(57)【要約】  【課題】  データの機密性を保持しつつ、記憶領域を有効に利用することが出来る機密情報管理システムを提供することを目的とする。  【解決手段】  サーバ装置は、暗号鍵を用いて機密データを暗号化して生成した第１暗号化機密データを記憶している。端末装置からの要求により、前記第１暗号化機密データを復号鍵を用いて復号して機密データを生成し、生成した機密データを、利用者の公開鍵を用いて暗号化して第２暗号化機密データを生成し、生成した第２暗号化機密データを送信する。  端末装置は、前記第２暗号化機密データを受信し、利用者の秘密鍵を用いて前記第２暗号化機密データを復号して機密データを生成する。  【選択図】  図２
2005166033.tif 000002
【特許請求の範囲】
【請求項１】
サーバ装置が保持する機密データを複数の端末装置の利用に供する機密情報管理システムであって、
利用者に対して配布された利用者公開鍵を保持し、暗号鍵を用いて機密データを暗号化して生成した第１暗号化機密データを記憶しており、復号鍵を用いて前記第１暗号化機密データを復号して機密データを生成し、生成した機密データを、前記利用者公開鍵を用いて暗号化して第２暗号化機密データを生成し、生成した第２暗号化機密データを送信するサーバ装置と、
前記利用者公開鍵に対応する利用者秘密鍵を、書き換え不可能領域に記録している記録手段と、
前記第２暗号化機密データを受信し、前記記録手段から前記利用者秘密鍵を読み出し、当該利用者秘密鍵を用いて前記第２暗号化機密データを復号して機密データを生成する端末装置と
から構成されることを特徴とする機密情報管理システム。
【請求項２】
前記サーバ装置は、
前記端末装置とデータの送受信を行う送受信部と、
各機密データの機密のレベルを示す属性情報、及び、
各利用者を識別する利用者識別子と、各利用者の機密データの利用を制限する利用レベルとを対応付けた利用者情報を記憶する記憶手段と、
前記通信手段が前記端末装置から機密データの利用を要求する要求情報を受信すると、前記属性情報及び前記利用者情報から、機密データを利用可能であるか否かを判断する判断手段と、
判断手段が利用可能であると判断する場合に、前記端末装置から利用を要求された処理を行うように各部を制御する制御部とを備える
ことを特徴とする請求項１記載の機密情報管理システム。
【請求項３】
前記利用者情報は、更に、各利用レベルにおいて利用可能な機能を示す利用可能区分情報を含み、
前記判断手段は、前記端末装置から前記属性情報の変更又は利用者情報の変更を要求された場合に、要求元の端末装置の利用者に対応する利用レベルが、要求された情報の変更機能を利用可能であるか否かを判断し、
前記サーバ装置は、更に、
前記判断手段が利用可能であると判断する場合に、要求された情報の変更処理を行う変更手段を備える
ことを特徴とする請求項２記載の機密情報管理システム。
【請求項４】
複数の端末装置から利用可能な機密データを管理するサーバ装置であって、
利用者に対して配布された利用者秘密鍵に対応する利用者公開鍵を保持する保持手段と、
暗号鍵を用いて機密データを暗号化して生成した第１暗号化機密データを記憶する記憶手段と、
復号鍵を用いて前記第１暗号化機密データを復号して機密データを生成する復号手段と、
生成した機密データを、前記利用者公開鍵を用いて暗号化して第２暗号化機密データを生成する暗号化手段と、
生成した第２暗号化機密データを送信する通信手段と
から構成されることを特徴とするサーバ装置。
【請求項５】
前記利用者情報は、更に、各利用レベルにおいて利用可能な機能を示す利用可能区分情報を含み、
前記判断手段は、前記端末装置から前記属性情報の変更又は利用者情報の変更を要求された場合に、要求元の端末装置の利用者に対応する利用レベルが、要求された情報の変更機能を利用可能であるか否かを判断し、
前記サーバ装置は、更に、
前記判断手段が利用可能であると判断する場合に、要求された情報の変更処理を行う変更手段を備える
ことを特徴とする請求項４記載のサーバ装置。
【請求項６】
前記記憶手段は、各機密データを、機密のレベルを示す機密区分を含む属性情報と対応付けて記憶し、
前記保持手段は、各利用者を識別する利用者識別子と、各利用者の機密データの利用を制限する利用レベルとを対応付けた利用者情報とを対応付けて保持し、
前記サーバ装置は更に、
前記通信手段が前記端末装置から機密データの利用を要求する要求情報を受信すると、前記属性情報及び前記利用者情報から、機密データを利用可能であるか否かを判断し、利用可能であると判断する場合に、利用を許可する判断手段とを備える
ことを特徴とする請求項４記載のサーバ装置。
【請求項７】
前記判断手段は更に、
前記通信手段が前記端末装置から、特定のキーワードを含む機密データを検索することを示す要求及び利用者識別子を受信すると、前記識別子に対応する前記利用者情報で規定される利用レベルに基づいて、利用可能な機密のレベルを判断し、利用可能であると判断したレベルの機密データから、キーワードに合致する機密データを検索する
ことを特徴とする請求項６記載のサーバ装置。
【請求項８】
前記通信手段が、前記端末装置から機密データの保存を示す要求情報を受信すると、前記判断手段は、前記機密データの閲覧のみを許可することを示す前記属性情報を生成し、
前記通信手段は、前記機密データに前記属性情報を付加して前記端末装置へ送信する
ことを特徴とする請求項６記載のサーバ装置。
【請求項９】
前記記憶手段は、機密データに合成する合成データを保持し、
前記サーバ装置は更に、
前記通信手段が前記端末装置から機密データの印刷要求を受信すると、前記合成データを前記記憶手段から取得し、前記復号手段が生成した前記機密データに前記合成データを合成して印刷用機密データを生成する合成手段を備え、
前記暗号化手段は、前記印刷用機密データを暗号化する
ことを特徴とする請求項６記載のサーバ装置。
【請求項１０】
前記記憶手段は、各機密区分に対応付けて、前記各機密区分を表す前記合成データを保持し、
前記合成手段は、印刷を要求された機密データに、当該機密データの機密区分に対応する前記合成データを合成する
ことを特徴とする請求項９記載のサーバ装置。
【請求項１１】
前記記憶手段は、機密データの処理に係る情報を表す前記合成データを保持し、
前記合成手段は、印刷を要求された機密データに前記合成データを合成する
ことを特徴とする請求項９記載のサーバ装置。
【請求項１２】
前記記憶手段は、処理日時、処理を行った利用者の利用者識別子及び利用者が設定した文字を前記合成データとして記憶し、
前記合成手段は、前記合成データの内、１以上の合成データを合成する
ことを特徴とする請求項１１記載のサーバ装置。
【請求項１３】
前記記憶手段は、更に、機密データであるファイルを記憶する際に、格納先のフォルダに対応付けられている属性情報を、前記ファイルの属性情報として対応付けて記憶する
ことを特徴とする請求項６記載のサーバ装置。
【請求項１４】
前記記憶手段は、更に、前記第１暗号化機密データの利用の履歴を示す利用ログを記憶する
ことを特徴とする請求項４記載のサーバ装置。
【請求項１５】
前記保持手段は、管理者に割り当てられているメールアドレスを保持し、
前記通信手段は、前記利用ログを、前記メールアドレスに送信する
ことを特徴とする請求項１４記載のサーバ装置。
【請求項１６】
前記記憶手段は、機密データの利用者、機密データに対して行った処理内容、処理を行った日時を、前記利用ログとして記憶する
ことを特徴とする請求項１５記載のサーバ装置。
【請求項１７】
前記記憶手段は、前記第１暗号化機密データに対して、各利用者の当該機密データの利用を許可する回数である利用可能回数を含む属性情報と、当該機密データの利用者毎の利用回数を保持し、
前記サーバ装置は、更に、
前記端末装置から機密データの利用要求を受け付けると、前記利用回数が前記利用可能回数より少ないか否かを判断する判断手段を備え、
前記判断手段が少ないと判断する場合に、前記復号手段は、前記第１暗号化データを復号する
ことを特徴とする請求項４記載のサーバ装置。
【請求項１８】
前記保持手段は、各利用者を識別する利用者識別子を保持し、
前記サーバ装置は、更に、
前記端末装置から、当該端末装置の利用者識別子を含み、前記第１暗号化機密データの利用を要求する要求情報を前記通信手段が受信すると、受信した利用者識別子が、前記保持手段に保持されているか否かを判断し、、保持されていると判断する場合、前記第１暗号化機密データの利用を許可し、保持されていないと判断する場合、前記第１暗号化機密データの利用を抑制する判断手段を備える
ことを特徴とする請求項４記載のサーバ装置。
【請求項１９】
前記通信手段は、更に、前記利用者識別子が前記保持手段に保持されている場合に、管理者端末装置に前記利用者識別子と、当該利用者識別子に識別される利用者に対する、機密データ利用の可否の問合せとを送信し、前記管理者端末から処理結果を受信し、
前記判断手段は、前記処理結果が、利用許可を示す場合に、機密データの利用を許可し、利用不可能を示す場合に、機密データの利用を抑制する
ことを特徴とする請求項１８記載のサーバ装置。
【請求項２０】
前記通信手段は、更に、前記利用者識別子が前記保持手段に保持されている場合に、前記端末装置に、管理者の利用者識別子の送信要求を送信し、
前記通信手段が管理者の利用者識別子を受信すると、前記判断手段は、前記管理者の利用者識別子が、前記保持手段に保持されているか否かを判断し、
前記利用管理手段は、前記管理者の利用者識別子が保持されていると前記判断手段が判断する場合に、前記端末装置に利用を許可し、保持されていないと判断する場合に、利用を抑制する
ことを特徴とする請求項１８記載のサーバ装置。
【請求項２１】
サーバ装置が保持する機密情報をネットワークを介して利用する端末装置であって、
前記サーバ装置に記憶している、暗号鍵を用いて機密データを暗号化して生成した第１暗号化機密データを、復号鍵を用いて復号して機密データを生成し、利用者に対して配布された秘密鍵に対応する公開鍵を用いて前記機密データを暗号化して生成された第２暗号化機密データを、前記サーバ装置から受信する通信手段と、
記録手段から前記秘密鍵を読み出し、読み出した秘密鍵を用いて前記第２暗号化機密データを復号して機密データを生成する復号手段と、
前記機密データを出力する出力手段と
から構成されることを特徴とする端末装置。
【請求項２２】
前記端末装置は、更に、
機密データに対して利用可能な機能と、利用不可能な機能とを規定した利用権限情報を保持する保持手段と、
受信した前記第２暗号化機密データに付されている属性情報に含む利用区分から、利用可能な機能と、利用不可能な機能とを判断する判断手段と、
前記判断結果から、利用可能な機能の利用を許可し、利用不可能な機能の利用を抑制する制限手段とを備える
ことを特徴とする請求項２１記載の端末装置。
【請求項２３】
前記端末装置は、更に、
前記機密データを表示すると共に、利用を許可された機能を利用可能な状態で表示し、利用抑制された機能を利用不可能な状態で表示する表示手段を備える
ことを特徴とする請求項２２記載の端末装置。
【請求項２４】
前記端末装置は、更に、外部から機密データの印刷を指示する入力を受け付ける入力手段を備え、
前記通信手段は、印刷を行う許可を要求する要求情報をサーバ装置へ送信し、前記サーバ装置から機密データに係るデータを合成して暗号化した暗号化印刷用機密データを受信し、
前記復号手段は、前記暗号化印刷用機密データを復号して印刷用機密データを生成し、
前記出力手段は、前記印刷用機密データを印刷装置へ出力する
ことを特徴とする請求項２１記載の端末装置。
【請求項２５】
前記端末装置は、更に、
外部から前記第２暗号化機密データの保存を指示する入力を受け付ける入力手段と、
前記第２暗号化機密データを記憶する機密データ記憶手段を備え、
前記通信手段は、前記第２暗号化機密データの保存要求を前記サーバ装置へ送信し、前記第２暗号化機密データを受信すると、前記機密データ記憶手段に書き込み、
前記復号手段は、前記第２暗号化機密データの復号処理を抑制する
ことを特徴とする請求項２１記載の端末装置。
【請求項２６】
前記記録手段は、前記端末装置に着脱可能な、可搬型の記録媒体である
ことを特徴とする請求項２５記載の端末装置。
【請求項２７】
前記通信手段は、前記機密情報の利用を許可する期間である有効期限を付加した前記第２暗号化機密データを受信し、
前記端末装置は、更に、
外部から、前記機密データ記憶手段に記憶している前記第２暗号化機密データの利用を示す入力を受け付けると、前記有効期限が利用を許可する期間内であるか否かを判断する判断手段と、
前記判断手段が期間内であると判断する場合に、第２暗号化機密データの利用を許可し、期間外であると判断する場合に、機密データの利用を抑制する制限手段とを備え、
前記復号部は、前記制限手段が利用を許可した場合に、前記第２暗号化機密データを復号する
ことを特徴とする請求項２５記載の端末装置。
【請求項２８】
前記記録手段は、前記端末装置に着脱可能な、可搬型の記録媒体である
ことを特徴とする請求項２１記載の端末装置。
【請求項２９】
複数の端末装置から利用可能な機密データを管理するサーバ装置で利用される機密情報管理方法であって、
前記サーバ装置は、
利用者に対して配布された利用者秘密鍵に対応する利用者公開鍵を保持する保持手段と、
暗号鍵を用いて機密データを暗号化して生成した第１暗号化機密データを記憶する記憶手段とを備え、
復号手段において、復号鍵を用いて前記第１暗号化機密データを復号して機密データを生成する復号ステップと、
暗号化手段において、生成した機密データを、前記利用者公開鍵を用いて暗号化して第２暗号化機密データを生成する暗号化ステップと、
通信手段において、生成した第２暗号化機密データを送信する通信ステップと
を含むことを特徴とする機密情報管理方法。
【請求項３０】
複数の端末装置から利用可能な機密データを管理するサーバ装置で利用される機密情報管理プログラムであって、
前記サーバ装置は、
利用者に対して配布された利用者秘密鍵に対応する利用者公開鍵を保持する保持手段と、
暗号鍵を用いて機密データを暗号化して生成した第１暗号化機密データを記憶する記憶手段とを備え、
復号手段において、復号鍵を用いて前記第１暗号化機密データを復号して機密データを生成する復号ステップと、
暗号化手段において、生成した機密データを、前記利用者公開鍵を用いて暗号化して第２暗号化機密データを生成する暗号化ステップと、
通信手段において、生成した第２暗号化機密データを送信する通信ステップと
を前記サーバ装置に実行させる機能を持った機密情報管理プログラム。
【請求項３１】
複数の端末装置から利用可能な機密データを管理するサーバ装置で利用される機密情報管理プログラムを記録した、コンピュータ読み取り可能な記録媒体であって、
前記サーバ装置は、
利用者に対して配布された利用者秘密鍵に対応する利用者公開鍵を保持する保持手段と、
暗号鍵を用いて機密データを暗号化して生成した第１暗号化機密データを記憶する記憶手段とを備え、
