JP4807173B2

JP4807173B2 - Security management system and method

Info

Publication number: JP4807173B2
Application number: JP2006201420A
Authority: JP
Inventors: 文幸甲斐
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2006-07-25
Filing date: 2006-07-25
Publication date: 2011-11-02
Anticipated expiration: 2026-07-25
Also published as: JP2008027322A

Description

本発明は，コンピュータのセキュリティ対策状況を管理する方法およびシステムに関するものである。 The present invention relates to a method and system for managing the security countermeasure status of a computer.

従来のセキュリティ管理システムでは，管理するコンピュータのセキュリティ管理レベルに応じて必要とするセキュリティ対策状況を変える場合，あらかじめ各コンピュータのセキュリティ管理レベルを定義付け，セキュリティ管理レベルに応じたセキュリティポリシーと各コンピュータの資産情報を照らし合わせることで，セキュリティ対策状況の管理を行っていた例としては，例えば特許文献１がある。 In the conventional security management system, when changing the security countermeasure status required according to the security management level of the managed computer, the security management level of each computer is defined in advance, and the security policy corresponding to the security management level and each computer As an example of managing the status of security countermeasures by comparing asset information, there is Patent Document 1, for example.

特開２００４−２８９２６０号公報JP 2004-289260 A

背景技術に記載した上記従来システムでは，運用開始当初セキュリティ管理レベルが低いと定義付けたコンピュータが，運用中にセキュリティ管理レベルが高く変化した場合，現在のセキュリティ管理レベルが高いにも関わらずあまりセキュリティ対策を実施していなくとも問題ないとシステムが判断してしまうことにより，重要なファイルサーバ等に対するセキュリティ強度が保たれないという課題があった。本発明の目的はコンピュータのセキュリティ管理レベルの変化に対応して，システム内のセキュリティ対策を適切に保つことである。 In the above-mentioned conventional system described in the background art, if a computer defined as having a low security management level at the beginning of operation changes to a high security management level during operation, the security management level is too high even though the current security management level is high. There is a problem that the security strength for important file servers cannot be maintained because the system judges that there is no problem even if measures are not taken. An object of the present invention is to appropriately maintain security measures in the system in response to changes in the security management level of a computer.

本発明は，コンピュータとセキュリティ管理コンピュータを有したセキュリティ管理を行うセキュリティ管理システムであって，前記コンピュータは，前記コンピュータが有するデータの機密情報を取得する手段を有し，前記セキュリティ管理コンピュータは，
取得した前記機密情報から前記コンピュータに対応した機密情報保持レベルを求める手段と，前記機密情報保持レベルから前記コンピュータのセキュリティ管理レベルを求める手段とを有するセキュリティ管理システムに特徴がある。 The present invention is a security management system for performing security management having a computer and a security management computer, wherein the computer has means for acquiring confidential information of data possessed by the computer,
The security management system has means for obtaining a confidential information holding level corresponding to the computer from the acquired confidential information and means for obtaining a security management level of the computer from the confidential information holding level.

運用中にセキュリティ管理レベルが変化したコンピュータに対してもセキュリティ管理レベルの変化に対応したセキュリティ対策を実施できる。 Security measures corresponding to changes in the security management level can be implemented even for computers whose security management level has changed during operation.

以下，本発明を実施するための最良の形態を図面に基づいて詳細に説明する。 Hereinafter, the best mode for carrying out the present invention will be described in detail with reference to the drawings.

図１は，本発明における一実施例であるセキュリティ管理システムを表す機能ブロック図の構成を示すものである。同図に示すようにセキュリティ管理システムはセキュリティ管理コンピュータ１０１およびコンピュータ１０２を備える。セキュリティ管理コンピュータ１０１はセキュリティ管理コンピュータ１０１上で各処理を行う管理処理部１０３，各情報を格納するデータベース１０８，機密度ポリシー１０４，判定/対処ポリシー１０５などのデータを有している。データベース１０８は機密度情報テーブル１０９，資産情報テーブル１１０，セキュリティ管理レベル情報テーブル１１１，セキュリティ管理レベル参照情報テーブル１１２，判定/対処ポリシー情報テーブル１１３および対策用ファイル群１１４を有している。コンピュータ１０２は，業務プログラムの稼働やデータベース管理プログラム（ＤＢＭＳ）の稼働などを行う業務コンピュータであっても良いし，クライアントコンピュータと使用されても良く，コンピュータ上で各処理を行うエージェント処理部１０７および情報漏えい対策製品やアクセス制御製品などのセキュリティ製品１０６を有している。セキュリティ製品１０６は，ウィルスチェックを行う機能を有する製品，ウィルスを駆除する機能を有する製品，ファイル数をカウントする機能を有する製品，コンピュータ１０２へのアクセス数をカウントする機能を有する製品，暗号化を行う機能を有する製品，持出制御を行う機能を有する製品，任意のファイルやプログラムの実行可否を制御するものであってもよい。以下処理の流れについて記述する。 FIG. 1 is a functional block diagram showing a security management system according to an embodiment of the present invention. As shown in the figure, the security management system includes a security management computer 101 and a computer 102. The security management computer 101 includes data such as a management processing unit 103 that performs each process on the security management computer 101, a database 108 that stores information, a confidentiality policy 104, and a determination / coping policy 105. The database 108 includes a confidentiality information table 109, an asset information table 110, a security management level information table 111, a security management level reference information table 112, a determination / countermeasure policy information table 113, and a countermeasure file group 114. The computer 102 may be a business computer that operates a business program or a database management program (DBMS), and may be used as a client computer. An agent processing unit 107 that performs each process on the computer, and It has a security product 106 such as an information leakage countermeasure product and an access control product. The security product 106 is a product having a virus check function, a product having a virus removal function, a product having a function of counting the number of files, a product having a function of counting the number of accesses to the computer 102, and encryption. It may be a product having a function to perform, a product having a function to perform take-out control, or control of whether or not an arbitrary file or program can be executed. The process flow is described below.

セキュリティ管理コンピュータ１０１における管理処理部１０３では，各コンピュータ１０２のエージェント処理部１０７から機密度情報を収集し機密度ポリシー１０４を生成する。機密度ポリシー１０４は，システム内部で機密情報とされるファイルに含まれるキーワードとそのキーワードの機密情報レベルを対応付けたデータであり，ファイル等の形式で格納されている。セキュリティ管理コンピュータ１０１は機密度ポリシー１０４を各コンピュータ１０２に配布する。各コンピュータ１０２のエージェント処理部１０７では，機密度ポリシー１０４にしたがってコンピュータ１０２の機密度情報を収集する。また，ＩＰアドレスやソフトウェアなどの資産情報についても収集を行い，それらの情報をセキュリティ管理コンピュータ１０１の管理処理部１０３に通知する。機密度情報の収集は，リアルタイムに行っても良いが，定期的に行っても良く，コンピュータ１０２の使われ方に従っても良い。また，機密度情報の収集を定期的に行うとともに，リアルタイムに行う方法を併用しても良い。管理処理部１０３は各コンピュータ１０２から収集した機密度情報から各コンピュータ１０２のセキュリティ管理レベルを決定する。また，管理処理部１０３は各コンピュータ１０２から収集した資産情報と各コンピュータ１０２のセキュリティ管理レベルに応じた判定/対処ポリシー１０５を照らし合わせ，セキュリティ対策が不十分なコンピュータ１０２に対して対処を行う。判定/対処ポリシー１０５はコンピュータ１０２が実施すべきセキュリティ対策の内容および，セキュリティ対策が不十分であるときの対処の内容を記述したデータであり，ファイルやデータベース等の形式で格納されている。 The management processing unit 103 in the security management computer 101 collects confidential information from the agent processing unit 107 of each computer 102 and generates a confidentiality policy 104. The confidentiality policy 104 is data in which a keyword included in a file that is classified as confidential information in the system is associated with a confidential information level of the keyword, and is stored in a file format or the like. The security management computer 101 distributes the confidentiality policy 104 to each computer 102. The agent processing unit 107 of each computer 102 collects confidential information of the computer 102 according to the confidentiality policy 104. Also, asset information such as IP addresses and software is collected and notified to the management processing unit 103 of the security management computer 101. Sensitivity information may be collected in real time, but may be periodically collected, or may be in accordance with how the computer 102 is used. In addition to collecting confidentiality information periodically, a method of performing real-time information may be used in combination. The management processing unit 103 determines the security management level of each computer 102 from the confidentiality information collected from each computer 102. Also, the management processing unit 103 compares the asset information collected from each computer 102 with the determination / countermeasure policy 105 corresponding to the security management level of each computer 102, and deals with the computer 102 with insufficient security measures. The determination / handling policy 105 is data describing the contents of the security measures to be implemented by the computer 102 and the contents of the measures when the security measures are insufficient, and is stored in a file or database format.

図２は，本発明に係わる一実施例としてのセキュリティ管理システムのハードウェア構成を示した図である。セキュリティ管理コンピュータ１０１およびコンピュータ１０２はＣＰＵ（Central Processing Unit）２０１，ＲＡＭ（Random Access Memory）２０２，ハードディスク等の記憶装置２０３およびバス２０４から構成される。セキュリティ管理コンピュータ１０１において，記憶装置２０３には図１における機密度ポリシー１０４，判定/対処ポリシー１０５，データベース１０８などのデータおよび管理処理部１０３を実現するプログラムが記憶されており，コンピュータ１０２においては，エージェント処理部１０７およびセキュリティ製品１０６を実装しているプログラムおよびデータを保持している。ＣＰＵ２０１は管理処理部１０３やエージェント処理部１０７およびセキュリティ製品１０６を実現するプログラムおよび各種データを読み出して所定の機能を実現する。ＲＡＭ（Random Access Memory）２０２にはＣＰＵ２０１が管理処理部１０１によって利用される作業領域としてデータベース１０８から読み込んだデータや機密度ポリシー１０４，判定/対処ポリシー１０５などのファイルから読み込んだデータなどが確保される。ＣＰＵ２０１，ＲＡＭ２０２，記憶装置２０３におけるデータのやり取りはバスを経由して行われる。管理処理部１０３およびエージェント処理部１０７はＣＰＵ２０１上で動作するプログラムでもよいが，専用のハードウェアで実現してもよい。また，セキュリティ管理コンピュータ１０１とコンピュータ１０２の間にはＬＡＮ等の通信回路２０５が存在し，それぞれ有線または無線のネットワーク２０６でつながれ，通信が可能となっている。図３で述べる各処理部は，図２のＣＰＵがそれぞれの処理部に対応したプログラムを実行することで，処理が実行される。 FIG. 2 is a diagram showing a hardware configuration of a security management system as an embodiment according to the present invention. The security management computer 101 and the computer 102 include a CPU (Central Processing Unit) 201, a RAM (Random Access Memory) 202, a storage device 203 such as a hard disk, and a bus 204. In the security management computer 101, the storage device 203 stores data such as the confidentiality policy 104, the determination / handling policy 105, and the database 108 in FIG. 1 and a program for realizing the management processing unit 103. It holds programs and data that implement the agent processing unit 107 and the security product 106. The CPU 201 reads a program and various data for realizing the management processing unit 103, the agent processing unit 107, and the security product 106, and realizes a predetermined function. In a RAM (Random Access Memory) 202, data read from the database 108, data read from files such as the confidentiality policy 104, the determination / coping policy 105, and the like are secured as a work area used by the management processing unit 101 by the CPU 201. The Data exchange between the CPU 201, the RAM 202, and the storage device 203 is performed via a bus. The management processing unit 103 and the agent processing unit 107 may be programs that operate on the CPU 201, but may be realized by dedicated hardware. In addition, a communication circuit 205 such as a LAN exists between the security management computer 101 and the computer 102 and is connected to each other by a wired or wireless network 206 to enable communication. Each processing unit described in FIG. 3 is executed by the CPU shown in FIG. 2 executing a program corresponding to each processing unit.

