(57)【要約】      （修正有）【課題】文書データ内に含まれる機密情報の漏洩を有効に抑制する。【解決手段】他システム１００における文書データの処理内容を監視する他システム連携手段１１と、文書データの保存処理が行われる場合に文書データを取得して機密データ辞書に基づき文書データ中の機密データを伏字データへと置換する変換手段１３と、文書データに対する文書データの閲覧要求が検知された場合に、閲覧者の権限に応じて伏字データを機密データに復元変換する復元手段１４を備えた機密データ保護装置１０。【選択図】図１
2011133991.tif 000002
【特許請求の範囲】
【請求項１】
機密データが含まれる文書データの保存処理を行うと共に閲覧者からの閲覧要求に応じて前記文書データを提示する文書情報管理装置と、前記文書データ内に含まれる前記機密データを予め設定された添字データに変換するデータ変換装置とを備えた機密データ保護システムであって、
前記データ変換装置は、
前記機密データと当該機密データに対応して設定した前記伏字データとの対応関係を示す機密データ辞書を記憶する機密データ辞書保持部と、
前記文書情報管理装置における前記文書データの保存処理の動作開始を検知する保存実行検知部と、
前記保存処理の動作開始が検知された場合に前記保存処理が実行されるのに先立ち前記文書データを取得し前記文書データ内の機密データを前記機密データ辞書に基づき前記伏字データへと置換するデータ置換実行部とを備えたことを特徴とする機密データ保護システム。
【請求項２】
請求項１に記載の機密データ保護システムにおいて、
前記データ変換装置は、
前記文書情報管理装置における前記保存処理が行われた文書データに対する前記閲覧者からの閲覧要求を検知する閲覧要求検知部と、
前記閲覧要求が検知された場合に前記閲覧者の権限に応じて前記文書データの伏字データを機密データに復元変換する復元変換手段を備えたことを特徴とする機密データ保護システム。
【請求項３】
請求項１に記載の機密データ保護システムにおいて、
前記データ変換装置は、
前記閲覧要求が検知された場合に前記文書データに含まれる伏字データの機密データへの復元変換が許容されるか否かを前記閲覧者の権限に基づき判定する復元変換判定手段と、
前記復元変換が許容される場合に前記機密データ辞書に基づき前記伏字データを前記機密データへと復元変換された前記文書データを前記閲覧者に提示する復元変換データ提示部とを備えたことを特徴とする機密データ保護システム。
【請求項４】
請求項３に記載の機密データ保護システムにおいて、
前記復元変換判定手段は、
前記閲覧者と前記復元変換の実行が許容される伏字データとの対応関係を示す閲覧権限情報を記憶する権限情報記憶手段と、
前記閲覧権限情報に基づき前記復元変換の実行を許容するか否かの判定を前記伏字データ毎に行う復元変換判定実行手段とを備えたこと特徴とする機密データ保護システム。
【請求項５】
請求項１乃至４の何れか一つに記載の機密データ保護システムにおいて、
前記データ置換実行部は、前記機密データを前記伏字データに変換する際に、当該伏字データ内に前記機密データの種別を示すデータ種別特定情報を設定すると共に当該データ種別特定情報を前記機密データ辞書に登録する前記データ種別設定機能を有し、
前記復元変換データ提示部は、前記伏字データの復元変換を行う際に前記データ種別特定情報に基づき前記機密データ辞書の検索を行うデータ種別検索機能を備えたことを特徴とする機密データ保護システム。
【請求項６】
請求項２乃至４の何れか一つに記載の機密データ保護システムにおいて、
前記文書情報管理装置は、前記閲覧者からの要求に応じて前記機密データ辞書に対し機密データおよび伏字データの追加登録を行う機密データ追加登録部を備えたことを特徴とする機密データ保護システム。
【請求項７】
請求項２乃至４の何れか一つに記載の機密データ保護システムにおいて、
前記データ変換装置は、
前記機密データ辞書に登録された各機密データの参照頻度を算出する機密データ利用頻度算出部と、前記算出された参照頻度が予め設定された基準頻度に満たない前記機密データを削除する機密データ辞書更新部を備えたことを特徴とする機密データ保護システム。
【請求項８】
機密データが含まれる文書データの保存処理を行う文書情報管理装置と、前記機密データと当該機密データに対応して予め設定された伏字データとの対応関係を示す機密データを保持するデータ変換装置とを備えた機密データ保護システムにあって、前記機密データを置換する機密データ保護方法にあって、
前記文書情報管理装置の前記文書データに対する処理内容を監視し、前記文書データの保存処理が開始されるのを検知した場合に、前記機密データ辞書に基づき前記文書情報管理装置内の文書データの機密データを伏字データへと置換することを特徴とした機密データ保護方法。
【請求項９】
機密データが含まれる文書データの保存処理を行う文書情報管理装置と、前記機密データと当該機密データに対応して予め設定された伏字データとの対応関係を示す機密データを保持するデータ変換装置とを備えた機密データ保護システムにあって、前記機密データを置換する機密データ保護方法にあって、
前記文書情報管理装置の前記文書データに対する処理内容を監視し、
前記文書データの保存処理が開始されるのを検知した場合に、前記機密データ辞書に基づき前記文書情報管理装置内の文書データの機密データを伏字データへと置換し、
前記文書データに対する閲覧者からの閲覧要求が検知された場合に、前記閲覧者の権限に応じて前記伏字データを機密データに復元変換するか否かを判定し、
前記復元変換が許容される場合に前記機密データ辞書に基づき前記伏字データを機密データへと復元変換し、
前記機密データが復元された文書データを前記閲覧者に提示すること特徴とした機密データ保護方法。
【請求項１０】
