特開 2022-28899 対象システムおよびアプリケーションに対するアクセス権を制御するシステム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2022028899

(43)【公開日】2022-02-16

(54)【発明の名称】対象システムおよびアプリケーションに対するアクセス権を制御するシステム

(51)【国際特許分類】

   G06F 21/62 20130101AFI20220208BHJP

【ＦＩ】

G06F21/62 318

【審査請求】有

【請求項の数】17

【出願形態】ＯＬ

(21)【出願番号】P 2021194612

(22)【出願日】2021-11-30

(62)【分割の表示】P 2019027807の分割

【原出願日】2019-02-19

(31)【優先権主張番号】15/900,475

(32)【優先日】2018-02-20

(33)【優先権主張国・地域又は機関】US

(31)【優先権主張番号】16/016,154

(32)【優先日】2018-06-22

(33)【優先権主張国・地域又は機関】US

【公序良俗違反の表示】

（特許庁注：以下のものは登録商標）

１．Ｌｉｎｕｘ

(71)【出願人】

【識別番号】516172237

【氏名又は名称】アクセンチュア グローバル ソリューションズ リミテッド

(74)【代理人】

【識別番号】100102406

【弁理士】

【氏名又は名称】黒田 健二

(74)【代理人】

【識別番号】100100240

【弁理士】

【氏名又は名称】松本 孝

(72)【発明者】

【氏名】テクストン，レクサル イー．

(72)【発明者】

【氏名】タンドン，ガウラヴ

(72)【発明者】

【氏名】シュクラ，サンジーヴ

(72)【発明者】

【氏名】マッコイ，アンソニー

(72)【発明者】

【氏名】マディヤンサラジ，シダス

(72)【発明者】

【氏名】プール，アンドリュー

(72)【発明者】

【氏名】クラドック，ハンナ

(72)【発明者】

【氏名】エイン，クルラット ウル

(72)【発明者】

【氏名】コノリー，コリーン

(72)【発明者】

【氏名】カミアブ，ファルボッド

(57)【要約】      （修正有）

【課題】対象システムに対する個人のアクセス権を適切に制御するシステム、方法及びコンピュータ可読媒体を提供する。
【解決手段】対象システムのうちの１つ以上に対するアクセス権を制御する方法は、複数の個人に関連する１つ以上の特徴を定義するプロファイルデータを個人の１つ以上の対象システムのアクセス権を示す資格とともに受信し、１つ以上の特徴と複数の個人の１つ以上の資格とを関連付けるモデルを生成し、第１のユーザ管理システムから対象個人に関連する１つ以上の特徴を定義するプロファイルデータを受信し、対象個人に関連する１つ以上の資格及び１つ以上の資格に関連する信頼値を含むリスティングを、プロファイルデータ及びモデルに基づいて生成し、所定の閾値よりも高い対応する信頼値を有する資格夫々について、資格に関連する対象システムに対する対象個人によるアクセスを許可する。
【選択図】図１

【特許請求の範囲】

【請求項1】

１つ以上の対象システムおよび／またはアプリケーションに対するアクセス権を制御するシステムであって、前記システムは、
対象個人による１つ以上の対象システムおよび／またはアプリケーションに対するアクセスを促進するために１つ以上の対象システムに命令を伝達するように構成された入出力（ＩＯ）サブシステムと、
複数の個人に関連する１つ以上の特徴を定義するプロファイルデータと当該個人の１つ以上の資格とを関連付けるモデルを含むストレージデバイスであって、各資格は、対象システム／アプリケーションのアクセス権を示し、前記モデルは、複数の確率を含み、前記確率はそれぞれ、前記複数の個人のうち、前記１つ以上の特徴のうちの特定の特徴を有する個人が、前記１つ以上の資格のうちの特定の資格を有する確率を示す、前記ストレージデバイスと、
前記ＩＯサブシステムおよび前記ストレージデバイスと通信しているプロセッサと、
命令コードを格納し前記プロセッサと通信している非一時的コンピュータ可読媒体と、
を含み、前記命令コードは、前記プロセッサにより実行されると前記プロセッサに、
対象個人に関連し、且つ前記対象個人に関連する特徴を定義するプロファイルデータを受信するように前記ＩＯサブシステムを制御することと、
前記プロファイルデータおよび前記モデルに基づいて、資格を前記対象個人に関連付けるリスティングを生成することであって、前記リスティングの生成は、前記プロファイルデータ内の前記対象個人に関連する前記特徴と、付与された資格を有する前記プロファイルデータ内の他の個人の特徴との対比を含む、前記リスティングを生成することと、
前記資格と種々の特徴の組み合わせとの関連性の信頼値を生成することであって、前記信頼値は、前記資格と種々の特徴の組み合わせとの関連性の正確さを示す、前記信頼値を生成することと、
前記モデルの確率のうち、前記対象個人に関連する前記特徴に関連するサブセットを、前記信頼値に従って選択することであって、前記選択された確率のサブセットは、前記対象個人に関連する前記特徴の組み合わせに関連する確率を含む、前記選択することと、
前記確率のサブセットから、前記確率のサブセットにそれ自体関連している資格それぞれに関連する最大の確率を判断することと、
最上位Ｎ個の最大確率に関連する資格を、前記対象個人に付与される資格として選択することと、
前記最上位Ｎ個の最大確率に関連する前記選択された資格それぞれについて、前記選択された資格に関連する対象システムに対するアクセスを前記対象個人に許可するよう、対象システムに命令を伝達するように前記ＩＯサブシステムを制御することと、
をさせる、システム。

【請求項2】

前記非一時的コンピュータ可読媒体に格納されたさらなる命令コードを含み、前記命令コードは、前記プロセッサにより実行されると前記プロセッサに、
前記対象システムの１つ以上から使用情報を受信することであって、前記使用情報は、個人がどの程度頻繁に各対象システムを利用するかを示す、前記受信することと、
特定の対象システムから受信された特定の個人に関連する前記使用情報が、所定の閾値未満の使用を示すことに応答して、
前記特定の対象システムに関連する対応する資格を前記特定の個人から取り消すよう、前記特定の対象システムに命令を伝達することと、
前記特定の個人が前記対応する資格をもはや有しないことを反映するために前記モデルを更新することと、
をさせる、請求項１に記載のシステム。

【請求項3】

前記プロファイルデータ内の前記対象個人に関連する特徴と、付与された資格を有する前記プロファイルデータ内の他の個人の特徴との対比は、前記プロファイルデータに基づいて、前記モデルから、前記複数の個人の１つ以上の特徴それぞれのノードを含むモデル化された決定樹グラフを生成することと、前記モデル化された決定樹グラフから、前記対象個人の特徴に基づいて前記対象個人に付与される資格を判断することとを含む、請求項１に記載のシステム。

【請求項4】

前記プロファイルデータ内の前記対象個人に関連する特徴と、付与された資格を有する前記プロファイルデータ内の他の個人の特徴との対比は、前記対象個人が属する前記複数の個人のクラスをＫ近傍アルゴリズムに従って判断することと、前記クラスの前記複数の個人に関連する資格を判断することと、各資格について、前記クラスの前記複数の個人のうち、前記資格を有するメンバーの数を判断することと、所定の閾値を上回るメンバーの数、Ｎ、に関連する資格を、前記対象個人に付与される資格として選択することとを含む、請求項１に記載のシステム。

【請求項5】

前記プロセッサに前記信頼値を生成することをさせる命令コードは、前記プロセッサに、
前記複数の個人の種々のサブセットに基づく複数の分類子を生成することと、
各分類子について、前記対象個人に付与される可能性がある各資格に関する信頼値を生成することと、
各分類子から、可能性がある各資格の前記信頼値を集約することであって、前記集約された信頼値が所定の閾値を上回ることは、対応する資格が前記対象個人に付与されるべきか否かを示す、前記集約することと、
をさせる命令コードを含む、請求項１に記載のシステム。

