(57)【特許請求の範囲】
【請求項１】
文書データに含まれるデータ閲覧制御プログラムであって、
コンピュータに、
認証情報の入力要求を行い、
入力された認証情報と、前記文書データを識別する識別情報とを含むリクエストをサーバ装置へ送信し、
前記リクエストを受け取った前記サーバ装置から送られてくるレスポンスを受信し、
前記レスポンスが、入力された認証情報に基づく認証に失敗したことを示している場合には、認証が失敗したことを示す認証失敗情報と前記文書データとを合成して表示部に表示し、
前記レスポンスが、入力された認証情報に基づく認証に成功したことを示しており、且つ、前記識別情報により識別される文書データに対応する情報を含んでいる場合には、前記文書データに対応する情報と前記文書データとを合成して前記表示部に表示し、
前記レスポンスが、入力された認証情報に基づく認証に成功したことを示しており、且つ、入力された認証情報により特定される認証対象者に対して前記文書データに対応する情報の閲覧権限が与えられていないことを示している場合には、前記文書データに対応する情報についての閲覧権限がないことを示す権限エラー情報と前記文書データとを合成して前記表示部に表示する、
処理を実行させることを特徴とするデータ閲覧制御プログラム。
【請求項２】
前記文書データに対応する情報と前記文書データとの合成は、前記文書データに対応する情報を前記文書データに重畳して表示部に表示する処理である、
ことを特徴とする請求項１記載のデータ閲覧制御プログラム。
【請求項３】
前記コンピュータに、
前記入力要求を行う処理において、前記文書データの閲覧操作がされたことの検出に応じて、前記認証情報の入力要求を行う、
処理を実行させることを特徴とする請求項１または２記載のデータ閲覧制御プログラム。
【請求項４】
前記閲覧権限はそれぞれ変更可能である、
請求項１記載のデータ閲覧制御プログラム。
【請求項５】
前記コンピュータに、さらに、
前記文書データと前記文書データに対応する情報とを異なる情報として記憶部に記憶する、
処理を実行させることを特徴とする請求項１乃至４のうち何れか１項に記載のデータ閲覧制御プログラム。
【請求項６】
前記コンピュータに、
前記文書データに対応する情報と前記文書データとの合成において、前記文書データに対応する情報と前記文書データとを合成した合成結果データを生成する、
処理を実行させることを特徴とする請求項１記載のデータ閲覧制御プログラム。
【請求項７】
前記コンピュータに、
前記文書データに対応する情報と前記文書データとを合成して表示する処理において、前記合成結果データを表示部に表示させ、
前記合成結果データの表示を終了させる操作を検出したことに応じて、合成された前記合成結果データを削除する、
処理を実行させることを特徴とする請求項６記載のデータ閲覧制御プログラム。
【請求項８】
文書データに含まれるデータ閲覧制御プログラムをコンピュータが実行するデータ閲覧制御方法であって、
認証情報の入力要求を行い、
入力された認証情報と、前記文書データを識別する識別情報とを含むリクエストをサーバ装置へ送信し、
前記リクエストを受け取った前記サーバ装置から送られてくるレスポンスを受信し、
前記レスポンスが、入力された認証情報に基づく認証に失敗したことを示している場合には、認証が失敗したことを示す認証失敗情報と前記文書データとを合成して表示部に表示し、
前記レスポンスが、入力された認証情報に基づく認証に成功したことを示しており、且つ、前記識別情報により識別される文書データに対応する情報を含んでいる場合には、前記文書データに対応する情報と前記文書データとを合成して前記表示部に表示し、
前記レスポンスが、入力された認証情報に基づく認証に成功したことを示しており、且つ、入力された認証情報により特定される認証対象者に対して前記文書データに対応する情報の閲覧権限が与えられていないことを示している場合には、前記文書データに対応する情報についての閲覧権限がないことを示す権限エラー情報と前記文書データとを合成して前記表示部に表示する、
ことを特徴とするデータ閲覧制御方法。
【請求項９】
文書データに含まれるデータ閲覧制御プログラムを実行するデータ閲覧制御装置であって、
認証情報の入力要求を行う入力要求部と、
入力された認証情報と、前記文書データを識別する識別情報とを含むリクエストをサーバ装置へ送信する送信部と、
前記リクエストを受け取った前記サーバ装置から送られてくるレスポンスを受信する受信部と、
前記レスポンスが、入力された認証情報に基づく認証に失敗したことを示している場合には、認証が失敗したことを示す認証失敗情報と前記文書データとを合成して表示部に表示させ、
前記レスポンスが、入力された認証情報に基づく認証に成功したことを示しており、且つ、前記識別情報により識別される文書データに対応する情報を含んでいる場合には、前記文書データに対応する情報と前記文書データとを合成して前記表示部に表示させ、
前記レスポンスが、入力された認証情報に基づく認証に成功したことを示しており、且つ、入力された認証情報により特定される認証対象者に対して前記文書データに対応する情報の閲覧権限が与えられていないことを示している場合には、前記文書データに対応する情報についての閲覧権限がないことを示す権限エラー情報と前記文書データとを合成して前記表示部に表示させる
制御部と、
を備えることを特徴とするデータ閲覧制御装置。
【請求項１０】
文書データに含まれるデータ閲覧制御プログラムであって、
コンピュータに、
認証情報の入力要求を行い、
入力された認証情報と、前記文書データを識別する識別情報とを含むリクエストをサーバ装置へ送信し、
前記リクエストを受け取った前記サーバ装置から送られてくるレスポンスを受信し、
前記レスポンスが、入力された認証情報に基づく認証に失敗したことを示している場合には、前記文書データを前記認証が失敗したことを示す認証失敗情報に対応した態様で生成したデータを表示部に表示し、
前記レスポンスが、入力された認証情報に基づく認証に成功したことを示しており、且つ、前記識別情報により識別される文書データに対応する情報を含んでいる場合には、前記文書データに対応する情報と前記文書データとを合成して前記表示部に表示し、
前記レスポンスが、入力された認証情報に基づく認証に成功したことを示しており、且つ、入力された認証情報により特定される認証対象者に対して前記文書データに対応する情報の閲覧権限が与えられていないことを示している場合には、前記文書データを前記文書データに対応する情報についての閲覧権限がないことを示す権限エラー情報に対応した態様で生成したデータを前記表示部に表示する、
処理を実行させることを特徴とするデータ閲覧制御プログラム。
【請求項１１】
文書データに含まれるデータ閲覧制御プログラムをコンピュータが実行するデータ閲覧制御方法であって、
認証情報の入力要求を行い、
入力された認証情報と、前記文書データを識別する識別情報とを含むリクエストをサーバ装置へ送信し、
前記リクエストを受け取った前記サーバ装置から送られてくるレスポンスを受信し、
前記レスポンスが、入力された認証情報に基づく認証に失敗したことを示している場合には、前記文書データを前記認証が失敗したことを示す認証失敗情報に対応した態様で生成したデータを表示部に表示し、
前記レスポンスが、入力された認証情報に基づく認証に成功したことを示しており、且つ、前記識別情報により識別される文書データに対応する情報を含んでいる場合には、前記文書データに対応する情報と前記文書データとを合成して前記表示部に表示し、
前記レスポンスが、入力された認証情報に基づく認証に成功したことを示しており、且つ、入力された認証情報により特定される認証対象者に対して前記文書データに対応する情報の閲覧権限が与えられていないことを示している場合には、前記文書データを前記文書データに対応する情報についての閲覧権限がないことを示す権限エラー情報に対応した態様で生成したデータを前記表示部に表示する、
ことを特徴とするデータ閲覧制御方法。
【請求項１２】
文書データに含まれるデータ閲覧制御プログラムを実行するデータ閲覧制御装置であって、
認証情報の入力要求を行う入力要求部と、
入力された認証情報と、前記文書データを識別する識別情報とを含むリクエストをサーバ装置へ送信する送信部と、
前記リクエストを受け取った前記サーバ装置から送られてくるレスポンスを受信する受信部と、
前記レスポンスが、入力された認証情報に基づく認証に失敗したことを示している場合には、前記文書データを前記認証が失敗したことを示す認証失敗情報に対応した態様で生成したデータを表示部に表示させ、
前記レスポンスが、入力された認証情報に基づく認証に成功したことを示しており、且つ、前記識別情報により識別される文書データに対応する情報を含んでいる場合には、前記文書データに対応する情報と前記文書データとを合成して前記表示部に表示させ、
前記レスポンスが、入力された認証情報に基づく認証に成功したことを示しており、且つ、入力された認証情報により特定される認証対象者に対して前記文書データに対応する情報の閲覧権限が与えられていないことを示している場合には、前記文書データを前記文書データに対応する情報についての閲覧権限がないことを示す権限エラー情報に対応した態様で生成したデータを前記表示部に表示させる
制御部と、
を備えることを特徴とするデータ閲覧制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、データ閲覧制御プログラム、データ閲覧制御方法、データ閲覧制御装置、文書データ管理装置、文書データ管理方法および文書データ管理プログラムに関する。
【背景技術】
【０００２】
近年、オンラインで帳票等の文書データの管理を行うシステムが利用されている。文書データには、例えば個人情報等の機密情報が含まれている場合がある。この場合、正当な権限を有しない第三者により文書データが閲覧されないように制限することが好ましい。
【０００３】
関連する技術として、利用されるファイルおよび利用者の権限に応じてファイルに係る非表示データの編集を行い、ファイル利用者に応じた適切な情報の保護を図る技術が提案されている（例えば、特許文献１を参照）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００９−１９３１６４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
機密情報を含む文書データの閲覧を制限する場合、例えば、文書データ全体に暗号化が行われる場合がある。この場合、機密情報を含む文書データの全体が暗号化されるため、機密情報の部分のみの閲覧を制限することは難しい。
