電子メールによる情報漏洩の防止システム、方法、コンピュータプログラム
【課題】誤送信や悪意のメール送信者による情報漏洩を防止するシステムを提供する。
【解決手段】電子メールの送信元と送信先との間に管理サーバ１０を設け、ドメインのツリー状の階層構造、ポリシー情報、送信不可指定ドメイン名、同時送信可能ドメイン数等の、電子メールの送信の制約条件を管理サーバ１０に保持しておく。送信元端末Ａ３０は、送信予定の電子メールのチェックを管理サーバ１０に依頼する。管理サーバ１０は、送信予定の電子メールが制約条件に適合するかどうかをチェックし、適合する場合は適合証明を送信元端末Ａ３０に返信する。送信元端末Ａ３０は、この適合証明をもとに送信予定の電子メールの送信処理を開始する。
【解決手段】電子メールの送信元と送信先との間に管理サーバ１０を設け、ドメインのツリー状の階層構造、ポリシー情報、送信不可指定ドメイン名、同時送信可能ドメイン数等の、電子メールの送信の制約条件を管理サーバ１０に保持しておく。送信元端末Ａ３０は、送信予定の電子メールのチェックを管理サーバ１０に依頼する。管理サーバ１０は、送信予定の電子メールが制約条件に適合するかどうかをチェックし、適合する場合は適合証明を送信元端末Ａ３０に返信する。送信元端末Ａ３０は、この適合証明をもとに送信予定の電子メールの送信処理を開始する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、電子メールのセキュリティ対策技術に関する。特に、誤送信を含む情報漏洩を効果的に防止する情報漏洩の防止システム及びその関連技術に関する。
【背景技術】
【０００２】
電子メールの受け渡しは、今や、ビジネスに欠かせないものになっている。しかし、電子メールには、ネットワーク上やサーバ上での盗聴、改竄による、情報漏洩の脅威が存在する。情報漏洩は、また、宛先誤りの誤送信、悪意の者によるなりすまし等によっても生じる。このような脅威に対する情報漏洩防止対策として、電子メールの暗号化が行われている。暗号化には、例えば、ＰＧＰ(Pretty Good Privacy)、Ｓ／ＭＩＭＥ（Secure MIME）が利用されている。コンテンツフィルタリングによる送受信メールの内容チェックによって、情報が漏洩されたかどうかを知るという手法もある。
特許出願されている先行技術としては、例えば以下のようなものがある。
【０００３】
【特許文献１】特開２００５−９２５２５
【特許文献２】特開２００４−３０２６９３
【特許文献３】特開２００３−１５７２１６
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、上述した情報漏洩対策は、現状では浸透していない。これは、以下の理由による。
（１）ＰＧＰやＳ／ＭＩＭＥの運用は、エンドユーザへの運用の徹底が難しい。
（２）エンドユーザが暗号化を行うと、監査用に記録しても解読できない場合がある。
（３）コンテンツフィルタリングは、メール内のキーワード一致等による検査のため、精度に限界がある。
（４）コンテンツフィルタリングによる機械的なチェックでは、悪意をもって操作された場合のチェックが不可能になる。
（５）先行する特許出願に開示された内容では、誤送信による機密情報漏洩には対応できない。
本発明は、このような問題点を解消する電子メールによる情報漏洩の防止システム、方法、及びコンピュータプログラムを提供することを主たる課題とする。
【課題を解決するための手段】
【０００５】
本発明の情報漏洩の防止システムは、電子メールの送信の制約条件を定めた条件情報を保持する条件情報保持手段と、送信予定の電子メールについて当該電子メールの送信元及び送信先の情報を含む属性情報を当該電子メールの送信前に取得する属性情報取得手段と、この属性情報取得手段で取得した属性情報と前記条件情報保持手段に保持されている条件情報とを比較することにより、前記送信予定の電子メールが前記制約条件に適合するかどうかを判定し、適合する場合は適合証明を出力し、他方、適合しない場合は電子メールの送信を制限させるための制限情報を出力する判定手段と、この判定手段により出力された適合証明又は制限情報を当該電子メールを送信しようとする端末へ伝達する情報伝達手段と、を備えて成る。
【０００６】
前記条件情報保持手段は、例えば、メール送信が許容される正当な送信先のアドレスの一致性と、送信元と送信先との間でメールの受け渡しが許容されるセキュリティポリシーの関係又は組織上のつながりの一致性を制約条件とする条件情報を保持しており、前記判定手段は、前記取得した属性情報に、正当な送信先のアドレスが含まれており、かつ、前記関係又はつながりが記述されているときに前記適合証明を出力し、それ以外は前記制限情報を出力する。前記制約条件に適合しない電子メールの属性情報を適合するものに修正して前記端末へ伝達する属性情報修正手段をさらに備えたものとすることができる。また、前記修正を制限する修正制限手段をさらに備えたものにしても良い。
電子メールの暗号化モジュールを備えたものとし、前記条件情報保持手段が、電子メールをその送信先で解読可能な形式で暗号化することを制約条件とする条件情報を保持し、前記属性情報修正手段が、前記制約条件に適合しないことが暗号化メールでないときに前記暗号化モジュールで当該電子メールを暗号化して前記端末へ伝達するような運用形態も可能である。
【０００７】
本発明は、また、上記の情報漏洩の防止システムでの実施に適した通信端末を提供する。この通信端末は、電子メールの送信の制約条件を定めた所定の条件情報とチェック対象となる電子メールの送信元及び送信先の情報を含む属性情報との比較により当該対象となる電子メールが前記条件情報と適合することを表す適合証明又は適合しないことを表す制限情報を出力する管理サーバと接続可能な通信端末であって、送信予定の電子メールの属性情報を前記管理サーバへ送信するとともに前記管理サーバから前記適合証明又は制限情報を受信する事前チェック手段と、前記適合証明を受信したときは前記送信予定の電子メールの送信準備を行い、他方、前記制限情報を受信したときは当該電子メールの送信を制限する制御手段とを備えたものである。この通信端末において、前記適合証明を受信した電子メールに含まれるコンテンツと予め所定のメモリ領域に保持されている送信制約情報とを比較し、前記コンテンツに前記送信制約情報が含まれるときに当該電子メールの送信を制限する機密性チェック手段をさらに備えるようにしても良い。
【０００８】
本発明は、また、通信端末と管理サーバとを含む情報漏洩防止システムにより実行される、電子メールによる情報漏洩の防止方法を提供する。この方法は、前記通信端末が、送信予定の電子メールの機密レベルを表す機密レベルデータの取得を含む初期チェックを行い、良好であれば、取得した機密レベルデータと電子メールの送信元及び送信先の情報を含む属性情報を伴うチェック要求を前記管理サーバに送信する段階と、前記管理サーバが、前記属性情報と、電子メールの送信の制約条件を定めた条件情報とを比較することにより前記送信予定の電子メールの送信先が正当か否かをチェックし、正当であれば、前記機密レベルデータに基づく秘密漏洩防止のための機密性チェックを行い、正当であれば、適合証明を出力し、他方、適合しない場合は電子メールの送信を制限させるための制限情報を前記通信端末へ伝達する段階と、前記通信端末が、前記適合証明を受信したときは前記送信予定の電子メールの送信準備を行い、他方、前記制限情報を受信したときは当該電子メールの送信を制限する段階とを有することを特徴とする方法である。
【０００９】
本発明は、また、コンピュータを上記の防止システムとして機能させるための第１のコンピュータプログラムと、コンピュータを上記の通信端末として機能させるための第２のコンピュータプログラムを提供する。
第１のコンピュータプログラムは、コンピュータを、電子メールの送信の制約条件を定めた条件情報を保持する条件情報保持手段、送信予定の電子メールについて当該電子メールの送信元及び送信先の情報を含む属性情報を当該電子メールの送信前に取得する属性情報取得手段、この属性情報取得手段で取得した属性情報と前記条件情報保持手段に保持されている条件情報とを比較することにより、前記送信予定の電子メールが前記制約条件に適合するかどうかを判定し、適合する場合は適合証明を出力し、他方、適合しない場合は電子メールの送信を制限させるための制限情報を出力する判定手段、及び、この判定手段により出力された適合証明又は制限情報を当該電子メールを送信しようとする端末へ伝達する情報伝達手段、として機能させるためのコンピュータプログラムである。
【００１０】
