(57)【要約】【課題】  セキュリティ管理サーバに接続出来ない環境であっても、セキュアデータにアクセスが可能であり、かつ、セキュリティを維持することが可能な情報処理装置及びデータ管理システムを提供する。【解決手段】  セキュアアプリケーション３は、セキュリティ管理サーバ４と通信できない場合に利用する情報であって、セキュアデータ２の利用を制限するための利用制限情報（以下、仮アクセス権とする）を、セキュリティ管理サーバ４に出力するよう要求し、その要求に応じてセキュリティ管理サーバ４が仮アクセス権を出力した場合に、セキュリティ管理サーバ４が出力した仮アクセス権をセキュアデータ２に付与する。【選択図】  図１
2006228057.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク上のデータを管理する管理サーバと通信ができる場合に前記データへアクセス可能とする情報処理装置であって、
前記管理サーバと通信できない場合に利用する情報であって、前記データの利用を制限するための利用制限情報を、前記管理サーバから取得する取得手段と、
前記取得手段が前記管理サーバから前記利用制限情報を取得した場合に、取得した前記利用制限情報に従い前記データを利用する利用手段と
を具備することを特徴とする情報処理装置。
【請求項２】
前記利用制限情報は、前記管理サーバにて管理されている前記データに対するユーザ別のアクセス権に関する情報であるアクセス権情報と、利用回数、利用期限、及び利用内容の少なくとも一つを制限する情報である制限情報とを含むことを特徴とする請求項１に記載の情報処理装置。
【請求項３】
前記利用制限情報は、前記制限情報として、前記利用制限情報を利用可能なユーザを制限する情報を更に含むことを特徴とする請求項２記載の情報処理装置。
【請求項４】
前記利用制限情報を利用可能なユーザを制限する場合、ユーザを特定する情報であるユーザ情報を記録した記録媒体から前記ユーザ情報を読み出す読み出し手段を更に具備し、
前記要求手段は、前記利用制限情報を前記管理サーバに出力するよう要求する際に、前記読み出し手段が読み出した前記ユーザ情報を前記管理サーバに通知することを特徴とする請求項３に記載の情報処理装置。
【請求項５】
前記利用制限情報を前記データとは別に外部の記録媒体に格納した場合に、前記外部の記録媒体に対してデータの書き込み及び読み出しを行う外部媒体制御手段と、
前記外部媒体制御手段が前記外部の記録媒体から読み出した前記利用制御情報を利用して前記データへのアクセスを制限する制限手段と
を更に具備することを特徴とする請求項１〜４のいずれか１項に記載の情報処理装置。
【請求項６】
ネットワーク上に存在するデータに対する情報処理装置からのアクセスを管理する管理サーバであって、
前記情報処理装置と通信を行う通信手段と、
前記データに対するアクセスを管理するための情報であるアクセス管理情報を格納する格納手段と、
前記格納手段から前記アクセス管理情報を参照することで、前記通信手段が前記情報処理装置と通信不可能な場合に前記情報処理装置が前記データを利用可能とするための情報であって、前記データの利用を制限するための情報である利用制限情報を生成して、出力する出力手段と
を具備することを特徴とする管理サーバ。
【請求項７】
ネットワーク上のデータを管理する管理サーバと、前記管理サーバと通信ができる場合に前記データへアクセス可能とする情報処理装置とを備えるデータ管理システムであって、
前記管理サーバは、
前記情報処理装置と通信を行う通信手段と、
前記データに対するアクセスを管理するための情報であるアクセス管理情報を格納する格納手段と、
前記情報処理装置からの要求に応じて、前記格納手段から前記アクセス管理情報を参照することで、前記通信手段が前記情報処理装置と通信不可能になった場合でも前記情報処理装置が前記データを利用可能とするための情報であって、前記データの利用を制限するための情報である利用制限情報を生成して、出力する出力手段と
を具備し、
前記情報処理装置は、
前記管理サーバに対して前記利用制限情報を要求し、前記管理サーバから前記利用制限情報を取得する取得手段と、
前記取得手段が前記管理サーバから前記利用制限情報を取得した場合に、前記利用制限情報に従い前記データを利用する利用手段と
を具備することを特徴とするデータ管理システム。
【請求項８】
ネットワーク上のデータを管理する管理サーバと通信ができる場合に前記データへアクセス可能とする情報処理装置を用いた情報処理方法であって、
前記管理サーバと通信できない場合に利用する情報であって、前記データの利用を制限するための利用制限情報を、前記管理サーバから取得する取得ステップと、
前記取得ステップで前記管理サーバから前記利用制限情報を取得した場合に、取得した前記利用制限情報に従い前記データを利用する利用ステップと
を有することを特徴とする情報処理方法。
【請求項９】
ネットワーク上のデータを管理する管理サーバと通信ができる場合に前記データへアクセス可能とする情報処理装置であって、
前記データに対する種々の処理を受け付ける受付手段と、
前記管理サーバと通信可能であるか否かを判断する通信判断手段と、
前記通信判断手段において前記管理サーバと通信不可能と判断した場合に、前記管理サーバと通信不可能になった場合でも前記データを利用可能とするための情報であって、前記データの利用を制限するための情報である利用制御情報を参照して、前記受付手段が受け付けた処理を前記データに対して行ってよいか否かを判断する処理判断手段と、
前記処理判断手段の判断に応じて、前記データに対して前記受付手段が受け付けた処理を行う処理手段と
を具備することを特徴とする情報処理装置。
【請求項１０】
前記利用制限情報は、前記管理サーバにて管理されている前記データに対するユーザ別のアクセス権に関する情報であるアクセス権情報と、利用回数、利用期限、及び利用内容の少なくとも一つを制限する情報である制限情報とを含むことを特徴とする請求項９に記載の情報処理装置。
【請求項１１】
