JP4453570B2 - 連携制御装置 - Google Patents

Description

本発明は、低度セキュリティレベル領域から、高度セキュリティレベル領域への入室管理、及び高度セキュリティレベル領域における情報管理に関し、詳しくは、入室管理を担う設備系ネットワークと、情報管理を担う情報系ネットワークとの連携を図る連携制御装置に関する。

機密情報を扱うことの多い企業や、企業内の特定の部署などでは、機密情報を扱う従事者の入室を管理する入室管理システムを適用することで、機密情報の漏洩を事前に防止するようにしている。

一般に入室管理システムは、ユーザに与えられたＩＣ（Integrated Circuit）カードに組み込まれたユーザＩＤ（IDentification）や、生体情報（指紋、虹彩、声紋など）といった、ユーザを一意に特定する情報を用いて入室管理用のホストコンピュータにより個人認証を行い、登録された正当なユーザであることが認証された場合に、施錠された入室用のドアを解錠することで、機密情報を扱う高度セキュリティレベル領域内への入室を許可する、というような管理を行っている。

ところで、上述した機密情報は、入室管理システムとは別のネットワークにて構築された機密情報管理システムによって管理がなされており、入室管理がなされている領域内に設置された情報端末装置から機密情報管理用のホストコンピュータへのアクセスに応じて利用可能となる。この機密情報管理用のホストコンピュータへアクセスする場合には、上述した入室管理システムにおける個人認証と同様の認証処理が要求されることになる。

このように、入室管理システムと、機密情報管理システムとは、全く別のネットワークで構築されているため、機密情報を利用するまでには、２度の認証処理が必要になるなど、ユーザにとって非常に煩雑な操作が要求されていた。

そこで、このような入室管理システムと、機密情報管理システムとの連携が求められており、機密情報を扱う領域内への入室時の認証処理と、入室後の情報端末装置の使用開始時の認証処理とを関連付ける手法が考案されている（例えば、特許文献１、特許文献２参照。）。

また、特許文献１、特許文献２で考慮されていなかった、入室してから情報端末装置へログオンするまでの時間経過によって生ずる問題への対処、退室時における情報端末装置のログオフ忘れへの対処を実現する手法も考案されている（例えば、特許文献３参照。）。
特開２０００−２５９８７８号公報 特開２００２−４１４６９号公報 特開２００４−３０２８７５号公報

しかしながら、特許文献１，２，３で開示されている技術は、いずれの場合も、入室管理システムと、機密情報管理システムとの連携を行うために、個別に構築されていたネットワークを、同一のネットワークに接続するような構成となっている。

機密情報管理システムは、外部のネットワークへ接続する場合もあり、第三者による不正なアクセスや、ウィルス感染の危険性を含んでいる。機密情報管理システムは、このような外部のネットワークへの接続があらかじめ考慮されているため、十分な対策が施されている。一方、入室管理システムにおいては、外部のネットワークとの接続が元々考慮されていなかった。

したがって、入室管理システムと、機密情報管理システムとを、同一のネットワークとなるように接続すると、入室管理システムが、不正なアクセスやウィルス感染にさらされる危険性が高くなり、しかも、これらに対処することができないといった問題がある。

また、入室管理システムと、機密情報管理システムとは、それぞれ独自のプロトコルを用いた通信が行われる場合があるため、同一のネットワークを構築した場合、通信負荷が不必要にかかってしまうことがあり、なんらかの負荷対策を施さねばならないといった問題がある。

さらに、また、入室管理システム、又は機密情報管理システムの何れかで、ネットワーク障害が発生した場合、入室管理システム及び機密情報管理システムは、同一のネットワークに接続されているため、障害回復のためには大規模なネットワーク全体を検証する必要がある。したがって、ネットワーク管理者にとって非常に管理が困難な、ネットワークシステムとなってしまうといった問題がある。

そこで、本発明は、上述したような問題を解決するために案出されたものであり、入退室管理システムのネットワークである設備系ネットワークと、機密情報管理システムのネットワークである情報系ネットワークとを、それぞれ個別に切り分けて管理可能とすると同時に、ネットワーク同士を適切に連携することができる連携制御装置を提供することを目的とする。

本発明は、上述の課題を解決するために、ユーザを一意に特定する第１の被認証情報に基づいた認証処理結果に応じて、低度セキュリティレベル領域から高度セキュリティレベル領域への入室を管理する設備系ネットワークと、上記高度セキュリティレベル領域に構築され、上記ユーザを一意に特定する第２の被認証情報に基づいた認証処理結果に応じて、上記ユーザの当該情報系ネットワークへのアクセス制限をする情報系ネットワークとを相互に連携させる連携制御装置であって、上記設備系ネットワークにおいて、上記低度セキュリティレベル領域から上記高度セキュリティレベル領域への入室時に、上記第１の被認証情報を読み取る入室用読み取り機器の入室用機器ＩＤ（IDentification）及び上記第１の被認証情報と、上記第２の被認証情報とを対応づけて格納する記憶手段と、上記設備系ネットワークから送信される上記第１の被認証情報及び上記入室用機器ＩＤとから、対応する上記第２の被認証情報を上記記憶手段から取得する情報取得手段と、上記低度セキュリティレベル領域から、上記高度セキュリティレベル領域への入室時において、上記情報取得手段によって取得された上記第２の被認証情報を含み、上記情報系ネットワークにおいて管理される上記ユーザの上記情報系ネットワークへのアクセス権限であるアカウントを有効化させる有効情報を、上記アカウントを管理する上記情報系ネットワークに設けられたアカウント管理手段に送信するよう制御する制御手段とを備えることを特徴とする。

本発明の連携制御装置は、設備系ネットワーク、情報系ネットワークをそれぞれ切り分けて管理可能とすると共に、設備系ネットワークにおける認証処理に用いる第１の被認証情報と、上記第１の被認証情報を読み出す入室用読み取り機器の入室用機器ＩＤと、情報系ネットワークにける認証処理に用いる第２の被認証情報とを関連付けて、記憶手段に格納し、第１の被認証情報の認証処理結果に応じて、第２の被認証情報が取得され、情報系ネットワークへのアクセス権限が得られるように連携を図ることで、設備系ネットワークと、情報系ネットワークとがそれぞれ閉じたネットワークであることの利点である、第三者、又は他の正規ユーザによるネットワークを介した不正なアクセスや、ウィルス感染といったネットワークを介しての危険を回避しつつ、連携を図ることによる認証処理の利便性及び高度セキュリティレベル領域への不正な侵入、情報漏洩を防止し、セキュリティを強化することを可能とする。

また、連携制御装置は、関連付けられた上記第１の被認証情報と、退室時に上記第１の被認証情報を読み出す退室用読み取り機器の退室用機器ＩＤと、上記第２の被認証情報とを用いて、上記第１の被認証情報の認証処理結果に応じて、上記第２の被認証情報が取得され、情報系ネットワークへのアクセス権限が消失するように連携を図ることで、高度セキュリティレベル領域からのユーザ退室後の情報漏洩を防止することができる。

以下、本発明の実施の形態について図面を参照して説明する。

［第１の実施の形態］
まず、図１を用いて、本発明の第１の実施の形態として示す情報漏洩防止システムについて説明をする。図１に示すように、情報漏洩防止システムは、設備系ネットワーク１０と、情報系ネットワーク２０とが連携制御装置３０によって相互に接続されて構成されている。

設備系ネットワーク１０は、セキュリティレベルの低い領域（低度セキュリティレベル領域）から、機密情報などを扱うセキュリティレベルの高い領域（高度セキュリティレベル領域）への侵入を管理する。設備系ネットワーク１０では、高度セキュリティレベル領域への入室を希望するユーザ全てに対して、又、高度セキュリティレベル領域から退出を希望するユーザ全てに対して認証処理を行い、あらかじめ登録された正当なユーザのみを認証して上記領域への入室、上記領域からの退出を許可する。

情報系ネットワーク２０は、設備系ネットワーク１０で管理される高度セキュリティレベル領域内に構築されたネットワークである。情報系ネットワーク２０では、例えば、機密情報などを管理しており、認証されたユーザに対してのみ、ネットワークに接続された情報端末装置からのログオンを認め、機密情報へのアクセスを許可する。

