WO2023144932A1 - 情報処理方法、プログラム及び記憶媒体 - Google Patents

情報処理方法、プログラム及び記憶媒体 Download PDF

Info

Publication number
WO2023144932A1
WO2023144932A1 PCT/JP2022/002902 JP2022002902W WO2023144932A1 WO 2023144932 A1 WO2023144932 A1 WO 2023144932A1 JP 2022002902 W JP2022002902 W JP 2022002902W WO 2023144932 A1 WO2023144932 A1 WO 2023144932A1
Authority
WO
WIPO (PCT)
Prior art keywords
information
policy
access
communication device
resource
Prior art date
Application number
PCT/JP2022/002902
Other languages
English (en)
French (fr)
Inventor
尚之 大江
貴浩 志摩
Original Assignee
ハミングヘッズ株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by ハミングヘッズ株式会社 filed Critical ハミングヘッズ株式会社
Priority to PCT/JP2022/002902 priority Critical patent/WO2023144932A1/ja
Publication of WO2023144932A1 publication Critical patent/WO2023144932A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules

Definitions

  • the present invention relates to an information processing method, program, and storage medium for controlling access to network resources.
  • PC personal computer
  • the present invention has been made in view of the above problems, and its purpose is to implement extended access control that is in line with the usage status of workers for network resources that can be used by workers.
  • an obtaining step of obtaining information of a policy selected for the communication device first, when receiving an access request to a computer resource on the network resource from the communication device, capturing an operation request from a process or an operating system to the computer resource on the network resource before accessing the computer resource; a capturing step; a first determination step of determining whether or not there is an access right to the computer resource specified by the operation request captured in the first capturing step based on the policy information acquired in the acquiring step; a processing step of passing the result of the determination in the first determination step to the operating system as per the operation request if there is an access right, and returning the result to the source of the request; and a refusal step of denying access
  • FIG. 1 is a diagram showing a configuration example of an access control system according to an embodiment of the present invention
  • FIG. It is a figure which shows the functional structural example of PC in one Embodiment of this invention.
  • FIG. 3 is a diagram showing the functional configuration of a resource management program and the relationship between the OS and applications for explaining the API capture technology of an embodiment;
  • It is a figure which shows the data structural example of the access authority management table for demonstrating the API acquisition technique of one embodiment.
  • FIG. 1 is a sequence diagram illustrating a first basic type of API monitoring/control to describe an embodiment's API capture technique
  • FIG. FIG. 4 is a sequence diagram illustrating a second basic form of API monitoring/control to illustrate the API capture technique of an embodiment
  • 1 is a diagram (1) showing an example of a separation policy of an embodiment
  • FIG. 2 is a diagram (2) showing an example of a separation policy of an embodiment
  • FIG. 4 is a diagram showing the operation of selecting a separation policy by a terminal PC in one embodiment of the present invention
  • FIG. 4 is a diagram showing the operation of a server selecting a separation policy in one embodiment of the present invention
  • 1 is a diagram (1) illustrating an example of a separation policy for separating network resources according to an embodiment of the present invention
  • FIG. 2B is a diagram (2-1) for explaining an example of a separation policy for separating network resources in an embodiment of the present invention
  • FIG. 2B is a diagram (2-2) illustrating an example of a separation policy for separating network resources according to an embodiment of the present invention
  • FIG. 4 is a diagram illustrating an operation example of applying a separation policy to a PC and a file server in one embodiment of the present invention
  • FIG. 4 is a diagram showing an operation of executing access control processing by a file server according to an embodiment of the present invention
  • Access control system 10 includes a server 100 and a personal computer (PC) 102 . Access control system 10 may further include proxy 104 . Server 100 and PC 102 can communicate via network 106 . Communications of the PC 102 may be connected to, for example, the Internet via a proxy 104 as needed.
  • PC 102 is an example of a communication device. However, the communication device may be another terminal such as a tablet terminal or a smart phone.
  • PC 102 provides user 101 with appropriate access to internal and network resources.
  • the server 100 to be controlled is an example of an information processing device, and for example, a file server for storing in-house file data operates.
  • the proxy 104 is an example of a communication device, and operates as a proxy server that controls access when the PC 102 accesses the Internet, for example.
  • FIG. 1B shows functional blocks constituting a personal computer as an example of the communication device of this embodiment. Note that each of the functional blocks to be described may be integrated or separated, and the functions to be described may be realized by separate blocks. Also, what is described as hardware may be implemented in software, and vice versa.
  • the communication unit 1201 includes, for example, a communication circuit and the like, accesses the server 100 and the Internet via wireless communication such as a wireless LAN, and transmits and receives necessary data.
  • the control unit 1202 includes a CPU 1210 and a RAM 1211 .
  • the computer program recorded in the recording unit 1207 is developed in the RAM 1211 and executed by the CPU 1210 to control the operation of each unit in the PC 102 .
  • the control unit 1202 controls access to internal resources of the PC 102 and network resources outside the PC, which are input via the operation unit 1203 or the like, for example.
  • the operation unit 1203 may include input devices such as a keyboard, mouse, and touch panel provided in the PC 102, and receives operations for various operation GUIs displayed on the display unit 1206.
  • the external IF 204 is an interface between a predetermined device such as a printer and the PC 102 .
  • the imaging device 205 is, for example, a camera device including an imaging element, and performs imaging according to instructions from the control unit 1202 .
  • the display unit 1206 includes a display device such as an LCD or OLED, and displays, for example, a GUI for operation and data successfully accessed by the user.
  • the recording unit 1207 includes a nonvolatile memory (nonvolatile storage medium) such as a semiconductor memory, for example, and holds computer programs executed by the control unit 1202 and setting values. In addition, data such as files created for the business of a company or the like are stored.
  • the computer programs stored in the recording unit 1207 include an operating system for realizing various functions of the PC 102, various applications, and programs for executing various processes such as an access control program described below.
  • a communication unit 1301 includes a communication circuit that communicates with the PC 102 via a network. It transmits information processed by the control unit 1302 to the PC 102 and receives information processed by the control unit 1302 from the PC 102 .
  • the control unit 1302 includes a CPU 1310 and a RAM 1311.
  • CPU 1310 is the central processing unit.
  • the control unit 1302 implements each function of the server 100 by developing the computer program stored in the recording unit 1304 into the RAM 1311 and executing it by the CPU 1310 .
  • the RAM 1311 includes a volatile storage medium such as a DRAM, and temporarily stores parameters, processing results, and the like for the control unit 1302 to execute the computer program.
  • the recording unit 1304 includes a non-volatile storage medium such as a hard disk or semiconductor memory, and stores setting values and computer programs necessary for the operation of the server 100 .
  • the recording unit 1304 also stores in the database 1330 data of various business-related files uploaded from the PC 102 .
  • the computer programs stored in the recording unit 1304 include an operating system for realizing various functions of the server 100, various applications, and programs for executing various processes such as an access control program described below.
  • the administrator of the server 100 uses the operation unit 1303 to perform some operations such as making necessary settings and inputting necessary information.
  • API capture technology First, API capture technology will be described.
  • the API capture technology is applied to a terminal (eg, PC) handled by a user, as well as to, for example, a file server and network devices (network resources) on a network.
  • a terminal eg, PC
  • network devices network resources
  • the API capture technology is applied to a general electronic device (for example, a PC) as an example.
  • a general electronic device for example, a PC
  • the API capturing technology described below can be applied in substantially the same manner to each OS and applications of file servers and network devices.
  • APIs Application Program Interfaces
  • the method of using this API is determined by the OS, and it is possible to determine the execution code portion that uses the API.
  • a monitoring routine is provided to monitor all APIs necessary for accessing resources, and before the application uses the API, the execution code part is changed or the entry point of API processing is replaced with the monitoring routine. , so that the monitoring routine is used when the API is used.
  • the monitor routine either processes the API requested by the application or returns the result to the application as an illegal command without processing the API.
  • Management of access authority extended by the resource management program of the present invention is managed by this program separately from management of the OS, and a monitoring routine is provided for each type of access authority. This method restricts access from applications that illegally use resources.
  • a resource management program intervening between an application and an operating system receives an operation request from a specified application to access a computer resource, before the operation issued by the application. Among requests, it monitors and captures operation requests for specified computer resources. Then, whether or not access authority to the computer resource specified by the captured operation request is permitted is determined based on a separation policy summarizing computer access authority, and access is restricted.
  • FIG. 2 is a diagram showing the configuration of the resource management program 203 and the concept of API monitoring/control according to the present invention.
  • the resource management program 203 includes an API monitoring controller (API monitoring CTRL) 2031, an APL (application) monitoring controller (APL 2032 , an access control controller (access control CTRL) 2033 , and an OS monitoring controller (OS monitoring CTRL) 2034 .
  • API monitoring CTRL API monitoring controller
  • APL application monitoring controller
  • APL 2032 access control controller
  • access control CTRL access control CTRL
  • OS monitoring CTRL OS monitoring controller
  • This resource management program 203 is located between the general-purpose OS 201 and the user environment 202 consisting of general applications including an application 2021 that issues resource access requests and OS function operations 2022 such as screen capture. is designed to monitor requests for resources provided by
  • the general-purpose OS 201 includes resources 2011 managed by the OS and an API group 2012 provided by the OS to the application 2021 .
  • the API monitoring CTRL 2031 in the resource management program 203 is a module that monitors all APIs required for access control.
  • the APL monitoring CTRL 2032 is a module that stores resources held by the application 2021 .
  • the access control CTRL 2033 is a module for determining whether access to the resource 2011 is permitted, and has an access authority management table 2035 .
  • the OS monitoring CTRL 2034 is a module that monitors resource access operations by the functions of the general-purpose OS 201 .
  • the access authority management table 2035 is configured so that resource designation information 20351, conditions 20352, and n pieces of access authority information 20353 to 2035n can be registered for each resource.
  • the resource designation information 20351 is information for designating a specific one of the resources 2011 managed by the general-purpose OS 201. For example, in the case of files, information such as file names and file IDs are registered. If it is an application, for example, the program name is registered. In the case of communication data, in addition to the host name, port number, and IP address, the Bluetooth identifier, Wi-Fi AP (access point) address, etc. are registered, and in the case of memory, the object name, address, etc. that indicate the object is registered. In the case of an external device, a device name indicating its device driver, a unique identifier called a device ID, and the like are registered.
  • the condition 20352 indicates the conditions under which the access authority is valid or a combination thereof, for example, user name/ID, group name/ID, time, etc. are registered.
  • the access authority information 20353 to 2035n indicates the authority added to the designated resource among the extended access authority not defined in the existing environment, such as the authority to move to another medium, the authority to copy to another medium, Printing authority, reading authority to shared memory (clipboard in Windows, etc.), screen capture authority, restrictions on applications to be used (prohibition of use other than specific applications, prohibition of attachment to e-mail), etc. are registered.
  • each authority can be registered for a resource that has read and write capabilities. For example, it is possible to permit reading but not writing to a specific USB memory. Also, even when writing is permitted, it is possible to designate writing by encryption, and the encryption key at that time is defined in the separation policy (separation policy will be described in detail later).
  • the separation policy having the same encryption key can read the information, so that it is possible to separate the information that can be substantially referred to in units of the separation policy.
  • This can be specified for resources that have write permission, such as files, USB devices, and clipboards.
  • communication resources In addition to reading (receiving) and writing (sending), communication resources also have connection (CONNECT) and acceptance (ACCEPT) information.
  • resources may be accessed by multiple APIs, and the resource designation information in that case may be converted into IDs (handles, etc.) managed by the OS.
  • IDs handles, etc.
  • the resource designation information and its ID are regarded as the same.
  • the API monitoring CTRL 2031 captures the request and conveys it to the access control CTRL 2033 .
  • the access control CTRL 2033 acquires resource information held by the application 2021 from the APL monitoring CTRL 2032 as necessary when performing an access authority check.
  • the access authority management table 2035 is referred to for the access request of (1) above to access the resource. Perform access authority check. As a result of the check, if there is no authorization, the API issued by the application 2021 is not processed, and an access violation error is returned as a result.
  • the access authority management table 2035 is referred to and the access authority to the resource is checked for the access request of (1).
  • the resource management program 203 does not process the resource requested by the application 2021. API processing is performed instead of requesting access to the prepared dummy resource.
  • application 2021 behaves as if it has successfully requested, but cannot actually access the requested resource.
  • the API monitoring CTRL 2031 captures the access request, and directly conveys the API processing issued by the application 2021 to the general-purpose OS 201, The result is returned to the application 2021.
  • the APL monitor CTRL 2032 When the application 2021 issues a resource release request API and the API succeeds, the APL monitor CTRL 2032 is also notified. The APL monitor CTRL 2032 deletes the correspondence between the application 2021 and the retained resource.
  • the OS monitor CTRL 2034 captures the access request and notifies it to the access control CTRL 2033 .
  • FIG. 4 shows the first basic type of API monitoring and control (see FIG. 4) showing exchanges between the application 2021, the resource management program 203, and the general-purpose OS 201 until the resource is released when there is an access right to the target resource.
  • 1) is a sequence diagram.
  • the resource management program 203 determines that the application 2021 has the right to access the resource. is checked (step 402). As a result of the check, if there is access authority (step 403), the API issued by the application 2021 is conveyed to the general-purpose OS 201 as it is. The general-purpose OS 201 performs the original API processing of the OS (step 404).
  • the resource management program 203 registers information that the application 2021 holds the resource (step 405). Then, the API result from the general-purpose OS 201 is returned to the application 2021 as it is (step 406). This completes access to the resource (step 407).
  • the resource management program 203 notifies the general-purpose OS 201 of the release request.
  • the general-purpose OS 201 performs the original API processing of the OS (step 409).
  • the resource management program 203 cancels the information that the application 2021 holds the resource (step 410).
  • the API result from the general-purpose OS 201 is returned to the application 2021 as it is (step 411). This completes the release of the held resource (step 412).
  • FIG. 5 shows the second basis of API monitoring and control, showing exchanges between the application 2021, the resource management program 203, and the general-purpose OS 201 until the access is denied when there is no access authority to the target resource.
  • FIG. 10 is a sequence diagram of type (2);
  • the resource management program 203 determines that the application 2021 has the right to access the resource. is checked (step 502). As a result of checking, if there is no access authority (step 503), an access violation error is returned to the application 2021 (step 504). This completes the resource access processing (step 505).
  • the resource management program 203 asks whether the application 2021 has the right to access the resource. is checked (step 507). As a result of the check, if there is no access authority and the application 2021 does not handle the access violation error (step 508), the resource management program 203 replaces it with an access request to a dummy resource prepared in advance and passes it to the general-purpose OS 201. (Step 509).
  • the general-purpose OS 201 performs the original API processing of the OS (step 510).
  • the resource management program 203 directly returns the API processing result from the general-purpose OS 201 to the application 2021 (step 511). As a result, the access processing to the target resource ends, but since it is a dummy resource, nothing is actually done (step 512).
  • the separation policy is information collectively defining the access rights required for each of the multiple types of business as a policy for each business (hereinafter referred to as a separation policy).
  • Separation policies include applications that are executable or unexecutable in the corresponding business, areas that are readable and writable (specific local disks, network disks, etc.), permitted communication destinations (email, Internet, etc.). ), target users, PCs, time zones, locations of use, and other information.
  • the plurality of defined isolation policies are switched by the user or automatically switched when the PC is used, and one of the isolation policies is always applied to the resource management program 203 during operation of the PC. Become.
  • the resource management program 203 controls to allow resource access requests only within the scope defined by the applied separation policy.
  • the resource management program 203 captures processes executed by the OS and software at the API level, prohibits processes that violate the separation policy, and executes only processes that satisfy the separation policy, thereby controlling the separation policy. I do. Alternatively, processing that violates the separation policy is prohibited, and switching is made to another processing that satisfies the separation policy.
  • the "API capture" by the resource management program 203 captures not only the application level, but also the system level called drivers and services. Realize
  • the resource management program 203 determines whether or not to access a communication resource (for example, a network card) that implements communication with the network at the API level inside the PC. If it is, the communication will not flow to the connected network. This has the same effect as physical separation in response to recent concerns that communication devices themselves may become targets of cyberattacks.
  • a communication resource for example, a network card
  • control information of the separation policy includes the following. These can correspond to the resource designation information in FIG. 3, for example.
  • Executable/Prohibited Program Designation of execution permission or prohibition of each program is registered by program name, program path, hash of program file.
  • Read access (connection) permission/prohibition area The area that specifies permission or prohibition to read various information is registered with the file path, URL, IP address, host name, USB device ID, email address, and wireless LAN AP. .
  • (3) Writable/Unwritable Area The area for designating write permission or prohibition is registered with a file path, URL (POST/PUT command), USB device ID, mail address (SMTP), and clipboard data type. Encrypted writing can also be specified for write permission.
  • the encryption key at that time is defined in the separation policy.
  • the separation policy As already explained, by defining the encryption key for encrypted writing for each separation policy, only the separation policy with the same encryption key can read the relevant information. Information can be separated. (4) Temporarily accessible area When the applied separation policy is changed, log off/not, terminate the program being used/not, delete area (path specification), use with the changed separation policy Specifies whether to restart the program that was running.
  • Applicable terminal (PC) information Register the machine name, IP address, and MAC address.
  • Applicable user information Register the user name and group name.
  • Applied location information Location information obtained from the OS, connected AP, connected domain name, and specific in-house PC are registered.
  • Applicable time information (time information) Register applicable times, periods, and days of the week.
  • one separation policy is defined as a set of the above control information, application target information, and clear information. It should be noted that a plurality of separation policies can be defined by defining a name, and are applied to the resource management program 203 by switching with a separation policy switching mechanism.
  • the separation policy supplied to the resource management program 203 is analyzed by the access control CTRL 2033 shown in FIG. is applied by developing it into resource specification information, access authority information, etc.
  • the mechanism for switching the separation policy may be configured so that the user can select and switch, or the switching can be automatically performed based on location information (for example, office or home) where the PC is used. It may be configured as
  • FIGS. 6A and 6B are diagrams showing specific examples of separation policies.
  • the separation policies used in companies include a separation policy for internal confidential work, a separation policy for internal office work, a separation policy for remote work at home, a separation policy for business trip work, and an unregistered location. Isolation policy for , default isolation policy, etc.
  • the resource management program 203 to which the separation policy for in-house confidential work is applied permits access requests from the application 2021 to almost all resources.
  • usable programs basically all programs such as schedule management applications, development applications, and document creation applications are accessible.
  • the readable area and the writable area almost all of the external HDD, the own HDD, and other storage areas can be used.
  • the resource management program 203 divides the accessible resources when this isolation policy is applied into isolation for internal confidential work. Less than policy. For example, with regard to usable programs, development applications cannot be used, and only programs that are basically required for office work, such as schedule management applications and document creation applications, can be accessed.
  • the readable area, the writable area, and the like are not accessible to an external HDD, and are accessible only to the own HDD.
  • access to the network since there are cases where the Internet is used for research, etc., access to the company network and the Internet is made possible. Alternatively, depending on the business, there are cases where the internal network is permitted but communication to the Internet is prohibited.
  • the applicable terminal is a mobile PC registered with the company, and the place where it can be used is the home of the employee registered with the company.
  • the terminal refers to its own GPS information and the registered employee's home address, and applies it to the resource management program 203 .
  • Working remotely from home is less secure than it is at work, so the programs you can use are even more limited. For example, applications for development and office work will not be available, and only programs that are basically required for work at home, such as document creation applications, will be accessible.
  • the readable area and the writable area access to an external HDD is prohibited, only reading is permitted to the own HDD, and reading and writing are permitted only to the storage provided in the company.
  • VPN Virtual Private Network
  • the applicable terminal is the mobile PC registered with the company, and the place where it can be used is the outside location registered with the company.
  • the resource management program 203 When applying the separation policy for business trip work outside the company, it applies to the resource management program 203 by referring to its own GPS information and the registered address of the place where it is outside the office.
  • the programs that can be used are more limited than when working from home, such as browsers and e-mail only.
  • the readable area is limited to only the contents of the USB memory brought by the user. Access to the network is prohibited.
  • the default separation policy is a pre-defined separation policy that is adopted when there is no applicable policy, and is a separation policy that can be used by general office work programs, document creation applications, email, etc.
  • the default isolation policy assumes company use of the device and allows for general company work.
  • access to the network as with the separation policy for office work within the company, access to the company network and the Internet is made possible because there are cases where the Internet is used for research.
  • the file of the separation policy stores the information of "separation policy example" as it is or encrypted.
  • the separation policy file may be stored in advance in the terminal PC to be used, or may be stored in the management server so that the latest policy is transferred to the terminal PC when connecting to the server. good too.
  • the management server and the terminal PC are set to be able to communicate so that the separation policy can be received from the management server regardless of the applied policy.
  • the separation policy is dynamically passed from the management server to the PC
  • the terminal PC does not have a policy file as an entity, and the terminal PC saves the separation policy received from the management server in its own memory and uses it. .
  • the default separation policy is a predefined separation policy that is adopted when there is no applicable policy, as described above.
  • the default isolation policy may be stored as a file on the terminal or implemented as a default value in the system. Usually, it is defined with contents restricted to conditions such as, for example, communication between the management server and the terminal PC being possible, and the local disk being unusable.
  • the separation policy that is a candidate for application at the start of use of the PC is limited to those whose application target information registered in the separation policy matches the usage status of the PC. Furthermore, priority can be defined for the separation policy based on information types such as applicable terminal information, applicable user information, applicable location information, and applicable time information among the information to be applied. Those who do are candidates.
  • the candidate is the isolation policy for terminal A.
  • FIG. 7 is a flow chart showing the operation when the terminal PC selects the separation policy. The operation of the flowchart of FIG. 7 is started when the terminal PC is activated. Note that the terminal PC may be the terminal PC shown in FIG. 1B, and the operations of this flowchart may be realized by the CPU 1210 developing and executing a program stored in the recording unit 1207 .
  • step S701 the CPU 1210 of the terminal PC acquires its own PC name, user name, place of use, and time information.
  • step S702 the CPU 1210 of the terminal PC acquires the separation policy file stored in its own hard disk or the like.
  • step S703 the CPU 1210 of the terminal PC selects the separation policy that matches the application target information with the highest priority among the application target information such as the PC name, user name, place of use, and time.
  • step S704 the CPU 1210 of the terminal PC determines whether or not there are multiple policies corresponding to the application target information with the highest priority selected in step S703. If so, go to step 706 .
  • step S705 the CPU 1210 of the terminal PC selects the separation policy with the preset highest priority among the plurality of candidate separation policies.
  • step S706 the CPU 1210 of the terminal PC determines whether there is one separation policy. If there is one separation policy, the process proceeds to step S708, and if there is no separation policy, the process proceeds to step S707.
  • step S707 the CPU 1210 of the terminal PC selects the default separation policy.
  • step S708 the separation policy selected in any of steps S705-S707 is applied to the resource management program 203.
  • step S706 the separation policy with the highest preset priority is selected from among the plurality of candidate separation policies, but the user may select it.
  • FIG. 8 is a flow chart showing the operation of the management server selecting the separation policy when the separation policy is supplied to the terminal PC from the management server that manages the separation policy.
  • the operation of the flowchart in FIG. 8 is started when the management server receives a separation policy transmission request from the terminal PC.
  • the management server may be the management server shown in FIG.
  • the hardware configuration of the management server may be substantially the same as the hardware configuration of the server shown in FIG. 1C (ie communication circuit, CPU, RAM, recording device, etc.).
  • step S801 the CPU of the management server acquires information on the PC name, user name, place of use, and time from the terminal PC.
  • step S802 the CPU of the management server acquires the separation policy file stored in its own hard disk or the like.
  • step S803 the CPU of the management server selects the separation policy that matches the application target information with the highest priority among the application target information received from the terminal PC, such as the PC name, user name, place of use, and time.
  • step S804 the CPU of the management server determines whether or not there are multiple policies corresponding to the application target information with the highest priority selected in step S803. If so, go to step 806 .
  • step S805 the CPU of the management server selects the separation policy with the preset highest priority among the plurality of candidate separation policies.
  • step S806 the CPU of the management server determines whether there is one separation policy. If there is one separation policy, the process proceeds to step S808, and if there is no separation policy, the process proceeds to step S807.
  • step S807 the CPU of the management server selects the default separation policy.
  • the CPU of the management server transmits the separation policy selected at any one of steps S805 to S807 to the terminal PC.
  • step S805 the separation policy with the highest preset priority is selected from among the plurality of candidate separation policies.
  • the user may select the separation policy to be applied on the terminal PC.
  • a separation policy that enables separation of network resources will be described with reference to FIGS. 9A, 9B-1 and 9B-2.
  • the isolation policy that enables isolation of network resources is an extension of the isolation policy described with reference to Figures 6A and 6B.
  • a unique separation policy name (that is, information for identifying a separation policy) is assigned to each separation policy.
  • the separation policy for separating network resources is based on the control information and application target information of the separation policy shown in FIGS. 6A and 6B, as described later with reference to FIGS. Additionally, network resource control information is further added.
  • the isolation policy for isolating network resources is obtained by analyzing the isolation policy supplied to the resource management program 203 by the access control CTRL 2033 shown in FIG. , as shown in FIG. 3, it is applied by developing it into resource designation information, access authority information, and the like.
  • FIG. 9A illustrates an example of an environment realized by a separation policy that enables separation of network resources.
  • "For internal confidential work A” and “For internal confidential work B” shown in FIG. It shows an example extended to separate work policies.
  • the data areas that exist (seem to exist) on the file server are different between “for internal confidential work A” and “for internal confidential work B”.
  • the separation policies of "watermark printing business”, “cloud only”, and “cloud only (application only)" shown in FIG. 9A are new examples that do not directly correspond to the examples shown in FIGS. 6A and 6B. is.
  • a separation policy for separating network resources includes separation policy control information, application target information, and network resource control information, as shown in FIG. 9B-1.
  • the control information includes usable programs, readable areas, writable areas, and temporary access information, as described above. Since the example shown in FIG. 9B-1 may be similar to FIG. 6A, its detailed illustration is omitted.
  • the separation policy application target information indicates a target (for example, a PC) that can access the network resource.
  • the separation policy application target information includes terminal information, user information, location information, and time information, as in the configuration described with reference to FIGS. 6A and 6B. That is, "terminal information" may be specified by at least one of a machine name, IP address, and MAC address, for example.
  • “User information” can be specified by a user name or a group name.
  • “Location information” may include at least one of location information obtained from the OS of the PC used by the user, a connected AP, a connected domain name, an identifier indicating a specific in-house machine, and the like.
  • the "time information” can be specified by the period of time and date when the PC can be used by applying the separation policy, or by the day of the week.
  • the network resource control information includes at least one of IP addresses, host names, URLs, file server directory paths, network device names (printers, scanners, etc.) for network resources subject to access control (permission or prohibition). contains information about The example shown in FIG. 9B-2 includes, for example, an IP address/host name, a directory path within the server, and a URL.
  • the IP address/host name specifies the IP address or host name of a network resource for which access is permitted or prohibited.
  • a directory path within a server specifies a resource for which access is permitted or prohibited on a file server or remote device.
  • the separation policies for "confidential internal work A" and "confidential internal work B" permit access only to data areas dedicated to each business on the file server. It is configured.
  • URL specifies the URL of the web service for which access is permitted or prohibited.
  • these pieces of information may be specified in combination with the accessing application program.
  • programs that specify whether to allow or disallow access to network resources may be specified using program names, program paths, and/or hashes of program files.
  • the separation policy "cloud only (app only)" specifies the accessing programs “teams.exe” and "edge.exe”.
  • the access program is determined, for example, by API capture control processing that captures the API.
  • the information that constitutes the application target and the information that constitutes the network resource control information are used as separate separation policies that are omitted or masked according to the role (PC, gateway, file server, etc.) as necessary. can also In that case, when applying the separate separation policy to the PC or file server, the separation policy name or the identification ID of the separation policy may be linked.
  • multiple separation policies may be automatically switched (to satisfy the information to be provided), and when the user uses the PC, the separation policy may be automatically switched.
  • the separation policy may be switched as long as the target information is satisfied. By these switching, when the user operates the PC, one of the separation policies is always applied.
  • the resource management program described above that performs access control according to separation policies also operates on one or more network resources such as gateways, proxies, and file servers.
  • the resource management program existing on the network resource identifies the current isolation policy of the access source PC, and the policy applied to the PC among the isolation policies possessed by the resource management program. Access control is performed according to the policy content of the name and the same name.
  • the separation policy applied on the PC is changed, the PC sends the changed separation policy name (information identifying the separation policy) to the network resource (file server or proxy), and the network resource applies it.
  • the isolation policy may be linked to the isolation policy applied by the PC.
  • each resource management program can apply a separation policy with the same separation policy name to perform API capture.
  • both the PC and the network resource are separated in conjunction with the applied separation policy, and strong security can be ensured.
  • the PC may obtain the name of the isolation policy to be applied, but may not perform API capture.
  • the API capture to which the separation policy (corresponding to the separation policy name acquired by the PC) is applied may be performed only by the file server or gateway on the network resource side. Even in this case, the network resources beyond the PC are appropriately separated and controlled according to the separation policy, but since there is no need for special control such as API capture on the PC side, implementation on the PC side is easy. and your PC will run faster.
  • API capture according to the separation policy may be performed only at one or more gateways on the path.
  • no API capture is performed on the PC and the file server, so no special control is required for the PC and the file server, but one or more gateways follow the isolation policy (corresponding to the isolation policy name obtained by the PC).
  • the isolation policy for isolating network resources may store the above isolation policy information in the form of a file (separation policy file), for example.
  • the isolation policy file may be encrypted.
  • the isolation policy file may be pre-stored on the PC and network resources.
  • a management server may be arranged to manage the contents of the separation policy, and the separation policy may be distributed from the management server.
  • the separation policy held by the PC may contain only application target information
  • the separation policy held by the network resource may contain only network resource control information.
  • management of network resource control may be facilitated, for example, when policy content is changed in accordance with a change in network configuration.
  • the separation policy can be exchanged after authentication between the devices.
  • exchanged isolation policies and other exchanged data may be encrypted.
  • PCs and network resources may periodically or irregularly access the management server and acquire the latest separation policy file to update the separation policy of each device.
  • the separation policy used by PCs and network resources is managed by the management server, the PCs and network resources are set to the management server so that they can acquire the separation policy file regardless of the content of the separation policy that is set. configured to be accessible.
  • the management server may dynamically provide separation policy information to PCs and network resources.
  • the PC and the network resource store the separation policy information received from the management server in the internal memory or recording unit and use it.
  • the later-described "default separation policy" may be used.
  • the PC may use a predetermined specific separation policy (referred to as the default separation policy).
  • the default separation policy is, for example, a default separation policy that is provisionally applied when there is no separation policy to apply.
  • the control unit in the network resource may apply the separation policy as a default when the access source has no applicable policy or applies a non-existent separation policy.
  • a default isolation policy can be defined with the most restrictive policy content.
  • a maximally restrictive policy could be, for example, only being able to communicate with the management server, or prohibiting access to all network resources, etc.).
  • FIG. 10 schematically illustrates how the PC 102 and the file server 100 are located within the company, and the PC 102 accesses file data in the file server 100 according to the separation policy.
  • separation policy files for separating network resources
  • Separation policy files respectively stored in the PC 102 and the file server 100 are distributed and updated in advance by the management server (S1000).
  • the management server S1000
  • the separation policy is applied by the processing of the PC 102 shown in FIG. 7 (S1002).
  • S1002 the separation policy "for in-house confidential work A" is applied to the PC 102.
  • the PC 102 transmits the identification information of the separation policy applied to itself (that is, the separation policy name) to the file server 100 (S1004). It should be noted that the acquisition of separation policy identification information may be performed after the file is accessed from the PC 102, as will be described in the later-described access control operation in the file server.
  • the file server 100 When the file server 100 receives a file access (that is, an access request) from the PC 102 (S1006), the file server 100 specifies (applies) a separation policy (for example, "for internal confidential work A") corresponding to the acquired separation policy identification information. Then, the resource management program of the file server 100 performs access control according to the separation policy (S1008). The file server 100 transmits the requested file data to the PC 102 if the access is to the data area permitted by the separation policy (S1010).
  • a separation policy for example, "for internal confidential work A”
  • the resource management program of the file server 100 confirms the contents of the current separation policy in this terminal at the timing of access from the PC 102 (when control information is registered in combination with the program, the access source program is also confirmed). do. Then, access is permitted or denied according to the separation policy in the API capture control process. In this way, detailed network resource control such as access control to directories in the file server becomes possible.
  • protocols such as TCP/UDP that have a process of "establishing a connection” and access that has an "open” process such as file access
  • this process is controlled and Control can be omitted in subsequent processing.
  • the management server distributes the separation policy information to the PC and the file server, and stores the separation policy information in the respective recording units. selection is not limited to this.
  • Application of the separation policy in PC 102 may be determined by the management server, and the determined separation policy name may be sent to PC 102, as shown in FIG.
  • corresponding separation policy information for example, network resource control information
  • the file server 100 may acquire the corresponding separation policy information by transmitting information identifying the access source (for example, information identifying the PC) to the management server.
  • the file server 100 may acquire separation policy identification information from the gateway machine. Then, the file server 100 may acquire separation policy information (for example, network resource control information) corresponding to the identification information from the management server.
  • separation policy information for example, network resource control information
  • gateway machines are placed in the access path from the PC to the file server 100 as a network configuration, there is no need to have a separation policy in subsequent network resources. Separation policy information may be transmitted. In this case, policy management becomes easier.
  • existing simple control technology proxy program, gateway program, etc.
  • the CPU 1310 of the file server 100 acquires the separation policy file from, for example, the management server. Note that it is not essential for the file server 100 to acquire the separation policy file from the management server in advance.
  • the content of the separation policy may be obtained in advance from the PC, or the file server 100 may obtain the content of the separation policy from the management server when the PC accesses the file server 100 .
  • the CPU 1310 determines whether there is a file access request from the PC 102. At this time, the CPU 1310 may acquire information (terminal information, user information, location information, time information) related to the application target together with the file access. If the PC 102 accesses the file, the CPU 1310 advances the process to S1103; otherwise, the process advances to S1102.
  • the CPU 1310 acquires the identification information of the separation policy applied by the PC 102.
  • the CPU 1310 extracts the network resource control information of the separation policy file according to the obtained identification information of the separation policy, and extracts information used for access control (for example, resource designation information, conditions, and access authority shown in FIG. 3). set as The CPU 1310 may further set the information to which the separation policy file is applied as information used for access control.
  • the CPU 1310 performs access control by a resource management program using API capture according to network resource control information set as information used for access control.
  • the access control is also performed according to the information of the application target.
  • the CPU 1310 transmits the result (for example, transmits the accessed file to the PC 102) according to the result of access control by the resource management program.
  • CPU1310 will complete
  • the PC 102 issues a request for access to a file, which is a computer resource on the file server 100, has been described.
  • a network device for example, when a proxy is requested to access the Internet.
  • the proxy should apply the separation policy, and access control to computer resources (for example, ports, established connections/tunnels, etc.) on the proxy should be performed according to the separation policy.
  • access control by API capture according to the separation policy is performed in conjunction with the PC used by the user and the network resources (for example, file servers and network devices). bottom.
  • the PC and network resources operate in conjunction with the same separation policy, the network environment itself can behave as if it were a physically separate environment. That is, while using the existing OS and processes of terminals and devices on the network, it is possible to implement extended access control suited to the worker's usage situation with respect to network resources that can be used by the worker.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Storage Device Security (AREA)

