JP6559024B2 - 機器セキュリティ管理装置、金融処理システム、機器セキュリティ管理方法及びプログラム - Google Patents

Description

本発明は、機器セキュリティ管理装置、金融処理システム、機器セキュリティ管理方法及びプログラムに関する。

金融機関において、個人情報などの重要な情報の漏えいの防止や不正な操作の防止などの点から、ＡＴＭ（Ａｕｔｏｍａｔｅｄ Ｔｅｌｌｅｒ Ｍａｃｈｉｎｅ）で顧客が取引（現金の引出・入金・振込等）を行う際に、カードの暗証番号の入力や、操作員の生態情報（静脈パターン）の読み取りを行い、本人確認が行われる。
特許文献１には、関連する技術として、左右２名の窓口操作員に対して設けられ窓口操作員のログイン手段をそれぞれ有する左右２台の窓口操作機と、これら左右２台の窓口操作機に接続され左右２名の窓口操作員で１台が共用される現金処理機とを有する現金処理システムにおいて、窓口操作員の認証を行い現金の取り出しを可能にする技術が記載されている。
また、特許文献２には、関連する技術として、金融機関とのオンライン接続が不要で、現金の入出金が可能な金庫に関する技術が記載されている。

特開２０１０−０２６７６１号公報 特開２００４−０５４６０２号公報

しかしながら、金融機関等の店舗内で使用される機器は多数かつ多種多様であり、セキュリティの向上のために機器のそれぞれに生体認証手段を設けることは、導入コストや保守負担が増大するおそれがある。

そこでこの発明は、金融機関等の店舗内で使用される機器のセキュリティを向上するための導入コストや運用負担を低減できる機器セキュリティ管理装置、金融処理システム、機器セキュリティ管理方法及びプログラムを提供することを目的とする。

本発明の第１の態様によれば、機器セキュリティ管理装置は、店舗内のネットワークに接続可能な金融処理に関する複数種類の機器のそれぞれと通信する通信部と、複数の操作員の生体情報と、前記操作員について前記機器の操作権限の有無を示す権限情報と、前記操作員について操作権限が有る機器に対して当該機器の種類ごとに異なるランクが設定可能な当該操作員の操作ランクとを記憶する記憶部と、前記機器から前記通信部を介して当該機器に設けられた生体情報読取装置により読み取られた生体情報を取得する生体情報取得部と、前記生体情報取得部により取得された生体情報と前記記憶部に記憶された生体情報とを照合し、一致する操作員を特定する生体認証部と、前記生体認証部において操作員が特定され、前記記憶部に記憶された権限情報に基づいて当該操作員について前記機器の操作権限が有る場合には、前記機器を操作可能な状態にするための制御情報と、前記記憶部に記憶された当該操作員の前記機器の種類ごとに異なる操作ランクとを前記機器に通知し、前記生体認証部において操作員が特定され、前記記憶部に記憶された権限情報に基づいて当該操作員について前記機器の操作権限が無い場合、または、前記生体認証部において操作員が特定されなかった場合には、前記機器を操作不可能な状態にするための制御情報を前記機器に通知する機器制御部とを備える。

本発明の第２の態様によれば、上記第１の態様の機器セキュリティ管理装置において、前記記憶部は、前記操作員について複数の種別の生体情報を記憶し、前記生体認証部は、前記記憶部に記憶された複数の種別の生体情報のうち前記生体情報取得部により取得された生体情報と同一の種別の生体情報と照合するものであってもよい。

本発明の第３の態様によれば、店舗内のネットワークに接続可能な金融処理に関する複数種類の機器と、前記店舗内のネットワークを介して前記複数種類の機器のそれぞれと接続可能な機器セキュリティ管理装置とを備える金融処理システムにおいて、前記機器は、当該機器に設けられた生体情報読取装置により読み取られた生体情報を前記店舗内のネットワークを介して前記機器セキュリティ管理装置に送信する生体情報送信手段と、前記機器セキュリティ管理装置から前記店舗内のネットワークを介して通知される制御情報に基づいて当該機器を操作可能な状態と操作不可能な状態とに切り替える操作状態切替手段とを備え、前記機器セキュリティ管理装置は、複数の操作員の生体情報と、前記操作員について前記機器の操作権限の有無を示す権限情報と、前記操作員について操作権限が有る機器に対して当該機器の種類ごとに異なるランクが設定可能な当該操作員の操作ランクとを記憶する記憶手段と、前記機器から前記店舗内のネットワークを介して生体情報を取得する生体情報取得手段と、前記生体情報取得手段により取得された生体情報と前記記憶手段により記憶された生体情報とを照合し、一致する操作員を特定する生体認証手段と、前記生体認証手段において操作員が特定され、前記記憶手段によって記憶された権限情報に基づいて当該操作員について前記機器の操作権限が有る場合には、前記機器を操作可能な状態にするための制御情報と、前記記憶手段によって記憶された当該操作員の前記機器の種類ごとに異なる操作ランクとを前記機器に通知し、前記生体認証手段において操作員が特定され、前記記憶手段によって記憶された権限情報に基づいて当該操作員について前記機器の操作権限が無い場合、または、前記生体認証手段において操作員が特定されなかった場合には、前記機器を操作不可能な状態にするための制御情報を前記機器に通知する機器制御手段とを備える。

本発明の第４の態様によれば、機器セキュリティ管理方法は、店舗内のネットワークに接続可能な金融処理に関する複数種類の機器のセキュリティを管理する装置に用いられる方法であって、複数の操作員の生体情報と、前記操作員について前記機器の操作権限の有無を示す権限情報と、前記操作員について操作権限が有る機器に対して当該機器の種類ごとに異なるランクが設定可能な当該操作員の操作ランクとを記憶部に記憶し、前記機器に設けられた生体情報読取装置により読み取られた生体情報を前記店舗内のネットワークを介して取得し、前記取得された生体情報と前記記憶部に記憶された生体情報とを照合し、一致する操作員を特定する生体認証を行い、前記生体認証において操作員が特定され、記憶された権限情報に基づいて当該操作員について前記機器の操作権限が有る場合には、前記機器を操作可能な状態にするための制御情報と、記憶された当該操作員の前記機器の種類ごとに異なる操作ランクとを前記機器に通知し、前記生体認証において操作員が特定され、記憶された権限情報に基づいて当該操作員について前記機器の操作権限が無い場合、または、前記生体認証において操作員が特定されなかった場合には、前記機器を操作不可能な状態にするための制御情報を前記機器に通知することを有する。