第２のコンピュータプログラムは、通信機能付きのコンピュータを、電子メールの送信の制約条件を定めた所定の条件情報とチェック対象となる電子メールの送信元及び送信先の情報を含む属性情報との比較により当該対象となる電子メールが前記条件情報と適合することを表す適合証明又は適合しないことを表す制限情報を出力する管理サーバと接続可能な通信端末として動作させるためのコンピュータプログラムであって、前記コンピュータを、送信予定の電子メールの属性情報を前記管理サーバへ送信するとともに前記管理サーバから前記適合証明又は制限情報を受信する事前チェック手段、及び、前記適合証明を受信したときは前記送信予定の電子メールの送信準備を行い、他方、前記制限情報を受信したときは当該電子メールの送信を制限する制御手段として機能させるコンピュータプログラムである。
【発明の効果】
【００１１】
本発明によれば、送信元端末を操作するエンドユーザがシステムの運用ルールを意識する必要がなく、組織的に統一したセキュリティポリシーを徹底させることができ、既存のシステム構成や設定に殆ど影響を与えずに、電子メールに対する情報漏洩防止が可能になる。特に、誤送信や悪意に基づく情報漏洩の防止を図ることができる。
【発明を実施するための最良の形態】
【００１２】
［全体図］
図１は、本発明の実施の一形態となる情報漏洩の防止システムの全体図である。
この実施形態の防止システムは、管理サーバ１０を主たる構成要素として含んでいる。
この管理サーバ１０は、電子メールの通信端末である送信元端末Ａ３０と接続可能になっている。図示の例では、送信元端末Ｂ２０は、平文の電子メールを送信する通信端末である。他方、送信元端末Ａ３０は、前述のS/MIMEの暗号メールを送信する。各暗号メールには、それぞれ当該メールの送信元（ドメイン、アドレス）、送信先（ドメイン、アドレス）、その他当該メールを受信した側で、メールの内容とか性質を理解できるようにするための属性情報がヘッダとして含まれる。
【００１３】
これらの送信元端末２０，３０から送信される電子メールは、メールサーバＭＬ１、プロキシサーバＰＸ１に到達する。プロキシサーバＰＸ１は、管理サーバ１０から出力される適合証明又は制限情報をもとに、入力された電子メールの通過を一部制限させる。図示の例では、送信元端末Ｂ２０から送信される平文の電子メールについては、パスワード付の暗号メールに変換して通過させる。
【００１４】
また、事前にチェックを行った送信元端末Ａ３０からのS/MIMEの暗号メールは、そのまま通過させる。これらの暗号メールは、ネットワークＬ、メールサーバＭＬ２を介して送信先端末Ｂ４０，送信先端末Ａ５０に伝達される。パスワード付暗号メールは、送信先端末Ｂ４０に到達し、S/MIMEの暗号メールは、送信先端末Ａ５０に到達する。
【００１５】
管理サーバ１０は、サーバ機能を有するコンピュータであり、プロセッサ部と外部記憶装置とを備えている。外部記憶装置には、情報漏洩防止用の所定のコンピュータプログラムが格納されており、コンピュータのプロセッサ部がこのコンピュータプログラムを読み込んで実行することにより、図２に例示される機能を当該コンピュータに形成する。
【００１６】
すなわち、管理サーバ１０は、プロセッサ部１１内に、送信元端末Ａ３０やメールサーバＭＬ１との通信を制御する送受信制御部１１１、送信先が正当化どうかをチェックする送信先チェック部１１２、送信先のポリシー情報が正当かどうかをチェックするポリシーチェック部１１３、送信先のドメインが正当化どうかをチェックするドメインチェック部１１４、電子メールのコンテンツ等の機密性をチェックするとともに、必要に応じて監査用証明書や監査用送信先を生成する機密性チェック部１１５、送信先情報を電子メールの属性情報に付加する送信先情報付加部１１６の機能を形成する。上記の各チェックは、電子メールの送信の制約条件を表す条件情報とチェック対象となる電子メールの属性情報との比較を行うことにより行われる。
【００１７】
また、外部記憶装置に、所定の監査機関に備えられる端末のアドレスや、送信先及び送信元のユーザの関係をメールアドレスのつながりとして記録したアドレスＤＢ（ＤＢはデータベースの略、以下同じ）１２と、セキュリティポリシーのレベルを記録したポリシー情報ＤＢ１３、ユーザが所属する組織上の関係及び電子メールの経路を記録したドメインＤＢ１４、エラー情報を記録したエラー情報ＤＢ１５及び後述するチェックメールを格納したチェックメールファイル１６を形成する。プロセッサ部１１におけるこれらの機能ブロックは、バスＢ１１を介して各ＤＢ１２〜１４、ファイル１５，１６に接続される。各ＤＢ１２〜１４に格納される情報が上記の条件情報の一例となるものである。
【００１８】
送信元端末Ａ３０は、通信機能を有するコンピュータであり、外部記憶装置を備えている。外部記憶装置には、通信端末用の所定のコンピュータプログラムが格納されており、コンピュータのプロセッサ部がこのコンピュータプログラムを読み込んで実行することにより、図３に例示される機能を当該コンピュータに形成する。すなわち、送信元端末Ａ３０は、プロセッサ部３１内に、管理サーバ１０やメールサーバＭＬ１との通信を制御する送受信制御部３１１、初期チェックを行う初期チェック部３１２、電子メールのコンテンツを含む実体面のチェックを行うコンテンツ等チェック部３１３、S/MIME等の暗号化・復号化部３１４、送信元端末Ａ３０を操作するユーザへのメッセージを生成したり、所定の監査機関宛のメッセージを生成して送信させるメッセージ処理部３１５、及び、端末内の動作を統括的に制御する主制御部３１６の機能を形成する。
また、外部記憶装置に、管理サーバ１０が備えるものと同じ構造のアドレスＤＢ３２、ポリシーＤＢ３３、ドメインＤＢ３４、及び暗号化・復号化部３１４が使用する鍵を記録した鍵ＤＢ３５を形成する。プロセッサ部３１におけるこれらの機能ブロックは、バスＢ１２を介して各ＤＢ３２〜３５に接続される。
【００１９】
次に、本実施形態の情報漏洩の防止システムの動作例を説明する。以後の説明では、送信元端末Ｂ３０を「クライアント」と称する。
【００２０】
［処理概要］
図４は、電子メールを送信しようとするクライアントの処理手順図である。
クライアントは、メール送信イベントが発生すると、初期チェック部３１２で初期チェックを行う（ステップＳ１０１）。初期チェックは、クライアント側で、管理サーバ１０に問い合わせる前に可能なチェックを行う処理である。ここでは、チェック可能なものとして、送信内容を確認できるかどうか、Subject又は本文中に機密レベルを表すキーワードが存在するかどうかとする。送信内容が確認できれば正当（ＯＫ）、それ以外は不当（ＮＧ）とする。例えば、送信しようとする電子メールが、操作者によって既に暗号化されている場合は、送信内容を確認できないため、ＮＧとする。機密レベルを表すキーワードは、例えば、「秘密」、「社外秘」等である。このようなキーワードが存在する場合は、これを機密レベルデータとしてメモリ領域に保存する。機密レベルを表すキーワードを見つけることができなかった場合は、機密レベルを「不明」とする。
【００２１】
初期チェックの結果、正当であれば、主制御部３１６が、チェック要求を管理サーバ１０に送信する（ステップＳ１０２）。チェック要求には、対象となる送信先メールアドレス、送信元メールアドレス、機密レベルデータを含む属性情報を伴う。
【００２２】
クライアント（主制御部３１６）は、チェック要求後は、チェック結果を受け取るまで待機する（ステップＳ１０３）。受け取るべきチェック結果は、適合証明、制限情報、監査用証明書や監査用送信先の情報等である。適合証明は、当該電子メールが正当に送信先端末へ送信できることを証明する情報であり、制限情報は、当該電子メールの送信を何らかの形で制限することを表す情報である。最も厳しい制限は、電子メールの送信禁止である。なお、形式的には適合証明であっても、電子メールのコンテンツの内容に疑義があるときは、「要確認」のような情報が付加される。
【００２３】
クライアント（主制御部３１６）は、このようなチェック結果を受信すると（ステップＳ１０４）、チェック結果が良好かどうかを判定する（ステップＳ１０５）。良好のときはコンテンツ等チェック部３１３で、コンテンツチェックを行う（ステップＳ１０６）。コンテンツチェックは、具体的には、送信しようとする電子メールの機密レベルの判定、電子証明書の添付の有無の判定、個人情報かどうかの判定等である。機密レベルは、上記のメモリ領域に記録された機密レベルデータを用いる。
【００２４】
機密レベルが相対的に高いと判定したときは（ステップＳ１０６：高）電子証明書の有無を判定する（ステップＳ１０７）。電子証明書があるときは、暗号化・復号化部３１４を起動して鍵ＤＢ３５に記録された鍵を用いてＳ／ＭＩＭＥによる暗号メール（電子署名付）を作成する（ステップＳ１０８）。そして、メッセージ処理部３１５を起動して、監査用メッセージを生成し、これを所定の監査機関に送信する（ステップＳ１１３）。監査用メッセージは、監査用に電子メールを監査用証明書でＳ／ＭＩＭＥで暗号化し、監査用の送信先に送信させる。監査用証明書や監査用送信先は、管理サーバのチェック結果に含まれている。
【００２５】
