JP5822078B2 - 機密情報漏洩防止システム、機密情報漏洩防止方法及び機密情報漏洩防止プログラム - Google Patents

Description

本発明は、機密情報の漏洩を防止するための技術に係り、特に、マルチレベルセキュリティを用いて機密情報の漏洩を防止するための技術に関する。

アクセスの主体や対象にセキュリティレベルを特定するラベルを付与し、この付与されたラベルに基づいてアクセス対象へのアクセスを制限するマルチレベルセキュリティシステム（ＭＬＳ）が知られている。例えば、特許文献１（特開２００３−１７３２８４）には、クライアント端末が、当該クライアント端末内のファイルに機密レベルを表すラベルを付けて外部へ送信すると、ゲートウェイサーバ上の送信管理プログラムが当該ファイルのラベルをチェックし、機密レベルが非機密の場合は当該ファイルを組織外ネットワークへ送信するネットワークシステムが開示されている。特許文献２（特開２０００−１７４８０７）には、コンピュータシステムが、オブジェクトアクセスパケットを作成するマルチレベルアクセス制御セキュリティメカニズムを支援するオペレーティングシステムカーネルを有する構成が開示されている。

また、ネットワークにおける機密情報の漏洩を防止するための技術が知られている。例えば、特許文献３（特開２００６−２５１９３２号公報）には、ネットワーク上のセキュリティ管理サーバが認証を行う構成において、ホスト装置が当該セキュリティ管理サーバにアクセスできない場合は、当該ホスト装置内の認証履歴を参照することにより、ユーザ認証を実行する構成が開示されている。特許文献４（特開２００７−２８７０９７号公報）には、遮断装置は、クライアント端末からサーバへのアクセス要求があった場合、当該クライアント端末のＩＰアドレスがアクセス管理情報に含まれる場合は、認証成功として当該アクセス要求を許可し、当該クライアント端末のＩＰアドレスがアクセス管理情報に含まれない場合は、認証失敗として当該アクセス要求を遮断する構成が開示されている。

特開２００３−１７３２８４号公報 特開２０００−１７４８０７号公報 特開２００６−２５１９３２号公報 特開２００７−２８７０９７号公報

上記特許文献１及び２に記載の構成を適用してネットワーク対応のマルチレベルセキュリティシステムを構築する場合、ゲートウェイもしくはサーバが一括してアクセス制御を行なう構成となる。そのため、クライアント端末が多数存在する場合には、ゲートウェイやサーバの負荷が高くなり、通信速度が低下するという問題がある。

また、特許文献３に記載の構成では、ホスト装置がセキュリティ管理サーバにアクセスできない場合は、当該ホスト装置内の認証履歴を参照することによりユーザ認証を実行する。そのため、例えばホスト装置内に認証履歴が記憶されていない場合は、セキュリティ管理サーバで認証すれば成功となるユーザであっても認証失敗となるため、ユーザの作業の利便性に欠ける。また、特許文献４に記載の構成では、クライアント端末の認証が失敗した場合は、アクセス要求を一切遮断する。そのため、例えば社外から持ち込んだクライアント端末であるために認証が失敗したような場合には、会社のサーバへ一切アクセスすることができず、ユーザの作業の利便性に欠ける。

従って、本発明の目的は、クライアント端末が多数存在する場合にも高速通信を行い、かつ、ユーザの作業の利便性を向上させることができるネットワーク対応のマルチレベルセキュリティシステムを提供することにある。

本機密情報漏洩防止システムは、ネットワークアクセス要求を送信するアプリケーションプログラムを有する２以上のクライアントと、サーバと、がネットワークを介して通信可能に構成される機密情報漏洩防止システムであって、前記２以上のクライアントのうちの少なくとも１のクライアントは、前記アプリケーションプログラムから送信される前記サーバへのネットワークアクセス要求を、当該アプリケーションプログラムに割り当てられているセキュリティレベルに基づいて制御する第１ネットワークアクセス制御手段を有し、前記サーバは、前記２以上のクライアントのうちの１のクライアントから送信されるネットワークアクセス要求について、当該ネットワークアクセス要求を送信したクライアントに第１ネットワークアクセス制御手段が導入されているかを判定し、判定結果が是である場合は、当該ネットワークアクセス要求を許可し、判定結果が否である場合は、当該ネットワークアクセス要求のアクセス対象に割り当てられているセキュリティレベルに基づいて当該ネットワークアクセス要求を制御する第２ネットワークアクセス制御手段を有する、ことを特徴とする。

また、前記第１ネットワークアクセス制御手段を有するクライアントは、前記第１ネットワークアクセス制御手段が導入されていることを前記サーバとの間で認証する認証処理を実行する第１認証手段を有し、前記サーバは、前記第１ネットワークアクセス制御手段を有するクライアントとの間で前記認証処理を実行し、当該認証処理が成功した場合に、当該クライアントを認証済みクライアントとして登録する第２認証手段を有し、前記第２ネットワークアクセス制御手段は、前記ネットワークアクセス要求を送信したクライアントが、前記認証済みクライアントとして登録されている場合は、当該クライアントに前記第１ネットワークアクセス制御手段が導入されていると判定する。

また、前記第２ネットワークアクセス制御手段は、前記判定結果が否である場合は、前記ネットワークアクセス要求を送信したアプリケーションに仮のセキュリティレベルを設定し、当該設定した仮のセキュリティレベルと、前記アクセス対象に割り当てられているセキュリティレベルと、に基づいて当該ネットワークアクセス要求を制御する。

また、前記第１認証手段は、前記第１ネットワークアクセス制御手段が保持する鍵を用いて前記第２の認証手段との間で前記認証処理を実行する。

また、前記第１認証手段は、第１の乱数を利用して生成した第１チャレンジコードを前記サーバへ送信する第１送信手段と、前記サーバより送信された、前記第１チャレンジコードに基づく第１レスポンスコードと、第２チャレンジコードと、を受信する第１受信手段と、前記第１ネットワークアクセス制御手段が保持する第１の鍵と、前記生成した第１チャレンジコードとに基づいて、第１レスポンスコードを生成する第１レスポンスコード生成手段と、前記第１受信手段が受信した第１レスポンスコードと、前記第１レスポンスコード生成手段が生成した第１レスポンスコードが一致するか否かを判定する第１判定手段と、前記第１判定手段による判定結果が是である場合、前記第１受信手段が受信した第２チャレンジコードから生成した第２レスポンスコードを前記サーバへ送信する第２送信手段と、を備え、前記第２認証手段は、前記第１クライアントより送信された第１チャレンジコードから前記第２認証手段が保持する第２の鍵を用いて生成した第１レスポンスコードと、第２の乱数を利用して生成した第２チャレンジコードとを、前記クライアントへ送信する第３送信手段と、前記第１クライアントから送信された、前記第２チャレンジコードに基づく第２レスポンスコードを受信する第２受信手段と、前記第２の鍵と前記生成した第２チャレンジコードとに基づいて、第２レスポンスコードを生成する第２レスポンスコード生成手段と、前記第１クライアントから送信された第２レスポンスコードと、前記第２レスポンスコード生成手段が生成した第２レスポンスコードとが一致するか否かを判定し、判定結果が是である場合に、前記認証処理が成功したとする第２判定手段と、を備える。

また、前記第１認証手段は、前記第１ネットワークアクセス制御手段が動作していることを条件に、前記サーバとの間で前記認証処理を実行する。

また、前記第１認証手段は、オペレーティングシステムから実行中のプロセスリストを取得し、当該取得したプロセスリストに前記第１ネットワークアクセス制御手段が含まれている否かを確認することにより、前記第１ネットワークアクセス制御手段が動作しているか否かを判断する。

また、本機密情報漏洩防止方法は、ネットワークアクセス要求を送信するアプリケーションプログラムを有する２以上のクライアントとサーバとがネットワークを介して通信可能に構成される機密情報漏洩防止システムにおける機密情報漏洩防止方法であって、前記２以上のクライアントのうちの少なくとも１のクライアントは、前記アプリケーションプログラムから送信される前記サーバへのネットワークアクセス要求を、当該アプリケーションプログラムに割り当てられているセキュリティレベルに基づいて制御する第１ネットワークアクセス制御ステップを実行し、前記サーバは、前記２以上のクライアントのうちの１のクライアントから送信されるネットワークアクセス要求について、当該ネットワークアクセス要求を送信したクライアントにおいて、前記第１ネットワークアクセス制御ステップが実行されたかを判定し、判定結果が是である場合は、当該ネットワークアクセス要求を許可し、判定結果が否である場合は、当該ネットワークアクセス要求のアクセス対象に割り当てられているセキュリティレベルに基づいて当該ネットワークアクセス要求を制御する第２ネットワークアクセス制御テップ、を実行する、ことを特徴とする。

また、本プログラムは、ネットワークアクセス要求を送信するアプリケーションプログラムを有する２以上のクライアントのうちの少なくとも１のクライアントに、前記アプリケーションプログラムから送信される前記サーバへのネットワークアクセス要求を、当該アプリケーションプログラムに割り当てられているセキュリティレベルに基づいて制御する第１ネットワークアクセス制御ステップを実行させ、前記サーバに、前記２以上のクライアントのうちの１のクライアントから送信されるネットワークアクセス要求について、当該ネットワークアクセス要求を送信したクライアントにおいて、前記第１ネットワークアクセス制御ステップが実行されたかを判定し、判定結果が是である場合は、当該ネットワークアクセス要求を許可し、判定結果が否である場合は、当該ネットワークアクセス要求のアクセス対象に割り当てられているセキュリティレベルに基づいて当該ネットワークアクセス要求を制御する第２ネットワークアクセス制御テップ、を実行させる。

