デバイス管理装置、デバイス及びデバイス管理方法
【課題】デバイス上に適切なモジュールを適切な設定で動作させ、デバイスに対して安全な情報通信サービス提供を可能とするデバイス管理装置を提供する。
【解決手段】デバイス管理装置１０は、デバイスの構成情報を保持するデバイス構成情報保持部１４と、サービスの加入者情報を保持する加入者情報保持部１３と、構成情報あるいは加入者情報に基づいて設定されるセキュリティポリシーを保持するセキュリティポリシー保持部１２と、デバイスから取得したモジュールの状態情報を保持するモジュール状態保持部１５と、セキュリティポリシーとモジュールの状態情報とを比較して、デバイスの構成を診断するデバイス診断部１６とを備える。
【解決手段】デバイス管理装置１０は、デバイスの構成情報を保持するデバイス構成情報保持部１４と、サービスの加入者情報を保持する加入者情報保持部１３と、構成情報あるいは加入者情報に基づいて設定されるセキュリティポリシーを保持するセキュリティポリシー保持部１２と、デバイスから取得したモジュールの状態情報を保持するモジュール状態保持部１５と、セキュリティポリシーとモジュールの状態情報とを比較して、デバイスの構成を診断するデバイス診断部１６とを備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、デバイス管理装置、デバイス及びデバイス管理方法に関する。
【背景技術】
【０００２】
携帯電話サービスやバンキングサービス、コンテンツ配信、企業データベースなどの情報通信サービスを安全に提供するため、サービス提供者は加入者のデバイス（携帯電話やＰＤＡ、ＰＣなど）が、なりすましのデバイスでないことを認証によって確認すると共に、不正な動作を行わないように動作及び状態の検査や、権限の制御をしたいという要求がある。デバイスの不正な動作とは、例えば、ユーザのプライバシ情報（電話番号や預金情報）、著作権付きのコンテンツ、企業の秘密情報などのセンシティブなデータを外部にコピーするような情報漏えい行為や、デバイス内ソフトウェアやデータの不正改ざんや消去、他のデバイスへの攻撃である。デバイスの不正な動作を防止するため、従来、デバイス上にウィルス検査、改ざん検査、ファイアウォール、権限制御、侵入検知、ログ管理などのセキュリティモジュールに基づき、設定がなされて、各種の攻撃や委譲の検出や防御を行う。
【０００３】
サービス提供者は、デバイスやサービスの安全性と信頼性のため、デバイスに適切なモジュールを組み込み、適切に設定し、その状態が正常化を確認したい要求がある。このため、例えば、デバイス上のセキュリティ関連のイベントの発生（ある操作の実行やオブジェクトの変化）を検知して、監査や情報収集、異常検出、対処に関するセキュリティポリシーを更新するデバイス管理技術が開示されている（例えば、特許文献１参照。）。セキュリティポリシーの更新は、例えば、監査や情報収集の範囲、異常検出の閾値、対処の種別（シャットダウンや権限の制限等）など、セキュリティのモジュールの設定を変更することで行われる。一方、モジュールの追加や修正、設定のためのソフトウェア更新において、デバイスの購入や譲渡時におけるデバイスのＳＩＭ差し替えを検出して、管理サーバに（管理者ＩＤ，デバイスＩＤ）とプロファイル（メータ，モデル，ファームウェアのバージョン，加入サービス等）を登録するデバイス管理システムが開示されている（例えば、特許文献２参照）。
【特許文献１】ＵＳ６，５３０，０２４号公報
【特許文献２】ＷＯ２００５／０３６９１６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
現在のコンピュータネットワークには多様なデバイスやネットワーク、サービスが存在するが、デバイスのオペレーティングシステム（ＯＳ）の種別、接続ネットワークの種別、実行するサービス利用プログラム（アプリケーション）の種別、接続される外部デバイスの種別によって、デバイスに要求されるセキュリティポリシー（セキュリティモジュールの種別やその設定）は異なるものと考えられる。又、外部デバイスやアプリケーション、ＯＳ、ネットワークは新たなものが開発され、提供され得るものである。そのため、新たなセキュリティポリシーが規定される可能性があり、デバイスはそのセキュリティポリシーに従う必要がある。
【０００５】
しかしながら、特許文献１で開示されているデバイス管理技術は、セキュリティポリシーの更新に応じてモジュールを動的に組み込むソフトウェア更新手段を備えていないため、そのデバイスの想定外の新たなコンピューティング環境に対応することが困難であった。即ち、新しい外部デバイスの接続や、新しいアプリケーションの起動、新たなネットワークへの接続などの環境の変化が起きた際に、必要なモジュールを導入できず、安全性や信頼性を保証することができなかった。一方、特許文献２で開示されているデバイス管理システムは、デバイス上での異種ＯＳや複数ＯＳの起動、外部デバイスの接続、接続先ネットワークの変化、特定のアプリケーション起動等のデバイス構成の変化を管理する手段を持たないため、セキュリティポリシーに従って、デバイス側で適切なモジュールの導入や設定が行えず、デバイス管理装置側でも、その導入や設定状態を検査することが困難であった。
【０００６】
そこで、本発明は、上記の課題に鑑み、適切なモジュールを適切な設定で動作させ、安全な情報通信サービス提供を可能とするデバイス管理装置、デバイス及びデバイス管理方法を提供することを目的とする。
【課題を解決するための手段】
【０００７】
上記目的を達成するため、本発明の第１の特徴は、（ａ）デバイスの構成情報を保持するデバイス構成情報保持部と、（ｂ）サービスの加入者情報を保持する加入者情報保持部と、（ｃ）構成情報あるいは加入者情報に基づいて設定されるセキュリティポリシーを保持するセキュリティポリシー保持部と、（ｄ）デバイスから取得したモジュールの状態情報を保持するモジュール状態保持部と、（ｅ）セキュリティポリシーとモジュールの状態情報とを比較して、デバイスの構成を診断するデバイス診断部とを備えるデバイス管理装置であることを要旨とする。
【０００８】
第１の特徴に係るデバイス管理装置によると、デバイスの構成情報と加入者情報を管理し、デバイスから取得したモジュールの状態情報とセキュリティポリシーを比較して、デバイスの構成の診断をすることができる。これにより、サービス提供者は、当該デバイスの構成に必要とされるモジュールが正しい設定で動作していることを確認した上で、サービスを提供することができる。
【０００９】
又、第１の特徴に係るデバイス管理装置のデバイス構成情報保持部は、構成情報として、デバイス識別子と、デバイス識別子に対応したオペレーティングシステム、ハードウェア、通信リンク種別、接続先ネットワーク、外部デバイス、実行中のアプリケーション、モジュールの状態情報の少なくともいずれか１とを含むことが好ましい。
【００１０】
このデバイス管理装置によると、サービス提供者は、デバイス構成情報に対してきめ細かにモジュールやその設定を選択し、安全にサービスを提供することができる。
【００１１】
又、第１の特徴に係るデバイス管理装置のデバイス構成情報保持部の加入者情報保持部は、加入者情報として、加入者識別子と、加入者識別子に対応した加入サービスの種別、加入サービスの設定の少なくともいずれか１とを含むことが好ましい。
【００１２】
このデバイス管理装置によると、加入者が利用するデバイスを切り替えたり、加入者間でデバイスを交換しても一意に加入者デバイスを特定したりすることを可能とする。又、高度な安全性を要求するサービスや加入者に対して高機能なセキュリティのモジュールを選択したり、動作の軽快さを望む加入者に対して検査頻度を落としたセキュリティのモジュールを選択したりするなど、きめ細かな制御ができる。
【００１３】
又、第１の特徴に係るデバイス管理装置は、モジュール、あるいは、セキュリティポリシーをデバイスへ送信するモジュール・ポリシー提供部を更に備えてもよい。
【００１４】
このデバイス管理装置によると、デバイス構成情報や加入者情報が変化した際も、適切なモジュールやセキュリティポリシーをデバイスに導入できる。
【００１５】
又、第１の特徴に係るデバイス管理装置は、デバイス上のモジュールに状態を問い合わせるモジュールテスト部を更に備えてもよい。
【００１６】
このデバイス管理装置によると、デバイス管理装置の任意のタイミングでデバイス上のモジュールの状態を確認でき、安全なサービス提供が可能となる。
【００１７】
本発明の第２の特徴は、デバイスの構成情報あるいはサービスの加入者情報に基づいて設定されるセキュリティポリシーと、デバイスから取得したモジュールの状態情報とを比較して、デバイスの構成を診断するデバイス管理装置の管理下にあるデバイスであって、（ａ）構成情報あるいは加入者情報をデバイス管理装置へ送信するデバイス登録部と、（ｂ）デバイス管理装置からモジュール、あるいは、セキュリティポリシーを取得するモジュール・ポリシー取得部と、（ｃ）セキュリティポリシーを利用して、モジュールを管理するモジュール管理部と、（ｄ）モジュールの動作あるいは状態をテストするモジュールテスト部と、（ｅ）モジュールのテスト結果を、モジュールの状態情報として、デバイス管理装置へ送信する診断応答部とを備えるデバイスであることを要旨とする。
【００１８】
第２の特徴に係るデバイスによると、デバイス構成情報や加入者情報を管理し、デバイス管理装置に登録すると共に、セキュリティポリシーを保持し、それに従ってモジュールの導入、設定、起動、テスト、さらにテスト結果の通知を行うことができる。このため、カスタマイズされるデバイスのセキュリティ状態を適切に保つと共に、デバイス管理装置がデバイスのセキュリティを診断・管理可能とする。
【００１９】
又、第２の特徴に係るデバイスのモジュールテスト部は、デバイスの電源がオン又はリセット、あるいはデバイス管理装置からの問い合わせを契機として、テストを行ってもよい。
【００２０】
このデバイスによると、デバイス購入時や再起動の際に確実にテストを行い、デバイスを安全な状態に保つことができる。又、デバイス管理装置は所望のタイミングでデバイス側のモジュールをテストできるため、テストの頻度やタイミングの設定について、柔軟な運用ができる。
【００２１】
又、第２の特徴に係るデバイスは、モジュールテスト部によるテストにおいて、テストが失敗した場合、当該モジュールの修復を行うモジュール復旧部を更に備えてもよい。
【００２２】
このデバイスによると、モジュールの不具合があった場合も停止することなく、復旧可能とする。
【００２３】
又、第２の特徴に係るデバイスは、複数の仮想マシンを管理する仮想マシン管理部を更に備え、デバイス構成情報保持部は、一つ以上の仮想シンのデバイス構成情報を保持し、デバイス登録部は、一つ以上の仮想マシンのデバイス構成情報と加入者情報とをデバイス管理装置へ送信し、モジュール管理部は、適切な仮想マシンを選択して、モジュールを導入あるいは設定してもよい。
【００２４】
このデバイスによると、サービス実行用の仮想マシンをユーザ用の環境と独立して構築するなど、仮想マシン単位でデバイス構成情報をデバイス管理装置に登録することができる。このように、仮想マシンごとに異なるモジュールを導入することができるため、例えば、サービス実行用の仮想マシンではサービスの安全性を確保し、ユーザ用の環境ではユーザの利便性を確保することができる。又、複数の仮想マシンのデバイス構成情報を集約して送信することで、トラフィックや負荷を軽減することもできる。更に、デバイス管理装置は、仮想マシン単位でデバイスセキュリティを管理できる。
【００２５】
又、上記のデバイスは、仮想マシンにプログラムを導入する場合、仮想マシンに認定されたプログラム以外の導入を拒否する導入プログラム制限部を更に備えてもよい。
【００２６】
このデバイスによると、サービス用の仮想マシンに、不正なプログラムが導入されるのを防止し、当該仮想マシンを安全な状態に維持することができる。
【００２７】
本発明の第３の特徴は、（ａ）デバイスの構成情報あるいはサービスの加入者情報に基づいて設定されるセキュリティポリシーを保持するステップと、（ｂ）デバイスから取得したモジュールの状態情報を保持するステップと、（ｃ）セキュリティポリシーとモジュールの状態情報とを比較して、デバイスの構成を診断するステップとを含むデバイス管理方法であることを要旨とする。
【００２８】
第３の特徴に係るデバイス管理方法によると、デバイスの構成情報と加入者情報を管理し、デバイスから取得したモジュールの状態情報とセキュリティポリシーを比較して、デバイスの構成を診断することができる。これにより、サービス提供者は、当該デバイスの構成に必要とされるモジュールが正しい設定で動作していることを確認した上で、サービスを提供することができる。
【発明の効果】
【００２９】
本発明によると、適切なモジュールを適切な設定で動作させ、安全な情報通信サービス提供を可能とするデバイス管理装置、デバイス及びデバイス管理方法を提供することができる。
【発明を実施するための最良の形態】
【００３０】
次に、図面を参照して、本発明の実施の形態を説明する。以下の図面の記載において、同一又は類似の部分には、同一又は類似の符号を付している。ただし、図面は模式的なものであることに留意すべきである。
【００３１】
＜第１の実施の形態＞
（デバイス管理装置）
本実施の形態に係るデバイス管理装置は、デバイスの構成の診断と設定を行うものであり、例えば、サーバやワークステーション、パーソナルコンピュータなどの装置を利用して実装される。
【００３２】
デバイス管理装置１０は、図１に示すように、制御部１１、セキュリティポリシー保持部１２、加入者情報保持部１３、デバイス構成情報保持部１４、モジュール状態保持部１５、デバイス診断部１６、モジュール・ポリシー提供部１７、モジュールテスト部１８を備える。
【００３３】
制御部１１は、デバイスやアクセス制御サーバなどの外部システム２０と情報のやりとりを行う。又、制御部１１は、セキュリティポリシー保持部１２、加入者情報保持部１３、デバイス構成情報保持部１４、モジュール状態保持部１５、デバイス診断部１６、モジュール・ポリシー提供部１７、モジュールテスト部１８を管理、制御する。
【００３４】
