(57)【要約】【課題】  従来技術では，ユーザがデータの保存を行う際の保存場所と保存方法が独立に決定されていたので，安全性が過剰になったり，不足したりする。このため，過剰な処理を行うことにより処理速度が低下したり，保存先がセキュアなデバイスに限られたりする場合がある。逆に特定の保存場所と保存方法の組み合わせでは脆弱性が存在する場合がある。【解決手段】  システム管理者が定めたセキュリティポリシに従った保存場所と保存方法を選択し，保存を行うデータ管理システムを提供する。保存対象データに重要度などの属性情報を付与し，属性情報に応じて，保存対象データの保存場所と保存方法の組み合わせを選択するためのセキュリティポリシを予めシステム管理者が設定し，データの保存を行う際には，保存場所の安全性と保存方法の安全性の両方に鑑みて，保存場所と保存方法を決定する。【選択図】図５
2010015476.tif 000002
【特許請求の範囲】
【請求項１】
保存対象データの保存処理を行う端末装置と，前記保存対象データを記憶する保存先デバイスと，を備えるデータ管理システムであって，
前記端末装置は，
保存場所と保存方法との組み合わせである保存環境に，前記保存対象データに書き込み処理を施した書き込み処理済みデータを保存した際の，安全性を示すセキュリティ値の算出に用いるセキュリティ値算出ポリシと，
前記保存対象データの属性情報に応じたセキュリティ値の下限を定めるセキュリティポリシと，を参照し，
前記保存対象データの属性情報と，前記保存先デバイスの使用/性能情報とに基づき，前記保存対象データに適用可能な保存環境の決定を行う保存環境決定部と，
決定された保存環境の保存方法に従い，前記保存対象データを書き込み処理済みデータに変換し，前記保存環境の保存場所である前記保存先デバイスへ，前記書き込み処理済みデータを保存する書き込み処理部と，を備え，
前記保存先デバイスは，
前記書き込み処理済データの保存処理を行うデータ保存部を備える
ことを特徴とするデータ管理システム。
【請求項２】
請求項１に記載のデータ管理システムであって，
前記端末装置の前記保存環境決定部は，
前記保存環境を決定する際に，複数の保存環境が抽出された場合には，保存環境を絞込むための保存環境絞り込みポリシを参照して，一つの前記保存環境を決定する
ことを特徴とするデータ管理システム。
【請求項３】
請求項１に記載のデータ管理システムであって，
前記保存先デバイスは，前記使用/性能情報を管理し，前記端末装置の前記保存環境決定部の要求に従い，前記使用/性能情報を送信する装置情報保管部を備える
ことを特徴とするデータ管理システム。
【請求項４】
請求項３に記載のデータ管理システムであって，
前記端末装置の保存環境決定部は，
当該端末装置の前記セキュリティポリシデータを参照し，前記端末装置の属性情報に対して，該保存対象データの保存が許可される保存環境のセキュリティ値の下限を求め，
前記保存先デバイスの装置情報保管部から受信した使用/性能情報と，前記端末装置の前記セキュリティ値算出ポリシデータと，を参照して，保存環境に対するセキュリティ値を求め，
前記下限以上のセキュリティ値を持つ保存環境を抽出し，
抽出された該保存環境へ保存するため，前記保存対象データから前記書き込み処理済みデータへの変換を前記書き込み処理部に指示し，
前記端末装置の書き込み処理部は，変換した前記書き込み処理済データの前記保存処理を行う
ことを特徴とするデータ管理システム。
【請求項５】
請求項１に記載のデータ管理システムであって，
前記保存対象データの属性情報は，属性の種別と，該種別に対する値と，の組み合わせを複数含む
ことを特徴とするデータ管理システム。
【請求項６】
請求項１に記載のデータ管理システムであって，
前記使用/性能情報は，当該保存先デバイスの性能の種別と，該種別に対する値と，の組み合わせを複数含む
ことを特徴とするデータ管理システム。
【請求項７】
請求項１に記載のデータ管理システムであって，
前記セキュリティポリシデータは，
重要度の値と，該重要度を持つ保存対象データが保存環境に要求するセキュリティ値と，の組み合わせを複数含み，
前記保存環境に要求するセキュリティ値は，該保存対象データの前記属性情報に含まれる重要度に対して，該保存対象データの保存を許可する前記保存環境のセキュリティ値の下限を定める
ことを特徴とするデータ管理システム。
【請求項８】
請求項２に記載のデータ管理システムであって，
前記保存環境絞込みポリシデータは，優先度の値と，該優先度に対応する絞り込み条件と，の組み合わせを複数含む
ことを特徴とするデータ管理システム。
【請求項９】
請求項１に記載のデータ管理システムであって，
前記セキュリティ値算出ポリシデータは，
前記保存先デバイスに付与された点数を示す情報と，保存方法に付与された点数を示す情報と，を含み，さらに，該保存先デバイスに付与された前記点数と，該保存方法に付与された前記点数と，から保存環境のセキュリティ値を算出するためのセキュリティ値算出方法と，を含む