この設備系ネットワーク１０と、情報系ネットワーク２０とは、それぞれ互いに切り分けられて独立したネットワークであり、それぞれ独自に管理することができる。連携制御装置３０は、このような設備系ネットワーク１０と、情報系ネットワーク２０との相互連携を図ることで、高度セキュリティレベルにて管理される機密情報の外部漏洩を防止しながら、高度セキュリティレベル領域におけるユーザの作業が円滑に進むよう支援をする。

続いて、図１を用いて、情報漏洩防止システムを構成する設備系ネットワーク１０、情報系ネットワーク２０、連携制御装置３０の構成について説明をする。

（設備系ネットワーク１０の構成）
まず、設備系ネットワーク１０の構成について説明をする。設備系ネットワーク１０は、ハブ１１に接続された複数のコントロールユニット１２と、各コントロールユニット１２の下にハブ１３を介して接続された複数のゲートウェイユニット１４とを備えている。

各コントロールユニット１２は、設備系ネットワーク１０において実行される高度セキュリティレベル領域、低度セキュリティレベル領域の入退室の管理を制御する最小単位である。各コントロールユニット１２は、同じくハブ１１に接続された汎用型のＰＣ（Personal Computer）である管理用ＰＣ１８によって統括的に制御される。設備系ネットワーク１０を管理する管理者は、この管理用ＰＣ１８から各コントロールユニット１２による入退室処理のエラーを検出し管理することになる。

このように、設備系ネットワーク１０では、複数のコントロールユニット１２による入退室管理により入退室管理処理を分散することで、設備系ネットワーク１０全体における稼働率を大幅に向上させると共に、設備系ネットワーク１０を小規模とした場合にも、設置環境に応じてコントロールユニット１２の組み合わせを適宜変えることで、容易に適用することができるようになる。また、専用の管理装置も必要としない。

設備系ネットワーク１０を大規模対応とする場合は、管理用ＰＣ１８に代えて、専用の管理装置として図１に点線で示したようなセンタ装置１９を設けるようにする。

各ゲートウェイユニット１４の下には、高度セキュリティレベル領域外に設けられ、高度セキュリティレベル領域へ入室する際に、ユーザが所有するＩＣカードの半導体メモリ内に格納された情報を読み取る入室用カードリーダ１５と、高度セキュリティレベル領域内に設けられ、高度セキュリティレベル領域から退室する際に、ＩＣカードの上述した情報を読み取る退室用カードリーダ１６とが複数接続されている。

ユーザが所有するＩＣカードは、例えば、非接触のＩＣカードなどであり、入室用カードリーダ１５又は退室用カードリーダ１６との間で電波／電磁波を利用することで、非接触で情報の読み出しや書き込みを行うことができる。

また、ゲートウェイユニット１４は、低度セキュリティレベル領域から高度セキュリティレベル領域へ入室する際、又は高度セキュリティレベル領域から低度セキュリティレベル領域へ退出する際の出入り口に設けられ、２つの領域を隔てるドア（扉）を電気的な作用により施錠、解錠することができる電気錠１７に接続されている。電気錠１７は、通常、ドア（扉）を施錠している。

この低度セキュリティレベル領域、高度セキュリティレベル領域とを隔てるドア（扉）は、例えば、部屋と部屋とを仕切るドア（扉）であってもよいし、エレベータのドア（扉）などであってもよい。

ゲートウェイユニット１４は、入室用カードリーダ１５又は退室用カードリーダ１６によって読み出されたＩＣカードの情報のうち、当該ＩＣカードを一意に特定する被認証情報であるカードＩＤを取得し、このカードＩＤが、あらかじめ登録されているカードＩＤかどうかの認証処理を行う。ゲートウェイユニット１４は、カードＩＤが、あらかじめ登録された正当なカードＩＤであると認証した場合に、施錠された電気錠１７を所定の時間だけ解錠するように制御する。一方、ゲートウェイユニット１４は、カードＩＤが、あらかじめ登録された正当なカードＩＤでない場合には、施錠された電気錠１７をそのままにし、例えば、図示しない警報装置といった通知手段を制御して、認証処理結果がエラーであることをユーザに通知する。

ゲートウェイユニット１４は、入退室処理における処理負荷が増大することを防ぐため、１つのゲートウェイユニット１４で、例えば、入室用カードリーダ１５、退室用カードリーダ１６、電気錠１７とからなる入退室処理に必要なユニットを、最大でも、例えば、４ユニットだけ受け持つようにする。

設備系ネットワーク１０は、ハブ１１を介したコントロールユニット１２によって連携制御装置３０と、通信をすることになるが、通信される情報量がそれほど多くないため、連携制御装置３０との通信では、例えば、イーサネット（登録商標）の通信規格である１０ＢＡＳＥ−Ｔといった比較的低速度の通信で賄うことができる。

（情報系ネットワーク２０の構成）
続いて、情報系ネットワーク２０の構成について説明をする。情報系ネットワーク２０は、トラフィックが増大する当該情報系ネットワーク２０において連携制御装置３０との通信を制御するスイッチングハブ２１と、スイッチングハブ２１に接続された、高度セキュリティレベル領域に入室したユーザによって操作される情報端末装置である複数のクライアントＰＣ（Personal Computer）２２と、ＡＣＬ（Access Control List）サーバ２４とを備えている。

各クライアントＰＣ２２には、高度セキュリティレベル領域に入室したユーザが所有するＩＣカードの半導体メモリ内に格納されている情報を読み取るカードリーダ２３が接続されている。ユーザは、クライアントＰＣ２２を起動して、例えば、情報系ネットワーク２０内でアクセスが管理されている機密情報などを閲覧、利用、使用する場合などに、カードリーダ２３からＩＣカードに格納されているカードＩＤを読み取り、認証処理することを要求される。

ＡＣＬサーバ２４は、情報系ネットワーク２０にアクセス可能とする、あらかじめ登録されたユーザのアカウントを登録しているサーバであり、情報系ネットワーク２０にアクセスをするユーザの管理を行っている。ＡＣＬサーバ２４に登録されているアカウントは、通常時、無効とされており、連携制御装置３０からアカウントを有効とする旨が通知されたことに応じて有効とされる。つまり、ＡＣＬサーバ２４は、連携制御装置３０からの通知に応じて、情報系ネットワーク２０にアクセスを許可するようユーザを管理している。

したがって、ＡＣＬサーバ２４が、例えば、アカウントを有効にする旨を受け取っていない状態では、クライアントＰＣ２２から情報系ネットワーク２０にログオンすることはできない。

また、ＡＣＬサーバ２４は、ログサーバとしても機能しており、アカウントが有効にされたユーザから、クライアントＰＣ２２を介して情報系ネットワーク２０にアクセスがあった場合に、そのログを記録する。このログサーバは、必ずしもＡＣＬサーバ２４と同一に構成させなくてもよく、連携制御装置３０に、ログサーバの機能をもたせるようにしてもよい。

ＡＣＬサーバ２４には、情報系ネットワーク２０のネットワーク管理者のみが所有する管理者用ＩＣカード内の半導体メモリに格納されている情報を読み取るカードリーダ２５が接続されている。ネットワーク管理者は、例えば、メンテナンスや、セキュリティ管理のためにＡＣＬサーバ２４に格納されているユーザのアカウント情報や、ログサーバに記録されているログを参照する場合など、カードリーダ２５からネットワーク管理者が所有するＩＣカードに格納されているカードＩＤを読み取り、認証処理することを要求される。

情報系ネットワーク２０は、スイッチングハブ２１を介して連携制御装置３０と、通信をすることになるが、設備系ネットワーク１０と較べて通信される情報量が多くなりトラフィックが増大するため、連携制御装置３０との通信では、例えば、イーサネット（登録商標）の通信規格である１００ＢＡＳＥ−ＴＸといった高速度の通信を行うことが望ましい。

連携制御装置３０は、設備系ネットワーク１０と、情報系ネットワーク２０との連携を図るために設けられた装置である。この連携制御装置３０が実行する設備系ネットワーク１０と、情報系ネットワーク２０との連携とは、設備系ネットワーク１０と、情報系ネットワーク２０という既存のネットワークを閉じた系として管理可能としながらも、相互に情報をやり取りすることで、セキュリティを強固なものとするような連携である。

