トップ :: G 物理学 :: G06 計算;計数




【発明の名称】 データセンター、セキュリティポリシー作成方法及びセキュリティシステム
【発明者】 【氏名】佐藤 英明
【要約】 【課題】セキュリティポリシーの作成を的確に行い、その作成に要する時間を短縮し、ユーザシステムとデータセンター間のセキュリティポリシーを容易に合致させ、且つ、不正アクセスを阻止することを目的とする。

【解決手段】ユーザは、センターにアクセスして、ユーザの業種等を考慮して適する雛形を選択する（Ｓ１０１）。センターは、雛形と参考資料をユーザの端末からプリントアウトする（Ｓ１０２）。ユーザは、プリントした雛形を修正し（Ｓ１０３）。雛形の修正部分のデータを入力する（Ｓ１０４）。センターは、入力されたデータに基づいて、セキュリティポリシーを生成し、ユーザの端末でプリントアウトする（Ｓ１０５）。ユーザは、このセキュリティポリシーを確認又は一部修正して確定する（Ｓ１０６）。センターは、確定されたセキュリティポリシーをシステムに反映する（Ｓ１０７）。
【特許請求の範囲】
【請求項１】 ユーザのデータを管理し、セキュリティポリシーの作成を支援するセキュリティポリシー作成支援装置を有するデータセンターであって、前記セキュリティポリシー作成支援装置は、複数の雛形のセキュリティポリシーが格納されているデータベースを有し、ユーザは、前記データベースに格納されている雛形のセキュリティポリシーを修正することにより、ユーザのセキュリティポリシーを作成し、作成されたセキュリティポリシーに基づいて、当該ユーザに係るデータセンターのシステムが変更されることを特徴とするデータセンター。
【請求項２】 請求項１記載のデータセンターにおいて、電子認証装置を設け、データセンターへのアクセスの度に、電子認証を行うことにより、不正アクセスを阻止することを特徴とするデータセンター。
【請求項３】 ユーザのデータを管理するデータセンターは、複数の雛形のセキュリティポリシーを前記ユーザに提供するステップと、前記ユーザは、雛形から、自己に見合ったセキュリティポリシーを選択するステップと、前記データセンターは、雛形に対応した参考資料を、前記ユーザに提供するステップと、前記ユーザは、前記雛形のセキュリティポリシーを修正することにより、自己のセキュリティポリシーを作成して、前記データセンターに通知するステップとを有することを特徴とするセキュリティポリシー作成方法。
【請求項４】 請求項３記載のセキュリティポリシー作成方法により作成されたセキュリティポリシーに基づいて、当該ユーザに係るデータセンターのシステム又は／及び当該ユーザのユーザシステムのセキュリティに係るパラメータが変更されることを特徴とするセキュリティシステム。
【請求項５】 ユーザシステムのセキュリティと、ユーザのデータを管理するデータセンターのセキュリティとを管理するセキュリティシステムであって、ユーザシステムとデータセンターのユーザデータとを、同一管理端末で管理することを特徴とするセキュリティシステム。
【発明の詳細な説明】【０００１】
【発明の属する技術分野】本発明は、データセンター、セキュリティポリシー作成方法及びセキュリティシステムに係り、特に、ユーザのデータ等を集中的に管理するデータセンター、セキュリティポリシー作成方法及びセキュリティシステムに関する。
【０００２】
【従来の技術】近来、ユーザは、インターネットサーバのためのコンピュータを購入し、これを自社内で、管理するのではなく、外部のハウジングサービスを行うデータセンターに委託して管理することが行われている。
【０００３】図５に従来のハウジングサービスを行うデータセンターの例を示す。
【０００４】図５は、ユーザシステム２０１〜２０Ｎ、データセンター１０から構成されている。ユーザシステム２０１〜２０Ｎは、ファイアウォール２１１〜２１Ｎ及び専用線１３１〜１２Ｎを介して、データセンター１０と接続されている。
【０００５】データセンター１０は、ユーザのインターネットサーバ１１１〜１１Ｎと、インタフェース部１２から構成されている。