ことを特徴とするデータ管理システム。
【請求項１０】
請求項１に記載のデータ管理システムであって，
前記セキュリティ値算出ポリシデータは，
前記保存先デバイスに付与された点数を示す情報を含み，さらに，該保存先デバイスの前記点数と保存方法名とから，保存環境のセキュリティ値を求めるためのセキュリティ値表を含む
ことを特徴とするデータ管理システム。
【請求項１１】
請求項１に記載のデータ管理システムであって，
前記セキュリティ値算出ポリシデータは，
前記保存先デバイス名と，保存方法名と，から保存環境のセキュリティ値を求めるためのセキュリティ値表を含む
ことを特徴とするデータ管理システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は，データの保存管理に関し，さらに詳しくは，管理者のセキュリティポリシに従ったデータ保存を行うためのシステムおよびその方法に関する。
【背景技術】
【０００２】
ファイルに予め属性情報を付与し，該ファイルを保存する際に，データ管理システムがファイルの属性情報を読み取り，属性情報に応じたフォルダに自動的に分類することによりファイル管理を効率よく行おうとする技術が知られている（例えば，特許文献１「要約」参照）。
【０００３】
またファイルを暗号化して保存する際に，ファイルの機密度に応じて暗号レベルを自動的に決定する技術が知られている（例えば，特許文献２「要約」参照）。
【０００４】
【特許文献１】特開平７−１２１４１３号公報
【特許文献２】特開平７−２９５８９２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
情報漏えいリスクを低減するためには，ユーザがデータの保存を行う際に，システム管理者が定めたセキュリティポリシに従った保存場所と保存方法を選択し，保存を行うことが望ましい。また，保存を行う際には，不必要な暗号化による処理の遅延を防止する，などのリソースの有効活用が望まれる。例えば，ＩＣカードなどのデバイスに保存を行う場合には，デバイスそのものが不正アクセスに対する耐性を備えセキュアであるため，さらなる安全性向上に寄与しない保存対象データへの暗号化処理を行う必要が無い場合がある。
【０００６】
上記特許文献１の技術では，保存先フォルダの選択を自動で行うデータ管理システムが開示されているが，ファイルの分類を行う際のユーザの負荷軽減と迅速確実なファイル分類を目的とするため，保存場所や保存方法の安全性を考慮した選択に関しては言及していない。また，特許文献２の技術では，安全性を考慮した保存方法の選択を自動的に行うデータ管理システムが開示されているが，保存場所に関しては言及していない。
【０００７】
さらに，上記特許文献１の技術において安全性を考慮した保存場所の分類を行い，特許文献２の技術を順番に適用した場合には，保存場所と保存方法が独立に決定されることになるので，例えば，重要度の高いデータを保存する際に，保存場所としてセキュアなデバイスが選択された後，さらに保存方法として高レベルな暗号化処理が行われる。よって，重要度の高いデータの保存先は，セキュアなデバイスのみとなり，保存場所が少数に限られる問題が生じるだけでなく，セキュアなデバイスに対して不必要な暗号化による保存処理の遅延問題が生じる。
【０００８】
さらにサイドチャネル攻撃などの特定の保存場所と特定の暗号化方法の組み合わせに対する攻撃が存在するが，保存場所と保存方法を独立に選択する上記組み合わせではそれを回避できない。
【０００９】
従って，保存場所と保存方法を独立に決定することにより生じるこれらの課題を解決する，より良い保存方法が望まれる。
【課題を解決するための手段】
【００１０】
本発明は，上記事情に鑑みてなされたものであり，保存場所と保存方法を組み合わせを保存環境と定め，保存環境の安全性を，保存場所と保存方法との組み合わせで定まるセキュリティ値で表す。その上で，本発明は，保存対象データの保存を行う際に，保存対象データの重要度を含む属性情報と，セキュリティ値と，を参照して，保存対象データに要求されるセキュリティ値を満たす保存環境（保存場所と保存方法）の決定を行い，決定した保存環境への保存を行うことにより，上記課題を解決する。
【００１１】
保存場所とは，例えば，ハードディスク，ＩＣカード，フラッシュメモリなどの保存先デバイスを指し，保存方法とは，例えば，暗号化して保存，平文のままで保存，などの保存時の暗号化処理の有無，暗号化時のアルゴリズム，などを指す。また，保存対象データの属性情報に応じたセキュリティ値の下限を定めるセキュリティポリシを予め定めておき，保存環境の決定を行う際に参照することが望ましい。
【００１２】
より具体的な本発明のデータ管理システムは，例えば，
保存対象データに重要度を含む属性情報を付与するための属性情報編集部と，
