JP2011175565A - セキュリティ統合運用管理システム - Google Patents

Abstract

【課題】人・モノ・情報をコントロールする各種セキュリティ対策製品の運用を確実かつ柔軟に行う。
【解決手段】セキュリティ統合運用管理システムは、人、モノ又は情報(組合せ)に付与するメタデータを管理するメタデータハンドラと、その組合せの各々をポリシー情報に応じてコントロールするポリシーハンドラと、メタデータ情報とポリシー情報とを管理する管理サーバとが互いに接続する。管理サーバは、メタデータの型および値フォーマットを定義し、メタデータハンドラが管理するそれらと対応付け、ポリシー情報に関してメタデータの値ごとにコントロールアクションを定義し、ポリシーハンドラが管理するポリシー情報と対応付ける。メタデータハンドラは、メタデータ情報をその組合せの各々に付与する。ポリシーハンドラは、付与されたメタデータ情報を検出し、コントロールアクションの下で、ポリシー情報に基づいて、組合せの各々をコントロールする。
【選択図】図１

Description

本発明は、人・モノ・情報をコントロールする各種セキュリティ対策製品を運用するセキュリティ統合運用管理システムに関するものである。

人に対するセキュリティ対策として入退管理、モノに対するセキュリティ対策として資産管理、情報に対するセキュリティ対策として文書管理などの、組織における人・モノ・情報に対するセキュリティ対策は、各種セキュリティ対策製品を組み合わせて実施することが多い。こうしたセキュリティ対策製品は、一般に管理者側と利用者側とを分けて運用することが多く、管理者がセキュリティポリシーを設定し、利用者側はポリシーに従ったコントロールを適用されることが多い。

こうしたコントロールは、ＩＴによるコントロールとＮｏｎ−ＩＴによるコントロールに分類される。ＩＴによるコントロールとは、セキュリティ対策製品を使って、利用者に意識させずに、ＩＴで自動化して実施するセキュリティ対策である。Ｎｏｎ−ＩＴによるコントロールとは、利用者が意識して人手間で実施するセキュリティ対策である。

ＩＴによるコントロールは、Ｎｏｎ−ＩＴに比べて確実性が高い反面、一律の対策となるために業務効率を重視するような組織や例外的な業務の発生頻度が高い組織に対しては適用しづらい。一方、Ｎｏｎ−ＩＴによるコントロールは、ＩＴによるコントロールに比べて柔軟性が高い反面、利用者側が自ら意識して確実に実施しなければならず、人事異動の多い組織では適用しづらい。そのため、ＩＴによるコントロールとＮｏｎ−ＩＴによるコントロールのバランスをとりながら、セキュリティ対策製品の運用を、確実かつ柔軟に行うことが重要となる。

特許文献１に、オフィスシステムを構成する機器に対し、ドキュメントの取扱いルールを記述したセキュリティポリシーを配布し、当該セキュリティポリシーに基づく処理制御を行うポリシー配布サーバおよびポリシー解釈サーバが開示されている。

特許文献２に、複数のリポジトリの中から、ファイルのセキュリティレベルを満たすリポジトリを保管先として決定する保管ルール管理サーバが開示されている。

特許文献３に、守るべき資産に対する内部犯行のリスク状況を、人・資産・空間の観点から定量的に算出し、リスク値を表示部に表示するリスク監視装置が開示されている。

特開2004-166241号公報 特開2006-65570号公報 特開2008-217455号公報

しかしながら、セキュリティ運用を行う管理者にとっては、人・モノ・情報のコントロールを行う各種セキュリティ対策製品の運用を確実かつ柔軟に行うようにすればするほど、管理者自身の手間がますます増える問題を抱えている。さらに、今後も各種セキュリティ対策製品の種類や数が増えるほど、それらセキュリティ対策製品の運用を確実かつ柔軟に行うには、管理者自身の手間がますます増えるという問題を抱えている。

特許文献１によれば、ポリシー配布サーバによるポリシー解釈サーバに配布するためのポリシーの記述において、様々な業務を想定してポリシーを記述しなければならず、ポリシーの記述に手間がかかる。また、現場に任せても良い例外運用でさえポリシーの記述を無しにすることが一切認められず、例外の業務を行う頻度が高い利用者にとって使い勝手が下がり、結果として管理者への問い合わせが増えることになる。

特許文献２によれば、保管ルール管理サーバで決定する保管先（リポジトリ）として、ＰＣやファイルサーバ等が想定されている。しかし、組織が取り扱う情報は、組織外との情報のやりとりを行うために、ＵＳＢメモリやＣＤ−Ｒなどの可搬記録媒体に保管されることもあるため、業務で守るべき情報を取り扱う時に、セキュリティの抜け道が生じてしまい、抜け道がないように保管先を管理するのに手間がかかる。

特許文献３によれば、守るべき資産とは現金などが想定されている。しかし、情報の場合には同じＵＳＢメモリであっても、極秘扱いの情報を保管した場合と、社外秘扱いの情報を保管した場合とでは、ＵＳＢメモリの資産価値が変わることもある。特許文献３では、人・資産・空間の観点からリスク値を表示部に表示する時に、こうした資産の変化まで考慮されておらず、管理者にとってＵＳＢメモリの資産価値を正しく把握するのに手間がかかる。

開示されるセキュリティ統合運用管理システムは、人、モノ及び情報の１つ以上からなる組合せに付与するメタデータ情報を管理するメタデータハンドラと、その組合せの各々をポリシー情報に応じてコントロールするポリシーハンドラと、メタデータ情報とポリシー情報とを管理する統合運用管理サーバとが互いに接続するシステムである。

統合運用管理サーバは、メタデータハンドラが付与するメタデータの型および値フォーマットを定義し、メタデータハンドラが管理するメタデータの型および値フォーマットと対応付ける。メタデータハンドラは、統合運用管理サーバで定義されたメタデータの型と対応付けられたメタデータ情報をその組合せの各々に付与する。

