WO2023112140A1 - アクセス制御装置、アクセス制御方法及び、プログラム - Google Patents
アクセス制御装置、アクセス制御方法及び、プログラム Download PDFInfo
- Publication number
- WO2023112140A1 WO2023112140A1 PCT/JP2021/046019 JP2021046019W WO2023112140A1 WO 2023112140 A1 WO2023112140 A1 WO 2023112140A1 JP 2021046019 W JP2021046019 W JP 2021046019W WO 2023112140 A1 WO2023112140 A1 WO 2023112140A1
- Authority
- WO
- WIPO (PCT)
- Prior art keywords
- score
- risk
- access control
- information
- access
- Prior art date
Links
- 238000000034 method Methods 0.000 title claims abstract description 62
- 238000004364 calculation method Methods 0.000 claims abstract description 38
- 238000003860 storage Methods 0.000 claims description 36
- 238000012795 verification Methods 0.000 claims description 25
- 230000008569 process Effects 0.000 claims description 11
- 238000004519 manufacturing process Methods 0.000 description 14
- 238000010586 diagram Methods 0.000 description 8
- 230000009467 reduction Effects 0.000 description 8
- 230000006870 function Effects 0.000 description 7
- 230000007423 decrease Effects 0.000 description 6
- 238000009826 distribution Methods 0.000 description 6
- 230000001965 increasing effect Effects 0.000 description 6
- 239000000470 constituent Substances 0.000 description 4
- 238000012423 maintenance Methods 0.000 description 4
- 238000012986 modification Methods 0.000 description 3
- 230000004048 modification Effects 0.000 description 3
- 230000008859 change Effects 0.000 description 2
- 238000004891 communication Methods 0.000 description 2
- 238000004590 computer program Methods 0.000 description 2
- 230000007547 defect Effects 0.000 description 2
- 230000008034 disappearance Effects 0.000 description 2
- 239000000463 material Substances 0.000 description 2
- 238000012545 processing Methods 0.000 description 2
- 238000004458 analytical method Methods 0.000 description 1
- 230000006399 behavior Effects 0.000 description 1
- 230000002457 bidirectional effect Effects 0.000 description 1
- 238000011161 development Methods 0.000 description 1
- 238000005516 engineering process Methods 0.000 description 1
- 230000002708 enhancing effect Effects 0.000 description 1
- 230000010365 information processing Effects 0.000 description 1
- 238000007689 inspection Methods 0.000 description 1
- 230000003287 optical effect Effects 0.000 description 1
- 230000008520 organization Effects 0.000 description 1
- 238000003908 quality control method Methods 0.000 description 1
- 238000012552 review Methods 0.000 description 1
- 238000012502 risk assessment Methods 0.000 description 1
- 239000004065 semiconductor Substances 0.000 description 1
- 238000012360 testing method Methods 0.000 description 1
- 230000001052 transient effect Effects 0.000 description 1
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/60—Protecting data
- G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
Definitions
- the present invention relates to an access control device, an access control method, and a program.
- the reliability of the equipment used in the system is dynamically affected by international situations (war, cyber terrorism, suspicion of espionage, etc.) and corporate risks (acquisition, bankruptcy, data falsification, etc.), even when the equipment is in operation. fluctuate.
- access from equipment connected to the system should be dynamically restricted in accordance with the dynamic decline in reliability of the equipment.
- Patent Document 1 relates to an information processing device that evaluates the information security level of suppliers.
- Patent document 2 relates to a method of risk analysis of a partner company's supply chain.
- Patent Document 3 relates to a management system that makes the operation management of a computer system more efficient.
- Patent Document 4 relates to a quality control support method that manages defect information of products, etc. occurring in the supply chain without falsification and identifies the range of impact of the defect.
- Patent Document 5 relates to technology for discovering and managing application security.
- Company C has been used due to its performance and name recognition, but Company C discovered that the data of the product it sold had been tampered with. Company C is investigating this, and if it is not clear whether the target of data falsification is the software being used, until Company C makes an announcement, whether or not there is an impact on the software (the target is There may be cases where it is difficult to determine whether the function you are using is not affected or you need to stop using it.
- a risk target list registration unit that registers dynamically fluctuating risks that occur during the operation of equipment that accesses the system in the risk target list; a trail information management unit that collects and manages the trail information related to the device related to the generated risk from a trail management server managed using the a score calculation unit that calculates a score of the device based on the risk; a policy that defines the relationship between the score and an access control method; and a method of controlling access from the device to the system based on the score of the device. and a control unit for controlling the access by the device to the system according to the access control method.
- An access control method may be provided comprising the steps of determining an access control method and controlling said access by said device to said system according to said access control method.
- the computer performs the process of registering the dynamically fluctuating risks that occurred during the operation of the equipment that accesses the system in the risk target list, and the supply chain trail information to the block chain.
- a program for executing a process of controlling the access by the device to the system according to the access control method can be provided.
- This program can be recorded in a computer-readable storage medium.
- the storage medium can be non-transient such as semiconductor memory, hard disk, magnetic recording medium, optical recording medium, and the like.
- the invention can also be embodied as a computer program product.
- an access control device an access control method, and a program that contribute to numerically grasping whether or not a device can continue to be used even when a risk that fluctuates during operation of the device. can.
- FIG. 2 is a diagram showing an example of an overview of storing and managing supply chain trail information in the trail management server according to the first embodiment of the present invention using blockchain.
- FIG. 3 is a diagram showing an example of supply chain trail information stored in the trail management server according to the first embodiment of this invention; 4 is a flow chart showing an example of an overview of the operation of the access control device according to the first exemplary embodiment of the present invention; It is a figure which shows an example of a structure of the access control apparatus of the 2nd Embodiment of this invention.
- 9 is a flow chart showing an example of an overview of the operation of the access control device according to the second exemplary embodiment of the present invention;
- 1 is a diagram showing the configuration of a computer that constitutes an access control device of the present invention;
- FIG. 1 is a diagram showing the configuration of a computer that constitutes an access control device of the present invention;
- connection lines between blocks in drawings and the like referred to in the following description include both bidirectional and unidirectional connections.
- the unidirectional arrows schematically show the flow of main signals (data) and do not exclude bidirectionality.
- FIG. 1 is a diagram showing an example of the configuration of an access control device (policy engine) 300 according to one embodiment of the present invention.
- the access control device 300 of an embodiment of the present invention includes a risk target list registration unit 310, a trail information management unit 330, a score calculation unit 340, a determination unit 360, a control unit 370, a risk target list 320, Contains policy 350 .
- Score calculator 340 includes score storage 345 that stores the calculated score.
- the score storage unit 345 may be provided outside the score calculation unit 340 or outside the access control device 300 as long as the score calculation unit 340 can refer to it.
- the risk target list registration unit 310 registers in the risk target list 320 dynamically changing risks 10 that occur during the operation of the device 200 that accesses the system 100 .
- the risk target list 320 may be arranged in a server external to the access control device 300 that can be referenced from the access control device 300 instead of being included in the access control device 300 .
- the trail information management unit 330 collects and manages trail information related to the device 200 related to the occurred risk 10 from the trail management server 400 that manages supply chain trail information using blockchain.
- the score calculator 340 calculates the score (credit score) of the device 200 based on the trace information about the device and the risks 10 registered in the risk target list 320 , and stores the score in the score storage 345 .
- the score is a score value written for supply chain information.
- the determination unit 360 determines the method of controlling access by the device 200 to the system 100 from the policy 350 that defines the relationship between the score and the access control method and the score of the device 200 stored in the score storage unit 345 .
- the control unit 370 controls access by the device 200 to the system 100 according to the determined access control method.
- a policy 350 can predefine how the score and access are controlled. If the score is 80 or less, instruct the system 100 to revoke the write authority to the specific database (DB) related to the device 200; ⁇ If the score is 50 or less, the device 200 is restricted to access only to the specific system (server) 100 (IP address is restricted). If the score is 25 or less, prevent the device 200 from connecting to the system 100 (certificate enforcement) and require manual re-enrollment; can be defined as
- the above policy 350 is an example and other definitions are possible. It is also possible to change the definition of the policy 350 during operation of the device 200 in order to review the validity and behavior of the score value.
- Managing devices using device scores (credit scores) in one embodiment of the present invention has the following advantages. For example, as judgment items for basic parts and software, ⁇ Device serial number (identifier) ⁇ Serial numbers (identifiers) of parts used ⁇ If you use the name of the software you are using to manage the parts and software in the device, when there is a possibility of risk arising from the manufacturer or distributor of the parts or software, Even if there is an impact on the stable supply of parts or the quality of software, it is not possible to judge the risk.
- Parts/software sales/manufacturing country information economic conditions, security conditions, etc.
- Parts/software sales/manufacturing company information management status, quality, etc.
- Parts/software distribution information transportation method, transport date and time
- Equipment score credit score
- the trail management server 400 By using the calculated score (credit score) of the device 200, it is possible to grasp whether or not the device 200 can be continuously used as a numerical value.
- An apparatus 300 can be provided.
- FIG. 2 is a diagram showing an example of the configuration of the access control device (policy engine) 300, system 100, and device 200 according to the first embodiment of this invention.
- the access control device (policy engine) 300 the access control device 300
- system 100 the access control device
- device 200 the access control device 200
- constituent elements with the same reference numerals as those in FIG. 1 are assumed to be the same constituent elements, and description thereof will be omitted.
- the access control device 300 of the first embodiment of the present invention includes a risk target list registration unit 310, a trail information management unit 330, a score calculation unit 340, a determination unit 360, a control unit 370, and a device information management unit. 380 , risk target list 320 and policy 350 .
- Score calculator 340 includes score storage 345 that stores the calculated score. As an example, the score is a score value written for supply chain information, and an initial value such as 100 is given in the initial state.
- the score storage unit 345 may be provided outside the score calculation unit 340 or outside the access control device 300 as long as the score calculation unit 340 can refer to it.
- the device information management unit 380 includes a device information storage unit 385.
- the device information storage section 385 may be provided outside the device information management section 380 or outside the access control device 300 as long as the device information management section 380 can refer to it.
