JP2005285008A - データセキュリティ管理システム、プログラム、データセキュリティ管理方法 - Google Patents

Abstract

【課題】企業において社員が所属する組織に変更が生じた場合に企業が許した社員だけが組織変更前後のデータにアクセス可能にする。
【解決手段】このデータセキュリティ管理システムは、ユーザＩＤによるアクセス要求で読み出し可能なデータを記憶したデータ記憶部４と、利用者の個人情報としてユーザＩＤ毎に現在の部署、役職、資格を格納した個人情報格納部２と、データ記憶部４の各データに付与されたアクセス条件を格納したデータセキュリティ属性格納部５と、データを閲覧可能か否かを判定する部署ルールをユーザＩＤ毎に格納した照合ルール格納部７と、ユーザＩＤに基づき利用者の現在の部署を旧部署に変換する部署変換装置１０と、利用者の個人情報と利用者の現旧部署とアクセス条件とを照合し合致したデータを該当者の部署ルールに設定し利用者のアクセス権限を判定する許可判定アクセス許可判定装置６を備える。
【選択図】図１

Description

本発明は、例えばデータセキュリティ管理システム、プログラム、データセキュリティ管理方法に関する。

一般の企業等においては、社内のユーザが自社のコンピュータシステムを利用可能にする上で、予めシステムの機能に対する利用者権限をユーザＩＤや端末ＩＤに与えておき、その端末にユーザがログインしたときに、そのユーザあるいは端末などの要求元の利用者権限に応じて扱える機能を制限することが行われている。

また、近年では、機能ばかりでなく、重要なデータに対して、いくつかの属性データを基にアクセスを許可するか否かを判定する技術も構築されている。
この種の先行技術としては、例えば医療に関するデータを情報提供サイトで提供する通信システムにおいて、入力されたアクセス要求または属性認証要求に応じて、情報提供サイトへのアクセス要求元（利用元）の属性データ（医療従事者個人属性データまたは医療従事法人属性データを法人属性データベース管理サーバ装置またはアプリケーションサーバ装置から読み出すと共に、アクセス先の情報提供サイトが要求する属性データ（情報提供サイト要求属性データをデータベースから読み出し、アクセス要求元の属性データが、情報提供サイトが要求する属性データを満たしているか否かを判断し、満たしていると判断した場合に、当該アクセス元による情報提供サイトへのアクセスを許可する技術が公開されている（例えば特許文献１参照）。

つまり、従来は、ユーザによって機能制限を設定し、システムが持つ各機能に対して利用者権限を付与するか、データに対するアクセス可否を判定するための情報として、予め医療従事者としての個人あるいは法人の属性情報と情報提供先の属性情報とをデータベースに登録しておき、これらの属性情報を判定材料としてデータへのアクセス可否を判定し、セキュリティを実現していた。
上記した技術の場合、ユーザは、情報を一度登録してしまえば、その機能やデータに対してほぼ無条件でアクセス可能となり、情報を得ることができた。
特開２００３−１４０９５４号公報、段落［００６０］

ところで、企業等では、人事異動や部署異動の統廃合等が、年に一度、あるいは突発的に行われる。この場合、社員の所属部署が変わることが多い。
社員の所属部署が変わるような場合、旧部署では参照可能なデータであっても、現在の部署では参照不可としなければならない状況が生じる。

しかしながら、従来の技術では、ユーザが一度システムに個人情報を登録してしまえば、自身が一度参照可能とされたデータは、その後もすべて参照可能となっているため、個人の情報が変わったときに、既に登録済みの属性情報を自ら登録し直す必要があるという問題があった。また、一度登録情報を変更してしまうと、前部署で作業をしていた情報が参照できなくなるため、これが不便になる場合もある。

また、複数のクライアントをネットワークで接続しワークフローシステムを構築している企業等では、あるクライアントからワークフローで他のクライアントへ申請・承認等の業務を流す場合、従来は、データに対して公開するためのセキュリティに明確な規準が定められておらず、運用の仕方によっては、秘密事項が漏洩する危険性があるという問題があった。

本発明はこのような課題を解決するためになされたもので、企業において社員が所属する組織に変更が生じた場合に、企業が許可した人だけが組織変更前後の情報にアクセスすることのできる秘匿性の高いデータセキュリティ管理システム、プログラム、データセキュリティ管理方法を提供することを目的としている。

上記した課題を解決するために、本発明のデータセキュリティ管理システムは、利用者個人を特定する利用者識別情報を含むアクセス要求で読み出し可能なデータを記憶したデータ記憶手段と、利用者の個人情報として利用者識別情報毎に現在の部署、役職、資格を格納した個人情報格納手段と、前記データ記憶手段に記憶されている各データに対して付与されたアクセス条件として利用者の部署、役職、資格を格納したアクセス条件格納手段と、利用者からアクセス要求のあったデータを利用者がアクセス可能か否かを判定するための条件式を利用者識別情報毎に格納した条件式格納手段と、利用者の現在の部署と旧部署との切り替え時期が設定され、利用者識別情報に基づいて利用者の旧部署を出力する部署変換手段と、前記アクセス要求に含まれる利用者識別情報を基に前記個人情報格納手段より読み出した個人情報と、前記部署変換手段より出力された利用者の旧部署と前記アクセス条件格納手段に記憶されているアクセス条件とを照合し、合致したデータを前記条件式格納手段に格納されている該当利用者の条件式のパラメータとして設定して、アクセス要求されたデータに対する利用者のアクセス権限を判定するアクセス権限判定手段と、前記アクセス権限判定手段によりアクセス権限があるものと判定されたデータを該当利用者からアクセス可能とするデータアクセス手段とを具備したことを特徴とする。

