EMC Documentum IRM の ご 紹 介 EMCジャパン 株 式 会 社 インフォメーションインテリジェンス 事 業 本 部 1 EMCのアプローチ(1/2) 場 所 で 制 御 する 従 来 型 方 式 にプラスし, ファイルで 制 御 する 鍵 方 式 (Documentum IRM)を 採 用 することにより さらに 堅 牢 なセキュリティシステム を 実 現 場 所 で 制 御 する ファイル 単 位 で 制 御 する 文 書 と 人 を 結 びつけて アクセス 権 限 をコントロール ファイルのダウンロードの 禁 止 ( 持 ち 出 し 制 限 /アクセスコントロール) ファイルひとつひとつに 鍵 をかける 万 一 ID/Password+ファイルの すべてが 流 出 したら 文 書 の 所 在 は 不 問 コピーされてもOK 操 作 履 歴 の 監 査 監 査 制 御 不 能 文 書 毎 の アクセス 権 限 物 理 的 な 持 ち 出 しの 禁 止 ファイルを 壁 で 守 る 万 一 流 出 しても 監 査 と 制 御 が 可 能 2
EMCのアプローチ(2/2) IRMは 文 書 ファイルの 暗 号 化 と 権 限 管 理 により 情 報 の 漏 洩 を 防 止 します! 従 来 の 情 報 保 護 アプローチ 限 定 された 利 用 者 だけがアクセス EMCのアプローチ 利 用 者 は 不 特 定 多 数 フォルダやハードディスクなど 大 きな 単 位 で 暗 号 化 正 当 な 利 用 者 が 持 ち 出 し/ コピーした 情 報 は 保 護 の 対 象 外 情 報 流 出 後 は 打 ち 手 がない 内 部 だけで 利 用 する 情 報 を 保 護 ファイル 単 位 で 暗 号 化 正 当 な 利 用 者 から 故 意 または 事 故 により 流 出 した 情 報 (コピーも 含 む)も 同 様 に 保 護 流 出 発 覚 後 即 時 失 効 できる 外 部 と 共 有 しなければならない 情 報 まで 保 護 3 Documentum IRMのメカニズム 1 コンテンツを 保 護 する ( 暗 号 化 +ポリシ 設 定 ) 閲 覧 可 協 力 会 者 Aのみ 印 刷 不 可 有 効 期 限 30 日 保 護 されたコンテンツは 通 常 のワークフ ロー(e-mail, ファイル 共 有, CD, コンテ ンツ 管 理 )を 通 して 配 信 される 3 6 ポリシーで 許 可 されて いないため 開 くこと ができない 社 員 SSL IRM Server AD GUID 設 定 した 5 ポリシー 暗 号 鍵 がサーバ Recipient IRMサーバーに is authenticated. 接 続 し 認 証 Enterprise と 許 可 のた Content activity viewed 上 に 保 2 管 される めにエンタープライズディレクトリが directories referenced for 参 照 さ アクセスログで and policy dynmaically 監 査 が 可 能 れる ポリシーで authentication 許 可 and されている authorization. 権 限 で 暗 権 限 もダイナミックに changed 変 更 で 号 化 Content されたコンテンツを is opened 開 く with 暗 号 policy 鍵 はメモ きる リ 上 から 削 除 される enforced. ポリシー 設 定 閲 覧 可 協 力 会 社 A 印 刷 不 可 期 限 30 日 Plug-in 4 SSL 協 力 会 社 A 第 三 者 4
他 社 製 品 との 差 別 化 ポイント 1 ネットワークの 外 でのアクセス 制 限 プラグイン 経 由 でサーバーへの 認 証 を 必 要 とし どこにあっても 操 作 を 制 限 させられる 2 3 4 動 的 な 権 限 管 理 表 示 編 集 や 印 刷 の 操 作 制 限 が ファイルの 配 布 後 にも 変 更 が 可 能 詳 細 なアクセスログ 誰 がいつアクセスしたのかだけでなく 認 証 の 失 敗 や 印 刷 などの 操 作 も 記 録 マルチファイルフォーマット 対 応 Plug-in SDKを 利 用 しあらゆるファイルフォーマットに 対 してポリシー 付 与 が 可 能 5 IRMの 機 能 と 特 徴 機 能 永 続 的 な 情 報 保 護 動 的 な 権 限 管 理 有 効 期 限 の 自 動 失 効 継 続 的 な 監 査 証 跡 オフラインアクセス 動 的 な 透 かし 既 存 のインフラとの 統 合 特 徴 編 集 中 や 利 用 されていない 間 転 送 中 配 布 後 であっても 常 に 情 報 が 保 護 される 情 報 を 受 け 取 った 側 の 個 人 ごとに 許 可 する 操 作 をリアルタイムに 変 更 することができる どこにファイルが 置 かれていても 期 限 がきた ら 自 動 的 にアクセスを 失 効 させることができる 文 書 ごとに どのユーザーが 何 をしたのか 詳 細 な 記 録 が 残 る インターネットにつながらない 環 境 であっても ファイルを 開 くことができる 印 刷 時 に いつ 誰 が 印 刷 したのかを 強 制 的 に 出 力 させられる 既 存 の 認 証 ドメインやと 統 合 により ユーザー 管 理 の 負 荷 の 軽 減 や 自 動 認 証 の 利 用 が 可 能 にな る 6
