セキュリティポリシー管理システム及びセキュリティリスク管理装置を備えたセキュリティポリシー管理システム
【課題】各認証システムのＡＣＬの設定、セキュリティポリシーの変更、不正アクセスの分析などの作業を共通したインターフェイスで行えるようする。
【解決手段】認証システム２ａ〜２ｅのセキュリティポリシーの新規追加／変更／削除がある場合、部署別ポリシー設定部１１の表示部１１ａ上にて該当する認証システムのアクセス制御設定を行う。ポリシーマスタ生成部１２はアクセス制御の設定状態に基づいてセキュリティポリシーの更新を行い、更新されたセキュリティポリシーに基づいて認証システム別変換ルールＤＢ１７の変換ルールに従って各管理システム２ａ〜２ｅのＡＣＬに変換し、当該ＡＣＬを各認証システム２ａ〜２ｅに自動配布する。セキュリティリスク管理装置２０は、管理システム２ａ〜２ｅから出力されるログをリスク分析ルールに従って判定し、セキュリティポリシー違反判断条件にマッチするログがあると、セキュリティリスク表示部２２ａに警告表示する。
【解決手段】認証システム２ａ〜２ｅのセキュリティポリシーの新規追加／変更／削除がある場合、部署別ポリシー設定部１１の表示部１１ａ上にて該当する認証システムのアクセス制御設定を行う。ポリシーマスタ生成部１２はアクセス制御の設定状態に基づいてセキュリティポリシーの更新を行い、更新されたセキュリティポリシーに基づいて認証システム別変換ルールＤＢ１７の変換ルールに従って各管理システム２ａ〜２ｅのＡＣＬに変換し、当該ＡＣＬを各認証システム２ａ〜２ｅに自動配布する。セキュリティリスク管理装置２０は、管理システム２ａ〜２ｅから出力されるログをリスク分析ルールに従って判定し、セキュリティポリシー違反判断条件にマッチするログがあると、セキュリティリスク表示部２２ａに警告表示する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、各種認証システムとネットワークを介して接続され、該認証システムの認証対象機器に対するアクセス制御リストの設定や認証システムの追加、削除、変更に伴うアクセス制御リストの更新を一元的に管理するセキュリティポリシー管理システム及びセキュリティリスク管理装置を備えたセキュリティポリシー管理システムに関する。
【背景技術】
【０００２】
近年、オフィスの業務では、業務の効率化を図るため、パソコン（ＰＣ）やプリンタなどの情報システムが共有化され、ネットワークを介して必要な情報に簡単にアクセスすることが可能であるから、機密情報など重要な情報を含むファイルの漏洩や改ざんを防ぐために、アクセス制御などのポリシーを定めて管理するセキュリティポリシー管理が非常に重要となってきており、例えば、特許文献１には、コンピュータシステムにおけるファイルやアプリケーションやサービス等などに対して個別のアクセス権限のレベルを設定し、その設定されたルール（規則）に従ってアクセス制御リスト（以下、ＡＣＬ：Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ｌｉｓｔ）を作成し、アクセス時において、ＡＣＬと照らし合わせてチェックすることにより、アクセスを許可するか拒否するかを判断する管理システムが提案されている。また、重要な機密情報や機密書類あるいは資産を収納するセキュリティエリアに立ち入る際の扉やキャビネットや収納庫の扉あるいはデスクの引出等を施錠・開錠する鍵を電子化し、ＩＣカード認証や生体認証等によりアクセス制御する技術として特許文献２には、複数台の机、キャビネット等の引出、扉の施錠管理を施錠管理者の権限に応じて制御するシステムが開示されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００５−１８２４７８号公報
【特許文献２】特開平７−２３８７２３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
特許文献１はパソコン（ＰＣ）やプリンタなどの情報システムのアクセス制御に関し、他方特許文献２はキャビネット、机の扉、引出等に対して施錠／解錠するアクセス制御に関するものであるがオフィスなどの環境下では、これらパソコン（ＰＣ）やプリンタなどの情報システムや施錠／解錠に関するアクセス制御をそれぞれ個別に管理するのではなく、一元的に管理することが組織全体として一貫したセキュリティを確保する上で望ましい。すなわち、オフィスなどの環境下ではアクセス者の地位（例えば、「一般社員」「課長」「部長」「幹部」など）によってもセキュリティレベルが設定され、パソコン（ＰＣ）やプリンタや施錠／解錠の管理をそれぞれ個別に管理したのではシステムが複雑となり、システム開発や運用コストがかかってしまう。さらに、パソコン（ＰＣ）やプリンタ、施錠／解錠のアクセス管理をそれぞれ個別の認証システムで管理する場合、各認証システム毎にＡＣＬを設定する必要があるとともに、例えば、ある部署でセキュリティポリシーを変更する場合、各認証システム毎に変更する必要があるため、非効率的である。また、セキュリティ対策として各認証システムにおいて不正アクセスの分析や不正アクセスの際のセキュリティリスクの表示なども各認証システム毎に行う場合、組織全体として一貫したリスク管理も難しく、これらの各認証システム毎のＡＣＬの設定、セキュリティポリシーの変更あるいは不正アクセスの分析やセキュリティリスクの表示などは共通したインターフェイスで行えるのが望ましい。
【０００５】
本発明は上記課題を鑑みてなされたものであり、システム全体に一貫したセキュリティポリシーを共有させてポリシー変更などに伴うアクセス制御の変更を簡単かつ迅速に対応できるとともに、各認証システムのＡＣＬの設定、セキュリティポリシーの変更、不正アクセスの分析などの作業を共通したインターフェイスで行え、かつ、不正アクセスの分析によるセキュリティリスクを共通したインターフェイスに表示することができるセキュリティリスク管理装置を備えたセキュリティポリシー管理システムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