【０００６】
文書データのうち、閲覧制限の対象となる情報に対してマスク処理等を行うことにより、文書データの一部の情報の閲覧を制限する場合もある。この場合、文書データのうち、閲覧制限の対象となる領域を特定し、特定された領域に対してマスク処理が行われるため、閲覧制限の制御が複雑になる。
【０００７】
１つの側面として、本発明は、文書データに含まれる情報の閲覧制御を容易化することを目的とする。
【課題を解決するための手段】
【０００８】
１つの態様では、文書データに含まれるデータ閲覧制御プログラムを実行するデータ閲覧制御装置であって、認証情報の入力要求を行う入力要求部と、入力された認証情報と、前記文書データを識別する識別情報とを含むリクエストをサーバ装置へ送信する送信部と、前記リクエストを受け取った前記サーバ装置から送られてくるレスポンスを受信する受信部と、前記レスポンスが、入力された認証情報に基づく認証に失敗したことを示している場合には、認証が失敗したことを示す認証失敗情報と前記文書データとを合成して表示部に表示させ、前記レスポンスが、入力された認証情報に基づく認証に成功したことを示しており、且つ、前記識別情報により識別される文書データに対応する情報を含んでいる場合には、前記文書データに対応する情報と前記文書データとを合成して前記表示部に表示させ、前記レスポンスが、入力された認証情報に基づく認証に成功したことを示しており、且つ、入力された認証情報により特定される認証対象者に対して前記文書データに対応する情報の閲覧権限が与えられていないことを示している場合には、前記文書データに対応する情報についての閲覧権限がないことを示す権限エラー情報と前記文書データとを合成して前記表示部に表示させる制御部と、を含む。
【０００９】
また、別の態様では、文書データに含まれるデータ閲覧制御プログラムを実行するデータ閲覧制御装置であって、認証情報の入力要求を行う入力要求部と、入力された認証情報と、前記文書データを識別する識別情報とを含むリクエストをサーバ装置へ送信する送信部と、前記リクエストを受け取った前記サーバ装置から送られてくるレスポンスを受信する受信部と、前記レスポンスが、入力された認証情報に基づく認証に失敗したことを示している場合には、前記文書データを前記認証が失敗したことを示す認証失敗情報に対応した態様で生成したデータを表示部に表示させ、前記レスポンスが、入力された認証情報に基づく認証に成功したことを示しており、且つ、前記識別情報により識別される文書データに対応する情報を含んでいる場合には、前記文書データに対応する情報と前記文書データとを合成して前記表示部に表示させ、前記レスポンスが、入力された認証情報に基づく認証に成功したことを示しており、且つ、入力された認証情報により特定される認証対象者に対して前記文書データに対応する情報の閲覧権限が与えられていないことを示している場合には、前記文書データを前記文書データに対応する情報についての閲覧権限がないことを示す権限エラー情報に対応した態様で生成したデータを前記表示部に表示させる制御部と、を含む。
【発明の効果】
【００１０】
１つの側面によれば、文書データに含まれる情報の閲覧制御を容易化することができる。
【図面の簡単な説明】
【００１１】
【図１】第１実施形態のシステムの全体構成の一例を示す図である。
【図２】第１実施形態のクライアントの機能ブロックの一例を示す図である。
【図３】第１実施形態の管理部の機能ブロックの一例を示す図である。
【図４】帳票データの一例を示す図である。
【図５】各種データベースの一例を示す図（その１）である。
【図６】各種データベースの一例を示す図（その２）である。
【図７】各種画面例を示す図（その１）である。
【図８】各種画面例を示す図（その２）である。
【図９】各種画面例を示す図（その３）である。
【図１０】第１実施形態の処理の一例を示すフローチャート（その１）である。
【図１１】第１実施形態の処理の一例を示すフローチャート（その２）である。
【図１２】第１実施形態の処理の一例を示すフローチャート（その３）である。
【図１３】コンテンツに含まれる領域情報の一例を示す図である。
【図１４】ネットワーク種別および時刻情報に基づく認証の一例を示す図である。
【図１５】各種認証バリエーションの一例を示す図である。
【図１６】第２実施形態のクライアントの機能ブロックの一例を示す図である。
【図１７】第２実施形態の表示処理の一例を示すフローチャートである。
【図１８】機密情報とコンテンツとの合成のバリエーションの一例を示す図（その１）である。
【図１９】機密情報とコンテンツとの合成のバリエーションの一例を示す図（その２）である。
【図２０】機密情報とコンテンツとの合成のバリエーションの一例を示す図（その３）である。
【図２１】第３実施形態の管理部の機能ブロックの一例を示す図である。
【図２２】第３実施形態のクライアントの機能ブロックの一例を示す図である。
【図２３】閲覧権限データベースの一例を示す図である。
【図２４】第３実施形態の処理の一例を示すフローチャート（その１）である。
【図２５】第３実施形態の処理の一例を示すフローチャート（その２）である。
【図２６】第３実施形態の処理の一例を示すフローチャート（その３）である。
【図２７】クライアントのハードウェア構成の一例を示す図である。
【図２８】管理サーバのハードウェア構成の一例を示す図である。
【発明を実施するための形態】
【００１２】
＜第１実施形態の全体構成の一例＞
以下、第１実施形態について説明する。以下の各実施形態では、文書データは帳票データであるものとする。図１は、第１実施形態の全体構成の一例を示す。
【００１３】
図１において、システム１は、クライアント２と管理サーバ３とを含む。クライアント２は、例えば、帳票データの閲覧を行う際に利用者により操作される端末である。クライアント２は、帳票データを管理サーバ３から取得する。以下、帳票データをコンテンツと称することもある。
【００１４】
取得された帳票データは、クライアント２に記憶される。クライアント２に記憶された帳票データが外部に流出すると、帳票データに含まれる機密情報も外部に流出することになる。
【００１５】
機密情報を含む帳票データが外部に流出した場合、帳票データに暗号化等が施されていたとしても、帳票データが解析等されることにより、機密情報が外部に漏洩し、正当な権限を有しない第三者により、機密情報が悪用される可能性がある。
【００１６】
第１実施形態では、文書データに含まれる機密情報の閲覧制御を容易化すると共に、機密情報の保護を図る。以下、第１実施形態の詳細について説明する。
【００１７】
図１に示すように、管理サーバ３は、管理部４と第１データベース群５と第２データベース群６とを含む。管理部４は、第１データベース群４および第２データベース群５と接続され、クライアント２からのリクエストに対して、レスポンスを返信する。
【００１８】
管理サーバ３は、サーバ装置または文書データ管理装置の一例である。クライアント２は、端末装置またはデータ閲覧制御装置の一例である。
【００１９】
第１データベース群５は、コンテンツデータベース１１とマイナンバーデータベース１２と氏名データベース１３と住所データベース１４とを含む。コンテンツデータベース１１は、コンテンツを記憶する。図１以降、データベースは「ＤＢ」と表記される。
【００２０】
以下、コンテンツは、電子ファイルであるものとする。例えば、クライアント２で実行される閲覧アプリケーションプログラム（以下、閲覧アプリケーションと称する）により、コンテンツがクライアント２の画面上に表示されてもよい。
【００２１】
帳票データは、例えば、源泉徴収票や確定申告書等の帳票の電子データである。ただし、コンテンツは帳票データ以外の任意の文書データであってよい。また、帳票は、源泉徴収票や確定申告書以外であってもよい。
【００２２】
マイナンバーデータベース１２は、マイナンバーを記憶するデータベースである。マイナンバーは、日本国内に住民票を有する個人を特定する番号であり、行政機関等により管理される番号である。マイナンバーの活用により、例えば、行政機関の事務手続きの効率化が期待される。
【００２３】
氏名データベース１３は、氏名を記憶するデータベースである。住所データベース１４は、住所を記憶するデータベースである。マイナンバーと氏名と住所とは機密情報に属する。従って、機密情報はそれぞれ個別的に管理されることが望ましい。
【００２４】
そこで、マイナンバーデータベース１２と氏名データベース１３と住所データベース１４とは、それぞれ異なるデータベースであるものとする。
【００２５】
次に、第２データベース群６について説明する。第２データベース群６は、コンテンツ種別データベース２１と閲覧権限データベース２２と秘匿項目データベース２３と帳票項目データベース２４とを含む。
【００２６】
コンテンツ種別データベース２１は、コンテンツの種別（コンテンツ種別）を記憶するデータベースである。閲覧権限データベース２２は、機密情報の閲覧権限を記憶するデータベースである。
【００２７】
秘匿項目データベース２３は、帳票データに応じて、該帳票データに含まれる項目のうち何れの項目が秘匿されるかを記憶するデータベースである。
【００２８】
帳票項目データベース２４は、帳票データの種別に応じて、秘匿される項目（秘匿項目）に対応する領域の情報を記憶するデータベースである。秘匿項目に対応する領域は、帳票データの中の座標で表され、該領域に機密情報が重畳される。
【００２９】
第２データベース群６の各データベースが記憶する情報は、機密情報には属さない。従って、第２データベース群６の各データベースの情報は１つのデータベースに記憶されてもよい。
【００３０】
クライアント２が管理サーバ３に対してコンテンツの取得をリクエストすると、管理サーバ３は、リクエストに応じたコンテンツをクライアント２に送信する。管理サーバ３は、エンジンを含むコンテンツをクライアント２に送信する。エンジンは、クライアント２に所定の機能を実行させるプログラムであり、データ閲覧制御プログラムの一例である。
【００３１】
第１実施形態では、クライアント２が取得したコンテンツに対して閲覧操作が行われたことが検出されると、クライアント２はエンジン（データ閲覧制御プログラム）を実行する。エンジンが実行されると、クライアント２は、管理サーバ３に対して、コンテンツに応じた機密情報の取得要求（リクエスト）を送信する。
【００３２】
管理サーバ３は、クライアント２からのリクエストに基づいて、認証を行い、機密情報をレスポンスとしてクライアント２に送信する。クライアント２に記憶されたエンジンは、コンテンツに機密情報を重畳する。
【００３３】
