JP6228350B2 - セキュリティ管理システム、およびセキュリティ管理方法 - Google Patents

Description

本発明は、セキュリティ管理システム、セキュリティ管理方法、及びセキュリティ管理プログラムに関する。

企業機密や個人情報の流出は、企業の活動や信用に重大な影響を与えることになる。そのため、企業はセキュリティ管理を厳格化している傾向にある。セキュリティ管理の施策としては、例えば、オフィスへの人の入退室の管理や、情報機器の使用に際して利用者の認証、対象物の施錠等があげられる。

例えば、特許文献１には、入退室管理システムと、電子機器の利用許可の判断を連携させて、入室許可がないと判断された人には電子機器の利用を拒否する電子機器管理システムが開示されている。

また、特許文献２には、オフィスに設置されたキャビネットや机を開閉する手動式鍵の使用状態を検知して、その状態をＰＣ（パーソナルコンピュータ）等の管理装置で管理する鍵と可動体の管理システムが開示されている。さらに、電気錠を使用して入退室管理システムと組み合わせることで、退室時に施錠されていない場合には、その旨を入退室用リーダに設けた表示手段が文字や音声で知らせる旨が開示されている。

特開２００２−４１４６９号公報 特開２００９−１８５４５１号公報

特許文献１に記載の電子機器管理システムでは、正規の入室者が電子機器のログイン条件を満たせば当該電子機器の利用を可能とする、いわゆる利用者個人の認証である。したがって、例えば、利用者の使用を可能とする電子機器の種類やその電子機器を使用して接続する接続先のネットワーク機器によっていずれの機器を使用可能とするかについて配慮がなされていない。

また、特許文献２には、鍵の管理システムと入退室管理システムとの組合せにおいて、入退室用リーダに設けた表示手段が文字や音声で知らせる旨が記載されているだけで、具体的な構成が示されていない。

また、最近では、入退室管理システムで入室が許可された部外者が、自分の携帯端末をオフィス等のセキュリティを必要とするセキュリティエリアに持参してミーティング等を行う場合がある。特許文献１ではそのような事態にどのように対処するかについて何ら記載されていない。

本発明は、上記に鑑みてなされたものであって、その第１の目的は、セキュリティエリアに出入りする人を管理すると共に、使用する情報機器とその使用者を管理することにある。

また、第２の目的は、セキュリティエリアに出入りする人を管理すると共に、セキュリティエリアに出入りするための鍵を適正に管理することにある。

上記課題を解決するために、本発明にかかるセキュリティ制御システムは、セキュリティエリアへの入退室を管理する入退管理サーバと、ユーザが使用する情報処理端末を管理する端末管理サーバと、前記情報処理端末からネットワークを介したシステムリソースへのアクセスを管理するネットワーク管理サーバとを有したセキュリティ管理システムであって、前記入退管理サーバは、ユーザを識別するためにあらかじめ登録された登録ユーザ情報を記憶する記憶部と、前記セキュリティエリアごとに設けられたリーダが読み取ったユーザを識別するためのユーザ情報と前記登録ユーザ情報とに基づいて、ユーザの前記セキュリティエリアへの入室を認証し、前記認証によりユーザの前記セキュリティエリアへの入室の可否を判定する入退認証部と、を備え、前記入退認証部は、前記セキュリティエリアへの入室を可と判定した場合、前記ユーザ情報を含む前記ユーザが前記情報処理端末を使用するアカウントを有効にするための利用可能要求と前記セキュリティエリアの識別情報とを前記端末管理サーバに送信し、前記端末管理サーバは、前記入退管理サーバから受信した前記利用可能要求と、あらかじめ記憶部に記憶されている前記ユーザ情報と前記情報処理端末の識別情報と前記アカウントの利用可否とを対応付けたユーザ認証情報とに基づいて、前記利用可能要求に含まれる前記アカウントを有効にするユーザ認証部と、情報処理端末から受信したユーザを認証するための認証情報と、前記ユーザ認証情報とに基づいて、前記アカウントが有効にされた情報処理端末から前記認証情報を受信したか否かを判定し、前記ネットワーク管理サーバから受信したユーザ情報および前記入退管理サーバから受信した前記利用可能要求に含まれる前記セキュリティエリアの識別情報と、あらかじめ記憶部に記憶されている前記ユーザ情報ごと前記セキュリティエリアごとにユーザによるアクセスが可能なシステムリソースのパターンを定めたポリシー情報とに基づいて、前記セキュリティエリアにいる前記ユーザによるアクセスが可能なシステムリソースを確認し、その確認結果を前記ネットワーク管理サーバに送信する端末認証部と、を備え、前記ネットワーク管理サーバは、前記アカウントが有効にされた情報処理端末から受信した前記ユーザ情報を含むネットワークへの接続設定を確認するための確認要求を前記端末管理サーバに送信するネットワーク認証部を有し、前記ネットワーク認証部は、前記端末管理サーバから受信した前記確認結果に基づいて、アクセスが可能であることが確認されたシステムリソースにアクセスするために必要な設定情報を生成し、生成した設定情報にしたがってネットワークまたはシステムリソースを設定するネットワーク認証部と、
を備えることを特徴とするセキュリティ管理システムとして構成される。

また、本発明は、上記セキュリティ制御システムで用いられるセキュリティ管理方法、及びセキュリティ管理プログラムとしても把握される。

本発明によれば、セキュリティエリアに出入りする人を管理すると共に、使用する情報機器とその使用者を管理することができる。また、セキュリティエリアに出入りする人を管理すると共に、セキュリティエリアに出入りするための鍵を適正に管理することができる。

本発明にかかるセキュリティ管理システム、その方法、及びそのプログラムを第１の実施の形態に適用したセキュリティ管理システムの構成例を示す図である。 入退ログ情報の例を示す図である。 ユーザ認証情報の例を示す図である。 ユーザ状態情報の例を示す図である。 ポリシー情報の例を示す図である。 ネットワーク接続情報の例を示す図である。 第１の実施の形態におけるセキュリティ制御処理の処理手順を示すシーケンス図である。 本発明にかかるセキュリティ管理システム、その方法、及びそのプログラムを第２の実施の形態に適用したセキュリティ管理システムの構成例を示す図である。 鍵管理情報の例を示す図である。 第２の実施の形態におけるセキュリティ制御処理の処理手順を示すシーケンス図である。 第２の実施の形態におけるセキュリティ制御処理の処理手順を示すシーケンス図である。 本発明にかかるセキュリティ管理システム、その方法、及びそのプログラムを第３の実施の形態に適用したセキュリティ管理システムの構成例を示す図である。 部屋管理情報の例を示す図である。 第３の実施の形態におけるセキュリティ制御処理の処理手順を示すシーケンス図である。 第３の実施の形態におけるセキュリティ制御処理の処理手順を示すシーケンス図である。 ポリシー情報とユーザまたはメンバの状態の関係を示す図である。 ユーザ状態情報と鍵管理の状態との関係を示す図である。 鍵管理状態を含むユーザ状態情報の例を示す図である。

以下に添付図面を参照して、本発明にかかるセキュリティ管理システム、その方法、及びそのプログラムの実施の形態を詳細に説明する。
（第１の実施の形態）
図１は、本発明にかかるセキュリティ管理システム、その方法、及びそのプログラムを第１の実施の形態に適用したセキュリティ管理システム１０００の構成例を示す図である。本システムは、ビルや家屋等の建物、あるいは建物内の居室や廊下等のエリアを含む、セキュリティ対象となるエリア（以下、セキュリティエリア）に対するセキュリティを管理するシステムである。以下では、ビル等の建物や会議室等の居室に出入りする場合について説明しているが、上記のとおり様々なセキュリティエリアに適用することができる。

図１に示すように、セキュリティ管理システム１０００は、入退管理サーバ１００と、端末管理サーバ２００と、ネットワーク管理サーバ３００と、複数の情報処理端末４００とがネットワークＮ１を介して接続されている。ネットワークＮ１は、社内ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等の一般的な通信回線網であり、後述するように、複数のＶＬＡＮ（Virtual LAN）を構成している。以下では、入退管理サーバ１００と端末管理サーバ２００とネットワーク管理サーバ３００とが、物理的に別個の筐体である前提で説明しているが、これらが１つまたは複数のサーバで構成されていてもよい。

入退管理サーバ１００は、セキュリティエリアへの出入りを管理するサーバである。入退管理サーバ１００は、物理的には一般的なサーバから構成される。

図１に示すように、入退管理サーバ１００は、記憶部１０１と、入退認証部１０２と、通信部１０３と、制御部１０４とを有して構成されている。また、入退管理サーバ１００は、ネットワークＮ２を介してリーダ５００に接続されている。ネットワークＮ２は、一般的なネットワークであり、リーダ５００と入退管理サーバ１００との間の通信を媒介する。ネットワークＮ１とネットワークＮ２とを一つのネットワークにより構成してもよい。

