(57)【要約】【課題】  利用者が既存アプリケーションで作成された機密情報ファイルを、組織外部に持ち出して追加編集作業を行うことができるが、いったん格納された機密情報はファイル内部に閉じ第三者に漏洩されることを防ぐことができる既存アプリケーションの機密情報ファイル保護システムを提供すること。【解決手段】  利用者端末が、認証サーバに対して当該利用者端末の記憶手段に格納された機密データの利用要求を送信し、利用者認証を行う手段と、認証結果によって前記機密データの暗号・復号用の共通鍵を受信する手段と、受信した復号用の共通鍵によって前記機密データを復号して前記既存アプリケーションで編集可能にする手段と、編集後の機密データを前記暗号用の共通鍵によって暗号化して前記記憶手段に格納する手段とを備えることを特徴とする。【選択図】      図１
2006139475.tif 000002
【特許請求の範囲】
【請求項１】
利用者端末と認証サーバ及び利用者情報・機密データ管理ＤＢを備え、前記利用者端末の記憶手段に保管された、既存アプリケーションで作成され暗号化された機密データを利用者が編集管理するためのシステムであって、
前記利用者端末が、
前記機密データを利用する際に、前記認証サーバに対して当該利用者端末の記憶手段に格納された機密データの利用要求を送信し、利用者認証を行う手段と、認証結果によって前記機密データの暗号・復号用の共通鍵を受信する手段と、受信した復号用の共通鍵によって前記機密データを復号して前記既存アプリケーションで編集可能にする手段と、編集後の機密データを前記暗号用の共通鍵によって暗号化して前記記憶手段に格納する手段とを備え、
前記認証サーバが、
前記利用者端末からの機密データの利用要求を受信し、前記利用者情報・機密データ管理ＤＢに問い合わせることにより利用者認証を行う手段と、認証結果に応じて暗号・復号用の共通鍵を前記利用者端末に送信する手段とを備えることを特徴とする既存アプリケーションの機密情報保護システム。
【請求項２】
前記認証サーバは、前記利用者端末からの機密データの利用要求を受信した際に、新規に暗号・復号用の共通鍵を作成し、新規生成した共通鍵を前記利用者情報・機密データ管理ＤＢに登録した後、前回使用された共通鍵と共に暗号化して前記利用者端末に送信し、前記利用者端末は機密データ編集後に新規作成された共通鍵で機密データを暗号化して保存することを特徴とする請求項１に記載の既存アプリケーションの機密情報保護システム。
【請求項３】
利用者端末と共通鍵格納ハードウェア及びハードウェア読み取り装置を備え、前記利用者端末の記憶手段に保管された、既存アプリケーションで作成され暗号化された機密データを利用者が編集管理するためのシステムであって、
前記利用者端末が、
前記機密データを利用する際に、前記ハードウェア読み取り装置経由で共通鍵格納ハードウェア内の暗号・復号用共通鍵を読み取る手段と、読み取った復号用の共通鍵によって前記機密データを復号して前記既存アプリケーションで編集可能にする手段と、編集後の機密データを前記暗号用の共通鍵によって暗号化して前記記憶手段に格納する手段とを備えることを特徴とする既存アプリケーションの機密情報保護システム。
【請求項４】
前記利用者端末が、
機密データの編集中に既存アプリケーションが提供する機能を制御する手段と、利用者端末におけるマウスの動作を監視・制御してマウス操作による他のアプリケーションへの機密データのコピーを防止する手段と、共有メモリを監視・制御して共有メモリを用いた他のアプリケーションへの機密データのコピーを防止する手段と、キーボードの動作を監視・制御して編集中にハードコピーを防止するための手段をさらに備えることを特徴とする請求項２または請求項３に記載の既存アプリケーションの機密情報保護システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、既存アプリケーションの機密情報を効率的に編集でき、なおかつ編集している利用者による機密情報の漏洩を防ぐようにした既存アプリケーションの機密情報保護システムに関するものである。
【背景技術】
【０００２】
従来、機密情報を格納するファイルへの利用者端末における閲覧のみを許し、印刷やコピー＆ペースト、ハードコピーなどを禁止することにより、利用者端末に表示されている機密情報の利用者による漏洩を防ぐ技術がある。
