JP3628876B2 - セキュリティ管理システム - Google Patents
セキュリティ管理システム Download PDFInfo
- Publication number
- JP3628876B2 JP3628876B2 JP17053598A JP17053598A JP3628876B2 JP 3628876 B2 JP3628876 B2 JP 3628876B2 JP 17053598 A JP17053598 A JP 17053598A JP 17053598 A JP17053598 A JP 17053598A JP 3628876 B2 JP3628876 B2 JP 3628876B2
- Authority
- JP
- Japan
- Prior art keywords
- lock
- user
- security management
- management system
- menu
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Description
【０００１】
【発明の属する技術分野】
本発明は、コンピュータのアプリケーションシステムのセキュリティを管理するセキュリティ管理システムに関する。
【０００２】
【従来の技術】
従来、コンピュータのアプリケーションシステムに備えられている処理機能について、利用者毎にその処理機能の利用を許容するか否かを設定することによりそのアプリケーションシステムのセキュリティを管理することが広く行われている。最近のセキュリティ管理システムでは、ＧＵＩ（グラフィックユーザーインターフェース）技術を用いて利用者にとってわかりやすい形で、アクセスの許容された処理機能をメニュー画面上に表示するように工夫されている。例えば、複数の処理機能のうちその利用者に許容された処理機能と許容されない処理機能とを互いに異なる表示色で表示したり、あるいは許容されない処理機能についてはハーフトーンで表示したりすることが行われている。
【０００３】
【発明が解決しようとする課題】
このようなセキュリティ管理を行うためには、そのコンピュータのアプリケーションシステムに備えられている複数の処理機能について、各利用者毎のアクセス権限を設定してその設定結果をアプリケーションシステムに記憶させておく必要がある。ここで、そのコンピュータに複数のアプリケーションシステムが組み込まれている場合は、それらの各アプリケーションシステムの各処理機能毎に各利用者のアクセス権限を設定する必要がある。
また、利用者は、それらの各アプリケーションシステムに設定された自らのアクセス権限をコンピュータに認証して貰うための、例えば利用者ＩＤなどを記憶しておく必要がある。
【０００４】
例えば、あるコンピュータシステムに会議室予約システムと配車管理システムとが組み込まれているとすると、このコンピュータシステムの利用者はこれら２つのアプリケーションシステムそれぞれについて設定された利用者ＩＤを使い分ける必要がある。また、例えば、会議室予約システムの利用者ＩＤを用いて会議室予約システムを立ち上げて会議室予約処理を実行している時に同時に配車管理処理を行おうとすると配車管理システムの利用者ＩＤにより再度ログインを行う必要があるなど、アプリケーションシステムの数が多くなるに従い利用者にとってこのようなセキュリティシステムは極めて煩わしいものとなる。
また、コンピュータシステム側にとっても、このようなセキュリティシステムをアプリケーションシステム毎に構築する作業は極めて煩雑であり、しかも、アプリケーションシステムのバージョンアップや利用者の人事異動などに伴いセキュリティの仕組みをメンテナンスするために多大の費用と時間とを必要とするという問題がある。
本発明は、上記の事情に鑑み、利用者にとって操作性がよく、かつ複数のアプリケーションシステムに対するセキュリティシステムを容易に構築することができる汎用的なセキュリティ管理システムを提供することを目的とする。
【０００５】
【課題を解決するための手段】
上記の目的を達成する本発明のセキュリティ管理システムは、
ツリー構造の各ノードに相当する各ロックに数値範囲が設定されるとともに、各ロックに、各ロックを特定する属性が付加され、各ロックに設定される数値範囲により各ロックの利用者が規定されるとともに、各ロックに付加される属性により、アプリケーションシステムおよびそのアプリケーションシステムの階層構造が特徴付けられる、階層化された複数のロックからなる、アプリケーションシステムに対応付けられるロック体系であって、各ロックにアプリケーションシステム用に数値範囲が設定されるとともに属性が付加されてなるロック体系が１つ以上集合してなるロックシステムが格納されたロックシステム記憶手段と、
【０００６】
各利用者に対応付けられた、数値からなるキーが格納されたキー記憶手段と、
各利用者を特定する認証情報を入力データとして受け取り、上記ロックシステムの中から、その認証情報により特定される利用者のキーを含む数値範囲が設定されたロックを検索し、その検索により得られたロックに付された属性を返却するロックシステムアクセス手段とを備えたことを特徴とする。
このセキュリティ管理システムでは、アプリケーションシステムの利用者を「キー」（鍵）、利用される対象業務を「ロック」（錠）というオブジェクトに抽象化して表現している。そして、各「ロック」にはそれぞれ数値範囲が設定されており、数値からなる「キー」を「ロック」の数値範囲と比較して「キー」が「ロック」の範囲内に含まれているか否かにより「ロック」を開くか否か、すなわち利用者に利用を許可するか否かを判定するようになっている。
【０００７】
ここで、このセキュリティ管理システムが、上記ロックシステムを構成するロック体系が複数存在する場合に、これら複数のロック体系に相互に異なる数値範囲が割り当てられるように構成されたものであることが好ましい。
また、このセキュリティ管理システムが、１つのロック体系内において、１つの上層のロックに直結した１つ以上の下層のロックの各数値範囲を総合した数値範囲が１つの上層のロックの数値範囲となるように、各ロックに数値範囲が設定されるように構成されたものであることも好ましい態様の一つである。
さらに、このセキュリティ管理システムが、上記ロック体系を構成する階層化された複数のロックそれぞれに数値範囲および属性を付すとともに、利用者に対応付けられたキーを設定するシステム構築手段を備えたものであることも好ましい。
【０００８】
【発明の実施の形態】
以下、本発明の実施形態について説明する。
図１は、本発明のセキュリティ管理システムの一実施形態を示すシステム構成図である。
図１に示すように、このセキュリティ管理システム１は、ツリー構造の各ノードに相当する各ロック１１０，１１１，１１２，１２０，１２１，１２２それぞれに数値範囲からなるレベル１１０ｂ，１１１ｂ，１１２ｂ，１２０ｂ，１２１ｂ，１２２ｂが設定されるとともに、各ロック１１０，１１１，１１２，１２０，１２１，１２２に、これら各ロックを特定する属性１１０ａ，１１１ａ，１１２ａ，１２０ａ，１２１ａ，１２２ａが付加され、各ロックに設定される数値範囲からなるレベル１１０ｂ，１１１ｂ，１１２ｂ，１２０ｂ，１２１ｂ，１２２ｂにより各ロックの利用者が規定されるとともに各ロックに付加される属性１１０ａ，１１１ａ，１１２ａ，１２０ａ，１２１ａ，１２２ａにより、アプリケーションシステムおよびそのアプリケーションシステムの階層構造が特徴付けられる、階層化された複数のロック１１０，１１１，１１２，１２０，１２１，１２２からなり、アプリケーションシステムに対応付けられるロック体系１０１，１０２として構築されている。
【０００９】
このセキュリティ管理システム１には、各ロック１１０，１１１，１１２，１２０，１２１，１２２にアプリケーションシステム用に数値範囲からなるレベル１１０ｂ，１１１ｂ，１１２ｂ，１２０ｂ，１２１ｂ，１２２ｂが設定されるとともに属性１１１ａ，１１１ａ，１１２ａ，１２０ａ，１２１ａ，１２２ａが付加されてなる２つのロック体系１０１，１０２が集合してなるロックシステムを格納するロックシステム記憶手段１００と、各利用者に対応付けられた、数値からなるキー２１１，２１２，２２１を格納するキー記憶手段２００と、各利用者を特定する認証情報１０を入力データとして受け取り、上記ロックシステムの中から、その認証情報１０により特定される利用者のキーを含む数値範囲が設定されたロックを検索し、その検索により得られたロックに付された属性を返却するロックシステムアクセス手段３００と、ロック体系１０１，１０２を構成する階層化された複数のロックそれぞれに数値範囲および属性を付すとともに、利用者に対応付けられたキーを設定するシステム構築手段４００が備えられている。
【００１０】