本発明のプログラムは、コンピュータに処理を実行させるプログラムであって、前記コンピュータを、利用者個人を特定する利用者識別情報を含むアクセス要求で読み出し可能なデータを記憶したデータ記憶手段と、利用者の個人情報として利用者識別情報毎に現在の部署、役職、資格を格納した個人情報格納手段と、前記データ記憶手段に記憶されている各データに対して付与されたアクセス条件として利用者の部署、役職、資格を格納したアクセス条件格納手段と、利用者からアクセス要求のあったデータを利用者がアクセス可能か否かを判定するための条件式を利用者識別情報毎に格納した条件式格納手段と、利用者の現在の部署と旧部署との切り替え時期が設定され、利用者識別情報に基づいて利用者の旧部署を出力する部署変換手段と、前記アクセス要求に含まれる利用者識別情報を基に前記個人情報格納手段より読み出した個人情報と、前記部署変換手段より出力された利用者の旧部署と前記アクセス条件格納手段に記憶されているアクセス条件とを照合し、合致したデータを前記条件式格納手段に格納されている該当利用者の条件式のパラメータとして設定して、アクセス要求されたデータに対する利用者のアクセス権限を判定するアクセス権限判定手段と、前記アクセス権限判定手段によりアクセス権限があるものと判定されたデータを該当利用者からアクセス可能とするデータアクセス手段として機能させることを特徴とする。

本発明のデータセキュリティ管理方法は、利用者がコンピュータに利用者識別情報を入力してログインし、データ記憶手段に記憶されているアクセス対象のデータにアクセスするためのデータセキュリティ管理方法において、利用者からのアクセス要求に含まれる利用者識別情報に基づいて、アクセス権限判定手段が個人情報格納手段より個人情報を読み出すステップと、前記利用者識別情報に基づいて、アクセス要求のデータを利用者がアクセス可能か否かを判定するための条件式を前記アクセス権限判定手段がアクセス条件格納手段から読み出すステップと、前記利用者識別情報に基づいて、前記部署変換手段が利用者の現在の部署を旧部署に変換するステップと、前記アクセス権限判定手段が個人情報格納手段より読み出した個人情報と、前記部署変換手段より変換した利用者の旧部署と前記アクセス条件格納手段に記憶されているアクセス条件とを照合し、合致したデータを条件式格納手段に格納されている該当利用者の条件式のパラメータとして設定して、アクセス要求されたデータに対する利用者のアクセス権限を判定するステップと、前記アクセス権限判定手段がアクセス権限があるものと判定した前記データ記憶手段のデータをデータアクセス手段が該当利用者からアクセス可能とするステップとを有することを特徴とする。
本発明では、利用者からアクセス要求に含まれる利用者識別情報に基づいて、アクセス権限判定手段が個人情報とアクセス条件とを読み出すと共に、利用者の現在の部署を旧部署に変換した上で利用者がアクセス要求したデータにアクセス可能か否かを判定するので、データ記憶手段に記憶されているデータに対してセキュリティを確保した上でアクセス可能と認めた利用者にだけ該当データにアクセスさせることができるようになる。
つまり、本発明では、アクセス制限のルールをいくつか作っておき、都度、どのルールを適用するかのパラメータ設定で対応可能となっているので、利用者の組織変更に柔軟に対応できると共に、ある一定のセキュリティを確保できる。

以上説明したように本発明によれば、企業において社員が所属する組織に変更が生じた場合に、企業が許可した人だけが組織変更前後の情報にアクセスすることができる。

以下、本発明の実施の形態を図面を参照して詳細に説明する。
（第１の実施の形態）
図１は本発明に係る第１実施形態のデータセキュリティ管理システムの構成を示す図である。この第１実施形態のデータセキュリティ管理システムは、ユーザがログインして使用するコンピュータであり、機能構成として、図１に示すように、個人認証装置１、個人情報格納手段としての個人情報格納部２、アクセス条件付与手段としてのデータセキュリティ付与装置３、データ記憶手段としてのデータ記憶部４、アクセス条件格納手段としてのデータセキュリティ属性格納部５、アクセス権限判定手段としてのアクセス許可判定装置６、アクセス条件式格納手段としての照合ルール格納部７、アクセス条件式作成手段としての照合ルール作成装置８、データアクセス手段としてのデータ検索装置９、部署変換手段としての部署変換装置１０、データアクセス手段としてのデータ登録・更新装置１１等を備えている。

個人情報格納部２、データ記憶部４、照合ルール格納部７等は、コンピュータのハードウェアでは、ハードディスク装置あるいはメモリに相当する。個人認証装置１、データセキュリティ付与装置３、アクセス許可判定装置６、照合ルール作成装置８、データ検索装置９、データ登録・更新装置１１は、コンピュータでは、ハードディスク装置あるいはメモリに記憶されているソフトウェアの各モジュールに相当する。

