(57)【要約】【課題】情報漏洩のリスクの低減を図る。【解決手段】ファイルサーバ２１に格納されたファイルのスコアから情報管理レベルを求め、求めた情報管理レベルとファイルに付与された情報区分から無条件のアクセス可能対象者を特定し、ファイルアクセス者が無条件のアクセス可能対象者である場合はファイルへのアクセスを許可し、さらにスコア更新部１５が、ファイルがファイルサーバ２１に格納されてからの時間の経過に応じてアクセスがより制限されるようにファイルのスコアを減らす。これにより、時間が経過して価値が低くなった情報へのアクセスが制限され、放置されてしまって管理不十分な情報からの情報漏洩リスクの低減を図ることができる。【選択図】図１
2016038618.tif 000002
【特許請求の範囲】
【請求項１】
ファイル蓄積装置に格納されたファイルへのアクセスを制御するアクセス制御装置であって、
前記ファイルの情報価値を示すスコアを保持するスコア保持手段と、
前記スコアに基づいて前記ファイルへのアクセスを制限するアクセス制御手段と、
前記ファイルを格納してからの時間の経過に応じてアクセスがより制限されるように前記スコア保持手段が保持するスコアを更新するスコア更新手段と、
を有することを特徴とするアクセス制御装置。
【請求項２】
前記アクセス制御手段は、前記スコアに基づいて前記ファイルへのアクセスを制限する場合であっても、前記スコアに応じた承認者から承認が得られたときは、前記ファイルへのアクセスを許可することを特徴とする請求項１記載のアクセス制御装置。
【請求項３】
ファイル蓄積装置に格納されたファイルへのアクセスを制御するコンピュータによるアクセス制御方法であって、
スコア保持手段が保持する前記ファイルの情報価値を示すスコアに基づいて前記ファイルへのアクセスを制限するステップと、
前記ファイルを格納してからの時間の経過に応じてアクセスがより制限されるように前記スコア保持手段が保持するスコアを更新するステップと、
を有することを特徴とするアクセス制御方法。
【請求項４】
前記ファイルへのアクセスを制御するステップでは、前記スコアに基づいて前記ファイルへのアクセスを制限する場合であっても、前記スコアに応じた承認者から承認が得られたときは、前記ファイルへのアクセスを許可することを特徴とする請求項３記載のアクセス制御方法。
【請求項５】
請求項１又は２記載のアクセス制御装置の各手段としてコンピュータを動作させることを特徴とするアクセス制御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報を管理する技術に関する。
【背景技術】
【０００２】
企業が管理するデジタルデータの情報量は年々増加しており、情報漏洩に対する懸念が強まっている。
【０００３】
通常は、ファイル等にアクセス権を設定し、情報にアクセスできる社員を管理することで、情報漏洩を防いでいる。例えば、特許文献１では、データにアクセスするクライアント端末の存在場所に基づいてアクセス権限を判定している。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１３−２１４２１９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
デジタルデータの情報量の増加に伴い、放置されてしまってアクセス履歴のないデータが散見される。アクセスがなく放置されたデータは管理不十分となり、侵入者がある社員を踏み台にしたときに、そのデータから情報が漏洩するおそれがある。
【０００６】
本発明は、上記に鑑みてなされたものであり、情報漏洩のリスクの低減を図ることを目的とする。
【課題を解決するための手段】
【０００７】
第１の本発明に係るアクセス制御装置は、ファイル蓄積装置に格納されたファイルへのアクセスを制御するアクセス制御装置であって、前記ファイルの情報価値を示すスコアを保持するスコア保持手段と、前記スコアに基づいて前記ファイルへのアクセスを制限するアクセス制御手段と、前記ファイルを格納してからの時間の経過に応じてアクセスがより制限されるように前記スコア保持手段が保持するスコアを更新するスコア更新手段と、を有することを特徴とする。
【０００８】
上記アクセス制御装置において、前記アクセス制御手段は、前記スコアに基づいて前記ファイルへのアクセスを制限する場合であっても、前記スコアに応じた承認者から承認が得られたときは、前記ファイルへのアクセスを許可することを特徴とする。
【０００９】