エンジンは、クライアント２の画面に、機密情報が重畳されたコンテンツ（帳票データ）を表示する制御を行う。また、クライアント２で実行されるエンジンは、コンテンツと機密情報とを異なる情報としてクライアント２に記憶する。
＜クライアントの機能ブロックの一例＞
次に、図２を参照して、クライアント２の機能ブロックの一例について説明する。クライアント２は、第１入力部３１と第１記憶部３２と第１画面部３３と第１通信部３４とクライアント処理部４０とを含む。
【００３４】
第１入力部３１は、クライアント２を操作する操作者（以下、利用者と称する）が入力操作を行うために設けられる。第１入力部３１には、例えば、マウスやキーボード等が適用されてもよい。
【００３５】
第１記憶部３２は、管理部４から取得されたコンテンツ（帳票データ）と、コンテンツに含まれる機密情報とを個別の情報として記憶する。第１記憶部３２に記憶されたコンテンツはエンジンを含む。
【００３６】
第１画面部３３は、クライアント２に設けられる表示画面であり、所定の情報を表示する。第１画面部３３は、例えばディスプレイである。第１通信部３４は、管理部４と通信を行う。
【００３７】
クライアント処理部４０は、クライアント２による所定の処理を行う。クライアント処理部４０は、取得要求部４１と認証情報入力要求部４２と記憶制御部４３と入力操作検出部４４と装置情報検出部４５と重畳部４６と表示制御部４７とを含む。クライアント処理部４０の各機能は、エンジンにより実現されてもよい。
【００３８】
取得要求部４１は、管理サーバ３に対して、コンテンツおよび機密情報を取得するリクエストを送信する。取得要求部４１は、利用者の入力操作に基づいて、コンテンツを取得するリクエストを管理サーバ３に対して行う。取得要求部４１は、取得部の一例である。
【００３９】
認証情報入力要求部４２は、利用者に、認証情報の入力を要求する。入力された認証情報は、例えば、Identification(ID)とパスワードとの組み合わせであってもよい。また、認証情報は、例えば、指紋や静脈等の生体認証であってもよい。この場合、クライアント２には、別途の生体認証装置が設けられる。認証情報入力要求部４２は、入力要求部の一例である。
【００４０】
記憶制御部４３は、管理サーバ３から取得されたコンテンツと機密情報とを異なる情報として、第１記憶部３２に記憶する制御を行う。また、記憶制御部４３は、第１記憶部３２に記憶されたコンテンツや機密情報を削除する。
【００４１】
入力操作検出部４４は、利用者による第１入力部３１を用いた入力操作を検出する。例えば、利用者が、第１記憶部３２に記憶されたコンテンツを閲覧する操作を行ったとする。入力操作検出部４４は、コンテンツの閲覧操作を検出する。
【００４２】
コンテンツの閲覧操作が検出されると、クライアント処理部４０は、コンテンツに含まれるエンジンを実行する。エンジンが実行されることにより、取得要求部４１は、管理部４に対して、コンテンツに応じた機密情報を取得するリクエストを管理サーバ３に送信する。
【００４３】
装置情報検出部４５は、クライアント２の装置情報を検出する。クライアント２の装置情報としては、例えば、クライアント２のMedia Access Control(MAC)アドレスやネットワーク種別情報、Internet Protocol(IP)アドレスの情報等がある。また、装置情報は、他にも、例えば、クライアント２が持つ時刻情報を含んでもよい。
【００４４】
ネットワーク種別情報は、例えば、社内Local Area Network(LAN)のように、閉じた環境のネットワークであるか、または外部と接続されたネットワークであるか等のネットワークの種別を示す。装置情報は、他の認証情報の一例である。
【００４５】
重畳部４６は、第１記憶部３２に記憶されたコンテンツに機密情報を重畳する。第１実施形態では、重畳部４６は、コンテンツに機密情報を重畳して表示する処理を行う。この場合、機密情報とコンテンツとは別個の情報である。重畳は、機密情報とコンテンツとの合成の１つの態様である。また、重畳部４６は、合成部の一例である。
【００４６】
表示制御部４７は、第１画面部３３に、機密情報が重畳されたコンテンツを表示する制御を行う。また、操作者による第１入力部３１を用いた入力操作をクライアント処理部４０が受け付けた場合、表示制御部４７は、入力操作に応じた表示制御を行う。
【００４７】
＜管理部の機能ブロックの一例＞
次に、図３を参照して、管理部４の機能ブロックの一例について説明する。管理部４は、第２入力部５１と第２画面部５２と第２通信部５３とサーバ処理部６０とを含む。
【００４８】
第２入力部５１は、管理サーバ３を操作する操作者（以下、管理者と称する）が入力操作を行うために設けられる。第２入力部５１は、例えば、マウスやキーボード等である。
【００４９】
第２画面部５２は、管理部４に設けられる表示画面であり、所定の情報を表示する。第２画面部５２は、例えばディスプレイである。第２通信部５３は、クライアント２と通信を行う。
【００５０】
サーバ処理部６０は、管理部４による所定の処理を行う。サーバ処理部６０は、認証部６１と判定部６２とコンテンツ取得部６３と機密情報取得部６４と送信情報制御部６５と閲覧権限変更部６６とを含む。
【００５１】
認証部６１は、クライアント２からのリクエストに含まれる認証情報に対する認証を行う。上述したように、認証情報は、ＩＤとパスワードとの組み合わせであってもよいし、生体認証情報であってもよい。
【００５２】
また、認証情報は、クライアント２の装置情報検出部４５により検出される装置情報を含んでもよい。認証部６１は、クライアント２のＭＡＣアドレスやＩＰアドレスに基づいて認証を行ってもよい。
【００５３】
また、認証部６１は、例えば、クライアント２のネットワーク種別が社内ＬＡＮの場合にのみ、認証を成功させるようにしてもよい。また、認証部６１は、装置情報に含まれる時刻情報に基づいて、認証を行ってもよい。例えば、時刻情報が所定の時間帯以外の場合、認証部６１は認証を成功させないようにしてもよい。
【００５４】
判定部６２は、利用者の閲覧権限に応じて、各機密情報のそれぞれについて、閲覧が可能であるか否かを判定する。
【００５５】
第１実施形態では、マイナンバーと氏名と住所とが機密情報に属する。利用者の閲覧権限に応じて、例えば、全ての機密情報の閲覧が可能な場合があり、一部の機密情報（例えば、マイナンバーのみ、あるいは氏名のみ、住所のみ、など）の閲覧が可能な場合があり、全ての機密情報の閲覧が制限される場合がある。
【００５６】
コンテンツ取得部６３は、コンテンツデータベース１１からコンテンツを取得する。機密情報取得部６４は、第１データベース群５のうち、機密情報を記憶するデータベースから機密情報を取得する。利用者の閲覧権限に応じて、機密情報取得部６４は、マイナンバーデータベース１２からマイナンバーを取得し、氏名データベース１３から氏名を取得し、住所データベース１４から氏名を取得する。
【００５７】
送信情報制御部６５は、クライアント２からのリクエストに応じて、クライアント２に送信する送信情報を制御する。クライアント２は、エンジンを実行することにより、機密情報を取得するリクエスト（取得要求）を管理部４に対して送信する。
【００５８】
送信情報制御部６５は、認証部６１による認証が成功した場合、利用者の閲覧権限に応じた機密情報をレスポンスとして、クライアント２に送信する制御を行う。このとき、送信情報制御部６５は、利用者の閲覧権限にかかわらず、認証の成功に応じて、クライアント２に機密情報を送信するように制御してもよい。
【００５９】
例えば、機密情報に閲覧権限が設定されていないような場合や、全ての利用者による機密情報の閲覧が許可されている場合には、送信情報制御部６５は、認証の成功に応じて、機密情報をクライアント２に送信する制御を行ってもよい。
【００６０】
閲覧権限変更部６６は、各機密情報のそれぞれについて設定されている利用者による閲覧権限を変更する。閲覧権限の変更は、例えば、管理者による入力操作により行われてもよい。
【００６１】
この場合、管理者は、第２入力部５１を用いて、閲覧権限の変更操作を行う。サーバ処理部６０が閲覧権限の変更操作を受け付けることにより、閲覧権限変更部６６は閲覧権限の変更を行う。
【００６２】
閲覧権限は、利用者によって異なる。例えば、利用者の属性の変化（異動や退職等）に応じて、該利用者による閲覧権限は変更されることが好ましい。この場合、閲覧権限変更部６６は、利用者ごとに閲覧権限を変更する。
【００６３】
例えば、利用者Ｕ１の閲覧権限が、マイナンバーの閲覧のみが可能に設定されている場合、利用者Ｕ１の属性の変化に応じて、利用者Ｕ１はマイナンバーの参照も不能になることがある。
【００６４】
この場合、閲覧権限変更部６６は、利用者Ｕ１による全ての機密情報が閲覧されないように、閲覧権限を変更する。閲覧権限は、所定のポリシー（以下、セキュリティーポリシー）に基づいて、設定される。
【００６５】
＜コンテンツの一例＞
次に、コンテンツの例について説明する。図４は、コンテンツ（帳票データ）として、源泉徴収票の一例を示している。図４（Ａ）は、源泉徴収票のフォーマットデータの一例を示す。
【００６６】
図４（Ａ）の例で示す源泉徴収票のフォーマットデータには、機密情報が重畳されていない。例えば、「住所または居所」、「住所」および「個人番号」の欄等は空欄となっている。これらの欄は、秘匿項目の欄である。図４において、「個人番号」はマイナンバーを示す。
【００６７】
図４（Ｂ）の例で示す源泉徴収票のフォーマットデータの各秘匿項目の欄には機密情報が重畳されている。例えば、住所や氏名、個人番号の秘匿項目の欄に機密情報が重畳されている。なお、支払金額等も秘匿項目であってもよい。
【００６８】
図４（Ｃ）の例で示す源泉徴収票のフォーマットデータのうち、氏名および個人番号の秘匿項目の欄の機密情報は秘匿されている。図４（Ｃ）の例では、氏名および個人番号の秘匿項目の欄は、アスタリスクで示されているが、空欄であってもよい。
【００６９】
図４（Ｂ）の例の場合、クライアント２の利用者は、全ての機密情報に対する閲覧権限を有する。図４（Ｃ）の例の場合、クライアント２の利用者は、住所の閲覧権限を有するが、氏名およびマイナンバーの閲覧権限を有しない。
【００７０】
＜各種データベースの一例＞
次に、図５および図６の例を参照して、各種データベースについて説明する。図５（Ａ）は、コンテンツ種別データベース２１の一例である。コンテンツ種別データベース２１が記憶するテーブルは、帳票種別ＩＤと帳票種別との項目を有する。
【００７１】
帳票種別ＩＤは、帳票データの種別を識別する識別子である。帳票種別は、帳票の種別の名称を示す。帳票種別は帳票識別ＩＤにより特定される。例えば、帳票識別ＩＤ「CK00001」は、源泉徴収票であることを示す。