なお、本発明のプログラムは、ＣＤ−ＲＯＭ等の光学ディスク、磁気ディスク、半導体メモリなどの各種の記録媒体に格納することができる。また、本発明のプログラムは、これらの記録媒体を通じて又は通信ネットワークなどを介してダウンロードすることにより、コンピュータにインストール又はロードすることができる。

また、本明細書等において、手段とは、単に物理的手段を意味するものではなく、その手段が有する機能をソフトウェアによって実現する場合も含む。また、１つの手段が有する機能が２つ以上の物理的手段により実現されても、２つ以上の手段の機能が１つの物理的手段により実現されてもよい。

本発明によれば、クライアント端末が多数存在する場合にも、高速通信を行い、かつ、ユーザの作業の利便性を向上させることができるネットワーク対応のマルチレベルセキュリティシステムを提供することが可能になる。

第１の実施形態に係る機密情報漏洩防止システムの概略構成を示す図である。 機密情報漏洩防止システムのハードウェア構成の一例を示す図である。 ラベル割当リストの一例を示す図である。 サーバ情報記憶部のデータ構造の一例を示す図である。 アクセス制御ルール記憶部のデータ構造の一例を示す図である。 ネットワーク監視部の実装の一例を示す図である。 要認証サーバリストのデータ構造の一例を示す図である。 認証済みクライアントリストの一例を示す図である。 機密情報漏洩防止処理の流れの一例を示すフローチャートである。 認証処理の流れの一例を示すフローチャートである。 サーバにおけるアクセス制御処理の流れの一例を示すフローチャートである。 第２の実施形態に係る機密情報漏洩防止システムの概略構成を示す図である。

以下、本発明の実施の形態について図面を参照しつつ詳細に説明する。なお、同一の要素については重複する説明を省略する場合がある。

［システム構成］
図１は、本実施形態に係る機密情報漏洩防止システムが適用されるクライアント・サーバシステムの概略構成を示している。本システムは、第１クライアント１００と、第２クライアント２００と、サーバ３００と、を含む。第１クライアント１００とサーバ３００、および第２クライアント２００とサーバ３００は、ネットワークＮを介して相互に接続される。ネットワークＮは、例えば、インターネット、専用線、パケット通信網、電話回線、ＬＡＮ、企業内ネットワーク、その他の通信回線、それらの組み合わせ等のいずれであってもよく、有線であるか無線であるかを問わない。

なお、図１では、１つの第１クライアント１００及び１つの第２クライアント２００を例示しているが、第１クライアント１００及び第２クライアント２００の数は、設計に応じて適宜設定することができる。例えば、複数の第１クライアント１００及び／又は複数の第２クライアント２００をサーバ３００に接続することができる。また、図１では、１つのサーバ３００を例示しているが、サーバ３００の数は設計に応じて適宜設定することができる。例えば、第１クライアント１００又は第２クライアント２００から複数のサーバ３００にアクセスするようにしてもよい。

ここで、第１クライアント１００と第２クライアント２００の主な違いは、マルチレベルセキュリティを実現するための構成（例えば、ネットワークアクセス制御部）を有しているか否かである。第１クライアント１００及び第２クライアント２００の詳細については後述するが、例えば、第１クライアント１００は、会社の管理下に置かれているためマルチレベルセキュリティを実現するための構成が導入されているＰＣ等が該当する。一方、第２クライアント２００は、社外から持ち込まれたものである（すなわち、会社の管理下に置かれていない）ため、マルチレベルセキュリティを実現するための構成が導入されていないＰＣ等が該当する。

次に、第１クライアント１００について説明する。第１クライアント１００は、図２に示すように、第１クライアント１００の処理及び動作を制御する制御部としてのＣＰＵ１０、ＲＯＭ１１やＲＡＭ１２等のメモリ、各種情報を格納する外部記憶装置（ＨＤＤ）１３、ネットワークＮを介してサーバ３００等との間の通信を制御する通信インタフェース１４、キーボード等の入力インタフェース１５、ディスプレイ等の出力インタフェース１６及びこれらを結ぶバス等のハードウェアを有する専用又は汎用のコンピュータを適用することができる。ＲＯＭ１１、ＲＡＭ１２又は外部記憶装置１３は、単に記憶装置とも呼ばれる。第１クライアント１００は、例えば、ＣＰＵ１０がメモリや外部記憶装置１３に記憶される所定のプログラムを実行することにより、後述するラベル割当部１０２、ネットワークアクセス制御部１０６、認証部１０７などの各種機能実現部として機能することができる。

図１に戻り、第１クライアント１００は、通信部１０１と、ラベル割当部１０２と、アプリケーション１０３（一般アプリケーション１０３ａ、機密アプリケーション１０３ｂ）と、サーバ情報記憶部１０４と、アクセス制御ルール記憶部１０５と、ネットワークアクセス制御部１０６と、認証部１０７と、を有する。

通信部（通信手段）１０１は、ネットワークＮを介してサーバ３００その他の図示しない装置と通信し、情報を入出力可能に構成されている。通信部１０１は、例えば、ネットワークインタフェースカード（ＮＩＣ）やＴＣＰ／ＩＰドライバ等の既存の通信モジュールを有している。

ラベル割当部（ラベル割当手段）１０２は、セキュリティレベルを示す情報（以下、「ラベル」という。）をアプリケーション１０３に対して割り当て可能に構成されている。ラベル割当部１０２は、アプリケーション１０３と当該アプリケーション１０３に割り当てたラベルを対応付けたリスト（ラベル割り当てリスト）を、所定の記憶領域に格納する。ラベルには、例えば、セキュリティの低い「一般」とセキュリティの高い「機密」の２種類を割り当てることができる。図３は、ラベル割り当てリストのデータ構造の一例を示す。ラベル割り当てリストには、アプリケーションを識別するプロセスＩＤ（プロセス番号）と、当該アプリケーションに割り当てられたラベルとが対応づけられている。なお、ラベルの内容は、図３に示すものに限られず、設計に応じて適宜設定することができ、例えば３種類以上にしてもよい。

また、ラベル割当部１０２は、ネットワークアクセス制御部１０６から、所定のアプリケーションに割り当てられたラベルについて問合せを受け付けると、当該アプリケーションに割り当てたラベルをラベル割り当てリストから読み出して通知するように構成されている。なお、ラベル割当部１０２により割り当てられたラベルは、第１クライアント１００内において、機密アプリケーション１０３ｂから一般アプリケーション１０３ａへ情報流通することを禁止する際にも用いることができる。

アプリケーション１０３（一般アプリケーション１０３ａ及び機密アプリケーション１０３ｂ）は、外部記憶装置１３等に格納され、ＣＰＵ１０によって実行されることにより、ユーザに所定の機能を提供するアプリケーションソフトウェアであり、サーバ３００へネットワークアクセス要求を送信する。アプリケーション１０３には、特に限定はないが、例えば、文書作成機能を有するエディタや情報閲覧機能を有するブラウザ等を有する既存のソフトウェアが該当し、ラベルの内容に応じて区別される。本実施形態では、アプリケーション１０３は、例えば、一般ラベルが割り当てられたアプリケーション（一般アプリケーション）１０３ａと、機密ラベルが割り当てられたアプリケーション（機密アプリケーション）１０３ｂとに区別される。

サーバ情報記憶部（サーバ情報記憶手段）１０４は、アプリケーション１０３のアクセス対象と当該アクセス対象に割り当てられているラベルの情報とを対応付けたサーバ情報（アクセス対象管理情報ともいう）を記憶する記憶装置である。サーバ情報記憶部１０４は、データベースとしての機能を有する。サーバ情報記憶部１０４は、ネットワークアクセス制御部１０６からアクセス対象を特定する情報を含む所定の要求を受け付けると、当該アクセス対象に割り当てられているラベルをサーバ情報から検索し、ネットワークアクセス制御部１０６へ検索結果を通知するように構成されている。アクセス対象に割り当てられるラベルには、例えば、「一般」と「機密」の２種類を割り当てることができる。しかし、ラベルの内容は設計に応じて適宜設定することができ、３種類以上としてもよい。

図４は、サーバ情報記憶部１０４のデータ構造の一例を示している。同図に示すように、サーバ情報記憶部１０４には、サーバのフォルダ情報及びラベルの情報が対応付けて格納されている。例えば、サーバＡの機密フォルダ“server A/secret_folder”には、「機密」ラベルが割り当てられ、サーバＡの一般フォルダ“server A/public_folder”には、「一般」ラベルが割り当てられている。なお、サーバ情報記憶部１０４のデータ構造は、同図に示すものに限られない。例えば、サーバを一意的に特定可能な情報として、サーバ名の代わりにＩＰアドレスを用いてもよい。さらに、セキュリティレベルが、「機密」と「一般」の２レベルの場合は、機密フォルダにのみ「機密」ラベルを設定し、機密「ラベル」が設定されていないフォルダのラベルは、「一般」とみなすようにしてもよい。

