ファイル管理システム
【課題】情報を格納する記憶媒体や人の所在の変化を特定し、漏洩につながる操作を未然に防止する。
【解決手段】上記目的を達成するために、情報のカテゴリとレベルの組合せをラベルとして、ラベルごとに情報の共有範囲を越える可能性が高い操作を実行する条件をポリシーリストとして定義し、ファイルにラベルを割り当てる。さらに、利用者がＩＣカードをセンサにかざして入退室を行うことにより、利用者の所在情報を取得する。これにより、利用者がファイルを操作した場合に、利用者の属性情報や所在情報、ファイルの格納媒体などがポリシーリストに適合していない場合には操作を防止することにより、情報漏洩につながる操作を未然防止できる。さらに、ラベル割り当ておよびファイルの組織外持出し時の承認操作ごとに、承認結果を情報識別のためのＤＢに反映させることにより、承認者や管理者が登録しなくても情報識別精度の向上を図ることができる。
【解決手段】上記目的を達成するために、情報のカテゴリとレベルの組合せをラベルとして、ラベルごとに情報の共有範囲を越える可能性が高い操作を実行する条件をポリシーリストとして定義し、ファイルにラベルを割り当てる。さらに、利用者がＩＣカードをセンサにかざして入退室を行うことにより、利用者の所在情報を取得する。これにより、利用者がファイルを操作した場合に、利用者の属性情報や所在情報、ファイルの格納媒体などがポリシーリストに適合していない場合には操作を防止することにより、情報漏洩につながる操作を未然防止できる。さらに、ラベル割り当ておよびファイルの組織外持出し時の承認操作ごとに、承認結果を情報識別のためのＤＢに反映させることにより、承認者や管理者が登録しなくても情報識別精度の向上を図ることができる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報漏洩の未然防止と情報の活用を両立するファイル管理システムに関するものである。
【背景技術】
【０００２】
近年、情報の電子化は進む一方であり、個人情報や技術情報、営業情報など様々な情報が組織内で電子化され、組織内あるいは社外の取引先など様々な範囲で活用されている。しかし、その一方で情報の漏洩や紛失も多発しており、組織にとって情報漏洩防止は非常に関心が高く、早急に取り組むべき項目である。
【０００３】
情報漏洩を防止する製品も様々なものが提供されているが、情報漏洩事故は未だなくならず、一度漏洩が発生すると、たとえ従業員の過失であろうと組織に及ぶ被害は多大であり、事故対策費用やその後の予防対策費用までかかってしまう。
【０００４】
情報は利用目的によって共有範囲が異なるため、情報漏洩を防止するためには、情報によって異なる共有範囲を越えないよう制限すればよい。しかしながら、以下の要因により共有範囲を越えて情報の漏洩につながる可能性のある経路が多様化している。
【０００５】
（１）情報の種類の多様化
組織で扱う情報は多岐に渡る。文書、設計図、個人情報、従業員情報、製品の流通履歴を示すものまで、組織が行うサービスや組織が効率よく活動を推進するために、幅広い情報が扱われている。これらの情報は利用目的によって共有範囲が異なることから、情報の取り扱い側からすると同じ操作でも、情報によっては共有範囲を越える行為になる可能性がある。
【０００６】
（２）情報を格納する媒体の多様化、小型化
近年、情報を格納する媒体の小型化、多様化が進んでいる。従来の情報の格納庫としては固定されたデスクトップＰＣに備え付けられていたＨＤＤが主であったが、現在は情報を容易に持ち出し可能なＵＳＢメモリやＣＤ−Ｒなどの可搬媒体が容易に入手可能である。また、可搬媒体は小型であることから、勝手な持ち出しなどを確認することが困難となった。
【０００７】
（３）雇用形態やワークスタイルの多様化
組織における雇用形態やワークスタイルの変化も情報の共有範囲を越える原因となる可能性がある。組織内には、社員だけではなく、契約社員などが勤務する場合があり、このときに本来従業員のみ参照すべき情報を見られてしまう可能性がある。また、在宅勤務制度などの採用により、今後組織内だけではなく、自宅などでも作業ができるようになる可能性がある。組織にとって機密性の高い情報は社外での閲覧は防止すべきであるが、組織側で社員の属性や社員の所在の変化によって共有範囲を越える可能性がある行為を防止することは困難である。
【０００８】
上記述べたような多様な経路で発生する可能性がある情報漏洩を防止するためには、情報の識別、情報の取り扱いポリシーの設定、ポリシーに基づくコントロール、コントロールの記録・監査、を行うことが必要である。
【０００９】
例えば情報の識別に関しては、社外に文書を持出す場合には、持出す文書が何であるかを上長が見て確認することが考えられる。特許文献１では、承認を得ないと文書を登録できない文書管理サーバにおいて、その文書に機密情報、個人情報または誤記が含まれていないかどうかを基準に従ってチェックし、機密情報や個人情報が含まれている場合には承認画面に表示することにより、承認者の情報の識別作業を支援する技術が示されている。
【００１０】
また、情報の取り扱いポリシーの設定に関しては、例えば可搬媒体を経由した機密情報の漏洩を防止するために、可搬媒体を一律持ち出し禁止にするなどの厳しいルールを制定することが考えられる。
【００１１】
また、ポリシーに基づくコントロールに関しては、非特許文献１によるロールベースアクセス制御技術がある。これは情報の利用者に対して直接操作の実行許可を与えるのではなく、ロールに操作の実行許可を与え、利用者とロールとの対応付けを行うことで、情報ごとに「Ｒｅａｄ」や「Ｗｒｉｔｅ」の操作を行う利用者を制限する技術である。
【先行技術文献】
【特許文献】
【００１２】
【特許文献１】特開２００７−２９９０９３号公報
【非特許文献】
【００１３】
【非特許文献１】Ｄａｖｉｄ Ｆｅｒｒａｉｏｌｏ他、「Ｒｏｌｅ Ｂａｓｅｄ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ」、１５ｔｈ Ｎａｔｉｏｎａｌ Ｃｏｍｐｕｔｅｒ Ｓｅｃｕｒｉｔｙ Ｃｏｎｆｅｒｅｎｃｅ、１９９２．
【発明の概要】
【発明が解決しようとする課題】
【００１４】
しかしながら、従来技術を用いて情報漏洩を防止しようとする場合、以下の問題がある。
情報の識別に関して、特許文献１では予め設定した機密情報を特定するためのキーワードと申請した情報のテキストとのマッチングをとっているが、組織で取り扱う情報は様々であるため、情報に合わせた質の良いキーワードを事前に設定するのは困難である。さらに、キーワードを更新しない限り検出精度は変わらないため、本来検出すべきキーワードに漏れが生じてしまうことや、不要なキーワードがいつまでも検出されてしまうことが考えられる。
【００１５】
情報の取り扱いポリシーとコントロールに関しては、まず、可搬媒体を一律持ち出し禁止にするような極端な対策を行うと、営業などの社外で業務を行うことが多い社員の負担が大きくなるなど業務に支障がでることが予想される。
【００１６】
また、非特許文献１についても、前述したように情報の漏洩経路は幅広いため、利用者とロールとの対応付けだけで情報漏洩を防止することは困難である。例えば、非特許文献１の技術では、組織内では閲覧を許可させ、組織外からは閲覧させたくないファイルでも、操作を許可するロールに割り当てられた利用者であれば、利用者の所在の変化によらず操作を実行できてしまうため、組織外でファイルを閲覧し、第三者にファイルの中身を見られてしまう可能性がある。組織の情報を管理する場合には、情報の利用環境や記憶媒体の動的な変化に合わせて漏洩を未然に防止することが必要である。
【００１７】
さらに、上記従来技術では、情報によって異なる共有範囲について、動的に変化する情報の格納先や利用者の状態・状況から、リアルタイムで共有範囲を越えないように操作を制御するようなポリシーを情報一つ一つに設定することは手間がかかる。
【課題を解決するための手段】
【００１８】
本発明では、情報の活用を阻害することなく、情報の格納先や利用者の状態・状況が動的に変化しても漏洩につながる操作を未然に防止するファイル管理システムを提供する。
【００１９】
すなわち、本発明は、組織の管理下に散在するファイルなどの情報に対して、情報の価値に応じて共有範囲を設定し、共有範囲をこえて情報漏洩につながる可能性の高い操作を防止するファイル管理システムを提供する。
【００２０】
本発明に係るファイル管理方法は、情報の種類を示すカテゴリと機密レベルの組合せをラベルとして設定し、ラベル単位で情報漏洩につながる可能性の高い操作ごとの実行条件を設定し、さらに予めわかっている共有先も設定したポリシーリストを備え、ファイルに直接ポリシーを割り当てるのではなく、ファイルにラベルを割り当てることによってファイルの共有範囲を設定する。
【００２１】
ラベルには操作ごとに実行条件を設定しているため、ラベルを割り当てたファイルに対してきめ細かい設定および制御を行うことができる。また、実行条件を設定する操作は情報漏洩につながる可能性の高い操作を対象としているため、「Ｒｅａｄ」や「Ｗｒｉｔｅ」に留まらず幅広い範囲の操作の実行条件を一元管理することができる。さらに、実行条件として、例えば利用者の役職などの属性、および利用環境および情報を格納する媒体などを指定することにより、従来技術では成しえなかった動的変化による権限設定を行うことができる。
【００２２】
上記ポリシーのファイルへの割り当てについては、利用者が情報のカテゴリおよび機密レベルを見て該当するラベルを選択するだけで、ファイルとラベルとをラベル付けし、ファイルにポリシーを適用するよう設定することができる。
【００２３】
上記ラベルを設定したファイルの利用環境は、環境を構築および管理する管理者と、承認者と、一般ユーザである利用者とからなり、管理者は予め各ラベルに対するアクセス権をポリシーとして設定し、利用者に割り当てられたクライアントにポリシーを配布するようにする。
【００２４】
ファイルを取り扱う利用者は、ファイルにラベルを割り当てることで、配布されたポリシーに設定されたコントロールが適用される。なお、ファイルにラベルを割り当てる場合、まずファイルの所有者が情報のカテゴリおよび機密レベルを元にラベルを設定し、その後承認者が、利用者が割り当てたラベルが適切かどうかを判断し、ラベルを変更または承認することで、情報にラベルが割り当てられる。これにより、最初にラベル割り当てを行う利用者が、過失または故意により適切でないラベルを付与したとしても、承認者が確認することにより、信頼性をもたせることができる。
【００２５】
なお、ラベルの割り当てられていないファイルについては、一律社外秘情報とみなし、社外へのメール送信や可搬媒体の持ち出しなどの操作を一切禁止する。これにより、ラベルを割り当てていなくてもファイルを社外に持ち出す操作を防止することができる。
【００２６】
さらに、上記ファイル管理システムは、漏洩リスクを判断するために機密性の高いオブジェクト（記述や画像、ロゴなどの特徴）を登録したデータベースを備えており、あるファイルにラベルが付与され承認者に承認依頼がなされた場合、あるいはファイルの持出し時にラベルが割り当てられておらず承認者に承認依頼がなされた場合に、データベースとファイルとを照合し、申請されたファイルに機密性の高いオブジェクトが含まれるかを特定して承認画面に表示する。これにより、承認者は申請されたファイルの価値を迅速に把握することができる。さらに、上記ファイル管理システムは承認結果を元にデータベースを更新するため、承認者や管理者がデータベースを更新しなくても、漏洩リスクの未然防止に有効な本来登録されるべきオブジェクトの追加や本来不要なオブジェクトの削除などをすることができる。
【００２７】
さらに、上記ファイル管理システムは、利用者の操作をポリシーに基づいて制御する監視・制御プログラムを備えるクライアントおよび文書管理サーバと、登録されている利用者の移動を検出し、例えば利用者が現在社内のどのエリアにいるのかを把握することができるセンサを備えており、センサから得た利用者の所在情報とクライアントで行われる操作の情報からポリシーを参照して操作の実行許可／不許可と、実行許可した場合には、ラベルの継承を行う。これにより、ラベルを割り当てた情報がクライアントから別な媒体に移動した場合でもラベルを損なうことなく制御を行うことができる。あるいは利用者の所在が適切な場合にのみ操作を実行することができる。
【００２８】
さらに、利用者は組織外にファイルを持ち出す場合に、承認者から承認を得た後に暗号化したファイルをノートＰＣに格納する。利用者が組織外にて暗号化したファイルを利用する場合には、携帯電話を用いて利用者の所在情報が適切であると確認できた場合にのみ復号鍵を携帯電話に送信する。利用者は携帯電話とノートＰＣを通信することによって復号鍵を受け渡し、組織外においても適切な場所でのみファイルを利用することができる。
【００２９】
上記態様によって、以下のような効果を得ることが出来る。
・情報の取り扱い条件について、組織内外の利用環境、および社員の役職などの属性からきめ細かい条件を指定することができるため、共有範囲を越えて漏洩につながる操作を防止し、情報の活用と漏洩防止を両立できる。
・利用者は情報のレベルやカテゴリを選択するだけで、きめ細かいポリシーが設定できる。
・ポリシーを一元管理し、クライアントに配布するシステム構成のため、ポリシーの修正を行えば、各ファイルの設定を更新しなくてもクライアントに反映できる。
・ラベル割当をしていないファイルについてもポリシーを設定することにより、ラベル割当をしていないファイルであっても漏洩の可能性の高い操作を防止することができる。これにより、過失や故意を問わず情報の組織外持ち出しを防ぐことができる。
・識別に用いるデータベースを承認判断時に更新することにより、管理者が更新を行うことなく情報の識別精度を向上させることができる。
・例えば、情報漏洩の未然防止に備えて、情報システムおよびその周辺環境に散在するファイルの管理において、セキュリティ部門の管理者などによるファイル管理を支援するツールに使用できる。
【００３０】
上述した本発明のファイル管理システムは、ファイルにラベルを割り当て、情報漏洩につながる操作を制限するシステムであり、少なくともポリシーを設定するポリシー設定手段と、前記ポリシーを監視・制御手段を備えるクライアントに配信するポリシー配信手段と、利用者の通過時に利用者を識別するセンサと、前記センサから取得した情報を一元管理して利用者の所在を特定する状態管理手段と、ファイルにラベルを割り当てることにより前記ポリシーを対応付けするラベル割当手段と、を備え、前記監視・制御手段は、利用者のファイル操作時にファイルに割り当てたラベルを特定し、利用者の所在および利用者の属性およびファイルの格納場所を元にラベルとポリシーとを照合し、操作の実行を許可する、ことを特徴とする。
【００３１】
また、本発明のファイル管理システムは、情報の種類を示すカテゴリと機密レベルの組合せデータであるラベルをファイルに割り当て、情報漏洩につながる操作を制限するファイル管理システムであって、オブジェクトの属性情報および取り扱い情報を格納するオブジェクト登録データベースを記憶する記憶手段と、ラベルの申請受付時ないしファイルの持出し申請受付時において、申請を受け付けたファイルにおける利用禁止オブジェクトの有無を、前記オブジェクト登録データベースにおける前記取り扱い情報に基づき特定するファイル識別手段と、前記ラベルの申請ないしファイルの持出し申請に対する承認結果を他端末ないし入力手段から得て、前記オブジェクト登録データベースにおける該当オブジェクトに関する取り扱い情報を更新するＤＢ管理手段と、を備えることを特徴とする。
【００３２】
なお、前記ファイル管理システムにおいて、前記ＤＢ管理手段は、承認結果を受信したときに前記オブジェクト登録データベースを更新するとしてもよい。
【００３３】
また、前記ファイル管理システムにおいて、前記オブジェクト登録データベースは、ラベルごとにファイルのオブジェクトを登録したデータベースと、ファイルを持出した履歴のある相手先ごとにオブジェクトを登録したデータベースと、ファイルおよびラベルを問わないオブジェクトを登録したデータベースとを含む、としてもよい。
【００３４】
また、ファイル管理システムにおいて、前記ファイル識別手段は、前記申請を受け付けたファイルについて、ページ構成と該当ページにおけるテキストの位置とオブジェクトの位置とを特定し、ここで前記ファイルについて特定した事項に関して類似する他ファイルを、前記オブジェクト登録データベースの属性情報に基づき特定し、前記ファイルと他ファイルとの差分を取得して、前記取得した差分において前記オブジェクト登録データベースに登録されたオブジェクトの有無を検出し出力装置ないし他端末に出力する、としてもよい。
【発明の効果】
【００３５】
本発明により、情報の活用を阻害することなく、情報漏洩につながる操作を未然に防止することが可能になる。
【図面の簡単な説明】
【００３６】
【図１】第１実施例に係るファイル管理システムの構成図である。
【図２】クライアントのハードウェア構成を例示するブロック図である。
【図３】ポリシーリストのデータ構造を例示する図である。
【図４】ポリシーリストのデータ構造を例示する図である。
【図５】ポリシーリストの設定画面を例示する図である。
【図６】ポリシー配信処理の流れを例示する図である。
【図７】ラベル割り当て処理の流れを例示する図である。
【図８】ラベルの割り当て申請画面を例示する図である。
【図９】ラベル割り当ての承認画面を例示する図である。
【図１０】ラベルリストおよび状態管理リストのデータ構造を例示する図である。
【図１１】利用者の所在を特定する処理を例示する図である。
【図１２】監視・制御プログラムの動作を例示するフローチャートである。
【図１３】ファイルの持ち出し操作に係る処理を例示する図である。
【図１４】組織外におけるファイル操作に係る処理を例示する図である。
【図１５】ファイル持ち出し後の組織内での処理を例示する図である。
【図１６】持ち出し操作に係る申請および承認画面を例示する図である。
【図１７】第２実施例におけるラベル割り当て処理を例示する図である。
【図１８】第２実施例における監視・制御プログラムの動作を例示するフローチャートである。
【図１９】第３実施例に係るファイル管理システムの構成図である。
【図２０】第３実施例における取引先リストを例示する図である。
【図２１】第３実施例における承認管理ＤＢを例示する図である。
【図２２】第３実施例における照合用ＤＢを例示する図である。
【図２３】第３実施例における持ち出しルールＤＢを例示する図である。
【図２４】第３実施例におけるファイルの持ち出し申請画面を例示する図である。
【図２５】第３実施例におけるファイルの持ち出し承認画面を例示する図である。
【図２６】第３実施例におけるファイルの持ち出し申請操作に係る処理を例示する図である。
【図２７】第３実施例におけるファイルの持ち出し承認操作に係る処理を例示するフローチャートである。
【図２８】第３実施例におけるファイル識別プログラムの動作を例示するフローチャートである。
【図２９】第３実施例におけるＤＢ管理プログラムの動作を例示するフローチャートである。
【発明を実施するための形態】
【００３７】
−−−実施例１−−−
以下、図面を適宜参照しつつ、実施例について説明する。図１は第１実施例に係るファイル管理システムの構成図である。ファイル管理システム１０００は、ポリシー設定サーバ１０、状態管理サーバ２０、ログ管理サーバ３０、インターネットサーバ４１、１台以上のセンサ５０、１台以上のプリンタ６０、１台以上のクライアント７０、文書管理サーバ８０、ＩＤ管理システム９０、資産管理システム１００、が有線あるいは無線でネットワーク４０に接続された構成をとる。
【００３８】
利用者１は例えば自身のユーザＩＤが耐タンパ領域に格納されたＩＣカード７６を用いて組織への入退室を行う。なお、組織とは建屋あるいは執務室などの居室を分ける部分にセンサが設置されており、最も外側に配置されたセンサの内側を指す。利用者１はさらに、クライアント７０あるいは可搬媒体７７あるいはノートＰＣ７８を使って種々の作業を行う。利用者１は一意に特定可能なユーザ情報を耐タンパ領域に格納した携帯電話７９を持っており、組織内外に携帯電話７９を持ち歩く。また、クライアント７０では、カードリーダ７９５を接続し、ＩＣカード７６を読み込ませてクライアント７０と通信することにより、ＩＣカードに記録されたＩＤを読み込むこともできる。管理者２はポリシー設定サーバ１０を使って種々の作業を行う。承認者３は文書管理サーバ８０を使って種々の作業を行う。
【００３９】
センサ５０は組織の建屋や執務室を分ける入口などに設置してあり、例えば支店のように、同じ組織で物理的な建屋が離れている場合にも、センサ５０が設置してあれば、利用者１がＩＣカード７６をかざすことにより、センサがＩＣカードのＩＤを読み取り、認証を行って入退室が可能である。
【００４０】
インターネットサーバ４１とは、ネットワーク４０内あるいはインターネットでやりとりされる電子メール４３の送受信を中継し、送受信した電子メールを保存する電子メールサーバあるいは、インターネット４２とのＷｅｂ通信を中継するＰｒｏｘｙサーバなどである。
【００４１】
さらにクライアント７０は、ＣＤ−Ｒ／ＤＶＤ−ＲやＵＳＢフラッシュメモリ、ポータブルＨＤＤ、マルチメディアコンテンツを格納するＳＤカードなどの可搬媒体７７が接続可能であり、クライアント７０は可搬媒体７７とファイル交換をすることができる。
【００４２】
ここで、クライアント７０は利用者１ごとに割り当てられていることを原則とする。なお、クライアント７０が２人以上の利用者に割り当てられていてもよく、その場合にはクライアント７０が利用者を識別および認証することにより、どの利用者がクライアント７０を利用したのかを区別できるようにすればよい。さらに、クライアント７０で複数人が共通のアカウントを用いてクライアントを使用する場合、ＩＤ管理システム９０でアカウント管理を行うことにより、誰がどのアカウントと紐付いているかを把握しておく。
【００４３】
さらに図１を使って、ポリシー設定サーバ１０、状態管理サーバ２０、ログ管理サーバ３０、センサ５０、クライアント７０、文書管理サーバ８０、ノートＰＣ７８におけるソフトウェア構成を説明する。
【００４４】
ポリシー設定サーバ１０では、ファイルに適用するポリシーを格納したポリシーリスト１３を設定するポリシー設定プログラム１１と、ポリシー設定プログラム１１で設定したポリシーリスト１３をクライアント７０に配信するポリシー配信プログラム１２を備える。さらに、ポリシー設定プログラム１１およびポリシー配信プログラム１２では、作業したログを端末ログ１４に格納する。ポリシー設定プログラム１１は、管理者２が直接ポリシー設定サーバ１０にアクセスするか、管理者用の端末からネットワーク４０を介してアクセスしてもよい。
【００４５】
状態管理サーバ２０では、ラベル管理リスト２３と状態管理リスト２４、復号鍵リスト２５、端末ログ２６を備えており、ログ管理サーバ３０のログ解析プログラム３１から受信したセンサログと、ＩＤ管理システム９０のユーザの属性情報を格納するユーザリスト９１をつき合わせ、ユーザリスト９１に登録したユーザの所在を状態管理リスト２４に書き込む状態管理プログラム２１が動作する。さらに状態管理プログラム２１は、クライアント間をファイルが移動する場合に、ファイルの格納先情報を管理するラベル管理リスト２３の更新も行う。また、状態管理サーバは、利用者１が持ち歩く携帯電話７９の認証を行う認証プログラム２２と、認証が成功した携帯電話に配信する復号鍵リスト２５を備える。これにより、利用者が組織外にいる場合でも、本実施例で説明するファイルの制御を行うことが可能となる。
【００４６】
ログ管理サーバ３０では、クライアント７０、文書管理サーバ８０、ポリシー設定サーバ１０でそれぞれ取得した端末ログと、センサ５０で取得したセンサログ５２を収集し、収集した端末ログを解析してログを整形して収集ログ３２に格納し、収集ログのうちセンサから取得したセンサログを状態管理サーバ２０に送信するログ解析プログラム３１が動作する。
【００４７】
クライアント７０では、利用者１の操作を詳細に監視し、操作発生時には、対象となるファイルのラベル情報を格納したラベル管理テーブル７４と、ポリシー設定サーバ１０から受信したポリシーリスト７３を参照し、ポリシーに従って操作を許可あるいは防止し、制御した結果をログとして端末ログ７５に格納する監視・制御プログラム７２が動作する。
【００４８】
文書管理サーバ８０では、ファイルにラベルを割り当てるラベル割当プログラム８１と、クライアント７０に備えた監視・制御プログラム７２と同じ機能を備える監視・制御プログラム８２が動作する。ラベル割当プログラム８１は、クライアント７０で利用者１が申請したファイルのラベル情報を受け付け、承認者による承認あるいは変更要求を受け付け、ラベル管理リスト８４を更新する。ラベル割当プログラム８１で割り当てたファイルとラベルとの対応関係情報は、ラベル管理リスト８４に格納する。文書管理サーバ８０のラベル割当プログラム８１および監視・制御プログラム８２で実行した操作のログは端末ログ８５に格納される。なお、文書管理サーバ８０に格納したファイルは、組織内で審査済みのファイルとし、上書き禁止として取り扱いを行う。
【００４９】
なお、本特許で述べるファイルとは、システムファイルなどではなく、組織内で生成あるいは外部から入手した、組織内で価値のある情報資産全てを対象とする。
【００５０】
図２は、ファイル管理システム１０００におけるクライアント７０のハードウェア構成を示すブロック図である。クライアント７０は、端末ログ７５ならびにポリシーリスト７３、ラベル管理テーブル７４を保存する外部記憶媒体７０２、監視・制御プログラム７２を実行するＣＰＵ７０１、メモリ７０３、入出力画面を表示する表示部７０４、入出力を制御する操作部７０５、可搬媒体７７に格納されたデータなどを読み書きするための可搬媒体接続部７０６、ＲＡＭ７０７、有線あるいは無線でネットワーク４０と通信を行う通信部７０８、これらの各装置等を相互接続するバス７０９から構成される。
【００５１】
また、文書管理サーバ８０、ポリシー設定サーバ１０、状態管理サーバ２０、ログ管理サーバ３０も、図２に示したクライアント７０のブロック図と同様のハードウェア構成をとる。ただし、文書管理サーバ８０、ポリシー設定サーバ１０、状態管理サーバ２０、ログ管理サーバ３０に可搬媒体接続部７０６は必ずしもなくてよい。
【００５２】
各装置では、ＣＰＵが外部記憶媒体７０２に格納されたプログラムを実行することにより、以下に説明する処理、機能が実現される。ただし、各実施形態の説明では、便宜上、各プログラムを実行主体としている。
【００５３】
また、各プログラムは、あらかじめ、上記各装置の外部記憶媒体７０２やメモリ７０３に格納されていても良いし、必要なときに、可搬媒体接続部７０６や通信部７０８と、各装置が利用可能な媒体と、を介して、他の装置から導入されてもよい。媒体とは、たとえば、着脱可能な可搬媒体７７、または通信媒体（すなわちネットワーク４０またはネットワーク４０を伝搬する搬送波やディジタル信号）を指す。
【００５４】
図３にポリシーリスト１３のデータ構造の一例を示す。ポリシーリスト１３は、クライアント７０、文書管理サーバ８０、可搬媒体７７、ノートＰＣ７８のいずれかに格納しているファイルに対して操作が発生した場合に操作を実行する条件を記録したものであり、ポリシー設定サーバ１０上およびクライアント７０上の記憶装置に格納したものである。
【００５５】
ポリシーリスト１３は０個以上のエントリから構成される表データであり、情報のカテゴリとレベルの組合せについて設定したラベル２８１、情報のカテゴリ２８２、情報の機密性の度合いを示すレベル２８３、制御対象とする操作２８４、２８４の操作を実行するための条件を示すアクセス主体２８５、ＩＤ管理システム９０のユーザリスト９１に登録されていないユーザあるいはインターネット４２を介してアクセス可能なＷｅｂサイトなどにおいてファイルを共有可能な共有先２８６、からなる。
【００５６】
以下、ポリシーリスト１３の構成について詳細に説明する。
まず、ラベル２８１は、列２８２に示すカテゴリと、列２８３に示すレベルとの組合せで設定する。なお、ラベル名は列２８１に示すようにアルファベットでもよいし、ラベルが一意に特定できる名称であればその他の名称でもよい。
【００５７】
ラベルをカテゴリとレベルの組合せで設定するのは、現在情報の種類は多様化しており、レベルやカテゴリによって共有範囲などの取り扱い規則が異なるためである。例えば、情報の共有範囲を大きく以下の４つに分類した場合、それぞれの取り扱い規則は異なるため、それぞれの共有範囲を越えないようなコントロールが必要である。
（１）一般に公開可能なもの
組織内で審査済みのものや、外部から入手した公開情報など。
（２）組織内だけで共有したいもの
ドラフト版や分類不能なものも含めて、大多数の情報が該当する。
（３）組織内でもさらに共有範囲を制限したいもの
機密レベルや種類に応じて分類可能。
（４）特定の組織（組織外）と共有したいもの
取引先や委託先ごとに分類可能。
【００５８】
さらに、各クライアント７０に格納しているファイルは、作成途中のドラフト版のものや、完成した文書なども混在する。これらのファイルについて、それぞれ異なる共有範囲を越えないようにするためには、ファイルを取り扱う人だけではなく、ファイルを格納する場所や利用場所を操作ごとに制限すべきである。ポリシーリスト１３は、共有範囲の異なる単位をカテゴリとレベルからラベルとして設定し、さらに、ラベルごとに操作に対するアクセス主体および共有先を指定した上で、ラベルをファイルに割り当てることで、情報の種類にあわせたきめ細かいポリシーを適用することができる。
【００５９】
なお、ラベル２８１は、ラベルが未設定のファイルに割り当てるポリシーとして、ラベルなし２８１１というラベルを設定し、操作に対する条件の設定を行う。本実施例では、ファイルに対して利用者１がラベルを割り当てると、例えばクライアント７０の監視・制御プログラム７２がラベルに紐付くポリシーを適用するが、クライアントが格納するファイル全てについてラベルを割り当てるのは手間がかかる。さらに、ラベル付けされないファイルについて制御対象から外れ、漏洩してしまう可能性も考えられる。そこで、ラベルが割り当てられていないファイルについては、少なくとも社外秘として扱い、組織外に情報が持ち出されるような操作は制御すべきと考え、ラベルなしのポリシーも設定し、適用することとする。
【００６０】
次にカテゴリ２８２は、組織の情報の種類に基づいて設定する値であり、例えば「人事情報」「財務情報」「技術情報」などの情報の種類を定義してもよいし、「取引先Ａ」などのように顧客情報としてもよい。これらの値は、管理者２がポリシー設定プログラム１１を用いて追加あるいは修正可能である。
【００６１】
レベル２８３は、情報の価値に基づいて設定する値であり、例えば「極秘」「秘」「公開」「未設定」を定義する。これらの定義は、ラベルの割り当てを行う利用者１およびラベルの承認を行う承認者３が設定しやすいような分類とする。
【００６２】
操作２８４は、従来のアクセス制御技術でアクセス権を指定した操作である「閲覧」「編集」に加えて、情報の共有範囲を越えて漏洩につながる可能性の高い操作まで定義したものであり、例えば「閲覧」「編集（ファイルの削除、ファイル名の変更なども含む）」「コピー（電子、紙、スキャンなど）」「印刷」「ネットワーク送信（以下、ＮＷ送信とする）（メール、Ｗｅｂアップロードなど）」「持ち出し」などを定義する。
【００６３】
アクセス主体２８５は、操作２８４を実行可能な条件を定義したものであり、具体的にはアクセス主体条件一覧３０１を元に設定する。アクセス主体２８５は、少なくとも０個以上の論理式から構成されるデータであり、アクセス主体条件一覧３０１から選択した条件を一意に識別可能な式を定義する。なお、論理式は、該操作を実行可能な条件、または許可しない条件を書く。さらに、論理式は記号「＾」でＡＮＤ演算子を示し、記号「｜」でＯＲ演算子を示す。ＡＮＤ演算子で接続された条件式が情報の取り扱い条件を示す。
アクセス主体２８５の定義方法についてはアクセス主体条件一覧３０１のデータ構造を説明した後述べる。
【００６４】
アクセス主体条件一覧３０１は、少なくとも１個以上のエントリから構成される表データであり、条件として設定する候補となるカテゴリ番号３０２、カテゴリ番号３０２について組織が選択し得る属性情報を示すカテゴリの概要３０３、カテゴリ３０３で組織が選択し得るデータ（３０４〜３０８）、からなる。