統合運用管理サーバは、ポリシー情報に関してメタデータの値ごとにコントロールアクションを定義し、ポリシーハンドラが管理するポリシー情報と対応付ける。ポリシーハンドラは、その組合せの各々に付与されたメタデータ情報を検出し、統合運用管理サーバで対応付けられたコントロールアクションの下で、ポリシー情報に基づくその組合せ（人、モノ及び情報の１つ以上からなる組合せ）の各々のコントロールを行う。

より具体的な態様は、メタデータハンドラ上で動作するメタデータハンドラエージェントプログラムが、メタデータハンドラが管理するメタデータ情報と、統合運用管理サーバが定義したメタデータの型および値フォーマットとを対応付ける。

さらに好ましくは、メタデータハンドラエージェントプログラムが、メタデータハンドラが付与するメタデータ情報としてのメタデータの型と値フォーマットが統合運用管理サーバで定義済みの場合に、メタデータハンドラが管理するメタデータ情報と、定義済みのメタデータの型と値フォーマットとを対応付ける。

より具体的な他の態様は、ポリシーハンドラ上で動作するポリシーハンドラエージェントプログラムが、ポリシーハンドラが管理するポリシー情報と、統合運用管理サーバが定義したコントロールアクションとを対応付ける。

さらに好ましくは、ポリシーハンドラエージェントプログラムが、コントロールアクションが統合運用管理サーバで定義済みの場合に、ポリシーハンドラが管理するポリシー情報と、定義済みのコントロールアクションとを対応付ける。

より具体的なさらに他の態様は、統合運用管理サーバと接続する例外運用管理サーバを有し、例外運用管理サーバが、ポリシー情報に関してメタデータの値ごとにコントロールアクションを定義し、定義したコントロールアクションとポリシーハンドラが管理するポリシー情報とを対応付け、ポリシーハンドラが、統合運用管理サーバによるコントロールアクションと例外運用管理サーバによるコントロールアクションのいずれか一方と対応付けられたポリシー情報に基づいて、前述の組合せの各々のコントロールを行う。

より具体的なさらに他の態様は、ポリシーハンドラが、前述の組合せの各々に付与されたメタデータ情報の検出に応答して、コントロールアクションを適用するときに、メタデータ情報におけるメタデータ値が異なる場合に、表示画面上に内容が異なるアラート表示を行う。

より具体的なさらに他の態様は、ポリシーハンドラが、コントロールアクションの結果のログを、メタデータ情報を使って記録し、統合運用管理サーバが、メタデータ情報を使ったログ検索条件でログ検索し、ログ検索の結果を表示する。

開示される発明のセキュリティ統合運用管理システムによれば、セキュリティ対策製品の種類や台数が増えたとしても、管理者が手間をかけずに、確実かつ柔軟に行うことができる。

セキュリティ統合運用管理システムの全体構成図である。 セキュリティ統合運用管理システムの配置の一例を示した図である。 統合運用管理サーバのシステム構成図である。 統合メタデータのデータ構造を示した図である。 統合ポリシーのデータ構造を示した図である。 統合メタデータを設定する処理の流れを示したフローチャートである。 統合メタデータ管理画面の一例を示したインタフェースの一例である。 統合ポリシーと例外ポリシーの管理の流れを示したフローチャートである。 統合ポリシー管理画面の一例を示したインタフェースの一例である。 ポリシーハンドラにおけるコントロールの流れを示したフローチャートである。 ポリシーハンドラによるコントロールの一例を示したインタフェースである。 ポリシーハンドラによるコントロールの一例を示したインタフェースである。 ポリシーハンドラによるコントロールの一例を示したインタフェースである。 第２実施例における、ログ検索処理の流れを示したフローチャートである。 第２実施例における、ログ検索画面の一例を示したインタフェースである。 第２実施例における、ログ検索画面の一例を示したインタフェースである。

以下、図面を適宜参照しつつ、実施例を説明する。

図１を使って、セキュリティ統合運用管理システム１００の全体構成を説明する。

セキュリティ統合運用管理システム１００は、情報(データ)を格納し、かつ文書として管理される「情報」としての電子ファイル１２と、情報(データ)を格納し、かつ資産として管理される「モノ」としてのＰＣ２２と、情報(データ)を扱う主体であり、かつＩＤ管理される「人」としてのユーザＩＤ３２を、セキュリティの観点から統合的に管理するシステムである。情報は電子ファイル１２に限らず、紙やＤＢテーブルであっても良い。モノはＰＣ２２に限らず、キャビネットや可搬記録媒体であっても良い。人としてのユーザＩＤ３３は、人を識別するための情報であればその他の形態であっても良い。

セキュリティ統合運用管理システム１００は、電子ファイル１２のコントロールにおいて、メタデータ１３を使用して電子ファイル１２を識別する。同様に、ＰＣ２２のコントロールにおいて、メタデータ２３を使用してＰＣ２２を識別する。同様に、ユーザＩＤ３２のコントロールにおいて、メタデータ３３を使用してユーザＩＤ３２を識別する。なおメタデータとは「型」と「値」のペアで構成される付加情報であり、以下では「メタデータ型」と「メタデータ値」とを区別して説明する。

セキュリティ統合運用管理システム１００は、統合運用管理サーバ１と、例外運用管理サーバ２と、統合メタデータ３と、統合ポリシー４と、例外ポリシー５とが、文書管理サーバ１１と、資産管理サーバ２１と、ＩＤ管理サーバ３１と、電子メールフィルタリングサーバ１４と、可搬媒体書き出し制御管理サーバ２４と、入退管理サーバ３４とが、ネットワーク４０で接続された構成をとる。文書管理サーバ１１と、資産管理サーバ２１、ＩＤ管理サーバ３１は総称してメタデータハンドラ５０と呼ぶ。電子メールフィルタリングサーバ１４、可搬媒体書き出し制御管理サーバ２４、入退管理サーバ３４は総称してポリシーハンドラ６０と呼ぶ。

統合運用管理サーバ１は、データとして統合メタデータ３と、統合ポリシー４を持つ。統合メタデータ３とは、メタデータ型とメタデータ値フォーマットを定義した集合である。統合メタデータ定義処理部６が統合メタデータ３を管理する。統合ポリシー定義処理部７が統合ポリシー４を管理する。統合運用管理サーバ１を操作する人物を、以下「統合運用管理者」と呼ぶ。

