(57)【特許請求の範囲】
【請求項１】
暗号化対象となるデータを指定し、その後、復号対象となるデータを指定する第１のユーザによって操作される第１の装置と、
前記第１のユーザによって選択される第２のユーザによって操作される第２の装置と、
前記第１の装置および前記第２の装置と通信可能であり、記憶領域を備えるサーバと、
を具備し、
前記第１の装置および前記第２の装置は、
前記第１の装置と前記第２の装置との間でセッションを形成する機能と、
前記セッションを用いて前記第１の装置と前記第２の装置との間の通信により前記第１のユーザと前記第２のユーザとにより共有される通信データである原データ本体を前記記憶領域に記憶させる機能と、
を具備し、
前記第１の装置は、
暗号化処理において、前記第１のユーザによって前記暗号化対象として指定された前記原データ本体と、前記原データ本体に対応する原メタデータとを含む原データを前記記憶領域に記憶させる機能と、
前記暗号化処理において、第１の暗号鍵を用いて前記原データ本体に対して第１の暗号化を施した第１の暗号化データ本体を生成し、前記第１の暗号化データ本体と、前記第１の暗号化データ本体に対応し前記原メタデータに関連する第１のメタデータとを含む第１の暗号化データを生成し、前記第１の暗号化データを、前記記憶領域のうちの共有記憶領域に記憶させる機能と、
前記暗号化処理において、前記第２の装置が第２の暗号鍵を用いて前記第１の暗号化データに含まれている前記第１の暗号化データ本体に対して第２の暗号化を施すことによって生成された第２の暗号化データ本体と、前記第２の暗号化データ本体に対応し前記第１のメタデータに関連する第２のメタデータとを含み、前記共有記憶領域に記憶されている第２の暗号化データを、前記記憶領域のうちの前記第１の装置に対応する第１の記憶領域に記憶させる機能と、
前記暗号化処理において、前記第２の暗号化データに含まれている前記第２のメタデータに基づいて、前記第２のメタデータに関連する前記原メタデータを含む前記原データと、前記第２のメタデータに関連する前記第１のメタデータを含む前記第１の暗号化データとを認識し、前記原データを前記記憶領域から消去し、前記第１の暗号化データおよび前記第２の暗号化データを前記共有記憶領域から消去する機能と、
復号処理において、前記第１のユーザによって前記復号対象として指定された前記第２の暗号化データの識別情報を、前記第２の装置へ送信する機能と、
前記復号処理において、前記第２の装置によって前記共有記憶領域に記憶された前記第１の暗号化データに含まれている前記第１の暗号化データ本体に対して第１の復号鍵を用いて前記第１の暗号化の解除を施して得られる前記原データ本体と、前記原データ本体に対応し前記第１のメタデータに関連する前記原メタデータとを含む前記原データを生成し、前記原データを前記記憶領域に記憶させる機能と、
前記復号処理において、前記原データに含まれている前記原メタデータに関連する前記第１のメタデータを含む前記第１の暗号化データを、前記共有記憶領域から消去する機能と、
を具備し、
前記第２の装置は、
前記暗号化処理において、前記共有記憶領域に記憶されている前記第１の暗号化データに含まれている前記第１の暗号化データ本体に対して前記第２の暗号鍵を用いて前記第２の暗号化を施して前記第２の暗号化データ本体を生成し、前記第２の暗号化データ本体と、前記第２の暗号化データ本体に対応し前記第１のメタデータに関連する前記第２のメタデータとを含む前記第２の暗号化データを生成し、前記第２の暗号化データを前記共有記憶領域に記憶させる機能と、
前記暗号化処理において、前記共有記憶領域に記憶されている前記第２の暗号化データを、前記記憶領域のうちの前記第２の装置に対応する第２の記憶領域に記憶させる機能と、
前記復号処理において、前記第１の装置から前記識別情報を受信し、前記第２の記憶領域に記憶されており前記識別情報に対応する前記第２の暗号化データに含まれている前記第２の暗号化データ本体に対して第２の復号鍵を用いて前記第２の暗号化の解除を施して前記第１の暗号化データ本体を生成し、前記第１の暗号化データ本体と、前記第１の暗号化データ本体に対応し前記第２のメタデータに関連する前記第１のメタデータとを含む前記第１の暗号化データを生成し、前記第１の暗号化データを前記共有記憶領域に記憶させる機能と、
を具備し、
前記原メタデータと前記第１のメタデータと前記第２のメタデータとのそれぞれは、原データ識別情報、前記第１のユーザを示す第１のユーザ識別情報、前記第２のユーザを示す第２のユーザ識別情報、有効期限、前記原データ本体のデータ種別を含み、
前記第１の装置は、前記第１の記憶領域に記憶されている前記第２の暗号化データに含まれている前記第２のメタデータの前記有効期限が経過した場合に、前記第１の記憶領域に記憶されている前記第２の暗号化データを消去する機能をさらに具備し、
前記第２の装置は、前記第２の記憶領域に記憶されている前記第２の暗号化データに含まれている前記第２のメタデータの前記有効期限が経過した場合に、前記第２の記憶領域に記憶されている前記第２の暗号化データを消去する機能をさらに具備する、
情報処理システム。
【請求項２】
前記原メタデータと前記第１のメタデータと前記第２のメタデータとのそれぞれは、共通の識別子をさらに含む、請求項１の情報処理システム。
【請求項３】
前記第１の装置は、前記第１の暗号化の前に、第１のリクエストを前記第２の装置へ送信する機能をさらに具備し、
前記第２の装置は、前記第１のリクエストを受信し、前記第２のユーザから前記第１のリクエストに対する同意を受け付けた場合に、前記第１の装置へ第１の同意通知を送信する機能をさらに具備し、
前記第１の装置は、前記第１の同意通知を前記第２の装置から受信した場合に、前記第１の暗号化を開始する機能をさらに具備し、
前記第１の装置は、前記第２の暗号化の解除の前に、第２のリクエストを前記第２の装置へ送信する機能をさらに具備し、
前記第２の装置は、前記第２のリクエストを受信し、前記第２のユーザから前記第２のリクエストに対する同意を受け付けた場合に、前記第１の装置へ第２の同意通知を送信する機能をさらに具備し、
前記第１の装置は、前記第２の同意通知を前記第２の装置から受信した場合に、前記第２の暗号化の解除を開始する機能をさらに具備する、
請求項１または請求項２の情報処理システム。
【請求項４】
前記第１の装置は、前記第１のユーザから前記有効期限を延長する指示を受け付けた場合に、前記第２の装置へ延長リクエストを送信し、前記第２の装置から前記有効期限を延長することに対する延長同意通知を受信した場合に、前記第１の記憶領域に記憶されている前記第２の暗号化データに含まれている前記第２のメタデータの前記有効期限を延長する機能をさらに具備し、
前記第２の装置は、前記第１の装置から前記延長リクエストを受信し、前記第２のユーザから前記有効期限の延長に対する同意を受け付けた場合に、前記延長同意通知を前記第１の装置へ送信するとともに前記第２の記憶領域に記憶されている前記第２の暗号化データに含まれている前記第２のメタデータの前記有効期限を延長する機能をさらに具備する、
請求項３の情報処理システム。
【請求項５】
コンピュータに、
前記コンピュータと外部の装置との間でセッションを形成する機能と、
前記セッションを用いて前記コンピュータと前記外部の装置との間の通信により第１のユーザと第２のユーザとにより共有される通信データである原データ本体を外部のサーバの記憶領域に記憶させる機能と、
を実現させ、
暗号化処理において、
暗号化対象となるデータを指定し、その後、復号対象となるデータを指定する前記第１のユーザによって前記暗号化対象として指定された前記原データ本体と、前記原データ本体に対応する原メタデータとを含む原データを前記記憶領域に記憶させる機能と、
第１の暗号鍵を用いて前記原データ本体に対して第１の暗号化を施した第１の暗号化データ本体を生成し、前記第１の暗号化データ本体と、前記第１の暗号化データ本体に対応し前記原メタデータに関連する第１のメタデータとを含む第１の暗号化データを生成し、前記第１の暗号化データを、前記記憶領域のうちの共有記憶領域に記憶させる機能と、
前記第１のユーザによって選択される前記第２のユーザによって操作される前記外部の装置が第２の暗号鍵を用いて前記第１の暗号化データに含まれている前記第１の暗号化データ本体に対して第２の暗号化を施すことによって生成された第２の暗号化データ本体と、前記第２の暗号化データ本体に対応し前記第1のメタデータに関連する第２のメタデータとを含み、前記外部の装置によって前記共有記憶領域に記憶された第２の暗号化データを、前記記憶領域のうちの前記コンピュータに対応する第１の記憶領域に記憶させる機能と、
前記第２の暗号化データに含まれている前記第２のメタデータに基づいて、前記第２のメタデータに関連する前記原メタデータを含む前記原データと、前記第２のメタデータに関連する前記第１のメタデータを含む前記第１の暗号化データとを認識し、前記原データを前記記憶領域から消去し、前記第１の暗号化データおよび前記第２の暗号化データを前記共有記憶領域から消去する機能と、
を実現させ、
復号処理において、
前記第１のユーザによって前記復号対象として指定された前記第２の暗号化データの識別情報を、前記外部の装置へ送信する機能と、
前記外部の装置によって前記共有記憶領域に記憶された前記第１の暗号化データに含まれている前記第１の暗号化データ本体に対して第１の復号鍵を用いて前記第１の暗号化の解除を施して得られる前記原データ本体と、前記原データ本体に対応し前記第１のメタデータに関連する前記原メタデータとを含む前記原データを生成し、前記原データを前記記憶領域に記憶させる機能と、
前記原データに含まれている前記原メタデータに関連する前記第１のメタデータを含む前記第１の暗号化データを、前記共有記憶領域から消去する機能と、
を実現させ、
前記原メタデータと前記第１のメタデータと前記第２のメタデータとのそれぞれは、原データ識別情報、前記第１のユーザを示す第１のユーザ識別情報、前記第２のユーザを示す第２のユーザ識別情報、有効期限、前記原データ本体のデータ種別を含み、
前記コンピュータに、前記第１の記憶領域に記憶されている前記第２の暗号化データに含まれている前記第２のメタデータの前記有効期限が経過した場合に、前記第１の記憶領域に記憶されている前記第２の暗号化データを消去する機能をさらに実現させる、
ためのプログラム。
【請求項６】
コンピュータに、
外部の装置と前記コンピュータとの間でセッションを形成する機能と、
前記セッションを用いて前記外部の装置と前記コンピュータとの間の通信により前記外部の装置の第１のユーザと前記コンピュータの第２のユーザとにより共有される通信データである原データ本体を、外部のサーバに備えられている記憶領域に記憶させる機能と、
を実現させ、
暗号化処理において、
暗号化対象となるデータを指定し、その後、復号対象となるデータを指定する前記第１のユーザによって操作される前記外部の装置が前記原データ本体に対して第１の暗号鍵を用いて第１の暗号化を施すことによって生成された第１の暗号化データ本体と、前記第１の暗号化データ本体に対応する第１のメタデータとを含み、前記外部の装置によって前記記憶領域のうちの共有記憶領域に記憶された第１の暗号化データに含まれている前記第１の暗号化データ本体に対して第２の暗号鍵を用いて第２の暗号化を施して第２の暗号化データ本体を生成し、前記第２の暗号化データ本体と、前記第２の暗号化データ本体に対応し前記第１のメタデータに関連する第２のメタデータとを含む第２の暗号化データを生成し、前記第２の暗号化データを前記共有記憶領域に記憶させる機能と、
前記共有記憶領域に記憶されている前記第２の暗号化データを、前記記憶領域のうちの前記コンピュータに対応する第２の記憶領域に記憶させる機能と、
を実現させ、
復号処理において、
前記外部の装置から、前記第１のユーザによって前記復号対象として指定された前記第２の暗号化データの識別情報を受信し、前記第２の記憶領域に記憶されており前記識別情報に対応する前記第２の暗号化データに含まれている前記第２の暗号化データ本体に対して第２の復号鍵を用いて前記第２の暗号化の解除を施して前記第１の暗号化データ本体を生成し、前記第１の暗号化データ本体と、前記第１の暗号化データ本体に対応し前記第２のメタデータに関連する前記第１のメタデータとを含む前記第１の暗号化データを生成し、前記第１の暗号化データを前記共有記憶領域に記憶させる機能と、
を実現させ、
前記第１のメタデータと前記第２のメタデータとのそれぞれは、原データ識別情報、前記第１のユーザを示す第１のユーザ識別情報、前記第１のユーザによって選択され前記コンピュータを操作する前記第２のユーザを示す第２のユーザ識別情報、有効期限、前記原データ本体のデータ種別を含み、
前記コンピュータに、前記第２の記憶領域に記憶されている前記第２の暗号化データに含まれている前記第２のメタデータの前記有効期限が経過した場合に、前記第２の記憶領域に記憶されている前記第２の暗号化データを消去する機能をさらに実現させる、
プログラム。
【請求項７】
暗号化対象となるデータを指定し、その後、復号対象となるデータを指定する第１のユーザによって操作され第１の記憶装置を具備する第１の装置と、
前記第１のユーザによって選択される第２のユーザによって操作され第２の記憶装置を具備し前記第１の装置と通信可能な第２の装置と、
を具備し、
前記第１の装置および前記第２の装置は、
前記第１の装置と前記第２の装置との間でセッションを形成する機能と、
前記セッションを用いて前記第１の装置と前記第２の装置との間の通信により前記第１のユーザと前記第２のユーザとにより共有される通信データである原データ本体を前記第１の記憶装置に記憶させる機能と、
を具備し、
前記第１の装置は、
暗号化処理において、前記第１のユーザによって前記暗号化対象として指定された前記原データ本体と、前記原データ本体に対応する原メタデータとを含む原データを前記第１の記憶装置に記憶させる機能と、
前記暗号化処理において、第１の暗号鍵を用いて前記原データ本体に対して第１の暗号化を施した第１の暗号化データ本体を生成し、前記第１の暗号化データ本体と、前記第１の暗号化データ本体に対応し前記原メタデータに関連する第１のメタデータとを含む第１の暗号化データを生成し、前記第１の暗号化データを、前記第１の記憶装置に記憶させる機能と、
前記暗号化処理において、前記第１の暗号化データを前記第２の装置へ送信する機能と、
前記暗号化処理において、前記第２の装置から、第２の暗号鍵を用いて前記第１の暗号化データ本体に対して第２の暗号化を施すことによって生成された第２の暗号化データ本体と、前記第２の暗号化データ本体に対応し前記第１のメタデータに関連する第２のメタデータとを含む第２の暗号化データを受信し、前記第２の暗号化データを前記第１の記憶装置に記憶させる機能と、
前記暗号化処理において、前記第２の暗号化データに含まれている前記第２のメタデータに基づいて、前記第２のメタデータに関連する前記原メタデータを含む前記原データと、前記第２のメタデータに関連する前記第１のメタデータを含む前記第１の暗号化データとを認識し、前記原データと前記第１の暗号化データとを前記第１の記憶装置から消去する機能と、
復号処理において、前記第１のユーザによって前記復号対象として指定された前記第２の暗号化データの識別情報を、前記第２の装置へ送信する機能と、
前記復号処理において、前記第２の記憶装置に記憶されており前記識別情報に対応する前記第２の暗号化データに含まれている前記第２の暗号化データ本体に対して第２の復号鍵を用いて前記第２の暗号化の解除を施して得られる前記第１の暗号化データ本体と、前記第１の暗号化データ本体に対応し前記第２のメタデータに関連する前記第１のメタデータとを含む前記第１の暗号化データを前記第２の装置から受信し、前記第１の暗号化データを前記第１の記憶装置に記憶させる機能と、
前記復号処理において、前記第１の記憶装置に記憶されている前記第１の暗号化データに含まれている前記第１の暗号化データ本体に対して第１の復号鍵を用いて前記第１の暗号化の解除を施して前記原データ本体を生成し、前記原データ本体と、前記原データ本体に対応し前記第１のメタデータに関連する前記原メタデータとを含む前記原データを生成し、前記原データを前記第１の記憶装置に記憶させる機能と、
前記復号処理において、前記原データに含まれている前記原メタデータに関連する前記第１のメタデータを含む前記第１の暗号化データを、前記第１の記憶装置から消去する機能と、
を具備し、
前記第２の装置は、
前記暗号化処理において、前記第１の装置から前記第１の暗号化データを受信した場合に、前記第１の暗号化データを前記第２の記憶装置に記憶させる機能と、
前記暗号化処理において、前記第１の暗号化データに含まれている前記第１の暗号化データ本体に対して前記第２の暗号鍵を用いて前記第２の暗号化を施して前記第２の暗号化データ本体を生成し、前記第２の暗号化データ本体と、前記第２の暗号化データ本体に対応し前記第１のメタデータに関連する前記第２のメタデータとを含む前記第２の暗号化データを生成し、前記第２の暗号化データを前記第２の記憶装置に記憶させる機能と、
前記暗号化処理において、前記第１の装置へ前記第２の暗号化データを送信する機能と、
前記暗号化処理において、前記第２の記憶装置に記憶されている前記第１の暗号化データを、前記第２の記憶装置から消去する機能と、
前記復号処理において、前記第１の装置から前記識別情報を受信し、前記第２の記憶装置に記憶されており前記識別情報に対応する前記第２の暗号化データに含まれている前記第２の暗号化データ本体に対して前記第２の復号鍵を用いて前記第２の暗号化の解除を施して前記第１の暗号化データ本体を生成し、前記第１の暗号化データ本体と、前記第１の暗号化データ本体に対応し前記第２のメタデータに関連する前記第１のメタデータとを含む前記第１の暗号化データを生成し、前記第１の暗号化データを前記第２の記憶装置に記憶させる機能と、
前記復号処理において、前記第１の暗号化データを前記第１の装置へ送信する機能と、
前記復号処理において、前記第１の暗号化データを前記第２の記憶装置から消去する機能と、
を具備し、
前記原メタデータと前記第１のメタデータと前記第２のメタデータとのそれぞれは、原データ識別情報、前記第１のユーザを示す第１のユーザ識別情報、前記第２のユーザを示す第２のユーザ識別情報、有効期限、前記原データ本体のデータ種別を含み、
前記第１の装置は、前記第１の記憶装置に記憶されている前記第２の暗号化データに含まれている前記第２のメタデータの前記有効期限が経過した場合に、前記第１の記憶装置に記憶されている前記第２の暗号化データを消去する機能をさらに具備し、
前記第２の装置は、前記第２の記憶装置に記憶されている前記第２の暗号化データに含まれている前記第２のメタデータの前記有効期限が経過した場合に、前記第２の記憶装置に記憶されている前記第２の暗号化データを消去する機能をさらに具備する、
情報処理システム。
【請求項８】
前記原メタデータと前記第１のメタデータと前記第２のメタデータとのそれぞれは、共通の識別子をさらに含む、請求項７の情報処理システム。
【請求項９】
前記第１の装置は、前記第１の暗号化の前に、第１のリクエストを前記第２の装置へ送信する機能をさらに具備し、
前記第２の装置は、前記第１のリクエストを受信し、前記第２のユーザから前記第１のリクエストに対する同意を受け付けた場合に、前記第１の装置へ第１の同意通知を送信する機能をさらに具備し、
前記第１の装置は、前記第１の同意通知を前記第２の装置から受信した場合に、前記第１の暗号化を開始する機能をさらに具備し、
前記第１の装置は、前記第２の暗号化の解除の前に、第２のリクエストを前記第２の装置へ送信する機能をさらに具備し、
前記第２の装置は、前記第２のリクエストを受信し、前記第２のユーザから前記第２のリクエストに対する同意を受け付けた場合に、前記第１の装置へ第２の同意通知を送信する機能をさらに具備し、
前記第１の装置は、前記第２の同意通知を前記第２の装置から受信した場合に、前記第２の暗号化の解除を開始する機能をさらに具備する、
請求項７または請求項８の情報処理システム。
【請求項１０】
前記第１の装置は、前記第１のユーザから前記有効期限を延長する指示を受け付けた場合に、前記第２の装置へ延長リクエストを送信し、前記第２の装置から前記有効期限を延長することに対する延長同意通知を受信した場合に、前記第１の記憶装置に記憶されている前記第２の暗号化データに含まれている前記第２のメタデータの前記有効期限を延長する機能をさらに具備し、
前記第２の装置は、前記第１の装置から前記延長リクエストを受信し、前記第２のユーザから前記有効期限の延長に対する同意を受け付けた場合に、前記延長同意通知を前記第１の装置へ送信するとともに前記第２の記憶装置に記憶されている前記第２の暗号化データに含まれている前記第２のメタデータの前記有効期限を延長する機能をさらに具備する、
請求項９の情報処理システム。
【請求項１１】
前記第１の記憶装置は、第１の秘匿領域を備えており、
