情報システム設定装置、情報システム設定方法及びプログラム
【課題】 情報セキュリティポリシーに従ったシステム設定を、クライアント端末の種類を含めた利用者の環境に合わせて動的に実行可能にする。
【解決手段】 ポリシー決定処理部１６３は、利用者情報取得処理部１６１がクライアント端末からのアクセス情報や利用者管理装置にて管理される情報から取得した利用者属性情報や、クライアントプロパティ情報取得処理部１６０がクライアント端末から送られる情報や利用者管理装置にて管理される情報から取得したクライアントプロパティ情報、あるいは、情報システムにて実行すべき処理の内容などから、情報システムの設定を行うために必要となるポリシー情報を決定する。システム設定作成処理部１５２は、ポリシー判断処理部１５１の各構成より提供された情報から、情報システムを構成する各機器の設定内容を示す機器設定情報を作成する。
【解決手段】 ポリシー決定処理部１６３は、利用者情報取得処理部１６１がクライアント端末からのアクセス情報や利用者管理装置にて管理される情報から取得した利用者属性情報や、クライアントプロパティ情報取得処理部１６０がクライアント端末から送られる情報や利用者管理装置にて管理される情報から取得したクライアントプロパティ情報、あるいは、情報システムにて実行すべき処理の内容などから、情報システムの設定を行うために必要となるポリシー情報を決定する。システム設定作成処理部１５２は、ポリシー判断処理部１５１の各構成より提供された情報から、情報システムを構成する各機器の設定内容を示す機器設定情報を作成する。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、情報セキュリティポリシーに従った情報システムの設定を行う情報システム設定装置などに関する。
【背景技術】
【０００２】
特別な専門知識を必要とすることなく、情報システムにおけるセキュリティの状態を管理可能にする様々な技術が提案されている。例えば、ドキュメントに対するセキュリティポリシーを所定の記述形式に従って電子的に記述することにより、情報システム全体に一貫したセキュリティポリシーを共有させ、例えばドキュメントのタイプ（カテゴリ、レベル）に応じて、どのようなユーザタイプ（カテゴリ、レベル）がドキュメントに対してどのようなオペレーションが可能なのか、オペレーションが可能な場合にはどのような要件を満たさなければならないかといった事項を、明確に記述できるようにしたシステムが提案されている（例えば特許文献１）。
【特許文献１】特開２００４−１０２９０７号公報
【０００３】
また、アクセス制御を行うときに取得する情報を利用してアクセス制御ポリシーを作成し、そのアクセス制御ポリシーに基づいてファイルアクセス要求の正当性を判定することで、アクセス制御ポリシーを自動的に設定可能とし、特別な知識を有していなくても構築可能なアクセス制御システムが提案されている（例えば特許文献２）。
【特許文献２】特開２００３−６０２７号公報
【０００４】
さらに、被管理対象システムのセキュリティ状態を情報セキュリティポリシーに整合するように制御する管理部や、被管理対象システムの情報セキュリティポリシーに関わるセキュリティの状態を監査する監査部を、複数用意して、抽出した管理部に対応する被管理対象システムのセキュリティ状態を対応する情報セキュリティポリシーに整合するように変更させたり、抽出した監査部に対応する被管理対象システムの情報セキュリティポリシーに関わるセキュリティ状態を監査するシステムが提案されている（例えば特許文献３）。
【特許文献３】特開２００２−２４７０３３号公報
【０００５】
加えて、 複数のセキュリティポリシーを格納しておき、例えばモバイル機器といった情報処理装置がＬＡＮに接続されているかどうかといった、モバイル機器の動作の環境または状況に従ったセキュリティポリシーを選択して、情報処理装置の安全性を判定するシステムが提案されている（例えば特許文献４）。
【特許文献４】特開２００４−２６５２８６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
特許文献１に記載の技術はドキュメントに対するオペレーションでの安全性を確保するためのものであり、特許文献２に記載の技術はファイルアクセスにおける安全性を確保するためのものである。特許文献３に記載の技術では、操作者が選択した情報セキュリティポリシーに対して抽出されたセキュリティ管理プログラムを起動するだけである。このように、特許文献１乃至３に記載の技術では、セキュリティポリシーを設定可能な対象が限定されたり、アクセス要求を行うクライアント端末の種類や環境に応じたセキュリティポリシーに従って柔軟にシステム設定を行うことが困難であるなどの問題があった。
【０００７】
また、特許文献４に記載の技術では、情報処理装置が置かれている環境（例えばオフィス内ＬＡＮでの接続であるか、オフィス外ネットワークでの接続であるかなど）に従ったセキュリティポリシーを選択することは可能であるが、情報処理端末の種類（例えばノートパソコンであるか、ＰＤＡであるか、携帯電話機であるかなど）に応じたセキュリティポリシーに従ってシステム設定を行うことはできなかった。
【０００８】
情報処理技術の進展に伴い、情報システムにアクセス可能なクライアント端末となる情報処理装置が多様化している。そして、情報システムにアクセスする利用者が同一であっても、クライアント端末となる情報処理装置が異なれば、情報管理の安全性も異なるものとなる。そのため、クライアント端末となる情報処理装置に応じたセキュリティポリシーに従って柔軟なシステム設定を行う必要性が高まっている。また、情報システムにアクセスする利用者の所属部署や役職等といった利用者の属性に応じて、アクセス可能な情報資源を変更可能に設定することが望まれている。
【０００９】
この発明は、上記実状に鑑みてなされたものであり、情報セキュリティポリシーに従ったシステム設定を、クライアント端末の種類を含めた利用者の環境に合わせて動的に行うことができる情報セキュリティポリシー管理システムなどを提供することを目的とする。
【課題を解決するための手段】
【００１０】
上記目的を達成するため、この発明の第１の観点に係る情報システム設定装置は、
情報セキュリティポリシーに従った情報システムの設定を行う情報システム設定装置であって、
情報セキュリティポリシーを記述したポリシー情報を格納するポリシー管理データベースと、
利用者の属性情報を取得する属性情報取得手段と、
前記情報システムに対するアクセス要求を発信した端末装置のプロパティ情報を取得する端末プロパティ情報取得手段と、
前記情報システムを構成する各機器のプロパティ情報を取得するシステムプロパティ情報取得手段と、
前記属性情報取得手段により取得した属性情報と前記端末プロパティ情報取得手段により取得した端末装置のプロパティ情報とに基づいて、前記ポリシー管理データベースに格納されたポリシー情報を読み出すポリシー情報読出手段と、
少なくとも前記ポリシー情報読出手段により読み出されたポリシー情報と前記システムプロパティ情報取得手段により取得したシステムプロパティ情報とに基づいて、前記情報システムの設定情報を作成することにより、前記情報システムの設定を行う設定制御手段とを備える、
ことを特徴とする。
【００１１】
この構成によれば、ポリシー情報読出手段が、属性情報取得手段により取得した属性情報と端末プロパティ情報取得手段により取得した端末装置のプロパティ情報とに基づいて、ポリシー管理データベースに格納されたポリシー情報を読み出す。そして、設定制御手段が、ポリシー情報読出手段により読み出されたポリシー情報とシステムプロパティ情報取得手段により取得したシステムプロパティ情報とに基づいて、情報システムの設定を行うことができる。
これにより、情報システムに対するアクセス要求を発信した端末装置のプロパティ情報や利用者の属性情報に対応する情報セキュリティポリシーに従った情報システムの設定が可能になり、端末装置の種類を含めた環境に応じた情報セキュリティポリシーに従って、情報システムの設定を柔軟に行うことができる。
【００１２】
前記ポリシー管理データベースは、前記情報システムの構成とは独立した情報セキュリティポリシーを記述したメインポリシー情報と、前記メインポリシー情報にて参照されて前記情報システムの設定に関する条件または動作ルールを記述したサブポリシー情報を、前記ポリシー情報として格納してもよい。
【００１３】
前記ポリシー情報読出手段が前記ポリシー管理データベースから読み出したポリシー情報を解析して、当該ポリシー情報の関連情報を取得する関連情報取得手段を備え、
前記設定制御手段は、前記関連情報取得手段により取得した関連情報に基づいて、前記情報システムの設定を行うことが望ましい。
【００１４】
前記ポリシー情報読出手段は、前記端末プロパティ情報取得手段により取得した端末装置のプロパティ情報に基づいて、前記ポリシー管理データベースから読み出すポリシー情報を決定する手段を含んでもよい。
【００１５】
上記目的を達成するため、この発明の第２の観点に係る情報システム設定方法は、
情報セキュリティポリシーに従った情報システムの設定を行うコンピュータによる情報システム設定方法であって、
情報セキュリティポリシーを記述したポリシー情報をポリシー管理データベースに格納するポリシー情報格納ステップと、
利用者の属性情報を取得する属性情報取得ステップと、
前記情報システムに対するアクセス要求を発信した端末装置のプロパティ情報を取得する端末プロパティ情報取得ステップと、
前記情報システムを構成する各機器のプロパティ情報を取得するシステムプロパティ情報取得ステップと、
前記属性情報取得ステップにて取得した属性情報と前記端末プロパティ情報取得ステップにて取得した端末装置のプロパティ情報とに基づいて、前記ポリシー管理データベースに格納されたポリシー情報を読み出すポリシー情報読出ステップと、
少なくとも前記ポリシー情報読出ステップにて読み出したポリシー情報と前記システムプロパティ情報取得ステップにて取得したシステムプロパティ情報とに基づいて、前記情報システムの設定情報を作成することにより、前記情報システムの設定を行う設定制御ステップとを備える、
ことを特徴とする。
【００１６】
前記ポリシー情報読出ステップにて読み出したポリシー情報を解析して、当該ポリシー情報の関連情報を取得する関連情報取得ステップを備え、
前記設定制御ステップは、前記関連情報取得ステップにて取得した関連情報に基づいて、前記情報システムの設定を行うことが望ましい。
【００１７】
上記目的を達成するため、この発明の第３の観点に係るプログラムは、
情報セキュリティポリシーに従った情報システムの設定を行うコンピュータに、
情報セキュリティポリシーを記述したポリシー情報をポリシー管理データベースに格納するポリシー情報格納処理と、
利用者の属性情報を取得する属性情報取得処理と、
前記情報システムに対するアクセス要求を発信した端末装置のプロパティ情報を取得する端末プロパティ情報取得処理と、
前記情報システムを構成する各機器のプロパティ情報を取得するシステムプロパティ情報取得処理と、
前記属性情報取得処理にて取得した属性情報と前記端末プロパティ情報取得処理にて取得した端末装置のプロパティ情報とに基づいて、前記ポリシー管理データベースに格納されたポリシー情報を読み出すポリシー情報読出処理と、
少なくとも前記ポリシー情報読出処理にて読み出したポリシー情報と前記システムプロパティ情報取得処理にて取得したシステムプロパティ情報とに基づいて、前記情報システムの設定情報を作成することにより、前記情報システムの設定を行う設定制御処理と、
を実行させる。
【００１８】
また、前記コンピュータに、
前記ポリシー情報読出処理にて読み出したポリシー情報を解析して、当該ポリシー情報の関連情報を取得する関連情報取得処理をさらに実行させ、
前記設定制御処理では、前記関連情報取得処理にて取得した関連情報に基づいて、前記情報システムの設定を行うことが望ましい。
【発明の効果】
【００１９】
この発明によれば、情報セキュリティポリシーに従ったシステム設定を、情報システムに対するアクセス要求を発信した端末装置の種類を含めた利用者の環境に合わせて柔軟に行うことができる。
【発明を実施するための最良の形態】
【００２０】
以下に、この発明の実施の形態に係るポリシー管理装置１００について説明する。図１には、ポリシー管理装置１００が適用される情報システム１０の一構成例が示されている。図１に示す情報システム１０は、例えば社内システムとして運用され、外部ネットワーク１１にネットワーク接続されており、クライアント端末５０からのアクセス要求を受け付ける。外部ネットワーク１１は、例えばインターネットや移動体通信網、公衆回線網などの一般的な電気通信ネットワークであればよい。
【００２１】
クライアント端末５０は、例えばデスクトップパソコンやノートパソコン、ＰＤＡ（Personal Digital Assistants）、携帯電話機などといった、各種の情報を処理するソフトウェアプログラムを実行可能な情報処理装置であり、アクセスポイント２０に接続することにより外部ネットワーク１１を介して情報システム１０にアクセスしたり、情報システム１０が備えるスイッチ１２０に接続されたりする。すなわち、クライアント端末１０は、情報システム１０の外部にある場合もあれば、情報システム１０の内部にある場合もある。