Documentum IRM の 仕 様 認 証 方 法 シェアードシークレット Active Directory LDAP 暗 号 化 方 式 AES 256bit ( 共 通 鍵 方 式 ) 通 信 方 式 SSL 対 象 クライアント 製 品 Adobe Acrobat/MS Office Word, Excel, PowerPoint 暗 号 文 書 配 布 後 のアクセス コントロール 閲 覧 禁 止 編 集 禁 止 印 刷 禁 止 (スクリーンショットも 禁 止 ) コピー&ペースト 禁 止 透 かし 挿 入 アクティビティログ オフライン 設 定 有 効 期 限 設 定 ネットワークロケーションでの 制 限 文 書 管 理 システム 連 携 7 IRMシステム 構 成 概 要 DMZ 外 部 IRMクライアント -MS Office IRMクライアント -MS Office IRM Server - エクスターナル 用 -Active/Standby IRM Server - インターナル 用 -Active/Standby RDBサーバー - 鍵 とポリシーの 保 管 -RDBMS 別 途 ご 手 配 下 さい Development & SDK 用 サーバー - 開 発 環 境 用 - フォルダ 監 視 APL 開 発 用 Active Directory - 社 内 認 証 用 - 連 既 存 のADサーバー -IRM Serverが 連 携 8
IRMの 機 能 1 文 書 への 操 作 の 制 限 表 示 編 集 して 保 存 コピー&ペースト 印 刷 スクリーンショット ファイル 名 の 変 更 やファイルのコピーがされても 制 限 は 全 て 継 承 される 9 IRMの 機 能 2 動 的 な 権 限 設 定 配 布 後 であっても ファイルの 差 し 替 えをせずに 権 限 を 変 更 ができる 情 報 漏 えい 後 も 瞬 時 にアクセス 権 の 取 り 消 し( 文 書 の 回 収 )が 可 能 ファイルの 利 用 者 仕 様 書 Ver.1 表 示 可 印 刷 不 可 編 集 不 可 仕 様 書 Ver.1 表 示 可 印 刷 可 編 集 可 仕 様 書 Ver.1 表 示 可 印 刷 可 編 集 可 仕 様 書 Ver.2 表 示 可 印 刷 可 編 集 可 ファイルを 開 く ポリシー ファイルを 保 護 認 証 し 常 に 新 しいポリシーで 開 く ポリシー 変 更 印 刷 許 可 編 集 許 可 編 集 して 保 存 ポリシーは 継 承 される ファイルの 所 有 者 10
IRMの 機 能 3 詳 細 なアクセスログの 記 録 ユーザーのOffice, Acrobatのプラグインから 確 認 が 可 能 サーバー 側 にはさらに 詳 細 な 情 報 が 記 録 されている ログの 情 報 ユーザーID アクセス 元 のIPアドレス もしくはドメイン 名 操 作 内 容 読 み 取 り( 開 く) 印 刷 変 更 ( 編 集 して 保 存 ) 11 IRMの 機 能 4 透 かしの 印 刷 固 定 の 文 字 列 だけでなく 印 刷 時 の 動 的 な 情 報 を 強 制 的 に 出 力 Office, PDF 文 書 に 対 応 PDF 文 書 では ディスプレイにもリアルタイムに 表 示 印 刷 した 人 の ユーザーID 印 刷 した コンピュータの IPアドレス 印 刷 した 日 時 12
IRMの 機 能 5 有 効 期 限 有 効 な 時 間 帯 の 設 定 期 日 ( 日 付 指 定 )もしくは 期 間 ( 相 対 的 な 日 数 指 定 )でファイルを 利 用 できる 期 限 の 設 定 が 可 能 ファイルがいつから 有 効 になるのかの 設 定 が 可 能 ネットワークロケーションでのアクセス 制 限 同 じユーザーの 同 じファイルへの 操 作 であっても アクセス 元 のネットワークロ ケーションによってアクセスの 制 限 ができる 研 究 室 アクセス 許 可 来 客 エリア アクセス 禁 止 自 宅 アクセス 禁 止 13 IRMの 機 能 6 所 有 者 権 限 の 移 譲 サーバー 管 理 者 だけでなく 所 有 者 自 身 が 権 限 委 譲 の 操 作 が 可 能 組 織 の 変 更 担 当 者 の 変 更 などに 柔 軟 に 対 応 できる オフライン ネットワークに 接 続 できない 環 境 もサポート 日 数 を 指 定 して オフラインを 許 