【００７２】
図５（Ｂ）は、閲覧権限データベース２２の一例である。閲覧権限データベース２２は、帳票種別ＩＤと項目名と利用者と閲覧権限との項目を有するテーブルを記憶する。項目名は、秘匿項目の名称である。各種データベースの項目名は、コンテンツの秘匿項目に対応する。
【００７３】
利用者は、クライアントの利用者を特定する情報である。閲覧権限は、帳票種別ＩＤで特定される帳票データに含まれる各秘匿項目のそれぞれについて、利用者ごとに、閲覧することが可能であるか、または不能であるかを示す。図５（Ｂ）の閲覧権限データベース２２の閲覧権限は変更可能である。
【００７４】
例えば、帳票種別ＩＤ「CK00002」で特定される確定申告書の帳票データに含まれるマイナンバーの項目は、利用者Ｕ１以外の利用者が閲覧することは許可されていないが、利用者Ｕ１が閲覧することは許可されていることを示す。
【００７５】
例えば、利用者Ｕ２の属性の変化（部署の異動等）により、利用者Ｕ２による、確定申告書に含まれるマイナンバーの閲覧が可能になったとする。
【００７６】
この場合、閲覧権限データベース２２の閲覧権限は、セキュリティポリシーに基づいて、変更される。図５（Ｂ）の例の場合、利用者は「Ｕ１以外」から「Ｕ１およびＵ２以外」に変更される。
【００７７】
次に、図６（Ａ）を参照して、秘匿項目データベース２３の一例について説明する。秘匿項目データベース２３が記憶するテーブルは、帳票識別ＩＤと項目名と登録番号との項目を有する。帳票識別ＩＤは、帳票データを識別する識別情報である。
【００７８】
上述したように、帳票種別ＩＤは帳票データの種別を特定するＩＤである。一方、帳票識別ＩＤは帳票データ自体を識別するＩＤである。例えば、利用者が、特定の個人の所定の年度の源泉徴収票を閲覧する場合を想定する。
【００７９】
この場合、帳票識別ＩＤは、帳票種別ＩＤと個人と年度とにより特定される帳票データを特定するＩＤであり、この帳票識別ＩＤにより、帳票種別（源泉徴収票）と個人と年度とが特定され、帳票データが特定される。帳票識別ＩＤは、帳票種別ＩＤと１または複数の条件との組み合わせであってもよい。
【００８０】
帳票識別ＩＤは項目名および登録番号と対応付けられている。例えば、帳票識別ＩＤ「GC00001」で特定される帳票データは、マイナンバーが秘匿項目として指定されており、このマイナンバーに登録番号「AA12345」が対応付けられている。
【００８１】
図６（Ｂ）は、マイナンバーデータベース１２の一例を示す。マイナンバーデータベース１２が記憶するテーブルは、登録番号とマイナンバーとの項目を有する。登録番号とマイナンバーとは１対１で対応付けられている。
【００８２】
同様に、氏名データベース１３は、氏名と登録番号とが対応付けられたテーブルを記憶する。住所データベース１４は、住所と登録番号とが対応付けられたテーブルを記憶する。
【００８３】
例えば、登録番号「AA12345」はマイナンバー「123456789012」に対応付けられている。従って、図６（Ａ）および（Ｂ）の場合、帳票識別ＩＤ「GC00001」で特定される帳票データの秘匿項目であるマイナンバーは「123456789012」になる。
【００８４】
例えば、図６（Ａ）の帳票識別ＩＤ「K500001」の場合、秘匿項目として、マイナンバーと氏名とが指定されている。マイナンバーと氏名とのそれぞれの項目に登録番号が対応付けられており、マイナンバーの項目の登録番号は、マイナンバーデータベース１２において、マイナンバーと対応付けられている。また、氏名の項目の登録番号は、氏名データベース１３の氏名と対応付けられている。
【００８５】
従って、帳票識別ＩＤ「K500001」で特定される帳票データと、該帳票データで指定されている秘匿項目であるマイナンバーおよび氏名とが関連付けられる。
【００８６】
次に、図６（Ｃ）の例を参照して、帳票項目データベース２４について説明する。帳票項目データベース２４が記憶するテーブルは、帳票種別ＩＤと項目名と領域情報との項目を有する。
【００８７】
上述したように、帳票種別ＩＤにより帳票データの種別（例えば、源泉徴収票等）が特定される。領域情報は、例えば、源泉徴収票の帳票データにおいて、秘匿項目の欄の領域を座標系（Ｘ座標、Ｙ座標）で示す情報である。
【００８８】
例えば、図６（Ｃ）の例で示す帳票種別ＩＤ「CK00001」で特定される帳票データは源泉徴収票であり、領域情報は源泉徴収票における各秘匿項目の欄の範囲をＸＹ座標系で示す。
【００８９】
帳票種別ＩＤ「CK00001」で特定される源泉徴収票の帳票データの秘匿項目であるマイナンバーと氏名と住所とは、それぞれ源泉徴収票の帳票データのうち領域情報で示される範囲に重畳される。
【００９０】
＜各種画面例＞
図７は、機密情報が表示される場合の画面例である。図７の例に示されるように、クライアント２の第１記憶部３２に記憶されるコンテンツ（源泉徴収票の帳票データ）には、機密情報が含まれていない。
【００９１】
上述したように、エンジンが実行されることにより、源泉徴収票の帳票データに対応し、且つ利用者の閲覧権限に応じた機密情報がレスポンスとして管理部４からクライアント２に送信される。このレスポンスには、各機密情報の領域情報が含まれる。
【００９２】
図７の例では、マイナンバーの秘匿項目の欄の領域情報がＸＹ座標系の「(5000,500) - (6000,700)」で示される矩形の領域であるとする。重畳部４６は、領域情報が示す矩形の領域の範囲（つまり、マイナンバーの秘匿項目の欄）に、取得されたマイナンバーを重畳する。
【００９３】
同様に、重畳部４６は、住所の領域情報に基づいて、「住所または居所」の秘匿項目の欄に、住所を重畳し、氏名の領域情報に基づいて、氏名の秘匿項目の欄に、氏名を重畳する。従って、源泉徴収票の帳票データにマイナンバー、住所および氏名が重畳される。
【００９４】
表示制御部４７は、機密情報が重畳されたコンテンツ（帳票データ）を第１画面部３３に表示する。これにより、機密情報を含む源泉徴収票の帳票データが第１画面部３３に表示される。
【００９５】
図８は、機密情報が表示されない場合の画面例を示す。例えば、管理部４の認証部６１による認証が失敗した場合、管理部４は、機密情報をクライアント２に送信しない。
【００９６】
管理部４の送信情報制御部６５は、認証部６１による認証が失敗した場合、認証が失敗したことを示す情報をレスポンスとしてクライアント２に送信する制御を行う。
【００９７】
図８（Ａ）は、認証が失敗したことに起因して、各秘匿項目の欄に機密情報が重畳されていないコンテンツの画面例を示す。図８（Ａ）の例では、各秘匿項目の欄が空欄になっている。各秘匿項目の欄は、機密情報を表示しないことを示す文字列（例えば、アスタリスクの文字列等）であってもよい。
【００９８】
図８（Ｂ）は、表示制御部４８が、機密情報が表示されない要因をエラーメッセージ３３Ｍとして第１画面部３３に表示した際の画面例を示す。これにより、利用者は、第１画面部３３に基づいて、機密情報が表示されない要因を認識することができる。
【００９９】
図９は、認証には成功したが、一部の機密情報の閲覧権限がない場合におけるコンテンツの画面例を示す。図９（Ａ）は、利用者の閲覧権限が住所および氏名の閲覧権限は可能であるが、マイナンバーの閲覧権限が不能である場合の画面例である。
【０１００】
なお、図９において、網掛けが施されている領域は、秘匿項目の欄であることを示し、該秘匿項目の欄に、機密情報が表示されない要因が文字列として重畳されて、表示される。
【０１０１】
管理部４は、利用者の閲覧権限が住所および氏名の閲覧権限は可能であり、マイナンバーの閲覧権限が不能であることを示すレスポンスをクライアント２に送信する。
【０１０２】
この場合、住所および氏名の秘匿項目の欄には、取得された住所および氏名がそれぞれ表示されるが、マイナンバーの秘匿項目の欄には、閲覧権限がないため、マイナンバーは表示されない。重畳部４６は、マイナンバーの秘匿項目の欄に、マイナンバーが表示されない要因（閲覧権限がないことを示す情報）を重畳する。
【０１０３】
表示制御部４８は、氏名および住所が重畳され、且つマイナンバーが重畳されない要因が重畳されたコンテンツを第１画面部３３に表示する。
【０１０４】
図９（Ｂ）は、認証に失敗した場合の画面例である。認証に失敗した場合、重畳部４６は、帳票データの各秘匿項目の欄に、認証が失敗したことを示す情報を重畳する。表示制御部４７は、該情報が重畳された帳票データを第１画面部３３に表示する。
【０１０５】
＜第１実施形態のフローチャート＞
次に、図１０乃至図１２のフローチャートを参照して、第１実施形態の処理の流れについて説明する。図１０のフローチャートは、クライアント２から管理部４に対するコンテンツおよび機密情報を取得するリクエストの処理の一例を示す。従って、図１０のフローチャートは、クライアント２が行う処理を示す。
【０１０６】
クライアント２の取得要求部４１は、コンテンツ取得のリクエストを管理部４に送信する制御を行う。第１通信部３４は、コンテンツ取得のリクエストを管理部４に送信する（ステップＳ１）。このリクエストには、帳票識別ＩＤが含まれる。
【０１０７】
クライアント２は、管理部４から、エンジンを含むコンテンツを取得する（ステップＳ２）。記憶制御部３４は、エンジンを含むコンテンツを第１記憶部３２に記憶する（ステップＳ３）。
【０１０８】
入力操作検出部４４が、コンテンツの閲覧操作が行われたことを検出しない場合（ステップＳ４でＮＯ）、処理は次のステップに進まない。入力操作検出部４４が、コンテンツの閲覧操作が行われたことを検出した場合（ステップＳ４でＹＥＳ）、クライアント処理部４０は、コンテンツに含まれるエンジンを実行する。
【０１０９】
エンジンが実行されると、取得要求部４１は、第１記憶部３２に記憶されたコンテンツの帳票識別ＩＤを認識する（ステップＳ５）。また、装置情報検出部４５は、クライアント２の装置情報を検出する（ステップＳ６）。なお、認証情報に装置情報が含まれない場合、ステップＳ６は省略される。
【０１１０】
認証情報入力要求部４２は、認証情報の入力要求を行う（ステップＳ７）。例えば、認証情報入力要求部４２は、ＩＤおよびパスワードの入力を促す画面を第１画面部３３に表示させるように、表示制御部４８を制御する。
【０１１１】
入力操作検出部４４が、ＩＤおよびパスワードの入力がされたことを検出しない場合（ステップＳ８でＮＯ）、処理は次のステップには進まない。入力操作検出部４４が、ＩＤおよびパスワードの入力がされたことを検出した場合（ステップＳ８でＹＥＳ）、取得要求部４１は、コンテンツに含まれていない機密情報の取得要求を行う。
【０１１２】