【請求項6】

前記プロセッサに前記信頼値を生成することをさせる命令コードは、前記プロセッサに、特定の資格それぞれと一緒に発生する前記対象個人の特徴の複数の組み合わせそれぞれについて、前記信頼値を計算させる命令コードを含む、請求項１に記載のシステム。

【請求項7】

１つ以上の対象システムに対するアクセス権を制御する方法であって、前記方法は、
デバイスにより、複数の個人に関連する１つ以上の特徴を定義するプロファイルデータおよび当該個人に付与された１つ以上の資格を受信するステップであって、各資格は、対象システムのアクセス権を示す、前記受信するステップと、
前記デバイスにより、前記複数の個人の前記１つ以上の特徴と前記１つ以上の資格とを関連付けるモデルを生成するステップであって、前記モデルは、複数の確率を含み、前記確率はそれぞれ、前記複数の個人のうち、前記１つ以上の特徴のうちの特定の特徴を有する個人が、前記１つ以上の資格のうちの特定の資格を有する確率を示す、前記モデルを生成するステップと、
前記デバイスにより、対象個人に関連する１つ以上の特徴を定義するプロファイルデータを受信するステップと、
前記デバイスにより、前記プロファイルデータおよび前記モデルに基づいて、前記対象個人に関連する１つ以上の資格を含むリスティングを生成するステップであって、前記リスティングを生成するステップは、
前記デバイスにより、前記プロファイルデータ内の前記対象個人の前記１つ以上の特徴と、１つ以上の付与された資格を有する他の個人のプロファイルデータとを対比するステップと、
前記デバイスにより、前記１つ以上の資格と前記対象個人との関連性の信頼値を生成するステップであって、前記信頼値の少なくともいくつかは、前記資格と前記対象個人の特徴の組み合わせとの関連性の正確さを示す、前記信頼値を生成するステップとを含む、前記リスティングを生成するステップと、
前記デバイスにより、前記モデルの確率のうち、前記対象個人に関連する前記１つ以上の特徴に関連するサブセットを、前記信頼値に従って選択するステップであって、前記選択された確率のサブセットは、前記対象個人に関連する前記１つ以上の特徴の組み合わせに関連する確率を含む、前記選択するステップと、
前記デバイスにより、前記確率のサブセットから、前記確率のサブセットにそれ自体関連している資格それぞれに関連する最大の確率を判断するステップと、
前記デバイスにより、最上位Ｎ個の最大確率に関連する資格を、前記対象個人に付与される資格として選択するステップと、
前記デバイスにより、前記最上位Ｎ個の最大確率に関連する資格それぞれについて、前記最上位Ｎ個の最大確率に関連する資格に関連する対象システムに対する前記対象個人のアクセスを許可するよう、前記対象システムに命令を伝達するステップと、
を含む方法。

【請求項8】

前記デバイスにより、前記複数の個人の種々のサブセットに基づく複数の分類子を生成するステップと、
前記デバイスにより、各分類子について、前記対象個人に付与される可能性がある各資格に関する信頼値を生成するステップと、
前記デバイスにより、各分類子から、可能性がある各資格の前記信頼値を集約するステップと、
前記デバイスにより、所定の閾値を上回る集約された信頼値を有する資格を、前記対象個人に付与される資格として選択するステップと、
をさらに含む、請求項７に記載の方法。

【請求項9】

前記デバイスにより、前記対象個人に関連する前記１つ以上の資格および前記１つ以上の資格に関連する信頼値の前記リスティングを含むレポートを生成するステップ
をさらに含む、請求項７に記載の方法。

【請求項10】

前記デバイスにより、前記対象システムの１つ以上から使用情報を受信するステップであって、前記使用情報は、個人がどの程度頻繁に各対象システムを利用するかを示す、前記受信するステップと、
特定の対象システムから受信された特定の個人に関連する前記使用情報が、所定の閾値未満の使用を示す場合、
前記デバイスにより、前記対象システムに関連する対応する資格を前記特定の個人から取り消すよう、前記対象システムに命令を伝達するステップと、
前記デバイスにより、前記特定の個人が前記対応する資格をもはや有しないことを反映するために前記モデルを更新するステップと、
をさらに含む、請求項７に記載の方法。

【請求項11】

前記プロファイルデータ内の前記対象個人に関連する１つ以上の特徴と、１つ以上の付与された資格を有する他の個人のプロファイルデータとを対比するステップは、前記デバイスにより、前記プロファイルデータに基づいて、前記モデルから、前記複数の個人の１つ以上の特徴それぞれのノードを含むモデル化された決定樹グラフを生成するステップと、前記デバイスにより、前記モデル化された決定樹グラフから、前記対象個人の特徴に基づいて前記対象個人に付与される１つ以上の資格を判断するステップとを含む、請求項７に記載の方法。

【請求項12】

前記プロファイルデータ内の前記対象個人に関連する１つ以上の特徴と、１つ以上の付与された資格を有する他の個人のプロファイルデータとを対比するステップは、前記デバイスにより、前記対象個人が属する前記複数の個人のクラスをＫ近傍アルゴリズムに従って判断するステップと、前記クラスの前記複数の個人に関連する１つ以上の資格を判断するステップと、前記デバイスにより、前記１つ以上の資格の中の各資格について、前記クラスの前記複数の個人のうち、前記資格を有するメンバーの数を判断するステップと、前記デバイスにより、所定の閾値を上回るメンバーの数、Ｎ、に関連する資格を、前記対象個人に付与される資格として選択するステップとを含む、請求項７に記載の方法。

【請求項13】

１つ以上の対象システムに対するアクセス権を制御するための命令コードを格納する非一時的コンピュータ可読媒体であって、前記命令コードは、機械に動作を実行させるために前記機械により実行可能であり、前記動作は、
複数の個人に関連する１つ以上の特徴を定義するプロファイルデータを当該個人の１つ以上の資格とともに受信することであって、各資格は、対象システムのアクセス権を示す、前記受信することと、
前記複数の個人の前記１つ以上の特徴と前記１つ以上の資格とを関連付けるモデルを生成することであって、前記モデルは、複数の確率を含み、前記確率はそれぞれ、前記複数の個人のうち、前記１つ以上の特徴のうちの特定の特徴を有する個人が、前記１つ以上の資格のうちの特定の資格を有する確率を示す、前記モデルを生成することと、
対象個人に関連する１つ以上の特徴を定義するプロファイルデータを受信することと、
前記プロファイルデータおよび前記モデルに基づいて、前記対象個人に関連する１つ以上の資格および前記１つ以上の資格に関連する信頼値を含むリスティングを生成することであって、各信頼値は、対応する資格が前記対象個人に付与されるべきかどうかを示し、前記リスティングの生成は、前記機械に、
前記モデルの確率のうち、前記対象個人に関連する前記１つ以上の特徴に関連するサブセットを選択することであって、前記モデルの複数の確率は、前記複数の個人のうち、前記１つ以上の特徴のうちの特定の特徴の組み合わせを有する個人が、前記１つ以上の資格のうちの特定の資格を有する確率を示し、前記選択された確率のサブセットは、前記対象個人に関連する１つ以上の特徴の組み合わせに関連付けられた確率を含む、前記サブセットを選択することと、
前記確率のサブセットから、前記確率のサブセットにそれ自体関連している資格それぞれに関連する最大の確率を判断することと、
最上位Ｎ個の最大確率に関連する資格を、前記対象個人に付与される資格として選択することと、
の動作をさせる、前記リスティングを生成することと、
前記最上位Ｎ個の最大確率に関連する選択された資格それぞれについて、前記選択された資格に関連する対象システムに対する前記対象個人のアクセスを許可するよう、前記対象システムに命令を伝達することと、
を含む、非一時的コンピュータ可読媒体。