【０００６】インターネットサーバ１１１〜１１Ｎのコンテンツ、コンピュータ等は、ユーザの所有物で、インターネットサーバの運用をユーザ自身若しくはデータセンター１０が委託されて行っている。なお、データセンターに運用を委託するものとして、インターネットサーバ運用に限らず、データセンターに委託可能なものであれば、これに限られない。また、サーバとなるコンピュータをデータセンターの所有物としてもよい。
【０００７】インタフェース部１２は、ユーザシステム２０１〜２０Ｎとデータセンター１０とのインタフェースを取る。これにより、ユーザシステム２０１〜２０Ｎは、データセンターのインターネットサーバ１１１〜１１Ｎを、自社内のシステムと同じように利用することができる。
【０００８】これにより、ユーザは、インターネットサーバを自社内で維持・管理する場合の人的、設備的負担を軽減することができる。また、データセンターでは、専門家が２４時間監視しており、自社で維持・管理するより、万全を期することができる。このように、ユーザは、インターネットサーバを自社内で維持・管理する場合に比較して、より易いコストで実施できる。
【０００９】
【発明が解決しようとする課題】しかしながら、従来のものは、インタフェース部で、複数のユーザのインターネットサーバへのアクセスをまとめて管理している。
【００１０】そのため、データセンターへのアクセスは、ＩＤ及びパスワードでアクセスを管理しているものの、一のユーザシステムから他のユーザのインターネットサーバに侵入することが、完全に阻止できなかった。
【００１１】また、外部から一のユーザシステムに侵入し、そのユーザシステムの者に成りすましてデータセンターにアクセスすることが完全に防止できなかった。
【００１２】また、データセンターの管理者、ユーザシステムの管理者への内外からの成りすましを完全に阻止できなかった。
【００１３】このように、従来のデータセンターでは、不正アクセスに関する問題があった。
【００１４】また、セキュリティポリシーは、類似例等をベースに検討して作成する必要があり、この類似例の収集及び検討に使用する参考事例の収集に多くの時間を要するという問題がある。また、類似例及び参考事例が的確に収集できないと、的確なセキュリティポリシーが作成できないという問題がある。
【００１５】更に、セキュリティポリシーが作成されても、システムがユーザシステムとデータセンターとに分かれて設置されている場合、そのセキュリティポリシーがユーザシステムとデータセンターとで異なる場合が生じる。ユーザシステムとデータセンターとで、セキュリティポリシーが異なると、使用勝手が良くないばかりか、場合によっては、セキュリティホールがこのために発生するという問題がある。
【００１６】本発明は、上記セキュリティ上の問題に鑑みなされたものであり、セキュリティポリシーの作成を的確に行い、その作成に要する時間を短縮し、ユーザシステムとデータセンター間のセキュリティポリシーを容易に合致させ、且つ、不正アクセスを阻止することを目的とするものである。
【００１７】
【課題を解決するための手段】上記課題を解決するために、本件発明は、以下の特徴を有する手段を採用している。
【００１８】請求項１に記載された発明は、ユーザのデータを管理し、セキュリティポリシーの作成を支援するセキュリティポリシー作成支援装置を有するデータセンターであって、前記セキュリティポリシー作成支援装置は、複数の雛形のセキュリティポリシーが格納されているデータベースを有し、ユーザは、前記データベースに格納されている雛形のセキュリティポリシーを修正することにより、ユーザのセキュリティポリシーを作成し、作成されたセキュリティポリシーに基づいて、当該ユーザに係るデータセンターのシステムが変更されることを特徴とする。
【００１９】請求項１記載の発明によれば、セキュリティポリシー作成支援装置は、複数の雛形のセキュリティポリシーが格納されているデータベースを有し、ユーザは、このデータベースに格納されている雛形のセキュリティポリシーを修正することにより、ユーザのセキュリティポリシーを作成し、作成されたセキュリティポリシーに基づいて、当該ユーザに係るデータセンターのシステムが変更されることにより、セキュリティポリシーの作成を的確に行い、その作成に要する時間を短縮し、ユーザシステムとデータセンター間のセキュリティポリシーを容易に合致させ、且つ、不正アクセスを阻止することができる。