図１に戻り、アクセス制御ルール記憶部（アクセス制御ルール記憶手段）１０５は、アプリケーション１０３によるアクセス対象へのアクセスを制限するための情報（アクセス制御ルール）を記憶する記憶装置である。アクセス制御ルール記憶部１０５は、特に限定はないが、例えば、アプリケーション毎に各アクセス対象へのアクセス制御の制限内容を格納する。制限内容は、設計に応じて適宜設定／変更することが可能である。

図５は、アクセス制御ルール記憶部のデータ構造の一例を示している。同図に示すように、機密アプリケーションから機密フォルダへの制御内容には「アクセス許可」が、機密アプリケーションから一般フォルダへの制御内容には「読み込み許可」が、それぞれ設定されている。一方、一般アプリケーションから機密フォルダへの制御内容には「アクセス禁止」が、一般アプリケーションから一般フォルダへの制御内容には「アクセス許可」が、それぞれ設定されている。

図１に戻り、ネットワークアクセス制御部（ネットワークアクセス制御手段）１０６は、通信部１０１を介して実行されるネットワーク通信を監視するネットワーク監視部１０６ａ（以下、「監視部」という）と、アプリケーションに対するアクセス制御を実行するアクセス制御部１０６ｂとを有している。ネットワークアクセス制御部１０６は、例えば、外部記憶装置１３等に格納され、ＣＰＵ１０によって実行されることにより、ネットワーク通信を監視する機能やアプリケーションに対するアクセス制御を実行する機能を提供するプログラム（ネットワークアクセス制御プログラム）によって構成することができる。

監視部（監視手段）１０６ａは、アプリケーション１０３による全てのネットワークアクセスを監視するように構成されている。監視部１０６ａは、例えば、ＴＤＩ（Transport Driver Interface）ドライバや、ＮＤＩＳ（Network Driver Interface Specification）ドライバといったフィルタドライバなどの従来技術を適用してイベントを監視することにより実現することができる。図６は、機密情報漏洩防止システムに実装された監視部１０６ａ（ネットワークアクセス制御部１０６）の一例を示す図である。

アクセス制御部（アクセス制御手段）１０６ｂは、監視部１０６ａによりアプリケーション１０３によるネットワークアクセスを検出した場合に、当該ネットワークアクセスに対して、マルチレベルセキュリティに基づくアクセス制御を実行可能に構成されている。具体的には、アクセス制御部１０６ｂは、検出したアクセスからアプリケーションを特定するアプリケーション特定情報（例えば、プロセスＩＤ）及びアクセス対象を特定するアクセス対象情報（例えば、フォルダ名）を抽出する。次に、アクセス制御部１０６ｂは、抽出したプロセスＩＤに基づいてアプリケーションのラベルをラベル割当部１０２から取得し、フォルダ名に基づいて当該フォルダのラベルをサーバ情報記憶部１０４から取得する。そして、アクセス制御部１０６ｂは、取得したアプリケーション１０３のラベルとフォルダ３０４のラベルとに基づいて、アクセス制御ルール記憶部１０５からアクセス制御ルールを参照することにより、アプリケーション１０３によるネットワークアクセスに対するアクセス制御を行う。

また、アクセス制御部１０６ｂは、認証部３０２が導入されているサーバ３００のリスト（要認証サーバリスト）を所定の記憶領域に保有している。アクセス制御部１０６ｂは、要認証サーバリストを参照することにより、アクセス対象のサーバ３００との間で認証が必要か否かを判定するように構成されている。図７は、要認証サーバリストのデータ構造の一例を示す図である。要認証サーバリストの構造に、特に限定はないが、サーバを一意的に特定することができる情報として、例えばＩＰアドレスやＤＮＳ名が格納される。

さらにまた、アクセス制御部１０６ｂは、ネットワークアクセス制御部１０６が第１クライアント１００に導入されていることを証明するための認証用の鍵を、所定の記憶領域に保持している。この所定の鍵は、サーバ３００の認証部３０２が保持する認証用の鍵と同じものである。

認証部（認証手段）１０７は、第１クライアント１００にネットワークアクセス制御部１０６が導入されていることを認証するためのものであり、サーバ３００との間で所定の認証処理を実行可能に構成されている。認証部１０７は、ネットワークアクセス制御部１０６が保持している認証用の鍵を用いて、サーバ３００の認証部３０２と通信を行い、所定の認証処理を行う。認証部１０７は、認証処理の結果をネットワークアクセス制御部１０６へ通知する。認証処理は、特にその方法に限定はないが、ここでは一例として、チャレンジレスポンス式に従う認証処理を実行する。なお、認証処理の詳細については、後述する。

また、認証部１０７は、ネットワークアクセス制御部１０６が動作しているか否かを判定するように構成されている。ネットワークアクセス制御部１０６が動作しているか否かの判定は、特にその内容に限定はないが、例えば、オペレーティングシステムから実行中のプロセスリストを取得し、当該取得したプロセスリストにネットワークアクセス制御部１０６のプロセスＩＤが含まれている否かを確認することにより行うことができる。

次に、第２クライアント２００について説明する。図１に示すように、第２クライアント２００は、通信部２０１と、アプリケーション２０２と、を有する。通信部２０１は、第１クライアント１００の通信部１０１と同様の構成を有し、アプリケーション２０２は、第１クライアント１００のアプリケーション１０３と、ラベルが割り当てられていない点を除いて同様の構成を有するため、それぞれ詳細な説明を省略する。また、第２クライアント２００のハードウェア構成は、図２にて説明した第１クライアント１００のハードウェア構成と同様であるため、説明を省略する。

次に、サーバ３００について説明する。サーバ３００は、通信部３０１と、認証部３０２と、サーバアプリケーション３０３と、フォルダ３０４（一般フォルダ３０４ａ、機密フォルダ３０４ｂ）と、サーバ情報記憶部３０５と、アクセス制御ルール記憶部３０６と、ネットワークアクセス制御部３０７と、を有している。なお、サーバ３００は、図２にて説明した第１クライアント１００のハードウェア構成と同様に、サーバ３００の処理及び動作を制御するＣＰＵ、ＲＯＭやＲＡＭ等のメモリ、各種情報を格納する外部記憶装置、通信インタフェース、入出力インタフェース及びこれらを結ぶバス等のハードウェアを有する専用または汎用のサーバ・コンピュータを適用することができる。

通信部（通信手段）３０１は、ネットワークＮを介して第１クライアント１００、第２クライアント２００、及びその他の図示しない装置と通信し、情報を入出力可能に構成されている。例えば、ネットワークインタフェースカード（ＮＩＣ）やＴＣＰ／ＩＰドライバ等の既存の通信モジュールを備えている。

認証部（認証手段）３０２は、第１クライアント１００にネットワークアクセス制御部１０６が導入されていることを認証するために、第１クライアント１００との間で所定の認証処理を実行可能に構成されている。具体的には、認証部３０２は、第１クライアント１００のネットワークアクセス制御部１０６が保持している認証用の鍵と同じ鍵を保持している。認証部３０２は、この認証用の鍵を用いて、第１クライアント１００の認証部１０７と通信を行い、所定の認証処理を行う。

また、認証部３０２は、認証に成功した第１クライアント１００のリスト（認証済みクライアントリスト）を作成する。図８は、認証済みクライアントリストの構成の一例を示す図である。認証済みクライアントリストの内容は、特に限定はないが、同図に示すように、認証済み第１クライアント１００を一意的に識別する識別情報として当該クライアントのＩＰアドレスを有する。認証部３０２は、第１クライアント１００の認証に成功した場合、当該第１クライアント１００を認証済みクライアントリストに追加する。なお、図８では、ＩＰアドレスと対応付けて、当該第１クライアント１００が認証済みクライアントとして有効な時間（残り有効時間）も格納されている。この残り有効時間については、後述する。

図１に戻り、サーバアプリケーション３０３は、外部記憶装置等に格納され、ＣＰＵによって実行されることにより、所定のネットワークサービスを提供するアプリケーションソフトウェアである。サーバアプリケーション３０３は、特に限定はないが、例えば、ＦＴＰ（File Transfer Protocol）やＣＩＦＳ（Common Internet File System）などを実装した既存のプログラム等が該当する。

フォルダ３０４は、アクセス対象となるデータを保管するものであり、ディレクトリとも呼ばれる。フォルダ３０４は、割り当てられるラベルによって区別される。本実施形態では、一例として、一般ラベルが割り当てられたフォルダ（一般フォルダ）３０４ａと、機密ラベルが割り当てられたフォルダ（機密フォルダ）３０４ｂとに区別される。一般フォルダには一般情報が保存され、機密フォルダには機密情報が保存されている。なお、ラベルの内容は当該２種類に限られず、設計に応じて適宜設定することができる。フォルダ３０４とラベルの対応関係は、サーバ情報記憶部３０５（１０４）に格納されている（図４参照）。

サーバ情報記憶部（サーバ情報記憶手段）３０５は、第１クライアント１００のサーバ情報記憶部１０４と同様に、アプリケーション１０３のアクセス対象と当該アクセス対象に割り当てられているラベルの情報とを対応付けたサーバ情報（アクセス対象管理情報）を記憶する記憶装置である。サーバ情報記憶部３０５は、ネットワークアクセス制御部３０７からアクセス対象を特定する情報を含む所定の要求を受け付けると、当該アクセス対象に割り当てられているラベルをサーバ情報から検索し、ネットワークアクセス制御部３０７へ検索結果を通知するように構成されている。なお、サーバ情報記憶部３０５のデータ構成は、第１クライアント１００のサーバ情報記憶部１０４と同一であるため、詳細な説明は省略する（図４参照）。