例外運用管理サーバ２は、データとして例外ポリシー５を持つ。例外ポリシー定義処理部８が例外ポリシー５を管理する。なお、例外ポリシー定義処理部８は、統合メタデータ３を参照する機能をもつが、統合メタデータ３への追加、変更又は削除は一切行わない。例外運用管理サーバ２を操作する人物を、以下「例外運用管理者」と呼ぶ。

文書管理サーバ１１は、電子ファイル１２のメタデータ１３を管理する。メタデータ１３はメタデータ型とメタデータ値のペアからなる。文書管理サーバ１１には、メタデータ同期エージェント９を配置する。メタデータ同期エージェント９は、統合運用管理サーバ１と例外運用管理サーバ２と通信し、統合メタデータ３で定義されたメタデータ型とメタデータ値フォーマットとの整合性を確保する。

なお、メタデータハンドラ５０としての文書管理サーバ１１は、１台の文書管理サーバ１１に限らず、複数台からなる文書管理サーバ１１であっても良い。また、電子ファイル１２に限らず、紙文書やＤＢテーブルのメタデータを管理するその他のサーバであっても良い。

同様に、資産管理サーバ２１は、ＰＣ２２のメタデータ２３を管理し、メタデータ同期エージェント９が配置される。

なお、メタデータハンドラ５０としての資産管理サーバ２１は、１台の資産管理サーバ２１に限らず、複数台からなる資産管理サーバ２１であっても良い。またＰＣ２２に限らず、キャビネットや可搬媒体のメタデータを管理するその他のサーバであっても良い。

同様に、ＩＤ管理サーバ３１は、ユーザＩＤ３２のメタデータ３３を管理し、メタデータ同期エージェント９が配置される。

なお、メタデータハンドラ５０としてのＩＤ管理サーバ３１は、１台のＩＤ管理サーバ３１に限らず、複数台からなるＩＤ管理サーバ３１であっても良い。またユーザＩＤ３２に限らず、メールアドレスのメタデータを管理するその他のサーバであっても良い。

電子メールフィルタリングサーバ１４は、電子メールサーバと連携し、送信するメールがポリシーに違反していないかどうかをチェックする。電子メールフィルタリングサーバ１４が持つポリシーは、ポリシー同期エージェント１０によって、統合ポリシー４ならびに例外ポリシー５との整合性を確保する。

なお、ポリシーハンドラ６０としての電子メールフィルタリングサーバ１４は、１台の電子メールフィルタリングサーバ１４に限らず、複数台からなる電子メールフィルタリングサーバ１４であっても良い。また、電子メールのコントロールに限らず、印刷のコントロールなど、その他の情報のコントロールを管理するサーバであっても良い。

可搬媒体書き出し制御管理サーバ２４は、ＵＳＢメモリなどの可搬媒体への電子ファイル書き出しを監視し、書き出す電子ファイルがポリシーに違反していないかどうかをチェックし、ポリシー同期エージェント１０が配置される。

なお、ポリシーハンドラ６０としての可搬媒体書き出し制御管理サーバ２４は、１台の可搬媒体書き出し制御管理サーバ２４に限らず、複数台からなる可搬媒体書き出し制御管理サーバ２４であっても良い。また、可搬媒体への書き出しに限らず、キャビネットの解錠のコントロールなど、その他のモノのコントロールを管理するサーバであっても良い。

入退管理サーバ３４は、建屋や居室への人の出入りを監視し、出入りがポリシーに違反していないかどうかをチェックし、ポリシー同期エージェント１０が配置される。

なお、ポリシーハンドラ６０としての入退管理サーバ３４は、１台の入退管理サーバ３４に限らず、複数台からなる入退管理サーバ３４であっても良い。また、入退管理に限らず、ｅ―ラーニングによる教育実施状況のコントロールなど、その他の人のコントロールを管理するサーバであっても良い。

セキュリティ統合運用管理システム１００を組織構造に合わせて配置するパターンを、図２を使って説明する。ここでは簡略のために、組織構造として、情報システム部門２０１、営業部門２０２、製造部門２０３、研究開発部門２０４とから構成されるものとする。統合運用管理サーバ１を情報システム部門２０１に、例外運用管理サーバ２を、営業部門２０２、製造部門２０３、研究開発部門２０４にそれぞれ配置する。

統合運用管理サーバ１ではすべての部門に共通な統合ポリシー４を、例外運用管理サーバ２では各部門に固有の例外ポリシー５ａ、５ｂ、５ｃを管理する。こうした構成によって、すべての部門に共通な統合ポリシーと各部門に固有の例外ポリシーとの組み合わせで、組織全体に対してセキュリティ統合運用管理を行うことが可能となる。

なお、図２では各部門に例外運用管理サーバ２を配置する場合を示したが、例外運用管理サーバ２を一切置かない配置であっても良い。この場合には、統合運用管理サーバ１が、すべての部門に共通な統合ポリシー４だけでセキュリティ運用を行う。

また、図２では、統合運用管理サーバ１と例外運用管理サーバ２とが２階層の構造をとる一例を示したが、さらに、例外運用管理サーバ２がさらに子の例外運用管理サーバ２と連携するという、３階層以上の構造をとる場合であっても良い。

統合運用管理サーバ１のシステム構成を、図３を使って説明する。

統合運用管理サーバ１は、統合運用管理サーバ１の制御やデータの計算・加工を行う中央演算処理装置であるＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）３０１と、統合運用管理サーバ１内でデータやプログラムを一時的に記憶し、ＣＰＵ３０１が直接読み書き可能であるメモリ３０２と、統合運用管理サーバ１の電源を切ってもデータやプログラムが消えないように保存するための記憶装置３０３と、有線あるいは無線でネットワーク４０と通信を行う通信部３０４と、統合運用管理サーバ１の統合運用管理者にデータの計算・加工の結果をディスプレイなどに表示するための表示部３０５と、統合運用管理者からのキーボード入力やマウス入力などを受け付けるための操作部３０６とが、バス３０７で相互に接続されたハードウェア構成をとる。

