(57)【要約】【課題】  複数のサービス及び複数の認証レベルを含むコンピュータ・システムへのユーザ・アクセスを提供するための、よりロバストな方法を提供すること。【解決手段】  複数のサービス（１０）及び複数の認証レベル（２０）を含むコンピュータ・システム（４００）へのユーザ・アクセスを提供するための方法であって、コンピュータ・システム上で認証されたユーザのリスク・プロファイルを動的に監視すること（２１２、２１４）と、監視されたリスク・プロファイルに基づいてサービスの各々に関する認証レベルを動的に選択すること（２１６）と、認証されたユーザがサービスへのアクセスを要求したとき、サービスに関する認証レベルがユーザに関する実際の認証レベルよりも高い場合、ユーザに対して、動的に選択された認証レベルに対応する認証情報を該ユーザが提供するよう要求する更なる認証要求を送ること（２２４）と、を含む、方法が開示される。【選択図】      図１
2016508633.tif 000002
【特許請求の範囲】
【請求項１】
複数（１０）のサービス（Ｓ１、Ｓ２、Ｓ３、Ｓ４）及び複数（２０）の認証レベル（Ｎｏ  Ａ、Ａ１、Ａ２、Ａ３、Ａ４、Ａ５）を含むコンピュータ・システム（４００）へのユーザ・アクセスを提供する方法であって、
前記コンピュータ・システム上で認証されたユーザのリスク・プロファイルを動的に監視すること（２１２、２１４）と、
前記監視されたリスク・プロファイルに基づいて、前記サービスの各々に関する認証レベルを動的に選択すること（２１６）と、
前記認証されたユーザが前記サービスへのアクセスを要求したとき、サービスに関する前記認証レベルが前記ユーザに関する実際の認証レベルよりも高い場合、前記ユーザに対して、少なくとも前記動的に選択された認証レベルに対応する認証情報を該ユーザが提供するよう要求する更なる認証要求を送ること（２２４）と、
を含む、方法。
【請求項２】
前記コンピュータ・システム（４００）上で、
前記ユーザから前記更なる認証情報を受け取ること（２２６）と、
前記更なる認証情報を検証すること（２２８）と、
前記更なる認証情報の検証結果が肯定であるとき、前記要求されたサービス（Ｓ１、Ｓ２、Ｓ３、Ｓ４）への前記ユーザ・アクセスを提供すること（２３２）と、
をさらに含む、請求項１に記載の方法。
【請求項３】
前記コンピュータ・システム（４００）上でユーザから前記コンピュータ・システム上のサービス（Ｓ１、Ｓ２、Ｓ３、Ｓ４）へのアクセスを求める要求を受け取ることと、
前記ユーザの初期リスク・プロファイルを判定すること（２１４）と、
前記初期リスク・プロファイルに基づいて初期認証レベル（Ｎｏ  Ａ、Ａ１、Ａ２、Ａ３、Ａ４、Ａ５）を選択すること（２１６）と、
前記ユーザに対して、前記動的に選択された初期認証レベルに対応する認証情報を該ユーザが提供するよう要求する初期認証要求を送ることと、
をさらに含む、請求項１又は請求項２に記載の方法。
【請求項４】
前記コンピュータ・システム（４００）上で、
前記ユーザから前記初期認証情報を受け取ることと、
前記初期認証情報を検証することと、
前記初期認証情報の検証結果が肯定であるとき、前記コンピュータ・システムへの前記ユーザ・アクセスを提供することと、
をさらに含む、請求項３に記載の方法。
【請求項５】
ユーザのリスク・プロファイルを動的に監視する前記ステップ（２１４）は、バイオメトリック・データ、位置データ、環境データ及びユーザ機器監視データのうちの少なくとも１つから選択されるユーザ関連データを収集すること（２１２）を含む、請求項１乃至請求項４のいずれかに記載の方法。
【請求項６】
前記リスク・プロファイルが複数のリスク・レベルを含み、前記方法が、前記監視されたリスク・プロファイルが第１のリスク・レベルから第２のリスク・レベルに移行したときに通知信号を生成することをさらに含む、請求項１乃至請求項５のいずれかに記載の方法。
【請求項７】
前記ユーザが正しくない認証情報を提供したときに該ユーザの前記リスク・プロファイルを調整することをさらに含む、請求項１乃至請求項６のいずれかに記載の方法。
【請求項８】
前記サービスが金融サービスである、請求項１乃至請求項７のいずれかに記載の方法。
【請求項９】
コンピュータの少なくとも１つのプロセッサ上で実行されたときに、請求項１乃至請求項８のいずれかに記載の方法のステップを前記コンピュータに実施させるコンピュータ可読プログラム・コードを含む、コンピュータ・プログラム。
【請求項１０】
コンピュータ・システム（４００）であって、
前記コンピュータ・システム上で認証されたユーザのリスク・プロファイルを動的に監視するように構成されたリスク・プロファイル・モニタ（４０２）と、
前記監視されたリスク・プロファイルに基づいて、サービス（Ｓ１、Ｓ２、Ｓ３、Ｓ４）に関する認証レベル（Ｎｏ  Ａ、Ａ１、Ａ２、Ａ３、Ａ４、Ａ５）を動的に選択し、
前記ユーザが前記サービスへのアクセスを要求したとき、前記動的に選択された認証レベルと該ユーザの実際の認証レベルとを比較し、
前記動的に選択された認証レベルが前記ユーザに関する前記実際の認証レベルよりも高い場合、前記ユーザに対して、前記動的に選択された認証レベルに対応する認証情報を該ユーザが提供するよう要求する更なる認証要求を送る、
ように構成された、
認証モジュール（４０４）と、
を含む、コンピュータ・システム（４００）。
【請求項１１】
バイオメトリック・データ、位置データ、環境データ及びユーザ機器監視データのうちの少なくとも１つから選択されるユーザ関連データを監視するように構成された環境モニタ（４０６）をさらに含み、前記リスク・モニタ（４０２）は、前記ユーザ関連データを用いて前記リスク・プロファイルを動的に監視するように構成される、請求項１０に記載のコンピュータ・システム（４００）。
【請求項１２】
前記認証モジュール（４０４）は、前記コンピュータ・システム上で前記ユーザから前記コンピュータ・システムへのアクセスを求める要求を受け取ることに応答して、該ユーザに関する初期認証レベルを選択するようにさらに構成され、前記初期認証レベルは、該ユーザの初期リスク・プロファイルに基づいて選択され、