リーダ５００は、セキュリティエリアとして定められている場所ごとに、例えば、その出入り口付近に設置される。リーダ５００は、ユーザがその場所に出入りする際に社員証等のユーザの身分証明証としての役割を果たす情報記録媒体（例えば、ＩＣカード）に記録された識別情報（例えば、ユーザＩＤ等のユーザ情報）を読み取る装置である。リーダ５００は、ユーザがＩＣカードをリーダ５００に近接または接触させると、そのＩＣカードに記録されているユーザＩＤを読み取る。以下では、リーダ５００がＩＣカードを読み取ってユーザを認証する場合の例を示しているが、指紋、静脈、虹彩等の生体認証によりユーザを認証してもよい。

記憶部１０１は、ＨＤＤ（Hard Disk Drive）等の一般的な記憶装置から構成され、ユーザごとおよびセキュリティエリアとして定められている場所ごとに、出入りの履歴を示す入退ログ情報１０１１を記憶する。以下では特に示していないが、記憶部１０１には、ユーザを認証するための識別情報であるユーザＩＤ等の登録ユーザ情報があらかじめ登録されているものとする。

図２は、入退ログ情報１０１１の例を示す図である。図２に示すように、入退ログ情報１０１１は、ユーザを識別するためのユーザＩＤと、そのユーザがセキュリティエリアとして定められている場所に入った日時を示す入り日時と、その場所から出た日時を示す出日時と、そのような出入りをした場所とが対応付けて記憶されている。

図２では、例えば、ユーザＩＤがＡ０００１、Ｃ０００１で識別されるユーザは、セキュリティエリアとして定められている場所の一つである会議室１に、それぞれ２０１５年１０月２日の午前８時３０分、午前８時１０分に入り、現在も会議室１から出ていないことを示している。また、ユーザＩＤがＢ０００１で識別されるユーザは、セキュリティエリアとして定められている場所の一つである事務室１に２０１５年１０月２日の午前８時５０分に入り、同日の午前１０時５０分に出たことを示している。

続いて、図１に戻り、入退認証部１０２について説明する。入退認証部１０２は、ユーザがセキュリティエリアとして定められている場所に入る際に、記憶部１０１にあらかじめ登録されているユーザＩＤと、リーダ５００が読み取ったユーザＩＤとを照合することにより、そのユーザが正当なユーザであるか否かを認証する処理部である。通信部１０３は、ネットワークＮ１やネットワークＮ２を介した各種情報の送受信を司る処理部である。制御部１０４は、入退管理サーバ１００を構成する各部を制御する処理部である。入退管理サーバ１００が有する各部の具体的な動作については、シーケンス図を用いて後述する。続いて、端末管理サーバ２００について説明する。

端末管理サーバ２００は、情報処理端末４００を管理するサーバである。端末管理サーバ２００は、入退管理サーバ１００と同様、物理的には一般的なサーバから構成される。

図１に示すように、端末管理サーバ２００は、記憶部２０１と、ユーザ認証部２０２と、端末認証部２０３と、通信部２０４と、制御部２０５とを有して構成されている。

記憶部２０１は、ＨＤＤ等の一般的な記憶装置から構成され、ユーザ認証情報２０１１と、ユーザ状態情報２０１２と、ポリシー情報２０１３とを記憶する。これらの情報は、あらかじめ記憶部２０１に記憶されている。

ユーザ認証情報２０１１は、ユーザが使用するアカウントや情報処理端末５００を認証するための情報である。

図３は、ユーザ認証情報２０１１の例を示す図である。図３に示すように、ユーザ認証情報２０１１は、上記ユーザＩＤと、情報処理端末４００を識別するための端末ＩＤと、その端末を利用するための認証情報と、そのユーザがアカウントを有効にして利用が可能か否かを示すアカウント利用可否とが対応付けて記憶されている。なお、認証情報とは、例えば、パスワードである。

図３では、例えば、ユーザＩＤがＡ０００１で識別されるユーザが使用する情報処理端末４００はＰＣ００１−０１で識別される端末であり、その端末を利用するために使用する認証情報は、２８９・・・（以下省略）であることを示している。すなわち、Ａ０００１で識別されるユーザは、あらかじめ登録されているＰＣ００１−０１で識別される端末を操作してシステムにログインし、そのときの認証情報は上記の値でなければならないことを示している。

また、図３では、アカウント利用可否として、Ａ０００１で識別されるユーザのアカウントが利用可能であることを示している。アカウント利用可否の状態は、入退管理サーバ１００から利用可能要求を受信した場合に「可」となり、入退管理サーバ１００から利用停止要求を受信した場合に「否」となる。利用可能要求、利用停止要求については後述する。

ユーザ状態情報２０１２は、ユーザごとセキュリティエリアとして定められている場所ごとにアクセス可能なリソースのパターンを決定するための情報である。

図４は、ユーザ状態情報２０１２の例を示す図である。図４に示すように、ユーザ状態情報２０１２は、上記ユーザＩＤと、上記場所に応じてアクセスが可能なシステムリソースのパターンを決定するためのユーザの状態を識別する状態ＩＤと、上記場所とが対応付けて記憶されている。以下、単にシステムリソースといった場合には、広く、ＬＡＮやＷＡＮを含むネットワークへの接続、ネットワークを介したファイルサーバや基幹システム等の各種システムへのアクセスを含むものとする。以下では、一例として、ＶＬＡＮ１にアクセスした場合にはＬＡＮへの接続が可能となり、ＶＬＡＮ２にアクセスした場合にはＷＡＮへの接続が可能となり、ＶＬＡＮ３にアクセスした場合にはファイルサーバへの接続が可能となり、ＶＬＡＮ４にアクセスした場合には基幹システムへの接続が可能な例を示している。

図４では、例えば、ユーザＩＤがＡ０００１であるユーザは、会議室１に入室して情報処理端末４００を使用する場合には、状態ＩＤがＳＴＳ００３で識別されるポリシーで定められたシステムリソースにアクセスすることが可能であることを示している。また、ユーザＩＤがＢ０００１であるユーザは、会議室１に入室して情報処理端末４００を使用する場合には、状態ＩＤがＳＴＳ００２で識別されるポリシーで定められたシステムリソースにアクセスすることが可能であることを示している。さらに、Ａ０００１のユーザは、会議室２に入室して情報処理端末４００を使用する場合には、状態ＩＤがＳＴＳ０１０で識別されるポリシーで定められたシステムリソースにアクセスすることが可能であることを示している。

すなわち、同じ場所に入って情報処理端末４００を使用する場合であっても、ユーザＩＤが異なれば、アクセス可能なシステムリソースも異なる。さらに、同じユーザであっても、情報処理端末４００を使用する場所が異なる場合には、アクセス可能なシステムリソースも異なる。上記ポリシーについては後述する。なお、以下では、ユーザＩＤごとにアクセス可能なシステムリソースを定めているが、さらに役職ごとあるいは部課ごとにこれらの情報を定めてもよい。この場合、より細やかにアクセス可能なシステムリソースを定めることができる。

ポリシー情報２０１３は、上記状態ＩＤごとにアクセス可能なシステムリソースのパターンを定めた情報である。

図５は、ポリシー情報２０１３の例を示す図である。図５に示すように、ポリシー情報２０１３は、上記状態ＩＤと、その状態でのシステムリソースのアクセス先と、そのアクセス先に対するアクセスの可否を示す許可とが対応付けて記憶されている。図５では、例えば、状態ＩＤがＳＴＳ００１である場合には、ＶＬＡＮ１を経由したＬＡＮ接続およびＶＬＡＮ２を経由したＷＡＮ接続が可能であるとともに、ＶＬＡＮ３を経由したファイルサーバおよびＶＬＡＮ４を経由した基幹システムへのアクセスが可能であることを示している。同様に、状態ＩＤがＳＴＳ００２である場合には、上記ＬＡＮ接続および上記ＷＡＮ接続が可能であり、上記ファイルサーバへのアクセスは可能であるものの、上記基幹システムへのアクセスは制限されていることがわかる。

続いて、図１に戻り、ユーザ認証部２０２について説明する。ユーザ認証部２０２は、ユーザを認証する処理部である。端末認証部２０３は、情報処理端末４００を認証する処理部である。通信部２０４は、ネットワークを介した各種情報の送受信を司る処理部である。制御部２０５は、端末管理サーバ２００を構成する各部を制御する処理部である。端末管理サーバ２００が有する各部の具体的な動作については、シーケンス図を用いて後述する。続いて、図１に戻り、ネットワーク管理サーバ３００について説明する。

ネットワーク管理サーバ３００は、ネットワークやネットワークを介したシステムリソースへのアクセスを管理するサーバである。図１に示すように、ネットワーク管理サーバ３００は、入退管理サーバ１００等と同様、物理的には一般的なサーバから構成される。

