管理装置及び端末装置
【課題】セキュリティポリシーを端末装置に適用させるシステムにおいて、柔軟なセキュリティポリシーの適用を行う。
【解決手段】セキュリティ端末装置１１では、ログイン処理の開始からセッションが開始し、ログイン処理の完了後にセッションが確立する。セキュリティ管理装置１は、セッション開始時から適用を開始させセッション中は継続して適用させるセッション単位の認証ポリシーと、セッション確立後の追加適用も可能な即時適用の認証ポリシーに区別して認証ポリシーを記憶しており、ログイン処理時のユーザ認証にはセッション単位の認証ポリシーと即時適用の認証ポリシーをセキュリティ端末装置１１に送信し、これらによりユーザ認証を行わせ、セッション中のユーザ認証には即時適用の認証ポリシーをセキュリティ端末装置１１に送信し、即時適用の認証ポリシーを追加適用させてユーザ認証を行わせる。
【解決手段】セキュリティ端末装置１１では、ログイン処理の開始からセッションが開始し、ログイン処理の完了後にセッションが確立する。セキュリティ管理装置１は、セッション開始時から適用を開始させセッション中は継続して適用させるセッション単位の認証ポリシーと、セッション確立後の追加適用も可能な即時適用の認証ポリシーに区別して認証ポリシーを記憶しており、ログイン処理時のユーザ認証にはセッション単位の認証ポリシーと即時適用の認証ポリシーをセキュリティ端末装置１１に送信し、これらによりユーザ認証を行わせ、セッション中のユーザ認証には即時適用の認証ポリシーをセキュリティ端末装置１１に送信し、即時適用の認証ポリシーを追加適用させてユーザ認証を行わせる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、組織内で適用するセキュリティポリシーを端末装置に配信する技術に関する。
【背景技術】
【０００２】
本発明に関連する技術として、特許文献１に記載の技術がある。
特許文献１では、組織内の端末装置に対して、サーバからセキュリティポリシーを配布・更新するシステムを提案している。
特許文献１の方式では以下の手順で処理を行う。
（１）管理サーバにセキュリティポリシーを設定する。
（２）管理者は管理サーバに、どの端末装置に対してどのセキュリティポリシーを適用するかを設定する。
（３）管理サーバは、セキュリティポリシーに対応する鍵を端末装置に通知する。
（４）配信サーバが、セキュリティポリシーを暗号化してブロードキャストする。
（５）端末装置は、ブロードキャストされたセキュリティポリシーを鍵で復号して、端末に保存する。
（６）端末装置は、保存したセキュリティポリシーを使用して認証を実行する。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００６−２４３７９１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
特許文献１の方式では、即時適用させるセキュリティポリシーとして配布するために、セキュリティポリシーの端末装置への適用（反映）も即時に行われる。
このため、端末装置にログイン中のユーザが居る場合に、配布されたセキュリティポリシーの即時反映を保留して次のログインからの反映とすることはできない。
つまり、ユーザの端末へのログインからログアウトを１つのセッションとして管理する場合に、セッション単位で適用することが望ましいセキュリティポリシーも存在するが、特許文献１では、セッション単位で適用することが望ましいセキュリティポリシーと即時適用が望ましいセキュリティポリシーを区別することなく全てのセキュリティポリシーを即時適用の対象として配布するために、全てのセキュリティポリシーの反映が即時に行われ、セッション単位で適用することが望ましいセキュリティポリシーであっても次のセッション開始時（次のログイン時）まで適用を保留するといった柔軟な運用ができないという課題がある。
【０００５】
セッション単位で適用すべきセキュリティポリシーの例として、「認証デバイスポリシー」がある。
「認証デバイスポリシー」とは、例えば、ユーザ認証にＩＣカードが使用できるか、指紋認証用のデバイスが使用できるかを指定する。
ＩＤとパスワードを利用するポリシーに従ったユーザ認証を経て端末装置に最初のログインを行ったユーザが、トイレなどで一時的に端末装置のスクリーンをロックしているときに、ＩＣカードを必要とする認証デバイスポリシーが配布され、端末装置において新たな認証デバイスポリシーに変更すると、当該ユーザは、ＩＣカードを持っていないためにスクリーンロックを解除できなくなる。
【０００６】
また、逆に即時に反映すべきセキュリティポリシーとして「アカウントロックポリシー」がある。
「アカウントロックポリシー」は、パスワードの入力を何回間違えるとそのアカウントをロックするかを指定する。
この条件は、ユーザがログイン中でも（セッションの開始時以外でも）即時に反映しないとセキュリティ上問題があると考えることができる（スクリーンロックしている場合に不正なユーザがロックを解除しようと試みる恐れがあるため）。
【０００７】
以上のようにセキュリティポリシーの種類によって、「即時に反映」すべきか「セッション単位に反映」すべきか異なる。また、どちらにするかは組織の方針によっても違いがある。
そこで、セキュリティポリシー単位で、「即時に反映」か「セッション単位に反映」するかを指定できるようになっている必要がある。
また、その組織の方針が変更されたときには、セキュリティポリシーも変更できるようになっている必要がある。
【０００８】
従来の技術では、ユーザが端末装置にログインした後に新たなセキュリティポリシーが配布された場合には、ログインした時点のセキュリティポリシーが上書きされて消えてしまうため、セッション単位でセキュリティポリシーを反映させることができない。
また、セキュリティポリシー毎に「即時に反映」か「セッション単位に反映」するかを指定することもできない。
このように、従来の技術では、セキュリティポリシーごとに、端末装置に即時に適用させたり、セッション単位で適用させるといった柔軟な運用ができないという課題がある。
本発明は、このような課題を解決することを主な目的としており、柔軟にセキュリティポリシーの適用を行う仕組みを提供することを主な目的とする。
【課題を解決するための手段】
【０００９】
本発明に係る管理装置は、
ユーザのログイン処理の開始からセッションが開始し、ログイン処理の完了後にセッションが確立し、少なくともログイン処理時にセキュリティポリシーの送信を要求する端末装置
に接続されている管理装置であって、
前記端末装置に適用させるセキュリティポリシーを、適用開始タイミングがセッション開始時に限られセッション開始時の適用開始以降セッション中は継続して適用させる第１種セキュリティポリシーと、適用開始タイミングはセッション開始時に限られずセッション確立後の追加適用も可能な第２種セキュリティポリシーとに区別して記憶するセキュリティポリシー記憶部と、
前記端末装置から、前記端末装置が現在ログイン処理中であるかログイン処理済であるかを示す状態識別子が含まれ、セキュリティポリシーの送信を要求するセキュリティポリシー送信要求を受信する受信部と、
前記セキュリティポリシー送信要求に含まれている状態識別子を解析し、前記端末装置が現在ログイン処理中であると判断した場合に、前記セキュリティポリシー記憶部から前記第１種セキュリティポリシーを取得し、前記端末装置が既にログイン処理済であると判断した場合に、前記セキュリティポリシー記憶部から前記第２種セキュリティポリシーを取得するセキュリティポリシー取得部と、
前記セキュリティポリシー取得部により取得されたセキュリティポリシーを前記端末装置に対して送信する送信部とを有することを特徴とする。
【発明の効果】
【００１０】
本発明によれば、セキュリティポリシーを、第１種セキュリティポリシーと第２種セキュリティポリシーに区別し、セッション開始時には端末装置に第１種セキュリティポリシーを送信してセッションの間継続して第１種セキュリティポリシーを端末装置に適用させ、セッション確立後は第２種セキュリティポリシーを端末装置に送信して第２種セキュリティポリシーを追加的に即時に適用させるという柔軟な運用ができる。
【図面の簡単な説明】
【００１１】
【図１】実施の形態１に係るシステム構成例を示す図。
【図２】実施の形態１に係るセキュリティ管理装置の構成例を示す図。
【図３】実施の形態１に係るセキュリティ端末装置の構成例を示す図。
【図４】実施の形態１に係る認証ポリシーの例を示す図。
【図５】実施の形態１に係る認証ポリシーの種類を示す図。
【図６】実施の形態１に係る認証ポリシーの記述例を示す図。
【図７】実施の形態１に係る認証情報の例を示す図。
【図８】実施の形態１に係る認証情報の記述例を示す図。
【図９】実施の形態１に係る各ユーザの取得済情報の例を示す図。
【図１０】実施の形態１に係る各ユーザの取得済情報の記述例を示す図。
【図１１】実施の形態２に係るセキュリティ管理装置の構成例を示す図。
【図１２】実施の形態２に係るセキュリティ端末装置の構成例を示す図。
【図１３】実施の形態１、２に係るセキュリティ管理装置及びセキュリティ端末装置のハードウェア構成例を示す図。
【発明を実施するための形態】
【００１２】
実施の形態１．
図１は、本実施の形態に係るシステム構成例である。
セキュリティ管理装置１（管理装置）は、セキュリティ管理者（以下、管理者という）により設定されたセキュリティポリシーを複数のセキュリティ端末装置１１に送信する。
セキュリティ端末装置１１（端末装置）は、セキュリティ管理装置１から受信したセキュリティポリシーに従ったセキュリティ対策を実施する。
セキュリティ端末装置１１は、ユーザのログインからログアウトまでを１つのセッションとしている。ユーザのログイン処理の開始からセッションが開始し、ログイン処理の完了後にセッションが確立する。
なお、図１では、セキュリティ端末装置１１は、１つしか図示していないが、複数のセキュリティ端末装置１１が存在していてもよい。
【００１３】
セキュリティポリシーとは、企業などの組織における情報資産の情報セキュリティ対策に関する方針を示した情報であり、例えば、ユーザ認証の方式、ユーザ認証の実施手順、暗号化の対象となるデータの類型、暗号化の方式、外部からの不正アクセスに対する対策、機密漏洩に対する対策、コンピュータウイルスに対する対策、データの喪失に対する対策などの方針が含まれる。
以下では、セキュリティポリシーの一例として、ユーザ認証に関するポリシー（以下、認証ポリシーという）を用いて、本実施の形態に係るセキュリティ管理装置１及びセキュリティ端末装置１１を説明する。
【００１４】
なお、セキュリティ管理装置１及びセキュリティ端末装置１１の内部構成等の詳細を説明する前に、ここで、本実施の形態に係るセキュリティ管理装置１及びセキュリティ端末装置１１の概要を説明する。
【００１５】
セキュリティ管理装置１は、認証ポリシー単位で、「即時に反映」するか「セッション単位に反映」するかを示すタイミング情報を保持する。
セキュリティ端末装置１１は、認証ポリシーと認証情報（ＩＤ／パスワードなど）のキャッシュを保持してキャッシュを使用して認証を実行できる。
セッションの開始時（ユーザログイン処理時）は、セキュリティ端末装置１１は、最新の認証ポリシーと認証情報をセキュリティ管理装置１から受け取り、その情報を使用して認証を行う。
セッション途中での認証処理（スクリーンロックの解除など）では、セキュリティ端末装置１１は、セキュリティ管理装置１から「即時に反映」指定の認証ポリシーのみ受け取り、ログイン時にキャッシュした他の認証ポリシーと認証情報を使用して認証を実行する。
これにより、「即時に反映」指定した認証ポリシーは認証の際にセキュリティ端末装置１１に送信されて、最新の認証ポリシーが適用される。
「セッション単位に反映」指定の認証ポリシーは、セッションの開始時のみセキュリティ端末装置１１に送信されて、セッション途中では、更新されない。
また、セキュリティ管理装置１は、各ユーザの取得済認証ポリシーを記憶することで、変更のあった認証ポリシーのみを選別してセキュリティ端末装置１１に送ることができる。
これにより通信時のデータ量を削減することができる。
【００１６】
次に、本実施の形態に係るセキュリティ管理装置１の内部構成例を図２に示す。
図２に示すように、セキュリティ管理装置１は、情報記憶装置２と情報配信装置６に大別される。
【００１７】
情報記憶装置２は、認証ポリシー３、認証情報４、各ユーザの取得済情報５を記憶している。
認証ポリシー３及び認証情報４は、管理者から情報記憶装置２に入力される。
認証ポリシー３には、「即時に反映」か「セッション単位に反映」するかを示すフラグが設定され、複数の認証ポリシー３は、即時に反映させる認証ポリシーかセッション単位に反映させる認証ポリシーかが区別されて記憶されている。
図２の例では、認証ポリシーＡ及び認証ポリシーＣは、セッション単位に反映させる認証ポリシーであり、適用開始タイミングがセッション開始時に限られセッション開始時の適用開始以降セッション中は継続して適用させるセキュリティポリシーである。
認証ポリシーＡ及び認証ポリシーＣのようなセッション単位に反映させる認証ポリシーは、第１種セキュリティポリシーの例である。
認証ポリシーＢは、即時に反映させる認証ポリシーであり、適用開始タイミングはセッション開始時に限られずセッション確立後の追加適用も可能なセキュリティポリシーである。