アクセス制御ルール記憶部（アクセス制御ルール記憶手段）３０６は、クライアントのアクセス制御ルール記憶部１０５と同様に、アプリケーション１０３によるアクセス対象へのアクセスを制限するためのアクセス制御ルールを記憶する記憶装置である。アクセス制御ルール記憶部３０６は、ネットワークアクセス制御部３０７からの問い合わせに応じて、アクセス制御ルールを通知する。なお、第１クライアント１００のサーバ情報記憶部１０４と、サーバ３００のサーバ情報記憶部３０５は、同一のアクセス制御ルールを保持しているため、詳細な説明は省略する（図５参照）。

ネットワークアクセス制御部（ネットワークアクセス制御手段）３０７は、サーバアプリケーション３０３へのネットワークアクセスに対して、当該ネットワークアクセス要求を送信したクライアントにネットワークアクセス制御部が導入されているかを判定し、判定結果が是である場合は、当該ネットワークアクセスをそのまま許可し、判定結果が否である場合は、当該ネットワークアクセスに対してアクセス制御を実行するように構成されている。具体的には、ネットワークアクセス制御部３０７は、サーバアプリケーション３０３へのネットワークアクセスを監視し、ネットワークアクセスを検出すると、当該ネットワークアクセスを行うクライアントを特定し、この特定したクライアントが認証済みであるか否かを認証部３０２に問い合わせる。ネットワークアクセス制御部３０７は、認証結果が是である（認証済みである）場合は、当該クライアントにネットワークアクセス制御部が導入されていると判定し、アクセス制御は実行しない（そのまま実行させる）。一方、認証結果が否である（認証済みでない）場合は、ネットワークアクセス制御部３０７は、当該クライアントにネットワークアクセス制御部が導入されていないと判定し、アクセス先のフォルダに応じたアクセス制御（例：許可、禁止、読み込みのみ許可など）を実行する。

なお、ネットワークアクセス制御部３０７によるアクセス制御は、アクセスしようとするアプリケーションに仮ラベルを設定し、当該設定したアプリケーションの仮ラベルと、アクセス先のフォルダのラベルとに基づいて、アクセス制御を行う。ネットワークアクセス制御部３０７によるアクセス制御の詳細については、後述する。

［機密情報漏洩防止処理の流れ］
図９を参照して、本実施形態に係る機密情報漏洩防止システムにおける機密情報漏洩防止処理について説明する。なお、図９〜図１１のフローチャートに示す各処理ステップは処理内容に矛盾を生じない範囲で任意に順番を変更して又は並列に実行することができる。また、各処理ステップ間に他のステップを追加してもよい。また、便宜上１ステップとして記載されているステップは、複数ステップに分けて実行することができる一方、便宜上複数ステップに分けて記載されているものは、１ステップとして把握することができる。また、以下では、説明の便宜上、最初に、第１クライアント１００からサーバ３００へのネットワークアクセスについて説明し、次に、第２クライアント２００からサーバ３００へのネットワークアクセスについて説明する。

最初に、第１クライアント１００からサーバ３００へのネットワークアクセスについて説明する。前提として、第１クライアント１００のネットワークアクセス制御部１０６の監視部１０６ａは、例えば電源投入などの所定のタイミングで、ネットワーク通信の監視を開始している。

制御部（ＣＰＵ）により実行されるアプリケーション１０３（103a又は103ｂ）は、例えばユーザによる操作指示に従って、指定されたネットワーク上のアクセス対象に対するネットワークアクセス（ＮＷアクセス）を開始する（ステップＳ１）。

ネットワークアクセス制御部１０６の監視部１０６ａは、アプリケーション１０３（103a又は103ｂ）によるネットワークアクセス（又はネットワークアクセスイベントともいう）をフックする（ステップＳ２）。

次に、ネットワークアクセス制御部１０６のアクセス制御部１０６ｂは、フックされたアクセスから、アプリケーション１０３を特定するアプリケーション情報（例えば、プロセス番号）を取得し、このアプリケーション情報に基づいて、当該アプリケーション１０３（103a又は103ｂ）のラベルを、ラベル割当部１０２に問い合わせる（ステップＳ３）。

ラベル割当部１０２は、当該アプリケーション情報によって特定されるアプリケーション（ＡＰ）１０３（103a又は103ｂ）に割り当てられているラベルを、内部に記憶しているラベル割り当てリスト（図３参照）から検索し、検索結果をアクセス制御部１０６ｂへ通知する（ステップＳ４）。

アクセス制御部１０６ｂは、アプリケーション１０３のラベルをラベル割当部１０２から取得すると、フックしたアクセスからアクセス先を特定するアクセス先情報を取得する。そして、このアクセス先情報に基づいて、アクセス先のフォルダ３０４（204a又204b）に割り当てられているラベルを、サーバ情報記憶部１０４に問い合わせる（ステップＳ５）。例えば、ネットワークアクセスがファイル共有の場合には、サーバ名とアクセス先のフォルダ名とをアクセス先情報として取得することができる。

サーバ情報記憶部１０４は、当該アクセス先情報によって特定されるフォルダのラベルを内部に記憶しているサーバ情報（図４参照）から検索し、検索結果をアクセス制御部１０６ｂへ通知する（ステップＳ６）。

アクセス制御部１０６ｂは、アプリケーション１０３（103a又は103ｂ）のラベルとアクセス先のフォルダのラベルを取得すると、アクセス制御ルール記憶部１０５に記憶されているアクセス制御ルール（図５参照）を参照し、アプリケーションによるネットワークアクセスの可否判定を行なう(ステップＳ７)。例えば、図５に示すように、アプリケーションが機密ラベルであり、アクセス先のフォルダも機密ラベルであるときは、アクセス制御部１０６ｂは、アクセス許可と判定する。また、アプリケーションが一般ラベルであり、アクセス先フォルダも一般ラベルであるときも、アクセス許可と判定する。一方、アクセス制御部１０６ｂは、アプリケーションが一般ラベルであり、アクセス先のフォルダが機密ラベルであるときは、アクセス禁止と判定する。また、アプリケーションが機密ラベルであり、アクセス先のフォルダが一般ラベルであるときは、読み込みのみ許可と判定する。

ステップＳ７の判定において、アクセス禁止と判定された場合（Ｓ７のＮｏ）、アクセス制御部１０６ｂは、アプリケーションからのアクセスを禁止し、処理を終了する。アクセスの禁止方法は、特に限定はないが、例えば、ネットワークアクセスのパケットを廃棄することによって禁止してもよい。

一方、ステップＳ７の判定において、アクセス許可（一部許可を含む）と判定された場合（ステップＳ７のＹｅｓ）、アクセス制御部１０６ｂは、サーバ３００との間で認証が必要か否かを判定する（ステップＳ９）。アクセス制御部１０６ｂは、例えばアクセス先が要認証サーバリストに登録されている場合は、認証必要と判定し、認証部１０７へ認証を要求する（ステップＳ９のＹｅｓ）。なお、例えばアクセス先が要認証サーバリストに登録されていない場合は、アクセス制御部１０６ｂは、認証不要と判定し、認証を要求することなくネットワークアクセスを実行する（ステップＳ１２）。

アクセス制御部１０６ｂからの認証要求を受け付けた認証部１０７は、サーバ３００側の認証部３０２との間で、クライアントにネットワークアクセス制御部１０６が導入されかつ動作していることの認証処理を行う(ステップＳ１０)。なお、認証処理の詳細については後述する。

上記認証処理の結果が成功である場合、認証部１０７は、認証に成功した旨をアクセス制御部１０６ｂに通知する。アクセス制御部１０６ｂは、当該通知により認証成功と判断し（Ｓ１１のＹｅｓ）、フックしていたアプリケーション１０３のネットワークアクセスを、通信部１０１を介して実行する（ステップＳ１２）。

サーバ３００のネットワークアクセス制御部３０７は、第１クライアント１００のアプリケーション１０３よりネットワークアクセスを受け付ける（Ｓ１３）。

次に、第２クライアント２００よるサーバ３００へのネットワークアクセスについて説明する。制御部（ＣＰＵ）により実行される第２クライアント２００のアプリケーション２０２は、例えばユーザによる操作指示に従って、指定されたネットワーク上のアクセス対象に対するネットワークアクセスを、通信部２０１を介して開始する（ステップＳ１４）。

サーバ３００のネットワークアクセス制御部３０７は、第１クライアント１００または第２クライアント１００からネットワークアクセスを受け付ける（ステップＳ１３）と、第２のアクセス制御処理を実行する（Ｓ１５）。ネットワークアクセス制御部３０７による当該第２のアクセス制御処理の詳細については、後述する。

［認証処理の流れ］
次に、図９中のステップＳ１０の認証処理について、図１０を参照しながら詳細に説明する。なお、本実施形態では、チャレンジレスポンス方式により相互認証を行う場合について説明する。しかし、認証方式はこれに限られず、設計等に応じて他の認証方式を適宜採用することができる。

まず、第１クライアント１００側の認証部１０７は、第１チャレンジコードを生成して、これをサーバ３００側の認証部３０２へ送信する（ステップＳ１０−１）。第１チャレンジコードは、例えば乱数を使用して生成することができる。

サーバ３００側の認証部３０２は、第１チャレンジコードを受け取ると、サーバ３００内に保存されている鍵を用いて、第１チャレンジコードから第１レスポンスコードを生成する（ステップＳ１０−２）。例えば認証部３０２は、ＳＨＡ１やＭＤ５などのハッシュ関数を用いて、鍵と第１チャレンジコードを変換することにより、第１レスポンスコードを得ることができる。

