機密管理装置、機密管理方法、及びプログラム
【課題】安全性を維持しながらも、問題のない送信は可能な機密管理装置を提供する。
【解決手段】機密事項を扱うアプリケーションを識別する機密識別子が記憶される機密識別子記憶部２１と、機密識別子記憶部２１で記憶されている機密識別子で識別されるアプリケーションを実行部１４が実行中に、実行部１４が送信を行う場合であって、送信先がローカル以外である場合に、送信を阻止するように制御する送信制御部２２と、を備える。
【解決手段】機密事項を扱うアプリケーションを識別する機密識別子が記憶される機密識別子記憶部２１と、機密識別子記憶部２１で記憶されている機密識別子で識別されるアプリケーションを実行部１４が実行中に、実行部１４が送信を行う場合であって、送信先がローカル以外である場合に、送信を阻止するように制御する送信制御部２２と、を備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アプリケーションにおける送信の制御を行う機密管理装置等に関する。
【背景技術】
【０００２】
従来、情報処理装置や情報処理システムにおいて、不正行為から装置やシステム、データを保護する技術が知られている（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００９−２９４９０６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、そのような不正行為からの保護を行う装置等において、すべてのアプリケーションに関して同じ保護を行うと、安全性は高くなるが、利便性が低下するという問題が生じる。例えば、情報の漏洩を防止するために、すべてのアプリケーションに関して送信を制限すると、情報の漏洩を防止できたとしても、ユーザの利便性は著しく低下することになる。
【０００５】
本発明は、上記課題を解決するためになされたものであり、安全性を維持しながら、利便性も確保することができる機密管理装置等を提供することを目的とする。
【課題を解決するための手段】
【０００６】
上記目的を達成するため、本発明による機密管理装置は、機密事項を扱うアプリケーションを識別する機密識別子が記憶される機密識別子記憶部と、機密識別子記憶部で記憶されている機密識別子で識別されるアプリケーションを実行部が実行中に、実行部が送信を行う場合であって、送信先がローカル以外である場合に、送信を阻止するように制御する送信制御部と、を備えたものである。
【０００７】
このような構成により、機密識別子によって識別されるアプリケーションにおいて、送信先がローカル以外である場合の送信が阻止されることになり、機密事項を含むファイル等が送信によって漏洩することを防止することができ、安全性が維持されることになる。一方、機密識別子で識別されるアプリケーション以外のアプリケーションについては、自由に送信をすることができ、ユーザの利便性も確保することができる。
【０００８】
また、本発明による機密管理装置では、送信制御部は、送信先のアドレスがローカルのアドレスでない場合に、送信先がローカル以外であると判断してもよい。
このような構成により、アドレスを用いてローカルかどうかの判断を行うことができるようになる。したがって、機密識別子によって識別されるアプリケーションにおいても、送信先がローカルである場合には送信をすることができ、ユーザの利便性を向上させることができる。
【０００９】
また、本発明による機密管理装置では、送信制御部は、実行部が、機密識別子で識別されるアプリケーションを実行中に行う送信が、送信先にローカル以外を含む機能によって実行されている場合に、機能の実行を阻止してもよい。
このような構成により、少なくとも、ローカル以外の送信先への送信を阻止できることになる。
【発明の効果】
【００１０】
本発明による機密管理装置等によれば、アプリケーションに応じて送信を制御することができ、安全性の維持と、利便性の確保とを実現することができる。
【図面の簡単な説明】
【００１１】
【図１】本発明の実施の形態１による機密管理装置の構成を示すブロック図
【図２】同実施の形態による機密管理装置の動作を示すフローチャート
【図３】同実施の形態における機密識別子の一例を示す図
【図４】同実施の形態におけるコンピュータシステムの外観一例を示す模式図
【図５】同実施の形態におけるコンピュータシステムの構成の一例を示す図
【発明を実施するための形態】
【００１２】
以下、本発明による機密管理装置について、実施の形態を用いて説明する。なお、以下の実施の形態において、同じ符号を付した構成要素及びステップは同一または相当するものであり、再度の説明を省略することがある。
【００１３】
（実施の形態１）
本発明の実施の形態１による機密管理装置について、図面を参照しながら説明する。本実施の形態による機密管理装置は、アプリケーションに応じて送信を制御するものである。
【００１４】
図１は、本実施の形態による情報処理装置３の構成を示すブロック図である。本実施の形態による情報処理装置３は、アプリケーション実行装置１と、機密管理装置２とを備える。
アプリケーション実行装置１は、ファイル記憶部１１と、アプリケーション記憶部１２と、実行部１４と、表示部１５と、送信部１６とを備える。
【００１５】
ファイル記憶部１１では、ファイルが記憶される。ファイル記憶部１１にファイルが記憶される過程は問わない。例えば、記録媒体を介してファイルがファイル記憶部１１で記憶されるようになってもよく、通信回線等を介して送信されたファイルがファイル記憶部１１で記憶されるようになってもよく、入力デバイスを介して入力されたファイルがファイル記憶部１１で記憶されるようになってもよく、実行部１４が保存したファイルがファイル記憶部１１で記憶されるようになってもよい。
【００１６】
アプリケーション記憶部１２では、アプリケーションが記憶される。なお、アプリケーションは、厳密には、アプリケーション・プログラムと呼ぶべきであるが、本実施の形態では、「アプリケーション」、あるいは、その短縮形である「アプリ」と呼ぶことにする。アプリケーション記憶部１２では、１種類のアプリケーションが記憶されていてもよく、あるいは、複数種類のアプリケーションが記憶されていてもよい。アプリケーション記憶部１２にアプリケーションが記憶される過程は問わない。例えば、記録媒体を介してアプリケーションがアプリケーション記憶部１２で記憶されるようになってもよく、あるいは、通信回線等を介して送信されたアプリケーションがアプリケーション記憶部１２で記憶されるようになってもよい。
【００１７】
実行部１４は、アプリケーション記憶部１２で記憶されているアプリケーションを実行する。また、実行部１４は、アプリケーションの実行中に、ファイル記憶部１１で記憶されているファイルをオープンしたり、オープンしたファイルを変更したり、変更したファイルを上書きで、もしくは、新規にファイル記憶部１１に蓄積したり、新たにファイルを作成し、その作成したファイルをファイル記憶部１１に蓄積したりする処理を行う。その処理は、図示しない受付部が受け付けるユーザからの指示に応じてなされてもよい。なお、アプリケーションの実行時に、一部の処理はＯＳ（オペレーティングシステム）によってなされることもある。そのような場合には、実行部１４は、アプリケーションの実行と共に、ＯＳに関する処理を行うと考えてもよい。実行部１４は、例えば、アプリケーション等のソフトウェアを実行するＭＰＵ（Ｍｉｃｒｏ−Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）によって実現されてもよい。
【００１８】
表示部１５は、実行部１４によるアプリケーションの実行に応じて、適宜、表示を行う。表示部１５は、例えば、アプリケーションのウィンドウや、ダイアログボックス、メッセージボックス等を表示してもよい。なお、表示部１５は、それらの表示を行う表示デバイス（例えば、ＣＲＴや液晶ディスプレイなど）を含んでもよく、あるいは含まなくてもよい。また、表示対象の表示は、別の装置においてなされてもよい。その場合には、表示部１５は、装置の外部に対して表示対象の情報を送信するものであってもよい。また、表示部１５は、ハードウェアによって実現されてもよく、あるいは表示デバイスを駆動するドライバ等のソフトウェアによって実現されてもよい。
【００１９】
送信部１６は、実行部１４によるアプリケーションの実行に応じて、適宜、送信を行う。送信部１６は、例えば、アプリケーションで作成されたデータやファイル等を送信してもよい。なお、送信部１６は、通常、社内や校内、家庭内などのローカルのネットワーク（ＬＡＮ）を介して、インターネット等のグローバルなネットワーク（ＷＡＮ）にアクセスするものとする。したがって、送信部１６が直接またはネットワークカード等の通信デバイスを介して接続されるネットワークは、ローカルのネットワークとなる。また、送信部１６は、送信を行うための送信デバイス（例えば、モデムやネットワークカードなど）を含んでもよく、あるいは含まなくてもよい。また、送信部１６は、ハードウェアによって実現されてもよく、あるいは送信デバイスを駆動するドライバ等のソフトウェアによって実現されてもよい。
【００２０】
機密管理装置２は、機密識別子記憶部２１と、送信制御部２２とを備える。
機密識別子記憶部２１では、一または二以上の機密識別子が記憶される。機密識別子は、機密事項を扱うアプリケーションを識別する情報である。機密識別子は、アプリケーションを識別できる情報であれば、その内容を問わない。例えば、機密識別子は、アプリケーションの名称や、アプリケーションのＩＤ等であってもよい。また、この機密識別子記憶部２１で記憶されている機密識別子で識別されるアプリケーションは、後述するように、そのアプリケーションにおける送信が制限されるアプリケーションとなる。したがって、機密事項を扱うと考えられるアプリケーションを識別する機密識別子を、機密識別子記憶部２１に蓄積しておくことになる。