ステップＳ１０７において電子証明書が無いときは、パスワードによる暗号メール（電子署名付）を作成し（ステップＳ１０９）、クライアントの操作者、つまり送信者にパスワード通知メールを作成し（ステップＳ１１２）、上述した監査用メッセージの生成・送信を行わせた後（ステップＳ１１３）、メール送信する（ステップＳ１１４）。
【００２６】
ステップＳ１０６におけるコンテンツチェックの結果、機密レベルが低いと判定したときは（ステップＳ１０６：低）、平文（電子署名付）のまま監査用メッセージの生成・送信を行わせた後（ステップＳ１１３）、メール送信する（ステップＳ１１４）。
【００２７】
ステップＳ１０１の初期チェックの結果、ＮＧであった場合は、送信者に送信不可の情報を伝達して（ステップＳ１１１）処理を終える。送信不可の情報は、自己宛のメール送信でそれを行っても良く、図示しないディスプレイ等への表示であっても良い。
【００２８】
なお、管理サーバ１０から受信したチェック結果が良好であるが、「要確認」の情報が含まれていた場合、クライアントのコンテンツ等チェック部３１３は、確認処理を実行する。確認処理は、例えば公知のチェック用Webサービスにアクセスして、自己の電子メールの内容をチェックし、個人情報の可能性の有無、暗号化要否、送信可否等を確認する処理である。個人情報の確認の有無は、電子メールの内容に、例えば、「東京都」、「大阪府」その他の個人で使用するような情報などが含まれているかどうかをキーワードチェックにより判定する。個人で使用する情報が発見されたときに、エラーを出力する。この確認処理は、システムの設定により、強制的に実施することもできる。この確認処理により、ネットワーク上に流通する電子メールの機密性を保護することが可能になる。
【００２９】
上記のクライアントと連携して情報漏洩の防止を図る管理サーバ１０は、図５に例示される手順で、制約条件に基づくチェック動作を行う。
すなわち、管理サーバ１０は、クライアントからチェック要求を受信すると、送信先チェック部１１１で送信先チェックを行う（ステップＳ２０１）。送信先チェックは、誤送信及び機密情報送信を防止するためのもので、制約条件の一例となるアドレスＤＢ１２に記録されている送信先アドレス及びドメインＤＢ１４に記録されているドメインと、チェック対象となる電子メールの照合を行う。そして、例えば送信先のドメインが送信不可指定のドメインの場合は、エラーとする。また、送信先に、別途指定した同時送信可能ドメイン数以上のドメインが存在する場合は、メーリングリスト等のメールアドレス漏洩防止のため、エラーとする。
【００３０】
以上のような送信先チェックの結果、正当（ＯＫ）であれば、ポリシーチェック部１１３でポリシーチェックを行う（ステップＳ２０２）。ポリシーチェックは、具体的には、ポリシーＤＢ３３に記録されている送信者（ＦＲＯＭ）と送信先（ＴＯ）のセキュリティポリシーのレベルチェックにより、同一ドメイン内における宛先の正当性をチェックし、誤送信を防止する。このセキュリティポリシーのレベルもまた、制約条件の一つとなる。
【００３１】
本例では、送信先のセキュリティポリシーのレベルがすべて同一の場合は、送信可能にする。例えば、図６のような階層構造の組織で、Ａ課長から電子メールを送信する場合を例にすると、以下のようになる。
（１−１）送信先がＡ社員、Ｂ社員の場合は送信可能。
（１−２）送信先がＡ本部長、Ｂ本部長の場合は送信可能。
（１−３）送信先がＸ社の場合は、ポリシー範囲外なのでエラー。
（１−４）送信先がＣ部長、Ｃ課長の場合はエラー。
【００３２】
また、図６においてＡ社長から電子メールを送信する場合を例にすると、以下のようになる。
（２−１）送信先がＡ社員、Ｂ社員、Ｃ社員、Ｄ社員であれば、送信可能。
（２−２）送信先がＡ社員、Ａ課長の場合は、ポリシーが違うのでエラー。
【００３３】
上記のポリシーチェックがＮＧのとき、つまりエラーのときは、ドメインチェック部１１４でドメインチェックを行う（ステップＳ２０３）。ドメインチェックは、制約条件の一例となるドメインＤＢ３４に記録されている送信者（ＦＲＯＭ）と送信先（ＴＯ）の組織上の関係により、宛先の正当性をチェックし、誤送信及び外部への機密情報漏洩を防止する処理である。例えば、以下のチェックを行う。
（３−１）送信者は送信先の経路上に存在する人を必ず送信先に入れなければならない。
（３−２）経路上に存在しない人に電子メールを送る場合は、必ず自分の上長を送信先に含めなければならない。
但し、一度送信した電子メールについては、送信先の中で最上位のセキュリティポリシーをもつ人は、同一送信先の電子メールについては、次回以降、連絡不要と設定することにより、次回以降は、宛先として追加されないようにすることができる。
【００３４】
例えば図７の組織構造において、Ａ課長から電子メールを送信する場合を例にする。
（４−１）送信先がＡ社員、Ｂ社員、Ｂ課長、Ａ部長の場合は送信可能。
（４−２）送信先がＸ社の場合は、Ａ部長を送信先に含める必要がある。
（４−３）送信先がＣ部長、Ｃ課長の場合は、Ａ部長、Ａ本部長、Ｂ本部長を送信先に含める必要がある。
（４−４）Ａ本部長とＢ本部長は、連絡不要設定を行うことにより、次回以降、送信先自動追加機能によるＡ課長からＣ部長、Ｃ課長宛の電子メールを受け取らなくなる。
（４−５）Ａ部長は、連絡不要設定を行うことにより、次回以降、送信先自動追加機能によるＡ課長からＣ部長、Ｃ課長への電子メールを受け取らなくなる。
【００３５】
また、図７において、Ａ社長から電子メールを送信する場合を例にすると、以下のようになる。
（５−１）送信先がＡ本部長、Ｂ本部長の場合は送信可能。
（５−２）送信先がＡ社員、Ａ課長の場合は、Ａ本部長、Ａ部長を送信先に含める必要がある。
【００３６】
図５に戻り、上記のドメインチェックがＮＧであれば、送信先情報付加部１１６で送信先自動追加を行う（ステップＳ２０４）。送信先自動追加は、電子メールの属性情報の修正、具体的には送信先の追加が必要と判断された場合に該当する送信先の情報をその電子メールの属性情報の一つとして自動的に追加設定する処理である。この処理により、個人が関係のない人間に機密情報を送信することを防止することができる。例えば、図７のような組織構造において、Ａ課長から送信先にＸ社しか指定していなかった場合は、以下のように、送信先の自動追加を行う。
【００３７】
追加前は ＦＲＯＭ：Ａ課長
ＴＯ ：Ｘ社
ポリシーチェック、ドメインチェックの結果により、Ａ部長がＢＣＣに追加される。
追加後 ＦＲＯＭ：Ａ課長
ＴＯ ：Ｘ社
BCC ：Ａ部長
【００３８】
Ａ社長から送信先にＡ社員、Ａ課長しか指定していなかった場合
追加前は ＦＲＯＭ：Ａ社長
ＴＯ ：Ａ社員、Ａ課長
ポリシーチェック、ドメインチェックの結果により、Ａ本部長、Ａ部長がＢＣＣに追加される。
追加後 ＦＲＯＭ：Ａ社長
ＴＯ ：Ａ社員、Ａ課長
BCC ：Ａ本部長、Ａ部長
【００３９】
ポリシーチェックがＯＫ、ドメインチェックがＯＫ、又は、送信先自動追加が終了すると、管理サーバは、機密性チェック部１１５で機密性チェックを行う（ステップＳ２０５）。管理サーバ１０における機密性チェックは、送信先と送信データの正当性をチェックし、誤送信及び機密情報送信を防止する処理である。具体的には以下の処理を行う。
【００４０】
（６−１）例えばシステムの設定等によって、電子メールの確認要のように設定されている場合、送信先の中で、送信者の直属の階層の最上位のポリシーレベルの者宛に、チェックメールファイル１６に格納されているコンテンツチェックメールを読み出して送信する。コンテンツチェックメールは、チェック対象となった電子メールを伴うコンテンツチェックの依頼を内容とするメールである。チェックの主体は、上記のポリシーレベルの者以外の専門家であっても良い。管理サーバ１０に配備される管理者又はコンテンツチェック者が確認できるように、電子メールの属性情報及びコンテンツ内容を提示させるようにしても良い。なお、電子メールの確認不要のように設定されている場合、以降のチェックにより結果的に確認要になっても、コンテンツチェックメールは送信しない。
機密性チェックの結果、コンテンツチェックが不要のときは、チェック結果、送信先メールアドレス、送信者メールアドレス、送信先証明書、機密レベル、監査用メールアドレス、監査用証明書をクライアントに送信する。
【００４１】
（６−２）送信先が送信履歴にない場合は、初めて送信する送信先と判定し、当該電子メールについて必ず管理者等によるチェックを行うために、上記の手動確認要のための提示を行う。
【００４２】
（６−３）送信先と機密レベルデータと一致しない場合は、上記の手動確認要のための提示を行う。機密レベルデータとが一致しない場合の例としては、「社外秘」なのに社外のドメインが含まれている等が挙げられる。
【００４３】
（６−４）クライアントが行った初期チェックの結果、機密レベルが「不明」の場合にも上記の確認要とする。
【００４４】