【００２０】請求項２に記載された発明は、請求項１記載のデータセンターにおいて、電子認証装置を設け、データセンターへのアクセスの度に、電子認証を行うことにより、不正アクセスを阻止することを特徴とする。
【００２１】請求項２記載の発明によれば、データセンターへのアクセスの度に、電子認証を行うことにより、不正アクセスを阻止することができる。このように、電子認証を行い各アクセスに対してログをとっていれば、個人別にデータセンターでの処理内容をログの分析により把握することができる。その結果、不正常な処理がおこなわれていれば、その個人にヒヤリング等を行い、不正常な処理を無くすことができる。
【００２２】また、必要に応じて、その個人のアクセスを禁止することもできる。
【００２３】請求項３に記載された発明は、ユーザのデータを管理するデータセンターは、複数の雛形のセキュリティポリシーを前記ユーザに提供するステップと、前記ユーザは、雛形から、自己に見合ったセキュリティポリシーを選択するステップと、前記データセンターは、雛形に対応した参考資料を、前記ユーザに提供するステップと、前記ユーザは、前記雛形のセキュリティポリシーを修正することにより、自己のセキュリティポリシーを作成して、前記データセンターに通知するステップとを有することを特徴とするセキュリティポリシー作成方法である。
【００２４】請求項３記載の発明によれば、ユーザのデータを管理するデータセンターは、複数の雛形のセキュリティポリシーを前記ユーザに提供するステップと、ユーザは、雛形から、自己に見合ったセキュリティポリシーを選択するステップと、データセンターは、雛形に対応した参考資料を、ユーザに提供するステップと、前記ユーザは、雛形のセキュリティポリシーを修正することにより、自己のセキュリティポリシーを作成して、データセンターに通知するステップとを有することにより、ユーザは、システムから提供された的確な類似例と検討に必要な的確な参考事例を十分に参考にして、セキュリティポリシーの検討をおこなうことができるので、セキュリティポリシーの作成を的確に行い、その作成に要する時間を短縮し、ユーザシステムとデータセンター間のセキュリティポリシーを容易に合致させ、且つ、不正アクセスを阻止することができる。
【００２５】請求項４に記載された発明は、請求項３記載のセキュリティポリシー作成方法により作成されたセキュリティポリシーに基づいて、当該ユーザに係るデータセンターのシステム又は／及び当該ユーザのユーザシステムのセキュリティに係るパラメータが変更されることを特徴とするセキュリティシステムである。
【００２６】請求項４記載の発明によれば、セキュリティポリシー作成方法により作成されたセキュリティポリシーに基づいて、当該ユーザに係るデータセンターのシステム又は／及び当該ユーザのユーザシステムのセキュリティに係るパラメータが変更されることにより、データセンターとユーザシステムとは、作成されたセキュリティポリシーに合致したシステムとなる。また、作成されたセキュリティポリシーに基づいて、当該ユーザに係るデータセンターのシステム及び当該ユーザのユーザシステムのセキュリティに係るパラメータが変更さるので、ユーザシステムとデータセンターのユーザデータとでセキュリティに係る処理が一致し、セキュリティホールが発生しない。
【００２７】また、ユーザシステムとデータセンターのユーザデータとでセキュリティに係る処理が一致することから、ユーザシステムとデータセンターのユーザデータの一元管理が容易に且つ的確に行うことが可能となる。
【００２８】請求項５に記載された発明は、ユーザシステムのセキュリティと、ユーザのデータを管理するデータセンターのセキュリティとを一括管理するセキュリティシステムであって、ユーザシステムとデータセンターのユーザデータとを、同一管理端末で管理することを特徴とするセキュリティシステムである。
【００２９】請求項５記載の発明によれば、ユーザシステムとデータセンターのユーザデータとを、同一管理端末で管理することにより、ユーザシステムとデータセンターのユーザデータを一元管理が容易になる。