例えば、本出願人により先に出願されている下記の特許文献１に開示しているシステムでは、Ｗｅｂサーバ上に格納されたＨＴＭＬや他の既存アプリケーションで作成された機密ファイルを、印刷やコピー＆ペーストのできない専用Ｖｉｅｗｅｒで閲覧し、専用Ｖｉｅｗｅｒが起動中はハードコピーを禁止することにより、表示された機密情報の閲覧のみ許し、情報自体の漏洩を防ぐようにしている。
【０００３】
【特許文献１】特開２００２−０４１３４７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
一方、Ｍｉｃｒｏｓｏｆｔ  Ｏｆｆｉｃｅ等の既存アプリケーションで生成された機密情報ファイルの場合、そのファイルを出張先や利用者の自宅等で編集したいというニーズが存在する。しかしながら、単に暗号化して持ち出すことを利用者に許可した場合、悪意ある利用者によりファイルを復号化して複製されたり、既存アプリケーションで開いて印刷・コピー＆ペースト等を行って他のファイル形式に変換されたりして機密情報が外部に漏洩されてしまう脅威がある。
また、上記の従来の技術では、機密情報ファイルの閲覧のみが可能であり、ファイルの編集はできない。
【０００５】
本発明の目的は、利用者がＭｉｃｒｏｓｏｆｔ  Ｏｆｆｉｃｅ等の既存アプリケーションで作成された機密情報ファイルを、組織外部に持ち出して追加編集作業を行うことができるが、いったん格納された機密情報はファイル内部に閉じ、外部にコピー＆ペーストやハードコピー、ファイルコピー等で複製されて第三者に漏洩されることを防ぐことができる既存アプリケーションの機密情報ファイル保護システムを提供することにある。
【課題を解決するための手段】
【０００６】
上記課題を解決するために本発明は、利用者端末と認証サーバ及び利用者情報・機密データ管理ＤＢを備え、前記利用者端末の記憶手段に保管された、既存アプリケーションで作成され暗号化された機密データを利用者が編集管理するためのシステムであって、
前記利用者端末が、
前記機密データを利用する際に、前記認証サーバに対して当該利用者端末の記憶手段に格納された機密データの利用要求を送信し、利用者認証を行う手段と、認証結果によって前記機密データの暗号・復号用の共通鍵を受信する手段と、受信した復号用の共通鍵によって前記機密データを復号して前記既存アプリケーションで編集可能にする（前記既存アプリケーションが提供するコンポーネント等により編集する場合も含む）手段と、編集後の機密データを前記暗号用の共通鍵によって暗号化して前記記憶手段に格納する手段とを備え、
前記認証サーバが、
前記利用者端末からの機密データの利用要求を受信し、前記利用者情報・機密データ管理ＤＢに問い合わせることにより利用者認証を行う手段と、認証結果に応じて暗号・復号用の共通鍵を前記利用者端末に送信する手段とを備えることを特徴とする。
また、前記認証サーバは、前記利用者端末からの機密データの利用要求を受信した際に、新規に暗号・復号用の共通鍵を作成し、新規生成した共通鍵を前記利用者情報・機密データ管理ＤＢに登録した後、前回使用された共通鍵と共に暗号化して前記利用者端末に送信し、前記利用者端末は機密データ編集後に新規作成された共通鍵で機密データを暗号化して保存することを特徴とする。
【０００７】
また、前記利用者端末が、
前記機密データを利用する際に、前記ハードウェア読み取り装置経由で共通鍵格納ハードウェア内の暗号・復号用共通鍵を読み取る手段と、読み取った復号用の共通鍵によって前記機密データを復号して前記既存アプリケーションで編集可能にする手段と、編集後の機密データを前記暗号用の共通鍵によって暗号化して前記記憶手段に格納する手段とを備えることを特徴とする。
【０００８】
また、前記利用者端末が、
機密データの編集中に既存アプリケーションが提供する機能を制御する手段と、利用者端末におけるマウスの動作を監視・制御してマウス操作による他のアプリケーションへの機密データのコピーを防止する手段と、共有メモリを監視・制御して共有メモリを用いた他のアプリケーションへの機密データのコピーを防止する手段と、キーボードの動作を監視・制御して編集中にハードコピーを防止するための手段をさらに備えることを特徴とする。
【発明の効果】
【０００９】
本発明によれば、利用者は機密情報ファイルを閲覧するだけでなく、内部の情報を他のアプリケーション経由でコピーされて漏洩されることなく安全に編集可能になる。
また、暗号化された機密情報ファイルのコピーが作成されたとしても、利用ごとに保存のための共通鍵が更新されるか、共通鍵が複製の困難なハードウェアに格納されていることで、機密情報の拡散を防ぐことが可能になる。
