JP4832132B2 - アクセス制御装置、アクセス制御シミュレーション方法及びアクセス制御シミュレーションプログラム - Google Patents

Description

本発明は、アクセス制御装置、アクセス制御シミュレーション方法及びアクセス制御シミュレーションプログラムに関し、特にセキュリティポリシーに基づいてアクセス制御を行うアクセス制御装置、アクセス制御シミュレーション方法及びアクセス制御シミュレーションプログラムに関する。

従来、ドキュメント等のオブジェクトの管理におけるアクセス制御機能に関して、セキュリティの向上、管理の簡便化を目的として、オブジェクト（資源）に対する操作と、操作者と、オブジェクトとが抽象化されて定義されたセキュリティポリシーに基づいてオブジェクトに対するアクセス制御を行う方式が考案されている（例えば、特許文献１）。

また、これに伴って、抽象度の高いセキュリティポリシー及び当該セキュリティポリシーを構成するセキュリティルールの定義と、実際の利用シーンでのアクセス権付与状況とが直ちに結び付き難いことから、これを改善するための方式も考案されている（例えば、特許文献２）。

セキュリティポリシーに基づいて、オブジェクトの分類、操作者の分類、操作の種類の組み合わせに応じたアクセス可否判定と、アクセス実行時の要件定義（責務）からなるアクセス許可ルールに応じたアクセス判定とを行うことにより、適切に管理された少数のセキュリティポリシーを多くの利用シーンに共通に適用させることができる。また、複数の異なる種類のオブジェクトやアプリケーションの操作に関するアクセス制御を包括したセキュリティポリシーにより、アクセス制御情報の一元管理が可能になる。
特開２００５−３８３７１号公報 特開２００５−３０１５１０号公報

しかしながら、セキュリティポリシーに基づくアクセス制御では、個々の利用シーンにおいてどのようなアクセス判定が行われるのかは、セキュリティポリシーの定義を一見して分かりにくい場合があり、また、ルールに誤りがあっても気付きにくいといった問題がある。更に、セキュリティポリシーの定義を修正したり改定したりする場合にも、その妥当性を確認するのが困難であるという問題がる。

本発明は、上記の点に鑑みてなされたものであって、セキュリティポリシーの定義に基づいて行われるアクセス制御の判定結果を簡便に確認させることのできるアクセス制御装置、アクセス制御シミュレーション方法及びアクセス制御シミュレーションプログラムの提供を目的とする。

そこで上記課題を解決するため、本発明は、操作の対象となる各資源を分類する資源分類情報と、前記資源を操作する各主体を分類する主体分類情報と、前記資源の分類と前記主体の分類との組み合わせに応じて前記操作の種別ごとに前記操作の許否判定に関する規則が定義された定義情報とに基づいて、前記資源に対するアクセス制御を行うアクセス制御装置であって、前記定義情報に定義された前記規則に基づいて、前記資源の集合に含まれるそれぞれの資源について特定の前記主体による特定の前記操作の許否を判定する判定手段を有し、前記特定の主体は前記資源の集合が表示される表示画面において前記主体の一覧の中から選択され、前記特定の操作は前記表示画面において前記操作の一覧の中から選択され、前記判定手段による前記許否の判定結果は、前記表示画面において前記資源ごとに表示されることを特徴とする。

このようなアクセス制御装置では、セキュリティポリシーの定義に基づいて行われるアクセス制御の判定結果を簡便に確認させることができる。

また、上記課題を解決するため、本発明は、上記アクセス制御装置におけるアクセス制御シミュレーション方法、前記アクセス制御シミュレーション方法をコンピュータに実行させるためのアクセス制御シミュレーションプログラムとしてもよい。

本発明によれば、セキュリティポリシーの定義に基づいて行われるアクセス制御の判定結果を簡便に確認させることのできるアクセス制御装置、アクセス制御シミュレーション方法及びアクセス制御シミュレーションプログラムを提供することができる。

以下、図面に基づいて本発明の実施の形態を説明する。本実施の形態においては、文書管理システムにおいて管理されている電子文書を、操作の対象（すなわち、アクセス制御の対象）となる資源（オブジェクト）の例として説明する。

図１は、本発明の実施の形態における文書管理システムの構成例を示す図である。図１に示されるように、本実施の形態における文書管理システム１は、アクセス制御サーバ１０、文書管理サーバ２０、認証サーバ３０、管理者用ＰＣ（Personal Computer）４０、及びクライアントＰＣ５０等が、インターネットやＬＡＮ（Local Area Network）等のネットワーク６０を介して接続されることにより構成されている。

