(57)【要約】【課題】現状のセキュリティ管理サービスは事故の予兆を顧客へ連絡するのみで、その後の分析、対応は顧客対応であった。そのため、夜間や休日の対応は難しく、セキュリティ事故発見が遅れていた。【解決手段】本発明のセキュリティ管理システムでは、顧客に導入されている多種多様なセキュリティ装置のイベントを収集し、相関分析することでセキュリティ事故の発生を検出し、ネットワークからの隔離、外部媒体の使用制限、印刷制限を行うことで、情報漏洩や被害拡大を防止する。また、入退室装置をロックすることで人の出入りを禁止し、監視カメラ画像に基づいて犯人特定や証拠の保存を行い警備会社等へ通報を行う。【選択図】図１
2007272724.tif 000002
【特許請求の範囲】
【請求項１】
顧客に導入されている多種多様なセキュリティ装置のイベントを収集し、相関分析することでセキュリティ事故の発生を検出する検出部と、ネットワークからの隔離、外部媒体の使用制限、印刷制限を行って情報漏洩や被害拡大を防止する制限部と、入退室装置をロックすることで人の出入りを禁止するロック部と、監視カメラ画像に基づいて犯人特定や証拠の保存を行い通報を行う監視部とを備えたことを特徴とするセキュリティ管理システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュリティ管理システムに関し、特に、セキュリティ事故の検知・分析・事故被害の拡大防止、画像情報の提供まで可能なセキュリティ管理サービスシステムに関する。
【背景技術】
【０００２】
従来から、セキュリティ装置を用いてセキュリティ事故を検知・分析し、事故被害の拡大を防止することが試みられているが、セキュリティ装置から発せられる多数のイベント／ログの解析は非常に専門性が高く、顧客自らセキュリティ装置を運用することは、技術的やコスト的な面から難しく、セキュリティ事故発生時の解析や対応に多大な時間を要していた。また、イベント／ログの管理を実施していないことで、セキュリティ事故が発生しているにもかからず、発見することが出来ないため事件が外部から発覚することも多い。
セキュリティ管理装置としては種々の装置が開発されている。
【発明の開示】
【発明が解決しようとする課題】
【０００３】
しかしながら、従来は、セキュリティ装置やＩＴインフラの運用管理をアウトソースする手段は知られているものの、現状のアウトソーシングサービスは事故の予兆を顧客へ連絡するのみの場合が多く、その後の分析、対応は顧客対応であった。そのため、夜間や休日の対応は難しく、セキュリティ事故発見の遅れにもつながっていた。
【０００４】
本発明は、セキュリティ事故の検知・分析・事故被害の拡大防止、画像情報の提供までアウトソース可能なサービスを提供することを目的とする。
【課題を解決するための手段】
【０００５】
本発明のセキュリティ管理システムは、顧客に導入されている多種多様なセキュリティ装置のイベントを収集し、相関分析することでセキュリティ事故の発生を検出し、ネットワークからの隔離、外部媒体の使用制限、印刷制限を行うことで、情報漏洩や被害拡大を防止する。また、入退室装置をロックすることで人の出入りを禁止し、監視カメラ画像に基づいて犯人特定や証拠の保存を行い警備会社等へ通報を行うことを特徴とする。
【発明の効果】
【０００６】
本発明によれば、自社で運用できないイベント／ログの解析や管理を行い、いち早くセキュリティ事故を検知することで、的確で迅速なセキュリティ事故対応が可能となる。また、事故被害の拡大防止を実施することでセキュリティ事故対応に係わるコストを抑えることができる。
【発明を実施するための最良の形態】
【０００７】
以下、図面を用いて、本発明の実施の形態について説明する。
【実施例１】
【０００８】
図１は、本発明の実施例１であるセキュリティ管理システムのシステム構成図を示している。図１において、セキュリティ管理システムは、顧客１側の顧客システム１１と監視センタ２側の監視システム２１がインターネット３を介して接続されて構成されている。