請求項１のセキュリティポリシー管理システムは、対象機器又はシステムをそれぞれ個別にアクセス制御する各種の認証システムと、この各認証システムとネットワークを介して接続され、該認証システムの認証対象機器に対するアクセス制御の設定や認証システムの追加、削除、変更に伴うアクセス制御リストの更新を一元的に管理するセキュリティポリシー管理システムであって、前記セキュリティポリシー管理システムは、オフィスの部署毎に個別に決められたセキュリティポリシーに従って前記認証システムそれぞれのアクセス制御を設定する部署別ポリシー設定部と、この部署別ポリシー設定部で設定した値に基づいたセキュリティポリシーを生成するポリシーマスタ生成部と、該ポリシーマスタ生成部にて生成されたセキュリティポリシーを登録するポリシーマスタＤＢ（データベース）と、該ポリシーマスタＤＢに登録されたセキュリティポリシーを、前記認証システムに合致したアクセス制御リストに変換するためのルールを格納する認証システム別変換ルールＤＢ（データベース）と、前記ポリシーマスタＤＢに登録されたセキュリティポリシーを、前記認証システム別変換ルールＤＢに登録された変換ルールに従って変換することで得られるアクセス制御リストを前記各認証システムに送付するポリシー自動配布部とを備え、前記部署別ポリシー設定部は、各部署毎の設定パラメータ情報を格納する設定パラメータＤＢ（データベース）と、この設定パラメータＤＢに格納される前記各部署の設定パラメータ毎にセキュリティポリシーを設定するための表示部を備え、この表示部で各部署別のセキュリティポリシーを設定すると、前記ポリシーマスタ生成部は、前記表示部で設定したセキュリティポリシーに従って前記ポリシーマスタＤＢを更新し、前記ポリシー自動配布部は、更新したセキュリティポリシーを認証システム別変換ルールＤＢに登録された変換ルールに従って各認証システム独自の命令であるアクセス制御リストに変換し、当該アクセス制御リストを前記各認証システムに配布するように構成したことを特徴とする。
【０００７】
請求項１の構成によれば、設定パラメータＤＢには認証システム毎の設定パラメータとして各認証システムの認証対象（サーバ、ＰＣ、プリンタ、可搬媒体、ドアなど）やその認証対象に対してアクセスを許可するか拒否するかの判定情報が格納される。部署別ポリシー設定部の表示部には設定パラメータＤＢに格納される情報に基づいて部署（例えば、総務部、経理部、営業部、開発部、事業部など）毎に各認証システムと各認証システムが制御する認証対象が表示されるとともに、各認証対象に対してアクセスを許可するか拒否するかを設定するチェック項目が表示される。このチェック項目にて各部署毎に各認証対象に対するアクセスの許可又は拒否を設定すると、これらのアクセスの許可又は拒否の設定が各部署別のセキュリティポリシーとしてポリシーマスタ生成部によってポリシーマスタＤＢに反映され、該セキュリティポリシーは認証システム別変換ルールＤＢに登録される変換ルールに従ってポリシー自動配布部によりアクセス制御リストに変換され、この変換されたアクセス制御リストが同じくポリシー自動配布部から各認証システムに配布される。
【０００８】
請求項２のセキュリティリスク管理装置を備えたセキュリティポリシー管理システムは、請求項１記載のセキュリティポリシー管理システムにおいて、前記各認証システムから送られるログを監視し、そのログを分析してセキュリティリスクを管理するセキュリティリスク管理装置を備え、このセキュリティリスク管理装置は、前記各認証システムから送られるログを自動収集するログ収集部と、このログ収集部で収集した前記各認証システムのログを分析してポリシー違反を判定するセキュリティリスク分析部を備えるとともに、このセキュリティリスク分析部による分析結果を表示する表示部を備えたことを特徴とする。
【０００９】
請求項２の構成によれば、ログ収集部は、各認証システムから出力されるログを収集し、収集したログをセキュリティリスク分析部で分析し、ポリシー違反が無いか否かを判定し、その分析結果を表示部に表示する。
【００１０】
請求項３の前記セキュリティリスク分析部は、前記ログ収集部で収集した前記各認証システムのログの相関関係に従ってポリシー違反か否かを判定する際のルールを格納するリスク分析ルールＤＢ（データベース）を備え、そのリスク分析ルールＤＢに格納した判定ルールに従ってポリシー違反と判定された際、前記表示部に警告表示することを特徴とする。
【００１１】
請求項３の構成によれば、リスク分析ルールＤＢに格納した判定ルールに従ってポリシー違反の判断条件にマッチするログがあると、表示部に警告表示する。
【発明の効果】
【００１２】
本発明によれば、オフィスにおける各種認証システム及びそれら各認証システムの認証対象機器に対するアクセス制御リストの設定や認証システムの追加、削除、変更に伴うアクセス制御リストの更新を部署別ポリシー設定部によって一元的に管理することができるとともに、これら各認証システムのセキュリティポリシーの設定やセキュリティポリシーの変更を部署別ポリシー設定部により一元的に処理できる。さらに、各認証システムから出力されるログを分析し、セキュリティリスク管理装置の表示部にリスク発生状況の一覧を表示することによって、ログの分析結果としてセキュリティポリシー違反があると、表示部に警告表示されるのでセキュリティポリシー違反を早期に発見することができ、セキュリティの安全性も向上することができる。
【図面の簡単な説明】
【００１３】
【図１】本発明の一実施例におけるシステム構成図である。
【図２】同上、認証システムの追加、削除、変更に伴う処理手順を示すフローチャートである。
【図３】同上、セキュリティポリシーの設定から更新したＡＣＬを各認証システムへ配布するまでの処理を示すフローチャートである。
【図４】同上、セキュリティリスクの分析処理を示すフローチャートである。
【図５】同上、部署別ポリシー設定部の設定管理画面を示す説明図である。
【図６】同上、セキュリティリスクの発生状況を一覧表示した表示画面を示す説明図である。
【図７】同上、設定パラメータＤＢのデータの一例を示す説明図である。
【図８】同上、ポリシーマスタＤＢのデータの一例を示す説明図である。
【図９】同上、認証システム別変換ルールＤＢデータの一例を示す説明図である。
【図１０】同上、リスク分析ルールＤＢデータの一例を示す説明図である。
【発明を実施するための形態】
【００１４】
以下、本発明を実施するための最良の形態としての実施例を図１から図１０を参照して説明する。もちろん、本発明は、その発明の趣旨に反さない範囲で、実施例において説明した以外のものに対しても容易に適用可能なことは説明を要するまでもない。
【００１５】
以下、本実施例におけるセキュリティポリシー管理システムの構成について、添付図面を参照して説明する。図１に示すようにオフィスにおけるアクセス対象機器、例えばファイルサーバ１ａ、パソコン（ＰＣ）１ｂ、プリンタ１ｃ、可搬媒体を収納するキャビネット１ｄ、オフィスの各部署などに出入りするためのドア１ｅといった機器やシステム毎に認証システムとしてのサーバ管理システム２ａ、クライアント管理システム２ｂ、印刷管理システム２ｃ、持出管理システム２ｄ、入退室管理システム２ｅがそれぞれ接続され、その各管理システム２ａ〜２ｅがセキュリティポリシー管理／配布装置１０によって一元的に管理されている。さらに、各管理システム２ａ〜２ｅから出力されるログはネットワークを介してセキュリティリスク管理装置２０に出力される。
【００１６】
前記セキュリティポリシー管理／配布装置１０は、部署別ポリシー設定部１１と、管理システム２ａ〜２ｅにアクセスする際のセキュリティポリシーを生成するポリシーマスタ生成部１２と、ポリシーマスタ生成部１２で生成したセキュリティポリシーを後述の変換ルールに従ってアクセス制御ルールとなるＡＣＬ（アクセス制御リスト）に変換し、ＡＣＬを各管理システム２ａ〜２ｅに配布するポリシー自動配布部１３と、各種の設定パラメータを格納する設定パラメータＤＢ（データベース）１５と、前記ポリシーマスタ生成部１２で生成したセキュリティポリシーを格納するポリシーマスタＤＢ１６と、各認証システム別のＡＣＬに変換するためのルールを格納する認証システム別変換ルールＤＢ１７とを備えている。