【００２１】
機密識別子記憶部２１に機密識別子が記憶される過程は問わない。例えば、記録媒体を介して機密識別子が機密識別子記憶部２１で記憶されるようになってもよく、通信回線等を介して送信された機密識別子が機密識別子記憶部２１で記憶されるようになってもよく、あるいは、入力デバイスを介して入力された機密識別子が機密識別子記憶部２１で記憶されるようになってもよい。
【００２２】
送信制御部２２は、機密識別子記憶部２１で記憶されている機密識別子で識別されるアプリケーション（以下、このアプリケーションを「機密アプリケーション」と呼ぶことがある）を実行部１４が実行中に、実行部１４が送信を行う場合であって、送信先がローカル以外である場合に、送信を阻止するように制御する。機密アプリケーションの実行中に実行部１４が行う送信とは、その機密アプリケーションにおける送信である。例えば、機密アプリケーションにおけるデータやファイル等の送信であってもよい。ローカルの送信先とは、情報処理装置３と同じローカルのネットワークに属する送信先である。したがって、ローカルの送信先は、例えば、情報処理装置３と同じ社内に存在する送信先、情報処理装置３と同じ校内に存在する送信先、情報処理装置３と同じ家庭内に存在する送信先となる。ローカルでない送信先は、グローバルなネットワークに属する送信先であってもよく、情報処理装置３とは異なるローカルのネットワークに属する送信先であってもよい。なお、送信制御部２２は、結果として、機密アプリケーションにおいて、ローカル以外の送信先への送信を阻止するように制御できるのであれば、その阻止の方法は問わない。例えば、送信制御部２２は、機密アプリケーションにおいて実行部１４が行う送信が、ローカルの送信先であるかどうか判断し、ローカルの送信先でないと判断した場合に、その送信を阻止してもよい。なお、送信制御部２２は、ローカルの送信先であると判断した場合には、その送信を阻止しなくてもよい。また、例えば、送信制御部２２は、実行部１４が機密アプリケーションを実行中に行う送信が、送信先にローカル以外を含む機能によって実行されている場合に、その機能の実行を阻止してもよい。具体的には、グローバルなネットワーク上のアドレスを送信先に設定することができうる送信機能の場合には、送信先にローカル以外が含まれうることになる。したがって、その場合には、送信制御部２２は、実際の送信先のアドレスがローカルかどうかにかかわらずに、その送信機能によって実行される送信を阻止するようにしてもよい。このようにすることで、ローカルへの送信も阻止してしまうことになるが、少なくとも、ローカル以外への送信を阻止することができ、安全性を確保できる。
【００２３】
送信を阻止するように制御するとは、結果としてその送信が行われないようにすることであれば、その方法を問わない。例えば、送信制御部２２は、機密アプリケーションからＯＳに渡されるシステムコールをフックし、送信阻止の対象でないシステムコールであれば、そのフックしたシステムコールを開放して送信が行われるようにし、一方、送信阻止の対象となるシステムコールであれば、そのフックしたシステムコールを破棄して送信を阻止してもよい。送信阻止の対象となるシステムコールは、例えば、送信処理に応じたシステムコールであり、かつ、送信先がローカルでないシステムコールであってもよく、あるいは、ローカル以外の送信先を含む送信機能に応じたシステムコールであってもよい。また、例えば、送信制御部２２は、機密アプリケーションの処理に応じて送信部１６が送信するパケットのヘッダに含まれる送信先アドレスがローカルのアドレスでない場合には、そのパケットの送信が行われないように送信部１６を制御してもよく、あるいは、そのパケットそのものを破棄してもよい。一方、そのパケットの送信先アドレスがローカルのアドレスである場合には、送信制御部２２は、そのパケットが送信されるようにしてもよい。また、例えば、送信制御部２２は、機密アプリケーションの処理に応じて送信部１６が送信するすべてのパケットの送信が行われないように送信部１６を制御してもよく、あるいは、そのようなすべてのパケットを破棄してもよい。なお、送信制御部２２が、その他の方法を用いて送信を阻止する制御を行ってもよいことは言うまでもない。
【００２４】
ここで、送信先がローカルであるかどうかを判断する方法について説明する。その判断は、例えば、送信先のアドレスが、ローカルのアドレスであるかどうか判断することによってなされてもよい。アドレスは、例えば、ＩＰアドレスであってもよく、ドメイン名や、ＦＱＤＮ（完全修飾ドメイン名）を含むもの等であってもよい。そのローカルのアドレスは、あらかじめ図示しない記録媒体で記憶されていてもよい。具体的には、図示しない記録媒体において、ローカルのＦＱＤＮ「ｗｗｗ．ａｂｃ...ｃｏｍ」があらかじめ記憶されており、送信先が「ｗｗｗ．ａｂｃ...ｃｏｍ／ｘｙｚ...」であって、その記憶されているＦＱＤＮを含むものである場合には、送信制御部２２は、送信先がローカルであると判断してもよい。一方、送信先が「ｗｗｗ．ｃｂａ...ｃｏｍ／ｘｙｚ...」であって、その記憶されているＦＱＤＮを含まない場合には、送信制御部２２は、送信先がローカルでないと判断してもよい。また、ローカルのドメイン名「ａｂｃ...ｃｏｍ」があらかじめ記憶されており、電子メールの送信先が「ｕｓｅｒ００１＠ａｂｃ...ｃｏｍ」であって、その記憶されているドメイン名を含むものである場合には、送信制御部２２は、送信先がローカルであると判断してもよい。一方、送信先が「ｕｓｅｒ００１＠ｃｂａ...ｃｏｍ」であって、その記憶されているドメイン名を含まない場合には、送信制御部２２は、送信先がローカルでないと判断してもよい。また、情報処理装置３のＩＰアドレス「１９２．１６８．０．１１」が図示しない記録媒体で記憶されており、そのＩＰアドレスのうち、ネットワークアドレス部分が「１９２．１６８．０」であり、送信先のＩＰアドレスが「１９２．１６８．０．２０」であって、情報処理装置３のネットワークアドレス部分が共通している場合には、送信制御部２２は、送信先がローカルであると判断してもよい。一方、送信先のＩＰアドレスが「１１１．１１１．１１１．×××」であって、情報処理装置３のネットワークアドレス部分が共通しない場合には、送信制御部２２は、送信先がローカルでないと判断してもよい。ここで、情報処理装置３のネットワークアドレス部分は、情報処理装置３のＩＰアドレス「１９２．１６８．０．１１」のうち、サブネットマスクでマスクされる部分となる。例えば、サブネットマスクが「２５５．２５５．２５５．０」である場合には、前述のように、ＩＰアドレス「１９２．１６８．０．１１」のネットワークアドレス部分は、上位２４ビットの「１９２．１６８．０」となる。なお、送信制御部２２が、その他の方法を用いて送信先がローカルであるかどうかを判断してもよいことは言うまでもない。
【００２５】
なお、例えば、機密アプリケーションにおいて、送信先にローカル以外を含む機能によって実行されている送信を阻止する場合には、送信制御部２２は、その機密アプリケーションについて、送信に関する機能を実行できないようにする制御を行ってもよい。この場合には、例えば、機密識別子で識別されるアプリケーションについて、送信先にローカル以外を含む機能があらかじめ特定されており、送信制御部２２が、その特定されている機能を無効化するように制御を行ってもよい。具体的には、電子メールソフトを識別する機密識別子が機密識別子記憶部２１で記憶されている場合には、送信制御部２２は、ローカル以外の送信先を含む機能である「送信」ボタンを選択できないように制御してもよい。
【００２６】
また、ファイル記憶部１１、アプリケーション記憶部１２、機密識別子記憶部２１の各記憶部での記憶は、ＲＡＭ等における一時的な記憶でもよく、あるいは、長期的な記憶でもよい。また、それらの各記憶部は、所定の記録媒体（例えば、半導体メモリや磁気ディスク、光ディスクなど）によって実現されうる。
【００２７】
また、ファイル記憶部１１、アプリケーション記憶部１２、機密識別子記憶部２１の任意の２以上の記憶部は、同一の記録媒体によって実現されてもよく、あるいは、別々の記録媒体によって実現されてもよい。前者の場合には、例えば、ファイルを記憶している領域がファイル記憶部１１となり、アプリケーションを記憶している領域がアプリケーション記憶部１２となる。
【００２８】
また、情報処理装置３は、前述のように、アプリケーション実行装置１と、機密管理装置２とを含むものであり、両装置１，２は、同一の装置において実現されるものである。したがって、その情報処理装置３で実行される処理のうち、機密管理に関する処理のみを機密管理装置２として切り分けたものであると考えてもよい。したがって、実行部１４によって行われる処理と、機密ファイル判断部２５等によって行われる処理とは、同じＭＰＵを用いて実行されてもよい。
【００２９】
次に、機密管理装置２の動作について図２のフローチャートを用いて説明する。
（ステップＳ１０１）送信制御部２２は、実行部１４がアプリケーションを実行中に、送信の処理を行ったかどうか判断する。そして、送信の処理を行った場合には、ステップＳ１０２に進み、そうでない場合には、送信の処理を行うまでステップＳ１０１の処理を繰り返す。
【００３０】
