(57)【特許請求の範囲】
【請求項１】
警備区域内に設置される装置に対する所定の操作を、正当な人物に対して許可するセキュリティシステムであって、
前記警備区域内への入場を意図する人物が所持する携帯型装置に記憶された認証情報であって当該携帯型装置の正当性を認証可能とする認証情報を用いて、当該携帯型装置の正当性を認証し、正当性が認証された携帯型装置を所持する人物に対して前記警備区域内への入場を許可し、正当性が認証されなかった携帯型装置を所持する人物に対して前記警備区域内への入場を拒否する警備区域警備手段と、
記憶手段と、
前記正当性が認証された携帯型装置から、当該携帯型装置に記憶された固有情報であって当該携帯型装置を所持する人物の正当性を認証可能とする固有情報を読み取り、前記記憶手段に記憶する固有情報読み取り手段と、
前記警備区域内の前記装置に対する所定の操作を意図する人物から、前記人物の固有情報の入力を受け付ける情報入力手段と、
前記情報入力手段が受け付けた固有情報に整合する前記固有情報が前記記憶手段に記憶されている場合に、当該人物に対して前記装置に対する所定の操作を許可し、前記情報入力手段が受け付けた固有情報に整合する前記固有情報が前記記憶手段に記憶されていない場合に、当該人物に対して前記装置に対する所定の操作を拒否する警備対象行為警備手段とを有することを特徴とするセキュリティシステム。
【請求項２】
請求項1記載のセキュリティシステムであって、
前記警備区域外への退場を意図する人物が所持する携帯型装置に記憶された前記認証情報を用いて、当該携帯型装置の正当性を認証し、正当性が認証された携帯型装置を所持する人物に対して前記警備区域外への退場を許可し、正当性が認証されなかった携帯型装置を所持する人物に対して前記警備区域外への退場を拒否する退場管理手段を有することを特徴とするセキュリティシステム。
【請求項３】
請求項１または2に記載のセキュリティシステムであって、
前記固有情報は、前記人物の生体情報であることを特徴とするセキュリティシステム。
【請求項４】
請求項1、２、３いずれかに記載のセキュリティシステムであって、
前記装置に対する所定の操作は、前記警備区域内に設置されたコンピュータシステムの利用、もしくは、前記警備区域内の特定区域内への入場を管理する装置に対する前記特定区域内への入場要求であることを特徴とするセキュリティシステム。
【請求項５】
警備区域内に設置される装置に対する所定の操作を、正当な人物に対して許可するセキュリティシステムにおいて、セキュリティを実現する方法であって、
予め、前記正当な人物に、当該携帯型装置の正当性を認証可能とする認証用情報と、当該携帯型装置を所持する人物の正当性を認証可能とする固有情報とを記憶した携帯型装置を発行するステップと、
セキュリティシステムにおいて、前記警備区域内への入場を意図する人物が所持する携帯型装置に記憶された前記認証情報を用いて、当該携帯型装置の正当性を認証し、正当性が認証された携帯型装置を所持する人物に対して前記警備区域内への入場を許可し、正当性が認証されなかった携帯型装置を所持する人物の前記警備区域内への入場を拒否するステップと、
セキュリティシステムにおいて、前記正当性が認証された携帯型装置から、当該携帯型装置に記憶された前記固有情報を読み取り、セキュリティシステム内部に記憶するステップと、
セキュリティシステムにおいて、前記警備区域内で前記装置に対する所定の操作を意図する人物から、前記人物の固有情報の入力を受け付けるステップと、
セキュリティシステムにおいて、受け付けた固有情報に整合する前記固有情報がセキュリティシステム内部に記憶されている場合に、当該人物に対して前記装置に対する所定の操作を許可し、受け付けた固有情報に整合する前記固有情報がセキュリティシステム内部に記憶されていない場合に、当該人物に対して前記装置に対する所定の操作を拒否するステップとを有することを特徴とするセキュリティシステムにおけるセキュリティの実現方法。
【請求項６】
複数の区域にまたがる警備区域内に設置される装置に対する所定の操作を、正当な人物に対して許可するセキュリティシステムであって、
前記複数区域の各警備区域内への入場を意図する人物が所持する携帯型装置に記憶された認証情報であって当該携帯型装置の正当性を認証可能とする認証情報を用いて、当該携帯型装置の正当性を認証し、正当性が認証された携帯型装置を所持する人物に対して前記複数区域の各警備区域内への入場を許可し、正当性が認証されなかった携帯型装置を所持する人物に対して前記複数区域の各警備区域内への入場を拒否する警備区域警備手段と、
記憶手段と、
前記正当性が認証された携帯型装置から、当該携帯型装置に記憶された固有情報であって当該携帯型装置を所持する人物の正当性を認証可能とする固有情報を読み取り、前記記憶手段に記憶する固有情報読み取り手段と、
前記複数区域の各警備区域内で前記装置に対する所定の操作を意図する人物から、前記人物の固有情報の入力を受け付ける情報入力手段と、
前記情報入力手段が受け付けた固有情報に整合する前記固有情報が前記記憶手段に記憶されている場合に、当該人物に対して前記装置に対する所定の操作を許可し、前記情報入力手段が受け付けた固有情報に整合する前記固有情報が前記記憶手段に記憶されていない場合に、当該人物に対して前記装置に対する所定の操作を拒否する警備対象行為警備手段とを有することを特徴とするセキュリティシステム。
【請求項７】
請求項1記載のセキュリティシステムであって、
前記警備区域外へ退場する人物が所持する携帯型装置にアクセスし、当該携帯型装置から読み取り前記記憶手段に記憶した固有情報を特定し、特定した固有情報を前記記憶手段から消去する退場管理手段を有することを特徴とするセキュリティシステム。
【請求項８】
請求項６記載のセキュリティシステムであって、
前記複数区域の各警備区域外へ退場する人物が所持する携帯型装置にアクセスし、前記固有情報読み取り手段が、当該携帯型装置から読み取り前記記憶手段に記憶した固有情報を特定し、特定した固有情報を前記記憶手段から消去する退場管理手段を有することを特徴とするセキュリティシステム。
【請求項９】
請求項６に記載のセキュリティシステムであって、
前記固有情報は、前記人物の生体情報であることを特徴とするセキュリティシステム。
【請求項１０】
請求項６、９のいずれかに記載のセキュリティシステムであって、