連携制御装置３０は、設備系ネットワーク１０による認証処理結果に応じて、情報系ネットワーク２０へのアクセスを許可するように連携を図る。具体的には、連携制御装置３０は、図示しない記憶部を備え、この記憶部内に格納されている設備系ネットワーク１０と、情報系ネットワーク２０とを連携するために、ユーザが所有するＩＣカードの半導体メモリ内に格納されている当該ＩＣカードを一意に特定するカードＩＤと、設備系ネットワーク１０に構成されている全ての入室用カードリーダ１５、退室用カードリーダ１６をそれぞれ一意に特定する機器ＩＤであるリーダＩＤと、情報系ネットワーク２０において、ユーザを一意に特定する被認証情報であるユーザＩＤとを対応付けたテーブルを用いて、設備系ネットワーク１０と、情報系ネットワーク２０との連携を図っている。

連携制御装置３０が備える記憶部に格納されているテーブルは、例えば、図２（ａ），（ｂ）に示すような２つのテーブルである。

図２（ａ）に示すテーブルは、入室用カードリーダ１５、退室用カードリーダ１６の機器ＩＤである各リーダＩＤ毎に、当該入室用カードリーダ１５、退室用カードリーダ１６を管理するゲートウェイユニット１４の管轄となる高度セキュリティレベル領域に入室可能とされたＩＣカードに与えられたカードＩＤが対応付けらたテーブルである。つまり、図２（ａ）に示すテーブルは、高度セキュリティレベル領域と、低度セキュリティレベル領域との入退室口に取り付けられた入室用カードリーダ１５、退室用カードリーダ１６と、入退室可能なＩＣカードとを関係付けるテーブルである。

一つのカードＩＤは、複数の入室用カードリーダ１５、複数の退室用カードリーダ１６に登録されるため、図２（ａ）に示すように、一つのカードＩＤが、複数のリーダＩＤと対応付けられることになる。

図２（ｂ）に示すテーブルは、設備系ネットワーク１０において、ユーザを一意に特定するために用いるＩＣカードの半導体メモリ内に格納された被認証情報であるカードＩＤと、情報系ネットワーク２０において、ユーザを一意に特定する被認証情報であるユーザＩＤとを対応づけたテーブルである。

連携制御装置３０は、設備系ネットワーク１０のコントロールユニット１２を介して入室情報として、リーダＩＤと、カードＩＤとを受け取ると、図２（ａ）に示すテーブルからリーダＩＤと、カードＩＤとが対応しているかどうか判定をする。そして、対応している場合に、図２（ｂ）に示すテーブルを用いて、カードＩＤに対応するユーザＩＤを取得し、このユーザＩＤに対応するアカウントを有効にするように情報系ネットワーク２０に通知する。

リーダＩＤと、カードＩＤとの対応がとれない場合には、連携制御装置３０は、設備系ネットワーク１０と、情報系ネットワーク２０との連携をとらないため、ユーザは、高度セキュリティレベル領域に入室したとしても情報系ネットワーク２０へのアクセス権限が与えられないことになる。

また、連携制御装置３０は、上述したＡＣＬサーバ２４に与えられる、情報系ネットワーク２０でのクライアントＰＣ２２からのアクセスログを記録するログサーバの機能を備えるようにしてもよい。このように連携制御装置３０が、ログサーバの機能を備えた場合の処理動作については、後述するタイミングチャートを用いた連携制御装置３０の連携処理動作にて適宜説明をする。

次に、このような構成の情報漏洩防止システムにおいて、ユーザが、低度セキュリティレベル領域から高度セキュリティレベル領域へ入室し、高度セキュリティレベル領域内でのクライアントＰＣ２２から情報系ネットワーク２０へログオン後、ログオフし、高度セキュリティレベル領域から低度セキュリティレベル領域へと退室するまでの一連の動作についてタイミングチャートを用いて説明をする。

｛第１の連携処理動作｝
まず、設備系ネットワーク１０におけるユーザの認証結果に応じて、連携制御装置３０が、ＡＣＬサーバ２４の情報系ネットワーク２０におけるユーザのアカウントを有効とすることで連携を図る第１の連携処理動作について説明をする。

（高度セキュリティレベル領域への入室処理）
高度セキュリティレベル領域への入室処理は、設備系ネットワーク１０による管理によって実行される。まず、ユーザは、所有するＩＣカードを、入室用カードリーダ１５からの電波を受信可能な位置まで運び、半導体メモリ内に格納されているカードＩＤを読み取らせる（ステップＳ１）。

入室用カードリーダ１５は、ＩＣカードからカードＩＤを読み取り、ゲートウェイユニット１４へ送信する（ステップＳ２）。

ゲートウェイユニット１４は、送信されたカードＩＤと、あらかじめ登録されているカードＩＤとを照合して設備系ネットワーク１０における認証処理を行う。ゲートウェイユニット１４は、送信されたカードＩＤと、登録されているカードＩＤとが一致した場合、このカードＩＤを認証し、施錠されている電気錠１７を解錠することで入室を許可する（ステップＳ３）。

一方、カードＩＤが一致せず、認証されなかった場合には、ゲートウェイユニット１４は、低度セキュリティレベル領域側に設けられている、例えば、図示しない警報装置や、液晶ディスプレイなどを介して、認証されなかった旨を示すエラー通知を出力させるように制御する。

ゲートウェイユニット１４は、送信されたカードＩＤを認証した場合には、ユーザが低度セキュリティレベル領域から高度セキュリティレベル領域へと入室したことを示すログを、当該ゲートウェイユニット１４内に記録する（ステップＳ４）。また、ゲートウェイユニット１４は、送信されたカードＩＤを認証した場合には、このカードＩＤと、当該ゲートウェイユニット１４を一意に特定する機器ＩＤであるリーダＩＤとを入室情報として、コントロールユニット１２に送信する。そして、コントロールユニット１２が、この入室情報を連携制御装置３０に通知する（ステップＳ５）。

連携制御装置３０は、ゲートウェイユニット１４から、通知された入室情報を用いて、図示しない記憶部に格納されている、図２を用いて説明したような、カードＩＤと、リーダＩＤと関連付けたテーブル、カードＩＤと、情報系ネットワーク２０における認証処理用にあらかじめ登録されているユーザＩＤとを関連付けたテーブルとを用いて、リーダＩＤ、カードＩＤ、ユーザＩＤとの整合をとる。つまり、連携制御装置３０は、図２（ａ）に示すテーブルを用いて、入室情報として送信されたリーダＩＤと、カードＩＤとが認められた正しい組み合わせであるかを検証し、正しい組み合わせであるとされた場合には、図２（ｂ）に示すテーブルを用いて、カードＩＤに対応するユーザＩＤを取得する（ステップＳ６）。

さらに、連携制御装置３０は、取得したユーザＩＤを添付した、情報系ネットワーク２０のＡＣＬサーバ２４に登録されているユーザのアカウントを有効化させる有効情報を、スイッチングハブ２１を介してＡＣＬサーバ２４に送信する（ステップＳ７）。

これにより、高度セキュリティレベル領域へ入室したユーザの情報系ネットワーク２０におけるアカウントが有効となり、当該ユーザは、情報系ネットワーク２０へのアクセス権限を獲得したことになる。

（ログオン処理）
高度セキュリティレベル領域へ入室したユーザは、まずクライアントＰＣ２２を起動させる（ステップＳ１１）。そして、クライアントＰＣ２２を起動させた後、カードリーダ２３に、ＩＣカードをセットして、クライアントＰＣ２２にログオン要求をする。カードリーダ２３は、セットされたＩＣカードからカードＩＤを読み出しクライアントＰＣ２２へと送信する（ステップＳ１２）。

クライアントＰＣ２２は、カードリーダ２３から読み出されたカードＩＤを用いて、ＡＣＬサーバ２４にログオン許可要求をする（ステップＳ１３）。

ＡＣＬサーバ２４は、送信されたカードＩＤを認証し、認証された場合にクライアントＰＣ２２からのログオン許可をする（ステップＳ１４）。これに応じて、クライアントＰＣ２２は、どのユーザが、いつ、どのクライアントＰＣ２２からログオンしたのかを記録するために、ユーザＩＤを含むログオン情報のログをＡＣＬサーバ２４のログサーバに送信する（ステップＳ１５）。クライアントＰＣ２２は、例えば、表示画面上に、ログオンが許可されたことを通知するメッセージを表示させユーザに対してログオンが許可されたことを通知する（ステップＳ１６）。

