(57)【要約】【課題】秘密分散によるデータ管理システムに係わり、企業等のグループのユーザ間で扱われる文書ファイルを秘密分散により安全に保管・伝送できる技術を提供する。【解決手段】企業等のグループを対象としてサービスを提供するＡＳＰサーバ１０を有する。ＡＳＰサーバ１０は、グループのユーザの端末２０での文書ファイルに対してユーザにより選択したラベルの情報を付与する処理を管理するラベリング管理部１１と、ユーザの端末２０のファイルを断片化（秘密分散）処理し、また利用時には復元処理するサービスを提供する秘密分散管理部１５と、上記復元時に復元の適切性をチェックするチェック部１６とを備える。またラベル情報に対して公開範囲情報をグループ単位で関連付ける手段を有する。復元要求のアクセスに対し、チェック部１６は、アクセス元が公開範囲に含まれるか否かを判定する。否の場合は復元を実行しない。【選択図】図２
2011248711.tif 000002
【特許請求の範囲】
【請求項１】
複数のユーザの端末を含むグループの情報処理システムを対象としてサービスを提供するサーバ装置を含むサービス事業者システムを有し、
前記サーバ装置は、前記グループのユーザの端末に対して、対象の文書ファイルを秘密分散技術により断片化する機能と、当該断片から文書ファイルを復元する機能と、を含む秘密分散サービス処理を提供する秘密分散管理部を有し、
前記グループのユーザの端末は、前記サーバ装置の秘密分散管理部にアクセスして前記秘密分散サービス処理を受ける秘密分散処理部を有し、
前記サーバ装置は、前記秘密分散サービス処理における前記復元の際に、復元の可否をチェックして不適切な復元を防止する処理を行うチェック部を備え、
前記サーバ装置は、ユーザにより設定可能な管理情報として、グループ単位ごとに、ＩＤ、ドメイン情報またはＩＰアドレス情報を含む、グループ情報を有し、
前記サーバ装置は、ユーザにより設定可能な管理情報として、前記グループのユーザの端末での文書ファイルに対して、公開範囲の情報をグループ単位で関連付ける、公開範囲情報を有し、
前記文書ファイルの断片を持つ前記グループの情報処理システムは、当該断片から文書ファイルを復元する際、前記サーバ装置へアクセスして、アクセス元の情報と、当該断片または文書ファイルの情報と、を含む要求の情報を送信し、
前記サーバ装置のチェック部は、前記管理情報に基づき、前記要求の情報における前記アクセス元のグループのＩＤまたはドメインまたはＩＰアドレスが、当該文書ファイルに関連付けられる公開範囲に含まれるか否かを判定し、
前記サーバ装置の秘密分散管理部は、上記判定の結果に応じて、上記否の場合は、当該文書ファイルの復元処理を実行せず、上記含まれる場合は、当該復元処理を実行して、復元した文書ファイルを前記アクセス元のグループの情報処理システムが取得すること、を特徴とする秘密分散によるデータ管理システム。
【請求項２】
複数のユーザの端末を含むグループの情報処理システムを対象としてサービスを提供するサーバ装置を含むサービス事業者システムを有し、
前記サーバ装置は、前記グループのユーザの端末に対して、対象の文書ファイルを秘密分散技術により断片化する機能と、当該断片から文書ファイルを復元する機能と、を含む秘密分散サービス処理を提供する秘密分散管理部を有し、
前記グループのユーザの端末は、前記サーバ装置の秘密分散管理部にアクセスして前記秘密分散サービス処理を受ける秘密分散処理部を有し、
前記サーバ装置は、前記秘密分散サービス処理における前記復元の際に、復元の可否をチェックして不適切な復元を防止する処理を行うチェック部を備え、
前記サーバ装置は、ユーザにより設定可能な管理情報として、グループ単位ごとに、ＩＤ、ドメイン情報またはＩＰアドレス情報を含む、グループ情報を有し、
前記グループのユーザの端末は、文書ファイルに対して、公開範囲の情報をグループ単位で関連付ける処理を行う公開範囲付与部を有し、
前記文書ファイルの断片を持つ前記グループの情報処理システムは、当該断片から文書ファイルを復元する際、前記サーバ装置へアクセスして、アクセス元の情報と、当該断片または文書ファイルの情報と、当該文書ファイルに関連付けられる公開範囲の情報と、を含む要求の情報を送信し、
前記サーバ装置のチェック部は、前記管理情報に基づき、前記要求の情報における前記アクセス元のグループのＩＤまたはドメインまたはＩＰアドレスが、当該文書ファイルに関連付けられる公開範囲に含まれるか否かを判定し、
前記サーバ装置の秘密分散管理部は、上記判定の結果に応じて、上記否の場合は、当該文書ファイルの復元処理を実行せず、上記含まれる場合は、当該復元処理を実行して、復元した文書ファイルを前記アクセス元のグループの情報処理システムが取得すること、を特徴とする秘密分散によるデータ管理システム。
【請求項３】
請求項１記載の秘密分散によるデータ管理システムにおいて、
前記サーバ装置は、前記グループの各ユーザの端末に対して当該グループで利用するラベルの情報を管理するサービスを提供するラベリング管理部を有し、
前記グループのユーザの端末は、前記サーバ装置のラベリング管理部にアクセスし、前記ラベルの情報を利用するための処理を行うラベリング処理部を有し、
前記グループのユーザの端末は、前記サーバ装置の公開範囲情報に対して、前記ラベルと前記公開範囲との関連付けを設定する機能を有し、
前記グループのユーザの端末では、前記ラベリング処理部により、前記文書ファイルに、前記ユーザにより選択されるラベルの情報を付与し、
前記文書ファイルに付与されるラベルの情報は、前記断片化による断片にも付与され、
前記文書ファイルの断片を持つ前記グループの情報処理システムは、当該断片から文書ファイルを復元する際、前記サーバ装置へアクセスして、当該断片に付与されているラベルの情報を含む前記要求の情報を送信し、
前記サーバ装置のチェック部は、前記管理情報に基づき、前記要求の情報における前記アクセス元のグループのＩＤまたはドメインまたはＩＰアドレスが、当該文書ファイルのラベルに関連付けられる公開範囲に含まれるか否かを判定すること、を特徴とする秘密分散によるデータ管理システム。
【請求項４】
請求項２記載の秘密分散によるデータ管理システムにおいて、
前記サーバ装置は、前記グループの各ユーザの端末に対して当該グループで利用するラベルの情報を管理するサービスを提供するラベリング管理部を有し、
前記グループのユーザの端末は、前記サーバ装置のラベリング管理部にアクセスし、前記ラベルの情報を利用するための処理を行うラベリング処理部を有し、
前記グループのユーザの端末では、前記ラベリング処理部により、前記文書ファイルに、前記ユーザにより選択されるラベルの情報を付与し、
前記グループのユーザの端末では、前記公開範囲付与部により、前記文書ファイルに付与されるラベルの情報に対して当該ユーザにより指定されるグループ単位で前記公開範囲の情報を付与する処理を行い、
前記文書ファイルに付与されるラベル及び公開範囲の情報は、前記断片化による断片にも付与され、
前記文書ファイルの断片を持つ前記グループの情報処理システムは、当該断片から文書ファイルを復元する際、前記サーバ装置へアクセスして、当該断片に付与されているラベル及び公開範囲の情報を含む前記要求の情報を送信し、
前記サーバ装置のチェック部は、前記管理情報に基づき、前記要求の情報における前記アクセス元のグループのＩＤまたはドメインまたはＩＰアドレスが、当該文書ファイルのラベルに関連付けられる公開範囲に含まれるか否かを判定すること、を特徴とする秘密分散によるデータ管理システム。
【請求項５】
請求項１〜４のいずれか一項に記載の秘密分散によるデータ管理システムにおいて、
前記グループのユーザの端末の秘密分散処理部は、前記文書ファイルを断片化する際に、断片化の要求を前記サーバ装置の秘密分散管理部へ送信し、
前記サーバ装置の秘密分散管理部は、前記断片化の要求に対し、前記断片化の機能の処理により、前記文書ファイルから復元用情報を含む複数の断片のセットを形成し、そのうち、複数の断片を、ネットワーク上の複数の秘密分散サーバに分散して保管し、一部の断片を、前記グループのユーザの端末に保持し、
前記グループのユーザの端末の秘密分散処理部は、前記一部の断片から文書ファイルを復元する際に、復元の要求を前記サーバ装置の秘密分散管理部へ送信し、
前記サーバ装置の秘密分散管理部は、前記復元の要求に対し、前記チェック部の処理結果に応じて、前記復元の機能の処理により、前記複数の秘密分散サーバから前記複数の断片を収集して前記セットから前記文書ファイルを復元し、復元した文書ファイルを前記グループのユーザの端末へ送信すること、を特徴とする秘密分散によるデータ管理システム。
【請求項６】
請求項１〜４のいずれか一項に記載の秘密分散によるデータ管理システムにおいて、
前記グループのユーザの端末の秘密分散処理部は、前記断片化の機能の処理により、前記文書ファイルから復元用情報を含む複数の断片のセットを形成し、そのうち、複数の断片を、ネットワーク上の複数の秘密分散サーバに分散して保管し、一部の断片を、前記グループのユーザの端末に保持し、
前記グループのユーザの端末の秘密分散処理部は、前記一部の断片から文書ファイルを復元する際に、前記サーバ装置へアクセスして、当該断片に付与されているラベル及び公開範囲の情報を含む前記要求の情報を送信し、
前記サーバ装置の前記チェック部は、前記要求の情報について、前記公開範囲に関する判定を行い、その処理結果を前記グループのユーザの端末へ送信し、
前記グループのユーザの端末は、上記処理結果に応じて、前記復元の機能の処理により、前記複数の秘密分散サーバから前記複数の断片を収集して前記セットから前記文書ファイルを復元すること、を特徴とする秘密分散によるデータ管理システム。
【請求項７】
請求項１〜５のいずれか一項に記載の秘密分散によるデータ管理システムにおいて、
第１のグループの第１のユーザの端末は、第１の文書ファイルを対象として、前記秘密分散サービス処理による前記断片化の機能により、第１の断片を取得して保持し、
前記第１のグループの第１のユーザの端末を提供元とし、第２のグループの第２のユーザの端末を提供先として、前記第１の断片を任意の手段により提供し、