第２の本発明に係るアクセス制御方法は、ファイル蓄積装置に格納されたファイルへのアクセスを制御するコンピュータによるアクセス制御方法であって、スコア保持手段が保持する前記ファイルの情報価値を示すスコアに基づいて前記ファイルへのアクセスを制限するステップと、前記ファイルを格納してからの時間の経過に応じてアクセスがより制限されるように前記スコア保持手段が保持するスコアを更新するステップと、を有することを特徴とする。
【００１０】
上記アクセス制御方法において、前記ファイルへのアクセスを制御するステップでは、前記スコアに基づいて前記ファイルへのアクセスを制限する場合であっても、前記スコアに応じた承認者から承認が得られたときは、前記ファイルへのアクセスを許可することを特徴とする。
【００１１】
第３の本発明に係るアクセス制御プログラムは、上記アクセス制御装置の各手段としてコンピュータを動作させることを特徴とする。
【発明の効果】
【００１２】
本発明によれば、情報漏洩のリスクの低減を図ることができる。
【図面の簡単な説明】
【００１３】
【図１】本実施の形態における情報管理システムの構成を示す機能ブロック図である。
【図２】本実施の形態で用いる情報管理ポリシーの例を示す図である。
【図３】組織の構成に応じてアクセスグループＩＤを設定する様子を示す図である。
【図４】プロジェクト毎にアクセスグループＩＤを設定する様子を示す図である。
【図５】時間の経過に伴うスコアの変化を示したグラフである。
【図６】ファイルを格納する処理の流れを示すフローチャートである。
【図７】ファイル一覧情報の例を示す図である。
【図８】ファイルへのアクセスを制御する処理の流れを示すフローチャートである。
【図９】ファイルへのアクセスの事前承認処理の流れを示すフローチャートである。
【図１０】承認者情報の例を示す図である。
【図１１】アクセスリストの例を示す図である。
【発明を実施するための形態】
【００１４】
本発明は、時間の経過に伴って情報価値を減少させて、価値が低くなった情報に対してはアクセスを制限することで、放置されてしまって管理不十分な情報からの情報漏洩リスクの低減を図る技術である。また、アクセスが制限された情報に対しても合議承認の下でアクセス権限を限定的に付与する仕組みを提供する。以下、本発明の実施の形態について図面を用いて説明する。
【００１５】
図１は、本実施の形態における情報管理システムの構成を示す機能ブロック図である。同図に示す情報管理システムは、ファイル格納部１１、アクセス制御部１２、アクセス制御情報生成部１３、事前承認処理部１４、およびスコア更新部１５と、ファイルサーバ２１、ファイル一覧情報蓄積部２２、設定情報蓄積部２３、アクセスリストファイル２４、および承認者情報蓄積部２５を備える。情報管理システムが備える各部は、演算処理装置、記憶装置等を備えたコンピュータにより構成して、各部の処理がプログラムによって実行されるものとしてもよい。このプログラムは情報管理システムが備える記憶装置に記憶されており、磁気ディスク、光ディスク、半導体メモリ等の記録媒体に記録することも、ネットワークを通して提供することも可能である。
【００１６】
ファイル格納部１１は、ファイル作成者から読み取り専用ファイルを受信し、ファイルを暗号化してファイルサーバ２１に格納するとともに、ファイルの情報価値を示すスコア、ファイルの機密レベルを示す情報区分などを含むファイル一覧情報をファイル一覧情報蓄積部２２に格納する。スコアは、ファイルの属性とファイルの作成中に行われた操作の種別、ファイルの作成中のアクセス頻度に基づいて算出される。スコアはファイルの作成中に変動するが、ファイル作成者がファイルをＰＤＦファイルなどの読み取り専用ファイルにしたときのスコアをその読み取り専用ファイルの初期スコアとしてファイル一覧情報蓄積部２２に格納する。情報区分は、各組織において規定される情報セキュリティマネジメントに則してファイルに付与される。例えば、情報区分Ａ＝お客様情報、社員情報など情報漏洩により重大な影響を及ぼすことが想定される情報、情報区分Ｂ＝厳重な管理が必要であり、情報の内容に直接関係のある業務担当者以外の者に知られてはならない情報、情報区分Ｃ＝上記２区分以外の情報で、社員以外の者に内容を開示してはならない情報、とする。
【００１７】