前記利用制限情報が外部の記録媒体に格納されている場合に、前記外部の記録媒体に対してデータの書き込み及び読み出しを行う外部媒体制御手段を更に具備し、
前記処理判断手段は、前記外部媒体制御手段が前記外部の記録媒体から読み出した前記利用制御情報を利用して前記データに対して処理を行ってよいか否かを判断すること
を特徴とする請求項９又は１０に記載の情報処理装置。
【請求項１２】
前記処理判断手段が前記データに対する処理を行ってよいと判断した場合に、前記受付手段が受け付けた処理の履歴情報及び当該処理による前記データの変更内容に関する情報を前記データに含ませる情報制御手段を更に具備することを特徴とする請求項９〜１１のいずれか１項に記載の情報処理装置。
【請求項１３】
前記通信判断手段が前記管理サーバと通信可能であると判断した場合に、前記管理サーバへ前記データに対する処理の認証を要求する認証要求手段と、
前記認証要求手段の要求に応じて前記管理サーバから認証を得た場合に、前記認証要求手段が認証対象とするデータが、前記情報制御手段により前記履歴情報及び前記変更内容に関する情報を含むか否かを判断する情報判断手段と、
前記情報判断手段が当該データに前記履歴情報及び変更内容に関する情報が含まれると判断した場合に、当該データに前記変更内容を反映させる変更内容反映手段を更に具備することを特徴とする請求項１２に記載の情報処理装置。
【請求項１４】
前記変更内容反映手段により前記データに前記変更内容が反映された場合に、前記管理サーバへ前記履歴情報を送信する送信手段を更に具備することを特徴とする請求項１３に記載の情報処理装置。
【請求項１５】
ネットワーク上のデータを管理する管理サーバと、前記管理サーバと通信ができる場合に前記データへアクセス可能とする情報処理装置とを備えるデータ管理システムであって、
前記管理サーバは、
前記情報処理装置と通信を行う通信手段と、
前記データに対するアクセスを管理するための情報であるアクセス管理情報を格納する格納手段と、
前記情報処理装置からの要求に応じて、前記格納手段から前記アクセス管理情報を参照することで、前記通信手段が前記情報処理装置と通信不可能になった場合でも前記情報処理装置が前記データを利用可能とするための情報であって、前記データの利用を制限するための情報である利用制限情報を生成して、出力する出力手段と
を具備し、
前記情報処理装置は、
前記データに対する種々の処理を受け付ける受付手段と、
前記管理サーバと通信可能であるか否かを判断する通信判断手段と、
前記通信判断手段において前記管理サーバと通信不可能と判断した場合に、前記管理サーバの前記出力手段が出力した前記利用制御情報を参照して、前記受付手段が受け付けた処理を前記データに対して行ってよいか否かを判断する処理判断手段と、
前記処理判断手段の判断に応じて、前記データに対して前記受付手段が受け付けた処理を行う処理手段と
を具備することを特徴とするデータ管理システム。
【請求項１６】
ネットワーク上のデータを管理する管理サーバと通信ができる場合に前記データへアクセス可能とする情報処理装置を用いた情報処理方法であって、
前記データに対する種々の処理を受け付ける受付ステップと、
前記管理サーバと通信可能であるか否かを判断する通信判断ステップと、
前記通信判断ステップにおいて前記管理サーバと通信不可能と判断した場合に、前記管理サーバと通信不可能になった場合でも前記データを利用可能とするための情報であって、前記データの利用を制限するための情報である利用制御情報を参照して、前記受付ステップで受け付けた処理を前記データに対して行ってよいか否かを判断する処理判断ステップと、
前記処理判断ステップの判断に応じて、前記データに対して前記受付ステップで受け付けた処理を行う処理ステップと
を有することを特徴とする情報処理方法。
【請求項１７】
請求項８又は請求項１６に記載の情報処理方法をコンピュータに実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークに接続された複数の情報処理装置と、それらの情報処理装置が利用するデータに対してセキュリティ管理を行うセキュリティ管理サーバとから構成されるデータ管理システムに関するものである。
【背景技術】
【０００２】
近年、ネットワークを経由して様々なＰＣ（パーソナル  コンピュータ）や入出力装置（印刷装置や複合機など）で電子文書が取り扱われ、プリンタでの印刷や配布、個人ＰＣへの保存やＵＳＢストレージへの保存や持ち出し等、機密情報が外部に流出されうる機会が増え、さらに流出経路の特定も困難になってきている。そのため情報漏洩を防ぐセキュリティが重要視され、様々な取り組みが行われている。
【０００３】
その取り組みとして、例えば電子文書自体を暗号化しアクセス権を有する利用者のみアクセス出来る仕組みや、ネットワークの伝送データを暗号化して送信者と受信者で解読キーを共有する仕組みや、印刷装置自体のアクセスをユーザＩＤやパスワードで管理し、認証が取れた場合のみ印刷する仕組みなどが存在する。
【０００４】
しかしながら、上記の仕組みは局所的な処理に対するセキュリティであり、様々な仕組みを組み合わせてもアクセス権設定者の負荷が増大するという問題がある。また、上記の仕組みの組み合わせ方によっては、設定漏れによるセキュリティホールが発生するという問題がある。更に、アクセス権所有者が電子文書を持ち出すこと等による情報漏洩を防ぐことは困難であった。
【０００５】
そのため、ネットワークに接続されたＰＣ、入出力装置およびそこで取り扱われる電子文書をセキュリティ管理サーバにて一元管理するセキュアドキュメントシステムという仕組みが注目されている。このセキュアドキュメントシステムとして、例えば、暗号化された電子文書に対するアクセス権管理を行うセキュリティ管理サーバを有し、ネットワークに接続されたＰＣや入出力装置が暗号化された電子文書にアクセスする為には適時セキュリティ管理サーバから認証を得なければならないというものが開示されている（例えば、特許文献１参照）。
【０００６】