例外運用管理サーバ２も、図３に示した統合運用管理サーバ１のシステム構成と同様のハードウェア構成をとり、各装置のＣＰＵが、記憶装置に格納されたプログラムを実行することにより、以下に説明する処理、機能が実現される。ただし、各実施例の説明では、便宜上、各装置のプログラムを実行主体としている。

次に図４と図５を使って、セキュリティ統合運用管理システム１００で使うデータを中心に説明する。

図４は、統合メタデータ３のデータ構造を示した図である。統合メタデータ３は、メタデータ型タイプ４０１、メタデータ型４０２、メタデータ値フォーマット４０３の組を一つのエントリとする、０個以上のエントリから構成されるテーブル形式の構造をとる。メタデータ型４０２で区別されるエントリは、メタデータハンドラ５０がもつメタデータ型および値フォーマット４１１と、対応付けデータ４１３および対応付けデータ４１４を使って同期をとる。図４に示す一例では、「情報：機密レベル」のメタデータは、文書管理サーバ１１がもつメタデータ型および値フォーマット４１１と対応付けデータ４１３により同期をとる。また「情報：カテゴリ」のメタデータも、文書管理サーバ１１のメタデータ型および値フォーマット４１１と対応付けデータ４１３により同期をとる。メタデータハンドラ５０は、統合メタデータ３と同期が取れているメタデータ型および値フォーマット４１１を使って、人、モノ及び情報の１つ以上からなる組合せのそれぞれにメタデータ値４１２を付与し管理する。

図５は統合ポリシー４のデータ構造を示した図である。統合ポリシー４は、メタデータ型４０２およびメタデータ値フォーマット４０３を使って表されるメタデータ条件５０１のそれぞれのメタデータ値毎に、コントロールアクション５０２を定義したマトリクス形式の構造をとる。コントロールアクション５０２の内容は、メタデータ型４０２およびメタデータ値フォーマット４０３を使って、セキュリティコントロールの条件を詳細に記述することもできる。コントロールアクション５０２で区別されるエントリは、ポリシーハンドラ６０が持つコントロールアクション５１１と対応付けデータ５１３および対応付けデータ５１４を使って同期をとる。図５に示す一例では、コントロールアクション５０２である「電子メール添付送信制御」のポリシー定義は、電子メールフィルタリングサーバ１４がもつコントロールアクション５１１と対応付けデータ５１３で同期をとる。また「印刷制御」のポリシー定義は、ポリシーハンドラ６０の一つとして図５に図示していない印刷制御サーバのコントロールアクションと同期をとる。さらに「可搬媒体書き出し制御」のコントロールアクションは、可搬媒体書き出し制御管理サーバ２４がもつコントロールアクション５１１と対応付けデータ５１３により同期をとる。ポリシーハンドラ６０は、コントロールアクション５１１に従って、人、モノ及び情報の１つ以上からなる組合せのそれぞれに対するコントロールを行い、そのコントロール結果をログ５１２に記録し保持する。ログ５１２の内容には、メタデータ型４０２およびメタデータ値フォーマット４０３を使って表されたログが記録される。

なお、例外ポリシー５についても、統合ポリシー４と同様のデータ構造をとり、ポリシーハンドラ６０が定義するコントロールアクションとの対応付けがなされる。

次に図６と図７を使って、統合メタデータ３の管理の流れを説明する。

統合運用管理サーバ１と、メタデータハンドラ５０の一つである文書管理サーバ１１とが連携して、統合メタデータ３を設定する処理の流れを、図６を使って説明する。
統合運用管理者は、文書管理サーバ１１のメタデータ同期エージェント９に、統合運用管理サーバ１との接続に必要な情報(ＩＰアドレス)を設定する（ステップ６０１）。メタデータ同期エージェント９は、文書管理サーバ１１で設定可能なメタデータ型および値フォーマット４１１の種類を、統合運用管理サーバ１に送信する（ステップ６０２）。

統合運用管理サーバ１の統合メタデータ定義処理部６は、ステップ６０２で送信されたメタデータ型および値フォーマット４１１が、すでに統合メタデータ３に定義されているかどうかを調べる（ステップ６０３）。もし統合メタデータ３に未定義であれば、統合メタデータ定義処理部６は、ステップ６０２で送信されたメタデータ型および値フォーマット４１１について、統合メタデータ３の該当するエントリを更新する（ステップ６０４）。統合メタデータ定義処理部６は、統合メタデータの管理インタフェースを起動する（ステップ６０５）。このインタフェースの詳細は、図７を使って後述する。統合メタデータ定義処理部６は、対応付けデータ４１４の同期をとる（ステップ６０６）。

メタデータ同期エージェント９は、対応付けデータ４１３の同期をとる（ステップ６０７）。以上により、統合メタデータ３の設定が完了する。

ステップ６０５で述べた、統合メタデータ３の管理インタフェースの一例を、図７に示す。統合メタデータ管理画面７００は、メタデータ型タイプを示したタブ７０１〜７０３と、メタデータ型４０２のツリー表示７０４と、統合運用管理者が指定したメタデータ型７０５に対応するメタデータハンドラ５０の一覧を示すリストボックス７０６と、メタデータ値フォーマット４０３を決めるプルダウンメニュー７０７およびテキストボックス７０８と、動作モードを決めるラジオボタン７０９と、適用ボタン７１０と、メッセージ表示領域７１１とから構成される。

統合運用管理者は、統合メタデータ管理画面７００を起動すると、まず、メッセージ表示領域７１１を確認し、新たに設定可能になったメタデータ型４０２やメタデータハンドラ５０がないかを確認する。次に統合運用管理者は、タブ７０１を選択し、設定したいメタデータ型４０２を、ツリー表示７０４の中から選択する。例えば「情報：機密レベル」メタデータ型７０５を選択すると、メタデータ型７０５を設定可能なメタデータハンドラ５０の一覧がリストボックス７０６に表示される。統合運用管理者は「情報：機密レベル」メタデータ型７０５の設定対象とするメタデータハンドラ５０に対して、リストボックス７０６上でチェックをつける。また、動作モードのラジオボタン７０９で、メタデータ型７０５を有効あるいは無効にするよう設定できる。統合運用管理者が適用ボタン７１０を押下すると、統合メタデータの設定が完了する。

