(57)【要約】【課題】利用者が不正アクセスしてもＷＷＷサーバで公開する重要なデータの改ざん、破壊、消去などを防止できるデータ公開方法及びデータ公開システムを提供する。【解決手段】クライアント１０や１１にデータを閲覧させるために、公開サーバであるサーバ１００から非公開サーバであるサーバ３００へのデータ送信依頼やサーバ３００から公開サーバ１００へのデータ送信に電子メールを使用するので、サーバ１００とサーバ３００とが直接接続されることがない。したがって、サーバ１００とサーバ３００との通信を監視されて、データを盗まれるのを防止できる。また、サーバ１００においてクライアント１０や１１からの閲覧要求に応じて公開していたデータの閲覧が終了すると、このデータを削除するので、悪意の利用者によってデータの改ざんなどデータに不正アクセスされることを防止できる。【選択図】図１
2004185440.tif 000002
【特許請求の範囲】
【請求項１】
外部ネットワークに接続されたクライアントに対してデータを公開する公開サーバが、前記クライアントからのデータ閲覧要求を受信すると、前記閲覧要求されたデータの送信を依頼する電子メールを、前記外部ネットワークにファイアウォールを介して接続された非公開サーバへ送信する工程と、
前記非公開サーバが、前記公開サーバからの電子メールを受信すると、送信依頼されたデータを含む電子メールを、前記公開サーバへ送信する工程と、
前記公開サーバが、前記非公開サーバからの電子メールを受信すると、この受信メールに含まれるデータを公開する工程と、を含むことを特徴とするデータ公開方法。
【請求項２】
前記公開サーバは、前記非公開サーバからの電子メールを受信すると、この電子メールを一時的に記憶し、前記クライアントがこのデータの閲覧を終了すると、前記一時的に記憶した電子メールを削除することを特徴とする請求項１に記載のデータ公開方法。
【請求項３】
前記公開サーバ及び非公開サーバは、前記電子メールを暗号化して送信することを特徴とする請求項１または２に記載のデータ公開方法。
【請求項４】
前記非公開サーバは、データの送信が許可された公開サーバのＩＰアドレス及びメールアカウントを記憶し、前記公開サーバから送信された電子メールに含まれるＩＰアドレス及びメールアカウントが、前記記憶した公開サーバのＩＰアドレス及びメールアカウントと異なると、前記データの送信を拒否することを特徴とする請求項１乃至３のいずれかに記載のデータ公開方法。
【請求項５】
前記公開サーバは、前記非公開サーバに送信する電子メールに認証コードを付加し、
前記非公開サーバは、前記認証コードが付加された電子メールを受信すると、前記公開サーバに送信するデータを含む電子メールに前記認証コードを付加し、
前記公開サーバは、前記認証コードが付加された電子メールを受信すると、前記電子メールに付加して送信した最初の認証コードと、前記受信したメールに付加された認証コードと、を比較して、一致すると前記電子メールに含まれるデータを公開することを特徴とする請求項１乃至４のいずれかに記載のデータ公開方法。
【請求項６】
外部ネットワークに接続されたクライアントに対して公開するデータを記憶する公開データ記憶手段と、前記クライアントと通信を行う通信手段と、電子メールの送受信を行う第１のメール通信手段と、を備えた公開サーバと、
電子メールの送受信を行う第２のメール通信手段と、前記公開サーバで公開するデータを記憶する送信データ記憶手段と、を備え、ファイアウォールを介して前記外部ネットワークに接続された非公開サーバと、を含み、
前記公開サーバは、前記クライアントからのデータ閲覧要求を前記通信手段で受信すると、前記閲覧要求のあったデータの送信を依頼する電子メールを前記公開サーバへ前記第１のメール通信手段で送信し、
前記非公開サーバは、前記第１のメール通信手段からの電子メールを前記第２のメール通信手段で受信すると、送信依頼のあった該当データを前記記憶手段から読み出して、前記該当データを含む電子メールを前記非公開サーバへ前記第２のメール通信手段で送信し、
前記公開サーバは、前記非公開サーバからの電子メールを前記第１のメール通信手段で受信すると、この電子メールに含まれるデータを前記クライアントに前記通信手段で送信することを特徴とするデータ公開システム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、外部ネットワークに接続されたサーバでのデータ管理方法及びデータ管理システムに関する。