復号手段において、復号鍵を用いて前記第１暗号化機密データを復号して機密データを生成する復号ステップと、
暗号化手段において、生成した機密データを、前記利用者公開鍵を用いて暗号化して第２暗号化機密データを生成する暗号化ステップと、
通信手段において、生成した第２暗号化機密データを送信する通信ステップと
を前記サーバ装置に実行させる機能を持った機密情報管理プログラムを記録した記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、サーバに格納した電子データを複数の端末装置から利用する機密情報管理システムに関し、特に、機密データの管理に関する。
【背景技術】
【０００２】
ネットワークやパーソナルコンピュータなどの情報処理装置が普及するにつれて、企業等での業務では、サーバにデータを保存し、複数の端末装置からネットワークを介してサーバにアクセスして、データを共用している。
この場合において、サーバに保存するデータが機密データであるときは、各端末装置から、それぞれの端末装置に割り当てられた暗号化鍵を用いて機密データを暗号化して格納するようにしている。保存データを利用する際には、それぞれの端末装置に割り当てられている復号鍵を用いて復号する。
【０００３】
特許文献１には、上記技術を利用する際に、暗号化鍵の漏洩を防止しつつ、新たな暗号化鍵を登録する技術が開示されている。
【特許文献１】特開２００２−１４９６０８号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、上記技術では、ユーザやデータ量が増えるほど、多くの記憶容量が必要となる。また、複数のユーザが機密データを共用する場合、機密データをそれぞれの暗号化鍵を用いて暗号化して保存するため、サーバには、同一内容の暗号化データが重複して格納されることになり、記憶領域を有効に利用できていない。
そこで本発明はかかる問題点に鑑みてなされたものであり、データの機密性を保持しつつ、記憶領域を有効に利用することが出来る機密情報管理システムを提供することを目的とする。
【課題を解決するための手段】
【０００５】
上記目的を達成するために本発明は、サーバ装置が保持する機密データを複数の端末装置の利用に供する機密情報管理システムであって、利用者に対して配布された利用者公開鍵を保持し、暗号鍵を用いて機密データを暗号化して生成した第１暗号化機密データを記憶しており、復号鍵を用いて前記第１暗号化機密データを復号して機密データを生成し、生成した機密データを、前記利用者公開鍵を用いて暗号化して第２暗号化機密データを生成し、生成した第２暗号化機密データを送信するサーバ装置と、前記利用者公開鍵に対応する利用者秘密鍵を、書き換え不可能領域に記録している記録手段と、前記第２暗号化機密データを受信し、前記記録手段から前記利用者秘密鍵を読み出し、当該利用者秘密鍵を用いて前記第２暗号化機密データを復号して機密データを生成する端末装置とから構成されることを特徴とする機密情報管理システムである。
【０００６】
また、複数の端末装置から利用可能な機密データを管理するサーバ装置であって、利用者に対して配布された利用者秘密鍵に対応する利用者公開鍵を保持する保持手段と、暗号鍵を用いて機密データを暗号化して生成した第１暗号化機密データを記憶する記憶手段と、復号鍵を用いて前記第１暗号化機密データを復号して機密データを生成する復号手段と、生成した機密データを、前記利用者公開鍵を用いて暗号化して第２暗号化機密データを生成する暗号化手段と、生成した第２暗号化機密データを送信する通信手段とから構成されることを特徴とするサーバ装置である。
【０００７】
また、サーバ装置が保持する機密情報をネットワークを介して利用する端末装置であって、前記サーバ装置に記憶している、暗号鍵を用いて機密データを暗号化して生成した第１暗号化機密データを、復号鍵を用いて復号して機密データを生成し、利用者に対して配布された秘密鍵に対応する公開鍵を用いて前記機密データを暗号化して生成された第２暗号化機密データを、前記サーバ装置から受信する通信手段と、記録手段から前記秘密鍵を読み出し、読み出した秘密鍵を用いて前記第２暗号化機密データを復号して機密データを生成する復号手段と、前記機密データを出力する出力手段とから構成されることを特徴とする端末装置である。
【発明の効果】
【０００８】
本発明は、上記構成の機密情報管理システム、サーバ装置及び端末装置である。
この構成によると、サーバ装置に保存するデータは、保存に利用する暗号鍵を用いて暗号化されるため、第１暗号化機密データのみを記憶すれば、複数の暗号化データを記憶することなく、機密データを共有することが出来るので、記憶領域を有効に利用することが出来る。また、各利用者が機密データを利用する際には、各利用者の公開鍵を用いて暗号化して送信するため、記録手段に格納している利用者秘密鍵を保持する正当な利用者のみが機密データを復号可能となり、機密性を保持することが出来る。
【０００９】
ここで、前記記憶手段は、各機密データを、機密のレベルを示す機密区分を含む属性情報と対応付けて記憶し、前記保持手段は、各利用者を識別する利用者識別子と、各利用者の機密データの利用を制限する利用レベルとを対応付けた利用者情報とを対応付けて保持し、前記サーバ装置は更に、前記通信手段が前記端末装置から機密データの利用を要求する要求情報を受信すると、前記属性情報及び前記利用者情報から、機密データを利用可能であるか否かを判断し、利用可能であると判断する場合に、利用を許可する判断手段とを備えるとしても良い。
【００１０】
この構成によると、機密のレベルと、利用者が有する権限によって、利用を制限することが出来る。
ここで、前記判断手段は更に、前記通信手段が前記端末装置から、特定のキーワードを含む機密データを検索することを示す要求及び利用者識別子を受信すると、前記識別子に対応する前記利用者情報で規定される利用レベルに基づいて、利用可能な機密のレベルを判断し、利用可能であると判断したレベルの機密データから、キーワードに合致する機密データを検索するとしても良い。
【００１１】
この構成によると、利用者が有する権限によって制限されている範囲内で、機密データを検索することが出来る。
ここで、前記通信手段が、前記端末装置から機密データの保存を示す要求情報を受信すると、前記判断手段は、前記機密データの閲覧のみを許可することを示す前記属性情報を生成し、前記通信手段は、前記機密データに前記属性情報を付加して前記端末装置へ送信するとしても良い。
【００１２】
ここで、前記端末装置は、更に、外部から前記第２暗号化機密データの保存を指示する入力を受け付ける入力手段と、前記第２暗号化機密データを記憶する機密データ記憶手段を備え、前記通信手段は、前記第２暗号化機密データの保存要求を前記サーバ装置へ送信し、前記第２暗号化機密データを受信すると、前記機密データ記憶手段に書き込み、前記復号手段は、前記第２暗号化機密データの復号処理を抑制するとしても良い。
【００１３】
この構成によると、端末装置に機密データを保存する際には、閲覧のみを許可するため、機密データの複製、印刷、更新などは行われず、機密データの漏洩を防止することが出来る。
ここで、前記記録手段は、前記端末装置に着脱可能な、可搬型の記録媒体であるとしても良い。
【００１４】
この構成によると、秘密鍵は可搬型の記録媒体に格納されているので、不正な利用者は、第２暗号化機密データが保存されている端末装置を操作しても、正当な利用者が保持する可搬型の記録媒体が無い限り、第２暗号化機密データを復号できないので、機密データを利用することが出来ない。
また、前記通信手段は、前記機密情報の利用を許可する期間である有効期限を付加した前記第２暗号化機密データを受信し、前記端末装置は、更に、外部から、前記機密データ記憶手段に記憶している前記第２暗号化機密データの利用を示す入力を受け付けると、前記有効期限が利用を許可する期間内であるか否かを判断する判断手段と、前記判断手段が期間内であると判断する場合に、第２暗号化機密データの利用を許可し、期間外であると判断する場合に、機密データの利用を抑制する制限手段とを備え、前記復号部は、前記制限手段が利用を許可した場合に、前記第２暗号化機密データを復号するとしても良い。
【００１５】
この構成によると、利用可能な期間を有効期限によって制限しているので、機密データが漏洩する可能性をより少なくすることが出来る。また、機密データを利用可能な時期を限定するので、万一漏洩しても、利用された時期を基に、漏洩した時期を特定し易くすることが出来る。
ここで、前記記憶手段は、機密データに合成する合成データを保持し、前記サーバ装置は更に、前記通信手段が前記端末装置から機密データの印刷要求を受信すると、前記合成データを前記記憶手段から取得し、前記復号手段が生成した前記機密データに前記合成データを合成して印刷用機密データを生成する合成手段を備え、前記暗号化手段は、前記印刷用機密データを暗号化するとしても良い。
【００１６】
ここで、前記記憶手段は、各機密区分に対応付けて、前記各機密区分を表す前記合成データを保持し、前記合成手段は、印刷を要求された機密データに、当該機密データの機密区分に対応する前記合成データを合成するとしても良い。
ここで、前記記憶手段は、機密データの処理に係る情報を表す前記合成データを保持し、前記合成手段は、印刷を要求された機密データに前記合成データを合成するとしても良い。
【００１７】
ここで、前記記憶手段は、処理日時、処理を行った利用者の利用者識別子及び利用者が設定した文字を前記合成データとして記憶し、前記合成手段は、前記合成データの内、１以上の合成データを合成するとしても良い。
また、前記端末装置は、更に、外部から機密データの印刷を指示する入力を受け付ける入力手段を備え、前記通信手段は、印刷を行う許可を要求する要求情報をサーバ装置へ送信し、前記サーバ装置から機密データに係るデータを合成して暗号化した暗号化印刷用機密データを受信し、前記復号手段は、前記暗号化印刷用機密データを復号して印刷用機密データを生成し、前記出力手段は、前記印刷用機密データを印刷装置へ出力するとしても良い。
【００１８】
一般に、機密データが印刷されると、利用者が機密区分を書き込んだり、機密区分を表すスタンプを押したりして、文書を管理しているが、上記構成によると、印刷の際に、サーバ装置が機密区分を表すデータを合成するため、スタンプの押し忘れ、押し間違いなど、利用者による取り扱いのミスを未然に防ぐことが出来る。また、機密区分の表示を行うことで、漏洩拡大をストップさせることが出来る。
【００１９】
また、印刷処理を行った日時、利用者などが特定できるので、万一機密データが漏洩しても、漏洩ルートの追跡を行うことが出来る。
ここで、前記記憶手段は、更に、機密データであるファイルを記憶する際に、格納先のフォルダに対応付けられている属性情報を、前記ファイルの属性情報として対応付けて記憶するとしても良い。
【００２０】
この構成によると、ファイルを機密フォルダに格納する場合、格納先のフォルダの属性情報をファイルに付与し、属性情報を引き継ぐことが出来る。
ここで、前記記憶手段は、更に、前記第１暗号化機密データの利用の履歴を示す利用ログを記憶するとしても良い。
この構成によると、利用ログを記憶しているので、機密データの利用状況を把握することが出来、万一機密データが漏洩しても、漏洩ルートを追跡することが出来る。
【００２１】
ここで、前記保持手段は、管理者に割り当てられているメールアドレスを保持し、前記通信手段は、前記利用ログを、前記メールアドレスに送信するとしても良い。
ここで、前記記憶手段は、機密データの利用者、機密データに対して行った処理内容、処理を行った日時を、前記利用ログとして記憶するとしても良い。
従来、機密データが漏洩しても漏洩に気付かない場合があった。また、漏洩を発見した際に追跡調査を行っても既に手遅れとなる場合があったが、上記構成により、利用ログが管理者に通知されるため、早急に漏洩対策を講じることが出来る。また、漏洩しても、利用者や、処理内容が通知されるので、漏洩ルートを追跡でき、漏洩の拡大を防ぐことが出来る。
【００２２】
ここで、前記記憶手段は、前記第１暗号化機密データに対して、各利用者の当該機密データの利用を許可する回数である利用可能回数を含む属性情報と、当該機密データの利用者毎の利用回数を保持し、前記サーバ装置は、更に、前記端末装置から機密データの利用要求を受け付けると、前記利用回数が前記利用可能回数より少ないか否かを判断する判断手段を備え、前記判断手段が少ないと判断する場合に、前記復号手段は、前記第１暗号化データを復号するとしても良い。
【００２３】
この構成によると、各利用者の利用回数を制限しているので、機密データの漏洩の可能性をより少なくすることが出来る。
ここで、前記保持手段は、各利用者を識別する利用者識別子を保持し、前記サーバ装置は、更に、前記端末装置から、当該端末装置の利用者識別子を含み、前記第１暗号化機密データの利用を要求する要求情報を前記通信手段が受信すると、受信した利用者識別子が、前記保持手段に保持されているか否かを判断し、保持されていると判断する場合、前記第１暗号化機密データの利用を許可し、保持されていないと判断する場合、前記第１暗号化機密データの利用を抑制する判断手段を備えるとしても良い。
【００２４】
この構成によると、利用者情報に登録されている利用者のみに、機密データの利用を許可するので、不正な第三者の利用を防止することが出来る。
また、前記通信手段は、更に、前記利用者識別子が前記保持手段に保持されている場合に、管理者端末装置に前記利用者識別子と、当該利用者識別子に識別される利用者に対する、機密データ利用の可否の問合せとを送信し、前記管理者端末から処理結果を受信し、前記判断手段は、前記処理結果が、利用許可を示す場合に、機密データの利用を許可し、利用不可能を示す場合に、機密データの利用を抑制するとしても良い。
【００２５】
この構成によると、管理者に許可を貰わなければ機密データを利用できないので、不正利用者が、機密データを利用しようとしても、管理者が許可を与えなければ、機密データを利用できないので、不正利用を防止することが出来る。
また、前記通信手段は、更に、前記利用者識別子が前記保持手段に保持されている場合に、前記端末装置に、管理者の利用者識別子の送信要求を送信し、前記通信手段が管理者の利用者識別子を受信すると、前記判断手段は、前記管理者の利用者識別子が、前記保持手段に保持されているか否かを判断し、前記利用管理手段は、前記管理者の利用者識別子が保持されていると前記判断手段が判断する場合に、前記端末装置に利用を許可し、保持されていないと判断する場合に、利用を抑制するとしても良い。
【００２６】
この構成によると、要求元の利用者IDのチェックに加えて、他の利用者の利用者IDのチェックも行うため、不正利用者が端末装置を操作するなどして機密データを利用しようとしても、他の利用者IDを取得しなければ、利用出来ないので、機密データの不正利用を防止することが出来る。
