(57)【要約】【課題】秘匿情報への直接の不正アクセスは不可能であり、高いセキュリティ性を確保することができ、また、一度設定したリンクを指定された所定時間はそのままにしておくことにより、頻繁な秘匿情報の閲覧の利便性を向上させることができるファイル管理システムを提供する。【解決手段】アクセス制限のある情報をＷｅｂアクセス可能な領域の外に置き、アクセス権を有するユーザからのアクセスがあるときにだけ、その都度リンクを設定し、アクセス制限のある情報にアクセス可能とする。また、所定時間認証を省略する期間を設ける。【選択図】  図２
2004318323.tif 000002
【特許請求の範囲】
【請求項１】
第一の記憶手段と、この第一の記憶手段に対する第一のアクセス要求が到着すると当該第一のアクセス要求送出元の正当性を評価する第一の認証手段と、この第一の認証手段による認証結果が正当であるときには、前記第一の記憶手段に対する前記第一のアクセス要求送出元のアクセスを中継する手段とを備えた情報管理システムにおいて、
前記アクセス要求送出元によるアクセスが不可能な領域に設置された第二の記憶手段と、
前記アクセス要求送出元によるアクセスが可能な領域に設置されこの第二の記憶手段に対する第二のアクセス要求が到着すると当該第二のアクセス要求送出元の正当性を評価する第二の認証手段と、
この第二の認証手段による認証結果が正当であるときには、前記アクセスを中継する手段と前記第二の記憶手段との間にリンクを設定する手段と
を備え、
前記アクセスを中継する手段は、前記リンクを介して前記第二の記憶手段に対する前記第二のアクセス要求送出元のアクセスを中継する手段を備えた
ことを特徴とする情報管理システム。
【請求項２】
前記リンクを設定する手段は、前記第二の記憶手段に対するアクセスの終了を検出したときに前記リンクを解放する手段を備えた請求項１記載の情報管理システム。
【請求項３】
前記リンクを設定する手段は、前記第二の記憶手段に対するアクセスの終了を検出したときから所定時間経過後に前記リンクを解放する手段を備えた請求項１記載の情報管理システム。
【請求項４】
前記第二のアクセス要求には前記所定時間を指定する情報が書込まれ、
前記所定時間経過後に前記リンクを解放する手段は、前記指定する情報に基づきシステムが許容する時間範囲内で所定時間を設定する手段を備えた
請求項３記載の情報管理システム。
【請求項５】
第一の記憶手段と、この第一の記憶手段に対する第一のアクセス要求が到着すると当該第一のアクセス要求送出元の正当性を評価する第一の認証手段と、この第一の認証手段による認証結果が正当であるときには、前記第一の記憶手段に対する前記第一のアクセス要求送出元のアクセスを中継する手段とを備えた情報管理システムに適用される情報管理装置において、
前記アクセス要求送出元によるアクセスが不可能な領域に設置された第二の記憶手段と、
前記アクセス要求送出元によるアクセスが可能な領域に設置されこの第二の記憶手段に対する第二のアクセス要求が到着すると当該第二のアクセス要求送出元の正当性を評価する第二の認証手段と、
この第二の認証手段による認証結果が正当であるときには、前記アクセスを中継する手段と前記第二の記憶手段との間にリンクを設定する手段と
を備えた
ことを特徴とする情報管理装置。
【請求項６】
前記リンクを設定する手段は、前記第二の記憶手段に対するアクセスの終了を検出したときに前記リンクを解放する手段を備えた請求項５記載の情報管理装置。
【請求項７】
前記リンクを設定する手段は、前記第二の記憶手段に対するアクセスの終了を検出したときから所定時間経過後に前記リンクを解放する手段を備えた請求項５記載の情報管理装置。
【請求項８】
前記第二のアクセス要求には前記所定時間を指定する情報が書込まれ、
前記所定時間経過後に前記リンクを解放する手段は、前記指定する情報に基づきシステムが許容する時間範囲内で所定時間を設定する手段を備えた
請求項７記載の情報管理装置。
【請求項９】
第一の記憶機能と、この第一の記憶機能に対する第一のアクセス要求が到着すると当該第一のアクセス要求送出元の正当性を評価する第一の認証機能と、この第一の認証機能による認証結果が正当であるときには、前記第一の記憶機能に対する前記第一のアクセス要求送出元のアクセスを中継する機能とを備えた情報管理システムに適用されるプログラムにおいて、
前記アクセス要求送出元によるアクセスが不可能な領域に設置された第二の記憶機能が設けられ、
情報処理装置にインストールすることにより、その情報処理装置に、
前記アクセス要求送出元によるアクセスが可能な領域に設置され前記第二の記憶機能に対する第二のアクセス要求が到着すると当該第二のアクセス要求送出元の正当性を評価する第二の認証機能と、
この第二の認証機能による認証結果が正当であるときには、前記アクセスを中継する機能と前記第二の記憶機能との間にリンクを設定する機能と
