(57)【要約】【課題】複数のＷｅｂサービスを連携させる場合に発生するセキュリティリスクを提示する。【解決手段】ユーザ端末及び、ユーザにサービスを提供するサービス提供装置とネットワークを介して接続された情報処理装置は、ユーザにより利用されるサービスの利用状況を示すサービス利用状況情報と、ユーザにより利用されるサービス間の連携情報を示すサービス連携情報とを対応付けてサービス利用情報データベースに記憶する記憶部と、前記サービス提供装置により提供されるサービスを利用する際の所定のセキュリティポリシを設定するセキュリティポリシ設定部と、前記サービス利用状況情報及び前記サービス連携情報を用いて、ユーザのサービス利用状況が前記セキュリティポリシに適合しているかを判定するセキュリティリスク判定部と、を備える。【選択図】図１
2013196422.tif 000002
【特許請求の範囲】
【請求項１】
ユーザ端末及び、ユーザにサービスを提供するサービス提供装置とネットワークを介して接続された情報処理装置であって、
ユーザにより利用されるサービスの利用状況を示すサービス利用状況情報と、ユーザにより利用されるサービス間の連携情報を示すサービス連携情報とを対応付けてサービス利用情報データベースに記憶する記憶部と、
前記サービス提供装置により提供されるサービスを利用する際の所定のセキュリティポリシを設定するセキュリティポリシ設定部と、
前記サービス利用状況情報及び前記サービス連携情報を用いて、ユーザのサービス利用状況が前記セキュリティポリシに適合しているかを判定するセキュリティリスク判定部と、
を備えることを特徴とする、情報処理装置。
【請求項２】
前記セキュリティリスク判定部によりユーザのサービス利用状況が前記セキュリティポリシに適合していないと判定された場合に、前記セキュリティポリシに適合していない箇所を前記ユーザ端末に提供するセキュリティリスク提供部を備える
ことを特徴とする、請求項１に記載の情報処理装置。
【請求項３】
前記サービス利用情報データベースには、
ユーザの識別情報と、ユーザにより利用されるサービスの識別情報と、当該サービスの情報公開範囲と、当該サービスの連携情報とが対応付けて格納されている
ことを特徴とする、請求項１に記載の情報処理装置。
【請求項４】
前記サービス利用状況には、サービスの公開範囲の状況またはサービスの認証情報の使用状況が含まれる
ことを特徴とする、請求項１に記載の情報処理装置。
【請求項５】
前記セキュリティポリシには、サービス間の認証情報の使用状況、サービス間のデータ連携による情報の公開範囲またはサービス利用のためのパスワードの強度の情報が含まれる
ことを特徴とする、請求項１に記載の情報処理装置。
【請求項６】
前記記憶部には、
ユーザにより利用されているサービス間のデータの連携情報を示すデータ連携情報データベースが記憶され、
前記セキュリティリスク判定部は、
前記データ連携情報データベースの前記データの連携情報と、ユーザにより利用されるサービスの利用状況を示す前記サービス利用状況情報とを用いて、ユーザのサービス利用状況が前記セキュリティポリシに適合しているかを判定する
ことを特徴とする、請求項１に記載の情報処理装置。
【請求項７】
前記セキュリティリスク判定部は、
前記データ連携情報データベースの前記データの連携情報を用いて、ユーザが新規にサービスを利用する際に、該サービスと現在ユーザにより利用されているサービスとがデータ連携した場合に、ユーザの前記サービス利用状況が前記セキュリティポリシに適合しているかを判定する
ことを特徴とする、請求項６に記載の情報処理装置。
【請求項８】
前記サービス利用情報データベースには、サービスの利用状況とユーザの認証情報とが対応付けて記憶されており、
前記セキュリティリスク判定部は、
前記サービス利用情報データベースの前記ユーザの認証情報を用いて、ユーザが新規にサービスを利用する際に、該ユーザの認証情報が所定数以上のサービスで利用されているかを判定する
ことを特徴とする、請求項１に記載の情報処理装置。
【請求項９】
ユーザ端末及び、ユーザにサービスを提供するサービス提供装置とネットワークを介して接続された情報処理装置を用いた情報処理方法であって、
セキュリティポリシ設定部が、前記サービス提供装置により提供されるサービスを利用する際の所定のセキュリティポリシを設定する第１のステップと、
セキュリティリスク判定部が、ユーザにより利用されるサービスの利用状況を示すサービス利用状況情報及びユーザにより利用されるサービス間の連携情報を示すサービス連携情報を用いて、ユーザのサービス利用状況が前記セキュリティポリシに適合しているかを判定する第２のステップと、
を含むことを特徴とする、情報処理方法。
【請求項１０】
前記第２のステップにおいて、ユーザのサービス利用状況が前記セキュリティポリシに適合していないと判定された場合に、セキュリティリスク提供部が、前記セキュリティポリシに適合していない箇所を前記ユーザ端末に提供する第３のステップ
を含むことを特徴とする、請求項９に記載の情報処理方法。
【請求項１１】
ユーザ端末と、ユーザにサービスを提供するサービス提供装置と、ユーザが前記サービスを利用する際のセキュリティリスクを判定する情報処理装置と、がネットワークを介してそれぞれ相互に接続された情報処理システムであって、
ユーザにより利用されるサービスの利用状況を示すサービス利用状況情報と、ユーザにより利用されるサービス間の連携情報を示すサービス連携情報とを対応付けてサービス利用情報データベースに記憶する記憶部と、
前記サービス提供装置により提供されるサービスを利用する際の所定のセキュリティポリシを設定するセキュリティポリシ設定部と、
前記サービス利用状況情報及び前記サービス連携情報を用いて、ユーザのサービス利用状況が前記セキュリティポリシに適合しているかを判定するセキュリティリスク判定部と、
を備えることを特徴とする、情報処理システム。
【請求項１２】
前記セキュリティリスク判定部によりユーザのサービス利用状況が前記セキュリティポリシに適合していないと判定された場合に、前記セキュリティポリシに適合していない箇所を前記ユーザ端末に提供するセキュリティリスク提供部を備える
ことを特徴とする、請求項１１に記載の情報処理システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置、情報処理方法及び情報処理システムに関し、セキュリティリスクに関する情報を提供する情報処理装置、情報処理方法及び情報処理システムに適用して好適なるものである。
【背景技術】
【０００２】
近年のＷｅｂ技術の発展やクラウドコンピューティング技術の発展に伴い、Ｗｅｂサービスが増加し、多様化している。ユーザが多くのＷｅｂサービスを利用することにより、ユーザに関する情報の多くがＷｅｂサービス上に保存され、Ｗｅｂサービスからの情報漏えいの危険性が高まることになる。このため、Ｗｅｂサービスの利用に際して、Ｗｅｂサービスを提供するサイトに安心して情報を預けることができるかが重要となってくる。
【０００３】
例えば、特許文献１では、Ｗｅｂサイトを利用する際のセキュリティに関する情報をユーザに提供する技術が開示されている。具体的に、特許文献１では、一般ユーザが使用するユーザ端末と、コンテンツを提供する一般のＷｅｂサイトＡと、サイトＡを対象としてセキュリティ監査を行うサイトＢとを有する。ユーザ端末からサイトＡへのアクセスがあった場合に、サイトＢはサイトＡのセキュリティ監査を行って、当該監査結果をもとにサイトＡのセキュリティレベルを含む情報をユーザ端末に表示させる。
【０００４】
また、多くのＷｅｂサービスが出現する状況において、Ｗｅｂサービス同士の連携も行われている。具体的に、サービスごとにユーザの認証を行うことをせずに、あるサービスにおけるユーザの認証結果を他のサービスで利用する認証連携処理が行われたり、あるサービス内の情報を他のサービスで利用するデータ連携処理などが行われたりしている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１０−２８７１１８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかし、ユーザが複数のＷｅｂサービスを利用することによりインターネット上での活動における利便性を高めることができるが、複数サービスの利用にはセキュリティリスクが存在する可能性が高くなるという問題があった。例えば、特許文献１では、ユーザが利用しているサービスに関するセキュリティリスクを把握させることができても、複数のＷｅｂサービスが認証連携処理やデータ連携処理などを行っている場合に発生し得るセキュリティリスクをユーザに把握させることができない。
【０００７】
例えば、ユーザが複数サービスを利用する際に、サービス間でデータ連携を行っている場合にが、データ連携を繰り返すことによりユーザが入力した情報がユーザの意図しない範囲まで広がってしまう。また、ユーザがＷｅｂサービスを利用する際のパスワードを複数のＷｅｂサービスで使いまわしている場合には、ユーザの認証情報が漏えいして他のＷｅｂサービスにおけるなりすましなどの危険性が増加してしまう。
【０００８】
本発明は以上の点を考慮してなされたもので、複数のＷｅｂサービスを連携させる場合に発生するセキュリティリスクを提示することが可能な情報処理装置、情報処理方法及び情報処理システムを提案しようとするものである。
【課題を解決するための手段】
【０００９】
かかる課題を解決するために本発明においては、ユーザ端末及び、ユーザにサービスを提供するサービス提供装置とネットワークを介して接続された情報処理装置であって、ユーザにより利用されるサービスの利用状況を示すサービス利用状況情報と、ユーザにより利用されるサービス間の連携情報を示すサービス連携情報とを対応付けてサービス利用情報データベースに記憶する記憶部と、前記サービス提供装置により提供されるサービスを利用する際の所定のセキュリティポリシを設定するセキュリティポリシ設定部と、前記サービス利用状況情報及び前記サービス連携情報を用いて、ユーザのサービス利用状況が前記セキュリティポリシに適合しているかを判定するセキュリティリスク判定部と、を備えることを特徴とする、情報処理装置が提供される。
【００１０】
かかる構成によれば、サービス提供装置により提供されるサービスを利用する際の所定のセキュリティポリシを設定し、ユーザにより利用されるサービスの利用状況を示すサービス利用状況情報及びユーザにより利用されるサービス間の連携情報を示すサービス連携情報を用いて、ユーザのサービス利用状況が前記セキュリティポリシに適合しているかを判定する。これにより、複数のＷｅｂサービスを連携させる場合に発生するセキュリティリスクを提示して、ユーザにＷｅｂサービスを安全に利用させることができる。
【発明の効果】
【００１１】
本発明によれば、複数のＷｅｂサービスを連携させる場合に発生するセキュリティリスクを提示してＷｅｂサービスを安全に利用することができる。
【図面の簡単な説明】
【００１２】
【図１】本発明の一実施形態に係る計算機システムのハードウェア構成を示すブロック図である。
【図２】同実施形態にかかるセキュリティリスク情報提供装置のハードウェア構成を示すブロック図である。
【図３】同実施形態にかかるセキュリティリスク情報提供装置のソフトウェア構成を示すブロック図である。
【図４】同実施形態にかかるセキュリティポリシ情報の一例を示す概念図である。
【図５】同実施形態にかかるユーザ情報データベースの一例を示す図表である。
【図６】同実施形態にかかるサービス情報データベースの一例を示す図表である。
【図７】同実施形態にかかる認証連携情報データベースの一例を示す図表である。
【図８】同実施形態にかかるデータ連携データベースの一例を示す図表である。