本発明の第５の態様によれば、プログラムは、コンピュータを、店舗内のネットワークに接続可能な金融処理に関する複数種類の機器のセキュリティを管理する装置として動作させるプログラムであって、複数の操作員の生体情報と、前記操作員について前記機器の操作権限の有無を示す権限情報と、前記操作員について操作権限が有る機器に対して当該機器の種類ごとに異なるランクが設定可能な当該操作員の操作ランクとを記憶部に記憶する記憶ステップと、前記機器に設けられた生体情報読取装置により読み取られた生体情報を前記店舗内のネットワークを介して取得する生体情報取得ステップと、前記生体情報取得ステップにより取得された生体情報と前記記憶部に記憶された生体情報とを照合し、一致する操作員を特定する生体認証ステップと、前記生体認証ステップにおいて操作員が特定され、前記記憶部に記憶された権限情報に基づいて当該操作員について前記機器の操作権限が有る場合には、前記機器を操作可能な状態にするための制御情報と、前記記憶部に記憶された当該操作員の前記機器の種類ごとに異なる操作ランクとを前記機器に通知し、前記生体認証ステップにおいて操作員が特定され、前記記憶部に記憶された権限情報に基づいて当該操作員について前記機器の操作権限が無い場合、または、前記生体認証ステップにおいて操作員が特定されなかった場合には、前記機器を操作不可能な状態にするための制御情報を前記機器に通知する機器制御ステップとを前記コンピュータに実行させる。

本発明の機器セキュリティ管理装置、金融処理システム、機器セキュリティ管理方法及びプログラムにより、金融機関等の店舗内のネットワークに接続される機器のセキュリティを向上するための導入コストや運用負担を低減できる。

第１の実施形態に係る金融処理システムの構成例を示す図である。 第１の実施形態に係る機器セキュリティ管理装置の構成例を示す図である。 第１の実施形態に係る生体情報テーブルの構成例を示す図である。 第１の実施形態に係る機器セキュリティ管理装置の処理フローの一例を示す図である。 第２の実施形態に係る機器セキュリティ管理装置の構成例を示す図である。 第２の実施形態に係る権限情報テーブルの一例を示す図である。 第２の実施形態に係る機器セキュリティ管理装置の処理フローの一例を示す図である。 第２の実施形態に係る権限情報テーブルの変形例を示す図である。

以下、図面を参照しながら本発明の実施の形態について詳しく説明する。
＜第１の実施形態＞
まず、本実施形態に係る機器セキュリティ管理装置を備える金融処理システムについて説明する。

金融処理システム１は、図１に示すように、生体情報読取装置２０−１〜２０−３と、機器３０−１〜３０−３と、機器管理装置４０とを備える。なお、以下の説明において、生体情報読取装置２０−１〜２０−３のそれぞれを区別する必要がないときは、生体情報読取装置２０と総称し、機器３０−１〜３０−３のそれぞれを区別する必要がないときは、機器３０と総称する。また、金融処理システム１における生体情報読取装置２０および機器３０の台数は任意に選択可能である。

機器３０は、現金処理機、窓口操作機、鍵管理装置、コピー機など、金融機関等において種々の金融処理を行うために操作員が操作する機器である。図１に示すように、機器３０のそれぞれには、生体情報を読み取り可能な生体情報読取装置２０が設けられている。生体情報読取装置２０は、手や指の静脈情報、指紋情報、または目の虹彩情報などの操作員の身体的特徴に係る生体情報を読み取ることができる。例えば、図１に示すように、機器３０−１には静脈情報を読取可能な生体情報読取装置２０−１が設けられ、機器３０−２には指紋情報を読取可能な生体情報読取装置２０−２が設けられ、機器３０−３には指紋情報および虹彩情報を読み取り可能な生体情報読取装置２０−３が設けられているものとする。１つの機器３０に、複数種別の生体情報を読み取り可能な生体情報読取装置２０を設けることや異なる種別の生体情報を読み取り可能な複数の生体情報読取装置を設けることもできる。また、生体情報の種別は、上記の他に顔、声紋、または筆跡などであってもよい。

また、機器管理装置４０は、操作員による機器３０の操作の可否を制御する機器セキュリティ管理装置１０を備える。機器管理装置４０は、例えば、サーバとして動作可能なターミナルを備える出納機である。機器管理装置４０と機器３０のそれぞれは、例えば、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）による店舗内ネットワークで接続されている。なお、金融処理システム１は、金融機関における店舗内ＬＡＮで構成されるシステムであり、生体認証を行うに当たっては、外部ネットワーク経由で店舗外のサーバと接続される必要がない。

機器管理装置４０がターミナルを備える出納機である場合、後述する機器セキュリティ管理装置１０における各機能部は、ターミナルにおいて実現されてもよい。

次に、本発明の実施形態に係る機器セキュリティ管理装置１０の構成について説明する。
本実施形態による機器セキュリティ管理装置１０は、図２に示すように、通信部１０１と、生体情報取得部１０２と、生体認証部１０３と、機器制御部１０４と、生体情報登録部１０５と、記憶部１０６とを備える。

通信部１０１は、機器３０のそれぞれと、店舗内ネットワークを介して通信を行うＬＡＮカードなどのネットワークインタフェースである。例えば、通信部１０１は、ターミナルにおいて操作員から受け付けた取引依頼などを機器３０に送信し、機器３０から当該取引に関する処理結果を受信することができる。また、機器３０にはＵＳＢ接続などで生体情報読取装置２０が接続されており、通信部１０１は、生体情報読取装置２０により読み取られた生体情報を、機器３０から店舗内ネットワークを介して受信することができる。