（ステップＳ１０２）送信制御部２２は、送信の処理を行ったアプリケーションが機密アプリケーションであるかどうかを、機密識別子を用いて判断する。そして、機密アプリケーションである場合、すなわち、機密識別子で識別されるアプリケーションが送信の処理を行った場合には、ステップＳ１０３に進み、そうでない場合には、ステップＳ１０１に戻る。
【００３１】
（ステップＳ１０３）送信制御部２２は、送信処理の送信先がローカル以外であるかどうか判断する。そして、送信先がローカル以外である場合には、ステップＳ１０４に進み、そうでない場合には、ステップＳ１０１に戻る。なお、送信先がローカル以外であるとは、前述のように、厳密にローカルでない場合であってもよく、あるいは、ローカルでない可能性を含んでいる場合であってもよい。
【００３２】
（ステップＳ１０４）送信制御部２２は、機密アプリケーションによる送信の処理を阻止する。その結果、その送信の処理は行われないことになる。そして、ステップＳ１０１に戻る。
なお、図２のフローチャートにおいて、電源オフや処理終了の割り込みにより処理は終了する。
【００３３】
次に、本実施の形態による機密管理装置２の動作について、具体例を用いて説明する。この具体例において、情報処理装置３は、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）であるとする。
また、この具体例において、図３で示されるように、機密識別子が機密識別子記憶部２１で記憶されているものとする。この機密識別子は、機密アプリケーションの名称である。例えば、アプリケーション「会計ソフトＤＤＤ」は、機密アプリケーションに設定されていることになる。また、この具体例では、図示しない記録媒体において、情報処理装置３の属するネットワークのドメイン名「ａｂｃ...ｃｏｍ」が記憶されているものとする。
【００３４】
まず、ユーザが、アプリケーション「フォトビュアーＡＡＡ」を起動し、そのアプリケーションでファイル「ｐｈｏｔｏ２００９」をオープンする指示を出したとする。すると、その指示は図示しない受付部によって受け付けられ、実行部１４に渡される。実行部１４は、その指示に応じて、アプリケーション「フォトビュアーＡＡＡ」を起動し、その実行中のアプリケーション「フォトビュアーＡＡＡ」において、ファイル記憶部１１で記憶されているファイル「ｐｈｏｔｏ２００９」をオープンする処理を行う。その後、ユーザが、そのファイル「ｐｈｏｔｏ２００９」に含まれる写真を選択し、写真共有サイトのサーバに送信するためのボタンを選択する操作を行ったとする。すると、その操作に応じて実行部１４は、選択された写真のデータをあらかじめ設定されているドメイン名のサイトに送信する処理を行う。そして、送信制御部２２は、システムコールの監視において、その写真のデータの送信に対応するシステムコールをフックし、そのアプリケーションの名称「フォトビュアーＡＡＡ」と、送信先のドメイン名「ｐｈｏｔｏｓｈａｒｉｎｇ...ｃｏｍ」を取得する（ステップＳ１０１）。また、送信制御部２２は、その取得したアプリケーションの名称が、図３で示される機密識別子に含まれるかどうか判断する。この場合には、含まれなかったとする。すると、送信制御部２２は、送信を行ったアプリケーションが機密アプリケーションでないと判断し（ステップＳ１０２）、そのフックしたシステムコールを開放する。その結果、その写真のデータが送信部１６によって写真共有サイトのサーバに送信されることになる。
【００３５】
次に、ユーザが、アプリケーション「会計ソフトＤＤＤ」を起動する操作を行ったとする。すると、その操作に応じて実行部１４は、アプリケーションを起動する。そして、ユーザが、アプリケーション「会計ソフトＤＤＤ」において、新規ファイルを作成する操作を行い、その後にそのファイル「ｄａｔａ２０１０」を保存する操作を行ったとする。すると、その操作に応じて、実行部１４は、ファイル「ｄａｔａ２０１０」をファイル記憶部１１に蓄積する処理を行う。また、ユーザは、そのファイル「ｄａｔａ２０１０」をファイルサーバに送信するためのボタンを選択する操作を行ったとする。すると、その操作に応じて実行部１４は、そのファイルをあらかじめ設定されているドメイン名のサイトに送信する処理を行う。そして、送信制御部２２は、システムコールの監視において、そのファイルの送信に対応するシステムコールをフックし、そのアプリケーションの名称「会計ソフトＤＤＤ」と、送信先のドメイン名「ａｃｃｏｕｎｔｉｎｇ...ｃｏｍ」を取得する（ステップＳ１０１）。また、送信制御部２２は、その取得したアプリケーションの名称が、図３で示される機密識別子に含まれるかどうか判断する。この場合には含まれるため、送信制御部２２は、ファイルを送信するアプリケーションが機密アプリケーションであると判断する（ステップＳ１０２）。また、送信制御部２２は、その取得したドメイン名が、記憶されているドメイン名「ａｂｃ...ｃｏｍ」と異なるため、送信先がローカル以外であると判断する（ステップＳ１０３）。そのため、送信制御部２２は、そのフックしたシステムコールを破棄することによって、その送信を阻止する（ステップＳ１０４）。その結果、ファイル「ｄａｔａ２０１０」の送信は行われないことになる。
【００３６】
なお、そのアプリケーション「会計ソフトＤＤＤ」における送信において、送信先のドメイン名が「ａｂｃ...ｃｏｍ」である場合には、送信制御部２２は、そのドメイン名が記憶されているものと同じであるため、送信先がローカルであると判断する（ステップＳ１０３）。その結果、ローカルの送信先への送信が行われることになる。
【００３７】
また、この具体例では、ＯＳがＷｉｎｄｏｗｓ（登録商標）である場合について主に説明したが、それに限定されるものではない。他のＯＳを用いた情報処理装置３であっても、機密管理装置２は、同様の処理を行うことができる。また、この具体例において説明したシステムコールは、ＯＳに対する呼び出しであればどのようなものであってもよく、例えば、ＯＳが提供するＡＰＩ（アプリケーション・プログラミング・インタフェース）の呼び出しであってもよく、ＡＰＩの中から呼び出されるシステムコールであってもよい。
【００３８】
以上のように、本実施の形態による機密管理装置２によれば、機密アプリケーションにおいて、送信先がローカル以外である場合の送信が阻止されることになり、機密事項を含むファイルやデータが送信によって漏洩することを防止でき、安全性が維持されることになる。一方、機密識別子で識別されるアプリケーション以外のアプリケーションについては、自由に送信をすることができ、ユーザの利便性も確保することができる。また、送信先のアドレスがローカルのアドレスであるかどうか判断し、ローカルのアドレスでない場合には送信を阻止し、ローカルのアドレスである場合には送信を行うようにすることで、機密アプリケーションであっても、送信先がローカルであれば送信を行うことができるようになり、ユーザの利便性がさらに向上されることになる。
【００３９】
なお、本実施の形態では、機密識別子で識別されるアプリケーションが機密アプリケーションであり、その機密アプリケーションについて、ローカル以外の送信先への送信が制限される場合について説明したが、機密ファイルを取り込んだり、オープンしたりしたアプリケーションも、一時的に機密アプリケーションに設定し、その機密アプリケーションについても、ローカル以外の送信先への送信を阻止するようにしてもよい。機密ファイルとは、機密の設定のなされたファイルであり、例えば、機密であることを示す機密ラベルの付加されたファイルであってもよく、あるいは、図示しない記録媒体において、そのファイルを識別する情報が記憶されているファイルであってもよい。後者の場合には、図示しない記録媒体において、機密ファイルを識別する情報が記憶されることになる。ファイルを識別する情報は、例えば、ファイルのパスやハッシュ値であってもよい。そして、機密識別子で識別されるアプリケーションでなくても、その機密ファイルをオープンしたり、取り込んだりしたアプリケーションは、そのアプリケーションが終了されるまで機密アプリケーションに設定されることになる。機密アプリケーションの設定は、図示しない機密アプリケーション設定部が、一時的な機密アプリケーションを識別する情報を機密識別子記憶部２１に一時的に蓄積することによって行われてもよい。すなわち、あるアプリケーションを一時的な機密アプリケーションに設定する場合には、そのアプリケーションを識別する情報を機密識別子記憶部２１に蓄積すればよい。なお、その一時的な機密アプリケーションを識別する機密識別子は、一時的なものであることが分かるようになっていることが好適である。例えば、一時的なものであることを示すフラグ等が設定されてもよく、あるいは、一時的なものが記憶される領域に蓄積されてもよい。そして、その一時的な機密アプリケーションについては、その機密アプリケーションの終了時に、図示しない機密アプリケーション設定部が、機密識別子記憶部２１から、その機密アプリケーションを識別する機密識別子を削除するようにしてもよい。なお、機密識別子記憶部２１で記憶されている機密識別子で識別される機密アプリケーションについて、ローカル以外の送信先への送信が阻止される制御が行われることは、前述の通りである。また、この場合には、図示しない機密ファイル設定部が、機密アプリケーションによってファイル記憶部１１に保存されたファイルに対して、そのファイルを機密ファイルに設定する処理を行ってもよい。その機密ファイルの設定は、例えば、機密ファイルに対する機密ラベルの付加であってもよく、機密ファイルを識別する情報を図示しない記録媒体に蓄積することであってもよい。
【００４０】
