EMC Documentum IRM の ご紹介 EMCジャパン株式会社 インフォメーションインテリジェンス事業本部 © Copyright 2010 EMC Corporation. All rights reserved. 1 EMCのアプローチ（1/2） • 場所で制御する「従来型」方式にプラスし, ファイルで制御する「鍵」方式 （Documentum IRM）を採用することにより さらに堅牢なセキュリティシステム を実現 “場所”で制御する “ファイル単位”で制御する 「文書」 と 「人」 を結びつけて アクセス権限をコントロール ファイルひとつひとつに 「鍵」をかける ファイルのダウンロードの禁止 （持ち出し制限/アクセスコントロール） 万一 ID/Password＋ファイルの すべてが流出したら・・・ 文書の所在は不問 コピーされてもＯＫ 操作履歴の監査 監査・制御不能 文書毎の アクセス権限 物理的な持ち出しの禁止 万一流出しても・・・ ファイルを「壁」で守る © Copyright 2010 EMC Corporation. All rights reserved. 監査と制御が可能 2 EMCのアプローチ（2/2） IRMは、文書ファイルの暗号化と権限管理により情報の漏洩を防止します! EMCのアプローチ 従来の情報保護アプローチ 利用者は不特定多数 限定された利用者だけがアクセス フォルダやハードディスクなど、 大きな単位で暗号化 ファイル単位で暗号化 正当な利用者から、故意または 事故により流出した情報 (コピーも含む)も同様に保護 流出発覚後、即時失効できる 正当な利用者が持ち出し/ コピーした情報は保護の対象外 情報流出後は打ち手がない 外部と共有しなければならない 情報まで保護 内部だけで利用する情報を保護 © Copyright 2010 EMC Corporation. All rights reserved. 3 Documentum IRMのメカニズム 保護されたコンテンツは通常のワークフ ロー(e-mail, ファイル共有, CD, コンテ ンツ管理)を通して配信される 1 ポリシーで許可されて いないため 開くこと いないため、開くこと ができない。 SSL IRM Server SSL AD 社員 GUID、設定した ポリシー、暗号鍵 がサーバ上に保 がサ 上に保 Content activity viewed 管される and policy dynmaically アクセスログで監査が可能 5 Plug-in ６ 3 コンテンツを保護する (暗号化+ポリシ設定) 閲覧可 協力会者Aのみ 印刷 不可 有効期限 ３０日 2 changed 権限もダイナミックに変更で きる 【ポリシー設定】 閲覧可 協力会社Ａ 印刷不可 期限 ３０日 © Copyright 2010 EMC Corporation. All rights reserved. 協力会社A 4 Recipient is authenticated. Enterprise IRMサーバーに接続し、認証と許可のた directories referenced for めにエンタープライズディレクトリが参照さ authentication and authorization. れる。ポリシーで許可されている権限で暗 Content is opened with policy 号化されたコンテンツを開く。暗号鍵はメモ enforced. リ上から削除される。 第三者 4 他社製品との差別化ポイント 1 ネットワークの外でのアクセス制限 2 動的な権限管理 プラグイン経由でサーバーへの認証を必要とし、どこにあっても操作を制限させられる 表示、編集や印刷の操作制限が、ファイルの配布後にも変更が可能 3 詳細なアクセスログ 誰がいつアクセスしたのかだけでなく、認証の失敗や印刷などの操作も記録 4 マルチファイルフォーマット対応 Plug-in SDKを利用しあらゆるファイルフォーマットに対してポリシー付与が可能 © Copyright 2010 EMC Corporation. All rights reserved. 5 IRMの機能と特徴 機能 特徴 永続的な情報保護 •編集中や利用されていない間、転送中、配布後 であっても常に情報が保護される。 動的な権限管理 •情報を受け取った側の個人ごとに、許可する操 情報を受け取った側の個人ごとに、許可する操 作をリアルタイムに変更することができる。 有効期限の自動失効 •どこにファイルが置かれていても、期限がきた ら自動的にアクセスを失効させることができる。 継続的な監査証跡 •文書ごとに、どのユーザーが何をしたのか詳細 な記録が残る。 オフラインアクセス •インターネットにつながらない環境であっても、 ファイルを開くことができる。 動的な透かし •印刷時に、いつ、誰が印刷したのかを強制的に 出力させられる。 既存のインフラとの統 合 •既存の認証ドメインやと統合により、ユーザー 管理の負荷の軽減や自動認証の利用が可能にな る。 © Copyright 2010 EMC Corporation. All rights reserved. 6 Documentum IRM の仕様 認証方法 シェアードシークレット、Active Directory、LDAP 暗号化方式 AES 256bit （共通鍵方式） 通信方式 SSL 対象クライアント製品 Adobe Acrobat/MS Office Word, Excel, PowerPoint 暗号文書配布後のアクセス・コントロール ○ 閲覧禁止 ○ 編集禁止 ○ 印刷禁止 ○ （スクリーンショットも禁止） コピー＆ペースト禁止 ○ 透かし挿入 ○ アクティビティログ アクティビティ グ ○ オフライン設定 ○ 有効期限設定 ○ ネットワークロケーションでの制限 ○ 文書管理システム連携 ○ © Copyright 2010 EMC Corporation. All rights reserved. 7 IRMシステム構成概要 外部IRMクライアント - MS Office IRMクライアント - MS Office DMZ IRM Server - エクスターナル用 - Active/Standby IRM Server - インターナル用 - Active/Standby RDBサーバー - 鍵とポリシーの保管 - RDBMS ※別途ご手配下さい © Copyright 2010 EMC Corporation. All rights reserved. Development & SDK用サーバー - 開発環境用 - フォルダ監視APL 開発用 Active Directory - 社内認証用 - 連既存のADサーバー - IRM Serverが連携 8 IRMの機能 – 1 • 文書への操作の制限 – 表示、編集して保存、コピー&ペースト、印刷、スクリーンショット – ファイル名の変更やファイルのコピーがされても、制限は全て継承される。 © Copyright 2010 EMC Corporation. All rights reserved. 9 IRMの機能 – 2 • 動的な権限設定 – 配布後であっても、ファイルの差し替えをせずに権限を変更ができる。 – 情報漏えい後も、瞬時にアクセス権の取り消し（文書の回収）が可能 仕様書Ver.1 • 表示可 • 印刷不可 • 編集不可 ファイルの利用者 ファイルを開く 仕様書Ver.1 • 表示可 • 印刷可 • 編集可 仕様書Ver.1 • 表示可 • 印刷可 • 編集可 仕様書Ver.2 • 表示可 • 印刷可 • 編集可 編集して保存 認証し、常に新しいポリシーで ポリシーは継承される 開く ポリシー ファイルを保護 ポリシ 変更 ポリシー変更 印刷許可 編集許可 ファイルの所有者 © Copyright 2010 EMC Corporation. All rights reserved. 10 IRMの機能 – 3 y 詳細なアクセスログの記録 – ユーザーのOffice, Acrobatのプラグインから確認が可能 – サーバー側にはさらに詳細な情報が記録されている。 ログの情報 • ユーザーID • アクセス元のIPアドレス もしくはドメイン名 • 操作内容 •読み取り（開く） •印刷 •変更（編集して保存 ） © Copyright 2010 EMC Corporation. All rights reserved. 11 IRMの機能 – 4 • 透かしの印刷 – 固定の文字列だけでなく、印刷時の動的な情報を強制的に出力 – Office, PDF文書に対応 – PDF文書では、ディスプレイにもリアルタイムに表示 印刷した人の ユーザーID 印刷した コンピュータの IPアドレス 印刷した日時 © Copyright 2010 EMC Corporation. All rights reserved. 12 IRMの機能 – 5 y 有効期限、有効な時間帯の設定 – 期日（日付指定）もしくは期間（相対的な日数指定）でファイルを利用できる期限 の設定が可能。 – ファイルがいつから有効になるのかの設定が可能。 y ネットワークロケーションでのアクセス制限 – 同じユーザーの同じファイルへの操作であっても、アクセス元のネットワークロ ケーションによってアクセスの制限ができる。 研究室 アクセス許可 来客エリア アクセス禁止 自宅 アクセス禁止 © Copyright 2010 EMC Corporation. All rights reserved. 13 IRMの機能 – 6 • 所有者権限の移譲 – サーバー管理者だけでなく、所有者自身が権限委譲の操作が可能 • 組織の変更、担当者の変更などに、柔軟に対応できる • オフライン – ネットワークに接続できない環境もサポート – 日数を指定して、オフラインを許可する期間を設定 – ネットワークに再接続した時点で全ての操作ログをサーバーへ送信 • 認証システムとの連携、複数の認証システムの併用が可能 – 既存の認証システム（Active Directoryなど）と連携するころができ、ユー ザー管理の負荷を軽減 – 複数の認証システムを使用する場合、統合の必要がない • 複数のActive Directoryを1つのIRM Serverで連携可能 – 外部ユーザー向けにも、1つのIRMのシステムで管理可能 • セキュリティのために、インターナルとエクスターナルの分離を推奨 © Copyright 2010 EMC Corporation. All rights reserved. 