これにより、暗号化された電子文書へアクセスするにはセキュリティ管理サーバに接続されている必要があり、仮に電子文書をネットワーク外に持ち出されても認証が得られないため一切のアクセスは行えず、また、その電子文書にアクセスするＰＣおよびアプリケーション、入出力装置のアクセス状況やアクセス履歴を全て一元的に管理することが出来る。
【０００７】
【特許文献１】特開２００４−２８０２２７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
しかしながら、特許文献１に記載のセキュアドキュメントシステムの特性である暗号化された電子文書へアクセスするにはセキュリティ管理サーバに接続されている必要がある。このため、会議室での打合せや出張先のようにセキュリティ管理サーバに接続出来ない環境であっても、暗号化された電子文書へアクセスしたいという要求に対しては応えることが出来ないという問題がある。
【０００９】
本発明は、上述した事情を考慮してなされたもので、セキュリティ管理サーバに接続出来ない環境であっても、セキュアデータ（暗号化された電子文書）にアクセスが可能であり、かつ、セキュリティを維持することが可能な情報処理装置及びデータ管理システムを提供することを目的とする。
【課題を解決するための手段】
【００１０】
この発明は、上述した課題を解決すべくなされたもので、本発明による情報処理装置においては、ネットワーク上のデータを管理する管理サーバと通信ができる場合にデータへアクセス可能とする情報処理装置であって、管理サーバと通信できない場合に利用する情報であって、データの利用を制限するための利用制限情報を、管理サーバから取得する取得手段と、取得手段が管理サーバから利用制限情報を取得した場合に、取得した利用制限情報に従いデータを利用する利用手段とを具備することを特徴とする。
【００１１】
これにより、本発明による情報処理装置は、管理サーバと通信できない状況であっても、取得した利用制限情報（仮アクセス権）を参照することで、データを利用することができる。
【００１２】
また、本発明による管理サーバにおいては、ネットワーク上に存在するデータに対する情報処理装置からのアクセスを管理する管理サーバであって、情報処理装置と通信を行う通信手段と、データに対するアクセスを管理するための情報であるアクセス管理情報を格納する格納手段と、格納手段からアクセス管理情報を参照することで、通信手段が情報処理装置と通信不可能な場合に情報処理装置がデータを利用可能とするための情報であって、データの利用を制限するための情報である利用制限情報を生成して、出力する出力手段とを具備することを特徴とする。
【００１３】
これにより、本発明による管理サーバは、管理サーバと通信できない状況で情報処理装置がデータを利用しても、利用制限情報を適切に管理して出力することで、一元的にデータを管理できる。
【００１４】
また、本発明によるデータ管理システムにおいては、ネットワーク上のデータを管理する管理サーバと、管理サーバと通信ができる場合にデータへアクセス可能とする情報処理装置とを備えるデータ管理システムであって、管理サーバは、情報処理装置と通信を行う通信手段と、データに対するアクセスを管理するための情報であるアクセス管理情報を格納する格納手段と、情報処理装置からの要求に応じて、格納手段からアクセス管理情報を参照することで、通信手段が情報処理装置と通信不可能になった場合でも情報処理装置がデータを利用可能とするための情報であって、データの利用を制限するための情報である利用制限情報を生成して、出力する出力手段とを具備し、情報処理装置は、管理サーバに対して利用制限情報を要求し、管理サーバから利用制限情報を取得する取得手段と、取得手段が管理サーバから利用制限情報を取得した場合に、利用制限情報に従いデータを利用する利用手段とを具備することを特徴とする。
【００１５】
また、本発明による情報処理方法においては、ネットワーク上のデータを管理する管理サーバと通信ができる場合にデータへアクセス可能とする情報処理装置を用いた情報処理方法であって、管理サーバと通信できない場合に利用する情報であって、データの利用を制限するための利用制限情報を、管理サーバから取得する取得ステップと、取得ステップで管理サーバから利用制限情報を取得した場合に、取得した利用制限情報に従いデータを利用する利用ステップとを有することを特徴とする。
【００１６】
また、本発明による情報処理装置においては、ネットワーク上のデータを管理する管理サーバと通信ができる場合にデータへアクセス可能とする情報処理装置であって、データに対する種々の処理を受け付ける受付手段と、管理サーバと通信可能であるか否かを判断する通信判断手段と、通信判断手段において管理サーバと通信不可能と判断した場合に、管理サーバと通信不可能になった場合でもデータを利用可能とするための情報であって、データの利用を制限するための情報である利用制御情報を参照して、受付手段が受け付けた処理をデータに対して行ってよいか否かを判断する処理判断手段と、処理判断手段の判断に応じて、データに対して受付手段が受け付けた処理を行う処理手段とを具備することを特徴とする。
【００１７】
また、本発明によるデータ管理システムにおいては、ネットワーク上のデータを管理する管理サーバと、管理サーバと通信ができる場合にデータへアクセス可能とする情報処理装置とを備えるデータ管理システムであって、管理サーバは、情報処理装置と通信を行う通信手段と、データに対するアクセスを管理するための情報であるアクセス管理情報を格納する格納手段と、情報処理装置からの要求に応じて、格納手段からアクセス管理情報を参照することで、通信手段が情報処理装置と通信不可能になった場合でも情報処理装置がデータを利用可能とするための情報であって、データの利用を制限するための情報である利用制限情報を生成して、出力する出力手段とを具備し、情報処理装置は、データに対する種々の処理を受け付ける受付手段と、管理サーバと通信可能であるか否かを判断する通信判断手段と、通信判断手段において管理サーバと通信不可能と判断した場合に、管理サーバの出力手段が出力した利用制御情報を参照して、受付手段が受け付けた処理をデータに対して行ってよいか否かを判断する処理判断手段と、処理判断手段の判断に応じて、データに対して受付手段が受け付けた処理を行う処理手段とを具備することを特徴とする。