記憶部１０６は、機器セキュリティ管理装置１０が行う処理に必要な種々の情報を記憶する。例えば、記憶部１０６には、図３に示すように操作員ごとの生体情報を生体情報の種別と共に格納する生体情報テーブルＴＢＬ１が予め記憶される。

生体情報登録部１０５は、システム導入時や操作員の追加の際などの必要に応じて、操作員の生体情報を、操作員の識別子と生体情報の種別とに関連づけて記憶部１０６の生体情報テーブルＴＢＬ１に記憶する。例えば、生体情報登録部１０５は、機器３０に設けられた生体情報読取装置２０が取得した各操作員の生体情報を操作員の識別子と共に取得する。そして、生体情報登録部１０５は、生体情報のファイルの拡張子やヘッダ情報等に基づいて当該生体情報の種別を取得し、図３に示す生体情報テーブルＴＢＬ１のように、生体情報読取装置２０が取得した操作員の生体情報を、生体情報種別と操作員の識別子とに関連づけて、記憶部１０６に予め記録する。なお、生体情報読取装置２０が機器管理装置４０にも設けられる場合は、生体情報登録部１０５は、機器管理装置４０に設けられた生体情報読取装置２０が取得した操作員の生体情報を、操作員の識別子と生体情報の種別とに関連づけて記憶部１０６の生体情報テーブルＴＢＬ１に記録するものであってもよい。例えば、図３によれば、操作員識別子ＵＩＤ１の操作員については、静脈情報ＢＩ１ａ、指紋情報ＢＩ１ｂおよび虹彩情報ＢＩ１ｃが登録されている。操作員識別子ＵＩＤ２の操作員については、静脈情報は登録無しで、指紋情報ＢＩ２ｂおよび虹彩情報ＢＩ２ｃが登録されている。各操作員が使用する機器３０に応じて認証に必要な種別の生体情報が生体情報テーブルＴＢＬ１に記憶されればよい。

生体情報取得部１０２は、操作員が機器の使用を開始する際などに、生体情報読取装置２０により読み取られた操作員の生体情報を機器の識別子とともに機器３０から通信部１０１を介して取得する。例えば、生体情報取得部１０２は、操作員の手（指や掌）の静脈情報を取得する。また、生体情報取得部１０２は、操作員の指紋情報を取得する。また、生体情報取得部１０２は、操作員の目の虹彩情報を取得する。機器３０に複数種別の生体情報読取装置２０が設けられている場合には、生体情報取得部１０２は、機器の識別子とともに複数種別の生体情報を取得することができる。なお、機器の識別子は、この店舗内ネットワーク上で機器３０を一意に識別できるものであればよく、ＩＰアドレスやＭＡＣアドレスなどのネットワークアドレスであってもよい。また、生体情報取得部１０２は、生体情報のファイルの拡張子またはヘッダ情報などから生体情報の種別を取得することができる。

生体認証部１０３は、生体情報取得部１０２により取得された生体情報と記憶部１０６の生体情報テーブルＴＢＬ１に記憶された生体情報とを照合し、一致する操作員を特定する。生体情報テーブルＴＢＬ１に複数の種別の生体情報が記憶されている場合は、記憶部１０６の生体情報テーブルＴＢＬ１に記憶された生体情報のうち生体情報取得部１０２により取得された生体情報と同一の種別の生体情報と照合する。例えば、生体情報取得部１０２において静脈情報が取得された場合は、生体情報テーブルＴＢＬ１に記憶された操作員の静脈情報の中から、取得した静脈情報と一致する操作員を特定する。生体情報取得部１０２が複数種別の生体情報を取得した場合は、生体認証部１０３は、取得した複数種別の生体情報について、上記照合処理を行うことにより操作員を認証する。複数種別の生体情報を組み合わせることでセキュリティを高めることができる。あるいは、利便性を考慮して、複数種別の生体情報のいずれかが一致する場合に操作員を認証するという運用にしてもよい。

機器制御部１０４は、生体認証部１０３において操作員が特定された場合は当該機器を操作可能な状態にし、操作員が特定されなかった場合は当該機器を操作不可能な状態にするための制御情報を当該機器に通知する。例えば、図１に示す機器３０−１において操作員識別子ＵＩＤ１の操作員が生体情報読取装置２０−１に静脈を読み取らせた場合、生体認証部１０３では操作員識別子ＵＩＤ１の操作員が特定され、機器制御部１０４は、操作員識別子ＵＩＤ１と操作許可信号とを含む制御情報を当該機器３０−１に送信する。一方、機器３０−１において操作員識別子ＵＩＤ２の操作員が生体情報読取装置２０−１に静脈を読み取らせた場合は、生体認証部１０３では操作員が特定されないため、機器制御部１０４は、操作不可信号を含む制御情報を当該機器３０−１に送信する。

次に、本実施形態による機器セキュリティ管理装置１０の処理について説明する。
ここでは、機器管理装置４０がターミナルを備える出納機であり、機器セキュリティ管理装置１０がターミナルにおいて実装される場合を例に、図４に示す機器セキュリティ管理装置１０の処理フローについて説明する。なお、図４の処理フローに先立って、生体情報登録部１０５は、システム導入時、または操作員の追加時などの必要に応じて、生体情報読取装置２０により読み取られた生体情報を取得し、操作員の識別子に対応付けて、操作員の生体情報とその生体情報の種別とを記憶部１０６の生体情報テーブルＴＢＬ１に予め記録する。