【０００２】
【従来の技術】
パソコンの利用者は、インターネット接続業者（Ｉｎｔｅｒｎｅｔ  Ｓｅｒｖｉｃｅ  Ｐｒｏｖｉｄｅｒ  ：以下、ＩＳＰと称する。）が提供する回線接続サービスを利用して、ワールドワイドウェッブ（Ｗｏｒｌｄ  Ｗｉｄｅ  Ｗｅｂ：以下、インターネットと称する。）にダイアルアップ接続または常時接続を行うことで、世界中に設置されている複数のＷＷＷサーバのクライアントとして、各ＷＷＷサーバが公開する様々な情報の中から所望の情報を選択して閲覧することができる。
【０００３】
各ＷＷＷサーバは、公開する情報を記憶部に格納しており、クライアントから任意のページの閲覧要求を受け取ると、記憶部に格納しているデータからそのページに該当するデータをインターネット経由でクライアントに送信する。クライアントは、利用者が閲覧要求したページのデータを受信すると、パソコンのモニタに表示されたＷＥＢブラウザなどを用いて、この受信データを表示する。
【０００４】
また、ＷＷＷサーバは、ニュース、文献情報、店舗情報など任意の情報のデータベースを公開している場合もある。利用者は、データべースを公開しているＷＷＷサーバに接続することで、様々なデータベースから所望の情報を検索して得ることができる。
【０００５】
インターネットに接続されたＷＷＷサーバには、唯一の（ユニークな）グローバルアドレスが割り振られており、一意にノードを特定できる。また、ＷＷＷサーバは、通常、世界中のクライアントからのアクセスが可能である。
【０００６】
クライアントの利用者は、通常、ＷＷＷサーバで公開された情報を閲覧したり、この情報を加工したりするが、利用者の中には、ＷＷＷサーバに不正アクセスして、ＷＷＷサーバ上のデータを改ざんしたり消去したりする者がいた。ＷＷＷサーバの管理者や運営者は、このような悪質な行為を受けると、データの復旧に莫大な手間や時間を取られてしまう。また、他の利用者へ情報提供サービスを行うことができなくなるため、利用者の信用を失ってしまうこともある。このように、ＷＷＷサーバの管理者や運営者は多大な損害を受けるため、非常に大きな問題となっていた。
【０００７】
また、従来のシステム構成では、重要なデータベースがＷＷＷサーバや、クライアントからアクセス可能な別のサーバに置かれていることが多く、時としてデータベースの内容が不用意に公開されてしまうこともあった。
【０００８】
そこで、ＷＷＷサーバの管理者は、このような不正アクセスを防ぐために、例えば、ＷＷＷサーバにインストールされたソフトを常に最新版に更新することで、セキュリティホールを突かれないように対策を行っている。
【０００９】
また、外部ネットワーク（Ｗｉｄｅ  Ａｒｅａ  Ｎｅｔｗｒｏｋ：ＷＡＮとも言う。）と、内部  ネットワーク（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ：ＬＡＮとも言う。）と、の間に、非武装地帯（Ｄｅ−Ｍｉｌｉｔａｌｉｚｅｄ  Ｚｏｎｅ：以下、ＤＭＺと称する。）を設けて、外部ネットワ  ークに公開するＷＷＷサーバなどを、このＤＭＺに設置していた。ＷＷＷサーバなどをＤＭＺに設置することで、ファイアウォールによって外部からの不正なアクセスを排除でき、また公開サーバが危険な状態になった場合でも、内部ネットワークへの被害の拡散を防止できる。
【００１０】
さらに、従来のネットワークシステムでは、アクセスの非対称性によって、たとえ外部からの侵入者が公開サブネット内の計算機を使用して不正なデータを非公開内部サブネットへ転送しようとしても、被害を最小限に抑えることができるように構成したものがあった（例えば、特許文献１参照。）。
【００１１】
【特許文献１】
特開２０００−３５４０５６号公報（第６−１３頁、第１−１４図）
【００１２】
【発明が解決しようとする課題】
ＷＷＷサーバが公開するデータをクライアントが閲覧可能にするために、ＷＷＷサーバをＤＭＺや公開サブネット内に設置した場合、内部ネットワークや非公開内部サブネット内に設置されたコンピュータの安全性は、高めることができる。しかしながら、ＤＭＺや公開サブネット内に設置したＷＷＷサーバは、常に不正アクセスされる可能性があり、従来のように、重要なデータベースなどを置いていると、データベースを改ざんされたり破壊・消去されたりする可能性が常にあった。
【００１３】