アクセス制御部１２は、ファイルサーバ２１に格納されたファイルに対するアクセス要求に応じて、ファイルアクセス者がファイルに無条件でアクセス可能か、ファイルのアクセスに合議が必要か、もしくはファイルにアクセスできないかをアクセス制御情報生成部１３から得られるアクセス制御情報に基づいて判定し、ファイルへのアクセスを制御する。ファイルへのアクセスに合議が必要な場合は、事前申請・承認状況を記載したアクセスリストファイル２４を参照し、事前に全ての承認者から承認が得られているかを判定し、ファイルアクセス者の本人性を確認してファイルへのアクセスを許可する。
【００１８】
アクセス制御情報生成部１３は、ファイルのスコアと設定情報蓄積部２３に格納されたスコア帯情報からファイルの情報管理レベルを求め、求めた情報管理レベル、ファイルに付与された情報区分、および設定情報蓄積部２３に格納された情報管理ポリシーから無条件のアクセス可能対象者および合議が必要なアクセス可能対象者を特定する。また、アクセス制御情報生成部１３は、ファイルのアクセスに合議が必要な件に関して、後述する事前承認処理部１４が生成した承認者情報を得て、アクセスの諾否を記載したアクセスリストを作成し、アクセスリストファイル２４に書き込む。
【００１９】
スコア帯情報は、スコア毎に情報管理レベルを対応付けた情報である。例えば、スコアの範囲が０〜１００であるときに、スコア０〜３０を管理レベル１、スコア３１〜７０を管理レベル２、スコア７１〜１００を管理レベル３とする。情報管理レベルが上がるほど、つまりスコアが低くなるほど無条件のアクセス可能対象者が限定される。
【００２０】
情報管理ポリシーは、情報管理レベル、情報区分毎に無条件のアクセス可能対象者と合議が必要な場合に承認者となる人物を定義した情報である。図２に、本実施の形態における情報管理ポリシーの例を示す。本実施の形態では、情報管理レベルを１〜３の３段階とし、情報区分をＡ，Ｂ，Ｃの３つに分類した。ファイルの情報管理レベルと情報区分がわかると情報管理ポリシーから無条件のアクセス可能対象者、合議が必要なアクセス可能対象者、および承認者がわかる。ファイルアクセス者がファイルの情報管理レベルと情報区分で特定される情報管理ポリシーの無条件のアクセス可能対象者に該当する場合は、ファイルアクセス者は当該ファイルに無条件でアクセスできる。ファイルアクセス者が無条件のアクセス可能対象者に該当しない場合であっても、ファイルにアクセス可能である場合は、合議が必要なアクセス可能対象者となる。ファイルにアクセス可能であるか否かはファイルの情報区分によって決められる。具体例で説明すると、図２の例において、管理者でないファイルアクセス者が、管理レベル２、情報区分Ｂのファイルの作成者と同じ部門に属しているが、同じ担当に属していない場合（図２の例では、部→部門→担当→ラインと組織が構成されている）、無条件のアクセス可能対象者ではないが、合議が必要なアクセス可能対象者となる。その合議の承認者は、ファイルアクセス者の直属上長、ファイル作成者の直属上長、およびファイル作成者の担当部長となる。
【００２１】
本実施の形態では、ファイル作成者の所属とファイルアクセス者の所属に応じて無条件のアクセス可能対象者等に該当するか否か判定するので、図３に示すように、組織の構成に応じてアクセスグループＩＤを生成する。図３の例で▲▲担当のアクセスグループＩＤは１１１２１６となる。ファイル作成者のアクセスグループＩＤとファイルアクセス者のアクセスグループＩＤを比較することで無条件のアクセス可能対象者であるか、合議が必要なアクセス可能対象者であるかがわかる。例えば、ファイル作成者と同じ部門内の社員は無条件のアクセス可能対象者となる場合に、アクセスグループＩＤが１１１２１５のファイル作成者が作成したファイルに無条件でアクセスできるか否かは、ファイルアクセス者のアクセスグループＩＤが１１１２＊＊（＊はどの数字でもよいことを示す）に該当するか否かを調べればよい。
【００２２】
あるいは、別のアクセスグループＩＤの設定例として、図４に示すように、プロジェクト毎にアクセスグループＩＤを設定してもよい。
【００２３】
事前承認処理部１４は、ファイルサーバ２１に格納されたファイルについて合議が必要なアクセス可能対象者であるファイルアクセス者からそのファイルへのアクセス申請を受け付け、情報管理ポリシーを参照してファイルの情報管理レベルと情報区分に応じた承認者を決定し、承認者からアクセスの承認を得る。得られた承認状況は承認者情報蓄積部２５に格納される。全ての承認者から承認が得られると、アクセス制御情報生成部１３は、その承認状況からアクセスリストを作成する。部、部門、担当それぞれの上長のＩＤを設定情報蓄積部２３に格納しておくと承認者を決定するときに利用できる。
【００２４】
