特開2024-135462アクセスポリシー表示装置およびアクセスポリシー表示方法
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024135462
(43)【公開日】2024-10-04
(54)【発明の名称】アクセスポリシー表示装置およびアクセスポリシー表示方法
(51)【国際特許分類】
G06F 21/60 20130101AFI20240927BHJP
【ＦＩ】
G06F21/60 340
【審査請求】未請求
【請求項の数】9
【出願形態】ＯＬ
(21)【出願番号】P 2023046154
(22)【出願日】2023-03-23
(71)【出願人】
【識別番号】000004237
【氏名又は名称】日本電気株式会社
(74)【代理人】
【識別番号】100103090
【弁理士】
【氏名又は名称】岩壁 冬樹
(74)【代理人】
【識別番号】100124501
【弁理士】
【氏名又は名称】塩川 誠人
(72)【発明者】
【氏名】井ノ口 真樹
(72)【発明者】
【氏名】木下 峻一
(72)【発明者】
【氏名】三谷 昌平
(57)【要約】
【課題】視認性が向上したアクセスポリシーに関する情報を表示する。
【解決手段】アクセスポリシー表示装置１０は、アクセスポリシーの条件を構成する２つ以上の属性から選択された２つ属性における一方の属性の属性値と他方の属性の属性値との組み合わせごとに画像領域を設定し、複数の組み合わせにおけるアクセス許可またはアクセス拒否の度合いを算出し、当該度合いを区別可能に複数の画像領域が表示された画像を生成する画像生成部１１と、画像を表示する表示部１２とを含む。
【選択図】図２５
【解決手段】アクセスポリシー表示装置１０は、アクセスポリシーの条件を構成する２つ以上の属性から選択された２つ属性における一方の属性の属性値と他方の属性の属性値との組み合わせごとに画像領域を設定し、複数の組み合わせにおけるアクセス許可またはアクセス拒否の度合いを算出し、当該度合いを区別可能に複数の画像領域が表示された画像を生成する画像生成部１１と、画像を表示する表示部１２とを含む。
【選択図】図２５
【特許請求の範囲】
【請求項1】
アクセスポリシーの条件を構成する２つ以上の属性から選択された２つ属性における一方の属性の属性値と他方の属性の属性値との組み合わせごとに画像領域を設定し、複数の前記組み合わせにおけるアクセス許可またはアクセス拒否の度合いを算出し、当該度合いを区別可能に複数の前記画像領域が表示された画像を生成する画像生成手段と、
前記画像を表示する表示手段と
を備えたアクセスポリシー表示装置。
前記画像を表示する表示手段と
を備えたアクセスポリシー表示装置。
【請求項2】
アクセス許可またはアクセス拒否に関連するアクセス関連情報を前記画像に重畳する情報付加手段を備えた
請求項１記載のアクセスポリシー表示装置。
請求項１記載のアクセスポリシー表示装置。
【請求項3】
前記画像生成手段は、前記２つ属性の組み合わせの種類が異なる複数の画像を生成し、
前記表示手段は、一画面に前記複数の画像を表示する
請求項１または請求項２記載のアクセスポリシー表示装置。
前記表示手段は、一画面に前記複数の画像を表示する
請求項１または請求項２記載のアクセスポリシー表示装置。
【請求項4】
属性値の入力を受け付ける属性入力手段を備え、
前記画像生成手段は、属性の属性値を、当該入力された属性値に固定して、前記画像を生成する
請求項３記載のアクセスポリシー表示装置。
前記画像生成手段は、属性の属性値を、当該入力された属性値に固定して、前記画像を生成する
請求項３記載のアクセスポリシー表示装置。
【請求項5】
ポリシー定義情報を基に前記アクセスポリシーを生成するポリシー生成手段と、
前記ポリシー定義情報に基づいて属性値を決定する属性値決定手段とを備え、
前記画像生成手段は、属性の属性値を、当該決定された属性値に固定して、前記画像を生成する
請求項３記載のアクセスポリシー表示装置。
前記ポリシー定義情報に基づいて属性値を決定する属性値決定手段とを備え、
前記画像生成手段は、属性の属性値を、当該決定された属性値に固定して、前記画像を生成する
請求項３記載のアクセスポリシー表示装置。
【請求項6】
アクセスポリシーの条件を構成する２つ以上の属性から選択された２つ属性における一方の属性の属性値と他方の属性の属性値との組み合わせごとに画像領域を設定し、複数の前記組み合わせにおけるアクセス許可またはアクセス拒否の度合いを算出し、当該度合いを区別可能に複数の前記画像領域が表示された画像を生成し、
前記画像を表示器に表示する
アクセスポリシー表示方法。
前記画像を表示器に表示する
アクセスポリシー表示方法。
【請求項7】
アクセス許可またはアクセス拒否に関連するアクセス関連情報を前記画像に重畳する
請求項６記載のアクセスポリシー表示方法。
請求項６記載のアクセスポリシー表示方法。
【請求項8】
コンピュータに、
アクセスポリシーの条件を構成する２つ以上の属性から選択された２つ属性における一方の属性の属性値と他方の属性の属性値との組み合わせごとに画像領域を設定し、複数の前記組み合わせにおけるアクセス許可またはアクセス拒否の度合いを算出し、当該度合いを区別可能に複数の前記画像領域が表示された画像を生成する処理と、
前記画像を表示器に表示する処理と
を実行させるためのアクセスポリシー表示プログラム。
アクセスポリシーの条件を構成する２つ以上の属性から選択された２つ属性における一方の属性の属性値と他方の属性の属性値との組み合わせごとに画像領域を設定し、複数の前記組み合わせにおけるアクセス許可またはアクセス拒否の度合いを算出し、当該度合いを区別可能に複数の前記画像領域が表示された画像を生成する処理と、
前記画像を表示器に表示する処理と
を実行させるためのアクセスポリシー表示プログラム。
【請求項9】
コンピュータに、
アクセス許可またはアクセス拒否に関連するアクセス関連情報を前記画像に重畳させる
請求項８記載のアクセスポリシー表示プログラム。
アクセス許可またはアクセス拒否に関連するアクセス関連情報を前記画像に重畳させる
請求項８記載のアクセスポリシー表示プログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、アクセスポリシーを可視化するアクセスポリシー表示装置およびアクセスポリシー表示方法に関する。