カテゴリ３０３は、例えば「雇用区分」「役職」「組織名」など利用者の属性情報や、ファイルを取り扱う利用者の場所、ファイルを格納する媒体の種類、組織外で利用するための条件、などを定義する。
【００６５】
カテゴリごとに設定するデータ（列３０４〜列３０８）は、例えばアクセス主体条件一覧３０１のＣ１に記載した「雇用区分」では、「パート」「契約」「社員」など、組織で選択し得る属性情報を定義する。なお、より細かく定義したいカテゴリや属性情報があれば管理者２が追加してもよい。これらのデータに関して、利用者や資産の管理は、別途ユーザリスト９１および資産リスト１０１を用いて行う。ユーザリスト９１は、ＩＤ管理システム９０で管理され、例えば「氏名」「雇用区分」「役職」などの属性情報を、利用者を一意に特定可能なユーザＩＤ単位で管理するものである。また、資産リスト１０１は、資産管理システム１００で管理され、例えば「資産ＩＤ」や記憶媒体の種類を示す「種類」、「所有部署」、「媒体識別ＩＤ」などを資産単位で管理するものである。これらユーザリスト９１および資産リスト１０１は、利用者および資産の追加に伴う登録、あるいは利用者の移動や退職、資産の所有部署の変更や滅却に伴う項目の削除について、ＩＤ管理システム９０および資産管理システム１００の一般的な機能を用いて行われることとする。
【００６６】
さて、ポリシーリスト１３におけるアクセス主体２８５の定義方法について説明する。「閲覧」操作を実行する条件２８６１では、「Ｃ１＝３＾Ｃ２＞３＾Ｃ３＝３＾Ｃ４＞２」を記述している。これらの式で左辺に記述する項目は、アクセス主体条件一覧３０１のカテゴリ番号３０２を示し、右辺に記述する項目は列３０４〜列３０８に示したデータの番号を示す。この例では、「Ｃ１が示す雇用区分が３（すなわち社員）」、かつ「Ｃ２が示す役職が３より大きい役職（すなわち課長以上）」、かつ「Ｃ３が示す組織名が３（すなわち研究部門）」、かつ「Ｃ４が示す場所が２より大きい（すなわち執務室、サーバ室、実験室のいずれか）」という条件を全て満たす場合、閲覧操作を実行可能であることを示す。このように、情報のカテゴリとレベルの組合せで定義するラベルについて、共有範囲を越える可能性のある操作ごとにアクセス主体を設定しておくことにより、きめ細かい条件設定を行うことが可能となる。
【００６７】
なお、アクセス主体２８５について、どのような条件でも操作を許可しないカテゴリについては何も記述しなければよい。例えば、「持ち出し」操作を実行する条件２８６４には何も記述していない。これは、どのような条件であってもファイルの持ち出しは許可しないことを意味する。
【００６８】
さらに、制限が不要なカテゴリについても式に含めなければよい。例えば、「編集」操作を実行する条件２８６２に「Ｃ５＞３」を記述する。この場合は、Ｃ５の条件を示す格納媒体の条件を満たせば、その他のカテゴリのデータが何であれ操作を許可することを意味する。
【００６９】
一方、どのような条件でも操作を許可する場合には「＊」を記述する。例えば、「ＮＷ送信」操作を実行する条件２８６３は「＊」と記述してあるため、どのような条件であってもＮＷ送信を実行できることを意味する。
【００７０】
ポリシーリスト１３における共有先２８６では、組織外における情報の共有先を指定する。主に操作２８４のＮＷ送信において、取引先の担当者などが決まっている場合や、ファイルをアップロードするＷｅｂサイトのＵＲＬがわかっている場合、予め担当者のメールアドレスやＵＲＬを登録しておくことによって、登録した担当者やＵＲＬには組織外であってもファイルを共有可能として設定できる。また、これらの情報を登録しておくことにより、メールアドレスの入力間違いによる誤送信や、送信するファイルを間違えて送信してしまうことを防止することが可能となる。共有先（列２８６）として登録していない場合についても、承認者３に共有先情報と目的などを申請し、承認を得ることでこれらの操作を実行することが可能である。
【００７１】
以上述べた構造のポリシーリスト１３を備えることにより、従来技術のようなユーザの閲覧および編集だけを監視・制御するのではなく、漏洩につながる可能性の高い幅広い操作に対する実施条件を設定することができる。
【００７２】
さらに、本ポリシーはポリシー設定サーバ１０に格納したポリシーリスト１３で一元管理し、管理者２がポリシー設定プログラム１１を用いて予め設定する。管理者２は定期的な見直しの都度、あるいは利用者からの申請に応じてポリシーを変更してもよい。本実施形態では、ファイル３００に対してラベル２８１を割り当てているため、一度ラベルをファイルに割り当てた後に、ラベルを定義するカテゴリやレベル、および各操作に対するアクセス主体の変更を行っても、既に割り当てたファイルには影響しない。また、ポリシーリスト１３はポリシー配信プログラム１２によってクライアント７０にも配信され、クライアント７０の監視・制御プログラム７２で参照されるため、ファイルのコピーなどによりクライアントが変わった場合でも、ラベルがわかれば同じポリシーを適用することができる。より具体的なポリシーの設定例と実現可能な制御については図４で述べる。
【００７３】
図４に、図３で説明したポリシーの具体的な例を示し、情報の種類ごとにきめ細かい制御ができることを示す。図４では、４種類のラベルを定義した例として、ラベル「Ａ」の定義を４００１、ラベル「Ｂ」の定義を４００２、ラベル「Ｃ」の定義を４００３、ラベル「なし」の定義を４００４に示す。
【００７４】
ラベルＡ４００１は、レベルが極秘の人事情報に割り当てたラベルであり、組織内でもさらに共有範囲を制限したいものである。このような情報は、社外に持ち出す用途はなく、組織内でも公開期限になるまで共有を制限すべきである。そのため、ラベルＡ４００１が割り当てられたファイルの制御として、持ち出しは許可せずに、閲覧操作からＮＷ送信までの操作を、課長以上の社員が執務室のデスクトップＰＣでのみ実行できる条件を設定する。これにより、例えば、課長以上の社員がラベルＡ４００１のファイルをデスクトップＰＣから可搬媒体へコピーしようとしても、コピー操作ができる装置としてデスクトップＰＣを設定しているため、条件を満たすことができず、実行できない。また、ＮＷ送信についても、共有範囲が課長以上のため、課長が誤って部下にファイルを転送するような操作も防止することができる。万が一、部下がファイルを入手したとしても、閲覧条件が一致しないため、見られることはない。
【００７５】
ラベルＢ４００２は、公開可能なカタログ情報に割り当てたラベルである。用途としては、社内での閲覧から社外の特定顧客への説明など持ち出す行為まで想定される。そのため、ラベルＢ４００２が割り当てられたファイルの制御として、閲覧およびＮＷ送信は「＊（条件なしで可能）」とし、それ以外の操作の条件を設定する。例えば、既に公開されているため、上書きを禁止するために、「編集」操作を許可しないなどがある。一方、持ち出し操作は社員がＲＦＩＤ貼り付け紙以外の媒体を利用すれば、共有先を選ばずに組織外に持ち出すことができる。
【００７６】
ラベルＣ４００３は、レベルが秘の取引先Ａに割り当てたラベルである。本情報は、組織内でも取引先Ａと関係のあるユーザのみ、また、組織外では取引先Ａの利用者のみと情報を共有すべきである。そのため、ラベルＣ４００３が割り当てられたファイルの制御として、社内では、研究または営業部門の契約社員以上の利用者が、執務室以上の場所で閲覧や編集操作を行うように定義する。また、ＮＷ送信の共有先として、取引先Ａの担当者のメールアドレスを登録し、持ち出し先として、取引先Ａの東京オフィスを登録する。これにより、利用者が取引先Ａに作成したファイルをメールなどで送信あるいは持ち出す場合は、登録したアドレスまたは宛先以外には承認がないと実行できない。また、承認を得ずに持ち出した場合、あるいは利用先として登録してある取引先Ａの東京オフィス以外においても操作できない。なお、ファイルの持ち出し処理の詳細については図１３から図１５で説明する。
【００７７】
ラベル未設定４００４は、ラベルが割り当てられていないファイルに割り当てるラベルである。ラベルが未設定のファイルは、本来極秘で扱うべき情報から、公開する情報までが混在するため、社外秘と同じ共有範囲にすることや、最も狭い範囲となるよう共有範囲を設定し、制御すべきである。そのため、例えば、印刷やＮＷ送信、持ち出しの操作は禁止し、閲覧や編集、コピーを利用者自身のクライアントでのみ（「ＩＤ」部分）行わせる。なお、誰かと共同でファイルを作成する場合や情報共有する場合など、利用者自身以外とファイルを共有する必要がある場合には、「未設定」以外の該当するラベルを割り当てればよい。
【００７８】
なお、ラベル未設定のポリシーは組織における業務などに応じて変更してもよく、例えばＩＤシステムと連携して、ファイルの利用者の職制情報や所属が同じである利用者間、あるいは利用者の役職以上のユーザとの間では閲覧、編集、印刷、ＮＷ送信を許可するポリシーとすることも考えられる。
【００７９】
また、ラベル割り当ての手間を削減する方法の一つの例として、予めテンプレートが決まっているファイルについては、ラベルを割り当てたテンプレートを文書管理サーバ８０に格納し、利用者がダウンロードして利用する。
【００８０】
以上説明したように、ポリシーリスト１３を定義することにより、情報の種類によって操作を行う利用者の属性や場所、情報を格納する媒体を制限することができる。以下に、漏洩につながる可能性の高い操作と、操作を防止するためのポリシーの一例を示す。
【００８１】
（１）情報の持ち出し制御
例えば、ラベルＡのように高い機密性が要求されるファイルへのコピー操作に対して、コピー先をデスクトップＰＣに限定することにより、価値が高い情報を漏洩につながる可搬媒体に書き出す行為を禁止することができる。また、ラベルＢ４００２の公開可能なファイルに対しては、可搬媒体へのコピーや持ち出しも可能とし、ラベルＣでは持ち出しにあたり、持ち出しの承認が必要とすることにより、情報の種類に応じて持ち出しの制御ができる。
【００８２】
（２）持ち出したファイルのアクセス制御
例えば、ラベルＡ４００１の閲覧操作に対して、場所における条件を社内のみとすることにより、ノートＰＣを社外で利用する場合など、不適切な場所での閲覧を防止できる。なお、これは人の所在を特定することが必要であるため、上記センサ５０での入退室情報と連携して制御を行う。具体的な処理については、図１４で説明する。
【００８３】
（３）印刷の制御
例えば、ラベルＡ４００１のように印刷する場所を制限するポリシーやラベルＢ４００２のように誰でも印刷可能とするポリシーを設定できる。情報の価値に応じて印刷を制限することにより、機密性の高い情報について閲覧はできても印刷はできないように制御することが可能となる。
【００８４】
（４）ネットワーク送信の制御
例えば、ラベルＡ４００１の機密性の高い情報については、ネットワーク送信を社内に限定することにより、組織外への不正な送信や宛先間違い、送信するファイルの間違いを防止することが可能である。
【００８５】
さらに、ラベルＣ４００３のように社外の取引先と共有するファイルについては、共有先として取引相手や委託先企業のメールアドレスやＷｅｂアップロード先のＵＲＬを事前に指定してあるため、指定している相手には申請をすることにより、承認者の承認を待たずに操作を行うことができる。また、相手先へ不正に電子メールを送信することや、誤送信の防止、正規の宛先に情報を正しく送信することが可能となる。
【００８６】
（５）社外から社内の機密情報へのアクセス制御
例えば、ラベルＡ４００１の閲覧操作では、閲覧可能な場所を社内にすることを条件として設定する。利用者が退室して社外に出る際にＩＣカードをセンサに近づけてＩＤを読み取らせることにより、利用者の所在が社外として状態管理リスト２４に記録されるため、リモートアクセス機能を利用してラベルＡ４００１のファイルにアクセスしようとしてもアクセスできない。これにより、社外でのノートＰＣ利用が認められている社員が社外でノートＰＣを操作する場合でも、機密性が高い情報の閲覧は防止できるため、第三者にファイルを見られてしまうことによる漏洩を防ぐことができる。
【００８７】
なお、入退室管理とクライアントへのログインとを連携させ、ＩＣカードをかざして入室し、入室した記録がないとクライアントにログインできないようにすることも可能である。また、退室した記録がないと社外ネットワークからリモートアクセスできないようにすることも可能である。これにより、退室時にＩＣカードをかざさずに、社内にいると成りすましてリモートアクセスする行為を防止することができる。なお、上記説明した制御は一例であり、その他の制御も可能である。
【００８８】
図５にポリシーリスト１３の設定画面の一例を示す。
ポリシー設定サーバ１０に格納するポリシーリスト１３は、管理者２がポリシー設定サーバ１０の操作部７０５を介してポリシー設定プログラム１１に直接アクセスする、あるいは、別な端末からネットワーク４０を介してポリシー設定プログラム１１にアクセスすることで設定する。管理者２がポリシー設定プログラム１１にアクセスすると、表示部７０４が図５に示したポリシー設定画面５０１を表示する。
【００８９】
ポリシー設定画面５０１では、新規ポリシーの設定、あるいは登録済みポリシーの設定確認や修正を行う。ポリシー設定画面５０１は、登録済みポリシーのラベル一覧を表す登録済みラベル一覧５１０と、新規ポリシーを設定する新規追加ボタン５１１から構成される。
【００９０】
登録済みラベル一覧テーブル５１０は０個以上のエントリから構成される表データであり、登録済みポリシーのラベル名５０１１、ファイルのカテゴリ５０１２、機密性の度合いを表すレベル５０１３、ラベル５０１１に設定済みのポリシーを表示する設定表示ボタン５０１４、ラベル５０１１に設定済みのポリシーを修正する画面を表示する修正ボタン５０１５、ラベル５０１１に設定済みのポリシーを再利用して新規ポリシーを追加するために設定済みポリシーを複写したポリシー設定画面を表示する再利用ボタン５０１６、ラベル５０１１が割り当てられているファイルの登録数５０１７、からなる。
【００９１】
管理者２が実行したいボタンを押下すると、以下のようにそれぞれ画面が表示される。例えば、設定済みポリシーを参照する場合は列５０１４のボタンを押下し、設定済みポリシーを修正する場合は列５０１５のボタンを押下し、設定済みポリシーを複写して新規ラベルを登録する場合は列５０１６のボタンを押下し、新規ポリシーを追加する場合は新規追加ボタン５１１を押下する。
管理者２から上記ボタンのいずれかが押下されると、ポリシー設定プログラム１１はポリシー設定画面５０２を表示する。
【００９２】
ポリシー設定画面５０２は、新規登録するラベル名にカテゴリとレベルを割り当てるラベル設定フォーム５２０、共有先のＵＲＬやメールアドレスを入力する入力フォーム５２１４、共有先のＵＲＬやメールアドレスをＩＤ管理システムなどから特定する参照ボタン５２１５、新規追加するラベルについて、操作ごとに実行する権限を設定する操作権限設定画面５２２、設定したデータをポリシーリスト１３に登録するための登録ボタン５２３から構成される。なお、ボタン５０１４が押下された場合には、操作権限設定画面５２２に設定済みのポリシーを表示し、ボタン５０１５が押下された場合には、操作権限設定画面５２２に設定済みのポリシーを表示し、さらに表示した権限を変更することができる。さらに、ボタン５０１６が押下された場合には、操作権限設定画面５２２に設定済みのポリシーを表示し、新規追加するようラベル５２０を修正することができる。
【００９３】
ラベル設定フォーム５２０では、ラベル名５２１１を入力し、カテゴリ５２１２とレベル５２１３から管理者２が設定したい値をプルダウンから選択する。また、設定したいカテゴリがない場合には、管理者２が新規入力フォーム５２１に適切なカテゴリ名を入力してもよい。
社外共有先入力フォーム５２１４では、社外でファイルを共有する相手が予めわかっている場合に、ＵＲＬあるいはメールアドレスなど相手を一意に識別できる情報を入力する。
【００９４】
操作権限設定画面５２２は、操作ごとに異なるタブ５２２１で権限設定画面を切り替えることができるため、管理者２はタブ５２２１を押下して操作を切り替え、全ての操作の権限を設定する。操作権限設定画面５２２は、操作権限を設定する表５２２３と、設定したデータのうち表示している表についてのみ入力を全て無効として初期表示に戻すリセットボタン５２２２、からなる。
【００９５】
操作権限設定表５２２３は、図３で説明した情報漏洩につながる可能性の高い操作全てについて権限を設定する表であり、新規追加ボタン５１１を押下した場合など何も入力されていない場合は背景が白く（５２２４）表示される。管理者２が操作権限を設定する場合は、操作権限設定表５２２３のうち、条件に該当させない項目を押下すると、押下した項目の背景を例えば黒に反転する（５２２５）。このように、操作権限設定表５２２３で押下した項目の色を変えることにより、操作権限を設定することができる。
【００９６】
管理者が全ての権限を設定して登録ボタン５２３を押下すると、ポリシー設定プログラム１１は、操作権限設定画面５２２を閉じ、操作権限設定表５２２３に入力されたデータから図３のアクセス主体２８５に示した論理式を生成し、入力されたデータ全てをポリシーリスト１３に登録する。そして、ポリシーリスト１３へのデータ登録が終了すると、登録済みラベル一覧テーブル５１０の最後の行を新規追加し、設定したラベル情報を表示する。
【００９７】
以上説明したように管理者２がポリシーリスト１３を生成し、ポリシー配信プログラム１２が更新したポリシーリスト１３をクライアント７０に配信することにより、クライアント７０のポリシーリスト７３が更新される。ポリシーリスト１３のクライアント７０への配信については、図６を用いて説明する。
【００９８】
図６にポリシー配信処理の流れを示す。
クライアント７０の監視・制御プログラム７２は、プログラムを起動した後（ステップ６０１）、ポリシー設定サーバ１０のポリシー配信プログラム１２にアクセスし、クライアント７０のユーザＩＤを送信し、ポリシーテーブルの取得を申請する（ステップ６０２）。
【００９９】
ポリシー配信プログラム１２は、ポリシーテーブル取得申請を受信後、ＩＤ管理システム９０のユーザリスト９１を参照し（ステップ６０３）、ユーザリスト９１に受信したユーザＩＤが登録されているかを判断する（ステップ６０４）。ユーザＩＤが登録されていればポリシーリスト１３をクライアント７０に配信し（ステップ６０７）、登録されていない場合はクライアント７０の監視・制御プログラム７２にエラーを返し（ステップ６０５）、ポリシー設定サーバ１０の表示部７０４にエラーとユーザＩＤを表示する（ステップ６０６）。
クライアント７０の監視・制御プログラム７２は、ポリシー配信プログラム１２からポリシーリスト９１を受信すると、クライアント７０のポリシーリスト７３を更新する（ステップ６０８）。
【０１００】
本動作フローにより、クライアント７０が起動するたびにポリシーリスト７３は最新の状態に更新される。なお、クライアント７０に監視・制御プログラム７２を新規インストールした場合には、少なくともラベル「なし」のファイルに対するポリシーを格納したポリシーリストが同時にインストールされる。これにより、監視・制御プログラム７２をインストールした直後にファイルにラベルを割り当てていない場合でも、ラベルに基づいた制御を実行することができる。また、クライアント７０がネットワーク接続しない場合、またはポリシー設定サーバ１０と通信できない場合、またはカードリーダ７９５でＩＣカードとクライアントを通信して組織内にいることが確認できない場合には、ラベル「なし」のポリシーを全てのファイルに適用する。
【０１０１】
図７にラベル割り当て処理の流れを示す。
ファイルへのラベル割り当て処理は、ファイルの利用者１がファイルの共有範囲を利用者以外に設定したい場合に実施する。なお、ファイルの作成者が利用者１でない場合でも、ファイルをクライアント７０に格納した場合には、利用者１がラベルを割り当てるまではラベル「なし」のポリシーが適用される。
【０１０２】
まず、クライアント７０の利用者１がファイルを新規作成あるいはクライアント外からＮＷ送信やインターネット４０を通じて入手して保存したファイルについて、自発的にラベルを割り当てる場合、利用者が文書管理サーバ８０のラベル割当プログラム８１にアクセスし、ログインする。このとき、クライアントの監視・制御プログラム７２は、クライアントのユーザＩＤを送信する。また、ラベルが未設定のファイルを操作しようとして制御された場合、監視・制御プログラム７２が文書管理サーバにアクセスし、ユーザＩＤを送信する（７００１）。
【０１０３】
すると、文書管理サーバ８０のラベル割当プログラム８１はサーバ認証を行い（７００２）、ポリシー設定サーバ１０のポリシーリスト１３を参照して（７００３）、ユーザＩＤがアクセス主体の条件を満たすラベルを特定し（７００４）、クライアントの画面上にラベル割当画面を表示させる（７００５）。
【０１０４】
利用者１は、表示されたラベル割当画面でファイルのラベルを割り当て（７００６）、さらにラベルを割り当てるファイルを指定し（７００７）、ラベル割当プログラム８１に送信する（７００８）。なお、ラベル割当画面の詳細については、図８で説明する。監視・制御プログラム７２は、ラベル管理テーブル７４を更新し、申請したファイルの状態を承認待ちとする（７００９）。
【０１０５】
ラベル割当プログラム８１は、クライアント７０から受信したユーザＩＤおよびラベル情報とポリシーリスト１３を照合し、承認が必要かを判断し（７０１０）、承認が必要なラベルの場合は承認者に申請内容を送信する。なお、承認を必要としないラベルは設定してもよいし、しなくてもよい。このとき、ラベル割当プログラム８１は、ラベル管理リスト８４を参照し、ラベル管理リスト８４に登録されたラベル割り当て済みファイルの一覧から、利用者が選択したラベルと同じラベルを割当てられているファイル、あるいは同じカテゴリを割り当てられているファイルなどを少なくとも１以上抽出して送信する（７０１１）。なお、抽出する条件として、利用者と同じ部署のユーザが所有するファイルのラベルとしてもよい。
【０１０６】
承認者３は、申請されたファイルとラベルが適切であるか確認し、必要であればラベルの変更を要求する（７０１２）。このときの編集画面の詳細については、図８で説明する。
承認者３がラベルを確認あるいは変更要求を実行した後、ラベル割当プログラム８１では、ラベルを割り当てたファイルが完成文書である場合には（７０１３）文書管理サーバ１０にファイルを格納し（７０１４）、ラベル管理リスト８４を更新する（７０１５）。なお、完成文書でない場合には、ファイルは格納せずにラベル管理リスト８４を更新する（７０１５）。
【０１０７】
次に、ラベル割当プログラム８１は、申請内容に共有先の指定もあるかを確認し（７０１６）、共有先の指定が必要な場合にはポリシーリスト１３を参照し、共有先を追加するようポリシー設定プログラム１１に共有先情報を送信する（７０１７）。また、共有先情報の指定が必要でない場合には操作を行わない。
【０１０８】
ラベル割当プログラム８１が登録を完了し、登録完了通知を監視・制御プログラム７２に送信すると（７０１８）、クライアント７０の監視・制御プログラム７２はラベル管理テーブル７４を更新し、申請したファイルの状態を承認済みとする（７０１９）。これにより、ファイルにはラベルが割り当てられ、以降ファイルにはラベルに設定されたポリシーが適用される。
【０１０９】
なお、ファイルに対するラベルの割り当ては、本実施例で説明したテーブルを用いてラベルを管理する方式だけではなく、ファイルのヘッダ領域やコンテンツにラベルを埋め込む方法や、ＤＲＭ技術を用いてラベルとファイル本体をカプセル化してもよい。
【０１１０】
図８にラベルの割り当て申請画面の一例を示す。
ファイルへのラベル割り当ては、図７で説明したように、ファイルを格納しているクライアント７０の利用者１がまずラベルを割り当てし、割り当てたラベルが適切であるかを承認者３が確認して承認するとファイルにラベルが割り当てられ、ラベルに基づく制御を行う。
【０１１１】
ラベル割当申請画面８０１は、ラベルを新規で割り当てるか、あるいは一度割り当てたラベルを変更するかを選択するボタン８０１１と、ラベル割り当てを申請する利用者のユーザＩＤ８０１２と、ラベルを割り当てるファイルパス８０１３と、ラベルを割り当てるファイルを参照して選択するボタン８０１４と、文書管理サーバに登録するかどうかを選択し、登録する場合には登録先のフォルダを指定する登録先フォルダ８０１５と、登録先フォルダ８０１５を文書管理サーバから参照して選択するボタン８０１６と、ラベルの選択方法を選択するための履歴利用タブ８０１７またはプルダウン選択タブ８０１８と、履歴利用タブを選択した場合の選択肢を表示したラベル選択表８０１９と、入力内容を申請する申請ボタン８０２０、からなる。なお、履歴利用タブ８０１７の選択肢として表示するラベルは、利用者１が操作を実行する条件を満たすラベルである。
【０１１２】
利用者１は、例えば８０１０に示したように該当するラベルを選択することで、割り当てるラベルを選択することができる。
また、利用者１がプルダウンによるラベルの選択を希望し、プルダウン選択タブ８０１８を押下すると、ラベル割当申請画面８０２が表示される。
【０１１３】
ラベル割当申請画面８０２では、基本的な構成はラベル割当申請画面８０１と同じであり、ラベル選択表８０１９の部分をプルダウンで選択するプルダウン選択表８０２１を表示する。プルダウン選択表８０２１は、カテゴリ８０２２を選択するプルダウンと、レベル８０２３を選択するプルダウンが表示されるため、利用者１は該当するカテゴリとレベルを選択し、選択が終わったら決定ボタン８０１４を押下することで、割り当てたラベルを申請することができる。
【０１１４】
図９にラベル割り当ての承認画面の一例を示し、承認者３のラベル承認方法を説明する。
承認者３が文書管理サーバ８０のラベル割当プログラム８１にアクセスすると、ラベル承認画面９０１が表示される。ラベル承認画面９０１は、申請者のユーザＩＤ９０１１と、利用者１がラベルを割り当てたファイルパス９０１２と、文書管理サーバ８０に登録する場合には登録先フォルダ９０１３と、利用者１が割り当てたラベル９０１４と、ファイルを表示する表示ボタン９０１５と、ラベルを変更する場合に選択するラベルの候補リスト９０１６と、類似するファイルのラベル一覧９０１８と、承認ボタン９０１９、からなる。
【０１１５】
承認者３は、ラベル承認画面９０１を見てファイルとラベルが適しているかを判断する。もし、ファイルの中身を確認する場合は、表示ボタン９０１５を押下すると、文書管理サーバ１０にアップロードされたファイルが開くため、承認者３はファイルの中身を見てラベルを承認することもできる。承認者３は、申請されたファイルについて、ラベルの変更が必要ないと判断した場合は、承認ボタン９０１９を押下し、ラベルの変更が必要と判断した場合は、別なラベルを選択し（９０１７）、承認ボタン９０１９を押下する。これにより、もし利用者１が適切でないラベルをファイルに割り当てていた場合でも、承認者３が変更することにより、適切なラベル割り当てがなされる。
なお、ラベル承認画面９０１には、類似するファイルのラベル一覧を表示しているため、承認者３は利用者１が設定したラベルが適切かどうかを判断するための目安とすることができる。
【０１１６】
図１０にラベル管理リスト２３および状態管理リスト２４のデータ構造の一例を示す。
ラベル管理リスト２３は、ラベルが割り当てられたファイルに関するデータを格納している。ラベル管理リスト２３は、少なくとも０個以上のエントリからなるデータであり、一意に情報の格納場所を識別可能なファイルパス１０１１、ファイルを格納する媒体識別ＩＤ１０１２、ファイルに割り当てたラベル１０１３、ラベルを最後に割り当てた最終ラベル割当者ＩＤ１０１４、ラベルの登録日時１０１５、ラベルの承認状態１０１６、その他状態１０１７、からなる。
【０１１７】
その他状態１０１７で管理するデータは、例えば「ラベル承認中」「持ち出し申請中」「持ち出し中」などのファイルの状態を表示する。ラベル管理リスト２３により、どのクライアントにどのラベルをもつ情報が格納されているか、また、ラベルが割り当てられている情報の承認状態などを迅速に把握することができる。また、クライアント７０は同じ形式を持つラベル管理テーブル７４を備えており、文書管理サーバ８０は同じ形式を持つラベル管理リスト８４を備えている。ラベル管理テーブル７４およびラベル管理リスト８４では、クライアント７０あるいは文書管理サーバ８０に格納しているファイルについて同じ形式で状態を管理している。
【０１１８】
次に、状態管理リスト２４について説明する。
状態管理リスト２４はセンサ５０を利用者が通過したログを元に、ＩＤ管理システム９０のユーザリスト９１に登録した利用者の所在を管理するものである。
状態管理リスト２４は少なくとも０個以上のエントリからなるデータであり、ユーザＩＤ１０３１、利用者の現在地を示す所在１０３２、からなる。
【０１１９】
例えば、ユーザＩＤ１０３１が００１の利用者は執務室にいることを示す。これは、組織外から組織内の建屋、建屋から執務室に利用者が通過する際にＩＣカードをセンサ５０に近づけてＩＤを読み取らせることにより、入室したデータが状態管理リスト２４に反映されていることを意味する。状態管理リスト２４は、利用者１がＩＣカードをセンサ５０を近づけてＩＤを読み取らせるなど正当な方法で通過した場合に更新されるため、例えば状態管理リスト２４で建屋内にいることをクライアント７０のログイン条件にしておくことにより、なりすましや共連れにより入室してクライアント７０を操作し、ファイルにアクセスしようとしても、状態管理リスト２４に入室した記録がない場合には、ログインすらできないよう制御することができる。
なお、利用者の所在を確認する手段として、センサ５０だけではなく、利用者が操作するクライアント７０が接続するＩＰアドレスなどを取得することによって、社内のどこに利用者がいるかを判断してもよい。
【０１２０】
図１１に利用者の所在を特定する処理の流れを示す。
利用者１がセンサ５０にＩＣカード７６あるいはＩＤ情報を格納した携帯電話７９をかざしてセンサが設置してあるエリアに入退室すると（１１０１）、センサ５０のセンサログ取得プログラム５１で取得したセンサログをログ管理サーバ３０のログ解析プログラム３１に送信する（１１０２）。ログ解析プログラム３１は、センサログを受信すると（１１０３）、ユーザリスト９１を参照し（１１０４）、入退室した利用者のユーザＩＤを特定する（１１０５）。さらに、ログ解析プログラム３１は、特定したユーザＩＤとセンサの識別情報を状態管理サーバ２０の状態管理プログラム２１に送信する（１１０６）。状態管理プログラム２１は、ユーザＩＤとセンサの識別情報を受信すると（１１０７）、状態管理リスト２４を参照し（１１０８）、受信したユーザＩＤの所在情報を更新する（１１０９）。
【０１２１】
以上、図１１で説明したように、組織内に設置されたセンサ５０を利用者が通過した情報を状態管理サーバ２０の状態管理リスト２４で管理することにより、利用者の所在の変化を把握することができる。
【０１２２】
図１２でクライアント７０、文書管理サーバ８０、ノートＰＣ７８で動作する監視・制御プログラム７２の動作フローについて説明する。
監視・制御プログラム７２が起動すると（ステップ１２０１）、クライアント７０における利用者の操作を監視する（ステップ１２０２）。利用者がファイルに対して操作を行うと（ステップ１２０３）、発生した操作の状態を識別する（ステップ１２０４）。このとき監視・制御プログラム７２は、発生した操作と、Ｗｅｂアップロードなどネットワーク送信の操作である場合には宛先であるメールアドレスあるいはＵＲＬなどの社外共有先情報、クライアントのユーザＩＤ、ファイルパス、なども識別する。
【０１２３】
次に、クライアント７０に格納したラベル管理テーブル７４を参照し（ステップ１２０５）、操作対象であるファイルのファイルパスをキーとしてファイルに割り当てたラベルを特定する（ステップ１２０６）。
ラベルが「なし」以外に設定されている場合には（ステップ１２０７）、状態管理サーバ２０にアクセスして状態管理リスト２４を参照し（ステップ１２０９）、ユーザＩＤをキーとして利用者の所在を特定する（ステップ１２１０）。