Abstract

本開示に係る情報処理方法は、利用者が用いる通信装置からの、ネットワークリソース上のコンピュータリソースに対するアクセスを制御する情報処理方法であって、複数種類の業務ごとに許可されるアクセス権限をそれぞれの業務ごとのポリシーとして定義した複数のポリシーから、通信装置の状態に適したポリシーを選択する選択工程と、ネットワークリソースにおいて、通信装置に対して選択されたポリシーの情報を取得する取得工程と、通信装置からネットワークリソース上のコンピュータリソースに対するアクセス要求を受信した場合に、ネットワークリソース上のコンピュータリソースに対するプロセスまたはオペレーティングシステムからの操作要求を当該コンピュータリソースにアクセスする前に捕捉する第１捕捉工程と、第１捕捉工程で捕捉した操作要求によって指定されるコンピュータリソースに対するアクセス権限があるか否かを、取得工程で取得されたポリシーの情報に基づいて判定する第１判定工程と、第１判定工程の判定の結果、アクセス権限があれば当該操作要求の通りにオペレーティングシステムに渡し、その結果を要求元に返す処理工程と、第１判定工程の判定の結果、アクセス権限がなければ当該操作要求によって指定されるコンピュータリソースに対するアクセスを拒否する拒否工程と、を有する。