【背景技術】
【0002】
アクセスポリシーに基づいてアクセス制御が行われることがある。
【0003】
ユーザがアクセスポリシーを把握しやすくするために、アクセスポリシーまたはアクセスポリシーに基づく情報を表示するように構成された装置がある（例えば、特許文献１，２参照）。
【0004】
特許文献１には、アクセスポリシーに基づくルールを、if-then形式で表すことが記載されている。特許文献２には、アクセスを分析するために決定木を使用することが記載されている。
【先行技術文献】
【特許文献】
【0005】
【特許文献1】特開２０２２－１２６７１２号公報
【特許文献2】特開２０２２－５０４６２号公報
【発明の概要】
【発明が解決しようとする課題】
【0006】
アクセスポリシーに基づくルールをif-then形式で表す場合を想定する。ユーザがアクセスポリシーを把握しやすくするためにif-then形式のテキストを表示すると、アクセスポリシーの是非の判断に利用される属性が多い場合に、テキストの行数が増えて視認性が低下する。
【0007】
ユーザがアクセスポリシーを把握しやすくするために決定木を表示すると、画像サイズが大きくなって、やはり視認性が低下する。
【0008】
本発明は、視認性が向上したアクセスポリシーに関する情報を表示できるアクセスポリシー表示装置およびアクセスポリシー表示方法を提供することを目的とする。
【課題を解決するための手段】
【0009】
本発明によるアクセスポリシー表示装置は、アクセスポリシーの条件を構成する２つ以上の属性から選択された２つ属性における一方の属性の属性値と他方の属性の属性値との組み合わせごとに画像領域を設定し、複数の組み合わせにおけるアクセス許可またはアクセス拒否の度合いを算出し、当該度合いを区別可能に複数の画像領域が表示された画像を生成する画像生成手段と、画像を表示する表示手段とを含む。
【0010】
本発明によるアクセスポリシー表示方法は、アクセスポリシーの条件を構成する２つ以上の属性から選択された２つ属性における一方の属性の属性値と他方の属性の属性値との組み合わせごとに画像領域を設定し、複数の組み合わせにおけるアクセス許可またはアクセス拒否の度合いを算出し、当該度合いを区別可能に複数の画像領域が表示された画像を生成し、画像を表示器に表示する。
【0011】
本発明によるアクセスポリシー表示プログラムは、コンピュータに、アクセスポリシーの条件を構成する２つ以上の属性から選択された２つ属性における一方の属性の属性値と他方の属性の属性値との組み合わせごとに画像領域を設定し、複数の組み合わせにおけるアクセス許可またはアクセス拒否の度合いを算出し、当該度合いを区別可能に複数の画像領域が表示された画像を生成する処理と、画像を表示器に表示する処理とを実行させる。
【発明の効果】
【0012】
本発明によれば、視認性が向上したアクセスポリシーに関する情報を表示できる。
【図面の簡単な説明】
【0013】
【図1】属性定義情報の一例を示す説明図である。
【図2】第１の実施形態のアクセスポリシー表示装置の構成例を示すブロック図である。
【図3】ポリシー画像生成部の処理の例を説明するための説明図である。
【図4】ポリシー画像生成部の処理の例を説明するための説明図である。
【図5】情報付加部の処理の例を説明するための説明図である。
【図6】表示器の表示例を示す説明図である。
【図7】２次元画像と表示例との関係の一例を示す説明図である。
【図8】第１の実施形態のアクセスポリシー表示装置の動作を示すフローチャートである。
【図9】第２の実施形態のアクセスポリシー表示装置の構成例を示すブロック図である。
【図10】第２の実施形態における属性値入力部から入力される情報と表示器の表示の例を示す説明図である。
【図11】第２の実施形態のアクセスポリシー表示装置の動作を示すフローチャートである。
【図12】第３の実施形態のアクセスポリシー表示装置の構成例を示すブロック図である。
【図13】ポリシー定義の例を示す説明図である。
【図14】第３の実施形態における属性値入力部の処理例を説明するとともに、表示器の表示の例を示す説明図である。
【図15】第３の実施形態のアクセスポリシー表示装置の動作を示すフローチャートである。
【図16】第４の実施形態のアクセスポリシー表示装置の構成例を示すブロック図である。
【図17】傾向情報の例を示す説明図である。
【図18】傾向情報が参照されて生成されたポリシー画像の表示例を示す説明図である。
【図19】第４の実施形態のアクセスポリシー表示装置の動作を示すフローチャートである。
【図20】第１の変形例を説明するための説明図である。
【図21】第１の変形例を説明するための説明図である。
【図22】第１の変形例を説明するための説明図である。
【図23】第２の変形例における表示例を示す説明図である。
【図24】ＣＰＵを有するコンピュータの一例を示すブロック図である。
【図25】アクセスポリシー表示装置の主要部を示すブロック図である。
【発明を実施するための形態】
【0014】
以下、本発明の実施形態を図面を参照して説明する。
【0015】
まず、本明細書で使用される用語を説明する。
【0016】
アクセスポリシー情報：入力されたアクセス属性に対して、アクセス許可またはアクセス拒否の判断を行うことができる情報である。アクセスポリシー情報を、属性の組み合わせに対してアクセス可否の判断を返す関数と表現してもよい。アクセスポリシー情報は、if-then形式のルール、決定木、ニューラルネットワークのモデル、対応表などで表現可能である。以下、アクセスポリシーを、単にポリシーということがある。
【0017】
アクセス属性：アクセスに関するタイプである。例えば、アクセス者のタイプ、アクセスレベルのタイプ、アクセス先リソースのタイプ、または、アクセス先で行うアクションのタイプ（読み込み、書き込み、実行など）である。以下、アクセス属性を、単に、属性ということがある。
【0018】
属性定義情報：アクセスポリシーの判断に用いられる属性の値（属性値）がとりうる値や画像出力する際の領域の区切り方などの情報を含む。属性定義情報がカテゴリ変数で表される場合には、属性定義情報は、当該変数が取りうるラベルの集合である。属性定義情報が数値変数で表される場合には、属性定義情報は、当該変数がとりうる値の範囲と画像出力する際のステップ幅とが定義される。属性値がベクトルの場合には、ベクトルの各要素を異なる属性とみなして、定義域やステップ幅が定められる。
