(57)【要約】【課題】意図しないファイルの移動・コピーの操作が行われた場合にも、実データを持ち出せないようにして情報漏洩を防止すること。【解決手段】ファイルサーバ２００が、セキュリティ管理対象となるデータファイルを、実データファイル２０３と操作用データファイル２０２とに分離して管理し、特に、実データファイル２０３を記憶装置２０１のクライアント２０４ａから直接アクセスできないセキュリティ領域に記憶しておく。そして、クライアント２０４ａが、操作用データファイル２０２を用いて実データファイル２０３のアクセスをファイルサーバ２００に要求すると、ファイルサーバ２００は、クライアント２０４ａからの要求に応じて実データファイル２０３へアクセスしてレスポンスを返す。このレスポンスを受け取ることによりクライアント２０４ａが間接的に実データファイル２０３にアクセスする構成を特徴とする。【選択図】図１
2009245325.tif 000002
【特許請求の範囲】
【請求項１】
クライアントからアクセスするファイルを管理するセキュリティ管理サーバであって、
セキュリティ管理対象となるデータファイルを、実データファイルと、該実データを操作するための操作用データファイルとに分けて管理し、前記実データファイルを記憶手段の前記クライアントからのアクセスを制限している領域に記憶管理する管理手段と、
前記クライアントからの前記操作用データファイルを用いて前記実データファイルへのアクセス要求に応じて該実データファイルへアクセスするデータアクセス手段と、
を有することを特徴とするセキュリティ管理サーバ。
【請求項２】
前記管理手段は、前記実データファイルと、前記操作用データファイルとを別の領域に記憶管理することを特徴とする請求項１記載のセキュリティ管理サーバ。
【請求項３】
前記管理手段は、前記実データファイルを記憶手段の前記クライアントから直接アクセスできない領域に記憶管理することを特徴とする請求項１又は２記載のセキュリティ管理サーバ。
【請求項４】
ファイルの管理を行うサーバと、該サーバで管理されるファイルにアクセスするクライアントから構成されるセキュリティ管理システムであって、
前記サーバは、
セキュリティ管理対象となるデータファイルを、実データファイルと、該実データを操作するための操作用データファイルとに分けて管理し、前記実データファイルを記憶手段の前記クライアントからのアクセスを制限している領域に記憶管理する管理手段と、
前記クライアントからの前記操作用データファイルを用いて前記実データファイルへのアクセス要求に応じて該実データファイルへアクセスするサーバ側データアクセス手段と、
を有するものであり、
前記クライアントは、
前記操作用データファイルを用いて前記実データファイルのアクセスを前記サーバに要求し、前記サーバを介して間接的に前記実データファイルにアクセスするクライアント側データアクセス手段を有することを特徴とするセキュリティ管理システム。
【請求項５】
前記クライアント側データアクセス手段は、前記操作用データファイルを用いて前記実データファイルに対応するアプリケーションを起動し、前記アプリケーションと前記実データにアクセスしている前記サーバとの間を中継することを特徴とする請求項４に記載のセキュリティ管理システム。
【請求項６】
前記クライアント側データアクセス手段は、前記アプリケーションの実行ユーザを、外部メモリへの書き込み権限のない低権限ユーザとすることを特徴とする請求項５に記載のセキュリティ管理システム。
【請求項７】
前記低権限ユーザは、コピー操作やカット操作を行ったデータを一時的に保存するメモリ上の領域を使用する権限のないユーザであることを特徴とする請求項６に記載のセキュリティ管理システム。
【請求項８】
前記クライアント側データアクセス手段は、前記アプリケーションを起動する際に、前記低権限ユーザのアカウントを作成することを特徴とする請求項６又は７に記載のセキュリティ管理システム。
【請求項９】
前記クライアント側データアクセス手段は、前記アプリケーションを終了した際に、前記低権限ユーザのアカウントを削除することを特徴とする請求項８に記載のセキュリティ管理システム。
【請求項１０】