取得要求部４１は、認識した帳票識別ＩＤと認証情報とを含むリクエストを管理部４に送信する制御を行う。このリクエストには、利用者の情報も含まれる。認証情報は、入力要求に応じて入力されたＩＤおよびパスワード（入力された認証情報）だけでなく、ステップＳ６で検出された装置情報（他の認証情報）が含まれてもよい。
【０１１３】
第１通信部３４は、帳票識別ＩＤや認証情報、利用者を特定する情報を含むリクエストを管理部４に送信する（ステップＳ９）。ステップＳ５〜ステップＳ９の処理は、コンテンツの閲覧操作の検出に応じて実行されるエンジンにより実現される。以上により、リクエスト処理は終了する。
【０１１４】
次に、図１１のフローチャートを参照して、管理部４が行う処理の一例について説明する。管理サーバ３が、クライアント２からコンテンツ取得のリクエストを受信すると、コンテンツ取得部６３は、リクエストに含まれる帳票識別ＩＤに応じたコンテンツをコンテンツデータベース１１から取得する。
【０１１５】
そして、送信情報制御部６５は、コンテンツ取得のリクエストに応じて、エンジンを含むコンテンツをクライアント２に送信する制御を行う。この制御により、第２通信部５３は、エンジンを含むコンテンツをクライアント２に送信する（ステップＳ１１）。
【０１１６】
クライアント２は、コンテンツに含まれるエンジンが実行されることにより、機密情報を取得するリクエストを送信する。サーバ処理部６０は、クライアント２からリクエストを受信したか否かを判定する（ステップＳ１２）。
【０１１７】
リクエストを受信しない場合（ステップＳ１２でＮＯ）、処理は次のステップには進まない。リクエストを受信した場合（ステップＳ１２でＹＥＳ）、認証部６１は、リクエストに含まれる認証情報に対する認証を行う（ステップＳ１３）。
【０１１８】
認証が成功した場合（ステップＳ１４でＹＥＳ）、判定部６２は、リクエストに含まれる帳票識別ＩＤおよび利用者の情報を認識する。帳票識別ＩＤにより帳票種別ＩＤは特定される。
【０１１９】
判定部６２は、閲覧権限データベース２２を参照して、帳票種別ＩＤと利用者の情報とに基づいて、秘匿項目の閲覧権限が可能であるか、または不能であるかを判定する（ステップＳ１６）。
【０１２０】
秘匿項目の閲覧権限が可能であると判定された場合（ステップＳ１６でＹＥＳ）、機密情報取得部６４は、閲覧権限に応じた機密情報を第１データベース群５のうち、機密情報を記憶するデータベースから取得する（ステップＳ１７）。
【０１２１】
例えば、閲覧が可能な機密情報がマイナンバーのみである場合、機密情報取得部６４は、マイナンバーデータベース１２からマイナンバーを取得する。一方、機密情報取得部６４は、氏名および住所の情報は取得しない。
【０１２２】
また、例えば、閲覧権限に応じた機密情報がマイナンバーおよび氏名である場合、機密情報取得部６４は、マイナンバーデータベース１２からマイナンバーを取得し、氏名データベース１３から氏名を取得する。一方、機密情報取得部６４は、住所の情報は取得しない。
【０１２３】
送信情報制御部６５は、取得された機密情報をレスポンスとしてクライアント２に送信する制御を行う。第２通信部５３は、取得された機密情報をレスポンスとしてクライアント２に送信する（ステップＳ１８）。
【０１２４】
ステップＳ１４でＮＯの場合、およびステップＳ１６でＮＯの場合、機密情報はクライアント２に送信されない。この場合、送信情報制御部６５は、認証が失敗したことを示す情報、または閲覧権限がない機密情報を示す情報をレスポンスとして送信する制御を行う。
【０１２５】
次に、図１２のフローチャートを参照して、クライアント２が行う表示処理の一例について説明する。クライアント処理部４０は、クライアント２が管理部４からレスポンスを受信したか否かを判定する（ステップＳ２１）。
【０１２６】
レスポンスを受信していない場合（ステップＳ２１でＮＯ）、処理は次のステップに進まない。レスポンスを受信した場合（ステップＳ２１でＹＥＳ）、クライアント処理部４０は、受信したレスポンスが認証の失敗を示しているか否かを判定する（ステップＳ２２）。認証が失敗したことをレスポンスが示している場合（ステップＳ２２でＹＥＳ）、重畳部４６は、帳票データの各秘匿項目の欄に、認証が失敗したことを示す要因を文字列として重畳する（ステップＳ２３）。
【０１２７】
認証が成功したことをレスポンスが示している場合（ステップＳ２３でＹＥＳ）、クライアント処理部４０は、レスポンスに機密情報が含まれているか否かを判定する（ステップＳ２４）。
【０１２８】
レスポンスに機密情報が含まれている場合（ステップＳ２４でＹＥＳ）、記憶制御部４３は、機密情報とコンテンツとを異なる情報として、第１記憶部３２に記憶する（ステップＳ２５）。例えば、記憶制御部４３は、第１記憶部３２のうち、コンテンツが記憶されている記憶領域と異なる記憶領域に機密情報を記憶する。
【０１２９】
また、複数の機密情報を受信した場合、記憶制御部４３は、各機密情報を第１記憶部３２のそれぞれ異なる記憶領域に記憶する。従って、クライアント２が複数の機密情報を取得した場合、コンテンツと複数の機密情報とはそれぞれ第１記憶部３２の異なる領域に記憶される。
【０１３０】
レスポンスには、コンテンツのうち機密情報を表示する領域を示す領域情報が含まれている。重畳部４６は、利用者の閲覧権限に応じて、コンテンツに機密情報を重畳する（ステップＳ２６）。この際、重畳部４６は、レスポンスに含まれる領域情報に基づいて、秘匿項目の欄に機密情報を重畳する。
【０１３１】
重畳部４６は、利用者による閲覧が不能な機密情報がある場合、対応する秘匿項目の欄に、閲覧権限がないことを示す要因を重畳する（ステップＳ２７）。例えば、複数の機密情報のうち、一部の機密情報の閲覧権限が利用者にない場合、該一部の機密情報に対応する秘匿項目の欄には機密情報が重畳されない。
【０１３２】
一方、帳票データの全ての秘匿項目の機密情報の閲覧権限が利用者にない場合もある。この場合、ステップＳ２３の認証が成功したとしても、レスポンスには機密情報は含まれない（ステップＳ２５でＮＯ）。
【０１３３】
この場合、重畳部４６は、帳票データの全ての秘匿項目の欄に、閲覧権限がないことを示す要因を重畳する。
【０１３４】
表示制御部４８は、機密情報または上記の要因が重畳されたコンテンツを第１画面部３３に表示する（ステップＳ２８）。これにより、第１画面部３３には、レスポンスに機密情報が含まれる場合、機密情報を含むコンテンツが表示される。
【０１３５】
＜その他＞
第１実施形態では、クライアント２は、機密情報を含まないコンテンツを取得し、コンテンツの閲覧操作が行われた際に、機密情報を取得して、コンテンツに重畳する。従って、機密情報が含まれるコンテンツにマスク処理等を行う必要がないため、コンテンツに含まれる機密情報の閲覧制御の容易化が図られる。
【０１３６】
また、記憶制御部４３は、コンテンツと機密情報とを異なる情報として第１記憶部３２に記憶する。このため、例えば、第１記憶部３２に記憶されたコンテンツが外部に流出したとしても、コンテンツには機密情報が含まれないため、機密情報の保護が図られる。
【０１３７】
例えば、クライアント２がコンテンツを取得したとしても、エンジンが実行されるまでは、クライアント２は機密情報を取得しない。この間に、クライアント２の第１記憶部３２に記憶されたコンテンツが外部に流出したとしても、機密情報は流出しない。
【０１３８】
また、記憶制御部４３は、複数の機密情報を取得した場合、各機密情報を第１記憶部３２のそれぞれ異なる記憶領域に記憶する。このため、例えば、マイナンバーのみが外部に流出したとしても、それだけでは、他の情報と結びつかないため、悪意の第三者によるマイナンバーの利用を回避できる。
【０１３９】
ただし、機密情報の保護の観点から、機密情報を含むコンテンツの表示を終了させる操作を入力操作検出部４４が検出した場合、記憶制御部４３は第１記憶部３２に記憶されている機密情報を削除してもよい。
【０１４０】
この場合、コンテンツを表示する操作を入力操作検出部４４が検出するごとに、エンジンが実行され、取得要求部４１が管理サーバ３に対して、機密情報を取得するリクエストを送信する。これにより、コンテンツが第１画面部３３に表示されるごとに、機密情報の取得が行われる。
【０１４１】
また、管理部４の機密情報取得部６４は、利用者の閲覧権限に応じて、機密情報をデータベースから取得し、送信情報制御部６５は、利用者の閲覧権限に応じた機密情報をクライアント２に送信する制御を行う。
【０１４２】
従って、管理部４は、コンテンツに含まれる複数の秘匿項目に対応する機密情報のうち、クライアント２に送信する機密情報を、利用者の閲覧権限に応じて、制御することができる。
【０１４３】
クライアント２は、機密情報が含まれていないコンテンツに、取得された機密情報を重畳する。このため、クライアント２は、管理サーバ３が送信した機密情報に応じて、多様な秘匿パターンのコンテンツを第１画面部３３に表示することができる。
【０１４４】
例えば、管理サーバ３が、利用者の閲覧権限に応じて、帳票データに含まれる複数の秘匿項目のそれぞれに対応する機密情報のうち、氏名およびマイナンバーを送信したとする。この場合、クライアント２の第１画面部３３には、氏名およびマイナンバーが重畳されたコンテンツが表示される。
【０１４５】
また、管理サーバ３が、利用者の閲覧権限に応じて、マイナンバーのみを送信したとする。この場合、クライアント２の第１画面部３３には、マイナンバーのみが重畳されたコンテンツが表示される。
【０１４６】
従って、クライアント２の第１画面部３３には、氏名およびマイナンバーが重畳されたパターンのコンテンツが表示される場合もあり、マイナンバーのみが重畳されたコンテンツが表示される場合もある。
【０１４７】
コンテンツに含まれる秘匿項目の数が多くなるに応じて、コンテンツの秘匿パターン（複数の機密情報のそれぞれについて表示または非表示するパターン）の数も多くなる。従って、管理部４が各秘匿パターンを管理する場合、管理するコンテンツ数が多くなる。
【０１４８】
このため、管理部４は、クライアント２からのリクエストに応じた全ての秘匿パターンのコンテンツを管理しておく必要があり、コンテンツの管理が複雑になる。また、全ての秘匿パターンのコンテンツを管理部４が管理すると、使用するハードウェア資源の増加を招来する。
【０１４９】
この点、第１実施形態では、管理部４は、利用者の閲覧権限に応じた機密情報をクライアント２に送信し、クライアント２は取得した機密情報をコンテンツに重畳して表示する。このため、コンテンツの管理の複雑化および使用するハードウェア資源が増大することを回避できる。
【０１５０】
