利用対象情報管理装置及び利用対象情報管理方法ならびにそのプログラム
【課題】持出されたデータの利用条件のリアルタイムな変更を、そのデータの利用時に即時に適用することができるとともに、持出されたデータの利用の管理責任の所在を迅速に特定することのできる利用対象情報管理装置を提供する。
【解決手段】持出しパッケージデータを生成し、組織内端末へ送信する。また持出しパッケージデータに格納された利用対象情報の利用時に、組織外端末より利用条件情報を受信し、その情報に基づく利用対象情報の利用可否の判定が利用可である場合に、組織外端末へ利用対象情報を復号する復号鍵を送信する。また、利用対象情報の利用中に利用情報を受信し、その情報が記憶する利用条件に合致しない場合には利用対象情報の利用を制限する。また、利用対象情報の管理者の秘密鍵と利用対象情報の利用者の公開鍵とを用いて２重暗号化した復号鍵を組織外端末へ送信する。
【解決手段】持出しパッケージデータを生成し、組織内端末へ送信する。また持出しパッケージデータに格納された利用対象情報の利用時に、組織外端末より利用条件情報を受信し、その情報に基づく利用対象情報の利用可否の判定が利用可である場合に、組織外端末へ利用対象情報を復号する復号鍵を送信する。また、利用対象情報の利用中に利用情報を受信し、その情報が記憶する利用条件に合致しない場合には利用対象情報の利用を制限する。また、利用対象情報の管理者の秘密鍵と利用対象情報の利用者の公開鍵とを用いて２重暗号化した復号鍵を組織外端末へ送信する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、利用者の属する組織に接続された組織内端末と、前記組織に属さない組織外端末とで利用される利用対象情報を管理する利用対象情報管理装置及び利用対象情報管理方法ならびにそのプログラムに関する。
【背景技術】
【０００２】
従来、組織外部に持出されるファイルの改竄・漏洩の防止に関する技術や、利用条件に基づいてファイルの利用制限を行う技術が特許文献１〜特許文献４に公開されている。また秘密鍵や公開鍵等を用いてファイルを暗号化して他の装置へ送信する技術が特許文献５に公開されている。ここで、特許文献１は、利用者が既存アプリケーションで作成された機密情報ファイルを、組織外部に持出して追加編集作業を行うことができるが、一旦格納された機密情報はファイル内部に閉じ第三者に漏洩されることを防ぐことができる既存アプリケーションの機密情報ファイル保護システムに関する技術であるが、改竄防止とはことなる技術である。また特許文献２は、
【特許文献１】特開２００６−１３９４７５号公報
【特許文献２】特開２００４−３０２８３５号公報
【特許文献３】特開２００７−４６１６号公報
【特許文献４】特開２００７−１８２３５号公報
【特許文献５】特開平９−３０５６６１号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
しかしながら、上述の技術では、ファイルなどのデータが組織外部に持出された後に、その持出されたデータの利用条件のリアルタイムな変更を、そのデータの利用時に即時に適用することができなかった。また持出されたデータの利用の管理責任の所在がどこにあるのかを明確にすることができなかった。さらにデータを持出す者を管理する管理責任者がその責任の否認を不可能とする承認処理を行うことができなかった。
【０００４】
そこでこの発明は、持出されたデータの利用条件のリアルタイムな変更を、そのデータの利用時に即時に適用することができるとともに、持出されたデータの利用の管理責任の所在を迅速に特定することのでき、さらにデータを持出す者を管理する管理責任者がその責任の否認を不可能とする承認処理を行うことができる利用対象情報管理装置及び利用対象情報管理方法ならびにそのプログラムを提供することを目的としている。
【課題を解決するための手段】
【０００５】
上記目的を達成するために、本発明は、利用者の属する組織に接続された組織内端末と、前記組織に属さない組織外端末とで利用される利用対象情報を管理する利用対象情報管理装置であって、暗号化された利用対象情報と利用時処理プログラムとによりデータ構成された持出しパッケージデータを前記組織内端末へ送信する持出しパッケージ送信手段と、前記持出しパッケージデータに格納された利用対象情報の利用時に、その持出しパッケージデータであって前記組織内端末から持出された持出しパッケージデータを記憶する前記組織外端末より、前記利用対象情報の利用環境を示す利用環境情報を受信する利用環境情報受信手段と、前記利用環境情報に基づく前記利用対象情報の利用可否の判定が利用可である場合には、前記組織外端末へ前記利用対象情報を復号する復号鍵を送信する利用可否判定手段と、を備えることを特徴とする利用対象情報管理装置である。
【０００６】
また本発明は、利用者の属する組織に接続された組織内端末と、前記組織に属さない組織外端末とで利用される利用対象情報を管理する利用対象情報管理装置であって、暗号化された利用対象情報と利用時処理プログラムとによりデータ構成された持出しパッケージデータを前記組織内端末へ送信する持出しパッケージ送信手段と、前記持出しパッケージデータに格納された利用対象情報の利用開始時に、その持出しパッケージデータであって前記組織内端末から持出された持出しパッケージデータを記憶する前記組織外端末より、前記利用対象情報の利用条件を示す利用条件情報を受信する利用条件情報受信手段と、前記組織外端末より受信した利用条件情報に基づく前記利用対象情報の利用可否の判定が利用可である場合には、前記組織外端末へ前記利用対象情報を復号する復号鍵を送信する利用可否判定手段と、を備えることを特徴とする利用対象情報管理装置である。
【０００７】
また本発明は、利用者の属する組織に接続された組織内端末と、前記組織に属さない組織外端末とで利用される利用対象情報を管理する利用対象情報管理装置であって、暗号化された利用対象情報と利用時処理プログラムとによりデータ構成された持出しパッケージデータを前記組織内端末へ送信する持出しパッケージ送信手段と、前記持出しパッケージデータに格納された利用対象情報に対する操作を示す操作情報を、前記組織内端末から持出された持出しパッケージデータを記憶する前記組織外端末より受信する操作情報受信手段と、前記操作情報と利用条件とを比較する前記利用対象情報の利用可否の判定において、前記操作情報が前記利用条件に合致しないと判定された場合には前記利用対象情報の利用を制限する利用可否判定手段と、を備えることを特徴とする利用対象情報管理装置である。
【０００８】
また本発明は、上述の利用対象情報管理装置が、前記利用条件の変更を受け付けて変更処理を行う利用条件変更手段と、を備えることを特徴とする。
【０００９】
また本発明は、上述の利用対象情報管理装置が、前記利用可否の判定時に、管理者の端末から送信される前記利用対象情報の利用可否のデータ入力を受け付ける利用可否受付手段と、当該利用可否受付手段が受け付けた情報に基づいて前記利用対象情報の利用可否を判定するリアルタイム利用可否判定手段と、を備えることを特徴とする。
【００１０】
また本発明は、上述の利用対象情報管理装置が、前記利用可否判定手段は、前記利用対象情報の利用可否の判定が利用可である場合には、前記利用対象情報の管理者の秘密鍵を用いて前記復号鍵を暗号化し、さらに前記利用対象情報の利用者の公開鍵を用いて前記復号鍵を暗号化し、前記利用対象情報の管理者の公開鍵と前記利用対象情報の利用者の秘密鍵とを保持した前記組織外端末へ送信することを特徴とする。
【００１１】
また本発明は、利用者の属する組織に接続された組織内端末と、前記組織に属さない組織外端末とで利用される利用対象情報を管理する利用対象情報管理装置の利用対象情報管理方法であって、前記利用対象情報管理装置の持出しパッケージ送信手段が、暗号化された利用対象情報と利用時処理プログラムとによりデータ構成された持出しパッケージデータを前記組織内端末へ送信し、前記利用対象情報管理装置の利用環境情報受信手段が、前記持出しパッケージデータに格納された利用対象情報の利用時に、その持出しパッケージデータであって前記組織内端末から持出された持出しパッケージデータを記憶する前記組織外端末より、前記利用対象情報の利用環境を示す利用環境情報を受信し、前記利用対象情報管理装置の利用可否判定手段が、前記利用環境情報に基づく前記利用対象情報の利用可否の判定が利用可である場合には、前記組織外端末へ前記利用対象情報を復号する復号鍵を送信することを特徴とする利用対象情報管理方法である。