認証ポリシーＢのような即時に反映させる認証ポリシーは、第２種セキュリティポリシーの例である。
認証情報４は、ユーザのＩＤ、パスワードといった認証情報であり、図２の例では、ユーザＸ、Ｙ、Ｚの認証情報が示されている。
各ユーザの取得済情報５は、既にユーザ向けに取得し送信している認証ポリシーが示される。図２の例では、ユーザＸ、Ｙ、Ｚに取得・送信済の認証ポリシーが示されている。各ユーザの取得済情報５は、送信済セキュリティポリシー情報の例である。
また、情報記憶装置２は、セキュリティポリシー記憶部、送信済セキュリティポリシー情報記憶部の例である。
【００１８】
また、情報配信装置６は、セキュリティ端末装置１１から、認証ポリシーの送信を要求するセキュリティポリシー送信要求（以下、ポリシー送信要求という）を受信し、受信したポリシー送信要求に基づいて、情報記憶装置２から認証ポリシーを取得し、また、認証情報を取得し、取得した認証ポリシー及び認証情報をセキュリティ端末装置１１に送信する。
ポリシー送信要求には、セキュリティ端末装置１１が現在ログイン処理中（セッション開始時）であるかログイン処理済（セッション確立済）であるかを示す状態識別子が含まれており、情報配信装置６は、状態識別子を解析して、ポリシー送信要求の送信元のセキュリティ端末装置１１が現在ログイン処理中であるかログイン処理済であるかを判別する。
送信元のセキュリティ端末装置１１が現在ログイン処理中であると判断した場合に、未送信のセッション単位で適用する認証ポリシー（第１種セキュリティポリシー）を取得し（更に、未送信の即時適用の認証ポリシーがあれば未送信の即時適用の認証ポリシーも取得し）、セキュリティ端末装置１１に送信する。セキュリティ端末装置１１では、受信した認証ポリシーを用いて、ログイン処理時のユーザ認証が行われる。
一方、送信元のセキュリティ端末装置１１が既にログイン処理済であると判断した場合は、情報配信装置６は、未送信の即時適用の認証ポリシー（第２種セキュリティポリシー）を取得し、セキュリティ端末装置１１に送信する。セキュリティ端末装置１１では、受信した認証ポリシー及びキャッシュ内の認証ポリシーを用いて、セッション中のユーザ認証が行われる。
情報配信装置６は、セキュリティポリシー取得部、送信部、受信部の例である。
【００１９】
次に、本実施の形態に係るセキュリティ端末装置１１の内部構成例を図３に示す。
セキュリティ端末装置１１は、ユーザが使用する端末であり、図３に示すように、情報更新装置１２、キャッシュ用情報記憶装置１３、認証実行装置１６及び認証情報入力装置１７に大別される。
【００２０】
情報更新装置１２は、ログイン処理時又はセッション確立後の任意のタイミングで、認証ポリシーの送信を要求するポリシー送信要求をセキュリティ管理装置１に対して送信する。
ポリシー送信要求には、前述のように、現在ログイン処理中であるかログイン処理済であるかを示す状態識別子が含まれる。
なお、セッション確立後の任意のタイミングとは、例えば、セッション途中での認証処理時（スクリーンロックの解除など）である。
また、情報更新装置１２は、セキュリティ管理装置１１から送信された認証ポリシー及び認証情報を受信する。
情報更新装置１２は、送信部及び受信部の例である。
【００２１】
キャッシュ用情報記憶装置１３は、情報更新装置１２が受信した認証ポリシー１４と認証情報１５を記憶する。
【００２２】
認証実行装置１６は、キャッシュ用情報記憶装置１３内の認証ポリシー１４と認証情報１５を用いて、認証ポリシーに従ったセキュリティ対策（認証処理）を実施する。
より具体的には、セッション単位で適用する認証ポリシー（認証ポリシーＡ、認証ポリシーＣ）に対しては、セッション開始時から適用を開始し、セッション中はセッション単位で適用する認証ポリシーに従った認証処理を継続して実施し、即時適用の認証ポリシーに対しては、即時適用の認証ポリシーの受信の度に受信した即時適用の認証ポリシーの適用を開始して認証処理を行う。
認証実行装置１６は、セキュリティポリシー適用部の例である。
【００２３】
認証情報入力装置１７は、認証実行装置１６による認証処理の際に用いる認証入力情報（ユーザのＩＤ、パスワード等）をユーザから入力する。
【００２４】
次に、本実施の形態に係るセキュリティ管理装置１及びセキュリティ端末装置１１の動作例を説明する。
【００２５】
先ず、初期設定の方法について説明する。
予め管理者は、認証ポリシーと認証情報の設定を行う。
【００２６】
認証ポリシーの内容を図４に示す。
認証ポリシーの情報は、認証を実行するときに従うべきルールを示しており、認証ポリシーを識別するためのＩＤ（ｐｏｌｉｃｙ＿ｉｄ）と認証ポリシーの名前（ｎａｍｅ）と、認証ポリシーの値（ｖａｌｕｅ）と、「即時に反映」するか「セッション単位に反映」するかを示す認証ポリシーの適用タイミング（ｔｉｍｉｎｇ）から成る。
ｔｉｍｉｎｇに、ｉｍｍｅｄｉａｔｅを指定すると「即時に反映」となり、ｓｅｓｓｉｏｎを指定すると「セッション単位に反映」となる。
また、図５に認証ポリシーの種類を示す。
更に、図６に認証ポリシーをＸＭＬ（Ｅｘｔｅｎｓｉｂｌｅ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）形式で記述した例を示す。
この例は、認証デバイスとしてＩＣカードのみが使用できることを表している。
また、認証情報の内容を図７に示す。
認証情報は、ユーザＩＤ（ｕｓｅｒ＿ｉｄ）、ユーザのパスワード（ｐａｓｓｗｏｒｄ）、ユーザの権限（ｒｉｇｈｔ）、認証情報の有効期限（ｔｅｒｍ）から成る。
図８に認証情報をＸＭＬ形式で記述した例を示す。
また、図９に各ユーザの取得済情報５の内容を示す。
保持する情報としては、認証ポリシーを識別するためのＩＤ（ｐｏｌｉｃｙ＿ｉｄ）と、認証ポリシーの名前（ｎａｍｅ）と、認証ポリシーの値（ｖａｌｕｅ）から成る。
図１０に各ユーザの取得済情報５をＸＭＬ形式で記述した例を示す。
この例は、認証デバイスとして指紋認証デバイスのみが使用できることを表している。
【００２７】
次に、セッションを開始するときの、セキュリティ管理装置１とセキュリティ端末装置１１の動作について説明する。
ここで、セッションの開始とは、未ログインのユーザがログインするときのことを指している。
【００２８】
ユーザはセキュリティ端末装置１１の認証情報入力装置１７に対して、ユーザＩＤとパスワードを入力し、あるいはＩＣカード（内部にユーザＩＤも含む）を使用して認証を要求する。ユーザが認証情報入力装置１７に入力するこれらの情報が認証入力情報に相当する。
認証情報入力装置１７は認証入力情報を認証実行装置１６に渡して、認証を要求する。
認証実行装置１６は、認証ポリシーと、ユーザＩＤに対応した認証情報をキャッシュ用情報記憶装置１３に要求する。
キャッシュ用情報記憶装置１３は、認証ポリシーと、ユーザＩＤに対応した認証情報を情報更新装置１２に要求する。
情報更新装置１２は、認証ポリシーと、ユーザＩＤに対応した認証情報の配信を要求するポリシー送信要求を情報配信装置６に送信する。
ポリシー送信要求には、状態識別子とユーザＩＤが含まれている。
ここで送信されるポリシー送信要求には、現在ログイン処理中であることを示す状態識別子が含まれる。
【００２９】
情報配信装置６は、ポリシー送信要求を受信し、受信したポリシー送信要求に含まれているユーザＩＤを用いて、各ユーザの取得済情報５を検索して、当該ユーザに対して取得済の認証ポリシーを抽出する。
なお、セキュリティ端末装置１１は現在ログイン処理中であるので、当該ユーザのセキュリティ端末装置１１に対して過去に認証ポリシーが送信されていなければ、各ユーザの取得済情報５から認証ポリシーは抽出されない。また、当該ユーザのセキュリティ端末装置１１に対して過去に認証ポリシーが送信されている場合は、前回のセッションの終了までに送信された認証ポリシーが抽出される。
次に、情報配信装置６は、認証ポリシー３の認証ポリシーのうち、抽出した取得済の認証ポリシーと比較して更新されている認証ポリシー（セッション単位適用認証ポリシーと即時適用認証ポリシーの両方）を情報記憶装置２から取得する。なお、抽出した取得済の認証ポリシーと比較して更新されている認証ポリシーには、取得済の認証ポリシーとは異なる新規に導入された認証ポリシーと、取得済の認証ポリシーの内容の更新にあたる認証ポリシー（以降、改訂版の認証ポリシーという）の両方が含まれる。
また、情報配信装置６は、ポリシー送信要求に含まれているユーザＩＤに対応した認証情報を情報記憶装置２から取得する。
そして、情報配信装置６は、取得した認証ポリシーと認証情報をセキュリティ端末装置１１の情報更新装置１２に送信する。
また、情報配信装置６は、セキュリティ端末装置１１に送信した認証ポリシーを「各ユーザの取得済情報５」に書き込む。なお、セキュリティ端末装置１１に送信した認証ポリシーが従前の認証ポリシーの改訂版にあたる場合は、改訂前の認証ポリシーに上書きして改訂後の認証ポリシーを記録する。
【００３０】
セキュリティ端末装置１１では、情報更新装置１２が認証ポリシーと認証情報を受信し、受信した認証ポリシーを暗号化し、認証ポリシー１４としてキャッシュ用情報記憶装置１３に記憶させ、また、受信した認証情報を暗号化して認証情報１５としてキャッシュ用情報記憶装置１３に記憶させる。
なお、認証ポリシー及び認証情報の暗号化は任意であり、暗号化を行わなくてもよい。また、情報配信装置６から情報更新装置１２への送信時にも認証ポリシー及び認証情報を暗号化するようにしてもよい。
キャッシュ用情報記憶装置１３は、認証ポリシー（新たに受信した認証ポリシーと従前からキャッシュ内にあった認証ポリシーの両方）と認証情報を認証実行装置１６に返す。
認証実行装置１６は、受け取った認証ポリシーと認証情報で認証を実行して結果を認証情報入力装置１７に返す。
認証情報入力装置１７は認証結果をユーザに返す。
認証実行装置１６における認証に成功した場合は、ユーザはセキュリティ端末装置１１へのログインに成功し、セッションが確立する。
【００３１】
次に、セッション中での認証を実行するときの、セキュリティ管理装置１とセキュリティ端末装置１１の動作を説明する。
ここで、セッション中での認証とは、例えば、ログイン済みのユーザがスクリーンロック解除を行う際の認証のことを指している。
【００３２】
ユーザはセキュリティ端末装置１１の認証情報入力装置１７で、ユーザＩＤとパスワードを入力し、あるいはＩＣカードを使用して認証を要求する。
認証情報入力装置１７は、入力された認証入力情報を認証実行装置１６に渡して認証を要求する。
認証実行装置１６は、認証ポリシーと、ユーザＩＤに対応した認証情報をキャッシュ用情報記憶装置１３に要求する。
キャッシュ用情報記憶装置１３は、「即時に反映」（ｉｍｍｅｄｉａｔｅ）指定の認証ポリシーと、ユーザＩＤに対応した認証情報を情報更新装置１２に要求する。
情報更新装置１２は、「即時に反映」（ｉｍｍｅｄｉａｔｅ）指定の認証ポリシーと、ユーザＩＤに対応した認証情報の送信を要求するポリシー送信要求を情報配信装置６に送信する。
ポリシー送信要求には、状態識別子とユーザＩＤが含まれている。
ここで送信されるポリシー送信要求には、既にログイン処理済（セッション確立済）であることを示す状態識別子が含まれる。
【００３３】
情報配信装置６は、ポリシー送信要求を受信し、受信したポリシー送信要求に含まれているユーザＩＤを用いて、各ユーザの取得済情報５を検索して、当該ユーザに対して取得済みの認証ポリシーを抽出する。
次に、情報配信装置６は、認証ポリシー３の認証ポリシーのうち、抽出した取得済の認証ポリシーと比較して更新されている「即時に反映」（ｉｍｍｅｄｉａｔｅ）指定の認証ポリシーを情報記憶装置２から取得する。つまり、セッション確立済の段階では、即時に適用する認証ポリシーのみを取得する。
そして、情報配信装置６は、取得した認証ポリシーをセキュリティ端末装置１１の情報更新装置１２に送信する。
また、情報配信装置６は、ユーザＩＤに対応した認証情報を認証情報４から取得して情報更新装置１２に配信する。
また、情報配信装置６は、セキュリティ端末装置１１に送信した認証ポリシーを「各ユーザの取得済情報５」に書き込む。ここでも、セキュリティ端末装置１１に送信した認証ポリシーが従前の認証ポリシーの改訂版にあたる場合は、改訂前の認証ポリシーに上書きして改訂後の認証ポリシーを記録する。
【００３４】
セキュリティ端末装置１１では、情報更新装置１２が認証ポリシーと認証情報を受信し、受信した認証ポリシーを暗号化し、認証ポリシー１４としてキャッシュ用情報記憶装置１３に記憶させ、また、受信した認証情報を暗号化して認証情報１５としてキャッシュ用情報記憶装置１３に記憶させる。
キャッシュ用情報記憶装置１３は、全ての認証ポリシー（新たに受信した認証ポリシーと従前からキャッシュ内にあった認証ポリシーの両方）とユーザＩＤに対応した認証情報を認証実行装置１６に返す。
認証実行装置１６は、受け取った認証ポリシーと認証情報で認証を実行して結果を認証情報入力装置１７に返す。
認証情報入力装置１７は認証結果をユーザに返す。
【００３５】
このように、本実施の形態では、セキュリティポリシーの性質に応じて、セッション単位で適用させるセキュリティポリシーと即時に適用させるべきセキュリティポリシーに区別し、セッション開始時にはセッション単位のセキュリティポリシーをセキュリティ端末装置に適用させ、セッション確立後は即時適用のセキュリティポリシーをセキュリティ端末装置に追加的に即時に適用させるという柔軟な運用ができる。
また、組織によってことなるセキュリティ方針を適切なタイミングで反映させることができる。