【００３０】
【発明の実施の形態】次に、本発明の実施の形態について図面と共に説明する。
【００３１】図１に本発明のシステム構成図の例を示す。図１のシステムは、ユーザシステム２０１〜２０Ｎ、データセンター１００から構成されている。ユーザシステム２０１〜２０Ｎは、ファイアウォール２１１〜２１Ｎ及び専用線１３１〜１２Ｎを介して、データセンター１００と接続されている。
【００３２】なお、ユーザシステム２０１〜２０Ｎとデータセンター１００とは、専用線でなく、インターネットで接続されていてもよい。また、各ユーザシステム２０１〜２０Ｎとデータセンター１００とは、ＩＰ−ＶＰＮ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ −Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）を構成してもよい。
【００３３】データセンター１００は、ユーザのインターネットサーバ１１１〜１１Ｎ、ファイアウォール１０１１〜１０１２、ルータ１０２１〜１０２２、認証サーバ１０３、管理・制御装置１０４、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）１０５、セキュリティポリシー作成支援装置１０６及びデータベース１０７から構成されている。
【００３４】ユーザのインターネットサーバ１１１〜１１Ｎは、ユーザのインターネットサーバであり、維持・運用をデータセンターで行っている。なお、ユーザのインターネットサーバ１１１〜１１Ｎは、データセンターがユーザに代わって、維持・運用するものであれば、インターネットサーバに限定されない。
【００３５】ファイアウォール１０１１〜１０１２は、データセンター１００への不正なアクセスを阻止するために設けられる論理的な壁である。パケットフィルタリング方式、アプリケーションゲートウエイ方式等が利用される。
【００３６】例えば、プロトコルに合致しない不正パケットを廃棄したり、通過させてはいけないパケットを廃棄したりする。
【００３７】また、侵入検出装置を有し、不正な侵入があればアラームを鳴らすようにしてもよい。
【００３８】ルータ１０２１〜１０２２は、パケットヘッダの宛先アドレスを参照して、中継を判断する。
【００３９】認証サーバ１０３は、本人であるか否かを認証するサーバである。本人認証のための手段として、指紋、虹彩、声紋等の生物学的な本人の特徴を用いる方法、磁気カード、ＩＣカード等の本人の持ち物による方法、本人のみが記憶している情報による方法等があるが、最適なものが利用される。ログインに続く、入力された本人を特定する情報に基づいて、認証サーバ１０３がアクセスしている者が本人か否かを判定する。
【００４０】管理・制御装置１０４は、データセンター及びユーザシステムと含むシステム全体を制御する装置である。データセンターにおける各アクセスに対して、必要に応じてログをとり、アクセスした者、アクセス開始時刻、アクセス終了時刻等を記録してもよい。また、改竄などの不正が起こった場合、当該アクセスに対して、サービスを停止してもよい。なお、ユーザシステムとデータセンターのユーザデータとを、同一管理端末で管理することから、ユーザシステムとデータセンターのユーザデータを一元管理することが容易となる。
【００４１】また、管理・制御装置１０４は、ユーザシステムとデータセンターとを管理する。管理・制御装置１０４は、管理機能と制御機能を有し、管理機能と制御機能を別々の装置で行うようにしてもよい。このとき、管理装置は、データセンター１００外に設けてもよい。ユーザシステムとデータセンターとを管理する。管理・制御装置１０４が存在しても、ユーザシステム内に、ユーザシステムを管理する制御装置を有していてもよい。なお、この場合、二つの制御装置が存在するので、システムの制御が混乱しないようにする必要がある。
【００４２】ＬＡＮ１０５は、データセンターのネットワークである。ネットワークは二重化構成になっている。また、ルータとファイアウォールも二重化されており、負荷分散も行う。