なお、管理サーバにおいて、送信先チェックがＮＧだった場合、あるいは、機密性チェックの結果、コンテンツチェック要と判定した場合は、エラー情報を作成し（ステップＳ２０６）、コンテンツチェックメールをコンテンツチェック者に送信する（ステップＳ２０７）。コンテンツチェック者は、その結果をクライアントに送り、コンテンツチェックに使用させる。
【００４５】
以上のように、本実施形態の情報漏洩の防止システムでは、電子メールの送信元と送信先との間に、管理サーバ１０を設け、自ドメインのツリー状の階層構造、ポリシー情報、送信不可指定ドメイン名、同時送信可能ドメイン数等を管理サーバ１０でＤＢ形式で保持しておき、電子メールの送信可否のチェックに際して、（１）送信先チェック、すなわち、送信先のドメインが送信不可指定のドメインに含まれていないこと、送信先に指定したドメイン数が、同時送信可能ドメイン数以下であること、（２）ポリシーチェック、すなわち、同一階層の者のみが送信先であること、あるいは、送信先が自ドメインの階層構造に属していること、（３）ドメインチェック、すなわち、送信先の経路上に存在する者を必ず送信先に入れていること、経路上に存在しない人に電子メールを送る場合は、必ず自分の上長を送信先に含めていることを考慮するようにしたので、エンドユーザがシステムの運用ルールを意識する必要がなく、組織的に統一したセキュリティポリシーを徹底させることが可能になる。また、既存のシステム構成や設定に殆ど影響を与えずに、電子メールに対する情報漏洩防止が可能になる。特に、誤送信や悪意に基づく情報漏洩の防止を図ることができる。
【００４６】
なお、本発明は、上記の実施形態の構成に限定されるものではなく、種々の構成上の変更も可能である。例えば、本実施形態では、送信元端末Ａ３０であるクライアントとプロキシサーバＰＸ１とを分離した場合の例を示したが、プロキシサーバＰＸ１の機能をクライアント側に集中させても良い。この場合、プロキシサーバＰＸ１は不要となる。
また、送信元端末Ａ３０の機能を管理サーバ１０側に集中させ、送信元端末Ａ３０には、そのブラウザを通じて管理サーバ１０にアクセスするだけで、管理サーバ１０で図４に示した動作を行う用にすることもできる。
また、図３に示す各ＤＢ３２〜３５は、これらをクライアント側ではなく管理サーバ１０におき、管理サーバ１０にアクセスする際に利用する構成にすることにより、省くことができる。
【産業上の利用可能性】
【００４７】
本発明は、ＰＣにインストールするメーラとメールサーバにおいて利用することができる。
【図面の簡単な説明】
【００４８】
【図１】本発明の実施の一形態となる情報漏洩の防止システムの全体図。
【図２】管理サーバの機能ブロック構成図。
【図３】通信端末であるクライアントの機能ブロック構成図。
【図４】クライアントにおける情報漏洩防止のための処理手順図。
【図５】管理サーバにおける情報漏洩防止のための処理手順図。
【図６】セキュリティポリシーレベルの説明図。
【図７】本実施形態のシステムを採用する組織上の関係の説明図。
【符号の説明】
【００４９】
１０ 管理サーバ
１１２ 送信先チェック部
１１３ ポリシーチェック部
１１４ ドメインチェック部
１１５ 機密性チェック部
１１６ 送信先情報付加部
１２ アドレスＤＢ
１３ ポリシーＤＢ
１４ ドメインＤＢ
１５ エラー情報ファイル
１６ チェックメールファイル
２０，３０ 送信元端末（通信端末）
４０，５０ 送信先端末（通信端末）
ＭＬ１，ＭＬ２ メールサーバ
ＰＸ１ プロキシサーバ
Ｌ ネットワーク
【技術分野】
【０００１】
本発明は、電子メールのセキュリティ対策技術に関する。特に、誤送信を含む情報漏洩を効果的に防止する情報漏洩の防止システム及びその関連技術に関する。
【背景技術】
【０００２】
電子メールの受け渡しは、今や、ビジネスに欠かせないものになっている。しかし、電子メールには、ネットワーク上やサーバ上での盗聴、改竄による、情報漏洩の脅威が存在する。情報漏洩は、また、宛先誤りの誤送信、悪意の者によるなりすまし等によっても生じる。このような脅威に対する情報漏洩防止対策として、電子メールの暗号化が行われている。暗号化には、例えば、ＰＧＰ(Pretty Good Privacy)、Ｓ／ＭＩＭＥ（Secure MIME）が利用されている。コンテンツフィルタリングによる送受信メールの内容チェックによって、情報が漏洩されたかどうかを知るという手法もある。
特許出願されている先行技術としては、例えば以下のようなものがある。
【０００３】
【特許文献１】特開２００５−９２５２５
【特許文献２】特開２００４−３０２６９３
【特許文献３】特開２００３−１５７２１６
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、上述した情報漏洩対策は、現状では浸透していない。これは、以下の理由による。
（１）ＰＧＰやＳ／ＭＩＭＥの運用は、エンドユーザへの運用の徹底が難しい。
（２）エンドユーザが暗号化を行うと、監査用に記録しても解読できない場合がある。
（３）コンテンツフィルタリングは、メール内のキーワード一致等による検査のため、精度に限界がある。
（４）コンテンツフィルタリングによる機械的なチェックでは、悪意をもって操作された場合のチェックが不可能になる。
（５）先行する特許出願に開示された内容では、誤送信による機密情報漏洩には対応できない。
本発明は、このような問題点を解消する電子メールによる情報漏洩の防止システム、方法、及びコンピュータプログラムを提供することを主たる課題とする。
【課題を解決するための手段】
【０００５】
本発明の情報漏洩の防止システムは、電子メールの送信の制約条件を定めた条件情報を保持する条件情報保持手段と、送信予定の電子メールについて当該電子メールの送信元及び送信先の情報を含む属性情報を当該電子メールの送信前に取得する属性情報取得手段と、この属性情報取得手段で取得した属性情報と前記条件情報保持手段に保持されている条件情報とを比較することにより、前記送信予定の電子メールが前記制約条件に適合するかどうかを判定し、適合する場合は適合証明を出力し、他方、適合しない場合は電子メールの送信を制限させるための制限情報を出力する判定手段と、この判定手段により出力された適合証明又は制限情報を当該電子メールを送信しようとする端末へ伝達する情報伝達手段と、を備えて成る。
【０００６】
前記条件情報保持手段は、例えば、メール送信が許容される正当な送信先のアドレスの一致性と、送信元と送信先との間でメールの受け渡しが許容されるセキュリティポリシーの関係又は組織上のつながりの一致性を制約条件とする条件情報を保持しており、前記判定手段は、前記取得した属性情報に、正当な送信先のアドレスが含まれており、かつ、前記関係又はつながりが記述されているときに前記適合証明を出力し、それ以外は前記制限情報を出力する。前記制約条件に適合しない電子メールの属性情報を適合するものに修正して前記端末へ伝達する属性情報修正手段をさらに備えたものとすることができる。また、前記修正を制限する修正制限手段をさらに備えたものにしても良い。
電子メールの暗号化モジュールを備えたものとし、前記条件情報保持手段が、電子メールをその送信先で解読可能な形式で暗号化することを制約条件とする条件情報を保持し、前記属性情報修正手段が、前記制約条件に適合しないことが暗号化メールでないときに前記暗号化モジュールで当該電子メールを暗号化して前記端末へ伝達するような運用形態も可能である。
【０００７】
本発明は、また、上記の情報漏洩の防止システムでの実施に適した通信端末を提供する。この通信端末は、電子メールの送信の制約条件を定めた所定の条件情報とチェック対象となる電子メールの送信元及び送信先の情報を含む属性情報との比較により当該対象となる電子メールが前記条件情報と適合することを表す適合証明又は適合しないことを表す制限情報を出力する管理サーバと接続可能な通信端末であって、送信予定の電子メールの属性情報を前記管理サーバへ送信するとともに前記管理サーバから前記適合証明又は制限情報を受信する事前チェック手段と、前記適合証明を受信したときは前記送信予定の電子メールの送信準備を行い、他方、前記制限情報を受信したときは当該電子メールの送信を制限する制御手段とを備えたものである。この通信端末において、前記適合証明を受信した電子メールに含まれるコンテンツと予め所定のメモリ領域に保持されている送信制約情報とを比較し、前記コンテンツに前記送信制約情報が含まれるときに当該電子メールの送信を制限する機密性チェック手段をさらに備えるようにしても良い。
【０００８】