前記第２の記憶装置は、第２の秘匿領域を備えており、
前記第１の装置は、前記第１の暗号化データを前記第１の秘匿領域に記憶させ、
前記第２の装置は、前記第１の暗号化データを前記第２の秘匿領域に記憶させる、
請求項７ないし請求項１０のうちのいずれか１項の情報処理システム。
【請求項１２】
コンピュータに、
前記コンピュータと外部の装置との間でセッションを形成する機能と、
前記セッションを用いて前記コンピュータと前記外部の装置との間の通信により第１のユーザと第２のユーザとにより共有される通信データである原データ本体を記憶装置に記憶させる機能と、
を実現させ、
暗号化処理において、
暗号化対象となるデータを指定し、その後、復号対象となるデータを指定する前記第１のユーザによって前記暗号化対象として指定された前記原データ本体と、前記原データ本体に対応する原メタデータとを含む原データを前記記憶装置に記憶させる機能と、
第１の暗号鍵を用いて前記原データ本体に対して第１の暗号化を施した第１の暗号化データ本体を生成し、前記第１の暗号化データ本体と、前記第１の暗号化データ本体に対応し前記原メタデータに関連する第１のメタデータとを含む第１の暗号化データを生成し、前記第１の暗号化データを前記記憶装置に記憶させる機能と、
前記第１の暗号化データを、前記第１のユーザによって選択される前記第２のユーザによって操作される前記外部の装置へ送信する機能と、
前記外部の装置から、第２の暗号鍵を用いて前記第１の暗号化データ本体に対して第２の暗号化を施すことによって生成された第２の暗号化データ本体と、前記第２の暗号化データ本体に対応し前記第１のメタデータに関連する第２のメタデータとを含む第２の暗号化データを受信し、前記第２の暗号化データを前記記憶装置に記憶させる機能と、
前記第２の暗号化データに含まれている前記第２のメタデータに基づいて、前記第２のメタデータに関連する前記原メタデータを含む前記原データと、前記第２のメタデータに関連する前記第１のメタデータを含む前記第１の暗号化データとを認識し、前記原データと前記第１の暗号化データとを前記記憶装置から消去する機能と、
を実現させ、
復号処理において、
前記第１のユーザによって前記復号対象として指定された前記第２の暗号化データの識別情報を、前記外部の装置へ送信する機能と、
前記識別情報に対応する前記第２の暗号化データに含まれている前記第２の暗号化データ本体に対して第２の復号鍵を用いて前記第２の暗号化の解除を施して得られる前記第１の暗号化データ本体と、前記第１の暗号化データ本体に対応し前記第２のメタデータに関連する前記第１のメタデータとを含む前記第１の暗号化データを前記外部の装置から受信し、前記第１の暗号化データを前記記憶装置に記憶させる機能と、
前記記憶装置に記憶されている前記第１の暗号化データに含まれている前記第１の暗号化データ本体に対して第１の復号鍵を用いて前記第１の暗号化の解除を施して前記原データ本体を生成し、前記原データ本体と、前記原データ本体に対応し前記第１のメタデータに関連する前記原メタデータとを含む前記原データを生成し、前記原データを前記記憶装置に記憶させる機能と、
前記原データに含まれている前記原メタデータに関連する前記第１のメタデータを含む前記第１の暗号化データを、前記記憶装置から消去する機能と、
を実現させ、
前記原メタデータと前記第１のメタデータと前記第２のメタデータとのそれぞれは、原データ識別情報、前記第１のユーザを示す第１のユーザ識別情報、前記第２のユーザを示す第２のユーザ識別情報、有効期限、前記原データ本体のデータ種別を含み、
前記コンピュータに、前記記憶装置に記憶されている前記第２の暗号化データに含まれている前記第２のメタデータの前記有効期限が経過した場合に、前記記憶装置に記憶されている前記第２の暗号化データを消去する機能をさらに実現させる、
ためのプログラム。
【請求項１３】
コンピュータに、
外部の装置と前記コンピュータとの間でセッションを形成する機能と、
前記セッションを用いて前記外部の装置と前記コンピュータとの間の通信により前記外部の装置の第１のユーザと前記コンピュータの第２のユーザとにより共有される通信データである原データ本体を、前記外部の装置に記憶させる機能と、
を実現させ、
暗号化処理において、
暗号化対象となるデータを指定し、その後、復号対象となるデータを指定する前記第１のユーザによって操作される前記外部の装置から、前記原データ本体に対して第１の暗号鍵を用いて第１の暗号化を施して得られる第１の暗号化データ本体と、前記第１の暗号化データ本体に対応する第１のメタデータとを含む第１の暗号化データを受信した場合に、前記第１の暗号化データを記憶装置に記憶させる機能と、
前記第１の暗号化データに含まれている前記第１の暗号化データ本体に対して第２の暗号鍵を用いて第２の暗号化を施して第２の暗号化データ本体を生成し、前記第２の暗号化データ本体と、前記第２の暗号化データ本体に対応し前記第１のメタデータに関連する第２のメタデータとを含む第２の暗号化データを前記記憶装置に記憶させる機能と、
前記外部の装置へ前記第２の暗号化データを送信する機能と、
前記記憶装置に記憶されている前記第１の暗号化データを、前記記憶装置から消去する機能と、
を実現させ、
復号処理において、
前記外部の装置から、前記第１のユーザによって前記復号対象として指定された前記第２の暗号化データの識別情報を受信し、前記記憶装置に記憶されており前記識別情報に対応する前記第２の暗号化データに含まれている前記第２の暗号化データ本体に対して第２の復号鍵を用いて前記第２の暗号化の解除を施して前記第１の暗号化データ本体を生成し、前記第１の暗号化データ本体と、前記第１の暗号化データ本体に対応し前記第２のメタデータに関連する前記第１のメタデータとを含む前記第１の暗号化データを生成し、前記第１の暗号化データを前記記憶装置に記憶させる機能と、
前記第１の暗号化データを前記外部の装置へ送信する機能と、
前記第１の暗号化データを前記記憶装置から消去する機能と、
を実現させ、
前記第１のメタデータと前記第２のメタデータとのそれぞれは、原データ識別情報、前記第１のユーザを示す第１のユーザ識別情報、前記第１のユーザによって選択され前記コンピュータを操作する前記第２のユーザを示す第２のユーザ識別情報、有効期限、前記原データ本体のデータ種別を含み、
前記コンピュータに、前記記憶装置に記憶されている前記第２の暗号化データに含まれている前記第２のメタデータの前記有効期限が経過した場合に、前記記憶装置に記憶されている前記第２の暗号化データを消去する機能をさらに実現させる、
ためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、データの安全性を確保する情報処理システムおよびプログラムに関する。
【背景技術】
【０００２】
データの安全性を確保するために、データの使用制限、または、バックアップデータの生成が広く用いられている。
例えば、データの暗号化、パスワード認証、生体認証、２要素認証などを用いることで、正当ではないユーザによるデータの使用を制限することができる。
バックアップデータを生成することで、データの消失を防止することができ、または、破壊されたデータを復旧させることができる。【０００３】
本願に先行する特許文献として、特許第６６４４２０２号公報が挙げられる。
【発明の概要】
【発明が解決しようとする課題】
【０００４】
情報処理装置の処理能力の向上により、レベルの低い使用制限を用いると、正当ではないユーザによってデータの使用制限が解除され、データが不正使用される可能性がある。
バックアップデータを生成することにより、データを消失するリスクが軽減する。しかしながら、バックアップデータを生成するとデータの数が増え、データ漏洩の可能性が高くなる。【０００５】
本発明は、上記実情に鑑みてなされたものであり、データの安全性を確保する情報処理システムおよびプログラムに関する。
【課題を解決するための手段】
【０００６】
本発明の第１の態様の情報処理システムは、暗号化対象となるデータを指定し、その後復号対象となるデータを指定する第１のユーザによって操作される第１の装置と、第１のユーザによって選択される第２のユーザによって操作される第２の装置と、第１の装置および第２の装置と通信可能であり記憶領域を備えるサーバとを備える。第１の装置および第２の装置は、第１の装置と第２の装置との間でセッションを形成する機能と、セッションを用いて第１の装置と第２の装置との間の通信により第１のユーザと第２のユーザとにより共有される通信データである原データ本体を記憶領域に記憶させる機能とを備える。第１の装置は、暗号化処理において、第１のユーザによって暗号化対象として指定された原データ本体と、原データ本体に対応する原メタデータとを含む原データを記憶領域に記憶させる機能と、暗号化処理において、第１の暗号鍵を用いて原データ本体に対して第１の暗号化を施した第１の暗号化データ本体を生成し、第１の暗号化データ本体と、第１の暗号化データ本体に対応し原メタデータに関連する第１のメタデータとを含む第１の暗号化データを生成し、第１の暗号化データを、記憶領域のうちの共有記憶領域に記憶させる機能と、暗号化処理において、第２の装置が第２の暗号鍵を用いて第１の暗号化データに含まれている第１の暗号化データ本体に対して第２の暗号化を施すことによって生成された第２の暗号化データ本体と、第２の暗号化データ本体に対応し第1のメタデータに関連する第２のメタデータとを含み、共有記憶領域に記憶されている第２の暗号化データを、記憶領域のうちの第１の装置に対応する第１の記憶領域に記憶させる機能と、暗号化処理において、第２の暗号化データに含まれている第２のメタデータに基づいて、第２のメタデータに関連する原メタデータを含む原データと、第２のメタデータに関連する第１のメタデータを含む第１の暗号化データとを認識し、原データを記憶領域から消去し、第１の暗号化データおよび第２の暗号化データを共有記憶領域から消去する機能と、復号処理において、第１のユーザによって復号対象として指定された第２の暗号化データの識別情報を、第２の装置へ送信する機能と、復号処理において、第２の装置によって共有記憶領域に記憶された第１の暗号化データに含まれている第１の暗号化データ本体に対して第１の復号鍵を用いて第１の暗号化の解除を施して得られる原データ本体と、原データ本体に対応し第１のメタデータに関連する原メタデータとを含む原データを生成し、原データを記憶領域に記憶させる機能と、復号処理において、原データに含まれている原メタデータに関連する第１のメタデータを含む第１の暗号化データを、共有記憶領域から消去する機能と、を備える。第２の装置は、暗号化処理において、共有記憶領域に記憶されている第１の暗号化データに含まれている第１の暗号化データ本体に対して第２の暗号鍵を用いて第２の暗号化を施して第２の暗号化データ本体を生成し、第２の暗号化データ本体と、第２の暗号化データ本体に対応し第１のメタデータに関連する第２のメタデータとを含む第２の暗号化データを生成し、第２の暗号化データを共有記憶領域に記憶させる機能と、暗号化処理におい��、共有記憶領域に記憶されている第２の暗号化データを、記憶領域のうちの第２の装置に対応する第２の記憶領域に記憶させる機能と、復号処理において、第１の装置から識別情報を受信し、第２の記憶領域に記憶されており識別情報に対応する第２の暗号化データに含まれている第２の暗号化データ本体に対して第２の復号鍵を用いて第２の暗号化の解除を施して第１の暗号化データ本体を生成し、第１の暗号化データ本体と、第１の暗号化データ本体に対応し第２のメタデータに関連する第１のメタデータとを含む第１の暗号化データを生成し、第１の暗号化データを共有記憶領域に記憶させる機能と、を備える。原メタデータと第１のメタデータと第２のメタデータとのそれぞれは、原データ識別情報、第１のユーザを示す第１のユーザ識別情報、第２のユーザを示す第２のユーザ識別情報、有効期限、原データ本体のデータ種別を含む。第１の装置は、第１の記憶領域に記憶されている第２の暗号化データに含まれている第２のメタデータの有効期限が経過した場合に、第１の記憶領域に記憶されている第２の暗号化データを消去する機能をさらに備える。第２の装置は、第２の記憶領域に記憶されている第２の暗号化データに含まれている第２のメタデータの有効期限が経過した場合に、第２の記憶領域に記憶されている第２の暗号化データを消去する機能をさらに備える。
本発明の第２の態様の情報処理システムは、暗号化対象となるデータを指定し、その後復号対象となるデータを指定する第１のユーザによって操作され第１の記憶装置を備える第１の装置と、第１のユーザによって選択される第２のユーザによって操作され第２の記憶装置を備え第１の装置と通信可能な第２の装置と、を備える。第１の装置および第２の装置は、第１の装置と第２の装置との間でセッションを形成する機能と、セッションを用いて第１の装置と第２の装置との間の通信により第１のユーザと第２のユーザとにより共有される通信データである原データ本体を第１の記憶装置に記憶させる機能と、を備える。第１の装置は、暗号化処理において、第１のユーザによって暗号化対象として指定された原データ本体と、原データ本体に対応する原メタデータとを含む原データを第１の記憶装置に記憶させる機能と、暗号化処理において、第１の暗号鍵を用いて原データ本体に対して第１の暗号化を施した第１の暗号化データ本体を生成し、第１の暗号化データ本体と、第１の暗号化データ本体に対応し原メタデータに関連する第１のメタデータとを含む第１の暗号化データを生成し、第１の暗号化データを第１の記憶装置に記憶させる機能と、暗号化処理において、第１の暗号化データを第２の装置へ送信する機能と、暗号化処理において、第２の装置から、第２の暗号鍵を用いて第１の暗号化データ本体に対して第２の暗号化を施すことによって生成された第２の暗号化データ本体と、第２の暗号化データ本体に対応し第１のメタデータに関連する第２のメタデータとを含む第２の暗号化データを受信し、第２の暗号化データを第１の記憶装置に記憶させる機能と、暗号化処理において、第２の暗号化データに含まれている第２のメタデータに基づいて、第２のメタデータに関連する原メタデータを含む原データと、第２のメタデータに関連する第１のメタデータを含む第１の暗号化データとを認識し、原データと第１の暗号化データとを第１の記憶装置から消去する機能と、復号処理において、第１のユーザによって復号対象として指定された第２の暗号化データの識別情報を、第２の装置へ送信する機能と、復号処理において、第２の記憶装置に記憶されており識別情報に対応する第２の暗号化データに含まれている第２の暗号化データ本体に対して第２の復号鍵を用いて第２の暗号化の解除を施して得られる第１の暗号化データ本体と、第１の暗号化データ本体に対応し第２のメタデータに関連する第１のメタデータとを含む第１の暗号化データを第２の装置から受信し、第１の暗号化データを第１の記憶装置に記憶させる機能と、復号処理において、第１の記憶装置に記憶されている第１の暗号化データに含まれている第１の暗号化データ本体に対して第１の復号鍵を用いて第１の暗号化の解除を施して原データ本体を生成し、原データ本体と、原データ本体に対応し第１のメタデータに関連する原メタデータとを含む原データを生成し、原データを第１の記憶装置に記憶させる機能と、復号処理において、原データに含まれている原メタデータに関連する第１のメタデータを含む第１の暗号化データを、第１の記憶装置から消去する機能と、を備える。第２の装置は、暗号化処理において、第１の装置から第１の暗号化データを受信した場合に、第１の暗号化データを第２の記憶装置に記憶させる機能と、暗号化処理において、第１の暗号化データに含まれている第１の暗号化データ本体に対して第２の暗号鍵を用いて第２の暗号化を施して第２の暗号化データ本体を生成し、第２の暗号化データ本体と、第２の暗号化データ本体に対応し第１のメタデータに関連する第２のメタデータとを含む第２の暗号化データを生成し、第２の暗号化データを第２の記憶装置に記憶させる機能と、暗号化処理において、第１の装置へ第２の暗号化データを送信する機能と、暗号化処理において、第２の記憶装置に記憶されている第１の暗号化データを、第２の記憶装置から消去する機能と、復号処理において、第１の装置から識別情報を受信し、第２の記憶装置に記憶されており識別情報に対応する第２の暗号化データに含まれている第２の暗号化データ本体に対して第２の復号鍵を用いて第２の暗号化の解除を施して第１の暗号化データ本体を生成し、第１の暗号化データ本体と、第１の暗号化データ本体に対応し第２のメタデータに関連する第１のメタデータとを含む第１の暗号化データを生成し、第１の暗号化データを第２の記憶装置に記憶させる機能と、復号処理において、第１の暗号化データを第１の装置へ送信する機能と、復号処理において、第１の暗号化データを第２の記憶装置から消去する機能と、を備える。原メタデータと第１のメタデータと第２のメタデータとのそれぞれは、原データ識別情報、第１のユーザを示す第１のユーザ識別情報、第２のユーザを示す第２のユーザ識別情報、有効期限、原データ本体のデータ種別を含む。第１の装置は、第１の記憶装置に記憶されている第２の暗号化データに含まれている第２のメタデータの有効期限が経過した場合に、第１の記憶装置に記憶されている第２の暗号化データを消去する機能をさらに備える。第２の装置は、第２の記憶装置に記憶されている第２の暗号化データに含まれている第２のメタデータの有効期限が経過した場合に、第２の記憶装置に記憶されている第２の暗号化データを消去する機能をさらに備える。
【発明の効果】
【０００７】
本発明によれば、データの安全性を確保することができる。
【図面の簡単な説明】
【０００８】
【図１】第１の実施形態に係る情報処理システムの構成の一例を示すブロック図。
【図２】第１の実施形態に係る情報処理システムによって実行される暗号化処理の一例を示すフローチャート。
【図３】第１の実施形態に係る情報処理システムによって実行される復号処理の一例を示すフローチャート。
【図４】第１の実施形態に係る情報処理システムによって実行される有効期限延長処理の一例を示すフローチャート。
【図５】第１の実施形態に係る原データ、第１の暗号化データ、第２の暗号化データの関係の一例を示す図。
【図６】第２の実施形態に係る情報処理システムの一例を示すブロック図。
【図７】第３の実施形態の第８の適用例に係る情報処理システムの一例を示すブロック図。
【図８】第４の実施形態に係る第１の情報処理装置によって表示される第１の画面の例を示す図。
【図９】第４の実施形態に係る第１の情報処理装置によって表示される第２および第３の画面の例を示す図。
【図１０】第５の実施形態に係る情報処理システムの構成の一例を示すブロック図。
【図１１】第５の実施形態に係る情報処理システムによって実行される暗号化処理の一例を示すフローチャート。
【図１２】第６の実施形態に係る情報処理システムの構成の一例を示すブロック図。
【図１３】第６の実施形態に係る情報処理システムによって実行される暗号化処理の一例を示すフローチャート。
【図１４】第６の実施形態に係る情報処理システムによって実行される復号処理の一例を示すフローチャート。
【図１５】第７の実施形態に係る情報処理システムの構成の一例を示すブロック図。
【図１６】第７の実施形態に係る情報処理システムによって実現されるマルチメディアボードの例を示す図。
【図１７】第７の実施形態に係る情報処理システムによって実行される処理の一例を示すフローチャート。
【発明を実施するための形態】
【０００９】
以下、図面を参照して実施形態を説明する。図面において、同一の機能及び構成要素については、同一符号を付し、説明は省略するか、または、簡単に行う。
【００１０】
（第１の実施形態）
第１の実施形態においては、データの使用制限とバックアップデータの生成および記憶とを複数のユーザの同意に基づいて実行し、複数のユーザの同意に基づいてデータの使用を許可する情報処理システムを説明する。
【００１１】
以下の説明において、データ、ソフトウェア、または、装置の使用を制限するための処理を、使用制限処理という。データ、ソフトウェア、または、装置の使用制限を解除するための処理を、制限解除処理という。
【００１２】
使用制限処理は、例えば、データの暗号化、パスワード設定による使用制限、生体データ認証に基づく使用制限、２要素認証に基づく使用制限、集積回路（例えばＩＣチップ）に記憶されているユーザ認証情報に基づく使用制限などを含む。
【００１３】
制限解除処理は、例えば、データの復号、パスワード認証による使用制限の解除、生体データ認証に基づく使用制限の解除、２要素認証に基づく使用制限の解除、集積回路に記憶されているユーザ認証情報に基づく使用制限の解除などを含む。
【００１４】
第１の実施形態では、原データに対する使用制限処理として暗号化を実行し、暗号化されたデータに対する制限解除処理として復号を実行する場合を例として説明する。しかしながら、使用制限処理および制限解除処理として、他の処理が用いられてもよい。暗号化の方式および復号の方式として、様々な方式を用いることができる。