アクセス制御サーバ１０は、文書に対するアクセス制御のための各種情報（以下、「セキュリティ情報」という。）の管理を行うためのコンピュータである。後述する文書管理サーバ２０において管理されている文書を取り扱う各種アプリケーション又はシステム等は、アクセス制御サーバ１０に管理されているセキュリティ情報に基づいて、各ユーザの文書に対する操作権限の有無等を判断する。

文書管理サーバ２０は、文書の管理機能（文書の保存、保存されている文書の閲覧、更新及び削除等の手段の提供等）が実装されたコンピュータである。文書管理サーバ２０は、文書群を所定の管理体系（分類体系）に基づいて管理し、この管理体系に基づいて文書の操作機能を提供する。ここで、所定の管理体系とは、例えば、一般的に見受けられるようなフォルダ及びその階層構造に基づくものが相当する。すなわち、文書管理サーバ２０では、フォルダ及びその階層構造によって文書が分類及び管理されている。

認証サーバ３０は、文書管理システム１のユーザの認証を行うための機能が実装されたコンピュータである。すなわち、認証サーバ３０によって認証されたユーザのみが、文書管理システム１を利用することができる。

管理者用ＰＣ４０は、文書管理システム１の管理者ユーザが、文書管理システム１の管理機能等のために利用するコンピュータである。例えば、文書管理システム１の管理機能としては、アクセス制御サーバ１０におけるセキュリティ情報のメンテナンスをするための機能が相当する。

クライアントＰＣ５０は、文書管理システム１の一般ユーザが、文書管理サーバ２０において管理されている文書を操作（閲覧、印刷、削除、又は更新等）するために利用するコンピュータである。

次に、アクセス制御サーバ１０の詳細について説明する。図２は、本発明の実施の形態におけるアクセス制御サーバのハードウェア構成例を示す図である。図２のアクセス制御サーバ１０は、それぞれバスBで相互に接続されているドライブ装置１００と、補助記憶装置１０２と、メモリ装置１０３と、演算処理装置１０４と、インタフェース装置１０５とを有するように構成される。

アクセス制御サーバ１０での処理を実現するプログラムは、ＣＤ−ＲＯＭ等の記録媒体１０１によって提供される。プログラムを記録した記録媒体１０１がドライブ装置１００にセットされると、プログラムが記録媒体１０１からドライブ装置１００を介して補助記憶装置１０２にインストールされる。

補助記憶装置１０２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。メモリ装置１０３は、プログラムの起動指示があった場合に、補助記憶装置１０２からプログラムを読み出して格納する。演算処理装置１０４は、メモリ装置１０３に格納されたプログラムに従ってアクセス制御サーバ１０に係る機能を実行する。インタフェース装置１０５は例えばＬＡＮカード等で構成され、図１のネットワーク６０に接続するために用いられる。

図３は、本発明の実施の形態の文書管理システムにおけるルール適用シミュレーション機能に関する機能構成例を示す図である。図３に示されるように、アクセス制御サーバ１０には、セキュリティ管理モジュール１１及びルール適用シミュレーションモジュール１２等が実装されている。セキュリティ管理モジュール１１は、各種のセキュリティ情報の管理機能が実装されたモジュールである。セキュリティ管理モジュール１１においては、ユーザプロファイル１１１、文書プロファイル１１２、及びポリシー１１３等がセキュリティ情報として管理されている。

図４は、ユーザプロファイルの例を示す図である。図４に示されるように、ユーザプロファイル１１１は、各ユーザをいずれの部署の関係者であるかによって分類する情報であり、ユーザごとに、各部署（部署Ａ、部署Ｂ、部署Ｃ）の関係者であるか否かが定義されている。例えば、プロファイル１１１において、ユーザＡは、部署Ａの関係者であるが、部署Ｂ及び部署Ｃの関係者ではないことが定義されている。ここで、「部署の関係者」とは、例えば、当該部署に所属している者や、当該部署におけるプロジェクトに参加している者等が該当する。

図５は、文書プロファイルの例を示す図である。図５に示されるように、文書プロファイル１１２は、各文書をその機密レベル等によって分類する情報であり、文書ごとに文書名、機密レベル、及び管理部署等が定義されている。文書名は、文書に付された名前である。機密レベルは、文書の機密度である。管理部署は、文書を管理している部署の部署名である。例えば、文書プロファイル１１２において、文書１は、部署Ａにおいて管理されている社外秘文書であるということが定義されている。

図６、図７、及び図８は、ポリシーの定義例を示す図である。図６等におけるポリシー１１３は、ＸＡＣＭＬ（eXtensible Access Control Markup Language）の仕様を参考に定義されている。ここで、「参考に」と表現しているのは、原則としてＸＡＣＭＬの仕様に従いつつ、本実施の形態において独自の拡張を行っているからである。なお、図６、図７、及び図８は、一つのファイル内においてなされている定義を、便宜上分割して表示したものである。