前記装置に対する所定の操作は、前記複数区域内に設置されたコンピュータシステムの利用であることを特徴とするセキュリティシステム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、特定の利用者だけが入退場できる警備区域内にある警備対象のセキュリティを護る技術に関するものである。
【０００２】
【従来の技術】
特定の利用者だけが入退場できる警備区域内への入退出を管理する技術としては、たとえば、特開平09-198501号公報記載の技術が知られている。この技術では、管理装置に記録した正当な利用者の生体情報と、入場時に入力した生体情報とを警備区域内に通じるドアを通る際に照合して正当な利用者にのみ、管理区域内への入場を許可することにより、不正者の警備区域内への侵入を防止する。
【０００３】
一方、警備対象がサーバとクライアントよりなるコンピュータシステムへのアクセスである場合における、警備対象物のセキュリティを護る技術としては、たとえば、特開平10-124668号公報や、特開平10-149446号公報記載の技術が知られている。
【０００４】
特開平10-124668号公報記載の技術では、サーバで正当な利用者の生体情報を集中的に管理し、コンピュータシステムの利用を開始する際にクライアントにおいて受け付けた利用者の生体情報をサーバで照合して正当な利用者にのみ、コンピュータシステムへのアクセスを許可することにより、不正者のコンピュータシステムへのアクセスを防止する。
【０００５】
一方、特開平10-149446号公報記載の技術では、正当な利用者に、その利用者の生体情報を記録したICカードなどの携帯型記録装置を発行し、コンピュータシステムの利用を開始する際に、クライアントにおいて利用者の生体情報を利用者から利用者が所持する携帯型記憶装置より読み取って照合して正当な利用者にのみ、コンピュータシステムへのアクセスを許可することにより、不正者のコンピュータシステムへのアクセスを防止する。
【０００６】
【発明が解決しようとする課題】
特定の利用者だけが入退場できる警備区域内にある警備対象のセキュリティを護る場合、前記各従来の技術によれば、警備区域の警備と警備対象の警備が連動していないために、すなわち、警備区域内に正当に入場した者のみ、警備対象へのアクセスを認める構成になっていないため、不正に警備区域に入場した者でも警備対象にアクセスできてしまうため、警備対象のセキュリティとして充分ではない。たとえば、コンピュータ室を特定の利用者だけが入退場できるように警備し、コンピュータ室に設置されたコンピュータシステムのアクセスをコンピュータ室に正当に入場した特定の利用者だけに許可するようにしたい場合でも、前記各従来の技術では、コンピュータ室に不正に入場した者のコンピュータシステムへのアクセスを排除することができない。
【０００７】
また、生体情報を本人認証に用いる技術は、比較的高い確度で認証を行える技術ではあるが、前記特開平10-124668号公報記載の技術では、サーバで利用者固有の情報である生体情報を集中管理するため、利用者の心理的抵抗が大きく、また、一度に多数の生体情報が盗難される恐れがある。また、多数の利用者を管理する場合、サーバにおける生体情報の管理にかかるコストが増大する。
【０００８】
一方、特開平10-149446号公報記載の技術では、クライアントごとにICカードなどの携帯型記憶装置の読取装置、生体情報の照合機能が必要となるため、システムの構築コストが大きくなってしまう。
【０００９】
また、特定の利用者だけが入退場できる複数の区域にまたがる警備区域内にある警備対象のセキュリテイを護る場合、前記各従来の技術によれば、複数の警備区域内に通じるそれぞれのドアの管理装置、および、複数の警備区域のサーバに対して、正当な利用者の生体情報を登録する必要があり、管理コストが増大する問題があった。
【００１０】
そこで、本発明は、比較的低コストで、特定の利用者だけが入退場できる警備区域内にある警備対象のセキュリティを高めることを課題とする。
【００１１】
さらに、本発明は、複数の区域にまたがる警備区域の中の警備対象に対しても、比較的低コストで、セキュリティを高めることを課題とする。
【００１２】
【課題を解決するための手段】
前記課題達成のために、本発明は、警備区域内における警備対象行為を、正当な人物にのみ許可するセキュリティシステムであって、
前記正当な人物に対して発行される携帯型装置であって、当該携帯型装置の正当性を認証可能とする認証用情報と、当該携帯型装置の正当な被発行者固有の情報である固有情報とを記憶した携帯型装置と、
前記警備区域内への入場を意図する人物が所持する携帯型装置に記憶された前記認証情報を用いて、当該携帯型装置の正当性を認証し、正当性が認証された携帯型装置の所持者の前記警備区域内への入場を許可し、正当性が認証されなかった携帯型装置の所持者の前記警備区域内への入場を拒否する警備区域警備手段と、
記憶手段と、
前記認証手段によって正当性が認証された、前記警備区域内へ入場する人物が所持する携帯型装置から、当該携帯型装置に記憶された前記固有情報を読み取り、前記記憶手段に記憶する固有情報読み取り手段と、
前記警備区域内における警備対象行為を意図する人物から情報の入力を受け付ける情報入力手段と、
前記情報入力手段が受け付けた情報に整合する前記固有情報が前記記憶手段に記憶されている場合に、当該人物の警備対象行為を許可し、前記情報入力手段が受け付けた情報に整合する前記固有情報が前記記憶手段に記憶されていない場合に当該人物の警備対象行為を拒否する、警備対象行為警備手段と、
前記警備区域外へ退場する人物が所持する携帯型装置にアクセスし、前記固有情報読み取り手段が、当該携帯型装置から読み取り前記記憶手段に記憶した固有情報を特定し、特定した固有情報を前記記憶手段から消去する退場管理手段とを有することを特徴とするセキュリティシステムを提供する。
【００１３】
このようなセキュリティシステムによれば、利用者が警備区域内にいる間だけ、固有情報をセキュリティシステムが保持するので、一度に多数の固有情報が盗難されることを防ぐことができる。また、警備区域への入退場の際にのみ携帯型装置を用いるので、警備区域内の警備対象行為に供されるたとえば端末などの、それぞれに携帯型装置読み取り装置などを設ける必要がない。したがって、セキュリティシステムの構築コストを安価にすることができる。また、不正に警備区域内に入場した人間による、警備区域内の警備対象行為を排除することができる。また、利用者の固有情報として生体情報を用いる場合でも、それが携帯型装置上にのみ永続的に保持されることを保証できるので、利用者の拒否感を軽減することができる。
