まれている場合（ステップＳ３０１３：Ｙｅｓ）、ＵＳＢ制御部１１１は処理をステップＳ３０１４に進める。一方、使用権限がない場合、すなわち、発生した操作がＵＳＢ使用権限に含まれていない場合（ステップＳ３０１３：Ｎｏ）、ＵＳＢ制御部１１１は処理をステップＳ３０１８に進める。ステップＳ３００１で発生した操作は、”ＵＳＢ機器へデータ書き込み”であり、受信したＵＳＢ使用権限は、”ＵＳＢ機器のデータ読み込み”と”ＵＳＢ機器へデータ書き込み”である。この場合、受信したＵＳＢ使用権限の範囲内に、発生した操作”ＵＳＢ機器へデータ書き込み”が含まれる。このため、ＵＳＢ制御部１１１は、処理をステップＳ３０１４へ進める。
【００７１】
（ステップＳ３０１４）ＵＳＢ制御部１１１は、”ＵＳＢ機器へデータ書き込み”を有効にする。つまり、ＵＳＢ制御部１１１は、ＵＳＢ端子１１４に”ＵＳＢ機器へデータ書き込み”を有効にする設定を一時的に行う。ＵＳＢ制御部１１１は、ステップＳ３００１で利用者２１が試みたＵＳＢ機器３１へデータ１１２の書き込みを実行する。そして、ＵＳＢ制御部１１１は、処理をステップＳ３０５に進める。
【００７２】
（ステップＳ３０１５）ＵＳＢ制御部１１１は、ステップＳ３０１４のＵＳＢ機器３１へデータ１１２を書き込みの完了を契機に、ステップＳ３０１４を実行する為に一時的に有効にしたＵＳＢ機器３１への書き込み権限を無効にする。すなわち、ＵＳＢ制御部１１１は、操作が完了すると、ＵＳＢ端子１１４のＵＳＢ使用権限を設定の変更前の状態に戻す。そして、ＵＳＢ制御部１１１は、処理をステップＳ３０１６に進める。
【００７３】
（ステップＳ３０１６）ＵＳＢ制御部１１１は、利用状況の履歴を、ネットワーク９１を介してＵＳＢ利用管理装置４１に送信する。すなわち、ＵＳＢ制御部１１１は、実行した操作内容（ＵＳＢ機器へデータ書き込み）、操作対象（データ１１２）、実行した時刻、端末１１の識別情報、ステップＳ３００４で受け取った利用者２１の個人認証情報、ＵＳＢ機器３１のＵＳＢ機器情報を、ＵＳＢ利用管理装置４１に送信する。
【００７４】
（ステップＳ３０１７）ＵＳＢ利用管理装置４１は、受け取った情報をＵＳＢ利用状況履歴データベース７１に利用状況の履歴として記録する。
【００７５】
以上はＵＳＢ機器が利用できる場合の動作である。ＵＳＢ機器が利用できないパターンも簡単に説明する。
【００７６】
例えば、前述の例では、端末１１で利用者２１がＵＳＢ機器３１にデータの書き込み操作を行う場合を例示した。これに対して、以下の例では、端末１１で利用者２２がＵＳＢ機器３１にデータの書き込み操作を行う場合を例示する。図４に示すＵＳＢ利用許可情報データベース５１には、端末１１で利用者２２がＵＳＢ機器３１の利用許可情報が登録されている。ただし、その組み合わせに対応するＵＳＢ使用権限は”ＵＳＢ機器のデータ読み込み”だけであり、”ＵＳＢ機器へデータ書き込み”のＵＳＢ利用権限は含まれない。発生した操作がＵＳＢ使用権限に含まれていないため（ステップＳ３０１３：Ｎｏ）、ＵＳＢ制御部１１１は、ステップＳ３０１３からステップＳ３０１８に移行する。
【００７７】
（ステップＳ３０１８）ＵＳＢ制御部１１１は、ＵＳＢ機器の使用権限を受信したＵＳＢ権限に更新する。すなわち、ＵＳＢ制御部１１１は、ＵＳＢ端子１１４のＵＳＢ使用権限を”ＵＳＢ機器のデータ読み込み”に設定する。これにより、ＵＳＢ制御部１１１は、ステップＳ３００１で発生した操作（ＵＳＢ機器へデータ書き込み）を実行させないようにする。そして、ＵＳＢ制御部１１１は、処理をステップＳ３０１９に進める。
【００７８】
（ステップＳ３０１９）ＵＳＢ制御部１１１は、権限がないことを利用者に通知する。
【００７９】
また、端末１２で利用者２２がＵＳＢ機器３２を利用しようとする場合を例示する。この場合、図４に示すＵＳＢ利用許可情報データベース５１の登録情報には、端末１２で利用者２２がＵＳＢ機器３２を利用する許可情報が登録されていない。すなわち、端末１２、利用者２２、及びＵＳＢ機器３２の組み合わせに対応して、ＵＳＢ使用権限が登録されていない。このため、ステップＳ３００７〜３００９で行われる認証（照合）に失敗し、ステップＳ３０２０に移行される。