データベースにアクセスする際には、パスワードやＩＤコードの入力を求めるようにすることで、不正アクセスをある程度は抑制できる。しかし、ハッカーやクラッカーにパスワードやＩＤコードを盗まれると、このような対策も無意味になってしまう。
【００１４】
そこで、本発明は、上記の問題を解決するために、利用者が不正アクセスしてもＷＷＷサーバで公開する重要なデータの改ざん、破壊、消去などを防止できるデータ公開方法及びデータ公開システムを提供することを目的とする。
【００１５】
【課題を解決するための手段】
この発明は、上記の課題を解決するための手段として、以下の構成を備えている。
【００１６】
（１）外部ネットワークに接続されたクライアントに対してデータを公開する公開サーバが、前記クライアントからのデータ閲覧要求を受信すると、前記閲覧要求されたデータの送信を依頼する電子メールを、前記外部ネットワークにファイアウォールを介して接続された非公開サーバへ送信する工程と、
前記非公開サーバが、前記公開サーバからの電子メールを受信すると、送信依頼されたデータを含む電子メールを、前記公開サーバへ送信する工程と、
前記公開サーバが、前記非公開サーバからの電子メールを受信すると、この受信メールに含まれるデータを公開する工程と、を含むことを特徴とする。
【００１７】
この構成においては、クライアントにデータを閲覧させるために、公開サーバから非公開サーバへのデータ送信依頼や非公開サーバから公開サーバへのデータ送信に電子メールを使用するので、公開サーバと非公開サーバとが直接接続されることがない。したがって、公開サーバと非公開サーバとの通信を監視されて、データを盗まれるのを防止できる。
【００１８】
（２）前記公開サーバは、前記非公開サーバからの電子メールを受信すると、この電子メールを一時的に記憶し、前記クライアントがこのデータの閲覧を終了すると、前記一時的に記憶した電子メールを削除することを特徴とする。
【００１９】
不正アクセスによる重要なデータの保護には、必要な時に、必要な量だけを公開サーバに設置し、通常はデータベースデータ内に蓄積されているデータは公開サーバには設置しないという基本原理を貫くのが、最も安全かつ確実である。この構成においては、公開サーバにおいてクライアントからの閲覧要求に応じて公開していたデータの閲覧が終了すると、このデータを削除するので、悪意の利用者によってデータの改ざんなどデータに不正アクセスされることを防止できる。
【００２０】
（３）前記公開サーバ及び非公開サーバは、前記電子メールを暗号化して送信することを特徴とする。
【００２１】
この構成においては、公開サーバと非公開サーバとデータをやりとりする際に用いる電子メールを暗号化するので、電子メールの内容を簡単にのぞかれるのを防止でき、データの安全性を高めることができる。
【００２２】
（４）前記非公開サーバは、データの送信が許可された公開サーバのＩＰアドレス及びメールアカウントを記憶し、前記公開サーバから送信された電子メールに含まれるＩＰアドレス及びメールアカウントが、前記記憶した公開サーバのＩＰアドレス及びメールアカウントと異なると、前記データの送信を拒否することを特徴とする。
【００２３】
この構成においては、公開サーバ以外のコンピュータからデータの送信要求があった場合に、誤って重要なデータを送信してしまうことを防止できる。
【００２４】
（５）前記公開サーバは、前記非公開サーバに送信する電子メールに認証コードを付加し、
前記非公開サーバは、前記認証コードが付加された電子メールを受信すると、前記公開サーバに送信するデータを含む電子メールに前記認証コードを付加し、
前記公開サーバは、前記認証コードが付加された電子メールを受信すると、前記電子メールに付加して送信した最初の認証コードと、前記受信したメールに付加された認証コードと、を比較して、一致すると前記電子メールに含まれるデータを公開することを特徴とする。
【００２５】
この構成においては、公開サーバが送信要求を行った電子メールに基づいて送られてきたデータであるか否かを容易に判定できるので、クライアントに対して正しいデータを公開することができる。
【００２６】
（６）外部ネットワークに接続されたクライアントに対して公開するデータを記憶する公開データ記憶手段と、前記クライアントと通信を行う通信手段と、電子メールの送受信を行う第１のメール通信手段と、を備えた公開サーバと、