また、本実施の形態によるアプリケーション実行装置１において表示が行われなくてもよい場合には、アプリケーション実行装置１は、表示部１５を備えていなくてもよい。
【００４１】
また、上記実施の形態において、各処理または各機能は、単一の装置または単一のシステムによって集中処理されることによって実現されてもよく、あるいは、複数の装置または複数のシステムによって分散処理されることによって実現されてもよい。
【００４２】
また、上記実施の形態において、各構成要素間で行われる情報の受け渡しは、例えば、その情報の受け渡しを行う２個の構成要素が物理的に異なるものである場合には、一方の構成要素による情報の出力と、他方の構成要素による情報の受け付けとによって行われてもよく、あるいは、その情報の受け渡しを行う２個の構成要素が物理的に同じものである場合には、一方の構成要素に対応する処理のフェーズから、他方の構成要素に対応する処理のフェーズに移ることによって行われてもよい。
【００４３】
また、上記実施の形態において、各構成要素が実行する処理に関係する情報、例えば、各構成要素が受け付けたり、取得したり、選択したり、生成したり、送信したり、受信したりした情報や、各構成要素が処理で用いるしきい値や数式、アドレス等の情報等は、上記説明で明記していない場合であっても、図示しない記録媒体において、一時的に、あるいは長期にわたって保持されていてもよい。また、その図示しない記録媒体への情報の蓄積を、各構成要素、あるいは、図示しない蓄積部が行ってもよい。また、その図示しない記録媒体からの情報の読み出しを、各構成要素、あるいは、図示しない読み出し部が行ってもよい。
【００４４】
また、上記実施の形態において、各構成要素等で用いられる情報、例えば、各構成要素が処理で用いるしきい値やアドレス、各種の設定値等の情報がユーザによって変更されてもよい場合には、上記説明で明記していない場合であっても、ユーザが適宜、それらの情報を変更できるようにしてもよく、あるいは、そうでなくてもよい。それらの情報をユーザが変更可能な場合には、その変更は、例えば、ユーザからの変更指示を受け付ける図示しない受付部と、その変更指示に応じて情報を変更する図示しない変更部とによって実現されてもよい。その図示しない受付部による変更指示の受け付けは、例えば、入力デバイスからの受け付けでもよく、通信回線を介して送信された情報の受信でもよく、所定の記録媒体から読み出された情報の受け付けでもよい。
【００４５】
また、上記実施の形態において、情報処理装置３に含まれる２以上の構成要素が通信デバイスや入力デバイス等を有する場合に、２以上の構成要素が物理的に単一のデバイスを有してもよく、あるいは、別々のデバイスを有してもよい。
【００４６】
また、上記実施の形態において、各構成要素は専用のハードウェアにより構成されてもよく、あるいは、ソフトウェアにより実現可能な構成要素については、プログラムを実行することによって実現されてもよい。例えば、ハードディスクや半導体メモリ等の記録媒体に記録されたソフトウェア・プログラムをＣＰＵ等のプログラム実行部が読み出して実行することによって、各構成要素が実現され得る。なお、上記実施の形態における機密管理装置２を実現するソフトウェアは、以下のようなプログラムである。つまり、このプログラムは、機密事項を扱うアプリケーションを識別する機密識別子が記憶される機密識別子記憶部にアクセス可能なコンピュータを、機密識別子記憶部で記憶されている機密識別子で識別されるアプリケーションを実行部が実行中に、実行部が送信を行う場合であって、送信先がローカル以外である場合に、送信を阻止するように制御する送信制御部として機能させるためのプログラムである。
なお、上記プログラムにおいて、上記プログラムが実現する機能には、ハードウェアでしか実現できない機能は含まれない。
【００４７】
また、このプログラムは、サーバなどからダウンロードされることによって実行されてもよく、所定の記録媒体（例えば、ＣＤ−ＲＯＭなどの光ディスクや磁気ディスク、半導体メモリなど）に記録されたプログラムが読み出されることによって実行されてもよい。また、このプログラムは、プログラムプロダクトを構成するプログラムとして用いられてもよい。
【００４８】
また、このプログラムを実行するコンピュータは、単数であってもよく、複数であってもよい。すなわち、集中処理を行ってもよく、あるいは分散処理を行ってもよい。
【００４９】
図４は、上記プログラムを実行して、上記実施の形態による機密管理装置２を実現するコンピュータの外観の一例を示す模式図である。上記実施の形態は、コンピュータハードウェア及びその上で実行されるコンピュータプログラムによって実現されうる。
【００５０】
図４において、コンピュータシステム９００は、ＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ Ｄｉｓｋ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）ドライブ９０５、ＦＤ（Ｆｌｏｐｐｙ（登録商標） Ｄｉｓｋ）ドライブ９０６を含むコンピュータ９０１と、キーボード９０２と、マウス９０３と、モニタ９０４とを備える。
【００５１】
図５は、コンピュータシステム９００の内部構成を示す図である。図５において、コンピュータ９０１は、ＣＤ−ＲＯＭドライブ９０５、ＦＤドライブ９０６に加えて、ＭＰＵ（Ｍｉｃｒｏ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）９１１と、ブートアッププログラム等のプログラムを記憶するためのＲＯＭ９１２と、ＭＰＵ９１１に接続され、アプリケーションプログラムの命令を一時的に記憶すると共に、一時記憶空間を提供するＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）９１３と、アプリケーションプログラム、システムプログラム、及びデータを記憶するハードディスク９１４と、ＭＰＵ９１１、ＲＯＭ９１２等を相互に接続するバス９１５とを備える。なお、コンピュータ９０１は、ＬＡＮへの接続を提供する図示しないネットワークカードを含んでいてもよい。
【００５２】
コンピュータシステム９００に、上記実施の形態による機密管理装置２の機能を実行させるプログラムは、ＣＤ−ＲＯＭ９２１、またはＦＤ９２２に記憶されて、ＣＤ−ＲＯＭドライブ９０５、またはＦＤドライブ９０６に挿入され、ハードディスク９１４に転送されてもよい。これに代えて、そのプログラムは、図示しないネットワークを介してコンピュータ９０１に送信され、ハードディスク９１４に記憶されてもよい。プログラムは実行の際にＲＡＭ９１３にロードされる。なお、プログラムは、ＣＤ−ＲＯＭ９２１やＦＤ９２２、またはネットワークから直接、ロードされてもよい。
【００５３】
プログラムは、コンピュータ９０１に、上記実施の形態による機密管理装置２の機能を実行させるオペレーティングシステム（ＯＳ）、またはサードパーティプログラム等を必ずしも含んでいなくてもよい。プログラムは、制御された態様で適切な機能（モジュール）を呼び出し、所望の結果が得られるようにする命令の部分のみを含んでいてもよい。コンピュータシステム９００がどのように動作するのかについては周知であり、詳細な説明は省略する。
【００５４】
また、本発明は、以上の実施の形態に限定されることなく、種々の変更が可能であり、それらも本発明の範囲内に包含されるものであることは言うまでもない。
【産業上の利用可能性】
【００５５】
以上より、本発明による機密管理装置等によれば、機密識別子によって識別されるアプリケーションにおいて、送信先がローカル以外である場合の送信を阻止できるという効果が得られ、機密事項を扱うアプリケーションの管理装置等として有用である。
【符号の説明】
【００５６】
１ アプリケーション実行装置
２ 機密管理装置
３ 情報処理装置
１１ ファイル記憶部
１２ アプリケーション記憶部
１４ 実行部
１５ 表示部
１６ 送信部
２１ 機密識別子記憶部
２２ 送信制御部
【技術分野】
【０００１】
本発明は、アプリケーションにおける送信の制御を行う機密管理装置等に関する。
【背景技術】
【０００２】
従来、情報処理装置や情報処理システムにおいて、不正行為から装置やシステム、データを保護する技術が知られている（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００９−２９４９０６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、そのような不正行為からの保護を行う装置等において、すべてのアプリケーションに関して同じ保護を行うと、安全性は高くなるが、利便性が低下するという問題が生じる。例えば、情報の漏洩を防止するために、すべてのアプリケーションに関して送信を制限すると、情報の漏洩を防止できたとしても、ユーザの利便性は著しく低下することになる。
【０００５】
本発明は、上記課題を解決するためになされたものであり、安全性を維持しながら、利便性も確保することができる機密管理装置等を提供することを目的とする。
【課題を解決するための手段】
【０００６】
上記目的を達成するため、本発明による機密管理装置は、機密事項を扱うアプリケーションを識別する機密識別子が記憶される機密識別子記憶部と、機密識別子記憶部で記憶されている機密識別子で識別されるアプリケーションを実行部が実行中に、実行部が送信を行う場合であって、送信先がローカル以外である場合に、送信を阻止するように制御する送信制御部と、を備えたものである。
【０００７】
