情報の外部出力制御方法
【課題】臨時職員に端末を貸与し作業を委託する際に、委託作業以外の作業を抑止するために、正規職員と臨時職員の操作画面を別にする必要がある。また、外部データ出力装置を利用したデータの引き落とし作業を委託する場合、不正なデータ持ち出しを抑止する必要がある。
【解決手段】第２のコンピュータは、第１のコンピュータからネットワークを介して前記認証情報を受信すると、該認証情報と第１の記憶手段に記憶されている利用者区分情報に基づいて利用者の区分を判定し、第２の記憶手段を参照して前記判定した利用者区分情報に該当する画面制御情報を読み出し、該画面制御情報を前記ネットワークを介して前記第３のコンピュータに送信し、前記第１のコンピュータから前記ネットワークを介して前記情報の外部出力要求を受信すると、前記利用者区分情報と前記第２の記憶手段に記憶されているでデバイス制限情報に基づいて前記情報の外部への出力を制御する。
【解決手段】第２のコンピュータは、第１のコンピュータからネットワークを介して前記認証情報を受信すると、該認証情報と第１の記憶手段に記憶されている利用者区分情報に基づいて利用者の区分を判定し、第２の記憶手段を参照して前記判定した利用者区分情報に該当する画面制御情報を読み出し、該画面制御情報を前記ネットワークを介して前記第３のコンピュータに送信し、前記第１のコンピュータから前記ネットワークを介して前記情報の外部出力要求を受信すると、前記利用者区分情報と前記第２の記憶手段に記憶されているでデバイス制限情報に基づいて前記情報の外部への出力を制御する。
【発明の詳細な説明】
【技術分野】
【０００１】
一般業務で使用するクライアント端末の接続先サーバ環境をユーザの属性により制御する方法。
【背景技術】
【０００２】
一般業務で使用するクライアント端末の接続先サーバ制御は、通常ユーザ認証時にユーザ権限に応じて選択する制御がなされている。このユーザ権限チェックはクライアント端末のＯＳが実施しており、ＯＳの機能に依存している。また、多数のユーザ個々にサーバの接続権限を設定することはデータ管理が煩雑になるため、ユーザ権限をクライアント端末の権限と置き換えて、クライアント端末毎に接続できるサーバを設定することでサーバ選択を制限している運用も多い。この場合、クライアント端末により接続サーバが決まるので、同じクライアント端末で別の業務サーバに接続できないという問題があった。
この問題を解決する方法として、特許文献１に示す方法が提案されている。この方法ではクライアント端末とサーバの間に中継サーバを設け、クライアント端末がユーザ設定に基づき、業務グループを特定する識別子を含むヘッダ情報を付加した送信フレームを作成、送信し、中継サーバが送信フレームのヘッダ情報を判別して該当する業務のサーバを接続先とすることにより、同一クライアント端末において業務により接続先サーバを変更することが可能である。
【０００３】
【特許文献１】特開２００２−２６９０５９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
上記従来の方法により、まずクライアント端末でユーザ認証を行い、次いで業務により接続先サーバを決定する、という処理によりクライアント端末が業務に固定されない運用が可能となるが、事務処理の繁忙期のように臨時職員ユーザが多数業務に関わる場合、同じ業務内でも正規職員に許可できる作業と臨時職員に許可できる作業を分けることが望ましく、従来の方法ではサーバを選択することは可能であるが、作業内容まで選択することは不可能である。
【０００５】
また、業務上でクライアント端末に外部データ出力装置を接続してデータの引き落とし作業を行う必要がある場合があるが、臨時職員にこの作業を委託する場合、情報漏洩を防止するために人的監視だけでなくシステム的に何らかの対策手段を備える必要がある。
【０００６】
本発明の目的は、上記課題を解決し、一のクライアント端末においてユーザにより、業務により接続先サーバを変更することが可能で、かつユーザの属性により作業内容の制御が可能である情報の外部出力制御方法を提供することにある。また本発明の他の目的は、特定属性のユーザの作業履歴を自動的に監視することが可能な情報の外部出力制御方法を提供することにある。
【課題を解決するための手段】
【０００７】
上記課題を解決するために、本発明の情報の外部出力制御方法は以下のように実現する。まず前提として、ユーザの属性は正規職員と臨時職員として分類し、正規職員はシステムに予め生体情報を登録してあることとする。また、本発明で想定するクライアント端末は、生体認証機能と可搬媒体による認証機能を備え、認証情報は業務用サーバと別に設ける認証用サーバに備え、クライアント端末はネットワークを通じて認証用サーバと少なくとも１つの業務用サーバに接続することとする。
【０００８】
ユーザ認証方法は、正規職員は指紋や指静脈等の生体情報で認証し、臨時職員は予め貸与した認証媒体により認証する。臨時職員と認証媒体との対応付け情報は認証用サーバに格納し、採用時に臨時職員の個人情報や契約業務等の属性情報と対応付けて媒体中の認証情報を登録し、契約期間中保持することとする。なお、一の臨時職員の契約期間終了後、返還された認証媒体と新たに契約した臨時職員の情報を対応付けることは可能である。
【０００９】
さらに上記認証用サーバにはユーザ個人情報と対応付けてユーザ属性情報、アクセス可能な業務サーバや利用可能な処理プログラム内容であるユーザ環境情報を格納する。認証用サーバは認証時にユーザ環境情報を識別し、それに対応する業務画面を設定し、クライアント端末と許可する業務に対応する業務サーバとの接続を設定する。業務サーバには、業務アプリケーションプログラム類と業務に用いるデータベース類、及びユーザ環境に対応する業務画面情報を格納する。これにより正規職員と臨時職員が使用するクライアント端末が同一であっても業務画面が異なるため、許可されない操作を行うことができなくなる。