【００１４】
さらに、複数の区域に警備区域がまたがる警備対象に対して正当な人物にのみ許可するセキュリティシステムであっても、前記正当な人物に対して発行される携帯型装置を前記複数区域の各警備区域に共通に前記警備行為警備手段を備えることで、同様に構築コスト、および、各区域における利用者管理コストを抑えつつ、セキュリティを保つことができる。
【００１５】
【発明の実施の形態】
以下、本発明の一実施形態について、高いセキュリティが必要とされる銀行の事務システムへの適用を例にとり説明する。
【００１６】
図1に、本実施形態に係るセキュリティシステムの構成を示す。
【００１７】
図示するように、本セキュリティシステムが適用される事務システムは、ドア130で遮断された、あらかじめ許可された職員のみが入退場可能な警備区域であるビル105、職員が通常利用するオフィス115、内ドア140で遮断されたコンピュータ室110からなる。また、コンピュータ室110内には顧客情報のような重要な情報を記録したデータベースや、銀行業務を行うためのアプリケーションを持つホストコンピュータ150が設置され、オフィス115には、ホストコンピュータ105の資源を利用するための端末165が設置されている。そして、ホストコンピュータ150と端末165はコンピュータシステムを構成している。
【００１８】
ここで、コンピュータ室110への入退場は、警備区域であるビル105（オフィス115）への入退場より高いセキュリティで警備される警備対象となっている。また、コンピュータシステムへのアクセスは、警備区域であるビル105（オフィス115）への入退場より高いセキュリティで警備される警備対象となっている。
【００１９】
次に、本セキュリティシステムは、ビル105のドア130の開閉を制御するドア管理装置125と、ビル105のドア130のビル105外側に設定されたICカードリーダ120と、ドア130のビル105内側に設定されたICカードリーダ121と、コンピュータ室110の内ドア140の開閉を制御する内ドア管理装置155と、内ドア管理装置155のコンピュータ室110外側に設置された指紋入力装置135と、各端末165毎に設けられた指紋入力装置170と、コンピュータ室110内に設定された、一次保存ファイル145とログファイル180を備えたアクセス管理装置185と、各端末165の後述する指紋情報による本人認証に関する処理を行う機能部とよりなる。
【００２０】
ここで、ICカードリーダ120とICカードリーダ121とはドア管理装置125に接続され、指紋入力装置135は内ドア管理装置155に接続され、指紋入力装置170は端末165に接続され、ドア管理装置125と内ドア管理装置155と端末165とはアクセス管理装置185にネットワーク175で接続されている。
【００２１】
さて、本セキュリティシステムでは、予め正当な利用者に利用者の情報を記録したICカード200を発行する。
【００２２】
図2に、ICカード200の構成と、ICカード200に記録される情報を示す。
【００２３】
図示するようにICカード200は、認証処理部250と入出力処理部260と不揮発性記憶部270よりなり、不揮発性記憶部270には、職員の名前や所属などの職員個人情報205、職員情報210、ICカードの正当性を証明するために電子認証局より付与された電子証明書230、電子認証局の公開鍵235、ICカード固有の秘密鍵240、秘密鍵240と対の公開鍵241が記録される。ここで、職員情報210は、職員のもつICカードを識別するための職員番号215、指紋情報225よりなる。また、ここでは、電子証明書230はICカード固有の公開鍵241と職員番号215を電子認証局が、電子認証局固有の秘密鍵で暗号化し発行したものとする。なお、ICカード2000のハードウェア構成としては、CPUとメモリを備えた一般的なICカードを利用できる。
【００２４】
この場合、メモリは不揮発性記憶部270として機能し、CPUは、処理部250、260として機能する。
【００２５】
さて、このような構成において、本セキュリティシステムでは、職員がビル105へ入場するときに職員番号と指紋情報を含む職員情報を職員が所持するICカード200より読み込み、アクセス管理装置185の一時保存ファイル145に一時的に記録する。また、職員が端末165にログオンする場合や、ホストコンピュータ150のデータベースやアプリケーションを利用する場合には、指紋入力装置（LS）170を用いて職員の指紋を読み取り一時保存ファイル145の指紋情報と照合して本人認証を行い、職員がコンピュータ室110へ入場する場合には指紋入力装置（LS）135を用いて職員の指紋を読み取り一時保存ファイル145の指紋情報と照合して本人認証を行う。そして、ビル105から退場する場合、ICカード200より職員番号を読み込み、これに対応する職員情報を一時保存ファイル145から消去する。
【００２６】
以下、その動作の詳細について説明する。
【００２７】
まず、職員がビル105へ入場するときの処理について説明する。
【００２８】
この処理は、ICカードリーダライタ120がICカード200を認識するとドア管理装置125が開始する。職員がICカードリーダライタ120にICカード200を認識させる方法としては、例えばICカード200が近接型のICカードの場合には、ICカードリーダライタ120の前にICカードをかざすことによって行うことができる。
【００２９】
図3に、この処理の手順を示す。
【００３０】
図示するように、ドア管理装置125は、処理を開始するとステップ300で、アクセス管理装置185との間に暗号化通信を確立する。これは、盗聴や改ざんなくアクセス管理装置185とドア管理装置125間で通信を行えるようにするもので、暗号化通信には、たとえば、ANSI／ITU  X.509に記載された方法などを用いることができる。
【００３１】