前記第２のグループの第２のユーザの端末は、前記第１の断片から、前記秘密分散サービス処理による前記復元の機能により、前記チェック部の処理結果に応じて、前記第１の文書ファイルを取得すること、を特徴とする秘密分散によるデータ管理システム。
【請求項８】
請求項５に記載の秘密分散によるデータ管理システムにおいて、
前記グループのユーザの端末の秘密分散処理部と、前記サーバ装置の秘密分散管理部との間での前記秘密分散サービス処理に基づき、前記ユーザの端末で特定のフォルダに前記文書ファイルが移動または保存操作がされると、自動的に当該文書ファイルを対象として前記断片化を実行して断片を保持し、また、前記特定のフォルダで前記断片が選択実行または開く操作、あるいは他のフォルダへの移動操作がされると、自動的に前記復元を実行して文書ファイルを取得すること、を特徴とする秘密分散によるデータ管理システム。
【請求項９】
請求項６に記載の秘密分散によるデータ管理システムにおいて、
前記グループのユーザの端末の秘密分散処理部による前記秘密分散サービス処理に基づき、前記ユーザの端末で特定のフォルダに前記文書ファイルが移動または保存操作がされると、自動的に当該文書ファイルを対象として前記断片化を実行して断片を保持し、また、前記特定のフォルダで前記断片が選択実行または開く操作、あるいは他のフォルダへの移動操作がされると、自動的に前記復元を実行して文書ファイルを取得すること、を特徴とする秘密分散によるデータ管理システム。
【請求項１０】
請求項３または４に記載の秘密分散によるデータ管理システムにおいて、
前記グループのユーザの端末のラベリング処理部と、前記サーバ装置のラベリング管理部との間での前記ラベルの付与の処理に基づき、前記ユーザの端末で前記文書ファイルに特定のラベルが付与操作、または当該ラベルが付与された文書ファイルの保存操作がされると、自動的に当該文書ファイルを対象として前記断片化を実行して断片を保持すること、を特徴とする秘密分散によるデータ管理システム。
【請求項１１】
請求項３または４に記載の秘密分散によるデータ管理システムにおいて、
前記グループのユーザの端末から、前記サーバ装置の管理情報に対して、前記グループで利用可能とするための前記ラベルの定義情報を含むテンプレートの情報を設定する処理を行う機能と、
前記グループのユーザの端末が、前記サーバ装置から、前記テンプレートの情報を取得する機能と、を有し、
前記グループのユーザの端末の前記ラベリング処理部は、適用する前記テンプレートの情報に基づき、画面の表示情報の中からユーザにより選択された種類の前記ラベルの情報を前記文書ファイルに対して付与する処理を行うこと、を特徴とする秘密分散によるデータ管理システム。
【請求項１２】
請求項３または４に記載の秘密分散によるデータ管理システムにおいて、
前記グループのユーザの端末から、前記サーバ装置の管理情報に対して、前記グループの情報を設定する処理を行う機能を備え、
前記グループの情報として、前記グループ単位として、複数のユーザの端末を含む企業の情報処理システムの単位、前記企業のうちの任意の複数のユーザの集まりの単位、複数の企業のグループにわたる企業間のグループの単位、及び、複数の企業のグループにわたる任意の複数のユーザの集まりからなる単位、のいずれも設定可能であること、を特徴とする秘密分散によるデータ管理システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、企業や個人等が扱う文書ファイル等のデータ（情報資産）の安全な保管や伝送などを実現するためのデータ管理システムの技術に関し、特に、秘密分散技術を用いたデータ管理システムに係わり、企業等の重要なデータの保護、情報漏洩対策などを実現するための技術に関する。
【背景技術】
【０００２】
企業等の情報漏洩対策などを実現するための有効な技術として、秘密分散技術を用いたデータ管理システムがある。企業等のユーザ（社員等）の端末に存在する一般的なデータ（文書ファイル）を対象とし、対象データ（元データ）を複数の断片（分割データ）に分割して保管や伝送を行う機能を有する。断片の形成は、ビット単位でのデータの並び替え等によりなされ、個々の断片は秘密化された状態となる。即ち、紙のシュレッダーの技術と同様に情報を分断するものであるが、さらに各断片は、元情報の一部を判読することもできず第三者にとって無意味な情報・非重要情報の状態となる。複数の断片（セット）は、復元のために必要な情報（「復元用情報」）と共に、複数の場所に保存される。特に、複数の断片（セット）を、ネットワーク上で複数のデータセンタのサーバ等に分散して保管や伝送を行うことにより、セキュリティを高めることができる。断片から文書ファイル（元データ）を復元する際には、複数の断片（セット）を集めて復元用情報に従った復元処理（データの並べ直し等）により復元ができ、ユーザにより閲覧等が可能になる。特に、元データに例えば個人情報等の重要な情報が含まれていたとしても、各断片は秘密化状態であり分散管理されるため、第三者により各断片単体からは重要情報を読み取ることはできず、元データの復元もできない。
【０００３】
企業等のユーザは、上記データ管理システム（断片化・復元の機能）を利用することで、あまり意識する必要無く、文書ファイルを秘密化状態で安全に扱うことができる。例えば、社員が自身の端末で重要データ（社内で扱う非公開情報など）を安全に操作することができる。例えばファイル保存時には外部ネットワーク上に断片の状態で安全に保管され、ファイルの閲覧・編集時には自動的に復元がされる。また企業間（ユーザ間）で重要データを一方から他方へ安全な状態で提供すること（ネットワーク上の保管・伝送や、媒体に格納して郵送・手渡し等）ができる。
【０００４】
上記秘密分散技術によるデータ管理システムに係わる前提技術として、特許第４０３９８１０号（特許文献１）（電子情報の安全確保方法）がある。特許文献１では、ＧＦＩ電子割符（登録商標）技術について記載されている。
【０００５】
また、前提技術として、文書ファイルに対してユーザによりラベル情報を付与するラベリング管理システム（ラベリング管理機能）がある（非特許文献１）。ユーザが端末のアプリケーション等で作成した文書ファイル等のデータ自体に対し、当該ユーザ自身により、当該文書の重要度などの性質に応じたラベル情報を選択付与する。プログラムにより当該データに対してラベル情報の付与処理が行われる。ラベルは例えば「極秘」「社内限」「関係者限」といったものである。これにより、企業等のグループ単位におけるデータ（情報資産）の識別・整理のレベルを高め、情報流出防止等のセキュリティのレベルを高めることができる。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特許第４０３９８１０号
【非特許文献】
【０００７】
【非特許文献１】ＮＲＩセキュアテクノロジーズ株式会社、“ＳｅｃｕｒｅＣｕｂｅ／Ｌａｂｅｌｉｎｇ”、＜ＵＲＬ：http://www.nri-secure.co.jp/service/cube/labeling.html＞
【発明の概要】
【発明が解決しようとする課題】
【０００８】
従来の秘密分散によるデータ管理システムに係わり、企業等の情報処理システム（ユーザの端末）で、前述のように断片化・復元の機能を利用することで、文書ファイルの安全な保管や伝送などが概ね実現できるが、ユーザの操作ミスや、第三者による不正利用などによる情報流出リスク等は存在する。例えば秘密分散による文書ファイル（断片）の提供・送付先を誤った場合や、提供ファイル（断片）自体を誤った場合などには、当該文書ファイルに関係の無い企業等のユーザによる復元など、不適切な復元（取得・利用）の発生の可能性がある。特に、重要データを含む文書ファイルの場合には、情報漏洩に関する影響が非常に大きい。
【０００９】
上記を鑑み、本発明の主な目的は、秘密分散によるデータ管理システムに係わり、企業等のグループのユーザ間で扱われる文書ファイルを秘密分散により安全に保管・伝送でき、秘密分散によるファイル（断片）の提供・送付先を誤った場合などにおいても、当該ファイルの不適切な復元（取得・利用）を防止することができる技術を提供することである。即ちこれにより、例えば企業等の情報流出リスクを下げ、情報漏洩等を防止することができる技術を提供することである。
【課題を解決するための手段】
【００１０】
前記目的を達成するために、本発明の代表的な実施の形態は、秘密分散を用いたデータ管理システムに係わり、企業等のグループの情報処理システム（ユーザの端末）で扱うデータ（文書ファイル）を対象とした断片化及び復元の機能・サービス（以下「秘密分散サービス」等と称する）を提供するものであり、以下に示す構成を有することを特徴とする。
【００１１】
例えば、本秘密分散によるデータ管理システムは、複数のユーザの端末を含むグループの情報処理システムを対象としてサービスを提供するサーバ装置を含むサービス事業者システムを有する。前記サーバ装置は、前記グループのユーザの端末に対して、対象の文書ファイルを秘密分散技術により断片化する機能と、当該断片から文書ファイルを復元する機能と、を含む秘密分散サービス処理を提供する秘密分散管理部を有する。前記グループのユーザの端末は、前記サーバ装置の秘密分散管理部にアクセスして前記秘密分散サービス処理を受ける秘密分散処理部を有する。前記サーバ装置は、前記秘密分散サービス処理における前記復元の際に、復元の可否をチェックして不適切な復元を防止する処理を行うチェック部を備える。前記サーバ装置は、ユーザにより設定可能な管理情報として、グループ単位ごとに、ＩＤ、ドメイン情報またはＩＰアドレス情報を含む、グループ情報を有する。前記サーバ装置は、ユーザにより設定可能な管理情報として、前記グループのユーザの端末での文書ファイルに対して、公開範囲の情報をグループ単位で関連付ける、公開範囲情報を有する。
【００１２】
前記文書ファイルの断片を持つ前記グループの情報処理システムは、当該断片から文書ファイルを復元する際、前記サーバ装置へアクセスして、アクセス元の情報と、当該断片または文書ファイルの情報と、を含む要求の情報を送信し、前記サーバ装置のチェック部は、前記管理情報に基づき、前記要求の情報における前記アクセス元のグループのＩＤまたはドメインまたはＩＰアドレスが、当該文書ファイルに関連付けられる公開範囲に含まれるか否かを判定し、前記サーバ装置の秘密分散管理部は、上記判定の結果に応じて、上記否の場合は、当該文書ファイルの復元処理を実行せず、上記含まれる場合は、当該復元処理を実行して、復元した文書ファイルを前記アクセス元のグループの情報処理システムが取得する。