機密データが含まれる文書データの保存処理を行う文書情報管理装置と、前記機密データと当該機密データに対応して予め設定された伏字データとの対応関係を示す機密データを保持するデータ変換装置とを備えた機密データ保護システムにあって、前記機密データを置換する機密データ保護プログラムにあって、
前記文書情報管理装置の前記文書データに対する処理内容を監視し、前記文書データの保存処理が開始されるのを検知する保存処理検知機能と、
前記機密データ辞書に基づき前記文書情報管理装置内の文書データの機密データを伏字データへと置換する機密データ置換機能と、
前記文書データに対する閲覧者からの閲覧要求が検知された場合に、前記閲覧者の権限に応じて前記伏字データを機密データに復元変換するか否かを判定する復元権限判定機能と、
前記復元変換が許容される場合に前記機密データ辞書に基づき前記伏字データを機密データへと復元変換する復元変換機能とを前記データ変換装置が備えたコンピュータに実行させること特徴とした機密データ保護プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ファイル中に含まれる機密情報部分を隠蔽することにより機密情報を保護するシステムに関する。
【背景技術】
【０００２】
作成されたファイルデータの保存を行う場面やネットワークを介してファイルデータの送受信が行われる場面で、このファイルデータに含まれる企業名、住所、連絡先、担当者、取引情報、システム名等の個人情報（お客様情報）や商品名などの隠蔽したい情報や漏洩を防ぎたい情報（置換対象情報）を、例えば、「＊＊株式会社」、「××システム」のように、他の文字や記号に置換えることにより隠蔽する（伏せる）技術や、ファイル自体を暗号化する情報漏洩対策用のシステムが利用されている。
【０００３】
しかしながら、上述のような置換対象情報の置換えや、置換対象情報を含むデータファイルの暗号化といった情報漏洩対策は、その多くが、利用者による操作に任せられているため、置換対象情報の伏せ忘れや、ファイルの暗号化のし忘れといった場合が生じ、これに伴って、例えば、ネットワーク上でファイルデータと共に置換対象情報が漏洩してしまうといった不都合が生じ得る。
【０００４】
また、上記情報漏洩対策用のシステムでは、文書内に含まれる特定の文字列やデータを、予め設定された特定の利用者にのみ開示する、といった機密情報の開示にかかる、きめ細やかな設定をすることができない。
このため、利用者ごとに開示されるデータを選別したい場合には、各利用者に対応して機密情報の伏字処理を行った複数のファイルを作成する必要があった。
【０００５】
更には、伏字処理が行われたデータについては、機密情報の伏字処理を行った正規の利用者が伏字処理前の機密データを記憶、管理する必要が生じる。
しかしながら、その伏字処理（伏字変換）がなされたデータの変換前の名称が必要となったときに、例えば、データが保存されて長期間経ている場合には、利用者は対応する機密データを記憶していくことは困難であり、伏字データ部分を元の機密情報に復元することが困難となってしまうといった不都合が生じ得る。
【０００６】
これに対する関連情報として、変換対象となるファイル毎に、置換対象文字と置換後文字との対応関係を示す置換マップを作成すると共に、この置換マップをファイル名と対応付けて記憶し、置換マップに基き置換対象文字の置換処理を行うことにより、情報の漏洩を抑制するシステムが開示されている（特許文献１）。
【０００７】
また、この関連技術として、ファイル内における置換後文字（伏字箇所）をマーク付けした登録ファイルの内容をデータベースに格納するシステムが開示されている（特許文献２）。
更に、この関連技術として、秘匿処理（電子透かし）手続き群をリモートサーバ内に設定し、ユーザが秘匿処理の内容を解析することを防ぐ手法が開示されている（特許文献３）。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特願２００７−１５６８６１号公報
【特許文献２】特願２００４−１１６５５５号公報
【特許文献３】特許３６３３４８８号
【発明の概要】
【発明が解決しようとする課題】
【０００９】
しかしながら、上記特許文献１では、ファイルごとに置換情報を装置内に格納する構成であるため、対象ファイルが増加に伴い、当該対象ファイルの格納容量が増大となってしまう不都合がある。
また、上記特許文献１では、伏字データ（置換後文字）が埋め込まれた文書ファイルと置換対象文字と置換後文字との対応関係を示す置換マップとが同装置内に格納される構成であることにより、文書ファイルと置換マップとがどちらも漏洩してしまう不都合が生じ得る。
【００１０】
［発明の目的］
本発明は、上記関連技術の有する不都合を改善し、文書データ内に含まれる機密情報の漏洩を有効に抑制し得る機密データ保護システム、機密データ保護方法、機密データ保護プログラムを提供することを、その目的とする。
【課題を解決するための手段】
【００１１】
上記目的を達成するために、本発明に係る機密データ保護システムは、機密データが含まれる文書データの保存処理を行うと共に閲覧者からの閲覧要求に応じて前記文書データを提示する文書情報管理装置と、前記文書データ内に含まれる前記機密データを予め設定された添字データに変換するデータ変換装置とを備えた機密データ保護システムであって、前記データ変換装置は、前記機密データと当該機密データに対応して設定した前記伏字データとの対応関係を示す機密データ辞書を記憶する機密データ辞書保持部と、前記文書情報管理装置における前記文書データの保存処理の動作開始を検知する保存実行検知部と、前記保存処理の動作開始が検知された場合に前記保存処理が実行されるのに先立ち前記文書データを取得し前記文書データ内の機密データを前記機密データ辞書に基づき前記伏字データへと置換するデータ置換実行部とを備えた構成をとっている。
【００１２】