を実現させることを特徴とするプログラム。
【請求項１０】
前記リンクを設定する機能として、前記第二の記憶機能に対するアクセスの終了を検出したときに前記リンクを解放する機能を実現させる請求項９記載のプログラム。
【請求項１１】
前記リンクを設定する機能として、前記第二の記憶機能に対するアクセスの終了を検出したときから所定時間経過後に前記リンクを解放する機能を実現させる請求項９記載のプログラム。
【請求項１２】
前記第二のアクセス要求には前記所定時間を指定する情報が書込まれ、
前記所定時間経過後に前記リンクを解放する機能として、前記指定する情報に基づきシステムが許容する時間範囲内で所定時間を設定する機能を実現させる
請求項１１記載のプログラム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、Ｗｅｂブラウジングに利用するに適する。特に、一つの端末装置を複数のユーザが共有するイントラネットに利用するに適する。本発明は、Ｗｅｂブラウジングシステムにおけるセキュリティ確保技術に関する。
【０００２】
【従来の技術】
従来の情報管理システムを図６を参照して説明する。図６は従来の情報管理システムの概念図である。図６に示す従来の情報管理システムでは、ユーザがデータベース５に格納された文書ファイルなどの情報を閲覧したいときには、端末装置１からアクセス要求をゲートウェイ装置２に送出する。
【０００３】
端末装置１からアクセス要求を受け取ったゲートウェイ装置２は、当該アクセス要求に含まれる認証情報を認証サーバ３に転送する。認証サーバ３は、アクセス要求に含まれる認証情報と、あらかじめ認証情報データベース１４に格納されている認証情報とを用いてユーザの正当性を評価する。このような認証技術は、例えば、ユーザＩＤおよびパスワードの照合あるいは公開鍵および秘密鍵を用いた認証などが既知の技術として存在するが、いずれを用いてもよく、本発明とは直接関係しないので、ここでの詳細な説明は省略する。
【０００４】
このようにして、ユーザの正当性が認証されると、その認証結果はゲートウェイ装置２に通知される。ゲートウェイ装置２は、ユーザの正当性が認証された場合に限り、端末装置１のデータベース５に対するアクセスを許可して中継する（例えば、特許文献１参照）。
【０００５】
以上の説明では、説明をわかりやすくするために、データベース５全体についてのアクセス制限の例を説明したが、データベース５の特定の情報についてのみアクセス制限を行うこともできる。
【０００６】
例えば、端末装置１を複数のユーザが共有するイントラネットのような利用形態を想定すると、一つの企業内に、複数のプロジェクトチームがあり、個々にイントラネットを利用している場合に、それらのプロジェクトを一括管理する立場の担当者は、個々のプロジェクトの作業内容を大まかに把握するために、アクセス制限が無く、各プロジェクトの情報にアクセスできる権限を有する。しかし、特定の添付ファイルの閲覧に関しては、該当するプロジェクトチームのメンバーにのみアクセス権があるといった利用形態がある。
【０００７】
【特許文献１】
特開２００１−６７３１９号公報
【０００８】
【発明が解決しようとする課題】
このような従来の情報管理システムで、端末装置１を複数のユーザが共有するイントラネットのような利用形態を想定した場合に、アクセス権限のあるユーザが端末装置１を用いてデータベース５の情報を閲覧した後に、アクセス権限の無いユーザが端末装置１を利用する場合を考えると、ブラウザが持っている前使用者のアクセス履歴を辿ることにより、前使用者が閲覧した情報の閲覧が可能となる。これにより、アクセス権限の無いユーザであってもデータベース５の情報を閲覧できてしまうことになり、アクセス制限が無効になってしまう。
【０００９】
この対策として一般的に行われているのは、データベースへのアクセスを、全てＣＧＩ（Ｃｏｍｍｏｎ  Ｇａｔｅｗａｙ  Ｉｎｔｅｒｆａｃｅ）などを通して動的に行う方式である。この方式ではブラウザのキャッシュが無効となり、アクセス履歴にはＣＧＩのアドレスのみが記載されるが、添付ファイルの閲覧はその都度ＣＧＩに渡すパラメータを適切に設定しなければならないため、単なる履歴の再表示では内容表示が不可能である。
【００１０】
しかし、閲覧ＣＧＩのアドレスと閲覧に必要な変数は、一般的には添付ファイル閲覧時にソースまたはＵＲＬに記述されているため、知識のあるユーザがこれを解析して添付ファイルの閲覧が可能になってしまう危険性は否めない。
【００１１】
いずれにしても、添付ファイルをＷｅｂアクセス可能な領域に置いている以上、添付ファイルのアドレスが何らかの方法でアクセス権限の無いユーザに知られた場合には、情報内容の漏洩が不可避である。
【００１２】