【図９】同実施形態にかかるサービス利用データベースの一例を示す図表である。
【図１０】同実施形態にかかるデータ連携利用データベースの一例を示す図表である。
【図１１】同実施形態にかかるリスク判定処理を示すフローチャートである。
【図１２】同実施形態にかかる条件充足判定処理を示すフローチャートである。
【図１３】同実施形態にかかる条件充足判定処理を示すフローチャートである。
【図１４】同実施形態にかかる条件充足判定処理を示すフローチャートである。
【図１５】同実施形態にかかる条件充足判定処理を示すフローチャートである。
【図１６】同実施形態にかかる条件充足判定処理を示すフローチャートである。
【図１７】同実施形態にかかる条件充足判定処理を示すフローチャートである。
【図１８】同実施形態にかかる条件充足判定処理を示すフローチャートである。
【図１９】同実施形態にかかる条件充足判定処理を示すフローチャートである。
【図２０】同実施形態にかかる条件充足判定処理を示すフローチャートである。
【図２１】同実施形態にかかる条件充足判定処理を示すフローチャートである。
【図２２】同実施形態にかかるセキュリティリスク情報提供画面の一例を示す概念図である。
【図２３】同実施形態にかかるセキュリティリスク情報提供画面の一例を示す概念図である。
【図２４】同実施形態にかかるセキュリティリスク情報提供画面の一例を示す概念図である。
【発明を実施するための形態】
【００１３】
以下図面について、本発明の一実施の形態を詳述する。
【００１４】
（１）本実施の形態の概要
近年のＷｅｂ技術の発展やクラウドコンピューティング技術の発展に伴い、Ｗｅｂサービスが増加し、多様化している。ユーザが多くのＷｅｂサービスを利用することにより、ユーザに関する情報の多くがＷｅｂサービス上に保存され、Ｗｅｂサービスからの情報漏えいの危険性が高まることになる。このため、Ｗｅｂサービスの利用に際して、Ｗｅｂサービスを提供するサイトに安心して情報を預けることができるかが重要となってくる。
【００１５】
例えば、Ｗｅｂサイトを利用する際のセキュリティに関する情報をユーザに提供する技術が開示されている。具体的に、当該技術では、一般ユーザが使用するユーザ端末と、コンテンツを提供する一般のＷｅｂサイトＡと、サイトＡを対象としてセキュリティ監査を行うサイトＢとを有する。ユーザ端末からサイトＡへのアクセスがあった場合に、サイトＢはサイトＡのセキュリティ監査を行って、当該監査結果をもとにサイトＡのセキュリティレベルを含む情報をユーザ端末に表示させる。
【００１６】
また、多くのＷｅｂサービスが出現する状況において、Ｗｅｂサービス同士の連携も行われている。具体的に、サービスごとにユーザの認証を行うことをせずに、あるサービスにおけるユーザの認証結果を他のサービスで利用する認証連携処理が行われたり、あるサービス内の情報を他のサービスで利用するデータ連携処理などが行われたりしている。
【００１７】
しかし、ユーザは、複数のＷｅｂサービスを利用することによりインターネット上での活動における利便性を高めることができるが、複数サービスの利用にはセキュリティリスクが存在する可能性が高くなってしまうという問題があった。例えば、特許文献１では、ユーザが利用しているサービスに関するセキュリティリスクを把握させることができても、複数のＷｅｂサービスが認証連携処理やデータ連携処理などを行っている場合に発生し得るセキュリティリスクをユーザに把握させることができない。
【００１８】
例えば、ユーザが複数サービスを利用する際には、サービス間でデータ連携を行っている場合、データ連携を繰り返すことによりユーザが入力した情報がユーザの意図しない範囲まで広がってしまう。具体的に、ユーザがＳＮＳ（Social Networking Service）サービスＡ、Ｂ、Ｃ及びＤを利用しており、Ａ及びＢのサービスに投稿された情報についてはユーザが定めた限定的な範囲にしか公開されず、Ｃ及びＤのサービスに投稿された情報についてはすべてのユーザに公開されるものとする。ユーザがサービスを利用するに際しては、サービス間でデータ連携をする設定をしており、サービスＢに投稿された情報は自動的にサービスＣに反映され、サービスＣに投稿された情報は自動的にサービスＤに反映されるものとする。
【００１９】
例えば、ユーザがサービスＡにプライベートな情報が含まれた情報を投稿し、サービスＢ、Ｃ及びＤには一般に公開されても問題のない情報を投稿したとする。このとき、ユーザがサービスＡとＢとを連携させる新たな設定を行った場合、サービスＡに投稿されたデータがサービスＢに自動的に反映されることとなる。ユーザ自身は、サービスＡ及びサービスＢはともに公開範囲が限定的なため、サービスＡとＢとを連携させても問題ないと考えている。しかし、上記したように、予め、サービスＢとサービスＣとを連携し、サービスＣとサービスＤとを連携させているため、サービスＡに投稿した情報は、サービスＢ及びサービスＣを経由してサービスＤへと自動的に投稿されることとなる。
【００２０】
したがって、サービスＡ及びサービスＢでの公開範囲が限定的であっても、サービスＣ及びサービスＤで一般に公開されてしまうため、サービスＡに投稿したプライベートな情報がサービスＤで一般に公開されてしまうという問題が発生する。このように、多数のサービスを利用し、かつ、それらを連携させている場合には、Ｗｅｂサービス間の連携によってユーザの意図しない範囲に情報が公開されてしまう恐れがある。そこで、このようなＷｅｂサービス間の連携によって、情報の公開範囲が拡大してしまうことをユーザに注意喚起する必要があった。
【００２１】
また、複数のＷｅｂサービスがバックグラウンドで情報を共有している場合も上記と同様の問題が生じる。例えば、サービスＸとサービスＹとがデータベースを共有し、ユーザがサービスＸとサービスＺを利用し、サービスＸに投稿した情報がサービスＺに反映されるようにサービスＸとサービスＺとを連携させているとする。そして、このユーザがサービスＹを新たに利用したとする。ユーザがサービスＹに情報を投稿すると、サービスＹはサービスＸとデータベースを共有しているため、サービスＹに投稿された情報がサービスＸに反映される。さらに、サービスＸとサービスＺとの連携によって、サービスＸに反映された情報がサービスＺに反映される。このとき、ユーザはサービスＸとサービスＹとがデータベースを共有していることを把握していないため、サービスＺでの情報公開はユーザの意図しない公開となる。
【００２２】
また、このようにバックグラウンドで情報を共有している場合には、サービスの利用規約などに他のサービスで情報を共有している旨利用規約に記載されていることも考えられるが、ユーザが利用規約の記載を読み飛ばしたり、利用規約を読んでいないという場合がある。したがって、このようなユーザの不利益を回避するために、バックグラウンドで情報を共有している場合に情報の公開範囲が拡大してしまうことをユーザに注意喚起する必要がある。
【００２３】
また、ユーザがＷｅｂサービスを利用する際のパスワードを複数のＷｅｂサービスで使いまわしている場合に、ユーザの認証情報が漏えいして他のＷｅｂサービスにおけるなりすましなどの危険性が増加してしまう。上記したように、ユーザが多数のＷｅｂサービスを利用する場合、管理するＩＤとパスワードの組み合わせが増えるため、複数のＷｅｂサービスで同一のＩＤとパスワードを使いまわす場合がある。複数のＷｅｂサービスにおいて同じＩＤとパスワードの組み合わせを利用してログイン等すると、ある１カ所からのサービスから認証情報が漏えいした場合に、他のサービスの認証情報も同時に漏えいすることとなる。しかし、複数のサービスでＩＤとパスワードを使いまわすことにより、１か所で発生した情報漏えいの危険性が他の多数のＷｅｂサービスにも影響を及ぼすということを把握していないユーザが多い。したがって、そのようなユーザに対して情報漏えいの危険性を注意喚起する必要がある。
【００２４】
そこで、本実施の形態では、複数のＷｅｂサービスを連携させる場合に発生するセキュリティリスクを提示することにより、ユーザにＷｅｂサービスを安全に利用させることを可能としている。
【００２５】
（２）計算機システムの構成
図１に、計算機システム１００のハードウェア構成を示す。図２に示すように、計算機システム１００は、セキュリティリスク情報提供装置１０２、Ｗｅｂサービス提供装置１０３及び１０９、データベースサービス提供装置１０４、ユーザ端末１０７及びネットワーク１０５、１０６及び１０８などを備えて構成される。
【００２６】
セキュリティリスク情報提供装置１０２は、サービス基盤１０１内に設置され、Ｗｅｂサービス提供装置１０３と、データベースサービス提供装置１０４とサービス基盤内のネットワーク１０５を介して接続されている。また、サービスを利用するユーザが使用する端末であるユーザ端末１０７は、ネットワーク１０６に接続されている。また、インターネットなどサービス基盤の外部でＷｅｂサービスを提供するＷｅｂサービス提供装置１０９は、ネットワーク１０８に接続されている。さらに、ネットワーク１０５とネットワーク１０６とが接続され、ネットワーク１０５とネットワーク１０８とが接続されている。
【００２７】
セキュリティリスク情報提供装置１０２は、ユーザにセキュリティリスクに関する情報を提示する情報処理装置である。また、Ｗｅｂサービス提供装置１０３及び１０９は、ユーザにネットワークを介してサービスを提供する情報処理装置である。また、データベースサービス提供装置１０４は、Ｗｅｂサービス提供装置１０３が利用するデータが格納されたデータベースを提供する情報処理装置である。なお、図示していないが、サービス基盤外のＷｅｂサービス提供装置１０９にデータベースサービス提供装置１０４と同様の情報処理装置が接続されていてもよい。また、ユーザ端末１０７は、ＰＣや携帯電話、スマートフォンなど、ユーザがＷｅｂサービス提供装置１０３及び１０９によって提供されるサービスを利用可能な情報処理端末である。
【００２８】
また、図１では、ネットワーク１０５、ネットワーク１０６及びネットワーク１０８はそれぞれ別のネットワークとして構成しているが、このうちの任意の２つのネットワークもしくはすべてのネットワークを同一のネットワークとして構成してもよい。ネットワーク１０５、１０６及び１０８は、企業内ネットワークなどのＬＡＮ（Local Area Network）でもよいし、インターネットや電話回線網、衛星通信等の公衆回線網であってもよい。また、ネットワーク１０５、１０６及び１０８には、図示していない端末や通信装置などが接続されていてもよい。
【００２９】
また、セキュリティリスク情報提供装置１０２は、ネットワーク１０５とネットワーク１０６との間、もしくはネットワーク１０５とネットワーク１０８との間に挟まり、ネットワーク間をブリッジする構成となっていてもよい。
【００３０】
また、図１では、３つのＷｅｂサービス提供装置１０３、２つのデータベースサービス提供装置１０４、３つのユーザ端末１０７、３つのＷｅｂサービス提供装置１０９から構成されているが、これらの個数に限定されるものではない。
【００３１】
なお、Ｗｅｂサービス提供装置１０３及び１０９、データベースサービス提供装置１０４、ユーザ端末１０７もセキュリティリスク情報提供装置１０２と同様のハードウェア構成を有するため、詳細な説明は省略する。
【００３２】
（３）セキュリティリスク情報提供装置の構成
（３−１）ハードウェア構成
図２に、セキュリティリスク情報提供装置１０２のハードウェア構成を示す。図２に示すように、セキュリティリスク情報提供装置１０２は、通信装置２０１、入力装置２０２、表示装置２０３、演算装置２０４、メモリ２０５及び記憶装置２０６から構成される。
【００３３】