【００１８】
また、本発明による情報処理方法においては、ネットワーク上のデータを管理する管理サーバと通信ができる場合にデータへアクセス可能とする情報処理装置を用いた情報処理方法であって、データに対する種々の処理を受け付ける受付ステップと、管理サーバと通信可能であるか否かを判断する通信判断ステップと、通信判断ステップにおいて管理サーバと通信不可能と判断した場合に、管理サーバと通信不可能になった場合でもデータを利用可能とするための情報であって、データの利用を制限するための情報である利用制御情報を参照して、受付ステップで受け付けた処理をデータに対して行ってよいか否かを判断する処理判断ステップと、処理判断ステップの判断に応じて、データに対して受付ステップで受け付けた処理を行う処理ステップとを有することを特徴とする。
【００１９】
また、本発明によるプログラムは、請求項８又は請求項１６に記載の情報処理方法をコンピュータに実行させるためのプログラムである。
【発明の効果】
【００２０】
本発明による情報処理装置及びデータ管理システムは、セキュリティ管理サーバに接続出来ない環境であっても、セキュアデータ（暗号化された電子文書）にアクセスが可能であり、かつ、セキュアデータの秘匿性（セキュリティ）を維持することができる。
【発明を実施するための最良の形態】
【００２１】
以下、図面を参照して本発明の実施形態について詳細に説明する。
（第一の実施形態）
まず、本発明の第一の実施形態としてホスト装置（情報処理装置）とセキュリティ管理サーバから構成される文書管理システム（データ管理システム）について説明する。本実施形態における文書管理システムは、セキュアドキュメントシステムを構築している。
【００２２】
図１は、本発明の第一の実施形態における文書管理システムの概略構成を示す図である。図１に示す文書管理システムは、セキュア出力装置５と、セキュアアプリケーション３を搭載するホスト装置１と、セキュア入力装置６と、セキュア出力装置５に接続されたセキュリティ管理サーバ４により構成される。また、ホスト装置１、セキュア出力装置５、及びセキュア入力装置６は、ネットワーク７に接続されセキュアデータ２にアクセスすることが出来る。ここで、セキュアデータ２とは、例えば暗号化されて特定ユーザにのみアクセスを許可された文書データであり、本実施形態ではネットワーク７上で複数のセキュアデータ２を参照できるとする。
【００２３】
尚、図１においてはセキュア出力装置５にセキュリティ管理サーバ４が直接接続されている構成であるが、これに限定されるものではなく、セキュリティ管理サーバ４は、ネットワーク７に接続されていても、セキュア入力装置６やホスト装置１に接続されていてもよい。また、図１においてはホスト装置１、セキュア出力装置５、及びセキュア入力装置６が、ネットワーク７に接続されている構成であるが、これに限定されるものではなく、ホスト装置１、セキュア出力装置５、及びセキュア入力装置６のいずれか一つが接続されている構成でもよい。この場合、また、セキュアアプリケーション３は必ずしもホスト装置１に搭載されている必要はなく、セキュア出力装置５やセキュア入力装置６に搭載されていてもよい。
【００２４】
上述したセキュアアプリケーション３を搭載するホスト装置１、セキュア出力装置５、及びセキュア入力装置６は、暗号化された文書データであるセキュアデータ２にセキュリティ管理サーバ４からの認証情報を元にアクセス出来る機能を有する。なお、セキュリティ管理サーバ４はセキュリティ管理データ８を格納しており、認証発行の際のアクセス権確認等は、このセキュリティ管理データ８を参照して行う。
【００２５】
図２は、本実施形態における文書管理システムのセキュアデータ２の内部構造例を示す図である。図２に示すように、セキュアデータ２は暗号化されており、少なくともデータＩＤ部２−１と実データ部２−２の２種類の領域を持つ。このデータＩＤ部２−１は、セキュリティ管理サーバ４で管理される単位でデータＩＤ部２−１が割り当てられ、必ずしもセキュアデータ２のファイル名と１対１に対応する必要はなく、ファイル名が同じであっても異なるデータＩＤが割り当てうる。実データ部２−２は文書、画像、映像等が有り得るが、セキュアデータ２自体が暗号化されているため、セキュアアプリケーション３（ホスト装置１）、セキュア出力装置５、セキュア入力装置６、及びセキュリティ管理サーバ４以外の装置やアプリケーションでは実データ部２−２にアクセス（又は復号化や再生）することは出来ない。
【００２６】
図３は、本実施形態における文書管理システムのセキュリティ管理サーバ４に格納されたセキュリティ管理データ８の一例を示す図である。セキュリティ管理サーバ４には、セキュアデータ２に１対１で対応されたセキュリティ管理データ８が格納されている。図３に示すように、セキュリティ管理データ８は、データＩＤ部３−１、アクセス権管理部３−２、アクセスログ格納部３−３と基本的には３種類の領域を持つ。本実施形態のセキュリティ管理データ８は、文書管理システム内に存在するデータＩＤが割り当てられた全てのセキュアデータ２と同じ数だけ存在する。
【００２７】
データＩＤ部３−１は、セキュアデータ２のデータＩＤ部２−１に対応している。アクセス権管理部３−２は、セキュアデータ２に対するアクセス権を管理する情報を格納する。アクセスログ格納部３−３は、セキュアアプリケーション３、セキュア出力装置５、及びセキュア入力装置６のセキュアデータ２に対するアクセス状況をログとして格納する。
【００２８】
