JP7476075B2

JP7476075B2 - セキュリティ管理システム及びセキュリティ管理方法

Info

Publication number: JP7476075B2
Application number: JP2020181065A
Authority: JP
Inventors: 英彦黒田; 真哉富永; 貴志尾曲; 健司力石; 孝広代田
Original assignee: Toshiba Corp; Toshiba Energy Systems and Solutions Corp
Current assignee: Toshiba Corp; Toshiba Energy Systems and Solutions Corp
Priority date: 2020-10-29
Filing date: 2020-10-29
Publication date: 2024-04-30
Anticipated expiration: 2040-10-29
Also published as: JP2022071928A

Description

本発明の実施形態は、外部記憶媒体で電子情報を受け渡しする際のセキュリティ管理技術に関する。

社会インフラ、各種のプラントや工場等には、外部のコンピュータネットワークと接続されない施設がある。このような施設の機器に対するソフトウエアの保守や改造は必要なソフトウエアを記憶させた外部記憶媒体を用いる場合がある。このソフトウエアは、管理された第１施設で外部記憶媒体に記憶され、対象となる機器の設置された第２施設に受け渡しされる。そしてこの外部記憶媒体を対象となる機器に接続してソフトウエアを導入し、この機器の保守や改造が行われる。このような外部記憶媒体に記憶させたソフトウエアによる保守や改造では、外部記憶媒体及び記憶させたソフトウエアのセキュリティ管理が重要である。

特開２０１８－１３３０３０号公報

上述のセキュリティ管理では、一般に、ソフトウエアの暗号化によりその漏洩を防止し、ソフトウエアから生成した符号（ハッシュ値等）の照合によりその改竄を検知している。しかし従来技術において、ソフトウエアを暗号化したり復号化したりする鍵の共有方法や、符号（ハッシュ値等）の生成方法に関しては、セキュリティ管理のさらなる向上が求められる。

本発明の実施形態は上述の課題を解決するためになされたものであり、外部のコンピュータネットワークに接続されない施設間で電子情報を受け渡しするに際し、情報の漏洩及び改竄を効果的に防止するセキュリティ管理技術を提供することを目的とする。

実施形態に係るセキュリティ管理システムにおいて、機器に導入される移送データを作成する第１施設及び前記機器が設置される第２施設の各々において、秘匿情報を発行する発行部と、前記発行部から前記秘匿情報を一方向のみに伝送する素子と、前記第１施設において前記移送データ、前記機器の識別データ及び前記秘匿情報を組み合わせて第１符号を生成する第１符号生成部と、前記第１施設において、前記移送データ及び前記第１符号を外部記憶媒体に書き込む書込部と、前記第２施設において、前記外部記憶媒体から前記移送データ及び前記第１符号を読み出す読出部と、前記第２施設において、前記移送データ、前記識別データ及び前記秘匿情報を組み合わせて第２符号を生成する第２符号生成部と、前記第２施設において、取得した前記第１符号と生成した前記第２符号との一致／不一致を照合する照合部と、を備える。

本発明の実施形態により、外部のコンピュータネットワークに接続されない施設間で電子情報を受け渡しするに際し、情報の漏洩及び改竄を効果的に防止するセキュリティ管理技術が提供される。

本発明の第１実施形態に係るセキュリティ管理システムのブロック図。本発明の第２実施形態に係るセキュリティ管理システムのブロック図。第２実施形態の変形例を示すセキュリティ管理システムのブロック図。本発明の実施形態に係るセキュリティ管理方法のフローチャート。

（第１実施形態）
以下、本発明の実施形態を添付図面に基づいて説明する。図１は本発明の第１実施形態に係るセキュリティ管理システム１０Ａ（１０）（以下、単に「システム１０Ａ」という）のブロック図である。このようにシステム１０Ａは、機器３７に導入される移送データＰを作成する第１施設１１及び機器３７が設置される第２施設１２の各々において秘匿情報Ｓを発行する発行部１５（１５ａ，１５ｂ）と、発行部１５から秘匿情報Ｓを一方向のみに伝送する素子２９と、第１施設１１の保存部１６ａに保存されている移送データＰ、保持部１７ａに保持されている機器３７の識別データＤ及び発行部１５ａの秘匿情報Ｓを組み合わせて第１符号Ｋ₁を生成する第１符号生成部２１と、第１施設１１において移送データＰ及び第１符号Ｋ₁を外部記憶媒体３９に書き込む書込部２６と、を備えている。

