３．機密保護

（１）機密コード

システムの機密保護を実現するために、Ａ−ＶＸシステムには、機密コードと呼ばれるものがあります。オペレータの機密コードとプログラム／ファイルの機密コードを照合して、プログラム起動時やファイルアクセス時にそれらの操作が許されているかどうかをチェックすることができます。
前述したように、機密コードはオペレータ、プログラム、ファイル、ＤＢ表に割り当てることができます。

機密コードは、各々２文字から成っており、第１文字がアプリケーション領域、第２文字がアクセスレベルを表します。

アプリケーション領域は、英字１文字で表され、機密コードを割り当てた”もの”のグループ分けをするためのものです。
例えば、財務管理という業務があったとします。この財務管理業務に「Ｆ」というアプリケーション領域を割り当てるとします。このアプリケーション領域「Ｆ」に財務管理業務を行うオペレータやプログラム、財務管理業務で使用されるデータの入ったファイルやＤＢ表といったものをまとめます。
英字１文字なので理論上最大２６種類のアプリケーション領域を使えるはずですが、実際は一部の英字（Ｗ，Ｘ，Ｙ，Ｚ）が特殊用途として予約されており、自由に使用できるのはＡ〜Ｖまでの２２文字まで（つまり２２種類のアプリケーション領域が作れる）となります。

アクセスレベルは、０〜９までの数字で表され、同一アプリケーション領域内のアクセス権限のレベルを示すためのものです。数字が大きくなるほどオペレータのアクセスレベルは高くなります。例えば、２人のオペレータがおり、それぞれ「Ｆ９」と「Ｆ５」を割り当てられているとします。「Ｆ９」のオペレータは、「Ｆ０」から「Ｆ９」までの全アクセスレベルのファイルを利用することができます。一方「Ｆ５」のオペレータは、「Ｆ０」から「Ｆ５」までの属性を持つファイルしか利用することができません。

機密コードには「Ｚ９」という特殊コード（マスタコード）があります。「Ｚ９」を割り当てられたオペレータは、システム上の全てのプログラムとファイル、ＤＢ表を利用することができます。通常、サーバ管理者などのオペレータに「Ｚ９」を割り当てます。
ＯＣＦ機能を使用しないシステムやＯＣＦ機能を使用しても機密保護を行わないシステムでは、「Ｚ９」が割り当てられたものとして取り扱われます。

オペレータにはカンパニ毎に最大１０個までの機密コードを割り当てることができます。例えばＡさんは財務管理「Ｆ」と販売管理「Ｓ」、Ｂさんは財務管理「Ｆ」と人事管理「Ｐ」というように割り当てることができます。

プログラム、ファイル、ＤＢ表には、最大１個の機密コードを割り当てることができます。機密コードを割り当てないこともできます。割り当てない場合は、プログラムは誰でも実行可能、ファイルは誰でもオープン可能・・、となります。

プログラムとファイルでは、プログラムの機密コードが優先されます。場合によってはファイルに付けた機密コードが無効になってしまうので、この優先順は要注意です。

（２）プログラム起動時の機密保護

プログラム（アプリケーション）起動時に、オペレータの機密コードとアプリケーションの機密コードを比較して、機密コードが適合しない場合は起動できないようにする機能です。プログラム起動時の機密保護を割り当てることができるのはＬＭだけです。ＪＳとＰＭには機密保護を割り当てることはできません。

アプリケーション領域がＡ〜Ｖまでの間のオペレータとプログラム

オペレータは、アプリケーション領域が同じプログラムしか起動できません。

オペレータ		プログラム	起動可否
Ａ	----→	Ａ	可能
Ａ	----→	Ｂ	否
Ａ	----→	Ｃ	否
Ｂ	----→	Ａ	否
Ｂ	----→	Ｂ	可能

オペレータは、アクセスレベルが等しいかレベルの低いプログラムしか起動できません。

オペレータ		プログラム	起動可否
５	----→	５	可能
５	----→	３	可能
５	----→	９	否
２	----→	５	否
９	----→	５	可能

組み合わせると以下になります。機密コードのないプログラムは誰でも起動できます。

オペレータ		プログラム	起動可否
Ａ５	----→	Ａ５	可能
Ａ５	----→	Ａ３	可能
Ａ５	----→	Ａ９	否
Ｂ５	----→	Ａ５	否
Ｂ５	----→	Ａ３	否
Ｂ５	----→	Ａ９	否
Ａ５	----→	コードなし	可能
Ｂ５	----→	コードなし	可能