Description

情報処理方法、プログラム及び記憶媒体
　本発明は、ネットワークリソースに対するアクセスを制御する情報処理方法、プログラム及び記憶媒体に関するものである。
　従来、会社等の業務において、一人に１台のパーソナルコンピュータ（ＰＣ）が支給されることが一般的になっている。ＰＣを使用する際のセキュリティの観点から、既存のＯＳ（Operating System）やプロセスを用いながら、コンピュータリソースへのアクセス権限の無いユーザによるリソースの操作を制限する技術が知られている（特許文献１）。
　ところで、会社等における業務内容の多様化に伴い、会社等の業務においてＰＣを使用する場合に、セキュリティの観点から、業務内容に応じて複数のＰＣを使い分けることが増えてきている。例えば、社内の機密性の高い情報を扱う業務、インターネットを利用する業務或いはテレワーク時の業務に、同一のＰＣを使用する場合、社内情報が外部に漏洩するリスクやサイバー攻撃を受けるリスクなどが懸念される。このため、業務内容に即してアクセス可能なストレージ領域や利用可能なネットワークなどの運用環境を個別に用意した、別々のＰＣで業務を行う場合がある。実際には、物理的に複数のＰＣを使用したり、１台のＰＣでＶＤＩ（Virtual Desktop Infrastructure）や仮想ＰＣを利用したりといった方法を用いることで、業務ごとに別々の運用環境を実現することができる。
特開２０１１－１７５６４９号公報
　他方、業務内容ごとに分離された物理ＰＣと仮想ＰＣとを用意することは、管理すべき資産（ＰＣそのものや、ＯＳをはじめとするソフトウェア）や、複数のＰＣを使用する煩雑さ、様々なコスト等の増加が伴う。更に、物理的に存在するネットワークリソースまで利用者や業務内容によって使い分けるために、従来の仮想化技術を利用してアクセスする端末を物理的に分けることも考えられるが、十分な分離を行おうとすると多くの仮想マシンを用意する必要がある。また、例えばファイルサーバを分離する場合には、業務に応じた複数のユーザアカウントを用意してログイン段階で使い分けるという方法もあり得るが、ユーザ管理が煩雑化する。いずれにしても、利便性が損なわれ全体としてコストが増大し得る。
　本発明は、上記課題に鑑みてなされ、その目的は、作業者が利用できるネットワークリソースに対して、作業者の利用状況に即した拡張されたアクセス制御を実現することにある。
　本発明によれば、
　利用者が用いる通信装置からの、ネットワークリソース上のコンピュータリソースに対するアクセスを制御する情報処理方法であって、
　複数種類の業務ごとに許可されるアクセス権限をそれぞれの業務ごとのポリシーとして定義した複数のポリシーから、前記通信装置の状態に適したポリシーを選択する選択工程と、
　前記ネットワークリソースにおいて、
　　前記通信装置に対して選択されたポリシーの情報を取得する取得工程と、
　　前記通信装置から前記ネットワークリソース上のコンピュータリソースに対するアクセス要求を受信した場合に、前記ネットワークリソース上の前記コンピュータリソースに対するプロセスまたはオペレーティングシステムからの操作要求を当該コンピュータリソースにアクセスする前に捕捉する第１捕捉工程と、
　　前記第１捕捉工程で捕捉した操作要求によって指定されるコンピュータリソースに対するアクセス権限があるか否かを、前記取得工程で取得されたポリシーの情報に基づいて判定する第１判定工程と、
　　前記第１判定工程の判定の結果、アクセス権限があれば当該操作要求の通りにオペレーティングシステムに渡し、その結果を要求元に返す処理工程と、
　　前記第１判定工程の判定の結果、アクセス権限がなければ当該操作要求によって指定されるコンピュータリソースに対するアクセスを拒否する拒否工程と、を有することを特徴とする情報処理方法が提供される。
　本発明によれば、端末やネットワーク上の機器の既存のＯＳやプロセスを利用しつつ、作業者が利用できるネットワークリソースに対して、作業者の利用状況に即した拡張されたアクセス制御を実現することができる。
　本発明のその他の特徴及び利点は、添付図面を参照とした以下の説明により明らかになるであろう。なお、添付図面においては、同じ若しくは同様の構成には、同じ参照番号を付す。
　添付図面は明細書に含まれ、その一部を構成し、本発明の実施の形態を示し、その記述と共に本発明の原理を説明するために用いられる。
本発明の一実施形態におけるアクセス制御システムの構成例を示す図である。 本発明の一実施形態におけるＰＣの機能構成例を示す図である。 本発明の一実施形態におけるサーバの機能構成例を示す図である。 ある実施形態のＡＰＩ捕捉技術を説明するための、リソース管理プログラムの機能構成及びＯＳとアプリケーションとの関係を示す図である。 ある実施形態のＡＰＩ捕捉技術を説明するための、アクセス権限管理テーブルのデータ構成例を示す図である。 ある実施形態のＡＰＩ捕捉技術を説明するための、ＡＰＩの監視／制御の第１の基本型を示すシーケンス図である。 ある実施形態のＡＰＩ捕捉技術を説明するための、ＡＰＩの監視／制御の第２の基本型を示すシーケンス図である。 ある実施形態の分離ポリシーの例を示す図（１）である。 ある実施形態の分離ポリシーの例を示す図（２）である。 本発明の一実施形態における端末ＰＣが分離ポリシーを選択する動作を示す図である。 本発明の一実施形態におけるサーバが分離ポリシーを選択する動作を示す図である。 本発明の一実施形態におけるネットワークリソースを分離する分離ポリシーの例を説明する図（１）である。 本発明の一実施形態におけるネットワークリソースを分離する分離ポリシーの例を説明する図（２－１）である。 本発明の一実施形態におけるネットワークリソースを分離する分離ポリシーの例を説明する図（２－２）である。 本発明の一実施形態においてＰＣとファイルサーバに分離ポリシーを適用する動作例を説明する図である。 本発明の一実施形態におけるファイルサーバがアクセス制御処理を実行する動作を示す図である。
　以下、添付図面を参照して実施形態を詳しく説明する。なお、以下の実施形態は特許請求の範囲に係る発明を限定するものではなく、また実施形態で説明されている特徴の組み合わせの全てが発明に必須のものとは限らない。実施形態で説明されている複数の特徴のうち二つ以上の特徴は任意に組み合わされてもよい。また、同一若しくは同様の構成には同一の参照番号を付し、重複した説明は省略する。
　＜アクセス制御システムの構成＞
　図１Ａを参照して、本実施形態に係るアクセス制御システム１０の構成について説明する。アクセス制御システム１０は、サーバ１００とパーソナルコンピュータ（ＰＣ）１０２とを含む。アクセス制御システム１０は、プロキシー１０４を更に含んでもよい。サーバ１００とＰＣ１０２とはネットワーク１０６を介して通信可能である。ＰＣ１０２の通信は、必要に応じてプロキシー１０４を介して、例えばインターネットに接続されてもよい。ＰＣ１０２は、通信装置の一例である。しかし、通信装置は、他の端末、例えばタブレット端末やスマートフォンなどであってもよい。ＰＣ１０２は、利用者１０１に対して、内部リソース及びネットワークリソースへの適切なアクセスを提供する。制御するサーバ１００は、情報処理装置の一例であり、例えば、社内のファイルデータを格納するためのファイルサーバが動作している。プロキシー１０４は通信装置の一例であり、例えば、ＰＣ１０２がインターネットにアクセスする際のアクセスを制御するプロキシーサーバとして動作する。
　＜ＰＣの機能構成例＞
　図１Ｂを参照して、ＰＣ１０２の機能構成例について説明する。図１Ｂに示す構成は、本実施形態の通信装置の一例としてのパーソナルコンピュータを構成する機能ブロックを示している。なお、説明する機能ブロックの各々は、統合されまたは分離されてもよく、また説明する機能が別のブロックで実現されてもよい。また、ハードウェアとして説明するものがソフトウェアで実現されてもよく、その逆であってもよい。
　通信部１２０１は、例えば通信用回路等を含み、例えば無線ＬＡＮ等の無線通信を介してサーバ１００やインターネットにアクセスし、必要なデータの送受信を行う。制御部１２０２は、ＣＰＵ１２１０及びＲＡＭ１２１１を含み、例えば記録部１２０７に記録されたコンピュータプログラムをＲＡＭ１２１１に展開し、ＣＰＵ１２１０が実行することにより、ＰＣ１０２内の各部の動作を制御する。また、制御部１２０２は、例えば、操作部１２０３等を介して入力される、ＰＣ１０２の内部リソース及びＰＣの外部のネットワークリソースに対するアクセスを制御する。
　操作部１２０３は、ＰＣ１０２の備えるキーボード、マウス、タッチパネルなどの入力装置を含んでよく、表示部１２０６に表示される各種操作用のＧＵＩに対する操作を受け付ける。外部ＩＦ２０４は、プリンタなどの所定のデバイスとＰＣ１０２との間のインタフェースである。撮像デバイス２０５は、例えば、撮像素子を含むカメラデバイスであり、制御部１２０２からの指示に応じて、撮影を行う。表示部１２０６は、例えばＬＣＤやＯＬＥＤ等の表示デバイスを含み、例えば、操作用のＧＵＩやユーザが成功裏にアクセスしたデータを表示する。
　記録部１２０７は、例えば半導体メモリ等の不揮発性メモリ（不揮発性の記憶媒体）を含み、制御部１２０２が実行するコンピュータプログラムや設定値を保持する。また、会社等の業務のために作成したファイルなどのデータが格納される。記録部１２０７に格納されるコンピュータプログラムは、ＰＣ１０２の諸機能を実現するためのオペレーティングシステム、種々のアプリケーション、及び以下で説明するアクセス制御プログラムなどの各種処理を実行するプログラム等を含む。
　＜サーバの構成＞
　次に、サーバ１００の機能構成例について、図１Ｃを参照して説明する。なお、説明する機能ブロックの各々は、統合されまたは分離されてもよく、また説明する機能が別のブロックで実現されてもよい。また、ハードウェアとして説明するものがソフトウェアで実現されてもよく、その逆であってもよい。
　通信部１３０１は、ネットワークを介してＰＣ１０２と通信する通信回路を含む。制御部１３０２によって処理された情報をＰＣ１０２に送信したり、制御部１３０２によって処理される情報をＰＣ１０２から受信したりする。
　制御部１３０２は、ＣＰＵ１３１０とＲＡＭ１３１１とを含む。ＣＰＵ１３１０は中央演算装置である。制御部１３０２は、ＣＰＵ１３１０により、記録部１３０４に記憶されたコンピュータプログラムをＲＡＭ１３１１に展開、実行することにより、サーバ１００の各機能を実現する。ＲＡＭ１３１１は、例えばＤＲＡＭ等の揮発性の記憶媒体を含み、制御部１３０２がコンピュータプログラムを実行するためのパラメータや処理結果等を一時的に記憶する。
　記録部１３０４は、例えばハードディスクや半導体メモリ等の不揮発性の記憶媒体を含み、サーバ１００の動作に必要な設定値やコンピュータプログラムを記憶する。また、記録部１３０４は、ＰＣ１０２からアップロードされる、業務に関する様々なファイルのデータをデータベース１３３０に格納する。記録部１３０４に格納されるコンピュータプログラムは、サーバ１００の諸機能を実現するためのオペレーティングシステム、種々のアプリケーション、及び以下で説明するアクセス制御プログラムなどの各種処理を実行するプログラム等を含む
　操作部１３０３は、サーバ１００を直接または遠隔で操作可能な操作機構であり、マウスやキーボードのほか、通信を介して外部装置から操作指示を受ける構成を含む。例えば、サーバ１００の管理者が操作部１３０３を用いて、必要な設定を行ったり必要な情報を入力するなどのいくつかの操作を行う。
　本実施形態に係るネットワークリソースの分離について説明する前に、本実施形態を実現するための２つの技術、すなわち、ＡＰＩ捕捉技術と、分離ポリシーの適用技術について説明する。
　＜ＡＰＩ捕捉技術＞
　まず、ＡＰＩ捕捉技術について説明する。本実施形態では、ＡＰＩ捕捉技術は、利用者の扱う端末（例えばＰＣ）のほか、例えばネットワーク上のファイルサーバやネットワーク機器（ネットワークリソース）に適用される。ＡＰＩ捕捉技術をより一般的に説明するため、一般的な電子機器（例えばＰＣ）にＡＰＩ捕捉技術が適用される場合を例に説明する。なお、当業者であれば、以下で説明するＡＰＩ捕捉技術が、ファイルサーバやネットワーク機器の各ＯＳやアプリケーションとの間に実質的に同様に適用できることは明らかである。
　一般的に、アプリケーションがＯＳの管理するリソースにアクセスするには、ＯＳが提供するＡＰＩ（Ａｐｐｌｉｃａｔｉｏｎ Ｐｒｏｇｒａｍ Ｉｎｔｅｒｆａｃｅ）を利用する。このＡＰＩの利用方法はＯＳにより確定しており、ＡＰＩを利用する実行コード部を判別することができる。本発明では、リソースへのアクセスに必要なすべてのＡＰＩを監視する監視ルーチンを設け、アプリケーションがＡＰＩを利用する前に、その実行コード部を変更するか、ＡＰＩ処理の入り口を監視ルーチンと置き換えることで、ＡＰＩ利用時に監視ルーチンが利用されるようにする。監視ルーチンは、アプリケーションが求めるＡＰＩを処理するか、もしくはＡＰＩの処理をせずに不正命令としてアプリケーションに結果を返す。本発明のリソース管理プログラムによって拡張したアクセス権限の管理は、ＯＳの管理とは別に本プログラムが管理し、アクセス権限の種類別に監視ルーチンを設ける。この方法により、リソースを不正に利用するアプリケーションから、そのアクセスを制限する。
　より具体的には、アプリケーションとオペレーティングシステムとの間に介在するリソース管理プログラムは、コンピュータリソースにアクセスするために指定されたアプリケーションからの操作要求をコンピュータリソースにアクセスする前に、アプリケーションが発行する操作要求のうち、指定されたコンピュータリソースに対する操作要求を監視して捕捉する。そして、捕捉した操作要求によって指定されるコンピュータリソースに対するアクセス権限の可否を、後述するコンピュータのアクセス権限をまとめた分離ポリシーに基づいて判断し、アクセスを制限する。
　図２は、本発明に係るリソース管理プログラム２０３の構成及びＡＰＩ監視／制御の概念を示す図であり、リソース管理プログラム２０３はＡＰＩ監視コントローラ（ＡＰＩ監視ＣＴＲＬ）２０３１、ＡＰＬ（アプリケーション）監視コントローラ（ＡＰＬ監視ＣＴＲＬ）２０３２、アクセス制御コントローラ（アクセス制御ＣＴＲＬ）２０３３、ＯＳ監視コントローラ（ＯＳ監視ＣＴＲＬ）２０３４から構成されている。
　このリソース管理プログラム２０３は、リソースアクセス要求を出すアプリケーション２０２１や画面キャプチャーなどのＯＳ機能操作２０２２を備える一般的なアプリケーションからなるユーザ環境２０２と汎用ＯＳ２０１との間に位置し、汎用ＯＳ２０１およびユーザ環境２０２が提供するリソースに対する要求を監視するようになっている。
　なお、汎用ＯＳ２０１は、ＯＳが管理するリソース２０１１と、ＯＳがアプリケーション２０２１に提供しているＡＰＩ群２０１２を備える。
　本発明に係るリソース管理プログラム２０３におけるＡＰＩ監視ＣＴＲＬ２０３１は、アクセス制御を行なうのに必要な全てのＡＰＩを監視するモジュールである。また、ＡＰＬ監視ＣＴＲＬ２０３２は、アプリケーション２０２１が保持しているリソースを記憶するモジュールである。アクセス制御ＣＴＲＬ２０３３はリソース２０１１のアクセスが許可されているかを判断するモジュールであり、アクセス権限管理テーブル２０３５を備える。また、ＯＳ監視ＣＴＲＬ２０３４は、汎用ＯＳ２０１の機能によってリソースへアクセスする操作を監視するモジュールである。
　アクセス権限管理テーブル２０３５は、図３に示すように、リソース指定情報２０３５１、条件２０３５２、ｎ個のアクセス権限情報２０３５３～２０３５ｎをリソース毎に登録可能に構成されている。