ここで、前記端末装置は、更に、機密データに対して利用可能な機能と、利用不可能な機能とを規定した利用権限情報を保持する保持手段と、受信した前記第２暗号化機密データに付されている属性情報に含む利用区分から、利用可能な機能と、利用不可能な機能とを判断する判断手段と、前記判断結果から、利用可能な機能の利用を許可し、利用不可能な機能の利用を抑制する制限手段とを備えるとしても良い。
【００２７】
また、前記端末装置は、更に、前記機密データを表示すると共に、利用を許可された機能を利用可能な状態で表示し、利用抑制された機能を利用不可能な状態で表示する表示手段を備えるとしても良い。
この構成によると、利用区分によって機能を制限するため、機密データの漏洩の可能性がある端末装置の利用可能な機能を制限することが出来る。また、表示の状態を変えることによって、利用者に利用可能な機能と不可能な機能とを知らせることが出来る。
【００２８】
ここで、前記記録手段は、前記端末装置に着脱可能な、可搬型の記録媒体であるとしても良い。
この構成によると、秘密鍵は、可搬型の記録媒体に格納されているため、記録媒体を持たない不正な第三者が端末装置を操作しても、機密データを利用することが出来ない。
【発明を実施するための最良の形態】
【００２９】
（実施例１）
以下、本発明の実施の形態について図面を用いて詳細に説明する。
１．  本発明の機密情報管理システム１の構成を、図面を参照して説明する。
機密情報管理システム１は図１に示すように、サーバ１００及び複数の端末装置２００ａ、２００ｂ・・・、２００ｃ、複数のICカード及びプリンタ４００から構成される。サーバ１００、端末装置２００ａ〜２００ｃ及びプリンタ４００は相互にＬＡＮで接続されており、一例として企業内での情報の共有に利用される。
【００３０】
端末装置２００ａ〜２００ｃは、具体的にはPCなどの電子計算機であり、それぞれLAN回線を介してサーバ１００に接続し、サーバ１００内に保存しているデータを利用する。LANへの接続はウェブブラウザなどを利用する。サーバ１００は、各端末装置２００ａ〜２００ｃから機密情報など管理するデータベースを備える。プリンタ４００は、端末装置２００ａ〜２００ｃと接続されており、出力されるデータを印刷する。
【００３１】
なお、本明細書で、端末装置２００ａ〜２００ｃを区別する必要が無い場合には、端末装置２００と呼ぶ。
図２には、サーバ１００、端末装置２００及びICカード３００の構成を示す。
以下、各構成について説明する。
１．１  ICカード３００
ICカード３００は、図２に示すように、制御部３０１、記憶部３０２及び入出力部３０３から構成される。
（１）記憶部３０２
記憶部３０２は、追記不可能領域３１２と、書込可能領域３２２とから構成される。
【００３２】
追記不可能領域３１２は、外部から読み書き出来ない耐タンパ領域であり、利用者ID、秘密鍵SK＿Ｕ及び公開鍵証明書Cert＿Uを記憶している。
利用者IDは、ICカード３００を保持する利用者に対して、機密情報管理システム１において、一意に付された識別子である。また、秘密鍵SK＿Ｕは、利用者に対して配布された鍵ペアのうちの秘密鍵である。公開鍵証明書Cert＿Uは、秘密鍵SK＿Uに対応して生成された公開鍵PK＿Ｕを含み、公開鍵PK＿Uが正当な公開鍵であることを証明するものである。なお、公開鍵証明書については公知であるので説明を省略する。
【００３３】
また、書込可能領域３２２は、端末装置２００から書き込み可能な領域である。
（２）制御部３０１、入出力部３０３
入出力部３０３は、制御部３０１の制御の下、端末装置２００との間でデータの入出力を行う。
制御部３０１は、端末装置２００から、サーバ１００の公開鍵証明書Cert＿S1を受け取ると、書込可能領域３２２へ書き込む。公開鍵証明書Cert＿S1は、サーバ１００の公開鍵PK＿S1を含む。
【００３４】
また、制御部３０１は、端末装置２００からの要求により、追記不可能領域３１２から利用者ID、公開鍵証明書Cert＿U及び秘密鍵SK＿Uを読み出し、入出力部３０３を介して端末装置２００へ出力する。また、書込可能領域３２２からサーバ１００の公開鍵PK＿S1を読み出して出力する。
１．２  端末装置２００
端末装置２００は図２に示すように、アクセス制御部２０１、情報記憶部２０２、暗号化／復号部２０３、モニタ２０４、入力部２０５、送受信部２０６及び入出力部２０７から構成される。
【００３５】
端末装置２００は、一例としてPCであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレィユニット、キーボード、マウスなどから構成されるコンピュータシステムである。
前記ＲＡＭ又は前記ハードディスクユニットには、コンピュータプログラムが記憶されている。
【００３６】
前記マイクロプロセッサが、前記コンピュータプログラムに従って動作することにより、端末装置２００は、その機能を達成する。
（１）送受信部２０６、入出力部２０７
送受信部２０６は、サーバ１００とネットワークを介してデータの送受信を行う。また、プリンタ４００に印刷用ファイルを出力する。入出力部２０７は、ICカード３００からデータを読み出す。
（２）モニタ２０４、入力部２０５
モニタ２０４は、アクセス制御部２０１の制御の基、データを表示する。入力部２０５は、具体的にはキーボードやマウスなどであり、利用者からの入力を受け付ける。
（３）暗号化／復号部２０３
暗号化／復号部２０３は、サーバ１００へ機密データを送信する際、ICカード３００から公開鍵PK＿S1を取得、取得した公開鍵PK＿S1を用いて、送信する機密データに暗号化アルゴリズムE1を施して暗号化機密データを生成する。
【００３７】
ここで暗号化アルゴリズムE1は一例としてRSAである。RSAについては公知であるので説明を省略する。
また、暗号化／復号部２０３は、サーバ１００から受信する暗号化機密データ（第2暗号化機密データとも称する）に、ICカード３００から読み出す利用者の秘密鍵SK＿Uを用いて復号アルゴリズムD1を施して復号し、平文の機密データを生成する。なお、復号アルゴリズムD1とは、暗号化アルゴリズムE１の逆の処理を行うアルゴリズムである。
（４）情報記憶部２０２
情報記憶部２０２は、実データを記憶する領域を備える。また、図３に示す利用権限情報を記憶している。利用権限情報は、データの利用可能な機能を利用区分として分類したものである。各利用区分には、利用可能機能として、閲覧、印刷、保存及び編集が対応付けられており、各利用区分において、○が対応している機能は利用可能であることを示し、×が対応している機能は利用不可であることを示す。
（５）アクセス制御部２０１
アクセス制御部２０１は、利用者が端末装置２００を介してサーバ１００を利用する際に、各部を制御する。サーバ１００の利用としては、フォルダ設定、利用者設定、ファイルの登録、ファイル閲覧、ファイル印刷、ファイル保存、保存ファイル呼出及び検索がある。各処理を行う際、また、サーバ１００へデータを送信する際には、ICカード３００が接続されているか否かを判断し、接続されていれば、ICカード３００から利用者IDを読み出して、読み出した利用者IDを各処理の要求と共にサーバ１００へ送信する。ICカード３００が接続されていなければ、ICカードの接続を要求する要求画面をモニタ２０４に表示し、接続されるまで待機する。
【００３８】
ここで、ファイル登録、フォルダ設定、属性情報変更及び利用者情報変更などの処理は、システムの管理者などに許可された処理であり、接続されたICカードの利用者IDをサーバ１００へ送信して利用が許可された場合のみ、利用可能である。
アクセス制御部２０１は、入力部２０５を介してフォルダ設定、利用者設定、ファイル登録などの指示を示す指示情報の入力を受け付けると、サーバ１００に各指示情報が示す要求を送信し、サーバ１００から許可情報を受信すると、各設定及び登録の処理を実行する。
【００３９】
また、ファイル閲覧、ファイル印刷、ファイルの保存、編集、保存ファイルの呼び出し及び検索など、サーバ１００に登録したファイルの一般利用処理についても、サーバ１００から許可された場合のみ利用可能となる。
また、アクセス制御部２０１は、入力部２０５から機密データのファイルの閲覧を指示する指示情報の入力を受け付けると、サーバ１００にファイル閲覧要求を送信する。サーバ１００での処理でファイルの閲覧が許可されると、サーバ１００から暗号化されたファイルが送信される。送受信部２０６を介して受信する暗号化ファイルには、それぞれ属性情報が付加されている。属性情報は、付加されているファイルの属性を示す情報であり、詳しい構成については後述するが、利用可能な機能を規定する利用区分を含む。アクセス制御部２０１は、情報記憶部２０２に記憶している利用権限情報から、受信ファイルに付加されている利用区分と同じ利用区分の行をチェックし、利用可能な機能と、利用不可能な機能とを判断する。利用可能と判断した機能については、通常通りの利用を許可し、利用不可能であると判断した機能については、利用を抑制する。
【００４０】
具体的には、受信ファイルに付加されている利用区分が「３」である場合、利用権限情報の利用区分が３の行をチェックする。図３から、閲覧及び印刷が利用可能な機能であり、保存及び編集は利用不可能な機能であることが分かる。この場合、アクセス制御部２０１は、閲覧可能であるので、受信ファイルを開く。また、ファイルをモニタ２０４に表示する際の表示例を図４に示す。利用可能機能である「印刷」は、通常の表示として、ボタン５０２のように濃い色彩で表示し、利用不可能な「保存」は、ボタン５０１のように、薄い色彩で表示する。
【００４１】
上記のようなファイルを開いている状態で、利用者が入力部２０５を操作して印刷を選択した場合、アクセス制御部２０１は、送受信部２０６を介してサーバ１００へファイル印刷要求を送信する。サーバ１００から印刷の許可及び暗号化印刷用ファイルを受信し、暗号化／復号部２０３によって復号されて生成した印刷用ファイルを、送受信部２０６を介してプリンタ４００へ出力して印刷処理を行う。保存が選択された場合及び、編集として入力を受けた場合には、保存処理及び編集処理を行わない。
【００４２】
なお、ファイルの端末装置２００内への保存が利用可能機能である場合、アクセス制御部２０１は、サーバ１００へ保存要求を送信し、サーバ１００から暗号化保存用ファイルを受信すると、暗号文のまま、情報記憶部２０２へ記憶する。
入力部２０５から、保存したファイルの呼び出しを指示する指示情報の入力を受け付けると、サーバ１００へファイルの呼出許可要求を送信する。サーバ１００から現在日時を含む許可情報を受信すると、アクセス制御部２０１は、読み出しファイルに付加されている属性情報に含む有効期限をチェックし、サーバ１００から受信した現在日時が有効期限内であれば、指示情報で指定されたファイルを読み出す。有効期限を過ぎている場合には、ファイルの読み出しは行わない。なお、有効期限を過ぎたファイルは消去するとしても良い。
【００４３】
ここで、端末装置２００からファイルを指定する場合、フォルダを開いてファイルを指定しても良いし、サーバ１００に保存しているファイルから検索しても良い。検索する場合、入力部２０５から検索するファイルのファイル名などを検索キーワードとして入力を受け付け、入力された検索キーワードを含む検索要求を送受信部２０６を介して送信する。サーバ１００から検索結果を受信すると、モニタ２０４にファイル情報として表示する。
１．３  サーバ１００
サーバ１００は、アクセス制御部１０１、認証部１０２、暗号化／復号部１０３、暗号化／復号部１０４、フォルダ・ファイル管理部１０５、利用者情報管理部１０６、合成部１０７、検索部１０８、情報記憶部１０９、送受信部１１０及び計時部１１１から構成される。
【００４４】
サーバ１００は、具体的には、端末装置２００と同様のコンピュータシステムであり、前記ＲＡＭ又は前記ハードディスクユニットに記憶されているコンピュータプログラムに従って前記マイクロプロセッサが、動作することにより、サーバ１００は、その機能を達成する。
以下、各構成について説明する。
（１）アクセス制御部１０１、送受信部１１０、計時部１１１
送受信部１１０は、アクセス制御部１０１の制御の基、端末装置２００とデータの送受信を行う。
【００４５】
送受信部１１０が、端末装置２００から、フォルダ設定、利用者設定、ファイル登録、ファイル閲覧、ファイル印刷、ファイル保存、保存ファイル呼出又は検索の要求を受け付け、認証部１０２が要求された機能を利用可能であると判断した場合に、アクセス制御部１０１は、各部を制御し、要求に指定される処理を行う。
アクセス制御部１０１は、フォルダ又はファイルの設定が利用可能であると判断された場合に、設定されたデータを情報記憶部１０９へ書き込む。この際、実データ記憶領域１４９に格納されるファイルは、暗号化／復号部１０４において、暗号化して格納される。また、アクセス制御部１０１は、格納するデータの機密の度合いを示す機密区分によってデータを分類し、インデックス領域１３９に格納する。また、アクセス制御部１０１は、各機密ファイルについて、利用者毎に保存処理を行った回数を利用回数としてカウントし、カウントした回数を利用ログとして記憶する。
【００４６】
また、機密データの利用ログを管理し、端末装置２００へ機密ファイルの保存を行うと、後述の利用者情報からシステム管理者のメールアドレスを読み出し、管理者の端末装置へ利用ログを送信する。
また、端末装置２００への機密データの送信を制御する。
計時部１１１は、現在の日時を計時し、フォルダ・ファイル管理部１０５及びアクセス制御部１０１へ出力する。
（２）情報記憶部１０９
情報記憶部１０９は、フォルダ・ファイル情報領域１２９、利用者情報領域１１９、インデックス領域１３９及び実データ記憶領域１４９から構成される。
【００４７】
（Ａ）実データ記憶領域１４９は、フォルダ、ファイルなどの実データを記憶する。なお、記憶するファイルが機密データの場合は、暗号化／復号部１０４によって暗号化された暗号文（第1暗号化機密データとも称する）の状態で記憶する。
（Ｂ）インデックス領域１３９は、実データ記憶領域１４９に記憶している各ファイルの実データを、機密レベル毎に分類した検索インデックスを記憶する。  （Ｃ）フォルダ・ファイル情報領域１２９は、（ａ）機密区分情報、（ｂ）印刷設定情報、（ｃ）利用区分及び（ｄ）各フォルダ及びファイルの属性情報を記憶する。
【００４８】
（ａ）機密区分情報は、図５に示すように、各機密区分と機密レベルと利用条件とを対応付けたものである。機密区分は、機密の度合いを分類したものであり、機密レベルは、機密の内容を規定したものである。機密情報の利用の可否は、後述する、利用者に対する機密アクセスレベルによって決定されるが、機密利用条件は、機密アクセスレベルに更に条件を加えて、利用を制限するものである。一例として、機密レベルが部門外秘の場合、利用条件が「部門の一致」なので、機密区分「２」を付与されているファイル又はフォルダは、当該フォルダ又はファイルの属性情報に設定されている部門と同一の部門内の利用者のみに利用を許可され、部門外の利用者は、利用を禁止される。