先ず、操作員は機器３０の使用を開始する際などに、機器３０に設けられた生体情報読取装置２０に操作員の生体情報を読み取らせる。例えば、生体情報読取装置２０は、手の静脈、指紋、目の虹彩などのセンサを備えており、操作員は、センサに手の静脈、指紋、目の虹彩などを読み取らせる。例えば、生体情報読取装置２０は、操作員が手の静脈についての生体認証を行うセンサに手を置いた場合に、手を置いたことを検出して、操作員の手の静脈情報を読み取る。また、生体情報読取装置２０は、操作員が指紋についての生体認証を行うセンサに指を置いた場合に、指を置いたことを検出して、操作員の指紋情報を読み取る。また、生体情報読取装置２０は、操作員が目の虹彩についての生体認証を行うセンサに顔を近づけた場合に、顔の目の位置を検出して、操作員の目の虹彩情報を読み取る。このとき、生体情報読取装置２０は、操作員に対して、それぞれの生体情報の読み取りをガイドするものであってもよい。機器３０は、生体情報読取装置２０が読み取った生体情報を取得して、機器の識別子とともに機器セキュリティ管理装置１０へ送信する。

生体情報取得部１０２は、機器３０から通信部１０１を介して、生体情報読取装置２０により読み取られた生体情報と機器の識別子とを取得する（ステップＳ１）。また、生体情報取得部１０２は、生体情報のファイルの拡張子やヘッダ情報から生体情報の種別を取得する。生体情報取得部１０２は、取得した生体情報と生体情報の種別と機器の識別子とを生体認証部１０３に送信する。

生体認証部１０３は、生体情報取得部１０２から生体情報と生体情報の種別と機器の識別子とを受信する。生体認証部１０３は、生体情報取得部１０２から取得した生体情報と記憶部１０６の生体情報テーブルＴＢＬ１に記憶された生体情報とを照合する（ステップＳ２）。具体的には、生体認証部１０３は、生体情報テーブルＴＢＬ１に記憶された生体情報の中から生体情報取得部１０２により取得された生体情報と同一の種別の各操作員の生体情報を読み出し、取得された生体情報とそれぞれ照合する。例えば、生体認証部１０３は、生体情報テーブルＴＢＬ１が図３に示すデータテーブルであり、取得された生体情報の種別が静脈の場合には、取得された生体情報を、生体情報テーブルＴＢＬ１の各操作員の静脈情報ＢＩ１ａ、・・・とそれぞれ照合する。生体情報の種別が指紋の場合には、生体認証部１０３は、取得された生体情報を、生体情報テーブルＴＢＬ１の各操作員の指紋情報ＢＩ１ｂ、ＢＩ２ｂ、・・・とそれぞれ照合する。

生体認証部１０３は、上記照合の結果、生体情報取得部１０２により取得された生体情報と、生体情報テーブルＴＢＬ１に記憶された操作員の生体情報との差が予め定めた許容誤差範囲内である場合に、取得された生体情報と当該操作員の生体情報とが一致したと判定する。また、生体認証部１０３は、上記照合の結果、生体情報取得部１０２により取得された生体情報と、生体情報テーブルＴＢＬ１に記憶された操作員の生体情報との差が予め定めた許容誤差範囲内でない場合、取得された生体情報と当該操作員の生体情報とが一致しないと判定する。

生体認証部１０３は、生体情報取得部１０２が取得した種別の生体情報について、取得された生体情報が、記憶部１０６の生体情報テーブルＴＢＬ１に記録された操作員の生体情報のいずれとも一致しないと判定した場合は操作員の特定に失敗したと判断し（ステップＳ３、ＮＯ）、その旨を示す情報と、生体情報取得部１０２から取得した機器の識別子とを機器制御部１０４に送信する。

生体認証部１０３は、生体情報取得部１０２により取得した種別の生体情報について、取得された生体情報が、記憶部１０６の生体情報テーブルＴＢＬ１に記録された生体情報と一致すると判定した場合は操作員の特定できたと判断し（ステップＳ３、ＹＥＳ）、一致すると判定した操作員の識別子と、生体情報取得部１０２から取得した機器の識別子とを機器制御部１０４に送信する。例えば、生体認証部１０３は、一致すると判定した操作員の生体情報が生体情報ＢＩ１ａである場合、生体情報テーブルＴＢＬ１において生体情報ＢＩ１ａに対応する操作員の識別子ＵＩＤ１と、生体情報取得部１０２から取得した機器の識別子（例えばＤＩＤ１）とを機器制御部１０４に送信する。また、例えば、生体認証部１０３は、一致すると判定した操作員の生体情報が生体情報ＢＩ２ｂである場合、生体情報テーブルＴＢＬ１において生体情報ＢＩ２ａに対応する操作員の識別子ＵＩＤ２と、生体情報取得部１０２から取得した機器の識別子（例えばＤＩＤ１）とを機器制御部１０４に送信する。

機器制御部１０４は、生体認証部１０３から操作員の識別子と機器の識別子とを受信した場合は、機器の識別子に対応する機器３０に対して、操作員の識別子と当該機器を操作可能な状態にするための操作許可信号とを含む制御情報を送信する（ステップＳ４）。一方、生体認証部１０３から操作員の特定に失敗したことを示す情報と、機器の識別子とを受信した場合は、機器制御部１０４は、機器の識別子に対応する機器３０に対して、当該機器を操作不可能な状態にするための操作不可信号を含む制御情報を送信する（ステップＳ５）。

機器３０は、機器制御部１０４から操作員の識別子と操作許可信号とを含む制御情報を受信すると、当該機器を操作可能な状態に切り替え、操作員の識別子が示す操作員による操作のログ情報の記録を開始する。一方、機器３０は、機器制御部１０４から操作不可信号を含む制御情報を受信すると、当該機器を操作不可能な状態に切り替える。このとき、生体認証に失敗したことをアラームやメッセージで操作員に報知するようにしてもよい。