また、本発明にかかる機密データ保護方法は、機密データが含まれる文書データの保存処理を行う文書情報管理装置と、前記機密データと当該機密データに対応して予め設定された伏字データとの対応関係を示す機密データを保持するデータ変換装置とを備えた機密データ保護システムにあって、前記機密データを置換する機密データ保護方法にであって、前記文書情報管理装置の前記文書データに対する処理内容を監視し、前記文書データの保存処理が開始されるのを検知した場合に、前記機密データ辞書に基づき前記文書情報管理装置内の文書データの機密データを伏字データへと置換し、前記文書データに対する閲覧者からの閲覧要求が検知された場合に、前記閲覧者の権限に応じて前記伏字データを機密データに復元変換するか否かを判定し、前記復元変換が許容される場合に前記機密データ辞書に基づき前記伏字データを機密データへと復元変換し、前記機密データが復元された文書データを前記閲覧者に提示することを特徴としている。
【００１３】
又、本発明にかかる機密データ保護プログラムは、機密データが含まれる文書データの保存処理を行う文書情報管理装置と、前記機密データと当該機密データに対応して予め設定された伏字データとの対応関係を示す機密データを保持するデータ変換装置とを備えた機密データ保護システムにあって、前記機密データを置換する機密データ保護プログラムにあって、前記文書情報管理装置の前記文書データに対する処理内容を監視し、前記文書データの保存処理が開始されるのを検知する保存処理検知機能と、前記機密データ辞書に基づき前記文書情報管理装置内の文書データの機密データを伏字データへと置換する機密データ置換機能と、前記文書データに対する閲覧者からの閲覧要求が検知された場合に、前記閲覧者の権限に応じて前記伏字データを機密データに復元変換するか否かを判定する復元変換判定機能と、前記復元変換が許容される場合に前記機密データ辞書に基づき前記伏字データを機密データへと復元変換する復元変換実行機能とを前記データ変換装置が備えたコンピュータに実行させること特徴としている。
【発明の効果】
【００１４】
本発明は、以上のように構成され機能するので、これによると、外部に設置された文書情報管理装置における文書データの保存処理の動作開始を検知する手段と、文書データの保存処理が検知された場合に、この保存処理が実行されるのに先立ち、文書データ内の機密データを上記機密データ辞書に基づいて伏字データへと置換する手段とを備えた構成とすることにより、文書データ内に含まれる機密情報の漏洩を有効に抑制することを可能とする機密データ保護システム、機密データ保護方法、機密データ保護プログラムを提供することができる。
【図面の簡単な説明】
【００１５】
【図１】本発明による機密データ保護システムにおける一実施形態を示す概略ブロック図である。
【図２】図１に開示した機密データ保護システムにおける権限データベースに格納された権限テーブルの一例を示す説明図である。
【図３】図１に開示した機密データ保護システムにおける権限データベースに格納された変換権限テーブルの一例を示す説明図である。
【図４】図１に開示した機密データ保護システムにおける機密データ辞書として機密データ辞書記憶部に記憶された変換テーブルの一例を示す説明図である。
【図５】図１に開示した機密データ保護システムにおける機密データ辞書として機密データ辞書記憶部に記憶された変換テーブルの一例を示す説明図である。
【図６】図１に開示した機密データ保護システムにおける機密データ辞書として機密データ辞書記憶部に記憶された変換テーブルの一例を示す説明図である。
【図７】図１に開示した機密データ保護システムにおける変換手段の動作処理ステップを示すフローチャートである。
【図８】図１に開示した機密データ保護システムにおける変換データの暗号方式を示す説明図である。
【図９】図１に開示した機密データ保護システムにおける復元手段の動作処理ステップを示すフローチャートである。
【図１０】図１に開示した機密データ保護システムにおける権限データベースに記憶された個別文書変換権限テーブルの一例を示す説明図である。
【図１１】図１に開示した機密データ保護システムにおける権限データベースに記憶された変換テーブルであって、変換カウンターが設定された変換テーブルの一例を示す説明図である。
【発明を実施するための形態】
【００１６】
［実施形態］
次に、本発明の実施形態について、その基本的構成内容を説明する。
【００１７】
本実施形態である機密データ保護システムは、図１に示すように、文書情報（文書データ）を含む文書ファイルの蓄積および管理を行う、例えばメールサーバ（メールシステム）や文書情報データベース（文書管理システム）などの、他システム（文書情報管理装置）１００と、この他システム１００に対して通信回線を介して接続され、他システム１００内で文書情報に対して行われる処理動作を監視し、他システム１００内で文書情報の保存処理が行われる場合に、この文書情報に含まれる機密データを、保存処理が行われるのに先立って変換する機密データ保護装置（機密データ変換装置）１０を備えた構成となっている。
【００１８】
機密データ保護装置１０は、他システム１００内で文書情報に対して行われる処理動作を監視すると共に他システム１００と相互に文書ファイルの送受信を行う他システム連携手段１１と、この他システム連携手段１１を介して取得した文書ファイルを文書内容に基づき変換手段１３または復元手段１４に振り分けるデータ入力手段１２と、予め設定された機密データ辞書（機密データ辞書記憶部２１に格納）に基づき文書ファイルに含まれた機密データ（文字列）を予め設定された別の文字列（伏字データ）に変換するデータ変換手段１３と、文書ファイルに含まれたデータ変換手段１３により変換されたデータ（伏字データ）を元の機密データに復元する処理を行うデータ復元手段１４と、変換または復元された文書ファイルを他システム連携手段１１に対して出力するデータ出力手段１５を有する。