このようにして、高度セキュリティレベル領域へ入室したユーザは、クライアントＰＣ２２を介して情報系ネットワーク２０へアクセスすることができる。このとき、連携制御装置３０によって、設備系ネットワーク１０と、情報系ネットワーク２０とが連携されることで、例えば、正規のユーザＡが、他の正規のユーザＢと一緒に入室する場合などにおいて、ユーザＡがＩＣカードを使用しないで入室した時は、クライアントＰＣ２２にアクセス権限があってもログオンできないことになり、より正確なアクセス管理ができるようになる。

また、高度セキュリティレベル領域へ正当に入室しようとしたユーザによって電気錠１７が解錠されたドア（扉）から、隙をみて不正に侵入した第三者がクライアントＰＣ２２へアクセスしたとしても、アクセス権限がないため不正なアクセスを防止することができる。

したがって、設備系ネットワーク１０と、情報系ネットワーク２０とを、それぞれ互いに閉じた系として、独自に管理可能としながらも、連携制御装置３０による連携によって非常に高いセキュリティを確保することができる。

（ログオフ処理）
高度セキュリティレベル領域から退室する場合、ユーザは、まずクライアントＰＣ２２からのログオンをログオフすることになる。

ユーザは、クライアントＰＣ２２に対して終了要求をする（ステップＳ２１）。終了要求を受けたクライアントＰＣ２２は、どのユーザが、いつ、どのクライアントＰＣ２２からログオフしたのか記録するために、ユーザＩＤを含むログオフ情報をＡＣＬサーバ２４のログサーバに送信する（ステップＳ２２）。これにより、クライアントＰＣ２２は、情報系ネットワーク２０からログオフされ、シャットダウンする（ステップＳ２３）。

（高度セキュリティレベル領域からの退室処理）
ユーザは、ログオフが完了した後、高度セキュリティレベル領域から低度セキュリティレベル領域へと退室する。

高度セキュリティレベル領域からの退室処理は、設備系ネットワーク１０による管理によって実行される。まず、ユーザは、所有するＩＣカードを、退室用カードリーダ１６からの電波を受信可能な位置まで運び、半導体メモリ内に格納されているカードＩＤを読み取らせる（ステップＳ４１）。

退室用カードリーダ１６は、ＩＣカードからカードＩＤを読み取り、ゲートウェイユニット１４へ送信する（ステップＳ４２）。

ゲートウェイユニット１４は、送信されたカードＩＤと、あらかじめ登録されているカードＩＤとを照合して設備系ネットワーク１０における認証処理を行う。ゲートウェイユニット１４は、送信されたカードＩＤと、登録されているカードＩＤとが一致した場合、このカードＩＤを認証し、施錠されている電気錠１７を解錠することで退室を許可する（ステップＳ４３）。

一方、カードＩＤが一致せず、認証されなかった場合には、ゲートウェイユニット１４は、高度セキュリティレベル領域側に設けられている、例えば、図示しない警報装置や、液晶ディスプレイなどを介して、認証されなかった旨を示すエラー通知を出力させるように制御する。

ゲートウェイユニット１４は、送信されたカードＩＤを認証した場合には、ユーザが高度セキュリティレベル領域から低度セキュリティレベル領域へと退室したことを示すログを、当該ゲートウェイユニット１４内に記録する（ステップＳ４４）。また、ゲートウェイユニット１４は、送信されたカードＩＤを認証した場合には、このカードＩＤと、当該ゲートウェイユニット１４を一意に特定する機器ＩＤであるリーダＩＤとを退室情報として、コントロールユニット１２に送信する。そして、コントロールユニット１２が、この退室情報を連携制御装置３０に通知する（ステップＳ４５）。

連携制御装置３０は、ゲートウェイユニット１４から、通知された退室情報を用いて、図示しない記憶部に格納されている、図２を用いて説明したような、カードＩＤと、リーダＩＤと関連付けたテーブル、カードＩＤと、情報系ネットワーク２０における認証処理用にあらかじめ登録されているユーザＩＤとを関連付けたテーブルとを用いて、リーダＩＤ、カードＩＤ、ユーザＩＤとの整合をとる。つまり、連携制御装置３０は、図２（ａ）に示すテーブルを用いて、退室情報として送信されたリーダＩＤと、カードＩＤとが認められた正しい組み合わせであるかを検証し、正しい組み合わせであるとされた場合には、図２（ｂ）に示すテーブルを用いて、カードＩＤに対応するユーザＩＤを取得する（ステップＳ４６）。

さらに、連携制御装置３０は、取得したユーザＩＤを添付した、情報系ネットワーク２０のＡＣＬサーバ２４に登録されているユーザのアカウントを無効化させる無効情報を、スイッチングハブ２１を介してＡＣＬサーバ２４に送信する（ステップＳ４７）。

これにより、高度セキュリティレベル領域から退室したユーザの情報系ネットワーク２０におけるアカウントが無効となり、当該ユーザは、情報系ネットワーク２０へのアクセス権限を消失したことになるため、ユーザ退室後の情報漏洩を防止することができる。

｛第２の連携処理動作｝
次に、高度セキュリティレベル領域に一旦入室し、クライアントＰＣ２２から情報系ネットワーク２０へログオンした状態のまま、低度セキュリティレベル領域へと退室しようとする行為を防止する第２の連携処理動作について、上述した第１の連携処理動作をふまえながら説明をする。

このように、情報系ネットワーク２０へログオンした状態のまま、高度セキュリティレベル領域から低度セキュリティレベルへ退室してしまうと、例えば、不正に高度セキュリティレベルに入室した第三者、又は入室を許可された他の正規ユーザによる情報系ネットワーク２０への不正なアクセスを容易に許してしまうことになる。

そこで、ＡＣＬサーバ２４が備えていたログサーバの機能を、連携制御装置３０に与え、図４に示すようなタイミングチャートにて動作させることで、このような行為を防止することができる。

（高度セキュリティレベル領域への入室処理）
第２の連携処理動作における低度セキュリティレベル領域から高度セキュリティレベル領域への入室動作は、図３を用いて説明したステップＳ１〜ステップＳ７までの動作と全く同様であるため、同一ステップ番号を付して説明を省略する。

（ログオン処理）
高度セキュリティレベル領域へ入室したユーザは、まずクライアントＰＣ２２を起動させる（ステップＳ５１）。そして、クライアントＰＣ２２を起動させた後、カードリーダ２３に、ＩＣカードをセットして、クライアントＰＣ２２にログオン要求をする。カードリーダ２３は、セットされたＩＣカードからカードＩＤを読み出しＰＣ２２へと送信する（ステップＳ５２）。

クライアントＰＣ２２は、カードリーダ２３から読み出されたカードＩＤを用いて、ＡＣＬサーバ２４にログオン許可要求をする（ステップＳ５３）。

ＡＣＬサーバ２４は、送信されたカードＩＤを認証し、認証された場合にクライアントＰＣ２２からのログオン許可をする（ステップＳ５４）。これに応じて、クライアントＰＣ２２は、どのユーザが、いつ、どのクライアントＰＣ２２からログオンしたのかを記録するために、ユーザＩＤを含むログオン情報のログを連携制御装置３０のログサーバに送信する（ステップＳ５５）。クライアントＰＣ２２は、例えば、表示画面上に、ログオンが許可されたことを通知するメッセージを表示させユーザに対してログオンが許可されたことを通知する（ステップＳ５６）。

連携制御装置３０は、ログサーバにログオン情報が送信されたことに応じて、図示しない記憶部に格納されている図２（ｂ）に示すようなユーザＩＤと、カードＩＤとを対応づけるテーブルから、送信されたログオン情報に含まれるユーザＩＤと対応するカードＩＤを検索する（ステップＳ５７）。

連携制御装置３０は、検索されたカードＩＤが無効となるように、カードＩＤを含んだ無効情報を、コントロールユニット１２に送信する。そして、コントロールユニット１２が、この無効情報をゲートウェイユニット１４に送信する。これに応じて、ゲートウェイユニット１４は、送信された無効情報に含まれるカードＩＤを無効とする（ステップＳ５８）。