オペレータが複数の機密コードを持っている場合は、その中の機密コードのうち１個でも起動可能な組み合わせがあれば、プログラムは起動できます。

下の図のように、あるオペレータが６個（A5,B1,K2,I7,C8,M5）の機密コードを持っているとします。このオペレータは機密コードＣ７のプログラムは（Ｃ８という機密コードを持っているので）起動できますが、Ｋ５やＮ９の機密コードを持つプログラムは起動できません。

オペレータ		プログラム	起動可否
Ａ５ Ｂ１ Ｋ２ Ｉ７ Ｃ８ Ｍ５	----→ ----→ ----→	Ｃ７ Ｋ５ Ｎ９	可能 否 否

アプリケーション領域がＺのオペレータ

Ｚは全てのアプリケーション領域のプログラムを起動することができます。アクセスレベルの影響は受けます。
特にＺ９は特殊コードで、Ｚ９を割り当てられたオペレータは全てのプログラムを起動することができます。

オペレータ		プログラム	起動可否
Ｚ９	----→	Ａ５	可能
Ｚ９	----→	Ａ９	可能
Ｚ９	----→	Ｂ５	可能
Ｚ９	----→	コードなし	可能
Ｚ５	----→	Ａ５	可能
Ｚ３	----→	Ａ５	否
Ｚ３	----→	コードなし	可能

Ｚ９を割り当てられたオペレータは、Ｚ９の機密コードで必ずどんなプログラムでも実行できるので、、他の（Ａ５、Ｂ３などの）機密コードを複数割り当ててもあまり意味を持ちません。

アプリケーション領域がＷのオペレータとプログラム

オペレータにはＷを割り当てることができません。
システムを運用管理するのに必要なプログラムには、Ｗを割り当てます。オペレータコントロールファイル保守ユーティリティ（＃ＯＣＦＭ）などには、あらかじめＷが割り当てられています。

Ｚを割り当てられたオペレータのみが、Ｗを割り当てられたプログラムを起動できます。ＡやＢなどの一般のオペレータは起動できません。
通常、管理者だけが使用したいプログラムにＷを割り当てます。

オペレータ		プログラム	起動可否
Ａ５	----→	Ｗ５	否
Ａ５	----→	Ｗ３	否
Ａ５	----→	Ｗ９	否
Ｂ９	----→	Ｗ５	否
Ｚ９	----→	Ｗ９	可能
Ｚ９	----→	Ｗ５	可能
Ｚ３	----→	Ｗ５	否

Ｗを割り当てられたプログラムを起動した場合は、ファイルの機密保護はチェックされません。つまり一旦プログラムの起動に成功しさえすれば、どんな機密コードのファイルでもアクセスできることになります。

アプリケーション領域がＸのオペレータとプログラム

Ｘを割り当てられたオペレータは、同じアプリケーション領域のプログラムを起動することができます。Ｘを割り当てられたプログラムは、ＺかＸを割り当てられたオペレータのみ起動できます。ただしアクセスレベルの影響は受けます。
一般的にはシステムを開発するのに必要なプログラムにはＸを割り当て、プログラム開発者にＸを割り当てます。

オペレータ		プログラム	起動可否
Ａ５	----→	Ｘ５	否
Ａ７	----→	Ｘ３	否
Ｘ５	----→	Ａ９	否
Ｘ９	----→	Ａ５	否
Ｘ５	----→	Ａ５	否
Ｘ５	----→	Ｘ９	否
Ｘ９	----→	Ｘ５	可能
Ｘ５	----→	Ｗ５	否
Ｘ９	----→	機密コードなし	可能
Ｚ９	----→	Ｘ９	可能
Ｚ９	----→	Ｘ５	可能
Ｚ３	----→	Ｘ５	否

Ｘはファイルの機密保護のチェックが行われます。ファイルの機密保護のチェックを含んだ説明は、後ほど行います。

アプリケーション領域がＹのオペレータとプログラム

Ｙを割り当てられたオペレータは、同じアプリケーション領域のプログラムを起動することができます。Ｙを割り当てられたプログラムは、ＺかＹを割り当てられたオペレータのみ起動できます。アクセスレベルの影響を受けます。

