(57)【要約】      （修正有）【課題】  他の業務システムとの連携が容易で且つ印刷物まで含めたセキュリティ確保が可能であるとともに、秘密保持期限を過ぎた電子文書を効率よく扱えるようにする。【解決手段】  暗号化された電子文書ファイルにユーザがアクセスする際に、上記電子文書ファイルに対応するオリジナル電子文書ファイルがあらかじめ規定された場所に配置されるのを監視する手段、上記オリジナル電子文書ファイルに付与するセキュリティ属性を決定する手段、上記オリジナル電子文書ファイルを暗号化して暗号化電子文書ファイルを生成する手段、上記暗号化電子文書ファイルの識別情報と、上記暗号化電子文書ファイルのコンテンツを復号するためのパラメータと、上記セキュリティ属性とを関連付けて管理する手段、上記暗号化電子文書ファイルをあらかじめ規定された出力先に出力する手段、を備える。【選択図】  図２
2006139744.tif 000002
【特許請求の範囲】
【請求項１】
暗号化された電子文書ファイルにユーザがアクセスする際に、上記ユーザが上記電子文書ファイルのコンテンツにアクセスする権限を持っているかどうかポリシーに従って判定し、権限がある場合にのみ上記電子文書ファイルのコンテンツを復号してアクセスさせるシステムであって、
上記電子文書ファイルに対応するオリジナル電子文書ファイルがあらかじめ規定された場所に配置されるのを監視する手段、
上記オリジナル電子文書ファイルに付与するセキュリティ属性を決定する手段、
上記オリジナル電子文書ファイルを暗号化して暗号化電子文書ファイルを生成する手段、
上記暗号化電子文書ファイルの識別情報と、上記暗号化電子文書ファイルのコンテンツを復号するためのパラメータと、上記セキュリティ属性とを関連付けて管理する手段、
上記暗号化電子文書ファイルをあらかじめ規定された出力先に出力する手段、
を備えたことを特徴とする文書ファイル保護システム。
【請求項２】
請求項１に記載の文書ファイル保護システムにおいて、
上記セキュリティ属性は、機密レベル、文書カテゴリ、関係者情報のいずれかを含むことを特徴とする文書ファイル保護システム。
【請求項３】
暗号化された電子文書ファイルにユーザがアクセスする際に、上記ユーザが上記電子文書ファイルのコンテンツにアクセスする権限を持っているかどうかポリシーに従って判定し、権限がある場合にのみ上記電子文書ファイルのコンテンツを復号してアクセスさせるシステムであって、
上記電子文書ファイルに対応するオリジナル電子文書ファイルがあらかじめ規定された場所に配置されるのを監視する手段、
上記オリジナル電子文書ファイルに付与するセキュリティ属性を決定する手段、
上記オリジナル電子文書ファイルと上記セキュリティ属性を含むファイル保護要求を行う手段、
上記ファイル保護要求の結果として暗号化電子文書ファイルを受け取る手段、
上記暗号化電子文書ファイルをあらかじめ規定された出力先に出力する手段、
を備えたことを特徴とする文書ファイル保護システム。
【請求項４】
暗号化された電子文書ファイルをユーザが印刷する際に、上記ユーザが上記電子文書ファイルのコンテンツを印刷する権限を持っているかどうかポリシーに従って判定し、権限がある場合にのみ上記電子文書ファイルのコンテンツをポリシーに従ってセキュリティ印刷処理するシステムであって、
上記電子文書ファイルに対応するオリジナル電子文書ファイルがあらかじめ規定された場所に配置されるのを監視する手段、
上記オリジナル電子文書ファイルに付与するセキュリティ属性を決定する手段、
上記オリジナル電子文書ファイルを暗号化して暗号化電子文書ファイルを生成する手段、
上記暗号化電子文書ファイルの識別情報と、上記暗号化電子文書ファイルのコンテンツを復号するためのパラメータと、上記セキュリティ属性とを関連付けて管理する手段、
上記暗号化電子文書ファイルをあらかじめ規定された出力先に出力する手段、
を備えたことを特徴とする文書ファイル保護システム。
【請求項５】
暗号化された電子文書ファイルをユーザが印刷する際に、上記ユーザが上記電子文書ファイルのコンテンツを印刷する権限を持っているかどうかポリシーに従って判定し、権限がある場合にのみ上記電子文書ファイルのコンテンツをポリシーに従ってセキュリティ印刷処理するシステムであって、
上記電子文書ファイルに対応するオリジナル電子文書ファイルがあらかじめ規定された場所に配置されるのを監視する手段、
上記オリジナル電子文書ファイルに付与するセキュリティ属性を決定する手段、
上記オリジナル電子文書ファイルと上記セキュリティ属性を含むファイル保護要求を行う手段、
上記ファイル保護要求の結果として暗号化電子文書ファイルを受け取る手段、
上記暗号化電子文書ファイルをあらかじめ規定された出力先に出力する手段、
を備えたことを特徴とする文書ファイル保護システム。
【請求項６】
オリジナル電子文書ファイルがあらかじめ規定された場所に配置されると、上記オリジナル電子文書ファイルに対して所定の保護処理を施して、保護済み電子文書ファイルをあらかじめ規定された出力先に出力するシステムであって、
上記オリジナル電子文書ファイルに付与するセキュリティ属性を決定する手段、
上記オリジナル電子文書ファイルを暗号化して保護済み電子文書ファイルを生成する手段、
上記保護済み電子文書ファイルの識別情報と、上記保護済み電子文書ファイルのコンテンツを復号するためのパラメータと、上記セキュリティ属性とを関連付けて管理する手段、
を備えたことを特徴とする文書ファイル保護システム。
【請求項７】
オリジナル電子文書ファイルがあらかじめ規定された場所に配置されると、上記オリジナル電子文書ファイルに対して所定の保護処理を施して、保護済み電子文書ファイルをあらかじめ規定された出力先に出力するシステムであって、
上記オリジナル電子文書ファイルに付与するセキュリティ属性を決定する手段、
上記オリジナル電子文書ファイルと上記セキュリティ属性を含むファイル保護要求を行う手段、