【００８０】
（ステップＳ３０２０）ＵＳＢ利用管理装置４１は、照合に失敗したことをＵＳＢ制御部１１１に送信して、処理をステップＳ３０２１に進める。
【００８１】
（ステップＳ３０２１）ＵＳＢ制御部１１１は、ＵＳＢ機器の使用権限を全て剥奪する。すなわち、ＵＳＢ端子１１４のＵＳＢ使用権限が初期状態に設定される。これにより、ＵＳＢ制御部１１１は、ステップＳ３００１で発生した処理を実行させないようにして、処理をステップＳ３０２２に進める。
【００８２】
（ステップＳ３０２２）ＵＳＢ制御部１１１は、認証が失敗したことを利用者に通知する。
【００８３】
次に、ＵＳＢ機器の制御の設定について説明する。前述したように、システム管理者８１は、ＵＳＢ利用管理装置４１を用いて、ＵＳＢ機器の制御の設定情報を扱うＵＳＢ利用許可情報データベース５１の登録内容の編集を行うことが可能である。そのため、システム管理者８１が事前にＵＳＢ利用許可情報データベース５１に、端末識別情報、利用者の個人認証情報、ＵＳＢ機器情報、ＵＳＢ使用権限を登録していれば、登録された条件下でＵＳＢ機器を使用できる。
【００８４】
しかしながら、大規模なシステムにおいてシステム管理者８１がＵＳＢ利用許可情報データベース５１に登録する全ての登録内容を入手し、ＵＳＢ利用管理装置４１を使って内容を入力していくのは手間がかかる。また、登録されていないＵＳＢ機器を臨時で使用したい場合も不便である。そのため、本実施形態では、ＵＳＢ機器の利便性をより確保するために、ＵＳＢ利用許可情報データベース５１に登録する内容の半自動登録を可能とする。
【００８５】
具体的には、本実施形態では、図５に示すＵＳＢ許可登録情報データベース６１が設けられる。ＵＳＢ許可登録情報データベース６１に、端末からのＵＳＢ機器許可登録の設定情報が保存される。このＵＳＢ許可登録情報データベース６１に登録された端末と利用者の組み合わせに合致する場合、登録された端末に接続したＵＳＢ機器に対応するＵＳＢ使用権限を利用者がＵＳＢ利用許可情報データベース５１に登録できる。この際、利用者は登録する端末識別情報と個人認証情報とＵＳＢ機器情報の内容を意識する必要は無い。つまり、端末１１、１２、１３のＵＳＢ制御部１１１、１２１、１３１が読み取った端末識別情報、利用者の個人認証情報、ＵＳＢ機器情報の条件（組み合わせ）で、ＵＳＢ利用許可情報データベース５１に登録される。
【００８６】
ただし、登録されるＵＳＢ使用権限は、あらかじめＵＳＢ許可登録情報データベース６１に設定された、許可可能なＵＳＢ使用権限の範囲内においてしか許可登録できない。また、この利用者はシステム管理者８１とは異なり、ＵＳＢ利用状況履歴データベース７１やＵＳＢ許可登録情報データベース６１の閲覧、及び、その利用者における新たなＵＳＢ機器の許可登録以外によるＵＳＢ利用許可情報データベース５１の編集や、閲覧を行うことはできない。
【００８７】
図１０Ａ、及び図１０Ｂは、端末からＵＳＢ利用許可情報データベース５１に半自動で使用権限を登録する際の動作を示すフローチャートである。図１０Ａ、及び図１０Ｂのフローチャートに記載されているＵＳＢ制御部と端末識別情報と個人認証情報入力部のそれぞれは、端末１１、１２、１３のうちの任意の一つの端末のＵＳＢ制御部１１１、１２１、１３１と、端末識別情報と個人認証情報入力部を表す。
【００８８】
図１０Ａ、及び図１０Ｂのフローチャートに記載されている利用者と個人認証情報は、利用者２１、２２、２３のうちの任意の一人の利用者とその利用者の個人認証情報を表す。図１０Ａ、及び図１０Ｂのフローチャートに記載されているＵＳＢ機器情報は、ＵＳＢ機器３１、３２、３３のうちの任意の１つのＵＳＢ機器のＵＳＢ機器情報を表す。
【００８９】