また認証用サーバに、上記ユーザ属性が臨時職員で、許可される業務処理に外部出力装置へのデータ出力処理が含まれる場合、臨時職員が該出力処理を実施する際に、外部出力装置の接続状況、及び操作記録情報（ログ）を記録する機能を備えることで、データ持ち出しの可能性がある作業履歴を自動的に監視することが可能となる。さらにこの処理内容を記録している旨を画面上にメッセージで表示する機能を備えることで、データ持ち出しを心理的に防止する効果がある。
【発明の効果】
【００１０】
以上、本発明の情報の外部出力制御方法によれば、ユーザの属性、業務により利用する業務画面を変えることで、許可されない操作を防止することが可能となり、同じクライアント端末において正規職員、臨時職員が適切な業務操作を行うことが可能となる。
【００１１】
また、臨時職員の外部データ出力時に操作記録情報（ログ）を記録することで、事後に持ち出し者を特定することができ、さらに画面上にメッセージを表示させることで、未然に違法行為を抑止する効果がある。
【発明を実施するための最良の形態】
【００１２】
以下、本発明の情報の外部出力制御方法における処理方法を図を用いて詳細に説明する。この実施例ではユーザは正規職員と臨時職員に分類する。クライアント端末にはシンクライアント端末を用い、正規職員は所員証等のＩＣカードと生体情報で個人認証を行い、臨時職員は契約期間のみ貸与する認証媒体であるキーモバイルにより個人認証を行うこととする。
【００１３】
図１は、本実施形態の情報の外部出力制御方法を実施するシステム全体構成を示す図である。ユーザが使用するクライアント端末１０及び認証装置１１０、ユーザの認証を行う認証サーバ２及び認証データベース３を備える認証システム４、業務アプリケーションを格納する業務サーバ５、６、プリンタ等の外部出力装置７をネットワーク１で接続する。ここでネットワークには複数のクライアント端末と業務サーバが接続しているが、一つのクライアント端末１０に着目して説明することとする。
【００１４】
図２は、クライアント端末１０及び認証装置１１０の構成を示す図である。認証装置１１０はキーモバイルインタフェース１１１、ＩＣカードインタフェース１１２、生体認証インタフェース１１３を備え、それぞれのインタフェースにより認証媒体の情報を取得して、クライアント端末１０に送信する。クライアント端末１０は、上記インタフェースから受信した情報、及びキーボード等の入力装置１１４から取得した情報を取得する入力部１１と、ネットワーク１を通じてサーバと情報を送受する通信部１４と、サーバから取得した情報をディスプレイ１４０等に出力する出力部１３と、各部間の情報送受を制御する制御部１２とを備える。ここで使用するクライアント端末１０はハードディスクを持たないシンクライアント端末を想定しているのでクライアント端末１０には記憶部が無く、必要に応じて出力部１３に外部機器を接続して情報を出力することとする。
【００１５】
図３は、認証システム４の構成を示す図である。認証サーバ２は入力部２２と出力部２３と、ハードディスクやメモリ等の記憶部２４、ネットワーク１を通じてクライアント端末１０、及び業務サーバ５、６と情報を送受する通信部２５と、認証データベース３を制御するＤＢ制御部２６と、各部の情報送受制御及び認証処理を制御する制御部２１とを備える。認証データベース３には、正規職員のＩＣカード情報及び生体認証情報、及び臨時職員のキーモバイル情報を格納する認証情報データベース２００と、ユーザ毎の属性を利用者区分として格納する利用者区分情報データベース３００と、利用者区分とアクセスする業務サーバ及び画面制御プログラムを対応付けて格納するユーザ環境情報データベース４００と、操作履歴ログをクライアント端末識別情報、ユーザ情報と対応付けて格納する操作履歴データベース５００を備える。
【００１６】
認証サーバ２の制御部２１には、認証情報データベース２００の情報によりユーザを認証するユーザ認証機能２１１と、ユーザの利用区分を識別しクライアント端末１０を該当する業務サーバに接続するユーザ環境取得機能２１２と、業務サーバ５にユーザの利用区分と対応する画面制御プログラムを通知する業務制御情報送信機能２１３と、各データベースへの情報登録・更新を行うデータベース管理機能２１４と、特定区分ユーザの操作履歴ログを取得し、外部出力可否を制御する操作履歴監視機能２１５とを備える。
【００１７】
図４は、業務サーバ５の構成を示す図である。業務サーバは、クライアント端末１０がリモート接続する、ブレード型のコンピュータや、メタフレームなどサーバ型のコンピュータである。認証サーバ２と同様に、入力部５２と出力部５３と、ハードディスクやメモリ等の記憶部５４、ネットワーク１を通じてクライアント端末１０、及び認証サーバ２と情報を送受する通信部５５と、業務データベース５０を制御するＤＢ制御部５６と、各部の情報送受制御及び業務処理を制御する制御部５１とを備える。業務データベース５０には、業務処理に必要な情報である業務情報データベース５０１と、業務アプリケーションプログラム類５０２と、上記ユーザの利用区分に対応する画面制御プログラム群５０３とを備える。また、業務アプリケーションプログラム類５０２と画面制御プログラム群５０３を対応付けて格納するプログラム制御データベース６００を備える。業務サーバ５の制御部５１には、クライアント端末１０との間で通信を確立して業務に必要な情報を送受するクライアント端末接続機能５１１と、認証サーバ２から上記ユーザの利用区分と対応する画面制御プログラムを取得する制御情報取得機能５１２と、取得した情報により画面制御プログラムを選定してクライアント端末に送信する制御画面選定機能５１３と、業務アプリケーションプログラムにより業務処理を実施する業務処理機能５１４と、業務データベース５０を管理するデータベース管理機能５１５を備える。なお、業務サーバ６も同様の構成である。
【００１８】