また、図３に示すように、アクセス権管理部３−２には通常、管理者等が設定したアクセス権管理テーブル３−４がリンクされている。このアクセス権管理テーブル３−４にはユーザＩＤ３−５毎のアクセス許可種別３−６が登録されている。セキュリティ管理サーバ４は、アクセス権管理部３−２にリンクされるアクセス権管理テーブル３−４の情報を基に、アクセス権を定める。なお、アクセス許可種別３−６とは、ユーザＩＤで特定されるユーザに可能な（又は許可する）処理内容に関する情報である。具体的には、各ユーザに対して、セキュアデータ２の編集、コピー、表示や印刷といった処理を可能とするか否かに関する情報である。
【００２９】
図４は、本実施形態における文書管理システムのセキュリティ管理サーバ４と、セキュアアプリケーション３、セキュア出力装置５、及びセキュア入力装置６との間で行われる認証処理の概要を示す図である。
【００３０】
図４において、ユーザが編集や印刷等、暗号化されたセキュアデータ２に対して作業を行いたい場合、ユーザは、セキュアアプリケーション３あるいはセキュア出力装置５やセキュア入力装置６に行いたい作業に対する作業指示４−１を入力する。具体的には、作業指示４−１として、作業内容４−２に関する情報と、該当セキュアデータ２を指示すると共に、ユーザを特定するユーザＩＤ４−３も合わせて指定する。尚、以下の説明では、セキュアアプリケーション３を備えるホスト装置１のユーザが、作業指示４−１を入力したとして、セキュアアプリケーション３の処理として説明する。もちろん、図４に示すようにセキュア出力装置５やセキュア入力装置６でも、同様の処理が可能である。
【００３１】
次に、セキュアアプリケーション３は、ユーザの入力によりユーザＩＤ４−３、セキュアデータ２を特定する情報（以下、第１の情報とする）、作業内容４−２を受けると、第１の情報により特定されたセキュアデータ２のデータＩＤ部２−１からデータＩＤを抽出する（４−４）。次に、セキュアアプリケーション３は、セキュリティ管理サーバ４に作業認証依頼を行う（４−５）。このときセキュアアプリケーション３は、作業内容４−２、ユーザＩＤ４−３、及び上記（４−４）の処理で抽出されたデータＩＤ４−６を、セキュリティ管理サーバ４に渡す。
【００３２】
セキュリティ管理サーバ４は、それらの情報と、セキュリティ管理データ８のアクセス権管理部３−２からアクセス権を確認する（４−７）。作業内容４−２に対してアクセス権が適切であればアクセス許可を行い（４−８）、セキュアアプリケーション３に認証キー４−９を発行する。
【００３３】
認証キー４−９を受信することで認証が受けられたセキュアアプリケーション３は、該当セキュアデータに対して作業内容４−２に応じた作業を行い（４−１０）、作業完了通知を行う（４−１１）。この作業完了通知は、ユーザとセキュリティ管理サーバ４の両方に対して行われる処理であり、セキュアアプリケーション３は、セキュリティ管理サーバ４へはユーザＩＤ４−３、データＩＤ４−６、及び作業完了通知４−１２を送信する。これにより、セキュリティ管理サーバ４は、セキュリティ管理データ８のアクセスログ格納部３−３において、アクセスログの更新を行う（４−１３）。また、セキュアアプリケーション３は、ユーザには作業管理通知４−１２の情報を通知し、作業を施したセキュアデータ２を発行することで、ユーザが指示した作業が完了する（４−１４）。
【００３４】
次に、図２に示したセキュアデータ２に対して、本実施形態の特徴となる仮アクセス権（利用制限情報）を埋め込んだセキュアデータ２について説明する。尚、本実施形態においてユーザは、ネットワーク７上に存在する複数のセキュアデータ２の内、任意のセキュアデータ２に対して仮アクセス権を埋め込むことができるとする。
【００３５】
図５は、本実施形態の文書管理システムにおけるセキュアデータ２の内部構造の一例を示す図である。図５のセキュアデータ２を構成するデータＩＤ部２−１、実データ部２−２は図２で示したものと同様である。また、図５のセキュアデータ２は、図２と比べて仮アクセス権格納部５−１が存在する点に特徴がある。仮アクセス権格納部５−１に格納される情報は、図３のアクセス権管理テーブル３−４におけるユーザＩＤ３−５とアクセス許可種別３−４と同様の情報であり、該当セキュアデータ２に対しユーザ毎にどのような処理を行うことが出来るかを示す情報である。
【００３６】
この仮アクセス権格納部５−１に格納する情報（以下、仮アクセス権とする）は、セキュアアプリケーション３あるいはセキュア入出力装置５，６がセキュリティ管理サーバ４に要求することにより入手し、セキュアデータ２に格納するものである。仮アクセス権は、セキュリティ管理サーバ４がアクセス権管理テーブル３−４の情報を元に作成、発行するものであるが、基本的にはアクセス許可種別３−６に対し制限情報を付与したものである。その制限情報とは、その仮アクセス権が有効な日時、セキュアデータ２にアクセス出来る回数、編集の禁止や印刷の禁止等を定めた情報である。すなわち、仮アクセス権とは、有限のアクセス権とも言うことが出来る。
【００３７】
この仮アクセス権は、セキュアアプリケーション３、セキュア出力装置５、及びセキュア入力装置６が、セキュリティ管理サーバ４から認証が取れない状況（例えば通信できない状況）にてセキュアデータ２対して処理可能とするために必要である。つまり、セキュリティ管理サーバ４から認証の取れる状況下でセキュアアプリケーション３は、セキュリティ管理サーバ４から仮アクセス権を取得し、仮アクセス権をセキュアデータ２の仮アクセス権格納部５−１に格納する。これにより、セキュリティ管理サーバ４に接続し認証を取ることの出来ない環境（会議室や出張先等でネットワークに接続できない環境）においてもセキュアデータ２に含まれる仮アクセス権格納部５−１の仮アクセス権の条件を満たすことで、セキュアデータ２にアクセスすることが出来る。
【００３８】
尚、仮アクセス権は、必ずしもアクセス権管理テーブル３−４の全てユーザＩＤ３−５に対するアクセス許可種別に関する情報を含む必要はなく、必要に応じたユーザに対するアクセス許可種別に関する情報（仮アクセス権）のみを格納することも可能である。また、セキュアデータ２に対して仮アクセス権を埋め込むか否かをユーザが選択するタイミングとしては、例えば、セキュアデータ２の編集後の保存時に仮アクセス権を付与するか否かをユーザに選択させるようにしてもよい。また、セキュアデータ２を作成して保存する際にも、仮アクセス権を付与するか否かをユーザに選択させるようにしてもよい。