図３は，図１のセキュリティ管理コンピュータ１０１の管理処理部１０３および各コンピュータ１０２のエージェント処理部１０７を機能ブロック図として説明した図である。管理処理部１０３は，機密度ポリシー１０４の生成，配布を行う機密度ポリシー管理処理部３０１，判定/対処ポリシー１０５の管理を行う判定/対処ポリシー管理処理部３０２，コンピュータ１０２のIPアドレス，ソフトウェア情報，ハードウェア情報といった資産情報を管理する資産情報管理処理部３０３，コンピュータ１０２のセキュリティ管理レベルの判定および管理を行うセキュリティ管理レベル情報管理処理部３０４，判定/対処ポリシー１０５と資産情報テーブル１１０の情報を比較することでセキュリティ対策情報の判定を行い，コンピュータ１０２に対する対処方法を決定するセキュリティ対策状況判定処理部３０５，セキュリティ対策状況判定処理部３０５から通知された情報をもとに対策用ファイル群から対策用のファイルを検索しコンピュータ１０２に転送する対処実行処理部３０６を有する。 FIG. 3 is a functional block diagram illustrating the management processing unit 103 of the security management computer 101 and the agent processing unit 107 of each computer 102 in FIG. The management processing unit 103 includes a confidentiality policy management processing unit 301 that generates and distributes the confidentiality policy 104, a determination / handling policy management processing unit 302 that manages the determination / handling policy 105, the IP address of the computer 102, and software information , Asset information management processing unit 303 that manages asset information such as hardware information, security management level information management processing unit 304 that determines and manages the security management level of the computer 102, information of the determination / handling policy 105 and the asset information table 110 Are determined from the countermeasure file group based on the information notified from the security countermeasure status determination processing unit 305 and the security countermeasure status determination processing unit 305 that determine the countermeasure method for the computer 102. Measure file Searching with a corrective action processing unit 306 to be transferred to the computer 102.

エージェント処理部１０７は，セキュリティ製品１０６からアクセス制御の情報等を収集し，機密度ポリシー管理処理部に通知するアクセス制御情報収集/通知処理部３０７，配布された機密度ポリシー１０４をもとにコンピュータ１０２の機密情報，コンピュータへのアクセス回数，コンピュータの保持するファイル数などの情報を収集し，セキュリティ管理レベル情報管理処理部３０４に通知するセキュリティ管理レベル情報収集/通知処理部３０８，コンピュータ１０２のIPアドレス，ソフトウェア情報，ハードウェア情報といった資産情報を収集し資産情報管理処理部３０３に通知する資産情報収集/通知処理部３０９，対処実行処理部３０６から配布されたセキュリティ対策用の実行ファイルを実行する対策実行処理部３１０，セキュリティ管理レベルの更新確認用ダイアログを表示し，更新結果をセキュリティ管理レベル情報管理処理部３０４に通知するセキュリティ管理レベル情報更新処理部３１１を有する。 The agent processing unit 107 collects access control information and the like from the security product 106, and notifies the confidentiality policy management processing unit of the access control information collection / notification processing unit 307, and the distributed confidentiality policy 104 based on the computer. 102 collects information such as the confidential information 102, the number of accesses to the computer, the number of files held by the computer, and notifies the security management level information management processing unit 304 of the information, and the IP of the computer 102 Collects asset information such as address, software information, and hardware information and executes the security countermeasure execution file distributed from the asset information collection / notification processing unit 309 and the countermeasure execution processing unit 306 that notify the asset information management processing unit 303 Countermeasure execution processing unit 310, security Display Update confirmation dialog tee management level, having a security management level information updating unit 311 for notifying the update result to the security management level information management processing unit 304.

図４は，図３で示したアクセス制御情報収集/通知処理部３０７および機密度ポリシー管理処理部３０１を機能ブロックで説明した図である。アクセス制御情報収集/通知処理部３０７では，各コンピュータ１０２にインストールされているセキュリティ製品１０６で管理されているファイルの設定情報４０１を各セキュリティ製品１０６の設定ファイルや設定情報４０１を取得するためのアプリケーション等を通じて取得する。例えばコンピュータ１０２にアクセス制御製品が導入されている場合は，アクセス制御が行われているファイルの情報およびそのアクセス制御のレベルを取得する。アクセス制御のレベルは，アクセス制御製品ごとに異なるものであるが，例えば，コンピュータ１０２の管理者からのアクセスのみを可能とするファイルを「アクセス制御高」，ファイルを作成したユーザおよびコンピュータ１０２の管理者からのアクセスのみを可能とするファイルを「アクセス制御中」，ファイルを作成したユーザと同じユーザグループに属しているユーザからのアクセスのみを可能とするファイルを「アクセス制御低」などのように設定する。ただし前記は一例であり，アクセス制御レベルの定義についてはポリシーにより変更可能とする。 FIG. 4 is a diagram illustrating the access control information collection / notification processing unit 307 and the confidentiality policy management processing unit 301 illustrated in FIG. 3 in functional blocks. The access control information collection / notification processing unit 307 obtains the setting information 401 of the file managed by the security product 106 installed on each computer 102 and the setting file and setting information 401 of each security product 106. Get through etc. For example, when an access control product is installed in the computer 102, information on the file for which access control is performed and the level of access control are acquired. The level of access control varies depending on the access control product. For example, a file that can be accessed only by the administrator of the computer 102 is “access control high”, the user who created the file, and the management of the computer 102 A file that can only be accessed by a user such as “Access Controlled”, a file that can only be accessed by a user belonging to the same user group as the user who created the file, such as “Access Control Low” Set. However, the above is an example, and the definition of the access control level can be changed by a policy.

また情報漏えい対策製品を導入している場合は，暗号化や持ち出し制御が行われているファイルの情報を取得する。セキュリティ製品１０６が導入されていないコンピュータ１０２においては，OS（Operating System）のアクセス制限情報（読み取り専用属性など）などを取得しても良い。それぞれ取得する情報はファイルに特定せず，フォルダやディレクトリといった情報も取得する。
取得したファイル情報またはフォルダやディレクトリの情報からセキュリティ製品１０６で管理されているファイルを特定し，そのファイル内部のデータを参照することにより，そのファイル内で使用されているキーワード（単語）を抽出することができる。ファイル内部からのキーワード抽出は自然言語解析を行うソフトウェア等を利用し，名詞のみを抽出することで可能となる。ただし，各コンピュータ１０２の負荷を低減させるために，ファイルの内部ではなくファイル名からキーワードを抽出しても良い。これにより，システム内に導入されたセキュリティ製品１０６またはOSによりアクセス制限がかけられているファイルのファイル名から機密情報を表わすキーワードを求めることが可能となる。 In addition, if an information leakage countermeasure product is installed, information on files that are encrypted or taken out is acquired. In the computer 102 in which the security product 106 is not installed, OS (Operating System) access restriction information (such as a read-only attribute) may be acquired. The information to be acquired is not specified for files, but information such as folders and directories is also acquired.
A file managed by the security product 106 is identified from the acquired file information or folder / directory information, and the keywords (words) used in the file are extracted by referring to the data in the file. be able to. Keyword extraction from the inside of the file can be done by extracting only nouns using software that performs natural language analysis. However, in order to reduce the load on each computer 102, keywords may be extracted from the file name instead of the inside of the file. This makes it possible to obtain a keyword representing confidential information from the file name of a file whose access is restricted by the security product 106 or OS installed in the system.

さらに，取得したキーワードと各キーワードの出現回数をファイルのアクセス制御レベルのようなセキュリティ対策のレベル別にカウントし，その情報を機密度ポリシー管理処理部３０１に通知する。
機密度ポリシー管理処理部３０１では受信したデータを集計し，機密度情報テーブル１０９に集計したデータを格納する。図５に示すように機密度情報テーブル１０９は，各キーワード５０１別にアクセス制御製品におけるアクセス制御レベル（アクセス制御レベル高５０２，アクセス制御レベル中５０３，アクセス制御レベル低５０４），暗号化製品などによるファイルの暗号化５０５，持出制御製品における外部メディア（フロッピー（登録商標）ディスクやＵＳＢメモリ等）へのファイルコピーなどの持ち出し制御５０６，OSによりファイルに読み取り専用属性をつける等のOSアクセス制御設定５０７など，セキュリティ対策のレベル別に各キーワード５０１が登場した回数を集計したデータおよび各データをもとに求めた機密度５０８を保持している。アクセス制御レベルの設定例として，本実施例においては，ファイルの所有者のみ参照可能にするアクセス制御をアクセス制御レベル高，ファイルの所有者と同一の部署に属している人のみ参照可能するアクセス制御をアクセス制御レベル中，どの部署からも参照のみ可能にするアクセス制御をアクセス制御レベル低と定義する。機密度５０８の導出方法については後述する。 Further, the obtained keyword and the number of appearances of each keyword are counted for each security measure level such as the file access control level, and the information is notified to the confidentiality policy management processing unit 301.
The confidentiality policy management processing unit 301 aggregates the received data and stores the aggregated data in the confidentiality information table 109. As shown in FIG. 5, the confidentiality information table 109 is a file of access control products for each keyword 501 (access control level high 502, access control level 503, access control level low 504), encryption product files, etc. Encryption 505, take-out control 506 for file copy to external media (floppy (registered trademark) disk, USB memory, etc.) in the take-out control product, and OS access control setting 507 for giving a read-only attribute to the file by the OS For example, the number of times each keyword 501 appears for each security measure level and the confidentiality 508 obtained based on the data are stored. As an example of setting the access control level, in this embodiment, access control that allows only the owner of the file to be accessed is access control level high, and access control that can be referred only to those who belong to the same department as the owner of the file. Is defined as an access control level low. A method for deriving the confidentiality 508 will be described later.

機密度ポリシー管理処理部３０１では機密度情報テーブル１０９におけるキーワード５０１に対する機密度５０８のレベルに応じて，図６に示す機密度ポリシー１０４の各レベル６０１にキーワード６０２を設定する。機密度ポリシー１０４は機密度６０１とそれに対応したキーワード６０２のデータのことであり，データはファイルやデータベースの形式で記憶装置２０３に保存される。 The confidentiality policy management processing unit 301 sets a keyword 602 for each level 601 of the confidentiality policy 104 shown in FIG. 6 according to the level of the confidentiality 508 for the keyword 501 in the confidentiality information table 109. The confidentiality policy 104 is data regarding the confidentiality 601 and the keyword 602 corresponding to the confidentiality 601, and the data is stored in the storage device 203 in the form of a file or a database.