【００３６】
また、本実施の形態によれば、認証ポリシーを更新するときは、セッション開始時点から更新された認証ポリシーのみを通知するだけで済むため、通信する情報量を最小限に留めることができる。
【００３７】
また、本実施の形態によれば、通信回線が故障して、セキュリティ管理装置とセキュリティ端末装置が通信できなくなった場合でも、セキュリティ端末装置が保持している認証ポリシーと認証情報を使用することで、セッション開始時点のポリシーで認証を実行することができる。
【００３８】
また、本実施の形態は、情報システムのユーザ認証の機能を実現する方式として利用することができる。
組織の方針に従ってセキュリティを管理する必要がある場合に有効と考えられる。
また、金融のようなセキュリティが厳しく管理される業務において、認証ポリシーの反映のタイミングが問題になる場合に対応することができる。
【００３９】
実施の形態２．
実施の形態１では、セキュリティ管理装置１から認証ポリシーをセキュリティ端末装置１１に送信し、セキュリティ端末装置１１にて認証ポリシーに従ってユーザ認証を行う例を説明した。
本実施の形態では、セキュリティ管理装置１が認証ポリシーに従って、ユーザ認証を行う例を説明する。
【００４０】
本実施の形態に係るシステム構成例は、図１に示すとおりである。
また、本実施の形態に係るセキュリティ管理装置１の構成例は図１１に示すとおりである。
また、本実施の形態に係るセキュリティ端末装置１１の構成例は図１２に示すとおりである。
【００４１】
本実施の形態に係るセキュリティ管理装置１では、情報配信装置６の代わりに認証実行装置７が配置されている。
認証実行装置７は、情報記憶装置２の情報を利用してセキュリティ端末装置１１のユーザに対する認証処理を行う。
より具体的には、認証実行装置７は、セキュリティ端末装置１１からユーザ認証を要求するユーザ認証要求を受信し、ユーザ認証要求に含まれている状態識別子を解析し、セキュリティ端末装置１１が現在ログイン処理中であると判断した場合に、情報記憶装置２からセッション単位に適用の認証ポリシーを取得し（更に、即時適用の認証ポリシーがあれば即時適用の認証ポリシーも取得し）、取得した認証ポリシーを用いてログイン処理時のユーザ認証を行う。
また、認証実行装置７は、状態識別子の解析の結果、セキュリティ端末装置１１が既にログイン処理済（セッション確立済）であると判断した場合に、情報記憶装置２から即時適用の認証ポリシーを取得し、取得した認証ポリシーと、これまでに取得済の認証ポリシーを用いてセッション中のユーザ認証を行う。
このように、認証実行装置７は、セッション開始時とセッション途中を区別しながら認証を実行する。
認証実行装置７は、受信部、セキュリティポリシー取得部、認証実行部の例である。
図１１において、認証実行装置７以外の要素は、図２に示したものと同様であるが、各ユーザの取得済情報５は、実施の形態では、セキュリティ端末装置１１に送信済の認証ポリシーを示すが、本実施の形態では、認証ポリシーをセキュリティ端末装置１１に送信しないので、各ユーザの取得済情報５では、各ユーザに対して取得済の認証ポリシーが示される。
また、各ユーザに対して取得済の認証ポリシー自体は、各ユーザの取得済情報５内にユーザごとにプールしていてもよいし、情報記憶装置２内の他の領域にユーザごとにプールしていてもよい。
また、各ユーザの取得済情報５の取得済の認証ポリシーのリストに従って、認証実行装置７が、対象となる認証ポリシーを認証ポリシー３の領域から再度取得するようにしてもよい。
【００４２】
本実施の形態に係るセキュリティ端末装置１１は、ユーザが使用する端末であり、認証入力情報を入力し、また、ユーザ認証要求をセキュリティ管理装置１１に送信する認証情報入力装置１７から構成されている。
すなわち、本実施の形態では、セキュリティ端末装置１１でユーザ認証が行われないため、図３に示した情報更新装置１２、キャッシュ用情報記憶装置１３、認証実行装置１６は不要である。
【００４３】
次に、本実施の形態に係るセキュリティ管理装置１及びセキュリティ端末装置１１の動作例を説明する。
【００４４】
初期設定の方法は、実施の形態１で説明したものと同様なので、説明を省略する。
【００４５】
次に、セッションを開始するときの、セキュリティ管理装置１とセキュリティ端末装置１１の動作を説明する。
【００４６】
ユーザはセキュリティ端末装置１１の認証情報入力装置１７にユーザＩＤとパスワードを入力し、あるいはＩＣカード（内部にユーザＩＤを含む）などを使用して認証を要求する。
認証情報入力装置１７は入力された認証入力情報からユーザ認証要求を生成し、認証実行装置７にユーザ認証要求を送信する。
ユーザ認証要求には、状態識別子とユーザＩＤが含まれている。
ここで送信されるユーザ認証要求には、現在ログイン処理中であることを示す状態識別子が含まれる。
【００４７】
認証実行装置７は、ユーザ認証要求を受信し、受信したユーザ認証要求に含まれているユーザＩＤを用いて各ユーザの取得済情報５を検索して、当該ユーザに対して取得済の認証ポリシーを抽出する。
なお、セキュリティ端末装置１１は現在ログイン処理中であるので、当該ユーザのセキュリティ端末装置１１に対して過去に認証ポリシーが取得されていなければ、各ユーザの取得済情報５から認証ポリシーは抽出されない。また、当該ユーザのセキュリティ端末装置１１に対して過去に認証ポリシーが取得されている場合は、前回のセッションの終了までに取得された認証ポリシーが抽出される。
次に、認証実行装置７は、認証ポリシー３の認証ポリシーのうち、抽出した取得済の認証ポリシーと比較して更新されている認証ポリシー（セッション単位適用認証ポリシーと即時適用認証ポリシーの両方）を情報記憶装置２から取得する。なお、抽出した取得済の認証ポリシーと比較して更新されている認証ポリシーには、取得済の認証ポリシーとは異なる新規に導入された認証ポリシーと、取得済の認証ポリシーの改訂版にあたる認証ポリシーの両方が含まれる。
更に、認証実行装置７は、各ユーザの取得済情報５に記述されている認証ポリシーも情報記憶装置２から取得する。
また、認証実行装置７は、ユーザ認証要求に含まれているユーザＩＤに対応した認証情報を情報記憶装置２から取得する。
そして、認証実行装置７は、取得した認証ポリシーに従って、取得した認証情報を用いてログイン時のユーザ認証を行う。
なお、認証実行装置７は、認証処理において、不足している情報があれば、セキュリティ端末装置１１に、不足している情報の送信を要求してもよい。例えば、取得した認証ポリシーが、指紋や静脈等の生体情報を用いた生体認証を規定している場合は、認証実行装置７は、ユーザの生体情報の送信をセキュリティ端末装置１１に要求してもよい。
そして、認証実行装置７は、認証結果を認証情報入力装置１７に返す。
同時に、認証実行装置７は、このときの認証ポリシーを「各ユーザの取得済情報５」に記録する。なお、従前の認証ポリシーの改訂版にあたる認証ポリシーを取得した場合は、改訂前の認証ポリシーに上書きして改訂後の認証ポリシーを記録する。
認証実行装置７における認証に成功した場合は、ユーザはセキュリティ端末装置１１へのログインに成功し、セッションが確立する。
【００４８】
セッション中での認証を実行するときの、セキュリティ管理装置１とセキュリティ端末装置１１の動作を説明する。
【００４９】
ユーザはセキュリティ端末装置１１の認証情報入力装置１７で、ユーザＩＤとパスワードを入力し、あるいはＩＣカードを使用して認証を要求する。
認証情報入力装置１７は入力された認証入力情報からユーザ認証要求を生成し、認証実行装置７にユーザ認証要求を送信する。
ユーザ認証要求には、状態識別子とユーザＩＤが含まれている。
ここで送信されるユーザ認証要求には、既にログイン処理済（セッション確立済）であることを示す状態識別子が含まれる。
【００５０】
認証実行装置７は、ユーザ認証要求を受信し、受信したユーザ認証要求に含まれているユーザＩＤを用いて各ユーザの取得済情報５を検索して、当該ユーザに対して取得済みの認証ポリシーを抽出する。
次に、認証実行装置７は、認証ポリシー３の認証ポリシーのうち、抽出した取得済の認証ポリシーと比較して更新されている「即時に反映」（ｉｍｍｅｄｉａｔｅ）指定の認証ポリシーを情報記憶装置２から取得する。つまり、セッション確立済の段階では、即時に適用する認証ポリシーのみを取得する。
更に、認証実行装置７は、各ユーザの取得済情報５に記述されている認証ポリシーも情報記憶装置２から取得する。
また、認証実行装置７は、ユーザＩＤに対応した認証情報を認証情報４から取得する。
次に、認証実行装置７は、取得した認証ポリシーに従って、取得した認証情報を用いてログイン時のユーザ認証を行う。
そして、認証実行装置７は、認証結果を認証情報入力装置１７に返す。
同時に、認証実行装置７は、このときの認証ポリシーを「各ユーザの取得済情報５」に記録する。ここでも、従前の認証ポリシーの改訂版にあたる認証ポリシーを取得した場合は、改訂前の認証ポリシーに上書きして改訂後の認証ポリシーを記録する。
【００５１】
このように、セキュリティ管理装置においてユーザ認証を行う場合でも、セッション単位に適用する認証ポリシーと即時に適用する認証ポリシーを区別することにより、柔軟な認証ポリシーの適用が可能となる。
【００５２】
以上の実施の形態１及び２では、以下の装置を備えたセキュリティ管理装置を説明した。
（ａ）認証を実行する「認証実行装置」、
（ｂ）認証ポリシーと認証情報の配信を行う「情報配信装置」、
（ｃ）認証ポリシーと認証情報を保持する「情報記憶装置」。
【００５３】
また、実施の形態１では、以下の装置を備えたセキュリティ端末装置を説明した。
（ａ）認証を実行する「認証実行装置」、
（ｂ）セキュリティ管理装置に問い合わせを行い、認証ポリシーと認証情報を取得する「情報更新装置」、
（ｃ）認証ポリシーと認証情報を保持する「キャッシュ用情報記憶装置」、
（ｄ）ユーザからパスワードやＩＣカード情報などを受け取る「認証情報入力装置」。
【００５４】
また、実施の形態２では、以下の動作を行う認証実行装置７を説明した。
（ａ）セッションの開始の場合は、認証情報入力装置１７から受け取ったパスワードやユーザＩＤなどの情報と、認証ポリシー３の認証ポリシーと認証情報４の認証情報を使用して、認証を実行し、
（ｂ）セッションの途中では、認証情報入力装置１７から受け取ったパスワードやユーザＩＤなどの情報と、認証ポリシー３の「即時に反映」の認証ポリシーと、認証情報４の認証情報と、「各ユーザの取得済情報５」からユーザＩＤに対応するポリシー情報を取得して、認証を実行する。
【００５５】
また、実施の形態１では、認証情報入力装置１７から受け取ったパスワードやユーザＩＤなどの情報と、認証ポリシー１４の認証ポリシーと、認証情報１５の認証情報を使用して、認証を実行する認証実行装置１６を説明した。
【００５６】
また、実施の形態１では、以下の動作を行う情報配信装置６を説明した。
（ａ）セッションの開始時は、認証ポリシー３の認証ポリシーのうち、取得済の情報５を比較して更新されていれば、情報更新装置１２に送信し、セッション途中では、認証ポリシー３の情報を参照して、「即時に反映」（ｉｍｍｅｄｉａｔｅ）指定の認証ポリシーを抽出し、抽出した認証ポリシーと、取得済の情報５を比較して、更新されていれば、情報更新装置１２に送信し、
（ｂ）ユーザＩＤに対応した認証情報を認証情報４から取得して情報更新装置１２に送信する。
【００５７】
また、実施の形態１及び２では、以下の動作を行う情報記憶装置２を説明した。
（ａ）最新の認証ポリシーと、付随する情報として「即時に適用」するか「セッション単位に適用（セッションの開始時に適用）」するか、を表す情報を保持し、
（ｂ）最新の認証情報を保持し、
（ｃ）各ユーザがログインした時点の認証ポリシーを保持する。
【００５８】
また、実施の形態１では、以下の動作を行うキャッシュ用情報記憶装置１３を説明した。
（ａ）「即時に適用」指定の認証ポリシーについては最新の認証ポリシーを保持し、「セッション単位に適用」指定の認証ポリシーについてはセッション開始時の認証情報を保持し、
（ｂ）最新の認証情報を保持する。
【００５９】
最後に、実施の形態１及び２に示したセキュリティ管理装置１及びセキュリティ端末装置１１のハードウェア構成例について説明する。
図１３は、実施の形態１及び２に示すセキュリティ管理装置１及びセキュリティ端末装置１１のハードウェア資源の一例を示す図である。
なお、図１３の構成は、あくまでもセキュリティ管理装置１及びセキュリティ端末装置１１のハードウェア構成の一例を示すものであり、セキュリティ管理装置１及びセキュリティ端末装置１１のハードウェア構成は図１３に記載の構成に限らず、他の構成であってもよい。
【００６０】
図１３において、セキュリティ管理装置１及びセキュリティ端末装置１１は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。
ＣＰＵ９１１は、バス９１２を介して、例えば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）９１３、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）９１４、通信ボード９１５、表示装置９０１、キーボード９０２、マウス９０３、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。