本発明は、このような背景に行われたものであって、秘匿情報への直接の不正アクセスは不可能であり、高いセキュリティ性を確保することができ、また、一度設定したリンクを指定された所定時間はそのままにしておくことにより、頻繁な秘匿情報の閲覧の利便性を向上させることができる情報管理システムを提供することを目的とする。
【００１３】
【課題を解決するための手段】
本発明は、アクセス制限のある情報をＷｅｂアクセス可能な領域の外に置き、アクセス権を有するユーザからのアクセスがあるときにだけ、その都度リンクを設定し、アクセス制限のある情報にアクセス可能とすることを特徴とする。これにより、アドレスを不正に入手して行われるＷｅｂアクセス可能な領域に存在する情報に対する不正アクセスに対処することができる。
【００１４】
すなわち、本発明の第一の観点は、第一の記憶手段と、この第一の記憶手段に対する第一のアクセス要求が到着すると当該第一のアクセス要求送出元の正当性を評価する第一の認証手段と、この第一の認証手段による認証結果が正当であるときには、前記第一の記憶手段に対する前記第一のアクセス要求送出元のアクセスを中継する手段とを備えた情報管理システムである。
【００１５】
ここで、本発明の特徴とするところは、前記アクセス要求送出元によるアクセスが不可能な領域に設置された第二の記憶手段と、前記アクセス要求送出元によるアクセスが可能な領域に設置されこの第二の記憶手段に対する第二のアクセス要求が到着すると当該第二のアクセス要求送出元の正当性を評価する第二の認証手段と、この第二の認証手段による認証結果が正当であるときには、前記アクセスを中継する手段と前記第二の記憶手段との間にリンクを設定する手段とを備え、前記アクセスを中継する手段は、前記リンクを介して前記第二の記憶手段に対する前記第二のアクセス要求送出元のアクセスを中継する手段を備えたところにある。
【００１６】
このように、第一のアクセス要求送出元からはアクセス不可能な領域に、例えば、秘匿情報を置いておくことにより、秘匿情報への直接の不正アクセスは不可能であり、高いセキュリティ性を確保することができる。
【００１７】
また、前記リンクを設定する手段は、前記第二の記憶手段に対するアクセスの終了を検出したときに前記リンクを解放する手段を備えることが望ましい。
【００１８】
これにより、前記リンクを不正使用される確率を低減させることができるため、高いセキュリティ性を確保することができる。
【００１９】
あるいは、前記リンクを設定する手段は、前記第二の記憶手段に対するアクセスの終了を検出したときから所定時間経過後に前記リンクを解放する手段を備えてもよい。
【００２０】
これにより、一度設定した前記リンクをしばらくの間はそのままにしておき、その間は、秘匿情報へのアクセスを簡単に行えるようにすることができる。例えば、プロジェクトチームの会議が開催されている期間中はリンクを確立しておけば、秘匿情報を頻繁に閲覧する場合に便利である。
【００２１】
さらに、前記第二のアクセス要求には前記所定時間を指定する情報が書込まれ、前記所定時間経過後に前記リンクを解放する手段は、前記指定する情報に基づきシステムが許容する時間範囲内で所定時間を設定する手段を備えることもできる。これにより、ユーザが必要とする所定時間を任意に設定することができる。
【００２２】
本発明の第二の観点は、第一の記憶手段と、この第一の記憶手段に対する第一のアクセス要求が到着すると当該第一のアクセス要求送出元の正当性を評価する第一の認証手段と、この第一の認証手段による認証結果が正当であるときには、前記第一の記憶手段に対する前記第一のアクセス要求送出元のアクセスを中継する手段とを備えた情報管理システムに適用される情報管理装置である。
【００２３】
ここで、本発明の特徴とするところは、前記アクセス要求送出元によるアクセスが不可能な領域に設置された第二の記憶手段と、前記アクセス要求送出元によるアクセスが可能な領域に設置されこの第二の記憶手段に対する第二のアクセス要求が到着すると当該第二のアクセス要求送出元の正当性を評価する第二の認証手段と、この第二の認証手段による認証結果が正当であるときには、前記アクセスを中継する手段と前記第二の記憶手段との間にリンクを設定する手段とを備えたところにある。
【００２４】
前記リンクを設定する手段は、前記第二の記憶手段に対するアクセスの終了を検出したときに前記リンクを解放する手段を備えることが望ましい。
【００２５】
あるいは、前記リンクを設定する手段は、前記第二の記憶手段に対するアクセスの終了を検出したときから所定時間経過後に前記リンクを解放する手段を備えることもできる。
【００２６】
このときには、前記第二のアクセス要求には前記所定時間を指定する情報が書込まれ、前記所定時間経過後に前記リンクを解放する手段は、前記指定する情報に基づきシステムが許容する時間範囲内で所定時間を設定する手段を備えることが望ましい。
【００２７】