【００４９】
（ｂ）印刷設定情報は、図６（ａ）スタンプ印刷設定、（ｂ）バックグラウンド印刷設定、及び（ｃ）付加情報印刷設定から構成される。これらは、ファイルを印刷する際に、ファイルのデータに合成する情報である。
スタンプ印刷設定は、印刷するファイルの機密区分をスタンプ文字で知らせる情報であり、各機密区分に自動スタンプ文字と埋め込み文字と印刷結果とを対応付けて構成される。自動スタンプ文字と埋め込み文字とは、印刷されるスタンプ文字のデータである。自動スタンプ文字は、デフォルト設定であり、埋め込み文字は利用者が自由に設定可能な文字である。埋め込み文字が設定されていない場合は、自動スタンプ文字が合成され、埋め込み文字が設定されている場合は、自動スタンプ文字に埋め込み文字を埋め込んだスタンプ文字が合成される。印刷結果は、ファイルが印刷される際に、実際に印刷される画像データである。
【００５０】
バックグラウンド印刷設定は、印刷するファイルの機密区分をバックグラウンド文字で知らせる情報であり、各機密区分に自動印刷文字と印刷文字と印刷結果とを対応付けて構成される。印刷文字は、利用者が自由に設定可能な文字であり、自動印刷文字は、デフォルト設定であり、印刷文字が設定されていない場合に、自動で背景に印刷される文字である。印刷結果は、ファイルが印刷される際に、実際に印刷される画像データである。
【００５１】
付加情報印刷設定は、印刷するファイルの管理情報を付加する情報であり、各付加区分に付加情報と印刷文字とを対応付けて構成される。付加情報は、ファイルに合成する情報を示し、印刷文字は、付加情報と共に印刷する文字データを示す。
（ｃ）利用区分は、図７に示すように、各フォルダ又はファイルに対して、利用者の機密アクセスレベルと、利用区分とを対応付けたものである。利用者の機密アクセスレベルは、機密情報の利用に関する利用者の権限をレベルで規定したものであり、詳細は後述する。利用区分は、利用権限情報の利用区分と対応しており、各機密アクセスレベルの利用者の、フォルダ又はファイルにおける利用可能な機能を規定する。一例として、図７に示すファイルCの場合、機密アクセスレベルが「３」の利用者は、利用区分が「３」なので、図３の利用権限情報の利用区分「３」の行が適用される。これにより、ファイルCのデータの閲覧及び印刷は許可されているが、保存及び編集は、禁止されている。
【００５２】
（ｄ）属性情報は、各フォルダ及びファイルに付加される情報である。図８に示すように、機密区分、期限、利用回数、有効期限、スタンプ文字、バックグラウンド文字、付加区分、製作者、部門、製作日時、格納場所などを含み、利用者によって設定される。なお、属性情報の設定は、後述の管理者権限設定情報によって、利用可能であると判断された利用者に限る。
【００５３】
機密区分は、当該属性情報が付加されているフォルダ又はファイルに対する機密区分である。また、期限は、対応するフォルダ又はファイルの機密を守らなければならない期限を示す。利用回数は、各利用者に定められた印刷可能な回数であり、この回数を超えてフォルダ又はファイルを印刷することは出来ない。フォルダ・ファイル管理部１０５は、各利用者の利用回数を示す利用ログも記憶する。有効期限は、端末装置２００に保存された場合に、端末装置２００で利用可能な期限を定めたものである。なお、ここでは保存した日からの利用可能な期間を指定しているが、期限日自体を指定するものであっても良い。
【００５４】
スタンプ文字及びバックグラウンド文字は、印刷設定情報のスタンプ文字及びバックグラウンド文字を合成するか否かを示す。付加区分は合成する何れの付加区分で設定された情報を合成するかを示す。
製作者は、当該属性情報を付加されているフォルダ又はファイルの製作者の利用者IDである。製作者、部門、製作日時は、フォルダ又はファイルが製作され、属性情報が付加される際に、認証部１０２によって設定される。
【００５５】
格納場所は、フォルダ又はファイルが格納される場所を示す情報であり、上位のフォルダから順に格納しているフォルダが書き込まれている。
利用区分は、フォルダ・ファイル情報領域１２９に記憶されている時には設定されていない。属性情報が付されているファイルが端末装置２００へ送信される際に、アクセス制御部１０１によって設定される。端末装置２００側では、この利用区分を参照して、利用権限情報から、利用可能な機能を判断する。
【００５６】
また、デフォルトの属性情報を記憶しており、この属性情報は、フォルダ又はファイルを登録する場合に、格納する上位フォルダが存在しないとき、登録するフォルダ又はファイルの属性情報として設定されるものとして予め格納されている。
また、端末装置２００から属性情報を設定する際に入力する項目である設定項目も記憶されている。
【００５７】
（Ｄ）利用者情報領域１１９は、（ａ）利用権限情報、（ｂ）利用者情報（ｃ）管理者権限設定情報、（ｄ）管理者アドレス、（ｅ）公開鍵証明書Cert＿S1及び（ｆ）検索範囲制限情報を記憶する。
（ａ）利用権限情報は、端末装置２００が保持する利用権限情報と同様である。
（ｂ）利用者情報は、図９に示すように、各利用者IDに、機密アクセスレベル、利用者属性及び公開鍵証明書を対応付けて構成される。機密アクセスレベルは、機密情報の利用に関する利用者のレベルを示し、例えば、システム管理者などは機密アクセスレベルが高く、機密情報を利用する権限が広い。また、機密アクセスレベルが低い一般利用者は、機密情報を利用する権限が狭く、利用できる機密情報に制限がある。利用者属性は、利用者の所属する部門、チームなど、利用者に関する情報が登録される。公開鍵証明書は、利用者の公開鍵を含み、利用者が保持するICカードに記録されている公開鍵証明書と同様のものである。
【００５８】
（ｃ）管理者権限設定情報は、図１０に示すように、各機密アクセスレベルに、ファイル登録、フォルダ設定、属性情報変更及び利用者情報変更を対応づけて構成され、各機密アクセスレベルに対応する利用者が利用可能な機能を規定している。各機密アクセスレベルにおいて、○が対応している機能は利用可能であり、×が対応している機能は利用不可能であることを示す。
【００５９】
（ｄ）管理者アドレスは、管理者のＥメールアドレスであり、このアドレスは、機密情報が端末装置２００に保存された場合に利用ログを送信する場合の送信先のアドレスである。
（ｅ）公開鍵証明書Cert＿S1は、サーバ１００の公開鍵PK＿S1を含む。公開鍵PK＿S1は、サーバ１００の公開鍵であり、公開鍵証明書Cert＿S1は、公開鍵PK＿S1の正当性を証明するものである。
【００６０】
（ｆ）検索範囲制限情報は、図１１に示すように、各機密アクセスレベルに検索可能機密区分を対応付けて構成される。検索可能機密区分は、対応する機密アクセスレベルの利用者が検索可能な範囲を示している。例えば、機密アクセスレベル「３」には、検索可能機密区分「２」が対応しているため、機密アクセスレベルが「３」の利用者が機密データを検索する場合には、全データのうち、機密区分が「２」以下の機密データの中から検索が行われ、機密区分が「１」のデータは検索の対象とならない。
（３）認証部１０２
認証部１０２は、端末装置２００から要求される、管理者設定処理及び一般利用処理について、要求元の利用者が利用可能であるか否かを判断し、判断結果をアクセス制御部１０１へ出力する。
【００６１】
（ａ−１）認証部１０２は、端末装置２００から、ファイル登録、フォルダ設定、属性情報変更及び利用者情報変更などの管理者設定処理の要求を受け付けた場合、管理者設定処理を利用する権限があるか否かを判断する。以下、図１２を参照して、権限の有無判断について説明する。
認証部１０２は、要求と共に要求元の端末装置２００に接続されているICカードに記録されている利用者IDを受け取る。受け取った利用者IDが、図９に示す利用者情報に登録されているか否かを判断する（ステップＳ５０１）。登録されていない場合（ステップＳ５０２でNO）、判断結果として「利用不可」をアクセス制御部１０１へ出力する（ステップＳ５０７）。
【００６２】
登録されている場合、利用者情報から、受信した利用者IDに対応する機密アクセスレベルをチェックする（ステップＳ５０３）。次に、図１０に示す管理者権限設定情報の、チェックした機密アクセスレベルと、要求された機能とに対応する欄が〇か×かをチェックする（ステップＳ５０４）。〇の場合、利用権限があるものと判断し（ステップＳ５０５でYES）、判断結果として「利用可能」を出力する（ステップＳ５０６）。×の場合、利用権限が無いものと判断し（ステップＳ５０５でNO）、判断結果として「利用不可」を出力する（ステップＳ５０７）。
【００６３】
以上のようにして、要求された機能の利用権限の有無を判断する。
（ａ−２）ここで、利用権限の有無の判断の具体例を説明する。
利用者IDが「A０１２」の利用者に、利用者情報の変更を要求された場合の処理について、図１２、１３を参照して説明する。
まず、ステップＳ５０１で認証部１０２は、利用者ID「A０１２」が利用者情報に登録されているか否かを判断する。図１３（ａ）のように、「A０１２」は登録されているので、ステップＳ５０３で、対応する機密アクセスレベルをチェックし、「２」であることがわかる。
【００６４】
次に、ステップＳ５０４で、図１３（ｂ）のように、機密アクセスレベル「２」と、「利用者情報変更」とに対応する欄をチェックすると、対応する欄が「×」なので、この利用者は、利用者情報の変更の権限が無いことが分かり、ステップＳ５０７で「利用不可」を出力する。
ここで、例えば、利用者ID「Ｅ０７８」の利用者から、利用者情報の変更を要求された場合、図１３（ａ）で利用者ID「Ｅ０７８」に対応する機密アクセスレベルは、「１」であり、図１３（ｂ）で管理者権限設定情報の機密アクセスレベル「１」と、「利用者情報変更」とに対応する欄は、「〇」なので、この利用者は、利用者情報の変更の権限が有ることが分かり、ステップＳ５０６で「利用可能」を出力する。
【００６５】
（ｂ−１）認証部１０２は、端末装置２００から、機密データの閲覧、印刷、保存及び編集などの一般利用処理の要求を受け付けた場合、利用可能か否かを判断する。以下に、図１４を参照して利用可否の判断について説明する。
認証部１０２は、要求と共に受け取る利用者IDが、図９に示す利用者情報に登録されているか否かを判断し（ステップＳ９９７）、登録されていない場合（ステップＳ９９０でNO）、判断結果として「利用不可」を出力し、処理を終了する。登録されている場合（ステップＳ９９０でYES）、利用者情報から、受け取った利用者IDに対応する機密アクセスレベル及び利用者属性をチェックする（ステップＳ９９１）。
【００６６】
また、認証部１０２は、利用を指定されたファイルの属性情報から、当該ファイルの機密区分をチェックし、図５に示す機密区分情報から、チェックした機密区分に対応する利用条件をチェックする（ステップＳ９９２）。
次に、利用条件が有る場合（ステップＳ９９３で有）、ステップＳ９９２でチェックした利用者属性が、利用条件に適合しているか否かを判断する（ステップＳ９９４）。なお、要求が印刷で、属性情報に利用回数が設定されている場合、そのファイルの利用ログから、要求元の利用者の利用回数が、属性情報に設定されている利用回数未満であるか否かも判断する。適合してない場合（ステップＳ９９４でNO）、判断結果として「利用不可」を出力し（ステップＳ９９８）、利用可否判断処理を終了する。また、利用条件が無い場合（ステップＳ９９３で無）及び利用条件に適合している場合（ステップＳ９９４でYES）、利用可否判断処理を継続する。
【００６７】
認証部１０２は、指定ファイルの利用区分から、ステップＳ９９２でチェックした機密アクセスレベルに対応する利用区分をチェックする（ステップＳ９９５）。利用権限情報から、ステップＳ９９５でチェックした利用区分と、要求された機能とに対応する欄が〇か×かをチェックする（ステップＳ９９６）。〇の場合（ステップＳ９９９でYES）、判断結果として「利用可能」を出力する（ステップＳ１０００）。×の場合（ステップＳ９９９でNO）、判断結果として「利用不可」を出力する（ステップＳ９９８）。
【００６８】
以上のようにして、要求された機能の利用可否を判断する。
（ｂ−２）ここで、利用可否判断の具体例として、利用者IDが「B０３４」の利用者に、「ファイルC」の「閲覧」を要求された場合の処理について、図１４、１５を参照して説明する。
まず、ステップＳ９９７で認証部１０２は、要求と共に受け取った利用者ID「Ｂ０３４」が利用者情報に登録されているか否かを判断し、図１５の（ａ）のように、「Ｂ０３４」が登録されているので、ステップＳ９９１で、その利用者ID「０３４」に対応する機密アクセスレベル「３」と、利用者属性とをチェックする。
【００６９】
次に、ステップＳ９９２で、図１５（ｂ）のように、指定されたファイルＣの属性情報から、ファイルＣの機密区分が「２」であることが分かり、図１５（ｃ）のように、機密区分情報の機密区分「２」に対応する利用条件として「部門の一致」があることが分かる。
利用条件が「部門の一致」なので、ステップＳ９９４で、利用者属性の部門とファイルＣの部門とを比較し、何れも「企画」なので、条件を満たしていることが分かる。
【００７０】
次に、ステップＳ９９５で、ファイルＣの利用区分の、機密アクセスレベル「３」に対応する利用区分が「３」なので、図１５（ｅ）のように、利用権限情報から、利用区分「３」に対応し、要求された機能である「閲覧」に対応する欄を見ると、「〇」なので、利用者ID「Ｂ０３４」の利用者は、ファイルＣを利用可能であると判断され、認証部１０２は、判断結果として「利用可能」を出力する。
（４）利用者情報管理部１０６
利用者情報管理部１０６は、認証部１０２によって、要求元の利用者が、利用者情報の設定の権限を有すると判断した場合に、利用者情報の設定を行う。利用者情報の設定処理は後述する。
（５）フォルダ・ファイル管理部１０５
端末装置２００によって、フォルダの設定、ファイルの登録及び属性情報の変更の要求がされた場合に、認証部１０２によって、要求元の利用者が、要求された機能が利用可能であると判断されたとき、フォルダ・ファイル管理部１０５は、属性情報の設定、更新の処理を行う。
【００７１】
フォルダ又はファイルを設定、登録する場合、そのフォルダ又はファイルを格納する上位フォルダの属性情報を、新たに登録するフォルダ又はファイルの属性情報として設定する。また、上位フォルダが存在しない場合、フォルダ・ファイル情報領域１２９に記憶しているデフォルトの設定を、新しいフォルダ又はファイルの属性情報として設定する。
（６）暗号化／復号部１０３
暗号化／復号部１０３は、サーバ１００の秘密鍵SK＿S1を保持している。
【００７２】
端末装置２００がサーバ１００の公開鍵PK＿S1を用いて機密データを暗号化して生成した暗号化機密データを、送受信部１１０を介して受信した場合に、暗号化／復号部１０３は、受信した暗号化機密データに、秘密鍵SK＿S1を用いて復号アルゴリズムD1を施して復号し、平文の機密データを生成する。