【０１２４】
ステップ１２０７においてラベルが未設定の場合、またはステップ１２０９で状態管理サーバ２０にアクセスできなかった場合は、ラベル未設定用のポリシーを参照する（ステップ１２０８）。なお、ステップ１２０９で状態管理リスト２４にアクセスできない場合もラベル未設定として扱うのは、状態管理サーバ２０とアクセスできない場合はクライアントがオフラインの場合と考えられ、オフラインの場合は利用者の所在が特定できないためである。また、クライアントがオフラインの場合は、ポリシー設定サーバ１０に格納しているポリシーリスト１３とクライアント７０に格納しているポリシーテーブル７３とが異なってしまう可能性があるため、適用すべき制御が異なってしまうことを防ぐためである。
【０１２５】
次に、ステップ１２０８でラベルが「なし」のポリシーを参照した場合、ステップ１２０４で識別した状態がラベル「なし」のポリシーと一致するかを判定し（ステップ１２１４）、一致する場合には操作を実施し（ステップ１２１５）、一致しない場合には操作を防止する（ステップ１２１６）。ステップ１２１６で操作を防止した場合には、利用者にアラートを表示し（ステップ１２１７）、さらにラベル割当操作を行うか利用者に入力させる画面を表示し、ラベル割り当て操作を利用者が行うと入力を受け付けた場合には（ステップ１２１８）、ラベル割当画面を表示する（ステップ１２１９）。ラベルの割り当てを行わない場合、あるいはラベル割当画面を表示した（ステップ１２１９）後は、ログを取得する（ステップ１２２０）。
【０１２６】
一方、ステップ１２１０において利用者の所在を特定した場合は、操作がＮＷ送信あるいはクライアント以外の記憶媒体へのファイルのコピー、印刷などいずれかのクライアント以外の格納先への操作であるかを判定し、出力操作である場合には（１２１１）、資産リスト１０１を参照してファイル格納先の資産情報を取得し（ステップ１２１２）、ポリシーリスト７３のラベルに設定しているポリシーを参照する（ステップ１２１３）。また、ステップ１２１１で操作が出力操作でない場には、ステップ１２１３を実行する。
【０１２７】
ステップ１２１３でポリシーを参照し、ステップ１２０４で識別した状態がポリシーの条件と一致するかを判定した結果、一致する場合には（ステップ１２２１）、操作を実施する（ステップ１２２２）。さらに、例えばコピーや名前変更、あるいは削除などのように操作を実行することによりファイルパスが変更になる操作であれば（ステップ１２２３）、ラベル管理テーブル７４を更新し（ステップ１２２４）、ログを取得する（ステップ１２２０）。ファイルパスが変更にならない場合はステップ１２２０を実行する。
【０１２８】
ステップ１２２１でポリシーの条件を満たさなかった操作の場合は、操作を防止し（ステップ１２２５）、アラートを利用者に表示し（ステップ１２２６）、ログを取得する（ステップ１２２０）。なお、ステップ１２２０では、少なくとも操作の発生時刻と、ユーザＩＤと、操作の実行有無と、ファイルのラベルをログとして記録する。
【０１２９】
ステップ１２２０の後、プログラム終了命令がされない限り（ステップ１２２７）、ステップ１２０２に戻って監視を行い、プログラム終了命令がなされた場合は、プログラムを終了する（ステップ１２２８）。
【０１３０】
本実施例では、状態管理サーバ２０で管理している状態管理リスト２４を参照し、利用者の操作環境も取得して制御することにより、単なる人物からファイルへのアクセス権の制御だけではなく、ファイルを利用する利用者の環境によってもファイルの操作を制御することが可能となる。
【０１３１】
なお、図１２ではクライアント７０における監視・制御プログラム７２の説明をしたが、文書管理サーバ８０の監視・制御プログラム８２では、ラベル管理リスト８４とポリシー設定サーバ１０のポリシーリスト１３を参照し、ノートＰＣ７８では、クライアント７０からコピーしたラベル管理テーブル７８１３とポリシーリスト７８１４を参照する。
【０１３２】
図１３にファイルの持ち出し操作に係る処理の流れを示す。
利用者１が状態管理サーバ２０の状態管理プログラム２１にアクセスすると（１３０１）、申請画面が表示される（１３０２）。利用者１が表示された申請画面に従い申請情報を入力し（１３０３）、申請情報および持ち出すファイルを状態管理サーバ２０に送信すると（１３０４）、状態管理プログラム２１はラベル管理リスト２３と持ち出すファイルのファイルパスとを照合してファイルのラベルを特定し、特定したラベルのポリシーを参照して持ち出し可能かを識別し（１３０５）、持ち出し操作の条件を満たしていない場合には条件を不適切のエラーメッセージを表示する（１３０６）。持ち出し操作の条件を満たしている場合には、申請情報を承認者３に送信する（１３０７）。承認者３は表示された承認画面で持ち出し申請情報を確認し、申請情報の持ち出し許可あるいは不許可を判断し（１３０８）、状態管理プログラム２１に送信する（１３０９）。
【０１３３】
状態管理プログラム２１は承認結果を受け付け（１３１０）、不許可の場合は申請不許可のメッセージを通知し（１３１１）、許可の場合はラベル管理リスト２３の状態を持ち出し承認済に更新し（１３１２）、少なくとも利用先の所在情報と格納媒体の識別ＩＤを復号条件として含めた暗号鍵を生成し（１３１３）、ファイルを暗号化する（１３１４）。
【０１３４】
状態管理プログラム２１が利用者に持ち出し許可通知を送信すると（１３１５）、利用者１は状態管理サーバ２０にアクセスし（１３１６）、暗号化したファイルをダウンロードし（１３１７）、持ち出すノートＰＣ７８にファイルを格納する（１３１８）。このとき、クライアント７０の監視・制御プログラム７１はファイルのダウンロードを検知し、ラベル管理テーブル７４に承認結果を反映する（１３２３）。
【０１３５】
利用者１は、その後組織内から組織外に出る場合、ＩＣカード７６あるいは利用者のＩＤ情報を格納した携帯電話７９をセンサ５０に近づけて近距離無線通信を行わせ、ＩＤを読み取らせる（１３１９）。すると、センサ５０のログ取得プログラム５１でユーザ情報を取得し（１３２０）、状態管理プログラム２１に取得した情報を送信する（１３２１）。状態管理プログラム２１では、受信したユーザ情報を元にラベル管理リスト２３の状態を持ち出し中に更新する（１３２２）。
【０１３６】
この処理により、組織外に持ち出したファイルは暗号化して持ち出されるため、あらかじめ申請し承認された利用先以外の場所で利用者１がアクセスしても復号化されず、不適切な利用場所での操作を防止することができる。
【０１３７】
なお、ＵＳＢメモリなどのＣＰＵを持たない可搬媒体に格納する情報のレベルが高い場合も、強制的にファイル暗号化を行う。暗号化の方法については、例えば「情報漏洩リスク提言のための内部統制と情報資産管理（著：甲斐他、日立評論 ２００７年９月号、ｐｐ．５１、３．３節）」に開示しているように、持ち出すファイルを自己復号型で暗号化し、規定ＰＣの識別情報（ＭＡＣアドレスなど）を暗号ファイルに格納することにより、自宅ＰＣや不審なＰＣでの閲覧・編集を防止することができる。
【０１３８】
図１４に組織外におけるファイル操作に係る処理の流れを示す。
利用者１は、携帯電話７９に格納された認証プログラム７９１を用いて状態管理サーバ２０の認証プログラム２２にアクセスし、ログイン情報７９２を送信する（１４０１）。
状態管理サーバ２０の認証プログラム２２はログイン情報７９２が正規のものかどうかを判断し（１４０２）、認証に成功した場合は認証プログラム７９１に携帯電話７９の所在情報送信を要求し（１４０３）、認証に失敗した場合はエラーメッセージを送信する（１４０８）。
認証プログラム２２が利用者２の所在情報としてＧＰＳ情報を送信すると（１４０４）、状態管理プログラム２１は状態管理リスト２４を参照し（１４０５）、利用者の所在が承認済みの場所かどうかを照合する（１４０６）。
状態管理プログラム２１は、所在が承認済みでない場合はエラーメッセージを送信し（１４０７）、承認済みであった場合は復号鍵リスト２５を参照して現在の所在地で利用可能なファイルの復号鍵を特定し、送信する（１４０８）。
【０１３９】
認証プログラム２２は復号鍵を受信し（１４０９）、通信プログラム７９３を起動する（１４１０）。通信プログラム７９３はノートＰＣ７８の認証プログラム７８２にログイン情報を送信し（１４１１）、認証が成功した場合には（１４１２）、通信プログラム７９３に復号鍵を要求し（１４１３）、通信プログラム７９３からＢｌｕｅｔｏｏｔｈなどを用いて復号鍵を送信する（１４１４）。ノートＰＣ７８の通信プログラム７８３では、復号鍵を受信すると、ノートＰＣ７８に格納し（１４１５）、利用者１がファイルにアクセスした場合には（１４１６）、承認されたファイルのみ、復号鍵により復号化し（１４１７）、閲覧などの操作を実行できるようになる。
【０１４０】
なお、ノートＰＣ７８の通信プログラム７８３は、携帯電話７９の認証プログラム７９１と一定時間ごとに通信し、通信できなくなった場合はノートＰＣ７８の監視・制御プログラム７９１が操作を防止する。これにより、ノートＰＣ７８を開いたまま承認済みの場所から移動した場合に操作を継続させないことができる。
【０１４１】
図１５にファイル持ち出し後の組織内での処理の流れを示す。
利用者１がノートＰＣ７８を組織外から組織内に持ち帰り（１５０１）、センサ５０に例えばＩＣカード７６を近づけＩＤを読み取らせると（１５０２）、センサ５０のセンサログ取得プログラム５１は、ＩＣカード７６に格納されたユーザ情報を取得し（１５０３）、状態管理サーバ２０の状態管理プログラム２１にデータを送信する（１５０４）。
【０１４２】
状態管理プログラム２１はラベル管理リスト２３を参照し（１５０５）、持ち出し中のファイルのうち、持ち出し期限の切れたファイルがあるか特定し（１５０６）、持ち出し期限の切れたファイルがある場合には利用者１のクライアント７０にファイル削除のメッセージを表示させる（１５０７）。利用者１がノートＰＣ７８から持ち出し期限の切れたファイルを削除すると（１５０８）、クライアント７０の監視・制御プログラム７２は、削除したファイルを格納した記憶媒体の識別ＩＤを状態管理プログラム２１に送信し（１５０９）、状態管理プログラム２１は、ラベル管理リスト２３の状態欄に設定した「持ち出し中」データを削除する（１５１０）。これにより、ノートＰＣ７８に格納したファイルを残留させたままにすることを防止することができるため、持ち出しの都度、持ち出しに関係のあるファイルのみを持ち出すことができる。
【０１４３】
図１６に持ち出し操作に係る申請および承認画面の一例を示す。
持ち出し申請画面の一例を１６０に示す。持ち出し申請画面１６０は、ファイルを組織外に持ち出す利用者１が入力を行う画面であり、図１３におけるステップ１３０３で表示する。
持ち出し申請画面１６０には、少なくとも申請者情報１６０１と、持ち出すファイル名１６０２と、持ち出すファイルをクライアント７０から参照して選択するボタン１６０３と、ファイルを格納する媒体の識別ＩＤ１６０４と、格納する媒体を参照して選択するボタン１６０５と、利用先１６０６と、利用先の所在の位置情報を選択するボタン１６０７と、持ち出し期限１６０８と、持ち出し目的１６０９と、申請ボタン１６１と、申請中止ボタン１６２と、を表示する。
利用者１が持ち出し申請画面１６０に入力し、申請ボタン１６１を押下すると、承認者３に持ち出し操作の承認申請と、持ち出すファイル名を選択するボタン１６０３で選択したファイルが送信される。
【０１４４】
次に、持ち出し承認画面の一例を１６３に示す。持ち出し承認画面１６３は、利用者１の申請を承認する承認者３が承認を行う画面であり、図１３におけるステップ１３０８で表示する。
持ち出し承認画面１６３には、少なくとも持ち出し申請画面１６０で利用者１が入力した情報として、申請者情報１６０１と、持ち出すファイル名１６０２と、ファイルを格納する媒体の識別ＩＤ１６０４と、持ち出し期限１６０８と、持ち出し目的１６０９、に加えて、持ち出すファイルを表示するボタン１６１１と、持ち出すファイルのラベル情報１６１２と、利用先情報の位置情報設定状況１６１３と、承認を許可するボタン１６４と、承認を差し戻しするボタン１６５と、を表示する。なお、持ち出すファイルのラベル情報１６１２は、持ち出し承認プログラム８３が、利用者１が入力したファイル名１６０２を受け付けた後、ラベル管理リスト８４を参照してラベルを特定し、表示する。
【０１４５】
以上述べた第１実施例により、情報の活用を阻害することなく、情報漏洩につながる操作を未然に防止することが可能になる。
【０１４６】
−−−実施例２−−−
第２実施例では、ファイルのラベル情報をファイルに埋め込む方法を示す。
図１７に第２実施例におけるラベル割り当て処理の流れを示す。第２実施例におけるラベル割当処理の大まかな流れは、図７に示した第１実施例におけるラベル割当処理と同じだが、第２実施例ではファイルの拡張領域を利用し、拡張領域に少なくともラベル名と、ラベル設定あるいは承認者情報と、を埋め込む。具体的には、ステップ７０１４で完成文書の識別を行う前に、ラベル埋め込み処理を行う（１７０１）。
【０１４７】
図１８に第２実施例における監視・制御プログラムの動作フローチャートを示す。第２実施例における監視・制御プログラムの動作フローチャートの大まかな流れは、図１２に示した監視・制御プログラムの動作フローチャートと同じだが、第２実施例では、ラベル管理テーブル７４の参照によるラベル情報の特定処理ではなく、ラベル読み込み処理を行う。また、ラベルをファイルの拡張領域に埋め込むため、ファイルパス変更操作を実行しない。そのため、ステップ１２０４で状態識別した後は、ラベル読み込み処理を行い（１８０１）、ラベルの設定状況を確認する（１２０７）。また、ステップ１２２２でラベルが設定されているファイルについて操作を実施した後は、ログ取得処理を行う（１２２０）。
【０１４８】
以上述べた第２実施例により、第１実施例と同じシステム構成で情報の活用を阻害することなく、情報漏洩につながる操作を未然に防止することが可能になる。
【０１４９】
−−−実施例３−−−
・システム構成について：
第３実施例では、組織外にファイルを持出す場合の承認処理における情報の識別方法を示す。図１９に第３実施例のシステム構成図を示す。第３実施例におけるシステム構成では、送受信したメールのログを取得したメールログ１９２１を備えるメールサーバ１９２と、承認管理サーバ１９３を新たに設ける。また、クライアント７０は申請管理プログラム１９１１を備え、ノートＰＣ７８は申請管理プログラム７８０１を備える。
【０１５０】
前記申請管理プログラム１９１１と申請管理プログラム７８０１は、同じ動作を行うものとし、この申請管理プログラムを対象機器にインストールすることにより、承認済みの属性を持つファイルを記憶手段中より特定し、既存のファイル検索プログラム等における表示用インターフェイスにおいて前記承認済みファイルを前記ファイル検索プログラムの既存機能等により強調表示（例：該当ファイルの表示をハイライト化、太字化するなど）することができる。なお、本実施例における承認フローについては図２７および図２８を用いて後に詳述する。
【０１５１】
また、前記申請管理プログラム１９１１は、コンテキストメニューに「持出し申請」を有している。例えば、利用者１がクライアント７０あるいはノートＰＣ７８を介してファイルを選択し、前記申請管理プログラム１９１１が提供するコンテキストメニューから「持出し申請」を選択したとする。この場合、前記申請管理プログラム１９１１は、前記承認管理サーバ１９３の承認管理プログラム１９３１と通信して接続し、持出し申請画面を立ち上げるための認証画面を表示する。なお、第１実施例ではファイル持ち出しの承認処理を状態管理サーバで実施しているが、本実施例３におけるシステム構成に示すように、承認管理機能を備えた情報処理装置＝承認管理サーバ１９３を新たに設け、ラベル割当て処理について役割分担してもよい。
【０１５２】
前記承認管理サーバ１９３は、ファイルの持出しを申請する利用者１および持出しの承認判断をする承認者３のクライアント７０やノートＰＣ７８などに表示する画面の生成や申請案件のステータスやファイルの管理を行う承認管理プログラム１９３１と、申請されたファイルの識別処理を行うファイル識別プログラム１９３２（ファイル識別手段）と、組織外の取引先情報を登録した取引先リスト１９４１およびファイル識別に用いる照合用ＤＢ１９４３（オブジェクト登録データベース）とを管理するＤＢ管理プログラム１９３４（ＤＢ管理手段）と、持出しが承認されたファイルを持出し用のファイル形式に変換するファイル変換プログラム１９３５と、承認ステータスを格納する承認管理ＤＢ１９４２、ファイルの組織外持ち出しに係る組織のルールを登録した持ち出しルールＤＢ１９４４、を備える。
【０１５３】
なお、既に図２にて示したとおり、前記クライアント７０のハードウェア構成は、端末ログ７５ならびにポリシーリスト７３、ラベル管理テーブル７４を保存する外部記憶媒体７０２（記憶手段）、申請管理プログラム１９１１および監視・制御プログラム７２を実行するＣＰＵ７０１、メモリ７０３、入出力画面を表示する表示部７０４（出力手段）、入出力を制御する操作部７０５（入力手段）、可搬媒体７７に格納されたデータなどを読み書きするための可搬媒体接続部７０６、ＲＡＭ７０７、有線あるいは無線でネットワーク４０と通信を行う通信部７０８、これらの各装置等を相互接続するバス７０９から構成される。また、前記ノートＰＣ７８や、本実施例３で新たに登場した承認管理サーバ１９３も、上記クライアント７０と同様のハードウェア構成をとる。
【０１５４】
各装置では、ＣＰＵが外部記憶媒体に格納されたプログラムを実行することにより、以下に説明する処理、機能が実現される。ただし、各実施形態の説明では、便宜上、各プログラムを実行主体としている。また、各プログラムは、あらかじめ、上記各装置の外部記憶媒体やメモリに格納されていても良いし、必要なときに、可搬媒体接続部や通信部と、各装置が利用可能な媒体と、を介して、他の装置から導入されてもよい。媒体とは、たとえば、着脱可能な可搬媒体、または通信媒体（すなわちネットワーク４０またはネットワーク４０を伝搬する搬送波やディジタル信号）を指す。
【０１５５】
こうした本実施例３における前記承認管理サーバ１９３は、情報の種類を示すカテゴリと機密レベルの組合せデータであるラベルをファイルに割り当て、情報漏洩につながる操作を制限するファイル管理システムである。この承認管理サーバ１９３は、ラベルの申請受付時ないしファイルの持出し申請受付時において、申請を受け付けたファイルにおける利用禁止オブジェクトの有無を、前記照合用データベース１９４３（オブジェクト登録データベース）における前記取り扱い情報に基づき特定するファイル識別プログラム１９３２（ファイル識別手段）を備える。
【０１５６】
また、前記承認管理サーバ１９３は、前記ラベルの申請ないしファイルの持出し申請に対する承認結果を他端末（クライアント７０やノートＰＣ７８など）ないし操作部（入力手段）から得て、前記照合用データベース１９４３（オブジェクト登録データベース）における該当オブジェクトに関する取り扱い情報を更新するＤＢ管理プログラム（ＤＢ管理手段）を備える。なお、前記ＤＢ管理手段は、承認結果を受信したときに前記オブジェクト登録データベースを更新するとすれば好適である。
【０１５７】
また、前記ファイル識別プログラム１９３２は、前記申請を受け付けたファイルについて、ページ構成と該当ページにおけるテキストの位置とオブジェクトの位置とを特定し、ここで前記ファイルについて特定した事項に関して類似する他ファイルを、前記照合用ＤＢ１９４３（オブジェクト登録データベース）の属性情報に基づき特定し、前記ファイルと他ファイルとの差分を取得して、前記取得した差分において前記照合用ＤＢ１９４３（オブジェクト登録データベース）に登録されたオブジェクトの有無を検出し表示部（出力手段）ないし他端末（クライアント７０やノートＰＣ７８など）に出力するとしてもよい。
【０１５８】
・データベース構造等について：
図２０に取引先リスト１９４１のデータ構造を示す。取引先リスト１９４１は、ファイル管理システム１０００を導入した組織と業務上取引がある当該組織以外の取引先相手の情報を登録したリストであり、前記ＤＢ管理プログラム１９３４がメールサーバ１９２に格納されたメールログ１９２１などから作成する。この取引先リスト１９４１は、登録番号２００１、メールアドレス２００２、取引先名２００３、最後にメールを受信した日時である最終受信日時２００４、持ち出し申請が承認された回数を示す承認回数２００５、取引先相手に認識されているユーザＩＤから成る。本取引先リストを参照することにより、ファイルの持出しが申請されている持出先がこれまで組織として付き合いのある相手か、あるいは新たに付き合いを始める相手かを判断することができる。
【０１５９】
なお、上記取引先リスト１９４１は以下の手順で作成される。前記承認管理プログラム１９３１が定期的にメールサーバ１９２に格納しているメールログ１９２１にアクセスする。そして前記承認管理プログラム１９３１は、組織のユーザの受信ログを解析し、送信元情報が組織外の相手のメールアドレスを特定する。
【０１６０】
次に、前記承認管理プログラム１９３１は、前記特定した組織外の相手からのメールアドレスに対応する受信元メールアドレスから、組織内のユーザのメールアドレスを特定し、たとえばＩＤ管理システム９０のユーザリスト９１に登録されたメールアドレスと照合してユーザＩＤを特定する。
【０１６１】
そして、前記取引先リストに取引先が登録されている場合、前記承認管理プログラム１９３１は、前記取引先リスト１９４１の該当レコードにて最終受信日時を更新する（前記特定したユーザＩＤが該当取引先に関し未登録のユーザＩＤであった場合、ユーザＩＤ２００６の欄も更新する）。一方、前記取引先リスト１９４１に取引先が登録されていない場合、前記承認管理プログラム１９３１は新規レコードを追加し、取得した情報（取引先の社名やメールアドレス等）を登録する。
【０１６２】
図２１に前記承認管理ＤＢ１９４２のデータ構造を示す。承認管理ＤＢ１９４２は、ユーザＩＤごとに作成した承認案件に関するメタデータと、申請されたファイルのコンテンツに関するメタデータからなる。承認案件に関するメタデータは、ユーザＩＤ２１００、承認案件ごとに作成する承認案件テーブル２１０１、ユーザがメールを受信した相手を日時の新しい順に格納したメール受信テーブル２１０２、とからなる。
【０１６３】
なお、承認案件テーブル２１０１は、承認操作完了時に承認管理プログラム１９３１が更新し、メール受信テーブル２１０２は、図２４で述べる取引先リスト１９４１の更新時にＤＢ管理プログラム１９３４が更新する。前記承認案件テーブル２１０１は、申請されると割り振られる申請ＩＤ２１１１、取引先の登録番号２１１２、持出し方法２１１３、ファイル形式２１１４、持出し理由２１１５、承認者コメント２１１６、承認に係るステータス２１１７、承認日時２１１８、申請されたファイルのＩＤ２１１９、とからなる。
【０１６４】
メール受信テーブル２１０２は、ユーザ２１００の受信したメールのうち、組織外の相手が送信者であるメールの上位件数を登録したものであり、メールアドレス２１２１、受信日時２１２２、からなる。本件数は管理者がカスタマイズすることもできる。
【０１６５】
また、申請されたファイルのコンテンツに関するメタデータ２１０３は、申請されたファイルのＩＤ２１２３およびファイルそのもの２１２４と、ファイル識別プログラム１９３２で分析した分析データに照合用ＤＢ１９４３で検出したオブジェクトを付与したデータ２１２５と、ファイル比較用のデータ２１２６を格納する。ファイル比較用のデータとしては、ファイル間の類似度を比較可能なものとしてハッシュ値などを格納する。
【０１６６】
また、図２４に照合用ＤＢ１９４３（オブジェクト登録ＤＢ）のデータ構造を示す。前記照合用ＤＢ１９４３は、汎用ＤＢ２１０４と相手先別ＤＢ２１０５からなる。汎用ＤＢ２１０４は、持出し申請やラベル登録などに関する処理に統一的に利用可能なＤＢ（＝ファイルおよびラベルを問わないオブジェクトを登録したデータベース）であり、例えば「社外秘」など無条件で持ち出しが禁止される取り扱い情報（或いはその逆に、インターネット上の公開情報など無条件に持ち出しＯＫの取り扱い情報）が対応付けされた、人名、組織名などの単語、テンプレートなどを示すデータ、図やロゴなど、ファイルに含まれるオブジェクトを登録したものである。また、相手先別ＤＢ２１０５は持出先ごとに生成し、持出し申請に関する処理に用いるＤＢ（＝ファイルを持出した履歴のある相手先ごとにオブジェクトを登録したデータベース）であり、前記汎用ＤＢ２１０４と同じ形式でオブジェクト情報が登録される。前記照合用ＤＢ１９４３は、更に、ラベルごとにファイルのオブジェクトを登録したラベル別データベース２１０６を備えるとしてもよい。これら各ＤＢには、利用禁止オブジェクト２１２７と、利用可能オブジェクト２１２８がそれぞれ登録されており、承認案件について検出された件数２１２９と共に登録されている。
【０１６７】
前記照合用ＤＢ１９４３において、前記人名、組織名などの単語、テンプレートなどを示すデータ、図やロゴなどに関するデータが、オブジェクトの属性情報となる。また、これらオブジェクトの属性に対応付けされる「持ち出し禁止」、「持ち出しＯＫ」などの情報が取り扱い情報となる。
【０１６８】
また、図２５に持ち出しルールＤＢ１９４４のデータ構造を示す。前記持ち出しルールＤＢ１９４４は、ファイル持出し時におけるファイル形式や持出し方法などの組み合わせにおいて許可あるいは不許可のルールが記載されているデータベースである。これは管理者や承認者が事前にＤＢ管理プログラム１９３４を通じて更新するものであり、組織全体や部署などの小規模な単位での設定も可能である。例えば、（１）取引先リスト１９４１に登録されていない持出し先への持ち出しについてはファイルの詳細確認が必要、（２）ファイル形式がＤＲＭ以外の場合は理由の記載が必須、といったルール２１２９が定義される。
【０１６９】
・画面表示例について：
図２４に利用者１がファイルを組織外に持出し申請をする際の申請画面２２０の例を示す。本申請画面は、申請者である利用者１が承認管理サーバ１９３にクライアント７０やノートＰＣ７８などでアクセスすると、承認管理サーバ１９３の承認管理プログラム１９３１が前記クライアント７０やノートＰＣ７８などに返信して表示させるものである。なお、前記クライアント７０の申請管理プログラム１９１１が、そのコンテキストメニューにて利用者１から指示を受けて承認管理サーバ１９３に接続した場合、当該申請管理プログラム１９１１は選択されているファイルのファイルパスを承認管理サーバ１９３に送信する。また、前記承認管理プログラム１９３１では、利用者１にユーザ認証を行わせ、認証が成立した場合には前記ユーザ認証時における認証情報からユーザＩＤを特定し、前記申請画面２２０に表示させる。
【０１７０】
前記申請画面２２０では利用者による以下の情報の入力を（クライアント７０やノートＰＣ７８などを介し）受け付ける。申請者名２２１１、持出し日２２１２、持出すファイル名２２１３、持出し先のメールアドレス２２１４、持出し理由２２１５、持出し方法２２１６、持出し時のファイル形式２２１７、さらにたとえばファイル形式が事前に定義した持ち出し方法以外（本実施例では、ＤＲＭ（Digital Rights Management）形式を例示）の場合には、持出し理由を入力させることもできる。このとき、持出すファイル２２１３について、利用者１は、先ほど述べたようにクライアント７０の申請管理プログラム１９１１を利用して入力する以外に、参照ボタン２２２０を押下し、ダイアログからファイルを指定することによって入力させてもよい。なお、一度に複数のファイルを持出す場合、前記利用者１は「追加」ボタン２２２１を押下することで、ファイルを追加登録することができる。
【０１７１】
また、持出し先２２１４については、利用者が「履歴から入力」ボタン２２２３を押下した際に、承認管理サーバ１９３が、持出し先候補リスト２２１をクライアント７０やノートＰＣ７８などに出力し、このリスト中から選択させるとしてもよい。一方、前記持出し先候補リスト２２１に登録されていない、すなわち新規の持出し先の場合はメールアドレスの入力を受け付けるとしてもよい。なお、前記持出し先候補リスト２２１は、例えば前記承認管理サーバ１９３が、前記取引先リスト１９４１の格納情報からデータ（メールアドレス２００２、取引先名２００３など）を抽出し、メールアドレス２２２と取引先名２２３からなるデータベースを構成したものとなる。
【０１７２】
またこの持ち出し先候補リスト２２１は、これまでの持出し履歴のある取引先２２４１、持出し申請頻度の高い取引先順２２４２、メール受信順２２４３、そして登録された名前順２２４４、などの条件で前記取引先リスト１９４１から抽出したデータがリスト化されており、前記承認管理サーバ１９３は、該当タブの押下を受けて持ち出し先候補の表示切り替えを行うとすればより好適である。なお、利用者１が前記持出し先候補リスト２２１から持ち出し先の選択を行って持出し先入力を実行した場合、承認管理サーバ１９３は、入力フォーム２２１４の横に、取引先リスト１９４１にて既登録の取引先名（図中では“Ａ社ＡＡＡ”）も表示させる。これにより、メールアドレスが類似した取引先を間違えて入力していないかを確認することができる。
【０１７３】
また、前記申請画面２２０において、持出し方法２２１６については、例えばＤＲＭ、暗号化、平文などを選択可能としている。一方、例えば、組織に応じて前記持出し方法２２１６のデフォルト値（例えば“ＤＲＭ”）を予め指定しておくこともできる（例：承認管理サーバ１９３がクライアント７０やノートＰＣ７８などの指定を受けて当該申請画面２２０のデータにデフォルト値を設定しておく）。また、承認管理サーバ１９３は、デフォルト設定されている持出し方法から他の方法に変更する指定を受けた場合、例えば、理由２２１８の記入がなされないと申請ボタン２２３１が押下されても処理を遷移させないといった判定を実行し、利用者に理由２２１８を記入させるとしてもよい。上記申請に係る全ての項目を入力し、利用者が申請ボタン２２３１を押下することで、当該申請画面２２０での入力データはクライアント７０やノートＰＣ７８などから承認管理サーバ１９３に送信され、申請処理は終了する。承認管理サーバ１９３では前記申請画面２２０での入力データを承認管理ＤＢ１９４２に格納することとなる。
【０１７４】
図２５に承認者３が承認判断をする際の承認画面を示す。承認判断を行うための承認画面は、申請されている情報一覧を示す承認待ち一覧画面２３０および案件１件ずつの詳細画面２３３からなり、承認者のクライアント７０やノートＰＣ７８などからの指示や前記申請画面２２０での申請ボタンの押下に応じ、承認管理サーバ１９３が生成してクライアント７０やノートＰＣ７８などに出力する。承認者３は、まず承認待ち一覧画面２３０で対象となるファイルの承認判断を実施し、詳細な確認が必要なファイルについては、詳細画面２３３を見て承認判断を行う。以下、画面の詳細について述べる。
【０１７５】
前記承認待ち一覧画面２３０は、チェックボックス２４１０と、申請者名２４１１、持出し日２４１２、持出し先２４１３、要確認項目２４１４、プレビュー２４１５、承認判断ボタン２４１６、を表示する画面であり、承認管理サーバ１９３が記憶手段において予め該当画面のひな形データを有している。前記承認画面２３０に示す項目のうち、持出先２４１３については、利用者が入力した持出先に対し、承認管理サーバ１９３が取引先リスト１９４１を照合し、この取引先リスト１９４１に登録済みの持出し先かどうかを特定し、登録済みの場合は登録した顧客名を表示し、登録されていない場合は「未登録」と表示する。また、申請者名２４１１や持ち出し日２４１２のデータは、前記承認管理サーバ１９３が前記申請画面２２０を通じて受け付けたデータを設定している。
【０１７６】
承認者はメールアドレスだけでは持ち出し先について把握することができないため、承認管理サーバ１９３は、前記取引先リスト１９４１において該当メールアドレスに対応する相手先情報の登録有無と登録名を、前記承認待ち一覧２３０の持ち出し先２４１３の情報として示す。これにより承認者は、取引先の誤入力や不正な取引先の入力を容易に判断することができる。
【０１７７】