前記クライアント側データアクセス手段は、前記アプリケーションからオペレーティングシステムに出力されるＩ／Ｏイベントを取得し、該Ｉ／Ｏイベントを前記サーバへ送信し、前記サーバから返送されるレスポンスを取得して前記アプリケーションに渡すものであり、
前記サーバ側データアクセス手段は、前記クライアントから送信される前記Ｉ／Ｏイベントに基づいて前記実データファイルへアクセスしてレスポンスを前記クライアントに返送することを特徴とする請求項５乃至９のいずれか１項に記載のセキュリティ管理システム。
【請求項１１】
前記操作用データファイルは、マシン固有情報を含むものであり、
前記クライアント側データアクセス手段は、前記操作用データに含まれるマシン固有情報と当該クライアントのマシン固有情報とが一致しない場合には、前記サーバに対する前記実データファイルのアクセス要求を禁止することを特徴とする請求項４乃至１０のいずれか１項に記載のセキュリティ管理システム。
【請求項１２】
クライアントからアクセスするファイルを管理するセキュリティ管理サーバにおけるセキュリティ管理方法であって、
管理手段が、セキュリティ管理対象となるデータファイルを、実データファイルと、該実データを操作するための操作用データファイルとに分けて管理し、前記実データファイルを記憶手段の前記クライアントからのアクセスを制限している領域に記憶管理する管理ステップと、
データアクセス手段が、前記クライアントからの前記操作用データファイルを用いて前記実データファイルへのアクセス要求に応じて該実データファイルへアクセスするデータアクセスステップと、
を有することを特徴とするセキュリティ管理方法。
【請求項１３】
ファイル管理を行うサーバと、該サーバで管理されるファイルにアクセスするクライアントから構成されるセキュリティ管理システムにおけるセキュリティ管理方法であって、
前記サーバの管理手段が、セキュリティ管理対象となるデータファイルを、実データファイルと、該実データを操作するための操作用データファイルとに分けて管理し、前記実データファイルを記憶手段の前記クライアントからのアクセスを制限している領域に記憶管理する管理ステップと、
前記クライアントのクライアント側データアクセス手段が、前記操作用データファイルを用いて前記実データファイルのアクセスを前記サーバに要求し、前記サーバを介して間接的に前記実データファイルにアクセスするクライアント側データアクセスステップと、
前記サーバのサーバ側データアクセス手段が、前記クライアントからの前記操作用データファイルを用いて前記実データファイルへのアクセス要求に応じて該実データファイルへアクセスするサーバ側データアクセスステップと、
を有することを特徴とするセキュリティ管理方法。
【請求項１４】
請求項１２又は１３に記載されたセキュリティ管理方法をコンピュータに実行させるためのプログラム。
【請求項１５】
請求項１４に記載されたプログラムを記録したコンピュータ読み取り可能な記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュリティ管理システムに関し、特に意図しない記憶媒体や端末にデータをコピーされてしまう場合を想定したセキュリティ管理サーバ、セキュリティ管理システム、セキュリティ管理方法、プログラム、及び、記録媒体に関する。
【背景技術】
【０００２】
従来のセキュリティ管理方法では、システムのハードディスクに記載されたデータに対するユーザのアクセスを可能とするためのパスワードをシステムの記憶手段に記憶させておき、ユーザが入力したパスワードと記憶手段に記憶されているパスワードとが一致した場合にのみハードディスクのデータへのアクセスを許可するようにしている（特許文献１参照）。
【０００３】
このような方法をとることにより、万一、ハードディスクが盗難等により他のシステムに組み込まれても、データを読み出すことができないようにしている。
【０００４】
また、ファイルに付加情報を追加し、元々保存されていた場所と異なる場所でのアクセスができないようにしたシステムもあった（特許文献２参照）。
【特許文献１】特開２０００−１７２５６７号公報