【請求項14】

前記機械により実行可能なさらなる命令コードを含み、前記命令コードは前記機械に、
前記対象システムの１つ以上から使用情報を受信することであって、前記使用情報は、個人がどの程度頻繁に各対象システムを利用するかを示す、前記受信することと、
特定の対象システムから受信された特定の個人に関連する前記使用情報が、所定の閾値未満の使用を示す場合、
前記特定の対象システムに関連する対応する資格を前記特定の個人から取り消すよう、前記特定の対象システムに命令を伝達することと、
前記特定の個人が前記対応する資格をもはや有しないことを反映するために前記モデルを更新することと、
をさらに含む動作を実行させる、請求項１３に記載の非一時的コンピュータ可読媒体。

【請求項15】

前記機械により実行可能なさらなる命令コードを含み、前記命令コードは前記機械に、前記プロファイルデータに基づいて、前記モデルから、前記複数の個人の１つ以上の特徴それぞれのノードを含むモデル化された決定樹グラフを生成することと、前記モデル化された決定樹グラフから、前記対象個人の特徴に基づいて前記対象個人に付与される１つ以上の資格を判断することとをさらに含む動作をさせる、請求項１３に記載の非一時的コンピュータ可読媒体。

【請求項16】

前記機械により実行可能なさらなる命令コードを含み、前記命令コードは前記機械に、前記対象個人の業務役割データおよび他の従業員の資格データを含む前記プロファイルデータから、前記対象個人に付与される１つ以上の資格を判断する動作をさせる、請求項１３に記載の非一時的コンピュータ可読媒体。

【請求項17】

前記機械により実行可能なさらなる命令コードを含み、前記命令コードは前記機械に、前記対象個人が属する前記複数の個人のクラスをＫ近傍アルゴリズムに従って判断することと、前記クラスの前記複数の個人に関連する１つ以上の資格を判断することと、前記１つ以上の資格の中の各資格について、前記クラスの前記複数の個人のうち、前記資格を有するメンバーの数を判断することと、所定の閾値を上回るメンバーの数、Ｎ、に関連する資格を、前記対象個人に付与される資格として選択することとをさらに含む動作をさせる、請求項１３に記載の非一時的コンピュータ可読媒体。

【発明の詳細な説明】

【技術分野】

【0001】

本願は、全般的に、エンタープライズ内のコンピュータ管理に関する。特に、本願は、組織内の対象システムおよびアプリケーションに対するアクセス権を制御するシステムおよび方法について記載する。

【背景技術】

【0002】

企業は、典型的には、エンタープライズリソースプラニング（ＥＲＰ：ｅｎｔｅｒｐｒｉｓｅ ｒｅｓｏｕｒｃｅｓ ｐｌａｎｎｉｎｇ）システム、顧客関係管理（ＣＲＭ：ｃｕｓｔｏｍｅｒ ｒｅｌａｔｉｏｎｓｈｉｐ ｍａｎａｇｅｍｅｎｔ）システム、サプライチェーン管理（ＳＣＭ：ｓｕｐｐｌｙ ｃｈａｉｎ ｍａｎａｇｅｍｅｎｔ）システムなどのシステムを利用して、マーケティングプロセス、販売プロセス、物流プロセスなど企業のコアビジネスプロセスの管理機能を統合する。これらシステムそれぞれに対するアクセス権は、典型的には、システム所有者（ＩＴまたはビジネス）により制御され、個々のシステムの管理者により管理される。この場合、管理者はシステム所有者の代理として行動する。

【0003】

従業員または請負人（要求者）がこれらシステムのうちの１つに対するアクセス権を必要とするとき、従業員は、アクセス権を取得するために、システムに関連する無数の煩雑なハードル、要求方法、フォームおよびシステムリスト、アクセス資格、プロファイルならびに役割にうまく対応しなければならないこともある。例として、要求者はまず、何（例えばシステム、資格、役割またはプロファイル）を要求すべきか、何が必要となり得るかを知る必要があると思われ、次に、自分の指揮系統の中の様々な個人からの承認を要求しなければならないかもしれない。承認を受けると、要求者は、必要な承認を受けた証拠を、各管理者、システム所有者の代理などに提供しなければならないかもしれない。したがって、アクセス権の取得には時間がかかる可能性があり、重要な処理およびネットワーク帯域幅を停滞させることもある。

【0004】

アクセス権管理（すなわち作成、変更および削除）要求は、要求された結果を実現するために特定順序での実行が必要な一連のタスクを必要とする、バンドルされたタスクの複合アクションであることが多い。タスクのそうしたバンドルは、当該要求の要求者および承認者が、何が必要なのか、および何の承認が必要なのかを特定しやすくするためにも実行される。そうした要求をアンバンドルすること、および実行が必要なタスクを判断することは、人間である管理者と、基礎をなすシステムランドスケープまたはアクセス権管理システムのような中間システムについての管理者の知識とに委ねられる。そのような技術的な複雑性は、主として、以下に起因する。
・多層防御またはレイヤードセキュリティ。すなわち、重要システムがファイアウォール、ＶＬＡＮ、ＶＰＮ、セキュアデスクトップアクセスのような、数々の制御デバイスおよび制御方式により保護されている。
・最小特権の原則。すなわち、システムに対するアクセス権は、タスクを実行するのに必要な場合にのみ提供されなければならない。
・極めて特権的なタスクおよび管理タスクに対するアクセス権を制限するための責任の分離。
・アクセス権管理の容易さ。例えばシステムまたはＬＤＡＰのような外部セキュリティメカニズムに対し類似した特権を必要とする個人のグループ化。
・ネットワーク設計（セキュリティゾーン）および物理的実装の考慮。
・ユーザ管理システムを通したアクセス権管理の集中化。
・外部認証システムの使用。

【発明の概要】

【発明が解決しようとする課題】

【0005】

要求をグループ化および簡素化しようとする試みにもかかわらず、上述した要因は多くの場合、要求者および承認者が理解し記入する必要がある複雑なデータおよびフォームをもたらす。よって、要求者および承認者は、実際に必要とされるものよりも大きなアクセス権を個人について要求することもあるし、または個人とは関連性がない場合もある別の人物のアクセス特権に基づいてその個人のアクセス権を要求することもある。場合によっては、企業内での制御が限られた、またはまったくない、様々なシステムに対する全権アクセス権が要求されることもある。

【0006】

しかしながら、より大きな組織では、このような形でのアクセス権の付与は、これらシステムに関連するセキュリティ上の懸念を増大させ得る。さらに、全従業員によるアクセスに対応するために、追加の処理能力、ネットワークリソース、ストレージなどが必要になる。これは、そのようなアクセス権が実際には必要ない場合に、企業のリソースの非効率な使用につながり得る。

【課題を解決するための手段】

【0007】

第１の側面において、複数の対象システムおよび／またはアプリケーションのうちの１つ以上に対するアクセス権を制御するシステムは、入出力（ＩＯ：ｉｎｐｕｔ／ｏｕｔｐｕｔ）サブシステム、ストレージデバイス、プロセッサ、およびプロセッサと通信している非一時的コンピュータ可読媒体を含む。ＩＯサブシステムは、人事（ＨＲ：ｈｕｍａｎ ｒｅｓｏｕｒｃｅｓ）システムまたは請負人管理システムまたはユーザ管理システムから対象個人に関連する１つ以上の特徴を定義するプロファイルデータを受信して、１つ以上の対象システム／アプリケーションに対する対象個人のアクセスを促進するための命令を伝達するように構成される。ストレージデバイスは、複数の個人に関連する１つ以上の特徴を定義するプロファイルデータと、当該個人の１つ以上の資格とを関連付けるモデルを含む。各資格は、対象システム／アプリケーションのアクセス権を示す。プロセッサは、ＩＯサブシステム、ストレージデバイス、および非一時的コンピュータ可読媒体と通信している。非一時的コンピュータ可読媒体は、プロセッサにより実行されるとプロセッサに、対象個人に関連するプロファイルデータを受信するようＩＯサブシステムを制御させる、命令コードを格納する。プロセッサは、プロファイルデータおよびモデルに基づいて、対象個人に関連する１つ以上の資格、および１つ以上の資格に関連する信頼値を含むリスティングを生成する。各信頼値は、対応する資格が対象個人に付与されるべきかどうかを示す。所定の閾値よりも高い対応する信頼値を有する資格それぞれについて、プロセッサは、対象個人に対しアクセスを許可するよう、中間システム（ユーザプロビジョニングシステムまたは手動プロビジョニングのためのチケットキュー）に、または資格に関連する対象システム／アプリケーションに直接、命令を伝達するようにＩＯサブシステムを制御する。