電子メールの送受信を行う第２のメール通信手段と、前記公開サーバで公開するデータを記憶する送信データ記憶手段と、を備え、ファイアウォールを介して前記外部ネットワークに接続された非公開サーバと、を含み、
前記公開サーバは、前記クライアントからのデータ閲覧要求を前記通信手段で受信すると、前記閲覧要求のあったデータの送信を依頼する電子メールを前記公開サーバへ前記第１のメール通信手段で送信し、
前記非公開サーバは、前記第１のメール通信手段からの電子メールを前記第２のメール通信手段で受信すると、送信依頼のあった該当データを前記記憶手段から読み出して、前記該当データを含む電子メールを前記非公開サーバへ前記第２のメール通信手段で送信し、
前記公開サーバは、前記非公開サーバからの電子メールを前記第１のメール通信手段で受信すると、この電子メールに含まれるデータを前記クライアントに前記通信手段で送信することを特徴とする。
【００２７】
この構成においては、（１）と同様の効果を得ることができる。
【００２８】
（７）前記公開サーバは、前記非公開サーバからの電子メールを前記第１のメール通信手段で受信すると、この電子メールを一時的に前記公開データ記憶手段に記憶させ、前記クライアントがこのデータの閲覧を終了すると、前記公開データ記憶手段に一時的に記憶させた電子メールを削除することを特徴とする。
【００２９】
この構成においては、（２）と同様の効果を得ることができる。
【００３０】
（８）前記第１のメール通信手段及び前記第２のメール通信手段は、前記電子メールを暗号化して送信することを特徴とする。
【００３１】
この構成においては、（３）と同様の効果を得ることができる。
【００３２】
（９）前記非公開サーバは、データの送信が許可された公開サーバのＩＰアドレス及びメールアカウントを前記送信データ記憶手段で記憶し、前記公開サーバから送信された電子メールに含まれるＩＰアドレス及びメールアカウントが、前記記憶した公開サーバのＩＰアドレス及びメールアカウントと異なると、前記第２メール通信手段で前記データの送信を拒否することを特徴とする。
【００３３】
この構成においては、（４）と同様の効果を得ることができる。
【００３４】
（１０）前記公開サーバは、前記第１のメール通信手段で、前記非公開サーバに送信する電子メールに認証コードを付加して送信し、
前記非公開サーバは、前記第２のメール通信手段で、前記認証コードが付加された電子メールを受信すると、前記公開サーバに送信するデータを含む電子メールに前記認証コードを付加して送信し、
前記公開サーバは、前記第１メール通信手段で、前記認証コードが付加された電子メールを受信すると、前記電子メールに付加して送信した最初の認証コードと、前記受信したメールに付加された認証コードと、を比較して一致すると、前記通信手段で前記電子メールに含まれるデータを前記クライアントへ送信することを特徴とする。
【００３５】
この構成においては、（５）と同様の効果を得ることができる。
【００３６】
【発明の実施の形態】
以下、本発明の実施形態に係るデータ管理システムについて、図を参照しながら説明する。図１は、本実施の実施形態に係るデータ管理システムの機器構成を示したブロック図である。
【００３７】
図１に示すように、外部ネットワークであるインターネット１には、複数のＩＳＰが接続されており、一例としてＩＳＰ２０〜２２を示している。クライアント１０はＩＳＰ２０を介してインターネット１に接続している。また、クライアント１１はＩＳＰ２１を介してインターネット１に接続している。
【００３８】
また、内部ネットワークである社内ＬＡＮ３は、ファイアウォール２０１及びＩＳＰ２２を介してインターネット１に接続している。ファイアウォール２０１は、３つのネットワーク・インタフェースを備えており、インターネット（外部ネットワーク）１と、ＤＭＺ２と、社内ＬＡＮ（内部ネットワーク）３と、に接続されている。
【００３９】
ＤＭＺ２には、公開サーバであるサーバ１００及びＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）サーバ１０１が接続されている。本実施例では、ＷＷＷサーバ１０２及びメールサーバ１０３が、同一のサーバ１００で稼働している。各サーバは、別々に設けても何ら問題はないが、同一のサーバで稼働させることで、保守及びランニングのコストを低減することができる。また、説明を簡素にするために、このような構成とする。
【００４０】