さらにシステム１０Ａは、第２施設１２において外部記憶媒体３９から移送データＰ及び第１符号Ｋ₁を読み出す読出部２７と、第２施設１２で読み出され保存部１６ｂに保存された移送データＰ、保持部１７ｂに保持されている識別データＤ（第１施設１１の保持部１７ａに保持されているものと同一のもの）及び発行部１５ｂの秘匿情報Ｓを組み合わせて第２符号Ｋ₂を生成する第２符号生成部２２と、読出部２７で取得され保持部１９に保持された第１符号Ｋ₁と生成された第２符号Ｋ₂との一致／不一致を照合する照合部３５と、第２施設１２において照合の結果が一致である場合に移送データＰの機器３７への導入を許可する導入許可部３６と、を備えている。

機器３７は、電気、上下水道やガスなどの社会インフラ、鉄鋼や化学等のプラントや工場などの施設（第２施設１２）における設備である。これらの設備には多種多様な電子機器が使用され、その数量も多い。移送データＰは、機器３７に導入されるもので、ソースコードや実行ファイル、データファイル等が記述されており、機器３７にインストールされているソフトウエアをバージョンアップするためのデータ、保守点検や改造を行うのに必要なデータである。

第２施設１２に設けられた機器３７の更新、保守や改造に必要な移送データＰは、第１施設１１において作成され、保存部１６ａに保存されている。なお、移送データＰの第１施設１１から第２施設１２への移送は、第１施設１１で移送データＰを外部記憶媒体３９に記憶させ、この外部記憶媒体３９を第２施設１２に受け渡してから読み出しを行うことで達成される。

なお第１施設１１と第２施設１２を結ぶ通信ネットワークがあれば、これを用いて移送データＰを送信することで容易である。しかし、そのような通信ネットワークを用いる方法では、情報漏洩、改竄、成りすまし、マルウエア感染などセキュリティ上の懸念がある。さらにその他の事情により、第１施設１１と第２施設を通信ネットワークで結べない場合もある。このため、外部記憶媒体３９を用いて第１施設１１から第２施設１２への移送データＰの受け渡しが行われる。

発行部１５（１５ａ，１５ｂ）は、第１施設１１と第２施設１２の各々に設けられ、それぞれにおいて所定のビット長を持つ同一の秘匿情報Ｓを発行する。そして伝送路には、秘匿情報Ｓを一方向のみに伝送する素子２９が接続され、外部から伝送路を通じて発行部１５へアクセスできないようになっている。また発行部１５（１５ａ，１５ｂ）は、電波時計、公共電波、時報などの受信機を備えて時刻情報を取得し、コンピュータネットワークによらない方法で内部時刻を修正することができる。なお内部時刻の修正間隔や頻度は自由に設定できる。

発行部１５は、マイクロコントローラ、パーソナル・コンピューター、スーパーコンピューターなどの汎用の電子機器、あるいは専用の電子装置や演算装置で構築される。発行される秘匿情報Ｓは、定数、擬似乱数、各種の暗号方式の鍵データなどを適用できる。また一方向の伝送路はＬＥＤとＰＤ等の素子２９で容易に構成できる。

保持部１７（１７ａ，１７ｂ）に保持されている識別データＤは、移送データＰを導入する対象である機器３７に関連付けされた固有情報である。そもそも第２施設１２の機器３７は、移送データＰを作成する第１施設１１の事業者が設置したものなので、識別データＤは第１施設１１及び第２施設１２の双方で共有されている。

なお、第２施設１２側の保持部１７ｂは、機器３７の記憶領域に個別に設けることができ、また第２施設１２の内部ネットワークを利用してサーバまたはＮＡＳ（Network attached Storage）として複数の機器３７の固有情報を一元管理することもできる。なお第１施設１１及び第２施設１２の双方で共有される識別データＤとして、機器３７の固有情報の他に、移送データＰの特性情報や履歴情報、もしくはシーケンス番号等が挙げられる。

ここで履歴情報は、歴代の移送データＰによる点検や保守、改造の後の更新情報を書き込んでなるものであることから、第１施設１１及び第２施設１２で互いに一致した識別データＤとして保持されている。またシーケンス番号は、移送の順送りで、重複なく付与されるものなので、同じく第１施設１１及び第２施設１２で互いに一致した識別データＤとして保持されている。