【発明を実施するための最良の形態】
【００１０】
以下、本発明を実施する場合の第１の実施形態を、図面を用いて詳細に説明する。
図１は、本発明に係る第１の実施形態におけるシステム構成図である。
図１において、ネットワーク１０４には、ユーザ端末１０１、及び認証サーバ１０２が接続されている。
ユーザ端末１０１内のメモリには、機密情報編集ソフト１０５がインストールされており、暗号化機密データ１１１が格納されている。
機密情報編集ソフト１０５は既存アプリケーションオブジェクト１０６、メニュー制御モジュール１０７、共有メモリ管理モジュール１０８、ドラッグ＆ドロップ制御モジュール１０９、及びキーボード監視モジュール１０９で構成されている。
機密情報編集ソフト１０５は、メモリ内に格納された暗号化機密データ１１１を復号した後、対応する既存アプリケーションオブジェクト１０６で展開表示する。その際に、既存アプリケーションオブジェクト１０６は標準のメニューを生成するが、そのメニューのうち機密情報漏洩に繋がるメニュー項目について、メニュー制御モジュール１０７で制御して使用不可にすることで、表示されている機密情報を保護する。また、他のアプリケーションとの間でコピー＆ペーストを行うときに、一般にはＯＳの共有メモリ領域を使用するが、そのメモリ領域を監視して管理するモジュールとして共有メモリ管理モジュール１０８がある。このモジュール１０７、１０８により、機密情報編集ソフト１０５は、機密情報編集ソフトから他の外部アプリケーションへの機密情報のコピーを防ぐ。
ドラッグ＆ドロップ制御モジュール１０９は、利用者によるマウス操作を監視し、機密情報編集ソフト１０５で編集中の機密ファイル内のデータをドラッグ＆ドロップで他のアプリケーションにコピーしようとしたときに、それをキャンセルすることで、ドラッグ＆ドロップによる機密情報漏洩を防ぐ。
認証サーバ１０２は、利用者からアクセスがあった場合、ユーザ情報・アクセス管理ＤＢ１０３に問い合わせてユーザ認証を行い、ユーザ認証が成立すれば、復号用の鍵と新規生成した次回に暗号化を行うための鍵をユーザ端末に送信し、アクセスログを収集する。復号鍵を認証サーバ１０２で集中管理することで、利用者が編集するユーザ端末１０１を特定可能であり、悪意ある利用者が機密データのコピーを複数作成して他のユーザ端末にばら撒いた場合にも、編集もしくはオープンした契機で暗号・復号用の共通鍵を更新していくことにより、特定の数のコピーしか有効でないようにすることができ、ファイルコピーによる機密情報の漏洩や拡散を防ぐことができる。
また、アクセスログの収集は、機密情報のアクセス履歴を保管することによって、機密情報の流れをトレースすることができ、利用者に周知させることで機密情報漏洩の抑止効果に繋がる。
【００１１】
図２は、ユーザ情報・アクセス管理ＤＢ１０３が保持するテーブル図である。
このＤＢ１０３は、利用者情報管理テーブル２００とドキュメント情報管理テーブル２０３の２つのテーブルを保持している。
利用者情報管理テーブル２００には、ユーザＩＤ２０１とパスワード２０２の情報が保管されている。また、ドキュメント情報管理テーブル２０３には、ドキュメントＩＤ２０４、共通鍵２０５、及びアクセスログ２０６の情報が保管されている。
ドキュメントＩＤ２０４は、機密情報ファイルに割り振られた識別情報であり、共通鍵２０５を用いて暗号化され、ユーザ端末１０１に保管されている。この共通鍵２０５は、復号化の際にも使用され、暗号化機密データ１１１へのアクセスごとに更新される。これにより、ユーザ端末１０１に保管された暗号化機密データ１１１の暗号用の共通鍵は常に変更されるため、暗号化機密データ１１１が複数コピーされたとしても、利用可能なファイルは１つだけに制限される。
これにより、機密データの拡散を防ぐことができる。さらに、登録されている共通鍵の数を増やすことで、同時に存在できる暗号化機密データ１１１のコピーの数も制御することができる。
また、アクセスログ２０６には、機密データごとに誰がいつアクセスしたかといった履歴情報が格納されている。アクセスログを保管しておくことにより利用者の不正を追跡することができ、不正行為の抑止力にもなる。
【００１２】
図３は、機密データを編集する際のユーザ端末１０１と認証サーバ１０２間の処理のフローチャートである。