個人認証装置１は、このシステムを利用する利用者個人を特定する利用者識別情報（ユーザＩＤ、パスワード等）がキーボードより入力されたことで発行された、利用者識別情報（ユーザＩＤ、パスワード等）を含むアクセス要求で、ユーザＩＤ、パスワードと予め個人情報格納部２に格納されている個人情報とを照合して要求元のユーザがこのシステムを利用可能か否かのユーザ認証を行う装置である。認証後はユーザがログアウトするまでユーザＩＤ等の情報がメモリに保持される。個人情報格納部２には、各ユーザのログイン用のユーザＩＤ、パスワードの他、例えばユーザ名Ａ、部署Ａ、役職Ａ、資格Ａなどといった社内の組織における個人情報が格納されている。データ記憶部４には、ユーザがアクセス要求を行うことで読み出し可能なアクセス対象のデータが記憶されている。
データセキュリティ付与装置３は、データ記憶部４にデータを記憶する際、あるいはデータ記憶部４に記憶されたデータに対してセキュリティ属性を付与する装置であり、データに付与したアクセス可能ユーザのセキュリティ属性（部署、役職、資格等）が、データセキュリティ属性格納部５に格納される。
データ検索装置９は、ユーザからのデータ検索というアクセス要求を受けて、アクセス許可判定装置６に対してアクセス可否の判定要求を出し、アクセス許可判定装置よりアクセス可と通知された場合、データ記憶部４に対して検索を行い、該当データをデータ記憶部４から読み出して表示画面に表示する。

部署変換装置１０は、予めユーザ毎に旧部署と新部署の組織変換情報を記憶しており、アクセス可否判定装置６からの問い合わせ要求に対して、該当者の現在の部署を旧部署に変換して過去の部署データを返信する装置である。組織変換情報は、ユーザＡの現在の部署情報として、例えば部署Ａ、旧部署情報として部署Ｘ、切り替え日の情報として開始ＹＹ年Ｙ月、終了ＹＹ年データセキュリティ管理システム月等が記憶されている。

データ登録・更新装置１１は、ユーザからのデータ登録あるいは更新等のアクセス要求に応じてデータ記憶部４にデータを記憶、あるいは、データ記憶部４に記憶されているデータを更新する装置である。

アクセス許可判定装置６は、ユーザログイン後、メモリに保持さていたユーザＩＤ（アクセス要求に含まれていた利用者識別情報）を基に個人情報格納部２より読み出した個人情報と、データセキュリティ属性格納部５に格納されているデータセキュリティ属性と、部署変換装置１０から出力されたユーザの旧部署とを照合し、合致したデータを照合ルール格納部７に格納されている該当者の照合ルールにパラメータとして設定して、照合ルールに適すか否かでアクセス許可・不許可を判定する装置である。照合ルール作成装置８は、データセキュリティ属性と個人情報との照合ルールを作成する装置であり、作成した照合ルールを照合ルール格納部７に格納する。照合ルール格納部７は、照合ルール作成装置８により作成された照合ルールとして、例えば部署ルール等が少なくとも一つ記憶されている。部署ルールは、個人名とデータに部署、役職、資格等の企業内の組織に関連する情報を対応させた条件式である。

照合ルール格納部７には、例えば図２に示すように、「部署ルール１」として、個人（部署=:部署Ａ and 役職＞＝：役職Ａ and 資格=：資格Ａ）、データ（部署=：部署Ａ）が記憶されている。
「部署ルール２」として、個人（部署=：部署Ａ and 役職＞＝：役職Ａ）、データ（部署=：部署Ａ and 役職＞＝：役職Ｂ）が記憶されている。
なお、「」はルールを意味し、（）内は（項目：大小値：値 連結条件 項目：大小値：値）として並べている。（）内は個人情報とデータセキュリティ属性の比較対象項を示す。（）内の大小値には、（＝、＞＝、＜＝、＜＞）等の記号が入り、これらの記号は比較条件を示す。なお、役職順位については、役職Ａ＞役職Ｂの関係にあり、また資格順位については、資格Ａ＞資格Ｂの関係にあるものとする。
この例では、例えば「部署ルール１」は、個人情報が部署＝部署Ａ かつ 役職＞＝役職Ａ かつ 資格＞＝資格Ａの場合、データセキュリティ属性が部署＝部署Ａ のデータを閲覧できる、ということを示している。

続いて、図３を参照してこの第１実施形態のデータセキュリティ管理システムの動作を説明する。
（照合ルール作成動作）
データに対するアクセス許可／不許可を判定する材料となる照合ルールの作成動作について説明する。
このデータセキュリティ管理システムでは、あるユーザＡがコンピュータを起動すると、個人認証装置１は、ログイン画面をモニタの表示画面に表示する。
そして、表示画面に表示されたログイン画面でユーザＡが自身のユーザＩＤとパスワードを入力すると（Ｓ１）、個人認証装置１は、入力されたユーザＩＤ及びパスワードと、個人情報格納部２に格納されている個人情報とを照合して個人認証を行う（Ｓ２）。個人認証装置１による個人認証が済むと、表示画面に、データ登録・変更、データ検索等の処理を指定する各種ボタン（照合ルール作成ボタン、データ登録／更新ボタン、データセキュリティ付与ボタン、データ検索ボタン、実行ボタン等）を備えるメニュー画面が表示される。

このメニュー画面より、ユーザＡによって、例えばデータ登録・更新ボタンが操作されると、照合ルール作成装置８によって、照合ルールを照合ルール格納部７に登録するための照合ルール登録画面が表示画面に表示される。この照合ルール登録画面には、大小／上下比較、絶対値比較の記号と照合対象項目等のボタン群が備えられており、これらのボタンを操作、及び必要な値をキー入力することで照合ルールを作成できる（Ｓ３）。
照合ルールを作成後、実行ボタンをマウスなどでクリック操作することで、照合ルール登録画面で作成された照合ルールが照合ルール作成装置８によって照合ルール格納部７に登録される（Ｓ４）。