図７は，アクセス制御情報収集/通知処理部３０７および機密度ポリシー管理処理部３０１のフローチャートを示した図である。アクセス制御情報収集/通知処理部３０７では，アクセス制御製品や情報漏えい対策製品等のセキュリティ製品１０６のアクセス制御設定情報４０１および，ファイルの情報を取得する（７０１）。取得したファイル情報から各ファイルで使用されているキーワード５０１とそのファイルのアクセス制御レベルおよび暗号化されているかといった情報を抽出する（７０２）。集計した結果を機密度ポリシー管理処理部３０１に通知する（７０３）。機密度ポリシー管理処理部３０１では，収集した情報を集計し機密度情報テーブル１０９に格納する（７０４）。
機密度情報テーブルに格納されたキーワード５０１ごとに，アクセス制御レベル高５０２，アクセス制御レベル中５０３，アクセス制御レベル低５０４，暗号化５０５，持ち出し制御５０６およびＯＳによるアクセス制御５０７の中で最も多いセキュリティ対策のレベルはどれであるかを取得する（７０５）。アクセス制御レベル高の場合や暗号化などをされているファイルが最も多いキーワード５０１は機密度Aと判断する（７０６）。アクセス制御レベル中や持ち出し制御をかけられているファイルが最も多い場合は機密度Bと判断する（７０７）。アクセス制御レベル低やOSのアクセス制御しかかかっていないファイルが最も多い場合は機密度Cとして判断する（７０８）。なお，本実施例においては，機密度を表わすために，そのファイルの機密性が高い順にA，B，Cの記号を用いている。で判断した機密度５０８を機密度情報テーブル１０９に格納し，さらに機密度ポリシー１０４の各機密度にキーワード６０２を登録する（７０９）。これにより，機密情報を表わすキーワード６０２を記述した機密度ポリシー１０４を作成することができる。 FIG. 7 is a flowchart of the access control information collection / notification processing unit 307 and the confidentiality policy management processing unit 301. The access control information collection / notification processing unit 307 acquires access control setting information 401 and file information of the security product 106 such as an access control product or an information leakage countermeasure product (701). Information such as the keyword 501 used in each file, the access control level of the file, and whether it is encrypted is extracted from the acquired file information (702). The aggregated result is notified to the confidentiality policy management processing unit 301 (703). The confidentiality policy management processing unit 301 aggregates the collected information and stores it in the confidentiality information table 109 (704).
For each keyword 501 stored in the confidentiality information table, the most security among the access control level high 502, the access control level medium 503, the access control level low 504, the encryption 505, the take-out control 506, and the access control 507 by the OS. The level of countermeasure is acquired (705). If the access control level is high or the keyword 501 having the largest number of files that are encrypted is determined as confidentiality A (706). If there are the most files in the access control level or the carry-out control is applied, it is determined that the sensitivity is B (707). If the access control level is low or the number of files to which only OS access control is applied is determined as confidentiality C (708). In this embodiment, the symbols A, B, and C are used in order of the confidentiality of the file in order to express the confidentiality. The confidentiality 508 determined in the above is stored in the confidentiality information table 109, and the keyword 602 is registered in each confidentiality of the confidentiality policy 104 (709). As a result, the confidentiality policy 104 describing the keyword 602 representing confidential information can be created.

本実施例では，機密度Aをアクセス制御高および暗号化，機密度Bをアクセス制御中および持ち出し制御，機密度Cをアクセス制御低およびOSによるアクセス制御と規定したが，アクセス制御と機密度の関係や機密度の種類の数はポリシーにより変更可能とする。これにより，各システムのセキュリティポリシーに応じた運用が可能となる。上記のようにセキュリティ製品１０６を導入している場合には，システム内に導入されたセキュリティ製品１０２の設定情報から機密情報を表わすキーワードを求めることが可能となる。また，セキュリティ製品１０６が導入されていない環境においても，オペレーションシステムによるアクセス制御がかけられているファイルの情報から機密情報を表わすキーワード５０１を求めることが可能となる。
また，キーワード５０１の機密度５０８を判断する際，セキュリティ製品１０６やOSなどによりアクセス制御されているファイルが少ないキーワード５０１はしきい値法などにより，機密度ポリシー１０４に登録しなくてもよい。これにより機密情報とは関係ないキーワードを検索する時間を短縮することができる。逆に，システム管理者が機密度ポリシー１０４を編集し，機密度が高いキーワード６０２を登録しても良い。 In this example, the confidentiality A is defined as high access control and encryption, the confidentiality B is defined as access control and take-out control, and the confidentiality C is defined as low access control and access control by the OS. The number of types of relationships and confidentiality can be changed by policy. As a result, operation according to the security policy of each system becomes possible. When the security product 106 is introduced as described above, a keyword representing confidential information can be obtained from the setting information of the security product 102 introduced into the system. Further, even in an environment where the security product 106 is not introduced, it is possible to obtain a keyword 501 representing confidential information from information on a file that is subjected to access control by the operation system.
Further, when determining the confidentiality 508 of the keyword 501, the keyword 501 with few files whose access is controlled by the security product 106 or the OS may not be registered in the confidentiality policy 104 by the threshold method or the like. As a result, it is possible to reduce the time for searching for keywords that are not related to confidential information. Conversely, the system administrator may edit the confidentiality policy 104 and register a keyword 602 with a high confidentiality.

図８は，図３で示したセキュリティ管理レベル情報収集/通知処理部３０８およびセキュリティ管理レベル情報管理処理部３０４を，機能ブロックを使い説明した図である。セキュリティ管理レベル情報収集/通知処理部３０８は機密度情報収集処理部８０２，共有ファイル情報収集部８０３，リモートアクセス情報収集処理部８０４で構成されている。 FIG. 8 is a diagram illustrating the security management level information collection / notification processing unit 308 and the security management level information management processing unit 304 shown in FIG. 3 using functional blocks. The security management level information collection / notification processing unit 308 includes a confidential information collection processing unit 802, a shared file information collection unit 803, and a remote access information collection processing unit 804.

図９は，セキュリティ管理レベル情報収集/通知処理部３０８およびセキュリティ管理レベル情報管理処理部３０４のフローチャートを示した図である。まず，機密度情報収集処理部８０２では，コンピュータ１０２で管理しているファイルやデータベース８０１の内部を，機密度ポリシー１０４に登録されているキーワード６０２で検索し（９０１），各キーワード６０２にマッチする単語が使用されているファイルの個数をカウントする（９０２）。カウントした結果は機密度ごとに，それぞれの個数をファイルやメモリ上に保持しておく（９０３）。ここで，各コンピュータ１０２における負荷を低減させるためにファイル内部ではなくファイル名に対し各キーワード６０２がマッチするかを調べるという手法を用いても良い。 FIG. 9 is a diagram illustrating a flowchart of the security management level information collection / notification processing unit 308 and the security management level information management processing unit 304. First, the confidentiality information collection processing unit 802 searches the files managed by the computer 102 and the inside of the database 801 with the keyword 602 registered in the confidentiality policy 104 (901), and matches each keyword 602. The number of files in which words are used is counted (902). The count results are stored in a file or memory for each security level (903). Here, in order to reduce the load on each computer 102, a method may be used in which it is checked whether each keyword 602 matches the file name rather than the inside of the file.

共有ファイル情報収集処理部８０３では，OSやアプリケーションプログラムが発行する共有ファイルの情報を調べるコマンドやアプリケーションインタフェース等を使用し，コンピュータ１０２における共有フォルダ，共有ディレクトリ，共有ファイルの情報を取得する（９０４）。さらに，取得した情報から共有されているファイルの数を取得し（９０５），ファイルやメモリ上に保持しておく（９０６）。
リモートアクセス情報収集処理部８０４では，OSやアプリケーションプログラムが発行するリモートアクセス数を調べるコマンドやアプリケーションインタフェース等を使用し，コンピュータ１０２へのリモートアクセス数を定期的に調査し取得する（９０７）。取得した情報はファイルやメモリ上に保持しておく（９０８）。セキュリティ管理レベル情報収集/通知処理部３０８では機密度情報収集処理部８０２，共有ファイル情報収集処理部８０３，リモートアクセス情報収集処理部８０４で保持している各情報をセキュリティ管理レベル情報管理処理部３０４に通知する（９０９）。 The shared file information collection processing unit 803 obtains information on the shared folder, shared directory, and shared file in the computer 102 using a command for examining information on the shared file issued by the OS or application program, an application interface, or the like (904). . Further, the number of shared files is acquired from the acquired information (905), and stored in the file or memory (906).
The remote access information collection processing unit 804 periodically checks and acquires the number of remote accesses to the computer 102 using a command or application interface for checking the number of remote accesses issued by the OS or application program (907). The acquired information is stored in a file or memory (908). In the security management level information collection / notification processing unit 308, the confidentiality information collection processing unit 802, the shared file information collection processing unit 803, and the information held in the remote access information collection processing unit 804 are stored in the security management level information management processing unit 304. (909).

セキュリティ管理レベル情報管理処理部３０４では，セキュリティ管理レベル情報管理処理部３０４から収集した各情報をセキュリティ管理レベル情報テーブル１１１に格納する（９１０）。その後，各機密度のファイル数１００２をもとに各コンピュータ１０２の機密情報保持レベル１００３を求め，セキュリティ管理レベル情報テーブル１１１に格納する（９１１）。また，リモートアクセス回数１００４や共有ファイル数１００５から各コンピュータ１０２の役割１００６を求め，セキュリティ管理レベル情報テーブル１１１に格納する（９１２）。さらに，求めた機密情報保持レベル１００３と役割１００６をもとにセキュリティ管理レベル参照情報テーブル１１２を参照し，各コンピュータ１０２のセキュリティ管理レベル１００７を求め，セキュリティ管理レベル管理テーブル１１１に格納する（９１３）。ここで、セキュリティ管理レベル管理テーブル１１１とセキュリティ管理レベル参照情報テーブル１１２とは、別々のテーブルとして記載されていますが、一体化したテーブルとして、テーブル内の情報を対応付けるような記憶手段として構成しても良い。 The security management level information management processing unit 304 stores each information collected from the security management level information management processing unit 304 in the security management level information table 111 (910). Thereafter, the confidential information holding level 1003 of each computer 102 is obtained based on the number of files 1002 of each confidentiality, and stored in the security management level information table 111 (911). Further, the role 1006 of each computer 102 is obtained from the remote access count 1004 and the shared file count 1005 and stored in the security management level information table 111 (912). Further, referring to the security management level reference information table 112 based on the obtained confidential information holding level 1003 and role 1006, the security management level 1007 of each computer 102 is obtained and stored in the security management level management table 111 (913). . Here, the security management level management table 111 and the security management level reference information table 112 are described as separate tables. However, as an integrated table, the security management level management table 111 and the security management level reference information table 112 are configured as storage means for associating information in the table. Also good.

図１０に示すように，セキュリティ管理レベル情報テーブル１１１は，各コンピュータ１０２をユニークに識別するための情報である資産ID１００１，コンピュータ１０２が保持するデータの機密情報保持レベル１００３および機密情報保持レベル１００３を求めるのに必要となる機密度ごとのファイル数１００２（機密度Ａのファイル数１００８，機密度Ｂのファイル数１００１０，機密度Ｃのファイル数１０１０），コンピュータ１０２の役割１００６および役割１００６を求めるのに必要となるリモートアクセス回数１００４，共有ファイル数１００５，さらにコンピュータ１０２のセキュリティ管理レベル１００７を保持している。各コンピュータ１０２の機密情報保持レベル１００３，役割１００６およびセキュリティ管理レベル１００７を求める方法については後述する。 As shown in FIG. 10, the security management level information table 111 includes an asset ID 1001, which is information for uniquely identifying each computer 102, a confidential information holding level 1003 and a confidential information holding level 1003 of data held by the computer 102. The number of files 1002 for each confidentiality required for the determination (the number of files of confidentiality A 1008, the number of files of confidentiality B 10010, the number of files of confidentiality C 1010), the role 1006 and the role 1006 of the computer 102 are determined. The remote access count 1004, the shared file count 1005, and the security management level 1007 of the computer 102 are held. A method for obtaining the confidential information holding level 1003, role 1006, and security management level 1007 of each computer 102 will be described later.