ポリシー１１３においては、主体（ユーザ）、資源（文書）、及び操作の組み合わせに応じて、当該操作の許否を判断するための規則（セキュリティルール）が定義されており、一つのセキュリティルールに対応する定義は、＜Ｒｕｌｅ＞タグで囲まれたＲｕｌｅ定義が該当する。図中においては、Ｒｕｌｅ定義ｒ１（図６）、Ｒｕｌｅ定義ｒ２、Ｒｕｌｅ定義ｒ３（図７）、Ｒｕｌｅ定義ｒ４（図８）等がＲｕｌｅ定義として表示されている。各Ｒｕｌｅ定義は、＜Ｔａｒｇｅｔ＞タグで囲まれたＴａｒｇｅｔ定義を要素として含む。例えば、Ｒｕｌｅ定義ｒ１には、Ｔａｒｇｅｔ定義ｔ１が含まれている。

Ｔａｒｇｅｔ定義は、当該セキュリティルールを適用する対象（主体、資源、操作）を特定するための定義であり、＜Ｓｕｂｊｅｃｔ（ｓ）＞タグで囲まれたＳｕｂｊｅｃｔ定義、＜Ｒｅｓｏｕｒｃｅ（ｓ）＞タグで囲まれたＲｅｓｏｕｒｃｅ定義、＜Ａｃｔｉｏｎ（ｓ）＞タグで囲まれたＡｃｔｉｏｎ定義等を含む。Ｓｕｂｊｅｃｔ定義は、セキュリティルールを適用する主体の分類を特定するための定義である。Ｒｅｓｏｕｒｃｅ定義は、セキュリティルールを適用する資源の分類を特定するための定義である。Ａｃｔｉｏｎ定義は、セキュリティルールを適用する操作の種別を特定するための定義である。例えば、Ｔａｒｇｅｔ定義ｔ１より、Ｒｕｌｅ定義ｒ１は、関係者（主体）による秘文書（資源）の閲覧（操作）の許否を判定する際に適用されるセキュリティルールであることが特定される。

セキュリティルールを適用した場合の判定値は、当該Ｒｕｌｅ定義のＥｆｆｅｃｔ属性の値によって特定される。すなわち、Ｅｆｆｅｃｔ属性の値が「Ｐｅｒｍｉｔ」であれば、判定値は「許可」となり、「Ｄｅｎｙ」であれば判定値は「不許可」となる。例えば、Ｒｕｌｅ定義ｒ１のＥｆｆｅｃｔ属性ｅ１の値は、「Ｐｅｒｍｉｔ」であることから、Ｒｕｌｅ定義ｒ１が適用される場合の判定値は「許可」であることが分かる。以上より、Ｒｕｌｅ定義ｒ１には、「関係者による秘文書の閲覧は許可する。」旨が定義されていることとなる。

一つ以上のＲｕｌｅ定義は、＜Ｐｏｌｉｃｙ＞タグで囲まれたＰｏｌｉｃｙ定義によってまとめることができる。図中には、Ｐｏｌｉｃｙ定義ｐ１（図６）、Ｐｏｌｉｃｙ定義ｐ２、Ｐｏｌｉｃｙ定義ｐ３（図７）、及びＰｏｌｉｃｙ定義ｐ４（図８）等がＰｏｌｉｃｙ定義として示されている。一つのＰｏｌｉｃｙ定義には、＜Ｏｂｌｉｇａｔｉｏｎ（ｓ）＞タグで囲まれたＯｂｌｉｇａｔｉｏｎ定義、及び＜Ｄｅｓｃｒｉｐｔｉｏｎ＞タグで囲まれたＤｅｓｃｒｉｐｔｉｏｎ定義等を含み得る。例えば、Ｐｏｌｉｃｙ定義ｐ１には、Ｏｂｌｉｇａｔｉｏｎ定義ｏ１とＤｅｓｃｒｉｐｔｉｏｎ定義ｄ１とが含まれている。

Ｏｂｌｉｇａｔｉｏｎ定義は、資源へのアクセスを許可する場合に強制する責務（又は要件）を規定するための定義であり、当該Ｏｂｌｉｇａｔｉｏｎ定義を含むＰｏｌｉｃｙ定義に属する全てのＲｕｌｅ定義に対して共通的に適用される。但し、本実施の形態においては、Ｐｏｌｉｃｙ定義とＲｕｌｅ定義とは一対一に対応している。これは、ＸＡＣＭＬの仕様上、Ｏｂｌｉｇａｔｉｏｎ定義はＰｏｌｉｃｙ定義ごとに定義されるものであるところ、本実施の形態においては、Ｒｕｌｅ定義ごとにＯｂｌｉｇａｔｉｏｎ定義を対応させたいからである。Ｏｂｌｉｇａｔｉｏｎ定義ｏ１には、監査情報の記録が責務として規定されている。したがって、Ｐｏｌｉｃｙ定義ｐ１には、「関係者による秘文書の閲覧は許可する。但し、閲覧の際には、監査情報を記録しなければならない。」旨が定義されていることとなる。