通信装置２０１は、ネットワーク１０５に接続するためのネットワークカードなどの通信デバイス等で構成された通信インタフェースである。入力装置２０２は、例えば、マウス、キーボード、タッチパネル、ボタン、マイク、スイッチおよびレバーなどユーザが情報を入力するための入力手段と、ユーザによる入力に基づいて入力信号を生成し、演算装置２０４に出力する入力制御回路などから構成されている。表示装置２０３は、例えば、ＣＲＴ（Ｃａｔｈｏｄｅ  Ｒａｙ  Ｔｕｂｅ）ディスプレイ装置、液晶ディスプレイ（ＬＣＤ）装置及びＯＬＥＤ（Ｏｒｇａｎｉｃ  Ｌｉｇｈｔ  Ｅｍｉｔｔｉｎｇ  Ｄｉｓｐｌａｙ）装置などの表示装置である。
【００３４】
演算装置２０４は、記憶装置２０６に格納されたプログラムを実行し、セキュリティリスク情報提供装置１０２内の動作全般を制御する。具体的に、演算装置２０４は、入力装置２０２や表示装置２０３を制御し、入力装置２０２からのデータを入力し、当該データを表示装置２０３に出力する。
【００３５】
記憶装置２０６は、演算装置２０４が実行するプログラム及び演算装置２０４が使用するデータ等を記憶する。記憶装置２０６に格納されているプログラムは、記憶装置２０６からメモリ２０５にロードされ、演算装置２０４によって実行される。また、本実施の形態では、これらのプログラムを記憶装置２０６からロードして実行しているが、かかる例に限定されず、ＣＤ、ＤＣＤ等の光学記録媒体、ＭＯ等の光磁気記録媒体、テープ媒体、磁気記録媒体または半導体メモリ等の記録媒体に当該プログラムを記録して、これらの記録媒体からロードして実行されるようにしてもよい。さらに、他の装置から、通信媒体を介して、これらのプログラムがロードされるようにしてもよい。ここで、通信媒体とは、例えば、ネットワークまたはこれらを伝播するデジタル信号や搬送波である。
【００３６】
通信装置２０１は、ネットワーク１０５を介して他の装置からデータを受信して、演算装置２０４に送信したり、演算装置２０４によって生成されたデータを、ネットワーク１０５を介して他の装置に送信したりする。
【００３７】
また、セキュリティリスク情報提供装置１０２が、ネットワーク１０５とネットワーク１０６との間、もしくは、ネットワーク１０５とネットワーク１０８との間に設置されるような構成となっている場合には、複数の通信装置２０１を備え、それぞれのネットワークに接続する構成となっていてもよい。
【００３８】
（３−２）ソフトウェア構成
図３は、セキュリティリスク情報提供装置１０２のソフトウェア構成を示す。なお、以下では、データベースをＤＢと称して説明する場合もある。
【００３９】
図３に示すように、セキュリティリスク情報提供装置１０２は、ユーザインタフェース部３０１、サービス情報収集部３０２、リスク判定部３０３、条件判定モジュール３０４、セキュリティポリシデータベース３０５、ユーザ情報データベース３０６、サービス情報データベース３０７、認証連携情報データベース３０８、データ連携データベース３０９、サービス利用データベース３１０及びデータ連携利用データベース３１１から構成される。
【００４０】
また、上記したように、ユーザ端末１０７、Ｗｅｂサービス提供装置１０３及びＷｅｂサービス提供装置１０９とネットワークを介して接続されているが、接続にかかるネットワークは図示していない。また、ユーザ端末１０７、Ｗｅｂサービス提供装置１０３及びＷｅｂサービス提供装置１０９は、それぞれ１つずつしか図示していないが、上記したように、複数の装置に接続されていてもよい。
【００４１】
ユーザインタフェース部３０１は、ユーザにシングルサインオンのためのインタフェースを提供する機能を有する。また、ユーザが新たにサービスの利用を開始したり、サービス同士のデータ連携を開始したりする際に、セキュリティリスクが発生する場合に、ユーザにその旨を提示する。これにより、ユーザ端末１０７からは、セキュリティリスク情報提供装置１０２をリバースプロキシ型のシングルサインオン装置のように動作させることができる。
【００４２】
ユーザインタフェース部３０１は、例えば、ユーザＡがあるサービスＡへのアクセスを要求すると、まず当該ユーザの認証を実施する。当該認証に成功すると、ユーザインタフェース部３０１は、ユーザＡがサービスＡの利用に用いるユーザＩＤおよびパスワードを用いてサービスＡの認証を代行する。ここで、ユーザＡが新規サービスＢの利用を要求した場合、ユーザインタフェース部３０１は、サービス利用ＤＢ３１０にユーザＡがサービスＢを利用している旨の情報を入力する。
【００４３】
その後、ユーザインタフェース部３０１は、セキュリティリスクがあるかどうかの判定を行う。セキュリティリスクの有無の判定は、リスク判定部３０３を呼び出すことにより実施される。リスク判定部３０３によりセキュリティリスクがないと判定された場合には、ユーザＡはサービスＢを通常通り利用することができる。一方、リスク判定部３０３によりセキュリティリスクがあると判定された場合には、セキュリティリスクがある旨をユーザに提示する。そして、ユーザにサービスの利用を続行するかどうかを選択させて、当該サービスを続行する場合にはサービスの提供を行う。当該サービスを続行しない場合には、ユーザインタフェース部３０１は、サービス利用ＤＢ３１０から当該サービスの利用に関する情報を削除する。
【００４４】
また、上記した新規サービスの利用時だけではなく、新規にサービス同士の連携を行う場合にもリスク判定部３０３においてセキュリティリスクがあるかどうかの判定を行う。リスク判定部３０３によりセキュリティリスクがないと判定された場合には、ユーザインタフェース部３０１は、当該サービス連携を実施する。一方、リスク判定部３０３によりセキュリティリスクがあると判定された場合には、ユーザインタフェース部３０１は、セキュリティリスクがある旨をユーザに提示する。そして、ユーザにサービス同士の連携を実施するかを選択させ、連携を実施する場合にサービスの提供を行う。当該サービス同士の連携を実施しない場合は、ユーザインタフェース部３０１は、データ連携利用ＤＢから当該連携に関する情報を削除する。
【００４５】
サービス情報収集部３０２は、サービス基盤１０１上のＷｅｂサービス提供装置１０３からサービスに関する情報を収集する機能を有する。具体的に、サービス情報収集部３０２は、Ｗｅｂサービス提供装置１０３から所定のフォーマットにしたがったデータを、サービスに関する情報として送信してもらったり、Ｗｅｂサービス提供装置１０３に管理者に入力させるためのＷｅｂインタフェースを提供して、当該インタフェースから管理者に入力してもらったりして収集する。また、Ｗｅｂサービス提供装置１０３上にサービス情報を返すインタフェースを用意して、サービス情報収集部３０２が当該インタフェースにアクセスしてサービス情報を取得したり、セキュリティリスク情報提供装置１０２の管理者が必要な情報を取得して入力したりする方法が挙げられる。また、本実施の形態では、Ｗｅｂサービス提供装置１０３の管理者より手動で入力する方法を採用しているが、これは、サービス情報収集部３０２におけるサービス情報の収集方法を制限するものではない。
【００４６】
また、サービス情報収集部３０２が収集する情報としては、サービス基盤１０１上で動作するするサービスに関する情報であって、具体的には、当該サービスのＵＲＩや、当該サービスの名称、当該サービスに投稿した情報の公開範囲の情報、当該サービスが利用するサービス基盤１０１上のデータベースの情報、当該サービスが可能な認証連携に関する情報や当該サービスが可能なデータ連携に関する情報などである。当該サービスのＵＲＩ、当該サービスの名称、当該サービスに投稿した情報の公開範囲、当該サービスが利用するサービス基盤１０１上のデータベースは、後述するサービス情報ＤＢ３０７のエントリとして格納される。また、当該サービスが可能な認証連携に関する情報は、認証連携情報ＤＢ３０８のエントリとして格納される。また、当該サービスが可能なデータ連携に関する情報は、データ連携情報ＤＢ３０９のエントリとして格納される。
【００４７】
また、サービス情報収集部３０２では、可能な限りサービス基盤１０１外で稼働しているＷｅｂサービス提供装置１０９上のサービスに関する情報も収集する。情報収集の対象がサービス基盤１０１外にあるサービスに関する情報を収集する場合には、サービス基盤１０１上にあるサービスの情報を収集する場合とは異なり、Ｗｅｂサービス提供装置１０９の管理者からの情報提供は難しく、Ｗｅｂサービス提供装置１０９上にインタフェースを用意してもらうことも現実的には困難となる。そこで、サービス基盤１０１外にあるサービスの情報は、セキュリティリスク情報提供装置１０２の管理者自らが手動で取得してサービス情報収集部３０２に収集した情報をサービス情報収集部３０２に入力する。
【００４８】
サービス基盤１０１外にあるサービスに関する情報としては、例えば、当該サービスのＵＲＩ、当該サービスの名称、当該サービスに投稿した情報の公開範囲、当該サービスが可能な認証連携に関する情報や当該サービスが可能なデータ連携に関する情報などである。当該サービスのＵＲＩ、当該サービスの名称、当該サービスに投稿した情報の公開範囲、当該サービスが利用するサービス基盤１０１上のデータベースは、後述するサービス情報ＤＢ３０７のエントリとして格納される。また、当該サービスが可能な認証連携に関する情報は、認証連携情報ＤＢ３０８のエントリとして格納される。また、当該サービスが可能なデータ連携に関する情報は、データ連携情報ＤＢ３０９のエントリとして格納される。
【００４９】
リスク判定部３０３は、ユーザの利用状況、サービスの情報及びセキュリティポリシＤＢ３０５に格納されているセキュリティポリシに基づいて、現在のサービス利用状態にセキュリティリスクが存在するかを判定する。リスク判定部３０３は、条件判定モジュール３０４を用いてセキュリティポリシ内の各条件を満たしているか否かを判定する。条件判定モジュール３０４は、セキュリティポリシ内に記載可能な条件の種類の数分存在する。また、条件判定モジュール３０４は、各条件の種類に対して、その条件が満たされているかどうかの判定を行う。
【００５０】
セキュリティポリシデータベース３０５は、サービスを利用するに際して守られるべきセキュリティについて記述されたセキュリティポリシを格納しているデータベースである。ポリシ情報は、ＸＭＬ（eXtensible Markup Language）で記述されている。図４にポリシ情報３０５０の具体例を示す。
【００５１】
図４に示すように、＜Ｐｏｌｉｃｙ＞タグ内には、守られるべき１つのポリシが記述される。Ｎａｍｅパラメータにはポリシの名称が記述される。＜Ｐｏｌｉｃｙ＞タグ内にはポリシを満たす条件である＜ｃｏｎｄｉｔｉｏｎ＞タグが一つ含まれ、ｔｙｐｅパラメータで条件の種類が指定される。条件の種類には、ＡＮＤ（論理積）、ＯＲ（論理和）、ＦＯＲＡＬＬ（全てのサービスが条件を満たす）、ＥＸＩＳＴＳ（条件を満たすサービスが存在する）、ｓａｍｅ＿ｉｄ＿ｐａｓｓ（Ｗｅｂサービス利用のためのＩＤとパスワードの使いまわしが指定数以下である）、ｄｉｓｃｌｏｓｕｒｅ＿ａｒｅａ＿ｎｏｔ＿ｗｉｄｅｎｉｎｇ（情報の公開範囲がデータ連携により広がらない）、ｍａｘ＿ｆｅｄｅｒａｔｉｏｎ＿ｓｉｚｅ（認証連携を行っているサービスの数が指定数以下である）、ｍｉｎ＿ｐａｓｓｗｏｒｄ＿ｓｔｒｅｎｇｔｈ（サービス利用のためのパスワードの強度が指定レベル以上である）、ｎｏｔ＿ｓｈａｒｅｄ＿ｂａｃｋｇｒｏｕｎｄ＿ｄａｔａ（バックグラウンドでのサービス間のデータ共有がなされていない）、ｄｉｓｃｌｏｓｕｒｅ＿ａｒｅａ＿ｎｏｔ＿ｗｉｄｅｎｉｎｇ＿ｗｉｔｈ＿ｂａｃｋｇｒｏｕｎｄ＿ｓｈａｒｅ（サービス基盤においてデータベースの共有が行われている場合に情報の公開範囲がデータ連携により広がらない）などがある。
【００５２】