可 する 期 間 を 設 定 ネットワークに 再 接 続 した 時 点 で 全 ての 操 作 ログをサーバーへ 送 信 認 証 システムとの 連 携 複 数 の 認 証 システムの 併 用 が 可 能 既 存 の 認 証 システム(Active Directoryなど)と 連 携 するころができ ユー ザー 管 理 の 負 荷 を 軽 減 複 数 の 認 証 システムを 使 用 する 場 合 統 合 の 必 要 がない 複 数 のActive Directoryを1つのIRM Serverで 連 携 可 能 外 部 ユーザー 向 けにも 1つのIRMのシステムで 管 理 可 能 セキュリティのために インターナルとエクスターナルの 分 離 を 推 奨 14
IRMの 機 能 7 ポリシー 付 与 の 自 動 化 社 外 秘 人 事 ユーザーは 意 識 せずに ファイルを 保 護 することが 可 能 eroomはファイルサーバによるデータ 共 有 の 問 題 点 である バージョン 管 理 ができない ごみ 貯 め 状 態 情 報 の 再 利 用 性 の 低 下 などを 改 善 し 社 内 社 外 で 情 報 の 共 有 と 再 利 用 性 を 高 めるためのプラットホームであ るとともに ユーザは 意 識 せずファイルを 保 護 することが 可 能 である 15 IRMの 機 能 8 アクセス 権 の 一 括 変 更 ( 組 織 変 更 時 など) EMC Documentumとの 連 携 により 旧 部 署 の 書 類 を 新 部 署 に 対 するアクセス 権 へ 一 括 変 更 が 可 能 営 業 部 用 のアクセス 権 を 持 つコンテンツ 営 業 第 2 部 用 のアクセス 権 を 持 つコンテンツ update dm_document object set acl_name = 営 業 第 2 部 用 where acl_name = 営 業 部 用 複 雑 な 条 件 で 更 新 を 行 うことも 可 能 ( 佐 々 木 さんと 山 田 さんのコン テンツのみ 営 業 第 2 部 として 変 更 などをwhere 条 件 として 設 定 ) 16
画 面 イメージ ファイル 作 成 時 (1 / 4) クライアント プラグインから 暗 号 化 をする 場 合 のイメージ 1. 保 護 したいファイルを 開 き 暗 号 化 のアイコンをクリック もしくは 権 限 >ファイルの 保 護 を 選 択 2. IRMサーバに 接 続 し この ユーザが 暗 号 化 を 行 なう 権 限 があるかどうかを 確 認 3. 権 限 があればポリシ 設 定 画 面 が 表 示 される 4. 予 め 設 定 されているテンプ レートを 選 択 する 5. あるいは カスタムポリシー で 保 護 の 種 類 を 選 択 する クライアントプラグインを インストールすると アイコンが 表 示 されます 17 画 面 イメージ ファイル 作 成 時 (2 / 4) カスタムポリシーの 場 合 閲 覧 を 許 可 するユーザーを 追 加 する ファイルのポリシーを 設 定 し て 保 存 印 刷 の 許 可 編 集 の 許 可 オフラインの 許 可 有 効 期 限 透 かし 18
画 面 イメージ ファイル 閲 覧 時 (3 / 4) 暗 号 化 された 文 書 には 鍵 マーク 1. ファイルを 開 くと 認 証 のため IRMサーバに 接 続 する 2. 認 証 情 報 を 入 力 しファイルを 開 く ADの 場 合 シングルサインオ ンが 可 能 3. 許 可 された 権 限 でファイルを 閲 覧 19 画 面 イメージ ファイル 閲 覧 時 (4 / 4) 透 かしを 挿 入 でき る ディスプレイでも 透 かし 表 示 PDFでは ファイ ルごともしくは ページごとに 権 限 設 定 が 可 能 20
Configuration オプション1: ファイルサーバー 連 携 ファイルサーバーの 特 定 のフォルダーにドキュメントをコピーす ると そのフォルダーに 定 義 されたポリシーで 自 動 的 にIRMの セキュリティが 付 加 される Extranet Serverというサーバー サービスがフォルダーを 監 視 する オプション3: eroom 連 携 eroomの 特 定 のフォルダーにドキュメントをコピーすると その フォルダーに 定 義 されたポリシーで 自 動 的 にIRMのセキュリ ティが 付 加 される ポーリング セキュリティ 付 加 ファイルサーバー IRMサーバー IRMサーバー eroom オプション2: 他 のアプリケーションと 連 携 他 のアプリケーションと 連 携 してドキュメントにIRMのセキュリ ティが 付 加 する IRMはWebサービスのSDKを 提 供 しており アプリケーション 側 からWebサービスでリクエストを 発 行 する Webサービス アプリケーション セキュリティ 付 加 IRMサーバー 21 THANK YOU 22