- FIG. 2 shows an example of the device 200 using parts made in country A.
- device 200 includes, for example, agent 210 and application 220 .
- the agent 210 has its control program secured in a secure area, and the product model number, product serial number, MAC address, IP address, software information (eg, OS, application, etc.) of the device 200, etc. Various types of information are collected and transmitted to the access control device 300 . In addition, according to instructions from the access control device 300, it is possible to autonomously control access to outputs from the device 200 and inputs to the device 200. FIG. The agent 210 can also control access from the device 200 to the system 100 according to instructions from the system 100 .
- the device information management unit 380 described above receives various information such as product model number, product serial number, MAC address, IP address, software information (for example, OS, application, etc.) from the agent 210 of the device 200, and It is stored in the device information storage unit 385 as information.
- the system 100 includes a gateway 110 and a data resource 120, for example.
- the gateway 110 controls access from the device 200 to the data resource 120 according to instructions from the access control device 300 .
- the trace management server 400 stores component information of the device 200 in each supply chain, such as date and time of manufacture, name of the manufacturer, component information such as the name of the component incorporated into the device when the device 200 is manufactured, software information, and the person in charge. and manage similar information in operation and maintenance. Also, the results of verification by the information verification server 500 can be managed, and information can be shared among supply chains.
- FIG. 3 is a diagram showing an example of an outline of storing and managing trail information of each supply chain 1000 in a trail management server 400 that cooperates with the access control device 300 of the first embodiment of the present invention using blockchain.
- the trail management server 400 stores information such as parts information 1010, production information 1020, distribution information 1030, operation information 1040, maintenance information 1050, and disposal information 1060 of the equipment 200 input from each supply chain 1000.
- Various types of traceability information are added to each trace information (1100), and a block chain is used to store and manage such a trace information group.
- the traceability information is a hash value or the like related to a previously stored block. may be stored.
- the parts information 1010 may further include parts production information 1011 and parts distribution information 1012 .
- Each piece of trail information may be manually stored in the trail management server 400, or may be automatically collected by the system and stored. Also, the trail management server 400 stores and manages the verification results of the information verification server 500, and can share information among the supply chains 1000. FIG.
- FIG. 4 is a diagram showing an example of trail information 2000 of the supply chain 1000 stored in the trail management server 400 cooperating with the access control device 300 of the first embodiment of this invention.
- each column indicates trail information such as parts information 1010, production information 1020, distribution information 1030, operation information 1040, maintenance information 1050, disposal information 1060, etc., input from each supply chain 1000.
- the row of trail information 2001 shows an example of specific storage contents for each trail information.
- the parts information 1010 includes, as an example, various types of information about parts, that is, part model number, part serial number, manufacturer name, manufacturing date and time, etc. are described as part information, and shipping date and time, distribution The trader's name etc. are described.
- the part information 1010 of the supply chain trail information of the device 200 stored in the trail management server 400 includes the manufacturer name of country A as the manufacturer name. .
- the information verification server 500 verifies the information stored in the trail management server 400 and the information in the TPM (Trusted Platform Module) of the device 200, and checks the result of the verification, that is, whether or not the information has been falsified. etc. to the access control device 300 .
- the information verification server 500 may be a database server of an external third-party organization (integrity information database/application vulnerability information database, etc.), for example, not a company product but an external resource service.
- the information (including hash values) stored using the block chain in the trail management server 400 is registered in the information verification server 500, and then the trail is managed again.
- the information (including hash value) of the server 400 is sent to the information verification server 500, it is possible to determine whether or not the information has been falsified.
- FIG. 5 is a flow chart showing an example of an overview of the operation of the access control device 300 according to the first embodiment of the present invention.
- the flowchart in FIG. 5 starts at step S501.
- step S502 The following is an explanation of the case in which country A is suspected of being a spy while the device 200 is in operation, and country A itself becomes a target of risk. Since country A itself has become a risk target, the access control device 300 is notified of risk 10 (step S502).
- the risk target list registration unit 310 registers Country A in the risk target list 320 (step S503).
- the risk target list 320 may be registered with score reduction points for Country A, for example, 50 points.
- the trail information management unit 330 receives information on country A, such as score reduction points for country A, registered in the risk target list 320 from the risk target list registration unit 310, and stores the information in the device information storage unit 385.
- the device 200 is specified according to the device information (e.g., product model number, product serial number, MAC address, IP address, software information (e.g., OS, application, etc.)), accesses the trace management server 400, and , information related to country A, such as parts information 1010 and production information 1020 (step S504).
- the trail information management unit 330 converts it to This is detected as trail information indicating that the equipment 200 uses parts made in country A (step S505).
- the trail information management unit 330 sends the detected trail information indicating that the part made in country A is used to the information verification server 500, and the information verification server 500 verifies whether or not the trail information has been tampered with. , and returns the verification result to the trail information management unit 330 (step S506).
- the score calculation unit 340 receives the verified trail information about the device 200 from the trail information management unit 330, and calculates the score reduction points for Country A registered in the risk target list 320 from the risk target list registration unit 310. Such information about country A is received, and the score of the device 200 is calculated.
- the score storage unit 345 of the score calculation unit 340 stores the score calculated by the score calculation unit 340.
- the score is a score value written for supply chain information.
- an initial value such as 100 is given in the initial state.
- the initial value of the score may be set to 0, and the score decrease point for Country A may be set as an increase point so that the score increases as the risk increases.
- the score calculation unit 340 calculates the score of the device 200 by lowering the score from the initial value if the device 200 has a risk. As will be described later, if the risk is eliminated, for example, the score may be set to the initial value, or the score may be increased by a predetermined value.
- the score calculation unit 340 determines that the trace information has been tampered with in the verification result of the device 200 received from the trace information management unit 330, for example, if the manufacturing date and time of the part information 1010 has been tampered with (step S507). Y), the score of the device 200 is lowered and a new score is stored in the score storage unit 345 (step S508).
- step S507 if the verification result of the device 200 received from the trail information management unit 330 determines that the trail information has not been tampered with (N in step S507), the score calculation unit 340 , the score of the device 200 is lowered, and a new score is stored in the score storage unit 345 (step S509).
- the score calculation unit 340 calculates the score based on the security policy of the company using the device 200 .
- the score is lowered, and the new score is stored in the score storage unit 345 .
- the security policy of the company using the device 200 may or may not be affected by the company using the device 200, and the company using the device 200 may have its own judgment. become necessary. For example, it is possible to set the security policy of the company that uses the equipment, such as high risk when using the functions of the parts present in the device 200 and no impact when the functions are not used. .
- the score calculation unit 340 reduces, for example, 50 points from the initial value of 100 to the score reduction point for country A registered in the risk target list 320, sets the score to 50, and stores the score. It can be stored in section 345 .
- the determination unit 360 receives the score of the device 200 (for example, the above score 50) stored in the score storage unit 345 from the score calculation unit 340, and applies the score to the policy 350 that defines the relationship between the score and the access control method. Based on this, a method for controlling access of the device 200 to the system 100 is determined (step S510).
- the policy 350 limits access to the specific system (server) 100 (restricts the IP address) to the device 200 if the score is 50 or less. can be set. According to this setting, prohibition of access from the device 200 to the system 100 is determined as a method of controlling access to the system 100 from the device 200 . If the initial value of the score is set to 0, the score decrease point for Country A is set to an increase point, and the score increases as the risk increases, the policy 350 is also set accordingly.
- the control unit 370 controls the device according to the device information (eg, product model number, product serial number, MAC address, IP address, software information (eg, OS, application, etc.), etc.) stored in the device information storage unit 385. 200, and instructs the agent 210 of the device 200 to prohibit (block) access to the system 100 according to the determined access control method, or to the gateway 110 of the system 100 from the device 200.
- An instruction is issued to prohibit access (step S511). For example, the use of the device 200 itself (access to the system 100) is prohibited, or the access authority (access to the data resource 120, functional operation restrictions, etc.) for the gateway 110 of the system 100 and the agent 210 of the device 200 may be set. If the risk is eliminated, for example, the score may be set to the initial value, or the score may be increased by a predetermined value.
- step S512 it is monitored whether the risk disappears. For example, when risk 10 disappears (Y in step S512), such as when the suspicion of espionage in country A is resolved, the access control device 300 is notified of the disappearance of risk 10, and the risk target list registration unit 310 The registration of risk 10 in the risk target list 320 may be deleted, and the risk target list registration unit 310 may notify the score calculation unit 340 that the risk has disappeared (step S513).
- the score calculation unit 340 Upon receiving the notification indicating that the risk has disappeared, the score calculation unit 340 sets the score to the initial value or increases the score by a predetermined value and stores it in the score storage unit 345 (step S514).
- the determination unit 360 determines release of the access prohibition based on the score and the policy 350, and the control unit 370 sends the device 200 to the system 100. is released (step S515).
- steps S501 to S516 are repeated. In this way, it is possible to manage the operation of the equipment 200 by utilizing supply chain trail management against dynamically changing risks that occur during the operation of the equipment 200 that accesses the system 100 .
- the access control device 300 of the first embodiment of the present invention contributes to numerically grasping whether or not the device 200 can continue to be used even when a risk of fluctuation occurs during the operation of the device 200.
- the access control device 300 can be provided.
- FIG. 6 is a diagram showing an example of the configuration of the access control device 300 according to the second embodiment of this invention.
- constituent elements with the same reference numerals as those in FIG. 2 are assumed to be the same constituent elements, and description thereof will be omitted.
- the production information 1020 of the supply chain trail information of the device 200 stored in the trail management server 400 includes the company It is assumed that B is described.
- FIG. 7 is a flow chart showing an example of an overview of the operation of the access control device 300 according to the second embodiment of the present invention.
- step S702 The following is an explanation of a case in which company B is exposed to risks such as falsification of data, falsification of business accounts, etc. at company B while operating the device 200. Since company B has become a risk target, risk 10 is notified to the access control device 300 (step S702).
- the risk target list registration unit 310 registers company B in the risk target list 320 (step S703).