図１に示すように、ネットワーク管理サーバ３００は、記憶部３０１と、ネットワーク認証部３０２と、通信部３０３と、制御部３０４とを有して構成されている。

記憶部３０１は、ＨＤＤ等の一般的な記憶装置から構成され、ネットワーク接続情報３０１１を記憶する。

ネットワーク接続情報３０１１は、ネットワークへの接続が許可された端末に関する設定情報である。

図６は、ネットワーク接続情報３０１１の例を示す図である。図６に示すように、ネットワーク接続情報３０１１は、上記ユーザＩＤと、上記端末ＩＤと、システムリソースにアクセスするための設定情報とが対応付けて記憶されている。図６では、例えば、ユーザＩＤがＡ０００１であるユーザが使用する端末ＩＤがＰＣ００１−０１の情報処理端末４００は、ネットワークへの接続が可能であることを示している。また、その設定情報は、ＶＬＡＮ１〜４を経由した、Ｏ（ＬＡＮ接続設定）、Ｐ（ＷＡＮ接続設定）、Ｑ（ファイルサーバ設定）、Ｒ（基幹システム設定）であることを示している。同様に、ユーザＩＤがＢ０００１であるユーザが使用する端末ＩＤがＰＣ００１−０２の情報処理端末４００は、ネットワークへの接続が可能であることを示している。また、その設定情報は、ＶＬＡＮ１〜３を経由した、ＯＰＱであり、Ｒは設定されず利用できないことを示している。

続いて、図１に戻り、ネットワーク認証部３０２について説明する。ネットワーク認証部３０２は、ネットワークへの接続や、ネットワークを介した各種システムへのアクセスのための接続設定をする処理部である。通信部３０３は、ネットワークＮ１を介した各種情報の送受信を司る処理部である。制御部３０４は、ネットワーク管理サーバ３００を構成する各部を制御する処理部である。ネットワーク管理サーバ３００が有する各部の具体的な動作については、シーケンス図を用いて後述する。

続いて、図１に戻り、情報処理端末４００について説明する。情報処理端末４００は、ユーザが使用する端末である。情報処理端末４００は、物理的には一般的なＰＣ（Personal Computer）等のコンピュータから構成される。

図１に示すように、情報処理端末４００は、記憶部４０１と、表示部４０２と、入力部４０３と、入出力処理部４０４と、通信部４０５と、制御部４０６とを有して構成されている。

記憶部４０１は、ＨＤＤ等の一般的な記憶装置から構成され、図３に示した端末ＩＤを含む各種情報を記憶する。繰り返しユーザＩＤや認証情報の入力を避ける場合には、必要に応じてユーザＩＤや認証情報を記憶してもよい。これらの情報については図３と同様であるため、ここではその説明を省略する。

表示部４０２は、ＬＣＤ（Liquid Crystal Display）等の一般的なディスプレイ装置であり、入力部４０３から入力された情報、端末管理サーバ２００やネットワーク管理サーバ３００から受信した情報等、各種情報を表示する。入力部４０３は、キーボード等の一般的な入力装置であり、ユーザから、ユーザＩＤや認証情報を含む各種情報の入力を受け付ける。

入出力処理部４０４は、入力部４０３が受け付けた情報、表示部４０２に出力する情報、ネットワークに送信またはネットワークから受信する各種情報を処理する処理部である。通信部４０５は、ネットワークＮ１を介した各種情報の送受信を司る処理部である。制御部４０６は、情報処理端末４００を構成する各部を制御する処理部である。情報処理端末４００が有する各部の具体的な動作については、シーケンス図を用いて後述する。続いて、本システムで行われるセキュリティ制御処理について説明する。セキュリティ制御処理は、あらかじめ定められたポリシー情報によりユーザごと場所ごとに利用可能なシステムリソースを判断し、ユーザに利用させる処理である。

図７は、第１の実施の形態におけるセキュリティ制御処理の処理手順を示すシーケンス図である。図７に示すように、セキュリティ制御処理では、まず、リーダ５００が、ユーザによって近接または接触されたＩＣカードに記録されているユーザＩＤを読み取り（Ｓ７０１）、読み取ったユーザＩＤ、入り日時、そのリーダ５００が設置されているセキュリティエリアとして定められている場所を示す情報（あるいはその場所を識別するための場所ＩＤ。）を含む読み取り情報を入退管理サーバ１００に送信する（Ｓ７０２）。

入退管理サーバ１００では、入退認証部１０２が、リーダ５００から受信した読み取り情報に含まれるユーザＩＤが、記憶部１０１にあらかじめ登録されているユーザＩＤと一致するか否かを判定することによりそのユーザＩＤのユーザを認証し、上記ユーザＩＤと入り日時と場所とを図２に示した入退ログ情報１０１１に記録する（Ｓ７０３）。入退認証部１０２がＳ７０３での認証結果をリーダ５００に送信すると（Ｓ７０４）、リーダ５００は、自装置に設けられたパネル等の表示部（不図示）に、その認証結果を表示する（Ｓ７０５）。入退認証部１０２は、Ｓ７０３において両者が一致したと判定した場合、そのユーザは正当なユーザであると判断し、場所及びユーザＩＤを含むそのユーザのアカウントについての利用可能要求を端末管理サーバ２００に送信する（Ｓ７０６）。利用可能要求とは、そのユーザのアカウントを利用可能にする要求のことである。

端末管理サーバ２００のユーザ認証部２０２は、入退管理サーバ１００から利用可能要求を受信すると、図３に示したユーザ認証テーブル２０１１にアクセスし、その利用可能要求に含まれるユーザＩＤに対応するアカウント利用可否を「可」に設定する（Ｓ７０７）。この処理が終了すると、ユーザが認証され、そのユーザのアカウントが有効になる。

情報処理端末４００では、入力部４０３が、ユーザからユーザＩＤや認証情報等のログイン操作の入力を受け付け（Ｓ７０８）、入出力処理部４０４は、入力部４０３が受け付けたユーザＩＤや認証情報を端末管理サーバ２００に送信する（Ｓ７０９）。

端末管理サーバ２００の端末認証部２０３は、情報処理端末４００から受信したユーザＩＤおよび認証情報が、図３に示したユーザ認証情報２０１１に記憶されているアカウントの利用が「可」に設定されたユーザのユーザＩＤおよび認証情報であるか否かを判定し、そのユーザに対応する端末ＩＤの端末の使用を許可するための認証をする（Ｓ７１０）。例えば、端末認証部２０３は、情報処理端末４００から受信したユーザＩＤおよび認証情報が、ユーザ認証情報２０１１に記憶されているアカウント利用可否が「可」に設定されたユーザＩＤおよび認証情報であると判定した場合、端末認証部２０３は、正規のユーザがあらかじめ登録された端末から操作されたものであると判断し、そのユーザによるその端末の使用を許可する認証をする。

端末認証部２０３は、上記認証をすると、その認証結果を情報処理端末４００に送信する（Ｓ７１１）。情報処理端末４００の入出力処理部４０４は、上記認証結果を表示部４０３に表示する（Ｓ７１２）。認証結果は、例えば、認証ＯＫ、認証ＮＧ等の、認証の可否を示すメッセージ、端末ＩＤを含む。

入出力処理部４０４は、認証結果が認証ＯＫであり正しく認証されものであると判定した場合、ユーザＩＤおよび端末ＩＤを含むネットワーク接続設定要求をネットワーク管理サーバ３００に送信する（Ｓ７１３）。ネットワーク接続設定要求は、そのユーザＩＤのユーザがその端末ＩＤの情報処理端末４００をそのユーザがいる場所で使用するためのネットワークへの接続設定要求である。

ネットワーク管理サーバ３００のネットワーク認証部３０２は、情報処理端末４００から受信したネットワーク接続設定要求に含まれるユーザＩＤおよび端末ＩＤを、図６に示したネットワーク接続情報３０１１に登録し（Ｓ７１４）、そのユーザＩＤのユーザがその端末ＩＤの情報処理端末４００をそのユーザがいる場所で使用した場合におけるネットワークへの接続設定を確認するために、端末管理サーバ２００に対してネットワーク接続設定確認要求を送信する（Ｓ７１５）。

端末管理サーバ２００の端末認証部２０３は、ネットワーク管理サーバ３００から受信したネットワーク接続設定確認要求に含まれるユーザＩＤと、Ｓ７０６で入退管理サーバ１００から受信した場所と、図４に示したユーザ状態情報２０１２とを参照して状態ＩＤを決定し、決定した状態ＩＤをキーにして参照したポリシー情報２０１３に含まれるアクセス先として許可されているか否かを読み取り、その確認をする（Ｓ７１６）。例えば、端末認証部２０３は、その状態ＩＤに対応するポリシー情報２０１３のアクセス先が、ＷＡＮ、ＬＡＮ、ファイルサーバが許可されていると判定した場合、ＶＬＡＮ１〜３を経由してこれらのシステムリソースへのアクセスが可能であることを確認する。端末認証部２０３は、上記確認をすると、その確認結果をネットワーク管理サーバ３００に送信する（Ｓ７１７）。