【００１２】
また本発明は、利用者の属する組織に接続された組織内端末と、前記組織に属さない組織外端末とで利用される利用対象情報を管理する利用対象情報管理装置のコンピュータに実行させるプログラムであって、暗号化された利用対象情報と利用時処理プログラムとによりデータ構成された持出しパッケージデータを前記組織内端末へ送信する持出しパッケージ送信処理と、前記持出しパッケージデータに格納された利用対象情報の利用時に、その持出しパッケージデータであって前記組織内端末から持出された持出しパッケージデータを記憶する前記組織外端末より、前記利用対象情報の利用環境を示す利用環境情報を受信する利用環境情報受信処理と、前記利用環境情報に基づく前記利用対象情報の利用可否の判定が利用可である場合には、前記組織外端末へ前記利用対象情報を復号する復号鍵を送信する利用可否判定処理と、をコンピュータに実行させるプログラムである。
【発明の効果】
【００１３】
本発明によれば、管理者は自身の意思に基づいて、利用者が属する組織の外部で持出しデータが利用されている場合に、そのデータの利用制限をリアルタイムに行うことができる。また持出しデータが持ち出された時点におけるその持出しデータに対する利用条件の設定にとらわれず、持出された後にその情報の機密度が変化した場合にはそれに合わせて利用条件を変更することができるので、持出しデータに対するセキュリティを高めることができる。さらに、持出しデータの利用要求を受けた場合には、ファイル持出し管理サーバは持出しデータを復号するための鍵を管理者の秘密鍵でされに暗号化して利用者側の端末に送信するので、持出しデータを復号するための鍵がどの管理者の秘密鍵によって暗号化されたかを後々に確認すれば、持出しデータの利用を許可した管理者を特定することができる。これにより持出しデータが不正利用された際の管理責任の所在を、その持出しデータを復号するための鍵から明確にすることができる。
【００１４】
また、本発明によれば、持出しパッケージデータを組織内端末に再度持ち込んだ際に、その持出しパッケージデータに格納された持ち出しデータをファイル持出し管理サーバ側で復号化し組織内端末へ返信するとともに、ファイル持出し管理サーバは組織内端末へ持出しパッケージデータの破棄を要求するので、組織内で持出しデータを利用する際には不要な持出しパッケージデータの破棄を自動的に行うことができ、また持出しデータを持出し前と同様の状況で利用することができる。
【発明を実施するための最良の形態】
【００１５】
以下、本発明の一実施形態による利用対象情報管理システムを図面を参照して説明する。図１は同実施形態による利用対象情報管理システムの構成を示すブロック図である。この図において、符号１はファイル持出し管理サーバ（利用対象情報管理装置）である。また２は組織内端末である。また３は組織外端末である。また４は管理者端末である。ファイル持出し管理サーバ１は組織内ＬＡＮ（Local Area Network）を介して組織内端末２と管理者端末４と接続されている。またファイル持出し管理サーバ１はインターネット等の外部ネットワークを介して組織外端末３と接続されている。ここで、組織内端末２は利用者の属する組織のネットワーク内に接続された端末であり、組織外端末３は利用者が属する組織のネットワーク以外のネットワークに接続された端末である。なお利用者の属する組織とは会社である場合や部署である場合、部署内のグループである場合など様々であるが、組織内・組織外は管理者が自由に設定することができるものとする。例えば会社内であっても利用者が通常利用する端末をその利用者の属する組織内の端末、その他の全ての端末を組織外の端末とするようにしてもよい。
【００１６】
図２は利用対象情報管理システムに属する各装置の機能ブロック図である。
この図で示すように、ファイル持出し管理サーバ１には、他の端末と情報を送受信する通信装置１０１、サーバ内の各処理部を制御するＣＰＵ１０２、メインメモリ１０３、履歴管理部１０４、利用者認証部１０５、持出し承認，持出しパッケージ生成部１０６、ファイル持出し受付制御部１０７、ディスク装置１０８を備えている。なおディスク装置１０８にはユーザＩＤ−パスワード情報，利用条件情報，利用履歴情報，ユーザ秘密鍵・公開鍵情報が格納される。
【００１７】
また組織内端末２は他の装置と情報を送受信する通信装置２０１、キーボードやマウスなどの情報入力装置２０２、ＣＰＵ２０３、メインメモリ２０４、ディスプレイ２０５、メディア入出力装置２０６、ディスク装置２０７を備えている。なおディスク装置２０７には持出しパッケージデータや、利用者の秘密鍵などが記録されている。
【００１８】
また組織外端末３は他の装置と情報を送受信する通信装置３０１、キーボードやマウスなどの情報入力装置３０２、ＣＰＵ３０３、メインメモリ３０４、ディスプレイ３０５、メディア入力装置３０６、ディスク装置３０７を備えている。なおディスク装置３０７には持出しパッケージデータや利用者秘密鍵が格納される。
【００１９】
また管理者端末４は、他の装置と情報を送受信する通信装置４０１、キーボードやマウスなどの情報入力装置４０２、ＣＰＵ４０３、メインメモリ４０４、ディスプレイ４０５、ディスク装置４０６を備えている。
【００２０】
次に、ファイル持出し管理サーバが記憶する情報について説明する。
図３はファイル持出し管理サーバが記憶するユーザＩＤ、パスワード情報のデータ例を示す図である。
図４はファイル持出し管理サーバが記憶する利用条件情報のデータ例を示す図である。
図５はファイル持出し管理サーバが記憶する利用履歴情報のデータ例を示す図である。
図６はファイル持出し管理サーバが記憶するユーザ秘密鍵、公開鍵情報のデータ例を示す図である。
ファイル持出し管理サーバ１のディスク装置１０８はユーザＩＤ、パスワード情報として、図３に示すように、ユーザＩＤ，アカウント名，パスワードを対応付けて記憶するとともに、さらにユーザの利用する端末のＭＡＣアドレス、メールアドレス、公開鍵情報を対応付けて記憶する。またファイル持出し管理サーバ１のディスク装置１０８は端末の利用環境を示す利用条件情報や操作情報として、図４で示すように、アクセス許可日時，アクセス種別・回数，ＭＡＣアドレス，利用ネットワーク，利用アプリケーション，住所，電話番号などを対応付けて記憶する。
【００２１】
またファイル持出し管理サーバ１のディスク装置１０８は利用履歴情報として、図５に示すように、利用日時、操作種別（閲覧など）、対象データ（持出しデータ）、ユーザＩＤ、ＭＡＣアドレス、利用ネットワークなどの情報を対応付けて記憶する。またファイル持出し管理サーバ１のディスク装置１０８はユーザ秘密鍵、公開鍵情報として、図６に示すように、ユーザＩＤと秘密鍵、ユーザＩＤと公開鍵とを対応付けて記憶する。
【００２２】
図７は利用対象情報管理システムにおける処理フローを示す第１の図である。
図８は利用対象情報管理システムにおける処理フローを示す第２の図である。
図９は利用対象情報管理システムにおける処理フローを示す第３の図である。
次に図７〜図９を用いて利用対象情報管理システムにおける処理フローを説明する。
まず、図７よりファイルを持出したいと希望するユーザは、組織内端末２に予め備えられているファイル持出しソフトを起動する（ステップＳ１０１）。そして持出しデータ（ドキュメントファイルなどの利用対象情報）の指定と持出条件を指定して（ステップＳ１０２）、持出し要求の指示を組織内端末２に入力することで、組織内端末２は持出要求情報と持出データとをファイル持出し管理サーバ１へ送信する（ステップＳ１０３）。するとファイル持出し管理サーバ１は持出要求情報と持出データとを管理者端末へ送信する（ステップＳ１０４）。管理者端末４においては、持出要求情報と持出データとを受信すると、その持出データの内容の確認を管理者より受けるために持出データの情報や持出要求を行っているユーザの情報（持出要求情報等に格納されている）を画面に表示する（ステップＳ１０５）。そして管理者が承認または否認の情報を管理者端末４に入力する。そして管理者端末４は判断結果（承認ｏｒ否認）をファイル持出管理サーバ１へ通知する（ステップＳ１０６）。
【００２３】