【0019】
付加情報：アクセス関連情報を含む情報である。アクセス関連情報は、少なくとも、アクセス許可またはアクセス拒否に関連する情報を含む。アクセス関連情報は、アクセスポリシー画像（ポリシー画像）と重畳表示される。付加情報として、例えば、アクセスログ、通信ログ、既存ポリシーがある。なお、ポリシー画像は、例えば、アクセスが許可される範囲と拒否される範囲とを示す２次元画像である。
【0020】
図１は、属性定義情報の一例を示す説明図である。図１には、３つの属性が例示されている。「職位」の属性については、定義域として、属性定義情報としてのラベルの集合が例示されている。「トラストスコア」（信用度）の属性については、定義域として、変数がとりうる値の範囲が例示されている。「脆弱性数」の属性については、定義域として、属性値がとりうる値が例示されている。
【0021】
実施形態１．
図２は、第１の実施形態のアクセスポリシー表示装置の構成例を示すブロック図である。図２に示すアクセスポリシー表示装置１００は、ポリシー画像生成部１１０と、情報付加部１２０と、表示器１３０とを備えている。図２における矢印は、信号（データ）の流れの方向を端的に示すが、双方向性を排除するものではない。このことは、他のブロック図についても同様である。
図２は、第１の実施形態のアクセスポリシー表示装置の構成例を示すブロック図である。図２に示すアクセスポリシー表示装置１００は、ポリシー画像生成部１１０と、情報付加部１２０と、表示器１３０とを備えている。図２における矢印は、信号（データ）の流れの方向を端的に示すが、双方向性を排除するものではない。このことは、他のブロック図についても同様である。
【0022】
ポリシー画像生成部１１０は、２つの属性（属性Ｘ，Ｙとする。）における一方の属性値と他方の属性の属性値との組み合わせのいずれかに対応する画像領域（以下、領域という。）からなる２次元画像を作成する。ポリシー画像生成部１１０は、各サンプルについて、アクセスポリシー情報に従って、アクセスを許可すべきか拒否すべきかを判定する。サンプルの詳細は、後述される。そして、アクセス許可の比率（［アクセス許可の数／（アクセス許可の数＋アクセス拒否の数）］）に応じて、２次元画像における領域の表示の種類を決定する。
【0023】
本実施形態では、領域の表示の種類は、色の種類である。色の種類は、例えば、色の濃淡である。色の種類は、色そのもの（赤、青、黄など）であってもよい。つまり、ポリシー画像生成部１１０は、アクセス許可の比率に応じて、領域の表示色（濃淡、または、色そのもの）を決定する。領域が着色された２次元画像をポリシー画像という。
【0024】
なお、表示の種類が色の種類であることは一例である。アクセス許可の比率を区別可能であれば、領域の表示の種類は、色の種類に限られない。例えば、パターン（模様）の違いによって、アクセス許可の比率の違いを認識可能にしてもよい。また、領域の縁取りの仕方を変えることによって、アクセス許可の比率の違いを認識可能にしてもよい。
【0025】
情報付加部１２０は、ポリシー画像に、付加情報に含まれるアクセス許可またはアクセス拒否に関連する情報を付加する。すなわち、情報付加部１２０は、ポリシー画像に、アクセス関連情報を重畳する。以下、付加情報に含まれるアクセス許可またはアクセス拒否に関連する情報が付加されたポリシー画像を、付加情報が付加されたポリシー画像ということがある。
【0026】
表示器１３０は、付加情報が付加された１つまたは複数のポリシー画像を表示する。
【0027】
【0028】
ポリシー画像生成部１１０は、属性Ｘ，Ｙを選択する。図３に示す例では、属性Ｘ，Ｙとして、「機密レベル」と「職位」とが選択されている。ポリシー画像生成部１１０は、２次元画像における縦軸に属性Ｙを割り当て、横軸に属性Ｘを割り当てる。
【0029】
ポリシー画像生成部１１０は、属性定義情報に基づいて、属性Ｘ，Ｙがとりうる値の範囲で、指定された区切り方（図１参照）で領域を分割する。図３に示す例では、縦軸は、「担当」、「主任」、「課長」、「部長」、「事業部長」で区切られている。横軸は、"Public"、"Low"、"Medium"、"High"で区切られている。
【0030】
ポリシー画像生成部１１０は、各領域について、属性Ｘ，Ｙ以外の属性の値をランダムに変えたサンプルを生成する。図３には、職位：「課長」、機密レベル："Medium"の領域の例が示されている。すなわち、「課長」および"Medium"以外の属性の値をランダムに変えた複数のサンプルが生成された例が示されている。
【0031】
さらに、ポリシー画像生成部１１０は、生成した各属性値のサンプルを対象として、アクセスポリシー情報に基づいて、アクセスを許可すべきか拒否すべきかを判定する。図４には、２つのサンプルがアクセス許可と判定され、１つのサンプルがアクセス拒否と判定された例が示されている。
【0032】
ポリシー画像生成部１１０は、領域の色として、アクセス許可の比率に応じた色に決定する。図４には、アクセス許可の比率が［２／３］であって、２番目に白に近い色（具体的には、２番目に白に近い濃度）に決定されたことが例示されている。
【0033】
図３および図４には、属性Ｘ，Ｙの値が「課長」および"Medium"である場合が例示されているが、ポリシー画像生成部１１０は、全ての職位の値（「担当」、「主任」、「課長」、「部長」、「事業部長」）と全ての機密レベルの値（"Public"、"Low"、"Medium"、"High"）の組み合わせを対象として、「課長」と"Medium"の組み合わせと同様に、領域の色を決定する。
【0034】
図５は、情報付加部１２０の処理の例を説明するための説明図である。
【0035】
上述したように、情報付加部１２０は、ポリシー画像に、付加情報に含まれるアクセス許可またはアクセス拒否に関連する情報を付加する。上述したように、付加情報は、例えば、アクセスログ、通信ログ、既存ポリシーである。
【0036】
情報付加部１２０は、付加情報に含まれるアクセス許可の事例に応じて、例えば、アクセス許可を把握可能なマーク（一例として、丸）を付加する。情報付加部１２０は、付加情報に含まれるアクセス拒否の事例に応じて、例えば、アクセス拒否を把握可能なマーク（一例として、×）を付加する。