【００３９】
図６は、本実施形態の文書管理システムにおけるセキュアデータ処理を示すフローチャートである。尚、以下の説明においては、セキュアアプリケーション３がセキュアデータ２に対する処理として説明するが、セキュア出力装置５及びセキュア入力装置６においても同様の処理が可能である。また、図４の処理（４−４）、（４−５）に対応する部分には、その旨を明示している。
【００４０】
図６に示すように、ユーザからセキュアデータ２に対する作業指示４−１を受けると、セキュアアプリケーション３は、ステップＳ６−１において、セキュアデータ２のデータＩＤ部２−１からデータＩＤを抽出し（４−４）、セキュリティ管理サーバ４へ作業認証依頼を発行する（４−５）。
【００４１】
次に、ステップＳ６−２において、セキュアアプリケーション３は、セキュリティ管理サーバ４から認証が取得できるか否かを判断する。このセキュリティ管理サーバ４から認証が取得できるか否かとは、セキュリティ管理サーバ４と通信可能であるか否かの判断である。ここで、認証を取得できると判断した場合には、セキュアアプリケーション３は、図４に示す処理と同様に、セキュリティ管理サーバ４から認証キーを入手し（ステップＳ６−３）、その認証キーに従ったアクセス権限を設定する（ステップＳ６−４）。これにより、ステップＳ６−８において、セキュアアプリケーション３は、アクセス権限に従って作業内容４−２に応じたセキュアデータ２への編集や印刷、表示といった処理を行う。
【００４２】
また、通信不可能等の原因でセキュリティ管理サーバ４から認証が取得できないと判断した場合、セキュアアプリケーション３は、ステップＳ６−５において、セキュアデータ２の仮アクセス権格納部５−１に仮アクセス権が存在するか否かを判断する。ここで、仮アクセス権が存在しないと判断した場合には、セキュアアプリケーション３は、セキュアデータ２へのアクセスを不可とする。このため、ユーザはセキュアデータ２に対する編集処理等を行うことは出来ない。また、仮アクセス権が存在すると判断した場合は、セキュアアプリケーション３は、ステップＳ６−７において、その仮アクセス権に応じたアクセス権限を設定する。以上により、上述したように、ステップＳ６−８において、セキュアアプリケーション３は、アクセス権限に従って作業内容４−２に応じたセキュアデータ２への編集や印刷、表示といった処理を行う。
【００４３】
このように、ユーザからのセキュアデータ２に対する作業指示４−１に対して、セキュアアプリケーション３は、ステップＳ６−４又はＳ６−７で設定したアクセス権限を優先して、そのアクセス権限に従った範囲内で作業内容４−２に応じた処理を行う。以上に説明したように、本実施形態の文書管理システムにおいては、セキュリティ管理サーバ４に接続出来ない環境であっても、セキュアデータ２にアクセスが可能であり、かつ、仮アクセス権で制限することでセキュアデータ２に対するセキュリティを維持することが可能である。また、仮アクセス権は、セキュリティ管理サーバ４が発行するものであるので、セキュアデータ２に対するセキュリティ管理サーバ４による一元管理を行うことができる。
【００４４】
図７は、本実施形態の文書管理システムにおける、セキュアアプリケーション３、セキュア出力装置５、及びセキュア入力装置６が、セキュリティ管理サーバ４から仮アクセス権を入手し、セキュアデータ２に格納するまでの処理を示すフローチャートである。尚、以下の説明においては、セキュアアプリケーション３がセキュアデータ２に対する処理として説明するが、セキュア出力装置５及びセキュア入力装置６においても同様の処理が可能である。
【００４５】
セキュアアプリケーション３は、ユーザから持ち出し用セキュアデータ作成指示を受けると、該当セキュアデータ２のデータＩＤ部２−１からデータＩＤを抽出し、セキュリティ管理サーバ４へ仮アクセス権依頼を発行する（ステップＳ７−１）。この際、ユーザＩＤを更に指定して特定ユーザのみを対象としてもよい。これにより、セキュリティ管理サーバ４は、セキュリティ管理データ８を参照してアクセス許可種別３−６を基に仮アクセス権を生成しセキュアアプリケーション３へ返信する。次に、セキュアアプリケーション３は、セキュリティ管理サーバ４から仮アクセス権を入手する（ステップＳ７−２）。次に、セキュアアプリケーション３は、入手した仮アクセス権をセキュアデータ２の仮アクセス権格納部５−１に格納する。以上の処理のより、仮アクセス権が格納されたセキュアデータ２が、持ち出し用セキュアデータとして生成される。
【００４６】
（第二の実施形態）
上述した第一の実施形態ではセキュリティ管理サーバ４からの認証が取れない環境においても仮アクセス権を使用することによってセキュアデータ２に対する処理が可能となったが、仮アクセス権を用いて処理した内容を図３のセキュリティ管理データ８のアクセスログ格納部３−３に反映させていなかった。第一の実施形態ではアクセスログ格納部３−３に、単にセキュアデータ２が持ち出されて、その後、戻されたというアクセスログが残るだけである。特に、仮アクセス権を用いてセキュアデータ２が編集された場合に、その後、セキュリティ管理サーバ４に、編集後のセキュアデータ２を戻した時に、その編集内容を把握できなかった。第二の実施形態における文書管理システムにおいては、セキュリティ管理サーバ４において、仮アクセス権を用いて処理されたセキュアデータ２に関する編集履歴等の把握や管理を行うことができる。
【００４７】