　リソース指定情報２０３５１は、汎用ＯＳ２０１が管理しているリソース２０１１のうち、特定のものを指定するための情報であり、例えば、ファイルの場合はファイル名やファイルＩＤなどの情報が登録される。アプリケーションであれば、例えばプログラム名が登録される。通信データの場合は、ホスト名、ポート番号、ＩＰアドレスの他にＢｌｕｅＴｏｏｔｈの識別子やＷｉ－ＦｉのＡＰ（アクセスポイント）アドレスなどが登録され、メモリの場合は、そのオブジェクトを示すオブジェクト名、アドレスなどが登録される。また、外部装置の場合は、そのデバイスドライバを示すデバイス名やデバイスＩＤと呼ばれる一意の識別子などが登録される。
　条件２０３５２は、アクセス権限が有効となる条件またはその組み合わせを示すものであり、例えばユーザ名／ＩＤ、グループ名／ＩＤ、時刻などが登録される。
　アクセス権限情報２０３５３～２０３５ｎは、既存環境で定義されていない拡張したアクセス権限のうち、指定したリソースに付加した権限を示すものであり、例えば他媒体への移動権限、他媒体へのコピー権限、印刷権限、共有メモリへの読み込み権限（Ｗｉｎｄｏｗｓではクリップボードなど）、画面キャプチャー権限、使用アプリケーションの限定（特定アプリケーション以外での使用禁止やメール添付の禁止）などが登録される。また、読み取りと書き込みが存在するリソースにはそれぞれの権限が登録でき、例えば、特定ＵＳＢメモリに対して書き込みはできないが読み込みは許可するということができる。また、書き込みが許可の場合でも暗号化による書き込みを指定することもでき、そのときの暗号鍵は分離ポリシー（分離ポリシーについては、後に詳しく説明する）に定義される。したがって、同じ暗号鍵を持つ分離ポリシーのみが当該情報を読み込むことができ、これにより、分離ポリシー単位で実質的に参照可能な情報を分離することが可能となる。ファイルやＵＳＢデバイス、クリップボードなど書き込み権限を持つリソースで可能な指定である。通信リソースにおいては、読み込み（受信）、書き込み（送信）の他に接続（CONNECT）や受付（ACCEPT）の情報も持つ。
　なお、一般的に、リソースへのアクセスは複数のＡＰＩによって行われることがあり、その場合のリソース指定情報はＯＳが管理するＩＤ（ハンドルなど）に変換されることがある。その場合、リソース管理プログラム２０３の内部においては、リソース指定情報とそのＩＤは同一視するようにしている。
　このような構成に係るリソース管理プログラム２０３の処理について、図２の（１）～（９）（図中の数字１～９に対応）で示す情報伝達手順に従って説明する。
　（１）アプリケーション２０２１が発行したＡＰＩによってリソースへのアクセス要求があれば、ＡＰＩ監視ＣＴＲＬ２０３１がその要求を捕捉し、アクセス制御ＣＴＲＬ２０３３に伝える。
　（２）アクセス制御ＣＴＲＬ２０３３は、アクセス権限チェックを行なう際、必要に応じて、アプリケーション２０２１が保持しているリソースの情報をＡＰＬ監視ＣＴＲＬ２０３２から取得する。
　（３）アクセスを拒否する条件として２通りあるが、第１の条件Ａ（アクセス拒否Ａ）では、上記（１）のアクセス要求に対して、アクセス権限管理テーブル２０３５を参照してそのリソースへのアクセス権限チェックを行なう。チェックの結果、権限がない場合、アプリケーション２０２１が発行したＡＰＩの処理を行なわずに、結果としてアクセス違反のエラーを返す。
　（４）第２の条件Ｂ（アクセス拒否Ｂ）では、（１）のアクセス要求に対して、アクセス権限管理テーブル２０３５を参照してそのリソースへのアクセス権限チェックを行なう。チェックの結果、権限がなく、かつ、アプリケーション２０２１が発行したＡＰＩ{処理}の結果としてエラーを返すことができない場合、アプリケーション２０２１が要求したリソースへの処理を行なわずに、リソース管理プログラム２０３が予め用意したダミーのリソースへのアクセス要求に代えて、ＡＰＩの処理を行なう。
　その結果、アプリケーション２０２１は要求に成功したように動作するが、実際には要求したリソースにアクセスできない。
　（５）アクセス要求（１）に対してアクセス権限チェックを行った結果、権限がある場合、ＡＰＩ監視ＣＴＲＬ２０３１がそのアクセス要求を捕捉し、アプリケーション２０２１が発行したＡＰＩの処理をそのまま汎用ＯＳ２０１に伝え、その結果をアプリケーション２０２１に返す。
　（６）上記（５）の処理によって、ＡＰＩが成功し、かつ、そのＡＰＩによってアプリケーション２０２１がリソースを保持する場合は、ＡＰＬ監視ＣＴＲＬ２０３２に伝える。ＡＰＬ監視ＣＴＲＬ２０３２はアプリケーション２０２１と保持しているリソースの対応を登録する。
　アプリケーション２０２１がリソースの解放要求ＡＰＩを発行し、かつそのＡＰＩが成功した場合も、ＡＰＬ監視ＣＴＲＬ２０３２に伝える。ＡＰＬ監視ＣＴＲＬ２０３２はアプリケーション２０２１と保持していたリソースの対応を抹消する。
　（７）ＯＳ標準機能の操作によって、リソースへのアクセス要求があれば、ＯＳ監視ＣＴＲＬ２０３４がそのアクセス要求を捕捉し、アクセス制御ＣＴＲＬ２０３３に伝える。
　（８）アクセス要求（７）に対して、アクセス権限管理テーブル２０３５を参照してそのリソースへのアクセス権限チェックを行なう。チェックの結果、権限がない場合、（７）の操作を無視する。
　（９）アクセス要求（７）に対して、アクセス権限管理テーブル２０３５を参照してそのリソースへのアクセス権限チェックを行なう。チェックの結果、権限がある場合、（７）の操作を汎用ＯＳ２０１に伝える。
　図４は、目的とするリソースに対するアクセス権限がある場合に、そのリソースを解放するまでのアプリケーション２０２１、リソース管理プログラム２０３、汎用ＯＳ２０１のやり取りを示したＡＰＩの監視及び制御の第１の基本型（１）のシーケンス図である。
　この第１の基本型（１）では、アプリケーション２０２１が発行したＡＰＩによって目的のリソースへのアクセス要求があった場合（ステップ４０１）、リソース管理プログラム２０３はアプリケーション２０２１がそのリソースへのアクセス権限があるかをチェックする（ステップ４０２）。チェックの結果、アクセス権限がある場合（ステップ４０３）、汎用ＯＳ２０１にアプリケーション２０２１が発行したＡＰＩをそのまま伝える。汎用ＯＳ２０１は、ＯＳ本来のＡＰＩ処理を行なう（ステップ４０４）。
　リソース管理プログラム２０３は、ＡＰＩ処理が成功した場合、アプリケーション２０２１がそのリソースを保持しているという情報を登録する（ステップ４０５）。そして、汎用ＯＳ２０１からのＡＰＩ結果をそのままアプリケーション２０２１に返す（ステップ４０６）。これにより、リソースへのアクセス完了となる（ステップ４０７）。
　この後、アプリケーション２０２１から保持しているリソースの解放要求が発行された場合（ステップ４０８）、リソース管理プログラム２０３はその解放要求を汎用ＯＳ２０１に伝える。汎用ＯＳ２０１は、ＯＳ本来のＡＰＩ処理を行なう（ステップ４０９）。リソース管理プログラム２０３は、ＡＰＩ処理が成功した場合、アプリケーション２０２１がそのリソースを保持しているという情報を解除する（ステップ４１０）。そして、汎用ＯＳ２０１からのＡＰＩ結果をそのままアプリケーション２０２１へ返す（ステップ４１１）。これにより、保持しているリソースの解放完了となる（ステップ４１２）。
　図５は、目的とするリソースに対するアクセス権限がなかった場合に、そのアクセスが拒否されるまでのアプリケーション２０２１、リソース管理プログラム２０３、汎用ＯＳ２０１のやり取りを示したＡＰＩの監視及び制御の第２の基本型（２）のシーケンス図である。
　この第２の基本型（２）では、アプリケーション２０２１が発行したＡＰＩによって目的のリソースへのアクセス要求があった場合（ステップ５０１）、リソース管理プログラム２０３はアプリケーション２０２１がそのリソースへのアクセス権限があるかをチェックする（ステップ５０２）。チェックの結果、アクセス権限がなかった場合（ステップ５０３）、アクセス違反エラーをアプリケーション２０２１に返す（ステップ５０４）。これにより、リソースへのアクセス処理終了となる（ステップ５０５）。
　また、アクセス違反エラーに対応していないアプリケーション２０２１が発行したＡＰＩによって目的のリソースへのアクセス要求があった場合（ステップ５０６）、リソース管理プログラム２０３はアプリケーション２０２１がそのリソースへのアクセス権限があるかをチェックする（ステップ５０７）。チェックの結果、アクセス権限がなく、かつ、アプリケーション２０２１がアクセス違反エラーに対応していない場合（ステップ５０８）、リソース管理プログラム２０３が予め用意したダミーのリソースへのアクセス要求に置き換え、汎用ＯＳ２０１に渡す（ステップ５０９）。
　汎用ＯＳ２０１は、ＯＳ本来のＡＰＩ処理を行なう（ステップ５１０）。リソース管理プログラム２０３は、汎用ＯＳ２０１からのＡＰＩ処理結果をそのままアプリケーション２０２１へ返す（ステップ５１１）。この結果、目的のリソースへのアクセス処理終了となるが、ダミーリソースのため、実質的には何も行われない（ステップ５１２）。
　なお、上記の説明では、アクセス権限がなかった場合、アクセス違反エラーをアプリケーション２０２１に返す場合と、予め用意したダミーのリソースへのアクセス要求に置き換える場合について説明したが、アクセスが許可された別のリソースにアクセスするように置き換えてもよい。ダミーあるいは別のリソースに置き換えることは、アクセス権限管理テーブル２０３５にて指定される。
　＜分離ポリシーの適用技術の概要＞
　以下、分離ポリシーの適用技術について説明する。分離ポリシーの適用技術をより一般的に説明するため、一般的な電子機器（例えばＰＣ）に分離ポリシーの適用技術が適用される場合を例に説明する。別途後述するように、分離ポリシーの適用技術は、例えばネットワーク上のファイルサーバ（或いは他のネットワーク機器）においても適用される。
　以下の分離ポリシーの適用についての説明では、分離ポリシーに基づいてリソース管理プログラム２０３がリソースへのアクセス要求を管理する例を示す。分離ポリシーは、複数種類の業務について、それぞれの業務ごとに必要とされるアクセス権をそれぞれの業務ごとのポリシー（以下、分離ポリシーと呼ぶ）としてまとめて定義した情報である。
　分離ポリシーには、対応する業務において実行可能あるいは実行不可能なアプリケーション、読み込み・書き込みが可能なあるいは不可能な領域（特定のローカルディスクやネットワークディスクなど）、許可された通信先（メールやインターネットなど）、対象となる利用者、ＰＣ、時間帯、利用場所などの情報が含まれる。
　これら複数の定義された分離ポリシーは、ＰＣの利用時に、利用者によって切り替えられ、あるいは自動的に切り替えられ、ＰＣの動作時には、常にいずれかの分離ポリシーがリソース管理プログラム２０３に適用されることとなる。
　ＰＣで動作するＯＳやソフトウェアに対しては、リソース管理プログラム２０３が、適用されている分離ポリシーに定義された範囲でのみ、リソースへのアクセス要求を許可するように制御する。言い換えると、ＯＳやソフトウェアが実行する処理を、リソース管理プログラム２０３により、ＡＰＩレベルで捕捉し、分離ポリシーに反する処理は禁止し、分離ポリシーを満たす処理のみを実行させることで、分離ポリシーを満たす制御を行う。あるいは、分離ポリシーに反する処理は禁止するとともに、その分離ポリシーを満たす別の処理に切り替えるようにする。
　さらに、リソース管理プログラム２０３による「ＡＰＩの捕捉」では、アプリケーションレベルだけでなく、ドライバーやサービスと呼ばれるシステムレベルでも必要な捕捉を行うことで、ＰＣが物理的に分離している環境と同等の分離を実現する。
　例えば、インターネットにアクセスさせないためには、通信経路の途中で拒否するなど様々な従来技術でも実現可能であるが、物理的な分離ではそもそもＰＣをそのようなネットワークに接続しないことで実現する。これに対し、本実施形態では、リソース管理プログラム２０３により、ＰＣの内側にあるＡＰＩレベルでネットワークとの通信を実現する通信リソース（例えば、ネットワークカードなど）へのアクセスと拒否を判断するため、拒否される場合には、繋いだネットワークに通信が流れることはない。これは、通信機器自体がサイバー攻撃の対象になるなど昨今の懸念に対し、物理的分離と同等の効果がある。
　次に、本実施形態における分離ポリシーで許可、禁止を規定する項目の例について説明する。
　まず、分離ポリシーの制御情報として、以下のものが挙げられる。これらは、例えば、図３のリソース指定情報に対応させることができる。
（１）実行可否プログラム
　それぞれのプログラムの実行許可もしくは禁止の指定を、プログラム名、プログラムパス、プログラムファイルのハッシュで登録する。
（２）読み出しアクセス（接続）の可否領域
　各種情報の読み出しの許可もしくは禁止を指定する領域を、ファイルパス、ＵＲＬ、IＰアドレス、ホスト名、ＵＳＢデバイスＩＤ、メールアドレス、無線ＬＡＮのＡＰで登録する。
（３）書き込み可否領域
　書き込み許可もしくは禁止を指定する領域を、ファイルパス、ＵＲＬ（ＰＯＳＴ・ＰＵＴ命令）、ＵＳＢデバイスＩＤ、メールアドレス（ＳＭＴＰ）、クリップボードのデータタイプで登録する。書き込み許可においては暗号化書き込みの指定をすることもできる。その際の暗号鍵は、分離ポリシーで定義される。すでに説明したが、暗号化書き込みの暗号鍵を分離ポリシーごとに定義することにより、同じ暗号鍵を持つ分離ポリシーのみが当該情報を読み込むことがき、これにより、分離ポリシー単位で実質的に参照可能な情報を分離することが可能となる。
（４）一時アクセス可能領域
　適用される分離ポリシーが変更されるタイミングで、ログオフする／しない、利用していたプログラムを終了する／しない、削除する領域（パス指定）、変更後の分離ポリシーで利用していたプログラムを再開する／しない、を指定する。
　また、分離ポリシーの適用対象情報として、以下のものが挙げられる。これらは、制御可能な条件又は図３のアクセス権限に対応させることができる。
（１）適用端末（ＰＣ)情報
　マシン名、ＩＰアドレス、ＭＡＣアドレスを登録する。
（２）適用ユーザ情報
　ユーザ名、グループ名を登録する。
（３）適用位置情報
　ＯＳから取得する位置情報、接続ＡＰ、接続ドメイン名、特定の社内ＰＣを登録する。
（４）適用時間情報（時刻情報）
　適用される時刻、期間、曜日を登録する。
　また、別の分離ポリシーに切り替わるときの情報のクリア処理は、以下のように行われる。
（１）クリップボードを「クリアする／特定タイプに限定する／そのまま残す」を指定する。
（２）一時アクセス可能領域を「クリアする／同一ポリシーが適用されるまでアクセス不可にする／そのまま残す」を指定する。
　そして、上記の制御情報、適用対象情報、クリア情報をセットとして一つの分離ポリシーを定義する。なお、分離ポリシーは名前を定義して複数定義することができ、分離ポリシーの切り替えの仕組みにより切り替えて、リソース管理プログラム２０３に適用される。
　リソース管理プログラム２０３に分離ポリシーを適用する場合は、リソース管理プログラム２０３に供給された分離ポリシーを、図２に示したアクセス制御ＣＴＲＬ２０３３で解析し、アクセス権限管理テーブル２０３５に、図３に示したように、リソース指定情報、アクセス権限情報などに展開することにより適用される。なお、分離ポリシーを切り替える仕組みは、ユーザが選択して切り替えられるように構成されていてもよいし、ＰＣを使用する地点情報（例えば会社なのか自宅なのかなど）に基づいて自動的に切り替えられるように構成されていてもよい。
　ここで、図６Ａ、６Ｂは、分離ポリシーの具体的な例を示す図である。
　例えば、企業などで使用する分離ポリシーとしては、社内機密作業用の分離ポリシー、社内事務作業用の分離ポリシー、自宅でのリモート作業用の分離ポリシー、社外出張作業用の分離ポリシー、未登録の場所用の分離ポリシー、既定の分離ポリシーなどが考えられる。