【００１５】
図１は、第１の実施形態に係る情報処理システム１の構成の一例を示すブロック図である。
【００１６】
情報処理システム１は、第１の情報処理装置２と第２の情報処理装置３とを備える。
【００１７】
第１の情報処理装置２と第２の情報処理装置３とは、互いに通信可能である。第１の情報処理装置２と第２の情報処理装置３との間で実行される通信は、例えば、近距離無線通信、無線ＬＡＮ（Local Area Network）通信、または、インターネットで用いられる通信などを含む。
【００１８】
第１の情報処理装置２は、第１のユーザＵ１によって操作される。第２の情報処理装置３は、第２のユーザＵ２によって操作される。第１および第２の情報処理装置２，３は、例えば、コンピュータ、携帯電話機、携帯型情報端末、または、スマートウォッチなどの各種のデバイスである。
【００１９】
以下で第１の情報処理装置２を説明する。
【００２０】
第１の情報処理装置２は、操作受付装置４と、表示装置５と、通信装置６と、記憶装置７と、プロセッサ８とを備える。
【００２１】
操作受付装置４は、例えば、マウス、タッチパネル、タッチパッドなどのポインティングデバイス、または、キーボードなどである。
【００２２】
表示装置５は、例えば、有機ＥＬ（Electro Luminescence）ディスプレイ、または、液晶ディスプレイなどの表示機器である。表示装置５は、例えば、プロセッサ８による制御にしたがって各種のデータまたは情報を表示する。
【００２３】
操作受付装置４と表示装置５とは、第１の情報処理装置２のユーザインタフェース機器として使用される。
【００２４】
通信装置６は、例えばプロセッサ８による制御にしたがって、無線または有線により、例えば第２の情報処理装置３などの他の装置と、データ、情報、信号、リクエスト、コマンド、指示、通知、呼び出し、または、応答の送受信を行う。
【００２５】
記憶装置７は、第１の情報処理装置２によって利用可能な１以上のメモリである。記憶装置７は、例えば、不揮発性メモリと揮発性メモリとを備える。記憶装置７は、例えば、原データ９と、オペレーティング・システム（以下、ＯＳという）１０と、アプリケーション・ソフトウェア１１と、第１のユーザＵ１に対応する暗号鍵１２および復号鍵１３とを記憶する。記憶装置７は、秘匿領域７ｓを含む。
【００２６】
暗号鍵１２は、第１のユーザＵ１によって生成されてもよく、例えばアプリケーション・ソフトウェア１１などの第１の情報処理装置２の構成要素によって生成されてもよく、暗号鍵発行人（自然人または法人）によって発行されてもよい。
【００２７】
復号鍵１３は、第１のユーザＵ１によって生成されてもよく、例えばアプリケーション・ソフトウェア１１などの第１の情報処理装置２の構成要素によって生成されてもよく、復号鍵発行人（自然人または法人）によって発行されてもよい。
【００２８】
原データ９は、第１の実施形態における処理対象のデータである。
【００２９】
ＯＳ１０は、プロセッサ８により実行され、第１の情報処理装置２に備えられている各種の装置を制御する。
【００３０】
プロセッサ８は、アプリケーション・ソフトウェア１１を実行することにより、ユーザ認証部１４、データ取得部１５、暗号化部１６、通信制御部１７、データ処理部１８、復号部１９として機能する。プロセッサ８は、例えば、ＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）、または、ＧＰＵ（Graphics Processing Unit）などである。
【００３１】
まず、第１の情報処理装置２によって実行される暗号化処理を説明する。
【００３２】
プロセッサ８がＯＳ１０の制御にしたがってアプリケーション・ソフトウェア１１を起動すると、ユーザ認証部１４は、第１の情報処理装置２の第１のユーザＵ１に対してアプリケーション・ソフトウェア１１の使用が許可されているか否かを判断する。ユーザ認証部１４は、第１のユーザＵ１の認証のために、上記の各種の使用制限処理を用いることができる。より具体的な例として、ユーザ認証部１４は、例えば、パスワード認証、生体データ認証、２要素認証などにより第１のユーザＵ１がアプリケーション・ソフトウェア１１の使用権限を有するか否かを判断する。
【００３３】
データ取得部１５は、第１のユーザＵ１に対してアプリケーション・ソフトウェア１１の使用が許可されていると判断された場合に、原データ９を取得する。例えば、データ取得部１５は、第１のユーザＵ１による生成済みの原データ９の指定を操作受付装置４経由で受け付け、当該指定に基づいて記憶装置７または他の情報処理装置から原データ９を取得してもよい。例えば、データ取得部１５は、第１のユーザＵ１による操作を操作受付装置４経由で受け付け、第１のユーザＵ１による操作にしたがって原データ９を生成してもよい。
【００３４】
データ取得部１５は、例えば、第１のユーザＵ１から操作受付装置４経由で第２のユーザＵ２の指定（バックアップ記憶の相手の指定）を受け付けてもよく、複数の候補の中から第２のユーザＵ２を選択してもよい。
【００３５】
データ取得部１５は、所定の期間ごとに原データ９を取得してもよい。例えば、データに時間データが付されており、データ取得部１５は、時間データの示す時間から所定の時間を経過したデータに基づいて原データ９を生成してもよい。
【００３６】
原データ９は、例えば、メタデータ９ｍと原データ本体９ｄとを備える。
【００３７】
メタデータ９ｍは、原データ本体９ｄの属性または特徴を示す情報を含む。メタデータ９ｍは、例えば、原データ本体９ｄの付加情報である。メタデータ９ｍは、例えば、原データ９の識別情報（例えば名称、データＩＤ、または、タイトル）、第１のユーザＵ１の識別情報（例えば第１のユーザＵ１の名称、ユーザＩＤ、または、通信アドレス）、第２のユーザＵ２の識別情報（例えば第２のユーザＵ２の名称、ユーザＩＤ、または、通信アドレス）、メタデータ９ｍに対応する原データ本体９ｄの位置情報、時間データ（例えばタイムスタンプ、または、原データ９の生成時間を含む）、有効期限、原データ本体９ｄのデータ種別などを備える。第１の実施形態において、第１のユーザＵ１の識別情報とともに、または、第１のユーザＵ１の識別情報に代えて、第１の情報処理装置２の識別情報が用いられてもよい。第１の実施形態において、第２のユーザＵ２の識別情報とともに、または、第２のユーザＵ２の識別情報に代えて、第２の情報処理装置３の識別情報が用いられてもよい。有効期限は、メタデータ９ｍに設定されていなくてもよい。メタデータ９ｍは、有効期限に代えて、原データ９を存続させるか否かの判断に用いられる他の情報を含むとしてもよい。
【００３８】
メタデータ９ｍのうちの少なくとも一部は、第１のユーザＵ１が操作受付装置４を操作して入力してもよい。アプリケーション・ソフトウェア１１は、メタデータ９ｍのうちの少なくとも一部を、第１のユーザＵ１に対応する設定情報２０に基づいて生成してもよい。この場合、アプリケーション・ソフトウェア１１は設定情報２０を含むとしてもよい。アプリケーション・ソフトウェア１１と設定情報２０とは分離されていてもよい。
【００３９】
原データ本体９ｄは、例えば、テキストデータ（例えばメッセージデータ）、画像データ（静止画データまたは動画データ）、音データ（例えば会話データ）、テキストデータと画像データと音データとのうちの少なくとも２つの組み合わせを含むファイル、などである。原データ本体９ｄは、第１のユーザＵ１が安全性を確保した状態でバックアップデータを生成したいデータである。
【００４０】
原データ本体９ｄは、例えば、第１のユーザＵ１と第２のユーザＵ２との間で交換されたメッセージデータでもよい。原データ本体９ｄは、例えば、第１のユーザＵ１と第２のユーザＵ２とを撮影した写真データまたは映像データでもよい。原データ本体９ｄは、例えば、第１のユーザＵ１と第２のユーザＵ２との会話を録音した音声データでもよい。原データ本体９ｄは、例えば、第１のユーザＵ１と第２のユーザＵ２とが同意した内容を記載したテキストデータでもよい。
【００４１】
データ取得部１５は、取得した原データ９を、アプリケーション・ソフトウェア１１によって管理される記憶装置７の秘匿領域７ｓに記憶させる。
【００４２】
本実施形態において、秘匿領域７ｓとは、ユーザＵ１が自由にアクセス可能な領域ではなく、ＯＳ１０とアプリケーション・ソフトウェア１１とによるシステム制御にしたがってアクセス可能な領域である。秘匿領域７ｓは、例えば、アプリケーション・ソフトウェア１１で使用される専用格納領域でもよい。なお、秘匿領域７ｓは、例えば、キャッシュメモリまたはバッファメモリなどのような揮発性メモリの領域でもよい。
【００４３】
暗号化部１６は、秘匿領域７ｓに記憶されている原データ９と第１のユーザＵ１に対応する暗号鍵１２とを読み出し、暗号鍵１２を用いて原データ９の原データ本体９ｄを暗号化して第１の暗号化データ２１を生成する。
【００４４】
第１の暗号化データ２１は、例えば、第１のメタデータ２１ｍと第１の暗号化データ本体２１ｄとを備える。
【００４５】
第１のメタデータ２１ｍは、第１の暗号化データ本体２１ｄの属性または特徴を示す情報を含む。第１のメタデータ２１ｍは、例えば、第１の暗号化データ本体２１ｄの付加情報である。第１のメタデータ２１ｍは、第１の暗号化データ２１の識別情報（例えば名称、データＩＤ、タイトル）、原データ９の識別情報、第１のユーザＵ１の識別情報、第２のユーザＵ２の識別情報、第１のメタデータ２１ｍに対応する第１の暗号化データ本体２１ｄの位置情報、時間データ（例えば、タイムスタンプ、原データ９の生成時間、第１の暗号化データ２１の生成時間、を含む）、有効期限、第１の暗号化データ本体２１ｄのデータ種別などを備える。
【００４６】
第１の暗号化データ本体２１ｄは、暗号鍵１２を用いて原データ本体９ｄを暗号化したデータである。
【００４７】
暗号化部１６は、第１の暗号化データ２１を記憶装置７の秘匿領域７ｓに記憶させる。
【００４８】
通信制御部１７は、セキュリティ・バックアップ・リクエスト（言い換えれば、暗号化リクエスト）を、通信装置６経由で第２の情報処理装置３へ送信する。
【００４９】
そして、通信制御部１７は、第２の情報処理装置３から通信装置６経由で、第２の情報処理装置３で第２のユーザＵ２の認証が成功したことを示す通知を受信した場合に、秘匿領域７ｓに記憶されている第１の暗号化データ２１を、通信装置６経由で第２の情報処理装置３へ送信する。
【００５０】
通信制御部１７は、第２の情報処理装置３から通信装置６経由で、セキュリティ・バックアップ・リクエストおよび第１の暗号化データ２１の応答として、第２の暗号化データ２２を受信し、第２の暗号化データ２２を記憶装置７に記憶させる。
【００５１】
第２の暗号化データ２２は、例えば、第２のメタデータ２２ｍと第２の暗号化データ本体２２ｄとを備える。
【００５２】
第２のメタデータ２２ｍは、第２の暗号化データ本体２２ｄの属性または特徴を示す情報を含む。第２のメタデータ２２ｍは、例えば、第２の暗号化データ本体２２ｄの付加情報である。第２のメタデータ２２ｍは、第２の暗号化データ２２の識別情報（例えば名称、データＩＤ、または、タイトル）、第１の暗号化データ２１の識別情報、原データ９の識別情報、第１のユーザＵ１の識別情報、第２のユーザＵ２の識別情報、第２のメタデータ２２ｍに対応する第２の暗号化データ本体２２ｄの位置情報、時間データ（例えば、タイムスタンプ、原データ９の生成時間、第２の暗号化データ２２の生成時間、第２の暗号化データ２２に対して復号処理が実行された場合の時間、を含む）、有効期限、第２の暗号化データ本体２２ｄのデータ種別などを備える。
【００５３】
第２の暗号化データ本体２２ｄは、第２のユーザＵ２に対応する暗号鍵２３を用いて第１の暗号化データ本体２１ｄを暗号化したデータである。
【００５４】
データ処理部１８は、第２の暗号化データ２２が記憶装置７に記憶された場合に、第２のメタデータ２２ｍに含まれている第１の暗号化データ２１の識別情報に基づいて、秘匿領域７ｓから第１の暗号化データ２１を消去する。なお、データ処理部１８は、第２の暗号化データ２２が記憶装置７に記憶された場合に、第２のメタデータ２２ｍに含まれている原データ９の識別情報に基づいて、秘匿領域７ｓから原データ９を消去してもよい。
【００５５】
データ処理部１８は、記憶装置７に記憶されている第２の暗号化データ２２の第２のメタデータ２２ｍを読み出し、第２のメタデータ２２ｍに含まれている有効期限が経過しているか否かを判断する。そして、データ処理部１８は、有効期限が経過している場合に、記憶装置７から第２の暗号化データ２２を消去する。
【００５６】
データ処理部１８は、有効期限を確認するために、例えば、所定の周期で、第２のメタデータ２２ｍを読み出してもよく、第１のユーザＵ１から操作受付装置４経由で受け付けた有効期限確認のリクエストに応じて第２のメタデータ２２ｍを読み出してもよい。
【００５７】
データ処理部１８は、第２のメタデータ２２ｍの有効期限をチェックし、有効期限が経過する前に、第１のユーザＵ１に対して第２の暗号化データ２２の有効期限が経過する日時が近いことを知らせる警報処理（言い換えれば、リマインド処理）を実行してもよい。具体的には、データ処理部１８は、例えば、有効期限が経過する前に、第２の暗号化データ２２の識別情報と有効期限とを含む警報画面を表示装置５に表示させてもよい。
【００５８】
データ処理部１８は、第１のユーザＵ１から有効期限を延長するための操作を操作受付装置４経由で受け付けてもよい。
【００５９】
データ処理部１８は、第１のユーザＵ１から有効期限延長の操作を受け付けると、第２のメタデータ２２ｍに含まれている有効期限を、新たな有効期限で更新する。
【００６０】
あるいは、データ処理部１８は、第１のユーザＵ１から有効期限延長の操作を受け付けると、有効期限延長リクエストおよび第２の暗号化データ２２の識別情報を、通信装置６経由で第２の情報処理装置３へ送信してもよい。この場合、データ処理部１８は、第２の情報処理装置３から通信装置６経由で延長同意通知および第２の暗号化データ２２の識別情報を受信した場合に、第２のメタデータ２２ｍに含まれている有効期限を、新たな有効期限で更新する。
【００６１】
データ処理部１８は、第２の情報処理装置３から通信装置６経由で有効期限延長リクエストおよび第２の暗号化データ２２の識別情報を受信してもよい。この場合、データ処理部１８は、第２の暗号化データ２２の識別情報と有効期限とを含み有効期限の延長に同意するか否かの判断を第１のユーザＵ１に促す画面を、表示装置５に表示させる。データ処理部１８は、第１のユーザＵ１から有効期限延長の同意を受け付けると、延長同意通知および第２の暗号化データ２２の識別情報を、通信装置６経由で第２の情報処理装置３へ送信する。また、データ処理部１８は、第２の情報処理装置３から通信装置６経由で有効期限延長リクエストおよび第２の暗号化データ２２の識別情報を受信し、かつ、第１のユーザＵ１から有効期限延長の同意を受け付けた場合に、記憶装置７に記憶されている第２のメタデータ２２ｍの有効期限を、新たな有効期限で更新してもよい。
【００６２】
データ処理部１８は、上記のアプリケーション・ソフトウェア１１に基づく暗号化処理に関する履歴情報に基づいて記憶装置７に記憶されている履歴データ２４を更新する。
【００６３】
次に、第１の情報処理装置２によって実行される復号処理を説明する。
【００６４】
プロセッサ８がＯＳ１０の制御にしたがってアプリケーション・ソフトウェア１１を起動すると、ユーザ認証部１４は、第１のユーザＵ１に対してアプリケーション・ソフトウェア１１の使用が許可されているか否かを判断する。
【００６５】
データ取得部１５は、第１のユーザＵ１に対してアプリケーション・ソフトウェア１１の使用が許可されていると判断された場合に、復号リクエストを、通信装置６経由で第２の情報処理装置３へ送信する。
【００６６】
データ取得部１５は、復号リクエストの応答として第２のユーザＵ２の認証が成功したことを示す通知を受信した場合に、第１のユーザＵ１によって復号対象として指定された第２の暗号化データ２２の識別情報を、通信装置６経由で第２の情報処理装置３へ送信する。なお、データ取得部１５は、第２のユーザＵ２の認証が成功したことを示す通知を受信した場合に、第２の暗号化データ２２の識別情報に代えて第２の暗号化データ２２自体を、通信装置６経由で第２の情報処理装置３へ送信してもよい。
【００６７】
データ取得部１５は、第２の情報処理装置３から通信装置６経由で、復号リクエストおよび第２の暗号化データ２２の識別情報の応答として、第１の暗号化データ２１を受信し、第１の暗号化データ２１を秘匿領域７ｓへ記憶させる。
【００６８】
復号部１９は、記憶装置７に記憶されている第１のユーザＵ１に対応する復号鍵１３に基づいて、秘匿領域７ｓに記憶されている第１の暗号化データ２１の第１の暗号化データ本体２１ｄを復号し、復号した結果である復号データ２５を生成し、復号データ２５を記憶装置７に記憶させる。
【００６９】
復号データ２５は、例えば、メタデータ２５ｍと復号データ本体２５ｄとを備える。
【００７０】
メタデータ２５ｍは、復号データ本体２５ｄの属性または特徴を示す情報を含む。メタデータ２５ｍは、例えば、復号データ本体２５ｄの付加情報である。メタデータ２５ｍは、復号データ２５の識別情報（例えば名称、データＩＤ、または、タイトル）、第２の暗号化データ２２の識別情報、第１の暗号化データ２１の識別情報、原データ９の識別情報、第１のユーザＵ１の識別情報、第２のユーザＵ２の識別情報、メタデータ２５ｍに対応する復号データ本体２５ｄの位置情報、時間データ（例えば、タイムスタンプ、原データ９の生成時間、第２の暗号化データ２２の生成時間、復号データ２５の生成時間、を含む）、有効期限、復号データ本体２５ｄのデータ種別などを備える。
【００７１】
復号データ本体２５ｄは、第１のユーザＵ１に対応する復号鍵１３を用いて第１の暗号化データ本体２１ｄを復号したデータである。復号データ本体２５ｄは、原データ本体９ｄと整合する。
【００７２】
データ処理部１８は、第２の暗号化データ２２に対する復号処理が実行された場合（言い換えれば、第１のユーザＵ１によって第２の暗号化データ２２が利用された場合）に、第２のメタデータ２２ｍに含まれている有効期限を、新たな有効期限で更新するか、または、解除してもよい。
【００７３】
データ処理部１８は、第２の暗号化データ２２に対する復号処理が実行された場合に、秘匿領域７ｓから第１の暗号化データ２１を消去してもよく、記憶装置７に記憶されている第２の暗号化データ２２を消去してもよい。
【００７４】
データ処理部１８は、第２の暗号化データ２２に対する復号処理が実行された場合に、第２の暗号化データ２２の第２のメタデータ２２ｍの時間データに、第２の暗号化データ２２に対する復号処理の実行時間情報（例えば、復号日時）を追加してもよい。
【００７５】
データ処理部１８は、上記のアプリケーション・ソフトウェア１１に基づく復号処理に関する履歴情報に基づいて記憶装置７に記憶されている履歴データ２４を更新する。
【００７６】
以下で第２の情報処理装置３を説明する。
【００７７】
第２の情報処理装置３は、操作受付装置２６と、表示装置２７と、通信装置２８と、記憶装置２９と、プロセッサ３０とを備える。
【００７８】
操作受付装置２６および表示装置２７は、先に説明した操作受付装置４および表示装置５と同様であるため説明を省略する。
【００７９】
通信装置２８は、例えばプロセッサ３０による制御にしたがって、無線または有線により、例えば第１の情報処理装置２などの他の装置と、データ、情報、信号、リクエスト、コマンド、指示、通知、呼び出し、または、応答の送受信を行う。
【００８０】
記憶装置２９は、第２の情報処理装置３によって利用可能な１以上のメモリである。記憶装置２９は、例えば、不揮発性メモリと揮発性メモリとを備える。記憶装置２９は、例えば、ＯＳ３１と、アプリケーション・ソフトウェア３２と、第２のユーザＵ２に対応する暗号鍵２３および復号鍵３３とを記憶する。記憶装置２９は、秘匿領域２９ｓを含む。秘匿領域２９ｓは、例えば、アプリケーション・ソフトウェア３２で使用される専用格納領域でもよい。
【００８１】
暗号鍵２３は、第２のユーザＵ２によって生成されてもよく、例えばアプリケーション・ソフトウェア３２などの第２の情報処理装置３の構成要素によって生成されてもよく、暗号鍵発行人によって発行されてもよい。
【００８２】
復号鍵３３は、第２のユーザＵ２によって生成されてもよく、例えばアプリケーション・ソフトウェア３２などの第２の情報処理装置３の構成要素によって生成されてもよく、復号鍵発行人によって発行されてもよい。
【００８３】
ＯＳ３１は、プロセッサ３０により実行され、第２の情報処理装置３に備えられている各種の装置を制御する。
【００８４】
プロセッサ３０は、アプリケーション・ソフトウェア３２を実行することにより、ユーザ認証部３４、データ取得部３５、暗号化部３６、通信制御部３７、データ処理部３８、復号部３９として機能する。