なお、本実施形態では、上記のように、ロックシステムを構成する２つのロック体系１０１，１０２が存在する例を挙げているが、ロック体系の数は１つでもあるいは任意の複数でもよい。ただし、ロック体系の数が複数である場合は、ロック体系相互に異なる数値範囲が割り当てられていることが好ましい。図１に示すように、本実施形態では、ロック体系１０１のレベル１１０ｂ，１１１ｂ，１１２ｂには、１〜１０の数値範囲が割り当てられ、ロック体系１０２のレベル１２０ｂ，１２１ｂ，１２２ｂには、１１〜２０の数値範囲が割り当てられており、両者の数値範囲は重複していない。
【００１１】
このように構成することにより、例えば、システム１を銀行のオンラインシステムとし、システム２をチケット販売システムとした場合に、両システム相互間の干渉を起こすことはないので、１つのロックシステム記憶手段１００の中に複数のロック体系を納めることができて好ましい。
また、本実施形態では、１つのロック体系内において、１つの上層のロックに直結した１つ以上の下層のロックの各数値範囲を総合した数値範囲が１つの上層のロックの数値範囲となるように、各ロックに数値範囲が設定されるように構成されている。例えば、図１に示すように、上層のロック１１０に直結した下層のロック１１１，１１２の各レベル１１１ｂ，１１２ｂを総合した数値範囲が上層のロック１１０のレベル１１０ｂとなるように、各ロック１１０，１１１，１１２にレベル１１０ｂ，１１１ｂ，１１２ｂが設定されている。
同一階層内のサブシステムのレベル相互間には、数値範囲の重なりがあってもなくてもよい。例えば、図１におけるサブシステム１１およびサブシステム１２のレベル１１１ｂ，１１２ｂには重なりがない。この方式の場合は、利用者は、サブシステム１１、サブシステム１２に対するキーを別々に持つ必要がある。この方式では、キーの数が多くなる弊害はあるが、ロックの設定が容易であるという利点もある。この方式は、例えば、システム１を銀行のオンラインシステムとした時、サブシステム１１を勘定系、サブシステム１２を情報系という単位で設定する。
【００１２】
一方、図１において、システム２のサブシステム２１およびサブシステム２２のレベル１２１ｂ，１２２ｂには重なりがある。この方式は、１つのキーで複数のサブシステムを管理したい場合に有効である。例えば、サブシステム２１を一般利用者用、サブシステム２２をシステム管理者用などと設定することにより、数値１５以上のキーを持つシステム管理者に対して両方のサブシステムを利用可能とすることができる。
【００１３】
次に、このセキュリティ管理システム１の動作について図１を参照しながら説明する。
利用者からの認証情報１０として利用者ＩＤおよびパスワードがセキュリティ管理システム１に入力されると、セキュリティ管理システム１に備えられたロックシステムアクセス手段３００は、ロックシステム記憶手段１００の中から認証情報１０により特定される利用者のキー２１１，２１２，２２１を含む数値範囲からなるロック１１０，１１１，１１２，１２０，１２１，１２２を検索し、検索によって得られたロックに付された属性２０（属性１１０ａ，１１１ａ，１１２ａ，１２０ａ，１２１ａ，１２２ａよりなる）を利用者に返却する。
【００１４】
例えば、利用者Ａが、自らの利用者ＩＤおよびパスワードからなる認証情報１０をセキュリティ管理システム１に入力したとすると、セキュリティ管理システム１のロックシステムアクセス手段３００は、ロックシステム記憶手段１００の中のロック１１０，１１１，１１２，１２０，１２１，１２２を検索し、これらの中から利用者Ａの認証情報１０により特定されるキー２１１，２１２を含む数値範囲からなるロック１１０，１１１，１１２を選び出す。また同様に、利用者Ｂが、自らの利用者ＩＤおよびパスワードからなる認証情報１０をセキュリティ管理システム１に入力したとすると、セキュリティ管理システム１のロックシステムアクセス手段３００は、ロックシステム記憶手段１００の中のロック１１０，１１１，１１２，１２０，１２１，１２２を検索し、これらの中から利用者Ｂの認証情報１０により特定されるキー２２１を含む数値範囲からなるロック１２０およびロック１２１を選び出す。ここで、ロック１２２は、そのレベル１２２ｂが１５〜２０であり、利用者Ｂの、数値１４からなるキー２２１とは合致しないので選び出されない。
こうして得られた情報、すなわち、その利用者には、どのシステムおよびサブシステムの利用が許可されており、どのシステム、サブシステムの利用が許可されていないかは、後述するユーザーインターフェースにより利用者に通知される。
【００１５】
以上説明したように、本実施形態のセキュリティ管理システムでは、取り扱うオブジェクトを固定せずに、ロックとキーという抽象的な概念で間接的に表現するとともに、利用者のキー（数値）とロックの数値範囲とは数値の比較により行われるので、複数のアプリケーションシステムに対する汎用性を確保することができ、１つのセキュリティ管理システムで複数のアプリケーションシステムのセキュリティを総合的に管理することが可能となる。
これに反して、従来のセキュリティシステムは、利用者のキーと対象業務のロックは文字列で設定されているので、利用者と利用される業務対象は現実世界の具体的なオブジェクトに限定されるため、汎用性がなく特定のシステム専用のセキュリティシステムとならざるを得ない。
【００１６】
また、従来のセキュリティシステムでは、取り扱う対象業務が例えば会議室予約システムであればビル−フロア−会議室、配車管理システムであれば事業所−車番号などというように階層構造を固定的に表現しており、個々のシステム専用のセキュリティシステムとなっている。これに対して、本実施形態のセキュリティ管理システムは、ツリー構造の対象業務をロックという抽象的な概念に置き換えて表現しているので、階層構造を持つ現実世界の対象業務を汎用的に取り扱うことができるシステムである。
なお、上記のロックは、抽象化されたものであるために利用者にとってわかりにくいのでセキュリティ管理システム内での処理にのみ用いられ、利用者に対するインターフェース上では利用者にもわかりやすい属性、例えば対象業務名などに変換してから出力される。
【００１７】
次に、このセキュリティ管理システムが格納されるコンピュータハードウエアについて説明する。
図２は、本実施形態のセキュリティ管理システムが格納されるコンピュータハードウエアの概要図である。
図２には、一例として、ファイルサーバ５１０、プリンタサーバ５２０、および３台のクライアント５３０，５４０，５５０とが通信回線５６０を介して互いに接続されたコンピュータシステム５００が示されている。これらの各サーバおよびクライアントはそれぞれがコンピュータシステムとして構成されており、ＣＰＵ、主記憶装置、補助記憶装置などが内蔵された本体部５１１，５２１，５３１，５４１，５５１、各コンピュータシステムに各種の指示を入力するキーボード５１２，５２２，５３２，５４２，５５２、および、画面を表示して操作者に各種の情報を提供するディスプレイ５１３，５２３，５３３，５４３，５５３などが備えられている。
【００１８】
ファイルサーバ５１０の本体部５１１には、大容量補助記憶装置５１４が内蔵されており、その中に本実施形態のセキュリティ管理システム１（図１参照）の、ロックシステム記憶手段１００、キー記憶手段２００、ロックシステムアクセス手段３００、およびシステム構築手段４００を有するセキュリティ管理プログラムが格納されている。
なお、システム構築手段４００は、本発明のセキュリティ管理システム１に必須の手段というわけではなく、セキュリティ管理システム１を、システム構築手段４００を含まない構成とし、本実施形態におけるシステム構築手段４００と同様の機能を有する独立のソフトウエアを別途用意しておき、そのソフトウエアを用いて上記のロック体系を構成する階層化された複数のロックそれぞれに数値範囲および属性を付すとともに、利用者に対応付けられたキーを設定するようにしてもよい。しかし、操作性の面からは、本実施形態のようにセキュリティ管理システム１の中にシステム構築手段４００を組み込んだ構成とすることが好ましい。
【００１９】
セキュリティ管理システムは、プログラム記憶媒体５１６に記憶されており、このコンピュータシステム５００にセキュリティ管理システムをセットアップする際に、ファイルサーバ５１０の本体部５１１に備えられた記憶媒体読取装置５１５を介して大容量補助記憶装置５１４内に読み込まれる。
プリンタサーバ５２０には、高速のプリンタ５２４が接続されており、このコンピュータシステム５００共通の印刷装置としての役割りを担っている。
【００２０】
次に、このコンピュータシステム５００を用いてのセキュリティ管理システムの操作方法について説明する。
ある利用者が、図２に示したコンピュータシステム５００の、いずれかのクライアント５３０，５４０，５５０を立ち上げ、そのキーボードから利用者ＩＤおよびパスワードなどの認証情報を入力し、その認証情報がシステムにより正当な認証情報であるとして承認されると、その認証情報１０は、ファイルサーバ５１０内にセットアップされたセキュリティ管理システム１（図１参照）に入力される。