【００１３】
また例えば、前記サーバ装置は、前記グループの各ユーザの端末に対して当該グループで利用するラベルの情報を管理するサービスを提供するラベリング管理部を有し、前記グループのユーザの端末は、前記サーバ装置のラベリング管理部にアクセスし、前記ラベルの情報を利用するための処理を行うラベリング処理部を有する。前記グループのユーザの端末は、前記サーバ装置の公開範囲情報に対して、前記ラベルと前記公開範囲との関連付けを設定する機能を有する。前記グループのユーザの端末では、前記ラベリング処理部により、前記文書ファイルに、前記ユーザにより選択されるラベルの情報を付与する。前記文書ファイルに付与されるラベルの情報は、前記断片化による断片にも付与される。
【００１４】
前記文書ファイルの断片を持つ前記グループの情報処理システムは、当該断片から文書ファイルを復元する際、前記サーバ装置へアクセスして、当該断片に付与されているラベルの情報を含む前記要求の情報を送信し、前記サーバ装置のチェック部は、前記管理情報に基づき、前記要求の情報における前記アクセス元のグループのＩＤまたはドメインまたはＩＰアドレスが、当該文書ファイルのラベルに関連付けられる公開範囲に含まれるか否かを判定する。
【発明の効果】
【００１５】
本発明の代表的な実施の形態によれば、秘密分散によるデータ管理システムに係わり、企業等のグループのユーザ間で扱われる文書ファイルを秘密分散により安全に保管・伝送でき、秘密分散によるファイル（断片）の提供・送付先を誤った場合などにおいても、当該ファイルの不適切な復元（取得・利用）を防止することができる。即ちこれにより、例えば企業等の情報流出リスクを下げ、情報漏洩等を防止することができる。
【００１６】
特に、従来技術ではできなかった、文書ファイル自体の性質と、提供先の企業等のグループ／ユーザ（復元者）との関連性に応じた復元のチェック・制御を実現できる。
【図面の簡単な説明】
【００１７】
【図１】本発明の一実施の形態のシステム（秘密分散によるデータ管理システム）にに関する全体の構成を示す図である。
【図２】本システムの各部の構成例などを示す図である。
【図３】本システムのラベリング管理機能（及び公開範囲付与機能）に関する構成例、及びファイル提供側でのラベリング処理などを示す図である。
【図４】本システムのファイル提供側での断片化処理に関する構成例を示す図である。
【図５】本システムのファイル受け取り側での復元処理に関する構成例を示す図である。
【図６】本システムでの断片化処理の詳細例を示す図である。
【図７】本システムでのラベリング時の画面例を示す図である。
【図８】本システムでの設定及びラベリング時の画面例を示す図である。
【発明を実施するための形態】
【００１８】
以下、本発明の実施の形態（秘密分散によるデータ管理システム）を図面（図１〜図８）に基づいて詳細に説明する。なお説明上の記号として適宜、Ｇ：グループ、Ｕ：ユーザ、Ｋ：管理者、Ｃ：端末、Ｆ：ファイル（文書）、Ｔ：テンプレート、Ｌ：ラベル、ｄ：断片、Ｈ：公開範囲、等とする。
【００１９】
［概要］
本実施の形態のシステムは、構成要素として、（１）ラベリング管理機能、（２）秘密分散サービス（断片化・復元の機能）、（３）復元時チェック機能、（４）公開範囲Ｈを設定／付与する機能、等を有する。またＡＳＰサーバ１０側で断片化・復元の主要処理を行う形態（端末２０側は簡易処理）である。
【００２０】
本システムでは、（１）企業等のグループのユーザによりデータ（文書ファイル）にラベル情報を付与するラベリングの管理を行うラベリング管理機能と、（２）企業等のグループのユーザのデータ（文書ファイル）を対象とした断片化（秘密分散）及び復元の機能（秘密分散サービス）と、を組み合わせたサービスを、各企業等のグループの情報処理システム（複数のユーザの端末）に対して提供する。
【００２１】
そして本システムでは、（２）秘密分散サービスに係わり、（３）グループのユーザが断片からファイルを復元（取得・利用）する際のチェック機能を設け、不適切な復元を防止する。特に、（４）公開範囲Ｈを設定／付与する機能を利用して、付与ラベル情報により表される文書ファイル自体の重要度などの性質と、文書ファイルの提供先のグループとの関連性に応じた復元時のチェック・制御を実現する。文書ファイル毎に相応しい公開範囲Ｈ内からの復元を可能とする。
【００２２】
（４）公開範囲Ｈを設定／付与する機能は、文書ファイルないしその付与ラベル情報に対して公開範囲Ｈ情報を企業等のグループ単位で関連付けることを可能とする手段・機能であり、この方式として、（ａ）方式：ＡＳＰサーバ１０への設定機能、（ｂ）方式：個別のユーザ端末２０での付与機能（図２、公開範囲付与部４０）、等を有し、いずれも利用可能である。公開範囲Ｈとは、当該文書ファイルに関する関係者、即ち閲覧・共有・公開等の範囲（対象）とするグループ（複数のユーザを含む）単位を示す。（４）の機能により、文書ファイル自体に公開範囲Ｈ情報を持たせる（関連付ける）ことができる。そして（３）の復元時チェックの際は、当該ファイルの提供先（復元要求のアクセス元）と、当該ファイルのラベルに関連付けられる公開範囲Ｈとを参照・比較して、復元の適切性を判定する。チェック結果に基づき復元の実行、許可等を制御する。
【００２３】
［システム］
図１において、本システムの全体構成例を示している。ネットワーク（インターネット等）９０上、サービスの対象となる複数の各々の企業などのグループ単位の情報処理システム（複数のユーザの端末２０を含む）、それらに対してサービスを提供するサービス部（サービス事業者システム）１００、及び複数のデータセンタ３０等が接続される構成である。
【００２４】
サービス部１００は、サーバシステム等により構成され、ＡＳＰサーバ１０、及びデータベース等による管理情報５０等を有する。ＡＳＰサーバ１０（ＡＳＰ：アプリケーション・サービス・プロバイダ）は、ラベリング管理部１１、秘密分散管理部１５、チェック部１６（復元時チェック部）、管理情報５０等を有する。ＡＳＰサーバ１０は、各処理機能（１１等）を有するサーバ装置（群）で構成され、管理情報５０を処理しつつ、端末２０等からのアクセス（要求）に対してサービス処理を行う。なおＡＳＰサーバ１０を含むサービス部１００は、多数のアクセスも処理可能なように、必要に応じてサーバ多重化や負荷分散等の機能を備える。
【００２５】
本システムでは、ＡＳＰサーバ１０により各グループ（ユーザの端末２０）に対して提供するサービス・機能として、（１）ラベリング管理機能と、（２）秘密分散サービスと、を有する。特に（２）秘密分散サービスに係わる機能として、（３）復元時チェック機能を有する。
【００２６】
（１）第１のサービスとして、各グループのユーザの文書ファイルに対するラベル付与（ラベリング）の統合管理のサービス（ラベリング管理機能）を提供する。各グループ単位での統一的なルール等によるラベリング管理を実現する。サービス部１００で管理するので、各グループの情報処理システムでは専用サーバ設置等は不要である。本機能は、端末１０側のラベリング処理部２１（図２）と、ＡＳＰサーバ１０のラベリング管理部１１とで、連携的に通信処理を行うことにより実現される。
【００２７】
（２）第２のサービスとして、各グループのユーザの端末２０で秘密分散による文書ファイルの安全な保管や伝送を実現する秘密分散サービスを提供する。本機能は、端末２０の秘密分散処理部２５（図２）と、ＡＳＰサーバ１０の秘密分散管理部１５とで、連携的に通信処理を行うことにより実現される。
【００２８】
（３）復元時チェック機能は、（２）秘密分散サービスを利用してグループのユーザが秘密分散によるファイル（断片）を復元する際に、復元の適切性をチェックし、不適切な復元を防止する機能である。本機能は、ＡＳＰサーバ１０の秘密分散管理部１５と連携するチェック部１６の処理により実現される。チェック処理では、当該ファイルのラベルに対して関連付けられる公開範囲Ｈ（グループ単位）の情報と、復元要求のアクセス元の情報との比較により判定する。例えば公開範囲Ｈに該当しないグループ（ユーザ）による復元（取得・利用）を不許可にする。
【００２９】
図１で、クライアント側の情報処理システムにおいて、企業Ａ，Ｂ，Ｃ，……といった各グループ単位Ｇ（ＧＡ，ＧＢ，ＧＣ，……）は、それぞれ複数のユーザＵの端末Ｃ（２０）を含んで成る。本例では、企業単位の場合を示しているが、公的な組織などの他のグループ単位も可能である。例えば企業Ａ（グループＧＡ）は、複数（ｎ）のユーザＵ（ＵＡ１〜ＵＡｎ）の端末Ｃ（ＣＡ１〜ＣＡｎ）を含んで成る。また例えば各社の情報処理システムは、各端末２０等が接続される社内ＬＡＮを有する。また例えば、企業Ａと企業Ｂは、所定の業務・プロジェクト等に関するコワーク（協働）関係を持つとし、これら企業（グループ）間でも特定のグループ単位を設定可能となっている。
【００３０】
ユーザＵ（ＵＡ１等）は、社員やシステム管理者やグループ代表者等を含む。各ユーザＵは、ＰＣやモバイル機器などの情報処理装置である端末２０（ＣＡ１等）を使用する。各端末２０は、例えばＰＣの場合、社内ＬＡＮ等でネットワーク９０に接続される。また例えばモバイル機器の場合、無線通信網等を含むネットワーク９０に接続される。そして各端末２０はネットワーク９０を介してＡＳＰサーバ１０にアクセスし通信可能である。
【００３１】
データセンタ３０は、サーバシステム等により構成され、秘密分散サーバ３１（ＫＳ）を備える。秘密分散サーバ３１（ＫＳ）は、ＡＳＰサーバ１０の秘密分散管理部１５の部分と同様の機能を持ち、ＡＳＰサーバ１０の秘密分散管理部１５との間での連携的な処理に基づき、秘密分散によるデータ（断片ｄ）を保管する機能を有する。
【００３２】
［処理部］
図２において、本システム（図１）の各処理部などの構成例を示している。なお簡単のため各ユーザの端末２０は同様の処理部（２１等）を備える構成とする。
【００３３】