ＡＮＤ、ＯＲは子要素として<condition>タグを二つ持ち、ＡＮＤの場合は両条件が満たされた時、ＯＲの場合はどちらかが満たされた時、当該<condition>タグが満たされたとする。ＦＯＲＡＬＬ、ＥＸＩＳＴＳは子要素として<condition>タグを一つ持ち、それぞれ、全サービスに対して子要素の条件が満たされた時、全サービスのうち子要素の条件を満たすものが１つでもあった時、当該<condition>タグが満たされたとする。その他の条件の種類の場合には、子要素を持たない。
【００５３】
また、ｍａｘ＿ｆｅｄｅｒａｔｉｏｎ＿ｓｉｚｅ、ｍｉｎ＿ｐａｓｓｗｏｒｄ＿ｓｔｒｅｎｇｔｈは、ｔａｒｇｅｔパラメータを取り、このパラメータで対象とするサービスを指定する。また、ＦＯＲＡＬＬ、ＥＸＩＳＴＳは、ｔａｒｇｅｔパラメータを持ち、対象とするサービスの範囲を限定することができる。図４の例では、ＦＯＲＡＬＬの対象を後述する認証連携情報ＤＢ３０８の認証プロバイダ側サービス識別子に出ているサービスに限定している。
【００５４】
また、ＦＯＲＡＬＬ、ＥＸＩＳＴＳの下にｍａｘ＿ｆｅｄｅｒａｔｉｏｎ＿ｓｉｚｅやｍｉｎ＿ｐａｓｓｗｏｒｄ＿ｓｔｒｅｎｇｔｈがある場合、それらのｔａｒｇｅｔパラメータには、ＦＯＲＡＬＬやＥＸＩＳＴＳの処理途中で繰り返し処理される際にそのサービスが与えられる。これらの条件を組み合わせて一つのポリシが定義される。
【００５５】
本実施の形態においては、セキュリティポリシＤＢ３０５に格納するポリシは事前に設定されるものとしているが、セキュリティリスク情報提供装置１０２の管理者の入力によってポリシを変更するようにしてもよい。例えば、ユーザインタフェース部３０１とは別に管理用インタフェース部を設け、管理者が自分の利用端末からネットワークを介してポリシを追加、変更できるようにしてもよい。また、セキュリティリスク情報提供装置を利用するユーザ自身が所望のセキュリティポリシを追加したり、変更したりできるように、ユーザインタフェース部３０１にセキュリティポリシ編集用の機能を設けてもよい。
【００５６】
また、本実施の形態では、セキュリティポリシＤＢ３０５内のポリシは全ユーザ共通であるが、セキュリティポリシをユーザごとに設定するようにしてもよい。また、全サービス共通のセキュリティポリシとするのではなく、サービスをいくつかのクラスタに分けてクラスタごとにセキュリティポリシを設定するようにしてもよい。例えば、サービス基盤１０１上で稼働しているサービス群とその他のサービス群とでサービスを分類してもよい。
【００５７】
次に、図５〜図１０を参照して、セキュリティリスク情報提供装置１０２内の各データベースについて説明する。ユーザ情報データベース３０６は、セキュリティリスク情報提供装置１０２を利用するユーザの情報を管理するテーブルであって、図５に示すように、ユーザ識別子欄３０６１及びユーザ認証情報欄３０６２から構成される。
【００５８】
ユーザ識別子欄３０６１には、セキュリティリスク情報提供装置１０２内でユーザを一意に識別するための識別子が格納される。ユーザ認証情報欄３０６２には、セキュリティリスク情報提供装置１０２にユーザがログインするための認証情報が格納される。この認証情報は、セキュリティリスク情報提供装置１０２の認証方式によって変化する。したがって、図５の場合、例えば、ユーザＡという識別子で識別されるユーザは、xxxxxxxxという認証情報を利用してセキュリティリスク情報提供装置１０２にログインすることが示されている。
【００５９】
本実施の形態では、認証方式をパスワード認証とするが、認証方式をパスワード認証に限定するものではなく、指紋認証や指静脈認証などの生体認証、ＩＣカード認証や乱数表による認証などの所持物に基づく認証など、他の認証方式を用いてもよい。また、ユーザ認証情報は、認証のために用いる情報であり、認証方式がパスワード認証である場合でもパスワードそのものをユーザ認証情報としてユーザ認証情報欄３０６２に格納する必要はない。例えば、パスワードをハッシュ関数に入力して得られた出力などの情報を格納していてもよい。
【００６０】
サービス情報データベース３０７は、計算機システム１００内で稼働しているサービスに関する情報を管理するテーブルであって、図６に示すように、サービス識別子欄３０７１、サービスＵＲＩ欄３０７２、サービス名欄３０７３、情報公開範囲欄３０７４、サービス基盤上フラグ欄３０７５及び利用データベース欄３０７６から構成される。
【００６１】
サービス識別子欄３０７１には、Ｗｅｂサービス提供装置１０３もしくはＷｅｂサービス提供装置１０９において提供されるサービスを一意に識別するための識別子が格納される。サービスＵＲＩ欄３０７２には、Ｗｅｂサービス提供装置１０３もしくはＷｅｂサービス提供装置１０９において提供されるサービスのアクセス先ＵＲＩ（Uniform Resource Identifiers）を表す情報が格納される。サービス名欄３０７３には、Ｗｅｂサービス提供装置１０３もしくはＷｅｂサービス提供装置１０９において提供されるサービスの名称を表す。
【００６２】
情報公開範囲欄３０７４には、サービス識別子欄３０７１に格納されるサービス識別子によって識別されるサービスに投稿した情報が、どの範囲に公開されるかを表す情報が格納される。例えば、ｒｅｓｔｒｉｃｔｅｄは限定された範囲にのみ公開することを示し、ｐｕｂｌｉｃは一般に公開することを示し、ｓｅｌｅｃｔａｂｌｅは限定公開か一般公開かをユーザが利用開始時などに選択できることを示し、ｐｒｉｖａｔｅは非公開であることを示す。本実施の形態では、情報公開範囲欄３０７４に格納される情報公開範囲の取りうる値は上記した４種類を例示しているが、この４種類に限定するものではなく、より細かい分類がされていてもよい。例えば、限定公開を２種類に分け、ＳＮＳで知り合いとなっている者のみに公開、知り合いの知り合いまで公開、といったような分類としてもよい。
【００６３】
サービス基盤上フラグ欄３０７５には、サービス識別子３０７１で識別されるサービスがサービス基盤上のサービスであるか否かを表すフラグが格納される。利用データベース欄３０７６には、サービス基盤上において当該サービスがデータベースサービス提供装置１０４で提供されるサービスのうち、どのデータベースを利用しているかを表す情報が格納される。利用データベース欄３０７６に格納される情報は、どのデータベースかを示すだけでなく、どのデータベースのどのテーブルか、もしくはどのデータベースのどのユーザのデータか、などのようにより細かく分類された情報が格納されてもよい。
【００６４】
したがって、図６の場合、例えば、サービスＡという識別子で識別されるサービスのＵＲＩはhttp://serviceA_uri/であり、サービス名はサービスＡ、情報公開範囲は限定された範囲にのみ公開であり、サービス基盤上のサービスであり、利用データベースはなしであることが示されている。
【００６５】
認証連携情報データベース３０８は、計算機システム１００内で稼働しているサービスのうちどのサービスとどのサービスが認証連携可能か管理するテーブルであって、図７に示すように、認証連携識別子欄３０８１、認証プロバイダ側サービス識別子欄３０８２及びサービスプロバイダ側サービス識別子欄３０８３から構成される。
【００６６】
認証連携識別子欄３０８１には、認証連携を行うサービスの組を一意に識別するための識別子が格納される。認証プロバイダ側サービス識別子欄３０８２には、認証連携をするサービスの組のうち、認証プロバイダとして振る舞うサービスを表す識別子が格納され、サービス情報ＤＢ３０７のサービス識別子と同じ情報が格納される。サービスプロバイダ側サービス識別子欄３０８３には、認証連携をするサービスの組のうち、サービスプロバイダとして振る舞うサービスを表す識別子が格納され、サービス情報ＤＢ３０７のサービス識別子と同じ情報が格納される。
【００６７】
したがって、図７の場合、例えば、認証連携識別子fed001は、サービスＡとサービスＤとが認証連携していることが示され、認証連携識別子fed002は、サービスＡとサービスＥとが認証連携していることが示されている。
【００６８】
データ連携データベース３０９は、計算機システム１００内で稼働しているサービスのうち、どのサービスとどのサービスとがデータ連携可能かを管理するテーブルであって、図８に示すように、データ連携識別子欄３０９１、資源提供側サービス識別子欄３０９２及び資源利用側サービス識別子欄３０９３から構成される。
【００６９】
データ連携識別子欄３０９１には、データ連携を行うサービスの組を一意に識別するための識別子が格納される。資源提供側サービス識別子欄３０９２には、データ連携をするサービスの組のうち、情報を提供する側のサービスを表す識別子が格納され、サービス情報ＤＢ３０７のサービス識別子と同じ情報が格納される。資源利用側サービス識別子欄７０３には、データ連携をするサービスの組のうち、情報を利用する側のサービスを表す識別子が格納され、サービス情報ＤＢ３０７のサービス識別子と同じ情報が格納される。
【００７０】
したがって、図８の場合、例えば、データ連携識別子col001は、サービスＡとサービスＤとがデータ連携していることが示され、データ携識別子col002は、サービスＡとサービスＣとがデータ連携していることが示されている。
【００７１】
サービス利用データベース３１０は、ユーザ情報ＤＢ３０６に情報が格納されているユーザがどのサービスを利用しているか、どのようなユーザＩＤとパスワードを利用しているか、といった情報を管理するテーブルであって、図９に示すように、ユーザ識別子欄３１０１、サービス識別子欄３１０２、情報公開範囲欄３１０３、認証連携識別子欄３１０４、サービスユーザ識別子欄３１０５及びサービスパスワード欄３１０６から構成される。
【００７２】
ユーザ識別子３１０１欄には、ユーザを一意に識別する識別子が格納され、ユーザ情報ＤＢ３０６のユーザ識別子と同じ情報が格納される。サービス識別子欄３１０２には、サービスを一意に識別する識別子が格納され、サービス情報ＤＢ３０７のサービス識別子と同じ情報が格納される。情報公開範囲欄３１０３には、サービス識別子３１０２で識別されるサービスに投稿した情報がどの範囲に公開されるかを表した情報が格納され、サービス情報ＤＢ３０７の情報公開範囲とほぼ同じ情報が格納される。情報公開範囲欄３１０３に格納される情報とサービス情報ＤＢ３０７の情報公開範囲との異なる点は、サービス情報ＤＢ３０７の情報公開範囲欄３０７４でｓｅｌｅｃｔａｂｌｅとなっていたものは、ユーザの選択によりｒｅｓｔｒｉｃｔｅｄもしくはｐｕｂｌｉｃとなっている点である。
【００７３】
認証連携識別子欄３１０４には、ユーザ識別子欄３１０１のユーザ識別子で識別されるユーザが、サービス識別子欄３１０２のサービス識別子で識別されるサービスの利用に際し、当該サービスの認証を認証連携により行っている際に値が設定される情報が格納され、認証連携情報ＤＢ３０８の認証連携識別子と同じ情報が格納される。サービスユーザ識別子欄３１０５およびサービスパスワード欄３１０６には、ユーザ識別子３１０１で識別されるユーザがサービス識別子欄３１０２で識別されるサービスを利用する際に用いるユーザ識別子およびパスワードの情報が格納される。
【００７４】
したがって、図９の場合、例えば、ユーザＡという識別子で識別されるユーザは、サービスＡを利用し、サービスＡの情報公開範囲を限定された範囲にのみ公開するとし、サービスＡ以外のサービスとの認証連携はしておらず、サービスＡを利用するときのユーザ識別子は、userA@example.jpであり、サービスＡを利用する際のパスワードはaaaaaaであることが示されている。また、例えば、ユーザＡはサービスＤを利用しているが、サービスＤの情報公開範囲を一般に公開するとし、認証連携識別子fed001で識別される認証連携を行っている。図７に示すように、認証連携識別子fed001は、サービスＡとサービスＤが認証連携されていることを示しているため、ユーザＡはサービスＡの認証情報をサービスＤで利用していることが示されている。