　より具体的には、社内機密作業用の分離ポリシーでは、その分離ポリシーが適用されるＰＣを限定するとともに、使用する人物を例えば一部の管理職や開発担当者などに限定し、さらに使用できる場所なども厳しく限定する。そして、社内機密作業用の分離ポリシーが適用されたリソース管理プログラム２０３は、アプリケーション２０２１からのアクセス要求をほとんどすべてのリソースに対して許可する。例えば、使用可能なプログラムについては、スケジュール管理アプリ、開発用アプリ、文書作成アプリなど、基本的にすべてのプログラムをアクセス可能とする。また、読み出し可能領域、書き込み可能領域などについても、外部のＨＤＤ、自身のＨＤＤ、その他の記憶領域のほぼすべてを使用可能とする。このようにすることで、社内の機密情報などを一部の人物のみがアクセス可能となり、且つその情報を用いた各種作業なども自由に行うことができる。ただし、社内機密を扱う可能性がある性質上、ネットワークに対するアクセスは、社内ネットワークにはアクセス可能であるが、インターネットにはアクセス不可とする。
　また、社内事務作業用の分離ポリシーでは、社内機密作業用の分離ポリシーに比べて、端末を使用可能な人物を会社内で事務作業用に登録された人物に広げ、また、使用可能な位置情報なども、より広い範囲とする。このように、使用可能な人物や場所を広げることにより、セキュリティの程度が低くなるため、リソース管理プログラム２０３は、この分離ポリシーが適用された場合のアクセス可能なリソースを、社内機密作業用の分離ポリシーに比べて少なくする。例えば、使用可能なプログラムについては、開発用アプリなどは利用不可とし、スケジュール管理アプリ、文書作成アプリなど、基本的に事務作業に必要とされるプログラムのみにアクセス可能とする。また、読み出し可能領域、書き込み可能領域などについては、外部のＨＤＤにはアクセス不可とし、自身のＨＤＤのみにアクセス可能とする。また、ネットワークに対するアクセスは、インターネットを使用して調べ物をする場合などもあるため、社内ネットワーク、インターネットにアクセス可能とする。あるいは、業務によっては、社内ネットワークは許可するがインターネットへの通信は不可とするケースもある。
　また、自宅でのリモート作業用の分離ポリシーでは、適用される端末を、会社に登録されたモバイルＰＣとし、使用できる場所は、会社に登録された社員の自宅とする。リモート作業用の分離ポリシーを適用する場合は、端末が、自身のＧＰＳ情報と、登録された社員の自宅の住所を参照して、リソース管理プログラム２０３に適用する。自宅でのリモート作業では、会社でのセキュリティよりもその程度が低くなるため、使用できるプログラムもさらに制限される。例えば、開発用アプリ、事務作業用アプリなどは利用不可とし、文書作成アプリなど、基本的に自宅での仕事に必要とされるプログラムのみにアクセス可能とする。また、読み出し可能領域、書き込み可能領域などについては、外部のＨＤＤにはアクセス不可とし、自身のＨＤＤは読み出しのみ可能とし、社内に用意されたストレージのみを読み書き可能とする。また、インターネットや社内ストレージを社内ネットワークを経由して利用させるために、ネットワークは社内ネットワークに接続するためのＶＰＮ（Virtual Private Network）のみをアクセス可能とする。
　また、社外出張作業用の分離ポリシーでは、適用される端末を、会社に登録されたモバイルＰＣとし、使用できる場所は、会社に登録された外出先とする。社外出張作業用の分離ポリシーを適用する場合は、自身のＧＰＳ情報と、登録された外出先の住所を参照して、リソース管理プログラム２０３に適用する。また、使用できるプログラムも自宅作業よりも制限され、ブラウザやメールのみなどとする。さらに、読み出し可能領域は、持参したＵＳＢメモリの内容のみなどに限定する。また、ネットワークに対するアクセスは不可とする。
　また、社員あるいは他の人物が未登録の場所などの不明な場所で、会社に登録されている端末を使用しようとした場合は、セキュリティの状態が不明であるため、リソース管理プログラム２０３は、全てのリソースへのアクセスを禁止する。
　また、既定分離ポリシーとは、適用ポリシーが存在しない場合に採用される予め規定された分離ポリシーであり、一般的な事務作業用プログラム、文書作成アプリ、メールなどが使用可能な分離ポリシーである。既定分離ポリシーでは、会社での端末の使用が前提となり、会社での一般的な作業を可能とする。また、ネットワークに対するアクセスは、社内事務作業用の分離ポリシーと同様に、インターネットを使用して調べ物をする場合などもあるため、社内ネットワーク、インターネットにアクセス可能とする。
　次に、分離ポリシーの管理方法について説明する。
（１）分離ポリシーをファイルで持つ場合
　分離ポリシーのファイルには「分離ポリシーの例」の情報が、そのままあるいは暗号化されて格納されている。分離ポリシーのファイルは、利用する端末ＰＣに事前に記憶させておいてもよく、また、管理サーバに保存しておき、サーバへの接続時に最新ポリシーが端末ＰＣに転送されるようにしておいてもよい。分離ポリシーのファイルを管理サーバで管理する場合は、適用されているポリシーにかかわらず、分離ポリシーを管理サーバから受信できるように、管理サーバと端末ＰＣは通信可能に設定される。
（２）分離ポリシーが管理サーバからＰＣに動的に渡される場合
　端末ＰＣが実体としてポリシーファイルを持たずに、管理サーバから受け取った分離ポリシーを、端末ＰＣが自身のメモリに保存して利用する。端末ＰＣから、ポリシー選択に必要なデータ（ＰＣ名、ユーザ名、場所）を定期的に又は特定のイベントごとにサーバへ送信し、サーバがそれに応じた分離ポリシーを端末ＰＣに提供する。再起動後などのポリシーが存在しないタイミングにおいては、前述の「既定分離ポリシー」を利用する。
（３）既定分離ポリシーを利用する場合
　既定分離ポリシーとは、すでに説明したように、適用ポリシーが存在しない場合に採用される予め規定された分離ポリシーである。既定分離ポリシーは、端末にファイルとして保存されている場合と、システム内に規定値として実装される場合がある。通常は、例えば管理サーバと端末ＰＣの通信が可能、ローカルディスクが使用不可などの条件に制限された内容で定義される。
　次に、上記のような分離ポリシーを業務に応じて切り替える方法について説明する。
　まず、ＰＣの利用開始時に適用の候補となる分離ポリシーは、分離ポリシーに登録された適用対象情報がそのＰＣの利用状況に適合したものに限定される。さらに、適用対象情報のうち、適用端末情報、適用ユーザ情報、適用位置情報、適用時間情報等の情報種別に基づいて分離ポリシーに優先順位を定義することができ、この優先順位の最上位で適合したものが候補となる。
　例えば、情報種別の優先順位を適用端末情報が上位で、適用ユーザ情報が下位と定義していた場合において、端末ＡをユーザＢが利用する場合、端末Ａ用の分離ポリシーとユーザＢ用の分離ポリシーについて考えると、候補となるのは端末Ａ用の分離ポリシーとなる。
　また、同じ情報種別に属する分離ポリシーに対しても適用優先順位を定義することもでき、また同じ優先順位を定義することもできる。情報種別の優先順位で限定された後においてもまだ複数の候補があった場合は、分離ポリシーの優先順に従って選択される。
　このように分離ポリシーの候補を限定した結果、複数の分離ポリシーが候補となった場合は、その中から利用者が任意に選択することができる。選択しない場合は、ＰＣの内部で最初に適合した分離ポリシーが適用される。
　図７は、端末ＰＣが分離ポリシーを選択する場合の動作を示すフローチャートである。図７のフローチャートの動作は、端末ＰＣが起動された時に開始される。なお、端末ＰＣは、図１Ｂに示した端末ＰＣであってよく、本フローチャートの動作は、ＣＰＵ１２１０が記録部１２０７に格納されるプログラムを展開、実行することにより実現されてよい。
　ステップＳ７０１において、端末ＰＣのＣＰＵ１２１０は、自身のＰＣ名、ユーザ名、使用場所、時刻の情報を取得する。
　ステップＳ７０２では、端末ＰＣのＣＰＵ１２１０は、自身のハードディスクなどに保存されている分離ポリシーのファイルを取得する。
　ステップＳ７０３では、端末ＰＣのＣＰＵ１２１０は、ＰＣ名、ユーザ名、使用場所、時刻などの適用対象情報のうち、優先順位の最も高い適用対象情報に合致する分離ポリシーを選択する。
　ステップＳ７０４では、端末ＰＣのＣＰＵ１２１０は、ステップＳ７０３で選択された最も優先度の高い適用対象情報に対応するポリシーが複数あるか否かを判定し、複数ある場合はステップＳ７０５に進み、そうではない場合はステップ７０６に進む。
　ステップＳ７０５では、端末ＰＣのＣＰＵ１２１０は、複数の候補となる分離ポリシーのうち、予め設定された優先順位の最も高い分離ポリシーを選択する。
　ステップＳ７０６では、端末ＰＣのＣＰＵ１２１０は、分離ポリシーが１つであるか否かを判定する。分離ポリシーが１つである場合は、ステップＳ７０８に進み、分離ポリシーが１つもない場合は、ステップＳ７０７に進む。
　ステップＳ７０７では、端末ＰＣのＣＰＵ１２１０は、既定分離ポリシーを選択する。
　ステップＳ７０８では、ステップＳ７０５～Ｓ７０７のいずれかで選択された分離ポリシーをリソース管理プログラム２０３に適用する。
　なお、ステップＳ７０６では、複数の候補となる分離ポリシーのうち、予め設定された優先順位の最も高い分離ポリシーを選択するように説明したが、ユーザが選択するようにしてもよい。
　図８は、分離ポリシーを管理する管理サーバから端末ＰＣに分離ポリシーを供給する場合の、管理サーバが分離ポリシーを選択する動作を示すフローチャートである。図８のフローチャートの動作は、管理サーバが端末ＰＣから分離ポリシーの送信要求を受けた時に開始される。なお、管理サーバは、図１０に示す管理サーバであってよい。管理サーバのハードウェア構成は、図１Ｃに示したサーバが具備するハードウェア構成（すなわち通信回路、ＣＰＵ、ＲＡＭ、記録デバイスなど）と実質的同一であってよい。
　ステップＳ８０１において、管理サーバのＣＰＵは、端末ＰＣから、ＰＣ名、ユーザ名、使用場所、時刻の情報を取得する。
　ステップＳ８０２では、管理サーバのＣＰＵは、自身のハードディスクなどに保存されている分離ポリシーのファイルを取得する。
　ステップＳ８０３では、管理サーバのＣＰＵは、端末ＰＣから受け取ったＰＣ名、ユーザ名、使用場所、時刻などの適用対象情報のうち、優先順位の最も高い適用対象情報に合致する分離ポリシーを選択する。
　ステップＳ８０４では、管理サーバのＣＰＵは、ステップＳ８０３で選択された最も優先度の高い適用対象情報に対応するポリシーが複数あるか否かを判定し、複数ある場合はステップＳ８０５に進み、そうではない場合はステップ８０６に進む。
　ステップＳ８０５では、管理サーバのＣＰＵは、複数の候補となる分離ポリシーのうち、予め設定された優先順位の最も高い分離ポリシーを選択する。
　ステップＳ８０６では、管理サーバのＣＰＵは、分離ポリシーが１つであるか否かを判定する。分離ポリシーが１つである場合は、ステップＳ８０８に進み、分離ポリシーが１つもない場合は、ステップＳ８０７に進む。
　ステップＳ８０７では、管理サーバのＣＰＵは、既定分離ポリシーを選択する。
　ステップＳ８０８では、管理サーバのＣＰＵは、ステップＳ８０５～Ｓ８０７のいずれかで選択された分離ポリシーを端末ＰＣに送信する。
　なお、ステップＳ８０５では、複数の候補となる分離ポリシーのうち、予め設定された優先順位の最も高い分離ポリシーを選択するように説明したが、複数の分離ポリシーの候補を端末ＰＣにそのまま送信し、端末ＰＣ上で適用する分離ポリシーをユーザが選択するようにしてもよい。
　また、上記の説明では、どの分離ポリシーを選択するかは、端末の起動時に判定されるものとして説明した。しかし、ログオン時やユーザの切り替え時などのユーザ情報が変更された場合、登録した位置情報が確定・変更された場合、ＯＳから取得した日時が変更された場合などのタイミングにおいても上記の処理を行い、分離ポリシーが適宜更新される。そして、その都度、上記の選択方法によって選択・適用された分離ポリシーに従って、ＰＣの利用時のＯＳ及びすべてのプログラムの動作が制御される。
　＜ネットワークリソースの分離＞
　次に、本実施形態に係るネットワークリソースの分離について説明する。ネットワークリソースの分離では、ネットワークリソース（例えばファイルサーバ、ゲートウェイマシン、又はプロキシサーバ）においてもＡＰＩ捕捉と分離ポリシーを適用してアクセス対象を分離する。なお、ネットワークリソースにおけるアクセス制御は、本実施形態に係る分離ポリシーに従ったアクセス制御が可能な限り、上述のＡＰＩ捕捉を用いる代わりに、各ネットワークリソースに実装されている既存のアクセス制御技術を用いて実施されてもよい。
　ネットワークリソースの分離を可能にする分離ポリシーについて、図９Ａ、図９Ｂ－１及び図９Ｂ－２を参照して説明する。ネットワークリソースの分離を可能にする分離ポリシーは、図６Ａ及び図６Ｂを参照して説明した分離ポリシーを拡張したものである。分離ポリシーには、分離ポリシーごとに固有の分離ポリシー名（すなわち分離ポリシーを識別する情報）が付与される。また、ネットワークリソースを分離するための分離ポリシーは、図９Ｂ－１及び図９Ｂ－２を参照して後述するように、図６Ａ及び図６Ｂに示した分離ポリシーの制御情報と適用対象の情報に加えて、ネットワークリソース制御情報が更に追加される。
　ネットワークリソースを分離する分離ポリシーは、ネットワークリソース上において、上述の分離ポリシーと同様、リソース管理プログラム２０３に供給された分離ポリシーを、図２に示したアクセス制御ＣＴＲＬ２０３３で解析し、アクセス権限管理テーブル２０３５に、図３に示したように、リソース指定情報、アクセス権限情報などに展開することにより適用される。
　図９Ａには、ネットワークリソースの分離を可能する分離ポリシーによって実現される環境の例を説明している。図９Ａに示す「社内機密作業Ａ用」と「社内機密作業Ｂ用」は、例えば、図６Ａ及び図６Ｂに示した「社内機密作業用」の分離ポリシーを作業ごとにアクセス先が異なるように別個の作業ポリシーに拡張させた例を示している。「社内機密作業Ａ用」と「社内機密作業Ｂ用」では、とりわけ、ファイルサーバ上で存在する（存在しているように見える）データ領域が異なる。図９Ａに示す「すかし印刷業務」、「クラウド限定」、「クラウド限定（アプリ限定）」なる分離ポリシーは、図６Ａ及び図６Ｂに示した例とは直接的に対応していない新たな例示である。
　ネットワークリソースを分離するための分離ポリシーは、図９Ｂ－１に示すように、分離ポリシーの制御情報と、適用対象の情報と、ネットワークリソース制御情報とを含む。制御情報は、上述のように、使用可能プログラムと読み出し可能領域と書き込み可能領域と、一時アクセスの情報を含む。図６Ａと同様であってよいため、図９Ｂ－１に示す例ではその詳細な例示を省略している。分離ポリシーの適用対象情報はネットワークリソースにアクセス可能な対象（例えばＰＣ）を示す。分離ポリシーの適用対象情報は、図６Ａ及び図６Ｂを参照して説明した構成と同様に、端末情報、ユーザ情報、位置情報、時間情報を含む。すなわち、「端末情報」は、例えば、マシン名、ＩＰアドレス、ＭＡＣアドレスの少なくともいずれかで指定されてよい。「ユーザ情報」は、ユーザ名、或いはグループ名で指定することができる。「位置情報」は、ユーザが利用するＰＣのＯＳから取得する位置情報、接続ＡＰ、接続ドメイン名、特定の社内マシンを示す識別子、などの少なくともいずれかを含んでよい。更に、「時間情報」は、分離ポリシーを適用してＰＣを使用可能な日時の期間、或いは曜日で指定することができる。