次に、認証部３０２は、第２チャレンジコードを生成する（ステップＳ１０−３）。第２チャレンジコードは、例えば乱数を使用して生成することができる。認証部３０２は、生成した第１レスポンスコードと第２チャレンジコードを、第１クライアント１００側の認証部１０７へ送信する（ステップＳ１０−４）。

第１クライアント１００側の認証部１０７は、ネットワークアクセス制御部１０６から鍵を取得する（ステップＳ１０−５）。そして、第１クライアント１００側の認証部１０７は、ステップＳ１０−１で生成した第１チャレンジコードとネットワークアクセス制御部１０６から取得した鍵から、正しい第１レスポンスコードを生成する（ステップＳ１０−６）。

認証部１０７は、ステップＳ１０−６にて生成した正しい第１レスポンスコードと、サーバ３００側の認証部３０２から受け取った第１レスポンスコードとを比較し、両者が一致するか否かを確認する（ステップＳ１０−７）。両者が一致しない場合（ステップＳ１０−７のＮＯ）、認証部１０７は、認証失敗として処理を終了する。一方、両者が一致する場合（ステップＳ１０−７のＹＥＳ）、認証部１０７は、サーバ３００側の認証部３０２から受信した第２チャレンジコードに対する第２レスポンスコードを、ネットワークアクセス制御部１０６から取得した鍵を用いて生成する（ステップＳ１０−８）。認証部１０７は、例えば、ＳＨＡ１やＭＤ５などのハッシュ関数を用いて、鍵と第２チャレンジコードを変換することにより、第２レスポンスコードを得ることができる。

次に、認証部１０７は、オペレーティングシステムから実行中のプロセスリストを取得し、ネットワークアクセス制御部１０６のプロセスＩＤに基づいてネットワークアクセス制御部１０６がプロセスリストに載っているか否かを判定する（ステップＳ１０−９）。ステップＳ１０−９の判定結果が是である場合は（ステップＳ１０−９のＹＥＳ）、認証部１０７は、ネットワークアクセス制御部１０６が動作していると判定し、ステップＳ１０−８にて生成した第２レスポンスコードを、サーバ側３００の認証部３０２へ送信する（ステップＳ１０−１０）。一方、ステップＳ１０−９の判定結果が否である場合は（ステップＳ１０−９のＮＯ）、認証部１０７は、ネットワークアクセス制御部１０６が動作していないと判定し、認証失敗として処理を終了する。

サーバ３００側の認証部３０２は、第２レスポンスコードを受け取ると、ステップＳ１０−３で生成した第２チャレンジコードと鍵とから、正しい第２レスポンスコードを生成する（ステップＳ１０−１１）。認証部３０２は、生成した正しい第２レスポンスコードと、第１クライアント１００側の認証部１０７から受け取った第１レスポンスコードとを比較し、両者が一致するか否かを確かめる（ステップＳ１０−１２）。両者が一致しない場合（ステップＳ１０−１２のＮＯ）、認証部３０２は、認証失敗として処理を終了する。一方、両者が一致する場合は（ステップＳ１０−１２のＹＥＳ）、認証部３０２は、認証成功とし、認証済みクライアントリストに、当該第１クライアント１００を認証済みとして記録する（ステップＳ１０−１３）。例えば、ＩＰを用いて通信している場合には、第１クライアント１００を一意的に特定する識別情報（例えば、ＩＰアドレス、ＤＮＳ名、マシン名など）を認証済みクライアントリスト（図８参照）に記録する。また、認証部３０２は、認証成功の旨を、第１クライアント１００側の認証部１０７へ送信する（ステップＳ１０−１３）。

以上により、ネットワークアクセス制御部１０６が導入されかつ動作していることの認証処理が終了する。

［サーバにおけるアクセス制御処理の流れ］
次に、図９中のステップＳ１５に示すサーバ３００におけるアクセス制御処理について、図１１を参照しながら詳細に説明する。

サーバ３００のネットワークアクセス制御部３０７は、クライアント（１００、２００）からのサーバアプリケーション３０３へのネットワークアクセスを監視し、当該アクセスをフック（検出）すると、当該クライアントが、認証済みクライアントであるか否かを認証部３０２へ問い合わせる（ステップＳ１５−１）。当該問い合わせは、例えばクライアントのＩＰアドレスを含む。

認証部３０２は、例えばクライアントのＩＰアドレスが、内部に記憶された認証済みクライアントリスト（ＣＬリスト）（図８参照）に登録されている場合には、クライアントが認証済みである旨を返信し、登録されていない場合は、認証済みでないことを返信する（ステップＳ１５−２）。

ネットワークアクセス制御部３０７は、問い合わせ結果を認証部３０２より受信し、問合せ結果が是（認証済み）である場合（ステップＳ１５−３のＹＥＳ）、当該アクセスへのアクセス制御はすでに実行済みであると判定し、アクセス制御を行うことなく、当該ネットワークアクセスを実行させる（ステップＳ１５−４）。認証済みクライアントであることが確認されたことにより、クライアント側でアクセス制御が行なわれていることが保証されるので、サーバ側で再度アクセス制御を行う必要が無いからある。

一方、ネットワークアクセス制御部３０７は、問い合わせ結果が否（認証済みではない）である場合は（ステップＳ１５−３のＮＯ）、当該アクセスへのアクセス制御は実行されていないと判定し、サーバ側でアクセス制御を行なう。例えば、当該アクセスが、ネットワークアクセス制御部１０６が動作していない第１クライアント１００からのネットワークアクセス、もしくは、ネットワークアクセス制御部が導入されていない第２クライアント２００からのネットワークアクセスなどの場合である。ネットワークアクセス制御部３０７は、受け付けたネットワークアクセスからアクセス先を特定するアクセス先情報を取得し、このアクセス先情報に基づいて、アクセス先のフォルダ３０４（204a又204b）に割り当てられているラベルを、サーバ情報記憶部３０５に問い合わせる（ステップＳ１５−５）。

サーバ情報記憶部３０５は、当該アクセス先情報によって特定されるフォルダのラベルを内部に記憶しているサーバ情報（図４参照）から検索し、検索結果をネットワークアクセス制御部３０７へ通知する（ステップＳ１５−６）。

次に、ネットワークアクセスにはアプリケーションのラベルを特定する情報が含まれていない、もしくは、アクセスしようとするアプリケーションにはラベルがもともと設定されていないので、ネットワークアクセス制御部３０７は、当該アプリケーションのラベルに仮ラベルを設定する（Ｓ１５−７）。仮ラベルの内容は、仕様等に応じて適宜設定することができるが、本実施形態では、一例として、「一般」レベルが設定される。

ネットワークアクセス制御部３０７は、アプリケーションに設定された仮ラベルとアクセス先のフォルダのラベルとに基づいて、アクセス制御ルール記憶部３０６に記憶されているアクセス制御ルール（図５参照）を参照することにより、アクセス可否を判定する（Ｓ１５−８）。例えば、当該アプリケーションには仮ラベルとして「一般」が設定されているので、アクセス先のフォルダに「機密」ラベルが設定されている場合は、アクセスを禁止する一方、アクセス先のフォルダに「一般」ラベルが設定されている場合は、アクセスを許可する。

判定結果がアクセス禁止の場合は（Ｓ１５−９のＮＯ）、ネットワークアクセス制御部３０７は、当該アプリケーションからフォルダへのネットワークアクセスを禁止する（Ｓ１５−１１）。アクセスの禁止方法は、特に限定はないが、例えば、ネットワークアクセスのパケットを廃棄することによって禁止してもよい。また、例えば、サーバアプリケーション３０３が確実にエラーを返すように、ネットワークアクセスの命令を不正な命令に書き換えることにより、アクセスを禁止してもよい。

一方、判定結果がアクセス許可の場合は、ネットワークアクセス制御部３０７は、当該アプリケーションからフォルダへのネットワークアクセスを実行させる（ステップＳ１５−１０。）

以上、第１の実施形態に係る機密情報漏洩防止システムでは、クライアント側にネットワークアクセス制御部等を設けることしたので、クライアントが自らマルチレベルセキュリティを実現するためのアクセス制御を実行することが可能になる。そして、上記機密情報漏洩防止システムでは、サーバ側のネットワークアクセス制御部は、クライアント側でネットワークアクセス制御が行われている場合は、アクセス制御を行わない一方、クライアント側でネットワークアクセス制御が行われていない場合は、アクセス制御を行うこととしている。これにより、ネットワークアクセス制御の負荷をサーバ側とクライアント側に分散させることができるようになる。その結果、クライアント端末が多数存在する場合にも、サーバとクライアント間の通信をより高速に行うことが可能なネットワーク対応のマルチレベルセキュリティシステムを提供することができるようになる。

また、上記機密情報漏洩防止システムでは、クライアント側のネットワークアクセス制御部もサーバ側のネットワークアクセス制御部も、同じサーバ情報及びアクセス制御ルールに基づいてアクセス制御を実行するので、認証履歴の有無により認証結果に相違が生じることがない。従って、ユーザの作業の利便性が低下することを防止することができる。