Ｄｅｓｃｒｉｐｔｉｏｎ定義は、当該Ｄｅｓｃｒｉｐｔｉｏｎ定義が属するＰｏｌｉｃｙ定義におけるＲｕｌｅ定義の定義内容を説明した説明文が定義されたものである。Ｄｅｓｃｒｉｐｔｉｏｎ定義における説明文（以下「定義内容説明文」という。）は、表示用の文字列として利用される。

Ｐｏｌｉｃｙ定義には、更に、ＰｏｌｉｃｙＩＤ属性が定義されている。ＰｏｌｉｃｙＩＤ属性は、各Ｐｏｌｉｃｙ定義を一意に識別するためのＩＤである。例えば、Ｐｏｌｉｃｙ定義ｐ１のＰｏｌｉｃｙＩＤ属性ｉ１の値は「Ｐｏｌｉｃｙ１」として定義されている。

図９は、ポリシーの定義内容を概念的に示す図である。すなわち、図９の表１１３ａは、図６等に示したポリシー１１３における記述から導出される定義内容を表形式にまとめて表示したものである。図９に示されるように、ポリシー１１３における記述によって、主体の分類（文書の関係者又は関係者以外）と文書の分類（極秘、秘、社外秘）との組み合わせに応じて、操作の種別（閲覧、印刷）ごとについての許否（○又は×）、責務、定義内容説明文が定義されたこととなる。

なお、図６〜図８のポリシー１１３においては、閲覧及び印刷以外の操作（例えば、編集、削除等）については定義されていないが、このような場合のアクセス制御は運用に応じて適宜定めればよい。例えば、定義されていないものについては、操作が禁止されることにしてもよいし、操作が無条件に許可されることにしてもよい。

図３に戻る。ルール適用シミュレーションモジュール１２は、文書管理サーバ２０において管理されている文書ごとに、特定のユーザの特定の操作に関して、ポリシー１３に定義されているセキュリティルールを適用させて当該操作の許否を判定し（当該判定処理を、以下「ルール適用シミュレーション」という。）、その判定結果（ルール適用結果）を管理者ＰＣ４０のアプリケーション４１に表示させる。

管理者ＰＣ４０におけるアプリケーション４１は、ルール適用シミュレーションモジュール１２によって出力されるルール適用結果の表示画面（以下「ルール適用結果確認画面」という。）を表示させるアプリケーションである。例えば、ルール適用結果確認画面がＷｅｂページとして構成される場合は、アプリケーション４１は、汎用的なＷｅｂブラウザであってもよい。また、ルール適用結果確認画面を専用のＷｉｎｄｏｗｓ（登録商標）アプリケーションによって表示させるようにしてもよい。

図１０は、ルール適用結果確認画面の表示例を示す図である。図１０のルール適用結果確認画面４１０は、ユーザ選択領域４１１、操作選択領域４１２、フォルダ構成表示領域４１３、文書一覧表示領域４１４、及びボタン４１５等より構成されている。

ユーザ選択領域４１１は、ルール適用シミュレーションにおいて対象とするユーザをユーザ一覧の中から選択させるための領域であり、本実施の形態では、コンボボックスとして実装されている。操作選択領域４１２は、ルール適用シミュレーションにおいて対象とする操作を操作一覧の中から選択させるための領域であり、本実施の形態ではコンボボックスとして実装されている。

フォルダ構成表示領域４１３は、文書管理サーバ２０の文書管理における文書の管理体系（すなわち、フォルダ構成表示領域）をツリー構造によって表示される領域である。

文書一覧表示領域４１４は、フォルダ構成表示領域４１３において選択されているフォルダに格納されている文書の一覧がその属性情報（ＩＤ、文書名、作成日、更新日等）と共に表示される領域である。但し、文書一覧表示領域４１４では、各文書について、単なる属性情報だけでなく、ルール適用シミュレーションの結果（ルール適用結果）も領域４１４１に表示される。領域４１４１では、操作選択領域４１２で選択された操作の許可は「○」によって、不許可は「−」によって表示される。