このような構成により、機密識別子によって識別されるアプリケーションにおいて、送信先がローカル以外である場合の送信が阻止されることになり、機密事項を含むファイル等が送信によって漏洩することを防止することができ、安全性が維持されることになる。一方、機密識別子で識別されるアプリケーション以外のアプリケーションについては、自由に送信をすることができ、ユーザの利便性も確保することができる。
【０００８】
また、本発明による機密管理装置では、送信制御部は、送信先のアドレスがローカルのアドレスでない場合に、送信先がローカル以外であると判断してもよい。
このような構成により、アドレスを用いてローカルかどうかの判断を行うことができるようになる。したがって、機密識別子によって識別されるアプリケーションにおいても、送信先がローカルである場合には送信をすることができ、ユーザの利便性を向上させることができる。
【０００９】
また、本発明による機密管理装置では、送信制御部は、実行部が、機密識別子で識別されるアプリケーションを実行中に行う送信が、送信先にローカル以外を含む機能によって実行されている場合に、機能の実行を阻止してもよい。
このような構成により、少なくとも、ローカル以外の送信先への送信を阻止できることになる。
【発明の効果】
【００１０】
本発明による機密管理装置等によれば、アプリケーションに応じて送信を制御することができ、安全性の維持と、利便性の確保とを実現することができる。
【図面の簡単な説明】
【００１１】
【図１】本発明の実施の形態１による機密管理装置の構成を示すブロック図
【図２】同実施の形態による機密管理装置の動作を示すフローチャート
【図３】同実施の形態における機密識別子の一例を示す図
【図４】同実施の形態におけるコンピュータシステムの外観一例を示す模式図
【図５】同実施の形態におけるコンピュータシステムの構成の一例を示す図
【発明を実施するための形態】
【００１２】
以下、本発明による機密管理装置について、実施の形態を用いて説明する。なお、以下の実施の形態において、同じ符号を付した構成要素及びステップは同一または相当するものであり、再度の説明を省略することがある。
【００１３】
（実施の形態１）
本発明の実施の形態１による機密管理装置について、図面を参照しながら説明する。本実施の形態による機密管理装置は、アプリケーションに応じて送信を制御するものである。
【００１４】
図１は、本実施の形態による情報処理装置３の構成を示すブロック図である。本実施の形態による情報処理装置３は、アプリケーション実行装置１と、機密管理装置２とを備える。
アプリケーション実行装置１は、ファイル記憶部１１と、アプリケーション記憶部１２と、実行部１４と、表示部１５と、送信部１６とを備える。
【００１５】
ファイル記憶部１１では、ファイルが記憶される。ファイル記憶部１１にファイルが記憶される過程は問わない。例えば、記録媒体を介してファイルがファイル記憶部１１で記憶されるようになってもよく、通信回線等を介して送信されたファイルがファイル記憶部１１で記憶されるようになってもよく、入力デバイスを介して入力されたファイルがファイル記憶部１１で記憶されるようになってもよく、実行部１４が保存したファイルがファイル記憶部１１で記憶されるようになってもよい。
【００１６】
アプリケーション記憶部１２では、アプリケーションが記憶される。なお、アプリケーションは、厳密には、アプリケーション・プログラムと呼ぶべきであるが、本実施の形態では、「アプリケーション」、あるいは、その短縮形である「アプリ」と呼ぶことにする。アプリケーション記憶部１２では、１種類のアプリケーションが記憶されていてもよく、あるいは、複数種類のアプリケーションが記憶されていてもよい。アプリケーション記憶部１２にアプリケーションが記憶される過程は問わない。例えば、記録媒体を介してアプリケーションがアプリケーション記憶部１２で記憶されるようになってもよく、あるいは、通信回線等を介して送信されたアプリケーションがアプリケーション記憶部１２で記憶されるようになってもよい。
【００１７】
実行部１４は、アプリケーション記憶部１２で記憶されているアプリケーションを実行する。また、実行部１４は、アプリケーションの実行中に、ファイル記憶部１１で記憶されているファイルをオープンしたり、オープンしたファイルを変更したり、変更したファイルを上書きで、もしくは、新規にファイル記憶部１１に蓄積したり、新たにファイルを作成し、その作成したファイルをファイル記憶部１１に蓄積したりする処理を行う。その処理は、図示しない受付部が受け付けるユーザからの指示に応じてなされてもよい。なお、アプリケーションの実行時に、一部の処理はＯＳ（オペレーティングシステム）によってなされることもある。そのような場合には、実行部１４は、アプリケーションの実行と共に、ＯＳに関する処理を行うと考えてもよい。実行部１４は、例えば、アプリケーション等のソフトウェアを実行するＭＰＵ（Ｍｉｃｒｏ−Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）によって実現されてもよい。
【００１８】
表示部１５は、実行部１４によるアプリケーションの実行に応じて、適宜、表示を行う。表示部１５は、例えば、アプリケーションのウィンドウや、ダイアログボックス、メッセージボックス等を表示してもよい。なお、表示部１５は、それらの表示を行う表示デバイス（例えば、ＣＲＴや液晶ディスプレイなど）を含んでもよく、あるいは含まなくてもよい。また、表示対象の表示は、別の装置においてなされてもよい。その場合には、表示部１５は、装置の外部に対して表示対象の情報を送信するものであってもよい。また、表示部１５は、ハードウェアによって実現されてもよく、あるいは表示デバイスを駆動するドライバ等のソフトウェアによって実現されてもよい。
【００１９】
送信部１６は、実行部１４によるアプリケーションの実行に応じて、適宜、送信を行う。送信部１６は、例えば、アプリケーションで作成されたデータやファイル等を送信してもよい。なお、送信部１６は、通常、社内や校内、家庭内などのローカルのネットワーク（ＬＡＮ）を介して、インターネット等のグローバルなネットワーク（ＷＡＮ）にアクセスするものとする。したがって、送信部１６が直接またはネットワークカード等の通信デバイスを介して接続されるネットワークは、ローカルのネットワークとなる。また、送信部１６は、送信を行うための送信デバイス（例えば、モデムやネットワークカードなど）を含んでもよく、あるいは含まなくてもよい。また、送信部１６は、ハードウェアによって実現されてもよく、あるいは送信デバイスを駆動するドライバ等のソフトウェアによって実現されてもよい。
【００２０】
機密管理装置２は、機密識別子記憶部２１と、送信制御部２２とを備える。
機密識別子記憶部２１では、一または二以上の機密識別子が記憶される。機密識別子は、機密事項を扱うアプリケーションを識別する情報である。機密識別子は、アプリケーションを識別できる情報であれば、その内容を問わない。例えば、機密識別子は、アプリケーションの名称や、アプリケーションのＩＤ等であってもよい。また、この機密識別子記憶部２１で記憶されている機密識別子で識別されるアプリケーションは、後述するように、そのアプリケーションにおける送信が制限されるアプリケーションとなる。したがって、機密事項を扱うと考えられるアプリケーションを識別する機密識別子を、機密識別子記憶部２１に蓄積しておくことになる。
【００２１】
機密識別子記憶部２１に機密識別子が記憶される過程は問わない。例えば、記録媒体を介して機密識別子が機密識別子記憶部２１で記憶されるようになってもよく、通信回線等を介して送信された機密識別子が機密識別子記憶部２１で記憶されるようになってもよく、あるいは、入力デバイスを介して入力された機密識別子が機密識別子記憶部２１で記憶されるようになってもよい。
【００２２】
送信制御部２２は、機密識別子記憶部２１で記憶されている機密識別子で識別されるアプリケーション（以下、このアプリケーションを「機密アプリケーション」と呼ぶことがある）を実行部１４が実行中に、実行部１４が送信を行う場合であって、送信先がローカル以外である場合に、送信を阻止するように制御する。機密アプリケーションの実行中に実行部１４が行う送信とは、その機密アプリケーションにおける送信である。例えば、機密アプリケーションにおけるデータやファイル等の送信であってもよい。ローカルの送信先とは、情報処理装置３と同じローカルのネットワークに属する送信先である。したがって、ローカルの送信先は、例えば、情報処理装置３と同じ社内に存在する送信先、情報処理装置３と同じ校内に存在する送信先、情報処理装置３と同じ家庭内に存在する送信先となる。ローカルでない送信先は、グローバルなネットワークに属する送信先であってもよく、情報処理装置３とは異なるローカルのネットワークに属する送信先であってもよい。なお、送信制御部２２は、結果として、機密アプリケーションにおいて、ローカル以外の送信先への送信を阻止するように制御できるのであれば、その阻止の方法は問わない。例えば、送信制御部２２は、機密アプリケーションにおいて実行部１４が行う送信が、ローカルの送信先であるかどうか判断し、ローカルの送信先でないと判断した場合に、その送信を阻止してもよい。なお、送信制御部２２は、ローカルの送信先であると判断した場合には、その送信を阻止しなくてもよい。また、例えば、送信制御部２２は、実行部１４が機密アプリケーションを実行中に行う送信が、送信先にローカル以外を含む機能によって実行されている場合に、その機能の実行を阻止してもよい。具体的には、グローバルなネットワーク上のアドレスを送信先に設定することができうる送信機能の場合には、送信先にローカル以外が含まれうることになる。したがって、その場合には、送信制御部２２は、実際の送信先のアドレスがローカルかどうかにかかわらずに、その送信機能によって実行される送信を阻止するようにしてもよい。このようにすることで、ローカルへの送信も阻止してしまうことになるが、少なくとも、ローカル以外への送信を阻止することができ、安全性を確保できる。