　ネットワークリソース制御情報は、アクセス制御（許可もしくは禁止）の対象となるネットワークリソースを、ＩＰアドレス、ホスト名、ＵＲＬ、ファイルサーバのディレクトリパス、及びネットワーク機器名（プリンターやスキャナなど）などの少なくともいずれかの情報を含む。図９Ｂ－２に示す例では、例えば、ＩＰアドレス・ホスト名と、サーバ内のディレクトリパスと、ＵＲＬとを含む。ＩＰアドレス・ホスト名は、アクセスを許可する又は禁止するネットワークリソースのＩＰアドレスやホスト名を指定する。サーバ内のディレクトリパスは、ファイルサーバやリモート機器においてアクセスを許可する又は禁止するリソースを指定する。図９Ｂ－２に示す例では、「社内機密作業Ａ用」と「社内機密作業Ｂ用」の分離ポリシーでは、ファイルサーバ上のそれぞれの業務専用のデータ領域のみへのアクセスが許可されるように構成されている。ＵＲＬは、アクセスを許可する又は禁止するウェブサービスのＵＲＬを指定する。
　また、ネットワークリソース制御情報では、アクセスを行うアプリケーションプログラムとの組み合わせでこれらの情報を指定するようにしてもよい。例えば、ネットワークリソースへのアクセスの許可もしくは禁止を指定するプログラムを、プログラム名、プログラムパス、プログラムファイルのハッシュの少なくともいずれかを用いて指定してよい。図９Ｂ－２に示す例では、分離ポリシー「クラウド限定（アプリ限定）」において、アクセスを行うプログラム「teams.exe」及び「edge.exe」が指定されている。アクセスを行うプログラムは、例えば、ＡＰＩを捕捉するＡＰＩ捕捉制御処理で判別される。
　なお、適用対象を構成する情報と、ネットワークリソース制御情報を構成する情報とは、必要に応じて、役割（ＰＣ、ゲートウェイ、ファイルサーバなど）に応じて省略或いはマスクした、別個の分離ポリシーとして用いることもできる。その場合には、当該別個の分離ポリシーをＰＣやファイルサーバに適用するにあたって、分離ポリシー名或いは分離ポリシーの識別ＩＤで連動させるようにしてもよい。
　ネットワークリソースの分離においても、図７で説明したように、複数の分離ポリシーが、（提供対象情報を満たすように）自動的に切り替えられてよいし、利用者がＰＣを利用する際に、適用対象情報を満たす範囲で、分離ポリシーを切り替えてもよい。これらの切り替えにより、利用者がＰＣを動作させる際には、常にいずれかの分離ポリシーが適用される状態となっている。
　ＰＣがファイルサーバなどのネットワークリソースにアクセスする構成では、分離ポリシーの応じたアクセス制御を行う上述のリソース管理プログラムが、ゲートウェイやプロキシ、ファイルサーバなどの１つ以上のネットワークリソース上でも動作する。ＰＣがネットワークリソースにアクセスしようとする場合、ネットワークリソース上に存在するリソース管理プログラムが、アクセス元のＰＣの現在の分離ポリシーを特定し、リソース管理プログラムが持つ分離ポリシーのうちＰＣに適用されるポリシー名と同名のもののポリシー内容にしたがって、アクセス制御を行う。ＰＣで適用されている分離ポリシーが変更された場合、ＰＣが変更後の分離ポリシー名（分離ポリシーを識別する情報）をネットワークリソース（ファイルサーバやプロキシー）に送信することで、ネットワークリソースが適用する分離ポリシーをＰＣが適用する分離ポリシーに連動させてもよい。なお、ＰＣとネットワークリソースの両方において、それぞれのリソース管理プログラムが同一の分離ポリシー名の分離ポリシーを適用してＡＰＩ捕捉を行うことができる。このようにすれば、ＰＣとネットワークリソースの両方が、適用される分離ポリシーに連動して分離され、強固なセキュリティを確保することができる。一方、ＰＣでは、適用する分離ポリシー名を取得するがＡＰＩ捕捉を実行しないようにしてもよい。つまり、ネットワークリソース側のファイルサーバやゲートウェイだけで（ＰＣが取得した分離ポリシー名に対応する）分離ポリシーを適用したＡＰＩ捕捉を行うようにしてもよい。この場合であっても、ＰＣから先のネットワークリソースは分離ポリシーに従って適切に分離制御されるが、ＰＣ側ではＡＰＩ捕捉のような特別な制御を行う必要がないため、ＰＣ側の実装が簡易になり、またＰＣの動作が高速になる。また、複数のＰＣからファイルサーバにアクセスする経路上に１つ以上のゲートウェイが存在する場合に、経路上の１つ以上のゲートウェイのみにおいて、分離ポリシーに従うＡＰＩ捕捉を行うようにしてもよい。この場合、ＰＣとファイルサーバではＡＰＩ捕捉を行わないため、ＰＣとファイルサーバに特別な制御を必要としないが、１つ以上のゲートウェイが（ＰＣが取得した分離ポリシー名に対応する）分離ポリシーに従うアクセス制御を行うことで、簡便にかつセキュリティを高めたネットワーク分離を実現することができる。
　ネットワークリソースを分離する分離ポリシーは、例えばファイルの形式（分離ポリシーファイル）で上述した分離ポリシーの情報が格納されていてよい。分離ポリシーファイルは暗号化されていてもよい。分離ポリシーファイルは、ＰＣおよびネットワークリソースに事前に記憶されていてよい。
　また、分離ポリシーの内容を管理するための管理サーバを配置して、管理サーバから分離ポリシーを配布するようにしてもよい。更に、ＰＣが保持する分離ポリシーには適用対象情報のみが含まれるようにし、ネットワークリソースが保持する分離ポリシーにはネットワークリソース制御情報のみが含まれるようにしてもよい。このようにする場合には、ネットワーク構成の変更に伴ってポリシー内容も変更するケースなど、ネットワークリソース制御の管理が容易になる場合がある。分離ポリシーを装置間でやり取りする場合には、機器間で認証を行ったうえで分離ポリシーをやり取りし得る。また、やり取りする分離ポリシーやその他のやり取りされるデータは暗号化され得る。
　管理サーバを用いる場合には、ＰＣ及びネットワークリソースが、定期的に又は不定期に管理サーバにアクセスし、最新の分離ポリシーファイルを取得することにより、各機器の分離ポリシーを更新してもよい。なお、ＰＣ及びネットワークリソースが利用する分離ポリシーを管理サーバで管理する場合、ＰＣとネットワークリソースは、設定される分離ポリシーの内容に関わらず、分離ポリシーファイルを取得できるように管理サーバに対してはアクセス可能であるように構成される。
　また、分離ポリシーの一態様として、管理サーバがＰＣ及びネットワークリソースに分離ポリシーの情報を動的に提供してもよい。この場合、ＰＣ及びネットワークリソースは、管理サーバから受け取った分離ポリシーの情報を機器内のメモリ又は記録部に記憶させ、利用する。再起動後などの分離ポリシーの情報が存在しないタイミングにおいては、後述の「既定分離ポリシー」を利用してもよい。
　ＰＣの起動直後や分離ポリシーの切り替えのタイミングでは、ＰＣ（及びネットワークリソース）は、予め定められた特定の分離ポリシー（既定分離ポリシーという）を用いるようにしてよい。既定分離ポリシーは、例えば、適用する分離ポリシーが存在しない場合に暫定的に適用される既定の分離ポリシーである。ネットワークリソース内の制御部は、アクセス元が適用ポリシーを持たないか存在しない分離ポリシーを適用している場合、既定値としての分離ポリシーを適用してよい。既定分離ポリシーは、最大限に制限されたポリシーの内容で定義され得る。最大限に制限されたポリシーは、例えば、管理サーバとのみ通信可能であったり、全てのネットワークリソースへのアクセスを禁止するなどであり得る）。
　図１０は、ＰＣ１０２とファイルサーバ１００とが社内に配置されており、分離ポリシーに従って、ＰＣ１０２がファイルサーバ１００のファイルデータにアクセスする様子を模式的に示している。この例では、（ネットワークリソースを分離する）分離ポリシーのファイルが、ＰＣ１０２とファイルサーバ１００とのそれぞれの記録部に予め記憶されるものとする。また、ＰＣ１０２とファイルサーバ１００とのそれぞれが記憶する分離ポリシーのファイルは、管理サーバによって予め配信されて更新されている（Ｓ１０００）。利用者１０１がＰＣ１０２の使用を開始すると、例えば、図７に示したＰＣ１０２の処理により分離ポリシーが適用される（Ｓ１００２）。例えば、このとき、分離ポリシー「社内機密作業Ａ用」がＰＣ１０２に適用されたものとする。ＰＣ１０２は、自身に適用されている分離ポリシーの識別情報（すなわち分離ポリシー名）をファイルサーバ１００に送信する（Ｓ１００４）。なお、後述するファイルサーバにおけるアクセス制御の動作で説明するように、分離ポリシーの識別情報の取得は、ＰＣ１０２からファイルアクセスがあった後に行なわれてもよい。
　ファイルサーバ１００は、ＰＣ１０２からのファイルアクセス（すなわちアクセス要求）を受信する（Ｓ１００６）と、取得した分離ポリシーの識別情報に対応する分離ポリシー（例えば「社内機密作業Ａ用」）を特定（適用）して、ファイルサーバ１００のリソース管理プログラムが当該分離ポリシーに応じたアクセス制御を行う（Ｓ１００８）。ファイルサーバ１００は、分離ポリシーにおいて許可されているデータ領域へのアクセスであれば、要求されたファイルデータをＰＣ１０２に送信する（Ｓ１０１０）。
　ファイルサーバ１００のリソース管理プログラムは、ＰＣ１０２からアクセスがあったタイミングで当端末に現在の分離ポリシーの内容を確認（プログラムとの組み合わせで制御情報が登録されているときはアクセス元のプログラムも確認）する。そして、ＡＰＩ捕捉制御処理において分離ポリシーに従ってアクセスを許可したり拒否したりする。このようにすれば、ファイルサーバ内のディレクトリへのアクセス制御などの、細かなネットワークリソース制御が可能になる。なお、ＴＣＰ／ＵＤＰのように「接続を確立する」処理が存在するプロトコルや、ファイルアクセスのように「オープン」処理が存在するアクセスの場合には、当処理に対して制御を実行し、それ以降の処理においては制御を省略することができる。
　図１０に示した例では、管理サーバが分離ポリシーの情報をＰＣとファイルサーバとに配信し、それぞれの記録部に分離ポリシーの情報を記憶させる例を示したが、分離ポリシーの配信及び分離ポリシーの選択はこれに限らない。ＰＣ１０２における分離ポリシーの適用は、図８に示したように、管理サーバによって決定され、決定された分離ポリシー名がＰＣ１０２に送信されてもよい。この場合、例えば、ファイルサーバ１００に適用される、対応する分離ポリシーの情報（例えば、ネットワークリソース制御情報）が管理サーバからファイルサーバ１００へ送信されてもよい。この場合には、ファイルサーバ１００は、アクセス元を識別する情報（例えばＰＣを識別する情報）を管理サーバに送信することにより、対応する分離ポリシーの情報を取得してもよい。更に、ネットワーク構成としてＰＣからファイルサーバ１００へのアクセス経路中に１つ以上のゲートウェイマシンを置く場合は、ファイルサーバ１００は、分離ポリシーの識別情報を当該ゲートウェイマシンから取得してもよい。そして、ファイルサーバ１００は、当該識別情報に対応する分離ポリシーの情報（例えば、ネットワークリソース制御情報）を管理サーバから取得してもよい。
　また、ネットワーク構成としてＰＣからファイルサーバ１００へのアクセス経路中に１つ以上のゲートウェイマシンを置く場合は、これ以降のネットワークリソース内に分離ポリシーを持つ必要はなく、ゲートウェイマシンが例えばファイルサーバ１００に分離ポリシーの情報を伝えるようにしても良い。この場合、ポリシー管理は容易になる。なお、プロキシサーバでアクセス可能なURLを制御するだけといったケースでは、既存の単純な制御技術（プロキシプログラムやゲートウェイプログラムなど）を利用してアクセス制御しても良い。
　このように、ネットワーク内のネットワークリソースにおいて、アクセス元となるＰＣで適用される現在の分離ポリシーに連動して、分離ポリシーで定義されたアクセス可能なネットワークリソースに限定されたアクセス制御を実現することができる。このようにすることで、結果として同一端末からのアクセスでありながら利用可能なネットワークリソースが必要に応じて（別のネットワークリソースであるかのように）随時分離できるようになる。
　＜ファイルサーバにおけるアクセス制御処理＞
　次に、図１１を参照して、ネットワークリソースであるファイルサーバ１００において、分離ポリシーに従ったアクセス制御を行う処理について説明する。本フローチャートの動作は、ＣＰＵ１３１０が記録部１３０４に格納されるプログラムを展開、実行することにより実現されてよい。このとき、このＣＰＵ１３１０による本処理の一部又は全部は、ＣＰＵ１３１０がプログラムを実行して動作させる上述のリソース管理プログラムによって実現される。なお、以下で説明する動作例では、ＰＣ１０２が自身に適用されている分離ポリシーの識別情報をファイルサーバ１００に送信するタイミングが、図１０で説明したタイミングと異なる例を示している。しかし、ＰＣ１０２に適用されている分離ポリシーの識別情報を送信するタイミングは図１０に示したタイミングであってもよい。
　ステップ１１０１では、ファイルサーバ１００のＣＰＵ１３１０は、例えば管理サーバから分離ポリシーファイルを取得する。なお、ファイルサーバ１００が管理サーバから分離ポリシーファイルを予め取得することは必須ではない。分離ポリシーの内容を予めＰＣから取得するように構成されてもよいし、ＰＣがファイルサーバ１００にアクセスする際に、ファイルサーバ１００が管理サーバから分離ポリシーの内容を取得してもよい。
　ステップ１１０２では、ＣＰＵ１３１０は、ＰＣ１０２からファイルに対するアクセス要求があったかを判定する。このとき、ＣＰＵ１３１０は、ファイルアクセスと共に、適用対象に関する情報（端末情報、ユーザ情報、位置情報、時間情報）を合わせて取得してもよい。ＣＰＵ１３１０は、ＰＣ１０２からファイルに対するアクセスがあったときは、処理をＳ１１０３に進め、そうでない場合にはＳ１１０２に進む。
　ステップ１１０３では、ＣＰＵ１３１０は、ＰＣ１０２が適用する分離ポリシーの識別情報を取得する。ステップ１１０４では、ＣＰＵ１３１０は、取得した分離ポリシーの識別情報に応じて、分離ポリシーファイルのネットワークリソース制御情報を抽出し、アクセス制御に用いる情報（例えば図３に示すリソース指定情報や条件、アクセス権限）として設定する。ＣＰＵ１３１０は、分離ポリシーファイルの適用対象の情報を更にアクセス制御に用いる情報として設定してもよい。
　ステップ１１０５では、ＣＰＵ１３１０は、アクセス制御に用いる情報として設定されたネットワークリソース制御情報に従って、ＡＰＩ捕捉を用いたリソース管理プログラムによるアクセス制御を行う。このとき、Ｓ１１０４において、分離ポリシーファイルの適用対象の情報が設定されている場合、当該適用対象の情報にも従ってアクセス制御を行う。
　ステップ１１０６では、ＣＰＵ１３１０は、リソース管理プログラムによるアクセス制御の結果に応じて、結果を送信する（例えばアクセスしたファイルをＰＣ１０２に送信する）。ＣＰＵ１３１０は、結果を送信すると本処理を終了する。
　なお、上述の説明では、ＰＣ１０２からファイルサーバ１００上のコンピュータリソースであるファイルへのアクセス要求が実行される例について説明した。しかし、ＰＣ１０２からネットワーク機器へアクセスされる場合（例えばプロキシーへインタネットへのアクセス要求が行われる場合）も同様である。すなわち、プロキシーが分離ポリシーを適用し、分離ポリシーに従ってプロキシー上のコンピュータリソース（例えばポートや確立した接続・トンネルなど）へのアクセス制御を行えばよい。
　以上説明したように、上述の実施形態では、分離ポリシーに応じたＡＰＩ捕捉によるアクセス制御を、利用者が使用するＰＣとネットワークリソース（例えばファイルサーバやネットワーク機器）上とで連動させて行うようにした。このようにすることで、業務ごとにＰＣとネットワークリソース側のそれぞれが物理的に分離している環境であるように振る舞うことができる。また、ＰＣとネットワークリソースとが連動して同じ分離ポリシーで動作するため、ネットワーク環境自体が、物理的に分離した別個の環境であるかのように振る舞うことができる。すなわち、端末やネットワーク上の機器の既存のＯＳやプロセスを利用しつつ、作業者が利用できるネットワークリソースに対して、作業者の利用状況に即した拡張されたアクセス制御を実現することができる。
　発明は上記の実施形態に制限されるものではなく、発明の要旨の範囲内で、種々の変形・変更が可能である。