社内ＬＡＮ３には、クライアント５０、クライアント５１、非公開サーバであるサーバ３００、及びＤＮＳサーバ４０１が接続されている。本実施例では、メールサーバ３０１及びデータベースサーバ３０２が、同一のサーバ３００で稼働している。このような構成としたのは、サーバ１００と同じ理由である。
【００４１】
ＤＭＺ２は、周知のように、ＤＮＳサーバ１０１やＷＷＷサーバ１０２などの公開サーバへのインターネット１側からの不正な攻撃から守るために、ファイアウォール２０１によって隔離されたセグメントである。つまり、インターネット（外部ネットワーク）１からも、社内ＬＡＮ（内部ネットワーク）３からも、フ  ァイアウォール２０１によって隔離された領域である。ＤＭＺ２に、ＷＷＷサーバ１０２やＤＮＳサーバ１０１など外部に公開するサーバを設置することで、ファイアウォール２０１により外部ネットワーク２からの不正アクセスを排除できる。また、外部ネットワーク２に対して公開しているサーバが危険な状態になった場合でも、内部ネットワーク３への被害の拡散を防止できる。
【００４２】
ＤＮＳサーバ１０１は、インターネット１との通信に使用するコンピュータの名前とＩＰアドレスとの対応関係を記述したデータベースを管理する。ＷＷＷサーバ１０２は、外部ネットワーク２に対してデータを公開する。
【００４３】
メールサーバ１０３は、社内ＬＡＮ３に接続されたサーバ３００で稼働するメールサーバ３０１と、メールのやりとりを行う。また、メールサーバ１０３は、インターネット１と社内ＬＡＮ３との間のメール・ゲートウェイとして使用することもできる。
【００４４】
ファイアウォール２０１は、インターネット１−ＤＭＺ２間、ＤＭＺ２−内部ネットワーク３間のデータアクセスを制御する。
【００４５】
クライアント５０，５１は、利用者の操作に応じて、プログラムによるデータ処理を行ったり、メールサーバ３０１やデータベースサーバ３０２にアクセスしたり、インターネット１に接続された他のＷＷＷサーバで公開されたデータを閲覧したりする。
【００４６】
メールサーバ３０１は、社内ＬＡＮ３に接続されたクライアント５０，５１などに対して送信された電子メールを蓄積したり、クライアント５０，５１などが送信した電子メールをメールサーバ１０３に送信する。
【００４７】
データベースサーバ３０２は、任意のデータベースを管理する。
【００４８】
ＤＮＳサーバ４０１は、社内ＬＡＮ３に接続されている各コンピュータの名前とＩＰアドレスとの対応関係を記述したデータベースを管理する。
【００４９】
なお、社内ＬＡＮ（内部ネットワーク）３では、複数のコンピュータを様々なセグメントに分けて接続する構成が一般的だが、説明を簡素にするために、図１には、各コンピュータを同一セグメント内に設置した構成を示している。
【００５０】
ここで、クライアント５０の利用者Ａが、クライアント５１の利用者Ｂにメールを送信する場合、クライアント５０は、クライアント５１の利用者Ｂのメールアドレスを用いて、利用者Ｂのメールを管理しているメールサーバ３０１のＩＰアドレスを、ＤＮＳサーバ４０１から取得する。これにより、利用者Ａは、クライアント５０から送信したメールを、メールサーバ３０１に送信することができる。また、クライアント５０の利用者Ａが、インターネットにＩＳＰ２０を介して接続されたクライアント１０へメールを送信する場合は、ＤＮＳサーバ４０１及びＤＮＳサーバ１０１の情報を用いてメールを送信する。すなわち、自社のドメインを含まないメールアドレスへのメールは、ＤＮＳサーバ４０１で情報を取得できないために、ファイアウォール２０１を介してＤＮＳサーバ１０１でＩＳＰ２０の図外のメールサーバの情報を取得して、インターネット１を介してＩＳＰ２０の図外のメールサーバへメールを送信することになる。以下の説明では、説明を簡略化するために、ＤＮＳサーバの動作説明は省略する。
【００５１】
次に、サーバ１００及びサーバ３００の詳細な構成について説明する。図２は、サーバ１００及びサーバ３００の詳細な構成を示したブロック図である。前記のように、本実施例では、ＷＷＷサーバ１０２及びメールサーバ１０３が、同一のサーバ１００で稼働しており、サーバ１００は、通信部１１１、記憶部１１２、制御部１１３、及びメール通信部１１４を備えている。また、本実施例では、メールサーバ３０１及びデータベースサーバ３０２が、同一のサーバ３００で稼働しており、サーバ３００は、メール通信部３１１、記憶部３１２、制御部３１３、及び通信部３１４を備えている。
