ログ監視レベル制御装置
【課題】 記録すべきログ情報の容量を低減するとともに、不正なアクセスがなされる蓋然性が高い、過去にユーザに連続して利用され関連性があるファイルの利用に対しては、ログの監視レベルを高め、十分にログ情報を収集することができるログ監視レベル制御装置の提供を目的とする。
【解決手段】 ログ情報に基づいてログ監視対象物をグループ化し、各グループにおいて最も高いログ監視レベルに他のログ監視対象物のログ監視レベルを合わせることにより、不正なアクセスがなされる蓋然性が高い関連性があるファイルのアクセスに対しては、監視レベルを高め、不正行為の追及を容易にする。
【解決手段】 ログ情報に基づいてログ監視対象物をグループ化し、各グループにおいて最も高いログ監視レベルに他のログ監視対象物のログ監視レベルを合わせることにより、不正なアクセスがなされる蓋然性が高い関連性があるファイルのアクセスに対しては、監視レベルを高め、不正行為の追及を容易にする。
【発明の詳細な説明】
【技術分野】
【０００１】
情報漏えい対策のためのログ監視におけるログ監視レベル制御装置に関する。
【背景技術】
【０００２】
近年、情報漏えい対策の観点から、組織のＩＴシステムにおいて厳密なログ監視をすることが求められている。具体的には、ＩＴシステムからログ情報を収集し、監査等の目的に利用する統合ログ管理システムによって、ＩＴシステムのログを一括管理する、統合ログ管理技術が利用される事例が増加している。
従来のログ監視装置として特許文献１がある。すべてのログを記憶し管理するとその情報量は膨大になるために、特許文献１では、ユーザのセキュリティレベルに応じてログ情報の容量を低減する技術が開示されている。
【０００３】
【特許文献１】特開２００８−０４０７４５
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかし、ユーザが不正に情報（例えば、ファイル）を入手する際、単一のファイルを入手することは少なく、関連性のあるファイルを連続して入手することが多い。すなわち、漏洩する情報は、単一のファイルではなく、過去にユーザによって連続して利用された関連性があるファイルである可能性が高い。
一方、特許文献１のログ監視装置では、不正な行為をするユーザが、ファイルを入手した場合、ユーザのセキュリティレベルに応じて監視すべきログ情報の容量が決定されるため、セキュリティレベルの低い人物の行為については、十分なログ情報を収集できないという課題があった。
【０００５】
この発明は、上記のような課題を解決するためになされたもので、記録すべきログ情報の容量を低減するとともに、不正なアクセスがなされる蓋然性が高い、過去にユーザに連続して利用され関連性があるファイルの利用に対しては、ログの監視レベルを高め、十分にログ情報を収集することができるログ監視レベル制御装置の提供を目的としている。
【課題を解決するための手段】
【０００６】
このログ監視レベル制御装置は、ログ監視対象物とログ監視対象物の使用を監視する際のログ監視レベルとを対応づけて記憶したログレベル管理部、アクセスされたログ監視対象物のログ情報を記憶したログデータストア部、ログデータストア部に記憶されたログ情報に基づいて、ログ監視対象物をグループ化するログ監視対象物グループ化部、ログ監視対象物グループ化部によりグループ化された各グループにおいて、最も高いログ監視レベルに他のログ監視対象物のログ監視レベルを合わせるログ監視レベル動的変更部、を備えたものである。
【発明の効果】
【０００７】
この発明は、ログ情報に基づいてログ監視対象物をグループ化し、各グループにおいて最も高いログ監視レベルに他のログ監視対象物のログ監視レベルを合わせることにより、不正なアクセスがなされる蓋然性が高い関連性があるファイルのアクセスに対しては、監視レベルを高め、不正行為の追及を容易にする。
【図面の簡単な説明】
【０００８】
【図１】この発明の実施の形態１におけるログ監視レベル制御装置１を含むＩＴシステムの構成図である。
【図２】この発明の実施の形態１におけるＩＤ＆アクセス管理装置２と認証認可装置３のフロー図である。
【図３】この発明の実施の形態１における統合ログ管理装置４のフロー図である。
【図４】この発明の実施の形態１におけるＩＤ＆アクセス管理装置２の構成情報データストア部２５の構成図である。
【図５】この発明の実施の形態１におけるＩＤ＆アクセス管理装置２の構成情報データストア部２５に保存する依存関係を示すＩＴシステム機器５およびエリアの構成図である。
【図６】この発明の実施の形態１におけるＩＤ＆アクセス管理装置２のＩＤ・アクセス権限情報データストア部の構成図である。
【図７】この発明の実施の形態１における認証認可装置３の認証認可情報データストア部３２の構成図である。
【図８】この発明の実施の形態１における統合ログ管理装置４の統合ログデータストア部４３の構成図である。
【図９】この発明の実施の形態１におけるＩＴシステム１の処理フローである。
【図１０】この発明の実施の形態１におけるＩＴシステム１の処理フローである。
【図１１】この発明の実施の形態１におけるＩＴシステム１の処理フローである。
【図１２】この発明の実施の形態１におけるＩＴシステム１の処理フローである。
【図１３】この発明の実施の形態１におけるＩＴシステム１の処理フローである。
【発明を実施するための形態】
【０００９】
実施の形態１．
図１は、本実施の形態におけるログ監視レベル制御装置を含むＩＴシステム１である。 ＩＴシステム１は、ＩＤ＆アクセス管理装置２、認証許可装置３、統合ログ管理装置４、ＩＴシステム機器５から構成される。
ユーザ（利用者）６は、組織内のＩＴシステム機器５を利用するものとする。
【００１０】
ＩＤ＆アクセス管理装置２は、ＩＴシステム機器５を利用するユーザ６のユーザＩＤおよびアクセス権限を管理する。
ＩＤ＆アクセス管理装置２は、ＩＤ＆アクセス権限配信部２１とアクセス権限動的更新部２２とアクセス予測部２３とアクセス権限最適化部２４と構成情報データストア部２５とＩＤ・アクセス権限データストア部２６とＩＤ＆アクセス権限管理部２７と更新履歴管理部２８から構成するとして説明する。各構成要素の説明は後述する。
【００１１】
認証認可装置３は、ユーザ６がＩＴシステム機器５にアクセスする際に、個人認証とアクセス認可の処理を行う。
認証許可装置３は、認証認可管理部３１と認証認可情報データストア部３２と認証認可実行部３３とアクセス権限更新要求部３４とアクセス権限更新確認部３５から構成するとして説明する。各構成要素の説明は後述する。
【００１２】
統合ログ管理装置４は、ユーザ６がＩＴシステム機器にアクセスした際に出力されるログ情報を、リアルタイムに、あるいは、定期的に収集して保存する。
統合ログ管理装置４は、ログ管理部４１とログ収集部４２と統合ログデータストア部４３とログ監視レベル動的更新部４４から構成するとして説明する。各構成要素の説明は後述する。
【００１３】
ＩＴシステム機器５は、ユーザ６がアクセスする２以上の機器であり、これらの機器のログ情報が統合ログ管理装置４のログ収集部４２を介して統合ログデータストア部４３に保存される。
ＩＴシステム機器５は、機器Ａ５１と機器Ｂ５２から構成され、機器Ａ５１、機器Ｂ５２は、例えば業務用パソコン、サーバ、ネットワーク機器などである。
【００１４】
次に、ＩＤ＆アクセス管理装置２の各構成要素について説明する。
ＩＤ＆アクセス管理装置２のＩＤ＆アクセス権限配信部２１は、アクセス権限最適化部２４で更新され、ＩＤ／アクセス権限データストア部２６に保存されたユーザ６のＩＤ属性情報とアクセス権限を取得し、認証認可装置３の認証認可管理部３１にユーザ６のユーザＩＤ・パスワードなどのＩＤ属性情報と、アクセス権限情報とを出力する。ＩＤ属性情報とアクセス権限情報の出力は、同情報の登録時あるいは変更時に、即時処理あるいは定時処理として実行される。
【００１５】
ＩＤ＆アクセス管理装置２のアクセス権限動的更新部２２は、認証認可装置３のアクセス権限更新要求部３４から、ＩＤ＆アクセス権限管理部２７を介して、ユーザ６のアクセス権限の更新要求を受けて、ＩＴシステム機器５を利用するユーザ６のアクセス権限を動的に更新する。
【００１６】
ＩＤ＆アクセス管理装置２のアクセス予測部２３は、統合ログ管理装置４のログ管理部４１から取得した過去のログ情報に基づいて、ユーザ６が次にアクセスする傾向を予測（アクセス傾向予測）する。
アクセス予想部２３は、統合ログ管理装置４のログ管理部４１から入力されたログ情報に基づいて、ユーザの過去のアクセス履歴の傾向を分析し、同じタイミングで起こるアクセスを抽出する。ここでの傾向の分析は、あるユーザに特定してそのアクセスの履歴を分析しても良いし、ある機器に対するアクセス履歴の傾向を分析しても良い。
【００１７】
ＩＤ＆アクセス管理装置２のアクセス権限最適化部２４は、ユーザ６のアクセス傾向の予測や、ＩＴシステム機器５の物理的・論理的な構成情報をもとに、ユーザ６に割当てるアクセス権限の最適化を行い、最適化したアクセス権限をユーザ６のユーザＩＤに対応づけてＩＤ・アクセス権限データストア部２６に保存する。
アクセス権限最適化部２４（ログ監視対象物グループ化部）は、同じタイミングで起こるアクセス（ユーザが連続してするアクセスであってアクセス先は関連性がある可能性が高い）の組み合わせを、別の新たなアクセス権限グループＩＤとしてまとめて、ユーザ６に割り当てることもできる。その際、異なるログ監視レベルを持つアクセス権限グループＩＤをひとまとめにする場合は、そのうちの最大のログ監視レベルを、新たなアクセス権限グループＩＤのログ監視レベルとし、更新履歴管理部２８を介して、統合ログ管理装置４のログ監視レベル動的更新部４４に、アクセス権限グループＩＤとログ監視レベルの更新を要求する。
【００１８】
アクセス予測部２３、アクセス権限最適化部２４により、1)アクセス権限をまとめることで、一人の利用者に割り当てるアクセス権限グループＩＤの数を減らすことができ、利用者ごとのアクセス権限管理が容易になる。また、2)ログ監視レベルの高いアクセスと、同じタイミングで起こる、より監視レベルの低いアクセスに対しても、高いログ監視レベルで記録を残すことができ、効果的なセキュリティの向上につながる。また、同じタイミングで起こる傾向が高いアクセスは、ひとまとめにして、最も高いログ監視レベルを与えることで、ログ記録量の低減と、セキュリティの維持を両立することができる。
【００１９】
ＩＤ＆アクセス管理装置２の構成情報データストア部２５は、ＩＴシステム機器５の物理的・論理的な構成情報を保存している。
ＩＤ＆アクセス管理装置２のＩＤ・アクセス権限データストア部２６は、ＩＤ＆アクセス権限管理部２７の要求によりユーザ６のユーザＩＤ・パスワードなどのＩＤ属性情報とアクセス権限情報を保存、または、アクセス権限最適化部２４によって最適化されたユーザＩＤに対応したアクセス権限情報を保存する。
【００２０】
ＩＤ＆アクセス管理装置２のＩＤ＆アクセス権限管理部２７は、ＩＴシステムの管理者が、ユーザ６のユーザＩＤ・パスワードなどのＩＤ属性情報と、アクセス権限情報とを管理するためのインターフェースを提供し、ＩＴシステムの管理者によって入力されたユーザ６のＩＤ属性情報とアクセス権限情報をＩＤ・アクセス権限データストア部に保存する。
【００２１】
ＩＤ＆アクセス管理装置２の更新履歴管理部２８は、ＩＤ・アクセス権限データストア部２６に保存されているユーザ６のユーザＩＤ・パスワードなどのＩＤ情報とアクセス権限情報に基づいて、ＩＤ属性情報とアクセス権限情報の更新履歴を作成してＩＤ・アクセス権限データストア部２６に保存し、更新履歴を統合ログ管理装置４のログ監視レベル動的更新部４４に要求に応じて出力する。
【００２２】
次に、認証認可装置３の各構成要素について説明する。
認証認可装置３の認証許可管理部３１は、認証認可情報を管理するためのインターフェース（認証認可装置の管理者が認証認可情報を確認したり、認証認可情報の動的更新を手動で実行するような管理捜査を行うインターフェースと、外部装置から参照あるいは更新要求を受けて、要求された処理を行うインターフェース）を提供する。ＩＤ＆アクセス管理装置２のＩＤ＆アクセス権限配信部２１から入力したユーザ６のユーザＩＤ・パスワードなどのＩＤ属性情報と、アクセス権限情報を認証認可情報データストア部３２に出力する。
【００２３】
認証認可装置３の認証認可情報データストア部３２は、認証認可管理部３１から入力した認証認可に必要な設定情報、および、ユーザ６のＩＤ・パスワードなどのＩＤ情報、アクセス権限情報を保存する。
認証認可装置３の認証認可実行部３３は、ユーザ６のＩＴシステム機器５へのアクセス時に、ＩＴシステム機器５から認証および認可の実行要求を受け、認証認可情報データストア部３２のデータに基づいて、ユーザ６の個人認証およびＩＴシステム機器５へのアクセスの認可を行い、ＩＴシステム機器５へのアクセス制御を実行する。
【００２４】
認証認可装置３のアクセス権限更新要求部３４は、ユーザ６がＩＴシステム機器５にアクセスする際に、必要に応じてアクセス権限の更新をＩＤ＆アクセス管理装置２のＩＤ＆アクセス権限管理部２７を介して、アクセス権限動的更新部２２に要求し、アクセス権限更新確認部３５にアクセス権限の更新を通知する。
認証認可装置３のアクセス権限更新確認部３５は、ユーザ６のアクセス権限の更新が必要な場合に、アクセス権限更新要求部３４からアクセス権限の更新の通知があれば、ユーザ６にアクセス権限の更新に対して明示的あるいは暗黙的に同意を得るための方法を提供し、通知する。
【００２５】
次に、統合ログ管理装置４の各構成要素について説明する。