- the risk target list 320 may be registered with a score reduction point for Company B, for example, 20 points.
- the trail information management unit 330 receives information about company B, such as score reduction points for company B, registered in the risk target list 320 from the risk target list registration unit 310, and stores the information in the device information storage unit 385.
- the device 200 is specified according to the device information (e.g., product model number, product serial number, MAC address, IP address, software information (e.g., OS, application, etc.)), accesses the trace management server 400, and , information related to company B, such as products developed in-house and products sold (step S704).
- the trail information management unit 330 treats this as the name of the developer of the software information. 200 is detected as trail information indicating that the application 220 of Company B is being used (step S705).
- the trail information management unit 330 sends the detected trail information indicating that the application 220 of company B is used to the information verification server 500, and the information verification server 500 verifies whether or not the trail information has been tampered with. , and returns the verification result to the trail information management unit 330 (step S706).
- the score calculation unit 340 receives the verified trail information about the device 200 from the trail information management unit 330, and calculates the score reduction points for the company B registered in the risk target list 320 from the risk target list registration unit 310. , receives information about company B, and calculates the score of the device 200 .
- the score storage unit 345 of the score calculation unit 340 stores the score calculated by the score calculation unit 340.
- the score is a score value written for supply chain information.
- an initial value such as 100 is given in the initial state.
- the initial value of the score may be set to 0, and the decrease point of the score for company B may be set as an increase point, so that the score increases as the risk increases.
- the score calculation unit 340 calculates the score of the device 200 by lowering the score from the initial value if the device 200 has a risk. As will be described later, if the risk is eliminated, for example, the score may be set to the initial value, or the score may be increased by a predetermined value.
- the score calculation unit 340 determines that the trace information has been tampered with in the verification result of the device 200 received from the trace information management unit 330, for example, if the software information of the production information 1020 has been tampered with (step S707). Y), the score of the device 200 is lowered and a new score is stored in the score storage unit 345 (step S708).
- step S707 if the verification result of the device 200 received from the trail information management unit 330 determines that the trail information has not been tampered with (N in step S707), the score calculation unit 340 Based on this, the score of the device is lowered, and a new score is stored in the score storage unit 345 (step S709).
- the score calculation unit 340 determines that "software information" (including development company and country) is subject to risk, or that the security policy of the company using the device 200 is subject to risk. , the score is lowered, and a new score is stored in the score storage unit 345 .
- the security policy of the company using the device 200 may or may not be affected by the company using the device 200, and the company using the device 200 may have its own judgment. become necessary. For example, it is possible to set the security policy of the company using such that if the function of the application 220 that exists in the device is used, the risk is high, and if the function is not used, there is no impact. .
- this risk 10 there is no problem with the application of company B, but if the reliability of company B decreases, it becomes a risk target. For example, 20 points, which are registered in the risk target list 320 as the score reduction points for Company B, can be lowered, the score can be set to 80, and stored in the score storage unit 345 .
- the determination unit 360 receives the score of the device 200 (for example, the above score 80) stored in the score storage unit 345 from the score calculation unit 340, and applies the score to the policy 350 that defines the relationship between the score and the access control method. Based on this, a method for controlling access of the device 200 to the system 100 is determined (step S710).
- policy 350 may be set to instruct system 100 to revoke write permission to a specific database (DB) relating to device 200 if the score is 80 or less, as described above. can be done. According to this setting, prohibition of writing from the application 220 of the device 200 to the system 100 is determined as a method of controlling access to the system 100 of the device 200 . If the initial value of the score is set to 0 and the decrease point of the score for company B is set as an increase point so that the score increases as the risk increases, the policy 350 is also set accordingly.
- DB database
- control unit 370 controls the device according to the device information (eg, product model number, product serial number, MAC address, IP address, software information (eg, OS, application, etc.), etc.) stored in the device information storage unit 385. 200, and instructs the gateway 110 of the system 100 to prohibit the application 220 of the device 200 from writing (modifying) the data resource 120 according to the determined access control method (step S711).
- the gateway 110 of the system 100 controls the device according to the device information (eg, product model number, product serial number, MAC address, IP address, software information (eg, OS, application, etc.), etc.) stored in the device information storage unit 385. 200, and instructs the gateway 110 of the system 100 to prohibit the application 220 of the device 200 from writing (modifying) the data resource 120 according to the determined access control method (step S711).