次に、ステップ315で、ドア管理装置125は、ICカード200と間で、相互認証を行う。具体的にはANSI／ITU  X.509に記載された方法などによりICカードとドア管理装置間の相互認証を行う。すなわち、たとえば、まず、ICカード200の認証処理部250は不揮発性記憶部270に記憶されている職員番号215と公開鍵241と電子証明書230をドア管理装置125に送る。ドア管理装置125は、予め記憶したおいた電子認証局の公開鍵で、電子証明書230を復号し、ICカードの公開鍵と職員番号を得る。そして、得た職員番号、公開鍵とICカード200から送られた職員番号、公開鍵が一致すれば、適当な乱数を発生し、ICカード200から送られた公開鍵で暗号化し、チャレンジデータとしてICカード200に送る。ICカード200の認証処理部250は、これを不揮発性記憶部270に記憶されている秘密鍵240で復号し、復号結果をレスポンスデータとしてドア管理装置125に返す。ドア管理装置125は、先程発生した乱数とレスポンスデータを照合し、一致すればICカード200を正当なICカードとして認証する。次に、これとは逆に、ドア管理装置125は予め記憶したドア管理装置番号とドア管理装置125固有の公開鍵と、これらを電子認証局の秘密鍵で電子認証局が暗号化し発行した電子証明書をICカード200に送る。ICカード200の認証処理部250は、不揮発性記憶部270に記録されている電子認証局の公開鍵で、電子証明書を復号し、ドア管理装置125の公開鍵と職員番号を得る。そして、得た職員番号、公開鍵とドア管理装置125から送られた職員番号、公開鍵が一致すれば、適当な乱数を発生し、ドア管理装置125から送られた公開鍵で暗号化し、チャレンジデータとしてドア管理装置125に送る。ドア管理装置125は、これを予め記憶した自身の秘密鍵で復号し、復号結果をレスポンスデータとしてICカード200に返す。ICカード200の認証処理部200は、先程発生した乱数とレスポンスデータを照合し、一致すればドア管理装置125を正当なドア管理装置として認証する。
【００３２】
このようにして、相互認証が成功したならば、ステップ320で、ドア管理装置125は、ICカード200から職員情報210を読み込み、ステップ327で読み込んだ職員情報210をアクセス管理装置185に送信する。これを受信したアクセス管理装置185は、ステップ330で、受け取った職員情報210を構成する職員番号215と指紋情報220を、図4に示すように一時保存ファイル145に記録する。また、職員番号215と、その職員の入場をログファイル180に記録する。
【００３３】
そして、最後に、ドア管理装置125は、ステップ340でドア130を開け、処理を終了する。
【００３４】
一方、ステップ315で相互認証が成功しなかった場合には、そのまま処理を終了する。
【００３５】
なお、以上のステップ315において、ドア管理装置125がICカード200を認証するのみならず、ICカード200もドア管理装置125を認証する相互認証を行うのは、不正な装置によるICカード200の偽造を防ぐためである。したがって、もし、ICカード200が正当なドア管理装置125にのみ使用されることが保証される場合には、相互認証に代えて、ドア管理装置125がICカード200を認証する処理だけを行うようにしてもよい。
【００３６】
次に、職員が端末165にログオンするときの処理について説明する。
【００３７】
この処理は、職員が端末165にログオンを要求したときに、端末165によって開始される。
【００３８】
図5に、この処理の手順を示す。
【００３９】
図示するように、この処理では、まず、端末165は、ステップ505で、アクセス管理装置に職員の認証要求を発行する。次に、端末165は、ステップ510で、アクセス管理装置と端末間の暗号化通信を確立する。そして、端末165は、ステップ515で、端末165に接続した指紋入力装置170から職員の指紋を入力し、ステップ520で、入力した指紋をアクセス管理装置185に送信する。
【００４０】
指紋を受け取ったアクセス管理装置185は、ステップ525で、受け取った職員の指紋と一時ファイル145に記録した指紋情報を照合し、一致する指紋情報が一時ファイル145に存在する場合には、対応する職員番号のコードを、一致する指紋がない場合には照合失敗を意味するコードを出力し、ステップ530で、照合結果をログファイル180に記録する。そして、アクセス管理装置185は、ステップ535で、端末165へ指紋照合結果として、出力されたコードが照合失敗であれば照合失敗を、出力されたコートが職員番号であれば照合成功を送信する。
【００４１】
指紋照合結果を受け取った端末165は、ステップ540で、指紋照合結果が照合失敗であった場合は処理を終了する、もしくは、適当な警報を発するようにする。
【００４２】
一方、指紋照合結果として照合成功を受け取った場合には、ステップ545で、職員が端末165へログオンするのを許可する。
【００４３】
ここで、図5のステップ525のアクセス管理装置185の指紋照合の処理は、たとえば、図6に示す手順によって行う。
【００４４】
すなわち、まず、ステップ705で一時保存ファイルに記録した職員情報の番号を示すカウンタを0にリセットし、ステップ710でカウンタを1加算する。
【００４５】
そして、ステップ720で、カウンタが示す番号の職員情報の指紋情報を一時保存ファイルから読み込む。そして、ステップ725で指紋情報と端末から送信された指紋を照合し、一致した場合は指紋照合結果として一致した指紋情報に対応する職員番号を結果コードとし、ステップ730に進む。一致しない場合はステップ735に分岐する。
【００４６】
ステップ735では、カウンタが最後の職員の職員情報の番号を示していた場合、結果コードを照合失敗とし、ステップ730に分岐し、最後でない場合はステップ710に戻る。
【００４７】
ステップ730では、ステップ725または735で得られたコードを出力する。
【００４８】
次に、職員がコンピュータ室110へ入場するときの処理について説明する。
【００４９】
この場合の処理は、図5、6で示した端末165より職員がコンピュータシステムへのログオンを要求したときの動作とほぼ同様であるが、図5のステップ505における認証要求は内ドア管理装置155からアクセス管理装置185に発行されることになる。また、図5のステップ535で、指紋照合結果がアクセス管理装置185から内ドア管理装置155に送信される。そして、図5のステップ545で、内ドア管理装置155が指紋照合結果に従い、コンピュータ室110への入場を許可あるいは拒否する、すなわち、紋照合結果が照合失敗であった場合は内ドア140を開かず、指紋照合結果として照合成功を受け取った場合には、内ドア140を開く。
【００５０】
次に、職員が、ホストコンピュータ150のデータベースやアプリケーションを利用するときの処理について説明する。