【００２２】
社内システムとして運用される情報システム１０は、業務システム１５と、ファイアウォール１１１と、スイッチ１２０と、検疫システム３００とを備えている。情報システム１０を構成するこれらの各機器は、例えばＬＡＮケーブルあるいは無線通信などを用いて相互にネットワーク接続が可能とされている。また、情報システム１０は、ＶＰＮ（Virtual Private Network）を用いて構築された仮想的な内部ネットワークシステムであってもよい。その他、情報システム１０は、例えばルータやブリッジ、リピータ、ハブ、ネットワークストレージ、ファックス、プリンタ、スキャナ、複合機、またはデジタル家電機器など、各種のネットワーク機器や情報処理機器を含んでいてもよい。
【００２３】
業務システム１５は、ポリシー管理装置１００と、利用者管理装置１０１と、管理者端末１０２と、複数のサーバ１１０−１〜１１０−Ｎとを備えている。
【００２４】
ポリシー管理装置１００は、情報セキュリティポリシーに従った情報システム１０の設定を行う情報システム設定装置としての機能を有している。ポリシー管理装置１００は、例えばＣＰＵ、メモリ、ハードディスク装置などの外部記憶装置、情報システム１０の内部ネットワークに接続された通信装置、キーボードやマウスなどの入力装置、ディスプレイなどの表示装置、磁気ディスクや光ディスク等の記憶媒体からデータを読み取る読取装置などを備えた一般的なワークステーション等の電子計算機におけるハードウェア構成上に、構築することができる。このポリシー管理装置１００では、例えばＣＰＵが所定の記憶装置（例えばハードディスク装置など）から読み出した所定のプログラムを実行することや、所定の記憶装置に所定のデータ構造を有するファイルを格納することなどにより、図２に示すような構成が実現される。図２に示すように、ポリシー管理装置１００は、ポリシー登録処理部１５０と、ポリシー判断処理部１５１と、システム設定作成処理部１５２と、ポリシー管理データベース１５３と、システム情報データベース１５４とを備えている。
【００２５】
ポリシー登録処理部１５０は、管理者端末１０２から取得した情報に基づいて情報セキュリティポリシーの登録を行う。例えば、ポリシー登録処理部１５０は、管理者端末１０２との通信を行うことにより、所定のポリシー記述言語で情報セキュリティポリシーが記載されたポリシー情報を取得し、取得したポリシー情報をポリシー管理データベース１５３に格納する。また、ポリシー登録処理部１５０は、管理者端末１０２との通信により取得した情報や、情報システム１０の内部ネットワークにおけるアクセス制御にて取得した情報に基づいて情報セキュリティポリシーを記載したポリシー情報を作成し、作成したポリシー情報をポリシー管理データベース１５３に格納してもよい。
【００２６】
ポリシー判断処理部１５１は、クライアント端末５０からのアクセス要求もしくは管理者端末１０２からの要求に応答して情報システム１０に適用する情報セキュリティポリシーを判断するとともに、システム設定作成処理部１５２によるシステム設定に必要な各種の情報を取得するための処理を実行する。例えば、ポリシー判断処理部１５１は、クライアントプロパティ情報取得処理部１６０と、利用者情報取得処理部１６１と、システムプロパティ情報取得処理部１６２と、ポリシー決定処理部１６３と、ポリシー情報判定処理部１６４とを備えている。
【００２７】
クライアントプロパティ情報取得処理部１６０は、情報システム１０へのアクセス要求を発信したクライアント端末５０の特性などを特定可能なクライアントプロパティ情報を、クライアント端末５０などから取得する。例えば、クライアントプロパティ情報取得処理部１６０は、クライアント端末５０からのアクセス要求があったときに、クライアント端末５０の端末識別情報や環境識別情報、ソフトウェアのインストール情報などを、クライアントプロパティ情報として取得する。ここで、端末識別情報の具体例としては、クライアント端末５０のＩＰ（Internet Protocol）アドレスやＭＡＣ（Media Access Control）アドレス、携帯電話機の端末ＩＤなどであればよい。また、環境識別情報の具体例としては、アクセスポイント２０のネットワークアドレスなどであればよい。ソフトウェアのインストール情報の具体例としては、例えばクライアント端末５０にインストールされているＯＳ（Operating System）の名称やバージョン、アプリケーションプログラムの名称やバージョン、ウィルス検出ソフトの名称やバージョン、ウィルス定義ファイルのバージョンや更新日時などを特定可能な情報であればよい。
【００２８】
なお、クライアントプロパティ情報取得処理部１６０は、クライアント端末５０の端末識別情報や環境識別情報、ソフトウェアのインストール情報を全てクライアント端末５０から取得してもよいし、一部のみをクライアント端末５０から取得し、その他の情報は利用者管理装置１０１が管理する情報のうちから取得するなどしてもよい。また、クライアントプロパティ情報取得処理部１６０は、クライアント端末５０からのアクセス要求を受ける毎に、クライアントプロパティ情報となる端末識別情報や環境識別情報、ソフトウェアのインストール情報などを全てクライアント端末５０から取得する必要はなく、例えばその一部を利用者管理装置１０１に保持させておくなどして、必要な情報だけをクライアント端末５０から取得するようにしてもよい。さらに、クライアントプロパティ情報取得処理部１６０は、クライアント端末５０から送られるアクセス要求のデータフォーマットなどから、例えばクライアント端末５０がデスクトップパソコンであるか、ノートパソコンであるか、ＰＤＡであるか、携帯電話機であるかといった、クライアント端末５０の種類を特定して、端末識別情報を作成するようにしてもよい。
【００２９】
利用者情報取得処理部１６１は、情報システム１０へのアクセス要求をクライアント端末５０から発信させた利用者について、その属性などを示す情報を取得する。例えば、利用者情報取得処理部１６１は、クライアント端末５０からのアクセス要求があったときに、クライアント端末５０から送られたユーザＩＤや、利用者管理装置１０１が管理する情報のうちで、利用者の属性を示す利用者属性情報などを取得する。ここで、利用者属性情報の具体例としては、利用者の氏名や所属部署名、役職名などを示す情報であればよい。
【００３０】
システムプロパティ情報取得処理部１６２は、情報システム１０を構成する各機器の特性などを特定可能なシステムプロパティ情報を、システム情報データベース１５４などから取得する。例えば、システムプロパティ情報取得処理部１６２は、各サーバ１１０−１〜１１０−Ｎや、ファイアウォール１１１、スイッチ１２０といった、情報システム１０を構成する各機器の機器識別情報や動作性能情報、設定要素情報などを、システムプロパティ情報として取得する。ここで、機器識別情報の具体例としては、情報システム１０を構成する各機器の名称や識別番号、ネットワークアドレスなどを示す情報であればよい。また、動作性能情報の具体例としては、情報システム１０を構成する各機器の型式やバージョン、インストールされているソフトウェアの名称やバージョンなどを特定可能な情報であればよい。設定要素情報の具体例としては、アクセス権の内容（例えばファイル読取の可否、ファイル編集の可否、ファイル書込の可否、プログラム実行の可否など）や、ファイルの使用内容（例えば読取の可否、編集の可否、印刷の可否、複写の可否など）、送受信する情報の内容（例えばメール送受信の可否、ＷＥＢページ閲覧の可否、実行コマンド送受信の可否、ファイル共有の可否、転送データのファイル形式、転送データの容量など）、情報を送受信する相手方や方式の指定内容（例えば電子メールの宛先、カーボンコピー先、隠蔽カーボンコピー先、開放ポート番号、閉鎖ポート番号、アドレスマスク設定、使用可能なプロトコルなど）などを特定可能な情報であればよい。
【００３１】
なお、システムプロパティ情報取得処理部１６２は、情報システム１０を構成する各機器の機器識別情報や動作性能情報、設定要素情報などを全てシステム情報データベース１５４から取得してもよいし、一部のみをシステム情報データベース１５４から取得し、その他の情報は情報システム１０を構成する各機器そのものから取得してもよい。あるいは、全てのシステムプロパティ情報を、情報システム１０を構成する各機器から取得するようにしてもよい。また、システムプロパティ情報取得処理部１６２は、情報システム１０を構成する全ての機器に関するシステムプロパティ情報を取得してもよいし、クライアント端末５０からの要求に応じて情報システム１０にて実行すべき処理の内容に応じて、情報システム１０を構成する一部の機器に関するシステムプロパティ情報を取得してもよい。
【００３２】
ポリシー決定処理部１６３は、ポリシー管理データベース１５３に格納されているポリシー情報のうちで、情報システム１０の設定を行うために必要となるものを決定する。例えば、ポリシー決定処理部１６３は、クライアントプロパティ情報取得処理部１６０が取得したクライアントプロパティ情報や、利用者情報取得処理部１６１が取得した利用者属性情報などから、情報システム１０の設定を行うために必要となるポリシー情報を決定する。また、ポリシー決定処理部１６３は、クライアント端末５０からのアクセス要求に応答して情報システム１０にて実行すべき処理の内容を特定し、特定された処理内容に基づいてポリシー情報を決定してもよい。ポリシー決定処理部１６３によって決定されたポリシー情報は、ポリシー情報判定処理部１６４に通知される。
【００３３】
ポリシー情報判定処理部１６４は、ポリシー決定処理部１６３から通知されたポリシー情報をポリシー管理データベース１５３から読み出し、読み出したポリシー情報の解析を行う。そして、解析の結果から関連情報が必要か否かを判定し、必要である場合には、その関連情報を取得する。例えば、ポリシー情報判定処理部１６４は、クライアントプロパティ情報取得処理部１６０により取得したクライアントプロパティ情報や、利用者情報取得処理部１６１により取得した利用者属性情報、システムプロパティ情報取得処理部１６２により取得したシステムプロパティ情報などのうちから、関連情報として必要なものを選択して取得する。また、ポリシー情報判定処理部１６４は、クライアント端末５０からの要求に応じて情報システム１０にて実行すべき処理の内容に応じて、例えばサーバ１１０−１〜１１０−Ｎなどの情報システム１０を構成する各機器から、ポリシー情報の関連情報を取得してもよい。ポリシー情報判定処理部１６４によってポリシー管理データベース１５３から読み出されたポリシー情報や、その関連情報は、システム設定作成処理部１５２に提供される。
【００３４】
システム設定作成処理部１５２は、ポリシー判断処理部１５１のポリシー情報判定処理部１６４より提供されたポリシー情報や、その関連情報などから、情報システム１０を構成する各機器の設定内容を示す機器設定情報を作成する。例えば、システム設定作成処理部１５２は、ポリシー情報によって示される情報セキュリティポリシーの内容を解析し、関連情報に含まれるクライアントプロパティ情報や利用者属性情報、システムプロパティ情報などにあわせて、各サーバ１１０−１〜１１０−Ｎやファイアウォール１１１、スイッチ１２０などの各機器における設定内容を示す機器設定情報を作成する。そして、情報システム１０を構成する各機器に機器設定情報を提供することにより、情報セキュリティポリシーに従った情報システム１０の設定を可能にする。
【００３５】
ポリシー管理データベース１５３は、ポリシー登録処理部１５０が管理者端末１０２から取得したポリシー情報を格納して管理する。ここで、ポリシー管理データベース１５３に格納されるポリシー情報には、情報システム１０のシステム構成や各機器の設定とは独立した汎用的な情報セキュリティポリシーを定めるメインポリシー情報と、メインポリシー情報内で参照される具体的な条件や動作ルールを記述したサブポリシー情報とが含まれている。
【００３６】
システム情報データベース１５４は、情報システム１０を構成する各機器のシステムプロパティ情報のうちの全部又は一部を格納する。システム情報データベース１５４に格納されたシステムプロパティ情報は、システム設定作成処理部１５２による機器設定情報の作成に使用することができる。
【００３７】
利用者管理装置１０１は、例えばワークステーションやパーソナルコンピュータなどの一般的な電子計算機としてのハードウェア構成を有するものであればよく、ＬＤＡＰ（Lightweight Directory Access Protocol）等の所定プロトコルに準拠したディレクトリツリーを使用するなどして、利用者に関する所定の情報を管理する。ここで、利用者管理装置１０１が管理する情報の具体的な一例としては、各利用者を特定するためのユーザＩＤや、パスワード、所属部署名や役職名、所属グループ名、情報管理に関する属性（情報提供が許可される程度など）を示す情報などであればよい。
【００３８】
管理者端末１０２は、例えばワークステーションやパーソナルコンピュータなどといった一般的な電子計算機としてのハードウェア構成を有するものであればよい。管理者端末１０２は、例えば情報システム１０を管理する管理者の操作などに応答して、ポリシー情報の入力や作成を行い、ポリシー情報をポリシー管理装置１００に提供する。一例として、管理者端末１０２では、企業のセキュリティ対策部門（情報システム部署など）にて作成された運用手順書などに従った情報セキュリティポリシーが、所定のポリシー記述言語で記載されたポリシー情報として入力される。