上記データベース群の内、本発明の処理に関わるデータベースのデータ例を図５から図７に示す。図５（ａ）、図５（ｂ）は、認証情報データベース２００の構成を示す図である。図５（ａ）は正規職員テーブル、図５（ｂ）は臨時職員テーブルの例をそれぞれ示す。図５（ａ）は職員番号や氏名等の個人情報をキーとし、ＩＣカードのユーザＩＤ、生体情報と対応付けて格納している。なおセキュリティ強度がやや低くとも差し支えない場合は、生体情報の代わりにパスワード等の情報を用いても良い。図５（ｂ）は臨時職員が短期に多数入れ替わることを想定し、個人情報でなく貸与したキーモバイル識別情報をキーとしてモバイル内の暗号情報、パスワードと対応付けて格納し、この情報は固定しておく。臨時職員採用時に貸与したキーモバイルＩＤに対応するレコードの使用期限（契約期限）、氏名等の情報を更新する。キーモバイル返却時に、別に設置する臨時職員履歴テーブルにデータを移行（臨時職員の利用履歴を保存）した上で、期限、氏名情報を削除する。なお、上記データベースの更新処理は認証サーバ２に直接接続された操作端末にて管理者権限を持つ正規職員により臨時職員の採用の都度更新を行う形式を想定している。
【００１９】
図６は、利用者区分情報データベース３００の構成を示す図である。ユーザ名の項目には、正規職員の場合はユーザ名（ユーザ個人情報）が入り、臨時職員の場合はモバイルＩＤが入る。この情報は正規職員の異動については更新するが、臨時職員の場合は契約した業務に適応するキーモバイルを貸与するのでこの情報は固定的である。各ユーザに対応する利用者区分が紐付けられたデータベースとなっている。なお、認証情報データベース２００のように、正規職員の利用区分情報と臨時職員の利用区分情報を別テーブルで保持しても良い。
【００２０】
図７は、ユーザ環境情報データベース４００の構成を示す図である。利用者区分情報データベース３００の区分に対応付けて、クライアント端末１０が接続する業務サーバと画面制御情報および他の制限項目を格納する。ここではこの情報を認証サーバ２で保持し、対応する画面制御プログラムの指定と他の制御情報を業務サーバ５に送信してクライアント端末１０への処理制御を実施することとするが、この情報を各業務サーバ５、６で保持し、認証サーバ２から利用者区分コードのみを送信して制御する方式としても良い。
【００２１】
図８は、プログラム制御データベース６００の構成を示す図である。業務アプリケーションプログラム類５０２と画面制御プログラム群５０３を対応付けた情報を格納する。この情報は業務サーバ５上で保持されている。
【００２２】
図９は、操作履歴データベース５００の構成を示すである。
【００２３】
次に図１０により、本発明の情報の外部出力制御方法における処理の流れを説明する。
【００２４】
ユーザが正規職員の場合、可搬媒体はＩＣカードである。クライアント端末１０の認証装置１１０のＩＣカードインタフェース１１２が、ＩＣカードからＩＣカード情報（図５のユーザ個人情報、ユーザＩＤ）を取得し、次いで生体認証インタフェース１１３がＩＣカードからユーザの生体情報を取得する。ユーザが臨時職員の場合、可搬媒体はキーモバイルであり、クライアント端末１０の認証装置１１０のキーモバイルインタフェース１１１がキーモバイル中の暗号情報を取得し、次いでクライアント端末１０の入力装置１１４からのユーザのパスワード入力操作によりパスワードを取得する。（ステップ１００１）
クライアント端末１０は入力部１１が取得した認証装置１１０から取得した情報を通信部１４によりネットワーク１を通して認証サーバ２に送信する（ステップ１００２）。この時送信する情報は、インタフェース識別情報と取得した認証情報を対応付けた情報であり、認証サーバ２の制御部２１のユーザ認証機能２１１は、クライアント端末のインタフェースがＩＣカードインタフェース１１２である時はＤＢ制御部２６を通して認証情報ＤＢ２００の図５（ａ）の正規職員テーブルにアクセスし、キーモバイルインタフェース１１１である時は図５（ｂ）の臨時職員テーブルにアクセスして認証可否を判定する（ステップ１００３）。なお、インターフェイス識別情報は、ＩＣカードおよびキーモバイル内に情報を内蔵しているものとする。認証可否は、クライアント端末から送信された情報のうち、図５（ａ）の正規職員テーブルの場合、ユーザＩＤ、認証情報と一致するか否かを判定し、図５（ｂ）の臨時職員テーブルの場合、媒体情報、認証情報と一致するか否かを判定する。テーブルの認証情報と送信された情報が不適合の場合、ユーザ認証機能２１１は、通信部２５によりアクセス不可通知をクライアント端末１０に送信する（ステップ１００４）。
【００２５】
ステップ１００３においてユーザ認証が適合の場合、ユーザ環境取得機能２１２は、ＤＢ制御部２６を通して利用者区分情報ＤＢ３００にアクセスし認証したユーザに対応する利用者区分を取得し、ユーザ環境情報ＤＢ４００にアクセスし、利用者区分に対応する
業務サーバ名、デバイス制限情報、画面制御情報を取得し、クライアント端末識別情報（ユーザ名）と対応付けて、業務制御情報送信機能２１３により対応する業務サーバ５へ送信する（ステップ１００５）。
ここで、接続される業務サーバは各利用者区分により固定されるものとする。
【００２６】
業務サーバ５は通信部５５を通して制御部５１の制御情報取得機能５１２により上記情報を取得して、ＤＢ制御画面選定機能５１３によりＤＢ制御部５６を通して対応する上記画面制御情報により画面制御プログラム５０３から画面制御プログラムを抽出し（ステップ１００６）、クライアント端末接続機能５１１によりクライアント端末１０との接続を確立し、画面制御プログラムを起動してクライアント端末１０に画面情報を送信する（ステップ１００７）。クライアント端末１０の出力部１３を通してディスプレイ１４０に表示された画面情報は、業務に必要なデータ入力ＢＯＸ、処理ボタン等を有し、利用者区分に応じた処理しかできないよう画面制御プログラムにて制限されている。以降の業務処理は、業務サーバ５の業務処理機能５１４により、図８のプログラム制御ＤＢ６００によって対応付けられた業務アプリケーションプログラムを起動して実行される（ステップ２００１）。
【００２７】
次に、ユーザの作業履歴を自動的に監視する処理を説明する。ここでは上記ステップ１００５において、業務サーバ５のクライアント端末接続機能５１１は、認証サーバ２を経由してクライアント端末１０と情報を送受する接続ルートを設定することとする。