更に、ＣＰＵ９１１は、ＦＤＤ９０４（Ｆｌｅｘｉｂｌｅ Ｄｉｓｋ Ｄｒｉｖｅ）、コンパクトディスク装置９０５（ＣＤＤ）、プリンタ装置９０６、スキャナ装置９０７と接続していてもよい。また、磁気ディスク装置９２０の代わりに、光ディスク装置、メモリカード（登録商標）読み書き装置などの記憶装置でもよい。
ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３、ＦＤＤ９０４、ＣＤＤ９０５、磁気ディスク装置９２０の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置の一例である。
実施の形態１及び２で説明した「情報記憶装置２」、「キャッシュ用情報記憶装置１３」は、ＲＡＭ９１４、磁気ディスク装置９２０等により実現される。
通信ボード９１５、キーボード９０２、マウス９０３、スキャナ装置９０７、ＦＤＤ９０４などは、入力装置の一例である。
また、実施の形態１及び２で説明した「認証情報入力装置１７」はキーボード９０２、マウス９０３等を用いて認証入力情報を入力することができる。
また、通信ボード９１５、表示装置９０１、プリンタ装置９０６などは、出力装置の一例である。
【００６１】
通信ボード９１５は、図１に示すように、ネットワークに接続されている。例えば、通信ボード９１５は、ＬＡＮ（ローカルエリアネットワーク）、インターネット、ＷＡＮ（ワイドエリアネットワーク）、ＳＡＮ（ストレージエリアネットワーク）などに接続されていても構わない。
【００６２】
磁気ディスク装置９２０には、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。
プログラム群９２３のプログラムは、ＣＰＵ９１１がオペレーティングシステム９２１、ウィンドウシステム９２２を利用しながら実行する。
【００６３】
また、ＲＡＭ９１４には、ＣＰＵ９１１に実行させるオペレーティングシステム９２１のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。
また、ＲＡＭ９１４には、ＣＰＵ９１１による処理に必要な各種データが格納される。
【００６４】
また、ＲＯＭ９１３には、ＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）プログラムが格納され、磁気ディスク装置９２０にはブートプログラムが格納されている。
セキュリティ管理装置１及びセキュリティ端末装置１１の起動時には、ＲＯＭ９１３のＢＩＯＳプログラム及び磁気ディスク装置９２０のブートプログラムが実行され、ＢＩＯＳプログラム及びブートプログラムによりオペレーティングシステム９２１が起動される。
【００６５】
上記プログラム群９２３には、実施の形態１及び２の説明において「情報配信装置６」「認証実行装置７」、「情報更新装置１２」、「認証実行装置１６」、「認証情報入力装置１７」として説明している機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
【００６６】
ファイル群９２４には、実施の形態１及び２の説明において、「〜の判断」、「〜の計算」、「〜の比較」、「〜の認証」、「〜の評価」、「〜の更新」、「〜の設定」、「〜の登録」、「〜の抽出」、「〜の選択」等として説明している処理の結果を示す情報やデータや信号値や変数値やパラメータが、「〜ファイル」や「〜データベース」の各項目として記憶されている。
「〜ファイル」や「〜データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示などのＣＰＵの動作に用いられる。
抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示のＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリ、レジスタ、キャッシュメモリ、バッファメモリ等に一時的に記憶される。
また、実施の形態１及び２で説明しているデータや信号値は、ＲＡＭ９１４のメモリ、ＦＤＤ９０４のフレキシブルディスク、ＣＤＤ９０５のコンパクトディスク、磁気ディスク装置９２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ等の記録媒体に記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体によりオンライン伝送される。
【００６７】
また、実施の形態１及び２の説明において「情報配信装置６」「認証実行装置７」、「情報更新装置１２」、「認証実行装置１６」、「認証情報入力装置１７」として説明しているものは、「〜回路」、「〜手段」、「〜機器」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。すなわち、「情報配信装置６」「認証実行装置７」、「情報更新装置１２」、「認証実行装置１６」、「認証情報入力装置１７」として説明しているものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。すなわち、プログラムは、実施の形態１及び２の「情報配信装置６」「認証実行装置７」、「情報更新装置１２」、「認証実行装置１６」、「認証情報入力装置１７」としてコンピュータを機能させるものである。あるいは、実施の形態１及び２の「「情報配信装置６」「認証実行装置７」、「情報更新装置１２」、「認証実行装置１６」、「認証情報入力装置１７」の手順や方法をコンピュータに実行させるものである。
【００６８】
このように、実施の形態１及び２に示すセキュリティ管理装置１及びセキュリティ端末装置１１は、処理装置たるＣＰＵ、記憶装置たるメモリ、磁気ディスク等、入力装置たるキーボード、マウス、通信ボード等、出力装置たる表示装置、通信ボード等を備えるコンピュータであり、実施の形態１及び２で示された機能をこれら処理装置、記憶装置、入力装置、出力装置を用いて実現するものである。
【符号の説明】
【００６９】
１ セキュリティ管理装置、２ 情報記憶装置、３ 認証ポリシー、４ 認証情報、５ 各ユーザの取得済情報、６ 情報配信装置、７ 認証実行装置、１１ セキュリティ端末装置、１２ 情報更新装置、１３ キャッシュ用情報記憶装置、１４ 認証ポリシー、１５ 認証情報、１６ 認証実行装置、１７ 認証情報入力装置。
【技術分野】
【０００１】
本発明は、組織内で適用するセキュリティポリシーを端末装置に配信する技術に関する。
【背景技術】
【０００２】
本発明に関連する技術として、特許文献１に記載の技術がある。
特許文献１では、組織内の端末装置に対して、サーバからセキュリティポリシーを配布・更新するシステムを提案している。
特許文献１の方式では以下の手順で処理を行う。
（１）管理サーバにセキュリティポリシーを設定する。
（２）管理者は管理サーバに、どの端末装置に対してどのセキュリティポリシーを適用するかを設定する。
（３）管理サーバは、セキュリティポリシーに対応する鍵を端末装置に通知する。
（４）配信サーバが、セキュリティポリシーを暗号化してブロードキャストする。
（５）端末装置は、ブロードキャストされたセキュリティポリシーを鍵で復号して、端末に保存する。
（６）端末装置は、保存したセキュリティポリシーを使用して認証を実行する。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００６−２４３７９１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
特許文献１の方式では、即時適用させるセキュリティポリシーとして配布するために、セキュリティポリシーの端末装置への適用（反映）も即時に行われる。
このため、端末装置にログイン中のユーザが居る場合に、配布されたセキュリティポリシーの即時反映を保留して次のログインからの反映とすることはできない。
つまり、ユーザの端末へのログインからログアウトを１つのセッションとして管理する場合に、セッション単位で適用することが望ましいセキュリティポリシーも存在するが、特許文献１では、セッション単位で適用することが望ましいセキュリティポリシーと即時適用が望ましいセキュリティポリシーを区別することなく全てのセキュリティポリシーを即時適用の対象として配布するために、全てのセキュリティポリシーの反映が即時に行われ、セッション単位で適用することが望ましいセキュリティポリシーであっても次のセッション開始時（次のログイン時）まで適用を保留するといった柔軟な運用ができないという課題がある。
【０００５】
セッション単位で適用すべきセキュリティポリシーの例として、「認証デバイスポリシー」がある。
「認証デバイスポリシー」とは、例えば、ユーザ認証にＩＣカードが使用できるか、指紋認証用のデバイスが使用できるかを指定する。
ＩＤとパスワードを利用するポリシーに従ったユーザ認証を経て端末装置に最初のログインを行ったユーザが、トイレなどで一時的に端末装置のスクリーンをロックしているときに、ＩＣカードを必要とする認証デバイスポリシーが配布され、端末装置において新たな認証デバイスポリシーに変更すると、当該ユーザは、ＩＣカードを持っていないためにスクリーンロックを解除できなくなる。
【０００６】
また、逆に即時に反映すべきセキュリティポリシーとして「アカウントロックポリシー」がある。
「アカウントロックポリシー」は、パスワードの入力を何回間違えるとそのアカウントをロックするかを指定する。
この条件は、ユーザがログイン中でも（セッションの開始時以外でも）即時に反映しないとセキュリティ上問題があると考えることができる（スクリーンロックしている場合に不正なユーザがロックを解除しようと試みる恐れがあるため）。
【０００７】
以上のようにセキュリティポリシーの種類によって、「即時に反映」すべきか「セッション単位に反映」すべきか異なる。また、どちらにするかは組織の方針によっても違いがある。
そこで、セキュリティポリシー単位で、「即時に反映」か「セッション単位に反映」するかを指定できるようになっている必要がある。
また、その組織の方針が変更されたときには、セキュリティポリシーも変更できるようになっている必要がある。
【０００８】
従来の技術では、ユーザが端末装置にログインした後に新たなセキュリティポリシーが配布された場合には、ログインした時点のセキュリティポリシーが上書きされて消えてしまうため、セッション単位でセキュリティポリシーを反映させることができない。
また、セキュリティポリシー毎に「即時に反映」か「セッション単位に反映」するかを指定することもできない。
このように、従来の技術では、セキュリティポリシーごとに、端末装置に即時に適用させたり、セッション単位で適用させるといった柔軟な運用ができないという課題がある。
本発明は、このような課題を解決することを主な目的としており、柔軟にセキュリティポリシーの適用を行う仕組みを提供することを主な目的とする。
【課題を解決するための手段】
【０００９】
本発明に係る管理装置は、
ユーザのログイン処理の開始からセッションが開始し、ログイン処理の完了後にセッションが確立し、少なくともログイン処理時にセキュリティポリシーの送信を要求する端末装置
に接続されている管理装置であって、
前記端末装置に適用させるセキュリティポリシーを、適用開始タイミングがセッション開始時に限られセッション開始時の適用開始以降セッション中は継続して適用させる第１種セキュリティポリシーと、適用開始タイミングはセッション開始時に限られずセッション確立後の追加適用も可能な第２種セキュリティポリシーとに区別して記憶するセキュリティポリシー記憶部と、
前記端末装置から、前記端末装置が現在ログイン処理中であるかログイン処理済であるかを示す状態識別子が含まれ、セキュリティポリシーの送信を要求するセキュリティポリシー送信要求を受信する受信部と、
前記セキュリティポリシー送信要求に含まれている状態識別子を解析し、前記端末装置が現在ログイン処理中であると判断した場合に、前記セキュリティポリシー記憶部から前記第１種セキュリティポリシーを取得し、前記端末装置が既にログイン処理済であると判断した場合に、前記セキュリティポリシー記憶部から前記第２種セキュリティポリシーを取得するセキュリティポリシー取得部と、
前記セキュリティポリシー取得部により取得されたセキュリティポリシーを前記端末装置に対して送信する送信部とを有することを特徴とする。
【発明の効果】
【００１０】
本発明によれば、セキュリティポリシーを、第１種セキュリティポリシーと第２種セキュリティポリシーに区別し、セッション開始時には端末装置に第１種セキュリティポリシーを送信してセッションの間継続して第１種セキュリティポリシーを端末装置に適用させ、セッション確立後は第２種セキュリティポリシーを端末装置に送信して第２種セキュリティポリシーを追加的に即時に適用させるという柔軟な運用ができる。
【図面の簡単な説明】
【００１１】
【図１】実施の形態１に係るシステム構成例を示す図。
【図２】実施の形態１に係るセキュリティ管理装置の構成例を示す図。
【図３】実施の形態１に係るセキュリティ端末装置の構成例を示す図。
【図４】実施の形態１に係る認証ポリシーの例を示す図。
【図５】実施の形態１に係る認証ポリシーの種類を示す図。
【図６】実施の形態１に係る認証ポリシーの記述例を示す図。
【図７】実施の形態１に係る認証情報の例を示す図。
【図８】実施の形態１に係る認証情報の記述例を示す図。
【図９】実施の形態１に係る各ユーザの取得済情報の例を示す図。