本発明は、また、通信端末と管理サーバとを含む情報漏洩防止システムにより実行される、電子メールによる情報漏洩の防止方法を提供する。この方法は、前記通信端末が、送信予定の電子メールの機密レベルを表す機密レベルデータの取得を含む初期チェックを行い、良好であれば、取得した機密レベルデータと電子メールの送信元及び送信先の情報を含む属性情報を伴うチェック要求を前記管理サーバに送信する段階と、前記管理サーバが、前記属性情報と、電子メールの送信の制約条件を定めた条件情報とを比較することにより前記送信予定の電子メールの送信先が正当か否かをチェックし、正当であれば、前記機密レベルデータに基づく秘密漏洩防止のための機密性チェックを行い、正当であれば、適合証明を出力し、他方、適合しない場合は電子メールの送信を制限させるための制限情報を前記通信端末へ伝達する段階と、前記通信端末が、前記適合証明を受信したときは前記送信予定の電子メールの送信準備を行い、他方、前記制限情報を受信したときは当該電子メールの送信を制限する段階とを有することを特徴とする方法である。
【０００９】
本発明は、また、コンピュータを上記の防止システムとして機能させるための第１のコンピュータプログラムと、コンピュータを上記の通信端末として機能させるための第２のコンピュータプログラムを提供する。
第１のコンピュータプログラムは、コンピュータを、電子メールの送信の制約条件を定めた条件情報を保持する条件情報保持手段、送信予定の電子メールについて当該電子メールの送信元及び送信先の情報を含む属性情報を当該電子メールの送信前に取得する属性情報取得手段、この属性情報取得手段で取得した属性情報と前記条件情報保持手段に保持されている条件情報とを比較することにより、前記送信予定の電子メールが前記制約条件に適合するかどうかを判定し、適合する場合は適合証明を出力し、他方、適合しない場合は電子メールの送信を制限させるための制限情報を出力する判定手段、及び、この判定手段により出力された適合証明又は制限情報を当該電子メールを送信しようとする端末へ伝達する情報伝達手段、として機能させるためのコンピュータプログラムである。
【００１０】
第２のコンピュータプログラムは、通信機能付きのコンピュータを、電子メールの送信の制約条件を定めた所定の条件情報とチェック対象となる電子メールの送信元及び送信先の情報を含む属性情報との比較により当該対象となる電子メールが前記条件情報と適合することを表す適合証明又は適合しないことを表す制限情報を出力する管理サーバと接続可能な通信端末として動作させるためのコンピュータプログラムであって、前記コンピュータを、送信予定の電子メールの属性情報を前記管理サーバへ送信するとともに前記管理サーバから前記適合証明又は制限情報を受信する事前チェック手段、及び、前記適合証明を受信したときは前記送信予定の電子メールの送信準備を行い、他方、前記制限情報を受信したときは当該電子メールの送信を制限する制御手段として機能させるコンピュータプログラムである。
【発明の効果】
【００１１】
本発明によれば、送信元端末を操作するエンドユーザがシステムの運用ルールを意識する必要がなく、組織的に統一したセキュリティポリシーを徹底させることができ、既存のシステム構成や設定に殆ど影響を与えずに、電子メールに対する情報漏洩防止が可能になる。特に、誤送信や悪意に基づく情報漏洩の防止を図ることができる。
【発明を実施するための最良の形態】
【００１２】
［全体図］
図１は、本発明の実施の一形態となる情報漏洩の防止システムの全体図である。
この実施形態の防止システムは、管理サーバ１０を主たる構成要素として含んでいる。
この管理サーバ１０は、電子メールの通信端末である送信元端末Ａ３０と接続可能になっている。図示の例では、送信元端末Ｂ２０は、平文の電子メールを送信する通信端末である。他方、送信元端末Ａ３０は、前述のS/MIMEの暗号メールを送信する。各暗号メールには、それぞれ当該メールの送信元（ドメイン、アドレス）、送信先（ドメイン、アドレス）、その他当該メールを受信した側で、メールの内容とか性質を理解できるようにするための属性情報がヘッダとして含まれる。
【００１３】
これらの送信元端末２０，３０から送信される電子メールは、メールサーバＭＬ１、プロキシサーバＰＸ１に到達する。プロキシサーバＰＸ１は、管理サーバ１０から出力される適合証明又は制限情報をもとに、入力された電子メールの通過を一部制限させる。図示の例では、送信元端末Ｂ２０から送信される平文の電子メールについては、パスワード付の暗号メールに変換して通過させる。
【００１４】
また、事前にチェックを行った送信元端末Ａ３０からのS/MIMEの暗号メールは、そのまま通過させる。これらの暗号メールは、ネットワークＬ、メールサーバＭＬ２を介して送信先端末Ｂ４０，送信先端末Ａ５０に伝達される。パスワード付暗号メールは、送信先端末Ｂ４０に到達し、S/MIMEの暗号メールは、送信先端末Ａ５０に到達する。
【００１５】
管理サーバ１０は、サーバ機能を有するコンピュータであり、プロセッサ部と外部記憶装置とを備えている。外部記憶装置には、情報漏洩防止用の所定のコンピュータプログラムが格納されており、コンピュータのプロセッサ部がこのコンピュータプログラムを読み込んで実行することにより、図２に例示される機能を当該コンピュータに形成する。
【００１６】
すなわち、管理サーバ１０は、プロセッサ部１１内に、送信元端末Ａ３０やメールサーバＭＬ１との通信を制御する送受信制御部１１１、送信先が正当化どうかをチェックする送信先チェック部１１２、送信先のポリシー情報が正当かどうかをチェックするポリシーチェック部１１３、送信先のドメインが正当化どうかをチェックするドメインチェック部１１４、電子メールのコンテンツ等の機密性をチェックするとともに、必要に応じて監査用証明書や監査用送信先を生成する機密性チェック部１１５、送信先情報を電子メールの属性情報に付加する送信先情報付加部１１６の機能を形成する。上記の各チェックは、電子メールの送信の制約条件を表す条件情報とチェック対象となる電子メールの属性情報との比較を行うことにより行われる。
【００１７】
また、外部記憶装置に、所定の監査機関に備えられる端末のアドレスや、送信先及び送信元のユーザの関係をメールアドレスのつながりとして記録したアドレスＤＢ（ＤＢはデータベースの略、以下同じ）１２と、セキュリティポリシーのレベルを記録したポリシー情報ＤＢ１３、ユーザが所属する組織上の関係及び電子メールの経路を記録したドメインＤＢ１４、エラー情報を記録したエラー情報ＤＢ１５及び後述するチェックメールを格納したチェックメールファイル１６を形成する。プロセッサ部１１におけるこれらの機能ブロックは、バスＢ１１を介して各ＤＢ１２〜１４、ファイル１５，１６に接続される。各ＤＢ１２〜１４に格納される情報が上記の条件情報の一例となるものである。
【００１８】
送信元端末Ａ３０は、通信機能を有するコンピュータであり、外部記憶装置を備えている。外部記憶装置には、通信端末用の所定のコンピュータプログラムが格納されており、コンピュータのプロセッサ部がこのコンピュータプログラムを読み込んで実行することにより、図３に例示される機能を当該コンピュータに形成する。すなわち、送信元端末Ａ３０は、プロセッサ部３１内に、管理サーバ１０やメールサーバＭＬ１との通信を制御する送受信制御部３１１、初期チェックを行う初期チェック部３１２、電子メールのコンテンツを含む実体面のチェックを行うコンテンツ等チェック部３１３、S/MIME等の暗号化・復号化部３１４、送信元端末Ａ３０を操作するユーザへのメッセージを生成したり、所定の監査機関宛のメッセージを生成して送信させるメッセージ処理部３１５、及び、端末内の動作を統括的に制御する主制御部３１６の機能を形成する。
また、外部記憶装置に、管理サーバ１０が備えるものと同じ構造のアドレスＤＢ３２、ポリシーＤＢ３３、ドメインＤＢ３４、及び暗号化・復号化部３１４が使用する鍵を記録した鍵ＤＢ３５を形成する。プロセッサ部３１におけるこれらの機能ブロックは、バスＢ１２を介して各ＤＢ３２〜３５に接続される。
【００１９】
次に、本実施形態の情報漏洩の防止システムの動作例を説明する。以後の説明では、送信元端末Ｂ３０を「クライアント」と称する。
【００２０】
［処理概要］
図４は、電子メールを送信しようとするクライアントの処理手順図である。
クライアントは、メール送信イベントが発生すると、初期チェック部３１２で初期チェックを行う（ステップＳ１０１）。初期チェックは、クライアント側で、管理サーバ１０に問い合わせる前に可能なチェックを行う処理である。ここでは、チェック可能なものとして、送信内容を確認できるかどうか、Subject又は本文中に機密レベルを表すキーワードが存在するかどうかとする。送信内容が確認できれば正当（ＯＫ）、それ以外は不当（ＮＧ）とする。例えば、送信しようとする電子メールが、操作者によって既に暗号化されている場合は、送信内容を確認できないため、ＮＧとする。機密レベルを表すキーワードは、例えば、「秘密」、「社外秘」等である。このようなキーワードが存在する場合は、これを機密レベルデータとしてメモリ領域に保存する。機密レベルを表すキーワードを見つけることができなかった場合は、機密レベルを「不明」とする。
【００２１】