このように、第１の実施形態によれば、機器セキュリティ管理装置において操作員の生体情報を一元管理し、認証の際には機器セキュリティ管理装置に登録された操作員の生体情報を用いて照合処理を行う。これにより、各機器には生体情報読取手段を設けるだけで、機器ごとに生体情報認証手段を設ける必要がないため、導入コストを低減することが可能になる。また、同じ種別の生体情報読取機能が設けられた機器が複数存在するシステムにおいて、操作員は当該種別の生体情報を機器セキュリティ管理装置に一度登録すればよく、機器ごとの生体情報の登録が不要になるため、運用負担を軽減することができる。また、機器セキュリティ管理装置において操作員の生体情報を一元管理することで、外部への情報漏えいのリスクも回避することができる。また、従来の操作員カードによる認証を省略することが可能になるため、操作員はカードを携帯する必要が無くなり、利便性が向上する。

また、金融処理システム１は、生体認証を行うに当たっては、オンラインで店舗外のサーバと接続する必要がないため、セキュリティを高めることができる。また、金融処理システム１は、金融機関における店舗内でシステムが構成されるため、大規模なサーバを店舗外に置く必要がなく、当該店舗に設置されている出納機のターミナルをサーバの代わりとして利用することより、低コストで実現することができる。

＜第２の実施形態＞
本発明の第２の実施形態では、機器セキュリティ管理装置において、さらに操作員ごとの機器の操作権限を一元管理し、生体認証において操作員が特定できた場合に、その操作員に機器の操作権限が有る場合にのみ当該機器を操作可能に制御する。

図５は、第２の実施形態に係る機器セキュリティ管理装置１０Ａの構成例である。機器セキュリティ管理装置１０Ａは、第１の実施形態に係る機器セキュリティ管理装置１０の各機能部に加えて権限情報登録部１０７を備える。また、記憶部１０６には、操作員ごとの機器の操作権限の有無を示す権限情報テーブルＴＢＬ２がさらに記憶される。なお、第２の実施形態において、金融処理システムの構成は、第１の実施形態と同様であるため、図１を用いて説明を行う。また、上記第１の実施形態と同一部分には同一符号を付し、詳しい説明は省略する。以下、第１の実施形態と異なる部分について具体的に説明する。

権限情報登録部１０７は、システム導入時や、操作員や機器の追加の際などの必要に応じて、操作員ごとの機器３０の操作権限を記憶部１０６の権限情報テーブルＴＢＬ２に記憶する。例えば、権限情報登録部１０７は、ターミナルにおいて管理者から入力される操作員ごとの機器３０の操作に関する権限情報を取得する。権限情報テーブルＴＢＬ２には、例えば図６に示すように、操作員の識別子と機器の識別子とに対応付けて、操作員における各機器の操作権限（有り／無し）が記憶される。図６では、例えば、操作員識別子ＵＩＤ１の操作員は、機器識別子ＤＩＤ１〜ＤＩＤ４が操作可能であり、操作員識別子ＵＩＤ２の操作員は、機器識別子ＤＩＤ１、ＤＩＤ２の機器は操作権限が無く、機器識別子ＤＩＤ３、ＤＩＤ４の機器が操作可能であることを示す。権限情報テーブルＴＢＬ２は、機器制御部１０４が生体認証部１０３で特定された操作員による機器の操作の可否を判定するために用いられる。

機器制御部１０４は、生体認証部１０３により操作員が特定された場合、記憶部１０６の権限情報テーブルＴＢＬ２に基づいて、当該操作員の識別子と生体情報取得部１０２で取得された機器の識別子とに対応する操作権限を読み出し、当該操作員による当該機器３０の操作の可否を判定する。例えば、図１に示す機器３０−２において操作員識別子ＵＩＤ１の操作員が生体情報読取装置２０−２に指紋を読み取らせた場合、生体認証部１０３では操作員識別子ＵＩＤ１の操作員が特定され、機器制御部１０４は、操作員識別子ＵＩＤ１と操作許可信号とを含む制御情報を当該機器３０−２に送信する。一方、機器３０−２において操作員識別子ＵＩＤ２の操作員が生体情報読取装置２０−２に指紋を読み取らせた場合は、生体認証部１０３では操作員識別子ＵＩＤ２の操作員が特定されるが、権限情報テーブルＴＢＬ２において操作員識別子ＵＩＤ２と操作員識別子ＵＩＤ２に対応する操作権限は「無し」であるため、機器制御部１０４は、操作不可信号を含む制御情報を当該機器３０−２に送信する。

次に、本実施形態による機器セキュリティ管理装置１０Ａの処理について説明する。第１の実施形態と同様に、機器管理装置４０がターミナルを備える出納機であり、機器セキュリティ管理装置１０Ａがターミナルにおいて実装される場合を例に、図７に示す機器セキュリティ管理装置１０Ａの処理フローについて説明する。なお、図７の処理フローに先立って、生体情報登録部１０５は、システム導入時、または操作員の追加時などの必要に応じて、生体情報読取装置２０により読み取られた生体情報を取得し、操作員の識別子に対応付けて、操作員の生体情報とその生体情報の種別とを記憶部１０６の生体情報テーブルＴＢＬ１に予め記録する。さらに、権限情報登録部１０７は、システム導入時、操作員または機器の追加時などの必要に応じて、操作員の識別子と機器の識別子とに対応づけて、操作員ごとの機器の操作権限を記憶部１０６の権限情報テーブルＴＢＬ２に予め記録する。

図７の処理フローにおいて、ステップＳ１〜Ｓ３は第１の実施形態の図４と同様の処理が行われるため、ここでは、図７において追加されたステップＳ６からの処理を説明する。ステップＳ３において、生体認証部１０３は、生体情報取得部１０２により取得した種別の生体情報について、取得された生体情報が、記憶部１０６の生体情報テーブルＴＢＬ１に記録された生体情報と一致すると判定した場合は操作員を特定できたと判断し（ステップＳ３、ＹＥＳ）、一致すると判定した操作員の識別子と、生体情報取得部１０２から取得した機器の識別子とを機器制御部１０４に送信したものとする。