【図１０】実施の形態１に係る各ユーザの取得済情報の記述例を示す図。
【図１１】実施の形態２に係るセキュリティ管理装置の構成例を示す図。
【図１２】実施の形態２に係るセキュリティ端末装置の構成例を示す図。
【図１３】実施の形態１、２に係るセキュリティ管理装置及びセキュリティ端末装置のハードウェア構成例を示す図。
【発明を実施するための形態】
【００１２】
実施の形態１．
図１は、本実施の形態に係るシステム構成例である。
セキュリティ管理装置１（管理装置）は、セキュリティ管理者（以下、管理者という）により設定されたセキュリティポリシーを複数のセキュリティ端末装置１１に送信する。
セキュリティ端末装置１１（端末装置）は、セキュリティ管理装置１から受信したセキュリティポリシーに従ったセキュリティ対策を実施する。
セキュリティ端末装置１１は、ユーザのログインからログアウトまでを１つのセッションとしている。ユーザのログイン処理の開始からセッションが開始し、ログイン処理の完了後にセッションが確立する。
なお、図１では、セキュリティ端末装置１１は、１つしか図示していないが、複数のセキュリティ端末装置１１が存在していてもよい。
【００１３】
セキュリティポリシーとは、企業などの組織における情報資産の情報セキュリティ対策に関する方針を示した情報であり、例えば、ユーザ認証の方式、ユーザ認証の実施手順、暗号化の対象となるデータの類型、暗号化の方式、外部からの不正アクセスに対する対策、機密漏洩に対する対策、コンピュータウイルスに対する対策、データの喪失に対する対策などの方針が含まれる。
以下では、セキュリティポリシーの一例として、ユーザ認証に関するポリシー（以下、認証ポリシーという）を用いて、本実施の形態に係るセキュリティ管理装置１及びセキュリティ端末装置１１を説明する。
【００１４】
なお、セキュリティ管理装置１及びセキュリティ端末装置１１の内部構成等の詳細を説明する前に、ここで、本実施の形態に係るセキュリティ管理装置１及びセキュリティ端末装置１１の概要を説明する。
【００１５】
セキュリティ管理装置１は、認証ポリシー単位で、「即時に反映」するか「セッション単位に反映」するかを示すタイミング情報を保持する。
セキュリティ端末装置１１は、認証ポリシーと認証情報（ＩＤ／パスワードなど）のキャッシュを保持してキャッシュを使用して認証を実行できる。
セッションの開始時（ユーザログイン処理時）は、セキュリティ端末装置１１は、最新の認証ポリシーと認証情報をセキュリティ管理装置１から受け取り、その情報を使用して認証を行う。
セッション途中での認証処理（スクリーンロックの解除など）では、セキュリティ端末装置１１は、セキュリティ管理装置１から「即時に反映」指定の認証ポリシーのみ受け取り、ログイン時にキャッシュした他の認証ポリシーと認証情報を使用して認証を実行する。
これにより、「即時に反映」指定した認証ポリシーは認証の際にセキュリティ端末装置１１に送信されて、最新の認証ポリシーが適用される。
「セッション単位に反映」指定の認証ポリシーは、セッションの開始時のみセキュリティ端末装置１１に送信されて、セッション途中では、更新されない。
また、セキュリティ管理装置１は、各ユーザの取得済認証ポリシーを記憶することで、変更のあった認証ポリシーのみを選別してセキュリティ端末装置１１に送ることができる。
これにより通信時のデータ量を削減することができる。
【００１６】
次に、本実施の形態に係るセキュリティ管理装置１の内部構成例を図２に示す。
図２に示すように、セキュリティ管理装置１は、情報記憶装置２と情報配信装置６に大別される。
【００１７】
情報記憶装置２は、認証ポリシー３、認証情報４、各ユーザの取得済情報５を記憶している。
認証ポリシー３及び認証情報４は、管理者から情報記憶装置２に入力される。
認証ポリシー３には、「即時に反映」か「セッション単位に反映」するかを示すフラグが設定され、複数の認証ポリシー３は、即時に反映させる認証ポリシーかセッション単位に反映させる認証ポリシーかが区別されて記憶されている。
図２の例では、認証ポリシーＡ及び認証ポリシーＣは、セッション単位に反映させる認証ポリシーであり、適用開始タイミングがセッション開始時に限られセッション開始時の適用開始以降セッション中は継続して適用させるセキュリティポリシーである。
認証ポリシーＡ及び認証ポリシーＣのようなセッション単位に反映させる認証ポリシーは、第１種セキュリティポリシーの例である。
認証ポリシーＢは、即時に反映させる認証ポリシーであり、適用開始タイミングはセッション開始時に限られずセッション確立後の追加適用も可能なセキュリティポリシーである。
認証ポリシーＢのような即時に反映させる認証ポリシーは、第２種セキュリティポリシーの例である。
認証情報４は、ユーザのＩＤ、パスワードといった認証情報であり、図２の例では、ユーザＸ、Ｙ、Ｚの認証情報が示されている。
各ユーザの取得済情報５は、既にユーザ向けに取得し送信している認証ポリシーが示される。図２の例では、ユーザＸ、Ｙ、Ｚに取得・送信済の認証ポリシーが示されている。各ユーザの取得済情報５は、送信済セキュリティポリシー情報の例である。
また、情報記憶装置２は、セキュリティポリシー記憶部、送信済セキュリティポリシー情報記憶部の例である。
【００１８】
また、情報配信装置６は、セキュリティ端末装置１１から、認証ポリシーの送信を要求するセキュリティポリシー送信要求（以下、ポリシー送信要求という）を受信し、受信したポリシー送信要求に基づいて、情報記憶装置２から認証ポリシーを取得し、また、認証情報を取得し、取得した認証ポリシー及び認証情報をセキュリティ端末装置１１に送信する。
ポリシー送信要求には、セキュリティ端末装置１１が現在ログイン処理中（セッション開始時）であるかログイン処理済（セッション確立済）であるかを示す状態識別子が含まれており、情報配信装置６は、状態識別子を解析して、ポリシー送信要求の送信元のセキュリティ端末装置１１が現在ログイン処理中であるかログイン処理済であるかを判別する。
送信元のセキュリティ端末装置１１が現在ログイン処理中であると判断した場合に、未送信のセッション単位で適用する認証ポリシー（第１種セキュリティポリシー）を取得し（更に、未送信の即時適用の認証ポリシーがあれば未送信の即時適用の認証ポリシーも取得し）、セキュリティ端末装置１１に送信する。セキュリティ端末装置１１では、受信した認証ポリシーを用いて、ログイン処理時のユーザ認証が行われる。
一方、送信元のセキュリティ端末装置１１が既にログイン処理済であると判断した場合は、情報配信装置６は、未送信の即時適用の認証ポリシー（第２種セキュリティポリシー）を取得し、セキュリティ端末装置１１に送信する。セキュリティ端末装置１１では、受信した認証ポリシー及びキャッシュ内の認証ポリシーを用いて、セッション中のユーザ認証が行われる。
情報配信装置６は、セキュリティポリシー取得部、送信部、受信部の例である。
【００１９】
次に、本実施の形態に係るセキュリティ端末装置１１の内部構成例を図３に示す。
セキュリティ端末装置１１は、ユーザが使用する端末であり、図３に示すように、情報更新装置１２、キャッシュ用情報記憶装置１３、認証実行装置１６及び認証情報入力装置１７に大別される。
【００２０】
情報更新装置１２は、ログイン処理時又はセッション確立後の任意のタイミングで、認証ポリシーの送信を要求するポリシー送信要求をセキュリティ管理装置１に対して送信する。
ポリシー送信要求には、前述のように、現在ログイン処理中であるかログイン処理済であるかを示す状態識別子が含まれる。
なお、セッション確立後の任意のタイミングとは、例えば、セッション途中での認証処理時（スクリーンロックの解除など）である。
また、情報更新装置１２は、セキュリティ管理装置１１から送信された認証ポリシー及び認証情報を受信する。
情報更新装置１２は、送信部及び受信部の例である。
【００２１】
キャッシュ用情報記憶装置１３は、情報更新装置１２が受信した認証ポリシー１４と認証情報１５を記憶する。
【００２２】
認証実行装置１６は、キャッシュ用情報記憶装置１３内の認証ポリシー１４と認証情報１５を用いて、認証ポリシーに従ったセキュリティ対策（認証処理）を実施する。
より具体的には、セッション単位で適用する認証ポリシー（認証ポリシーＡ、認証ポリシーＣ）に対しては、セッション開始時から適用を開始し、セッション中はセッション単位で適用する認証ポリシーに従った認証処理を継続して実施し、即時適用の認証ポリシーに対しては、即時適用の認証ポリシーの受信の度に受信した即時適用の認証ポリシーの適用を開始して認証処理を行う。
認証実行装置１６は、セキュリティポリシー適用部の例である。
【００２３】
認証情報入力装置１７は、認証実行装置１６による認証処理の際に用いる認証入力情報（ユーザのＩＤ、パスワード等）をユーザから入力する。
【００２４】
次に、本実施の形態に係るセキュリティ管理装置１及びセキュリティ端末装置１１の動作例を説明する。
【００２５】
先ず、初期設定の方法について説明する。
予め管理者は、認証ポリシーと認証情報の設定を行う。
【００２６】
認証ポリシーの内容を図４に示す。
認証ポリシーの情報は、認証を実行するときに従うべきルールを示しており、認証ポリシーを識別するためのＩＤ（ｐｏｌｉｃｙ＿ｉｄ）と認証ポリシーの名前（ｎａｍｅ）と、認証ポリシーの値（ｖａｌｕｅ）と、「即時に反映」するか「セッション単位に反映」するかを示す認証ポリシーの適用タイミング（ｔｉｍｉｎｇ）から成る。
ｔｉｍｉｎｇに、ｉｍｍｅｄｉａｔｅを指定すると「即時に反映」となり、ｓｅｓｓｉｏｎを指定すると「セッション単位に反映」となる。
また、図５に認証ポリシーの種類を示す。
更に、図６に認証ポリシーをＸＭＬ（Ｅｘｔｅｎｓｉｂｌｅ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）形式で記述した例を示す。
この例は、認証デバイスとしてＩＣカードのみが使用できることを表している。
また、認証情報の内容を図７に示す。
認証情報は、ユーザＩＤ（ｕｓｅｒ＿ｉｄ）、ユーザのパスワード（ｐａｓｓｗｏｒｄ）、ユーザの権限（ｒｉｇｈｔ）、認証情報の有効期限（ｔｅｒｍ）から成る。
図８に認証情報をＸＭＬ形式で記述した例を示す。
また、図９に各ユーザの取得済情報５の内容を示す。
保持する情報としては、認証ポリシーを識別するためのＩＤ（ｐｏｌｉｃｙ＿ｉｄ）と、認証ポリシーの名前（ｎａｍｅ）と、認証ポリシーの値（ｖａｌｕｅ）から成る。
図１０に各ユーザの取得済情報５をＸＭＬ形式で記述した例を示す。
この例は、認証デバイスとして指紋認証デバイスのみが使用できることを表している。
【００２７】
次に、セッションを開始するときの、セキュリティ管理装置１とセキュリティ端末装置１１の動作について説明する。
ここで、セッションの開始とは、未ログインのユーザがログインするときのことを指している。
【００２８】
ユーザはセキュリティ端末装置１１の認証情報入力装置１７に対して、ユーザＩＤとパスワードを入力し、あるいはＩＣカード（内部にユーザＩＤも含む）を使用して認証を要求する。ユーザが認証情報入力装置１７に入力するこれらの情報が認証入力情報に相当する。
認証情報入力装置１７は認証入力情報を認証実行装置１６に渡して、認証を要求する。
認証実行装置１６は、認証ポリシーと、ユーザＩＤに対応した認証情報をキャッシュ用情報記憶装置１３に要求する。
キャッシュ用情報記憶装置１３は、認証ポリシーと、ユーザＩＤに対応した認証情報を情報更新装置１２に要求する。
情報更新装置１２は、認証ポリシーと、ユーザＩＤに対応した認証情報の配信を要求するポリシー送信要求を情報配信装置６に送信する。
ポリシー送信要求には、状態識別子とユーザＩＤが含まれている。
ここで送信されるポリシー送信要求には、現在ログイン処理中であることを示す状態識別子が含まれる。
【００２９】
情報配信装置６は、ポリシー送信要求を受信し、受信したポリシー送信要求に含まれているユーザＩＤを用いて、各ユーザの取得済情報５を検索して、当該ユーザに対して取得済の認証ポリシーを抽出する。
なお、セキュリティ端末装置１１は現在ログイン処理中であるので、当該ユーザのセキュリティ端末装置１１に対して過去に認証ポリシーが送信されていなければ、各ユーザの取得済情報５から認証ポリシーは抽出されない。また、当該ユーザのセキュリティ端末装置１１に対して過去に認証ポリシーが送信されている場合は、前回のセッションの終了までに送信された認証ポリシーが抽出される。
次に、情報配信装置６は、認証ポリシー３の認証ポリシーのうち、抽出した取得済の認証ポリシーと比較して更新されている認証ポリシー（セッション単位適用認証ポリシーと即時適用認証ポリシーの両方）を情報記憶装置２から取得する。なお、抽出した取得済の認証ポリシーと比較して更新されている認証ポリシーには、取得済の認証ポリシーとは異なる新規に導入された認証ポリシーと、取得済の認証ポリシーの内容の更新にあたる認証ポリシー（以降、改訂版の認証ポリシーという）の両方が含まれる。
また、情報配信装置６は、ポリシー送信要求に含まれているユーザＩＤに対応した認証情報を情報記憶装置２から取得する。
そして、情報配信装置６は、取得した認証ポリシーと認証情報をセキュリティ端末装置１１の情報更新装置１２に送信する。
また、情報配信装置６は、セキュリティ端末装置１１に送信した認証ポリシーを「各ユーザの取得済情報５」に書き込む。なお、セキュリティ端末装置１１に送信した認証ポリシーが従前の認証ポリシーの改訂版にあたる場合は、改訂前の認証ポリシーに上書きして改訂後の認証ポリシーを記録する。