【００８５】
まず、第２の情報処理装置３によって実行される暗号化処理を説明する。
【００８６】
プロセッサ３０によって実行されているＯＳ３１が、第１の情報処理装置２から通信装置２８経由で、セキュリティ・バックアップ・リクエストを受信すると、プロセッサ３０は、ＯＳ３１の制御にしたがってアプリケーション・ソフトウェア３２を起動する。
【００８７】
なお、第２の情報処理装置３は、アプリケーション・ソフトウェア３２の起動後に、セキュリティ・バックアップ・リクエストを受信してもよい。
【００８８】
プロセッサ３０がアプリケーション・ソフトウェア３２を起動すると、ユーザ認証部３４は、第２の情報処理装置３の第２のユーザＵ２に対してアプリケーション・ソフトウェア３２の使用が許可されているか否かを判断する。ユーザ認証部３４は、第２のユーザＵ２の認証のために、上記の各種の使用制限処理を用いることができる。
【００８９】
ユーザ認証部３４は、第２のユーザＵ２に対してアプリケーション・ソフトウェア３２の使用が許可されていると判断した場合に、第２の情報処理装置３で第２のユーザＵ２の認証が成功したことを示す通知を、通信装置２８経由で第１の情報処理装置２へ送信する。
【００９０】
データ取得部３５は、第２のユーザＵ２の認証が成功したことを示す通知の応答として、第１の暗号化データ２１を、第１の情報処理装置２から通信装置２８経由で受信し、第１の暗号化データ２１を記憶装置２９の秘匿領域２９ｓに記憶させる。
【００９１】
暗号化部３６は、秘匿領域２９ｓに記憶されている第１の暗号化データ２１と第２のユーザＵ２に対応する暗号鍵２３とを読み出し、暗号鍵２３を用いて第１の暗号化データ２１の第１の暗号化データ本体２１ｄを暗号化し、第２の暗号化データ２２を生成する。
【００９２】
暗号化部３６は、第２の暗号化データ２２を記憶装置２９に記憶させる。
【００９３】
通信制御部３７は、記憶装置２９に記憶されている第２の暗号化データ２２を、通信装置２８経由で第１の情報処理装置２へ送信する。
【００９４】
データ処理部３８は、第２の暗号化データ２２が記憶装置２９に記憶された場合に、第２のメタデータ２２ｍに含まれている第１の暗号化データ２１の識別情報に基づいて、秘匿領域２９ｓから第１の暗号化データ２１を消去する。
【００９５】
データ処理部３８は、記憶装置２９に記憶されている第２の暗号化データ２２の第２のメタデータ２２ｍを読み出し、第２のメタデータ２２ｍに含まれている有効期限が経過しているか否かを判断する。そして、データ処理部３８は、有効期限が経過している場合に、記憶装置２９から第２の暗号化データ２２を消去する。
【００９６】
データ処理部３８は、有効期限を確認するために、例えば、所定の周期で、第２のメタデータ２２ｍを読み出してもよく、第２のユーザＵ２から受け付けた有効期限確認のリクエストに応じて第２のメタデータ２２ｍを読み出してもよい。
【００９７】
データ処理部３８は、第２のメタデータ２２ｍの有効期限をチェックし、有効期限が経過する前に、第２のユーザＵ２に対して第２の暗号化データ２２の有効期限が経過する日時が近いことを知らせる警報処理を実行してもよい。
【００９８】
データ処理部３８は、第２のユーザＵ２から有効期限を延長するための操作を操作受付装置２６によって受け付けてもよい。
【００９９】
データ処理部３８は、第２のユーザＵ２から有効期限延長の操作を受け付けると、第２のメタデータ２２ｍに含まれている有効期限を、新たな有効期限で更新する。
【０１００】
あるいは、データ処理部３８は、第２のユーザＵ２から有効期限延長の操作を受け付けると、有効期限延長リクエストおよび第２の暗号化データ２２の識別情報を、通信装置２８経由で第１の情報処理装置２へ送信してもよい。この場合、データ処理部３８は、第１の情報処理装置２から通信装置２８経由で延長同意通知および第２の暗号化データ２２の識別情報を受信した場合に、第２のメタデータ２２ｍに含まれている有効期限を、新たな有効期限で更新する。
【０１０１】
データ処理部３８は、第１の情報処理装置２から通信装置２８経由で有効期限延長リクエストおよび第２の暗号化データ２２の識別情報を受信してもよい。この場合、データ処理部３８は、第２の暗号化データ２２の識別情報と有効期限とを含み有効期限の延長に同意するか否かの判断を第２のユーザＵ２に促す画面を、表示装置２７に表示させる。データ処理部３８は、第２のユーザＵ２から有効期限延長の同意を受け付けると、延長同意通知および第２の暗号化データ２２の識別情報を、通信装置２８経由で第１の情報処理装置２へ送信する。また、データ処理部３８は、第１の情報処理装置２から通信装置２８経由で有効期限延長リクエストおよび第２の暗号化データ２２の識別情報を受信し、かつ、第２のユーザＵ２から有効期限延長の同意を受け付けた場合に、記憶装置２９に記憶されている第２のメタデータ２２ｍの有効期限を、新たな有効期限で更新してもよい。
【０１０２】
データ処理部３８は、上記のアプリケーション・ソフトウェア３２に基づく暗号化処理に関する履歴情報に基づいて記憶装置２９に記憶されている履歴データ４０を更新する。
【０１０３】
次に、第２の情報処理装置３によって実行される復号処理を説明する。
【０１０４】
プロセッサ３０によって実行されているＯＳ３１が、第１の情報処理装置２から通信装置２８経由で、復号リクエストと第２の暗号化データ２２の識別情報とを受信すると、プロセッサ３０は、ＯＳ３１の制御にしたがってアプリケーション・ソフトウェア３２を起動する。
【０１０５】
なお、第２の情報処理装置３は、アプリケーション・ソフトウェア３２の起動後に、復号リクエストと第２の暗号化データ２２の識別情報とを受信してもよい。
【０１０６】
プロセッサ３０がアプリケーション・ソフトウェア３２を起動すると、ユーザ認証部３４は、第２の情報処理装置３の第２のユーザＵ２に対してアプリケーション・ソフトウェア３２の使用が許可されているか否かを判断する。
【０１０７】
ユーザ認証部３４は、第２のユーザＵ２の認証が成功した場合に、第２のユーザＵ２の認証が成功したことを示す通知を、通信装置２８経由で第１の情報処理装置２へ送信する。
【０１０８】
なお、ユーザ認証部３４は、復号リクエストに基づく復号処理を実行してよいか否かを、第１のユーザＵ１の第１の情報処理装置２へ再度確認する処理を実行してもよい。この場合、ユーザ認証部３４は、第１の情報処理装置２から通信装置２８経由で、再度、復号リクエストを受信した場合に、第２のユーザＵ２に対して以降の復号処理を許可する。
【０１０９】
データ取得部３５は、第２のユーザＵ２に対してアプリケーション・ソフトウェア３２の使用が許可されていると判断された場合に、第１の情報処理装置２から通信装置２８経由で、第２の暗号化データ２２の識別情報を受信する。
【０１１０】
復号部３９は、受信された第２の暗号化データ２２の識別情報を含み復号に同意するか否かの判断を第２のユーザＵ２に促す画面を、表示装置２７に表示させる。
【０１１１】
復号部３９は、第２のユーザＵ２から復号に同意する指示を受け付けた場合に、記憶装置２９に記憶されている第２の暗号化データ２２を読み出し、記憶装置２９に記憶されている復号鍵３３を用いて第２の暗号化データ２２の第２の暗号化データ本体２２ｄを復号し、第１の暗号化データ２１を生成し、第１の暗号化データ２１を記憶装置２９の秘匿領域２９ｓに記憶させる。あるいは、復号部３９は、第２のユーザＵ２から復号に同意する指示を受け付けた場合に、復号鍵３３を用いて、第１の情報処理装置２から通信装置２８経由で受信された第２の暗号化データ２２の第２の暗号化データ本体２２ｄを復号してもよい。
【０１１２】
通信制御部３７は、秘匿領域２９ｓに記憶されている第１の暗号化データ２１を、通信装置２８経由で第１の情報処理装置２へ送信する。
【０１１３】
データ処理部３８は、第２の暗号化データ２２に対する復号処理が実行された場合に、第２のメタデータ２２ｍに含まれている有効期限を、新たな有効期限で更新するか、または、解除してもよい。
【０１１４】
データ処理部３８は、第１の暗号化データ２１が通信装置２８経由で第１の情報処理装置２へ送信された場合に、秘匿領域２９ｓから第１の暗号化データ２１を消去してもよい。データ処理部３８は、第２の暗号化データ２２に対する復号処理が実行された場合に、第２の暗号化データ２２を消去してもよい。
【０１１５】
データ処理部３８は、第２の暗号化データ２２に対する復号処理が実行された場合に、記憶装置２９に記憶されている第２の暗号化データ２２の第２のメタデータ２２ｍの時間データに、第２の暗号化データ２２に対する復号処理の実行時間情報を追加してもよい。
【０１１６】
データ処理部３８は、上記のアプリケーション・ソフトウェア３２に基づく復号処理に関する履歴情報に基づいて記憶装置２９に記憶されている履歴データ４０を更新する。
【０１１７】
この第１の実施形態では、第２の情報処理装置３が、第１の情報処理装置２から受信した復号リクエストに基づいて復号処理を実行する場合を例として説明している。しかしながら、第２の情報処理装置３が、第１の情報処理装置２から復号リクエストを受信することなく自発的に第２の暗号化データ２２の第２の暗号化データ本体２２ｄを復号して第１の暗号化データ２１を生成し、第１の暗号化データ２１を復号するための復号リクエストと、第１の暗号化データ２１とを、第１の情報処理装置２へ送信してもよい。
【０１１８】
図２は、第１の実施形態に係る情報処理システム１によって実行される暗号化処理の一例を示すフローチャートである。
【０１１９】
第１の情報処理装置２において、プロセッサ８は、ＯＳ１０の制御にしたがってアプリケーション・ソフトウェア１１を起動する（Ｓ２０１）。
【０１２０】
ユーザ認証部１４は、第１のユーザＵ１に対する認証を実行する（Ｓ２０２）。認証に失敗した場合、処理は終了する。
【０１２１】
データ取得部１５は、第１のユーザＵ１の認証に成功した場合に、原データ９を取得し、原データ９を秘匿領域７ｓに記憶させる（Ｓ２０３）。
【０１２２】
暗号化部１６は、第１のユーザＵ１に対応する暗号鍵１２を用いて秘匿領域７ｓに記憶されている原データ９の原データ本体９ｄを暗号化し、第１の暗号化データ２１を生成し、第１の暗号化データ２１を秘匿領域７ｓに記憶させる（Ｓ２０４）。
【０１２３】
通信制御部１７は、第１のユーザＵ１に対するユーザ認証が成功した場合に、セキュリティ・バックアップ・リクエスト５６を、通信装置６経由で第２の情報処理装置３へ送信する（Ｓ２０５）。
【０１２４】
通信制御部１７は、第２の情報処理装置３から通信装置６経由で、第２の情報処理装置３で第２のユーザＵ２の認証が成功したことを示す通知５７を受信した場合に、秘匿領域７ｓに記憶されている第１の暗号化データ２１を、通信装置６経由で第２の情報処理装置３へ送信する（Ｓ２０６）。なお、第２のユーザＵ２の認証が成功したことを示す通知５７を受信しない場合、処理は終了する。
【０１２５】
第１の実施形態において、Ｓ２０４における第１の暗号化データ２１の生成と、Ｓ２０５におけるセキュリティ・バックアップ・リクエストの送信とは、逆の順序で実行されてもよい。
【０１２６】
第１の情報処理装置２において、通信制御部１７は、第２の情報処理装置３から通信装置６経由で第２の暗号化データ２２を受信すると、第２の暗号化データ２２を記憶装置７に記憶させる（Ｓ２０７）。
【０１２７】
データ処理部１８は、秘匿領域７ｓから第１の暗号化データ２１を消去する（Ｓ２０８）。なお、データ処理部１８は、秘匿領域７ｓから原データ９を消去してもよい。
【０１２８】
データ処理部１８は、履歴データ２４を更新する（Ｓ２０９）。
【０１２９】
第２の情報処理装置３において、プロセッサ３０によって実行されているＯＳ３１は、第１の情報処理装置２から通信装置２８経由で、セキュリティ・バックアップ・リクエスト５６を受信する（Ｓ２１０）。
【０１３０】
プロセッサ３０は、セキュリティ・バックアップ・リクエスト５６を受信すると、アプリケーション・ソフトウェア３２を起動する（Ｓ２１１）。
【０１３１】
なお、第１の実施形態において、Ｓ２１０におけるセキュリティ・バックアップ・リクエストの受信と、Ｓ２１１におけるアプリケーション・ソフトウェア３２の起動とは、逆の順序で実行されてもよい。
【０１３２】
ユーザ認証部３４は、第２のユーザＵ２に対する認証を実行する。ユーザ認証部３４は、第２のユーザＵ２に対してアプリケーション・ソフトウェア３２の使用が許可されていると判断した場合に、第２のユーザＵ２の認証が成功したことを示す通知５７を、通信装置２８経由で第１の情報処理装置２へ送信する（Ｓ２１２）。ユーザ認証部３４は、認証に失敗した場合、認証失敗通知を通信装置２８経由で第１の情報処理装置２へ送信し、処理は終了する。
【０１３３】
データ取得部３５は、第２のユーザＵ２の認証に成功した場合に、第１の情報処理装置２から通信装置２８経由で、第１の暗号化データ２１を受信し、第１の暗号化データ２１を秘匿領域２９ｓへ記憶させる（Ｓ２１３）。
【０１３４】
暗号化部３６は、第２のユーザＵ２に対応する暗号鍵２３を用いて秘匿領域２９ｓに記憶されている第１の暗号化データ２１の第１の暗号化データ本体２１ｄを暗号化し、第２の暗号化データ２２を生成し、第２の暗号化データ２２を記憶装置２９に記憶させる（Ｓ２１４）。
【０１３５】
通信制御部３７は、記憶装置２９に記憶されている第２の暗号化データ２２を、通信装置２８経由で第１の情報処理装置２へ送信する（Ｓ２１５）。
【０１３６】
データ処理部３８は、第２の暗号化データ２２が記憶装置２９に記憶された場合に、秘匿領域２９ｓから第１の暗号化データ２１を消去する（Ｓ２１６）。
【０１３７】
なお、第１の実施形態において、Ｓ２１５における第２の暗号化データ２２の送信と、Ｓ２１６における第１の暗号化データ２１の消去とは、逆の順序で実行されてもよい。
【０１３８】
データ処理部３８は、履歴データ４０を更新する（Ｓ２１７）。
【０１３９】
図３は、第１の実施形態に係る情報処理システム１によって実行される復号処理の一例を示すフローチャートである。
【０１４０】
第１の情報処理装置２において、プロセッサ８は、アプリケーション・ソフトウェア１１を起動する（Ｓ３０１）。
【０１４１】
ユーザ認証部１４は、第１のユーザＵ１に対する認証を実行する（Ｓ３０２）。
【０１４２】
データ取得部１５は、第１のユーザＵ１の認証に成功した場合に、復号リクエスト５８を、通信装置６経由で第２の情報処理装置３へ送信する（Ｓ３０３）。認証に失敗した場合、処理は終了する。
【０１４３】
データ取得部１５は、復号リクエスト５８の応答として、第２のユーザＵ２の認証が成功したことを示す通知５９を受信した場合に、復号対象である第２の暗号化データ２２の識別情報６０を、通信装置６経由で第２の情報処理装置３へ送信する（Ｓ３０４）。
【０１４４】
データ取得部１５は、第２の情報処理装置３から通信装置６経由で、復号リクエスト５８および第２の暗号化データ２２の識別情報６０の応答として、第１の暗号化データ２１を受信し、第１の暗号化データ２１を秘匿領域７ｓへ記憶させる（Ｓ３０５）。
【０１４５】
復号部１９は、記憶装置７に記憶されている第１のユーザＵ１に対応する復号鍵１３に基づいて、秘匿領域７ｓに記憶されている第１の暗号化データ２１の第１の暗号化データ本体２１ｄを復号し、復号した結果である復号データ２５を生成し、復号データ２５を記憶装置７に記憶させる（Ｓ３０６）。
【０１４６】
データ処理部１８は、秘匿領域７ｓから第１の暗号化データ２１を消去する（Ｓ３０７）。
【０１４７】
データ処理部１８は、履歴データ２４を更新する（Ｓ３０８）。
【０１４８】
第２の情報処理装置３において、プロセッサ３０によって実行されているＯＳ３１は、第１の情報処理装置２から通信装置２８経由で、復号リクエスト５８を受信する（Ｓ３０９）。
【０１４９】
プロセッサ３０は、アプリケーション・ソフトウェア３２を起動する（Ｓ３１０）。
【０１５０】
なお、第１の実施形態において、Ｓ３０９における復号リクエスト５８の受信と、Ｓ３１０におけるアプリケーション・ソフトウェア３２の起動とは、逆の順序で実行されてもよい。
【０１５１】
ユーザ認証部３４は、第２のユーザＵ２に対する認証を実行する。ユーザ認証部３４は、第２のユーザＵ２に対してアプリケーション・ソフトウェア３２の使用が許可されていると判断した場合に、第２のユーザＵ２の認証が成功したことを示す通知５９を、通信装置２８経由で第１の情報処理装置２へ送信する（Ｓ３１１）。ユーザ認証部３４は、認証に失敗した場合、認証失敗通知を通信装置２８経由で第１の情報処理装置２へ送信し、処理は終了する。
【０１５２】
データ取得部３５は、第２のユーザＵ２の認証に成功した場合に、第１の情報処理装置２から通信装置２８経由で、第２の暗号化データ２２の識別情報６０を受信する（Ｓ３１２）。なお、データ取得部３５は、第１の情報処理装置２から通信装置２８経由で第２の暗号化データ２２を受信し、記憶装置２９に記憶させてもよい。
【０１５３】
復号部３９は、第２のユーザＵ２から第２の暗号化データ２２に対する復号の同意を受け付けたか否かを判断する（Ｓ３１３）。復号部３９は、復号の同意を受け付けなかった場合、復号不可通知を通信装置２８経由で第１の情報処理装置２へ送信し、処理は終了する。
【０１５４】
復号部３９は、第２のユーザＵ２から復号の同意を受け付けた場合に、記憶装置２９に記憶されている第２のユーザＵ２に対応する復号鍵３３を用いて、記憶装置２９に記憶されている第２の暗号化データ２２の第２の暗号化データ本体２２ｄを復号し、第１の暗号化データ２１を生成し、第１の暗号化データ２１を記憶装置２９の秘匿領域２９ｓに記憶させる（Ｓ３１４）。
【０１５５】
通信制御部３７は、秘匿領域２９ｓに記憶されている第１の暗号化データ２１を、通信装置経由２８で第１の情報処理装置２へ送信する（Ｓ３１５）。
【０１５６】
データ処理部３８は、秘匿領域２９ｓから第１の暗号化データ２１を消去する（Ｓ３１６）。
【０１５７】
データ処理部３８は、履歴データ４０を更新する（Ｓ３１７）。
【０１５８】
なお、第２のユーザＵ２が第２の暗号化データ２２の復号を望む場合には、第１の情報処理装置２が図３における第２の情報処理装置３の処理を実行し、第２の情報処理装置３が図３における第１の情報処理装置２の処理を実行すればよい。
【０１５９】
図４は、第１の実施形態に係る情報処理システム１によって実行される有効期限延長処理の一例を示すフローチャートである。
【０１６０】
第１の情報処理装置２のデータ処理部１８は、第１のユーザＵ１から操作受付装置４経由で、第２の暗号化データ２２の有効期限を延長することの指示を受け付けた場合に（Ｓ４０１）、有効期限延長リクエスト７３および第２の暗号化データ２２の識別情報６０を、通信装置６経由で第２の情報処理装置３へ送信する（Ｓ４０２）。
【０１６１】
第１の情報処理装置２のデータ処理部１８は、第２の情報処理装置３から通信装置６経由で、延長同意通知７４および第２の暗号化データ２２の識別情報６０を受信すると（Ｓ４０３）、記憶装置７に記憶されている第２の暗号化データ２２の第２のメタデータ２２ｍの有効期限を更新する（Ｓ４０４）。
【０１６２】
第２の情報処理装置３のデータ処理部３８は、第１の情報処理装置３から通信装置２８経由で、有効期限延長リクエスト７３および第２の暗号化データ２２の識別情報６０を受信すると（Ｓ４０５）、第２のユーザＵ２に対して第２の暗号化データ２２の有効期限の延長に同意するか否かの問合せを表示装置２７に表示させる（Ｓ４０６）。
【０１６３】
第２の情報処理装置３のデータ処理部３８は、第２のユーザＵ２から操作受付装置２６経由で、第２の暗号化データ２２に対する有効期限の延長に同意する操作を受け付けた場合に（Ｓ４０７）、記憶装置２９に記憶されている第２の暗号化データ２２の第２のメタデータ２２ｍの有効期限を更新する（Ｓ４０８）。
【０１６４】
また、第２の情報処理装置３のデータ処理部３８は、第２のユーザＵ２から操作受付装置２６経由で、有効期限の延長に同意する操作を受け付けた場合に、延長同意通知７４および第２の暗号化データ２２の識別情報６０を、通信装置２８経由で第１の情報処理装置２へ送信する（Ｓ４０９）。データ処理部３８は、延長の同意を受け付けなかった場合、延長不可通知を通信装置２８経由で第１の情報処理装置２へ送信し、処理は終了する。
【０１６５】
なお、第１の実施形態において、Ｓ４０８における有効期限の更新と、Ｓ４０９における延長同意通知７４および第２の暗号化データ２２の識別情報６０の送信とは、逆の順序で実行されてもよい。
【０１６６】
図５は、第１の実施形態に係る原データ９、第１の暗号化データ２１、第２の暗号化データ２２の関係の一例を示す図である。
【０１６７】
原データ９は、メタデータ９ｍと原データ本体９ｄとを含む。メタデータ９ｍは、原データ９の識別情報６１、第１のユーザＵ１の識別情報６２、第２のユーザＵ２の識別情報６３、メタデータ９ｍに対応する原データ本体９ｄの位置情報６４、時間データ６５、有効期限６６、原データ本体９ｄのデータ種別６７を含む。