次にファイル持出し管理サーバ１は、判断結果の通知を受けるとその結果が承認ＯＫかＮＧ（否認）かを判断し（ステップＳ１０７）、ＮＧであれば組織内端末２へ否認の情報を通知する。またＯＫであればファイル持出し管理サーバ１は、受信した持出しデータを共通鍵Ａで暗号化して、持出情報を生成しその持出情報をディスク装置１０８に登録しておく（ステップＳ１０８）。またファイル持出し管理サーバ１は、暗号化した持出しデータと管理者の公開鍵等のデータへのアクセスの処理を端末上で処理するプログラムを含む持出しパッケージデータを生成し（ステップＳ１０９）、その持出しパッケージデータとともに持出し行為の承認の通知を示す承認通知情報を組織内端末２へ送信する（ステップＳ１１０）。
【００２４】
そして、組織内端末２は持出しパッケージデータと承認通知情報を受信すると、承認された旨の情報を画面に表示する。するとユーザは組織内端末２を操作して持ち出しパッケージデータを持出し用メディア（ＣＤ−ＲＯＭやＵＳＢメモリ）へ保存する（ステップＳ１１１）。これによりユーザは持出しパッケージデータを外部に持出すことができる。
【００２５】
次に、持出しデータの組織外端末における利用時の処理について説明する。
図８より、ユーザはＵＳＢメモリやＣＤ−ＲＯＭなどに格納して持出した持出しパッケージデータ中の持出しデータを利用する際には、まず、組織外端末３に持出しパッケージデータをコピーし、持出しパッケージデータに格納されているプログラムを実行する。すると組織外端末３において持出しパッケージデータに格納されているプログラムが起動する（ステップＳ２０１）。以降の組織外端末３における処理はこのプログラムによるものである。そして、利用者は組織外端末３へユーザ認証情報（ユーザＩＤやアカウント名やパスワード）を入力する（ステップＳ２０２）。すると組織外端末３は認証情報（ユーザＩＤやアカウント名やパスワード）と利用環境情報（利用場所など）、利用要求を示す利用要求情報をセキュリティの高いＳＳＬ（Secure Socket Layer）通信などで送信する。ファイル持出し管理サーバ１は、認証情報、利用条件の情報としての利用環境情報、利用要求情報を受信するとそれらの情報を管理者端末４へ転送する（ステップＳ２０３）。
【００２６】
次に管理者端末４では実際の利用時の利用環境を管理者がチェックしその承認を入力する。そして管理者端末は承認ＯＫまたはＮＧのどちらを入力したかを判断し（ステップＳ２０４）、ＮＧである場合には組織内端末２へその旨を通知する。また承認ＯＫである場合には利用承認許可情報をファイル持出し管理サーバ１へ送信する（ステップＳ２０５）。ファイル持出し管理サーバ１は利用承認許可情報を受信すると、その利用承認許可情報によって、管理者が利用を承認したことを検出するための利用可否判定を行い、その後、共通鍵Ａを管理者の秘密鍵で暗号化する（ステップＳ２０６）。そして、管理者の秘密鍵で暗号化した共通鍵Ａを、更に利用者の公開鍵で暗号化し、組織外端末３へ送信する（ステップＳ２０７）。ここでステップＳ２０６における管理者の秘密鍵による共通鍵Ａの暗号化（１回目の暗号化）は、管理者がこの共通鍵の組織外端末３への送信を許可したことを後に検出できるようにするための処理である。また管理者の秘密鍵によって暗号化された共通鍵Ａをさらに利用者の公開鍵で暗号化する処理（２回目の暗号化）は、セキュリティを保つために行う通常の暗号化を意味している。
【００２７】
次に組織外端末３は受信した共通鍵Ａ（二重に暗号化された共通鍵Ａ）を利用者の秘密鍵で復号化し、さらに管理者の公開鍵で復号化して共通鍵Ａを取り出す（ステップＳ２０８）。そして利用者は共通鍵Ａを利用して、持出しパッケージデータに格納されたプログラムが持出しデータを復号化する。これにより利用者が持出しデータを利用（閲覧、編集）する。ここで持出しパッケージデータに格納されているプログラムの処理として、利用者が閲覧、編集等した持出しデータに対する操作を監視して（ステップＳ２０９）、その監視した結果を示す利用情報をＳＳＬ通信で持出しファイル管理サーバ１へ送信する。ここで、利用情報のファイル持出し管理サーバ１への送信は、定期的、または利用者による持出しデータの利用（閲覧、編集、コピー、印刷など）を検出した際など、予め決められたタイミングで随時行われる。
【００２８】
利用情報としては、図４で示した利用条件情報の中のアクセス種別，回数のように、閲覧の回数、編集の回数、コピー回数、印刷回数など（操作情報）である。そして持出しファイル管理サーバ１は、利用情報で示される情報を利用履歴としてディスク装置に登録するとともに、利用情報で示される利用条件が、ディスク装置で記憶している利用条件に一致するか否かのチェックを、利用情報を受信する度に行う（ステップＳ２１０）。そして利用条件に一致していなければ、持出しデータの利用を制限する情報を組織外端末３へ送信するようにしてもよい。また管理者端末４を操作する管理者が利用条件に一致するか否かのチェックを行いその利用可否をデータ入力し、そのデータ入力に基づく利用可否の判定を行った後、利用を制限する情報を組織外端末３へ送信するようにしてもよい。なお、管理者は管理者端末４を操作して、ファイル持出し管理サーバ１の利用要件を随時変更することができる。この時、管理者端末４はファイル持出し管理サーバ１へ変更内容を示す情報を格納した変更要求を送信し、ファイル持出し管理サーバ１がその変更要求に基づいて利用条件を変更する。または管理者のデータ破棄の指示に基づいて管理者端末４がデータ破棄要求を送信し、ファイル持出し管理サーバ１がその破棄要求を組織外端末３へ送信し、組織外端末３が持出しデータを破棄する処理を行うようにしてもよい。利用者が持出しファイルを利用している最中に、何らかの理由により利用を制限したい場合には、管理者はその制限を直ちに行うことができる。
【００２９】
そして、利用者が組織外端末３に操作終了を指示すると、組織外端末３は上書き保存要求と持出しデータとをＳＳＬ通信により持出しファイル管理サーバ１へ送信する（ステップＳ２１１）。すると、ファイル持出し管理サーバ１は、共通鍵Ｂを用いて編集された持出しデータを暗号化し、上書き（編集の処理）の情報を履歴情報として登録する（ステップＳ２１２）。そして暗号化した持出しデータと管理者の公開鍵とを格納した持出しパッケージデータを生成し（ステップＳ２１３）、その持出しパッケージデータと持出し行為の承認を示す承認通知情報と組織外端末３へ送信する（ステップＳ２１４）。そして、組織外端末３は新たに受信した持出しパッケージデータを持出し用メディアに保存する（ステップＳ２１５）。なおステップＳ２０３の処理において、ファイル持出し管理サーバ１は、認証情報、利用環境情報、利用要求情報を受信すると、それらの情報を、複数の管理者端末４のうち、利用者が利用する持出しデータに応じた管理者端末４へ転送するようにしてもよい。
【００３０】
上述の処理によれば、管理者は自身の意思に基づいて、利用者が属する組織の外部で持出しデータが利用されている場合に、そのデータの利用制限をリアルタイムに行うことができる。また持出しデータが持ち出された時点におけるその持出しデータに対する利用条件の設定にとらわれず、持出された後にその情報の機密度が変化した場合にはそれに合わせて利用条件を変更することができるので、持出しデータに対するセキュリティを高めることができる。さらに、持出しデータの利用要求を受けた場合には、ファイル持出し管理サーバ１は持出しデータを復号するための鍵を管理者の秘密鍵でされに暗号化して利用者側の端末に送信するので、持出しデータを復号するための鍵がどの管理者の秘密鍵によって暗号化されたかを後々に確認すれば、持出しデータの利用を許可した管理者を特定することができる。これにより持出しデータが不正利用された際の管理責任の所在を、その持出しデータを復号するために鍵から明確にすることができる。
【００３１】
次に、持出しデータを組織内へ持ち帰った際の処理について説明する。