【特許文献２】特開２００６−２２８１３９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかし、上記特許文献１のような従来のセキュリティ管理方法においては、パスワードを知り得た場合には、他のシステムの記憶手段に当該パスワードを記憶させてしまえば、データをアクセスすることが可能になってしまい、結果的に情報漏洩が発生してしまうという問題点があった。
【０００６】
また、パスワードを知っているユーザ（正規のユーザ等）がハードディスクにアクセスして、フレキシブルディスク（以下、ＦＤ）やフラッシュメモリ等の可搬記憶媒体にファイルをコピーして持ち出すことが可能である。例えば、ファイルをアプリケーションで開いた状態でＦＤやフラッシュメモリ等に保存先を指定した場合、データを持ち出すことが可能となる。このように持ち出されたデータは、パスワード等無しでアクセスが可能となり、結果的に情報漏洩が発生してしまうという問題点があった。
【０００７】
また、上記特許文献２のように、付加情報を追加した場合でも、ＦＤ等の可搬記憶媒体で持ち出され、ファイルの解析をされた場合、データの復元を許してしまう可能性がある。
【０００８】
本発明は、上記の問題点を解決するためになされたものである。本発明の目的は、操作用データファイルを用意することで、意図しないファイルの移動、コピーの操作が行われた場合にも、実データの持ち出しをできないようにして情報漏洩を防振する仕組を提供することである。
【課題を解決するための手段】
【０００９】
本発明は、クライアントからアクセスするファイルを管理するセキュリティ管理サーバであって、セキュリティ管理対象となるデータファイルを、実データファイルと、該実データを操作するための操作用データファイルとに分けて管理し、前記実データファイルを記憶手段の前記クライアントからのアクセスを制限している領域に記憶管理する管理手段と、前記クライアントからの前記操作用データファイルを用いて前記実データファイルへのアクセス要求に応じて該実データファイルへアクセスするデータアクセス手段とを有することを特徴とする。
【００１０】
また、本発明は、ファイル管理を行うサーバと、該サーバで管理されるファイルにアクセスするクライアントから構成されるセキュリティ管理システムであって、前記サーバは、セキュリティ管理対象となるデータファイルを、実データファイルと、該実データを操作するための操作用データファイルとに分けて管理し、前記実データファイルを記憶手段の前記クライアントからのアクセスを制限している領域に記憶管理する管理手段と、前記クライアントからの前記操作用データファイルを用いて前記実データファイルへのアクセス要求に応じて該実データファイルへアクセスするサーバ側データアクセス手段と、を有するものであり、前記クライアントは、前記操作用データファイルを用いて前記実データファイルのアクセスを前記サーバに要求し、前記サーバを介して間接的に前記実データファイルにアクセスするクライアント側データアクセス手段を有することを特徴とする。
【発明の効果】
【００１１】
本発明によれば、セキュリティ管理対象のファイルを、利用者から直接アクセス（参照）可能な操作用データファイルと、利用者から直接アクセス（参照）不可能な実データファイルとに分けて管理することにより、利用者が移動やコピーが可能なファイルは操作用データファイルとし、この操作用データファイルを用いてサーバを介した場合のみ間接的に実データファイルにアクセス可能として、実データの意図しない移動やコピーを禁止して、実データの持ち出しをできないようにすることができる。
【００１２】
したがって、意図しないファイルの移動・コピーの操作が行われた場合にも、実データを持ち出せないようにすることで情報漏洩を防止できる等の効果を奏する。
【発明を実施するための最良の形態】
【００１３】
図１は、本発明の一実施形態を示すセキュリティ管理システムのシステム構成図である。
【００１４】
図１において、２００はファイルサーバ（セキュリティ管理サーバ）であり、ハードディスク等の記憶装置２０１にデジタルデータを記憶管理する。２０４ｂは管理用クライアントである。２０４ａは、一般ユーザが使用するクライアントである。
【００１５】
ファイルサーバ２００が管理する記憶装置２０１には、セキュリティ管理対象となるデータファイルが、操作用データファイル（実行可能ファイル）２０２と、実データファイル２０３とに分離されて記憶管理されている。