【００３９】
また、管理者端末１０２にて入力されるポリシー情報は、キーボードやマウスなどの入力装置を用いて入力されるものであってもよいし、磁気ディスクドライブや光ディスクドライブ、ＩＣメモリインタフェースなどといった記録媒体読取装置を用いることにより、磁気ディスクや光ディスク、ＩＣメモリなどの所定の記録媒体から読み取られるものであってもよい。あるいは、管理者端末１０２が所定の通信処理を実行してポリシー情報を取得するものや、管理者端末１０２が所定のアプリケーションプログラムを実行することによりポリシー情報が作成されるものであってもよい。
【００４０】
サーバ１１０−１〜１１０−Ｎは、例えばワークステーションやパーソナルコンピュータなどの一般的な電子計算機としてのハードウェア構成を有するものであればよく、クライアント端末５０からの要求に応答して所定の情報処理を実行可能な情報処理装置として機能するものであればよい。サーバ１１０−１〜１１０−Ｎの具体例としては、ウェブサーバ、ファイルサーバ、メールサーバ、データベースサーバ、ＤＲＭ（Digital Rights Management）サーバ、ＳＳＯ（Single Sign-On）サーバ、アプリケーションサーバのうちで、少なくとも１つを含んだものであればよい。
【００４１】
ファイアウォール１１１は、保護対象となる情報システム１０の内部ネットワークにおける構成等の情報を外部から隠蔽し、情報システム１０の内部ネットワークと外部ネットワーク１１との境界において、認証に基づくアクセス制御を実行することで、外部からの進入を防ぎつつ、正当な利用者の通信を可能にする機能を有している。
【００４２】
スイッチ１２０は、例えば認証機能付きのＬＡＮスイッチなどであればよく、クライアント端末５０を情報システム１０内の業務システム１５や検疫システム３００に接続可能とする設定を行う。
【００４３】
検疫システム３００は、検疫サーバ３０などを用いて構成され、クライアント端末５０とネットワーク接続される。検疫システム３００は、業務システム１５とは隔離して設置されていればよい。検疫システム３００に接続されたクライアント端末５０は、ウィルスの感染の有無や、セキュリティ・パッチの状況、ウィルス対策ソフトの定義ファイルのバージョン及び稼働状況などが検査される。この検査の結果が情報システム１０における情報セキュリティポリシーに合致する場合には、業務システム１５への接続が許可される。他方、情報セキュリティポリシーに合致しない場合には、クライアント端末５０を情報セキュリティポリシーに適合するように更新し、その後に業務システム１５への接続を許可する。
【００４４】
次に、上記構成におけるポリシー管理装置１００の動作について説明する。このポリシー管理装置１００では、ポリシー登録処理部１５０が管理者端末１０２などから取得した情報に基づいてポリシー情報をポリシー管理データベース１５３に格納することにより、情報セキュリティポリシーが記載されたポリシー情報が予め登録されている。
【００４５】
クライアント端末５０は、スイッチ１２０に接続されることにより、あるいは、アクセスポイント２０に接続されて外部ネットワーク１１を介することにより、情報システム１０へのアクセス要求を発信する。ポリシー管理装置１００では、このクライアント端末５０からのアクセス要求に応答して、図３のフローチャートに示すような情報システム設定処理を実行する。
【００４６】
図３に示す情報システム設定処理を開始すると、まず、利用者情報取得処理部１６１がクライアント端末５０からのアクセス情報などに基づいて利用者を判別し、そのアクセス情報や利用者管理装置１０１にて管理される情報から、利用者属性情報などを取得する（ステップＳ１０１）。また、クライアントプロパティ情報取得処理部１６０は、クライアント端末５０から送られる情報や利用者管理装置１０１にて管理される情報から、クライアント端末５０に関するクライアントプロパティ情報を取得する（ステップＳ１０２）。
【００４７】
続いて、ポリシー決定処理部１６３は、ステップＳ１０１にて取得した利用者属性情報や、ステップＳ１０２にて取得したクライアントプロパティ情報、あるいはクライアント端末５０からのアクセス要求に応答して情報システム１０にて実行すべき処理の内容などから、情報システム１０の設定を行うために必要となるポリシー情報を決定する（ステップＳ１０３）。ポリシー情報判定処理部１６４は、ステップＳ１０３にて決定されたポリシー情報をポリシー管理データベース１５３から読み出して取得する（ステップＳ１０４）。ポリシー情報判定処理部１６４は、ポリシー管理データベース１５３から読み出したポリシー情報の解析を行う（ステップＳ１０５）。
【００４８】
ステップＳ１０５における解析の結果から、ポリシー情報判定処理部１６４は、関連情報が必要となるか否かを判定する（ステップＳ１０６）。このとき、関連情報が必要であると判定された場合には（ステップＳ１０６；Ｙｅｓ）、ポリシー情報の関連情報となる情報を、例えばサーバ１１０−１〜１１０−Ｎなどの情報システム１０を構成する各機器から取得する（ステップＳ１０７）。ステップＳ１０７にて取得された関連情報は、ポリシー情報とともにシステム設定作成処理部１５２に提供される。他方、ステップＳ１０６にて関連情報は不要であると判別された場合には（ステップＳ１０６；Ｎｏ）、ステップＳ１０７の処理をスキップして、ポリシー情報のみをシステム設定作成処理部１５２に提供してもよい。あるいは、ステップＳ１０１にて取得した利用者属性情報や、ステップＳ１０２にて取得したクライアントプロパティ情報は、ポリシー情報の解析結果から必要とされる関連情報とは異なる情報であるとして、ポリシー情報とともにシステム設定作成処理部１５２に提供するようにしてもよい。
【００４９】
また、ステップＳ１０５におけるポリシー情報の解析結果に基づき、システムプロパティ情報取得処理部１６２がシステム情報データベース１５４に格納されている情報や情報システム１０を構成する各機器が保持する情報から、システムプロパティ情報を取得する（ステップＳ１０８）。ステップＳ１０８にて取得されたシステムプロパティ情報は、システム設定作成処理部１５２に提供される。
【００５０】
この後、システム設定作成処理部１５２は、ポリシー判断処理部１５１の各構成より提供された情報から、情報システム１０を構成する各機器の設定内容を示す機器設定情報を作成する（ステップＳ１０９）。そして、各機器に作成した機器設定情報を提供することにより、情報セキュリティポリシーに従った情報システム１０の設定を完了させる（ステップＳ１１０）。
【００５１】
以下に、ポリシー管理装置１００が管理する情報セキュリティポリシーの具体例について説明する。まず、第１の具体例として、ドキュメントに対する情報セキュリティポリシーについて説明する。この場合、例えばサーバ１１０−１が文書管理システムを構成するファイルサーバであるものとする。
【００５２】
この具体例では、ポリシー登録処理部１５０により、図４（Ａ）に示すような「文書種別」に対応したメインポリシー情報と、図４（Ｂ）に示すようなサブポリシー情報とが、ポリシー管理データベース１５３に予め格納される。図４（Ａ）に示すメインポリシー情報は、情報システム１０における実際の構成とは独立した汎用的な内容を記述したものであり、例えば文書の種別が「極秘」に対応したメインポリシー情報Ｍ１１と、文書の種別が「機密」に対応したメインポリシー情報Ｍ１２とを含んでいる。図４（Ｂ）に示すサブポリシー情報は、メインポリシー情報から参照される具体的な条件を記述したものであり、例えば「所属」の条件に対応したサブポリシー情報Ｓ１１と、「役職」の条件に対応したサブポリシー情報Ｓ１２と、「期間」の条件に対応したサブポリシー情報Ｓ１３と、「環境」の条件に対応したサブポリシー情報Ｓ１４とを含んでいる。
【００５３】
また、サーバ１１０−１によって構成される文書管理システムでは、各文書に関連付けられる情報の一例として、図５（Ａ）に示すような文書プロパティ情報が保持されているものとする。図５（Ａ）に示す文書プロパティ情報は、文書管理システムによって管理される各文書に関する情報のみを記述したものであり、情報システム１０や文書管理システムにおける実際の設定とは独立した内容のものであればよい。図５（Ａ）に示す例では、「文書ＸＸＸ」に対応した文書プロパティ情報ＤＰ１１と、「文書ＹＹＹ」に対応した文書プロパティ情報ＤＰ１２と、「文書ＺＺＺ」に対応した文書プロパティ情報ＤＰ１３とが含まれている。
【００５４】
図５（Ｂ）は、システム情報データベース１５４に格納されるシステムプロパティ情報の一例を示している。図５（Ｂ）に示すシステムプロパティ情報は、アクセス権の内容を示す「アクセス権」のシステムプロパティ情報ＳＰ１１と、ファイルの使用内容を示す「ファイルの利用」のシステムプロパティ情報ＳＰ１２と、ファイアウォール１１１の設定内容を示す「ＦＷ設定」のシステムプロパティ情報ＳＰ１３と、サーバ１１０−１〜１１０−Ｎに含まれるメールサーバの設定を示す「メールサーバ設定」のシステムプロパティ情報ＳＰ１４とが含まれている。
【００５５】
次に、第２の具体例として、ネットワークに対する情報セキュリティポリシーについて説明する。この具体例では、ポリシー登録処理部１５０により、図６（Ａ）に示すような「ネットワークポリシー」に対応したメインポリシー情報と、図６（Ｂ）に示すようなサブポリシー情報とが、ポリシー管理データベース１５３に予め格納される。図６（Ａ）に示すメインポリシー情報も、図４（Ａ）に示したメインポリシー情報と同様に、情報システム１０における実際の構成とは独立した汎用的な内容を記述したものであればよく、例えば情報システム１０の内部ネットワークで実施される「ウィルス対策」に対応したメインポリシー情報Ｍ２１と、ファイアウォール１１１の設定に関する「ＦＷ設定」に対応したメインポリシー情報Ｍ２２とが含まれている。図６（Ｂ）に示すサブポリシー情報も、図４（Ｂ）に示したサブポリシー情報と同様にメインポリシー情報から参照され、具体的な動作ルールを記述したものであり、例えば「Rule A」に対応したサブポリシー情報Ｓ２１と、「Rule B」に対応したサブポリシー情報Ｓ２２と、「Rule C」に対応したサブポリシー情報Ｓ２３とを含んでいる。
【００５６】
上記のような各種の情報が格納された状態で、例えばアクセスポイント２０に接続したクライアント端末５０から、文書の閲覧を目的とするアクセス要求があったものとする。この場合には、まず、図３に示すステップＳ１０１の処理が実行されることにより、利用者情報取得処理部１６１がクライアント端末５０からユーザＩＤを取得するなどして利用者を特定し、特定した利用者の役職や所属部署を示す利用者属性情報を、利用者管理装置１０１から取得する。また、図３に示すステップＳ１０２の処理が実行されることにより、クライアントプロパティ情報取得処理部１６０がクライアント端末５０に関するクライアントプロパティ情報を取得する。このとき取得されたクライアントプロパティ情報には、例えばアクセスポイント２０のネットワークアドレスを示す情報などが含まれることで、クライアント端末５０からのアクセスが外部ネットワーク１１を介したアクセスであることを特定することができる。また、クライアントプロパティ情報には、クライアント端末５０がデスクトップパソコンであるか、ノートパソコンであるか、ＰＤＡであるか、携帯電話機であるかといった、クライアント端末５０の種類を示す情報も含まれている。
【００５７】
続いて、図３に示すステップＳ１０３の処理が実行されることにより、ポリシー決定処理部１６３は、例えば利用者属性情報から特定される利用者の役職や所属部署、クライアント端末５０の種類、クライアントプロパティ情報から特定される外部ネットワーク１１からのアクセスであること、また、クライアント端末５０からのアクセス要求が文書の閲覧を目的とすることなどに基づいて、情報システム１０の設定を行うために必要となるポリシー情報を決定する。そして、図３に示すステップＳ１０４の処理が実行されることにより、ポリシー情報判定処理部１６４がポリシー管理データベース１５３に格納されているメインポリシー情報やサブポリシー情報を取得し、図３に示すステップＳ１０５の処理が実行されることにより、ポリシー情報の解析が行われる。
【００５８】
ステップＳ１０５における解析の結果、ポリシー情報の関連情報として、例えば文書プロパティ情報が必要であると判定されれば（ステップＳ１０６；Ｙｅｓ）、図３に示すステップＳ１０７の処理が実行されることにより、ポリシー情報判定処理部１６４が、文書管理システムを構成するサーバ１１０−１から文書プロパティ情報を取得する。また、ステップＳ１０５におけるポリシー情報の解析結果に基づき、図３に示すステップＳ１０８の処理が実行されることにより、システムプロパティ情報取得処理部１６２がシステム情報データベース１５４などからシステムプロパティ情報を取得する。こうして取得された各種の情報は、システム設定作成処理部１５２に提供されて、図３のステップＳ１０８の処理が実行されることによる機器設定情報の作成に用いられる。
【００５９】