セキュリティ管理システム１のロックシステムアクセス手段３００は、認証情報１０を入力データとして受け取り、ロックシステム記憶手段１００の中から、利用者の認証情報１０により特定される利用者のキーを含む数値範囲が設定されたロックを検索し、検索によって得られたロックに付された属性２０を利用者に返却する。
【００２１】
こうして利用者に対して、その利用者に利用が許可されたシステムあるいはサブシステムの属性２０、例えば業務メニュー名などが提示される。利用者に属性２０を提示するためのユーザーインターフェースとしては、セキュリティ管理システム１の中に標準的なものを組み込んでおいたものを用いてもよく、あるいはクライアントコンピュータ毎に各利用者がカスタマイズしたものを用いるようにしてもよい。
【００２２】
次に、本実施形態のセキュリティ管理システムを構築をする場合に用いられる画面構成について説明する。
図３は、本実施形態のセキュリティ管理システムのメイン画面である。
図３には、メイン画面６００の上側に表示された業務メニュー一覧６２１のウインドウおよび下側に表示された業務メニュー利用許可グループ６２２のウインドウが示されている。業務メニュー一覧６２１のウインドウにはツリー構造の各ノードに業務システム名が表示されている。業務メニュー一覧６２１のツリーの中で選択された業務メニューに割り当てられている利用者グループおよび利用者が下側の業務メニュー利用許可グループ６２２のウインドウ内に表示される。未選択時には、業務メニュー利用許可グループ６２２のウインドウ内は空白である。ツリー内の業務メニューアイテムをダブルクリップすることにより業務設定−編集ダイアログ（図１０参照）を表示させることができる。また、下側の業務メニュー利用許可グループ６２２のウインドウ内のアイテムをダブルクリップすることによりその利用者グループに所属している利用者の一覧（図示せず）を表示させることができる。
【００２３】
いま、業務メニュー一覧６２１に表示された業務システム名の中から「業務メニュー２」を選択すると、下側の業務メニュー利用許可グループ６２２のウインドウには、「業務メニュー２」へのアクセスが許可されている利用者グループ、すなわち、「アプリケーション開発部」、「ネットワーク管理部」、「マルチメディアシステム部」、「システムインテグレーション部」、「営業部」、「総務部」などのグループ名が表示される。
このメイン画面６００を用いて、メニューバー６１０の［ファイル（Ｆ）］メニュー６１１、［編集（Ｅ）］メニュー６１２、［表示（Ｖ）］メニュー６１３、［ヘルプ（Ｈ）］メニュー６１４のうちのいずれか１つのメニューを選択することにより、業務メニューについてツリー構造の表示、新規登録、削除を行うことができる。なお、業務メニュー利用許可グループ６２２内のアイテムが選択されていない時は［編集（Ｅ）］メニュー６１２内の［利用不許可］コマンドは選択不可となっている。
【００２４】
図４は、本実施形態のセキュリティ管理システムの［ファイル］メニュー画面である。
図４には、メイン画面６００のメニューバー６１０の中から［ファイル（Ｆ）］メニュー６１１の４つのコマンド、すなわち［新規作成］コマンド６１１ａ、［開く］コマンド６１１ｂ、［印刷］コマンド６１１ｃ、［終了］コマンド６１１ｄの中から［新規作成］コマンド６１１ａを選択した場合の画面の一部が示されている。［新規作成］コマンド６１１ａを選択することにより、［利用者］、［利用者グループ］、［業務］を新規登録することができる。新規登録のための画面については後述する。
なお、本実施形態のセキュリティ管理システムでは、利用者個人だけでなく、例えば、営業部、総務部などのように利用者グループをも取り扱うことができるようになっている。
【００２５】
また、［ファイル（Ｆ）］メニュー６１１の［開く］コマンド６１１ｂを選択することにより、業務または利用者グループの編集画面を表示させることができる。また、［印刷］コマンド６１１ｃを選択することにより、画面に表示された内容をプリンタから出力させることができる。また、［終了］コマンド６１１ｄを選択することにより［ファイル（Ｆ）］メニュー６１１を終了させることができる。
【００２６】
図５は、本実施形態のセキュリティ管理システムの［編集］メニュー画面である。
図５には、［編集（Ｅ）］メニュー６１２の４つのコマンド、すなわち、［切り取り／コピー／貼り付け］、［検索］、［削除］、［利用不許可］が示されている。
【００２７】
図６は、本実施形態のセキュリティ管理システムの［表示］メニュー画面である。
図６には、［表示（Ｖ）］メニュー６１３の３つのコマンド、すなわち、［利用者一覧］、［利用者グループ一覧］、［最新の情報に更新］が示されている。
図５および図６に示した［編集（Ｅ）］メニュー６１２および［表示（Ｖ）］メニュー６１３のコマンドの詳細についての説明は煩雑になるので省略する。
次に、利用者、利用者グループ、および業務の新規登録のための画面について説明する。図４に示したメニュー画面６００のメニューバー６１０の中から［ファイル（Ｆ）］メニュー６１１の［新規作成］コマンド６１１ａを選択すると、次の画面が表示される。
【００２８】
図７は、本実施形態のセキュリティ管理システムの新規利用者の登録画面である。
図７に示すように、メイン画面６００を用いて新規利用者の登録を行うことができる。
メイン画面６００には、上側に業務メニュー一覧６３１、下側に業務メニュー利用許可グループ画面６３２が表示されている。メニューバー６１０の［ファイル（Ｆ）］メニュー６１１の［新規作成］コマンド６１１ａを選択すると、［利用者］コマンド、［利用者グループ］コマンド、［業務］コマンドが表示される。
［利用者］コマンドを選択すると、図７右下に示すような新規利用者登録ウインドウ６４０がメイン画面６００上に重ねて表示される。その中のテキストボックス６４１，６４２，６４３内に新規利用者のＩＤ、氏名、パスワードをそれぞれ入力し、さらに、プロパティ６４４として、フリガナ、所属、年齢、性別、電話番号、生年月日を入力し、［登録］ボタン６４５を押すことにより、新規利用者が登録される。［閉じる］ボタン６４６を押すことにより新規利用者の登録は終了する。
【００２９】
図８は、本実施形態のセキュリティ管理システムの新規利用者グループの登録画面である。
図８に示すように、メイン画面６００を用いて新規利用者グループの登録を行うことができる。
メイン画面６００には、上側に業務メニュー一覧６３１、下側に業務メニュー利用許可グループ画面６３２が表示されている。メニューバー６１０の［ファイル（Ｆ）］メニュー６１１の［新規作成］コマンド６１１ａを選択すると、［利用者］コマンド、［利用者グループ］コマンド、［業務］コマンドが表示される。
［利用者グループ］コマンドを選択すると、図８右下に示すような新規利用者グループ作成ウインドウ６５０がメイン画面６００上に重ねて表示される。その中の新規利用者グループ名のテキストボックス６５１内に新規利用者グループ名を入力し、［登録］ボタン６５２を押すことにより、新規利用者グループが登録される。［閉じる］ボタン６５３を押すことにより新規利用者および新規利用者グループの登録は終了する。
【００３０】
次に、新規業務の登録画面について説明する。
図９は、本実施形態のセキュリティ管理システムの新規業務の登録画面である。
図９に示すように、メイン画面６００のメニューバー６１０の中の［ファイル（Ｆ）］メニュー６１１の［新規作成］コマンド６１１ａを選択し、［業務］コマンドを実行する。図９右下に示すように、メイン画面６００上に新規業務登録ウインドウ６６０が重ねて表示されるので、新規業務登録ウインドウ６６０内のテキストボックス６６１内に新規業務名を入力し、それに割り当てるメニューＩＤをコンボボックス６６２内で選択する。メニューＩＤはコンボボックス６６２内に表示されるものの中からのみ選択できるものとし新規入力は行えない。次いで、［登録］ボタン６６３を押すことにより、登録結果が業務メニュー一覧６３１のツリー構造に反映される。［閉じる］ボタン６６４を押すことにより新規業務の登録は終了する。
【００３１】
次に、業務に関する利用許可の設定編集について説明する。
図１０は、本実施形態のセキュリティ管理システムの業務に関する利用許可の設定編集画面である。
図８に示したメイン画面６００の［業務メニュー利用許可グループ一覧］６３２で編集対象アイテムを選択し、次いで、図１０に示すように、メイン画面６００のメニューバー６１０の中から［ファイル（Ｆ）］メニュー６１１の［開く］コマンド６１１ｂを実行する。更新を行う業務メニューおよびそれに割り当てるメニューＩＤを、メイン画面６００上に重ねて表示された業務設定−編集ウインドウ６７０内のテキストボックス６７１およびコンボボックス６７２にそれぞれ入力する。メニューＩＤはコンボボックス６７２内に表示されるものの中からのみ選択することができるが新規入力は行えない。次に、業務を利用することの可能な利用者グループの割り当てを行う。