保存場所と保存方法との組み合わせである保存環境に，保存対象データに書き込み処理を施した書き込み処理済みデータを保存した際の，安全性を示すセキュリティ値の算出方法を定めるためのセキュリティ値算出ポリシデータ編集部と，
保存対象データの属性情報に応じたセキュリティ値の下限を定めるためのセキュリティポリシを定めるセキュリティポリシデータ編集部と，
さらに，保存場所と保存方法との組み合わせである保存環境に，前記保存対象データに書き込み処理を施した書き込み処理済みデータを保存した際の，安全性を示すセキュリティ値の算出に用いるセキュリティ値算出ポリシと，前記保存対象データの属性情報に応じたセキュリティ値の下限を定めるセキュリティポリシと，を参照し，保存対象データの属性情報と，保存先デバイスから取得する使用状況情報と性能情報（以下，使用/性能情報という）とに基づき，保存対象データに適用可能な保存環境の決定を行う保存環境決定部と，
決定された保存環境の保存方法に従い，保存対象データを書き込み処理済みデータに変換し，保存環境の保存場所である保存先デバイスへ，書き込み処理済みデータを保存する書き込み処理部と，を備えることを特徴とする。
【００１３】
さらに，本発明のデータ管理システムは，複数の保存環境が抽出された際に，該保存環境を１つに絞り込むための保存環境絞込みポリシデータ編集部を備え，保存環境決定部は，保存環境を決定する際に複数の保存環境が抽出された場合には，保存環境絞り込みポリシを参照して，一つの保存環境を決定してもよい。
【００１４】
さらに，本発明の一態様によれば，上記セキュリティポリシデータ編集部と，セキュリティ値算出ポリシデータ編集部と，保存環境絞込みポリシデータ編集部と，はシステム管理者に提供される。また，上記保存環境決定部と，書き込み処理部と，属性情報編集部は，保存対象データ作成者に提供される。
【００１５】
このような構成に対して，予め，システム管理者は，セキュリティ値算出ポリシデータの編集を行い，保存環境に対するセキュリティ値の算出方法を定める。また，システム管理者はセキュリティポリシデータの編集を行い，保存対象データの重要度に対する，保存が許可されるセキュリティ値の下限を定める。また，システム管理者は，保存環境絞込みポリシデータの編集を行い，保存対象データの保存環境が複数抽出された場合に，保存環境を１つに絞り込むための条件を定める。
【００１６】
次に，保存対象データ作成者は，保存対象データの重要度を含む属性情報の編集を行う。具体的には，保存対象データ作成者が保存対象データの保存処理を行う際に，本データ管理システムは，予め定められたセキュリティポリシデータに従い，保存対象データの重要度に応じて，保存が許可される保存環境のセキュリティ値の下限を求める。
【００１７】
また，本データ管理システムは，セキュリティ値算出ポリシデータに従い，保存環境に対するセキュリティ値を求める。次に，本データ管理システムは，セキュリティ値が，上記保存対象データについて求めたセキュリティ値の下限以上である保存環境の抽出を行い，該保存環境が示す保存方法に従って,保存対象データを書き込み処理済みデータに変換し，書き込み処理済みデータを保存環境が示す保存場所に保存する。複数個の保存環境が抽出された際に，保存環境絞込みポリシデータに従い，保存環境を１つに決定した上で，保存してもよい。
【００１８】
こうすることにより，保存対象データ作成者がデータを保存する際に，保存対象データの重要度に応じて，システム管理者が定めたセキュリティポリシに従い，保存を行うことが可能となる。
【００１９】
また，システム管理者が保存環境のセキュリティ値を定める際に，セキュアなデバイスと安全性向上に寄与しない暗号アルゴリズムの組み合わせに対しては，該デバイスに平文で保存する場合と同等以下のセキュリティ値を付与するか，もしくは，該デバイスに対するセキュリティ値の上限を該セキュリティ値に設定することにより，該デバイスに不必要な暗号化処理を施さずに保存が可能となる。このことにより，上記課題であるセキュアなデバイスに対する不必要な暗号化による保存処理の遅延問題を解決することができる。
【００２０】
また，システム管理者が保存環境のセキュリティ値を定める際に，セキュアでないデバイスと高レベルな暗号方法の組み合わせに対しては，セキュアなデバイスに保存する場合と同等のセキュリティ値を付与することにより，該セキュリティ値を持つ保存場所を増やすことが可能になる。このことにより，セキュリティ値の高い保存環境が増加し，上記課題である重要度の高いデータの保存可能場所が少数に限られる問題を解決することができる。
【００２１】
また，システム管理者が保存環境のセキュリティ値を定める際に，脆弱性が存在する特定のデバイスと特定の保存方法の組み合わせに対しては，低いセキュリティ値を付与することにより，重要度の高いデータを該保存環境に保存を行わせないことが可能となる。このことにより，上記課題であるサイドチャネル攻撃などの特定の保存先デバイスと特定の暗号化方法の組み合わせにおける脆弱性の問題を解決することができる。