上記ファイル保護要求の結果として保護済み電子文書ファイルを受け取る手段、
上記保護済み電子文書ファイルの識別情報と、該保護済み電子文書ファイルのコンテンツを復号するためのパラメータと、上記セキュリティ属性とを関連付けて管理する手段、
を備えたことを特徴とする文書ファイル保護システム。
【請求項８】
請求項６または７のいずれか一項に記載の文書ファイル保護システムにおいて、
上記保護済み電子文書ファイルを印刷する際に、セキュリティ印刷処理を強制することができることを特徴とする文書ファイル保護システム。
【請求項９】
暗号化された電子文書ファイルにユーザがアクセスする際に、上記ユーザが上記電子文書ファイルのコンテンツにアクセスする権限を持っているかどうかポリシーに従って判定し、権限がある場合にのみ上記電子文書ファイルのコンテンツを復号してアクセスさせるシステムであって、
上記電子文書ファイルに対応するオリジナル電子文書ファイルに付与するセキュリティ属性を決定する手段、
上記セキュリティ属性に、上記オリジナル電子文書ファイルの秘密保持期限を含める手段、
上記オリジナル電子文書ファイルを暗号化して暗号化電子文書ファイルを生成する手段、
上記暗号化電子文書ファイルの識別情報と、上記暗号化電子文書ファイルのコンテンツを復号するためのパラメータと、上記セキュリティ属性とを関連付けて管理する手段、
上記暗号化電子文書ファイルに対するアクセス制御判断を行う際に、秘密保持期限を過ぎているかどうかを判断する手段、
を備えたことを特徴とする文書ファイル保護システム。
【請求項１０】
請求項９に記載の文書ファイル保護システムにおいて、
秘密保持期限を過ぎていた場合には当該暗号化電子文書ファイルのセキュリティ属性として管理されている機密レベルを１ランク下げることを特徴とする文書ファイル保護システム。
【請求項１１】
請求項９に記載の文書ファイル保護システムにおいて、
秘密保持期限を過ぎていた場合には当該暗号化電子文書ファイルを復号するためのパラメータを、当該暗号化電子文書ファイルを閲覧する端末側に記録・保持させることを特徴とする文書ファイル保護システム。
【請求項１２】
請求項１１に記載の文書ファイル保護システムにおいて、
上記暗号化電子文書ファイルの閲覧を利用者から要求された際に、当該暗号化電子文書ファイルを復号するためのパラメータがその閲覧しようとする端末側に記録・保持されているか確認し、記録・保持されていれば当該復号パラメータを使用して当該暗号化電子文書ファイルを復号することを特徴とする文書ファイル保護システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュリティ技術、暗号技術、アクセス制御技術、機密保護技術を用い、他システムと連携が容易で印刷セキュリティの提供が可能であるとともに、秘密保持期限を取り扱い可能な、機密文書管理システム等に適用が可能な文書ファイル保護システムに関する。
【背景技術】
【０００２】
ある特定のフォルダなどを監視していて、そのフォルダにファイルが格納されると、あらかじめ設定された処理方法に基づいてそのファイルを処理し、処理後のファイルを別の出力先フォルダに格納する、という仕組みが存在する（例えば、HyperGear社 HG/PscanServPlus：http://www.hypergear.com/pdf/pscanserv_plus_product.htm）。
【０００３】
図１はこの種の従来の文書処理システムの概略構成図であり、（ａ）は紙文書、図面、仕様書等をスキャナで読み取り、読み取ったTIFF（Tagged Image File Format）ファイルをサーバの管理下にある所定の監視フォルダに格納することで、サーバがPDF（Portable Document Format）変換を行い、所定の出力ディレクトリに格納するものである。また、（ｂ）はパーソナルコンピュータから各種の文書ファイルをサーバの管理下にある所定の監視フォルダに格納することで、サーバがPDF変換を行い、所定の出力ディレクトリに格納するものである。
【０００４】
この種の文書管理システムにあっても、ある監視フォルダにあらかじめ「PDF変換」「暗号化設定40ビット」「印刷禁止」といった設定をしておき、スキャナから出力されたTIFFファイルがその監視フォルダに格納されると、監視プログラムはそのTIFFファイルをPDFファイルに変換するとともに、PDFファイルを暗号アルゴリズムRC4、鍵長40ビットで暗号化し、更にそのPDFファイルに印刷禁止モードを設定する。そして、出力先フォルダにその暗号化されたPDFファイルを格納する。これにより、印刷ができないPDFファイルを生成することや、あらかじめ設定されているパスワードを知っているユーザにしかPDFファイルを開かせないといった制御が可能になる。
【０００５】
しかし、例えば「マル秘」という監視フォルダに格納されたファイルは、組織のセキュリティポリシーに従ってマル秘文書としてプロテクトし、そのマル秘文書の関係者だけがそのファイルを開けるように制御したり、そのファイルの印刷を禁止するだけでなく、印刷を許可する場合にもポリシーに従ってセキュリティ印刷を行うようにしたり、といったことを本来行いたいが、上記の仕組みではそれが実現できない。すなわち、パスワードによるアクセス制御では、パスワードを知っている人であれば誰でもファイルを開くことができてしまうため、そのパスワードを教えてしまえば関係者以外でもそのファイルが開けてしまうという問題がある。
【０００６】
その一方で、組織のセキュリティポリシーに従って、「マル秘」文書であれば関係者にしかファイルを開かせない、印刷を許可する場合でもセキュリティ印刷を強制する、というような技術（ドキュメント印刷プログラム、ドキュメント保護プログラムおよびドキュメント保護システム）が存在する（例えば、特許文献１、２参照。）。
【０００７】