（データセキュリティ属性付与動作）
データに対するデータセキュリティ属性の付与動作について説明する。
この場合、上記メニュー画面より、ユーザＡによって、例えばデータセキュリティ付与ボタンが操作されると、データセキュリティ付与装置３によって、データセキュリティ属性を付与するためのデータセキュリティ属性付与画面が表示画面に表示される。このデータセキュリティ属性付与画面には、指定したデータに対して権限付与の条件、つまりアクセス条件となるデータセキュリティ属性を付与するための入力欄、実行ボタン等が設けられている。入力欄としては、対象データの名前を指定する欄とその参照ボタン、部署、役職、資格等を入力する欄が備えられている。

ユーザは、このデータセキュリティ属性付与画面の各入力欄に入力した後、実行ボタンをマウスなどの入力装置でクリック操作すると、権限付与の条件となるデータセキュリティ属性（部署、役職、資格）が該当データに与えられ、データ記憶部４のデータとセキュリティ属性格納部５にそれぞれ対応付けられて記憶される（Ｓ５）。
なお、データ登録・更新装置１１における新規データの登録動作については、データにデータセキュリティ属性を付与する場合の動作は、上記データセキュリティ属性付与動作自体はデータの指定場所が異なるだけで動作そのものは同じである。また、新規データにデータセキュリティ属性を付与しない場合は、ハードディスク装置などにデータを記憶する一般的な動作と同じであり、その説明は省略する。

（データアクセス動作）
続いて、このデータセキュリティ管理システムによるデータアクセス動作について説明する。
上記メニュー画面より、ユーザＡによって、例えばデータ検索ボタンが操作されると、ユーザＩＤを含むデータ検索要求がデータ検索装置９に発行されて、データ検索装置９によって、データを閲覧するためのデータ検索画面が表示画面に表示される。このデータ検索画面には、データを検索するためのデータ検索欄、実行ボタン等が設けられている。

ユーザＡが、データ検索画面のデータ検索欄に、閲覧を希望するデータ名を入力した後、実行ボタンをクリック操作すると、データ検索装置９は、アクセス許可判定装置６にアクセス可否の判定要求コマンドを送る（Ｓ６）。判定要求コマンドには少なくともユーザＩＤが含まれている。
アクセス許可判定装置６は、データ検索装置９からの判定要求コマンドが受信されと、判定要求コマンドに含まれるユーザＩＤを抽出し、ユーザ認証により既に判明しているユーザＡの個人情報（利用者の部署、役職、資格等の個人属性）を個人情報格納部２より読み出し（Ｓ７）、さらに検索要求されたデータに付与されているデータセキュリティ属性をデータセキュリティ属性格納部５より取得する（Ｓ８）。
また、アクセス許可判定装置６は、人事異動や部署の統廃合により所属部署の変更が生じた場合等を考慮するため、部署変換装置１０に対してユーザＩＤによる問い合わせ要求を行い、部署変換装置１０は、この問い合わせ要求に対してユーザＩＤを基にユーザの現在の部署を旧部署に変換して旧部署のデータをアクセス許可判定装置６に通知する（Ｓ９）。
つまり、部署変換装置１０は、現在の部署とデータの適用年月を基にユーザは現在どの部署で以前はどの部署だったというユーザの過去の部署を対応付ける。これは、現在のユーザＡの所属部署で判定した場合に過去のデータがアクセス不可とならないようにするためである。部署変換装置１０は、変換したユーザの旧部署をアクセス許可判定装置６へ送り、過去の部署の属性を持つデータに対するアクセス権を判定させる。
アクセス許可判定装置６は、個人情報格納部２より取得したユーザＡの個人属性と、部署変換装置１０から通知されたユーザの旧部署と、データセキュリティ属性格納部５より取得したデータセキュリティ属性とを照合し、部署、役職、資格等のデータが合致した場合に、照合ルール格納部７に格納されている複数の部署ルールの中の該当ユーザＩＤを有する一つの部署ルールを選定して読み出して（Ｓ１０）、読み出した部署ルールに該当データをパラメータとして設定して、部署ルールを解釈して部署ルールが正しいか否かでデータに対するユーザＡのアクセス権限の有無を判定する。
この判定の結果、検索要求された該当データに対するアクセス権限があり、該当データへのアクセスを許可する場合、アクセス許可判定装置６は、そのデータについて検索を許可する通知をデータ記憶部４とデータ検索装置９へ行う（Ｓ１１）。
この検索許可の通知により、データ記憶部４の該当データはアクセス可能となり、データ検索装置９は、データ記憶部４に対してアクセスし、該当データをデータ記憶部４から読み出してデータ検索画面に表示する（Ｓ１２）。
また、該当データに対するアクセス権限がない場合、検索不可の通知がアクセス許可判定装置６からデータ検索装置９へ返信されるので、データ検索装置９は、検索不可の旨のメッセージをデータ検索画面に表示する。

つまり、ユーザがデータにアクセスする際には、アクセス許可判定装置６が、ユーザの個人属性とデータセキュリティ属性とを照合し、複数設定されている中から一つの照合ルールを選定して、選定した照合ルールに従いデータ記憶部４のデータへのユーザのアクセス権を判定し、アクセス可能であれば、そのデータについて検索を許可し、それ以外であれば検索を不許可とする。
例えばアクセス許可判定装置６がユーザの個人属性と、ユーザの旧部署と、データセキュリティ属性とを照合した結果、図２に示した照合ルールにおいては、アクセス許可判定装置６が「部署ルール１」を選定した場合、図３に示すデータ記憶部４のデータ１とデータ２がアクセス可能となる。また、「部署ルール２」を選定した場合、データ１のみがアクセス可能となる。
さらに、ユーザＡの旧部署がＹＹ年Ｙ月〜ＹＹ年データセキュリティ管理システム月まで部署Ｘであった場合、ＹＹ年Ｙ月〜ＹＹ年データセキュリティ管理システム月までの部署Ｘのデータ（データ４）についてもアクセス可能となる。