前記リスク・プロファイル・モニタ（４０２）は、前記初期リスク・プロファイルを判定するようにさらに構成される、
請求項１０又は請求項１１に記載のコンピュータ・システム（４００）。
【請求項１３】
前記リスク・プロファイルが複数のリスク・レベルを含み、前記リスク・プロファイル・モニタ（４０２）が、前記監視されたリスク・プロファイルが第１のリスク・レベルから第２のリスク・レベルに移行したときに前記認証モジュール（４０４）に信号を送信するように構成される、請求項１０乃至請求項１２のいずれかに記載のコンピュータ・システム（４００）。
【請求項１４】
前記コンピュータ・システムが少なくとも１つのプロセッサ（４１０）を含み、前記認証モジュール（４０４）及び前記リスク・プロファイル・モニタ（４０２）のうちの少なくとも一方が前記少なくとも１つのプロセッサ上で実装される、請求項１０乃至請求項１３のいずれかに記載のコンピュータ・システム（４００）。
【請求項１５】
前記コンピュータ・システムへのアクセスを要求するためのユーザ・インターフェース（４３０）をさらに含む、請求項１０乃至請求項１４のいずれかに記載のコンピュータ・システム（４００）。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、複数のサービス及び複数の認証レベルを含むコンピュータ・システムへのユーザ・アクセスを提供するための方法に関する。
【背景技術】
【０００２】
本発明は、さらに、コンピュータ上で実行されたときにこのような方法のステップを実装するためのコンピュータ可読プログラム・コードを含む、コンピュータ・プログラム製品に関する。
【０００３】
本発明は、さらに、このような方法を実装するコンピュータ・システムに関する。
【０００４】
認可されたユーザに多数のサービスを提供するネットワーク化されたコンピュータ・システムは、当たり前になっている。実際、社会は、多くの日常業務がこのようなネットワーク上で行われる電子化された生活様式にシフトしつつある。このパラダイムのシフトがもたらす望ましくない結果は、電子領域における犯罪活動もまた発展していることである。なりすましを含むサイバー犯罪は深刻な問題であり、その結果、例えば犯罪者がこうしたネットワーク上で別人になりすましていることにより、年間数十億ドルもの損失が出ている。これは特に、ユーザのクレジットカードの詳細がユーザ・プロファイルの下に格納された、金融サービス、例えばオンライン・バンキング、並びに、Ａｍａｚｏｎなどのオンライン・ショッピングに関連する。他の関連した例は、当業者には明らかである。
【０００５】
このような悪意ある行動に対抗するために、このようなコンピュータ・システムのユーザは、典型的には、コンピュータ・システムへのアクセスを得るために、例えばユーザ名とパスワードを提供することにより、認証プロセスを通過しなければならない。このことにより、身元詐称、即ち詐称者がユーザのアカウントへのアクセスを得ることのリスクが低減されるとはいえ、こうした認証ではそのような身元詐称を完全に防ぐには十分とはいえない。例えば、電子商取引をスマートフォン及びタブレットなどのモバイル機器上で行うことが増える傾向にある。このような機器の所有者が、認証が必要なサービスの利用中に機器の盗難に遭うと、窃盗犯は、認証プロセスによって保護されていないこのサービスへのアクセスを直ちに手に入れることになる。ユーザがまだ認証されていない場合ですら、モバイル機器は、認証データの少なくとも一部をオートコンプリート機能で記憶していることがあり、これは、犯罪者が目的のサービスにアクセスすることを助けることになり得る。同じ問題は、ユーザが犯罪者によって目的のサービスへのアクセスを強いられる場合、又は、ユーザがインターネット・カフェ内のコンピュータのような公衆アクセス機器を通じてサービスにアクセスし、コンピュータを離れる前にセッションを正しく終了しなかった場合にも起こり得る。
【０００６】
この問題の一部は、重要なサービスに関して複数の認証レイヤを用いることで対処することができるが、これにより、エンド・ユーザは典型的には幾つかの複雑なパスワードを記憶しなければならず、その結果、しばしば認証の詳細を忘れてしまうことになってエンド・ユーザを苛立たせるため、エンド・ユーザとの軋轢を生じさせる可能性があり、また、サービス提供者にとっても、エンド・ユーザが要求するサービスへのアクセスを再度取得することを支援することができるコール・センタ及びヘルプ・デスクを設けるという点で費用が増大する。
【０００７】
ユーザが「新たな」ＩＰアドレスからインターネット接続上でサービスにアクセスしようと試みた場合にユーザからの付加的認証を要求することは、公知である。このことは、例えば特許文献１に開示されている。しかしながら、この手法は、一旦機器が信頼されると、信頼された機器を使用するなりすましに対抗するユーザに対する付加的な保護が存在しないので、上記の問題を解決しない。
【０００８】
特許文献２は、ユーザからの認証要求を受け取ることと、総計リスクスコアを受け取ることと、少なくとも総計リスクスコアに基づいて認証機構を選択することと、該認証機構を適用してユーザからの認証要求を決定することとを含む、電子文書へのアクセスを認証するための方法を開示する。このプロセスを周期的に繰り返して、意図されたユーザ以外の何者かによる電子文書へのアクセスを防止することができる。これは、例えば、意図されるユーザが要求文書へのアクセスを得たが、開始したセッションを正しく終了することを忘れた機器上での、第三者による電子文書への無認可アクセスを防止する。これは、電子文書のようなサービスへの悪意あるアクセスのリスクを著しく低減するが、一旦ユーザが認証されると、そのユーザは、認証されたユーザが認可される全てのサービスへの完全なアクセスを得るという問題が残る。
【先行技術文献】
【特許文献】
【０００９】
【特許文献１】米国特許第７，９０８，６４４Ｂ２号明細書
【特許文献２】米国特許出願公開第２０１１／０３１４５５８Ａ１号
【発明の概要】
【発明が解決しようとする課題】
【００１０】