【００４３】セキュリティポリシー作成支援装置１０６は、ユーザに適した雛形のセキュリティポリシーをユーザに示す。ユーザは、雛形のセキュリティポリシーを修正して、ユーザシステムに適したセキュリティポリシーを作成する。
【００４４】セキュリティポリシー作成支援装置１０６によって、セキュリティポリシーが作成された場合、セキュリティポリシーの項目の内、具体的にシステムに反映すべき事項は、管理・制御装置１０４によって、自動的にシステムの変更（セキュリティに係るパラメータの変更）が成される。このとき、ユーザシステムの変更も同時に変更するようにしてもよい。
【００４５】データベース１０７は、雛形のセキュリティポリシー、セキュリティポリシーを作成するとき参考とする情報、作成されたセキュリティポリシー等が格納されている。
【００４６】図２にユーザシステムの端末から、データセンターにアクセスするフローを説明する。
【００４７】データセンターにアクセスする（Ｓ１１）。データセンターからログイン画面が提供されるので、ＩＤ及びパスワードを入力してログインする（Ｓ１２）。ついで、本人認証画面が提供されるので、本人認証のデータを入力する。認証サーバ１０３が、本人認証を行う（Ｓ１３）。認証サーバ１０３は、本人認証のための手段として、生物学的な本人の特徴を用いる方法、ＩＣカード等の本人の持ち物による方法、本人のみが記憶している情報による方法等があるが、最適なものを利用する。
【００４８】本人認証がＯＫであれば、データセンターを利用することができる（Ｓ１４）。
【００４９】データセンターの利用が終了すれば、ログアウト処理を行う（Ｓ１５）。なお、データセンターの管理・制御装置は、各アクセス毎に、ログインとログアウトの時間を記録してもよい。
【００５０】図３は、セキュリティポリシー作成支援装置の構成例を示す。
【００５１】図３のセキュリティポリシー作成支援装置は、雛形抽出部１１０、参考資料抽出部１１１、データ入力部１１２、雛形化部１１３、セキュリティポリシー生成部１１４、システム変更通知部１１５及び制御装置１１６から構成されている。
【００５２】雛形抽出部１１０は、セキュリティポリシーを作成するユーザに適した雛形を抽出して提供する。業種、システムの規模、システム構成等に対応した、複数の雛形のセキュリティポリシーが、データベース１０７に格納されており、ユーザが、自己の業種、システムの規模、システム構成等を入力すると、ユーザに適した雛形のセキュリティポリシーを提供する。
【００５３】参考資料抽出部１１１は、雛形抽出部１１０で抽出された雛形のセキュリティポリシーに係る参考資料を抽出して提供する。つまり、ユーザが、雛形を修正して、自己のセキュリティポリシーを作成するに際して、参考すべき資料を提供する。
【００５４】データ入力部１１２は、ユーザが雛形を修正して、セキュリティポリシーを生成したとき、雛形を修正した部分のデータを入力する。データ入力は、セキュリティポリシーの項目毎に入力する。各項目には、雛形の内容がデフォルトで設定されており、それを確認又は修正する形で入力する。なお、一部又は全部を雛形のセキュリティポリシー自体を直接修正する形でデータを入力してもよい。
【００５５】雛形化部１１３は、作成されたセキュリティポリシーを他のユーザの参考とされるように雛形とする。業種、システムの規模、システム構成等で分類し、企業名が判明しないようにして、雛形としデータベース１０７に格納する。
【００５６】セキュリティポリシー生成部１１４は、データ入力部１１２で入力されたデータに基づいて、セキュリティポリシーを生成する。
【００５７】システム変更通知部１１５は、作成されたセキュリティポリシーに対応して、システムのセキュリティに係るパラメータを変更するように、管理・制御装置１０４に通知する。
【００５８】制御装置１１６は、中央処理装置、セキュリティポリシーの生成に係るアプリケーションを含み、セキュリティポリシー作成支援装置の機能が果たされるように、セキュリティポリシー作成支援装置全体を制御する。
【００５９】図４にセキュリティポリシー作成支援装置を用いてセキュリティポリシーを作成するフローの例を示す。
【００６０】ユーザは、データセンターにアクセスして、セキュリティポリシー作成支援装置を起動して、以下の処理を行う。
