暗号処理プログラム、暗号処理装置および暗号処理方法
【課題】ファイルの安全性の向上を容易に実現すること。
【解決手段】暗号化手段１ａは、情報処理装置２から受信した平文ファイル３を暗号化して生成した暗号化ファイル４を情報処理装置２に送信する。情報処理装置２は、暗号化ファイル４を復号して取得した平文ファイル３の補助記憶装置２ａへの出力を制限して暗号化ファイル４の編集を行う。復号手段１ｂは、情報処理装置２から暗号化ファイル４を編集した暗号化ファイル４ａを受信すると、暗号化ファイル４ａを復号して平文ファイル３ａを生成し、平文ファイル３に対応するファイルとして平文ファイル３ａを情報処理装置２に送信する。
【解決手段】暗号化手段１ａは、情報処理装置２から受信した平文ファイル３を暗号化して生成した暗号化ファイル４を情報処理装置２に送信する。情報処理装置２は、暗号化ファイル４を復号して取得した平文ファイル３の補助記憶装置２ａへの出力を制限して暗号化ファイル４の編集を行う。復号手段１ｂは、情報処理装置２から暗号化ファイル４を編集した暗号化ファイル４ａを受信すると、暗号化ファイル４ａを復号して平文ファイル３ａを生成し、平文ファイル３に対応するファイルとして平文ファイル３ａを情報処理装置２に送信する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は暗号処理プログラム、暗号処理装置および暗号処理方法に関する。
【背景技術】
【０００２】
従来、組織内部で扱うデータの機密性を確保するため、組織内部から外部へのファイルの持出しを管理することが行われている。例えば、所定の条件を満たす管理対象ファイルにつき、外部記録媒体等への書き出しを禁止するものがある。（例えば、特許文献１，２参照）。また、持出しが許可されたファイルにつき、所定の出力許可時間帯に、外部記録媒体への出力を有効にするものがある（例えば、特許文献３参照）。
【０００３】
また、持出すファイルを暗号化することも行われている。暗号化したファイル（暗号化ファイル）は、復号するための鍵がなければ内容を参照することはできない。したがって、記憶デバイスに出力するファイルを暗号化しておけば、記憶デバイスが盗難に遭った場合の情報漏洩リスクを低減できる。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００６−２９３６７１号公報
【特許文献２】特開２００７−３４６５１号公報
【特許文献３】特開２００９−８６８１１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
ところで、情報処理装置が暗号化ファイルを復号して得た平文ファイルを、補助記憶装置に格納できるとすると、補助記憶装置の盗難時の情報漏洩リスクが高まる。そこで、主記憶装置上では暗号化ファイルの復号・編集・再暗号化を可能としつつ、暗号化ファイルを復号して得た平文ファイルの補助記憶装置への出力を制限することが考えられる。
【０００６】
しかし、暗号化ファイルに対してこのような制限を加えると、情報漏洩リスクを低減できる反面、ユーザによる自由なファイル操作が制限される。例えば、外部から持帰った際に、組織内部の情報処理装置が備える（盗難等の危険性の少ない）安全な補助記憶装置上への平文ファイルの取出しも行えなくなり、不便である。このように、ユーザのファイル操作へ与える影響も考慮して、ファイルの安全性の向上をどのように容易に実現するか問題となる。
【０００７】
本発明はこのような点に鑑みてなされたものであり、ファイルの安全性の向上を容易に実現できるようにした暗号処理プログラム、暗号処理装置および暗号処理方法を提供することを目的とする。
【課題を解決するための手段】
【０００８】
暗号化ファイルを復号して取得した平文ファイルの補助記憶装置への出力を制限して暗号化ファイルの編集を行う情報処理装置と通信するコンピュータの暗号処理プログラムが
提供される。この暗号処理プログラムを実行するコンピュータは、情報処理装置から受信した第１の平文ファイルを暗号化して生成した第１の暗号化ファイルを情報処理装置に送信する。そして、情報処理装置から第１の暗号化ファイルに対応する第２の暗号化ファイルを受信すると、第２の暗号化ファイルを復号して第２の平文ファイルを生成し、第１の平文ファイルに対応するファイルとして第２の平文ファイルを情報処理装置に送信する。
【０００９】
また、暗号化ファイルを復号して取得した平文ファイルの補助記憶装置への出力を制限して暗号化ファイルの編集を行う情報処理装置と通信する暗号処理装置が提供される。この暗号処理装置は、暗号化手段と復号手段とを有する。暗号化手段は、情報処理装置から受信した第１の平文ファイルを暗号化して生成した第１の暗号化ファイルを情報処理装置に送信する。復号手段は、情報処理装置から第１の暗号化ファイルに対応する第２の暗号化ファイルを受信すると、第２の暗号化ファイルを復号して第２の平文ファイルを生成し、第１の平文ファイルに対応するファイルとして第２の平文ファイルを情報処理装置に送信する。
【００１０】
また、暗号処理プログラムを実行するコンピュータの暗号処理方法が提供される。
【発明の効果】
【００１１】
上記暗号処理プログラム、暗号処理装置および暗号処理方法によれば、ファイルの安全性の向上を容易に実現できる。
【図面の簡単な説明】
【００１２】
【図１】第１の実施の形態に係る暗号処理装置を示す図である。
【図２】第２の実施の形態に係るファイル管理システムを示す図である。
【図３】暗号化ファイルの操作に対する制限を示す図である。
【図４】外部記録媒体へのファイルの出力制限を示す図である。
【図５】管理サーバのハードウェア例を示す図である。
【図６】管理サーバおよび端末装置の機能構成を示す図である。
【図７】ユーザ管理テーブルのデータ構造例を示す図である。
【図８】持出し申請管理テーブルのデータ構造例を示す図である。
【図９】申請状態の遷移を示す図である。
【図１０】持出しファイル管理テーブルのデータ構造例を示す図である。
【図１１】持帰りファイル管理テーブルのデータ構造例を示す図である。
【図１２】暗号化ファイルのデータ構造例を示す図である。
【図１３】固有情報のデータ構造例を示す図である。
【図１４】画面遷移を示す図である。
【図１５】持出し申請一覧画面を例示する図である。
【図１６】持出し申請画面を例示する第１の図である。
【図１７】持出し申請画面を例示する第２の図である。
【図１８】持出し申請詳細画面を例示する第１の図である。
【図１９】持出し申請詳細画面を例示する第２の図である。
【図２０】持出し申請詳細画面を例示する第３の図である。
【図２１】第２の実施の形態の持出し申請処理を示すフローチャートである。
【図２２】承認処理を示すフローチャートである。
【図２３】持出しファイルダウンロード処理を示すフローチャートである。
【図２４】外部記録媒体へのファイル出力処理を示すフローチャートである。
【図２５】平文ファイル取出し処理を示すフローチャートである。
【図２６】第２の実施の形態の復号制御を示すフローチャートである。
【図２７】第３の実施の形態の重要度テーブルのデータ構造例を示す図である。
【図２８】第３の実施の形態の持出し申請処理を示すフローチャートである。
【図２９】第３の実施の形態の復号制御を示すフローチャートである。
【発明を実施するための形態】
【００１３】
以下、本実施の形態を図面を参照して説明する。
［第１の実施の形態］
図１は、第１の実施の形態に係る暗号処理装置を示す図である。暗号処理装置１は、情報処理装置２と通信する。暗号処理装置１は、情報処理装置２が扱うデータを暗号処理する。情報処理装置２は補助記憶装置２ａを有する。補助記憶装置２ａは、平文ファイル３を記憶する。平文ファイル３は情報処理装置２が扱うデータである。
【００１４】
情報処理装置２は、暗号処理装置１が生成した暗号化ファイルを復号して取得した平文ファイルの、補助記憶装置２ａへの出力を制限して当該暗号化ファイルの編集を行う。例えば、情報処理装置２が暗号化ファイル４を復号して平文ファイル３を取得したとする。その場合、平文ファイル３の補助記憶装置２ａへの出力が制限される。
【００１５】
ここで、補助記憶装置２ａへの出力を制限するという場合、補助記憶装置２ａ内の特定の（例えば、アクセス制限がなされていない）領域への出力を禁止することを意味する。例えば、情報処理装置２は暗号化ファイルを暗号処理するために、補助記憶装置２ａにアクセス制限の課された作業用のテンポラリ領域を設けて、当該領域を一時的に利用することは可能である（以下、同様）。
【００１６】
なお、暗号化ファイルの編集には、暗号化ファイルを復号して取得した平文ファイルを編集し再度暗号化して暗号化ファイルとすることを含む。具体的には、暗号化ファイル４を復号して得た平文ファイル３を取得し、平文ファイル３を編集して平文ファイル３ａとした後、平文ファイル３ａを再度暗号化して暗号化ファイル４ａとする操作である。また、暗号化ファイル４ａは暗号化ファイル４と同一（編集なし）であってもよい。
【００１７】
暗号処理装置１は、暗号化手段１ａおよび復号手段１ｂを有する。
暗号化手段１ａは、情報処理装置２から受信した平文ファイル３を暗号化して生成した暗号化ファイル４を情報処理装置２に送信する。このとき、暗号化手段１ａは、承認者による承認が行われた平文ファイルのみを暗号化するようにしてもよい。また、暗号化手段１ａは、暗号化ファイル４を生成する際に、種々の属性を暗号化ファイル４に設定してもよい。例えば、暗号化ファイル４を利用可能な有効期間を設定することが考えられる。また、暗号化ファイル４の外部記録媒体への出力可否を設定することが考えられる。また、復号する際にユーザに求める鍵の入力回数の制限値を設定することが考えられる。
【００１８】
復号手段１ｂは、情報処理装置２から暗号化ファイル４に対応する暗号化ファイル４ａを受信すると、暗号化ファイル４ａを復号して平文ファイル３ａを生成し、平文ファイル３に対応するファイルとして平文ファイル３ａを情報処理装置２に送信する。このとき、復号手段１ｂは、暗号化手段１ａによって情報処理装置２に送信された暗号化ファイル（編集後のものを含む）のみを復号するようにしてもよい。また、平文ファイル３ａにつき承認者による承認が行われた場合にのみ、平文ファイル３ａを情報処理装置２へ送信可能としてもよい。承認は、例えば平文ファイル３の重要度に応じて行うようにしてもよい。
【００１９】
暗号処理装置１によれば、暗号化手段１ａにより、情報処理装置２から受信した平文ファイル３が暗号化されて生成された暗号化ファイル４が情報処理装置２に送信される。復号手段１ｂにより、情報処理装置２から暗号化ファイル４に対応する暗号化ファイル４ａが受信されると、暗号化ファイル４ａが復号されて平文ファイル３ａが生成される。そして、復号手段１ｂにより、平文ファイル３に対応するファイルとして平文ファイル３ａが情報処理装置２に送信される。
【００２０】
これにより、ファイルの安全性の向上を容易に実現できる。具体的には、情報処理装置２において補助記憶装置２ａへの出力を制限して暗号化ファイル４を扱えると共に、対応する（例えば、編集後の）暗号化ファイル４ａを暗号処理装置１に復号させることができる。そして、暗号処理装置１から復号により得られた平文ファイル３ａを取得し、平文ファイル３の編集後のファイルとして補助記憶装置２ａに格納できる。
【００２１】
このように、暗号化ファイル４，４ａのファイル操作を厳しく制限して、補助記憶装置２ａに平文ファイル３，３ａを取出せないものとしても、暗号処理装置１により暗号化ファイル４，４ａから平文ファイル３，３ａを取出せる。このため、暗号化ファイル４，４ａに格納されたファイルの安全性を向上できる。併せて、ユーザによる自由なファイル操作への影響を低減できる。
【００２２】
また、暗号化手段１ａは、上述したように承認されたファイルのみを暗号化したり、暗号化ファイル４の操作に関して種々の制限を設定したりしてもよい。更に、復号手段１ｂは、上述したように暗号化ファイル４，４ａの対応関係に基づいて復号可否を判断してもよい。また、復号手段１ｂは承認された平文ファイルのみを情報処理装置２に送信可能としてもよい。このようにすれば、ファイルの安全性を一層向上できる。
【００２３】
以下の説明では、組織内部から外部へのファイルの持出しおよび持帰りを管理する情報処理システム（ファイル管理システム）に暗号処理装置１を適用する場合を例示する。
［第２の実施の形態］
図２は、第２の実施の形態に係るファイル管理システムを示す図である。このファイル管理システムは、管理サーバ１００、端末装置２００，２００ａおよび外部記録媒体３００を含む。管理サーバ１００および端末装置２００，２００ａはネットワーク１０に接続されている。管理サーバ１００および端末装置２００，２００ａは社内に設けられた情報処理装置である。このファイル管理システムでは、外部記録媒体３００への平文ファイルの出力を制限する。すなわち、端末装置２００，２００ａは、暗号化ファイルのみを外部記録媒体３００へ出力可能である。
【００２４】
管理サーバ１００は、ファイルの持出し・持帰りを管理する情報処理装置である。管理サーバ１００は、端末装置２００，２００ａからファイル持出しの申請を受け付ける。管理サーバ１００は、ファイル持出しの申請が承認されると、申請されたファイルを暗号化した暗号化ファイルを生成して記憶する。また、管理サーバ１００は申請したユーザによる暗号化ファイルのダウンロードを可能とする。
【００２５】
更に、管理サーバ１００は、端末装置２００，２００ａを介して、社外から持帰られた暗号化ファイルを受け付ける。管理サーバ１００は、暗号化ファイルを復号して平文ファイルを生成し、記憶する。そして、管理サーバ１００は、当該暗号化ファイルを持帰ったユーザによる平文ファイルのダウンロードを可能とする。
【００２６】
ここで、管理サーバ１００はＷｅｂサーバ機能を有する。端末装置２００，２００ａは、ブラウザを介して、管理サーバ１００の機能を利用できる。
端末装置２００，２００ａは、社員であるユーザが利用する情報処理装置である。ユーザは、その権限に応じて２種類に区分される。すなわち、ファイル持出しの申請のみを行える申請者と、当該申請に対して承認を行う承認者である。申請者は、端末装置２００，２００ａを操作して、管理サーバ１００にファイル持出しの申請を行える。承認者は、端末装置２００，２００ａを操作して、ファイル持出しの申請に対する承認を行える。申請者は、端末装置２００，２００ａを操作して、承認された申請につき管理サーバ１００から暗号化ファイルをダウンロードし、外部記録媒体３００に出力して持出せる。
【００２７】
更に、申請者は端末装置２００，２００ａを操作して、持帰った暗号化ファイルを管理サーバ１００にアップロードして復号させ、管理サーバ１００から平文ファイルをダウンロードできる。
【００２８】
ここで、以下では説明を容易とするため、端末装置２００は主に申請者により利用され、端末装置２００ａは主に承認者により利用されるとする。
端末装置２００ｂは、社外に設けられた情報処理装置である。申請者は、社内から外部記録媒体３００に持出した暗号化ファイルを端末装置２００ｂで編集できる。
【００２９】
ここで、端末装置２００，２００ａ，２００ｂで暗号化ファイルを編集する際には次のような制限が課される。
図３は、暗号化ファイルの操作に対する制限を示す図である。暗号化ファイル４００は、管理サーバ１００によって生成される暗号化されたファイルである。暗号化ファイル４００には、１以上のファイルが格納される。図３の例では、暗号化ファイル４００には格納ファイル４１１，４１２が格納されている。格納ファイル４１１，４１２は、暗号化ファイル４００に格納された状態では暗号化されており、所定の鍵により復号しなければ内容を参照できない。
【００３０】
ここで、端末装置２００は主記憶装置２０１および補助記憶装置２０２を有する。端末装置２００で（例えば、所定のアプリケーションを用いて）格納ファイル４１１を編集する際、端末装置２００は所定の鍵を用いて格納ファイル４１１を復号し、平文ファイル５１１を得る。平文ファイル５１１は主記憶装置２０１の所定の領域に格納される。平文ファイル５１１を編集するアプリケーションは、主記憶装置２０１に格納された平文ファイル５１１を参照して当該ファイルの編集を行える。ただし、編集後の平文ファイル５１１を再度暗号化して暗号化ファイル４００に格納することはできるが、補助記憶装置２０２に出力することは制限されている。
【００３１】
ここで、端末装置２００の構成を示して説明したが端末装置２００ａ，２００ｂについても同様である。このように、暗号化ファイル４００につき、端末装置２００，２００ａ，２００ｂでの操作を厳しく制限することで、持出し先での不適切なファイルの取り扱いを防止し、情報漏洩リスクを低減する。
【００３２】
更に、端末装置２００，２００ａでは、次に示すように外部記録媒体３００へのファイル出力も制限される。
図４は、外部記録媒体へのファイルの出力制限を示す図である。端末装置２００は、外部記録媒体３００と接続し、外部記録媒体３００にファイルを出力、あるいは外部記録媒体３００からファイルを取得できる。外部記録媒体３００は、例えばＵＳＢ（Universal Serial Bus）メモリである。端末装置２００は、平文ファイル５１１の外部記録媒体３００への出力が制限される。他方、端末装置２００では、暗号化ファイル４００であれば外部記録媒体３００への出力が許容される。端末装置２００ａに関しても同様である。このように、外部へ持出せるファイルを暗号化ファイルに限ることで、外部記録媒体３００を紛失した際の情報漏洩リスクを低減する。
【００３３】
なお、暗号化ファイル４００は、外部記録媒体３００に出力して社内から社外へ持出したり、社外から社内へ持帰ったりできるファイルである。そして、ファイル管理システムでは、持出し時と持帰り時とで、暗号化ファイル４００の取り扱いが異なる。そこで、以下の説明では暗号化ファイル４００が持出す際のものか、持帰った際のものかを区別したい場合に、次のように呼び分ける。すなわち、社内から社外へ持出す際の暗号化ファイル４００を“持出しファイル”と称することがある。また、社外から社内へ持帰った際の暗号化ファイル４００を“持帰りファイル”と称することがある。
【００３４】
図５は、管理サーバのハードウェア例を示す図である。管理サーバ１００は、ＣＰＵ（Central Processing Unit）１０１、ＲＯＭ（Read Only Memory）１０２、ＲＡＭ（Random Access Memory）１０３、ＨＤＤ（Hard Disk Drive）１０４、グラフィック処理装置１０５、入力インタフェース１０６、記録媒体読取装置１０７および通信インタフェース１０８を有する。
【００３５】
ＣＰＵ１０１は、管理サーバ１００全体を制御する。
ＲＯＭ１０２は、管理サーバ１００上のＢＩＯＳ（Basic Input / Output System）のプログラムなどを記憶する。
【００３６】
ＲＡＭ１０３は、ＣＰＵ１０１に実行させるＯＳ（Operating System）プログラムやアプリケーションプログラムの少なくとも一部を一時的に記憶する。また、ＲＡＭ１０３は、ＣＰＵ１０１による処理に必要な各種データを記憶する。
【００３７】
ＨＤＤ１０４は、ＯＳプログラムやアプリケーションプログラムを記憶する。また、ＨＤＤ１０４はＣＰＵ１０１による処理に必要な各種データを記憶する。なお、ＨＤＤ１０４に代えて（または、ＨＤＤ１０４と併せて）、ＳＳＤ（Solid State Drive）など他の種類の記憶装置を用いてもよい。
【００３８】
グラフィック処理装置１０５は、モニタ１１と接続される。グラフィック処理装置１０５は、ＣＰＵ１０１からの命令に従って画像をモニタ１１の画面に表示させる。
入力インタフェース１０６は、キーボード１２とマウス１３と接続される。入力インタフェース１０６は、キーボード１２やマウス１３から送られてくる信号をＣＰＵ１０１に送信する。
【００３９】
記録媒体読取装置１０７は、記録媒体１４に記憶されたデータを読み取る読取装置である。例えば、管理サーバ１００が有すべき機能は、その機能の処理内容を記述したプログラムをコンピュータが実行することで実現できる。プログラムは、コンピュータ読み取り可能な記録媒体１４に記録して配布することができる。
【００４０】
記録媒体１４としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリを使用できる。磁気記録装置には、ＨＤＤ、フレキシブルディスク（ＦＤ：Flexible Disk）、磁気テープなどがある。光ディスクには、ＣＤ（Compact Disc）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ−Ｒ／ＲＷ／ＲＡＭなどがある。光磁気記録媒体には、ＭＯ（Magneto-Optical disk）などがある。半導体メモリには、ＵＳＢメモリなどのフラッシュメモリがある。
【００４１】
また、ネットワーク１０に接続されたプログラム配信サーバ（図示せず）にプログラムを格納してもよい。この場合、管理サーバ１００は、ネットワーク１０を介してプログラム配信サーバからプログラムをダウンロードすることができる。
【００４２】
通信インタフェース１０８は、ネットワーク１０と接続される。通信インタフェース１０８は、ネットワーク１０を介して端末装置２００，２００ａを含む他の情報処理装置とデータ通信する。
【００４３】
なお、端末装置２００，２００ａ，２００ｂも管理サーバ１００と同様のハードウェア構成により実現できる。
図６は、管理サーバおよび端末装置の機能構成を示す図である。管理サーバ１００は、制御情報記憶部１１０、ファイル記憶部１２０、ログ記憶部１３０、通信部１４０、ファイル管理部１５０、画面生成部１６０、暗号化部１７０および復号部１８０を有する。これらのユニットの機能は、ＣＰＵ１０１が所定のプログラムを実行することにより管理サーバ１００上に実現される。ただし、これらのユニットの機能の全部または一部を専用のハードウェアで実現してもよい。
【００４４】
制御情報記憶部１１０は、制御情報を記憶する。制御情報には、ユーザ管理テーブル、持出し申請管理テーブル、持出しファイル管理テーブルおよび持帰りファイル管理テーブルが含まれる。ユーザ管理テーブルは、ファイル管理システムを利用するユーザや暗号化に用いる鍵を管理するためのテーブルである。持出し申請管理テーブルは、申請者による申請を管理するためのテーブルである。持出しファイル管理テーブルは、持出しファイルの内容を管理するためのテーブルである。持帰りファイル管理テーブルは、持帰りファイルの内容を管理するためのテーブルである。
【００４５】
ファイル記憶部１２０は、持出し申請の対象となっている平文ファイルや平文ファイルを暗号化した暗号化ファイル（持出しファイル）を記憶する。また、ファイル記憶部１２０は、持帰られた暗号化ファイル（持帰りファイル）から取出した平文ファイルを記憶する。なお、ファイル記憶部１２０はネットワーク１０に接続された別の情報処理装置に設けられてもよい。
【００４６】
ログ記憶部１３０は、ファイル管理システムで発生するイベントの履歴を記憶する。イベントは、例えば、持出し申請の発生、承認、暗号化、持出しファイルの端末装置２００への送信、持帰りファイルの端末装置２００からの受信、持帰りファイルの復号および持帰りファイルから取出したファイルの端末装置２００への送信などである。各イベントは、例えば、発生した時間（年月日時分秒）や申請者および承認者の識別情報などと共に記録される。
【００４７】
通信部１４０は、端末装置２００とデータ通信する。通信部１４０は、ファイル管理部１５０から取得したファイルを端末装置２００に送信し、端末装置２００から受信したファイルをファイル管理部１５０に出力する。また、通信部１４０は、画面生成部１６０から取得した画面データを端末装置２００に送信し、端末装置２００から受信した当該画面データに対する操作情報を画面生成部１６０に出力する。
【００４８】
ファイル管理部１５０は、制御情報記憶部１１０、ファイル記憶部１２０およびログ記憶部１３０に格納された各データを参照・更新して、ファイル管理の機能を実現する。
具体的には、ファイル管理部１５０は申請者による持出し申請を受け付ける。ファイル管理部１５０は、持出し申請されたファイルをファイル記憶部１２０に格納して管理する。ファイル管理部１５０は、持出し申請に対する承認者の承認／否認の判断を受け付ける。ファイル管理部１５０は、承認されたファイルを暗号化部１７０に暗号化させ、暗号化ファイル（持出しファイル）を生成させてファイル記憶部１２０に格納する。ファイル管理部１５０は、端末装置２００からのリクエストに応じてファイル記憶部１２０から持出しファイルを取得し、通信部１４０を介して端末装置２００に送信する。
【００４９】
更に、ファイル管理部１５０は、通信部１４０を介して端末装置２００から暗号化ファイル（持帰りファイル）を受信すると、ファイル記憶部１２０に格納して管理する。ファイル管理部１５０は、持帰りファイルを復号部１８０に復号させて平文ファイルを取出し、ファイル記憶部１２０に格納する。ファイル管理部１５０は、端末装置２００からの要求に応じてファイル記憶部１２０から取出した平文ファイルを取得し、通信部１４０を介して端末装置２００に送信する。
【００５０】
また、ファイル管理部１５０は、各処理を行うたびに、各処理に対応するイベントのログを生成してログ記憶部１３０に格納する。
画面生成部１６０は、申請者が申請操作を行うための画面データや、承認者が承認操作を行うための画面データを通信部１４０を介して端末装置２００に送信する。ここで、画面データは、例えば、ＨＴＭＬ（HyperText Markup Language）形式のデータである。画面生成部１６０は、画面データを生成するための所定の情報をファイル管理部１５０から取得する。例えば、持出しファイルや持帰りファイルなどの管理サーバ１００上の所在を示す情報である。
【００５１】
暗号化部１７０は、ファイル管理部１５０により入力された平文ファイルを暗号化して暗号化ファイルを生成し、ファイル管理部１５０に出力する。
復号部１８０は、ファイル管理部１５０により入力された暗号化ファイルを復号して平文ファイルを生成し、ファイル管理部１５０に出力する。
【００５２】
端末装置２００は、ファイル記憶部２１０、通信部２２０、ブラウザ２３０、暗号化ファイル処理部２４０および媒体出力制御部２５０を有する。これらのユニットの機能は、端末装置２００が備えるＣＰＵが所定のプログラムを実行することにより端末装置２００上に実現される。ただし、これらのユニットの機能の全部または一部を専用のハードウェアで実現してもよい。
【００５３】
ファイル記憶部２１０は、端末装置２００で扱うファイルを記憶する。なお、ファイル記憶部２１０はネットワーク１０に接続された別の情報処理装置に設けられてもよい。
通信部２２０は、管理サーバ１００とデータ通信する。通信部２２０は、管理サーバ１００から受信したファイルや画面データをブラウザ２３０に出力する。通信部２２０は、ブラウザ２３０が出力したリクエストを管理サーバ１００に送信する。
【００５４】