これらの従来技術では、機密レベルや文書カテゴリ、その文書の関係者等を指定してファイルを暗号化プロテクトすると、そのファイルへのアクセスをポリシーに従って制御することができる。なお、アクセスを許可するかどうかはリモートのアクセス制御サーバに問い合わせる形になる。
【０００８】
また、その他にも、正当な権限を持つユーザにのみ電子文書へのアクセスを許可するようにするため、電子文書ファイルそのものを暗号化して保護し、正当な権限が確認された場合にのみその暗号を復号するようなシステムが開示されている（例えば、特許文献３、４参照。）。
【特許文献１】特開２００４−１５２２６１号公報
【特許文献２】特開２００４−１５２２６２号公報
【特許文献３】特開平９−２０４３３０号公報
【特許文献４】特開２００２−２７８８４４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００９】
図１に示したような従来技術では、他のシステムから出力される文書ファイルを監視して、検出した文書ファイルを保護してまた別のシステムに出力するという仕組みにより、工数のかかるシステムインテグレーション開発を必要とせずに他のシステムとの連携が可能となっている。しかし、保護した文書の紙への印刷については許可するかしないかの選択肢しかないため、許可した場合には機密文書の内容が印刷物として無防備な形で漏洩・流出してしまう危険性があり、その一方で、印刷を禁止してしまうと業務効率が悪くなるという問題がある。
【００１０】
一方で、特許文献１、２等に示される技術では、印刷を許可しつつもセキュリティ印刷を強制するような仕組みが開示されているが、配布者がドキュメント保護プログラムを直接使用して文書ファイルを保護することを想定したものになっており、他の業務システムと連携するような仕組みが開示されていない。
【００１１】
また、上述した従来技術はいずれも電子文書の機密を保持していなければならない期間中は非常によく効果を発揮する。しかし、一般的に機密文書にはその秘密を保持していなければならない期間というものが設定される。その期間を過ぎてしまえば、機密文書ではなく一般文書として扱え、誰でも閲覧を許可されるようになるような扱いをすることが望まれることが多い。しかし、上記従来技術では、秘密保持期限を過ぎた後も基本的にはユーザ認証などを求めることになっており、秘密でなくなった電子文書ファイルの内容を参照するためにわざわざそういった処理を行うのは無駄で効率が悪い。
【００１２】
本発明は上記の従来の問題点に鑑み提案されたものであり、その目的とするところは、他の業務システムとの連携が容易で且つ印刷物まで含めたセキュリティ確保が可能であるとともに、秘密保持期限を扱えるようにする仕組みを加えることで秘密保持期限を過ぎた電子文書を効率よく扱えるようにした新しい文書ファイル保護システムを提供することにある。
【課題を解決するための手段】
【００１３】
上記の課題を解決するため、本発明にあっては、請求項１に記載されるように、暗号化された電子文書ファイルにユーザがアクセスする際に、上記ユーザが上記電子文書ファイルのコンテンツにアクセスする権限を持っているかどうかポリシーに従って判定し、権限がある場合にのみ上記電子文書ファイルのコンテンツを復号してアクセスさせるシステムであって、上記電子文書ファイルに対応するオリジナル電子文書ファイルがあらかじめ規定された場所に配置されるのを監視する手段、上記オリジナル電子文書ファイルに付与するセキュリティ属性を決定する手段、上記オリジナル電子文書ファイルを暗号化して暗号化電子文書ファイルを生成する手段、上記暗号化電子文書ファイルの識別情報と、上記暗号化電子文書ファイルのコンテンツを復号するためのパラメータと、上記セキュリティ属性とを関連付けて管理する手段、上記暗号化電子文書ファイルをあらかじめ規定された出力先に出力する手段、を備えるようにしている。
【００１４】
このように、保護対象ファイルを監視して適切に保護した上で出力できるようにしたことで、文書保護システムとして他の業務システム等と連携がしやすくなる。
【００１５】
また、請求項２に記載されるように、請求項１に記載の文書ファイル保護システムにおいて、上記セキュリティ属性は、機密レベル、文書カテゴリ、関係者情報のいずれかを含むものとすることができる。
【００１６】
このように、セキュリティ属性として機密レベルや文書カテゴリなどを指定することで、保護したファイルへのアクセスをルールのようなセキュリティポリシーに従ってコントロールできるようになる。
【００１７】
また、請求項３に記載されるように、暗号化された電子文書ファイルにユーザがアクセスする際に、上記ユーザが上記電子文書ファイルのコンテンツにアクセスする権限を持っているかどうかポリシーに従って判定し、権限がある場合にのみ上記電子文書ファイルのコンテンツを復号してアクセスさせるシステムであって、上記電子文書ファイルに対応するオリジナル電子文書ファイルがあらかじめ規定された場所に配置されるのを監視する手段、上記オリジナル電子文書ファイルに付与するセキュリティ属性を決定する手段、上記オリジナル電子文書ファイルと上記セキュリティ属性を含むファイル保護要求を行う手段、上記ファイル保護要求の結果として暗号化電子文書ファイルを受け取る手段、上記暗号化電子文書ファイルをあらかじめ規定された出力先に出力する手段、を備えるようにすることができる。
【００１８】
この場合、請求項１と基本的な効果は同じであるが、電子文書を暗号化する部分とセキュリティ属性を管理する部分を、オリジナル電子文書ファイルを監視するような部分と分離したことにより、柔軟なシステム構成が可能になる。
【００１９】