【００１９】
また、機密データ保護装置１０は、機密データの閲覧が許容される権限を示す閲覧権限情報を保持する権限データベース（ＤＢ）３１と、文書ファイルに含まれる機密データ（置換対象文字）とこの機密データに対応して設定された伏字データ（置換後の文字列）との対応関係を示すデータ変換マップである機密データ辞書を記憶する機密データ辞書記憶部２１と、権限ＤＢ３１に格納された権限テーブルに対する情報の登録および更新を行う権限ＤＢ作成手段３０と、機密データ辞書記憶部２１の機密データ辞書に対する情報の登録、更新を行う機密データ辞書作成手段２０を備えた構成を有する。
尚、機密データ辞書作成手段２０、および権限ＤＢ作成手段３０は、機密データ保護装置１０のオペレータ（利用者）により、新たに登録データの入力や更新を受け付ける機能を有する。
【００２０】
機密データ保護装置１０は、予め設定されたプログラムの実行処理により実現される機能システム（機密データ変換システム）であってもよい。この場合、他のシステム１００での、文書（文書ファイル）の保存処理の実行要求（保存処理要求）が検知された場合に、機密データ変換システム（機密データ保護装置１０における機能動作）がＡＰＩなどで呼び出されることにより、実行されるものとする。
【００２１】
また、機密データ保護装置１０が、予め設定されたプログラムの実行処理により実現される機能システム（機密データ変換システム）である場合、他のシステム１００での、文書（文書ファイル）が開かれる処理の実行要求（ファイルオープン要求）が検知された場合に、機密データ変換システム（機密データ保護装置１０における機能動作）がＡＰＩなどで呼び出されることにより、実行されるものとする。
【００２２】
機密データ辞書記憶部２１に記憶された機密データ辞書は、変換権限テーブル（図３）と、変換テーブル（図４〜６）からなる。
ここで、変換権限テーブルは、図３に示すように、個人情報などの機密データを、特定の属性単位（企業、住所、連絡先など）に分類し、属性ごとに利用者への開示を認める権限レベルが設定されているものとする。また、属性ごとに機密データを変換するための情報が格納されている変換テーブルのアドレスが設定されている。
【００２３】
また、変換テーブルには、図４〜６に示すように、各機密データに対応した伏字データがテーブルデータ（データ変換マップ）として登録されている。
【００２４】
尚、変換テーブルに登録されている機密データ（返還元データ）およびこれに対応する伏字データには、機密データを辞書に登録する際に、一意となる属性データが設定されているものとする。
例えば、機密データとしての「朝日商事株式会社」には、属性として企業という属性が設定される。これにより、「朝日商事株式会社」は、変換テーブル内の属性「企業」に、伏字データ「企業１」として登録される。
【００２５】
また、権限ＤＢ３１は、予め設定された権限テーブルを保持している。
権限テーブルは、図２に示すように、閲覧利用者等をユーザＩＤにより識別するためのユーザ識別子、機密データの開示を許容するレベル（権限レベル）が登録されている。
この権限レベルにより、機密データ辞書２１の属性ごとの変換テーブルを参照することが可能か否かの判定を行う。
【００２６】
他システム連携手段１１は、メールシステムや文書管理システム等の他のシステム（文書情報管理装置）１００での、文書（文書ファイル）の保存処理の実行要求（保存処理要求）が検知された場合に、これら処理が行われるのに先立ち、文書データを取得し、この文書をデータ入力手段１２に渡す。
このとき、他のシステム１００では、文書ファイルの保存処理は実行保留状態に設定されるものとする。
【００２７】
また、他システム連携手段１１は、他のシステム１００で文書（文書ファイル）が開かれる処理（閲覧処理）が検知された場合に、この文書ファイルを取得し、この文書をデータ入力手段１２に渡す。また、この文書ファイルには、この文書ファイルを開く処理を行おうとしている利用者に対応して設定された識別子（利用者識別子）が含まれているものとする。
このとき、他のシステム１００では、文書ファイルを開く処理は実行保留状態に設定されるものとする。
【００２８】
尚、他システム１００は、文書ファイルを保存格納するＨＤＤ等の２次記憶装置を有していないシンクライアントシステムであってもよい。
この場合、他システム１００は、文書ファイルの保存処理が必要な場合に、文書ファイルの保存を要求するメッセージと保存対象となる文書ファイルとを他システム連携手段１１に送信し、他システム連携手段１１は、送り込まれた文書ファイルに対して、以下に示す伏字データを組み込む処理を行い、文書ファイルの保存を行うものとする。
【００２９】
また、他システム１００が、シンクライアントシステムである場合、他システム１００が文書ファイルを開くときに、所望の文書ファイルを要求するメッセージを機密データ保護装置１０に対して送信する。
更に、他システム連携手段１１は、送り込まれたメッセージに対して、以下に示す伏字データを復元する処理を行い、文書ファイルの送信を行うものとする。
【００３０】
更に、他システム１００は、対システム連携手段１１から送り込まれた復元済み文書ファイルを出力画面に表示する復元済み文書ファイル表示機能を備えている。
尚、他システム１００が、シンクライアントである場合、表示された文字ファイルの内容を保存することはできず、閲覧表示された後、消去されるものとする。
【００３１】
また、他システム１００が、復元済み文書ファイルを保存処理する場合には、再び機密データ保護装置１０側でこれを取得し、機密データの伏字処理が行われる。
これにより、復元処理された機密データを含む復元済み文書ファイルが、他システム１００内に保存されることが抑制され、このため、機密データの漏洩を有効に抑制することができる。