【０００９】
顧客システム１１内にはサーバ室１２が設けられており、サーバ室１２内に監視カメラ（ｈ）１２１、入退室装置（ｇ）１２２、ＤＢサーバ（ｄ）１２３が配置され、一般利用者が使用するクライアント（ｅ）１３、プリンタ１９等の出力装置、ウィルスチェックを行う検疫（ｃ）装置１８が顧客システム１１内のネットワークで接続されている。
【００１０】
顧客システム１１内には、不正侵入検知装置１４、ＷＥＢサーバ１５、ファイアウォール１６、セキュリティ監視装置（ａ）１７が配置されており、顧客システム１１内の各装置はファイアウォール１６を介してインターネット３と接続されている。
【００１１】
ＤＢサーバ（ｄ）１２３内には使用制限ソフトウェア（ｆ）１２４が格納され、クライアント（ｅ）１３内には使用制限ソフトウェア（ｆ）１３１が格納されており、不正なアクセスの場合には、使用制限ソフトウェアの機能によりＤＢサーバ（ｄ）へのアクセス制限やクライエント（ｅ）の使用制限が行われる。
【００１２】
監視カメラ（ｈ）１２１、入退室装置（ｇ）１２２、ＤＢサーバ（ｄ）１２３、クライアント（ｅ）、不正侵入検知装置１４、ＷＥＢサーバ１５、ファイアウォール１６で発生した各種の異常イベントは、セキュリティ監視装置（ａ）１７において収集され、収集されたイベントは監視システム２１内のセキュリティ管理装置（ｂ）２２に自動通報される。
【００１３】
監視センタ２内では、専門家のセキュリティエンジニアが、セキュリティ監視装置（ａ）を用いて収集したイベントの相関分析を行う。相関分析の結果は、セキュリティ監視装置（ａ）のセキュリティ管理装置画面２３上に、イベント相関図、発生事故内容等が表示される。また、各イベントの内容が、例えば、・ポートスキャン・不正ログインの試み・不正アクセス成功・データのダウンロードといったように画面に表示され、監視カメラ（ｈ）が取得した画像も監視カメラ画像として画面に表示される。
【００１４】
この分析結果に基づき、監視システム２１のセキュリティ管理装置（ｂ）２２は、例えば、インターネット３を介して、顧客システム１１内の入退室装置（ｇ）１２２、ＤＢサーバ（ｄ）１２３内の使用制限ソフトウェア（ｆ）１２４、クライアント（ｅ）１３内には使用制限ソフトウェア（ｆ）１３１を遠隔制御して、入退室装置（ｇ）１２２のロック（施錠）やＤＢサーバ（ｄ）１２３及び／又はクライアント（ｅ）１３の使用制限を実施する。
【００１５】
図２は、本発明の実施例１のセキュリティ管理システムの動作のフローチャートを示している。図２において、ステップＳ１において、セキュリティ事故対応が開始されると、ステップＳ２において、侵入検知装置、ファイアウォール、業務サーバ等のイベントを収集が行われる。ステップＳ３において、危険度の高いイベントは、監視センタへ自動通報し、ステップＳ４において、監視センタでセキュリティ管理装置を使用し、事故発生の有無を分析する。ステップＳ５において、セキュリティ事故発生かどうかの判断がなされ、
事故発生と判断された場合には、次のフロー（１）に進み、事故発生ではないと判断された場合には、次のフロー（２）に進む。
【００１６】
フロー（１）では、ステップＳ６において、セキュリティ事故の発生クライアント又はＤＢサーバを検疫装置に指示を使い、ネットワークから隔離し、ステップＳ７において、
事故の発生クライアントにて使用制限ソフトウェアに指示を行い、外部媒体の使用を制限し、電子情報の持ち出しを禁止する。次に、ステップＳ８において、事故の発生クライアントにて使用制限ソフトウェアに指示を行い、印刷を制限し、印刷物の持ち出しを禁止する。また、ステップＳ９において、セキュリティ事故発生場所の入退室装置をロックし、入退室を禁止し、次のフロー（３）へ進む。
【００１７】
フロー（２）の場合は、事故発生ではないと判断されたケースであり、そのまま、次のフロー（３）に進む。
【００１８】