すなわち、図１０のルール適用結果確認画面４１０の領域４１４１においては、フォルダ「部署別／二課」に格納されている文書１、２、３、４のそれぞれについて、ユーザＡの閲覧（制限なし）操作に関するルール適用結果が表示されている。ここで、「閲覧（制限なし）」における「（制限なし）」とは、責務が課せられることなく無条件で閲覧が許可されることをいう。したがって、図１０では、フォルダ「部署別／二課」に格納されている文書の中で、ユーザＡに責務が課せられることなく閲覧可能な文書は、文書１のみであることが確認できる。

なお、ユーザ選択領域４１１又は操作選択領域４１２において他のユーザ又は他の操作が選択された際は、新たに選択されたユーザ又は操作に関するルール適用結果が領域４１４１に表示される。また、フォルダ構成表示領域４１３において他のフォルダが選択され当該フォルダに格納されている文書の一覧が表示される際は、新たに表示される文書に関するルール適用結果が領域４１４１に表示される。このように、ルール適用結果確認画面４１０によれば、対象ユーザ（ここでは「ユーザＡ」）が文書に対して実際にアクセスしなくても、管理者ユーザが、当該対象ユーザどのような文書に対してどのような操作が許可されているのかを容易に確認することができる。したがって、ポリシー１１３の定義を変更する場合等において、実際の操作許否判断に与える影響を容易に確認することが可能となる。

ところで、本実施の形態では、ルール適用シミュレーションの実行に際し、ポリシー１１３に定義されているセキュリティルールの中で、当該ルール適用シミュレーションの適用除外とするセキュリティルールを選択させることができる。当該選択は、例えば、ルール適用結果確認画面４１０においてボタン４１５が押下又はクリックされた際に表示される適用ルール選択画面を介して行われる。

図１１は、適用ルール選択画面の表示例を示す図である。

図１１の適用ルール選択画面４２０では、図６〜図８に示されているポリシー１１３に定義されているＲｕｌｅ定義ｒ１〜ｒ４の一覧が表示されている。すなわち、図１１におけるセキュリティルールｒ１〜ｒ４は、は、図６〜図８において同一符号に係るＲｕｌｅ定義に対応する。図１１において、各セキュリティルールには、チェックボタン（４２１〜４２４）が割り当てられている。チェックボタン４２１〜４２４は、当該チェックボタンに対応するセキュリティルールを、ルール適用シミュレーションの適用対象とするか否かを選択させるためのものである。当該チェックボタンがチェックされているセキュリティルールは適用対象とされ、チェックされていないセキュリティルールは適用除外とされる。図１１では、セキュリティルールｒ３が適用除外とされた例が示されている。この場合、図１０のルール適用結果確認画面４１０においては、セキュリティルールｒ３を無視したルール適用結果が表示される。なお、適用ルール選択画面４２０における設定内容は、適用ボタン４２１が押下又はクリックされることにより確定し、例えば、適用ルール選択情報として、補助記憶装置１０２に保存される。

以下、文書管理システム１におけるルール適用シミュレーションの処理手順について説明する。図１２は、文書管理システムにおけるルール適用シミュレーションの処理概要を説明するためのシーケンス図である。図１２には、ルール適用結果確認画面４１０が管理者用ＰＣ４０に表示された後、ルール適用シミュレーションが実行され、そのルール適用結果がルール適用結果確認画面に表示されるまでの処理手順が示されている。なお、図１２において、文書管理モジュール２１は、文書管理サーバ２０において文書管理機能を実現するプログラムである。

管理者用ＰＣ４０において管理者ユーザがアプリケーション４１を操作し、ルール適用結果確認画面４１０の表示を指示すると、アプリケーション４１は、文書管理体系、すなわちフォルダ構成の一覧の取得をルール適用シミュレーションモジュール１２に要求する（Ｓ１１）。ルール適用シミュレーションモジュール１２は、文書管理モジュール２１に対し、フォルダ構成の一覧の取得を要求し（Ｓ１２）、当該フォルダ構成の一覧を文書管理モジュール２１より受信する（Ｓ１３）。続いて、ルール適用シミュレーションモジュール１２が、受信したフォルダ構成一覧の表示指示をアプリケーション４１に送信すると、アプリケーション４１は、ルール適用結果確認画面４１０のフォルダ構成表示領域４１３に当該フォルダ構成を表示させる（Ｓ１４）。この状態において、ルール適用結果確認画面４１０には、フォルダ構成のみが表示されており、文書一覧表示領域４１４には、文書一覧は表示されていない。

ルール適用結果確認画面４１０のフォルダ構成表示領域４１３において、管理者ユーザがいずれかのフォルダを選択すると、アプリケーション４１は、選択されたフォルダ（以下「選択フォルダ」という。）に格納されている文書一覧の取得をルール適用シミュレーションモジュール１２に要求する（Ｓ１５）。