【００１６】
なお、操作用データファイル２０２は、クライアント２０４ａを用いて利用者が直接操作を行うデータファイルであり、クライアント２０４ａからアクセス可能な記憶領域に記憶されている。また、図１では、操作用データファイル２０２は、記憶装置２０１に記憶されている場合が示されているが、操作用データファイル２０２はクライアント２０４ａ側の外部メモリ等に記憶されていてもよい。
【００１７】
また、実データファイル２０３は、操作用データファイル（実行可能ファイル）２０２を介して間接的にアクセスする実データである。この実データファイル２０３は、ファイルサーバ２００が管理する記憶装置２０１内の非共有領域（クライアント２０４ａから直接アクセスできないセキュリティ領域）に配置（記憶）される。
【００１８】
図２は、図１に示した各端末（ファイルサーバ２００，管理用クライアント２０４ｂ，クライアント２０４ａ等）のハードウエア構成を示すブロック図である。
【００１９】
図２において、１０１はＣＰＵであり、システムバス１０４に接続される各デバイスやコントローラを統括的に制御する。
【００２０】
なお、ＲＯＭ１０２あるいは外部メモリ１１１には、ＣＰＵ１０１の制御プログラムであるＢＩＯＳ(Basic Input / Output System)やオペレーティングシステムプログラム（以下、ＯＳ）や、各サーバ或いは各ＰＣの実行する機能を実現するために必要な後述する各種プログラム等が記憶されている。また、ＲＡＭ１０３は、ＣＰＵ１０１の主メモリ、ワークエリア等として機能する。
【００２１】
ＣＰＵ１０１は、処理の実行に際して必要なプログラム等をＲＡＭ１０３にロードして実行することで各種機能を実現するものである。
【００２２】
１０５は入力コントローラで、キーボード（ＫＢ）１０９や図示しないマウス等のポインティングデバイス（ＰＤ）からの入力を制御する。１０６はビデオコントローラで、ディスプレイ１１０の表示を制御する。なお、ディスプレイ１１０はＣＲＴであってもＬＣＤ、有機ＥＬ等のその他の形式の表示装置であってもよい。
【００２３】
２０７はメモリコントローラで、ハードディスク（ＨＤ），フレキシブルディスク（ＦＤ），ＣＤ−ＲＯＭ等の外部メモリ１１１とのアクセスを制御する。
【００２４】
１０８は通信インタフェース（Ｉ／Ｆ）カードで、ネットワークを介して他の装置との通信を制御する。
【００２５】
図３は、図２に示した操作用データファイル２０２、実データファイル２０３の構成の一例を示すデータ構成図である。
【００２６】
図３に示すように、操作用データファイル２０２は、マシン固有情報４０１、アプリケーション情報４０２、実データファイルパス４０３、実行プログラム４０４からなる。
【００２７】
実データファイル２０３は、暗号化された実データ４０５からなる。
【００２８】
マシン固有情報４０１は、クライアントマシン（以下、マシン）を一意に特定できる情報を格納している（本実施形態ではマシンのＭＡＣアドレスを使用している）。
【００２９】
アプリケーション情報４０２は、実データファイル２０３に結びついているアプリケーションを示す情報である（本実施形態ではファイルの拡張子を使用している）。
【００３０】
実データファイルパス４０３は、実データファイルの場所を示すパスを格納している。実データファイル２０３は、直接ユーザが閲覧できないディレクトリ（記憶装置２０１内の非共有領域）に格納されている。
【００３１】
実行プログラム４０４は、図４に示すクライアント側データ参照プログラム３００（クライアント側データアクセス）に相当する。
【００３２】
実行プログラム４０４は、ファイルの閲覧、編集を行う際に、ユーザが権限を持っているかのチェック、実データファイルの復号化、実データファイルを処理するためのアプリケーションの起動等を行う。
【００３３】
実データ４０５は、暗号化され、ユーザが閲覧できないディレクトリ（記憶装置２０１内の非共有領域）に格納されている。
【００３４】
図４は、図１に示した本発明のセキュリティ管理システムの機能ブロック図である。
【００３５】