【００３０】
セキュリティ端末装置１１では、情報更新装置１２が認証ポリシーと認証情報を受信し、受信した認証ポリシーを暗号化し、認証ポリシー１４としてキャッシュ用情報記憶装置１３に記憶させ、また、受信した認証情報を暗号化して認証情報１５としてキャッシュ用情報記憶装置１３に記憶させる。
なお、認証ポリシー及び認証情報の暗号化は任意であり、暗号化を行わなくてもよい。また、情報配信装置６から情報更新装置１２への送信時にも認証ポリシー及び認証情報を暗号化するようにしてもよい。
キャッシュ用情報記憶装置１３は、認証ポリシー（新たに受信した認証ポリシーと従前からキャッシュ内にあった認証ポリシーの両方）と認証情報を認証実行装置１６に返す。
認証実行装置１６は、受け取った認証ポリシーと認証情報で認証を実行して結果を認証情報入力装置１７に返す。
認証情報入力装置１７は認証結果をユーザに返す。
認証実行装置１６における認証に成功した場合は、ユーザはセキュリティ端末装置１１へのログインに成功し、セッションが確立する。
【００３１】
次に、セッション中での認証を実行するときの、セキュリティ管理装置１とセキュリティ端末装置１１の動作を説明する。
ここで、セッション中での認証とは、例えば、ログイン済みのユーザがスクリーンロック解除を行う際の認証のことを指している。
【００３２】
ユーザはセキュリティ端末装置１１の認証情報入力装置１７で、ユーザＩＤとパスワードを入力し、あるいはＩＣカードを使用して認証を要求する。
認証情報入力装置１７は、入力された認証入力情報を認証実行装置１６に渡して認証を要求する。
認証実行装置１６は、認証ポリシーと、ユーザＩＤに対応した認証情報をキャッシュ用情報記憶装置１３に要求する。
キャッシュ用情報記憶装置１３は、「即時に反映」（ｉｍｍｅｄｉａｔｅ）指定の認証ポリシーと、ユーザＩＤに対応した認証情報を情報更新装置１２に要求する。
情報更新装置１２は、「即時に反映」（ｉｍｍｅｄｉａｔｅ）指定の認証ポリシーと、ユーザＩＤに対応した認証情報の送信を要求するポリシー送信要求を情報配信装置６に送信する。
ポリシー送信要求には、状態識別子とユーザＩＤが含まれている。
ここで送信されるポリシー送信要求には、既にログイン処理済（セッション確立済）であることを示す状態識別子が含まれる。
【００３３】
情報配信装置６は、ポリシー送信要求を受信し、受信したポリシー送信要求に含まれているユーザＩＤを用いて、各ユーザの取得済情報５を検索して、当該ユーザに対して取得済みの認証ポリシーを抽出する。
次に、情報配信装置６は、認証ポリシー３の認証ポリシーのうち、抽出した取得済の認証ポリシーと比較して更新されている「即時に反映」（ｉｍｍｅｄｉａｔｅ）指定の認証ポリシーを情報記憶装置２から取得する。つまり、セッション確立済の段階では、即時に適用する認証ポリシーのみを取得する。
そして、情報配信装置６は、取得した認証ポリシーをセキュリティ端末装置１１の情報更新装置１２に送信する。
また、情報配信装置６は、ユーザＩＤに対応した認証情報を認証情報４から取得して情報更新装置１２に配信する。
また、情報配信装置６は、セキュリティ端末装置１１に送信した認証ポリシーを「各ユーザの取得済情報５」に書き込む。ここでも、セキュリティ端末装置１１に送信した認証ポリシーが従前の認証ポリシーの改訂版にあたる場合は、改訂前の認証ポリシーに上書きして改訂後の認証ポリシーを記録する。
【００３４】
セキュリティ端末装置１１では、情報更新装置１２が認証ポリシーと認証情報を受信し、受信した認証ポリシーを暗号化し、認証ポリシー１４としてキャッシュ用情報記憶装置１３に記憶させ、また、受信した認証情報を暗号化して認証情報１５としてキャッシュ用情報記憶装置１３に記憶させる。
キャッシュ用情報記憶装置１３は、全ての認証ポリシー（新たに受信した認証ポリシーと従前からキャッシュ内にあった認証ポリシーの両方）とユーザＩＤに対応した認証情報を認証実行装置１６に返す。
認証実行装置１６は、受け取った認証ポリシーと認証情報で認証を実行して結果を認証情報入力装置１７に返す。
認証情報入力装置１７は認証結果をユーザに返す。
【００３５】
このように、本実施の形態では、セキュリティポリシーの性質に応じて、セッション単位で適用させるセキュリティポリシーと即時に適用させるべきセキュリティポリシーに区別し、セッション開始時にはセッション単位のセキュリティポリシーをセキュリティ端末装置に適用させ、セッション確立後は即時適用のセキュリティポリシーをセキュリティ端末装置に追加的に即時に適用させるという柔軟な運用ができる。
また、組織によってことなるセキュリティ方針を適切なタイミングで反映させることができる。
【００３６】
また、本実施の形態によれば、認証ポリシーを更新するときは、セッション開始時点から更新された認証ポリシーのみを通知するだけで済むため、通信する情報量を最小限に留めることができる。
【００３７】
また、本実施の形態によれば、通信回線が故障して、セキュリティ管理装置とセキュリティ端末装置が通信できなくなった場合でも、セキュリティ端末装置が保持している認証ポリシーと認証情報を使用することで、セッション開始時点のポリシーで認証を実行することができる。
【００３８】
また、本実施の形態は、情報システムのユーザ認証の機能を実現する方式として利用することができる。
組織の方針に従ってセキュリティを管理する必要がある場合に有効と考えられる。
また、金融のようなセキュリティが厳しく管理される業務において、認証ポリシーの反映のタイミングが問題になる場合に対応することができる。
【００３９】
実施の形態２．
実施の形態１では、セキュリティ管理装置１から認証ポリシーをセキュリティ端末装置１１に送信し、セキュリティ端末装置１１にて認証ポリシーに従ってユーザ認証を行う例を説明した。
本実施の形態では、セキュリティ管理装置１が認証ポリシーに従って、ユーザ認証を行う例を説明する。
【００４０】
本実施の形態に係るシステム構成例は、図１に示すとおりである。
また、本実施の形態に係るセキュリティ管理装置１の構成例は図１１に示すとおりである。
また、本実施の形態に係るセキュリティ端末装置１１の構成例は図１２に示すとおりである。
【００４１】
本実施の形態に係るセキュリティ管理装置１では、情報配信装置６の代わりに認証実行装置７が配置されている。
認証実行装置７は、情報記憶装置２の情報を利用してセキュリティ端末装置１１のユーザに対する認証処理を行う。
より具体的には、認証実行装置７は、セキュリティ端末装置１１からユーザ認証を要求するユーザ認証要求を受信し、ユーザ認証要求に含まれている状態識別子を解析し、セキュリティ端末装置１１が現在ログイン処理中であると判断した場合に、情報記憶装置２からセッション単位に適用の認証ポリシーを取得し（更に、即時適用の認証ポリシーがあれば即時適用の認証ポリシーも取得し）、取得した認証ポリシーを用いてログイン処理時のユーザ認証を行う。
また、認証実行装置７は、状態識別子の解析の結果、セキュリティ端末装置１１が既にログイン処理済（セッション確立済）であると判断した場合に、情報記憶装置２から即時適用の認証ポリシーを取得し、取得した認証ポリシーと、これまでに取得済の認証ポリシーを用いてセッション中のユーザ認証を行う。
このように、認証実行装置７は、セッション開始時とセッション途中を区別しながら認証を実行する。
認証実行装置７は、受信部、セキュリティポリシー取得部、認証実行部の例である。
図１１において、認証実行装置７以外の要素は、図２に示したものと同様であるが、各ユーザの取得済情報５は、実施の形態では、セキュリティ端末装置１１に送信済の認証ポリシーを示すが、本実施の形態では、認証ポリシーをセキュリティ端末装置１１に送信しないので、各ユーザの取得済情報５では、各ユーザに対して取得済の認証ポリシーが示される。
また、各ユーザに対して取得済の認証ポリシー自体は、各ユーザの取得済情報５内にユーザごとにプールしていてもよいし、情報記憶装置２内の他の領域にユーザごとにプールしていてもよい。
また、各ユーザの取得済情報５の取得済の認証ポリシーのリストに従って、認証実行装置７が、対象となる認証ポリシーを認証ポリシー３の領域から再度取得するようにしてもよい。
【００４２】
本実施の形態に係るセキュリティ端末装置１１は、ユーザが使用する端末であり、認証入力情報を入力し、また、ユーザ認証要求をセキュリティ管理装置１１に送信する認証情報入力装置１７から構成されている。
すなわち、本実施の形態では、セキュリティ端末装置１１でユーザ認証が行われないため、図３に示した情報更新装置１２、キャッシュ用情報記憶装置１３、認証実行装置１６は不要である。
【００４３】
次に、本実施の形態に係るセキュリティ管理装置１及びセキュリティ端末装置１１の動作例を説明する。
【００４４】
初期設定の方法は、実施の形態１で説明したものと同様なので、説明を省略する。
【００４５】
次に、セッションを開始するときの、セキュリティ管理装置１とセキュリティ端末装置１１の動作を説明する。
【００４６】
ユーザはセキュリティ端末装置１１の認証情報入力装置１７にユーザＩＤとパスワードを入力し、あるいはＩＣカード（内部にユーザＩＤを含む）などを使用して認証を要求する。
認証情報入力装置１７は入力された認証入力情報からユーザ認証要求を生成し、認証実行装置７にユーザ認証要求を送信する。
ユーザ認証要求には、状態識別子とユーザＩＤが含まれている。
ここで送信されるユーザ認証要求には、現在ログイン処理中であることを示す状態識別子が含まれる。
【００４７】
認証実行装置７は、ユーザ認証要求を受信し、受信したユーザ認証要求に含まれているユーザＩＤを用いて各ユーザの取得済情報５を検索して、当該ユーザに対して取得済の認証ポリシーを抽出する。
なお、セキュリティ端末装置１１は現在ログイン処理中であるので、当該ユーザのセキュリティ端末装置１１に対して過去に認証ポリシーが取得されていなければ、各ユーザの取得済情報５から認証ポリシーは抽出されない。また、当該ユーザのセキュリティ端末装置１１に対して過去に認証ポリシーが取得されている場合は、前回のセッションの終了までに取得された認証ポリシーが抽出される。
次に、認証実行装置７は、認証ポリシー３の認証ポリシーのうち、抽出した取得済の認証ポリシーと比較して更新されている認証ポリシー（セッション単位適用認証ポリシーと即時適用認証ポリシーの両方）を情報記憶装置２から取得する。なお、抽出した取得済の認証ポリシーと比較して更新されている認証ポリシーには、取得済の認証ポリシーとは異なる新規に導入された認証ポリシーと、取得済の認証ポリシーの改訂版にあたる認証ポリシーの両方が含まれる。
更に、認証実行装置７は、各ユーザの取得済情報５に記述されている認証ポリシーも情報記憶装置２から取得する。
また、認証実行装置７は、ユーザ認証要求に含まれているユーザＩＤに対応した認証情報を情報記憶装置２から取得する。
そして、認証実行装置７は、取得した認証ポリシーに従って、取得した認証情報を用いてログイン時のユーザ認証を行う。
なお、認証実行装置７は、認証処理において、不足している情報があれば、セキュリティ端末装置１１に、不足している情報の送信を要求してもよい。例えば、取得した認証ポリシーが、指紋や静脈等の生体情報を用いた生体認証を規定している場合は、認証実行装置７は、ユーザの生体情報の送信をセキュリティ端末装置１１に要求してもよい。
そして、認証実行装置７は、認証結果を認証情報入力装置１７に返す。
同時に、認証実行装置７は、このときの認証ポリシーを「各ユーザの取得済情報５」に記録する。なお、従前の認証ポリシーの改訂版にあたる認証ポリシーを取得した場合は、改訂前の認証ポリシーに上書きして改訂後の認証ポリシーを記録する。
認証実行装置７における認証に成功した場合は、ユーザはセキュリティ端末装置１１へのログインに成功し、セッションが確立する。
【００４８】
セッション中での認証を実行するときの、セキュリティ管理装置１とセキュリティ端末装置１１の動作を説明する。
【００４９】
ユーザはセキュリティ端末装置１１の認証情報入力装置１７で、ユーザＩＤとパスワードを入力し、あるいはＩＣカードを使用して認証を要求する。
認証情報入力装置１７は入力された認証入力情報からユーザ認証要求を生成し、認証実行装置７にユーザ認証要求を送信する。
ユーザ認証要求には、状態識別子とユーザＩＤが含まれている。
ここで送信されるユーザ認証要求には、既にログイン処理済（セッション確立済）であることを示す状態識別子が含まれる。
【００５０】
認証実行装置７は、ユーザ認証要求を受信し、受信したユーザ認証要求に含まれているユーザＩＤを用いて各ユーザの取得済情報５を検索して、当該ユーザに対して取得済みの認証ポリシーを抽出する。
次に、認証実行装置７は、認証ポリシー３の認証ポリシーのうち、抽出した取得済の認証ポリシーと比較して更新されている「即時に反映」（ｉｍｍｅｄｉａｔｅ）指定の認証ポリシーを情報記憶装置２から取得する。つまり、セッション確立済の段階では、即時に適用する認証ポリシーのみを取得する。
更に、認証実行装置７は、各ユーザの取得済情報５に記述されている認証ポリシーも情報記憶装置２から取得する。
また、認証実行装置７は、ユーザＩＤに対応した認証情報を認証情報４から取得する。
次に、認証実行装置７は、取得した認証ポリシーに従って、取得した認証情報を用いてログイン時のユーザ認証を行う。
そして、認証実行装置７は、認証結果を認証情報入力装置１７に返す。