図７（Ａ）〜（Ｃ）は、システム設定作成処理部１５２により作成される機器設定情報の具体例を示している。ここで、図７（Ａ）は、例えば文書管理システムを構成するサーバ１１０−１に提供されて文書ファイルの使用に関する制限事項を定める「文書の制限」を示す機器設定情報ＣＦ１１を示している。また、図７（Ｂ）は、情報システム１０を構成する機器のいずれか（例えばサーバ１１０−１〜１１０−Ｎのいずれか）に提供されて情報システム１０の内部ネットワークに関する設定を定める「ネットワーク設定」を示す機器設定情報ＣＦ１２を示している。図７（Ｃ）は、例えば文書管理システムを構成するサーバ１１０−１に提供される「パーソナルファイアウォール」を示す機器設定情報ＣＦ１３を示している。この機器設定情報ＣＦ１３の提供を受けたサーバ１１０−１は、ファイアウォール１１１によるアクセス制御とは別に独自のアクセス制御を行うための設定が可能になる。
【００６０】
また、ポリシー管理データベース１５３に格納されるポリシー情報は、メインポリシー情報とサブポリシー情報とから構成されるのみならず、さらに、情報システム１０の仕様や情報システム１０が設置される環境などに応じて、システム設定を柔軟に行うことができるように様々な組合せが可能なものとしてもよい。具体的な一例として、ポリシー管理データベース１５３に格納されるポリシー情報を複数の上下階層に階層化し、各階層においては、各メインポリシー情報などで記述された情報セキュリティポリシーのそれぞれを１つの要素として、複数の要素を定義できるようにしてもよい。この場合、階層の設定の仕方や各階層に含まれる要素には制限を設けず、状況に応じて適宜、様々な階層の設定や要素の組合せに対応できるものであればよい。一例として、クライアントプロパティ情報を利用してシステム設定を作成するための階層を設け、その階層よりも下位の階層に、システムプロパティ情報を利用してシステム設定を作成するための階層を設けるなどのように、一定の基準に基づいて切り分けられた各階層で複数の要素を定義可能にして階層化したポリシー情報を、ポリシー管理データベース１５３に格納するようにしてもよい。
【００６１】
加えて、ポリシー決定処理部１６３の決定に基づいて、ポリシー情報判定処理部１６４がポリシー管理データベース１５３に格納されているメインポリシー情報やサブポリシー情報を読み出すときには、複数のポリシー情報を組み合わせることで階層化された１つのポリシー情報を新たに作成するようにしてもよい。この場合にも、階層の設定の仕方や各階層に含まれる要素には制限を設けず、状況に応じて適宜、階層の設定や要素の組合せを決定できるようにすればよい。一例として、ポリシー情報判定処理部１６４は、クライアントプロパティ情報を利用してシステム設定を作成するための階層を設け、その階層よりも下位の階層に、システムプロパティ情報を利用してシステム設定を作成するための階層を設けるなどのように、各階層を一定の基準に基づいて切り分け、各階層において複数の要素を定義できるようにしてもよい。
【００６２】
このように、複数の上下階層に階層化されたポリシー情報を作成可能とすることにより、情報セキュリティポリシーを変更する際の影響を限定することができ、情報セキュリティポリシーやシステム設定の管理が容易になる。また、例えば下位の階層には上位の階層に比べてより具体的なシステム構成に応じた情報セキュリティポリシーの定義を用意して、社内の組織ごとなどの個別の設定が可能となり、情報セキュリティポリシーに従ったシステム設定のカスタム化が容易になる。さらに、ポリシー情報内での上下関係を明確化することにより、情報セキュリティポリシーの違反や矛盾を防止することができ、情報セキュリティポリシーに従ったきめ細やかな運用が可能になる。
【００６３】
以上説明したように、この発明によれば、クライアントプロパティ情報取得処理部１６０により取得したクライアントプロパティ情報などに基づいて情報システム１０の設定を行うために必要となるポリシー情報を決定している。これにより、例えばクライアント端末５０がデスクトップパソコンであるか、ノートパソコンであるか、ＰＤＡであるか、携帯電話機であるかといった、クライアント端末５０の種類を含めた環境に応じた情報セキュリティポリシーに従って、情報システム１０の設定を柔軟に行うことができる。
【００６４】
また、システム設定作成処理部１５２は、ポリシー判断処理部１５１により取得したポリシー情報を含めた各種の情報から機器設定情報を作成する。ポリシー管理データベース１５３に格納されるポリシー情報は、情報システム１０における実際の構成とは独立した汎用的な内容を記述したメインポリシー情報と、メインポリシー情報から参照されて具体的な条件や動作ルールを記述したサブポリシー情報とから構成されている。そして、システム情報データベース１５４に格納されたシステムプロパティ情報には、アクセス権の内容などを特定可能な設定要素情報が含まれている。これにより、情報セキュリティポリシーを設定可能な対象が限定されずに、情報セキュリティポリシーに従った情報システム１０の設定を柔軟に行うことができ、また、個別の機器設定情報を予め全て用意しておく必要がないので、システム設定に必要な情報量を低減することができる。
【００６５】
なお、上記の具体例では、ドキュメントやネットワークに対する情報セキュリティポリシーについて説明したが、この発明はこれに限定されるものではなく、例えば音楽データや映像データ、アプリケーションソフトなどといった各種の情報に対するセキュリティポリシーに従った情報システム１０の設定を行う場合にも適用可能である。
【００６６】
この発明は、上記実施の形態に限定されるものではなく、様々な変形及び応用が可能である。例えば、上記実施の形態では、ポリシー管理装置１００、利用者管理装置１０１、管理者端末１０２、サーバ１１０−１〜１１０−Ｎ、ファイアウォール１１１などが、全て独立した電子計算機としてのハードウェア構成上に構築されることにより、情報システム１０を構成するものとして説明した。しかしながら、この発明はこれに限定されるものではなく、少なくとも１つの電子計算機としてのハードウェア構成上にて、上記実施の形態で説明したポリシー管理装置１００、利用者管理装置１０１、管理者端末１０２、サーバ１１０−１〜１１０−Ｎ、ファイアウォール１１１などのいずれかと同等の処理が実行されるものであればよく、例えば１つの電子計算機としてのハードウェア構成上にて、上記実施の形態における情報システム１０の各構成が構築されるものであってもよい。また、ポリシー管理装置１００は、情報システム１０の内部に設置されるものに限定されず、情報システム１０と電気通信ネットワークを介して接続される外部の電子計算機としてのハードウェア構成上に構築されるものであってもよい。
【００６７】
また、ポリシー管理装置１００は、専用のシステムによらず、通常のコンピュータシステムを用いて実現可能である。例えば、上述の動作を実行するためのプログラムをコンピュータ読み取り可能な記録媒体（例えば磁気ディスク、光ディスク、ＩＣメモリ等）に格納して配布し、該プログラムをコンピュータにインストールすることにより、上述の処理を実行するポリシー管理装置を構成してもよい。また、インターネット等のネットワーク上に配置された任意の情報処理装置が有する情報記憶装置にプログラムを格納しておき、例えばコンピュータにダウンロード等するようにしてもよい。
【図面の簡単な説明】
【００６８】
【図１】ポリシー管理装置が適用される情報システムの一構成例を示す図である。
【図２】ポリシー管理装置の構成例を示す図である。
【図３】情報システム設定処理の一例を示すフローチャートである。
【図４】ポリシー管理データベースに格納されるポリシー情報の具体的な一例を示す図である。
【図５】サーバに保持される文書プロパティ情報と、システム情報データベースに格納されるシステムプロパティ情報の具体的な一例を示す図である。
【図６】ポリシー管理データベースに格納されるポリシー情報の具体的な一例を示す図である。
【図７】システム設定作成処理部により作成される機器設定情報の具体的な一例を示す図である。
【符号の説明】
【００６９】
１０ 情報システム
１１ 外部ネットワーク
２０ アクセスポイント
３０ 検疫サーバ
５０ クライアント端末
１００ ポリシー管理装置
１０１ 利用者管理装置
１０２ 管理者端末
１１０−１〜１１０−Ｎ サーバ
１１１ ファイアウォール
１２０ スイッチ
１５０ ポリシー登録処理部
１５１ ポリシー判断処理部
１５２ システム設定作成処理部
１５３ ポリシー管理データベース
１５４ システム情報データベース
１６０ クライアントプロパティ情報取得処理部
１６１ 利用者情報取得処理部
１６２ システムプロパティ情報取得処理部
１６３ ポリシー決定処理部
１６４ ポリシー情報判定処理部
３００ 検疫システム
【技術分野】
【０００１】
この発明は、情報セキュリティポリシーに従った情報システムの設定を行う情報システム設定装置などに関する。
【背景技術】
【０００２】
特別な専門知識を必要とすることなく、情報システムにおけるセキュリティの状態を管理可能にする様々な技術が提案されている。例えば、ドキュメントに対するセキュリティポリシーを所定の記述形式に従って電子的に記述することにより、情報システム全体に一貫したセキュリティポリシーを共有させ、例えばドキュメントのタイプ（カテゴリ、レベル）に応じて、どのようなユーザタイプ（カテゴリ、レベル）がドキュメントに対してどのようなオペレーションが可能なのか、オペレーションが可能な場合にはどのような要件を満たさなければならないかといった事項を、明確に記述できるようにしたシステムが提案されている（例えば特許文献１）。
【特許文献１】特開２００４−１０２９０７号公報
【０００３】
また、アクセス制御を行うときに取得する情報を利用してアクセス制御ポリシーを作成し、そのアクセス制御ポリシーに基づいてファイルアクセス要求の正当性を判定することで、アクセス制御ポリシーを自動的に設定可能とし、特別な知識を有していなくても構築可能なアクセス制御システムが提案されている（例えば特許文献２）。
【特許文献２】特開２００３−６０２７号公報
【０００４】
さらに、被管理対象システムのセキュリティ状態を情報セキュリティポリシーに整合するように制御する管理部や、被管理対象システムの情報セキュリティポリシーに関わるセキュリティの状態を監査する監査部を、複数用意して、抽出した管理部に対応する被管理対象システムのセキュリティ状態を対応する情報セキュリティポリシーに整合するように変更させたり、抽出した監査部に対応する被管理対象システムの情報セキュリティポリシーに関わるセキュリティ状態を監査するシステムが提案されている（例えば特許文献３）。
【特許文献３】特開２００２−２４７０３３号公報
【０００５】
加えて、 複数のセキュリティポリシーを格納しておき、例えばモバイル機器といった情報処理装置がＬＡＮに接続されているかどうかといった、モバイル機器の動作の環境または状況に従ったセキュリティポリシーを選択して、情報処理装置の安全性を判定するシステムが提案されている（例えば特許文献４）。
【特許文献４】特開２００４−２６５２８６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
特許文献１に記載の技術はドキュメントに対するオペレーションでの安全性を確保するためのものであり、特許文献２に記載の技術はファイルアクセスにおける安全性を確保するためのものである。特許文献３に記載の技術では、操作者が選択した情報セキュリティポリシーに対して抽出されたセキュリティ管理プログラムを起動するだけである。このように、特許文献１乃至３に記載の技術では、セキュリティポリシーを設定可能な対象が限定されたり、アクセス要求を行うクライアント端末の種類や環境に応じたセキュリティポリシーに従って柔軟にシステム設定を行うことが困難であるなどの問題があった。
【０００７】
また、特許文献４に記載の技術では、情報処理装置が置かれている環境（例えばオフィス内ＬＡＮでの接続であるか、オフィス外ネットワークでの接続であるかなど）に従ったセキュリティポリシーを選択することは可能であるが、情報処理端末の種類（例えばノートパソコンであるか、ＰＤＡであるか、携帯電話機であるかなど）に応じたセキュリティポリシーに従ってシステム設定を行うことはできなかった。
【０００８】
情報処理技術の進展に伴い、情報システムにアクセス可能なクライアント端末となる情報処理装置が多様化している。そして、情報システムにアクセスする利用者が同一であっても、クライアント端末となる情報処理装置が異なれば、情報管理の安全性も異なるものとなる。そのため、クライアント端末となる情報処理装置に応じたセキュリティポリシーに従って柔軟なシステム設定を行う必要性が高まっている。また、情報システムにアクセスする利用者の所属部署や役職等といった利用者の属性に応じて、アクセス可能な情報資源を変更可能に設定することが望まれている。
【０００９】
この発明は、上記実状に鑑みてなされたものであり、情報セキュリティポリシーに従ったシステム設定を、クライアント端末の種類を含めた利用者の環境に合わせて動的に行うことができる情報セキュリティポリシー管理システムなどを提供することを目的とする。
【課題を解決するための手段】
【００１０】
上記目的を達成するため、この発明の第１の観点に係る情報システム設定装置は、
情報セキュリティポリシーに従った情報システムの設定を行う情報システム設定装置であって、