第１符号生成部２１は、第１施設１１の保存部１６ａに保存されている移送データＰ、保持部１７ａに保持されている識別データＤ及び秘匿情報Ｓを組み合わせて第１符号Ｋ₁を生成する。第１符号生成部２１は、これら移送データＰ、識別データＤ及び秘匿情報Ｓをバイナリ変換し、それぞれを、連結、四則演算（ＡＮＤ，ＯＲ，ＸＯＲ）や四則演算を組み合せた計算を行ってパラメータ化する。また第１符号Ｋ₁は、さらに外部記憶媒体３９の情報も含めて生成してもよい。これにより、外部記憶媒体３９は限定して使用許可される。

そしてこのパラメータに対し、一方向性関数や認証付きブロック暗号のアルゴリズムを適用して計算されるメッセージ認証符号、あるいはデジタル署名の署名とすることで第１符号Ｋ₁を生成する。一方向性関数としては、例えば、ＭＤ２，ＭＤ４，ＭＤ５，ＳＨＡ－１，ＳＨＡ－２，ＳＨＡ－３，ＲＩＰＥＭＤ－１２８，ＲＩＰＥＭＤ－１６０が、認証付きブロック暗号のアルゴリズムにはＣＢＣ－ＭＡＣ，ＣＭＡＣ，ＣＣＭ，ＧＣＭ／ＧＭＡＣが、デジタル署名にはＲＳＡやＤＳＡが適用できる。

外部記憶媒体３９は、第１施設１１から第２施設１２へ運搬され、読出部２７へ接続される。読出部２７は書込部２６と同様の構成を持つ。また第２施設１２の発行部１５ｂは、第１施設１１の発行部１５ａと同一の構成であり、それぞれ同一の擬似乱数や共通暗号鍵といった秘匿情報Ｓを発行する。

第２符号生成部２２は、説明を省略するが上述した第１符号生成部２１と同一の機能を持つ。この第２符号生成部２２は、保存部１６ｂに保存されている移送データＰと、保持部１７ｂに保持されている識別データＤと、発行部１５ｂが発行した秘匿情報Ｓと、を組み合わせて第２符号Ｋ₂を生成する。

照合部３５は、保持部１９に保持された第１符号Ｋ₁と、生成部２２で生成した第２符号Ｋ₂との一致／不一致を照合する。第１符号Ｋ₁と第２符号Ｋ₂とが一致する場合は、第１施設１１から発送された移送データＰと第２施設１２で受領した移送データＰとは同一であることが確認できる。一方で、第１符号Ｋ₁と第２符号Ｋ₂とが不一致の場合は、外部記憶媒体３９による受け渡しの過程で、移送データＰの改竄の可能性が疑われる。

導入許可部３６は、照合の結果が一致である場合、移送データＰが改竄されていないこと及びこの移送データＰが適用される対象（機器３７）に間違いがないことが証明されたとみなし、移送データＰの機器３７への導入を許可する。これにより、機器３７の更新、保守点検や改造がなされる。なお、読出部２７、復号化部２８、照合部３５及び導入許可部３６は、それぞれの対象機器３７に一体化して設けることもできる。

（第２実施形態）
以下、本発明の実施形態を添付図面に基づいて説明する。図２は本発明の第２実施形態に係るセキュリティ管理システム１０Ｂ（１０）のブロック図である。図３は第２実施形態の変形例を示すセキュリティ管理システム１０Ｂ（１０）（以下、単に「システム１０Ｂ」という）のブロック図である。なお、図２において図１と共通の構成又は機能を有する部分は、同一符号で示し、重複する詳細な説明を省略する。

第２実施形態に係るシステム１０Ｂは、上述したシステム１０Ｂの構成に加えて、さらに、第１施設１１において、秘匿情報Ｓに基づく暗号鍵Ｘで、第１符号Ｋ₁及び移送データＰのうち少なくとも移送データＰを暗号化する暗号化部２５を備えている。さらに第２施設１２において、外部記憶媒体３９から読み出した暗号化データを、秘匿情報Ｓに基づく復号鍵Ｙで、復号化する復号化部２８を備えている。