端末２０は、ラベリング処理部２１、秘密分散処理部２５、Ｗｅｂブラウザ２８、文書作成アプリケーション２６、メールクライアント２７、公開範囲付与部４０等を備える。ユーザの端末２０では、文書ファイルＦの断片化（ｃ１）により得られる１つの断片ｄ（ｄｕとする）を保持する。
【００３４】
Ｗｅｂブラウザ２８は、ラベリング管理機能、秘密分散サービス、等に関するグラフィカルユーザインタフェースを提供する。文書作成アプリケーション２６は、ユーザにより文書ファイルＦ等を作成・編集等が可能なアプリケーションであり、例えばワープロ、表計算、プレゼンテーション等のソフトウェアである。文書作成アプリケーション２６等でラベルＬ付き文書ファイルＦを開くと、文書ページ内にラベルが出力される。メールクライアント２７は、ユーザにより、断片ｄファイル等を添付したメールを作成して提供先のグループのユーザへ送付する場合などに使用される。
【００３５】
ＡＳＰサーバ１０の秘密分散管理部１５は、サービス情報８５を管理・処理し、秘密分散サービス処理（断片化処理機能、復元処理機能を含む）を、グループのユーザの端末２０（秘密分散処理部２５）に対して提供する。また秘密分散管理部１５は、秘密分散サービスにおける基本的なユーザ認証処理機能（後述）を含む。また秘密分散管理部１５は、ユーザ認証処理を含む秘密分散サービス処理のログ情報をデータベース等に記録する。
【００３６】
端末２０の秘密分散処理部２５は、ＡＳＰサーバ１０の秘密分散管理部１５に対してアクセスし、秘密分散サービスの要求（ｂ１）−応答（ｂ２）等の処理を行う。秘密分散処理部２５は、クライアントプログラム等により実現され、ラベリング処理部２１、Ｗｅｂブラウザ２８等と連携する。端末２０では、秘密分散処理部２５を利用して、対象ファイルＦ（元データＤ）を断片化する操作・処理（ｃ１）と、逆に、断片化されたデータ（断片ｄ）からファイルＦ（Ｄ）を復元する操作・処理（ｃ２）とが可能である。
【００３７】
復元時チェック部１６は、秘密分散管理部１５による秘密分散サービスのうちの一部の機能を構成し、サービス利用契約及び設定等に基づき利用可能とする。チェック部１６は、公開範囲情報８０（ラベルＬ情報と公開範囲Ｈ情報との関連付け）の管理・処理に基づき、秘密分散管理部１５での復元処理の際にチェック処理を行う。
【００３８】
また図３では、主にラベリング管理機能に関する構成例を示している。ＡＳＰサーバ１０のラベリング管理部１１は、設定部１１−１、更新部１１−２、等を備え、端末２０のラベリング処理部２１は、設定部２１−１、更新部２１−２、等を備える。ラベリング処理部２１は、各部（２８，２６，４０等）と連携動作する。
【００３９】
ラベリング管理機能（１１，２１）は、グループのユーザの端末２０でユーザによりファイルＦにラベルＬを付与するラベリング機能と、グループの管理者Ｋ等により端末２０からＡＳＰサーバ１０（管理情報５０）に対してグループＧ（グループ情報６０）やテンプレートＴ（テンプレート情報７０）等に関する設定を行う設定機能と、を含む。
【００４０】
例えば各グループでは、複数のユーザＵのうち、上記設定操作が許可される特定のユーザである管理者Ｋ（ＫＡ等）及びその端末２０を有する。例えばグループ情報６０で、ユーザのＩＤ、種別・権限（一般／管理者等）、及びパスワード等のユーザ情報を管理する。設定機能の利用の際（端末２０からＡＳＰサーバ１０へのアクセスの際）、上記ユーザ情報を用いたユーザ認証処理などを行うことで、管理者Ｋ等の特定のユーザのみに設定操作を許可するように制御することができる。
【００４１】
ラベリング処理部２１は、実装例としては、文書作成アプリケーション２６等にプラグインとして組み込まれる。端末２０では、ラベリング処理部２１と文書作成アプリケーション２６との処理の連携に基づき、ラベリング処理が行われる。文書ファイルＦに付与されるラベルＬの情報は、例えば当該文書作成アプリケーション２６の管理する属性情報（プロパティ情報）内に記述される。
【００４２】
設定部１１−１，２１−１は、グループＧで適用するテンプレートＴ（ラベルＬの定義情報を含む）等を設定することができる設定機能を実現する。設定機能により、グループ情報６０、テンプレート情報７０、公開範囲情報８０等を設定可能とする。管理者Ｋ等は、端末２０のＷｅｂブラウザ２８の画面等での操作に基づき、端末２０（設定部２１−１）からＡＳＰサーバ１０（設定部１１−１）へアクセスし、グループＧ及びテンプレートＴ等の作成・変更・削除などの設定操作を行うことができる（図３のａ１）。
【００４３】
更新部１１−２，２１−２は、グループＧのユーザＵの端末２０での文書ファイルＦへのラベリングのために適用するテンプレートＴ等を自動的に取得・更新等することができる更新機能を実現する。ラベリング等の際、端末２０（更新部２１−２）により、ＡＳＰサーバ１０（更新部１１−２）から、最新のテンプレート情報７０等を自動的に取得し、更新適用することができる（図３のａ２）。
【００４４】
なお本実施の形態では、上記ラベリング管理機能に関する設定機能は、各サービス（秘密分散サービス及びチェック機能を含む）に関する設定も可能とする。例えば、復元時チェック機能に係わる公開範囲情報８０の設定なども可能とする（（ａ）方式）。勿論、各サービス・機能の設定機能を別個に設けてもよい。
【００４５】
［管理情報］
管理情報５０（図１〜図３等）の構成例として、グループ情報６０、テンプレート情報７０、公開範囲情報８０、サービス情報８５等を有する。ラベリング管理部１１は、管理情報５１（６０，７０等）を管理・処理する。秘密分散管理部１５は、管理情報５５（サービス情報８５等）を管理・処理する。チェック部１６は、管理情報５６（６０，８０等）を管理・処理する。なおグループ情報６０は各管理情報（５１，５５，５６）で共通の基本的な管理情報とするが、分けて管理してもよい。
【００４６】
グループ情報６０は、サービスを提供する対象となる複数の各企業等のグループＧ単位に関する管理情報（グループ構成情報）である。例えば、グループＩＤ（企業ＩＤなど）やグループ名称（企業名称など）、ドメイン情報やＩＰアドレス情報などの通信情報、ユーザＩＤや端末ＩＤ等のユーザ情報、等を管理する。また例えばコワーク企業間の仕事用など、複数の企業（グループＧ）またはその各ユーザＵを含んで成る、任意のグループＧ単位を設定することができる。また、グループＧとテンプレートＴ（当該グループＧで利用する１つ以上のテンプレートＴの情報）との対応付け等を管理する（テンプレート情報７０で管理してもよい）。
【００４７】
図３のグループ情報６０の例では、各企業Ａ，Ｂ等に対応する各グループＧのＩＤ（ＧＡ，ＧＢ）、対応するＩＰアドレス（ＩＡ１，ＩＢ１等）等を設定している。グループＩＤは、適宜、企業ＩＤ，部署ＩＤ等とすることができる。ＩＤ（識別情報）の値は、クライアント（端末２０）側及びＡＳＰサーバ１０側で適宜設定可能であり対応付けて管理される。企業ＩＤは、説明上は簡単にＡ，Ｂ等で表す。また、ネットワーク９０上のドメイン（“○○○．ｃｏ．ｊｐ”等）とＩＰアドレス等の情報がグループＩＤ等と共に関連付けて管理される。よってチェック等の際にはグループ情報６０に基づき、該当グループＧ（ＩＤ等）が判別できる。また企業（全ユーザ）単位だけでなく、企業のうちの特定のユーザの集まりからなる任意のグループの設定もできる。また例えば、複数企業（グループ）にわたるユーザのグループの設定もできる。例えばグループＧＸは、企業Ａ（ＧＡ），企業Ｂ（ＧＢ）から成る。グループＧＸは、例えば企業Ａのユーザ（ＵＡ１等）と企業Ｂのユーザ（ＵＢ１等）とにおける特定のプロジェクト（Ｘ）用に設定される。グループの構成メンバーは、設定に応じて、各企業内の全ユーザ、または特定ユーザ（ＵＡ１，ＵＢ１等）となる。また、グループＧとテンプレートＴとの対応付けの例として、企業Ａ（ＧＡ）で適用する（利用可能とする）テンプレートＴＡ，ＴＸを設定している。
【００４８】
テンプレート情報７０は、テンプレートＴ毎に、各種のラベルＬの定義情報などを含む。例えばグループの管理者（Ｋ）等により、予め端末２０（設定機能）の設定画面で、ＡＳＰサーバ１０に対し、グループＧ単位での統一的なルール等に基づくラベルＬの定義情報などを作成・編集等できる。テンプレート情報７０では、テンプレートＴのＩＤや名称、ラベルＬのＩＤや名称、ラベルＬ毎の区分情報やルール説明情報などが設定可能である（後述、図８等）。本実施の形態では、テンプレート情報７０内に公開範囲情報８０を含めて設定・管理している。
【００４９】
図３の例で、テンプレートＴＡは、企業Ａの自社用のテンプレートであり、該当企業Ａ内のユーザのみ利用可能となる。また例えばテンプレートＴＸは、企業間のグループＧＸ用のテンプレートであり、該当グループＧＸ内の各企業（Ａ，Ｂ）内のユーザが利用可能となる。また１グループで複数テンプレートの設定も可能である。その場合、当該グループのユーザは、複数テンプレートから選択したものを利用（適用）できる。例えば企業Ａのユーザは、設定済みのテンプレートＴＡ，ＴＸから選択利用可能となる。
【００５０】
公開範囲情報８０は、ラベルＬに対して公開範囲Ｈをグループ単位で関連付ける情報を管理する。例えばグループの管理者（Ｋ）等により、予め端末２０（設定機能）の設定画面で、ＡＳＰサーバ１０に対し、ラベルＬ（ラベルＩＤ）と公開範囲Ｈ（グループＩＤ等）との関連付けを企業ＩＤ等の選択・指定により設定可能である（（ａ）方式）。また特にグループ情報６０で設定済みの特定のユーザの集まりからなるグループ単位で公開範囲Ｈを設定することも可能である。
【００５１】
図３の例で、グループＧＡ用のテンプレートＴＡは、例えばラベルＬＡ等の定義情報を含む。また例えばグループＧＸ用のテンプレートＴＸは、例えばラベルＬＸ等の定義情報を含む。ラベルＬＡ（例「社内限」）は、関連付けられる公開範囲ＨＡとして、自社Ａ（ＧＡ）内とする。ラベルＬＸ（例「関係者限」）は、関連付けられる公開範囲ＨＸとして、グループＧＸ｛ＧＡ，ＧＢ｝内とする。ユーザは、仕事等に応じて適用テンプレート（例えばＴＡ，ＴＸ）及びそのラベル（例えばＬＡ，ＬＸ）を選択利用ができる。
【００５２】
サービス情報８５は、秘密分散管理部１５による秘密分散サービス処理に関する管理情報であり、サービスを利用（要求）するグループＧ、ユーザＵ／端末２０の情報（グループＩＤ，ユーザＩＤ、ＩＰアドレス等）、対象ファイルＦの情報（ファイルＩＤ等）、対応するセット（断片ｄ、復元用情報Ｒなど）の情報（断片ｄデータファイルＩＤ等）、対応するラベルＬの情報（ラベルＩＤ等）、保管場所の情報（秘密分散サーバ３１のアドレス等）、などを関連付けて管理する。