セキュリティポリシー保持部１２は、あるデバイス構成のデバイスに必要とされるモジュールやデバイスの構成情報あるいはサービスの加入者情報に基づいて設定されるセキュリティポリシーを保持する。具体的なセキュリティポリシーの例として、図２に、Monta Vista Linux, Symbian, ITRONと異なるオペレーティングシステムを持つデバイスに対して、あるサービス提供者が必要と判断するモジュールの例を示す。ここでは、モジュールの例として、ウィルス検査、改ざん検出、ファイアウォール、権限制御、侵入検知、ログ管理が挙げられ、それぞれのモジュールの導入が必須かオプションか、そして、必須の場合、任意の同種のモジュールでよいか、あるいは指定の製品やソフトウェアがあるかどうかが記述されている。
【００３５】
又、図３に、あるデバイスが接続するネットワークが、加入先のセルラ網（ホームセルラ網）、公衆のホットスポット、企業内イントラネット、の場合のセキュリティポリシーの例を示す。ここでは、モジュールの種別だけでなく、検査頻度や検査範囲をセキュリティポリシーとして設定している。
【００３６】
又、図４に、バンキングサービス、企業データベースアクセスサービス、オンラインゲームサービスを実行するデバイスに対して、あるサービス提供者が必要と判断するモジュールとその設定の例を示す。
【００３７】
又、図５に、外部キーボード、外部スピーカ、外部マイクを外部デバイスとして接続するデバイスに対するセキュリティポリシーの設定例を示す。
【００３８】
例えば、セキュリティポリシー保持部１２は、別のデータベースからセキュリティポリシーを読み込むことで、セキュリティポリシーを保持する。
【００３９】
加入者情報保持部１３は、図６に示すように、加入者情報として、加入者識別子と、当該加入者識別に対応する加入サービスの種別、セキュリティのプレファレンス設定（加入サービスの設定）などを保持する。加入者情報を利用することで、プレミアムセキュリティサービスに加入している加入者識別子ＳＩＤ＿Ａのユーザには高機能なセキュリティのモジュールを提供し、速度を重視するＳＩＤ＿Ｂのユーザのモジュールに軽量なポリシーや設定を与えることができる。又、バンキングサービスを利用している加入者に対して特殊なモジュールを要求するという設定も可能である。尚、加入者情報を外部のサービス管理や加入者管理のデータベースから入力、あるいは同期をとることとしてもよい。
【００４０】
デバイス構成情報保持部１４は、図７に示すように、デバイス構成情報として、デバイス識別子と、当該デバイス識別子に対応するオペレーティングシステム、ハードウェア、通信リンク種別、接続先ネットワーク、モジュールのテスト結果とテスト時刻、実行中のサービスプログラム（アプリケーション）などとを保持する。図示していないが、更に接続している外部デバイスの種別や識別子を保持してもよい。ここでは、デバイス構成情報保持部１４が情報を保持する領域をデバイス管理テーブルと呼ぶ。加入者は、ＳＩＭ(Subscriber Identity Module)を入れ替えるなどして、複数のデバイスを利用する可能性がある。一方で、あるデバイスは複数の加入者によって利用される可能性があるため、加入者識別子とデバイス識別子でデバイスを一意に管理している。図７では、ＳＩＤ＿Ａの加入者は、ＤＩＤ＿１２３、ＤＩＤ＿４５６の２つのデバイスを利用しており、ＳＩＤ＿Ｂの加入者は前者のＤＩＤ＿１２３のデバイスを使用していたことを示す。これは、例えば、ＳＩＤ＿Ｂの加入者がＤＩＤ＿１２３のデバイスをＳＩＤ＿Ａの加入者に譲渡し、ＳＩＤ＿Ａの加入者がＤＩＤ＿４５６のデバイスからＤＩＤ＿１２３のデバイスにＳＩＭを入れ替えたことを示す。尚、デバイス構成情報保持部１４は、テーブルの肥大化を防止するために、古いデバイスのエントリや退会した加入者のエントリを削除してもよい。
【００４１】
モジュール状態保持部１５は、デバイス上のモジュールから、状態情報を受信して保持する。状態情報はモジュールの種別やそのテスト結果、テスト時刻を含む。
【００４２】
デバイス診断部１６は、セキュリティポリシーとモジュールの状態情報を利用してデバイスの構成を診断し、デバイス管理テーブルに記録する。例えば、セキュリティポリシーにおいて必須とされるモジュールの状態がすべてＯＫであれば、診断結果を「ＯＫ」とマークする。あるいは、すべての必須モジュールの状態がＯＫでなくとも、「ＯＫ」としたり、構成を段階的に判定して数値を与えたりするなどのセキュリティポリシーも挙げられる。
【００４３】
又、デバイス診断部１６は、セキュリティポリシーとモジュールの状態情報を利用してデバイスへのサービス提供の可否を決定し、デバイス管理テーブルに記録してもよい。例えば、セキュリティポリシーにおいて必須とされるモジュールの状態がすべてＯＫであれば、サービスの提供可否を「許諾」とマークする。あるいは、すべての必須モジュールの状態がＯＫでなくとも、一部のサービス提供を許諾するセキュリティポリシーも考えられる。
【００４４】
外部システム２０の例として、アクセス制御サーバは、デバイス管理テーブルのサービス提供可否を参照して、加入者のサービスへのアクセスを制限することができる。
【００４５】
モジュール・ポリシー提供部１７は、デバイスが要求したモジュールやその設定を規定したセキュリティポリシー、デバイスに導入が必要とされるモジュールやその設定を規定したセキュリティポリシーを送信する。
【００４６】
モジュールテスト部１８は、デバイス上のモジュールに状態を問い合わせる。例えば、加入者が新しいサービスに加入した際、デバイスが別のネットワークにローミングした際、前回のモジュールのテスト結果の通知から長時間が経過した際、外部のサーバからテストを要求された際などに、デバイス上のモジュールに状態を問い合わせる。
【００４７】
尚、デバイス管理装置１０のセキュリティポリシー保持部１２、加入者情報保持部１３、デバイス構成情報保持部１４、モジュール状態保持部１５は、ＲＡＭ、ＲＯＭ等の内部記憶装置でも良く、ハードディスク、フレキシブルディスク、コンパクトディスク等の外部記憶装置でも良い。
【００４８】
又、第１の実施の形態に係るデバイス管理装置１０は、処理制御装置（ＣＰＵ）を有し、上述した制御部１１、デバイス診断部１６、モジュール・ポリシー提供部１７、モジュールテスト部１８などをモジュールとして、ハードウェア化や隔離された環境へ配置することで、安全に実行される環境とすることができる。これらのモジュールは、パーソナルコンピュータ等の汎用コンピュータにおいて、所定のプログラム言語を利用するための専用プログラムを実行することにより実現することができる。
【００４９】
又、図示していないが、デバイス管理装置１０は、制御処理、デバイス診断処理、モジュール・ポリシー提供処理、モジュールテスト処理などをＣＰＵに実行させるためのプログラムを蓄積するプログラム保持部を備えてもよい。プログラム保持部は、例えば、ＲＡＭ、ＲＯＭ、ハードディスク、フレキシブルディスク、コンパクトディスク、ＩＣチップ、カセットテープなどの記録媒体である。このような記録媒体によれば、プログラムの蓄積、運搬、販売などを容易に行うことができる。
【００５０】
（デバイス）
本実施の形態に係るデバイス３０は、デバイスの構成情報あるいはサービスの加入者情報に基づいて設定されるセキュリティポリシーと、デバイスから取得したモジュールの状態情報とを比較して、デバイスの構成を診断するデバイス管理装置１０の管理下にある。
【００５１】
デバイス３０は、例えば、携帯電話機やＰＣ、情報家電などであり、図８に示すように、デバイスセキュリティ管理部４０を備える。その他、サービスを利用するためのサービス利用プログラム５１や、モジュール５０、加入者情報を保持するＳＩＭ５４が存在する。以下、デバイスセキュリティ管理部４０の各部分について説明する。
【００５２】
デバイスセキュリティ管理部４０は、制御部４１、加入者情報保持部４２、デバイス構成情報保持部４３、デバイス登録部４４、モジュール・ポリシー取得部４５、モジュール管理部４６、モジュールテスト部４７、診断応答部４８、モジュール復旧部４９、構成変化検知部４１０を備える。
【００５３】
制御部４１は、デバイス管理装置などの外部装置と情報のやりとりを行う。又、制御部４１は、加入者情報保持部４２、デバイス構成情報保持部４３、デバイス登録部４４、モジュール・ポリシー取得部４５、モジュール管理部４６、モジュールテスト部４７、診断応答部４８、モジュール復旧部４９、構成変化検知部４１０を管理、制御する。
【００５４】
加入者情報保持部４２は、加入者識別子と、当該加入者識別子に対応する加入サービスの種別、加入サービス設定などとを含む加入者情報を保持するものであり、好ましくはＳＩＭ５４やＵＳＩＭなどのＩＣカードに保持する。加入者情報として、例えば、図６に示す情報を保持する。
【００５５】
デバイス構成情報保持部４３は、デバイス固有の識別子と、当該デバイス識別子に対応するデバイスのオペレーティングシステム、ＣＰＵなどのハードウェア、通信リンク種別、接続先ネットワーク、モジュールの状態情報、接続中の外部デバイス、実行中のサービスプログラムなどとを含むデバイス構成情報を保持する。デバイス構成情報として、例えば、図７に示す情報を保持する。デバイス固有の識別子は、製造時にメーカによって与えられる一意の識別子や、仮想マシンの構築時に生成される一意の識別子である。サービス提供者やユーザ、管理者が設定したホスト名や番号などでもよい。
【００５６】
デバイス登録部４４は、加入者情報保持部４２やデバイス構成情報保持部４３にアクセスして、加入者情報およびデバイス構成情報を取得し、デバイス管理装置へ送信する。
【００５７】
モジュール・ポリシー取得部４５は、デバイス管理装置から当該デバイスに必要とされるモジュールやその設定を規定したセキュリティポリシーを取得する。取得したセキュリティポリシーは保持しておき、モジュール管理部４６などがアクセス可能にする。
【００５８】
モジュール管理部４６は、セキュリティポリシーを利用して、モジュールを管理する。具体的には、モジュール管理部４６は、モジュールの導入や設定、起動を行う。例えば、セキュリティポリシーに従い、実行中のサービスや接続中のネットワーク、接続中の外部デバイスにおいて必要なモジュールを起動する。
【００５９】
モジュールテスト部４７は、モジュールの動作あるいは状態をテストし、テスト結果をデバイス構成情報保持部４３へ出力する。テスト方法として、例えば、モジュール内部の自己テスト手続の呼び出しや、デバイス内ソフトウェアの実行イメージの改ざん検査、デバイス内ソフトウェアの動作監査、モジュールが出力するログの検査、モジュールに対応するプロセスの検査などがある。又、不正な動作や異常動作を行うテストプログラムをデバイス上で動作させてモジュールの反応を確認してもよい。
【００６０】
診断応答部４８は、デバイス構成情報保持部４３が保持するモジュールのテスト結果を、モジュールの状態情報として、デバイス管理装置１０へ送信する。
【００６１】
モジュール復旧部４９は、モジュールテスト部４７において、動作あるいは状態のテストが失敗した際に当該モジュールの回復を行う。例えば、当該モジュールや代替のモジュールを再度ロードして導入することで復旧する。
【００６２】
構成変化検知部４１０は、デバイスの構成変化を検知して、構成情報をデバイス管理装置に送信するか、あるいは保持しているセキュリティポリシーに基づきモジュールの起動及び設定を行う。デバイス構成情報の変化として、接続先ネットワークの変更や外部デバイスの脱着、サービスプログラムの起動・終了、仮想マシンの起動・終了、ＳＩＭの脱着などのイベントを、オペレーティングシステムなどが提供する機能を利用して取得するか、構成変化検知部４１０自身が周期的に構成情報を監視することにより、変化を検知する。そして構成の変化を検知した際に、デバイス登録部４４を起動してデバイス管理装置に構成情報を送信するかどうかを決定する。例えば、デバイスの構成変化の種別が新規であって、その構成に対するセキュリティポリシーをモジュール・ポリシー取得部４５が保持していない場合や、通知を必要とするとポリシーで規定された構成種別の場合、構成情報の送信を決定する。一方、モジュール・ポリシー取得部４５がすでにその構成情報に対するポリシーを保持している場合や、通知を必要としないと規定された構成種別の場合、モジュール管理部４６を呼び出して、保持しているセキュリティポリシーに基づきモジュールの起動及び設定を行う。
【００６３】
尚、デバイス３０の加入者情報保持部４２、デバイス構成情報保持部４３は、ＲＡＭ、ＲＯＭ等の内部記憶装置でも良く、ハードディスク、フレキシブルディスク、コンパクトディスク等の外部記憶装置でも良い。
【００６４】
又、第１の実施の形態に係るデバイス３０は、処理制御装置（ＣＰＵ）を有し、上述した制御部４１、デバイス登録部４４、モジュール・ポリシー取得部４５、モジュール管理部４６、モジュールテスト部４７、診断応答部４８、モジュール復旧部４９、構成変化検知部４１０などをモジュールとして、ハードウェア化や隔離された環境へ配置することで、安全に実行される環境とすることができる。これらのモジュールは、パーソナルコンピュータ等の汎用コンピュータにおいて、所定のプログラム言語を利用するための専用プログラムを実行することにより実現することができる。
【００６５】
又、図示していないが、デバイス３０は、制御処理、デバイス登録処理、モジュール・ポリシー取得処理、モジュール管理処理、モジュールテスト処理、診断応答処理、モジュール復旧処理、構成変化検知処理などをＣＰＵに実行させるためのプログラムを蓄積するプログラム保持部を備えてもよい。プログラム保持部は、例えば、ＲＡＭ、ＲＯＭ、ハードディスク、フレキシブルディスク、コンパクトディスク、ＩＣチップ、カセットテープなどの記録媒体である。このような記録媒体によれば、プログラムの蓄積、運搬、販売などを容易に行うことができる。
【００６６】
（デバイス管理方法）
次に、第１の実施形態に係るデバイス管理方法について、図９〜１３を用いて説明する。
【００６７】
＝デバイス登録処理＝
デバイス管理装置１０におけるデバイス３０の登録処理を、図９を参照して説明する。
【００６８】
まず、ステップＳ１０１において、制御部１１は、デバイス３０から加入者情報及びデバイス構成情報を受信する。
【００６９】
このとき、ステップＳ１０２において、新しい加入者識別子とデバイス識別子の組のデバイス登録であった場合、ステップＳ１０３へ進み、制御部１１は、デバイス構成情報保持部１４に新たなエントリを作成する。
【００７０】
次に、ステップＳ１０４において、制御部１１は、取得した加入者情報及びデバイス構成情報デバイスを用いて、デバイス構成情報保持部１４の構成管理テーブルを更新する。
【００７１】