ネットワーク認証部３０２は、端末管理サーバ２００から受信した確認結果にしたがって、アクセスが可能であることが確認されたシステムリソースにアクセスするために必要な設定情報を生成し、Ｓ７１４で登録したユーザＩＤおよび端末ＩＤに対応する設定情報としてネットワーク接続情報３０１１に登録し、その設定情報にしたがって各種設定（例えば、ＶＬＡＮ１〜３を経由するためのポートの割り当て、パスの設定等）を書き込み、または既に設定情報が書き込まれている場合には新たな設定情報に書き換えをする（Ｓ７１８）。ネットワーク認証部３０２は、これらの設定が完了すると、ネットワーク認証された旨を含む認証結果を情報処理端末４００に送信する（Ｓ７１９）。その後、情報処理装置４００の入出力処理部４０４は、ユーザからの指示に従って、設定されたシステムリソースにアクセスするためのアクセス要求を、ネットワーク管理サーバ３００に送信する（Ｓ７２０）。

ネットワーク管理サーバ３００のネットワーク認証部３０２は、情報処理端末４００からアクセス要求を受信すると、Ｓ７１８で書き込みまたは書き換えた設定情報を参照し、その設定情報で許可されているシステムリソースにアクセスする（Ｓ７２１）。この処理が終了すると、上記セキュリティエリアとして定められている場所に入ったユーザは、あらかじめ登録されている自身の情報処理端末４００を使用して、ポリシーとしてその場所でアクセスが許可されていると定められたシステムリソースのみを使用することができるようになる。

続いて、ユーザが入室した場所から退室する際のシーケンスについて説明する。入室時の場合と同様に、リーダ５００は、ユーザによって近接または接触されたＩＣカードに記録されているユーザＩＤを読み取り（Ｓ７２２）、読み取ったユーザＩＤ、入り日時、そのリーダ５００が設置されている場所を含む読み取り情報を入退管理サーバ１００に送信する（Ｓ７２３）。入退管理サーバ１００の入退認証部１０２は、リーダ５００から受信したユーザＩＤが、入退ログ情報１０１１に記録されたユーザであるか否かを判定することによりそのユーザＩＤのユーザを認証し、そのユーザＩＤに対応する出日時を入退ログ情報１０１１に記録し（Ｓ７２４）、入退認証部１０２は、その認証結果をリーダ５００に送信する（Ｓ７２５）。

リーダ５００は、入退管理サーバ１００から受信した認証結果を、自装置に設けられたパネル等の表示部（不図示）に表示する（Ｓ７２６）。入退認証部１０２は、Ｓ７２３の処理が終了すると、上記ユーザが退室したと判断し、そのユーザのアカウントについての利用停止要求を端末管理サーバ２００に送信する（Ｓ７２７）。利用停止要求とは、そのユーザのアカウントを利用停止にする要求のことである。

端末管理サーバ２００のユーザ認証部２０２は、入退管理サーバ１００から利用停止要求を受信すると、図３に示したユーザ認証テーブル２０１１にアクセスし、その利用停止要求に含まれるユーザＩＤに対応するアカウント利用可否を「否」に設定する（Ｓ７２８）。端末認証部２０３は、Ｓ７１０と同様の処理を実行してそのユーザを再認証し、そのユーザが認証できないことを確認すると（Ｓ７２９）、認証結果がＮＧであり正しく認証されないため、このユーザのネットワーク接続設定を解除するための設定解除要求をネットワーク管理サーバ３００に送信する（Ｓ７３０）。

ネットワーク管理サーバ３００のネットワーク認証部３０２は、端末管理サーバ２００から受信した設定解除要求に含まれるユーザＩＤをキーにして、そのユーザＩＤに対応する図６に示したネットワーク接続情報３０１１の設定情報の設定をクリアし（Ｓ７３１）、その解除結果を端末管理サーバ２００に送信する（Ｓ７３２）。

端末管理サーバ２００の端末認証部２０３は、Ｓ７１０で認証した端末ＩＤで識別される情報処理端末４００に対して、ネットワーク管理サーバ３００から受信した解除結果とＳ７２８での再認証結果とにより、アカウントが停止された旨およびネットワークへの接続やネットワークを介したシステムリソースへのアクセスが制限された旨を含む認証結果を送信する（Ｓ７３４）。これらの情報が情報処理端末４００に送信されると、その情報処理端末４００は、スタンドアロン環境でしか情報処理端末４００を操作することができなくなり、これ以降の不正な接続やアクセスを未然に防ぐことができる。

Ｓ７３２の処理が終了すると、情報処理端末４００が別のユーザから不正なログイン操作の入力を受け付け（Ｓ７３３）、入出力処理部４０４がユーザＩＤ、認証情報を送信した場合であっても、上記のとおりアカウント利用可否に「否」が設定されているため、その後、端末認証部２０３が、Ｓ７１０と同様の処理を実行しても、そのユーザによるその端末の使用を許可する認証をすることはなく（Ｓ７３５）、端末認証されない旨を含む認証結果が情報処理端末４００に送信される（Ｓ７３６）。したがって、点線で示したように、その情報処理端末４００からネットワークへの接続やネットワークを介したシステムリソースへのアクセスが許容されることはない。すなわち、スタンドアロン環境でしか情報処理端末４００を操作することができないため、不正な接続やアクセスを未然に防ぐことができる。

ユーザＩＤや認証情報が漏えいした場合、そのユーザＩＤに対応する情報処理端末４００から、不正にログインしてなりすまされてしまうことがある。しかし、本実施の形態では、ユーザ認証部２０２が、正常に上記セキュリティエリアとして定められている場所に入ったユーザのアカウントのみ利用可能としたうえで、さらに端末認証部２０３が、その場所でそのユーザに許可されているシステムリソースに対してのみ利用可能とする。したがって、正常に認証されたユーザが入っていない場所（ポリシーとして設定されていない場所）からのなりすましによる不正アクセスを防止することができる。また、その場所から出た後は、端末管理サーバ２００からネットワーク管理サーバ３００に対して設定解除要求をしてその設定をクリアすることで、そのユーザが使用する情報処理端末４００からの通信を遮断することができる。さらに、端末管理サーバ２００が保持するポリシー情報に示された設定情報を保持しておき、ネットワーク管理サーバ３００がその設定情報を確認したうえで、その設定情報で許可されているシステムリソースにアクセスするための設定をするので、端末管理サーバ２００とネットワーク管理サーバ３００とが実行する処理を適切に切り分けて連携させつつ、ユーザからのアクセスを制御することができる。
（第２の実施の形態）
第１の実施の形態では、ユーザ認証部が正常なユーザのアカウントのみ利用可能とし、さらに端末認証部がセキュリティエリアとして定められている場所でそのユーザが使用する情報処理端末からシステムリソースへの接続やアクセスのみを可能としたが、その場所への出入りは鍵を使用することもある。そこで、以下では、ユーザ認証や端末認証と鍵認証とを連携させた例について説明する。

図８は、本発明にかかるセキュリティ管理システム、その方法、及びそのプログラムを第２の実施の形態に適用したセキュリティ管理システム２０００の構成例を示す図である。以下では、第１の実施の形態と同一の構成要素には同一の符号を付してその説明を省略しているが、第１の実施の形態におけるセキュリティ管理システム１０００に対して、さらに、鍵管理サーバ８００を有している。

鍵管理サーバ８００は、セキュリティエリアとして定められている場所に出入りするための鍵を管理するサーバである。鍵管理サーバ８００は、入退管理サーバ１００等と同様、物理的には一般的なサーバから構成される。

図８に示すように、鍵管理サーバ８００は、鍵保管部８０１と、リーダ部８０２と、記憶部８０３と、登録処理部８０４と、貸出処理部８０５と、通信部８０６と、制御部８０７とを有して構成されている。なお、以下では、鍵管理サーバ８００が鍵保管部８０１とリーダ部８０２とを有した構成としているが、これらの機能を有した別の装置を設け、上記鍵管理サーバに接続してもよい。

鍵保管部８０１は、物理的な鍵を保管する機能を有する装置から構成される。鍵保管部８０１は、例えば、セキュリティエリアとして定められている場所ごとの鍵ホルダを有し、その鍵ホルダにその場所に対応する鍵が保持されている。

リーダ部８０２は、第１の実施の形態におけるリーダ部５００と同様の機器や装置であり、ＩＣカードが接触または近接されると、そのＩＣカード等に記録されているユーザＩＤを読み取る。