図１１は，セキュリティ管理レベル情報管理処理部３０４の機密情報保持レベル判断処理におけるフローチャートを示した図である。各コンピュータ１０２の機密情報保持レベルを判断する際，セキュリティ管理レベル情報テーブル１１１における機密度別のファイル数１００２を取得し，機密情報保持レベルを求めるためのポイントを算出する（１１０１）。ポイント算出の一例としては，機密度Aのファイル数１００８×１００（ポイント）＋機密度Bのファイル数１００９×１０（ポイント）＋機密度Cのファイル数１０１０×１（ポイント）の計算を行い，この計算結果の値をあらかじめ定めた値と比較する（１１０２）。計算結果が１００ポイント以上の場合には機密情報保持レベルAと判断する（１１０３）。また，計算結果が１０〜９９ポイントの場合は機密情報保持レベルB（１１０４），０〜９ポイントの場合は機密情報保持レベルCと判断する（１１０５）。判断した機密情報保持レベル１００３はセキュリティ管理レベル情報テーブル１１１に格納する（１１０６）。 FIG. 11 is a flowchart illustrating the confidential information holding level determination process of the security management level information management processing unit 304. When determining the confidential information holding level of each computer 102, the number of files 1002 classified by sensitivity in the security management level information table 111 is acquired, and a point for obtaining the confidential information holding level is calculated (1101). As an example of the point calculation, the number of files of confidentiality A 1008 × 100 (points) + the number of files of confidentiality B 1009 × 10 (points) + the number of files of confidentiality C 1010 × 1 (points) is calculated, The value of this calculation result is compared with a predetermined value (1102). When the calculation result is 100 points or more, it is judged as confidential information holding level A (1103). If the calculation result is 10 to 99 points, the confidential information holding level B (1104) is determined, and if the calculation result is 0 to 9 points, the confidential information holding level C is determined (1105). The determined confidential information holding level 1003 is stored in the security management level information table 111 (1106).

例えば機密度Aのファイル数１００８が１つでもある場合は計算した値が１００以上になるので，そのコンピュータ１０２の機密情報保持レベル１００３をAと判断する。また，機密度Cのファイルの数が１００以上ある場合も計算した値が１００以上になるので，そのコンピュータ１０２の機密情報保持レベル１００３をAと判断する。これにより，各コンピュータ１０２が保持する機密情報の数や機密レベルの情報をもとに各コンピュータ１０２の機密情報保持レベル１００３を決定することができる。 For example, when there is at least one file 1008 of confidentiality A, the calculated value is 100 or more, so the confidential information holding level 1003 of the computer 102 is determined as A. Further, since the calculated value is 100 or more even when the number of files of confidentiality C is 100 or more, the confidential information holding level 1003 of the computer 102 is determined as A. Accordingly, the confidential information holding level 1003 of each computer 102 can be determined based on the number of confidential information held by each computer 102 and information on the confidential level.

また本実施例においては，機密度Aのファイルを１００ポイント，機密度Bのファイルを１０ポイント，機密度Cのファイルを１ポイントとして計算したが，それぞれの機密情報保持レベル１００３におけるポイントはファイル等に定義された値を読み込んで処理できるようにすることで，システムの規模やセキュリティポリシー従い管理者が自由に変更可能となる。同様に，機密度を判断する際のしきい値についても，ファイル等に定義された値を読み込んで処理できるようにすることで，システムの規模やセキュリティポリシー従い管理者が自由に変更可能となる。 In this embodiment, the file of confidentiality A is calculated as 100 points, the file of confidentiality B is calculated as 10 points, and the file of confidentiality C is calculated as 1 point. By making it possible to read and process the values defined in, the administrator can freely change the system according to the system size and security policy. Similarly, the threshold value for determining sensitivity can be changed freely by the administrator according to the system scale and security policy by enabling processing by reading the value defined in the file. .

図１２は，セキュリティ管理レベル情報管理処理部３０４の役割判断処理におけるフローチャートを示した図である。各コンピュータ１０２における役割を判断する際，リモートアクセス数を取得し，あらかじめ定めた一定数以上の値であるかを判断する（１２０１）。リモートアクセス数が数以上の場合，さらに共有ファイル数があらかじめ定めた一定数以上の値であるかどうかを判断し（１２０５），一定数以上の場合はファイルサーバ（１２０７），一定数未満の場合はテスト用コンピュータと判断する（１２０６）。また，リモートアクセス数が一定数未満の場合，さらに共有ファイル数があらかじめ定めた一定数以上の値であるかどうかを判断し（１２０２），一定数以上の場合は旧ファイルサーバ（１２０４），一定数未満の場合はクライアントと判断する（１２０３）。その後，役割を判断した結果１００６をセキュリティ管理レベル情報テーブル１２１に格納する（１２０８）。これにより，各コンピュータ１０２の使用状況から各コンピュータ１０２の役割１００６を特定することができる。各役割１００６を判断する上でのしきい値は，ファイル等に定義された値を読み込んで処理できるようにすることで，システムの規模やセキュリティポリシー従い管理者が自由に変更可能となる。 FIG. 12 is a flowchart illustrating the role determination process of the security management level information management processing unit 304. When determining the role in each computer 102, the number of remote accesses is acquired, and it is determined whether the value is a predetermined number or more (1201). If the number of remote access is greater than or equal to the number, it is further determined whether the number of shared files is greater than or equal to a predetermined number (1205). If the number is greater than a certain number, the file server (1207). Is determined to be a test computer (1206). If the number of remote accesses is less than a certain number, it is further determined whether the number of shared files is a predetermined number or more (1202). If the number is greater than a certain number, the old file server (1204) If it is less than the number, it is determined as a client (1203). Thereafter, the result 1006 of determining the role is stored in the security management level information table 121 (1208). Thereby, the role 1006 of each computer 102 can be specified from the usage status of each computer 102. The threshold for determining each role 1006 can be changed freely by an administrator in accordance with the scale of the system and the security policy by allowing the values defined in the file or the like to be read and processed.

図１３は，セキュリティ管理レベル情報管理処理部３０４におけるコンピュータ１０２の役割１００６を判断する基準を説明する概念図である。図のリモートアクセス数および共有ファイル数は，それぞれ矢印方向に多くなることを示している。リモートアクセス数１００４も共有ファイル数１００５も少ないコンピュータ１０２はクライアント，リモートアクセス数１００４は多いが共有ファイル数１００５が少ないコンピュータ１０２はテスト用のコンピュータ，共有ファイル数１００５は多いがリモートアクセス数１００４が少ないコンピュータ１０２は旧ファイルサーバ，リモートアクセス数１００４も共有ファイル数１００５も多いコンピュータ１０２はファイルサーバと判断する。役割１００６を判断する際に使用する共有ファイル数１００５やリモートアクセス数１００４のしきい値は，ファイル等に定義された値を読み込んで処理できるようにすることで，コンピュータのハードディスクの容量やシステムに存在するコンピュータの台数などを考慮して管理者が値を設定することが可能となる。 FIG. 13 is a conceptual diagram illustrating criteria for determining the role 1006 of the computer 102 in the security management level information management processing unit 304. The figure indicates that the number of remote accesses and the number of shared files increase in the direction of the arrows. A computer 102 with a small number of remote accesses 1004 and a number of shared files 1005 is a client, and a computer 102 with a large number of remote accesses 1004 but a small number of shared files 1005 is a test computer. The computer 102 is an old file server, and the computer 102 having both the remote access number 1004 and the shared file number 1005 is determined as a file server. The thresholds for the number of shared files 1005 and the number of remote accesses 1004 used when determining the role 1006 can be processed by reading the values defined in the files etc. The administrator can set a value in consideration of the number of existing computers.

図１４は，セキュリティ管理レベル参照情報テーブル１１２の内容を示した表であり，セキュリティ管理レベル情報テーブル１１１の機密情報保持レベル１００３と役割１００６からセキュリティ管理レベル１００７を決定するために使用される。セキュリティ管理レベル参照情報テーブル１１２には，機密情報保持レベル１４０１およびコンピュータの役割１４０２（ファイルサーバ１４０３，旧ファイルサーバ１４０４，クライアント１４０５，テスト用コンピュータ１４０６）の項目があり，データとしてセキュリティ管理レベル１４０６を格納している。コンピュータの役割１４０２が重要なサーバであったり機密情報保持レベル１４０１が高いほどセキュリティ管理レベル１４０７は高く，コンピュータの役割１４０２がテスト用のコンピュータであったり機密情報保持レベル１４０１が低いコンピュータ１０２はセキュリティ管理レベル１４０７を低く設定する。例えば機密情報保持レベル１４０１がB，コンピュータの役割１４０２がクライアント１４０５であるコンピュータ１０２はセキュリティ管理レベル１４０７をDと判断する。このようなマッピングを行うことで，セキュリティ管理レベル情報テーブル１１１において，各コンピュータ１０２の機密情報保持レベル１００３および各コンピュータ１０２の役割１００６から各コンピュータ１０２のセキュリティ管理レベル１００７を決定することができる。 FIG. 14 is a table showing the contents of the security management level reference information table 112 and is used to determine the security management level 1007 from the confidential information holding level 1003 and the role 1006 of the security management level information table 111. The security management level reference information table 112 includes items of confidential information holding level 1401 and computer role 1402 (file server 1403, old file server 1404, client 1405, test computer 1406), and security management level 1406 is stored as data. Storing. The higher the computer role 1402 is the important server or the higher the confidential information holding level 1401 is, the higher the security management level 1407 is. The computer role 1402 is a test computer or the computer 102 having the lower confidential information holding level 1401 is security managed. Level 1407 is set low. For example, the computer 102 in which the confidential information holding level 1401 is B and the computer role 1402 is the client 1405 determines that the security management level 1407 is D. By performing such mapping, the security management level 1007 of each computer 102 can be determined from the security information holding level 1003 of each computer 102 and the role 1006 of each computer 102 in the security management level information table 111.

なお，本実施例においてはコンピュータ１０２の機密情報保持レベル１００３とコンピュータ１０２の役割１００６をマッピングすることでセキュリティ管理レベル１００７を決定しているが，図７に示すセキュリティ管理レベル情報テーブル１１１においてコンピュータ１０２の役割１００６を固定して判断することにより，コンピュータ１０２の機密情報保持レベル１００３のみからセキュリティ管理レベル１００７を決定することも可能である。例えばセキュリティ管理レベル情報テーブル１１１の役割１００６に「クライアント」を格納することで，機密情報保持レベル１００３がAの場合はセキュリティ管理レベル１００７をCと決定することができる。なお，本実施例においては，セキュリティ管理レベルを表わすために，そのコンピュータのセキュリティ管理レベルが高い順にA，B，・・・，E，Fの記号を用いている。 In this embodiment, the security management level 1007 is determined by mapping the confidential information holding level 1003 of the computer 102 and the role 1006 of the computer 102. However, in the security management level information table 111 shown in FIG. It is also possible to determine the security management level 1007 from only the confidential information holding level 1003 of the computer 102 by fixing and determining the role 1006. For example, by storing “client” in the role 1006 of the security management level information table 111, when the confidential information holding level 1003 is A, the security management level 1007 can be determined as C. In this embodiment, symbols A, B,..., E, and F are used in descending order of the security management level of the computer in order to represent the security management level.