このようにシステム１０Ｂは、第１施設１１及び第２施設１２の各々において秘匿情報Ｓを発行する発行部１５（１５ａ，１５ｂ）と、発行部１５から秘匿情報Ｓを一方向のみに伝送する素子２９と、第１施設１１の保存部１６ａに保存されている移送データＰ、保持部１７ａに保持されている識別データＤ及び発行部１５ａの秘匿情報Ｓを組み合わせて第１符号Ｋ₁を生成する第１符号生成部２１と、第１施設１１の暗号化部２５で移送データＰ及び第１符号Ｋ₁のうち少なくとも移送データＰが暗号化された暗号化データを外部記憶媒体３９に書き込む書込部２６と、を備えている。

作成部１８ａは、秘匿情報Ｓに基づき暗号鍵Ｘを作成する。また暗号方式は、共通鍵方式や公開鍵方式などの各種方式が適用できる。なお、共通鍵方式の場合は、作成部１８ａを省略して、秘匿情報Ｓをそのまま暗号鍵Ｘとして用いることができる。また公開鍵方式の場合は、この秘匿情報Ｓは秘密鍵に相当し、作成部１８ａで公開鍵が復号鍵Ｙとして作成される。

そしてシステム１０Ｂは、第２施設１２において外部記憶媒体３９から暗号化データ（移送データＰ_t及び第１符号Ｋ₁）を読み出す読出部２７と、第２施設１２において秘匿情報Ｓに基づき作成部１８ｂで作成した復号鍵Ｙで暗号化データ（移送データＰ_t及び第１符号Ｋ₁）を復号化する復号化部２８と、第２施設１２において読み出され（復号化され）保存部１６ｂに保存された移送データＰ、保持部１７ｂに保持されている識別データＤ（第１施設１１の保持部１７ａに保持されているものと同一のもの）及び発行部１５ｂの秘匿情報Ｓを組み合わせて第２符号Ｋ₂を生成する第２符号生成部２２と、読出部２７で取得され保持部１９に保持された第１符号Ｋ₁と生成された第２符号Ｋ₂との一致／不一致を照合する照合部３５と、第２施設１２において照合の結果が一致である場合に移送データＰの機器３７への導入を許可する導入許可部３６と、を備えている。

第２実施形態において第１符号生成部２１は、生成した第１符号Ｋ₁を暗号化部２５に送る。暗号化部２５は、この第１符号Ｋ₁と移送データＰとを連結し、秘匿情報Ｓに基づく暗号鍵Ｘで暗号化する。そして、連結された移送データＰと第１符号Ｋ₁との暗号化データ（Ｐ||Ｋ₁）_tは、書込部２６でマルウエアが無いことを確認したうえで、外部記憶媒体３９に書き込まれる。

また変形例として示す図３のように、暗号化部２５は、秘匿情報Ｓに基づく暗号鍵Ｘで移送データＰのみを暗号化し、暗号化した移送データＰ_tと平文の第１符号Ｋ₁とを連結したデータＰ_t||Ｋ₁を、書込部２６でマルウエアが無いことを確認したうえで、外部記憶媒体３９に書き込む。

書込部２６には、マルウエアの検出及び駆除をするソフトエアが備えられ、常時監視により、外部記憶媒体３９へのマルウエア侵入を防止する。外部記憶媒体３９は、記憶容量や持ち運び易さなどに応じて適切なものを選定できる。また外部記憶媒体３９は書き込み時や読み取り時にパスワード入力を必要とさせてもよい。また暗号化データ（Ｐ||Ｋ₁）_t、Ｐ_t||Ｋ₁を記憶させた外部記憶媒体３９を複数作成してもよい。

外部記憶媒体３９は、第１施設１１から第２施設１２へ運搬され、読出部２７へ接続される。外部記憶媒体３９に記憶されている暗号化データ（Ｐ||Ｋ₁）_tは、暗号化されているため情報漏洩することがない。読出部２７でマルウエアが無いことを確認されたのち、暗号化データ（Ｐ||Ｋ₁）_tは、復号化部２８へ送られる。