ブラウザ２３０は、通信部２２０から取得した画面データを解析して、端末装置２００に接続されたモニタに申請用画面や承認用画面を表示させる。ブラウザ２３０は、各画面に従ったユーザの操作入力を受け付け、当該操作入力に応じたリクエストを生成し、通信部２２０を介して管理サーバ１００に送信する。
【００５５】
暗号化ファイル処理部２４０は、ファイル記憶部２１０に格納された暗号化ファイルを暗号処理する。その際、図３で説明したようにファイル操作を制限する。すなわち、暗号化ファイル処理部２４０は、主記憶装置２０１上の所定領域に復号した平文ファイルを格納し、平文ファイルの補助記憶装置２０２への出力を制限する。アプリケーションは、主記憶装置２０１上の当該領域を参照して平文ファイルの編集を行える。アプリケーションによる編集が完了すると、暗号化ファイル処理部２４０は当該平文ファイルを再度暗号化して暗号化ファイルに格納する。暗号化ファイル処理部２４０が暗号処理に用いる鍵は、例えばファイル記憶部２１０に予め格納される。あるいは、鍵は、暗号処理を行う際に端末装置２００のユーザにより入力される。
【００５６】
媒体出力制御部２５０は、ファイル記憶部２１０に格納されたファイルを外部記録媒体３００に出力する。その際、図４で説明したようにファイルの内容によって出力を制限する。すなわち、媒体出力制御部２５０は、管理サーバ１００で承認され、暗号化された暗号化ファイルを外部記録媒体３００へ出力可能とし、それ以外のファイルの出力を制限する。
【００５７】
なお、端末装置２００ａも端末装置２００と同様の機能構成により実現できる。
図７は、ユーザ管理テーブルのデータ構造例を示す図である。ユーザ管理テーブル１１１は、制御情報記憶部１１０に予め格納される。ユーザ管理テーブル１１１には、ユーザＩＤ（Identifier）、パスワード、ユーザ名、所属、役職、承認者およびメールアドレスの項目が設けられている。各項目の横方向に並べられた情報同士が互いに関連付けられて、１ユーザの情報を示す。
【００５８】
ユーザＩＤの項目には、ファイル管理システムにおけるユーザＩＤが設定される。パスワードの項目には、ファイル管理システムを利用するためのパスワードが設定される。ユーザ名の項目には、ユーザの名称が設定される。所属の項目には、所属している部署が設定される。役職の項目には、役職が設定される。承認者の項目には、承認の権限を有しているか否かを示すフラグが設定される。メールアドレスの項目は、電子メールのアドレスが設定される。
【００５９】
例えば、ユーザ管理テーブル１１１には、ユーザＩＤが“ｔａｒｏｕ”、パスワードが“ａｂｃｄｅｆｇ”、ユーザ名が“ＢＳＣ太郎”、所属が“ＡＰ本部”、役職が“担当”、承認者が“×”（バツ印）、メールアドレスが“ｔａｒｏｕ＠ｘｘｘ．ｘｘｘ”という情報が設定される。
【００６０】
これは、“ＢＳＣ太郎”というユーザに対してファイル管理システム上で、ユーザＩＤ“ｔａｒｏｕ”、パスワード“ａｂｃｄｅｆｇ”が与えられていること、当該ユーザが“ＡＰ本部”に所属し、役職が“担当”であること、承認権限を有していない（“×”）こと、連絡先のメールアドレスが“ｔａｒｏｕ＠ｘｘｘ．ｘｘｘ”であることを示している。
【００６１】
なお、承認者が“○”（丸印）のユーザは、承認権限を有していることを示す。ユーザ管理テーブル１１１の例では、“ｈａｎａｋｏ”というユーザＩＤのレコードが対応する。すなわち、このユーザＩＤに対応するユーザ“ＢＳＣ花子”は、承認者であることを示す。
【００６２】
図８は、持出し申請管理テーブルのデータ構造例を示す図である。持出し申請管理テーブル１１２は、申請者によってなされた持出し申請を管理するためのデータである。持出し申請管理テーブル１１２は、制御情報記憶部１１０に格納される。持出し申請管理テーブル１１２は、ファイル管理部１５０によって更新される。持出し申請管理テーブル１１２には、申請ＩＤ、申請日時、申請者ＩＤ、承認者ＩＤ、持出し先、持出し理由、申請状態、持出し日時、鍵、ファイル管理ＩＤ、持帰り予定日時および持帰り日時の項目が設けられている。
【００６３】
申請ＩＤの項目には、申請ＩＤが設定される。申請日時の項目には、申請が行われた時間（年月日時分秒）が設定される。申請者ＩＤの項目には、申請者のユーザＩＤが設定される。承認者ＩＤの項目には、承認者のユーザＩＤが設定される。持出し先の項目には、持出し先が設定される。持出し理由の項目には、持出し理由が設定される。申請状態の項目には、現時点での当該申請の状態が設定される。申請状態とは、例えば当該申請の未承認・承認、承認されて生成された持出しファイルの持出し・持帰りなどを示す。持出し日時の項目には、持出しファイルが持出された時間（年月日時分秒）が設定される。鍵の項目には、暗号処理に用いる鍵が設定される。ファイル管理ＩＤの項目には、持出し申請されたファイルおよび持出しファイルを管理するためのファイル管理ＩＤが設定される。持帰り予定日時の項目には、持出しファイルを持帰る予定の時間（年月日時分秒）が設定される。持帰り日時の項目には、持出しファイルを持帰った時間（年月日時分秒）が設定される。
【００６４】
例えば、持出し申請管理テーブル１１２には、申請ＩＤが“Ａ０００１”、申請日時が“２０１１／１／２１ １０：００：００”、申請者ＩＤが“ｔａｒｏｕ”、承認者ＩＤが“ｈａｎａｋｏ”、持出し先が“Ｘ社”、持出し理由が“客先作業”、申請状態が“持出し済”、持出し日時が“２０１１／１／２１ １２：１０：３０”、鍵が“ｑｗｅｒｔｙｕ”、ファイル管理ＩＤが“３Ｆ２５０４Ｅ０−４Ｆ８９”、持帰り予定日時が“２０１１／１／２３ １７：００：００”、持帰り日時が“−”（ハイフン）という情報が設定される。
【００６５】
これは、申請者ＩＤ“ｔａｒｏｕ”に対応するユーザが、承認者ＩＤ“ｈａｎａｋｏ”に対応するユーザを承認者として、２０１１年１月２１日１０時００分００秒に、ファイルの持出し申請を行っており、当該申請を識別する情報として申請ＩＤ“Ａ０００１”が付与されていることを示す。また、この申請では、持出し先が“Ｘ社”、持出し理由が“客先作業”、申請状態が“持出し済”、持出し日時が２０１１年１月２１日１２時１０分３０秒であることを示す。更に、暗号処理に用いる鍵が“ｑｗｅｒｔｙｕ”であり、ファイル管理ＩＤが“３Ｆ２５０４Ｅ０−４Ｆ８９”であることを示す。また、持帰り予定日時が２０１１年１月２３日１７時００分００秒であることを示し、持帰り日時が未設定（“−”）であることを示す。
【００６６】
ここで、持出し申請の申請状態について説明する。
図９は、申請状態の遷移を示す図である。図９では、各申請状態に符号を振って申請状態の遷移を説明する。あるファイルについて持出し申請がなされると、当該申請に申請ＩＤが付与されて、持出し申請管理テーブル１１２に登録される。このとき、申請状態は未承認５１となる。
【００６７】
そして、当該申請が承認者により承認されると、申請状態は未承認５１から承認５２に遷移する。一方、当該申請が承認者により否認されると、申請状態は未承認５１から否認５３に遷移する。
【００６８】
申請状態が承認５２の申請につき、申請者が持出しファイルを管理サーバ１００からダウンロードすると、申請状態は承認５２から持出し済５４に遷移する。申請状態が持出し済５４の申請につき、申請者が持帰りファイルを管理サーバ１００にアップロードすると、申請状態は持出し済５４から持帰り済５５に遷移する。
【００６９】
更に、管理サーバ１００が持帰りファイルの復号に成功し、格納されたファイルの取出しが完了すると、申請状態は、持帰り済５５から取出し済５６に遷移する。
ファイル管理部１５０は、申請状態が変化すると、持出し申請管理テーブル１１２の申請状態の項目を変化後の設定に更新する。
【００７０】
図１０は、持出しファイル管理テーブルのデータ構造例を示す図である。持出しファイル管理テーブル１１３は、持出し申請されたファイルおよび持出しファイルを管理するためのデータである。持出しファイル管理テーブル１１３は、制御情報記憶部１１０に格納される。持出しファイル管理テーブル１１３は、ファイル管理部１５０によって更新される。持出しファイル管理テーブル１１３には、ファイル管理ＩＤ、持出しファイル名、作成日時、格納ファイル名（１）、格納ファイルのハッシュ（１）、格納ファイル名（２）、格納ファイルのハッシュ（２）、・・・、持出しファイル設定、有効期間、パスワード回数制限および格納ディレクトリの項目が設けられている。各項目の横方向に並べられた情報同士が互いに関連付けられて、１つの持出しファイルとそれに格納される１以上のファイルの情報を示す。
【００７１】
ファイル管理ＩＤの項目には、ファイル管理ＩＤが設定される。持出しファイル名の項目には、持出しファイルの名称が設定される。作成日時の項目には、持出しファイルが作成された時間（年月日時分秒）が設定される。
【００７２】
格納ファイル名（１）の項目には、格納される１つ目のファイルの名称が設定される。格納ファイルのハッシュ（１）の項目には、格納される１つ目のファイルのハッシュ値が設定される。格納ファイル名（２）の項目には、格納される２つ目のファイルの名称が設定される。格納ファイルのハッシュ（２）の項目には、格納される２つ目のファイルのハッシュ値が設定される。格納ファイル名およびそのファイルのハッシュは、持出しファイルに格納されるファイル数分設定される。格納ファイルが３以上ある場合には、格納ファイル名の項目および格納ファイルのハッシュの項目が更に設けられる。
【００７３】
持出しファイル設定の項目には、持出しファイルのファイル操作に課される制限が設定される。例えば、図３に示したように補助記憶装置２０２への出力を制限する旨の設定（ファイル取出し制限）がなされる。また、その上で更なる制限の設定がなされてもよい（例えば、印刷の禁止など）。有効期間の項目には、持出しファイルを利用可能な期間が設定される。パスワード回数制限の項目には、復号時にパスワード入力を求める際に許容する入力回数が設定される。格納ディレクトリの項目には、持出しファイルおよび格納ファイル群を格納した管理サーバ１００上のディレクトリが設定される。
【００７４】
例えば、持出しファイル管理テーブル１１３には、ファイル管理ＩＤが“３Ｆ２５０４Ｅ０−４Ｆ８９”、持出しファイル名が“作業用ファイル．ｄａｔ”、作成日時が“２０１１／１／２１ １１：３０：３０”、格納ファイル名（１）が“ａ．ｔｘｔ”、格納ファイルのハッシュ（１）が“１５ａｃ８ｆ９ｄｃｂ”、格納ファイル名（２）が“ｂ．ｔｘｔ”、格納ファイルのハッシュ（２）が“ｃ５８９ａ０１ａ３ｆ”、持出しファイル設定のファイル取出し制限が“ＯＮ”、有効期間が“２日間“、パスワード回数制限が“５”、格納ディレクトリが“／ＡＰＰ１／３Ｆ２５０４Ｅ０−４Ｆ８９”という情報が設定される。
【００７５】
これは、ファイル管理ＩＤ“３Ｆ２５０４Ｅ０−４Ｆ８９”が持出しファイル名“作業用ファイル．ｄａｔ”に対応するものであることを示す。また、当該持出しファイルは、２０１１年１月２１日１１時３０分３０秒に作成され、“ａ．ｔｘｔ”および“ｂ．ｔｘｔ”というファイルが格納されていることを示す。そして、“ａ．ｔｘｔ”のハッシュ値が“１５ａｃ８ｆ９ｄｃｂ”であり、“ｂ．ｔｘｔ”のハッシュ値が“ｃ５８９ａ０１ａ３ｆ”であることを示す。また、持出しファイルにつき補助記憶装置２０２への出力が制限されていること、持出しファイルを利用可能な期間が作成日時から２日間であること、パスワードを入力可能な回数が５回であること、を示している。
【００７６】
ここで、承認後、持出しファイルを利用可能な期間が経過すると、例えば持出しファイルに格納されたファイルの閲覧が不可能となる。また、パスワード回数制限を超えてパスワードを入力ミスすると、例えば持出しファイルに格納されたファイルの復号が不可能となる。
【００７７】
更に、持出しファイルおよび格納ファイルが管理サーバ１００上のディレクトリ“／ＡＰＰ１／３Ｆ２５０４Ｅ０−４Ｆ８９”配下に格納されていることを示す。ここで、“ＡＰＰ１”は、ファイル記憶部１２０のディレクトリであるとする。すなわち、本例では、持出しファイルおよびその格納ファイルは、ファイル記憶部１２０内のディレクトリ“／ＡＰＰ１”配下のファイル管理ＩＤと同名のディレクトリに格納されている。
【００７８】
図１１は、持帰りファイル管理テーブルのデータ構造例を示す図である。持帰りファイル管理テーブル１１４は、持帰りファイルを管理するためのデータである。持帰りファイル管理テーブル１１４は、制御情報記憶部１１０に格納される。持帰りファイル管理テーブル１１４は、ファイル管理部１５０によって更新される。持帰りファイル管理テーブル１１４には、ファイル管理ＩＤ、持帰りファイル名、取出し日時、格納ファイル名（１）、格納ファイルのハッシュ（１）、格納ファイル名（２）、格納ファイルのハッシュ（２）、・・・、および格納ディレクトリの項目が設けられている。各項目の横方向に並べられた情報同士が互いに関連付けられて、１つの持帰りファイルとそれから取出された１以上のファイルの情報を示す。
【００７９】
ファイル管理ＩＤの項目には、ファイル管理ＩＤが設定される。持帰りファイル名の項目には、持帰りファイルの名称が設定される。取出し日時の項目には、持帰りファイルを復号して格納されたファイルを取出した時間（年月日時分秒）が設定される。
【００８０】
格納ファイル名（１）の項目には、格納された１つ目のファイルの名称が設定される。格納ファイルのハッシュ（１）の項目には、格納された１つ目のファイルのハッシュ値が設定される。格納ファイル名（２）の項目には、格納された２つ目のファイルの名称が設定される。格納ファイルのハッシュ（２）の項目には、格納された２つ目のファイルのハッシュ値が設定される。格納ファイル名およびそのファイルのハッシュ値は、持帰りファイルに格納されるファイル数分設定される。格納ファイルが３以上ある場合には、格納ファイル名の項目および格納ファイルのハッシュの項目が更に設けられる。
【００８１】
格納ディレクトリの項目には、持帰りファイルおよび持帰りファイルから取出された格納ファイル群を格納した管理サーバ１００上のディレクトリが設定される。
以下、図１０で示したファイル管理ＩＤ“３Ｆ２５０４Ｅ０−４Ｆ８９”の持出しファイルが社外から社内へ持帰られた場合を想定して、持帰りファイル管理テーブル１１４の設定を例示する。
【００８２】
例えば、持帰りファイル管理テーブル１１４には、ファイル管理ＩＤが“３Ｆ２５０４Ｅ０−４Ｆ８９”、持帰りファイル名が“作業用ファイル．ｄａｔ”、取出し日時が“２０１１／１／２２／１６：００：００”、格納ファイル名（１）が“ａ．ｔｘｔ”、格納ファイルのハッシュ（１）が“ｂ９８ａ７６３ｆ０ｄ”、格納ファイル名（２）が“ｂ．ｔｘｔ”、格納ファイルのハッシュ（２）が“ｃ５８９ａ０１ａ３ｆ”、格納ディレクトリが“／ＡＰＰ２／３Ｆ２５０４Ｅ０−４Ｆ８９”という情報が設定される。
【００８３】
これは、ファイル管理ＩＤ“３Ｆ２５０４Ｅ０−４Ｆ８９”が持帰りファイル名“作業用ファイル．ｄａｔ”に対応するものであることを示す。また、当該持帰りファイルは、２０１１年１月２２日１６時００分００秒に復号されて、“ａ．ｔｘｔ”および“ｂ．ｔｘｔ”が取出されたことを示す。そして、“ａ．ｔｘｔ”のハッシュ値が“ｂ９８ａ７６３ｆ０ｄ”であり、“ｂ．ｔｘｔ”のハッシュ値が“ｃ５８９ａ０１ａ３ｆ”であることを示す。
【００８４】
更に、持帰りファイルおよび取出された格納ファイルが管理サーバ１００上のディレクトリ“ＡＰＰ２／３Ｆ２５０４Ｅ０−４Ｆ８９”配下に格納されていることを示す。ここで、“ＡＰＰ２”は、ファイル記憶部１２０のディレクトリであるとする。すなわち、本例では、持帰りファイルおよびそこから取出された格納ファイルは、ファイル記憶部１２０内のディレクトリ“／ＡＰＰ２”配下のファイル管理ＩＤと同名のディレクトリに格納されている。
【００８５】
次に、暗号化ファイル（持出しファイルまたは持帰りファイル）のデータ構造について説明する。
図１２は、暗号化ファイルのデータ構造例を示す図である。暗号化ファイル４００は、管理情報４０１、格納ファイル４１１，４１２、格納ファイル情報４２１および固有情報４３１を含む。
【００８６】
管理情報４０１は、ＯＳのファイルシステムで用いるファイル管理用の情報（暗号化ファイル４００のファイル名など）を格納するデータ領域である。管理情報４０１は、暗号化されないデータである。
【００８７】
格納ファイル４１１，４１２は、格納ファイルのデータ本体である。図１２では、格納ファイル４１１，４１２の２つのファイルを例示しているが、暗号化ファイル４００には１以上のファイルを格納し得る。
【００８８】
格納ファイル情報４２１は、格納ファイル４１１，４１２の各ファイルを識別するための情報である。具体的には、格納ファイル４１１，４１２のファイル名、データサイズ、暗号化ファイル４００内における格納ファイル４１１，４１２の相対アドレスなどを示す情報を含む。例えば、格納ファイル４１１のファイル名として“ａ．ｔｘｔ”が、格納ファイル４１２のファイル名として“ｂ．ｔｘｔ”が設定される。
【００８９】
端末装置２００，２００ａ，２００ｂは、格納ファイル情報４２１に基づき各ファイルのファイル名、開始位置および終了位置などを特定できる。また、端末装置２００，２００ａ，２００ｂでは、格納ファイル情報４２１を参照することで、格納ファイル４１１，４１２の復号を行う前に、暗号化ファイル４００に含まれる格納ファイルの一覧を取得できる。
【００９０】
固有情報４３１は、暗号化ファイル４００に設定されたファイル管理ＩＤ、持出しファイル設定の内容および暗号化ファイル４００に対する操作履歴などを格納した情報である。
【００９１】
格納ファイル４１１，４１２、格納ファイル情報４２１および固有情報４３１は、暗号化されるデータである。
次に、固有情報４３１のデータ構造を詳細に説明する。
【００９２】
図１３は、固有情報のデータ構造例を示す図である。固有情報４３１は、ファイル管理ＩＤ、持出しファイル設定、作成日時および操作履歴の項目を含む。
ファイル管理ＩＤの項目には、ファイル管理ＩＤが設定される。持出しファイル設定の項目には、持出しファイルに対する制限内容が設定される。作成日時の項目には、暗号化ファイル４００の作成日時（年月日時分秒）が設定される。操作履歴の項目には、暗号化ファイル４００に対する端末装置２００，２００ａ，２００ｂでの操作の履歴が設定される。操作履歴の項目には、例えば、１つの操作につき操作種別、操作時間および端末情報が記録される。固有情報４３１の例では、１操作に関するこれらの情報の組を括弧記号“（）”内の同一数字で示している（例えば、“（１）”など）。具体的には、ある１操作につき、操作種別（１）、操作時間（１）および端末情報（１）の情報のセットが記録されている。
【００９３】
ここで、操作種別には具体的な操作の内容を示す情報が設定される。例えば、“ａ．ｔｘｔを開く”、“ａ．ｔｘｔの編集”、“ａ．ｔｘｔを閉じる”などといった操作である。“ａ．ｔｘｔを開く”は、格納ファイル４１１を復号して得た平文ファイル５１１を主記憶装置２０１上に配置した旨を示す。“ａ．ｔｘｔの編集”は、主記憶装置２０１上に配置した平文ファイル５１１の編集を行った旨を示す。“ａ．ｔｘｔを閉じる”は、編集後の平文ファイル５１１を暗号化し、格納ファイル４１１に置き換えて、暗号化ファイル４００に格納した旨を示す。
【００９４】
また、操作時間には、例えば、操作時間（１）として“２０１１／１／２２ １０：３０：３０”という情報が設定されている。これは、２０１１年１月２２日１０時３０分３０秒に操作種別（１）の操作が行われたことを示す。
【００９５】
更に、端末情報には操作種別の操作を行った端末装置の識別情報および所在を示す情報などが設定される。例えば、端末情報に設定される情報としては、次の内容が考えられる（端末情報（１）で例示する）。
【００９６】
第１には、ＩＰ（Internet Protocol）アドレスである。端末情報（１）では“１９２．１６８．０．４４”が設定されている。第２には、ＭＡＣ（Media Access Control）アドレスである。端末情報（１）では“００−ＸＸ−ＡＡ−ＤＤ−ＥＥ−ＦＦ”が設定されている。第３には、当該端末装置のＯＳなどにより設定されたホスト名である。端末情報（１）では“ｈｏｓｔｎａｍｅ”が設定されている。第４には、当該端末装置の位置座標（緯度，経度）である。端末情報（１）では“（３５．６２７５３３，１３９．７７８８０１）”が設定されている。位置座標は、例えば、端末装置２００，２００ａ，２００ｂにＧＰＳ（Global Position System）デバイスを設け、当該ＧＰＳデバイスから取得して設定できる。
【００９７】
図１４は、画面遷移を示す図である。画面生成部１６０は、ＧＵＩ（Graphical User Interface）生成に用いる画面データを生成する。端末装置２００，２００ａが備えるブラウザは、当該画面データに基づきＧＵＩを生成する。このＧＵＩは、端末装置２００，２００ａが備えるモニタに表示される。このＧＵＩには、ログイン画面６００、持出し申請一覧画面６１０、持出し申請画面６２０および持出し申請詳細画面６３０が含まれる。
【００９８】
ログイン画面６００は、申請者および承認者といったユーザが自己のユーザＩＤおよびパスワードを入力して当該システムにログインするための画面である。
持出し申請一覧画面６１０は、ログイン画面６００で入力された情報によりユーザ認証が成功した後に、ユーザが処理すべき申請の一覧を表示する画面である。申請者にとっては、自己が申請した内容の一覧を確認できる。承認者にとっては、自己を承認者に指定して申請された内容の一覧を確認できる。また、持出し申請一覧画面６１０には、持出し申請画面６２０および持出し申請詳細画面６３０へのリンクが設けられている。ユーザは当該リンクを選択することで、持出し申請画面６２０または持出し申請詳細画面６３０に移動できる。なお、ユーザは端末装置２００，２００ａに設けられたキーボードやポインティングデバイス（例えば、マウス）を操作して、当該リンクの選択操作を行える（以下、同様）。
【００９９】
持出し申請画面６２０は、申請者が新たに持出し申請を行う際に、その申請内容を入力するための画面である。持出し申請画面６２０には、持出し申請一覧画面６１０へのリンクが設けられている。ユーザは当該リンクを選択することで、持出し申請一覧画面６１０に移動できる。
【０１００】
持出し申請詳細画面６３０は、持出し申請一覧画面６１０で選択された申請の詳細内容を表示する画面である。持出し申請詳細画面６３０では、持出しファイルを管理サーバ１００からダウンロードできる。また、持出し申請詳細画面６３０では、持帰りファイルを管理サーバ１００にアップロードできる。持出し申請詳細画面６３０には、持出し申請一覧画面６１０へのリンクが設けられている。ユーザは当該リンクを選択することで、持出し申請一覧画面６１０に移動できる。
【０１０１】
次に、上記各画面の表示例を詳細に説明する。
図１５は、持出し申請一覧画面を例示する図である。持出し申請一覧画面６１０は、検索条件入力領域６１１、検索ボタン６１２、持出し申請一覧表示領域６１３、リンク６１４，６１５を有する。ポインタＰは、ユーザが操作対象とするフォームを選択したり、ボタンの押下操作を行ったりするためのものである（以下、持出し申請画面６２０および持出し申請詳細画面６３０も同様にポインタＰにより操作可能である）。
【０１０２】
検索条件入力領域６１１は、持出し申請一覧表示領域６１３に表示させる申請の条件を入力するフォーム群である。例えば、検索条件入力領域６１１には、申請日時（開始）、申請日時（終了）、申請者、承認者、申請ファイル名および申請状態を入力可能である。
【０１０３】
検索ボタン６１２は、ファイル管理部１５０による持出し申請管理テーブル１１２の検索を開始させるためのボタンである。ファイル管理部１５０は、検索条件入力領域６１１に入力された条件に基づき検索を行う。ファイル管理部１５０は、当該検索の結果を画面生成部１６０に出力し、持出し申請一覧表示領域６１３に検索結果を表示させる。
【０１０４】
持出し申請一覧表示領域６１３は、ファイル管理部１５０による検索結果を表示する領域である。一覧には、例えば申請日時、申請者、承認者、申請ファイル名および申請状態が表示される。更に、申請日時には持出し申請詳細画面６３０へのリンク６１３ａ，６１３ｂ，６１３ｃ（図中ではリンクを下線で示している。以下同様）が設定されており、ユーザは、当該リンクをポインタＰにより選択できる。例えば、リンク６１３ａを選択すれば、その申請に対応する申請詳細画面へ移動できる。
【０１０５】
なお、申請ファイル名の欄には、複数のファイルが申請されていても単一のファイル名を表示する例を示している。ただし、申請ファイル名の欄に、申請された複数のファイルを表示してもよい。また、図１５では申請状態の欄に表示の一例を示しているが、この欄の表示内容は申請状態の遷移により変更されるものである。
【０１０６】
リンク６１４は、持出し申請一覧画面６１０へのリンクである。持出し申請一覧画面６１０でリンク６１４を選択しても、同画面に遷移するのみである。
リンク６１５は、持出し申請画面６２０へのリンクである。
【０１０７】
申請者は、端末装置２００に持出し申請一覧画面６１０を表示させて、自己の申請の一覧を確認できる。承認者は、端末装置２００ａに持出し申請一覧画面６１０を表示させて、自己が承認すべき申請の一覧を確認できる。
【０１０８】
ここで、端末装置２００において、申請者がポインタＰによりリンク６１５を選択したとする。すると、端末装置２００は持出し申請画面６２０を表示する。
図１６は、持出し申請画面を例示する第１の図である。持出し申請画面６２０は、申請ファイル名指定領域６２１、持出しファイル名指定領域６２２、持出し先設定領域６２３、持出し理由設定領域６２４および持出しファイル設定領域６２５を有する。
【０１０９】
申請ファイル名指定領域６２１には、持出し対象とするファイルの名称とその所在（端末装置２００上のパス）が設定される。なお、指定されるパスは、ファイル記憶部２１０を示すパスでもよいし、端末装置２００がアクセス可能なファイルサーバを示すパスでもよい。
【０１１０】
申請ファイル名指定領域６２１には、削除ボタン６２１ａ，６２１ｂおよび参照ボタン６２１ｃが設けられている。削除ボタン６２１ａ，６２１ｂは、申請ファイルの取消を行い、画面上から削除するためのボタンである。例えば、削除ボタン６２１ａを押下操作すると、“／ｄａｔａ／ａ．ｔｘｔ”の行が削除される。参照ボタン６２１ｃは、申請者にパスの指定を促すダイアログを表示させるためのボタンである。申請ファイル名は直接入力することもできるし、ダイアログから入力することもできる。
【０１１１】
持出しファイル名指定領域６２２には、持出しファイルの名称が設定される。
持出し先設定領域６２３には、持出し先が設定される。持出し先設定領域６２３には、削除ボタン６２３ａおよび追加ボタン６２３ｂが設けられている。削除ボタン６２３ａは、持出し先の指定の取消を行い、画面上から削除するためのボタンである。追加ボタン６２３ｂは、申請者に持出し先の指定を促すダイアログを表示させるためのボタンである。
【０１１２】
持出し理由設定領域６２４には、持出し理由が設定される。