次に図８と図９を使って、統合ポリシー４と例外ポリシー５の管理の流れを説明する。

統合運用管理サーバ１と、例外運用管理サーバ２と、ポリシーハンドラ６０の一つである電子メールフィルタリングサーバ１４とが連携し、統合ポリシー４と例外ポリシー５を管理する処理の流れを図８に示す。

統合運用管理者は、電子メールフィルタリングサーバ１４のポリシー同期エージェント１０で、統合運用管理サーバ１との接続に必要な情報（ＩＰ）アドレスを設定する（ステップ８０１）。ポリシー同期エージェント１０は、電子メールフィルタリングサーバ１４で設定可能なコントロールアクション５１１の種類を、統合運用管理サーバ１に送信する（ステップ８０２）。

統合運用管理サーバ１の統合ポリシー定義処理部７は、統合ポリシー４の定義に使用するために、統合メタデータ３を参照する（ステップ８０３）。統合ポリシー定義処理部７は、ステップ８０２で送信されたコントロールアクション５１１が、すでに統合ポリシー４で定義済みかどうかを調べる（ステップ８０４）。もし統合ポリシー４にて未定義であれば、統合ポリシー定義処理部７は、ステップ８０２で送信されたコントロールアクション５１１について、統合ポリシー４の該当するエントリに追加する（ステップ８０５）。統合ポリシー定義処理部７は、ステップ８０３で参照した統合メタデータ３を用いて、統合ポリシーの管理インタフェースを起動し、統合運用管理者による設定を可能とする（ステップ８０６）。このインタフェースの詳細は、図９を使って後述する。統合運用管理者が、例外ポリシーの定義を許す設定をしているかどうかで分岐する（ステップ８０７）。定義を許す設定ならば続くステップ８０８に、定義を許さない設定ならば続くステップ８１３に進む。

例外運用管理サーバ２の例外ポリシー定義処理部８は、例外ポリシー５の定義に使用するために、統合メタデータ３を参照する（ステップ８０８）。
例外ポリシー定義処理部８は、ステップ８０２で送信されたコントロールアクション５１１が、既に例外ポリシー５で定義済みかどうかを調べる（ステップ８０９）。もし例外ポリシー５にて未定義であれば、例外ポリシー定義処理部８は、ステップ８０２で送信されたコントロールアクション５１１について、例外ポリシー５の該当するエントリに追加する（ステップ８１０）。例外ポリシー定義処理部８は、ステップ８０８で参照した統合メタデータ３を用いて、例外ポリシーの管理インタフェースを起動し、例外運用管理者による設定を可能とする（ステップ８１１）。例外ポリシー定義処理部８は、対応付けデータ５１４の同期をとる（ステップ８１２）。

統合運用管理サーバ１の統合ポリシー定義処理部７は、対応付けデータ５１４の同期をとる（ステップ８１３）。電子メールフィルタリングサーバ１４のポリシー同期エージェント１０は、対応付けデータ５１３の同期をとる（ステップ８１４）。以上により、統合ポリシー４および例外ポリシー５の設定が完了する。

なお、ここで例外ポリシー５は、例外運用管理者によって決められるが、統合運用管理者が知らないところで勝手に決められてはいけない。そこで、ステップ８１０で例外運用管理者が設定した例外ポリシー５は、一旦、統合運用管理者に通知されて、そこで承認を受けた場合に限り、統合ポリシー５として設定されるものであっても良い。あるいは、統合運用管理者があらかじめ例外ポリシー５として設定可能なポリシーの候補を複数用意しておき、例外運用管理者によって候補のうちのいずれか一つを選択するものであっても良い。さらには、統合運用管理者が特定のコントロールアクションについては、全て例外運用管理者に設定を任せるようなものであっても良い。

ステップ８０６で述べた、統合ポリシーの管理インタフェースの一例を図９に示す。統合ポリシー管理画面９００は、コントロールアクションのツリー表示９０１と、統合運用管理者が指定したコントロールアクション９０２に対応するポリシーハンドラ６０の一覧を示すリストボックス９０３と、メタデータ型を選択するプルダウンメニュー９０４と、アクション詳細を定義するリストボックス９０５と、動作モードを決めるラジオボタン９０６と、適用ボタン９０７と、メッセージ表示領域９０８とから構成される。なお、図７の動作モードのラジオボタン７０９で無効に設定したメタデータ型は、プルダウンメニュー９０４のメニューとして表示しない。

統合運用管理者は、統合ポリシー管理画面９００を起動すると、まず、メッセージ表示領域９０８を確認し、新たに設定可能になったコントロールアクション５０２や、ポリシーハンドラ６０がないかを確認する。次に統合運用管理者は、設定したいコントロールアクション５０２を、ツリー表示９０１の中から選択する。例えば「電子メール添付送信制御」コントロールアクション９０２を選択すると、このコントロールアクション９０２を設定可能なポリシーハンドラ６０の一覧がリストボックス９０３に表示される。統合運用管理者は「電子メール添付送信制御」コントロールアクション９０２の設定対象とするポリシーハンドラ６０に対して、リストボックス９０３上でチェックをつける。さらに、リストボックス９０３には、ポリシーハンドラ６０の設置場所などの備考情報を入力する。さらに、アクション詳細を定義するリストボックス９０５上で、ポリシーの内容を直接入力する、あるいは、メタデータ型４０２およびメタデータ値フォーマット４０３を使いつつ入力する。また、動作モードのラジオボタン９０６で、コントロールアクション９０２を有効あるいは無効あるいはテストにすることを設定する。統合運用管理者が適用ボタン９０７を押下すると、統合ポリシー４の設定が完了する。

以上説明してきた、統合メタデータ３と統合ポリシー４を活用して、ポリシーハンドラ６０における人、モノ及び情報の１つ以上からなる組合せをコントロールする一例を、図１０〜図１３を使って説明する。

図１０は、ポリシーハンドラ６０の一つとして電子メールフィルタリングサーバ１４の場合の、コントロールの流れを示したフローチャートである。

電子メールフィルタリングサーバ１４は、サーバにログインしたユーザのログイン情報を確認する（ステップ１０００）。電子メールフィルタリングサーバ１４は、電子メールを受け取る（ステップ１００１）。