【００７５】
データ連携利用データベース３１１は、ユーザ情報ＤＢ３０６に情報が格納されているユーザがどのサービスとどのサービスとをデータ連携させているかを管理するテーブルであって、図１０に示すように、ユーザ識別子欄１００１及びデータ連携識別子欄１００２から構成される。
【００７６】
ユーザ識別子欄３１１１には、ユーザを一意に識別する識別子が格納され、ユーザ情報ＤＢ３０６のユーザ識別子と同じ情報が格納される。データ連携識別子欄３１１２には、ユーザ識別子３１１１で識別されるユーザがどのようなデータ連携を行っているかを表す識別子が格納され、データ連携情報ＤＢ３０９のデータ連携識別子と同じ情報が格納される。
【００７７】
したがって、図１０の場合、例えば、ユーザＡは、データ連携識別子col003で識別されるデータ連携を行っていることが示されている。データ連携識別子col003で識別されるデータ連携とは、図８に示すように、サービスＡのデータをサービスＢでも利用することを示す。
【００７８】
（４）セキュリティリスク情報提供装置の動作
（４−１）セキュリティリスク情報提供装置の動作の概要
セキュリティリスク情報提供装置１０２の動作の概要について説明する。まず、ユーザがユーザ端末１０７を介してセキュリティリスク情報提供装置１０２にアクセスする。セキュリティリスク情報提供装置１０２は、ユーザ端末１０７の表示画面にログイン画面を表示させて、ユーザにログイン入力を要求する。セキュリティリスク情報提供装置１０２のユーザインタフェース部３０１は、当該ログイン画面から入力されたユーザ識別子及びパスワードを、ユーザ情報ＤＢ３０６に格納されているユーザ識別子及びパスワードと比較して、ユーザの認証処理を実行する。
【００７９】
ユーザの認証処理が成功すると、ユーザインタフェース部３０１は、サービス利用ＤＢ３１０、データ連携利用ＤＢ３１１から当該ユーザ識別子をキーとして取得した情報をもとに、ログインに成功したユーザが現在利用しているサービスのリスト、認証連携及びデータ連携に関する情報をユーザ端末１０７の表示画面に表示させる。
【００８０】
当該ユーザが現在利用しているサービスのリストは、表示画面上でリンク表示となっており、ユーザは、当該リンクをクリックすることにより目的のサービスを利用することができる。ユーザが目的とするサービスにアクセスする際には、セキュリティリスク情報提供装置１０２が当該サービスの認証処理を代行する。
【００８１】
また、ユーザが所望のサービスにログインした後、ユーザ端末１０７の表示画面には、利用サービスの新規追加ボタン、認証連携及びデータ連携の新規追加ボタンが新たに設定されており、これらのボタンをクリックするとサービスの新規追加画面、認証連携の新規追加画面、データ連携の新規付か画面へと遷移するようになる。
【００８２】
サービスの新規追加画面では、サービス情報ＤＢ３０７及びサービス利用ＤＢ３１０に格納された情報をもとに、サービス情報ＤＢ３０７に登録されているがサービス利用ＤＢ３１０には登録されていないサービスを、追加可能なサービスとして提示する。ユーザは、提示されたサービスの中から新規に利用したいサービスを選択する。このとき、ユーザインタフェース部３０１は、ユーザにより選択されたサービスを一時的にサービスＤＢに追加し、当該ユーザの識別子をパラメータにしてリスク判定部３０３を呼出す。
【００８３】
また、認証連携の新規追加画面においても、サービスの新規追加画面と同様に、認証連携情報ＤＢ３０８及びサービス利用ＤＢ３１０に格納された情報をもとに、当該ユーザが現在利用しており、かつ、連携情報ＤＢ３０８に連携可能であり、かつ、当該ユーザがまだ認証連携させていないサービスの組を取得し、当該ユーザに追加可能な認証連携として提示する。ユーザは、提示された認証連携のなかから、新規に追加したいサービスの組を選択する。このとき、ユーザインタフェース部３０１は、ユーザが選択した認証連携に関する情報を一時的にサービスＤＢに反映し、当該ユーザの識別子をパラメータにしてリスク判定部３０３を呼出す。
【００８４】
また、データ連携の新規追加画面においても、サービスの新規追加画面や認証連携の新規追加画面と同様に、データ連携情報ＤＢ３０９及びサービス利用ＤＢ３１０及びデータ連携利用ＤＢ３１１に格納された情報をもとに、当該ユーザが現在利用しているサービスの組でまだ当該ユーザがデータ連携させていないサービスの組を取得し、当該ユーザに追加可能なデータ連携として提示する。ユーザは、提示されたデータ連携の中から新規に追加したいサービスの組を選択する。このとき、ユーザインタフェース部３０１は、ユーザが選択したデータ連携に関する情報を、一時的にデータ連携ＤＢ３１１に追加し、当該ユーザのユーザ識別子をパラメータにしてリスク判定部３０３を呼出す。
【００８５】
上記した新規追加画面において、ユーザインタフェース部３０１は、一時的に追加した情報をセキュリティリスク情報提供装置１０２のメモリ、またはファイルなどに出力し、後で参照可能なようにしておく。
【００８６】
（４−２）リスク判定処理の詳細
次に、リスク判定部３０３によるリスク判定処理の詳細について説明する。上記したように、リスク判定部３０３は、ユーザインタフェース部３０１に呼び出されて、リスク判定処理を実行する。図１１に示すように、リスク判定部３０３は、まず、セキュリティポリシＤＢ３０５を参照して、セキュリティポリシＤＢ３０５に格納されているすべてのセキュリティポリシを取得する（Ｓ１１０１）。
【００８７】
そして、リスク判定部３０３は、ステップＳ１１０１において取得したすべてのセキュリティポリシについて、ステップＳ１１０３の処理を繰り返す（Ｓ１１０２）。リスク判定部３０３は、ステップＳ１１０３において、各セキュリティポリシに１つずつ含まれている<condition>タグの子要素について、当該条件を充足されているか判定する。リスク判定部３０３は、当該条件が充足されている場合に、現在の状態がセキュリティポリシにしたがっていると判定し、当該条件が充足されていない場合に、現在の状態がセキュリティポリシに違反していると判定する。リスク判定部３０３による条件の充足判定処理の詳細については後で詳細に説明する。リスク判定部３０３は、すべてのセキュリティポリシについて充足判定処理を実行して、セキュリティポリシ違反があるか否か、セキュリティポリシ違反がある場合にどのセキュリティポリシに違反したかについての情報を出力して（Ｓ１１０４）、当該情報をユーザインタフェース部３０１に返す。
【００８８】
（４−３）セキュリティポリシの条件充足判定処理の詳細
次に、図１１のステップＳ１１０３において実行される条件判定モジュール３０４による、セキュリティポリシの<condition>タグで表された条件の充足判定処理について説明する。ステップＳ１１０３における条件充足判定処理は、<condition>タグのtype属性の値によって変化する。以下では、<condition>タグのtype属性別に条件充足判定処理を説明する。
【００８９】
まず、セキュリティポリシ３０５０の<condition>タグのtype属性がANDの場合の条件充足判定処理の詳細について説明する。<condition>タグのtype属性がANDの場合は、条件判定モジュール３０４は、子要素として指定された二つの条件について、条件が充足されている場合にtrue、条件が充足されていない場合にfalseとして論理積を取得して、その結果をリスク判定部３０３に返す。
【００９０】
図１２に示すように、条件判定モジュール３０４は、セキュリティポリシの<condition>タグの子要素となっている２つの<condition>タグの片方を取得する（Ｓ１２０１）。そして、条件判定モジュール３０４は、ステップＳ１２０１において取得した<condition>タグの条件充足判定を行って（Ｓ１２０２）、ステップＳ１２０２において行った条件充足判定に基づいて、当該条件を満たしているかをチェックする（Ｓ１２０３）。
【００９１】
ステップＳ１２０３において、当該条件を満たしていると判定された場合には、条件判定モジュール３０４は、もう片方の条件を取得して（Ｓ１２０４）、当該条件を充足しているかを判定する（Ｓ１２０５）。そして、条件判定モジュール３０４は、ステップＳ１２０５において行った条件充足判定に基づいて、当該条件を満たしているかをチェックする（Ｓ１２０６）。ステップＳ１２０６において、当該条件を満たしていると判定された場合には、条件判定モジュール３０４は、当該条件が充足されている旨の結果を出力して（Ｓ１２０７）、その結果をリスク判定部３０３に返す。
【００９２】
一方、ステップＳ１２０３またはステップＳ１２０６において当該条件を満たしていないと判定された場合には、条件判定モジュール３０４は、当該条件が充足されていない旨の結果を出力して（Ｓ１２０８）、その結果をリスク判定部３０３に返す。
【００９３】
次に、セキュリティポリシ３０５０の<condition>タグのtype属性がORの場合の条件充足判定処理の詳細について説明する。<condition>タグのtype属性がORの場合は、条件判定モジュール３０４は、子要素として指定された二つの条件について、条件が充足されている場合にtrue、条件が充足されていない場合にfalseとして論理和を取得して、その結果をリスク判定部３０３に返す。
【００９４】
図１３に示すように、条件判定モジュール３０４は、セキュリティポリシの<condition>タグの子要素となっている２つの<condition>タグの片方を取得する（Ｓ１３０１）。そして、条件判定モジュール３０４は、ステップＳ１３０１において取得した<condition>タグの条件充足判定を行って（Ｓ１３０２）、ステップＳ１３０２において行った条件充足判定に基づいて、当該条件を満たしているかをチェックする（Ｓ１３０３）。
【００９５】
ステップＳ１３０３において、当該条件を満たしていると判定された場合には、条件判定モジュール３０４は、もう片方の条件を取得して（Ｓ１３０４）、当該条件を充足しているかを判定する（Ｓ１３０５）。そして、条件判定モジュール３０４は、ステップＳ１３０５において行った条件充足判定に基づいて、当該条件を満たしているかをチェックする（Ｓ１３０６）。ステップＳ１３０６において、当該条件を満たしていると判定された場合には、条件判定モジュール３０４は、当該条件が充足されている旨の結果を出力して（Ｓ１３０７）、その結果をリスク判定部３０３に返す。
【００９６】
一方、ステップＳ１３０３またはステップＳ１３０６において当該条件を満たしていないと判定された場合には、条件判定モジュール３０４は、当該条件が充足されていない旨の結果を出力して（Ｓ１３０８）、その結果をリスク判定部３０３に返す。
【００９７】
次に、セキュリティポリシ３０５０の<condition>タグのtype属性がFORALLの場合の条件充足判定処理の詳細について説明する。<condition>タグのtype属性がFORALLの場合は、条件判定モジュール３０４は、子要素として指定されたすべての条件が満たされている場合にのみ条件が充足した旨の結果をリスク判定部３０３に返す。
【００９８】