【００５３】
［サービス利用（設定）］
本システムのサービス利用や設定に係わる作業の例は以下である。予め、企業（例えば企業Ａ）の管理者（例えば図３のＫＡ）等は、サービス部１００に対して、各サービスに関するサービス利用契約を結び、サービス部１００の管理者、または設定対象グループ（ＧＡ）の管理者（ＫＡ）等により、ＡＳＰサーバ１０の管理情報５０に対して、設定対象グループ（ＧＡ）に関する基本的なグループ情報６０（企業、ユーザ、ドメイン・ＩＰアドレス等）を設定する。またグループ（ＧＡ）の設定に基づき、当該グループの管理者（ＫＡ）等により、当該グループで適用するルール等に基づくテンプレート情報７０（例えばＴＡ，ＴＸ）を設定する（ａ１）。また併せて公開範囲情報８０を設定してもよい（（ａ）方式）。端末２０から設定機能により適宜設定変更等も可能である。また例えば企業Ａ，Ｂ間（グループＧＸ）で利用するテンプレートＴＸ（ラベルＬＸ）の設定については、いずれかのグループ（例えばＧＡ）のユーザにより設定して、他のグループ（例えばＧＢ）のユーザに対して連絡する。各ユーザは端末２０の更新機能を用いることで、最新のテンプレート情報を追加・更新することができる。
【００５４】
設定されたグループ（ＧＡ）内の各ユーザの端末２０では、各処理部（２１等）を実現するプログラム等をインストール・設定する。各ユーザの端末２０のラベリング処理部２１は、ＡＳＰサーバ１０から、上記設定済みのテンプレート情報７０等を取得して保存する（ａ２）。またグループ（ＧＡ）のユーザの端末２０の秘密分散処理部２５からＡＳＰサーバ１０の秘密分散管理部１５（グループ情報６０）に対して、管理者（ＫＡ）または個別ユーザにより、秘密分散サービスの利用のためのアカウント情報（ユーザ情報）などを登録する。
【００５５】
復元時チェック機能の利用に関しては、設定機能を用いて、グループ（ＧＡ）の管理者（ＫＡ）等により、ＡＳＰサーバ１０（グループ情報６０、公開範囲情報８０等）に対して必要な情報を設定する。例えば復元時チェックの実施対象のグループ（例えばＧＸ）や、ラベルＬ（例えばＬＸ）と公開範囲Ｈ（例えばＧＸ）との関連付け等を設定する。
【００５６】
［事例］
図２で、復元時チェックに関する事例も示している。文書ファイルＦ（対応する断片ｄｕ）に関して、提供元が企業Ａ（グループＧＡ）のユーザＵＡ１（ＩＰアドレス：ＩＡ１）、提供先が企業Ｂ（グループＧＢ）のユーザＵＢ１（ＩＰアドレス：ＩＢ１）の場合とする。文書ファイルＦは、例えばコワーク企業Ａ，Ｂ間での特定のプロジェクト（Ｘ）用の文書ファイルＦ１（図３）であり、作成者がユーザＵＡ１、付与ラベルがＬＸ（図３）とする。２０１は、提供元（Ａ）から提供先（Ｂ）へ、正しくファイルＦ１の断片ｄｕを提供した場合である。２０２は、提供元（Ａ）から、上記正しいファイルＦ１の断片ｄｕを、誤った提供先（Ｆ１の非関係者）である企業Ｃ（グループＧＣ）のユーザＵＣ１（ＩＰアドレス：ＩＣ１）へ送付等してしまった場合である（ユーザＵＣ１による断片ｄｕの不正利用の場合でも同様）。
【００５７】
２０３は、上記正しい提供先（Ｂ）の端末２０からＡＳＰサーバ１０へ、ファイルＦ１の断片ｄｕ（２０１）に関する復元処理に先行した公開範囲のチェック要求アクセスの場合であり、当該アクセス元（ＧＢ）が当該ファイルＦ１（ＬＸ）対応の公開範囲Ｈ（ＨＸ）のグループＧＸに含まれるためチェック結果がＯＫとなる場合である。２０４は、上記誤った提供先（Ｃ）の端末２０からＡＳＰサーバ１０へ、ファイルＦ１の断片ｄｕ（２０２）に関する復元処理に先行した公開範囲のチェック要求のアクセスの場合であり、当該アクセス元（ＧＣ）が当該ファイルＦ１（ＬＸ）対応の公開範囲Ｈ（ＨＸ）のグループＧＸに含まれないためチェック結果がＮＧとなる場合である。
【００５８】
また例えば、提供元（Ａ）から、正しい提供先（Ｂ）へ、誤ったファイルＦ、例えば企業Ｃ向けの文書ファイルＦ２（付与ラベルＬＹ，公開範囲ＨＹ｛ＧＡ，ＧＣ｝）の断片ｄｕを送付等してしまった場合、当該アクセス元（ＧＢ）が当該ファイルＦ２（ＬＹ）対応の公開範囲ＨＹ｛ＧＡ，ＧＣ｝に含まれないためチェック結果がＮＧとなる。
【００５９】
［公開範囲（Ｈ）の方式］
公開範囲Ｈの関連付け（設定・付与等）に関する（ａ），（ｂ）の方式について補足説明する。チェック機能を実現するがためにユーザ操作性などが複雑にならないようにする仕組みを有する。
【００６０】
（ａ）方式では、予め、管理者Ｋ等により、端末２０の設定機能を用いてＡＳＰサーバ１０にアクセスし、公開範囲情報８０に、ラベルＬ（ラベルＩＤ等）と公開範囲Ｈ（グループＧ単位）との関連付けを設定することができる。（ａ）方式の場合、設定以後、個別のユーザ端末２０でのラベリングによる付与ラベルＬに応じて、自動的に公開範囲Ｈが関連付け（決定）されることになる。ＡＳＰサーバ１０でのチェック処理の際は、公開範囲情報８０に基づき、復元しようとするファイルの属性情報等（ラベルＩＤ等）に関連付けられる公開範囲Ｈがわかるので、判定ができる。（ａ）方式を用いることで、グループの各ユーザは、サービス（チェック機能）の利用に係る設定操作等の手間が少なくて済み、ユーザ操作性・利便性が維持できる。
【００６１】
（ｂ）方式では、グループの個別のユーザの端末２０で、ラベリング時などに、公開範囲付与部４０を用いて、ユーザにより個別の文書ファイルＦまたはその付与ラベルＬに対して、公開範囲Ｈ情報をグループＧ単位等で指定して付与することができる。例えば特定企業向けの文書ファイルＦのラベリング時、テンプレートＴのラベルＬの属性に基づいた上で、詳細な公開範囲Ｈとなる企業等（特定の関係者のユーザによるグループ等）を指定することができる。（ｂ）方式では、個別のファイル提供毎に詳細な制御が可能となる。
【００６２】
上記（ｂ）の機能は、上記（ａ）の設定とは別に行う形態としてもよいし、併用する形態としてもよい（本実施の形態では併用）。（ｂ）のみの利用の場合、既存のラベル（テンプレート情報７０）の定義では公開範囲Ｈの企業（グループ）等が具体的に設定されていなくとも、個別のラベリング時などに、付与ラベルに対し詳細な公開範囲Ｈ（ファイル提供先の企業等）を指定することができる。併用の場合、（ａ）による既存のラベル（テンプレート情報７０）及び公開範囲情報８０の定義に基づいた上で、更に、個別のラベリング時などに、付与ラベルに対し詳細な公開範囲（ファイル提供先の企業等）を指定することができる。なお併用の場合、ユーザ端末２０で個別に付与できる公開範囲Ｈ情報は、基本的な設定情報での定義から外れない範囲内となるように制御する。例えば「社内限」のラベルに対して他社を公開範囲Ｈとして付与できないようにする等。
【００６３】
［処理例］
図３〜図５を用いて、本システムでの一連の処理シーケンス例を説明する（Ｓは処理ステップ等を表す）。図３は、ファイル提供側でのラベリング処理等を示し、図４は、同じファイル提供側での断片化処理等を示し、図５は、ファイル受け取り・復元側での復元処理・チェック処理等を示す。なおＡＳＰサーバ１０側で断片化・復元の主要処理（Ｓ４，Ｓ１０）を行う形態（端末２０側は契機となる指示操作等の簡易処理）の場合である。
【００６４】
Ｓ０（設定）：
前述の通り、端末２０とＡＳＰサーバ１０との間での処理などに基づき、管理情報５０に対し必要な情報の設定等が行われる。例えば、図１のコワーク関係の企業Ａ，Ｂの各グループ（ＧＡ，ＧＢ）において、企業Ａ（ＧＡ）のユーザＵＡ１をファイルＦ１の提供元（作成や断片化を行う側）とし、企業Ｂ（ＧＢ）のユーザＵＢ１をファイルＦ１の提供先（受け取りや復元を行う側）とした場合を用いて説明する。またファイルＦ１は、上記企業Ａ，Ｂ間（対応グループＧＸ）での特定のプロジェクト（Ｘ）用の文書とする。当該プロジェクト（Ｘ）の関係者（担当者）のユーザは例えばＵＡ１，ＵＢ１とする。ファイルＦ１の付与ラベルＬは、例えばテンプレートＴＸに基づき、企業間（社内・社外）にわたる関係者に限定して当該文書を閲覧等させるためのラベルＬＸ（「関係者限」）とする（後述、図７の７０４）。また（ａ）方式の場合、ラベルＬＸに対応の公開範囲ＨＸとしてグループＧＸ｛ＧＡ，ＧＢ｝が設定される（グループＧＸの全ユーザもしくは特定のユーザＵＡ１，ＵＢ１）。
【００６５】
Ｓ１（ラベリング）：
図３において、企業ＡのユーザＵＡ１の端末２０（文書作成アプリケーション２６、ラベリング処理部２１等）では、ユーザＵＡ１による文書ファイルＦ（Ｆ１）の作成・保存等の時に、自動的（強制的）に、ユーザＵＡ１によるラベリング操作手順を介在させる。端末２０のラベリング処理部２１とＡＳＰサーバ１０のラベリング管理部１１との間での処理（要求−応答等）に基づき、ラベリング画面（後述、図７等）を自動的に表示し、適用テンプレートＴ（例えばＴＸ）等の情報に基づき、ユーザＵＡ１により選択されるラベルＬ（例えばＬＸ）の情報を、当該文書ファイルＦ（Ｆ１）に対して付与する処理を行う。例えばファイルＦ１の属性情報内に、付与ラベルＬＸのラベルＩＤ（ＬＸ）等の情報が記述される。例えばプロパティ名とその値を用いてラベルＩＤの値が記述される。
【００６６】
Ｓ２（公開範囲付与）：
また前記Ｓ１のラベリングの際などに、併せて、公開範囲付与部４０の処理機能（（ｂ）方式）を用いて、ユーザＵＡ１により当該文書ファイルＦ１（ラベルＬＸ）に対して、当該文書の関係者情報に相当する公開範囲Ｈ情報を企業ＩＤ等で指定して付与することができる。例えばユーザＵＡ１は、ラベリング画面（後述、図８等）で、当該文書の提供先の企業Ｂ（ＧＢ）の企業ＩＤ、ないし提供先と自分を含んで成る特定のグループＧＸ等を選択・指定して、公開範囲ＨＸを付与する。公開範囲付与部４０は、付与する公開範囲Ｈ（ＨＸ）情報を、例えば、ファイルＦ１の属性情報内に、前記付与ラベルＬ情報（ラベルＩＤ等）と関連付けて記述する。例えばプロパティ名とその値を用いて公開範囲Ｈ（企業ＩＤ等）の値が記述される。なおＡＳＰサーバ１０に公開範囲情報８０が設定済みの場合（（ａ）方式）、本処理（Ｓ２）は省略可能である。
【００６７】
Ｓ３（断片化）：