【００２３】
送信を阻止するように制御するとは、結果としてその送信が行われないようにすることであれば、その方法を問わない。例えば、送信制御部２２は、機密アプリケーションからＯＳに渡されるシステムコールをフックし、送信阻止の対象でないシステムコールであれば、そのフックしたシステムコールを開放して送信が行われるようにし、一方、送信阻止の対象となるシステムコールであれば、そのフックしたシステムコールを破棄して送信を阻止してもよい。送信阻止の対象となるシステムコールは、例えば、送信処理に応じたシステムコールであり、かつ、送信先がローカルでないシステムコールであってもよく、あるいは、ローカル以外の送信先を含む送信機能に応じたシステムコールであってもよい。また、例えば、送信制御部２２は、機密アプリケーションの処理に応じて送信部１６が送信するパケットのヘッダに含まれる送信先アドレスがローカルのアドレスでない場合には、そのパケットの送信が行われないように送信部１６を制御してもよく、あるいは、そのパケットそのものを破棄してもよい。一方、そのパケットの送信先アドレスがローカルのアドレスである場合には、送信制御部２２は、そのパケットが送信されるようにしてもよい。また、例えば、送信制御部２２は、機密アプリケーションの処理に応じて送信部１６が送信するすべてのパケットの送信が行われないように送信部１６を制御してもよく、あるいは、そのようなすべてのパケットを破棄してもよい。なお、送信制御部２２が、その他の方法を用いて送信を阻止する制御を行ってもよいことは言うまでもない。
【００２４】
ここで、送信先がローカルであるかどうかを判断する方法について説明する。その判断は、例えば、送信先のアドレスが、ローカルのアドレスであるかどうか判断することによってなされてもよい。アドレスは、例えば、ＩＰアドレスであってもよく、ドメイン名や、ＦＱＤＮ（完全修飾ドメイン名）を含むもの等であってもよい。そのローカルのアドレスは、あらかじめ図示しない記録媒体で記憶されていてもよい。具体的には、図示しない記録媒体において、ローカルのＦＱＤＮ「ｗｗｗ．ａｂｃ...ｃｏｍ」があらかじめ記憶されており、送信先が「ｗｗｗ．ａｂｃ...ｃｏｍ／ｘｙｚ...」であって、その記憶されているＦＱＤＮを含むものである場合には、送信制御部２２は、送信先がローカルであると判断してもよい。一方、送信先が「ｗｗｗ．ｃｂａ...ｃｏｍ／ｘｙｚ...」であって、その記憶されているＦＱＤＮを含まない場合には、送信制御部２２は、送信先がローカルでないと判断してもよい。また、ローカルのドメイン名「ａｂｃ...ｃｏｍ」があらかじめ記憶されており、電子メールの送信先が「ｕｓｅｒ００１＠ａｂｃ...ｃｏｍ」であって、その記憶されているドメイン名を含むものである場合には、送信制御部２２は、送信先がローカルであると判断してもよい。一方、送信先が「ｕｓｅｒ００１＠ｃｂａ...ｃｏｍ」であって、その記憶されているドメイン名を含まない場合には、送信制御部２２は、送信先がローカルでないと判断してもよい。また、情報処理装置３のＩＰアドレス「１９２．１６８．０．１１」が図示しない記録媒体で記憶されており、そのＩＰアドレスのうち、ネットワークアドレス部分が「１９２．１６８．０」であり、送信先のＩＰアドレスが「１９２．１６８．０．２０」であって、情報処理装置３のネットワークアドレス部分が共通している場合には、送信制御部２２は、送信先がローカルであると判断してもよい。一方、送信先のＩＰアドレスが「１１１．１１１．１１１．×××」であって、情報処理装置３のネットワークアドレス部分が共通しない場合には、送信制御部２２は、送信先がローカルでないと判断してもよい。ここで、情報処理装置３のネットワークアドレス部分は、情報処理装置３のＩＰアドレス「１９２．１６８．０．１１」のうち、サブネットマスクでマスクされる部分となる。例えば、サブネットマスクが「２５５．２５５．２５５．０」である場合には、前述のように、ＩＰアドレス「１９２．１６８．０．１１」のネットワークアドレス部分は、上位２４ビットの「１９２．１６８．０」となる。なお、送信制御部２２が、その他の方法を用いて送信先がローカルであるかどうかを判断してもよいことは言うまでもない。
【００２５】
なお、例えば、機密アプリケーションにおいて、送信先にローカル以外を含む機能によって実行されている送信を阻止する場合には、送信制御部２２は、その機密アプリケーションについて、送信に関する機能を実行できないようにする制御を行ってもよい。この場合には、例えば、機密識別子で識別されるアプリケーションについて、送信先にローカル以外を含む機能があらかじめ特定されており、送信制御部２２が、その特定されている機能を無効化するように制御を行ってもよい。具体的には、電子メールソフトを識別する機密識別子が機密識別子記憶部２１で記憶されている場合には、送信制御部２２は、ローカル以外の送信先を含む機能である「送信」ボタンを選択できないように制御してもよい。
【００２６】
また、ファイル記憶部１１、アプリケーション記憶部１２、機密識別子記憶部２１の各記憶部での記憶は、ＲＡＭ等における一時的な記憶でもよく、あるいは、長期的な記憶でもよい。また、それらの各記憶部は、所定の記録媒体（例えば、半導体メモリや磁気ディスク、光ディスクなど）によって実現されうる。
【００２７】
また、ファイル記憶部１１、アプリケーション記憶部１２、機密識別子記憶部２１の任意の２以上の記憶部は、同一の記録媒体によって実現されてもよく、あるいは、別々の記録媒体によって実現されてもよい。前者の場合には、例えば、ファイルを記憶している領域がファイル記憶部１１となり、アプリケーションを記憶している領域がアプリケーション記憶部１２となる。
【００２８】
また、情報処理装置３は、前述のように、アプリケーション実行装置１と、機密管理装置２とを含むものであり、両装置１，２は、同一の装置において実現されるものである。したがって、その情報処理装置３で実行される処理のうち、機密管理に関する処理のみを機密管理装置２として切り分けたものであると考えてもよい。したがって、実行部１４によって行われる処理と、機密ファイル判断部２５等によって行われる処理とは、同じＭＰＵを用いて実行されてもよい。
【００２９】
次に、機密管理装置２の動作について図２のフローチャートを用いて説明する。
（ステップＳ１０１）送信制御部２２は、実行部１４がアプリケーションを実行中に、送信の処理を行ったかどうか判断する。そして、送信の処理を行った場合には、ステップＳ１０２に進み、そうでない場合には、送信の処理を行うまでステップＳ１０１の処理を繰り返す。
【００３０】
（ステップＳ１０２）送信制御部２２は、送信の処理を行ったアプリケーションが機密アプリケーションであるかどうかを、機密識別子を用いて判断する。そして、機密アプリケーションである場合、すなわち、機密識別子で識別されるアプリケーションが送信の処理を行った場合には、ステップＳ１０３に進み、そうでない場合には、ステップＳ１０１に戻る。
【００３１】
（ステップＳ１０３）送信制御部２２は、送信処理の送信先がローカル以外であるかどうか判断する。そして、送信先がローカル以外である場合には、ステップＳ１０４に進み、そうでない場合には、ステップＳ１０１に戻る。なお、送信先がローカル以外であるとは、前述のように、厳密にローカルでない場合であってもよく、あるいは、ローカルでない可能性を含んでいる場合であってもよい。
【００３２】
（ステップＳ１０４）送信制御部２２は、機密アプリケーションによる送信の処理を阻止する。その結果、その送信の処理は行われないことになる。そして、ステップＳ１０１に戻る。
なお、図２のフローチャートにおいて、電源オフや処理終了の割り込みにより処理は終了する。
【００３３】
次に、本実施の形態による機密管理装置２の動作について、具体例を用いて説明する。この具体例において、情報処理装置３は、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）であるとする。
また、この具体例において、図３で示されるように、機密識別子が機密識別子記憶部２１で記憶されているものとする。この機密識別子は、機密アプリケーションの名称である。例えば、アプリケーション「会計ソフトＤＤＤ」は、機密アプリケーションに設定されていることになる。また、この具体例では、図示しない記録媒体において、情報処理装置３の属するネットワークのドメイン名「ａｂｃ...ｃｏｍ」が記憶されているものとする。
【００３４】