本発明は、複数のサービス及び複数の認証レベルを含むコンピュータ・システムへのユーザ・アクセスを提供するための、よりロバストな方法を提供しようとするものである。
【００１１】
本発明は、さらに、コンピュータ上で実行されたときにこのような方法のステップを実装するためのコンピュータ可読プログラム・コードを含む、コンピュータ・プログラム製品を提供しようとするものである。
【００１２】
本発明は、さらに、このような方法を実装したコンピュータ・システムを提供しようとするものである。
【課題を解決するための手段】
【００１３】
本発明の一態様によれば、複数のサービス及び複数の認証レベルを含むコンピュータ・システムへのユーザ・アクセスを提供するための方法が提供され、この方法は、コンピュータ・システム上で認証されたユーザのリスク・プロファイルを動的に監視することと、監視されたリスク・プロファイルに基づいて、要求されたサービスに関する認証レベルを動的に選択することと、認証されたユーザがサービスへのアクセスを要求したとき、その認証レベルがユーザに関する実際の認証レベルよりも高い場合、ユーザに対して、少なくとも動的に選択された認証レベルに対応する認証情報を該ユーザが提供するよう要求する更なる認証要求を送ることと、を含む。
【００１４】
本発明において、（ネットワーク化された）コンピュータ・システム上で利用可能なサービスへのアクセスは、ユーザの監視されたリスク・プロファイルに基づいて動的に割り当てられた認証レベルを用いることによって取得される。随意に、認証レベルは、監視されたリスク・プロファイルと、要求されたサービスの固有の認可レベルとの組み合わせに基づいて割り当てられる。その結果として、ユーザ・セッション中に監視されたリスク・プロファイルに変化があれば、そのサービスに関して必要とされる認証レベルがそれに従って変更される。従って、ユーザは、（付加的）認証プロトコルを成功裡にパスするとユーザ自身の認可プロファイル内の全てのサービスへの完全なアクセスを得るのではなく、むしろ、ユーザ自身の監視されるリスク・プロファイルが変化したときに、リスク・プロファイルの変化に応答してサービスに関する必要とされる認証レベルを変更することによって、ユーザの認可プロファイルが動的に構成される。これは、認証方法がなりすましに対してよりロバストになるという点で有利である。
【００１５】
一実施形態において、ユーザに更なる認証要求を送るステップは、ユーザに対して、各々の選択肢が動的に選択された認証レベルに少なくとも一致する複数の認証選択肢を含む認証選択メニューを提供することを含む。このことは、適切な認証レベルと一致するか又はそれを超える認証方法のみがユーザに提供されるので、ユーザがセキュリティを危うくすることなく自分が好む認証方法を選択することができるという利点を有する。
【００１６】
この方法は、典型的には、要求されたサービスへのアクセスを真正ユーザに提供するために、ユーザから更なる認証情報を受け取るステップと、更なる認証情報を検証するステップと、更なる認証情報の検証結果が肯定であるとき、要求されたサービスへのユーザ・アクセスを提供するステップとをさらに含む。
【００１７】
一実施形態において、この方法は、ユーザから正しくない更なる認証情報を受け取ったとき、ユーザのリスク・レベルを調整することをさらに含む。このことがシステムをなりすましからさらに保護するが、それは、失敗に終わった認証試行がユーザの信頼レベルを引き下げることになり、必要とされる認証レベルを引き上げさせることができ、これにより不正ユーザが要求されたサービスへのアクセスを得ることがより困難になるためである。
【００１８】
一実施形態において、この方法は、コンピュータ・システム上でユーザからコンピュータ・システム上のサービスへのアクセスを求める要求を受け取ることと、ユーザの初期リスク・プロファイルを判定することと、初期リスク・プロファイルに基づいて初期認証レベルを選択することと、ユーザに対して、動的に選択された初期認証レベルに対応する認証情報を該ユーザが提供するよう要求する初期認証要求を送ること、とをさらに含む。この実施形態では、初期認証レベルもまたユーザのリスク・プロファイルに基づいて動的に設定され、このことが、なりすましに対する本方法のロバスト性をさらに改善する。しかしながら、このステップは、ユーザの身元の信頼性が十分に高い場合には省くことができ、その場合には認証情報を求める要求も完全に省くことができる。
【００１９】
この実施形態は、ユーザから初期認証情報を受け取るステップと、初期認証情報を検証するステップと、初期認証情報の検証結果が肯定であるとき、サービスへのユーザ・アクセスを提供して、真正ユーザにコンピュータ・システムへのアクセスを提供するステップと、をさらに含むことができる。
【００２０】
ユーザのリスク・プロファイルを動的に監視するステップは、バイオメトリック・データ、位置データ、環境データ及びユーザ機器監視データのうちの少なくとも１つから選択されるユーザ関連データを収集することを含むことができることが有利である。
【００２１】
ユーザのリスク・プロファイルは、複数のリスク・レベルを含むことができ、その場合、方法は、監視されたリスク・プロファイルが第１のリスク・レベルから第２のリスク・レベルに移行したときに通知信号を生成することをさらに含むことができる。このことは、ユーザのリスク・プロファイルの小さい変化が検出される度に、サービスに関して最小限必要な認証レベルを絶えず変更しなければならないという事態を回避する。
【００２２】
この方法は、コンピュータ・システム上でユーザを識別する認証の成功に続いてユーザに識別トークンを生成するステップをさらに含むことができる。
【００２３】
本発明の別の態様によれば、コンピュータの少なくとも１つのプロセッサ上で実行されたときに、本発明の１つ又は複数の実施形態による方法のステップをコンピュータに実装させるコンピュータ可読プログラム・コードを有するコンピュータ可読ストレージ媒体を含む、コンピュータ・プログラム製品が提供される。
【００２４】