ルール適用シミュレーションモジュール１２は、文書管理モジュール２１に対し、選択フォルダに格納されている文書一覧の取得を要求し（Ｓ１６）、当該文書一覧を文書管理モジュール２１より受信する（Ｓ１７）。続いて、ルール適用シミュレーションモジュール１２が、当該文書一覧をアプリケーション４１に送信すると、アプリケーション４１は、当該文書一覧を、ルール適用結果確認画面４１０の文書一覧表示領域４１４に表示させる（Ｓ１８）。

続いて、管理者ユーザが、ルール適用結果確認画面４１０のユーザ選択領域４１１及び操作選択領域４１２において、ルール適用シミュレーションの対象とするユーザ（以下「対象ユーザ」という。）と操作（以下「対象操作」という。）とを選択すると、アプリケーション４１は、対象ユーザ、対象操作、及び文書一覧表示領域４１４に表示されている文書一覧に含まれる各文書（以下「対象文書」という。）の識別情報を伴って、ルール適用シミュレーションモジュール１２に対してルール適用シミュレーションの実行を要求する（Ｓ１９）。

ルール適用シミュレーションモジュール１２は、対象文書のそれぞれに対する対象ユーザによる対象操作の権限の有無を、ユーザプロファイル１１１、文書プロファイル１１２、ポリシー１１３、及び適用ルール選択画面４２０において設定された適用ルール選択情報等に基づいて判定する（Ｓ２０）。続いて、ルール適用シミュレーションモジュール１２が、その判定結果（ルール適用結果）をアプリケーション４１に送信すると（Ｓ２１）、アプリケーション４１は、ルール適用結果確認画面４１０の領域４１４１に当該ルール適用結果を文書ごとに表示させる（Ｓ２１）。

次に、図１２のステップＳ２０における処理、すなわち、ルール適用シミュレーションモジュール１２によるルール適用シミュレーションについて更に詳しく説明する。図１３は、ルール適用シミュレーションモジュールによるルール適用シミュレーションの処理手順を説明するためのフローチャートである。

まず、入力情報として対象ユーザの識別情報（アカウント情報）、対象文書の一覧、対象操作、及び適用ルール選択情報（適用除外とされるセキュリティルールの一覧）を受け付ける（Ｓ２０１）。続いて、ユーザプロファイル１１１より対象ユーザを検索することにより、対象ユーザのユーザプロファイル情報（対象ユーザが関係者である部署（関係部署））を取得する（Ｓ２０２）。続いて、結果一覧を初期化（空に）する（Ｓ２０３）。ここで、結果一覧とは、ポリシー１１３に含まれる全てのセキュリティルールに関して処理した結果、対象ユーザに対象操作が許可されるものとして判定された文書が格納されるバッファをいう。

続いて、ステップＳ２０４以降は、ポリシー１１３に含まれているそれぞれのセキュリティルール（図６〜図８によれば、Ｒｕｌｅ定義ｒ１、ｒ２、ｒ３、及びｒ４のそれぞれ）についてのループ処理となる。

すなわち、ポリシー１１３に含まれているセキュリティルールのうち、未処理のセキュリティルールの有無を判定し（Ｓ２０４）、未処理のセキュリティルールが有る場合は（Ｓ２０４でＹｅｓ）、その中から一つのセキュリティルール（例えば、Ｒｕｌｅ定義ｒ１）を取り出す（Ｓ２０５）。ここで取り出されたセキュリティルールを以下「カレントルール」という。

続いて、カレントルールが、適用ルール選択情報において適用除外とされているか否かを判定する（Ｓ２０６）。適用除外とされている場合（Ｓ２０６でＹｅｓ）、ステップＳ２０４に戻る。適用除外とされていない場合（Ｓ２０６でＮｏ）、カレントルールが対象ユーザ及び対象操作の組み合わせに適合するルール（以下「適合ルール」という。）であるか否かを検査する（Ｓ２０７）。なお、当該ステップの詳細については後述する。

カレントルールが適合ルールでない場合（Ｓ２０８でＮｏ）、ステップＳ２０４に戻る。カレントルールが適合ルールである場合（Ｓ２０８でＹｅｓ）、カレントルールに基づいて、対象ユーザに対象操作が許可される文書を対象文書の一覧の中から抽出する（Ｓ２１０）。なお、当該ステップの詳細については後述する。続いて、抽出された文書を結果一覧に合成する（Ｓ２１０）。

ポリシー１１３に含まれている全てのセキュリティルールについて処理が完了すると（Ｓ２０４）、図１３の処理を終了させる。

続いて、ステップＳ２０７における処理の詳細について説明する。図１４は、カレントルールが適合ルールであるかを検査するための処理の処理手順を説明するためのフローチャートである。