次に、ステップＳ１０５において、制御部１１は、加入者情報とデバイス構成情報を利用して、そのデバイスに必要とされるモジュールのリストと設定を規定するセキュリティポリシーをセキュリティポリシー保持部１２から取得する。そして、ステップＳ１０６において、当該セキュリティポリシーを用いて、デバイス構成管理テーブルを更新する。
【００７２】
＝サービス提供可否の決定処理＝
次に、デバイス管理装置１０におけるデバイスの構成診断処理を、図１０を参照して説明する。
【００７３】
まず、ステップＳ２０１において、制御部１１は、デバイス上のモジュールから、状態情報を受信して、モジュール状態保持部１５に保持する。
【００７４】
次に、ステップＳ２０２において、制御部１１は、状態情報に含まれるモジュールのテスト結果を用いて、デバイス構成情報保持部１４に保持されるデバイス構成管理テーブルを更新する。
【００７５】
次に、ステップＳ２０３において、デバイス診断部１６は、デバイス管理テーブルのテスト結果を参照して、セキュリティポリシー保持部１２に保持されたセキュリティポリシーに基づき、デバイスの構成を診断する。例えば、必要とされるモジュールの全てのテスト結果がＯＫであることを要求するポリシーの場合、１つでもＮＧのテスト結果があった場合、ステップＳ２０５へ進み、診断結果を「ＮＧ」と判断する。そして、デバイス構成管理テーブルの診断結果フィールドにはＮＧを書き込み、処理を終了する。一方、セキュリティポリシーを満足した場合は、ステップＳ２０４へ進み、診断結果を「ＯＫ」と判断し、デバイス構成管理テーブルの診断結果フィールドにＯＫを書き込み、処理を終了する。
【００７６】
このデバイス構成の診断結果の情報は、例えば外部システム２０のアクセス制御サーバによって利用される。デバイス３０がサービスにアクセスする際、外部のアクセス制御サーバは、デバイス管理装置１０にその診断結果を問い合わせ、ＯＫの場合にアクセスを許可し、ＮＧの場合はアクセスを拒否する。尚、デバイス管理装置１０自身がこのようなアクセス制御を行ってもよいし、デバイス管理装置１０から外部のサーバに対して、サービス提供の可否を通知してもよい。
【００７７】
尚、ステップＳ２０３において、デバイス診断部１６は、デバイス管理テーブルのテスト結果を参照して、セキュリティポリシー保持部１２に保持されたセキュリティポリシーに基づき、サービス提供の可否を決定してもよい。例えば、必要とされるモジュールの全てのテスト結果がＯＫであることを要求するポリシーの場合、１つでもＮＧのテスト結果があった場合、ステップＳ２０５へ進み、サービス提供を「停止」と判断する。そして、デバイス構成管理テーブルのサービス提供可否には停止を書き込み、処理を終了する。一方、セキュリティポリシーを満足した場合は、ステップＳ２０４へ進み、サービス提供を「許諾」と判断し、デバイス構成管理テーブルのサービス提供可否に許諾を書き込み、処理を終了する。
【００７８】
このサービス提供の許諾、停止の情報は、例えば外部システム２０のアクセス制御サーバによって利用される。デバイス３０がサービスにアクセスする際、外部のアクセス制御サーバは、デバイス管理装置１０にそのサービス提供の可否を問い合わせ、許諾の場合にアクセスを許可し、停止の場合はアクセス拒否する。尚、デバイス管理装置１０自身がこのようなアクセス制御を行ってもよいし、デバイス管理装置１０から外部のサーバに対して、サービス提供の可否を通知してもよい。
【００７９】
＝デバイスの起動処理＝
次に、デバイス３０の起動処理を、図１１を参照して説明する。
【００８０】
まず、ステップＳ３０１において、デバイス３０が電源オンまたはリセットされると、ステップＳ３０２において、システムソフトが起動し、ステップＳ３０３において、無線基地局やアクセスポイントを通じて無線リンクを確立した後、ＳＩＭ５４による端末認証の手順を実行する。
【００８１】
そして、ステップＳ３０４において、制御部４１は、ＳＩＭ５４から加入者識別子や加入サービス種別、加入サービス設定などを加入者情報保持部４２にロードする。
【００８２】
次に、ステップＳ３０５において、制御部４１は、ＳＩＭ５４内にデバイス３０に対応したデバイス構成情報があるか否か判断し、ある場合は、ステップＳ３０６へ進み、ＳＩＭ５４から、そのデバイスのデバイス識別子に対応したデバイス構成情報をデバイス構成情報保持部４３にロードする。一方、ＳＩＭ５４内にそのデバイス識別子に対応したデバイス構成情報が存在しない場合、ステップＳ３０７へ進み、新しいデバイスであると判断して、ＳＩＭ５４にそのデバイス識別子に対応したデバイス構成情報用の領域を作成する。
【００８３】
次に、ステップＳ３０８において、制御部４１は、実際のデバイスのデバイス識別子や、オペレーティングシステム、通信リンク種別、接続先ネットワーク、モジュールのインストール情報、接続中の外部デバイス、実行中のサービスプログラムなどを検出し、デバイス構成情報保持部４３のデバイス構成情報を更新する。
【００８４】
その際、ステップＳ３０９において、制御部４１は、デバイス構成が変化したか否かを判断する。そして、ステップＳ３１０において、ＳＩＭ５４からロードした情報と異なる場合、あるいは新しいデバイスの場合、ＳＩＭ５４内のデバイス構成情報を更新する。
【００８５】
更に、ステップＳ３１１において、デバイス登録部４４は、加入者情報とデバイス構成情報を、デバイス管理装置１０へ送信する。ＳＩＭ５４からロードしたデバイス構成情報と検出したものが一致している場合、この登録を行わないことで通信量を削減する。
【００８６】
次に、ステップＳ３１２において、モジュール・ポリシー取得部４５は、デバイス管理装置１０に問い合わせて、セキュリティポリシーを取得する。そして、ステップＳ３１３において、モジュール管理部４６は、適切なモジュールを適切な設定で起動する。その際、モジュール管理部４６は、必要であればモジュールをロードして導入する。
【００８７】
＝デバイスのテスト処理＝
次に、デバイス３０のテスト処理を、図１２を参照して説明する。デバイスは起動の完了後、あるいはデバイス管理装置から問い合わせを受けた際に、テスト処理を行う。
【００８８】
まず、ステップＳ４０１において、デバイス３０は、システムソフトの起動を完了する。
【００８９】
次に、ステップＳ４０２において、モジュールテスト部４７は、デバイス３０内のモジュールのテストを実行する。
【００９０】
ステップＳ４０３において、このテストが成功した場合、ステップＳ４０４において、診断応答部４８は、デバイス管理装置１０に結果を通知し、テスト処理を完了する。
【００９１】
一方、ステップＳ４０３において、このテストが失敗した場合、ステップＳ４０５において、モジュール復旧部４９は、修復処理を行い、ステップＳ４０２へ戻り、再度テストを行う。尚、復旧を試みる回数に上限を設けて、失敗回数が上限に達した際に当該モジュールの実行を停止するように判断してもよい。
【００９２】
又、変形例として、デバイス登録と一緒にモジュールのテスト結果の通知を行ってもよい。これにより、デバイスとデバイス管理装置間の通信量を削減することができる。
【００９３】
＝デバイスの構成変更処理＝
次に、デバイス３０の構成変更処理を、図１３を参照して説明する。
【００９４】
まず、ステップＳ５０１において、デバイス３０の構成変化検知部４１０は、構成情報の変化を検知した場合、ステップＳ５０２において、構成変化検知部４１０は、モジュール・ポリシー取得部４５にアクセスして、その構成情報に対するセキュリティポリシーを保持しているか検査する。
【００９５】
ステップＳ５０３において、保持している場合は、ステップＳ５０４に進み、構成変化検知部４１０は、更にその構成情報は通知が必要とされているセキュリティポリシーであるか検査する。ステップＳ５０５において、通知が必要である場合は、ステップＳ５０６に進む。ステップＳ５０６〜５０９は、デバイスの起動処理（図１１）のステップＳ３１０〜３１３と同様の処理であり、デバイス管理装置に登録してセキュリティポリシーを受け取った後に、モジュールの導入・設定を行って、手順を終了する。
【００９６】
一方、ステップＳ５０３においてセキュリティポリシーを保持していて、ステップＳ５０５において通知が必要とされていない場合は、ステップＳ５１０において、セキュリティポリシーに従って、モジュールの導入・設定を行う。そして、ステップＳ５１１において、構成情報とポリシーをログに記録し、手順を終了する。
【００９７】
（作用及び効果）
従来のデバイスセキュリティ管理システムは、デバイス構成情報やデバイス上のサービスの種別を管理する手段を持たないため、そのセキュリティポリシーをデバイス側で実施すること、デバイス管理装置側でその実施を検査することが困難であった。あるデバイス構成で、あるサービス利用プログラムを実行するデバイスに安全にサービスを提供するため、適切なモジュールを適切な設定で動作していることと、デバイス管理装置において適切なモジュールが適切な設定で動作していることを検査することが第一の課題であった。
【００９８】
第１の実施の形態に係るデバイス管理装置１０、デバイス３０及びデバイス管理方法によると、デバイス構成情報と加入者情報を管理し、デバイス上で適切なモジュールを適切な設定で動作させ、デバイス管理装置において適切なモジュールが適切な設定で動作していることを検査することができる。サービス提供者は、デバイスの構成に必要とされるモジュールが正しい設定で動作されることを確認した上で、安全にサービスを提供することができる。デバイス構成情報や加入者情報が変化した際も、適切なモジュールを適切に設定、動作させることでデバイスを安全な状態に保つことができる。このように、オープンなデバイスのセキュリティを適切に管理し、ユーザの自由度を確保しつつ、安全な情報通信サービス提供を可能とする。
【００９９】
又、第１の実施の形態に係るデバイス管理装置１０では、構成情報として、デバイス識別子と、デバイス識別子に対応したオペレーティングシステム、ハードウェア、通信リンク種別、接続先ネットワーク、外部デバイス、モジュールの状態情報の少なくともいずれか１とを含む。このデバイス管理装置１０によると、サービス提供者は、デバイス構成情報に対してきめ細かにモジュールを選択し、安全にサービスを提供することができる。
【０１００】
又、第１の実施の形態に係るデバイス管理装置１０では、加入者情報として、加入者識別子と、加入者識別子に対応した加入サービスの種別、加入サービスの設定の少なくともいずれか１とを含む。このデバイス管理装置１０によると、加入者が利用するデバイスを切り替えたり、加入者間でデバイスを交換しても一意に加入者デバイスを特定したりすることを可能とする。又、高度な安全性を要求するサービスや加入者に対して高機能なセキュリティのモジュールを選択したり、動作の軽快さを望む加入者に対して検査頻度を落としたセキュリティのモジュールを選択したりするなど、きめ細かな制御ができる。
【０１０１】
又、第１の実施の形態に係るデバイス管理装置１０は、モジュール、あるいは、セキュリティポリシーをデバイスへ送信するモジュール・ポリシー提供部１７を備える。このため、デバイス構成情報や加入者情報が変化した際も、適切なモジュールやセキュリティポリシーをデバイスに導入できる。
【０１０２】
又、第１の実施の形態に係るデバイス管理装置１０は、デバイス上のモジュールに状態を問い合わせるモジュールテスト部１８を備える。このため、デバイス管理装置１０の任意のタイミングでデバイス上のモジュールの状態を確認でき、安全なサービス提供が可能となる。
【０１０３】
又、第１の実施の形態に係るデバイス３０によると、デバイス構成情報や加入者情報を管理し、デバイス管理装置に登録すると共に、セキュリティポリシーを保持し、それに従ってモジュールの導入、設定、起動、テスト、さらにテスト結果の通知を行うことができる。このため、デバイスのセキュリティ状態を適切に保つと共に、デバイス管理装置がデバイスのセキュリティを管理可能とする。
【０１０４】
又、第１の実施の形態に係るデバイス３０のモジュールテスト部４７は、デバイスの電源がオン又はリセット、あるいはデバイス管理装置からの問い合わせを契機として、テストを行う。このため、デバイス購入時や再起動の際に確実にテストを行い、デバイスを安全な状態に保つことができる。又、デバイス管理装置は所望のタイミングでデバイス側のモジュールをテストできるため、テストの頻度やタイミングの設定について、柔軟な運用ができる。
【０１０５】
又、第１の特徴に係るに係るデバイス３０では、モジュールテスト部４７によるテストにおいて、テストが失敗した場合、当該モジュールの修復を行うモジュール復旧部４９を備える。このため、モジュールの不具合があった場合も停止することなく、復旧可能とする。
【０１０６】
＜第２の実施の形態＞
第２の実施の形態では、デバイス３０が仮想マシン管理部（一般的に、仮想マシンモニタと呼ばれる）を備えた場合について説明する。デバイス管理装置１０については、第１の実施の形態と同様であるので、ここでは説明を省略する。
【０１０７】
（デバイス）
第２の実施の形態に係るデバイス３０は、図１４に示すように、仮想マシン管理部５２を備える。仮想マシンモニタは、単一の計算機上に複数の仮想的な計算機環境（仮想マシン６０ａ、６０ｂ、６０ｃ）を構築し、管理するためのソフトウェアであり、独立した仮想マシンに別々のＯＳやアプリケーションを導入して利用することや、仮想マシン間のメモリやファイルシステム等のリソースのアクセス制御を可能とする。即ち、ある仮想マシン１内のプログラムから仮想マシン２のリソースへのアクセスを許諾するが、逆の仮想マシン２から１へのリソースへのアクセスをブロックすることができる。
【０１０８】
この仮想マシンモニタの機能を行うことで、デバイス３０上にユーザ用とサービス用の計算機環境を独立に構築できると共に、サービス１用仮想マシン６０ａにセキュリティモジュール５０ａを配置し、別のサービス２用仮想マシン６０ｂ内のプログラム５１ｂを監視させることもできる。
【０１０９】
仮想マシン管理部５２は、複数の仮想マシンを管理する。具体的には、仮想マシン管理部５２は、仮想マシンの生成、起動、終了、削除の機能を提供する。
【０１１０】
プログラム導入制限部６１ａ、６１ｂは、仮想マシンに認定されたプログラム以外の導入を拒否するものである。例えば、仮想マシンの設定ファイル内の認定された信頼できるプログラムリストを参照して、そのリストに含まれない信頼できないプログラムの導入操作をブロックすることで、当該仮想マシンを安全な状態に維持する。