スコア更新部１５は、読み取り専用ファイルが格納されてからの経過時間に応じてファイル一覧情報に記載されたスコアを更新する。図５は、時間の経過に伴うスコアの変化を示したグラフである。ファイルを新規作成したときの時間を０とする。ファイルの編集が終わり、ファイルを読み取り専用にしてファイルサーバ２１に格納したときの時間をｔ１とする。時間が０からｔ１までの間はファイルを編集中である。ファイルの編集中は、ファイルの拡張子やファイルへのアクセス頻度に基づいてスコアが算出される。時間がｔ１のときのスコアを読み取り専用ファイルの初期スコアとしてファイル一覧情報に記録する。スコア更新部１５は、読み取り専用ファイルのスコアを時間の経過に伴って減少させる。スコアが低くなるほど読み取り専用ファイルへのアクセスが制限される。本実施の形態では、３つのスコア帯を設けて、スコア帯ごとに無条件でアクセスできるアクセスグループを設定した。なお、スコア更新部１５は、スコアの更新処理を１日１回のバッチ処理で行ってもよい。
【００２５】
次に、本実施の形態における情報管理システムの動作について説明する。
【００２６】
図６は、ファイルを格納する処理の流れを示すフローチャートである。
【００２７】
ファイル作成者は作成したファイルをＰＤＦファイルなどの読み取り専用ファイルとしてファイル格納部１１に送信し、読み取り専用ファイルの情報区分と保存期間を入力する（ステップＳ１１）。ファイル作成者の組織コード（アクセスグループＩＤ）、入力された情報区分と保存期間はファイル一覧情報に記載される。また、現在時刻を管理開始時刻とし、管理開始時刻と保存期間から管理終了時刻を求めてファイル一覧情報に記載する。
【００２８】
そして、ファイル編集時のスコアを継承してファイル一覧情報に記録する（ステップＳ１２）。あるいは、ファイルの情報価値に応じてスコアを任意に設定してもよい。
【００２９】
図７に、ファイル一覧情報の例を示す。ファイル一覧情報には、ファイルの属性などの情報が記載されている。図７の例で本情報管理システムに特に関連がある情報としては、作成者の組織コード、情報区分、管理開始時刻、保存期間、管理終了時刻、暗号化キーがある。
【００３０】
そして、ファイル格納部１１は、暗号化キーを生成し、受信した読み取り専用ファイルを暗号化してファイルサーバ２１に格納する（ステップＳ１３）。暗号化キーはファイル一覧情報に記録される。
【００３１】
続いて、ファイルへのアクセスを制御する処理について説明する。
【００３２】
図８は、ファイルへのアクセスを制御する処理の流れを示すフローチャートである。
【００３３】
本情報管理システムがファイルアクセス者からファイルサーバ２１に格納されたファイルへのアクセス要求を受信すると、まず、対象ファイルのスコアから情報管理レベルを求める（ステップＳ２１）。
【００３４】
そして、情報管理レベルと対象ファイルに付与された情報区分から無条件のアクセス可能対象者であるか否かを判定する（ステップＳ２２）。ファイルアクセス者が無条件のアクセス可能対象者に該当する場合は（ステップＳ２２のＹＥＳ）、対象ファイルを復号してアクセスを許可する（ステップＳ２６）。
【００３５】
ファイルアクセス者が無条件のアクセス可能対象者でない場合（ステップＳ２２のＮＯ）、合議が必要なアクセス可能対象者であるか否かを判定する（ステップＳ２３）。合議があればアクセスできるか否かは、情報区分毎に決められる。例えば、情報区分Ａのファイルはファイルの作成者と同じ部門内の管理者が、情報区分Ｂのファイルはファイルの作成者と同じ部門内の社員が、情報区分Ｃのファイルは全社員が、合議があればアクセスできる。
【００３６】
ファイルアクセス者が合議が必要なアクセス可能対象者でない場合は（ステップＳ２３のＮＯ）、対象ファイルへのアクセスを拒否する（ステップＳ２７）。
【００３７】
ファイルアクセス者が合議が必要なアクセス可能対象者に該当する場合（ステップＳ２３のＹＥＳ）、アクセスリストファイル２４を参照し、事前申請・承認があるか否かを判定する（ステップＳ２４）。
【００３８】
事前申請・承認がない場合は（ステップＳ２４のＮＯ）、対象ファイルへのアクセスを拒否する（ステップＳ２７）。
【００３９】
事前申請・承認がある場合（ステップＳ２４のＹＥＳ）、ファイルアクセス者のユーザＩＤ、アクセス希望日、暗号化キーでファイルアクセス者の本人性を確認する（ステップＳ２５）。ユーザＩＤ、アクセス希望日、暗号化キーを元にしたアクセスキーを用いて本人性を確認することで、アクセスキーを不正に入手したユーザからのアクセスを拒否する。