【００３２】
変換手段１３は、他のシステム１００から他システム連携手段１１が取得した文書データが入力された場合に、機密データ辞書２１に登録されている機密データテーブルを抽出する（変換テーブル取得機能）。
【００３３】
尚、機密データ辞書記憶部２１には、上述のように、機密データ辞書として、予め設定された機密データ（機密情報）と、これに対応して設定された変換データである伏字データとを関連付けて記憶する機密データテーブル（変換テーブル：図４〜図６）と、変換されたデータ（伏字データ）を、変換テーブルに基づき復元可能な権限レベルを定義した変換権限テーブル（図３）が格納されている。
【００３４】
また、機密データテーブルは、変換権限テーブルに定義された属性に対応して設定される。ここでは、属性「企業」に対応して設定された企業変換テーブル（図４）、属性「住所」に対応して設定された住所変換テーブル（図５）、属性「連絡先」に対応して設定された連絡先変換テーブル（図６）が機密データ辞書記憶部２１に予め格納されているものとする。
また、上記変換権限テーブルは、伏字データの復元を行う権限レベルを、変換テーブル毎に定義しているものとする。
【００３５】
また、機密データ辞書記憶部２１には、機密データ保護装置１０内における最重要データが格納されることとなるため、簡単にそのデータ内容が読み出されることを防ぐため、機密データテーブル（図４〜６）それぞれを暗号化して記憶しているものとする。
【００３６】
尚、変換テーブル（機密データテーブル）に対して、図１１に示すように、機密データが変換された回数を示すカウンター項目が設けられた設定としてもよい。ここでは、企業変換テーブル（図４）に変換カウンターの項目を設置した例を示している。
【００３７】
この場合、変換手段１３は、機密データを伏字データに変換される毎にカウンターの値を加算する。
これにより、例えば、機密データとして登録されたデータの中で一定期間利用されていない（つまり、カウンターの値が０）場合に、この機密データを削除するといった、機密データ辞書の内容のメンテナンスを容易に行うことを可能とする。また、これにより、文書ファイル内における機密データの検索処理速度の効率化を図ることが可能となる。
【００３８】
変換手段１３は、抽出した機密データテーブルに基づき、文書データ中の機密データを検索する機密データ検索機能を有する。ここで、変換手段１３は、機密データテーブルに含まれる機密データが文書データ中に含まれるか否かを判断する（機密データ含有判定機能）。
【００３９】
ここで、機密データが見つかった場合、変換手段１３は、この機密データに対応して設定された伏字データを、抽出した機密データテーブルから取得すると共に、この伏字データにより、機密データを置換する処理を行う（データ変換機能）。
【００４０】
更に、変換手段１３は、伏字データを文書ファイルに組み込む、つまり機密データを伏字データに置換する際に、通常使用されない、予め設定された文字列を識別子を伏字データの前後に挿入することで伏字データを囲み、文書データ中に組み込む特殊文字列組み込み機能を有する。
【００４１】
また、変換手段１３は、置換入力された伏字データの文字色を変化させたり、伏字データのフォントを他のフォントに変換したり、伏字データの背景の色を他の色に変換したりすることにより、文書ファイル（文書データ）内の他の文字列と区別しやすい文字属性を伏字データに付与する設定であってもよい。
【００４２】
具体的には、変換手段１３は、識別子として設定された文字列が「／？＆＊」および「＊＆？／」である場合、機密データ「夕日商事株式会社」に代えて組み込まれる文字列は、「／？＆＊」企業２「＊＆？／」となる。また、伏字データ「企業２」に対して斜体・太字属性を設定してもよい。
【００４３】
このように、特殊な文字列を文書ファイルに組み込むことにより、文書ファイル中の伏字データを機密データに復元する場合などに、データ変換の対象箇所を迅速に見つけることが可能となる。
【００４４】
尚、上述のように、機密データ辞書記憶部２１に格納されている機密データ（テーブル）は予め暗号化処理がなされているため、この場合、変換手段１３は、機密データテーブルの読み出し時には復号化処理（暗号解除処理）を行うものとする（機密データ暗号解除機能）。
【００４５】
この復号化処理は、例えば、図８に示すように、予め設定された復号鍵２で復号鍵１を復号しその復号鍵１で機密データ（テーブル）を復号した上で、文書ファイル内の文字列との比較を行う。
尚、ここでは、単純に１つの復号鍵があれば、一定のセキュリティは保たれるが、復号鍵１の存在（保存場所）が分かるとセキュリティが弱くなるため、復号鍵１および復号鍵２を含む二重のセキュリティが設定されているものとする。
【００４６】
更に、変換手段１３は、文書ファイル内の全ての機密データが伏字データに置換されたことを確認した場合に、データ出力手段１５が、この伏字データが置換設定された文書ファイルを他システム連携手段１１を介して他システム１００に送信する（変換済み文書ファイル送信機能）。
【００４７】
ここで、変換手段１３は、文書ファイル内における、どの箇所（部分）が機密データとして伏字データに置換されたかを示す情報を、変換済みの文書ファイルに添付して送信する設定であってもよい。
これにより、機密データが適切に伏字データへと置換されているか否かを、より正確に判別することが可能となる。例えば、文書作成者が機密データとして扱いたかったデータが機密データ辞書に未登録であるため、伏字データへと変換されてないといったことが生じた場合に、これを迅速に判別することができる。
【００４８】
この場合、新たに機密データを機密データ辞書に対して登録することにより、文書ファイルに対して新たに機密データの置換処理を行うことができる。
【００４９】