Claims (14)

  1. 　利用者が用いる通信装置からの、ネットワークリソース上のコンピュータリソースに対するアクセスを制御する情報処理方法であって、
    　複数種類の業務ごとに許可されるアクセス権限をそれぞれの業務ごとのポリシーとして定義した複数のポリシーから、前記通信装置の状態に適したポリシーを選択する選択工程と、
    　前記ネットワークリソースにおいて、
    　　前記通信装置に対して選択されたポリシーの情報を取得する取得工程と、
    　　前記通信装置から前記ネットワークリソース上のコンピュータリソースに対するアクセス要求を受信した場合に、前記ネットワークリソース上の前記コンピュータリソースに対するプロセスまたはオペレーティングシステムからの操作要求を当該コンピュータリソースにアクセスする前に捕捉する第１捕捉工程と、
    　　前記第１捕捉工程で捕捉した操作要求によって指定されるコンピュータリソースに対するアクセス権限があるか否かを、前記取得工程で取得されたポリシーの情報に基づいて判定する第１判定工程と、
    　　前記第１判定工程の判定の結果、アクセス権限があれば当該操作要求の通りにオペレーティングシステムに渡し、その結果を要求元に返す処理工程と、
    　　前記第１判定工程の判定の結果、アクセス権限がなければ当該操作要求によって指定されるコンピュータリソースに対するアクセスを拒否する拒否工程と、を有することを特徴とする情報処理方法。
  2. 　前記取得工程では、前記通信装置に対して選択されたポリシーを識別する情報を前記通信装置から受信したうえで、前記ポリシーを識別する情報と対応する、前記通信装置に対して選択されたポリシーの情報を取得する、ことを特徴とする請求項１に記載の情報処理方法。
  3. 　前記取得工程では、前記通信装置に対して選択されたポリシーを識別する情報を他のネットワークリソースから受信したうえで、前記ポリシーを識別する情報と対応する、前記通信装置に対して選択されたポリシーの情報を取得することを特徴とする請求項１に記載の情報処理方法。
  4. 　前記取得工程では、前記ポリシーを識別する情報と対応する、前記通信装置に対して選択されたポリシーの情報を、前記ネットワークリソースの記憶手段に記憶されたファイルから取得する、ことを特徴とする請求項２又は３に記載の情報処理方法。
  5. 　前記取得工程では、前記ポリシーを識別する情報と対応する、前記通信装置に対して選択されたポリシーの情報を、外部の管理サーバから取得する、ことを特徴とする請求項２又は３に記載の情報処理方法。
  6. 　前記取得工程では、前記通信装置に対して選択されたポリシーの情報を、前記通信装置から取得する、ことを特徴とする請求項１に記載の情報処理方法。
  7. 　前記通信装置からアクセスされるネットワークリソースである第２ネットワークリソースにおいて、
    　　前記通信装置に対して選択されたポリシーの情報を取得する第２取得工程と、
    　　前記第２ネットワークリソース上のコンピュータリソースに対するプロセスまたはオペレーティングシステムからの操作要求を当該コンピュータリソースにアクセスする前に捕捉する第２捕捉工程と、
    　　前記第２捕捉工程で捕捉した操作要求によって指定されるコンピュータリソースに対するアクセス権限があるか否かを、前記第２取得工程で取得されたポリシーの情報に基づいて判定する第２判定工程と、を更に有する、ことを特徴とする請求項１から６のいずれか１項に記載の情報処理方法。
  8. 　前記通信装置において、前記通信装置上のコンピュータリソースに対するプロセスまたはオペレーティングシステムからの操作要求を当該コンピュータリソースにアクセスする前に捕捉する第３捕捉工程と、
    　前記通信装置において、前記第３捕捉工程で捕捉した操作要求によって指定されるコンピュータリソースに対するアクセス権限があるか否かを、前記選択工程で選択されたポリシーの情報に基づいて判定する第３判定工程と、を更に有する、ことを特徴とする請求項１から７のいずれか１項に記載の情報処理方法。
  9. 　前記複数のポリシーは、ポリシーごとに、アクセス制御の対象となるネットワークリソースについての、ＩＰアドレス、ホスト名、ＵＲＬ、ファイルサーバのディレクトリパス、及びネットワーク機器名の少なくともいずれかの情報を含み、
    　第１判定工程では、前記第１捕捉工程で捕捉した操作要求によって指定されるコンピュータリソースに対するアクセス権限があるか否かを、各ポリシーに含まれるネットワークリソースの情報に基づいて判定する、ことを特徴とする請求項１から８のいずれか１項に記載の情報処理方法。
  10. 　前記複数のポリシーは、ポリシーごとに、アクセス制御の対象となるネットワークリソースにアクセスするための前記通信装置で動作するプログラムを指定する情報を更に含み、
    　第１判定工程では、前記第１捕捉工程で捕捉した操作要求によって指定されるコンピュータリソースに対するアクセス権限があるか否かを、各ポリシーに含まれる前記プログラムを指定する情報に更に基づいて判定する、ことを特徴とする請求項９に記載の情報処理方法。
  11. 　前記複数のポリシーは、ポリシーごとに、前記通信装置の情報、ユーザの情報、前記通信装置の位置情報、及び前記通信装置を使用する時刻情報の少なくともいずれかを指定する適用対象の情報を更に含む、ことを特徴とする請求項９又は１０に記載の情報処理方法。
  12. 　前記通信装置の状態とは、適用する通信装置の情報、ユーザの情報、通信装置の位置情報、時刻情報を含む、ことを特徴とする請求項１から１０のいずれか１項に記載の情報処理方法。
  13. 　１つ以上のコンピュータに、利用者が用いる通信装置からの、ネットワークリソース上のコンピュータリソースに対するアクセスを制御する情報処理方法の各工程を実行させる１つ以上のプログラムであって、前記情報処理方法は、
    　複数種類の業務ごとに許可されるアクセス権限をそれぞれの業務ごとのポリシーとして定義した複数のポリシーから、前記通信装置の状態に適したポリシーを選択する選択工程と、
    　前記ネットワークリソースにおいて、
    　　前記通信装置に対して選択されたポリシーの情報を取得する取得工程と、
    　　前記通信装置から前記ネットワークリソース上のコンピュータリソースに対するアクセス要求を受信した場合に、前記ネットワークリソース上の前記コンピュータリソースに対するプロセスまたはオペレーティングシステムからの操作要求を当該コンピュータリソースにアクセスする前に捕捉する第１捕捉工程と、
    　　前記第１捕捉工程で捕捉した操作要求によって指定されるコンピュータリソースに対するアクセス権限があるか否かを、前記取得工程で取得されたポリシーの情報に基づいて判定する第１判定工程と、
    　　前記第１判定工程の判定の結果、アクセス権限があれば当該操作要求の通りにオペレーティングシステムに渡し、その結果を要求元に返す処理工程と、
    　　前記第１判定工程の判定の結果、アクセス権限がなければ当該操作要求によって指定されるコンピュータリソースに対するアクセスを拒否する拒否工程と、を有することを特徴とする１つ以上のプログラム。
  14. 　請求項１３に記載の１つ以上のプログラムを格納する１つ以上の記憶媒体。
PCT/JP2022/002902 2022-01-26 2022-01-26 情報処理方法、プログラム及び記憶媒体 WO2023144932A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
PCT/JP2022/002902 WO2023144932A1 (ja) 2022-01-26 2022-01-26 情報処理方法、プログラム及び記憶媒体