クライアント端末１０から業務サーバ５へ送信される情報を認証サーバ２の操作履歴監視機能２１５が取得し、ステップ１００３で取得した正規職員におけるユーザ情報、あるいは臨時職員におけるモバイルＩＤ情報と対応付けて操作履歴データベース５００に格納する（ステップ２００２）。業務サーバ５からクライアント端末１０への送信情報は、認証サーバ２を経由し送信される（ステップ２００３）。この処理を接続が終了するまで繰り返し、一連の操作履歴ログを取得して認証サーバ２の操作履歴データベース５００に格納する。
次に、特定属性のユーザの作業履歴を自動的に監視する処理において、外部媒体へのデータ出力を制限する方法について説明する。上記ステップ１００５において、操作履歴監視機能２１５はステップ２００２の操作履歴格納において、業務サーバ５への送信情報が外部出力要求であるか否かを監視し、クライアント端末１０から外部出力要求があった場合（ステップ３００１）、認証サーバ２が保持する利用者区分をキーにユーザ環境情報ＤＢ４００にアクセスし、利用者区分に対応するデバイス制限情報を取得する（ステップ３００２）。制限情報に外部出力禁止があるか否かを判別し（ステップ３００３）、制限情報が外部出力禁止の場合、認証サーバ２は業務サーバ５に出力要求を送信せず、クライアント端末１０に外部出力不許可の旨の情報を送信する（ステップ３００４）。
外部出力制限がログ出力である場合、認証サーバ２は操作履歴格納後、外部出力要求を業務サーバ５に送信し（ステップ３００５）、業務サーバ５は外部出力装置７宛の出力許可と出力情報を認証サーバ２を経由して送信する。操作履歴監視機能２１５は外部出力要求については業務サーバ５からの出力許可を操作履歴データベース５００に格納し（ステップ３００６）、クライアント端末１０の画面に表示する注意喚起メッセージを送信する（ステップ３００７）。認証サーバ２は上記外部出力装置７宛の出力許可と出力情報を外部出力装置７に送信し（ステップ３００８）、外部出力装置７は外部データ出力を実施する（ステップ３００９）。
【００２８】
上記外部出力監視処理において、認証サーバ２はクライアント端末１０と業務サーバ５のセッション継続中、上記ステップ１００３、１００５で取得したユーザ情報、制御情報を利用者区分、制限情報とを保持し、上記ステップ３００２の処理を省略して保持情報によりステップ３００３の判別処理を実施しても良い。
【００２９】
図１１は上記ステップ３００４の処理でクライアント端末１０の画面に表示する外部出力禁止メッセージの画面表示例である。ディスプレイ装置１４０の表示画面上部に「外部出力装置への情報出力は許可されていません。操作情報として記録しています。不正な情報出力は禁止されています。」等のメッセージを表示する。
【００３０】
図１２は上記ステップ３００７の処理でクライアント端末１０の画面に表示する注意喚起メッセージの画面表示例である。ディスプレイ装置１４０の表示画面上部に「外部出力装置への情報出力を操作情報として記録しています。不正な情報出力は禁止されています。」等のメッセージを表示し、制限ユーザのデータ持ち出しを心理的に防止する。
【図面の簡単な説明】
【００３１】
【図１】情報の外部出力制御方法を実施するシステムの全体構成を示す図である。
【図２】クライアント端末１０及び認証装置１１０の構成を示す図である。
【図３】認証システム４の構成を示す図である。
【図４】業務サーバ５の構成を示す図である。
【図５】認証情報データベース２００の構成を示す図である。
【図６】利用者区分情報データベース３００の構成を示す図である。
【図７】ユーザ環境情報データベース４００の構成を示す図である。
【図８】プログラム制御データベース６００の構成を示す図である。
【図９】操作履歴データベース５００の構成を示す図。
【図１０】情報の外部出力制御方法における処理の流れを示す図である。
【図１１】メッセージの画面表示例（出力禁止）を示す図である。
【図１２】メッセージの画面表示例（注意喚起）を示す図である。
【符号の説明】
【００３２】
１…ネットワーク、２…認証サーバ，３…認証データベース、４…認証システム、５、６…業務サーバ、７…外部出力装置、１０…クライアント端末、１００…キーモバイル、１０１…ＩＣカード、１１０…認証装置
【技術分野】
【０００１】
一般業務で使用するクライアント端末の接続先サーバ環境をユーザの属性により制御する方法。
【背景技術】
【０００２】
一般業務で使用するクライアント端末の接続先サーバ制御は、通常ユーザ認証時にユーザ権限に応じて選択する制御がなされている。このユーザ権限チェックはクライアント端末のＯＳが実施しており、ＯＳの機能に依存している。また、多数のユーザ個々にサーバの接続権限を設定することはデータ管理が煩雑になるため、ユーザ権限をクライアント端末の権限と置き換えて、クライアント端末毎に接続できるサーバを設定することでサーバ選択を制限している運用も多い。この場合、クライアント端末により接続サーバが決まるので、同じクライアント端末で別の業務サーバに接続できないという問題があった。
この問題を解決する方法として、特許文献１に示す方法が提案されている。この方法ではクライアント端末とサーバの間に中継サーバを設け、クライアント端末がユーザ設定に基づき、業務グループを特定する識別子を含むヘッダ情報を付加した送信フレームを作成、送信し、中継サーバが送信フレームのヘッダ情報を判別して該当する業務のサーバを接続先とすることにより、同一クライアント端末において業務により接続先サーバを変更することが可能である。
【０００３】
【特許文献１】特開２００２−２６９０５９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
上記従来の方法により、まずクライアント端末でユーザ認証を行い、次いで業務により接続先サーバを決定する、という処理によりクライアント端末が業務に固定されない運用が可能となるが、事務処理の繁忙期のように臨時職員ユーザが多数業務に関わる場合、同じ業務内でも正規職員に許可できる作業と臨時職員に許可できる作業を分けることが望ましく、従来の方法ではサーバを選択することは可能であるが、作業内容まで選択することは不可能である。