【０１６８】
第１の暗号化データ２１は、第１のメタデータ２１ｍと第１の暗号化データ本体２１ｄとを含む。第１のメタデータ２１ｍは、第１の暗号化データ２１の識別情報６８、原データ９の識別情報６１、第１のユーザＵ１の識別情報６２、第２のユーザＵ２の識別情報６３、第１のメタデータ２１ｍに対応する第１の暗号化データ本体２１ｄの位置情報６９、時間データ６５、有効期限６６、第１の暗号化データ本体２１ｄのデータ種別７０を含む。
【０１６９】
第２の暗号化データ２２は、第２のメタデータ２２ｍと第２の暗号化データ本体２２ｄとを含む。第２のメタデータ２２ｍは、第２の暗号化データ２２の識別情報６０、第１の暗号化データ２１の識別情報６８、原データ９の識別情報６１、第１のユーザＵ１の識別情報６２、第２のユーザＵ２の識別情報６３、第２のメタデータ２２ｍに対応する第２の暗号化データ本体２２ｄの位置情報７１、時間データ６５、有効期限６６、第２の暗号化データ本体２２ｄのデータ種別７２を含む。
【０１７０】
第２の暗号化データ２２の識別情報６０は、例えば、データＩＤおよびタイトルを含む。
時間データ６５は、例えば、暗号化日時を含むとしてもよく、先の復号日時を含むとしてもよい。
【０１７１】
第２のユーザＵ２の識別情報６３は、例えば、復号リクエストの送信先を表す。
【０１７２】
第１の実施形態において、第１の情報処理装置２および第２の情報処理装置３は、第１の暗号化データ２１の第１のメタデータ２１ｍを参照することにより、第１の暗号化データ２１に関連する原データ９を認識可能である。
【０１７３】
第１の実施形態において、第１の情報処理装置２および第２の情報処理装置３は、第２の暗号化データ２２の第２のメタデータ２２ｍを参照することにより、第２の暗号化データ２２に関連する原データ９および第１の暗号化データ２１を認識可能である。
【０１７４】
第１の実施形態において、原データ９のメタデータ９ｍ、第１の暗号化データ２１の第１のメタデータ２１ｍ、第２の暗号化データ２２の第２のメタデータ２２ｍは、第１のユーザＵ１の識別情報６２および第２のユーザＵ２の識別情報６３を含むため、使用権限のないユーザに原データ９、第１の暗号化データ２１、第２の暗号化データ２２が使用されることを防止することができる。また、互いに関連する原データ９のメタデータ９ｍ、第１の暗号化データ２１の第１のメタデータ２１ｍ、第２の暗号化データ２２の第２のメタデータ２２ｍは、一意的な識別子（言い換えれば共通する番号）を含むことで、他のデータ群と識別可能である。
【０１７５】
なお、第１の実施形態において、復号データ２５のメタデータ２５ｍは、第１の暗号化データ２１の第１のメタデータ２１ｍに含まれている情報のうちの少なくとも一部を含むとしてもよい。
【０１７６】
以上説明した第１の実施形態においては、信頼関係を有する第１のユーザＵ１と第２のユーザＵ２とが協調し、別々の暗号鍵１２，２３を用いて原データ９に対して２重の暗号化を行い、第１のユーザＵ１と第２のユーザＵ２の双方が第２の暗号化データ２２を所有する。第２の暗号化データ２２を復号する場合、第１のユーザＵ１は、第２のユーザＵ２に復号の協力を求める。第２のユーザＵ２から復号の同意が得られた場合、第１のユーザＵ１と第２のユーザＵ２とは、別々の復号鍵１３，３３を用いて協調して第２の暗号化データ２２を復号する。
【０１７７】
これにより、第１のユーザＵ１は、信頼する第２のユーザＵ２に２重に暗号化されたバックアップデータを所有してもらうことができる。このバックアップデータは、第１のユーザＵ１と第２のユーザＵ２とが協調しなければ復号することができない。第１の実施形態では、２要素認証が、複数のユーザＵ１，Ｕ２によって実現され、データの安全性を向上させることができるとともに、データの消失を防止することができる。
【０１７８】
第１の実施形態において、第１のユーザＵ１は、復号鍵３３を所有している第２のユーザＵ２を知らなくてもよい。例えば、第１の情報処理装置２の記憶装置７は、信頼できる複数のユーザ（自然人または法人）の識別情報を含むリストを記憶しており、第１の情報処理装置２は、リストに含まれているユーザの識別情報の中から第２のユーザＵ２の識別情報を、ランダムに、または、所定の規則にそって、選択してもよい。この場合、第１のユーザＵ１が第２のユーザＵ２を選択するのではなく、第１の情報処理装置２が自動で第２のユーザＵ２を選択することになる。これにより、第１のユーザＵ１および第１のユーザＵ１ではない第三者は、バックアップデータを預けてデータの復号を依頼する相手側（第２のユーザＵ１）を把握することが困難となり、第２の暗号化データ２２の安全性が高くなる。
【０１７９】
第１の実施形態において、原データ本体９ｄは、預金口座番号、鍵の番号、各種のパスワードなど、第１のユーザＵ１が他人に知られたくないが一括管理したい各種の情報を含むとしてもよい。第１のユーザＵ１は、預金口座番号、鍵の番号、各種のパスワードなどの情報のバックアップデータ（第２の暗号化データ２２）を信頼できる第２のユーザＵ２に保管してもらうことができる。また、第２のユーザＵ２に保管してもらうバックアップデータは、第１のユーザＵ１と第２のユーザＵ２とが協調しなければ復号できない。このため、バックアップデータの安全性を確保することができる。
【０１８０】
第１の実施形態において、第２の情報処理装置３は、第２のユーザＵ２ではなく第１のユーザＵ１が所有してもよい。言い換えれば、第１の情報処理装置２と第２の情報処理装置３の双方が第１のユーザＵ１の所有物でもよい。
【０１８１】
第１の実施形態において、３台以上の情報処理装置が連携し、原データ９に対して３重以上の暗号化が実行されてもよい。この場合、さらにデータの安全性を向上させることができる。
【０１８２】
第１の実施形態において、第１の情報処理装置２で使用されるユーザ認証と、第２の情報処理装置３で使用されるユーザ認証とは、異なる種類の認証でもよい。例えば、第１の情報処理装置２はパスワードで第１のユーザＵ１を認証し、第２の情報処理装置３は生体認証で第２のユーザＵ２を認証し、第３の情報処理装置は集積回路に記憶されているユーザ認証情報により第３のユーザを認証してもよい。この場合、さらにデータの安全性を向上させることができる。
【０１８３】
第１の実施形態においては、第２の暗号化データ２２の有効期限が経過した場合に、第２の暗号化データ２２を記憶装置７，２９から消去することができる。また、第１の実施形態においては、第１のユーザＵ１または第２のユーザＵ２の有効期限延長の指示に応じて、あるいは、第１のユーザＵ１と第２のユーザＵ２との双方が有効期限延長に同意した場合に、第２の暗号化データ２２の有効期限を延長することができる。これにより、第１のユーザＵ１と第２のユーザＵ２との間の信頼関係が失われた場合に、第２の暗号化データ２２が復号されることを防止すること、および、第２の暗号化データ２２を消去することができる。
【０１８４】
第１の実施形態において、原データ９は、原データ９に対する処理に必要な情報を含むメタデータ９ｍを備える。第１の暗号化データ２１は、第１の暗号化データ２１に対する処理に必要な情報を含む第１のメタデータ２１ｍを備える。第２の暗号化データ２２は、第２の暗号化データ２２に対する処理に必要な情報を含む第２のメタデータ２２ｍを備える。このように、各データに対して処理に必要な情報を付すことにより、第１の情報処理装置２および第３の情報処理装置３は、効率的にデータを処理することができる。
【０１８５】
第１の実施形態に係る情報処理システム１に備えられる各種の構成要素は、必要に応じて適宜、組み合わされてもよく、分割されてもよい。例えば、アプリケーション・ソフトウェア１１とアプリケーション・ソフトウェア３２とは１つに組み合わされてもよい。例えば、データ取得部１５、通信制御部１７、データ処理部１８は、組み合わされてもよい。例えば、データ取得部３５、通信制御部３７、データ処理部３８は、組み合わされてもよい。例えば、データ取得部１５と暗号化部１６と通信制御部１７とは、組み合わされてもよい。例えば、データ取得部３５と暗号化部３６と通信制御部３７とは、組み合わされてもよい。
【０１８６】
第１の実施形態において、第１のユーザＵ１は、自然人でもよく法人でもよい。同様に、第２のユーザＵ２は、自然人でもよく、法人でもよい。
【０１８７】
第１の実施形態において、第１の情報処理装置２と第２の情報処理装置３との間の通信は、直接的に実行されてもよく、ネットワーク経由で実行されてもよく、１台以上のサーバを経由して実行されてもよい。
【０１８８】
第１の実施形態に係る情報処理システム１においては、第１の情報処理装置２と第２の情報処理装置３との間でデータが送受信される。また、第１の情報処理装置２および第２の情報処理装置３が、それぞれ記憶装置７および記憶装置２９へデータを記憶する。しかしながら、情報処理システム１は、第１の情報処理装置２に対応するプライベートな記憶領域と、第２の情報処理装置３に対応するプライベートな記憶領域と、第１の情報処理装置２と第２の情報処理装置３との双方に共有されるパブリックな記憶領域とを備えるとしてもよい。情報処理システム１は、これらの記憶領域に対するデータのライトまたはリードにより第１の実施形態で説明した処理と同様の処理を実現してもよい。
【０１８９】
（第２の実施形態）
第２の実施形態では、上記の第１の実施形態に係る情報処理システム１の少なくとも一部の機能を、サーバによって実現させる。なお、サーバは、様々な専用機器、データ記憶媒体を備えるストレージデバイス、データベースシステムであってもよい。
【０１９０】
図６は、第２の実施形態に係る情報処理システム４１の一例を示すブロック図である。
【０１９１】
情報処理システム４１は、第１の情報処理装置４２と、第２の情報処理装置４３と、サーバ４４とを備える。第１の情報処理装置４２と、第２の情報処理装置４３と、サーバ４４とは、ネットワーク４５経由で、互いに、データ、情報、信号、リクエスト、コマンド、指示、通知、呼び出し、または、応答を通信可能である。第１の情報処理装置４２は、ネットワーク４５およびサーバ４４経由で、第２の情報処理装置４３とデータの送受信を行うとしてもよい。
【０１９２】
第２の実施形態において、第１の情報処理装置４２は、上記の第１の情報処理装置２の一部の構成要素を備える。上記の第１の情報処理装置２の他の構成要素は、サーバ４４に備えられる。
【０１９３】
第２の情報処理装置４３は、上記の第２の情報処理装置３の一部の構成要素を備える。上記の第２の情報処理装置３の他の構成要素は、サーバ４４に備えられる。
【０１９４】
サーバ４４は、例えば、通信装置４６と、記憶装置４７と、プロセッサ４８とを備える。
【０１９５】
通信装置４６は、例えばプロセッサ４８による制御にしたがって、無線または有線により、ネットワーク４５経由で、例えば第１の情報処理装置４２または第２の情報処理装置４３などの他の装置と、データ、情報、信号、リクエスト、コマンド、指示、通知、呼び出し、または、応答を、送受信する。
【０１９６】
記憶装置４７は、例えば、不揮発性メモリと揮発性メモリとを備える。記憶装置４７は、例えば、ＯＳ４９と、ＯＳ４９上で実行可能なサーバ・ソフトウェア５０とを記憶する。
【０１９７】
プロセッサ４８は、ＯＳ４９とサーバ・ソフトウェア５０とを実行することにより、暗号化部５１、暗号化部５２、復号部５３、復号部５４、更新部５５として機能する。
【０１９８】
暗号化部５１は、上記の暗号化部１６と同様の処理をサーバ４４によって実行する。具体的には、暗号化部５１は、第１の情報処理装置４２から、ネットワーク４５および通信装置４６経由で原データ９と暗号鍵１２を受信する。そして、暗号化部５１は、暗号鍵１２を用いて原データ９の原データ本体９ｄを暗号化し、第１の暗号化データ２１を生成する。
【０１９９】
なお、暗号鍵１２は、サーバ４４の記憶装置４７に記憶されており、暗号化部５１は、第１の情報処理装置４２から暗号鍵１２を受信することなく、記憶装置４７に記憶されている暗号鍵１２を用いるとしてもよい。
【０２００】
暗号化部５２は、上記の暗号化部３６と同様の処理をサーバ４４によって実行する。具体的には、暗号化部５２は、第２の情報処理装置４３から、ネットワーク４５および通信装置４６経由で暗号鍵２３を受信し、暗号鍵２３を用いて第１の暗号化データ２１の第１の暗号化データ本体２１を暗号化し、第２の暗号化データ２２を生成する。そして、暗号化部５２は、第２の暗号化データ２２を、通信装置４６およびネットワーク４５経由で、第１の情報処理装置４２および第２の情報処理装置４３へ送信する。
【０２０１】
なお、暗号鍵２３は、サーバ４４の記憶装置４７に記憶されており、暗号化部５２は、第２の情報処理装置４３から暗号鍵２３を受信することなく、記憶装置４７に記憶されている暗号鍵２３を用いるとしてもよい。
【０２０２】
復号部５３は、上記の復号部３９と同様の処理をサーバ４４によって実行する。具体的には、復号部５３は、第２のユーザＵ２が第２の暗号化データ２２に対する復号に同意した場合に、第２の情報処理装置４３から、ネットワーク４５および通信装置４６経由で第２の暗号化データ２２と復号鍵３３を受信する。そして、復号部５３は、復号鍵３３を用いて第２の暗号化データ２２の第２の暗号化データ２２ｄを復号し、第１の暗号化データ２１を生成する。
【０２０３】
なお、復号鍵３３は、サーバ４４の記憶装置４７に記憶されており、復号部５３は、第２の情報処理装置４３から復号鍵３３を受信することなく、記憶装置４７に記憶されている復号鍵３３を用いるとしてもよい。
【０２０４】
復号部５４は、上記の復号部１９と同様の処理をサーバ４４によって実行する。具体的には、復号部５４は、第１の情報処理装置４２から、ネットワーク４５および通信装置４６経由で復号鍵１３を受信し、復号鍵１３を用いて第１の暗号化データ２１の第１の暗号化データ本体２１ｄを復号し、復号データ２５を生成する。そして、復号部５４は、復号データ２５を、通信装置４６およびネットワーク４５経由で、第１の情報処理装置４２へ送信する。
【０２０５】
なお、復号鍵１３は、サーバ４４の記憶装置４７に記憶されており、復号部５４は、第１の情報処理装置４２から復号鍵１３を受信することなく、記憶装置４７に記憶されている復号鍵１３を用いるとしてもよい。
【０２０６】
更新部５５は、第１の情報処理装置４２または第２の情報処理装置４３からネットワーク４５および通信装置４６経由で、更新リクエストを受信した場合に、第１の情報処理装置４２のアプリケーション・ソフトウェア、または、第２の情報処理装置４３のアプリケーション・ソフトウェアをバージョンアップする。更新リクエストは、例えば、第１のユーザＵ１または第２のユーザＵ２が課金に同意したことを示すメッセージでもよい。
【０２０７】
以上説明した第２の実施形態においては、第１の情報処理装置４２のアプリケーション・ソフトウェアと第２の情報処理装置４３のアプリケーション・ソフトウェアとを、上記第１の実施形態の場合よりも簡素化することができ、第１の情報処理装置４２と第２の情報処理装置４３との処理負荷を軽減することができる。
【０２０８】
また、第２の実施形態においては、第１のユーザＵ１および第２のユーザＵ２の希望するバージョンに、第１の情報処理装置４２のアプリケーション・ソフトウェアまたは第２の情報処理装置４３のアプリケーション・ソフトウェアを更新することができ、サーバ４４の運営者は、課金の同意に応じて第１のユーザＵ１または第２のユーザＵ２に提供するサービスの質を向上させることができる。
【０２０９】
第２の実施形態では、第１の情報処理装置４２と第２の情報処理装置４３とが、サーバ４４と協働して暗号化処理および復号処理を実行する場合を例として説明している。しかしながら、第１の情報処理装置４２と第２の情報処理装置４３とのうちの一方がサーバ４４と協働し、他方はサーバ４４と協働しなくてもよい。
【０２１０】
例えば、サーバ４４は暗号化部５１と復号部５４とを備え、第２の情報処理装置４３は暗号化部５２と復号部５３とを備えるとしてもよい。この場合、サーバ４４は、第１の情報処理装置４２からのリクエストに応じて原データ９の暗号化処理および第１の暗号化データ２１の復号処理を行う。第２の情報処理装置４３は、第１の暗号化データ２１の暗号化処理および第２の暗号化データ２２の復号処理を行う。
【０２１１】
例えば、サーバ４４は暗号化部５２と復号部５３とを備え、第１の情報処理装置４２は暗号化部５１と復号部５４とを備えるとしてもよい。この場合、第１の情報処理装置４２は、原データ９の暗号化処理および第１の暗号化データ２１の復号処理を行う。サーバ４４は、第２の情報処理装置４２からのリクエストに応じて第１の暗号化データ２１の暗号化処理および第２の暗号化データ２２の復号処理を行う。
【０２１２】
第２の実施形態において、第１の情報処理装置４２は、第１のサーバと協働し、第２の情報処理装置４３は、第２のサーバと協働してもよい。例えば、第１のサーバは暗号化部５１と復号部５４とを備え、第２のサーバは暗号化部５２と復号部５３とを備える。第１のサーバは、第１の情報処理装置４２からのリクエストに応じて原データ９の暗号化処理および第１の暗号化データ２１の復号を行う。第２のサーバは、第２の情報処理装置４３からのリクエストに応じて第１の暗号化データ２１の暗号化処理および第２の暗号化データ２２の復号を行う。
【０２１３】
（第３の実施形態）
第３の実施形態では、上記第１および第２の実施形態の適用例を説明する。
【０２１４】
<3-1>第１の適用例
情報処理システム１，４１において、第１のユーザＵ１によって所有される第１の情報処理装置２は、家族などの信頼できる第２のユーザＵ２によって所有される第２の情報処理装置３に、預金口座番号、鍵の番号、様々なパスワードの一覧などを暗号化した第１の暗号化データ２１を送信する。第２の情報処理装置３は、第１の暗号化データ２１をさらに暗号化して第２の暗号化データ２２を生成する。第１の情報処理装置２と第２の情報処理装置３とのそれぞれは、第２の暗号化データ２２を記憶する。本適用例において、第１のユーザＵ１は、上記のような一覧の保存に関して第２のユーザＵ２の協力を得ることができ、一覧が第１のユーザＵ１の同意なく第２のユーザＵ２によって閲覧されることを防止することができる。
【０２１５】
<3-2>第２の適用例
情報処理システム１，４１により、第１のユーザＵ１は、原データ９を自由に使用することができなくなり、第１のユーザＵ１が原データ９を使用したい場合には第２のユーザＵ２の同意が必要になる。これにより、例えば、第１のユーザＵ１は、第２のユーザＵ２の同意がなければ、第２の暗号化データ２２の第２の暗号化データ本体２２ｄとして保管されている情報を閲覧することはできない。例えば、高齢者である第１のユーザＵ１が第２の暗号化データ本体２２ｄの復号を試みたとしても、第１のユーザＵ１は、第２のユーザＵ２が同意しなければ第２の暗号化データ本体２２ｄを復号することはできない。口座番号などのような重要情報を情報処理システム１，４１で管理することにより、第１のユーザＵ１が重要情報を第三者へ通知することを試みても、第２のユーザＵ２が復号に同意しないことにより重要情報が第三者へ流出することを防止することができる。例えば、第１のユーザＵ１が特殊詐欺の被害者になることを抑制することができる。
【０２１６】
<3-3>第３の適用例
第１のユーザＵ１と第２のユーザＵ２とは、自然人でもよく、法人でもよい。信頼できる第２のユーザＵ２は、第２の暗号化を商業として、事業として、または、営利目的で、行ってもよい。例えば、弁護士、司法書士、公認会計士、税理士などの有資格者または専門家が、第１のユーザＵ１の依頼を受けて、機密データを預かるサービスに、情報処理システム１，４１を用いることができる。銀行などの金融機関が第２のユーザＵ２として、第１のユーザＵ１の財産に関するデータを預かるために、情報処理システム１，４１を用いてもよい。官公庁、地方自治体、または、公益法人などが第２のユーザＵ２として、福利厚生の目的のために、第１のユーザＵ１のデータを預かるサービスに、情報処理システム１，４１を用いてもよい。第１のユーザＵ１は、預けたデータの無断使用を防止することができ、第１のユーザＵ１のプライバシーが侵害されることを防止することができる。
【０２１７】
<3-4>第４の適用例
第１のユーザＵ１は、第１の情報処理装置２と第２の情報処理装置３、または、第１の情報処理装置４２と第２の情報処理装置４３とを一人で操作してもよい。この場合、第１のユーザＵ１は、単独で、異なるデバイスにより第２の暗号化データ２２を管理し、第２の暗号化データ２２を２台の装置により復号する必要があるため、データの安全性を高くすることができる。
【０２１８】
<3-5>第５の適用例
第１のユーザＵ１と第２のユーザＵ２とが友人の関係を持つかまたは家族の場合、第１のユーザＵ１と第２のユーザＵ２が一緒に撮影した映像データまたは一緒に録音した音声（会話）データを、２人だけが使用可能なデータとして保管する。これにより、私的な映像データまたは音声データが第三者へ流失することを防止することができる。
【０２１９】