初期チェックの結果、正当であれば、主制御部３１６が、チェック要求を管理サーバ１０に送信する（ステップＳ１０２）。チェック要求には、対象となる送信先メールアドレス、送信元メールアドレス、機密レベルデータを含む属性情報を伴う。
【００２２】
クライアント（主制御部３１６）は、チェック要求後は、チェック結果を受け取るまで待機する（ステップＳ１０３）。受け取るべきチェック結果は、適合証明、制限情報、監査用証明書や監査用送信先の情報等である。適合証明は、当該電子メールが正当に送信先端末へ送信できることを証明する情報であり、制限情報は、当該電子メールの送信を何らかの形で制限することを表す情報である。最も厳しい制限は、電子メールの送信禁止である。なお、形式的には適合証明であっても、電子メールのコンテンツの内容に疑義があるときは、「要確認」のような情報が付加される。
【００２３】
クライアント（主制御部３１６）は、このようなチェック結果を受信すると（ステップＳ１０４）、チェック結果が良好かどうかを判定する（ステップＳ１０５）。良好のときはコンテンツ等チェック部３１３で、コンテンツチェックを行う（ステップＳ１０６）。コンテンツチェックは、具体的には、送信しようとする電子メールの機密レベルの判定、電子証明書の添付の有無の判定、個人情報かどうかの判定等である。機密レベルは、上記のメモリ領域に記録された機密レベルデータを用いる。
【００２４】
機密レベルが相対的に高いと判定したときは（ステップＳ１０６：高）電子証明書の有無を判定する（ステップＳ１０７）。電子証明書があるときは、暗号化・復号化部３１４を起動して鍵ＤＢ３５に記録された鍵を用いてＳ／ＭＩＭＥによる暗号メール（電子署名付）を作成する（ステップＳ１０８）。そして、メッセージ処理部３１５を起動して、監査用メッセージを生成し、これを所定の監査機関に送信する（ステップＳ１１３）。監査用メッセージは、監査用に電子メールを監査用証明書でＳ／ＭＩＭＥで暗号化し、監査用の送信先に送信させる。監査用証明書や監査用送信先は、管理サーバのチェック結果に含まれている。
【００２５】
ステップＳ１０７において電子証明書が無いときは、パスワードによる暗号メール（電子署名付）を作成し（ステップＳ１０９）、クライアントの操作者、つまり送信者にパスワード通知メールを作成し（ステップＳ１１２）、上述した監査用メッセージの生成・送信を行わせた後（ステップＳ１１３）、メール送信する（ステップＳ１１４）。
【００２６】
ステップＳ１０６におけるコンテンツチェックの結果、機密レベルが低いと判定したときは（ステップＳ１０６：低）、平文（電子署名付）のまま監査用メッセージの生成・送信を行わせた後（ステップＳ１１３）、メール送信する（ステップＳ１１４）。
【００２７】
ステップＳ１０１の初期チェックの結果、ＮＧであった場合は、送信者に送信不可の情報を伝達して（ステップＳ１１１）処理を終える。送信不可の情報は、自己宛のメール送信でそれを行っても良く、図示しないディスプレイ等への表示であっても良い。
【００２８】
なお、管理サーバ１０から受信したチェック結果が良好であるが、「要確認」の情報が含まれていた場合、クライアントのコンテンツ等チェック部３１３は、確認処理を実行する。確認処理は、例えば公知のチェック用Webサービスにアクセスして、自己の電子メールの内容をチェックし、個人情報の可能性の有無、暗号化要否、送信可否等を確認する処理である。個人情報の確認の有無は、電子メールの内容に、例えば、「東京都」、「大阪府」その他の個人で使用するような情報などが含まれているかどうかをキーワードチェックにより判定する。個人で使用する情報が発見されたときに、エラーを出力する。この確認処理は、システムの設定により、強制的に実施することもできる。この確認処理により、ネットワーク上に流通する電子メールの機密性を保護することが可能になる。
【００２９】
上記のクライアントと連携して情報漏洩の防止を図る管理サーバ１０は、図５に例示される手順で、制約条件に基づくチェック動作を行う。
すなわち、管理サーバ１０は、クライアントからチェック要求を受信すると、送信先チェック部１１１で送信先チェックを行う（ステップＳ２０１）。送信先チェックは、誤送信及び機密情報送信を防止するためのもので、制約条件の一例となるアドレスＤＢ１２に記録されている送信先アドレス及びドメインＤＢ１４に記録されているドメインと、チェック対象となる電子メールの照合を行う。そして、例えば送信先のドメインが送信不可指定のドメインの場合は、エラーとする。また、送信先に、別途指定した同時送信可能ドメイン数以上のドメインが存在する場合は、メーリングリスト等のメールアドレス漏洩防止のため、エラーとする。
【００３０】
以上のような送信先チェックの結果、正当（ＯＫ）であれば、ポリシーチェック部１１３でポリシーチェックを行う（ステップＳ２０２）。ポリシーチェックは、具体的には、ポリシーＤＢ３３に記録されている送信者（ＦＲＯＭ）と送信先（ＴＯ）のセキュリティポリシーのレベルチェックにより、同一ドメイン内における宛先の正当性をチェックし、誤送信を防止する。このセキュリティポリシーのレベルもまた、制約条件の一つとなる。
【００３１】
本例では、送信先のセキュリティポリシーのレベルがすべて同一の場合は、送信可能にする。例えば、図６のような階層構造の組織で、Ａ課長から電子メールを送信する場合を例にすると、以下のようになる。
（１−１）送信先がＡ社員、Ｂ社員の場合は送信可能。
（１−２）送信先がＡ本部長、Ｂ本部長の場合は送信可能。
（１−３）送信先がＸ社の場合は、ポリシー範囲外なのでエラー。
（１−４）送信先がＣ部長、Ｃ課長の場合はエラー。
【００３２】
また、図６においてＡ社長から電子メールを送信する場合を例にすると、以下のようになる。
（２−１）送信先がＡ社員、Ｂ社員、Ｃ社員、Ｄ社員であれば、送信可能。
（２−２）送信先がＡ社員、Ａ課長の場合は、ポリシーが違うのでエラー。
【００３３】
上記のポリシーチェックがＮＧのとき、つまりエラーのときは、ドメインチェック部１１４でドメインチェックを行う（ステップＳ２０３）。ドメインチェックは、制約条件の一例となるドメインＤＢ３４に記録されている送信者（ＦＲＯＭ）と送信先（ＴＯ）の組織上の関係により、宛先の正当性をチェックし、誤送信及び外部への機密情報漏洩を防止する処理である。例えば、以下のチェックを行う。
（３−１）送信者は送信先の経路上に存在する人を必ず送信先に入れなければならない。
（３−２）経路上に存在しない人に電子メールを送る場合は、必ず自分の上長を送信先に含めなければならない。
但し、一度送信した電子メールについては、送信先の中で最上位のセキュリティポリシーをもつ人は、同一送信先の電子メールについては、次回以降、連絡不要と設定することにより、次回以降は、宛先として追加されないようにすることができる。
【００３４】
例えば図７の組織構造において、Ａ課長から電子メールを送信する場合を例にする。
（４−１）送信先がＡ社員、Ｂ社員、Ｂ課長、Ａ部長の場合は送信可能。
（４−２）送信先がＸ社の場合は、Ａ部長を送信先に含める必要がある。
（４−３）送信先がＣ部長、Ｃ課長の場合は、Ａ部長、Ａ本部長、Ｂ本部長を送信先に含める必要がある。
（４−４）Ａ本部長とＢ本部長は、連絡不要設定を行うことにより、次回以降、送信先自動追加機能によるＡ課長からＣ部長、Ｃ課長宛の電子メールを受け取らなくなる。
（４−５）Ａ部長は、連絡不要設定を行うことにより、次回以降、送信先自動追加機能によるＡ課長からＣ部長、Ｃ課長への電子メールを受け取らなくなる。
【００３５】
また、図７において、Ａ社長から電子メールを送信する場合を例にすると、以下のようになる。
（５−１）送信先がＡ本部長、Ｂ本部長の場合は送信可能。
（５−２）送信先がＡ社員、Ａ課長の場合は、Ａ本部長、Ａ部長を送信先に含める必要がある。
【００３６】
図５に戻り、上記のドメインチェックがＮＧであれば、送信先情報付加部１１６で送信先自動追加を行う（ステップＳ２０４）。送信先自動追加は、電子メールの属性情報の修正、具体的には送信先の追加が必要と判断された場合に該当する送信先の情報をその電子メールの属性情報の一つとして自動的に追加設定する処理である。この処理により、個人が関係のない人間に機密情報を送信することを防止することができる。例えば、図７のような組織構造において、Ａ課長から送信先にＸ社しか指定していなかった場合は、以下のように、送信先の自動追加を行う。
【００３７】
追加前は ＦＲＯＭ：Ａ課長
ＴＯ ：Ｘ社
ポリシーチェック、ドメインチェックの結果により、Ａ部長がＢＣＣに追加される。
追加後 ＦＲＯＭ：Ａ課長
ＴＯ ：Ｘ社
BCC ：Ａ部長
【００３８】
Ａ社長から送信先にＡ社員、Ａ課長しか指定していなかった場合
追加前は ＦＲＯＭ：Ａ社長
ＴＯ ：Ａ社員、Ａ課長
ポリシーチェック、ドメインチェックの結果により、Ａ本部長、Ａ部長がＢＣＣに追加される。
追加後 ＦＲＯＭ：Ａ社長
ＴＯ ：Ａ社員、Ａ課長