また、上述したセキュリティポリシーは変更されることがあり、セキュリティポリシーが変更されると、利用者の閲覧権限を変更する必要がある。第１実施形態では、管理部４の閲覧権限変更部６６は、閲覧権限データベース２２のテーブルの閲覧権限を変更する。これにより、利用者の機密情報に対する閲覧権限の変更が可能になる。
【０１５１】
閲覧権限データベース２２の閲覧権限が変更されると、管理部４は、利用者の閲覧権限に応じて機密情報をクライアント２に送信するため、クライアント２の利用者が閲覧可能な機密情報も変化する。このため、セキュリティポリシーの柔軟な運用が可能になる。
【０１５２】
上述した第１実施形態では、帳票データに重畳される機密情報の領域情報は、クライアント２がエンジンを実行することにより管理部４に送信されるリクエストに対するレスポンスに含まれる。
【０１５３】
レスポンスに領域情報が含まれることで、クライアント２の重畳部４６は、帳票データのうち、該領域情報に基づく範囲に機密情報を重畳できる。これにより、レスポンスごとに、帳票データに重畳させる機密情報の範囲を任意に変更できる。
【０１５４】
この点、管理部４は、クライアント２からコンテンツの取得のリクエストを受信した際に、コンテンツに領域情報を含めてもよい。コンテンツに含まれる領域情報の一例を図１３に示す。
【０１５５】
例えば、所定の規則に基づいて、コンテンツ（帳票データ）の書式が変更されたとする。コンテンツの書式の変更により、コンテンツに重畳される機密情報の位置が変更されると、コンテンツに含まれる領域情報も変更される。
【０１５６】
従って、クライアント２が、書式変更後のコンテンツ（帳票データ）を取得した場合、領域情報は変更されているため、重畳部４６は、帳票データに対して、書式変更後の位置に機密情報を重畳することができる。
【０１５７】
また、同じコンテンツについて、リクエストおよびレスポンスが繰り返される場合、レスポンスに領域情報が含まれると、レスポンスが送信される回数に応じて、通信量が増加する。一方、コンテンツに領域情報が含まれる場合、レスポンスには領域情報は含まれないため、通信量は増加しない。
【０１５８】
管理部４の認証部６１は、機密情報のリクエストに含まれる認証情報に対して認証を行う。認証情報には、他の認証情報として、検出された装置情報が含まれる。例えば、認証部６１は、ＩＤおよびパスワードの他に、ネットワーク種別および時刻情報に基づいて、認証を行ってもよい。
【０１５９】
図１４は、ネットワーク種別および時刻情報に基づく認証の一例を示す。図１４の例では、認証部６１は、ネットワーク種別が「接続元が社内ネットワーク」であり、且つ時刻情報が「勤務時間内」である場合に、認証を成功させ、それ以外の場合は、認証を失敗させるようにしてもよい。
【０１６０】
次に、認証のバリエーションについて説明する。図１５（Ａ）は認証バリエーションＡの例を示す。認証バリエーションＡは、上述した認証の例であり、管理部４の認証部６１が認証を行う。
【０１６１】
図１５（Ｂ）は、認証バリエーションＢの例を示す。上述したように、コンテンツは、電子ファイルであり、クライアント２で実行される閲覧アプリケーションにより、コンテンツがクライアント２の第１画面部３４に表示される。なお、図１５において、閲覧アプリケーションは「閲覧アプリ」と表記している。
【０１６２】
利用者の操作に基づいて、表示制御部４７がコンテンツを第１画面部３３に表示する前に、閲覧アプリケーションは、コンテンツを閲覧するためのパスワードの入力を要求してもよい。
【０１６３】
第１入力部３１により入力されたパスワードが正当なパスワードであるとクライアント処理部４０が判定した場合、閲覧アプリケーションは、コンテンツを第１画面部３３に表示するようにしてもよい。
【０１６４】
認証バリエーションＢの場合、管理部４の認証部６１による認証と、クライアント２で実行される閲覧アプリケーションによる認証との２回の認証が行われるため、セキュリティ強度が向上する。
【０１６５】
図１５（Ｃ）は、認証バリエーションＣの例を示す。認証バリエーションＣでは、クライアント２で実行されるエンジンが認証を行う。この場合、管理部４は認証機能を有しなくてもよい。クライアント２は管理部４に認証情報を送信しなくてもよいため、クライアント２と管理部４との間のネットワークに認証情報が送信されなくなる。
【０１６６】
図１５（Ｄ）は、認証バリエーションＤの例を示す。認証バリエーションＤは、認証を行う認証装置が認証を行う例である。認証装置は、複数のクライアント２に接続されており、各クライアントの認証処理を一括的に行う。認証装置は、例えば、Single Sign-On(SSO)の機能を有する装置である。認証バリエーションＤの場合も、管理部４は認証機能を有しなくてよい。
【０１６７】
上述した例では、エンジンはコンテンツに含まれる。従って、エンジンはコンテンツに対応したプログラムになる。このため、クライアント２の環境や閲覧アプリケーションの種類によらず、エンジンが実行されると、コンテンツに応じた機密情報が取得される。
【０１６８】
また、コンテンツに重畳される情報は、機密情報以外の情報であってもよい。例えば、コンテンツは広告データであり、コンテンツに重畳される情報は広告データの内容のデータであってもよい。
【０１６９】
この場合、クライアント２は、広告データを取得し、さらにコンテンツに重畳される情報を取得して、取得された情報を広告データに重畳することで、広告データの内容を動的に変化させることができる。これにより、広告データに含まれる内容の制御を容易化することができる。
【０１７０】
＜第２実施形態の一例＞
次に、第２実施形態について説明する。第２実施形態の管理部４は、第１実施形態と同じであるため、説明を省略する。図１６は、第２実施形態のクライアント２の機能ブロックの一例を示す。
【０１７１】
第２実施形態のクライアント２は、第１実施形態のクライアント２に合成部４８が追加され、重畳部４６が省略されている。合成部４８は、第１記憶部３２に記憶されているコンテンツと機密情報とを合成する。機密情報が合成されたコンテンツは１つの電子ファイルになる。
【０１７２】
機密情報が合成されたコンテンツの生成は、合成の１つの態様であり、合成部４８は、合成部の一例である。合成部４８が生成したコンテンツ（機密情報が合成されたコンテンツ）は合成結果データの一例である。
【０１７３】
次に、第２実施形態の処理の流れの一例について説明する。図１０で示したリクエスト処理および図１１で示したサーバ処理は、第１実施形態と同じであるため、説明を省略する。
【０１７４】
図１７の例を用いて、第２実施形態における表示処理を説明する。クライアント２のクライアント処理部４０は、レスポンスを受信したか否かを判定する（ステップＳ２１）。レスポンスを受信していない場合（ステップＳ２１でＮＯ）、処理は次のステップには進まない。
【０１７５】
クライアント２がレスポンスを受信した場合（ステップＳ２１でＹＥＳ）、クライアント処理部４０は、レスポンスが認証の失敗を示しているか否かを判定する（ステップＳ２３）。ステップＳ２１〜ステップＳ２３までの処理は、第１実施形態と同じである。
【０１７６】
レスポンスが認証の失敗を示している場合（ステップＳ２３でＹＥＳ）、合成部４８は、各秘匿項目の欄にレスポンスが失敗した要因を合成する（ステップＳ２４−１）。
【０１７７】
レスポンスが認証の成功を示している場合（ステップＳ２３でＮＯ）、クライアント処理部４０は、レスポンスに機密情報が含まれているか否かを判定する（ステップＳ２５）。レスポンスに機密情報が含まれている場合（ステップＳ２５でＹＥＳ）、記憶制御部４３は、機密情報とコンテンツとを異なる情報として記憶する（ステップＳ２６）。
【０１７８】
合成部４８は、第１記憶部３２に記憶されているコンテンツと機密情報とを合成して合成結果データを生成する（ステップＳ２７−１）。第１記憶部３２に記憶されている機密情報は、利用者の閲覧権限に応じた機密情報である。従って、合成部４８は、利用者の閲覧権限に応じた機密情報をコンテンツに合成した合成結果データを生成する。
【０１７９】
閲覧不能な機密情報がある場合、合成部４８は、閲覧不能な機密情報に対応する秘匿項目の欄に、閲覧権限がないことを示す要因を合成する（ステップＳ２８−１）。コンテンツの全ての秘匿項目に対応する機密情報が閲覧不能な場合、レスポンスには機密情報は含まれない（ステップＳ２５でＮＯ）。
【０１８０】
この場合、合成部４８は、コンテンツに含まれる全ての秘匿項目の欄に、閲覧権限がないことを示す要因を合成する。なお、要因の合成、出力に替えて、閲覧不能な機密情報に対応する秘匿項目の欄を空白とする、あるいはアスタリスク等の文字列を出力する等の処理を行って、機密情報を閲覧できないようにすることとしても良い。
【０１８１】
表示制御部４７は、合成部４８により機密情報が合成されたコンテンツを第１画面部３３に表示する制御を行う。これにより、機密情報を含むコンテンツが第１画面部３３に表示される（ステップＳ２９）。
【０１８２】
上述した第１実施形態では、第１記憶部３３には、機密情報とコンテンツとが異なる情報として記憶されるため、コンテンツが外部に流出したとしても、機密情報の保護が図られる。
【０１８３】
一方、第２実施形態では、第１記憶部３３に、機密情報が合成されたコンテンツが記憶される。従って、機密情報が合成されたコンテンツが外部に流出すると、機密情報の保護を図ることが難しくなる。
【０１８４】
そこで、第２実施形態では、コンテンツの表示を終了する操作が行われたことに応じて、クライアント２は、第１記憶部３２に記憶された機密情報を含むコンテンツを削除することとしても良い。具体的には例えば、ステップＳ２９において、第１画面部３３に機密情報を含むコンテンツが表示される。
【０１８５】
例えば、利用者は、第１入力部３１を用いて、第１画面部３３に表示されているコンテンツの表示を終了する操作（以下、表示終了操作と称する）を行う。入力操作検出部４４は、表示終了操作を検出したか否かを判定する（ステップＳ３０）。
【０１８６】
入力操作検出部４４により表示終了操作が検出されない場合（ステップＳ３０でＮＯ）、処理は次のステップには進まない。つまり、第１画面部３３には、機密情報を含むコンテンツが継続して表示される。
【０１８７】
入力操作検出部４４により表示終了操作が検出された場合（ステップＳ３０でＹＥＳ）、記憶制御部４３は、表示終了操作がされたコンテンツを第１記憶部３２から削除する（ステップＳ３１）。
【０１８８】
従って、コンテンツ（合成結果データ）は、表示が終了したことに応じて、第１記憶部３２から削除される。これにより、機密情報の保護が図られる。なお、クライアント２が、再度同じコンテンツを第１画面部３３に表示する場合、図１０、図１１および図１７の各処理が行われる。