図４において、端末２０（秘密分散処理部２５）とＡＳＰサーバ１０（秘密分散管理部１５）との間での処理に基づき、ユーザＵＡ１により選択される対象ファイルＦ（ラベルＬＸ付きの文書ファイルＦ１）を断片化処理する（ｂ１，ｂ２）。例えば、端末２０（ファイルシステム、Ｗｅｂブラウザ２８等）の画面で、ユーザＵＡ１により対象ファイルＦ１を選択して断片化を指示する。この断片化の契機は、例えばフォルダ連動型（後述）の場合、特定のフォルダ内に対象ファイルＦをドロップ操作した時とすることができる。あるいは、別の契機として、例えばラベル連動型（後述）の場合、対象ファイルＦに特定の種類のラベルＬが付与された時とすることができる。
【００６８】
上記契機に従い自動的に断片化が実行される。端末２０（秘密分散処理部２５）からＡＳＰサーバ１０（秘密分散管理部１５）へ、断片化の要求を送信する（ｂ１）。この要求の情報（ｂ１）は、例えば、対象ファイルＦ１のデータ及び情報（ファイルＩＤ等）、及び付与ラベルＬＸの情報（ラベルＩＤ等）、等を含む。前記Ｓ２での付与情報（Ｈ）がある場合は一緒に送信される。ＡＳＰサーバ１０（秘密分散管理部１５）は、要求の情報（ｂ１）につき、管理情報５０（サービス情報８５）や当該アクセスのログ情報などを記録する。例えばグループＧＡ（ユーザＵＡ１）からの対象ファイルＦ１（付与ラベルＬＸ）の断片化の要求を示す情報を記録する。前記Ｓ２での付与情報（Ｈ）がある場合はその情報も記録される。
【００６９】
Ｓ４（断片化処理）：
ＡＳＰサーバ１０の秘密分散管理部１５は、要求の情報（ｂ１）に対し、断片化処理（Ｓ４）を行い、アクセス元へ応答を返す（ｂ２）。この断片化処理（Ｓ４）は、対象ファイルＦ（元データＤ）から複数の断片ｄ（復元用情報Ｒを含む）データのセットを形成する処理を含む（後述、図６）。なお各断片ｄには元のファイルＦ（Ｆ１）の付与ラベルＬ（ＬＸ）がそのまま継承して付与される。応答の情報（ｂ２）としては、例えば、形成した複数の断片ｄ（セット）のうちの１つの断片ｄ（例えばｄ０）を、当該要求元のユーザＵＡ１の端末２０で持たせる断片ｄｕとして送信する。ユーザＵＡ１の端末２０は、応答（ｂ１）により、上記断片ｄｕを保持する。
【００７０】
Ｓ５（分散保管）：
ＡＳＰサーバ１０の秘密分散管理部１５は、断片化処理（Ｓ４）に伴い、複数の保管先（保管場所）のデータセンタ３０の秘密分散サーバ３１（ＫＳ）との間での処理により、セットの断片ｄの分散保管処理を行う。例えば、対象ファイルＦの複数の断片ｄのセット（例えばｄ０〜ｄ３）のうち、ユーザＵＡ１が持つ１つの断片ｄｕ（例えばｄ０）以外の、複数の各断片ｄ（ｄ１〜ｄ３）を、それぞれネットワーク９０上の分散した別の秘密分散サーバ３１（ＫＳ１〜ＫＳ３）に送信して保管させる。
【００７１】
なおＡＳＰサーバ１０の秘密分散管理部１５の部分では、秘密分散サーバ３１と同様に、セットの一部の断片ｄデータを保管するようにしてもよい。
【００７２】
秘密分散管理部１５は、上記処理（Ｓ４，Ｓ５）に伴い、サービス情報８５及びログ情報を記録する。例えば、グループＩＤ，ユーザ／端末ＩＤ，ファイルＩＤ，複数の断片ｄデータファイルのＩＤ、ラベルＩＤ（＋公開範囲Ｈ情報）、保管場所情報（秘密分散サーバ３１のアドレス情報等）、等を格納する。
【００７３】
Ｓ６（断片提供）：
図５において、ファイルＦ１の提供（断片化）側のグループＧＡのユーザＵＡ１（端末２０）から、ファイルＦ１の受け取り（復元）側のグループＧＢのユーザＵＢ１（端末２０）へ、ファイルＦ１の断片ｄｕ（ｄ０）を提供する。提供の手段は各種可能であり、例えば、メールクライアント２７を用いてネットワーク９０上での電子メール（断片ｄｕデータを添付）等での伝送や、ディスクやＵＳＢメモリ等の媒体へ断片ｄｕデータを格納して郵送や手渡しする等の手段によって提供する。あるいは、ＡＳＰサーバ１０経由で提供してもよい。例えば提供元（Ａ）からＡＳＰサーバ１０（秘密分散サービス）へ断片ｄを預け、提供先（Ｂ）へ情報を通知し、提供先（Ｂ）からＡＳＰサーバ１０（秘密分散サービス）へアクセスして断片ｄを受け取る（復元する）、といった形態でもよい。
【００７４】
Ｓ７（復元要求）：
グループＧＢのユーザＵＢ１の端末２０では、ファイルＦ１の断片ｄｕ（ｄ０）に対し、復元操作を実行する。例えば端末２０の画面（ファイルシステム、Ｗｅｂブラウザ２８等）で、復元対象の断片ｄｕデータファイルを指定・選択等する。簡単には例えば断片ｄｕのクリック操作により、自動的に復元を実行する。
【００７５】
上記契機で、ユーザＵＢ１の端末２０の秘密分散処理部２５により、ＡＳＰサーバ１０の秘密分散管理部１５へアクセスして復元を要求する（Ｓ７）。この要求の情報は、（１）アクセス元の情報としてＩＰアドレス情報（例えばＩＢ１）、（２）対象ファイルＦ（Ｆ１）の断片ｄｕのデータ及びＩＤ等の情報、及び付与ラベルＬ（ＬＸ）のＩＤ等の情報を含む。
【００７６】
Ｓ８（チェック処理）：
ＡＳＰサーバ１０の秘密分散管理部１５は、復元の要求（Ｓ７）につき、サービス情報８５の参照に基づき、チェック部１６との間でのチェック処理（Ｓ８）を介在させる。例えば秘密分散管理部１５からチェック部１６へのチェック要求（Ｓ８−１）、チェック部１６から秘密分散管理部１５への結果応答（Ｓ８−２）、等の処理である。チェック要求（Ｓ８−１）は、Ｓ７の情報に基づき、問い合わせ情報として、例えば（１）アクセス元（復元要求）の情報（ＩＰアドレス、ないし対応グループＩＤ等）、（２）対象ファイルＦのラベルＬ情報（ラベルＩＤ）、等を含む。（２）の情報は、前記（ｂ）方式によって公開範囲Ｈ情報が付与されている場合はその情報を含む。結果応答（Ｓ８−２）は、例えばＯＫ／ＮＧの情報を含む。
【００７７】
チェック部１６は、チェック処理として、管理情報５６（グループ情報６０、公開範囲情報８０等）の参照に基づいて、（１）アクセス元の情報（ＩＰアドレス等）と、（２）ラベルＬに関連付けられる公開範囲Ｈ情報（グループＩＤ等）と、を比較して、アクセス元が公開範囲Ｈに含まれるか否か等によって、当該復元実行に関するＯＫ／ＮＧを判定する。判定例としては、アクセス元のＩＰアドレス（ＩＢ１）に対応するグループＩＤ（ＧＢ）が、対象ファイルＦ１の付与ラベルＬＸのラベルＩＤ（ＬＸ）に関連付けれらる公開範囲ＨＸのグループＧＸ｛ＧＡ，ＧＢ｝に含まれるため、結果がＯＫとなる。
【００７８】
Ｓ９（断片収集）：
秘密分散管理部１５は、上記チェック結果（Ｓ８−２）がＯＫの場合は下記の復元処理（Ｓ１０）を実行し、ＮＧの場合は実行しない。秘密分散管理部１５は、上記結果がＯＫの場合、復元処理（Ｓ１０）のために、サービス情報８５に基づき、対象ファイルＦの複数の断片ｄの保管場所である秘密分散サーバ３１（例えば図４のＫＳ１〜ＫＳ３）へアクセスし、復元に必要な複数の断片ｄ（復元用情報Ｒを含む）を収集する。例えば図４の断片ｄのセット（ｄ１〜ｄ３，及びｄｕ（ｄ０））を取得する。
【００７９】
Ｓ１０（復元処理）：
そして、ＡＳＰサーバ１０（秘密分散管理部１５）は、集めた断片ｄ（ラベルＬ付き）のセット（復元用情報Ｒを含む）を用いて、ユーザＵＢ１の端末２０（秘密分散処理部２５）との間での処理に基づき、復元処理（Ｓ１０）を行うことにより、復元されたファイルＦ（元データＤ）を得る。
【００８０】
Ｓ１１（復元応答）：
上記チェック結果（Ｓ８−２）がＯＫの場合、ＡＳＰサーバ１０の秘密分散管理部１５は、復元したファイルＦ１のデータを、アクセス元のユーザＵＢ１の端末２０へ送信する。これにより、当該ユーザＵＢ１は、ファイルＦ１（ラベルＬＸ付き）を取得・閲覧等することができる。
【００８１】
また、上記チェック結果（Ｓ８−２）がＮＧの場合、秘密分散管理部１５は、対象ファイルＦ１に関する復元処理（Ｓ１０）は実行せず、例えばアクセス元のユーザＵＢ１の端末２０へ上記ＮＧの旨の情報を応答する。これにより不適切な復元によるファイル取得・利用が防止される。
【００８２】
なお更に、提供元のグループＧＡのユーザＵＡ１の端末２０へ、上記チェック・復元の結果等の情報（上記ＯＫであった旨の情報や上記ＮＧであった旨の情報）を電子メール等で通知してもよい。
【００８３】
なお上記シーケンス例は断片化の主体（Ａ）と復元の主体（Ｂ）が異なる場合であるが、同じ主体の場合でも同様の処理によりチェック機能が働く。
【００８４】
［秘密分散サービス（断片化処理）］
図６は、本システム（秘密分散サービス）での断片化処理（前記Ｓ４）の詳細例を示す。本処理例は、ラベルＬ情報を扱うこと以外は、公知技術（前記特許文献１等）に従ったものである。
【００８５】
ラベルＬ付きのファイルＦ（元データＤ）、例えばラベルＬＸ付きのファイルＦ１を対象とする。６０１はファイルＦの属性情報の格納領域（ヘッダ等）であり、内部にラベルＬ情報などが記述される。
【００８６】
（１）要素分割：  まず、ラベルＬを除くデータＤは、ビット単位でランダムなデータに分割される。ここでの分割データを要素Ｅとする。要素Ｅの数（分割数）をｍとする。複数の要素Ｅ｛Ｅ１〜Ｅｍ｝を得る。例えばｍ＝６の場合を示す。分割数ｍは目的のレベル等に応じて可変である。
【００８７】
また各要素Ｅのデータは、元のファイルＦ内における位置や長さ等の情報が付帯される。付帯の仕方は、要素Ｅ毎、またはブロックＢ毎、または復元用情報Ｒ内に一括で記述等である。
【００８８】
（２）順序並び替え：  複数の要素Ｅは、順序がランダムに並び替え（配列、シャッフル）される。
【００８９】
（３）ブロック形成：  複数の要素Ｅから、組み合わせ・選択等により、複数のブロックＢを形成（抽出）する。ブロックＢの数（形成数）をｎとする。複数のブロックＢ｛Ｂ１〜Ｂｎ｝を得る。例えばｎ＝３の場合を示す。各ブロックＢは、元データＤと同じようなビットの並びが無いようにする。１つのブロックＢからは、元データＤを部分的にでも復元することはできない。ブロックＢが断片ｄに対応付けられる。
【００９０】
また各ブロックＢのデータは、当該ブロックＢの形成の仕方の情報などが付帯される。付帯の仕方は、ブロックＢ毎、または復元用情報Ｒ内に一括で記述等である。例えばブロックＢ１（断片ｄ０）のヘッダ６１０は、ブロックＢ１を構成する要素Ｅ（例えばＥ４，Ｅ１）の情報（更には各要素Ｅの分割等に関する詳細情報）を含む。また、要素ＥやブロックＢのヘッダ等には、適宜、ファイルＦのＩＤ、ブロックＢのＩＤ、要素ＥのＩＤ、復元用情報Ｒ、等に関する情報を格納してもよい。