記憶部８０３は、ＨＤＤ等の一般的な記憶装置から構成され、鍵管理情報８０３１を記憶する。鍵管理情報８０３１は、鍵の貸出状態を管理するための情報である。

図９は、鍵管理情報８０３１の例を示す図である。図９に示すように、鍵管理情報８０３１は、上記鍵を識別するための鍵ＩＤと、その鍵を用いて出入りする場所と、その鍵が貸し出されたまたは返却されたユーザのユーザＩＤと、その鍵が実際に貸し出された日時および返却された日時と、その鍵が貸し出される予定日時および返却される予定日時と、実際に返却された日時が返却される予定日時を過ぎたか否かを示す遅延フラグとが対応付けて記憶されている。

図９では、例えば、鍵ＩＤがＫ０００１の鍵は会議室１に出入りするための鍵であり、ユーザＩＤがＡ０００１であるユーザにより貸し出されていることを示している。また、そのユーザは、２０１５年９月３０日の１２：００から２０１５年１０月２日の１２：００までの予定で鍵の貸し出しを予約したものの、実際に貸し出されたのは２０１５年９月３０日の１７：００であり、現時点で貸出中であり返却されていないこと（遅延フラグ「１」）を示している。同様に、鍵ＩＤがＫ０００２の鍵は事務室１に出入りするための鍵であり、ユーザＩＤがＢ０００１であるユーザにより貸し出されていることを示している。また、そのユーザは、２０１５年１０月１日の１３：００から２０１５年１０月２日の１３：００までの予定で鍵の貸し出しを予約したものの、実際に貸し出されたのは２０１５年１０月１日の１５：００であり、返却予定日時よりも前の２０１５年１０月２日の１２：３０に返却されていること（遅延フラグ「０」）を示している。

登録処理部８０４は、ユーザから鍵の貸し出しや返却の予約を登録する処理部である。貸出処理部８０５は、予約された鍵の貸し出し処理を行う処理部である。通信部８０６は、ネットワークＮ１を介した各種情報の送受信を司る処理部である。制御部８０７は、鍵管理サーバ８００を構成する各部を制御する処理部である。これらの具体的な動作については、シーケンス図を用いて後述する。

図１０Ａ、１０Ｂは、第２の実施の形態におけるセキュリティ制御処理の処理手順を示すシーケンス図である。図１０Ａ、１０ＢのＳ７０１〜Ｓ７２０の各ステップについては第１の実施の形態と同様であるためここではその説明を省略し、Ｓ１００１以降の各処理について説明する。

第２の実施の形態におけるセキュリティ制御処理では、情報処理端末４００の入力部４０３がユーザから鍵の貸出情報の入力を受け付けると（Ｓ１００１）、入出力処理部４０４は、その貸し出し情報を鍵管理サーバ８００に送信する（Ｓ１００２）。貸出情報には、ユーザＩＤ、鍵ＩＤ、予定貸出日時および予定返却日時が含まれる。鍵管理サーバ８００の登録処理部８０４は、情報処理端末４００から受信した貸出情報を、鍵管理情報８０３１に登録する（Ｓ１００３）。

その後、鍵管理サーバ８００のリーダ部８０２は、ユーザにより接触または近接されたＩＣカードを読み取り（Ｓ１００４）、貸出処理部８０５は、そのＩＣカードに記録されているユーザＩＤが、Ｓ１００３で登録されているユーザＩＤであるか否かを判定し、ユーザＩＤである場合に、正当なユーザであると判断してそのユーザを認証する（Ｓ１００５）。さらに、貸出処理部８０５は、ユーザＩＤを読み取った日時を実際の貸出日時として記録する（Ｓ１００６）。

貸出処理部８０５は、Ｓ１００６の処理が終了すると、記録した鍵ＩＤに対応するユーザＩＤを端末管理サーバ２００に送信する（Ｓ１００７）。端末管理サーバ２００の端末認証部２０３は、鍵管理サーバ８００から受信したユーザＩＤをキーにして図３に示したユーザ認証情報２０１１を参照し、そのユーザＩＤに対応する端末ＩＤを読み取り（Ｓ１００８）、読み取った端末ＩＤを鍵管理サーバ８００に送信する（Ｓ１００９）。鍵管理サーバ８００の貸出処理部８０５は、実際に鍵が貸し出された日時からあらかじめ定められた時間が経過し、貸出中となっている鍵の返却予定日時の一定時間前となったか否かを判定する（Ｓ１０１０）。貸出処理部８０５は、上記返却予定日時の一定時間前となったと判定した場合、返却日時が近づいている旨の返却要請メッセージを、端末ＩＤにより識別される情報処理端末４００に送信し、ユーザに対して警告をする（Ｓ１０１１）。

なお、本例では、Ｓ１００７において、鍵管理サーバ８００の貸出処理部８０５からから端末管理サーバ２００にユーザＩＤを送信しているが、端末管理サーバ２００の端末認証部２０３からが所定の時間間隔（例えば、１分間隔）で鍵管理サーバ８００にアクセスしてユーザＩＤを参照してもよい。また、本例では、Ｓ１０１１において、鍵管理サーバ８００の貸出処理部８０５から情報処理端末４００に返却要請メッセージを送信しているが、端末管理サーバ２００の端末認証部２０３から情報処理端末４００に返却要請メッセージを送信してもよい。このような構成とすることにより、既存の鍵管理サーバ８００に対してこれらの機能を追加することなく本システムを適用することができる。

その後、鍵管理サーバ８００のリーダ部８０２がＩＣカードを読み取り、貸出処理部８０５は、読み取ったユーザＩＤが鍵管理情報８０３１に登録されているユーザＩＤであると判定した場合には、そのユーザによって貸し出された鍵が返却されたと判断し、その時の日時を実際の返却日時に記録する（Ｓ１０１２）。

一方、貸出処理部８０５は、Ｓ１０１１の警告から一定時間を経過してもＳ１０１２の処理が実行されない場合、鍵管理情報８０３１の遅延フラグを設定するとともに、端末管理サーバ２００に対して、Ｓ１００６でユーザＩＤが記録されたユーザのアカウントの利用停止要求を送信する（Ｓ１０１３）。

端末管理サーバ２００の端末認証部２０３は、鍵管理サーバ８００から受信した利用停止要求に含まれるユーザＩＤをキーにして、図３に示したユーザ認証情報２０１１を参照し、対応するアカウント利用可否を「否」に設定する（Ｓ１０１４）。端末認証部２０３は、Ｓ７１０と同様の処理を実行してそのユーザを再認証し、そのユーザが認証できないことを確認すると（Ｓ１０１５）、認証結果がＮＧであり正しく認証されないため、このユーザのネットワーク接続設定を解除するための設定解除要求をネットワーク管理サーバ３００に送信する（Ｓ１０１６）。

ネットワーク管理サーバ３００のネットワーク認証部３０２は、端末管理サーバ２００から受信した設定解除要求に含まれるユーザＩＤをキーにして、そのユーザＩＤに対応する図６に示したネットワーク接続情報３０１１の設定情報の設定を解除し（Ｓ１０１７）、その解除結果を端末管理サーバ２００に送信する（Ｓ１０１８）。端末管理サーバ２００の端末認証部２０３は、Ｓ１００８で検索した端末ＩＤで識別される情報処理端末４００に対して、ネットワーク管理サーバ３００から受信した解除結果とＳ１０１５での再認証結果とにより、アカウントが停止された旨およびネットワークへの接続やネットワークを介したシステムリソースへのアクセスが制限された旨の認証結果を送信する（Ｓ１０１９）。これらの情報が情報処理端末４００に送信されると、その情報処理端末４００は、スタンドアロン環境でしか情報処理端末４００を操作することができなくなり、これ以降の不正な接続やアクセスを未然に防ぐことができる。

このように、本実施の形態では、鍵が必要なセキュリティエリアとして定められている場所にユーザが入って情報処理端末を操作する場合において、鍵の貸し出し期間切れに近づいた場合にはそのユーザが使用している情報処理端末に警告を送信して貸出中の鍵を返却するように促す。さらに、返却期限を過ぎてしまった場合には、そのユーザのアカウントを停止するとともに、ネットワークへの接続やネットワークを介したシステムリソースへのアクセスを制限する。したがって、このような場合でも、システムリソースへの不正なアクセスを防止できる。
（第３の実施の形態）
第２の実施の形態では、鍵管理サーバの貸出処理部と、端末管理サーバの端末認証部と、ネットワーク管理サーバのネットワーク認証部とが連携して端末認証および鍵管理を実行し、不正なユーザによるシステムリソースへのアクセスを防止した。セキュリティエリアとして定められ、鍵を必要とする場所のうち、社内あるいは社外の複数のメンバが使用する会議室では、それらのメンバが各自の情報処理端末を持ちよって会議が進行する場合もある。メンバとは、ユーザに同行する他のユーザのことであり、社内メンバが他のユーザとして同行する場合、社外メンバが他のユーザとして同行する場合、これらの双方を含む場合がある。このような場合、メンバの種類（例えば、社外メンバを含むのか社内メンバだけなのか、あるいは社内メンバの場合であっても、各メンバの職位の違い）によって、アクセス可能とすべきシステムリソースとそうすべきでないシステムリソースがある。そこで、以下では、ユーザと複数の異なる種類のメンバとが集合して情報処理端末を使用する環境にいる場合のアクセス制御について説明する。以下では、その環境の例として、会議室を挙げているが、これと同様にユーザおよびメンバを含む複数の人が集まる様々なセキュリティエリアに適用することができる。