このようにして、高度セキュリティレベル領域へ入室したユーザは、クライアントＰＣ２２を介して情報系ネットワーク２０へアクセスすることができる。このとき、連携制御装置３０によって、設備系ネットワーク１０と、情報系ネットワーク２０とが連携されることで、例えば、高度セキュリティレベル領域へ正当に入室しようとしたユーザによって電気錠１７が解錠されたドア（扉）から、隙をみて不正に侵入した第三者、又は入室を許可された他の正規ユーザがＰＣ２２へアクセスしたとしても、アクセス権限がないため不正なアクセスを防止することができる。

したがって、設備系ネットワーク１０と、情報系ネットワーク２０とを、それぞれ互いに閉じた系として、独自に管理可能としながらも、連携制御装置３０による連携によって非常に高いセキュリティを確保することができる。

さらに、クライアントＰＣ２２から、情報系ネットワーク２０へログオンしている状態のときに、連携制御装置３０によってゲートウェイユニット１４での認証処理が行えないように、ログオンしているユーザが所有するＩＣカードのカードＩＤを無効化する。これにより、ログオンしたままの状態での高度セキュリティレベル領域から低度セキュリティレベル領域への退室ができなくなる。

したがって、ログオフ忘れによって生じる可能性の高い、ログオンされたクライアントＰＣ２２からの情報系ネットワーク２０への不正なアクセスを排除することができる。

（ログオフ処理）
高度セキュリティレベル領域から退室する場合、ユーザは、まずクライアントＰＣ２２からのログオンをログオフすることになる。

ユーザは、クライアントＰＣ２２に対して終了要求をする（ステップＳ６１）。終了要求を受けたクライアントＰＣ２２は、どのユーザが、いつ、どのクライアントＰＣ２２からログオフしたのか記録するために、ユーザＩＤを含むログオフ情報を連携制御装置３０のログサーバに送信する（ステップＳ６２）。これにより、クライアントＰＣ２２は、情報系ネットワーク２０からログオフされ、シャットダウンする（ステップＳ６３）。

連携制御装置３０は、ログサーバにログオフ情報が送信されたことに応じて、図示しない記憶部に格納されている図２（ｂ）に示すようなユーザＩＤと、カードＩＤとを対応づけるテーブルから、送信されたログオフ情報に含まれるユーザＩＤと対応するカードＩＤを検索する（ステップＳ６４）。

連携制御装置３０は、検索されたカードＩＤが有効となるように、カードＩＤを含んだ有効情報を、コントロールユニット１２に送信する。そして、コントロールユニット１２が、この有効情報をゲートウェイユニット１４に送信する。これに応じて、ゲートウェイユニット１４は、送信された有効情報に含まれるカードＩＤを有効とする （ステップＳ６５）。

（高度セキュリティレベル領域からの退室処理）
第２の連携処理動作における高度セキュリティレベル領域から低度セキュリティレベル領域への退出動作は、図３を用いて説明した第１の連携処理動作におけるステップＳ４１〜ステップＳ４７までの動作と全く同様であるため、同一ステップ番号を付して説明を省略する。

このようにして、第２の連携処理動作では、 高度セキュリティレベル領域において、情報系ネットワーク２０へ、一旦ログオンされた場合には、ＩＣカードの認証処理をするゲートウェイユニット１４においてＩＣカードのカードＩＤが無効となるような処理を行う。これにより、ログオフ忘れによる高度セキュリティレベル領域からの退室によって生じる可能性の高い、ログオンされたままのクライアントＰＣ２２を不正利用することによる情報系ネットワーク２０への不正なアクセスを排除することができる。

｛第３の連携処理動作｝
次に、高度セキュリティレベル領域の中でも特に、ユーザの長時間の滞在を好まない領域、例えば、サーバ室などにおいて、滞在時間の制限付きで入室を許可する第３の連携処理動作について、上述した第１の連携処理動作をふまえながら説明をする。

サーバ室は、サーバ内に格納されたあらゆる情報へのアクセスが可能となってしまうため、例えば、保守や、定期的な点検、サーバダウン時などの緊急時などであっても、サーバ室内にて処理時間を制限して、目的以外の行為が実行されてしまうことを抑制する必要がある。

そこで、ユーザが高度セキュリティレベル領域へ入室してからの在室時間を、連携制御装置３０にて管理して、図５に示すタイミングチャートにて動作させることで、このような行為を抑制することができる。

（高度セキュリティレベル領域への入室処理）
高度セキュリティレベル領域への入室処理は、設備系ネットワーク１０による管理によって実行される。まず、ユーザは、所有するＩＣカードを、入室用カードリーダ１５からの電波を受信可能な位置まで運び、半導体メモリ内に格納されているカードＩＤを読み取らせる（ステップＳ７１）。

入室用カードリーダ１５は、ＩＣカードからカードＩＤを読み取り、ゲートウェイユニット１４へ送信する（ステップＳ７２）。

ゲートウェイユニット１４は、送信されたカードＩＤと、あらかじめ登録されているカードＩＤとを照合して設備系ネットワーク１０における認証処理を行う。ゲートウェイユニット１４は、送信されたカードＩＤと、登録されているカードＩＤとが一致した場合、このカードＩＤを認証し、施錠されている電気錠１７を解錠することで入室を許可する（ステップＳ７３）。

一方、カードＩＤが一致させず、認証されなかった場合には、ゲートウェイユニット１４は、低度セキュリティレベル領域側に設けられている、例えば、図示しない警報装置や、液晶ディスプレイなどを介して、認証されなかった旨を示すエラー通知を出力させるように制御する。

ゲートウェイユニット１４は、送信されたカードＩＤを認証した場合には、ユーザが低度セキュリティレベル領域から高度セキュリティレベル領域へと入室したことを示すログを、当該ゲートウェイユニット１４内に記録する（ステップＳ７４）。また、ゲートウェイユニット１４は、送信されたカードＩＤを認証した場合には、このカードＩＤと、当該ゲートウェイユニット１４を一意に特定する機器ＩＤであるリーダＩＤとを入室情報として、コントロールユニット１２に送信する。そして、コントロールユニット１２が、この入室情報を連携制御装置３０に通知する（ステップＳ７５）。

連携制御装置３０は、入室情報を受け取ったことに応じて、ユーザが高度セキュリティレベル領域へと入室したと判断し、ユーザの高度セキュリティレベル領域の在室時間を制限するために、例えば、在室時間を測定するタイマーなどを作動させ計時をすることで在室時間の管理をスタートさせる。（ステップＳ７６）。

連携制御装置３０による在室時間の管理は、例えば、上述したように高度セキュリティレベル領域に入室してからタイマーで測定される時間が、あらかじめ連携制御装置３０に設定された在室可能時間となった場合に、情報系ネットワーク２０へその旨が通知されることで行われる。在室可能時間は、例えば、カードＩＤを登録する際に、カードＩＤ毎に関連付けて連携制御装置３０に設定される。連携制御装置３０は、入室情報を取得した際に、入室情報を構成するカードＩＤを参照して、関連付けられて設定されている在室可能時間を読み出す。

このように、カードＩＤ毎に在室可能時間を、連携制御装置３０に設定しておくと、カードＩＤ毎、つまりは、高度セキュリティレベル領域に入室するユーザ毎に在室可能時間を設定することができる。

連携制御装置３０に設定する在室可能時間は、これに限定されるものではなく、例えば、一律に二時間としたり、入室時間帯に応じて変化させたり、高度セキュリティレベル領域内に構築される情報系ネットワークの２０で求められる要求によって臨機応変に決定する。

連携制御装置３０は、ゲートウェイユニット１４から、通知された入室情報を用いて、図示しない記憶部に格納されている、図２を用いて説明したような、カードＩＤと、リーダＩＤと関連付けたテーブル、カードＩＤと、情報系ネットワーク２０における認証処理用にあらかじめ登録されているユーザＩＤとを関連付けたテーブルとを用いて、リーダＩＤ、カードＩＤ、ユーザＩＤとの整合をとる。つまり、連携制御装置３０は、図２（ａ）に示すテーブルを用いて、入室情報として送信されたリーダＩＤと、カードＩＤとが認められた正しい組み合わせであるかを検証し、正しい組み合わせであるとされた場合には、図２（ｂ）に示すテーブルを用いて、カードＩＤに対応するユーザＩＤを取得する（ステップＳ７７）。