【０００５】
また、業務上でクライアント端末に外部データ出力装置を接続してデータの引き落とし作業を行う必要がある場合があるが、臨時職員にこの作業を委託する場合、情報漏洩を防止するために人的監視だけでなくシステム的に何らかの対策手段を備える必要がある。
【０００６】
本発明の目的は、上記課題を解決し、一のクライアント端末においてユーザにより、業務により接続先サーバを変更することが可能で、かつユーザの属性により作業内容の制御が可能である情報の外部出力制御方法を提供することにある。また本発明の他の目的は、特定属性のユーザの作業履歴を自動的に監視することが可能な情報の外部出力制御方法を提供することにある。
【課題を解決するための手段】
【０００７】
上記課題を解決するために、本発明の情報の外部出力制御方法は以下のように実現する。まず前提として、ユーザの属性は正規職員と臨時職員として分類し、正規職員はシステムに予め生体情報を登録してあることとする。また、本発明で想定するクライアント端末は、生体認証機能と可搬媒体による認証機能を備え、認証情報は業務用サーバと別に設ける認証用サーバに備え、クライアント端末はネットワークを通じて認証用サーバと少なくとも１つの業務用サーバに接続することとする。
【０００８】
ユーザ認証方法は、正規職員は指紋や指静脈等の生体情報で認証し、臨時職員は予め貸与した認証媒体により認証する。臨時職員と認証媒体との対応付け情報は認証用サーバに格納し、採用時に臨時職員の個人情報や契約業務等の属性情報と対応付けて媒体中の認証情報を登録し、契約期間中保持することとする。なお、一の臨時職員の契約期間終了後、返還された認証媒体と新たに契約した臨時職員の情報を対応付けることは可能である。
【０００９】
さらに上記認証用サーバにはユーザ個人情報と対応付けてユーザ属性情報、アクセス可能な業務サーバや利用可能な処理プログラム内容であるユーザ環境情報を格納する。認証用サーバは認証時にユーザ環境情報を識別し、それに対応する業務画面を設定し、クライアント端末と許可する業務に対応する業務サーバとの接続を設定する。業務サーバには、業務アプリケーションプログラム類と業務に用いるデータベース類、及びユーザ環境に対応する業務画面情報を格納する。これにより正規職員と臨時職員が使用するクライアント端末が同一であっても業務画面が異なるため、許可されない操作を行うことができなくなる。
また認証用サーバに、上記ユーザ属性が臨時職員で、許可される業務処理に外部出力装置へのデータ出力処理が含まれる場合、臨時職員が該出力処理を実施する際に、外部出力装置の接続状況、及び操作記録情報（ログ）を記録する機能を備えることで、データ持ち出しの可能性がある作業履歴を自動的に監視することが可能となる。さらにこの処理内容を記録している旨を画面上にメッセージで表示する機能を備えることで、データ持ち出しを心理的に防止する効果がある。
【発明の効果】
【００１０】
以上、本発明の情報の外部出力制御方法によれば、ユーザの属性、業務により利用する業務画面を変えることで、許可されない操作を防止することが可能となり、同じクライアント端末において正規職員、臨時職員が適切な業務操作を行うことが可能となる。
【００１１】
また、臨時職員の外部データ出力時に操作記録情報（ログ）を記録することで、事後に持ち出し者を特定することができ、さらに画面上にメッセージを表示させることで、未然に違法行為を抑止する効果がある。
【発明を実施するための最良の形態】
【００１２】
以下、本発明の情報の外部出力制御方法における処理方法を図を用いて詳細に説明する。この実施例ではユーザは正規職員と臨時職員に分類する。クライアント端末にはシンクライアント端末を用い、正規職員は所員証等のＩＣカードと生体情報で個人認証を行い、臨時職員は契約期間のみ貸与する認証媒体であるキーモバイルにより個人認証を行うこととする。
【００１３】
図１は、本実施形態の情報の外部出力制御方法を実施するシステム全体構成を示す図である。ユーザが使用するクライアント端末１０及び認証装置１１０、ユーザの認証を行う認証サーバ２及び認証データベース３を備える認証システム４、業務アプリケーションを格納する業務サーバ５、６、プリンタ等の外部出力装置７をネットワーク１で接続する。ここでネットワークには複数のクライアント端末と業務サーバが接続しているが、一つのクライアント端末１０に着目して説明することとする。
【００１４】
図２は、クライアント端末１０及び認証装置１１０の構成を示す図である。認証装置１１０はキーモバイルインタフェース１１１、ＩＣカードインタフェース１１２、生体認証インタフェース１１３を備え、それぞれのインタフェースにより認証媒体の情報を取得して、クライアント端末１０に送信する。クライアント端末１０は、上記インタフェースから受信した情報、及びキーボード等の入力装置１１４から取得した情報を取得する入力部１１と、ネットワーク１を通じてサーバと情報を送受する通信部１４と、サーバから取得した情報をディスプレイ１４０等に出力する出力部１３と、各部間の情報送受を制御する制御部１２とを備える。ここで使用するクライアント端末１０はハードディスクを持たないシンクライアント端末を想定しているのでクライアント端末１０には記憶部が無く、必要に応じて出力部１３に外部機器を接続して情報を出力することとする。
【００１５】
図３は、認証システム４の構成を示す図である。認証サーバ２は入力部２２と出力部２３と、ハードディスクやメモリ等の記憶部２４、ネットワーク１を通じてクライアント端末１０、及び業務サーバ５、６と情報を送受する通信部２５と、認証データベース３を制御するＤＢ制御部２６と、各部の情報送受制御及び認証処理を制御する制御部２１とを備える。認証データベース３には、正規職員のＩＣカード情報及び生体認証情報、及び臨時職員のキーモバイル情報を格納する認証情報データベース２００と、ユーザ毎の属性を利用者区分として格納する利用者区分情報データベース３００と、利用者区分とアクセスする業務サーバ及び画面制御プログラムを対応付けて格納するユーザ環境情報データベース４００と、操作履歴ログをクライアント端末識別情報、ユーザ情報と対応付けて格納する操作履歴データベース５００を備える。