同様に図１０に示すセキュリティ管理レベル情報テーブル１１１においてコンピュータ１０２の機密情報保持レベル１００３を固定することにより，コンピュータ１０２の役割１００６のみからセキュリティ管理レベル１００７を決定することも可能である。例えばセキュリティ管理レベル情報テーブル１１１の機密情報保持レベル１００３に「A」を格納することで，コンピュータ１０２の役割１００６がファイルサーバの場合はセキュリティ管理レベル１００７をAと決定することができる。 Similarly, it is possible to determine the security management level 1007 only from the role 1006 of the computer 102 by fixing the confidential information holding level 1003 of the computer 102 in the security management level information table 111 shown in FIG. For example, by storing “A” in the confidential information holding level 1003 of the security management level information table 111, the security management level 1007 can be determined as A when the role 1006 of the computer 102 is a file server.

図１５は，コンピュータ１０２の機密情報保持レベル１００３および役割１００６をセキュリティ管理レベル情報管理処理部３０４が自動的に反映するのではなく，コンピュータ１０２を使用するユーザが確認した後に反映する場合について，セキュリティ管理レベル情報管理処理部３０４およびセキュリティ管理レベル情報更新処理部３１１を機能ブロック図で説明した図である。管理処理部１０３に対し，セキュリティ管理レベル決定についてユーザの確認をするようなオプションを設定していた場合には，セキュリティ管理レベル情報管理処理部３０４では機密情報保持レベル１００３および役割１００６を求めた後に，どちらか一方でも変更があれば，対象となるコンピュータ１０２のセキュリティ管理レベル情報更新処理部３１１に対し，変更前および変更後の機密情報保持レベル１００３および変更前および変更後の役割１００６の情報を通知する。セキュリティ管理レベル情報更新処理部３１１では，受け取ったデータをもとに図１６に示すダイアログを表示する。コンピュータ１０２を使用するユーザは，変更前機密情報保持レベル１６０１および変更後機密情報保持レベル１６０２に表示される情報を見て機密情報保持レベルの変更状況を確認する。 FIG. 15 shows the security information level 1003 and role 1006 of the computer 102 not reflected automatically by the security management level information management processing unit 304 but after the user using the computer 102 confirms it. FIG. 6 is a functional block diagram illustrating a management level information management processing unit 304 and a security management level information update processing unit 311. When an option for confirming the user for security management level determination is set for the management processing unit 103, the security management level information management processing unit 304 obtains the confidential information holding level 1003 and the role 1006. If either one is changed, the security management level information update processing unit 311 of the target computer 102 is informed of the security information holding level 1003 before and after the change and the information about the role 1006 before and after the change. Notice. The security management level information update processing unit 311 displays a dialog shown in FIG. 16 based on the received data. The user who uses the computer 102 confirms the change status of the confidential information holding level by looking at the information displayed on the confidential information holding level 1601 before the change and the confidential information holding level 1602 after the change.

また変更前役割１６０３と変更後役割ダイアログボックス１６０４に表示されている情報を確認し，ユーザの判断で役割を変更する必要があれば適宜変更し，更新ボタン１６０５を押下する。更新ボタン１６０５を押下した場合は，ダイアログを閉じ，変更後の情報をセキュリティ管理レベル情報管理処理部３０４に通知する。セキュリティ管理レベル情報管理処理部３０４では，受け取った情報を元にセキュリティ管理レベル情報テーブル１１１に機密情報保持レベル１００３および役割１００６を格納し，セキュリティ管理レベル１００７を求める。 Also, the information displayed in the pre-change role 1603 and the post-change role dialog box 1604 is confirmed. If it is necessary to change the role at the discretion of the user, the role is changed as appropriate, and an update button 1605 is pressed. When the update button 1605 is pressed, the dialog is closed and the information after the change is notified to the security management level information management processing unit 304. The security management level information management processing unit 304 stores the confidential information holding level 1003 and the role 1006 in the security management level information table 111 based on the received information, and obtains the security management level 1007.

また，図１６のダイアログにおいてキャンセルボタン１６０６を押下した場合には，ダイアログを閉じるが，セキュリティ管理レベル情報管理処理部３０４には何も通知しない。この場合，一定期間セキュリティ管理レベル情報更新処理部３１１から通知がない場合は強制的にセキュリティ管理レベルを変更する，などの処理を行うことで，運用が滞ることなく，柔軟に対応できる。 When the cancel button 1606 is pressed in the dialog of FIG. 16, the dialog is closed, but nothing is notified to the security management level information management processing unit 304. In this case, if there is no notification from the security management level information update processing unit 311 for a certain period, the security management level is forcibly changed, so that the operation can be flexibly handled without delay.

図１７はセキュリティ管理レベル決定についてユーザの確認をするようなオプションを設定していた場合のセキュリティ管理レベル情報管理処理部３０４およびセキュリティ管理レベル情報更新処理部３１１のフローチャートを示した図である。セキュリティ管理レベル情報管理処理部３０４では，コンピュータ１０２の機密情報保持レベル１００３および役割１００６を求める（１７０１）。求めた機密情報保持レベル１００３および役割１００６とセキュリティ管理レベル情報管理テーブル１１１に格納されている機密情報保持レベル１００３および役割１００６を比較し（１７０２），差異がある場合には，求めた機密情報保持レベル１００３および役割１００６とセキュリティ管理レベル情報管理テーブル１１１に格納されている機密情報保持レベル１００３および役割１００６の情報をセキュリティ管理レベル情報更新処理部３１１に通知する（１７０３）。セキュリティ管理レベル情報更新処理部３１１では，受け取った情報を元にダイアログを表示する（１７０４）。ユーザはダイアログの情報を確認および適宜変更し，ボタンを押下する（１７０５）。更新ボタンを押下した場合は，ダイアログが閉じ（１７０６）変更後の機密情報保持レベル１００３および役割１００６の情報をセキュリティ管理レベル情報管理処理部３０４に通知する（１７０７）。セキュリティ管理レベル情報管理処理部３０４では，通知された機密情報保持レベル１００３および役割１００６をセキュリティ管理レベル情報管理テーブル１１１に格納し（１７１０），セキュリティ管理レベルを求める（１７１１）。キャンセルボタンを押下した場合は，ダイアログが閉じる（１７０８）がセキュリティ管理レベル情報管理処理部３０４には何も通知されない。キャンセルボタンを押下した場合またはボタンを押下せずに一定期間経過した場合（１７０９），セキュリティ管理レベル情報管理処理部３０４では，求めた機密情報保持レベル１００３および役割１００６をセキュリティ管理レベル情報管理テーブル１１１に格納し（１７１０），セキュリティ管理レベルを求める（１７１１）。 FIG. 17 is a diagram showing a flowchart of the security management level information management processing unit 304 and the security management level information update processing unit 311 when an option for confirming the user for security management level determination has been set. The security management level information management processing unit 304 obtains the confidential information holding level 1003 and role 1006 of the computer 102 (1701). The obtained confidential information holding level 1003 and role 1006 are compared with the confidential information holding level 1003 and role 1006 stored in the security management level information management table 111 (1702). Information of the confidential information holding level 1003 and role 1006 stored in the level 1003 and role 1006 and the security management level information management table 111 is notified to the security management level information update processing unit 311 (1703). The security management level information update processing unit 311 displays a dialog based on the received information (1704). The user confirms and appropriately changes the information in the dialog, and presses the button (1705). When the update button is pressed, the dialog is closed (1706), and the changed confidential information holding level 1003 and role 1006 information is notified to the security management level information management processing unit 304 (1707). The security management level information management processing unit 304 stores the notified confidential information holding level 1003 and role 1006 in the security management level information management table 111 (1710), and obtains the security management level (1711). When the cancel button is pressed, the dialog is closed (1708), and nothing is notified to the security management level information management processing unit 304. When the cancel button is pressed or when a certain period of time has elapsed without pressing the button (1709), the security management level information management processing unit 304 sets the obtained confidential information holding level 1003 and role 1006 to the security management level information management table 111. (1710) and the security management level is obtained (1711).

図１８は，図３で示した資産情報収集/通知処理部３０９および資産情報管理処理部３０３を，機能ブロックで説明した図である。資産情報収集/通知処理部３０９では，コンピュータ１０２の設定ファイルやレジストリ１８０１などからホスト名，IPアドレス，MACアドレスといったシステム構成情報やインストールされているパッチやソフトウェアなどの情報を取得し，資産情報管理処理部３０３に通知する。通知する際，各コンピュータ１０２をユニークに識別できるようにするため，MACアドレスと乱数を組み合わせた文字列または数値のハッシュ値を計算し，その計算結果も通知する。この計算結果をホスト識別子と定義する。ホスト識別子については，次に資産情報を通知する際にも使用できるようファイルなどに保存しておく。そのため，２回目以降に資産情報を通知する際はハッシュ値の計算は行われない。 FIG. 18 is a diagram illustrating the asset information collection / notification processing unit 309 and the asset information management processing unit 303 illustrated in FIG. 3 in functional blocks. The asset information collection / notification processing unit 309 acquires system configuration information such as the host name, IP address, and MAC address, and information such as installed patches and software from the setting file of the computer 102 and the registry 1801, and manages asset information. Notify the processing unit 303. At the time of notification, in order to uniquely identify each computer 102, a character string or numerical hash value combining a MAC address and a random number is calculated, and the calculation result is also notified. This calculation result is defined as a host identifier. The host identifier is saved in a file so that it can be used the next time asset information is reported. Therefore, the hash value is not calculated when the asset information is notified after the second time.