【０１８９】
次に、機密情報とコンテンツとの合成のバリエーションについて説明する。合成部４８は、種々の方式を用いて、機密情報とコンテンツとを合成してもよい。図１８および図１９は、合成バリエーションＡについて説明する。合成バリエーションＡは、レイヤ（層）を追加して合成することにより、機密情報とコンテンツとを合成する例である。
【０１９０】
図１８の例では、コンテンツ層と非表示層と表示層との３つの層を示している。コンテンツ層は、機密情報を含まないコンテンツの層である。機密情報を含まないコンテンツの層は、機密情報を含まないコンテンツ（帳票データ）である。
【０１９１】
なお、図１８の例では、３つの層を纏めて例示しているが、コンテンツ層に非表示層を合成する場合には、１つのコンテンツにコンテンツ層と非表示層とがあり、該コンテンツに表示層は含まれない。また、コンテンツ層に表示層を合成する場合には、１つのコンテンツにコンテンツ層と表示層とがあり、該コンテンツに非表示層は含まれない。
【０１９２】
非表示層は、コンテンツの秘匿項目の欄に機密情報を表示させないための層である。例えば、図１８の例では、非表示層のうち、秘匿個目（マイナンバー）の欄に対応する範囲（領域情報で示される範囲）にアスタリスクの列が記述されている。
【０１９３】
表示層は、コンテンツの秘匿項目の欄に機密情報を表示させるための層である。例えば、図１８の例では、表示層のうち、秘匿項目（マイナンバー）の欄に対応する範囲（領域所方法で示される範囲）にマイナンバーが記述されている。
【０１９４】
合成部４８が、コンテンツ層に非表示層を合成することで、コンテンツの機密情報（マイナンバー）が秘匿される。また、合成部４８が、コンテンツ層に非表示層を合成することで、コンテンツと機密情報とが合成される。図１９は、コンテンツ層に表示層を合成した場合の一例を示す。
【０１９５】
次に、合成バリエーションＢについて説明する。上述したように、コンテンツ（帳票データ）は電子ファイルである。例えば、コンテンツに記述される文字列が電子ファイルの定義情報により定義されるとする。
【０１９６】
この場合、合成部４８は、電子ファイルの定義情報（文字列）を機密情報に書き換えることにより、コンテンツと機密情報とを合成してもよい。図２０は、定義情報の書き換えによる合成の一例を示している。
【０１９７】
次に、合成バリエーションＣについて説明する。例えば、コンテンツのうち、領域情報で示される範囲（秘匿項目の欄）に文字列を記述することが可能な定義が、コンテンツに設定されているとする。
【０１９８】
この場合、合成部４８は、機密情報を上記の範囲に記述する処理を行う。例えば、合成部４８は、マイナンバーの欄にマイナンバーを記述する処理を行う。これにより、機密情報とコンテンツとが合成される。
【０１９９】
次に、合成バリエーションＤについて説明する。例えば、コンテンツのうち、任意の範囲に文字列を記述することが可能な場合、合成部４８は、指定された範囲に、取得された機密情報を記述する処理を行う。
【０２００】
この場合、利用者は、第１入力部３１を用いて、コンテンツのうち、機密情報が記述される範囲を指定する。クライアント処理部４９は、指定された範囲の情報を受け付けて、該範囲に取得された機密情報を記述する処理を行う。これにより、機密情報とコンテンツとが合成される。
【０２０１】
合成バリエーションＣおよび合成バリエーションＤの場合、利用者の操作により、合成部４８が合成した機密情報が書き換えられる可能性がある。このため、利用者の操作による機密情報の書き換えは制限されることが好ましい。
【０２０２】
＜第３実施形態の一例＞
次に、第３実施形態の一例について説明する。第３実施形態では、管理サーバ３が、機密情報とコンテンツとの合成を行い、機密情報が合成されたコンテンツが管理サーバ３からクライアント２に送信される。機密情報は、合成対象データの一例である。
【０２０３】
この場合、管理サーバ３により、機密情報が合成されたコンテンツは１つのデータベースにより管理されることが考えられる。機密情報が合成されたコンテンツが１つのデータベースで管理されると、該データベースのコンテンツが外部に流出した場合、機密情報の保護が図られなくなる。
【０２０４】
そこで、管理サーバ３は、コンテンツを記憶するデータベースと機密情報を記憶するデータベースとを異なるデータベースとして、コンテンツと機密情報とを個別的に管理する。また、コンテンツに含まれる機密情報が複数ある場合、管理サーバ３は、各機密情報を記憶するデータベースをそれぞれ異なるデータベースとして、各機密情報の管理を行う。
【０２０５】
例えば、管理サーバ３の第１データベース群５は、コンテンツデータベース１１とマイナンバーデータベース１２と氏名データベース１３と住所データベース１４とを含む。これらのデータベースは、個別のデータベースとして管理サーバ３に含まれる。
【０２０６】
第１データベース群５の各種データベースが記憶する情報のうち、マイナンバーと氏名と住所とは機密情報に属する。一方、コンテンツは、機密情報を含まないデータである。従って、管理サーバ３は、機密情報とコンテンツとを個別的に管理する。これにより、機密情報の保護が図られる。
【０２０７】
コンテンツデータベース１１は、第１記憶部の一例である。第１データベース群５のうち、コンテンツデータベース１１以外の各データベース（機密情報を記憶するデータベース）は、第２記憶部の一例である。
【０２０８】
また、第１実施形態および第２実施形態では、クライアント２は、コンテンツを取得した後に、エンジンが実行されることにより、クライアント２は管理サーバ３から機密情報の取得を行う。
【０２０９】
第３実施形態では、クライアント２が取得するコンテンツには機密情報が合成されている。よって、クライアント２は、コンテンツ取得後に、機密情報の取得を行うことがない。また、コンテンツにはエンジンが含まれない。
【０２１０】
以下、第３実施形態の詳細について説明する。図２１は、管理部４の機能ブロック図の一例を示す。図２１の管理部４は、図３の管理部４に、合成部４８が追加されている。図２１の合成部４８以外の各部は、図３の管理部４と同様である。
【０２１１】
合成部４８は、上述した第２実施形態と同様であり、コンテンツと機密情報とを合成して合成結果データを生成する。合成部４８は、第２実施形態で説明した任意の合成バリエーションを用いて、コンテンツと機密情報とを合成してもよい。
【０２１２】
図２１で示す送信情報制御部６５は、制御部の一例である。送信情報制御部６５は、判定部６２の判定結果により、機密情報が合成されたコンテンツをクライアント２に送信するか、または機密情報が合成されないコンテンツをクライアント２に送信するかを制御する。
【０２１３】
例えば、閲覧権限がある利用者が操作するクライアント２と閲覧権限がない利用者が操作するクライアント２とが管理サーバ３にアクセスしたとする。送信情報制御部６５は、閲覧権限のある利用者が操作するクライアント２に対して、機密情報が合成されたコンテンツをクライアント２に送信する制御を行う。一方、送信情報制御部６５は、閲覧権限のない利用者が操作するクライアント２に対して、機密情報が合成されていないコンテンツをクライアント２に送信する制御を行う。
【０２１４】
図２２は、クライアント２の機能ブロック図の一例を示す。図２２の例のクライアント２は、図２で示したクライアント２から重畳部４６が省略されている。図２２の各部は、図２のクライアント２の各部と同様である。
【０２１５】
図２３は、閲覧権限データベース２２の一例を示す。図２３の閲覧権限データベース２２は、図５（Ｂ）の閲覧権限データベース２２の各項目に、印刷可否およびコピー可否の項目が追加されている。閲覧権限は、アクセス権限の一例である。
【０２１６】
閲覧権限変更部６６は、例えば、管理者の入力操作に基づいて、閲覧権限データベース２２に記憶されている帳票種別ＩＤごとの閲覧権限を変更する。また、閲覧権限変更部６６は、印刷可否やコピー可否等の権限も変更する。
【０２１７】
印刷可否は、帳票種別ＩＤごとに、印刷が可能であるか、不能であるかを示す。コピー可否は、帳票種別ＩＤごとに、印刷が可能であるか、不能であるかを示す。閲覧権限データベース２２は、他の項目を含んでもよい。
【０２１８】
次に、第３実施形態の処理の流れを説明する。図２４は、クライアント２が行う処理の一例を示す。取得要求部４１は、コンテンツを要求するリクエストを送信する制御を行う。このリクエストには、帳票識別ＩＤや認証情報、利用者の情報等が含まれる。第１通信部３４は、リクエストを管理サーバ３に送信する（ステップＳ４１）。
【０２１９】
クライアント処理部４０は、管理サーバ３から、機密情報が合成されたコンテンツをレスポンスとして受信したか否かを判定する（ステップＳ４２）。レスポンスを受信していない場合（ステップＳ４２でＮＯ）、処理は次のステップには進まない。
【０２２０】
レスポンスを受信した場合（ステップＳ４２でＹＥＳ）、記憶制御部４３は、機密情報を含むコンテンツを第１記憶部３２に記憶する（ステップＳ４３）。表示制御部４７は、第１記憶部３２に記憶されている機密情報が含まれたコンテンツを第１画面部３３に表示する（ステップＳ４４）。
【０２２１】
入力操作検出部４４は、表示終了操作を検出したか否かを判定する（ステップＳ４５）。表示終了操作が検出されない場合（ステップＳ４５でＮＯ）、処理は次のステップには進まない。
【０２２２】
表示終了操作が検出された場合（ステップＳ４５でＹＥＳ）、記憶制御部４３は、第１記憶部３２に記憶されている機密情報を削除する（ステップＳ４６）。
【０２２３】
次に、管理サーバ３が行う処理について、図２５の例のフローチャートを参照して、説明する。サーバ処理部６０は、第２通信部５３がクライアント２からリクエストを受信したか否かを判定する（ステップＳ５１）。リクエストを受信していない場合（ステップＳ５１でＮＯ）、処理は次のステップに進まない。
【０２２４】
リクエストを受信した場合（ステップＳ５１でＹＥＳ）、コンテンツ取得部６３は、コンテンツデータベース１１から、リクエストに応じたコンテンツをコンテンツデータベース１１から取得する（ステップＳ５２）。
【０２２５】
認証部６１は、リクエストに含まれる認証情報に基づいて、リクエストに対する認証を行う（ステップＳ５３）。認証が失敗した場合（ステップＳ５４でＮＯ）、合成部４８は、取得されたコンテンツの各秘匿項目の欄に、認証が失敗したことを示す要因を合成する（ステップＳ５５）。なお、要因の合成に代えて、コンテンツの秘匿項目の欄は、空白やアスタリスク等としてもよい。
【０２２６】