さらに、連携制御装置３０は、取得したユーザＩＤを添付した、情報系ネットワーク２０のＡＣＬサーバ２４に登録されているユーザのアカウントを有効化させる有効情報を、スイッチングハブ２１を介してＡＣＬサーバ２４に送信する（ステップＳ７８）。

これにより、高度セキュリティレベル領域へ入室したユーザの情報系ネットワーク２０におけるアカウントが有効となり、当該ユーザは、情報系ネットワーク２０へのアクセス権限を獲得したことになる。

（ログオン処理）
第３の連携処理動作における高度セキュリティレベル領域での情報系ネットワーク２０へのログオン処理動作は、図３を用いて説明したステップＳ１１〜ステップＳ１６までの動作と全く同様であるため、同一ステップ番号を付して説明を省略する。

（ログオフ処理）
第３の連携処理動作のログオフ処理は、連携制御装置３０に設定された滞在時間を超えない場合には、図３を用いて説明した第１の連携処理動作におけるステップＳ２１〜ステップＳ２３までの動作と全く同様となるため説明を省略する。

一方、連携制御装置３０は、ユーザの高度セキュリティレベル領域への入室後、タイマーによって入室開始時間から測定されている測定時間と、設定された滞在可能時間とを、例えば、所定の時間間隔毎に比較し、測定時間が滞在可能時間を超えたかどうかを監視している（ステップＳ８１）。

連携制御装置３０は、設定された滞在時間となった場合に、クライアントＰＣ２２に警告メッセージを通知する（ステップＳ８２）。この警告メッセージに従う場合、ユーザは、クライアントＰＣ２２からのログオンをログオフすることになる。連携制御装置３０は、クライアントＰＣ２２に警告メッセージを通知したことに応じて、タイマーなどにより計時を開始する。

具体的に、ユーザは、クライアントＰＣ２２に対して終了要求をする（ステップＳ８３）。終了要求を受けたクライアントＰＣ２２は、どのユーザが、いつ、どのクライアントＰＣ２２からログオフしたのか記録するために、ユーザＩＤを含むログオフ情報をＡＣＬサーバ２４のログサーバに送信する（ステップＳ８４）。これにより、クライアントＰＣ２２は、情報系ネットワーク２０からログオフされ、シャットダウンする（ステップＳ８５）。

一方、連携制御装置３０からの警告メッセージに、所定の時間を経過しても従わないと、つまり、警告メッセージを通知後に開始された計時が所定の時間を超過たのにも関わらず、情報系ネットワーク２０からログオフしていない場合、連携制御装置３０は、高度セキュリティレベル領域への入室が認証されたカードＩＤが無効となるように、カードＩＤを含んだ無効情報を、コントロールユニット１２に送信する。そして、コントロールユニット１２が、この無効情報をゲートウェイユニット１４に送信する。これに応じて、ゲートウェイユニット１４は、送信された無効情報に含まれるカードＩＤを無効とする（ステップＳ８６）。

さらに、連携制御装置３０は、このカードＩＤに対応するユーザＩＤを添付した、情報系ネットワーク２０のＡＣＬサーバ２４に登録されているユーザのアカウントを無効化させる無効情報を、スイッチングハブ２１を介してＡＣＬサーバ２４に送信する（ステップＳ８７）。そして、連携制御装置３０は、クライアントＰＣ２２に強制終了命令を送信し、強制終了させる（ステップＳ８８）。

これにより、警告メッセージに従わなかった場合でも、情報系ネットワーク２０へのアクセスを強制的に排除することができる。

（高度セキュリティレベル領域からの退室処理）
第３の連携処理動作における高度セキュリティレベル領域から低度セキュリティレベル領域への退出動作は、図３を用いて説明した第１の連携処理動作におけるステップＳ４１〜ステップＳ４７までの動作と全く同様であるため、同一ステップ番号を付して説明を省略する。

このようにして、第３の連携処理動作では、連携制御装置３０によって高度セキュリティレベル領域に入室したユーザの滞在時間を管理することができるため、高度セキュリティレベル領域の中でも、特に厳重なセキュリティを要する情報系ネットワーク２０へのアクセスを時間管理できるため、情報漏洩を抑制することができる。

上述した、第３の連携処理動作は、ユーザの高度セキュリティレベル領域内での滞在時間の管理を連携制御装置３０にて実行するようにしていたが、設備系ネットワーク１０を大規模とする場合には、管理用ＰＣ１８の代わりに用いられるセンタ装置１９を使って、図６に示すタイミングチャートのように実行させるようにしてもよい。図６に示すタイミングチャートは、図５を用いて説明したタイミングチャートとほぼ同一であるため、“高度セキュリティレベル領域への入室処理”と、“ログオフ処理”の異なるステップのみについて説明し、それ以外のステップは、同一ステップ番号を付し説明を省略する。

高度セキュリティレベル領域への入室処理において、ゲートウェイユニット１４は、カードＩＤを認証した場合には、このカードＩＤと、当該ゲートウェイユニット１４を一意に特定する機器ＩＤであるリーダＩＤとを入室情報として、コントロールユニット１２に送信する（ステップＳ７５ａ）。

そして、コントロールユニット１２が、入室情報をセンタ装置１９と、連携制御装置３０とに通知する（ステップＳ７５ｂ）。

そして、センタ装置１９は、入室情報を受け取ったことに応じて、ユーザが高度セキュリティレベル領域へと入室したと判断し、ユーザの高度セキュリティレベル領域の在室時間を制限するために、例えば、在室時間を測定するタイマーなどを作動させ在室時間の管理をスタートさせる（ステップＳ７６）。

センタ装置１９による在室時間の管理は、連携制御装置３０と同様に、例えば、上述したように高度セキュリティレベル領域に入室してからタイマーで測定される時間が、あらかじめセンタ装置１９に設定された在室可能時間となった場合に、情報系ネットワーク２０へその旨が通知されることで行われる。在室可能時間は、例えば、カードＩＤを登録する際に、カードＩＤ毎に関連付けて連携制御装置３０に設定される。センタ装置１９は、入室情報を取得した際に、入室情報を構成するカードＩＤを参照して、関連付けられて設定されている在室可能時間を読み出す。

このように、カードＩＤ毎に在室可能時間を、センタ装置１９に設定しておくと、カードＩＤ毎、つまりは、高度セキュリティレベル領域に入室するユーザ毎に在室可能時間を設定することができる。

センタ装置１９に設定する在室可能時間は、これに限定されるものではなく、例えば、一律に二時間としたり、入室時間帯に応じて変化させたり、高度セキュリティレベル領域内に構築される情報系ネットワークの２０で求められる要求によって臨機応変に決定する。

クライアントＰＣ２２による情報系ネットワーク２０からのログオフ処理において、センタ装置１９は、ユーザの高度セキュリティレベル領域への入室後、タイマーによって入室開始時間から測定されている測定時間と、設定された滞在可能時間とを、例えば、所定の時間間隔毎に比較し、測定時間が滞在可能時間を超えたかどうかを監視している（ステップＳ８１ａ）。

センタ装置１９は、測定時間が、設定された滞在可能時間を超えた場合、滞在可能時間をオーバーして情報系ネットワークへアクセスしているユーザがいるという、異常事態であることを、連携制御装置３０に通知する（ステップＳ８１ｂ）
このようにして、第３の連携処理動作では、センタ装置１９によって高度セキュリティレベル領域に入室したユーザの滞在時間を管理することができるため、高度セキュリティレベル領域の中でも、特に厳重なセキュリティを要する情報系ネットワーク２０へのアクセスを時間管理できるため、情報漏洩を抑制することができる。

［第２の実施の形態］
続いて、図７を用いて、本発明の第２の実施の形態として示す情報漏洩防止システムについて説明をする。図７に示すように、第２の実施の形態として示す情報漏洩防止システムは、上述した第１の実施の形態として示した情報漏洩防止システム、設備系ネットワーク１０において、ユーザが、高度セキュリティレベル領域から低度セキュリティレベル領域に退出する際の認証処理を実行するために、ユーザが所有するＩＣカードに格納された被認証情報であるカードＩＤを読み取るための退室用カードリーダ１６を備えていない構成となっている。