利用者は外部へ持出した持出しパッケージデータをＵＳＢメモリ等の持出し用メディアから組織内端末２へ再度データ移動させたとする。組織内端末２においては持出しデータを持出しパッケージデータ内に格納しておく必要がないため、以下の処理を行う。図９より、まず利用者がファイル持出しソフトを起動する（ステップＳ３０１）。すると組織内端末２はファイル持出し管理サーバ１へアクセスする。そして組織内端末２はユーザ認証情報の入力を利用者から受け付けて、認証情報と利用要求情報をファイル持出し管理サーバ１へ送信する（ステップＳ３０２）。ファイル持出し管理サーバ１は受信した認証情報を用いて認証を行い、認証結果がＯＫかＮＧかを判定する（ステップＳ３０３）。そして、ＮＧの場合にはその旨を組織内端末２へ送信する。また認証結果がＯＫである場合には、ファイル持出し管理サーバ１は認証結果ＯＫを組織内端末２へ送信する。すると組織内端末２は持出しパッケージデータをファイル持出し管理サーバ１へ送信する（ステップＳ３０４）。そして、ファイル持出し管理サーバ１は持出しパッケージデータに格納されている持出しデータを共通鍵Ｂで復号化する（ステップＳ３０５）。またファイル持出し管理サーバ１は復号化した持出しデータと持出しパッケージデータの破棄要求とを組織内端末２へ返信する（ステップＳ３０６）。組織内端末２は、復号された持出しデータと持出しパッケージデータの破棄要求とを受信すると、その持出しデータをディスク装置２０９へ保存し（ステップＳ３０７）、持出しパッケージデータを破棄する（ステップＳ３０８）。そしてユーザの操作に基づいてファイル持出しソフトを終了させる。
【００３２】
上述の持出しデータを組織内へ持ち帰った際の上記処理によれば、持出しパッケージデータを組織内端末に再度持ち込んだ際に、その持出しパッケージデータに格納された持ち出しデータをファイル持出し管理サーバ１側で復号化し組織内端末２へ返信するとともに、ファイル持出し管理サーバ１は組織内端末２へ持出しパッケージデータの破棄を要求するので、組織内で持出しデータを利用する際には不要な持出しパッケージデータの破棄を自動的に行うことができ、また持出しデータを持出し前と同様の状況で利用することができるようになる。
【００３３】
なお、上述の各装置は内部に、コンピュータシステムを有している。そして、上述した処理の過程は、プログラムの形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータが読み出して実行することによって、上記処理が行われる。ここでコンピュータ読み取り可能な記録媒体とは、磁気ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、半導体メモリ等をいう。また、このコンピュータプログラムを通信回線によってコンピュータに配信し、この配信を受けたコンピュータが当該プログラムを実行するようにしても良い。
【００３４】
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【図面の簡単な説明】
【００３５】
【図１】利用対象情報管理システムの構成を示すブロック図である。
【図２】利用対象情報管理システムに属する各装置の機能ブロック図である。
【図３】ユーザＩＤ、パスワード情報のデータ例を示す図である。
【図４】利用条件情報のデータ例を示す図である。
【図５】利用履歴情報のデータ例を示す図である。
【図６】ユーザ秘密鍵、公開鍵情報のデータ例を示す図である。
【図７】利用対象情報管理システムにおける処理フローを示す第１の図である。
【図８】利用対象情報管理システムにおける処理フローを示す第２の図である。
【図９】利用対象情報管理システムにおける処理フローを示す第３の図である。
【符号の説明】
【００３６】
１・・・ファイル持出し管理サーバ
２・・・組織内端末
３・・・組織外端末
４・・・管理者端末
【技術分野】
【０００１】
本発明は、利用者の属する組織に接続された組織内端末と、前記組織に属さない組織外端末とで利用される利用対象情報を管理する利用対象情報管理装置及び利用対象情報管理方法ならびにそのプログラムに関する。
【背景技術】
【０００２】
従来、組織外部に持出されるファイルの改竄・漏洩の防止に関する技術や、利用条件に基づいてファイルの利用制限を行う技術が特許文献１〜特許文献４に公開されている。また秘密鍵や公開鍵等を用いてファイルを暗号化して他の装置へ送信する技術が特許文献５に公開されている。ここで、特許文献１は、利用者が既存アプリケーションで作成された機密情報ファイルを、組織外部に持出して追加編集作業を行うことができるが、一旦格納された機密情報はファイル内部に閉じ第三者に漏洩されることを防ぐことができる既存アプリケーションの機密情報ファイル保護システムに関する技術であるが、改竄防止とはことなる技術である。また特許文献２は、
【特許文献１】特開２００６−１３９４７５号公報
【特許文献２】特開２００４−３０２８３５号公報
【特許文献３】特開２００７−４６１６号公報
【特許文献４】特開２００７−１８２３５号公報
【特許文献５】特開平９−３０５６６１号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
しかしながら、上述の技術では、ファイルなどのデータが組織外部に持出された後に、その持出されたデータの利用条件のリアルタイムな変更を、そのデータの利用時に即時に適用することができなかった。また持出されたデータの利用の管理責任の所在がどこにあるのかを明確にすることができなかった。さらにデータを持出す者を管理する管理責任者がその責任の否認を不可能とする承認処理を行うことができなかった。
【０００４】
そこでこの発明は、持出されたデータの利用条件のリアルタイムな変更を、そのデータの利用時に即時に適用することができるとともに、持出されたデータの利用の管理責任の所在を迅速に特定することのでき、さらにデータを持出す者を管理する管理責任者がその責任の否認を不可能とする承認処理を行うことができる利用対象情報管理装置及び利用対象情報管理方法ならびにそのプログラムを提供することを目的としている。
【課題を解決するための手段】
【０００５】
上記目的を達成するために、本発明は、利用者の属する組織に接続された組織内端末と、前記組織に属さない組織外端末とで利用される利用対象情報を管理する利用対象情報管理装置であって、暗号化された利用対象情報と利用時処理プログラムとによりデータ構成された持出しパッケージデータを前記組織内端末へ送信する持出しパッケージ送信手段と、前記持出しパッケージデータに格納された利用対象情報の利用時に、その持出しパッケージデータであって前記組織内端末から持出された持出しパッケージデータを記憶する前記組織外端末より、前記利用対象情報の利用環境を示す利用環境情報を受信する利用環境情報受信手段と、前記利用環境情報に基づく前記利用対象情報の利用可否の判定が利用可である場合には、前記組織外端末へ前記利用対象情報を復号する復号鍵を送信する利用可否判定手段と、を備えることを特徴とする利用対象情報管理装置である。
【０００６】
また本発明は、利用者の属する組織に接続された組織内端末と、前記組織に属さない組織外端末とで利用される利用対象情報を管理する利用対象情報管理装置であって、暗号化された利用対象情報と利用時処理プログラムとによりデータ構成された持出しパッケージデータを前記組織内端末へ送信する持出しパッケージ送信手段と、前記持出しパッケージデータに格納された利用対象情報の利用開始時に、その持出しパッケージデータであって前記組織内端末から持出された持出しパッケージデータを記憶する前記組織外端末より、前記利用対象情報の利用条件を示す利用条件情報を受信する利用条件情報受信手段と、前記組織外端末より受信した利用条件情報に基づく前記利用対象情報の利用可否の判定が利用可である場合には、前記組織外端末へ前記利用対象情報を復号する復号鍵を送信する利用可否判定手段と、を備えることを特徴とする利用対象情報管理装置である。
【０００７】
また本発明は、利用者の属する組織に接続された組織内端末と、前記組織に属さない組織外端末とで利用される利用対象情報を管理する利用対象情報管理装置であって、暗号化された利用対象情報と利用時処理プログラムとによりデータ構成された持出しパッケージデータを前記組織内端末へ送信する持出しパッケージ送信手段と、前記持出しパッケージデータに格納された利用対象情報に対する操作を示す操作情報を、前記組織内端末から持出された持出しパッケージデータを記憶する前記組織外端末より受信する操作情報受信手段と、前記操作情報と利用条件とを比較する前記利用対象情報の利用可否の判定において、前記操作情報が前記利用条件に合致しないと判定された場合には前記利用対象情報の利用を制限する利用可否判定手段と、を備えることを特徴とする利用対象情報管理装置である。
【０００８】
また本発明は、上述の利用対象情報管理装置が、前記利用条件の変更を受け付けて変更処理を行う利用条件変更手段と、を備えることを特徴とする。
【０００９】