オペレータ		プログラム	起動可否
Ａ５	----→	Ｙ５	否
Ａ７	----→	Ｙ３	否
Ｙ５	----→	Ｙ９	否
Ｙ９	----→	Ａ５	否
Ｙ５	----→	Ａ９	否
Ｙ９	----→	Ｙ５	可能
Ｙ９	----→	Ｘ５	否
Ｘ５	----→	Ｙ５	否
Ｙ９	----→	Ｗ５	否
Ｙ９	----→	機密コードなし	可能
Ｚ９	----→	Ｙ９	可能
Ｚ９	----→	Ｙ５	可能
Ｚ３	----→	Ｙ５	否

ファイルの機密保護のチェックが行われ、ＸとＹではファイルの機密保護のチェック方法が異なります。ファイルの機密保護のチェックを含んだ説明は後ほど行います。

（３）ファイルオープン時の機密保護

ファイルオープン時に、オペレータの機密コードとファイルの機密コードを比較して、機密コードが適合しない場合はオープンできないようにする機能です。

アプリケーション領域がＡ〜Ｖまでの間のオペレータとプログラムとファイル

オペレータとファイルの機密保護の関係は、オペレータとプログラムの関係と基本的に同じです。オペレータは、アプリケーション領域が同じファイルしか起動できません。またオペレータは、アクセスレベルが等しいかレベルの低いファイルしかオープンできません。

ここで注意しなければならないのは、ファイルの機密保護よりもプログラムの機密保護の方が優先されることです。アプリケーション領域がＡ〜Ｖまでの間のプログラムの機密保護により起動されたプログラムは、ファイルの機密保護のチェックを行いません。

オペレータ		プログラム	起動可否		ファイル	オープン可否	備　　考
Ａ５	--→	Ａ５	可能	--→	Ａ５	可能
Ａ９	--→	Ａ５	可能	--→	Ａ３	可能
Ａ５	--→	Ａ５	可能	--→	Ａ９	可能	PSC優先のためFSCのAL無視でオープン可能
Ａ５	--→	Ａ５	可能	--→	Ｂ２	可能	PSC優先のためFSCのAA無視でオープン可能
Ａ５	--→	Ａ９	否				PSCのチェックで起動不可
Ｂ５	--→	Ａ５	否				PSCのチェックで起動不可
Ａ５	--→	コードなし	可能	--→	Ａ５	可能
Ａ５	--→	コードなし	可能	--→	Ａ３	可能
Ａ５	--→	コードなし	可能	--→	コードなし	可能
Ａ５	--→	コードなし	可能	--→	Ａ９	否	PSCがないのでFSCのチェックしオープン不可
Ａ５	--→	コードなし	可能	--→	Ｂ３	否	PSCがないのでFSCのチェックしオープン不可
OSC・・・　オペレータの機密保護　　PSC・・・プログラムの機密保護　　FSC・・・ファイルの機密保護 　AA・・・アプリケーション領域　　AL・・・アクセスレベル

ファイルの機密保護を有効にするには、プログラムの機密保護を行わないか、プログラムの機密保護にX,Yを割り当てるしかありません。

アプリケーション領域がＺのオペレータとプログラムとファイル

ファイルにはＺを割り当てることはできません。
アプリケーション領域がＺのオペレータがファイルをオープンする場合、ファイルの機密保護のアクセスレベルのみチェックします。
Ｚのオペレータは、プログラム／ファイルともに、アプリケーション領域の内容は何であっても無視し、アクセスレベルのみチェックするということになります。（プログラムの機密保護がＷの場合を除く）

オペレータ		プログラム	起動可否		ファイル	オープン可否	備　　考
Ｚ８	--→	Ａ８	可能	--→	Ａ８	可能
Ｚ５	--→	Ａ５	可能	--→	Ｂ５	可能	'Z'のOSCを持つオペレータはFSCのALだけチェックする。この場合PSCとFSCとのAAは関係なし
Ｚ７	--→	Ａ５	可能	--→	Ａ６	可能	この場合PSCとFSCとのALは関係なし
Ｚ５	--→	Ａ５	否				PSCのALのチェックで起動不可
Ｚ５	--→	Ａ５	可能	--→	Ａ７	否	FSCのALのチェックでオープン不可
OSC・・・　オペレータの機密保護　　PSC・・・プログラムの機密保護　　FSC・・・ファイルの機密保護 　AA・・・アプリケーション領域　　AL・・・アクセスレベル