本発明の第三の観点は、第一の記憶機能と、この第一の記憶機能に対する第一のアクセス要求が到着すると当該第一のアクセス要求送出元の正当性を評価する第一の認証機能と、この第一の認証機能による認証結果が正当であるときには、前記第一の記憶機能に対する前記第一のアクセス要求送出元のアクセスを中継する機能とを備えた情報管理システムに適用されるプログラムである。
【００２８】
ここで、本発明の特徴とするところは、前記アクセス要求送出元によるアクセスが不可能な領域に設置された第二の記憶機能が設けられ、情報処理装置にインストールすることにより、その情報処理装置に、前記アクセス要求送出元によるアクセスが可能な領域に設置され前記第二の記憶機能に対する第二のアクセス要求が到着すると当該第二のアクセス要求送出元の正当性を評価する第二の認証機能と、この第二の認証機能による認証結果が正当であるときには、前記アクセスを中継する機能と前記第二の記憶機能との間にリンクを設定する機能とを実現させるところにある。
【００２９】
また、前記リンクを設定する機能として、前記第二の記憶機能に対するアクセスの終了を検出したときに前記リンクを解放する機能を実現させることが望ましい。
【００３０】
あるいは、前記リンクを設定する機能として、前記第二の記憶機能に対するアクセスの終了を検出したときから所定時間経過後に前記リンクを解放する機能を実現させることもできる。
【００３１】
このとき、前記第二のアクセス要求には前記所定時間を指定する情報が書込まれ、前記所定時間経過後に前記リンクを解放する機能として、前記指定する情報に基づきシステムが許容する時間範囲内で所定時間を設定する機能を実現させることもできる。
【００３２】
本発明のプログラムは記録媒体に記録されることにより、前記情報処理装置は、この記録媒体を用いて本発明のプログラムをインストールすることができる。あるいは、本発明のプログラムを保持するサーバからネットワークを介して直接前記情報処理装置に本発明のプログラムをインストールすることもできる。
【００３３】
これにより、コンピュータ装置等の情報処理装置を用いて、秘匿情報への直接の不正アクセスは不可能であり、高いセキュリティ性を確保することができ、また、一度設定したリンクを指定された所定時間はそのままにしておくことにより、頻繁な秘匿情報の閲覧の利便性を向上させることができる情報管理システムを実現することができる。
【００３４】
【発明の実施の形態】
本発明実施形態の情報管理システムを図１ないし図４を参照して説明する。図１は本発明実施形態の情報管理システムの全体構成図であり、秘匿情報データベースへのトンネルリンクが設定されていない状況を示す図である。図２は本発明実施形態の情報管理システムの全体構成図であり、秘匿情報データベースへのトンネルリンクが設定されている状況を示す図である。図３はトンネルリンク設定解放手順を示すフローチャートである。図４は文書ファイルリストの表示状況を示す図である。図５は端末装置と秘匿情報データベースとの間のリンク設定および解放手順を示すシーケンス図である。
【００３５】
本発明実施形態は、図１または図２に示すように、第一の記憶手段としての一般情報が蓄積された一般情報データベース５−１と、この一般情報データベース５−１に対する第一のアクセス要求が到着すると当該第一のアクセス要求送出元の正当性を評価する第一の認証手段としての認証サーバ３と、この認証サーバ３による認証結果が正当であるときには、一般情報データベース５−１に対する前記第一のアクセス要求送出元のアクセスを中継する手段としてのゲートウェイ装置２とを備えた情報管理システムである。
【００３６】
ここで、本実施例の特徴とするところは、前記アクセス要求送出元によるアクセスが不可能な領域に設置され秘匿情報が蓄積された第二の記憶手段としての秘匿情報データベース５−２と、前記アクセス要求送出元によるアクセスが可能な領域に設置されこの秘匿情報データベース５−２に対する第二のアクセス要求が到着すると当該第二のアクセス要求送出元の正当性を評価する第二の認証手段としてのトンネルリンク装置（親）６−１とを備え、さらに、このトンネルリンク装置（親）６−１は、認証結果が正当であるときには、ゲートウェイ装置２と秘匿情報データベース５−２との間にトンネルリンク装置（子）６−２を介してリンクを設定する手段を備え、ゲートウェイ装置２は、前記リンクを介して秘匿情報データベース５−２に対する前記第二のアクセス要求送出元のアクセスを中継する手段を備えたところにある。
【００３７】
また、トンネルリンク装置（親）６−１および（子）６−２は、ゲートウェイ装置２による秘匿情報データベース５−２に対するアクセスの終了を検出したときに前記リンクを解放する手段を備える。あるいは、ゲートウェイ装置２による秘匿情報データベース５−２に対するアクセスの終了を検出したときから所定時間経過後に前記リンクを解放する手段を備える。本実施例では、当該所定時間を“０”とすることにより、前者の構成を実現する。さらに、前記第二のアクセス要求には前記所定時間を指定する情報が書込まれ、トンネルリンク装置（親）６−１および（子）６−２は、前記指定する情報に基づきシステムが許容する時間範囲内で所定時間を設定する手段を備える。