【００４０】
本人性が確認できない場合は（ステップＳ２５のＮＯ）、対象ファイルへのアクセスを拒否する（ステップＳ２７）。
【００４１】
本人性が確認できた場合は（ステップＳ２５のＹＥＳ）、対象ファイルを復号する（ステップＳ２６）。
【００４２】
続いて、ファイルへのアクセスの事前承認処理について説明する。
【００４３】
図９は、ファイルへのアクセスの事前承認処理の流れを示すフローチャートである。
【００４４】
事前承認処理部１４は、ファイルアクセス者からファイルへのアクセス申請を受信すると（ステップＳ３１）、対象ファイルのスコアから情報管理レベルを求めるとともに（ステップＳ３２）、求めた情報管理レベルと対象ファイルに付与された情報区分に基づいて承認者を特定し（ステップＳ３３）、承認者に承認依頼を通知する（ステップＳ３４）。アクセス申請には、ファイルアクセス者のユーザＩＤ、アクセスグループＩＤ、アクセス対象のアクセスファイル名、アクセス希望日が含まれる。事前承認処理部１４は、受信したアクセス申請に基づいて承認者情報を作成し、承認者情報蓄積部２５に格納する。図１０に、承認者情報の例を示す。
【００４５】
事前承認処理部１４は、承認者から承認が得られたか否かを判定する（ステップＳ３５）。
【００４６】
承認者から否認された場合およびアクセス希望日までに全ての承認者から承認が得られなかった場合は（ステップＳ３５のＮＯ）、否認結果を承認者情報蓄積部２５に書き込む（ステップＳ３９）。
【００４７】
承認者から承認が得られた場合（ステップＳ３５のＹＥＳ）、得られた承認結果を承認者情報蓄積部２５に書き込む（ステップＳ３６）。
【００４８】
承認者全員から承認が得られたか否か判定し（ステップＳ３７）、まだ全員から承認が得られていない場合は（ステップＳ３７のＮＯ）、ステップＳ３５に戻り承認結果を待つ。
【００４９】
全員から承認が得られた場合（ステップＳ３７のＹＥＳ）、ユーザＩＤ、アクセス日、暗号化キーを元にしたアクセスキーを生成し、ファイルアクセス者に払い出す（ステップＳ３８）。また、アクセス制御情報生成部１３は、承認者情報を取得してアクセスリストを生成し、アクセスリストファイル２４に格納する。図１１にアクセスリストの例を示す。アクセスリストには、承認者情報の他にアクセスキーの情報を保持する。アクセス制御部１２は、ファイルにアクセスするファイルアクセス者が合議が必要なアクセス可能対象者であった場合に、アクセスリストを参照して、承認が得られたこと及びファイルアクセス者の本人性を確認する。
【００５０】
以上説明したように、本実施の形態によれば、ファイルサーバ２１に格納されたファイルのスコアから情報管理レベルを求め、求めた情報管理レベルとファイルに付与された情報区分から無条件のアクセス可能対象者を特定し、ファイルアクセス者が無条件のアクセス可能対象者である場合はファイルへのアクセスを許可し、さらにスコア更新部１５が、ファイルがファイルサーバ２１に格納されてからの時間の経過に応じてアクセスがより制限されるようにファイルのスコアを減らすことにより、時間が経過して価値が低くなった情報へのアクセスが制限され、放置されてしまって管理不十分な情報からの情報漏洩リスクの低減を図ることができる。
【００５１】
本実施の形態によれば、ファイルアクセス者が無条件のアクセス可能対象者に該当しない場合であっても、ファイルの情報管理レベルと情報区分で決まる承認者から事前に承認を得ることで、限定的にファイルにアクセスすることが可能となる。
【符号の説明】
【００５２】
１１…ファイル格納部
１２…アクセス制御部
１３…アクセス制御情報生成部
１４…事前承認処理部
１５…スコア更新部
２１…ファイルサーバ
２２…ファイル一覧情報蓄積部
２３…設定情報蓄積部
２４…アクセスリストファイル
２５…承認者情報蓄積部
【図１】
2016038618.tif 000003
【図２】
2016038618.tif 000004
【図３】
2016038618.tif 000005
【図４】
2016038618.tif 000006
【図５】
2016038618.tif 000007
【図６】
2016038618.tif 000008
【図７】
2016038618.tif 000009
【図８】
2016038618.tif 000010
【図９】
2016038618.tif 000011
【図１０】
2016038618.tif 000012
【図１１】
2016038618.tif 000013