機器制御部１０４は、生体認証部１０３から操作員の識別子と機器の識別子とを受信すると、記憶部１０６の権限情報テーブルＴＢＬ２に基づいて、当該操作員の識別子と当該機器の識別子とに対応する機器の操作権限の有無を判定する（ステップＳ６）。機器制御部１０４は、権限情報テーブルＴＢＬ２が図６に示すデータテーブルであり、生体認証部１０３から操作員識別子ＵＩＤ１と機器識別子ＤＩＤ２とを受信した場合、記憶部１０６の権限情報テーブルＴＢＬ２に基づいて、操作員識別子ＵＩＤ１の操作員による機器識別子ＤＩＤ２の機器３０は操作可能であると判定する。一方、生体認証部１０３から操作員識別子ＵＩＤ２と機器識別子ＤＩＤ２とを受信した場合、機器制御部１０４は、記憶部１０６の権限情報テーブルＴＢＬ２に基づいて、操作員識別子ＵＩＤ２の操作員による機器識別子ＤＩＤ２の機器３０は操作不可能であると判定する。

機器制御部１０４は、上記判定において操作可能と判定した場合（ステップＳ６、ＹＥＳ）、当該機器識別子に対応する機器３０に対して、操作員識別子と当該機器を操作可能な状態にするための操作許可信号とを含む制御情報を送信する（ステップＳ４）。一方、上記判定において操作不可能と判定した場合（ステップＳ６、ＮＯ）、機器制御部１０４は、当該機器識別子に対応する機器３０に対して、当該機器を操作不可能な状態にするための操作不可信号を含む制御情報を送信する（ステップＳ５）。

機器３０は、機器制御部１０４から操作員の識別子と操作許可信号とを含む制御情報を受信すると、当該機器を操作可能な状態に切り替え、操作員の識別子が示す操作員による操作のログ情報の記録を開始する。一方、機器３０は、機器制御部１０４から操作不可信号を含む制御情報を受信すると、当該機器を操作不可能な状態に切り替える。なお、機器制御部１０４から操作不可信号と共に操作権限が無いことを示す情報を受信した場合は、操作権限がないことをアラームやメッセージで操作員に報知するようにしてもよい。

＜変形例＞
第２の実施形態の変形例として、権限情報テーブルＴＢＬ２を図８の権限情報テーブルＴＢＬ２Ａのように構成することができる。操作権限の有る機器３０において、操作員の操作ランクに応じて操作可能な機能の範囲が異なる場合は、権限情報登録部１０７は、操作員の識別子と機器の識別子とに対応付けて操作ランクをさらに記憶するようにしてもよい。ここで、操作ランクとは、機器３０に対する操作員の操作権限のレベルを示したものであり、例えば、権限の高い順に操作ランクＡ（特殊）、操作ランクＢ（係員）、操作ランクＣ（一般）のように設定される。また、例えばコピー機のように操作権限の区別が不要な機器については、「操作ランク無し」とすることができる。図８に示すように、例えば、操作員識別子ＵＩＤ１の操作員は、機器識別子ＤＩＤ１、ＤＩＤ２の機器について操作ランクＡ（特殊）、ＤＩＤ３の機器について操作ランクＢ（係員）、ＤＩＤ４の機器については「操作ランク無し」と登録されていることを示す。操作員識別子ＵＩＤ２の操作員は、機器識別子ＤＩＤ１、ＤＩＤ２の機器については操作権限自体が無く、機器識別子ＤＩＤ３の機器について操作ランクＣ（一般）、機器識別子ＤＩＤ４の機器について「操作ランク無し」と登録されていることを示す。

この場合、図７のステップＳ４において、例えば、機器制御部１０４は、操作可能と判定した機器３０に対して、当該操作員の識別子と操作許可信号と操作ランクとを含む制御情報を送信するようにする。「操作ランク無し」と登録されている場合は、当該操作員の識別子と操作許可信号とを含む制御情報を送信する。機器３０は、機器制御部１０４から操作員の識別子と操作許可信号と操作ランクとを受信すると、受信した操作ランクに応じた機能の範囲で操作可能な状態となり、操作員の識別子が示す操作員による操作のログ情報の記録を開始する。

機器３０は、一例として、鍵管理装置、出納機、窓口機、コピー機、などがあり、機器制御部１０４から、操作員の識別子と操作許可信号と操作ランクを受信した際の各機器個別の動作について、以下に詳しく説明する。

例えば機器３０が、鍵管理装置である場合、鍵管理装置には、鍵の持ち出し、及び、返却に係るデータ等を記録する記憶部が備えられている。また、該記憶部には、すべての鍵保持部に一対一で対応して保持する鍵の鍵識別情報と、取扱可能なすべての操作員識別情報とが記憶されており、更に、操作員情報毎に操作ランク分け等されて持ち出し可能な鍵の鍵識別情報が記憶されている。ここで、操作ランク分けの場合、例えば、一般職、窓口職、後方職、管理職等に分けられており、それぞれの操作ランク毎に取り出し可能な鍵の鍵識別情報が関連付けして記憶されている。また、同じ操作ランクであっても操作員毎に持ち出し可能な鍵が異なる場合には、操作者識別情報毎に取り出し可能な鍵識別情報が関連付けして記憶されている。更には、取り出しに上職の承認が必要な鍵の鍵識別情報も記録されている。鍵管理装置の制御部は、機器制御部１０４から、操作員の識別子と操作許可信号と操作ランクを受信した際には、鍵管理装置の記憶部に記録されたマスタデータと、該受信データとの照合を行い、操作員識別情報等が適正である場合に、当該操作員の識別情報に対して持ち出し可能な鍵識別情報を有する鍵を保持した鍵保持部のランプを点灯させ、当該操作員によって取出ボタンが操作されると、制御部はこの鍵保持部のキーホルダ装着部のロック状態を解除して鍵を取り出し可能とするとともに、操作員の識別子が示す操作員による操作のログ情報の記録を開始する。
そして、キーホルダ装着部のロック状態が解除されることにより操作者が鍵保持部から鍵を取り出すことになる。なお、当然のことながら、ランプが点灯した以外の鍵保持部の取出ボタンが操作されても、制御部は、この鍵保持部のキーホルダ装着部のロック状態を解除することはない。