また変形例として示す図３のように、外部記憶媒体３９に記憶されているデータＰ_t||Ｋ₁のうち移送データＰ_tは暗号化されているため情報漏洩することがない。また１つのデータＰ_t||Ｋ₁に対して複数以上の外部記憶媒体３９を作成した場合は、読出部２７において全ての記憶データＰ_t||Ｋ₁が一致することを確認することで不正や不具合を検出できる。読出部２７でマルウエアが無いことを確認されたのち、平文の第１符号Ｋ₁は保持部１９に保持され、暗号化された移送データＰ_tは復号化部２８へ送られる。

作成部１８ｂは、秘匿情報Ｓに基づき復号鍵Ｙを作成する。また暗号方式は、共通鍵方式や公開鍵方式などの各種方式が適用できる。なお、共通鍵方式の場合は、作成部１８ｂを省略して、秘匿情報Ｓをそのまま複合鍵Ｙとして用いることができる。

第２施設１２の発行部１５ｂは、第１施設１１の発行部１５ａと同一の構成であり、それぞれ同一の擬似乱数や共通暗号鍵といった秘匿情報Ｓを発行する。またこの秘匿情報Ｓが公開鍵に関する情報である場合、この秘匿情報Ｓは秘密鍵に相当し、作成部１８ｂで公開鍵が復号鍵Ｙとして作成される。また発行部１５（１５ａ，１５ｂ）が、時刻情報を取得する場合は、両者は同期して共通の秘匿情報を発行できる。

復号化部２８は、読出部２７で外部記憶媒体３９から読み出した暗号化データ（Ｐ||Ｋ₁）_t又は暗号化された移送データＰ_tを、秘匿情報Ｓに基づく復号鍵Ｙで復号化する。そして復号化された移送データＰは保存部１６ｂに保存され、第１符号Ｋ₁は保持部１９に保持される。このように移送データＰさらには第１符号Ｋ₁も共に暗号化されることで、外部記憶媒体３９による受け渡しの過程における、移送データＰの改竄の可能性をさらに低減できる。

（第３実施形態）
本発明の第３実施形態に係るセキュリティ管理システム１０（以下、単に「システム１０」という）は、図１及び図２のブロック図を参照して説明される。第３実施形態のシステム１０は、秘匿情報Ｓの発行部１５（１５ａ，１５ｂ）において、遅延設定部（図示略）が設けられている。

発行部１５（１５ａ，１５ｂ）の内部時間は、タイマーや発信器やカウンターで計られる一定の時間周期で、基準時間が再設定され同期がとられる。また他の通信回線で同期信号を送信することで同期をとる。再設定の時間間隔や頻度は自由に設定できる。これにより、コンピュータネットワークによらない方法で時刻又はタイミングを取得し基準時間を再設定することができ、第１施設１１と第２施設１２が互いにコンピュータネットワークに接続される必要がなく、かつ時間ずれが起きることがなく、一対の秘匿情報を安全かつ効率的に同期して発行できる。

遅延設定部（図示略）は、第１施設１１の発行部１５ａにおける秘匿情報Ｓの発行に際し、遅延時間を設定して、第２施設１２の発行部１５ｂから対となる秘匿情報Ｓを発行する。第１施設１１から第２施設１２へ外部記憶媒体３９を受け渡しするには所定の時間がかかる。このため、外部記憶媒体３９が読出部２７に接続するまでは、発行部１５ｂにおける秘匿情報Ｓの発行は不要である。そこで、第２施設１２の発行部１５ｂから発行される秘匿情報Ｓを設定した遅延時間だけ遅らせる。

外部記憶媒体３９は所定の受渡時間をかけて第１施設１１から第２施設１２へ受け渡され、読出部２７へ接続される。外部記憶媒体３９から読み出された暗号化データは、復号化部２８において遅延設定部（図示略）で設定した遅延時間だけ遅れて発行された秘匿情報Ｓで復号され、移送データＰ（及び第１符号Ｋ₁）が取り出される。復号化部２８で移送データＰを復号するまでは秘匿情報Ｓは必要ないため、暗号鍵Ｘを求める秘匿情報Ｓを受渡時間だけ遅れて発行部１５ａから発行することで安全性を向上できる。さらに移送データＰを暗号化した時間から復号化された時間までの経過時間を算出し、移送時間と経過時間との差が大きい場合は、不正と判定することもできる。