また，DHCP環境ではコンピュータ１０２がネットワークに接続するたびにIPアドレスが変わるため，IPアドレスでコンピュータ１０２をユニークに識別することはできないが，この手法により，IPアドレスに依存することなくコンピュータ１０２をユニークに識別することが可能となる。同様に，仮想マシンを使用している環境では，仮想マシン同士でMACアドレスが重複するため，MACアドレスで仮想マシンをユニークに識別することはできないが，MACアドレスと乱数を組み合わせたこの手法により，仮想マシンをユニークに識別することが可能となる。
資産情報管理処理部３０３では資産情報収集/通知処理部３０９から通知された情報を資産情報テーブル１１０に格納する。図１９に示すように資産情報テーブル１１０にはコンピュータ１０２の情報として，先ほど計算したハッシュ値であるホスト識別子１９０２，ホスト名１９０３，IPアドレス１９０４，MACアドレス１９０５，パッチ情報１９０６，ウィルス対策製品１９０７，ＯＳのパスワード設定１９０８（パスワードの長さ，パスワードに使用すべき文字，パスワードの更新間隔，以前使用したパスワードの再設定防止などのパスワード設定などに関するオペレーションシステムの設定情報），ハードディスクの暗号化の有無１９０９などの情報に加え，テーブルのキーとなる資産ID１９０１を格納する。資産ID１９０１は各コンピュータでユニークとなるように，ホスト識別子１９０２ごとにユニークに割り振った値である。 In the DHCP environment, since the IP address changes every time the computer 102 is connected to the network, the computer 102 cannot be uniquely identified by the IP address. However, this method makes the computer 102 unique without depending on the IP address. Can be identified. Similarly, in an environment where virtual machines are used, the MAC address is duplicated between virtual machines, so the virtual machine cannot be uniquely identified by the MAC address, but with this method combining MAC addresses and random numbers, A virtual machine can be uniquely identified.
The asset information management processing unit 303 stores the information notified from the asset information collection / notification processing unit 309 in the asset information table 110. As shown in FIG. 19, in the asset information table 110, as information of the computer 102, a host identifier 1902, a host name 1903, an IP address 1904, a MAC address 1905, patch information 1906, an anti-virus product 1907, which are hash values calculated earlier. OS password setting 1908 (operation system setting information related to password length, password to be used, password update interval, password settings such as password reset prevention previously used), presence or absence of hard disk encryption In addition to information such as 1909, an asset ID 1901 that is a key of the table is stored. The asset ID 1901 is a value assigned uniquely for each host identifier 1902 so that it is unique for each computer.

資産情報収集/通知処理部３０９で取得する情報および資産情報管理処理部３０３で資産情報テーブル１１０に格納する情報は，本実施例で示した情報の他，コンピュータ１０２にインストールされているソフトウェアの情報やハードウェアの情報を扱うことも可能である。 The information acquired by the asset information collection / notification processing unit 309 and the information stored in the asset information table 110 by the asset information management processing unit 303 include the information of the software installed in the computer 102 in addition to the information shown in this embodiment. It is also possible to handle hardware information.

図２０は，資産情報収集/通知処理部３０９および資産情報管理処理部３０３のフローチャートを示した図である。資産情報収集/通知処理部３０９では，コンピュータ１０２の設定ファイルやレジストリ等１８０１から各種資産情報を収集する（２００１）。ホスト識別子がすでにファイルに保存されているかを調べ（２００２），保存されていない場合は，最初の収集であると判断し，乱数とＭＡＣアドレスからハッシュ値を計算し（２００３），計算したハッシュ値をホスト識別子としてファイル等に保存しておく（２００４）。ファイルに保存されたホスト識別子および収集した各種資産情報を資産情報管理処理部に通知する（２００５）。 FIG. 20 is a diagram illustrating a flowchart of the asset information collection / notification processing unit 309 and the asset information management processing unit 303. The asset information collection / notification processing unit 309 collects various asset information from the setting file, registry, etc. 1801 of the computer 102 (2001). Check if the host identifier is already stored in the file (2002). If it is not stored, determine that it is the first collection, calculate the hash value from the random number and MAC address (2003), and calculate the hash value Is stored as a host identifier in a file or the like (2004). The host identifier stored in the file and the collected asset information are notified to the asset information management processing unit (2005).

資産情報管理処理部３０３では，資産情報収集/通知処理部３０９から受け取ったホスト識別子が資産情報テーブル１１０に登録されているかを調べる（２００６）。登録されていない場合には未登録のコンピュータ１０２であると判断し，現在の資産IDの最大値を調べその値より1大きい値（ユニークな値）をそのコンピュータに割り当て（２００７），ホスト識別子，資産情報とともに資産情報テーブル１１０に追加する（２００８）。資産情報収集/通知処理部３０９から受け取ったホスト識別子が資産情報テーブル１１０に登録されている場合には，受け取ったデータを資産情報テーブル１１０に格納し，資産情報を更新する（２００９）。 The asset information management processing unit 303 checks whether the host identifier received from the asset information collection / notification processing unit 309 is registered in the asset information table 110 (2006). If it is not registered, it is determined that the computer 102 is unregistered, the maximum value of the current asset ID is checked, and a value (unique value) larger by 1 (unique value) is assigned to the computer (2007), host identifier, It adds to asset information table 110 with asset information (2008). If the host identifier received from the asset information collection / notification processing unit 309 is registered in the asset information table 110, the received data is stored in the asset information table 110 and the asset information is updated (2009).

図２１は，図２で示した判定/対処ポリシー管理処理部３０２を機能ブロックで説明した図である。判定/対処ポリシー管理処理部３０２では，セキュリティ管理レベルごとに作成された判定/対処ポリシー１０５と各セキュリティ管理レベルを対応付け，判定/対処ポリシー情報テーブル１１３に格納する。図２２は，判定/対処ポリシー管理処理部３０２のフローチャートを示した図である。判定/対処ポリシー管理処理部３０２では，図２３に示すように，判定/対処ポリシーテーブル１１３に，セキュリティ管理レベル２３０１とそれに対応した判定/対処ポリシー１０５のファイル名２３０２を格納する（２２０１）。例えば判定/対処ポリシーAという名前の判定/対処ポリシー１０５をセキュリティ管理レベルAの判定/対処ポリシー１０５と設定したい場合には，判定/対処ポリシー情報テーブル１１３のセキュリティ管理レベルAの行に判定/対処ポリシーAという名前を格納する。 FIG. 21 is a diagram illustrating the determination / handling policy management processing unit 302 illustrated in FIG. 2 in functional blocks. The determination / handling policy management processing unit 302 associates the judgment / handling policy 105 created for each security management level with each security management level and stores them in the judgment / handling policy information table 113. FIG. 22 is a diagram illustrating a flowchart of the determination / handling policy management processing unit 302. As shown in FIG. 23, the determination / handling policy management processing unit 302 stores the security management level 2301 and the corresponding file name 2302 of the judgment / handling policy 105 in the judgment / handling policy table 113 (2201). For example, if it is desired to set the judgment / countermeasure policy 105 named judgment / countermeasure policy A as the security management level A judgment / countermeasure policy 105, the judgment / countermeasure is determined in the security management level A row of the judgment / countermeasure policy information table 113. Stores the name policy A.

図２４は判定/対処ポリシー１０５に格納される情報の一例を示した図である。判定/対処ポリシーは判定部２４０１と対処部２４０２に分けられる。判定部２４０１では，適用すべきパッチ，OSのパスワードの長さ設定，インストールすべきウィルス対策製品名称，ハードディスクの暗号化の情報など，必要とされるセキュリティ対策事項に関するデータを定義する。対処部２４０２には判定部２４０１に記述したセキュリティ対策が実施できていないコンピュータ１０２に対する対処内容に関するデータとして，未適用パッチ適用やウィルス対策製品のインストールおよび，OSのパスワード設定やハードディスクの暗号化などについて定義する。判定/対処ポリシー１０５は，データはファイルやデータベースの形式で記憶装置２０３に保存される。 FIG. 24 is a diagram showing an example of information stored in the determination / handling policy 105. The determination / handling policy is divided into a determination unit 2401 and a processing unit 2402. The determination unit 2401 defines data relating to necessary security countermeasure items such as a patch to be applied, OS password length setting, anti-virus product name to be installed, and hard disk encryption information. The coping section 2402 includes data concerning coping contents for the computer 102 for which security measures described in the judgment section 2401 have not been implemented, such as application of unapplied patches, installation of anti-virus products, OS password setting, and hard disk encryption. Define. In the determination / handling policy 105, data is stored in the storage device 203 in the form of a file or a database.

図２５は，図３で示したセキュリティ対策状況判定処理部３０５，対処実行処理部３０６および対策実行処理部３１０の関係を説明する図である。セキュリティ対策状況判定処理部３０５では，OSのパスワード設定や情報漏えい対策製品における暗号化の設定が適切であるかを判定する。OSのパスワード設定の場合には，判定/対処ポリシー１０５の判定部２４０１に指定されているパスワード設定の情報を取得し，資産情報テーブル１１０に格納されているパスワード設定の情報１９０８と比較する。また，情報漏えい対策製品などによるハードディスクの暗号化などの情報については，判定/対処ポリシー１０５の判定部２４０１における暗号化のパラメータがONになっている場合，資産情報テーブル１１０の暗号化１９０９の情報を参照し，暗号化が行われているかを判断する。項目を比較した結果，コンピュータ１０２のOSパスワード設定が判定/対処ポリシー１０５に指定したOSパスワード設定を満たしていない場合または，コンピュータ１０２の暗号化がされていない場合は，判定/対処ポリシー１０５の情報を取得し，対処実行処理部３０６に対処を通知する。 FIG. 25 is a diagram for explaining the relationship among the security countermeasure status determination processing unit 305, the countermeasure execution processing unit 306, and the countermeasure execution processing unit 310 illustrated in FIG. The security countermeasure status determination processing unit 305 determines whether the OS password setting and the encryption setting in the information leakage countermeasure product are appropriate. In the case of OS password setting, password setting information specified in the determination unit 2401 of the determination / handling policy 105 is acquired and compared with password setting information 1908 stored in the asset information table 110. In addition, for information such as hard disk encryption by an information leakage countermeasure product or the like, if the encryption parameter in the determination unit 2401 of the determination / countermeasure policy 105 is ON, the information of the encryption 1909 in the asset information table 110 To determine whether encryption is being performed. If the OS password setting of the computer 102 does not satisfy the OS password setting specified in the determination / countermeasure policy 105 as a result of comparing the items, or if the computer 102 is not encrypted, information on the determination / countermeasure policy 105 And the countermeasure execution processing unit 306 is notified of the countermeasure.

対処実行処理部３０６では判定/対処ポリシー１０５の対処部２４０２を参照し，OSパスワードの適用がONとなっている場合は，対処実行処理部３０６から通知されたOSパスワード設定の情報をもとにOSパスワード設定を行う実行ファイルを対策用ファイル群１１４から取得し，FTP等で対象コンピュータ１０２の対策実行処理部３１０に送付する。また，暗号化に暗号化するためのソフトウェア名が指定されている場合には，対策用ファイル群１１４から，対象となるソフトウェアを取得し，FTP等で対象コンピュータ１０２の対策実行処理部３１０に送付する。なお，対策用ファイル群１１４にはセキュリティ対策を行う実行ファイルと簡単なファイルの内容説明を記載したファイルを圧縮したような形式で格納されている。 The coping execution processing unit 306 refers to the coping unit 2402 of the determination / coping policy 105, and when the application of the OS password is ON, based on the OS password setting information notified from the coping execution processing unit 306. An execution file for setting the OS password is acquired from the countermeasure file group 114 and sent to the countermeasure execution processing unit 310 of the target computer 102 by FTP or the like. When the software name for encryption is specified for encryption, the target software is acquired from the countermeasure file group 114 and sent to the countermeasure execution processing unit 310 of the target computer 102 by FTP or the like. To do. Note that the countermeasure file group 114 stores an executable file for performing security countermeasures and a file in which a simple description of the contents of the file is compressed.