業務設定−編集ウインドウ６７０内に表示された利用許可ボックス６７３ａ内にアクセスが許可されたグループ名の一覧が表示され、利用不許可ボックス６７３ｂ内にアクセスが許可されないグループ名の一覧が表示される。許可、不許可の移動は利用許可ボックス６７３ａと利用不許可ボックス６７３ｂとの中間に表示された［←］、［→］コマンドにより行うことができる。［登録］ボタン６７４を押すことにより、編集結果は、業務メニュー一覧６３１のツリー構造に反映される。［キャンセル］ボタン６７５を押すことにより業務に関する利用許可の設定編集は終了する。
【００３２】
以上のようにして、図１に示した本実施形態のセキュリティ管理システム１がコンピュータシステム５００（図２参照）に構築される。
各利用者は、このセキュリティ管理システムに利用者ＩＤとパスワードよりなる認証情報を入力することにより、コンピュータシステム５００内に組み込まれた複数のアプリケーションシステムについて、どのシステム、どのサブシテムが利用許可されているかを即座に知ることができる。
【００３３】
【発明の効果】
以上説明したように、本発明のセキュリティ管理システムは、取り扱うオブジェクトを固定せずにロックとキーという抽象的な概念で間接的に表現しているため、利用者にとって操作性がよく、かつ複数のアプリケーションシステムのセキュリティを総合的に管理することができる汎用的なセキュリティ管理システムを実現することができる。
【図面の簡単な説明】
【図１】本発明のセキュリティ管理システムの一実施形態を示すシステム構成図である。
【図２】本実施形態のセキュリティ管理システムが格納されるコンピュータハードウエアの概要図である。
【図３】本実施形態のセキュリティ管理システムのメイン画面である。
【図４】本実施形態のセキュリティ管理システムの［ファイル］メニュー画面である。
【図５】本実施形態のセキュリティ管理システムの［編集］メニュー画面である。
【図６】本実施形態のセキュリティ管理システムの［表示］メニュー画面である。
【図７】本実施形態のセキュリティ管理システムの新規利用者の登録画面である。
【図８】本実施形態のセキュリティ管理システムの新規利用者グループの登録画面である。
【図９】本実施形態のセキュリティ管理システムの新規業務の登録画面である。
【図１０】本実施形態のセキュリティ管理システムの業務に関する利用許可の設定編集画面である。
【符号の説明】
１ セキュリティ管理システム
１０ 認証情報
２０ 属性
１００ ロックシステム記憶手段
１０１，１０２ ロック体系
１１０，１１１，１１２，１２０，１２１，１２２ ロック
１１０ａ，１１１ａ，１１２ａ，１２０ａ，１２１ａ，１２２ａ 属性
１１０ｂ，１１１ｂ，１１２ｂ，１２０ｂ，１２１ｂ，１２２ｂ レベル
２００ キー記憶手段
２１１，２１２，２２１ キー
３００ ロックシステムアクセス手段３００
４００ システム構築手段
５００ コンピュータシステム
５１０ ファイルサーバ
５１１，５２１，５３１，５４１，５５１ 本体部
５１２，５２２，５３２，５４２，５５２ キーボード
５１３，５２３，５３３，５４３，５５３ ディスプレイ
５１４ 大容量補助記憶装置
５１５ 記憶媒体読取装置
５１６ プログラム記憶媒体
５２０ プリンタサーバ
５２４ プリンタ
５３０，５４０，５５０ クライアント
５６０ 通信回線
６００ メイン画面
６１０ メニューバー
６１１ ［ファイル（Ｆ）］メニュー
６１１ａ ［新規作成］コマンド
６１１ｂ ［開く］コマンド
６１１ｃ ［印刷］コマンド
６１１ｄ ［終了］コマンド
６１２ ［編集（Ｅ）］メニュー
６１３ ［表示（Ｖ）］メニュー
６１４ ［ヘルプ（Ｈ）］メニュー
６２１ 業務メニュー一覧
６２２ 業務メニュー利用許可グループ
６３１ 業務メニュー一覧
６３２ 業務メニュー利用許可グループ画面
６４０ 新規利用者登録ウインドウ
６４１，６４２，６４３ テキストボックス
６４４ プロパティ
６４５ ［登録］ボタン
６４６ ［閉じる］ボタン
６５０ 新規利用者グループ作成ウインドウ
６５１ テキストボックス
６５２ ［登録］ボタン
６５３ ［閉じる］ボタン
６６０ 新規業務登録ウインドウ
６６１ テキストボックス
６６２ コンボボックス
６６３ ［登録］ボタン
６６４ ［閉じる］ボタン
６７０ 業務設定−編集ウインドウ
６７１ テキストボックス
６７２ コンボボックス
６７３ａ 利用許可ボックス
６７３ｂ 利用不許可ボックス
６７４ ［登録］ボタン
６７５ ［キャンセル］ボタン
【発明の属する技術分野】
本発明は、コンピュータのアプリケーションシステムのセキュリティを管理するセキュリティ管理システムに関する。
【０００２】
【従来の技術】
従来、コンピュータのアプリケーションシステムに備えられている処理機能について、利用者毎にその処理機能の利用を許容するか否かを設定することによりそのアプリケーションシステムのセキュリティを管理することが広く行われている。最近のセキュリティ管理システムでは、ＧＵＩ（グラフィックユーザーインターフェース）技術を用いて利用者にとってわかりやすい形で、アクセスの許容された処理機能をメニュー画面上に表示するように工夫されている。例えば、複数の処理機能のうちその利用者に許容された処理機能と許容されない処理機能とを互いに異なる表示色で表示したり、あるいは許容されない処理機能についてはハーフトーンで表示したりすることが行われている。
【０００３】
【発明が解決しようとする課題】
このようなセキュリティ管理を行うためには、そのコンピュータのアプリケーションシステムに備えられている複数の処理機能について、各利用者毎のアクセス権限を設定してその設定結果をアプリケーションシステムに記憶させておく必要がある。ここで、そのコンピュータに複数のアプリケーションシステムが組み込まれている場合は、それらの各アプリケーションシステムの各処理機能毎に各利用者のアクセス権限を設定する必要がある。
また、利用者は、それらの各アプリケーションシステムに設定された自らのアクセス権限をコンピュータに認証して貰うための、例えば利用者ＩＤなどを記憶しておく必要がある。
【０００４】
例えば、あるコンピュータシステムに会議室予約システムと配車管理システムとが組み込まれているとすると、このコンピュータシステムの利用者はこれら２つのアプリケーションシステムそれぞれについて設定された利用者ＩＤを使い分ける必要がある。また、例えば、会議室予約システムの利用者ＩＤを用いて会議室予約システムを立ち上げて会議室予約処理を実行している時に同時に配車管理処理を行おうとすると配車管理システムの利用者ＩＤにより再度ログインを行う必要があるなど、アプリケーションシステムの数が多くなるに従い利用者にとってこのようなセキュリティシステムは極めて煩わしいものとなる。
また、コンピュータシステム側にとっても、このようなセキュリティシステムをアプリケーションシステム毎に構築する作業は極めて煩雑であり、しかも、アプリケーションシステムのバージョンアップや利用者の人事異動などに伴いセキュリティの仕組みをメンテナンスするために多大の費用と時間とを必要とするという問題がある。
本発明は、上記の事情に鑑み、利用者にとって操作性がよく、かつ複数のアプリケーションシステムに対するセキュリティシステムを容易に構築することができる汎用的なセキュリティ管理システムを提供することを目的とする。
【０００５】
【課題を解決するための手段】
上記の目的を達成する本発明のセキュリティ管理システムは、
ツリー構造の各ノードに相当する各ロックに数値範囲が設定されるとともに、各ロックに、各ロックを特定する属性が付加され、各ロックに設定される数値範囲により各ロックの利用者が規定されるとともに、各ロックに付加される属性により、アプリケーションシステムおよびそのアプリケーションシステムの階層構造が特徴付けられる、階層化された複数のロックからなる、アプリケーションシステムに対応付けられるロック体系であって、各ロックにアプリケーションシステム用に数値範囲が設定されるとともに属性が付加されてなるロック体系が１つ以上集合してなるロックシステムが格納されたロックシステム記憶手段と、
【０００６】
各利用者に対応付けられた、数値からなるキーが格納されたキー記憶手段と、
各利用者を特定する認証情報を入力データとして受け取り、上記ロックシステムの中から、その認証情報により特定される利用者のキーを含む数値範囲が設定されたロックを検索し、その検索により得られたロックに付された属性を返却するロックシステムアクセス手段とを備えたことを特徴とする。
このセキュリティ管理システムでは、アプリケーションシステムの利用者を「キー」（鍵）、利用される対象業務を「ロック」（錠）というオブジェクトに抽象化して表現している。そして、各「ロック」にはそれぞれ数値範囲が設定されており、数値からなる「キー」を「ロック」の数値範囲と比較して「キー」が「ロック」の範囲内に含まれているか否かにより「ロック」を開くか否か、すなわち利用者に利用を許可するか否かを判定するようになっている。
【０００７】
ここで、このセキュリティ管理システムが、上記ロックシステムを構成するロック体系が複数存在する場合に、これら複数のロック体系に相互に異なる数値範囲が割り当てられるように構成されたものであることが好ましい。