【0008】

第２の側面において、複数の対象システム／アプリケーションのうちの１つ以上に対するアクセス権を制御する方法は、複数の個人に関連する１つ以上の特徴を定義するプロファイルデータを当該個人の１つ以上の資格とともに受信することを含む。各資格は、対象システム／アプリケーションのアクセス権を示す。本方法はさらに、１つ以上の特徴と複数の個人の１つ以上の資格とを関連付けるモデルを生成することを含む。対象個人に関連する１つ以上の特徴を定義するプロファイルデータは、人事（ＨＲ）システムまたは請負人管理システムまたはユーザ管理システムから受信される。対象個人に関連する１つ以上の資格、および１つ以上の資格に関連する信頼値を含むリスティングが、プロファイルデータおよびモデルに基づいて生成される。各信頼値は、対応する資格が対象個人に付与されるべきかどうかを示す。所定の閾値よりも高い対応する信頼値を有する資格それぞれについて、対象システムに対する対象個人によるアクセスを許可するよう、資格に関連する対象システム／アプリケーションに命令が伝達される。

【0009】

第３の側面において、複数の対象システム／アプリケーションのうちの１つ以上に対するアクセス権を制御するための命令コードを格納する非一時的コンピュータ可読媒体が提供される。命令コードは、複数の個人に関連する１つ以上の特徴を定義するプロファイルデータを当該個人の１つ以上の資格とともに受信することを含む動作を機械に実行させるために機械によって実行可能であり、各資格は、対象システム／アプリケーションのアクセス権を示す。１つ以上の特徴と複数の個人の１つ以上の資格とを関連付けるモデルが生成される。人事（ＨＲ）システムまたは請負人管理システムまたはユーザ管理システムからの、対象個人に関連する１つ以上の特徴を定義するプロファイルデータが受信される。プロセッサは、プロファイルデータおよびルールに基づいて、対象個人に関連する１つ以上の資格、および１つ以上の資格に関連する信頼値を含むリスティングを生成する。各信頼値は、対応する資格が対象個人に付与されるべきかどうかを示す。所定の閾値よりも高い対応する信頼値を有する資格それぞれについて、プロセッサは、対象個人に対しアクセスを許可するよう、中間システム（ユーザプロビジョニングシステムまたは手動プロビジョニングのためのチケットキュー）に、または資格に関連する対象システム／アプリケーションに直接、命令を伝達する。

【図面の簡単な説明】

【0010】

【図1】対象システムおよび／またはアプリケーションのグループに対するアクセス権の制御を促進するシステムを含む例示的なエンタープライズ環境を示す。

【図2】対象システムおよび／またはアプリケーションのグループに対するアクセス権を制御するために確率論的手法を実装する第１の例示的な動作を示す。

【図3】対象システムおよび／またはアプリケーションのグループに対するアクセス権を制御するためにルールベースの手法を実装する第２の例示的な動作を示す。

【図4A】特徴の組み合わせと資格とを関連付けた例示的なルールの生成を促進する情報の例示的な表を示す。

【図4B】特徴の組み合わせと資格とを関連付けた例示的なルールの生成を促進する情報の例示的な表を示す。

【図4C】特徴の組み合わせと資格とを関連付けた例示的なルールの生成を促進する情報の例示的な表を示す。

【図4D】特徴の組み合わせと資格とを関連付けた例示的なルールの生成を促進する情報の例示的な表を示す。

【図4E】特徴の組み合わせと資格とを関連付けた例示的なルールの生成を促進する情報の例示的な表を示す。

【図4F】特徴の組み合わせと資格とを関連付けた例示的なルールの生成を促進する情報の例示的な表を示す。

【図4G】特徴の組み合わせと資格とを関連付けた例示的なルールの生成を促進する情報の例示的な表を示す。

【図4H】特徴の組み合わせと資格とを関連付けた例示的なルールの生成を促進する情報の例示的な表を示す。

【図5】決定樹に対応する例示的な予測モデルの一部を示す。

【図6】Ｋ近傍アルゴリズムにより予測モデルを生成する動作を示す。

【図7】使用基準に基づく１人以上の個人の資格の自動取り消しのための動作を示す。

【図8】図面または以下の各段落に記載されるシステムの一部を構成しまたはそれを実装し得る、例示的なコンピュータシステムを示す。

【発明を実施するための形態】

【0011】

後述する実施形態は、対象個人／従業員により必要とされる資格を自動的に判断するシステムを提供することにより、背景に記載された問題を克服する。本願明細書で使用されるとき、資格および特権という用語は、特定の対象システムおよび／または対象システム上で動作しているアプリケーションに対する個人によるアクセス権を指す。対象システムおよび／またはアプリケーションに対する資格を有する個人には、対象システムおよび／またはアプリケーションに対するアクセス権が付与される。

【0012】

概して、システムは、種々の資格に関連する特徴の組み合わせを信頼値にマッピングする、種々の資格についてのルールのセットを生成する。特徴は、開始日、肩書、上司の氏名、グループＩＤなど、エンタープライズの個人に関連する種々の属性に対応する。対象個人がエンタープライズに参加すると、システムは、対象個人に対して付与する可能性がある資格を判断するために対象個人に対してルールを適用する。一部の実装において、システムは、アクセス権を付与するよう、資格に関連する対象システムおよび／またはアプリケーションに命令を自動的に伝達してもよい。さらに、または代わりに、システムは、適切な人員による検討のために資格推奨を生成してもよく、これは次に、承認または拒否されてもよい。

【0013】

システムはさらに、これらの対象システムに対する資格を持つ個人が実際にこれらの対象システムに対するアクセス権を必要とするかどうかを判断するために、対象システム／アプリケーションに使用情報を定期的に要求してもよい。アクセス権を必要としないとみなされた個人の資格は取り消されてもよい。より大きなエンタープライズでは、これにより、エンタープライズの対象システムに対する資格を有する個人の数が大幅に削減され得る。これは結果として、対象システムにより必要とされるプロセッサ、ネットワークリソース、ストレージなどの数の削減を促進する。

【0014】

このシステムは、反復して、またはリアルタイムでフィードから学習し続ける。システムは、このデータを使用して、支援を受けない形でまたは場合によっては人間との最小限の相互作用の支援によりモデルを更新して、資格に関するその予測および信頼度を自動的に適宜調整する。

【0015】

図１は、複数の対象システムに対するアクセス権の制御を促進する様々なシステム／デバイスを含む例示的なエンタープライズ環境１００を示す。環境１００の例示的なシステム／デバイスは、アクセス権制御システム（ＡＣＳ：ａｃｃｅｓｓ ｃｏｎｔｒｏｌ ｓｙｓｔｅｍ）１０２、人事（ＨＲ）システム１０４および対象システムのグループ１０６を含む。ＡＣＳ１０２、ＨＲシステム１０４および対象システム１０６は、インターネットなどのネットワーク１０７を介して互いに通信してもよい。