まず、カレントルールより、Ｔａｒｇｅｔ定義を取得する（Ｓ３０１）。例えば、カレントルールがＲｕｌｅ定義ｒ１である場合、Ｔａｒｇｅｔ定義ｔ１が取得される。

続いて、取得されたＴａｒｇｅｔ定義におけるＳｕｂｊｅｃｔ定義の値及びＡｃｔｉｏｎ定義の値と、対象ユーザのプロファイル情報及び対象操作とを比較することにより、Ｓｕｂｊｅｃｔ定義の値とＡｃｔｉｏｎ定義の値とによって規定される対象範囲に、対象ユーザ及び対象操作の組み合わせが含まれ得る否かを判定し、含まれ得る場合は、カレントルールを適合ルールとして判定する（Ｓ３０２）。

続いて、ステップＳ２０９における処理の詳細について説明する。図１５は、対象ユーザに対象操作が許可される文書の抽出処理の処理手順を説明するためのフローチャートである。

まず、抽出結果一覧を初期化（空に）する（Ｓ４０１）。ここで、抽出結果一覧とは、カレントルールに関して処理した結果、対象ユーザに対象操作が許可されるものとして判定された文書が格納されるバッファをいう。

続いて、対象文書の一覧の中から一つの文書を取り出す（Ｓ４０２）。対象文書の一覧から文書が正常に取得できた場合、すなわち、対象文書の一覧の中に、以降の処理について未処理の文書が残っていた場合（Ｓ４０３でＹｅｓ）、ユーザプロファイル１１１、文書プロファイル１１２、及びカレントルールに基づいて、取得された文書（以下「カレント文書」という。）に対して対象ユーザによる対象操作の許否を判定する（Ｓ４０４）。

より詳しくは、ユーザプロファイル１１１に基づいて対象ユーザの関係部署を特定し、文書プロファイル１１２に基づいて、カレント文書の管理部署及び機密レベルを特定する。ユーザプロファイル１１１の関係部署の中に、カレント文書の管理部署と一致するものがあれば、対象ユーザはカレント文書の関係者となり、一致するものがなければ対象ユーザはカレント文書の関係者とはならない。続いて、対象ユーザがカレント文書の関係者であるか否か、カレント文書の機密レベル、及び対象操作の組み合わせが、カレントルールのＴａｒｇｅｔ定義に当てはまるか否かを判定し、当てはまる場合は、カレントルールのＲｕｌｅ定義のＥｆｆｅｃｔ属性の値に基づいて、当該許否を判定する。

ステップＳ４０５において、操作が許可される判定された場合（Ｓ４０５）、抽出結果一覧にカレント文書を追加する（Ｓ４０６）。

対象文書の一覧に含まれている全ての文書について上記の処理が完了したら（Ｓ４０３でＮｏ）、図１５の処理を終了させる。

したがって、本実施の形態では図１２のステップＳ２１において、対象ユーザに対して対象操作が許可される文書の一覧（以下「許可文書一覧」という。）が、ルール適用シミュレーションの判定結果としてルール適用シミュレーションモジュール１２からアプリケーション４１へ送信される。この場合、アプリケーション４１は、ルール適用結果確認画面４１０の領域４１４１において、許可文書一覧に含まれている文書については「○」を表示させ、それ以外の文書については「−」を表示させる。

上述したように、本発明の実施の形態における文書管理システム１によれば、ルール適用結果確認画面４１０を操作することによって、管理者ユーザ等が、各文書に対する各ユーザによる各操作の可否を容易に確認することができる。したがって、セキュリティルールの制定の際や、変更の際等、その制定や変更によるアクセス制御判断に対する影響を容易に確認することができる。

また、適用ルール選択画面４２０において、ルール適用シミュレーションにおいて適用対象とする（又は適用除外）とするセキュリティルール容易に変更させることができるため、複数のセキュリティルールの定義により、ポリシー１１３の定義内容が複雑になっている場合等おけるセキュリティルールの改善や修正作業を適切に支援することができる。

更に、ルール適用結果確認画面４１０は、一般ユーザが文書を利用する際と同様の管理体系（フォルダ構成）に応じた分類によって、文書一覧を表示させるため、実際に一般ユーザが操作する際の操作画面のシミュレートが可能になる。