このように、第２の実施の形態として示す情報漏洩防止システムは、設備系ネットワーク１０において、退室用カードリーダ１６を備えていない以外は、情報系ネットワーク２０の構成も、第１の実施の形態として示す情報漏洩防止システムと変わらない。したがって、図７に示すように、第２の実施の形態として示す情報漏洩防止システムを構成する各機能部には、図１で示した第１の実施の形態として示す情報漏洩防止システムと同一の符号を付して説明を省略する。

｛第４の連携処理動作｝
第２の実施の形態として図７に示す情報漏洩防止システムでは、連携制御装置３０によって、図８に示すタイミングチャートのような第４の連携処理動作を実行する。第４の連携処理動作では、設備系ネットワーク１０が退室用カードリーダ１６を備えていないことに応じて、ユーザの高度セキュリティレベル領域からの退室時におけるＡＣＬサーバ２４のアカウントの無効処理を時間に基づいて実行するようにしている。

（高度セキュリティレベル領域への入室処理）
第４の連携処理動作における低度セキュリティレベル領域から高度セキュリティレベル領域への入室動作は、図３を用いて説明したステップＳ１〜ステップＳ７までの動作と全く同様であるため、同一ステップ番号を付して説明を省略する。

（ログオン処理）
第４の連携処理動作における高度セキュリティレベル領域での情報系ネットワーク２０へのログオン処理動作は、図３を用いて説明したステップＳ１１〜ステップＳ１６までの動作と全く同様であるため、同一ステップ番号を付して説明を省略する。

（ログオフ処理）
第４の連携処理動作における高度セキュリティレベル領域での情報系ネットワーク２０からのログオフ処理動作は、図３を用いて説明したステップＳ２１〜ステップＳ２３までの動作と全く同様であるため、同一ステップ番号を付して説明を省略する。

（高度セキュリティレベル領域からの退室処理）
図７に第２の実施の形態として示す情報漏洩防止システムは、上述したように退室用カードリーダ１６を備えていないため退室時において、ゲートウェイユニット１４による認証処理が実行されない。つまり、例え、ユーザがクライアントＰＣ２２からログオフした状態で、高度セキュリティレベル領域から退室したとしても、情報系ネットワーク２０のアカウントは有効のままである。そのため、不正に高度セキュリティレベル領域へ侵入した第三者、又は、入室を許可された他の正規ユーザによって、情報系ネットワーク２０へ不正にアクセスされる危険性が高い状態となっている。

そこで、第４の連携動作処理では、連携制御装置３０が、ステップＳ９１において、所定の決められた時間になると、ＡＣＬサーバ２４に対して有効となっているアカウントを無効とする無効情報を送信する。ステップＳ９１において、連携制御装置３０が、無効情報をＡＣＬサーバ２４に送信するタイミングとなる“所定の決められた時間”は、当該情報漏洩防止システムが構築される環境などに応じて、様々な想定をすることができるが、例えば、以下に示すような２つを想定することができる。

一つ目の“所定の決められた時間”とは、情報系ネットワーク２０の管理者などによって決められた時刻である。例えば、深夜０時に全てのアカウントを無効にするというように決めることで、連携制御装置３０は、時刻に応じて自動的にアカウントを無効とする無効情報をＡＣＬサーバ２４に送信する。

二つ目の“所定の決められた時間”とは、情報系ネットワーク２０を使用するユーザがいないと判断された時間である。例えば、警報モードと呼ばれる、当該情報漏洩防止システムが設置された会社などにおいて、退社する際に作動させる防犯システムなどと連動させ、全ての人が退社するので防犯システムを作動させたこと、つまり防犯システムを機能させた時間に応じて、連携制御装置３０は、アカウントを無効とする無効情報をＡＣＬサーバ２４に送信する。

連携制御装置３０に、図４で示したようにログサーバ機能を与えた場合には、クライアントＰＣ２２がログオフしてから所定の時間経過した後に連携制御装置３０からアカウントを無効とする無効情報をＡＣＬサーバ２４に送信することができる。このとき、連携制御装置３０は、ログサーバにクライアントＰＣ２２からログオフ情報を受け取ったことに応じて、無効信号を生成してＡＣＬサーバ２４に送信するまで所定の時間の計測を開始することになる。

第２の実施の形態として図７に示す情報漏洩防止システムでは、連携制御装置３０によって、図８に示すタイミングチャートのような第４の連携処理動作を実行する。第４の連携処理動作では、設備系ネットワーク１０が退室用カードリーダ１６を備えていないことに応じて、ユーザの高度セキュリティレベル領域からの退室時におけるＡＣＬサーバ２４のアカウントの無効処理を時間に基づいて実行するようにしている。

また、第４の連携処理動作は、図９に示すタイミングチャートのように、ＡＣＬサーバ２４に 無効化機能を与えることにより、ＡＣＬサーバ２４自身が、クライアントＰＣ２２を介して情報系ネットワーク２０からログオフしたユーザのアカウントを無効とすることもできる。

図９に示すタイミングチャートは、ステップＳ１〜ステップＳ７、ステップＳ１１〜ステップＳ１６、ステップＳ２１〜ステップＳ２３までの動作は、図８に示したタイミングチャートと全く同じであるため、同一ステップ番号を付して説明を省略する。

ユーザによるクライアントＰＣ２２を介してユーザが、情報系ネットワーク２０からログオフ、ログオフ情報を受信したことに応じて、ＡＣＬサーバ２４は、無効化機能が動作して、ログオフしたユーザのアカウントを無効化する（ステップＳ１０１）。

ＡＣＬサーバ２４が無効化機能を備えている場合、上述したように、クライアントＰＣ２２からのログオフ情報を受信したことに応じて、アカウントを無効化させるようにしているが、ログオフしたことによらず、所定の時間が経過した後にアカウントを無効化させるようにしてもよい。

例えば、情報漏洩防止システムの運用ルールとして、社員規則、法令などによって最終労働時刻（例えば、ＰＭ１０時）が決められている場合など、これを遵守するように、最終労働時刻になったらＡＣＬサーバ２４が無効化機能により自動的にアカウントを無効化する。このとき、最終労働時刻ちょうどでアカウントを無効化させるのではなく、最終労働時刻を過ぎてから３０分後にアカウントを無効化させるようにすることもできる。

また、例えば、情報漏洩防止システムが適用されているのがサーバルームなどのように、情報系ネットワーク２０へのアクセス可能時間帯（例えば、ＡＭ９時〜ＰＭ５時まで）が運用ルールで決められているような場合などには、このアクセス可能時間帯以外の時刻では、ＡＣＬサーバ２４の無効化機能によってアカウントが無効化される。

このように、設備系ネットワーク１０において、退室用カードリーダ１６を備えず高度セキュリティレベル領域から低度セキュリティレベル領域への退室に認証処理を必要としない場合であっても、連携制御装置３０、ＡＣＬサーバ２４によって設備系ネットワーク１０と、情報系ネットワーク２０との連携が図られ、高度セキュリティレベル領域からの退室後にアカウントを無効化する。

これにより、高度セキュリティレベル領域から退室したユーザの情報系ネットワーク２０におけるアカウントが無効となり、当該ユーザは、情報系ネットワーク２０へのアクセス権限を消失したことになるため、ユーザ退室後の情報漏洩を防止することができる。

なお、本発明の第１の実施の形態、第２の実施の形態において、ユーザは、自身が所有するＩＣカードに格納されたカードＩＤを被認証情報として用い、設備系ネットワーク１０の認証処理を行っているが、本発明はこれに限定されるものではなく、設備系ネットワーク１０においてユーザが一意に特定されればよいので、例えば、被認証情報として指紋情報、虹彩情報といった生体情報を用い、生体認証処理を実行することで設備系ネットワーク１０における認証処理を行ってもよい。