【００３８】
なお、トンネルリンク装置（親）６−１および（子）６−２と秘匿情報データベース５−２とを一つの情報管理装置として別途構成しておき、これを図６に示す従来の情報管理システムに追加増設することにより、本発明実施形態の情報管理システムを構成することができる。すなわち、図６に示す従来の情報管理システムのゲートウェイ装置２とデータベース５との間にトンネルリンク装置（親）６−１を挿入し、別途、端末装置１からは通常Ｗｅｂアクセス不可能な領域に、トンネルリンク装置（子）６−２および秘匿情報データベース５−２を設置することによって、本発明実施形態の情報管理システムを構成することができる。この場合には、図６に示すデータベース５は、図１および図２に示す一般情報データベース５−１に相当する。
【００３９】
なお、認証サーバ３、下位認証情報データベース４、上位認証情報データベース７は、端末装置１からの直接のＷｅｂアクセスは不可能である。
【００４０】
次に、本発明実施形態の動作を説明する。端末装置１は、一般情報データベース５−１にアクセスして一般情報を取得する。この手順は「従来の技術」で説明したとおりである。例えば、文書ファイルリストを取得すると、端末装置１の画面には図４（ａ）に示すような表示が行われる。図４（ａ）の文書ファイルリストで区分「一般」は一般情報データベース５−１に格納されている情報を示し、区分「秘匿」は秘匿情報データベース５−２に格納されている情報を示す。例えば、区分「一般」の寸法設計を選択すると、図４（ｂ）に示すように、寸法図が表示される。これに対し、例えば、区分「秘匿」の強度試験を選択すると、図４（ｃ）に示すように、トンネルリンク装置（親）６−１はユーザに対して認証情報の入力を要求する。図４（ｃ）の例では、ユーザＩＤとパスワードの入力が要求される。ユーザがユーザＩＤとパスワードを入力し、これをトンネルリンク装置（親）６−１が認証すると図４（ｄ）に示すように、秘匿情報である強度試験データが表示される。
【００４１】
なお、いったん認証に成功すると、所定時間内は認証が省略されるため、図４（ａ）の文書ファイルリストの区分「秘匿」をクリックして選択すると即座に、図４（ｄ）の表示が行われる。これにより、当該所定時間内は区分「一般」と同様の手順により情報を閲覧することができる。
【００４２】
次に、本発明実施形態のトンネルリンク設定解放手順を図３を参照して説明する。図３のフローチャートは、端末装置１と一般情報データベース５−１との間で既にアクセスが行われている状態をステップ１としている。このときに、トンネルリンク装置（親）６−１は、図１に示すように、一般情報データベース５−１と端末装置１との間のアクセスを中継している。
【００４３】
ここで、端末装置１から秘匿情報データベース５−２に対して文書ファイルを登録する場合について説明する。文書ファイル登録に先立って、端末装置１では、文書登録フォームの生成を行う。文書登録フォームは、例えば、セキュリティ情報として氏名識別ＩＤ、端末アドレス、ＷｅｂサーバプロセスＩＤと、文書種別、文書登録ディレクトリがフォーム変数として埋め込まれる。また、本実施例では、これに加えて、トンネルリンクを保持しておく所定時間を指定する。これらは秘匿情報データベース５−２に対するアクセス要求としてトンネルリンク装置（親）６−１宛てに送出される。トンネルリンク装置（親）６−１では、アクセス要求が有ると（ステップ２）、上位認証を実行する（ステップ３）。すなわち、アクセス要求に埋め込まれたセキュリティ情報と、上位認証情報データベース７にあらかじめ格納されているセキュリティ情報とを用いて認証を実行する。このときに、文書種別毎に指定されている文書ディレクトリの開始位置が登録文書ディレクトリと一致しているか否かを確認することにより、文書ファイルの登録ディレクトリが不正に改竄されていないことも併せて確認する保存ディレクトリの整合性確認を行う。さらに、認証省略期間を過ぎているか否かを確認し、認証省略期間内であれば認証を省略する。
【００４４】
これにより、認証が成立すると（ステップ４）、トンネルリンク装置（親）６−１は、トンネルリンク装置（子）６−２に対してトンネルリンク設定要求を送出する。これにより、トンネルリンク装置（親）６−１と（子）６−２と秘匿情報データベース５−２との間にトンネルリンクが設定される（ステップ５）。さらに、トンネルリンク装置（親）６−１および（子）６−２は、端末装置１と秘匿情報データベース５−２との間のアクセスを中継する（ステップ６）。端末装置１は、秘匿情報データベース５−２とのアクセスが可能になると、秘匿情報データベース５−２の登録文書ディレクトリ上に文書ファイルを登録する。