利用者が、ユーザ端末１０１にある暗号化機密データ１１１を機密情報編集ソフト１０５で開いたとき、機密情報編集ソフト１０５はダイアログを表示し、利用者にユーザＩＤとパスワード入力を促す（ステップ３０１）。
次に、機密情報編集ソフト１０５は、入力されたユーザＩＤとパスワード、及び暗号化機密データのドキュメントＩＤをＳＳＬ等よって認証サーバ１０２に暗号化して送信する（ステップ３０２）。
これに対し、そのデータを受信した認証サーバ１０２は、ユーザＩＤとパスワードを基にユーザ情報・アクセス管理ＤＢ１０３に問い合わせ（ステップ３０３）、ユーザ認証を行う（ステップ３０４）。ユーザ認証に失敗した場合、その旨を機密情報編集ソフト１０５に通知し、機密情報編集ソフト１０５がアクセス拒否ダイアログを表示して利用者による機密データ１１１へのアクセスを拒否する（ステップ３０９）。
【００１３】
一方、ユーザ認証に成功した場合、認証サーバ１０２は共通鍵を新規作成し、その共通鍵をユーザ情報・アクセス管理ＤＢ１０３に登録した後、ユーザ端末１０１に前回の共通鍵と一緒に暗号化して送信する（ステップ３０５）。
機密情報編集ソフト１０５は、前回にユーザ端末１０１のメモリ内に登録されていた共通鍵を用いて暗号化機密データ１１１を復号し、表示を行う（ステップ３０６）。
利用者は、機密情報編集ソフト１０５を用いて、必要な機密データの編集を行う（ステップ３０７）。編集した機密データを保存する場合は、認証サーバ１０２より新規に生成されて送られてきた共通鍵を用いて暗号化して保存する（ステップ３０８）。
このように、毎回保存時に暗号用の共通鍵を変えることにより、以前にコピーされた暗号化機密データは使用できなくなり、機密情報の拡散を防ぐことができる。
【００１４】
図４は、ドラッグ＆ドロップ制御処理の第１の方式に係るフローチャートである。
利用者が、ユーザ端末１０１にてドラッグ＆ドロップを開始したとき（ステップ４０１）、ドラッグ＆ドロップ制御モジュール１０９がドラッグ操作を検知する（ステップ４０２）。例えばＷｉｎｄｏｗｓ（Ｗｉｎｄｏｗｓはマイクロソフト社の登録商標）の場合、マウスの動作を監視するために、メッセージフック機能がＯＳより提供されており、この機能を応用してドラック操作の検知を行うことが可能である。
次に、ドラッグ＆ドロップ制御モジュール１０９は、ドラッグ元のアプリケーションを特定し、機密情報編集ソフト１０５かどうかを判定する（ステップ４０３）。もし、機密情報編集ソフト１０５でなければ、ドラッグ＆ドロップでコピーされようとしている情報は、機密情報編集ソフト１０５で現在編集中の機密データではないので、ドラッグ＆ドロップによるデータのコピーを許可する（ステップ４０５）。
しかし、ドラッグ元のアプリケーションが機密情報編集ソフト１０５である場合は、引き続きマウスの動作を監視し続け、ドロップ先のアプリケーションを特定する（ステップ４０４）。ドロップ先が機密情報編集ソフト１０５の場合は、ドラッグ＆ドロップを許可（ステップ４０５）、そうでない場合はドラッグ＆ドロップを禁止する（ステップ４０６）。
【００１５】
図５は、ドラッグ＆ドロップ制御処理の第２の方式に係るフローチャートである。
利用者が、ユーザ端末１０１にてドラッグ＆ドロップを開始したとき（ステップ５０１）、ドラッグ＆ドロップ制御モジュール１０９がドラッグ操作を検知する（ステップ５０２）。ドラッグ＆ドロップ制御モジュール１０９は、ドラッグ元のアプリケーションを特定し、機密情報編集ソフト１０５かどうかを判定する（ステップ５０３）。ドラッグ元のアプリケーションが機密情報編集ソフト１０５でない場合、ドラック＆ドロップによるデータのコピーを許可する（ステップ５０６）。
しかし、機密情報編集ソフト１０５である場合は、ドラッグ操作の間、マウスの移動可能領域を機密情報編集ソフト１０５のクライアント領域内に制限することにより、機密情報編集ソフト内部の機密データの移動は許すが、他のアプリケーションへのコピーは防ぐ（ステップ５０４）。
この領域制限はドラッグ操作の終了を検知するまで続けられる（ステップ５０５）。
ドラッグ操作が終了したら、ドロップ処理を行い、機密情報編集ソフト内部でのドラック＆ドロップ処理を実行する（ステップ５０６）。
前述した第１の実施方式との違いは、この第ニの方式では開かれている２つの機密データ間のデータのコピーができない点である。
【００１６】
図６は、機密情報ファイルの編集中におけるコピー＆ペースト処理のフローチャートである。