【0037】
なお、領域に対応する複数のログ等がある場合には、情報付加部１２０は、例えば、多数決によって、アクセス許可を把握可能なマークを付加するかアクセス拒否を把握可能なマークを付加するのか決定する。また、領域に対応する複数のログ等がある場合に、情報付加部１２０は、アクセス許可または拒否のどちらか一方を優先するようにしてもよい。また、情報付加部１２０は、アクセスログ、通信ログ、既存ポリシー等が存在しない領域を、アクセス許可の比率に応じて表示される色とは異なる色で表示してもよい。
【0038】
図５は、「部長」、"Low"、「許可」を示すログと、「主任」、"High"、「拒否」を示すログとがあったことが例示されている。
【0039】
【0040】
図６には、ポリシー画像生成部１１０が、属性Ｘ，Ｙの複数の組み合わせの各々に対応するポリシー画像を生成した場合の例が示されている。図６には、ポリシー画像生成部１１０が、９種類のポリシー画像を生成した場合が例示されている。
【0041】
情報付加部１２０は、複数のポリシー画像の各々に、付加情報に含まれるアクセス許可またはアクセス拒否に関連する情報を付加した後、付加情報が付加された複数のポリシー画像が並んで表示されるような画像信号を表示器１３０に出力する。表示器１３０は、一画面に、複数のポリシー画像を並べて表示する。
【0042】
図７は、２次元画像と表示例との関係の一例を示す説明図である。図７における左側には、図３に例示されたポリシー画像が示されている。図７における右側に示されている、図３に例示されたポリシー画像以外の８種類のポリシー画像は、ポリシー画像生成部１１０が、図３に例示されたポリシー画像と同様に（ただし、属性の組み合わせは異なる。）作成した複数のポリシー画像である。
【0043】
付加情報が付加された複数のポリシー画像が並んで表示されることによって、ユーザは、ポリシーの全体像を視覚的に容易に把握できる。
【0044】
次に、図８のフローチャートを参照して、第１の実施形態のアクセスポリシー表示装置１００の動作を説明する。
【0045】
ポリシー画像生成部１１０は、アクセスポリシー情報と属性定義情報とを入力する（ステップＳ１０１）。ポリシー画像生成部１１０は、図３および図４を参照して説明したように、ポリシー画像を生成する（ステップＳ１０２）。
【0046】
情報付加部１２０は、付加情報を入力する（ステップＳ１０３）。情報付加部１２０は、図５を参照して説明したように、ポリシー画像に付加情報を付加する。そして、情報付加部１２０は、付加情報が付加されたポリシー画像の画像信号を表示器１３０に出力する（ステップＳ１０４）。表示器１３０に出力される画像信号は、例えば、図６に例示された画像を表示するための信号である。
【0047】
表示器１３０は、情報付加部１２０からの画像信号を用いて、例えば、図６に例示された画像を表示する（ステップＳ１０５）。
【0048】
なお、アクセスポリシー情報、属性定義情報および付加情報の入力タイミングは、図８に示されたタイミングに限られない。例えば、属性定義情報および付加情報の入力タイミングは、あらかじめ、ポリシー画像生成部１１０および情報付加部１２０に入力されるようにしてもよい。
【0049】
以上に説明したように、本実施形態では、ポリシー画像生成部１１０は、属性値の組み合わせの各々に対応する領域からなる２次元画像を生成する。さらに、ポリシー画像生成部１１０は、アクセス許可の度合いの一例としてのアクセス許可の比率を算出する。ポリシー画像生成部１１０は、アクセス許可の比率に応じて領域の表示の種類を変える。情報付加部１２０は、領域に、アクセス関連情報を重畳する。そのような処理が実行されることによって、視認性が向上したアクセスポリシーに関する情報が表示される。なお、ポリシー画像生成部１１０は、アクセス許可の比率を算出するのではなく、アクセス拒否の比率（［アクセス拒否の数／（アクセス許可の数＋アクセス拒否の数）］）を算出してもよい。
【0050】
本実施形態では、ポリシー画像生成部１１０は、ランダムに属性の値が設定されたサンプルを生成する。しかし、ポリシー画像生成部１１０は、アクセスログや通信ログなどを利用してサンプルを生成してもよい。例えば、ポリシー画像生成部１１０は、ログ情報をそのままサンプルとしてもよい。一例として、図３に示された例に関して、職位：「課長」、機密レベル："Medium"を含むアクセスログをログ記憶部（図示せず）から抽出し、抽出したアクセスログをサンプルとする。
【0051】
また、ポリシー画像生成部１１０は、アクセスログや通信ログに基づいて各属性値の分布を計算し、分布を基にサンプルを生成してもよい。例えば、ポリシー画像生成部１１０は、アクセスログに含まれる職位の属性値の分布が、担当：0.4、主任：0.3、課長：0.15、部長：0.1、事業部長：0.05となっていた場合、サンプルに設定される属性値もその分布に従うように、サンプルを設定する。
【0052】
なお、情報付加部１２０が属性の組み合わせごとに画像を生成すると、画像の数が膨大になって視認しづらくなることも予想される。また、属性Ｘ，Ｙ以外の属性の影響が大きい場合には、属性Ｘ，Ｙの値を変えても画像中の各領域のアクセス許可の比率が少ししか変わらないため、画像から情報が読み取りづらくなることが予想される。
【0053】
下記の実施形態は、第１の実施形態で生ずる可能性がある視認性の低下を防止しうる実施形態である。
【0054】
実施形態２．
第２の実施形態では、属性ごとに具体的な値を指定可能な入力部（入力インタフェース）を設けることによって、視認性の低下を防止する。図９は、第２の実施形態のアクセスポリシー表示装置２００の構成例を示すブロック図である。
第２の実施形態では、属性ごとに具体的な値を指定可能な入力部（入力インタフェース）を設けることによって、視認性の低下を防止する。図９は、第２の実施形態のアクセスポリシー表示装置２００の構成例を示すブロック図である。
【0055】
図９に示すアクセスポリシー表示装置２００は、図２に示されたアクセスポリシー表示装置１００の構成に加えて、属性値入力部１４０を備えている。属性値入力部１４０は、属性値Ｘ，Ｙの組み合わせを特定するための情報をポリシー画像生成部１１０に供給する。
【0056】