アプリケーション領域がＷのオペレータとプログラムとファイル

オペレータにもファイルにもＷを割り当てることはできません。プログラムだけです。
アプリケーション領域がＷのプログラムは、ファイルの機密コードを無視します。Ｗのプログラムは、Ｚが割り当てられたオペレータしか起動できないので、以下の図のような関係になります。

オペレータ		プログラム	起動可否		ファイル	オープン可否	備　　考
Ｚ５	--→	Ｗ５	可能	--→	Ａ５	可能	PSCのAAが'W'ならFSCが何でも関係なくオープン可能
Ｚ５	--→	Ｗ５	可能	--→	Ｂ８	可能	ALも関係なし
Ａ５	--→	Ｗ５	否				PSCのチェックで起動不可
Ｂ８	--→	Ｗ５	否				PSCのチェックで起動不可
OSC・・・　オペレータの機密保護　　PSC・・・プログラムの機密保護　　FSC・・・ファイルの機密保護 　AA・・・アプリケーション領域　　AL・・・アクセスレベル

アプリケーション領域がＸのオペレータとプログラムとファイル

Ｘを割り当てたプログラムは、ＸかＺのオペレータしか起動することはできません。
オペレータがＸのプログラムを起動した後は、ファイルのオープン時にアクセスレベルのチェックだけ行います。ファイルの機密コードのアプリケーション領域の内容は無視されます。

オペレータ		プログラム	起動可否		ファイル	オープン可否	備　　考
Ｚ５	--→	Ｘ５	可能	--→	Ａ５	可能
Ｚ５	--→	Ｘ５	可能	--→	Ｂ３	可能
Ｚ５	--→	Ｘ５	可能	--→	Ｘ５	可能
Ｚ８	--→	Ｘ５	可能	--→	Ｘ３	可能
Ｚ５	--→	Ｘ５	可能	--→	Ｘ８	否	'Z'のOSCを持つオペレータはFSCのALだけチェックする
Ｚ５	--→	Ｘ５	可能	--→	Ａ８	否	'Z'のOSCを持つオペレータはFSCのALだけチェックする
Ｚ５	--→	Ａ５	可能	--→	Ｘ５	可能	'Z'のOSCを持つオペレータはFSCのALだけチェックする。この場合PSCとFSCとのAAは関係なし
Ｚ５	--→	Ｘ６	否				PSCのチェックで起動不可
Ｘ５	--→	Ｘ６	否				PSCのチェックで起動不可
Ａ５	--→	Ｘ５	否				PSCのチェックで起動不可
Ｘ５	--→	Ｘ５	可能	--→	Ａ５	可能	PSCのAAが'X'ならFSCのALだけチェック
Ｘ５	--→	Ｘ５	可能	--→	Ｂ３	可能	PSCのAAが'X'ならFSCのALだけチェック
Ｘ５	--→	Ｘ５	可能	--→	Ｘ５	可能	PSCのAAが'X'ならFSCのALだけチェック
Ｘ５	--→	Ｘ５	可能	--→	Ｘ８	否	PSCのAAが'X'ならFSCのALだけチェック
Ｘ５	--→	Ｘ５	可能	--→	Ａ８	否	PSCのAAが'X'ならFSCのALだけチェック
Ｚ５	--→	Ｘ５	可能	--→	Ａ５	可能	PSCのAAが'X'ならFSCのALだけチェック
Ｚ５	--→	Ｘ５	可能	--→	Ａ８	否	PSCのAAが'X'ならFSCのALだけチェック
Ｚ５	--→	Ｗ５	可能	--→	Ｂ８	可能	ALも関係なし
Ａ５	--→	Ｗ５	否				PSCのチェックで起動不可
Ｂ８	--→	Ｗ５	否				PSCのチェックで起動不可
PSC・・・プログラムの機密保護　　FSC・・・ファイルの機密保護 　AA・・・アプリケーション領域　　AL・・・アクセスレベル

（４）ＤＤＦを経由したファイルオープン時の機密保護

ＳＭＡＲＴIIＥＸなどのユーティリティには、データディクショナリファイル（ＤＤＦ）を使って、ファイルオープン時の機密保護の機能を拡張しているものがあります。これらのユーティリティでは、上記（３）の機密保護に加えて、レコードに対する使用権／更新権などの機密保護が加わります。