持出しファイル設定領域６２５には、持出しファイルの有効期間や格納ファイルの取出し制限が設定される。格納ファイルに対する取出し操作の制限としては、主記憶装置２０１への出力を制限する設定（格納ファイルの取出しを制限する）に加えて、例えば次のような設定が可能である。
【０１１３】
第１にファイル編集時の別名保存を禁止する設定である。具体的には、ファイル編集時に当該平文ファイルに別名を付した保存を禁止する。
第２にファイル編集時の印刷を禁止する設定である。具体的には、ファイル編集時に当該平文ファイルの内容のプリンタによる印刷を制限する。
【０１１４】
第３にファイル編集時の画面コピー取得を禁止する設定である。具体的には、ファイル編集時にＯＳによる画面コピー機能を制限する。
第４にファイル編集時の共有メモリ領域へのコピーを禁止する設定である。具体的には、ファイル編集時にＯＳが管理する共有メモリ領域への平文ファイルのコピーを制限する。
【０１１５】
これらの各設定は、各設定項目に設けられたチェックボックスをオン／オフすることで行える。チェックボックスをオンにすれば、持出しファイルの作成時（申請ファイルの暗号化時）に、対応する制限を付加できる。設定内容は、持出しファイル管理テーブル１１３の持出しファイル設定の項目に登録される。
【０１１６】
図１７は、持出し申請画面を例示する第２の図である。持出し申請画面６２０は、更に、鍵指定領域６２６、承認者設定領域６２７、持帰り予定日設定領域６２８および申請ボタン６２９を有する。
【０１１７】
鍵指定領域６２６には、暗号処理を行う鍵や鍵の入力回数制限が設定される。鍵の種別には、パスワードおよび暗号鍵を設定可能である。パスワードで鍵を設定した場合、暗号化ファイルは復号時（あるいは暗号化ファイルのオープン時）にユーザに鍵を入力させる。暗号鍵で鍵を設定した場合、端末装置２００，２００ａ，２００ｂは、自装置に予め格納された鍵を用いて暗号処理を行う。すなわち、暗号鍵として入力された鍵を有していない端末装置では、当該暗号化ファイルの内容を参照することはできない。申請者は、鍵指定領域６２６に設けられたラジオボタンにより、鍵の種別をパスワードにするか、暗号鍵にするか選択できる。また、鍵の種別をパスワードにした場合に、そのパスワードの入力を何回まで許容するかを鍵入力回数制限として設定できる。
【０１１８】
承認者設定領域６２７には、承認者が設定される。承認者設定領域６２７では、所属やユーザ名を入力し検索ボタン６２７ａを押下操作することで、ファイル管理部１５０に承認者を検索させることができる。検索結果は、承認者表示領域６２７ｂに表示される。検索結果が複数表示される場合、申請者は、ラジオボタンで何れかの承認者を選択できる。
【０１１９】
持帰り予定日設定領域６２８には、持帰り予定日が設定される。持帰り予定日は、申請者が持帰り申請をする場合に設定される。持帰り予定日を設定しておくことで、例えば申請者が持帰り予定日を過ぎても持帰りファイルのアップロードを行わない場合に、管理サーバ１００から持帰りファイルのアップロードを促すメールを送信できる。
【０１２０】
申請ボタン６２９は、図１６，１７で示した持出し申請画面６２０の設定内容を管理サーバ１００に送信して持出し申請を確定するためのボタンである。ファイル管理部１５０は、端末装置２００から申請内容を取得すると、申請ＩＤやファイル管理ＩＤを付与して持出し申請管理テーブル１１２および持出しファイル管理テーブル１１３に登録する。
【０１２１】
ここで、持出し申請画面６２０から持出し申請一覧画面６１０に移動可能とすべく、持出し申請画面６２０にもリンク６１４，６１５を表示する（図１６，１７では図示を省略している）。
【０１２２】
図１８は、持出し申請詳細画面を例示する第１の図である。持出し申請詳細画面６３０は、持出し申請一覧画面６１０で承認者（あるいは、申請者）がリンク６１３ａ，６１３ｂ，６１３ｃの何れかを選択した際に端末装置２００ａ（あるいは、端末装置２００）に表示される画面である。
【０１２３】
持出し申請詳細画面６３０は、申請状態表示領域６３１、申請詳細表示領域６３２を有する。
申請状態表示領域６３１には、当該申請が現在どのような状態にあるかが表示される。承認者に対しては、承認者が行うべき操作内容を表示する操作説明の項目が設けられる。
【０１２４】
申請詳細表示領域６３２には、申請日時、申請者、承認者、申請ファイル名、持出し先、持出し理由、持出しファイル設定および持帰り予定日が表示される。これらの各情報は、持出し申請管理テーブル１１２に設定された内容がファイル管理部１５０により取得される。画面生成部１６０は、ファイル管理部１５０が取得した情報に基づいて、申請詳細表示領域６３２に各情報を表示させる。ここで、申請ファイル名には、申請者が持出しファイルに格納したいファイルのファイル名が表示され、当該ファイルへのリンク６３２ａ，６３２ｂが設けられる。承認者は、リンク６３２ａ，６３２ｂをポインタＰにより選択することで、各ファイルの内容を所定のアプリケーションに実行させて、その内容を確認できる。このリンクは、持出しファイル管理テーブル１１３の格納ディレクトリの項目の設定値に基づいて生成できる。リンクは、例えばＵＲＩ（Uniform Resource Identifier）で記述される。
【０１２５】
また、申請詳細表示領域６３２には、承認ボタン６３２ｃおよび否認ボタン６３２ｄが表示されている。承認ボタン６３２ｃは、申請を承認するためのボタンである。承認ボタン６３２ｃがポインタＰにより押下操作されると、当該申請が承認される。否認ボタン６３２ｄは、申請を否認するためのボタンである。否認ボタン６３２ｄがポインタＰにより押下操作されると、当該申請が否認される。なお、否認する際には、否認理由の入力フォームに否認理由を入力して申請者に通知できる。また、承認ボタン６３２ｃおよび否認ボタン６３２ｄおよび否認理由の入力フォームは、承認者のユーザＩＤでログインして持出し申請詳細画面６３０を表示させた際に操作可能である。一方、申請者のユーザＩＤでログインして持出し申請詳細画面６３０を表示させた際には、操作不可の状態（例えば、非表示やグレーアウト）となっている。
【０１２６】
図１９は、持出し申請詳細画面を例示する第２の図である。持出し申請詳細画面６３０は、更に、承認詳細表示領域６３３および持出し詳細表示領域６３４を有する。
承認詳細表示領域６３３には、承認ボタン６３２ｃが押下されて承認された日時や承認者の情報が表示される。また、否認ボタン６３２ｄが押下されて否認された場合には、その否認日時や承認者の情報および否認理由が表示される。
【０１２７】
持出し詳細表示領域６３４には、持出しファイルに関する情報が設定される。具体的には、鍵、持出しファイル名および持出し日時である。鍵には、持出しファイルを暗号処理する鍵が表示される。持出しファイル名には、申請された１以上のファイルを暗号化して生成された持出しファイル（暗号化ファイル）の名称が設定される。持出しファイル名には、そのファイル名とともに、当該ファイルへのリンク６３４ａが設けられる。申請者は、リンク６３４ａをポインタＰにより選択することで、持出しファイルを管理サーバ１００から端末装置２００にダウンロードできる。このリンクは、持出しファイル管理テーブル１１３の格納ディレクトリの項目の設定値に基づいて生成できる。持出し日時には、当該ファイルをダウンロードした時間が設定される。
【０１２８】
図２０は、持出し申請詳細画面を例示する第３の図である。持出し申請詳細画面６３０は、更に、持帰り詳細表示領域６３５、アップロードボタン６３６、持帰り日時表示領域６３７および取出し詳細表示領域６３８を有する。
【０１２９】
持帰り詳細表示領域６３５には、持出しファイル名が表示される。また、持帰り詳細表示領域６３５には、持帰りファイル名とその所在（端末装置２００上のパス）が設定される。指定されるパスは、ファイル記憶部２１０を示すパスでもよいし、端末装置２００がアクセス可能な外部記録媒体３００やファイルサーバなどを示すパスでもよい。なお、申請者は参照ボタン６３５ａを押下操作して、持帰りファイルのパスの指定を促すダイアログを表示させることもできる。このように、持帰りファイル名は、直接入力することもできるし、ダイアログから入力することもできる。
【０１３０】
また、持帰り詳細表示領域６３５には、復号に用いる鍵が設定される。なお、貼付ボタン６３５ｂを押下操作することで、暗号化時に入力した鍵を入力することもできる。例えば、貼付ボタン６３５ｂが押下操作されると、ファイル管理部１５０は持出し申請管理テーブル１１２を参照して申請ＩＤを検索キーとして鍵を取得し、画面生成部１６０に出力する。画面生成部１６０は、鍵を含む画面を生成して端末装置２００に送信する。
【０１３１】
アップロードボタン６３６は、持帰り詳細表示領域６３５に設定された持帰りファイルおよび鍵を管理サーバ１００にアップロードするためのボタンである。
持帰り日時表示領域６３７には、持帰りファイルが管理サーバ１００に送信された時間が表示される。
【０１３２】
取出し詳細表示領域６３８には、持帰りファイルを復号して取出されたファイル名および取出し日時が表示される。なお、ファイル名には、当該ファイルへのリンク６３８ａ，６３８ｂが設けられる。申請者は、リンク６３８ａ，６３８ｂをポインタＰにより選択することで、各ファイルを端末装置２００にダウンロードできる。ダウンロードした各ファイルは、持出しファイルに格納された各格納ファイルに対応するファイルである。このリンクは、持帰りファイル管理テーブル１１４の格納ディレクトリに項目の設定値に基づいて生成できる。
【０１３３】
ここで、持出し申請詳細画面６３０から持出し申請一覧画面６１０に移動可能とすべく、持出し申請画面６２０にもリンク６１４を表示する（図１８〜２０では図示を省略している）。
【０１３４】
次に、以上の構成のファイル管理システムの処理手順を説明する。まず、申請者による持出し申請処理を説明する。端末装置２００を用いて申請することを想定する。
図２１は、第２の実施の形態の持出し申請処理を示すフローチャートである。以下、図２１に示す処理をステップ番号に沿って説明する。
【０１３５】
（ステップＳ１１）端末装置２００は、申請者（例えば、“ＢＳＣ太郎”）によりログイン画面６００に入力されたユーザＩＤやパスワードを管理サーバ１００に送信する。ファイル管理部１５０は、受信した情報に基づきログイン認証を行う。
【０１３６】
（ステップＳ１２）画面生成部１６０は、ログイン認証が成功すると、持出し申請一覧画面６１０の画面データを端末装置２００に送信する。
（ステップＳ１３）端末装置２００は、端末装置２００に接続されたモニタに持出し申請一覧画面６１０を表示させる。端末装置２００は、申請者によるリンク６１５の選択操作を受け付ける。すると、端末装置２００はリンク６１５で示される持出し申請画面６２０を要求するリクエストを管理サーバ１００に送信する。
【０１３７】
（ステップＳ１４）画面生成部１６０は、端末装置２００からリクエストを受信すると、持出し申請画面６２０の画面データを生成して、端末装置２００に送信する。
（ステップＳ１５）端末装置２００は、持出し申請画面６２０をモニタに表示させる。端末装置２００は、持出し申請画面６２０に対する申請者の申請内容の入力を受け付け、申請ボタン６２９の押下操作を受け付けると、入力された申請内容を管理サーバ１００に送信する。ここで、申請内容は、持出し申請画面６２０で説明した内容であるとする。持出しファイル設定領域６２５では、格納ファイルの取出しを制限する旨の設定（補助記憶装置への出力制限）がなされている。
【０１３８】
（ステップＳ１６）ファイル管理部１５０は、端末装置２００から申請内容を受信すると、申請ＩＤ（例えば、“Ａ０００１”）を付与して持出し申請管理テーブル１１２に登録する。申請状態は、“未承認”である。このとき、ファイル管理部１５０は、ファイル管理ＩＤ（例えば、“３Ｆ２５０４Ｅ０−４Ｆ８９”）を発行し、持出しファイル名や申請されたファイルの情報（ハッシュ値など）を取得して、持出しファイル管理テーブル１１３に登録する。
【０１３９】
（ステップＳ１７）ファイル管理部１５０は、ユーザ管理テーブル１１１を参照し、承認者として選択されたユーザ（例えば、“ＢＳＣ花子”）のメールアドレスを取得して、承認を促す電子メールを承認者宛に送信する。
【０１４０】
（ステップＳ１８）端末装置２００は、申請者によるログアウト操作を受け付け、ファイル管理システムからログアウトする。
このようにして、持出し申請処理が行われる。承認者は、端末装置２００ａで、管理サーバ１００から自身に送信された電子メールを受信し、その内容を閲覧する。この電子メールには、承認者のログイン用情報および当該申請ＩＤに対応する持出し申請詳細画面６３０を要求する情報を含むリンクが設定されている。承認者がこのリンクを選択すると、承認処理が開始される。なお、承認者はログイン画面６００、持出し申請一覧画面６１０を経由して持出し申請詳細画面６３０を端末装置２００ａに表示させることもできる。
【０１４１】
図２２は、承認処理を示すフローチャートである。以下、図２２に示す処理をステップ番号に沿って説明する。
（ステップＳ２１）端末装置２００ａは、承認者（例えば、“ＢＳＣ花子”）による電子メール中のリンク選択を受け付ける。すると、端末装置２００ａは、リンクに設定された承認者のユーザＩＤおよび申請ＩＤ（例えば“Ａ０００１”）を設定した持出し申請詳細画面６３０へのリンクなどを含むリクエストを生成して、管理サーバ１００に送信する。ファイル管理部１５０は、受信したリクエストに基づきログイン認証を行う。
【０１４２】
（ステップＳ２２）画面生成部１６０は、受信したリクエストに基づき持出し申請詳細画面６３０の画面データを生成して、端末装置２００ａに送信する。
（ステップＳ２３）端末装置２００ａは、端末装置２００ａに接続されたモニタに持出し申請詳細画面６３０を表示させる。端末装置２００ａは、持出し申請詳細画面６３０に対する承認者の操作入力（例えば、申請されたファイルの閲覧）を受け付け、当該操作入力に応じて管理サーバ１００から申請されたファイルを取得し、当該ファイルの内容を表示したりする。そして、端末装置２００ａは、承認者による承認ボタン６３２ｃまたは否認ボタン６３２ｄの押下操作を受け付ける。すると、端末装置２００ａは、押下操作されたボタンに応じたリクエストを生成して、管理サーバ１００に送信する。
【０１４３】
（ステップＳ２４）ファイル管理部１５０は、端末装置２００ａからリクエストを受信する。管理サーバ１００は、リクエストに含まれる情報に基づき、端末装置２００ａでの承認ボタン６３２ｃまたは否認ボタン６３２ｄの押下を受け付ける。
【０１４４】
（ステップＳ２５）ファイル管理部１５０は、申請が承認されたかを判定する。承認された場合、当該申請ＩＤにつき持出し申請管理テーブル１１２の申請状態を“承認”に設定し、処理をステップＳ２６に進める。否認された場合、当該申請ＩＤにつき持出し申請管理テーブル１１２の申請状態を“否認”に設定し、処理をステップＳ２７に進める。
【０１４５】
（ステップＳ２６）ファイル管理部１５０は、申請ファイルおよび申請時に指定された鍵を暗号化部１７０に出力する。暗号化部１７０は、申請ファイルを当該鍵を用いて暗号化して持出しファイル（暗号化ファイル）を生成し、ファイル管理部１５０に出力する。例えば、申請ＩＤ“Ａ０００１”では、申請ファイル“ａ．ｔｘｔ”および“ｂ．ｔｘｔ”について持出し申請されている。よって、これらのファイルを申請時に指定された鍵（“ｑｗｅｒｔｙｕ”）で暗号化し、持出しファイル（“作業用ファイル．ｄａｔ”）を生成する。その際、暗号化部１７０は、持出しファイル管理テーブル１１３に設定された持出しファイル設定、有効期間、パスワード回数制限に基づいて、持出しファイルに操作上の制限を設定する。ファイル管理部１５０は、暗号化部１７０から持出しファイルを取得すると、ファイル記憶部１２０に格納して管理する。
【０１４６】
（ステップＳ２７）ファイル管理部１５０は、ユーザ管理テーブル１１１を参照し、申請者（例えば、“ＢＳＣ太郎”）のメールアドレスを取得して、承認者による承認処理の結果を通知する電子メールを申請者宛に送信する。
【０１４７】
（ステップＳ２８）端末装置２００ａは、承認者によるログアウト操作を受け付け、ファイル管理システムからログアウトする。
このようにして、承認処理が行われる。申請者は、端末装置２００で、管理サーバ１００から自身に送信された電子メールを受信し、その内容を閲覧する。この電子メールには、申請者のログイン用情報および当該申請ＩＤに対応する持出し申請詳細画面６３０を要求する情報を含むリンクが設定されている。承認された場合、申請者がこのリンクを選択すると、持出しファイルダウンロード処理が開始される。一方、否認された場合、申請者は、表示された持出し申請詳細画面６３０を参照して否認理由を確認できる。なお、申請者は、ログイン画面６００、持出し申請一覧画面６１０を経由して持出し申請詳細画面６３０を端末装置２００に表示させることもできる。
【０１４８】
図２３は、持出しファイルダウンロード処理を示すフローチャートである。以下、図２３に示す処理をステップ番号に沿って説明する。
（ステップＳ３１）端末装置２００は、申請者（例えば、“ＢＳＣ太郎”）による電子メール中のリンク選択を受け付ける。すると、端末装置２００は、リンクに設定された申請者のユーザＩＤおよび申請ＩＤ（例えば、“Ａ０００１”）を設定した持出し申請詳細画面６３０へのリンクなどを含むリクエストを生成して管理サーバ１００に送信する。ファイル管理部１５０は、受信したリクエストに基づきログイン認証を行う。
【０１４９】
（ステップＳ３２）画面生成部１６０は、受信したリクエストに基づき持出し申請詳細画面６３０の画面データを生成して、端末装置２００に送信する。
（ステップＳ３３）端末装置２００は、持出し申請詳細画面６３０をモニタに表示させる。端末装置２００は、申請者によるリンク６３４ａの選択操作を受け付ける。すると、端末装置２００は、リンク６３４ａで示される持出しファイル（例えば、“作業用ファイル．ｄａｔ”）を要求するリクエストを管理サーバ１００に送信する。ファイル管理部１５０は、当該リクエストに応じて、リンク６３４ａで示される持出しファイルを端末装置２００に送信する。端末装置２００は、持出しファイルを受信する。ファイル管理部１５０は、当該申請ＩＤにつき持出し申請管理テーブル１１２の申請状態を“持出し済”に設定する。
【０１５０】
（ステップＳ３４）端末装置２００は、申請者によるログアウト操作を受け付け、ファイル管理システムからログアウトする。
このようにして、端末装置２００は管理サーバ１００から持出しファイルをダウンロードする。次に、端末装置２００における外部記録媒体３００へのファイルの出力処理の手順を説明する。
【０１５１】
図２４は、外部記録媒体へのファイル出力処理を示すフローチャートである。以下、図２４に示す処理をステップ番号に沿って説明する。
（ステップＳ４１）媒体出力制御部２５０は、持出し対象のファイルの外部記録媒体３００への持出し操作を受け付ける。持出し操作とは、媒体出力制御部２５０に持出し対象のファイルを入力するための操作である。例えば、ユーザは当該ファイルを選択して、媒体出力制御部２５０を含むアプリケーションに入力する。端末装置２００では、ＯＳの機能による外部記録媒体３００へのファイル出力が制限されているが、当該操作を行うことで媒体出力制御部２５０を介したファイル出力を行える。
【０１５２】
（ステップＳ４２）媒体出力制御部２５０は、入力されたファイルが管理サーバ１００で承認済のファイルか否かを判定する。承認済のファイルである場合、処理をステップＳ４３に進める。承認済のファイルでない場合、処理をステップＳ４４に進める。なお、承認済のファイルであるか否かは、持出しファイル（暗号化ファイル４００）の固有情報４３１を参照して、ファイル管理ＩＤが設定されているか否かによって判定できる。
【０１５３】
（ステップＳ４３）媒体出力制御部２５０は、外部記録媒体３００へファイルを出力する。
（ステップＳ４４）媒体出力制御部２５０は、当該ファイルが未承認のファイルであり、外部記録媒体３００への出力が不可能であることを通知するメッセージを端末装置２００に接続されたモニタに表示させる。
【０１５４】
このようにして、媒体出力制御部２５０は外部記録媒体へのファイル出力を制限する。
なお、外部記録媒体へのファイル出力制限や補助記憶装置２０２への格納ファイルの出力制限以外にも、持出しファイルには種々の操作制限を設定できる。具体的には、前述の持出しファイルの有効期間、鍵の入力回数制限、格納ファイル編集時の別名保存禁止、印刷禁止、画面コピー禁止、ＯＳの共有メモリ領域へのコピー禁止、などである。これらの制限設定に基づいて、暗号化ファイル処理部２４０は持出しファイルに対するファイル操作を制限する。端末装置２００ａ，２００ｂについても同様である。
【０１５５】
持出しファイルにこのような制限を設定することで、持出しファイルに格納されたファイルの安全性を一層向上できる。
申請者は、上記処理によって、持出しファイルを外部記録媒体３００に出力し、社内から社外へ持出せる。そして、申請者は、端末装置２００ｂで持出しファイル内の格納ファイルを復号して得た平文ファイル（“ａ．ｔｘｔ”や“ｂ．ｔｘｔ”）を編集する。端末装置２００ｂは、編集後の平文ファイルを暗号化して持出しファイルに格納する。このようにして、持出しファイルが編集される。
【０１５６】
その後、申請者は外部記録媒体３００を社外から社内へ持帰る。そして、持帰った持出しファイル（持帰りファイル）に格納されたファイルから平文ファイルの取出しを行う。取出しの処理は、管理サーバ１００が実行する。次に、このような平文ファイルの取出し処理の手順を説明する。
【０１５７】
図２５は、平文ファイル取出し処理を示すフローチャートである。以下、図２５に示す処理をステップ番号に沿って説明する。
（ステップＳ５１）端末装置２００は、申請者（例えば、“ＢＳＣ太郎”）によりログイン画面６００に入力されたユーザＩＤやパスワードを管理サーバ１００に送信する。ファイル管理部１５０は、受信した情報に基づきログイン認証を行う。
【０１５８】
（ステップＳ５２）画面生成部１６０は、ログイン認証が成功すると、持出し申請一覧画面６１０の画面データを端末装置２００に送信する。
（ステップＳ５３）端末装置２００は、持出し申請一覧画面６１０をモニタに表示させる。端末装置２００は、申請者によるリンク６１３ｂの選択操作を受け付ける。すると、端末装置２００はリンク６１３ｂで示される持出し申請詳細画面６３０を要求するリクエストを管理サーバ１００に送信する。
【０１５９】
（ステップＳ５４）画面生成部１６０は、端末装置２００からリクエストを受信すると、持出し申請詳細画面６３０の画面データを生成して、端末装置２００に送信する。
（ステップＳ５５）端末装置２００は、持出し申請詳細画面６３０をモニタに表示させる。端末装置２００は、持出し申請詳細画面６３０の持帰り詳細表示領域６３５に対する申請者の入力（持帰りファイル名および復号用の鍵）を受け付ける。そして、端末装置２００は、アップロードボタン６３６の押下操作を受け付けると、入力された持帰りファイル等を管理サーバ１００に送信する。
【０１６０】
（ステップＳ５６）ファイル管理部１５０は、持帰りファイルおよび鍵を受信する。ファイル管理部１５０は、当該申請ＩＤにつき持出し申請管理テーブル１１２の申請状態を“持帰り済”に設定する。
【０１６１】
（ステップＳ５７）ファイル管理部１５０は、持帰りファイルの復号制御を行う（詳細は後述する）。
（ステップＳ５８）ファイル管理部１５０は、復号結果（取出した平文ファイルのファイル名や所在を示す情報など）を画面生成部１６０に出力する。画面生成部１６０は、持出し申請詳細画面６３０の画面データを更新し、端末装置２００に送信する。
【０１６２】
（ステップＳ５９）端末装置２００は、持出し申請詳細画面６３０を更新してモニタに表示させる。すると、アップロードボタン６３６の下部に持帰り日時表示領域６３７や取出し詳細表示領域６３８の内容が表示される。端末装置２００は、申請者によるリンク６３８ａまたはリンク６３８ｂの選択操作を受け付ける。すると、端末装置２００は、リンク６３８ａ，６３８ｂで示される平文ファイル（“ａ．ｔｘｔ”や“ｂ．ｔｘｔ”）を要求するリクエストを管理サーバ１００に送信する。ファイル管理部１５０は、当該リクエストに応じて、リンク６３８ａ，６３８ｂで示される平文ファイルを端末装置２００に送信する。端末装置２００は、平文ファイルを受信する。
【０１６３】
（ステップＳ６０）端末装置２００は、申請者によるログアウト操作を受け付け、ファイル管理システムからログアウトする。
このようにして、端末装置２００は、管理サーバ１００から持帰りファイルに格納された平文ファイルをダウンロードできる。申請者は、ダウンロードした平文ファイルをファイル記憶部２１０や端末装置２００と通信可能なファイルサーバなどに格納することができる。
【０１６４】
次に、ステップＳ５７の復号制御の手順を説明する。
図２６は、第２の実施の形態の復号制御を示すフローチャートである。以下、図２６に示す処理をステップ番号に沿って説明する。
【０１６５】
（ステップＳ６１）ファイル管理部１５０は、持帰りファイルの固有情報４３１を参照して、ファイル管理ＩＤを抽出する。
（ステップＳ６２）ファイル管理部１５０は、抽出したファイル管理ＩＤに一致するファイル管理ＩＤが持出し申請管理テーブル１１２に設定されているか否かを判定する。一致するファイル管理ＩＤが設定されている場合、処理をステップＳ６３に進める。一致するファイル管理ＩＤが設定されていない場合、処理を終了する。
【０１６６】
（ステップＳ６３）ファイル管理部１５０は、持帰りファイルの管理情報４０１や固有情報４３１を参照して、持帰りファイルのファイル名や格納ファイルのファイル名を抽出する。また、ファイル管理部１５０は持帰りファイルの固有情報４３１を参照して、持帰りファイルの作成日時を抽出する。
【０１６７】
（ステップＳ６４）ファイル管理部１５０は、持出しファイル管理テーブル１１３を参照して、ステップＳ６１で抽出したファイル管理ＩＤに対応する持出しファイルのファイル名、作成日時および格納ファイルのファイル名がステップＳ６３で抽出した各情報と一致するか否か判定する。全てが一致する場合、処理をステップＳ６５に進める。一致しない情報がある場合、処理を終了する。
【０１６８】
（ステップＳ６５）ファイル管理部１５０は、アップロードされた持出しファイルと鍵を復号部１８０に出力する。復号部１８０は、持帰りファイルを当該鍵を用いて復号して平文ファイルを取出し、ファイル管理部１５０に出力する。例えば、復号部１８０は持帰りファイル“作業用ファイル．ｄａｔ”を、鍵“ｑｗｅｒｔｙｕ”を用いて復号し、“ａ．ｔｘｔ”および“ｂ．ｔｘｔ”を取出す。ファイル管理部１５０は、持帰りファイル名、復号部１８０から取得した平文ファイル名および平文ファイルの情報（ハッシュ値など）を取得し、ファイル管理ＩＤに対応付けて持帰りファイル管理テーブル１１４に設定する。また、ファイル管理部１５０は、持帰りファイルおよび取出した平文ファイルをファイル記憶部１２０に格納して管理する。ファイル管理部１５０は、当該申請ＩＤにつき持出し申請管理テーブル１１２の申請状態を“取出し済”に設定する。
【０１６９】