以下では利用者２１が端末１１に接続したＵＳＢ機器３３を、端末１１において利用者２１が使用可能にする場合を例に挙げて説明する。また、事前にＵＳＢ許可登録情報データベース６１に図５のような情報がシステム管理者８１によって登録されているものとする。
【００９０】
（ステップＳ４００１）利用者２１が端末１１にＵＳＢ機器３３を接続する。
（ステップＳ４００２）ＵＳＢ機器３３を接続したのに伴って、図８のステップＳ２００２〜Ｓ２００５までの処理が実施される。これにより、端末１１にＵＳＢ機器３３が接続された情報がＵＳＢ利用状況履歴データベース７１に記録される。
【００９１】
（ステップＳ４００３）利用者２１がＵＳＢ制御部１１１に対して、端末１１に接続しているＵＳＢ機器３３に対して利用したいＵＳＢ使用権限（この例では、ＵＳＢ機器のデータ読み込み）を入力し、ＵＳＢ機器３３の使用許可を要求する。ＵＳＢ制御部１１１は、処理をステップＳ４００４に進める。
【００９２】
（ステップＳ４００４）ＵＳＢ制御部１１１が端末１１の利用者２１に、個人認証情報を要求して、処理をステップＳ４００５に進める。
【００９３】
（ステップＳ４００５）利用者２１は、個人認証情報入力部１１３を用いて利用者２１の個人認証情報を入力して、処理をステップＳ４００６に進める。
【００９４】
（ステップＳ４００６）ＵＳＢ制御部１１１は、個人認証情報入力部１１３から利用者２１の個人認証情報を受け取り、処理をステップＳ４００７に進める。
【００９５】
（ステップＳ４００７）ＵＳＢ制御部１１１は、照合に使用する情報を、ネットワーク９１を介してＵＳＢ利用管理装置４１に送信する。照合に使用する情報は、ＵＳＢ機器３３のＵＳＢ機器情報（シリアルＩＤ、ベンダＩＤ、プロダクトＩＤ）と、許可するＵＳＢ使用権限の要望情報（ＵＳＢ機器のデータ読み込み）と、利用者２１の個人認証情報（バイオメトリクス認証や顔認証等）と、端末１１の識別情報（ＭＡＣアドレスや電子証明書等）を含む。
【００９６】
（ステップＳ４００８）ＵＳＢ利用管理装置４１は、受信した情報とＵＳＢ許可登録情報データベース６１に登録されている情報との照合を行う。ＵＳＢ利用管理装置４１は、図１０ＢのステップＳ４００９に進める。
【００９７】
（ステップＳ４００９）ＵＳＢ利用管理装置４１は、ＵＳＢ許可登録情報データベース６１に端末１１の識別情報が登録されているか否かを確認する。ＵＳＢ利用管理装置４１は、登録されている場合は（ステップＳ４００９：Ｙｅｓ）、処理をステップＳ４０１０に進め、登録されていない場合は（ステップＳ４００９：Ｎｏ）、処理をステップＳ４０１６に進める。ここでは、図５に示すＵＳＢ許可登録情報データベース６１に、端末１１の識別情報が登録されている。このため、ＵＳＢ利用管理装置４１は、処理をステップＳ４０１０に進める。
【００９８】
（ステップＳ４０１０）ＵＳＢ利用管理装置４１は、ＵＳＢ許可登録情報データベース６１に端末１１でのＵＳＢ許可登録権限者として利用者２１の個人認証情報が登録されているか否かを確認する。ＵＳＢ利用管理装置４１は、端末１１の識別情報に対応して利用者２１の個人認証情報が登録されている場合は（ステップＳ４０１０：Ｙｅｓ）、処理をステップＳ４０１１に進め、登録されていない場合は（ステップＳ４０１０：Ｎｏ）、処理をステップＳ４０１６に進める。ここでは、図５に示すＵＳＢ許可登録情報データベース６１に、端末１１でのＵＳＢ許可登録権限者として利用者２１の個人認証情報が登録されている。このため、ＵＳＢ利用管理装置４１は、処理をステップＳ４０１１に進める。
【００９９】
（ステップＳ４０１１）ＵＳＢ利用管理装置４１は、ＵＳＢ許可登録情報データベース６１に端末１１での利用者２１が登録できるＵＳＢ使用権限として”ＵＳＢ機器のデータ読み込み”が登録されているか否かを確認する。ＵＳＢ利用管理装置４１は、端末１１の識別情報及び利用者２１の個人認証情報の組み合わせに対応して、”ＵＳＢ機器のデータ読み込み”が登録されている場合（ステップＳ４０１１：Ｙｅｓ）、処理をステップＳ４０１２に進める。一方、登録されていない場合（ステップＳ４０１１：Ｎｏ）、ＵＳＢ利用管理装置４１は、処理をステップＳ４０１６に進める。ここでは、図５に示すＵＳＢ許可登録情報データベース６１に、端末１１の識別情報、及び、利用者２１の個人認証情報に対応して、ＵＳＢ使用権限”ＵＳＢ機器のデータ読み込み”及び”ＵＳＢ機器へデータ書き込み”の情報が登録されている。このためＵＳＢ利用管理装置４１は照合に成功し、ステップＳ４０１２に処理を進める。