【０１１１】
又、デバイスセキュリティ管理部４０ａ、４０ｂは、図８に示すデバイスセキュリティ管理部４０と同様の構成を有し、同様の動作を行うが、以下に、第２の実施の形態に特有の機能を示す。
【０１１２】
デバイス構成情報保持部４３は、少なくとも一つの仮想マシンのデバイス構成情報を保持する。
【０１１３】
デバイス登録部４４は、サービス実行用の少なくとも一つの仮想マシンのデバイス構成情報をデバイス管理装置へ送信する。
【０１１４】
モジュール管理部４６は、適切な仮想マシンを選択して、モジュールを導入する。例えば、モジュール管理部４６は、モジュールに付属した設定に従って仮想マシンを選択することができる。
【０１１５】
図１４では、仮想マシン管理部５２がデバイス３０上にサービス用仮想マシン６０ａ、６０ｂとユーザ用仮想マシン６０ｃの３つの仮想マシンを構築している。図１４では、セキュリティモジュール５０ａ、５０ｂやデバイスセキュリティ管理部４０ａ、４０ｂ、プログラム導入制限部６１ａ、６１ｂは仮想マシン内のオペレーティングシステムの外側に配置されているが、オペレーティングシステムの中に組み込んでもよいし、仮想マシン管理部５２に組み込んでもよい。
【０１１６】
（デバイス管理方法）
次に、第２の実施形態に係るデバイス管理方法について、図１５を用いて説明する。
【０１１７】
＝デバイスの起動処理＝
仮想マシンモニタを備えたデバイス３０の起動処理を、図１５を参照して説明する。
【０１１８】
まず、ステップＳ６０１において、デバイス３０が電源オンまたはリセットされると、ステップＳ６０２において、システムソフト（仮想マシンモニタ）が起動し、ステップ６５０３において、無線基地局やアクセスポイントを通じて無線リンクを確立した後、ＳＩＭ５４による端末認証の手順を実行する。
【０１１９】
そして、ステップＳ６０４において、制御部４１は、ＳＩＭ５４から加入者識別子や加入サービス種別、加入サービス設定などを加入者情報保持部４２にロードする。
【０１２０】
次に、ステップＳ６０５において、仮想マシン管理部５２は、ＳＩＭ５４内にデバイス３０に対応したデバイス構成情報があるか否か判断し、ある場合は、ステップＳ６０６へ進み、ＳＩＭ５４から、そのデバイスのデバイス識別子に対応したデバイス構成情報をデバイス構成情報保持部４３にロードする。一方、ＳＩＭ５４内にそのデバイス識別子に対応したデバイス構成情報が存在しない場合、ステップＳ６０７へ進み、新しいデバイスであると判断して、ＳＩＭ５４にそのデバイス識別子に対応したデバイス構成情報用の領域を作成する。
【０１２１】
次に、ステップＳ６０８において、デバイス上に起動可能な仮想マシンが複数、存在している場合、ステップＳ６１０において、仮想マシン管理部５２は、ＳＩＭ５４内の設定に基づき、自動的に起動する仮想マシンを選択する。あるいは、ユーザが選択してもよい。ユーザがデフォルトで起動する仮想マシンの設定を行い、ＳＩＭに保存することも考えられる。又、起動する仮想マシンは１つでもよく、複数でもよい。ここで、例えば、仮想マシン２を加入者識別子ＳＩＤ＿Ａのユーザ用、仮想マシン３を加入者識別子ＳＩＤ＿Ｂのユーザ用と仮定すると、ＳＩＤ＿ＡのユーザがＳＩＭをデバイスに差した際は仮想マシン２、ＳＩＤ＿Ｂの場合は仮想マシン３が起動する。このように、デバイスでＳＩＭを入れ替えて利用する際、加入者が変わっても仮想マシンの切り替えだけで、加入者情報に対応したセキュリティのモジュールを備えた計算機環境を起動することができる。
【０１２２】
一方、ステップＳ６０８において、起動する仮想マシンがデバイスに存在しない場合、ステップＳ６０９において、仮想マシン管理部５２は、少なくとも１つのサービス用の仮想マシンを構築し、デバイスセキュリティ管理部４０をその中に導入する。このとき、ユーザ用の仮想マシンやサービス用の仮想マシンを一緒に複数構築してもよい。又、仮想マシン管理部５２は、ユーザに仮想マシンのプラットフォームやメモリ、ストレージなどのパラメータを指定させて、仮想マシンを構築してもよい。更に、他のサーバから仮想マシンのイメージをロードして、仮想マシンを構築してもよい。
【０１２３】
仮想マシン管理部５２が仮想マシンを起動した後、即ち、ステップＳ６１１以降のステップは、図１１のステップＳ３０８以降のステップと同様であるので、ここでは説明を省略する。
【０１２４】
＝デバイスのテスト処理＝
次に、第２の実施の形態に係るデバイス３０のテスト処理を、図１２を参照して説明する。このテスト手順は、第１の実施の形態と同様である。
【０１２５】
まず、ステップＳ４０１において、デバイス３０は、システムソフト（仮想マシンモニタ）の起動を完了する。
【０１２６】
次に、ステップＳ４０２において、モジュールテスト部４７は、仮想マシン６０ａ、６０ｂ、６０ｃ内のセキュリティモジュールのテストを実行する。
【０１２７】
ステップＳ４０３において、このテストが成功した場合、ステップＳ４０４において、診断応答部４８は、デバイス管理装置１０に結果を通知し、テスト処理を完了する。
【０１２８】
一方、ステップＳ４０３において、このテストが失敗した場合、ステップＳ４０５において、モジュール復旧部４９は、修復処理を行い、ステップＳ４０２へ戻り、再度テストを行う。尚、復旧を試みる回数に上限を設けて、失敗回数が上限に達した際に当該モジュールの実行を停止するように判断してもよい。
【０１２９】
又、モジュールテスト部４７は、仮想マシン６０ａ、６０ｂ、６０ｃ外のモジュールのテスト部を呼び出してもよい。例えば、図１４の仮想マシン６０ａ内のモジュールテスト部４７は、仮想マシン６０ｂ内のモジュールを呼び出し、仮想マシン６０ａ自身をテストしてもらうことで、仮想マシン６０ａ内のモジュールが検出できない異常を検出できる可能性がある。又、仮想マシン６０ｂのモジュールテスト部４７が、仮想マシン６０ｂ内のモジュールを起動し、仮想マシン６０ａをテストさせてもよい。この場合、仮想マシン６０ａがウィルスや攻撃によって障害を受けていても、仮想マシン６０ｂのモジュールは、ウィルスや悪意のある攻撃者から保護されるため、仮想マシン６０ａの異常の検出や権限の制限を行うことができる。
【０１３０】
（作用及び効果）
従来のデバイスセキュリティ管理システムでは、デバイス上で動作する様々なセキュリティモジュールによって、ユーザの自由なプログラム実行が妨げられること、プログラム動作が低下するという課題があった。権限制御やファイアウォールのセキュリティモジュールによって、ユーザのプログラムの動作が制限されたり、ログ管理のセキュリティモジュールによって処理速度が低下したりする可能性もあった。
【０１３１】
第２の実施の形態では、デバイス３０上に仮想マシンを構築し、サービス利用プログラム用の環境と、ユーザ用の環境とを独立して構築し、仮想マシン単位でデバイス構成情報をデバイス管理装置１０に登録する。これにより、仮想マシンごとに異なるセキュリティのモジュールを導入することができるため、サービス実行用の仮想マシンではサービスの安全性を確保し、ユーザ用の環境ではユーザの利便性を確保することができる。又、デバイス管理装置１０は、仮想マシン単位でデバイスセキュリティを管理できる。
【０１３２】
又、第２の実施の形態に係るデバイス３０は、プログラム導入制限部６１ａ、６１ｂを備える。このため、仮想マシンに認定されたプログラム以外の導入を防止することができる。このため、サービス用の仮想マシンに、不正なプログラムが導入されるのを防止し、当該仮想マシンを安全な状態に維持することができる。
【０１３３】
（その他の実施形態）
本発明は上記の実施形態によって記載したが、この開示の一部をなす論述及び図面はこの発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施形態、実施例及び運用技術が明らかとなろう。
【０１３４】
例えば、デバイス管理装置１０が保持するデバイス構成情報は、デバイス３０から受信してもよく、外部システムあるいはユーザから登録されてもよい。同様に、デバイス３０が保持するデバイス構成情報は、デバイス管理装置１０から受信してもよく、外部システムあるいはユーザから登録されてもよい。デバイス管理装置１０が保持する加入者情報及びデバイス３０が保持する加入者情報についても、同様である。
【０１３５】
このように、本発明はここでは記載していない様々な実施形態等を含むことは勿論である。従って、本発明の技術的範囲は上記の説明から妥当な特許請求の範囲に係る発明特定事項によってのみ定められるものである。
【図面の簡単な説明】
【０１３６】
【図１】第１及び第２の実施の形態に係るデバイス管理装置の構成ブロック図である。
【図２】デバイスのＯＳ種別を構成情報とするセキュリティポリシーの一例である。
【図３】接続先ネットワーク種別を構成情報とするセキュリティポリシーの一例である。
【図４】アプリケーション種別を構成情報とするセキュリティポリシーの一例である。
【図５】外部デバイス種別を構成情報とするセキュリティポリシーの一例である。
【図６】加入者情報の一例である。
【図７】デバイス構成情報の一例である。
【図８】第１の実施の形態に係るデバイスの構成ブロック図である。
【図９】第１の実施の形態に係るデバイス管理方法（デバイスの登録処理）を示すフローチャートである。
【図１０】第１の実施の形態に係るデバイス管理方法（サービス提供可否の決定処理）を示すフローチャートである。
【図１１】第１の実施の形態に係るデバイス管理方法（デバイスの起動処理）を示すフローチャートである。
【図１２】第１の実施の形態に係るデバイス管理方法（デバイスのテスト処理）を示すフローチャートである。
【図１３】第１の実施の形態に係るデバイス管理方法（デバイスの構成変更処理）を示すフローチャートである。
【図１４】第２の実施の形態に係るデバイスの構成ブロック図である。
【図１５】第２の実施の形態に係るデバイス管理方法（デバイスの起動処理）を示すフローチャートである。
【符号の説明】
【０１３７】
１０…デバイス管理装置
１１…制御部
１２…セキュリティポリシー保持部
１３…加入者情報保持部
１４…デバイス構成情報保持部
１５…モジュール状態保持部
１６…デバイス診断部
１７…モジュール・ポリシー提供部
１８…モジュールテスト部
２０…外部システム
３０…デバイス
４０、４０ａ、４０ｂ…デバイスセキュリティ管理部
４１…制御部
４２…加入者情報保持部
４３…デバイス構成情報保持部
４４…デバイス登録部
４５…モジュール・ポリシー取得部
４６…モジュール管理部
４７…モジュールテスト部
４８…診断応答部
４９…モジュール復旧部
５０、５０ａ、５０ｂ…セキュリティモジュール
５１、５１ａ、５１ｂ…サービス利用プログラム
５２…仮想マシン管理部
５４…ＳＩＭ
６０ａ、６０ｂ、６０ｃ…仮想マシン
６１ａ、６１ｂ…プログラム導入制限部
【技術分野】
【０００１】
本発明は、デバイス管理装置、デバイス及びデバイス管理方法に関する。
【背景技術】
【０００２】
携帯電話サービスやバンキングサービス、コンテンツ配信、企業データベースなどの情報通信サービスを安全に提供するため、サービス提供者は加入者のデバイス（携帯電話やＰＤＡ、ＰＣなど）が、なりすましのデバイスでないことを認証によって確認すると共に、不正な動作を行わないように動作及び状態の検査や、権限の制御をしたいという要求がある。デバイスの不正な動作とは、例えば、ユーザのプライバシ情報（電話番号や預金情報）、著作権付きのコンテンツ、企業の秘密情報などのセンシティブなデータを外部にコピーするような情報漏えい行為や、デバイス内ソフトウェアやデータの不正改ざんや消去、他のデバイスへの攻撃である。デバイスの不正な動作を防止するため、従来、デバイス上にウィルス検査、改ざん検査、ファイアウォール、権限制御、侵入検知、ログ管理などのセキュリティモジュールに基づき、設定がなされて、各種の攻撃や委譲の検出や防御を行う。
【０００３】
サービス提供者は、デバイスやサービスの安全性と信頼性のため、デバイスに適切なモジュールを組み込み、適切に設定し、その状態が正常化を確認したい要求がある。このため、例えば、デバイス上のセキュリティ関連のイベントの発生（ある操作の実行やオブジェクトの変化）を検知して、監査や情報収集、異常検出、対処に関するセキュリティポリシーを更新するデバイス管理技術が開示されている（例えば、特許文献１参照。）。セキュリティポリシーの更新は、例えば、監査や情報収集の範囲、異常検出の閾値、対処の種別（シャットダウンや権限の制限等）など、セキュリティのモジュールの設定を変更することで行われる。一方、モジュールの追加や修正、設定のためのソフトウェア更新において、デバイスの購入や譲渡時におけるデバイスのＳＩＭ差し替えを検出して、管理サーバに（管理者ＩＤ，デバイスＩＤ）とプロファイル（メータ，モデル，ファームウェアのバージョン，加入サービス等）を登録するデバイス管理システムが開示されている（例えば、特許文献２参照）。
【特許文献１】ＵＳ６，５３０，０２４号公報
【特許文献２】ＷＯ２００５／０３６９１６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
現在のコンピュータネットワークには多様なデバイスやネットワーク、サービスが存在するが、デバイスのオペレーティングシステム（ＯＳ）の種別、接続ネットワークの種別、実行するサービス利用プログラム（アプリケーション）の種別、接続される外部デバイスの種別によって、デバイスに要求されるセキュリティポリシー（セキュリティモジュールの種別やその設定）は異なるものと考えられる。又、外部デバイスやアプリケーション、ＯＳ、ネットワークは新たなものが開発され、提供され得るものである。そのため、新たなセキュリティポリシーが規定される可能性があり、デバイスはそのセキュリティポリシーに従う必要がある。
【０００５】
しかしながら、特許文献１で開示されているデバイス管理技術は、セキュリティポリシーの更新に応じてモジュールを動的に組み込むソフトウェア更新手段を備えていないため、そのデバイスの想定外の新たなコンピューティング環境に対応することが困難であった。即ち、新しい外部デバイスの接続や、新しいアプリケーションの起動、新たなネットワークへの接続などの環境の変化が起きた際に、必要なモジュールを導入できず、安全性や信頼性を保証することができなかった。一方、特許文献２で開示されているデバイス管理システムは、デバイス上での異種ＯＳや複数ＯＳの起動、外部デバイスの接続、接続先ネットワークの変化、特定のアプリケーション起動等のデバイス構成の変化を管理する手段を持たないため、セキュリティポリシーに従って、デバイス側で適切なモジュールの導入や設定が行えず、デバイス管理装置側でも、その導入や設定状態を検査することが困難であった。