図４において、３００はクライアント２０４ａで動作するデータ参照プログラムであり（図３では４０４）、操作用データファイル２０２内に格納される。なお、操作用データファイル２０２は、ファイルサーバ２００側、クライアント２０４ａ側のどちらに格納されていてもクライアント２０４ａから実行可能である。
【００３６】
３０１は管理用クライアント２０４ｂで動作するデータ登録プログラムであり、管理対象にするデータファイルの登録処理を行う。
【００３７】
３０２はファイルサーバ２００で動作するデータ参照プログラムであり、クライアント側のデータ参照プログラム３００の要求に対してレスポンスを返すサービスとして動作する。
【００３８】
即ち、サーバ側のデータ参照プログラム３０２（サーバ側データアクセス）は、クライアント側のデータ参照プログラム３００からの操作用データファイル２０２を用いた実データファイル２０３へのアクセス要求に応じて、実データファイル２０３へアクセスし、クライアント側のデータ参照プログラム３００へレスポンスを返するものである。また、クライアント側のデータ参照プログラム３００は、操作用データファイル２０２を用いて実データファイル２０３のアクセスをファイルサーバ２００に要求し、ファイルサーバ２００を介して間接的に実データファイル２０３にアクセスするものである。
【００３９】
３０３はファイルサーバ２００で動作する復号化プログラムであり、データ参照時にデータの復号化、データ更新時にデータの暗号化を行う。
【００４０】
３０４はファイルサーバ２００で動作するデータ登録プログラムであり、クライアント側のデータ登録プログラム３０１の要求に対して操作用ファイルを生成し、クライアントにレスポンスを返すサービスとして動作する。
【００４１】
３０５はファイルサーバ２００で動作するプログラムで、データ登録時にデータの暗号化を行う。
【００４２】
以下、図５，図６を参照して、本実施形態のデータアクセス（アプリケーション起動）処理について説明する。
【００４３】
図５は、本発明におけるデータアクセス（アプリケーション起動）処理の一例を示すフローチャートである。なお、このフローチャートの処理は、クライアント２０４ａのＣＰＵ１０１が外部メモリ１１１に格納されるプログラムをＲＡＭ１０３にロードして実行することにより実現される。
【００４４】
まず、ユーザが操作用データファイル（実行可能ファイル）２０２を開く操作を行う（不図示のマウス等でダブルクリックする等）と、クライアント２０４ａのＣＰＵ１０１は、この操作を検知して、ステップＳ５０１において、クライアント側データ参照プログラム３００を起動して処理を開始する。
【００４５】
次に、ステップＳ５０２において、クライアント２０４ａのＣＰＵ１０１が実行するクライアント側データ参照プログラム３００（以下、クライアント側データ参照プログラム３００）は、操作用データファイル２０２に含まれている操作可能なマシン固有情報４０１一覧を取得する。
【００４６】
次に、ステップＳ５０３において、クライアント側データ参照プログラム３００は、プログラムが実行されたクライアントＰＣ（ここではクライアント２０４ａ）から固有情報（本実施形態ではＭＡＣアドレス）を取得する。
【００４７】
次に、ステップＳ５０４において、クライアント側データ参照プログラム３００は、Ｓ５０２で取得した操作用データファイル２０２内のマシン固有情報４０１と、Ｓ５０３で取得したクライアントＰＣのマシン固有情報の比較チェックを行う。
【００４８】
そして、ステップＳ５０４で、操作用データファイル２０２内のマシン固有情報４０１とクライアントＰＣのマシン固有情報とが一致しなかったと判定した場合には、ステップＳ５０８において、クライアント側データ参照プログラム３００は、アクセスが許されていない端末である旨のメッセージを表示する。そして、本フローチャートの処理を終了する。即ち、この場合、ファイルサーバ２００に対する実データファイル２０３のアクセス要求を禁止制御する。
【００４９】
一方、ステップＳ５０４で、操作用データファイル２０２内のマシン固有情報４０１とクライアントＰＣのマシン固有情報とが一致したと判定した場合には、クライアント側データ参照プログラム３００は、ステップＳ５０５に処理を進める。
【００５０】