また、端末装置２００に機密データを送信する際、利用者情報管理部１０６から利用者の公開鍵PK＿Ｕを取得し、公開鍵PK＿Ｕを用いて送信する機密データに暗号化アルゴリズムE1を施して暗号文の暗号化機密データ（第２暗号化機密データ）を生成する。
（７）暗号化／復号部１０４
暗号化／復号部１０４は、サーバ１００の公開鍵PK＿S2及び秘密鍵SK＿S2を保持している。
【００７３】
暗号化／復号部１０４は、情報記憶部１０９に格納する機密データを暗号化／復号部１０３から受け取り、公開鍵PK＿S2を用いて暗号化し、暗号化機密データ（第１暗号化機密データ）を情報記憶部１０９へ書き込む。また、端末装置２００へ機密データを送信する場合に、情報記憶部１０９から読み出した暗号化機密データ（第1暗号化機密データ）を、秘密鍵SK＿S2を用いて復号し、平文の機密データを生成する。生成した機密データは、暗号化／復号部１０３へ出力する。
【００７４】
なお、暗号化／復号部１０４は公開鍵暗号を利用して機密データの暗号化及び復号を行っているが、共通鍵暗号を利用して暗号化及び復号するとしても良い。
（８）合成部１０７
合成部１０７は、送受信部１１０が端末装置２００から機密データであるファイルの印刷要求を受信した場合に、印刷を指定された平文のファイルを暗号化／復号部１０４から受け取り、当該ファイルに付加されている属性情報に従い、図６に示す印刷設定情報をファイルのデータに合成する。
【００７５】
図１６に文書の印刷例を示す。属性情報の、機密区分が「１」で、スタンプ文字「無」、バックグラウンド文字「有」、付加区分「なし」のファイルの印刷例を（ａ）に示す。この場合、印刷設定情報のバックグラウンド印刷設定の機密区分１には、印刷文字の設定が無いので、自動印刷文字を適用する。合成部１０７は、暗号化／復号部１０４が指定ファイルを復号して生成した平文のデータに、自動印刷文字を合成して図１６（ａ）に示す、バックグラウンド文字５１１を合成した印刷用ファイルを生成する。
【００７６】
また、上記と同様に、属性情報が、スタンプ文字「有」、バックグラウンド文字「有」、付加区分「なし」のファイルが指定された場合、（ｂ）に示すように、スタンプ文字５１３及びバックグラウンド文字５１２が合成されて、印刷用ファイルが生成される。また、属性情報の、機密区分が「２」で、スタンプ文字「有」、バックグラウンド文字「有」、付加区分「２」のファイルが指定された場合、（ｃ）に示すように、スタンプ文字５１５、バックグラウンド文字５１４及び付加情報５１６が合成され、印刷用ファイルが生成される。
【００７７】
このようにして生成した印刷用ファイルを暗号化／復号部１０３へ出力する。
（９）検索部１０８
検索部１０８は、端末装置２００から検索要求として指定された検索キーワードのファイルを検索する。検索する際には、利用者情報から、要求元の利用者IDが対応する機密アクセスレベルを取得し、検索範囲制限情報から、取得した機密アクセスレベルに対応する検索可能機密区分をチェックし、その機密区分以下の範囲で検索インデックスから、指定された検索キーワードのファイルを検索する。検索結果をアクセス制御部１０１へ出力する。
２．  機密情報管理システム１の動作
２．１  基本の動作
（１）端末装置２００
端末装置２００の基本の動作について、図１７を参照して説明する。
【００７８】
入力部２０５が利用者からサーバ１００への接続を指示する指示情報の入力を受け付けると（ステップＳ６０１）、アクセス制御部２０１は、入出力部２０７を介して、ICカード３００が接続されているか否かを判断する（ステップＳ６０２）。ICカード３００が接続されていない場合（ステップＳ６０２でNO）、モニタ２０４に、要求画面を表示する（ステップＳ６０３）。ICカード３００が挿入されている場合、ICカード３００から利用者IDを取得する（ステップＳ６０４）。送受信部２０６は、サーバ１００への接続要求と、取得した利用者IDとをサーバ１００へ送信する（ステップＳ６０５）。
【００７９】
サーバ１００からの処理結果を受信すると（ステップＳ６０６）、アクセス制御部２０１は、結果を解析し（ステップＳ６０７）、結果がエラーを示す場合、モニタ２０４に、サーバ１００にて利用不可能と判断されたことを示すエラー画面を表示し（ステップＳ６０８）、次の入力を受け付けるまで待機する。結果が利用許可の場合（ステップＳ６０７で許可）、サーバ１００の利用が許可された旨及び以降の処理項目をモニタ２０４に表示し（ステップＳ６０９）、利用者からの入力を受け付けるまで待機する（ステップＳ６１０）。
【００８０】
利用者から入力を受け付けると（ステップＳ６１０でYES）、入力された指示内容を解析する（ステップＳ６１１）。指示内容が機能指定の場合、指定された各処理を行い（ステップＳ６１２）各処理が終了すると、さらに、入力を受け付けるまで待機する（ステップＳ６１０）。指示内容が終了の場合（ステップＳ６１１で終了）、サーバ１００との接続を切り、処理を終了する。
【００８１】
なお、入力部２０５から端末装置２００内での文書作成を指示する指示情報が入力されると、通常通り、端末装置２００内で文書の作成処理を行う。
（２）サーバ１００の動作
サーバ１００の基本の動作について、図１８を参照して説明する。
送受信部１１０を介して端末装置２００とネットワークの接続要求と利用者IDとを受信すると（ステップＳ６２１）、認証部１０２は、受信した利用者IDが、利用者情報領域１１９に格納している利用者情報に登録されているか否かを判断し（ステップＳ６２２）、判断結果をアクセス制御部１０１へ出力する。アクセス制御部１０１は、判断結果が登録されていないことを示す場合（ステップＳ６２３でNO）、送受信部１１０を介して、利用不可能を示すエラー情報を端末装置２００へ送信し（ステップＳ６２４）、接続を切って（ステップＳ６２９）、処理を終了する。登録されている場合は（ステップＳ６２３でYES）、利用許可情報を送信し（ステップＳ６２５）、以降の処理を継続し、端末装置２００からの要求を受信するまで待機する（ステップＳ６２６）。
【００８２】
端末装置２００から指示情報を受信すると（ステップＳ６２６でYES）、受信した内容を解析し、内容が、一般文書の利用である場合は（ステップＳ６２７）、受信した通りの処理を行う。指示情報が機能指定の場合、指定された各処理を行い（ステップＳ６２８）、処理が終了すると、更に端末装置２００から指示情報の受信まで待機する。指示情報が終了を示す場合は接続を切り（ステップＳ６２９）、処理を終了する。
２．２  フォルダ設定処理
フォルダ設定処理について、図１９，２０を参照して説明する。
【００８３】
外部から入力部２０５を介してフォルダ設定の指示及び格納するフォルダ又は、フォルダの属性情報変更の指示及び変更を希望するフォルダ名とを受け付けると（ステップＳ６４１）、端末装置２００のアクセス制御部２０１は、ICカード３００が接続されているか否かを判断し（ステップＳ６４２）、接続されていなければ、要求画面をモニタ２０４に表示する（ステップＳ６４３）。接続されていれば、ICカード３００から利用者IDを取得し（ステップＳ６４４）、取得した利用者IDを含むフォルダ設定要求を、送受信部２０６を介して送信する（ステップＳ６４５）。
【００８４】
端末装置２００からフォルダ設定要求又は属性情報変更の要求を受信すると、アクセス制御部１０１は、受け取った利用者IDを認証部１０２へ出力し、利用可能であるか否かを判断するように認証部１０２へ指示する。
認証部１０２は、図９に示す利用者情報と、図１０に示す管理者権限情報とから、前述のようにしてフォルダ設定機能又は属性情報変更機能が利用可能であるか否か管理者権限の有無を判断し（ステップＳ６７７）、判断結果をアクセス制御部１０１へ出力する。
【００８５】
アクセス制御部１０１は、判断結果が「利用不可」を示す場合（ステップＳ６４７でNO）、利用できない旨を通知するエラー情報を生成し（ステップＳ６４８）、端末装置２００へ送信し（ステップＳ６４９）、フォルダ設定処理を終了する。
アクセス制御部１０１は、受け取った判断結果が「利用可能」を示す場合（ステップＳ６４７でYES）、端末装置２００から受信した要求内容が、フォルダの    新規作成であれば、アクセス制御部１０１は、フォルダの新規作成を示す指示情報をフォルダ・ファイル管理部１０５へ出力する。
【００８６】
フォルダ・ファイル管理部１０５は、情報記憶部１０９のフォルダ・ファイル情報領域１２９から、格納を指定されたフォルダである上位フォルダの属性情報を読み出し、計時部１１１から現在日時を取得し、読み出した属性情報の製作日時を取得した現在日時に更新し、格納場所を上位フォルダの下に更新し、新規フォルダの属性情報として設定し、フォルダ・ファイル情報領域１２９へ格納する（ステップＳ６５１）。なお、上位フォルダが存在しない場合は、デフォルトの属性情報を設定する。フォルダ・ファイル管理部１０５による設定が完了するとアクセス制御部１０１は、フォルダ設定の完了通知を端末装置２００へ送信する（ステップＳ６５２）。
【００８７】
受信した要求内容が、属性情報の変更であれば、アクセス制御部１０１は、フォルダ・ファイル管理部１０５へ、属性情報の変更指示を出力する。フォルダ・ファイル管理部１０５は、フォルダ・ファイル情報領域１２９の、変更を指定されたフォルダの属性情報から設定項目を取得して、利用者IDと設定項目とを暗号化／復号部１０３へ出力する（ステップＳ６５３）。暗号化／復号部１０３は、取得した利用者IDに対応する公開鍵PK＿Uを利用者情報領域１１９から読み出し、取得した設定項目を、公開鍵PK＿Uを用いて暗号化して暗号化設定項目を生成し（ステップＳ６５４）、暗号化設定項目を送受信部１１０を介して端末装置２００へ送信する（ステップＳ６５５）。
【００８８】
アクセス制御部２０１は、送受信部２０６を介して処理結果を受信して内容を解析し（ステップＳ６５６）、結果がエラー情報の場合、モニタ２０４にエラー画面を表示し（ステップＳ６５７）、フォルダ設定処理を終了する。結果が完了通知の場合（ステップＳ６５６で完了）、モニタ２０４に、作成が完了した旨を表示し（ステップＳ６５８）、フォルダ設定処理を終了する。結果が設定項目の場合（ステップＳ６５６で設定）、アクセス制御部２０１は、受信した暗号化設定項目を暗号化／復号部２０３へ出力し、暗号化／復号部２０３は、受信した暗号化設定項目を、秘密鍵SK＿Uを用いて復号し（ステップＳ６５９）、平文の設定項目を生成してアクセス制御部２０１へ出力する。アクセス制御部２０１は、設定項目をモニタ２０４に表示する（ステップＳ６６０）。入力部２０５から変更する設定項目の入力を受け付けると（ステップＳ６６１）、暗号化／復号部２０３は、設定項目を、サーバの公開鍵PK＿S1を用いて暗号化して暗号化設定項目を生成する（ステップＳ６６２）。また、アクセス制御部２０１は、生成した暗号化設定項目を送信する際に、入出力部２０７を介してICカード３００が挿入されているか否かを判断し（ステップＳ６６３）、挿入されていない場合には、モニタ２０４に要求画面を表示する（ステップＳ６６４）。ICカード３００が挿入されると、アクセス制御部２０１は、ICカード３００から利用者IDを取得し（ステップＳ６６５）、暗号化設定項目及び利用者IDをサーバ１００へ送信する（ステップＳ６６６）。
【００８９】
暗号化設定項目及び利用者IDを受信すると、アクセス制御部１０１は、利用者IDを認証部１０２へ出力する。認証部１０２は、受け取った利用者IDが、上述のファイル設定要求に含む利用者IDと同一であるか否かを判断し（ステップＳ６６７）、判断結果をアクセス制御部１０１へ出力する。アクセス制御部１０１は、判断結果が同一で無いことを示す場合、エラー情報を生成して（ステップＳ６６８）、端末装置２００へ送信し（ステップＳ６６９）、フォルダ設定処理を終了する。
【００９０】
判断結果が、利用者IDが同一であることを示す場合（ステップＳ６６７でYES）、アクセス制御部１０１は、暗号化設定項目を暗号化／復号部１０３へ出力する。暗号化／復号部１０３は、受け取った暗号化設定項目を、秘密鍵SK＿S1を用いて復号し、平文の設定項目を生成し（ステップＳ６７０）、生成した設定項目をフォルダ・ファイル管理部１０５へ出力する。フォルダ・ファイル管理部１０５は、計時部１１１から現在日時を取得し、取得した現在日時を生成した設定項目の製作日時に設定し、変更を指定されたフォルダの新たな属性情報としてフォルダ・ファイル情報領域１２９へ格納する（ステップＳ６７１）。また、属性情報の変更が完了すると、アクセス制御部１０１は、送受信部１１０を介して端末装置２００へ完了通知を送信する（ステップＳ６７２）。
【００９１】
アクセス制御部２０１は、受信結果を解析し（ステップＳ６７３）、エラーである場合、モニタ２０４にエラー画面を表示し（ステップＳ６７４）、フォルダ設定処理を終了する。また、完了通知である場合（ステップＳ６７３で完了）、モニタ２０４に設定処理が完了した旨を表示し（ステップＳ６７５）、フォルダ設定処理を終了する。
なお、ファイルの属性情報変更の場合も、フォルダの属性情報の変更と同様の処理を行う。
２．３  利用者設定処理
利用者設定処理について、図２１〜２３を参照して説明する。
【００９２】
入力部２０５を介して、利用者の新規登録又は利用者の属性情報変更の入力を受け付けると（ステップＳ６９１）、アクセス制御部２０１は、入出力部２０７を介してICカード３００が挿入されているか否かを判断する（ステップＳ６９２）。挿入されていない場合、モニタ２０４に要求画面を表示する（ステップＳ６９３）。挿入されている場合、ICカード３００から利用者IDを取得する（ステップＳ６９４）。また、取得した利用者IDを利用者設定要求に含めてサーバ１００へ送信する（ステップＳ６９５）。
【００９３】
利用者設定要求を受信すると、アクセス制御部１０１は、受信した利用者IDを認証部１０２へ出力し、利用者情報変更機能を利用可能か否か、管理者権限の有無判断を指示する。認証部１０２は、利用者情報変更機能について、前述のようにして利用可能であるか否かを判断し（ステップＳ６９６）、判断結果をアクセス制御部１０１へ出力する。アクセス制御部１０１は、判断結果が「利用不可」である場合（ステップＳ６９７でNO）、エラー情報を生成して（ステップＳ６９８）、端末装置２００へ送信し（ステップＳ６９９）、利用者設定処理を終了する。判断結果が「利用可能」である場合（ステップＳ６９７でYES）、要求内容が利用者情報の新規登録のとき（ステップＳ７００で新規）、利用者情報領域１１９から設定項目を取得し（ステップS５１１）、取得した設定項目を含めて、新規に登録する利用者の公開鍵証明書の送信要求を生成し（ステップＳ７０１）、端末装置２００へ送信する（ステップＳ７０２）。要求内容が利用者情報の変更の場合（ステップＳ７００で変更）、利用者情報領域１１９から指定された利用者の設定項目を取得し（ステップＳ７０３）、要求元の利用者IDと共に暗号化／復号部１０３へ出力する。暗号化／復号部１０３は、利用者情報領域１１９から、受け取った利用者IDに対応する公開鍵PK＿Uを取得し、設定項目を公開鍵PK＿Uを用いて暗号化して暗号化設定項目を生成し（ステップＳ７０５）、送受信部１１０を介して暗号化設定項目を端末装置２００へ送信する（ステップＳ７０６）。