【０１００】
（ステップＳ４０１２）ＵＳＢ利用管理装置４１は、照合に成功した後、ＵＳＢ利用許可情報データベース５１に情報を登録する。ＵＳＢ利用管理装置４１は、端末１１で利用者２１がＵＳＢ機器３３に対してＵＳＢ使用権限“ＵＳＢ機器のデータ読み込み”が行えるように、ＵＳＢ利用許可情報データベース５１に情報を登録する。具体的に、端末１１の識別情報、利用者２１の個人認証情報、及びＵＳＢ機器３３の情報の組み合わせに対応して、ＵＳＢ使用権限“ＵＳＢ機器のデータ読み込み”が登録される。ＵＳＢ利用管理装置４１は、処理をステップＳ４０１３に進める。
【０１０１】
（ステップＳ４０１３）ＵＳＢ利用管理装置４１は、図６に示すように、ＵＳＢ許可登録情報データベース６１の端末からの許可登録履歴として、登録情報を記録する。ＵＳＢ利用管理装置４１は、システム管理者８１に内容を通知して、処理をステップＳ４０１４に進める。
【０１０２】
（ステップＳ４０１４）ＵＳＢ利用管理装置４１は、情報の送信元のＵＳＢ制御部１１１に、ＵＳＢ機器のＵＳＢ使用権限“ＵＳＢ機器のデータ読み込み”を送信する。ＵＳＢ利用管理装置４１は、処理をステップＳ４０１５に進める。
【０１０３】
（ステップＳ４０１５）ＵＳＢ制御部１１１は、受信したＵＳＢ使用権限に従って、ＵＳＢ機器３３の使用権限を設定する。ＵＳＢ制御部１１１は、登録に成功したことを利用者２１に通知する。
【０１０４】
以上は端末からＵＳＢ機器の利用許可登録が成功する場合の動作を例示した。登録できないパターンも簡単に説明する。例えば、端末１１で利用者２３がＵＳＢ機器３２を登録しようとする場合を例示する。この場合、図５に示すＵＳＢ許可登録情報データベース６１の設定内容には、端末１１での利用者２３の使用権限が存在しない。すなわち、端末１１において利用者２３が、ＵＳＢ機器のＵＳＢ使用権限の登録を行うことは許可されていない。このため、ＵＳＢ利用管理装置４１は、ステップＳ４００９〜Ｓ４０１１の認証に失敗し、ステップＳ４０１６に移行する。
【０１０５】
（ステップＳ４０１６）ＵＳＢ利用管理装置４１は、照合に失敗したことをＵＳＢ制御部１１１に通知して、処理をステップＳ４０１７に進める。
【０１０６】
（ステップＳ４０１７）ＵＳＢ制御部１１１は、認証に失敗したことを利用者２３に通知する。
【０１０７】
以上説明したように、本実施形態では、ＵＳＢ機器とその使用権限の許可登録をすることで、用途に応じて必要なＵＳＢ機器を利用することができる。
【０１０８】
また、本実施形態では、ＵＳＢ機器の認証にどのＵＳＢ機器にも存在するシリアルＩＤ、ベンダＩＤ、プロダクトＩＤを用いている。このため、ＵＳＢ機器自体に認証機能などの特別なセキュリティ処置を施す必要はなく、どのようなＵＳＢ機器でも制御可能である。このため、端末の用途に制限がかかることがなく、また、作業効率の低下を招くことがない。
【０１０９】
また、本実施形態では、端末でＵＳＢ機器を使用する為に、端末の識別とＵＳＢ機器の認証と利用者の個人認証を必要とする。そのため、シリアルＩＤが一意でないＵＳＢ機器でも、どの端末で誰がどんなベンダＩＤ、プロダクトＩＤのＵＳＢ機器を接続しているのかで利用状況を識別できる。また、利用可能なＵＳＢを盗難されたり、ＵＳＢ機器情報を利用可能なＵＳＢ機器情報に偽造したりしたものが端末に接続されても、個人認証が成功しない。このため、ＵＳＢ機器を経由した端末内のデータの持ち出しやウィルスの感染を防止することができる。
【０１１０】