また、請求項４に記載されるように、暗号化された電子文書ファイルをユーザが印刷する際に、上記ユーザが上記電子文書ファイルのコンテンツを印刷する権限を持っているかどうかポリシーに従って判定し、権限がある場合にのみ上記電子文書ファイルのコンテンツをポリシーに従ってセキュリティ印刷処理するシステムであって、上記電子文書ファイルに対応するオリジナル電子文書ファイルがあらかじめ規定された場所に配置されるのを監視する手段、上記オリジナル電子文書ファイルに付与するセキュリティ属性を決定する手段、上記オリジナル電子文書ファイルを暗号化して暗号化電子文書ファイルを生成する手段、上記暗号化電子文書ファイルの識別情報と、上記暗号化電子文書ファイルのコンテンツを復号するためのパラメータと、上記セキュリティ属性とを関連付けて管理する手段、上記暗号化電子文書ファイルをあらかじめ規定された出力先に出力する手段、を備えるようにすることができる。
【００２０】
これにより、保護対象ファイルを監視して適切に保護した上で出力できるようにしたことで、印刷時のセキュリティ確保までできる文書保護システムとして他の業務システム等と連携がしやすくなる。
【００２１】
また、請求項５に記載されるように、暗号化された電子文書ファイルをユーザが印刷する際に、上記ユーザが上記電子文書ファイルのコンテンツを印刷する権限を持っているかどうかポリシーに従って判定し、権限がある場合にのみ上記電子文書ファイルのコンテンツをポリシーに従ってセキュリティ印刷処理するシステムであって、上記電子文書ファイルに対応するオリジナル電子文書ファイルがあらかじめ規定された場所に配置されるのを監視する手段、上記オリジナル電子文書ファイルに付与するセキュリティ属性を決定する手段、上記オリジナル電子文書ファイルと上記セキュリティ属性を含むファイル保護要求を行う手段、上記ファイル保護要求の結果として暗号化電子文書ファイルを受け取る手段、上記暗号化電子文書ファイルをあらかじめ規定された出力先に出力する手段、を備えるようにすることができる。
【００２２】
この場合、請求項４と基本的な効果は同じであるが、電子文書を暗号化する部分とセキュリティ属性を管理する部分を、オリジナル電子文書ファイルを監視するような部分と分離したことにより、柔軟なシステム構成が可能になる。
【００２３】
また、請求項６に記載されるように、オリジナル電子文書ファイルがあらかじめ規定された場所に配置されると、上記オリジナル電子文書ファイルに対して所定の保護処理を施して、保護済み電子文書ファイルをあらかじめ規定された出力先に出力するシステムであって、上記オリジナル電子文書ファイルに付与するセキュリティ属性を決定する手段、上記オリジナル電子文書ファイルを暗号化して保護済み電子文書ファイルを生成する手段、上記保護済み電子文書ファイルの識別情報と、上記保護済み電子文書ファイルのコンテンツを復号するためのパラメータと、上記セキュリティ属性とを関連付けて管理する手段、を備えるようにすることができる。
【００２４】
これにより、他のシステムと連携して文書ファイルを保護するシステムとして、保護済み文書ファイルのアクセス制御をセキュリティポリシーに従って行うことができるようになる。
【００２５】
また、請求項７に記載されるように、オリジナル電子文書ファイルがあらかじめ規定された場所に配置されると、上記オリジナル電子文書ファイルに対して所定の保護処理を施して、保護済み電子文書ファイルをあらかじめ規定された出力先に出力するシステムであって、上記オリジナル電子文書ファイルに付与するセキュリティ属性を決定する手段、上記オリジナル電子文書ファイルと上記セキュリティ属性を含むファイル保護要求を行う手段、上記ファイル保護要求の結果として保護済み電子文書ファイルを受け取る手段、上記保護済み電子文書ファイルの識別情報と、該保護済み電子文書ファイルのコンテンツを復号するためのパラメータと、上記セキュリティ属性とを関連付けて管理する手段、を備えるようにすることができる。
【００２６】
この場合、請求項６と基本的な効果は同じであるが、電子文書を暗号化する部分とセキュリティ属性を管理する部分を、オリジナル電子文書ファイルを監視するような部分と分離したことにより、柔軟なシステム構成が可能になる。
【００２７】
また、請求項８に記載されるように、請求項６または７のいずれか一項に記載の文書ファイル保護システムにおいて、上記保護済み電子文書ファイルを印刷する際に、セキュリティ印刷処理を強制することができるようにすることができる。
【００２８】
これにより、他のシステムと連携して文書ファイルを保護するシステムに、セキュリティ印刷処理を強制できる機能が加わることで、印刷物まで含めたセキュリティを提供できるようになる。
【００２９】
また、請求項９に記載されるように、暗号化された電子文書ファイルにユーザがアクセスする際に、上記ユーザが上記電子文書ファイルのコンテンツにアクセスする権限を持っているかどうかポリシーに従って判定し、権限がある場合にのみ上記電子文書ファイルのコンテンツを復号してアクセスさせるシステムであって、上記電子文書ファイルに対応するオリジナル電子文書ファイルに付与するセキュリティ属性を決定する手段、上記セキュリティ属性に、上記オリジナル電子文書ファイルの秘密保持期限を含める手段、上記オリジナル電子文書ファイルを暗号化して暗号化電子文書ファイルを生成する手段、上記暗号化電子文書ファイルの識別情報と、上記暗号化電子文書ファイルのコンテンツを復号するためのパラメータと、上記セキュリティ属性とを関連付けて管理する手段、上記暗号化電子文書ファイルに対するアクセス制御判断を行う際に、秘密保持期限を過ぎているかどうかを判断する手段、を備えるようにすることができる。
【００３０】
これにより、暗号化電子文書ファイルのセキュリティ属性として秘密保持期限を管理でき、秘密保護が不要になった文書についてはその保護を解除できるようになる。
【００３１】
また、請求項１０に記載されるように、請求項９に記載の文書ファイル保護システムにおいて、秘密保持期限を過ぎていた場合には当該暗号化電子文書ファイルのセキュリティ属性として管理されている機密レベルを１ランク下げるようにすることができる。
【００３２】
これにより、暗号化電子文書ファイルのセキュリティ属性として管理している機密レベルを適切に下げることができ、不必要に機密レベルが高いまま文書を管理せずに済むようになる。