図１０は、属性値入力部１４０から入力される情報と表示器（図示せず）の表示の例を示す説明図である。なお、表示器は、表示器１３０と兼用されてもよい。
【0057】
属性値入力部１４０は、例えば、ＧＵＩ（Graphical User Interface）を備えている。図１０における左側には、複数の属性の各々の属性値の入力画面例が示されている。図１０には、ユーザは、「職位」、「トラストスコア」、および「機密レベル」の欄に、何も入力しなかったことが例示されている。すなわち、ユーザは、それらの属性の欄を空欄とした。また、「職位」、「トラストスコア」、および「機密レベル」以外の属性の欄に、何らかの値やデータを入力したことが例示されている。
【0058】
属性値入力部１４０は、空欄に対応する属性をポリシー画像生成部１１０に供給する。また、属性値入力部１４０は、何らかの値やデータが入力された欄に対応する属性について、入力された値やデータをポリシー画像生成部１１０に供給する。
【0059】
ポリシー画像生成部１１０は、空欄に対応する属性Ｘ，Ｙの組み合わせを対象として、ポリシー画像を生成する。第一の実施の形態において、ポリシー画像生成部１１０は、属性Ｘ，Ｙ以外の属性の値をランダムに変えたサンプルを生成していた。それに対して、第２の実施形態では、ポリシー画像生成部１１０は、属性Ｘ，Ｙ以外の属性の値のうち、属性値入力部１４０で値が入力されなかった属性についてランダムに値を設定し、値が入力された属性については入力された値を固定値として用いる。例えば、属性：職位で「課長」が入力された場合には、ポリシー画像生成部１１０は、生成されるサンプルでは、属性：職位を常に「課長」を設定する。なお、ポリシー画像生成部１１０は、何らかの値やデータが入力された欄に対応する属性についてのポリシー画像を全く生成しないようにしてもよい。
【0060】
属性値入力部１４０は、各属性について特定の属性値を入力する機能とポリシー画像の軸として使う属性を指定する機能を持つと言い換えることができる。図１０に示す例では、空欄にすることでポリシー画像の軸として利用する属性を指定しているといえる。第１の実施形態では属性の種類数がＮであるなら、ポリシー画像はNＣ2個生成されることになる。なおnＣrはｎ個の中から異なるｒ個を取り出す組み合わせの数を表す。第２の実施の形態ではポリシー画像の軸として使う属性をＮより少ない数に限定するため、ポリシー画像の数を低減することができる。
【0061】
さらに、一部の属性値を固定値にすることで、画像からより明確に情報を読み取れるようになることが期待される。例えば、属性：職位が「主任」、「担当」の場合は、他の属性にかかわらず常に拒否、「部長」、「事業部長」の場合は、常に許可を返し、「課長」の場合のみ、他の属性に依存してアクセス可否が決まるようなアクセスポリシーを考える。第１の実施形態では、職位以外の属性Ｘ，Ｙのポリシー画像では、すべての職位が均等に表れるようにサンプルを生成した場合、属性Ｘ，Ｙの値にかかわらず全体の４割が許可（職位が「部長」、「事業部長」のもの）、全体の４割が拒否（職位が「主任」、「担当」のもの）と判断される。すなわち、アクセス許可の比率が０．４～０．６の範囲に限定されることになる。一方、第２の実施形態において、属性値入力部１４０が「職位」の入力欄に「課長」を指定した場合、生成されるサンプルが「課長」のみとなり、このような限定を受けることがなくなる。このため、よりアクセス許可の比率がとる値の範囲が広がるため、ポリシー画像上でより明確な違いとして認識することが可能になる。
【0062】
次に、図１１のフローチャートを参照して、第２の実施形態のアクセスポリシー表示装置２００の動作を説明する。ステップＳ２０１の処理以外の処理は、第１の実施形態のアクセスポリシー表示装置１００が実行する処理（図８参照）と同じである。ただし、ステップＳ１０２の処理は、第１の実施形態における処理とやや異なる。
【0063】
ステップＳ２０１で、属性値入力部１４０は、ＧＵＩを介して、空欄に対応する属性を入力するとともに、何らかの値やデータが入力された欄に対応する属性について、入力された値やデータを入力する。属性値入力部１４０は、それらを、ポリシー画像生成部１１０に供給する。
【0064】
ポリシー画像生成部１１０は、上述したように、限られた属性Ｘ，Ｙを対象としてポリシー画像を生成する。ポリシー画像生成部１１０はアクセス許可／アクセス拒否の判断を行うサンプルを生成する際に、値が入力された属性について当該値を固定値として用いる。
【0065】
図１０における右側には、表示器１３０の表示例が示されている。図１０に示された例では、「職位」、「トラストスコア」、および「機密レベル」の欄が空欄であるから（図１０における左側参照）、ポリシー画像生成部１１０は、属性Ｘ，Ｙ：「職位」および「機密レベル」に対応するポリシー画像と、属性Ｘ，Ｙ：「トラストスコア」および「職位」に対応するポリシー画像と、属性Ｘ，Ｙ：「トラストスコア」および「機密レベル」に対応するポリシー画像とを生成する。
【0066】
情報付加部１２０は、第１の実施形態の場合と同様に、付加情報をポリシー画像に付加し、ポリシー画像の画像信号を表示器１３０に出力する。その結果、表示器１３０には、一例として、図１０の右側に例示されたような表示がなされる。
【0067】
本実施形態では、限られた数の属性の組み合わせについてのみ、ポリシー画像を生成するため画像数が削減される。また、一部の属性について固定値を用いることで当該属性値がアクセス可否判断に与える影響を排除し、より明確に視認可能なポリシー画像とすることができる。よって、ポリシー画像の視認性の低下が防止される。
【0068】
なお、第２の実施形態において、各属性に入力される値は一つとは限らない。１つの属性に対して、複数の値を受け付けるように実施することも可能である。その場合、ポリシー画像生成部１１０は、サンプル生成時に入力された複数の値の中からランダムに値を選ぶことができる。例えば、属性：職位の入力欄で「課長」と「主任」の二つの値が入力された場合には、ポリシー画像生成部１１０は、サンプル生成時に「課長」または「主任」のいずれかを、属性：職位の属性値としてランダムに選択する。
【0069】
実施形態３．