（第４実施形態）
本発明の第４実施形態に係るセキュリティ管理システム１０（以下、単に「システム１０」という）は、図１及び図２のブロック図を参照して説明される。第４実施形態のシステム１０は、第２施設１２の照合部３５において、第１施設１１の発行部１５ａで発行させた過去の秘匿情報Ｓを、予め設定した数だけ記憶できる。そして、第２符号生成部２２は、設定した秘匿情報Ｓの数だけ第２符号Ｋ₂を生成する。また照合部３５には、音、光、画像などの送信専用センサを備え、送信信号をトリガとして秘匿情報の発行を要求する。これらセンサはコンピュータネットワークとは切り離されている。

第４実施形態の第１施設１１の発行部１５ａは、第２施設１２の機器３７の点検や保守、改造を行う度ごと、或いはある一定の使用回数毎に秘匿情報Ｓを発行する。この発行部１５ａには、音、光、画像などの受信専用センサを備え、受信信号をトリガとして秘匿情報Ｓを発行する。これらセンサはコンピュータネットワークとは切り離されており、発行部１５へアクセスすることはできない。秘匿情報についても、定数、擬似乱数、各種の暗号方式の鍵などが適用できる。

第４実施形態のシステム１０では、第１施設１１と第２施設１２とで、一対の秘匿情報Ｓが発行の度に変化することにより、秘匿情報Ｓを容易に変更でき、一対の秘匿情報Ｓを安全かつ効率的に共有できる。また照合部３５において過去に発行した秘匿情報Ｓが予め設定された数だけ記憶されるため、記憶される数の秘匿情報Ｓによる照合が可能となり、第１施設１１と第２施設１２とで秘匿情報Ｓの発行にずれが生じた場合であっても、一対の秘匿情報Ｓを安全、かつ効率的に共有できる。

図４のフローチャートに基づいて実施形態に係るセキュリティ管理方法を説明する（適宜、図１，図２参照）。まず第１施設１１の発行部１５ａにおいて秘匿情報Ｓを発行する（Ｓ１１）。次に第１施設１１で移送データＰ、識別データＤ及び秘匿情報Ｓを組み合わせて第１符号Ｋ₁を生成する（Ｓ１２）。さらに秘匿情報Ｓに基づき暗号鍵Ｘを作成する（Ｓ１３）。

そして、この暗号鍵Ｘで移送データＰを暗号化し（Ｓ１４ａ）、この暗号化された移送データＰ_t及び平文の第１符号Ｋ₁を外部記憶媒体３９に書き込む（Ｓ１５ａ）。もしくは暗号鍵Ｘで第１符号Ｋ₁及び移送データＰを暗号化し（Ｓ１４ｂ）、この移送データＰ及び第１符号Ｋ₁の暗号化データ（Ｐ||Ｋ₁）_tを外部記憶媒体３９に書き込む（Ｓ１５ｂ）。なお（Ｓ１３～Ｓ１４までの暗号化処理を省略する場合もある。）

そして、外部記憶媒体３９を第１施設１１から第２施設１２に受け渡し（Ｓ１６）、書き込まれている暗号化データを少なくとも読み出す（Ｓ１７）。さらに第２施設１２の発行部１５ｂで発行した秘匿情報Ｓに基づき復号鍵Ｙを作成し（Ｓ１８）、この復号鍵Ｙで暗号化データを復号する（Ｓ１９）。そして外部記憶媒体３９により第２施設１２に受け渡された移送データＰ及び第１符号Ｋ₁は、平文の状態でそれぞれ保存部１６ｂ及び保持部１９に送られる。

そして第２施設１２で復号された移送データＰは、識別データＤ及び秘匿情報Ｓと組み合わされて、生成部２２において第２符号Ｋ₂が生成される（Ｓ２０）。そして、第１符号Ｋ₁と第２符号Ｋ₂とを照合して一致／不一致が判定される（Ｓ２１）。そして、一致の判定結果が得られれば、移送データＰの機器３７への導入が許可され（Ｓ２２，ＥＮＤ）、不一致であれば移送データＰの機器３７への導入は許可されない（ＥＮＤ）。

以上述べた少なくともひとつの実施形態のセキュリティ管理システムによれば、暗号鍵の基となる秘匿情報を用いて電子情報を符号化することで、外部のコンピュータネットワークに接続されない施設間で電子情報を受け渡しするに際し、情報の漏洩及び改竄を効果的に防止することが可能となる。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更、組み合わせを行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