【００３３】
また、請求項１１に記載されるように、請求項９に記載の文書ファイル保護システムにおいて、秘密保持期限を過ぎていた場合には当該暗号化電子文書ファイルを復号するためのパラメータを、当該暗号化電子文書ファイルを閲覧する端末側に記録・保持させるようにすることができる。
【００３４】
これにより、復号するためのパラメータを端末側に記録することで、アクセス制御判断を行う側に問い合わせなくても暗号化電子文書が復号できるようになる。
【００３５】
また、請求項１２に記載されるように、請求項１１に記載の文書ファイル保護システムにおいて、上記暗号化電子文書ファイルの閲覧を利用者から要求された際に、当該暗号化電子文書ファイルを復号するためのパラメータがその閲覧しようとする端末側に記録・保持されているか確認し、記録・保持されていれば当該復号パラメータを使用して当該暗号化電子文書ファイルを復号するようにすることができる。
【００３６】
これにより、復号するためのパラメータが端末側に記録されているかまず確認することで、不必要にアクセス制御判断を行う側に問い合わせずに済むようになる。
【発明の効果】
【００３７】
本発明の文書ファイル保護システムにあっては、他の業務システムとの連携が容易で且つ印刷物まで含めたセキュリティ確保が可能であるとともに、秘密保持期限を扱えるようにする仕組みを加えることで秘密保持期限を過ぎた電子文書を効率よく扱えるようにした新しい文書ファイル保護システムを提供することができる。
【発明を実施するための最良の形態】
【００３８】
以下、本発明の好適な実施形態につき説明する。
【００３９】
先ず、本発明の文書ファイル保護システムの典型的な構成について図２に基づいて説明する。
【００４０】
図２において、システムの中心となるファイル保護連携サーバ１は、連携する監視先業務システム２のフォルダなどを監視し、その検出した保護対象ファイルを取得する。そしてその保護対象ファイルをセキュリティ属性とともにアクセス制御サーバ３に送付する。
【００４１】
アクセス制御サーバ３は渡された保護対象ファイルを暗号化するとともに、渡されたセキュリティ属性をそのファイルの識別子と関連付けて記録し、暗号化した保護済みファイルをファイル保護連携サーバ１に返す。そしてファイル保護連携サーバ１は連携する出力先業務システム４のフォルダなどに保護済みファイルを出力する。
【００４２】
文書閲覧者が出力先業務システム４側に出力された保護済みファイルをクライアント端末５において参照したり印刷したりする際に、クライアント端末５の保護済みファイル参照・印刷プログラムは保護済みファイルへのアクセス権があるかどうかアクセス制御サーバ３に問い合わせ、権限がある場合にのみファイルの内容を閲覧させたり、印刷させたりする。プリンタ６での印刷時にはアクセス制御サーバ３から指定されたセキュリティ印刷処理を実行する。
【００４３】
上記の典型的な構成を様々な手段として分解すると図３のようになる。
【００４４】
図３において、図中の左側にあるスキャナ１１、クライアント端末１２、業務システム１３、保護対象ファイル格納手段１４が図２の監視先業務システム２内部の手段に相当する。図３における保護対象ファイル監視手段１５、ファイル保護主制御手段１６、保護済みファイル出力手段１７を合わせたものが図２のファイル保護連携サーバ１内部の手段に相当する。図３におけるファイル保護手段１８、アクセス制御判断手段１９、セキュリティ属性ＤＢ２０、セキュリティポリシーＤＢ２１が図２のアクセス制御サーバ３内部の手段に相当する。図３における保護済みファイル表示・印刷手段２２が図２の右のクライアント端末５内部の手段に相当する。表示装置２３はクライアント端末５のモニタ等に相当し、印刷装置２４はプリンタ６に相当する。
【００４５】
これが典型的な手段の配置であるが、そのような配置をしなければならないわけではない。システムの構成上で最適な形に手段を配置して良い。例えば図３のファイル保護手段１８を図２のファイル保護連携サーバ１側に配置するようにしても良い。
【００４６】
以下、図３における各手段の行う処理について説明する。
【００４７】
先ず、ファイル保護主制御手段１６は、図４に示す処理を行う。すなわち、保護対象ファイル監視手段１５に対して監視要求を渡し（ステップＳ１０１）、保護対象ファイル監視手段１５が保護対象ファイルを検出したか否かを判断し（ステップＳ１０２）、保護対象ファイルを検出した場合には、保護対象ファイル監視手段１５から保護対象ファイルとセキュリティ属性を受け取り（ステップＳ１０３）、ファイル保護手段１８に対して保護対象ファイルとセキュリティ属性を含むファイル保護要求を渡し（ステップＳ１０４）、ファイル保護手段１８から保護済みファイルを受け取る（ステップＳ１０５）。次いで、セキュリティ属性を元に出力先を決定し（ステップＳ１０６）、保護済みファイル出力手段１７に保護済みファイルと出力先を含むファイル出力要求を渡す（ステップＳ１０７）。これらの処理をファイル保護主制御手段１６の終了要求があるまで行う。
【００４８】
ここで、セキュリティ属性としては、文書の機密レベル、文書カテゴリ、その文書の関係者リスト、秘密保持期限を含む。機密レベルは、「INTERNAL_USE_ONLY」、「SECRET」、「TOP_SECRET」といったものを指定する。文書カテゴリは、「TECHNICAL」、「FINANCIAL」、「HUMAN_RESOURCE」といったものを指定する。関係者リストには、例えばWindows（登録商標）のActive Directoryで管理されるユーザやグループのIDを指定する。例えば、「DomainName￥UserName」や「DomainName￥GroupName」のような形式となる。秘密保持期限には、例えば期限として「2007/09/27」などを指定する。
【００４９】