【００５１】
この場合の処理も、図5、6で示した端末165より職員がコンピュータシステムへのログオンを要求したときの動作とほぼ同様であるが、図5のステップ505における認証要求はホストコンピュータ150からアクセス管理装置185に発行される。
【００５２】
また、図5のステップ535で、指紋照合結果がアクセス管理装置185からホストコンピュータ150に送信される。そして、図5のステップ545で、ホストコンピュータ150が指紋照合結果に従い、アプリケーションやデータベースの利用を許可あるいは拒否する、すなわち、紋照合結果が照合失敗であった場合は利用を許可し、指紋照合結果として照合成功を受け取った場合には、利用を拒否する。
【００５３】
次に、職員がビル105から退場するときの処理について説明する。
【００５４】
この処理は、ICカードリーダライタ121がICカード200を認識するとドア管理装置125が開始する。
【００５５】
図7に、この処理の手順を示す。
【００５６】
図示するように、ドア管理装置125は、まず、ステップ805で、ICカード200とドア管理装置125間の相互認証を前述のように行う。そして、相互認証が成功したならば、ステップ810で、ICカード200から職員番号215を読み込む。そして、ドア管理装置125は、ステップ815で、ドア130を開け、職員を退出させる。一方、認証が失敗した場合には、警報を発するなどの所定の異常処理を行う。
【００５７】
相互認証が成功した場合には、次に、ドア管理装置125は、ステップ820でアクセス管理装置185との間の暗号化通信を確立し、ステップ825で、アクセス管理装置185に、先程読み込んだ職員番号を送信する。
【００５８】
職員番号を通知された、アクセス管理装置185は、ステップ830で一時保存ファイル145から、受信した職員番号に対応する職員情報、すなわち、職員番号と指紋情報を削除し、職員の退場をログファイル189に記録する。
【００５９】
さて、以上のような各処理中において、各装置から通知された情報に基づいて、アクセス管理装置185は、職員の、ビル105やコンピュータ室への入退場、端末165へのログオン／ログオフ、ホストコンピュータ150のアプリケーションやデータベースの利用の状況を認識し、その履歴を、図8に示すようにログファイル180に蓄積する。ただし、以上のような各処理中でアクセス管理装置185に通知される情報からだけでは、ホストコンピュータ150のアプリケーションやデータベースの利用の終了や、端末165からのログオフをアクセス管理装置185が認識できないので、ホストコンピュータ150や端末165は、職員の端末165からのログオフやデータベース等の利用の終了についてアクセス管理装置185に通知するようにする。
【００６０】
以上、本発明の一実施形態について説明した。
【００６１】
なお、以上の実施形態において図5に示した処理では、端末165で入力した指紋をアクセス管理装置185に送信し、アクセス管理装置185で一時保存ファイル145の指紋情報と照合を行ったが、これは、図9に示す手順などにより、端末165でログオンを要求する職員から職員番号の入力を受付、この職員番号の指紋情報をアクセス管理装置185から読み込み、端末165において、職員の指紋と照合するようにしてもよい。
【００６２】
ここで、図9に示した手順では、まず、端末165は、ステップ905でアクセス管理装置185へ認証要求を発行し、ステップ910でアクセス管理装置185との間の暗号化通信を確立する。そして、端末165において、ステップ915で職員番号の入力を受付、ステップ920でアクセス管理装置185に職員番号を送信する。
【００６３】
アクセス管理装置185は、ステップ925で一時保存ファイル145に該当する職員番号があるかどうか検索し、ステップ930で該当する職員番号に対応する指紋情報を端末165に送信する。該当する職員番号がない場合には該当者なしを端末165に通知する。
【００６４】
端末165は、ステップ932で該当者なしを通知された場合には処理を終了する、または、適当な警報を発するなどの処理を行う。
【００６５】
一方、指紋情報を受け取った場合には、端末165は、ステップ935で指紋入力装置170により職員の指紋を入力し、ステップ940で入力した指紋とアクセス管理装置185から受け取った指紋情報を照合する。そして、照合に失敗した場合は処理を終了し、照合に成功した場合には、ステップ945で、職員のログオンを許可する。
【００６６】
また、以上の実施形態において、図3の処理では、ICカード200とドア管理装置125間の相互認証が成功したならば、ドア130を開いて、職員の入場を許可したが、これは、ドア130のビル105外側に指紋入力装置を設置し、図3のステップ315を図10に示した手順に置き換え、指紋入力装置から入力された指紋とICカード200に記録された指紋情報を照合し、照合が成功した場合にのみドア130を開いて、職員の入場を許可するようにしてもよい。
【００６７】
ここで、図10の手順では、まず、ドア管理装置125は、ステップ1005で、ICカード200との間の相互認証を行い、相互認証が成功しなければ、図3の処理を終了し、成功した場合には、ステップ1010でICカード200から指紋情報225を読み込む。そして、ドア管理装置125は、ステップ1015で、ビル105外側に設けた指紋入力装置から指紋を入力し、ステップ1020で、入力した指紋と読み込んだ指紋情報を照合し、一致しない場合は、図3の処理を終了し、一致した場合には、図3のステップ320に進む。
【００６８】
なお、この図10の手順は、ドア管理装置125がICカードから読み込んだ指紋情報と、入力した指紋をアクセス管理装置185に送信し、アクセス管理装置185で照合を行った後に、ドア管理装置124に照合結果を送信するように修正してもよい。
【００６９】
また、図7のステップ805の退場時における相互認証も、図10と同様の処理を行うように修正してもよい。
【００７０】
また、以上の実施形態において、ICカード200の職員情報210に、職員のアクセス可能なアクセス先を示すアクセス権限情報を付加し、これを指紋情報と同様に、アクセス管理装置185の一次保存ファイル145に保存し、これに従って各職員のアクセス権限に応じたアクセス管理を行うようにしてもよい。また、アクセス管理装置185において、職員情報を一次保存ファイル145に記録する際に、その職員情報の有効期限を設定し、有効期限が現在時刻を過ぎた指紋情報は、無効であるとして一次保存ファイルから削除するようにしてもよい。これにより、たとえば、正当でない出口、すなわち、退場を管理できない出口より職員が退場した場合などに、職員情報が一次保存ファイル145中にずっと保存されてしまうことを防ぐことができる。