このように、この第１実施形態のデータセキュリティ管理システムによれば、データに企業組織のデータセキュリティ属性を付与し、アクセス許可判定装置６がデータアクセスを希望するユーザの個人情報とデータセキュリティ属性とを照合して複数の中から照合ルールを選定しアクセス権を判定するので、データに対するセキュリティを向上することができる。また、データセキュリティ付与装置３を設けたことにより、アクセス対象のデータに対して、権限付与の条件となるデータセキュリティ属性（部署、役職、資格）を与えることができる。
また、部署変換装置１０を設けたことにより、ユーザＡの現在の部署を過去の部署（旧部署）に変換することで、人事異動や部署の統廃合により所属部署の変更が生じた場合にもユーザは、必要に応じて過去のデータを参照することができる。

（第２の実施の形態）
次に、図４〜図６を参照して本発明に係る第２実施形態のデータセキュリティ管理システムについて説明する。図４は第２実施形態のデータセキュリティ管理システムの構成を示す図である。この第２実施形態のデータセキュリティ管理システムは、上記第１実施形態をワークフローに対応させたものである。

すなわち、この第２実施形態のデータセキュリティ管理システムは、図４に示すように、個人認証装置１、個人情報格納部２、アクセス許可判定装置６、照合ルール作成装置８、データ検索装置９、部署変換装置１０、照合ルール格納部１２、ワークフローシステム１３、ルート情報付与装置１６、ワークフローデータ記憶部１４、ルート情報格納部１５等を備えるものである。

個人情報格納部２、データ記憶部４、照合ルール格納部７等は、コンピュータのハードウェアでは、ハードディスク装置あるいはメモリに相当する。個人認証装置１、データセキュリティ付与装置３、アクセス許可判定装置６、照合ルール作成装置８、データ検索装置９、は、コンピュータでは、ハードディスク装置あるいはメモリに記憶されているソフトウェアの各モジュールに相当する。

個人認証装置１は、このシステムを利用する個人であるユーザがユーザＩＤ、パスワード等をキーボードより入力したときに、入力されたユーザＩＤ、パスワードと予め個人情報格納部２に格納されている個人情報とを照合して要求元のユーザがこのシステムを利用可能か否かのユーザ認証を行う装置である。個人情報格納部２には、各ユーザのログイン用のユーザＩＤ、パスワードの他、例えばユーザ名Ａ、部署Ａ、役職Ａ、資格Ａなどといった社内の組織における個人情報が格納されている。データ記憶部４には、ユーザがアクセスする対象のデータが記憶されている。
ワークフローシステム１３は、例えば書類の回覧等を指定された社員にルート回覧するという業務のワークフローを実行する。ワークフローデータ記憶部１４には、ワークフローで回覧される書類等のワークフローデータが記憶される。ルート情報格納部１５には、ルート情報付与装置１６によりワークフローデータに付与されたルート情報が記憶される。ルート情報は、例えば申請者、申請部署、承認者、承認部署、管理部署等である。
ルート情報付与装置１６は、ワークフローデータ記憶部１４にワークフローデータを記憶する際、あるいはワークフローデータ記憶部１４に記憶されたワークフローデータに対してルート情報を付与する装置であり、ワークフローデータに付与したルート情報をルート情報格納部１５に格納する。
データ検索装置９は、ユーザからのデータ検索要求を受けて、アクセス許可判定装置６に対してアクセス可否の判定要求を出し、アクセス許可判定装置６よりアクセス可と通知された場合、ワークフローデータ記憶部１４に対してワークフローデータの検索を行い、該当ワークフローデータをワークフローデータ記憶部１４から読み出して表示画面に表示する。

部署変換装置１０は、予めユーザ毎に旧部署と新部署の組織変換情報を記憶しており、アクセス可否判定装置６からの問い合わせ要求に対して、該当者の現在の部署を旧部署へ変換した情報、つまり過去の部署データを返信する装置である。変換用の該当者の部署データは、ユーザＡの現在の部署情報として例えば部署Ａ、旧部署情報として部署Ｘ、切り替え日の情報として開始ＹＹ年Ｙ月、終了ＹＹ年データセキュリティ管理システム月等が記憶されている。
アクセス許可判定装置６は、個人情報格納部２に格納されている個人情報と、ルート情報格納部１５に格納されているルート情報と、照合ルール格納部１２に格納されている照合ルールとを基にアクセス許可・不許可を判定する装置である。
照合ルール作成装置８は、ルート情報と個人情報との照合ルールを作成する装置であり、作成した照合ルールを照合ルール格納部１２に格納する。照合ルール格納部１２は、照合ルール作成装置８により作成された照合ルールとして、例えばワークフロールール等が少なくとも一つ記憶されている。ワークフロールールは、社員個人のＩＤにワークフローデータと申請者、承認者、管理部署等の企業内のワークフローの回覧ルートの情報を対応させた条件式である。