また、本実施形態のＵＳＢ機器管理システム１は、利用された操作情報と、ＵＳＢ機器情報と、利用した端末と、利用した個人と、利用した時刻情報とを併せて、ＵＳＢ利用状況履歴データベース７１に記録する。また、この情報を閲覧できる。これにより、発生したセキュリティ脅威の原因を特定し易い。また、本実施形態では、端末情報、ＵＳＢ機器情報、個人、操作情報、時刻が併せて記録されている。このため、セキュリティの問題に対して、セキュリティの問題の原因となったＵＳＢ機器と端末と個人と時刻を特定可能である。
【０１１１】
また、本実施形態では、端末毎、利用者毎、ＵＳＢ機器毎にＵＳＢ機器の使用権限が制御可能である。このため、扱っている機密情報の重要度が違うが混在する場合でも、それぞれ異なった制御を行うことができる。同じ端末でも利用者毎に異なる制御を行うことができ、同じ利用者でも使用する端末ごとに異なる制御を行える。このため、端末やその利用者や使用するＵＳＢ機器のさまざまな用途に合わせて制御を設定可能であり、また、それらの制御情報を統合して管理できる。
【０１１２】
また、本実施形態では、端末がＵＳＢ利用管理装置４１に接続されたネットワーク９１から切り離された場合、端末内のＵＳＢ制御部によってＵＳＢ機器の利用が制限されており、ＵＳＢ機器を利用するための認証も通らない。このため、ＵＳＢ利用管理装置４１の管理下から外れた状態でＵＳＢ機器を利用されることは無い。また、端末がネットワーク９１から切り離されていても、ＵＳＢ機器の不正使用によるセキュリティ脅威から端末を保護することができる。また、この性質上、ＵＳＢ機器の利用状況の監視外でＵＳＢ機器を利用されることは無いため、端末でのＵＳＢ機器の利用を漏れなく監視できる。
【０１１３】
また、本実施形態では、ＵＳＢ利用管理装置４１によって複数端末のＵＳＢ機器の利用制御を統合管理できる。システム管理者８１がＵＳＢ利用管理装置４１を用いて各端末におけるＵＳＢ制御を行うことができるため、一つ一つの各端末上で設定する必要はない。
【０１１４】
また、本実施形態では、ＵＳＢ許可登録情報データベース６１に登録され、ＵＳＢ利用管理装置４１によって管理されている端末にＵＳＢ機器が接続されることで、利用者が端末識別情報、利用者の個人認証情報、ＵＳＢ機器情報を意識する必要は無く、半自動でＵＳＢ機器の制御を登録することができる。
【０１１５】
なお、例えば、公共の場やイベント会場での端末を用いたサービスの提供などで、不特定多数の利用者が端末を使用することが想定される。ＵＳＢ機器の利用についてＵＳＢ機器のデータの読み込みのみを許可し、セキュリティの為に端末内の情報の持ち出し（ＵＳＢ機器へデータ書き込み）と、ファイルの実行を禁止する場合がある。この場合、図４のＵＳＢ利用許可情報データベース５１における端末１３の例に示すように、全ての利用者、全てのＵＳＢ機器を許可として、ＵＳＢ使用権限を”ＵＳＢ機器のデータの読み込み”とすれば良い。
【０１１６】
別の例としては、ＵＳＢ機器自体にセキュリティ機能があり、ＵＳＢ機器と同種のベンダの同じ製品には全てこのセキュリティ機能が実装されている場合を例示する。この場合、ＵＳＢ利用許可情報データベース５１対して、このセキュリティ機能が実装されているＵＳＢ機器であれば全て利用できるように指定（登録）すればよい。
【０１１７】
その他、端末と利用者とＵＳＢ機器の用途に応じて適切なＵＳＢ機器の利用の制御を行うことができ、ＵＳＢ機器の利用状況も監視可能である。
【０１１８】
図１１は、一実施形態におけるＵＳＢ機器管理システムの基本構成を示す概略ブロック図である。一実施形態のＵＳＢ管理システムは、ＵＳＢ利用許可情報データベース５０１と、ＵＳＢ利用状況履歴データベース５０２と、ＵＳＢ制御部５０３と、ＵＳＢ利用管理装置５０４とを備える。
【０１１９】
ＵＳＢ利用許可情報データベース５０１には、端末識別情報と、利用者の個人認証情報と、ＵＳＢ機器情報との組み合わせに対応してＵＳＢ機器の使用権限が登録されている。ＵＳＢ利用状況履歴データベース５０２には、ＵＳＢ機器が利用された際の端末識別情報、個人認証情報、ＵＳＢ機器情報、操作内容、操作対象、及び発生時刻が記録される。
【０１２０】