【００１７】
前記設定パラメータＤＢ１５には、認証システム毎の設定パラメータテーブル１００が格納されており、例えば、図７に示すように、各認証システム（サーバ管理システム、クライアント管理システム、印刷管理システム、持出管理システム、入退室管理システム）毎に、当該認証システムを制御するアプリケーションと、制御する認証対象（サーバ、ＰＣ、プリンタ、可搬媒体、ドアなど）と、当該認証対象に対してアクセスを許可するか拒否するかの判定情報が格納され、デフォルトでは、全てアクセス拒否に設定されている。これらの情報が前記部署別ポリシー設定部１１の表示部１１ａに表示される。すなわち、前記表示部１１ａには設定管理画面ａが表示され、その設定管理画面ａは、前記設定パラメータテーブル１００を参照して例えば、図５に示すように、部署（総務部、経理部、営業部、開発部、事業部など）毎に各認証システム（サーバ管理システム、クライアント管理システム、印刷管理システム、持出管理システム、入退室管理システム）と各認証システムが制御する認証対象（サーバ、ＰＣ、プリンタ、可搬媒体、ドアなど）及び各認証対象に対してアクセスを許可するか拒否するかを設定するチェック項目が表示される。このチェック項目をチェックして各部署毎に各認証対象のアクセスを許可又は拒否と設定することにより、各部署別のポリシーとして反映される。この各部署別のポリシーはポリシーマスタ生成部１２によりポリシーマスタＤＢ１６のポリシーマスタテーブル１１０に格納される。このポリシーマスタテーブル１１０は、例えば図８に示すように部署（総務部、経理部、営業部、開発部、事業部など）毎に各認証システムの認証対象（サーバ、ＰＣ、プリンタ、可搬媒体、ドアなど）と、当該認証対象に対してアクセスを許可するか拒否するかの判定情報が格納される。
【００１８】
認証システム別変換ルールＤＢ１７には例えば、図９に示すように、認証システム毎の変換ルールテーブル１２０が格納されており、各認証システム（サーバ管理システム、クライアント管理システム、印刷管理システム、持出管理システム、入退室管理システム）毎に、当該認証システムを制御するアプリケーションと、制御する認証対象（サーバ、ＰＣ、プリンタ、可搬媒体、ドアなど）と、変換ルール（当該認証システムのアクセス制御を管理するＤＢに対して、「ドア１」のアクセス許可フラグを変更するためのＳＱＬ文を実行など）と、変換先、接続情報が格納され、この変換ルールテーブル１２０に格納される情報に基づいてポリシーマスタＤＢ１６の情報を各認証システム（サーバ管理システム、クライアント管理システム、印刷管理システム、持出管理システム、入退室管理システム）毎のＡＣＬとしてポリシー自動配布部１３によって変換し、このＡＣＬを各管理システム２ａ〜２ｅへ配布し、各管理システム２ａ〜２ｅはＡＣＬのアクセス制御ルールに従ってアクセスを制御する。
【００１９】
前記セキュリティリスク管理装置２０は、管理システム２ａ〜２ｅから出力されるログを収集するログ収集部２１と、このログ収集部２１で収集したログを分析するセキュリティリスク分析部２２とを備え、ログ収集部２１で収集したログをログ保管ＤＢ２３に記憶する。また、セキュリティリスク分析部２２は、ログ保管ＤＢ２３に格納されるログを分析してセキュリティポリシー違反が無いか否かを判定するためのルールを格納するリスク分析ルールＤＢ２４を備えている。
【００２０】
前記リスク分析ルールＤＢ２４には図１０に示すように、分析ルールテーブル１３０が格納されており、具体的にはリスク分類（情報漏洩、コンプライアンス、システム障害など）毎にリスクの重要度（中、高など）を示す情報と、リスクの分析ルール（入室記録がないユーザがＰＣにログイン、ブルートフォース攻撃後にＰＣにログインなど）と、リスクの重要度に対応するアクション情報が格納され、前記各管理システム２ａ〜２ｅから出力されるログをセキュリティリスク分析部２２で分析し、リスク分析ルールＤＢ２４に格納される分析ルールに従ってセキュリティリスク発生状況の一覧をセキュリティリスク管理装置２０の表示部２２ａに表示する。この表示部２２ａの表示画面ｂには図６に示すように、各認証システム（サーバ管理システム、クライアント管理システム、印刷管理システム、持出管理システム、入退室管理システム）毎にリスクの発生有無と発生したリスクの重要度を表示する認証システム別リスク表示部ｂ１と、リスクの分類（情報漏洩リスク、コンプライアンス、システム障害）毎にリスクの発生有無と発生したリスクの重要度を表示するリスク分類別リスク表示部ｂ２などを備え、セキュリティリスクが発生した際、認証システム別リスク表示部ｂ１およびリスク分類別リスク表示部ｂ２を点灯させることによりリスクが発生した認証システムおよび発生したリスクの種類が特定され、かつ、前記各リスク表示部ｂ１、ｂ２に点灯する発光表示色（青、黄、赤など）によってリスクの重要度が表示されるようになっている。
【００２１】
次にセキュリティポリシー管理／配布装置１０における一連の処理手順について図２〜図４のフローチャートを参照して説明する。まず、図２に示すように、アクセス制御する認証システムに新規追加／変更／削除があると（ステップＳ１）、システム管理者は、設定パラメータＤＢ１５と認証システム別変換ルールＤＢ１７に当該認証システムの新規追加／変更／削除を登録する（ステップＳ２）。
【００２２】
図３は認証システムのセキュリティポリシーの設定から各認証システム２ａ〜２ｅへＡＣＬを配布するまでの処理を示しており、同図で示すように、まず、部署別ポリシーの設定作業は、部署別ポリシー設定部１１の表示部１１ａに表示される設定管理画面ａで行う。すなわち、表示部１１ａの設定管理画面ａには、図１及び図５に示すように、システム管理者が登録した設定パラメータテーブル１００を参照して部署（総務部、経理部、営業部、開発部、事業部など）毎に各認証システム（サーバ管理システム、クライアント管理システム、印刷管理システム、持出管理システム、入退室管理システム）と各認証システムが制御する認証対象（サーバ、ＰＣ、プリンタ、可搬媒体、ドアなど）及び各認証対象に対してアクセスを許可するか拒否するかのアクセス制御を設定するチェック項目と現在の設定状態が表示され（ステップＳ１１）、設定管理画面ａ上にて該当する部署の認証システムに関し、アクセスを許可か拒否かの設定を行う（ステップＳ１２）。ポリシーマスタ生成部１２はアクセス制御の更新状態をチェックし（ステップＳ１３）、アクセス制御の設定が更新されると（ステップＳ１３にてＹｅｓ）、更新された情報に基づいてポリシーマスタＤＢ１６のポリシーマスタテーブル１１０に更新されたセキュリティポリシーが登録される（ステップＳ１４）。また、ポリシー自動配布部１３はポリシーマスタテーブル１１０に登録されているセキュリティポリシーに変更があると、認証システム別変換ルールＤＢ１７に格納されるルールに従ってＡＣＬに変換し、各管理システム２ａ〜２ｅへＡＣＬを配布する（ステップＳ１５）。