【0016】

ＨＲシステム１０４および対象システム１０６は、Ｉｎｔｅｌ（登録商標）、ＡＭＤ（登録商標）、もしくはＰｏｗｅｒＰＣ（登録商標）ベースのコンピュータシステムまたは別のコンピュータシステムなどのコンピュータシステムに対応してもよく、特定用途向けのコンピュータシステムを含むことができる。コンピュータシステムは、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ（登録商標）、Ｌｉｎｕｘ、Ｕｎｉｘ（登録商標）またはその他オペレーティングシステムなどのオペレーティングシステムを含んでもよい。

【0017】

ＨＲシステム１０４は、エンタープライズ１００に関連する人事の管理者などのエンタープライズ１００に関連するユーザ／個人により運用されてもよい。ＨＲシステム１０４は、プロファイルデータなどの、対象個人に関連する情報の特定を促進してもよい。例示的なプロファイルデータは、雇用開始日、肩書、階級レベル、マネージャの氏名、グループ、経験年数などのエンタープライズ特有の情報とともに、人物情報（例えば氏名、住所）を含んでもよい。

【0018】

ＨＲシステム／ｓ１０４は、対象個人に関連する情報を、エンタープライズ１００の任意数の従業員に関連するプロファイル情報を含むデータベースリポジトリに格納してもよい。この関連で、ＨＲシステム／ｓ１０４は、データベースリポジトリに格納されたプロファイル情報を、ＡＣＳ１０２のＡＰＩ１つ以上を介してＡＣＳ１０２に伝達するのを促進するように構成されてもよい。例として、ＨＲシステム／ｓ１０４は、ウェブサーバＡＰＩ、ＳＯＡＰベースのウェブサービス、ＲＥＳＴｆｕｌ ＡＰＩ、および／または別のタイプのＡＰＩなどのＡＰＩを介してＡＣＳ１０２と通信するように構成されてもよい。

【0019】

対象システム１０６は、特定のタスクを実行するように構成されエンタープライズ中に位置する様々なコンピュータに対応する。例として、第１の対象システム１０６はエンタープライズリソースプラニング（ＥＲＰ）システムに対応してもよく、第２の対象システム１０６は顧客関係管理（ＣＲＭ）システムに対応してもよく、第３の対象システム１０６はサプライチェーン管理（ＳＣＭ）システムに対応してもよい。各対象システム１０６は、権限のないアクセスを防止するために一種のアクセス権制御を実装してもよい。さらに、各対象システム１０６は様々なアプリケーションをホストしてもよく、各アプリケーションは権限のないアクセスを防止するためにその独自の形態のアクセス権制御を有してもよい。本願明細書で使用される、システムおよび／またはシステム上で動作しているアプリケーションに対するアクセス権は、資格または特権と呼ばれる。

【0020】

各対象システム１０６はさらに、ＡＣＳ１０２のＡＰＩ１つ以上を介して資格関係情報を伝達しそれを受信するように構成される。例として各対象システム１０６は、ウェブサーバＡＰＩ、ＳＯＡＰベースのウェブサービス、ＲＥＳＴｆｕｌ ＡＰＩ、および／または別のタイプのＡＰＩなどのＡＰＩを介してＡＣＳ１０２と通信するように構成されてもよい。資格関係情報は、対象システム１０６および／または対象システム１０６上で動作する特定のアプリケーションに対するアクセス権を付与せよとの、ＡＣＳ１０２からの命令に対応してもよい。資格関係情報は、対象システム１０６および／または対象システム１０６上で動作するアプリケーションに対する資格を備えた個人のリスティングを提供し対象システム１０６からＡＣＳ１０２に伝達される情報に対応してもよい。

【0021】

さらに、対象システム１０６から伝達される情報は、どの程度頻繁に個人が対象システム１０６および／または対象システム１０６上で動作するアプリケーションを使用するかを示す使用情報を提供してもよい。例として使用情報は、個人が対象システム１０６を使用した最後の時、使用の頻度（例えば１ヶ月あたりの回数）などを示してもよい。この情報は、個人が実際に対象システム１０６にアクセスする必要があるかどうかの判断を促進する。

【0022】

ＡＣＳ１０２は、プロセッサ１２５、入出力サブシステム１１０、モデルストレージ１２０、および命令コードストレージ１２７を含んでもよい。ＡＣＳ１０２は、他のサブシステムを含んでもよい。さらに詳細に後述されるように、ＡＣＳ１０２は、ＨＲシステム１０４から受信されたプロファイルデータと、対象システム１０６から受信された資格情報とを関連付けるモデル１２０を生成してもよい。ＡＣＳ１０２は、モデル１２０を使用して、新たな従業員などの対象個人の資格を予測する。

【0023】

ＡＣＳ１０２のＩ／Ｏサブシステム１１０は、ＡＣＳ１０２外のエンティティとの通信を促進するように構成される。この関連で、Ｉ／Ｏプロセッサ１１０は、判断された通信方式を使用してエンティティに情報を伝達するために、環境１００のエンティティにより利用される通信方式を動的に判断するように構成されてもよい。例としてＩ／Ｏサブシステム１１０は、第１のエンティティがＲＥＳＴｆｕｌ ＡＰＩを利用していると判断してもよく、したがって、ＲＥＳＴｆｕｌ通信方式を使用してエンティティと通信してもよい。

【0024】

さらに詳細に後述されるように、Ｉ／Ｏサブシステム１１０は、エンタープライズのユーザがＡＣＳ１０２と相互作用するために用いることができるウェブベースのインターフェース１つ以上の生成を促進するウェブブラウザを実装してもよい。ウェブブラウザは、コンピュータを介してウェブベースの機能性の一部を自動化するのを促進するウェブサービスインターフェースを実装してもよい。例として、環境１００のエンティティのうちの１つ以上は、ＡＣＳ１０２によって格納された情報に、ウェブサービスインターフェースを利用してアクセスしてもよい。

【0025】

プロセッサ１２５は、ＡＣＳ１０２の様々なサブシステム間で実行されるアクティビティを調整するために、メモリデバイス１２７に格納された命令コードを実行する。本願明細書で参照されるＡＣＳ１０２のサブシステムのいずれかのプロセッサ１２５は、Ｉｎｔｅｌ（登録商標）、ＡＭＤ（登録商標）、またはＰｏｗｅｒＰＣ（登録商標）ベースのコンピュータシステムまたは別のコンピュータシステムなどのスタンドアロンコンピュータシステムに対応してもよく、特定用途向けのコンピュータシステムを含むことができる。コンピュータシステムは、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ（登録商標）、Ｌｉｎｕｘ、Ｕｎｉｘ（登録商標）またはその他オペレーティングシステムなどのオペレーティングシステムを含んでもよい。様々なサブシステム上で実行される動作が、迅速なスケーリング、コスト削減などを促進するために、より少数またはより多数のサブシステムへと組み合わされてもよいと考えられる。

【0026】

複数の対象システム１０６に対するアクセス権を制御する際にＡＣＳ１０２のプロセッサ１２５により実行される例示的な動作が、下記に示される。この関連で、動作は、サブシステム内に存在する非一時的コンピュータ可読媒体１２７に格納され個々のサブシステムに図面に示され本願明細書で説明された動作を実行させるように構成された命令コードを介して実装されてもよい。

【0027】

図２は、複数の対象システム１０６に対するアクセス権を制御するために確率論的手法を実装する第１の例示的な動作を示す。

【0028】

動作２００にて、ＩＯサブシステム１１０は、エンタープライズの全部または多数の個人／従業員に関連するプロファイルデータをＨＲシステム１０４から、資格情報を対象システム１０６から、受信してもよい。

【0029】

動作２０５にて、プロセッサは、表１に示されるように、データセット全体の中で、特定の資格に対して特定のプロファイル特徴を有する人の割合を表すモデル１２０を生成してもよい。