また本発明は、上述の利用対象情報管理装置が、前記利用可否の判定時に、管理者の端末から送信される前記利用対象情報の利用可否のデータ入力を受け付ける利用可否受付手段と、当該利用可否受付手段が受け付けた情報に基づいて前記利用対象情報の利用可否を判定するリアルタイム利用可否判定手段と、を備えることを特徴とする。
【００１０】
また本発明は、上述の利用対象情報管理装置が、前記利用可否判定手段は、前記利用対象情報の利用可否の判定が利用可である場合には、前記利用対象情報の管理者の秘密鍵を用いて前記復号鍵を暗号化し、さらに前記利用対象情報の利用者の公開鍵を用いて前記復号鍵を暗号化し、前記利用対象情報の管理者の公開鍵と前記利用対象情報の利用者の秘密鍵とを保持した前記組織外端末へ送信することを特徴とする。
【００１１】
また本発明は、利用者の属する組織に接続された組織内端末と、前記組織に属さない組織外端末とで利用される利用対象情報を管理する利用対象情報管理装置の利用対象情報管理方法であって、前記利用対象情報管理装置の持出しパッケージ送信手段が、暗号化された利用対象情報と利用時処理プログラムとによりデータ構成された持出しパッケージデータを前記組織内端末へ送信し、前記利用対象情報管理装置の利用環境情報受信手段が、前記持出しパッケージデータに格納された利用対象情報の利用時に、その持出しパッケージデータであって前記組織内端末から持出された持出しパッケージデータを記憶する前記組織外端末より、前記利用対象情報の利用環境を示す利用環境情報を受信し、前記利用対象情報管理装置の利用可否判定手段が、前記利用環境情報に基づく前記利用対象情報の利用可否の判定が利用可である場合には、前記組織外端末へ前記利用対象情報を復号する復号鍵を送信することを特徴とする利用対象情報管理方法である。
【００１２】
また本発明は、利用者の属する組織に接続された組織内端末と、前記組織に属さない組織外端末とで利用される利用対象情報を管理する利用対象情報管理装置のコンピュータに実行させるプログラムであって、暗号化された利用対象情報と利用時処理プログラムとによりデータ構成された持出しパッケージデータを前記組織内端末へ送信する持出しパッケージ送信処理と、前記持出しパッケージデータに格納された利用対象情報の利用時に、その持出しパッケージデータであって前記組織内端末から持出された持出しパッケージデータを記憶する前記組織外端末より、前記利用対象情報の利用環境を示す利用環境情報を受信する利用環境情報受信処理と、前記利用環境情報に基づく前記利用対象情報の利用可否の判定が利用可である場合には、前記組織外端末へ前記利用対象情報を復号する復号鍵を送信する利用可否判定処理と、をコンピュータに実行させるプログラムである。
【発明の効果】
【００１３】
本発明によれば、管理者は自身の意思に基づいて、利用者が属する組織の外部で持出しデータが利用されている場合に、そのデータの利用制限をリアルタイムに行うことができる。また持出しデータが持ち出された時点におけるその持出しデータに対する利用条件の設定にとらわれず、持出された後にその情報の機密度が変化した場合にはそれに合わせて利用条件を変更することができるので、持出しデータに対するセキュリティを高めることができる。さらに、持出しデータの利用要求を受けた場合には、ファイル持出し管理サーバは持出しデータを復号するための鍵を管理者の秘密鍵でされに暗号化して利用者側の端末に送信するので、持出しデータを復号するための鍵がどの管理者の秘密鍵によって暗号化されたかを後々に確認すれば、持出しデータの利用を許可した管理者を特定することができる。これにより持出しデータが不正利用された際の管理責任の所在を、その持出しデータを復号するための鍵から明確にすることができる。
【００１４】
また、本発明によれば、持出しパッケージデータを組織内端末に再度持ち込んだ際に、その持出しパッケージデータに格納された持ち出しデータをファイル持出し管理サーバ側で復号化し組織内端末へ返信するとともに、ファイル持出し管理サーバは組織内端末へ持出しパッケージデータの破棄を要求するので、組織内で持出しデータを利用する際には不要な持出しパッケージデータの破棄を自動的に行うことができ、また持出しデータを持出し前と同様の状況で利用することができる。
【発明を実施するための最良の形態】
【００１５】
以下、本発明の一実施形態による利用対象情報管理システムを図面を参照して説明する。図１は同実施形態による利用対象情報管理システムの構成を示すブロック図である。この図において、符号１はファイル持出し管理サーバ（利用対象情報管理装置）である。また２は組織内端末である。また３は組織外端末である。また４は管理者端末である。ファイル持出し管理サーバ１は組織内ＬＡＮ（Local Area Network）を介して組織内端末２と管理者端末４と接続されている。またファイル持出し管理サーバ１はインターネット等の外部ネットワークを介して組織外端末３と接続されている。ここで、組織内端末２は利用者の属する組織のネットワーク内に接続された端末であり、組織外端末３は利用者が属する組織のネットワーク以外のネットワークに接続された端末である。なお利用者の属する組織とは会社である場合や部署である場合、部署内のグループである場合など様々であるが、組織内・組織外は管理者が自由に設定することができるものとする。例えば会社内であっても利用者が通常利用する端末をその利用者の属する組織内の端末、その他の全ての端末を組織外の端末とするようにしてもよい。
【００１６】
図２は利用対象情報管理システムに属する各装置の機能ブロック図である。
この図で示すように、ファイル持出し管理サーバ１には、他の端末と情報を送受信する通信装置１０１、サーバ内の各処理部を制御するＣＰＵ１０２、メインメモリ１０３、履歴管理部１０４、利用者認証部１０５、持出し承認，持出しパッケージ生成部１０６、ファイル持出し受付制御部１０７、ディスク装置１０８を備えている。なおディスク装置１０８にはユーザＩＤ−パスワード情報，利用条件情報，利用履歴情報，ユーザ秘密鍵・公開鍵情報が格納される。
【００１７】
また組織内端末２は他の装置と情報を送受信する通信装置２０１、キーボードやマウスなどの情報入力装置２０２、ＣＰＵ２０３、メインメモリ２０４、ディスプレイ２０５、メディア入出力装置２０６、ディスク装置２０７を備えている。なおディスク装置２０７には持出しパッケージデータや、利用者の秘密鍵などが記録されている。
【００１８】
また組織外端末３は他の装置と情報を送受信する通信装置３０１、キーボードやマウスなどの情報入力装置３０２、ＣＰＵ３０３、メインメモリ３０４、ディスプレイ３０５、メディア入力装置３０６、ディスク装置３０７を備えている。なおディスク装置３０７には持出しパッケージデータや利用者秘密鍵が格納される。
【００１９】
また管理者端末４は、他の装置と情報を送受信する通信装置４０１、キーボードやマウスなどの情報入力装置４０２、ＣＰＵ４０３、メインメモリ４０４、ディスプレイ４０５、ディスク装置４０６を備えている。
【００２０】
次に、ファイル持出し管理サーバが記憶する情報について説明する。
図３はファイル持出し管理サーバが記憶するユーザＩＤ、パスワード情報のデータ例を示す図である。
図４はファイル持出し管理サーバが記憶する利用条件情報のデータ例を示す図である。
図５はファイル持出し管理サーバが記憶する利用履歴情報のデータ例を示す図である。
図６はファイル持出し管理サーバが記憶するユーザ秘密鍵、公開鍵情報のデータ例を示す図である。
ファイル持出し管理サーバ１のディスク装置１０８はユーザＩＤ、パスワード情報として、図３に示すように、ユーザＩＤ，アカウント名，パスワードを対応付けて記憶するとともに、さらにユーザの利用する端末のＭＡＣアドレス、メールアドレス、公開鍵情報を対応付けて記憶する。またファイル持出し管理サーバ１のディスク装置１０８は端末の利用環境を示す利用条件情報や操作情報として、図４で示すように、アクセス許可日時，アクセス種別・回数，ＭＡＣアドレス，利用ネットワーク，利用アプリケーション，住所，電話番号などを対応付けて記憶する。
【００２１】
またファイル持出し管理サーバ１のディスク装置１０８は利用履歴情報として、図５に示すように、利用日時、操作種別（閲覧など）、対象データ（持出しデータ）、ユーザＩＤ、ＭＡＣアドレス、利用ネットワークなどの情報を対応付けて記憶する。またファイル持出し管理サーバ１のディスク装置１０８はユーザ秘密鍵、公開鍵情報として、図６に示すように、ユーザＩＤと秘密鍵、ユーザＩＤと公開鍵とを対応付けて記憶する。
【００２２】