同時に、認証実行装置７は、このときの認証ポリシーを「各ユーザの取得済情報５」に記録する。ここでも、従前の認証ポリシーの改訂版にあたる認証ポリシーを取得した場合は、改訂前の認証ポリシーに上書きして改訂後の認証ポリシーを記録する。
【００５１】
このように、セキュリティ管理装置においてユーザ認証を行う場合でも、セッション単位に適用する認証ポリシーと即時に適用する認証ポリシーを区別することにより、柔軟な認証ポリシーの適用が可能となる。
【００５２】
以上の実施の形態１及び２では、以下の装置を備えたセキュリティ管理装置を説明した。
（ａ）認証を実行する「認証実行装置」、
（ｂ）認証ポリシーと認証情報の配信を行う「情報配信装置」、
（ｃ）認証ポリシーと認証情報を保持する「情報記憶装置」。
【００５３】
また、実施の形態１では、以下の装置を備えたセキュリティ端末装置を説明した。
（ａ）認証を実行する「認証実行装置」、
（ｂ）セキュリティ管理装置に問い合わせを行い、認証ポリシーと認証情報を取得する「情報更新装置」、
（ｃ）認証ポリシーと認証情報を保持する「キャッシュ用情報記憶装置」、
（ｄ）ユーザからパスワードやＩＣカード情報などを受け取る「認証情報入力装置」。
【００５４】
また、実施の形態２では、以下の動作を行う認証実行装置７を説明した。
（ａ）セッションの開始の場合は、認証情報入力装置１７から受け取ったパスワードやユーザＩＤなどの情報と、認証ポリシー３の認証ポリシーと認証情報４の認証情報を使用して、認証を実行し、
（ｂ）セッションの途中では、認証情報入力装置１７から受け取ったパスワードやユーザＩＤなどの情報と、認証ポリシー３の「即時に反映」の認証ポリシーと、認証情報４の認証情報と、「各ユーザの取得済情報５」からユーザＩＤに対応するポリシー情報を取得して、認証を実行する。
【００５５】
また、実施の形態１では、認証情報入力装置１７から受け取ったパスワードやユーザＩＤなどの情報と、認証ポリシー１４の認証ポリシーと、認証情報１５の認証情報を使用して、認証を実行する認証実行装置１６を説明した。
【００５６】
また、実施の形態１では、以下の動作を行う情報配信装置６を説明した。
（ａ）セッションの開始時は、認証ポリシー３の認証ポリシーのうち、取得済の情報５を比較して更新されていれば、情報更新装置１２に送信し、セッション途中では、認証ポリシー３の情報を参照して、「即時に反映」（ｉｍｍｅｄｉａｔｅ）指定の認証ポリシーを抽出し、抽出した認証ポリシーと、取得済の情報５を比較して、更新されていれば、情報更新装置１２に送信し、
（ｂ）ユーザＩＤに対応した認証情報を認証情報４から取得して情報更新装置１２に送信する。
【００５７】
また、実施の形態１及び２では、以下の動作を行う情報記憶装置２を説明した。
（ａ）最新の認証ポリシーと、付随する情報として「即時に適用」するか「セッション単位に適用（セッションの開始時に適用）」するか、を表す情報を保持し、
（ｂ）最新の認証情報を保持し、
（ｃ）各ユーザがログインした時点の認証ポリシーを保持する。
【００５８】
また、実施の形態１では、以下の動作を行うキャッシュ用情報記憶装置１３を説明した。
（ａ）「即時に適用」指定の認証ポリシーについては最新の認証ポリシーを保持し、「セッション単位に適用」指定の認証ポリシーについてはセッション開始時の認証情報を保持し、
（ｂ）最新の認証情報を保持する。
【００５９】
最後に、実施の形態１及び２に示したセキュリティ管理装置１及びセキュリティ端末装置１１のハードウェア構成例について説明する。
図１３は、実施の形態１及び２に示すセキュリティ管理装置１及びセキュリティ端末装置１１のハードウェア資源の一例を示す図である。
なお、図１３の構成は、あくまでもセキュリティ管理装置１及びセキュリティ端末装置１１のハードウェア構成の一例を示すものであり、セキュリティ管理装置１及びセキュリティ端末装置１１のハードウェア構成は図１３に記載の構成に限らず、他の構成であってもよい。
【００６０】
図１３において、セキュリティ管理装置１及びセキュリティ端末装置１１は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。
ＣＰＵ９１１は、バス９１２を介して、例えば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）９１３、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）９１４、通信ボード９１５、表示装置９０１、キーボード９０２、マウス９０３、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。
更に、ＣＰＵ９１１は、ＦＤＤ９０４（Ｆｌｅｘｉｂｌｅ Ｄｉｓｋ Ｄｒｉｖｅ）、コンパクトディスク装置９０５（ＣＤＤ）、プリンタ装置９０６、スキャナ装置９０７と接続していてもよい。また、磁気ディスク装置９２０の代わりに、光ディスク装置、メモリカード（登録商標）読み書き装置などの記憶装置でもよい。
ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３、ＦＤＤ９０４、ＣＤＤ９０５、磁気ディスク装置９２０の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置の一例である。
実施の形態１及び２で説明した「情報記憶装置２」、「キャッシュ用情報記憶装置１３」は、ＲＡＭ９１４、磁気ディスク装置９２０等により実現される。
通信ボード９１５、キーボード９０２、マウス９０３、スキャナ装置９０７、ＦＤＤ９０４などは、入力装置の一例である。
また、実施の形態１及び２で説明した「認証情報入力装置１７」はキーボード９０２、マウス９０３等を用いて認証入力情報を入力することができる。
また、通信ボード９１５、表示装置９０１、プリンタ装置９０６などは、出力装置の一例である。
【００６１】
通信ボード９１５は、図１に示すように、ネットワークに接続されている。例えば、通信ボード９１５は、ＬＡＮ（ローカルエリアネットワーク）、インターネット、ＷＡＮ（ワイドエリアネットワーク）、ＳＡＮ（ストレージエリアネットワーク）などに接続されていても構わない。
【００６２】
磁気ディスク装置９２０には、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。
プログラム群９２３のプログラムは、ＣＰＵ９１１がオペレーティングシステム９２１、ウィンドウシステム９２２を利用しながら実行する。
【００６３】
また、ＲＡＭ９１４には、ＣＰＵ９１１に実行させるオペレーティングシステム９２１のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。
また、ＲＡＭ９１４には、ＣＰＵ９１１による処理に必要な各種データが格納される。
【００６４】
また、ＲＯＭ９１３には、ＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）プログラムが格納され、磁気ディスク装置９２０にはブートプログラムが格納されている。
セキュリティ管理装置１及びセキュリティ端末装置１１の起動時には、ＲＯＭ９１３のＢＩＯＳプログラム及び磁気ディスク装置９２０のブートプログラムが実行され、ＢＩＯＳプログラム及びブートプログラムによりオペレーティングシステム９２１が起動される。
【００６５】
上記プログラム群９２３には、実施の形態１及び２の説明において「情報配信装置６」「認証実行装置７」、「情報更新装置１２」、「認証実行装置１６」、「認証情報入力装置１７」として説明している機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
【００６６】
ファイル群９２４には、実施の形態１及び２の説明において、「〜の判断」、「〜の計算」、「〜の比較」、「〜の認証」、「〜の評価」、「〜の更新」、「〜の設定」、「〜の登録」、「〜の抽出」、「〜の選択」等として説明している処理の結果を示す情報やデータや信号値や変数値やパラメータが、「〜ファイル」や「〜データベース」の各項目として記憶されている。
「〜ファイル」や「〜データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示などのＣＰＵの動作に用いられる。
抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示のＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリ、レジスタ、キャッシュメモリ、バッファメモリ等に一時的に記憶される。
また、実施の形態１及び２で説明しているデータや信号値は、ＲＡＭ９１４のメモリ、ＦＤＤ９０４のフレキシブルディスク、ＣＤＤ９０５のコンパクトディスク、磁気ディスク装置９２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ等の記録媒体に記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体によりオンライン伝送される。
【００６７】
また、実施の形態１及び２の説明において「情報配信装置６」「認証実行装置７」、「情報更新装置１２」、「認証実行装置１６」、「認証情報入力装置１７」として説明しているものは、「〜回路」、「〜手段」、「〜機器」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。すなわち、「情報配信装置６」「認証実行装置７」、「情報更新装置１２」、「認証実行装置１６」、「認証情報入力装置１７」として説明しているものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。すなわち、プログラムは、実施の形態１及び２の「情報配信装置６」「認証実行装置７」、「情報更新装置１２」、「認証実行装置１６」、「認証情報入力装置１７」としてコンピュータを機能させるものである。あるいは、実施の形態１及び２の「「情報配信装置６」「認証実行装置７」、「情報更新装置１２」、「認証実行装置１６」、「認証情報入力装置１７」の手順や方法をコンピュータに実行させるものである。
【００６８】
このように、実施の形態１及び２に示すセキュリティ管理装置１及びセキュリティ端末装置１１は、処理装置たるＣＰＵ、記憶装置たるメモリ、磁気ディスク等、入力装置たるキーボード、マウス、通信ボード等、出力装置たる表示装置、通信ボード等を備えるコンピュータであり、実施の形態１及び２で示された機能をこれら処理装置、記憶装置、入力装置、出力装置を用いて実現するものである。
【符号の説明】
【００６９】
１ セキュリティ管理装置、２ 情報記憶装置、３ 認証ポリシー、４ 認証情報、５ 各ユーザの取得済情報、６ 情報配信装置、７ 認証実行装置、１１ セキュリティ端末装置、１２ 情報更新装置、１３ キャッシュ用情報記憶装置、１４ 認証ポリシー、１５ 認証情報、１６ 認証実行装置、１７ 認証情報入力装置。
【特許請求の範囲】
【請求項１】
ユーザのログイン処理の開始からセッションが開始し、ログイン処理の完了後にセッションが確立し、少なくともログイン処理時にセキュリティポリシーの送信を要求する端末装置
に接続されている管理装置であって、
前記端末装置に適用させるセキュリティポリシーを、適用開始タイミングがセッション開始時に限られセッション開始時の適用開始以降セッション中は継続して適用させる第１種セキュリティポリシーと、適用開始タイミングはセッション開始時に限られずセッション確立後の追加適用も可能な第２種セキュリティポリシーとに区別して記憶するセキュリティポリシー記憶部と、
前記端末装置から、前記端末装置が現在ログイン処理中であるかログイン処理済であるかを示す状態識別子が含まれ、セキュリティポリシーの送信を要求するセキュリティポリシー送信要求を受信する受信部と、
前記セキュリティポリシー送信要求に含まれている状態識別子を解析し、前記端末装置が現在ログイン処理中であると判断した場合に、前記セキュリティポリシー記憶部から前記第１種セキュリティポリシーを取得し、前記端末装置が既にログイン処理済であると判断した場合に、前記セキュリティポリシー記憶部から前記第２種セキュリティポリシーを取得するセキュリティポリシー取得部と、
前記セキュリティポリシー取得部により取得されたセキュリティポリシーを前記端末装置に対して送信する送信部とを有することを特徴とする管理装置。
【請求項２】
前記セキュリティポリシー取得部は、
状態識別子の解析の結果、前記端末装置が現在ログイン処理中であると判断した場合に、前記セキュリティポリシー記憶部から前記第１種セキュリティポリシーを取得するとともに前記第２種セキュリティポリシーを取得し、
状態識別子の解析の結果、前記端末装置が既にログイン処理済であると判断した場合に、前記セキュリティポリシー記憶部から、前記端末装置のログイン処理中に取得した第２種セキュリティポリシー以外の第２種セキュリティポリシーを取得することを特徴とする請求項１に記載の管理装置。
【請求項３】
前記管理装置は、更に、
前記送信部より前記端末装置に対して送信済のセキュリティポリシーを示す送信済セキュリティポリシー情報を記憶する送信済セキュリティポリシー情報記憶部を有し、
前記セキュリティポリシー取得部は、
状態識別子の解析の結果、前記端末装置が現在ログイン処理中であると判断した場合に、前記送信済セキュリティポリシー情報に基づき、前記端末装置に未送信の第１種セキュリティポリシーを前記セキュリティポリシー記憶部から取得し、