【0030】

【表1】

【0031】

表１を参照する。各行は、特定の対象システム１０６または対象システム１０６上で動作しているアプリケーションに対するアクセス権などの特定の資格（すなわちＥ１、Ｅ２、Ｅ３など）に対応する。各列は、特徴（すなわちＦ１、Ｆ２、Ｆ３など）に関連する。例示的な特徴のリストが表２に提供される。

【0032】

【表2】

【0033】

各セル内の値は、特定の資格および特徴を有する従業員の比率に対応する。例として、Ｐ（Ｅ１｜Ｆ１）は、資格Ｅ１および特徴Ｆ１を有する従業員の比率、Ｅ１／Ｆ１に対応する。

【0034】

動作２１０にて、対象個人に関連性のある比率のサブセットが判断される。例として、特徴Ｆ１およびＦ３を有する対象個人に関連する比率のサブセットが表３に示されている。

【0035】

【表3】

【0036】

動作２１５にて、サブセット内の各資格について、行の中の比率の最大値が得られ、これは以下の式により表現できる。
Ｗ（Ｅ）＝ＭＡＸ［Ｐ（Ｅ｜Ｆｉ）］

【0037】

式中、Ｅは資格に対応し、Ｗ（Ｅ）。例えば、Ｐ（Ｅ１｜Ｆ１）が０．１０でありＰ（Ｅ１｜Ｆ３）が０．５である場合、最大比率Ｗは０．５に対応する。

【0038】

動作２２０にて、資格はそれらの対応する最大比率Ｗに基づいてソートされる。動作２２５にて、ソートされた資格の中の最初のＮ（例えば５）個の資格が、対象個人と関連性があると判断される。

【0039】

動作２３０にて、ＡＣＳ１０２は、最初のＮ個の資格に関連する対象システム１０６および／または対象システム１０６上で動作しているアプリケーションに、対象個人に対しアクセス権を付与するよう命令してもよい。

【0040】

別の実装において、動作２３５にて資格および対応する比率Ｗのレポートが、オペレータによる検討のために推奨の形で生成されてもよい。例として、推奨の検討を促進するために、ウェブページがオペレータに伝達されてもよい。ウェブページは、オペレータが推奨を承認または拒否できるフィールドを有してもよい。

【0041】

動作２４０にて、オペレータは、決定とともにウェブページフォームをＡＣＳ１０２に提出してもよい。その結果としてＡＣＳ１０２は、承認された資格に関連する対象システム１０６および／または対象システム１０６上で動作するアプリケーションに、対象個人に対しアクセス権を付与するよう命令してもよい。

【0042】

動作２４５にて、モデル１２０は、対象個人に属すると考えられる資格を反映するように更新されてもよい。

【0043】

図３は、複数の対象システム１０６に対するアクセス権を個人に許可する、個人に与える資格の選択を促進するルールを生成する第２の例示的な動作を示す。第２の例示的な動作は、単独で、または確率モデル１２０を強化する手段として図２の確率論的手法に追加されるレイヤとして実行されてもよい。第２の例示的な動作では、資格ごとに１つの特徴の割合を求めるのではなく、単一の各資格に関連する複数の特徴の様々な組み合わせが識別される。図３の動作は、図４Ａおよび図４Ｈを参照することでよりよく理解される。

【0044】

図３を参照する。動作３００にて、特定の資格に関連するプロファイルデータが選択される。プロファイルデータにおいて表される従業員の数は、数千、数十万などである可能性があり、任意数の資格が従業員に付与されていてもよい。ただし、説明を簡単にするために、図４Ａの従業員プロファイルデータ４００の例示的な表に示されるように、従業員が１０名のみで有効な資格がＥＮＴ＿Ａの１つである企業を想定する。

【0045】

図４Ａの表４００によれば、従業員２～１０は資格ＥＮＴ＿Ａを有するのに対して、従業員１は有しない。さらに、表４００によれば、３つのＨＲプロファイル記述語（すなわち特徴）、つまり部門、場所およびレベルがある。

【0046】

最初の問題として、説明を簡単にするために、データセットは、図４Ｂの表４１０に示されるように、モデル化される資格（例えばＥＮＴ＿Ａ）を有する当該従業員のみを含むようにプルーニングされてもよい。プルーニングは、モデル化されるすべての資格に対して繰り返されてもよく、または採用される特定のアルゴリズム次第で、プルーニングが必須ではなく且つ同じ結果を生じる手法を促進してもよい。各資格が独立して訓練されてもよい。一度に１つだけの資格に基づく独立した訓練は、訓練中に何らかの技術的問題が生じた場合に有益である。なぜなら、技術的問題の発生段階までモデル化された資格は、無事に保存でき、訓練は中止されたところから再開できるからである。資格はさらに、バッチまたはグループで訓練されてもよく、同時に訓練されてもよい。例えば、訓練のこの側面は、資格のルールの発見とみなされてもよい。

【0047】

動作３０２にて、いわゆる頻出アイテムマイニングが、選択されたプロファイルデータの特徴に対して実行されてもよい。つまり、データセット内の、閾値（サポートとして知られる）を上回るすべてのＨＲ特徴の頻度が計算されてもよく、図４Ｃの表４２０に示されるように、出現頻度に従って優先リストが作成されてもよい。次に、図４Ｄの表４３０に示されるように、各トランザクション、または従業員プロファイルが、この優先リストにより配列し直されてもよい。

【0048】

例示的な一実装において、頻出アイテムマイニングを実行するためにＦＰ－ｇｒｏｗｔｈアルゴリズムが利用されてもよい。ＦＰ－ｇｒｏｗｔｈアルゴリズムが、Ａｐａｃｈｅ Ｓｐａｒｋ（登録商標）などのＡＣＳ１０２のデータ解析実行エンジンに実装されてもよく、このアルゴリズムは、各従業員トランザクションをイテレートすることにより図４Ｅに示される樹形図４４０を生成してもよい。この樹は、抽出可能な資格の図４Ｆの表４４０にリストされたルールすべてを含むモデルとみなされてもよい。この手法は、プロファイルプルーニングの必要性をなくして、従業員データセット全体（すなわち、問題になっている資格を有するものおよび有しないもの）に対して同時に実行されてもよい。

【0049】

動作３０５にて、種々の特徴組み合わせ／ルールについて信頼値が求められてもよい。動作３００にて上述したように、従業員リストは、モデル化される資格を有する当該従業員のみに限定されてもよい。よって、図４Ｆの表４５０にリストされたルールは、モデル化された資格に特有であったものであり、資格を有しない従業員のプロファイルを考慮したものではなかった。したがって、得られたルールそれぞれに信頼度スコアが割り当てられるとすれば、信頼度スコアはちょうど１００％となるであろう。つまり、発見された各ルールは、常に、モデル化された資格を有するという結果になる。しかし、これは真の信頼値、つまり、資格ありのルールの発生と、従業員ランドスケープ全体におけるルールの発生との比率を反映していない。したがって、図４Ｇの表４６０に示されるように、特定のルールが従業員ランドスケープ全体の中でどの程度頻繁に発生するかを判断することにより真の信頼度レベルが計算される。ＦＰＧｒｏｗｔｈアルゴリズムが利用される場合、方法は１つのステップで樹全体を正確な信頼度スコアにより構築できるので、このステップは必須ではない。

【0050】

図４Ｇの表４６０によれば、ファイナンスにいてレベル８である従業員は全員、資格ＥＮＴ＿Ａを有し、ベルリンを拠点とするファイナンスの従業員は全員、資格ＥＮＴ＿Ａを有する。信頼度レベルは次のように計算できる：
信頼度＝（ＨＲ特徴＆資格の頻度）／（データセット全体の中のＨＲ特徴の頻度）