対策実行処理部３１０では，送付されたファイルを展開した後に，ファイルリストを作成し，図２６に示すようなダイアログを表示する。ダイアログには，実行ファイル名２６０１，その内容２６０２および実行有無２６０３が表示されており，ユーザは実施すべき対策について実行有無２６０３のチェックボックスにチェックを付け，実行ボタン２６０４を押下することで，コンピュータ１０２のセキュリティ対策を行う。また，オプションとして，ユーザの判断を求めるダイアログを表示せず，自動でセキュリティ対策を行っても良い。このようにセキュリティ対策が不十分なコンピュータ１０２に対して，セキュリティ管理レベルに応じた適切なセキュリティ対策を自動または手動で行うことが可能となる。 The countermeasure execution processing unit 310 expands the sent file, creates a file list, and displays a dialog as shown in FIG. In the dialog, an execution file name 2601, its contents 2602, and execution / non-execution 2603 are displayed, and the user checks the execution / non-execution 2603 check boxes for countermeasures to be implemented, and presses the execution button 2604 to select the computer. 102 security measures are taken. In addition, as an option, a security measure may be automatically taken without displaying a dialog asking for user judgment. As described above, an appropriate security measure corresponding to the security management level can be automatically or manually performed on the computer 102 with insufficient security measures.

図２７は，セキュリティ対策状況判定処理部３０５のフローチャートを示した図である。セキュリティ対策状況判定処理部３０５では，セキュリティ管理レベル情報テーブル１１１から判定対象となる資産のセキュリティ管理レベル８０７を取得する（２７０１）。取得したセキュリティ管理レベルを参照し（２７０２），セキュリティ管理レベルがAの場合にはセキュリティ管理レベルAに対応した判定/対処ポリシー名（２７０３），セキュリティ管理レベルがBの場合にはセキュリティ管理レベルBに対応した判定/対処ポリシー名を取得する（２７０４）。セキュリティ管理レベルがＡ，Ｂ以外の場合も同様に，判定/対処ポリシー情報管理テーブル１１３からセキュリティ管理レベルに対応した判定/対処ポリシー名を取得する。 FIG. 27 is a diagram illustrating a flowchart of the security countermeasure status determination processing unit 305. The security countermeasure status determination processing unit 305 acquires the security management level 807 of the asset to be determined from the security management level information table 111 (2701). The acquired security management level is referred to (2702). When the security management level is A, the judgment / action policy name corresponding to security management level A (2703), and when the security management level is B, security management level B The determination / handling policy name corresponding to is acquired (2704). Similarly, when the security management level is other than A or B, the determination / handling policy name corresponding to the security management level is acquired from the judgment / handling policy information management table 113.

取得した判定/対処ポリシー名から判定/対処ポリシー１０５のデータを参照する（２７０５）。これにより，各コンピュータ１０２のセキュリティ管理レベル８０７に応じてセキュリティ対策状況を判定することが可能となる。判定/対処ポリシー１０５における判定部２４０１に指定されているOSパスワードの設定文字数１９０８と資産情報テーブル１１０のOSパスワード設定の情報を比べ（２００６），判定/対処ポリシー１０５に指定された文字数の方が大きい場合には，コンピュータ１０２のセキュリティ対策が不十分であると判断し，判定/対処ポリシー１０５の対処部２４０２のOSパスワードの設定を参照し（２７０７），設定がONになっている場合には，対処実行処理部にOSパスワードの情報を通知する（２７０８）。なお，OSパスワードの設定文字数１９０８と資産情報テーブル１１０のOSパスワード設定の情報を比べ（２００６），同じまたは資産情報テーブル１１０のOSパスワード文字数の方が大きい場合にはコンピュータ１０２のセキュリティ対策が十分であると判断し，処理を終了する。また，判定/対処ポリシー１０５の対処部２４０２のOSパスワードの設定を参照し（２７０７），設定がOFFになっている場合には何も対策をせず，処理を終了する。 The data of the judgment / handling policy 105 is referred to from the obtained judgment / handling policy name (2705). As a result, the security countermeasure status can be determined according to the security management level 807 of each computer 102. The number of characters set in the OS password 1908 specified in the determination unit 2401 in the determination / countermeasure policy 105 is compared with the OS password setting information in the asset information table 110 (2006), and the number of characters specified in the determination / countermeasure policy 105 is greater. If it is larger, it is determined that the security measures of the computer 102 are insufficient, the OS password setting of the coping unit 2402 of the judgment / handling policy 105 is referred to (2707), and if the setting is ON The OS password information is notified to the coping execution processing unit (2708). Note that the OS password setting character count 1908 and the OS password setting information in the asset information table 110 are compared (2006). If the same or the OS password character count in the asset information table 110 is larger, the security measures of the computer 102 are sufficient. It is determined that there is, and the process is terminated. Also, the OS password setting of the coping unit 2402 of the determination / coping policy 105 is referred to (2707). If the setting is OFF, no countermeasure is taken and the processing is terminated.

また，判定/対処ポリシー１０５の判定部２４０１における暗号化がONになっている場合は，資産情報テーブル１１０の暗号化の情報１９０９を調べ（２７０９），資産情報テーブルから取得した暗号化のデータ１９０９がOFFになっている場合は，コンピュータ１０２のセキュリティ対策が不十分であると判断し，次に判定/対処ポリシー１０５の対処部２４０２の暗号化パラメータを参照する（２７１０）。判定/対処ポリシー１０５の対処部２４０２の暗号化パラメータに対策用のソフトウェア名が指定されている場合には，そのソフトウェアの情報を対処実行処理部３０６に通知する（２７１１）。なお，資産情報テーブルから取得した暗号化のデータ１９０９がONになっている場合には，コンピュータ１０２のセキュリティ対策が十分であると判断し，処理を終了する。また，判定/対処ポリシー１０５の対処部２４０２の暗号化パラメータがOFFになっている場合には，何も対策せず，処理を終了する。 If encryption in the determination unit 2401 of the determination / handling policy 105 is ON, the encryption information 1909 in the asset information table 110 is checked (2709), and the encrypted data 1909 acquired from the asset information table is checked. Is OFF, it is determined that the security measures of the computer 102 are insufficient, and the encryption parameter of the coping unit 2402 of the judgment / coping policy 105 is referred to (2710). If a countermeasure software name is specified in the encryption parameter of the countermeasure section 2402 of the determination / countermeasure policy 105, the software information is notified to the countermeasure execution processing section 306 (2711). If the encrypted data 1909 acquired from the asset information table is ON, it is determined that the security measures for the computer 102 are sufficient, and the process is terminated. Also, if the encryption parameter of the coping unit 2402 of the judgment / coping policy 105 is OFF, no countermeasure is taken and the process is terminated.

図２８は対処実行処理部３０６，対策実行処理部３１０のフローチャートを示した図である。対処実行処理部３０６では，セキュリティ対策状況判定処理部３０５から受け取ったソフトウェアや実行ファイルの情報をもとに対策用ファイル群１１４を検索し，暗号化ソフトウェアのインストール実行ファイル（２８０２）やOSの設定を変更するような実行ファイルを取得する（２８０１）。取得した実行ファイルはFTP等で対策実行処理部３１０に送付し（２８０３），対策実行処理部３１０では送付されたファイルを展開する（２８０４）。オプションを参照し（２８０５），手動に設定されている場合は，展開したファイル群からファイルリストを作成し，ダイアログを表示する（２８０６）。ユーザが実行ファイルを選択し，実行ボタンが押下されると（２８０７），実行有無にチェックがついているかを判断し（２８０８），実行有無にチェックがついている場合には対策ファイルを実行しソフトウェアのインストール等を行う（２８０９）。また，オプションが自動の場合には，全ての対策ファイルを自動で実行し，ソフトウェアのインストール等を行う（２８１０）。これにより，各コンピュータ１０２のセキュリティ管理レベル８０８に応じてコンピュータ１０２に対してセキュリティ対策が行われ，システム内の脆弱なコンピュータ１０２のセキュリティ強度を保つことができる。 FIG. 28 is a diagram illustrating a flowchart of the countermeasure execution processing unit 306 and the countermeasure execution processing unit 310. The countermeasure execution processing unit 306 searches the countermeasure file group 114 based on the software and execution file information received from the security countermeasure status determination processing unit 305, and installs the encrypted software installation execution file (2802) and OS settings. (2801) An execution file that changes the above is acquired. The acquired execution file is sent to the countermeasure execution processing unit 310 by FTP or the like (2803), and the countermeasure execution processing unit 310 expands the sent file (2804). An option is referred to (2805), and if it is set to manual, a file list is created from the expanded file group and a dialog is displayed (2806). When the user selects an execution file and the execution button is pressed (2807), it is determined whether execution is checked (2808). If execution is checked, the countermeasure file is executed and the software is executed. Installation or the like is performed (2809). If the option is automatic, all countermeasure files are automatically executed, and software is installed (2810). As a result, security measures are taken for the computer 102 in accordance with the security management level 808 of each computer 102, and the security strength of the vulnerable computer 102 in the system can be maintained.

図２９はコンピュータ１０２の代わりに仮想マシン２９０１を管理対象とした場合のセキュリティ管理システムを機能ブロックで説明した図である。仮想マシン２９０１についてもコンピュータ１０２を管理する場合と同様に，仮想マシン２９０１にエージェント処理部１０７や情報漏えい対策製品やアクセス制御製品などのセキュリティ製品１０６を入れることにより，仮想マシンのセキュリティ管理レベルに応じたセキュリティ管理が可能となる。 FIG. 29 is a functional block diagram illustrating a security management system when a virtual machine 2901 is managed instead of the computer 102. As in the case of managing the computer 102 for the virtual machine 2901, the security processing level of the virtual machine can be adjusted by inserting the agent processing unit 107 and the security product 106 such as an information leakage countermeasure product and an access control product into the virtual machine 2901. Security management.

これまでに示した手法により，システム内に一台でも適切なセキュリティ設定（OSの設定，セキュリティ製品１０６の導入，セキュリティ製品１０６の設定など）を行っているコンピュータ１０２があれば，そこから機密情報を表わすキーワード６０２を作成し，そのコンピュータ１０２と同等のセキュリティ設定が必要な他のコンピュータ１０２のセキュリティ設定を自動的に行うことが可能となる。 If there is a computer 102 that has appropriate security settings (OS setting, installation of security product 106, setting of security product 106, etc.) in the system by any of the methods shown so far, confidential information can be found there. It is possible to create a keyword 602 representing, and automatically set the security of another computer 102 that requires the same security setting as that of the computer 102.