【０００６】
そこで、本発明は、上記の課題に鑑み、適切なモジュールを適切な設定で動作させ、安全な情報通信サービス提供を可能とするデバイス管理装置、デバイス及びデバイス管理方法を提供することを目的とする。
【課題を解決するための手段】
【０００７】
上記目的を達成するため、本発明の第１の特徴は、（ａ）デバイスの構成情報を保持するデバイス構成情報保持部と、（ｂ）サービスの加入者情報を保持する加入者情報保持部と、（ｃ）構成情報あるいは加入者情報に基づいて設定されるセキュリティポリシーを保持するセキュリティポリシー保持部と、（ｄ）デバイスから取得したモジュールの状態情報を保持するモジュール状態保持部と、（ｅ）セキュリティポリシーとモジュールの状態情報とを比較して、デバイスの構成を診断するデバイス診断部とを備えるデバイス管理装置であることを要旨とする。
【０００８】
第１の特徴に係るデバイス管理装置によると、デバイスの構成情報と加入者情報を管理し、デバイスから取得したモジュールの状態情報とセキュリティポリシーを比較して、デバイスの構成の診断をすることができる。これにより、サービス提供者は、当該デバイスの構成に必要とされるモジュールが正しい設定で動作していることを確認した上で、サービスを提供することができる。
【０００９】
又、第１の特徴に係るデバイス管理装置のデバイス構成情報保持部は、構成情報として、デバイス識別子と、デバイス識別子に対応したオペレーティングシステム、ハードウェア、通信リンク種別、接続先ネットワーク、外部デバイス、実行中のアプリケーション、モジュールの状態情報の少なくともいずれか１とを含むことが好ましい。
【００１０】
このデバイス管理装置によると、サービス提供者は、デバイス構成情報に対してきめ細かにモジュールやその設定を選択し、安全にサービスを提供することができる。
【００１１】
又、第１の特徴に係るデバイス管理装置のデバイス構成情報保持部の加入者情報保持部は、加入者情報として、加入者識別子と、加入者識別子に対応した加入サービスの種別、加入サービスの設定の少なくともいずれか１とを含むことが好ましい。
【００１２】
このデバイス管理装置によると、加入者が利用するデバイスを切り替えたり、加入者間でデバイスを交換しても一意に加入者デバイスを特定したりすることを可能とする。又、高度な安全性を要求するサービスや加入者に対して高機能なセキュリティのモジュールを選択したり、動作の軽快さを望む加入者に対して検査頻度を落としたセキュリティのモジュールを選択したりするなど、きめ細かな制御ができる。
【００１３】
又、第１の特徴に係るデバイス管理装置は、モジュール、あるいは、セキュリティポリシーをデバイスへ送信するモジュール・ポリシー提供部を更に備えてもよい。
【００１４】
このデバイス管理装置によると、デバイス構成情報や加入者情報が変化した際も、適切なモジュールやセキュリティポリシーをデバイスに導入できる。
【００１５】
又、第１の特徴に係るデバイス管理装置は、デバイス上のモジュールに状態を問い合わせるモジュールテスト部を更に備えてもよい。
【００１６】
このデバイス管理装置によると、デバイス管理装置の任意のタイミングでデバイス上のモジュールの状態を確認でき、安全なサービス提供が可能となる。
【００１７】
本発明の第２の特徴は、デバイスの構成情報あるいはサービスの加入者情報に基づいて設定されるセキュリティポリシーと、デバイスから取得したモジュールの状態情報とを比較して、デバイスの構成を診断するデバイス管理装置の管理下にあるデバイスであって、（ａ）構成情報あるいは加入者情報をデバイス管理装置へ送信するデバイス登録部と、（ｂ）デバイス管理装置からモジュール、あるいは、セキュリティポリシーを取得するモジュール・ポリシー取得部と、（ｃ）セキュリティポリシーを利用して、モジュールを管理するモジュール管理部と、（ｄ）モジュールの動作あるいは状態をテストするモジュールテスト部と、（ｅ）モジュールのテスト結果を、モジュールの状態情報として、デバイス管理装置へ送信する診断応答部とを備えるデバイスであることを要旨とする。
【００１８】
第２の特徴に係るデバイスによると、デバイス構成情報や加入者情報を管理し、デバイス管理装置に登録すると共に、セキュリティポリシーを保持し、それに従ってモジュールの導入、設定、起動、テスト、さらにテスト結果の通知を行うことができる。このため、カスタマイズされるデバイスのセキュリティ状態を適切に保つと共に、デバイス管理装置がデバイスのセキュリティを診断・管理可能とする。
【００１９】
又、第２の特徴に係るデバイスのモジュールテスト部は、デバイスの電源がオン又はリセット、あるいはデバイス管理装置からの問い合わせを契機として、テストを行ってもよい。
【００２０】
このデバイスによると、デバイス購入時や再起動の際に確実にテストを行い、デバイスを安全な状態に保つことができる。又、デバイス管理装置は所望のタイミングでデバイス側のモジュールをテストできるため、テストの頻度やタイミングの設定について、柔軟な運用ができる。
【００２１】
又、第２の特徴に係るデバイスは、モジュールテスト部によるテストにおいて、テストが失敗した場合、当該モジュールの修復を行うモジュール復旧部を更に備えてもよい。
【００２２】
このデバイスによると、モジュールの不具合があった場合も停止することなく、復旧可能とする。
【００２３】
又、第２の特徴に係るデバイスは、複数の仮想マシンを管理する仮想マシン管理部を更に備え、デバイス構成情報保持部は、一つ以上の仮想シンのデバイス構成情報を保持し、デバイス登録部は、一つ以上の仮想マシンのデバイス構成情報と加入者情報とをデバイス管理装置へ送信し、モジュール管理部は、適切な仮想マシンを選択して、モジュールを導入あるいは設定してもよい。
【００２４】
このデバイスによると、サービス実行用の仮想マシンをユーザ用の環境と独立して構築するなど、仮想マシン単位でデバイス構成情報をデバイス管理装置に登録することができる。このように、仮想マシンごとに異なるモジュールを導入することができるため、例えば、サービス実行用の仮想マシンではサービスの安全性を確保し、ユーザ用の環境ではユーザの利便性を確保することができる。又、複数の仮想マシンのデバイス構成情報を集約して送信することで、トラフィックや負荷を軽減することもできる。更に、デバイス管理装置は、仮想マシン単位でデバイスセキュリティを管理できる。
【００２５】
又、上記のデバイスは、仮想マシンにプログラムを導入する場合、仮想マシンに認定されたプログラム以外の導入を拒否する導入プログラム制限部を更に備えてもよい。
【００２６】
このデバイスによると、サービス用の仮想マシンに、不正なプログラムが導入されるのを防止し、当該仮想マシンを安全な状態に維持することができる。
【００２７】
本発明の第３の特徴は、（ａ）デバイスの構成情報あるいはサービスの加入者情報に基づいて設定されるセキュリティポリシーを保持するステップと、（ｂ）デバイスから取得したモジュールの状態情報を保持するステップと、（ｃ）セキュリティポリシーとモジュールの状態情報とを比較して、デバイスの構成を診断するステップとを含むデバイス管理方法であることを要旨とする。
【００２８】
第３の特徴に係るデバイス管理方法によると、デバイスの構成情報と加入者情報を管理し、デバイスから取得したモジュールの状態情報とセキュリティポリシーを比較して、デバイスの構成を診断することができる。これにより、サービス提供者は、当該デバイスの構成に必要とされるモジュールが正しい設定で動作していることを確認した上で、サービスを提供することができる。
【発明の効果】
【００２９】
本発明によると、適切なモジュールを適切な設定で動作させ、安全な情報通信サービス提供を可能とするデバイス管理装置、デバイス及びデバイス管理方法を提供することができる。
【発明を実施するための最良の形態】
【００３０】
次に、図面を参照して、本発明の実施の形態を説明する。以下の図面の記載において、同一又は類似の部分には、同一又は類似の符号を付している。ただし、図面は模式的なものであることに留意すべきである。
【００３１】
＜第１の実施の形態＞
（デバイス管理装置）
本実施の形態に係るデバイス管理装置は、デバイスの構成の診断と設定を行うものであり、例えば、サーバやワークステーション、パーソナルコンピュータなどの装置を利用して実装される。
【００３２】
デバイス管理装置１０は、図１に示すように、制御部１１、セキュリティポリシー保持部１２、加入者情報保持部１３、デバイス構成情報保持部１４、モジュール状態保持部１５、デバイス診断部１６、モジュール・ポリシー提供部１７、モジュールテスト部１８を備える。
【００３３】
制御部１１は、デバイスやアクセス制御サーバなどの外部システム２０と情報のやりとりを行う。又、制御部１１は、セキュリティポリシー保持部１２、加入者情報保持部１３、デバイス構成情報保持部１４、モジュール状態保持部１５、デバイス診断部１６、モジュール・ポリシー提供部１７、モジュールテスト部１８を管理、制御する。
【００３４】
セキュリティポリシー保持部１２は、あるデバイス構成のデバイスに必要とされるモジュールやデバイスの構成情報あるいはサービスの加入者情報に基づいて設定されるセキュリティポリシーを保持する。具体的なセキュリティポリシーの例として、図２に、Monta Vista Linux, Symbian, ITRONと異なるオペレーティングシステムを持つデバイスに対して、あるサービス提供者が必要と判断するモジュールの例を示す。ここでは、モジュールの例として、ウィルス検査、改ざん検出、ファイアウォール、権限制御、侵入検知、ログ管理が挙げられ、それぞれのモジュールの導入が必須かオプションか、そして、必須の場合、任意の同種のモジュールでよいか、あるいは指定の製品やソフトウェアがあるかどうかが記述されている。
【００３５】
又、図３に、あるデバイスが接続するネットワークが、加入先のセルラ網（ホームセルラ網）、公衆のホットスポット、企業内イントラネット、の場合のセキュリティポリシーの例を示す。ここでは、モジュールの種別だけでなく、検査頻度や検査範囲をセキュリティポリシーとして設定している。
【００３６】
又、図４に、バンキングサービス、企業データベースアクセスサービス、オンラインゲームサービスを実行するデバイスに対して、あるサービス提供者が必要と判断するモジュールとその設定の例を示す。
【００３７】
又、図５に、外部キーボード、外部スピーカ、外部マイクを外部デバイスとして接続するデバイスに対するセキュリティポリシーの設定例を示す。
【００３８】
例えば、セキュリティポリシー保持部１２は、別のデータベースからセキュリティポリシーを読み込むことで、セキュリティポリシーを保持する。
【００３９】
加入者情報保持部１３は、図６に示すように、加入者情報として、加入者識別子と、当該加入者識別に対応する加入サービスの種別、セキュリティのプレファレンス設定（加入サービスの設定）などを保持する。加入者情報を利用することで、プレミアムセキュリティサービスに加入している加入者識別子ＳＩＤ＿Ａのユーザには高機能なセキュリティのモジュールを提供し、速度を重視するＳＩＤ＿Ｂのユーザのモジュールに軽量なポリシーや設定を与えることができる。又、バンキングサービスを利用している加入者に対して特殊なモジュールを要求するという設定も可能である。尚、加入者情報を外部のサービス管理や加入者管理のデータベースから入力、あるいは同期をとることとしてもよい。
【００４０】
デバイス構成情報保持部１４は、図７に示すように、デバイス構成情報として、デバイス識別子と、当該デバイス識別子に対応するオペレーティングシステム、ハードウェア、通信リンク種別、接続先ネットワーク、モジュールのテスト結果とテスト時刻、実行中のサービスプログラム（アプリケーション）などとを保持する。図示していないが、更に接続している外部デバイスの種別や識別子を保持してもよい。ここでは、デバイス構成情報保持部１４が情報を保持する領域をデバイス管理テーブルと呼ぶ。加入者は、ＳＩＭ(Subscriber Identity Module)を入れ替えるなどして、複数のデバイスを利用する可能性がある。一方で、あるデバイスは複数の加入者によって利用される可能性があるため、加入者識別子とデバイス識別子でデバイスを一意に管理している。図７では、ＳＩＤ＿Ａの加入者は、ＤＩＤ＿１２３、ＤＩＤ＿４５６の２つのデバイスを利用しており、ＳＩＤ＿Ｂの加入者は前者のＤＩＤ＿１２３のデバイスを使用していたことを示す。これは、例えば、ＳＩＤ＿Ｂの加入者がＤＩＤ＿１２３のデバイスをＳＩＤ＿Ａの加入者に譲渡し、ＳＩＤ＿Ａの加入者がＤＩＤ＿４５６のデバイスからＤＩＤ＿１２３のデバイスにＳＩＭを入れ替えたことを示す。尚、デバイス構成情報保持部１４は、テーブルの肥大化を防止するために、古いデバイスのエントリや退会した加入者のエントリを削除してもよい。
【００４１】
モジュール状態保持部１５は、デバイス上のモジュールから、状態情報を受信して保持する。状態情報はモジュールの種別やそのテスト結果、テスト時刻を含む。
【００４２】
デバイス診断部１６は、セキュリティポリシーとモジュールの状態情報を利用してデバイスの構成を診断し、デバイス管理テーブルに記録する。例えば、セキュリティポリシーにおいて必須とされるモジュールの状態がすべてＯＫであれば、診断結果を「ＯＫ」とマークする。あるいは、すべての必須モジュールの状態がＯＫでなくとも、「ＯＫ」としたり、構成を段階的に判定して数値を与えたりするなどのセキュリティポリシーも挙げられる。
【００４３】
又、デバイス診断部１６は、セキュリティポリシーとモジュールの状態情報を利用してデバイスへのサービス提供の可否を決定し、デバイス管理テーブルに記録してもよい。例えば、セキュリティポリシーにおいて必須とされるモジュールの状態がすべてＯＫであれば、サービスの提供可否を「許諾」とマークする。あるいは、すべての必須モジュールの状態がＯＫでなくとも、一部のサービス提供を許諾するセキュリティポリシーも考えられる。
【００４４】
外部システム２０の例として、アクセス制御サーバは、デバイス管理テーブルのサービス提供可否を参照して、加入者のサービスへのアクセスを制限することができる。
【００４５】
モジュール・ポリシー提供部１７は、デバイスが要求したモジュールやその設定を規定したセキュリティポリシー、デバイスに導入が必要とされるモジュールやその設定を規定したセキュリティポリシーを送信する。