以上、本発明の実施例について詳述したが、本発明は係る特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

本発明の実施の形態における文書管理システムの構成例を示す図である。 本発明の実施の形態におけるアクセス制御サーバのハードウェア構成例を示す図である。 本発明の実施の形態の文書管理システムにおけるルール適用シミュレーション機能に関する機能構成例を示す図である。 ユーザプロファイルの例を示す図である。 文書プロファイルの例を示す図である。 ポリシーの定義例を示す図である。 ポリシーの定義例を示す図である。 ポリシーの定義例を示す図である。 ポリシーの定義内容を概念的に示す図である。 ルール適用結果確認画面の表示例を示す図である。 適用ルール選択画面の表示例を示す図である。 文書管理システムにおけるルール適用シミュレーションの処理概要を説明するためのシーケンス図である。 ルール適用シミュレーションモジュールによるルール適用シミュレーションの処理手順を説明するためのフローチャートである。 カレントルールが適合ルールであるかを検査するための処理の処理手順を説明するためのフローチャートである。 対象ユーザに対象操作が許可される文書の抽出処理の処理手順を説明するためのフローチャートである。

符号の説明

１ 文書管理システム
１０ アクセス制御サーバ
１１ セキュリティ管理モジュール
１２ ルール適用シミュレーションモジュール
２０ 文書管理サーバ
２１ 文書管理モジュール
３０ 認証サーバ
３１ 認証モジュール
４０ 管理者用ＰＣ
４１ アプリケーション
５０ クライアントＰＣ
６０ ネットワーク
１００ ドライブ装置
１０１ 記録媒体
１０２ 補助記憶装置
１０３ メモリ装置
１０４ 演算処理装置
１０５ インタフェース装置
１１１ ユーザプロファイル
１１２ 文書プロファイル
１１３ ポリシー
Ｂ バス

Claims (7)

1. 操作の対象となる各資源を分類する資源分類情報と、前記資源を操作する各主体を分類する主体分類情報と、前記資源の分類と前記主体の分類との組み合わせに応じて前記操作の種別ごとに前記操作の許否判定に関する規則が定義された定義情報とに基づいて、前記資源に対するアクセス制御を行うアクセス制御装置であって、
   前記定義情報に定義された前記規則の内容を示す規則名を一覧にして表示する表示手段と、
   前記表示手段によって表示された一覧において、前記操作の許否判定に適用しない前記規則を除外する規則適用除外手段と、
   前記規則適用除外手段において除外されなかった前記規則に基づいて、前記資源の集合に含まれるそれぞれの資源について特定の前記主体による特定の前記操作の許否を判定する判定手段とを有し、
   前記特定の主体は前記資源の集合が表示される表示画面において前記主体の一覧の中から選択され、前記特定の操作は前記表示画面において前記操作の一覧の中から選択され、
   前記判定手段による前記許否の判定結果は、前記表示画面において前記資源ごとに表示されることを特徴とするアクセス制御装置。
2. 前記規則適用除外手段において、前記操作の許否判定に適用しない前記規則は、前記表示手段によって表示された一覧を表示させる一覧表示画面において選択されることを特徴とする請求項１記載のアクセス制御装置。
3. 前記表示画面は、前記資源の管理体系に応じて前記資源の集合を表示させることを特徴とする請求項１又は２記載のアクセス制御装置。
4. 操作の対象となる各資源を分類する資源分類情報と、前記資源を操作する各主体を分類する主体分類情報と、前記資源の分類と前記主体の分類との組み合わせに応じて前記操作の種別ごとに前記操作の許否判定に関する規則が定義された定義情報とに基づいて、前記資源に対するアクセス制御を行うアクセス制御装置が実行するアクセス制御シミュレーション方法であって、
   前記定義情報に定義された前記規則の内容を示す規則名を一覧にして表示する表示手順と、
   前記表示手順によって表示された一覧において、前記操作の許否判定に適用しない前記規則を除外する規則適用除外手順と、
   前記規則適用除外手順において除外されなかった前記規則に基づいて、前記資源の集合に含まれるそれぞれの資源について特定の前記主体による特定の前記操作の許否を判定する判定手順を有し、
   前記特定の主体は前記資源の集合が表示される表示画面において前記主体の一覧の中から選択され、前記特定の操作は前記表示画面において前記操作の一覧の中から選択され、
   前記判定手順による前記許否の判定結果は、前記表示画面において前記資源ごとに表示されることを特徴とするアクセス制御シミュレーション方法。
5. 前記規則適用除外手順において、前記操作の許否判定に適用しない前記規則は、前記表示手順によって表示された一覧を表示させる一覧表示画面において選択されることを特徴とする請求項４記載のアクセス制御シミュレーション方法。
6. 前記表示画面は、前記資源の管理体系に応じて前記資源の集合を表示させることを特徴とする請求項４又は５記載のアクセス制御シミュレーション方法。
7. 請求項４乃至６いずれか一項記載のアクセス制御シミュレーション方法をコンピュータに実行させるためのアクセス制御シミュレーションプログラム。

Images