また、このセキュリティ管理システムが、１つのロック体系内において、１つの上層のロックに直結した１つ以上の下層のロックの各数値範囲を総合した数値範囲が１つの上層のロックの数値範囲となるように、各ロックに数値範囲が設定されるように構成されたものであることも好ましい態様の一つである。
さらに、このセキュリティ管理システムが、上記ロック体系を構成する階層化された複数のロックそれぞれに数値範囲および属性を付すとともに、利用者に対応付けられたキーを設定するシステム構築手段を備えたものであることも好ましい。
【０００８】
【発明の実施の形態】
以下、本発明の実施形態について説明する。
図１は、本発明のセキュリティ管理システムの一実施形態を示すシステム構成図である。
図１に示すように、このセキュリティ管理システム１は、ツリー構造の各ノードに相当する各ロック１１０，１１１，１１２，１２０，１２１，１２２それぞれに数値範囲からなるレベル１１０ｂ，１１１ｂ，１１２ｂ，１２０ｂ，１２１ｂ，１２２ｂが設定されるとともに、各ロック１１０，１１１，１１２，１２０，１２１，１２２に、これら各ロックを特定する属性１１０ａ，１１１ａ，１１２ａ，１２０ａ，１２１ａ，１２２ａが付加され、各ロックに設定される数値範囲からなるレベル１１０ｂ，１１１ｂ，１１２ｂ，１２０ｂ，１２１ｂ，１２２ｂにより各ロックの利用者が規定されるとともに各ロックに付加される属性１１０ａ，１１１ａ，１１２ａ，１２０ａ，１２１ａ，１２２ａにより、アプリケーションシステムおよびそのアプリケーションシステムの階層構造が特徴付けられる、階層化された複数のロック１１０，１１１，１１２，１２０，１２１，１２２からなり、アプリケーションシステムに対応付けられるロック体系１０１，１０２として構築されている。
【０００９】
このセキュリティ管理システム１には、各ロック１１０，１１１，１１２，１２０，１２１，１２２にアプリケーションシステム用に数値範囲からなるレベル１１０ｂ，１１１ｂ，１１２ｂ，１２０ｂ，１２１ｂ，１２２ｂが設定されるとともに属性１１１ａ，１１１ａ，１１２ａ，１２０ａ，１２１ａ，１２２ａが付加されてなる２つのロック体系１０１，１０２が集合してなるロックシステムを格納するロックシステム記憶手段１００と、各利用者に対応付けられた、数値からなるキー２１１，２１２，２２１を格納するキー記憶手段２００と、各利用者を特定する認証情報１０を入力データとして受け取り、上記ロックシステムの中から、その認証情報１０により特定される利用者のキーを含む数値範囲が設定されたロックを検索し、その検索により得られたロックに付された属性を返却するロックシステムアクセス手段３００と、ロック体系１０１，１０２を構成する階層化された複数のロックそれぞれに数値範囲および属性を付すとともに、利用者に対応付けられたキーを設定するシステム構築手段４００が備えられている。
【００１０】
なお、本実施形態では、上記のように、ロックシステムを構成する２つのロック体系１０１，１０２が存在する例を挙げているが、ロック体系の数は１つでもあるいは任意の複数でもよい。ただし、ロック体系の数が複数である場合は、ロック体系相互に異なる数値範囲が割り当てられていることが好ましい。図１に示すように、本実施形態では、ロック体系１０１のレベル１１０ｂ，１１１ｂ，１１２ｂには、１〜１０の数値範囲が割り当てられ、ロック体系１０２のレベル１２０ｂ，１２１ｂ，１２２ｂには、１１〜２０の数値範囲が割り当てられており、両者の数値範囲は重複していない。
【００１１】
このように構成することにより、例えば、システム１を銀行のオンラインシステムとし、システム２をチケット販売システムとした場合に、両システム相互間の干渉を起こすことはないので、１つのロックシステム記憶手段１００の中に複数のロック体系を納めることができて好ましい。
また、本実施形態では、１つのロック体系内において、１つの上層のロックに直結した１つ以上の下層のロックの各数値範囲を総合した数値範囲が１つの上層のロックの数値範囲となるように、各ロックに数値範囲が設定されるように構成されている。例えば、図１に示すように、上層のロック１１０に直結した下層のロック１１１，１１２の各レベル１１１ｂ，１１２ｂを総合した数値範囲が上層のロック１１０のレベル１１０ｂとなるように、各ロック１１０，１１１，１１２にレベル１１０ｂ，１１１ｂ，１１２ｂが設定されている。
同一階層内のサブシステムのレベル相互間には、数値範囲の重なりがあってもなくてもよい。例えば、図１におけるサブシステム１１およびサブシステム１２のレベル１１１ｂ，１１２ｂには重なりがない。この方式の場合は、利用者は、サブシステム１１、サブシステム１２に対するキーを別々に持つ必要がある。この方式では、キーの数が多くなる弊害はあるが、ロックの設定が容易であるという利点もある。この方式は、例えば、システム１を銀行のオンラインシステムとした時、サブシステム１１を勘定系、サブシステム１２を情報系という単位で設定する。
【００１２】
一方、図１において、システム２のサブシステム２１およびサブシステム２２のレベル１２１ｂ，１２２ｂには重なりがある。この方式は、１つのキーで複数のサブシステムを管理したい場合に有効である。例えば、サブシステム２１を一般利用者用、サブシステム２２をシステム管理者用などと設定することにより、数値１５以上のキーを持つシステム管理者に対して両方のサブシステムを利用可能とすることができる。
【００１３】
次に、このセキュリティ管理システム１の動作について図１を参照しながら説明する。
利用者からの認証情報１０として利用者ＩＤおよびパスワードがセキュリティ管理システム１に入力されると、セキュリティ管理システム１に備えられたロックシステムアクセス手段３００は、ロックシステム記憶手段１００の中から認証情報１０により特定される利用者のキー２１１，２１２，２２１を含む数値範囲からなるロック１１０，１１１，１１２，１２０，１２１，１２２を検索し、検索によって得られたロックに付された属性２０（属性１１０ａ，１１１ａ，１１２ａ，１２０ａ，１２１ａ，１２２ａよりなる）を利用者に返却する。
【００１４】
例えば、利用者Ａが、自らの利用者ＩＤおよびパスワードからなる認証情報１０をセキュリティ管理システム１に入力したとすると、セキュリティ管理システム１のロックシステムアクセス手段３００は、ロックシステム記憶手段１００の中のロック１１０，１１１，１１２，１２０，１２１，１２２を検索し、これらの中から利用者Ａの認証情報１０により特定されるキー２１１，２１２を含む数値範囲からなるロック１１０，１１１，１１２を選び出す。また同様に、利用者Ｂが、自らの利用者ＩＤおよびパスワードからなる認証情報１０をセキュリティ管理システム１に入力したとすると、セキュリティ管理システム１のロックシステムアクセス手段３００は、ロックシステム記憶手段１００の中のロック１１０，１１１，１１２，１２０，１２１，１２２を検索し、これらの中から利用者Ｂの認証情報１０により特定されるキー２２１を含む数値範囲からなるロック１２０およびロック１２１を選び出す。ここで、ロック１２２は、そのレベル１２２ｂが１５〜２０であり、利用者Ｂの、数値１４からなるキー２２１とは合致しないので選び出されない。
こうして得られた情報、すなわち、その利用者には、どのシステムおよびサブシステムの利用が許可されており、どのシステム、サブシステムの利用が許可されていないかは、後述するユーザーインターフェースにより利用者に通知される。
【００１５】
以上説明したように、本実施形態のセキュリティ管理システムでは、取り扱うオブジェクトを固定せずに、ロックとキーという抽象的な概念で間接的に表現するとともに、利用者のキー（数値）とロックの数値範囲とは数値の比較により行われるので、複数のアプリケーションシステムに対する汎用性を確保することができ、１つのセキュリティ管理システムで複数のアプリケーションシステムのセキュリティを総合的に管理することが可能となる。
これに反して、従来のセキュリティシステムは、利用者のキーと対象業務のロックは文字列で設定されているので、利用者と利用される業務対象は現実世界の具体的なオブジェクトに限定されるため、汎用性がなく特定のシステム専用のセキュリティシステムとならざるを得ない。
【００１６】
また、従来のセキュリティシステムでは、取り扱う対象業務が例えば会議室予約システムであればビル−フロア−会議室、配車管理システムであれば事業所−車番号などというように階層構造を固定的に表現しており、個々のシステム専用のセキュリティシステムとなっている。これに対して、本実施形態のセキュリティ管理システムは、ツリー構造の対象業務をロックという抽象的な概念に置き換えて表現しているので、階層構造を持つ現実世界の対象業務を汎用的に取り扱うことができるシステムである。
なお、上記のロックは、抽象化されたものであるために利用者にとってわかりにくいのでセキュリティ管理システム内での処理にのみ用いられ、利用者に対するインターフェース上では利用者にもわかりやすい属性、例えば対象業務名などに変換してから出力される。