ステップＳ５０５では、クライアント側データ参照プログラム３００は、クライアント側のアプリケーションを実行させる「権限の低いユーザ」をＯＳの設定情報から取得する。この「権限の低いユーザ」とは、例えば、図９に示す"降格ユーザ"のようにあらかじめ操作権限が制限されているユーザ（低権限ユーザ）である。
【００５１】
次に、ステップＳ５０６において、クライアント側データ参照プログラム３００は、操作用データファイルから、拡張子を取得し、この拡張子に関連付けられているアプリケーションを起動する。その際、クライアント側データ参照プログラム３００は、クライアント側のアプリケーションを、ステップＳ５０５で取得した権限の低いユーザで実行させることで、アプリケーションの操作権限を制限させて実行させる。なお、アプリケーションの実行ユーザ変更は、ＯＳの機能を利用する。例えば、Ｗｉｎｄｏｗｓ（登録商標）ＯＳでは、「別のユーザとして実行」機能を利用すると、ログオンし直すことなく、別のユーザ資格情報でプログラムを実行することができる。
【００５２】
これにより、以下の例のようなケースでは、クライアント側のアプリケーションから別名保存を制限することが可能となる。
【００５３】
ユーザが「名前を付けて保存」ボタンをクリックした場合、ステップＳ５０５によって現在ファイルは実行権限が降格したユーザ（後述する図９の９０３、以下"降格ユーザ"とする）によって開かれている。
【００５４】
図９に示すように、降格ユーザ９０３は、クライアントマシンに対する書き込み権限を持たないため（外部メモリへの書き込み権限がないため）、「名前を付けて保存」ボタンを押し、ファイル名を入力後「ＯＫ」ボタンを押してファイルを保存しようとすると権限チェックにより保存を行う事が出来ない。
【００５５】
また、降格ユーザ９０３は、クリップボードの使用権限も持たないため（コピー操作やカット操作を行ったデータを一時的に保存するメモリ上の領域を使用する権限をもたないため）、上記アプリケーション上に表示されるデータをクリップボードを介して別のアプリケーション上にコピーすることも出来ない。
【００５６】
なお、降格ユーザ９０３は、予め本システムを利用する全てのクライアントマシンに作成しておくことで使用できる。
【００５７】
また、降格ユーザ９０３は、クライアントマシンにユーザ作成の出来る権限を持ったユーザ（図９の９０２、以下、"管理者"とする）が設定されていれば、本システムのクライアント側データ参照プログラム３００が管理者９０２として降格ユーザ９０３を作成してファイル閲覧処理を行い、処理後、降格ユーザ９０３を削除する、といった手順を用いても使用できる。
以下、図５のフローチャートの説明に戻る。
【００５８】
ステップＳ５０６の処理が終了すると、クライアント側データ参照プログラム３００は、一旦処理をＯＳに戻し、クライアント側のアプリケーションによりデータの参照又は更新が行われた場合に、ステップＳ５０７のデータアクセス（実データ参照、更新）処理（図６）を実行する。即ち、ステップＳ５０７のデータアクセス（実データ参照、更新）処理は、クライアント側のアプリケーションがデータの参照又は更新を行う場合にＯＳによって呼び出されるものである。
【００５９】
以下、図６を参照して、図５のステップＳ５０７に示したデータアクセス（実データ参照、更新）処理について説明する。
【００６０】
図６は、図５のステップＳ５０７に示したデータアクセス（実データ参照、更新）処理の一例を示すフローチャートである。なお、このフローチャートのＳ６０１〜Ｓ６０３の処理は、クライアント２０４ａのＣＰＵ１０１が外部メモリ１１１に格納されるプログラムをＲＡＭ１０３にロードして実行することにより実現される。また、Ｓ６０４〜Ｓ６０９の処理は、ファイルサーバ２００のＣＰＵ１０１が外部メモリ１１１に格納されるプログラムをＲＡＭ１０３にロードして実行することにより実現される。
【００６１】
まず、ステップＳ６０１において、クライアント２０４ａのＣＰＵ１０１が実行するクライアント側データ参照プログラム３００（以下、クライアント側データ参照プログラム３００）は、クライアント側のアプリケーションからＯＳへ出力されるＩ／Ｏ要求（Ｉ／Ｏイベント）をフックする（横取りして取得する）。