図１４に示すように、条件判定モジュール３０４は、まず、Type属性がFORALLの場合にtargetが指定されているかを判定する（Ｓ１４０１）。ステップＳ１４０１において、targetが指定されていると判定された場合には、条件判定モジュール３０４は、targetで指定されたサービスのうち、当該ユーザが利用しているサービスを取得する（Ｓ１４０２）。一方、ステップＳ１４０１において、targetが指定されていないと判定された場合には、条件判定モジュール３０４は、サービス利用ＤＢ３１０を参照し、当該ユーザのユーザ識別子をキーにして当該ユーザが利用しているすべてのサービスの情報を取得する（Ｓ１４０３）。そして、条件判定モジュール３０４は、ステップＳ１４０２またはステップＳ１４０３において取得したサービスに対してステップＳ１４０５〜ステップＳ１４０８の処理を繰り返す（Ｓ１４０４）。
【００９９】
そして、条件判定モジュール３０４は、<condition>タグの子要素となっている<condition>タグの条件が充足されているかを判定し（Ｓ１４０５）、ステップＳ１４０５において行った条件充足判定に基づいて、当該条件を満たしているかをチェックする（Ｓ１４０６）。
【０１００】
ステップＳ１４０６において、当該条件を満たしていると判定された場合には、条件判定モジュール３０４は、ステップＳ１４０４に戻り繰り返し処理を継続する。そして、すべてのサービスに対して当該条件を満たしていると判定された場合には、条件判定モジュール３０４は、当該条件が充足されている旨の結果を出力して（Ｓ１４０７）、その結果をリスク判定部３０３に返す。
【０１０１】
一方、ステップＳ１４０６において、当該条件を満たしていないと判定された場合には、繰り返し処理を終了し、当該条件が充足されていない旨の結果を出力して（Ｓ１４０８）、その結果をリスク判定部３０３に返す。
【０１０２】
次に、セキュリティポリシ３０５０の<condition>タグのtype属性がEXISTSの場合の条件充足判定処理の詳細について説明する。<condition>タグのtype属性がEXISTSの場合は、条件判定モジュール３０４は、ユーザの利用サービスのうちのいずれか一つで子要素として指定された条件が満たされている場合に条件が充足したという結果をリスク判定部３０３に返す。
【０１０３】
図１５に示すように、条件判定モジュール３０４は、まず、Type属性がEXISTSの場合にtargetが指定されているかを判定する（Ｓ１５０１）。ステップＳ１５０１において、targetが指定されていると判定された場合には、条件判定モジュール３０４は、targetで指定されたサービスのうち、当該ユーザが利用しているサービスを取得する（Ｓ１５０２）。一方、ステップＳ１５０１において、targetが指定されていないと判定された場合には、条件判定モジュール３０４は、サービス利用ＤＢ３１０を参照し、当該ユーザのユーザ識別子をキーにして当該ユーザが利用しているすべてのサービスの情報を取得する（Ｓ１５０３）。そして、条件判定モジュール３０４は、ステップＳ１５０２またはステップＳ１５０３において取得したすべてのサービスに対してステップＳ１５０５〜ステップＳ１５０８の処理を繰り返す（Ｓ１５０４）。
【０１０４】
そして、条件判定モジュール３０４は、<condition>タグの子要素となっている<condition>タグの条件が充足されているかを判定し（Ｓ１５０５）、ステップＳ１５０５において行った条件充足判定に基づいて、当該条件を満たしているかをチェックする（Ｓ１５０６）。
【０１０５】
ステップＳ１５０６において、当該条件を満たしていると判定された場合には、条件判定モジュール３０４は、ステップＳ１５０４に戻り繰り返し処理を継続する。そして、すべてのサービスに対して当該条件を満たしていると判定された場合には、条件判定モジュール３０４は、当該条件が充足されている旨の結果を出力して（Ｓ１５０７）、その結果をリスク判定部３０３に返す。
【０１０６】
一方、ステップＳ１５０６において、当該条件を満たしていないと判定された場合には、繰り返し処理を終了し、当該条件が充足されていない旨の結果を出力して（Ｓ１５０８）、その結果をリスク判定部３０３に返す。
【０１０７】
次に、セキュリティポリシ３０５０の<condition>タグのtype属性がmin_password_strengthの場合の条件充足判定処理の詳細について説明する。<condition>タグのtype属性がmin_password_strengthの場合は、条件判定モジュール３０４は、セキュリティポリシのtargetパラメータで指定された対象サービスのパスワードの強度を判定し、levelパラメータで指定されたレベル以上の値である場合に条件が充足しているとして、当該結果をリスク判定部３０３に返す。
【０１０８】
図１６に示すように、まず、条件判定モジュール３０４は、セキュリティポリシにおいてパラメータとして与えられた対象サービス及びレベルを取得する（Ｓ１６０１）。そして、条件判定モジュール３０４は、サービス利用ＤＢ３１０を参照して、当該ユーザがステップＳ１６０１で取得した対象サービスを利用する際に使うパスワードを取得する（Ｓ１６０２）。
【０１０９】
そして、条件判定モジュール３０４は、ステップＳ１６０２において取得したパスワードの強度を判定する（Ｓ１６０３）。具体的に、ステップＳ１６０３におけるパスワードの強度判定には、米国ＮＩＳＴ発行のＳＰ８００−６３  Ａｐｐｅｎｄｉｘ．Ａに記載されている、パスワードのエントロピーを計算する方式を用いる。パスワードのエントロピーは単位をビットとして取得でき、数値が大きい方がパスワードの強度が高いことを示す。パスワードのエントロピーを計算する方式による強度判定は一例であって、その他のパスワードの強度を定量的に表現する方式や、定性的に表現する方式などパラメータとして与えられたレベルと比較可能な方式であればどのような方式を用いてもよい。
【０１１０】
条件判定モジュール３０４は、ステップＳ１６０３においてパスワードの強度判定を行った後、強度判定により得られたパスワードの強度と、ステップＳ１６０１において取得したパスワードの強度のレベルとを比較する（Ｓ１６０４）。ステップＳ１６０４において、ステップＳ１６０３において得られたパスワードの強度が指定された強度レベルよりも高い場合には、条件判定モジュール３０４は、当該条件が充足されている旨の結果を出力して（Ｓ１６０５）、その結果をリスク判定部３０３に返す。一方、ステップＳ１６０４においてステップＳ１６０３において得られたパスワードの強度が指定された強度レベル以下である場合には、条件判定モジュール３０４は、当該条件が充足されていない旨の結果を出力して（Ｓ１６０６）、その結果をリスク判定部３０３に返す。
【０１１１】
次に、セキュリティポリシ３０５０の<condition>タグのtype属性がsame_id_passの場合の条件充足判定処理の詳細について説明する。<condition>タグのtype属性がsame_id_passの場合は、条件判定モジュール３０４は、ユーザが利用するすべてのサービスについてユーザ識別子とパスワードの確認を行って、同じユーザ識別子とパスワードが利用されているサービスの数が、numberパラメータとして与えられた数よりも小さい場合に条件が充足されていると判断する。
【０１１２】
図１７に示すように、まず、条件判定モジュール３０４は、セキュリティポリシのnumberパラメータで与えられた数値を取得する（Ｓ１７０１）。そして、条件判定モジュール３０４は、サービス利用ＤＢ３１０を参照して、当該ユーザが利用しているすべてのサービスのサービスユーザ識別子及びサービスパスワードを取得する（Ｓ１７０２）。
【０１１３】
そして、条件判定モジュール３０４は、ステップＳ１７０２において取得したサービスユーザ識別子およびサービスパスワードの組ごとにサービス数を算出する（Ｓ１７０３）。次に、条件判定モジュール３０４は、ステップＳ１７０３において算出したユーザ識別子とパスワードの組ごとのサービス数が、最大でもnumberパラメータで与えられた数値よりも小さいか否かを判定する（Ｓ１７０４）。
【０１１４】
ステップＳ１７０４において、サービス数の数がnumberパラメータよりも小さいと判定された場合には、条件判定モジュール３０４は、当該条件が充足されている旨の結果を出力して（Ｓ１７０５）、その結果をリスク判定部３０３に返す。一方、ステップＳ１７０４において、サービス数の数がnumberパラメータ以上であると判定された場合には、条件判定モジュール３０４は、当該条件が充足されていない旨の結果を出力して（Ｓ１７０６）、その結果をリスク判定部３０３に返す。
【０１１５】
次に、セキュリティポリシ３０５０の<condition>タグのtype属性がdisclosure_area_not_wideningの場合の条件充足判定処理の詳細について説明する。<condition>タグのtype属性がdisclosure_area_not_wideningの場合、条件判定モジュール３０４は、ユーザが利用しているサービス間のデータ連携により、情報の公開範囲が広がらない場合に条件が充足されているとする。
【０１１６】
図１８に示すように、まず、条件判定モジュール３０４は、データ連携利用ＤＢ３１１を参照して、当該ユーザが利用しているデータ連携のデータ連携識別子を取得する（Ｓ１８０１）。続いて、条件判定モジュール３０４は、データ連携情報ＤＢ３０９を参照して、ステップＳ１８０１において取得したデータ連携識別子に対応するサービスの組を取得する（Ｓ１８０２）。そして、条件判定モジュール３０４は、サービス利用ＤＢ３１０を参照して、ステップＳ１８０２において取得したサービスの情報公開範囲を取得する（Ｓ１８０３）。
【０１１７】
そして、条件判定モジュール３０４は、ステップＳ１８０２において取得したサービスの組ごとに、ステップＳ１８０５〜ステップＳ１８０７の処理を繰り返す（Ｓ１８０４）。条件判定モジュール３０４は、データ連携されているサービスの組のうち、資源利用側サービスの情報公開範囲がprivateであるかどうかを判定する（Ｓ１８０５）。ステップＳ１８０５において、資源利用側サービスの情報公開範囲がprivateであると判定された場合には、条件判定モジュール３０４は、ステップＳ１８０４に戻り繰り返し処理を継続する。
【０１１８】
一方、ステップＳ１８０５において、資源利用側サービスの情報公開範囲がprivateではないと判定された場合には、条件判定モジュール３０４は、資源利用側サービスの対となる資源提供側サービスの情報公開範囲がrestrictedであるかを判定する（Ｓ１８０６）。ステップＳ１８０６において、資源提供側サービスの情報公開範囲がrestrictedであると判定された場合には、当該データ連携のサービスの組の情報と、その資源提供側サービスの情報公開範囲がrestrictedである旨を一時的に記録（Ｓ１８０７）し、繰り返し処理を継続する。一方、ステップＳ１８０６において、資源提供側サービスの情報公開範囲がrestrictedではないと判定された場合、例えば、資源提供側サービスの情報公開範囲がpublicであった場合には、条件判定モジュール３０４は、何もせずに繰り返し処理を継続する。
【０１１９】
条件判定モジュール３０４は、ステップＳ１８０４〜ステップＳ１８０７までの繰り返し処理終了後、当該繰り返し処理を実行した結果、一時的な記録があるかを判定する（Ｓ１８０８）。ステップＳ１８０８において、一時的な記録があると判定された場合には、条件判定モジュール３０４は、当該条件が充足していない旨の結果を出力して（Ｓ１８０９）、その結果をリスク判定部３０３に返す。一方、ステップＳ１８０８において、一時的な記録がないと判定された場合には、条件判定モジュール３０４は、当該条件が充足している旨の結果を出力して（Ｓ１８１０）、その結果をリスク判定部３０３に返す。
【０１２０】