【００４５】
トンネルリンク装置（親）６−１および（子）６−２では、端末装置１と秘匿情報データベース５−２との間のアクセスの有無をトラフィックを観測することによって監視し、アクセスが終了したことを検出すると（ステップ７）、アクセス要求に埋め込まれていたトンネルリンクを保持しておく所定時間トンネルリンクを保持し（ステップ８）、所定時間が経過したら（ステップ９）、トンネルリンクを解放する（ステップ１０）。これにより、以降は、Ｗｅｂアクセス可能領域から秘匿情報にアクセスすることは不可能になり、強固なセキュリティが確保される。
【００４６】
次に、端末装置１から秘匿情報データベース６−２の文書ファイルを閲覧する場合について説明する。端末装置１では、図４（ａ）に示すような文書ファイルリストが表示される。その中から区分が「秘匿」の文書ファイルが選択されてクリックされると、秘匿情報データベース５−２とのアクセス要求には、例えば、端末アドレス、認証有効期限、ＷｅｂサーバプロセスＩＤ、ファイルシステム識別番号、ファイル識別番号、ファイル拡張子が埋め込まれる。また、本実施例では、これに加えて、トンネルリンクを保持しておく所定時間を指定する。
【００４７】
これらは秘匿情報データベース５−２に対するアクセス要求としてトンネルリンク装置（親）６−１宛てに送出される。トンネルリンク装置（親）６−１では、アクセス要求が有ると（ステップ２）、上位認証を実行する（ステップ３）。すなわち、アクセス要求に埋め込まれたセキュリティ情報と、上位認証情報データベース７にあらかじめ格納されているセキュリティ情報とを用いて認証を実行する。このときに、認証省略期間を過ぎているか否かを確認し、認証省略期間内であれば認証を省略する。
【００４８】
これにより、認証が成立すると（ステップ４）、トンネルリンク装置（親）６−１は、トンネルリンク装置（子）６−２に対してトンネルリンク設定要求を送出する。これにより、トンネルリンク装置（親）６−１と（子）６−２と秘匿情報データベース５−２との間にトンネルリンクが設定される（ステップ５）。さらに、トンネルリンク装置（親）６−１および（子）６−２は、端末装置１と秘匿情報データベース５−２との間のアクセスを中継する（ステップ６）。端末装置１は、秘匿情報データベース５−２とのアクセスが可能になると、秘匿情報データベース５−２の登録文書ディレクトリ上の文書ファイルを閲覧する。
【００４９】
トンネルリンク装置（親）６−１および（子）６−２では、端末装置１と秘匿情報データベース５−２との間のアクセスの有無をトラフィックを観測することによって監視し、アクセスが終了したことを検出すると（ステップ７）、アクセス要求に埋め込まれていたトンネルリンクを保持しておく所定時間トンネルリンクを保持し（ステップ８）、所定時間が経過したら（ステップ９）、トンネルリンクを解放する（ステップ１０）。これにより、以降は、Ｗｅｂアクセス可能領域から秘匿情報にアクセスすることは不可能になり、強固なセキュリティが確保される。
【００５０】
次に、端末装置１と秘匿情報データベース５−２との間におけるリンク設定および解放手順を図５を参照して説明する。ゲートウェイ装置２は既に端末装置１のユーザの認証に成功しており、端末装置１は、一般情報データベース５−１に対するアクセスが可能である。このときに、端末装置１のユーザが秘匿情報データベース５−２にアクセスしようとする場合には、図４（ａ）に示した区分「秘匿」をユーザがクリックして選択すると、端末装置１はゲートウェイ装置２に対して秘匿情報データベース６−２とのアクセス要求を送出する。
【００５１】
ゲートウェイ装置２は、トンネルリンク装置（親）６−１にこのアクセス要求を中継する。トンネルリンク装置（親）６−１は、端末装置１の秘匿情報データベース５−２に対するアクセス要求を受け付けると、ゲートウェイ装置２を介して端末装置１に対し認証情報を要求する。これにより、端末装置１には図４（ｃ）に示す表示が行われる。
【００５２】
端末装置１のユーザは認証情報としてユーザＩＤおよびパスワードを入力する。この認証情報入力はゲートウェイ装置２を介してトンネルリンク装置（親）６−１に転送される。トンネルリンク装置（親）６−１は、ユーザの認証を実行する。本実施例では、ユーザＩＤおよびパスワードを用いた認証を例示したが、これに限定することなく、例えば、既知の技術である秘密鍵、公開鍵を用いた認証を用いてもよい。
【００５３】
その結果、ユーザの認証に失敗した場合にはアクセス拒否通知をゲートウェイ装置２に送出する。ゲートウェイ装置２は当該アクセス拒否通知を端末装置１に中継する。また、トンネルリンク装置（親）６−１がアクセス要求の認証に成功すると、トンネルリンク装置（子）６−２までの間の下りリンク（トンネルリンク装置（親）６−１から秘匿情報データベース５−２に向かう方向のリンクを下りリンクという）を設定すると共にトンネルリンク装置（子）６−２にリンク設定要求を送出する。