【００２３】
図４はセキュリティリスクの分析処理を示しており、同図に示すように、前記セキュリティリスク管理装置２０のログ収集部２１は、定期的に各管理システム２ａ〜２ｅから出力されるログを収集し、ログ保管ＤＢ２３に記憶する（ステップＳ２１）。セキュリティリスク分析部２２は、リスク分析ルールＤＢ２４に格納したリスク分析ルールに従って、ログ保管ＤＢ２３に格納されるログを分析し、セキュリティポリシー違反が無いか否かを判定する。（ステップＳ２２）ログ分析ルールのセキュリティポリシー違反判断条件にマッチするログがあると（ステップＳ２３にてＹｅｓ）、セキュリティリスク管理装置２０の表示部２２ａに表示する（ステップＳ２４）。すなわち、図６に示すように、セキュリティリスク管理装置２０の表示部２２ａには、リスク発生状況の一覧が表示され、ログの分析結果としてセキュリティポリシー違反、（例えば、入出記録がないユーザがＰＣにログインなど）があると、リスク分析ルールに従って青、黄、赤などリスクの重要度に応じて表示部ｂ２の表示色を変更する。これにより、システム管理者は、リスク発生状況がセキュリティリスク管理装置２０の表示部２２ａ上で確認できる（ステップＳ２５）。
【００２４】
このように、本実施例においては、オフィス内におけるサーバ１ａ、パソコン（ＰＣ）１ｂ、プリンタ１ｃ、可搬媒体を収納するキャビネット１ｄ、オフィスの各部署などに出入りするためのドア１ｅといった対象機器及び各認証システム２ａ〜２ｅの追加、削除、変更に伴うセキュリティポリシーの更新をセキュリティポリシー管理／配布装置１０によって一元的に管理することができるとともに、これら各管理装置２ａ〜２ｅのアクセス制御の更新を部署別ポリシー設定部１１（共通インターフェイス）で簡単かつ迅速に設定することができる。また、部署別ポリシー設定部１１によりアクセス制御の設定が更新されると、ポリシーマスタ生成部１２により、ポリシーマスタＤＢ１６の該当するセキュリティポリシーの値を自動更新し、各認証システム２ａ〜２ｅに更新したセキュリティポリシーを変換ルールに従って変換したＡＣＬを送信することが可能である。これにより、各管理システム２ａ〜２ｅ毎にＡＣＬの更新を設定する必要はなく、一括処理することが可能であり、セキュリティを管理するシステム管理者の利便性も向上する。また、既存の各種の認証システムにも簡単に適用可能であるから、新たにアクセス制御システムを構築することなく、コストの削減が可能である。さらに、各認証システム２ａ〜２ｅから出力されるログを分析し、セキュリティリスク管理装置２０の表示部２２ａにリスク発生状況の一覧を表示することによって、セキュリティポリシー違反の有無を視覚的に確認することができ、かつ、ログの分析結果としてセキュリティポリシー違反があると、リスクの重要度に応じた警告表示が成されるのでセキュリティポリシー違反を早期に発見することができ、セキュリティの安全性も向上させることができる。
【００２５】
以上、本発明の一実施例について詳述したが、本発明は前記実施例に限定されるものではなく、本発明の要旨の範囲内で種々の変形実施が可能である。例えば、各認証システムとしてファイルサーバ管理システム２ａ、クライアント管理システム２ｂ、印刷管理システム２ｃ、持出管理システム２ｂ、入退室管理システム２ｅを例示したが、これに限らず各種の認証システムに適用可能である。また、ポリシー違反の際の警報手段なども前記実施例の表示手段に限らず、例えば警報音での警告することも可能である。また、図６で示すようにセキュリティリスク管理装置２０の表示部２２ａでは、例えば情報漏えいが発生したとき、警告表示部分ｂ３をタッチすると詳細画面ｂ４を表示するようにして、情報漏えいが発生した経過等を可視化するように構成することも可能である。
【符号の説明】
【００２６】
１ａ〜１ｅ アクセス対象機器
２ａ〜２ｅ 管理システム（認証システム）
１０ セキュリティポリシー管理／配布装置
１１ 部署別ポリシー設定部
１１ａ 部署別ポリシー表示部
１２ ポリシーマスタ生成部
１３ ポリシー自動配布部
１５ 設定パラメータＤＢ
１６ ポリシーマスタＤＢ
１７ 認証システム別変換ルールＤＢ
２０ セキュリティリスク管理装置
２１ ログ収集部
２２ セキュリティリスク分析部
２２ａ セキュリティリスク表示部
２３ ログ保管ＤＢ
２４ リスク分析ルールＤＢ
１００ 認証システム毎の設定パラメータテーブル
１１０ ポリシーマスタテーブル
１２０ 認証システム毎の変換ルールテーブル
１３０ リスク分析ルールテーブル
【技術分野】
【０００１】
本発明は、各種認証システムとネットワークを介して接続され、該認証システムの認証対象機器に対するアクセス制御リストの設定や認証システムの追加、削除、変更に伴うアクセス制御リストの更新を一元的に管理するセキュリティポリシー管理システム及びセキュリティリスク管理装置を備えたセキュリティポリシー管理システムに関する。
【背景技術】
【０００２】
近年、オフィスの業務では、業務の効率化を図るため、パソコン（ＰＣ）やプリンタなどの情報システムが共有化され、ネットワークを介して必要な情報に簡単にアクセスすることが可能であるから、機密情報など重要な情報を含むファイルの漏洩や改ざんを防ぐために、アクセス制御などのポリシーを定めて管理するセキュリティポリシー管理が非常に重要となってきており、例えば、特許文献１には、コンピュータシステムにおけるファイルやアプリケーションやサービス等などに対して個別のアクセス権限のレベルを設定し、その設定されたルール（規則）に従ってアクセス制御リスト（以下、ＡＣＬ：Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ｌｉｓｔ）を作成し、アクセス時において、ＡＣＬと照らし合わせてチェックすることにより、アクセスを許可するか拒否するかを判断する管理システムが提案されている。また、重要な機密情報や機密書類あるいは資産を収納するセキュリティエリアに立ち入る際の扉やキャビネットや収納庫の扉あるいはデスクの引出等を施錠・開錠する鍵を電子化し、ＩＣカード認証や生体認証等によりアクセス制御する技術として特許文献２には、複数台の机、キャビネット等の引出、扉の施錠管理を施錠管理者の権限に応じて制御するシステムが開示されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００５−１８２４７８号公報
【特許文献２】特開平７−２３８７２３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