図７は利用対象情報管理システムにおける処理フローを示す第１の図である。
図８は利用対象情報管理システムにおける処理フローを示す第２の図である。
図９は利用対象情報管理システムにおける処理フローを示す第３の図である。
次に図７〜図９を用いて利用対象情報管理システムにおける処理フローを説明する。
まず、図７よりファイルを持出したいと希望するユーザは、組織内端末２に予め備えられているファイル持出しソフトを起動する（ステップＳ１０１）。そして持出しデータ（ドキュメントファイルなどの利用対象情報）の指定と持出条件を指定して（ステップＳ１０２）、持出し要求の指示を組織内端末２に入力することで、組織内端末２は持出要求情報と持出データとをファイル持出し管理サーバ１へ送信する（ステップＳ１０３）。するとファイル持出し管理サーバ１は持出要求情報と持出データとを管理者端末へ送信する（ステップＳ１０４）。管理者端末４においては、持出要求情報と持出データとを受信すると、その持出データの内容の確認を管理者より受けるために持出データの情報や持出要求を行っているユーザの情報（持出要求情報等に格納されている）を画面に表示する（ステップＳ１０５）。そして管理者が承認または否認の情報を管理者端末４に入力する。そして管理者端末４は判断結果（承認ｏｒ否認）をファイル持出管理サーバ１へ通知する（ステップＳ１０６）。
【００２３】
次にファイル持出し管理サーバ１は、判断結果の通知を受けるとその結果が承認ＯＫかＮＧ（否認）かを判断し（ステップＳ１０７）、ＮＧであれば組織内端末２へ否認の情報を通知する。またＯＫであればファイル持出し管理サーバ１は、受信した持出しデータを共通鍵Ａで暗号化して、持出情報を生成しその持出情報をディスク装置１０８に登録しておく（ステップＳ１０８）。またファイル持出し管理サーバ１は、暗号化した持出しデータと管理者の公開鍵等のデータへのアクセスの処理を端末上で処理するプログラムを含む持出しパッケージデータを生成し（ステップＳ１０９）、その持出しパッケージデータとともに持出し行為の承認の通知を示す承認通知情報を組織内端末２へ送信する（ステップＳ１１０）。
【００２４】
そして、組織内端末２は持出しパッケージデータと承認通知情報を受信すると、承認された旨の情報を画面に表示する。するとユーザは組織内端末２を操作して持ち出しパッケージデータを持出し用メディア（ＣＤ−ＲＯＭやＵＳＢメモリ）へ保存する（ステップＳ１１１）。これによりユーザは持出しパッケージデータを外部に持出すことができる。
【００２５】
次に、持出しデータの組織外端末における利用時の処理について説明する。
図８より、ユーザはＵＳＢメモリやＣＤ−ＲＯＭなどに格納して持出した持出しパッケージデータ中の持出しデータを利用する際には、まず、組織外端末３に持出しパッケージデータをコピーし、持出しパッケージデータに格納されているプログラムを実行する。すると組織外端末３において持出しパッケージデータに格納されているプログラムが起動する（ステップＳ２０１）。以降の組織外端末３における処理はこのプログラムによるものである。そして、利用者は組織外端末３へユーザ認証情報（ユーザＩＤやアカウント名やパスワード）を入力する（ステップＳ２０２）。すると組織外端末３は認証情報（ユーザＩＤやアカウント名やパスワード）と利用環境情報（利用場所など）、利用要求を示す利用要求情報をセキュリティの高いＳＳＬ（Secure Socket Layer）通信などで送信する。ファイル持出し管理サーバ１は、認証情報、利用条件の情報としての利用環境情報、利用要求情報を受信するとそれらの情報を管理者端末４へ転送する（ステップＳ２０３）。
【００２６】
次に管理者端末４では実際の利用時の利用環境を管理者がチェックしその承認を入力する。そして管理者端末は承認ＯＫまたはＮＧのどちらを入力したかを判断し（ステップＳ２０４）、ＮＧである場合には組織内端末２へその旨を通知する。また承認ＯＫである場合には利用承認許可情報をファイル持出し管理サーバ１へ送信する（ステップＳ２０５）。ファイル持出し管理サーバ１は利用承認許可情報を受信すると、その利用承認許可情報によって、管理者が利用を承認したことを検出するための利用可否判定を行い、その後、共通鍵Ａを管理者の秘密鍵で暗号化する（ステップＳ２０６）。そして、管理者の秘密鍵で暗号化した共通鍵Ａを、更に利用者の公開鍵で暗号化し、組織外端末３へ送信する（ステップＳ２０７）。ここでステップＳ２０６における管理者の秘密鍵による共通鍵Ａの暗号化（１回目の暗号化）は、管理者がこの共通鍵の組織外端末３への送信を許可したことを後に検出できるようにするための処理である。また管理者の秘密鍵によって暗号化された共通鍵Ａをさらに利用者の公開鍵で暗号化する処理（２回目の暗号化）は、セキュリティを保つために行う通常の暗号化を意味している。
【００２７】
次に組織外端末３は受信した共通鍵Ａ（二重に暗号化された共通鍵Ａ）を利用者の秘密鍵で復号化し、さらに管理者の公開鍵で復号化して共通鍵Ａを取り出す（ステップＳ２０８）。そして利用者は共通鍵Ａを利用して、持出しパッケージデータに格納されたプログラムが持出しデータを復号化する。これにより利用者が持出しデータを利用（閲覧、編集）する。ここで持出しパッケージデータに格納されているプログラムの処理として、利用者が閲覧、編集等した持出しデータに対する操作を監視して（ステップＳ２０９）、その監視した結果を示す利用情報をＳＳＬ通信で持出しファイル管理サーバ１へ送信する。ここで、利用情報のファイル持出し管理サーバ１への送信は、定期的、または利用者による持出しデータの利用（閲覧、編集、コピー、印刷など）を検出した際など、予め決められたタイミングで随時行われる。
【００２８】
利用情報としては、図４で示した利用条件情報の中のアクセス種別，回数のように、閲覧の回数、編集の回数、コピー回数、印刷回数など（操作情報）である。そして持出しファイル管理サーバ１は、利用情報で示される情報を利用履歴としてディスク装置に登録するとともに、利用情報で示される利用条件が、ディスク装置で記憶している利用条件に一致するか否かのチェックを、利用情報を受信する度に行う（ステップＳ２１０）。そして利用条件に一致していなければ、持出しデータの利用を制限する情報を組織外端末３へ送信するようにしてもよい。また管理者端末４を操作する管理者が利用条件に一致するか否かのチェックを行いその利用可否をデータ入力し、そのデータ入力に基づく利用可否の判定を行った後、利用を制限する情報を組織外端末３へ送信するようにしてもよい。なお、管理者は管理者端末４を操作して、ファイル持出し管理サーバ１の利用要件を随時変更することができる。この時、管理者端末４はファイル持出し管理サーバ１へ変更内容を示す情報を格納した変更要求を送信し、ファイル持出し管理サーバ１がその変更要求に基づいて利用条件を変更する。または管理者のデータ破棄の指示に基づいて管理者端末４がデータ破棄要求を送信し、ファイル持出し管理サーバ１がその破棄要求を組織外端末３へ送信し、組織外端末３が持出しデータを破棄する処理を行うようにしてもよい。利用者が持出しファイルを利用している最中に、何らかの理由により利用を制限したい場合には、管理者はその制限を直ちに行うことができる。
【００２９】
そして、利用者が組織外端末３に操作終了を指示すると、組織外端末３は上書き保存要求と持出しデータとをＳＳＬ通信により持出しファイル管理サーバ１へ送信する（ステップＳ２１１）。すると、ファイル持出し管理サーバ１は、共通鍵Ｂを用いて編集された持出しデータを暗号化し、上書き（編集の処理）の情報を履歴情報として登録する（ステップＳ２１２）。そして暗号化した持出しデータと管理者の公開鍵とを格納した持出しパッケージデータを生成し（ステップＳ２１３）、その持出しパッケージデータと持出し行為の承認を示す承認通知情報と組織外端末３へ送信する（ステップＳ２１４）。そして、組織外端末３は新たに受信した持出しパッケージデータを持出し用メディアに保存する（ステップＳ２１５）。なおステップＳ２０３の処理において、ファイル持出し管理サーバ１は、認証情報、利用環境情報、利用要求情報を受信すると、それらの情報を、複数の管理者端末４のうち、利用者が利用する持出しデータに応じた管理者端末４へ転送するようにしてもよい。
【００３０】