- references to data resources 120 of system 100 may remain available.
- step S712 it is monitored whether the risk disappears. For example, when the risk 10 disappears (Y in step S712) as in the case where the illegality of the company B is resolved, the access control device 300 is notified of the disappearance of the risk 10, and the risk target list registration unit 310 registers the risk 10.
- the registration of risk 10 in the target list 320 may be deleted, and the risk target list registration unit 310 may notify the score calculation unit 340 that the risk has disappeared (step S713).
- the score calculation unit 340 Upon receiving the notification indicating that the risk has disappeared, the score calculation unit 340 sets the score to the initial value or raises the score by a predetermined value and stores it in the score storage unit 345 (step S714).
- the determination unit 360 determines from the score and the policy 350 to release the write prohibition to the data resource 120, and the control unit 370 The prohibition of writing to the data resource 120 from the device 200 to the system 100 is released (step S715).
- steps S701 to S716 are repeated. In this way, it is possible to manage the operation of the equipment 200 by utilizing supply chain trail management against dynamically changing risks that occur during the operation of the equipment 200 that accesses the system 100 .
- the access control device 300 of the second embodiment of the present invention contributes to numerically grasping whether or not the device 200 can continue to be used even when a risk of fluctuation occurs during the operation of the device 200.
- the access control device 300 can be provided.
- the procedures shown in the above-described first and second embodiments are realized by a program that causes the computer (9000 in FIG. 8) functioning as the access control device 300 to realize the function as the access control device 300. It is possible.
- a computer is exemplified by a configuration comprising a CPU (Central Processing Unit) 9010, a communication interface 9020, a memory 9030, and an auxiliary storage device 9040 in FIG. That is, the CPU 9010 in FIG. 8 may execute the access control program to update each calculation parameter held in the auxiliary storage device 9040 or the like.
- a CPU Central Processing Unit
- the memory 9030 is RAM (Random Access Memory), ROM (Read Only Memory), or the like.
- each part (processing means, function) of the access control device shown in the above-described first to second embodiments uses the hardware of the processor of the computer to execute each of the above-described processes. It can be implemented by a computer program that causes
- the score calculation unit sets the initial value to the score when the risk disappears, It is desirable that the control unit cancel control of access by the device to the system.
- the access control device according to any one of the first to fourth modes further includes a device information management unit that receives and manages device information from the device, It is preferable that the control unit and the trace information management unit identify the device according to the device information.
- the policy defines a method of controlling access by the device to the system with respect to the score.
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Software Systems (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Health & Medical Sciences (AREA)
- Bioethics (AREA)
- General Health & Medical Sciences (AREA)
- Storage Device Security (AREA)
Abstract
機器の運用中に変動するリスクが発生した場合でも、機器の継続利用可否を数値として把握することに貢献する、アクセス制御装置を提供する。アクセス制御装置は、システムへアクセスする機器の運用中に発生した動的に変動するリスクをリスク対象リストに登録するリスク対象リスト登録部と、サプライチェーンの証跡情報をブロックチェーンを使用して管理する証跡管理サーバから、発生したリスクに関連する機器に関する証跡情報を収集し管理する証跡情報管理部と、機器に関する証跡情報と、リスク対象リストに登録されたリスクに基づいて、機器のスコアを算出するスコア算出部と、スコアとアクセスの制御方法の関係を定義したポリシーと、機器のスコアから、システムへの機器によるアクセスの制御方法を判定する判定部と、アクセスの制御方法に従って、システムへの機器によるアクセスを制御する制御部を含む。
Description
本発明は、アクセス制御装置、アクセス制御方法及び、プログラムに関する。
システムで使用される機器の信頼性は、機器が運用されている場合でも、国際情勢(戦争、サイバーテロ、スパイ疑惑等)や企業のリスク(買収、倒産、データ改ざん等)などによって動的に変動する。本来は、システム運用におけるセキュリティの観点では、システムに接続する機器からのアクセスは、機器の信頼性が動的に下がった場合は、それに合わせて動的に制限するべきである。しかしながらサプライチェーンを遡り正しい情報を取得し、その情報を動的にアクセス制御に適用する方法は、現在存在していない。
特許文献1は、サプライヤの情報セキュリティ水準を評価する情報処理装置に関するものである。
特許文献2は、協力会社サプライチェーンのリスク分析方法に関するものである。
特許文献3は、コンピュータシステムの運用管理をより効率化する管理システムに関するものである。
特許文献4は、サプライチェーンにて発生した製品等の不具合情報を改竄なく管理し、不具合の影響範囲を特定する品質管理支援方法に関するものである。
特許文献5は、アプリケーションのセキュリティを発見および管理するための技術に関するものである。
以下の分析は、本発明によって与えられたものである。
上記のようなケースにおいては、単純なスコアリングでは想定する脅威に対応できない場合がある。例えば、生産時や流通時に部品や機器に改ざんが発生したかは不明であり、もし改ざんが発生した場合は、その部品や機器は信用できないものとなる。また、機器にインストールされているアプリケーションが、現在は問題なく動作しているが、後に問題が検出されても、どの程度の問題なのか、どの機器で動作しているか等も、あいまいで判断ができない場合がある。つまり、サプライチェーンが複数存在する中で、生産から流通、運用、保守に至る間の各種情報は、それぞれ携わる物や人が複合的に重なり合う状態では、信頼性もあいまいになる。よって、この様なあいまいな状況から機器の信頼性を高め、判断する方法が必要になる。
従来から使用されているルールベースに基づく方法では、機器の一部の部品の問題やアプリケーションの脆弱性等があった場合には、機器の停止やアクセス禁止が発生する結果となる。しかしながら機器内には、複数の製造業者の複数の部品やアプリケーションが存在し、脆弱性のレベルとそれぞれの影響度により、一概に問題があると判断する事は難しい。例えば、信頼度が下がっている製造業者の部品(部品自体には問題は無い)が1つのみであれば、利用の継続性は高いが、多数の部品に同様の問題が発生した場合は、機器を停止することが必要となる。同様にアプリケーション自体も、バグではない軽微の問題でも利用可/利用不可(OK/NG)の判断が難しい場合がある。この様に、製造業者の信頼度、その業者の部品やアプリケーションが何個使用されているか、及び、それらを使用している利用者への影響度などの複合要素が存在するため、従来のルールベースに基づく方法では、総合的な判断ができない。
例えば、品質・価格の面でA国の複数の会社の製造した部品を使用しているとする。ある時、A国にスパイ疑惑が発生し情報漏洩のリスクがあると政治的判断がなされた場合でも、システムが、A国製の部品を組み込んだ機器を使用しているかどうかの調査が困難な場合等がある。
また、例えば、性能及び知名度からC社のソフトウェアを使用したが、C社にて販売製品のデータ改ざんが発覚したとする。C社はこれを調査中であり、データ改ざんの対象が使用しているソフトウェアか明確になっていないような場合には、C社からの発表があるまでは、ソフトウェアに対する影響の有無(対象だが利用している機能には影響ない、もしくは、利用停止が必要等)を判断する事が困難な場合等がある。
さらに、例えば、機器の検査担当者は固定されていないので、経験値の少ない担当者Dとベテラン担当者Eが検査を実施したとする。検査結果に問題はないが、例えば、担当者Dには経験値によるケアレスミスのリスクがあり注意が必要だが、経験値を判断することが困難な場合等がある。
本発明は、機器の運用中に変動するリスクが発生した場合でも、機器の継続利用可否を数値として把握することに貢献する、アクセス制御装置、アクセス制御方法及び、プログラムを提供することを目的とする。
本発明の第1の視点によれば、システムへアクセスする機器の運用中に発生した動的に変動するリスクをリスク対象リストに登録するリスク対象リスト登録部と、サプライチェーンの証跡情報をブロックチェーンを使用して管理する証跡管理サーバから、発生した前記リスクに関連する前記機器に関する証跡情報を収集し管理する証跡情報管理部と、前記機器に関する前記証跡情報と、前記リスク対象リストに登録された前記リスクに基づいて、前記機器のスコアを算出するスコア算出部と、スコアとアクセスの制御方法の関係を定義したポリシーと、前記機器のスコアから、前記システムへの前記機器による前記アクセスの制御方法を判定する判定部と、前記アクセスの制御方法に従って、前記システムへの前記機器による前記アクセスを制御する制御部を含む、アクセス制御装置を提供できる。