また、上記機密情報漏洩防止システムでは、サーバ側のネットワークアクセス制御部は、認証済みクライアント以外のクライアントからのアクセスについて、例えば仮ラベルを設定することによりアクセス制御を行う。従って、例えば社外から持ち込まれたクライアントのように、認証に失敗するクライアントについても、サーバへのアクセスが一切禁止されることなく、一般フォルダ等については使用することが可能となる。その結果、情報漏洩を防止しながら、ユーザの作業の利便性を向上することができるようになる。

また、上記機密情報漏洩防止システムでは、サーバの認証部は、クライアント側のネットワークアクセス制御部が動作していない場合、当該クライアントを認証しない。その結果、ネットワークアクセス制御部が動作していないクライアントからのネットワークアクセスについても、サーバ側でアクセス制御が行なわれるため、より確実に情報漏洩を防ぐことが出来るようになる。

［第１の実施形態の変形例］
サーバ３００は、従来技術を適用したクライアント（図示せず）から、アプリケーションのラベルを含むネットワークアクセス要求を受信した場合には、従来技術に従って、当該ラベルに従いアクセス制御を実行するようにしてもよい。

また、上記の説明では、サーバ３００側の認証部３０２が認証済みクライアントリスト（図８）を保持したが、第１クライアント１００側の認証部１０７も、認証済みのサーバ３００のＩＰアドレスや名前を記録した認証済みサーバリストを保持してもよい。この場合、第１クライアント１００側の認証部１０７は、図９のステップＳ９に示す認証要否判定の際に、認証済みサーバリストを参照することにより、該当サーバが認証済みサーバであるか否かを判定し、認証済みサーバであると判定した場合は、当該サーバとの認証処理を省略することができる。これによれば、認証を必要とするサーバとの通信の際に認証処理を省略することができるので、負荷が軽減されるとともに、より高速に通信を行うことが可能になる。

また、認証済みクライアントリストは、図８のように、認証が有効な残り時間をさらに記憶することができる。この場合、サーバ３００側の認証部３０２は、有効時間を所定タイミング（例えば、毎秒）に従って減算し、有効時間が０になったとき、認証部３０２は、リストから当該エントリを削除するようにしてもよい。また、有効時間が０になる前に、再度認証処理を行い、認証の有効時間をリセットするようにしてもよい。この場合、一定時間ごとに認証が行われるので、正規の第１クライアント１００やサーバ３００が、不正なクライアントやサーバへ置き換えられることを防止できる。

さらにまた、認証部３０２の認証済みクライアントリストや認証部１０７の認証済みサーバリストは、ＩＰアドレスや名前のみを記録するのみではなく、第１クライアント１００のアプリケーション１０３が使用するポート番号も記録してもよい。そして、アプリケーション１０３が終了し、ネットワークコネクションが切断されると、ポート番号をもとに、認証済みクライアントリストや認証済みサーバリストから、エントリを削除するようにしてもよい。この動作の場合、アプリケーション１０３が通信を行う間のみ再認証が行われるため、不必要な再認証を回避できる。

また、上記の説明では、ラベルは、機密と一般の２種類で説明したが、２種類以上のラベルを用いてもよい。例えば、機密、極秘、秘、区分外のような４種類のラベルを割り当てても良い。この場合、ネットワークアクセス制御部１０６は、一般的なマルチレベルセキュリティシステムと同様に、セキュリティレベルの低いラベルをもつアプリケーション１０３やフォルダ３０４からセキュリティレベルの高いラベルをもつアプリケーション１０３やフォルダ３０４への情報の流通を禁止する。

また、上記の説明では、第１クライアント１００の一般アプリケーション１０３ａと、第２クライアント２００のアプリケーション２０２には、同一のセキュリティレベルが適用される場合について説明したが、異なるセキュリティレベルを適用してもよい。例えば、一般アプリケーション１０３ａには「一般」ラベルを、アプリケーション２０２には「未分類」ラベルを設定し、「未分類」は「一般」よりも低いセキュリティレベルを割り当てても良い。この場合、より細かなアクセス制御を行なうことが出来るようになる。

また、上記の説明では、１回のネットワークアクセスでアクセスされるフォルダは１つとして説明していたが、複数のフォルダにアクセスしてもよい。この場合、初回のアクセスのときに、ネットワークアクセス制御手段３０７は、アクセスしてきたクライアントが認証済みか否かを確認し、認証済みで無ければ、フォルダにアクセスするたびに、アクセス可否の判定と制御を行なうようにしてもよい。

さらにまた、上記の説明では、ネットワークアクセス制御部１０６およびネットワークアクセス制御部３０７は、アプリケーション１０３のネットワークアクセスを許可する場合について説明したが、ラベルに応じて暗号化やログの記録などの処理を行っても良い。これによれば、セキュリティレベルに応じてセキュリティ機能を制御可能なシステムを提供できる。

また、上記の説明では、ネットワークアクセス制御部１０６およびネットワークアクセス制御部３０７は、フォルダ３０４に対する読み書きを制御する場合について説明したが、ネットワークアクセス制御の内容は、これに限られない。例えば、アプリケーションによるネットワークアクセスが、フォルダへの読み書きではなく、電子メールの送受信であるような場合、ネットワークアクセス制御部１０６は、当該メールアドレスに対する送受信の制御を行ってもよい。また、サーバ３００のプロセスへの通信を制御するようにしてもよい。

また、上述したネットワークアクセス制御部（１０６、３０７）の要認証サーバリストや、サーバ情報記憶部（１０４、３０５）のフォルダのラベル情報を記録したデータベースを、ユーザごとに定義し、ログインするユーザによって、要認証サーバリストやデータベースを切り替えるように構成することができる。この動作によって、ユーザに応じたアクセス制御を行うことができる。

また、第１クライアント１００の認証部１０７とサーバ３００側の認証部３０２は、認証処理中の所定のタイミングで、ネットワークアクセス制御部１０６の改ざん等が行われていないことを確認するようにしてもよい。この確認方法に特に限定はないが、例えば、図１０中のステップＳ１０−１０のタイミングで、認証部１０７は、ネットワークアクセス制御部１０６の実行バイナリのハッシュ値を、サーバ３００側の認証部３０２へ送信する。サーバ３００側の認証部３０２は、認証部１０７から受信したハッシュ値と、予め保持しているネットワークアクセス制御部１０６の実行バイナリのハッシュ値とを比較し、両者が一致するか否か判定する。両者が一致する場合、認証部３０２は、ネットワークアクセス制御部１０６の改ざん等が行われていないことを確認する。一方、両者が一致しない場合は、認証部３０２は、ネットワークアクセス制御部１０６の改ざん等が行われたと判定し、認証失敗として処理を終了する。

また、上記の説明では、アクセス制御部１０６ｂが、要認証サーバリストを保持し、この要認証サーバリストを参照することにより認証の要否を判定する場合について説明したが、認証の要否を判定する方法は、これに限られない。例えば、アクセス制御部１０６ｂは、サーバ情報記憶部１０４が保持するサーバ／フォルダ情報（図４参照）を用いて認証の要否を判定することができる。具体的には、アクセス制御部１０６ｂは、アクセス先のサーバのサーバ／フォルダ情報をサーバ情報記憶部１０４から取得し、取得したフォルダ情報に機密フォルダが含まれる場合には、当該サーバは機密フォルダを保持しているので、認証が必要なサーバと判定することができる。

また、上記の説明では、認証部１０７は、鍵によるネットワークアクセス制御部１０６の導入確認と、プロセスリストによるネットワークアクセス制御部１０６の動作確認とを行う場合について説明したが、導入確認のみを行うようにしてもよい。具体的には、認証部１０７は、図１０のステップＳ１０−８の処理を実行後、ステップＳ１０−９の処理を省略して、ステップＳ１０−１０の処理を実行することができる。これによれば、認証処理をより高速に行うことが可能になる。

［第２の実施形態］
次に、第２の実施形態について図１１を参照して詳細に説明する。第１の実施形態と同様箇所については、説明を省略する。第２の実施形態では、図１１に示すように、第１クライアント１００が、設定受信部１１０、サーバ３００が設定受信部３１０をさらに備え、設定送信サーバ４００が設定送信部４０１を備えている点が、第１の実施形態と異なっている。なお、第２クライアントは、説明の便宜上、記載を省略している。

設定送信サーバ４００の設定送信部４０１は、サーバ情報と、要認証サーバリスト及び認証用の鍵を内部に記憶している。設定送信部４０１は、サーバ情報、要認証サーバリスト及び認証用の鍵を第１クライアント１００の設定受信部１１０へ送信し、サーバ情報及び認証用の鍵をサーバ３００の設定受信部３１０へそれぞれ送信する。

第１クライアント１００の設定受信部１１０は、サーバ情報、要認証サーバリスト及び認証用の鍵を受信すると、サーバ情報記憶部１０４に記憶されているサーバ情報、ネットワークアクセス制御部１０６に記憶されている要認証サーバリスト及び認証用の鍵を、それぞれ更新する。一方、サーバ３００の設定受信部３１０は、サーバ情報と認証用の鍵を受信すると、サーバ情報記憶部３０５に記憶されているサーバ情報や、認証部３０２が保持する鍵を更新する。

第２の形態によれば、サーバ情報、要認証サーバリスト及び認証に用いる鍵を、遠隔から更新することが可能になる。特に、第１クライアント１００やサーバ３００が複数台あるような場合には、管理を効率化することができる。