統合ログ管理装置４のログ管理部４１は、統合ログ管理装置４の統合ログデータストア部４３に集積されたログ情報を監査するログ運用者の操作画面などに、ログ情報を入出力する外部装置向けの管理インターフェースを提供する。また、管理部４１は、集積されたログ情報をＩＤ＆アクセス管理装置２のアクセス予測部２３の要求に応じて、統合ログデータストア部４３のログ情報をＩＤ＆アクセス管理装置２のアクセス予測部に出力する。
【００２６】
統合ログ管理装置４の統合ログデータストア部４３は、ログ収集部４２が収集したログ情報や、ログ監視レベル動的更新部４４によって動的に更新されたログ監視レベルの設定情報を保存する。
統合ログ管理装置４のログ収集部４２は、ログ収集対象であるＩＴシステム機器５から、リアルタイムあるいは定期的に、統合ログデータストア部４３に保存されているユーザ６に対応またはＩＴシステム機器５に対応したログ監視レベルに合致した分量のログ情報を収集して統合ログデータストア部４３に保存する。
【００２７】
統合ログ管理装置４のログ監視レベル動的更新部４４は、ＩＤ＆アクセス管理装置２の更新履歴管理部２８から、ユーザ６のアクセス権限の更新の履歴情報を取得し、ユーザ６ごとに適用するログ監視レベルを動的に更新する。また、ＩＤ＆アクセス管理装置２の更新履歴管理部２８を介して、アクセス権限最適化部２４からの要求で、ユーザ６に割り当てられた新たなアクセス権限グループＩＤへのログ監視レベルの設定を行う。
【００２８】
図２により、ユーザ６がＩＴシステム機器５へアクセスする際のログ監視に関するＩＤ＆アクセス管理装置２と認証認可装置３の基本的な処理の流れを説明する。
まず、ユーザ６が、ＩＴシステム機器５の機器Ａ５１または機器Ｂ５２の種類に応じた方法で、ＩＴシステム機器５にアクセスを試みる（ＳＴ１０１）。ＩＴシステム機器５の種類によって、ＯＳへのログイン、電子ファイルへのアクセス、入退室用のＩＣカードによるゲート通過など、アクセス方法は異なる。
【００２９】
次に、認証認可装置３の認証認可実行部３３が、ＩＴシステム機器５を利用するユーザ６の個人認証を行い（ＳＴ１０２）、認証が成功したか否かを判断する（ＳＴ１０３）。
実際にユーザ６の個人認証を実施する実体は、対象のＩＴシステム機器５自体であってもよい。その場合は、認証認可装置３はＩＴシステム機器５から認証成否の情報を取得し、当該認証成否情報に従って、ユーザ６の認証成否を決定する。なお、認証方法は、対象のＩＴシステム機器５ごとに定める方法で実施される。
【００３０】
次に、ＳＴ１０３で、認証に成功した場合は、認証認可装置３のアクセス権限更新要求部３５が、ＩＤ＆アクセス管理装置２のアクセス権限動的更新部２２に、アクセス権限の更新処理を要求する（ＳＴ１０４）。
【００３１】
次に、ＩＤ＆アクセス管理装置２のアクセス予測部２３が、統合ログ管理装置４のログ管理部４１からユーザ６の過去のログ情報を取得する。過去のログ情報から、ベイズ理論を用いた予測などの任意の統計的手法により、次のアクセスの種類や傾向を予測する（ＳＴ１０５）。
【００３２】
次に、ＩＤ＆アクセス管理装置２のアクセス権限最適化部２４が、ＩＤ＆アクセス管理装置２の構成情報データストア部２５に保存されているアクセス対象間の依存関係の情報（アクセス対象間で必ず直前または直後に特定のアクセス対象への操作が伴うような依存関係の情報）とアクセス傾向予測に基づいて、ユーザ６に割り当てるアクセス権限が最適になるように変更し、ＩＤ・アクセス権限データストア部２６に保存する（ＳＴ１０６）。
【００３３】
例えば、アクセス権限最適化部２４は、同じタイミングで起こるアクセス（ユーザが連続してするアクセスであってアクセス先は関連性がある可能性が高い）の組み合わせを、別の新たなアクセス権限グループＩＤとしてまとめて、ユーザ６に割り当てることもできる。その際、異なるログ監視レベルを持つアクセス権限グループＩＤをひとまとめにする場合は、そのうちの最大のログ監視レベルを、新たなアクセス権限グループＩＤのログ監視レベルとし、更新履歴管理部２８を介して、統合ログ管理装置４のログ監視レベル動的更新部４４にログ監視レベルの更新を要求する。
【００３４】
また、例えば、予測される次のアクセスの権限の強さ（あるいは対応するログ監視レベル）が現状と等しい場合は、続くと予測されるアクセスの権限も事前に割り当てておく、などの処理を行う。あるいは、構成情報データストアの情報から、現在のアクセスが成功することにより、機器の接続や建物の構造といったシステム構成上の依存情報に基づき、次に発生するはずがないアクセスに関するアクセス権限を 自動で割当解除する などの処理を行う。
【００３５】
次に、ＩＤ＆アクセス管理装置２のＩＤ＆アクセス権限配信部２１が、ＳＴ１０５で更新された、ユーザ６に割り当てられた有効なアクセス権限の情報を、認証認可装置３の認証認可管理部３１に通知する（ＳＴ１０７）。
【００３６】
次に、認証認可装置３のアクセス権限更新確認部３５が、ユーザ６にアクセス権限が更新されたことを通知し、明示的あるいは暗黙的に同意を得て確認する（ＳＴ１０８）。
通知方法は、アクセス対象のＩＴシステム機器５によって異なる。典型的には、アクセスしようとするＰＣの画面に、アクセス権限が昇格または降格される旨の表示を行い、同意確認をユーザ６に問うための情報入力方法が提供される。
【００３７】
そして、ユーザ６に明示的あるいは暗黙的に同意を得た後、認証認可装置３の認証認可実行部３３が、認証認可装置３の認証認可情報データストア部３２のユーザ６に割り当てられた（現在の有効な）アクセス権限に関する情報を更新し、その情報に基づいてユーザ６のアクセスの認可を判定し（ＳＴ１０９）、アクセスの認可の可否によってユーザ６のアクセスの許可の可否を判断する（ＳＴ１１０）。
ＳＴ１０９で認可された場合は、ユーザ６のアクセスが許可される（ＳＴ１１１）。
ＳＴ１０２で認証されなかった場合、または、ＳＴ１１０で認可されなかった場合は、ユーザ６にＩＴシステム機器５のアクセスが許可されず、ユーザ６はＩＴシステム機器５を利用できない（ＳＴ１１２）。
【００３８】
図３により、統合ログ管理装置４によるログ情報収集の基本的な流れを説明する。
まず、統合ログ管理装置４のログ管理部４１が、深夜のバッチ処理などで定期的に、ログ監視レベルの動的更新およびログ収集のプロセスを開始する（ＳＴ２０１）。
【００３９】
次に、統合ログ管理装置４のログ監視レベル動的更新部４４が、ログ収集対象期間に応じて、当該ログ収集対象期間におけるユーザ６のアクセス権限の更新履歴情報をＩＤ＆アクセス権限管理装置２の更新履歴管理部２８から取得し、取得したアクセス権限の強さに対応して、規定のログ監視レベルをユーザ６のログ監視レベルとして設定する（ＳＴ２０２）。また、ＩＤ＆アクセス管理装置２のアクセス権限最適化部２４のログ監視レベルのグループ化の要求に応じて、ログ監視レベルを更新する。
【００４０】
統合ログ管理装置４のログ収集部４２が、ユーザ６毎のログ監視レベルに応じて、必要な分だけＩＴシステム機器５からログ情報を収集し、統合ログ管理装置４の統合ログデータストア部（ログデータストア部）４３に保存する（ＳＴ２０３）。
【００４１】
図４乃至８を用いて、各データストア部で所持する情報の一例を示す。
図４に、ＩＤ＆アクセス管理装置２の構成情報データストア部２５の構成例を示す
構成情報データストア部２５は、位置情報テーブル２５１と依存関係情報テーブル２５２から構成される。
図４の例で、位置情報テーブルは、ＩＴシステム機器ＩＤと、ＩＴシステム機器に対応する設置エリアの情報から構成される。
【００４２】
また、依存関係情報テーブル２５２は、アクセス対象間の関連情報を管理し、依存元ＩＤ、依存元操作、依存先ＩＤ，依存先操作、依存関係種別から構成される。なお、図４の例では、ＩＴシステム機器ＩＤ、アクセス対象ＩＤ、操作などのＩＤ情報は、図６のＩＤ・アクセス権限情報データストアと共通の情報である。ここでの依存関係とは、例えば、あるアクセス対象に操作を行う際には、セキュリティ上の制約や建物の構造上の制約から、必ず直前または直後に特定のアクセス対象への操作が伴うような場合のアクセス対象間の関係をいう。
【００４３】
次に、図５で、ＩＤ＆アクセス管理装置２の構成情報データストア部２５に保存する依存関係の例として、ＩＴシステム機器５およびエリアの構成図を示す。
ＩＴシステム機器５およびエリアの構成は、会社ビル７の正門ゲート７１と１階サーバルーム７２と２階管理室７３から構成されている。
１階サーバルーム７２には、ゲート７２１とファイルサーバ７２２と入退室管理サーバ７２３がある。
２階管理室７３には、ゲート７３１と管理端末７３２がある。
【００４４】
１階サーバルーム７２のファイルサーバ７２２と入退室管理サーバ７２３、２階管理室７３の管理端末７３２は、図１のＩＴシステム機器５の機器Ａ５１または機器Ｂ５２に相当し、構内ネットワークで通信可能となっている。
図５の例では、建物などの物理的な制約とセキュリティ上のアクセス制約から、システム間のアクセスには、図５の構成情報データストア部２５の依存関係情報テーブルに示したような、次の依存関係が存在する。
【００４５】
「正門ゲート７１に入室しなければ、１階サーバルーム７２には入室できない。」「正門ゲート７１に入室しなければ、２階管理室７３にアクセスできない。」「１階サーバルーム７２に入室（ゲート７２１から入室）しなければ、ファイルサーバ７２２のＯＳにログインできない。」「１階サーバルーム７２に入室しなければ、入退室管理サーバ７２３のＯＳにログインできない。」「２階管理室７３に入室（ゲート７３１から入室）しなければ、管理端末７３２のＯＳにログインできない。」「管理端末７３２にログインしなければ、ファイルサーバ７２２上のセキュリティ情報を読み出すことができない。」
【００４６】
次に、図６で、ＩＤ＆アクセス管理装置２のＩＤ・アクセス権限情報データストア部の構成例を示す。
ＩＤ・アクセス権限情報データストア部２は、ユーザ情報テーブル２６１、有効アクセス権限グループ割当情報テーブル２６２、最大アクセス権限グループ割当情報テーブル２６３、アクセス権限情報テーブル２６４、アクセス対象情報テーブル２６５、ＩＴシステム機器情報テーブル２６６から構成されている。
【００４７】
ユーザ情報テーブル２６１は、ＩＴシステム機器５を利用するユーザ６に関する情報であり、ユーザを一意に識別する識別情報と、ユーザが持つ複数の属性情報で構成される。 本例では、識別情報にはユーザＩＤを、属性情報には氏名、パスワード、社員証カード番号を保持している。パスワードは、ＰＣなどのＩＴシステム機器にアクセスする際要求される個人認証で用いるクレデンシャル情報であり、社員証カードは、入退用のゲートを通過するときに必要なＩＣカードを識別するためのクレデンシャル情報である。
【００４８】
有効アクセス権限グループ割当情報テーブル２６２は、ＩＴシステム機器５を利用するユーザ６に現在割当てられているアクセス権限をグループで管理する有効アクセス権限グループ割当情報であり、ユーザＩＤとアクセス権限グループＩＤから構成される。
アクセス権限グループＩＤは、ユーザ６に割り当てられているアクセス権限のセットを一意に示す識別子であり、ＩＤ＆アクセス管理装置２のアクセス権限最適化部２４によって同じタイミングで起こるアクセスのアクセス権限がグループ化される。同じＩＴシステム機器５を利用するユーザ６に、複数のアクセス権限グループを割当てることも可能である。
【００４９】
最大アクセス権限グループ割当情報テーブル２６３は、ユーザ６に割当てることが許可されている、すべてのアクセス権限グループＩＤの集合を管理する情報であり、ユーザＩＤとアクセス権限グループＩＤから構成される。
あるユーザ６に対する有効アクセス権限グループ割当情報（有効アクセス権限グループ割当情報テーブル２６２で管理している情報）は、必ず同じユーザに対する最大アクセス権限グループ割当情報の部分集合でなければならない。
【００５０】
アクセス権限情報テーブル２６４は、アクセス権限のグループごとのアクセス許可（アクセス対象ＩＤと、許可操作のセット）の情報であり、アクセス権限グループＩＤとアクセス対象ＩＤと許可操作の情報から構成される。
図６の例で、許可操作の定義は、Ｒ：ファイルの読み出し、Ｗ：ファイルへの書き込み、Ｒ＋Ｗ：ファイルの読み出しとファイルへの書き込み、ＩＮ：入室、ＯＵＴ：退室、ＩＮ＋ＯＵＴ：入退室、ＬＯＧＩＮ：パソコン・サーバなどへのログインである。
同じアクセス権限のグループが、複数のアクセス許可を含むことも可能である。
【００５１】
アクセス対象情報テーブル２６５は、ユーザ６がアクセスすることができるＩＴシステム機器５の最小単位の情報を保持するアクセス対象情報であり、アクセス対象ＩＤ、アクセス対象名称、アクセス対象種別、親システム機器ＩＤ等から構成される。
図２の例で、アクセス対象種別の定義は、ファイル：ファイルサーバなどで管理される電子ファイルへのアクセス、ゲート：入退室管理サーバで管理され、施錠管理されている扉の入退室、ログイン：パソコン、サーバなどへのシステムログイン、親システムＩＤ：アクセス対象を管理しているＩＴシステム機器を識別するＩＤである。
【００５２】
ＩＴシステム機器情報テーブル２６６は、ユーザ６が利用する（物理的・論理的にアクセスする）ＩＴシステム機器５に関するＩＴシステム機器情報であり、ＩＴシステム機器を識別するＩＴシステム機器ＩＤと、ＩＴシステム機器の名称を示すＩＴシステム機器名称などから構成される。
【００５３】
次に、図７で、認証認可装置３の認証認可情報データストア部３２の構成例を示す。
認証認可情報データストア部３２の内容は、図５のＩＤ＆アクセス管理装置２のＩＤ・アクセス権限情報データストア部２６の内容と同様となる。ただし、認証認可情報データストア部３２には、最大アクセス権限グループ割当情報テーブルはない。
【００５４】
図８に、統合ログ管理装置４の統合ログデータストア部４３の構成例を示す。