本実施の形態では、情報公開範囲がｒｅｓｔｒｉｃｔｅｄであるサービスから情報公開範囲がｐｕｂｌｉｃであるサービスへのデータ連携のみならず、情報公開範囲がｒｅｓｔｒｉｃｔｅｄであるサービスから情報公開範囲がｒｅｓｔｒｉｃｔｅｄであるサービスへのデータ連携も情報の公開範囲が広がるとして、条件を充足しないものとしている。これは、本実施の形態における情報の公開範囲の粒度がｐｕｂｌｉｃかｒｅｓｔｒｉｃｔｅｄの二択であり、ｒｅｓｔｒｉｃｔｅｄ同士のデータ連携の場合、情報の公開範囲が広がるか狭まるか、またはどちらでもないかの判断ができないため、安全策として公開範囲が広がるという扱いにしているからである。ただし、これは本実施の形態における一例である。例えば、ｒｅｓｔｒｉｃｔｅｄの粒度を細かくするなどして、資源提供側サービス、資源利用側サービスの情報の公開範囲がともに限定的な場合であったとしても公開範囲の大小比較が可能なように情報の公開範囲の定義をしてもよい。そのように公開範囲を定義した場合には、当該定義に従って公開範囲の大小比較を行えばよい。
【０１２１】
また、別の手法として、情報公開範囲がｒｅｓｔｒｉｃｔｅｄであるサービス同士でデータ連携が行われており、かつその資源利用側のサービスと他のサービスとがデータ連携をしているような場合、すなわちデータ連携の連鎖が発生している場合には、連鎖の始点と終点との情報公開範囲を比較するようにしてもよい。
【０１２２】
次に、セキュリティポリシ３０５０の<condition>タグのtype属性がmax_federation_sizeの場合の条件充足判定処理の詳細について説明する。<condition>タグのtype属性がmax_federation_sizeの場合、条件判定モジュール３０４は、ユーザが利用している認証連携において、ある一つのサービスに認証を依存するサービスの数がnumberパラメータで指定された数値以下である場合に条件が充足されているとする。
【０１２３】
図１９に示すように、まず、条件判定モジュール３０４は、targetパラメータで与えられた対象サービス及びnumberパラメータで与えられた数値を取得する（Ｓ１９０１）。次に、条件判定モジュール３０４は、サービス利用ＤＢ３１０を参照し、当該ユーザが利用しているサービスのうち認証連携を利用しているものについて、その認証連携識別子を取得する（Ｓ１９０２）。次に、条件判定モジュール３０４は、認証連携情報ＤＢ３０８を参照し、認証連携識別子に対応するサービスの組を取得する（Ｓ１９０３）。
【０１２４】
次に、条件判定モジュール３０４は、ステップＳ１９０３において取得したサービスの組に対して認証プロバイダ側サービスとして出現する対象サービスの数を算出（Ｓ１９０４）する。次に、条件判定モジュール３０４は。ステップＳ１９０４において算出した対象サービスの数が、numberパラメータで与えられた数値以下かどうかを判定する（Ｓ１９０５）。
【０１２５】
ステップＳ１９０５において、算出した対象サービスの数がnumberパラメータの数値以下であると判定された場合、条件判定モジュール３０４は、当該条件が充足されている旨を結果として出力して（Ｓ１９０６）、その結果をリスク判定部３０３に返す。一方、ステップＳ１９０５において、算出した対象サービスの数がnumberパラメータの数値より大きいと判定された場合には、条件判定モジュール３０４は、当該条件が充足されていない旨の結果を出力して（Ｓ１９０７）、その結果をリスク判定部３０３に返す。
【０１２６】
次に、セキュリティポリシ３０５０の<condition>タグのtype属性がnot_shared_background_dataの場合の条件充足判定処理の詳細について説明する。<condition>タグのtype属性がnot_shared_background_dataの場合、条件判定モジュール３０４は、ユーザが利用しているサービス群において、バックグラウンドでのデータ共有を行っていない場合に条件が充足されているものとする。
【０１２７】
図２０に示すように、まず、条件判定モジュール３０４は、サービス利用ＤＢ３１０を参照して、当該ユーザが利用しているサービスのサービス識別子を取得する（Ｓ２００１）。次に、条件判定モジュール３０４は、サービス情報ＤＢ３０７を参照し、当該ユーザが利用しているサービスのうちサービス基盤上フラグ６０５がｔｒｕｅになっているものを取得する（Ｓ２００２）。
【０１２８】
次に、条件判定モジュール３０４は、ステップＳ２００２において取得したサービスの中で利用データベース６０６が等しいものがあるかを判定する（Ｓ２００３）。ステップＳ２００３において、利用データベース６０６が等しいものがあったと判定された場合には、条件判定モジュール３０４は、条件が充足していない旨の結果を出力し（Ｓ２００４）、その結果をリスク判定部３０３に返す。一方、ステップＳ２００３において、利用データベース６０６が等しいものがなかったと判定された場合には、条件判定モジュール３０４は、条件が充足されている旨の結果を出力し（Ｓ２００５）、その結果をリスク判定部３０３に返す。
【０１２９】
次に、セキュリティポリシ３０５０の<condition>タグのtype属性がdisclosure_area_not_widening_with_background_shareの場合の条件充足判定処理の詳細について説明する。<condition>タグのtype属性がdisclosure_area_not_widening_with_background_shareの場合、条件判定モジュール３０４は、ユーザが利用しているサービス群において、同じデータベースを利用しているサービスの組が存在しない場合、もしくは、同じデータベースを利用しているサービスの組が存在していて且つサービスに登録されたデータの情報公開範囲がデータ連携を通じてデータ連携元のサービスの情報公開範囲よりも広がらない場合に、条件が充足されていると判断する。
【０１３０】
図２１に示すように、まず、条件判定モジュール３０４は、サービス利用ＤＢ３１０から当該ユーザが利用しているサービスのサービス識別子を取得する（Ｓ２１０１）。次に、条件判定モジュール３０４は、サービス情報ＤＢ３０７を参照し、当該ユーザが利用しているサービスのうち、サービス情報ＤＢ３０７のサービス基盤上フラグ６０５がｔｒｕｅのものを取得する（Ｓ２１０２）。
【０１３１】
続いて、条件判定モジュール３０４は、ステップＳ２１０１において取得したサービスのうち、利用データベース６０６が同一となっているサービスの組があるかどうか判定する（Ｓ２１０３）。ステップＳ２１０３において、利用データベース６０６が同一であるサービスがない場合には、条件判定モジュール３０４は、ステップＳ２１１３に進み、条件を充足している旨の結果を出力し（Ｓ２１１３）、その結果をリスク判定部３０３に返す。一方、ステップＳ２１０３において、利用データベース６０６が同一であるサービスがある場合には、条件判定モジュール３０４は、利用データベース６０６が同一となっているサービスの組み合わせ全てについて、ステップＳ２１０５〜Ｓ２１１０の処理を繰り返す（Ｓ２１０４）。
【０１３２】
具体的に、条件判定モジュール３０４は、組となる２つのサービスの情報公開範囲が同じ範囲であるかどうか判定する（Ｓ２１０５）。ステップＳ２１０５において、２つのサービスの情報公開範囲が同じ範囲ではないと判定された場合には、条件判定モジュール３０４は、情報公開範囲の異なるサービスのデータがバックグラウンドで共有されている旨を記録し（Ｓ２１０７）、次の繰り返し処理へと進む。
【０１３３】
一方、ステップＳ２１０５において、２つのサービスの情報公開範囲が同じ範囲であると判定された場合には、条件判定モジュール３０４は、その情報公開範囲がＰｕｂｌｉｃであるかどうかを判定する（Ｓ２１０６）。ステップＳ２１０６において、情報公開範囲がＰｕｂｌｉｃであると判定された場合には、条件判定モジュール３０４は、次の繰り返し処理へと進む。一方、ステップＳ２１０６において、情報公開範囲がＰｕｂｌｉｃでないと判定された場合には、条件判定モジュール３０４は、データ連携情報ＤＢ３０９及びデータ連携利用ＤＢ３１１を参照して、当該ユーザが利用しているデータ連携に係るサービスを取得する（Ｓ２１０８）。
【０１３４】
次に、条件判定モジュール３０４は、サービスの組を構成する２つのサービスのうちの片方から、データ連携を通じて情報公開範囲がＰｕｂｌｉｃもしくはｒｅｓｔｒｉｃｔｅｄであるサービスにデータが到達するかどうかを判定する（Ｓ２１０９）。
【０１３５】
ステップＳ２１０９において、データ連携を通じて情報公開範囲がＰｕｂｌｉｃもしくはｒｅｓｔｒｉｃｔｅｄであるサービスにデータが到達しないと判定された場合には、情報の公開範囲が広がらないため、次の繰り返し処理へと進む。一方、ステップＳ２１０９において、データ連携を通じて情報公開範囲がＰｕｂｌｉｃもしくはｒｅｓｔｒｉｃｔｅｄであるサービスにデータが到達しないと判定された場合には、情報の公開範囲が広がる可能性があることから、バックグラウンドでの情報共有を通じて意図しない範囲への情報公開が発生している可能性がある旨を記録（Ｓ２１１０）し、次の繰り返し処理へと進む。
【０１３６】
ステップＳ２１０４〜ステップＳ２１１０の繰り返し処理終了後、条件判定モジュール３０４は、ステップＳ２３０７やＳ２３１０での記録があるかどうか確認する（Ｓ２１１１）。ステップＳ２１１１において、記録があると判定された場合には、条件判定モジュール３０４は、当該条件が充足されていない旨の結果を出力して（Ｓ２１１２）、その結果をリスク判定部３０３に返す。一方、ステップＳ２１１１において、記録がないと判定された場合には、条件判定モジュール３０４は、当該条件が充足している旨の結果を出力して（Ｓ２１１３）、その結果をリスク判定部３０３に返す。
【０１３７】
以上、条件判定モジュール３０４による条件判定処理について説明した。これらの条件判定モジュール３０４による条件判定処理により、セキュリティポリシに設定されている条件が満たされているかを判定することができる。そして、この判定結果を受け取ったリスク判定部３０３は、セキュリティポリシに違反している状態か否かを判定することが可能となる。
【０１３８】
また、リスク判定部３０３におけるリスク判定の結果、セキュリティリスクが存在しないと判定された場合には、ユーザインタフェース部３０１で新規サービスの追加、または認証連携の追加、またはデータ連携の追加を実行する。これらの実行にあたっては、ユーザインタフェース部３０１が、対象となるＷｅｂサービス提供装置への通信を実行し、該当サービスへの登録やサービス間連携の申請処理などを代行する。
【０１３９】
また、新規サービスを追加する場合、ユーザインタフェース部３０１は、ユーザに利用したいユーザ識別子及びパスワードを入力させる。ユーザによりユーザ端末１０７を介して入力されたユーザ識別子及びパスワードをユーザインタフェース部３０１が受信すると、それらの情報をもとにサービス利用ＤＢを一時的に更新する。そして、再度リスク判定部３０２を呼び出し、セキュリティリスクが存在していないか判定する。
【０１４０】
（４−４）セキュリティリスク情報提供画面
リスク判定部３０２によりセキュリティリスクが存在していないという結果が得られた場合、データベースに施した一時的な更新を正式な更新として反映させ、新規サービス追加の処理は終了する。一方、新規サービス追加時、認証連携追加時、データ連携追加時にセキュリティリスクが存在していると判定された場合は、ユーザインタフェース部３０１はユーザに対し、存在しているセキュリティリスクに関する情報を提供する。以下、ユーザに提供するセキュリティリスクについて、例を挙げて説明する。
【０１４１】