第３の実施形態では、ポリシー情報の生成に利用されるルールの定義情報を用いて属性ごとの値の指定を行うことによって、視認性の低下を防止する。図１２は、第３の実施形態のアクセスポリシー表示装置３００の構成例を示すブロック図である。
第３の実施形態では、ポリシー情報の生成に利用されるルールの定義情報を用いて属性ごとの値の指定を行うことによって、視認性の低下を防止する。図１２は、第３の実施形態のアクセスポリシー表示装置３００の構成例を示すブロック図である。
【0070】
図１２に示すアクセスポリシー表示装置３００は、図９に示されたアクセスポリシー表示装置２００の構成にポリシー生成部１６０が追加されて構成される。ただし、第３の実施形態では、属性値入力部１４０に代えて、ポリシー定義（ポリシー定義情報）を使用する属性値決定部１５０が設けられている。
【0071】
ポリシー定義情報には、属性値が特定の値を取ることや、特定の範囲の値を取った場合にアクセス許可とするかアクセス拒否とするかの情報が含まれている。
【0072】
図１３は、ポリシー定義の例を示す説明図である。図１３に示す例では、ポリシー定義には、属性：所属の属性値が「人事部」であり、属性：役職の属性値が「課長」であり、属性：リソース部署が「人事部」である場合に、アクセス許可とすることを表す情報が含まれている。
【0073】
ポリシー生成部１６０は、図１３に例示されたようなポリシー定義（粗い粒度のポリシー定義）に対して不足を補完することによって、アクセスポリシー情報を生成する。なお、補完は、あらかじめ定められている複数種類の属性のうち、ポリシー定義には記述されていない属性を追加することである。
【0074】
図１４は、第３の実施形態における属性値決定部１５０の処理例を説明するとともに、表示器の表示の例を示す説明図である。第３の実施形態では、ポリシー定義として、複数のルールがあらかじめ定められている。
【0075】
図１４における左側には、ユーザがポリシー定義を選択するための欄の例が示されている。図１４における中央には、複数の属性の各々の属性値の入力画面例が示されている。なお、図１４に記載されている"Windows"は、登録商標である。
【0076】
ユーザが特定のポリシー定義を選択すると、属性値決定部１５０は、選択されたポリシー定義に記述されている属性値を、属性値の入力画面の対応箇所に当てはめる。
【0077】
図１４には、ユーザが「Ｒ＆Ｄルール１」というポリシー定義を選択したことが例示されている。属性値決定部１５０は、「Ｒ＆Ｄルール１」に記述されている属性およびその属性値を、入力画面の対応箇所に当てはめる。
【0078】
ポリシー画像生成部１１０は、第２の実施形態の場合と同様に、空欄に対応する属性を属性Ｘ，Ｙとして、ポリシー画像を生成する。
【0079】
図１４における右側には、表示器１３０の表示例が示されている。図１４に示された例では、属性Ｘ，Ｙ：「脆弱性数」および「トラストスコア」に対応するポリシー画像が生成されている。「脆弱性数」および「トラストスコア」は、「Ｒ＆Ｄルール１」に含まれていなかった属性である。
【0080】
次に、図１５のフローチャートを参照して、第３の実施形態のアクセスポリシー表示装置３００の動作を説明する。ステップＳ３０１，Ｓ３０２の処理以外の処理は、第２の実施形態のアクセスポリシー表示装置２００が実行する処理（図１１参照）と同じである。
【0081】
ステップＳ３０１では、ポリシー生成部１６０は、粗いポリシー定義に対して不足を補完することによって、アクセスポリシー情報を生成する。ポリシー生成部１６０は、生成したアクセスポリシー情報をポリシー画像生成部１１０に出力する。
【0082】
ステップＳ３０２では、属性値決定部１５０は、空欄の属性、および空欄でない属性の属性値を決定する。具体的には、属性値決定部１５０は、ＧＵＩを介して選択されたポリシー定義に基づいて、各属性に対して属性値を設定する。属性値決定部１５０は、空欄（属性値が設定されなかった欄）に対応する属性を、ポリシー画像生成部１１０に供給するとともに、何らかの値やデータが入力された欄に対応する属性について、入力された値やデータをポリシー画像生成部１１０に供給する。
【0083】
その他の処理は、第２の実施形態のアクセスポリシー表示装置２００が実行する処理と同じである。
【0084】
第３の実施形態では、ポリシー定義における具体的な記述がない部分（ポリシー生成部１６０が補完する部分）のアクセス許可／アクセス拒否の判断を可視化できる。
【0085】
実施形態４．
第４の実施形態では、ポリシー生成部は、ポリシー情報の生成に利用されるルールの定義情報と傾向情報とを用いて、ポリシー情報を生成する。図１６は、第４の実施形態のアクセスポリシー表示装置４００の構成例を示すブロック図である。
第４の実施形態では、ポリシー生成部は、ポリシー情報の生成に利用されるルールの定義情報と傾向情報とを用いて、ポリシー情報を生成する。図１６は、第４の実施形態のアクセスポリシー表示装置４００の構成例を示すブロック図である。
【0086】
アクセスポリシー表示装置４００は、図２に示されたアクセスポリシー表示装置１００の構成に加えて、ポリシー生成部１７０を備えている。
【0087】
ポリシー生成部１７０は、図１３に例示されたようなポリシー定義（粗い粒度のポリシー定義）に対して不足を補完するとともに、傾向情報を参照して、アクセスポリシー情報を生成する。
【0088】
傾向情報は、単一の属性がとる属性値や、複数の属性の属性値の組み合わせについて、アクセスを許可すべきか拒否すべきかの傾向を示す情報である。換言すると、傾向情報は、１つ以上の属性値を組み合わせた条件について、当該条件が成立したときに許可すべきか拒否すべきかの傾向を示す情報である。傾向情報は、例えば、スコア化されている。
【0089】
図１７は、傾向情報の例を示す説明図である。図１７には、２つの傾向情報が例示されている。図１７における左側に示されている傾向情報は、脆弱性数という属性に関する傾向情報である。図１７に示す例では、脆弱性の数が多いほどアクセスを拒否すべきという傾向が－１～１のスコアで表現されている。スコアが「１」に近づくほど、アクセスを許可すべき傾向が高い。
【0090】
図１７における右側に示されている傾向情報は、２つの属性（所属部署という属性とアクションという属性）を用いた傾向情報である。さらに、３つ以上の属性を組み合わせて傾向情報を表現することが可能である。