ＵＳＢ制御部５０３は、端末５１０上でＵＳＢ機器が操作された際に、端末の識別情報、利用者の個人認証情報、及びＵＳＢ機器情報をＵＳＢ利用管理装置５０４に送信する。また、ＵＳＢ制御部５０３は、ＵＳＢ利用管理装置５０４から送信されたＵＳＢ使用権限の情報にしたがって、当該端末５１０に装着されたＵＳＢ機器５１５を制御する。
【０１２１】
ＵＳＢ利用管理装置５０４は、ＵＳＢ制御部５０３から送信された端末の識別情報、利用者の個人認証情報、及びＵＳＢ機器情報の組み合わせを、ＵＳＢ利用許可情報データベース５０１に照合する。つまり、ＵＳＢ利用管理装置５０４は、ＵＳＢ制御部５０３から送信された端末の識別情報、利用者の個人認証情報、及びＵＳＢ機器情報の組み合わせが、ＵＳＢ利用許可情報データベース５０１に登録されているか否かを判定する。登録されている場合、すなわち、当該照合に成功した場合、ＵＳＢ利用管理装置５０４は、組み合わせに対応してＵＳＢ利用許可情報データベース５０１に登録されたＵＳＢ使用権限の情報をＵＳＢ制御部５０３に送信する。また、ＵＳＢ利用管理装置５０４は、端末５１０上で実行された操作に関する情報をＵＳＢ制御部５０３から受信し、ＵＳＢ利用状況履歴データベース５０２に登録する。
【０１２２】
なお、ＵＳＢ機器管理システム１の全部または一部の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより各部の処理を行ってもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。
また、「コンピュータシステム」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムを送信する場合の通信線のように、短時間の間、動的にプログラムを保持するもの、その場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含むものとする。また上記プログラムは、前述した機能の一部を実現するためのものであっても良く、さらに前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであっても良い。
【０１２３】
以上、本発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計変更等も含まれる。
【０１２４】
この出願は、２０１７年３月２１日に日本出願された特願２０１７−０５４６３０号を基礎とする優先権を主張し、その開示の全てをここに取り込む。
【産業上の利用可能性】
【０１２５】
本発明によれば、ＵＳＢ機器の利用状況の監視と、ＵＳＢ機器の使用の制御の統合管理が行える。
【符号の説明】
【０１２６】
１１，１２，１３：端末
４１：ＵＳＢ利用管理装置
５１：ＵＳＢ利用許可情報データベース
６１：ＵＳＢ許可登録情報データベース
７１：ＵＳＢ利用状況履歴データベース
１１１，１２１，１３１：ＵＳＢ制御部
【図１】
2018173528.tif 000003
【図２】
2018173528.tif 000004
【図３】
2018173528.tif 000005
【図４】
2018173528.tif 000006
【図５】
2018173528.tif 000007
【図６】
2018173528.tif 000008
【図７】
2018173528.tif 000009
【図８】
2018173528.tif 000010
【図９Ａ】
2018173528.tif 000011
【図９Ｂ】
2018173528.tif 000012
【図１０Ａ】
2018173528.tif 000013
【図１０Ｂ】
2018173528.tif 000014
【図１１】
2018173528.tif 000015
【国際調査報告】
2018173528.tif 000016
2018173528.tif 000017
2018173528.tif 000018
2018173528.tif 000019