【００１６】
認証サーバ２の制御部２１には、認証情報データベース２００の情報によりユーザを認証するユーザ認証機能２１１と、ユーザの利用区分を識別しクライアント端末１０を該当する業務サーバに接続するユーザ環境取得機能２１２と、業務サーバ５にユーザの利用区分と対応する画面制御プログラムを通知する業務制御情報送信機能２１３と、各データベースへの情報登録・更新を行うデータベース管理機能２１４と、特定区分ユーザの操作履歴ログを取得し、外部出力可否を制御する操作履歴監視機能２１５とを備える。
【００１７】
図４は、業務サーバ５の構成を示す図である。業務サーバは、クライアント端末１０がリモート接続する、ブレード型のコンピュータや、メタフレームなどサーバ型のコンピュータである。認証サーバ２と同様に、入力部５２と出力部５３と、ハードディスクやメモリ等の記憶部５４、ネットワーク１を通じてクライアント端末１０、及び認証サーバ２と情報を送受する通信部５５と、業務データベース５０を制御するＤＢ制御部５６と、各部の情報送受制御及び業務処理を制御する制御部５１とを備える。業務データベース５０には、業務処理に必要な情報である業務情報データベース５０１と、業務アプリケーションプログラム類５０２と、上記ユーザの利用区分に対応する画面制御プログラム群５０３とを備える。また、業務アプリケーションプログラム類５０２と画面制御プログラム群５０３を対応付けて格納するプログラム制御データベース６００を備える。業務サーバ５の制御部５１には、クライアント端末１０との間で通信を確立して業務に必要な情報を送受するクライアント端末接続機能５１１と、認証サーバ２から上記ユーザの利用区分と対応する画面制御プログラムを取得する制御情報取得機能５１２と、取得した情報により画面制御プログラムを選定してクライアント端末に送信する制御画面選定機能５１３と、業務アプリケーションプログラムにより業務処理を実施する業務処理機能５１４と、業務データベース５０を管理するデータベース管理機能５１５を備える。なお、業務サーバ６も同様の構成である。
【００１８】
上記データベース群の内、本発明の処理に関わるデータベースのデータ例を図５から図７に示す。図５（ａ）、図５（ｂ）は、認証情報データベース２００の構成を示す図である。図５（ａ）は正規職員テーブル、図５（ｂ）は臨時職員テーブルの例をそれぞれ示す。図５（ａ）は職員番号や氏名等の個人情報をキーとし、ＩＣカードのユーザＩＤ、生体情報と対応付けて格納している。なおセキュリティ強度がやや低くとも差し支えない場合は、生体情報の代わりにパスワード等の情報を用いても良い。図５（ｂ）は臨時職員が短期に多数入れ替わることを想定し、個人情報でなく貸与したキーモバイル識別情報をキーとしてモバイル内の暗号情報、パスワードと対応付けて格納し、この情報は固定しておく。臨時職員採用時に貸与したキーモバイルＩＤに対応するレコードの使用期限（契約期限）、氏名等の情報を更新する。キーモバイル返却時に、別に設置する臨時職員履歴テーブルにデータを移行（臨時職員の利用履歴を保存）した上で、期限、氏名情報を削除する。なお、上記データベースの更新処理は認証サーバ２に直接接続された操作端末にて管理者権限を持つ正規職員により臨時職員の採用の都度更新を行う形式を想定している。
【００１９】
図６は、利用者区分情報データベース３００の構成を示す図である。ユーザ名の項目には、正規職員の場合はユーザ名（ユーザ個人情報）が入り、臨時職員の場合はモバイルＩＤが入る。この情報は正規職員の異動については更新するが、臨時職員の場合は契約した業務に適応するキーモバイルを貸与するのでこの情報は固定的である。各ユーザに対応する利用者区分が紐付けられたデータベースとなっている。なお、認証情報データベース２００のように、正規職員の利用区分情報と臨時職員の利用区分情報を別テーブルで保持しても良い。
【００２０】
図７は、ユーザ環境情報データベース４００の構成を示す図である。利用者区分情報データベース３００の区分に対応付けて、クライアント端末１０が接続する業務サーバと画面制御情報および他の制限項目を格納する。ここではこの情報を認証サーバ２で保持し、対応する画面制御プログラムの指定と他の制御情報を業務サーバ５に送信してクライアント端末１０への処理制御を実施することとするが、この情報を各業務サーバ５、６で保持し、認証サーバ２から利用者区分コードのみを送信して制御する方式としても良い。
【００２１】
図８は、プログラム制御データベース６００の構成を示す図である。業務アプリケーションプログラム類５０２と画面制御プログラム群５０３を対応付けた情報を格納する。この情報は業務サーバ５上で保持されている。
【００２２】
図９は、操作履歴データベース５００の構成を示すである。
【００２３】
次に図１０により、本発明の情報の外部出力制御方法における処理の流れを説明する。
【００２４】
ユーザが正規職員の場合、可搬媒体はＩＣカードである。クライアント端末１０の認証装置１１０のＩＣカードインタフェース１１２が、ＩＣカードからＩＣカード情報（図５のユーザ個人情報、ユーザＩＤ）を取得し、次いで生体認証インタフェース１１３がＩＣカードからユーザの生体情報を取得する。ユーザが臨時職員の場合、可搬媒体はキーモバイルであり、クライアント端末１０の認証装置１１０のキーモバイルインタフェース１１１がキーモバイル中の暗号情報を取得し、次いでクライアント端末１０の入力装置１１４からのユーザのパスワード入力操作によりパスワードを取得する。（ステップ１００１）