本発明のさらに別の態様によれば、コンピュータ・システム上で認証されたユーザのリスク・プロファイルを動的に監視するように構成されたリスク・プロファイル・モニタと、監視されたリスク・プロファイルに基づいて、サービスに関する認証レベルを動的に選択し、ユーザにより要求されたサービスの動的に選択された認証レベルとユーザの実際の認証レベルとを比較し、動的に選択された認証レベルがユーザに関する実際の認証レベルより高い場合、ユーザに対して、動的に選択された認証レベルに対応する認証情報を該ユーザが提供するよう要求する更なる認証要求を送るように構成された認証モジュールと、を含むコンピュータ・システムが提供される。それゆえ、このコンピュータ・システムは、少なくとも上記で説明した理由に関して、なりすましに対するよりロバストな保護を提供する。
【００２５】
このシステムは、バイオメトリック・データ、位置データ、環境データ及びユーザ機器監視データのうちの少なくとも１つから選択されたユーザ関連データを監視するように構成された環境モニタをさらに含むことができ、リスク・モニタは、ユーザ関連データを用いてリスク・プロファイルを動的に監視するように構成される。
【００２６】
認証モジュールは、コンピュータ・システム上でユーザからコンピュータ・システムへのアクセスを求める要求を受け取ることに応答して、ユーザに関する初期認証レベルを選択するようにさらに構成することができ、この初期認証レベルは、ユーザの初期リスク・プロファイルに基づいて選択され、リスク・プロファイル・モニタは、初期リスク・プロファイルを判定するようにさらに構成することができ、例えばなりすましに対する、コンピュータ・システムの向上したロバスト性を初期認証プロセスにまで拡張する。
【００２７】
好ましくは、リスク・プロファイルは、複数のリスク・レベルを含み、リスク・プロファイル・モニタは、監視されたリスク・プロファイルが第１のリスク・レベルから第２のリスク・レベルに移行したときに認証モジュールに信号を送信するように構成され、コンピュータ・システムによって提供されるサービスに関して必要とされる認証レベルの変更の頻度を低減する。
【００２８】
一実施形態において、コンピュータ・システムは、少なくとも１つのプロセッサを含み、認証モジュール及びリスク・プロファイル・モニタのうちの少なくとも一方が、少なくとも１つのプロセッサ上で実装される。
【００２９】
コンピュータ・システムは、コンピュータ・システムへのアクセスを要求するための、現金自動預け払い機（ＡＴＭ）のようなユーザ・インターフェースをさらに含むことができる。
【００３０】
これより本発明の好ましい実施形態を例示のみを目的として添付の図面を参照して説明する。
【図面の簡単な説明】
【００３１】
【図１】本発明の一実施形態による方法の態様を概略的に示す。
【図２】図３と一緒に、本発明による方法の一実施形態のフローチャートを示す。
【図３】図２と一緒に、本発明による方法の一実施形態のフローチャートを示す。
【図４】本発明による方法の代替的な実施形態の態様のフローチャートを示す。
【図５】本発明の一実施形態によるコンピュータ・システムを概略的に示す。
【発明を実施するための形態】
【００３２】
添付の図面は単なる略図であり、縮尺通りに描かれていないことを理解されたい。同一の参照符号は、図面全体を通じて同一又は類似の部分を示すために用いられることもまた理解されたい。
【００３３】
本出願の文脈において、本発明の実施形態が方法を構成している場合、そのような方法は、コンピュータによる実行のためのプロセスであり、即ち、コンピュータより実装可能な方法であることを理解すべきである。従って、方法の種々のステップは、コンピュータ・プログラムの種々の部分、例えば、１つ又は複数のアルゴリズムの種々の部分を反映する。
【００３４】
本発明の方法の種々の実施形態は、コンピュータ可読ストレージ媒体を含むコンピュータ・プログラム製品上にコンピュータ実行可能プログラム・コードとして格納することができる。コンピュータ可読ストレージ媒体は、媒体からデジタル・データを取り出すためにコンピュータによってアクセスすることができる、￥任意の媒体とすることができる。コンピュータ可読ストレージ媒体の非限定的な例として、ＣＤ、ＤＶＤ、フラッシュ・メモリ・カード、ＵＳＢメモリ・スティック、ランダム・アクセス・メモリ、読み出し専用メモリ、コンピュータ・ハード・ディスク、ストレージ・エリア・ネットワーク、ネットワーク・サーバ、インターネット・サーバ等が挙げられる。
【００３５】
本出願の文脈において、（コンピュータ）システムは、本発明の方法の１つ又は複数の実施形態を実行するように構成された、単一の装置、又は分散された装置の集まりとすることができる。例えば、システムは、パーソナル・コンピュータ（ＰＣ）、サーバ、又は、本発明の方法の少なくとも１つの実施形態を協働して実行するためにローカル・エリア・ネットワーク、インターネット等のようなネットワークを介して接続された、ＰＣ及び／又はサーバの集まりとすることができる。
【００３６】
図１は、本発明の概念を概略的に示す。コンピュータ・システムは、ある種の金融取引を容易にするシステムのような、サービスＳ１−Ｓ４のグループ１０を提供する。非限定的な例として、Ｓ１−Ｓ４は、表１に示されるようなサービスとすることができるが、その他のタイプの多くのサービスも、もちろん同様に実現可能であることを理解されたい。このようなサービスは、典型的には異なる認可レベルに関連付けられており、即ち、より重要なサービスにはより高レベルの認可が必要とされる。
【表１】
2016508633.tif 000003
【００３７】
表１では、Ｓ１−Ｓ４は単一サービスとして示されているが、Ｓ１−Ｓ４は、クラス毎に複数のサービスを有する複数サービスのクラスとすることも同様に実現可能である。図１において、サービス（のクラス）Ｓ１−Ｓ４の各々が、段階的（ｔｉｅｒｅｄ）認証構造２０からの認証方法に割り当てられる。例えば、各サービスＳ１−Ｓ４は、ゼロ又はそれ以上の認証方法に動的にマッピングされる認可レベルに割り当てられる。この構造２０は、非限定的な例として、表２に示されるような認証方法を含む。
【表２】
2016508633.tif 000004