【００２２】
なお，本発明における保存場所は，安全性に応じて区別されるものであるから，デバイス単位に分ける必要はない。一つのデバイスであっても安全性が異なる領域（セキュリティ値が異なる領域）に分けられる場合には，各領域を異なる保存場所として扱っても良い。
【発明の効果】
【００２３】
本発明によれば，保存対象データの重要度とシステム管理者が定めたセキュリティポリシとに基づいて，適切な保存場所と保存方法との組み合わせを選択し，保存を行うことが可能になる。
【発明を実施するための最良の形態】
【００２４】
以下，本発明の一実施形態について図面を参照して説明する。なお，これにより本発明が限定されるものではない。
【００２５】
本実施例では，保存場所とは，例えば，ハードディスク，ＩＣカード，フラッシュメモリなどの保存先デバイスを指し，保存方法とは，例えば，暗号化して保存，平文のままで保存，などの保存時の暗号化処理の有無，暗号化時のアルゴリズム，などを指す。
【００２６】
図１は，本発明の一実施形態が適用されたデータ管理システムの構成図である。
【００２７】
本実施形態のデータ管理システムは，図１に示すように，端末装置２０と，複数の記憶装置（以下，保存先デバイスという）１０１〜１０ｎ（以下，単に保存先デバイス１０とも称する）と，が，ＵＳＢケーブルやＬＡＮケーブルなどの信号線３０を介して，互いに接続されて構成されている。
【００２８】
端末装置２０は，保存対象データの保存指示を行うデータ保存命令部２０４と，保存対象データの一時記憶を行う保存対象データ一時記憶部２０６と，保存先と保存方法の組み合わせである保存環境に対するセキュリティポリシデータの保管を行うセキュリティポリシデータ保管部２０１と，保存環境に対するセキュリティ値を算出するためのセキュリティ値算出ポリシデータの保管を行うセキュリティ値算出ポリシデータ保管部２０３と，保存環境が複数抽出された際に，保存環境を一つに絞り込むための保存環境絞込みポリシデータの保管を行う保存環境絞込みポリシデータ保管部２０２と，セキュリティポリシデータに従って，保存対象データの属性情報に応じて，該保存対象データが，保存を許可される保存環境のセキュリティ値の下限を求め，セキュリティ値算出ポリシデータと保存環境絞込みポリシデータに従って，保存環境の決定を行う保存環境決定部２０５と，保存環境決定部によって決定された，保存環境に従って書き込み処理を行う書き込み処理部２０７と，保存先デバイス１０ｎと書き込み処理部において書き込み処理を行った書き込み処理済データの送受信を行うためのアクセス部２０８と，を含む。
【００２９】
保存先デバイス１０ｎは,自身の使用状況情報と性能情報の保管と，書き込み処理済みデータの保存を行う。保存先デバイス１０ｎは,端末装置２０から受信した書き込み処理済みデータの保存を行うデータ保存部１０１と，保存先デバイス１０ｎの使用/性能情報の保管を行う装置情報保管部１０２と，端末装置２０とデータの送受信を行うためのアクセス部１０３と，を含む。また，信号線３０を経由して，端末装置２０とつながる。
【００３０】
さらに，本実施形態のデータ管理システムは，図１には示していない管理者装置を備える。管理者装置は，セキュリティポリシデータを編集するセキュリティポリシデータ編集部と，セキュリティ値算出ポリシデータを編集するセキュリティ値算出ポリシデータ編集部と，保存環境絞込みポリシデータを編集する保存環境絞込みポリシデータ編集部と，保存先デバイスの使用情報の初期値や性能情報を設定する装置情報編集部と，備え，システム運用前，あるいは，運用中に，管理者が，ポリシや各種情報の設定や変更に用いる。
【００３１】
図２は，端末装置２０のハードウェア構成図である。端末装置２０は，ＣＰＵ２１と，入出力装置２２と，補助記憶装置２３と，通信装置２４と，主記憶装置２５と，読取装置２６と，がバスなどの内部信号線２８で連結されて構成されている。上述の管理者装置も同様のハードウェア構成で実現することができる。
【００３２】
図３は，保存対象データ一時記憶部２０６上の保存対象データに付与されている属性情報５００の例である。属性情報５００は，属性の種別５０１と，該種別に対する値５０２と，の複数の組み合わせを含んで構成される。図３では，属性の種別として，重要度５０１１とデータ容量５０１２と，を例示する。属性情報５００は，端末装置や管理者装置に属性情報編集部を持たせ，保存対象データ作成者や，システム管理者が属性情報編集部を利用して明示的に指定しても良いし，その他の保存対象データへのアクセス権限を持つユーザが指定しても良い。さらに端末装置２０が，保存対象データ作成時に，従来のデータ分類技術を用いて生成しても良い。
【００３３】
また、保存対象データを保存する際には，属性情報５００も保存対象データに関連付けた形で保存先デバイス１０ｎに保存し，保存先デバイス１０ｎから読み出し保存対象データを編集後，保存を行う際には，属性情報編集部を用いて新たに属性情報を付与しても良いし，再度属性情報５００を用いても良い。