本発明の第2の視点によれば、プロセッサと記憶装置とを備えるコンピュータにより実行される、システムへアクセスする機器の運用中に発生した動的に変動するリスクをリスク対象リストに登録するステップと、サプライチェーンの証跡情報をブロックチェーンを使用して管理する証跡管理サーバから、発生した前記リスクに関連する前記機器に関する証跡情報を収集し管理するステップと、前記機器に関する前記証跡情報と、前記リスク対象リストに登録された前記リスクに基づいて、前記機器のスコアを算出するステップと、スコアとアクセスの制御方法の関係を定義したポリシーと、前記機器のスコアから、前記システムへの前記機器による前記アクセスの制御方法を判定するステップと、前記アクセスの制御方法に従って、前記システムへの前記機器による前記アクセスを制御するステップと、を含む、アクセス制御方法を提供できる。
本発明の第3の視点によれば、コンピュータに、システムへアクセスする機器の運用中に発生した動的に変動するリスクをリスク対象リストに登録する処理と、サプライチェーンの証跡情報をブロックチェーンを使用して管理する証跡管理サーバから、発生した前記リスクに関連する前記機器に関する証跡情報を収集し管理する処理と、前記機器に関する前記証跡情報と、前記リスク対象リストに登録された前記リスクに基づいて、前記機器のスコアを算出する処理と、スコアとアクセスの制御方法の関係を定義したポリシーと、前記機器のスコアから、前記システムへの前記機器による前記アクセスの制御方法を判定する処理と、前記アクセスの制御方法に従って、前記システムへの前記機器による前記アクセスを制御する処理と、を実行させる、プログラムを提供できる。なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。記憶媒体は、半導体メモリ、ハードディスク、磁気記録媒体、光記録媒体等の非トランジェント(non-transient)なものとすることができる。本発明は、コンピュータプログラム製品として具現することも可能である。
本発明によれば、機器の運用中に変動するリスクが発生した場合でも、機器の継続利用可否を数値として把握することに貢献する、アクセス制御装置、アクセス制御方法及び、プログラムを提供することができる。
はじめに本発明の一実施形態の概要について図面を参照して説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、本発明を図示の態様に限定することを意図するものではない。また、以降の説明で参照する図面等のブロック間の接続線は、双方向及び単方向の双方を含む。一方向矢印については、主たる信号(データ)の流れを模式的に示すものであり、双方向性を排除するものではない。
図1は、本発明の一実施形態のアクセス制御装置(ポリシーエンジン)300の構成の一例を示す図である。本発明の一実施形態のアクセス制御装置300は、リスク対象リスト登録部310と、証跡情報管理部330と、スコア算出部340と、判定部360と、制御部370及び、リスク対象リスト320と、ポリシー350を含む。スコア算出部340は、算出したスコアを格納するスコア格納部345を含む。スコア格納部345は、スコア算出部340から参照が可能であれば、スコア算出部340の外部あるいは、アクセス制御装置300の外部に設けられてもよい。
リスク対象リスト登録部310は、システム100へアクセスする機器200の運用中に発生した動的に変動するリスク10をリスク対象リスト320に登録する。なお、リスク対象リスト320は、アクセス制御装置300内に含まれる形態だけではなく、アクセス制御装置300から参照が可能なアクセス制御装置300の外部のサーバに配置されてもよい。証跡情報管理部330は、サプライチェーンの証跡情報をブロックチェーンを使用して管理する証跡管理サーバ400から、発生したリスク10に関連する機器200に関する証跡情報を収集し管理する。スコア算出部340は、機器に関する証跡情報と、リスク対象リスト320に登録されたリスク10に基づいて、機器200のスコア(信用スコア)を算出し、スコア格納部345に格納する。一例として、スコアは、サプライチェーンの情報に対して、スコア値が記載されたものである。判定部360は、スコアとアクセスの制御方法の関係を定義したポリシー350と、スコア格納部345に格納された機器200のスコアから、システム100への機器200によるアクセスの制御方法を判定する。制御部370は、判定されたアクセスの制御方法に従って、システム100への機器200によるアクセスを制御する。
ポリシー350により、スコアとアクセスの制御方法を、予め定義することができ、一例として、ポリシー350により、
・スコアが80以下であれば、システム100に対し、機器200に関する特定のデータベース(DB)への書き込み権限を外すよう指示する、
・スコアが50以下であれば、機器200に対し、特定システム(サーバ)100に対してのアクセスのみに制限(IPアドレスを制限)する、
・スコアが25以下であれば、機器200をシステム100に接続させないようにして(証明書を執行)、手動による再登録が必要となるようにする、
というように定義することができる。上記ポリシー350は、一例であり、他の定義も可能である。また、スコア値の妥当性や振る舞いを見直すために、機器200の運用中に、ポリシー350の定義を変更することも可能である。
・スコアが80以下であれば、システム100に対し、機器200に関する特定のデータベース(DB)への書き込み権限を外すよう指示する、
・スコアが50以下であれば、機器200に対し、特定システム(サーバ)100に対してのアクセスのみに制限(IPアドレスを制限)する、
・スコアが25以下であれば、機器200をシステム100に接続させないようにして(証明書を執行)、手動による再登録が必要となるようにする、
というように定義することができる。上記ポリシー350は、一例であり、他の定義も可能である。また、スコア値の妥当性や振る舞いを見直すために、機器200の運用中に、ポリシー350の定義を変更することも可能である。
本発明の一実施例の機器のスコア(信用スコア)を使用した機器の管理は、以下のような利点がある。例えば、基本的部品やソフトウェアの判断項目として、
・機器のシリアル番号(識別子)
・使用している部品のシリアル番号(識別子)
・使用しているソフトウェア名
等を使用して機器内の部品とソフトウェアの管理をした場合には、部品やソフトウェアの製造、販売元によるリスクが発生する可能性があるとき又は発生したときに、部品の安定供給や、ソフトウェアの品質等に影響が発生しても、リスクを判断できない。
・機器のシリアル番号(識別子)
・使用している部品のシリアル番号(識別子)
・使用しているソフトウェア名
等を使用して機器内の部品とソフトウェアの管理をした場合には、部品やソフトウェアの製造、販売元によるリスクが発生する可能性があるとき又は発生したときに、部品の安定供給や、ソフトウェアの品質等に影響が発生しても、リスクを判断できない。
これに対して、上記の判断項目に加え、
・部品・ソフトウェアの販売・製造国情報(経済状況、治安状況等)
・部品・ソフトウェアの販売・製造会社情報(経営状況、優良度等)
・部品・ソフトウェアの流通情報(運搬方法、運搬日時)
のような、日々変わる流動的な情報(リスク)、即ち、販売・製造会社の経営状況、優良度、生産している国の状況や流通情報等(リスク)から算出した機器のスコア(信用スコア)を使用することで、セキュリティのリスク低減が可能となる。例えば、治安状況が良く、会社も優良であれば、部品・ソフトウェア等の安定的な供給や品質も保証されていると判断でき、更に、決まったルート・日時で運搬されていれば保管管理ができていると判断できるので、部品・ソフトウェア等を使用できる。
・部品・ソフトウェアの販売・製造国情報(経済状況、治安状況等)
・部品・ソフトウェアの販売・製造会社情報(経営状況、優良度等)
・部品・ソフトウェアの流通情報(運搬方法、運搬日時)
のような、日々変わる流動的な情報(リスク)、即ち、販売・製造会社の経営状況、優良度、生産している国の状況や流通情報等(リスク)から算出した機器のスコア(信用スコア)を使用することで、セキュリティのリスク低減が可能となる。例えば、治安状況が良く、会社も優良であれば、部品・ソフトウェア等の安定的な供給や品質も保証されていると判断でき、更に、決まったルート・日時で運搬されていれば保管管理ができていると判断できるので、部品・ソフトウェア等を使用できる。
本発明の一実施形態によれば、機器200の運用中に変動するリスク10が発生した場合でも、証跡管理サーバ400によりブロックチェーンを使用して管理されているサプライチェーンの証跡情報の複合要素から算出した機器200のスコア(信用スコア)を使用することにより、機器200の継続利用可否を数値として把握することができ、更に、機器200によるシステム100へのアクセスを制御することができる、アクセス制御装置300を提供することができる。
[第1の実施形態]
次に、本発明の第1の実施形態について、図面を参照して説明する。図2は、本発明の第1の実施形態のアクセス制御装置(ポリシーエンジン)300、システム100、機器200の構成の一例を示す図である。図2において、図1と同一の参照符号を付した構成要素は、同一の構成要素であるものとし、その説明を省略する。
次に、本発明の第1の実施形態について、図面を参照して説明する。図2は、本発明の第1の実施形態のアクセス制御装置(ポリシーエンジン)300、システム100、機器200の構成の一例を示す図である。図2において、図1と同一の参照符号を付した構成要素は、同一の構成要素であるものとし、その説明を省略する。
図2を参照して、本発明の第1の実施形態のアクセス制御装置300の構成の一例を説明するする。本発明の第1の実施形態のアクセス制御装置300は、リスク対象リスト登録部310と、証跡情報管理部330と、スコア算出部340と、判定部360と、制御部370及び、機器情報管理部380と、リスク対象リスト320と、ポリシー350を含む。スコア算出部340は、算出したスコアを格納するスコア格納部345を含む。一例として、スコアは、サプライチェーンの情報に対して、スコア値が記載されたものであり、初期状態では、例えば、100のような初期値が与えられているものとする。スコア格納部345は、スコア算出部340から参照が可能であれば、スコア算出部340の外部あるいは、アクセス制御装置300の外部に設けられてもよい。
機器情報管理部380は、機器情報格納部385を含む。機器情報格納部385は、機器情報管理部380から参照が可能であれば、機器情報管理部380の外部あるいは、アクセス制御装置300の外部に設けられてもよい。
図2は、機器200が、A国製の部品を使用している場合の一例を示したものである。図2を参照すると、機器200は、例えば、エージェント210とアプリケーション220を含む。
エージェント210は、その制御用プログラムが、セキュアな領域に確保されており、機器200の、例えば、製品型番、製品シリアル番号、MACアドレス、IPアドレス、ソフトウェア情報(例えば、OS、アプリケーション等)等の各種情報を収集し、アクセス制御装置300に送信する。また、アクセス制御装置300の指示により、機器200からの出力、及び、機器200への入力に対するアクセス制御も自律的に行うことが可能である。また、エージェント210は、システム100からの指示に従い、システム100に対する機器200からのアクセスを制御することも可能である。
上述の機器情報管理部380は、機器200のエージェント210から、例えば、製品型番、製品シリアル番号、MACアドレス、IPアドレス、ソフトウェア情報(例えば、OS、アプリケーション等)等の各種情報を受信し、機器情報として、機器情報格納部385に格納する。
システム100は、例えば、ゲートウェイ110とデータリソース120を含む。ゲートウェイ110は、アクセス制御装置300の指示により、機器200からのデータリソース120へのアクセスの制御を行う。
次に、本発明の第1の実施形態のアクセス制御装置300と協働する証跡管理サーバ400について説明する。証跡管理サーバ400は、各サプライチェーンの、機器200の部品情報、例えば、製造日時、製造業者名等及び、機器200の生産時に機器に組み込む部品名等の部品情報や、ソフトウェア情報、担当者等を管理し、運用、保守においても同様の情報を管理する。また、情報検証サーバ500による検証の結果を管理し、各サプライチェーン間で情報共有が可能である。
図3は、本発明の第1の実施形態のアクセス制御装置300と協働する証跡管理サーバ400に各サプライチェーン1000の証跡情報をブロックチェーンを使用して記憶し管理する概要の一例を示す図である。図3を参照すると、証跡管理サーバ400は、各サプライチェーン1000から入力された、機器200の、部品情報1010、生産情報1020、物流情報1030、運用情報1040、保守情報1050、廃棄情報1060のような証跡情報群を、各証跡情報に各種のトレーサビリティ情報を付加(1100)し、ブロックチェーンを使用して、格納及び、管理する。トレーサビリティ情報は、一例として、ブロックチェーンの場合には、前に格納したブロックに関するハッシュ値等であり、前に格納したブロックに関するハッシュ値等を新たに格納するブロックに付加して、証跡管理サーバに格納してもよい。また、部品情報1010は、更に、部品生産情報1011と部品物流情報1012を含んでもよい。各証跡情報は、証跡管理サーバ400へ、手動で格納されてもよく、システムによる自動収集を行って格納されてもよい。また、証跡管理サーバ400は、情報検証サーバ500の検証結果を格納して管理して、各サプライチェーン1000間で情報の共有が可能である。