図１１は、本発明にかかるセキュリティ管理システム、その方法、及びそのプログラムを第３の実施の形態に適用したセキュリティ管理システム３０００の構成例を示す図である。以下では、第２の実施の形態と同一の構成要素には同一の符号を付してその説明を省略しているが、第２の実施の形態におけるセキュリティ管理システム２０００に対して、さらに、部屋管理サーバ９００を有している。

部屋管理サーバ９００は、会議室をはじめとするユーザやメンバが集合して情報処理端末４００を操作する部屋を管理するサーバである。部屋管理サーバ９００は、入退管理サーバ１００等と同様、物理的には一般的なサーバから構成される。

図１１に示すように、部屋管理サーバ９００は、記憶部９０１と、登録処理部９０２と、通信部９０３と、制御部９０４とを有して構成されている。

記憶部９０１は、ＨＤＤ等の一般的な記憶装置から構成され、部屋管理情報９０１１を記憶する。部屋管理情報９０１１は、部屋を使用するための予約状態を管理するための情報である。

図１２は、部屋管理情報９０１１の例を示す図である。図１２に示すように、部屋管理情報９０１１は、部屋を識別するための部屋ＩＤと、その部屋を使用するユーザのユーザＩＤと、そのユーザとともにその部屋を使用するメンバを識別するためのメンバＩＤと、その部屋の使用を開始する日時である予約開始日時と、その部屋の使用を終了する日時である予約終了日時と、その部屋の鍵ＩＤとが対応付けて記憶されている。

図１２では、例えば、部屋ＩＤがＲ０００１の部屋（会議室１、鍵ＩＤがＫ０００１）は、ユーザＩＤがＡ０００１、メンバＩＤがＣ０００１、Ｄ０００１の計３名で、２０１５年１０月２日の８：００から２０１５年１０月２日の１２：００までの間使用する予約がとられていることを示している。また、部屋ＩＤがＲ０００３の部屋は、現時点では予約がとられていないことを示している。

登録処理部９０２は、ユーザから部屋の予約を登録する処理部である。通信部９０３は、ネットワークＮ１を介した各種情報の送受信を司る処理部である。制御部９０４は、部屋管理サーバ９００を構成する各部を制御する処理部である。これらの具体的な動作については、シーケンス図を用いて後述する。

図１３Ａ、１３Ｂは、第３の実施の形態におけるセキュリティ制御処理の処理手順を示すシーケンス図である。図１３Ａ、１３ＢのＳ７０１〜Ｓ７２０の各ステップについては第１、第２の実施の形態と同様であるためここではその説明を省略し、Ｓ１３０１以降の各処理について説明する。

第３の実施の形態におけるセキュリティ制御処理では、情報処理端末４００の入力部４０３がユーザから部屋を使用するための予約情報の入力を受け付けると（Ｓ１３０１）、入出力処理部４０４は、その予約情報を部屋管理サーバ９００に送信する（Ｓ１３０２）。予約情報には、部屋ＩＤ、ユーザＩＤ、メンバＩＤ、鍵ＩＤ、予約開始日時および予約終了日時が含まれる。部屋管理サーバ９００の登録処理部９０２は、情報処理端末４００から受信した予約情報を、部屋管理情報９０１１に登録する（Ｓ１３０３）。鍵の貸し出しについては、図１０Ａ、１０Ｂの場合と同様にＳ１００１〜Ｓ１００２の処理が実行される。

鍵管理サーバ８００は、情報処理端末４００から貸出情報を受信すると、その貸出情報に含まれるユーザＩＤで鍵ＩＤの部屋が予約されているか問い合わせるための予約確認要求を、部屋管理サーバ９００に送信する（Ｓ１３０４）。部屋管理サーバ９００の登録処理部９０２は、ユーザＩＤをキーにして、図１２に示した部屋管理情報９０１１を参照し、そのユーザによる会議室の予約の有無を判定し（Ｓ１３０５）、その確認結果を鍵管理サーバ８００に送信する（Ｓ１３０６）。

鍵管理サーバ８００は、部屋管理サーバ９００から予約がされている旨の確認結果を受信した場合、図１０Ａ、１０ＢのＳ１００３の場合と同様に、登録処理部８０４が、情報処理端末４００から受信した貸し出し情報を、鍵管理情報８０３１に登録する。以降、Ｓ１００４〜Ｓ１００６の処理が実行される。

貸出処理部８０５は、Ｓ１００６の処理が終了すると、鍵の貸し出しが完了した旨を部屋管理サーバ９００に送信する（Ｓ１３０７）。部屋管理サーバ９００の登録処理部９０２は、鍵管理サーバ８００から鍵の貸し出しが完了した旨を受信すると、Ｓ１３０５で予約を確認した会議室の部屋ＩＤと、その会議室を使用するユーザのユーザＩＤおよびメンバＩＤを端末管理サーバ２００に送信する（Ｓ１３０８）。

端末管理サーバ２００の端末認証部２０３は、鍵管理サーバ８００から受信したユーザＩＤおよびメンバＩＤをキーにして図３に示したユーザ認証情報２０１１を参照し、そのユーザＩＤに対応する端末ＩＤを読み取る（Ｓ１００８）。以降、Ｓ１００９〜Ｓ１０１９の処理が実行され、会議室を使用したすべてのユーザおよびメンバについて、警告、アカウントの停止、ネットワークへの接続やネットワークを介したシステムリソースへのアクセス制限が実行される。

このように、本実施の形態では、鍵が必要なセキュリティエリアとして定められている場所にユーザおよびメンバが入って情報処理端末を操作する場合において、鍵の貸し出し期間切れに近づいた場合にはそのユーザおよびメンバ全員に、それぞれが使用している情報処理端末に警告を促して貸出中の鍵を返却するように促し、さらに返却期限を過ぎてしまった場合には、そのユーザおよびメンバのアカウントを停止するとともに、ネットワークへの接続やネットワークを介したシステムリソースへのアクセスを制限する。したがって、このような場合でも、ユーザだけでなく、会議に参加したメンバ全員を対象に、システムリソースへの不正なアクセスを防止できる。

続いて、第１〜第３の実施の形態におけるポリシー情報２０１３とユーザまたはメンバの状態（例えば、居場所や鍵の貸し出し状態）、ユーザ状態情報２０１２と鍵管理の状態との関係について説明する。

図１４は、ポリシー情報２０１３とユーザまたはメンバの状態１４０１の関係を示す図である。図１４に示すように、例えば、状態ＩＤがＳＴＳ０００は、ユーザやメンバがセキュリティエリアとして定められている場所のどこにも入っていない状態（例えば、出社してまだ玄関ホールや廊下にいる状態）であり、その場合は、例えば、ＶＬＡＮ１〜４を経由して、それぞれＬＡＮ接続、ＷＡＮ接続、ファイルサーバへのアクセス、基幹システムへのアクセスのいずれもが許可されていないことを示している。同様に、状態ＩＤがＳＴＳ００１は、ユーザやメンバがセキュリティエリアとなる居室（例えば、自席がある事務室）に入った状態であり、その場合には、上記のいずれも可能であることを示している。さらに、同様に、状態ＩＤがＳＴＳ００２は、鍵が貸し出され、かつ会議室に入った状態であり、その場合は、基幹システムへのアクセス以外はいずれも許可されていることを示し、状態ＩＤがＳＴＳ００３は、鍵が貸し出されずに会議室に入った状態であり、その場合は、ＷＡＮ接続のみ許可されていることを示し、状態ＩＤがＳＴＳ００４は、鍵が未返却のまま上記居室に入った状態であり、その場合は、ネットワークへの接続のみが許可されていることを示している。

図１５は、ユーザ状態情報２０１２と鍵管理の状態１５０１との関係を示す図である。図１５に示すように、例えば、図１５（Ａ）の状態は、鍵管理状態１５０１に記録がなくユーザＵ０００１がどこの場所にも入っていないため状態ＤＩがＳＴＳ０００であり、ＬＡＮ接続、ＷＡＮ接続、ファイルサーバへのアクセス、基幹システムへのアクセスのいずれもが許可されていないが、図１５（Ｂ）に示すように、出社して居室に入室すると、状態ＩＤがＳＴＳ００１に遷移し、その状態ＩＤに対応するアクセス先が許可される。この場合、図１４に示すように、ＬＡＮ接続、ＷＡＮ接続、ファイルサーバへのアクセス、基幹システムへのアクセスのすべてについて許可されていることがわかる。