認証が成功した場合（ステップＳ５４でＹＥＳ）、判定部６２は、リクエストに含まれる帳票識別ＩＤおよび利用者の情報を認識する（ステップＳ５６）。
【０２２７】
判定部６２は、閲覧権限データベース２２を参照して、帳票識別ＩＤにより特定される帳票種別ＩＤおよび利用者の情報に基づいて、閲覧権限があるか否かを判定する（ステップＳ５７）。
【０２２８】
閲覧権限がある場合（ステップＳ５７でＹＥＳ）、機密情報取得部６４は、第１データベース群５のうち機密情報を記憶しているデータベースから、コンテンツに対応する機密情報を取得する（ステップＳ５８）。
【０２２９】
合成部４８は、取得された機密情報をコンテンツに合成する（ステップＳ５９）。コンテンツに複数の機密情報があり、該複数の機密情報のうち閲覧不能な機密情報がある場合がある。この場合、合成部４８は、コンテンツの秘匿項目の欄に、閲覧権限がないことを示す要因を合成する（ステップＳ６０）。なお、要因の合成に代えて、コンテンツの秘匿項目の欄は、空白やアスタリスク等としてもよい。
【０２３０】
コンテンツの全ての機密情報の閲覧権限がない場合もある（ステップＳ５７でＮＯ）。この場合、合成部４８は、コンテンツの全ての秘匿項目の欄に、閲覧権限がないことを示す要因を合成する。
【０２３１】
送信情報制御部６５は、機密情報が合成されたコンテンツをレスポンスとしてクライアント２に送信する（ステップＳ６１）。
【０２３２】
次に、図２６を参照して、閲覧権限変更処理について説明する。第１実施形態乃至第３実施形態において、閲覧権限データベース２２の閲覧権限は変更することができる。サーバ処理部４は、第２入力部５１を用いて、閲覧権限の変更操作を受け付けたか否かを判定する（ステップＳ７１）。
【０２３３】
閲覧権限の変更操作を受け付けない場合（ステップＳ７１でＮＯ）、閲覧権限変更処理は次のステップに進まない。閲覧権限の変更操作を受け付けた場合（ステップＳ７１でＹＥＳ）、閲覧権限変更部６６は、閲覧権限データベース２２の閲覧権限を変更する（ステップＳ７２）。
【０２３４】
これにより、利用者ごとに、コンテンツの機密情報の閲覧権限が変更される。閲覧権限変更部６６は、例えば、印刷可否やコピー可否等を変更してもよい。
【０２３５】
従って、第３実施形態では、合成部４８は、閲覧権限に応じた機密情報をコンテンツに合成する。このため、機密情報を含むコンテンツにマスク処理等を行う必要がないため、コンテンツに含まれる機密情報の閲覧制御の容易化が図られる。
【０２３６】
また、管理サーバ３において、コンテンツデータベース１１と、機密情報が記憶されたデータベースとは異なるデータベースとして管理される。従って、コンテンツデータベース１１に記憶されたコンテンツが外部に流出したとしても、機密情報の保護が図られる。
【０２３７】
第３実施形態では、管理サーバ３は、レスポンスに印刷可否やコピー可否等の権限情報を含めて、クライアント２に送信してもよい。クライアント２は、管理サーバ３から機密情報を含むコンテンツを取得するため、レスポンスに含まれる権限情報に基づいて、コピー操作や印刷操作等が制限されてもよい。これにより、セキュリティ強度の向上が図られる。
【０２３８】
＜クライアントのハードウェア構成の一例＞
次に、図２７の例を参照して、クライアント２のハードウェア構成の一例を説明する。図２７の例に示すように、バス１００に対して、プロセッサ１１１とＲＡＭ１１２とＲＯＭ１１３と補助記憶装置１１４と媒体接続部１１５と通信インタフェース１１６と入出力インタフェース１１７とが接続されている。図２７において、インタフェースは「ＩＦ」と略して示されている。
【０２３９】
プロセッサ１１１は任意の処理回路である。プロセッサ１１１はＲＡＭ１１２に展開されたプログラムを実行する。実行されるプログラムとしては、実施形態の処理を行うプログラム（データ閲覧制御プログラム）を適用してもよい。ＲＯＭ１１３はＲＡＭ１１２に展開されるプログラムを記憶する不揮発性の記憶装置である。
【０２４０】
補助記憶装置１１４は、種々の情報を記憶する記憶装置であり、例えばハードディスクドライブや半導体メモリ等を補助記憶装置１１４に適用してもよい。媒体接続部１１５は、可搬型記録媒体１１９と接続可能に設けられている。
【０２４１】
可搬型記録媒体１１９としては、可搬型のメモリや光学式ディスク（例えば、Compact Disc(CD)やDigital Versatile Disc(DVD)等）を適用してもよい。この可搬型記録媒体１１９に実施形態の処理を行うプログラムが記録されていてもよい。
【０２４２】
入出力インタフェース１１７は、外部の装置（例えば、キーボード１１７Ａやマウス１１７Ｂ、ディスプレイ１１７Ｃ等）とクライアント処理部４０との間でデータの入出力を行うためのインタフェースである。
【０２４３】
クライアント２のうち、クライアント処理部４０は、与えられたデータ閲覧制御プログラムをプロセッサ１１１が実行することにより実現されてもよい。第１入力部３１は、キーボード１１７Ａやマウス１１７Ｂ等により実現されてもよい。
【０２４４】
第１画面部３３は、ディスプレイ１１７Ｃにより実現されてもよい。第１通信部３４は、通信インタフェース１１６により実現されてもよい。
【０２４５】
ＲＡＭ１１２、ＲＯＭ１１３、補助記憶装置１１４および可搬型記録媒体１１９は、何れもコンピュータ読み取り可能な有形の記憶媒体の一例である。これらの有形な記憶媒体は、信号搬送波のような一時的な媒体ではない。
【０２４６】
＜管理サーバのハードウェア構成の一例＞
次に、図２８の例を参照して、管理サーバ３のハードウェア構成の一例を説明する。図２８の例に示すように、バス２００に対して、プロセッサ２１１とＲＡＭ２１２とＲＯＭ２１３と補助記憶装置２１４と媒体接続部２１５と通信インタフェース２１６と入出力インタフェース２１７とが接続されている。また、バス２００に対して、各種のデータベースが接続されている。
【０２４７】
プロセッサ２１１は任意の処理回路である。プロセッサ２１１はＲＡＭ２１２に展開されたプログラムを実行する。実行されるプログラムとしては、実施形態の処理を行うプログラムを適用してもよい。ＲＯＭ２１３はＲＡＭ２１２に展開されるプログラムを記憶する不揮発性の記憶装置である。
【０２４８】
補助記憶装置２１４は、種々の情報を記憶する記憶装置であり、例えばハードディスクドライブや半導体メモリ等を補助記憶装置２１４に適用してもよい。媒体接続部２１５は、可搬型記録媒体２１９と接続可能に設けられている。
【０２４９】
可搬型記録媒体２１９としては、可搬型のメモリや光学式ディスク（例えば、Compact Disc(CD)やDigital Versatile Disc(DVD)等）を適用してもよい。この可搬型記録媒体２１９に実施形態の処理を行うプログラムが記録されていてもよい。
【０２５０】
入出力インタフェース２１７は、外部の装置（例えば、キーボード２１７Ａやマウス２１７Ｂ、ディスプレイ２１７Ｃ等）とサーバ処理部６０との間でデータの入出力を行うためのインタフェースである。
【０２５１】
管理サーバ３のうち、クライアント処理部４０は、与えられたプログラムをプロセッサ２１１が実行することにより実現されてもよい。第２入力部５１は、キーボード２１７Ａやマウス２１７Ｂ等により実現されてもよい。
【０２５２】
第２画面部５２は、ディスプレイ２１７Ｃにより実現されてもよい。第２通信部５３は、通信インタフェース２１６により実現されてもよい。
【０２５３】
ＲＡＭ２１２、ＲＯＭ２１３、補助記憶装置２１４および可搬型記録媒体２１９は、何れもコンピュータ読み取り可能な有形の記憶媒体の一例である。これらの有形な記憶媒体は、信号搬送波のような一時的な媒体ではない。
【０２５４】
＜その他＞
本実施形態は、以上に述べた実施の形態に限定されるものではなく、本実施形態の要旨を逸脱しない範囲内で種々の構成または実施形態を取ることができる。
【符号の説明】
【０２５５】
１    システム
２    クライアント
３    管理サーバ
４    管理部
１１    コンテンツデータベース
１２    マイナンバーデータベース
１３    氏名データベース
１４    住所データベース
２１    コンテンツ種別データベース
２２    閲覧権限データベース
２３    秘匿項目データベース
２４    帳票項目データベース
４０    クライアント処理部
４１    取得要求部
４２    認証情報入力要求部
４３    記憶制御部
４４    入力操作検出部
４５    装置情報検出部
４６    重畳部
４７    表示制御部
４８    合成部
６０    サーバ処理部
６１    認証部
６２    判定部
６３    コンテンツ取得部
６４    機密情報取得部
６５    送信情報制御部
６６    閲覧権限変更部
１１１、２１１    プロセッサ
１１２、２１２    ＲＡＭ
１１３、２１３    ＲＯＭ
【図１】
0006561707.tif 000002
【図２】
0006561707.tif 000003
【図３】
0006561707.tif 000004
【図４】
0006561707.tif 000005
【図５】
0006561707.tif 000006
【図６】
0006561707.tif 000007
【図７】
0006561707.tif 000008
【図８】
0006561707.tif 000009
【図９】
0006561707.tif 000010
【図１０】
0006561707.tif 000011
【図１１】
0006561707.tif 000012
【図１２】
0006561707.tif 000013
【図１３】
0006561707.tif 000014
【図１４】
0006561707.tif 000015
【図１５】
0006561707.tif 000016
【図１６】
0006561707.tif 000017
【図１７】
0006561707.tif 000018
【図１８】
0006561707.tif 000019
【図１９】
0006561707.tif 000020
【図２０】
0006561707.tif 000021
【図２１】
0006561707.tif 000022
【図２２】
0006561707.tif 000023
【図２３】
0006561707.tif 000024
【図２４】
0006561707.tif 000025
【図２５】
0006561707.tif 000026
【図２６】
0006561707.tif 000027
【図２７】
0006561707.tif 000028
【図２８】
0006561707.tif 000029