【００９１】
また、上記（１）〜（３）のような断片化の方法を、復元用情報Ｒとして記述・生成する。即ち復元用情報Ｒは、上記要素分割、順序並び替え、ブロック形成等の仕方に関する情報を含む。復元用情報Ｒは、例えば、要素Ｅ毎やブロックＢ毎に属性情報のヘッダ等内に記述されてもよい。また複数の要素Ｅの属性情報を対応ブロックＢの属性情報として一括で記述してもよいし、複数のブロックＢの属性情報を対応セット（ファイルＦ）の属性情報（復元用情報Ｒ）として一括で記述してもよい。
【００９２】
上記ブロックＢを、断片ｄ（分割データ）とする。元のファイルＦに対応した複数（ｎ）の断片ｄのセットが得られる。各断片ｄは、属性情報の格納領域（ヘッダ等）に、ラベルＬ情報を付帯する。本例では、全断片ｄにおいて、ヘッダ（６１０〜６１２）に、元のファイルＦに対応した同一の付与ラベルＬ情報（ラベルＩＤ等）を継承して付帯する。
【００９３】
また、断片化の方式に応じるが、各断片ｄは、属性情報の格納領域（ヘッダ等）に、復元用情報Ｒを付帯する。本例では、全断片ｄ（ｄ０〜ｄ２）において、ヘッダ（６１０〜６１２）に、同じ復元用情報Ｒを含ませる。即ちどの断片ｄの復元用情報Ｒを参照しても復元処理が可能である。復元用情報Ｒは、他の方式では、１つの独立の断片ｄとして構成されてもよい（６０２）。この場合は、その復元用情報Ｒの断片ｄが無い場合は復元処理が不可能となる。
【００９４】
またセットのうち一部の断片ｄ（例えばｄ０）を、対象ファイルＦのユーザ（作成者、所有者等）の端末２０で持たせる断片ｄｕとして管理する。あるいは、復元用情報Ｒ等の管理情報を記述した特定のデータファイルを構成して、ＡＳＰサーバ１０及び当該ユーザの端末２０に持たせる。
【００９５】
また、各ブロックＢや復元用情報Ｒなどの断片ｄは、保管や伝送に応じた単位として適宜パッケージ化される。パッケージは、例えばヘッダ等に、ユーザ（提供元、提供先など）、ファイルＦ、アドレス、等の管理情報が格納されてもよい。またパッケージは、暗号化処理等が施されてもよい。そして、各断片ｄ（パッケージ）は、例えばネットワーク９０上の複数の保管場所（秘密分散サーバ３１等）に分散して保管される。
【００９６】
なお複数のブロックＢ（断片ｄ）の状態で、秘密化状態であるため、基本的な安全性のレベルが確保されている。保管や伝送の場所や手段などは、目的のレベル等に応じて選択できる。例えば複数の断片ｄの保管場所を物理的・地理的に分散することでレベルが上がる。また例えば２種類以上の手段を組み合わせて用いることでレベルが上がる。
【００９７】
ファイルＦの復元処理（Ｓ１０）の時には、複数の断片ｄのセット（復元用情報Ｒを含む）を集め、復元用情報Ｒに従って、上記断片化時の逆の流れの処理を行うことで、元のファイルＦの復元が可能である。即ち、各断片ｄ（ブロックＢ）を要素Ｅに分離し、正しい順序に並べ直し（再配列）、元のファイルＦ（元データＤ）のビットの並びに戻すように統合する。
【００９８】
また本例では、断片化の方式として、複数の断片ｄのデータは、ＲＡＩＤ５等と同様に冗長性を持つように形成し、一部の断片ｄが欠損したとしても、情報流出も無く復元可能とする。例えばユーザの端末２０で持つ一部の断片ｄｕを無くしたとしても問題が無い。冗長性を持つ分割データの構成の仕方としては、元データからパリティデータを生成し、元データと共に分散して分割データ（断片ｄ）を構成する。上記冗長性を活かし、保管場所として例えばＳＬＡの低いデータセンタ３０（安価なＨａａＳ，ＰａａＳの提供者）等であっても断片ｄを預かることができる。即ち低コストでサービスを実現できる。また、上記冗長性を活かし、本秘密分散サービス（即時復元可能）によるファイルのバックアップ機能や、データセンタ３０の地域分散による簡易なＢＣＰの実現などが可能である。分散保管の場合、例えば災害により一部のデータセンタ３０が倒壊したとしても復元可能である。
【００９９】
別の断片化処理の方式としては、複数の断片ｄのデータを、冗長性を持たないように形成し、全断片ｄが揃わないと復元不可能とすることもできる。上記例に限らず、断片化−復元の方式は公知技術に従って各種可能である。
【０１００】
［秘密分散サービスの構成例］
本秘密分散サービスの構成例として詳しくは以下のタイプを有する。対象ファイルＦは一般的な文書ファイルとする。
【０１０１】
（１）フォルダ連動型：  ユーザは自身の端末２０（ファイルシステム等）において、設定に基づき、特定のフォルダ（「セキュアフォルダ」）に対して対象ファイルＦをドラッグ＆ドロップ操作（移動や保存操作等）する。すると自動的に、当該ファイルＦ（付与ラベルＬの有無に関わらない）を対象として、本秘密分散サービス処理によって、断片化処理（Ｓ３，Ｓ４）が行われる（分散保管（Ｓ５）を含む）。当該ユーザの端末２０では、断片ｄｕデータファイルが得られる。断片ｄｕは、当該ファイルＦの操作用アイコンとして機能する。上記対象ファイルＦは、付与ラベルＬがある場合は、断片化及び復元後においても継承される。同様に、上記特定のフォルダで断片ｄｕがクリック（選択実行）操作または開く操作、あるいは他の通常のフォルダへ移動操作等がされる。すると自動的に、当該断片ｄｕを対象として前記復元処理が行われる。
【０１０２】
（２）ラベル連動型：  ユーザは自身の端末２０（文書作成アプリケーション２６、ラベリング処理部２１等）で、ファイルＦの作成・保存時などに当該ファイルＦに対してラベルＬを選択付与操作する（ラベリング処理）。すると自動的に、当該ラベルＬ付きファイルＦを対象として、上記同様に本秘密分散サービス処理によって、断片化処理が行われる。
【０１０３】
また、上記（１），(２)の組み合わせとして、設定に基づき、セキュアフォルダにドロップされた通常の文書ファイルＦ（ラベルＬが付与されていない状態）を対象として、自動的に所定の種類のラベルＬを付与処理すると共に断片化処理を実行するように制御することもできる。
【０１０４】
ユーザは、上記のようなサービスを利用することで、あまり意識する必要無く重要データ等を安全に取り扱うことができ、情報漏洩等が防止できる。ユーザが端末２０でファイルＦを閲覧・編集等している時のみ通常の状態となり、保存や伝送の時は本サービスにより自動的に非重要情報の状態になる。
【０１０５】
［ユーザ認証］
秘密分散サービスの構成例として、秘密分散管理部１５では、基本的なユーザ認証処理機能を持つ。ユーザの端末２０（秘密分散処理部２５）からのアクセスに対し、秘密分散管理部１５では、グループ情報６０内に含まれるユーザ情報（アカウント情報など）に基づき、例えばユーザＩＤ＋パスワード等によるユーザ認証処理（ログイン処理）を行う。これを通過する正式なグループのユーザに対して秘密分散サービス（断片化や復元の機能）を提供し、関係無い第三者等によるサービス利用を不許可に制御する。
【０１０６】
断片ｄからファイルＦを復元する要求の際（Ｓ７等）には、上記ユーザ認証の通過の上で、前記チェック処理（Ｓ８等）が行われる。チェックの際、秘密分散サービスでの上記正式なグループのユーザが対象ファイルＦの断片ｄｕを持ち、かつ、当該ファイルＦ（ラベルＬ）対応の公開範囲Ｈ（グループＧ）内での復元要求である場合に、復元実行が許可（ＯＫ）されることになる。従来技術とは異なり、秘密分散サービス内で、企業単位等のグループ単位（ドメイン・ＩＰアドレス、グループＩＤ等の単位）で、グループ（ユーザ）によるファイル復元をチェック・制御が可能である。ユーザ認証を通過する正式なユーザは、特別な操作を要せず、断片ｄｕデータファイルを開く（クリック）等の簡単な操作のみで復元ができる。
【０１０７】
なお例えば、ユーザ認証を通過し秘密分散サービスを利用する正式なグループのユーザであって、かつ、当該グループ（公開範囲）のうち対象ファイルに関して直接の関係者ではないユーザ（例えば特定のプロジェクト（Ｘ）の担当者ではないユーザ）が、当該ファイルの復元を要求する場合が考えられる（例えば公開範囲ＨがグループＧＸ（全ユーザ）で設定されている場合）。この場合、復元時のチェックでは、アクセス元が公開範囲Ｈ（ＧＸ）に含まれることによりＯＫの結果となる。サービス部１００にはこれら復元時のログ情報が記録されるので、仮に当該ユーザによる復元に問題があるとしても、後で確認や検証を行うことができる。
【０１０８】
また例えば、ファイル提供側のグループのユーザが、誤った提供先への送付などに気が付いた場合、すぐに、自分の端末２０のフォルダから当該ファイルの断片ｄｕデータファイルを削除操作すれば、それに応じて、対応する断片ｄのセットの削除がＡＳＰサーバ１０側により行われる。よって不適切な復元を防止できる。なお上記ユーザは当該ファイルが必要な場合は上記削除操作の前に別途当該ファイルを保存しておく。
【０１０９】
［ラベリング画面］
図７は、グループのユーザの端末２０でのラベリング時（Ｓ１）等に自動的に表示するラベリング画面の例を示す。本例は、ラベリングの際、グループ（例えばＧＡ）のユーザの端末２０で、複数の利用可能なテンプレート（例えばＴＡ，ＴＸ等）がある場合に、それらの中からユーザにより選択して適用する場合である。適用テンプレートの項目（７００）で、利用可能な１つ以上のテンプレートの情報（名称等）を表示し、ユーザにより当該文書ファイルに対して適用するテンプレートを選択する。利用可能なテンプレートが１つの場合は自動的に決定される。
【０１１０】
ラベルの項目（７１０）では、上記適用テンプレート（例「自社テンプレート」（ＴＡ））の情報に基づき、付与ラベルの選択のための、利用可能な１つ以上のラベルの情報を表示し、ユーザにより選択操作させる。ユーザは、表示情報（区分、ルールなど）の参照に基づき、付与対象の文書ファイルの重要度などに応じたラベルを選択する。例えば左の「ラベル」の項目から選択し、ＯＫボタンを押すことで、当該ラベルを付与することができる。
【０１１１】
本例では、５種類のラベルＬ（７０１〜７０５）を示している。各種のラベルの定義に係わり、「ラベル」、「機密情報区分」、「社内外区分」、「ルール」等の項目を有する。「ラベル」の項目は、ラベルの出力（表示、印刷等）上のデザイン（イメージ）を示す。文字は、７０１は「極秘」、７０２は「社内限」、７０３，７０４は「関係者限」、７０５は無しである。