【００６１】ユーザは、雛形の選択を行う。雛形の選択は、ユーザの業種、システムの規模、システム構成等を入力すると、ユーザに適したセキュリティポリシーの雛形とその特徴が表示されるので、その中から適する雛形を選択する（Ｓ１０１）。
【００６２】するとデータセンターは、選択された雛形と参考資料を、ユーザシステムの端末に、一覧表示する。ユーザが確認すれば、雛形と参考資料をプリントアウトする（Ｓ１０２）。なお、一部の資料は、プリントアウトしないようすることができる。
【００６３】ユーザは、参考資料を参考にして、プリントした雛形を修正して、自己のセキュリティポリシーを作成する（Ｓ１０３）。このセキュリティポリシーの作成は、オフラインで行われる。
【００６４】セキュリティポリシーが作成されると、ユーザシステムの端末から、修正データを入力する。データ入力は、セキュリティポリシーの項目毎に入力する。各項目には、雛形の内容が設定され、それを確認又は修正する形で入力する。
【００６５】入力されたデータに基づいて、セキュリティポリシーが生成され、ユーザシステムの端末から、プリントアウトされる（Ｓ１０５）。
【００６６】ユーザは、プリントされたセキュリティポリシーを確認又は一部修正して、セキュリティポリシーを確定する（Ｓ１０６）。
【００６７】データセンターでは、確定されたセキュリティポリシーに基づいて、当該ユーザに係るデータセンターのシステムのパラメータを変更する（Ｓ１０７）。
【００６８】また、同時に、ユーザシステムのパラメータも変更する。
【００６９】なお、ユーザのシステムの端末を用いて、セキュリティポリシー作成支援装置を用いてセキュリティポリシーを作成する例を示したが、端末は、ユーザのシステムの端末を用いる必要はない。
【００７０】また、ユーザシステムは、データセンターのインターネットサーバを自社内のシステムと同じように利用することができると説明したが、外部から、ユーザシステムインターネットサーバを利用できるようにしてもよい。
【００７１】
【発明の効果】上述の如く本発明によれば、次に述べる種々の効果を奏することができる。
【００７２】セキュリティポリシーの作成に要する時間を短縮し、ユーザシステムとデータセンター間のセキュリティポリシーを容易に合致させ、且つ、不正アクセスを阻止することができる。
【００７３】また、セキュリティポリシーを雛形のセキュリティポリシー（セミカスタマイズされたセキュリティポリシー）を基に、作成することができるので、簡便に且つ、そのユーザに適したセキュリティポリシーを作成することができる。
【００７４】また、作成されたセキュリティポリシーに基づいて、当該ユーザに係るデータセンターのシステム及び当該ユーザのユーザシステムのセキュリティに係るパラメータが変更さるので、ユーザシステムとデータセンターのユーザデータとでセキュリティに係る信号処理が一致し、セキュリティホールが発生しない。
【００７５】また、ユーザシステムとデータセンターのユーザデータとを、同一管理端末で管理することから、ユーザシステムとデータセンターのユーザデータを一元管理することが可能となる。
【００７６】これに伴い、データセンターのユーザを管理する管理者が、ユーザシステムを管理することも可能となる。
【００７７】また、コンテンツを、ユーザシステムとデータセンターとで分割して、提供する場合であっても、同一コンサルタントが、管理することが可能となる。
【００７８】本人認証を行うことにより、他社のセグメントからの不正アクセス、インターネットからの不正アクセス、専用線からの不正アクセス、ユーザシステムからの不正アクセスを阻止することができる。
【出願人】 【識別番号】５００４４９４５５
【氏名又は名称】インターナショナル・ネットワークセキュリティ株式会社
【出願日】 平成１２年９月２６日（２０００．９．２６）
【代理人】 【識別番号】１０００７０１５０
【弁理士】
【氏名又は名称】伊東 忠彦
【公開番号】 特開２００２−１０８８１８（Ｐ２００２−１０８８１８Ａ）
【公開日】 平成１４年４月１２日（２００２．４．１２）
【出願番号】 特願２０００−２９３０２４（Ｐ２０００−２９３０２４）