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2022/002902 WO2023144932A1 (ja) 2022-01-26 2022-01-26 情報処理方法、プログラム及び記憶媒体

Publications (1)

Publication Number Publication Date
WO2023144932A1 true WO2023144932A1 (ja) 2023-08-03

Family

ID=87471216

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2022/002902 WO2023144932A1 (ja) 2022-01-26 2022-01-26 情報処理方法、プログラム及び記憶媒体

Country Status (1)

Country Link
WO (1) WO2023144932A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH01209561A (ja) * 1988-02-17 1989-08-23 Fujitsu Ltd セキュリティ管理処理方式
JP2003044297A (ja) * 2000-11-20 2003-02-14 Humming Heads Inc コンピュータリソースの制御を行なう情報処理方法および装置、情報処理システム及びその制御方法並びに記憶媒体、プログラム
JP2006053824A (ja) * 2004-08-13 2006-02-23 Nec Corp アクセス制御システム、アクセス制御方法、及び、プログラム

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH01209561A (ja) * 1988-02-17 1989-08-23 Fujitsu Ltd セキュリティ管理処理方式
JP2003044297A (ja) * 2000-11-20 2003-02-14 Humming Heads Inc コンピュータリソースの制御を行なう情報処理方法および装置、情報処理システム及びその制御方法並びに記憶媒体、プログラム
JP2006053824A (ja) * 2004-08-13 2006-02-23 Nec Corp アクセス制御システム、アクセス制御方法、及び、プログラム

Similar Documents

Publication Publication Date Title
JP6718530B2 (ja) 画像分析および管理
US20220224726A1 (en) Distribution and Management of Services in Virtual Environments
US10404708B2 (en) System for secure file access
US9065771B2 (en) Managing application execution and data access on a device
JP4827523B2 (ja) 情報処理装置、情報処理方法、ならびに制御プログラム
US8136117B2 (en) Information processor and information processing system
US10757079B2 (en) Method and system for controlling remote session on computer systems using a virtual channel
US10331599B2 (en) Employing session level restrictions to limit access to a redirected interface of a composite device
WO2011142996A2 (en) Methods and systems for forcing an application to store data in a secure storage location
WO2011143068A2 (en) Systems and methods for creation and delivery of encrypted virtual disks
JP7076641B2 (ja) Ｓａａｓアプリケーションのためのプッシュ配信通知サービスのためのシステムおよび方法
US20180103026A1 (en) Secure authentication to provide mobile access to shared network resources
WO2013080659A1 (ja) 機密情報漏洩防止システム、機密情報漏洩防止方法、及びコンピュータ読み取り可能な記録媒体
US20080086738A1 (en) Mechanisms For Executing A Computer Program
JP2022504499A (ja) 中間デバイスのシステムオンチップを介したトラフィック最適化のためのシステムおよび方法
JP6994607B1 (ja) Ｓａａｓアプリケーションのためのインテリセンスのためのシステムおよび方法
JP4640776B2 (ja) 情報システム設定装置、情報システム設定方法及びプログラム
WO2023144932A1 (ja) 情報処理方法、プログラム及び記憶媒体
KR101056423B1 (ko) 로그인된 계정권한 제어를 이용한 프로그램 실행관리 방법 및 기록매체
US20110214159A1 (en) Computer system
WO2023007570A1 (ja) 情報処理方法、プログラム、記憶媒体
EP2645293A2 (en) Method and apparatus for controlling operations performed by a mobile computing device
KR102269885B1 (ko) 사용자별 맞춤형 서버 작업 환경의 생성 기능을 구비한 접근통제 시스템
JP2004178565A (ja) 通信管理用サーバ、通信方法、及び、プログラム
JP2024076740A (ja) システム、画像処理装置およびシステムの制御方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22923799

Country of ref document: EP

Kind code of ref document: A1