統合ログデータストア部４３は、ログ情報テーブル４３１とログ監視レベル割当情報テーブル４３２とログ監視レベル更新譲歩テーブル４３３から構成される。
統合ログデータストア部４３（ログデータストア部）は、ログ監視対象物とログ監視対象物の使用を監視する際のログ監視レベルとを対応付けて記憶し、ユーザ６にアクセスされたログ監視対象物のログ情報を記憶している。
ログ情報テーブル４３１は、ＩＴシステム機器から収集したログ情報を保存する。
図８の例では、ログ情報は、日時：ログ情報が発生した日時、機器ＩＤ：ログ情報の収集元であるＩＴシステム機器ＩＤ、対象ＩＤ：ログの対象となったアクセス対象のアクセス対象ＩＤ、ログ種別：ログ情報の種別、ユーザＩＤ：ログに対応する操作を行ったＩＴシステム機器５を利用するユーザ６のユーザＩＤ、ログ内容：ログ内容の記述から構成される。
【００５５】
ログ監視レベル割当情報テーブル４３２は、アクセス権限の大きさに応じて割り当てる、ログ監視レベルの設定値を管理する。図８の例では、ログ監視レベル割当情報テーブル４３２は、アクセス権限グループＩＤ、ログ監視レベルから構成される。ログ監視レベルは５段階の数値で表されており、数値が小さいほど監視レベルが高い。
【００５６】
ログ監視レベル更新情報テーブル４３３は、ユーザＩＤ、ログ監視レベル、開始日時（ログ監視開始日時）、終了日時（ログ監視終了日時）から構成される。
ユーザ６の過去のアクセス権限の履歴情報に応じて、当該ユーザ６のログ監視レベルを開始日時と終了日時で区分された時間範囲ごとに保持しておく。
実際に、統合ログ管理装置４のログ収集部４２がＩＴシステム機器５のログ情報を収集する際には、時間範囲ごとのログ監視レベルの変動に応じて、ログ監視レベルに応じて定められているＩＴシステム機器のログ取得量（範囲、量）のみを取得する。
【００５７】
図９乃至１３において、図４乃至８で示したデータストア構成の値を用いた、実際のアクセスに対する動作例を示す。
図９は、ユーザ６が正門ゲート７１を入室しようとした際の動作例を示す。
ユーザ６（ユーザＩＤ:ＵＳＥＲ００２）が、自身の社員証カードを正門ゲート７１のカードリーダ（図示せず）にかざして、正門ゲート７１に入室を試みる（ＳＴ３０１）。
【００５８】
入退室管理サーバ７２３が、カードリーダから取得した社員証カード番号を、入退室管理サーバ７２３のデータベースと照合し、ユーザ６を認証し、認証成功と判断する。
入退室管理サーバ７２３は、認証結果を、認証認可装置３の認証認可管理部３１に通知する。
認証認可装置３の認証認可管理部３１は、認証認可装置３の認証認可情報データストア部３２と照合し、ユーザ６（ユーザＩＤ:ＵＳＥＲ００２）の認証成功を確認する（ＳＴ３０２）。
【００５９】
認証認可装置３のアクセス権限更新要求部３４が、ＩＤ＆アクセス管理装置２のアクセス権限動的更新部２２に、現在のアクセス内容を通知し、アクセス権限更新を要求する（ＳＴ３０３）。
【００６０】
ＩＤ＆アクセス管理装置２のアクセス予測部２３が、統合ログ管理装置４からユーザ６（ユーザＩＤ:ＵＳＥＲ００２）の過去のアクセスログの履歴情報を取得する。そして、現在のアクセス（正門ゲート７１の入室）と、過去のアクセスログの履歴情報から、続いて起こる可能性が最も高いアクセス「１階サーバルーム７２への入室」を予測する（ＳＴ３０４）。
【００６１】
次に、ＩＤ＆アクセス管理装置２のアクセス権限最適化部２４が、ＳＴ３０４で予測したアクセス予測とＩＤ＆アクセス管理装置２の構成情報データストア部２５の情報から、ユーザ６に割り当てるアクセス権限が最適になるように変更する。（ＳＴ３０５）
まず、現在のアクセス（正門ゲート７１の入室）の権限が有効であることを、ＩＤ＆アクセス管理装置２のＩＤ＆アクセス権限データストア部２６の有効アクセス権限グループ割当情報テーブル２６２を検索して確認する。また、予想される次のアクセスである「１階サーバルーム７２への入室」は現在割り当てられているアクセス権限よりも強い（ログ監視レベルが高い）ため、「１階サーバルーム７２への入室」権限の追加割当ては行われない。
【００６２】
ＩＤ＆アクセス管理装置２のＩＤ＆アクセス権限配信部２１が、ＩＤ＆アクセス管理装置２のＩＤ＆アクセス権限データストア部２６の情報から現在のユーザ６に割り当てられた有効なアクセス権限を認証認可装置３に通知する。今回は、アクセス権限割当に変更がないことが通知される（ＳＴ３０６）。
【００６３】
認証認可装置３の認証認可実行部３３が、認証認可装置３の認証認可情報データストア部３２を参照し、ユーザ６のアクセスの認可可否を決定する。
ここでは、認証認可情報データストア部３２の有効アクセス権限グループ割当情報テーブルから、ユーザＩＤ:ＵＳＥＲ００２に割り当てられたアクセス権限ＡＣＣＳ＿ＧＲＰ＿００を取得する。続けて、認証認可情報データストア部３２のアクセス権限情報テーブルから、アクセス権限ＩＤ：ＡＣＣＳ＿ＧＲＰ＿００の情報を取得し、ユーザＩＤ:ＵＳＥＲ００２が、正門ゲート７１（アクセス対象ＩＤ：ｏｂｊ＿０００３）入室（許可操作：ＩＮ）の権限を有することを確認する（ＳＴ３０７）。
【００６４】
認証認可装置３が、入退室管理サーバ７２３にアクセス許可を通知した後、入退室管理サーバ７２３が、正門ゲート７１を開き、ユーザ６（ユーザＩＤ:ＵＳＥＲ００２）が入室する（ＳＴ３０８）。
【００６５】
図１０は、ユーザ６が正門ゲート７１に入室した後、２棟管理室７３のゲート７３１を入室しようとした際の動作例を示す。
ユーザ６（ユーザＩＤ:ＵＳＥＲ００２）が、自身の社員証カードを２階管理室７３のゲート７３１のカードリーダにかざして、２階管理室７３のゲート７３１に入室を試みる（ＳＴ４０１）。
【００６６】
入退室管理サーバ７２３が、カードリーダから取得した社員証カード番号を、入退室管理サーバ７２３のデータベースと照合し、ユーザ６を認証して認証成功と判断する。
入退室管理サーバ７２３は、認証結果を、認証認可装置３の認証認可管理部３１に通知する。
認証認可装置３の認証認可管理部３１は、認証認可装置３の認証認可情報データストア部３２と照合し、ユーザ６（ユーザＩＤ:ＵＳＥＲ００２）の認証成功を確認する（ＳＴ４０２）。
【００６７】
次に、認証認可装置３のアクセス権限更新要求部３４が、ＩＤ＆アクセス管理装置２のアクセス権限動的更新部２２に、現在のアクセス内容を通知し、アクセス権限更新を要求する（ＳＴ４０３）。
【００６８】
次に、ＩＤ＆アクセス管理装置２のアクセス予測部２３が、統合ログ管理装置４のログ管理部４１からユーザ６（ユーザＩＤ:ＵＳＥＲ００２）の過去のアクセスログの履歴情報を取得する。そして、現在のアクセス（２階管理室７３のゲート７３１の入室）と、過去のアクセスログの履歴情報から、次に起こる可能性が最も高いアクセス「管理端末７３２のＯＳへのログイン」を予測する（ＳＴ４０４）。
【００６９】
ＩＤ＆アクセス管理装置２のアクセス権限最適化部２４が、ＳＴ４０４で予測したアクセス予測とＩＤ＆アクセス管理装置２の構成情報データストア部２５の情報から、ユーザ６に割り当てるアクセス権限が最適になるように変更する（ＳＴ４０５）。
【００７０】
まず、現在のアクセス（２階管理室７３のゲート７３１の入室）の権限が有効ではないため、ＩＤ＆アクセス権限データストア部２６の最大アクセス権限グループ割当情報テーブルを検索し、ユーザＩＤ:ＵＳＥＲ００２に、２階管理室７３のゲート７３１の入室の権限（アクセス権限グループＩＤ:ＡＣＣＳ＿ＧＲＰ＿０４）を割当ることが可能であることを確認した後、当該アクセス権限をＵＳＥＲ００２に追加で割り当てる。
【００７１】
また、続くアクセスの予測である「管理端末７３２のＯＳへのログイン」は現在割り当てられているアクセス権限と同等以下である（ログ監視レベルが同じか低い）ため、追加割当を行っても良いと判断し、管理端末７３２のＯＳへのログインのアクセス権限（アクセス権限グループＩＤ:ＡＣＣＳ＿ＧＲＰ＿０５）を自動で割当てておく。
【００７２】
ＩＤ＆アクセス管理装置２のＩＤ＆アクセス権限配信部２１が、ユーザ６に割り当てられた現在有効なアクセス権限を認証認可装置３の認証認可管理部３１に通知する。
今回は、２階管理室ゲートの入室（アクセス権限グループＩＤ:ＡＣＣＳ＿ＧＲＰ＿０４）、管理端末７２３のＯＳへのログインのアクセス権限（アクセス権限グループＩＤ:ＡＣＣＳ＿ＧＲＰ＿０５）が追加されたことが通知される（ＳＴ４０６）。
【００７３】
認証認可装置３の認証認可実行部３３が、認証認可装置３の認証認可情報データストア部３２を参照し、ユーザ６のアクセスの認可可否を決定する（ＳＴ４０７）。
ここでは、認証認可情報データストア部３２の有効アクセス権限グループ割当情報テーブルから、ＵＳＥＲ００２に割り当てられたアクセス権限ＡＣＣＳ＿ＧＲＰ＿００、ＡＣＣＳ＿ＧＲＰ＿０４、ＡＣＣＳ＿ＧＲＰ＿０５を取得する。
続けて、認証認可情報データストア部３２のアクセス権限情報テーブルから、アクセス権限ＩＤ：ＣＣＳ＿ＧＲＰ＿０４の情報を取得し、ユーザＩＤ:ＵＳＥＲ００２が、２階管理室（アクセス対象ＩＤ：ｏｊｂｊ＿０００６）入室（許可操作：ＩＮ）の権限を有することを確認する。
【００７４】
認証認可装置３が、入退室管理サーバ７２３にアクセス許可を通知した後、入退室管理サーバ７２３が、２階管理室７３のゲート７３１を開き、ユーザ６（ユーザＩＤ：ＵＳＥＲ００２）が入室する（ＳＴ４０８）。
【００７５】
図１１は、ユーザ６が２階管理室７３のゲート７３１から入室した後、管理端末７３２のＯＳにログインしようとした際の動作例を示す。
ユーザ６（ユーザＩＤ:ＵＳＥＲ００２）が、管理端末７３２を操作し、自身のユーザＩＤとパスワード入力して、管理端末７３２のＯＳにログインを試みる（ＳＴ５０１）。
【００７６】
管理端末８３２は、入力されたユーザＩＤとパスワードを認証認可装置３の認証認可管理部３１に通知し、ユーザ認証を要求する。
認証認可装置３の認証認可管理部３１は、認証認可装置３の認証認可情報データストア部３２と照合し、ユーザ６（ユーザＩＤ:ＵＳＥＲ００２）の認証成功を確認する（ＳＴ５０２）。
【００７７】
認証認可装置３のアクセス権限更新要求部３４が、ＩＤ＆アクセス管理装置２のアクセス権限動的更新部２２に、現在のアクセス内容を通知し、アクセス権限の更新を要求する（ＳＴ５０３）。
【００７８】
ＩＤ＆アクセス管理装置２のアクセス予測部２３が、統合ログ管理装置４のログ管理部４１からユーザ６（ユーザＩＤ:ＵＳＥＲ００２）の過去のアクセスログの履歴情報を取得する。そして、現在のアクセス（管理端末７３２のＯＳへのログイン）と、過去のアクセスログの履歴情報から、続いて起こる可能性が最も高いアクセス「セキュリティ情報のファイルの読み出し」を予測する（ＳＴ５０４）。
【００７９】
ＩＤ＆アクセス管理装置２のアクセス権限最適化部２４が、ＳＴ５０４で予測したアクセス予測とＩＤ＆アクセス管理装置２の構成情報データストア部２５の情報から、ユーザ６に割り当てるアクセス権限が最適になるように変更する（ＳＴ５０５）。
まず、現在のアクセス（管理端末７３２のＯＳへのログイン）の権限が有効であることを確認する。
また、続くアクセスの予測である「セキュリティ情報のファイルの読み出し」のアクセス権限は、現在割り当てられているアクセス権限よりも強い（ログ監視レベルが高い）ため、当該アクセス権限の追加割当ては行われない。
【００８０】
ＩＤ＆アクセス管理装置２のＩＤ＆アクセス権限配信部２１が、現在のユーザ６に割り当てられた有効なアクセス権限を認証認可装置３の認証認可管理部３１に通知する（ＳＴ５０６）。今回は、アクセス権限に変更がないことが通知される。
【００８１】
認証認可装置３の認証認可実行部３３が、認証認可装置３の認証認可情報データストア部３２を参照し、ユーザ６のアクセスの認可可否を決定する（ＳＴ５０７）。
ここでは、認証認可情報データストア部３２の有効アクセス権限グループ割当情報テーブルから、ＵＳＥＲ００２に割り当てられたアクセス権限ＡＣＣＳ＿ＧＲＰ＿００、ＡＣＣＳ＿ＧＲＰ＿０４、ＡＣＣＳ＿ＧＲＰ＿０５を取得する。続けて、認証認可情報データストア部３２のアクセス権限情報テーブルから、アクセス権限ＩＤ：ＡＣＣＳ＿ＧＲＰ＿０５の情報を取得し、ユーザＩＤ:ＵＳＥＲ００２が、管理端末７３２のＯＳ（アクセス対象ＩＤ：ｏｂｊ＿０００５）へのログイン（許可操作：ＬＯＧＩＮ）の権限を有することを確認する。
【００８２】
認証認可装置３の認証認可管理部３１が、管理端末７３２のＯＳにアクセス許可を通知した後、管理端末７３２のＯＳがユーザ６（ユーザＩＤ：ＵＳＥＲ００２）のログインを許可する。
【００８３】
次に、図１２で、ユーザ６が、管理端末７３２のＯＳにログインして操作を終えた後、２階管理室７３のゲート７３１から退室しようとした際の動作例を示す。
【００８４】
ユーザ６（ユーザＩＤ:ＵＳＥＲ００２）が、２階管理室７３のゲート７３１に、自身の社員証カードをかざして、２階管理室７３のゲート７３１からの退室を試みる（ＳＴ６０１）。
【００８５】
次に、１階サーバルーム７２の入退室管理サーバ７２３が、２階管理室７３のゲート７３１でカードリーダから取得した社員証カード番号を、自身のデータベースと照合し、ユーザ６を認証して認証成功と判断する。
入退室管理サーバ７２３は、認証結果を、認証認可装置３の認証認可管理部３１に通知する。
認証認可装置３の認証認可管理部３１は、認証認可装置３の認証認可情報データストア部３２と照合し、ユーザ６（ユーザＩＤ:ＵＳＥＲ００２）の認証成功を確認する（ＳＴ６０２）。
【００８６】
次に、認証認可装置３のアクセス権限更新要求部３４が、ＩＤ＆アクセス管理装置２のアクセス権限動的更新部２２に、現在のアクセス内容を通知し、アクセス権限更新を要求する（ＳＴ６０３）。
【００８７】