［その他の実施形態］
なお、本発明は、上記した実施の形態に限定されるものではなく、本発明の要旨を逸脱しない範囲内において、他の様々な形で実施することができる。このため、上記実施形態はあらゆる点で単なる例示にすぎず、限定的に解釈されるものではない。例えば、上述の各処理ステップは処理内容に矛盾を生じない範囲で任意に順番を変更して又は並列に実行することができる。

上述した実施形態では一つの装置でサーバ３００を実現しているが、本発明は複数の装置でサーバ３００を実現することもできる。この場合には、上述した実施形態におけるサーバ３００が有する各機能を複数の装置に分散し、これら複数の装置群を上述した実施形態におけるサーバ３００と同様に機能させればよい。

この出願は、２０１０年６月２５日に出願された日本出願特願２０１０−１４５０９９を基礎とする優先権を主張し、その開示の全てをここに取り込む。

以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。

（付記１）
ネットワークアクセス要求を送信するアプリケーションプログラムを有する２以上のクライアントと、サーバと、がネットワークを介して通信可能に構成される機密情報漏洩防止システムであって、前記２以上のクライアントのうちの少なくとも１のクライアントは、前記アプリケーションプログラムから送信される前記サーバへのネットワークアクセス要求を、当該アプリケーションプログラムに割り当てられているセキュリティレベルに基づいて制御する第１ネットワークアクセス制御手段を有し、前記サーバは、前記２以上のクライアントのうちの１のクライアントから送信されるネットワークアクセス要求について、当該ネットワークアクセス要求を送信したクライアントに第１ネットワークアクセス制御手段が導入されているかを判定し、判定結果が是である場合は、当該ネットワークアクセス要求を許可し、判定結果が否である場合は、当該ネットワークアクセス要求のアクセス対象に割り当てられているセキュリティレベルに基づいて当該ネットワークアクセス要求を制御する第２ネットワークアクセス制御手段を有する、ことを特徴とする機密情報漏洩防止システム。

（付記２）
前記第１ネットワークアクセス制御手段を有するクライアントは、前記第１ネットワークアクセス制御手段が導入されていることを前記サーバとの間で認証する認証処理を実行する第１認証手段を有し、前記サーバは、前記第１ネットワークアクセス制御手段を有するクライアントとの間で前記認証処理を実行し、当該認証処理が成功した場合に、当該クライアントを認証済みクライアントとして登録する第２認証手段を有し、前記第２ネットワークアクセス制御手段は、前記ネットワークアクセス要求を送信したクライアントが、前記認証済みクライアントとして登録されている場合は、当該クライアントに前記第１ネットワークアクセス制御手段が導入されていると判定することを特徴とする付記１に記載の機密情報漏洩防止システム。

（付記３）
前記第２ネットワークアクセス制御手段は、前記判定結果が否である場合は、前記ネットワークアクセス要求を送信したアプリケーションに仮のセキュリティレベルを設定し、当該設定した仮のセキュリティレベルと、前記アクセス対象に割り当てられているセキュリティレベルと、に基づいて当該ネットワークアクセス要求を制御することを特徴とする付記１または２に記載の機密情報漏洩防止システム。

（付記４）
前記第１認証手段は、前記第１ネットワークアクセス制御手段が保持する鍵を用いて前記第２の認証手段との間で前記認証処理を実行することを特徴とする付記２または３に記載の機密情報漏洩防止システム。

（付記５）
前記第１認証手段は、第１の乱数を利用して生成した第１チャレンジコードを前記サーバへ送信する第１送信手段と、前記サーバより送信された、前記第１チャレンジコードに基づく第１レスポンスコードと、第２チャレンジコードと、を受信する第１受信手段と、前記第１ネットワークアクセス制御手段が保持する第１の鍵と、前記生成した第１チャレンジコードとに基づいて、第１レスポンスコードを生成する第１レスポンスコード生成手段と、前記第１受信手段が受信した第１レスポンスコードと、前記第１レスポンスコード生成手段が生成した第１レスポンスコードとが一致するか否かを判定する第１判定手段と、前記第１判定手段による判定結果が是である場合、前記第１受信手段が受信した第２チャレンジコードから生成した第２レスポンスコードを前記サーバへ送信する第２送信手段と、を備え、前記第２認証手段は、前記第１クライアントより送信された第１チャレンジコードから前記第２認証手段が保持する第２の鍵を用いて生成した第１レスポンスコードと、第２の乱数を利用して生成した第２チャレンジコードとを、前記クライアントへ送信する第３送信手段と、前記第１クライアントから送信された、前記第２チャレンジコードに基づく第２レスポンスコードを受信する第２受信手段と、前記第２の鍵と前記生成した第２チャレンジコードとに基づいて、第２レスポンスコードを生成する第２レスポンスコード生成手段と、前記第１クライアントから送信された第２レスポンスコードと、前記第２レスポンスコード生成手段が生成した第２レスポンスコードとが一致するか否かを判定し、判定結果が是である場合に、前記認証処理が成功したとする第２判定手段と、を備えることを特徴とする付記２乃至４いずれか１項に記載の機密情報漏洩防止システム。

（付記６）
前記第１認証手段は、前記第１ネットワークアクセス制御手段が動作していることを条件に、前記サーバとの間で前記認証処理を実行することを特徴とする付記２乃至５いずれか１項に記載の機密情報漏洩防止システム。

（付記７）
前記第１認証手段は、オペレーティングシステムから実行中のプロセスリストを取得し、当該取得したプロセスリストに前記第１ネットワークアクセス制御手段が含まれている否かを確認することにより、前記第１ネットワークアクセス制御手段が動作しているか否かを判断することを特徴とする付記６に記載の機密情報漏洩防止システム。

（付記８）
ネットワークアクセス要求を送信するアプリケーションプログラムを有する２以上のクライアントとサーバとがネットワークを介して通信可能に構成される機密情報漏洩防止システムにおける機密情報漏洩防止方法であって、前記２以上のクライアントのうちの少なくとも１のクライアントは、前記アプリケーションプログラムから送信される前記サーバへのネットワークアクセス要求を、当該アプリケーションプログラムに割り当てられているセキュリティレベルに基づいて制御する第１ネットワークアクセス制御ステップを実行し、前記サーバは、前記２以上のクライアントのうちの１のクライアントから送信されるネットワークアクセス要求について、当該ネットワークアクセス要求を送信したクライアントにおいて、前記第１ネットワークアクセス制御ステップが実行されたかを判定し、判定結果が是である場合は、当該ネットワークアクセス要求を許可し、判定結果が否である場合は、当該ネットワークアクセス要求のアクセス対象に割り当てられているセキュリティレベルに基づいて当該ネットワークアクセス要求を制御する第２ネットワークアクセス制御テップ、を実行する、ことを特徴とする機密情報漏洩防止方法。

（付記９）
ネットワークアクセス要求を送信するアプリケーションプログラムを有する２以上のクライアントのうちの少なくとも１のクライアントに、前記アプリケーションプログラムから送信される前記サーバへのネットワークアクセス要求を、当該アプリケーションプログラムに割り当てられているセキュリティレベルに基づいて制御する第１ネットワークアクセス制御ステップを実行させ、前記サーバに、前記２以上のクライアントのうちの１のクライアントから送信されるネットワークアクセス要求について、当該ネットワークアクセス要求を送信したクライアントにおいて、前記第１ネットワークアクセス制御ステップが実行されたかを判定し、判定結果が是である場合は、当該ネットワークアクセス要求を許可し、判定結果が否である場合は、当該ネットワークアクセス要求のアクセス対象に割り当てられているセキュリティレベルに基づいて当該ネットワークアクセス要求を制御する第２ネットワークアクセス制御テップ、を実行させるためのプログラム。

本発明は、クライアント端末が多数存在する場合にも、高速通信を行い、かつ、ユーザの作業の利便性を向上させることができるネットワーク対応のマルチレベルセキュリティシステムを提供することに適している。

１０…ＣＰＵ、１１…ＲＯＭ、１２…ＲＡＭ、１３…外部記憶装置、１４…通信インタフェース、１５…入力インタフェース、１６…出力インタフェース、１００…クライアント、１０１…通信部、１０２…ラベル割当部、１０３…アプリケーション、１０３ａ…一般アプリケーション、１０３ｂ…機密アプリケーション、１０４…サーバ情報記憶部、１０５…アクセス制御ルール記憶部、１０６…ネットワークアクセス制御部、１０６ａ…監視部、１０６ｂ…アクセス制御部、１０７…認証部、２００…クライアント、２０１…通信部、２０２…アプリケーション、３００…サーバ、３０１…通信部、３０２…認証部、３０３…サーバアプリケーション、３０４…フォルダ、３０４ａ…一般フォルダ、３０４ｂ…機密フォルダ、３０５…サーバ情報記憶部、３０６…アクセス制御ルール記憶部、３０７…ネットワークアクセス制御部、Ｎ…ネットワーク

Claims (12)