状態識別子の解析の結果、前記端末装置が既にログイン処理済であると判断した場合に、前記送信済セキュリティポリシー情報に基づき、前記端末装置に未送信の第２種セキュリティポリシーを前記セキュリティポリシー記憶部から取得することを特徴とする請求項１又は２に記載の管理装置。
【請求項４】
ユーザのログイン処理の開始からセッションが開始し、ログイン処理の完了後にセッションが確立し、少なくともログイン処理時にユーザ認証を要求する端末装置
に接続されている管理装置であって、
前記端末装置のユーザ認証に適用するセキュリティポリシーを、適用開始タイミングがセッション開始時に限られセッション開始時の適用開始以降セッション中は継続して適用する第１種セキュリティポリシーと、適用開始タイミングはセッション開始時に限られずセッション確立後の追加適用も可能な第２種セキュリティポリシーとに区別して記憶するセキュリティポリシー記憶部と、
前記端末装置から、前記端末装置が現在ログイン処理中であるかログイン処理済であるかを示す状態識別子が含まれ、ユーザ認証を要求するユーザ認証要求を受信する受信部と、
前記ユーザ認証要求に含まれている状態識別子を解析し、前記端末装置が現在ログイン処理中であると判断した場合に、前記セキュリティポリシー記憶部から前記第１種セキュリティポリシーを取得し、前記端末装置が既にログイン処理済であると判断した場合に、前記セキュリティポリシー記憶部から前記第２種セキュリティポリシーを取得するセキュリティポリシー取得部と、
前記セキュリティポリシー取得部により取得されたセキュリティポリシーを適用して前記端末装置のユーザ認証を行う認証実行部とを有することを特徴とする管理装置。
【請求項５】
前記セキュリティポリシー取得部は、
状態識別子の解析の結果、前記端末装置が現在ログイン処理中であると判断した場合に、前記セキュリティポリシー記憶部から前記第１種セキュリティポリシーを取得するとともに前記第２種セキュリティポリシーを取得し、
状態識別子の解析の結果、前記端末装置が既にログイン処理済であると判断した場合に、前記セキュリティポリシー記憶部から、前記端末装置のログイン処理中に取得した第２種セキュリティポリシー以外の第２種セキュリティポリシーを取得することを特徴とする請求項４に記載の管理装置。
【請求項６】
前記認証実行部は、
前記セキュリティポリシー取得部により前記端末装置が現在ログイン処理中であると判断された場合に、前記セキュリティポリシー取得部により取得された前記第１種セキュリティポリシー及び前記第２種セキュリティポリシーを適用して前記端末装置のユーザ認証を行い、
前記セキュリティポリシー取得部により前記端末装置が既にログイン処理済であると判断された場合に、前記端末装置のログイン処理中に前記セキュリティポリシー取得部により取得された前記第１種セキュリティポリシー及び前記第２種セキュリティポリシーと、前記セキュリティポリシー取得部により新たに取得された第２種セキュリティポリシーとを適用して前記端末装置のユーザ認証を行うことを特徴とする請求項５に記載の管理装置。
【請求項７】
セキュリティポリシーを記憶する管理装置に接続され、
ユーザのログイン処理の開始からセッションが開始し、ログイン処理の完了後にセッションが確立する端末装置であって、
ログイン処理時又はセッション確立後の任意のタイミングで、現在ログイン処理中であるかログイン処理済であるかを示す状態識別子を含み、セキュリティポリシーの送信を要求するセキュリティポリシー送信要求を前記管理装置に対して送信する送信部と、
前記送信部よりログイン処理時にセキュリティポリシー送信要求が送信された場合に、適用開始タイミングがセッション開始時に限られセッション開始時の適用開始以降セッション中は継続して適用される第１種セキュリティポリシーを前記管理装置から受信し、前記送信部よりセッション確立後にセキュリティポリシー送信要求が送信された場合に、適用開始タイミングはセッション開始時に限られずセッション確立後の追加適用も可能な第２種セキュリティポリシーを受信する受信部と、
前記第１種セキュリティポリシーに対しては、セッション開始時から適用を開始し、セッション中は前記第１種セキュリティポリシーに従ったセキュリティ対策を継続して実施し、前記第２種セキュリティポリシーに対しては、第２種セキュリティポリシーの受信の度に受信した第２種セキュリティポリシーの適用を開始し、適用を開始した第２種セキュリティポリシーに従ったセキュリティ対策を実施するセキュリティポリシー適用部とを有することを特徴とする端末装置。
【請求項８】
前記受信部は、
前記送信部よりログイン処理時にセキュリティポリシー送信要求が送信された場合に、第１種セキュリティポリシーと第２種セキュリティポリシーを前記管理装置から受信し、前記送信部よりセッション確立後にセキュリティポリシー送信要求が送信された場合に、ログイン処理時に受信した第２種セキュリティポリシー以外の第２種セキュリティポリシーを受信することを特徴とする請求項７に記載の端末装置。
【請求項１】
ユーザのログイン処理の開始からセッションが開始し、ログイン処理の完了後にセッションが確立し、少なくともログイン処理時にセキュリティポリシーの送信を要求する端末装置
に接続されている管理装置であって、
前記端末装置に適用させるセキュリティポリシーを、適用開始タイミングがセッション開始時に限られセッション開始時の適用開始以降セッション中は継続して適用させる第１種セキュリティポリシーと、適用開始タイミングはセッション開始時に限られずセッション確立後の追加適用も可能な第２種セキュリティポリシーとに区別して記憶するセキュリティポリシー記憶部と、
前記端末装置から、前記端末装置が現在ログイン処理中であるかログイン処理済であるかを示す状態識別子が含まれ、セキュリティポリシーの送信を要求するセキュリティポリシー送信要求を受信する受信部と、
前記セキュリティポリシー送信要求に含まれている状態識別子を解析し、前記端末装置が現在ログイン処理中であると判断した場合に、前記セキュリティポリシー記憶部から前記第１種セキュリティポリシーを取得し、前記端末装置が既にログイン処理済であると判断した場合に、前記セキュリティポリシー記憶部から前記第２種セキュリティポリシーを取得するセキュリティポリシー取得部と、
前記セキュリティポリシー取得部により取得されたセキュリティポリシーを前記端末装置に対して送信する送信部とを有することを特徴とする管理装置。
【請求項２】
前記セキュリティポリシー取得部は、
状態識別子の解析の結果、前記端末装置が現在ログイン処理中であると判断した場合に、前記セキュリティポリシー記憶部から前記第１種セキュリティポリシーを取得するとともに前記第２種セキュリティポリシーを取得し、
状態識別子の解析の結果、前記端末装置が既にログイン処理済であると判断した場合に、前記セキュリティポリシー記憶部から、前記端末装置のログイン処理中に取得した第２種セキュリティポリシー以外の第２種セキュリティポリシーを取得することを特徴とする請求項１に記載の管理装置。
【請求項３】
前記管理装置は、更に、
前記送信部より前記端末装置に対して送信済のセキュリティポリシーを示す送信済セキュリティポリシー情報を記憶する送信済セキュリティポリシー情報記憶部を有し、
前記セキュリティポリシー取得部は、
状態識別子の解析の結果、前記端末装置が現在ログイン処理中であると判断した場合に、前記送信済セキュリティポリシー情報に基づき、前記端末装置に未送信の第１種セキュリティポリシーを前記セキュリティポリシー記憶部から取得し、
状態識別子の解析の結果、前記端末装置が既にログイン処理済であると判断した場合に、前記送信済セキュリティポリシー情報に基づき、前記端末装置に未送信の第２種セキュリティポリシーを前記セキュリティポリシー記憶部から取得することを特徴とする請求項１又は２に記載の管理装置。
【請求項４】
ユーザのログイン処理の開始からセッションが開始し、ログイン処理の完了後にセッションが確立し、少なくともログイン処理時にユーザ認証を要求する端末装置
に接続されている管理装置であって、
前記端末装置のユーザ認証に適用するセキュリティポリシーを、適用開始タイミングがセッション開始時に限られセッション開始時の適用開始以降セッション中は継続して適用する第１種セキュリティポリシーと、適用開始タイミングはセッション開始時に限られずセッション確立後の追加適用も可能な第２種セキュリティポリシーとに区別して記憶するセキュリティポリシー記憶部と、
前記端末装置から、前記端末装置が現在ログイン処理中であるかログイン処理済であるかを示す状態識別子が含まれ、ユーザ認証を要求するユーザ認証要求を受信する受信部と、
前記ユーザ認証要求に含まれている状態識別子を解析し、前記端末装置が現在ログイン処理中であると判断した場合に、前記セキュリティポリシー記憶部から前記第１種セキュリティポリシーを取得し、前記端末装置が既にログイン処理済であると判断した場合に、前記セキュリティポリシー記憶部から前記第２種セキュリティポリシーを取得するセキュリティポリシー取得部と、
前記セキュリティポリシー取得部により取得されたセキュリティポリシーを適用して前記端末装置のユーザ認証を行う認証実行部とを有することを特徴とする管理装置。
【請求項５】
前記セキュリティポリシー取得部は、
状態識別子の解析の結果、前記端末装置が現在ログイン処理中であると判断した場合に、前記セキュリティポリシー記憶部から前記第１種セキュリティポリシーを取得するとともに前記第２種セキュリティポリシーを取得し、
状態識別子の解析の結果、前記端末装置が既にログイン処理済であると判断した場合に、前記セキュリティポリシー記憶部から、前記端末装置のログイン処理中に取得した第２種セキュリティポリシー以外の第２種セキュリティポリシーを取得することを特徴とする請求項４に記載の管理装置。
【請求項６】
前記認証実行部は、
前記セキュリティポリシー取得部により前記端末装置が現在ログイン処理中であると判断された場合に、前記セキュリティポリシー取得部により取得された前記第１種セキュリティポリシー及び前記第２種セキュリティポリシーを適用して前記端末装置のユーザ認証を行い、
前記セキュリティポリシー取得部により前記端末装置が既にログイン処理済であると判断された場合に、前記端末装置のログイン処理中に前記セキュリティポリシー取得部により取得された前記第１種セキュリティポリシー及び前記第２種セキュリティポリシーと、前記セキュリティポリシー取得部により新たに取得された第２種セキュリティポリシーとを適用して前記端末装置のユーザ認証を行うことを特徴とする請求項５に記載の管理装置。
【請求項７】
セキュリティポリシーを記憶する管理装置に接続され、
ユーザのログイン処理の開始からセッションが開始し、ログイン処理の完了後にセッションが確立する端末装置であって、
ログイン処理時又はセッション確立後の任意のタイミングで、現在ログイン処理中であるかログイン処理済であるかを示す状態識別子を含み、セキュリティポリシーの送信を要求するセキュリティポリシー送信要求を前記管理装置に対して送信する送信部と、
前記送信部よりログイン処理時にセキュリティポリシー送信要求が送信された場合に、適用開始タイミングがセッション開始時に限られセッション開始時の適用開始以降セッション中は継続して適用される第１種セキュリティポリシーを前記管理装置から受信し、前記送信部よりセッション確立後にセキュリティポリシー送信要求が送信された場合に、適用開始タイミングはセッション開始時に限られずセッション確立後の追加適用も可能な第２種セキュリティポリシーを受信する受信部と、
前記第１種セキュリティポリシーに対しては、セッション開始時から適用を開始し、セッション中は前記第１種セキュリティポリシーに従ったセキュリティ対策を継続して実施し、前記第２種セキュリティポリシーに対しては、第２種セキュリティポリシーの受信の度に受信した第２種セキュリティポリシーの適用を開始し、適用を開始した第２種セキュリティポリシーに従ったセキュリティ対策を実施するセキュリティポリシー適用部とを有することを特徴とする端末装置。
【請求項８】
前記受信部は、
前記送信部よりログイン処理時にセキュリティポリシー送信要求が送信された場合に、第１種セキュリティポリシーと第２種セキュリティポリシーを前記管理装置から受信し、前記送信部よりセッション確立後にセキュリティポリシー送信要求が送信された場合に、ログイン処理時に受信した第２種セキュリティポリシー以外の第２種セキュリティポリシーを受信することを特徴とする請求項７に記載の端末装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【公開番号】特開２０１１−８６５５（Ｐ２０１１−８６５５Ａ）
【公開日】平成２３年１月１３日（２０１１．１．１３）
【国際特許分類】
【出願番号】特願２００９−１５３２２４（Ｐ２００９−１５３２２４）
【出願日】平成２１年６月２９日（２００９．６．２９）
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【Ｆターム（参考）】
【公開日】平成２３年１月１３日（２０１１．１．１３）
【国際特許分類】
【出願日】平成２１年６月２９日（２００９．６．２９）
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【Ｆターム（参考）】
[ Back to top ]