電子メールフィルタリングサーバ１４は、動作モード９０６を調べる（ステップ１００２）。動作モード９０６が「有効」あるいは「テスト」ならば、電子メールフィルタリングサーバ１４は、ステップ１００１で受け取った電子メールに関する各種のメタデータを、統合運用管理サーバ１に問い合わせる（ステップ１００３）。例えば、電子メールの送信者アドレスに関わるメタデータ、宛先アドレスに関わるメタデータ、添付された電子ファイルに関わるメタデータなどである。

統合運用管理サーバ１は、メタデータハンドラ５０に問い合わせてメタデータ値４１２を解決し、電子メールフィルタリングサーバ１４に返す（ステップ１００４）。例えば、ステップ１０００で確認したログイン情報を使って、IＤ管理サーバ３１に問い合わせ、「人：役職」のメタデータ値を解決する。あるいは、ステップ１００１で取得した電子メールの添付ファイルについて、文書管理サーバ１１に問い合わせ、添付ファイルの「情報：機密レベル」のメタデータ値を解決する。

電子メールフィルタリングサーバ１４は、例外ポリシー５にコントロールアクション５０２が規定されているかどうかを調べる（ステップ１００５）。例外ポリシー５にコントロールアクション５１１が規定されていれば、例外ポリシー５に違反するかどうかを調べる（ステップ１００６）。例外ポリシー５にコントロールアクション５１１が規定されていなければ、統合ポリシー４に違反するかどうかを調べる（ステップ１００７）。

統合ポリシー４あるいは例外ポリシー５に違反していれば、ログ５１２を取得する（ステップ１００８）。電子メールの送信者アドレスに関わるメタデータの一つとして、「人：ポリシー違反回数」のメタデータ値に１を加算する（ステップ１００９）。

電子メールフィルタリングサーバ１４は、メタデータ値を統合運用管理サーバ１に送信する（ステップ１０１０）。なお、本ステップは、ステップ１００９の直後に実行されなくても良く、別スレッドとして非同期に動作するものであっても良い。統合運用管理サーバ１は、メタデータ値を該当するメタデータハンドラ５０に送信する（ステップ１０１１）。「人：ポリシー違反回数」のメタデータ値であれば、ＩＤ管理サーバ３１に送信する。

電子メールフィルタリングサーバ１４は、統合ポリシー４あるいは例外ポリシー５との違反結果に応じて、電子メールの転送を制御する（ステップ１０１２）。以上により、電子メールフィルタリングサーバ１４は、情報に対するコントロールを完了する。

図１１は、ポリシーハンドラ６０として「保存可能場所制御」と「電子メール添付送信制御」と「可搬媒体書き出し制御」のコントロールアクションを持つセキュリティ対策製品によるコントロールの一例を示す。図１１では、ユーザＩＤとして「人：役職＝管理職」メタデータ３３を持つとする。

「保存可能場所制御」コントロールアクションの場合では、デスクトップ画面１１０１上において、「情報：機密レベル＝社外秘」メタデータ１３をもつ電子ファイルを、「モノ：保存可機密レベル＝秘」メタデータ２３をもつファイルサーバに保存しようとすると、アラート１１０２を表示し、保存できないようにする。

電子メール添付送信制御のコントロールの場合では、デスクトップ画面１１０３上において、「情報：機密レベル＝秘」メタデータ１３をもつ電子ファイルを、添付ファイルにして電子メールを作成すると、アラート１１０４を表示し、電子メールフィルタリングサーバ側でファイル割符を適用して送信する。

可搬媒体書き出し制御のコントロールの場合では、デスクトップ画面１１０５上において、「モノ：保存可機密レベル＝なし」メタデータ２３となるＵＳＢメモリのドライブやフォルダを開くと、アラート１１０６を表示し、保存可能な電子ファイルの条件を提示する。

図１２は図１１と同様のポリシーハンドラ６０に対し、ユーザＩＤが「人：役職＝派遣者」メタデータ３３をもつ場合のコントロールを示した一例である。

派遣者に対しては必要以上に詳細な情報を提供しないために、図１１と同様のデスクトップ画面１１０１、１１０３、１１０５において、図１１と異なるアラート１２０２、１２０４、１２０６を提示した上で、図１１と同様のコントロールアクションを適用する。

なお図１１と図１２では、同じコントロールアクションを適用する場合でも、ユーザＩＤのメタデータとして「人：役職」のメタデータ値が異なる場合に、異なるアラートを提示してコントロールする一例を述べた。その他にも「人：ポリシー違反回数」のメタデータ値に応じて、違反回数が少ない間は優しい口調の、増えるにつれて厳しい口調のアラートを提示するものであっても良い。さらには「人：使用言語」のメタデータ値に応じて異なる言語でアラートを提示するコントロールであっても良い。

図１３は、ポリシーハンドラ６０として「入退管理制御」のコントロールアクションをもつセキュリティ対策製品のコントロールの一例を示す。ユーザＩＤは「人：役職＝一般社員」メタデータ３３をもつとする。

入退管理制御（１）では、「モノ：持ち出し許可＝Ｙｅｓ」メタデータ２３をもつＵＳＢメモリに、「情報：機密レベル＝公開可」メタデータ１３をもつ電子ファイルを格納している場合に、入退ゲートに備え付けのリーダ１３０１にＵＳＢメモリをかざすと、ＵＳＢメモリを識別し、ＵＳＢメモリに書き出された電子ファイルをトレースし、表示部３０１にアラート１３０２を提示する。

同様に入退管理制御（２）では、「モノ：持ち出し許可＝Ｙｅｓ」メタデータ２３をもつＵＳＢメモリに、「情報：機密レベル＝極秘」メタデータ１３をもつ電子ファイルを格納している場合に、同様にリーダ１３０１にＵＳＢメモリをかざすと、表示部３０１にアラート１３０３を提示する。

アラート１３０２およびアラート１３０３は「人：役職＝一般社員」メタデータ３３をもつ場合の一例であるが、「人：役職」の違うメタデータ値の場合には、前記アラート１３０２およびアラート１３０３の表示内容が異なるものであっても良い。