【００５２】
サーバ１００において、通信部１１１は、インターネット１に接続されたクライアント１０などと通信を行う。記憶部１１２は、クライアントに公開するデータやデータベースなどを記憶する。制御部１１３は、サーバ１００の各部を制御する。メール通信部１１４は、インターネット１や社内ＬＡＮに接続されたクライアントやサーバなどのコンピュータと電子メールの送受信を行う。
【００５３】
サーバ３００において、メール通信部３１１は、社内ＬＡＮ３に接続されたクライアントなどのコンピュータと電子メールの送受信を行う。記憶部３１２は、社内ＬＡＮ３のクライアントに公開するデータやデータベースなどを記憶する。また、サーバ１００で公開する重要なデータやデータベースなどを記憶する。制御部３１３は、サーバ３００の各部を制御する。通信部３１４は、社内ＬＡＮに接続されたクライアントやサーバなどのコンピュータと通信を行う。
【００５４】
次に、本発明のデータ公開システムの特徴的な構成を詳細に説明する。インターネット１にＩＳＰ２０を介して接続されたクライアント１０が、ＷＷＷサーバ１０２に接続して、このＷＷＷサーバ１０２が公開するデータを閲覧する。ＷＷＷサーバ１０２は、クライアント１０からのｈｔｔｐプロトコルを使用した表示要求に基づき、クライアント１０へ表示データを送信する。クライアント１０の表示要求を満たすデータがＷＷＷサーバ１０２内に存在する場合、原則的にクライアント１０とＷＷＷサーバ１０２との通信のみで、クライアント１０の利用者はデータを閲覧できる。
【００５５】
一方、本発明では、ＷＷＷサーバ１０２に保存しておくとセキュリティ上問題となるデータや重要なデータベースは、従来のようにＷＷＷサーバ１０２内に保存するのではなく、社内ＬＡＮ３のデータベースサーバ３０２に記憶させておく。そして、インターネット１に接続されたクライアントから閲覧要求があった時に、データベースサーバ３０２に記憶させたデータをＷＷＷサーバ１０２へ送信して、ＷＷＷサーバ１０２でクライアントがデータを閲覧可能にする。
【００５６】
また、本発明では、セキュリティ確保のため、ＷＷＷサーバ１０２が稼働するサーバ１００と、データベースサーバ３０２が稼働するサーバ３００と、は直接通信できないようにして、通信データなどが盗まれるのを防止している。そのため、本発明では、サーバ１００とサーバ３００とのデータの授受（送受信）を、電子メールで行うようにしている。
【００５７】
さらに、サーバ１００及びサーバ３００は、データの授受を行うために電子メールでやりとりする際にこの電子メールを暗号化して、平文（Ｐｌａｉｎ  Ｔｅｘｔ）の状態で送受信されないようにし、電子メールが盗まれても内容を読まれないようにしている。
【００５８】
加えて、ＷＷＷサーバ１０２は、クライアントから閲覧要求のあったデータを、メールサーバ３０１から電子メールで受信後に、クライアントに対してデータを閲覧させて（データを送信して）、クライアントの閲覧が終了すると、閲覧用のデータを含む電子メールを削除する。これにより、悪意の利用者がＷＷＷサーバ１０２に不正アクセスした場合でも、重要なデータベースなどのデータがＷＷＷサーバ１０２の公開データ記憶部には存在しないため、データを改ざんされたり破壊されたりすることがない。
【００５９】
また、ＷＷＷサーバ１０２は、クライアントから閲覧要求があったデータの送信依頼をサーバ３００に対して行う際に、サーバ３００へ送信する電子メールにキーコード（認証コード）を付加する。このキーコードは、閲覧要求のあったデータを備えた正規のデータベースサーバから送信されたものであるか否かを確認するために付加する一意の番号である。サーバ３００は、キーコードが付加された電子メールを受信すると、サーバ１００に送信するデータを含む電子メールにサーバ３００から送信された電子メールに付加されたキーコードを付加して、この電子メールを送信する。
【００６０】
サーバ１００は、キーコードが付加された電子メールを受信すると、電子メールに付加して送信した最初のキーコードと、受信したメールに付加されたキーコードと、を比較することで、正規のデータベースサーバから送信されたデータか否かを判定できる。
【００６１】