照合ルール格納部１２には、例えば図５に示すように、「ワークフロールール１」として、個人（ユーザ=:データ. 申請者 or ユーザ＝：データ.承認者）が記憶されている。
「ワークフロールール２」として、個人（部署=：部署Ａ and 役職＞＝：役職Ａ）、データ（ユーザ=：データ.申請者 or 部署＝：データ.管理部署）が記憶されている。
「ワークフロールール３」として、個人（部署＞=：役職Ａ or 部署＞＝：資格Ａ）、データ（全データ）が記憶されている。
なお、「」はルールを意味し、（）内は（項目：大小値：値 連結条件 項目：大小値：値）として並べている。（）内は個人情報とデータセキュリティ属性の比較対象項を示す。（）内の大小値には、（＝、＞＝、＜＝、＜＞）等の記号が入り、これらの記号は比較条件を示す。
この例では、例えば「ワークフロールール１」の場合、個人情報のユーザ=ユーザが申請者 または ユーザ＞=データの承認者であるデータの閲覧が可能、ということを示している。

すなわち、この第２実施形態のデータセキュリティ管理システムは、ユーザ個人を特定する利用者識別情報（ユーザＩＤ）を含むアクセス要求で読み出し可能なワークフローデータを記憶したデータ記憶手段としてのワークフローデータ記憶部１４と、ユーザの個人情報としてユーザＩＤ毎に現在の部署、役職、資格を格納した個人情報格納手段としての個人情報格納部２と、ワークフローデータ記憶部１４に記憶されている各ワークフローデータに対して付与されたアクセス条件としてユーザの部署、役職、資格の他、ワークフローにおける書類（ワークフローデータ）の回付順序（ルート）を示す情報（申請者→管理部署、管理部署→承認者等）を格納したアクセス条件格納手段としてのルート情報格納部１５と、ユーザからアクセス要求のあったワークフローデータをユーザがアクセス可能か否かを判定するための条件式（ワークフロールール）をユーザＩＤ毎に格納した条件式格納手段としての照合ルール格納部１２と、ユーザの現在の部署と旧部署との切り替え時期が設定され、ユーザＩＤに基づいてユーザの旧部署を出力する部署変換手段としての部署変換装置１０と、アクセス要求に含まれるユーザＩＤを基に個人情報格納部２より読み出した個人情報と、部署変換装置１０より出力された利用者の旧部署とルート情報格納部１５に記憶されているアクセス条件とを照合し、合致したデータを照合ルール格納部１２に格納されている該当ユーザのワークフロールールのパラメータとして設定して、アクセス要求されたワークフローデータに対するユーザのアクセス権限を判定するアクセス権限判定手段としてのアクセス可否判定装置６と、このアクセス可否判定装置６によりアクセス権限があるものと判定されたワークフローデータを該当ユーザからアクセス可能とするデータアクセス手段としてのデータ検索装置９とを備える。

続いて、図６を参照してこの第２実施形態のデータセキュリティ管理システムの動作を説明する。
（照合ルール作成動作）
ワークフローデータに対するアクセス許可／不許可を判定する材料となる照合ルールの作成動作について説明する。
このデータセキュリティ管理システムでは、あるユーザＡがコンピュータを起動すると、個人認証装置１は、ログイン画面をモニタの表示画面に表示する。
そして、表示画面に表示されたログイン画面でユーザＡが自身のユーザＩＤとパスワードを入力すると（Ｓ２１）、個人認証装置１は、入力されたユーザＩＤ及びパスワードと、個人情報格納部２に格納されている個人情報とを照合して個人認証を行う（Ｓ２２）。個人認証装置１による個人認証が済むと、表示画面に、データ登録・変更、データ検索等の処理を指定する各種ボタン（照合ルール作成ボタン、ワークフローデータ登録／更新ボタン、ルート情報付与ボタン、データ検索ボタン、実行ボタン等）を備えるメニュー画面が表示される。

このメニュー画面より、ユーザＡによって、例えばワークフローデータ登録・更新ボタンが操作されると、照合ルール作成装置８によって、照合ルールを照合ルール格納部１２に登録するための照合ルール登録画面が表示画面に表示される。この照合ルール登録画面には、大小／上下比較、絶対値比較の記号と照合対象項目等のボタン群が備えられており、これらのボタンを操作、及び必要な値をキー入力することで照合ルールを作成できる（Ｓ２３）。
照合ルールを作成後、実行ボタンをマウスなどでクリック操作することで、照合ルール登録画面で作成された照合ルールが照合ルール作成装置８によって照合ルール格納部１２に登録される（Ｓ２４）。

（データセキュリティ属性付与動作）
ワークフローデータに対するルート情報の付与動作について説明する。
この場合、上記メニュー画面より、ユーザＡによって、例えばルート情報付与ボタンが操作されると、ユーザＩＤを含むアクセス要求がルート情報付与装置１６に発行され、ルート情報付与装置１６によって、ルート情報を付与するためのルート情報付与画面が表示画面に表示される。このルート情報付与画面には、指定したワークフローデータに対して回覧ルートを決定する条件となるルート情報を付与するための入力欄、実行ボタン等が設けられている。入力欄としては、対象ワークフローデータの名称を指定する欄とその参照ボタン、申請者、承認者、管理部署、役職、資格等を入力する欄が備えられている。

ユーザは、このルート情報付与画面の各入力欄に入力した後、実行ボタンをマウスなどの入力装置でクリック操作すると、権限付与の条件、つまりデータへのアクセス条件となるルート情報（部署、申請者、承認者、役職、資格、管理部署、承認部署等）が該当データに与えられ、データ記憶部４のデータとルート情報格納部１５にそれぞれ対応付けられて記憶される（Ｓ２５）。