【００９４】
アクセス制御部２０１は、処理結果を受信すると、受信した内容を解析する（ステップＳ７０７）。内容がエラーの場合（ステップＳ７０７でエラー）、モニタ２０４にエラー画面を表示し（ステップＳ７３０）、利用者設定処理を終了する。
アクセス制御部２０１で解析した内容が変更である場合、暗号化／復号部２０３は、秘密鍵SK＿Uを用いて受信した暗号化設定項目を復号し、平文の設定項目を生成する（ステップＳ７１５）。アクセス制御部２０１は、設定項目をモニタ２０４に表示し（ステップＳ７１６）、入力部２０５から変更する設定項目の入力を受け付ける（ステップＳ７１７）。入力が完了すると、暗号化／復号部２０３は、設定項目を公開鍵PK＿S1を用いて暗号化して暗号化設定項目を生成する（ステップＳ７１８）。次に操作者のICカード３００の挿入要求画面を表示し（ステップＳ７１２）、ICカード３００が挿入されると利用者IDを取得し（ステップＳ７１３）、
暗号化設定項目及び利用者IDをサーバ１００へ送信する（ステップＳ７１４）。
【００９５】
アクセス制御部２０１は、内容が公開鍵証明書の送信要求の場合（ステップＳ７０７で要求）、設定項目の入力画面と、新規登録する利用者の新規ICカードの挿入を要求する画面をモニタ２０４に表示し（ステップＳ７０８）、設定項目への入力を受け付け、新規ICカードが挿入されるまで待機する（ステップＳ７０９）。新規ICカードが挿入されると、アクセス制御部２０１は、ICカードから新規利用者ID及び新規公開鍵証明書を取得する（ステップＳ７１０）。また、暗号化／復号部２０３は、入力された新規設定項目を公開鍵PK＿S1を用いて暗号化し、暗号化新規設定項目を生成する。
【００９６】
また、アクセス制御部２０１は、ステップＳ７１１~７１３の処理を行い、新規利用者ID、新規公開鍵証明書及び暗号化新規設定項目をサーバ１００へ送信する。
送受信部１１２を介してデータを受信すると、アクセス制御部１０１は、受信した利用者IDを認証部１０２へ出力し、認証部１０２は、操作者の利用者IDが、利用者設定要求に含む利用者IDと同一であるか否かを判断し（ステップＳ７１９）、判断結果をアクセス制御部１０１へ出力する。アクセス制御部１０１は、利用者IDが同一で無い場合、エラー情報を生成して（ステップＳ７２０）、端末装置２００へ送信し（ステップＳ７２１）、利用者設定処理を終了する。利用者のIDが同一の場合、アクセス制御部１０１は、利用者IDと、受信した暗号化設定項目又は暗号化新規設定項目とを暗号化／復号部１０３へ出力する。暗号化／復号部１０３は、受け取った暗号化設定項目又は暗号化新規設定項目を秘密鍵SK＿S1を用いて復号して、平文の設定項目を生成し（ステップＳ７２３）、生成した設定項目を利用者情報管理部１０６へ出力する。利用者情報管理部１０６は、上記要求内容が利用者の属性情報変更の場合（ステップＳ７２２で変更）、受け取った設定項目を利用者情報に上書きして変更する（ステップＳ７２４）。変更が終了すると、アクセス制御部１０１は、完了通知を端末装置２００へ送信し（ステップＳ７２５）、利用者設定処理を終了する。要求内容が新規登録の場合（ステップＳ７２２で新規）、利用者情報管理部１０６は、受信した新規利用者ID、新規設定項目及び新規公開鍵証明書を利用者情報に追加して登録する（ステップＳ７２６）。また、利用者情報管理部１０６は、登録が完了すると、情報記憶部１０９からサーバ１００の公開鍵証明書Cert＿S1を取得してアクセス制御部１０１へ出力し（ステップＳ７２７）、アクセス制御部１０１送受信部１１０を介して端末装置２００へ送信し（ステップＳ７２８）、利用者設定処理を終了する。
【００９７】
アクセス制御部２０１は、受信した結果を解析し、結果がエラーである場合（ステップＳ７２９でエラー）、モニタ２０４にエラー画面を表示し（ステップＳ７３０）、利用者設定処理を終了する。結果が完了通知の場合（ステップＳ７２９で完了）、モニタ２０４に処理が完了した旨を表示し（ステップＳ７３１）、処理を終了する。また、結果として公開鍵証明書Cert＿S1を受信した場合（ステップＳ７２８で新規）、新規ICカードに公開鍵証明書Cert＿S1を登録し（ステップＳ７３２）、モニタ２０４に処理が完了した旨を表示し（ステップＳ７３３）、処理を終了する。
２．４  ファイル登録処理
ファイル登録処理について、図２４〜２６を参照して説明する。
【００９８】
入力部２０５がファイルをサーバ１００に格納する旨の指示情報の入力を受け付けると（ステップＳ７５１）、アクセス制御部２０１は、入出力部２０７にICカード３００が挿入されているか否かを判断する（ステップＳ７５２）。挿入されていない場合、モニタ２０４に要求画面を表示する（ステップＳ７５３）。挿入されている場合、ICカード３００から利用者IDを取得する（ステップＳ７５４）。また、取得した利用者IDを含むファイル登録要求を、送受信部２０６を介してサーバ１００へ送信する（ステップＳ７５５）。
【００９９】
送受信部１１０を介してファイル登録要求を受信すると、アクセス制御部１０１は、受信した利用者IDを認証部１０２へ出力し、ファイル登録機能を利用可能か否か、管理者権限の有無判断を指示する。認証部１０２は、前述のようにして、ファイル登録機能の利用権限の有無を判断し、判断結果をアクセス制御部１０１へ出力する（ステップＳ７５６）。アクセス制御部１０１は、受け取った判断結果が「利用不可」を示す場合、エラー情報を生成して（ステップＳ７５８）、端末装置２００へ送信し（ステップＳ７５９）、ファイル登録処理を終了する。判断結果が「利用可能」を示す場合、端末装置２００へ許可情報を送信する（ステップＳ７６０）。
【０１００】
送受信部２０６を介して結果を受信すると、アクセス制御部２０１は、内容を解析し、内容がエラーである場合は、モニタ２０４にエラー画面を表示し（ステップＳ７７９）、ファイル設定処理を終了する。内容が許可である場合は、入力部２０５が利用者から格納場所の指定をする指示情報を受け付け（ステップＳ７６２）、暗号化／復号部２０３は、入力された指示情報及び登録するファイルを、公開鍵PK＿S1を用いて暗号化して暗号化指示情報を生成する（ステップＳ７６３）。アクセス制御部２０１は、入出力部２０７にICカード３００が挿入されているか否かを判断する（ステップＳ７６４）。挿入されていない場合、モニタ２０４に要求画面を表示する（ステップＳ７６５）。挿入されている場合、ICカード３００から利用者IDを取得する（ステップＳ７６６）。また、取得した利用者IDを暗号化指示情報に付加して、送受信部２０６からサーバ１００へ送信する（ステップＳ７６７）。
【０１０１】
送受信部１１０を介して暗号化指示情報を受信すると、アクセス制御部１０１は、受信した利用者IDを認証部１０２へ出力し、認証部１０２は、受け取った利用者IDが、上述のファイル登録要求に含む利用者IDと同一であるか否かを判断し（ステップＳ７６８）、判断結果をアクセス制御部１０１へ出力する。判断結果が同一でない場合、アクセス制御部１０１はエラー情報を生成して（ステップＳ７６９）、端末装置２００へ送信し（ステップＳ７７０）、ファイル登録処理を終了する。利用者IDが同一であると判断する場合、暗号化指示情報を暗号化／復号部１０３へ出力する。暗号化／復号部１０３は、受け取った暗号化指示情報を秘密鍵SK＿S1を用いて復号し、平文の指示情報及びファイルを生成する（ステップＳ７７１）。アクセス制御部１０１は、登録を要求されたファイルと同名のファイルが存在するか否かを判断し（ステップS５１２）、存在すると判断する場合（ステップS５１２でYES）、要求元の利用者が、ファイル編集機能を利用可能であるか否かを判断するよう指示し、認証部１０２は、図１４に示す利用可否判断を行う（ステップS７９５）。判断結果をアクセス制御部１０１へ出力し、アクセス制御部１０１は、判断結果が「利用不可」を示す場合（ステップS７９６でNO）、エラー情報を生成し（ステップＳ７９７）、端末装置２００に送信し（ステップＳ７９8
）、ファイル登録処理を終了する。判断結果が「利用可能」を示す場合（ステップS７９６でYES）、アクセス制御部１０１は、属性情報を登録する旨をフォルダ・ファイル管理部１０５へ指示する。フォルダ・ファイル管理部１０５は、計時部１１１から現在日時を取得して製作日時を更新し、同名ファイルの属性情報として上書きする（ステップＳ７９９）。また、暗号化／復号部１０４は、暗号化／復号部１０３から平文のファイルを受け取り、公開鍵PK＿S2を用いて受け取ったファイルを暗号化して暗号化ファイルを生成し（ステップＳ８０２）、実データ記憶領域１４９に格納されている同名ファイルを更新し、暗号化／復号部１０３は、生成したファイルを、インデックス領域１３９の同名ファイルに上書きする（ステップＳ８０３）。また、アクセス制御部１０１は、処理が完了したことを知らせる完了通知を端末装置２００へ送信し（ステップＳ８００）、ファイル設定処理を終了する。
【０１０２】
ステップ５１２で同名ファイルが存在しないと判断した場合、アクセス制御部１０１は、指示情報が機密フォルダへの格納を指定しているか、機密でないフォルダへの格納を指定しているかを判断し（ステップＳ７７２）、機密フォルダを指定している場合、格納するフォルダの属性情報を、ファイルの属性情報として設定する旨をフォルダ・ファイル管理部１０５へ指示する。フォルダ・ファイル管理部１０５は、計時部１１１から現在日時を取得し、上位フォルダの属性情報をフォルダ・ファイル情報領域１２９から読み出す。読み出した属性情報の「製作日時」を取得した現在日時に更新し、「格納場所」を上位フォルダの下に更新する。更新後の属性情報を、新規ファイルの属性情報としてフォルダ・ファイル情報領域１２９に格納する（ステップＳ７７３）。また、暗号化／復号部１０４は、暗号化／復号部１０３から平文のファイルを受け取り、そのファイルを、公開鍵PK＿S2を用いて暗号化して暗号化ファイルを生成し（ステップＳ８０４）、生成した暗号化ファイルを実データ記憶領域１４９へ格納し、暗号化／復号部１０３は、ファイルをインデックス領域１３９へ格納する（ステップＳ８０５）。また、ファイルの格納処理が終了すると、アクセス制御部１０１は、端末装置２００へ処理が完了したことを示す完了通知を送信し（ステップＳ７７４）、ファイル設定処理を終了する。
【０１０３】
また、機密でないフォルダへの格納を指定している場合（ステップＳ７７２でNO）、アクセス制御部１０１は、利用者IDを認証部１０２へ出力し、認証部１０２は、前述のようにして、属性情報の変更機能を利用可能であるか否か、管理者権限の有無を判断し（ステップS５１３）、判断結果をアクセス制御部１０１へ出力する。アクセス制御部１０１は、判断結果が「利用不可」を示す場合（ステップS５１４でNO）、エラー情報を生成して（ステップＳ５１５）、端末装置２００へ送信し（ステップＳ５１６）、ファイル登録処理を終了する。
【０１０４】
判断結果が「利用可能」を示す場合（ステップS５１４でYES）、フォルダ・ファイル管理部１０５へ属性情報の変更指示を指示する。フォルダ・ファイル管理部１０５は、フォルダ・ファイル情報領域１２９から、ファイルに付与する属性情報の設定項目を取得し（ステップＳ７７５）、取得した設定項目を暗号化／復号部１０３へ出力する。暗号化／復号部１０３は、設定項目を公開鍵PK＿Uを用いて暗号化して暗号化設定項目を生成し（ステップＳ７７６）、暗号化設定項目を送受信部１１０を介して送信する（ステップＳ７７７）。
【０１０５】
送受信部２０６を介して結果を受信すると、アクセス制御部２０１は、結果を解析し（ステップＳ７７８）、エラーである場合は、モニタ２０４にエラー画面を表示し（ステップＳ７７９）、ファイル設定処理を終了する。結果が完了通知の場合、モニタ２０４にファイル設定処理が完了した旨を表示し（ステップＳ７８０）、処理を終了する。また、結果が設定の場合、アクセス制御部２０１は、受信した暗号化設定項目を暗号化／復号部２０３へ出力し、暗号化／復号部２０３は、受信した暗号化設定項目を、秘密鍵SK＿Uを用いて復号して設定項目を生成する（ステップＳ７８１）。アクセス制御部２０１は、設定項目をモニタ２０４に表示する（ステップＳ７８２）。入力部２０５から設定項目の入力を受け付けるまで待機し、入力を受け付けると（ステップＳ７８３）、暗号化／復号部２０３は、公開鍵PK＿S1を用いて暗号化して暗号化設定項目を生成する（ステップＳ７８４）。アクセス制御部２０１は、ICカード３００が挿入されているか否かを判断する（ステップＳ７８５）。挿入されていない場合、モニタ２０４に要求画面を表示する（ステップＳ７８６）。挿入されている場合、ICカード３００から利用者IDを取得する（ステップＳ７８７）。また、取得した利用者IDを暗号化設定情報に付加して、送受信部２０６を介して送信する（ステップＳ７８８）。
【０１０６】
送受信部１１０を介して暗号化設定情報を受信すると、アクセス制御部１０１は、付加されている利用者IDを認証部１０２へ出力する。認証部１０２は、受け取った利用者IDが、ファイル設定要求に含む利用者IDと同一であるか否かを判断し（ステップＳ７８９）、判断結果をアクセス制御部１０１へ出力する。同一で無い場合、エラー情報を生成し（ステップＳ７９０）、端末装置２００に送信し（ステップＳ７９１）、ファイル設定処理を終了する。利用者IDが同一である場合（ステップＳ７８９でYES）、暗号化設定情報を暗号化／復号部１０３へ出力する。暗号化／復号部１０３は、秘密鍵SK＿S1を用いて暗号化設定情報を復号し、設定情報を生成する（ステップＳ７９２）。生成した設定情報を、フォルダ・ファイル管理部１０５へ出力する。フォルダ・ファイル管理部１０５は、計時部１１１から現在日時を取得し、設定情報に製作日時と格納場所とを設定し（ステップＳ７９３）、新規ファイルの属性情報としてフォルダ・ファイル情報領域１２９ファイル情報領域１２９に登録する（ステップS７９９）。
【０１０７】
また、暗号化／復号部１０４は、暗号化／復号部１０３から平文のファイルを受け取り、公開鍵PK＿S2を用いて受け取ったファイルを暗号化して暗号化ファイルを生成して（ステップＳ８０２）、情報記憶部１０９に格納されている同名ファイルを更新し、暗号化／復号部１０３は、ファイルをインデックス領域１３９へ格納する（ステップＳ８０３）。また、アクセス制御部１０１は、処理が完了したことを知らせる完了通知を端末装置２００へ送信し（ステップＳ８００）、ファイル設定処理を終了する。
【０１０８】
送受信部２０６を介して結果を受信すると、アクセス制御部２０１は、エラー画面又は完了通知をモニタ２０４に表示し（ステップＳ８０１）、ファイル設定処理を終了する。
２．５  ファイル閲覧処理
（１）ファイル閲覧処理を、図２７を用いて説明する。