このように、セキュリティ統合運用管理システム１００は、人、モノ及び情報の１つ以上からなる組合せに付与されたメタデータの組み合わせに応じて、ポリシーハンドラ６０のコントロールを柔軟に変化させることができる。

またポリシーハンドラ６０を後から追加する場合にも、統合運用管理サーバ１で統合ポリシーを規定しておくことで、管理者にとって個別のポリシー設定を行なわずに、他のポリシーハンドラ６０と整合性をとれたポリシー設定を行なうことができる。

さらにユーザにとっては、自身の役職などにふさわしいアラートが出ることで、セキュリティ違反の理由を知ることや、必要以上にルールの詳細を知ることなく、Ｎｏｎ−ＩＴによるセキュリティ対策を正しく実行することができる。

本実施例では、セキュリティ統合運用管理システム１００において、ポリシーハンドラ６０にて、統合メタデータ３と統合ポリシー４を活用して、ポリシーハンドラ６０におけるログ５１２を検索するという実施形態を示す。図１４〜図１６を使ってログ検索の実施形態を説明する。

ログ検索処理の流れを、図１４に示すフローチャートを使って説明する。統合運用管理サーバ１は、統合メタデータ３を参照し、ログ検索に使用可能なメタデータ型４０２およびメタデータ値フォーマット４０３をロードする（ステップ１４０１）。統合運用管理サーバ１は、統合ポリシー４を参照し、ログ検索に使用可能なコントロールアクション５０２をロードする（ステップ１４０２）。統合運用管理サーバ１は、ログ検索に使うためのインタフェースを起動する（ステップ１４０３）。インタフェースの詳細は、図１５および図１６を使って後述する。

統合運用管理サーバ１は、ポリシーハンドラ６０が保有するログ５１２を検索する（ステップ１４０４）。統合運用管理サーバは、ログ５１２に記載された情報から、メタデータ値をメタデータハンドラ５０に問い合わせることで、解決する（ステップ１４０５）。

統合運用管理サーバ１は、統合メタデータ３で定義されたメタデータ型４０２およびメタデータ値フォーマット４０３に従って集計する（ステップ１４０６）。例えば「人：役職」のメタデータ値に応じて集計しても良い。統合運用管理サーバ１は、検索結果を表示部３０５に表示する（ステップ１４０７）。以上のステップにより、ログ検索処理を実現する。

ステップ１４０３で述べたログ検索画面の一例を、図１５を使って説明する。ログ検索画面１５００は、ログ検索条件として、日時を指定するテキストボックス１５０１、ポリシーハンドラを指定するリストボックス１５０２、メタデータを指定するテキストボックス１５０３、ログの種別を指定するチェックボックス群１５０４、検索ボタン１５０５、検索条件保存ボタン１５０６、検索条件呼び出しボタン１５０７、検索結果表示領域１５０８とから構成される。

統合運用管理者は、検索条件として日時、ポリシーハンドラ、メタデータ、種別を指定し、検索ボタン１５０５を押下することで、ポリシーハンドラ６０が保有するログ５１２の検索結果が検索結果表示領域１５０８に表示されるので、その内容を確認することができる。

図１６は、ステップ１４０３で述べたログ検索画面の一例を示したインタフェース図である。

メタデータ管理画面１６０１は、ステップ１４０１で統合メタデータ３を参照し、「人：ポリシー違反回数」のメタデータ値を読み込み、各部門別にポリシー違反の回数の分布を表示する円グラフ１６０２と、部門毎にポリシー違反回数の多いユーザをランキング表示した領域１６０３と、閉じるボタン１６０５とから構成される。ランキング表示した領域１６０３の各ユーザはクリッカブルになっており、統合運用管理者がユーザ１６０４をクリックすると、ポリシー違反傾向画面１６１１を表示する。

ポリシー違反傾向画面１６１１は、特定ユーザに関して、月別ごとの違反傾向を表示する領域１６１２と、閉じるボタン１６１４とから構成される。月別ごとの違反傾向を表示する領域１６１２の各行はクリッカブルになっており、統合運用管理者が行１６１３をクリックすると、ポリシー違反内容画面１６２１を表示する。

例えば図１６に示すポリシー違反傾向画面１６１１の一例によると、集合教育を実施した４月とその直後である６月までは違反回数が少なかったが、７月以降に急に違反回数が増えていることが分かる。

ポリシー違反内容画面１６２１は、ログ表示領域１６２２と、閉じるボタン１６２３とから構成される。統合運用管理者は、メタデータ管理画面１６０１と、ポリシー違反傾向画面１６１１と、ポリシー違反内容画面１６２１を使い分けることで、ドリルダウン式に詳細なログ情報をたどることができる。

実施例２においては、大量のログ情報に対し、統合メタデータを使ってログ検索条件を設定できることで、統合運用管理者が参照したいログの取り込みと、参照したくないログの排除とを、効率良く絞り込むことができる。

以上の実施形態によれば、人、モノ及び情報の１つ以上からなる組合せをコントロールする各種セキュリティ対策製品の運用に関し、統合メタデータおよび統合ポリシーを集中的に管理することで、セキュリティ対策製品の種類や台数が増えたとしても、管理者が手間をかけずに、確実かつ柔軟に行うことができる。

さらに、ポリシーに違反した時のコントロールアクションが同じであっても、人、モノ及び情報の１つ以上からなる組合せに付与されたメタデータ情報に応じてアラート内容を変えるために、適切なアラート情報を利用者に提示すると共に、不必要な情報まで利用者に提示することを防ぐことができる。

さらに、各種セキュリティ対策製品のログが、統合メタデータで定義されたメタデータ型およびメタデータ値フォーマットを使って表されるために、必要なログの取り込みあるいは不要なログの排除を、メタデータを使ったログ検索条件の指定で効率良く行うことができる。