このようにして、管理サーバ１００は持帰りファイルの復号を行う。その際、持帰りファイルが管理サーバ１００で管理するものでない場合（管理サーバ１００で承認されたものでない場合）には、復号を行わない。これによって、不審なファイルの社内への持込みを防止できる。
【０１７０】
なお、上記ステップＳ６２，Ｓ６４の判断に加えて、持帰りファイルをアップロードしたユーザが、申請者と同一のユーザであるか否かに応じて、復号の可否を判断してもよい。例えば、申請者と同一のユーザである場合にのみ復号を行い、異なるユーザが持帰りファイルをアップロードした場合には、復号を行わない。このようにすれば、なりすましユーザによって不正に持帰りファイルの内容が閲覧されるのを防止できる。
【０１７１】
また、持出しファイルが編集されることなく持帰られると、持出しファイルと持帰りファイルとが同一となる。そのような場合にも管理サーバ１００にアップロードすることで、持帰りファイルを復号し、格納されたファイルを取出せる。
【０１７２】
更に、端末装置２００でファイルのダウンロードおよびアップロードをする場合を例示したが、端末装置２００ａでファイルのダウンロードおよびアップロードを行うこともできる。その場合、管理サーバ１００および端末装置２００ａの間で、上記説明と同様の処理が行われる。例えば、端末装置２００で持出しファイルをダウンロードし、端末装置２００ａで持帰りファイルをアップロードすることもできる。また、端末装置２００ａで持出しファイルをダウンロードし、端末装置２００で持帰りファイルをアップロードすることもできる。
【０１７３】
以上で説明したように、管理サーバ１００によれば、社内から社外へ持出すファイルの安全性の向上を容易に実現できる。具体的には、端末装置２００，２００ａ，２００ｂにおいて補助記憶装置への平文ファイルの出力を制限して持出しファイルを扱える。そして、持帰りファイルを管理サーバ１００に復号させることができる。更に、管理サーバ１００から復号により得られた平文ファイルを取得し、持出したファイルの編集後のファイルとして補助記憶装置に格納できる。
【０１７４】
このように、暗号化ファイルのファイル操作を厳しく制限して、端末装置２００，２００ａ，２００ｂの補助記憶装置に復号した平文ファイルを取出せないものとしても、管理サーバ１００により暗号化ファイルから平文ファイルを取出せる。そして、ユーザは管理サーバ１００から平文ファイルをダウンロードして、当該平文ファイルを所望の格納先に格納して管理できる。このため、ユーザによる自由なファイル操作への影響を低減しながら、暗号化ファイルに格納されたファイルの安全性を向上できる。
【０１７５】
また、管理サーバ１００は、上述したように承認されたファイルのみを暗号化する。そして、端末装置２００，２００ａ，２００ｂでの持出しファイルのファイル操作につき種々の制限を設定する。更に、上述したように持出しファイルと持帰りファイルとの対応関係に基づいて、持帰りファイルの復号可否を判断する。また、持出し申請時のユーザと持帰り時のユーザとの対応関係に基づいて、持帰りファイルの復号可否を判断する。このような機能により、ファイルの安全性を一層向上できる。
【０１７６】
［第３の実施の形態］
次に、第３の実施の形態について説明する。前述の第２の実施の形態との差異を主に説明し、共通の事項に関しては説明を省略する。
【０１７７】
第２の実施の形態では、承認された申請について持出しファイルを生成して持出し可能とした。一方、申請が行われる都度、承認を要すると、承認者の負担が過大となるおそれがある。そこで、第３の実施の形態では、持出し申請されたファイルの重要度に応じて承認の要否を判断する機能を提供する。
【０１７８】
また、第２の実施の形態では、持帰り時には承認を行わずに復号するものとした。しかし、持出し先での格納ファイルが編集されたことによって、持出し時にはその重要度が低かったとしても、持帰り時には重要度が高まっている可能性もある。その場合、ユーザに対して持帰ったファイルの適切な管理を促すことが望ましい。例えば、会社によっては、重要度の高低に応じてファイルの管理方法を区別し、重要度の高いファイルにつき管理方法に高セキュリティを課す場合もある。そこで、第３の実施の形態では、持出し時に重要度を判断するとともに、持帰り時にも重要度の変化を判断し、ユーザに適切に注意喚起する機能を提供する。
【０１７９】
ここで、第３の実施の形態におけるファイル管理システムの構成は、図２で説明した第２の実施の形態のファイル管理システムの構成と同様であるため、説明を省略する。暗号化ファイルに課される制限も図３，４で説明した通りである。また、第３の実施の形態における管理サーバや端末装置の構成も、図５，６で説明した第２の実施の形態の管理サーバ１００および端末装置２００，２００ａ，２００ｂの構成と同様であるため説明を省略する。更に、以下の説明では、管理サーバ１００および端末装置２００，２００ａ，２００ｂで示した各構成と同一の名称・符号を用いる。
【０１８０】
図２７は、第３の実施の形態の重要度テーブルのデータ構造例を示す図である。重要度テーブル１１５は、ファイル管理部１５０が申請されたファイルや持帰りファイルに格納されたファイルの重要度を算出するために用いるデータである。重要度テーブル１１５は、制御情報記憶部１１０に予め格納される。重要度テーブル１１５には、区分、タイミング、条件および重要度の項目が設けられている。各項目の横方向に並べられた情報同士が互いに関連付けられて、１つの重要度の判断基準を示す。
【０１８１】
区分の項目には、条件の属する区分を示す情報が設定される。タイミングの項目には、重要度を判断するタイミングが設定される。条件の項目には、重要度を判断する際の条件が設定される。重要度の項目には、条件を満たす場合の重要度の値が設定される。
【０１８２】
例えば、重要度テーブル１１５には、区分が“格納ファイル内キーワード”、タイミングが“持出し申請時／持帰り時”、条件が“社外秘”、重要度が“５”という情報が設定される。これは、暗号化ファイルの持出し申請時および持帰り時に重要度の判断を行うことを示しており、暗号化ファイルに格納されたファイル内にキーワード“社外秘”の文字列が存在していた場合、重要度“５”を加えることを示している。
【０１８３】
また、例えば重要度テーブル１１５には、区分が“固有情報内の履歴”、タイミングが“持帰り時”、条件が“操作履歴の端末情報１件当たり”、重要度が“１”という情報が設定される。これは、暗号化ファイルの持帰り時に重要度の判断を行うことを示しており、暗号化ファイルに格納された“操作履歴の端末情報１件当たり”につき、重要度“１”を加えることを示している（同一の端末情報は１件と数える）。
【０１８４】
このようにして、持出し申請時および持帰り時の重要度を算出できる。ここで、算出された重要度に応じて重要度ランクを設ける。具体的には、次の通りとする。
（１）算出された重要度が９以下の場合は重要度ランクＢとする。
【０１８５】
（２）算出された重要度が１０以上１４以下の場合は重要度ランクＡとする。
（３）算出された重要度が１５以上の場合は重要度ランクＳとする。
なお、重要度ランクＳは最も重要度が高いとする（最も重要である）。次いで、重要度ランクＡの重要度が高いとする。そして、重要度ランクＢが最も重要度が低いとする。重要度ランクに含める重要度の幅は、ファイル管理システムの運用に応じて適宜変更できる。また、重要度ランクは２つとしてもよいし、４つ以上としてもよい。
【０１８６】
次に、以上の構成のファイル管理システムの処理手順を説明する。ここで、第３の実施の形態でも、承認処理、持出しファイルダウンロード処理、外部記録媒体へのファイル出力処理および平文ファイル取出し処理の手順は、第２の実施の形態と同様である。このため、これらの処理手順については説明を省略し、持出し申請処理および復号制御の処理手順を説明する。
【０１８７】
まず、申請者による持出し申請処理を説明する。端末装置２００を用いて申請することを想定する。
図２８は、第３の実施の形態の持出し申請処理を示すフローチャートである。以下、図２８に示す処理をステップ番号に沿って説明する。
【０１８８】
（ステップＳ１０１）端末装置２００は、申請者（例えば、“ＢＳＣ太郎”）によりログイン画面６００に入力されたユーザＩＤやパスワードを管理サーバ１００に送信する。ファイル管理部１５０は、受信した情報に基づきログイン認証を行う。
【０１８９】
（ステップＳ１０２）画面生成部１６０は、ログイン認証が成功すると、持出し申請一覧画面６１０の画面データを端末装置２００に送信する。
（ステップＳ１０３）端末装置２００は、持出し申請一覧画面６１０をモニタに表示させる。端末装置２００は、申請者によるリンク６１５の選択操作を受け付ける。すると、端末装置２００はリンク６１５で示される持出し申請画面６２０を要求するリクエストを管理サーバ１００に送信する。
【０１９０】
（ステップＳ１０４）画面生成部１６０は、端末装置２００からリクエストを受信すると、持出し申請画面６２０の画面データを生成して、端末装置２００に送信する。
（ステップＳ１０５）端末装置２００は、持出し申請画面６２０をモニタに表示させる。端末装置２００は、持出し申請画面６２０に対する申請者の申請内容の入力を受け付け、申請ボタン６２９の押下操作を受け付けると、入力された申請内容を管理サーバ１００に送信する。ここで、申請内容は、持出し申請画面６２０（図１６，１７）で説明した内容であるとする。持出しファイル設定領域６２５では、格納ファイルの取出しを制限する旨の設定（補助記憶装置への出力制限）がなされている。
【０１９１】
（ステップＳ１０６）ファイル管理部１５０は、端末装置２００から申請内容を受信すると、申請ＩＤ（例えば、“Ａ０００１”）を付与して持出し申請管理テーブル１１２に登録する。申請状態は、“未承認”である。このとき、ファイル管理部１５０は、ファイル管理ＩＤ（例えば、“３Ｆ２５０４Ｅ０−４Ｆ８９”）を発行し、持出しファイル名や申請されたファイルの情報（ハッシュ値など）を取得して、持出しファイル管理テーブル１１３に登録する。
【０１９２】
（ステップＳ１０７）ファイル管理部１５０は、重要度テーブル１１５を参照し、申請されたファイルの重要度を算出する。具体的には、重要度テーブル１１５のタイミングの項目に“持出し申請時”の設定を含むレコードにつき、区分に応じた条件を判断する。重要度テーブル１１５の例でいえば、申請されたファイル“ａ．ｔｘｔ”内から“社外秘”や“顧客リスト”といったキーワードを検索する。そして、当該キーワードが存在する場合には対応する重要度を抽出し、加算していく。例えば、“社外秘”と“顧客リスト”というキーワードが存在すれば、各キーワードに対応する重要度の和を算出する。“ｂ．ｔｘｔ”についても同様である。その結果、例えば、“ａ．ｔｘｔ”の重要度が“８”、“ｂ．ｔｘｔ”の重要度が“６”というように求まる。更にこれらを加算して、当該持出し申請時の重要度が“１４”（重要度ランクＡ）と求まる。ファイル管理部１５０は、例えば持出しファイル管理テーブル１１３に、ファイル管理ＩＤに対応付けて、求めた重要度（重要度ランク）を記録する。
【０１９３】
（ステップＳ１０８）ファイル管理部１５０は、ステップＳ１０７で求めた重要度ランクが所定のレベル以上か否かを判定する。レベルは、ファイル管理システムの管理者が運用に応じて制御情報記憶部１１０に予め格納しておくことができる。例えば“重要度ランクＡ”が設定される。重要度ランクが当該レベル以上の場合、処理をステップＳ１０９に進める。重要度ランクが当該レベルよりも低い場合、処理をステップＳ１１０に進める。
【０１９４】
（ステップＳ１０９）ファイル管理部１５０は、ユーザ管理テーブル１１１を参照し、承認者として選択されたユーザ（例えば、“ＢＳＣ花子”）のメールアドレスを取得して、承認を促す電子メールを承認者宛に送信する。そして、処理をステップＳ１１２に進める。
【０１９５】
（ステップＳ１１０）ファイル管理部１５０は、申請ファイルおよび申請時に指定された鍵を暗号化部１７０に出力する。暗号化部１７０は、申請ファイルを当該鍵を用いて暗号化して持出しファイル（暗号化ファイル）を生成し、ファイル管理部１５０に出力する。例えば、申請ＩＤ“Ａ０００１”では、申請ファイル“ａ．ｔｘｔ”および“ｂ．ｔｘｔ”について持出し申請されている。よって、これらのファイルの申請時に指定された鍵（“ｑｗｅｒｔｙｕ”）で暗号化し、持出しファイル（“作業用ファイル．ｄａｔ”）を生成する。その際、暗号化部１７０は、持出しファイル管理テーブル１１３に設定された取出しファイル設定、有効期間、パスワード回数制限に基づいて、持出しファイルに操作上の制限を設定する。ファイル管理部１５０は、暗号化部１７０から持出しファイルを取得すると、ファイル記憶部１２０に格納して管理する。
【０１９６】
（ステップＳ１１１）端末装置２００は、申請者の操作に応じて、持出し申請詳細画面６３０をモニタに表示させる。そして、端末装置２００は、申請者によるリンク６３４ａの選択操作を受け付ける。すると、端末装置２００は、リンク６３４ａで示される持出しファイル（“作業用ファイル．ｄａｔ”）を要求するリクエストを管理サーバ１００に送信する。ファイル管理部１５０は、当該リクエストに応じて、リンク６３４ａで示される持出しファイルを端末装置２００に送信する。端末装置２００は、持出しファイルを受信する。
【０１９７】
（ステップＳ１１２）端末装置２００は、申請者によるログアウト操作を受け付け、ファイル管理システムからログアウトする。
このように、管理サーバ１００は申請の重要度を算出し、その重要度の高低によって、承認者の承認を行うか否かを判断する。そして、重要度の低い申請に関しては、承認を省いて持出しファイルのダウンロードを可能とする。他方、重要度の高い申請に関しては、第２の実施の形態と同様に、承認後に持出しファイルのダウンロードを可能とする。
【０１９８】
これにより、承認者に対する承認依頼数を低減できる。よって、承認者の承認処理の負担を軽減できる。すなわち、ファイル管理システムの運用面において容易化を図れる。
なお、図２８で示した手順では、ステップＳ１０７において、申請された各ファイルの重要度を加算した値に基づき申請時の重要度を求めたが、申請時の重要度の算出方法には他の方法も考えられる。例えば、申請された各ファイルのうち、最大の重要度を、当該申請の重要度としてもよい。
【０１９９】
更に、重要度を抽出するための条件には、申請されたファイル（格納ファイル）内のキーワードの他、種々の条件が考えられる。例えば、持出し先、持出し理由、申請者の所属および持帰り予定日時に基づいて重要度を判断してもよい。
【０２００】
次に、復号制御の手順について説明する。
図２９は、第３の実施の形態の復号制御を示すフローチャートである。以下、図２９に示す処理をステップ番号に沿って説明する。
【０２０１】
（ステップＳ１２１）ファイル管理部１５０は、持帰りファイルの固有情報４３１を参照して、ファイル管理ＩＤを抽出する。
（ステップＳ１２２）ファイル管理部１５０は、抽出したファイル管理ＩＤに一致するファイル管理ＩＤが持出し申請管理テーブル１１２に設定されているか否かを判定する。一致するファイル管理ＩＤが設定されている場合、処理をステップＳ１２３に進める。一致するファイル管理ＩＤが設定されていない場合、処理を終了する。
【０２０２】
（ステップＳ１２３）ファイル管理部１５０は、持帰りファイルの管理情報４０１や固有情報４３１を参照して、持帰りファイルのファイル名や格納ファイルのファイル名を抽出する。また、ファイル管理部１５０は持帰りファイルの固有情報４３１を参照して、持帰りファイルの作成日時を抽出する。
【０２０３】
（ステップＳ１２４）ファイル管理部１５０は、持出しファイル管理テーブル１１３を参照して、ステップＳ１２１で抽出したファイル管理ＩＤに対応する持出しファイルのファイル名、作成日時および格納ファイルのファイル名がステップＳ１２３で抽出した各情報と一致するか否か判定する。全てが一致する場合、処理をステップＳ１２５に進める。一致しない情報がある場合、処理を終了する。
【０２０４】
（ステップＳ１２５）ファイル管理部１５０は、アップロードされた持出しファイルと鍵を復号部１８０に出力する。復号部１８０は、持帰りファイルを当該鍵を用いて復号して平文ファイルを取出し、ファイル管理部１５０に出力する。例えば、復号部１８０は持帰りファイル“作業用ファイル．ｄａｔ”を鍵“ｑｗｅｒｔｙｕ”を用いて復号し、“ａ．ｔｘｔ”および“ｂ．ｔｘｔ”を取出す。ファイル管理部１５０は、持帰りファイル名、復号部１８０から取得した平文ファイル名および平文ファイルの情報（ハッシュ値など）を取得し、ファイル管理ＩＤに対応付けて持帰りファイル管理テーブル１１４に設定する。また、ファイル管理部１５０は、持帰りファイルおよび取出した平文ファイルをファイル記憶部１２０に格納して管理する。ファイル管理部１５０は、当該申請ＩＤにつき持出し申請管理テーブル１１２の申請状態を“取出し済”に設定する。
【０２０５】
（ステップＳ１２６）ファイル管理部１５０は、持帰りファイルから取出した平文ファイルの更新有無を確認する。具体的には、持出しファイル管理テーブル１１３に設定された各格納ファイルのハッシュ値と、持帰りファイル管理テーブル１１４に設定された各格納ファイルのハッシュ値と、を比較する。そして、当該格納ファイルにつき、ハッシュ値が異なれば更新有り、ハッシュ値が同じであれば更新無し、と判断する。例えば、持出しファイル管理テーブル１１３によれば、“ａ．ｔｘｔ”の持出し時のハッシュ値は“１５ａｃ８ｆ９ｄｃｂ”であり、持帰りファイル管理テーブル１１４によれば、“ａ．ｔｘｔ”の持帰り時のハッシュ値は“ｂ９８ａ７６３ｆ０ｄ”である。よって、ハッシュ値が異なるので、更新有りと判断できる。一方、“ｂ．ｔｘｔ”の持出し時のハッシュ値と、持帰り時のハッシュ値とは、“ｃ５８９ａ０１ａ３ｆ”で一致しているので、更新無しと判断できる。
【０２０６】
（ステップＳ１２７）ファイル管理部１５０は、重要度テーブル１１５を参照し、持帰りファイルの重要度を算出する。具体的には、重要度テーブル１１５のタイミングの項目に“持帰り時”の設定を含むレコードにつき、区分に応じた条件を判断する。重要度テーブル１１５の例でいえば、取出されたファイル“ａ．ｔｘｔ”や“ｂ．ｔｘｔ”につき、図２８のステップＳ１０７と同様にキーワードの検索を行い、重要度を算出する。また、持帰りファイルに含まれる固有情報４３１の操作履歴を参照し、端末情報１件（同一の端末情報は１件と数える）につき重要度に“１”を加算する。これにより、持帰り時の重要度ランクがＢ，Ａ，Ｓの何れかに定まる。
【０２０７】
（ステップＳ１２８）ファイル管理部１５０は、ステップＳ１２７で求めた重要度ランクと持出し申請時に求めた重要度ランクとを比較し、持帰り時の方が高ランクであるか否かを判定する。持帰り時の方が高ランクである場合、処理をステップＳ１２９に進める。持帰り時の重要度ランクが持出し申請時以下の場合、処理を終了する。なお、持出し申請時の重要度（重要度ランク）は、例えばファイル管理ＩＤに対応付けて持出しファイル管理テーブル１１３に記録されている。
【０２０８】
（ステップＳ１２９）ファイル管理部１５０は、持帰り時の重要度ランクを判定する。重要度ランクＡの場合、処理をステップＳ１３０に進める。重要度ランクＳの場合、処理をステップＳ１３１に進める。
【０２０９】
（ステップＳ１３０）ファイル管理部１５０は、ユーザ管理テーブル１１１を参照し、申請者（例えば、“ＢＳＣ太郎”）のメールアドレスを取得して、更新確認の結果と、持出し時よりも重要度が高くなっている旨を通知する電子メールを申請者宛に送信する。そして、処理を終了する。
【０２１０】
（ステップＳ１３１）ファイル管理部１５０は、ユーザ管理テーブル１１１を参照し、持出し時に承認者として選択されたユーザ（例えば、“ＢＳＣ花子”）のメールアドレスを取得して、承認を促す電子メールを承認者宛に送信する。ここで依頼する承認は、持帰りファイルから取出した平文ファイルを申請者によってダウンロード可能としてよいかの判断を仰ぐ承認である。なお、承認者は、当該承認依頼に対して、例えば、持出し申請詳細画面６３０で示した申請詳細表示領域６３２（図１８）と同様のＧＵＩにより、承認・否認の操作を行える。
【０２１１】
（ステップＳ１３２）ファイル管理部１５０は、承認者による承認がなされると、持帰りファイル（例えば、“作業用ファイル．ｄａｔ”）から取出した平文ファイル（例えば、“ａ．ｔｘｔ”や“ｂ．ｔｘｔ”）のダウンロードを可能とする。すなわち、申請者は、持出し申請詳細画面６３０において取出し詳細表示領域６３８の内容を、承認後に参照可能となる。
【０２１２】
このようにして、管理サーバ１００は持帰り時の重要度ランクに応じて、持帰りファイルから取出されたファイルの取り扱いを変更する。すなわち、重要度ランクＢから重要度ランクＡと重要度が高くなっていれば、申請者に重要度の高さに応じた適切なファイルの取り扱いを報知する。また、重要度ランクＢ，Ａから重要度ランクＳと重要度が高くなっていれば、承認者の承認を経なければ平文ファイルのダウンロードを行えないようにする。
【０２１３】
これにより、持出し先でのファイル編集による重要度の変化に適切に対応できる。例えば、社内ポリシーにより、高い重要度のファイルにつき高セキュリティの管理義務を課している会社では、申請者に対して適切なファイルの取り扱いを促すことができる。その結果、ファイルの安全性を一層向上できる。また、重要度ランクＳの場合に承認依頼を行うようにすることで、承認依頼の増加を抑制できる。よって、承認者の承認操作の負担を軽減できる。
【０２１４】
以上、本発明の暗号処理プログラム、暗号処理装置および暗号処理方法を図示の実施の形態に基づいて説明したが、これらに限定されるものではなく、各部の構成は同様の機能を有する任意の構成のものに置換することができる。また、他の任意の構成物や工程が付加されてもよい。更に、前述した実施の形態のうちの任意の２以上の構成（特徴）を組み合わせたものであってもよい。
【符号の説明】
【０２１５】
１ 暗号処理装置
１ａ 暗号化手段
１ｂ 復号手段
２ 情報処理装置
２ａ 補助記憶装置
３，３ａ 平文ファイル
４，４ａ 暗号化ファイル
【技術分野】
【０００１】
本発明は暗号処理プログラム、暗号処理装置および暗号処理方法に関する。
【背景技術】
【０００２】
従来、組織内部で扱うデータの機密性を確保するため、組織内部から外部へのファイルの持出しを管理することが行われている。例えば、所定の条件を満たす管理対象ファイルにつき、外部記録媒体等への書き出しを禁止するものがある。（例えば、特許文献１，２参照）。また、持出しが許可されたファイルにつき、所定の出力許可時間帯に、外部記録媒体への出力を有効にするものがある（例えば、特許文献３参照）。
【０００３】
また、持出すファイルを暗号化することも行われている。暗号化したファイル（暗号化ファイル）は、復号するための鍵がなければ内容を参照することはできない。したがって、記憶デバイスに出力するファイルを暗号化しておけば、記憶デバイスが盗難に遭った場合の情報漏洩リスクを低減できる。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００６−２９３６７１号公報
【特許文献２】特開２００７−３４６５１号公報
【特許文献３】特開２００９−８６８１１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
ところで、情報処理装置が暗号化ファイルを復号して得た平文ファイルを、補助記憶装置に格納できるとすると、補助記憶装置の盗難時の情報漏洩リスクが高まる。そこで、主記憶装置上では暗号化ファイルの復号・編集・再暗号化を可能としつつ、暗号化ファイルを復号して得た平文ファイルの補助記憶装置への出力を制限することが考えられる。
【０００６】
しかし、暗号化ファイルに対してこのような制限を加えると、情報漏洩リスクを低減できる反面、ユーザによる自由なファイル操作が制限される。例えば、外部から持帰った際に、組織内部の情報処理装置が備える（盗難等の危険性の少ない）安全な補助記憶装置上への平文ファイルの取出しも行えなくなり、不便である。このように、ユーザのファイル操作へ与える影響も考慮して、ファイルの安全性の向上をどのように容易に実現するか問題となる。
【０００７】
本発明はこのような点に鑑みてなされたものであり、ファイルの安全性の向上を容易に実現できるようにした暗号処理プログラム、暗号処理装置および暗号処理方法を提供することを目的とする。
【課題を解決するための手段】
【０００８】
暗号化ファイルを復号して取得した平文ファイルの補助記憶装置への出力を制限して暗号化ファイルの編集を行う情報処理装置と通信するコンピュータの暗号処理プログラムが
提供される。この暗号処理プログラムを実行するコンピュータは、情報処理装置から受信した第１の平文ファイルを暗号化して生成した第１の暗号化ファイルを情報処理装置に送信する。そして、情報処理装置から第１の暗号化ファイルに対応する第２の暗号化ファイルを受信すると、第２の暗号化ファイルを復号して第２の平文ファイルを生成し、第１の平文ファイルに対応するファイルとして第２の平文ファイルを情報処理装置に送信する。
【０００９】
また、暗号化ファイルを復号して取得した平文ファイルの補助記憶装置への出力を制限して暗号化ファイルの編集を行う情報処理装置と通信する暗号処理装置が提供される。この暗号処理装置は、暗号化手段と復号手段とを有する。暗号化手段は、情報処理装置から受信した第１の平文ファイルを暗号化して生成した第１の暗号化ファイルを情報処理装置に送信する。復号手段は、情報処理装置から第１の暗号化ファイルに対応する第２の暗号化ファイルを受信すると、第２の暗号化ファイルを復号して第２の平文ファイルを生成し、第１の平文ファイルに対応するファイルとして第２の平文ファイルを情報処理装置に送信する。
【００１０】
また、暗号処理プログラムを実行するコンピュータの暗号処理方法が提供される。
【発明の効果】
【００１１】
上記暗号処理プログラム、暗号処理装置および暗号処理方法によれば、ファイルの安全性の向上を容易に実現できる。
【図面の簡単な説明】
【００１２】
【図１】第１の実施の形態に係る暗号処理装置を示す図である。
【図２】第２の実施の形態に係るファイル管理システムを示す図である。
【図３】暗号化ファイルの操作に対する制限を示す図である。
【図４】外部記録媒体へのファイルの出力制限を示す図である。
【図５】管理サーバのハードウェア例を示す図である。
【図６】管理サーバおよび端末装置の機能構成を示す図である。
【図７】ユーザ管理テーブルのデータ構造例を示す図である。
【図８】持出し申請管理テーブルのデータ構造例を示す図である。
【図９】申請状態の遷移を示す図である。
【図１０】持出しファイル管理テーブルのデータ構造例を示す図である。
【図１１】持帰りファイル管理テーブルのデータ構造例を示す図である。
【図１２】暗号化ファイルのデータ構造例を示す図である。
【図１３】固有情報のデータ構造例を示す図である。
【図１４】画面遷移を示す図である。
【図１５】持出し申請一覧画面を例示する図である。
【図１６】持出し申請画面を例示する第１の図である。