さらに、そのユーザが図１５（Ｃ）に示すように、居室から退室すると、状態ＩＤがＳＴＳ０００に戻り、上記図１５（Ａ）と同様の状態となる。さらに、そのユーザが図１５（Ｄ）に示すように、会議室を予約して鍵が貸し出されるが、この時はまだ会議室に入っていない（例えば、まだ廊下を歩いている）ため、状態ＩＤはＳＴＳ０００のままとなる。そして、鍵が貸し出されたユーザが図１５（Ｅ）−０１に示すように、会議室に入室すると、状態ＩＤがＳＴＳ００２に遷移し、その状態ＩＤに対応するアクセス先が許可される。この場合、図１４に示すように、基幹システム以外への接続やアクセスが許可されていることがわかる。なお、このとき、鍵をまだ受け取っていないユーザが図１５（Ｅ）−０２に示すように会議室に入室すると、状態ＩＤがＳＴＳ００３に遷移し、図１４に示すように、ＬＡＮ接続、ＷＡＮ接続のみが許可される。

そして、会議室からユーザが退室して鍵を返却した場合、図１５（Ｆ）、（Ｇ）に示すように、状態ＩＤがＳＴＳ０００となって、図１５（Ａ）に示した場合と同様の状態となり、ユーザが居室に戻ると、図１５（Ｂ）の場合と同様に、状態ＩＤがＳＴＳ００１となって、ＬＡＮ接続、ＷＡＮ接続、ファイルサーバへのアクセス、基幹システムへのアクセスのすべてについて許可される。このとき、ユーザが、鍵を未返却のまま居室に戻ると、状態ＩＤがＳＴＳ００となり、図１４に示すように、ＬＡＮ接続、ＷＡＮ接続のみが許可される。

第２、第３の実施の形態では、図１０Ａ、１０Ｂ、１３に示したＳ１０１２において鍵が返却されることを前提に、ユーザのアカウントを利用停止にし、さらに情報処理端末４００からのシステムリソースの使用を制限した。しかし、ユーザによっては鍵の返却要請をした場合であっても、外出や出張のため鍵自体を返却できずにその期間が過ぎてしまう場合もある。このため、鍵が返却されない場合のポリシーを、図１６に示すように、図４に示したユーザ状態情報２０１２に鍵管理状態（貸出中、または返却済）を含めて状態ＩＤを定めるとともに、鍵管理状態に応じて、図５に示したポリシー情報２０１３を設定することも可能である。

図１６では、例えば、同じユーザ（Ａ０００１）が、同じ会議室（会議室１）を使用した場合であっても、鍵管理状態が貸出中の場合には、状態ＩＤはＳＴＳ００３となり、鍵管理状態が返却済の場合には、状態ＩＤはＳＴＳ００３１となり、鍵管理状態に応じて状態ＩＤが異なり、これらの状態ＩＤごとに、図５に示したポリシー情報２０１３を設定しておけばよい。このように、鍵管理状態を含めてポリシーを設定することにより、図１４、１５に示したように、端末管理サーバ２００の端末認証部２０３は、鍵の管理状態を考慮してポリシー情報を確認し、そのポリシー情報に含まれるアクセス先として許可されている設定情報を含む確認結果をネットワーク管理サーバ３００に送信し、ネットワーク管理サーバ３００のネットワーク認証部３０２は、端末管理サーバ２００から受信した鍵設定情報にしたがって、ネットワークやネットワークを介したシステムリソースにアクセスするための各種設定をし、ユーザごと、場所ごと、鍵管理状態ごとに、ユーザによるシステムリソースの使用を制限することができる。

このように、第１の実施の形態では、図３に示したポリシー情報は、ユーザＩＤごとおよびセキュリティエリアとして定められている場所ごとに定められた状態ＩＤごとにアクセス先が定められ、それぞれの場所に設置されているリーダ５００がＩＣカードを読み取ることをトリガとして、どのユーザがどの場所に出入りしたのかを判定し、ユーザおよび場所に応じてアクセス先を決定している。第２の実施の形態では、さらに、鍵が貸し出された状態あるいは鍵が返却された状態に対応するポリシー情報をユーザおよび場所ごとに定め、ユーザ、場所、鍵の３つの状態に応じてアクセス先を決定している。第３の実施の形態では、さらに、会議室を使用するユーザおよびメンバの種類、場所、鍵の３者の状態に応じてアクセス先を決定している。したがって、上記したような細やかなセキュリティ管理を実現することができる。

上記各サーバや端末で実行される各処理は、実際には、これらのサーバや端末にインストールされたプログラムを実行することにより実現される。そのプログラムは、ＲＯＭ等に予め組み込まれて提供されたり、インストール可能な形式又は実行可能な形式のファイルでＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＤＶＤ（Digital Versatile Disk）等のコンピュータで読み取り可能な記録媒体に記録して提供したり、配布してもよい。さらには、そのプログラムを、インターネット等のネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせることにより提供したり、配布してもよい。

１０００、２０００、３０００ セキュリティ管理システム
１００ 入退管理サーバ
１０１ 記憶部
１０１１ 入退ログ情報
１０２ 入退認証部
１０３ 通信部
１０４ 制御部
２００ 端末管理サーバ
２０１ 記憶部
２０１１ ユーザ認証情報
２０１２ ユーザ状態情報
２０１３ ポリシー情報
２０２ ユーザ認証部
２０３ 端末認証部
２０４ 通信部
２０５ 制御部
３００ ネットワーク管理サーバ
３０１ 記憶部
３０１１ ネットワーク接続情報
３０２ ネットワーク認証部
３０３ 通信部
３０４ 制御部
４００ 情報処理端末
４０１ 記憶部
４０２ 表示部
４０３ 入力部
４０４ 入出力処理部
４０５ 通信部
４０６ 制御部
８０３１ 鍵管理情報
９０１１ 部屋管理情報
Ｎ１、Ｎ２ ネットワーク。

Claims (9)