本発明に係わる一実施例としてのセキュリティ管理システムを機能ブロックとして表した図である。It is the figure which represented the security management system as one Example concerning this invention as a functional block. 本発明に係わる一実施例としてのセキュリティ管理システムをハードウェア構成として表した図である。It is a figure showing the security management system as one Example concerning this invention as a hardware constitutions. 本発明に係わるセキュリティ管理コンピュータの管理処理部およびコンピュータのエージェント処理部を機能ブロックとして示した図である。It is the figure which showed the management processing part of the security management computer concerning this invention, and the agent processing part of the computer as a functional block. 本発明に係わるアクセス制御情報収集/通知処理部および機密度ポリシー管理処理部を機能ブロックとして示した図である。It is the figure which showed the access control information collection / notification processing part and confidentiality policy management processing part concerning this invention as a functional block. 本発明に係わる機密度ポリシーに格納する情報の一例を示した図である。It is the figure which showed an example of the information stored in the confidentiality policy concerning this invention. 本発明に係わる機密度情報テーブルを示した図である。It is the figure which showed the confidentiality information table concerning this invention. 本発明に係わるアクセス制御情報収集/通知処理部および機密度ポリシー管理処理部の処理フローを示した図である。It is the figure which showed the processing flow of the access control information collection / notification processing part and confidentiality policy management processing part concerning this invention. セキュリティ管理レベル情報収集/通知処理部およびセキュリティ管理レベル情報管理処理部を機能ブロックとして示した図である。It is the figure which showed the security management level information collection / notification processing part and the security management level information management processing part as a functional block. セキュリティ管理レベル情報収集/通知処理部およびセキュリティ管理レベル情報管理処理部の処理フローを示した図である。FIG. 5 is a diagram illustrating a processing flow of a security management level information collection / notification processing unit and a security management level information management processing unit. 本発明に係わるセキュリティ管理レベル情報テーブルを示した図である。It is the figure which showed the security management level information table concerning this invention. コンピュータの機密情報保持レベルを判断する処理フローを示した図である。It is the figure which showed the processing flow which judges the confidential information retention level of a computer. コンピュータの役割を判断する処理フローを示した図である。It is the figure which showed the processing flow which judges the role of a computer. コンピュータの役割の判断基準を説明するための概念図である。It is a conceptual diagram for demonstrating the criteria for judging the role of a computer. 本発明に係わるセキュリティ管理レベル参照情報テーブルを示した図である。It is the figure which showed the security management level reference information table concerning this invention. ユーザ確認後にセキュリティ管理レベルを更新する場合に，セキュリティ管理レベル情報管理処理部およびセキュリティ管理レベル情報更新処理部を機能ブロックとして示した図である。FIG. 3 is a diagram showing a security management level information management processing unit and a security management level information update processing unit as functional blocks when a security management level is updated after user confirmation. ユーザがセキュリティ管理レベルを確認する際に表示されるダイアログを示した図である。It is the figure which showed the dialog displayed when a user confirms a security management level. ユーザ確認後にセキュリティ管理レベルを更新する場合に，セキュリティ管理レベル情報管理処理部およびセキュリティ管理レベル情報更新処理部の処理フローを示した図である。FIG. 10 is a diagram illustrating a processing flow of a security management level information management processing unit and a security management level information update processing unit when a security management level is updated after user confirmation. 資産情報収集/通知処理部および資産情報管理処理部を機能ブロックとして示した図である。It is the figure which showed the asset information collection / notification processing part and the asset information management processing part as a functional block. 本発明に係わる資産情報テーブルを示した図である。It is the figure which showed the asset information table concerning this invention. 資産情報収集/通知処理部および資産情報管理処理部の処理フローを示した図である。It is the figure which showed the processing flow of the asset information collection / notification processing part and the asset information management processing part. 判定/対処ポリシー管理処理部の機能ブロックを示した図である。It is the figure which showed the functional block of the judgment / handling policy management processing part. 判定/対処ポリシー管理処理部の処理フローを示した図である。FIG. 6 is a diagram illustrating a processing flow of a determination / handling policy management processing unit. 本発明に係わる判定/対処ポリシー情報テーブルを示した図である。It is the figure which showed the judgment / handling policy information table concerning this invention. 本発明に係わる判定/対処ポリシーに格納する情報の一例を示した図である。It is the figure which showed an example of the information stored in the determination / countermeasure policy concerning this invention. セキュリティ対策状況判定処理部，対処実行処理部および対策実行処理部の関係を説明する図である。It is a figure explaining the relationship between a security countermeasure status determination processing part, a countermeasure execution processing part, and a countermeasure execution processing part. ユーザが対策ファイルを選択する際に表示されるダイアログを示した図である。It is the figure which showed the dialog displayed when a user selects a countermeasure file. セキュリティ対策状況判定処理部の処理フローを示した図である。It is the figure which showed the processing flow of the security countermeasure status determination process part. 対処実行処理部および対策実行処理部の処理フローを示した図である。It is the figure which showed the processing flow of the countermeasure execution processing part and the countermeasure execution processing part. 仮想マシンを管理する際のセキュリティ管理システムを機能ブロックとして示した図である。It is the figure which showed the security management system at the time of managing a virtual machine as a functional block.

符号の説明Explanation of symbols

101 セキュリティ管理コンピュータ
102 コンピュータ
103 管理処理部
104 機密度ポリシー
105 判定/対処ポリシー
106 セキュリティ製品
107 エージェント処理部
108 データベース
109 機密度情報テーブル
110 資産情報テーブル
111 セキュリティ管理レベル情報テーブル
112 セキュリティ管理レベル参照情報テーブル
113 判定/対処ポリシー情報テーブル
114 対策用ファイル群
201 ＣＰＵ
202 ＲＡＭ
203 記憶装置
204 バス
205 通信回路
206 ネットワーク
301 機密度ポリシー管理処理部
302 判定/対処ポリシー管理処理部
303 資産情報管理処理部
304 セキュリティ管理レベル情報管理処理部
305 セキュリティ対策状況判定処理部
306 対処実行処理部
307 アクセス制御情報収集/通知処理部
308 セキュリティ管理レベル情報収集/通知処理部
309 資産情報収集/通知処理部
310 対策実行処理部
401 セキュリティ製品の設定情報
801 ファイルやデータベース
802 機密度情報収集処理部
803 共有ファイル情報収集処理部
804 リモートアクセス情報収集処理部
1801 設定ファイルやレジストリ
2201 判定/対処ポリシーの判定処理部
2202 判定/対処ポリシーの対処部
2901 仮想マシン

101 security management computer
102 computer
103 Management processing section
104 Sensitivity policy
105 Judgment / Action Policy
106 Security products
107 Agent processing section
108 Database
109 Sensitivity information table
110 Asset information table
111 Security management level information table
112 Security management level reference information table
113 Judgment / handling policy information table
114 Countermeasure files
201 CPU
202 RAM
203 storage
204 Bus
205 Communication circuit
206 network
301 Sensitivity Policy Management Processing Department
302 Judgment / handling policy management processing part
303 Asset Information Management Processing Department
304 Security management level information management processor
305 Security countermeasure status judgment processing part
306 Action execution processing section
307 Access control information collection / notification processor
308 Security management level information collection / notification processor
309 Asset Information Collection / Notification Processing Department
310 Countermeasure execution processing section
401 Security product setting information
801 files and databases
802 Sensitivity information collection processor
803 Shared file information collection processor
804 Remote access information collection processor
1801 Configuration files and registry
2201 Judgment / handling policy judgment processing part
2202 Action part of judgment / action policy
2901 virtual machine

Claims

複数のファイルを格納するコンピュータと、複数キーワードの少なくとも一つを含む前記ファイルを機密情報として管理するセキュリティ管理コンピュータを有するセキュリティ管理システムにおいて、
前記コンピュータの各々は、
（１）前記ファイルからキーワード及びアクセス制御レベルを抽出し、
（２）（１）で抽出した結果を集計して前記セキュリティ管理コンピュータに通知し、
前記セキュリティ管理コンピュータは、
（Ａ）複数の前記通知内容を、複数の前記コンピュータに跨って集計し、集計結果を機密度情報に格納し、
（Ｂ）前記機密度情報を基に、前記キーワード毎にもっとも多く現れるセキュリティ対策レベルを求め、
（Ｃ）（Ｂ）で求めたセキュリティ対策レベルによってキーワード毎に機密度を判断し、
（Ｄ）前記コンピュータから受信した前記キーワードを含むファイルの数に基づいて、前記コンピュータの機密情報保持レベルを求め、
（Ｅ）前記機密情報保持レベルから、前記コンピュータのセキュリティ管理レベルを求める、
ことを特徴としたセキュリティ管理システム。 A computer for storing a plurality of files, the security management system which have a security management computer for managing the file including at least one of the plurality keyword confidential,
Each of the computers
(1) Extract keywords and access control levels from the file,
(2) Totalize the results extracted in (1) and notify the security management computer;
The security management computer is :
(A) Aggregating a plurality of the notification contents across the plurality of computers, storing the aggregation results in confidentiality information,
(B) Based on the confidentiality information, the security countermeasure level that appears most frequently for each keyword is obtained,
(C) The sensitivity is determined for each keyword according to the security measure level obtained in (B).
(D) obtaining the confidential information retention level of the computer based on the number of files containing the keyword received from the computer;
(E) obtaining a security management level of the computer from the confidential information holding level;
Security management system characterized by that.

前記セキュリティ管理コンピュータは、前記各コンピュータの前記セキュリティ管理レベルに対応した判定および対処のポリシーを有する判定／対処ポリシー情報記憶手段を有しており、前記セキュリティ管理レベルに基づいて、前記各コンピュータのセキュリティ判定／対処ポリシーを求めて、求めたポリシーに対応した対策状況を判定する対策状況判定部と、求めたポリシーに対応した対処を実行する対処実行処理部とを有することを特徴とする請求項１に記載のセキュリティ管理システム。 The security management computer has a decision / action policy information storage means having the judgment and dealing with policies corresponding to the security management level of each computer, on the basis of the security management level, security of each computer seeking determination / Action policy, claim and having a measure status judging unit judges measure status corresponding to the policy determined, and corrective action processing unit for executing a dealing corresponding to the policy determined 1 Security management system described in 1.

前記セキュリティ管理コンピュータは、  The security management computer is:
（Ｆ）前記コンピュータのリモートアクセス回数と共有ファイル数とから、前記コンピュータの役割を求め、    (F) Finding the role of the computer from the number of remote accesses and the number of shared files of the computer,
前記役割を考慮して、（Ｅ）の前記コンピュータの前記セキュリティ管理レベルを求める、  In consideration of the role, the security management level of the computer in (E) is obtained.
ことを特徴とした請求項１に記載のセキュリティ管理システム。  The security management system according to claim 1, wherein:

前記機密情報を表すキーワードは、前記コンピュータが有するセキュリティ製品の設定情報から取得することを特徴とする請求項１に記載のセキュリティ管理システム。 The keyword for sensitive information, the security management system according to claim 1, characterized in that to obtain the setting information security products which the computer has.

前記機密情報を表すキーワードは、オペレーションシステムによりアクセス制御がかけられているファイルの情報から取得することを特徴とする請求項１に記載のセキュリティ管理システム。 The security management system according to claim 1 , wherein the keyword representing the confidential information is acquired from information on a file whose access is controlled by an operation system.

前記機密情報を表わすキーワードは、前記コンピュータが有するセキュリティ製品によりアクセス制御がかけられているファイルのファイル名から取得することを特徴とする請求項１に記載のセキュリティ管理システム。 The keyword that represents the sensitive information, the security management system according to claim 1, characterized in that to get from the file name of the file access control is applied by the security product which the computer has.

前記機密情報を表わすキーワードは、オペレーションシステムによりアクセス制限がかけられているファイルのファイル名から取得することを特徴とする請求項１に記載のセキュリティ管理システム。 The security management system according to claim 1 , wherein the keyword representing the confidential information is obtained from a file name of a file whose access is restricted by the operation system.

前記コンピュータのセキュリティ管理レベルを変更する際、ユーザに確認画面を出力し、確認の入力を受けた後に、セキュリティ管理レベルを求めることを特徴とする請求項１に記載のセキュリティ管理システム。 When changing the security management level of the computer, after outputting a confirmation screen to the user, you receive the confirmation, the security management system according to claim 1, wherein the determination of the security management level.

前記コンピュータに仮想マシンを導入している環境のセキュリティ対策状況を管理することを特徴とする請求項１に記載のセキュリティ管理システム。 The security management system according to claim 1, wherein the security countermeasure status of an environment in which a virtual machine is introduced into the computer is managed.