（データアクセス動作）
続いて、このデータセキュリティ管理システムによるワークフローデータへのアクセス動作について説明する。
上記メニュー画面より、ユーザＡによって、例えばワークフローデータ検索ボタンが操作されると、ユーザＩＤを含むアクセス要求がデータ検索装置９に発行され、データ検索装置９によって、ワークフローの書類を閲覧するためのデータ検索画面が表示画面に表示される。このデータ検索画面には、回覧中の書類を検索するための検索欄、実行ボタン等が設けられている。

ユーザＡが、データ検索画面の検索欄に、閲覧を希望する書類名を入力した後、実行ボタンをクリック操作すると、データ検索装置９は、アクセス許可判定装置６にアクセス可否の判定要求コマンドを送る（Ｓ２６）。この判定要求コマンドにはユーザＩＤが含まれている。
アクセス許可判定装置６は、データ検索装置９からの判定要求コマンドが受信されと、判定要求コマンドに含まれているユーザＩＤを抽出し、ユーザ認証により既に判明しているユーザＡの個人情報（利用者の部署、役職、資格等の個人属性）を個人情報格納部２より読み出し（Ｓ２７）、さらにユーザＩＤを持つルート情報をルート情報格納部１５より取得する（Ｓ２８）。
また、アクセス許可判定装置６は、人事異動や部署の統廃合により所属部署の変更が生じた場合等を考慮するため、部署変換装置１０に対してユーザＩＤによる問い合わせ要求を行い、部署変換装置１０は、この問い合わせ要求に対してユーザＩＤを基にユーザの現在の部署を旧部署に変換して旧部署を通知する（Ｓ２９）。
つまり、部署変換装置１０は、現在の部署とデータの適用年月を基にユーザを過去の部署に対応付ける。これは、現在のユーザＡの所属部署で判定した場合に過去のデータがアクセス不可とならないようにするためである。部署変換装置１０は、変換したユーザの旧部署をアクセス許可判定装置６へ送り、過去の部署の属性を持つデータに対するアクセス権を判定させる。

アクセス許可判定装置６は、個人情報格納部２より取得したユーザＡの個人属性と、部署変換装置１０より出力されたユーザの旧部署と、ルート情報格納部１５より取得したルート情報とを照合し、それぞれデータが合致した場合、照合ルール格納部１２に格納されている複数のワークフロールールの中からユーザＩＤに該当する一つのワークフロールールを選定して読み出して（Ｓ３０）、読み出したワークフロールールに該当データをパラメータとして設定して、そのワークフロールールを解釈し、ワークフロールールが正しいか否かでワークフローで回覧される書類に対するユーザＡのアクセス権限の有無を判定する。
この判定の結果、該当書類に対するアクセス権限があり、該当書類へのアクセスを許可する場合、アクセス許可判定装置６は、その書類について閲覧を許可する通知をワークフローデータ記憶部１４とデータ検索装置９へ行う（Ｓ３１）。
この検索許可の通知により、ワークフローデータ記憶部１４の該当ワークフローデータ、つまり書類はアクセス可能となり、データ検索装置９は、ワークフローデータ記憶部１４に対してアクセスし、該当ワークフローデータをワークフローデータ記憶部４から読み出してデータ検索画面に書類を表示する（Ｓ３２）。
また、該当ワークフローデータに対するアクセス権限がない場合、閲覧不可の通知がアクセス許可判定装置６からデータ検索装置９へ返信されるので、データ検索装置９は、権限がなく閲覧不可である旨のメッセージをデータ検索画面に表示する。

つまり、ユーザがワークフローデータにアクセスする際には、アクセス許可判定装置６が、ユーザの個人属性とルート情報とを照合し、複数設定されている中から該当ユーザＩＤを持つ一つのワークフロールールを選定し、選定したワークフロールールに従いワークフローデータ記憶部１４のワークフローデータへのユーザのアクセス権限を判定し、アクセス権限があり、ワークフローデータに対してアクセス可能であれば、そのワークフローデータについて閲覧を許可し、それ以外であれば閲覧を不許可とする。
例えばアクセス許可判定装置６がユーザの個人属性と、ユーザの旧部署と、ルート情報とを照合した結果、図５に示した照合ルールにおいては、アクセス許可判定装置６が「ワークフロールール１」を選定した場合、図６に示すワークフローデータ記憶部１４のデータ１とデータ２がアクセス可能となる。また、「ワークフロールール２」を選定した場合、データ１のみがアクセス可能となる。
さらに、ユーザＡの旧部署がＹＹ年Ｙ月〜ＹＹ年データセキュリティ管理システム月まで部署Ｘであった場合、ＹＹ年Ｙ月〜ＹＹ年データセキュリティ管理システム月までの部署Ｘのデータ（データ４）についてもアクセス可能となる。

このようにこの第２実施形態のデータセキュリティ管理システムによれば、ワークフローデータに企業組織で書類を回覧するルート情報を付与し、アクセス許可判定装置６がデータアクセスを希望するユーザの個人情報とワークフローのルート情報とを照合して複数の中から照合ルールを選定しアクセス権限を判定するので、ワークフローで回覧される書類に対して、承認者か管理者かに応じた閲覧を行えるようになり、一定のセキュリティレベルで業務を流すことができる。

すなわち、アクセス許可判定装置６が利用者の個人情報（ユーザＩＤ）とルート情報の申請者・承認者との照合を行い、アクセス権限を判定するので、ワークフローデータに対するセキュリティを向上することができる。また、利用者の所属する部署と申請部署・承認部署・管理部署とを照合してアクセス権限を判定するので、ワークフローデータに対するセキュリティを向上することができる。さらに、利用者の役職・資格よりアクセス権限を判定するので、ワークフローデータに対するセキュリティを向上することができる。