セキュリティ属性を元に出力先を決定する処理については、例えば以下のような方法で行う。すなわち、ファイル保護主制御手段１６の設定ファイルに図５のように記述しておき、ファイル保護主制御手段１６はこの設定ファイルを参照することにより、例えば、セキュリティ属性が「SECRET」の文書については「￥￥Machine01￥Documents￥Secret」を出力先と決定する。もちろん、これは決定方法の一例であって、機密レベルだけで判定するのではなく、文書カテゴリとの組み合わせで決定するようにしても良いし、監視していたフォルダの場所に応じて出力先を決めるようにしても良い。
【００５０】
次に、保護対象ファイル監視手段１５は、図６に示す処理を行う。すなわち、ファイル保護主制御手段１６から監視要求を受け取り（ステップＳ１１１）、設定ファイルを参照して監視先を決定する（ステップＳ１１２）。そして、終了要求があるまで、監視先にファイルが検出されるか否か判断し（ステップＳ１１３）、ファイルが検出された場合にはループ処理をブレークし（ステップＳ１１４）、設定ファイルを参照してセキュリティ属性を決定し（ステップＳ１１５）、検出したファイルを保護対象ファイルとして、セキュリティ属性とともにファイル保護主制御手段１６に渡す（ステップＳ１１６）。
【００５１】
ここで、監視先を決定する処理については、例えば以下のような方法で行う。すなわち、保護対象ファイル監視手段１５の設定ファイルに図７のように記述しておき、保護対象ファイル監視手段１５はこの設定ファイルを参照することにより、例えば「￥￥Machine11￥TechnicalReport」フォルダに格納されたファイルについては、セキュリティ属性として機密レベルを「SECRET」、文書カテゴリを「TECHNICAL」、関係者を「Domain￥RDMembers」と決定し、秘密保持期限については設定ファイルの「36」という数字から36ヵ月後として計算し、現在が2004/09/27であれば、2007/09/27と決定する。もちろん、これは決定方法の一例であって、監視先フォルダの場所で判定するのではなく、例えば文書に付与されているプロパティ（Microsoft Wordなどでは文書ファイルにタイトルなどのプロパティ情報を付与することができる）に基づいて、タイトルに「SECRET」と設定されているものについてはセキュリティ属性を「SECRET」にする、というような決定ルールにしても良い。
【００５２】
次に、保護対象ファイル格納手段１４としては、単にＯＳ（Operating System）のファイルシステム上にファイルを格納するような手段があれば良い。
【００５３】
次に、ファイル保護手段１８は、図８に示す処理を行う。すなわち、ファイル保護主制御手段１６から保護対象ファイルとセキュリティ属性を含むファイル保護要求を受け取ると（ステップＳ１２１）、ファイル識別子（ユニークID）を生成し（ステップＳ１２２）、暗号鍵・復号鍵を生成し（ステップＳ１２３）、ファイル識別子、セキュリティ属性、復号鍵をレコードとしてセキュリティ属性ＤＢ２０に記録する（ステップＳ１２４）。
【００５４】
次いで、暗号鍵で保護対象ファイルを暗号化し（ステップＳ１２５）、暗号化した保護対象ファイルにファイル識別子を添付して保護済みファイルとし（ステップＳ１２６）、保護済みファイルをファイル保護主制御手段１６に渡す（ステップＳ１２７）。
【００５５】
図９は保護済みファイル生成の概念図であり、保護対象ファイルを暗号化して暗号化保護対象ファイルが生成され、これにファイル識別子が添付されることで保護済みファイルが生成される。
【００５６】
図１０はセキュリティ属性ＤＢ２０のレコード構造を示す図であり、ファイル識別子、機密レベル、文書カテゴリ、関係者、秘密保持期限、復号鍵のフィールドを有している。
【００５７】
なお、ここでは復号鍵をセキュリティ属性ＤＢ２０に記録する例を示したが、セキュリティ属性ＤＢ２０自身が不正に参照される恐れがある場合に備えて復号鍵を別の暗号鍵で暗号化して記録しておくようにしても良いし、復号鍵を記録するのではなく、復号鍵を生成するためのパラメータを記録しておき、保護済みファイル表示・印刷手段２２だけがそのパラメータから復号鍵を生成できるようにしても良い。その方がセキュリティレベルは向上する。
【００５８】
次に、保護済みファイル出力手段１７は、図１１に示す処理を行う。すなわち、ファイル保護主制御手段１６から保護済みファイルと出力先を含むファイル出力要求を受け取ると（ステップＳ１３１）、出力先がファイルパスであるか否かを判断し（ステップＳ１３２）、出力先がファイルパスであればその出力先ファイルパスに保護済みファイルを配置する（ステップＳ１３３）。また、出力先がメールアドレスであるか否かを判断し（ステップＳ１３４）、出力先がメールアドレスであればその出力先メールアドレスに保護済みファイルを添付した電子メールを送付する（ステップＳ１３５）。
【００５９】
なお、ここでは出力先のタイプとしてファイルパスとメールアドレスしか例示していないが、これはもちろん業務システムに特化した出力先でも良い。例えば、業務システムのＤＢのテーブルに書き込むような場合には、テーブル名とレコード番号などを出力先として指定するような形にしても良い。また、出力先のタイプを判別しやすくするために、出力先の情報としてファイルパスやメールアドレスそのものだけでなく、「file:」のような出力先タイプを判別するための文字列を先頭に加えるようにしても良い。
【００６０】
次に、保護済みファイル表示・印刷手段２２は、図１２および図１３に示す処理を行う。すなわち、保護済みファイルを参照する際の処理としては、図１２に示すように、文書閲覧者から保護済みファイルの参照要求を受け取ると（ステップＳ１４１）、保護済みファイルからファイル識別子を取り出す（ステップＳ１４２）。次いで、秘密保持期限切れ情報ファイルを読み出し（ステップＳ１４３）、秘密保持期限切れ情報ファイルにファイル識別子に該当する情報があるか否か判断し（ステップＳ１４４）、ある場合には、秘密保持期限切れ情報ファイルからファイル識別子に対応する復号鍵を取り出し（ステップＳ１４５）、復号鍵で保護済みファイルを復号し（ステップＳ１４６）、復号したデータをレンダリングして表示し（ステップＳ１４７）、秘密保持期限切れフラグを内部的に保持し（ステップＳ１４８）、処理を終了する。