【図１７】持出し申請画面を例示する第２の図である。
【図１８】持出し申請詳細画面を例示する第１の図である。
【図１９】持出し申請詳細画面を例示する第２の図である。
【図２０】持出し申請詳細画面を例示する第３の図である。
【図２１】第２の実施の形態の持出し申請処理を示すフローチャートである。
【図２２】承認処理を示すフローチャートである。
【図２３】持出しファイルダウンロード処理を示すフローチャートである。
【図２４】外部記録媒体へのファイル出力処理を示すフローチャートである。
【図２５】平文ファイル取出し処理を示すフローチャートである。
【図２６】第２の実施の形態の復号制御を示すフローチャートである。
【図２７】第３の実施の形態の重要度テーブルのデータ構造例を示す図である。
【図２８】第３の実施の形態の持出し申請処理を示すフローチャートである。
【図２９】第３の実施の形態の復号制御を示すフローチャートである。
【発明を実施するための形態】
【００１３】
以下、本実施の形態を図面を参照して説明する。
［第１の実施の形態］
図１は、第１の実施の形態に係る暗号処理装置を示す図である。暗号処理装置１は、情報処理装置２と通信する。暗号処理装置１は、情報処理装置２が扱うデータを暗号処理する。情報処理装置２は補助記憶装置２ａを有する。補助記憶装置２ａは、平文ファイル３を記憶する。平文ファイル３は情報処理装置２が扱うデータである。
【００１４】
情報処理装置２は、暗号処理装置１が生成した暗号化ファイルを復号して取得した平文ファイルの、補助記憶装置２ａへの出力を制限して当該暗号化ファイルの編集を行う。例えば、情報処理装置２が暗号化ファイル４を復号して平文ファイル３を取得したとする。その場合、平文ファイル３の補助記憶装置２ａへの出力が制限される。
【００１５】
ここで、補助記憶装置２ａへの出力を制限するという場合、補助記憶装置２ａ内の特定の（例えば、アクセス制限がなされていない）領域への出力を禁止することを意味する。例えば、情報処理装置２は暗号化ファイルを暗号処理するために、補助記憶装置２ａにアクセス制限の課された作業用のテンポラリ領域を設けて、当該領域を一時的に利用することは可能である（以下、同様）。
【００１６】
なお、暗号化ファイルの編集には、暗号化ファイルを復号して取得した平文ファイルを編集し再度暗号化して暗号化ファイルとすることを含む。具体的には、暗号化ファイル４を復号して得た平文ファイル３を取得し、平文ファイル３を編集して平文ファイル３ａとした後、平文ファイル３ａを再度暗号化して暗号化ファイル４ａとする操作である。また、暗号化ファイル４ａは暗号化ファイル４と同一（編集なし）であってもよい。
【００１７】
暗号処理装置１は、暗号化手段１ａおよび復号手段１ｂを有する。
暗号化手段１ａは、情報処理装置２から受信した平文ファイル３を暗号化して生成した暗号化ファイル４を情報処理装置２に送信する。このとき、暗号化手段１ａは、承認者による承認が行われた平文ファイルのみを暗号化するようにしてもよい。また、暗号化手段１ａは、暗号化ファイル４を生成する際に、種々の属性を暗号化ファイル４に設定してもよい。例えば、暗号化ファイル４を利用可能な有効期間を設定することが考えられる。また、暗号化ファイル４の外部記録媒体への出力可否を設定することが考えられる。また、復号する際にユーザに求める鍵の入力回数の制限値を設定することが考えられる。
【００１８】
復号手段１ｂは、情報処理装置２から暗号化ファイル４に対応する暗号化ファイル４ａを受信すると、暗号化ファイル４ａを復号して平文ファイル３ａを生成し、平文ファイル３に対応するファイルとして平文ファイル３ａを情報処理装置２に送信する。このとき、復号手段１ｂは、暗号化手段１ａによって情報処理装置２に送信された暗号化ファイル（編集後のものを含む）のみを復号するようにしてもよい。また、平文ファイル３ａにつき承認者による承認が行われた場合にのみ、平文ファイル３ａを情報処理装置２へ送信可能としてもよい。承認は、例えば平文ファイル３の重要度に応じて行うようにしてもよい。
【００１９】
暗号処理装置１によれば、暗号化手段１ａにより、情報処理装置２から受信した平文ファイル３が暗号化されて生成された暗号化ファイル４が情報処理装置２に送信される。復号手段１ｂにより、情報処理装置２から暗号化ファイル４に対応する暗号化ファイル４ａが受信されると、暗号化ファイル４ａが復号されて平文ファイル３ａが生成される。そして、復号手段１ｂにより、平文ファイル３に対応するファイルとして平文ファイル３ａが情報処理装置２に送信される。
【００２０】
これにより、ファイルの安全性の向上を容易に実現できる。具体的には、情報処理装置２において補助記憶装置２ａへの出力を制限して暗号化ファイル４を扱えると共に、対応する（例えば、編集後の）暗号化ファイル４ａを暗号処理装置１に復号させることができる。そして、暗号処理装置１から復号により得られた平文ファイル３ａを取得し、平文ファイル３の編集後のファイルとして補助記憶装置２ａに格納できる。
【００２１】
このように、暗号化ファイル４，４ａのファイル操作を厳しく制限して、補助記憶装置２ａに平文ファイル３，３ａを取出せないものとしても、暗号処理装置１により暗号化ファイル４，４ａから平文ファイル３，３ａを取出せる。このため、暗号化ファイル４，４ａに格納されたファイルの安全性を向上できる。併せて、ユーザによる自由なファイル操作への影響を低減できる。
【００２２】
また、暗号化手段１ａは、上述したように承認されたファイルのみを暗号化したり、暗号化ファイル４の操作に関して種々の制限を設定したりしてもよい。更に、復号手段１ｂは、上述したように暗号化ファイル４，４ａの対応関係に基づいて復号可否を判断してもよい。また、復号手段１ｂは承認された平文ファイルのみを情報処理装置２に送信可能としてもよい。このようにすれば、ファイルの安全性を一層向上できる。
【００２３】
以下の説明では、組織内部から外部へのファイルの持出しおよび持帰りを管理する情報処理システム（ファイル管理システム）に暗号処理装置１を適用する場合を例示する。
［第２の実施の形態］
図２は、第２の実施の形態に係るファイル管理システムを示す図である。このファイル管理システムは、管理サーバ１００、端末装置２００，２００ａおよび外部記録媒体３００を含む。管理サーバ１００および端末装置２００，２００ａはネットワーク１０に接続されている。管理サーバ１００および端末装置２００，２００ａは社内に設けられた情報処理装置である。このファイル管理システムでは、外部記録媒体３００への平文ファイルの出力を制限する。すなわち、端末装置２００，２００ａは、暗号化ファイルのみを外部記録媒体３００へ出力可能である。
【００２４】
管理サーバ１００は、ファイルの持出し・持帰りを管理する情報処理装置である。管理サーバ１００は、端末装置２００，２００ａからファイル持出しの申請を受け付ける。管理サーバ１００は、ファイル持出しの申請が承認されると、申請されたファイルを暗号化した暗号化ファイルを生成して記憶する。また、管理サーバ１００は申請したユーザによる暗号化ファイルのダウンロードを可能とする。
【００２５】
更に、管理サーバ１００は、端末装置２００，２００ａを介して、社外から持帰られた暗号化ファイルを受け付ける。管理サーバ１００は、暗号化ファイルを復号して平文ファイルを生成し、記憶する。そして、管理サーバ１００は、当該暗号化ファイルを持帰ったユーザによる平文ファイルのダウンロードを可能とする。
【００２６】
ここで、管理サーバ１００はＷｅｂサーバ機能を有する。端末装置２００，２００ａは、ブラウザを介して、管理サーバ１００の機能を利用できる。
端末装置２００，２００ａは、社員であるユーザが利用する情報処理装置である。ユーザは、その権限に応じて２種類に区分される。すなわち、ファイル持出しの申請のみを行える申請者と、当該申請に対して承認を行う承認者である。申請者は、端末装置２００，２００ａを操作して、管理サーバ１００にファイル持出しの申請を行える。承認者は、端末装置２００，２００ａを操作して、ファイル持出しの申請に対する承認を行える。申請者は、端末装置２００，２００ａを操作して、承認された申請につき管理サーバ１００から暗号化ファイルをダウンロードし、外部記録媒体３００に出力して持出せる。
【００２７】
更に、申請者は端末装置２００，２００ａを操作して、持帰った暗号化ファイルを管理サーバ１００にアップロードして復号させ、管理サーバ１００から平文ファイルをダウンロードできる。
【００２８】
ここで、以下では説明を容易とするため、端末装置２００は主に申請者により利用され、端末装置２００ａは主に承認者により利用されるとする。
端末装置２００ｂは、社外に設けられた情報処理装置である。申請者は、社内から外部記録媒体３００に持出した暗号化ファイルを端末装置２００ｂで編集できる。
【００２９】
ここで、端末装置２００，２００ａ，２００ｂで暗号化ファイルを編集する際には次のような制限が課される。
図３は、暗号化ファイルの操作に対する制限を示す図である。暗号化ファイル４００は、管理サーバ１００によって生成される暗号化されたファイルである。暗号化ファイル４００には、１以上のファイルが格納される。図３の例では、暗号化ファイル４００には格納ファイル４１１，４１２が格納されている。格納ファイル４１１，４１２は、暗号化ファイル４００に格納された状態では暗号化されており、所定の鍵により復号しなければ内容を参照できない。
【００３０】
ここで、端末装置２００は主記憶装置２０１および補助記憶装置２０２を有する。端末装置２００で（例えば、所定のアプリケーションを用いて）格納ファイル４１１を編集する際、端末装置２００は所定の鍵を用いて格納ファイル４１１を復号し、平文ファイル５１１を得る。平文ファイル５１１は主記憶装置２０１の所定の領域に格納される。平文ファイル５１１を編集するアプリケーションは、主記憶装置２０１に格納された平文ファイル５１１を参照して当該ファイルの編集を行える。ただし、編集後の平文ファイル５１１を再度暗号化して暗号化ファイル４００に格納することはできるが、補助記憶装置２０２に出力することは制限されている。
【００３１】
ここで、端末装置２００の構成を示して説明したが端末装置２００ａ，２００ｂについても同様である。このように、暗号化ファイル４００につき、端末装置２００，２００ａ，２００ｂでの操作を厳しく制限することで、持出し先での不適切なファイルの取り扱いを防止し、情報漏洩リスクを低減する。
【００３２】
更に、端末装置２００，２００ａでは、次に示すように外部記録媒体３００へのファイル出力も制限される。
図４は、外部記録媒体へのファイルの出力制限を示す図である。端末装置２００は、外部記録媒体３００と接続し、外部記録媒体３００にファイルを出力、あるいは外部記録媒体３００からファイルを取得できる。外部記録媒体３００は、例えばＵＳＢ（Universal Serial Bus）メモリである。端末装置２００は、平文ファイル５１１の外部記録媒体３００への出力が制限される。他方、端末装置２００では、暗号化ファイル４００であれば外部記録媒体３００への出力が許容される。端末装置２００ａに関しても同様である。このように、外部へ持出せるファイルを暗号化ファイルに限ることで、外部記録媒体３００を紛失した際の情報漏洩リスクを低減する。
【００３３】
なお、暗号化ファイル４００は、外部記録媒体３００に出力して社内から社外へ持出したり、社外から社内へ持帰ったりできるファイルである。そして、ファイル管理システムでは、持出し時と持帰り時とで、暗号化ファイル４００の取り扱いが異なる。そこで、以下の説明では暗号化ファイル４００が持出す際のものか、持帰った際のものかを区別したい場合に、次のように呼び分ける。すなわち、社内から社外へ持出す際の暗号化ファイル４００を“持出しファイル”と称することがある。また、社外から社内へ持帰った際の暗号化ファイル４００を“持帰りファイル”と称することがある。
【００３４】
図５は、管理サーバのハードウェア例を示す図である。管理サーバ１００は、ＣＰＵ（Central Processing Unit）１０１、ＲＯＭ（Read Only Memory）１０２、ＲＡＭ（Random Access Memory）１０３、ＨＤＤ（Hard Disk Drive）１０４、グラフィック処理装置１０５、入力インタフェース１０６、記録媒体読取装置１０７および通信インタフェース１０８を有する。
【００３５】
ＣＰＵ１０１は、管理サーバ１００全体を制御する。
ＲＯＭ１０２は、管理サーバ１００上のＢＩＯＳ（Basic Input / Output System）のプログラムなどを記憶する。
【００３６】
ＲＡＭ１０３は、ＣＰＵ１０１に実行させるＯＳ（Operating System）プログラムやアプリケーションプログラムの少なくとも一部を一時的に記憶する。また、ＲＡＭ１０３は、ＣＰＵ１０１による処理に必要な各種データを記憶する。
【００３７】
ＨＤＤ１０４は、ＯＳプログラムやアプリケーションプログラムを記憶する。また、ＨＤＤ１０４はＣＰＵ１０１による処理に必要な各種データを記憶する。なお、ＨＤＤ１０４に代えて（または、ＨＤＤ１０４と併せて）、ＳＳＤ（Solid State Drive）など他の種類の記憶装置を用いてもよい。
【００３８】
グラフィック処理装置１０５は、モニタ１１と接続される。グラフィック処理装置１０５は、ＣＰＵ１０１からの命令に従って画像をモニタ１１の画面に表示させる。
入力インタフェース１０６は、キーボード１２とマウス１３と接続される。入力インタフェース１０６は、キーボード１２やマウス１３から送られてくる信号をＣＰＵ１０１に送信する。
【００３９】
記録媒体読取装置１０７は、記録媒体１４に記憶されたデータを読み取る読取装置である。例えば、管理サーバ１００が有すべき機能は、その機能の処理内容を記述したプログラムをコンピュータが実行することで実現できる。プログラムは、コンピュータ読み取り可能な記録媒体１４に記録して配布することができる。
【００４０】
記録媒体１４としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリを使用できる。磁気記録装置には、ＨＤＤ、フレキシブルディスク（ＦＤ：Flexible Disk）、磁気テープなどがある。光ディスクには、ＣＤ（Compact Disc）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ−Ｒ／ＲＷ／ＲＡＭなどがある。光磁気記録媒体には、ＭＯ（Magneto-Optical disk）などがある。半導体メモリには、ＵＳＢメモリなどのフラッシュメモリがある。
【００４１】
また、ネットワーク１０に接続されたプログラム配信サーバ（図示せず）にプログラムを格納してもよい。この場合、管理サーバ１００は、ネットワーク１０を介してプログラム配信サーバからプログラムをダウンロードすることができる。
【００４２】
通信インタフェース１０８は、ネットワーク１０と接続される。通信インタフェース１０８は、ネットワーク１０を介して端末装置２００，２００ａを含む他の情報処理装置とデータ通信する。
【００４３】
なお、端末装置２００，２００ａ，２００ｂも管理サーバ１００と同様のハードウェア構成により実現できる。
図６は、管理サーバおよび端末装置の機能構成を示す図である。管理サーバ１００は、制御情報記憶部１１０、ファイル記憶部１２０、ログ記憶部１３０、通信部１４０、ファイル管理部１５０、画面生成部１６０、暗号化部１７０および復号部１８０を有する。これらのユニットの機能は、ＣＰＵ１０１が所定のプログラムを実行することにより管理サーバ１００上に実現される。ただし、これらのユニットの機能の全部または一部を専用のハードウェアで実現してもよい。
【００４４】
制御情報記憶部１１０は、制御情報を記憶する。制御情報には、ユーザ管理テーブル、持出し申請管理テーブル、持出しファイル管理テーブルおよび持帰りファイル管理テーブルが含まれる。ユーザ管理テーブルは、ファイル管理システムを利用するユーザや暗号化に用いる鍵を管理するためのテーブルである。持出し申請管理テーブルは、申請者による申請を管理するためのテーブルである。持出しファイル管理テーブルは、持出しファイルの内容を管理するためのテーブルである。持帰りファイル管理テーブルは、持帰りファイルの内容を管理するためのテーブルである。
【００４５】
ファイル記憶部１２０は、持出し申請の対象となっている平文ファイルや平文ファイルを暗号化した暗号化ファイル（持出しファイル）を記憶する。また、ファイル記憶部１２０は、持帰られた暗号化ファイル（持帰りファイル）から取出した平文ファイルを記憶する。なお、ファイル記憶部１２０はネットワーク１０に接続された別の情報処理装置に設けられてもよい。
【００４６】
ログ記憶部１３０は、ファイル管理システムで発生するイベントの履歴を記憶する。イベントは、例えば、持出し申請の発生、承認、暗号化、持出しファイルの端末装置２００への送信、持帰りファイルの端末装置２００からの受信、持帰りファイルの復号および持帰りファイルから取出したファイルの端末装置２００への送信などである。各イベントは、例えば、発生した時間（年月日時分秒）や申請者および承認者の識別情報などと共に記録される。
【００４７】
通信部１４０は、端末装置２００とデータ通信する。通信部１４０は、ファイル管理部１５０から取得したファイルを端末装置２００に送信し、端末装置２００から受信したファイルをファイル管理部１５０に出力する。また、通信部１４０は、画面生成部１６０から取得した画面データを端末装置２００に送信し、端末装置２００から受信した当該画面データに対する操作情報を画面生成部１６０に出力する。
【００４８】
ファイル管理部１５０は、制御情報記憶部１１０、ファイル記憶部１２０およびログ記憶部１３０に格納された各データを参照・更新して、ファイル管理の機能を実現する。
具体的には、ファイル管理部１５０は申請者による持出し申請を受け付ける。ファイル管理部１５０は、持出し申請されたファイルをファイル記憶部１２０に格納して管理する。ファイル管理部１５０は、持出し申請に対する承認者の承認／否認の判断を受け付ける。ファイル管理部１５０は、承認されたファイルを暗号化部１７０に暗号化させ、暗号化ファイル（持出しファイル）を生成させてファイル記憶部１２０に格納する。ファイル管理部１５０は、端末装置２００からのリクエストに応じてファイル記憶部１２０から持出しファイルを取得し、通信部１４０を介して端末装置２００に送信する。
【００４９】
更に、ファイル管理部１５０は、通信部１４０を介して端末装置２００から暗号化ファイル（持帰りファイル）を受信すると、ファイル記憶部１２０に格納して管理する。ファイル管理部１５０は、持帰りファイルを復号部１８０に復号させて平文ファイルを取出し、ファイル記憶部１２０に格納する。ファイル管理部１５０は、端末装置２００からの要求に応じてファイル記憶部１２０から取出した平文ファイルを取得し、通信部１４０を介して端末装置２００に送信する。
【００５０】
また、ファイル管理部１５０は、各処理を行うたびに、各処理に対応するイベントのログを生成してログ記憶部１３０に格納する。
画面生成部１６０は、申請者が申請操作を行うための画面データや、承認者が承認操作を行うための画面データを通信部１４０を介して端末装置２００に送信する。ここで、画面データは、例えば、ＨＴＭＬ（HyperText Markup Language）形式のデータである。画面生成部１６０は、画面データを生成するための所定の情報をファイル管理部１５０から取得する。例えば、持出しファイルや持帰りファイルなどの管理サーバ１００上の所在を示す情報である。
【００５１】
暗号化部１７０は、ファイル管理部１５０により入力された平文ファイルを暗号化して暗号化ファイルを生成し、ファイル管理部１５０に出力する。
復号部１８０は、ファイル管理部１５０により入力された暗号化ファイルを復号して平文ファイルを生成し、ファイル管理部１５０に出力する。
【００５２】
端末装置２００は、ファイル記憶部２１０、通信部２２０、ブラウザ２３０、暗号化ファイル処理部２４０および媒体出力制御部２５０を有する。これらのユニットの機能は、端末装置２００が備えるＣＰＵが所定のプログラムを実行することにより端末装置２００上に実現される。ただし、これらのユニットの機能の全部または一部を専用のハードウェアで実現してもよい。
【００５３】
ファイル記憶部２１０は、端末装置２００で扱うファイルを記憶する。なお、ファイル記憶部２１０はネットワーク１０に接続された別の情報処理装置に設けられてもよい。
通信部２２０は、管理サーバ１００とデータ通信する。通信部２２０は、管理サーバ１００から受信したファイルや画面データをブラウザ２３０に出力する。通信部２２０は、ブラウザ２３０が出力したリクエストを管理サーバ１００に送信する。
【００５４】
ブラウザ２３０は、通信部２２０から取得した画面データを解析して、端末装置２００に接続されたモニタに申請用画面や承認用画面を表示させる。ブラウザ２３０は、各画面に従ったユーザの操作入力を受け付け、当該操作入力に応じたリクエストを生成し、通信部２２０を介して管理サーバ１００に送信する。
【００５５】
暗号化ファイル処理部２４０は、ファイル記憶部２１０に格納された暗号化ファイルを暗号処理する。その際、図３で説明したようにファイル操作を制限する。すなわち、暗号化ファイル処理部２４０は、主記憶装置２０１上の所定領域に復号した平文ファイルを格納し、平文ファイルの補助記憶装置２０２への出力を制限する。アプリケーションは、主記憶装置２０１上の当該領域を参照して平文ファイルの編集を行える。アプリケーションによる編集が完了すると、暗号化ファイル処理部２４０は当該平文ファイルを再度暗号化して暗号化ファイルに格納する。暗号化ファイル処理部２４０が暗号処理に用いる鍵は、例えばファイル記憶部２１０に予め格納される。あるいは、鍵は、暗号処理を行う際に端末装置２００のユーザにより入力される。
【００５６】
媒体出力制御部２５０は、ファイル記憶部２１０に格納されたファイルを外部記録媒体３００に出力する。その際、図４で説明したようにファイルの内容によって出力を制限する。すなわち、媒体出力制御部２５０は、管理サーバ１００で承認され、暗号化された暗号化ファイルを外部記録媒体３００へ出力可能とし、それ以外のファイルの出力を制限する。
【００５７】
なお、端末装置２００ａも端末装置２００と同様の機能構成により実現できる。
図７は、ユーザ管理テーブルのデータ構造例を示す図である。ユーザ管理テーブル１１１は、制御情報記憶部１１０に予め格納される。ユーザ管理テーブル１１１には、ユーザＩＤ（Identifier）、パスワード、ユーザ名、所属、役職、承認者およびメールアドレスの項目が設けられている。各項目の横方向に並べられた情報同士が互いに関連付けられて、１ユーザの情報を示す。
【００５８】
ユーザＩＤの項目には、ファイル管理システムにおけるユーザＩＤが設定される。パスワードの項目には、ファイル管理システムを利用するためのパスワードが設定される。ユーザ名の項目には、ユーザの名称が設定される。所属の項目には、所属している部署が設定される。役職の項目には、役職が設定される。承認者の項目には、承認の権限を有しているか否かを示すフラグが設定される。メールアドレスの項目は、電子メールのアドレスが設定される。
【００５９】
例えば、ユーザ管理テーブル１１１には、ユーザＩＤが“ｔａｒｏｕ”、パスワードが“ａｂｃｄｅｆｇ”、ユーザ名が“ＢＳＣ太郎”、所属が“ＡＰ本部”、役職が“担当”、承認者が“×”（バツ印）、メールアドレスが“ｔａｒｏｕ＠ｘｘｘ．ｘｘｘ”という情報が設定される。
【００６０】
これは、“ＢＳＣ太郎”というユーザに対してファイル管理システム上で、ユーザＩＤ“ｔａｒｏｕ”、パスワード“ａｂｃｄｅｆｇ”が与えられていること、当該ユーザが“ＡＰ本部”に所属し、役職が“担当”であること、承認権限を有していない（“×”）こと、連絡先のメールアドレスが“ｔａｒｏｕ＠ｘｘｘ．ｘｘｘ”であることを示している。
【００６１】
なお、承認者が“○”（丸印）のユーザは、承認権限を有していることを示す。ユーザ管理テーブル１１１の例では、“ｈａｎａｋｏ”というユーザＩＤのレコードが対応する。すなわち、このユーザＩＤに対応するユーザ“ＢＳＣ花子”は、承認者であることを示す。
【００６２】
図８は、持出し申請管理テーブルのデータ構造例を示す図である。持出し申請管理テーブル１１２は、申請者によってなされた持出し申請を管理するためのデータである。持出し申請管理テーブル１１２は、制御情報記憶部１１０に格納される。持出し申請管理テーブル１１２は、ファイル管理部１５０によって更新される。持出し申請管理テーブル１１２には、申請ＩＤ、申請日時、申請者ＩＤ、承認者ＩＤ、持出し先、持出し理由、申請状態、持出し日時、鍵、ファイル管理ＩＤ、持帰り予定日時および持帰り日時の項目が設けられている。
【００６３】
申請ＩＤの項目には、申請ＩＤが設定される。申請日時の項目には、申請が行われた時間（年月日時分秒）が設定される。申請者ＩＤの項目には、申請者のユーザＩＤが設定される。承認者ＩＤの項目には、承認者のユーザＩＤが設定される。持出し先の項目には、持出し先が設定される。持出し理由の項目には、持出し理由が設定される。申請状態の項目には、現時点での当該申請の状態が設定される。申請状態とは、例えば当該申請の未承認・承認、承認されて生成された持出しファイルの持出し・持帰りなどを示す。持出し日時の項目には、持出しファイルが持出された時間（年月日時分秒）が設定される。鍵の項目には、暗号処理に用いる鍵が設定される。ファイル管理ＩＤの項目には、持出し申請されたファイルおよび持出しファイルを管理するためのファイル管理ＩＤが設定される。持帰り予定日時の項目には、持出しファイルを持帰る予定の時間（年月日時分秒）が設定される。持帰り日時の項目には、持出しファイルを持帰った時間（年月日時分秒）が設定される。
【００６４】
例えば、持出し申請管理テーブル１１２には、申請ＩＤが“Ａ０００１”、申請日時が“２０１１／１／２１ １０：００：００”、申請者ＩＤが“ｔａｒｏｕ”、承認者ＩＤが“ｈａｎａｋｏ”、持出し先が“Ｘ社”、持出し理由が“客先作業”、申請状態が“持出し済”、持出し日時が“２０１１／１／２１ １２：１０：３０”、鍵が“ｑｗｅｒｔｙｕ”、ファイル管理ＩＤが“３Ｆ２５０４Ｅ０−４Ｆ８９”、持帰り予定日時が“２０１１／１／２３ １７：００：００”、持帰り日時が“−”（ハイフン）という情報が設定される。
【００６５】
これは、申請者ＩＤ“ｔａｒｏｕ”に対応するユーザが、承認者ＩＤ“ｈａｎａｋｏ”に対応するユーザを承認者として、２０１１年１月２１日１０時００分００秒に、ファイルの持出し申請を行っており、当該申請を識別する情報として申請ＩＤ“Ａ０００１”が付与されていることを示す。また、この申請では、持出し先が“Ｘ社”、持出し理由が“客先作業”、申請状態が“持出し済”、持出し日時が２０１１年１月２１日１２時１０分３０秒であることを示す。更に、暗号処理に用いる鍵が“ｑｗｅｒｔｙｕ”であり、ファイル管理ＩＤが“３Ｆ２５０４Ｅ０−４Ｆ８９”であることを示す。また、持帰り予定日時が２０１１年１月２３日１７時００分００秒であることを示し、持帰り日時が未設定（“−”）であることを示す。