【００７１】
なお、これらのアクセス権限情報や有効期限は、たとえば、図11に示すように、職員番号、指紋情報と共に一次保存ファイル中に記憶し管理するようにしてもよい。なお、各職員のアクセス権限は、ICカード200に記憶するのではなく、アクセス管理装置185に記録しておくようにしてもよい。
【００７２】
また、以上の実施形態において、図6のステップ725などの指紋と指紋情報との一致または不一致の判定に用いる判定パラメータを設け、これを変化させることで、本人を誤って拒否する誤差（本人拒否率）あるいは他人を誤って受け入れる誤差（他人受入率）を減少するようにしてもよい。
【００７３】
ここで、図12は一般的な本人拒否率と他人受入率の関係を、判定パラメータを変化させてプロットした例を示す。図が示すように判定パラメータを変化させることで誤差をコントロールすることが可能である。判定パラメータは職員、端末のセキュリティレベル、季節、温度、湿度などの環境、パスワードなどの他の本人認証手段などとの組み合わせによって変化させるようにしてもよい。また、この判定パラメータは、図13、図14、図15および図16に示すような判定パラメータのテーブルとして、アクセス管理装置185にあらかじめ記録するようにしてもよい。図示した例では、それぞれ職員、ホストコンピュータのデータベースのセキュリティレベル、環境、組み合わせて用いる他の本人認証手段より判定パラメータを変化させたものであり、図中の照合パラメータの数値が、どれだけの割合、指紋と指紋情報が整合したら両者が一致したものと見なすかを表している。
【００７４】
なお、このような判定パラメータを用いる場合、図7のステップ725における指紋照合の手順は、図17に示す手順などにより実現できる。
【００７５】
すなわち、まず、アクセス管理装置185は、ステップ1705で判定パラメータのテーブルを読み込み、ステップ1710において、対象となっている職員、利用の対象となっているデータベースのセキュリティレベル、現在の環境、指紋照合と組み合わせて用いる他の本人認証手段と、判定パラメータのテーブルから判定に用いる照合パラメータを設定する。そして、ステップ1715において判定パラメータに従い指紋と指紋情報を照合し、照合パラメータと指紋と指紋情報の整合の割合に従って一致、不一致を判定する。
【００７６】
また、以上の実施形態において、たとえば、特願平11-16628号公報記載の技術などにより、ICカード200に記録する指紋情報に電子署名を添付し、指紋照合時に電子署名を検証することで、指紋情報の改ざんを防止するようにしてもよい。
【００７７】
この場合において、ビル105の入場の際に電子署名の検証を行い、これが成功した場合には、指紋照合を行う際には電子署名の検証を行わないようにしてもよい。
【００７８】
また、本実施形態では、指紋を用いて本人認証を行ったが、これは指紋以外の生体情報であってもよい。また、生体情報に限らず、正当な利用者が保持し不正者が保持しえない情報であれば任意のものでかまわない。たとえば、職員番号とパスワードの組み合わせなどの正当な利用者が記憶として保持し不正者が保持しえない情報であればよい。
【００７９】
また、ICカード200に代えて、これ以外の適当な記憶媒体を用いるようにしてかまわない。
【００８０】
以上説明してきたように、本実施形態によれば、利用者が警備区域内にいる間だけ、指紋情報などの職員情報をアクセス管理装置185が保持するので、一度に多数の職員情報が盗難されることを防ぐことができる。
【００８１】
また、警備区域への入退場の際にのみICカードを用いるので、各端末165毎にICカードリーダなどを設ける必要がなくシステム構築コストを安価にすることができる。
【００８２】
また、不正に警備区域内に入場した人間による、コンピュータシステムの利用など、警備区域内の警備対象への不正行為を排除することができる。
【００８３】
また、利用者の指紋情報などの生体情報がICカード上にのみ永続的に保持されることを保証できるので、利用者の拒否感を軽減することができる。
【００８４】
また、利用者の入退場やコンピュータシステムへのアクセスの履歴を記録することで、不正が生じた場合の不正行為の追跡を容易に行えるようになる。
【００８５】
以下、本発明の第二の実施形態について、複数の区域にまたがる警備区域内（例えば支店）にある警備対象（例えばコンピュータシステム）のセキュリティを護る例について説明する。
【００８６】
図１８に複数区域にまたがる警備区域にある警備対象に対するセキュリティシステムの全体構成を示す。
【００８７】
図示するように、本発明の生体情報を含む職員情報などを登録したICカードを発行するICカード発行サイト1801、ICカードを発行された職員が勤務する複数の警備区域1810で構成されている。ICカード発行サイトと各警備区域内のアクセス管理装置1811は、専用線または公共の情報伝達手段1802を介して接続されている。
【００８８】
図１９にICカード発行サイトの機能構成図を示す。
【００８９】
図示するように、ICカード発行サイトは、ICカードR/W1910を持つICカード発行部1920と、耐タンパー性のある装置などで作られた署名鍵記録部1925と、署名鍵によるディジタル署名を復号する検証鍵を管理する検証鍵管理部1930と、既に発行されたICカードのうち無効となったカードのリスト1955を管理する無効カード情報管理部1950と、検証鍵情報および無効カード情報など情報を各警備区域へ伝達する通信部1940からなる。
【００９０】
図２０に各警備区域における装置構成図を示す。
【００９１】
図示するように、本セキュリティシステムにおける警備対象であるホストコンピュータ2050および端末2065からなるコンピュータシステムはドア2030で遮断された、あらかじめICカードを発行された職員のみが入退場可能な警備区域2005の中にある。ホストコンピュータ2050は、秘匿性の高い情報を記録したデータベースや、業務アプリケーションを提供し、ホストコンピュータ2050の資源を利用する端末2065は複数設置されており、各端末2065には、指紋入力装置2070が設置されている。