次に、ＩＤ＆アクセス管理装置２のアクセス予測部２３が、統合ログ管理装置４からユーザ６（ユーザＩＤ:ＵＳＥＲ００２）の過去のアクセスログ履歴情報を取得する。そして、現在のアクセス（２階管理室７３のゲート７３１から退室）と、過去のアクセスログの履歴情報から、続いて起こる可能性が最も高いアクセス「正門ゲート７１の退室」を予測する（ＳＴ６０４）。
【００８８】
次に、ＩＤ＆アクセス管理装置２のアクセス権限最適化部２４が、ＳＴ２０４で予測したアクセス予測とＩＤ＆アクセス管理装置２の構成情報データストア部２５の情報から、ユーザ６に割り当てるアクセス権限が最適になるように変更する（ＳＴ６０５）。
【００８９】
まず、現在のアクセス（２階管理室７３のゲート７３１から退室）の権限が有効であることを、ＩＤ＆アクセス管理装置２のＩＤ・アクセス権限データストア部２６の有効アクセス権限グループ割当情報テーブル２６２を検索して確認する。
次のアクセスの予測である「正門ゲートの退室」の権限も割当済みであることを確認し、追加の割当は行わない。
また、構成情報データストア部２５を参照し、２階管理室７３から退室することで「管理端末７３２のＯＳへのログイン」が次のアクセスで起こらないことが確認できるため、当該アクセス権限（ＡＣＣＳ＿ＧＲＰ＿０５）の割当てを自動で解除する。
【００９０】
さらに、過去のアクセス傾向から「２階管理室７３への入室」と「管理端末７３２のＯＳへのログイン」が同時に起こる可能性が規定の高さを超えている場合、新たに「２階管理室７３のゲート７３１への入室、および、管理端末７３２のＯＳへのログイン」の２つのアクセスを許可するアクセス権限グループ（アクセス権限グループＩＤ:ＡＣＣＳ＿ＧＲＰ＿０８）を自動で作成し、１つのアクセス権限グループＩＤで２つの操作許可を管理できるように最適化する。また、ＩＤ＆アクセス管理装置２のＩＤ・アクセス権限データストア部２６の最大アクセス権限グループ割当情報テーブル２６３に、ＵＳＥＲ００２に割り当てるアクセス権限ＡＣＣＳ＿ＧＲＰ＿０８を追加する処理を行っておく。
なお、これら一連の最適化処理は、ユーザ６のアクセス発生時以外でも、定期的な処理として実施することも考えられる。
【００９１】
次に、ＩＤ＆アクセス管理装置２のＩＤ＆アクセス権限配信部２１が、現在のユーザ６に割り当てられた有効なアクセス権限を認証認可装置３の認証認可管理部３１に通知する（ＳＴ６０６）。
今回は「管理端末７３２のＯＳへのログイン」のアクセス権限（ＡＣＣＳ＿ＧＲＰ＿０５）の割当が解除されたことが通知される。
【００９２】
そして、認証認可装置３のアクセス権限更新確認部３５が、ユーザ６にアクセス権限が更新されたことを通知し、確認する。
次に、認証認可装置３の認証認可実行部３３が、認証認可装置３の認証認可情報データストア部３２を参照し、ユーザ６のアクセスの認可可否を決定する（ＳＴ６０７）。
ここでは、ＩＤ＆アクセス権限データストア部２６の有効アクセス権限グループ割当情報テーブル２６２から、ＵＳＥＲ００２に割り当てられたアクセス権限ＡＣＣＳ＿ＧＲＰ＿００、ＡＣＣＳ＿ＧＲＰ＿０４を取得する。
【００９３】
続けて、ＩＤ＆アクセス権限データストア部２６のアクセス権限情報テーブル２６４から、アクセス権限ＩＤ：ＡＣＣＳ＿ＧＲＰ＿０４の情報を取得し、ユーザＩＤ:ＵＳＥＲ００２が、２階管理室７３（アクセス対象ＩＤ：ｏｂｊ＿０００６）のゲート７３１からの退室（許可操作：ＯＵＴ）の権限を有することを確認する（ＳＴ６０７）。
【００９４】
認証認可装置３の認証認可実行部３３が、１階サーバルーム７２の入退室管理サーバ７２３にアクセス許可を通知した後、入退室管理サーバ７２３が、２階管理室７３ゲート７３１を開き、ユーザ６（ユーザＩＤ:ＵＳＥＲ００２）が退室する（ＳＴ６０８）。
【００９５】
次に、図５を用いて、関連性のあるファイルをその中で最も高いログ監視レベルまで引き上げることについて、具体的に説明する。
図示しないが、ここでは２階に管理室が２階管理室７３Ａと２階管理室７３Ｂとがあるとして説明する。２階管理室７３Ａに管理端末７３２Ａ、２階管理室７３Ｂに管理端末７３２Ｂが設置され、それぞれの管理端末からログ監視レベルが異なるファイルをアクセスする例を示す。
【００９６】
この例では、ログ監視レベルの低いファイルへのアクセスの前後にログ監視レベルの高いファイルへのアクセスが起こっている場合に、ログ監視レベルの低いファイルであっても、高いログ監視レベルに設定しておくことによって、セキュリティレベルの低下を回避できることを説明する。
【００９７】
ファイルＡは、機密等級が「秘」の顧客情報ファイルであり、顧客ＩＤ、顧客名称、顧客住所、顧客電話番号などを含んでいる。
ファイルＢは、機密等級が「社外秘」の、購入履歴ファイルであり、顧客ＩＤ、購入物、購入金額などを含んでいる。
ルームＸは、図５の２階管理室７３Ａに相当し、ファイルＡにアクセスできるＰＣ端末（管理端末７３２Ａに相当）が設置されている。
ルームＹは、図５の２階管理室７３Ｂに相当し、ファイルＢのみにアクセスできるＰＣ端末（管理端末７３２Ｂに相当）が設置されている。
【００９８】
ファイルＡへのアクセスはログ監視レベル５である。
ファイルＢへのアクセスはログ監視レベル３である。
ルームＸへの入室（２階管理室７３Ａのゲート７３１Ａに相当からの入室）は、ログ監視レベル５である。
ルームＹへの入室（２階管理室７３Ｂのゲート７３１Ａに相当からの入室）は、ログ監視レベル３である。
ファイルＢは、社内のみで識別に用いている「顧客ＩＤ」に対して、何をどれだけ販売したかを示す情報であり、実際に誰が購入したのかは社外の人にはわからないため、単体では社外秘情報であり、ログ監視レベルは低く設定されている。
【００９９】
しかし、ファイルＡとファイルＢの両方にアクセスした場合、ファイルＡに記述された顧客ＩＤに対応づけられた顧客の個人情報を知ることに加えて、「誰が何を購入したか」という「秘」相当の情報まで知ることができる。この場合ファイルＢのログ監視レベルは、ファイルＡと同等にする必要がある。
【０１００】
次に、ユーザ６がファイルＸおよびファイルＹにアクセスする際にアクセス権限最適化部２４によって最適化されるログ監視レベルについて説明する。
まず、ユーザ６がルームＸに入室し、ルームＸのＰＣ端末にログインし、ファイルＡを見て、ルームＸから退室する。続いて、ルームＹに入室し、ルームＹのＰＣ端末にログインし、ファイルＢを見て、ルームＹから退室する。
【０１０１】
このような場合、統合ログ管理装置４のログ情報からファイルＡとファイルＢを同じタイミングでアクセスする傾向が抽出されると、ファイルＡとファイルＢに同じアクセス権限グループが自動で割り当てられる。
そして、ファイルＡあるいはファイルＢのアクセス権限グループのログ監視レベルは５であるため、ファイルＡとファイルＢのどちらもログ監視レベルが５となる。
そのため、ファイルＢを見る場合、ログ監視レベル５のアクセスが要求されることとなり、セキュリティレベルの低下を回避できる。
【０１０２】
このように、ＩＤ＆アクセス管理装置２のアクセス権限最適化部２４によって、ログ情報に基づいてアクセス権限がグループ化され、ログ監視レベルが高い方に設定されることにより、連続したファイルへのアクセスにおいて、セキュリティレベルの低下を回避することができる。
ここでは、ファイルＡとファイルＢとは、別の管理室の別の管理端末からアクセスするとしたが、この発明はこれに限定されず、同じ管理端末からアクセスできる場合も含まれる。
【０１０３】
また、ここでは、アクセス権限最適化部２４（ログ監視対象物グループ化部）が、ユーザのアクセス情報に基づいてグループ化する例について説明したが、ログ情報から、連続して使用されることが多いファイル（ログ監視対象物）をグループ化してもよい。
【０１０４】
また、アクセス権限最適化部２４が、ログ情報から、連続して使用されるファイル（ログ監視対象物）が、予め定められた回数を超えて使用される場合にグループ化してもよい。
【０１０５】
次に、図１３で、統合ログ管理装置４が、ＩＴシステム機器５からログ情報を収集する際の動作例を示す。
統合ログ管理装置４が、深夜のバッチ処理などで定期的にユーザ６のアクセス権限履歴に応じた、ログ監視レベルの動的更新とログ収集のプロセスを実行する（ＳＴ７０１）。
ここでの例は、ログ収集期間対象期間は、２０１０／０１／０９ ０８：３０〜２０１０／０１／１０ ０２：５９とする。
【０１０６】
次に、ログ収集対象の期間に応じて、統合ログ管理装置４のログ監視レベル動的更新部４４が、前述した期間でのユーザ６の有効アクセス権限グループ割当の更新履歴情報を取得する。
取得した履歴情報をもとに、ユーザ６ごとのログ監視レベルを、統合ログデータストア部４３のログ監視レベル割当情報テーブル４３２に基づいて決定し統合ログデータストア部４３のログ監視レベル更新情報テーブル４３３のユーザＩＤごとのログ監視レベルを設定する（ＳＴ７０２）。
【０１０７】
ＩＴシステム機器５を利用するユーザ６に複数のアクセス権限が割り当てられていた場合は、対応するログ監視レベルが最も高い値を、その時間範囲で当該ユーザのログ監視レベルとして使用する。こうして決定された時間範囲ごとのログ監視レベルをユーザ６ごとにまとめて、ログ監視レベル更新情報テーブル４３３に設定（登録）しておく。
【０１０８】
図８の例では、ユーザＩＤ:ＵＳＥＲ００２に関しては、以下のログ監視レベルが設定されている。
２０１０／０１／０９ １８：３０〜２０１０／０１／１０ ０８：３５の時間範囲は、ログ監視レベルは５
２０１０／０１／１０ ０８：３５〜２０１０／０１／１０ ０９：１２の時間範囲は、ログ監視レベルは２
２０１０／０１／１０ ０９：１２〜２０１０／０１／１０ １０：２５の時間範囲は、ログ監視レベルは１
２０１０／０１／１０ １０：２５〜２０１０／１２／３１ ２３：５９の時間範囲は、ログ監視レベルは５
【０１０９】
統合ログ管理装置４のログ収集部４２が、統合ログデータストア部４３のログ監視レベル更新情報テーブルの情報に基づいて、ユーザ６ごとに時間に応じてログ監視レベルを変更しながら、各ＩＴシステム機器５から必要な分だけログ情報を収集し、統合ログデータストア部４３に収集したログ情報を保存する（ＳＴ７０３）。
【０１１０】
なお、ＩＴシステム機器５ごとに、ログ監視レベルの値に対応して取得すべきログ情報の種類や量を事前に定めておく必要がある。
また、ＩＴシステム機器５によっては、ログ収集の際にログの種類や期間を取捨選択できない場合があるため、そのような場合は、ログ収集部４２が不要なログ情報を破棄し、必要なログ情報のみ統合ログデータストア部４３に保存する処理を行う。
【０１１１】
この様に、過去のアクセスログの履歴情報から、ユーザが次にアクセスする可能性が高いアクセスを予測して、アクセス権限をグループ化し、アクセス権限に対応するログ監視レベルをグループ化した最も高いログ監視レベルに合わせるので、ユーザが続けてアクセスするアクセスにおいて、セキュリティレベルの低下を回避することができる。
【符号の説明】
【０１１２】
１ ＩＴシステム、２ ＩＤ＆アクセス管理装置、２１ ＩＤ＆アクセス権限配信部、２２ アクセス権限動的更新部、２３ アクセス権限予測部、２４ アクセス権限最適化部、２５構成情報データストア部、２５１ 位置情報テーブル、２５２ 依存関係情報テーブル、２６ ＩＤ＆アクセス権限データストア部、２６１ ユーザ情報テーブル、２６２ 有効アクセス権限グループ割当情報テーブル、２６３ 最大アクセス権限グループ割当情報テーブル、２６４ アクセス権限情報テーブル、２６５ アクセス対象情報テーブル、２６６ ＩＴシステム機器情報テーブル、２７ ＩＤ＆アクセス権限管理部、２８ 更新履歴管理部、３ 認証認可装置、３１ 認証認可管理部、３２ 認証認可情報データストア部、３２１ ユーザ情報テーブル、３２２ 有効アクセス権限グループ割当情報テーブル、３２３ アクセス権限情報テーブル、３２４ アクセス対象情報テーブル、３２５ ＩＴシステム機器情報テーブル、３３認証認可実行部、３４ アクセス権限更新要求部、３５ アクセス権限更新確認部、４ 統合ログ管理装置、４１ ログ管理部、４２ ログ収集部、４３ 統合ログデータストア部、４３１ ログ情報テーブル、４３２ ログ監視レベル割当情報テーブル、４３３ ログ監視レベル更新情報テーブル、４４ ログ監視レベル動的更新部、５ ＩＴシステム機器、５１ 機器Ａ、５２ 機器Ｂ、６ ＩＴシステム利用者、７ 会社ビル、７１ 正門ゲート、７２ １階サーバルーム、７２１ ゲート、７２２ ファイルサーバ、７２３ 入退室管理サーバ、７３ ２階管理室、７３１ ゲート、７３２ 管理端末。
【技術分野】
【０００１】
情報漏えい対策のためのログ監視におけるログ監視レベル制御装置に関する。
【背景技術】
【０００２】
近年、情報漏えい対策の観点から、組織のＩＴシステムにおいて厳密なログ監視をすることが求められている。具体的には、ＩＴシステムからログ情報を収集し、監査等の目的に利用する統合ログ管理システムによって、ＩＴシステムのログを一括管理する、統合ログ管理技術が利用される事例が増加している。
従来のログ監視装置として特許文献１がある。すべてのログを記憶し管理するとその情報量は膨大になるために、特許文献１では、ユーザのセキュリティレベルに応じてログ情報の容量を低減する技術が開示されている。
【０００３】
【特許文献１】特開２００８−０４０７４５
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかし、ユーザが不正に情報（例えば、ファイル）を入手する際、単一のファイルを入手することは少なく、関連性のあるファイルを連続して入手することが多い。すなわち、漏洩する情報は、単一のファイルではなく、過去にユーザによって連続して利用された関連性があるファイルである可能性が高い。