1. ネットワークアクセス要求を送信するアプリケーションプログラムを有する２以上のクライアントと、サーバと、がネットワークを介して通信可能に構成される機密情報漏洩防止システムであって、
   前記２以上のクライアントのうちの少なくとも１のクライアントは、前記アプリケーションプログラムから送信される前記サーバへのネットワークアクセス要求を、当該アプリケーションプログラムに割り当てられているセキュリティレベルに基づいて制御する第１ネットワークアクセス制御手段を有し、
   前記サーバは、
   前記２以上のクライアントのうちの１のクライアントから送信されるネットワークアクセス要求について、当該ネットワークアクセス要求を送信したクライアントに第１ネットワークアクセス制御手段が導入されているかを判定し、判定結果が是である場合は、当該ネットワークアクセス要求を許可し、判定結果が否である場合は、当該ネットワークアクセス要求のアクセス対象に割り当てられているセキュリティレベルに基づいて当該ネットワークアクセス要求を制御する第２ネットワークアクセス制御手段を有する、
   ことを特徴とする機密情報漏洩防止システム。
2. 前記第１ネットワークアクセス制御手段を有するクライアントは、
   前記第１ネットワークアクセス制御手段が導入されていることを前記サーバとの間で認証する認証処理を実行する第１認証手段を有し、
   前記サーバは、
   前記第１ネットワークアクセス制御手段を有するクライアントとの間で前記認証処理を実行し、当該認証処理が成功した場合に、当該クライアントを認証済みクライアントとして登録する第２認証手段を有し、
   前記第２ネットワークアクセス制御手段は、
   前記ネットワークアクセス要求を送信したクライアントが、前記認証済みクライアントとして登録されている場合は、当該クライアントに前記第１ネットワークアクセス制御手段が導入されていると判定することを特徴とする請求項１に記載の機密情報漏洩防止システム。
3. 前記第２ネットワークアクセス制御手段は、
   前記判定結果が否である場合は、前記ネットワークアクセス要求を送信したアプリケーションに仮のセキュリティレベルを設定し、当該設定した仮のセキュリティレベルと、前記アクセス対象に割り当てられているセキュリティレベルと、に基づいて当該ネットワークアクセス要求を制御することを特徴とする請求項１または２に記載の機密情報漏洩防止システム。
4. 前記第１認証手段は、
   前記第１ネットワークアクセス制御手段が保持する鍵を用いて前記第２の認証手段との間で前記認証処理を実行することを特徴とする請求項２または３に記載の機密情報漏洩防止システム。
5. 前記第１認証手段は、
   第１の乱数を利用して生成した第１チャレンジコードを前記サーバへ送信する第１送信手段と、
   前記サーバより送信された、前記第１チャレンジコードに基づく第１レスポンスコードと、第２チャレンジコードと、を受信する第１受信手段と、
   前記第１ネットワークアクセス制御手段が保持する第１の鍵と、前記生成した第１チャレンジコードとに基づいて、第１レスポンスコードを生成する第１レスポンスコード生成手段と、
   前記第１受信手段が受信した第１レスポンスコードと、前記第１レスポンスコード生成手段が生成した第１レスポンスコードとが一致するか否かを判定する第１判定手段と、
   前記第１判定手段による判定結果が是である場合、前記第１受信手段が受信した第２チャレンジコードから生成した第２レスポンスコードを前記サーバへ送信する第２送信手段と、を備え、
   前記第２認証手段は、
   前記第１クライアントより送信された第１チャレンジコードから前記第２認証手段が保持する第２の鍵を用いて生成した第１レスポンスコードと、第２の乱数を利用して生成した第２チャレンジコードとを、前記クライアントへ送信する第３送信手段と、
   前記第１クライアントから送信された、前記第２チャレンジコードに基づく第２レスポンスコードを受信する第２受信手段と、
   前記第２の鍵と前記生成した第２チャレンジコードとに基づいて、第２レスポンスコードを生成する第２レスポンスコード生成手段と、
   前記第１クライアントから送信された第２レスポンスコードと、前記第２レスポンスコード生成手段が生成した第２レスポンスコードとが一致するか否かを判定し、判定結果が是である場合に、前記認証処理が成功したとする第２判定手段と、
   を備えることを特徴とする請求項２乃至４いずれか１項に記載の機密情報漏洩防止システム。
6. 前記第１認証手段は、
   前記第１ネットワークアクセス制御手段が動作していることを条件に、前記サーバとの間で前記認証処理を実行することを特徴とする請求項２乃至５いずれか１項に記載の機密情報漏洩防止システム。
7. 前記第１認証手段は、
   オペレーティングシステムから実行中のプロセスリストを取得し、当該取得したプロセスリストに前記第１ネットワークアクセス制御手段が含まれている否かを確認することにより、前記第１ネットワークアクセス制御手段が動作しているか否かを判断することを特徴とする請求項６に記載の機密情報漏洩防止システム。
8. ネットワークアクセス要求を送信するアプリケーションプログラムを有する２以上のクライアントとサーバとがネットワークを介して通信可能に構成される機密情報漏洩防止システムにおける機密情報漏洩防止方法であって、
   前記２以上のクライアントのうちの少なくとも１のクライアントは、前記アプリケーションプログラムから送信される前記サーバへのネットワークアクセス要求を、当該アプリケーションプログラムに割り当てられているセキュリティレベルに基づいて制御する第１ネットワークアクセス制御ステップを実行し、
   前記サーバは、
   前記２以上のクライアントのうちの１のクライアントから送信されるネットワークアクセス要求について、当該ネットワークアクセス要求を送信したクライアントにおいて、前記第１ネットワークアクセス制御ステップが実行されたかを判定し、判定結果が是である場合は、当該ネットワークアクセス要求を許可し、判定結果が否である場合は、当該ネットワークアクセス要求のアクセス対象に割り当てられているセキュリティレベルに基づいて当該ネットワークアクセス要求を制御する第２ネットワークアクセス制御テップ、を実行する、
   ことを特徴とする機密情報漏洩防止方法。
9. ネットワークアクセス要求を送信するアプリケーションプログラムを有する２以上のクライアントのうちの少なくとも１のクライアントに、前記アプリケーションプログラムから送信される前記サーバへのネットワークアクセス要求を、当該アプリケーションプログラムに割り当てられているセキュリティレベルに基づいて制御する第１ネットワークアクセス制御ステップを実行させ、
   前記サーバに、
   前記２以上のクライアントのうちの１のクライアントから送信されるネットワークアクセス要求について、当該ネットワークアクセス要求を送信したクライアントにおいて、前記第１ネットワークアクセス制御ステップが実行されたかを判定し、判定結果が是である場合は、当該ネットワークアクセス要求を許可し、判定結果が否である場合は、当該ネットワークアクセス要求のアクセス対象に割り当てられているセキュリティレベルに基づいて当該ネットワークアクセス要求を制御する第２ネットワークアクセス制御テップ、を実行させるためのプログラム。
10. ネットワークアクセス要求を送信するアプリケーションプログラムを有する２以上のクライアントと、ネットワークを介して通信可能に構成されるサーバであって、
    前記２以上のクライアントのうちの少なくとも１のクライアントは、前記アプリケーションプログラムから送信される前記サーバへのネットワークアクセス要求を、当該アプリケーションプログラムに割り当てられているセキュリティレベルに基づいて制御する第１ネットワークアクセス制御手段を有し、
    前記サーバは、
    前記２以上のクライアントのうちの１のクライアントから送信されるネットワークアクセス要求について、当該ネットワークアクセス要求を送信したクライアントに第１ネットワークアクセス制御手段が導入されているかを判定し、判定結果が是である場合は、当該ネットワークアクセス要求を許可し、判定結果が否である場合は、当該ネットワークアクセス要求のアクセス対象に割り当てられているセキュリティレベルに基づいて当該ネットワークアクセス要求を制御する第２ネットワークアクセス制御手段を有する、
    ことを特徴とするサーバ。
11. ネットワークアクセス要求を送信するアプリケーションプログラムを有する２以上のクライアントと、ネットワークを介して通信可能に構成されるサーバにおける機密情報漏洩防止方法であって、
    前記２以上のクライアントのうちの少なくとも１のクライアントは、前記アプリケーションプログラムから送信される前記サーバへのネットワークアクセス要求を、当該アプリケーションプログラムに割り当てられているセキュリティレベルに基づいて制御する第１ネットワークアクセス制御ステップを実行し、
    前記サーバは、
    前記２以上のクライアントのうちの１のクライアントから送信されるネットワークアクセス要求について、当該ネットワークアクセス要求を送信したクライアントにおいて、前記第１ネットワークアクセス制御ステップが実行されたかを判定し、判定結果が是である場合は、当該ネットワークアクセス要求を許可し、判定結果が否である場合は、当該ネットワークアクセス要求のアクセス対象に割り当てられているセキュリティレベルに基づいて当該ネットワークアクセス要求を制御する第２ネットワークアクセス制御テップ、を実行する、
    ことを特徴とする方法。
12. コンピュータを、
    ネットワークアクセス要求を送信するアプリケーションプログラムを有する２以上のクライアントと、ネットワークを介して通信可能に構成されるサーバ、として機能させるプログラムであって、
    前記２以上のクライアントのうちの少なくとも１のクライアントは、前記アプリケーションプログラムから送信される前記サーバへのネットワークアクセス要求を、当該アプリケーションプログラムに割り当てられているセキュリティレベルに基づいて制御する第１ネットワークアクセス制御手段を有し、
    前記プログラムは、
    前記２以上のクライアントのうちの１のクライアントから送信されるネットワークアクセス要求について、当該ネットワークアクセス要求を送信したクライアントに第１ネットワークアクセス制御手段が導入されているかを判定し、判定結果が是である場合は、当該ネットワークアクセス要求を許可し、判定結果が否である場合は、当該ネットワークアクセス要求のアクセス対象に割り当てられているセキュリティレベルに基づいて当該ネットワークアクセス要求を制御する第２ネットワークアクセス制御手段、として機能させるプログラム。

Images