1. セキュリティエリアへの入退室を管理する入退管理サーバと、ユーザが使用する情報処理端末を管理する端末管理サーバと、前記情報処理端末からネットワークを介したシステムリソースへのアクセスを管理するネットワーク管理サーバとを有するセキュリティ管理システムであって、
   前記入退管理サーバは、
   ユーザを識別するためにあらかじめ登録された登録ユーザ情報を記憶する記憶部と、
   前記セキュリティエリアごとに設けられたリーダが読み取ったユーザを識別するためのユーザ情報と前記登録ユーザ情報とに基づいて、ユーザの前記セキュリティエリアへの入室を認証し、前記認証によりユーザの前記セキュリティエリアへの入室の可否を判定する入退認証部と、を備え、前記入退認証部は、前記セキュリティエリアへの入室を可と判定した場合、前記ユーザ情報を含む前記ユーザが前記情報処理端末を使用するアカウントを有効にするための利用可能要求と前記セキュリティエリアの識別情報とを前記端末管理サーバに送信し、
   前記端末管理サーバは、
   前記入退管理サーバから受信した前記利用可能要求と、あらかじめ記憶部に記憶されている前記ユーザ情報と前記情報処理端末の識別情報と前記アカウントの利用可否とを対応付けたユーザ認証情報とに基づいて、前記利用可能要求に含まれる前記アカウントを有効にするユーザ認証部と、
   情報処理端末から受信したユーザを認証するための認証情報と、前記ユーザ認証情報とに基づいて、前記アカウントが有効にされた情報処理端末から前記認証情報を受信したか否かを判定し、前記ネットワーク管理サーバから受信したユーザ情報および前記入退管理サーバから受信した前記利用可能要求に含まれる前記セキュリティエリアの識別情報と、あらかじめ記憶部に記憶されている前記ユーザ情報ごと前記セキュリティエリアごとにユーザによるアクセスが可能なシステムリソースのパターンを定めたポリシー情報とに基づいて、前記セキュリティエリアにいる前記ユーザによるアクセスが可能なシステムリソースを確認し、その確認結果を前記ネットワーク管理サーバに送信する端末認証部と、を備え、
   前記ネットワーク管理サーバは、
   前記アカウントが有効にされた情報処理端末から受信した前記ユーザ情報を含むネットワークへの接続設定を確認するための確認要求を前記端末管理サーバに送信するネットワーク認証部を有し、前記ネットワーク認証部は、前記端末管理サーバから受信した前記確認結果に基づいて、アクセスが可能であることが確認されたシステムリソースにアクセスするために必要な設定情報を生成し、生成した設定情報にしたがってネットワークまたはシステムリソースを設定するネットワーク認証部と、
   を備えることを特徴とするセキュリティ管理システム。
2. 前記端末管理サーバの前記端末認証部は、前記入退管理サーバから前記セキュリティエリアの識別情報とは異なるセキュリティエリアの識別情報を受信し、前記ネットワーク管理サーバから前記確認要求を受信した場合、前記ユーザ情報および前記異なるセキュリティエリアの識別情報と前記ポリシー情報とに基づいて確認した確認結果を前記ネットワーク管理サーバに送信し、
   前記ネットワーク管理サーバの前記ネットワーク認証部は、前記端末管理サーバから受信した前記確認結果にしたがって新たな設定情報を生成し、生成した新たな設定情報したがって前記設定をする、
   ことを特徴とする請求項１に記載のセキュリティ管理システム。
3. 前記セキュリティ管理システムは、さらに前記セキュリティエリアに入室するための鍵を管理する鍵管理サーバを有し、
   前記鍵管理サーバは、
   前記情報処理端末から受信した前記ユーザ情報を含む前記鍵の貸出情報を、前記鍵の識別情報と前記セキュリティエリアの識別情報と前記ユーザ情報と前記鍵が貸出中であるか否かを示す鍵管理状態とを含む鍵管理情報に登録する鍵登録処理部と、
   前記鍵管理状態が貸出中となっている鍵に対応するユーザ情報を前記端末管理サーバに送信する貸出処理部と、を備え、
   前記端末管理サーバの端末認証部は、
   前記鍵管理状態ごとに定められた前記ポリシー情報と、前記ユーザ情報および前記セキュリティエリアの識別情報とに基づいて、確認結果を前記ネットワーク管理サーバに送信し、
   前記ネットワーク管理サーバのネットワーク認証部は、前記端末管理サーバから受信した前記確認結果にしたがって新たな設定情報を生成し、生成した新たな設定情報したがって前記設定をする、
   ことを特徴とする請求項１に記載のセキュリティ管理システム。
4. 前記端末管理サーバの前記端末認証部または前記鍵管理サーバの前記貸出処理部は、前記鍵管理状態が貸出中となっている鍵の返却期限が過ぎているか否かを判定し、前記返却期限が過ぎていると判定した場合、前記アカウントが有効にされた前記情報処理端末に前記返却期限が過ぎた旨を送信する、
   ことを特徴とする請求項３に記載のセキュリティ管理システム。
5. 前記鍵管理サーバの前記貸出処理部は、前記鍵管理状態が貸出中となっている鍵が返却されたか否かを判定し、前記鍵管理状態が貸出中となっている鍵が返却されていないと判定した場合、前記情報処理端末を使用するアカウントを停止するための利用停止要求を、前記端末管理サーバに送信し、
   前記端末管理サーバの前記ユーザ認証部は、前記鍵管理サーバから受信した前記ユーザ情報を含む前記利用停止要求と、前記ユーザ認証情報とに基づいて、前記利用可能要求として要求された前記アカウントを停止し、
   前記端末管理サーバの前記端末認証部は、前記設定情報にしたがって設定されたネットワークまたはシステムリソースへの設定を解除するための解除要求を前記ネットワーク管理サーバに送信し、
   前記ネットワーク管理サーバの前記ネットワーク認証部は、前記解除要求にしたがって前記設定情報をクリアする、
   ことを特徴とする請求項４に記載のセキュリティ管理システム。
6. 前記セキュリティ管理システムは、
   前記鍵により入室するセキュリティエリアを管理する部屋管理サーバを有し、
   前記部屋管理サーバは、
   前記情報処理端末から受信した前記ユーザ情報を含む前記セキュリティエリアの使用を予約する予約情報を、前記セキュリティエリアの識別情報と前記ユーザ情報とユーザに同行するメンバを識別するためのメンバ情報と、前記セキュリティエリアが予約されているか否かを示す予約状態とを含むセキュリティエリア管理情報に登録し、前記セキュリティエリアの鍵が貸し出された場合に、登録した前記セキュリティエリアに対応する前記ユーザ情報および前記メンバ情報を前記端末管理サーバに送信するセキュリティエリア登録処理部と、を備え、
   前記端末管理サーバの前記端末認証部または前記鍵管理サーバの前記貸出処理部は、前記返却期限が過ぎていると判定した場合、前記アカウントが有効にされたユーザおよび前記メンバのそれぞれの情報処理端末に前記鍵の返却を促す旨を送信する、
   ことを特徴とする請求項３に記載のセキュリティ管理システム。
7. 前記部屋管理サーバの前記セキュリティエリア登録処理部は、貸し出した鍵が返却されていないと判定された場合、前記アカウントが有効にされた前記ユーザおよび前記メンバのそれぞれの情報処理端末を使用するアカウントを停止するための利用停止要求を、前記端末管理サーバに送信し、
   前記端末管理サーバの前記ユーザ認証部は、前記鍵管理サーバから受信した前記ユーザ情報および前記メンバ情報を含む前記利用停止要求と、前記ユーザ認証情報とに基づいて、前記利用可能要求として要求された前記アカウントを停止し、
   前記端末管理サーバの前記端末認証部は、前記設定情報にしたがって設定された前記アカウントが有効にされたユーザおよび前記メンバのそれぞれの情報処理端末についてのネットワークまたはシステムリソースへの設定を解除するための解除要求を前記ネットワーク管理サーバに送信し、
   前記ネットワーク管理サーバの前記ネットワーク認証部は、前記解除要求にしたがって前記それぞれの情報処理端末についての前記設定情報をクリアする、
   ことを特徴とする請求項６に記載のセキュリティ管理システム。
8. セキュリティエリアへの入退室を管理する入退管理サーバと、ユーザが使用する情報処理端末を管理する端末管理サーバと、前記情報処理端末からネットワークを介したシステムリソースへのアクセスを管理するネットワーク管理サーバとを有したセキュリティ管理システムで行われるセキュリティ管理方法であって、
   前記セキュリティエリアごとに設けられたリーダが読み取ったユーザを識別するためのユーザ情報とあらかじめ記憶部に記憶されている登録ユーザ情報とに基づいて、ユーザの前記セキュリティエリアへの入室を認証する認証ステップと、
   前記認証によりユーザの前記セキュリティエリアへの入室を可と判定した場合、前記ユーザ情報を含むユーザが前記情報処理端末を使用するアカウントを有効にするための利用可能要求と前記セキュリティエリアの識別情報とを前記端末管理サーバに送信する第１の送信ステップと、
   前記入退管理サーバから受信した前記利用可能要求と、あらかじめ記憶部に記憶されている前記ユーザ情報と前記情報処理端末の識別情報と前記アカウントの利用可否とを対応付けたユーザ認証情報とに基づいて、前記利用可能要求に含まれる前記アカウントを有効にするユーザ認証ステップと、
   情報処理端末から受信したユーザを認証するための認証情報と、前記ユーザ認証情報とに基づいて、前記アカウントが有効にされた情報処理端末から前記認証情報を受信したか否かを判定する判定ステップと、
   前記アカウントが有効にされた情報処理端末から受信した前記ユーザ情報を含むネットワークへの接続設定を確認するための確認要求を前記端末管理サーバに送信する第２の送信ステップと、
   前記ネットワーク管理サーバから受信したユーザ情報および前記入退管理サーバから受信した前記利用可能要求に含まれる前記セキュリティエリアの識別情報と、あらかじめ記憶部に記憶されている前記ユーザ情報ごと前記セキュリティエリアごとにユーザによるアクセスが可能なシステムリソースのパターンを定めたポリシー情報とに基づいて、前記セキュリティエリアにいるユーザによるアクセスが可能なシステムリソースを確認する確認ステップと、
   前記確認した確認結果を前記ネットワーク管理サーバに送信する第４の送信ステップと、
   前記端末管理サーバから受信した前記確認結果に基づいて、アクセスが可能であることが確認されたシステムリソースにアクセスするために必要な設定情報を生成する生成ステップと、
   生成された設定情報にしたがってネットワークまたはシステムリソースを設定する設定ステップと、
   を含むことを特徴とするセキュリティ管理方法。
9. 前記情報処理端末から前記セキュリティエリアに入室するための鍵を管理する鍵管理サーバが受信した前記ユーザ情報を含む前記鍵の貸出情報を、前記鍵の識別情報と前記セキュリティエリアの識別情報と前記ユーザ情報と前記鍵が貸出中であるか否かを示す鍵管理状態とを含む鍵管理情報に登録する登録ステップと、
   前記鍵管理状態が貸出中となっている鍵に対応するユーザ情報を前記端末管理サーバに送信する第５の送信ステップと、を含み、
   前記確認ステップにおいて、前記鍵管理状態ごとに定められた前記ポリシー情報と、前記ユーザ情報および前記セキュリティエリアの識別情報とに基づいて前記確認をし、
   前記第４の送信ステップにおいて、前記確認結果を前記ネットワーク管理サーバに送信し、
   前記生成ステップにおいて、前記端末管理サーバから受信した前記確認結果にしたがって新たな設定情報を生成し、
   前記設定ステップにおいて、生成した新たな設定情報したがって前記設定をする、
   ことを特徴とする請求項８に記載のセキュリティ管理方法。

Images