情報セキュリティポリシーを記述したポリシー情報を格納するポリシー管理データベースと、
利用者の属性情報を取得する属性情報取得手段と、
前記情報システムに対するアクセス要求を発信した端末装置のプロパティ情報を取得する端末プロパティ情報取得手段と、
前記情報システムを構成する各機器のプロパティ情報を取得するシステムプロパティ情報取得手段と、
前記属性情報取得手段により取得した属性情報と前記端末プロパティ情報取得手段により取得した端末装置のプロパティ情報とに基づいて、前記ポリシー管理データベースに格納されたポリシー情報を読み出すポリシー情報読出手段と、
少なくとも前記ポリシー情報読出手段により読み出されたポリシー情報と前記システムプロパティ情報取得手段により取得したシステムプロパティ情報とに基づいて、前記情報システムの設定情報を作成することにより、前記情報システムの設定を行う設定制御手段とを備える、
ことを特徴とする。
【００１１】
この構成によれば、ポリシー情報読出手段が、属性情報取得手段により取得した属性情報と端末プロパティ情報取得手段により取得した端末装置のプロパティ情報とに基づいて、ポリシー管理データベースに格納されたポリシー情報を読み出す。そして、設定制御手段が、ポリシー情報読出手段により読み出されたポリシー情報とシステムプロパティ情報取得手段により取得したシステムプロパティ情報とに基づいて、情報システムの設定を行うことができる。
これにより、情報システムに対するアクセス要求を発信した端末装置のプロパティ情報や利用者の属性情報に対応する情報セキュリティポリシーに従った情報システムの設定が可能になり、端末装置の種類を含めた環境に応じた情報セキュリティポリシーに従って、情報システムの設定を柔軟に行うことができる。
【００１２】
前記ポリシー管理データベースは、前記情報システムの構成とは独立した情報セキュリティポリシーを記述したメインポリシー情報と、前記メインポリシー情報にて参照されて前記情報システムの設定に関する条件または動作ルールを記述したサブポリシー情報を、前記ポリシー情報として格納してもよい。
【００１３】
前記ポリシー情報読出手段が前記ポリシー管理データベースから読み出したポリシー情報を解析して、当該ポリシー情報の関連情報を取得する関連情報取得手段を備え、
前記設定制御手段は、前記関連情報取得手段により取得した関連情報に基づいて、前記情報システムの設定を行うことが望ましい。
【００１４】
前記ポリシー情報読出手段は、前記端末プロパティ情報取得手段により取得した端末装置のプロパティ情報に基づいて、前記ポリシー管理データベースから読み出すポリシー情報を決定する手段を含んでもよい。
【００１５】
上記目的を達成するため、この発明の第２の観点に係る情報システム設定方法は、
情報セキュリティポリシーに従った情報システムの設定を行うコンピュータによる情報システム設定方法であって、
情報セキュリティポリシーを記述したポリシー情報をポリシー管理データベースに格納するポリシー情報格納ステップと、
利用者の属性情報を取得する属性情報取得ステップと、
前記情報システムに対するアクセス要求を発信した端末装置のプロパティ情報を取得する端末プロパティ情報取得ステップと、
前記情報システムを構成する各機器のプロパティ情報を取得するシステムプロパティ情報取得ステップと、
前記属性情報取得ステップにて取得した属性情報と前記端末プロパティ情報取得ステップにて取得した端末装置のプロパティ情報とに基づいて、前記ポリシー管理データベースに格納されたポリシー情報を読み出すポリシー情報読出ステップと、
少なくとも前記ポリシー情報読出ステップにて読み出したポリシー情報と前記システムプロパティ情報取得ステップにて取得したシステムプロパティ情報とに基づいて、前記情報システムの設定情報を作成することにより、前記情報システムの設定を行う設定制御ステップとを備える、
ことを特徴とする。
【００１６】
前記ポリシー情報読出ステップにて読み出したポリシー情報を解析して、当該ポリシー情報の関連情報を取得する関連情報取得ステップを備え、
前記設定制御ステップは、前記関連情報取得ステップにて取得した関連情報に基づいて、前記情報システムの設定を行うことが望ましい。
【００１７】
上記目的を達成するため、この発明の第３の観点に係るプログラムは、
情報セキュリティポリシーに従った情報システムの設定を行うコンピュータに、
情報セキュリティポリシーを記述したポリシー情報をポリシー管理データベースに格納するポリシー情報格納処理と、
利用者の属性情報を取得する属性情報取得処理と、
前記情報システムに対するアクセス要求を発信した端末装置のプロパティ情報を取得する端末プロパティ情報取得処理と、
前記情報システムを構成する各機器のプロパティ情報を取得するシステムプロパティ情報取得処理と、
前記属性情報取得処理にて取得した属性情報と前記端末プロパティ情報取得処理にて取得した端末装置のプロパティ情報とに基づいて、前記ポリシー管理データベースに格納されたポリシー情報を読み出すポリシー情報読出処理と、
少なくとも前記ポリシー情報読出処理にて読み出したポリシー情報と前記システムプロパティ情報取得処理にて取得したシステムプロパティ情報とに基づいて、前記情報システムの設定情報を作成することにより、前記情報システムの設定を行う設定制御処理と、
を実行させる。
【００１８】
また、前記コンピュータに、
前記ポリシー情報読出処理にて読み出したポリシー情報を解析して、当該ポリシー情報の関連情報を取得する関連情報取得処理をさらに実行させ、
前記設定制御処理では、前記関連情報取得処理にて取得した関連情報に基づいて、前記情報システムの設定を行うことが望ましい。
【発明の効果】
【００１９】
この発明によれば、情報セキュリティポリシーに従ったシステム設定を、情報システムに対するアクセス要求を発信した端末装置の種類を含めた利用者の環境に合わせて柔軟に行うことができる。
【発明を実施するための最良の形態】
【００２０】
以下に、この発明の実施の形態に係るポリシー管理装置１００について説明する。図１には、ポリシー管理装置１００が適用される情報システム１０の一構成例が示されている。図１に示す情報システム１０は、例えば社内システムとして運用され、外部ネットワーク１１にネットワーク接続されており、クライアント端末５０からのアクセス要求を受け付ける。外部ネットワーク１１は、例えばインターネットや移動体通信網、公衆回線網などの一般的な電気通信ネットワークであればよい。
【００２１】
クライアント端末５０は、例えばデスクトップパソコンやノートパソコン、ＰＤＡ（Personal Digital Assistants）、携帯電話機などといった、各種の情報を処理するソフトウェアプログラムを実行可能な情報処理装置であり、アクセスポイント２０に接続することにより外部ネットワーク１１を介して情報システム１０にアクセスしたり、情報システム１０が備えるスイッチ１２０に接続されたりする。すなわち、クライアント端末１０は、情報システム１０の外部にある場合もあれば、情報システム１０の内部にある場合もある。
【００２２】
社内システムとして運用される情報システム１０は、業務システム１５と、ファイアウォール１１１と、スイッチ１２０と、検疫システム３００とを備えている。情報システム１０を構成するこれらの各機器は、例えばＬＡＮケーブルあるいは無線通信などを用いて相互にネットワーク接続が可能とされている。また、情報システム１０は、ＶＰＮ（Virtual Private Network）を用いて構築された仮想的な内部ネットワークシステムであってもよい。その他、情報システム１０は、例えばルータやブリッジ、リピータ、ハブ、ネットワークストレージ、ファックス、プリンタ、スキャナ、複合機、またはデジタル家電機器など、各種のネットワーク機器や情報処理機器を含んでいてもよい。
【００２３】
業務システム１５は、ポリシー管理装置１００と、利用者管理装置１０１と、管理者端末１０２と、複数のサーバ１１０−１〜１１０−Ｎとを備えている。
【００２４】
ポリシー管理装置１００は、情報セキュリティポリシーに従った情報システム１０の設定を行う情報システム設定装置としての機能を有している。ポリシー管理装置１００は、例えばＣＰＵ、メモリ、ハードディスク装置などの外部記憶装置、情報システム１０の内部ネットワークに接続された通信装置、キーボードやマウスなどの入力装置、ディスプレイなどの表示装置、磁気ディスクや光ディスク等の記憶媒体からデータを読み取る読取装置などを備えた一般的なワークステーション等の電子計算機におけるハードウェア構成上に、構築することができる。このポリシー管理装置１００では、例えばＣＰＵが所定の記憶装置（例えばハードディスク装置など）から読み出した所定のプログラムを実行することや、所定の記憶装置に所定のデータ構造を有するファイルを格納することなどにより、図２に示すような構成が実現される。図２に示すように、ポリシー管理装置１００は、ポリシー登録処理部１５０と、ポリシー判断処理部１５１と、システム設定作成処理部１５２と、ポリシー管理データベース１５３と、システム情報データベース１５４とを備えている。
【００２５】
ポリシー登録処理部１５０は、管理者端末１０２から取得した情報に基づいて情報セキュリティポリシーの登録を行う。例えば、ポリシー登録処理部１５０は、管理者端末１０２との通信を行うことにより、所定のポリシー記述言語で情報セキュリティポリシーが記載されたポリシー情報を取得し、取得したポリシー情報をポリシー管理データベース１５３に格納する。また、ポリシー登録処理部１５０は、管理者端末１０２との通信により取得した情報や、情報システム１０の内部ネットワークにおけるアクセス制御にて取得した情報に基づいて情報セキュリティポリシーを記載したポリシー情報を作成し、作成したポリシー情報をポリシー管理データベース１５３に格納してもよい。
【００２６】
ポリシー判断処理部１５１は、クライアント端末５０からのアクセス要求もしくは管理者端末１０２からの要求に応答して情報システム１０に適用する情報セキュリティポリシーを判断するとともに、システム設定作成処理部１５２によるシステム設定に必要な各種の情報を取得するための処理を実行する。例えば、ポリシー判断処理部１５１は、クライアントプロパティ情報取得処理部１６０と、利用者情報取得処理部１６１と、システムプロパティ情報取得処理部１６２と、ポリシー決定処理部１６３と、ポリシー情報判定処理部１６４とを備えている。
【００２７】
クライアントプロパティ情報取得処理部１６０は、情報システム１０へのアクセス要求を発信したクライアント端末５０の特性などを特定可能なクライアントプロパティ情報を、クライアント端末５０などから取得する。例えば、クライアントプロパティ情報取得処理部１６０は、クライアント端末５０からのアクセス要求があったときに、クライアント端末５０の端末識別情報や環境識別情報、ソフトウェアのインストール情報などを、クライアントプロパティ情報として取得する。ここで、端末識別情報の具体例としては、クライアント端末５０のＩＰ（Internet Protocol）アドレスやＭＡＣ（Media Access Control）アドレス、携帯電話機の端末ＩＤなどであればよい。また、環境識別情報の具体例としては、アクセスポイント２０のネットワークアドレスなどであればよい。ソフトウェアのインストール情報の具体例としては、例えばクライアント端末５０にインストールされているＯＳ（Operating System）の名称やバージョン、アプリケーションプログラムの名称やバージョン、ウィルス検出ソフトの名称やバージョン、ウィルス定義ファイルのバージョンや更新日時などを特定可能な情報であればよい。
【００２８】
なお、クライアントプロパティ情報取得処理部１６０は、クライアント端末５０の端末識別情報や環境識別情報、ソフトウェアのインストール情報を全てクライアント端末５０から取得してもよいし、一部のみをクライアント端末５０から取得し、その他の情報は利用者管理装置１０１が管理する情報のうちから取得するなどしてもよい。また、クライアントプロパティ情報取得処理部１６０は、クライアント端末５０からのアクセス要求を受ける毎に、クライアントプロパティ情報となる端末識別情報や環境識別情報、ソフトウェアのインストール情報などを全てクライアント端末５０から取得する必要はなく、例えばその一部を利用者管理装置１０１に保持させておくなどして、必要な情報だけをクライアント端末５０から取得するようにしてもよい。さらに、クライアントプロパティ情報取得処理部１６０は、クライアント端末５０から送られるアクセス要求のデータフォーマットなどから、例えばクライアント端末５０がデスクトップパソコンであるか、ノートパソコンであるか、ＰＤＡであるか、携帯電話機であるかといった、クライアント端末５０の種類を特定して、端末識別情報を作成するようにしてもよい。
【００２９】
利用者情報取得処理部１６１は、情報システム１０へのアクセス要求をクライアント端末５０から発信させた利用者について、その属性などを示す情報を取得する。例えば、利用者情報取得処理部１６１は、クライアント端末５０からのアクセス要求があったときに、クライアント端末５０から送られたユーザＩＤや、利用者管理装置１０１が管理する情報のうちで、利用者の属性を示す利用者属性情報などを取得する。ここで、利用者属性情報の具体例としては、利用者の氏名や所属部署名、役職名などを示す情報であればよい。
【００３０】