【００３４】
図４は，装置情報保管部１０２上に保管されている使用/性能情報７００の例である。使用/性能情報は，使用状況や性能の種別７０１と，該種別に対する値７０２の複数の組み合わせを含んで構成される。図４では，性能の種別として，デバイス名７０１１と，空き容量７０１２と，アクセス速度７０１３と，を例示する。
【００３５】
図５は，セキュリティ値算出ポリシデータ保管部２０３上に保管されているセキュリティ値算出ポリシデータの第一の例８００である。セキュリティ値算出ポリシデータ第一の例８００は，保存先デバイス名８０１と，該保存先デバイス名に対応する点数８０２と，保存方法名８０３と，該保存方法に対応する点数８０４と，セキュリティ値算出方法８０５と，を含んで構成される。セキュリティ値算出ポリシデータ第一の例８００では，保存環境に対するセキュリティ値を，保存先デバイス名８０１に対する点数８０２と，保存方法名８０３に対する点数８０４の足し算によって算出した点数８０５１と定めている。
【００３６】
図６は，セキュリティ値算出ポリシデータ保管部２０３上に保管されているセキュリティ値算出ポリシデータ第二の例９００である。セキュリティ値算出ポリシデータ第二の例９００は，保存先デバイス名９０１と，該保存先デバイス名に対応する点数９０２と，セキュリティ値表９０３と，を含んで構成される。セキュリティ値表９０３は，保存方法名９０４と保存先デバイス名の点数９０５との，全ての組み合わせに対する点数表である。
【００３７】
図７は，セキュリティ値算出ポリシデータ保管部２０３上に保管されているセキュリティ値算出ポリシデータ第三の例１０００である。セキュリティ値算出ポリシデータ第三の例１０００は，セキュリティ値表１００３を含んで構成される。セキュリティ表１００３は，保存方法名１００１と，保存先デバイス名１００２との，全ての組み合わせに対する点数表である。また，セキュアＨＤＤに対するセキュリティ値１００４はデバイスが既にセキュアなため，暗号化による安全性の向上が望めない例として全て７点に統一している。また，外部記憶媒体付ＩＣカードと暗号アルゴリズムＢのセキュリティ値１００５は，該保存環境に対してサイドチャネル攻撃が存在し，脆弱である例として，２点と定めている。また，暗号アルゴリズムＣに対するセキュリティ値は該暗号アルゴリズムを用いた場合全てのデバイスの安全性は同等となる例として，全て７点に統一している。
【００３８】
図８は，セキュリティポリシデータ保管部２０１上に保管されているセキュリティポリシデータ６００の例である。セキュリティポリシデータ６００は，重要度の値６０１と，保存環境に要求するセキュリティ値６０２と，の複数の組み合わせを含んで構成される。保存環境に要求するセキュリティ値６０２は，保存対象データの属性情報５００に含まれる重要度５０１１に対して，該保存対象データが，保存を許可される保存環境のセキュリティ値の下限である。保存環境のセキュリティティ値は，図５，図６，図７で示す，セキュリティ値算出ポリシデータにより算出される。
【００３９】
図９は，保存環境絞込みポリシデータ保管部２０２上に保管されている保存環境絞込みポリシデータ１１００の例である。保存環境絞込みポリシデータ１１００は，優先度１１０１と，該優先度に対応する絞り込み条件１１０２と，の複数の組み合わせを含んで構成される。図９では，優先度１位１１０１１の条件として，保存先デバイスのアクセス速度１１０２１と，優先度２位１１０１２の条件として，保存先デバイスの空き容量１１０２２と，優先度３位１１０１３の条件として，暗号アルゴリズムによる書き込み遅延防止１１０２３と，を例示する。
【００４０】
次に，本実施形態のデータ管理システムの処理の流れについて説明する。端末装置２０の補助記憶装置２３に格納されたプログラムが主記憶装置２５にロードされ，ＣＰＵ２１により実行されることにより，データ管理システムを構成する端末装置２０上に以下説明する各処理部が具現化され，それら各処理部により，以下に述べる処理フローが実行される。また，各プログラムは予め補助記憶装置２３に格納されても良いし，他の記憶媒体または通信媒体（ネットワーク，またはネットワークを伝搬する搬送波またはディジタル信号）を介して，必要なときに他の装置から導入されても良い。
【００４１】
図１０，図１１は，端末装置２０が保存対象データの属性情報に対して，各種ポリシデータに従って保存環境の決定を行い，保存対象データに対して書き込み処理を行い，その後，保存先デバイス１０に処理済データの送信を行い，保存先デバイス１０が，受信した処理済データの保存を行うフローを説明する図である。以下，処理を説明する。
【００４２】
データ保存命令部２０４が保存処理開始を行う（ステップＳ３０１）。次に，保存環境決定部２０５に保存要求（Ａ４０１）を送信する。
【００４３】