さらに、サーバ３００は、データの送信が許可された公開サーバのＩＰアドレス及びメールアカウントを記憶している。つまり、データの閲覧要求があったデータの送信を依頼してくるサーバは予め決まっているので、データの送信を依頼してくるサーバのＩＰアドレス及びメールアカウントをサーバ３００の記憶部に記憶させておく。そして、サーバ３００が、データの送信を依頼する電子メールを受信した際には、電子メールのヘッダに含まれるＩＰアドレス及びメールアカウントを確認して、ＩＰアドレス及びメールアカウントが予め許可されたものである場合のみ、送信依頼のあったデータを含む電子メールを送信する。このようにするのは、メールアカウント及びメールサーバのホスト名は、悪意の利用者が偽装できるからである。これに対して、ホスト名に対応づけられたＩＰアドレスは、常にインターネットに接続されているＤＮＳサーバで管理されており、また、一意にネットワークに割り当てられているので、ネットワークアドレスの搾取ができないため、正規の送信者の認証に使用することができる。これにより、ＷＷＷサーバ１０２になりすまして、重要なデータが盗まれるのを防止できる。また、サーバ１００も同様に、データの送信要求に対して正規のデータを送信する非公開サーバのＩＰアドレス及びメールアカウントを記憶するようにしても良い。
【００６２】
このように、本発明では、さまざまなセキュリティ対策を行うことによって、データの安全性を高めている。
【００６３】
次に、本発明のデータ公開システムの動作を、以下に説明する。図３は、ＤＭＺに設置したサーバの動作を説明するためのフローチャートである。図４は、社社内ＬＡＮに設置したサーバの動作を説明するためのフローチャートである。図３に示すように、サーバ１００で稼働しているＷＷＷサーバ１０２の制御部１１３は、例えば、クライアント１０からのデータ閲覧要求を受信すると（ｓ１）、閲覧要求があったデータが記憶部１１２にあるか否かを確認する（ｓ２）。制御部は、閲覧要求があったデータが記憶部にある場合は、クライアント１０へ閲覧要求があったデータを送信する（ｓ３）。そして、別のデータの閲覧要求があるか否かを確認する（ｓ４）。この時別のデータの閲覧要求がない場合は、クライアント１０の閲覧が終了したとして（ｓ５）、処理を終了する。また、ステップｓ４において、別のデータの閲覧要求があった場合は、ステップｓ２以降の処理を行う。
【００６４】
また、ステップｓ２において、制御部１１３は記憶部１１２に閲覧要求があったデータが格納されていない場合、以下の処理を行う。すなわち、サーバ３００に対して、クライアント１０から閲覧要求のあったデータを送信するように依頼するための電子メールを作成し、キーコードをこの電子メールに付加する（ｓ６）。続いて、制御部は、この電子メールを暗号化する（ｓ７）。さらに、制御部は、サーバ３００へこの暗号化した電子メールをメール通信部１１４から送付させる（ｓ８）。そして、サーバ３００から閲覧要求のあったデータを含む電子メールが送信されてくるまで待機する（ｓ９）。
【００６５】
図４に示すように、サーバ３００は、サーバ１００から送信されたメールを受信すると（ｓ３１）、この電子メールのヘッダ情報を読み取る（ｓ３２）。そして、記憶部３１２に予め格納されたデータを送信しても良いサーバのメールアカウント、メールサーバのホスト名、ＩＰアドレスを読み出して、電子メールのヘッダ情報に含まれるメールアカウント、メールサーバのホスト名、ＩＰアドレスと比較して、これらが各々一致するか否かを確認する（ｓ３３〜ｓ３５）。これらのヘッダ情報が予め記憶した情報と異なる場合は、データを送信してはいけないサーバであると判断して、サーバ１００に対してデータ送信不可の通知を行う（ｓ３６）。そして、処理を終了する。
【００６６】
一方、ステップｓ３３〜ｓ３５において、各ヘッダ情報が予め記憶した情報と一致した場合は、データを送信しても良い正規のサーバであると判断して、受信実施した電子メールの復号化を行う（ｓ３７）。続いて、復号化した電子メールから付加されたキーコードを抽出するとともに（ｓ３８）、データベースサーバ３０２から閲覧要求のあったテータを検索、抽出する（ｓ３９）。制御部３１３は、閲覧要求のあったデータと、ステップｓ３８で抽出したキーコードと、をパック化した電子メールを作成する（ｓ４０）。さらに、制御部３１３は、ステップｓ４０で作成した電子メールの暗号化処理を行い（ｓ４１）、この暗号化した電子メールをメール通信部３１１からサーバ１００へ送信させる（ｓ４２）。
【００６７】