上述の処理によれば、管理者は自身の意思に基づいて、利用者が属する組織の外部で持出しデータが利用されている場合に、そのデータの利用制限をリアルタイムに行うことができる。また持出しデータが持ち出された時点におけるその持出しデータに対する利用条件の設定にとらわれず、持出された後にその情報の機密度が変化した場合にはそれに合わせて利用条件を変更することができるので、持出しデータに対するセキュリティを高めることができる。さらに、持出しデータの利用要求を受けた場合には、ファイル持出し管理サーバ１は持出しデータを復号するための鍵を管理者の秘密鍵でされに暗号化して利用者側の端末に送信するので、持出しデータを復号するための鍵がどの管理者の秘密鍵によって暗号化されたかを後々に確認すれば、持出しデータの利用を許可した管理者を特定することができる。これにより持出しデータが不正利用された際の管理責任の所在を、その持出しデータを復号するために鍵から明確にすることができる。
【００３１】
次に、持出しデータを組織内へ持ち帰った際の処理について説明する。
利用者は外部へ持出した持出しパッケージデータをＵＳＢメモリ等の持出し用メディアから組織内端末２へ再度データ移動させたとする。組織内端末２においては持出しデータを持出しパッケージデータ内に格納しておく必要がないため、以下の処理を行う。図９より、まず利用者がファイル持出しソフトを起動する（ステップＳ３０１）。すると組織内端末２はファイル持出し管理サーバ１へアクセスする。そして組織内端末２はユーザ認証情報の入力を利用者から受け付けて、認証情報と利用要求情報をファイル持出し管理サーバ１へ送信する（ステップＳ３０２）。ファイル持出し管理サーバ１は受信した認証情報を用いて認証を行い、認証結果がＯＫかＮＧかを判定する（ステップＳ３０３）。そして、ＮＧの場合にはその旨を組織内端末２へ送信する。また認証結果がＯＫである場合には、ファイル持出し管理サーバ１は認証結果ＯＫを組織内端末２へ送信する。すると組織内端末２は持出しパッケージデータをファイル持出し管理サーバ１へ送信する（ステップＳ３０４）。そして、ファイル持出し管理サーバ１は持出しパッケージデータに格納されている持出しデータを共通鍵Ｂで復号化する（ステップＳ３０５）。またファイル持出し管理サーバ１は復号化した持出しデータと持出しパッケージデータの破棄要求とを組織内端末２へ返信する（ステップＳ３０６）。組織内端末２は、復号された持出しデータと持出しパッケージデータの破棄要求とを受信すると、その持出しデータをディスク装置２０９へ保存し（ステップＳ３０７）、持出しパッケージデータを破棄する（ステップＳ３０８）。そしてユーザの操作に基づいてファイル持出しソフトを終了させる。
【００３２】
上述の持出しデータを組織内へ持ち帰った際の上記処理によれば、持出しパッケージデータを組織内端末に再度持ち込んだ際に、その持出しパッケージデータに格納された持ち出しデータをファイル持出し管理サーバ１側で復号化し組織内端末２へ返信するとともに、ファイル持出し管理サーバ１は組織内端末２へ持出しパッケージデータの破棄を要求するので、組織内で持出しデータを利用する際には不要な持出しパッケージデータの破棄を自動的に行うことができ、また持出しデータを持出し前と同様の状況で利用することができるようになる。
【００３３】
なお、上述の各装置は内部に、コンピュータシステムを有している。そして、上述した処理の過程は、プログラムの形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータが読み出して実行することによって、上記処理が行われる。ここでコンピュータ読み取り可能な記録媒体とは、磁気ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、半導体メモリ等をいう。また、このコンピュータプログラムを通信回線によってコンピュータに配信し、この配信を受けたコンピュータが当該プログラムを実行するようにしても良い。
【００３４】
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【図面の簡単な説明】
【００３５】
【図１】利用対象情報管理システムの構成を示すブロック図である。
【図２】利用対象情報管理システムに属する各装置の機能ブロック図である。
【図３】ユーザＩＤ、パスワード情報のデータ例を示す図である。
【図４】利用条件情報のデータ例を示す図である。
【図５】利用履歴情報のデータ例を示す図である。
【図６】ユーザ秘密鍵、公開鍵情報のデータ例を示す図である。
【図７】利用対象情報管理システムにおける処理フローを示す第１の図である。
【図８】利用対象情報管理システムにおける処理フローを示す第２の図である。
【図９】利用対象情報管理システムにおける処理フローを示す第３の図である。
【符号の説明】
【００３６】
１・・・ファイル持出し管理サーバ
２・・・組織内端末
３・・・組織外端末
４・・・管理者端末
【特許請求の範囲】
【請求項１】
利用者の属する組織に接続された組織内端末と、前記組織に属さない組織外端末とで利用される利用対象情報を管理する利用対象情報管理装置であって、
暗号化された利用対象情報と利用時処理プログラムとによりデータ構成された持出しパッケージデータを前記組織内端末へ送信する持出しパッケージ送信手段と、
前記持出しパッケージデータに格納された利用対象情報の利用時に、その持出しパッケージデータであって前記組織内端末から持出された持出しパッケージデータを記憶する前記組織外端末より、前記利用対象情報の利用環境を示す利用環境情報を受信する利用環境情報受信手段と、
前記利用環境情報に基づく前記利用対象情報の利用可否の判定が利用可である場合には、前記組織外端末へ前記利用対象情報を復号する復号鍵を送信する利用可否判定手段と、
を備えることを特徴とする利用対象情報管理装置。
【請求項２】
利用者の属する組織に接続された組織内端末と、前記組織に属さない組織外端末とで利用される利用対象情報を管理する利用対象情報管理装置であって、
暗号化された利用対象情報と利用時処理プログラムとによりデータ構成された持出しパッケージデータを前記組織内端末へ送信する持出しパッケージ送信手段と、
前記持出しパッケージデータに格納された利用対象情報の利用開始時に、その持出しパッケージデータであって前記組織内端末から持出された持出しパッケージデータを記憶する前記組織外端末より、前記利用対象情報の利用条件を示す利用条件情報を受信する利用条件情報受信手段と、
前記組織外端末より受信した利用条件情報に基づく前記利用対象情報の利用可否の判定が利用可である場合には、前記組織外端末へ前記利用対象情報を復号する復号鍵を送信する利用可否判定手段と、
を備えることを特徴とする利用対象情報管理装置。
【請求項３】
利用者の属する組織に接続された組織内端末と、前記組織に属さない組織外端末とで利用される利用対象情報を管理する利用対象情報管理装置であって、
暗号化された利用対象情報と利用時処理プログラムとによりデータ構成された持出しパッケージデータを前記組織内端末へ送信する持出しパッケージ送信手段と、
前記持出しパッケージデータに格納された利用対象情報に対する操作を示す操作情報を、前記組織内端末から持出された持出しパッケージデータを記憶する前記組織外端末より受信する操作情報受信手段と、
前記組織外端末より受信した操作情報に基づく前記利用対象情報の利用可否の判定が利用可でない場合には、前記利用対象情報の利用を制限する利用可否判定手段と、
を備えることを特徴とする利用対象情報管理装置。
【請求項４】
前記利用条件の変更を受け付けて変更処理を行う利用条件変更手段と、
を備えることを特徴とする請求項１から請求項３の何れかに記載の利用対象情報管理装置。
【請求項５】
前記利用可否の判定時に、管理者の端末から送信される前記利用対象情報の利用可否のデータ入力を受け付ける利用可否受付手段と、
当該利用可否受付手段が受け付けた情報に基づいて前記利用対象情報の利用可否を判定するリアルタイム利用可否判定手段と、
を備えることを特徴とする請求項１から請求項４の何れかに記載の利用対象情報管理装置。
【請求項６】
前記利用可否判定手段は、前記利用対象情報の利用可否の判定が利用可である場合には、前記利用対象情報の管理者の秘密鍵を用いて前記復号鍵を暗号化し、さらに前記利用対象情報の利用者の公開鍵を用いて前記復号鍵を暗号化し、前記利用対象情報の管理者の公開鍵と前記利用対象情報の利用者の秘密鍵とを保持した前記組織外端末へ送信する
ことを特徴とする請求項１から請求項５の何れかに記載の利用対象情報管理装置。
【請求項７】