【００４６】
モジュールテスト部１８は、デバイス上のモジュールに状態を問い合わせる。例えば、加入者が新しいサービスに加入した際、デバイスが別のネットワークにローミングした際、前回のモジュールのテスト結果の通知から長時間が経過した際、外部のサーバからテストを要求された際などに、デバイス上のモジュールに状態を問い合わせる。
【００４７】
尚、デバイス管理装置１０のセキュリティポリシー保持部１２、加入者情報保持部１３、デバイス構成情報保持部１４、モジュール状態保持部１５は、ＲＡＭ、ＲＯＭ等の内部記憶装置でも良く、ハードディスク、フレキシブルディスク、コンパクトディスク等の外部記憶装置でも良い。
【００４８】
又、第１の実施の形態に係るデバイス管理装置１０は、処理制御装置（ＣＰＵ）を有し、上述した制御部１１、デバイス診断部１６、モジュール・ポリシー提供部１７、モジュールテスト部１８などをモジュールとして、ハードウェア化や隔離された環境へ配置することで、安全に実行される環境とすることができる。これらのモジュールは、パーソナルコンピュータ等の汎用コンピュータにおいて、所定のプログラム言語を利用するための専用プログラムを実行することにより実現することができる。
【００４９】
又、図示していないが、デバイス管理装置１０は、制御処理、デバイス診断処理、モジュール・ポリシー提供処理、モジュールテスト処理などをＣＰＵに実行させるためのプログラムを蓄積するプログラム保持部を備えてもよい。プログラム保持部は、例えば、ＲＡＭ、ＲＯＭ、ハードディスク、フレキシブルディスク、コンパクトディスク、ＩＣチップ、カセットテープなどの記録媒体である。このような記録媒体によれば、プログラムの蓄積、運搬、販売などを容易に行うことができる。
【００５０】
（デバイス）
本実施の形態に係るデバイス３０は、デバイスの構成情報あるいはサービスの加入者情報に基づいて設定されるセキュリティポリシーと、デバイスから取得したモジュールの状態情報とを比較して、デバイスの構成を診断するデバイス管理装置１０の管理下にある。
【００５１】
デバイス３０は、例えば、携帯電話機やＰＣ、情報家電などであり、図８に示すように、デバイスセキュリティ管理部４０を備える。その他、サービスを利用するためのサービス利用プログラム５１や、モジュール５０、加入者情報を保持するＳＩＭ５４が存在する。以下、デバイスセキュリティ管理部４０の各部分について説明する。
【００５２】
デバイスセキュリティ管理部４０は、制御部４１、加入者情報保持部４２、デバイス構成情報保持部４３、デバイス登録部４４、モジュール・ポリシー取得部４５、モジュール管理部４６、モジュールテスト部４７、診断応答部４８、モジュール復旧部４９、構成変化検知部４１０を備える。
【００５３】
制御部４１は、デバイス管理装置などの外部装置と情報のやりとりを行う。又、制御部４１は、加入者情報保持部４２、デバイス構成情報保持部４３、デバイス登録部４４、モジュール・ポリシー取得部４５、モジュール管理部４６、モジュールテスト部４７、診断応答部４８、モジュール復旧部４９、構成変化検知部４１０を管理、制御する。
【００５４】
加入者情報保持部４２は、加入者識別子と、当該加入者識別子に対応する加入サービスの種別、加入サービス設定などとを含む加入者情報を保持するものであり、好ましくはＳＩＭ５４やＵＳＩＭなどのＩＣカードに保持する。加入者情報として、例えば、図６に示す情報を保持する。
【００５５】
デバイス構成情報保持部４３は、デバイス固有の識別子と、当該デバイス識別子に対応するデバイスのオペレーティングシステム、ＣＰＵなどのハードウェア、通信リンク種別、接続先ネットワーク、モジュールの状態情報、接続中の外部デバイス、実行中のサービスプログラムなどとを含むデバイス構成情報を保持する。デバイス構成情報として、例えば、図７に示す情報を保持する。デバイス固有の識別子は、製造時にメーカによって与えられる一意の識別子や、仮想マシンの構築時に生成される一意の識別子である。サービス提供者やユーザ、管理者が設定したホスト名や番号などでもよい。
【００５６】
デバイス登録部４４は、加入者情報保持部４２やデバイス構成情報保持部４３にアクセスして、加入者情報およびデバイス構成情報を取得し、デバイス管理装置へ送信する。
【００５７】
モジュール・ポリシー取得部４５は、デバイス管理装置から当該デバイスに必要とされるモジュールやその設定を規定したセキュリティポリシーを取得する。取得したセキュリティポリシーは保持しておき、モジュール管理部４６などがアクセス可能にする。
【００５８】
モジュール管理部４６は、セキュリティポリシーを利用して、モジュールを管理する。具体的には、モジュール管理部４６は、モジュールの導入や設定、起動を行う。例えば、セキュリティポリシーに従い、実行中のサービスや接続中のネットワーク、接続中の外部デバイスにおいて必要なモジュールを起動する。
【００５９】
モジュールテスト部４７は、モジュールの動作あるいは状態をテストし、テスト結果をデバイス構成情報保持部４３へ出力する。テスト方法として、例えば、モジュール内部の自己テスト手続の呼び出しや、デバイス内ソフトウェアの実行イメージの改ざん検査、デバイス内ソフトウェアの動作監査、モジュールが出力するログの検査、モジュールに対応するプロセスの検査などがある。又、不正な動作や異常動作を行うテストプログラムをデバイス上で動作させてモジュールの反応を確認してもよい。
【００６０】
診断応答部４８は、デバイス構成情報保持部４３が保持するモジュールのテスト結果を、モジュールの状態情報として、デバイス管理装置１０へ送信する。
【００６１】
モジュール復旧部４９は、モジュールテスト部４７において、動作あるいは状態のテストが失敗した際に当該モジュールの回復を行う。例えば、当該モジュールや代替のモジュールを再度ロードして導入することで復旧する。
【００６２】
構成変化検知部４１０は、デバイスの構成変化を検知して、構成情報をデバイス管理装置に送信するか、あるいは保持しているセキュリティポリシーに基づきモジュールの起動及び設定を行う。デバイス構成情報の変化として、接続先ネットワークの変更や外部デバイスの脱着、サービスプログラムの起動・終了、仮想マシンの起動・終了、ＳＩＭの脱着などのイベントを、オペレーティングシステムなどが提供する機能を利用して取得するか、構成変化検知部４１０自身が周期的に構成情報を監視することにより、変化を検知する。そして構成の変化を検知した際に、デバイス登録部４４を起動してデバイス管理装置に構成情報を送信するかどうかを決定する。例えば、デバイスの構成変化の種別が新規であって、その構成に対するセキュリティポリシーをモジュール・ポリシー取得部４５が保持していない場合や、通知を必要とするとポリシーで規定された構成種別の場合、構成情報の送信を決定する。一方、モジュール・ポリシー取得部４５がすでにその構成情報に対するポリシーを保持している場合や、通知を必要としないと規定された構成種別の場合、モジュール管理部４６を呼び出して、保持しているセキュリティポリシーに基づきモジュールの起動及び設定を行う。
【００６３】
尚、デバイス３０の加入者情報保持部４２、デバイス構成情報保持部４３は、ＲＡＭ、ＲＯＭ等の内部記憶装置でも良く、ハードディスク、フレキシブルディスク、コンパクトディスク等の外部記憶装置でも良い。
【００６４】
又、第１の実施の形態に係るデバイス３０は、処理制御装置（ＣＰＵ）を有し、上述した制御部４１、デバイス登録部４４、モジュール・ポリシー取得部４５、モジュール管理部４６、モジュールテスト部４７、診断応答部４８、モジュール復旧部４９、構成変化検知部４１０などをモジュールとして、ハードウェア化や隔離された環境へ配置することで、安全に実行される環境とすることができる。これらのモジュールは、パーソナルコンピュータ等の汎用コンピュータにおいて、所定のプログラム言語を利用するための専用プログラムを実行することにより実現することができる。
【００６５】
又、図示していないが、デバイス３０は、制御処理、デバイス登録処理、モジュール・ポリシー取得処理、モジュール管理処理、モジュールテスト処理、診断応答処理、モジュール復旧処理、構成変化検知処理などをＣＰＵに実行させるためのプログラムを蓄積するプログラム保持部を備えてもよい。プログラム保持部は、例えば、ＲＡＭ、ＲＯＭ、ハードディスク、フレキシブルディスク、コンパクトディスク、ＩＣチップ、カセットテープなどの記録媒体である。このような記録媒体によれば、プログラムの蓄積、運搬、販売などを容易に行うことができる。
【００６６】
（デバイス管理方法）
次に、第１の実施形態に係るデバイス管理方法について、図９〜１３を用いて説明する。
【００６７】
＝デバイス登録処理＝
デバイス管理装置１０におけるデバイス３０の登録処理を、図９を参照して説明する。
【００６８】
まず、ステップＳ１０１において、制御部１１は、デバイス３０から加入者情報及びデバイス構成情報を受信する。
【００６９】
このとき、ステップＳ１０２において、新しい加入者識別子とデバイス識別子の組のデバイス登録であった場合、ステップＳ１０３へ進み、制御部１１は、デバイス構成情報保持部１４に新たなエントリを作成する。
【００７０】
次に、ステップＳ１０４において、制御部１１は、取得した加入者情報及びデバイス構成情報デバイスを用いて、デバイス構成情報保持部１４の構成管理テーブルを更新する。
【００７１】
次に、ステップＳ１０５において、制御部１１は、加入者情報とデバイス構成情報を利用して、そのデバイスに必要とされるモジュールのリストと設定を規定するセキュリティポリシーをセキュリティポリシー保持部１２から取得する。そして、ステップＳ１０６において、当該セキュリティポリシーを用いて、デバイス構成管理テーブルを更新する。
【００７２】
＝サービス提供可否の決定処理＝
次に、デバイス管理装置１０におけるデバイスの構成診断処理を、図１０を参照して説明する。
【００７３】
まず、ステップＳ２０１において、制御部１１は、デバイス上のモジュールから、状態情報を受信して、モジュール状態保持部１５に保持する。
【００７４】
次に、ステップＳ２０２において、制御部１１は、状態情報に含まれるモジュールのテスト結果を用いて、デバイス構成情報保持部１４に保持されるデバイス構成管理テーブルを更新する。
【００７５】
次に、ステップＳ２０３において、デバイス診断部１６は、デバイス管理テーブルのテスト結果を参照して、セキュリティポリシー保持部１２に保持されたセキュリティポリシーに基づき、デバイスの構成を診断する。例えば、必要とされるモジュールの全てのテスト結果がＯＫであることを要求するポリシーの場合、１つでもＮＧのテスト結果があった場合、ステップＳ２０５へ進み、診断結果を「ＮＧ」と判断する。そして、デバイス構成管理テーブルの診断結果フィールドにはＮＧを書き込み、処理を終了する。一方、セキュリティポリシーを満足した場合は、ステップＳ２０４へ進み、診断結果を「ＯＫ」と判断し、デバイス構成管理テーブルの診断結果フィールドにＯＫを書き込み、処理を終了する。
【００７６】
このデバイス構成の診断結果の情報は、例えば外部システム２０のアクセス制御サーバによって利用される。デバイス３０がサービスにアクセスする際、外部のアクセス制御サーバは、デバイス管理装置１０にその診断結果を問い合わせ、ＯＫの場合にアクセスを許可し、ＮＧの場合はアクセスを拒否する。尚、デバイス管理装置１０自身がこのようなアクセス制御を行ってもよいし、デバイス管理装置１０から外部のサーバに対して、サービス提供の可否を通知してもよい。
【００７７】
尚、ステップＳ２０３において、デバイス診断部１６は、デバイス管理テーブルのテスト結果を参照して、セキュリティポリシー保持部１２に保持されたセキュリティポリシーに基づき、サービス提供の可否を決定してもよい。例えば、必要とされるモジュールの全てのテスト結果がＯＫであることを要求するポリシーの場合、１つでもＮＧのテスト結果があった場合、ステップＳ２０５へ進み、サービス提供を「停止」と判断する。そして、デバイス構成管理テーブルのサービス提供可否には停止を書き込み、処理を終了する。一方、セキュリティポリシーを満足した場合は、ステップＳ２０４へ進み、サービス提供を「許諾」と判断し、デバイス構成管理テーブルのサービス提供可否に許諾を書き込み、処理を終了する。
【００７８】
このサービス提供の許諾、停止の情報は、例えば外部システム２０のアクセス制御サーバによって利用される。デバイス３０がサービスにアクセスする際、外部のアクセス制御サーバは、デバイス管理装置１０にそのサービス提供の可否を問い合わせ、許諾の場合にアクセスを許可し、停止の場合はアクセス拒否する。尚、デバイス管理装置１０自身がこのようなアクセス制御を行ってもよいし、デバイス管理装置１０から外部のサーバに対して、サービス提供の可否を通知してもよい。
【００７９】
＝デバイスの起動処理＝
次に、デバイス３０の起動処理を、図１１を参照して説明する。
【００８０】
まず、ステップＳ３０１において、デバイス３０が電源オンまたはリセットされると、ステップＳ３０２において、システムソフトが起動し、ステップＳ３０３において、無線基地局やアクセスポイントを通じて無線リンクを確立した後、ＳＩＭ５４による端末認証の手順を実行する。
【００８１】
そして、ステップＳ３０４において、制御部４１は、ＳＩＭ５４から加入者識別子や加入サービス種別、加入サービス設定などを加入者情報保持部４２にロードする。
【００８２】
次に、ステップＳ３０５において、制御部４１は、ＳＩＭ５４内にデバイス３０に対応したデバイス構成情報があるか否か判断し、ある場合は、ステップＳ３０６へ進み、ＳＩＭ５４から、そのデバイスのデバイス識別子に対応したデバイス構成情報をデバイス構成情報保持部４３にロードする。一方、ＳＩＭ５４内にそのデバイス識別子に対応したデバイス構成情報が存在しない場合、ステップＳ３０７へ進み、新しいデバイスであると判断して、ＳＩＭ５４にそのデバイス識別子に対応したデバイス構成情報用の領域を作成する。
【００８３】
次に、ステップＳ３０８において、制御部４１は、実際のデバイスのデバイス識別子や、オペレーティングシステム、通信リンク種別、接続先ネットワーク、モジュールのインストール情報、接続中の外部デバイス、実行中のサービスプログラムなどを検出し、デバイス構成情報保持部４３のデバイス構成情報を更新する。
【００８４】