例えば機器３０が、出納機である場合、出納機には、資金管理に係る装置内有高データ、取引毎の操作に係る操作ログデータ等を記録する記憶部が構成されている。また、該記憶部には、出納機の操作を行うすべての操作員識別情報と、操作員情報毎に操作ランク分け等されて当該装置で操作が可能となる機器操作情報が記憶されている。ここで、操作ランク分けの場合、例えば、一般職、窓口職、後方職、管理職等に分けられており、それぞれの操作ランク毎に可能な出納機の操作情報が関連付けして記憶されている。
例えば、一般職では、出納機の様々な操作の内、入出金処理と整理計数のみに操作が制限されていたり、出金限度額に制限を設けられる場合がある。また、窓口職では、出金限度額の制限がなく、出金が可能となるなど、一般職とは可能な機器操作が違っている。更に、後方職の操作ランクでは、より責務の高いランクの操作、例えば取引資金である現金を資金元の元方との間で、回金処理として補充や回収したりする操作が可能となる。また管理職の操作ランクでは、更に現金カセット回収を含む全ての当該機器操作が可能となる。

なお、同じ操作ランク同士では、使用できる機器操作が全く同じである必要はなく、同じ操作ランクであっても、操作員毎に機器の操作に違いを持たせ、細かく設定することができる。
また、出納機に構成される前記記憶部は、必ずしも出納機と同一装置内に設けられる必要はなく、例えば、機器管理を行うターミナルの記憶部内に設ける場合もあって良い。

機器３０が、上述した機器以外の機器であっても、機器制御部１０４から、送られてくる操作ランクに応じて、当該操作員が使用可能な操作に制限し、操作を行わせる。
また、必ずしも複数の操作ランクで操作を区分する必要はなく、例えば、コピー機のように、操作ランクの制限がなく操作許可信号が受信されれば、機器の操作を全て可能とする場合もあって良い。

以上のように、第２の実施形態によれば、第１の実施形態と同様の効果を奏すると共に、機器セキュリティ管理装置において各操作員の機器の操作権限を一元管理することができるため、機器ごとに操作員の操作権限を登録する手間が不要になり、運用負担を軽減することができる。さらに、機器セキュリティ管理装置に操作員の操作ランクを登録することで、機器を操作ランクに応じた機能の範囲で操作可能な状態に切り替えることが可能になる。

なお、本発明の実施形態において、生体情報読取装置２０は、手の静脈による生体認証、指紋による生体認証、目の虹彩による生体認証など、複数の生体認証を行うものとしたが、それに限定するものではない。全ての生体情報読取装置２０が、同一種別の生体認証を行うものであってもよい。また、複数の機器３０に設けられた生体情報読取装置２０のそれぞれは、異なる種別の生体認証を行うものであってよい。

また、本発明の実施形態において、金融処理システム１は、図１で示したように、複数の機器３０を備えるものとして説明したが、それに限定するものではない。金融処理システム１は、１つの機器３０を備えるものであってよい。なお、この場合、操作員の生体情報の種別は予めわかっているため、生体認証部１０３に操作員の生体情報の種別を予め与えれば、生体情報取得部１０２は、ステップＳ１の処理において、操作員の生体情報の種別を生体認証部１０３に送信しなくてもよい。

また、本発明の実施形態において、生体情報登録部１０５は、操作員の生体情報を機器セキュリティ管理装置１０が備える記憶部１０６に記録するものとして説明したが、それに限定するものではない。本発明におけるハードディスクやメモリなどの記憶部のそれぞれは、適切な情報の送受信が行われる範囲においてどこに備えられていてもよい。また、ハードディスクやメモリなどの記憶部は、適切な情報の送受信が行われる範囲において複数存在しデータを分散して記憶していてもよい。すなわち、生体情報登録部１０５は、操作員の生体情報を機器３０や生体情報読取装置２０の備える記憶部に記録するものであってよい。
ただし、生体情報読取装置２０が機器管理装置４０に設けられ、生体情報登録部１０５が、生体情報読取装置２０の取得した操作員の生体情報を機器セキュリティ管理装置１０が備える記憶部１０６に記録する場合、機器管理装置４０の１つの装置内で操作員の生体情報が管理されるため、よりセキュリティを高くすることができる。

なお本発明の実施形態における処理フローは、適切な処理が行われる範囲において、処理の順番が入れ替わってもよい。

なお本発明の実施形態について説明したが、上述の機器セキュリティ管理装置１０は内部に、コンピュータシステムを有している。そして、上述した処理の過程は、プログラムの形式でコンピュータ読み取り可能な記憶部に記憶されており、このプログラムをコンピュータが読み出して実行することによって、上記処理が行われる。ここでコンピュータ読み取り可能な記憶部とは、磁気ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、半導体メモリ等をいう。機器管理装置４０がコンピュータ読み取り可能な記憶部を備えることが望ましい。機器管理装置４０がコンピュータ読み取り可能な記憶部を備える場合、他装置とのアクセスを低減でき、よりセキュリティを高くすることができる。なお、このコンピュータプログラムを通信回線によってコンピュータに配信し、この配信を受けたコンピュータが当該プログラムを実行するようにしてもよい。

また、上記プログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定するものではない。また、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができるものである。

１・・・金融処理システム
１０・・・機器セキュリティ管理装置
２０・・・生体情報読取装置
３０・・・機器
４０・・・機器管理装置
１０１・・・通信部
１０２・・・生体情報取得部
１０３・・・生体認証部
１０４・・・機器制御部
１０５・・・生体情報登録部
１０６・・・記憶部

Claims (5)