【００３８】
種々の認証方法の定義は、非限定的な例示のみを目的としたものであり、任意の適切な数及びタイプの認証方法を段階的認証構造２０に含めることができることを再度強調しておく。
【００３９】
サービス・グループ１０内の各サービス又はサービス・クラスＳ１−Ｓ４は、マッピング関数３０によって、段階的認証構造２０からの認証方法に割り当てられ、このマッピング関数自体は、コンピュータ・システムのユーザのリスク・プロファイルの関数である。別の言い方をすれば、マッピング関数３０は、ユーザの身元の信頼性又は信用のレベルに基づいて選択される。このリスク・プロファイルは、より詳細に後述するように、コンピュータ・システム上で既に認証されたユーザに関するいわゆる環境パラメータの監視から計算することができる。これらの環境パラメータの変化によって、認証されたユーザのリスク・プロファイルの変化４０が生じると、コンピュータ・システムは、マッピング関数３０をマッピング関数３０’に変更し、その結果、ユーザがサービスＳ１−Ｓ４の１つ（又はサービス・クラスＳ１−Ｓ４内のサービス）にアクセスするのに異なるレベルの認証が必要とされることになる。
【００４０】
そのため例えば、ユーザに関するリスク・プロファイルが高くなると、即ちこのユーザに関する信頼レベルが低下すると、図１に示すように、サービスに関して必要とされる認証レベルを引き上げることができる。表３は、異なるリスク・プロファイルに関するマッピング関数３０、３０’の非限定的な例を示す。
【表３】
2016508633.tif 000005
【００４１】
表３には、低リスク・プロファイル、中間リスク・プロファイル及び高リスク・プロファイルに関する３つのマッピング関数が非限定的な例として示される。任意の適切な粒度のリスク・プロファイルに関して、任意の適切な数のマッピング関数を適用することができることを理解されたい。表３の非限定的な例において、低リスク・プロファイルを有するユーザ、即ち、その身元の信頼レベルが高いユーザは、（付加的）認証を必要とすることなくサービスＳ１又はサービス・クラスＳ１内のサービスにアクセスすることができる。対照的に、高リスク・プロファイルを有するユーザ、即ち、その身元の信頼レベルが低いユーザは、認証方法Ａ３又はそれを超える認証方法を成功裡に完了した場合にのみサービスＳ１又はサービス・クラスＳ１内のサービスにアクセスすることができ、サービス・レベルＳ４へのアクセスは全く許可されないものとすることができる。適用可能なリスク・プロファイルに関するマッピング関数の選択又は定義は設計上の選択であり、本発明の教示から逸脱することなく任意の適切なマッピング関数を定義することができるようになっていることが理解されるであろう。
【００４２】
上記の原理は、これからコンピュータ・システムへのアクセスを得ようと試みるユーザに対しても適用することができるが、これらの原理が特に有利に適用されるのは、一旦ユーザが初期認証方法をパスすることによってコンピュータ・システムへのアクセスを得るのに成功してからであり、そのユーザに関して初回ログイン時に評価された信頼レベル又はリスク・プロファイルがユーザ・セッション中に動的に監視されるようになっており、従って、最初は信頼されたユーザがユーザ・セッション中に身元を変えることによる有害な結果が少なくともある程度まで打ち消されることを、繰返し述べておく。その結果として、ユーザにより提供された初期認証レベルが特定のサービスにアクセスするには不十分になった場合、コンピュータ・システムは、ユーザに対して、ユーザの実際のリスク・プロファイルに対応するマッピング関数に基づいて、要求されたサービスに関して少なくとも妥当なレベルの認証を提供するよう要求することができる。
【００４３】
図２及び図３を組み合わせて、本発明の動的な認証方法の実施形態を示す。この方法における方法ステップの順序は、選択された方法の実装に依存するものであり、表示したステップの順序は非限定的な例示のみを目的としており、本発明の教示から逸脱することなく、これらのステップの任意の適切な順序を用いることができることを理解されたい。
【００４４】
方法は、ステップ２０２において、ユーザを認証し、初期認証方法が成功裡に完了した後、ユーザにコンピュータ・システムへのアクセスを許可することにより開始する。明確にするために記載しておくが、初期認証は、妥当なリスク・プロファイルに関するポリシーにおいてそれが認められるならば、単にユーザにコンピュータ・システム（又は要求されたサービス）へのアクセスを許可すること、例えばユーザに識別情報の詳細の提供を要求することのみ、とすることができる。このアクセスは、任意の適切な手法で、例えばこの成功裡の完了後にシステム上でユーザのための識別トークンを生成することにより、許可することができる。方法は、次にステップ２１２に進み、そこでユーザの環境因子又はパラメータが監視されるが、その目的は、ステップ２１４においてこれらの監視された環境因子からユーザのリスク・プロファイルを計算するためである。このようなリスク・プロファイルの計算に用いることができる任意の適切な環境因子を監視することができる。適切な環境因子の非限定的な例として、ユーザ機器からの位置情報、例えばＧＰＳ位置情報、ユーザ機器のＩＰアドレス情報、ユーザ機器のタイプ（例えば、携帯電話上でサービスへのアクセスを要求しているユーザは高リスク・プロファイルを有すると考えることがでるのに対し、ＡＴＭにおいて同じサービスへのアクセスを要求しているユーザは低リスク・プロファイルを有すると考えることができる）、ユーザ機器上でのユーザの挙動、例えば定義済みのキー・ストロークのセット、ユーザに関するバイオメトリック・データ、ユーザ機器のカメラから取得された背景情報などが挙げられる。このような環境因子の収集はそれ自体が公知であるので、このデータをステップ２１２において任意の適切な方式で収集することができると述べるだけで足りる。
【００４５】