特許文献１はパソコン（ＰＣ）やプリンタなどの情報システムのアクセス制御に関し、他方特許文献２はキャビネット、机の扉、引出等に対して施錠／解錠するアクセス制御に関するものであるがオフィスなどの環境下では、これらパソコン（ＰＣ）やプリンタなどの情報システムや施錠／解錠に関するアクセス制御をそれぞれ個別に管理するのではなく、一元的に管理することが組織全体として一貫したセキュリティを確保する上で望ましい。すなわち、オフィスなどの環境下ではアクセス者の地位（例えば、「一般社員」「課長」「部長」「幹部」など）によってもセキュリティレベルが設定され、パソコン（ＰＣ）やプリンタや施錠／解錠の管理をそれぞれ個別に管理したのではシステムが複雑となり、システム開発や運用コストがかかってしまう。さらに、パソコン（ＰＣ）やプリンタ、施錠／解錠のアクセス管理をそれぞれ個別の認証システムで管理する場合、各認証システム毎にＡＣＬを設定する必要があるとともに、例えば、ある部署でセキュリティポリシーを変更する場合、各認証システム毎に変更する必要があるため、非効率的である。また、セキュリティ対策として各認証システムにおいて不正アクセスの分析や不正アクセスの際のセキュリティリスクの表示なども各認証システム毎に行う場合、組織全体として一貫したリスク管理も難しく、これらの各認証システム毎のＡＣＬの設定、セキュリティポリシーの変更あるいは不正アクセスの分析やセキュリティリスクの表示などは共通したインターフェイスで行えるのが望ましい。
【０００５】
本発明は上記課題を鑑みてなされたものであり、システム全体に一貫したセキュリティポリシーを共有させてポリシー変更などに伴うアクセス制御の変更を簡単かつ迅速に対応できるとともに、各認証システムのＡＣＬの設定、セキュリティポリシーの変更、不正アクセスの分析などの作業を共通したインターフェイスで行え、かつ、不正アクセスの分析によるセキュリティリスクを共通したインターフェイスに表示することができるセキュリティリスク管理装置を備えたセキュリティポリシー管理システムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
請求項１のセキュリティポリシー管理システムは、対象機器又はシステムをそれぞれ個別にアクセス制御する各種の認証システムと、この各認証システムとネットワークを介して接続され、該認証システムの認証対象機器に対するアクセス制御の設定や認証システムの追加、削除、変更に伴うアクセス制御リストの更新を一元的に管理するセキュリティポリシー管理システムであって、前記セキュリティポリシー管理システムは、オフィスの部署毎に個別に決められたセキュリティポリシーに従って前記認証システムそれぞれのアクセス制御を設定する部署別ポリシー設定部と、この部署別ポリシー設定部で設定した値に基づいたセキュリティポリシーを生成するポリシーマスタ生成部と、該ポリシーマスタ生成部にて生成されたセキュリティポリシーを登録するポリシーマスタＤＢ（データベース）と、該ポリシーマスタＤＢに登録されたセキュリティポリシーを、前記認証システムに合致したアクセス制御リストに変換するためのルールを格納する認証システム別変換ルールＤＢ（データベース）と、前記ポリシーマスタＤＢに登録されたセキュリティポリシーを、前記認証システム別変換ルールＤＢに登録された変換ルールに従って変換することで得られるアクセス制御リストを前記各認証システムに送付するポリシー自動配布部とを備え、前記部署別ポリシー設定部は、各部署毎の設定パラメータ情報を格納する設定パラメータＤＢ（データベース）と、この設定パラメータＤＢに格納される前記各部署の設定パラメータ毎にセキュリティポリシーを設定するための表示部を備え、この表示部で各部署別のセキュリティポリシーを設定すると、前記ポリシーマスタ生成部は、前記表示部で設定したセキュリティポリシーに従って前記ポリシーマスタＤＢを更新し、前記ポリシー自動配布部は、更新したセキュリティポリシーを認証システム別変換ルールＤＢに登録された変換ルールに従って各認証システム独自の命令であるアクセス制御リストに変換し、当該アクセス制御リストを前記各認証システムに配布するように構成したことを特徴とする。
【０００７】
請求項１の構成によれば、設定パラメータＤＢには認証システム毎の設定パラメータとして各認証システムの認証対象（サーバ、ＰＣ、プリンタ、可搬媒体、ドアなど）やその認証対象に対してアクセスを許可するか拒否するかの判定情報が格納される。部署別ポリシー設定部の表示部には設定パラメータＤＢに格納される情報に基づいて部署（例えば、総務部、経理部、営業部、開発部、事業部など）毎に各認証システムと各認証システムが制御する認証対象が表示されるとともに、各認証対象に対してアクセスを許可するか拒否するかを設定するチェック項目が表示される。このチェック項目にて各部署毎に各認証対象に対するアクセスの許可又は拒否を設定すると、これらのアクセスの許可又は拒否の設定が各部署別のセキュリティポリシーとしてポリシーマスタ生成部によってポリシーマスタＤＢに反映され、該セキュリティポリシーは認証システム別変換ルールＤＢに登録される変換ルールに従ってポリシー自動配布部によりアクセス制御リストに変換され、この変換されたアクセス制御リストが同じくポリシー自動配布部から各認証システムに配布される。
【０００８】
請求項２のセキュリティリスク管理装置を備えたセキュリティポリシー管理システムは、請求項１記載のセキュリティポリシー管理システムにおいて、前記各認証システムから送られるログを監視し、そのログを分析してセキュリティリスクを管理するセキュリティリスク管理装置を備え、このセキュリティリスク管理装置は、前記各認証システムから送られるログを自動収集するログ収集部と、このログ収集部で収集した前記各認証システムのログを分析してポリシー違反を判定するセキュリティリスク分析部を備えるとともに、このセキュリティリスク分析部による分析結果を表示する表示部を備えたことを特徴とする。
【０００９】
請求項２の構成によれば、ログ収集部は、各認証システムから出力されるログを収集し、収集したログをセキュリティリスク分析部で分析し、ポリシー違反が無いか否かを判定し、その分析結果を表示部に表示する。
【００１０】
請求項３の前記セキュリティリスク分析部は、前記ログ収集部で収集した前記各認証システムのログの相関関係に従ってポリシー違反か否かを判定する際のルールを格納するリスク分析ルールＤＢ（データベース）を備え、そのリスク分析ルールＤＢに格納した判定ルールに従ってポリシー違反と判定された際、前記表示部に警告表示することを特徴とする。
【００１１】
請求項３の構成によれば、リスク分析ルールＤＢに格納した判定ルールに従ってポリシー違反の判断条件にマッチするログがあると、表示部に警告表示する。
【発明の効果】
【００１２】
本発明によれば、オフィスにおける各種認証システム及びそれら各認証システムの認証対象機器に対するアクセス制御リストの設定や認証システムの追加、削除、変更に伴うアクセス制御リストの更新を部署別ポリシー設定部によって一元的に管理することができるとともに、これら各認証システムのセキュリティポリシーの設定やセキュリティポリシーの変更を部署別ポリシー設定部により一元的に処理できる。さらに、各認証システムから出力されるログを分析し、セキュリティリスク管理装置の表示部にリスク発生状況の一覧を表示することによって、ログの分析結果としてセキュリティポリシー違反があると、表示部に警告表示されるのでセキュリティポリシー違反を早期に発見することができ、セキュリティの安全性も向上することができる。
【図面の簡単な説明】
【００１３】