一方、特許文献１のログ監視装置では、不正な行為をするユーザが、ファイルを入手した場合、ユーザのセキュリティレベルに応じて監視すべきログ情報の容量が決定されるため、セキュリティレベルの低い人物の行為については、十分なログ情報を収集できないという課題があった。
【０００５】
この発明は、上記のような課題を解決するためになされたもので、記録すべきログ情報の容量を低減するとともに、不正なアクセスがなされる蓋然性が高い、過去にユーザに連続して利用され関連性があるファイルの利用に対しては、ログの監視レベルを高め、十分にログ情報を収集することができるログ監視レベル制御装置の提供を目的としている。
【課題を解決するための手段】
【０００６】
このログ監視レベル制御装置は、ログ監視対象物とログ監視対象物の使用を監視する際のログ監視レベルとを対応づけて記憶したログレベル管理部、アクセスされたログ監視対象物のログ情報を記憶したログデータストア部、ログデータストア部に記憶されたログ情報に基づいて、ログ監視対象物をグループ化するログ監視対象物グループ化部、ログ監視対象物グループ化部によりグループ化された各グループにおいて、最も高いログ監視レベルに他のログ監視対象物のログ監視レベルを合わせるログ監視レベル動的変更部、を備えたものである。
【発明の効果】
【０００７】
この発明は、ログ情報に基づいてログ監視対象物をグループ化し、各グループにおいて最も高いログ監視レベルに他のログ監視対象物のログ監視レベルを合わせることにより、不正なアクセスがなされる蓋然性が高い関連性があるファイルのアクセスに対しては、監視レベルを高め、不正行為の追及を容易にする。
【図面の簡単な説明】
【０００８】
【図１】この発明の実施の形態１におけるログ監視レベル制御装置１を含むＩＴシステムの構成図である。
【図２】この発明の実施の形態１におけるＩＤ＆アクセス管理装置２と認証認可装置３のフロー図である。
【図３】この発明の実施の形態１における統合ログ管理装置４のフロー図である。
【図４】この発明の実施の形態１におけるＩＤ＆アクセス管理装置２の構成情報データストア部２５の構成図である。
【図５】この発明の実施の形態１におけるＩＤ＆アクセス管理装置２の構成情報データストア部２５に保存する依存関係を示すＩＴシステム機器５およびエリアの構成図である。
【図６】この発明の実施の形態１におけるＩＤ＆アクセス管理装置２のＩＤ・アクセス権限情報データストア部の構成図である。
【図７】この発明の実施の形態１における認証認可装置３の認証認可情報データストア部３２の構成図である。
【図８】この発明の実施の形態１における統合ログ管理装置４の統合ログデータストア部４３の構成図である。
【図９】この発明の実施の形態１におけるＩＴシステム１の処理フローである。
【図１０】この発明の実施の形態１におけるＩＴシステム１の処理フローである。
【図１１】この発明の実施の形態１におけるＩＴシステム１の処理フローである。
【図１２】この発明の実施の形態１におけるＩＴシステム１の処理フローである。
【図１３】この発明の実施の形態１におけるＩＴシステム１の処理フローである。
【発明を実施するための形態】
【０００９】
実施の形態１．
図１は、本実施の形態におけるログ監視レベル制御装置を含むＩＴシステム１である。 ＩＴシステム１は、ＩＤ＆アクセス管理装置２、認証許可装置３、統合ログ管理装置４、ＩＴシステム機器５から構成される。
ユーザ（利用者）６は、組織内のＩＴシステム機器５を利用するものとする。
【００１０】
ＩＤ＆アクセス管理装置２は、ＩＴシステム機器５を利用するユーザ６のユーザＩＤおよびアクセス権限を管理する。
ＩＤ＆アクセス管理装置２は、ＩＤ＆アクセス権限配信部２１とアクセス権限動的更新部２２とアクセス予測部２３とアクセス権限最適化部２４と構成情報データストア部２５とＩＤ・アクセス権限データストア部２６とＩＤ＆アクセス権限管理部２７と更新履歴管理部２８から構成するとして説明する。各構成要素の説明は後述する。
【００１１】
認証認可装置３は、ユーザ６がＩＴシステム機器５にアクセスする際に、個人認証とアクセス認可の処理を行う。
認証許可装置３は、認証認可管理部３１と認証認可情報データストア部３２と認証認可実行部３３とアクセス権限更新要求部３４とアクセス権限更新確認部３５から構成するとして説明する。各構成要素の説明は後述する。
【００１２】
統合ログ管理装置４は、ユーザ６がＩＴシステム機器にアクセスした際に出力されるログ情報を、リアルタイムに、あるいは、定期的に収集して保存する。
統合ログ管理装置４は、ログ管理部４１とログ収集部４２と統合ログデータストア部４３とログ監視レベル動的更新部４４から構成するとして説明する。各構成要素の説明は後述する。
【００１３】
ＩＴシステム機器５は、ユーザ６がアクセスする２以上の機器であり、これらの機器のログ情報が統合ログ管理装置４のログ収集部４２を介して統合ログデータストア部４３に保存される。
ＩＴシステム機器５は、機器Ａ５１と機器Ｂ５２から構成され、機器Ａ５１、機器Ｂ５２は、例えば業務用パソコン、サーバ、ネットワーク機器などである。
【００１４】
次に、ＩＤ＆アクセス管理装置２の各構成要素について説明する。
ＩＤ＆アクセス管理装置２のＩＤ＆アクセス権限配信部２１は、アクセス権限最適化部２４で更新され、ＩＤ／アクセス権限データストア部２６に保存されたユーザ６のＩＤ属性情報とアクセス権限を取得し、認証認可装置３の認証認可管理部３１にユーザ６のユーザＩＤ・パスワードなどのＩＤ属性情報と、アクセス権限情報とを出力する。ＩＤ属性情報とアクセス権限情報の出力は、同情報の登録時あるいは変更時に、即時処理あるいは定時処理として実行される。
【００１５】
ＩＤ＆アクセス管理装置２のアクセス権限動的更新部２２は、認証認可装置３のアクセス権限更新要求部３４から、ＩＤ＆アクセス権限管理部２７を介して、ユーザ６のアクセス権限の更新要求を受けて、ＩＴシステム機器５を利用するユーザ６のアクセス権限を動的に更新する。
【００１６】
ＩＤ＆アクセス管理装置２のアクセス予測部２３は、統合ログ管理装置４のログ管理部４１から取得した過去のログ情報に基づいて、ユーザ６が次にアクセスする傾向を予測（アクセス傾向予測）する。
アクセス予想部２３は、統合ログ管理装置４のログ管理部４１から入力されたログ情報に基づいて、ユーザの過去のアクセス履歴の傾向を分析し、同じタイミングで起こるアクセスを抽出する。ここでの傾向の分析は、あるユーザに特定してそのアクセスの履歴を分析しても良いし、ある機器に対するアクセス履歴の傾向を分析しても良い。
【００１７】
ＩＤ＆アクセス管理装置２のアクセス権限最適化部２４は、ユーザ６のアクセス傾向の予測や、ＩＴシステム機器５の物理的・論理的な構成情報をもとに、ユーザ６に割当てるアクセス権限の最適化を行い、最適化したアクセス権限をユーザ６のユーザＩＤに対応づけてＩＤ・アクセス権限データストア部２６に保存する。
アクセス権限最適化部２４（ログ監視対象物グループ化部）は、同じタイミングで起こるアクセス（ユーザが連続してするアクセスであってアクセス先は関連性がある可能性が高い）の組み合わせを、別の新たなアクセス権限グループＩＤとしてまとめて、ユーザ６に割り当てることもできる。その際、異なるログ監視レベルを持つアクセス権限グループＩＤをひとまとめにする場合は、そのうちの最大のログ監視レベルを、新たなアクセス権限グループＩＤのログ監視レベルとし、更新履歴管理部２８を介して、統合ログ管理装置４のログ監視レベル動的更新部４４に、アクセス権限グループＩＤとログ監視レベルの更新を要求する。
【００１８】
アクセス予測部２３、アクセス権限最適化部２４により、1)アクセス権限をまとめることで、一人の利用者に割り当てるアクセス権限グループＩＤの数を減らすことができ、利用者ごとのアクセス権限管理が容易になる。また、2)ログ監視レベルの高いアクセスと、同じタイミングで起こる、より監視レベルの低いアクセスに対しても、高いログ監視レベルで記録を残すことができ、効果的なセキュリティの向上につながる。また、同じタイミングで起こる傾向が高いアクセスは、ひとまとめにして、最も高いログ監視レベルを与えることで、ログ記録量の低減と、セキュリティの維持を両立することができる。
【００１９】
ＩＤ＆アクセス管理装置２の構成情報データストア部２５は、ＩＴシステム機器５の物理的・論理的な構成情報を保存している。
ＩＤ＆アクセス管理装置２のＩＤ・アクセス権限データストア部２６は、ＩＤ＆アクセス権限管理部２７の要求によりユーザ６のユーザＩＤ・パスワードなどのＩＤ属性情報とアクセス権限情報を保存、または、アクセス権限最適化部２４によって最適化されたユーザＩＤに対応したアクセス権限情報を保存する。
【００２０】
ＩＤ＆アクセス管理装置２のＩＤ＆アクセス権限管理部２７は、ＩＴシステムの管理者が、ユーザ６のユーザＩＤ・パスワードなどのＩＤ属性情報と、アクセス権限情報とを管理するためのインターフェースを提供し、ＩＴシステムの管理者によって入力されたユーザ６のＩＤ属性情報とアクセス権限情報をＩＤ・アクセス権限データストア部に保存する。
【００２１】
ＩＤ＆アクセス管理装置２の更新履歴管理部２８は、ＩＤ・アクセス権限データストア部２６に保存されているユーザ６のユーザＩＤ・パスワードなどのＩＤ情報とアクセス権限情報に基づいて、ＩＤ属性情報とアクセス権限情報の更新履歴を作成してＩＤ・アクセス権限データストア部２６に保存し、更新履歴を統合ログ管理装置４のログ監視レベル動的更新部４４に要求に応じて出力する。
【００２２】
次に、認証認可装置３の各構成要素について説明する。
認証認可装置３の認証許可管理部３１は、認証認可情報を管理するためのインターフェース（認証認可装置の管理者が認証認可情報を確認したり、認証認可情報の動的更新を手動で実行するような管理捜査を行うインターフェースと、外部装置から参照あるいは更新要求を受けて、要求された処理を行うインターフェース）を提供する。ＩＤ＆アクセス管理装置２のＩＤ＆アクセス権限配信部２１から入力したユーザ６のユーザＩＤ・パスワードなどのＩＤ属性情報と、アクセス権限情報を認証認可情報データストア部３２に出力する。
【００２３】
認証認可装置３の認証認可情報データストア部３２は、認証認可管理部３１から入力した認証認可に必要な設定情報、および、ユーザ６のＩＤ・パスワードなどのＩＤ情報、アクセス権限情報を保存する。
認証認可装置３の認証認可実行部３３は、ユーザ６のＩＴシステム機器５へのアクセス時に、ＩＴシステム機器５から認証および認可の実行要求を受け、認証認可情報データストア部３２のデータに基づいて、ユーザ６の個人認証およびＩＴシステム機器５へのアクセスの認可を行い、ＩＴシステム機器５へのアクセス制御を実行する。
【００２４】
認証認可装置３のアクセス権限更新要求部３４は、ユーザ６がＩＴシステム機器５にアクセスする際に、必要に応じてアクセス権限の更新をＩＤ＆アクセス管理装置２のＩＤ＆アクセス権限管理部２７を介して、アクセス権限動的更新部２２に要求し、アクセス権限更新確認部３５にアクセス権限の更新を通知する。
認証認可装置３のアクセス権限更新確認部３５は、ユーザ６のアクセス権限の更新が必要な場合に、アクセス権限更新要求部３４からアクセス権限の更新の通知があれば、ユーザ６にアクセス権限の更新に対して明示的あるいは暗黙的に同意を得るための方法を提供し、通知する。
【００２５】
次に、統合ログ管理装置４の各構成要素について説明する。
統合ログ管理装置４のログ管理部４１は、統合ログ管理装置４の統合ログデータストア部４３に集積されたログ情報を監査するログ運用者の操作画面などに、ログ情報を入出力する外部装置向けの管理インターフェースを提供する。また、管理部４１は、集積されたログ情報をＩＤ＆アクセス管理装置２のアクセス予測部２３の要求に応じて、統合ログデータストア部４３のログ情報をＩＤ＆アクセス管理装置２のアクセス予測部に出力する。
【００２６】
統合ログ管理装置４の統合ログデータストア部４３は、ログ収集部４２が収集したログ情報や、ログ監視レベル動的更新部４４によって動的に更新されたログ監視レベルの設定情報を保存する。
統合ログ管理装置４のログ収集部４２は、ログ収集対象であるＩＴシステム機器５から、リアルタイムあるいは定期的に、統合ログデータストア部４３に保存されているユーザ６に対応またはＩＴシステム機器５に対応したログ監視レベルに合致した分量のログ情報を収集して統合ログデータストア部４３に保存する。
【００２７】
統合ログ管理装置４のログ監視レベル動的更新部４４は、ＩＤ＆アクセス管理装置２の更新履歴管理部２８から、ユーザ６のアクセス権限の更新の履歴情報を取得し、ユーザ６ごとに適用するログ監視レベルを動的に更新する。また、ＩＤ＆アクセス管理装置２の更新履歴管理部２８を介して、アクセス権限最適化部２４からの要求で、ユーザ６に割り当てられた新たなアクセス権限グループＩＤへのログ監視レベルの設定を行う。
【００２８】
図２により、ユーザ６がＩＴシステム機器５へアクセスする際のログ監視に関するＩＤ＆アクセス管理装置２と認証認可装置３の基本的な処理の流れを説明する。
まず、ユーザ６が、ＩＴシステム機器５の機器Ａ５１または機器Ｂ５２の種類に応じた方法で、ＩＴシステム機器５にアクセスを試みる（ＳＴ１０１）。ＩＴシステム機器５の種類によって、ＯＳへのログイン、電子ファイルへのアクセス、入退室用のＩＣカードによるゲート通過など、アクセス方法は異なる。
【００２９】
次に、認証認可装置３の認証認可実行部３３が、ＩＴシステム機器５を利用するユーザ６の個人認証を行い（ＳＴ１０２）、認証が成功したか否かを判断する（ＳＴ１０３）。
実際にユーザ６の個人認証を実施する実体は、対象のＩＴシステム機器５自体であってもよい。その場合は、認証認可装置３はＩＴシステム機器５から認証成否の情報を取得し、当該認証成否情報に従って、ユーザ６の認証成否を決定する。なお、認証方法は、対象のＩＴシステム機器５ごとに定める方法で実施される。