図８は、第二の実施形態の文書管理システムにおけるセキュアデータの内部構造の一例を示したものである。図８のセキュアデータ２１は、図５のセキュアデータ２と比べて、仮データ部８−１が追加された点が異なり、それ以外のデータＩＤ部２−１、実データ部２−２、及び仮アクセス権格納部５−１は同様である。ここで便宜上、実データ部２−２を管理エリア、仮データ部８−１をＬｏｃａｌ（ローカル）エリアとして区別する。管理エリアは、セキュアアプリケーション３、セキュア出力装置５、及びセキュア入力装置６がセキュリティ管理サーバ４と接続され、認証が取れる状況でセキュアデータ２１に対する編集がなされる領域である。また、Ｌｏｃａｌエリアは、仮アクセス権を用いて編集された場合に編集の差分内容が格納されたり、仮アクセス権を用いて印刷処理等を行った場合はその作業履歴が格納されたりする領域である。
【００４８】
セキュアアプリケーション３、セキュア出力装置５、及びセキュア入力装置６が仮アクセス権を用いてセキュアデータ２１に対して処理する場合は、実データ部２−２のデータに仮データ部８−１の編集差分内容を反映したものをデータとして扱い、また編集作業や何らかの作業が行われた場合はその差分内容や作業履歴を仮データ部８−１に格納する。なお、既に編集差分内容が存在するセキュアデータ２１に対し、仮アクセス権を用いてさらに編集を行う場合は、既に存在する編集差分内容を変更して良い。
【００４９】
図９は、第二の実施形態の文書管理システムにおけるセキュアデータ処理を示すフローチャートである。尚、図９のステップＳ９−１からＳ９−７までの処理は、第一の実施形態において図６に示したステップＳ６−１からＳ６−７までの処理と同様であり、説明を省略する。尚、以下の説明においては、セキュアアプリケーション３がセキュアデータ２１に対する処理として説明するが、セキュア出力装置５及びセキュア入力装置６においても同様の処理が可能である。
【００５０】
ステップＳ９−７の次の処理として、セキュアアプリケーション３は、ステップＳ９−８において、仮アクセス権に従って処理を行う際、編集時にはセキュアデータ２１の仮データ部８−１に実データ部２−２のデータに対する編集差分内容を格納し、更に、行った処理の処理履歴を仮データ部８−１に格納する。
【００５１】
また、ステップＳ９−４でセキュリティ管理サーバ４から入手した認証キーに従ったアクセス権限が設定された次の処理として、セキュアアプリケーション３は、セキュアデータ２の仮データ部８−１に編集差分内容や処理履歴といったデータが存在するか否かを判断する（ステップＳ９−９）。ここで、上記データが存在しないと判断した場合は、セキュアアプリケーション３は、ステップＳ９−１３に進み、セキュアデータ２に対する処理を行う。また、上記データが存在すると判断した場合は、セキュアアプリケーション３は、ステップＳ９−１０に進み、仮データ部８−１の編集差分内容を実データ部２−２のデータに反映させる処理を行う。次に、ステップＳ９−１１において、セキュアアプリケーション３は、処理履歴をセキュリティ管理サーバ４に送信する。次に、ステップＳ９−１２において、セキュアアプリケーション３は、仮データ部８−１の情報をクリア（削除）する。次に、ステップＳ９−１３に進み、セキュアアプリケーション３は、セキュアデータ２に対する処理を行う。
【００５２】
以上に説明したように、本実施形態の文書管理システムによれば、セキュリティ管理サーバ４に接続出来ない環境であっても、事前に仮アクセス権を入手することでセキュアデータ２に対する処理を行うことが可能となり利便性が増す。また仮アクセス権はセキュリティ管理サーバ４から入手することで、ネットワーク非接続環境も含めたセキュリティ管理の一元化が維持でき、さらに仮アクセス権に何らかの制限（アクセス可能な期間やアクセス可能な回数の制限など）を付けること等により、セキュリティ性を高め情報漏洩を防ぐことが可能となる。
【００５３】
また、上述した実施形態において図１に示したセキュアアプリケーション３、セキュア出力装置５、及びセキュア入力装置６が行う図９の各処理は、各処理の機能を実現する為のプログラムをメモリから読み出してＣＰＵ（中央演算装置）が実行することによりその機能を実現させるものである。図１０は、図１に示したホスト装置（情報処理装置）１のハードウェア構成例を示すブロック図である。図１０に示すようにホスト装置１は、ＣＰＵ１０、ＲＯＭ１２、ＲＡＭ１３、入力装置１４、表示装置１５、ハードディスク（ＨＤ）１８、外部記憶装置１９、及び通信装置２０から構成される。
【００５４】
尚、セキュア出力装置５、及びセキュア入力装置６のハードウェア構成も、図１０に示すホスト装置１のハードウェア構成とほぼ同様であるが、異なる点としては、セキュア出力装置５は、例えば印刷処理を行うハードウェア（プリンタ）を更に備え、セキュア入力装置６は、例えばスキャナ処理を行うハードウェア（スキャナ）を更に備える構成となる。ここで、プリンタは、文書データやイメージデータを印刷処理するための装置である。スキャナは、原稿である紙文書を読み取ってデジタル画像データ化する等の処理を行う装置である。
【００５５】
図１０において、ＣＰＵ１０は、例えばマイクロプロセッサであり、種々のプログラムを読み込み実行することで画像処理、文字処理、検索処理のための演算、論理判断等を行い、バス１１を介してバス１１に接続された各構成要素を制御する。バス１１は、バスであり、ＣＰＵ１０の制御対象である各構成要素を指示するアドレス信号、コントロール信号を転送する。また、各構成要素間のデータ転送を行う。
【００５６】
ＲＡＭ１３は、ＣＰＵ１０が読み書き可能なランダムアクセスメモリであって、各構成要素からの各種データの一次記憶として利用されるメモリである。ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）１２は、読出し専用の不揮発性メモリである。ＲＯＭ１２は、例えばＣＰＵ１０が起動時に実行するブートプログラムを記憶する。具体的には、ＣＰＵ１０は、システム起動時にブートプログラムを実行すると、ハードディスク１８に記憶された制御プログラムやセキュアアプリケーション３のプログラムなどをＲＡＭ１３にロードして実行する。
【００５７】