図4は、本発明の第1の実施形態のアクセス制御装置300と協働する証跡管理サーバ400に記憶するサプライチェーン1000の証跡情報2000の一例を示す図である。図4を参照すると、各列は、各サプライチェーン1000からインプットされた、部品情報1010、生産情報1020、物流情報1030、運用情報1040、保守情報1050、廃棄情報1060等の証跡情報を示し、主な証跡情報2001の行は、各証跡情報に対する具体的な格納内容の一例を示したものである。
例えば、部品情報1010については、一例として、部品の各種情報、即ち、部品情報として、部品型番、部品シリアル番号、製造業者名、製造日時等が記載されており、物流情報として、出荷日時、物流業者名等が記載されている。
本発明の第1の実施形態では、証跡管理サーバ400に格納された機器200のサプライチェーンの証跡情報の部品情報1010には、製造業者名としてA国の製造業者名が記載されているとする。
次に本発明の第1の実施形態のアクセス制御装置300と協働する情報検証サーバ500について説明する。情報検証サーバ500は、証跡管理サーバ400に格納された情報や、機器200のTPM(Trusted Platform Module、トラステッドプラットフォームモジュール)内の情報の検証を実施し、検証の結果、即ち、情報の改ざんの有無等をアクセス制御装置300へ応答する。情報検証サーバ500は、外部第三者機関のデータベースサーバ(完全性情報データベース/アプリケーションの脆弱性情報データベース等)等の、例えば、自社製ではなく外部リソースのサービスでもよい。
情報検証サーバ500による改ざんの有無の判断については、例えば、証跡管理サーバ400内のブロックチェーンを使用して格納された情報(ハッシュ値含む)を情報検証サーバ500に登録し、その後に改めて証跡管理サーバ400の情報(ハッシュ値含む)を情報検証サーバ500へ送った場合に、情報の改ざんの有無を判断することが可能となる。
次に、A国自体がリスクの対象となった場合に、本発明の第1の実施形態のアクセス制御装置300により、A国製の部品を使用した機器200の使用を禁止する動作について、図面を参照して説明する。
図5は、本発明の第1の実施形態のアクセス制御装置300の動作の概要の一例のフローチャートである。
図5のフローチャートは、ステップS501で開始する。
機器200の運用中に、A国でスパイ疑惑が発生し、A国自体がリスクの対象となった場合について以下に説明する。A国自体がリスクの対象となったので、アクセス制御装置300にリスク10が通知される(ステップS502)。
リスク対象リスト登録部310は、A国をリスク対象リスト320に登録する(ステップS503)。一例として、リスク対象リスト320に、A国に対するスコアの減少ポイント、例えば、50ポイントを登録してもよい。
証跡情報管理部330は、リスク対象リスト登録部310からリスク対象リスト320に登録された、A国に対するスコアの減少ポイントのような、A国に関する情報を受け取り、機器情報格納部385に格納されている機器情報(例えば、製品型番、製品シリアル番号、MACアドレス、IPアドレス、ソフトウェア情報(例えば、OS、アプリケーション等)等)に従って機器200を特定し、証跡管理サーバ400にアクセスして、機器200に関する、A国に関連する情報、例えば、部品情報1010や生産情報1020等を、検索する(ステップS504)。
証跡情報管理部330は、証跡管理サーバ400に格納された機器200のサプライチェーンの証跡情報の部品情報1010には、製造業者名としてA国の製造業者名が記載されているので、これを、機器200が、A国製の部品を使用していることを示す証跡情報として検出する(ステップS505)。
証跡情報管理部330は、検出したA国製の部品を使用していることを示す証跡情報を、情報検証サーバ500へ送り、情報検証サーバ500は、証跡情報に改ざんがなされたかどうかを検証し、検証結果を証跡情報管理部330へ返送する(ステップS506)。
スコア算出部340は、証跡情報管理部330から機器200についての検証された証跡情報を受け取り、及び、リスク対象リスト登録部310からリスク対象リスト320に登録された、A国に対するスコアの減少ポイントのような、A国に関する情報を受け取り、機器200のスコアを算出する。
ここで、スコア算出部340のスコア格納部345は、スコア算出部340により算出されたスコアを格納し、一例として、スコアは、サプライチェーンの情報に対して、スコア値が記載されたものであり、初期状態では、例えば、100のような初期値が与えられているものとする。なお、スコアの初期値を0とし、A国に対するスコアの減少ポイントを、増加ポイントとして、リスクが増加するとスコアも増加するように対応させてもよい。
スコア算出部340は、一例として、初期値に対して、機器200にリスクが有る場合はスコアを下げることにより、機器200のスコアを算出する。なお、後述するように、リスクが解消されれば、一例として、スコアを初期値に設定してもよく、又は、スコアを所定値だけ上げてもよい。
スコア算出部340は、証跡情報管理部330から受け取った機器200についての検証結果において、証跡情報に改ざんがなされたと判断された場合、例えば、部品情報1010の製造日時が改ざんされた場合(ステップS507のY)には、機器200のスコアを下げ、スコア格納部345に新たなスコアを格納する(ステップS508)。
一方、スコア算出部340は、証跡情報管理部330から受け取った機器200についての検証結果において、証跡情報に改ざんがなされていないと判断された場合(ステップS507のN)には、検索した証跡情報を基に、機器200のスコアを下げ、スコア格納部345に新たなスコアを格納する(ステップS509)。
一例として、スコア算出部340は、「製造業者名」(国も含む)等がリスクの対象になる場合、もしくは、機器200を使用している企業のセキュリティポリシーのリスクの対象となる場合には、スコアを下げ、スコア格納部345に新たなスコアを格納する。
なお、機器200を使用している企業のセキュリティポリシーについては、使用している企業によって影響がある場合と、ない場合とが考えられ、機器200を使用している企業独自の判断を取り入れる事が必要になる。例えば、機器200に存在する部品の機能を使用している場合は、リスクが高く、機能を使用していない場合は影響ないというような、使用している企業のセキュリティポリシーを設定することもできる。
他の一例として、今回のリスク10では、A国製の部品の製造業者には問題はないが、A国自体がリスク対象となり、全ての物資(材料、製品等)が使用禁止となった場合には、スコア算出部340は、例えば、初期値100から、リスク対象リスト320に、A国に対するスコアの減少ポイントとして登録された、例えば、50ポイントを下げ、スコアを50に設定し、スコア格納部345に格納することができる。
次に、判定部360は、スコア算出部340からスコア格納部345に格納された機器200のスコア(例えば、上記のスコア50)を受け取り、スコアとアクセスの制御方法の関係を定義したポリシー350に基づいて、機器200のシステム100へのアクセスの制御方法を判定する(ステップS510)。
一例として、ポリシー350を、前述したように、スコアが50以下であれば、機器200に対し、特定システム(サーバ)100に対してのアクセスのみに制限(IPアドレスを制限)する、というように設定することができる。この設定に従って、機器200のシステム100へのアクセスの制御方法として、機器200からシステム100へのアクセスの禁止が判定される。なお、スコアの初期値を0とし、A国に対するスコアの減少ポイントを、増加ポイントとして、リスクが増加するとスコアも増加するように対応させた場合には、ポリシー350も対応するように設定する。
次に、制御部370は、機器情報格納部385に格納されている機器情報(例えば、製品型番、製品シリアル番号、MACアドレス、IPアドレス、ソフトウェア情報(例えば、OS、アプリケーション等)等)に従って機器200を特定し、判定されたアクセスの制御方法に従って、機器200のエージェント210に、システム100へのアクセスを禁止(遮断)するように指示する、又は、システム100のゲートウェイ110に対し機器200からのアクセスを禁止するように指示する(ステップS511)。例えば、機器200自体の使用(システム100へのアクセス)を禁止する、又は、システム100のゲートウェイ110、機器200のエージェント210に対し、アクセス権限(データリソース120へのアクセス、機能の動作制限等)を設定するようにしてもよい。リスクが解消されれば、一例として、スコアを初期値に設定してもよく、又は、スコアを所定値だけ上げてもよい。
このように、機器200の運用中にリスク10が発生した場合に、機器200のシステム100へのアクセスを制御することができる。
次に、リスクが継続している限り、リスクが消滅するかどうかが監視される(ステップS512のN)。例えば、A国のスパイ疑惑が解消した場合のように、リスク10が消滅した場合(ステップS512のY)には、アクセス制御装置300にリスク10の消滅が通知され、リスク対象リスト登録部310がリスク対象リスト320のリスク10の登録を削除し、リスク対象リスト登録部310からスコア算出部340に、リスクが消滅したこと通知するようにしてもよい(ステップS513)。
スコア算出部340は、リスクが消滅したことを示す通知を受け取ると、スコアを初期値に設定し又は、スコアを所定値だけ上げて、スコア格納部345に格納する(ステップS514)。
スコアが、初期値に設定され又は、スコアを所定値だけ上げられたことにより、判定部360は、スコアとポリシー350からアクセス禁止の解除を判定し、制御部370は、機器200のシステム100へのアクセス禁止を解除する(ステップS515)。
図5のフローチャートは、ステップS516で終了する。
次にリスクが発生した場合、又は、リスクが動的に変動した場合には、ステップS501からS516の動作を繰り返す。このように、システム100へアクセスする機器200の運用中に発生した動的に変動するリスクに対して、サプライチェーンの証跡管理を活用した機器200の運用管理を行うことができる。
以上のように、本発明の第1の実施形態のアクセス制御装置300により、機器200の運用中に変動するリスクが発生した場合でも、機器200の継続利用可否を数値として把握することに貢献する、アクセス制御装置300を提供できる。
[第2の実施形態]
次に、本発明の第2の実施形態のアクセス制御装置について、図面を参照して説明する。図6は、本発明の第2の実施形態のアクセス制御装置300の構成の一例を示す図である。図6において、図2と同一の参照符号を付した構成要素は、同一の構成要素であるものとし、その説明を省略する。
次に、本発明の第2の実施形態のアクセス制御装置について、図面を参照して説明する。図6は、本発明の第2の実施形態のアクセス制御装置300の構成の一例を示す図である。図6において、図2と同一の参照符号を付した構成要素は、同一の構成要素であるものとし、その説明を省略する。
企業Bの開発したアプリケーション220を搭載している機器200の運用中に、例えば、データ改ざん、営業計上改ざん等の、企業Bの不正が発覚した場合に、本発明の第2の実施形態のアクセス制御装置300が、企業Bの開発したアプリケーション220を使用制限する場合の動作について、図面を参照して説明する。
なお、図4を参照し、本発明の第2の実施形態では、証跡管理サーバ400に格納された機器200のサプライチェーンの証跡情報の生産情報1020には、ソフトウェア情報の開発業者名として、企業Bが記載されているとして説明する。
図7は、本発明の第2の実施形態のアクセス制御装置300の動作の概要の一例のフローチャートである。
図7のフローチャートは、ステップS701で開始する。
機器200を運用中に、データ改ざん、営業経常改ざん等の、企業Bの不正が発覚し、企業Bがリスクの対象となった場合について以下に説明する。企業Bがリスクの対象となったので、アクセス制御装置300にリスク10が通知される(ステップS702)。
リスク対象リスト登録部310は、企業Bをリスク対象リスト320に登録する(ステップS703)。一例として、リスク対象リスト320に、企業Bに対するスコアの減少ポイント、例えば、20ポイントを登録してもよい。
証跡情報管理部330は、リスク対象リスト登録部310からリスク対象リスト320に登録された、企業Bに対するスコアの減少ポイントのような、企業Bに関する情報を受け取り、機器情報格納部385に格納されている機器情報(例えば、製品型番、製品シリアル番号、MACアドレス、IPアドレス、ソフトウェア情報(例えば、OS、アプリケーション等)等)に従って機器200を特定し、証跡管理サーバ400にアクセスして、機器200に関する、企業Bに関連する情報、例えば、自社開発している製品や、販売している製品等を、検索する(ステップS704)。
証跡情報管理部330は、証跡管理サーバ400に格納された機器200のサプライチェーンの証跡情報の生産情報1020にはソフトウェア情報の開発業者名として、企業Bが記載されているので、これを、機器200が、企業Bのアプリケーション220を使用していることを示す証跡情報として検出する(ステップS705)。
証跡情報管理部330は、検出した企業Bのアプリケーション220を使用していることを示す証跡情報を、情報検証サーバ500へ送り、情報検証サーバ500は、証跡情報に改ざんがなされたかどうかを検証し、検証結果を証跡情報管理部330へ返送する(ステップS706)。
スコア算出部340は、証跡情報管理部330から機器200についての検証された証跡情報を受け取り、及び、リスク対象リスト登録部310からリスク対象リスト320に登録された、企業Bに対するスコアの減少ポイントのような、企業Bに関する情報を受け取り、機器200のスコアを算出する。