【０１１２】
「機密情報区分」の項目は、本例では、“極秘”、“社内限”、“関係者限”（１）、“関係者限”（２）、“公開情報”、等を有する。この項目は、対象データの機密性に関する区分の情報である。「社内外区分」の項目は、本例では２種類、“社内向け文書”、“社外向け文書”を有する。この項目は、グループ単位の内外の区分を示す。「社内向け文書」の意味は、当該ラベル付き文書ファイルが、特定の社内向けであることを示す。また、「社外向け文書」の意味は、当該ラベル付き文書ファイルが、特定の社内に加えて特定の社外向けであることを示す。
【０１１３】
「ルール」の項目は、ラベル毎に、その利用に関する、グループ内で統一のルール等の説明や、付与対象文書ファイルの重要度などの性質、公開範囲などに関する説明文を記載する。例えば、「社内限」のラベル（７０２）では、ルールとして、当社内の社員等に限定して当該ラベル付き文書を閲覧等させることを示す。言い換えればその範囲の者以外には当該文書を閲覧等させないことを示す。例えば、「関係者限」（１）のラベル（７０３）では、当社内の特定グループに属する担当者等（関係者）に限定して当該ラベル付き文書を閲覧等させることを示す。例えば、「関係者限」（２）のラベル（７０４）では、社内・社外にわたる特定グループに属する担当者等（関係者）に限定して当該ラベル付き文書を閲覧等させることを示す。
【０１１４】
［テンプレート設定画面］
図８は、管理者（Ｋ）等のユーザの端末２０で設定機能を用いた場合に表示する画面例としてテンプレート設定画面の例を示す。設定の際、管理者（Ｋ）等の端末２０（設定機能）からＡＳＰサーバ１０へアクセスし、当該グループのユーザに関するログイン処理を行ってユーザ認証の成功後、管理情報５０に基づいて、設定画面を端末２０に表示する。
【０１１５】
本例では、テンプレート情報の項目（８００）、区分の選択の項目（８１０）、ラベル情報の表示・設定の項目（８２０）、公開範囲詳細の設定の項目（８３０）等を有する。テンプレート情報の項目（８００）では、設定対象のテンプレートのＩＤや名称などを表示する。区分の項目（８１０）では、ユーザによりラベルに関する区分（前記ラベルの定義情報の区分に基づく）を選択可能とする。例えば「社内」「社内＆特定社外」「公開」といった区分を表示する。
【０１１６】
ラベル情報の項目（８２０）では、対象テンプレートの全ラベルの情報、あるいは、区分の項目（８１０）でユーザにより選択された区分に対応した種類のラベルの情報を表示する。８１０で例えば「社内」が選択されると、「社内外区分」が「社内向け文書」のラベル情報のみ表示される。例えば「社内＆特定社外」が選択されると、「社内外区分」が「社外向け文書」のラベル情報のみ表示される。本項目では、例えば図７（７１０）と同様に、ラベル毎に、ラベル、区分（機密情報区分、社内外区分）、ルール、公開範囲、表示順、その他の項目を表示し、ユーザにより各ラベルの定義情報を設定できる。特に「公開範囲」の項目では、前述の公開範囲Ｈ情報を確認及び設定することができる。例えば本項目で「設定」が選択されると、当該ラベルＬに関連付ける公開範囲Ｈを、特定のグループ単位（企業単位等）でユーザにより指定して設定できる。例えば、特定のプロジェクト（Ｘ）用のテンプレートＴＸの設定で、公開範囲ＨＸとして、相手の企業Ｂ（ＧＢ）を指定してグループＧＸ｛ＧＡ，ＧＢ｝を設定できる。
【０１１７】
更に、公開範囲詳細の設定の項目（８３０）では、ラベルＬに関連付ける公開範囲Ｈの詳細（本例では企業単位）をユーザにより任意に指定して設定可能である。テンプレートではラベル毎に区分やルール等が概略的に定義されるが、公開範囲Ｈの項目では、ユーザにより特定のグループ（企業）を公開範囲Ｈ（特定社外）として指定することできる。例えば、企業名や企業ＩＤをユーザにより入力して指定する。また企業名や企業ＩＤ等で検索可能とする。また、企業リスト情報の項目で、選択指定可能とする主な企業の情報（企業ａ，ｂ，ｃ，……）を一覧表示し、公開範囲（特定社外）の項目で、ユーザが選択した企業の情報（例「企業ａ，ｂ」）を表示する。ユーザにより、追加ボタンで追加（指定）でき、削除ボタンで削除（指定取り止め）できる。他の形式として、チェックボックスを表示してユーザにより指定企業にチェックを入れるようにしてもよい。
【０１１８】
上記リスト等で表示する主な企業の情報は、例えばＡＳＰサーバ１０で登録済みの企業の情報である。この登録は、例えば予め本サービス事業者が、上場企業などを登録しておく。また、上記リストに表示されない企業についても、クライアント側（ユーザ）から登録することが可能である。その場合、例えば企業登録ボタンを押して、ＡＳＰサーバ１０と連携した登録処理によって、表示画面で登録したい企業の情報を登録する（グループ情報６０）。あるいはサービス部１００に登録を要請して登録を行わせてもよい。
【０１１９】
「ＯＫ」ボタンにより、本画面で編集したテンプレートの情報を端末１０に保存すると共にＡＳＰサーバ１０（管理情報５０）へアップロードして登録（設定更新）することができる。ＡＳＰサーバ１０へ登録されたテンプレートは、当該グループの各ユーザのテンプレートとして反映される。
【０１２０】
また、ラベリング画面でも、図７の例に限らず、図８の例と同様の情報（８１０，８２０，８３０）を表示して、ユーザにより選択等を可能としてもよい。例えば、前記公開範囲Ｈの付与に係る（ｂ）方式で、公開範囲付与部４０の処理機能として、図８（８２０，８３０）のような公開範囲Ｈの設定に関する情報を表示してもよい。
【０１２１】
［効果等］
以上説明したように、本実施の形態のシステムによれば、各グループのユーザ間で扱われる文書ファイルＦ等を秘密分散（秘密分散サービス）により安全に保管・伝送でき、ファイルＦ（断片ｄ）の提供先を誤った場合などにおいても、復元時のチェック機能により、ユーザの操作ミス（提供先や提供ファイルの間違い等）や第三者の不正利用などを原因とする当該ファイルＦの不適切な復元（取得・閲覧等）を防止できる。即ちこれにより、例えば企業等の情報流出リスクを下げ、情報漏洩等を防止することができる。特に、文書ファイルＦ自体の性質（ラベルＬ，公開範囲Ｈ）に応じた復元の制御ができる。
【０１２２】
特に、ファイル利用時のユーザ操作性・利便性を損わずに、所定レベル以上の安全性を実現できる。また、ファイル（断片）の提供の手段に依らずに、チェック機能による効果が得られる。
【０１２３】
また本チェック機能では、範囲のチェックは、ＩＰアドレスやグループＩＤ等の単位で行われ、個人ユーザ単位ではない。そのため、チェック用のユーザ認証処理などは不要であり、ユーザ利便性などを損なわずにチェックの効果が得られる。前述のように秘密分散サービスでの基本的なユーザ認証処理機能は別にあるが、これは同サービスのアカウントを持つ本人の確認であり、一方、本チェック機能は、ファイル利用が許可されているユーザ（グループ）であることの確認（チェック）であり、両者は異なる。本チェック機能では、この確認（チェック）を、追加的な操作を要求することなく実現できる効果が得られる。
【０１２４】
［他の実施の形態］
前記ＡＳＰサーバ１０にて各機能・サービスを１つに統合して提供する構成としたが、別のサーバに分けて構成してもよい。例えば、ラベリング管理機能用のサーバ、秘密分散サービス用のサーバなどを分けて、必要時にサーバ間で連携処理してもよい。
【０１２５】
ＡＳＰサーバ１０の秘密分散管理部１５で対象ファイルＦに関する断片化処理（Ｓ４）や復元処理（Ｓ１０）を行う形態に限らず、ユーザの端末２０（秘密分散処理部２５）で必要なデータ（断片ｄのセット等）を取得すること等により、同様に対象ファイルＦに関する断片化処理（Ｓ４）や復元処理（Ｓ１０）を行い、ＡＳＰサーバ１０では復元時チェック部（１６）による範囲チェックを行う形態としてもよい。
【０１２６】
また復元時、ＡＳＰサーバ１０側からチェック処理に必要な管理情報５０（テーブル又はそのうち一部の情報）を取得して端末２０側でチェック処理を行う形態としてもよい。
【０１２７】
また、ラベリング管理機能を備えないシステム形態としてもよい。即ち、文書ファイルＦにはラベルＬ情報が付与されず、ＡＳＰサーバ１０で提供するサービスは、秘密分散サービスを中心とする。代わりに、ユーザにより文書ファイルＦ自体に対して公開範囲Ｈ情報を付与することができる機能を設ける。例えば前述の端末２０の公開範囲付与部４０を用いて実現する。例えば文書ファイルＦの属性情報内に、ユーザにより指定された企業ＩＤ等による公開範囲Ｈ情報を記述する。そしてＡＳＰサーバ１０への要求の情報の中に、上記公開範囲Ｈ情報を含ませるようにし、チェック処理を行わせる。
【０１２８】
以上、本発明者によってなされた発明を実施の形態に基づき具体的に説明したが、本発明は前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることは言うまでもない。
【産業上の利用可能性】
【０１２９】
本発明は、企業の情報処理システムや、ネットワーク上のデータ管理サービスなどに利用可能である。
【符号の説明】
【０１３０】
１０…ＡＳＰサーバ、１１…ラベリング管理部、１１−１…設定部、１１−２…更新部、１５…秘密分散管理部、１６…チェック部（復元時チェック部）、２０…端末、２１…ラベリング処理部、２１−１…設定部、２１−２…更新部、２５…秘密分散処理部、２６…文書作成アプリケーション、２７…メールクライアント、２８…Ｗｅｂブラウザ、３０…データセンタ、３１…秘密分散サーバ、４０…公開範囲付与部、５０，５５，５６…管理情報、６０…グループ情報、７０…テンプレート情報、８０…公開範囲情報、８５…サービス情報、９０…ネットワーク、１００…サービス部（サービス事業者システム）。
【図１】
2011248711.tif 000003
【図２】
2011248711.tif 000004
【図３】
2011248711.tif 000005
【図４】
2011248711.tif 000006
【図５】
2011248711.tif 000007
【図６】
2011248711.tif 000008
【図７】
2011248711.tif 000009
【図８】
2011248711.tif 000010