クライアント端末１０は入力部１１が取得した認証装置１１０から取得した情報を通信部１４によりネットワーク１を通して認証サーバ２に送信する（ステップ１００２）。この時送信する情報は、インタフェース識別情報と取得した認証情報を対応付けた情報であり、認証サーバ２の制御部２１のユーザ認証機能２１１は、クライアント端末のインタフェースがＩＣカードインタフェース１１２である時はＤＢ制御部２６を通して認証情報ＤＢ２００の図５（ａ）の正規職員テーブルにアクセスし、キーモバイルインタフェース１１１である時は図５（ｂ）の臨時職員テーブルにアクセスして認証可否を判定する（ステップ１００３）。なお、インターフェイス識別情報は、ＩＣカードおよびキーモバイル内に情報を内蔵しているものとする。認証可否は、クライアント端末から送信された情報のうち、図５（ａ）の正規職員テーブルの場合、ユーザＩＤ、認証情報と一致するか否かを判定し、図５（ｂ）の臨時職員テーブルの場合、媒体情報、認証情報と一致するか否かを判定する。テーブルの認証情報と送信された情報が不適合の場合、ユーザ認証機能２１１は、通信部２５によりアクセス不可通知をクライアント端末１０に送信する（ステップ１００４）。
【００２５】
ステップ１００３においてユーザ認証が適合の場合、ユーザ環境取得機能２１２は、ＤＢ制御部２６を通して利用者区分情報ＤＢ３００にアクセスし認証したユーザに対応する利用者区分を取得し、ユーザ環境情報ＤＢ４００にアクセスし、利用者区分に対応する
業務サーバ名、デバイス制限情報、画面制御情報を取得し、クライアント端末識別情報（ユーザ名）と対応付けて、業務制御情報送信機能２１３により対応する業務サーバ５へ送信する（ステップ１００５）。
ここで、接続される業務サーバは各利用者区分により固定されるものとする。
【００２６】
業務サーバ５は通信部５５を通して制御部５１の制御情報取得機能５１２により上記情報を取得して、ＤＢ制御画面選定機能５１３によりＤＢ制御部５６を通して対応する上記画面制御情報により画面制御プログラム５０３から画面制御プログラムを抽出し（ステップ１００６）、クライアント端末接続機能５１１によりクライアント端末１０との接続を確立し、画面制御プログラムを起動してクライアント端末１０に画面情報を送信する（ステップ１００７）。クライアント端末１０の出力部１３を通してディスプレイ１４０に表示された画面情報は、業務に必要なデータ入力ＢＯＸ、処理ボタン等を有し、利用者区分に応じた処理しかできないよう画面制御プログラムにて制限されている。以降の業務処理は、業務サーバ５の業務処理機能５１４により、図８のプログラム制御ＤＢ６００によって対応付けられた業務アプリケーションプログラムを起動して実行される（ステップ２００１）。
【００２７】
次に、ユーザの作業履歴を自動的に監視する処理を説明する。ここでは上記ステップ１００５において、業務サーバ５のクライアント端末接続機能５１１は、認証サーバ２を経由してクライアント端末１０と情報を送受する接続ルートを設定することとする。
クライアント端末１０から業務サーバ５へ送信される情報を認証サーバ２の操作履歴監視機能２１５が取得し、ステップ１００３で取得した正規職員におけるユーザ情報、あるいは臨時職員におけるモバイルＩＤ情報と対応付けて操作履歴データベース５００に格納する（ステップ２００２）。業務サーバ５からクライアント端末１０への送信情報は、認証サーバ２を経由し送信される（ステップ２００３）。この処理を接続が終了するまで繰り返し、一連の操作履歴ログを取得して認証サーバ２の操作履歴データベース５００に格納する。
次に、特定属性のユーザの作業履歴を自動的に監視する処理において、外部媒体へのデータ出力を制限する方法について説明する。上記ステップ１００５において、操作履歴監視機能２１５はステップ２００２の操作履歴格納において、業務サーバ５への送信情報が外部出力要求であるか否かを監視し、クライアント端末１０から外部出力要求があった場合（ステップ３００１）、認証サーバ２が保持する利用者区分をキーにユーザ環境情報ＤＢ４００にアクセスし、利用者区分に対応するデバイス制限情報を取得する（ステップ３００２）。制限情報に外部出力禁止があるか否かを判別し（ステップ３００３）、制限情報が外部出力禁止の場合、認証サーバ２は業務サーバ５に出力要求を送信せず、クライアント端末１０に外部出力不許可の旨の情報を送信する（ステップ３００４）。
外部出力制限がログ出力である場合、認証サーバ２は操作履歴格納後、外部出力要求を業務サーバ５に送信し（ステップ３００５）、業務サーバ５は外部出力装置７宛の出力許可と出力情報を認証サーバ２を経由して送信する。操作履歴監視機能２１５は外部出力要求については業務サーバ５からの出力許可を操作履歴データベース５００に格納し（ステップ３００６）、クライアント端末１０の画面に表示する注意喚起メッセージを送信する（ステップ３００７）。認証サーバ２は上記外部出力装置７宛の出力許可と出力情報を外部出力装置７に送信し（ステップ３００８）、外部出力装置７は外部データ出力を実施する（ステップ３００９）。
【００２８】
上記外部出力監視処理において、認証サーバ２はクライアント端末１０と業務サーバ５のセッション継続中、上記ステップ１００３、１００５で取得したユーザ情報、制御情報を利用者区分、制限情報とを保持し、上記ステップ３００２の処理を省略して保持情報によりステップ３００３の判別処理を実施しても良い。
【００２９】
図１１は上記ステップ３００４の処理でクライアント端末１０の画面に表示する外部出力禁止メッセージの画面表示例である。ディスプレイ装置１４０の表示画面上部に「外部出力装置への情報出力は許可されていません。操作情報として記録しています。不正な情報出力は禁止されています。」等のメッセージを表示する。
【００３０】
図１２は上記ステップ３００７の処理でクライアント端末１０の画面に表示する注意喚起メッセージの画面表示例である。ディスプレイ装置１４０の表示画面上部に「外部出力装置への情報出力を操作情報として記録しています。不正な情報出力は禁止されています。」等のメッセージを表示し、制限ユーザのデータ持ち出しを心理的に防止する。
【図面の簡単な説明】
【００３１】
【図１】情報の外部出力制御方法を実施するシステムの全体構成を示す図である。
【図２】クライアント端末１０及び認証装置１１０の構成を示す図である。
【図３】認証システム４の構成を示す図である。
【図４】業務サーバ５の構成を示す図である。
【図５】認証情報データベース２００の構成を示す図である。