保存環境決定部２０５は，属性情報要求（Ａ４０２）を保存対象データ一時記憶部２０６に送信し，保存対象データ一時記憶部２０６が属性情報（５００）を返信する。
【００４４】
保存環境決定部２０５は，セキュリティポリシデータ要求（Ａ４０４）をセキュリティポリシデータ保管部２０１に送信し，セキュリティポリシデータ保管部２０１がセキュリティポリシデータ（６００）を返信する。
【００４５】
保存環境決定部２０５は，使用/性能情報要求（Ａ４０６）を装置情報保管部１０２に送信し，装置情報保管部１０２が使用/性能情報（７００）を返信する。
【００４６】
保存環境決定部２０５は，セキュリティ値算出ポリシデータ要求（Ａ４０８）をセキュリティ値算出ポリシデータ保管部２０３に送信し，セキュリティ値算出ポリシデータ保管部２０３がセキュリティ値算出ポリシデータ（８００，９００，１０００）を保存環境決定部２０５に返信する。
【００４７】
保存環境決定部２０５は，保存環境絞込みポリシデータ要求（Ａ４１０）を保存環境絞込みポリシデータ保管部２０２に送信し，保存環境絞込みポリシデータ保管部２０２が保存環境絞り込みポリシデータ（１１００）を保存環境決定部２０５に返信する。
【００４８】
保存環境決定部２０５が，セキュリティポリシデータ（６００）に従って，属性情報（５００）に含まれる重要度の値（図３の５０２１）に対して，該保存対象データが，保存を許可される保存環境のセキュリティ値の下限（図８の６０２）を求め，使用/性能情報（７００）とセキュリティ値算出ポリシデータ（８００，９００，１０００）に従って，保存環境のセキュリティ値を求め，下限（図８の６０２）以上の保存環境を抽出する。（ステップＳ３０２）。
【００４９】
保存環境抽出の結果，抽出された保存環境の個数が０個の場合は，保存環境決定部２０５は，エラーメッセージを入出力装置２２に表示し，保存処理を終了する（ステップＳ３０３）。
【００５０】
保存環境抽出の結果，抽出された保存環境の個数が２個以上の場合は，保存環境決定部２０５は，保存環境絞込みポリシデータの優先度の順位に従って，保存環境を一つに絞り込み（ステップＳ３０４），その後の保存処理は，抽出された保存環境が１個の場合と同様とする。
【００５１】
保存環境抽出の結果，抽出された保存環境の個数が１個の場合は，保存環境決定部２０５は，書き込み指示（Ａ４１５）を書き込み処理部２０７に送信する。
【００５２】
書き込み処理部２０７が，保存対象データ要求（Ａ４１６）を保存対象データ一時記憶部２０６に送信し，保存対象データ一時記憶部２０６が，保存対象データ（Ａ４１７）を書き込み処理部２０７に返信する。
【００５３】
書き込み処理部２０７が，保存環境に対する書き込み処理を行い（ステップＳ３０５），書き込み処理済データ（Ａ４１８）をデータ保存部１０１に送信する。
【００５４】
データ保存部１０１が書き込み処理済データ（Ａ４１８）の保存処理（Ｓ３０６）を行い，保存完了通知（Ａ４１９）をデータ保存命令部２０４に送信する。
以上で保存対象データの保存処理を終了する。
【００５５】
なお，本発明は，上記の本実施形態に限定されるものではなく，その要旨の範囲内で様々な変形が可能である。
【００５６】
例えば，図１において，信号線３０は，有線に限定されず無線ＬＡＮを用いても良い。
【００５７】
さらに，図１において，使用/性能情報７００を保存先デバイス１０ｎ内の装置情報保管部１０２に保管しているが，端末装置２０に使用/性能情報７００を測定する機能を持たせ，使用/性能情報７００を使用する際に，逐次測定し，取得しても良い。また，使用/性能情報７００を測定する方法に関しては，実際に端末装置２０が保存先デバイス１０ｎにデータの書き込みを行い，アクセス速度や空き容量を測定するなどの従来技術を用いても良い。
【００５８】
さらに，図３において，属性情報の編集を許可されていないユーザに対しても，重要度の値を上げる操作のみ，例外的に許可しても良い。
【００５９】
また，図５，図６，図７において，保存先デバイスとして，ＵＳＢメモリ，内蔵ＨＤＤ，セキュアＨＤＤ，外部記憶媒体付ＩＣカードを例示しているが，外付ＨＤＤ，サーバ，フラッシュメモリ，ＩＣカード，暗号機能付記憶装置でも良い。さらにその他デバイスないしは，それら複数の組み合わせでも良い，また，その際には，保存対象データを分割してそれらのデバイスに保存を行っても良い。
【００６０】
また，保存処理されたデータを参照する際には，従来技術を用いることができる。
【００６１】
また，図５において，セキュリティ値の算出方法を足し算でなく掛け算やその他の演算としても良い。また，特定のデバイスに対してのみ，セキュリティ値の上限を定めても良い。
【００６２】
また，図６において，保存先デバイス名に点数を付与し，保存先デバイス名の点数と保存方法名でセキュリティ値表を構成しているが，逆に，保存方法名に点数を付与し，保存方法名の点数と保存先デバイス名でセキュリティ値表を構成しても良い。さらに，保存方法名と保存先デバイス名の両方に点数を付与し，保存方法名の点数と保存先デバイス名の点数でセキュリティ値表を構成しても良い。