１：統合運用管理サーバ、２：例外運用管理サーバ、３：統合メタデータ、４：統合ポリシー、５：例外ポリシー、６：統合メタデータ定義処理部、７：統合ポリシー定義処理部、８：例外ポリシー定義処理部、９：メタデータ同期エージェント、１０：ポリシー同期エージェント、１１：文書管理サーバ、１２：電子ファイル、１３：メタデータ、１４：電子メールフィルタリングサーバ、２１：資産管理サーバ、２２：ＰＣ、２３：メタデータ、２４：可搬媒体書き出し制御管理サーバ、３１：ＩＤ管理サーバ、３２：ユーザＩＤ、３３：メタデータ、３４：入退管理サーバ、４０：ネットワーク、５０：メタデータハンドラ、６０：ポリシーハンドラ、１００：セキュリティ統合運用管理システム、２０１：情報システム部門、２０２：営業部門、２０３：製造部門、２０４：研究開発部門、３０１：ＣＰＵ、３０２：メモリ、３０３：記憶装置、３０４：通信部、３０５：表示部、３０６：操作部、４０１：メタデータ型タイプ、４０２：メタデータ型、４０３：メタデータ値フォーマット、４１１：メタデータ型および値フォーマット、４１２：メタデータ値、４１３：対応付けデータ、４１４：対応付けデータ、５０１：メタデータ条件、５０２：コントロールアクション、５１１：コントロールアクション、５１２：ログ、５１３：対応付けデータ、５１４：対応付けデータ、７００：統合メタデータ管理画面、９００：統合ポリシー管理画面、１３０１：リーダ、１５００：ログ検索画面、１６０１：メタデータ管理画面、１６１１：ポリシー違反傾向画面、１６２１：ポリシー違反内容画面。

Claims (8)

1. 人、モノ及び情報の１つ以上からなる組合せの各々に付与する第１のメタデータ情報を管理するメタデータハンドラと、前記組合せの各々を第１のポリシー情報に応じてコントロールするポリシーハンドラと、第２のメタデータ情報と第２のポリシー情報とを管理する統合運用管理サーバとが接続するセキュリティ統合運用管理システムにおいて、
   前記統合運用管理サーバが、前記メタデータハンドラが付与する前記第１のメタデータ情報としてのメタデータの型および値フォーマットを定義し、定義した前記メタデータの型および値フォーマットと前記メタデータハンドラが管理するメタデータの型および値フォーマットとを対応付け、
   前記メタデータハンドラが、前記統合運用管理サーバで定義された前記メタデータの型と対応付けられた前記第１のメタデータ情報を前記組合せの各々に付与し、
   前記統合運用管理サーバが、前記第２のポリシー情報に関して前記メタデータの値ごとに第１のコントロールアクションを定義し、定義した前記第１のコントロールアクションと前記ポリシーハンドラが管理する前記第１のポリシー情報とを対応付け、
   前記ポリシーハンドラが、前記組合せの各々に付与された前記第１のメタデータ情報を検出し、検出した前記第１のメタデータ情報に、前記統合運用管理サーバで対応付けられた前記コントロールアクションの下で、前記第１のポリシー情報に基づく前記組合せの各々のコントロールを行う、
   ことを特徴とするセキュリティ統合運用管理システム。
2. 請求項１記載のセキュリティ統合運用管理システムにおいて、
   前記メタデータハンドラ上で動作するメタデータハンドラエージェントプログラムが、
   前記メタデータハンドラが管理する前記第１のメタデータ情報と、前記統合運用管理サーバが定義した前記メタデータの型および値フォーマットとを対応付けることを特徴とするセキュリティ統合運用管理システム。
3. 請求項２記載のセキュリティ統合運用管理システムにおいて、前記メタデータハンドラエージェントプログラムが、
   前記メタデータハンドラが付与する前記第１のメタデータ情報としてのメタデータの型と値フォーマットが前記統合運用管理サーバで定義済みの場合に、前記メタデータハンドラが管理する前記第１のメタデータ情報と、定義済みの前記メタデータの型と値フォーマットとを対応付けることを特徴とするセキュリティ統合運用管理システム。
4. 請求項１〜３のいずれか１項に記載のセキュリティ統合運用管理システムにおいて、
   前記ポリシーハンドラ上で動作するポリシーハンドラエージェントプログラムが、
   前記ポリシーハンドラが管理する前記第１のポリシー情報と、前記統合運用管理サーバが定義した前記コントロールアクションとを対応付けることを特徴とするセキュリティ統合運用管理システム。
5. 請求項４記載のセキュリティ統合運用管理システムにおいて、前記ポリシーハンドラエージェントプログラムが、
   前記コントロールアクションが前記統合運用管理サーバで定義済みの場合に、前記ポリシーハンドラが管理する前記第１のポリシー情報と、定義済みの前記コントロールアクションとを対応付けることを特徴とするセキュリティ統合運用管理システム。
6. 請求項１〜５のいずれか１項に記載のセキュリティ統合運用管理システムにおいて、
   前記統合運用管理サーバと接続する例外運用管理サーバを有し、
   前記例外運用管理サーバが、前記第２のポリシー情報に関して前記メタデータの値ごとに第２のコントロールアクションを定義し、定義した前記第２のコントロールアクションと前記ポリシーハンドラが管理する前記第１のポリシー情報との対応付け、
   前記ポリシーハンドラが、前記第１のコントロールアクション及び前記第２のコントロールアクションのいずれか一方と対応付けられた前記第１のポリシー情報に基づいて 、前記組合せの各々のコントロールを行うことを特徴とするセキュリティ統合運用管理システム。
7. 請求項１〜６のいずれか１項に記載のセキュリティ統合運用管理システムにおいて、
   前記ポリシーハンドラが、前記組合せの各々に付与された前記第１のメタデータ情報の検出に応答して、前記第１のコントロールアクションを適用するときに、前記メタデータ情報におけるメタデータ値が異なる場合に、表示画面上に内容が異なるアラート表示を行うことを特徴とするセキュリティ統合運用管理システム。
8. 請求項１〜７のいずれか１項に記載のセキュリティ統合運用管理システムにおいて、
   前記ポリシーハンドラが、前記第１のコントロールアクションの結果のログを、前記第１のメタデータ情報を使って記録し、
   前記統合運用管理サーバが、前記第１のメタデータ情報を使ったログ検索条件でログ検索し、前記ログ検索の結果を表示することを特徴とするセキュリティ統合運用管理システム。

Images