【００３０】
次に、ＳＴ１０３で、認証に成功した場合は、認証認可装置３のアクセス権限更新要求部３５が、ＩＤ＆アクセス管理装置２のアクセス権限動的更新部２２に、アクセス権限の更新処理を要求する（ＳＴ１０４）。
【００３１】
次に、ＩＤ＆アクセス管理装置２のアクセス予測部２３が、統合ログ管理装置４のログ管理部４１からユーザ６の過去のログ情報を取得する。過去のログ情報から、ベイズ理論を用いた予測などの任意の統計的手法により、次のアクセスの種類や傾向を予測する（ＳＴ１０５）。
【００３２】
次に、ＩＤ＆アクセス管理装置２のアクセス権限最適化部２４が、ＩＤ＆アクセス管理装置２の構成情報データストア部２５に保存されているアクセス対象間の依存関係の情報（アクセス対象間で必ず直前または直後に特定のアクセス対象への操作が伴うような依存関係の情報）とアクセス傾向予測に基づいて、ユーザ６に割り当てるアクセス権限が最適になるように変更し、ＩＤ・アクセス権限データストア部２６に保存する（ＳＴ１０６）。
【００３３】
例えば、アクセス権限最適化部２４は、同じタイミングで起こるアクセス（ユーザが連続してするアクセスであってアクセス先は関連性がある可能性が高い）の組み合わせを、別の新たなアクセス権限グループＩＤとしてまとめて、ユーザ６に割り当てることもできる。その際、異なるログ監視レベルを持つアクセス権限グループＩＤをひとまとめにする場合は、そのうちの最大のログ監視レベルを、新たなアクセス権限グループＩＤのログ監視レベルとし、更新履歴管理部２８を介して、統合ログ管理装置４のログ監視レベル動的更新部４４にログ監視レベルの更新を要求する。
【００３４】
また、例えば、予測される次のアクセスの権限の強さ（あるいは対応するログ監視レベル）が現状と等しい場合は、続くと予測されるアクセスの権限も事前に割り当てておく、などの処理を行う。あるいは、構成情報データストアの情報から、現在のアクセスが成功することにより、機器の接続や建物の構造といったシステム構成上の依存情報に基づき、次に発生するはずがないアクセスに関するアクセス権限を 自動で割当解除する などの処理を行う。
【００３５】
次に、ＩＤ＆アクセス管理装置２のＩＤ＆アクセス権限配信部２１が、ＳＴ１０５で更新された、ユーザ６に割り当てられた有効なアクセス権限の情報を、認証認可装置３の認証認可管理部３１に通知する（ＳＴ１０７）。
【００３６】
次に、認証認可装置３のアクセス権限更新確認部３５が、ユーザ６にアクセス権限が更新されたことを通知し、明示的あるいは暗黙的に同意を得て確認する（ＳＴ１０８）。
通知方法は、アクセス対象のＩＴシステム機器５によって異なる。典型的には、アクセスしようとするＰＣの画面に、アクセス権限が昇格または降格される旨の表示を行い、同意確認をユーザ６に問うための情報入力方法が提供される。
【００３７】
そして、ユーザ６に明示的あるいは暗黙的に同意を得た後、認証認可装置３の認証認可実行部３３が、認証認可装置３の認証認可情報データストア部３２のユーザ６に割り当てられた（現在の有効な）アクセス権限に関する情報を更新し、その情報に基づいてユーザ６のアクセスの認可を判定し（ＳＴ１０９）、アクセスの認可の可否によってユーザ６のアクセスの許可の可否を判断する（ＳＴ１１０）。
ＳＴ１０９で認可された場合は、ユーザ６のアクセスが許可される（ＳＴ１１１）。
ＳＴ１０２で認証されなかった場合、または、ＳＴ１１０で認可されなかった場合は、ユーザ６にＩＴシステム機器５のアクセスが許可されず、ユーザ６はＩＴシステム機器５を利用できない（ＳＴ１１２）。
【００３８】
図３により、統合ログ管理装置４によるログ情報収集の基本的な流れを説明する。
まず、統合ログ管理装置４のログ管理部４１が、深夜のバッチ処理などで定期的に、ログ監視レベルの動的更新およびログ収集のプロセスを開始する（ＳＴ２０１）。
【００３９】
次に、統合ログ管理装置４のログ監視レベル動的更新部４４が、ログ収集対象期間に応じて、当該ログ収集対象期間におけるユーザ６のアクセス権限の更新履歴情報をＩＤ＆アクセス権限管理装置２の更新履歴管理部２８から取得し、取得したアクセス権限の強さに対応して、規定のログ監視レベルをユーザ６のログ監視レベルとして設定する（ＳＴ２０２）。また、ＩＤ＆アクセス管理装置２のアクセス権限最適化部２４のログ監視レベルのグループ化の要求に応じて、ログ監視レベルを更新する。
【００４０】
統合ログ管理装置４のログ収集部４２が、ユーザ６毎のログ監視レベルに応じて、必要な分だけＩＴシステム機器５からログ情報を収集し、統合ログ管理装置４の統合ログデータストア部（ログデータストア部）４３に保存する（ＳＴ２０３）。
【００４１】
図４乃至８を用いて、各データストア部で所持する情報の一例を示す。
図４に、ＩＤ＆アクセス管理装置２の構成情報データストア部２５の構成例を示す
構成情報データストア部２５は、位置情報テーブル２５１と依存関係情報テーブル２５２から構成される。
図４の例で、位置情報テーブルは、ＩＴシステム機器ＩＤと、ＩＴシステム機器に対応する設置エリアの情報から構成される。
【００４２】
また、依存関係情報テーブル２５２は、アクセス対象間の関連情報を管理し、依存元ＩＤ、依存元操作、依存先ＩＤ，依存先操作、依存関係種別から構成される。なお、図４の例では、ＩＴシステム機器ＩＤ、アクセス対象ＩＤ、操作などのＩＤ情報は、図６のＩＤ・アクセス権限情報データストアと共通の情報である。ここでの依存関係とは、例えば、あるアクセス対象に操作を行う際には、セキュリティ上の制約や建物の構造上の制約から、必ず直前または直後に特定のアクセス対象への操作が伴うような場合のアクセス対象間の関係をいう。
【００４３】
次に、図５で、ＩＤ＆アクセス管理装置２の構成情報データストア部２５に保存する依存関係の例として、ＩＴシステム機器５およびエリアの構成図を示す。
ＩＴシステム機器５およびエリアの構成は、会社ビル７の正門ゲート７１と１階サーバルーム７２と２階管理室７３から構成されている。
１階サーバルーム７２には、ゲート７２１とファイルサーバ７２２と入退室管理サーバ７２３がある。
２階管理室７３には、ゲート７３１と管理端末７３２がある。
【００４４】
１階サーバルーム７２のファイルサーバ７２２と入退室管理サーバ７２３、２階管理室７３の管理端末７３２は、図１のＩＴシステム機器５の機器Ａ５１または機器Ｂ５２に相当し、構内ネットワークで通信可能となっている。
図５の例では、建物などの物理的な制約とセキュリティ上のアクセス制約から、システム間のアクセスには、図５の構成情報データストア部２５の依存関係情報テーブルに示したような、次の依存関係が存在する。
【００４５】
「正門ゲート７１に入室しなければ、１階サーバルーム７２には入室できない。」「正門ゲート７１に入室しなければ、２階管理室７３にアクセスできない。」「１階サーバルーム７２に入室（ゲート７２１から入室）しなければ、ファイルサーバ７２２のＯＳにログインできない。」「１階サーバルーム７２に入室しなければ、入退室管理サーバ７２３のＯＳにログインできない。」「２階管理室７３に入室（ゲート７３１から入室）しなければ、管理端末７３２のＯＳにログインできない。」「管理端末７３２にログインしなければ、ファイルサーバ７２２上のセキュリティ情報を読み出すことができない。」
【００４６】
次に、図６で、ＩＤ＆アクセス管理装置２のＩＤ・アクセス権限情報データストア部の構成例を示す。
ＩＤ・アクセス権限情報データストア部２は、ユーザ情報テーブル２６１、有効アクセス権限グループ割当情報テーブル２６２、最大アクセス権限グループ割当情報テーブル２６３、アクセス権限情報テーブル２６４、アクセス対象情報テーブル２６５、ＩＴシステム機器情報テーブル２６６から構成されている。
【００４７】
ユーザ情報テーブル２６１は、ＩＴシステム機器５を利用するユーザ６に関する情報であり、ユーザを一意に識別する識別情報と、ユーザが持つ複数の属性情報で構成される。 本例では、識別情報にはユーザＩＤを、属性情報には氏名、パスワード、社員証カード番号を保持している。パスワードは、ＰＣなどのＩＴシステム機器にアクセスする際要求される個人認証で用いるクレデンシャル情報であり、社員証カードは、入退用のゲートを通過するときに必要なＩＣカードを識別するためのクレデンシャル情報である。
【００４８】
有効アクセス権限グループ割当情報テーブル２６２は、ＩＴシステム機器５を利用するユーザ６に現在割当てられているアクセス権限をグループで管理する有効アクセス権限グループ割当情報であり、ユーザＩＤとアクセス権限グループＩＤから構成される。
アクセス権限グループＩＤは、ユーザ６に割り当てられているアクセス権限のセットを一意に示す識別子であり、ＩＤ＆アクセス管理装置２のアクセス権限最適化部２４によって同じタイミングで起こるアクセスのアクセス権限がグループ化される。同じＩＴシステム機器５を利用するユーザ６に、複数のアクセス権限グループを割当てることも可能である。
【００４９】
最大アクセス権限グループ割当情報テーブル２６３は、ユーザ６に割当てることが許可されている、すべてのアクセス権限グループＩＤの集合を管理する情報であり、ユーザＩＤとアクセス権限グループＩＤから構成される。
あるユーザ６に対する有効アクセス権限グループ割当情報（有効アクセス権限グループ割当情報テーブル２６２で管理している情報）は、必ず同じユーザに対する最大アクセス権限グループ割当情報の部分集合でなければならない。
【００５０】
アクセス権限情報テーブル２６４は、アクセス権限のグループごとのアクセス許可（アクセス対象ＩＤと、許可操作のセット）の情報であり、アクセス権限グループＩＤとアクセス対象ＩＤと許可操作の情報から構成される。
図６の例で、許可操作の定義は、Ｒ：ファイルの読み出し、Ｗ：ファイルへの書き込み、Ｒ＋Ｗ：ファイルの読み出しとファイルへの書き込み、ＩＮ：入室、ＯＵＴ：退室、ＩＮ＋ＯＵＴ：入退室、ＬＯＧＩＮ：パソコン・サーバなどへのログインである。
同じアクセス権限のグループが、複数のアクセス許可を含むことも可能である。
【００５１】
アクセス対象情報テーブル２６５は、ユーザ６がアクセスすることができるＩＴシステム機器５の最小単位の情報を保持するアクセス対象情報であり、アクセス対象ＩＤ、アクセス対象名称、アクセス対象種別、親システム機器ＩＤ等から構成される。
図２の例で、アクセス対象種別の定義は、ファイル：ファイルサーバなどで管理される電子ファイルへのアクセス、ゲート：入退室管理サーバで管理され、施錠管理されている扉の入退室、ログイン：パソコン、サーバなどへのシステムログイン、親システムＩＤ：アクセス対象を管理しているＩＴシステム機器を識別するＩＤである。
【００５２】
ＩＴシステム機器情報テーブル２６６は、ユーザ６が利用する（物理的・論理的にアクセスする）ＩＴシステム機器５に関するＩＴシステム機器情報であり、ＩＴシステム機器を識別するＩＴシステム機器ＩＤと、ＩＴシステム機器の名称を示すＩＴシステム機器名称などから構成される。
【００５３】
次に、図７で、認証認可装置３の認証認可情報データストア部３２の構成例を示す。
認証認可情報データストア部３２の内容は、図５のＩＤ＆アクセス管理装置２のＩＤ・アクセス権限情報データストア部２６の内容と同様となる。ただし、認証認可情報データストア部３２には、最大アクセス権限グループ割当情報テーブルはない。
【００５４】
図８に、統合ログ管理装置４の統合ログデータストア部４３の構成例を示す。
統合ログデータストア部４３は、ログ情報テーブル４３１とログ監視レベル割当情報テーブル４３２とログ監視レベル更新譲歩テーブル４３３から構成される。
統合ログデータストア部４３（ログデータストア部）は、ログ監視対象物とログ監視対象物の使用を監視する際のログ監視レベルとを対応付けて記憶し、ユーザ６にアクセスされたログ監視対象物のログ情報を記憶している。
ログ情報テーブル４３１は、ＩＴシステム機器から収集したログ情報を保存する。
図８の例では、ログ情報は、日時：ログ情報が発生した日時、機器ＩＤ：ログ情報の収集元であるＩＴシステム機器ＩＤ、対象ＩＤ：ログの対象となったアクセス対象のアクセス対象ＩＤ、ログ種別：ログ情報の種別、ユーザＩＤ：ログに対応する操作を行ったＩＴシステム機器５を利用するユーザ６のユーザＩＤ、ログ内容：ログ内容の記述から構成される。
【００５５】
ログ監視レベル割当情報テーブル４３２は、アクセス権限の大きさに応じて割り当てる、ログ監視レベルの設定値を管理する。図８の例では、ログ監視レベル割当情報テーブル４３２は、アクセス権限グループＩＤ、ログ監視レベルから構成される。ログ監視レベルは５段階の数値で表されており、数値が小さいほど監視レベルが高い。
【００５６】
ログ監視レベル更新情報テーブル４３３は、ユーザＩＤ、ログ監視レベル、開始日時（ログ監視開始日時）、終了日時（ログ監視終了日時）から構成される。
ユーザ６の過去のアクセス権限の履歴情報に応じて、当該ユーザ６のログ監視レベルを開始日時と終了日時で区分された時間範囲ごとに保持しておく。
実際に、統合ログ管理装置４のログ収集部４２がＩＴシステム機器５のログ情報を収集する際には、時間範囲ごとのログ監視レベルの変動に応じて、ログ監視レベルに応じて定められているＩＴシステム機器のログ取得量（範囲、量）のみを取得する。
【００５７】
図９乃至１３において、図４乃至８で示したデータストア構成の値を用いた、実際のアクセスに対する動作例を示す。
図９は、ユーザ６が正門ゲート７１を入室しようとした際の動作例を示す。
ユーザ６（ユーザＩＤ:ＵＳＥＲ００２）が、自身の社員証カードを正門ゲート７１のカードリーダ（図示せず）にかざして、正門ゲート７１に入室を試みる（ＳＴ３０１）。