【００６３】
また，図５，６，７において，各保存環境に応じて，使用するセキュリティ値算出方法や表を使い分けても良い。
【００６４】
また，図８において，保存対象データの重要度に応じて保存環境に要求するセキュリティ値の下限を指定しているが，セキュリティ値の下限ではなく，保存環境を直接指定しても良い。その場合には，保存対象データの属性情報と，セキュリティポリシデータと，から直接保存環境が決定される。
【００６５】
また，図１０，図１１において，保存環境決定部は，保存環境抽出前に保存環境絞込みポリシデータ要求を行っているが，保存環境抽出後に保存環境が複数抽出された場合にのみ保存環境絞込みポリシデータ要求を行っても良い。
【００６６】
さらに，図１０において，保存環境決定部は，属性情報を取得した後，セキュリティポリシデータ，使用/性能情報，セキュリティ値算出ポリシデータ，保存環境絞込みポリシデータの順番で該データの取得を行っているが，この順番は任意で良い。
【００６７】
さらに，図１０，図１１において，保存対象データ一時記憶部が保存対象データを書き込み指示部に送信しているが，保存環境決定部が，属性情報を保存対象データ一時記憶部から取得する際に，保存対象データを取得して，書き込み指示部に，書き込み指示を送信する際に，保存対象データを添付して送信しても良い。
【００６８】
さらに，図１１において，データ保存部は，完了通知をデータ保存命令部に送信しているが，その際に，実際に保存した，保存環境を通知しても良い。
【００６９】
さらに，図１１において，エラーメッセージを表示しているが，その際に，端末装置に，保存が許可されるセキュリティ値を与えるデバイスを接続するように促すメッセージを表示しても良い。
【００７０】
さらに，図１１ステップＳ３０４において，保存環境が複数抽出された場合には，保存環境の絞り込みを行っているが，抽出された保存環境を入出力装置２２に表示し，ユーザ自身が保存環境を選択しても良い。
【００７１】
さらに，図１１ステップＳ３０２において，保存環境の複数抽出を行わずに，保存環境決定部が最初に見つけたセキュリティ値が規定値を満たす保存環境に保存を行っても良い。
【００７２】
以上詳細に説明したように，本実施形態によれば，ユーザがデータを保存する際に，保存対象データの重要度と，システム管理者が定めたセキュリティポリシとに基づいて選択される保存方法と保存場所とに従い，安全に保存を行うことが可能となる。
【００７３】
上記実施形態によれば，システム管理者が保存環境のセキュリティ値を定める際に，セキュアなデバイスと安全性向上に寄与しない暗号方法の組み合わせに対しては，該デバイスと平文の組み合わせ以下のセキュリティ値を付与するか（図７の１００４参照），もしくは，該デバイスに対応するセキュリティ値の上限を該セキュリティ値にし，さらに，保存環境絞込みポリシデータに暗号アルゴリズムによる書き込み遅延防止を定めることにより（図９の１１０２３参照）該デバイスに不必要な暗号化処理を施さずに保存が可能となる。よって従来技術の課題であるセキュアなデバイスに対する不必要な暗号化による保存処理の遅延問題を解決することができる。
【００７４】
また，上記実施形態によれば，システム管理者が保存環境のセキュリティ値を定める際に，セキュアでないデバイスと高レベルな暗号アルゴリズムの組み合わせに対しては，セキュアなデバイスに保存した際と，同等のセキュリティ値を付与することにより，一定のセキュリティ値を持つ保存場所を増やすことが可能になる（図７の１００６参照）。よって従来技術の課題である重要度の高いデータの保存可能場所が少数に限られる問題を解決することができる。
【００７５】
また，上記実施形態によれば，システム管理者が保存環境のセキュリティ値を定める際に，脆弱性が存在する特定のデバイスと特定の保存方法の組み合わせに対しては，低いセキュリティ値を付与することにより（図７の１００５参照），重要度の高いデータを該保存環境に保存を行わないことが可能となる。このことにより，サイドチャネル攻撃等の問題を解決し，安全性を確保することができる。
【００７６】
保存場所とは，本実施例では，上述の通り，保存先デバイスを指すが，本質的にはセキュリティ値に与える影響に応じて区別されるものであるから，デバイス単位で指定する必要はない。具体的には，一つのデバイスであっても安全性が異なる領域（セキュリティ値が異なる領域）に分けられる場合（たとえば，耐タンパ性を備えるＩＣチップとフラッシュメモリチップとを搭載するデバイスを利用する場合や，一つのＨＤＤを暗号化パーティションと非暗号化パーティションに分ける場合）は，各領域を異なる保存場所として扱っても良い。
【図面の簡単な説明】
【００７７】
【図１】本発明の一実施形態が適用されたデータ管理システムの構成を例示する図である。