入力装置１４は、キーボードや、マウス等で構成される。表示装置１５は、例えば液晶ディスプレイやＣＲＴ等である。ハードディスク１８は、ＣＰＵ１０により実行されるプログラム等を格納する記録媒体である。外部記憶装置１９は、例えばＵＳＢ（Ｕｎｉｖｅｒｓａｌ  Ｓｅｒｉａｌ  Ｂｕｓ）メモリデバイス、ＩＣカード等のホスト装置１に着脱可能な記録媒体に対するインタフェースを有する装置である。尚、外部記憶装置１９は、上記構成に限定されるものではなく、例えばフレキシブルディスクやＣＤ、ＤＶＤ等のディスク状の記録媒体を設置してアクセスするためのドライブ等を備える構成でもよい。通信装置２０は、ネットワークコントローラであり、ネットワーク７と接続されており、ネットワーク７を介して外部との通信を行う装置である。
【００５８】
ＣＰＵ１０は、外部記憶装置１９を、上記ハードディスク１８と同様に利用することができる。ここで、外部の記録媒体の利用例としてＩＣカードの場合と、ＵＳＢストレージの場合について説明する。例えば、ＩＣカードにユーザを特定する情報であるユーザ情報を格納している場合に、ホスト装置１のセキュアアプリケーション３は、セキュリティ管理サーバ４に仮アクセス権を要求する際に、外部記憶装置１９によりＩＣカードからユーザ情報を参照して、そのユーザ情報をセキュリティ管理サーバ４に渡す。これにより、セキュリティ管理サーバ４は、そのユーザ情報で特定されるユーザのみ利用可能な仮アクセス権を生成して出力する。これにより、よりセキュアデータ２のセキュリティを向上できる。また、上記ＩＣカードの代わりに、ＵＳＢストレージに、仮アクセス権を格納しても同様の処理が可能である。
【００５９】
尚、上述した構成に限定されるものではなく、図１に示したセキュアアプリケーション３、セキュア出力装置５、及びセキュア入力装置６が行う図９の各処理の全部または一部の機能を専用のハードウェアにより実現してもよい。また、上述したメモリは、光磁気ディスク装置、フラッシュメモリ等の不揮発性のメモリや、ＣＤ−ＲＯＭ等の読み出しのみが可能な記録媒体、ＲＡＭ以外の揮発性のメモリ、あるいはこれらの組合せによるコンピュータ読み取り、書き込み可能な記録媒体より構成されてもよい。
【００６０】
また、図１に示したセキュアアプリケーション３、セキュア出力装置５、及びセキュア入力装置６が行う図９の各処理の機能を実現する為のプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより各処理を行っても良い。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。具体的には、記憶媒体から読み出されたプログラムが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書きこまれた後、そのプログラムの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含む。
【００６１】
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。
【００６２】
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記プログラムは、前述した機能の一部を実現する為のものであっても良い。さらに、前述した機能をコンピュータシステムに既に記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【００６３】
また、上記のプログラムを記録したコンピュータ読み取り可能な記録媒体等のプログラムプロダクトも本発明の実施形態として適用することができる。上記のプログラム、記録媒体、伝送媒体およびプログラムプロダクトは、本発明の範疇に含まれる。
以上、この発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。
【図面の簡単な説明】
【００６４】
【図１】本発明の第一の実施形態における文書管理システムの概略構成を示す図である。
【図２】本実施形態における文書管理システムのセキュアデータ２の内部構造例を示す図である。
【図３】本実施形態における文書管理システムのセキュリティ管理サーバ４に格納されたセキュリティ管理データ８の一例を示す図である。
【図４】本実施形態における文書管理システムで行われる認証処理の概要を示す図である。
【図５】本実施形態の文書管理システムにおけるセキュアデータ２の内部構造の一例を示す図である。
【図６】本実施形態の文書管理システムにおけるセキュアデータ処理を示すフローチャートである。
【図７】本実施形態の文書管理システムにおける、セキュリティ管理サーバ４から仮アクセス権を入手し、セキュアデータ２に格納するまでの処理を示すフローチャートである。
【図８】第二の実施形態の文書管理システムにおけるセキュアデータの内部構造の一例を示す図である。
【図９】第二の実施形態の文書管理システムにおけるセキュアデータ処理を示すフローチャートである。
【図１０】図１に示したホスト装置（情報処理装置）１のハードウェア構成例を示すブロック図である。
【符号の説明】
【００６５】
１      ホスト装置
２      セキュアデータ
３      セキュアアプリケーション
４      セキュリティ管理サーバ
５      セキュア出力装置
６      セキュア入力装置
７      ネットワーク
８      セキュリティ管理データ
１０      ＣＰＵ（中央演算装置）
１２      ＲＯＭ
１８      ハードディスク
２１      セキュアデータ
【図１】
2006228057.tif 000003
【図２】
2006228057.tif 000004
【図３】
2006228057.tif 000005
【図４】
2006228057.tif 000006
【図５】
2006228057.tif 000007
【図６】
2006228057.tif 000008
【図７】
2006228057.tif 000009
【図８】
2006228057.tif 000010
【図９】
2006228057.tif 000011
【図１０】
2006228057.tif 000012