【００９２】
ここで、本セキュリティシステムは、警備区域2005のドア2030の開閉を制御するドア管理装置2025と、ドア2030の外側に設置されたICカードリーダ2020と、ドア2030の内側に設置されたICカードリーダ2021と、ICカード発行サイトと接続された専用線2002との接続と一時保存ファイ2045とログファイル2080を備えたアクセス管理装置185とからなる。
【００９３】
図２１にアクセス管理装置の機能構成図を示す。
【００９４】
図示するように、アクセス管理装置は警備区域内の各装置およびICカード発行サイトと情報を通信する通信部2110と、ICカードの有効性を確認するICカード有効性確認部2120と、一時保存ファイル2135を備えた職員情報管理部2130と、生体情報照合部2140と、ログファイル2155を備えて照合ログを管理するログ管理部2150からなる。
【００９５】
図２２にICカード発行サイトで実行されるICカード発行フロー図を示す。
【００９６】
ステップ2210：ICカードを発行する職員情報を収集し、発行するICカード用の検証鍵・署名鍵ペアを作成し、検証鍵については証明書の発給を受ける。
【００９７】
ここで、検証鍵・署名鍵ペアは、具体的には、RSA方式や楕円暗号方式などの公開鍵暗号技術を用いる。検証鍵には公開鍵を、署名鍵には秘密鍵を適用する。
【００９８】
また、収集する職員情報として、以下の情報などがある。これらの情報の収集において、不正が行われないように、高いセキュリティが必要である。また、検証鍵・秘密鍵の作成は、署名鍵の秘匿性を確保するため、ICカード内で行う場合もある。
【００９９】
・ＩＤ情報（公開鍵の証明書シリアル番号、職員番号、氏名、生年月日など）・業務情報（所属、職位、権限、入社年度など）
・生体情報
ステップ2220：署名鍵により職員情報全体の署名を作成する。
【０１００】
ここで署名結果は、あらかじめ決めたメッセージダイジェスト関数を用いて職員情報全体についてメッセージダイジェストを作成し、作成したメッセージダイジェストに対し、ICカード発行サイトの署名鍵を用いて暗号化することで得る。
【０１０１】
ステップ2230：ステップ2210で収集した職員情報、証明書、および、ステップ2220で得た署名結果などの情報をICカードへ登録する。
【０１０２】
ステップ2240：ステップ2230のICカードを該当する利用者へ配布する。
【０１０３】
ここで、ICカードに登録された職員情報に合致した利用者へ確実に配布するため、書留便などを利用することもある。
【０１０４】
図２３に、各警備区域への入場フロー図を示す。
【０１０５】
ステップ2310：ICカードの登録情報の正当性を確認する検証鍵、および、無効ICカードリストを取得する。
【０１０６】
ここで、検証鍵および無効ICカードリストの取得は、専用線などのネットワークや暗号通信（メイル）などを用いて行い、これらの情報の正当性を確認する。
【０１０７】
この処理は、定期的に行い（例えば、毎朝または毎夜など）、最新の無効ICカードリストを取得するようにする。
【０１０８】
また、無効ICカードリストは、ICカード発行サイトが利用者に対して発行したICカードのうち、職員の退職や移動などや紛失・盗難により無効となったICカードで、ICカード発行サイトが回収していないICカードについて、リストアップしたものである。このリストでICカードの有効期限を持つ場合に限り、有効期限により無効になっていない未回収のICカードにリストを限定することも可能である。
【０１０９】
ステップ2315：ドア管理装置とアクセス管理装置の間の暗号化通信を確立する。具体的には図３に記載した方法で行う。
【０１１０】
ステップ2320：職員の入室処理を開始する。
【０１１１】
ステップ2325：ドア管理装置は、ICカードの間で、相互認証を行う。具体的には図３に記載した方法で行う。この相互認証でICカードの正当性が確認されない場合は、入室処理を終了する。正当なICカードと認証された場合は、ステップ2330に進む。
【０１１２】
ステップ2330：ドア管理装置は、ICカードより職員情報および署名情報を読み込む。
【０１１３】
ステップ2335：ステップ2330で読み込んだ職員情報および署名情報をアクセス管理装置へ転送する。
【０１１４】
ステップ2340：アクセス管理装置では、ステップ2310で取得した検証鍵を用いて職員情報の正当性を確認する。具体的には、職員情報について、ステップ2220で行った同じ方法でメッセージダイジェストを作成し、署名情報を検証鍵で復号したものと比較照合することで、確認する。一致していれば正当性が確認できる。
【０１１５】
ここで、正当性が確認できなければ、入室処理を終了する。職員情報の正当性が確認できれば、ステップ2345へ進む。
【０１１６】
ステップ2345：アクセス管理装置では、職員情報を一時保管ファイルへ記録する。また、職員番号と職員の入場をログファイルへ記録する。
【０１１７】
ステップ2350：ドア管理装置によりドアを開き、入室処理を終了する。
【０１１８】
職員の端末ログインについては、図５、図６にて記載の手順に従い行う。
【０１１９】
職員の退場処理については、図７にて記載の手順に従い行う。
【０１２０】
以上のように、複数の区域にまたがる警備区域にある警備対象に対し、ICカードを持ち、正規の手続を経て警備区域に入場した利用者のみに警備対象へのアクセスを許可することが可能である。例えば、複数の支店を持ち、秘匿するべき情報を扱う金融や証券や保険分野や一般企業などに適用できる。本発明を用いることで、比較的低コストで、高いセキュリティを保ったまま、支店間の職員流動化を促進し人的資源の活用することが可能である。
【０１２１】
また、テナントビルなどフロア毎に異なる事業主が占有し、不特定の利用者の往来が可能なビルの各フロアに適用できる。このようなテナントビルの各事業主のセキュリティレベルに合わせ、占有するフロアに本発明を適用することで、占有フロアが複数フロアにまたがった場合でも比較的低コストで高いセキュリティを保つことができる。
【０１２２】
以上、本発明の第二の実施形態について説明した。
【０１２３】
以上の実施形態において、図２０で示した各警備区域について、入退場の制限機能を省略し、警備対象へのアクセスのみに着目した例を図２４に示す。
【０１２４】