1. 店舗内のネットワークに接続可能な金融処理に関する複数種類の機器のそれぞれと通信する通信部と、
   複数の操作員の生体情報と、前記操作員について前記機器の操作権限の有無を示す権限情報と、前記操作員について操作権限が有る機器に対して当該機器の種類ごとに異なるランクが設定可能な当該操作員の操作ランクとを記憶する記憶部と、
   前記機器から前記通信部を介して当該機器に設けられた生体情報読取装置により読み取られた生体情報を取得する生体情報取得部と、
   前記生体情報取得部により取得された生体情報と前記記憶部に記憶された生体情報とを照合し、一致する操作員を特定する生体認証部と、
   前記生体認証部において操作員が特定され、前記記憶部に記憶された権限情報に基づいて当該操作員について前記機器の操作権限が有る場合には、前記機器を操作可能な状態にするための制御情報と、前記記憶部に記憶された当該操作員の前記機器の種類ごとに異なる操作ランクとを前記機器に通知し、前記生体認証部において操作員が特定され、前記記憶部に記憶された権限情報に基づいて当該操作員について前記機器の操作権限が無い場合、または、前記生体認証部において操作員が特定されなかった場合には、前記機器を操作不可能な状態にするための制御情報を前記機器に通知する機器制御部と
   を備えることを特徴とする機器セキュリティ管理装置。
2. 前記記憶部は、前記操作員について複数の種別の生体情報を記憶し、
   前記生体認証部は、前記記憶部に記憶された複数の種別の生体情報のうち前記生体情報取得部により取得された生体情報と同一の種別の生体情報と照合することを特徴とする請求項１に記載の機器セキュリティ管理装置。
3. 店舗内のネットワークに接続可能な金融処理に関する複数種類の機器と、前記店舗内のネットワークを介して前記複数種類の機器のそれぞれと接続可能な機器セキュリティ管理装置とを備える金融処理システムにおいて、
   前記機器は、
   当該機器に設けられた生体情報読取装置により読み取られた生体情報を前記店舗内のネットワークを介して前記機器セキュリティ管理装置に送信する生体情報送信手段と、
   前記機器セキュリティ管理装置から前記店舗内のネットワークを介して通知される制御情報に基づいて当該機器を操作可能な状態と操作不可能な状態とに切り替える操作状態切替手段と
   を備え、
   前記機器セキュリティ管理装置は、
   複数の操作員の生体情報と、前記操作員について前記機器の操作権限の有無を示す権限情報と、前記操作員について操作権限が有る機器に対して当該機器の種類ごとに異なるランクが設定可能な当該操作員の操作ランクとを記憶する記憶手段と、
   前記機器から前記店舗内のネットワークを介して生体情報を取得する生体情報取得手段と、
   前記生体情報取得手段により取得された生体情報と前記記憶手段により記憶された生体情報とを照合し、一致する操作員を特定する生体認証手段と、
   前記生体認証手段において操作員が特定され、前記記憶手段によって記憶された権限情報に基づいて当該操作員について前記機器の操作権限が有る場合には、前記機器を操作可能な状態にするための制御情報と、前記記憶手段によって記憶された当該操作員の前記機器の種類ごとに異なる操作ランクとを前記機器に通知し、前記生体認証手段において操作員が特定され、前記記憶手段によって記憶された権限情報に基づいて当該操作員について前記機器の操作権限が無い場合、または、前記生体認証手段において操作員が特定されなかった場合には、前記機器を操作不可能な状態にするための制御情報を前記機器に通知する機器制御手段と
   を備えることを特徴とする金融処理システム。
4. 店舗内のネットワークに接続可能な金融処理に関する複数種類の機器のセキュリティを管理する装置に用いられる方法であって、
   複数の操作員の生体情報と、前記操作員について前記機器の操作権限の有無を示す権限情報と、前記操作員について操作権限が有る機器に対して当該機器の種類ごとに異なるランクが設定可能な当該操作員の操作ランクとを記憶部に記憶し、
   前記機器に設けられた生体情報読取装置により読み取られた生体情報を前記店舗内のネットワークを介して取得し、
   前記取得された生体情報と前記記憶部に記憶された生体情報とを照合し、一致する操作員を特定する生体認証を行い、
   前記生体認証において操作員が特定され、記憶された権限情報に基づいて当該操作員について前記機器の操作権限が有る場合には、前記機器を操作可能な状態にするための制御情報と、記憶された当該操作員の前記機器の種類ごとに異なる操作ランクとを前記機器に通知し、前記生体認証において操作員が特定され、記憶された権限情報に基づいて当該操作員について前記機器の操作権限が無い場合、または、前記生体認証において操作員が特定されなかった場合には、前記機器を操作不可能な状態にするための制御情報を前記機器に通知すること
   を有することを特徴とする機器セキュリティ管理方法。
5. コンピュータを、店舗内のネットワークに接続可能な金融処理に関する複数種類の機器のセキュリティを管理する装置として動作させるプログラムであって、
   複数の操作員の生体情報と、前記操作員について前記機器の操作権限の有無を示す権限情報と、前記操作員について操作権限が有る機器に対して当該機器の種類ごとに異なるランクが設定可能な当該操作員の操作ランクとを記憶部に記憶する記憶ステップと、
   前記機器に設けられた生体情報読取装置により読み取られた生体情報を前記店舗内のネットワークを介して取得する生体情報取得ステップと、
   前記生体情報取得ステップにより取得された生体情報と前記記憶部に記憶された生体情報とを照合し、一致する操作員を特定する生体認証ステップと、
   前記生体認証ステップにおいて操作員が特定され、前記記憶部に記憶された権限情報に基づいて当該操作員について前記機器の操作権限が有る場合には、前記機器を操作可能な状態にするための制御情報と、前記記憶部に記憶された当該操作員の前記機器の種類ごとに異なる操作ランクとを前記機器に通知し、前記生体認証ステップにおいて操作員が特定され、前記記憶部に記憶された権限情報に基づいて当該操作員について前記機器の操作権限が無い場合、または、前記生体認証ステップにおいて操作員が特定されなかった場合には、前記機器を操作不可能な状態にするための制御情報を前記機器に通知する機器制御ステップと
   を前記コンピュータに実行させることを特徴とするプログラム。

Images