【0091】
図１８は、傾向情報が参照されて生成されたポリシー画像の表示例を示す説明図である。図１８における左側には、傾向情報の選択欄が示されている。右側には、生成したポリシー画像の表示部が示されている。図１８に例示するように、複数の傾向情報があるとする（図１８に示す例では、傾向情報１～傾向情報７）。なお、図１８において、ＴＳは、トラストスコアを意味する。
【0092】
ポリシー生成部１７０が傾向情報１を使用する場合を例にする。傾向情報１には、属性：職位の属性値と属性：トラストスコアの属性値との組み合わせが所定条件を満たす場合のスコアが記述されている。なお、図１８に示す例では、所定条件は、例えば、職位の属性値が「部長以上」であり、かつ、トラストスコアが０．９以上であるという条件である。
【0093】
ポリシー生成部１７０は、ポリシー定義を基に、傾向情報を参照して、詳細なポリシー情報（アクセスポリシー情報）を生成する。傾向情報は、アクセスを許可すべきか拒否すべきかの傾向を示す情報であるから、ポリシー生成部１７０は、ポリシー定義で規定される属性値または属性値の組み合わせに対して、アクセスを許可すべきか拒否すべきかの傾向を示すスコアなどを付すことによって、詳細なポリシー情報を生成できる。
【0094】
ポリシー画像生成部１１０は、傾向情報を用いて軸を決定する。すなわち、２次元画像のＸ軸方向の分割点またはＹ軸方向の分割点を決定する。換言すれば、ポリシー画像生成部１１０は、傾向情報でアクセス傾向が明示されている属性値やその組み合わせを参照して、画像の分割の仕方を決定する。例えば、ポリシー画像生成部１１０は、傾向情報が小さい順に、項目（属性値の組み合わせ）を並べる（図１８の右側参照）。なお、Ｘ軸とＹ軸との両方について傾向情報をもとに分割点を決定してもよい。その場合には、図１８における左側の傾向情報選択欄で傾向情報を２つ選ぶことができる。一方、いずれかの軸については、第１の実施形態や第２の実施形態と同様に、属性を選んでもよい。この場合、傾向情報選択欄で選択される傾向情報の数は１つになる。また、右側のポリシー画像表示部を、傾向情報をもとに分割点が決定された軸ではない方の軸に対応して選択される属性の数だけのポリシー画像を並べて表示することができる。
【0095】
次に、図１９のフローチャートを参照して、第４の実施形態のアクセスポリシー表示装置４００の動作を説明する。ステップＳ４０１，Ｓ４０２の処理以外の処理は、第１の実施形態のアクセスポリシー表示装置１００が実行する処理（図８参照）と同じである。ただし、ステップＳ１０２の処理は、第１の実施形態におけるステップＳ１０２の処理とやや異なる。
【0096】
ステップＳ４０１で、ポリシー生成部１７０は、上述したように、ポリシー定義を基に、傾向情報を参照して、詳細なポリシー情報を生成する。
【0097】
ステップＳ４０２で、ポリシー画像生成部１１０は、属性定義情報入力するとともに、ポリシー生成部１７０からアクセスポリシー情報を入力し、さらに、傾向情報を入力する。
【0098】
そして、ポリシー画像生成部１１０は、ポリシー画像を生成する（ステップＳ１０２）．本実施形態では、ポリシー画像生成部１１０は、ポリシー画像を生成するときに、傾向情報を参照して軸を決定する。
【0099】
その他の処理は、第１の実施形態のアクセスポリシー表示装置１００が実行する処理と同じである。
【0100】
［変形例１］
図２０～図２２は、第１の変形例を説明するための説明図である。第２の実施形態では、属性ごとに具体的な属性値を指定可能な入力インタフェースが設けられたが、第１の変形例では、ユーザによる属性値の入力方法が簡略化される。
図２０～図２２は、第１の変形例を説明するための説明図である。第２の実施形態では、属性ごとに具体的な属性値を指定可能な入力インタフェースが設けられたが、第１の変形例では、ユーザによる属性値の入力方法が簡略化される。
【0101】
【0102】
図２０の右側には、アクセス履歴がマーキングされた複数の画像（図２０に示す例では、９個の画像、以下、アクセス履歴画像という。）が表示された例が示されている。ユーザは、画像を選択（例えば、クリックする。）ことによって、属性値を入力することができる。図２１には、選択の仕方の一例が示されている。図２１に示す例では、ユーザが、９個のアクセス履歴画像のうちの属性Ｘ，Ｙが機密レベルおよび職位であるアクセス履歴画像を選択したことが例示されている。具体的には、「課長」および"Medium"に対応する領域を選択したことが例示されている（図２１における矢印参照）。
【0103】
属性値入力部１４０は、「課長」および"Medium"に対応する領域が選択されたことを検知する。そして、図２２に例示されるように、属性：「職位」に対応する属性値の欄に「課課長」を設定する。また、属性：「機密レベル」に対応する属性値の欄に"Medium"を設定する。
【0104】
［変形例２］
表示器１３０に、複数の情報を重ねて表示してもよい。第３の実施形態および第４の実施形態では、ポリシー生成部１６０，１７０は、図１３に例示されたようなポリシー定義を基にアクセスポリシー情報を生成した。図２３には、ポリシー定義情報とアクセスポリシー情報とが重ねて表示される例が示されている。"before"で表示されている部分がポリシー定義情報に基づくアクセスポリシーに相当する。"after"で表示されている部分がアクセスポリシー情報に基づくアクセスポリシーに相当する。
表示器１３０に、複数の情報を重ねて表示してもよい。第３の実施形態および第４の実施形態では、ポリシー生成部１６０，１７０は、図１３に例示されたようなポリシー定義を基にアクセスポリシー情報を生成した。図２３には、ポリシー定義情報とアクセスポリシー情報とが重ねて表示される例が示されている。"before"で表示されている部分がポリシー定義情報に基づくアクセスポリシーに相当する。"after"で表示されている部分がアクセスポリシー情報に基づくアクセスポリシーに相当する。
【0105】
図２３に例示されたような表示がなされることによって、アクセスポリシーが詳細化される様子を可視化できるようになる。また、例えば、組織において定められるアクセスポリシーと組織における部署で定められるアクセスポリシーとを表示して、それらを比較できるようにすることもできる。
【0106】