１０（１０Ａ，１０Ｂ）…セキュリティ管理システム、１１…第１施設、１２…第２施設、１５（１５ａ，１５ｂ）…秘匿情報の発行部、１６（１６ａ，１６ｂ）…移送データの保存部、１７（１７ａ，１７ｂ）…識別データの保持部、１８ａ（１８）…暗号鍵の作成部（作成部）、１８ｂ（１８）…復号鍵の作成部（作成部）、１９…第１符号の保持部、２１…第１符号の生成部、２２…第２符号の生成部、２５…暗号化部、２６…書込部、２７…読出部、２８…復号化部、２９…素子、３５…照合部、３６…導入許可部、３７…機器、３９…外部記憶媒体、Ｘ…暗号鍵、Ｙ…復号鍵、Ｄ…識別データ、Ｐ（Ｐ_t）…移送データ、Ｋ₁…第１符号、Ｋ₂…第２符号。

Claims

機器に導入される移送データを作成する第１施設及び前記機器が設置される第２施設の各々において、秘匿情報を発行する発行部と、
前記発行部から前記秘匿情報を一方向のみに伝送する素子と、
前記第１施設において前記移送データ、前記機器の識別データ及び前記秘匿情報を組み合わせて第１符号を生成する第１符号生成部と、
前記第１施設において、前記移送データ及び前記第１符号を外部記憶媒体に書き込む書込部と、
前記第２施設において、前記外部記憶媒体から前記移送データ及び前記第１符号を読み出す読出部と、
前記第２施設において、前記移送データ、前記識別データ及び前記秘匿情報を組み合わせて第２符号を生成する第２符号生成部と、
前記第２施設において、取得した前記第１符号と生成した前記第２符号との一致／不一致を照合する照合部と、を備えるセキュリティ管理システム。
請求項１に記載のセキュリティ管理システムにおいて、
前記第１施設において、前記秘匿情報に基づく暗号鍵で、前記第１符号及び前記移送データのうち少なくとも前記移送データを暗号化する暗号化部と、
前記第２施設において、前記外部記憶媒体から読み出した暗号化データを、前記秘匿情報に基づく復号鍵で、復号化する復号化部と、を備えるセキュリティ管理システム。
請求項２に記載のセキュリティ管理システムにおいて、
前記第１施設の前記発行部から前記秘匿情報が発行される時間に対し、遅れ時間を設定して前記第２施設の前記発行部から前記秘匿情報を発行させる遅延設定部を備えるセキュリティ管理システム。
請求項１から請求項３のいずれか１項に記載のセキュリティ管理システムにおいて、
前記秘匿情報は、前記発行の度に変化するセキュリティ管理システム。
請求項２又は請求項３に記載のセキュリティ管理システムにおいて、
前記第２施設の前記発行部から過去の前記秘匿情報の所定数を発行させ、前記外部記憶媒体から読み出した前記移送データを復号化し、
前記第２施設において発行された前記所定数の前記秘匿情報、復号化された前記移送データ及び前記識別データから、前記所定数の前記第２符号を生成し、
前記第２施設において、取得した前記第１符号と生成した前記所定数の前記第２符号とを照合するセキュリティ管理システム。
請求項１から請求項５のいずれか１項に記載のセキュリティ管理システムにおいて、
前記第１施設及び前記第２施設の前記発行部はコンピュータネットワークによらない手段で時刻を取得して同期させる又はタイミングを計って同期させるセキュリティ管理システム。
機器に導入される移送データを作成する第１施設及び前記機器が設置される第２施設の各々において発行部が、秘匿情報を発行し、発行側からの一方向のみ伝送する素子を介して伝送させるステップと、
前記第１施設において第１符号生成部が、前記移送データ、前記機器の識別データ及び前記秘匿情報を組み合わせて第１符号を生成するステップと、
前記第１施設において書込部が、前記移送データ及び前記第１符号を外部記憶媒体に書き込むステップと、
前記第２施設において読出部が、前記外部記憶媒体から前記移送データ及び前記第１符号を読み出すステップと、
前記第２施設において第２符号生成部が、前記移送データ、前記識別データ及び前記秘匿情報を組み合わせて第２符号を生成するステップと、
前記第２施設において照合部が、取得した前記第１符号と生成した前記第２符号との一致／不一致を照合するステップと、を含むセキュリティ管理方法。