利用者の属する組織に接続された組織内端末と、前記組織に属さない組織外端末とで利用される利用対象情報を管理する利用対象情報管理装置の利用対象情報管理方法であって、
前記利用対象情報管理装置の持出しパッケージ送信手段が、暗号化された利用対象情報と利用時処理プログラムとによりデータ構成された持出しパッケージデータを前記組織内端末へ送信し、
前記利用対象情報管理装置の利用環境情報受信手段が、前記持出しパッケージデータに格納された利用対象情報の利用時に、その持出しパッケージデータであって前記組織内端末から持出された持出しパッケージデータを記憶する前記組織外端末より、前記利用対象情報の利用環境を示す利用環境情報を受信し、
前記利用対象情報管理装置の利用可否判定手段が、前記利用環境情報に基づく前記利用対象情報の利用可否の判定が利用可である場合には、前記組織外端末へ前記利用対象情報を復号する復号鍵を送信する
ことを特徴とする利用対象情報管理方法。
【請求項８】
利用者の属する組織に接続された組織内端末と、前記組織に属さない組織外端末とで利用される利用対象情報を管理する利用対象情報管理装置のコンピュータに実行させるプログラムであって、
暗号化された利用対象情報と利用時処理プログラムとによりデータ構成された持出しパッケージデータを前記組織内端末へ送信する持出しパッケージ送信処理と、
前記持出しパッケージデータに格納された利用対象情報の利用時に、その持出しパッケージデータであって前記組織内端末から持出された持出しパッケージデータを記憶する前記組織外端末より、前記利用対象情報の利用環境を示す利用環境情報を受信する利用環境情報受信処理と、
前記利用環境情報に基づく前記利用対象情報の利用可否の判定が利用可である場合には、前記組織外端末へ前記利用対象情報を復号する復号鍵を送信する利用可否判定処理と、
をコンピュータに実行させるプログラム。
【請求項１】
利用者の属する組織に接続された組織内端末と、前記組織に属さない組織外端末とで利用される利用対象情報を管理する利用対象情報管理装置であって、
暗号化された利用対象情報と利用時処理プログラムとによりデータ構成された持出しパッケージデータを前記組織内端末へ送信する持出しパッケージ送信手段と、
前記持出しパッケージデータに格納された利用対象情報の利用時に、その持出しパッケージデータであって前記組織内端末から持出された持出しパッケージデータを記憶する前記組織外端末より、前記利用対象情報の利用環境を示す利用環境情報を受信する利用環境情報受信手段と、
前記利用環境情報に基づく前記利用対象情報の利用可否の判定が利用可である場合には、前記組織外端末へ前記利用対象情報を復号する復号鍵を送信する利用可否判定手段と、
を備えることを特徴とする利用対象情報管理装置。
【請求項２】
利用者の属する組織に接続された組織内端末と、前記組織に属さない組織外端末とで利用される利用対象情報を管理する利用対象情報管理装置であって、
暗号化された利用対象情報と利用時処理プログラムとによりデータ構成された持出しパッケージデータを前記組織内端末へ送信する持出しパッケージ送信手段と、
前記持出しパッケージデータに格納された利用対象情報の利用開始時に、その持出しパッケージデータであって前記組織内端末から持出された持出しパッケージデータを記憶する前記組織外端末より、前記利用対象情報の利用条件を示す利用条件情報を受信する利用条件情報受信手段と、
前記組織外端末より受信した利用条件情報に基づく前記利用対象情報の利用可否の判定が利用可である場合には、前記組織外端末へ前記利用対象情報を復号する復号鍵を送信する利用可否判定手段と、
を備えることを特徴とする利用対象情報管理装置。
【請求項３】
利用者の属する組織に接続された組織内端末と、前記組織に属さない組織外端末とで利用される利用対象情報を管理する利用対象情報管理装置であって、
暗号化された利用対象情報と利用時処理プログラムとによりデータ構成された持出しパッケージデータを前記組織内端末へ送信する持出しパッケージ送信手段と、
前記持出しパッケージデータに格納された利用対象情報に対する操作を示す操作情報を、前記組織内端末から持出された持出しパッケージデータを記憶する前記組織外端末より受信する操作情報受信手段と、
前記組織外端末より受信した操作情報に基づく前記利用対象情報の利用可否の判定が利用可でない場合には、前記利用対象情報の利用を制限する利用可否判定手段と、
を備えることを特徴とする利用対象情報管理装置。
【請求項４】
前記利用条件の変更を受け付けて変更処理を行う利用条件変更手段と、
を備えることを特徴とする請求項１から請求項３の何れかに記載の利用対象情報管理装置。
【請求項５】
前記利用可否の判定時に、管理者の端末から送信される前記利用対象情報の利用可否のデータ入力を受け付ける利用可否受付手段と、
当該利用可否受付手段が受け付けた情報に基づいて前記利用対象情報の利用可否を判定するリアルタイム利用可否判定手段と、
を備えることを特徴とする請求項１から請求項４の何れかに記載の利用対象情報管理装置。
【請求項６】
前記利用可否判定手段は、前記利用対象情報の利用可否の判定が利用可である場合には、前記利用対象情報の管理者の秘密鍵を用いて前記復号鍵を暗号化し、さらに前記利用対象情報の利用者の公開鍵を用いて前記復号鍵を暗号化し、前記利用対象情報の管理者の公開鍵と前記利用対象情報の利用者の秘密鍵とを保持した前記組織外端末へ送信する
ことを特徴とする請求項１から請求項５の何れかに記載の利用対象情報管理装置。
【請求項７】
利用者の属する組織に接続された組織内端末と、前記組織に属さない組織外端末とで利用される利用対象情報を管理する利用対象情報管理装置の利用対象情報管理方法であって、
前記利用対象情報管理装置の持出しパッケージ送信手段が、暗号化された利用対象情報と利用時処理プログラムとによりデータ構成された持出しパッケージデータを前記組織内端末へ送信し、
前記利用対象情報管理装置の利用環境情報受信手段が、前記持出しパッケージデータに格納された利用対象情報の利用時に、その持出しパッケージデータであって前記組織内端末から持出された持出しパッケージデータを記憶する前記組織外端末より、前記利用対象情報の利用環境を示す利用環境情報を受信し、
前記利用対象情報管理装置の利用可否判定手段が、前記利用環境情報に基づく前記利用対象情報の利用可否の判定が利用可である場合には、前記組織外端末へ前記利用対象情報を復号する復号鍵を送信する
ことを特徴とする利用対象情報管理方法。
【請求項８】
利用者の属する組織に接続された組織内端末と、前記組織に属さない組織外端末とで利用される利用対象情報を管理する利用対象情報管理装置のコンピュータに実行させるプログラムであって、
暗号化された利用対象情報と利用時処理プログラムとによりデータ構成された持出しパッケージデータを前記組織内端末へ送信する持出しパッケージ送信処理と、
前記持出しパッケージデータに格納された利用対象情報の利用時に、その持出しパッケージデータであって前記組織内端末から持出された持出しパッケージデータを記憶する前記組織外端末より、前記利用対象情報の利用環境を示す利用環境情報を受信する利用環境情報受信処理と、
前記利用環境情報に基づく前記利用対象情報の利用可否の判定が利用可である場合には、前記組織外端末へ前記利用対象情報を復号する復号鍵を送信する利用可否判定処理と、
をコンピュータに実行させるプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【公開番号】特開２００８−２４２９５９（Ｐ２００８−２４２９５９Ａ）
【公開日】平成２０年１０月９日（２００８．１０．９）
【国際特許分類】
【出願番号】特願２００７−８４５７２（Ｐ２００７−８４５７２）
【出願日】平成１９年３月２８日（２００７．３．２８）
【出願人】（３９９０４０４０５）東日本電信電話株式会社 (286)
【出願人】（５０４１５７０２４）国立大学法人東北大学 (2,297)
【出願人】（５０１１７５２８１）株式会社サイバー・ソリューションズ (7)
【Ｆターム（参考）】
【公開日】平成２０年１０月９日（２００８．１０．９）
【国際特許分類】
【出願日】平成１９年３月２８日（２００７．３．２８）
【出願人】（３９９０４０４０５）東日本電信電話株式会社 (286)
【出願人】（５０４１５７０２４）国立大学法人東北大学 (2,297)
【出願人】（５０１１７５２８１）株式会社サイバー・ソリューションズ (7)
【Ｆターム（参考）】
[ Back to top ]