アクセス制御部２０１は、入力部２０５から、ファイルを閲覧する指示と閲覧するファイル名の指定を示す入力を受け付けると（ステップＳ８１１）、入出力部２０７にICカード３００が挿入されているか否かを判断し（ステップＳ８１２）、挿入されていない場合、モニタ２０４に要求画面を表示する（ステップＳ８１３）。ICカード３００が挿入されると、利用者IDを取得し（ステップＳ８１４）、利用者IDとファイル名とを含むファイル閲覧要求をサーバ１００へ送信する（ステップＳ８１５）。
【０１０９】
送受信部１１０を介してファイル閲覧要求を受信すると、認証部１０２は、閲覧を指定されたファイルの属性情報をチェックし（ステップＳ８１６）、機密情報であるか、機密でない通常のファイルであるかを判断する（ステップＳ８１７）。判断結果が機密でないことを示す場合、判断結果をアクセス制御部１０１へ出力し、アクセス制御部１０１は、指定されたファイルを情報記憶部１０９から読み出し（ステップＳ８１８）、端末装置２００へ送信する（ステップＳ８１９）。機密情報である場合、認証部１０２は、前述のようにして、要求元の利用者が、指定ファイルを閲覧可能であるか否か、利用可否判断を行い（ステップＳ８２０）、判断結果をアクセス制御部１０１へ出力する。判断結果が「利用不可」を示す場合（ステップＳ８２１でNO）、アクセス制御部１０１は、エラー情報を生成して（ステップＳ８２２）、端末装置２００へ送信し（ステップＳ８２３）、ファイル閲覧処理を終了する。判断結果が「利用可能」を示す場合、アクセス制御部１０１は、指定されたファイルの利用区分から、要求元の利用者に対する区分を取得して属性情報に付加し（ステップS８３４）、属性情報を暗号化／復号部１０３へ、指定されたファイル名を暗号化／復号部１０４へ出力する。暗号化／復号部１０４は、情報記憶部１０９から指定された暗号化ファイルを読み出し（ステップＳ８２４）、秘密鍵SK＿S2を用いて暗号化ファイルを復号して平文のファイルを生成する（ステップＳ８２５）。生成したファイルを暗号化／復号部１０３へ出力する。暗号化／復号部１０３は、属性情報をファイルに付加し、公開鍵PK＿Uを用いてファイルを暗号化して暗号化閲覧ファイルを生成し（ステップＳ８２６）、送受信部１１０を介して端末装置２００へ送信する（ステップＳ８２７）。
【０１１０】
アクセス制御部２０１は、結果を受信すると、内容を解析する（ステップＳ８２８）。結果がエラーの場合、モニタ２０４にエラーを表示し（ステップＳ８２９）、閲覧処理を終了する。結果が通常ファイルの受信である場合（ステップＳ８２８で通常）、モニタ２０４に受信したファイルを表示し（ステップＳ８３０）、閲覧処理を終了する。結果が機密ファイルの受信である場合（ステップＳ８２８で機密）、暗号化閲覧ファイルを暗号化／復号部２０３へ出力し、暗号化／復号部２０３で受信した暗号化閲覧ファイルを、秘密鍵SK＿Uを用いて復号し、平文の閲覧ファイルを生成する（ステップＳ８３１）。また、アクセス制御部２０１は、利用権限情報から、ファイルの属性情報が示す利用区分を適用して、利用可能な機能と、不可能な機能とを判断する（ステップＳ８３２）。利用不可能と判断した機能のボタンをグレー表示にして利用を抑制し、ファイルをモニタ２０４に表示し（ステップＳ８３３）、ファイル閲覧処理を終了する。
２．６  ファイル印刷処理
ファイル印刷処理について、図２８を参照して説明する。
【０１１１】
なお、印刷を指定するファイルは既に閲覧処理を行ってモニタ２０４に表示されているものとする。
入力部２０５が閲覧している機密ファイルの印刷の指定を受け付けると（ステップＳ８４１）、アクセス制御部２０１は、指定されたファイルの印刷が可能であるか否かを判断し（ステップＳ８４２）、印刷不可能である場合（ステップＳ８４２でNO）、印刷処理を抑制して行わない（ステップＳ８４３でNO）。印刷可能である場合（ステップＳ８４２でYES）、入出力部２０７にICカード３００が挿入されているか否かを判断し、挿入されていない場合は（ステップＳ８４３）モニタ２０４に要求画面を表示する（ステップＳ８４４）。挿入されている場合、利用者IDを取得して印刷するファイルの指定を含む印刷許可要求を送信する（ステップＳ８４５）。
【０１１２】
ファイルの印刷許可要求を受信すると、認証部１０２は、前述のように印刷機能の利用可否判断を行い（ステップＳ５１７）、判断結果をアクセス制御部１０１へ出力する。アクセス制御部１０１は、受け取った判断結果が「利用不可」を示す場合（ステップＳ８４６でNO）、エラー情報を生成して（ステップＳ８４７）、端末装置２００へ送信し（ステップＳ８４８）、印刷処理を終了する。判断結果が「利用可能」を示す場合（ステップＳ８４６でYES）、アクセス制御部１０１は、指定されたファイル名を暗号化／復号部１０４へ出力する。暗号化／復号部１０４は、情報記憶部１０９から指定された暗号化ファイルを読み出し（ステップＳ８４９）、読み出した暗号化ファイルを秘密鍵SK＿S2を用いて復号して平文のファイルを生成し（ステップＳ８５０）、生成したファイルを合成部１０７へ出力する。合成部１０７は、指定されたファイルの属性情報から、機密区分、スタンプ文字、バックグラウンド文字及び付加区分をチェックし（ステップＳ８５１）、それらに指定される印刷設定情報を取得する（ステップＳ８５２）。また、受け取った平文のファイルに印刷設定情報を合成して印刷用ファイルを生成し（ステップＳ８５３）、生成した印刷用ファイルを暗号化／復号部１０３へ出力する。暗号化／復号部１０３は、印刷用ファイルを公開鍵PK＿Uを用いて暗号化して暗号化印刷用ファイルを生成し（ステップＳ８５４）、送受信部１１０を介して端末装置２００へ送信する（ステップＳ８５５）。
【０１１３】
アクセス制御部２０１は、処理結果を解析し（ステップＳ８５６）、結果がエラーの場合、モニタ２０４にエラー画面を表示し（ステップＳ８５７）、印刷処理を終了する。結果がファイル取得の場合、暗号化／復号部２０３は、秘密鍵SK＿Uを用いて復号して平文の印刷用ファイルを生成する（ステップＳ８５８）。アクセス制御部２０１は、印刷用ファイルをプリンタ４００へ出力し（ステップＳ８５９）、印刷処理を終了する。
【０１１４】
なお、サーバ１００は、機密ファイルが印刷された場合、システム管理者に、印刷処理を行った利用者、印刷したファイル名、印刷日時などを利用ログとして通知するとしても良い。
２．７  ファイル保存処理
端末装置２００へのファイル保存の処理を図２９を参照して説明する。
【０１１５】
なお、印刷処理と同様に、保存を指定するファイルは既に閲覧処理を行ってモニタ２０４に表示されているものとする。
入力部２０５がファイル保存の指定を受け付けると（ステップＳ８６１）、アクセス制御部２０１は、保存機能が利用可能であるか否かを判断する（ステップＳ８６２）。保存機能が利用不可能である場合（ステップＳ８６２でNO）、保存処理を抑制して行わない（ステップＳ８６３）。利用可能である場合（ステップＳ８６２でYES）、入出力部２０７にICカード３００が挿入されているか否かを判断し、挿入されていない場合は（ステップＳ８６４でNO）モニタ２０４に要求画面を表示する（ステップＳ８６５）。挿入されている場合、利用者IDを取得し（ステップＳ８６６）、利用者IDと保存するファイルの指定とを含む保存要求をサーバ１００へ送信する（ステップＳ８６７）。
【０１１６】
送受信部１１０を介して保存要求を受信すると、認証部１０２は、前述のようにして、保存機能の利用可否判断を行い（ステップＳ５１８）、判断結果をアクセス制御部１０１へ出力する。受け取った判断結果が「利用不可」を示す場合（ステップＳ８６８でNO）、アクセス制御部１０１はエラー情報を生成して（ステップＳ８６９）、端末装置２００へ送信し（ステップＳ８７０）、保存処理を終了する。判断結果が「利用可能」を示す場合（ステップＳ８６８でYES）、フォルダ・ファイル情報領域１２９から指定されたファイルの属性情報を取得し（ステップＳ８７１）、利用区分を、閲覧のみ許可する「４」に設定する（ステップＳ８７２）。また、指定されたファイル名を暗号化／復号部１０４へ出力し、暗号化／復号部１０４は、情報記憶部１０９から指定された暗号化ファイルを読み出す（ステップＳ８７３）。読み出した暗号化ファイルを秘密鍵SK＿S2を用いて復号して保存用ファイルを生成して暗号化／復号部１０３へ出力し（ステップＳ８７４）、暗号化／復号部１０３は、公開鍵PK＿Uを用いて保存用ファイルを暗号化して暗号化保存用ファイルを生成する（ステップＳ９７５）。アクセス制御部１０１は、計時部１１１から現在日時を取得し、暗号化保存用ファイルに、現在日時と利用区分を「４」に設定した属性情報とを付加して送受信部１１０を介して端末装置２００へ送信する（ステップＳ８７６）。また、利用者情報領域１１９からシステム管理者のメールアドレスを読み出し、システム管理者へ、印刷した利用者の利用者ID、印刷日時、印刷したファイル名などを利用ログとして送信する（ステップＳ８７７）。
【０１１７】
アクセス制御部２０１は、処理結果を受信すると、結果を解析し（ステップＳ
８７８）、エラーの場合は、モニタ２０４にエラー画面を表示し（ステップＳ８７９）、保存処理を終了する。結果が暗号化保存用ファイル取得の場合（ステップＳ８７８で取得）、受信したファイルを暗号化したまま、属性情報と対応付けて情報記憶部２０２へ書き込み（ステップＳ８８０）、取得した現在日時を保存日時として書き込み、保存処理を終了する。
２．８  保管ファイル読み出し処理
端末装置２００に保存したファイルの読み出し処理を図３０を参照して説明する。
【０１１８】
入力部２０５から、情報記憶部２０２に記憶したファイルの呼び出し指定を示す入力を受け付けると（ステップＳ８８１）、アクセス制御部２０１は、指定されたファイルの属性情報を取得する（ステップＳ８８２）。アクセス制御部２０１は、属性情報から、指定されたファイルが機密情報であるか否かを判断する（ステップＳ８８３）。機密情報でない場合（ステップＳ８８３でNO）、指定されたファイルを情報記憶部２０２から読み出して、モニタ２０４に表示する（ステップＳ８８４）。機密情報である場合、入出力部２０７にICカード３００が挿入されているか否かを判断し（ステップＳ８８５）、挿入されていない場合は（ステップＳ８８５でNO）モニタ２０４に要求画面を表示する（ステップＳ８８６）。挿入されている場合、ICカード３００から利用者IDを取得し（ステップＳ８８７）、利用者IDを含む、保存ファイルの呼出許可要求を送受信部２０６を介してサーバ１００へ送信する（ステップＳ８８８）。
【０１１９】
呼出許可要求を受信すると、認証部１０２は、前述の利用可否判断を行い、指定したファイルが保存可能であるか否かを判断し（ステップＳ８８９）、判断結果をアクセス制御部１０１へ出力する。アクセス制御部１０１は、受け取った判断結果が「利用可能」を示す場合、つまり、指定されたファイルを、要求元の利用者が保存可能である場合は保存ファイル呼出が可能であると判断する（ステップＳ８９０）。判断結果が「利用不可」である場合、アクセス制御部１０１は、エラー情報を生成して（ステップＳ８９１）、端末装置２００へ送信し（ステップＳ８９２）、処理を終了する。利用可能である場合、計時部１１１から現在の日時を示す日時情報を取得し（ステップＳ８９３）、日時情報を含む許可情報を端末装置２００へ送信する（ステップＳ８９４）。
【０１２０】
アクセス制御部２０１は、受信した結果を解析し（ステップＳ８９５）、エラーの場合は、モニタ２０４にエラーを表示し（ステップＳ８９６）、呼び出し処理を終了する。結果が許可情報の場合、保存日時と指定されたファイルに付加されている属性情報の有効期限とから、現在日時が有効期限以内であるか否かを判断する（ステップＳ８９７）。有効期限を過ぎている場合、モニタ２０４にエラーを表示し（ステップＳ８９６）、呼び出し処理を終了する。また、有効期限以内である場合、指定された暗号化保存ファイルを情報記憶部２０２から読み出し（ステップＳ８９８）、ICカード３００から秘密鍵SK＿Uを取得する。暗号化／復号部２０３は、秘密鍵SK＿Uを用いて読み出した暗号化保存ファイルを復号して平文のファイルを生成し（ステップＳ８９９）、アクセス制御部２０１は、ファイルをモニタ２０４に表示し（ステップＳ９００）、呼び出し処理を終了する。
【０１２１】
なお、有効期限の判断はサーバ１００が行ってもよく、有効期限内であれば、利用を許可し、期限を過ぎている場合は利用を抑制し、エラー情報を送信する。
２．９  検索
サーバ１００内に記憶されているファイルを利用する際のファイル検索の処理を、図３１を参照して説明する。
【０１２２】
入力部２０５から、ファイルの検索を指示する指示情報と、検索キーワードとの入力を受け付けると、アクセス制御部２０１は、入出力部２０７にICカード３００が挿入されているか否かを判断し（ステップＳ９１２）、挿入されていない場合は（ステップＳ９１２でNO）モニタ２０４に要求画面を表示する（ステップＳ９１３）。挿入されている場合、ICカードから利用者IDを取得し（ステップＳ９１４）、検索キーワードを含む検索要求を送信する（ステップＳ９１５）。
【０１２３】
送受信部１１０を介して検索要求を受信すると、認証部１０２は、利用者情報をチェックして、受信した利用者IDが登録されているか否かを判断する（ステップＳ９１６）。登録されていない場合（ステップＳ９１７でNO）、エラー情報を生成して（ステップＳ９１８）、端末装置２００へ送信し（ステップＳ９１９）、検索処理を終了する。登録されている場合（ステップＳ９１７でYES）、登録されている利用者IDに対応する機密アクセスレベルをチェックし、検索範囲制限情報から、チェックした機密アクセスレベルに対応する検索可能機密区分から、検索可能な機密区分の範囲を判断する（ステップＳ９２０）。検索部１０８は、判断された範囲内で、情報記憶部１０９のインデックス領域から検索キーワードに該当するファイルを検索し、検索結果をアクセス制御部１０１へ出力する（ステップＳ９２１）。アクセス制御部１０１は、検索結果をファイル情報として端末装置２００へ送信する（ステップＳ９２２）。
【０１２４】
アクセス制御部１０１は、送受信部２０６を介して処理結果を受信すると、内容を解析する（ステップＳ９２３）。結果がエラーの場合、モニタ２０４にエラー画面を表示し（ステップＳ９２４）、検索処理を終了する。結果がファイル情報取得の場合、モニタ２０４にファイル情報を表示し、検索処理を終了する。
なお、サーバ１００は、ファイル情報を公開鍵PK＿Uを用いて暗号化して送信するとしても良い。
【０１２５】
また、サーバ１００は、ステップＳ８２０の利用可否判断処理と同様にして、検索結果から、要求元の利用者が閲覧可能なファイルのみを抽出し、抽出したファイル情報のみを端末装置２００へ送信するとしても良い。
３．具体例
ここで、複数の利用者が機密情報を共有する際の、データの流れについて、具体例を基に説明する。
【０１２６】
利用者ａは、ICカード３００ａを保持しており、ICカード３００ａには、利用者ａを識別する利用者IDa、公開鍵証明書Cert＿Uａ及び秘密鍵SK＿Uaが記録されている。また、利用者ｂは、利用者IDｂ、公開鍵証明書Cert＿Uｂ及び秘密鍵SK＿Ubが記録されているICカード３００ｂを保持している。利用者ｃは、ICカードを保持していない。