次に方法はステップ２１４に進み、収集された環境因子を用いてユーザに関するリスク・プロファイルを計算する。任意の適切なアルゴリズムをこの目的で用いることができる。例えば、収集された環境因子に基づいて、ユーザに、０が最も低いリスクを示し、１００が最も高いリスクを示す０から１００のリスクスコアを割り当てることができ、これは例えば、個々の環境因子にリスクスコアを割り当て、これらの個々のリスクスコアを組み合わせてユーザに関するリスク・プロファイルを得るか、又は他のいずれかの適切な手法で行うことができる。ユーザに関するリスク・プロファイルの計算は、例えば特許文献２から明らかであるようにそれ自体が公知であり、従って、監視された環境因子からリスク・プロファイルを得るために任意の適切な計算方法を用いることができると述べるだけで足りることに留意されたい。
【００４６】
ステップ２１４においてユーザのリスク・プロファイルを計算すると、方法はステップ２１６に進み、サービス（又はサービス・クラス）Ｓ１−Ｓ４に関する認証レベル２０が、コンピュータ・システムのユーザに関して計算されたリスク・プロファイルに従って設定される。このプロセスは、ステップ２１８でチェックされるようにユーザがユーザ・セッションを終了するまで（この場合、方法はステップ２０４で終了する）、又は、ステップ２２０でチェックされるようにユーザがサービスＳ１−Ｓ４のうちの１つ（あるいはサービス・クラスＳ１−Ｓ４のうちの１つの中のサービス）へのアクセスを要求するまで（この場合、方法は、本発明の方法におけるポリシー執行ポイントを定めるステップ２２２に進む）繰り返され、ユーザのリスク・プロファイル、及び関連付けられた利用可能なサービスに対する認証方法のマッピングが最新状態に保たれるよう保証する。
【００４７】
詳細には、ユーザがコンピュータ・システムのサービスのうちの１つへのアクセスを要求すると、ステップ２２２において、ステップ２０２でユーザがコンピュータ・システムへのアクセスを得ることを許したユーザの初期認証レベルが、ユーザに付加的な認証の提供を求めることを要さずに要求されたサービスへのユーザ・アクセスを許すのに十分であるか否かチェックされる。この目的で、ステップ２１４で計算された実際のユーザのリスク・プロファイルに従ってステップ２１６においてこのサービスに関して設定された実際の認証レベルと、ステップ２０２においてユーザにより最初に提供された認証レベルとが比較される。初期認証レベルが十分である場合、方法は直接ステップ２３２に進み、そこでユーザは要求したサービスへのアクセスが許可される。初期認証レベルが不十分であった、又は、セッション中にユーザのリスク・プロファイルが変更された、のいずれかの理由で、初期認証レベルが要求されたサービスへのユーザの直接アクセスを許すには不十分であることが判明した場合、方法はステップ２２４に進み、そこでコンピュータ・システムは、要求されたサービスに関してステップ２１６で設定された認証レベルが必要とする付加的な認証情報を提供するようユーザに促す。
【００４８】
ユーザに対して、認証レベルが必要とする１つ又は複数のタイプの情報を提供するよう要求することができ、ユーザは、要求したサービスへのアクセスを得るために、付加的な情報、例えばより高い認証レベルに適した情報を自発的に提供することができる。例えば、ユーザに対して、各々の選択肢が動的に選択された認証レベルに少なくとも一致する、複数の認証選択肢を含む認証選択メニューを提供することができる。これは、適切な認証レベルと一致する又はそれを超える認証方法のみがユーザに提供されるので、ユーザがセキュリティを危うくすることなく自分の好む認証方法を選択することができるという利点を有する。
【００４９】
一実施形態において、ステップ２２２において、ユーザに対して、ステップ２０２で提供した初期認証レベルが十分であっても、ユーザのリスク・プロファイルがセッション中に初期リスク・プロファイルを超えて高くなった場合には、要求しているサービスにアクセスするために必要とされる認証情報を提供するように常に促すべきであると決定することができる。
【００５０】
ステップ２２６において、認証情報をユーザから受け取り、これに関して、ステップ２２８において、受け取った認証情報が正しいかどうかチェックする。正しい場合には、方法はステップ２３２に進み、そこでユーザは要求しているサービスへのアクセスを許可され、その後、方法はステップ２１２に戻り、ユーザのリスク・プロファイルの監視を続行する。受け取った認証情報が正しくない場合には、ユーザに対して、ステップ２３０で記号的に表されているように、正しい認証情報を提供するためのいくつかの付加的な機会を与えることができ、その場合、方法はステップ２２４に戻る。更なる再試行が許されない場合には、方法は、要求されたサービスへのアクセスをユーザに与えることなくステップ２１２に戻ることができ、又は代替的に、ユーザのセッションをステップ２０４において終了することができる。
【００５１】
一実施形態において、正しくない（又は正しい）認証情報の提供が、ユーザのリスク・プロファイルに否定的に（又は、肯定的に）作用するものとすることができる。この実施形態において、ステップ２２８における認証情報のチェックは、暗黙的にステップ２１２を含み、このような詳細の提供は、方法がユーザのリスク・プロファイルの再計算のためにステップ２１４に戻ることをトリガすることになり、これは、実際上、ユーザが、正しくない認証詳細を提供した場合には要求するサービスへのアクセスを得るためにはより高い認証レベルが必要とされるという事態に直面すること、又は、ユーザが正しい認証情報を提供するとその後のサービス要求に必要とされる認証レベルが引き下げられることを導くようにすることができる。
【００５２】
図２に示された実施形態に対する変形において、２０２の初期認証ステップにリスク評価を含めることが同様に実現可能である。本出願では明示的に示さないが、この実施形態では、ステップ２０２の初期認証に先立って、上述ように、監視されたユーザ環境因子２１２に基づいてステップ２１４においてユーザに関するリスク・プロファイルの計算を行い、それに続いてステップ２１６において、計算されたリスク・プロファイルに対して妥当と考えられる初期認証方法の選択を行うことができる。別の言い方をすれば、ステップ２０２において適用される初期認証方法は、ユーザの初期認証レベルを考慮することも、又は考慮しないものとすることもできる。