【００５４】
トンネルリンク装置（子）６−２は、トンネルリンク装置（親）６−１からリンク設定要求を受け取ると、秘匿情報データベース５−２までの間の下りリンクを設定すると共に当該リンク設定要求を秘匿情報データベース５−２に中継する。トンネルリンク装置（子）６−２からリンク設定要求を受け取った秘匿情報データベース５−２は、下りリンク設定完了を確認し、さらに、トンネルリンク装置（子）６−２までの間の上りリンク（秘匿情報データベース５−２からトンネルリンク装置（親）６−１に向かう方向のリンクを上りリンクという）を設定すると共にトンネルリンク装置（子）６−２にリンク設定完了通知を送出する。
【００５５】
秘匿情報データベース６−２からリンク設定完了通知を受け取ったトンネルリンク装置（子）６−２は、トンネルリンク装置（親）６−１までの間の上りリンク設定を設定すると共にリンク設定完了通知をトンネルリンク装置（親）６−１に送出する。トンネルリンク装置（子）６−２からリンク設定完了通知を受け取ったトンネルリンク装置（親）６−１は、上りリンクの設定完了を確認すると、ゲートウェイ装置２に対してアクセス許可通知を送出する。ゲートウェイ装置２は当該アクセス許可通知を端末装置１に送出する。
【００５６】
端末装置１はアクセス許可通知を受け取ると、秘匿情報データベース５−２に対するアクセスが可能になった旨を表示する。ユーザはこの表示により秘匿情報データベース５−２に対するアクセスが可能になったことを知り、端末装置１により秘匿情報データベース５−２に対するアクセスを実行する。
【００５７】
トンネルリンク装置（親）６−１は、トラフィックを監視することにより、端末装置１と秘匿情報データベース５−２との間のアクセスが終了したことを検出すると、所定時間経過後にトンネルリンク装置（子）６−２に対してリンク解放要求を送出すると共に、トンネルリンク装置（子）６−２との間の下りリンクを解放する。
【００５８】
トンネルリンク装置（子）６−２は、リンク解放要求を受け取ると、秘匿情報データベース５−２に対してリンク解放要求を送出すると共に、秘匿情報データベース５−２との間の下りリンクを解放する。秘匿情報データベース５−２は、リンク解放要求を受け取ると、下りリンクの解放を確認してリンク解放通知をトンネルリンク装置（子）６−２に送出すると共に、トンネルリンク装置（子）６−２との間の上りリンクを解放する。
【００５９】
秘匿情報データベース５−２からリンク解放通知を受け取ったトンネルリンク装置（子）６−２は、当該リンク解放通知をトンネルリンク装置（親）６−１に送出すると共に、トンネルリンク装置（親）６−１との間の上りリンクを解放する。
【００６０】
トンネルリンク装置（子）６−２からのリンク解放通知を受け取ったトンネルリンク装置（親）６−１は、上りリンクの解放を確認して一連の処理を終了する。
【００６１】
本実施の形態の情報管理システムは、情報処理装置を用いて実現することができる。すなわち、情報処理装置にインストールすることにより、その情報処理装置に、アクセス要求送出元によるアクセスが可能な領域に設置され秘匿情報データベース５−２に対する第二のアクセス要求が到着すると当該第二のアクセス要求送出元の正当性を評価する第二の認証機能と、この第二の認証機能による認証結果が正当であるときには、ゲートウェイ装置２と秘匿情報データベース５−２との間にリンクを設定する機能とをトンネルリンク装置（親）６−１および（子）６−２として実現させ、さらに、前記リンクを設定する機能として、秘匿情報データベース６−２に対するアクセスの終了を検出したときに前記リンクを解放する機能を実現させる、あるいは、前記リンクを設定する機能として、秘匿情報データベース５−２に対するアクセスの終了を検出したときから所定時間経過後に前記リンクを解放する機能を実現させ、さらに、前記第二のアクセス要求には前記所定時間を指定する情報が書込まれ、前記所定時間経過後に前記リンクを解放する機能として、前記指定する情報に基づきシステムが許容する時間範囲内で所定時間を設定する機能を実現させるプログラムを情報処理装置にインストールすることにより、この情報処理装置を本発明実施形態の情報管理システムに相応する装置とすることができる。
【００６２】
この本発明実施形態のプログラムはＣＤ−ＲＯＭなどの記録媒体８−１および８−２に記録されることにより、前記情報処理装置は、この記録媒体８−１および８−２を用いて本発明実施形態のプログラムをインストールすることができる。あるいは、本発明実施形態のプログラムを保持するサーバからネットワークを介して直接前記情報処理装置に本発明実施形態のプログラムをインストールすることもできる。
【００６３】