図示するように、各拠点の入退場時にICカードと連動したドア管理装置が省略されており、その代わりとして、ICカードリーダ2420を持った一時保存ファイル2445とログファイル2380を備えたアクセス管理装置2485を持っている。
【０１２５】
ここで、アクセス管理装置2485は職員の出退勤を管理する機能を備えており、職員は出勤時にICカード2460をアクセス管理装置2485のカードリーダ2420に提示し、ICカード2460および職員情報の正当性を確認した上で、職員情報を一時保存ファイル2445に記録する。また、退勤時に同様にICカード2460をアクセス管理装置のカードリーダ2420に提示し、該当する職員の職員情報を一時保存ファイル2445から削除する。
【０１２６】
さらに、職員情報のアクセス権限の管理に着目した例を図２５に示す。
【０１２７】
図示するように、図２４同様に入退場時にICカードと連動したドア管理装置が省略されており、その代わりとして、ICカードリーダ2520と生体情報入力装置2525（例えば指紋入力装置）を持った一時保存ファイル2545とログファイル2580を備えたアクセス管理装置2585を持っている。また、端末に備えた生体入力装置も省略しており、その代わりとして、パスワードなどの個人認証情報を職員情報に備えている。
【０１２８】
ここで、他の拠点から派遣された職員はアクセス管理装置2585に接続されたICカードリーダ2520にICカードを提示し、アクセス管理装置2585はICカード2560と職員情報の正当性を確認の後、生体情報入力装置2525より職員の生体情報（例えば指紋）を入力し、職員情報に含んでいる生体情報と比較照合し、ICカードの持ち主の正当性を確認した後、職員情報を一時保存ファイル2545へ記録する。また、端末における本人認証処理は、一時保存ファイルに保存されたパスワード情報により実行される。
【０１２９】
以上のような実施形態を取ることにより、他の拠点から派遣された職員の正当性および業務権限を確認することが可能となり、低コストである程度セキュリティを確保したまま、支店間にまたがって人的資源を活用することが可能である。
【０１３０】
【発明の効果】
以上のように、本発明によれば、比較的低コストで、特定の利用者だけが入退場できる警備区域内にある警備対象のセキュリティを高めることができる。
【０１３１】
さらに、本発明によれば、複数の区域にまたがる警備区域内にある警備対象ついても、比較的低コストで、セキュリティを高めることができる。
【図面の簡単な説明】
【図１】セキュリティシステムの構成を示すブロック図である。
【図２】  ICカードの構成を示すブロック図である。
【図３】ビル入場時に行う処理を示したフローチャートである。
【図４】一時保存ファイルの内容を示す図である。
【図５】端末へのログオン時に行う処理を示したフローチャートである。
【図６】指紋照合の処理を示したフローチャートである。
【図７】ビル退場時に行う処理を示したフローチャートである。
【図８】ログファイルの内容を示す図である。
【図９】端末へのログオン時に行う処理を示したフローチャートである。
【図１０】ビル入場時に指紋照合を行う場合の処理を示したフローチャートである。
【図１１】一時保存ファイルの内容を示す図である。
【図１２】判定パラメータと照合誤差の関係を示す図である。
【図１３】職員ごとに設定した判定パラメータを示す図である。
【図１４】アクセス先ごとに設定した判定パラメータを示す図である。
【図１５】季節ごとに設定した判定パラメータを示す図である。
【図１６】組み合わせて用いる他の本人認証手段ごとに設定した照合パラメータを示す図である。
【図１７】判定パラメータを用いて指紋照合を行う場合の処理を示したフローチャートである。
【図１８】第二の実施例における複数の区域に警備区域がまたがる場合のセキュリティシステムの全体構成を示す図である。
【図１９】第二の実施例におけるICカード発行サイトの機能構成を示す図である。
【図２０】第二の実施例における各警備区域の装置構成を示す図である。
【図２１】第二の実施例におけるアクセス管理装置の機能構成を示す図である。
【図２２】第二の実施例におけるICカードの発行処理を示したフローチャートである。
【図２３】第二の実施例における各警備区域の入場処理を示したフローチャートである。
【図２４】第二の実施例における複数拠点にまたがる場合の各拠点の装置構成を示す図である。
【図２５】第二の実施例におけるユーザー登録の低コスト化に着目した各拠点の装置構成を示す図である。
【符号の説明】
120、121  ICカードリーダライタ、125  ドア管理装置、125  ドア管理装置、135、170  指紋入力装置、150  ホストコンピュータ、155  内ドア管理装置、165端末、175  ネットワーク、185  アクセス管理装置、200  ICカード
【図１】
0003835132.tif 000002
【図２】
0003835132.tif 000003
【図３】
0003835132.tif 000004
【図４】
0003835132.tif 000005
【図５】
0003835132.tif 000006
【図６】
0003835132.tif 000007
【図７】
0003835132.tif 000008
【図８】
0003835132.tif 000009
【図９】
0003835132.tif 000010
【図１０】
0003835132.tif 000011
【図１１】
0003835132.tif 000012
【図１２】
0003835132.tif 000013
【図１３】
0003835132.tif 000014
【図１４】
0003835132.tif 000015
【図１５】
0003835132.tif 000016
【図１６】
0003835132.tif 000017
【図１７】
0003835132.tif 000018
【図１８】
0003835132.tif 000019
【図１９】
0003835132.tif 000020
【図２０】
0003835132.tif 000021
【図２１】
0003835132.tif 000022
【図２２】
0003835132.tif 000023
【図２３】
0003835132.tif 000024
【図２４】
0003835132.tif 000025
【図２５】
0003835132.tif 000026