また、複数のアクセスポリシーの差分に色を付けて表示するようにしてもよい。例えば、ポリシー画像生成部が、アクセス許可の比率をもとに色を決定するのではなく、［一方のポリシーで許可になる数－他方のポリシーで許可になる数］の値に応じて色を付ける。
【0107】
また、複数のポリシー画像を表示するときに、画像に優先度をつけることによって、表示順を変えてもよい。例えば、アクセス許可またはアクセス拒否の領域の差分が大きいものから順に表示するようにしてもよい。また、アクセスポリシーとアクセス履歴との食い違いが大きい画像を優先表示するようにしてもよい。
【0108】
また、上記の各実施形態を、ハードウェアで構成することも可能であるが、コンピュータプログラムにより実現することも可能である。
【0109】
図２４は、ＣＰＵを有するコンピュータの一例を示すブロック図である。コンピュータは、アクセスポリシー表示装置に実装される。ＣＰＵ１０００は、記憶装置１００１に格納されたプログラム（ソフトウェア要素：コード）に従って処理を実行することによって、上記の実施形態における各機能を実現する。
【0110】
すなわち、コンピュータは、図２に示されたアクセスポリシー表示装置１００におけるポリシー画像生成部１１０および情報付加部１２０の機能を実現できる。また、コンピュータは、図９に示されたアクセスポリシー表示装置２００におけるポリシー画像生成部１１０、情報付加部１２０および属性値入力部１４０の機能を実現できる。また、コンピュータは、図１２に示されたアクセスポリシー表示装置３００におけるポリシー画像生成部１１０、情報付加部１２０、属性値決定部１５０およびポリシー生成部１６０の機能を実現できる。また、コンピュータは、図１６に示されたアクセスポリシー表示装置４００におけるポリシー画像生成部１１０、情報付加部１２０、およびポリシー生成部１７０の機能を実現できる。
【0111】
記憶装置１００１は、例えば、非一時的なコンピュータ可読媒体（non-transitory computer readable medium）である。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（tangible storage medium）を含む。非一時的なコンピュータ可読媒体の具体例として、磁気記録媒体（例えば、ハードディスク）、光磁気記録媒体（例えば、光磁気ディスク）、ＣＤ－ＲＯＭ（Compact Disc-Read Only Memory）、ＣＤ－Ｒ（Compact Disc-Recordable）、ＣＤ－Ｒ／Ｗ（Compact Disc-ReWritable）、半導体メモリ（例えば、マスクＲＯＭ、ＰＲＯＭ（Programmable ROM）、ＥＰＲＯＭ（Erasable PROM ）、フラッシュＲＯＭ）がある。
【0112】
また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）に格納されてもよい。一時的なコンピュータ可読媒体には、例えば、有線通信路または無線通信路を介して、すなわち、電気信号、光信号または電磁波を介して、プログラムが供給される。
【0113】
メモリ１００２は、例えばＲＡＭ（Random Access Memory）で実現され、ＣＰＵ１０００が処理を実行するときに一時的にデータを格納する記憶手段である。メモリ１００２に、記憶装置１００１または一時的なコンピュータ可読媒体が保持するプログラムが転送され、ＣＰＵ１０００がメモリ１００２内のプログラムに基づいて処理を実行するような形態も想定しうる。
【0114】
図２５は、アクセスポリシー表示装置の主要部を示すブロック図である。図２５に示すアクセスポリシー表示装置１０は、アクセスポリシーの条件を構成する２つ以上の属性（例えば、職位、トラストスコア、脆弱性数、機密レベル）から選択された２つ属性（例えば、職位と機密レベル）における一方の属性の属性値と他方の属性の属性値との組み合わせごとに画像領域を設定し、複数の組み合わせにおけるアクセス許可またはアクセス拒否の度合いを算出し、当該度合いを区別可能に複数の画像領域が表示された画像（例えば、２次元画像であるポリシー画像）を生成する画像生成部（画像生成手段）１１（実施形態では、ポリシー画像生成部１１０で実現される。）と、画像を表示する表示部（表示手段）１２（実施形態では、情報付加部１２０と表示器１３０とで実現される。）とを備えている。
【0115】
アクセスポリシー表示装置１０は、アクセス許可またはアクセス拒否に関連するアクセス関連情報を画像に重畳する情報付加部（情報付加手段）（実施形態では、情報付加部１２０で実現される。）を備えていてもよい。
【0116】
アクセスポリシー表示装置１０は、属性値の入力を受け付ける属性入力部（属性入力手段）（実施形態では、属性値入力部１４０で実現される。）を備え、画像生成部１１は、属性の属性値を、当該入力された属性値に固定して、画像を生成するように構成されていてもよい。
【0117】
アクセスポリシー表示装置１０は、ポリシー定義情報を基にアクセスポリシーを生成するポリシー生成部（ポリシー生成手段）（実施形態では、ポリシー生成部１２０で実現される。）と、ポリシー定義情報に基づいて属性値を決定する属性値決定部（属性値決定手段）（実施形態では、属性値決定部１５０で実現される。）とを備え、画像生成部１１は、属性の属性値を、当該決定された属性値に固定して、画像を生成するように構成されていてもよい。
【符号の説明】
【0118】
１０，１００，２００，３００，４００ アクセスポリシー表示装置
１１ 画像生成部
１２ 表示部
１１０ ポリシー画像生成部
１２０ 情報付加部
１３０ 表示器
１４０ 属性値入力部
１５０ 属性値決定部
１６０，１７０ ポリシー生成部
１０００ ＣＰＵ
１００１ 記憶装置
１００２ メモリ
１１ 画像生成部
１２ 表示部
１１０ ポリシー画像生成部
１２０ 情報付加部
１３０ 表示器
１４０ 属性値入力部
１５０ 属性値決定部
１６０，１７０ ポリシー生成部
１０００ ＣＰＵ
１００１ 記憶装置
１００２ メモリ
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】
【図16】
【図17】
【図18】
【図19】
【図20】
【図21】
【図22】
【図23】
【図24】
【図25】