ここで、スコア算出部340のスコア格納部345は、スコア算出部340により算出されたスコアを格納し、一例として、スコアは、サプライチェーンの情報に対して、スコア値が記載されたものであり、初期状態では、例えば、100のような初期値が与えられているものとする。なお、スコアの初期値を0とし、企業Bに対するスコアの減少ポイントを、増加ポイントとして、リスクが増加するとスコアも増加するように対応させてもよい。
スコア算出部340は、一例として、初期値に対して、機器200にリスクが有る場合はスコアを下げることにより、機器200のスコアを算出する。なお、後述するように、リスクが解消されれば、一例として、スコアを初期値に設定してもよく、又は、スコアを所定値だけ上げてもよい。
スコア算出部340は、証跡情報管理部330から受け取った機器200についての検証結果において、証跡情報に改ざんがなされたと判断された場合、例えば、生産情報1020のソフトウェア情報が改ざんされた場合(ステップS707のY)には、機器200のスコアを下げ、スコア格納部345に新たなスコアを格納する(ステップS708)。
一方、スコア算出部340は、証跡情報管理部330から受け取った機器200についての検証結果において、証跡情報に改ざんがなされていないと判断された場合(ステップS707のN)には、検索した証跡情報を基に、機器のスコアを下げ、スコア格納部345に新たなスコアを格納する(ステップS709)。
一例として、スコア算出部340は、「ソフトウェア情報」(開発会社・国も含む)等がリスクの対象になる場合、もしくは、機器200を使用している企業のセキュリティポリシーのリスクの対象となる場合には、スコアを下げ、スコア格納部345に新たなスコアを格納する。
なお、機器200を使用している企業のセキュリティポリシーについては、使用している企業によって影響がある場合と、ない場合とが考えられ、機器200を使用している企業独自の判断を取り入れる事が必要になる。例えば、機器に存在するアプリケーション220の機能を使用している場合は、リスクが高く、機能を使用していない場合は影響ないというような、使用している企業のセキュリティポリシーを設定することもできる。
他の一例として、今回のリスク10では、企業Bのアプリケーションには問題はないが、企業Bの信頼度が下がった場合にはリスク対象となり、スコア算出部340は、例えば、初期値100から、リスク対象リスト320に、企業Bに対するスコアの減少ポイントとして登録された、例えば、20ポイントを下げ、スコアを80に設定し、スコア格納部345に格納することができる。
次に、判定部360は、スコア算出部340からスコア格納部345に格納された機器200のスコア(例えば、上記のスコア80)を受け取り、スコアとアクセスの制御方法の関係を定義したポリシー350に基づいて、機器200のシステム100へのアクセスの制御方法を判定する(ステップS710)。
一例として、ポリシー350を、前述したように、スコアが80以下であれば、システム100に対し、機器200に関する特定のデータベース(DB)への書き込み権限を外すよう指示する、というように設定することができる。この設定に従って、機器200のシステム100へのアクセスの制御方法として、機器200のアプリケーション220からシステム100への書き込みの禁止が判定される。なお、スコアの初期値を0とし、企業Bに対するスコアの減少ポイントを、増加ポイントとして、リスクが増加するとスコアも増加するように対応させた場合には、ポリシー350も対応するように設定する。
次に、制御部370は、機器情報格納部385に格納されている機器情報(例えば、製品型番、製品シリアル番号、MACアドレス、IPアドレス、ソフトウェア情報(例えば、OS、アプリケーション等)等)に従って機器200を特定し、判定されたアクセスの制御方法に従って、システム100のゲートウェイ110に対し、機器200のアプリケーション220からのデータリソース120への書き込み(変更)を禁止するように指示する(ステップS711)。ただし、システム100のデータリソース120への参照は可能のままとすることもできる。後述するように、企業Bの不正が解消された場合には、スコアを戻すことでデータリソースへの書き込み(変更)も可能となる。
このように、機器200の運用中にリスク10が発生した場合に、機器200のシステム100へのアクセスを制御することができる。
次に、リスクが継続している限り、リスクが消滅するかどうかが監視される(ステップS712のN)。例えば、企業Bの不正が解消した場合のように、リスク10が消滅した場合(ステップS712のY)には、アクセス制御装置300にリスク10の消滅が通知され、リスク対象リスト登録部310がリスク対象リスト320のリスク10の登録を削除し、リスク対象リスト登録部310からスコア算出部340に、リスクが消滅したこと通知するようにしてもよい(ステップS713)。
スコア算出部340は、リスクが消滅したことを示す通知を受け取ると、スコアを初期値に設定し又は、スコアを所定値だけ上げて、スコア格納部345に格納する(ステップS714)。
スコアが、初期値に設定され又は、スコアを所定値だけ上げられたことにより、判定部360は、スコアとポリシー350から、データリソース120への書き込み禁止の解除を判定し、制御部370は、機器200のシステム100へのデータリソース120への書き込み禁止を解除する(ステップS715)。
図7のフローチャートは、ステップS716で終了する。
次にリスクが発生した場合、又は、リスクが動的に変動した場合には、ステップS701からS716の動作を繰り返す。このように、システム100へアクセスする機器200の運用中に発生した動的に変動するリスクに対して、サプライチェーンの証跡管理を活用した機器200の運用管理を行うことができる。
以上のように、本発明の第2の実施形態のアクセス制御装置300により、機器200の運用中に変動するリスクが発生した場合でも、機器200の継続利用可否を数値として把握することに貢献する、アクセス制御装置300を提供できる。
以上、本発明の各実施形態を説明したが、本発明は、上記した実施形態に限定されるものではなく、本発明の基本的技術的思想を逸脱しない範囲で、更なる変形・置換・調整を加えることができる。例えば、各図面に示したシステム構成、各要素の構成、メッセージの表現形態は、本発明の理解を助けるための一例であり、これらの図面に示した構成に限定されるものではない。また、以下の説明において、「A及び/又はB」は、A又はBの少なくともいずれかという意味で用いる。
また、上記した第1の実施形態~第2の実施形態に示した手順は、アクセス制御装置300として機能するコンピュータ(図8の9000)に、アクセス制御装置300としての機能を実現させるプログラムにより実現可能である。このようなコンピュータは、図8のCPU(Central Processing Unit)9010、通信インタフェース9020、メモリ9030、補助記憶装置9040を備える構成に例示される。すなわち、図8のCPU9010にて、アクセス制御プログラムを実行し、その補助記憶装置9040等に保持された各計算パラメータの更新処理を実施させればよい。
メモリ9030は、RAM(Random Access Memory)、ROM(Read Only Memory)等である。
即ち、上記した第1の実施形態~第2の実施形態に示したアクセス制御装置の各部(処理手段、機能)は、上記コンピュータのプロセッサに、そのハードウェアを用いて、上記した各処理を実行させるコンピュータプログラムにより実現することができる。
最後に、本発明の好ましい形態を要約する。
[第1の形態]
(上記第1の視点によるアクセス制御装置を参照)
[第2の形態]
第1の形態に記載のアクセス制御装置は、前記スコア算出部は、前記機器に関する前記証跡情報が、情報の検証を実行する情報検証サーバにより、改ざんされていないと決定された場合には、前記機器に関する前記証跡情報が、前記リスク対象リストに登録された前記リスクの対象となる場合に、初期値との差が大きくなるように、前記機器のスコアを更新することにより、前記機器のスコアを算出する、ことが望ましい。
[第3の形態]
第1の形態に記載のアクセス制御装置は、前記スコア算出部は、前記機器に関する前記証跡情報が、情報の検証を実行する情報検証サーバにより、改ざんされていると決定された場合には、初期値との差が大きくなるように、前記機器のスコアを更新することにより、前記機器のスコアを算出する、ことが望ましい。
[第4の形態]
第2の形態または第3の形態に記載のアクセス制御装置は、前記スコア算出部は、前記リスクが消滅した場合には、前記スコアに前記初期値を設定し、
前記制御部は、前記システムへの前記機器によるアクセスの制御を解除する、ことが望ましい。
[第5の形態]
第1の形態から第4の形態のいずれかに記載のアクセス制御装置は、前記機器から機器情報を受信し管理する機器情報管理部をさらに含み、
前記制御部と前記証跡情報管理部は、前記機器情報に従って、前記機器を特定する、ことが望ましい。
[第6の形態]
第1の形態から第5の形態のいずれかに記載のアクセス制御装置は、前記ポリシーは、前記スコアに対する、前記システムへの前記機器によるアクセスの制御方法を規定する、ことが望ましい。
[第7の形態]
第1の形態から第6の形態のいずれかに記載のアクセス制御装置は、前記システムは、ゲートウェイとデータリソースを含み、
前記制御部は、前記アクセスの制御方法に従って、前記ゲートウェイに、前記機器によるデータリソースへのアクセスの制御を許可するように指示する、ことが望ましい。
[第8の形態]
第1の形態から第7の形態のいずれかに記載のアクセス制御装置は、前記機器は、アプリケーションと、アプリケーションを制御するエージェントを含み、
前記制御部は、前記アクセスの制御方法に従って、前記エージェントに、前記システムへのアクセスの制御を許可するように指示する、ことが望ましい。
[第9の形態]
(上記第2の視点によるアクセス制御方法を参照)
[第10の形態]
(上記第3の視点によるプログラムを参照)
なお、上記第9、第10の形態は、第1の形態と同様に、第2~第8の形態に展開することが可能である。
[第1の形態]
(上記第1の視点によるアクセス制御装置を参照)
[第2の形態]
第1の形態に記載のアクセス制御装置は、前記スコア算出部は、前記機器に関する前記証跡情報が、情報の検証を実行する情報検証サーバにより、改ざんされていないと決定された場合には、前記機器に関する前記証跡情報が、前記リスク対象リストに登録された前記リスクの対象となる場合に、初期値との差が大きくなるように、前記機器のスコアを更新することにより、前記機器のスコアを算出する、ことが望ましい。
[第3の形態]
第1の形態に記載のアクセス制御装置は、前記スコア算出部は、前記機器に関する前記証跡情報が、情報の検証を実行する情報検証サーバにより、改ざんされていると決定された場合には、初期値との差が大きくなるように、前記機器のスコアを更新することにより、前記機器のスコアを算出する、ことが望ましい。
[第4の形態]
第2の形態または第3の形態に記載のアクセス制御装置は、前記スコア算出部は、前記リスクが消滅した場合には、前記スコアに前記初期値を設定し、
前記制御部は、前記システムへの前記機器によるアクセスの制御を解除する、ことが望ましい。
[第5の形態]
第1の形態から第4の形態のいずれかに記載のアクセス制御装置は、前記機器から機器情報を受信し管理する機器情報管理部をさらに含み、
前記制御部と前記証跡情報管理部は、前記機器情報に従って、前記機器を特定する、ことが望ましい。
[第6の形態]
第1の形態から第5の形態のいずれかに記載のアクセス制御装置は、前記ポリシーは、前記スコアに対する、前記システムへの前記機器によるアクセスの制御方法を規定する、ことが望ましい。
[第7の形態]
第1の形態から第6の形態のいずれかに記載のアクセス制御装置は、前記システムは、ゲートウェイとデータリソースを含み、
前記制御部は、前記アクセスの制御方法に従って、前記ゲートウェイに、前記機器によるデータリソースへのアクセスの制御を許可するように指示する、ことが望ましい。
[第8の形態]
第1の形態から第7の形態のいずれかに記載のアクセス制御装置は、前記機器は、アプリケーションと、アプリケーションを制御するエージェントを含み、
前記制御部は、前記アクセスの制御方法に従って、前記エージェントに、前記システムへのアクセスの制御を許可するように指示する、ことが望ましい。
[第9の形態]
(上記第2の視点によるアクセス制御方法を参照)
[第10の形態]
(上記第3の視点によるプログラムを参照)
なお、上記第9、第10の形態は、第1の形態と同様に、第2~第8の形態に展開することが可能である。
なお、上記の特許文献の各開示を、本書に引用をもって繰り込むものとする。本発明の全開示(請求の範囲を含む)の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の開示の枠内において種々の開示要素(各請求項の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む)の多様な組み合わせ、ないし選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。
10 リスク
100 システム
110 ゲートウェイ
120 データリソース
200 機器
210 エージェント
220 アプリケーション
300 アクセス制御装置
310 リスク対象リスト登録部
320 リスク対象リスト
330 証跡情報管理部
340 スコア算出部
345 スコア格納部
350 ポリシー
360 判定部
370 制御部
380 機器情報管理部
385 機器情報格納部
400 証跡管理サーバ
500 情報検証サーバ
1000 サプライチェーン
2000 証跡情報
9000 コンピュータ
9010 CPU
9020 通信インタフェース
9030 メモリ
9040 補助記憶装置
100 システム
110 ゲートウェイ
120 データリソース
200 機器