また、前記承認待ち一覧画面２３０における要確認項目２４１４では、申請情報を承認判断するにあたり持出しリスクの高い可能性がある項目を示す（後述する図２８のフローにて承認管理サーバ１９３が実行する処理で特定される）。例えば、図中の案件２４３１では個人情報が検出されており、個人情報を持出そうとしている可能性が高いことを示している。
【０１７８】
さらに、前記承認管理サーバ１９３は、前記プレビュー２４１５において、申請されたファイルの表紙２４１７と、ファイルの中で最も確認すべき情報が記載されたページ２４１８、とを表示する（後述する図２８のフローにて承認管理サーバ１９３が実行する処理で特定される）。ファイルの表紙をプレビュー表示させるのは、表紙にはあて先や作成者名、タイトルなどファイルの要約情報を表す情報が記載されていることが多いためである。 また、もっとも確認すべき情報が記載されたページ２４１８のプレビューを表示することにより、承認者が情報の中身を迅速に把握することができる。さらにプレビューを示すことで、承認者がファイルを開かなくても情報を識別することができるという利点もある。たとえばファイルが添付されただけの承認画面の場合、承認者はファイルを開き、記載されているすべてのページを見ないと何に関する情報かすら把握できず、効率的かつ正確に内容を把握することは困難である。これに対し、本プレビュー２４１５のように、表紙と最も確認すべきページを優先的に表示することによって、承認者におけるファイルを開く手間が削減される。更に、前記承認者が前記画面２３０における詳細ボタン２４３２を押下すると、承認管理サーバ１９３は前記詳細ボタン２４３２の押下に対応する申請案件に関して記憶手段から情報を抽出し、詳細画面２３３のデータを生成し返信する。この詳細画面２３３によれば、例えば前記承認待ち一覧画面２３０では承認判断しきれなかったファイルの詳細について承認者が確認を行うことができる。
【０１７９】
なお、承認者が前記画面２３０にてチェックボックス２４３１をチェックし、「チェックした申請をすべて承認」２３２ボタンを押下することにより、承認管理サーバ１９３は、詳細画面２３３の表示を行わずに承認判断の結果を受け付けることができる。なお、「チェックした申請をすべて承認」２３２ボタンは、「チェックした申請をすべて却下」するボタンとしてもよい。ただし、要確認項目２４１４に記載される数が所定数より多い申請案件については、前記チェックボックス２４３１にチェックが入っても、前記詳細画面２３３の出力を実行しないかぎり承認できないよう、承認管理サーバ１９３が制御するとしてもよい。
【０１８０】
また、前記詳細画面２３３の構成について述べる。詳細画面２３３は、前記承認待ち一覧２３０の情報では承認者が承認判断をしきれない場合に申請内容の詳細を把握させることを目的としたものである。この詳細画面２３３は承認管理サーバ１９３がクライアント７０やノートＰＣ７８などに出力するものであり、申請日２４５１、申請者名２４５２、ファイル２４５３、持出し日２４５４、持出先２４５５、持出し理由２４５６、持出し方法２４５７、要確認項目２４５８、さらにファイルのプレビュー２４６１、不適切表現指定ボタン２４６３、却下理由２４６４、差し戻し・却下理由などのコメント記述欄２４６５の各データを含む画面データである。
【０１８１】
前記要確認項目２４５８には、リスクの高いオブジェクトの種類だけではなく、過去承認／却下されたファイルのうち最も類似しているファイルが表示される（後述する図２８のフローにて承認管理サーバ１９３が実行する処理で特定し設定する）。また、最も類似したファイルが却下されたファイルであった場合、その却下案件の却下理由（例：承認管理ＤＢ１９４２が却下理由の欄を備え、却下案件についてその却下理由のデータを保持している。承認管理サーバ１９３はこの承認管理ＤＢ１９４２から却下理由のデータを抽出して前記詳細画面２３３に設定）まで示すことにより、承認者が承認判断をする参考とすることができる。例えば、図に示した例では、該当申請案件が、過去に却下したファイルに最も類似しており、その却下理由は「個人情報のため」としている。承認者は、類似した案件のファイル持ち出し先と本申請のファイル持ち出し先、また類似した案件との差分を確認することによって、両者に大きな違いがないのであれば類似案件同様却下、ファイル持ち出し先や表現の違いにより承認、などの判断を行うことができる。
【０１８２】
また、前記承認管理サーバ１９３は、前記プレビュー２４６１にて、前記承認待ち一覧画面２３０で表示したプレビュー画面を該当ファイルにおけるページごとに表示する。さらに、個人情報や企業名などファイルに含まれる情報漏えいリスクの高いオブジェクトをハイライト２４６２で表示する。これにより、承認者はプレビュー画面２４６１のどこを注意して確認すればよいかがわかる。なお、承認者が「確認必要順」ボタン２４５９を押下すると、承認管理サーバ１９３は、確認する優先度の高い順（例：上方漏洩リスクの高いオブジェクトが含まれる数が多い順など）にプレビュー画面の並び替えを行う。また、前記承認者が「ページ順」ボタン２４６０を押下すると、承認管理サーバ１９３は、前記プレビュー画面をページ順に表示する。また、承認者が「ファイルを開く」ボタン２４６６を押下することにより、前記承認管理サーバ１９３は、申請案件のファイルを記憶手段から読み出してクライアント７０やノートＰＣ７８などに出力し、承認者におけるファイル内容の確認に供する。
【０１８３】
一方、前記承認者は、承認／却下／差戻のいずれかの判断を選択し、「承認」２４７１、「却下」２４７２、「差戻」２４７３、のいずれかのボタンを押下することによって承認判断を終了する。なお、前記承認判断が「却下」あるいは「差し戻し」の場合、前記承認管理サーバ１９３は、クライアント７０やノートＰＣ７８などを介した承認者による理由入力を、コメント２４６５の欄にて受け付ける。こうした理由入力を受け付けた承認管理サーバ１９３は、前記理由のデータを利用者のクライアント７０やノートＰＣ７８などに送信することで、承認者が「差し戻し」や「却下」の判断を行った理由を利用者に通知することができる。
【０１８４】
また、承認者が不適切表現指定ボタン２４６３を押下して（例えば、範囲指定用のカーソルなどを承認管理サーバ１９３がクライアント７０やノートＰＣ７８などに出力する）、プレビュー画面２４６１上のオブジェクトの範囲を指定した場合、承認管理サーバ１９３はこの範囲指定を受け付けて、前記承認者が不適切な表現と感じたオブジェクトの情報を取得することができる。承認管理サーバ１９３は、前記範囲指定の情報を利用者のクライアント７０やノートＰＣ７８などに送信することで、前記承認者が漏洩リスクが高いと判断した表現がどの部分であったか利用者に教えることができる。
【０１８５】
さらに、却下理由２４６４では、却下理由として表現に不適切なものがあったのか、あるいは漏洩リスク上、内容上に不適切なものがあったのかを承認者に選択させることができる。例えば、申請された内容が組織内だけで共有すべき機密情報であった場合、承認者は「内容上不適切」にチェックをする。承認管理サーバ１９３は前記承認者のクライアント７０やノートＰＣ７８などから前記却下理由２４６４でのチェック内容を受け付けて、表現の有無に関わらず内容上漏洩リスクが高いと判断し、申請を却下したことを利用者に通知する（としてもよい）。なお、前記承認者が実施するコメントの記入や指摘は「承認結果」であり、前記照合用ＤＢ１９４３の更新に用いられる（次回以降の申請時に反映される）。
【０１８６】
なお、以上述べた各画面の表示項目については、承認者自身で表示する項目をカスタマイズすることも可能である。また、前記承認待ち一覧画面２３０は承認者が携帯電話を用いて承認操作を行なってもよい。また、ファイルを詳細に確認する必要がある場合には、事前に登録しておいた代理人に承認を依頼することもできる。
【０１８７】
・処理フローの例：
まず図２６にて、利用者によるファイルの持出し申請の流れについて説明する。利用者の持出し申請の受付処理に係るインタフェースは承認管理サーバ１９３の前記承認管理プログラム１９３１が、利用者のクライアント７０やノートＰＣ７８などに提示する（以下、クライアント７０）。
まず、ファイルを組織外に持ち出す利用者がクライアント７０により承認管理サーバ１９３にアクセスし、ログイン処理を指示したとする。すると前記クライアント７０はこの指示を受けて前記承認管理サーバ１９３に対するログイン処理を実行する（２５０１）。
【０１８８】
一方、前記承認管理サーバ１９３の承認管理プログラム１９３１は、図２４で例示した申請画面２２０のデータをクライアント７０に返信する（２５０２）。なお、図２４で述べたように、利用者がクライアント７０の申請管理プログラム１９１１を利用し、クライアント７０がコンテキストメニューから承認管理プログラム１９３１にアクセスした場合、前記承認管理プログラム１９３１が利用者のＩＤと選択されているファイルパスを入力した状態の申請画面のデータを返す。
【０１８９】
次に、利用者が前記申請画面２２０の入力項目のうち「履歴から入力」ボタン２２２３を押下したとする。前記クライアント７０はこの押下事象を受け付けて（２５０３：Ｙ）、前記承認管理サーバ１９３に通知を行う。この時、の承認管理プログラム１９３１は、ログインしているユーザ＝前記利用者のユーザＩＤをキーとし、前記取引先リスト１９４１および前記承認管理ＤＢ１９４２のメール受信テーブル２１０２を参照し、持出先候補リストを生成する（２５０４）。そしてこの持出先候補リストのデータを含む持出先候補画面（図２４参照）のデータを生成してクライアント７０に送る（２５０５）。
【０１９０】
前記利用者が前記申請画面２２０の入力項目を全て入力し、申請ボタン２２３１を押下すると（２５０６）、クライアント７０は前記申請画面２２０での入力データを承認管理サーバ１９３に送信する（２５０７）。他方、前記承認管理サーバ１９３の承認管理プログラム１９３１は前記入力データを受信する。そして、前記入力データを前記持出しルールＤＢ１９４４に照合し、申請内容に不備（例：「社外秘」など無条件で持ち出しが禁止される内容が最初から含まれている等）がないか特定する（２５０８）。
【０１９１】
また、前記承認管理プログラム１９３１は、前記ステップ２５０８に続き、前記利用者の申請内容の確認画面を前記クライアント７０に送信する（２５０９）。なお、前記ステップ２５０８で申請に不備があることが特定された場合、前記承認管理プログラム１９３１は、前記ステップ２５０９で送信する確認画面において不備がある項目を例えば強調表示する。この場合、前記クライアント７０は前記確認画面のデータを承認管理サーバ１９３から受信して表示し、該当箇所に関する修正を利用者から受け付ける（２５１０：Ｙ、２５１１）。この場合、フローは前記ステップ２５０６に戻る。一方、前記ステップ２５０８で申請に不備が無いと判定された場合（２５１０：Ｎ）、前記クライアント７０は利用者から申請ボタンの押下を受け付ける（２５１２）。
【０１９２】
これにより、申請内容および申請するファイルがクライアント７０から承認管理サーバ１９３に対し送信される（２５１３）。前記承認管理サーバ１９３の承認管理プログラム１９３１は、前記クライアント７０から送信されてくるデータを受信して承認管理ＤＢ１９４２に格納し、該当ファイルに関する組織外持ち出し申請を受け付けることになる（２５１４）。
【０１９３】
続いて図２７に基づき、ファイルの持出し申請に対する承認処理の流れについて説明する。この場合、図２６のフローに関し述べたように、前記クライアント７０は、利用者による申請画面２２０での申請ボタン押下を受け付けて（２７０１）申請内容および申請するファイルを承認管理サーバ１９３に送信する（２７０２）。前記承認管理サーバ１９３の承認管理プログラム１９３１はこれを受信する。
【０１９４】
次に、前記承認管理プログラム１９３１は、申請された持出先について取引先リスト１９４１を参照し、相手先登録情報を取得する（２７０３）。そして、相手先用の照合用ＤＢ１９４３の有無を特定する（２７０４）。なお、新規申請の場合には相手先別の照合用ＤＢ１９４３は存在しないため、前記汎用ＤＢ２１０４のみを用いてファイルの識別を行うこととする。
【０１９５】
次に、前記承認管理プログラム１９３１は、前記申請内容（と前記承認管理ＤＢ１９４２の“ステータス”）から保留案件（図２６の前記ステップ２５１０で“不備あり”となって再申請に回された案件）かを特定し（２７０５）、該当件が保留案件の場合（２７０５：Ｙ）、保留された前回のファイルをファイル識別プログラム１９３２に送信する（２７０６）。そして、申請されたファイルもファイル識別プログラム１９３２に送信する（２７０７）。
【０１９６】
一方、前記ファイル識別プログラム１９３２においてファイル識別処理が行われると（２７０８）、その識別結果が承認管理プログラム１９３１に送信される（２７０９）。なお、ファイル識別プログラム１９３２の詳細な動作フローについては図２８で述べる。
【０１９７】
前記承認管理プログラム１９３１がファイル識別プログラム１９３２から識別結果を受け取ると、前記持出しルールＤＢ１９４４を参照し、要確認項目を抽出する（２７１０）。前記持出しルールＤＢ１９４４には、持出し時におけるファイル形式や持出し方法などの組み合わせにおいて許可あるいは不許可のルールが記載されている。これは管理者や承認者が事前にＤＢ管理プログラム１９３４を通じて更新するものであり、組織全体や部署などの小規模な単位での設定も可能である。例えば、（１）取引先リスト１９４１に登録されていない持出しについてはファイルの詳細確認が必要、（２）ファイル形式がＤＲＭ以外の場合は理由の記載が必須、といったルールが定義される。
【０１９８】
要確認項目を抽出した前記承認管理プログラム１９３１は、承認者３のクライアント７０等に承認依頼を通知する（２７１１）。前記承認者のクライアント７０は、承認者の指示を受けて承認管理プログラム１９３１を利用し、承認管理プログラム１９３１と通信し、前記承認依頼に対応する申請案件の内容を読み出して表示させる（２７１２、２７１３）。前記承認者が前記クライアント７０にて閲覧する承認待ち一覧画面２３０については図２５で説明したとおりである。
【０１９９】
前記承認者が承認／却下／保留のいずれかの判断を前記クライアント７０で入力すると、該当クライアント７０はこの判断結果を前記承認管理プログラム１９３１に送信する（２７１４）。この時、前記承認管理プログラム１９３１は前記判断結果を受信し、その内容が却下あるいは保留であるか判定する。前記内容が「却下」あるいは「保留」である場合（２７１５：Ｎ）、前記承認管理プログラム１９３１は、前記利用者のクライアント７０に申請が不許可となった通知を送信する（２７１６）。なお、この通知はメールなどを利用して利用者に通知してもよいし、前記承認管理プログラム１９３１に前記利用者のクライアント７０がアクセスすると承認ステータスを表示させるようにしてもよい。
【０２００】
他方、前記承認者の判断が「承認」であった場合（２７１５：Ｙ）、前記承認管理プログラム１９３１はファイル変換プログラム１９３５に対して該当ファイルを送信し、承認されたファイル形式に変換させる（２７１７）。さらに、承認管理プログラム１９３１は前記ＤＢ管理プログラム１９３４に承認結果を送信して照合用ＤＢ１９４３における該当オブジェクトの取り扱い情報を最新の判断結果に更新させる（２７１８）。なお、前記ファイル変換プログラム１９３５ではファイル形式を変換すると共に、承認されたファイルであることを識別可能な属性情報を埋め込む。これにより、クライアント７０に当該ファイルがダウンロードされた場合に、申請管理プログラム１９１１が当該ファイルを識別し色づけして表示するため、クライアント７０に格納されたファイルのうち、どれが承認されたファイルなのかを一目で把握することができる。
【０２０１】
前記ファイル変換プログラム１９３５でのファイル変換が完了すると、前記承認管理プログラム１９３１は承認管理ＤＢ１９４２（における“ステータス”など）を更新し（２７１９）、承認結果を利用者のクライアント７０に通知する（２７２０）。前記利用者のクライアント７０が承認管理サーバ１９３にアクセスして（２７２１）、持出し用の形式に変換されたファイルをダウンロードすると（２７２２）、利用者は持出しが可能となる。その後の持出しにおけるコントロールの詳細な処理については、実施例１に示したとおりである。
【０２０２】
続いて、図２８に基づきファイル識別プログラム１９３２の処理フローについて説明する。ファイル識別プログラム１９３２は、承認管理プログラム１９３１より、申請対象のファイルを取得し（２８１１）、申請ファイルの構造を分析する（２８１２）。この申請ファイルの構造分析では、ファイルにおけるヘッダフッタ情報やテンプレート情報（例：ファイル作成に利用している書式ひな形等）、テキスト情報などをページ単位で取得しメモリ等に格納しておく。さらに、前記申請対象のファイルと類似した他ファイルを特定するために、申請対象のファイルのハッシュ値を取得する。また、ファイル形式などにより構造を分析できなかったファイルについては、前記ステップ２８１２において、前記ファイル識別プログラム１９３２は承認管理プログラム１９３１にエラーを返し、処理を終了する。
【０２０３】
次に、前記ファイル識別プログラム１９３２は、申請が一度承認者に保留された案件である場合（２８１３：Ｙ）、保留された案件のファイルを記憶手段中から取得し（２８１４）、保留案件ファイルと今回の申請ファイルとの差分を特定する（２８１５）。
【０２０４】
また、新規申請の場合は（２８１３：Ｎ）、前記ファイル識別プログラム１９３２は、同じ持出先に対して持出し申請を行った履歴ファイルや過去却下されたファイルなどを承認管理ＤＢ１９４２から抽出し、ここで抽出したもののうちから前記申請対象のファイルと最も類似するファイルを特定する（２８１６）。類似の判断基準としては、前記構造分析（ステップ２８１２）で得ておいた、ファイルにおけるページ単位のヘッダフッタ情報やテンプレート情報（例：ファイル作成に利用している書式ひな形等）、テキスト情報などであり、前記ファイル識別プログラム１９３２は、これらについて一致するもの（であり、同じ持出先に対して持出し申請を行ったものや過去却下されたものなど）を前記承認管理ＤＢ１９４２で検索する。こうした類似した他ファイルの特定を行ったファイル識別プログラム１９３２は、前記特定した他ファイルと前記申請対象ファイルとの差分を特定する（２８１７）。この差分特定により、例えば、前記他ファイルにおいても、同じ単語や文章が同じページ位置などに入力されているといった部分を特定しておくことで、過去において既に承認判断がなされたオブジェクト（＝他ファイルにおいて前記申請対象のファイルのオブジェクトと一致するオブジェクト）、に関しては新たな承認判断を省くことが出来る。なお、類似度が高いファイルがなかった場合には、差分取得処理を行わずに次の処理を実行する（２８２２）。
【０２０５】
次に、前記ファイル識別プログラム１９３２は、分析した申請対象のファイルのうち、１ページのデータを選択し（２８１８）、照合用ＤＢ１９４３を参照して前記ステップ２８１７で特定した差分部分における利用禁止オブジェクト（例：“極秘”などのテキスト）の有無と、利用禁止オブジェクトが含まれていた場合にはページ内の位置（例：該当ページの○○行目○○番目）を特定し、前記特定した検出位置をハイライトなどで強調表示する（２８１９）。なお、前記照合用ＤＢ１９４３は、セキュリティ用語や人名、企業名、相手先個別のＤＢなど複数に分類しておき、ＤＢごとに照合を行った結果を識別できるように保持しておくとよい。
【０２０６】
前記ファイル識別プログラム１９３２は、前記申請対象のファイルにおける全ページについて前記ステップ２８１９の処理を行うと（２８２０：Ｙ）、前記検出した利用禁止オブジェクトの数をページ単位で比較し、利用禁止オブジェクトを含む数の多い順にページをリストアップする。これによって確認必要順を決定し（２８２１）、承認管理プログラム１９３１に結果（図２５の詳細画面２３３における、プレビュー２４６１での確認必要順２４５９が押下された場合の表示形態）を送信して終了する。
【０２０７】
以上、ファイル識別プログラム１９３２では、既に承認（ないし却下）された他ファイルと申請対象のファイルとの差分を特定することにより、これまで持出し許可されたファイルにはない特徴を絞り込みし、さらに利用禁止オブジェクトの有無を検出することで承認者が確認すべきポイントを絞り込みすることができる。さらに、ページ単位でオブジェクトの検出数を比較し、検出数に基づいて確認優先順をつけることにより、承認者が確認すべきページを効率よく提示することができる。さらに、利用禁止オブジェクトの種類ごとに検出位置を特定することにより、ページのどの部分がどのカテゴリでリスクがあるのかを一目でわかるようにすることができる。
【０２０８】
次に、図２９に基づき前記ＤＢ管理プログラム１９３４の処理フローについて説明する。前記ＤＢ管理プログラム１９３４は、承認判断が完了したときに承認結果にもとづいて照合用ＤＢ１９４３の更新を行うプログラムである。この場合、前記承認管理プログラム１９３１で承認者による承認結果を受信したのち（図２７の２７１８）、ＤＢ管理プログラムは承認結果とファイル識別プログラム１９３２で分析した分析データとを取得する（２４１）。前記承認結果は、持出先の登録情報と承認／却下／保留のうちいずれかの承認結果を含む。また、前記分析データは、申請対象のファイルの構造データやテキスト情報などに加えて、照合用ＤＢ１９４３での利用禁止オブジェクトなどに該当するとして検出されたオブジェクトとその検出件数を含む。
【０２０９】
次に、前記ＤＢ管理プログラム１９３４は、前記承認結果から取得した持出先登録情報（例えば、持ち出し先の会社名やそのメールアドレス）より、持出先用の照合用ＤＢ１９４３が存在するか特定する（２４２）。持出先用の照合用ＤＢ１９４３が存在しない場合（２４２：Ｎ）、前記ＤＢ管理プログラム１９３４は新たに照合用ＤＢ１９４３を作成する（２４３）。
【０２１０】
続いて前記ＤＢ管理プログラム１９３４は、前記承認管理プログラム１９３１から取得した分析データについて、検出されたオブジェクトを検出数順に並び替えてリスト化する（２４４）。また前記ＤＢ管理プログラム１９３４は、前記承認結果が「承認」だった場合（２４５：Ｙ）、検出されたオブジェクトを利用可能オブジェクトとして持出先用の照合用ＤＢ１９４３に登録する（２４６）。
【０２１１】
他方、前記承認結果が「却下」だった場合（２４５：Ｎ、２４７）、検出されたオブジェクトを利用不可オブジェクトとして持出先用の照合用ＤＢ１９４３に登録する（２４８）。このとき登録するデータは、却下理由が「内容上不適切」であった場合とし、前記詳細画面２３３（図２５）において承認者が「不適切」と選択したオブジェクトがある場合は選択した部分のみ登録を行う。これは、句読点や漢字のミスなど表現上の不適切な部分については照合用ＤＢ１９４３へのオブジェクトの登録が不要であるためである。
【０２１２】
続いて、前記ＤＢ管理プログラム１９３４は、前記ステップ２４６、２４８らにおいて、検出された全てのオブジェクトを照合用ＤＢ１９４３に登録すると、現在承認管理サーバ１９３に登録されている持出先別の照合用ＤＢ１９４３を比較し（２４９）、あらかじめ設定しておいた閾値以上の割合で各照合用ＤＢ１９４３に登録されたオブジェクトがあった場合には（２５０：Ｙ）、汎用ＤＢ２１０４に登録する（２５１）。これにより、契約などにより相手先と共有しても問題ないオブジェクト等は相手先別の照合用ＤＢ１９４３で管理しておき、一方、統一的に管理されるべきオブジェクト（ファイル等を跨って共通に取り扱われるべきオブジェクト）については汎用ＤＢ２１０４で管理することができる。そのため、ファイルの持出先に合わせて、検出すべきオブジェクトを設定し、それを洗練させていくことができる。
【０２１３】
以上述べた第３実施例により、第１実施例および第２実施例に加えて、承認時に承認者が持出し申請されたファイルを持出してよいか判断しやすくなり、さらに、判断ミスを少なくすることが可能となる。
【０２１４】
以上、３つの実施例について説明したが、上記実施例に限定されるものではなく、その要旨を逸脱しない範囲において種々の変形が可能であるし、各実施例を組み合わせても良い。
【符号の説明】
【０２１５】
１：利用者、２：管理者、３：承認者、１０：ポリシー設定サーバ、１１：ポリシー設定プログラム、１２：ポリシー配信プログラム、１３：ポリシーリスト、１４：端末ログ、２０：状態管理サーバ、２１：状態管理プログラム、２２：認証プログラム、２３：ラベル管理リスト、２４：状態管理リスト、２５：復号鍵リスト、２６：端末ログ、３０：ログ管理サーバ、３１：ログ解析プログラム、３２：収集ログ、４０：ネットワーク、４１：インターネットサーバ、４２：インターネット、４３：電子メール、５０：センサ、５１：センサログ取得プログラム、５２：センサログ、６０：プリンタ、７０：クライアント、７２：監視・制御プログラム、７３：ポリシーリスト、７４：ラベル管理テーブル、７５：端末ログ、７６：ＩＣカード、７７：可搬媒体、７８：ノートＰＣ、７８１：監視・制御プログラム、７８２：認証プログラム、７８３：通信プログラム、７８１３：ラベル管理テーブル、７８１４：ポリシーリスト、７８１５：端末ログ、７９：携帯電話、７９１：認証プログラム、７９２：ログイン情報、７９３：通信プログラム、８０：文書管理サーバ、８１：ラベル割当プログラム、８２：監視・制御プログラム、８４：ラベル管理リスト、８５：端末ログ、９０：ＩＤ管理システム、９１：ユーザリスト、１００：資産管理システム、１０１：資産リスト、１９２：メールサーバ、１９２１：メールログ、１９１１：申請管理プログラム、１９３：承認管理サーバ、１９３１：承認管理プログラム、１９３２：ファイル識別プログラム、１９３４：ＤＢ管理プログラム、１９３５：ファイル変換プログラム、１９４１：取引先リスト、１９４２：承認管理ＤＢ、１９４３：照合用ＤＢ、１９４４：持出しルールＤＢ、７８０１：申請管理プログラム
【技術分野】
【０００１】
本発明は、情報漏洩の未然防止と情報の活用を両立するファイル管理システムに関するものである。
【背景技術】
【０００２】
近年、情報の電子化は進む一方であり、個人情報や技術情報、営業情報など様々な情報が組織内で電子化され、組織内あるいは社外の取引先など様々な範囲で活用されている。しかし、その一方で情報の漏洩や紛失も多発しており、組織にとって情報漏洩防止は非常に関心が高く、早急に取り組むべき項目である。
【０００３】
情報漏洩を防止する製品も様々なものが提供されているが、情報漏洩事故は未だなくならず、一度漏洩が発生すると、たとえ従業員の過失であろうと組織に及ぶ被害は多大であり、事故対策費用やその後の予防対策費用までかかってしまう。
【０００４】
情報は利用目的によって共有範囲が異なるため、情報漏洩を防止するためには、情報によって異なる共有範囲を越えないよう制限すればよい。しかしながら、以下の要因により共有範囲を越えて情報の漏洩につながる可能性のある経路が多様化している。
【０００５】
（１）情報の種類の多様化
組織で扱う情報は多岐に渡る。文書、設計図、個人情報、従業員情報、製品の流通履歴を示すものまで、組織が行うサービスや組織が効率よく活動を推進するために、幅広い情報が扱われている。これらの情報は利用目的によって共有範囲が異なることから、情報の取り扱い側からすると同じ操作でも、情報によっては共有範囲を越える行為になる可能性がある。
【０００６】
（２）情報を格納する媒体の多様化、小型化
近年、情報を格納する媒体の小型化、多様化が進んでいる。従来の情報の格納庫としては固定されたデスクトップＰＣに備え付けられていたＨＤＤが主であったが、現在は情報を容易に持ち出し可能なＵＳＢメモリやＣＤ−Ｒなどの可搬媒体が容易に入手可能である。また、可搬媒体は小型であることから、勝手な持ち出しなどを確認することが困難となった。
【０００７】
（３）雇用形態やワークスタイルの多様化
組織における雇用形態やワークスタイルの変化も情報の共有範囲を越える原因となる可能性がある。組織内には、社員だけではなく、契約社員などが勤務する場合があり、このときに本来従業員のみ参照すべき情報を見られてしまう可能性がある。また、在宅勤務制度などの採用により、今後組織内だけではなく、自宅などでも作業ができるようになる可能性がある。組織にとって機密性の高い情報は社外での閲覧は防止すべきであるが、組織側で社員の属性や社員の所在の変化によって共有範囲を越える可能性がある行為を防止することは困難である。
【０００８】
上記述べたような多様な経路で発生する可能性がある情報漏洩を防止するためには、情報の識別、情報の取り扱いポリシーの設定、ポリシーに基づくコントロール、コントロールの記録・監査、を行うことが必要である。
【０００９】
例えば情報の識別に関しては、社外に文書を持出す場合には、持出す文書が何であるかを上長が見て確認することが考えられる。特許文献１では、承認を得ないと文書を登録できない文書管理サーバにおいて、その文書に機密情報、個人情報または誤記が含まれていないかどうかを基準に従ってチェックし、機密情報や個人情報が含まれている場合には承認画面に表示することにより、承認者の情報の識別作業を支援する技術が示されている。
【００１０】
また、情報の取り扱いポリシーの設定に関しては、例えば可搬媒体を経由した機密情報の漏洩を防止するために、可搬媒体を一律持ち出し禁止にするなどの厳しいルールを制定することが考えられる。
【００１１】
また、ポリシーに基づくコントロールに関しては、非特許文献１によるロールベースアクセス制御技術がある。これは情報の利用者に対して直接操作の実行許可を与えるのではなく、ロールに操作の実行許可を与え、利用者とロールとの対応付けを行うことで、情報ごとに「Ｒｅａｄ」や「Ｗｒｉｔｅ」の操作を行う利用者を制限する技術である。
【先行技術文献】
【特許文献】
【００１２】
【特許文献１】特開２００７−２９９０９３号公報
【非特許文献】
【００１３】
【非特許文献１】Ｄａｖｉｄ Ｆｅｒｒａｉｏｌｏ他、「Ｒｏｌｅ Ｂａｓｅｄ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ」、１５ｔｈ Ｎａｔｉｏｎａｌ Ｃｏｍｐｕｔｅｒ Ｓｅｃｕｒｉｔｙ Ｃｏｎｆｅｒｅｎｃｅ、１９９２．
【発明の概要】
【発明が解決しようとする課題】
【００１４】
しかしながら、従来技術を用いて情報漏洩を防止しようとする場合、以下の問題がある。
情報の識別に関して、特許文献１では予め設定した機密情報を特定するためのキーワードと申請した情報のテキストとのマッチングをとっているが、組織で取り扱う情報は様々であるため、情報に合わせた質の良いキーワードを事前に設定するのは困難である。さらに、キーワードを更新しない限り検出精度は変わらないため、本来検出すべきキーワードに漏れが生じてしまうことや、不要なキーワードがいつまでも検出されてしまうことが考えられる。
【００１５】
情報の取り扱いポリシーとコントロールに関しては、まず、可搬媒体を一律持ち出し禁止にするような極端な対策を行うと、営業などの社外で業務を行うことが多い社員の負担が大きくなるなど業務に支障がでることが予想される。
【００１６】
また、非特許文献１についても、前述したように情報の漏洩経路は幅広いため、利用者とロールとの対応付けだけで情報漏洩を防止することは困難である。例えば、非特許文献１の技術では、組織内では閲覧を許可させ、組織外からは閲覧させたくないファイルでも、操作を許可するロールに割り当てられた利用者であれば、利用者の所在の変化によらず操作を実行できてしまうため、組織外でファイルを閲覧し、第三者にファイルの中身を見られてしまう可能性がある。組織の情報を管理する場合には、情報の利用環境や記憶媒体の動的な変化に合わせて漏洩を未然に防止することが必要である。
【００１７】
さらに、上記従来技術では、情報によって異なる共有範囲について、動的に変化する情報の格納先や利用者の状態・状況から、リアルタイムで共有範囲を越えないように操作を制御するようなポリシーを情報一つ一つに設定することは手間がかかる。
【課題を解決するための手段】
【００１８】
本発明では、情報の活用を阻害することなく、情報の格納先や利用者の状態・状況が動的に変化しても漏洩につながる操作を未然に防止するファイル管理システムを提供する。
【００１９】
すなわち、本発明は、組織の管理下に散在するファイルなどの情報に対して、情報の価値に応じて共有範囲を設定し、共有範囲をこえて情報漏洩につながる可能性の高い操作を防止するファイル管理システムを提供する。
【００２０】