【００５８】
入退室管理サーバ７２３が、カードリーダから取得した社員証カード番号を、入退室管理サーバ７２３のデータベースと照合し、ユーザ６を認証し、認証成功と判断する。
入退室管理サーバ７２３は、認証結果を、認証認可装置３の認証認可管理部３１に通知する。
認証認可装置３の認証認可管理部３１は、認証認可装置３の認証認可情報データストア部３２と照合し、ユーザ６（ユーザＩＤ:ＵＳＥＲ００２）の認証成功を確認する（ＳＴ３０２）。
【００５９】
認証認可装置３のアクセス権限更新要求部３４が、ＩＤ＆アクセス管理装置２のアクセス権限動的更新部２２に、現在のアクセス内容を通知し、アクセス権限更新を要求する（ＳＴ３０３）。
【００６０】
ＩＤ＆アクセス管理装置２のアクセス予測部２３が、統合ログ管理装置４からユーザ６（ユーザＩＤ:ＵＳＥＲ００２）の過去のアクセスログの履歴情報を取得する。そして、現在のアクセス（正門ゲート７１の入室）と、過去のアクセスログの履歴情報から、続いて起こる可能性が最も高いアクセス「１階サーバルーム７２への入室」を予測する（ＳＴ３０４）。
【００６１】
次に、ＩＤ＆アクセス管理装置２のアクセス権限最適化部２４が、ＳＴ３０４で予測したアクセス予測とＩＤ＆アクセス管理装置２の構成情報データストア部２５の情報から、ユーザ６に割り当てるアクセス権限が最適になるように変更する。（ＳＴ３０５）
まず、現在のアクセス（正門ゲート７１の入室）の権限が有効であることを、ＩＤ＆アクセス管理装置２のＩＤ＆アクセス権限データストア部２６の有効アクセス権限グループ割当情報テーブル２６２を検索して確認する。また、予想される次のアクセスである「１階サーバルーム７２への入室」は現在割り当てられているアクセス権限よりも強い（ログ監視レベルが高い）ため、「１階サーバルーム７２への入室」権限の追加割当ては行われない。
【００６２】
ＩＤ＆アクセス管理装置２のＩＤ＆アクセス権限配信部２１が、ＩＤ＆アクセス管理装置２のＩＤ＆アクセス権限データストア部２６の情報から現在のユーザ６に割り当てられた有効なアクセス権限を認証認可装置３に通知する。今回は、アクセス権限割当に変更がないことが通知される（ＳＴ３０６）。
【００６３】
認証認可装置３の認証認可実行部３３が、認証認可装置３の認証認可情報データストア部３２を参照し、ユーザ６のアクセスの認可可否を決定する。
ここでは、認証認可情報データストア部３２の有効アクセス権限グループ割当情報テーブルから、ユーザＩＤ:ＵＳＥＲ００２に割り当てられたアクセス権限ＡＣＣＳ＿ＧＲＰ＿００を取得する。続けて、認証認可情報データストア部３２のアクセス権限情報テーブルから、アクセス権限ＩＤ：ＡＣＣＳ＿ＧＲＰ＿００の情報を取得し、ユーザＩＤ:ＵＳＥＲ００２が、正門ゲート７１（アクセス対象ＩＤ：ｏｂｊ＿０００３）入室（許可操作：ＩＮ）の権限を有することを確認する（ＳＴ３０７）。
【００６４】
認証認可装置３が、入退室管理サーバ７２３にアクセス許可を通知した後、入退室管理サーバ７２３が、正門ゲート７１を開き、ユーザ６（ユーザＩＤ:ＵＳＥＲ００２）が入室する（ＳＴ３０８）。
【００６５】
図１０は、ユーザ６が正門ゲート７１に入室した後、２棟管理室７３のゲート７３１を入室しようとした際の動作例を示す。
ユーザ６（ユーザＩＤ:ＵＳＥＲ００２）が、自身の社員証カードを２階管理室７３のゲート７３１のカードリーダにかざして、２階管理室７３のゲート７３１に入室を試みる（ＳＴ４０１）。
【００６６】
入退室管理サーバ７２３が、カードリーダから取得した社員証カード番号を、入退室管理サーバ７２３のデータベースと照合し、ユーザ６を認証して認証成功と判断する。
入退室管理サーバ７２３は、認証結果を、認証認可装置３の認証認可管理部３１に通知する。
認証認可装置３の認証認可管理部３１は、認証認可装置３の認証認可情報データストア部３２と照合し、ユーザ６（ユーザＩＤ:ＵＳＥＲ００２）の認証成功を確認する（ＳＴ４０２）。
【００６７】
次に、認証認可装置３のアクセス権限更新要求部３４が、ＩＤ＆アクセス管理装置２のアクセス権限動的更新部２２に、現在のアクセス内容を通知し、アクセス権限更新を要求する（ＳＴ４０３）。
【００６８】
次に、ＩＤ＆アクセス管理装置２のアクセス予測部２３が、統合ログ管理装置４のログ管理部４１からユーザ６（ユーザＩＤ:ＵＳＥＲ００２）の過去のアクセスログの履歴情報を取得する。そして、現在のアクセス（２階管理室７３のゲート７３１の入室）と、過去のアクセスログの履歴情報から、次に起こる可能性が最も高いアクセス「管理端末７３２のＯＳへのログイン」を予測する（ＳＴ４０４）。
【００６９】
ＩＤ＆アクセス管理装置２のアクセス権限最適化部２４が、ＳＴ４０４で予測したアクセス予測とＩＤ＆アクセス管理装置２の構成情報データストア部２５の情報から、ユーザ６に割り当てるアクセス権限が最適になるように変更する（ＳＴ４０５）。
【００７０】
まず、現在のアクセス（２階管理室７３のゲート７３１の入室）の権限が有効ではないため、ＩＤ＆アクセス権限データストア部２６の最大アクセス権限グループ割当情報テーブルを検索し、ユーザＩＤ:ＵＳＥＲ００２に、２階管理室７３のゲート７３１の入室の権限（アクセス権限グループＩＤ:ＡＣＣＳ＿ＧＲＰ＿０４）を割当ることが可能であることを確認した後、当該アクセス権限をＵＳＥＲ００２に追加で割り当てる。
【００７１】
また、続くアクセスの予測である「管理端末７３２のＯＳへのログイン」は現在割り当てられているアクセス権限と同等以下である（ログ監視レベルが同じか低い）ため、追加割当を行っても良いと判断し、管理端末７３２のＯＳへのログインのアクセス権限（アクセス権限グループＩＤ:ＡＣＣＳ＿ＧＲＰ＿０５）を自動で割当てておく。
【００７２】
ＩＤ＆アクセス管理装置２のＩＤ＆アクセス権限配信部２１が、ユーザ６に割り当てられた現在有効なアクセス権限を認証認可装置３の認証認可管理部３１に通知する。
今回は、２階管理室ゲートの入室（アクセス権限グループＩＤ:ＡＣＣＳ＿ＧＲＰ＿０４）、管理端末７２３のＯＳへのログインのアクセス権限（アクセス権限グループＩＤ:ＡＣＣＳ＿ＧＲＰ＿０５）が追加されたことが通知される（ＳＴ４０６）。
【００７３】
認証認可装置３の認証認可実行部３３が、認証認可装置３の認証認可情報データストア部３２を参照し、ユーザ６のアクセスの認可可否を決定する（ＳＴ４０７）。
ここでは、認証認可情報データストア部３２の有効アクセス権限グループ割当情報テーブルから、ＵＳＥＲ００２に割り当てられたアクセス権限ＡＣＣＳ＿ＧＲＰ＿００、ＡＣＣＳ＿ＧＲＰ＿０４、ＡＣＣＳ＿ＧＲＰ＿０５を取得する。
続けて、認証認可情報データストア部３２のアクセス権限情報テーブルから、アクセス権限ＩＤ：ＣＣＳ＿ＧＲＰ＿０４の情報を取得し、ユーザＩＤ:ＵＳＥＲ００２が、２階管理室（アクセス対象ＩＤ：ｏｊｂｊ＿０００６）入室（許可操作：ＩＮ）の権限を有することを確認する。
【００７４】
認証認可装置３が、入退室管理サーバ７２３にアクセス許可を通知した後、入退室管理サーバ７２３が、２階管理室７３のゲート７３１を開き、ユーザ６（ユーザＩＤ：ＵＳＥＲ００２）が入室する（ＳＴ４０８）。
【００７５】
図１１は、ユーザ６が２階管理室７３のゲート７３１から入室した後、管理端末７３２のＯＳにログインしようとした際の動作例を示す。
ユーザ６（ユーザＩＤ:ＵＳＥＲ００２）が、管理端末７３２を操作し、自身のユーザＩＤとパスワード入力して、管理端末７３２のＯＳにログインを試みる（ＳＴ５０１）。
【００７６】
管理端末８３２は、入力されたユーザＩＤとパスワードを認証認可装置３の認証認可管理部３１に通知し、ユーザ認証を要求する。
認証認可装置３の認証認可管理部３１は、認証認可装置３の認証認可情報データストア部３２と照合し、ユーザ６（ユーザＩＤ:ＵＳＥＲ００２）の認証成功を確認する（ＳＴ５０２）。
【００７７】
認証認可装置３のアクセス権限更新要求部３４が、ＩＤ＆アクセス管理装置２のアクセス権限動的更新部２２に、現在のアクセス内容を通知し、アクセス権限の更新を要求する（ＳＴ５０３）。
【００７８】
ＩＤ＆アクセス管理装置２のアクセス予測部２３が、統合ログ管理装置４のログ管理部４１からユーザ６（ユーザＩＤ:ＵＳＥＲ００２）の過去のアクセスログの履歴情報を取得する。そして、現在のアクセス（管理端末７３２のＯＳへのログイン）と、過去のアクセスログの履歴情報から、続いて起こる可能性が最も高いアクセス「セキュリティ情報のファイルの読み出し」を予測する（ＳＴ５０４）。
【００７９】
ＩＤ＆アクセス管理装置２のアクセス権限最適化部２４が、ＳＴ５０４で予測したアクセス予測とＩＤ＆アクセス管理装置２の構成情報データストア部２５の情報から、ユーザ６に割り当てるアクセス権限が最適になるように変更する（ＳＴ５０５）。
まず、現在のアクセス（管理端末７３２のＯＳへのログイン）の権限が有効であることを確認する。
また、続くアクセスの予測である「セキュリティ情報のファイルの読み出し」のアクセス権限は、現在割り当てられているアクセス権限よりも強い（ログ監視レベルが高い）ため、当該アクセス権限の追加割当ては行われない。
【００８０】
ＩＤ＆アクセス管理装置２のＩＤ＆アクセス権限配信部２１が、現在のユーザ６に割り当てられた有効なアクセス権限を認証認可装置３の認証認可管理部３１に通知する（ＳＴ５０６）。今回は、アクセス権限に変更がないことが通知される。
【００８１】
認証認可装置３の認証認可実行部３３が、認証認可装置３の認証認可情報データストア部３２を参照し、ユーザ６のアクセスの認可可否を決定する（ＳＴ５０７）。
ここでは、認証認可情報データストア部３２の有効アクセス権限グループ割当情報テーブルから、ＵＳＥＲ００２に割り当てられたアクセス権限ＡＣＣＳ＿ＧＲＰ＿００、ＡＣＣＳ＿ＧＲＰ＿０４、ＡＣＣＳ＿ＧＲＰ＿０５を取得する。続けて、認証認可情報データストア部３２のアクセス権限情報テーブルから、アクセス権限ＩＤ：ＡＣＣＳ＿ＧＲＰ＿０５の情報を取得し、ユーザＩＤ:ＵＳＥＲ００２が、管理端末７３２のＯＳ（アクセス対象ＩＤ：ｏｂｊ＿０００５）へのログイン（許可操作：ＬＯＧＩＮ）の権限を有することを確認する。
【００８２】
認証認可装置３の認証認可管理部３１が、管理端末７３２のＯＳにアクセス許可を通知した後、管理端末７３２のＯＳがユーザ６（ユーザＩＤ：ＵＳＥＲ００２）のログインを許可する。
【００８３】
次に、図１２で、ユーザ６が、管理端末７３２のＯＳにログインして操作を終えた後、２階管理室７３のゲート７３１から退室しようとした際の動作例を示す。
【００８４】
ユーザ６（ユーザＩＤ:ＵＳＥＲ００２）が、２階管理室７３のゲート７３１に、自身の社員証カードをかざして、２階管理室７３のゲート７３１からの退室を試みる（ＳＴ６０１）。
【００８５】
次に、１階サーバルーム７２の入退室管理サーバ７２３が、２階管理室７３のゲート７３１でカードリーダから取得した社員証カード番号を、自身のデータベースと照合し、ユーザ６を認証して認証成功と判断する。
入退室管理サーバ７２３は、認証結果を、認証認可装置３の認証認可管理部３１に通知する。
認証認可装置３の認証認可管理部３１は、認証認可装置３の認証認可情報データストア部３２と照合し、ユーザ６（ユーザＩＤ:ＵＳＥＲ００２）の認証成功を確認する（ＳＴ６０２）。
【００８６】
次に、認証認可装置３のアクセス権限更新要求部３４が、ＩＤ＆アクセス管理装置２のアクセス権限動的更新部２２に、現在のアクセス内容を通知し、アクセス権限更新を要求する（ＳＴ６０３）。
【００８７】
次に、ＩＤ＆アクセス管理装置２のアクセス予測部２３が、統合ログ管理装置４からユーザ６（ユーザＩＤ:ＵＳＥＲ００２）の過去のアクセスログ履歴情報を取得する。そして、現在のアクセス（２階管理室７３のゲート７３１から退室）と、過去のアクセスログの履歴情報から、続いて起こる可能性が最も高いアクセス「正門ゲート７１の退室」を予測する（ＳＴ６０４）。
【００８８】
次に、ＩＤ＆アクセス管理装置２のアクセス権限最適化部２４が、ＳＴ２０４で予測したアクセス予測とＩＤ＆アクセス管理装置２の構成情報データストア部２５の情報から、ユーザ６に割り当てるアクセス権限が最適になるように変更する（ＳＴ６０５）。
【００８９】
まず、現在のアクセス（２階管理室７３のゲート７３１から退室）の権限が有効であることを、ＩＤ＆アクセス管理装置２のＩＤ・アクセス権限データストア部２６の有効アクセス権限グループ割当情報テーブル２６２を検索して確認する。
次のアクセスの予測である「正門ゲートの退室」の権限も割当済みであることを確認し、追加の割当は行わない。
また、構成情報データストア部２５を参照し、２階管理室７３から退室することで「管理端末７３２のＯＳへのログイン」が次のアクセスで起こらないことが確認できるため、当該アクセス権限（ＡＣＣＳ＿ＧＲＰ＿０５）の割当てを自動で解除する。
【００９０】
さらに、過去のアクセス傾向から「２階管理室７３への入室」と「管理端末７３２のＯＳへのログイン」が同時に起こる可能性が規定の高さを超えている場合、新たに「２階管理室７３のゲート７３１への入室、および、管理端末７３２のＯＳへのログイン」の２つのアクセスを許可するアクセス権限グループ（アクセス権限グループＩＤ:ＡＣＣＳ＿ＧＲＰ＿０８）を自動で作成し、１つのアクセス権限グループＩＤで２つの操作許可を管理できるように最適化する。また、ＩＤ＆アクセス管理装置２のＩＤ・アクセス権限データストア部２６の最大アクセス権限グループ割当情報テーブル２６３に、ＵＳＥＲ００２に割り当てるアクセス権限ＡＣＣＳ＿ＧＲＰ＿０８を追加する処理を行っておく。
なお、これら一連の最適化処理は、ユーザ６のアクセス発生時以外でも、定期的な処理として実施することも考えられる。
【００９１】