【００５３】
本発明の方法の別の代替的な実施形態を図４に示し、これは図２に示す方法の態様に対する変形を提供する。図４において、ステップ２０２、２１２及び２１４は、図２と同じものとすることができる。ステップ３１５において、ユーザのリスク・プロファイルが変化したかどうかチェックするのみならず、この変化がリスク・プロファイルのレベル変更をもたらしたかどうかが付加的にチェックされる。別の言い方をすれば、この実施形態において、リスク・プロファイル・スコアをリスク帯域、例えば、
０−２５      低リスク
２６−６５    中間リスク
６６−１００  高リスク
に類別することができる。
【００５４】
帯域の数及び帯域の境界は非限定的な例として選択されており、任意の適切な帯域境界を伴う任意の適切な数の帯域を選択することができることが理解されるであろう。
【００５５】
次に、ユーザのリスク・プロファイルの変化が１つのリスク・レベルから第２のリスク・レベルへの移行、例えば低リスクから中間リスクへの移行をもたらした場合にのみ、方法はステップ３１６に進み、その場合、コンピュータ・システムにより提供されるサービスに関するサービス認証レベルが実際のリスク・レベルに従って設定される。これは例えば、通知信号を生成して、ステップ３１６の実装を担当するモジュールにリスク・レベルの変更を通知することによって達成することができる。それ以外の場合、方法は、ステップ３１６を飛び越して、図２に示すようなステップ２１８に直接進み、その後、方法は、上記で図２及び図３を用いて論じたように進行する。
【００５６】
図５は、本発明の実施形態によるコンピュータ・システム４００を概略的に示す。コンピュータ・システム４００は、コンピュータ・システム４００上で認証されたユーザのリスク・プロファイルを動的に監視するように構成されたリスク・プロファイル・モニタ４０２と、監視されたリスク・プロファイルに基づいて、サービスに関する認証レベルを動的に選択するように構成された認証モジュール４０４とを含む。認証モジュール４０４は、ユーザがサービスへのアクセスを要求すると、動的に選択された認証レベルとユーザの実際の認証レベルとを比較するように、及び、動的に選択された認証レベルがユーザに関する実際の認証レベルより高い場合には、上述のように、ユーザに対して、動的に選択された認証レベルに対応する認証情報を提供するよう該ユーザに要求する更なる認証要求を送るように、さらに構成することができる。
【００５７】
コンピュータ・システム４００は、バイオメトリック・データ、位置データ、環境データ及びユーザ機器監視データのうちの少なくとも１つから選択されたユーザ関連データ、即ち環境因子を監視するように構成された環境モニタ４０６をさらに含むことができる。環境モニタ４０６は、典型的にはリスク・モニタ４０２と通信可能に接続され、リスク・モニタ４０２がユーザ関連データに基づいてユーザのリスク・プロファイルを動的に判定することを可能にするようになっており、リスク・モニタ４０２は、認証モジュール４０４と通信可能に接続され、認証モジュール４０４がリスク・モニタ４０２によって監視されたリスク・プロファイルに基づいて、例えば図４を用いてより詳細に説明したように認証モジュール４０４に対してユーザのリスク・レベルの変化を送信する通知信号を提供することによって、サービスに関する認証レベルを動的に選択することを可能にするようになっている。
【００５８】
リスク・モニタ４０２、認証モジュール４０４及び環境モニタ４０６は、ネットワーク４２０、例えば、有線又は無線のイーサネット又はインターネット接続、２Ｇ、３Ｇ、４Ｇ接続等を介して、及び／又は、コンピュータ・システム４００の内部バスのような専用接続４０８を介して、通信可能に結合することができる。
【００５９】
一実施形態において、コンピュータ・システムは、１つ又は複数のＡＴＭのような、ユーザ端末４３０をさらに含むことができ、これは、ネットワーク４２０を介して少なくとも認証モジュール４０４及び環境モニタ４０６に通信可能に接続することができる。
【００６０】
本発明の方法の実施形態の種々のステップは、コンピュータ・プログラム・コードの観点で定めることができ、そのコードは、コンピュータ可読媒体上に格納することができ、その結果、本発明の方法は、コンピュータ・システムの１つ又は複数のプロセッサにより、コンピュータ・プログラム・コードをコンピュータ可読媒体から取り出し、該コンピュータ・プログラム・コードを実行することによって、実施することができる。この実施形態において、モジュール４０２、４０４及び４０６は、プロセッサ・アーキテクチャ４１０上で実行されるコンピュータ・プログラム・コードによって実現することができ、このプロセッサ・アーキテクチャは、１つ又は複数のプロセッサと、コンピュータ・プログラム・コードを含むメモリ、ハード・ディスク、ＮＡＳ、ＳＡＮ、ネットワーク・サーバなどのデータ・ストレージとを含むことができる。
【００６１】
代替的に、コンピュータ・システムは、本発明の方法の少なくともいくつかのステップを実行するための１つ又は複数の専用ハードウェア・モジュール４０２、４０４及び４０６を有することができる。別の言い方をすれば、本発明の方法は、コンピュータ・システム上に、完全にソフトウェアとして、ソフトウェア／ハードウェア協調設計の形で、又は完全にハードウェア内に存在することができる。
【００６２】
本発明の特定の実施形態を本明細書において例証のために説明したが、多くの修正及び変更が当業者には明らかとなるであろう。従って、添付の特許請求の範囲は、本発明の真の範囲内に入るそのような全ての修正及び変更を包含することが意図される。
【符号の説明】
【００６３】
１０：サービス
２０：認証レベル
３０、３０’：マッピング関数
４００：コンピュータ・システム
４０２：リスク・プロファイル・モニタ
４０４：認証モジュール
４０６：環境モニタ
４０８：専用接続
４１０：プロセッサ・アーキテクチャ
４２０：ネットワーク
４３０：ユーザ端末
【図１】