BCC ：Ａ本部長、Ａ部長
【００３９】
ポリシーチェックがＯＫ、ドメインチェックがＯＫ、又は、送信先自動追加が終了すると、管理サーバは、機密性チェック部１１５で機密性チェックを行う（ステップＳ２０５）。管理サーバ１０における機密性チェックは、送信先と送信データの正当性をチェックし、誤送信及び機密情報送信を防止する処理である。具体的には以下の処理を行う。
【００４０】
（６−１）例えばシステムの設定等によって、電子メールの確認要のように設定されている場合、送信先の中で、送信者の直属の階層の最上位のポリシーレベルの者宛に、チェックメールファイル１６に格納されているコンテンツチェックメールを読み出して送信する。コンテンツチェックメールは、チェック対象となった電子メールを伴うコンテンツチェックの依頼を内容とするメールである。チェックの主体は、上記のポリシーレベルの者以外の専門家であっても良い。管理サーバ１０に配備される管理者又はコンテンツチェック者が確認できるように、電子メールの属性情報及びコンテンツ内容を提示させるようにしても良い。なお、電子メールの確認不要のように設定されている場合、以降のチェックにより結果的に確認要になっても、コンテンツチェックメールは送信しない。
機密性チェックの結果、コンテンツチェックが不要のときは、チェック結果、送信先メールアドレス、送信者メールアドレス、送信先証明書、機密レベル、監査用メールアドレス、監査用証明書をクライアントに送信する。
【００４１】
（６−２）送信先が送信履歴にない場合は、初めて送信する送信先と判定し、当該電子メールについて必ず管理者等によるチェックを行うために、上記の手動確認要のための提示を行う。
【００４２】
（６−３）送信先と機密レベルデータと一致しない場合は、上記の手動確認要のための提示を行う。機密レベルデータとが一致しない場合の例としては、「社外秘」なのに社外のドメインが含まれている等が挙げられる。
【００４３】
（６−４）クライアントが行った初期チェックの結果、機密レベルが「不明」の場合にも上記の確認要とする。
【００４４】
なお、管理サーバにおいて、送信先チェックがＮＧだった場合、あるいは、機密性チェックの結果、コンテンツチェック要と判定した場合は、エラー情報を作成し（ステップＳ２０６）、コンテンツチェックメールをコンテンツチェック者に送信する（ステップＳ２０７）。コンテンツチェック者は、その結果をクライアントに送り、コンテンツチェックに使用させる。
【００４５】
以上のように、本実施形態の情報漏洩の防止システムでは、電子メールの送信元と送信先との間に、管理サーバ１０を設け、自ドメインのツリー状の階層構造、ポリシー情報、送信不可指定ドメイン名、同時送信可能ドメイン数等を管理サーバ１０でＤＢ形式で保持しておき、電子メールの送信可否のチェックに際して、（１）送信先チェック、すなわち、送信先のドメインが送信不可指定のドメインに含まれていないこと、送信先に指定したドメイン数が、同時送信可能ドメイン数以下であること、（２）ポリシーチェック、すなわち、同一階層の者のみが送信先であること、あるいは、送信先が自ドメインの階層構造に属していること、（３）ドメインチェック、すなわち、送信先の経路上に存在する者を必ず送信先に入れていること、経路上に存在しない人に電子メールを送る場合は、必ず自分の上長を送信先に含めていることを考慮するようにしたので、エンドユーザがシステムの運用ルールを意識する必要がなく、組織的に統一したセキュリティポリシーを徹底させることが可能になる。また、既存のシステム構成や設定に殆ど影響を与えずに、電子メールに対する情報漏洩防止が可能になる。特に、誤送信や悪意に基づく情報漏洩の防止を図ることができる。
【００４６】
なお、本発明は、上記の実施形態の構成に限定されるものではなく、種々の構成上の変更も可能である。例えば、本実施形態では、送信元端末Ａ３０であるクライアントとプロキシサーバＰＸ１とを分離した場合の例を示したが、プロキシサーバＰＸ１の機能をクライアント側に集中させても良い。この場合、プロキシサーバＰＸ１は不要となる。
また、送信元端末Ａ３０の機能を管理サーバ１０側に集中させ、送信元端末Ａ３０には、そのブラウザを通じて管理サーバ１０にアクセスするだけで、管理サーバ１０で図４に示した動作を行う用にすることもできる。
また、図３に示す各ＤＢ３２〜３５は、これらをクライアント側ではなく管理サーバ１０におき、管理サーバ１０にアクセスする際に利用する構成にすることにより、省くことができる。
【産業上の利用可能性】
【００４７】
本発明は、ＰＣにインストールするメーラとメールサーバにおいて利用することができる。
【図面の簡単な説明】
【００４８】
【図１】本発明の実施の一形態となる情報漏洩の防止システムの全体図。
【図２】管理サーバの機能ブロック構成図。
【図３】通信端末であるクライアントの機能ブロック構成図。
【図４】クライアントにおける情報漏洩防止のための処理手順図。
【図５】管理サーバにおける情報漏洩防止のための処理手順図。
【図６】セキュリティポリシーレベルの説明図。
【図７】本実施形態のシステムを採用する組織上の関係の説明図。
【符号の説明】
【００４９】
１０ 管理サーバ
１１２ 送信先チェック部
１１３ ポリシーチェック部
１１４ ドメインチェック部
１１５ 機密性チェック部
１１６ 送信先情報付加部
１２ アドレスＤＢ
１３ ポリシーＤＢ
１４ ドメインＤＢ
１５ エラー情報ファイル
１６ チェックメールファイル
２０，３０ 送信元端末（通信端末）
４０，５０ 送信先端末（通信端末）
ＭＬ１，ＭＬ２ メールサーバ
ＰＸ１ プロキシサーバ
Ｌ ネットワーク
【特許請求の範囲】
【請求項１】
電子メールの送信の制約条件を定めた条件情報を保持する条件情報保持手段と、
送信予定の電子メールについて当該電子メールの送信元及び送信先の情報を含む属性情報を当該電子メールの送信前に取得する属性情報取得手段と、
この属性情報取得手段で取得した属性情報と前記条件情報保持手段に保持されている条件情報とを比較することにより、前記送信予定の電子メールが前記制約条件に適合するかどうかを判定し、適合する場合は適合証明を出力し、他方、適合しない場合は電子メールの送信を制限させるための制限情報を出力する判定手段と、
この判定手段により出力された適合証明又は制限情報を当該電子メールを送信しようとする端末へ伝達する情報伝達手段と、
を備えて成る、電子メールによる情報漏洩の防止システム。
【請求項２】
前記条件情報保持手段は、メール送信が許容される正当な送信先のアドレスの一致性と、送信元と送信先との間でメールの受け渡しが許容されるセキュリティポリシーの関係又は組織上のつながりの一致性を制約条件とする条件情報を保持しており、
前記判定手段は、前記取得した属性情報に、正当な送信先のアドレスが含まれており、かつ、前記関係又はつながりが記述されているときに前記適合証明を出力し、それ以外は前記制限情報を出力する、
請求項１記載の防止システム。
【請求項３】
前記制約条件に適合しない電子メールの属性情報を適合するものに修正して前記端末へ伝達する属性情報修正手段をさらに備えて成る、
請求項２記載の防止システム。
【請求項４】
前記修正を制限する修正制限手段をさらに備えて成る、
請求項３記載の防止システム。
【請求項５】
電子メールの暗号化モジュールを備えており、
前記条件情報保持手段は、電子メールをその送信先で解読可能な形式で暗号化することを制約条件とする条件情報を保持しており、
前記属性情報修正手段は、前記制約条件に適合しないことが暗号化メールでないときに前記暗号化モジュールで当該電子メールを暗号化して前記端末へ伝達する、
請求項３記載の防止システム。
【請求項６】
電子メールの送信の制約条件を定めた所定の条件情報とチェック対象となる電子メールの送信元及び送信先の情報を含む属性情報との比較により当該対象となる電子メールが前記条件情報と適合することを表す適合証明又は適合しないことを表す制限情報を出力する管理サーバと接続可能な通信端末であって、
送信予定の電子メールの属性情報を前記管理サーバへ送信するとともに前記管理サーバから前記適合証明又は制限情報を受信する事前チェック手段と、
前記適合証明を受信したときは前記送信予定の電子メールの送信準備を行い、他方、前記制限情報を受信したときは当該電子メールの送信を制限する制御手段とを備えて成る、
電子メールの通信端末。
【請求項７】
前記適合証明を受信した電子メールに含まれるコンテンツと予め所定のメモリ領域に保持されている送信制約情報とを比較し、前記コンテンツに前記送信制約情報が含まれるときに当該電子メールの送信を制限する機密性チェック手段をさらに備えてなる、
請求項６記載の通信端末。
【請求項８】
通信端末と管理サーバとを含む情報漏洩防止システムにより実行される方法であって、