システムプロパティ情報取得処理部１６２は、情報システム１０を構成する各機器の特性などを特定可能なシステムプロパティ情報を、システム情報データベース１５４などから取得する。例えば、システムプロパティ情報取得処理部１６２は、各サーバ１１０−１〜１１０−Ｎや、ファイアウォール１１１、スイッチ１２０といった、情報システム１０を構成する各機器の機器識別情報や動作性能情報、設定要素情報などを、システムプロパティ情報として取得する。ここで、機器識別情報の具体例としては、情報システム１０を構成する各機器の名称や識別番号、ネットワークアドレスなどを示す情報であればよい。また、動作性能情報の具体例としては、情報システム１０を構成する各機器の型式やバージョン、インストールされているソフトウェアの名称やバージョンなどを特定可能な情報であればよい。設定要素情報の具体例としては、アクセス権の内容（例えばファイル読取の可否、ファイル編集の可否、ファイル書込の可否、プログラム実行の可否など）や、ファイルの使用内容（例えば読取の可否、編集の可否、印刷の可否、複写の可否など）、送受信する情報の内容（例えばメール送受信の可否、ＷＥＢページ閲覧の可否、実行コマンド送受信の可否、ファイル共有の可否、転送データのファイル形式、転送データの容量など）、情報を送受信する相手方や方式の指定内容（例えば電子メールの宛先、カーボンコピー先、隠蔽カーボンコピー先、開放ポート番号、閉鎖ポート番号、アドレスマスク設定、使用可能なプロトコルなど）などを特定可能な情報であればよい。
【００３１】
なお、システムプロパティ情報取得処理部１６２は、情報システム１０を構成する各機器の機器識別情報や動作性能情報、設定要素情報などを全てシステム情報データベース１５４から取得してもよいし、一部のみをシステム情報データベース１５４から取得し、その他の情報は情報システム１０を構成する各機器そのものから取得してもよい。あるいは、全てのシステムプロパティ情報を、情報システム１０を構成する各機器から取得するようにしてもよい。また、システムプロパティ情報取得処理部１６２は、情報システム１０を構成する全ての機器に関するシステムプロパティ情報を取得してもよいし、クライアント端末５０からの要求に応じて情報システム１０にて実行すべき処理の内容に応じて、情報システム１０を構成する一部の機器に関するシステムプロパティ情報を取得してもよい。
【００３２】
ポリシー決定処理部１６３は、ポリシー管理データベース１５３に格納されているポリシー情報のうちで、情報システム１０の設定を行うために必要となるものを決定する。例えば、ポリシー決定処理部１６３は、クライアントプロパティ情報取得処理部１６０が取得したクライアントプロパティ情報や、利用者情報取得処理部１６１が取得した利用者属性情報などから、情報システム１０の設定を行うために必要となるポリシー情報を決定する。また、ポリシー決定処理部１６３は、クライアント端末５０からのアクセス要求に応答して情報システム１０にて実行すべき処理の内容を特定し、特定された処理内容に基づいてポリシー情報を決定してもよい。ポリシー決定処理部１６３によって決定されたポリシー情報は、ポリシー情報判定処理部１６４に通知される。
【００３３】
ポリシー情報判定処理部１６４は、ポリシー決定処理部１６３から通知されたポリシー情報をポリシー管理データベース１５３から読み出し、読み出したポリシー情報の解析を行う。そして、解析の結果から関連情報が必要か否かを判定し、必要である場合には、その関連情報を取得する。例えば、ポリシー情報判定処理部１６４は、クライアントプロパティ情報取得処理部１６０により取得したクライアントプロパティ情報や、利用者情報取得処理部１６１により取得した利用者属性情報、システムプロパティ情報取得処理部１６２により取得したシステムプロパティ情報などのうちから、関連情報として必要なものを選択して取得する。また、ポリシー情報判定処理部１６４は、クライアント端末５０からの要求に応じて情報システム１０にて実行すべき処理の内容に応じて、例えばサーバ１１０−１〜１１０−Ｎなどの情報システム１０を構成する各機器から、ポリシー情報の関連情報を取得してもよい。ポリシー情報判定処理部１６４によってポリシー管理データベース１５３から読み出されたポリシー情報や、その関連情報は、システム設定作成処理部１５２に提供される。
【００３４】
システム設定作成処理部１５２は、ポリシー判断処理部１５１のポリシー情報判定処理部１６４より提供されたポリシー情報や、その関連情報などから、情報システム１０を構成する各機器の設定内容を示す機器設定情報を作成する。例えば、システム設定作成処理部１５２は、ポリシー情報によって示される情報セキュリティポリシーの内容を解析し、関連情報に含まれるクライアントプロパティ情報や利用者属性情報、システムプロパティ情報などにあわせて、各サーバ１１０−１〜１１０−Ｎやファイアウォール１１１、スイッチ１２０などの各機器における設定内容を示す機器設定情報を作成する。そして、情報システム１０を構成する各機器に機器設定情報を提供することにより、情報セキュリティポリシーに従った情報システム１０の設定を可能にする。
【００３５】
ポリシー管理データベース１５３は、ポリシー登録処理部１５０が管理者端末１０２から取得したポリシー情報を格納して管理する。ここで、ポリシー管理データベース１５３に格納されるポリシー情報には、情報システム１０のシステム構成や各機器の設定とは独立した汎用的な情報セキュリティポリシーを定めるメインポリシー情報と、メインポリシー情報内で参照される具体的な条件や動作ルールを記述したサブポリシー情報とが含まれている。
【００３６】
システム情報データベース１５４は、情報システム１０を構成する各機器のシステムプロパティ情報のうちの全部又は一部を格納する。システム情報データベース１５４に格納されたシステムプロパティ情報は、システム設定作成処理部１５２による機器設定情報の作成に使用することができる。
【００３７】
利用者管理装置１０１は、例えばワークステーションやパーソナルコンピュータなどの一般的な電子計算機としてのハードウェア構成を有するものであればよく、ＬＤＡＰ（Lightweight Directory Access Protocol）等の所定プロトコルに準拠したディレクトリツリーを使用するなどして、利用者に関する所定の情報を管理する。ここで、利用者管理装置１０１が管理する情報の具体的な一例としては、各利用者を特定するためのユーザＩＤや、パスワード、所属部署名や役職名、所属グループ名、情報管理に関する属性（情報提供が許可される程度など）を示す情報などであればよい。
【００３８】
管理者端末１０２は、例えばワークステーションやパーソナルコンピュータなどといった一般的な電子計算機としてのハードウェア構成を有するものであればよい。管理者端末１０２は、例えば情報システム１０を管理する管理者の操作などに応答して、ポリシー情報の入力や作成を行い、ポリシー情報をポリシー管理装置１００に提供する。一例として、管理者端末１０２では、企業のセキュリティ対策部門（情報システム部署など）にて作成された運用手順書などに従った情報セキュリティポリシーが、所定のポリシー記述言語で記載されたポリシー情報として入力される。
【００３９】
また、管理者端末１０２にて入力されるポリシー情報は、キーボードやマウスなどの入力装置を用いて入力されるものであってもよいし、磁気ディスクドライブや光ディスクドライブ、ＩＣメモリインタフェースなどといった記録媒体読取装置を用いることにより、磁気ディスクや光ディスク、ＩＣメモリなどの所定の記録媒体から読み取られるものであってもよい。あるいは、管理者端末１０２が所定の通信処理を実行してポリシー情報を取得するものや、管理者端末１０２が所定のアプリケーションプログラムを実行することによりポリシー情報が作成されるものであってもよい。
【００４０】
サーバ１１０−１〜１１０−Ｎは、例えばワークステーションやパーソナルコンピュータなどの一般的な電子計算機としてのハードウェア構成を有するものであればよく、クライアント端末５０からの要求に応答して所定の情報処理を実行可能な情報処理装置として機能するものであればよい。サーバ１１０−１〜１１０−Ｎの具体例としては、ウェブサーバ、ファイルサーバ、メールサーバ、データベースサーバ、ＤＲＭ（Digital Rights Management）サーバ、ＳＳＯ（Single Sign-On）サーバ、アプリケーションサーバのうちで、少なくとも１つを含んだものであればよい。
【００４１】
ファイアウォール１１１は、保護対象となる情報システム１０の内部ネットワークにおける構成等の情報を外部から隠蔽し、情報システム１０の内部ネットワークと外部ネットワーク１１との境界において、認証に基づくアクセス制御を実行することで、外部からの進入を防ぎつつ、正当な利用者の通信を可能にする機能を有している。
【００４２】
スイッチ１２０は、例えば認証機能付きのＬＡＮスイッチなどであればよく、クライアント端末５０を情報システム１０内の業務システム１５や検疫システム３００に接続可能とする設定を行う。
【００４３】
検疫システム３００は、検疫サーバ３０などを用いて構成され、クライアント端末５０とネットワーク接続される。検疫システム３００は、業務システム１５とは隔離して設置されていればよい。検疫システム３００に接続されたクライアント端末５０は、ウィルスの感染の有無や、セキュリティ・パッチの状況、ウィルス対策ソフトの定義ファイルのバージョン及び稼働状況などが検査される。この検査の結果が情報システム１０における情報セキュリティポリシーに合致する場合には、業務システム１５への接続が許可される。他方、情報セキュリティポリシーに合致しない場合には、クライアント端末５０を情報セキュリティポリシーに適合するように更新し、その後に業務システム１５への接続を許可する。
【００４４】
次に、上記構成におけるポリシー管理装置１００の動作について説明する。このポリシー管理装置１００では、ポリシー登録処理部１５０が管理者端末１０２などから取得した情報に基づいてポリシー情報をポリシー管理データベース１５３に格納することにより、情報セキュリティポリシーが記載されたポリシー情報が予め登録されている。
【００４５】
クライアント端末５０は、スイッチ１２０に接続されることにより、あるいは、アクセスポイント２０に接続されて外部ネットワーク１１を介することにより、情報システム１０へのアクセス要求を発信する。ポリシー管理装置１００では、このクライアント端末５０からのアクセス要求に応答して、図３のフローチャートに示すような情報システム設定処理を実行する。
【００４６】
図３に示す情報システム設定処理を開始すると、まず、利用者情報取得処理部１６１がクライアント端末５０からのアクセス情報などに基づいて利用者を判別し、そのアクセス情報や利用者管理装置１０１にて管理される情報から、利用者属性情報などを取得する（ステップＳ１０１）。また、クライアントプロパティ情報取得処理部１６０は、クライアント端末５０から送られる情報や利用者管理装置１０１にて管理される情報から、クライアント端末５０に関するクライアントプロパティ情報を取得する（ステップＳ１０２）。
【００４７】
続いて、ポリシー決定処理部１６３は、ステップＳ１０１にて取得した利用者属性情報や、ステップＳ１０２にて取得したクライアントプロパティ情報、あるいはクライアント端末５０からのアクセス要求に応答して情報システム１０にて実行すべき処理の内容などから、情報システム１０の設定を行うために必要となるポリシー情報を決定する（ステップＳ１０３）。ポリシー情報判定処理部１６４は、ステップＳ１０３にて決定されたポリシー情報をポリシー管理データベース１５３から読み出して取得する（ステップＳ１０４）。ポリシー情報判定処理部１６４は、ポリシー管理データベース１５３から読み出したポリシー情報の解析を行う（ステップＳ１０５）。
【００４８】
ステップＳ１０５における解析の結果から、ポリシー情報判定処理部１６４は、関連情報が必要となるか否かを判定する（ステップＳ１０６）。このとき、関連情報が必要であると判定された場合には（ステップＳ１０６；Ｙｅｓ）、ポリシー情報の関連情報となる情報を、例えばサーバ１１０−１〜１１０−Ｎなどの情報システム１０を構成する各機器から取得する（ステップＳ１０７）。ステップＳ１０７にて取得された関連情報は、ポリシー情報とともにシステム設定作成処理部１５２に提供される。他方、ステップＳ１０６にて関連情報は不要であると判別された場合には（ステップＳ１０６；Ｎｏ）、ステップＳ１０７の処理をスキップして、ポリシー情報のみをシステム設定作成処理部１５２に提供してもよい。あるいは、ステップＳ１０１にて取得した利用者属性情報や、ステップＳ１０２にて取得したクライアントプロパティ情報は、ポリシー情報の解析結果から必要とされる関連情報とは異なる情報であるとして、ポリシー情報とともにシステム設定作成処理部１５２に提供するようにしてもよい。
【００４９】
また、ステップＳ１０５におけるポリシー情報の解析結果に基づき、システムプロパティ情報取得処理部１６２がシステム情報データベース１５４に格納されている情報や情報システム１０を構成する各機器が保持する情報から、システムプロパティ情報を取得する（ステップＳ１０８）。ステップＳ１０８にて取得されたシステムプロパティ情報は、システム設定作成処理部１５２に提供される。
【００５０】