その際、ステップＳ３０９において、制御部４１は、デバイス構成が変化したか否かを判断する。そして、ステップＳ３１０において、ＳＩＭ５４からロードした情報と異なる場合、あるいは新しいデバイスの場合、ＳＩＭ５４内のデバイス構成情報を更新する。
【００８５】
更に、ステップＳ３１１において、デバイス登録部４４は、加入者情報とデバイス構成情報を、デバイス管理装置１０へ送信する。ＳＩＭ５４からロードしたデバイス構成情報と検出したものが一致している場合、この登録を行わないことで通信量を削減する。
【００８６】
次に、ステップＳ３１２において、モジュール・ポリシー取得部４５は、デバイス管理装置１０に問い合わせて、セキュリティポリシーを取得する。そして、ステップＳ３１３において、モジュール管理部４６は、適切なモジュールを適切な設定で起動する。その際、モジュール管理部４６は、必要であればモジュールをロードして導入する。
【００８７】
＝デバイスのテスト処理＝
次に、デバイス３０のテスト処理を、図１２を参照して説明する。デバイスは起動の完了後、あるいはデバイス管理装置から問い合わせを受けた際に、テスト処理を行う。
【００８８】
まず、ステップＳ４０１において、デバイス３０は、システムソフトの起動を完了する。
【００８９】
次に、ステップＳ４０２において、モジュールテスト部４７は、デバイス３０内のモジュールのテストを実行する。
【００９０】
ステップＳ４０３において、このテストが成功した場合、ステップＳ４０４において、診断応答部４８は、デバイス管理装置１０に結果を通知し、テスト処理を完了する。
【００９１】
一方、ステップＳ４０３において、このテストが失敗した場合、ステップＳ４０５において、モジュール復旧部４９は、修復処理を行い、ステップＳ４０２へ戻り、再度テストを行う。尚、復旧を試みる回数に上限を設けて、失敗回数が上限に達した際に当該モジュールの実行を停止するように判断してもよい。
【００９２】
又、変形例として、デバイス登録と一緒にモジュールのテスト結果の通知を行ってもよい。これにより、デバイスとデバイス管理装置間の通信量を削減することができる。
【００９３】
＝デバイスの構成変更処理＝
次に、デバイス３０の構成変更処理を、図１３を参照して説明する。
【００９４】
まず、ステップＳ５０１において、デバイス３０の構成変化検知部４１０は、構成情報の変化を検知した場合、ステップＳ５０２において、構成変化検知部４１０は、モジュール・ポリシー取得部４５にアクセスして、その構成情報に対するセキュリティポリシーを保持しているか検査する。
【００９５】
ステップＳ５０３において、保持している場合は、ステップＳ５０４に進み、構成変化検知部４１０は、更にその構成情報は通知が必要とされているセキュリティポリシーであるか検査する。ステップＳ５０５において、通知が必要である場合は、ステップＳ５０６に進む。ステップＳ５０６〜５０９は、デバイスの起動処理（図１１）のステップＳ３１０〜３１３と同様の処理であり、デバイス管理装置に登録してセキュリティポリシーを受け取った後に、モジュールの導入・設定を行って、手順を終了する。
【００９６】
一方、ステップＳ５０３においてセキュリティポリシーを保持していて、ステップＳ５０５において通知が必要とされていない場合は、ステップＳ５１０において、セキュリティポリシーに従って、モジュールの導入・設定を行う。そして、ステップＳ５１１において、構成情報とポリシーをログに記録し、手順を終了する。
【００９７】
（作用及び効果）
従来のデバイスセキュリティ管理システムは、デバイス構成情報やデバイス上のサービスの種別を管理する手段を持たないため、そのセキュリティポリシーをデバイス側で実施すること、デバイス管理装置側でその実施を検査することが困難であった。あるデバイス構成で、あるサービス利用プログラムを実行するデバイスに安全にサービスを提供するため、適切なモジュールを適切な設定で動作していることと、デバイス管理装置において適切なモジュールが適切な設定で動作していることを検査することが第一の課題であった。
【００９８】
第１の実施の形態に係るデバイス管理装置１０、デバイス３０及びデバイス管理方法によると、デバイス構成情報と加入者情報を管理し、デバイス上で適切なモジュールを適切な設定で動作させ、デバイス管理装置において適切なモジュールが適切な設定で動作していることを検査することができる。サービス提供者は、デバイスの構成に必要とされるモジュールが正しい設定で動作されることを確認した上で、安全にサービスを提供することができる。デバイス構成情報や加入者情報が変化した際も、適切なモジュールを適切に設定、動作させることでデバイスを安全な状態に保つことができる。このように、オープンなデバイスのセキュリティを適切に管理し、ユーザの自由度を確保しつつ、安全な情報通信サービス提供を可能とする。
【００９９】
又、第１の実施の形態に係るデバイス管理装置１０では、構成情報として、デバイス識別子と、デバイス識別子に対応したオペレーティングシステム、ハードウェア、通信リンク種別、接続先ネットワーク、外部デバイス、モジュールの状態情報の少なくともいずれか１とを含む。このデバイス管理装置１０によると、サービス提供者は、デバイス構成情報に対してきめ細かにモジュールを選択し、安全にサービスを提供することができる。
【０１００】
又、第１の実施の形態に係るデバイス管理装置１０では、加入者情報として、加入者識別子と、加入者識別子に対応した加入サービスの種別、加入サービスの設定の少なくともいずれか１とを含む。このデバイス管理装置１０によると、加入者が利用するデバイスを切り替えたり、加入者間でデバイスを交換しても一意に加入者デバイスを特定したりすることを可能とする。又、高度な安全性を要求するサービスや加入者に対して高機能なセキュリティのモジュールを選択したり、動作の軽快さを望む加入者に対して検査頻度を落としたセキュリティのモジュールを選択したりするなど、きめ細かな制御ができる。
【０１０１】
又、第１の実施の形態に係るデバイス管理装置１０は、モジュール、あるいは、セキュリティポリシーをデバイスへ送信するモジュール・ポリシー提供部１７を備える。このため、デバイス構成情報や加入者情報が変化した際も、適切なモジュールやセキュリティポリシーをデバイスに導入できる。
【０１０２】
又、第１の実施の形態に係るデバイス管理装置１０は、デバイス上のモジュールに状態を問い合わせるモジュールテスト部１８を備える。このため、デバイス管理装置１０の任意のタイミングでデバイス上のモジュールの状態を確認でき、安全なサービス提供が可能となる。
【０１０３】
又、第１の実施の形態に係るデバイス３０によると、デバイス構成情報や加入者情報を管理し、デバイス管理装置に登録すると共に、セキュリティポリシーを保持し、それに従ってモジュールの導入、設定、起動、テスト、さらにテスト結果の通知を行うことができる。このため、デバイスのセキュリティ状態を適切に保つと共に、デバイス管理装置がデバイスのセキュリティを管理可能とする。
【０１０４】
又、第１の実施の形態に係るデバイス３０のモジュールテスト部４７は、デバイスの電源がオン又はリセット、あるいはデバイス管理装置からの問い合わせを契機として、テストを行う。このため、デバイス購入時や再起動の際に確実にテストを行い、デバイスを安全な状態に保つことができる。又、デバイス管理装置は所望のタイミングでデバイス側のモジュールをテストできるため、テストの頻度やタイミングの設定について、柔軟な運用ができる。
【０１０５】
又、第１の特徴に係るに係るデバイス３０では、モジュールテスト部４７によるテストにおいて、テストが失敗した場合、当該モジュールの修復を行うモジュール復旧部４９を備える。このため、モジュールの不具合があった場合も停止することなく、復旧可能とする。
【０１０６】
＜第２の実施の形態＞
第２の実施の形態では、デバイス３０が仮想マシン管理部（一般的に、仮想マシンモニタと呼ばれる）を備えた場合について説明する。デバイス管理装置１０については、第１の実施の形態と同様であるので、ここでは説明を省略する。
【０１０７】
（デバイス）
第２の実施の形態に係るデバイス３０は、図１４に示すように、仮想マシン管理部５２を備える。仮想マシンモニタは、単一の計算機上に複数の仮想的な計算機環境（仮想マシン６０ａ、６０ｂ、６０ｃ）を構築し、管理するためのソフトウェアであり、独立した仮想マシンに別々のＯＳやアプリケーションを導入して利用することや、仮想マシン間のメモリやファイルシステム等のリソースのアクセス制御を可能とする。即ち、ある仮想マシン１内のプログラムから仮想マシン２のリソースへのアクセスを許諾するが、逆の仮想マシン２から１へのリソースへのアクセスをブロックすることができる。
【０１０８】
この仮想マシンモニタの機能を行うことで、デバイス３０上にユーザ用とサービス用の計算機環境を独立に構築できると共に、サービス１用仮想マシン６０ａにセキュリティモジュール５０ａを配置し、別のサービス２用仮想マシン６０ｂ内のプログラム５１ｂを監視させることもできる。
【０１０９】
仮想マシン管理部５２は、複数の仮想マシンを管理する。具体的には、仮想マシン管理部５２は、仮想マシンの生成、起動、終了、削除の機能を提供する。
【０１１０】
プログラム導入制限部６１ａ、６１ｂは、仮想マシンに認定されたプログラム以外の導入を拒否するものである。例えば、仮想マシンの設定ファイル内の認定された信頼できるプログラムリストを参照して、そのリストに含まれない信頼できないプログラムの導入操作をブロックすることで、当該仮想マシンを安全な状態に維持する。
【０１１１】
又、デバイスセキュリティ管理部４０ａ、４０ｂは、図８に示すデバイスセキュリティ管理部４０と同様の構成を有し、同様の動作を行うが、以下に、第２の実施の形態に特有の機能を示す。
【０１１２】
デバイス構成情報保持部４３は、少なくとも一つの仮想マシンのデバイス構成情報を保持する。
【０１１３】
デバイス登録部４４は、サービス実行用の少なくとも一つの仮想マシンのデバイス構成情報をデバイス管理装置へ送信する。
【０１１４】
モジュール管理部４６は、適切な仮想マシンを選択して、モジュールを導入する。例えば、モジュール管理部４６は、モジュールに付属した設定に従って仮想マシンを選択することができる。
【０１１５】
図１４では、仮想マシン管理部５２がデバイス３０上にサービス用仮想マシン６０ａ、６０ｂとユーザ用仮想マシン６０ｃの３つの仮想マシンを構築している。図１４では、セキュリティモジュール５０ａ、５０ｂやデバイスセキュリティ管理部４０ａ、４０ｂ、プログラム導入制限部６１ａ、６１ｂは仮想マシン内のオペレーティングシステムの外側に配置されているが、オペレーティングシステムの中に組み込んでもよいし、仮想マシン管理部５２に組み込んでもよい。
【０１１６】
（デバイス管理方法）
次に、第２の実施形態に係るデバイス管理方法について、図１５を用いて説明する。
【０１１７】
＝デバイスの起動処理＝
仮想マシンモニタを備えたデバイス３０の起動処理を、図１５を参照して説明する。
【０１１８】
まず、ステップＳ６０１において、デバイス３０が電源オンまたはリセットされると、ステップＳ６０２において、システムソフト（仮想マシンモニタ）が起動し、ステップ６５０３において、無線基地局やアクセスポイントを通じて無線リンクを確立した後、ＳＩＭ５４による端末認証の手順を実行する。
【０１１９】
そして、ステップＳ６０４において、制御部４１は、ＳＩＭ５４から加入者識別子や加入サービス種別、加入サービス設定などを加入者情報保持部４２にロードする。
【０１２０】
次に、ステップＳ６０５において、仮想マシン管理部５２は、ＳＩＭ５４内にデバイス３０に対応したデバイス構成情報があるか否か判断し、ある場合は、ステップＳ６０６へ進み、ＳＩＭ５４から、そのデバイスのデバイス識別子に対応したデバイス構成情報をデバイス構成情報保持部４３にロードする。一方、ＳＩＭ５４内にそのデバイス識別子に対応したデバイス構成情報が存在しない場合、ステップＳ６０７へ進み、新しいデバイスであると判断して、ＳＩＭ５４にそのデバイス識別子に対応したデバイス構成情報用の領域を作成する。
【０１２１】
次に、ステップＳ６０８において、デバイス上に起動可能な仮想マシンが複数、存在している場合、ステップＳ６１０において、仮想マシン管理部５２は、ＳＩＭ５４内の設定に基づき、自動的に起動する仮想マシンを選択する。あるいは、ユーザが選択してもよい。ユーザがデフォルトで起動する仮想マシンの設定を行い、ＳＩＭに保存することも考えられる。又、起動する仮想マシンは１つでもよく、複数でもよい。ここで、例えば、仮想マシン２を加入者識別子ＳＩＤ＿Ａのユーザ用、仮想マシン３を加入者識別子ＳＩＤ＿Ｂのユーザ用と仮定すると、ＳＩＤ＿ＡのユーザがＳＩＭをデバイスに差した際は仮想マシン２、ＳＩＤ＿Ｂの場合は仮想マシン３が起動する。このように、デバイスでＳＩＭを入れ替えて利用する際、加入者が変わっても仮想マシンの切り替えだけで、加入者情報に対応したセキュリティのモジュールを備えた計算機環境を起動することができる。
【０１２２】
一方、ステップＳ６０８において、起動する仮想マシンがデバイスに存在しない場合、ステップＳ６０９において、仮想マシン管理部５２は、少なくとも１つのサービス用の仮想マシンを構築し、デバイスセキュリティ管理部４０をその中に導入する。このとき、ユーザ用の仮想マシンやサービス用の仮想マシンを一緒に複数構築してもよい。又、仮想マシン管理部５２は、ユーザに仮想マシンのプラットフォームやメモリ、ストレージなどのパラメータを指定させて、仮想マシンを構築してもよい。更に、他のサーバから仮想マシンのイメージをロードして、仮想マシンを構築してもよい。
【０１２３】
仮想マシン管理部５２が仮想マシンを起動した後、即ち、ステップＳ６１１以降のステップは、図１１のステップＳ３０８以降のステップと同様であるので、ここでは説明を省略する。
【０１２４】
＝デバイスのテスト処理＝
次に、第２の実施の形態に係るデバイス３０のテスト処理を、図１２を参照して説明する。このテスト手順は、第１の実施の形態と同様である。
【０１２５】
まず、ステップＳ４０１において、デバイス３０は、システムソフト（仮想マシンモニタ）の起動を完了する。
【０１２６】
次に、ステップＳ４０２において、モジュールテスト部４７は、仮想マシン６０ａ、６０ｂ、６０ｃ内のセキュリティモジュールのテストを実行する。
【０１２７】
ステップＳ４０３において、このテストが成功した場合、ステップＳ４０４において、診断応答部４８は、デバイス管理装置１０に結果を通知し、テスト処理を完了する。
【０１２８】