【図１】本発明の一実施例におけるシステム構成図である。
【図２】同上、認証システムの追加、削除、変更に伴う処理手順を示すフローチャートである。
【図３】同上、セキュリティポリシーの設定から更新したＡＣＬを各認証システムへ配布するまでの処理を示すフローチャートである。
【図４】同上、セキュリティリスクの分析処理を示すフローチャートである。
【図５】同上、部署別ポリシー設定部の設定管理画面を示す説明図である。
【図６】同上、セキュリティリスクの発生状況を一覧表示した表示画面を示す説明図である。
【図７】同上、設定パラメータＤＢのデータの一例を示す説明図である。
【図８】同上、ポリシーマスタＤＢのデータの一例を示す説明図である。
【図９】同上、認証システム別変換ルールＤＢデータの一例を示す説明図である。
【図１０】同上、リスク分析ルールＤＢデータの一例を示す説明図である。
【発明を実施するための形態】
【００１４】
以下、本発明を実施するための最良の形態としての実施例を図１から図１０を参照して説明する。もちろん、本発明は、その発明の趣旨に反さない範囲で、実施例において説明した以外のものに対しても容易に適用可能なことは説明を要するまでもない。
【００１５】
以下、本実施例におけるセキュリティポリシー管理システムの構成について、添付図面を参照して説明する。図１に示すようにオフィスにおけるアクセス対象機器、例えばファイルサーバ１ａ、パソコン（ＰＣ）１ｂ、プリンタ１ｃ、可搬媒体を収納するキャビネット１ｄ、オフィスの各部署などに出入りするためのドア１ｅといった機器やシステム毎に認証システムとしてのサーバ管理システム２ａ、クライアント管理システム２ｂ、印刷管理システム２ｃ、持出管理システム２ｄ、入退室管理システム２ｅがそれぞれ接続され、その各管理システム２ａ〜２ｅがセキュリティポリシー管理／配布装置１０によって一元的に管理されている。さらに、各管理システム２ａ〜２ｅから出力されるログはネットワークを介してセキュリティリスク管理装置２０に出力される。
【００１６】
前記セキュリティポリシー管理／配布装置１０は、部署別ポリシー設定部１１と、管理システム２ａ〜２ｅにアクセスする際のセキュリティポリシーを生成するポリシーマスタ生成部１２と、ポリシーマスタ生成部１２で生成したセキュリティポリシーを後述の変換ルールに従ってアクセス制御ルールとなるＡＣＬ（アクセス制御リスト）に変換し、ＡＣＬを各管理システム２ａ〜２ｅに配布するポリシー自動配布部１３と、各種の設定パラメータを格納する設定パラメータＤＢ（データベース）１５と、前記ポリシーマスタ生成部１２で生成したセキュリティポリシーを格納するポリシーマスタＤＢ１６と、各認証システム別のＡＣＬに変換するためのルールを格納する認証システム別変換ルールＤＢ１７とを備えている。
【００１７】
前記設定パラメータＤＢ１５には、認証システム毎の設定パラメータテーブル１００が格納されており、例えば、図７に示すように、各認証システム（サーバ管理システム、クライアント管理システム、印刷管理システム、持出管理システム、入退室管理システム）毎に、当該認証システムを制御するアプリケーションと、制御する認証対象（サーバ、ＰＣ、プリンタ、可搬媒体、ドアなど）と、当該認証対象に対してアクセスを許可するか拒否するかの判定情報が格納され、デフォルトでは、全てアクセス拒否に設定されている。これらの情報が前記部署別ポリシー設定部１１の表示部１１ａに表示される。すなわち、前記表示部１１ａには設定管理画面ａが表示され、その設定管理画面ａは、前記設定パラメータテーブル１００を参照して例えば、図５に示すように、部署（総務部、経理部、営業部、開発部、事業部など）毎に各認証システム（サーバ管理システム、クライアント管理システム、印刷管理システム、持出管理システム、入退室管理システム）と各認証システムが制御する認証対象（サーバ、ＰＣ、プリンタ、可搬媒体、ドアなど）及び各認証対象に対してアクセスを許可するか拒否するかを設定するチェック項目が表示される。このチェック項目をチェックして各部署毎に各認証対象のアクセスを許可又は拒否と設定することにより、各部署別のポリシーとして反映される。この各部署別のポリシーはポリシーマスタ生成部１２によりポリシーマスタＤＢ１６のポリシーマスタテーブル１１０に格納される。このポリシーマスタテーブル１１０は、例えば図８に示すように部署（総務部、経理部、営業部、開発部、事業部など）毎に各認証システムの認証対象（サーバ、ＰＣ、プリンタ、可搬媒体、ドアなど）と、当該認証対象に対してアクセスを許可するか拒否するかの判定情報が格納される。
【００１８】
認証システム別変換ルールＤＢ１７には例えば、図９に示すように、認証システム毎の変換ルールテーブル１２０が格納されており、各認証システム（サーバ管理システム、クライアント管理システム、印刷管理システム、持出管理システム、入退室管理システム）毎に、当該認証システムを制御するアプリケーションと、制御する認証対象（サーバ、ＰＣ、プリンタ、可搬媒体、ドアなど）と、変換ルール（当該認証システムのアクセス制御を管理するＤＢに対して、「ドア１」のアクセス許可フラグを変更するためのＳＱＬ文を実行など）と、変換先、接続情報が格納され、この変換ルールテーブル１２０に格納される情報に基づいてポリシーマスタＤＢ１６の情報を各認証システム（サーバ管理システム、クライアント管理システム、印刷管理システム、持出管理システム、入退室管理システム）毎のＡＣＬとしてポリシー自動配布部１３によって変換し、このＡＣＬを各管理システム２ａ〜２ｅへ配布し、各管理システム２ａ〜２ｅはＡＣＬのアクセス制御ルールに従ってアクセスを制御する。
【００１９】
前記セキュリティリスク管理装置２０は、管理システム２ａ〜２ｅから出力されるログを収集するログ収集部２１と、このログ収集部２１で収集したログを分析するセキュリティリスク分析部２２とを備え、ログ収集部２１で収集したログをログ保管ＤＢ２３に記憶する。また、セキュリティリスク分析部２２は、ログ保管ＤＢ２３に格納されるログを分析してセキュリティポリシー違反が無いか否かを判定するためのルールを格納するリスク分析ルールＤＢ２４を備えている。
【００２０】
前記リスク分析ルールＤＢ２４には図１０に示すように、分析ルールテーブル１３０が格納されており、具体的にはリスク分類（情報漏洩、コンプライアンス、システム障害など）毎にリスクの重要度（中、高など）を示す情報と、リスクの分析ルール（入室記録がないユーザがＰＣにログイン、ブルートフォース攻撃後にＰＣにログインなど）と、リスクの重要度に対応するアクション情報が格納され、前記各管理システム２ａ〜２ｅから出力されるログをセキュリティリスク分析部２２で分析し、リスク分析ルールＤＢ２４に格納される分析ルールに従ってセキュリティリスク発生状況の一覧をセキュリティリスク管理装置２０の表示部２２ａに表示する。この表示部２２ａの表示画面ｂには図６に示すように、各認証システム（サーバ管理システム、クライアント管理システム、印刷管理システム、持出管理システム、入退室管理システム）毎にリスクの発生有無と発生したリスクの重要度を表示する認証システム別リスク表示部ｂ１と、リスクの分類（情報漏洩リスク、コンプライアンス、システム障害）毎にリスクの発生有無と発生したリスクの重要度を表示するリスク分類別リスク表示部ｂ２などを備え、セキュリティリスクが発生した際、認証システム別リスク表示部ｂ１およびリスク分類別リスク表示部ｂ２を点灯させることによりリスクが発生した認証システムおよび発生したリスクの種類が特定され、かつ、前記各リスク表示部ｂ１、ｂ２に点灯する発光表示色（青、黄、赤など）によってリスクの重要度が表示されるようになっている。