この後、システム設定作成処理部１５２は、ポリシー判断処理部１５１の各構成より提供された情報から、情報システム１０を構成する各機器の設定内容を示す機器設定情報を作成する（ステップＳ１０９）。そして、各機器に作成した機器設定情報を提供することにより、情報セキュリティポリシーに従った情報システム１０の設定を完了させる（ステップＳ１１０）。
【００５１】
以下に、ポリシー管理装置１００が管理する情報セキュリティポリシーの具体例について説明する。まず、第１の具体例として、ドキュメントに対する情報セキュリティポリシーについて説明する。この場合、例えばサーバ１１０−１が文書管理システムを構成するファイルサーバであるものとする。
【００５２】
この具体例では、ポリシー登録処理部１５０により、図４（Ａ）に示すような「文書種別」に対応したメインポリシー情報と、図４（Ｂ）に示すようなサブポリシー情報とが、ポリシー管理データベース１５３に予め格納される。図４（Ａ）に示すメインポリシー情報は、情報システム１０における実際の構成とは独立した汎用的な内容を記述したものであり、例えば文書の種別が「極秘」に対応したメインポリシー情報Ｍ１１と、文書の種別が「機密」に対応したメインポリシー情報Ｍ１２とを含んでいる。図４（Ｂ）に示すサブポリシー情報は、メインポリシー情報から参照される具体的な条件を記述したものであり、例えば「所属」の条件に対応したサブポリシー情報Ｓ１１と、「役職」の条件に対応したサブポリシー情報Ｓ１２と、「期間」の条件に対応したサブポリシー情報Ｓ１３と、「環境」の条件に対応したサブポリシー情報Ｓ１４とを含んでいる。
【００５３】
また、サーバ１１０−１によって構成される文書管理システムでは、各文書に関連付けられる情報の一例として、図５（Ａ）に示すような文書プロパティ情報が保持されているものとする。図５（Ａ）に示す文書プロパティ情報は、文書管理システムによって管理される各文書に関する情報のみを記述したものであり、情報システム１０や文書管理システムにおける実際の設定とは独立した内容のものであればよい。図５（Ａ）に示す例では、「文書ＸＸＸ」に対応した文書プロパティ情報ＤＰ１１と、「文書ＹＹＹ」に対応した文書プロパティ情報ＤＰ１２と、「文書ＺＺＺ」に対応した文書プロパティ情報ＤＰ１３とが含まれている。
【００５４】
図５（Ｂ）は、システム情報データベース１５４に格納されるシステムプロパティ情報の一例を示している。図５（Ｂ）に示すシステムプロパティ情報は、アクセス権の内容を示す「アクセス権」のシステムプロパティ情報ＳＰ１１と、ファイルの使用内容を示す「ファイルの利用」のシステムプロパティ情報ＳＰ１２と、ファイアウォール１１１の設定内容を示す「ＦＷ設定」のシステムプロパティ情報ＳＰ１３と、サーバ１１０−１〜１１０−Ｎに含まれるメールサーバの設定を示す「メールサーバ設定」のシステムプロパティ情報ＳＰ１４とが含まれている。
【００５５】
次に、第２の具体例として、ネットワークに対する情報セキュリティポリシーについて説明する。この具体例では、ポリシー登録処理部１５０により、図６（Ａ）に示すような「ネットワークポリシー」に対応したメインポリシー情報と、図６（Ｂ）に示すようなサブポリシー情報とが、ポリシー管理データベース１５３に予め格納される。図６（Ａ）に示すメインポリシー情報も、図４（Ａ）に示したメインポリシー情報と同様に、情報システム１０における実際の構成とは独立した汎用的な内容を記述したものであればよく、例えば情報システム１０の内部ネットワークで実施される「ウィルス対策」に対応したメインポリシー情報Ｍ２１と、ファイアウォール１１１の設定に関する「ＦＷ設定」に対応したメインポリシー情報Ｍ２２とが含まれている。図６（Ｂ）に示すサブポリシー情報も、図４（Ｂ）に示したサブポリシー情報と同様にメインポリシー情報から参照され、具体的な動作ルールを記述したものであり、例えば「Rule A」に対応したサブポリシー情報Ｓ２１と、「Rule B」に対応したサブポリシー情報Ｓ２２と、「Rule C」に対応したサブポリシー情報Ｓ２３とを含んでいる。
【００５６】
上記のような各種の情報が格納された状態で、例えばアクセスポイント２０に接続したクライアント端末５０から、文書の閲覧を目的とするアクセス要求があったものとする。この場合には、まず、図３に示すステップＳ１０１の処理が実行されることにより、利用者情報取得処理部１６１がクライアント端末５０からユーザＩＤを取得するなどして利用者を特定し、特定した利用者の役職や所属部署を示す利用者属性情報を、利用者管理装置１０１から取得する。また、図３に示すステップＳ１０２の処理が実行されることにより、クライアントプロパティ情報取得処理部１６０がクライアント端末５０に関するクライアントプロパティ情報を取得する。このとき取得されたクライアントプロパティ情報には、例えばアクセスポイント２０のネットワークアドレスを示す情報などが含まれることで、クライアント端末５０からのアクセスが外部ネットワーク１１を介したアクセスであることを特定することができる。また、クライアントプロパティ情報には、クライアント端末５０がデスクトップパソコンであるか、ノートパソコンであるか、ＰＤＡであるか、携帯電話機であるかといった、クライアント端末５０の種類を示す情報も含まれている。
【００５７】
続いて、図３に示すステップＳ１０３の処理が実行されることにより、ポリシー決定処理部１６３は、例えば利用者属性情報から特定される利用者の役職や所属部署、クライアント端末５０の種類、クライアントプロパティ情報から特定される外部ネットワーク１１からのアクセスであること、また、クライアント端末５０からのアクセス要求が文書の閲覧を目的とすることなどに基づいて、情報システム１０の設定を行うために必要となるポリシー情報を決定する。そして、図３に示すステップＳ１０４の処理が実行されることにより、ポリシー情報判定処理部１６４がポリシー管理データベース１５３に格納されているメインポリシー情報やサブポリシー情報を取得し、図３に示すステップＳ１０５の処理が実行されることにより、ポリシー情報の解析が行われる。
【００５８】
ステップＳ１０５における解析の結果、ポリシー情報の関連情報として、例えば文書プロパティ情報が必要であると判定されれば（ステップＳ１０６；Ｙｅｓ）、図３に示すステップＳ１０７の処理が実行されることにより、ポリシー情報判定処理部１６４が、文書管理システムを構成するサーバ１１０−１から文書プロパティ情報を取得する。また、ステップＳ１０５におけるポリシー情報の解析結果に基づき、図３に示すステップＳ１０８の処理が実行されることにより、システムプロパティ情報取得処理部１６２がシステム情報データベース１５４などからシステムプロパティ情報を取得する。こうして取得された各種の情報は、システム設定作成処理部１５２に提供されて、図３のステップＳ１０８の処理が実行されることによる機器設定情報の作成に用いられる。
【００５９】
図７（Ａ）〜（Ｃ）は、システム設定作成処理部１５２により作成される機器設定情報の具体例を示している。ここで、図７（Ａ）は、例えば文書管理システムを構成するサーバ１１０−１に提供されて文書ファイルの使用に関する制限事項を定める「文書の制限」を示す機器設定情報ＣＦ１１を示している。また、図７（Ｂ）は、情報システム１０を構成する機器のいずれか（例えばサーバ１１０−１〜１１０−Ｎのいずれか）に提供されて情報システム１０の内部ネットワークに関する設定を定める「ネットワーク設定」を示す機器設定情報ＣＦ１２を示している。図７（Ｃ）は、例えば文書管理システムを構成するサーバ１１０−１に提供される「パーソナルファイアウォール」を示す機器設定情報ＣＦ１３を示している。この機器設定情報ＣＦ１３の提供を受けたサーバ１１０−１は、ファイアウォール１１１によるアクセス制御とは別に独自のアクセス制御を行うための設定が可能になる。
【００６０】
また、ポリシー管理データベース１５３に格納されるポリシー情報は、メインポリシー情報とサブポリシー情報とから構成されるのみならず、さらに、情報システム１０の仕様や情報システム１０が設置される環境などに応じて、システム設定を柔軟に行うことができるように様々な組合せが可能なものとしてもよい。具体的な一例として、ポリシー管理データベース１５３に格納されるポリシー情報を複数の上下階層に階層化し、各階層においては、各メインポリシー情報などで記述された情報セキュリティポリシーのそれぞれを１つの要素として、複数の要素を定義できるようにしてもよい。この場合、階層の設定の仕方や各階層に含まれる要素には制限を設けず、状況に応じて適宜、様々な階層の設定や要素の組合せに対応できるものであればよい。一例として、クライアントプロパティ情報を利用してシステム設定を作成するための階層を設け、その階層よりも下位の階層に、システムプロパティ情報を利用してシステム設定を作成するための階層を設けるなどのように、一定の基準に基づいて切り分けられた各階層で複数の要素を定義可能にして階層化したポリシー情報を、ポリシー管理データベース１５３に格納するようにしてもよい。
【００６１】
加えて、ポリシー決定処理部１６３の決定に基づいて、ポリシー情報判定処理部１６４がポリシー管理データベース１５３に格納されているメインポリシー情報やサブポリシー情報を読み出すときには、複数のポリシー情報を組み合わせることで階層化された１つのポリシー情報を新たに作成するようにしてもよい。この場合にも、階層の設定の仕方や各階層に含まれる要素には制限を設けず、状況に応じて適宜、階層の設定や要素の組合せを決定できるようにすればよい。一例として、ポリシー情報判定処理部１６４は、クライアントプロパティ情報を利用してシステム設定を作成するための階層を設け、その階層よりも下位の階層に、システムプロパティ情報を利用してシステム設定を作成するための階層を設けるなどのように、各階層を一定の基準に基づいて切り分け、各階層において複数の要素を定義できるようにしてもよい。
【００６２】
このように、複数の上下階層に階層化されたポリシー情報を作成可能とすることにより、情報セキュリティポリシーを変更する際の影響を限定することができ、情報セキュリティポリシーやシステム設定の管理が容易になる。また、例えば下位の階層には上位の階層に比べてより具体的なシステム構成に応じた情報セキュリティポリシーの定義を用意して、社内の組織ごとなどの個別の設定が可能となり、情報セキュリティポリシーに従ったシステム設定のカスタム化が容易になる。さらに、ポリシー情報内での上下関係を明確化することにより、情報セキュリティポリシーの違反や矛盾を防止することができ、情報セキュリティポリシーに従ったきめ細やかな運用が可能になる。
【００６３】
以上説明したように、この発明によれば、クライアントプロパティ情報取得処理部１６０により取得したクライアントプロパティ情報などに基づいて情報システム１０の設定を行うために必要となるポリシー情報を決定している。これにより、例えばクライアント端末５０がデスクトップパソコンであるか、ノートパソコンであるか、ＰＤＡであるか、携帯電話機であるかといった、クライアント端末５０の種類を含めた環境に応じた情報セキュリティポリシーに従って、情報システム１０の設定を柔軟に行うことができる。
【００６４】
また、システム設定作成処理部１５２は、ポリシー判断処理部１５１により取得したポリシー情報を含めた各種の情報から機器設定情報を作成する。ポリシー管理データベース１５３に格納されるポリシー情報は、情報システム１０における実際の構成とは独立した汎用的な内容を記述したメインポリシー情報と、メインポリシー情報から参照されて具体的な条件や動作ルールを記述したサブポリシー情報とから構成されている。そして、システム情報データベース１５４に格納されたシステムプロパティ情報には、アクセス権の内容などを特定可能な設定要素情報が含まれている。これにより、情報セキュリティポリシーを設定可能な対象が限定されずに、情報セキュリティポリシーに従った情報システム１０の設定を柔軟に行うことができ、また、個別の機器設定情報を予め全て用意しておく必要がないので、システム設定に必要な情報量を低減することができる。
【００６５】
なお、上記の具体例では、ドキュメントやネットワークに対する情報セキュリティポリシーについて説明したが、この発明はこれに限定されるものではなく、例えば音楽データや映像データ、アプリケーションソフトなどといった各種の情報に対するセキュリティポリシーに従った情報システム１０の設定を行う場合にも適用可能である。
【００６６】
この発明は、上記実施の形態に限定されるものではなく、様々な変形及び応用が可能である。例えば、上記実施の形態では、ポリシー管理装置１００、利用者管理装置１０１、管理者端末１０２、サーバ１１０−１〜１１０−Ｎ、ファイアウォール１１１などが、全て独立した電子計算機としてのハードウェア構成上に構築されることにより、情報システム１０を構成するものとして説明した。しかしながら、この発明はこれに限定されるものではなく、少なくとも１つの電子計算機としてのハードウェア構成上にて、上記実施の形態で説明したポリシー管理装置１００、利用者管理装置１０１、管理者端末１０２、サーバ１１０−１〜１１０−Ｎ、ファイアウォール１１１などのいずれかと同等の処理が実行されるものであればよく、例えば１つの電子計算機としてのハードウェア構成上にて、上記実施の形態における情報システム１０の各構成が構築されるものであってもよい。また、ポリシー管理装置１００は、情報システム１０の内部に設置されるものに限定されず、情報システム１０と電気通信ネットワークを介して接続される外部の電子計算機としてのハードウェア構成上に構築されるものであってもよい。