次に、ＩＤ＆アクセス管理装置２のＩＤ＆アクセス権限配信部２１が、現在のユーザ６に割り当てられた有効なアクセス権限を認証認可装置３の認証認可管理部３１に通知する（ＳＴ６０６）。
今回は「管理端末７３２のＯＳへのログイン」のアクセス権限（ＡＣＣＳ＿ＧＲＰ＿０５）の割当が解除されたことが通知される。
【００９２】
そして、認証認可装置３のアクセス権限更新確認部３５が、ユーザ６にアクセス権限が更新されたことを通知し、確認する。
次に、認証認可装置３の認証認可実行部３３が、認証認可装置３の認証認可情報データストア部３２を参照し、ユーザ６のアクセスの認可可否を決定する（ＳＴ６０７）。
ここでは、ＩＤ＆アクセス権限データストア部２６の有効アクセス権限グループ割当情報テーブル２６２から、ＵＳＥＲ００２に割り当てられたアクセス権限ＡＣＣＳ＿ＧＲＰ＿００、ＡＣＣＳ＿ＧＲＰ＿０４を取得する。
【００９３】
続けて、ＩＤ＆アクセス権限データストア部２６のアクセス権限情報テーブル２６４から、アクセス権限ＩＤ：ＡＣＣＳ＿ＧＲＰ＿０４の情報を取得し、ユーザＩＤ:ＵＳＥＲ００２が、２階管理室７３（アクセス対象ＩＤ：ｏｂｊ＿０００６）のゲート７３１からの退室（許可操作：ＯＵＴ）の権限を有することを確認する（ＳＴ６０７）。
【００９４】
認証認可装置３の認証認可実行部３３が、１階サーバルーム７２の入退室管理サーバ７２３にアクセス許可を通知した後、入退室管理サーバ７２３が、２階管理室７３ゲート７３１を開き、ユーザ６（ユーザＩＤ:ＵＳＥＲ００２）が退室する（ＳＴ６０８）。
【００９５】
次に、図５を用いて、関連性のあるファイルをその中で最も高いログ監視レベルまで引き上げることについて、具体的に説明する。
図示しないが、ここでは２階に管理室が２階管理室７３Ａと２階管理室７３Ｂとがあるとして説明する。２階管理室７３Ａに管理端末７３２Ａ、２階管理室７３Ｂに管理端末７３２Ｂが設置され、それぞれの管理端末からログ監視レベルが異なるファイルをアクセスする例を示す。
【００９６】
この例では、ログ監視レベルの低いファイルへのアクセスの前後にログ監視レベルの高いファイルへのアクセスが起こっている場合に、ログ監視レベルの低いファイルであっても、高いログ監視レベルに設定しておくことによって、セキュリティレベルの低下を回避できることを説明する。
【００９７】
ファイルＡは、機密等級が「秘」の顧客情報ファイルであり、顧客ＩＤ、顧客名称、顧客住所、顧客電話番号などを含んでいる。
ファイルＢは、機密等級が「社外秘」の、購入履歴ファイルであり、顧客ＩＤ、購入物、購入金額などを含んでいる。
ルームＸは、図５の２階管理室７３Ａに相当し、ファイルＡにアクセスできるＰＣ端末（管理端末７３２Ａに相当）が設置されている。
ルームＹは、図５の２階管理室７３Ｂに相当し、ファイルＢのみにアクセスできるＰＣ端末（管理端末７３２Ｂに相当）が設置されている。
【００９８】
ファイルＡへのアクセスはログ監視レベル５である。
ファイルＢへのアクセスはログ監視レベル３である。
ルームＸへの入室（２階管理室７３Ａのゲート７３１Ａに相当からの入室）は、ログ監視レベル５である。
ルームＹへの入室（２階管理室７３Ｂのゲート７３１Ａに相当からの入室）は、ログ監視レベル３である。
ファイルＢは、社内のみで識別に用いている「顧客ＩＤ」に対して、何をどれだけ販売したかを示す情報であり、実際に誰が購入したのかは社外の人にはわからないため、単体では社外秘情報であり、ログ監視レベルは低く設定されている。
【００９９】
しかし、ファイルＡとファイルＢの両方にアクセスした場合、ファイルＡに記述された顧客ＩＤに対応づけられた顧客の個人情報を知ることに加えて、「誰が何を購入したか」という「秘」相当の情報まで知ることができる。この場合ファイルＢのログ監視レベルは、ファイルＡと同等にする必要がある。
【０１００】
次に、ユーザ６がファイルＸおよびファイルＹにアクセスする際にアクセス権限最適化部２４によって最適化されるログ監視レベルについて説明する。
まず、ユーザ６がルームＸに入室し、ルームＸのＰＣ端末にログインし、ファイルＡを見て、ルームＸから退室する。続いて、ルームＹに入室し、ルームＹのＰＣ端末にログインし、ファイルＢを見て、ルームＹから退室する。
【０１０１】
このような場合、統合ログ管理装置４のログ情報からファイルＡとファイルＢを同じタイミングでアクセスする傾向が抽出されると、ファイルＡとファイルＢに同じアクセス権限グループが自動で割り当てられる。
そして、ファイルＡあるいはファイルＢのアクセス権限グループのログ監視レベルは５であるため、ファイルＡとファイルＢのどちらもログ監視レベルが５となる。
そのため、ファイルＢを見る場合、ログ監視レベル５のアクセスが要求されることとなり、セキュリティレベルの低下を回避できる。
【０１０２】
このように、ＩＤ＆アクセス管理装置２のアクセス権限最適化部２４によって、ログ情報に基づいてアクセス権限がグループ化され、ログ監視レベルが高い方に設定されることにより、連続したファイルへのアクセスにおいて、セキュリティレベルの低下を回避することができる。
ここでは、ファイルＡとファイルＢとは、別の管理室の別の管理端末からアクセスするとしたが、この発明はこれに限定されず、同じ管理端末からアクセスできる場合も含まれる。
【０１０３】
また、ここでは、アクセス権限最適化部２４（ログ監視対象物グループ化部）が、ユーザのアクセス情報に基づいてグループ化する例について説明したが、ログ情報から、連続して使用されることが多いファイル（ログ監視対象物）をグループ化してもよい。
【０１０４】
また、アクセス権限最適化部２４が、ログ情報から、連続して使用されるファイル（ログ監視対象物）が、予め定められた回数を超えて使用される場合にグループ化してもよい。
【０１０５】
次に、図１３で、統合ログ管理装置４が、ＩＴシステム機器５からログ情報を収集する際の動作例を示す。
統合ログ管理装置４が、深夜のバッチ処理などで定期的にユーザ６のアクセス権限履歴に応じた、ログ監視レベルの動的更新とログ収集のプロセスを実行する（ＳＴ７０１）。
ここでの例は、ログ収集期間対象期間は、２０１０／０１／０９ ０８：３０〜２０１０／０１／１０ ０２：５９とする。
【０１０６】
次に、ログ収集対象の期間に応じて、統合ログ管理装置４のログ監視レベル動的更新部４４が、前述した期間でのユーザ６の有効アクセス権限グループ割当の更新履歴情報を取得する。
取得した履歴情報をもとに、ユーザ６ごとのログ監視レベルを、統合ログデータストア部４３のログ監視レベル割当情報テーブル４３２に基づいて決定し統合ログデータストア部４３のログ監視レベル更新情報テーブル４３３のユーザＩＤごとのログ監視レベルを設定する（ＳＴ７０２）。
【０１０７】
ＩＴシステム機器５を利用するユーザ６に複数のアクセス権限が割り当てられていた場合は、対応するログ監視レベルが最も高い値を、その時間範囲で当該ユーザのログ監視レベルとして使用する。こうして決定された時間範囲ごとのログ監視レベルをユーザ６ごとにまとめて、ログ監視レベル更新情報テーブル４３３に設定（登録）しておく。
【０１０８】
図８の例では、ユーザＩＤ:ＵＳＥＲ００２に関しては、以下のログ監視レベルが設定されている。
２０１０／０１／０９ １８：３０〜２０１０／０１／１０ ０８：３５の時間範囲は、ログ監視レベルは５
２０１０／０１／１０ ０８：３５〜２０１０／０１／１０ ０９：１２の時間範囲は、ログ監視レベルは２
２０１０／０１／１０ ０９：１２〜２０１０／０１／１０ １０：２５の時間範囲は、ログ監視レベルは１
２０１０／０１／１０ １０：２５〜２０１０／１２／３１ ２３：５９の時間範囲は、ログ監視レベルは５
【０１０９】
統合ログ管理装置４のログ収集部４２が、統合ログデータストア部４３のログ監視レベル更新情報テーブルの情報に基づいて、ユーザ６ごとに時間に応じてログ監視レベルを変更しながら、各ＩＴシステム機器５から必要な分だけログ情報を収集し、統合ログデータストア部４３に収集したログ情報を保存する（ＳＴ７０３）。
【０１１０】
なお、ＩＴシステム機器５ごとに、ログ監視レベルの値に対応して取得すべきログ情報の種類や量を事前に定めておく必要がある。
また、ＩＴシステム機器５によっては、ログ収集の際にログの種類や期間を取捨選択できない場合があるため、そのような場合は、ログ収集部４２が不要なログ情報を破棄し、必要なログ情報のみ統合ログデータストア部４３に保存する処理を行う。
【０１１１】
この様に、過去のアクセスログの履歴情報から、ユーザが次にアクセスする可能性が高いアクセスを予測して、アクセス権限をグループ化し、アクセス権限に対応するログ監視レベルをグループ化した最も高いログ監視レベルに合わせるので、ユーザが続けてアクセスするアクセスにおいて、セキュリティレベルの低下を回避することができる。
【符号の説明】
【０１１２】
１ ＩＴシステム、２ ＩＤ＆アクセス管理装置、２１ ＩＤ＆アクセス権限配信部、２２ アクセス権限動的更新部、２３ アクセス権限予測部、２４ アクセス権限最適化部、２５構成情報データストア部、２５１ 位置情報テーブル、２５２ 依存関係情報テーブル、２６ ＩＤ＆アクセス権限データストア部、２６１ ユーザ情報テーブル、２６２ 有効アクセス権限グループ割当情報テーブル、２６３ 最大アクセス権限グループ割当情報テーブル、２６４ アクセス権限情報テーブル、２６５ アクセス対象情報テーブル、２６６ ＩＴシステム機器情報テーブル、２７ ＩＤ＆アクセス権限管理部、２８ 更新履歴管理部、３ 認証認可装置、３１ 認証認可管理部、３２ 認証認可情報データストア部、３２１ ユーザ情報テーブル、３２２ 有効アクセス権限グループ割当情報テーブル、３２３ アクセス権限情報テーブル、３２４ アクセス対象情報テーブル、３２５ ＩＴシステム機器情報テーブル、３３認証認可実行部、３４ アクセス権限更新要求部、３５ アクセス権限更新確認部、４ 統合ログ管理装置、４１ ログ管理部、４２ ログ収集部、４３ 統合ログデータストア部、４３１ ログ情報テーブル、４３２ ログ監視レベル割当情報テーブル、４３３ ログ監視レベル更新情報テーブル、４４ ログ監視レベル動的更新部、５ ＩＴシステム機器、５１ 機器Ａ、５２ 機器Ｂ、６ ＩＴシステム利用者、７ 会社ビル、７１ 正門ゲート、７２ １階サーバルーム、７２１ ゲート、７２２ ファイルサーバ、７２３ 入退室管理サーバ、７３ ２階管理室、７３１ ゲート、７３２ 管理端末。
【特許請求の範囲】
【請求項１】
ログ監視対象物と該ログ監視対象物の使用を監視する際のログ監視レベルとを対応づけたログ監視レベル情報とアクセスされた前記ログ監視対象物のログ情報とを記憶したログデータストア部、
該ログデータストア部に記憶されたログ情報に基づいて、前記ログ監視対象物をグループ化するログ監視対象物グループ化部、
前記ログ監視対象物グループ化部によりグループ化された各グループにおいて、最も高い前記ログ監視レベルに他のログ監視対象物のログ監視レベルを合わせるログ監視レベル動的更新部、
を備えたことを特徴とするログ監視レベル制御装置。
【請求項２】
前記ログ監視対象物グループ化部は、ユーザーの前記ログ監視対象物へのアクセス情報に基づいてグループ化することを特徴とする請求項１記載のログ監視レベル制御装置。
【請求項３】
前記ログ監視対象物グループ化部は、連続して使用されることが多いログ監視対象物をグループ化することを特徴とする請求項１または請求項２記載のログ監視レベル制御装置。
【請求項４】
前記ログ監視対象物グループ化部は、予め定められた回数を超えて、連続してログ監視対象物が使用された場合にグループ化を行うことを特徴とする請求項１〜３のいずれかに記載のログ監視レベル制御装置。
【請求項１】
ログ監視対象物と該ログ監視対象物の使用を監視する際のログ監視レベルとを対応づけたログ監視レベル情報とアクセスされた前記ログ監視対象物のログ情報とを記憶したログデータストア部、
該ログデータストア部に記憶されたログ情報に基づいて、前記ログ監視対象物をグループ化するログ監視対象物グループ化部、
前記ログ監視対象物グループ化部によりグループ化された各グループにおいて、最も高い前記ログ監視レベルに他のログ監視対象物のログ監視レベルを合わせるログ監視レベル動的更新部、
を備えたことを特徴とするログ監視レベル制御装置。
【請求項２】
前記ログ監視対象物グループ化部は、ユーザーの前記ログ監視対象物へのアクセス情報に基づいてグループ化することを特徴とする請求項１記載のログ監視レベル制御装置。
【請求項３】
前記ログ監視対象物グループ化部は、連続して使用されることが多いログ監視対象物をグループ化することを特徴とする請求項１または請求項２記載のログ監視レベル制御装置。
【請求項４】
前記ログ監視対象物グループ化部は、予め定められた回数を超えて、連続してログ監視対象物が使用された場合にグループ化を行うことを特徴とする請求項１〜３のいずれかに記載のログ監視レベル制御装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【公開番号】特開２０１３−１０５４７３（Ｐ２０１３−１０５４７３Ａ）
【公開日】平成２５年５月３０日（２０１３．５．３０）
【国際特許分類】
【出願番号】特願２０１１−２５１２５６（Ｐ２０１１−２５１２５６）
【出願日】平成２３年１１月１７日（２０１１．１１．１７）
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【Ｆターム（参考）】
【公開日】平成２５年５月３０日（２０１３．５．３０）
【国際特許分類】
【出願日】平成２３年１１月１７日（２０１１．１１．１７）
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【Ｆターム（参考）】
[ Back to top ]