【００６１】
一方、秘密保持期限切れ情報ファイルにファイル識別子に該当する情報がない場合、文書閲覧者にユーザ名、パスワード、ドメイン名を入力させるダイアログを表示し（ステップＳ１４９）、文書閲覧者が入力したユーザ名、パスワード、ドメイン名を受け取る（ステップＳ１５０）。次いで、ファイル識別子、ユーザ名、パスワード、アクセス種別（参照）を含むアクセス制御判断要求をアクセス制御判断手段１９に渡し（ステップＳ１５１）、アクセス制御判断手段１９からアクセス制御判断結果を受け取る（ステップＳ１５２）。そして、アクセス制御判断結果が「許可」であるか否か判断し（ステップＳ１５３）、「許可」であればアクセス制御判断結果に含まれる復号鍵を取り出し（ステップＳ１５４）、その復号鍵で保護済みファイルを復号し（ステップＳ１５５）、復号したデータをレンダリングして表示する（ステップＳ１５６）。次いで、アクセス制御判断結果に機密レベル「なし」の情報が含まれるか否か判断し（ステップＳ１５７）、含まれる場合はファイル識別子と復号鍵を秘密保持期限切れ情報ファイルに記録する（ステップＳ１５８）。
【００６２】
また、アクセス制御判断結果が「許可」でない場合は、アクセス制御判断結果に含まれるエラーコードを表示する（ステップＳ１５９）。
【００６３】
保護済みファイルを参照した後で印刷する際の処理としては、図１３に示すように、文書閲覧者から現在参照している保護済みファイルの印刷要求を受け取ると（ステップＳ１６１）、秘密保持期限切れフラグを内部に保持しているか否か判断し（ステップＳ１６２）、保持している場合は 印刷処理を実行し（ステップＳ１６３）、処理を終了する。
【００６４】
一方、秘密保持期限切れフラグを内部に保持していない場合、ファイル識別子、ユーザ名、アクセス種別（印刷）を含むアクセス制御判断要求をアクセス制御判断手段１９に渡し（ステップＳ１６４）、アクセス制御判断手段１９からアクセス制御判断結果を受け取る（ステップＳ１６５）。そして、アクセス制御判断結果が「許可」であるか否か判断し（ステップＳ１６６）、「許可」であれば続いてアクセス制御判断結果にセキュリティ印刷処理の要件が含まれるか否か判断し（ステップＳ１６７）、セキュリティ印刷処理の要件が含まれる場合は、印刷設定を、要件で指定されたセキュリティ印刷モードにする（ステップＳ１６８）。その後、セキュリティ印刷処理の要件が含まれない場合も含め、印刷処理を実行する（ステップＳ１６９）。また、アクセス制御判断結果が「許可」でない場合は、アクセス制御判断結果に含まれるエラーコードを表示する（ステップＳ１７０）。
【００６５】
なお、秘密保持期限切れのファイルに対する復号鍵を保持するために、図１４に示すような秘密保持期限切れ情報ファイルをローカルＨＤＤ(Hard Disk Drive)等に保持するようにする。これにより、一度開いたことのある秘密保持期限切れのファイルについては、ユーザ認証やアクセス制御判断手段１９による判断を行わずに手元にある復号鍵で復号できるようになり、無駄に手間をかける必要がない。
【００６６】
次に、アクセス制御判断手段１９は、図１５に示す処理を行う。すなわち、保護済みファイル表示・印刷手段２２からアクセス制御判断要求を受け取ると（ステップＳ１７１）、アクセス制御判断要求にパスワードが含まれるか否かを判断し（ステップＳ１７２）、パスワードが含まれる場合、アクセス制御判断要求からユーザ名、パスワードを取り出し（ステップＳ１７３）、認証サーバにユーザ名、パスワードを渡して認証処理を行う（ステップＳ１７４）。そして、認証が失敗したか否かを判断し（ステップＳ１７５）、失敗した場合は、「認証エラー」のエラーコードをアクセス制御判断結果に含め（ステップＳ１７６）、アクセス制御判断結果を保護済みファイル表示・印刷手段２２に返し（ステップＳ１７７）、処理を終了する。
【００６７】
一方、認証が成功した場合、もしくはアクセス制御判断要求にパスワードが含まれていない場合は、認証サーバに問い合わせてユーザの所属するグループのリストを取得し（ステップＳ１７８）、アクセス制御判断要求からファイル識別子を取り出し（ステップＳ１７９）、セキュリティ属性ＤＢ２０からファイル識別子に該当するレコードを検索して読み出し（ステップＳ１８０）、レコードに格納されている機密レベル、文書カテゴリ、関係者、秘密保持期限、復号鍵を取り出す（ステップＳ１８１）。
【００６８】
次いで、機密レベルが「なし」であるか否か判断し（ステップＳ１８２）、「なし」である場合は判断結果（許可）と機密レベル「なし」を示す情報と復号鍵とをアクセス制御判断結果に含め（ステップＳ１８３）、アクセス制御判断結果を保護済みファイル表示・印刷手段２２に返し（ステップＳ１８４）、処理を終了する。
【００６９】
機密レベルが「なし」でない場合は、秘密保持期限が過ぎているか否か判断し（ステップＳ１８５）、過ぎている場合には、更に機密レベルが最低ランクであるか否か判断し（ステップＳ１８６）、最低ランクである場合には該当レコードに記録されている機密レベルを「なし」にし（ステップＳ１８７）、判断結果（許可）と機密レベル「なし」を示す情報と復号鍵とをアクセス制御判断結果に含め（ステップＳ１８８）、アクセス制御判断結果を保護済みファイル表示・印刷手段２２に返し（ステップＳ１８９）、処理を終了する。機密レベルが最低ランクでない場合には、機密レベルを１ランク下げ（ステップＳ１９０）、該当レコードに新しい機密レベルを記録する（ステップＳ１９１）。
【００７０】