一方、ステップＳ４０３において、このテストが失敗した場合、ステップＳ４０５において、モジュール復旧部４９は、修復処理を行い、ステップＳ４０２へ戻り、再度テストを行う。尚、復旧を試みる回数に上限を設けて、失敗回数が上限に達した際に当該モジュールの実行を停止するように判断してもよい。
【０１２９】
又、モジュールテスト部４７は、仮想マシン６０ａ、６０ｂ、６０ｃ外のモジュールのテスト部を呼び出してもよい。例えば、図１４の仮想マシン６０ａ内のモジュールテスト部４７は、仮想マシン６０ｂ内のモジュールを呼び出し、仮想マシン６０ａ自身をテストしてもらうことで、仮想マシン６０ａ内のモジュールが検出できない異常を検出できる可能性がある。又、仮想マシン６０ｂのモジュールテスト部４７が、仮想マシン６０ｂ内のモジュールを起動し、仮想マシン６０ａをテストさせてもよい。この場合、仮想マシン６０ａがウィルスや攻撃によって障害を受けていても、仮想マシン６０ｂのモジュールは、ウィルスや悪意のある攻撃者から保護されるため、仮想マシン６０ａの異常の検出や権限の制限を行うことができる。
【０１３０】
（作用及び効果）
従来のデバイスセキュリティ管理システムでは、デバイス上で動作する様々なセキュリティモジュールによって、ユーザの自由なプログラム実行が妨げられること、プログラム動作が低下するという課題があった。権限制御やファイアウォールのセキュリティモジュールによって、ユーザのプログラムの動作が制限されたり、ログ管理のセキュリティモジュールによって処理速度が低下したりする可能性もあった。
【０１３１】
第２の実施の形態では、デバイス３０上に仮想マシンを構築し、サービス利用プログラム用の環境と、ユーザ用の環境とを独立して構築し、仮想マシン単位でデバイス構成情報をデバイス管理装置１０に登録する。これにより、仮想マシンごとに異なるセキュリティのモジュールを導入することができるため、サービス実行用の仮想マシンではサービスの安全性を確保し、ユーザ用の環境ではユーザの利便性を確保することができる。又、デバイス管理装置１０は、仮想マシン単位でデバイスセキュリティを管理できる。
【０１３２】
又、第２の実施の形態に係るデバイス３０は、プログラム導入制限部６１ａ、６１ｂを備える。このため、仮想マシンに認定されたプログラム以外の導入を防止することができる。このため、サービス用の仮想マシンに、不正なプログラムが導入されるのを防止し、当該仮想マシンを安全な状態に維持することができる。
【０１３３】
（その他の実施形態）
本発明は上記の実施形態によって記載したが、この開示の一部をなす論述及び図面はこの発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施形態、実施例及び運用技術が明らかとなろう。
【０１３４】
例えば、デバイス管理装置１０が保持するデバイス構成情報は、デバイス３０から受信してもよく、外部システムあるいはユーザから登録されてもよい。同様に、デバイス３０が保持するデバイス構成情報は、デバイス管理装置１０から受信してもよく、外部システムあるいはユーザから登録されてもよい。デバイス管理装置１０が保持する加入者情報及びデバイス３０が保持する加入者情報についても、同様である。
【０１３５】
このように、本発明はここでは記載していない様々な実施形態等を含むことは勿論である。従って、本発明の技術的範囲は上記の説明から妥当な特許請求の範囲に係る発明特定事項によってのみ定められるものである。
【図面の簡単な説明】
【０１３６】
【図１】第１及び第２の実施の形態に係るデバイス管理装置の構成ブロック図である。
【図２】デバイスのＯＳ種別を構成情報とするセキュリティポリシーの一例である。
【図３】接続先ネットワーク種別を構成情報とするセキュリティポリシーの一例である。
【図４】アプリケーション種別を構成情報とするセキュリティポリシーの一例である。
【図５】外部デバイス種別を構成情報とするセキュリティポリシーの一例である。
【図６】加入者情報の一例である。
【図７】デバイス構成情報の一例である。
【図８】第１の実施の形態に係るデバイスの構成ブロック図である。
【図９】第１の実施の形態に係るデバイス管理方法（デバイスの登録処理）を示すフローチャートである。
【図１０】第１の実施の形態に係るデバイス管理方法（サービス提供可否の決定処理）を示すフローチャートである。
【図１１】第１の実施の形態に係るデバイス管理方法（デバイスの起動処理）を示すフローチャートである。
【図１２】第１の実施の形態に係るデバイス管理方法（デバイスのテスト処理）を示すフローチャートである。
【図１３】第１の実施の形態に係るデバイス管理方法（デバイスの構成変更処理）を示すフローチャートである。
【図１４】第２の実施の形態に係るデバイスの構成ブロック図である。
【図１５】第２の実施の形態に係るデバイス管理方法（デバイスの起動処理）を示すフローチャートである。
【符号の説明】
【０１３７】
１０…デバイス管理装置
１１…制御部
１２…セキュリティポリシー保持部
１３…加入者情報保持部
１４…デバイス構成情報保持部
１５…モジュール状態保持部
１６…デバイス診断部
１７…モジュール・ポリシー提供部
１８…モジュールテスト部
２０…外部システム
３０…デバイス
４０、４０ａ、４０ｂ…デバイスセキュリティ管理部
４１…制御部
４２…加入者情報保持部
４３…デバイス構成情報保持部
４４…デバイス登録部
４５…モジュール・ポリシー取得部
４６…モジュール管理部
４７…モジュールテスト部
４８…診断応答部
４９…モジュール復旧部
５０、５０ａ、５０ｂ…セキュリティモジュール
５１、５１ａ、５１ｂ…サービス利用プログラム
５２…仮想マシン管理部
５４…ＳＩＭ
６０ａ、６０ｂ、６０ｃ…仮想マシン
６１ａ、６１ｂ…プログラム導入制限部
【特許請求の範囲】
【請求項１】
デバイスの構成情報を保持するデバイス構成情報保持部と、
サービスの加入者情報を保持する加入者情報保持部と、
前記構成情報あるいは前記加入者情報に基づいて設定されるセキュリティポリシーを保持するセキュリティポリシー保持部と、
デバイスから取得したモジュールの状態情報を保持するモジュール状態保持部と、
前記セキュリティポリシーと前記モジュールの状態情報とを比較して、デバイスの構成を診断するデバイス診断部と
を備えることを特徴とするデバイス管理装置。
【請求項２】
前記デバイス構成情報保持部は、前記構成情報として、デバイス識別子と、該デバイス識別子に対応したオペレーティングシステム、ハードウェア、通信リンク種別、接続先ネットワーク、外部デバイス、実行中のアプリケーション、モジュールの状態情報の少なくともいずれか１とを含むことを特徴とする請求項１に記載のデバイス管理装置。
【請求項３】
前記加入者情報保持部は、前記加入者情報として、加入者識別子と、該加入者識別子に対応した加入サービスの種別、加入サービスの設定の少なくともいずれか１とを含むことを特徴とする請求項１又は２に記載のデバイス管理装置。
【請求項４】
モジュール、あるいは、前記セキュリティポリシーを前記デバイスへ送信するモジュール・ポリシー提供部を更に備えることを特徴とする請求項１〜３のいずれか１項に記載のデバイス管理装置。
【請求項５】
前記デバイス上のモジュールに状態を問い合わせるモジュールテスト部を更に備えることを特徴とする請求項１〜４のいずれか１項に記載のデバイス管理装置。
【請求項６】
デバイスの構成情報あるいはサービスの加入者情報に基づいて設定されるセキュリティポリシーと、デバイスから取得したモジュールの状態情報とを比較して、デバイスの構成を診断するデバイス管理装置の管理下にある前記デバイスであって、
前記構成情報の変化を検知する構成変化検知部と、
前記構成情報あるいは前記加入者情報を前記デバイス管理装置へ送信するデバイス登録部と、
前記デバイス管理装置から前記モジュール、あるいは、前記セキュリティポリシーを取得するモジュール・ポリシー取得部と、
前記セキュリティポリシーを利用して、モジュールの導入あるいは設定を行うモジュール管理部と、
前記モジュールの動作あるいは状態をテストするモジュールテスト部と、
前記モジュールのテスト結果を、前記モジュールの状態情報として、前記デバイス管理装置へ送信する診断応答部と
を備えることを特徴とするデバイス。
【請求項７】
前記モジュールテスト部は、デバイスの電源がオン又はリセット、あるいは前記デバイス管理装置からの問い合わせを契機として、テストを行うことを特徴とする請求項６に記載のデバイス。
【請求項８】
前記モジュールテスト部によるテストにおいて、前記テストが失敗した場合、当該モジュールの修復を行うモジュール復旧部を更に備えることを特徴とする請求項６又は７に記載のデバイス。
【請求項９】
複数の仮想マシンを管理する仮想マシン管理部を更に備え、
前記デバイス構成情報保持部は、少なくとも一つの前記仮想マシンのデバイス構成情報を保持し、
前記デバイス登録部は、少なくとも一つの前記仮想マシンのデバイス構成情報と加入者情報を前記デバイス管理装置へ送信し、
前記モジュール管理部は、適切な前記仮想マシンを選択して、モジュールの導入及び設定を行うことを特徴とする請求項７又は８に記載のデバイス。
【請求項１０】
前記仮想マシンにプログラムを導入する場合、仮想マシンに認定されたプログラム以外の導入を拒否する導入プログラム制限部を更に備えることを特徴とする請求項９に記載のデバイス。
【請求項１１】
デバイスの構成情報あるいはサービスの加入者情報に基づいて設定されるセキュリティポリシーを保持するステップと、
デバイスから取得したモジュールの状態情報を保持するステップと、
前記セキュリティポリシーと前記モジュールの状態情報とを比較して、デバイスの構成を診断するステップと
を含むことを特徴とするデバイス管理方法。
【請求項１】
デバイスの構成情報を保持するデバイス構成情報保持部と、
サービスの加入者情報を保持する加入者情報保持部と、
前記構成情報あるいは前記加入者情報に基づいて設定されるセキュリティポリシーを保持するセキュリティポリシー保持部と、
デバイスから取得したモジュールの状態情報を保持するモジュール状態保持部と、
前記セキュリティポリシーと前記モジュールの状態情報とを比較して、デバイスの構成を診断するデバイス診断部と
を備えることを特徴とするデバイス管理装置。
【請求項２】
前記デバイス構成情報保持部は、前記構成情報として、デバイス識別子と、該デバイス識別子に対応したオペレーティングシステム、ハードウェア、通信リンク種別、接続先ネットワーク、外部デバイス、実行中のアプリケーション、モジュールの状態情報の少なくともいずれか１とを含むことを特徴とする請求項１に記載のデバイス管理装置。
【請求項３】
前記加入者情報保持部は、前記加入者情報として、加入者識別子と、該加入者識別子に対応した加入サービスの種別、加入サービスの設定の少なくともいずれか１とを含むことを特徴とする請求項１又は２に記載のデバイス管理装置。
【請求項４】
モジュール、あるいは、前記セキュリティポリシーを前記デバイスへ送信するモジュール・ポリシー提供部を更に備えることを特徴とする請求項１〜３のいずれか１項に記載のデバイス管理装置。
【請求項５】
前記デバイス上のモジュールに状態を問い合わせるモジュールテスト部を更に備えることを特徴とする請求項１〜４のいずれか１項に記載のデバイス管理装置。
【請求項６】
デバイスの構成情報あるいはサービスの加入者情報に基づいて設定されるセキュリティポリシーと、デバイスから取得したモジュールの状態情報とを比較して、デバイスの構成を診断するデバイス管理装置の管理下にある前記デバイスであって、
前記構成情報の変化を検知する構成変化検知部と、
前記構成情報あるいは前記加入者情報を前記デバイス管理装置へ送信するデバイス登録部と、
前記デバイス管理装置から前記モジュール、あるいは、前記セキュリティポリシーを取得するモジュール・ポリシー取得部と、
前記セキュリティポリシーを利用して、モジュールの導入あるいは設定を行うモジュール管理部と、
前記モジュールの動作あるいは状態をテストするモジュールテスト部と、
前記モジュールのテスト結果を、前記モジュールの状態情報として、前記デバイス管理装置へ送信する診断応答部と
を備えることを特徴とするデバイス。
【請求項７】
前記モジュールテスト部は、デバイスの電源がオン又はリセット、あるいは前記デバイス管理装置からの問い合わせを契機として、テストを行うことを特徴とする請求項６に記載のデバイス。
【請求項８】
前記モジュールテスト部によるテストにおいて、前記テストが失敗した場合、当該モジュールの修復を行うモジュール復旧部を更に備えることを特徴とする請求項６又は７に記載のデバイス。
【請求項９】
複数の仮想マシンを管理する仮想マシン管理部を更に備え、
前記デバイス構成情報保持部は、少なくとも一つの前記仮想マシンのデバイス構成情報を保持し、
前記デバイス登録部は、少なくとも一つの前記仮想マシンのデバイス構成情報と加入者情報を前記デバイス管理装置へ送信し、
前記モジュール管理部は、適切な前記仮想マシンを選択して、モジュールの導入及び設定を行うことを特徴とする請求項７又は８に記載のデバイス。
【請求項１０】
前記仮想マシンにプログラムを導入する場合、仮想マシンに認定されたプログラム以外の導入を拒否する導入プログラム制限部を更に備えることを特徴とする請求項９に記載のデバイス。
【請求項１１】
デバイスの構成情報あるいはサービスの加入者情報に基づいて設定されるセキュリティポリシーを保持するステップと、
デバイスから取得したモジュールの状態情報を保持するステップと、
前記セキュリティポリシーと前記モジュールの状態情報とを比較して、デバイスの構成を診断するステップと
を含むことを特徴とするデバイス管理方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【公開番号】特開２００６−１５５５８３（Ｐ２００６−１５５５８３Ａ）
【公開日】平成１８年６月１５日（２００６．６．１５）
【国際特許分類】
【出願番号】特願２００５−２９２３８９（Ｐ２００５−２９２３８９）
【出願日】平成１７年１０月５日（２００５．１０．５）
【出願人】（３９２０２６６９３）株式会社エヌ・ティ・ティ・ドコモ (5,876)
【Ｆターム（参考）】
【公開日】平成１８年６月１５日（２００６．６．１５）
【国際特許分類】
【出願日】平成１７年１０月５日（２００５．１０．５）
【出願人】（３９２０２６６９３）株式会社エヌ・ティ・ティ・ドコモ (5,876)
【Ｆターム（参考）】
[ Back to top ]