【図６】利用者区分情報データベース３００の構成を示す図である。
【図７】ユーザ環境情報データベース４００の構成を示す図である。
【図８】プログラム制御データベース６００の構成を示す図である。
【図９】操作履歴データベース５００の構成を示す図。
【図１０】情報の外部出力制御方法における処理の流れを示す図である。
【図１１】メッセージの画面表示例（出力禁止）を示す図である。
【図１２】メッセージの画面表示例（注意喚起）を示す図である。
【符号の説明】
【００３２】
１…ネットワーク、２…認証サーバ，３…認証データベース、４…認証システム、５、６…業務サーバ、７…外部出力装置、１０…クライアント端末、１００…キーモバイル、１０１…ＩＣカード、１１０…認証装置
【特許請求の範囲】
【請求項１】
複数のコンピュータがネットワークを介して接続されて構成されたシステムにおける、情報の外部出力制御方法であって、
第１のコンピュータは、認証情報を前記ネットワークを介して第２のコンピュータに送信し、第３のコンピュータから画面情報を受信して表示手段に表示し、情報の外部出力要求を前記ネットワークを介して前記第２のコンピュータに送信し、
第２のコンピュータは、前記第１のコンピュータから前記認証情報を受信すると、該認証情報と第１の記憶手段に記憶されている利用者区分情報に基づいて利用者の区分を判定し、第２の記憶手段を参照して前記判定した利用者区分情報に該当する画面制御情報を読み出し、該画面制御情報を前記ネットワークを介して前記第３のコンピュータに送信し、前記第１のコンピュータから前記ネットワークを介して前記情報の外部出力要求を受信すると、前記利用者区分情報と前記第２の記憶手段に記憶されているでデバイス制限情報に基づいて前記情報の外部への出力を制御し、
前記第３のコンピュータは、前記第２のコンピュータから前記画面制御情報を受信すると、該画面制御情報に基づいて画面情報を生成し、該画面情報を前記ネットワークを介して前記第１のコンピュータに送信する
ことを特徴とする情報の外部出力制御方法。
【請求項２】
前記第２のコンピュータは、前記デバイス制限情報が外部出力禁止を表す情報である場合、外部出力禁止を表す情報を前記ネットワークを介して前記第１のコンピュータに送信すること
を特徴とする請求項１に記載の情報の外部出力制御方法。
【請求項３】
前記第２のコンピュータは、前記デバイス制限情報がログ出力を表す情報である場合、前記第１のコンピュータからのユーザの操作履歴情報を第４の記憶手段に記憶し、前記第１のコンピュータからの前記外部出力要求を前記ネットワークを介して前記第３のコンピュータに送信し、前記第３のコンピュータからの出力許可を表す情報と出力情報を前記ネットワークを介して前記第１のコンピュータに送信し、
前記第３のコンピュータは、前記第２のコンピュータから前記ネットワークを介して前記外部出力要求を受信すると、前記出力許可を表す情報と前記出力情報を前記第２のコンピュータに送信する
ことを特徴とする請求項１に記載の情報の外部出力制御方法。
【請求項１】
複数のコンピュータがネットワークを介して接続されて構成されたシステムにおける、情報の外部出力制御方法であって、
第１のコンピュータは、認証情報を前記ネットワークを介して第２のコンピュータに送信し、第３のコンピュータから画面情報を受信して表示手段に表示し、情報の外部出力要求を前記ネットワークを介して前記第２のコンピュータに送信し、
第２のコンピュータは、前記第１のコンピュータから前記認証情報を受信すると、該認証情報と第１の記憶手段に記憶されている利用者区分情報に基づいて利用者の区分を判定し、第２の記憶手段を参照して前記判定した利用者区分情報に該当する画面制御情報を読み出し、該画面制御情報を前記ネットワークを介して前記第３のコンピュータに送信し、前記第１のコンピュータから前記ネットワークを介して前記情報の外部出力要求を受信すると、前記利用者区分情報と前記第２の記憶手段に記憶されているでデバイス制限情報に基づいて前記情報の外部への出力を制御し、
前記第３のコンピュータは、前記第２のコンピュータから前記画面制御情報を受信すると、該画面制御情報に基づいて画面情報を生成し、該画面情報を前記ネットワークを介して前記第１のコンピュータに送信する
ことを特徴とする情報の外部出力制御方法。
【請求項２】
前記第２のコンピュータは、前記デバイス制限情報が外部出力禁止を表す情報である場合、外部出力禁止を表す情報を前記ネットワークを介して前記第１のコンピュータに送信すること
を特徴とする請求項１に記載の情報の外部出力制御方法。
【請求項３】
前記第２のコンピュータは、前記デバイス制限情報がログ出力を表す情報である場合、前記第１のコンピュータからのユーザの操作履歴情報を第４の記憶手段に記憶し、前記第１のコンピュータからの前記外部出力要求を前記ネットワークを介して前記第３のコンピュータに送信し、前記第３のコンピュータからの出力許可を表す情報と出力情報を前記ネットワークを介して前記第１のコンピュータに送信し、
前記第３のコンピュータは、前記第２のコンピュータから前記ネットワークを介して前記外部出力要求を受信すると、前記出力許可を表す情報と前記出力情報を前記第２のコンピュータに送信する
ことを特徴とする請求項１に記載の情報の外部出力制御方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【公開番号】特開２００８−１８１４３７（Ｐ２００８−１８１４３７Ａ）
【公開日】平成２０年８月７日（２００８．８．７）
【国際特許分類】
【出願番号】特願２００７−１５７５１（Ｐ２００７−１５７５１）
【出願日】平成１９年１月２６日（２００７．１．２６）
【出願人】（０００００５１０８）株式会社日立製作所 (27,607)
【Ｆターム（参考）】
【公開日】平成２０年８月７日（２００８．８．７）
【国際特許分類】
【出願日】平成１９年１月２６日（２００７．１．２６）
【出願人】（０００００５１０８）株式会社日立製作所 (27,607)
【Ｆターム（参考）】
[ Back to top ]