復元手段１４は、文書ファイル内に予め設定された特殊文字列を検索し、伏字データであることを示す特殊文字列（例えば、「／？＆＊企業２＊＆？／」）や「企業２」を斜体とする情報などが文書ファイル内に含まれているか否かを判定する特殊文字列判定機能を有する。
【００５０】
ここで、特殊文字列が含まれる場合、復元手段１４は、他システム１００の利用者の権限レベルを示す権限テーブル（図２）を、権限ＤＢ３１から取得すると共に、機密データ辞書２１から、属性（企業、住所、連絡先など）毎に開示可能な権限レベルを定義した変換権限テーブル（図３）を取得するテーブル取得機能と、利用者の権限レベルで開示可能な属性の変換テーブルが存在するか否かの判定を行う利用者権限レベル判定機能とを有する。
【００５１】
利用者の権限レベルで開示可能な属性の変換テーブルがある場合、復元手段１４は、その属性の変換テーブル（図４〜６の全て、もしくは一部）を機密データ辞書保存部２１から取得すると共に、特殊文字列に埋め込まれている属性を確認して、その属性の変換テーブルに基づき、伏字データに該当するデータの検索を行い、該当するデータがある場合には、これを機密データに置換するデータ復元機能を備えている。
【００５２】
ここで、例えば、特殊文字列の冒頭に属性が埋め込まれている為、その属性の変換テーブルだけを検索すればよい。これにより、復元手段１４の復元処理にかかる処理時間の効率化が図られる。
【００５３】
また、復元手段１４は、機密データ辞書に格納されている機密データは暗号化されているため、読み出しを行うにあたって復号処理を行う機密データ復号処理機能を有する。
【００５４】
データ出力手段１５は、復元手段１４が文書ファイル内の全ての機密データが伏字データに置換されたことを確認したことを検知した場合に、復元された文書ファイルを他システム連携手段１１を介して他システム１００に送信する復元済み文書ファイル送信機能を備えている。
【００５５】
尚、本実施形態では、機密データ辞書の変換権限テーブルは、利用者共有で使用する場合を想定しているが、この各文書ファイルに対応させた変換権限テーブルを設定する構成であってもよい。
【００５６】
機密データ辞書記憶部２１に、格納された個別文書変換権限テーブルを図１０に示す。
ここでは、文書ファイルに設定された固有の文書番号（文書番号＃Ｔ１２３４５６、文書番号＃Ｔ９８７６５４）それぞれに対応して、属性、権限レベル、変換テーブルアドレスなどの項目を含む変換権限テーブルが定義されている。
尚、文書番号以外のそれぞれのテーブルの項目は、共通で使用する図３変換権限テーブルに示す構成と同じである。
【００５７】
機密データを含む文書ファイルを受け取った際、変換手段１３は、まず文書ファイル（個別文書）に対応した個別文書変換権限テーブルがあるか否かを判断し、個別文書の文書番号に合致する個別文書変換権限テーブルがある場合、これに対応する個別文書変換権限テーブルからデータをロードして、これに基づいて文書ファイル内の機密データを伏字データに変換する処理を実施する。
これにより、個別文書ごとに機密データの変換内容を設定することができ、また、文書ファイルの閲覧が行われるのに先立ち（つまり、文書ファイル（個別文書）の保存段階で）、機密データを閲覧者の権限レベルに応じた伏字データへの変換を行うことができる。
【００５８】
以上のように、本実施形態では、氏名、住所、勤務先、企業名、連絡先、担当者、取引内容情報、システム名）などの個人情報（お客様情報）や商品名等の機密データを含む文書ファイル（文書データ）を記憶する記憶動作処理時や
上記機密データが伏字データに変換された文書ファイルが閲覧用に開かれる時に、文書作成者が意識することなく自動的に、この文書ファイルが取得され、予め登録された機密データ（機密データテーブル）の情報に基づいて、機密データを別のデータ（伏字データ）に置き換えることにより、機密データの漏えいを防ぐシステムを実現するものである。
また、別のデータに置き換えられた文書が閲覧される際には、閲覧する利用者の権限に応じて機密データの一部（もしくは全て）を復元する処理を行うことにより、機密データを開示することができる。
【００５９】
［実施形態の動作説明］
次に、本実施形態の動作について、その概略を説明する。
まず、データ変換装置は、文書情報管理装置内おける文書データに対する処理内容を監視し、文書情報管理装置内おける文書データ（処理対象文書データ）の保存処理が開始されるのを検知した（保存処理検知工程）場合に、文書データを取得して予め設定された機密データ辞書に基づき当該文書データに含まれる機密データを伏字データへと置換する（機密データ置換工程）。
次いで、データ変換装置は、文書情報管理装置内おける文書データに対する閲覧要求が検知された場合に、文書データに含まれる伏字データを置換前の機密データに復元変換するか否かを閲覧者の権限に基づき判定し（復元権限判定工程）、復元変換が許容される場合に機密データ辞書に基づき文書データ内の伏字データを機密データへと復元し（復元変換工程）、伏字データが機密データへと復元された文書データを文書情報管理装置へと送信する。
ここで、上記保存処理検知工程、機密データ置換工程、復元権限判定工程、および復元変換工程については、その実行内容をプログラム化し、コンピュータに実行させるように構成してもよい。
【００６０】
次に、本実施形態の機密データ保護装置１０における、機密データを伏字データに変換する変換手段１３の動作について、図７のフローチャートに基づき説明する。
【００６１】
データ入力手段１２は、他システム連携手段１１から取得した文書データを変換手段１３に入力する（データ入力：ステップＳ１０）。ここで、データ入力手段１２は、他システム連携手段１１が保存処理を検知して文書データを取得した場合には、この文書データを変換手段１３に渡す。
【００６２】