利用者が機密情報ファイルの表示データのコピー操作を実行したとき（ステップ６０１）、共有メモリ管理モジュール１０８は共有メモリ内のデータをコピーして、独自のメモリ領域に保管・退避する（ステップ６０２）。その後、共有メモリ管理モジュール１０８は、共有メモリ内のデータをクリアする（ステップ６０３）。
次に、利用者がペースト操作を行う（ステップ６０４）。ここで、アクティブなアプリケーションを特定して、ペースト先が機密情報編集ソフト１０５かどうかをチェックする（ステップ６０５）。機密情報編集ソフトの場合、退避していたコピーデータをペーストする（ステップ６０６）。
しかし、機密情報編集ソフト１０５でない場合は、機密データの漏洩を防ぐためにも、ペースト処理を不許可とする（ステップ６０７）。共有メモリからコピーデータを退避する理由は、機密情報編集ソフト内部のデータをコピー操作の後、他のアプリケーションに移ってコピー＆ペースト処理を行った場合でも、機密情報編集ソフト１０５でのコピー操作で退避したデータを保持しておき、後に機密情報編集ソフト１０５でペースト操作をしたときに退避データをペーストできるようにするためである。
上記の仕様では、外部アプリケーションから機密情報編集ソフト１０５へのコピー＆ペーストやドラッグ＆ドロップによるデータコピーは実行可能とする。この仕様を採用するのは、機密情報編集ソフト１０５における編集機能を効率的にするためである。
【００１７】
図７は、本発明の第２の実施形態におけるシステム構成図である。
前述の第１の実施形態と同様に、ユーザ端末７０１には機密情報編集ソフト７０２がインストールされており、暗号化機密データ７０８が格納されている。
機密情報編集ソフト７０２は、既存アプリケーションオブジェクト７０３、メニュー制御モジュール７０４、共有メモリ管理モジュール７０５、ドラッグ＆ドロップ制御モジュール７０６、及びキーボード監視モジュール７０７で構成されている。
前述の第１の実施形態と異なる構成要素として、ネットワークに繋がっていない代わりに、ハードウェア読み取り装置７１０がユーザ端末７０１に接続され、利用者固有の共通鍵の記録された利用者鍵格納ハードウェア７０９が利用者に配布されている。
暗号化機密データ７０８は、このハードウェアに記録された利用者固有の共通鍵で暗号化されている。本実施形態では、機密情報編集ソフト７０２は、暗号化機密データ７０８にアクセスする際に、復号用の鍵を認証サーバからダウンロードするのではなく、利用者鍵格納ハードウェア７０９から読み取って復号作業を行う。このように複製の難しいハードウェアに鍵を保管することで、暗号化機密データ７０８がコピーされて拡散するのを防ぐ。
また、この実施形態の場合は、ネットワークに接続できない環境でも暗号化機密データ７０８の編集作業を行える。
【図面の簡単な説明】
【００１８】
【図１】本発明に係る第１の実施形態におけるシステム構成図である。
【図２】ユーザ情報・アクセス管理ＤＢの保持するテーブル図である。
【図３】機密データを編集する際のユーザ端末と認証サーバ間の処理のフローチャートである。
【図４】ドラッグ＆ドロップ制御処理の第１の方式に係るフローチャートである。
【図５】ドラッグ＆ドロップ制御処理の第２の方式に係るフローチャートである。
【図６】機密情報ファイル編集中におけるコピー＆ペースト処理のフローチャートである。
【図７】本発明の第２の実施形態におけるシステム構成図である。
【符号の説明】
【００１９】
１０１…ユーザ端末
１０２…認証サーバ
１０３…ユーザ情報・アクセス管理ＤＢ
１０４…ネットワーク
１０５…機密情報編集ソフト
１０６…既存アプリケーションオブジェクト
１０７…メニュー制御モジュール
１０８…共有メモリ管理モジュール
１０９…ドラッグ＆ドロップ制御モジュール
１１０…キーボード監視モジュール
２００…利用者情報管理テーブル
２０１…ユーザＩＤ
２０２…パスワード
２０３…ドキュメント情報管理テーブル
２０４…ドキュメントＩＤ
２０５…共通鍵
２０６…アクセスログ
２０８…日時
７０９…利用者鍵格納ハードウェア
７１０…ハードウェア読み取り装置
【図１】
2006139475.tif 000003
【図２】
2006139475.tif 000004
【図３】
2006139475.tif 000005
【図４】
2006139475.tif 000006
【図５】
2006139475.tif 000007
【図６】
2006139475.tif 000008
【図７】
2006139475.tif 000009