【００１７】
次に、このセキュリティ管理システムが格納されるコンピュータハードウエアについて説明する。
図２は、本実施形態のセキュリティ管理システムが格納されるコンピュータハードウエアの概要図である。
図２には、一例として、ファイルサーバ５１０、プリンタサーバ５２０、および３台のクライアント５３０，５４０，５５０とが通信回線５６０を介して互いに接続されたコンピュータシステム５００が示されている。これらの各サーバおよびクライアントはそれぞれがコンピュータシステムとして構成されており、ＣＰＵ、主記憶装置、補助記憶装置などが内蔵された本体部５１１，５２１，５３１，５４１，５５１、各コンピュータシステムに各種の指示を入力するキーボード５１２，５２２，５３２，５４２，５５２、および、画面を表示して操作者に各種の情報を提供するディスプレイ５１３，５２３，５３３，５４３，５５３などが備えられている。
【００１８】
ファイルサーバ５１０の本体部５１１には、大容量補助記憶装置５１４が内蔵されており、その中に本実施形態のセキュリティ管理システム１（図１参照）の、ロックシステム記憶手段１００、キー記憶手段２００、ロックシステムアクセス手段３００、およびシステム構築手段４００を有するセキュリティ管理プログラムが格納されている。
なお、システム構築手段４００は、本発明のセキュリティ管理システム１に必須の手段というわけではなく、セキュリティ管理システム１を、システム構築手段４００を含まない構成とし、本実施形態におけるシステム構築手段４００と同様の機能を有する独立のソフトウエアを別途用意しておき、そのソフトウエアを用いて上記のロック体系を構成する階層化された複数のロックそれぞれに数値範囲および属性を付すとともに、利用者に対応付けられたキーを設定するようにしてもよい。しかし、操作性の面からは、本実施形態のようにセキュリティ管理システム１の中にシステム構築手段４００を組み込んだ構成とすることが好ましい。
【００１９】
セキュリティ管理システムは、プログラム記憶媒体５１６に記憶されており、このコンピュータシステム５００にセキュリティ管理システムをセットアップする際に、ファイルサーバ５１０の本体部５１１に備えられた記憶媒体読取装置５１５を介して大容量補助記憶装置５１４内に読み込まれる。
プリンタサーバ５２０には、高速のプリンタ５２４が接続されており、このコンピュータシステム５００共通の印刷装置としての役割りを担っている。
【００２０】
次に、このコンピュータシステム５００を用いてのセキュリティ管理システムの操作方法について説明する。
ある利用者が、図２に示したコンピュータシステム５００の、いずれかのクライアント５３０，５４０，５５０を立ち上げ、そのキーボードから利用者ＩＤおよびパスワードなどの認証情報を入力し、その認証情報がシステムにより正当な認証情報であるとして承認されると、その認証情報１０は、ファイルサーバ５１０内にセットアップされたセキュリティ管理システム１（図１参照）に入力される。
セキュリティ管理システム１のロックシステムアクセス手段３００は、認証情報１０を入力データとして受け取り、ロックシステム記憶手段１００の中から、利用者の認証情報１０により特定される利用者のキーを含む数値範囲が設定されたロックを検索し、検索によって得られたロックに付された属性２０を利用者に返却する。
【００２１】
こうして利用者に対して、その利用者に利用が許可されたシステムあるいはサブシステムの属性２０、例えば業務メニュー名などが提示される。利用者に属性２０を提示するためのユーザーインターフェースとしては、セキュリティ管理システム１の中に標準的なものを組み込んでおいたものを用いてもよく、あるいはクライアントコンピュータ毎に各利用者がカスタマイズしたものを用いるようにしてもよい。
【００２２】
次に、本実施形態のセキュリティ管理システムを構築をする場合に用いられる画面構成について説明する。
図３は、本実施形態のセキュリティ管理システムのメイン画面である。
図３には、メイン画面６００の上側に表示された業務メニュー一覧６２１のウインドウおよび下側に表示された業務メニュー利用許可グループ６２２のウインドウが示されている。業務メニュー一覧６２１のウインドウにはツリー構造の各ノードに業務システム名が表示されている。業務メニュー一覧６２１のツリーの中で選択された業務メニューに割り当てられている利用者グループおよび利用者が下側の業務メニュー利用許可グループ６２２のウインドウ内に表示される。未選択時には、業務メニュー利用許可グループ６２２のウインドウ内は空白である。ツリー内の業務メニューアイテムをダブルクリップすることにより業務設定−編集ダイアログ（図１０参照）を表示させることができる。また、下側の業務メニュー利用許可グループ６２２のウインドウ内のアイテムをダブルクリップすることによりその利用者グループに所属している利用者の一覧（図示せず）を表示させることができる。
【００２３】
いま、業務メニュー一覧６２１に表示された業務システム名の中から「業務メニュー２」を選択すると、下側の業務メニュー利用許可グループ６２２のウインドウには、「業務メニュー２」へのアクセスが許可されている利用者グループ、すなわち、「アプリケーション開発部」、「ネットワーク管理部」、「マルチメディアシステム部」、「システムインテグレーション部」、「営業部」、「総務部」などのグループ名が表示される。
このメイン画面６００を用いて、メニューバー６１０の［ファイル（Ｆ）］メニュー６１１、［編集（Ｅ）］メニュー６１２、［表示（Ｖ）］メニュー６１３、［ヘルプ（Ｈ）］メニュー６１４のうちのいずれか１つのメニューを選択することにより、業務メニューについてツリー構造の表示、新規登録、削除を行うことができる。なお、業務メニュー利用許可グループ６２２内のアイテムが選択されていない時は［編集（Ｅ）］メニュー６１２内の［利用不許可］コマンドは選択不可となっている。
【００２４】
図４は、本実施形態のセキュリティ管理システムの［ファイル］メニュー画面である。
図４には、メイン画面６００のメニューバー６１０の中から［ファイル（Ｆ）］メニュー６１１の４つのコマンド、すなわち［新規作成］コマンド６１１ａ、［開く］コマンド６１１ｂ、［印刷］コマンド６１１ｃ、［終了］コマンド６１１ｄの中から［新規作成］コマンド６１１ａを選択した場合の画面の一部が示されている。［新規作成］コマンド６１１ａを選択することにより、［利用者］、［利用者グループ］、［業務］を新規登録することができる。新規登録のための画面については後述する。
なお、本実施形態のセキュリティ管理システムでは、利用者個人だけでなく、例えば、営業部、総務部などのように利用者グループをも取り扱うことができるようになっている。
【００２５】
また、［ファイル（Ｆ）］メニュー６１１の［開く］コマンド６１１ｂを選択することにより、業務または利用者グループの編集画面を表示させることができる。また、［印刷］コマンド６１１ｃを選択することにより、画面に表示された内容をプリンタから出力させることができる。また、［終了］コマンド６１１ｄを選択することにより［ファイル（Ｆ）］メニュー６１１を終了させることができる。
【００２６】
図５は、本実施形態のセキュリティ管理システムの［編集］メニュー画面である。
図５には、［編集（Ｅ）］メニュー６１２の４つのコマンド、すなわち、［切り取り／コピー／貼り付け］、［検索］、［削除］、［利用不許可］が示されている。
【００２７】
図６は、本実施形態のセキュリティ管理システムの［表示］メニュー画面である。
図６には、［表示（Ｖ）］メニュー６１３の３つのコマンド、すなわち、［利用者一覧］、［利用者グループ一覧］、［最新の情報に更新］が示されている。
図５および図６に示した［編集（Ｅ）］メニュー６１２および［表示（Ｖ）］メニュー６１３のコマンドの詳細についての説明は煩雑になるので省略する。
次に、利用者、利用者グループ、および業務の新規登録のための画面について説明する。図４に示したメニュー画面６００のメニューバー６１０の中から［ファイル（Ｆ）］メニュー６１１の［新規作成］コマンド６１１ａを選択すると、次の画面が表示される。
【００２８】
図７は、本実施形態のセキュリティ管理システムの新規利用者の登録画面である。
図７に示すように、メイン画面６００を用いて新規利用者の登録を行うことができる。
メイン画面６００には、上側に業務メニュー一覧６３１、下側に業務メニュー利用許可グループ画面６３２が表示されている。メニューバー６１０の［ファイル（Ｆ）］メニュー６１１の［新規作成］コマンド６１１ａを選択すると、［利用者］コマンド、［利用者グループ］コマンド、［業務］コマンドが表示される。
［利用者］コマンドを選択すると、図７右下に示すような新規利用者登録ウインドウ６４０がメイン画面６００上に重ねて表示される。その中のテキストボックス６４１，６４２，６４３内に新規利用者のＩＤ、氏名、パスワードをそれぞれ入力し、さらに、プロパティ６４４として、フリガナ、所属、年齢、性別、電話番号、生年月日を入力し、［登録］ボタン６４５を押すことにより、新規利用者が登録される。［閉じる］ボタン６４６を押すことにより新規利用者の登録は終了する。