第１のユーザＵ１は、第２の暗号化データ２２に有効期限を設定することにより、有効期限の経過とともに第２の暗号化データ２２を自動的に消去することができる。有効期限は、第２の暗号化データ２２から復号データ２５が生成されることにより、更新または解除されてもよい。これにより、第１のユーザＵ１と第２のユーザＵ２との間の信頼関係を一定期間ごとに見直すことができ、信頼関係が維持できなくなった場合に、第２の暗号化データ２２を自動で消去することができる。
【０２２０】
<3-6>第６の適用例
第１のユーザＵ１は、カウンセリングを目的として、個人的な悩みなどを、例えば医師またはカウンセラーなどの第２のユーザＵ２に相談し、その内容を記録した文章、音声、映像などのデータを、第２のユーザＵ２に預けることができる。カウンセリングという第１のユーザＵ１のプライバシーに関わる相談内容は、信頼できる第２のユーザＵ２に安全に預けられる。第１のユーザＵ１は、カウンセリングを受けて安心感を得ることができ、また、データの流出を心配する必要がない。本適用例においては、第１のユーザＵ１のプライバシーを保護しつつ、第１のユーザＵ１の心理的負担を軽減することができる。
【０２２１】
<3-7>第７の適用例
例えば、第１のユーザＵ１が遺言者、遺書作成者、または、エンドノード作成者となり、第２のユーザＵ２と第３のユーザとに遺言、遺書、または、エンドノートを託す場合に、情報処理システム１，４１が用いられる。本適用例において、第１のユーザＵ１と第２のユーザＵ２とが原データ９に対して２重の暗号化を実行する。その後、第１のユーザＵ１は、自分の復号鍵１３を第３のユーザに伝達する。復号鍵１３に代えてパスワード、または、集積回路に記憶されている認証情報が用いられてもよい。第１のユーザＵ１は、第３のユーザへ復号鍵１３を記憶するデバイスを渡してもよい。第１のユーザＵ１の死亡後、第２のユーザＵ２または第３のユーザは、第２の暗号化データ２２の復号を開始し、第３のユーザが、第１のユーザＵ１に代わって復号鍵１３を用いて復号を行う。
【０２２２】
<3-8>第８の適用例
個人番号（マイナンバー）は、個人を特定する重要な情報である。個人番号を使用する場合、個人番号を相手に伝える必要がある。個人番号の保管は、個人の責任により行われる。
【０２２３】
例えば、第１のユーザＵ１は、個人番号の発行主体または管理主体としてもよい。第２のユーザＵ２は、個人番号を付与された個人としてもよい。情報処理装置１，４１において、第１のユーザＵ１の第１の情報処理装置２は、第２のユーザＵ２の第２の情報処理装置３へ個人番号を暗号化した第１の暗号化データ２１を送信する。第２の情報処理装置３は、第１の暗号化データ２１に対して暗号化を実行し、第２の暗号化データ２２を生成する。そして、第１の情報処理装置２と第２の情報処理装置３とが第２の暗号化データ２２を保管する。
【０２２４】
例えば、税務署などのような個人番号を必要とする第３のユーザの第３の情報処理装置が、第２の情報処理装置３に対して個人番号の提出を要求したとする。この場合、第２の情報処理装置３は、第２の暗号化データ２２に対して復号をした第１の暗号化データ２１を、第３の情報処理装置へ送信する。第３の情報処理装置は、第１の情報処理装置２を操作するユーザＵ１に対して、第２のユーザＵ２の個人番号利用の同意を求める。第１のユーザＵ１は、第３のユーザの使用目的を確認する。使用目的が正当な場合、第１の情報処理装置２は、復号鍵１３を第３の情報処理装置に送信する。第３の情報処理装置は、復号鍵１３を用いて第２の情報処理装置３から受信した第１の暗号化データ２１を復号し、復号データ２５として第２のユーザＵ２の個人番号を取得する。
【０２２５】
これにより、第２のユーザＵ２の個人番号は、厳格に管理され、第１のユーザＵ１によって使用目的が正当であることが確認された場合に、第３のユーザによって使用可能となる。
【０２２６】
本適用例において、データが反復利用される場合には、第２の情報処理装置３は、予め第２の暗号化データ２２を第３の情報処理装置に提供しておいてもよい。この場合、データを使用するごとに、第１のユーザＵ１は、第３のユーザの使用目的を確認し、使用目的が正当な場合に、第２の情報処理装置３と第３の情報処理装置とが第２の暗号化データ２２に対する２段階の復号を実行する。
【０２２７】
<3-9>第９の適用例
第１の情報処理装置２，４２は、第１のユーザＵ１に対して、有効期限が経過する前の時点で、復号を促すメッセージを提供する。なお、第１の情報処理装置２，４２は、第２の情報処理装置３，４３に対しても復号を促すメッセージを発信し、第２の情報処理装置３，４３は、第２のユーザＵ２に対して、復号を促すメッセージを提供してもよい。
【０２２８】
第１のユーザＵ１と第２のユーザＵ２とが、第２の暗号化データ２２の復号に同意した場合、第１の情報処理装置２，４２と第２の情報処理装置３，４３とが第２の暗号化データ２２を協働して復号する。
【０２２９】
これにより、第２の暗号化データ２２をタイムカプセルのように使用することができる。
【０２３０】
<3-10>第１０の適用例
例えば、法人営業または顧客サービス対応の音声記録データなどに情報処理システム１，４１を用いることができる。第１のユーザＵ１が企業であり、第２のユーザＵ２が顧客であるとする。第２の暗号化データ２２の第２の暗号化データ本体２２ｄは、２重に暗号化されているため、第１のユーザＵ１と第２のユーザＵ２とが同意しない限り、復号できない。監査等で第２の暗号化データ本体２２ｄの内容を確認する必要がある場合、第１のユーザＵ１と第２のユーザＵ２とが共同で第２の暗号化データ２２の第２の暗号化データ本体２２ｄを復号し、復号データ２５を監査人へ渡す。本適用例では、企業が顧客の同意を得た上で監査人へデータを渡すことができる。
【０２３１】
<3-11>第１１の適用例
防犯カメラまたはドライブレコーダなどのような監視を目的とするカメラの映像・音声データは、被雇用者などの被撮影者を監視することになるため、被撮影者のプライバシーの保護が課題となる。情報処理システム１，４１は、第１のユーザＵ１と、被撮影者である第２のユーザＵ２との同意によりデータを保管し、同意によりデータを参照可能となる。これにより、被撮影者のプライバシーを保護することができる。
【０２３２】
<3-12>第１２の適用例
例えば、暗号化対象の原データ９の原データ本体９ｄは、第１の情報処理装置２，４２と第２の情報処理装置３，４３との間で送受信されたメッセージデータを含むとする。第１の情報処理装置２，４２および第２の情報処理装置３，４３は、例えばある基準時（例えばメッセージデータのタイムスタンプ）から一定時間経過した少なくとも１つのメッセージデータを自動的に２重に暗号化する。あるいは、第１の情報処理装置２，４２および第２の情報処理装置３，４３は、第１の情報処理装置２，４２と第２の情報処理装置３，４３との間の通信接続の開始から終了において送受信された少なくとも１つのメッセージデータを自動的に２重に暗号化する。通信接続としては、例えば、セッション、コネクション、パス、または、リンクなどが用いられる。
【０２３３】
第１の情報処理装置２，４２および第２の情報処理装置３，４３は、２重に暗号化されることを条件に、第１の情報処理装置２，４２と第２の情報処理装置３，４３との間で交換されたメッセージデータを消去する。
【０２３４】
さらに、第１の情報処理装置２，４２および第２の情報処理装置３，４３は、第２の暗号化データ２２が生成されてから一定期間を経過した場合（有効期限が経過した場合）に、第２の暗号化データ２２を自動で消去する。
【０２３５】
一度、２重に暗号化された第２の暗号化データ２２を、２重に復号するためには、第１のユーザＵ１と第２のユーザＵ２との２人の同意が必要であり、また、自動消去を取り消す場合にも２人の同意を必要とする。
【０２３６】
複数の装置間でメッセージデータを送受信した場合、一方の装置でメッセージデータを消しても、他方の装置にメッセージデータが残る場合がある。しかしながら、本適用例を用いた場合、第１のユーザＵ１と第２のユーザＵ２との間で同意が得られない場合に、双方のメッセージデータが消去される。
【０２３７】
本適用例の暗号化処理を以下でより詳細に説明する。
【０２３８】
図７は、本適用例に係る情報処理システム１の構成の一例を示すブロック図である。この図７では、情報処理システム１の構成要素のうち説明に必要な構成要素のみを図示しており、説明に必要のない構成要素は省略している。
【０２３９】
本適用例において、プロセッサ８によって実行されるアプリケーション・ソフトウェア１１と、プロセッサ３０によって実行されるアプリケーション・ソフトウェア３２とは、メッセージ交換ソフトウェアである。
【０２４０】
図７では、第１の情報処理装置２のプロセッサ８は、アプリケーション・ソフトウェア１１を実行する。また、第２の情報処理装置３のプロセッサ３０は、アプリケーション・ソフトウェア３２を実行する。これにより、プロセッサ８およびプロセッサ３０は、以下の処理を実行する。
【０２４１】
プロセッサ８は、第２の情報処理装置３へメッセージデータＭＤ１を送信し、第２の情報処理装置３からメッセージデータＭＤ２を受信し、第２の情報処理装置３へメッセージデータＭＤ３を送信したとする。プロセッサ８は、メッセージデータＭＤ１〜ＭＤ３を含む原データ９を記憶装置７に記憶させる。
【０２４２】
プロセッサ３０は、第１の情報処理装置２からメッセージデータＭＤ１を受信し、第１の情報処理装置２へメッセージデータＭＤ２を送信し、第１の情報処理装置２からメッセージデータＭＤ３を受信する。プロセッサ３０は、メッセージデータＭＤ１〜ＭＤ３を含む原データ７５を記憶装置２９に記憶させる。
【０２４３】
プロセッサ８は、例えば原データ９が生成されてから所定時間経過すると、または、第１の情報処理装置２と第２の情報処理装置３との間のメッセージ交換（例えばセッション）が終了すると、暗号鍵１２を用いて原データ９から第１の暗号化データ２１を生成し、第１の暗号化データ２１を秘匿領域７ｓへ記憶させ、第１の暗号化データ２１を第２の情報処理装置３へ送信し、原データ９および秘匿領域７ｓの第１の暗号化データ２１を消去する。
【０２４４】
プロセッサ３０は、第１の情報処理装置２から第１の暗号化データ２１を受信すると、第１の暗号化データ２１を秘匿領域２９ｓに記憶させ、暗号鍵２３を用いて第１の暗号化データ２１から第２の暗号化データ２２を生成し、第２の暗号化データ２２を記憶装置２９に記憶させ、第２の暗号化データ２２を第１の情報処理装置２へ送信し、秘匿領域２９ｓの第１の暗号化データ２１を消去する。
【０２４５】
また、プロセッサ３０は、例えば原データ７５が生成されてから所定時間経過した場合、第１の情報処理装置２から原データ７５に対応する第１の暗号化データ２１を受信した場合、原データ７５に対応する第２の暗号化データ２２を生成した場合、第２の暗号化データ２２を第１の情報処理装置２へ送信した場合、または、第１の情報処理装置２と第２の情報処理装置３との間のメッセージ交換（例えばセッション）が終了した場合などにおいて、原データ７５を消去する。
【０２４６】
以上説明した本適用例においては、アプリケーション・ソフトウェア１１とアプリケーション・ソフトウェア３２とにより交換されたメッセージデータＭＤ１〜ＭＤ３が、第１のユーザＵ１および第２のユーザＵ２の意思に反して流出することを防止することができる。
【０２４７】
また、本適用例においては、第２の暗号化データ２２とそのバックアップデータとを、第１の情報処理装置２および第２の情報処理装置３に保持させることができる。
【０２４８】
（第４の実施形態）
第４の実施形態においては、復号処理時に、第１の情報処理装置２の表示装置５に表示される画面の例を説明する。
【０２４９】
図８は、第４の実施形態に係る第１の情報処理装置２によって表示される第１の画面Ｉ１の例を示す図である。
【０２５０】
第１の情報処理装置２の表示装置５は、アプリケーション・ソフトウェア１１を実行するプロセッサ８の制御にしたがって、復号処理時に、画面Ｉ１を表示する。
【０２５１】
画面Ｉ１は、第１のユーザＵ１に対して復号対象の第２の暗号化データ２２の指定を促す。画面Ｉ１は、記憶装置７に記憶されている複数の第２の暗号化データ２２に関する情報のリストＬ１を含む。
【０２５２】
この画面Ｉ１では、複数の第２の暗号化データ２２のそれぞれに対する復号リクエスト先は表示されない。第１のユーザＵ１は、操作受付装置４を用いて、復号リクエスト先を入力し、復号リクエスト送信ボタンＢ１を押下する。
【０２５３】
プロセッサ８は、第１のユーザＵ１から操作受付装置４経由で復号リクエスト先の入力を受け付けると、受け付けた復号リクエスト先と、復号リクエスト先の入力された第２の暗号化データ２２の第２のメタデータ２２ｍに含まれている第２のユーザＵ２の識別情報６３とが整合するか否かを判断する。
【０２５４】
そして、プロセッサ８は、復号リクエスト先と第２のユーザＵ２の識別情報６３とが整合する場合に、復号リクエスト５８を第２の暗号化データ２２の復号リクエスト先（すなわち、第２の情報処理装置３）へ送信する。整合しない場合、プロセッサ８は、第１のユーザＵ１に対して、復号リクエスト先の入力が不適当であることを通知する。
【０２５５】
図９は、第４の実施形態に係る第１の情報処理装置２によって表示される第２および第３の画面Ｉ２，Ｉ３の例を示す図である。
【０２５６】
第１の情報処理装置２の表示装置５は、アプリケーション・ソフトウェア１１を実行するプロセッサ８の制御にしたがって、復号処理時に、画面Ｉ２を表示し、次に、画面Ｉ３を表示する。
【０２５７】
画面Ｉ２は、第１のユーザＵ１に対して復号リクエスト先の入力を促す。第１のユーザＵ１は、操作受付装置４を用いて、復号リクエスト先を入力する。
【０２５８】
すると、プロセッサ８は、記憶装置７に記憶されており、かつ、入力された復号リクエスト先と整合する第２のユーザＵ２の識別情報６３を含む第２の暗号化データ２２を抽出し、抽出した第２の暗号化データ２２のリストＬ２を含む画面Ｉ３を表示装置５に表示させる。より具体的に説明すると、プロセッサ８は、第２の暗号化データ２２の第２のメタデータ２２ｍに含まれている第２のユーザＵ２の識別情報６３と、入力された復号リクエスト先とが整合する場合に、この第２の暗号化データ２２を抽出する。
【０２５９】
そして、プロセッサ８は、操作受付装置４経由で、リストＬ２に含まれている第２の暗号化データ２２のうちのいずれかに対する指定を受け付け、復号リクエスト送信ボタンＢ２の押下を受け付ける。
【０２６０】
すると、プロセッサ８は、復号リクエスト５８と指定された第２の暗号化データ２２の識別情報６０を、指定された第２の暗号化データ２２の復号リクエスト先（すなわち、第２のユーザＵ２の第２の情報処理装置３）へ送信し、指定された第２の暗号化データ２２に対する復号処理を開始する。
【０２６１】
以上説明した第４の実施形態においては、復号処理時の開始時に、復号リクエスト先が表示されず、第１のユーザＵ１に対して復号リクエスト先の入力が要求される。
【０２６２】
これにより、第１のユーザＵ１ではない他のユーザが、第１の情報処理装置２を用いて、第２の情報処理装置３へ復号リクエストを送信することを防止することができる。したがって、正当ではないユーザは、第２の暗号化データ２２を容易に復号することができず、データの安全性を確保することができる。
【０２６３】
（第５の実施形態）
第５の実施形態においては、データ交換ソフトウェアによって送信および受信されたデータの安全性を確保する情報処理システム１を説明する。
【０２６４】
図１０は、第５の実施形態に係る情報処理システム１の構成の一例を示すブロック図である。
【０２６５】
図１１は、第５の実施形態に係る情報処理システム１によって実行される暗号化処理の一例を示すフローチャートである。
【０２６６】
第５の実施形態においては、第１の情報処理装置２と第２の情報処理装置３との間で少なくとも１つのメッセージデータＭＤが送受信される場合を例として説明するが、メッセージデータＭＤではなく、例えばテキストデータ、音データ、画像データ、または、これらの任意の組み合わせなどの各種データが第１の情報処理装置２と第２の情報処理装置３との間で送受信されてもよい。
【０２６７】
第５の実施形態では、情報処理システム１によって実行される暗号化処理を説明する。情報処理システム１によって実行される復号処理は、例えば上記第１の実施形態で説明された復号処理を適用可能であるため、説明を省略する。
【０２６８】
第５の実施形態において、第１の情報処理装置２と第２の情報処理装置３との間の通信の開始から終了までは、ある単位で管理される。
【０２６９】
通信を管理する単位の例としては、セッション、コネクション、パス、または、リンクなどの通信接続が挙げられる。第５の実施形態では、通信を管理する単位に、セッションＳＳが用いられる場合を説明する。第５の実施形態においては、同じセッションＳＳにおいて送受信されたメッセージデータＭＤが、まとめて処理（例えば、暗号化、消去、復号）される。セッションＳＳは、例えば、ＳＳＬ（Secure Sockets Layer）を用いて実現される。
【０２７０】
第５の実施形態において、第１の情報処理装置２のアプリケーション・ソフトウェア１１は、メッセージ交換の一方として動作し、第２の情報処理装置３のアプリケーション・ソフトウェア３２は、メッセージ交換の他方として動作する。このアプリケーション・ソフトウェア１１，３２は、同じソフトウェアでもよい。
【０２７１】
まず、第１の情報処理装置２によって実行される暗号化処理を説明する。
【０２７２】
第５の実施形態において、プロセッサ８は、アプリケーション・ソフトウェア１１を実行することにより、ユーザ認証部１４、セッション処理部７６、メッセージ交換部７７、データ取得部１５、暗号化部１６、データ処理部１８として機能する。
【０２７３】
プロセッサ８がＯＳ１０の制御にしたがってアプリケーション・ソフトウェア１１を起動すると（Ｓ１１０１）、ユーザ認証部１４は、第１の情報処理装置２の第１のユーザＵ１に対してアプリケーション・ソフトウェア１１の使用が許可されているか否かを判断する（Ｓ１１０２）。認証が失敗の場合、処理は終了する。
【０２７４】
セッション処理部７６は、第１のユーザＵ１に対してアプリケーション・ソフトウェア１１の使用が許可されていると判断された場合に、第１のユーザＵ１から操作受付装置４経由でセッション開始指示を受け付ける（Ｓ１１０３）。
【０２７５】
セッション開始指示を入力した第１のユーザＵ１は、オーナーまたは設定者と表記されてもよい。
【０２７６】
セッション処理部７６は、セッション開始指示を受け付けた場合に、セッションＳＳに対する参加リクエスト８０を、通信装置６経由でメッセージ交換相手である第２のユーザＵ２の第２の情報処理装置３へ送信する（Ｓ１１０４）。
【０２７７】
セッション処理部７６は、参加リスエスト８０に対する応答として、参加同意通知８１を、通信装置６経由で第２の情報処理装置３から受信したか否かを判断する（Ｓ１１０５）。セッション処理部７６が参加に同意しないことの通知（参加不同意通知）を受信した場合、処理は終了する。
【０２７８】
セッション処理部７６は、参加同意通知８１を受信した場合に、第２の情報処理装置３のセッション処理部７８と協働し、第１の情報処理装置２と第２の情報処理装置３との間のセッションＳＳを開始する（Ｓ１１０６）。
【０２７９】
メッセージ交換部７７は、第１の情報処理装置２と第２の情報処理装置３との間で少なくとも１つのメッセージデータＭＤの交換を実行する（Ｓ１１０７）。
【０２８０】
メッセージ交換部７７は、第１のユーザＵ１から操作受付装置４経由でメッセージ交換終了の指示を受け付けた場合に、メッセージ交換終了通知８２を、通信装置６経由で第２の情報処理装置３へ送信し、メッセージ交換を終了する。あるいは、メッセージ交換部７７は、第２の情報処理装置３から通信装置６経由でメッセージ交換終了通知８２を受信した場合に、メッセージ交換を終了する（Ｓ１１０８）。
【０２８１】
データ取得部１５は、第１の情報処理装置２と第２の情報処理装置３との間のセッションＳＳを用いて送受信したメッセージデータＭＤを含む原データ本体９ｄと、メタデータ９ｍとを含む原データ９を取得（例えば生成）し、記憶装置７の秘匿領域７ｓに記憶させる（Ｓ１１０９）。
【０２８２】
暗号化部１６は、記憶装置７の秘匿領域７ｓに記憶されている原データ９の原データ本体９ｄを、暗号鍵１２を用いて暗号化し、第１の暗号化データ２１を生成し、第１の暗号化データ２１を秘匿領域７ｓに記憶させる（Ｓ１１１０）。
【０２８３】
暗号化部１６は、秘匿領域７ｓに記憶されている第１の暗号化データ２１の送信先の指定を第１のユーザＵ１に促す画面を、表示装置５に表示させる。暗号化部１６は、第１のユーザＵ１から操作受付装置４経由で送信先の指定を受け付ける（Ｓ１１１１）。
【０２８４】
暗号化部１６は、秘匿領域７ｓに記憶されている第１の暗号化データ２１を、通信装置６経由で、指定された送信先である第２の情報処理装置３へ送信する（Ｓ１１１２）。