また、クライアントＰＣ２２から、情報系ネットワーク２０へログオンする際にも、この生体情報を用いた生体認証処理を実行するようにしてもよい。

なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。

本発明の第１の実施の形態として示す情報漏洩システムの構成について説明するためのブロック図である。 連携制御装置が備える記憶手段に格納されたテーブルの一例を示した図であり、（ａ）はリーダＩＤと、カードＩＤとを関係付けるテーブル、（ｂ）は、カードＩＤと、ユーザＩＤとを関係付けるテーブルである。 第１の連携処理動作について説明するためのタイミングチャートである。 第２の連携処理動作について説明するためのタイミングチャートである。 第３の連携処理動作について説明するためのタイミングチャートである。 上記第３の連携処理動作の別な例について説明するためのタイミングチャートである。 本発明の第２の実施の形態として示す情報漏洩システムの構成について説明するためのブロック図である。 第４の連携処理動作について説明するためのタイミングチャートである。 上記第４の連携処理動作の別な例について説明するためのタイミングチャートである。

符号の説明

１０ 設備系ネットワーク
１２ コントロールユニット
１４ ゲートウェイユニット
１５ 入室用カードリーダ
１６ 退室用カードリーダ
１７ 電気錠
２０ 情報系ネットワーク
２２ クライアントＰＣ（Personal Computer）
２４ ＡＣＬ（Access Control List）サーバ
３０ 連携制御装置

Claims (13)

1. ユーザを一意に特定する第１の被認証情報に基づいた認証処理結果に応じて、低度セキュリティレベル領域から高度セキュリティレベル領域への入室を管理する設備系ネットワークと、上記高度セキュリティレベル領域に構築され、上記ユーザを一意に特定する第２の被認証情報に基づいた認証処理結果に応じて、上記ユーザの当該情報系ネットワークへのアクセス制限をする情報系ネットワークとを相互に連携させる連携制御装置であって、
   上記設備系ネットワークにおいて、上記低度セキュリティレベル領域から上記高度セキュリティレベル領域への入室時に、上記第１の被認証情報を読み取る入室用読み取り機器の入室用機器ＩＤ（IDentification）及び上記第１の被認証情報と、上記第２の被認証情報とを対応づけて格納する記憶手段と、
   上記設備系ネットワークから送信される上記第１の被認証情報及び上記入室用機器ＩＤとから、対応する上記第２の被認証情報を上記記憶手段から取得する情報取得手段と、
   上記低度セキュリティレベル領域から、上記高度セキュリティレベル領域への入室時において、上記情報取得手段によって取得された上記第２の被認証情報を含み、上記情報系ネットワークにおいて管理される上記ユーザの上記情報系ネットワークへのアクセス権限であるアカウントを有効化させる有効情報を、上記アカウントを管理する上記情報系ネットワークに設けられたアカウント管理手段に送信するよう制御する制御手段とを備えること
   を特徴とする連携制御装置。
2. 上記記憶手段は、上記設備系ネットワークにおいて、上記高度セキュリティレベル領域から上記低度セキュリティレベル領域への退室時に、上記第１の被認証情報を読み取る退室用読み取り機器の退室用機器ＩＤ及び上記第１の被認証情報と、上記第２の被認証情報とを対応付けて格納し、
   上記情報取得手段は、上記設備系ネットワークから送信される上記第１の被認証情報及び上記退室用機器ＩＤとから、対応する上記第２の被認証情報を上記記憶手段から取得し、
   上記ユーザの上記高度セキュリティレベル領域から、上記低度セキュリティレベル領域への退室時において、上記制御手段は、上記情報取得手段によって取得された上記第２の被認証情報を含み、上記アカウントを無効化させる無効情報を、上記アカウント管理手段に送信するよう制御すること
   を特徴とする請求項１記載の連携制御装置。
3. 上記ユーザの上記高度セキュリティレベル領域から、上記低度セキュリティレベル領域への退室時において、
   上記制御手段は、あらかじめ決められた時間となったことに応じて、上記アカウント管理手段が管理する全てのユーザのアカウントを無効化させる無効情報を、上記アカウント管理手段に送信するよう制御すること
   を特徴とする請求項１記載の連携制御装置。
4. 上記ユーザの上記高度セキュリティレベル領域から、上記低度セキュリティレベル領域への退室時において、
   上記制御手段は、上記情報系ネットワークにおいて、当該情報系ネットワークに接続され、上記ユーザがログオンしている情報端末装置から、ログオフしたことを通知するログオフ情報を受信したことに応じて、上記アカウントを無効化する無効情報を、上記アカウント管理手段に送信するよう制御すること
   を特徴とする請求項１記載の連携制御装置。
5. 上記制御手段は、上記情報系ネットワークに接続された情報端末装置から、上記情報系ネットワークにログオンしたことを通知するログオン情報を受信したことに応じて、
   上記ログオン情報に含まれる上記第２の被認証情報から、対応する上記第１の被認証情報を上記記憶手段から検索し、検索された上記第１の被認証情報を無効化する無効情報を、上記設備系ネットワークに送信し、上記設備系ネットワークにおける上記第１の被認証処理情報による認証処理を停止するよう制御し、
   上記制御手段は、上記情報系ネットワークに接続された情報端末装置から、上記情報系ネットワークからログオフしたことを通知するログオフ情報を受信したことに応じて、
   上記ログオフ情報に含まれる上記第２の被認証情報から、対応する上記第１の被認証情報を上記記憶手段から検索し、検索された上記第１の被認証情報を有効化する有効情報を、上記設備系ネットワークに送信し、上記設備系ネットワークにおける上記第１の被認証処理情報による認証処理を再び実行するよう制御すること
   を特徴とする請求項２記載の連携制御装置。
6. 上記制御手段は、上記設備系ネットワークから送信される、上記高度セキュリティレベル領域へ上記ユーザが入室したこととを知らせる入室情報を受信したことに応じて、計時を開始し、計時された時間が、あらかじめ定められた上記高度セキュリティレベル領域での滞在可能時間を超えたことに応じて、
   上記情報系ネットワークに接続され、上記情報系ネットワークにログオンしている情報端末装置に対して、上記滞在可能時間を超過している旨を通知すること
   を特徴とする請求項１記載の連携制御装置。
7. 上記制御手段は、上記設備系ネットワークを制御するセンタ装置から、あらかじめ定められた上記高度セキュリティレベル領域でのユーザの滞在可能時間を超えたことの通知を受信したことに応じて、
   上記情報系ネットワークに接続され、上記情報系ネットワークにログオンしている情報端末装置に対して、上記滞在時間を超過している旨を通知すること
   を特徴とする請求項１記載の連携制御装置。
8. 上記制御手段は、上記滞在可能時間を超過している旨を上記情報端末装置へ通知したことに応じて計時を開始し、計時された時間が所定の時間を経過したことと、上記情報端末装置が上記情報系ネットワークへログオン状態であることに応じて、上記第１の被認証情報を無効化する無効情報を上記設備系ネットワークに送信するよう制御すること
   を特徴とする請求項６又は請求項７記載の連携制御装置。
9. 上記制御手段は、上記滞在可能時間を超過している旨を上記情報端末装置へ通知したことに応じて計時を開始し、計時された時間が所定の時間を経過したことと、上記情報端末装置が上記情報系ネットワークへログオン状態であることに応じて、上記アカウントを無効化させる無効情報を、上記アカウント管理手段に送信するよう制御すること
   を特徴とする請求項６又は請求項７記載の連携制御装置。
10. 上記滞在可能時間を超過している旨を上記情報端末装置へ通知したことに応じて計時を開始し、計時された時間が所定の時間を経過したことと、上記情報端末装置が上記情報系ネットワークへログオン状態であることに応じて、上記情報端末装置に対して強制終了命令を送信するよう制御すること
    を特徴とする請求項６又は請求項７記載の連携制御装置。
11. 上記第１の被認証情報は、ユーザが所有するＩＣ（Integrated Circuit）カードが備えるメモリ内に格納されたカードＩＤ（IDentification）であること
    を特徴とする請求項１記載の連携制御装置。
12. 上記第１の被認証情報は、ユーザの生体情報であること
    を特徴とする請求項１記載の連携制御装置。
13. 上記第２の被認証情報は、上記情報系ネットワークにおいて、ユーザを一意に特定するユーザＩＤ（IDentification）であること
    を特徴する請求項１記載の連携制御装置。
    

Images