【００２９】
図８は、本実施形態のセキュリティ管理システムの新規利用者グループの登録画面である。
図８に示すように、メイン画面６００を用いて新規利用者グループの登録を行うことができる。
メイン画面６００には、上側に業務メニュー一覧６３１、下側に業務メニュー利用許可グループ画面６３２が表示されている。メニューバー６１０の［ファイル（Ｆ）］メニュー６１１の［新規作成］コマンド６１１ａを選択すると、［利用者］コマンド、［利用者グループ］コマンド、［業務］コマンドが表示される。
［利用者グループ］コマンドを選択すると、図８右下に示すような新規利用者グループ作成ウインドウ６５０がメイン画面６００上に重ねて表示される。その中の新規利用者グループ名のテキストボックス６５１内に新規利用者グループ名を入力し、［登録］ボタン６５２を押すことにより、新規利用者グループが登録される。［閉じる］ボタン６５３を押すことにより新規利用者および新規利用者グループの登録は終了する。
【００３０】
次に、新規業務の登録画面について説明する。
図９は、本実施形態のセキュリティ管理システムの新規業務の登録画面である。
図９に示すように、メイン画面６００のメニューバー６１０の中の［ファイル（Ｆ）］メニュー６１１の［新規作成］コマンド６１１ａを選択し、［業務］コマンドを実行する。図９右下に示すように、メイン画面６００上に新規業務登録ウインドウ６６０が重ねて表示されるので、新規業務登録ウインドウ６６０内のテキストボックス６６１内に新規業務名を入力し、それに割り当てるメニューＩＤをコンボボックス６６２内で選択する。メニューＩＤはコンボボックス６６２内に表示されるものの中からのみ選択できるものとし新規入力は行えない。次いで、［登録］ボタン６６３を押すことにより、登録結果が業務メニュー一覧６３１のツリー構造に反映される。［閉じる］ボタン６６４を押すことにより新規業務の登録は終了する。
【００３１】
次に、業務に関する利用許可の設定編集について説明する。
図１０は、本実施形態のセキュリティ管理システムの業務に関する利用許可の設定編集画面である。
図８に示したメイン画面６００の［業務メニュー利用許可グループ一覧］６３２で編集対象アイテムを選択し、次いで、図１０に示すように、メイン画面６００のメニューバー６１０の中から［ファイル（Ｆ）］メニュー６１１の［開く］コマンド６１１ｂを実行する。更新を行う業務メニューおよびそれに割り当てるメニューＩＤを、メイン画面６００上に重ねて表示された業務設定−編集ウインドウ６７０内のテキストボックス６７１およびコンボボックス６７２にそれぞれ入力する。メニューＩＤはコンボボックス６７２内に表示されるものの中からのみ選択することができるが新規入力は行えない。次に、業務を利用することの可能な利用者グループの割り当てを行う。
業務設定−編集ウインドウ６７０内に表示された利用許可ボックス６７３ａ内にアクセスが許可されたグループ名の一覧が表示され、利用不許可ボックス６７３ｂ内にアクセスが許可されないグループ名の一覧が表示される。許可、不許可の移動は利用許可ボックス６７３ａと利用不許可ボックス６７３ｂとの中間に表示された［←］、［→］コマンドにより行うことができる。［登録］ボタン６７４を押すことにより、編集結果は、業務メニュー一覧６３１のツリー構造に反映される。［キャンセル］ボタン６７５を押すことにより業務に関する利用許可の設定編集は終了する。
【００３２】
以上のようにして、図１に示した本実施形態のセキュリティ管理システム１がコンピュータシステム５００（図２参照）に構築される。
各利用者は、このセキュリティ管理システムに利用者ＩＤとパスワードよりなる認証情報を入力することにより、コンピュータシステム５００内に組み込まれた複数のアプリケーションシステムについて、どのシステム、どのサブシテムが利用許可されているかを即座に知ることができる。
【００３３】
【発明の効果】
以上説明したように、本発明のセキュリティ管理システムは、取り扱うオブジェクトを固定せずにロックとキーという抽象的な概念で間接的に表現しているため、利用者にとって操作性がよく、かつ複数のアプリケーションシステムのセキュリティを総合的に管理することができる汎用的なセキュリティ管理システムを実現することができる。
【図面の簡単な説明】
【図１】本発明のセキュリティ管理システムの一実施形態を示すシステム構成図である。
【図２】本実施形態のセキュリティ管理システムが格納されるコンピュータハードウエアの概要図である。
【図３】本実施形態のセキュリティ管理システムのメイン画面である。
【図４】本実施形態のセキュリティ管理システムの［ファイル］メニュー画面である。
【図５】本実施形態のセキュリティ管理システムの［編集］メニュー画面である。
【図６】本実施形態のセキュリティ管理システムの［表示］メニュー画面である。
【図７】本実施形態のセキュリティ管理システムの新規利用者の登録画面である。
【図８】本実施形態のセキュリティ管理システムの新規利用者グループの登録画面である。
【図９】本実施形態のセキュリティ管理システムの新規業務の登録画面である。
【図１０】本実施形態のセキュリティ管理システムの業務に関する利用許可の設定編集画面である。
【符号の説明】
１ セキュリティ管理システム
１０ 認証情報
２０ 属性
１００ ロックシステム記憶手段
１０１，１０２ ロック体系
１１０，１１１，１１２，１２０，１２１，１２２ ロック
１１０ａ，１１１ａ，１１２ａ，１２０ａ，１２１ａ，１２２ａ 属性
１１０ｂ，１１１ｂ，１１２ｂ，１２０ｂ，１２１ｂ，１２２ｂ レベル
２００ キー記憶手段
２１１，２１２，２２１ キー
３００ ロックシステムアクセス手段３００
４００ システム構築手段
５００ コンピュータシステム
５１０ ファイルサーバ
５１１，５２１，５３１，５４１，５５１ 本体部
５１２，５２２，５３２，５４２，５５２ キーボード
５１３，５２３，５３３，５４３，５５３ ディスプレイ
５１４ 大容量補助記憶装置
５１５ 記憶媒体読取装置
５１６ プログラム記憶媒体
５２０ プリンタサーバ
５２４ プリンタ
５３０，５４０，５５０ クライアント
５６０ 通信回線
６００ メイン画面
６１０ メニューバー
６１１ ［ファイル（Ｆ）］メニュー
６１１ａ ［新規作成］コマンド
６１１ｂ ［開く］コマンド
６１１ｃ ［印刷］コマンド
６１１ｄ ［終了］コマンド
６１２ ［編集（Ｅ）］メニュー
６１３ ［表示（Ｖ）］メニュー
６１４ ［ヘルプ（Ｈ）］メニュー
６２１ 業務メニュー一覧
６２２ 業務メニュー利用許可グループ
６３１ 業務メニュー一覧
６３２ 業務メニュー利用許可グループ画面
６４０ 新規利用者登録ウインドウ
６４１，６４２，６４３ テキストボックス
６４４ プロパティ
６４５ ［登録］ボタン
６４６ ［閉じる］ボタン
６５０ 新規利用者グループ作成ウインドウ
６５１ テキストボックス
６５２ ［登録］ボタン
６５３ ［閉じる］ボタン
６６０ 新規業務登録ウインドウ
６６１ テキストボックス
６６２ コンボボックス
６６３ ［登録］ボタン
６６４ ［閉じる］ボタン
６７０ 業務設定−編集ウインドウ
６７１ テキストボックス
６７２ コンボボックス
６７３ａ 利用許可ボックス
６７３ｂ 利用不許可ボックス
６７４ ［登録］ボタン
６７５ ［キャンセル］ボタン
Claims (2)
- ツリー構造の各ノードに相当する各ロックに数値範囲が設定されるとともに、各ロックに、該各ロックを特定する属性が付加され、各ロックに設定される数値範囲により該各ロックの利用者が規定されるとともに、各ロックに付加される属性により、アプリケーションシステムおよび該アプリケーションシステムの階層構造が特徴付けられる、階層化された複数のロックからなる、アプリケーションシステムに対応付けられるロック体系であって、各ロックにアプリケーションシステム用に数値範囲が設定されるとともに属性が付加されてなるロック体系が１つ以上集合してなるロックシステムであり、かつ、該ロックシステムを構成するロック体系が複数存在する場合には、これら複数のロック体系に相互に異なる数値範囲が割り当てられてなるロックシステムが格納されたロックシステム記憶手段と、
各利用者に対応付けられた、数値からなるキーが格納されたキー記憶手段と、