14 IRMの機能 – 7 ポリシー付与の自動化 社外秘 人事 ユーザーは意識せずに ファイルを保護することが可能 eRoomはファイルサーバによるデータ共有の問題点である バージョン 管理ができない、ごみ貯め状態、情報の再利用性の低下などを改善し、 社内、社外で情報の共有と再利用性を高めるためのプラットホームであ るとともに、ユーザは意識せずファイルを保護することが可能である。 © Copyright 2010 EMC Corporation. All rights reserved. 15 IRMの機能 –８ アクセス権の一括変更（組織変更時など） EMC Documentumとの連携により、 旧部署の書類を新部署に対するアクセス権へ、一括変更が可能 営業部用のアクセス権を持つコンテンツ 営業第２部用のアクセス権を持つコンテンツ update “dm_document” object set “acl_name” = ‘営業第2部用’ where “acl_name” = ‘営業部用’’ 複雑な条件で、更新を行うことも可能（「佐々木さんと山田さんのコン テンツのみ、営業第２部として変更」などをwhere条件として設定） © Copyright 2010 EMC Corporation. All rights reserved. 16 画面イメージ – ファイル作成時 （1 / 4） クライアント・プラグインから暗号化をする場合のイメージ ※クライアントプラグインを インストールすると アイコンが表示されます。 1. 保護したいファイルを開き、 暗号化のアイコンをクリック、 もしくは「権限＞ファイルの 保護」を選択 2. IRMサーバに接続し、この ユーザが暗号化を行なう権限 があるかどうかを確認 3. 権限があればポリシ設定画面 が表示される 4 予め設定されているテンプ 4. レートを選択する 5. あるいは カスタムポリシー で保護の種類を選択する © Copyright 2010 EMC Corporation. All rights reserved. 17 画面イメージ – ファイル作成時 (2 / 4) • カスタムポリシーの場合、閲 覧を許可するユーザーを追加 する • ファイルのポリシーを設定し て保存 – 印刷の許可 – 編集の許可 – オフラインの許可 – 有効期限 – 透かし © Copyright 2010 EMC Corporation. All rights reserved. 18 画面イメージ – ファイル閲覧時 (3 / 4) • 暗号化された文書には鍵マーク 1. ファイルを開くと認証のため IRMサーバに接続する 2. 認証情報を入力しファイルを開 く – ADの場合、シングルサインオ ンが可能 3. 許可された権限でファイルを閲 覧 © Copyright 2010 EMC Corporation. All rights reserved. 19 画面イメージ – ファイル閲覧時 (4 / 4) • 透かしを挿入でき る • ディスプレイでも 透かし表示 • PDFでは PDFでは、ファイ ファイ ルごともしくは ページごとに権限 設定が可能 © Copyright 2010 EMC Corporation. All rights reserved. 20 Configuration オプション１： ファイルサーバー連携 オプション３： eRoom連携 ファイルサーバーの特定のフォルダーにドキュメントをコピーす ると、そのフォルダーに定義されたポリシーで自動的にIRMの セキュリティが付加される。Extranet Serverというサーバー サービスがフォルダーを監視する。 eRoomの特定のフォルダーにドキュメントをコピーすると、その フォルダーに定義されたポリシーで自動的にIRMのセキュリ ティが付加される。 ポーリング セキュリティ付加 ファイルサーバー IRMサーバー IRMサーバー eRoom オプション２：他のアプリケーションと連携 他のアプリケーションと連携してドキュメントにIRMのセキュリ ティが付加する。IRMはWebサービスのSDKを提供しており、 アプリケーション側からWebサービスでリクエストを発行する。 Webサービス アプリケーション セキュリティ付加 IRMサーバー © Copyright 2010 EMC Corporation. All rights reserved. 21 THANK YOU © Copyright 2010 EMC Corporation. All rights reserved. 22
© Copyright 2024 ExpyDoc