本発明に係るファイル管理方法は、情報の種類を示すカテゴリと機密レベルの組合せをラベルとして設定し、ラベル単位で情報漏洩につながる可能性の高い操作ごとの実行条件を設定し、さらに予めわかっている共有先も設定したポリシーリストを備え、ファイルに直接ポリシーを割り当てるのではなく、ファイルにラベルを割り当てることによってファイルの共有範囲を設定する。
【００２１】
ラベルには操作ごとに実行条件を設定しているため、ラベルを割り当てたファイルに対してきめ細かい設定および制御を行うことができる。また、実行条件を設定する操作は情報漏洩につながる可能性の高い操作を対象としているため、「Ｒｅａｄ」や「Ｗｒｉｔｅ」に留まらず幅広い範囲の操作の実行条件を一元管理することができる。さらに、実行条件として、例えば利用者の役職などの属性、および利用環境および情報を格納する媒体などを指定することにより、従来技術では成しえなかった動的変化による権限設定を行うことができる。
【００２２】
上記ポリシーのファイルへの割り当てについては、利用者が情報のカテゴリおよび機密レベルを見て該当するラベルを選択するだけで、ファイルとラベルとをラベル付けし、ファイルにポリシーを適用するよう設定することができる。
【００２３】
上記ラベルを設定したファイルの利用環境は、環境を構築および管理する管理者と、承認者と、一般ユーザである利用者とからなり、管理者は予め各ラベルに対するアクセス権をポリシーとして設定し、利用者に割り当てられたクライアントにポリシーを配布するようにする。
【００２４】
ファイルを取り扱う利用者は、ファイルにラベルを割り当てることで、配布されたポリシーに設定されたコントロールが適用される。なお、ファイルにラベルを割り当てる場合、まずファイルの所有者が情報のカテゴリおよび機密レベルを元にラベルを設定し、その後承認者が、利用者が割り当てたラベルが適切かどうかを判断し、ラベルを変更または承認することで、情報にラベルが割り当てられる。これにより、最初にラベル割り当てを行う利用者が、過失または故意により適切でないラベルを付与したとしても、承認者が確認することにより、信頼性をもたせることができる。
【００２５】
なお、ラベルの割り当てられていないファイルについては、一律社外秘情報とみなし、社外へのメール送信や可搬媒体の持ち出しなどの操作を一切禁止する。これにより、ラベルを割り当てていなくてもファイルを社外に持ち出す操作を防止することができる。
【００２６】
さらに、上記ファイル管理システムは、漏洩リスクを判断するために機密性の高いオブジェクト（記述や画像、ロゴなどの特徴）を登録したデータベースを備えており、あるファイルにラベルが付与され承認者に承認依頼がなされた場合、あるいはファイルの持出し時にラベルが割り当てられておらず承認者に承認依頼がなされた場合に、データベースとファイルとを照合し、申請されたファイルに機密性の高いオブジェクトが含まれるかを特定して承認画面に表示する。これにより、承認者は申請されたファイルの価値を迅速に把握することができる。さらに、上記ファイル管理システムは承認結果を元にデータベースを更新するため、承認者や管理者がデータベースを更新しなくても、漏洩リスクの未然防止に有効な本来登録されるべきオブジェクトの追加や本来不要なオブジェクトの削除などをすることができる。
【００２７】
さらに、上記ファイル管理システムは、利用者の操作をポリシーに基づいて制御する監視・制御プログラムを備えるクライアントおよび文書管理サーバと、登録されている利用者の移動を検出し、例えば利用者が現在社内のどのエリアにいるのかを把握することができるセンサを備えており、センサから得た利用者の所在情報とクライアントで行われる操作の情報からポリシーを参照して操作の実行許可／不許可と、実行許可した場合には、ラベルの継承を行う。これにより、ラベルを割り当てた情報がクライアントから別な媒体に移動した場合でもラベルを損なうことなく制御を行うことができる。あるいは利用者の所在が適切な場合にのみ操作を実行することができる。
【００２８】
さらに、利用者は組織外にファイルを持ち出す場合に、承認者から承認を得た後に暗号化したファイルをノートＰＣに格納する。利用者が組織外にて暗号化したファイルを利用する場合には、携帯電話を用いて利用者の所在情報が適切であると確認できた場合にのみ復号鍵を携帯電話に送信する。利用者は携帯電話とノートＰＣを通信することによって復号鍵を受け渡し、組織外においても適切な場所でのみファイルを利用することができる。
【００２９】
上記態様によって、以下のような効果を得ることが出来る。
・情報の取り扱い条件について、組織内外の利用環境、および社員の役職などの属性からきめ細かい条件を指定することができるため、共有範囲を越えて漏洩につながる操作を防止し、情報の活用と漏洩防止を両立できる。
・利用者は情報のレベルやカテゴリを選択するだけで、きめ細かいポリシーが設定できる。
・ポリシーを一元管理し、クライアントに配布するシステム構成のため、ポリシーの修正を行えば、各ファイルの設定を更新しなくてもクライアントに反映できる。
・ラベル割当をしていないファイルについてもポリシーを設定することにより、ラベル割当をしていないファイルであっても漏洩の可能性の高い操作を防止することができる。これにより、過失や故意を問わず情報の組織外持ち出しを防ぐことができる。
・識別に用いるデータベースを承認判断時に更新することにより、管理者が更新を行うことなく情報の識別精度を向上させることができる。
・例えば、情報漏洩の未然防止に備えて、情報システムおよびその周辺環境に散在するファイルの管理において、セキュリティ部門の管理者などによるファイル管理を支援するツールに使用できる。
【００３０】
上述した本発明のファイル管理システムは、ファイルにラベルを割り当て、情報漏洩につながる操作を制限するシステムであり、少なくともポリシーを設定するポリシー設定手段と、前記ポリシーを監視・制御手段を備えるクライアントに配信するポリシー配信手段と、利用者の通過時に利用者を識別するセンサと、前記センサから取得した情報を一元管理して利用者の所在を特定する状態管理手段と、ファイルにラベルを割り当てることにより前記ポリシーを対応付けするラベル割当手段と、を備え、前記監視・制御手段は、利用者のファイル操作時にファイルに割り当てたラベルを特定し、利用者の所在および利用者の属性およびファイルの格納場所を元にラベルとポリシーとを照合し、操作の実行を許可する、ことを特徴とする。
【００３１】
また、本発明のファイル管理システムは、情報の種類を示すカテゴリと機密レベルの組合せデータであるラベルをファイルに割り当て、情報漏洩につながる操作を制限するファイル管理システムであって、オブジェクトの属性情報および取り扱い情報を格納するオブジェクト登録データベースを記憶する記憶手段と、ラベルの申請受付時ないしファイルの持出し申請受付時において、申請を受け付けたファイルにおける利用禁止オブジェクトの有無を、前記オブジェクト登録データベースにおける前記取り扱い情報に基づき特定するファイル識別手段と、前記ラベルの申請ないしファイルの持出し申請に対する承認結果を他端末ないし入力手段から得て、前記オブジェクト登録データベースにおける該当オブジェクトに関する取り扱い情報を更新するＤＢ管理手段と、を備えることを特徴とする。
【００３２】
なお、前記ファイル管理システムにおいて、前記ＤＢ管理手段は、承認結果を受信したときに前記オブジェクト登録データベースを更新するとしてもよい。
【００３３】
また、前記ファイル管理システムにおいて、前記オブジェクト登録データベースは、ラベルごとにファイルのオブジェクトを登録したデータベースと、ファイルを持出した履歴のある相手先ごとにオブジェクトを登録したデータベースと、ファイルおよびラベルを問わないオブジェクトを登録したデータベースとを含む、としてもよい。
【００３４】
また、ファイル管理システムにおいて、前記ファイル識別手段は、前記申請を受け付けたファイルについて、ページ構成と該当ページにおけるテキストの位置とオブジェクトの位置とを特定し、ここで前記ファイルについて特定した事項に関して類似する他ファイルを、前記オブジェクト登録データベースの属性情報に基づき特定し、前記ファイルと他ファイルとの差分を取得して、前記取得した差分において前記オブジェクト登録データベースに登録されたオブジェクトの有無を検出し出力装置ないし他端末に出力する、としてもよい。
【発明の効果】
【００３５】
本発明により、情報の活用を阻害することなく、情報漏洩につながる操作を未然に防止することが可能になる。
【図面の簡単な説明】
【００３６】
【図１】第１実施例に係るファイル管理システムの構成図である。
【図２】クライアントのハードウェア構成を例示するブロック図である。
【図３】ポリシーリストのデータ構造を例示する図である。
【図４】ポリシーリストのデータ構造を例示する図である。
【図５】ポリシーリストの設定画面を例示する図である。
【図６】ポリシー配信処理の流れを例示する図である。
【図７】ラベル割り当て処理の流れを例示する図である。
【図８】ラベルの割り当て申請画面を例示する図である。
【図９】ラベル割り当ての承認画面を例示する図である。
【図１０】ラベルリストおよび状態管理リストのデータ構造を例示する図である。
【図１１】利用者の所在を特定する処理を例示する図である。
【図１２】監視・制御プログラムの動作を例示するフローチャートである。
【図１３】ファイルの持ち出し操作に係る処理を例示する図である。
【図１４】組織外におけるファイル操作に係る処理を例示する図である。
【図１５】ファイル持ち出し後の組織内での処理を例示する図である。
【図１６】持ち出し操作に係る申請および承認画面を例示する図である。
【図１７】第２実施例におけるラベル割り当て処理を例示する図である。
【図１８】第２実施例における監視・制御プログラムの動作を例示するフローチャートである。
【図１９】第３実施例に係るファイル管理システムの構成図である。
【図２０】第３実施例における取引先リストを例示する図である。
【図２１】第３実施例における承認管理ＤＢを例示する図である。
【図２２】第３実施例における照合用ＤＢを例示する図である。
【図２３】第３実施例における持ち出しルールＤＢを例示する図である。
【図２４】第３実施例におけるファイルの持ち出し申請画面を例示する図である。
【図２５】第３実施例におけるファイルの持ち出し承認画面を例示する図である。
【図２６】第３実施例におけるファイルの持ち出し申請操作に係る処理を例示する図である。
【図２７】第３実施例におけるファイルの持ち出し承認操作に係る処理を例示するフローチャートである。
【図２８】第３実施例におけるファイル識別プログラムの動作を例示するフローチャートである。
【図２９】第３実施例におけるＤＢ管理プログラムの動作を例示するフローチャートである。
【発明を実施するための形態】
【００３７】
−−−実施例１−−−
以下、図面を適宜参照しつつ、実施例について説明する。図１は第１実施例に係るファイル管理システムの構成図である。ファイル管理システム１０００は、ポリシー設定サーバ１０、状態管理サーバ２０、ログ管理サーバ３０、インターネットサーバ４１、１台以上のセンサ５０、１台以上のプリンタ６０、１台以上のクライアント７０、文書管理サーバ８０、ＩＤ管理システム９０、資産管理システム１００、が有線あるいは無線でネットワーク４０に接続された構成をとる。
【００３８】
利用者１は例えば自身のユーザＩＤが耐タンパ領域に格納されたＩＣカード７６を用いて組織への入退室を行う。なお、組織とは建屋あるいは執務室などの居室を分ける部分にセンサが設置されており、最も外側に配置されたセンサの内側を指す。利用者１はさらに、クライアント７０あるいは可搬媒体７７あるいはノートＰＣ７８を使って種々の作業を行う。利用者１は一意に特定可能なユーザ情報を耐タンパ領域に格納した携帯電話７９を持っており、組織内外に携帯電話７９を持ち歩く。また、クライアント７０では、カードリーダ７９５を接続し、ＩＣカード７６を読み込ませてクライアント７０と通信することにより、ＩＣカードに記録されたＩＤを読み込むこともできる。管理者２はポリシー設定サーバ１０を使って種々の作業を行う。承認者３は文書管理サーバ８０を使って種々の作業を行う。
【００３９】
センサ５０は組織の建屋や執務室を分ける入口などに設置してあり、例えば支店のように、同じ組織で物理的な建屋が離れている場合にも、センサ５０が設置してあれば、利用者１がＩＣカード７６をかざすことにより、センサがＩＣカードのＩＤを読み取り、認証を行って入退室が可能である。
【００４０】
インターネットサーバ４１とは、ネットワーク４０内あるいはインターネットでやりとりされる電子メール４３の送受信を中継し、送受信した電子メールを保存する電子メールサーバあるいは、インターネット４２とのＷｅｂ通信を中継するＰｒｏｘｙサーバなどである。
【００４１】
さらにクライアント７０は、ＣＤ−Ｒ／ＤＶＤ−ＲやＵＳＢフラッシュメモリ、ポータブルＨＤＤ、マルチメディアコンテンツを格納するＳＤカードなどの可搬媒体７７が接続可能であり、クライアント７０は可搬媒体７７とファイル交換をすることができる。
【００４２】
ここで、クライアント７０は利用者１ごとに割り当てられていることを原則とする。なお、クライアント７０が２人以上の利用者に割り当てられていてもよく、その場合にはクライアント７０が利用者を識別および認証することにより、どの利用者がクライアント７０を利用したのかを区別できるようにすればよい。さらに、クライアント７０で複数人が共通のアカウントを用いてクライアントを使用する場合、ＩＤ管理システム９０でアカウント管理を行うことにより、誰がどのアカウントと紐付いているかを把握しておく。
【００４３】
さらに図１を使って、ポリシー設定サーバ１０、状態管理サーバ２０、ログ管理サーバ３０、センサ５０、クライアント７０、文書管理サーバ８０、ノートＰＣ７８におけるソフトウェア構成を説明する。
【００４４】
ポリシー設定サーバ１０では、ファイルに適用するポリシーを格納したポリシーリスト１３を設定するポリシー設定プログラム１１と、ポリシー設定プログラム１１で設定したポリシーリスト１３をクライアント７０に配信するポリシー配信プログラム１２を備える。さらに、ポリシー設定プログラム１１およびポリシー配信プログラム１２では、作業したログを端末ログ１４に格納する。ポリシー設定プログラム１１は、管理者２が直接ポリシー設定サーバ１０にアクセスするか、管理者用の端末からネットワーク４０を介してアクセスしてもよい。
【００４５】
状態管理サーバ２０では、ラベル管理リスト２３と状態管理リスト２４、復号鍵リスト２５、端末ログ２６を備えており、ログ管理サーバ３０のログ解析プログラム３１から受信したセンサログと、ＩＤ管理システム９０のユーザの属性情報を格納するユーザリスト９１をつき合わせ、ユーザリスト９１に登録したユーザの所在を状態管理リスト２４に書き込む状態管理プログラム２１が動作する。さらに状態管理プログラム２１は、クライアント間をファイルが移動する場合に、ファイルの格納先情報を管理するラベル管理リスト２３の更新も行う。また、状態管理サーバは、利用者１が持ち歩く携帯電話７９の認証を行う認証プログラム２２と、認証が成功した携帯電話に配信する復号鍵リスト２５を備える。これにより、利用者が組織外にいる場合でも、本実施例で説明するファイルの制御を行うことが可能となる。
【００４６】
ログ管理サーバ３０では、クライアント７０、文書管理サーバ８０、ポリシー設定サーバ１０でそれぞれ取得した端末ログと、センサ５０で取得したセンサログ５２を収集し、収集した端末ログを解析してログを整形して収集ログ３２に格納し、収集ログのうちセンサから取得したセンサログを状態管理サーバ２０に送信するログ解析プログラム３１が動作する。
【００４７】
クライアント７０では、利用者１の操作を詳細に監視し、操作発生時には、対象となるファイルのラベル情報を格納したラベル管理テーブル７４と、ポリシー設定サーバ１０から受信したポリシーリスト７３を参照し、ポリシーに従って操作を許可あるいは防止し、制御した結果をログとして端末ログ７５に格納する監視・制御プログラム７２が動作する。
【００４８】
文書管理サーバ８０では、ファイルにラベルを割り当てるラベル割当プログラム８１と、クライアント７０に備えた監視・制御プログラム７２と同じ機能を備える監視・制御プログラム８２が動作する。ラベル割当プログラム８１は、クライアント７０で利用者１が申請したファイルのラベル情報を受け付け、承認者による承認あるいは変更要求を受け付け、ラベル管理リスト８４を更新する。ラベル割当プログラム８１で割り当てたファイルとラベルとの対応関係情報は、ラベル管理リスト８４に格納する。文書管理サーバ８０のラベル割当プログラム８１および監視・制御プログラム８２で実行した操作のログは端末ログ８５に格納される。なお、文書管理サーバ８０に格納したファイルは、組織内で審査済みのファイルとし、上書き禁止として取り扱いを行う。
【００４９】
なお、本特許で述べるファイルとは、システムファイルなどではなく、組織内で生成あるいは外部から入手した、組織内で価値のある情報資産全てを対象とする。
【００５０】
図２は、ファイル管理システム１０００におけるクライアント７０のハードウェア構成を示すブロック図である。クライアント７０は、端末ログ７５ならびにポリシーリスト７３、ラベル管理テーブル７４を保存する外部記憶媒体７０２、監視・制御プログラム７２を実行するＣＰＵ７０１、メモリ７０３、入出力画面を表示する表示部７０４、入出力を制御する操作部７０５、可搬媒体７７に格納されたデータなどを読み書きするための可搬媒体接続部７０６、ＲＡＭ７０７、有線あるいは無線でネットワーク４０と通信を行う通信部７０８、これらの各装置等を相互接続するバス７０９から構成される。
【００５１】
また、文書管理サーバ８０、ポリシー設定サーバ１０、状態管理サーバ２０、ログ管理サーバ３０も、図２に示したクライアント７０のブロック図と同様のハードウェア構成をとる。ただし、文書管理サーバ８０、ポリシー設定サーバ１０、状態管理サーバ２０、ログ管理サーバ３０に可搬媒体接続部７０６は必ずしもなくてよい。
【００５２】
各装置では、ＣＰＵが外部記憶媒体７０２に格納されたプログラムを実行することにより、以下に説明する処理、機能が実現される。ただし、各実施形態の説明では、便宜上、各プログラムを実行主体としている。
【００５３】
また、各プログラムは、あらかじめ、上記各装置の外部記憶媒体７０２やメモリ７０３に格納されていても良いし、必要なときに、可搬媒体接続部７０６や通信部７０８と、各装置が利用可能な媒体と、を介して、他の装置から導入されてもよい。媒体とは、たとえば、着脱可能な可搬媒体７７、または通信媒体（すなわちネットワーク４０またはネットワーク４０を伝搬する搬送波やディジタル信号）を指す。
【００５４】
図３にポリシーリスト１３のデータ構造の一例を示す。ポリシーリスト１３は、クライアント７０、文書管理サーバ８０、可搬媒体７７、ノートＰＣ７８のいずれかに格納しているファイルに対して操作が発生した場合に操作を実行する条件を記録したものであり、ポリシー設定サーバ１０上およびクライアント７０上の記憶装置に格納したものである。
【００５５】
ポリシーリスト１３は０個以上のエントリから構成される表データであり、情報のカテゴリとレベルの組合せについて設定したラベル２８１、情報のカテゴリ２８２、情報の機密性の度合いを示すレベル２８３、制御対象とする操作２８４、２８４の操作を実行するための条件を示すアクセス主体２８５、ＩＤ管理システム９０のユーザリスト９１に登録されていないユーザあるいはインターネット４２を介してアクセス可能なＷｅｂサイトなどにおいてファイルを共有可能な共有先２８６、からなる。
【００５６】
以下、ポリシーリスト１３の構成について詳細に説明する。
まず、ラベル２８１は、列２８２に示すカテゴリと、列２８３に示すレベルとの組合せで設定する。なお、ラベル名は列２８１に示すようにアルファベットでもよいし、ラベルが一意に特定できる名称であればその他の名称でもよい。
【００５７】
ラベルをカテゴリとレベルの組合せで設定するのは、現在情報の種類は多様化しており、レベルやカテゴリによって共有範囲などの取り扱い規則が異なるためである。例えば、情報の共有範囲を大きく以下の４つに分類した場合、それぞれの取り扱い規則は異なるため、それぞれの共有範囲を越えないようなコントロールが必要である。
（１）一般に公開可能なもの
組織内で審査済みのものや、外部から入手した公開情報など。
（２）組織内だけで共有したいもの
ドラフト版や分類不能なものも含めて、大多数の情報が該当する。
（３）組織内でもさらに共有範囲を制限したいもの
機密レベルや種類に応じて分類可能。
（４）特定の組織（組織外）と共有したいもの
取引先や委託先ごとに分類可能。
【００５８】
さらに、各クライアント７０に格納しているファイルは、作成途中のドラフト版のものや、完成した文書なども混在する。これらのファイルについて、それぞれ異なる共有範囲を越えないようにするためには、ファイルを取り扱う人だけではなく、ファイルを格納する場所や利用場所を操作ごとに制限すべきである。ポリシーリスト１３は、共有範囲の異なる単位をカテゴリとレベルからラベルとして設定し、さらに、ラベルごとに操作に対するアクセス主体および共有先を指定した上で、ラベルをファイルに割り当てることで、情報の種類にあわせたきめ細かいポリシーを適用することができる。
【００５９】
なお、ラベル２８１は、ラベルが未設定のファイルに割り当てるポリシーとして、ラベルなし２８１１というラベルを設定し、操作に対する条件の設定を行う。本実施例では、ファイルに対して利用者１がラベルを割り当てると、例えばクライアント７０の監視・制御プログラム７２がラベルに紐付くポリシーを適用するが、クライアントが格納するファイル全てについてラベルを割り当てるのは手間がかかる。さらに、ラベル付けされないファイルについて制御対象から外れ、漏洩してしまう可能性も考えられる。そこで、ラベルが割り当てられていないファイルについては、少なくとも社外秘として扱い、組織外に情報が持ち出されるような操作は制御すべきと考え、ラベルなしのポリシーも設定し、適用することとする。
【００６０】
次にカテゴリ２８２は、組織の情報の種類に基づいて設定する値であり、例えば「人事情報」「財務情報」「技術情報」などの情報の種類を定義してもよいし、「取引先Ａ」などのように顧客情報としてもよい。これらの値は、管理者２がポリシー設定プログラム１１を用いて追加あるいは修正可能である。
【００６１】
レベル２８３は、情報の価値に基づいて設定する値であり、例えば「極秘」「秘」「公開」「未設定」を定義する。これらの定義は、ラベルの割り当てを行う利用者１およびラベルの承認を行う承認者３が設定しやすいような分類とする。
【００６２】
操作２８４は、従来のアクセス制御技術でアクセス権を指定した操作である「閲覧」「編集」に加えて、情報の共有範囲を越えて漏洩につながる可能性の高い操作まで定義したものであり、例えば「閲覧」「編集（ファイルの削除、ファイル名の変更なども含む）」「コピー（電子、紙、スキャンなど）」「印刷」「ネットワーク送信（以下、ＮＷ送信とする）（メール、Ｗｅｂアップロードなど）」「持ち出し」などを定義する。
【００６３】
アクセス主体２８５は、操作２８４を実行可能な条件を定義したものであり、具体的にはアクセス主体条件一覧３０１を元に設定する。アクセス主体２８５は、少なくとも０個以上の論理式から構成されるデータであり、アクセス主体条件一覧３０１から選択した条件を一意に識別可能な式を定義する。なお、論理式は、該操作を実行可能な条件、または許可しない条件を書く。さらに、論理式は記号「＾」でＡＮＤ演算子を示し、記号「｜」でＯＲ演算子を示す。ＡＮＤ演算子で接続された条件式が情報の取り扱い条件を示す。
アクセス主体２８５の定義方法についてはアクセス主体条件一覧３０１のデータ構造を説明した後述べる。
【００６４】
アクセス主体条件一覧３０１は、少なくとも１個以上のエントリから構成される表データであり、条件として設定する候補となるカテゴリ番号３０２、カテゴリ番号３０２について組織が選択し得る属性情報を示すカテゴリの概要３０３、カテゴリ３０３で組織が選択し得るデータ（３０４〜３０８）、からなる。
カテゴリ３０３は、例えば「雇用区分」「役職」「組織名」など利用者の属性情報や、ファイルを取り扱う利用者の場所、ファイルを格納する媒体の種類、組織外で利用するための条件、などを定義する。
【００６５】
カテゴリごとに設定するデータ（列３０４〜列３０８）は、例えばアクセス主体条件一覧３０１のＣ１に記載した「雇用区分」では、「パート」「契約」「社員」など、組織で選択し得る属性情報を定義する。なお、より細かく定義したいカテゴリや属性情報があれば管理者２が追加してもよい。これらのデータに関して、利用者や資産の管理は、別途ユーザリスト９１および資産リスト１０１を用いて行う。ユーザリスト９１は、ＩＤ管理システム９０で管理され、例えば「氏名」「雇用区分」「役職」などの属性情報を、利用者を一意に特定可能なユーザＩＤ単位で管理するものである。また、資産リスト１０１は、資産管理システム１００で管理され、例えば「資産ＩＤ」や記憶媒体の種類を示す「種類」、「所有部署」、「媒体識別ＩＤ」などを資産単位で管理するものである。これらユーザリスト９１および資産リスト１０１は、利用者および資産の追加に伴う登録、あるいは利用者の移動や退職、資産の所有部署の変更や滅却に伴う項目の削除について、ＩＤ管理システム９０および資産管理システム１００の一般的な機能を用いて行われることとする。
【００６６】
さて、ポリシーリスト１３におけるアクセス主体２８５の定義方法について説明する。「閲覧」操作を実行する条件２８６１では、「Ｃ１＝３＾Ｃ２＞３＾Ｃ３＝３＾Ｃ４＞２」を記述している。これらの式で左辺に記述する項目は、アクセス主体条件一覧３０１のカテゴリ番号３０２を示し、右辺に記述する項目は列３０４〜列３０８に示したデータの番号を示す。この例では、「Ｃ１が示す雇用区分が３（すなわち社員）」、かつ「Ｃ２が示す役職が３より大きい役職（すなわち課長以上）」、かつ「Ｃ３が示す組織名が３（すなわち研究部門）」、かつ「Ｃ４が示す場所が２より大きい（すなわち執務室、サーバ室、実験室のいずれか）」という条件を全て満たす場合、閲覧操作を実行可能であることを示す。このように、情報のカテゴリとレベルの組合せで定義するラベルについて、共有範囲を越える可能性のある操作ごとにアクセス主体を設定しておくことにより、きめ細かい条件設定を行うことが可能となる。
【００６７】
なお、アクセス主体２８５について、どのような条件でも操作を許可しないカテゴリについては何も記述しなければよい。例えば、「持ち出し」操作を実行する条件２８６４には何も記述していない。これは、どのような条件であってもファイルの持ち出しは許可しないことを意味する。
【００６８】
さらに、制限が不要なカテゴリについても式に含めなければよい。例えば、「編集」操作を実行する条件２８６２に「Ｃ５＞３」を記述する。この場合は、Ｃ５の条件を示す格納媒体の条件を満たせば、その他のカテゴリのデータが何であれ操作を許可することを意味する。
【００６９】
一方、どのような条件でも操作を許可する場合には「＊」を記述する。例えば、「ＮＷ送信」操作を実行する条件２８６３は「＊」と記述してあるため、どのような条件であってもＮＷ送信を実行できることを意味する。
【００７０】
ポリシーリスト１３における共有先２８６では、組織外における情報の共有先を指定する。主に操作２８４のＮＷ送信において、取引先の担当者などが決まっている場合や、ファイルをアップロードするＷｅｂサイトのＵＲＬがわかっている場合、予め担当者のメールアドレスやＵＲＬを登録しておくことによって、登録した担当者やＵＲＬには組織外であってもファイルを共有可能として設定できる。また、これらの情報を登録しておくことにより、メールアドレスの入力間違いによる誤送信や、送信するファイルを間違えて送信してしまうことを防止することが可能となる。共有先（列２８６）として登録していない場合についても、承認者３に共有先情報と目的などを申請し、承認を得ることでこれらの操作を実行することが可能である。
【００７１】
以上述べた構造のポリシーリスト１３を備えることにより、従来技術のようなユーザの閲覧および編集だけを監視・制御するのではなく、漏洩につながる可能性の高い幅広い操作に対する実施条件を設定することができる。
【００７２】
さらに、本ポリシーはポリシー設定サーバ１０に格納したポリシーリスト１３で一元管理し、管理者２がポリシー設定プログラム１１を用いて予め設定する。管理者２は定期的な見直しの都度、あるいは利用者からの申請に応じてポリシーを変更してもよい。本実施形態では、ファイル３００に対してラベル２８１を割り当てているため、一度ラベルをファイルに割り当てた後に、ラベルを定義するカテゴリやレベル、および各操作に対するアクセス主体の変更を行っても、既に割り当てたファイルには影響しない。また、ポリシーリスト１３はポリシー配信プログラム１２によってクライアント７０にも配信され、クライアント７０の監視・制御プログラム７２で参照されるため、ファイルのコピーなどによりクライアントが変わった場合でも、ラベルがわかれば同じポリシーを適用することができる。より具体的なポリシーの設定例と実現可能な制御については図４で述べる。
【００７３】
図４に、図３で説明したポリシーの具体的な例を示し、情報の種類ごとにきめ細かい制御ができることを示す。図４では、４種類のラベルを定義した例として、ラベル「Ａ」の定義を４００１、ラベル「Ｂ」の定義を４００２、ラベル「Ｃ」の定義を４００３、ラベル「なし」の定義を４００４に示す。
【００７４】
ラベルＡ４００１は、レベルが極秘の人事情報に割り当てたラベルであり、組織内でもさらに共有範囲を制限したいものである。このような情報は、社外に持ち出す用途はなく、組織内でも公開期限になるまで共有を制限すべきである。そのため、ラベルＡ４００１が割り当てられたファイルの制御として、持ち出しは許可せずに、閲覧操作からＮＷ送信までの操作を、課長以上の社員が執務室のデスクトップＰＣでのみ実行できる条件を設定する。これにより、例えば、課長以上の社員がラベルＡ４００１のファイルをデスクトップＰＣから可搬媒体へコピーしようとしても、コピー操作ができる装置としてデスクトップＰＣを設定しているため、条件を満たすことができず、実行できない。また、ＮＷ送信についても、共有範囲が課長以上のため、課長が誤って部下にファイルを転送するような操作も防止することができる。万が一、部下がファイルを入手したとしても、閲覧条件が一致しないため、見られることはない。
【００７５】
ラベルＢ４００２は、公開可能なカタログ情報に割り当てたラベルである。用途としては、社内での閲覧から社外の特定顧客への説明など持ち出す行為まで想定される。そのため、ラベルＢ４００２が割り当てられたファイルの制御として、閲覧およびＮＷ送信は「＊（条件なしで可能）」とし、それ以外の操作の条件を設定する。例えば、既に公開されているため、上書きを禁止するために、「編集」操作を許可しないなどがある。一方、持ち出し操作は社員がＲＦＩＤ貼り付け紙以外の媒体を利用すれば、共有先を選ばずに組織外に持ち出すことができる。
【００７６】
ラベルＣ４００３は、レベルが秘の取引先Ａに割り当てたラベルである。本情報は、組織内でも取引先Ａと関係のあるユーザのみ、また、組織外では取引先Ａの利用者のみと情報を共有すべきである。そのため、ラベルＣ４００３が割り当てられたファイルの制御として、社内では、研究または営業部門の契約社員以上の利用者が、執務室以上の場所で閲覧や編集操作を行うように定義する。また、ＮＷ送信の共有先として、取引先Ａの担当者のメールアドレスを登録し、持ち出し先として、取引先Ａの東京オフィスを登録する。これにより、利用者が取引先Ａに作成したファイルをメールなどで送信あるいは持ち出す場合は、登録したアドレスまたは宛先以外には承認がないと実行できない。また、承認を得ずに持ち出した場合、あるいは利用先として登録してある取引先Ａの東京オフィス以外においても操作できない。なお、ファイルの持ち出し処理の詳細については図１３から図１５で説明する。
【００７７】