これにより、情報処理装置を用いて、秘匿情報への直接の不正アクセスは不可能であり、高いセキュリティ性を確保することができ、また、一度設定したリンクを指定された所定時間はそのままにしておくことにより、頻繁な秘匿情報の閲覧の利便性を向上させることができる本発明実施形態の情報管理システムを実現することができる。
【００６４】
なお、本発明実施形態の情報管理システムは、図６に示した従来例との差異を明確にする目的で、図６に示した従来例の構成に対し、トンネルリンク装置（親）６−１および（子）６−２および上位認証情報データベース７を追加し、また、従来例のデータベース５を一般情報データベース５−１と秘匿情報データベース５−２とに分けることによって本発明実施形態の情報管理システムを構成する例を示した。
【００６５】
しかし、図１および図２に示した構成からゲートウェイ装置２、認証サーバ３、下位認証情報データベース４を省き、トンネルリンク装置（親）６−１がゲートウェイ装置２および認証サーバ３の機能を兼ね、上位認証情報データベース７が下位認証情報データベース４の機能を兼ねる構成とすることもできる。さらに、認証に上位、下位のランクを設けることなく、下位認証情報データベース４と上位認証情報データベース７との区別を排し、認証情報データベースを一本化してもよい。このような構成とした場合であっても本発明の本質に影響しないことは容易に類推できるので、詳細な説明は省略する。
【００６６】
なお、文書ファイルの閲覧に際しては、ユーザに対し、Ｗｅｂアクセス不可能領域に設置されている秘匿情報データベース５−２に登録された文書ファイルを、トンネルリンクを用いることにより、あたかも、Ｗｅｂアクセス可能領域に在るかのように閲覧可能とすることがユーザの利便性を確保する上で不可欠であるが、文書ファイルの登録に際しては、ユーザに対し、Ｗｅｂ不可能領域に設置された秘匿情報データベース５−２を、あたかも、Ｗｅｂアクセス可能領域に在るかのように見せる必要性はなく、単に、ユーザが登録を希望する文書ファイルが秘匿情報データベース５−２に転送されるだけでよい。
【００６７】
そこで、トンネルリンクを用いずに、Ｗｅｂサーバ・プログラムを用いて文書ファイルの登録を行うこともできる。Ｗｅｂサーバ・プログラムとは、情報管理システムを構成する全ての資源にアクセス可能なプログラムであり、また、ユーザからは改変不可能なプログラムである。
【００６８】
このＷｅｂサーバ・プログラムを、図１に示すシステム構成のＷｅｂアクセス可能領域に置いておき、ゲートウェイ装置２が端末装置１からの文書ファイルの登録を受け付けたときには、このＷｅｂサーバ・プログラムを起動させて、ユーザ認証および保存ディレクトリ整合性確認を行い、その後、端末装置１から受け取った文書ファイルを、このＷｅｂサーバ・プログラムが秘匿情報データベース５−２に転送して登録する。
【００６９】
すなわち、Ｗｅｂサーバ・プログラムは、端末装置１からの秘匿情報データベース５−２への文書ファイルの登録を仲介する。これによれば、秘匿情報データベース５−２は、文書ファイルの登録に際しては、たとえ一時的にもＷｅｂアクセス可能領域とリンクされることはないので、強固なセキュリティ性を確保することができる。
【００７０】
【発明の効果】
以上説明したように、本発明によれば、秘匿情報への直接の不正アクセスは不可能であり、高いセキュリティ性を確保することができ、また、一度設定したリンクを指定された所定時間はそのままにしておくことにより、頻繁な秘匿情報の閲覧の利便性を向上させることができる情報管理システムを提供することができる。
【図面の簡単な説明】
【図１】本発明実施形態の情報管理システムの全体構成図であり、秘匿情報データベースへのトンネルリンクが設定されていない状況を示す図。
【図２】本発明実施形態の情報管理システムの全体構成図であり、秘匿情報データベースへのトンネルリンクが設定されている状況を示す図。
【図３】本発明実施形態のトンネルリンク設定解放手順を示すフローチャート。
【図４】本発明実施形態の文書ファイルリストの表示状況を示す図。
【図５】本発明実施形態の端末装置と秘匿情報データベースとの間のリンク設定および解放手順を示すシーケンス図。
【図６】従来の情報管理システムの全体構成図。
【符号の説明】
１  端末装置
２  ゲートウェイ装置
３  認証サーバ
４  下位認証情報データベース
５  データベース
５−１  一般情報データベース
５−２  秘匿情報データベース
６−１  トンネルリンク装置（親）
６−２  トンネルリンク装置（子）
７  上位認証情報データベース
８−１、８−２  記録媒体
１４  認証情報データベース
【図１】
2004318323.tif 000003
【図２】
2004318323.tif 000004
【図３】
2004318323.tif 000005
【図４】
2004318323.tif 000006
【図５】
2004318323.tif 000007
【図６】
2004318323.tif 000008