【図２】図１に示す端末装置のハードウェア構成を例示する図である。
【図３】保存対象データの持つ属性情報を例示する図である。
【図４】装置情報保管部内に保管されている使用/性能情報を例示する図である。
【図５】セキュリティ値算出ポリシデータ保管部内に保管されているセキュリティ値算出ポリシデータを例示する第一の図である。
【図６】セキュリティ値算出ポリシデータ保管部内に保管されているセキュリティ値算出ポリシデータを例示する第二の図である。
【図７】セキュリティ値算出ポリシデータ保管部内に保管されているセキュリティ値算出ポリシデータを例示する第三の図である。
【図８】セキュリティポリシデータ保管部内に保管されているセキュリティポリシデータを例示する図である。
【図９】保存環境絞込みポリシデータ保管部内に保管されている保存環境絞込みポリシデータを例示する図である。
【図１０】実施形態が適用されたデータ管理システムの処理の流れを例示する図である。
【図１１】実施形態が適用されたデータ管理システムの処理の流れを例示する図である。
【符号の説明】
【００７８】
１０：保存先デバイス，２０：端末装置，３０：信号線，１０１：データ保存部，１０２：装置情報保管部，１０３：アクセス部，２０１：セキュリティポリシデータ保管部，２０２：保存環境絞込みポリシデータ保管部，２０３：セキュリティ値算出ポリシデータ保管部，２０４：データ保存命令部，２０５：保存環境決定部，２０６：保存対象データ一時記憶部，２０７：書き込み処理部，２０８：アクセス部，２１：ＣＰＵ，２２：入出力装置，２３：補助記憶装置，２４：通信装置，２５：主記憶装置，２６：読取装置，２７：記憶媒体，２８：内部信号線，５００：属性情報，５０１：種別，５０２：値，５０１１：重要度，５０１２データ容量，５０２１：重要度の値「２」，５０２２：データ容量の値「１００ＭＢ」，５０１ｍ：その他種別，５０２ｍ：その他の種別の値，７００：使用/性能情報，７０１：種別，７０２：値，７０１１：デバイス名，７０１２：空き容量，７０１３：アクセス速度，７０１ｍ：その他の種別，７０２１：デバイス名の値「内蔵ＨＤＤ」，７０２２：空き容量の値「１０ＧＢ」，７０２３：アクセス速度の値「１００Ｍｂｐｓ」，７０２ｍ：その他の種別の値，８００：セキュリティ値算出ポリシデータの第一の例，８０１：保存先デバイス名，８０２：点数，８０３：保存方法名，８０４：点数，８０５：セキュリティ値算出方法，８０５１：セキュリティ値算出方法「セキュリティ値＝保存先デバイス名の点数＋保存方法名の点数」，９００：セキュリティ値算出ポリシデータの第二の例，９０１：保存先デバイス名，９０２：点数，９０３：セキュリティ値表，９０４：保存方法名，９０５：保存先デバイス名の点数，１０００：セキュリティ値算出ポリシデータの第三の例，１００１：保存方法名，１００２：保存先デバイス名，１００３：セキュリティ値表，１００４：セキュアＨＤＤに対するセキュリティ値，１００５：外部記憶媒体付ＩＣカードと暗号アルゴリズムＢに対するセキュリティ値「２」，６００：セキュリティポリシデータ，６０１：重要度の値，６０２：保存環境に要求するセキュリティ値，１１００：保存環境絞込みポリシデータ，１１０１：優先度，１１０２：絞込みの条件，１１０１１：優先度１位，１１０１２：優先度２位，１１０１３：優先度３位，１１０１ｍ：４位以下の優先度，１１０２１：優先度１位の絞込みの条件「保存先デバイスのアクセス速度」，１１０２２：優先度２位の絞込みの条件「保存先デバイスの空き容量」，１１０２３優先度３位の絞込みの条件「暗号アルゴリズムによる書き込み遅延防止」，１１０２ｍ：４位以下の優先度に対する絞込みの条件，Ｓ３０１：保存処理開始，Ｓ３０２：保存環境抽出，Ｓ３０３：エラーメッセージ表示，Ｓ３０４：保存環境絞込み，Ｓ３０５：書き込み処理，Ｓ３０６：保存処理，Ａ４０１：保存要求，Ａ４０２：属性情報要求，Ａ４０４：セキュリティポリシデータ要求，Ａ４０６：使用/性能情報要求，Ａ４０８：セキュリティ値算出ポリシデータ要求，Ａ４１０：保存環境絞込みポリシデータ要求，Ａ４１２：抽出数１つ，Ａ４１３：抽出数複数，Ａ４１４：抽出数なし，Ａ４１５：書き込み指示，Ａ４１６：保存対象データ要求，Ａ４１７：保存対象データ，Ａ４１８処理���データ，Ａ４１９：保存完了通知
【図１】
2010015476.tif 000003
【図２】
2010015476.tif 000004
【図３】
2010015476.tif 000005
【図４】
2010015476.tif 000006
【図５】
2010015476.tif 000007
【図６】
2010015476.tif 000008
【図７】
2010015476.tif 000009
【図８】
2010015476.tif 000010
【図９】
2010015476.tif 000011
【図１０】
2010015476.tif 000012
【図１１】
2010015476.tif 000013