ラベル未設定４００４は、ラベルが割り当てられていないファイルに割り当てるラベルである。ラベルが未設定のファイルは、本来極秘で扱うべき情報から、公開する情報までが混在するため、社外秘と同じ共有範囲にすることや、最も狭い範囲となるよう共有範囲を設定し、制御すべきである。そのため、例えば、印刷やＮＷ送信、持ち出しの操作は禁止し、閲覧や編集、コピーを利用者自身のクライアントでのみ（「ＩＤ」部分）行わせる。なお、誰かと共同でファイルを作成する場合や情報共有する場合など、利用者自身以外とファイルを共有する必要がある場合には、「未設定」以外の該当するラベルを割り当てればよい。
【００７８】
なお、ラベル未設定のポリシーは組織における業務などに応じて変更してもよく、例えばＩＤシステムと連携して、ファイルの利用者の職制情報や所属が同じである利用者間、あるいは利用者の役職以上のユーザとの間では閲覧、編集、印刷、ＮＷ送信を許可するポリシーとすることも考えられる。
【００７９】
また、ラベル割り当ての手間を削減する方法の一つの例として、予めテンプレートが決まっているファイルについては、ラベルを割り当てたテンプレートを文書管理サーバ８０に格納し、利用者がダウンロードして利用する。
【００８０】
以上説明したように、ポリシーリスト１３を定義することにより、情報の種類によって操作を行う利用者の属性や場所、情報を格納する媒体を制限することができる。以下に、漏洩につながる可能性の高い操作と、操作を防止するためのポリシーの一例を示す。
【００８１】
（１）情報の持ち出し制御
例えば、ラベルＡのように高い機密性が要求されるファイルへのコピー操作に対して、コピー先をデスクトップＰＣに限定することにより、価値が高い情報を漏洩につながる可搬媒体に書き出す行為を禁止することができる。また、ラベルＢ４００２の公開可能なファイルに対しては、可搬媒体へのコピーや持ち出しも可能とし、ラベルＣでは持ち出しにあたり、持ち出しの承認が必要とすることにより、情報の種類に応じて持ち出しの制御ができる。
【００８２】
（２）持ち出したファイルのアクセス制御
例えば、ラベルＡ４００１の閲覧操作に対して、場所における条件を社内のみとすることにより、ノートＰＣを社外で利用する場合など、不適切な場所での閲覧を防止できる。なお、これは人の所在を特定することが必要であるため、上記センサ５０での入退室情報と連携して制御を行う。具体的な処理については、図１４で説明する。
【００８３】
（３）印刷の制御
例えば、ラベルＡ４００１のように印刷する場所を制限するポリシーやラベルＢ４００２のように誰でも印刷可能とするポリシーを設定できる。情報の価値に応じて印刷を制限することにより、機密性の高い情報について閲覧はできても印刷はできないように制御することが可能となる。
【００８４】
（４）ネットワーク送信の制御
例えば、ラベルＡ４００１の機密性の高い情報については、ネットワーク送信を社内に限定することにより、組織外への不正な送信や宛先間違い、送信するファイルの間違いを防止することが可能である。
【００８５】
さらに、ラベルＣ４００３のように社外の取引先と共有するファイルについては、共有先として取引相手や委託先企業のメールアドレスやＷｅｂアップロード先のＵＲＬを事前に指定してあるため、指定している相手には申請をすることにより、承認者の承認を待たずに操作を行うことができる。また、相手先へ不正に電子メールを送信することや、誤送信の防止、正規の宛先に情報を正しく送信することが可能となる。
【００８６】
（５）社外から社内の機密情報へのアクセス制御
例えば、ラベルＡ４００１の閲覧操作では、閲覧可能な場所を社内にすることを条件として設定する。利用者が退室して社外に出る際にＩＣカードをセンサに近づけてＩＤを読み取らせることにより、利用者の所在が社外として状態管理リスト２４に記録されるため、リモートアクセス機能を利用してラベルＡ４００１のファイルにアクセスしようとしてもアクセスできない。これにより、社外でのノートＰＣ利用が認められている社員が社外でノートＰＣを操作する場合でも、機密性が高い情報の閲覧は防止できるため、第三者にファイルを見られてしまうことによる漏洩を防ぐことができる。
【００８７】
なお、入退室管理とクライアントへのログインとを連携させ、ＩＣカードをかざして入室し、入室した記録がないとクライアントにログインできないようにすることも可能である。また、退室した記録がないと社外ネットワークからリモートアクセスできないようにすることも可能である。これにより、退室時にＩＣカードをかざさずに、社内にいると成りすましてリモートアクセスする行為を防止することができる。なお、上記説明した制御は一例であり、その他の制御も可能である。
【００８８】
図５にポリシーリスト１３の設定画面の一例を示す。
ポリシー設定サーバ１０に格納するポリシーリスト１３は、管理者２がポリシー設定サーバ１０の操作部７０５を介してポリシー設定プログラム１１に直接アクセスする、あるいは、別な端末からネットワーク４０を介してポリシー設定プログラム１１にアクセスすることで設定する。管理者２がポリシー設定プログラム１１にアクセスすると、表示部７０４が図５に示したポリシー設定画面５０１を表示する。
【００８９】
ポリシー設定画面５０１では、新規ポリシーの設定、あるいは登録済みポリシーの設定確認や修正を行う。ポリシー設定画面５０１は、登録済みポリシーのラベル一覧を表す登録済みラベル一覧５１０と、新規ポリシーを設定する新規追加ボタン５１１から構成される。
【００９０】
登録済みラベル一覧テーブル５１０は０個以上のエントリから構成される表データであり、登録済みポリシーのラベル名５０１１、ファイルのカテゴリ５０１２、機密性の度合いを表すレベル５０１３、ラベル５０１１に設定済みのポリシーを表示する設定表示ボタン５０１４、ラベル５０１１に設定済みのポリシーを修正する画面を表示する修正ボタン５０１５、ラベル５０１１に設定済みのポリシーを再利用して新規ポリシーを追加するために設定済みポリシーを複写したポリシー設定画面を表示する再利用ボタン５０１６、ラベル５０１１が割り当てられているファイルの登録数５０１７、からなる。
【００９１】
管理者２が実行したいボタンを押下すると、以下のようにそれぞれ画面が表示される。例えば、設定済みポリシーを参照する場合は列５０１４のボタンを押下し、設定済みポリシーを修正する場合は列５０１５のボタンを押下し、設定済みポリシーを複写して新規ラベルを登録する場合は列５０１６のボタンを押下し、新規ポリシーを追加する場合は新規追加ボタン５１１を押下する。
管理者２から上記ボタンのいずれかが押下されると、ポリシー設定プログラム１１はポリシー設定画面５０２を表示する。
【００９２】
ポリシー設定画面５０２は、新規登録するラベル名にカテゴリとレベルを割り当てるラベル設定フォーム５２０、共有先のＵＲＬやメールアドレスを入力する入力フォーム５２１４、共有先のＵＲＬやメールアドレスをＩＤ管理システムなどから特定する参照ボタン５２１５、新規追加するラベルについて、操作ごとに実行する権限を設定する操作権限設定画面５２２、設定したデータをポリシーリスト１３に登録するための登録ボタン５２３から構成される。なお、ボタン５０１４が押下された場合には、操作権限設定画面５２２に設定済みのポリシーを表示し、ボタン５０１５が押下された場合には、操作権限設定画面５２２に設定済みのポリシーを表示し、さらに表示した権限を変更することができる。さらに、ボタン５０１６が押下された場合には、操作権限設定画面５２２に設定済みのポリシーを表示し、新規追加するようラベル５２０を修正することができる。
【００９３】
ラベル設定フォーム５２０では、ラベル名５２１１を入力し、カテゴリ５２１２とレベル５２１３から管理者２が設定したい値をプルダウンから選択する。また、設定したいカテゴリがない場合には、管理者２が新規入力フォーム５２１に適切なカテゴリ名を入力してもよい。
社外共有先入力フォーム５２１４では、社外でファイルを共有する相手が予めわかっている場合に、ＵＲＬあるいはメールアドレスなど相手を一意に識別できる情報を入力する。
【００９４】
操作権限設定画面５２２は、操作ごとに異なるタブ５２２１で権限設定画面を切り替えることができるため、管理者２はタブ５２２１を押下して操作を切り替え、全ての操作の権限を設定する。操作権限設定画面５２２は、操作権限を設定する表５２２３と、設定したデータのうち表示している表についてのみ入力を全て無効として初期表示に戻すリセットボタン５２２２、からなる。
【００９５】
操作権限設定表５２２３は、図３で説明した情報漏洩につながる可能性の高い操作全てについて権限を設定する表であり、新規追加ボタン５１１を押下した場合など何も入力されていない場合は背景が白く（５２２４）表示される。管理者２が操作権限を設定する場合は、操作権限設定表５２２３のうち、条件に該当させない項目を押下すると、押下した項目の背景を例えば黒に反転する（５２２５）。このように、操作権限設定表５２２３で押下した項目の色を変えることにより、操作権限を設定することができる。
【００９６】
管理者が全ての権限を設定して登録ボタン５２３を押下すると、ポリシー設定プログラム１１は、操作権限設定画面５２２を閉じ、操作権限設定表５２２３に入力されたデータから図３のアクセス主体２８５に示した論理式を生成し、入力されたデータ全てをポリシーリスト１３に登録する。そして、ポリシーリスト１３へのデータ登録が終了すると、登録済みラベル一覧テーブル５１０の最後の行を新規追加し、設定したラベル情報を表示する。
【００９７】
以上説明したように管理者２がポリシーリスト１３を生成し、ポリシー配信プログラム１２が更新したポリシーリスト１３をクライアント７０に配信することにより、クライアント７０のポリシーリスト７３が更新される。ポリシーリスト１３のクライアント７０への配信については、図６を用いて説明する。
【００９８】
図６にポリシー配信処理の流れを示す。
クライアント７０の監視・制御プログラム７２は、プログラムを起動した後（ステップ６０１）、ポリシー設定サーバ１０のポリシー配信プログラム１２にアクセスし、クライアント７０のユーザＩＤを送信し、ポリシーテーブルの取得を申請する（ステップ６０２）。
【００９９】
ポリシー配信プログラム１２は、ポリシーテーブル取得申請を受信後、ＩＤ管理システム９０のユーザリスト９１を参照し（ステップ６０３）、ユーザリスト９１に受信したユーザＩＤが登録されているかを判断する（ステップ６０４）。ユーザＩＤが登録されていればポリシーリスト１３をクライアント７０に配信し（ステップ６０７）、登録されていない場合はクライアント７０の監視・制御プログラム７２にエラーを返し（ステップ６０５）、ポリシー設定サーバ１０の表示部７０４にエラーとユーザＩＤを表示する（ステップ６０６）。
クライアント７０の監視・制御プログラム７２は、ポリシー配信プログラム１２からポリシーリスト９１を受信すると、クライアント７０のポリシーリスト７３を更新する（ステップ６０８）。
【０１００】
本動作フローにより、クライアント７０が起動するたびにポリシーリスト７３は最新の状態に更新される。なお、クライアント７０に監視・制御プログラム７２を新規インストールした場合には、少なくともラベル「なし」のファイルに対するポリシーを格納したポリシーリストが同時にインストールされる。これにより、監視・制御プログラム７２をインストールした直後にファイルにラベルを割り当てていない場合でも、ラベルに基づいた制御を実行することができる。また、クライアント７０がネットワーク接続しない場合、またはポリシー設定サーバ１０と通信できない場合、またはカードリーダ７９５でＩＣカードとクライアントを通信して組織内にいることが確認できない場合には、ラベル「なし」のポリシーを全てのファイルに適用する。
【０１０１】
図７にラベル割り当て処理の流れを示す。
ファイルへのラベル割り当て処理は、ファイルの利用者１がファイルの共有範囲を利用者以外に設定したい場合に実施する。なお、ファイルの作成者が利用者１でない場合でも、ファイルをクライアント７０に格納した場合には、利用者１がラベルを割り当てるまではラベル「なし」のポリシーが適用される。
【０１０２】
まず、クライアント７０の利用者１がファイルを新規作成あるいはクライアント外からＮＷ送信やインターネット４０を通じて入手して保存したファイルについて、自発的にラベルを割り当てる場合、利用者が文書管理サーバ８０のラベル割当プログラム８１にアクセスし、ログインする。このとき、クライアントの監視・制御プログラム７２は、クライアントのユーザＩＤを送信する。また、ラベルが未設定のファイルを操作しようとして制御された場合、監視・制御プログラム７２が文書管理サーバにアクセスし、ユーザＩＤを送信する（７００１）。
【０１０３】
すると、文書管理サーバ８０のラベル割当プログラム８１はサーバ認証を行い（７００２）、ポリシー設定サーバ１０のポリシーリスト１３を参照して（７００３）、ユーザＩＤがアクセス主体の条件を満たすラベルを特定し（７００４）、クライアントの画面上にラベル割当画面を表示させる（７００５）。
【０１０４】
利用者１は、表示されたラベル割当画面でファイルのラベルを割り当て（７００６）、さらにラベルを割り当てるファイルを指定し（７００７）、ラベル割当プログラム８１に送信する（７００８）。なお、ラベル割当画面の詳細については、図８で説明する。監視・制御プログラム７２は、ラベル管理テーブル７４を更新し、申請したファイルの状態を承認待ちとする（７００９）。
【０１０５】
ラベル割当プログラム８１は、クライアント７０から受信したユーザＩＤおよびラベル情報とポリシーリスト１３を照合し、承認が必要かを判断し（７０１０）、承認が必要なラベルの場合は承認者に申請内容を送信する。なお、承認を必要としないラベルは設定してもよいし、しなくてもよい。このとき、ラベル割当プログラム８１は、ラベル管理リスト８４を参照し、ラベル管理リスト８４に登録されたラベル割り当て済みファイルの一覧から、利用者が選択したラベルと同じラベルを割当てられているファイル、あるいは同じカテゴリを割り当てられているファイルなどを少なくとも１以上抽出して送信する（７０１１）。なお、抽出する条件として、利用者と同じ部署のユーザが所有するファイルのラベルとしてもよい。
【０１０６】
承認者３は、申請されたファイルとラベルが適切であるか確認し、必要であればラベルの変更を要求する（７０１２）。このときの編集画面の詳細については、図８で説明する。
承認者３がラベルを確認あるいは変更要求を実行した後、ラベル割当プログラム８１では、ラベルを割り当てたファイルが完成文書である場合には（７０１３）文書管理サーバ１０にファイルを格納し（７０１４）、ラベル管理リスト８４を更新する（７０１５）。なお、完成文書でない場合には、ファイルは格納せずにラベル管理リスト８４を更新する（７０１５）。
【０１０７】
次に、ラベル割当プログラム８１は、申請内容に共有先の指定もあるかを確認し（７０１６）、共有先の指定が必要な場合にはポリシーリスト１３を参照し、共有先を追加するようポリシー設定プログラム１１に共有先情報を送信する（７０１７）。また、共有先情報の指定が必要でない場合には操作を行わない。
【０１０８】
ラベル割当プログラム８１が登録を完了し、登録完了通知を監視・制御プログラム７２に送信すると（７０１８）、クライアント７０の監視・制御プログラム７２はラベル管理テーブル７４を更新し、申請したファイルの状態を承認済みとする（７０１９）。これにより、ファイルにはラベルが割り当てられ、以降ファイルにはラベルに設定されたポリシーが適用される。
【０１０９】
なお、ファイルに対するラベルの割り当ては、本実施例で説明したテーブルを用いてラベルを管理する方式だけではなく、ファイルのヘッダ領域やコンテンツにラベルを埋め込む方法や、ＤＲＭ技術を用いてラベルとファイル本体をカプセル化してもよい。
【０１１０】
図８にラベルの割り当て申請画面の一例を示す。
ファイルへのラベル割り当ては、図７で説明したように、ファイルを格納しているクライアント７０の利用者１がまずラベルを割り当てし、割り当てたラベルが適切であるかを承認者３が確認して承認するとファイルにラベルが割り当てられ、ラベルに基づく制御を行う。
【０１１１】
ラベル割当申請画面８０１は、ラベルを新規で割り当てるか、あるいは一度割り当てたラベルを変更するかを選択するボタン８０１１と、ラベル割り当てを申請する利用者のユーザＩＤ８０１２と、ラベルを割り当てるファイルパス８０１３と、ラベルを割り当てるファイルを参照して選択するボタン８０１４と、文書管理サーバに登録するかどうかを選択し、登録する場合には登録先のフォルダを指定する登録先フォルダ８０１５と、登録先フォルダ８０１５を文書管理サーバから参照して選択するボタン８０１６と、ラベルの選択方法を選択するための履歴利用タブ８０１７またはプルダウン選択タブ８０１８と、履歴利用タブを選択した場合の選択肢を表示したラベル選択表８０１９と、入力内容を申請する申請ボタン８０２０、からなる。なお、履歴利用タブ８０１７の選択肢として表示するラベルは、利用者１が操作を実行する条件を満たすラベルである。
【０１１２】
利用者１は、例えば８０１０に示したように該当するラベルを選択することで、割り当てるラベルを選択することができる。
また、利用者１がプルダウンによるラベルの選択を希望し、プルダウン選択タブ８０１８を押下すると、ラベル割当申請画面８０２が表示される。
【０１１３】
ラベル割当申請画面８０２では、基本的な構成はラベル割当申請画面８０１と同じであり、ラベル選択表８０１９の部分をプルダウンで選択するプルダウン選択表８０２１を表示する。プルダウン選択表８０２１は、カテゴリ８０２２を選択するプルダウンと、レベル８０２３を選択するプルダウンが表示されるため、利用者１は該当するカテゴリとレベルを選択し、選択が終わったら決定ボタン８０１４を押下することで、割り当てたラベルを申請することができる。
【０１１４】
図９にラベル割り当ての承認画面の一例を示し、承認者３のラベル承認方法を説明する。
承認者３が文書管理サーバ８０のラベル割当プログラム８１にアクセスすると、ラベル承認画面９０１が表示される。ラベル承認画面９０１は、申請者のユーザＩＤ９０１１と、利用者１がラベルを割り当てたファイルパス９０１２と、文書管理サーバ８０に登録する場合には登録先フォルダ９０１３と、利用者１が割り当てたラベル９０１４と、ファイルを表示する表示ボタン９０１５と、ラベルを変更する場合に選択するラベルの候補リスト９０１６と、類似するファイルのラベル一覧９０１８と、承認ボタン９０１９、からなる。
【０１１５】
承認者３は、ラベル承認画面９０１を見てファイルとラベルが適しているかを判断する。もし、ファイルの中身を確認する場合は、表示ボタン９０１５を押下すると、文書管理サーバ１０にアップロードされたファイルが開くため、承認者３はファイルの中身を見てラベルを承認することもできる。承認者３は、申請されたファイルについて、ラベルの変更が必要ないと判断した場合は、承認ボタン９０１９を押下し、ラベルの変更が必要と判断した場合は、別なラベルを選択し（９０１７）、承認ボタン９０１９を押下する。これにより、もし利用者１が適切でないラベルをファイルに割り当てていた場合でも、承認者３が変更することにより、適切なラベル割り当てがなされる。
なお、ラベル承認画面９０１には、類似するファイルのラベル一覧を表示しているため、承認者３は利用者１が設定したラベルが適切かどうかを判断するための目安とすることができる。
【０１１６】
図１０にラベル管理リスト２３および状態管理リスト２４のデータ構造の一例を示す。
ラベル管理リスト２３は、ラベルが割り当てられたファイルに関するデータを格納している。ラベル管理リスト２３は、少なくとも０個以上のエントリからなるデータであり、一意に情報の格納場所を識別可能なファイルパス１０１１、ファイルを格納する媒体識別ＩＤ１０１２、ファイルに割り当てたラベル１０１３、ラベルを最後に割り当てた最終ラベル割当者ＩＤ１０１４、ラベルの登録日時１０１５、ラベルの承認状態１０１６、その他状態１０１７、からなる。
【０１１７】
その他状態１０１７で管理するデータは、例えば「ラベル承認中」「持ち出し申請中」「持ち出し中」などのファイルの状態を表示する。ラベル管理リスト２３により、どのクライアントにどのラベルをもつ情報が格納されているか、また、ラベルが割り当てられている情報の承認状態などを迅速に把握することができる。また、クライアント７０は同じ形式を持つラベル管理テーブル７４を備えており、文書管理サーバ８０は同じ形式を持つラベル管理リスト８４を備えている。ラベル管理テーブル７４およびラベル管理リスト８４では、クライアント７０あるいは文書管理サーバ８０に格納しているファイルについて同じ形式で状態を管理している。
【０１１８】
次に、状態管理リスト２４について説明する。
状態管理リスト２４はセンサ５０を利用者が通過したログを元に、ＩＤ管理システム９０のユーザリスト９１に登録した利用者の所在を管理するものである。
状態管理リスト２４は少なくとも０個以上のエントリからなるデータであり、ユーザＩＤ１０３１、利用者の現在地を示す所在１０３２、からなる。
【０１１９】
例えば、ユーザＩＤ１０３１が００１の利用者は執務室にいることを示す。これは、組織外から組織内の建屋、建屋から執務室に利用者が通過する際にＩＣカードをセンサ５０に近づけてＩＤを読み取らせることにより、入室したデータが状態管理リスト２４に反映されていることを意味する。状態管理リスト２４は、利用者１がＩＣカードをセンサ５０を近づけてＩＤを読み取らせるなど正当な方法で通過した場合に更新されるため、例えば状態管理リスト２４で建屋内にいることをクライアント７０のログイン条件にしておくことにより、なりすましや共連れにより入室してクライアント７０を操作し、ファイルにアクセスしようとしても、状態管理リスト２４に入室した記録がない場合には、ログインすらできないよう制御することができる。
なお、利用者の所在を確認する手段として、センサ５０だけではなく、利用者が操作するクライアント７０が接続するＩＰアドレスなどを取得することによって、社内のどこに利用者がいるかを判断してもよい。
【０１２０】
図１１に利用者の所在を特定する処理の流れを示す。
利用者１がセンサ５０にＩＣカード７６あるいはＩＤ情報を格納した携帯電話７９をかざしてセンサが設置してあるエリアに入退室すると（１１０１）、センサ５０のセンサログ取得プログラム５１で取得したセンサログをログ管理サーバ３０のログ解析プログラム３１に送信する（１１０２）。ログ解析プログラム３１は、センサログを受信すると（１１０３）、ユーザリスト９１を参照し（１１０４）、入退室した利用者のユーザＩＤを特定する（１１０５）。さらに、ログ解析プログラム３１は、特定したユーザＩＤとセンサの識別情報を状態管理サーバ２０の状態管理プログラム２１に送信する（１１０６）。状態管理プログラム２１は、ユーザＩＤとセンサの識別情報を受信すると（１１０７）、状態管理リスト２４を参照し（１１０８）、受信したユーザＩＤの所在情報を更新する（１１０９）。
【０１２１】
以上、図１１で説明したように、組織内に設置されたセンサ５０を利用者が通過した情報を状態管理サーバ２０の状態管理リスト２４で管理することにより、利用者の所在の変化を把握することができる。
【０１２２】
図１２でクライアント７０、文書管理サーバ８０、ノートＰＣ７８で動作する監視・制御プログラム７２の動作フローについて説明する。
監視・制御プログラム７２が起動すると（ステップ１２０１）、クライアント７０における利用者の操作を監視する（ステップ１２０２）。利用者がファイルに対して操作を行うと（ステップ１２０３）、発生した操作の状態を識別する（ステップ１２０４）。このとき監視・制御プログラム７２は、発生した操作と、Ｗｅｂアップロードなどネットワーク送信の操作である場合には宛先であるメールアドレスあるいはＵＲＬなどの社外共有先情報、クライアントのユーザＩＤ、ファイルパス、なども識別する。
【０１２３】
次に、クライアント７０に格納したラベル管理テーブル７４を参照し（ステップ１２０５）、操作対象であるファイルのファイルパスをキーとしてファイルに割り当てたラベルを特定する（ステップ１２０６）。
ラベルが「なし」以外に設定されている場合には（ステップ１２０７）、状態管理サーバ２０にアクセスして状態管理リスト２４を参照し（ステップ１２０９）、ユーザＩＤをキーとして利用者の所在を特定する（ステップ１２１０）。
【０１２４】
ステップ１２０７においてラベルが未設定の場合、またはステップ１２０９で状態管理サーバ２０にアクセスできなかった場合は、ラベル未設定用のポリシーを参照する（ステップ１２０８）。なお、ステップ１２０９で状態管理リスト２４にアクセスできない場合もラベル未設定として扱うのは、状態管理サーバ２０とアクセスできない場合はクライアントがオフラインの場合と考えられ、オフラインの場合は利用者の所在が特定できないためである。また、クライアントがオフラインの場合は、ポリシー設定サーバ１０に格納しているポリシーリスト１３とクライアント７０に格納しているポリシーテーブル７３とが異なってしまう可能性があるため、適用すべき制御が異なってしまうことを防ぐためである。
【０１２５】
次に、ステップ１２０８でラベルが「なし」のポリシーを参照した場合、ステップ１２０４で識別した状態がラベル「なし」のポリシーと一致するかを判定し（ステップ１２１４）、一致する場合には操作を実施し（ステップ１２１５）、一致しない場合には操作を防止する（ステップ１２１６）。ステップ１２１６で操作を防止した場合には、利用者にアラートを表示し（ステップ１２１７）、さらにラベル割当操作を行うか利用者に入力させる画面を表示し、ラベル割り当て操作を利用者が行うと入力を受け付けた場合には（ステップ１２１８）、ラベル割当画面を表示する（ステップ１２１９）。ラベルの割り当てを行わない場合、あるいはラベル割当画面を表示した（ステップ１２１９）後は、ログを取得する（ステップ１２２０）。
【０１２６】
一方、ステップ１２１０において利用者の所在を特定した場合は、操作がＮＷ送信あるいはクライアント以外の記憶媒体へのファイルのコピー、印刷などいずれかのクライアント以外の格納先への操作であるかを判定し、出力操作である場合には（１２１１）、資産リスト１０１を参照してファイル格納先の資産情報を取得し（ステップ１２１２）、ポリシーリスト７３のラベルに設定しているポリシーを参照する（ステップ１２１３）。また、ステップ１２１１で操作が出力操作でない場には、ステップ１２１３を実行する。
【０１２７】
ステップ１２１３でポリシーを参照し、ステップ１２０４で識別した状態がポリシーの条件と一致するかを判定した結果、一致する場合には（ステップ１２２１）、操作を実施する（ステップ１２２２）。さらに、例えばコピーや名前変更、あるいは削除などのように操作を実行することによりファイルパスが変更になる操作であれば（ステップ１２２３）、ラベル管理テーブル７４を更新し（ステップ１２２４）、ログを取得する（ステップ１２２０）。ファイルパスが変更にならない場合はステップ１２２０を実行する。
【０１２８】
ステップ１２２１でポリシーの条件を満たさなかった操作の場合は、操作を防止し（ステップ１２２５）、アラートを利用者に表示し（ステップ１２２６）、ログを取得する（ステップ１２２０）。なお、ステップ１２２０では、少なくとも操作の発生時刻と、ユーザＩＤと、操作の実行有無と、ファイルのラベルをログとして記録する。
【０１２９】
ステップ１２２０の後、プログラム終了命令がされない限り（ステップ１２２７）、ステップ１２０２に戻って監視を行い、プログラム終了命令がなされた場合は、プログラムを終了する（ステップ１２２８）。
【０１３０】
本実施例では、状態管理サーバ２０で管理している状態管理リスト２４を参照し、利用者の操作環境も取得して制御することにより、単なる人物からファイルへのアクセス権の制御だけではなく、ファイルを利用する利用者の環境によってもファイルの操作を制御することが可能となる。
【０１３１】
なお、図１２ではクライアント７０における監視・制御プログラム７２の説明をしたが、文書管理サーバ８０の監視・制御プログラム８２では、ラベル管理リスト８４とポリシー設定サーバ１０のポリシーリスト１３を参照し、ノートＰＣ７８では、クライアント７０からコピーしたラベル管理テーブル７８１３とポリシーリスト７８１４を参照する。
【０１３２】
図１３にファイルの持ち出し操作に係る処理の流れを示す。
利用者１が状態管理サーバ２０の状態管理プログラム２１にアクセスすると（１３０１）、申請画面が表示される（１３０２）。利用者１が表示された申請画面に従い申請情報を入力し（１３０３）、申請情報および持ち出すファイルを状態管理サーバ２０に送信すると（１３０４）、状態管理プログラム２１はラベル管理リスト２３と持ち出すファイルのファイルパスとを照合してファイルのラベルを特定し、特定したラベルのポリシーを参照して持ち出し可能かを識別し（１３０５）、持ち出し操作の条件を満たしていない場合には条件を不適切のエラーメッセージを表示する（１３０６）。持ち出し操作の条件を満たしている場合には、申請情報を承認者３に送信する（１３０７）。承認者３は表示された承認画面で持ち出し申請情報を確認し、申請情報の持ち出し許可あるいは不許可を判断し（１３０８）、状態管理プログラム２１に送信する（１３０９）。
【０１３３】
状態管理プログラム２１は承認結果を受け付け（１３１０）、不許可の場合は申請不許可のメッセージを通知し（１３１１）、許可の場合はラベル管理リスト２３の状態を持ち出し承認済に更新し（１３１２）、少なくとも利用先の所在情報と格納媒体の識別ＩＤを復号条件として含めた暗号鍵を生成し（１３１３）、ファイルを暗号化する（１３１４）。
【０１３４】
状態管理プログラム２１が利用者に持ち出し許可通知を送信すると（１３１５）、利用者１は状態管理サーバ２０にアクセスし（１３１６）、暗号化したファイルをダウンロードし（１３１７）、持ち出すノートＰＣ７８にファイルを格納する（１３１８）。このとき、クライアント７０の監視・制御プログラム７１はファイルのダウンロードを検知し、ラベル管理テーブル７４に承認結果を反映する（１３２３）。
【０１３５】
利用者１は、その後組織内から組織外に出る場合、ＩＣカード７６あるいは利用者のＩＤ情報を格納した携帯電話７９をセンサ５０に近づけて近距離無線通信を行わせ、ＩＤを読み取らせる（１３１９）。すると、センサ５０のログ取得プログラム５１でユーザ情報を取得し（１３２０）、状態管理プログラム２１に取得した情報を送信する（１３２１）。状態管理プログラム２１では、受信したユーザ情報を元にラベル管理リスト２３の状態を持ち出し中に更新する（１３２２）。
【０１３６】
この処理により、組織外に持ち出したファイルは暗号化して持ち出されるため、あらかじめ申請し承認された利用先以外の場所で利用者１がアクセスしても復号化されず、不適切な利用場所での操作を防止することができる。
【０１３７】
なお、ＵＳＢメモリなどのＣＰＵを持たない可搬媒体に格納する情報のレベルが高い場合も、強制的にファイル暗号化を行う。暗号化の方法については、例えば「情報漏洩リスク提言のための内部統制と情報資産管理（著：甲斐他、日立評論 ２００７年９月号、ｐｐ．５１、３．３節）」に開示しているように、持ち出すファイルを自己復号型で暗号化し、規定ＰＣの識別情報（ＭＡＣアドレスなど）を暗号ファイルに格納することにより、自宅ＰＣや不審なＰＣでの閲覧・編集を防止することができる。
【０１３８】
図１４に組織外におけるファイル操作に係る処理の流れを示す。
利用者１は、携帯電話７９に格納された認証プログラム７９１を用いて状態管理サーバ２０の認証プログラム２２にアクセスし、ログイン情報７９２を送信する（１４０１）。
状態管理サーバ２０の認証プログラム２２はログイン情報７９２が正規のものかどうかを判断し（１４０２）、認証に成功した場合は認証プログラム７９１に携帯電話７９の所在情報送信を要求し（１４０３）、認証に失敗した場合はエラーメッセージを送信する（１４０８）。
認証プログラム２２が利用者２の所在情報としてＧＰＳ情報を送信すると（１４０４）、状態管理プログラム２１は状態管理リスト２４を参照し（１４０５）、利用者の所在が承認済みの場所かどうかを照合する（１４０６）。
状態管理プログラム２１は、所在が承認済みでない場合はエラーメッセージを送信し（１４０７）、承認済みであった場合は復号鍵リスト２５を参照して現在の所在地で利用可能なファイルの復号鍵を特定し、送信する（１４０８）。
【０１３９】