【００６６】
ここで、持出し申請の申請状態について説明する。
図９は、申請状態の遷移を示す図である。図９では、各申請状態に符号を振って申請状態の遷移を説明する。あるファイルについて持出し申請がなされると、当該申請に申請ＩＤが付与されて、持出し申請管理テーブル１１２に登録される。このとき、申請状態は未承認５１となる。
【００６７】
そして、当該申請が承認者により承認されると、申請状態は未承認５１から承認５２に遷移する。一方、当該申請が承認者により否認されると、申請状態は未承認５１から否認５３に遷移する。
【００６８】
申請状態が承認５２の申請につき、申請者が持出しファイルを管理サーバ１００からダウンロードすると、申請状態は承認５２から持出し済５４に遷移する。申請状態が持出し済５４の申請につき、申請者が持帰りファイルを管理サーバ１００にアップロードすると、申請状態は持出し済５４から持帰り済５５に遷移する。
【００６９】
更に、管理サーバ１００が持帰りファイルの復号に成功し、格納されたファイルの取出しが完了すると、申請状態は、持帰り済５５から取出し済５６に遷移する。
ファイル管理部１５０は、申請状態が変化すると、持出し申請管理テーブル１１２の申請状態の項目を変化後の設定に更新する。
【００７０】
図１０は、持出しファイル管理テーブルのデータ構造例を示す図である。持出しファイル管理テーブル１１３は、持出し申請されたファイルおよび持出しファイルを管理するためのデータである。持出しファイル管理テーブル１１３は、制御情報記憶部１１０に格納される。持出しファイル管理テーブル１１３は、ファイル管理部１５０によって更新される。持出しファイル管理テーブル１１３には、ファイル管理ＩＤ、持出しファイル名、作成日時、格納ファイル名（１）、格納ファイルのハッシュ（１）、格納ファイル名（２）、格納ファイルのハッシュ（２）、・・・、持出しファイル設定、有効期間、パスワード回数制限および格納ディレクトリの項目が設けられている。各項目の横方向に並べられた情報同士が互いに関連付けられて、１つの持出しファイルとそれに格納される１以上のファイルの情報を示す。
【００７１】
ファイル管理ＩＤの項目には、ファイル管理ＩＤが設定される。持出しファイル名の項目には、持出しファイルの名称が設定される。作成日時の項目には、持出しファイルが作成された時間（年月日時分秒）が設定される。
【００７２】
格納ファイル名（１）の項目には、格納される１つ目のファイルの名称が設定される。格納ファイルのハッシュ（１）の項目には、格納される１つ目のファイルのハッシュ値が設定される。格納ファイル名（２）の項目には、格納される２つ目のファイルの名称が設定される。格納ファイルのハッシュ（２）の項目には、格納される２つ目のファイルのハッシュ値が設定される。格納ファイル名およびそのファイルのハッシュは、持出しファイルに格納されるファイル数分設定される。格納ファイルが３以上ある場合には、格納ファイル名の項目および格納ファイルのハッシュの項目が更に設けられる。
【００７３】
持出しファイル設定の項目には、持出しファイルのファイル操作に課される制限が設定される。例えば、図３に示したように補助記憶装置２０２への出力を制限する旨の設定（ファイル取出し制限）がなされる。また、その上で更なる制限の設定がなされてもよい（例えば、印刷の禁止など）。有効期間の項目には、持出しファイルを利用可能な期間が設定される。パスワード回数制限の項目には、復号時にパスワード入力を求める際に許容する入力回数が設定される。格納ディレクトリの項目には、持出しファイルおよび格納ファイル群を格納した管理サーバ１００上のディレクトリが設定される。
【００７４】
例えば、持出しファイル管理テーブル１１３には、ファイル管理ＩＤが“３Ｆ２５０４Ｅ０−４Ｆ８９”、持出しファイル名が“作業用ファイル．ｄａｔ”、作成日時が“２０１１／１／２１ １１：３０：３０”、格納ファイル名（１）が“ａ．ｔｘｔ”、格納ファイルのハッシュ（１）が“１５ａｃ８ｆ９ｄｃｂ”、格納ファイル名（２）が“ｂ．ｔｘｔ”、格納ファイルのハッシュ（２）が“ｃ５８９ａ０１ａ３ｆ”、持出しファイル設定のファイル取出し制限が“ＯＮ”、有効期間が“２日間“、パスワード回数制限が“５”、格納ディレクトリが“／ＡＰＰ１／３Ｆ２５０４Ｅ０−４Ｆ８９”という情報が設定される。
【００７５】
これは、ファイル管理ＩＤ“３Ｆ２５０４Ｅ０−４Ｆ８９”が持出しファイル名“作業用ファイル．ｄａｔ”に対応するものであることを示す。また、当該持出しファイルは、２０１１年１月２１日１１時３０分３０秒に作成され、“ａ．ｔｘｔ”および“ｂ．ｔｘｔ”というファイルが格納されていることを示す。そして、“ａ．ｔｘｔ”のハッシュ値が“１５ａｃ８ｆ９ｄｃｂ”であり、“ｂ．ｔｘｔ”のハッシュ値が“ｃ５８９ａ０１ａ３ｆ”であることを示す。また、持出しファイルにつき補助記憶装置２０２への出力が制限されていること、持出しファイルを利用可能な期間が作成日時から２日間であること、パスワードを入力可能な回数が５回であること、を示している。
【００７６】
ここで、承認後、持出しファイルを利用可能な期間が経過すると、例えば持出しファイルに格納されたファイルの閲覧が不可能となる。また、パスワード回数制限を超えてパスワードを入力ミスすると、例えば持出しファイルに格納されたファイルの復号が不可能となる。
【００７７】
更に、持出しファイルおよび格納ファイルが管理サーバ１００上のディレクトリ“／ＡＰＰ１／３Ｆ２５０４Ｅ０−４Ｆ８９”配下に格納されていることを示す。ここで、“ＡＰＰ１”は、ファイル記憶部１２０のディレクトリであるとする。すなわち、本例では、持出しファイルおよびその格納ファイルは、ファイル記憶部１２０内のディレクトリ“／ＡＰＰ１”配下のファイル管理ＩＤと同名のディレクトリに格納されている。
【００７８】
図１１は、持帰りファイル管理テーブルのデータ構造例を示す図である。持帰りファイル管理テーブル１１４は、持帰りファイルを管理するためのデータである。持帰りファイル管理テーブル１１４は、制御情報記憶部１１０に格納される。持帰りファイル管理テーブル１１４は、ファイル管理部１５０によって更新される。持帰りファイル管理テーブル１１４には、ファイル管理ＩＤ、持帰りファイル名、取出し日時、格納ファイル名（１）、格納ファイルのハッシュ（１）、格納ファイル名（２）、格納ファイルのハッシュ（２）、・・・、および格納ディレクトリの項目が設けられている。各項目の横方向に並べられた情報同士が互いに関連付けられて、１つの持帰りファイルとそれから取出された１以上のファイルの情報を示す。
【００７９】
ファイル管理ＩＤの項目には、ファイル管理ＩＤが設定される。持帰りファイル名の項目には、持帰りファイルの名称が設定される。取出し日時の項目には、持帰りファイルを復号して格納されたファイルを取出した時間（年月日時分秒）が設定される。
【００８０】
格納ファイル名（１）の項目には、格納された１つ目のファイルの名称が設定される。格納ファイルのハッシュ（１）の項目には、格納された１つ目のファイルのハッシュ値が設定される。格納ファイル名（２）の項目には、格納された２つ目のファイルの名称が設定される。格納ファイルのハッシュ（２）の項目には、格納された２つ目のファイルのハッシュ値が設定される。格納ファイル名およびそのファイルのハッシュ値は、持帰りファイルに格納されるファイル数分設定される。格納ファイルが３以上ある場合には、格納ファイル名の項目および格納ファイルのハッシュの項目が更に設けられる。
【００８１】
格納ディレクトリの項目には、持帰りファイルおよび持帰りファイルから取出された格納ファイル群を格納した管理サーバ１００上のディレクトリが設定される。
以下、図１０で示したファイル管理ＩＤ“３Ｆ２５０４Ｅ０−４Ｆ８９”の持出しファイルが社外から社内へ持帰られた場合を想定して、持帰りファイル管理テーブル１１４の設定を例示する。
【００８２】
例えば、持帰りファイル管理テーブル１１４には、ファイル管理ＩＤが“３Ｆ２５０４Ｅ０−４Ｆ８９”、持帰りファイル名が“作業用ファイル．ｄａｔ”、取出し日時が“２０１１／１／２２／１６：００：００”、格納ファイル名（１）が“ａ．ｔｘｔ”、格納ファイルのハッシュ（１）が“ｂ９８ａ７６３ｆ０ｄ”、格納ファイル名（２）が“ｂ．ｔｘｔ”、格納ファイルのハッシュ（２）が“ｃ５８９ａ０１ａ３ｆ”、格納ディレクトリが“／ＡＰＰ２／３Ｆ２５０４Ｅ０−４Ｆ８９”という情報が設定される。
【００８３】
これは、ファイル管理ＩＤ“３Ｆ２５０４Ｅ０−４Ｆ８９”が持帰りファイル名“作業用ファイル．ｄａｔ”に対応するものであることを示す。また、当該持帰りファイルは、２０１１年１月２２日１６時００分００秒に復号されて、“ａ．ｔｘｔ”および“ｂ．ｔｘｔ”が取出されたことを示す。そして、“ａ．ｔｘｔ”のハッシュ値が“ｂ９８ａ７６３ｆ０ｄ”であり、“ｂ．ｔｘｔ”のハッシュ値が“ｃ５８９ａ０１ａ３ｆ”であることを示す。
【００８４】
更に、持帰りファイルおよび取出された格納ファイルが管理サーバ１００上のディレクトリ“ＡＰＰ２／３Ｆ２５０４Ｅ０−４Ｆ８９”配下に格納されていることを示す。ここで、“ＡＰＰ２”は、ファイル記憶部１２０のディレクトリであるとする。すなわち、本例では、持帰りファイルおよびそこから取出された格納ファイルは、ファイル記憶部１２０内のディレクトリ“／ＡＰＰ２”配下のファイル管理ＩＤと同名のディレクトリに格納されている。
【００８５】
次に、暗号化ファイル（持出しファイルまたは持帰りファイル）のデータ構造について説明する。
図１２は、暗号化ファイルのデータ構造例を示す図である。暗号化ファイル４００は、管理情報４０１、格納ファイル４１１，４１２、格納ファイル情報４２１および固有情報４３１を含む。
【００８６】
管理情報４０１は、ＯＳのファイルシステムで用いるファイル管理用の情報（暗号化ファイル４００のファイル名など）を格納するデータ領域である。管理情報４０１は、暗号化されないデータである。
【００８７】
格納ファイル４１１，４１２は、格納ファイルのデータ本体である。図１２では、格納ファイル４１１，４１２の２つのファイルを例示しているが、暗号化ファイル４００には１以上のファイルを格納し得る。
【００８８】
格納ファイル情報４２１は、格納ファイル４１１，４１２の各ファイルを識別するための情報である。具体的には、格納ファイル４１１，４１２のファイル名、データサイズ、暗号化ファイル４００内における格納ファイル４１１，４１２の相対アドレスなどを示す情報を含む。例えば、格納ファイル４１１のファイル名として“ａ．ｔｘｔ”が、格納ファイル４１２のファイル名として“ｂ．ｔｘｔ”が設定される。
【００８９】
端末装置２００，２００ａ，２００ｂは、格納ファイル情報４２１に基づき各ファイルのファイル名、開始位置および終了位置などを特定できる。また、端末装置２００，２００ａ，２００ｂでは、格納ファイル情報４２１を参照することで、格納ファイル４１１，４１２の復号を行う前に、暗号化ファイル４００に含まれる格納ファイルの一覧を取得できる。
【００９０】
固有情報４３１は、暗号化ファイル４００に設定されたファイル管理ＩＤ、持出しファイル設定の内容および暗号化ファイル４００に対する操作履歴などを格納した情報である。
【００９１】
格納ファイル４１１，４１２、格納ファイル情報４２１および固有情報４３１は、暗号化されるデータである。
次に、固有情報４３１のデータ構造を詳細に説明する。
【００９２】
図１３は、固有情報のデータ構造例を示す図である。固有情報４３１は、ファイル管理ＩＤ、持出しファイル設定、作成日時および操作履歴の項目を含む。
ファイル管理ＩＤの項目には、ファイル管理ＩＤが設定される。持出しファイル設定の項目には、持出しファイルに対する制限内容が設定される。作成日時の項目には、暗号化ファイル４００の作成日時（年月日時分秒）が設定される。操作履歴の項目には、暗号化ファイル４００に対する端末装置２００，２００ａ，２００ｂでの操作の履歴が設定される。操作履歴の項目には、例えば、１つの操作につき操作種別、操作時間および端末情報が記録される。固有情報４３１の例では、１操作に関するこれらの情報の組を括弧記号“（）”内の同一数字で示している（例えば、“（１）”など）。具体的には、ある１操作につき、操作種別（１）、操作時間（１）および端末情報（１）の情報のセットが記録されている。
【００９３】
ここで、操作種別には具体的な操作の内容を示す情報が設定される。例えば、“ａ．ｔｘｔを開く”、“ａ．ｔｘｔの編集”、“ａ．ｔｘｔを閉じる”などといった操作である。“ａ．ｔｘｔを開く”は、格納ファイル４１１を復号して得た平文ファイル５１１を主記憶装置２０１上に配置した旨を示す。“ａ．ｔｘｔの編集”は、主記憶装置２０１上に配置した平文ファイル５１１の編集を行った旨を示す。“ａ．ｔｘｔを閉じる”は、編集後の平文ファイル５１１を暗号化し、格納ファイル４１１に置き換えて、暗号化ファイル４００に格納した旨を示す。
【００９４】
また、操作時間には、例えば、操作時間（１）として“２０１１／１／２２ １０：３０：３０”という情報が設定されている。これは、２０１１年１月２２日１０時３０分３０秒に操作種別（１）の操作が行われたことを示す。
【００９５】
更に、端末情報には操作種別の操作を行った端末装置の識別情報および所在を示す情報などが設定される。例えば、端末情報に設定される情報としては、次の内容が考えられる（端末情報（１）で例示する）。
【００９６】
第１には、ＩＰ（Internet Protocol）アドレスである。端末情報（１）では“１９２．１６８．０．４４”が設定されている。第２には、ＭＡＣ（Media Access Control）アドレスである。端末情報（１）では“００−ＸＸ−ＡＡ−ＤＤ−ＥＥ−ＦＦ”が設定されている。第３には、当該端末装置のＯＳなどにより設定されたホスト名である。端末情報（１）では“ｈｏｓｔｎａｍｅ”が設定されている。第４には、当該端末装置の位置座標（緯度，経度）である。端末情報（１）では“（３５．６２７５３３，１３９．７７８８０１）”が設定されている。位置座標は、例えば、端末装置２００，２００ａ，２００ｂにＧＰＳ（Global Position System）デバイスを設け、当該ＧＰＳデバイスから取得して設定できる。
【００９７】
図１４は、画面遷移を示す図である。画面生成部１６０は、ＧＵＩ（Graphical User Interface）生成に用いる画面データを生成する。端末装置２００，２００ａが備えるブラウザは、当該画面データに基づきＧＵＩを生成する。このＧＵＩは、端末装置２００，２００ａが備えるモニタに表示される。このＧＵＩには、ログイン画面６００、持出し申請一覧画面６１０、持出し申請画面６２０および持出し申請詳細画面６３０が含まれる。
【００９８】
ログイン画面６００は、申請者および承認者といったユーザが自己のユーザＩＤおよびパスワードを入力して当該システムにログインするための画面である。
持出し申請一覧画面６１０は、ログイン画面６００で入力された情報によりユーザ認証が成功した後に、ユーザが処理すべき申請の一覧を表示する画面である。申請者にとっては、自己が申請した内容の一覧を確認できる。承認者にとっては、自己を承認者に指定して申請された内容の一覧を確認できる。また、持出し申請一覧画面６１０には、持出し申請画面６２０および持出し申請詳細画面６３０へのリンクが設けられている。ユーザは当該リンクを選択することで、持出し申請画面６２０または持出し申請詳細画面６３０に移動できる。なお、ユーザは端末装置２００，２００ａに設けられたキーボードやポインティングデバイス（例えば、マウス）を操作して、当該リンクの選択操作を行える（以下、同様）。
【００９９】
持出し申請画面６２０は、申請者が新たに持出し申請を行う際に、その申請内容を入力するための画面である。持出し申請画面６２０には、持出し申請一覧画面６１０へのリンクが設けられている。ユーザは当該リンクを選択することで、持出し申請一覧画面６１０に移動できる。
【０１００】
持出し申請詳細画面６３０は、持出し申請一覧画面６１０で選択された申請の詳細内容を表示する画面である。持出し申請詳細画面６３０では、持出しファイルを管理サーバ１００からダウンロードできる。また、持出し申請詳細画面６３０では、持帰りファイルを管理サーバ１００にアップロードできる。持出し申請詳細画面６３０には、持出し申請一覧画面６１０へのリンクが設けられている。ユーザは当該リンクを選択することで、持出し申請一覧画面６１０に移動できる。
【０１０１】
次に、上記各画面の表示例を詳細に説明する。
図１５は、持出し申請一覧画面を例示する図である。持出し申請一覧画面６１０は、検索条件入力領域６１１、検索ボタン６１２、持出し申請一覧表示領域６１３、リンク６１４，６１５を有する。ポインタＰは、ユーザが操作対象とするフォームを選択したり、ボタンの押下操作を行ったりするためのものである（以下、持出し申請画面６２０および持出し申請詳細画面６３０も同様にポインタＰにより操作可能である）。
【０１０２】
検索条件入力領域６１１は、持出し申請一覧表示領域６１３に表示させる申請の条件を入力するフォーム群である。例えば、検索条件入力領域６１１には、申請日時（開始）、申請日時（終了）、申請者、承認者、申請ファイル名および申請状態を入力可能である。
【０１０３】
検索ボタン６１２は、ファイル管理部１５０による持出し申請管理テーブル１１２の検索を開始させるためのボタンである。ファイル管理部１５０は、検索条件入力領域６１１に入力された条件に基づき検索を行う。ファイル管理部１５０は、当該検索の結果を画面生成部１６０に出力し、持出し申請一覧表示領域６１３に検索結果を表示させる。
【０１０４】
持出し申請一覧表示領域６１３は、ファイル管理部１５０による検索結果を表示する領域である。一覧には、例えば申請日時、申請者、承認者、申請ファイル名および申請状態が表示される。更に、申請日時には持出し申請詳細画面６３０へのリンク６１３ａ，６１３ｂ，６１３ｃ（図中ではリンクを下線で示している。以下同様）が設定されており、ユーザは、当該リンクをポインタＰにより選択できる。例えば、リンク６１３ａを選択すれば、その申請に対応する申請詳細画面へ移動できる。
【０１０５】
なお、申請ファイル名の欄には、複数のファイルが申請されていても単一のファイル名を表示する例を示している。ただし、申請ファイル名の欄に、申請された複数のファイルを表示してもよい。また、図１５では申請状態の欄に表示の一例を示しているが、この欄の表示内容は申請状態の遷移により変更されるものである。
【０１０６】
リンク６１４は、持出し申請一覧画面６１０へのリンクである。持出し申請一覧画面６１０でリンク６１４を選択しても、同画面に遷移するのみである。
リンク６１５は、持出し申請画面６２０へのリンクである。
【０１０７】
申請者は、端末装置２００に持出し申請一覧画面６１０を表示させて、自己の申請の一覧を確認できる。承認者は、端末装置２００ａに持出し申請一覧画面６１０を表示させて、自己が承認すべき申請の一覧を確認できる。
【０１０８】
ここで、端末装置２００において、申請者がポインタＰによりリンク６１５を選択したとする。すると、端末装置２００は持出し申請画面６２０を表示する。
図１６は、持出し申請画面を例示する第１の図である。持出し申請画面６２０は、申請ファイル名指定領域６２１、持出しファイル名指定領域６２２、持出し先設定領域６２３、持出し理由設定領域６２４および持出しファイル設定領域６２５を有する。
【０１０９】
申請ファイル名指定領域６２１には、持出し対象とするファイルの名称とその所在（端末装置２００上のパス）が設定される。なお、指定されるパスは、ファイル記憶部２１０を示すパスでもよいし、端末装置２００がアクセス可能なファイルサーバを示すパスでもよい。
【０１１０】
申請ファイル名指定領域６２１には、削除ボタン６２１ａ，６２１ｂおよび参照ボタン６２１ｃが設けられている。削除ボタン６２１ａ，６２１ｂは、申請ファイルの取消を行い、画面上から削除するためのボタンである。例えば、削除ボタン６２１ａを押下操作すると、“／ｄａｔａ／ａ．ｔｘｔ”の行が削除される。参照ボタン６２１ｃは、申請者にパスの指定を促すダイアログを表示させるためのボタンである。申請ファイル名は直接入力することもできるし、ダイアログから入力することもできる。
【０１１１】
持出しファイル名指定領域６２２には、持出しファイルの名称が設定される。
持出し先設定領域６２３には、持出し先が設定される。持出し先設定領域６２３には、削除ボタン６２３ａおよび追加ボタン６２３ｂが設けられている。削除ボタン６２３ａは、持出し先の指定の取消を行い、画面上から削除するためのボタンである。追加ボタン６２３ｂは、申請者に持出し先の指定を促すダイアログを表示させるためのボタンである。
【０１１２】
持出し理由設定領域６２４には、持出し理由が設定される。
持出しファイル設定領域６２５には、持出しファイルの有効期間や格納ファイルの取出し制限が設定される。格納ファイルに対する取出し操作の制限としては、主記憶装置２０１への出力を制限する設定（格納ファイルの取出しを制限する）に加えて、例えば次のような設定が可能である。
【０１１３】
第１にファイル編集時の別名保存を禁止する設定である。具体的には、ファイル編集時に当該平文ファイルに別名を付した保存を禁止する。
第２にファイル編集時の印刷を禁止する設定である。具体的には、ファイル編集時に当該平文ファイルの内容のプリンタによる印刷を制限する。
【０１１４】
第３にファイル編集時の画面コピー取得を禁止する設定である。具体的には、ファイル編集時にＯＳによる画面コピー機能を制限する。
第４にファイル編集時の共有メモリ領域へのコピーを禁止する設定である。具体的には、ファイル編集時にＯＳが管理する共有メモリ領域への平文ファイルのコピーを制限する。
【０１１５】
これらの各設定は、各設定項目に設けられたチェックボックスをオン／オフすることで行える。チェックボックスをオンにすれば、持出しファイルの作成時（申請ファイルの暗号化時）に、対応する制限を付加できる。設定内容は、持出しファイル管理テーブル１１３の持出しファイル設定の項目に登録される。
【０１１６】
図１７は、持出し申請画面を例示する第２の図である。持出し申請画面６２０は、更に、鍵指定領域６２６、承認者設定領域６２７、持帰り予定日設定領域６２８および申請ボタン６２９を有する。
【０１１７】
鍵指定領域６２６には、暗号処理を行う鍵や鍵の入力回数制限が設定される。鍵の種別には、パスワードおよび暗号鍵を設定可能である。パスワードで鍵を設定した場合、暗号化ファイルは復号時（あるいは暗号化ファイルのオープン時）にユーザに鍵を入力させる。暗号鍵で鍵を設定した場合、端末装置２００，２００ａ，２００ｂは、自装置に予め格納された鍵を用いて暗号処理を行う。すなわち、暗号鍵として入力された鍵を有していない端末装置では、当該暗号化ファイルの内容を参照することはできない。申請者は、鍵指定領域６２６に設けられたラジオボタンにより、鍵の種別をパスワードにするか、暗号鍵にするか選択できる。また、鍵の種別をパスワードにした場合に、そのパスワードの入力を何回まで許容するかを鍵入力回数制限として設定できる。
【０１１８】
承認者設定領域６２７には、承認者が設定される。承認者設定領域６２７では、所属やユーザ名を入力し検索ボタン６２７ａを押下操作することで、ファイル管理部１５０に承認者を検索させることができる。検索結果は、承認者表示領域６２７ｂに表示される。検索結果が複数表示される場合、申請者は、ラジオボタンで何れかの承認者を選択できる。
【０１１９】
持帰り予定日設定領域６２８には、持帰り予定日が設定される。持帰り予定日は、申請者が持帰り申請をする場合に設定される。持帰り予定日を設定しておくことで、例えば申請者が持帰り予定日を過ぎても持帰りファイルのアップロードを行わない場合に、管理サーバ１００から持帰りファイルのアップロードを促すメールを送信できる。
【０１２０】
申請ボタン６２９は、図１６，１７で示した持出し申請画面６２０の設定内容を管理サーバ１００に送信して持出し申請を確定するためのボタンである。ファイル管理部１５０は、端末装置２００から申請内容を取得すると、申請ＩＤやファイル管理ＩＤを付与して持出し申請管理テーブル１１２および持出しファイル管理テーブル１１３に登録する。
【０１２１】
ここで、持出し申請画面６２０から持出し申請一覧画面６１０に移動可能とすべく、持出し申請画面６２０にもリンク６１４，６１５を表示する（図１６，１７では図示を省略している）。
【０１２２】
図１８は、持出し申請詳細画面を例示する第１の図である。持出し申請詳細画面６３０は、持出し申請一覧画面６１０で承認者（あるいは、申請者）がリンク６１３ａ，６１３ｂ，６１３ｃの何れかを選択した際に端末装置２００ａ（あるいは、端末装置２００）に表示される画面である。
【０１２３】
持出し申請詳細画面６３０は、申請状態表示領域６３１、申請詳細表示領域６３２を有する。
申請状態表示領域６３１には、当該申請が現在どのような状態にあるかが表示される。承認者に対しては、承認者が行うべき操作内容を表示する操作説明の項目が設けられる。
【０１２４】
申請詳細表示領域６３２には、申請日時、申請者、承認者、申請ファイル名、持出し先、持出し理由、持出しファイル設定および持帰り予定日が表示される。これらの各情報は、持出し申請管理テーブル１１２に設定された内容がファイル管理部１５０により取得される。画面生成部１６０は、ファイル管理部１５０が取得した情報に基づいて、申請詳細表示領域６３２に各情報を表示させる。ここで、申請ファイル名には、申請者が持出しファイルに格納したいファイルのファイル名が表示され、当該ファイルへのリンク６３２ａ，６３２ｂが設けられる。承認者は、リンク６３２ａ，６３２ｂをポインタＰにより選択することで、各ファイルの内容を所定のアプリケーションに実行させて、その内容を確認できる。このリンクは、持出しファイル管理テーブル１１３の格納ディレクトリの項目の設定値に基づいて生成できる。リンクは、例えばＵＲＩ（Uniform Resource Identifier）で記述される。
【０１２５】
また、申請詳細表示領域６３２には、承認ボタン６３２ｃおよび否認ボタン６３２ｄが表示されている。承認ボタン６３２ｃは、申請を承認するためのボタンである。承認ボタン６３２ｃがポインタＰにより押下操作されると、当該申請が承認される。否認ボタン６３２ｄは、申請を否認するためのボタンである。否認ボタン６３２ｄがポインタＰにより押下操作されると、当該申請が否認される。なお、否認する際には、否認理由の入力フォームに否認理由を入力して申請者に通知できる。また、承認ボタン６３２ｃおよび否認ボタン６３２ｄおよび否認理由の入力フォームは、承認者のユーザＩＤでログインして持出し申請詳細画面６３０を表示させた際に操作可能である。一方、申請者のユーザＩＤでログインして持出し申請詳細画面６３０を表示させた際には、操作不可の状態（例えば、非表示やグレーアウト）となっている。
【０１２６】
図１９は、持出し申請詳細画面を例示する第２の図である。持出し申請詳細画面６３０は、更に、承認詳細表示領域６３３および持出し詳細表示領域６３４を有する。
承認詳細表示領域６３３には、承認ボタン６３２ｃが押下されて承認された日時や承認者の情報が表示される。また、否認ボタン６３２ｄが押下されて否認された場合には、その否認日時や承認者の情報および否認理由が表示される。