210 エージェント
220 アプリケーション
300 アクセス制御装置
310 リスク対象リスト登録部
320 リスク対象リスト
330 証跡情報管理部
340 スコア算出部
345 スコア格納部
350 ポリシー
360 判定部
370 制御部
380 機器情報管理部
385 機器情報格納部
400 証跡管理サーバ
500 情報検証サーバ
1000 サプライチェーン
2000 証跡情報
9000 コンピュータ
9010 CPU
9020 通信インタフェース
9030 メモリ
9040 補助記憶装置
Claims (10)
- システムへアクセスする機器の運用中に発生した動的に変動するリスクをリスク対象リストに登録するリスク対象リスト登録部と、
サプライチェーンの証跡情報をブロックチェーンを使用して管理する証跡管理サーバから、発生した前記リスクに関連する前記機器に関する証跡情報を収集し管理する証跡情報管理部と、
前記機器に関する前記証跡情報と、前記リスク対象リストに登録された前記リスクに基づいて、前記機器のスコアを算出するスコア算出部と、
スコアとアクセスの制御方法の関係を定義したポリシーと、前記機器のスコアから、前記システムへの前記機器による前記アクセスの制御方法を判定する判定部と、
前記アクセスの制御方法に従って、前記システムへの前記機器による前記アクセスを制御する制御部を含む、アクセス制御装置。 - 前記スコア算出部は、前記機器に関する前記証跡情報が、情報の検証を実行する情報検証サーバにより、改ざんされていないと決定された場合には、前記機器に関する前記証跡情報が、前記リスク対象リストに登録された前記リスクの対象となる場合に、初期値との差が大きくなるように、前記機器のスコアを更新することにより、前記機器のスコアを算出する、請求項1に記載のアクセス制御装置。
- 前記スコア算出部は、前記機器に関する前記証跡情報が、情報の検証を実行する情報検証サーバにより、改ざんされていると決定された場合には、初期値との差が大きくなるように、前記機器のスコアを更新することにより、前記機器のスコアを算出する、請求項1に記載のアクセス制御装置。
- 前記スコア算出部は、前記リスクが消滅した場合には、前記スコアに前記初期値を設定し、
前記制御部は、前記システムへの前記機器による前記アクセスの制御を解除する、請求項2または3に記載のアクセス制御装置。 - 前記機器から機器情報を受信し管理する機器情報管理部をさらに含み、
前記制御部と前記証跡情報管理部は、前記機器情報に従って、前記機器を特定する、請求項1から4のいずれか一項に記載のアクセス制御装置。 - 前記ポリシーは、前記スコアに対する、前記システムへの前記機器によるアクセスの制御方法を規定する、請求項1から5のいずれか一項に記載のアクセス制御装置。
- 前記システムは、ゲートウェイとデータリソースを含み、
前記制御部は、前記アクセスの制御方法に従って、前記ゲートウェイに、前記機器による前記データリソースへの前記アクセスを制御するように指示する、請求項1から6のいずれか一項に記載のアクセス制御装置。 - 前記機器は、アプリケーションと、アプリケーションを制御するエージェントを含み、
前記制御部は、前記アクセスの制御方法に従って、前記エージェントに、前記システムへの前記アクセスを制御するように指示する、請求項1から7のいずれか一項に記載のアクセス制御装置。 - プロセッサと記憶装置とを備えるコンピュータにより実行される、
システムへアクセスする機器の運用中に発生した動的に変動するリスクをリスク対象リストに登録するステップと、
サプライチェーンの証跡情報をブロックチェーンを使用して管理する証跡管理サーバから、発生した前記リスクに関連する前記機器に関する証跡情報を収集し管理するステップと、
前記機器に関する前記証跡情報と、前記リスク対象リストに登録された前記リスクに基づいて、前記機器のスコアを算出するステップと、
スコアとアクセスの制御方法の関係を定義したポリシーと、前記機器のスコアから、前記システムへの前記機器による前記アクセスの制御方法を判定するステップと、
前記アクセスの制御方法に従って、前記システムへの前記機器による前記アクセスを制御するステップと、を含む、アクセス制御方法。 - コンピュータに、
システムへアクセスする機器の運用中に発生した動的に変動するリスクをリスク対象リストに登録する処理と、
サプライチェーンの証跡情報をブロックチェーンを使用して管理する証跡管理サーバから、発生した前記リスクに関連する前記機器に関する証跡情報を収集し管理する処理と、
前記機器に関する前記証跡情報と、前記リスク対象リストに登録された前記リスクに基づいて、前記機器のスコアを算出する処理と、
スコアとアクセスの制御方法の関係を定義したポリシーと、前記機器のスコアから、前記システムへの前記機器による前記アクセスの制御方法を判定する処理と、
前記アクセスの制御方法に従って、前記システムへの前記機器による前記アクセスを制御する処理と、を実行させる、プログラム。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
PCT/JP2021/046019 WO2023112140A1 (ja) | 2021-12-14 | 2021-12-14 | アクセス制御装置、アクセス制御方法及び、プログラム |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
PCT/JP2021/046019 WO2023112140A1 (ja) | 2021-12-14 | 2021-12-14 | アクセス制御装置、アクセス制御方法及び、プログラム |
Publications (1)
Publication Number | Publication Date |
---|---|
WO2023112140A1 true WO2023112140A1 (ja) | 2023-06-22 |
Family
ID=86773751
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
PCT/JP2021/046019 WO2023112140A1 (ja) | 2021-12-14 | 2021-12-14 | アクセス制御装置、アクセス制御方法及び、プログラム |
Country Status (1)
Country | Link |
---|---|
WO (1) | WO2023112140A1 (ja) |
Citations (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2006066982A (ja) * | 2004-08-24 | 2006-03-09 | Hitachi Ltd | ネットワーク接続制御システム |
JP2008522292A (ja) * | 2004-11-29 | 2008-06-26 | シグナサート, インコーポレイテッド | 情報システム構成要素解析から算出したトラストスコアに基づいて複数のネットワークエンドポイント間のアクセスを制御する方法 |
JP2020113281A (ja) * | 2019-01-15 | 2020-07-27 | フィッシャー−ローズマウント システムズ,インコーポレイテッド | ブロックチェーンベースの自動化アーキテクチャサイバーセキュリティ |
-
2021
- 2021-12-14 WO PCT/JP2021/046019 patent/WO2023112140A1/ja active Application Filing
Patent Citations (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2006066982A (ja) * | 2004-08-24 | 2006-03-09 | Hitachi Ltd | ネットワーク接続制御システム |
JP2008522292A (ja) * | 2004-11-29 | 2008-06-26 | シグナサート, インコーポレイテッド | 情報システム構成要素解析から算出したトラストスコアに基づいて複数のネットワークエンドポイント間のアクセスを制御する方法 |
JP2020113281A (ja) * | 2019-01-15 | 2020-07-27 | フィッシャー−ローズマウント システムズ,インコーポレイテッド | ブロックチェーンベースの自動化アーキテクチャサイバーセキュリティ |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
US11700264B2 (en) | Systems and methods for role-based computer security configurations | |
KR101691853B1 (ko) | 자동화된 자산 중요도 평가 | |
US8805881B2 (en) | Reputation based access control | |
US20190378073A1 (en) | Business-Aware Intelligent Incident and Change Management | |
JP5304243B2 (ja) | セキュリティリスク管理システム、装置、方法、およびプログラム | |
US20180096360A1 (en) | Method and apparatus to enforce smart contract execution hierarchy on blockchain | |
US20120232679A1 (en) | Cyberspace security system | |
KR100951144B1 (ko) | 업무 모델 기반의 네트워크 취약점 점검 시스템 및 방법 | |
Plósz et al. | Combining safety and security analysis for industrial collaborative automation systems | |
Lautenbach et al. | Proposing HEAVENS 2.0–an automotive risk assessment model | |
Sheldon et al. | Methodology for evaluating security controls based on key performance indicators and stakeholder mission | |
Robinson et al. | Electronic distribution of airplane software and the impact of information security on airplane safety | |
WO2023112140A1 (ja) | アクセス制御装置、アクセス制御方法及び、プログラム | |
Macher et al. | A comprehensive safety, security, and serviceability assessment method | |
Vogt et al. | A comprehensive risk management approach to information security in intelligent transport systems | |
Du et al. | Towards an analysis of software supply chain risk management | |
JP4448307B2 (ja) | セキュリティ管理装置、セキュリティ管理方法、およびセキュリティ管理プログラム | |
Grimaila et al. | Improving the cyber incident mission impact assessment (CIMIA) process | |
Collier et al. | Building a trusted and agile supply chain network for electronic hardware | |
Span et al. | A systems security approach for requirements analysis of complex cyber-physical systems | |
Priscoli et al. | Ensuring cyber-security in smart railway surveillance with SHIELD | |
Duy et al. | Toward a trust-based authentication framework of Northbound interface in Software Defined Networking | |
König et al. | A measure for resilience of critical infrastructures | |
Rheaume | Risk-based cyber mission assurance model, process and metrics | |
Furrer | General Principles |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
121 | Ep: the epo has been informed by wipo that ep was designated in this application |
Ref document number: 21968057 Country of ref document: EP Kind code of ref document: A1 |
|
WWE | Wipo information: entry into national phase |
Ref document number: 2023567330 Country of ref document: JP |