認証プログラム２２は復号鍵を受信し（１４０９）、通信プログラム７９３を起動する（１４１０）。通信プログラム７９３はノートＰＣ７８の認証プログラム７８２にログイン情報を送信し（１４１１）、認証が成功した場合には（１４１２）、通信プログラム７９３に復号鍵を要求し（１４１３）、通信プログラム７９３からＢｌｕｅｔｏｏｔｈなどを用いて復号鍵を送信する（１４１４）。ノートＰＣ７８の通信プログラム７８３では、復号鍵を受信すると、ノートＰＣ７８に格納し（１４１５）、利用者１がファイルにアクセスした場合には（１４１６）、承認されたファイルのみ、復号鍵により復号化し（１４１７）、閲覧などの操作を実行できるようになる。
【０１４０】
なお、ノートＰＣ７８の通信プログラム７８３は、携帯電話７９の認証プログラム７９１と一定時間ごとに通信し、通信できなくなった場合はノートＰＣ７８の監視・制御プログラム７９１が操作を防止する。これにより、ノートＰＣ７８を開いたまま承認済みの場所から移動した場合に操作を継続させないことができる。
【０１４１】
図１５にファイル持ち出し後の組織内での処理の流れを示す。
利用者１がノートＰＣ７８を組織外から組織内に持ち帰り（１５０１）、センサ５０に例えばＩＣカード７６を近づけＩＤを読み取らせると（１５０２）、センサ５０のセンサログ取得プログラム５１は、ＩＣカード７６に格納されたユーザ情報を取得し（１５０３）、状態管理サーバ２０の状態管理プログラム２１にデータを送信する（１５０４）。
【０１４２】
状態管理プログラム２１はラベル管理リスト２３を参照し（１５０５）、持ち出し中のファイルのうち、持ち出し期限の切れたファイルがあるか特定し（１５０６）、持ち出し期限の切れたファイルがある場合には利用者１のクライアント７０にファイル削除のメッセージを表示させる（１５０７）。利用者１がノートＰＣ７８から持ち出し期限の切れたファイルを削除すると（１５０８）、クライアント７０の監視・制御プログラム７２は、削除したファイルを格納した記憶媒体の識別ＩＤを状態管理プログラム２１に送信し（１５０９）、状態管理プログラム２１は、ラベル管理リスト２３の状態欄に設定した「持ち出し中」データを削除する（１５１０）。これにより、ノートＰＣ７８に格納したファイルを残留させたままにすることを防止することができるため、持ち出しの都度、持ち出しに関係のあるファイルのみを持ち出すことができる。
【０１４３】
図１６に持ち出し操作に係る申請および承認画面の一例を示す。
持ち出し申請画面の一例を１６０に示す。持ち出し申請画面１６０は、ファイルを組織外に持ち出す利用者１が入力を行う画面であり、図１３におけるステップ１３０３で表示する。
持ち出し申請画面１６０には、少なくとも申請者情報１６０１と、持ち出すファイル名１６０２と、持ち出すファイルをクライアント７０から参照して選択するボタン１６０３と、ファイルを格納する媒体の識別ＩＤ１６０４と、格納する媒体を参照して選択するボタン１６０５と、利用先１６０６と、利用先の所在の位置情報を選択するボタン１６０７と、持ち出し期限１６０８と、持ち出し目的１６０９と、申請ボタン１６１と、申請中止ボタン１６２と、を表示する。
利用者１が持ち出し申請画面１６０に入力し、申請ボタン１６１を押下すると、承認者３に持ち出し操作の承認申請と、持ち出すファイル名を選択するボタン１６０３で選択したファイルが送信される。
【０１４４】
次に、持ち出し承認画面の一例を１６３に示す。持ち出し承認画面１６３は、利用者１の申請を承認する承認者３が承認を行う画面であり、図１３におけるステップ１３０８で表示する。
持ち出し承認画面１６３には、少なくとも持ち出し申請画面１６０で利用者１が入力した情報として、申請者情報１６０１と、持ち出すファイル名１６０２と、ファイルを格納する媒体の識別ＩＤ１６０４と、持ち出し期限１６０８と、持ち出し目的１６０９、に加えて、持ち出すファイルを表示するボタン１６１１と、持ち出すファイルのラベル情報１６１２と、利用先情報の位置情報設定状況１６１３と、承認を許可するボタン１６４と、承認を差し戻しするボタン１６５と、を表示する。なお、持ち出すファイルのラベル情報１６１２は、持ち出し承認プログラム８３が、利用者１が入力したファイル名１６０２を受け付けた後、ラベル管理リスト８４を参照してラベルを特定し、表示する。
【０１４５】
以上述べた第１実施例により、情報の活用を阻害することなく、情報漏洩につながる操作を未然に防止することが可能になる。
【０１４６】
−−−実施例２−−−
第２実施例では、ファイルのラベル情報をファイルに埋め込む方法を示す。
図１７に第２実施例におけるラベル割り当て処理の流れを示す。第２実施例におけるラベル割当処理の大まかな流れは、図７に示した第１実施例におけるラベル割当処理と同じだが、第２実施例ではファイルの拡張領域を利用し、拡張領域に少なくともラベル名と、ラベル設定あるいは承認者情報と、を埋め込む。具体的には、ステップ７０１４で完成文書の識別を行う前に、ラベル埋め込み処理を行う（１７０１）。
【０１４７】
図１８に第２実施例における監視・制御プログラムの動作フローチャートを示す。第２実施例における監視・制御プログラムの動作フローチャートの大まかな流れは、図１２に示した監視・制御プログラムの動作フローチャートと同じだが、第２実施例では、ラベル管理テーブル７４の参照によるラベル情報の特定処理ではなく、ラベル読み込み処理を行う。また、ラベルをファイルの拡張領域に埋め込むため、ファイルパス変更操作を実行しない。そのため、ステップ１２０４で状態識別した後は、ラベル読み込み処理を行い（１８０１）、ラベルの設定状況を確認する（１２０７）。また、ステップ１２２２でラベルが設定されているファイルについて操作を実施した後は、ログ取得処理を行う（１２２０）。
【０１４８】
以上述べた第２実施例により、第１実施例と同じシステム構成で情報の活用を阻害することなく、情報漏洩につながる操作を未然に防止することが可能になる。
【０１４９】
−−−実施例３−−−
・システム構成について：
第３実施例では、組織外にファイルを持出す場合の承認処理における情報の識別方法を示す。図１９に第３実施例のシステム構成図を示す。第３実施例におけるシステム構成では、送受信したメールのログを取得したメールログ１９２１を備えるメールサーバ１９２と、承認管理サーバ１９３を新たに設ける。また、クライアント７０は申請管理プログラム１９１１を備え、ノートＰＣ７８は申請管理プログラム７８０１を備える。
【０１５０】
前記申請管理プログラム１９１１と申請管理プログラム７８０１は、同じ動作を行うものとし、この申請管理プログラムを対象機器にインストールすることにより、承認済みの属性を持つファイルを記憶手段中より特定し、既存のファイル検索プログラム等における表示用インターフェイスにおいて前記承認済みファイルを前記ファイル検索プログラムの既存機能等により強調表示（例：該当ファイルの表示をハイライト化、太字化するなど）することができる。なお、本実施例における承認フローについては図２７および図２８を用いて後に詳述する。
【０１５１】
また、前記申請管理プログラム１９１１は、コンテキストメニューに「持出し申請」を有している。例えば、利用者１がクライアント７０あるいはノートＰＣ７８を介してファイルを選択し、前記申請管理プログラム１９１１が提供するコンテキストメニューから「持出し申請」を選択したとする。この場合、前記申請管理プログラム１９１１は、前記承認管理サーバ１９３の承認管理プログラム１９３１と通信して接続し、持出し申請画面を立ち上げるための認証画面を表示する。なお、第１実施例ではファイル持ち出しの承認処理を状態管理サーバで実施しているが、本実施例３におけるシステム構成に示すように、承認管理機能を備えた情報処理装置＝承認管理サーバ１９３を新たに設け、ラベル割当て処理について役割分担してもよい。
【０１５２】
前記承認管理サーバ１９３は、ファイルの持出しを申請する利用者１および持出しの承認判断をする承認者３のクライアント７０やノートＰＣ７８などに表示する画面の生成や申請案件のステータスやファイルの管理を行う承認管理プログラム１９３１と、申請されたファイルの識別処理を行うファイル識別プログラム１９３２（ファイル識別手段）と、組織外の取引先情報を登録した取引先リスト１９４１およびファイル識別に用いる照合用ＤＢ１９４３（オブジェクト登録データベース）とを管理するＤＢ管理プログラム１９３４（ＤＢ管理手段）と、持出しが承認されたファイルを持出し用のファイル形式に変換するファイル変換プログラム１９３５と、承認ステータスを格納する承認管理ＤＢ１９４２、ファイルの組織外持ち出しに係る組織のルールを登録した持ち出しルールＤＢ１９４４、を備える。
【０１５３】
なお、既に図２にて示したとおり、前記クライアント７０のハードウェア構成は、端末ログ７５ならびにポリシーリスト７３、ラベル管理テーブル７４を保存する外部記憶媒体７０２（記憶手段）、申請管理プログラム１９１１および監視・制御プログラム７２を実行するＣＰＵ７０１、メモリ７０３、入出力画面を表示する表示部７０４（出力手段）、入出力を制御する操作部７０５（入力手段）、可搬媒体７７に格納されたデータなどを読み書きするための可搬媒体接続部７０６、ＲＡＭ７０７、有線あるいは無線でネットワーク４０と通信を行う通信部７０８、これらの各装置等を相互接続するバス７０９から構成される。また、前記ノートＰＣ７８や、本実施例３で新たに登場した承認管理サーバ１９３も、上記クライアント７０と同様のハードウェア構成をとる。
【０１５４】
各装置では、ＣＰＵが外部記憶媒体に格納されたプログラムを実行することにより、以下に説明する処理、機能が実現される。ただし、各実施形態の説明では、便宜上、各プログラムを実行主体としている。また、各プログラムは、あらかじめ、上記各装置の外部記憶媒体やメモリに格納されていても良いし、必要なときに、可搬媒体接続部や通信部と、各装置が利用可能な媒体と、を介して、他の装置から導入されてもよい。媒体とは、たとえば、着脱可能な可搬媒体、または通信媒体（すなわちネットワーク４０またはネットワーク４０を伝搬する搬送波やディジタル信号）を指す。
【０１５５】
こうした本実施例３における前記承認管理サーバ１９３は、情報の種類を示すカテゴリと機密レベルの組合せデータであるラベルをファイルに割り当て、情報漏洩につながる操作を制限するファイル管理システムである。この承認管理サーバ１９３は、ラベルの申請受付時ないしファイルの持出し申請受付時において、申請を受け付けたファイルにおける利用禁止オブジェクトの有無を、前記照合用データベース１９４３（オブジェクト登録データベース）における前記取り扱い情報に基づき特定するファイル識別プログラム１９３２（ファイル識別手段）を備える。
【０１５６】
また、前記承認管理サーバ１９３は、前記ラベルの申請ないしファイルの持出し申請に対する承認結果を他端末（クライアント７０やノートＰＣ７８など）ないし操作部（入力手段）から得て、前記照合用データベース１９４３（オブジェクト登録データベース）における該当オブジェクトに関する取り扱い情報を更新するＤＢ管理プログラム（ＤＢ管理手段）を備える。なお、前記ＤＢ管理手段は、承認結果を受信したときに前記オブジェクト登録データベースを更新するとすれば好適である。
【０１５７】
また、前記ファイル識別プログラム１９３２は、前記申請を受け付けたファイルについて、ページ構成と該当ページにおけるテキストの位置とオブジェクトの位置とを特定し、ここで前記ファイルについて特定した事項に関して類似する他ファイルを、前記照合用ＤＢ１９４３（オブジェクト登録データベース）の属性情報に基づき特定し、前記ファイルと他ファイルとの差分を取得して、前記取得した差分において前記照合用ＤＢ１９４３（オブジェクト登録データベース）に登録されたオブジェクトの有無を検出し表示部（出力手段）ないし他端末（クライアント７０やノートＰＣ７８など）に出力するとしてもよい。
【０１５８】
・データベース構造等について：
図２０に取引先リスト１９４１のデータ構造を示す。取引先リスト１９４１は、ファイル管理システム１０００を導入した組織と業務上取引がある当該組織以外の取引先相手の情報を登録したリストであり、前記ＤＢ管理プログラム１９３４がメールサーバ１９２に格納されたメールログ１９２１などから作成する。この取引先リスト１９４１は、登録番号２００１、メールアドレス２００２、取引先名２００３、最後にメールを受信した日時である最終受信日時２００４、持ち出し申請が承認された回数を示す承認回数２００５、取引先相手に認識されているユーザＩＤから成る。本取引先リストを参照することにより、ファイルの持出しが申請されている持出先がこれまで組織として付き合いのある相手か、あるいは新たに付き合いを始める相手かを判断することができる。
【０１５９】
なお、上記取引先リスト１９４１は以下の手順で作成される。前記承認管理プログラム１９３１が定期的にメールサーバ１９２に格納しているメールログ１９２１にアクセスする。そして前記承認管理プログラム１９３１は、組織のユーザの受信ログを解析し、送信元情報が組織外の相手のメールアドレスを特定する。
【０１６０】
次に、前記承認管理プログラム１９３１は、前記特定した組織外の相手からのメールアドレスに対応する受信元メールアドレスから、組織内のユーザのメールアドレスを特定し、たとえばＩＤ管理システム９０のユーザリスト９１に登録されたメールアドレスと照合してユーザＩＤを特定する。
【０１６１】
そして、前記取引先リストに取引先が登録されている場合、前記承認管理プログラム１９３１は、前記取引先リスト１９４１の該当レコードにて最終受信日時を更新する（前記特定したユーザＩＤが該当取引先に関し未登録のユーザＩＤであった場合、ユーザＩＤ２００６の欄も更新する）。一方、前記取引先リスト１９４１に取引先が登録されていない場合、前記承認管理プログラム１９３１は新規レコードを追加し、取得した情報（取引先の社名やメールアドレス等）を登録する。
【０１６２】
図２１に前記承認管理ＤＢ１９４２のデータ構造を示す。承認管理ＤＢ１９４２は、ユーザＩＤごとに作成した承認案件に関するメタデータと、申請されたファイルのコンテンツに関するメタデータからなる。承認案件に関するメタデータは、ユーザＩＤ２１００、承認案件ごとに作成する承認案件テーブル２１０１、ユーザがメールを受信した相手を日時の新しい順に格納したメール受信テーブル２１０２、とからなる。
【０１６３】
なお、承認案件テーブル２１０１は、承認操作完了時に承認管理プログラム１９３１が更新し、メール受信テーブル２１０２は、図２４で述べる取引先リスト１９４１の更新時にＤＢ管理プログラム１９３４が更新する。前記承認案件テーブル２１０１は、申請されると割り振られる申請ＩＤ２１１１、取引先の登録番号２１１２、持出し方法２１１３、ファイル形式２１１４、持出し理由２１１５、承認者コメント２１１６、承認に係るステータス２１１７、承認日時２１１８、申請されたファイルのＩＤ２１１９、とからなる。
【０１６４】
メール受信テーブル２１０２は、ユーザ２１００の受信したメールのうち、組織外の相手が送信者であるメールの上位件数を登録したものであり、メールアドレス２１２１、受信日時２１２２、からなる。本件数は管理者がカスタマイズすることもできる。
【０１６５】
また、申請されたファイルのコンテンツに関するメタデータ２１０３は、申請されたファイルのＩＤ２１２３およびファイルそのもの２１２４と、ファイル識別プログラム１９３２で分析した分析データに照合用ＤＢ１９４３で検出したオブジェクトを付与したデータ２１２５と、ファイル比較用のデータ２１２６を格納する。ファイル比較用のデータとしては、ファイル間の類似度を比較可能なものとしてハッシュ値などを格納する。
【０１６６】
また、図２４に照合用ＤＢ１９４３（オブジェクト登録ＤＢ）のデータ構造を示す。前記照合用ＤＢ１９４３は、汎用ＤＢ２１０４と相手先別ＤＢ２１０５からなる。汎用ＤＢ２１０４は、持出し申請やラベル登録などに関する処理に統一的に利用可能なＤＢ（＝ファイルおよびラベルを問わないオブジェクトを登録したデータベース）であり、例えば「社外秘」など無条件で持ち出しが禁止される取り扱い情報（或いはその逆に、インターネット上の公開情報など無条件に持ち出しＯＫの取り扱い情報）が対応付けされた、人名、組織名などの単語、テンプレートなどを示すデータ、図やロゴなど、ファイルに含まれるオブジェクトを登録したものである。また、相手先別ＤＢ２１０５は持出先ごとに生成し、持出し申請に関する処理に用いるＤＢ（＝ファイルを持出した履歴のある相手先ごとにオブジェクトを登録したデータベース）であり、前記汎用ＤＢ２１０４と同じ形式でオブジェクト情報が登録される。前記照合用ＤＢ１９４３は、更に、ラベルごとにファイルのオブジェクトを登録したラベル別データベース２１０６を備えるとしてもよい。これら各ＤＢには、利用禁止オブジェクト２１２７と、利用可能オブジェクト２１２８がそれぞれ登録されており、承認案件について検出された件数２１２９と共に登録されている。
【０１６７】
前記照合用ＤＢ１９４３において、前記人名、組織名などの単語、テンプレートなどを示すデータ、図やロゴなどに関するデータが、オブジェクトの属性情報となる。また、これらオブジェクトの属性に対応付けされる「持ち出し禁止」、「持ち出しＯＫ」などの情報が取り扱い情報となる。
【０１６８】
また、図２５に持ち出しルールＤＢ１９４４のデータ構造を示す。前記持ち出しルールＤＢ１９４４は、ファイル持出し時におけるファイル形式や持出し方法などの組み合わせにおいて許可あるいは不許可のルールが記載されているデータベースである。これは管理者や承認者が事前にＤＢ管理プログラム１９３４を通じて更新するものであり、組織全体や部署などの小規模な単位での設定も可能である。例えば、（１）取引先リスト１９４１に登録されていない持出し先への持ち出しについてはファイルの詳細確認が必要、（２）ファイル形式がＤＲＭ以外の場合は理由の記載が必須、といったルール２１２９が定義される。
【０１６９】
・画面表示例について：
図２４に利用者１がファイルを組織外に持出し申請をする際の申請画面２２０の例を示す。本申請画面は、申請者である利用者１が承認管理サーバ１９３にクライアント７０やノートＰＣ７８などでアクセスすると、承認管理サーバ１９３の承認管理プログラム１９３１が前記クライアント７０やノートＰＣ７８などに返信して表示させるものである。なお、前記クライアント７０の申請管理プログラム１９１１が、そのコンテキストメニューにて利用者１から指示を受けて承認管理サーバ１９３に接続した場合、当該申請管理プログラム１９１１は選択されているファイルのファイルパスを承認管理サーバ１９３に送信する。また、前記承認管理プログラム１９３１では、利用者１にユーザ認証を行わせ、認証が成立した場合には前記ユーザ認証時における認証情報からユーザＩＤを特定し、前記申請画面２２０に表示させる。
【０１７０】
前記申請画面２２０では利用者による以下の情報の入力を（クライアント７０やノートＰＣ７８などを介し）受け付ける。申請者名２２１１、持出し日２２１２、持出すファイル名２２１３、持出し先のメールアドレス２２１４、持出し理由２２１５、持出し方法２２１６、持出し時のファイル形式２２１７、さらにたとえばファイル形式が事前に定義した持ち出し方法以外（本実施例では、ＤＲＭ（Digital Rights Management）形式を例示）の場合には、持出し理由を入力させることもできる。このとき、持出すファイル２２１３について、利用者１は、先ほど述べたようにクライアント７０の申請管理プログラム１９１１を利用して入力する以外に、参照ボタン２２２０を押下し、ダイアログからファイルを指定することによって入力させてもよい。なお、一度に複数のファイルを持出す場合、前記利用者１は「追加」ボタン２２２１を押下することで、ファイルを追加登録することができる。
【０１７１】
また、持出し先２２１４については、利用者が「履歴から入力」ボタン２２２３を押下した際に、承認管理サーバ１９３が、持出し先候補リスト２２１をクライアント７０やノートＰＣ７８などに出力し、このリスト中から選択させるとしてもよい。一方、前記持出し先候補リスト２２１に登録されていない、すなわち新規の持出し先の場合はメールアドレスの入力を受け付けるとしてもよい。なお、前記持出し先候補リスト２２１は、例えば前記承認管理サーバ１９３が、前記取引先リスト１９４１の格納情報からデータ（メールアドレス２００２、取引先名２００３など）を抽出し、メールアドレス２２２と取引先名２２３からなるデータベースを構成したものとなる。
【０１７２】
またこの持ち出し先候補リスト２２１は、これまでの持出し履歴のある取引先２２４１、持出し申請頻度の高い取引先順２２４２、メール受信順２２４３、そして登録された名前順２２４４、などの条件で前記取引先リスト１９４１から抽出したデータがリスト化されており、前記承認管理サーバ１９３は、該当タブの押下を受けて持ち出し先候補の表示切り替えを行うとすればより好適である。なお、利用者１が前記持出し先候補リスト２２１から持ち出し先の選択を行って持出し先入力を実行した場合、承認管理サーバ１９３は、入力フォーム２２１４の横に、取引先リスト１９４１にて既登録の取引先名（図中では“Ａ社ＡＡＡ”）も表示させる。これにより、メールアドレスが類似した取引先を間違えて入力していないかを確認することができる。
【０１７３】
また、前記申請画面２２０において、持出し方法２２１６については、例えばＤＲＭ、暗号化、平文などを選択可能としている。一方、例えば、組織に応じて前記持出し方法２２１６のデフォルト値（例えば“ＤＲＭ”）を予め指定しておくこともできる（例：承認管理サーバ１９３がクライアント７０やノートＰＣ７８などの指定を受けて当該申請画面２２０のデータにデフォルト値を設定しておく）。また、承認管理サーバ１９３は、デフォルト設定されている持出し方法から他の方法に変更する指定を受けた場合、例えば、理由２２１８の記入がなされないと申請ボタン２２３１が押下されても処理を遷移させないといった判定を実行し、利用者に理由２２１８を記入させるとしてもよい。上記申請に係る全ての項目を入力し、利用者が申請ボタン２２３１を押下することで、当該申請画面２２０での入力データはクライアント７０やノートＰＣ７８などから承認管理サーバ１９３に送信され、申請処理は終了する。承認管理サーバ１９３では前記申請画面２２０での入力データを承認管理ＤＢ１９４２に格納することとなる。
【０１７４】
図２５に承認者３が承認判断をする際の承認画面を示す。承認判断を行うための承認画面は、申請されている情報一覧を示す承認待ち一覧画面２３０および案件１件ずつの詳細画面２３３からなり、承認者のクライアント７０やノートＰＣ７８などからの指示や前記申請画面２２０での申請ボタンの押下に応じ、承認管理サーバ１９３が生成してクライアント７０やノートＰＣ７８などに出力する。承認者３は、まず承認待ち一覧画面２３０で対象となるファイルの承認判断を実施し、詳細な確認が必要なファイルについては、詳細画面２３３を見て承認判断を行う。以下、画面の詳細について述べる。
【０１７５】
前記承認待ち一覧画面２３０は、チェックボックス２４１０と、申請者名２４１１、持出し日２４１２、持出し先２４１３、要確認項目２４１４、プレビュー２４１５、承認判断ボタン２４１６、を表示する画面であり、承認管理サーバ１９３が記憶手段において予め該当画面のひな形データを有している。前記承認画面２３０に示す項目のうち、持出先２４１３については、利用者が入力した持出先に対し、承認管理サーバ１９３が取引先リスト１９４１を照合し、この取引先リスト１９４１に登録済みの持出し先かどうかを特定し、登録済みの場合は登録した顧客名を表示し、登録されていない場合は「未登録」と表示する。また、申請者名２４１１や持ち出し日２４１２のデータは、前記承認管理サーバ１９３が前記申請画面２２０を通じて受け付けたデータを設定している。
【０１７６】
承認者はメールアドレスだけでは持ち出し先について把握することができないため、承認管理サーバ１９３は、前記取引先リスト１９４１において該当メールアドレスに対応する相手先情報の登録有無と登録名を、前記承認待ち一覧２３０の持ち出し先２４１３の情報として示す。これにより承認者は、取引先の誤入力や不正な取引先の入力を容易に判断することができる。
【０１７７】
また、前記承認待ち一覧画面２３０における要確認項目２４１４では、申請情報を承認判断するにあたり持出しリスクの高い可能性がある項目を示す（後述する図２８のフローにて承認管理サーバ１９３が実行する処理で特定される）。例えば、図中の案件２４３１では個人情報が検出されており、個人情報を持出そうとしている可能性が高いことを示している。
【０１７８】
さらに、前記承認管理サーバ１９３は、前記プレビュー２４１５において、申請されたファイルの表紙２４１７と、ファイルの中で最も確認すべき情報が記載されたページ２４１８、とを表示する（後述する図２８のフローにて承認管理サーバ１９３が実行する処理で特定される）。ファイルの表紙をプレビュー表示させるのは、表紙にはあて先や作成者名、タイトルなどファイルの要約情報を表す情報が記載されていることが多いためである。 また、もっとも確認すべき情報が記載されたページ２４１８のプレビューを表示することにより、承認者が情報の中身を迅速に把握することができる。さらにプレビューを示すことで、承認者がファイルを開かなくても情報を識別することができるという利点もある。たとえばファイルが添付されただけの承認画面の場合、承認者はファイルを開き、記載されているすべてのページを見ないと何に関する情報かすら把握できず、効率的かつ正確に内容を把握することは困難である。これに対し、本プレビュー２４１５のように、表紙と最も確認すべきページを優先的に表示することによって、承認者におけるファイルを開く手間が削減される。更に、前記承認者が前記画面２３０における詳細ボタン２４３２を押下すると、承認管理サーバ１９３は前記詳細ボタン２４３２の押下に対応する申請案件に関して記憶手段から情報を抽出し、詳細画面２３３のデータを生成し返信する。この詳細画面２３３によれば、例えば前記承認待ち一覧画面２３０では承認判断しきれなかったファイルの詳細について承認者が確認を行うことができる。
【０１７９】
なお、承認者が前記画面２３０にてチェックボックス２４３１をチェックし、「チェックした申請をすべて承認」２３２ボタンを押下することにより、承認管理サーバ１９３は、詳細画面２３３の表示を行わずに承認判断の結果を受け付けることができる。なお、「チェックした申請をすべて承認」２３２ボタンは、「チェックした申請をすべて却下」するボタンとしてもよい。ただし、要確認項目２４１４に記載される数が所定数より多い申請案件については、前記チェックボックス２４３１にチェックが入っても、前記詳細画面２３３の出力を実行しないかぎり承認できないよう、承認管理サーバ１９３が制御するとしてもよい。
【０１８０】
また、前記詳細画面２３３の構成について述べる。詳細画面２３３は、前記承認待ち一覧２３０の情報では承認者が承認判断をしきれない場合に申請内容の詳細を把握させることを目的としたものである。この詳細画面２３３は承認管理サーバ１９３がクライアント７０やノートＰＣ７８などに出力するものであり、申請日２４５１、申請者名２４５２、ファイル２４５３、持出し日２４５４、持出先２４５５、持出し理由２４５６、持出し方法２４５７、要確認項目２４５８、さらにファイルのプレビュー２４６１、不適切表現指定ボタン２４６３、却下理由２４６４、差し戻し・却下理由などのコメント記述欄２４６５の各データを含む画面データである。
【０１８１】
前記要確認項目２４５８には、リスクの高いオブジェクトの種類だけではなく、過去承認／却下されたファイルのうち最も類似しているファイルが表示される（後述する図２８のフローにて承認管理サーバ１９３が実行する処理で特定し設定する）。また、最も類似したファイルが却下されたファイルであった場合、その却下案件の却下理由（例：承認管理ＤＢ１９４２が却下理由の欄を備え、却下案件についてその却下理由のデータを保持している。承認管理サーバ１９３はこの承認管理ＤＢ１９４２から却下理由のデータを抽出して前記詳細画面２３３に設定）まで示すことにより、承認者が承認判断をする参考とすることができる。例えば、図に示した例では、該当申請案件が、過去に却下したファイルに最も類似しており、その却下理由は「個人情報のため」としている。承認者は、類似した案件のファイル持ち出し先と本申請のファイル持ち出し先、また類似した案件との差分を確認することによって、両者に大きな違いがないのであれば類似案件同様却下、ファイル持ち出し先や表現の違いにより承認、などの判断を行うことができる。
【０１８２】
また、前記承認管理サーバ１９３は、前記プレビュー２４６１にて、前記承認待ち一覧画面２３０で表示したプレビュー画面を該当ファイルにおけるページごとに表示する。さらに、個人情報や企業名などファイルに含まれる情報漏えいリスクの高いオブジェクトをハイライト２４６２で表示する。これにより、承認者はプレビュー画面２４６１のどこを注意して確認すればよいかがわかる。なお、承認者が「確認必要順」ボタン２４５９を押下すると、承認管理サーバ１９３は、確認する優先度の高い順（例：上方漏洩リスクの高いオブジェクトが含まれる数が多い順など）にプレビュー画面の並び替えを行う。また、前記承認者が「ページ順」ボタン２４６０を押下すると、承認管理サーバ１９３は、前記プレビュー画面をページ順に表示する。また、承認者が「ファイルを開く」ボタン２４６６を押下することにより、前記承認管理サーバ１９３は、申請案件のファイルを記憶手段から読み出してクライアント７０やノートＰＣ７８などに出力し、承認者におけるファイル内容の確認に供する。
【０１８３】
一方、前記承認者は、承認／却下／差戻のいずれかの判断を選択し、「承認」２４７１、「却下」２４７２、「差戻」２４７３、のいずれかのボタンを押下することによって承認判断を終了する。なお、前記承認判断が「却下」あるいは「差し戻し」の場合、前記承認管理サーバ１９３は、クライアント７０やノートＰＣ７８などを介した承認者による理由入力を、コメント２４６５の欄にて受け付ける。こうした理由入力を受け付けた承認管理サーバ１９３は、前記理由のデータを利用者のクライアント７０やノートＰＣ７８などに送信することで、承認者が「差し戻し」や「却下」の判断を行った理由を利用者に通知することができる。
【０１８４】
また、承認者が不適切表現指定ボタン２４６３を押下して（例えば、範囲指定用のカーソルなどを承認管理サーバ１９３がクライアント７０やノートＰＣ７８などに出力する）、プレビュー画面２４６１上のオブジェクトの範囲を指定した場合、承認管理サーバ１９３はこの範囲指定を受け付けて、前記承認者が不適切な表現と感じたオブジェクトの情報を取得することができる。承認管理サーバ１９３は、前記範囲指定の情報を利用者のクライアント７０やノートＰＣ７８などに送信することで、前記承認者が漏洩リスクが高いと判断した表現がどの部分であったか利用者に教えることができる。
【０１８５】
さらに、却下理由２４６４では、却下理由として表現に不適切なものがあったのか、あるいは漏洩リスク上、内容上に不適切なものがあったのかを承認者に選択させることができる。例えば、申請された内容が組織内だけで共有すべき機密情報であった場合、承認者は「内容上不適切」にチェックをする。承認管理サーバ１９３は前記承認者のクライアント７０やノートＰＣ７８などから前記却下理由２４６４でのチェック内容を受け付けて、表現の有無に関わらず内容上漏洩リスクが高いと判断し、申請を却下したことを利用者に通知する（としてもよい）。なお、前記承認者が実施するコメントの記入や指摘は「承認結果」であり、前記照合用ＤＢ１９４３の更新に用いられる（次回以降の申請時に反映される）。
【０１８６】
なお、以上述べた各画面の表示項目については、承認者自身で表示する項目をカスタマイズすることも可能である。また、前記承認待ち一覧画面２３０は承認者が携帯電話を用いて承認操作を行なってもよい。また、ファイルを詳細に確認する必要がある場合には、事前に登録しておいた代理人に承認を依頼することもできる。
【０１８７】
・処理フローの例：
まず図２６にて、利用者によるファイルの持出し申請の流れについて説明する。利用者の持出し申請の受付処理に係るインタフェースは承認管理サーバ１９３の前記承認管理プログラム１９３１が、利用者のクライアント７０やノートＰＣ７８などに提示する（以下、クライアント７０）。
まず、ファイルを組織外に持ち出す利用者がクライアント７０により承認管理サーバ１９３にアクセスし、ログイン処理を指示したとする。すると前記クライアント７０はこの指示を受けて前記承認管理サーバ１９３に対するログイン処理を実行する（２５０１）。
【０１８８】