ここで、利用者ａがサーバ１００に、機密情報であるファイルAを登録し、そのファイルAを利用者Bが利用する場合を、図３２，３３を参照して説明する。
【０１２７】
なお、ここでは主に、データの暗号化及び復号について述べるため、認証などの処理については省略して説明する。また、利用者A及び利用者Ｂは、既にサーバに登録されており、端末装置２００ａ及び２００ｂは、サーバ１００の公開鍵PK＿S1を保持しているものとし、利用者ｂは、ファイルAの利用を許可されているものとする。
（１）ICカード３００ａを装着した端末装置２００ａは、利用者ａからの入力に従い、ファイルAを作成する（ステップＳ９５１）。作成したファイルAを、サーバ１００の公開鍵PK＿S１を用いて暗号化し、暗号化ファイルA（S1）を生成する（ステップＳ９５２）。前述の認証を行い、認証に成功した場合に、生成した暗号化ファイルA（S1）をサーバ１００へ送信する（ステップＳ９５３）。
【０１２８】
サーバ１００は、暗号化ファイルA（S1）を受信すると、秘密鍵SK＿S1を用いて復号し、ファイルAを生成する（ステップＳ９５４）。生成したファイルAを、更に保存用の公開鍵PK＿S2を用いて暗号化し、暗号化ファイルA（S2）を生成して保存する（ステップＳ９５５）。
（２）このようにしてサーバ１００に保存されたファイルAを、取得し、保存する際、ICカード３００ｂを装着された端末装置２００ｂは、利用者ｂからの入力に従い、ファイルAの保存要求をサーバ１００へ送信する（ステップＳ９７１）。
【０１２９】
サーバ１００は、保存されている暗号化ファイルA（S２）を読み出し、秘密鍵SK＿S2を用いて復号してファイルAを生成する（ステップＳ９７２）。利用者情報から利用者ｂの公開鍵PK＿Uｂを読み出し、読み出した公開鍵PK＿Uｂを用いて、ファイルAを暗号化して暗号化ファイルA（Ub）を生成する（ステップＳ９７３）。生成した暗号化ファイルA（Ub）を、端末装置２００ｂへ送信する（ステップＳ９７４）。
【０１３０】
端末装置２００ｂは、暗号化ファイルA（Ub）を受信し、暗号化されたまま保存する（ステップＳ９７５）。また、保存した暗号化ファイルA（Ub）を閲覧する際、端末装置２００ｂは、ICカード３００ｂから読み出す、利用者の秘密鍵SK＿Uｂを用いて暗号化ファイルA（Ub）を復号してファイルAを生成し、ファイルAを開いてモニタ２０４に表示する（ステップＳ９７６）。
【０１３１】
こうして、利用者ａと利用者ｂとは、サーバ１００に格納している機密情報を共有することが出来る。また、サーバ１００には、暗号化ファイルA（S2）のみを保存すればよいので、記憶領域を有効に利用することが出来る。
（３）また、利用者ｂが端末装置２００ｂから、誤って暗号化ファイルA（Ub）を電子メールに添付し（ステップＳ９８１）、利用者ｃが保持する端末装置２００ｃへ送信した場合（ステップＳ９８２）、端末装置２００ｃは、利用者ｂの秘密鍵SK＿Uｂが記録されているICカード３００ｂを持たないため、暗号化ファイルA（Ub）を復号することは出来ず、ファイルAを閲覧することが出来ない。
【０１３２】
このように、機密情報を誤って電子メールに添付しても、正当な利用者でなければ機密情報を利用することはできない。また、同様にして、機密情報を保存した端末装置２００ｂを、第三者に操作されても、秘密鍵を記録したICカード３００ｂが無ければ機密情報を利用することが出来ないため、人為的ミスによる機密情報の漏洩を防止することが出来る。
４．その他の変形例
なお、本発明を上記の実施の形態に基づいて説明してきたが、本発明は、上記の実施の形態に限定されないのはもちろんである。以下のような場合も本発明に含まれる。
（１）本実施の形態では、サーバ１００が利用可能であるか否かを判断するとしたが、端末装置２００が判断するとしても良い。また、属性情報、利用者情報、管理者権限設定情報、利用権限情報は、一例であり、これらの一部を利用しても良いし、更に詳細な設定を加えても良い。
【０１３３】
また、印刷設定情報など、機密区分毎に分類している情報を、フォルダ又はファイル毎に設定するとしても良い。
（２）認証部１０２は、利用者情報領域１１９及びフォルダ・ファイル情報領域１２９に格納している情報を基に、利用可能であるか否かを判断しているが、管理者に認証を求めても良い。端末装置２００から利用を要求されたフォルダ又はファイルの機密区分が、予め規定した機密区分より上の場合、管理者のメールアドレスに認証を要求するメールを送信し、許可されない場合は、利用を利用不可能であると判断し、処理を抑制する。
【０１３４】
また、サーバ１００は、機密データの処理を要求されると、システム管理者又は管理者と同程度の権限を有する利用者の利用者IDの送信を要求し、利用者IDが取得できた場合に、機密データの利用を許可するとしても良い。
これらの構成により、ICカードが盗まれた場合などにも、二重に利用者IDをチェックされるので、不正な利用を防止することが出来る。
（３）端末装置２００で利用可能機能と、利用不可能機能とを表示する際、実施の形態では色彩の濃さで機能の違いを表したが、本発明はこれに限定されず、利用可能機能と利用不可能機能とが異なる表示であれば良い。
【０１３５】
また、機密ファイルを表示する際には、画面をフラッシュさせたり、音を鳴らすなどして、利用者に機密データであることを警告するとしても良い。
（４）利用ログは、端末装置２００に保存した場合に、管理者に通知する他、他の機能を利用した際にも利用ログとして記録、通知しても良く、また、利用した際に通知するのではなく、定期的に通知するとしても良いし、利用ログをプリンタ４００へ出力して印刷するとしても良い。
（５）本実施の形態では、利用するファイルが一つの場合について説明したが、複数のファイルを続けて処理を行うバッチ処理を行っても良い。
【０１３６】
また、端末装置にフォルダ及びファイルを表示する際、機密区分によって分類して一覧表示するとしても良いし、利用者が利用権限のないフォルダ及びファイルは、表示しないとしても良い。
（６）本実施の形態では、サーバは１台として説明したが、複数のサーバが管理するとしても良い。
【０１３７】
この場合、それぞれのサーバは、サーバ１００と同様に、通信に利用する鍵ペアと、データ格納用の鍵ペアとを保持し、通信用の公開鍵をそれぞれ交換して保持する。機密データの送受信は、実施の形態と同様の方法で暗号化、又は復号して行う。
また、各サーバは、それぞれのサーバに何れのファイルが格納されているかを示す情報を保持しており、端末装置から、ファイルの閲覧など、機密データの利用の要求を受信すると、受信したサーバは、指定されたファイルを格納しているサーバはどれかを判断し、指定ファイルを格納しているサーバに、要求を転送する。転送先のサーバから処理結果を受信すると、要求元の端末装置に結果を送信する。
【０１３８】
また、複数のサーバでの連携管理の方法として、利用者が属するサーバが予め決められており、各サーバは、利用者が何れのサーバに属するかを示す情報を保持している。サーバは、端末装置から処理要求を受信すると、要求元の端末装置の利用者が何れのサーバに属するか判断し、利用者が属するサーバと、要求元の端末装置とを再接続する。これにより、大規模な機密データの連携管理が可能となる。
（７）本実施の形態で、利用者ID、秘密鍵SK＿Ｕ及び公開鍵証明書Cert＿Uは、ICカードに格納されるとしたが、他の可搬型の記録媒体に格納されるとしても良いし、端末装置の内部の記録媒体に格納されるとしても良い。
（８）本実施の形態では、予め利用者の公開鍵をサーバ１００へ登録するとしたが本発明は、この限りではなく、端末装置２００がサーバ１００に格納している機密情報を利用する度に、ICカード３００から公開鍵証明書を読み出してサーバ１００へ送信するとしても良い。
（９）本発明は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、前記コンピュータプログラムからなるデジタル信号であるとしてもよい。
【０１３９】
また、本発明は、前記コンピュータプログラム又は前記デジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、CD−ROM、MO、DVD、DVD−ROM、DVD−RAM、BD（Blu−ray  Disc）、半導体メモリなど、に記録したものとしてもよい。また、これらの記録媒体に記録されている前記コンピュータプログラム又は前記デジタル信号であるとしてもよい。
【０１４０】
また、本発明は、前記コンピュータプログラム又は前記デジタル信号を、電気通信回線、無線又は有線通信回線、インターネットを代表とするネットワーク等を経由して伝送するものとしてもよい。
また、本発明は、マイクロプロセッサとメモリとを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記憶しており、前記マイクロプロセッサは、前記コンピュータプログラムに従って動作するとしてもよい。
【０１４１】
また、前記プログラム又は前記デジタル信号を前記記録媒体に記録して移送することにより、又は前記プログラム又は前記デジタル信号を前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。
（１０）上記実施の形態及び上記変形例をそれぞれ組み合わせるとしてもよい。
産業上の利用可能性
サーバに格納した機密データを複数の端末装置から利用するシステムで利用可能である。
【図面の簡単な説明】
【０１４２】
【図１】機密情報管理システム１のサーバ１００、端末装置２００ａ〜２００ｃ及びプリンタ４００の接続関係を示す。
【図２】サーバ１００、端末装置２００及びICカード３００の構成を示す。
【図３】利用権限情報のデータ構造を示す。
【図４】利用可能機能と、利用不可能機能との、モニタ２０４での表示例を示す。
【図５】機密区分情報のデータ構造を示す。
【図６】印刷設定情報のデータ構造を示す。
【図７】利用区分のデータ構造の一例を示す。
【図８】属性情報のデータ構造の一例を示す。
【図９】利用者情報のデータ構造を示す。
【図１０】管理者権限設定情報のデータ構造を示す。
【図１１】検索範囲制限情報のデータ構造を示す。
【図１２】管理者権限の有無判断処理の動作を表すフローチャートである。
【図１３】管理者権限の有無判断の処理を行う際に参照するデータを示す。
【図１４】利用可否判断処理の動作を示すフローチャートである。
【図１５】利用可否判断処理を行う際に参照するデータを示す。
【図１６】印刷設定情報を合成したファイルの印刷例を示す。
【図１７】端末装置２００での基本処理の動作示すフローチャートである。
【図１８】サーバ１００での基本処理の動作を示すフローチャートである。
【図１９】フォルダ設定処理の動作を示すフローチャートである。図２０に続く。
【図２０】フォルダ設定処理の動作を示すフローチャートである。図１９の続き。
【図２１】利用者設定処理の動作を示すフローチャートである。図２２に続く。
【図２２】利用者設定処理の動作を示すフローチャートである。図２１の続き。図２３に続く。
【図２３】利用者設定処理の動作を示すフローチャートである。図２２の続き。
【図２４】ファイル登録処理の動作を示すフローチャートである。図２５へ続く。
【図２５】ファイル登録処理の動作を示すフローチャートである。図２４の続き。図２６へ続く。
【図２６】ファイル登録処理の動作を示すフローチャートである。図２５の続き。
【図２７】ファイル閲覧処理の動作を示すフローチャートである。
【図２８】ファイル印刷処理の動作を示すフローチャートである。
【図２９】ファイル保存処理の動作を示すフローチャートである。
【図３０】保存ファイル呼出処理の動作を示すフローチャートである。
【図３１】ファイルの検索処理の動作を示すフローチャートである。
【図３２】利用者ａがサーバ１００にファイルＡを登録する際の、暗号化及び復号の処理を示すフローチャートである。
【図３３】利用者ｂがサーバ１００に保存されているファイルを利用する際の、暗号化及び復号の処理を示すフローチャートである。
【符号の説明】
【０１４３】
１００    サーバ
１０１    アクセス制御部
１０２    認証部
１０３    暗号化／復号部
１０４    暗号化／復号部
１０５    フォルダ・ファイル管理部
１０６    利用者情報管理部
１０７    データ合成部
１０８    検索部
１０９    情報記憶部
１１０    送受信部
１１１    計時部
２００    端末装置
２０１    アクセス制御部
２０２    情報記憶部
２０３    暗号化／復号部
２０４    モニタ
２０５    入力部
２０６    送受信部
２０７    入出力部
２０８    通信部
３００    カード
３０１    制御部
３０２    記憶部
３０３    入出力部
４００    プリンタ
【図１】
2005166033.tif 000003
【図２】
2005166033.tif 000004
【図３】
2005166033.tif 000005
【図４】
2005166033.tif 000006
【図５】
2005166033.tif 000007
【図６】
2005166033.tif 000008
【図７】
2005166033.tif 000009
【図８】
2005166033.tif 000010
【図９】
2005166033.tif 000011
【図１０】
2005166033.tif 000012
【図１１】
2005166033.tif 000013
【図１２】
2005166033.tif 000014
【図１３】
2005166033.tif 000015
【図１４】
2005166033.tif 000016
【図１５】
2005166033.tif 000017
【図１６】
2005166033.tif 000018
【図１７】
2005166033.tif 000019
【図１８】
2005166033.tif 000020
【図１９】
2005166033.tif 000021
【図２０】
2005166033.tif 000022
【図２１】
2005166033.tif 000023
【図２２】
2005166033.tif 000024
【図２３】
2005166033.tif 000025
【図２４】
2005166033.tif 000026
【図２５】
2005166033.tif 000027
【図２６】
2005166033.tif 000028
【図２７】
2005166033.tif 000029
【図２８】
2005166033.tif 000030
【図２９】
2005166033.tif 000031
【図３０】
2005166033.tif 000032
【図３１】
2005166033.tif 000033
【図３２】
2005166033.tif 000034
【図３３】
2005166033.tif 000035