【０１２７】
持出し詳細表示領域６３４には、持出しファイルに関する情報が設定される。具体的には、鍵、持出しファイル名および持出し日時である。鍵には、持出しファイルを暗号処理する鍵が表示される。持出しファイル名には、申請された１以上のファイルを暗号化して生成された持出しファイル（暗号化ファイル）の名称が設定される。持出しファイル名には、そのファイル名とともに、当該ファイルへのリンク６３４ａが設けられる。申請者は、リンク６３４ａをポインタＰにより選択することで、持出しファイルを管理サーバ１００から端末装置２００にダウンロードできる。このリンクは、持出しファイル管理テーブル１１３の格納ディレクトリの項目の設定値に基づいて生成できる。持出し日時には、当該ファイルをダウンロードした時間が設定される。
【０１２８】
図２０は、持出し申請詳細画面を例示する第３の図である。持出し申請詳細画面６３０は、更に、持帰り詳細表示領域６３５、アップロードボタン６３６、持帰り日時表示領域６３７および取出し詳細表示領域６３８を有する。
【０１２９】
持帰り詳細表示領域６３５には、持出しファイル名が表示される。また、持帰り詳細表示領域６３５には、持帰りファイル名とその所在（端末装置２００上のパス）が設定される。指定されるパスは、ファイル記憶部２１０を示すパスでもよいし、端末装置２００がアクセス可能な外部記録媒体３００やファイルサーバなどを示すパスでもよい。なお、申請者は参照ボタン６３５ａを押下操作して、持帰りファイルのパスの指定を促すダイアログを表示させることもできる。このように、持帰りファイル名は、直接入力することもできるし、ダイアログから入力することもできる。
【０１３０】
また、持帰り詳細表示領域６３５には、復号に用いる鍵が設定される。なお、貼付ボタン６３５ｂを押下操作することで、暗号化時に入力した鍵を入力することもできる。例えば、貼付ボタン６３５ｂが押下操作されると、ファイル管理部１５０は持出し申請管理テーブル１１２を参照して申請ＩＤを検索キーとして鍵を取得し、画面生成部１６０に出力する。画面生成部１６０は、鍵を含む画面を生成して端末装置２００に送信する。
【０１３１】
アップロードボタン６３６は、持帰り詳細表示領域６３５に設定された持帰りファイルおよび鍵を管理サーバ１００にアップロードするためのボタンである。
持帰り日時表示領域６３７には、持帰りファイルが管理サーバ１００に送信された時間が表示される。
【０１３２】
取出し詳細表示領域６３８には、持帰りファイルを復号して取出されたファイル名および取出し日時が表示される。なお、ファイル名には、当該ファイルへのリンク６３８ａ，６３８ｂが設けられる。申請者は、リンク６３８ａ，６３８ｂをポインタＰにより選択することで、各ファイルを端末装置２００にダウンロードできる。ダウンロードした各ファイルは、持出しファイルに格納された各格納ファイルに対応するファイルである。このリンクは、持帰りファイル管理テーブル１１４の格納ディレクトリに項目の設定値に基づいて生成できる。
【０１３３】
ここで、持出し申請詳細画面６３０から持出し申請一覧画面６１０に移動可能とすべく、持出し申請画面６２０にもリンク６１４を表示する（図１８〜２０では図示を省略している）。
【０１３４】
次に、以上の構成のファイル管理システムの処理手順を説明する。まず、申請者による持出し申請処理を説明する。端末装置２００を用いて申請することを想定する。
図２１は、第２の実施の形態の持出し申請処理を示すフローチャートである。以下、図２１に示す処理をステップ番号に沿って説明する。
【０１３５】
（ステップＳ１１）端末装置２００は、申請者（例えば、“ＢＳＣ太郎”）によりログイン画面６００に入力されたユーザＩＤやパスワードを管理サーバ１００に送信する。ファイル管理部１５０は、受信した情報に基づきログイン認証を行う。
【０１３６】
（ステップＳ１２）画面生成部１６０は、ログイン認証が成功すると、持出し申請一覧画面６１０の画面データを端末装置２００に送信する。
（ステップＳ１３）端末装置２００は、端末装置２００に接続されたモニタに持出し申請一覧画面６１０を表示させる。端末装置２００は、申請者によるリンク６１５の選択操作を受け付ける。すると、端末装置２００はリンク６１５で示される持出し申請画面６２０を要求するリクエストを管理サーバ１００に送信する。
【０１３７】
（ステップＳ１４）画面生成部１６０は、端末装置２００からリクエストを受信すると、持出し申請画面６２０の画面データを生成して、端末装置２００に送信する。
（ステップＳ１５）端末装置２００は、持出し申請画面６２０をモニタに表示させる。端末装置２００は、持出し申請画面６２０に対する申請者の申請内容の入力を受け付け、申請ボタン６２９の押下操作を受け付けると、入力された申請内容を管理サーバ１００に送信する。ここで、申請内容は、持出し申請画面６２０で説明した内容であるとする。持出しファイル設定領域６２５では、格納ファイルの取出しを制限する旨の設定（補助記憶装置への出力制限）がなされている。
【０１３８】
（ステップＳ１６）ファイル管理部１５０は、端末装置２００から申請内容を受信すると、申請ＩＤ（例えば、“Ａ０００１”）を付与して持出し申請管理テーブル１１２に登録する。申請状態は、“未承認”である。このとき、ファイル管理部１５０は、ファイル管理ＩＤ（例えば、“３Ｆ２５０４Ｅ０−４Ｆ８９”）を発行し、持出しファイル名や申請されたファイルの情報（ハッシュ値など）を取得して、持出しファイル管理テーブル１１３に登録する。
【０１３９】
（ステップＳ１７）ファイル管理部１５０は、ユーザ管理テーブル１１１を参照し、承認者として選択されたユーザ（例えば、“ＢＳＣ花子”）のメールアドレスを取得して、承認を促す電子メールを承認者宛に送信する。
【０１４０】
（ステップＳ１８）端末装置２００は、申請者によるログアウト操作を受け付け、ファイル管理システムからログアウトする。
このようにして、持出し申請処理が行われる。承認者は、端末装置２００ａで、管理サーバ１００から自身に送信された電子メールを受信し、その内容を閲覧する。この電子メールには、承認者のログイン用情報および当該申請ＩＤに対応する持出し申請詳細画面６３０を要求する情報を含むリンクが設定されている。承認者がこのリンクを選択すると、承認処理が開始される。なお、承認者はログイン画面６００、持出し申請一覧画面６１０を経由して持出し申請詳細画面６３０を端末装置２００ａに表示させることもできる。
【０１４１】
図２２は、承認処理を示すフローチャートである。以下、図２２に示す処理をステップ番号に沿って説明する。
（ステップＳ２１）端末装置２００ａは、承認者（例えば、“ＢＳＣ花子”）による電子メール中のリンク選択を受け付ける。すると、端末装置２００ａは、リンクに設定された承認者のユーザＩＤおよび申請ＩＤ（例えば“Ａ０００１”）を設定した持出し申請詳細画面６３０へのリンクなどを含むリクエストを生成して、管理サーバ１００に送信する。ファイル管理部１５０は、受信したリクエストに基づきログイン認証を行う。
【０１４２】
（ステップＳ２２）画面生成部１６０は、受信したリクエストに基づき持出し申請詳細画面６３０の画面データを生成して、端末装置２００ａに送信する。
（ステップＳ２３）端末装置２００ａは、端末装置２００ａに接続されたモニタに持出し申請詳細画面６３０を表示させる。端末装置２００ａは、持出し申請詳細画面６３０に対する承認者の操作入力（例えば、申請されたファイルの閲覧）を受け付け、当該操作入力に応じて管理サーバ１００から申請されたファイルを取得し、当該ファイルの内容を表示したりする。そして、端末装置２００ａは、承認者による承認ボタン６３２ｃまたは否認ボタン６３２ｄの押下操作を受け付ける。すると、端末装置２００ａは、押下操作されたボタンに応じたリクエストを生成して、管理サーバ１００に送信する。
【０１４３】
（ステップＳ２４）ファイル管理部１５０は、端末装置２００ａからリクエストを受信する。管理サーバ１００は、リクエストに含まれる情報に基づき、端末装置２００ａでの承認ボタン６３２ｃまたは否認ボタン６３２ｄの押下を受け付ける。
【０１４４】
（ステップＳ２５）ファイル管理部１５０は、申請が承認されたかを判定する。承認された場合、当該申請ＩＤにつき持出し申請管理テーブル１１２の申請状態を“承認”に設定し、処理をステップＳ２６に進める。否認された場合、当該申請ＩＤにつき持出し申請管理テーブル１１２の申請状態を“否認”に設定し、処理をステップＳ２７に進める。
【０１４５】
（ステップＳ２６）ファイル管理部１５０は、申請ファイルおよび申請時に指定された鍵を暗号化部１７０に出力する。暗号化部１７０は、申請ファイルを当該鍵を用いて暗号化して持出しファイル（暗号化ファイル）を生成し、ファイル管理部１５０に出力する。例えば、申請ＩＤ“Ａ０００１”では、申請ファイル“ａ．ｔｘｔ”および“ｂ．ｔｘｔ”について持出し申請されている。よって、これらのファイルを申請時に指定された鍵（“ｑｗｅｒｔｙｕ”）で暗号化し、持出しファイル（“作業用ファイル．ｄａｔ”）を生成する。その際、暗号化部１７０は、持出しファイル管理テーブル１１３に設定された持出しファイル設定、有効期間、パスワード回数制限に基づいて、持出しファイルに操作上の制限を設定する。ファイル管理部１５０は、暗号化部１７０から持出しファイルを取得すると、ファイル記憶部１２０に格納して管理する。
【０１４６】
（ステップＳ２７）ファイル管理部１５０は、ユーザ管理テーブル１１１を参照し、申請者（例えば、“ＢＳＣ太郎”）のメールアドレスを取得して、承認者による承認処理の結果を通知する電子メールを申請者宛に送信する。
【０１４７】
（ステップＳ２８）端末装置２００ａは、承認者によるログアウト操作を受け付け、ファイル管理システムからログアウトする。
このようにして、承認処理が行われる。申請者は、端末装置２００で、管理サーバ１００から自身に送信された電子メールを受信し、その内容を閲覧する。この電子メールには、申請者のログイン用情報および当該申請ＩＤに対応する持出し申請詳細画面６３０を要求する情報を含むリンクが設定されている。承認された場合、申請者がこのリンクを選択すると、持出しファイルダウンロード処理が開始される。一方、否認された場合、申請者は、表示された持出し申請詳細画面６３０を参照して否認理由を確認できる。なお、申請者は、ログイン画面６００、持出し申請一覧画面６１０を経由して持出し申請詳細画面６３０を端末装置２００に表示させることもできる。
【０１４８】
図２３は、持出しファイルダウンロード処理を示すフローチャートである。以下、図２３に示す処理をステップ番号に沿って説明する。
（ステップＳ３１）端末装置２００は、申請者（例えば、“ＢＳＣ太郎”）による電子メール中のリンク選択を受け付ける。すると、端末装置２００は、リンクに設定された申請者のユーザＩＤおよび申請ＩＤ（例えば、“Ａ０００１”）を設定した持出し申請詳細画面６３０へのリンクなどを含むリクエストを生成して管理サーバ１００に送信する。ファイル管理部１５０は、受信したリクエストに基づきログイン認証を行う。
【０１４９】
（ステップＳ３２）画面生成部１６０は、受信したリクエストに基づき持出し申請詳細画面６３０の画面データを生成して、端末装置２００に送信する。
（ステップＳ３３）端末装置２００は、持出し申請詳細画面６３０をモニタに表示させる。端末装置２００は、申請者によるリンク６３４ａの選択操作を受け付ける。すると、端末装置２００は、リンク６３４ａで示される持出しファイル（例えば、“作業用ファイル．ｄａｔ”）を要求するリクエストを管理サーバ１００に送信する。ファイル管理部１５０は、当該リクエストに応じて、リンク６３４ａで示される持出しファイルを端末装置２００に送信する。端末装置２００は、持出しファイルを受信する。ファイル管理部１５０は、当該申請ＩＤにつき持出し申請管理テーブル１１２の申請状態を“持出し済”に設定する。
【０１５０】
（ステップＳ３４）端末装置２００は、申請者によるログアウト操作を受け付け、ファイル管理システムからログアウトする。
このようにして、端末装置２００は管理サーバ１００から持出しファイルをダウンロードする。次に、端末装置２００における外部記録媒体３００へのファイルの出力処理の手順を説明する。
【０１５１】
図２４は、外部記録媒体へのファイル出力処理を示すフローチャートである。以下、図２４に示す処理をステップ番号に沿って説明する。
（ステップＳ４１）媒体出力制御部２５０は、持出し対象のファイルの外部記録媒体３００への持出し操作を受け付ける。持出し操作とは、媒体出力制御部２５０に持出し対象のファイルを入力するための操作である。例えば、ユーザは当該ファイルを選択して、媒体出力制御部２５０を含むアプリケーションに入力する。端末装置２００では、ＯＳの機能による外部記録媒体３００へのファイル出力が制限されているが、当該操作を行うことで媒体出力制御部２５０を介したファイル出力を行える。
【０１５２】
（ステップＳ４２）媒体出力制御部２５０は、入力されたファイルが管理サーバ１００で承認済のファイルか否かを判定する。承認済のファイルである場合、処理をステップＳ４３に進める。承認済のファイルでない場合、処理をステップＳ４４に進める。なお、承認済のファイルであるか否かは、持出しファイル（暗号化ファイル４００）の固有情報４３１を参照して、ファイル管理ＩＤが設定されているか否かによって判定できる。
【０１５３】
（ステップＳ４３）媒体出力制御部２５０は、外部記録媒体３００へファイルを出力する。
（ステップＳ４４）媒体出力制御部２５０は、当該ファイルが未承認のファイルであり、外部記録媒体３００への出力が不可能であることを通知するメッセージを端末装置２００に接続されたモニタに表示させる。
【０１５４】
このようにして、媒体出力制御部２５０は外部記録媒体へのファイル出力を制限する。
なお、外部記録媒体へのファイル出力制限や補助記憶装置２０２への格納ファイルの出力制限以外にも、持出しファイルには種々の操作制限を設定できる。具体的には、前述の持出しファイルの有効期間、鍵の入力回数制限、格納ファイル編集時の別名保存禁止、印刷禁止、画面コピー禁止、ＯＳの共有メモリ領域へのコピー禁止、などである。これらの制限設定に基づいて、暗号化ファイル処理部２４０は持出しファイルに対するファイル操作を制限する。端末装置２００ａ，２００ｂについても同様である。
【０１５５】
持出しファイルにこのような制限を設定することで、持出しファイルに格納されたファイルの安全性を一層向上できる。
申請者は、上記処理によって、持出しファイルを外部記録媒体３００に出力し、社内から社外へ持出せる。そして、申請者は、端末装置２００ｂで持出しファイル内の格納ファイルを復号して得た平文ファイル（“ａ．ｔｘｔ”や“ｂ．ｔｘｔ”）を編集する。端末装置２００ｂは、編集後の平文ファイルを暗号化して持出しファイルに格納する。このようにして、持出しファイルが編集される。
【０１５６】
その後、申請者は外部記録媒体３００を社外から社内へ持帰る。そして、持帰った持出しファイル（持帰りファイル）に格納されたファイルから平文ファイルの取出しを行う。取出しの処理は、管理サーバ１００が実行する。次に、このような平文ファイルの取出し処理の手順を説明する。
【０１５７】
図２５は、平文ファイル取出し処理を示すフローチャートである。以下、図２５に示す処理をステップ番号に沿って説明する。
（ステップＳ５１）端末装置２００は、申請者（例えば、“ＢＳＣ太郎”）によりログイン画面６００に入力されたユーザＩＤやパスワードを管理サーバ１００に送信する。ファイル管理部１５０は、受信した情報に基づきログイン認証を行う。
【０１５８】
（ステップＳ５２）画面生成部１６０は、ログイン認証が成功すると、持出し申請一覧画面６１０の画面データを端末装置２００に送信する。
（ステップＳ５３）端末装置２００は、持出し申請一覧画面６１０をモニタに表示させる。端末装置２００は、申請者によるリンク６１３ｂの選択操作を受け付ける。すると、端末装置２００はリンク６１３ｂで示される持出し申請詳細画面６３０を要求するリクエストを管理サーバ１００に送信する。
【０１５９】
（ステップＳ５４）画面生成部１６０は、端末装置２００からリクエストを受信すると、持出し申請詳細画面６３０の画面データを生成して、端末装置２００に送信する。
（ステップＳ５５）端末装置２００は、持出し申請詳細画面６３０をモニタに表示させる。端末装置２００は、持出し申請詳細画面６３０の持帰り詳細表示領域６３５に対する申請者の入力（持帰りファイル名および復号用の鍵）を受け付ける。そして、端末装置２００は、アップロードボタン６３６の押下操作を受け付けると、入力された持帰りファイル等を管理サーバ１００に送信する。
【０１６０】
（ステップＳ５６）ファイル管理部１５０は、持帰りファイルおよび鍵を受信する。ファイル管理部１５０は、当該申請ＩＤにつき持出し申請管理テーブル１１２の申請状態を“持帰り済”に設定する。
【０１６１】
（ステップＳ５７）ファイル管理部１５０は、持帰りファイルの復号制御を行う（詳細は後述する）。
（ステップＳ５８）ファイル管理部１５０は、復号結果（取出した平文ファイルのファイル名や所在を示す情報など）を画面生成部１６０に出力する。画面生成部１６０は、持出し申請詳細画面６３０の画面データを更新し、端末装置２００に送信する。
【０１６２】
（ステップＳ５９）端末装置２００は、持出し申請詳細画面６３０を更新してモニタに表示させる。すると、アップロードボタン６３６の下部に持帰り日時表示領域６３７や取出し詳細表示領域６３８の内容が表示される。端末装置２００は、申請者によるリンク６３８ａまたはリンク６３８ｂの選択操作を受け付ける。すると、端末装置２００は、リンク６３８ａ，６３８ｂで示される平文ファイル（“ａ．ｔｘｔ”や“ｂ．ｔｘｔ”）を要求するリクエストを管理サーバ１００に送信する。ファイル管理部１５０は、当該リクエストに応じて、リンク６３８ａ，６３８ｂで示される平文ファイルを端末装置２００に送信する。端末装置２００は、平文ファイルを受信する。
【０１６３】
（ステップＳ６０）端末装置２００は、申請者によるログアウト操作を受け付け、ファイル管理システムからログアウトする。
このようにして、端末装置２００は、管理サーバ１００から持帰りファイルに格納された平文ファイルをダウンロードできる。申請者は、ダウンロードした平文ファイルをファイル記憶部２１０や端末装置２００と通信可能なファイルサーバなどに格納することができる。
【０１６４】
次に、ステップＳ５７の復号制御の手順を説明する。
図２６は、第２の実施の形態の復号制御を示すフローチャートである。以下、図２６に示す処理をステップ番号に沿って説明する。
【０１６５】
（ステップＳ６１）ファイル管理部１５０は、持帰りファイルの固有情報４３１を参照して、ファイル管理ＩＤを抽出する。
（ステップＳ６２）ファイル管理部１５０は、抽出したファイル管理ＩＤに一致するファイル管理ＩＤが持出し申請管理テーブル１１２に設定されているか否かを判定する。一致するファイル管理ＩＤが設定されている場合、処理をステップＳ６３に進める。一致するファイル管理ＩＤが設定されていない場合、処理を終了する。
【０１６６】
（ステップＳ６３）ファイル管理部１５０は、持帰りファイルの管理情報４０１や固有情報４３１を参照して、持帰りファイルのファイル名や格納ファイルのファイル名を抽出する。また、ファイル管理部１５０は持帰りファイルの固有情報４３１を参照して、持帰りファイルの作成日時を抽出する。
【０１６７】
（ステップＳ６４）ファイル管理部１５０は、持出しファイル管理テーブル１１３を参照して、ステップＳ６１で抽出したファイル管理ＩＤに対応する持出しファイルのファイル名、作成日時および格納ファイルのファイル名がステップＳ６３で抽出した各情報と一致するか否か判定する。全てが一致する場合、処理をステップＳ６５に進める。一致しない情報がある場合、処理を終了する。
【０１６８】
（ステップＳ６５）ファイル管理部１５０は、アップロードされた持出しファイルと鍵を復号部１８０に出力する。復号部１８０は、持帰りファイルを当該鍵を用いて復号して平文ファイルを取出し、ファイル管理部１５０に出力する。例えば、復号部１８０は持帰りファイル“作業用ファイル．ｄａｔ”を、鍵“ｑｗｅｒｔｙｕ”を用いて復号し、“ａ．ｔｘｔ”および“ｂ．ｔｘｔ”を取出す。ファイル管理部１５０は、持帰りファイル名、復号部１８０から取得した平文ファイル名および平文ファイルの情報（ハッシュ値など）を取得し、ファイル管理ＩＤに対応付けて持帰りファイル管理テーブル１１４に設定する。また、ファイル管理部１５０は、持帰りファイルおよび取出した平文ファイルをファイル記憶部１２０に格納して管理する。ファイル管理部１５０は、当該申請ＩＤにつき持出し申請管理テーブル１１２の申請状態を“取出し済”に設定する。
【０１６９】
このようにして、管理サーバ１００は持帰りファイルの復号を行う。その際、持帰りファイルが管理サーバ１００で管理するものでない場合（管理サーバ１００で承認されたものでない場合）には、復号を行わない。これによって、不審なファイルの社内への持込みを防止できる。
【０１７０】
なお、上記ステップＳ６２，Ｓ６４の判断に加えて、持帰りファイルをアップロードしたユーザが、申請者と同一のユーザであるか否かに応じて、復号の可否を判断してもよい。例えば、申請者と同一のユーザである場合にのみ復号を行い、異なるユーザが持帰りファイルをアップロードした場合には、復号を行わない。このようにすれば、なりすましユーザによって不正に持帰りファイルの内容が閲覧されるのを防止できる。
【０１７１】
また、持出しファイルが編集されることなく持帰られると、持出しファイルと持帰りファイルとが同一となる。そのような場合にも管理サーバ１００にアップロードすることで、持帰りファイルを復号し、格納されたファイルを取出せる。
【０１７２】
更に、端末装置２００でファイルのダウンロードおよびアップロードをする場合を例示したが、端末装置２００ａでファイルのダウンロードおよびアップロードを行うこともできる。その場合、管理サーバ１００および端末装置２００ａの間で、上記説明と同様の処理が行われる。例えば、端末装置２００で持出しファイルをダウンロードし、端末装置２００ａで持帰りファイルをアップロードすることもできる。また、端末装置２００ａで持出しファイルをダウンロードし、端末装置２００で持帰りファイルをアップロードすることもできる。
【０１７３】
以上で説明したように、管理サーバ１００によれば、社内から社外へ持出すファイルの安全性の向上を容易に実現できる。具体的には、端末装置２００，２００ａ，２００ｂにおいて補助記憶装置への平文ファイルの出力を制限して持出しファイルを扱える。そして、持帰りファイルを管理サーバ１００に復号させることができる。更に、管理サーバ１００から復号により得られた平文ファイルを取得し、持出したファイルの編集後のファイルとして補助記憶装置に格納できる。
【０１７４】
このように、暗号化ファイルのファイル操作を厳しく制限して、端末装置２００，２００ａ，２００ｂの補助記憶装置に復号した平文ファイルを取出せないものとしても、管理サーバ１００により暗号化ファイルから平文ファイルを取出せる。そして、ユーザは管理サーバ１００から平文ファイルをダウンロードして、当該平文ファイルを所望の格納先に格納して管理できる。このため、ユーザによる自由なファイル操作への影響を低減しながら、暗号化ファイルに格納されたファイルの安全性を向上できる。
【０１７５】
また、管理サーバ１００は、上述したように承認されたファイルのみを暗号化する。そして、端末装置２００，２００ａ，２００ｂでの持出しファイルのファイル操作につき種々の制限を設定する。更に、上述したように持出しファイルと持帰りファイルとの対応関係に基づいて、持帰りファイルの復号可否を判断する。また、持出し申請時のユーザと持帰り時のユーザとの対応関係に基づいて、持帰りファイルの復号可否を判断する。このような機能により、ファイルの安全性を一層向上できる。
【０１７６】
［第３の実施の形態］
次に、第３の実施の形態について説明する。前述の第２の実施の形態との差異を主に説明し、共通の事項に関しては説明を省略する。
【０１７７】
第２の実施の形態では、承認された申請について持出しファイルを生成して持出し可能とした。一方、申請が行われる都度、承認を要すると、承認者の負担が過大となるおそれがある。そこで、第３の実施の形態では、持出し申請されたファイルの重要度に応じて承認の要否を判断する機能を提供する。
【０１７８】
また、第２の実施の形態では、持帰り時には承認を行わずに復号するものとした。しかし、持出し先での格納ファイルが編集されたことによって、持出し時にはその重要度が低かったとしても、持帰り時には重要度が高まっている可能性もある。その場合、ユーザに対して持帰ったファイルの適切な管理を促すことが望ましい。例えば、会社によっては、重要度の高低に応じてファイルの管理方法を区別し、重要度の高いファイルにつき管理方法に高セキュリティを課す場合もある。そこで、第３の実施の形態では、持出し時に重要度を判断するとともに、持帰り時にも重要度の変化を判断し、ユーザに適切に注意喚起する機能を提供する。
【０１７９】
ここで、第３の実施の形態におけるファイル管理システムの構成は、図２で説明した第２の実施の形態のファイル管理システムの構成と同様であるため、説明を省略する。暗号化ファイルに課される制限も図３，４で説明した通りである。また、第３の実施の形態における管理サーバや端末装置の構成も、図５，６で説明した第２の実施の形態の管理サーバ１００および端末装置２００，２００ａ，２００ｂの構成と同様であるため説明を省略する。更に、以下の説明では、管理サーバ１００および端末装置２００，２００ａ，２００ｂで示した各構成と同一の名称・符号を用いる。
【０１８０】
図２７は、第３の実施の形態の重要度テーブルのデータ構造例を示す図である。重要度テーブル１１５は、ファイル管理部１５０が申請されたファイルや持帰りファイルに格納されたファイルの重要度を算出するために用いるデータである。重要度テーブル１１５は、制御情報記憶部１１０に予め格納される。重要度テーブル１１５には、区分、タイミング、条件および重要度の項目が設けられている。各項目の横方向に並べられた情報同士が互いに関連付けられて、１つの重要度の判断基準を示す。
【０１８１】
区分の項目には、条件の属する区分を示す情報が設定される。タイミングの項目には、重要度を判断するタイミングが設定される。条件の項目には、重要度を判断する際の条件が設定される。重要度の項目には、条件を満たす場合の重要度の値が設定される。
【０１８２】
例えば、重要度テーブル１１５には、区分が“格納ファイル内キーワード”、タイミングが“持出し申請時／持帰り時”、条件が“社外秘”、重要度が“５”という情報が設定される。これは、暗号化ファイルの持出し申請時および持帰り時に重要度の判断を行うことを示しており、暗号化ファイルに格納されたファイル内にキーワード“社外秘”の文字列が存在していた場合、重要度“５”を加えることを示している。
【０１８３】