本実施形態で示した例において、ユーザＡが新たにサービスＡとサービスＢとのデータ連携を追加しようとしたとする。このとき、ユーザ識別子１００１がユーザＡ、データ連携識別子１００２がｃｏｌ００１となるデータが、データ連携利用ＤＢ３１１に一時的に登録される。この状態で、リスク判定部３０３によるセキュリティリスクの判定処理を実施すると、サービスＡとサービスＢのデータ連携、およびサービスＢとサービスＣがデータ連携される。これは、セキュリティポリシ３０５０の「no_unwanted_disclosure」に違反しているため、セキュリティリスクが存在すると判定される。このような例の場合に、ユーザ端末１０７を介してユーザに提示されるセキュリティリスク情報提供画面を図２２に示す。
【０１４２】
図２２のセキュリティリスク情報提供画面２２０は、メッセージエリア２２０１、利用サービス表示エリア２２０２、変更点２２０３及び関連するサービス群２２０４から構成
される。
【０１４３】
メッセージエリア２２０１には、現在実施しようとしていること（サービスＡとサービスＢのデータ連携）、それにより発生するセキュリティリスク（限定したユーザへの情報が一般に公開される）、補足情報（データの流れ）、実施の確認が含まれている。また、利用サービス表示エリア２２０２には、現在当該ユーザが利用しているサービスが使用しているログインＩＤや情報の公開範囲と共に表示される。変更点２２０３は、現在実施しようとしていることを、線を太くするなどの装飾を施して把握しやすくしている。関連するサービス群２２０４は、実施しようとしていることと関連したサービスを太枠で強調し、またそれらの繋がりを表示している。
【０１４４】
メッセージエリア２２０１内の実施の確認において、ユーザにより「はい」が選択されると、サービスＡとサービスＢのデータ連携が実施され、データ連携利用ＤＢ３１１に施した一時的な登録が正式なものとなる。一方、メッセージエリア２２０１内の実施の確認において、ユーザにより「いいえ」が選択されると、一時的に行われた登録はキャンセルされ、追加したエントリは削除される。一時的に行われた登録がキャンセルされると、ユーザインタフェース部３０１は、セキュリティリスク情報提供画面２２０が表示されるひとつ前の画面をユーザ端末１０７に表示させる。
【０１４５】
また、別の例として、ユーザＡがサービスＥを新規に追加し、サービスＥのユーザＩＤを「ｕｓｅｒＡ＠ｅｘａｍｐｌｅ．ｊｐ」、パスワードを「ａａａａａａ」にしようとしたとする。すると、サービス利用ＤＢ３１０にこれらの情報が一時的に登録される。この状態でリスク判定部３０３によるセキュリティリスクの判定処理を実施する。例えば、サービスＡとサービスＣ、サービスＸ、サービスＥで同じユーザＩＤとパスワードを使用しようとした場合、セキュリティポリシ３０５０の名称「no_same_credential」に違反しているため、セキュリティリスクが存在すると判定される。このような例の場合に、ユーザ端末１０７を介してユーザに提示されるセキュリティリスク情報提供画面を図２３に示す。
【０１４６】
図２３のセキュリティリスク情報提供画面２３０は、メッセージエリア２３０１、利用サービス表示エリア２３０２、変更点２３０３及び関連するサービス群２３０４で構成される。
【０１４７】
メッセージエリア２３０１には、現在実施しようとしていること（サービスＥのユーザＩＤとパスワードを他サービスと同じものにしようとしている）、それにより発生するセキュリティリスク（一カ所での情報漏えいにより他サービスまで危険に晒される）、補足情報（同じユーザＩＤとパスワードを利用しているサービス一覧）、実施の確認が含まれている。利用サービス表示エリア２３０２には、現在当該ユーザが利用しているサービスが使用しているログインＩＤや情報の公開範囲と共に表示される。変更点２３０３は、現在実施しようとしていることを、線を太くするなどの装飾を施して把握しやすくしている。関連するサービス群２３０４は、実施しようとしていることと関連したサービスを太枠で強調し、またそれらの繋がりを表示している。
【０１４８】
メッセージエリア２３０１内の実施の確認において、ユーザにより「はい」が選択されると、サービスＥのユーザＩＤとパスワードが決定され、サービス利用ＤＢ３１０に施した一時的な登録が正式なものとなる。一方、メッセージエリア２３１０内の実施の確認において、ユーザにより「いいえ」が選択されると、一時的に行われた登録はキャンセルされ、追加したエントリは削除される。また、一時的に行われた登録がキャンセルされると、ユーザインタフェース部３０１は、セキュリティリスク情報提供画面２３０が表示されるひとつ前の画面をユーザ端末１０７に表示させる。
【０１４９】
また、別の例として、ユーザＡがユーザＩＤ「ｕｓｅｒＡ」、情報の公開範囲「限定公開」でサービスＹに新規登録しようとしたとする。このとき、サービス利用ＤＢ３１０にこれらの情報が一時的に登録される。この状態でリスク判定部３０３によるセキュリティリスクの判定処理を実施する。例えば、サービスＸとサービスＹが同じデータベースを共有し、また、サービスＸからサービスＺへのデータ連携が利用されているとする。この状態は、セキュリティポリシ３０５０の名称「no_unwanted_disclosure_on_service_infrastructure」に違反しているため、セキュリティリスクが存在すると判定される。このような例の場合に、ユーザ端末１０７を介してユーザに提示されるセキュリティリスク情報提供画面を図２４に示す。
【０１５０】
図２４のセキュリティリスク情報提供画面２４０は、メッセージエリア２４０１、利用サービスエリア２４０２、変更点２４０３及び関連するサービス群２４０４から構成される。
【０１５１】
メッセージエリア２４０１には、現在実施しようとしていること（サービスＹへの登録）、それにより発生するセキュリティリスク（意図しない範囲への登録データの公開の恐れ）、補足情報（データベースの共有、データの流れ）、実施の確認が含まれている。利用サービス表示エリア２４０２には、現在当該ユーザが利用しているサービスが使用しているログインＩＤや情報の公開範囲と共に表示される。変更点２４０３は、現在実施しようとしていることを、線を太くするなどの装飾を施して把握しやすくしている。関連するサービス群２４０４は、実施しようとしていることと関連したサービスを太枠で強調し、またそれらの繋がりを表示している。
【０１５２】
メッセージエリア２４０１内の実施の確認において、ユーザにより「はい」が選択されると、サービスＹへの登録が実施され、データ連携利用ＤＢ３１１に施した一時的な登録が正式なものとなる。一方、メッセージエリア１４０１内の実施の確認において、ユーザにより「いいえ」が選択されると、一時的に行われた登録はキャンセルされ、追加したエントリは削除される。また、一時的に行われた登録がキャンセルされると、ユーザインタフェース部３０１は、セキュリティリスク情報提供画面２４０が表示されるひとつ前の画面をユーザ端末１０７に表示させる。
【０１５３】
以上のように、セキュリティリスク情報提供装置１０２は、ユーザが新規サービスの登録やサービス間の連携などを実施するタイミングで、セキュリティリスクが存在するかどうか判定する。そして、セキュリティリスクが存在する場合には、ユーザに対して注意喚起をするような画面をユーザに提示することにより、ユーザに複数サービスの利用に関わるセキュリティリスクを把握させることができる。また、ユーザに対して、セキュリティリスクを発生させるようなサービスの利用の中止やリスクを軽減させる対応を取らせることができるため、ユーザによりセキュアなＷｅｂサービスの利用をさせるが可能になる。
【０１５４】
（５）本実施の形態の効果
以上のように、本実施の形態によれば、セキュリティリスク情報提供装置１０２は、Ｗｅｂサービス提供装置１０３または１０９により提供されるサービスを利用する際の所定のセキュリティポリシを設定し、ユーザにより利用されるサービスの利用状況を示すサービス利用状況情報及びユーザにより利用されるサービス間の連携情報を示すサービス連携情報を用いて、ユーザのサービス利用状況が前記セキュリティポリシに適合しているかを判定する。これにより、複数のＷｅｂサービスを連携させる場合に発生するセキュリティリスクを提示して、ユーザにＷｅｂサービスを安全に利用させることができる。
【０１５５】
（６）他の実施の形態
例えば、本明細書のセキュリティリスク情報提供装置１０２の処理における各ステップは、必ずしもフローチャートとして記載された順序に沿って時系列に処理する必要はない。すなわち、セキュリティリスク情報提供装置１０２の処理における各ステップは、異なる処理であっても並列的に実行されてもよい。
【０１５６】
また、セキュリティリスク情報提供装置１０２などに内蔵されるＣＰＵ、ＲＯＭおよびＲＡＭなどのハードウェアを、上述したセキュリティリスク情報提供装置１０２の各構成と同等の機能を発揮させるためのコンピュータプログラムも作成可能である。また、該コンピュータプログラムを記憶させた記憶媒体も提供される。
【０１５７】
また、上述の実施形態においては、セキュリティリスク情報提供装置１０２に格納されている各種プログラムに基づいて、セキュリティリスク情報提供装置１０２の演算装置２０４が本発明の各種機能を実現しているが、かかる例に限定されない。例えば、演算装置２０４をセキュリティリスク情報提供装置１０２とは別体の他の装置に設けて、当該演算装置２０４と協同して各種機能を実現するようにしてもよい。また、セキュリティリスク情報提供装置１０２に格納されている各種プログラムをセキュリティリスク情報提供装置１０２とは別体の他の装置に設けて、当該プログラムが演算装置２０４に呼び出されることにより各種機能を実現するようにしてもよい。
【符号の説明】
【０１５８】
１００  計算機システム
１０１  サービス基盤
１０２  セキュリティリスク情報提供装置
１０３  Ｗｅｂサービス提供装置
１０４  データベースサービス提供装置
１０５、１０６、１０８  ネットワーク
１０７  ユーザ端末
１０９  サービス提供装置
３０１  ユーザインタフェース部
３０２  サービス情報収集部
３０２  リスク判定部
３０２  再度リスク判定部
３０３  リスク判定部
３０４  条件判定モジュール
３０５  セキュリティポリシデータベース
３０６  ユーザ情報データベース
３０７  サービス情報データベース
３０８  認証連携情報データベース
３０９  データ連携データベース
３１０  サービス利用データベース
３１１  データ連携利用データベース
【図１】
2013196422.tif 000003
【図２】
2013196422.tif 000004
【図３】
2013196422.tif 000005
【図４】
2013196422.tif 000006
【図５】
2013196422.tif 000007
【図６】
2013196422.tif 000008
【図７】
2013196422.tif 000009
【図８】
2013196422.tif 000010
【図９】
2013196422.tif 000011
【図１０】
2013196422.tif 000012
【図１１】
2013196422.tif 000013
【図１２】
2013196422.tif 000014
【図１３】
2013196422.tif 000015
【図１４】
2013196422.tif 000016
【図１５】
2013196422.tif 000017
【図１６】
2013196422.tif 000018
【図１７】
2013196422.tif 000019
【図１８】
2013196422.tif 000020
【図１９】
2013196422.tif 000021
【図２０】
2013196422.tif 000022
【図２１】
2013196422.tif 000023
【図２２】
2013196422.tif 000024
【図２３】
2013196422.tif 000025
【図２４】
2013196422.tif 000026