まず、ユーザが、アプリケーション「フォトビュアーＡＡＡ」を起動し、そのアプリケーションでファイル「ｐｈｏｔｏ２００９」をオープンする指示を出したとする。すると、その指示は図示しない受付部によって受け付けられ、実行部１４に渡される。実行部１４は、その指示に応じて、アプリケーション「フォトビュアーＡＡＡ」を起動し、その実行中のアプリケーション「フォトビュアーＡＡＡ」において、ファイル記憶部１１で記憶されているファイル「ｐｈｏｔｏ２００９」をオープンする処理を行う。その後、ユーザが、そのファイル「ｐｈｏｔｏ２００９」に含まれる写真を選択し、写真共有サイトのサーバに送信するためのボタンを選択する操作を行ったとする。すると、その操作に応じて実行部１４は、選択された写真のデータをあらかじめ設定されているドメイン名のサイトに送信する処理を行う。そして、送信制御部２２は、システムコールの監視において、その写真のデータの送信に対応するシステムコールをフックし、そのアプリケーションの名称「フォトビュアーＡＡＡ」と、送信先のドメイン名「ｐｈｏｔｏｓｈａｒｉｎｇ...ｃｏｍ」を取得する（ステップＳ１０１）。また、送信制御部２２は、その取得したアプリケーションの名称が、図３で示される機密識別子に含まれるかどうか判断する。この場合には、含まれなかったとする。すると、送信制御部２２は、送信を行ったアプリケーションが機密アプリケーションでないと判断し（ステップＳ１０２）、そのフックしたシステムコールを開放する。その結果、その写真のデータが送信部１６によって写真共有サイトのサーバに送信されることになる。
【００３５】
次に、ユーザが、アプリケーション「会計ソフトＤＤＤ」を起動する操作を行ったとする。すると、その操作に応じて実行部１４は、アプリケーションを起動する。そして、ユーザが、アプリケーション「会計ソフトＤＤＤ」において、新規ファイルを作成する操作を行い、その後にそのファイル「ｄａｔａ２０１０」を保存する操作を行ったとする。すると、その操作に応じて、実行部１４は、ファイル「ｄａｔａ２０１０」をファイル記憶部１１に蓄積する処理を行う。また、ユーザは、そのファイル「ｄａｔａ２０１０」をファイルサーバに送信するためのボタンを選択する操作を行ったとする。すると、その操作に応じて実行部１４は、そのファイルをあらかじめ設定されているドメイン名のサイトに送信する処理を行う。そして、送信制御部２２は、システムコールの監視において、そのファイルの送信に対応するシステムコールをフックし、そのアプリケーションの名称「会計ソフトＤＤＤ」と、送信先のドメイン名「ａｃｃｏｕｎｔｉｎｇ...ｃｏｍ」を取得する（ステップＳ１０１）。また、送信制御部２２は、その取得したアプリケーションの名称が、図３で示される機密識別子に含まれるかどうか判断する。この場合には含まれるため、送信制御部２２は、ファイルを送信するアプリケーションが機密アプリケーションであると判断する（ステップＳ１０２）。また、送信制御部２２は、その取得したドメイン名が、記憶されているドメイン名「ａｂｃ...ｃｏｍ」と異なるため、送信先がローカル以外であると判断する（ステップＳ１０３）。そのため、送信制御部２２は、そのフックしたシステムコールを破棄することによって、その送信を阻止する（ステップＳ１０４）。その結果、ファイル「ｄａｔａ２０１０」の送信は行われないことになる。
【００３６】
なお、そのアプリケーション「会計ソフトＤＤＤ」における送信において、送信先のドメイン名が「ａｂｃ...ｃｏｍ」である場合には、送信制御部２２は、そのドメイン名が記憶されているものと同じであるため、送信先がローカルであると判断する（ステップＳ１０３）。その結果、ローカルの送信先への送信が行われることになる。
【００３７】
また、この具体例では、ＯＳがＷｉｎｄｏｗｓ（登録商標）である場合について主に説明したが、それに限定されるものではない。他のＯＳを用いた情報処理装置３であっても、機密管理装置２は、同様の処理を行うことができる。また、この具体例において説明したシステムコールは、ＯＳに対する呼び出しであればどのようなものであってもよく、例えば、ＯＳが提供するＡＰＩ（アプリケーション・プログラミング・インタフェース）の呼び出しであってもよく、ＡＰＩの中から呼び出されるシステムコールであってもよい。
【００３８】
以上のように、本実施の形態による機密管理装置２によれば、機密アプリケーションにおいて、送信先がローカル以外である場合の送信が阻止されることになり、機密事項を含むファイルやデータが送信によって漏洩することを防止でき、安全性が維持されることになる。一方、機密識別子で識別されるアプリケーション以外のアプリケーションについては、自由に送信をすることができ、ユーザの利便性も確保することができる。また、送信先のアドレスがローカルのアドレスであるかどうか判断し、ローカルのアドレスでない場合には送信を阻止し、ローカルのアドレスである場合には送信を行うようにすることで、機密アプリケーションであっても、送信先がローカルであれば送信を行うことができるようになり、ユーザの利便性がさらに向上されることになる。
【００３９】
なお、本実施の形態では、機密識別子で識別されるアプリケーションが機密アプリケーションであり、その機密アプリケーションについて、ローカル以外の送信先への送信が制限される場合について説明したが、機密ファイルを取り込んだり、オープンしたりしたアプリケーションも、一時的に機密アプリケーションに設定し、その機密アプリケーションについても、ローカル以外の送信先への送信を阻止するようにしてもよい。機密ファイルとは、機密の設定のなされたファイルであり、例えば、機密であることを示す機密ラベルの付加されたファイルであってもよく、あるいは、図示しない記録媒体において、そのファイルを識別する情報が記憶されているファイルであってもよい。後者の場合には、図示しない記録媒体において、機密ファイルを識別する情報が記憶されることになる。ファイルを識別する情報は、例えば、ファイルのパスやハッシュ値であってもよい。そして、機密識別子で識別されるアプリケーションでなくても、その機密ファイルをオープンしたり、取り込んだりしたアプリケーションは、そのアプリケーションが終了されるまで機密アプリケーションに設定されることになる。機密アプリケーションの設定は、図示しない機密アプリケーション設定部が、一時的な機密アプリケーションを識別する情報を機密識別子記憶部２１に一時的に蓄積することによって行われてもよい。すなわち、あるアプリケーションを一時的な機密アプリケーションに設定する場合には、そのアプリケーションを識別する情報を機密識別子記憶部２１に蓄積すればよい。なお、その一時的な機密アプリケーションを識別する機密識別子は、一時的なものであることが分かるようになっていることが好適である。例えば、一時的なものであることを示すフラグ等が設定されてもよく、あるいは、一時的なものが記憶される領域に蓄積されてもよい。そして、その一時的な機密アプリケーションについては、その機密アプリケーションの終了時に、図示しない機密アプリケーション設定部が、機密識別子記憶部２１から、その機密アプリケーションを識別する機密識別子を削除するようにしてもよい。なお、機密識別子記憶部２１で記憶されている機密識別子で識別される機密アプリケーションについて、ローカル以外の送信先への送信が阻止される制御が行われることは、前述の通りである。また、この場合には、図示しない機密ファイル設定部が、機密アプリケーションによってファイル記憶部１１に保存されたファイルに対して、そのファイルを機密ファイルに設定する処理を行ってもよい。その機密ファイルの設定は、例えば、機密ファイルに対する機密ラベルの付加であってもよく、機密ファイルを識別する情報を図示しない記録媒体に蓄積することであってもよい。
【００４０】
また、本実施の形態によるアプリケーション実行装置１において表示が行われなくてもよい場合には、アプリケーション実行装置１は、表示部１５を備えていなくてもよい。
【００４１】
また、上記実施の形態において、各処理または各機能は、単一の装置または単一のシステムによって集中処理されることによって実現されてもよく、あるいは、複数の装置または複数のシステムによって分散処理されることによって実現されてもよい。
【００４２】
また、上記実施の形態において、各構成要素間で行われる情報の受け渡しは、例えば、その情報の受け渡しを行う２個の構成要素が物理的に異なるものである場合には、一方の構成要素による情報の出力と、他方の構成要素による情報の受け付けとによって行われてもよく、あるいは、その情報の受け渡しを行う２個の構成要素が物理的に同じものである場合には、一方の構成要素に対応する処理のフェーズから、他方の構成要素に対応する処理のフェーズに移ることによって行われてもよい。
【００４３】
また、上記実施の形態において、各構成要素が実行する処理に関係する情報、例えば、各構成要素が受け付けたり、取得したり、選択したり、生成したり、送信したり、受信したりした情報や、各構成要素が処理で用いるしきい値や数式、アドレス等の情報等は、上記説明で明記していない場合であっても、図示しない記録媒体において、一時的に、あるいは長期にわたって保持されていてもよい。また、その図示しない記録媒体への情報の蓄積を、各構成要素、あるいは、図示しない蓄積部が行ってもよい。また、その図示しない記録媒体からの情報の読み出しを、各構成要素、あるいは、図示しない読み出し部が行ってもよい。
【００４４】
また、上記実施の形態において、各構成要素等で用いられる情報、例えば、各構成要素が処理で用いるしきい値やアドレス、各種の設定値等の情報がユーザによって変更されてもよい場合には、上記説明で明記していない場合であっても、ユーザが適宜、それらの情報を変更できるようにしてもよく、あるいは、そうでなくてもよい。それらの情報をユーザが変更可能な場合には、その変更は、例えば、ユーザからの変更指示を受け付ける図示しない受付部と、その変更指示に応じて情報を変更する図示しない変更部とによって実現されてもよい。その図示しない受付部による変更指示の受け付けは、例えば、入力デバイスからの受け付けでもよく、通信回線を介して送信された情報の受信でもよく、所定の記録媒体から読み出された情報の受け付けでもよい。
【００４５】
また、上記実施の形態において、情報処理装置３に含まれる２以上の構成要素が通信デバイスや入力デバイス等を有する場合に、２以上の構成要素が物理的に単一のデバイスを有してもよく、あるいは、別々のデバイスを有してもよい。