【0051】

動作３０７にて、重複した特徴組み合わせ／ルールがルールセットから除去されてもよい。頻出アイテムセットすべてについて信頼度スコアが計算された後、ルールがより高いレベル（親）のルールにより包含されることが理由で重複しているアイテムが、或る割合あるかもしれない。例として、図４Ｆの表４５０によれば、従業員は、ファイナンスにいてレベル８である場合、１００％の可能性でＥＮＴ＿Ａを有する。したがって、従業員がファイナンスに属しレベル８である限り、余分な場所情報（例えば［ファイナンス，レベル８，ダブリン］および［ファイナンス，レベル８，ベルリン］および［ファイナンス，レベル８，ロンドン］）は問題にならない。このシナリオでは、図４Ｈの表４７０の取り消し線を引かれた行によって示されるように、３つのルールは除去されてもよい。

【0052】

実際には、発見されるルールのうち約９０％が、このように重複することが分かった。なお、ルールが除去されてもよいのは、親と子との信頼度スコアが極めて近い（例えばすべてが１００％）場合のみであろう。［ファイナンス，レベル８］は、［ファイナンス］のみが存在するという事実によっては重複とされないことに注目されたい。この理由は、信頼度スコアに１０％の差があり、したがって、この事例では追加情報が重要と考えられるからである。この点は、予測のためにも重要であろう。従業員に資格を割り当てる最上位レベルの理由を見つけることが重要であり、このステップはこの側面を促す。例えば、例として「生得権」資格など、組織内の全従業員が有する資格があったとすれば、その資格を個人に割り当てる関連性のある理由は、彼らが従業員であるという事実のみである。その資格について発見される可能性のある他のルールはすべて問題とされないであろう。

【0053】

同様に、２５人のプロジェクトチームが資格を必要とする場合、重要なのは、彼らがそのプロジェクトに携わっているということだけのはずである。彼らがプロジェクトで行う、または有する具体的なタスク／機能は問題とされなくてもよい。一方、プロジェクトに携わっているＩＴ従業員５名のみが資格を必要とするのであれば、従業員がプロジェクトに携わっていて且つＩＴに属しているという事実が最上位レベルの理由である。前述の各事項は、問題になっているルールが同じ（または非常に近い）信頼度スコアを有する、つまり、子ルールの追加情報が、親について得られた信頼度スコアに影響を与えないことを想定している。

【0054】

上記の動作は、プロファイルデータにおいて識別される資格の全部またはサブセットに対して実行され得る。各資格について、図４Ｈの表４７０などのルール表が保存されてもよい。

【0055】

実行され得る後の動作は、動作２２０～２３０において上述したものに類似する。例として、動作３１０にて、資格が対応する最大信頼値に基づいてソートされてもよい。動作３１５にて、ソートされた資格の中の最初のＮ個の資格が、対象個人と関連性があると判断されてもよい。動作３２０にて、これらの資格は、対象個人に自動的に割り当てられてもよく、または動作３２５にて、動作時に承認または拒否されるべき推奨として対応する信頼値とともに検討者に提示されてもよい。動作３３０にてフィードバックが受信されてもよく、動作３３５にてモデル１２０が更新されてもよい。

【0056】

一部の事例では、データセット全体に対して動作を実行する前に、上記の動作により生成され得るルールの数を予測することが有用かもしれない。これは、システム実装中に分かると有益な、メモリ使用量および／またはシステムが必要とするであろうその他リソース要件の予測を促進する。一部の実装において、これは、訓練データセットを使用して動作を実行することにより達成されてもよい。訓練データセットが繰り返し処理されて、或る範囲の特徴に対する相対的に小さいが代表的な資格のサンプルに関連するルールが識別されてもよい。各資格および特徴パラメータの各選択に対していくつルールが生成されると予想されるかを予測しやすくするであろう関係の判断を促進するために、このデータセット中の各実行は十分であろう。

【0057】

さらに別の実装において、上記で生成されたルールは、例えばルールの信頼値が基礎をなすデータに適合するかどうかをテストすることにより、検証されてもよい。

【0058】

図５および図６は、複数の対象システム１０６に対するアクセス権の制御を促進するために生成され得る異なるタイプの予測モデル１２０を示す。例として、図５は、決定樹に対応する例示的な予測モデルの一部５００を示し、各ノードは特徴に対応する。決定樹モデル５００は、ＨＲシステム１０４から受信された従業員プロファイルデータに基づいて訓練されたものであってもよい。この事例においてモデル５００を訓練するために使用された例示的な予測モデル５００の主要な特徴には、ＣａｐａｂｉｌｉｔｙＤｅｓｃｒ、ＣｏｕｎｔｒｙＮｍ、ＣｏｍｐａｎｙＤｅｓｃｒが含まれた。グラフに示されておらず訓練に使用される他の特徴には、ＣｏｓｔＣｅｎｔｅｒＤｅｓｃｒ、ＦａｃｉｌｉｔｙＤｅｓｃｒ、ＭｅｔｒｏＣｉｔｙＤｅｓｃｒ、ＰｒｏｆｉｔＣｅｎｔｅｒＤｅｓｃｒ、ＴａｌｅｎｔＳｅｇｍｅｎｔＤｅｓｃｒ、ｔｉｍｅ＿ｓｉｎｃｅ＿ｊｏｉｎｅｄおよびその他多数の特徴が含まれ得る。

【0059】

訓練中、決定樹モデル５００は、特権／資格に対応する結果の予測を促進するために必要なルールを学習してもよい。これらのルールは、各特徴でノードを分けて、可能な２つの経路から１つを選択することによって作成される。例として、「ＣａｐａｂｉｌｉｔｙＤｅｓｃｒ」が「ソフトウェアエンジニアリング」であり、「ＣｏｕｎｔｒｙＮｍ」が「英国」であり、「ＣｏｍｐａｎｙＤｅｓｃｒ」が「アクセンチュア」であれば、決定樹モデル５００の資格出力はＥ１となるであろう。

【0060】

図６は、Ｋ近傍アルゴリズムにより予測モデルを生成する例示的な動作を示す。ブロック６００にて、対象個人がエンタープライズの全従業員を表す空間内にプロットされてもよい。

【0061】

ブロック６０５にて、特徴に基づく対象個人の最近傍が判断される。例として、対象個人のものに類似した特徴を有するエンタープライズの従業員を選択するために、Ｋ近傍アルゴリズムにおいてＫが３、５または７にセットされてもよい。

【0062】

ブロック６１０にて、表４に示されるように、対象個人の最近傍の資格を表すクラスタ特権プロファイル（ＣＰＰ：ｃｌｕｓｔｅｒ ｐｒｉｖｉｌｅｇｅ ｐｒｏｆｉｌｅ）が生成される。

【0063】

【表4】

【0064】

表４を参照する。各列は、対応する近傍従業員が有するかもしれない考えられる資格を表す。セル内の１の値は、従業員が対応する資格を有することを示し、０の値は、従業員が対応する資格を有しないことを示す。各資格に対する重みは、列内のセルの値の合計に対応し、各資格の信頼度は、重み／近傍数の比率に対応する。したがって、表４によれば、最高の信頼度を有する資格はＥ１に対応する。次に高いのはＥ２およびＥ３、のようになる。

【0065】

ブロック６１５にて、所定の閾値より高い信頼度（例えば＞５０％）を有する資格が、対象個人に関連性があると判断される。

【0066】

動作６２０にて、ＡＣＳ１０２は、これらの資格に関連する対象システム１０６および／または対象システム１０６上で動作するアプリケーションに、対象個人に対しアクセス権を付与するよう命令してもよい。他の手法と同様に、推奨のリストが検討者に伝達されてもよく（動作６２５）、検討者はＡＣＳ１０２によってされた推奨を承諾または拒否してもよい（動作６３０）。検討者により提供されたフィードバックに基づいてモデル１２０が更新されてもよい（動作６３５）。