変換手段１３は、入力された文書データを受信し、以下に示すステップＳ１２、およびステップＳ１３（ステップＳ１４〜Ｓ１７）の動作を繰り返し行うものとする（ステップＳ１１）。
【００６３】
変換手段１３は、他のシステム１００から送り込まれた文書データが入力された場合に、まず、機密データ辞書２１に登録されている機密データテーブルを抽出する（ステップＳ１２）。
【００６４】
尚、機密データ辞書記憶部２１には、機密データ辞書として、予め設定された機密データ（機密情報）と、これに対応して設定された変換データである伏字データとを関連付けて記憶する機密データテーブル（変換テーブル：図４〜図６）と、変換されたデータ（伏字データ）を、変換テーブルに基づき復元可能な権限レベルを定義した変換権限テーブル（図３）が格納されているものとする。
【００６５】
また、機密データテーブルは、変換権限テーブルに定義された属性に対応して設定される。ここでは、属性「企業」に対応して設定された企業変換テーブル（図４）、属性「住所」に対応して設定された住所変換テーブル（図５）、属性「連絡先」に対応して設定された連絡先変換テーブル（図６）が機密データ辞書記憶部２１に予め格納されているものとする。
また、上記変換権限テーブルは、伏字データの復元を行う権限レベルを、変換テーブル毎に定義しているものとする。
【００６６】
次に、変換手段１３は、抽出した機密データテーブルに基づき、ステップＳ１４〜１７までの動作を、文書ファイル（文書データ）の最後まで繰り返し実行する（ステップＳ１３）。
【００６７】
すなわち、変換手段１３は、抽出した機密データテーブルに基づき、上記文書データ中の機密データを検索する（ステップＳ１４）。
ここで、変換手段１３は、機密データテーブルに含まれる機密データが文書データ中に含まれるか否かを判断する（ステップＳ１５）。
【００６８】
ここで、機密データが見つかった場合（有り：ステップＳ１５）、変換手段１３は、上記機密データテーブルに基づき、見つかった機密データに対応して設定された伏字データを取得する（ステップＳ１６：伏字データ入手）と共に、この伏字データにより、上記機密データを置換する処理を行う（伏字データ適用：ステップＳ１７）。
【００６９】
また、機密データが見つからなかった場合（無し：ステップＳ１５）、変換手段１３は、機密データテーブルに含まれる他の機密データについて文書データ中の検索を行う（ステップＳ１４）。
【００７０】
尚、機密データ辞書記憶部２１には、機密データ保護装置１０内における最重要データが格納されることとなるため、簡単にそのデータ内容が読み出されることを防ぐため、機密データテーブル（図４〜６）それぞれを暗号化して記憶しているものとする。
【００７１】
例えば、検索結果として文書ファイルから抽出された機密データが、例えば、図４の”企業”変換テーブルに含まれる機密データである場合、変換手段１３は、この機密データに対応して登録された伏字データを読み出す。
【００７２】
具体的には、図４に示すように、文書データ中の「夕日商事株式会社」が機密データに該当する場合、変換手段１３は、伏字データとして「企業２」が読み出す（伏字データ入手：ステップＳ１６）。
次いで、変換手段１３は、検索により抽出した、文書データ中の機密データ「夕日商事株式会社」を、伏字データ「企業２」に置換する処理を行う（伏字データ適用：ステップＳ１７）。
【００７３】
尚、変換手段１３は、伏字データを文書ファイルに組み込む、つまり機密データを伏字データに置換する際に、通常使用されない、予め設定された文字列を識別子を伏字データの前後に挿入することで伏字データを囲み、文書データ中に組み込む設定であってもよい。
また、変換手段１３は、置換入力された伏字データの文字色を変化させたり、伏字データのフォントを他のフォントに変換したり、伏字データの背景の色を他の色に変換したりすることにより、文書ファイル（文書データ）内の他の文字列と区別しやすい文字属性を伏字データに付与する設定であってもよい。
【００７４】
具体的には、識別子として設定された文字列が「／？＆＊」および「＊＆？／」である場合、機密データ「夕日商事株式会社」に代えて組み込まれる文字列は、「／？＆＊」企業２「＊＆？／」となる。また、伏字データ「企業２」に対して斜体・太字属性を設定してもよい。
【００７５】
このように、特殊な文字列を文書ファイルに組み込むことにより、文書ファイル中の伏字データを機密データに復元する場合などに、データ変換の対象箇所を迅速に見つけることが可能となる。
【００７６】
尚、上述のように、機密データ辞書記憶部２１に格納されている機密データ（テーブル）は予め暗号化処理がなされているため、この場合、変換手段１３は、機密データテーブルの読み出し時には復号化処理を行うものとする。
【００７７】
この復号化処理は、例えば、図８に示すように、予め設定された復号鍵２で復号鍵１を復号しその復号鍵１で機密データ（テーブル）を復号した上で、文書ファイル内の文字列との比較を行う。
尚、ここでは、単純に１つの復号鍵があれば、一定のセキュリティは保たれるが、復号鍵１の存在（保存場所）が分かるとセキュリティが弱くなるため、復号鍵１および復号鍵２を含む二重のセキュリティが設定されているものとする。
【００７８】
変換手段１３は、文書ファイル内の全ての機密データが伏字データに置換されたことを確認した場合に、データ出力手段１５が、この伏字データが置換設定された文書ファイルを他システム連携手段１１を介して他システム１００に送信する（ステップＳ１８）。
【００７９】
尚、文書ファイル内における、どの箇所（部分）が機密データとして伏字データに置換されたかを示す情報を文書ファイルに添付して送信する設定であってもよい。
これにより、機密データが適切に伏字データへと置換されているか否かを、より正確に判別することが可能となる。例えば、文書作成者が機密データとして扱いたかったデータが機密データ辞書に未登録であるため、伏字データへと変換されてないといったことが生じた場合に、これを迅速に判別することができる。