【０２８５】
データ処理部１８は、記憶装置７に記憶されておりセッションＳＳを用いて第１の情報処理装置２と第２の情報処理装置３との間で送受信された少なくとも１つのメッセージデータＭＤ、秘匿領域７ｓに記憶されている原データ９、および、記憶装置７に記憶されている第１の暗号化データ２１を消去する（Ｓ１１１３）。
【０２８６】
データ処理部１８は、第２の情報処理装置３から通信装置６経由で、第２の暗号化データ２２を受信し、第２の暗号化データ２２を記憶装置７に記憶させる（Ｓ１１１４）。
【０２８７】
セッション処理部７６は、第２の暗号化データ２２を受信すると、第１の情報処理装置２と第２の情報処理装置３との間のセッションＳＳを終了する（Ｓ１１１５）。
【０２８８】
次に、第２の情報処理装置３によって実行される暗号化処理を説明する。
【０２８９】
第５の実施形態において、プロセッサ３０は、アプリケーション・ソフトウェア３２を実行することにより、ユーザ認証部３４、セッション処理部７８、メッセージ交換部７９、暗号化部３６、データ処理部３８として機能する。
【０２９０】
プロセッサ３０によって実行されているＯＳ３１が、第１の情報処理装置２から通信装置２８経由で、参加リクエスト８０を受信すると、プロセッサ３０は、ＯＳ３１の制御にしたがってアプリケーション・ソフトウェア３２を起動する（Ｓ１１１６）。
【０２９１】
プロセッサ３０がアプリケーション・ソフトウェア３２を起動すると、ユーザ認証部３４は、第２の情報処理装置３の第２のユーザＵ２に対してアプリケーション・ソフトウェア３２の使用が許可されているか否かを判断する（Ｓ１１１７）。認証が失敗の場合、処理は終了する。
【０２９２】
ユーザ認証部３４は、第２のユーザＵ２に対して参加リクエスト８０に基づいてメッセージ交換に参加するか否かの指定を第２のユーザＵ２に促す画面を、表示装置２７に表示させる。ユーザ認証部３４は、第２のユーザＵ２から操作受付装置４経由でセッションを用いるメッセージ交換への参加同意を受け付ける（Ｓ１１１８）。
【０２９３】
参加同意を入力した第２のユーザＵ２は、参加者と表記されてもよい。
【０２９４】
ユーザ認証部３４は、第２のユーザＵ２から操作受付装置２６経由で参加同意を受け付けると、参加同意通知８１を、通信装置２８経由で第１の情報処理装置２へ送信する（Ｓ１１１９）。なお、参加同意を受け付けない場合、ユーザ認証部３４は、参加に同意しないことを示す通知を通信装置２８経由で第１の情報処理装置２へ送信し、処理は終了する。
【０２９５】
セッション処理部７８は、第１の情報処理装置２のセッション処理部７６と協働し、第１の情報処理装置２と第２の情報処理装置３との間のセッションＳＳを開始する（Ｓ１１２０）。
【０２９６】
メッセージ交換部７９は、第１の情報処理装置２と第２の情報処理装置３との間で少なくとも１つのメッセージデータＭＤの交換を実行する（Ｓ１１２１）。
【０２９７】
メッセージ交換部７９は、第２のユーザＵ２から操作受付装置２６経由でメッセージ交換終了の指示を受け付けた場合に、メッセージ交換終了通知８２を、通信装置２８経由で第１の情報処理装置２へ送信し、メッセージ交換を終了する。あるいは、メッセージ交換部７９は、第１の情報処理装置２から通信装置２８経由でメッセージ交換終了通知８２を受信した場合に、メッセージ交換を終了する（Ｓ１１２２）。
【０２９８】
暗号化部３６は、第１の情報処理装置２から通信装置２８経由で第１の暗号化データ２１を受信すると、第１の暗号化データ２１を記憶装置２９の秘匿領域２９ｓに記憶させる（Ｓ１１２３）。
【０２９９】
暗号化部３６は、第１の暗号化データ２１と暗号鍵２３とに基づいて、第２の暗号化データ２２を生成し、第２の暗号化データ２２を記憶装置２９に記憶させる（Ｓ１１２４）。
【０３００】
暗号化部３６は、記憶装置２９に記憶されている第２の暗号化データ２２を、通信装置２８経由で第１の情報処理装置２へ送信する（Ｓ１１２５）。
【０３０１】
データ処理部３８は、セッションＳＳを用いて第１の情報処理装置２と第２の情報処理装置３との間で送受信された少なくとも１つのメッセージデータＭＤを消去する。また、データ処理部３８は、第２の暗号化データ２２が生成された後、秘匿領域７ｓに記憶されている第１の暗号化データ２１を消去する（Ｓ１１２６）。
【０３０２】
セッション処理部７８は、第２の暗号化データ２２を送信した後、第１の情報処理装置２と第２の情報処理装置３との間のセッションＳＳを終了する（Ｓ１１２７）。
【０３０３】
以上説明した第５の実施形態においては、第１の情報処理装置２と第２の情報処理装置３との間で交換されたメッセージデータＭＤが２重に暗号化され、２重に暗号化されたメッセージデータＭＤが第１の情報処理装置２と第２の情報処理装置３との双方に記憶される。
【０３０４】
この２重に暗号化されたメッセージデータＭＤは、第１のユーザＵ１と第２のユーザＵ２との双方が復号することに同意しなければ、復号されない。
【０３０５】
したがって、メッセージデータＭＤの秘密性を確保することができるとともに、紛失を防止することができ、データの安全性を確保することができる。
【０３０６】
第５の実施形態において、セッションＳＳに関連するメッセージデータＭＤは、２重に暗号化され、かつ、消去される。
【０３０７】
メッセージデータＭＤが消去された後は、第１のユーザＵ１と第２のユーザＵ２との双方が復号に同意しなければ、メッセージデータＭＤを復号し、閲覧することができない。これにより、データの安全性を確保することができる。
【０３０８】
第５の実施形態においては、メッセージデータＭＤに基づいて原データ９が生成され、原データ９に基づいて第１の暗号化データ２１が生成されている。しかしながら、例えば、メッセージデータＭＤに基づいて原データが生成されることなく第１の暗号化データ２１が生成されてもよい。
【０３０９】
第５の実施形態においては、参加者が一人の場合を例として説明している。しかしながら、参加者は、複数人でもよい。参加者が複数人の場合、第１の情報処理装置２は、複数の参加者の情報処理装置へ参加リクエスト８０を送信し、複数の情報処理装置との間でセッションＳＳを開始する。第１の情報処理装置２と複数の参加者の情報処理装置とは、セッションＳＳを用いてメッセージデータＭＤを送受信する。第１の情報処理装置２と複数の情報処理装置とがデータの複数回の暗号化および記憶を実行してもよい。この場合、暗号化されたデータは、例えば、オーナーと複数の参加者とが復号に同意することにより復号される。
【０３１０】
第５の実施形態において、参加者が複数人の場合、オーナーは複数の参加者の中から暗号化および復号に協力する特定の参加者を選択（指名）してもよい。また、オーナーと複数の参加者とが協議し、暗号化および復号に協力する特定の参加者が選択されてもよい。選択された特定の参加者の情報処理装置は、第２の情報処理装置３として動作する。オーナーの第１の情報処理装置２は、特定の参加者が復号に同意した場合に、復号データ２５を取得することができる。
【０３１１】
第５の実施形態において、情報処理システム１は、一定時間ごとに、メッセージデータＭＤの暗号化処理を実行してもよい。この場合、第１の情報処理装置２は、第１のユーザＵ１からセッション開始指示を受け付けた後、セッションＳＳを開始することを第２の情報処理装置２へ通知し、データの暗号化、暗号化されたデータの記憶、および、データの消去を一定時間ごとに行うための時間管理サブプロセスを実行する。
【０３１２】
アプリケーション・ソフトウェア１１，３２は、一定時間が経過するたびに、データの暗号化、暗号化されたデータの記憶、および、データの消去を繰り返す。
【０３１３】
メッセージ交換が終了すると、第１の情報処理装置２および第２の情報処理装置３は、時間管理サブプロセスのループから抜け出し、残りのタスクを完了し、セッションＳＳを終了する。
【０３１４】
第５の実施形態において、第２の暗号化データ２２の復号処理を実行する場合、第１の情報処理装置２と第２の情報処理装置３との間でセッションＳＳが開始されてもよい。この場合、第１の情報処理装置２と第２の情報処理装置３とは、セッションＳＳを用いて復号リクエスト５８、通知５９、第２の暗号化データ２２の識別情報６０、第１の暗号化データ２１を送受信する。
【０３１５】
例えば、オーナーの情報処理装置と複数の参加者の中から選択された特定の参加者の情報処理装置とが、第２の暗号化データ２２を復号し、復号データ２５を生成するとする。この場合、復号処理時に、オーナーの情報処理装置と複数の参加者の情報処理装置との間でセッションＳＳが開始され、このセッションＳＳが維持されている期間（セッション終了までの間）、複数の参加者の情報処理装置は、復号データ２５をオーナーの情報処理装置から取得し、表示装置によって表示可能としてもよい。これにより、セッションＳＳが維持されている期間、オーナーと複数の参加者が復号データ２５を閲覧することができる。
【０３１６】
第５の実施形態において、第１の情報処理装置２と第２の情報処理装置３との間の通信は、直接的に実行されてもよく、ネットワーク経由で実行されてもよく、１台以上のサーバを経由して実行されてもよい。
【０３１７】
（第６の実施形態）
第６の実施形態においては、第１の情報処理装置２と第２の情報処理装置３とが第１の情報処理装置２のデータ（例えばファイル）を共有および編集し、第１の情報処理装置２と第２の情報処理装置３とがこの共有されているデータに対して２段階の暗号化を実行し、第１の情報処理装置２と第２の情報処理装置３とが２段階の暗号化データを保存する。
【０３１８】
図１２は、第６の実施形態に係る情報処理システム８３の構成の一例を示すブロック図である。
【０３１９】
情報処理システム８３は、第１の情報処理装置２と第２の情報処理装置３とサーバ８４とを備える。
【０３２０】
第１の情報処理装置２と第２の情報処理装置３とは、サーバ８４経由で通信可能である。サーバ８４は、例えば、第１の情報処理装置２と第２の情報処理装置３との間の通信を中継する。サーバ８４の機能は、独立の装置によって実現されなくてもよい。例えば、サーバ８４の機能は、第１の情報処理装置２または第２の情報処理装置３によって実現されてもよい。
【０３２１】
第１の情報処理装置２のプロセッサ８は、アプリケーション・ソフトウェア８５を実行することにより、ユーザ認証部１４、編集部８６、セッション処理部７６、暗号化部１６、データ処理部１８、復号部１９として機能する。
【０３２２】
第２の情報処理装置３のプロセッサ３０は、アプリケーション・ソフトウェア８７を実行することにより、ユーザ認証部３４、セッション処理部７８、編集部８８、暗号化部３６、データ処理部３８、復号部３９として機能する。
【０３２３】
第１の情報処理装置２の記憶装置７の秘匿領域７ｓには、共有編集データ８９が保存される。第６の実施形態において、共有編集データ８９を第１の情報処理装置２のみではなく第２の情報処理装置３からも編集・閲覧可能とするために、秘匿領域７ｓの少なくとも一部（共有編集データ８９を記憶している領域）は、第１の情報処理装置２と参加の承諾された第２の情報処理装置３とに共有される共有記憶領域としてもよい。このように、第６の実施形態では、第１のユーザＵ１の第１の情報処理装置２の秘匿領域７ｓが、第１のユーザＵ１が参加を承諾したユーザに対して共有可能となるように制御される。
【０３２４】
共有編集データ８９は、第１の情報処理装置２と第２の情報処理装置３とに共有される例えばマルチメディアデータである。共有編集データ８９は、第１の情報処理装置２によって編集可能であり、また、第２の情報処理装置３によっても編集可能である。共有編集データ８９は、例えば、静止画像データ、動画像データ、テキストデータ、ドキュメントデータ、メッセージデータ、音データなどを組み合わせたデータとしてもよい。第６の実施形態に係る共有編集データ８９は、例えば第１の実施形態に係る原データ９に相当する。
【０３２５】
第１の情報処理装置２で実行されるアプリケーション・ソフトウェア８５および第２の情報処理装置３で実行されるアプリケーション・ソフトウェア８７は、共有編集データ８９のエディタとして利用可能である。
【０３２６】
第６の実施形態では、アプリケーション・ソフトウェア８５が、第１の情報処理装置２と第２の情報処理装置３のどちらからでもマルチメディアデータを編集可能な環境であるマルチメディアボードを実現する。マルチメディアボード上における共有編集データ８９の編集状態は、ほぼリアルタイムで表示装置５および表示装置２７に表示可能である。共有編集データ８９は、例えば記憶装置７の秘匿領域７ｓに保存される。マルチメディアボードは、複数のユーザで共有可能なファイルとしてもよい。
【０３２７】
図１３は、第６の実施形態に係る情報処理システム８３によって実行される暗号化処理の一例を示すフローチャートである。
【０３２８】
まず、第１の情報処理装置２によって実行される暗号化処理を説明する。
【０３２９】
プロセッサ８がＯＳ１０の制御にしたがってアプリケーション・ソフトウェア８５を起動すると（Ｓ１３０１）、ユーザ認証部１４は、第１の情報処理装置２の第１のユーザＵ１に対してアプリケーション・ソフトウェア８５の使用が許可されているか否かを判断する（Ｓ１３０２）。認証が失敗の場合、処理は終了する。
【０３３０】
編集部８６は、第１のユーザＵ１に対してアプリケーション・ソフトウェア８５の使用が許可されていると判断された場合に、第１の情報処理装置２と第２の情報処理装置３とに共有されるマルチメディアボードを開設する（Ｓ１３０３）。
【０３３１】
セッション処理部７６は、第１のユーザＵ１から操作受付装置４経由でセッション開始指示を受け付ける（Ｓ１３０４）。
【０３３２】
セッション処理部７６は、セッション開始指示を受け付けた場合に、セッションＳＳに対する参加リクエスト８０を、通信装置６経由で第２のユーザＵ２の第２の情報処理装置３へ送信する（Ｓ１３０５）。
【０３３３】
セッション処理部７６は、参加リスエスト８０に対する応答として、参加同意通知８１を、第２の情報処理装置３から通信装置６経由で受信したか否かを判断する（Ｓ１３０６）。セッション処理部７６が参加不同意通知を受信した場合、処理は終了する。
【０３３４】
セッション処理部７６は、参加同意通知８１を受信した場合に、第２の情報処理装置３のセッション処理部７８と協働し、第１の情報処理装置２と第２の情報処理装置３との間のセッションＳＳを開始する（Ｓ１３０７）。
【０３３５】
編集部８６は、第１の情報処理装置２と第２の情報処理装置３との間のマルチメディアボードの共有を開始する（Ｓ１３０８）。
【０３３６】
編集部８６は、マルチメディアボード上の共有編集データ８９を編集する（Ｓ１３０９）。
【０３３７】
編集部８６は、第１のユーザＵ１から操作受付装置４経由でマルチメディアボードの共有終了を受け付けると、マルチメディアボードの共有を終了し（Ｓ１３１０）、通信装置６経由で第２の情報処理装置３へマルチメディアボードの共有終了通知９６を送信する。
【０３３８】
暗号化部１６は、記憶装置７の秘匿領域７ｓに記憶されている共有編集データ８９を、暗号鍵１２を用いて暗号化し、第１の暗号化データ２１を生成し、第１の暗号化データ２１を秘匿領域７ｓに記憶させる（Ｓ１３１１）。
【０３３９】
暗号化部１６は、秘匿領域７ｓに記憶されている第１の暗号化データ２１の送信先の指定を第１のユーザＵ１に促す画面を、表示装置５に表示させる。暗号化部１６は、第１のユーザＵ１から操作受付装置４経由で送信先の指定を受け付ける（Ｓ１３１２）。
【０３４０】
暗号化部１６は、秘匿領域７ｓに記憶されている第１の暗号化データ２１を、通信装置６経由で、指定された送信先である第２の情報処理装置３へ送信する（Ｓ１３１３）。
【０３４１】
データ処理部１８は、記憶装置７に記憶されている共有編集データ８９、および、記憶装置７に記憶されている第１の暗号化データ２１を消去する（Ｓ１３１４）。
【０３４２】
データ処理部１８は、第２の情報処理装置３から通信装置６経由で、第２の暗号化データ２２を受信し、第２の暗号化データ２２を記憶装置７に記憶させる（Ｓ１３１５）。
【０３４３】
セッション処理部７６は、第２の暗号化データ２２を受信すると、第１の情報処理装置２と第２の情報処理装置３との間のセッションＳＳを終了する（Ｓ１３１６）。
【０３４４】
次に、第２の情報処理装置３によって実行される暗号化処理を説明する。
【０３４５】
プロセッサ３０によって実行されているＯＳ３１が、第１の情報処理装置２から通信装置２８経由で、参加リクエスト８０を受信すると（Ｓ１３１７）、プロセッサ３０は、ＯＳ３１の制御にしたがってアプリケーション・ソフトウェア８７を起動する（Ｓ１３１８）。
【０３４６】
プロセッサ３０がアプリケーション・ソフトウェア８７を起動すると、ユーザ認証部３４は、第２の情報処理装置３の第２のユーザＵ２に対してアプリケーション・ソフトウェア８７の使用が許可されているか否かを判断する（Ｓ１３１９）。認証が失敗の場合、処理は終了する。
【０３４７】
ユーザ認証部３４は、第２のユーザＵ２に対して参加リクエスト８０に基づいて、セッションＳＳに参加するか否かの指定を第２のユーザＵ２に促す画面を、表示装置２７に表示させる。ユーザ認証部３４は、第２のユーザＵ２から操作受付装置４経由でセッションＳＳへの参加同意を受け付ける（Ｓ１３２０）。
【０３４８】
ユーザ認証部３４は、第２のユーザＵ２から操作受付装置２６経由で参加同意を受け付けると、参加同意通知８１を、通信装置２８経由で第１の情報処理装置２へ送信する（Ｓ１３２１）。なお、参加同意を受け付けない場合、ユーザ認証部３４は、参加に同意しないことを示す通知を通信装置２８経由で第１の情報処理装置２へ送信し、処理は終了する。
【０３４９】
セッション処理部７８は、第１の情報処理装置２のセッション処理部７６と協働し、第１の情報処理装置２と第２の情報処理装置３との間のセッションＳＳを開始する（Ｓ１３２２）。
【０３５０】
編集部８８は、第１の情報処理装置２と第２の情報処理装置３との間のマルチメディアボードの共有を開始する（Ｓ１３２３）。
【０３５１】
編集部８８は、マルチメディアボード上の共有編集データ８９を編集する（Ｓ１３２４）。
【０３５２】
編集部８８は、第１の情報処理装置２から通信装置２８経由でマルチメディアボードの共有終了通知９６を受信すると、マルチメディアボードの共有を終了する（Ｓ１３２５）。
【０３５３】
暗号化部３６は、第１の情報処理装置２から通信装置２８経由で第１の暗号化データ２１を受信すると、第１の暗号化データ２１を記憶装置２９の秘匿領域２９ｓに記憶させる（Ｓ１３２６）。
【０３５４】
暗号化部３６は、第１の暗号化データ２１と暗号鍵２３とに基づいて、第２の暗号化データ２２を生成し、第２の暗号化データ２２を記憶装置２９に記憶させる（Ｓ１３２７）。
【０３５５】
暗号化部３６は、記憶装置２９に記憶されている第２の暗号化データ２２を、通信装置２８経由で第１の情報処理装置２へ送信する（Ｓ１３２８）。
【０３５６】
データ処理部３８は、秘匿領域７ｓに記憶されている第１の暗号化データ２１を消去する（Ｓ１３２９）。
【０３５７】
セッション処理部７８は、第２の暗号化データ２２を送信した後、第１の情報処理装置２と第２の情報処理装置３との間のセッションＳＳを終了する（Ｓ１３３０）。
【０３５８】
上記のような暗号化処理において、処理の順序は、適宜変更可能である。例えば、Ｓ１３０３は、Ｓ１３０２からＳ１３０８までの間のいずれかのタイミングで実行されればよい。例えば、Ｓ１３２９は、Ｓ１３２７の後のいずれかのタイミングで実行されればよい。
【０３５９】
図１４は、第６の実施形態に係る情報処理システム８３によって実行される復号処理の一例を示すフローチャートである。
【０３６０】
まず、第１の情報処理装置２によって実行される復号処理を説明する。
【０３６１】
プロセッサ８がＯＳ１０の制御にしたがってアプリケーション・ソフトウェア８５を起動すると（Ｓ１４０１）、ユーザ認証部１４は、第１の情報処理装置２の第１のユーザＵ１に対してアプリケーション・ソフトウェア８５の使用が許可されているか否かを判断する（Ｓ１４０２）。認証が失敗の場合、処理は終了する。
【０３６２】
復号部１９は、第１のユーザＵ１に対してアプリケーション・ソフトウェア８５の使用が許可されていると判断された場合に、第１のユーザＵ１から操作受付装置４経由で、復号対象の第２の暗号化データ２２の選択を受け付ける（Ｓ１４０３）。
【０３６３】
セッション処理部７６は、第１のユーザＵ１から操作受付装置４経由でセッション開始指示を受け付ける（Ｓ１４０４）。
【０３６４】
セッション処理部７６は、セッション開始指示を受け付けた場合に、セッションＳＳに対する参加リクエスト８０を、通信装置６経由で第２のユーザＵ２の第２の情報処理装置３へ送信する（Ｓ１４０５）。
【０３６５】
セッション処理部７６は、参加リスエスト８０に対する応答として、参加同意通知８１を、第２の情報処理装置３から通信装置６経由で受信したか否かを判断する（Ｓ１４０６）。セッション処理部７６が参加不同意通知を受信した場合、処理は終了する。