【0067】

他の予測モデルが利用されてもよい。例として、別の実施形態において、アンサンブルモデルを生成するためにアンサンブル方法が利用されてもよい。アンサンブル方法の中心となる目標は、複数の分類モデルにより行われる予測を集約することである。例として、１つのアンサンブル方法では、エンタープライズの全従業員に関連する特徴データに対応する訓練データが訓練データのサブセットへと分割される。訓練データの各サブセットについて、種々のモデルが訓練される。

【0068】

各モデルを訓練した後、テストデータが使用されて資格ごとのモデルの平均性能が計算されてもよい。資格データは、２値ベクトルの形式で表されてもよく、モデルの性能は、平均精度、再現率、および／またはＦ１スコアのいずれかにより測定されてもよい。

【0069】

上述した様々な実施形態は、エンタープライズ１００の新たな従業員の資格の効率的な設定を促進する。従業員の資格を設定するのに加え、ＡＣＳ１０２はさらに、使用基準に基づく１人以上の個人の資格の自動取り消しを促進してもよい。例として図７を参照すると、動作７００にて第１の対象システム１０６は、使用情報をＡＣＳ１０２にレポートしてもよい。使用情報は、個人が対象システム１０６を利用した頻度、個人が対象システム１０６を使用した最後の時、および／または別の使用メトリックを示してもよい。

【0070】

動作７０５にてＡＣＳ１０２は、資格の取り消しが正当とされるかどうかを判断するために、使用情報と使用閾値とを比較してもよい。

【0071】

動作７１０にて取り消しが正当とされれば、動作７１５にてＡＣＳ１０２は、資格を取り消すよう命令を対象システム１０６に伝達する。

【0072】

動作７２０にて、ＡＣＳ１０２は、資格を取り消された個人がもはや資格を有しないことを反映するためにモデル内の情報を更新してもよい。

【0073】

図７に記載された動作は、毎日、毎週、毎月またはリアルタイムでなど、一定間隔で発生してもよい。動作は、不必要な資格の数の削減を促進し、これは、対象システム１０６にアクセスできる個人の数を削減することにより対象システム１０６のセキュリティを改善するという追加の利点を有する。モデルに対する変更は、資格を対象個人に割り当てるとき上記で行われた予測に対する変更をもたらしてもよい。このように、時間外に、エンタープライズ中の全個人または不必要に多数の個人ではなく、対象システム１０６へのアクセス権を真に必要としている者に資格が提供され得る。

【0074】

図８は、上述したシステム、環境、デバイスなどの一部を構成しまたはそれを実装し得る、コンピュータシステム８００を示す。コンピュータシステム８００は、上述した動作のいずれかをコンピュータシステム８００に実行させるためにプロセッサ８０５が実行してもよい命令８４５のセットを含んでもよい。コンピュータシステム８００は、スタンドアロンデバイスとして動作しても、または例えばネットワークを使用して他のコンピュータシステムもしくは周辺デバイスに接続されてもよい。

【0075】

ネットワーク化された展開では、コンピュータシステム８００は、サーバ・クライアントネットワーク環境のサーバの資格で、もしくはクライアントコンピュータとして、またはピアツーピア（もしくは分散型）環境のピアコンピュータシステムとして動作してもよい。コンピュータシステム８００はさらに、デバイスに１つ以上のアクションを実行させる命令８４５（シーケンシャルまたはその他）を実行できる、パーソナルコンピュータまたはモバイルデバイスなどの様々なデバイスとして実装されること、またはこれに組み入れられることができる。さらに、記載されたシステムはそれぞれ、個別に、または共同で、命令の１つまたは複数のセットを実行して１つ以上のコンピュータ動作を実行する、サブシステムの集合を含んでもよい。

【0076】

コンピュータシステム８００は、情報を伝達するためにバス８２０に通信接続された１つ以上のメモリデバイス８１０を含んでもよい。さらに、コンピュータシステムに上述の動作を実行させるよう動作可能なコードが、メモリ８１０に格納されてもよい。メモリ８１０は、ランダムアクセスメモリ、読み取り専用メモリ、プログラマブルメモリ、ハードディスクドライブまたはその他任意のタイプのメモリもしくはストレージデバイスであってもよい。

【0077】

コンピュータシステム８００は、液晶ディスプレイ（ＬＣＤ：ｌｉｑｕｉｄ ｃｒｙｓｔａｌ ｄｉｓｐｌａｙ）、陰極線管（ＣＲＴ：ｃａｔｈｏｄｅ ｒａｙ ｔｕｂｅ）またはそのほか情報伝達に適した任意のディスプレイなどのディスプレイ８３０を含んでもよい。ディスプレイ８３０は、プロセッサ８０５によりもたらされる処理結果をユーザが見るためのインターフェースとしての役割を果たしてもよい。

【0078】

さらに、コンピュータシステム８００は、ユーザがシステム８００のコンポーネントと相互作用できるようにするよう構成された、キーボードまたはマウスまたはタッチスクリーンなどの入力デバイス８２５を含んでもよい。

【0079】

コンピュータシステム８００はさらに、ディスクまたは光学式ドライブユニット８１５を含んでもよい。ドライブユニット８１５は、命令８４５が格納されてもよいコンピュータ可読媒体８４０を含んでもよい。この命令８４５は、コンピュータシステム８００による実行中、完全または少なくとも部分的にメモリ８１０内および／またはプロセッサ８０５内に存在してもよい。メモリ８１０およびプロセッサ８０５はさらに、上記のコンピュータ可読媒体を含んでもよい。

【0080】

コンピュータシステム８００は、通信ネットワーク８５０を介した通信をサポートする通信インターフェース８３５を含んでもよい。ネットワーク８５０は、有線ネットワーク、無線ネットワークまたはその組み合わせを含んでもよい。通信インターフェース８３５は、８０２．１１、８０２．１２、８０２．２０、ＷｉＭＡＸ、携帯電話規格またはその他通信規格などの任意数の通信規格を介した通信を可能にしてもよい。

【0081】

したがって、本願明細書に記載された方法およびシステムは、ハードウェア、ソフトウェア、またはハードウェアとソフトウェアとの組み合わせにおいて実現されてもよい。本方法およびシステムは、少なくとも１つのコンピュータシステムにおいて集中方式で実現されてもよく、または種々の構成要素が相互接続されたコンピュータシステムに散在する分散方式で実現されてもよい。任意の種類のコンピュータシステム、またはそのほか本願明細書に記載の方法を実行するようになっている装置が採用され得る。

【0082】

本願明細書に記載される方法およびシステムはさらに、本願明細書に記載された動作の実装を可能にするすべての特徴を含みコンピュータシステムにロードされると当該動作を実行できる、コンピュータプログラム製品に組み込まれてもよい。本願明細書で使用されるコンピュータプログラムは、直接にか、またはａ）第１の言語、コードもしくは表記法の別の言語、コードもしくは表記法への変換と、ｂ）第１の言語、コードもしくは表記法の複製とのうちの１つ以上の後にか、のいずれかで、デバイスに特定の機能を実行させることを目的とした、機械実行可能命令のセットの機械実行可能言語、コードまたは表記法での表現を指す。

【0083】

方法およびシステムについて、特定の実施形態を参照して記載してきたが、当業者には当然のことながら、特許請求の範囲に記載の範囲から逸脱することなく、様々な変更が加えられることも、等価物が代わりに用いられることもある。したがって、本方法およびシステムは、開示された特定の実施形態に限定されず、開示された方法およびシステムは、添付の特許請求の範囲に記載の範囲内に入るすべての実施形態を含むものとする。

【図1】

【図2】

【図3】

【図4A】

【図4B】

【図4C】

【図4D】

【図4E】

【図4F】

【図4G】

【図4H】

【図5】

【図6】

【図7】

【図8】