【００４６】
また、上記実施の形態において、各構成要素は専用のハードウェアにより構成されてもよく、あるいは、ソフトウェアにより実現可能な構成要素については、プログラムを実行することによって実現されてもよい。例えば、ハードディスクや半導体メモリ等の記録媒体に記録されたソフトウェア・プログラムをＣＰＵ等のプログラム実行部が読み出して実行することによって、各構成要素が実現され得る。なお、上記実施の形態における機密管理装置２を実現するソフトウェアは、以下のようなプログラムである。つまり、このプログラムは、機密事項を扱うアプリケーションを識別する機密識別子が記憶される機密識別子記憶部にアクセス可能なコンピュータを、機密識別子記憶部で記憶されている機密識別子で識別されるアプリケーションを実行部が実行中に、実行部が送信を行う場合であって、送信先がローカル以外である場合に、送信を阻止するように制御する送信制御部として機能させるためのプログラムである。
なお、上記プログラムにおいて、上記プログラムが実現する機能には、ハードウェアでしか実現できない機能は含まれない。
【００４７】
また、このプログラムは、サーバなどからダウンロードされることによって実行されてもよく、所定の記録媒体（例えば、ＣＤ−ＲＯＭなどの光ディスクや磁気ディスク、半導体メモリなど）に記録されたプログラムが読み出されることによって実行されてもよい。また、このプログラムは、プログラムプロダクトを構成するプログラムとして用いられてもよい。
【００４８】
また、このプログラムを実行するコンピュータは、単数であってもよく、複数であってもよい。すなわち、集中処理を行ってもよく、あるいは分散処理を行ってもよい。
【００４９】
図４は、上記プログラムを実行して、上記実施の形態による機密管理装置２を実現するコンピュータの外観の一例を示す模式図である。上記実施の形態は、コンピュータハードウェア及びその上で実行されるコンピュータプログラムによって実現されうる。
【００５０】
図４において、コンピュータシステム９００は、ＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ Ｄｉｓｋ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）ドライブ９０５、ＦＤ（Ｆｌｏｐｐｙ（登録商標） Ｄｉｓｋ）ドライブ９０６を含むコンピュータ９０１と、キーボード９０２と、マウス９０３と、モニタ９０４とを備える。
【００５１】
図５は、コンピュータシステム９００の内部構成を示す図である。図５において、コンピュータ９０１は、ＣＤ−ＲＯＭドライブ９０５、ＦＤドライブ９０６に加えて、ＭＰＵ（Ｍｉｃｒｏ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）９１１と、ブートアッププログラム等のプログラムを記憶するためのＲＯＭ９１２と、ＭＰＵ９１１に接続され、アプリケーションプログラムの命令を一時的に記憶すると共に、一時記憶空間を提供するＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）９１３と、アプリケーションプログラム、システムプログラム、及びデータを記憶するハードディスク９１４と、ＭＰＵ９１１、ＲＯＭ９１２等を相互に接続するバス９１５とを備える。なお、コンピュータ９０１は、ＬＡＮへの接続を提供する図示しないネットワークカードを含んでいてもよい。
【００５２】
コンピュータシステム９００に、上記実施の形態による機密管理装置２の機能を実行させるプログラムは、ＣＤ−ＲＯＭ９２１、またはＦＤ９２２に記憶されて、ＣＤ−ＲＯＭドライブ９０５、またはＦＤドライブ９０６に挿入され、ハードディスク９１４に転送されてもよい。これに代えて、そのプログラムは、図示しないネットワークを介してコンピュータ９０１に送信され、ハードディスク９１４に記憶されてもよい。プログラムは実行の際にＲＡＭ９１３にロードされる。なお、プログラムは、ＣＤ−ＲＯＭ９２１やＦＤ９２２、またはネットワークから直接、ロードされてもよい。
【００５３】
プログラムは、コンピュータ９０１に、上記実施の形態による機密管理装置２の機能を実行させるオペレーティングシステム（ＯＳ）、またはサードパーティプログラム等を必ずしも含んでいなくてもよい。プログラムは、制御された態様で適切な機能（モジュール）を呼び出し、所望の結果が得られるようにする命令の部分のみを含んでいてもよい。コンピュータシステム９００がどのように動作するのかについては周知であり、詳細な説明は省略する。
【００５４】
また、本発明は、以上の実施の形態に限定されることなく、種々の変更が可能であり、それらも本発明の範囲内に包含されるものであることは言うまでもない。
【産業上の利用可能性】
【００５５】
以上より、本発明による機密管理装置等によれば、機密識別子によって識別されるアプリケーションにおいて、送信先がローカル以外である場合の送信を阻止できるという効果が得られ、機密事項を扱うアプリケーションの管理装置等として有用である。
【符号の説明】
【００５６】
１ アプリケーション実行装置
２ 機密管理装置
３ 情報処理装置
１１ ファイル記憶部
１２ アプリケーション記憶部
１４ 実行部
１５ 表示部
１６ 送信部
２１ 機密識別子記憶部
２２ 送信制御部
【特許請求の範囲】
【請求項１】
機密事項を扱うアプリケーションを識別する機密識別子が記憶される機密識別子記憶部と、
前記機密識別子記憶部で記憶されている機密識別子で識別されるアプリケーションを実行部が実行中に、当該実行部が送信を行う場合であって、送信先がローカル以外である場合に、当該送信を阻止するように制御する送信制御部と、を備えた機密管理装置。
【請求項２】
前記送信制御部は、送信先のアドレスがローカルのアドレスでない場合に、送信先がローカル以外であると判断する、請求項１記載の機密管理装置。
【請求項３】
前記送信制御部は、前記実行部が、機密識別子で識別されるアプリケーションを実行中に行う送信が、送信先にローカル以外を含む機能によって実行されている場合に、当該機能の実行を阻止する、請求項１記載の機密管理装置。
【請求項４】
機密事項を扱うアプリケーションを識別する機密識別子が記憶される機密識別子記憶部と、送信制御部とを用いて処理される機密管理方法であって、
前記送信制御部が、前記機密識別子記憶部で記憶されている機密識別子で識別されるアプリケーションを実行部が実行中に、当該実行部が送信を行う場合であって、送信先がローカル以外である場合に、当該送信を阻止するように制御する送信制御ステップを備えた機密管理方法。
【請求項５】
機密事項を扱うアプリケーションを識別する機密識別子が記憶される機密識別子記憶部にアクセス可能なコンピュータを、
前記機密識別子記憶部で記憶されている機密識別子で識別されるアプリケーションを実行部が実行中に、当該実行部が送信を行う場合であって、送信先がローカル以外である場合に、当該送信を阻止するように制御する送信制御部として機能させるためのプログラム。
【請求項１】
機密事項を扱うアプリケーションを識別する機密識別子が記憶される機密識別子記憶部と、
前記機密識別子記憶部で記憶されている機密識別子で識別されるアプリケーションを実行部が実行中に、当該実行部が送信を行う場合であって、送信先がローカル以外である場合に、当該送信を阻止するように制御する送信制御部と、を備えた機密管理装置。
【請求項２】
前記送信制御部は、送信先のアドレスがローカルのアドレスでない場合に、送信先がローカル以外であると判断する、請求項１記載の機密管理装置。
【請求項３】
前記送信制御部は、前記実行部が、機密識別子で識別されるアプリケーションを実行中に行う送信が、送信先にローカル以外を含む機能によって実行されている場合に、当該機能の実行を阻止する、請求項１記載の機密管理装置。
【請求項４】
機密事項を扱うアプリケーションを識別する機密識別子が記憶される機密識別子記憶部と、送信制御部とを用いて処理される機密管理方法であって、
前記送信制御部が、前記機密識別子記憶部で記憶されている機密識別子で識別されるアプリケーションを実行部が実行中に、当該実行部が送信を行う場合であって、送信先がローカル以外である場合に、当該送信を阻止するように制御する送信制御ステップを備えた機密管理方法。
【請求項５】
機密事項を扱うアプリケーションを識別する機密識別子が記憶される機密識別子記憶部にアクセス可能なコンピュータを、
前記機密識別子記憶部で記憶されている機密識別子で識別されるアプリケーションを実行部が実行中に、当該実行部が送信を行う場合であって、送信先がローカル以外である場合に、当該送信を阻止するように制御する送信制御部として機能させるためのプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図２】
【図３】
【図４】
【図５】
【公開番号】特開２０１２−１０８７０４（Ｐ２０１２−１０８７０４Ａ）
【公開日】平成２４年６月７日（２０１２．６．７）
【国際特許分類】
【出願番号】特願２０１０−２５６７３４（Ｐ２０１０−２５６７３４）
【出願日】平成２２年１１月１７日（２０１０．１１．１７）
【出願人】（５０４１６９６４７）エンカレッジ・テクノロジ株式会社 (13)
【Ｆターム（参考）】
【公開日】平成２４年６月７日（２０１２．６．７）
【国際特許分類】
【出願日】平成２２年１１月１７日（２０１０．１１．１７）
【出願人】（５０４１６９６４７）エンカレッジ・テクノロジ株式会社 (13)
【Ｆターム（参考）】
[ Back to top ]