また、例えば重要度テーブル１１５には、区分が“固有情報内の履歴”、タイミングが“持帰り時”、条件が“操作履歴の端末情報１件当たり”、重要度が“１”という情報が設定される。これは、暗号化ファイルの持帰り時に重要度の判断を行うことを示しており、暗号化ファイルに格納された“操作履歴の端末情報１件当たり”につき、重要度“１”を加えることを示している（同一の端末情報は１件と数える）。
【０１８４】
このようにして、持出し申請時および持帰り時の重要度を算出できる。ここで、算出された重要度に応じて重要度ランクを設ける。具体的には、次の通りとする。
（１）算出された重要度が９以下の場合は重要度ランクＢとする。
【０１８５】
（２）算出された重要度が１０以上１４以下の場合は重要度ランクＡとする。
（３）算出された重要度が１５以上の場合は重要度ランクＳとする。
なお、重要度ランクＳは最も重要度が高いとする（最も重要である）。次いで、重要度ランクＡの重要度が高いとする。そして、重要度ランクＢが最も重要度が低いとする。重要度ランクに含める重要度の幅は、ファイル管理システムの運用に応じて適宜変更できる。また、重要度ランクは２つとしてもよいし、４つ以上としてもよい。
【０１８６】
次に、以上の構成のファイル管理システムの処理手順を説明する。ここで、第３の実施の形態でも、承認処理、持出しファイルダウンロード処理、外部記録媒体へのファイル出力処理および平文ファイル取出し処理の手順は、第２の実施の形態と同様である。このため、これらの処理手順については説明を省略し、持出し申請処理および復号制御の処理手順を説明する。
【０１８７】
まず、申請者による持出し申請処理を説明する。端末装置２００を用いて申請することを想定する。
図２８は、第３の実施の形態の持出し申請処理を示すフローチャートである。以下、図２８に示す処理をステップ番号に沿って説明する。
【０１８８】
（ステップＳ１０１）端末装置２００は、申請者（例えば、“ＢＳＣ太郎”）によりログイン画面６００に入力されたユーザＩＤやパスワードを管理サーバ１００に送信する。ファイル管理部１５０は、受信した情報に基づきログイン認証を行う。
【０１８９】
（ステップＳ１０２）画面生成部１６０は、ログイン認証が成功すると、持出し申請一覧画面６１０の画面データを端末装置２００に送信する。
（ステップＳ１０３）端末装置２００は、持出し申請一覧画面６１０をモニタに表示させる。端末装置２００は、申請者によるリンク６１５の選択操作を受け付ける。すると、端末装置２００はリンク６１５で示される持出し申請画面６２０を要求するリクエストを管理サーバ１００に送信する。
【０１９０】
（ステップＳ１０４）画面生成部１６０は、端末装置２００からリクエストを受信すると、持出し申請画面６２０の画面データを生成して、端末装置２００に送信する。
（ステップＳ１０５）端末装置２００は、持出し申請画面６２０をモニタに表示させる。端末装置２００は、持出し申請画面６２０に対する申請者の申請内容の入力を受け付け、申請ボタン６２９の押下操作を受け付けると、入力された申請内容を管理サーバ１００に送信する。ここで、申請内容は、持出し申請画面６２０（図１６，１７）で説明した内容であるとする。持出しファイル設定領域６２５では、格納ファイルの取出しを制限する旨の設定（補助記憶装置への出力制限）がなされている。
【０１９１】
（ステップＳ１０６）ファイル管理部１５０は、端末装置２００から申請内容を受信すると、申請ＩＤ（例えば、“Ａ０００１”）を付与して持出し申請管理テーブル１１２に登録する。申請状態は、“未承認”である。このとき、ファイル管理部１５０は、ファイル管理ＩＤ（例えば、“３Ｆ２５０４Ｅ０−４Ｆ８９”）を発行し、持出しファイル名や申請されたファイルの情報（ハッシュ値など）を取得して、持出しファイル管理テーブル１１３に登録する。
【０１９２】
（ステップＳ１０７）ファイル管理部１５０は、重要度テーブル１１５を参照し、申請されたファイルの重要度を算出する。具体的には、重要度テーブル１１５のタイミングの項目に“持出し申請時”の設定を含むレコードにつき、区分に応じた条件を判断する。重要度テーブル１１５の例でいえば、申請されたファイル“ａ．ｔｘｔ”内から“社外秘”や“顧客リスト”といったキーワードを検索する。そして、当該キーワードが存在する場合には対応する重要度を抽出し、加算していく。例えば、“社外秘”と“顧客リスト”というキーワードが存在すれば、各キーワードに対応する重要度の和を算出する。“ｂ．ｔｘｔ”についても同様である。その結果、例えば、“ａ．ｔｘｔ”の重要度が“８”、“ｂ．ｔｘｔ”の重要度が“６”というように求まる。更にこれらを加算して、当該持出し申請時の重要度が“１４”（重要度ランクＡ）と求まる。ファイル管理部１５０は、例えば持出しファイル管理テーブル１１３に、ファイル管理ＩＤに対応付けて、求めた重要度（重要度ランク）を記録する。
【０１９３】
（ステップＳ１０８）ファイル管理部１５０は、ステップＳ１０７で求めた重要度ランクが所定のレベル以上か否かを判定する。レベルは、ファイル管理システムの管理者が運用に応じて制御情報記憶部１１０に予め格納しておくことができる。例えば“重要度ランクＡ”が設定される。重要度ランクが当該レベル以上の場合、処理をステップＳ１０９に進める。重要度ランクが当該レベルよりも低い場合、処理をステップＳ１１０に進める。
【０１９４】
（ステップＳ１０９）ファイル管理部１５０は、ユーザ管理テーブル１１１を参照し、承認者として選択されたユーザ（例えば、“ＢＳＣ花子”）のメールアドレスを取得して、承認を促す電子メールを承認者宛に送信する。そして、処理をステップＳ１１２に進める。
【０１９５】
（ステップＳ１１０）ファイル管理部１５０は、申請ファイルおよび申請時に指定された鍵を暗号化部１７０に出力する。暗号化部１７０は、申請ファイルを当該鍵を用いて暗号化して持出しファイル（暗号化ファイル）を生成し、ファイル管理部１５０に出力する。例えば、申請ＩＤ“Ａ０００１”では、申請ファイル“ａ．ｔｘｔ”および“ｂ．ｔｘｔ”について持出し申請されている。よって、これらのファイルの申請時に指定された鍵（“ｑｗｅｒｔｙｕ”）で暗号化し、持出しファイル（“作業用ファイル．ｄａｔ”）を生成する。その際、暗号化部１７０は、持出しファイル管理テーブル１１３に設定された取出しファイル設定、有効期間、パスワード回数制限に基づいて、持出しファイルに操作上の制限を設定する。ファイル管理部１５０は、暗号化部１７０から持出しファイルを取得すると、ファイル記憶部１２０に格納して管理する。
【０１９６】
（ステップＳ１１１）端末装置２００は、申請者の操作に応じて、持出し申請詳細画面６３０をモニタに表示させる。そして、端末装置２００は、申請者によるリンク６３４ａの選択操作を受け付ける。すると、端末装置２００は、リンク６３４ａで示される持出しファイル（“作業用ファイル．ｄａｔ”）を要求するリクエストを管理サーバ１００に送信する。ファイル管理部１５０は、当該リクエストに応じて、リンク６３４ａで示される持出しファイルを端末装置２００に送信する。端末装置２００は、持出しファイルを受信する。
【０１９７】
（ステップＳ１１２）端末装置２００は、申請者によるログアウト操作を受け付け、ファイル管理システムからログアウトする。
このように、管理サーバ１００は申請の重要度を算出し、その重要度の高低によって、承認者の承認を行うか否かを判断する。そして、重要度の低い申請に関しては、承認を省いて持出しファイルのダウンロードを可能とする。他方、重要度の高い申請に関しては、第２の実施の形態と同様に、承認後に持出しファイルのダウンロードを可能とする。
【０１９８】
これにより、承認者に対する承認依頼数を低減できる。よって、承認者の承認処理の負担を軽減できる。すなわち、ファイル管理システムの運用面において容易化を図れる。
なお、図２８で示した手順では、ステップＳ１０７において、申請された各ファイルの重要度を加算した値に基づき申請時の重要度を求めたが、申請時の重要度の算出方法には他の方法も考えられる。例えば、申請された各ファイルのうち、最大の重要度を、当該申請の重要度としてもよい。
【０１９９】
更に、重要度を抽出するための条件には、申請されたファイル（格納ファイル）内のキーワードの他、種々の条件が考えられる。例えば、持出し先、持出し理由、申請者の所属および持帰り予定日時に基づいて重要度を判断してもよい。
【０２００】
次に、復号制御の手順について説明する。
図２９は、第３の実施の形態の復号制御を示すフローチャートである。以下、図２９に示す処理をステップ番号に沿って説明する。
【０２０１】
（ステップＳ１２１）ファイル管理部１５０は、持帰りファイルの固有情報４３１を参照して、ファイル管理ＩＤを抽出する。
（ステップＳ１２２）ファイル管理部１５０は、抽出したファイル管理ＩＤに一致するファイル管理ＩＤが持出し申請管理テーブル１１２に設定されているか否かを判定する。一致するファイル管理ＩＤが設定されている場合、処理をステップＳ１２３に進める。一致するファイル管理ＩＤが設定されていない場合、処理を終了する。
【０２０２】
（ステップＳ１２３）ファイル管理部１５０は、持帰りファイルの管理情報４０１や固有情報４３１を参照して、持帰りファイルのファイル名や格納ファイルのファイル名を抽出する。また、ファイル管理部１５０は持帰りファイルの固有情報４３１を参照して、持帰りファイルの作成日時を抽出する。
【０２０３】
（ステップＳ１２４）ファイル管理部１５０は、持出しファイル管理テーブル１１３を参照して、ステップＳ１２１で抽出したファイル管理ＩＤに対応する持出しファイルのファイル名、作成日時および格納ファイルのファイル名がステップＳ１２３で抽出した各情報と一致するか否か判定する。全てが一致する場合、処理をステップＳ１２５に進める。一致しない情報がある場合、処理を終了する。
【０２０４】
（ステップＳ１２５）ファイル管理部１５０は、アップロードされた持出しファイルと鍵を復号部１８０に出力する。復号部１８０は、持帰りファイルを当該鍵を用いて復号して平文ファイルを取出し、ファイル管理部１５０に出力する。例えば、復号部１８０は持帰りファイル“作業用ファイル．ｄａｔ”を鍵“ｑｗｅｒｔｙｕ”を用いて復号し、“ａ．ｔｘｔ”および“ｂ．ｔｘｔ”を取出す。ファイル管理部１５０は、持帰りファイル名、復号部１８０から取得した平文ファイル名および平文ファイルの情報（ハッシュ値など）を取得し、ファイル管理ＩＤに対応付けて持帰りファイル管理テーブル１１４に設定する。また、ファイル管理部１５０は、持帰りファイルおよび取出した平文ファイルをファイル記憶部１２０に格納して管理する。ファイル管理部１５０は、当該申請ＩＤにつき持出し申請管理テーブル１１２の申請状態を“取出し済”に設定する。
【０２０５】
（ステップＳ１２６）ファイル管理部１５０は、持帰りファイルから取出した平文ファイルの更新有無を確認する。具体的には、持出しファイル管理テーブル１１３に設定された各格納ファイルのハッシュ値と、持帰りファイル管理テーブル１１４に設定された各格納ファイルのハッシュ値と、を比較する。そして、当該格納ファイルにつき、ハッシュ値が異なれば更新有り、ハッシュ値が同じであれば更新無し、と判断する。例えば、持出しファイル管理テーブル１１３によれば、“ａ．ｔｘｔ”の持出し時のハッシュ値は“１５ａｃ８ｆ９ｄｃｂ”であり、持帰りファイル管理テーブル１１４によれば、“ａ．ｔｘｔ”の持帰り時のハッシュ値は“ｂ９８ａ７６３ｆ０ｄ”である。よって、ハッシュ値が異なるので、更新有りと判断できる。一方、“ｂ．ｔｘｔ”の持出し時のハッシュ値と、持帰り時のハッシュ値とは、“ｃ５８９ａ０１ａ３ｆ”で一致しているので、更新無しと判断できる。
【０２０６】
（ステップＳ１２７）ファイル管理部１５０は、重要度テーブル１１５を参照し、持帰りファイルの重要度を算出する。具体的には、重要度テーブル１１５のタイミングの項目に“持帰り時”の設定を含むレコードにつき、区分に応じた条件を判断する。重要度テーブル１１５の例でいえば、取出されたファイル“ａ．ｔｘｔ”や“ｂ．ｔｘｔ”につき、図２８のステップＳ１０７と同様にキーワードの検索を行い、重要度を算出する。また、持帰りファイルに含まれる固有情報４３１の操作履歴を参照し、端末情報１件（同一の端末情報は１件と数える）につき重要度に“１”を加算する。これにより、持帰り時の重要度ランクがＢ，Ａ，Ｓの何れかに定まる。
【０２０７】
（ステップＳ１２８）ファイル管理部１５０は、ステップＳ１２７で求めた重要度ランクと持出し申請時に求めた重要度ランクとを比較し、持帰り時の方が高ランクであるか否かを判定する。持帰り時の方が高ランクである場合、処理をステップＳ１２９に進める。持帰り時の重要度ランクが持出し申請時以下の場合、処理を終了する。なお、持出し申請時の重要度（重要度ランク）は、例えばファイル管理ＩＤに対応付けて持出しファイル管理テーブル１１３に記録されている。
【０２０８】
（ステップＳ１２９）ファイル管理部１５０は、持帰り時の重要度ランクを判定する。重要度ランクＡの場合、処理をステップＳ１３０に進める。重要度ランクＳの場合、処理をステップＳ１３１に進める。
【０２０９】
（ステップＳ１３０）ファイル管理部１５０は、ユーザ管理テーブル１１１を参照し、申請者（例えば、“ＢＳＣ太郎”）のメールアドレスを取得して、更新確認の結果と、持出し時よりも重要度が高くなっている旨を通知する電子メールを申請者宛に送信する。そして、処理を終了する。
【０２１０】
（ステップＳ１３１）ファイル管理部１５０は、ユーザ管理テーブル１１１を参照し、持出し時に承認者として選択されたユーザ（例えば、“ＢＳＣ花子”）のメールアドレスを取得して、承認を促す電子メールを承認者宛に送信する。ここで依頼する承認は、持帰りファイルから取出した平文ファイルを申請者によってダウンロード可能としてよいかの判断を仰ぐ承認である。なお、承認者は、当該承認依頼に対して、例えば、持出し申請詳細画面６３０で示した申請詳細表示領域６３２（図１８）と同様のＧＵＩにより、承認・否認の操作を行える。
【０２１１】
（ステップＳ１３２）ファイル管理部１５０は、承認者による承認がなされると、持帰りファイル（例えば、“作業用ファイル．ｄａｔ”）から取出した平文ファイル（例えば、“ａ．ｔｘｔ”や“ｂ．ｔｘｔ”）のダウンロードを可能とする。すなわち、申請者は、持出し申請詳細画面６３０において取出し詳細表示領域６３８の内容を、承認後に参照可能となる。
【０２１２】
このようにして、管理サーバ１００は持帰り時の重要度ランクに応じて、持帰りファイルから取出されたファイルの取り扱いを変更する。すなわち、重要度ランクＢから重要度ランクＡと重要度が高くなっていれば、申請者に重要度の高さに応じた適切なファイルの取り扱いを報知する。また、重要度ランクＢ，Ａから重要度ランクＳと重要度が高くなっていれば、承認者の承認を経なければ平文ファイルのダウンロードを行えないようにする。
【０２１３】
これにより、持出し先でのファイル編集による重要度の変化に適切に対応できる。例えば、社内ポリシーにより、高い重要度のファイルにつき高セキュリティの管理義務を課している会社では、申請者に対して適切なファイルの取り扱いを促すことができる。その結果、ファイルの安全性を一層向上できる。また、重要度ランクＳの場合に承認依頼を行うようにすることで、承認依頼の増加を抑制できる。よって、承認者の承認操作の負担を軽減できる。
【０２１４】
以上、本発明の暗号処理プログラム、暗号処理装置および暗号処理方法を図示の実施の形態に基づいて説明したが、これらに限定されるものではなく、各部の構成は同様の機能を有する任意の構成のものに置換することができる。また、他の任意の構成物や工程が付加されてもよい。更に、前述した実施の形態のうちの任意の２以上の構成（特徴）を組み合わせたものであってもよい。
【符号の説明】
【０２１５】
１ 暗号処理装置
１ａ 暗号化手段
１ｂ 復号手段
２ 情報処理装置
２ａ 補助記憶装置
３，３ａ 平文ファイル
４，４ａ 暗号化ファイル
【特許請求の範囲】
【請求項１】
暗号化ファイルを復号して取得した平文ファイルの補助記憶装置への出力を制限して前記暗号化ファイルの編集を行う情報処理装置と通信するコンピュータに、
前記情報処理装置から受信した第１の平文ファイルを暗号化して生成した第１の暗号化ファイルを前記情報処理装置に送信し、
前記情報処理装置から前記第１の暗号化ファイルに対応する第２の暗号化ファイルを受信すると、前記第２の暗号化ファイルを復号して第２の平文ファイルを生成し、前記第１の平文ファイルに対応するファイルとして前記第２の平文ファイルを前記情報処理装置に送信する、
処理を実行させることを特徴とする暗号処理プログラム。
【請求項２】
前記第１の暗号化ファイルに含まれる第１の情報と、前記第２の暗号化ファイルに含まれる前記第１の情報に対応する第２の情報とが一致する場合に、前記第２の暗号化ファイルを復号する、
ことを特徴とする請求項１記載の暗号処理プログラム。
【請求項３】
前記第１の情報および前記第２の情報は、前記第１の暗号化ファイルおよび前記第２の暗号化ファイルそれぞれに設定された識別情報、ファイル作成日時、前記第１の平文ファイルおよび前記第２の平文ファイルそれぞれのファイル名、の少なくとも何れかを含む、
ことを特徴とする請求項２記載の暗号処理プログラム。
【請求項４】
前記第１の暗号化ファイルを生成する際に、前記情報処理装置を操作する第１の利用者の識別情報を前記情報処理装置から取得し
前記第２の暗号化ファイルを復号する際に、前記情報処理装置を操作する第２の利用者の識別情報を前記情報処理装置から取得して、前記第１の利用者の識別情報と前記第２の利用者の識別情報とが一致する場合に、前記第２の暗号化ファイルを復号する、
ことを特徴とする請求項１乃至３の何れか一項に記載の暗号処理プログラム。
【請求項５】
前記第１の暗号化ファイルを生成する際に、前記第１の平文ファイルに含まれる情報に基づく第１の重要度を算出し、
前記第１の重要度が第１の基準値以上である場合、前記第１の平文ファイルの持出しにつき承認者による承認がなされるまで、前記第１の暗号化ファイルの前記情報処理装置への送信を制限する、
ことを特徴とする請求項１乃至４の何れか一項に記載の暗号処理プログラム。
【請求項６】
前記第２の平文ファイルを前記情報処理装置に送信する前に、前記第２の暗号化ファイルに含まれる情報に基づく第２の重要度を算出し、前記第２の重要度が第２の基準値以上である場合、前記第２の平文ファイルの送信につき承認者による承認がなされるまで前記第２の平文ファイルの前記情報処理装置への送信を制限する、
ことを特徴とする請求項１乃至５の何れか一項に記載の暗号処理プログラム。
【請求項７】
前記第２の平文ファイルを前記情報処理装置に送信する際に、前記第２の暗号化ファイルに含まれる情報に基づく第２の重要度を算出し、前記第２の重要度が前記第１の重要度よりも高い場合、前記情報処理装置の利用者にその旨を報知する、
ことを特徴とする請求項５記載の暗号処理プログラム。
【請求項８】
前記第２の暗号化ファイルは、前記第１の暗号化ファイルに対する編集の履歴を前記第２の暗号化ファイル内に記録しており、
前記第２の重要度は、前記編集の履歴に基づいて算出される、
ことを特徴とする請求項６または７の何れか一項に記載の暗号処理プログラム。
【請求項９】
前記情報処理装置は、外部記録媒体への平文ファイルの出力が制限されており、
前記第１，第２の暗号化ファイルは、前記情報処理装置から前記外部記録媒体への出力が可能なファイルである、
ことを特徴とする請求項１乃至８の何れか一項に記載の暗号処理プログラム。
【請求項１０】
前記第２の暗号化ファイルは、前記第１の暗号化ファイルを編集したファイルである、
ことを特徴とする請求項１乃至９の何れか一項に記載の暗号処理プログラム。
【請求項１１】
暗号化ファイルを復号して取得した平文ファイルの補助記憶装置への出力を制限して前記暗号化ファイルの編集を行う情報処理装置と通信する暗号処理装置であって、
前記情報処理装置から受信した第１の平文ファイルを暗号化して生成した第１の暗号化ファイルを前記情報処理装置に送信する暗号化手段と、
前記情報処理装置から前記第１の暗号化ファイルに対応する第２の暗号化ファイルを受信すると、前記第２の暗号化ファイルを復号して第２の平文ファイルを生成し、前記第１の平文ファイルに対応するファイルとして前記第２の平文ファイルを前記情報処理装置に送信する復号手段と、
を有することを特徴とする暗号処理装置。
【請求項１２】
暗号化ファイルを復号して取得した平文ファイルの補助記憶装置への出力を制限して前記暗号化ファイルの編集を行う情報処理装置と通信するコンピュータの暗号処理方法であって、
前記情報処理装置から受信した第１の平文ファイルを暗号化して生成した第１の暗号化ファイルを前記情報処理装置に送信し、
前記情報処理装置から前記第１の暗号化ファイルに対応する第２の暗号化ファイルを受信すると、前記第２の暗号化ファイルを復号して第２の平文ファイルを生成し、前記第１の平文ファイルに対応するファイルとして前記第２の平文ファイルを前記情報処理装置に送信する、
ことを特徴とする暗号処理方法。
【請求項１】
暗号化ファイルを復号して取得した平文ファイルの補助記憶装置への出力を制限して前記暗号化ファイルの編集を行う情報処理装置と通信するコンピュータに、
前記情報処理装置から受信した第１の平文ファイルを暗号化して生成した第１の暗号化ファイルを前記情報処理装置に送信し、
前記情報処理装置から前記第１の暗号化ファイルに対応する第２の暗号化ファイルを受信すると、前記第２の暗号化ファイルを復号して第２の平文ファイルを生成し、前記第１の平文ファイルに対応するファイルとして前記第２の平文ファイルを前記情報処理装置に送信する、
処理を実行させることを特徴とする暗号処理プログラム。
【請求項２】
前記第１の暗号化ファイルに含まれる第１の情報と、前記第２の暗号化ファイルに含まれる前記第１の情報に対応する第２の情報とが一致する場合に、前記第２の暗号化ファイルを復号する、
ことを特徴とする請求項１記載の暗号処理プログラム。
【請求項３】
前記第１の情報および前記第２の情報は、前記第１の暗号化ファイルおよび前記第２の暗号化ファイルそれぞれに設定された識別情報、ファイル作成日時、前記第１の平文ファイルおよび前記第２の平文ファイルそれぞれのファイル名、の少なくとも何れかを含む、
ことを特徴とする請求項２記載の暗号処理プログラム。
【請求項４】
前記第１の暗号化ファイルを生成する際に、前記情報処理装置を操作する第１の利用者の識別情報を前記情報処理装置から取得し
前記第２の暗号化ファイルを復号する際に、前記情報処理装置を操作する第２の利用者の識別情報を前記情報処理装置から取得して、前記第１の利用者の識別情報と前記第２の利用者の識別情報とが一致する場合に、前記第２の暗号化ファイルを復号する、
ことを特徴とする請求項１乃至３の何れか一項に記載の暗号処理プログラム。
【請求項５】
前記第１の暗号化ファイルを生成する際に、前記第１の平文ファイルに含まれる情報に基づく第１の重要度を算出し、
前記第１の重要度が第１の基準値以上である場合、前記第１の平文ファイルの持出しにつき承認者による承認がなされるまで、前記第１の暗号化ファイルの前記情報処理装置への送信を制限する、
ことを特徴とする請求項１乃至４の何れか一項に記載の暗号処理プログラム。
【請求項６】
前記第２の平文ファイルを前記情報処理装置に送信する前に、前記第２の暗号化ファイルに含まれる情報に基づく第２の重要度を算出し、前記第２の重要度が第２の基準値以上である場合、前記第２の平文ファイルの送信につき承認者による承認がなされるまで前記第２の平文ファイルの前記情報処理装置への送信を制限する、
ことを特徴とする請求項１乃至５の何れか一項に記載の暗号処理プログラム。
【請求項７】
前記第２の平文ファイルを前記情報処理装置に送信する際に、前記第２の暗号化ファイルに含まれる情報に基づく第２の重要度を算出し、前記第２の重要度が前記第１の重要度よりも高い場合、前記情報処理装置の利用者にその旨を報知する、
ことを特徴とする請求項５記載の暗号処理プログラム。
【請求項８】
前記第２の暗号化ファイルは、前記第１の暗号化ファイルに対する編集の履歴を前記第２の暗号化ファイル内に記録しており、
前記第２の重要度は、前記編集の履歴に基づいて算出される、
ことを特徴とする請求項６または７の何れか一項に記載の暗号処理プログラム。
【請求項９】
前記情報処理装置は、外部記録媒体への平文ファイルの出力が制限されており、
前記第１，第２の暗号化ファイルは、前記情報処理装置から前記外部記録媒体への出力が可能なファイルである、
ことを特徴とする請求項１乃至８の何れか一項に記載の暗号処理プログラム。
【請求項１０】
前記第２の暗号化ファイルは、前記第１の暗号化ファイルを編集したファイルである、
ことを特徴とする請求項１乃至９の何れか一項に記載の暗号処理プログラム。
【請求項１１】
暗号化ファイルを復号して取得した平文ファイルの補助記憶装置への出力を制限して前記暗号化ファイルの編集を行う情報処理装置と通信する暗号処理装置であって、
前記情報処理装置から受信した第１の平文ファイルを暗号化して生成した第１の暗号化ファイルを前記情報処理装置に送信する暗号化手段と、
前記情報処理装置から前記第１の暗号化ファイルに対応する第２の暗号化ファイルを受信すると、前記第２の暗号化ファイルを復号して第２の平文ファイルを生成し、前記第１の平文ファイルに対応するファイルとして前記第２の平文ファイルを前記情報処理装置に送信する復号手段と、
を有することを特徴とする暗号処理装置。
【請求項１２】
暗号化ファイルを復号して取得した平文ファイルの補助記憶装置への出力を制限して前記暗号化ファイルの編集を行う情報処理装置と通信するコンピュータの暗号処理方法であって、
前記情報処理装置から受信した第１の平文ファイルを暗号化して生成した第１の暗号化ファイルを前記情報処理装置に送信し、
前記情報処理装置から前記第１の暗号化ファイルに対応する第２の暗号化ファイルを受信すると、前記第２の暗号化ファイルを復号して第２の平文ファイルを生成し、前記第１の平文ファイルに対応するファイルとして前記第２の平文ファイルを前記情報処理装置に送信する、
ことを特徴とする暗号処理方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２７】
【図２８】
【図２９】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２７】
【図２８】
【図２９】
【公開番号】特開２０１２−１６９７７８（Ｐ２０１２−１６９７７８Ａ）
【公開日】平成２４年９月６日（２０１２．９．６）
【国際特許分類】
【出願番号】特願２０１１−２７６９６（Ｐ２０１１−２７６９６）
【出願日】平成２３年２月１０日（２０１１．２．１０）
【出願人】（３９９０７６９９８）株式会社富士通ビー・エス・シー (56)
【出願人】（５９８０５７２９１）株式会社富士通エフサス (147)
【Ｆターム（参考）】
【公開日】平成２４年９月６日（２０１２．９．６）
【国際特許分類】
【出願日】平成２３年２月１０日（２０１１．２．１０）
【出願人】（３９９０７６９９８）株式会社富士通ビー・エス・シー (56)
【出願人】（５９８０５７２９１）株式会社富士通エフサス (147)
【Ｆターム（参考）】
[ Back to top ]