また、ルート情報付与装置１６を設けたことにより、アクセス対象のワークフローデータに対して、閲覧までか、署名ができか、などの条件となるルート情報（申請者、承認者、管理部署等）を与えることができる。
また、部署変換装置１０を設けたことにより、ユーザＡの現在の部署を過去の部署（旧部署）に変換することで、人事異動や部署の統廃合により所属部署の変更が生じた場合にもユーザは、必要に応じて過去のデータを参照することができる。

本発明に係る第１実施形態のデータセキュリティ管理システムの構成を示す図。 図１のデータセキュリティ管理システムにおいて照合ルール格納部に格納されている部署ルールの一例を示す図。 図１のデータセキュリティ管理システムの動作を説明するための図。 本発明に係る第２実施形態のデータセキュリティ管理システムの構成を示す図。 図４のデータセキュリティ管理システムにおいて照合ルール格納部に格納されているワークフロールールの一例を示す図。 図４のデータセキュリティ管理システムの動作を説明するための図。

符号の説明

１…個人認証装置、２…個人情報格納部、３…データセキュリティ付与装置、４…データ記憶部、５…データセキュリティ属性格納部、６…アクセス許可判定装置、７…照合ルール格納部、８…照合ルール作成装置、９…データ検索装置、１０…部署変換装置、１１…データ登録・更新装置、１２…照合ルール格納部、１３…ワークフローシステム、１４…ワークフローデータ記憶部、１５…ルート情報格納部、１６…ルート情報付与装置。

Claims (3)

1. 利用者個人を特定する利用者識別情報を含むアクセス要求で読み出し可能なデータを記憶したデータ記憶手段と、
   利用者の個人情報として利用者識別情報毎に現在の部署、役職、資格を格納した個人情報格納手段と、
   前記データ記憶手段に記憶されている各データに対して付与されたアクセス条件として利用者の部署、役職、資格を格納したアクセス条件格納手段と、
   利用者からアクセス要求のあったデータを利用者がアクセス可能か否かを判定するための条件式を利用者識別情報毎に格納した条件式格納手段と、
   利用者の現在の部署と旧部署との切り替え時期が設定され、利用者識別情報に基づいて利用者の旧部署を出力する部署変換手段と、
   前記アクセス要求に含まれる利用者識別情報を基に前記個人情報格納手段より読み出した個人情報と、前記部署変換手段より出力された利用者の旧部署と前記アクセス条件格納手段に記憶されているアクセス条件とを照合し、合致したデータを前記条件式格納手段に格納されている該当利用者の条件式のパラメータとして設定して、アクセス要求されたデータに対する利用者のアクセス権限を判定するアクセス権限判定手段と、
   前記アクセス権限判定手段によりアクセス権限があるものと判定されたデータを該当利用者からアクセス可能とするデータアクセス手段と
   を具備したことを特徴とするデータセキュリティ管理システム。
2. コンピュータに処理を実行させるプログラムであって、
   前記コンピュータを、
   利用者個人を特定する利用者識別情報を含むアクセス要求で読み出し可能なデータを記憶したデータ記憶手段と、
   利用者の個人情報として利用者識別情報毎に現在の部署、役職、資格を格納した個人情報格納手段と、
   前記データ記憶手段に記憶されている各データに対して付与されたアクセス条件として利用者の部署、役職、資格を格納したアクセス条件格納手段と、
   利用者からアクセス要求のあったデータを利用者がアクセス可能か否かを判定するための条件式を利用者識別情報毎に格納した条件式格納手段と、
   利用者の現在の部署と旧部署との切り替え時期が設定され、利用者識別情報に基づいて利用者の旧部署を出力する部署変換手段と、
   前記アクセス要求に含まれる利用者識別情報を基に前記個人情報格納手段より読み出した個人情報と、前記部署変換手段より出力された利用者の旧部署と前記アクセス条件格納手段に記憶されているアクセス条件とを照合し、合致したデータを前記条件式格納手段に格納されている該当利用者の条件式のパラメータとして設定して、アクセス要求されたデータに対する利用者のアクセス権限を判定するアクセス権限判定手段と、
   前記アクセス権限判定手段によりアクセス権限があるものと判定されたデータを該当利用者からアクセス可能とするデータアクセス手段
   として機能させることを特徴とするプログラム。
3. 利用者がコンピュータに利用者識別情報を入力してログインし、データ記憶手段に記憶されているアクセス対象のデータにアクセスするためのデータセキュリティ管理方法において、
   利用者からのアクセス要求に含まれる利用者識別情報に基づいて、アクセス権限判定手段が個人情報格納手段より個人情報を読み出すステップと、
   前記利用者識別情報に基づいて、アクセス要求のデータを利用者がアクセス可能か否かを判定するための条件式を前記アクセス権限判定手段がアクセス条件格納手段から読み出すステップと、
   前記利用者識別情報に基づいて、前記部署変換手段が利用者の現在の部署を旧部署に変換するステップと、
   前記アクセス権限判定手段が個人情報格納手段より読み出した個人情報と、前記部署変換手段より変換した利用者の旧部署と前記アクセス条件格納手段に記憶されているアクセス条件とを照合し、合致したデータを条件式格納手段に格納されている該当利用者の条件式のパラメータとして設定して、アクセス要求されたデータに対する利用者のアクセス権限を判定するステップと、
   前記アクセス権限判定手段がアクセス権限があるものと判定した前記データ記憶手段のデータをデータアクセス手段が該当利用者からアクセス可能とするステップと
   を有することを特徴とするデータセキュリティ管理方法。

Images