【００６７】
また、ポリシー管理装置１００は、専用のシステムによらず、通常のコンピュータシステムを用いて実現可能である。例えば、上述の動作を実行するためのプログラムをコンピュータ読み取り可能な記録媒体（例えば磁気ディスク、光ディスク、ＩＣメモリ等）に格納して配布し、該プログラムをコンピュータにインストールすることにより、上述の処理を実行するポリシー管理装置を構成してもよい。また、インターネット等のネットワーク上に配置された任意の情報処理装置が有する情報記憶装置にプログラムを格納しておき、例えばコンピュータにダウンロード等するようにしてもよい。
【図面の簡単な説明】
【００６８】
【図１】ポリシー管理装置が適用される情報システムの一構成例を示す図である。
【図２】ポリシー管理装置の構成例を示す図である。
【図３】情報システム設定処理の一例を示すフローチャートである。
【図４】ポリシー管理データベースに格納されるポリシー情報の具体的な一例を示す図である。
【図５】サーバに保持される文書プロパティ情報と、システム情報データベースに格納されるシステムプロパティ情報の具体的な一例を示す図である。
【図６】ポリシー管理データベースに格納されるポリシー情報の具体的な一例を示す図である。
【図７】システム設定作成処理部により作成される機器設定情報の具体的な一例を示す図である。
【符号の説明】
【００６９】
１０ 情報システム
１１ 外部ネットワーク
２０ アクセスポイント
３０ 検疫サーバ
５０ クライアント端末
１００ ポリシー管理装置
１０１ 利用者管理装置
１０２ 管理者端末
１１０−１〜１１０−Ｎ サーバ
１１１ ファイアウォール
１２０ スイッチ
１５０ ポリシー登録処理部
１５１ ポリシー判断処理部
１５２ システム設定作成処理部
１５３ ポリシー管理データベース
１５４ システム情報データベース
１６０ クライアントプロパティ情報取得処理部
１６１ 利用者情報取得処理部
１６２ システムプロパティ情報取得処理部
１６３ ポリシー決定処理部
１６４ ポリシー情報判定処理部
３００ 検疫システム
【特許請求の範囲】
【請求項１】
情報セキュリティポリシーに従った情報システムの設定を行う情報システム設定装置であって、
情報セキュリティポリシーを記述したポリシー情報を格納するポリシー管理データベースと、
利用者の属性情報を取得する属性情報取得手段と、
前記情報システムに対するアクセス要求を発信した端末装置のプロパティ情報を取得する端末プロパティ情報取得手段と、
前記情報システムを構成する各機器のプロパティ情報を取得するシステムプロパティ情報取得手段と、
前記属性情報取得手段により取得した属性情報と前記端末プロパティ情報取得手段により取得した端末装置のプロパティ情報とに基づいて、前記ポリシー管理データベースに格納されたポリシー情報を読み出すポリシー情報読出手段と、
少なくとも前記ポリシー情報読出手段により読み出されたポリシー情報と前記システムプロパティ情報取得手段により取得したシステムプロパティ情報とに基づいて、前記情報システムの設定情報を作成することにより、前記情報システムの設定を行う設定制御手段とを備える、
ことを特徴とする情報システム設定装置。
【請求項２】
前記ポリシー管理データベースは、前記情報システムの構成とは独立した情報セキュリティポリシーを記述したメインポリシー情報と、前記メインポリシー情報にて参照されて前記情報システムの設定に関する条件または動作ルールを記述したサブポリシー情報を、前記ポリシー情報として格納する、
ことを特徴とする請求項１に記載の情報システム設定装置。
【請求項３】
前記ポリシー情報読出手段が前記ポリシー管理データベースから読み出したポリシー情報を解析して、当該ポリシー情報の関連情報を取得する関連情報取得手段を備え、
前記設定制御手段は、前記関連情報取得手段により取得した関連情報に基づいて、前記情報システムの設定を行う、
ことを特徴とする請求項１または２に記載の情報システム設定装置。
【請求項４】
前記ポリシー情報読出手段は、前記端末プロパティ情報取得手段により取得した端末装置のプロパティ情報に基づいて、前記ポリシー管理データベースから読み出すポリシー情報を決定する手段を含む、
ことを特徴とする請求項１、２または３に記載の情報システム設定装置。
【請求項５】
情報セキュリティポリシーに従った情報システムの設定を行うコンピュータによる情報システム設定方法であって、
情報セキュリティポリシーを記述したポリシー情報をポリシー管理データベースに格納するポリシー情報格納ステップと、
利用者の属性情報を取得する属性情報取得ステップと、
前記情報システムに対するアクセス要求を発信した端末装置のプロパティ情報を取得する端末プロパティ情報取得ステップと、
前記情報システムを構成する各機器のプロパティ情報を取得するシステムプロパティ情報取得ステップと、
前記属性情報取得ステップにて取得した属性情報と前記端末プロパティ情報取得ステップにて取得した端末装置のプロパティ情報とに基づいて、前記ポリシー管理データベースに格納されたポリシー情報を読み出すポリシー情報読出ステップと、
少なくとも前記ポリシー情報読出ステップにて読み出したポリシー情報と前記システムプロパティ情報取得ステップにて取得したシステムプロパティ情報とに基づいて、前記情報システムの設定情報を作成することにより、前記情報システムの設定を行う設定制御ステップとを備える、
ことを特徴とする情報システム設定方法。
【請求項６】
前記ポリシー情報読出ステップにて読み出したポリシー情報を解析して、当該ポリシー情報の関連情報を取得する関連情報取得ステップを備え、
前記設定制御ステップは、前記関連情報取得ステップにて取得した関連情報に基づいて、前記情報システムの設定を行う、
ことを特徴とする請求項５に記載の情報システム設定方法。
【請求項７】
情報セキュリティポリシーに従った情報システムの設定を行うコンピュータに、
情報セキュリティポリシーを記述したポリシー情報をポリシー管理データベースに格納するポリシー情報格納処理と、
利用者の属性情報を取得する属性情報取得処理と、
前記情報システムに対するアクセス要求を発信した端末装置のプロパティ情報を取得する端末プロパティ情報取得処理と、
前記情報システムを構成する各機器のプロパティ情報を取得するシステムプロパティ情報取得処理と、
前記属性情報取得処理にて取得した属性情報と前記端末プロパティ情報取得処理にて取得した端末装置のプロパティ情報とに基づいて、前記ポリシー管理データベースに格納されたポリシー情報を読み出すポリシー情報読出処理と、
少なくとも前記ポリシー情報読出処理にて読み出したポリシー情報と前記システムプロパティ情報取得処理にて取得したシステムプロパティ情報とに基づいて、前記情報システムの設定情報を作成することにより、前記情報システムの設定を行う設定制御処理と、
を実行させるためのプログラム。
【請求項８】
前記コンピュータに、
前記ポリシー情報読出処理にて読み出したポリシー情報を解析して、当該ポリシー情報の関連情報を取得する関連情報取得処理をさらに実行させ、
前記設定制御処理では、前記関連情報取得処理にて取得した関連情報に基づいて、前記情報システムの設定を行う、
ことを特徴とする請求項７に記載のプログラム。
【請求項１】
情報セキュリティポリシーに従った情報システムの設定を行う情報システム設定装置であって、
情報セキュリティポリシーを記述したポリシー情報を格納するポリシー管理データベースと、
利用者の属性情報を取得する属性情報取得手段と、
前記情報システムに対するアクセス要求を発信した端末装置のプロパティ情報を取得する端末プロパティ情報取得手段と、
前記情報システムを構成する各機器のプロパティ情報を取得するシステムプロパティ情報取得手段と、
前記属性情報取得手段により取得した属性情報と前記端末プロパティ情報取得手段により取得した端末装置のプロパティ情報とに基づいて、前記ポリシー管理データベースに格納されたポリシー情報を読み出すポリシー情報読出手段と、
少なくとも前記ポリシー情報読出手段により読み出されたポリシー情報と前記システムプロパティ情報取得手段により取得したシステムプロパティ情報とに基づいて、前記情報システムの設定情報を作成することにより、前記情報システムの設定を行う設定制御手段とを備える、
ことを特徴とする情報システム設定装置。
【請求項２】
前記ポリシー管理データベースは、前記情報システムの構成とは独立した情報セキュリティポリシーを記述したメインポリシー情報と、前記メインポリシー情報にて参照されて前記情報システムの設定に関する条件または動作ルールを記述したサブポリシー情報を、前記ポリシー情報として格納する、
ことを特徴とする請求項１に記載の情報システム設定装置。
【請求項３】
前記ポリシー情報読出手段が前記ポリシー管理データベースから読み出したポリシー情報を解析して、当該ポリシー情報の関連情報を取得する関連情報取得手段を備え、
前記設定制御手段は、前記関連情報取得手段により取得した関連情報に基づいて、前記情報システムの設定を行う、
ことを特徴とする請求項１または２に記載の情報システム設定装置。
【請求項４】
前記ポリシー情報読出手段は、前記端末プロパティ情報取得手段により取得した端末装置のプロパティ情報に基づいて、前記ポリシー管理データベースから読み出すポリシー情報を決定する手段を含む、
ことを特徴とする請求項１、２または３に記載の情報システム設定装置。
【請求項５】
情報セキュリティポリシーに従った情報システムの設定を行うコンピュータによる情報システム設定方法であって、
情報セキュリティポリシーを記述したポリシー情報をポリシー管理データベースに格納するポリシー情報格納ステップと、
利用者の属性情報を取得する属性情報取得ステップと、
前記情報システムに対するアクセス要求を発信した端末装置のプロパティ情報を取得する端末プロパティ情報取得ステップと、
前記情報システムを構成する各機器のプロパティ情報を取得するシステムプロパティ情報取得ステップと、
前記属性情報取得ステップにて取得した属性情報と前記端末プロパティ情報取得ステップにて取得した端末装置のプロパティ情報とに基づいて、前記ポリシー管理データベースに格納されたポリシー情報を読み出すポリシー情報読出ステップと、
少なくとも前記ポリシー情報読出ステップにて読み出したポリシー情報と前記システムプロパティ情報取得ステップにて取得したシステムプロパティ情報とに基づいて、前記情報システムの設定情報を作成することにより、前記情報システムの設定を行う設定制御ステップとを備える、
ことを特徴とする情報システム設定方法。
【請求項６】
前記ポリシー情報読出ステップにて読み出したポリシー情報を解析して、当該ポリシー情報の関連情報を取得する関連情報取得ステップを備え、
前記設定制御ステップは、前記関連情報取得ステップにて取得した関連情報に基づいて、前記情報システムの設定を行う、
ことを特徴とする請求項５に記載の情報システム設定方法。
【請求項７】
情報セキュリティポリシーに従った情報システムの設定を行うコンピュータに、
情報セキュリティポリシーを記述したポリシー情報をポリシー管理データベースに格納するポリシー情報格納処理と、
利用者の属性情報を取得する属性情報取得処理と、
前記情報システムに対するアクセス要求を発信した端末装置のプロパティ情報を取得する端末プロパティ情報取得処理と、
前記情報システムを構成する各機器のプロパティ情報を取得するシステムプロパティ情報取得処理と、
前記属性情報取得処理にて取得した属性情報と前記端末プロパティ情報取得処理にて取得した端末装置のプロパティ情報とに基づいて、前記ポリシー管理データベースに格納されたポリシー情報を読み出すポリシー情報読出処理と、
少なくとも前記ポリシー情報読出処理にて読み出したポリシー情報と前記システムプロパティ情報取得処理にて取得したシステムプロパティ情報とに基づいて、前記情報システムの設定情報を作成することにより、前記情報システムの設定を行う設定制御処理と、
を実行させるためのプログラム。
【請求項８】
前記コンピュータに、
前記ポリシー情報読出処理にて読み出したポリシー情報を解析して、当該ポリシー情報の関連情報を取得する関連情報取得処理をさらに実行させ、
前記設定制御処理では、前記関連情報取得処理にて取得した関連情報に基づいて、前記情報システムの設定を行う、
ことを特徴とする請求項７に記載のプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【公開番号】特開２００６−１８４９３６（Ｐ２００６−１８４９３６Ａ）
【公開日】平成１８年７月１３日（２００６．７．１３）
【国際特許分類】
【出願番号】特願２００４−３７４５８６（Ｐ２００４−３７４５８６）
【出願日】平成１６年１２月２４日（２００４．１２．２４）
【出願人】（０００１０２７２８）株式会社エヌ・ティ・ティ・データ (438)
【Ｆターム（参考）】
【公開日】平成１８年７月１３日（２００６．７．１３）
【国際特許分類】
【出願日】平成１６年１２月２４日（２００４．１２．２４）
【出願人】（０００１０２７２８）株式会社エヌ・ティ・ティ・データ (438)
【Ｆターム（参考）】
[ Back to top ]