図３に示すように、サーバ１００の制御部１１３は、サーバ３００から送信されたメールを受信すると（ｓ９）、この電子メールのヘッダ情報を読み取る（ｓ１１）。そして、記憶部１１２に予め格納されたデータベースサーバが稼働するサーバのメールアカウント、メールサーバのホスト名、ＩＰアドレスを読み出して、電子メールのヘッダ情報に含まれるメールアカウント、メールサーバのホスト名、ＩＰアドレスと比較して、これらが各々一致するか否かを確認する（ｓ１２〜ｓ１４）。これらのヘッダ情報が予め記憶した情報と異なる場合は、正規のデータベースサーバと異なるサーバであると判断して、クライアント１０に対してデータ送信不可の通知を行う（ｓ１５）。そして、処理を終了する。
【００６８】
一方、ステップｓ１２〜ｓ１４において、各ヘッダ情報が予め記憶した情報と一致した場合は、正規のサーバから送信されたテータであると判断して、受信した電子メールの復号化を行う（ｓ１６）。続いて、復号化した電子メールから、付加されているキーコードを抽出して（ｓ１７）、ステップｓ６で電子メールに付加したキーコードと、抽出したキーコードと、が一致するか否かを確認する  （ｓ１８）。制御部１１３は、キーコードが一致しない場合、要求したデータでないと判断し、データの再送信要求を行うために、再度ステップｓ６以降の処理を行う。
【００６９】
また、ステップｓ１８において、キーコードが一致した場合、制御部１１３は、電子メールで送られてきたデータを、クライアント１０へ送信する（ｓ２０）。制御部は、クライアント１０から別のデータの閲覧要求があるか否かを確認して（ｓ２１）、閲覧要求があった場合は、ステップｓ２以降の処理を行う。また、ステップｓ２１において、クライアント１０から別のデータの閲覧要求がない場合は、クライアント１０が閲覧を終了したことを確認すると、記憶部に一時的に記憶させたデータを削除して（ｓ２２）、処理を終了する。
【００７０】
なお、上記の動作説明では、サーバ１００及びサーバ３００が、受信したメールのヘッダを確認した際に、チェック内容が正しくない場合には、すぐにデータ送信不可通知を送信するようにしたが、例えば、再度電子メールの送信依頼を行うようにして、このチェックを数回行っても、チェック内容が正しくない場合に、データ送信不可通知を送信するように設定しても良い。これにより、文字化けなどにより１回でエラーになるのを防止できる。
【００７１】
【発明の効果】
本発明によれば、以下の効果が得られる。
【００７２】
（１）クライアントにデータを閲覧させるために、公開サーバから非公開サーバへのデータ送信依頼や非公開サーバから公開サーバへのデータ送信に電子メールを使用するので、公開サーバと非公開サーバとが直接接続されることがない。これにより、公開サーバと非公開サーバとの通信を監視されて、データを盗まれるのを防止できる。
【００７３】
（２）公開サーバにおいてクライアントからの閲覧要求に応じて公開していたデータの閲覧が終了すると、このデータを削除するので、悪意の利用者によってデータの改ざんなどデータに不正アクセスされることを防止できる。
【００７４】
（３）公開サーバと非公開サーバとデータをやりとりする際に用いる電子メールを暗号化するので、電子メールの内容を簡単にのぞかれるのを防止でき、データの安全性を高めることができる。
【００７５】
（４）公開サーバ以外のコンピュータからデータの送信要求があった場合に、誤って重要なデータを送信してしまうことを防止できる。
【００７６】
（５）公開サーバが送信要求を行った電子メールに基づいて送られてきたデータであるか否かを容易に判定できるので、クライアントに対して正しいデータを公開することができる。
【図面の簡単な説明】
【図１】本実施の実施形態に係るデータ管理システムの機器構成を示したブロック図である。
【図２】サーバの詳細な構成を示したブロック図である。
【図３】ＤＭＺに設置したサーバの動作を説明するためのフローチャートである。
【図４】社内ＬＡＮに設置したサーバの動作を説明するためのフローチャートである。
【符号の説明】
１−インターネット
２−ＤＭＺ
３−社内ＬＡＮ
１０，１１，５０，５１−クライアント
１００，３００−サーバ
１０２−ＷＷＷサーバ
１０３，３０１−メールサーバ
３０２−データベースサーバ
【図１】
2004185440.tif 000003
【図２】
2004185440.tif 000004
【図３】
2004185440.tif 000005
【図４】
2004185440.tif 000006