前記通信端末が、送信予定の電子メールの機密レベルを表す機密レベルデータの取得を含む初期チェックを行い、良好であれば、取得した機密レベルデータと電子メールの送信元及び送信先の情報を含む属性情報を伴うチェック要求を前記管理サーバに送信する段階と、
前記管理サーバが、前記属性情報と、電子メールの送信の制約条件を定めた条件情報とを比較することにより前記送信予定の電子メールの送信先が正当か否かをチェックし、正当であれば、前記機密レベルデータに基づく秘密漏洩防止のための機密性チェックを行い、正当であれば、適合証明を出力し、他方、適合しない場合は電子メールの送信を制限させるための制限情報を前記通信端末へ伝達する段階と、
前記通信端末が、
前記適合証明を受信したときは前記送信予定の電子メールの送信準備を行い、他方、前記制限情報を受信したときは当該電子メールの送信を制限する段階とを有する、
電子メールによる情報漏洩の防止方法。
【請求項９】
コンピュータを、電子メールの送信の制約条件を定めた条件情報を保持する条件情報保持手段、送信予定の電子メールについて当該電子メールの送信元及び送信先の情報を含む属性情報を当該電子メールの送信前に取得する属性情報取得手段、この属性情報取得手段で取得した属性情報と前記条件情報保持手段に保持されている条件情報とを比較することにより、前記送信予定の電子メールが前記制約条件に適合するかどうかを判定し、適合する場合は適合証明を出力し、他方、適合しない場合は電子メールの送信を制限させるための制限情報を出力する判定手段、及び、この判定手段により出力された適合証明又は制限情報を当該電子メールを送信しようとする端末へ伝達する情報伝達手段、として機能させるためのコンピュータプログラム。
【請求項１０】
通信機能付きのコンピュータを、電子メールの送信の制約条件を定めた所定の条件情報とチェック対象となる電子メールの送信元及び送信先の情報を含む属性情報との比較により当該対象となる電子メールが前記条件情報と適合することを表す適合証明又は適合しないことを表す制限情報を出力する管理サーバと接続可能な通信端末として動作させるためのコンピュータプログラムであって、
前記コンピュータを、送信予定の電子メールの属性情報を前記管理サーバへ送信するとともに前記管理サーバから前記適合証明又は制限情報を受信する事前チェック手段、及び、前記適合証明を受信したときは前記送信予定の電子メールの送信準備を行い、他方、前記制限情報を受信したときは当該電子メールの送信を制限する制御手段として機能させる、コンピュータプログラム。
【請求項１】
電子メールの送信の制約条件を定めた条件情報を保持する条件情報保持手段と、
送信予定の電子メールについて当該電子メールの送信元及び送信先の情報を含む属性情報を当該電子メールの送信前に取得する属性情報取得手段と、
この属性情報取得手段で取得した属性情報と前記条件情報保持手段に保持されている条件情報とを比較することにより、前記送信予定の電子メールが前記制約条件に適合するかどうかを判定し、適合する場合は適合証明を出力し、他方、適合しない場合は電子メールの送信を制限させるための制限情報を出力する判定手段と、
この判定手段により出力された適合証明又は制限情報を当該電子メールを送信しようとする端末へ伝達する情報伝達手段と、
を備えて成る、電子メールによる情報漏洩の防止システム。
【請求項２】
前記条件情報保持手段は、メール送信が許容される正当な送信先のアドレスの一致性と、送信元と送信先との間でメールの受け渡しが許容されるセキュリティポリシーの関係又は組織上のつながりの一致性を制約条件とする条件情報を保持しており、
前記判定手段は、前記取得した属性情報に、正当な送信先のアドレスが含まれており、かつ、前記関係又はつながりが記述されているときに前記適合証明を出力し、それ以外は前記制限情報を出力する、
請求項１記載の防止システム。
【請求項３】
前記制約条件に適合しない電子メールの属性情報を適合するものに修正して前記端末へ伝達する属性情報修正手段をさらに備えて成る、
請求項２記載の防止システム。
【請求項４】
前記修正を制限する修正制限手段をさらに備えて成る、
請求項３記載の防止システム。
【請求項５】
電子メールの暗号化モジュールを備えており、
前記条件情報保持手段は、電子メールをその送信先で解読可能な形式で暗号化することを制約条件とする条件情報を保持しており、
前記属性情報修正手段は、前記制約条件に適合しないことが暗号化メールでないときに前記暗号化モジュールで当該電子メールを暗号化して前記端末へ伝達する、
請求項３記載の防止システム。
【請求項６】
電子メールの送信の制約条件を定めた所定の条件情報とチェック対象となる電子メールの送信元及び送信先の情報を含む属性情報との比較により当該対象となる電子メールが前記条件情報と適合することを表す適合証明又は適合しないことを表す制限情報を出力する管理サーバと接続可能な通信端末であって、
送信予定の電子メールの属性情報を前記管理サーバへ送信するとともに前記管理サーバから前記適合証明又は制限情報を受信する事前チェック手段と、
前記適合証明を受信したときは前記送信予定の電子メールの送信準備を行い、他方、前記制限情報を受信したときは当該電子メールの送信を制限する制御手段とを備えて成る、
電子メールの通信端末。
【請求項７】
前記適合証明を受信した電子メールに含まれるコンテンツと予め所定のメモリ領域に保持されている送信制約情報とを比較し、前記コンテンツに前記送信制約情報が含まれるときに当該電子メールの送信を制限する機密性チェック手段をさらに備えてなる、
請求項６記載の通信端末。
【請求項８】
通信端末と管理サーバとを含む情報漏洩防止システムにより実行される方法であって、
前記通信端末が、送信予定の電子メールの機密レベルを表す機密レベルデータの取得を含む初期チェックを行い、良好であれば、取得した機密レベルデータと電子メールの送信元及び送信先の情報を含む属性情報を伴うチェック要求を前記管理サーバに送信する段階と、
前記管理サーバが、前記属性情報と、電子メールの送信の制約条件を定めた条件情報とを比較することにより前記送信予定の電子メールの送信先が正当か否かをチェックし、正当であれば、前記機密レベルデータに基づく秘密漏洩防止のための機密性チェックを行い、正当であれば、適合証明を出力し、他方、適合しない場合は電子メールの送信を制限させるための制限情報を前記通信端末へ伝達する段階と、
前記通信端末が、
前記適合証明を受信したときは前記送信予定の電子メールの送信準備を行い、他方、前記制限情報を受信したときは当該電子メールの送信を制限する段階とを有する、
電子メールによる情報漏洩の防止方法。
【請求項９】
コンピュータを、電子メールの送信の制約条件を定めた条件情報を保持する条件情報保持手段、送信予定の電子メールについて当該電子メールの送信元及び送信先の情報を含む属性情報を当該電子メールの送信前に取得する属性情報取得手段、この属性情報取得手段で取得した属性情報と前記条件情報保持手段に保持されている条件情報とを比較することにより、前記送信予定の電子メールが前記制約条件に適合するかどうかを判定し、適合する場合は適合証明を出力し、他方、適合しない場合は電子メールの送信を制限させるための制限情報を出力する判定手段、及び、この判定手段により出力された適合証明又は制限情報を当該電子メールを送信しようとする端末へ伝達する情報伝達手段、として機能させるためのコンピュータプログラム。
【請求項１０】
通信機能付きのコンピュータを、電子メールの送信の制約条件を定めた所定の条件情報とチェック対象となる電子メールの送信元及び送信先の情報を含む属性情報との比較により当該対象となる電子メールが前記条件情報と適合することを表す適合証明又は適合しないことを表す制限情報を出力する管理サーバと接続可能な通信端末として動作させるためのコンピュータプログラムであって、
前記コンピュータを、送信予定の電子メールの属性情報を前記管理サーバへ送信するとともに前記管理サーバから前記適合証明又は制限情報を受信する事前チェック手段、及び、前記適合証明を受信したときは前記送信予定の電子メールの送信準備を行い、他方、前記制限情報を受信したときは当該電子メールの送信を制限する制御手段として機能させる、コンピュータプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【公開番号】特開２００７−１０２３３４（Ｐ２００７−１０２３３４Ａ）
【公開日】平成１９年４月１９日（２００７．４．１９）
【国際特許分類】
【出願番号】特願２００５−２８８３７７（Ｐ２００５−２８８３７７）
【出願日】平成１７年９月３０日（２００５．９．３０）
【出願人】（０００１０２７２８）株式会社エヌ・ティ・ティ・データ (438)
【Ｆターム（参考）】
【公開日】平成１９年４月１９日（２００７．４．１９）
【国際特許分類】
【出願日】平成１７年９月３０日（２００５．９．３０）
【出願人】（０００１０２７２８）株式会社エヌ・ティ・ティ・データ (438)
【Ｆターム（参考）】
[ Back to top ]