【０３６６】
セッション処理部７６は、参加同意通知８１を受信した場合に、第２の情報処理装置３のセッション処理部７８と協働し、第１の情報処理装置２と第２の情報処理装置３との間のセッションＳＳを開始する（Ｓ１４０７）。
【０３６７】
復号部１９は、第１のユーザＵ１から操作受付装置４経由で復号依頼先を受け付ける（Ｓ１４０８）。
【０３６８】
復号部１９は、復号依頼先を受け付けた場合に、復号リクエスト９０を、通信装置６経由で、復号依頼先である第２の情報処理装置３へ送信する（Ｓ１４０９）。
【０３６９】
復号部１９は、第２の情報処理装置３から通信装置６経由で、復号リクエスト９０の応答として、復号リクエスト９０に対応する第１の暗号化データ２１を受信し、第１の暗号化データ２１を記憶装置７の秘匿領域７ｓに記憶させる（Ｓ１４１０）。
【０３７０】
復号部１９は、記憶装置７に記憶されている第１の暗号化データ２１を復号して共有編集データ８９を生成する（Ｓ１４１１）。復号によって得られた共有編集データ８９は、第１の実施形態に係る復号データ２５に相当する。
【０３７１】
復号部１９は、共有編集データ８９を記憶装置７の秘匿領域７ｓに記憶させ、データ処理部１８は、記憶装置７の履歴データ２４を更新する（Ｓ１４１２）。
【０３７２】
編集部８６は、第１の情報処理装置２と第２の情報処理装置３とに共有されるマルチメディアボードを開設する（Ｓ１４１３）。
【０３７３】
編集部８６は、第１の情報処理装置２と第２の情報処理装置３との間のマルチメディアボードの共有を開始する（Ｓ１４１４）。
【０３７４】
編集部８６は、マルチメディアボード上で、記憶装置７の秘匿領域７ｓに記憶されている共有編集データ８９を、表示装置５に表示させる（Ｓ１４１５）。これにより、第１のユーザＵ１は、共有編集データ８９の内容を閲覧可能である。
【０３７５】
編集部８６は、第１のユーザＵ１から操作受付装置４経由でマルチメディアボードの共有終了を受け付けると、マルチメディアボードの共有を終了し（Ｓ１４１６）、通信装置６経由で第２の情報処理装置３へマルチメディアボードの共有終了通知９６を送信する。
【０３７６】
セッション処理部７６は、第１の情報処理装置２と第２の情報処理装置３との間のセッションＳＳを終了する（Ｓ１４１７）。
【０３７７】
次に、第２の情報処理装置３によって実行される復号処理を説明する。
【０３７８】
プロセッサ３０によって実行されているＯＳ３１が、第１の情報処理装置２から通信装置２８経由で、参加リクエスト８０を受信すると（Ｓ１４１８）、プロセッサ３０は、ＯＳ３１の制御にしたがってアプリケーション・ソフトウェア８７を起動する（Ｓ１４１９）。
【０３７９】
プロセッサ３０がアプリケーション・ソフトウェア８７を起動すると、ユーザ認証部３４は、第２の情報処理装置３の第２のユーザＵ２に対してアプリケーション・ソフトウェア８７の使用が許可されているか否かを判断する（Ｓ１４２０）。認証が失敗の場合、処理は終了する。
【０３８０】
ユーザ認証部３４は、第２のユーザＵ２に対する参加リクエスト８０に基づいて、セッションＳＳに参加するか否かの指定を第２のユーザＵ２に促す画面を、表示装置２７に表示させる。ユーザ認証部３４は、第２のユーザＵ２から操作受付装置４経由でセッションＳＳへの参加同意を受け付ける（Ｓ１４２１）。
【０３８１】
ユーザ認証部３４は、第２のユーザＵ２から操作受付装置２６経由で参加同意を受け付けると、参加同意通知８１を、通信装置２８経由で第１の情報処理装置２へ送信する（Ｓ１４２２）。なお、参加同意を受け付けない場合、ユーザ認証部３４は、参加に同意しないことを示す通知を通信装置２８経由で第１の情報処理装置２へ送信し、処理は終了する。
【０３８２】
セッション処理部７８は、第１の情報処理装置２のセッション処理部７６と協働し、第１の情報処理装置２と第２の情報処理装置３との間のセッションＳＳを開始する（Ｓ１４２３）。
【０３８３】
復号部３９は、第１の情報処理装置２から通信装置２８経由で、復号リクエスト９０を受信する（Ｓ１４２４）。
【０３８４】
復号部３９は、記憶装置２９に記憶されており復号リクエスト９０に対応する第２の暗号化データ２２を復号することにより第１の暗号化データ２１を生成し、第１の暗号化データを記憶装置２９の秘匿領域２９ｓに記憶させる（Ｓ１４２５）。
【０３８５】
復号部３９は、秘匿領域２９ｓに記憶されている第１の暗号化データ２１を、通信装置経由２８で第１の情報処理装置２へ送信する（Ｓ１４２６）。
【０３８６】
データ処理部３８は、秘匿領域２９ｓから第１の暗号化データ２１を消去する（Ｓ１４２７）。
【０３８７】
編集部８８は、第１の情報処理装置２と第２の情報処理装置３との間のマルチメディアボードの共有を開始する（Ｓ１４２８）。
【０３８８】
編集部８８は、マルチメディアボード上で、共有編集データ８９を、表示装置２７に表示させる（Ｓ１４２９）。これにより、第２のユーザＵ２は、共有編集データ８９の内容を閲覧可能である。
【０３８９】
編集部８８は、第１の情報処理装置２から通信装置２８経由でマルチメディアボードの共有終了通知９６を受信すると、マルチメディアボードの共有を終了する（Ｓ１４３０）。
【０３９０】
セッション処理部７８は、第１の情報処理装置２と第２の情報処理装置３との間のセッションＳＳを終了する（Ｓ１４３１）。
【０３９１】
上記のような復号処理において、処理の順序は、適宜変更可能である。例えば、Ｓ１４０３は、Ｓ１４０２からＳ１４０９までの間のいずれかのタイミングで実行されればよい。
【０３９２】
以上説明した第６の実施形態において、第１のユーザＵ１は、アプリケーション・ソフトウェア８５を起動し、暗号化したいデータを選択し、第１の暗号化を行い、第２の暗号化を依頼する第２のユーザＵ２を探す。第６の実施形態おいては、第１のユーザＵ１と第２のユーザＵ２とが、静止画像データ、動画像データ、テキストデータ、ドキュメントデータ、メッセージデータ、音データなどを含むマルチメディアデータを、共同で編集可能であり、共同で２段階の暗号化を実行し、共同で保管し、共同で２段階の復号を実行し、閲覧することができる。
【０３９３】
第６の実施形態においては、第１の情報処理装置２と第２の情報処理装置３との間で、セキュアなセッションＳＳと、セキュアな編集環境とを実現する。
【０３９４】
これにより、第１のユーザＵ１と第２のユーザＵ２とが第２の暗号化データ２２を共同で管理し、双方の同意がある場合に元の共有編集データ８９を閲覧または編集可能とすることができる。第６の実施形態においては、第１のユーザＵ１および第２のユーザＵ２のプライバシーを保護することができる。
【０３９５】
以下で、第６の実施形態に係る情報処理システム８３によって得られる効果の具体例を説明する。
【０３９６】
第６の実施形態において、第２の情報処理装置３は、第１の情報処理装置２のファイル（共有編集データ８９）をアクセスする。このため、通信のセキュリティを確保することにより、セキュアなデータ管理を行うことができる。
【０３９７】
第６の実施形態において、第１の情報処理装置２と第２の情報処理装置３との間の通信が途中で切断された場合であっても、第２の情報処理装置３には閲覧中のデータがメモリ上に一時的に存在するのみであり、アプリケーション・ソフトウェア８７を終了すると共有編集データ８９に関するデータは第２の情報処理装置３に残らない。復号時においても、第２の情報処理装置３は、最終的に復号された共有編集データ８９を持たず、第１の情報処理装置２で最終的に復号された共有編集データ８９をアクセスするのみである。このため、第２の情報処理装置３に共有編集データ８９が残ることを防止することができ、第１の情報処理装置２で共有編集データ８９を安全に管理することができる。
【０３９８】
（第７の実施形態）
第７の実施形態では、上記の第６の実施形態の変形例を説明する。上記の第６の実施形態では、マルチメディアボードを第１の情報処理装置２により実現している。これに対して、第７の実施形態では、マルチメディアボードをサーバ８４によって提供されるクラウド環境により実現する。
【０３９９】
図１５は、第７の実施形態に係る情報処理システム９１の構成の一例を示すブロック図である。
【０４００】
情報処理システム９１は、第１の情報処理装置２と、第２の情報処理装置３と、サーバ８４とを備える。
【０４０１】
第１の情報処理装置２と、第２の情報処理装置３と、サーバ８４とは、ネットワーク４５経由で互いに通信可能である。
【０４０２】
サーバ８４は、通信装置４６と記憶装置４７とプロセッサ４８とを備える。記憶装置４７は、ＯＳ４９とサーバ・ソフトウェア９２とを記憶する。
【０４０３】
サーバ・ソフトウェア９２は、プロセッサ４８によって実行されることにより、第１の情報処理装置２および第２の情報処理装置３に対してクラウド環境を提供する。
【０４０４】
具体的には、サーバ８４は、第１の第１のユーザＵ１（あるいは第１の情報処理装置２）および第２のユーザＵ２（あるいは第２の情報処理装置３）に対して、それぞれクラウド記憶領域ＣＡ１，ＣＡ２を割り当てる。
【０４０５】
クラウド記憶領域ＣＡ１は、共有領域ＳＡ１と、プライベート領域ＰＡ１とを含む。共有領域ＳＡ１は、第１のユーザＵ１および他のユーザによるアクセスが可能である。プライベート領域ＳＡ１は、第１のユーザＵ１によるアクセスは可能であるが、第１のユーザＵ１ではない他のユーザによるアクセスは禁止される。
【０４０６】
クラウド記憶領域ＣＡ２は、共有領域ＳＡ２と、プライベート領域ＰＡ２とを含む。共有領域ＳＡ２は、第２のユーザＵ２および他のユーザによるアクセスが可能である。プライベート領域ＳＡ２は、第２のユーザＵ２によるアクセスは可能であるが、第２のユーザＵ２ではない他のユーザによるアクセスは禁止される。
【０４０７】
第７の実施形態において、第１の情報処理装置２のプロセッサ８と、第２の情報処理装置３のプロセッサ３０とは、共有領域ＳＡ１の共有編集データ８９の編集・閲覧のための処理を実行する。
【０４０８】
例えば、第１の情報処理装置２と第２の情報処理装置３との間のセッションＳＳが終了する場合に、暗号化処理が実行される。
【０４０９】
この暗号化処理において、第１の情報処理装置２のプロセッサ８は、共有編集データ８９に対して第１の暗号化を実行し、第１の暗号化データ２１を生成し、第１の暗号化データ２１を一時的に共有領域ＳＡ１に記憶させる。
【０４１０】
第２の情報処理装置３のプロセッサ３０は、共有領域ＳＡ１の第１の暗号化データ２１に対して第２の暗号化を実行し、第２の暗号化データ２２を一時的に共有領域ＳＡ１に記憶させる。
【０４１１】
第１の情報処理装置２のプロセッサ８は、共有領域ＳＡ１の第２の暗号化データ２２をプライベート領域ＰＡ１に記憶させ、第２の情報処理装置３のプロセッサ３０は、共有領域ＳＡ１の第２の暗号化データ２２をプライベート領域ＰＡ２に記憶させる。
【０４１２】
そして、共有領域ＳＡ１の共有編集データ８９、共有領域ＳＡ１の第１の暗号化データ２１、共有領域ＳＡ１の第２の暗号化データ２２は、第１の情報処理装置２のプロセッサ８、第２の情報処理装置３のプロセッサ３０、または、サーバ８４のプロセッサ４８により、消去される。
【０４１３】
復号処理において、第２の情報処理装置３のプロセッサ３０は、プライベート領域ＰＡ２の第２の暗号化データ２２に対して第１の復号を実行し、第１の暗号化データ２１を一時的に共有領域ＳＡ１に記憶させる。
【０４１４】
第１の情報処理装置２のプロセッサ８は、共有領域ＳＡ１の第１の暗号化データ２１に対して第２の復号を実行し、共有編集データ８９を一時的に共有領域ＳＡ１に記憶させる。
【０４１５】
第２の復号の後、共有領域ＳＡ１の第１の暗号化データ２１は、第１の情報処理装置２のプロセッサ８、第２の情報処理装置３のプロセッサ３０、または、サーバ８４のプロセッサ４８により、消去される。
【０４１６】
復号処理の後、第１の情報処理装置２のプロセッサ８と、第２の情報処理装置３のプロセッサ３０とは、共有領域ＳＡ１の共有編集データ８９に対して編集・閲覧のための処理を実行する。
【０４１７】
図１６は、第７の実施形態に係る情報処理システム９１によって実現されるマルチメディアボード９３の例を示す図である。
【０４１８】
サーバ８４は、第１の情報処理装置２と第２の情報処理装置３とに対してマルチメディアボート９３を提供する。
【０４１９】
第１の情報処理装置２を操作する第１のユーザＵ１と第２の情報処理装置３を操作する第２のユーザＵ２とは、マルチメディアボート９３上で、共有編集データ８９を閲覧および編集可能である。第１のユーザＵ１および第２のユーザＵ２は、テキストデータ８９Ａ、画像データ８９Ｂ、メッセージデータ８９Ｃなどの様々な種類のデータを組み合わせて共有編集データ８９を作成することができる。
【０４２０】
テキストデータ８９Ａ、画像データ８９Ｂ、メッセージデータ８９Ｃは、それぞれ、メタデータ９４ａ〜９４ｃとデータ本体９５ａ〜９５ｃとを含む。第１の情報処理装置２および第２の情報処理装置３は、メタデータ９４ａ〜９４ｃに含まれているデータ属性にそって、データ本体９５ａ〜９５ｃを表示装置５，２７に分かりやすく表示させる。
【０４２１】
第７の実施形態の暗号化処理において、第１のユーザＵ１の第１の情報処理装置２がアプリケーション・ソフトウェア８５を立ち上げると、例えば、初期状態（デフォルト）のマルチメディアボード９３が開かれる。
【０４２２】
第１の情報処理装置２は、セッションＳＳを開設し、第２のユーザＵ２または複数のユーザを、マルチメディアボード９３へ招き入れる（参加リクエストの送信）。
【０４２３】
第１のユーザＵ１が、第２のユーザＵ２または複数のユーザの参加同意通知８１を受信すると、マルチメディアボード９３が、第１のユーザＵ１と、第２のユーザＵ２または複数のユーザとの間で、共有される。
【０４２４】
第１のユーザＵ１と、第２のユーザＵ２または複数のユーザとは、マルチメディアボード９３上で、共有編集データ８９を編集する。例えば、第１のユーザＵ１と、第２のユーザＵ２または複数のユーザとは、マルチメディアボード９３上でメッセージを交換可能であり、テキストデータ８９Ａの編集、画像データ８９Ｂの貼り付け、メッセージデータ８９Ｃの貼り付けなどを行う。
【０４２５】
マルチメディアボード９３の使用が終了すると、第１の情報処理装置２は、マルチメディアボード９３上の共有編集データ８９に対して第１の暗号化を実行し、第１の暗号化データ２１を生成する。
【０４２６】
第１のユーザＵ１は、第２のユーザＵ２または複数のユーザのうちの特定のユーザを指定する。第１の情報処理装置２は、第２のユーザＵ２の第２の情報処理装置３または特定のユーザの情報処理装置へ第２の暗号化を依頼する。
【０４２７】
第２の情報処理装置３または特定のユーザの情報処理装置は、第１の暗号化データ２１に対して第２の暗号化を実行し、第２の暗号化データ２２を生成する。
【０４２８】
第１の情報処理装置２と、第２の情報処理装置３または特定のユーザの情報処理装置とは、第２の暗号化データ２２を保管する。
【０４２９】
なお、第１の情報処理装置２と、複数のユーザの情報処理装置とが、第２の暗号化データ２２を保管してもよい。
【０４３０】
第７の実施形態の復号処理において、第１のユーザＵ１の第１の情報処理装置２がアプリケーション・ソフトウェア８５を立ち上げると、第１の情報処理装置２は、第２のユーザＵ２または複数のユーザのうちの少なくとも特定のユーザを招き入れてセッションＳＳを開設する。
【０４３１】
第２の情報処理装置３または特定のユーザの情報処理装置は、第２の暗号化データ２２に対して復号処理を実行し、第１の暗号化データ２１を生成する。
【０４３２】
第１の情報処理装置２は、第１の暗号化データ２１に対して復号処理を実行し、共有編集データ８９を生成する。
【０４３３】
第１の情報処理装置２は、第１のユーザＵ１と、第２のユーザＵ２または参加することに同意した少なくとも特定のユーザとに共有されるマルチメディアボード９３を開く。
【０４３４】
第１のユーザＵ１と、第２のユーザＵ２または少なくとも特定のユーザとは、マルチメディアボード９３上で、共有編集データ８９を編集・閲覧可能である。
【０４３５】
図１７は、第７の実施形態に係る情報処理システム９１によって実行される処理の一例を示すフローチャートである。
【０４３６】
暗号化処理において、第１の情報処理装置２は、第１の情報処理装置２と第２の情報処理装置３とで共有される共有領域ＳＡ１の共有編集データ８９に対して暗号化を実行し、第１の暗号化データ２１を生成し、共有領域ＳＡ１に第１の暗号化データ２１を記憶させる（Ｓ１７０１）。
【０４３７】
第２の情報処理装置３は、共有領域ＳＡ１に記憶されている第１の暗号化データ２１に対して暗号化を実行し、第２の暗号化データ２２を生成し、共有領域ＳＡ１に第２の暗号化データ２２を記憶させる（Ｓ１７０２）。
【０４３８】
第１の情報処理装置２は、共有領域ＳＡ１に記憶されている第２の暗号化データ２２を、第１の情報処理装置２に対応するプライベート領域ＰＡ１に記憶させる（Ｓ１７０３ａ）。同様に、第２の情報処理装置３は、共有領域ＳＡ１に記憶されている第２の暗号化データ２２を、第２の情報処理装置３に対応するプライベート領域ＰＡ２に記憶させる（Ｓ１７０３ｂ）。
【０４３９】
第１の情報処理装置２は、共有領域ＳＡ１に対して、共有領域ＳＡ１に記憶されている共有編集データ８９と第１の暗号化データ２１と第２の暗号化データ２２に対する消去を実行する（Ｓ１７０４）。
【０４４０】
復号処理において、第２の情報処理装置３は、プライベート領域ＰＡ２に記憶されている第２の情報処理装置２２に対して復号を実行し、第１の暗号化データ２１を生成し、共有領域ＳＡ１に第１の暗号化データ２１を記憶させる（Ｓ１７０５）。
【０４４１】
第１の情報処理装置２は、共有領域ＳＡ１に記憶されている第１の暗号化データ２１に対して復号を実行し、共有編集データ８９を生成し、共有領域ＳＡ１に共有編集データ８９を記憶させる（Ｓ１７０６）。
【０４４２】
第１の情報処理装置２は、共有領域ＳＡ１に対して、第１の暗号化データ２１の消去を実行する（Ｓ１７０７）。
【０４４３】
以上説明した第７の実施形態においては、クラウド環境を用いて、第１の情報処理装置２と第２の情報処理装置３との間で、共有編集データ８９の共有、第１の暗号化データ２１の生成、第２の暗号化データ２２の生成が実現される。
【０４４４】
このため、第１の情報処理装置２と第２の情報処理装置３との間のデータの送受信を簡略化することができる。
【０４４５】
また、第７の実施形態においては、共有編集データ８９を安全に編集することができ、第２の暗号化データ２２を安全に保存することができる。
【０４４６】
なお、本願発明は、上記各実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具現化できる。また、上記各実施形態に開示されている複数の構成要素の適宜な組み合わせにより種々の発明を形成できる。例えば、各実施形態に示される全構成要素から幾つかの構成要素を削減してもよい。更に、異なる実施形態に亘る構成要素を適宜組合せてもよい。
【要約】
情報処理システムは、第１の装置と第２の装置とを備える。第１の装置は、共有領域の共有データに対して第１の使用制限を施した第１の使用制限データを生成し、共有領域に第１の使用制限データを記憶させ、第２の装置が第１の使用制限データに対して第２の使用制限を施して共有領域に記憶させた第２の使用制限データを、第１の装置に対応する第１の記憶領域に記憶させ、共有領域に記憶されている共有データと第１の使用制限データと第２の使用制限データとを共有領域から消去する。第２の装置は、共有領域に記憶されている第１の使用制限データに対して第２の使用制限を施した第２の使用制限データを生成し、共有領域に第２の使用制限データを記憶させ、共有領域に記憶されている第２の使用制限データを、第２の装置対応する第２の記憶領域に記憶させる。【図１】
0006938065.tif 000002
【図２】
0006938065.tif 000003
【図３】
0006938065.tif 000004
【図４】
0006938065.tif 000005
【図５】
0006938065.tif 000006
【図６】
0006938065.tif 000007
【図７】
0006938065.tif 000008
【図８】
0006938065.tif 000009
【図９】
0006938065.tif 000010
【図１０】
0006938065.tif 000011
【図１１】
0006938065.tif 000012
【図１２】
0006938065.tif 000013
【図１３】
0006938065.tif 000014
【図１４】
0006938065.tif 000015
【図１５】
0006938065.tif 000016
【図１６】
0006938065.tif 000017
【図１７】
0006938065.tif 000018