一方、前記承認管理サーバ１９３の承認管理プログラム１９３１は、図２４で例示した申請画面２２０のデータをクライアント７０に返信する（２５０２）。なお、図２４で述べたように、利用者がクライアント７０の申請管理プログラム１９１１を利用し、クライアント７０がコンテキストメニューから承認管理プログラム１９３１にアクセスした場合、前記承認管理プログラム１９３１が利用者のＩＤと選択されているファイルパスを入力した状態の申請画面のデータを返す。
【０１８９】
次に、利用者が前記申請画面２２０の入力項目のうち「履歴から入力」ボタン２２２３を押下したとする。前記クライアント７０はこの押下事象を受け付けて（２５０３：Ｙ）、前記承認管理サーバ１９３に通知を行う。この時、の承認管理プログラム１９３１は、ログインしているユーザ＝前記利用者のユーザＩＤをキーとし、前記取引先リスト１９４１および前記承認管理ＤＢ１９４２のメール受信テーブル２１０２を参照し、持出先候補リストを生成する（２５０４）。そしてこの持出先候補リストのデータを含む持出先候補画面（図２４参照）のデータを生成してクライアント７０に送る（２５０５）。
【０１９０】
前記利用者が前記申請画面２２０の入力項目を全て入力し、申請ボタン２２３１を押下すると（２５０６）、クライアント７０は前記申請画面２２０での入力データを承認管理サーバ１９３に送信する（２５０７）。他方、前記承認管理サーバ１９３の承認管理プログラム１９３１は前記入力データを受信する。そして、前記入力データを前記持出しルールＤＢ１９４４に照合し、申請内容に不備（例：「社外秘」など無条件で持ち出しが禁止される内容が最初から含まれている等）がないか特定する（２５０８）。
【０１９１】
また、前記承認管理プログラム１９３１は、前記ステップ２５０８に続き、前記利用者の申請内容の確認画面を前記クライアント７０に送信する（２５０９）。なお、前記ステップ２５０８で申請に不備があることが特定された場合、前記承認管理プログラム１９３１は、前記ステップ２５０９で送信する確認画面において不備がある項目を例えば強調表示する。この場合、前記クライアント７０は前記確認画面のデータを承認管理サーバ１９３から受信して表示し、該当箇所に関する修正を利用者から受け付ける（２５１０：Ｙ、２５１１）。この場合、フローは前記ステップ２５０６に戻る。一方、前記ステップ２５０８で申請に不備が無いと判定された場合（２５１０：Ｎ）、前記クライアント７０は利用者から申請ボタンの押下を受け付ける（２５１２）。
【０１９２】
これにより、申請内容および申請するファイルがクライアント７０から承認管理サーバ１９３に対し送信される（２５１３）。前記承認管理サーバ１９３の承認管理プログラム１９３１は、前記クライアント７０から送信されてくるデータを受信して承認管理ＤＢ１９４２に格納し、該当ファイルに関する組織外持ち出し申請を受け付けることになる（２５１４）。
【０１９３】
続いて図２７に基づき、ファイルの持出し申請に対する承認処理の流れについて説明する。この場合、図２６のフローに関し述べたように、前記クライアント７０は、利用者による申請画面２２０での申請ボタン押下を受け付けて（２７０１）申請内容および申請するファイルを承認管理サーバ１９３に送信する（２７０２）。前記承認管理サーバ１９３の承認管理プログラム１９３１はこれを受信する。
【０１９４】
次に、前記承認管理プログラム１９３１は、申請された持出先について取引先リスト１９４１を参照し、相手先登録情報を取得する（２７０３）。そして、相手先用の照合用ＤＢ１９４３の有無を特定する（２７０４）。なお、新規申請の場合には相手先別の照合用ＤＢ１９４３は存在しないため、前記汎用ＤＢ２１０４のみを用いてファイルの識別を行うこととする。
【０１９５】
次に、前記承認管理プログラム１９３１は、前記申請内容（と前記承認管理ＤＢ１９４２の“ステータス”）から保留案件（図２６の前記ステップ２５１０で“不備あり”となって再申請に回された案件）かを特定し（２７０５）、該当件が保留案件の場合（２７０５：Ｙ）、保留された前回のファイルをファイル識別プログラム１９３２に送信する（２７０６）。そして、申請されたファイルもファイル識別プログラム１９３２に送信する（２７０７）。
【０１９６】
一方、前記ファイル識別プログラム１９３２においてファイル識別処理が行われると（２７０８）、その識別結果が承認管理プログラム１９３１に送信される（２７０９）。なお、ファイル識別プログラム１９３２の詳細な動作フローについては図２８で述べる。
【０１９７】
前記承認管理プログラム１９３１がファイル識別プログラム１９３２から識別結果を受け取ると、前記持出しルールＤＢ１９４４を参照し、要確認項目を抽出する（２７１０）。前記持出しルールＤＢ１９４４には、持出し時におけるファイル形式や持出し方法などの組み合わせにおいて許可あるいは不許可のルールが記載されている。これは管理者や承認者が事前にＤＢ管理プログラム１９３４を通じて更新するものであり、組織全体や部署などの小規模な単位での設定も可能である。例えば、（１）取引先リスト１９４１に登録されていない持出しについてはファイルの詳細確認が必要、（２）ファイル形式がＤＲＭ以外の場合は理由の記載が必須、といったルールが定義される。
【０１９８】
要確認項目を抽出した前記承認管理プログラム１９３１は、承認者３のクライアント７０等に承認依頼を通知する（２７１１）。前記承認者のクライアント７０は、承認者の指示を受けて承認管理プログラム１９３１を利用し、承認管理プログラム１９３１と通信し、前記承認依頼に対応する申請案件の内容を読み出して表示させる（２７１２、２７１３）。前記承認者が前記クライアント７０にて閲覧する承認待ち一覧画面２３０については図２５で説明したとおりである。
【０１９９】
前記承認者が承認／却下／保留のいずれかの判断を前記クライアント７０で入力すると、該当クライアント７０はこの判断結果を前記承認管理プログラム１９３１に送信する（２７１４）。この時、前記承認管理プログラム１９３１は前記判断結果を受信し、その内容が却下あるいは保留であるか判定する。前記内容が「却下」あるいは「保留」である場合（２７１５：Ｎ）、前記承認管理プログラム１９３１は、前記利用者のクライアント７０に申請が不許可となった通知を送信する（２７１６）。なお、この通知はメールなどを利用して利用者に通知してもよいし、前記承認管理プログラム１９３１に前記利用者のクライアント７０がアクセスすると承認ステータスを表示させるようにしてもよい。
【０２００】
他方、前記承認者の判断が「承認」であった場合（２７１５：Ｙ）、前記承認管理プログラム１９３１はファイル変換プログラム１９３５に対して該当ファイルを送信し、承認されたファイル形式に変換させる（２７１７）。さらに、承認管理プログラム１９３１は前記ＤＢ管理プログラム１９３４に承認結果を送信して照合用ＤＢ１９４３における該当オブジェクトの取り扱い情報を最新の判断結果に更新させる（２７１８）。なお、前記ファイル変換プログラム１９３５ではファイル形式を変換すると共に、承認されたファイルであることを識別可能な属性情報を埋め込む。これにより、クライアント７０に当該ファイルがダウンロードされた場合に、申請管理プログラム１９１１が当該ファイルを識別し色づけして表示するため、クライアント７０に格納されたファイルのうち、どれが承認されたファイルなのかを一目で把握することができる。
【０２０１】
前記ファイル変換プログラム１９３５でのファイル変換が完了すると、前記承認管理プログラム１９３１は承認管理ＤＢ１９４２（における“ステータス”など）を更新し（２７１９）、承認結果を利用者のクライアント７０に通知する（２７２０）。前記利用者のクライアント７０が承認管理サーバ１９３にアクセスして（２７２１）、持出し用の形式に変換されたファイルをダウンロードすると（２７２２）、利用者は持出しが可能となる。その後の持出しにおけるコントロールの詳細な処理については、実施例１に示したとおりである。
【０２０２】
続いて、図２８に基づきファイル識別プログラム１９３２の処理フローについて説明する。ファイル識別プログラム１９３２は、承認管理プログラム１９３１より、申請対象のファイルを取得し（２８１１）、申請ファイルの構造を分析する（２８１２）。この申請ファイルの構造分析では、ファイルにおけるヘッダフッタ情報やテンプレート情報（例：ファイル作成に利用している書式ひな形等）、テキスト情報などをページ単位で取得しメモリ等に格納しておく。さらに、前記申請対象のファイルと類似した他ファイルを特定するために、申請対象のファイルのハッシュ値を取得する。また、ファイル形式などにより構造を分析できなかったファイルについては、前記ステップ２８１２において、前記ファイル識別プログラム１９３２は承認管理プログラム１９３１にエラーを返し、処理を終了する。
【０２０３】
次に、前記ファイル識別プログラム１９３２は、申請が一度承認者に保留された案件である場合（２８１３：Ｙ）、保留された案件のファイルを記憶手段中から取得し（２８１４）、保留案件ファイルと今回の申請ファイルとの差分を特定する（２８１５）。
【０２０４】
また、新規申請の場合は（２８１３：Ｎ）、前記ファイル識別プログラム１９３２は、同じ持出先に対して持出し申請を行った履歴ファイルや過去却下されたファイルなどを承認管理ＤＢ１９４２から抽出し、ここで抽出したもののうちから前記申請対象のファイルと最も類似するファイルを特定する（２８１６）。類似の判断基準としては、前記構造分析（ステップ２８１２）で得ておいた、ファイルにおけるページ単位のヘッダフッタ情報やテンプレート情報（例：ファイル作成に利用している書式ひな形等）、テキスト情報などであり、前記ファイル識別プログラム１９３２は、これらについて一致するもの（であり、同じ持出先に対して持出し申請を行ったものや過去却下されたものなど）を前記承認管理ＤＢ１９４２で検索する。こうした類似した他ファイルの特定を行ったファイル識別プログラム１９３２は、前記特定した他ファイルと前記申請対象ファイルとの差分を特定する（２８１７）。この差分特定により、例えば、前記他ファイルにおいても、同じ単語や文章が同じページ位置などに入力されているといった部分を特定しておくことで、過去において既に承認判断がなされたオブジェクト（＝他ファイルにおいて前記申請対象のファイルのオブジェクトと一致するオブジェクト）、に関しては新たな承認判断を省くことが出来る。なお、類似度が高いファイルがなかった場合には、差分取得処理を行わずに次の処理を実行する（２８２２）。
【０２０５】
次に、前記ファイル識別プログラム１９３２は、分析した申請対象のファイルのうち、１ページのデータを選択し（２８１８）、照合用ＤＢ１９４３を参照して前記ステップ２８１７で特定した差分部分における利用禁止オブジェクト（例：“極秘”などのテキスト）の有無と、利用禁止オブジェクトが含まれていた場合にはページ内の位置（例：該当ページの○○行目○○番目）を特定し、前記特定した検出位置をハイライトなどで強調表示する（２８１９）。なお、前記照合用ＤＢ１９４３は、セキュリティ用語や人名、企業名、相手先個別のＤＢなど複数に分類しておき、ＤＢごとに照合を行った結果を識別できるように保持しておくとよい。
【０２０６】
前記ファイル識別プログラム１９３２は、前記申請対象のファイルにおける全ページについて前記ステップ２８１９の処理を行うと（２８２０：Ｙ）、前記検出した利用禁止オブジェクトの数をページ単位で比較し、利用禁止オブジェクトを含む数の多い順にページをリストアップする。これによって確認必要順を決定し（２８２１）、承認管理プログラム１９３１に結果（図２５の詳細画面２３３における、プレビュー２４６１での確認必要順２４５９が押下された場合の表示形態）を送信して終了する。
【０２０７】
以上、ファイル識別プログラム１９３２では、既に承認（ないし却下）された他ファイルと申請対象のファイルとの差分を特定することにより、これまで持出し許可されたファイルにはない特徴を絞り込みし、さらに利用禁止オブジェクトの有無を検出することで承認者が確認すべきポイントを絞り込みすることができる。さらに、ページ単位でオブジェクトの検出数を比較し、検出数に基づいて確認優先順をつけることにより、承認者が確認すべきページを効率よく提示することができる。さらに、利用禁止オブジェクトの種類ごとに検出位置を特定することにより、ページのどの部分がどのカテゴリでリスクがあるのかを一目でわかるようにすることができる。
【０２０８】
次に、図２９に基づき前記ＤＢ管理プログラム１９３４の処理フローについて説明する。前記ＤＢ管理プログラム１９３４は、承認判断が完了したときに承認結果にもとづいて照合用ＤＢ１９４３の更新を行うプログラムである。この場合、前記承認管理プログラム１９３１で承認者による承認結果を受信したのち（図２７の２７１８）、ＤＢ管理プログラムは承認結果とファイル識別プログラム１９３２で分析した分析データとを取得する（２４１）。前記承認結果は、持出先の登録情報と承認／却下／保留のうちいずれかの承認結果を含む。また、前記分析データは、申請対象のファイルの構造データやテキスト情報などに加えて、照合用ＤＢ１９４３での利用禁止オブジェクトなどに該当するとして検出されたオブジェクトとその検出件数を含む。
【０２０９】
次に、前記ＤＢ管理プログラム１９３４は、前記承認結果から取得した持出先登録情報（例えば、持ち出し先の会社名やそのメールアドレス）より、持出先用の照合用ＤＢ１９４３が存在するか特定する（２４２）。持出先用の照合用ＤＢ１９４３が存在しない場合（２４２：Ｎ）、前記ＤＢ管理プログラム１９３４は新たに照合用ＤＢ１９４３を作成する（２４３）。
【０２１０】
続いて前記ＤＢ管理プログラム１９３４は、前記承認管理プログラム１９３１から取得した分析データについて、検出されたオブジェクトを検出数順に並び替えてリスト化する（２４４）。また前記ＤＢ管理プログラム１９３４は、前記承認結果が「承認」だった場合（２４５：Ｙ）、検出されたオブジェクトを利用可能オブジェクトとして持出先用の照合用ＤＢ１９４３に登録する（２４６）。
【０２１１】
他方、前記承認結果が「却下」だった場合（２４５：Ｎ、２４７）、検出されたオブジェクトを利用不可オブジェクトとして持出先用の照合用ＤＢ１９４３に登録する（２４８）。このとき登録するデータは、却下理由が「内容上不適切」であった場合とし、前記詳細画面２３３（図２５）において承認者が「不適切」と選択したオブジェクトがある場合は選択した部分のみ登録を行う。これは、句読点や漢字のミスなど表現上の不適切な部分については照合用ＤＢ１９４３へのオブジェクトの登録が不要であるためである。
【０２１２】
続いて、前記ＤＢ管理プログラム１９３４は、前記ステップ２４６、２４８らにおいて、検出された全てのオブジェクトを照合用ＤＢ１９４３に登録すると、現在承認管理サーバ１９３に登録されている持出先別の照合用ＤＢ１９４３を比較し（２４９）、あらかじめ設定しておいた閾値以上の割合で各照合用ＤＢ１９４３に登録されたオブジェクトがあった場合には（２５０：Ｙ）、汎用ＤＢ２１０４に登録する（２５１）。これにより、契約などにより相手先と共有しても問題ないオブジェクト等は相手先別の照合用ＤＢ１９４３で管理しておき、一方、統一的に管理されるべきオブジェクト（ファイル等を跨って共通に取り扱われるべきオブジェクト）については汎用ＤＢ２１０４で管理することができる。そのため、ファイルの持出先に合わせて、検出すべきオブジェクトを設定し、それを洗練させていくことができる。
【０２１３】
以上述べた第３実施例により、第１実施例および第２実施例に加えて、承認時に承認者が持出し申請されたファイルを持出してよいか判断しやすくなり、さらに、判断ミスを少なくすることが可能となる。
【０２１４】
以上、３つの実施例について説明したが、上記実施例に限定されるものではなく、その要旨を逸脱しない範囲において種々の変形が可能であるし、各実施例を組み合わせても良い。
【符号の説明】
【０２１５】
１：利用者、２：管理者、３：承認者、１０：ポリシー設定サーバ、１１：ポリシー設定プログラム、１２：ポリシー配信プログラム、１３：ポリシーリスト、１４：端末ログ、２０：状態管理サーバ、２１：状態管理プログラム、２２：認証プログラム、２３：ラベル管理リスト、２４：状態管理リスト、２５：復号鍵リスト、２６：端末ログ、３０：ログ管理サーバ、３１：ログ解析プログラム、３２：収集ログ、４０：ネットワーク、４１：インターネットサーバ、４２：インターネット、４３：電子メール、５０：センサ、５１：センサログ取得プログラム、５２：センサログ、６０：プリンタ、７０：クライアント、７２：監視・制御プログラム、７３：ポリシーリスト、７４：ラベル管理テーブル、７５：端末ログ、７６：ＩＣカード、７７：可搬媒体、７８：ノートＰＣ、７８１：監視・制御プログラム、７８２：認証プログラム、７８３：通信プログラム、７８１３：ラベル管理テーブル、７８１４：ポリシーリスト、７８１５：端末ログ、７９：携帯電話、７９１：認証プログラム、７９２：ログイン情報、７９３：通信プログラム、８０：文書管理サーバ、８１：ラベル割当プログラム、８２：監視・制御プログラム、８４：ラベル管理リスト、８５：端末ログ、９０：ＩＤ管理システム、９１：ユーザリスト、１００：資産管理システム、１０１：資産リスト、１９２：メールサーバ、１９２１：メールログ、１９１１：申請管理プログラム、１９３：承認管理サーバ、１９３１：承認管理プログラム、１９３２：ファイル識別プログラム、１９３４：ＤＢ管理プログラム、１９３５：ファイル変換プログラム、１９４１：取引先リスト、１９４２：承認管理ＤＢ、１９４３：照合用ＤＢ、１９４４：持出しルールＤＢ、７８０１：申請管理プログラム
【特許請求の範囲】
【請求項１】
ファイルにラベルを割り当て、情報漏洩につながる操作を制限するファイル管理システムにおいて、
少なくともポリシーを設定するポリシー設定手段と、
前記ポリシーを監視・制御手段を備えるクライアントに配信するポリシー配信手段と、
利用者の通過時に利用者を識別するセンサと、
前記センサから取得した情報を一元管理して利用者の所在を特定する状態管理手段と、
ファイルにラベルを割り当てることにより前記ポリシーを対応付けするラベル割当手段と、を備え、
前記監視・制御手段は、利用者のファイル操作時にファイルに割り当てたラベルを特定し、利用者の所在および利用者の属性およびファイルの格納場所を元にラベルとポリシーとを照合し、操作の実行を許可する、
ことを特徴とするファイル管理システム。
【請求項２】
請求項１に記載のファイル管理システムにおいて、
前記ポリシーには、情報のカテゴリとレベルの組合せをラベルとし、ラベル単位で操作ごとの実行条件と共有先とを設定することを特徴とするファイル管理システム。
【請求項３】
請求項２に記載のポリシーにおいて、
前記ポリシーには、少なくともファイルの利用者と、格納場所と、利用場所と、を前記実行条件として指定することを特徴とするファイル管理システム。
【請求項４】
請求項１に記載のファイル管理システムにおいて、
前記ポリシー設定手段は、
前記ポリシーを設定するときに、操作を実行するための条件一覧を表形式で表示し、設定者が指定したい条件のみを押下させることにより条件を設定することを特徴とするファイル管理システム。
【請求項５】
請求項１に記載のファイル管理システムにおいて、
前記ラベル割当手段は、
利用者がファイルに割り当てたラベルに設定されたポリシーをファイルに適用することを特徴とするファイル管理システム。
【請求項６】
請求項５に記載のファイル管理システムにおいて、
前記ラベル割り当て手段は、
利用者がファイルにラベルを割り当てるときに、前記利用者が操作を実行できないラベルを非表示とすることを特徴とするファイル管理システム。
【請求項７】
請求項５に記載のファイル管理システムにおいて、
前記ラベル割り当て手段は、
承認者が利用者の割り当てたラベルを承認するときに、類似するラベルを表示することにより、ラベルが適切かどうかを判断しやすくすることを特徴とするファイル管理システム。
【請求項８】
請求項１に記載のファイル管理システムにおいて、
前記クライアントの前記監視・制御手段は、
ポリシーに一意に特定可能な共有先の条件を指定しておき、条件を満たす場合に操作を実行させることで、情報漏洩あるいは過失や故意のファイル転送を防止することを特徴とするファイル管理システム。
【請求項９】
請求項１に記載のファイル管理システムにおいて、
前記クライアントの前記監視・制御手段は、
ラベルが未設定のファイルを社外秘扱いとするポリシーを設定し、ラベルを割り当てていないファイルの持ち出しを制御することを特徴とするファイル管理システム。
【請求項１０】
請求項９に記載のファイル管理システムにおいて、
前記クライアントの前記監視・制御手段は、
ポリシー配信手段ならびに状態管理手段とネットワーク通信できない場合には、ラベルが割り当てられたファイルに対してもラベル未設定のポリシーを適用することを特徴とするファイル管理システム。
【請求項１１】
請求項１に記載のファイル管理システムにおいて、
前記クライアントの前記監視・制御手段は、
ファイル操作を行う位置情報を操作の実行条件とし、利用者の入退室情報と連携することにより、適切でない利用環境からのファイル操作を制御することを特徴とするファイル管理システム。
【請求項１２】
請求項１１に記載のファイル管理システムにおいて、
前記クライアントの前記監視・制御手段は、
利用者がファイルを持ち出す場合に、承認者から承認を得た後に暗号化する状態管理手段と、前記利用者の位置情報を計測し、状態管理手段と通信可能な通信手段を備え、状態管理手段と通信して位置情報が適切であった場合には復号条件を取得し、ファイルを格納した可搬媒体と通信して復号条件を送信する携帯電話と、復号条件を用いて持ち出したファイルでも特定の利用環境で操作可能とすることを特徴とするファイル管理システム。
【請求項１３】
請求項１１に記載のファイル管理システムにおいて、
前記状態管理手段は、
ファイルを持ち出す前に持ち出し期限を設定させ、情報を削除するまで持ち出し期限を保持し、持ち出し期限を過ぎた情報を検知することを特徴とするファイル管理システム。
【請求項１４】
請求項１に記載のファイル管理システムにおいて、
前記クライアントの前記監視・制御手段は、
ラベルが未設定のファイルを職制上同じ役職あるいは上位の役職宛であれば共有するポリシーを設定し、ラベルを割り当てていないファイルの持ち出しを制御することを特徴とするファイル管理システム。
【請求項１５】
情報の種類を示すカテゴリと機密レベルの組合せデータであるラベルをファイルに割り当て、情報漏洩につながる操作を制限するファイル管理システムであって、
オブジェクトの属性情報および取り扱い情報を格納するオブジェクト登録データベースを記憶する記憶手段と、
ラベルの申請受付時ないしファイルの持出し申請受付時において、申請を受け付けたファイルにおける利用禁止オブジェクトの有無を、前記オブジェクト登録データベースにおける前記取り扱い情報に基づき特定するファイル識別手段と、
前記ラベルの申請ないしファイルの持出し申請に対する承認結果を他端末ないし入力手段から得て、前記オブジェクト登録データベースにおける該当オブジェクトに関する取り扱い情報を更新するＤＢ管理手段と、
を備えることを特徴とするファイル管理システム。
【請求項１６】
請求項１５に記載のファイル管理システムにおいて、
前記ＤＢ管理手段は、承認結果を受信したときに前記オブジェクト登録データベースを更新することを特徴とするファイル管理システム。
【請求項１７】
請求項１５に記載のファイル管理システムにおいて、
前記オブジェクト登録データベースは、ラベルごとにファイルのオブジェクトを登録したデータベースと、ファイルを持出した履歴のある相手先ごとにオブジェクトを登録したデータベースと、ファイルおよびラベルを問わないオブジェクトを登録したデータベースとを含む、ことを特徴とするファイル管理システム。
【請求項１８】
請求項１５に記載のファイル管理システムにおいて、
前記ファイル識別手段は、前記申請を受け付けたファイルについて、ページ構成と該当ページにおけるテキストの位置とオブジェクトの位置とを特定し、ここで前記ファイルについて特定した事項に関して類似する他ファイルを、前記オブジェクト登録データベースの属性情報に基づき特定し、前記ファイルと他ファイルとの差分を取得して、前記取得した差分において前記オブジェクト登録データベースに登録されたオブジェクトの有無を検出し出力手段ないし他端末に出力する、ことを特徴とするファイル管理システム。
【請求項１】
ファイルにラベルを割り当て、情報漏洩につながる操作を制限するファイル管理システムにおいて、
少なくともポリシーを設定するポリシー設定手段と、
前記ポリシーを監視・制御手段を備えるクライアントに配信するポリシー配信手段と、
利用者の通過時に利用者を識別するセンサと、
前記センサから取得した情報を一元管理して利用者の所在を特定する状態管理手段と、
ファイルにラベルを割り当てることにより前記ポリシーを対応付けするラベル割当手段と、を備え、
前記監視・制御手段は、利用者のファイル操作時にファイルに割り当てたラベルを特定し、利用者の所在および利用者の属性およびファイルの格納場所を元にラベルとポリシーとを照合し、操作の実行を許可する、
ことを特徴とするファイル管理システム。
【請求項２】
請求項１に記載のファイル管理システムにおいて、
前記ポリシーには、情報のカテゴリとレベルの組合せをラベルとし、ラベル単位で操作ごとの実行条件と共有先とを設定することを特徴とするファイル管理システム。
【請求項３】
請求項２に記載のポリシーにおいて、
前記ポリシーには、少なくともファイルの利用者と、格納場所と、利用場所と、を前記実行条件として指定することを特徴とするファイル管理システム。
【請求項４】
請求項１に記載のファイル管理システムにおいて、
前記ポリシー設定手段は、
前記ポリシーを設定するときに、操作を実行するための条件一覧を表形式で表示し、設定者が指定したい条件のみを押下させることにより条件を設定することを特徴とするファイル管理システム。
【請求項５】
請求項１に記載のファイル管理システムにおいて、
前記ラベル割当手段は、
利用者がファイルに割り当てたラベルに設定されたポリシーをファイルに適用することを特徴とするファイル管理システム。
【請求項６】
請求項５に記載のファイル管理システムにおいて、
前記ラベル割り当て手段は、
利用者がファイルにラベルを割り当てるときに、前記利用者が操作を実行できないラベルを非表示とすることを特徴とするファイル管理システム。
【請求項７】
請求項５に記載のファイル管理システムにおいて、
前記ラベル割り当て手段は、
承認者が利用者の割り当てたラベルを承認するときに、類似するラベルを表示することにより、ラベルが適切かどうかを判断しやすくすることを特徴とするファイル管理システム。
【請求項８】
請求項１に記載のファイル管理システムにおいて、
前記クライアントの前記監視・制御手段は、
ポリシーに一意に特定可能な共有先の条件を指定しておき、条件を満たす場合に操作を実行させることで、情報漏洩あるいは過失や故意のファイル転送を防止することを特徴とするファイル管理システム。
【請求項９】
請求項１に記載のファイル管理システムにおいて、
前記クライアントの前記監視・制御手段は、
ラベルが未設定のファイルを社外秘扱いとするポリシーを設定し、ラベルを割り当てていないファイルの持ち出しを制御することを特徴とするファイル管理システム。
【請求項１０】
請求項９に記載のファイル管理システムにおいて、
前記クライアントの前記監視・制御手段は、
ポリシー配信手段ならびに状態管理手段とネットワーク通信できない場合には、ラベルが割り当てられたファイルに対してもラベル未設定のポリシーを適用することを特徴とするファイル管理システム。
【請求項１１】
請求項１に記載のファイル管理システムにおいて、
前記クライアントの前記監視・制御手段は、
ファイル操作を行う位置情報を操作の実行条件とし、利用者の入退室情報と連携することにより、適切でない利用環境からのファイル操作を制御することを特徴とするファイル管理システム。
【請求項１２】
請求項１１に記載のファイル管理システムにおいて、
前記クライアントの前記監視・制御手段は、
利用者がファイルを持ち出す場合に、承認者から承認を得た後に暗号化する状態管理手段と、前記利用者の位置情報を計測し、状態管理手段と通信可能な通信手段を備え、状態管理手段と通信して位置情報が適切であった場合には復号条件を取得し、ファイルを格納した可搬媒体と通信して復号条件を送信する携帯電話と、復号条件を用いて持ち出したファイルでも特定の利用環境で操作可能とすることを特徴とするファイル管理システム。
【請求項１３】
請求項１１に記載のファイル管理システムにおいて、
前記状態管理手段は、
ファイルを持ち出す前に持ち出し期限を設定させ、情報を削除するまで持ち出し期限を保持し、持ち出し期限を過ぎた情報を検知することを特徴とするファイル管理システム。
【請求項１４】
請求項１に記載のファイル管理システムにおいて、
前記クライアントの前記監視・制御手段は、
ラベルが未設定のファイルを職制上同じ役職あるいは上位の役職宛であれば共有するポリシーを設定し、ラベルを割り当てていないファイルの持ち出しを制御することを特徴とするファイル管理システム。
【請求項１５】
情報の種類を示すカテゴリと機密レベルの組合せデータであるラベルをファイルに割り当て、情報漏洩につながる操作を制限するファイル管理システムであって、
オブジェクトの属性情報および取り扱い情報を格納するオブジェクト登録データベースを記憶する記憶手段と、
ラベルの申請受付時ないしファイルの持出し申請受付時において、申請を受け付けたファイルにおける利用禁止オブジェクトの有無を、前記オブジェクト登録データベースにおける前記取り扱い情報に基づき特定するファイル識別手段と、
前記ラベルの申請ないしファイルの持出し申請に対する承認結果を他端末ないし入力手段から得て、前記オブジェクト登録データベースにおける該当オブジェクトに関する取り扱い情報を更新するＤＢ管理手段と、
を備えることを特徴とするファイル管理システム。
【請求項１６】
請求項１５に記載のファイル管理システムにおいて、
前記ＤＢ管理手段は、承認結果を受信したときに前記オブジェクト登録データベースを更新することを特徴とするファイル管理システム。
【請求項１７】
請求項１５に記載のファイル管理システムにおいて、
前記オブジェクト登録データベースは、ラベルごとにファイルのオブジェクトを登録したデータベースと、ファイルを持出した履歴のある相手先ごとにオブジェクトを登録したデータベースと、ファイルおよびラベルを問わないオブジェクトを登録したデータベースとを含む、ことを特徴とするファイル管理システム。
【請求項１８】
請求項１５に記載のファイル管理システムにおいて、
前記ファイル識別手段は、前記申請を受け付けたファイルについて、ページ構成と該当ページにおけるテキストの位置とオブジェクトの位置とを特定し、ここで前記ファイルについて特定した事項に関して類似する他ファイルを、前記オブジェクト登録データベースの属性情報に基づき特定し、前記ファイルと他ファイルとの差分を取得して、前記取得した差分において前記オブジェクト登録データベースに登録されたオブジェクトの有無を検出し出力手段ないし他端末に出力する、ことを特徴とするファイル管理システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２７】
【図２８】
【図２９】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２７】
【図２８】
【図２９】
【公開番号】特開２０１０−１５５４２（Ｐ２０１０−１５５４２Ａ）
【公開日】平成２２年１月２１日（２０１０．１．２１）
【国際特許分類】
【出願番号】特願２００９−９３３２３（Ｐ２００９−９３３２３）
【出願日】平成２１年４月７日（２００９．４．７）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．Ｂｌｕｅｔｏｏｔｈ
【出願人】（０００００５１０８）株式会社日立製作所 (27,607)
【Ｆターム（参考）】
【公開日】平成２２年１月２１日（２０１０．１．２１）
【国際特許分類】
【出願日】平成２１年４月７日（２００９．４．７）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．Ｂｌｕｅｔｏｏｔｈ
【出願人】（０００００５１０８）株式会社日立製作所 (27,607)
【Ｆターム（参考）】
[ Back to top ]