この場合、新たに機密データを機密データ辞書に対して登録することにより、文書ファイルに対して新たに機密データの置換処理を行うことができる。
【００８０】
次に、文書ファイル内に設定された伏字データを元の機密データに復元する復元手段１４の動作ステップについて、図９のフローチャートに基づき説明する。
【００８１】
まず、データ入力手段１２は、他システム連携手段１１を介して伏字処理された文書ファイルを取得して復元手段１４に入力する（データ入力：ステップＳ２０）。
ここで、復元手段１４は、文書ファイル内に予め設定された特殊文字列を検索し（ステップＳ２１）、伏字データであることを示す特殊文字列（例えば、「／？＆＊企業２＊＆？／」や斜体など）が含まれているか否かの判断を行う（ステップＳ２２）。
【００８２】
ここで、特殊文字列が含まれていない場合、復元手段１４は、伏字データは含まれていないものと判断し、機密データの復元処理を終了する。
【００８３】
一方、特殊文字列が含まれる場合、復元手段１４は、他システム１００の利用者の権限レベルを示す権限テーブル（図２）を、権限ＤＢ３１から取得する（ステップＳ２３）。
尚、権限テーブルには、図２に示すように、利用者を判別する識別子（ユーザ識別子）と、その権限レベルが予め設定されているものとする。
次に、復元手段１４は、機密データ辞書２１から、属性（企業、住所、連絡先など）毎に開示可能な権限レベルを定義した変換権限テーブル（図３）を取得する（ステップＳ２４）。
【００８４】
このとき、復元手段１４は、利用者の権限レベルで開示可能な属性の変換テーブルが存在するか否かの判定を行う（判断：ステップＳ２５）。
ここで、復元手段１４は、ステップＳ２７〜Ｓ３２の動作を文書ファイル（文書データ）の最後まで繰り返し行うものとする（ステップＳ２７）。
【００８５】
利用者の権限レベルで開示可能な属性の変換テーブルがある場合（有り：ステップＳ２８）、復元手段１４は、その属性の変換テーブル（図４〜６の全て、もしくは一部）を機密データ辞書保存部２１から取得する（ステップＳ２９）。
一方、利用者の権限レベルで開示可能な属性の変換テーブルがない場合は、文書データ中に特殊文字列を検索する（ステップＳ３２）。
【００８６】
ここで、復元手段１４は、特殊文字列に埋め込まれている属性を確認する（有り：ステップＳ３０）と共に、その属性の変換テーブルに基づき、伏字データに該当するデータの検索を行うことにより確認し、ある場合には、これを機密データに置換する（ステップＳ３１）。
【００８７】
ここで、例えば、特殊文字列の冒頭に属性が埋め込まれている場合、復元手段１４は、その属性に対応する変換テーブルだけを検索すればよい。これにより、復元手段１４の復元処理にかかる処理時間の効率化が図られる。
【００８８】
尚、機密データ辞書に格納されている機密データは暗号化されているため、復元手段１４は、読み出しを行うにあたって復号処理を行う必要がある（機密データ復号処理機能）。
【００８９】
次いで、復元手段１４は、文書ファイル内の全ての機密データが伏字データに置換されたことを確認した場合に（ここまで：ステップＳ２６に対応）、データ出力手段１５が、復元された文書ファイルを他システム連携手段１１を介して他システム１００に送信する（ステップＳ３３）。
【００９０】
このとき、他システム１００は、対システム連携手段１１から送り込まれた復元済み文書ファイルを出力画面に表示する。
尚、他システム１００が、シンクライアントである場合、表示された文字ファイルの内容を保存することはできず、閲覧表示された後、消去されるものとする。
【００９１】
また、他システム１００が、復元済み文書ファイルを保存処理する場合には、再び機密データ保護装置１０側でこれを取得し、機密データの伏字処理が行われる。
これにより、復元処理された機密データを含む復元済み文書ファイルが、他システム１００内に保存されることが抑制され、このため、機密データの漏洩を有効に抑制することができる。
【００９２】
以上のように、本実施形態では、文書に含まれる機密データを、文書作成者および閲覧者が意識することなく、閲覧者のレベルによって開示する範囲を変更することができ、更には、複数の文書を作成することなく、精細な情報漏えい対策を設定することができる。
また、本願発明では、利用者がシステム内に文書を保存する場合には、文書内の機密情報が伏せられた形で保存され、更には、機密情報を一括して管理すると共に機密情報に対する暗号化対策をとることにより、セキュリティを強化することができる。
【産業上の利用可能性】
【００９３】
本発明は、ネットワークを介して共有される文書情報に含まれる機密データを隠蔽して保護するシステムに対して適用が可能である。
【符号の説明】
【００９４】
１０  機密データ保護装置
１１  他システム連携手段
１２  データ入力手段
１３  変換手段
１４  復元手段
１５  データ出力手段
２０  機密データ辞書作成手段
２１  機密データ辞書記憶部
３０  権限データベース（ＤＢ）作成手段
３１  権限データベース（ＤＢ）
１００  他システム
【図１】
2011133991.tif 000003
【図２】
2011133991.tif 000004
【図３】
2011133991.tif 000005
【図４】
2011133991.tif 000006
【図５】
2011133991.tif 000007
【図６】
2011133991.tif 000008
【図７】
2011133991.tif 000009
【図８】
2011133991.tif 000010
【図９】
2011133991.tif 000011
【図１０】
2011133991.tif 000012
【図１１】
2011133991.tif 000013