フロー（３）では、ステップＳ１０において、事故発生場所の監視カメラ画像を顧客へ送付し、ロックの解除確認を実施し、ステップＳ１１において、画像・イベントの確認結果に問題が有るか無いかが判断される。問題が有る場合には、ステップＳ１２において、警備会社等へ通報し、また、問題が無い場合には、ステップＳ１３において、入退室装置のロックを解除して、ステップ１４に移行して、セキュリティ事故対応のフローを終了する。
【００１９】
図３〜図６は、本発明のセキュリティ管理システムに適用される各種技術の説明図である。
【００２０】
図３は、本発明の場合の統合管理によるインシデント調査を示している。図３において、統合管理によるインシデント調査では、ステップＳ４１において、ログ・イベント収集から相関分析までの収集・相関分析フェーズを実行した後、ステップＳ４２において、対策の実施を行う対策フェーズに移行する点に特徴がある。
【００２１】
図４は、イベントの相関分析でセキュリティ・インシデントの可視化を可能とするフローを示している。図４において、ステップＳ５１において、ＦＷ（ファイアウォールのイベントの調査を行い、次に。ステップＳ５２において、ＩＤＳ（通信システム）のイベントの調査を行い、次に、ステップＳ５３において、ＯＳ（オペレーティングシステム）のイベントの調査を行った後、ステップＳ５４において、これらの相関要素でイベントを解析し、インシデント（事故）を抽出することを示している。
【００２２】
図５は、セキュリティ・インシデント発生時のカメラ画像の連携を示している。図５において、ステップＳ６１において、ＤＢサーバのログからインシデント（事故）を検知した場合に、ステップＳ６２において、インシデント（事故）の発生時刻の情報をもとにカメラ画像を選定し、ステップＳ６３において、監視と通報を行うことで統合管理が可能になることを示している。
【００２３】
図６は、セキュリティ・インシデント発生時の物理セキュリティ対応を示している。図６において、ステップＳ７１において、不正アクセスの試みがなされた場合、ステップＳ７２において、これを監視し、ステップＳ７３において、電気錠をロックするあるいはラック用ＩＰ錠をロックするといった物理的なセキュリティ対策をとることを示している。
【図面の簡単な説明】
【００２４】
【図１】図１は、本発明の実施例１であるセキュリティ管理システムのシステム構成図である。
【図２】図２は、本発明の実施例１のセキュリティ管理システムの動作のフローチャートである。
【図３】図３は、本発明の場合の統合管理によるインシデント調査を示す図である。
【図４】図４は、イベントの相関分析でセキュリティ・インシデントの可視化を可能とするフローを示す図である。
【図５】図５は、セキュリティ・インシデント発生時のカメラ画像の連携を示す図である。
【図６】図６は、セキュリティ・インシデント発生時の物理セキュリティ対応を示す図である。
【符号の説明】
【００２５】
１    顧客
２    監視センタ
３    インターネット
１１    顧客システム
１２    サーバ室
１３    クライアント（ｅ）
１４    不正侵入検知装置
１５    ＷＥＢサーバ
１６    ファイアウォール
１７    セキュリティ監視装置（ａ）
１８    検疫装置（ｃ）
１９    プリンタ
２１    監視システム
２２    セキュリティ管理装置（ｂ）
２３    セキュリティ管理装置画面
２４    イベント相関図
２５    発生事故内容
２６    監視カメラ画像
１２１    監視カメラ（ｈ）
１２２    入退室装置（ｇ）
１２３    ＤＢサーバ（ｄ）
１２４    使用制限ソフトウェア（ｆ）
１３１    使用制限ソフトウェア（ｆ）
【図１】
2007272724.tif 000003
【図２】
2007272724.tif 000004
【図３】
2007272724.tif 000005
【図４】
2007272724.tif 000006
【図５】
2007272724.tif 000007
【図６】
2007272724.tif 000008