【００２１】
次にセキュリティポリシー管理／配布装置１０における一連の処理手順について図２〜図４のフローチャートを参照して説明する。まず、図２に示すように、アクセス制御する認証システムに新規追加／変更／削除があると（ステップＳ１）、システム管理者は、設定パラメータＤＢ１５と認証システム別変換ルールＤＢ１７に当該認証システムの新規追加／変更／削除を登録する（ステップＳ２）。
【００２２】
図３は認証システムのセキュリティポリシーの設定から各認証システム２ａ〜２ｅへＡＣＬを配布するまでの処理を示しており、同図で示すように、まず、部署別ポリシーの設定作業は、部署別ポリシー設定部１１の表示部１１ａに表示される設定管理画面ａで行う。すなわち、表示部１１ａの設定管理画面ａには、図１及び図５に示すように、システム管理者が登録した設定パラメータテーブル１００を参照して部署（総務部、経理部、営業部、開発部、事業部など）毎に各認証システム（サーバ管理システム、クライアント管理システム、印刷管理システム、持出管理システム、入退室管理システム）と各認証システムが制御する認証対象（サーバ、ＰＣ、プリンタ、可搬媒体、ドアなど）及び各認証対象に対してアクセスを許可するか拒否するかのアクセス制御を設定するチェック項目と現在の設定状態が表示され（ステップＳ１１）、設定管理画面ａ上にて該当する部署の認証システムに関し、アクセスを許可か拒否かの設定を行う（ステップＳ１２）。ポリシーマスタ生成部１２はアクセス制御の更新状態をチェックし（ステップＳ１３）、アクセス制御の設定が更新されると（ステップＳ１３にてＹｅｓ）、更新された情報に基づいてポリシーマスタＤＢ１６のポリシーマスタテーブル１１０に更新されたセキュリティポリシーが登録される（ステップＳ１４）。また、ポリシー自動配布部１３はポリシーマスタテーブル１１０に登録されているセキュリティポリシーに変更があると、認証システム別変換ルールＤＢ１７に格納されるルールに従ってＡＣＬに変換し、各管理システム２ａ〜２ｅへＡＣＬを配布する（ステップＳ１５）。
【００２３】
図４はセキュリティリスクの分析処理を示しており、同図に示すように、前記セキュリティリスク管理装置２０のログ収集部２１は、定期的に各管理システム２ａ〜２ｅから出力されるログを収集し、ログ保管ＤＢ２３に記憶する（ステップＳ２１）。セキュリティリスク分析部２２は、リスク分析ルールＤＢ２４に格納したリスク分析ルールに従って、ログ保管ＤＢ２３に格納されるログを分析し、セキュリティポリシー違反が無いか否かを判定する。（ステップＳ２２）ログ分析ルールのセキュリティポリシー違反判断条件にマッチするログがあると（ステップＳ２３にてＹｅｓ）、セキュリティリスク管理装置２０の表示部２２ａに表示する（ステップＳ２４）。すなわち、図６に示すように、セキュリティリスク管理装置２０の表示部２２ａには、リスク発生状況の一覧が表示され、ログの分析結果としてセキュリティポリシー違反、（例えば、入出記録がないユーザがＰＣにログインなど）があると、リスク分析ルールに従って青、黄、赤などリスクの重要度に応じて表示部ｂ２の表示色を変更する。これにより、システム管理者は、リスク発生状況がセキュリティリスク管理装置２０の表示部２２ａ上で確認できる（ステップＳ２５）。
【００２４】
このように、本実施例においては、オフィス内におけるサーバ１ａ、パソコン（ＰＣ）１ｂ、プリンタ１ｃ、可搬媒体を収納するキャビネット１ｄ、オフィスの各部署などに出入りするためのドア１ｅといった対象機器及び各認証システム２ａ〜２ｅの追加、削除、変更に伴うセキュリティポリシーの更新をセキュリティポリシー管理／配布装置１０によって一元的に管理することができるとともに、これら各管理装置２ａ〜２ｅのアクセス制御の更新を部署別ポリシー設定部１１（共通インターフェイス）で簡単かつ迅速に設定することができる。また、部署別ポリシー設定部１１によりアクセス制御の設定が更新されると、ポリシーマスタ生成部１２により、ポリシーマスタＤＢ１６の該当するセキュリティポリシーの値を自動更新し、各認証システム２ａ〜２ｅに更新したセキュリティポリシーを変換ルールに従って変換したＡＣＬを送信することが可能である。これにより、各管理システム２ａ〜２ｅ毎にＡＣＬの更新を設定する必要はなく、一括処理することが可能であり、セキュリティを管理するシステム管理者の利便性も向上する。また、既存の各種の認証システムにも簡単に適用可能であるから、新たにアクセス制御システムを構築することなく、コストの削減が可能である。さらに、各認証システム２ａ〜２ｅから出力されるログを分析し、セキュリティリスク管理装置２０の表示部２２ａにリスク発生状況の一覧を表示することによって、セキュリティポリシー違反の有無を視覚的に確認することができ、かつ、ログの分析結果としてセキュリティポリシー違反があると、リスクの重要度に応じた警告表示が成されるのでセキュリティポリシー違反を早期に発見することができ、セキュリティの安全性も向上させることができる。
【００２５】
以上、本発明の一実施例について詳述したが、本発明は前記実施例に限定されるものではなく、本発明の要旨の範囲内で種々の変形実施が可能である。例えば、各認証システムとしてファイルサーバ管理システム２ａ、クライアント管理システム２ｂ、印刷管理システム２ｃ、持出管理システム２ｂ、入退室管理システム２ｅを例示したが、これに限らず各種の認証システムに適用可能である。また、ポリシー違反の際の警報手段なども前記実施例の表示手段に限らず、例えば警報音での警告することも可能である。また、図６で示すようにセキュリティリスク管理装置２０の表示部２２ａでは、例えば情報漏えいが発生したとき、警告表示部分ｂ３をタッチすると詳細画面ｂ４を表示するようにして、情報漏えいが発生した経過等を可視化するように構成することも可能である。
【符号の説明】
【００２６】
１ａ〜１ｅ アクセス対象機器
２ａ〜２ｅ 管理システム（認証システム）
１０ セキュリティポリシー管理／配布装置
１１ 部署別ポリシー設定部
１１ａ 部署別ポリシー表示部
１２ ポリシーマスタ生成部
１３ ポリシー自動配布部
１５ 設定パラメータＤＢ
１６ ポリシーマスタＤＢ
１７ 認証システム別変換ルールＤＢ
２０ セキュリティリスク管理装置
２１ ログ収集部
２２ セキュリティリスク分析部
２２ａ セキュリティリスク表示部
２３ ログ保管ＤＢ
２４ リスク分析ルールＤＢ
１００ 認証システム毎の設定パラメータテーブル
１１０ ポリシーマスタテーブル
１２０ 認証システム毎の変換ルールテーブル