次いで、ユーザの所属するグループリストと比較して、そのユーザが関係者かどうかを判定し（ステップＳ１９２）、セキュリティポリシーＤＢ２１から機密レベル、文書カテゴリに該当するセキュリティポリシーを読み出し（ステップＳ１９３）、アクセス制御判断要求からアクセス種別を取り出し（ステップＳ１９４）、ユーザにそのアクセス種別が許可されているかセキュリティポリシーを参照して判定する（ステップＳ１９５）。そして、許可されていないか否か判断し（ステップＳ１９６）、許可されていない場合は、「権限エラー」のエラーコードをアクセス制御判断結果に含め（ステップＳ１９７）、アクセス制御判断結果を保護済みファイル表示・印刷手段２２に返し（ステップＳ１９８）、処理を終了する。
【００７１】
また、ユーザにそのアクセス種別が許可されている場合は、判断結果（許可）とセキュリティポリシーに規定されている要件とをアクセス制御判断結果に含める（ステップＳ１９９）。次いで、アクセス種別が「参照」か否か判断し（ステップＳ２００）、「参照」である場合は、アクセス制御判断結果に復号鍵を含める（ステップＳ２０１）。そして、アクセス種別が「参照」か否かにかかわらず、アクセス制御判断結果を保護済みファイル表示・印刷手段２２に返す（ステップＳ２０２）。
【００７２】
なお、認証サーバとは、Windows(登録商標) Active Directoryのドメインコントローラや、LDAP認証サーバなどである。
【００７３】
また、セキュリティポリシーＤＢ２１には例えば図１６に示すようなセキュリティポリシーを記録する。
【００７４】
ここで、該当するセキュリティポリシーが存在しない場合にはアクセス制御判断結果を「禁止」とする。例えば、ファイル識別子が「SEC0001023209」のものは図１０に示すセキュリティ属性ＤＢ２０を参照すると機密レベルが「SECRET」で文書カテゴリが「TECHNICAL」、関係者は「Domain01￥RDMembers」となる。それに該当するセキュリティポリシーを図１６から参照し、ユーザが「Domain01￥RDMembers」に所属していれば、関係者であるから参照と印刷が許可され、印刷時には地紋印刷モードでのセキュリティ印刷処理が行われることになる。また、秘密保持期限が過ぎたときに自動的に機密レベルを下げられるよう、図１７のように機密レベルの高低を定義する機密レベル定義テーブルを別途用意するようにしても良い。なお、ここでは機密レベルを自動的に下げるような形にしているが、機密レベルを下げるかどうかを管理者に問い合わせ、管理者が承認すれば機密レベルを下げるような仕組みにしても良い。
【００７５】
以上、本発明の好適な実施の形態により本発明を説明した。ここでは特定の具体例を示して本発明を説明したが、特許請求の範囲に定義された本発明の広範な趣旨および範囲から逸脱することなく、これら具体例に様々な修正および変更を加えることができることは明らかである。すなわち、具体例の詳細および添付の図面により本発明が限定されるものと解釈してはならない。
【図面の簡単な説明】
【００７６】
【図１】従来の文書処理システムの概略構成図である。
【図２】本発明の一実施形態にかかる文書ファイル保護システムの構成図である。
【図３】本発明の他の実施形態を示す構成図である。
【図４】ファイル保護主制御手段の内部処理を示す図である。
【図５】ファイル保護主制御手段の設定ファイルの記述例を示す図である。
【図６】保護対象ファイル監視手段の内部処理を示す図である。
【図７】保護対象ファイル監視手段の設定ファイルの記述例を示す図である。
【図８】ファイル保護手段の内部処理を示す図である。
【図９】保護済みファイル生成の概念図である。
【図１０】セキュリティ属性ＤＢのレコード構造を示す図である。
【図１１】保護済みファイル出力手段の内部処理を示す図である。
【図１２】保護済みファイル表示・印刷手段の内部処理（参照処理）を示す図である。
【図１３】保護済みファイル表示・印刷手段の内部処理（印刷処理）を示す図である。
【図１４】秘密保持期限切れ情報ファイルの構造を示す図である。
【図１５】アクセス制御判断手段の内部処理を示す図である。
【図１６】セキュリティポリシーＤＢの構造を示す図である。
【図１７】機密レベル定義テーブルの例を示す図である。
【符号の説明】
【００７７】
１      ファイル保護連携サーバ
２      監視先業務システム
３      アクセス制御サーバ
４      出力先業務システム
５      クライアント端末
６      プリンタ
１１    スキャナ
１２    クライアント端末
１３    業務システム
１４    保護対象ファイル格納手段
１５    保護対象ファイル監視手段
１６    ファイル保護主制御手段
１７    保護済みファイル出力手段
１８    ファイル保護手段
１９    アクセス制御判断手段
２０    セキュリティ属性ＤＢ
２１    セキュリティポリシーＤＢ
２２    保護済みファイル表示・印刷手段
２３    表示装置
２４    印刷装置
【図１】
2006139744.tif 000003
【図２】
2006139744.tif 000004
【図３】
2006139744.tif 000005
【図４】
2006139744.tif 000006
【図５】
2006139744.tif 000007
【図６】
2006139744.tif 000008
【図７】
2006139744.tif 000009
【図８】
2006139744.tif 000010
【図９】
2006139744.tif 000011
【図１０】
2006139744.tif 000012
【図１１】
2006139744.tif 000013
【図１２】
2006139744.tif 000014
【図１３】
2006139744.tif 000015
【図１４】
2006139744.tif 000016
【図１５】
2006139744.tif 000017
【図１６】
2006139744.tif 000018
【図１７】
2006139744.tif 000019