2016508633.tif 000006
【図２】
2016508633.tif 000007
【図３】
2016508633.tif 000008
【図４】
2016508633.tif 000009
【図５】
2016508633.tif 000010
【手続補正書】
【提出日】平成27年8月6日(2015.8.6)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
複数のサービス及び複数の認証レベルを含むコンピュータ・システムへのユーザ・アクセスを提供する方法であって、
前記コンピュータ・システム上で認証されたユーザのリスク・プロファイルを動的に監視することと、
前記監視されたリスク・プロファイルに基づいて、前記サービスの各々に関する認証レベルを動的に選択することと、
前記認証されたユーザが前記サービスへのアクセスを要求したとき、サービスに関する前記認証レベルが前記ユーザに関する実際の認証レベルよりも高い場合、前記ユーザに対して、少なくとも前記動的に選択された認証レベルに対応する認証情報を該ユーザが提供するよう要求する更なる認証要求を送ることと、
を含む、方法。
【請求項２】
前記コンピュータ・システム上で、
前記ユーザから前記更なる認証情報を受け取ることと、
前記更なる認証情報を検証することと、
前記更なる認証情報の検証結果が肯定であるとき、前記要求されたサービスへの前記ユーザ・アクセスを提供することと、
をさらに含む、請求項１に記載の方法。
【請求項３】
前記コンピュータ・システム上でユーザから前記コンピュータ・システム上のサービスへのアクセスを求める要求を受け取ることと、
前記ユーザの初期リスク・プロファイルを判定することと、
前記初期リスク・プロファイルに基づいて初期認証レベルを選択することと、
前記ユーザに対して、前記動的に選択された初期認証レベルに対応する認証情報を該ユーザが提供するよう要求する初期認証要求を送ることと、
をさらに含む、請求項１又は請求項２に記載の方法。
【請求項４】
前記コンピュータ・システム上で、
前記ユーザから前記初期認証情報を受け取ることと、
前記初期認証情報を検証することと、
前記初期認証情報の検証結果が肯定であるとき、前記コンピュータ・システムへの前記ユーザ・アクセスを提供することと、
をさらに含む、請求項３に記載の方法。
【請求項５】
ユーザのリスク・プロファイルを動的に監視する前記ステップは、バイオメトリック・データ、位置データ、環境データ及びユーザ機器監視データのうちの少なくとも１つから選択されるユーザ関連データを収集することを含む、請求項１乃至請求項４のいずれかに記載の方法。
【請求項６】
前記リスク・プロファイルが複数のリスク・レベルを含み、前記方法が、前記監視されたリスク・プロファイルが第１のリスク・レベルから第２のリスク・レベルに移行したときに通知信号を生成することをさらに含む、請求項１乃至請求項５のいずれかに記載の方法。
【請求項７】
前記ユーザが正しくない認証情報を提供したときに該ユーザの前記リスク・プロファイルを調整することをさらに含む、請求項１乃至請求項６のいずれかに記載の方法。
【請求項８】
前記サービスが金融サービスである、請求項１乃至請求項７のいずれかに記載の方法。
【請求項９】
コンピュータ上で実行されたときに、請求項１乃至請求項８のいずれかに記載の方法の全てのステップを前記コンピュータに実施させる、コンピュータ・プログラム。
【請求項１０】
コンピュータ・システムであって、
前記コンピュータ・システム上で認証されたユーザのリスク・プロファイルを動的に監視するように構成されたリスク・プロファイル・モニタと、
前記監視されたリスク・プロファイルに基づいて、サービスに関する認証レベルを動的に選択し、
前記ユーザが前記サービスへのアクセスを要求したとき、前記動的に選択された認証レベルと該ユーザの実際の認証レベルとを比較し、
前記動的に選択された認証レベルが前記ユーザに関する前記実際の認証レベルよりも高い場合、前記ユーザに対して、前記動的に選択された認証レベルに対応する認証情報を該ユーザが提供するよう要求する更なる認証要求を送る、
ように構成された、
認証モジュールと、
を含む、コンピュータ・システム。
【請求項１１】
バイオメトリック・データ、位置データ、環境データ及びユーザ機器監視データのうちの少なくとも１つから選択されるユーザ関連データを監視するように構成された環境モニタをさらに含み、前記リスク・モニタは、前記ユーザ関連データを用いて前記リスク・プロファイルを動的に監視するように構成される、請求項１０に記載のコンピュータ・システム。
【請求項１２】
前記認証モジュールは、前記コンピュータ・システム上で前記ユーザから前記コンピュータ・システムへのアクセスを求める要求を受け取ることに応答して、該ユーザに関する初期認証レベルを選択するようにさらに構成され、前記初期認証レベルは、該ユーザの初期リスク・プロファイルに基づいて選択され、
前記リスク・プロファイル・モニタは、前記初期リスク・プロファイルを判定するようにさらに構成される、
請求項１０又は請求項１１に記載のコンピュータ・システム。
【請求項１３】
前記リスク・プロファイルが複数のリスク・レベルを含み、前記リスク・プロファイル・モニタが、前記監視されたリスク・プロファイルが第１のリスク・レベルから第２のリスク・レベルに移行したときに前記認証モジュールに信号を送信するように構成される、請求項１０乃至請求項１２のいずれかに記載のコンピュータ・システム。
【請求項１４】
前記コンピュータ・システムが少なくとも１つのプロセッサを含み、前記認証モジュール及び前記リスク・プロファイル・モニタのうちの少なくとも一方が前記少なくとも１つのプロセッサ上で実装される、請求項１０乃至請求項１３のいずれかに記載のコンピュータ・システム。
【請求項１５】
前記コンピュータ・システムへのアクセスを要求するためのユーザ・インターフェースをさらに含む、請求項１０乃至請求項１４のいずれかに記載のコンピュータ・システム。
【国際調査報告】
2016508633.tif 000011
2016508633.tif 000012