１３０ リスク分析ルールテーブル
【特許請求の範囲】
【請求項１】
対象機器又はシステムをそれぞれ個別にアクセス制御する各種の認証システムと、
この各認証システムとネットワークを介して接続され、該認証システムの認証対象機器に対するアクセス制御の設定や認証システムの追加、削除、変更に伴うアクセス制御リストの更新を一元的に管理するセキュリティポリシー管理システムであって、
前記セキュリティポリシー管理システムは、
オフィスの部署毎に個別に決められたセキュリティポリシーに従って前記認証システムそれぞれのアクセス制御を設定する部署別ポリシー設定部と、
この部署別ポリシー設定部で設定した値に基づいたセキュリティポリシーを生成するポリシーマスタ生成部と、
該ポリシーマスタ生成部にて生成されたセキュリティポリシーを登録するポリシーマスタＤＢ（データベース）と、
該ポリシーマスタＤＢに登録されたセキュリティポリシーを、前記認証システムに合致したアクセス制御リストに変換するためのルールを格納する認証システム別変換ルールＤＢ（データベース）と、
前記ポリシーマスタＤＢに登録されたセキュリティポリシーを、前記認証システム別変換ルールＤＢに登録された変換ルールに従って変換することで得られるアクセス制御リストを前記各認証システムに送付するポリシー自動配布部と
を備え、
前記部署別ポリシー設定部は、
各部署毎の設定パラメータ情報を格納する設定パラメータＤＢ（データベース）と、
この設定パラメータＤＢに格納される前記各部署の設定パラメータ毎にセキュリティポリシーを設定するための表示部を備え、
この表示部で各部署別のセキュリティポリシーを設定すると、
前記ポリシーマスタ生成部は、前記表示部で設定したセキュリティポリシーに従って前記ポリシーマスタＤＢを更新し、前記ポリシー自動配布部は、更新したセキュリティポリシーを認証システム別変換ルールＤＢに登録された変換ルールに従って各認証システム独自の命令であるアクセス制御リストに変換し、当該アクセス制御リストを前記各認証システムに配布するように構成したことを特徴とするセキュリティポリシー管理システム。
【請求項２】
請求項１記載のセキュリティポリシー管理システムは、前記各認証システムから送られるログを監視し、そのログを分析してセキュリティリスクを管理するセキュリティリスク管理装置を備え、このセキュリティリスク管理装置は、前記各認証システムから送られるログを自動収集するログ収集部と、このログ収集部で収集した前記各認証システムのログを分析してポリシー違反を判定するセキュリティリスク分析部を備えるとともに、このセキュリティリスク分析部による分析結果を表示する表示部を備えたことを特徴とするセキュリティリスク管理装置を備えたセキュリティポリシー管理システム。
【請求項３】
前記セキュリティリスク分析部は、前記ログ収集部で収集した前記各認証システムのログの相関関係に従ってポリシー違反か否かを判定する際のルールを格納するリスク分析ルールＤＢ（データベース）を備え、その判定ルールに従ってポリシー違反と判定された際、前記表示部に警告表示することを特徴とする請求項２記載のセキュリティリスク管理装置を備えたセキュリティポリシー管理システム。
【請求項１】
対象機器又はシステムをそれぞれ個別にアクセス制御する各種の認証システムと、
この各認証システムとネットワークを介して接続され、該認証システムの認証対象機器に対するアクセス制御の設定や認証システムの追加、削除、変更に伴うアクセス制御リストの更新を一元的に管理するセキュリティポリシー管理システムであって、
前記セキュリティポリシー管理システムは、
オフィスの部署毎に個別に決められたセキュリティポリシーに従って前記認証システムそれぞれのアクセス制御を設定する部署別ポリシー設定部と、
この部署別ポリシー設定部で設定した値に基づいたセキュリティポリシーを生成するポリシーマスタ生成部と、
該ポリシーマスタ生成部にて生成されたセキュリティポリシーを登録するポリシーマスタＤＢ（データベース）と、
該ポリシーマスタＤＢに登録されたセキュリティポリシーを、前記認証システムに合致したアクセス制御リストに変換するためのルールを格納する認証システム別変換ルールＤＢ（データベース）と、
前記ポリシーマスタＤＢに登録されたセキュリティポリシーを、前記認証システム別変換ルールＤＢに登録された変換ルールに従って変換することで得られるアクセス制御リストを前記各認証システムに送付するポリシー自動配布部と
を備え、
前記部署別ポリシー設定部は、
各部署毎の設定パラメータ情報を格納する設定パラメータＤＢ（データベース）と、
この設定パラメータＤＢに格納される前記各部署の設定パラメータ毎にセキュリティポリシーを設定するための表示部を備え、
この表示部で各部署別のセキュリティポリシーを設定すると、
前記ポリシーマスタ生成部は、前記表示部で設定したセキュリティポリシーに従って前記ポリシーマスタＤＢを更新し、前記ポリシー自動配布部は、更新したセキュリティポリシーを認証システム別変換ルールＤＢに登録された変換ルールに従って各認証システム独自の命令であるアクセス制御リストに変換し、当該アクセス制御リストを前記各認証システムに配布するように構成したことを特徴とするセキュリティポリシー管理システム。
【請求項２】
請求項１記載のセキュリティポリシー管理システムは、前記各認証システムから送られるログを監視し、そのログを分析してセキュリティリスクを管理するセキュリティリスク管理装置を備え、このセキュリティリスク管理装置は、前記各認証システムから送られるログを自動収集するログ収集部と、このログ収集部で収集した前記各認証システムのログを分析してポリシー違反を判定するセキュリティリスク分析部を備えるとともに、このセキュリティリスク分析部による分析結果を表示する表示部を備えたことを特徴とするセキュリティリスク管理装置を備えたセキュリティポリシー管理システム。
【請求項３】
前記セキュリティリスク分析部は、前記ログ収集部で収集した前記各認証システムのログの相関関係に従ってポリシー違反か否かを判定する際のルールを格納するリスク分析ルールＤＢ（データベース）を備え、その判定ルールに従ってポリシー違反と判定された際、前記表示部に警告表示することを特徴とする請求項２記載のセキュリティリスク管理装置を備えたセキュリティポリシー管理システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【公開番号】特開２０１２−１９４８０１（Ｐ２０１２−１９４８０１Ａ）
【公開日】平成２４年１０月１１日（２０１２．１０．１１）
【国際特許分類】
【出願番号】特願２０１１−５８４１５（Ｐ２０１１−５８４１５）
【出願日】平成２３年３月１６日（２０１１．３．１６）
【出願人】（０００２３３４９１）株式会社日立システムズ (394)
【Ｆターム（参考）】
【公開日】平成２４年１０月１１日（２０１２．１０．１１）
【国際特許分類】
【出願日】平成２３年３月１６日（２０１１．３．１６）
【出願人】（０００２３３４９１）株式会社日立システムズ (394)
【Ｆターム（参考）】
[ Back to top ]