各利用者を特定する認証情報を入力データとして受け取り、前記ロックシステムの中から、該認証情報により特定される利用者のキーを含む数値範囲が設定されたロックを検索し、該検索により得られたロックに付された属性を返却するロックシステムアクセス手段とを備えたことを特徴とするセキュリティ管理システム。 - １つのロック体系内において、１つの上層のロックに直結した１つ以上の下層のロックの各数値範囲を総合した数値範囲が該１つの上層のロックの数値範囲となるように、各ロックに数値範囲が設定されてなるものであることを特徴とする請求項１記載のセキュリティ管理システム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP17053598A JP3628876B2 (ja) | 1998-06-04 | 1998-06-04 | セキュリティ管理システム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP17053598A JP3628876B2 (ja) | 1998-06-04 | 1998-06-04 | セキュリティ管理システム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPH11353277A JPH11353277A (ja) | 1999-12-24 |
| JP3628876B2 true JP3628876B2 (ja) | 2005-03-16 |
Family
ID=15906726
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP17053598A Expired - Fee Related JP3628876B2 (ja) | 1998-06-04 | 1998-06-04 | セキュリティ管理システム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3628876B2 (ja) |
-
1998
- 1998-06-04 JP JP17053598A patent/JP3628876B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JPH11353277A (ja) | 1999-12-24 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US5956715A (en) | Method and system for controlling user access to a resource in a networked computing environment | |
| EP1625691B1 (en) | System and method for electronic document security | |
| JP3108419B2 (ja) | 複数のワークステーションからなる共同システムの操作方法 | |
| US5761669A (en) | Controlling access to objects on multiple operating systems | |
| US5990892A (en) | Administrative interface for a database in a distributed computer environment | |
| US7730182B2 (en) | System and method for integrating management of components of a resource | |
| US20080235249A1 (en) | Hierarchy global management system and user interface | |
| JP5707250B2 (ja) | データベースアクセス管理システム、方法、及びプログラム | |
| US20050065933A1 (en) | System and method for customizing form elements in a form building application | |
| US20120246115A1 (en) | Folder structure and authorization mirroring from enterprise resource planning systems to document management systems | |
| JP4275772B2 (ja) | データベースシステム、データ管理方法及びデータ管理用ソフトウェアを記録した記録媒体 | |
| AU2004258511A1 (en) | System and method for electronically managing composite documents | |
| CN101196896A (zh) | 文档提供系统和方法 | |
| JP2003006194A (ja) | データベースアクセス制御システム | |
| US7979463B2 (en) | Database system and method for access control and workflow routing | |
| US20070043716A1 (en) | Methods, systems and computer program products for changing objects in a directory system | |
| CN113139010A (zh) | 一种招标代理业务信息数字化管理系统 | |
| JP3233058B2 (ja) | 文書管理システム | |
| US20060010118A1 (en) | System and method for role-based spreadsheet data integration | |
| JP2011198245A (ja) | 文書管理システム | |
| US20150081834A1 (en) | Information processing system and method | |
| JPH1153243A (ja) | コンピュータシステム及びその処理プログラムを記録した媒体 | |
| US20060184511A1 (en) | Semantic network document container for use in attestation of management reports | |
| US8726336B2 (en) | Authorizations for analytical reports | |
| US20040260699A1 (en) | Access management and execution |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20040511 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20040914 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20041112 |
|
| A911 | Transfer to examiner for re-examination before appeal (zenchi) |
Free format text: JAPANESE INTERMEDIATE CODE: A911 Effective date: 20041117 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20041207 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20041209 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20071217 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20081217 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20091217 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20091217 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20101217 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20111217 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20111217 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20121217 Year of fee payment: 8 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20121217 Year of fee payment: 8 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20131217 Year of fee payment: 9 |
|
| LAPS | Cancellation because of no payment of annual fees |