【００６２】
Ｉ／Ｏ要求には、「読込み」と「書き込み」の２種類の要求が存在する。データを参照するときは、Ｉ／Ｏ要求の「読込み」が行われ、データを更新するときは、Ｉ／Ｏ要求の「書き込み」が行われる。
【００６３】
なお、Ｉ／Ｏ要求のフックは、特開２００７−１４０７９８号公報に記載の技術でも利用されているように、ＯＳのフック機能を利用することで、ある状態が発生したら、指定した外部の機能を呼び出すことができる。
【００６４】
これは、ＯＳを書き換えるわけではなく、ＯＳに対して条件を指定しておくと、それをＯＳが解釈して、実際に該当の外部機能を呼び出す。全体機能は、ＯＳファイルシステム中のＩ／Ｏイベントのフックによって、呼び出される。よって、全てのアプリケーションの全てのＩ／Ｏ要求をチェックすることができ、これは、ＯＳが元来備える機能であることから、ＯＳ自身の改造は不要であり、優れた汎用性を備えている。
【００６５】
次に、ステップＳ６０２において、クライアント側データ参照プログラム３００は、ステップＳ６０１でフックしたＩ／Ｏ要求が、操作用データファイルに対して行われたものか判定する。
【００６６】
そして、ステップＳ６０１でフックしたＩ／Ｏ要求が操作用データファイルに対して行われたものでないと判定した場合（Ｓ６０２でＮｏの場合）には、クライアント側データ参照プログラム３００は、本フローチャートの処理を終了し、ＯＳ側に処理を戻すように制御する。
【００６７】
一方、ステップＳ６０１でフックしたＩ／Ｏ要求が操作用データファイルに対して行われたものであると判定した場合（Ｓ６０２でＹｅｓの場合）には、クライアント側データ参照プログラム３００は、ステップＳ６０３に処理を進める。
【００６８】
次に、ステップＳ６０３において、クライアント側データ参照プログラム３００は、ステップＳ６０１でフックしたＩ／Ｏ要求をファイルサーバ２００のサーバ側データ参照プログラム３０２へ転送する処理を行う。
【００６９】
ステップＳ６０４において、ファイルサーバ２００のＣＰＵ１０１が実行するサーバ側データ参照プログラム３０２（以下、サーバ側データ参照プログラム３０２）は、Ｉ／Ｏ要求を受信し、該受信したＩ／Ｏ要求がクライアント側データ参照プログラム３００から転送されたものか、該Ｉ／Ｏ要求転送したプログラムの情報を取得して確認する。
【００７０】
そして、ステップＳ６０４で、受信したＩ／Ｏ要求がクライアント側データ参照プログラム３００から転送されたものか判定したものではない（即ちクライアント側参照プログラム以外からのＩ／Ｏ要求）と判定した場合（Ｓ６０４でＮｏの場合）には、サーバ側データ参照プログラム３０２は、処理を中断する。
【００７１】
一方、ステップＳ６０４で、受信したＩ／Ｏ要求がクライアント側データ参照プログラム３００から転送されたものか判定したものではあると判定した場合（Ｓ６０４でＹｅｓの場合）には、サーバ側データ参照プログラム３０２は、処理を続行し、ステップＳ６０５に処理を進める。
【００７２】
ステップＳ６０５では、サーバ側データ参照プログラム３０２は、サーバ側復号化プログラム３０３に、実データファイルパス４０３にある暗号化された実データファイル２０３（実データ４０５）の復号化処理を行わせる。
【００７３】
次に、ステップＳ６０６において、サーバ側データ参照プログラム３０２は、Ｓ６０４で受信したＩ／Ｏ要求がデータ参照であるか判定する。
【００７４】
そして、ステップＳ６０６で、Ｓ６０４で受信したＩ／Ｏ要求がデータ参照でないと判定した場合（Ｓ６０６でＹｅｓの場合）には、サーバ側データ参照プログラム３０２は、ステップＳ６０７に処理を進める。
【００７５】
ステップＳ６０７では、サーバ側データ参照プログラム３０２は、実データファイルパス４０３にある実データファイル２０３（実データ４０５）の読込みを行う。そして、ステップＳ６０９に処理を進める。
【００７６】
一方、ステップＳ６０６で、Ｓ６０４で受信したＩ／Ｏ要求がデータ参照でないと判定した場合（Ｓ６０６でＮｏ（Ｉ／Ｏ要求がデータ書き込み）の場合）には、ステップＳ６０８に処理を進める。
【００７７】
ステップＳ６０８では、サーバ側データ参照プログラム３０２は、実データファイルパス４０３にある実データファイル２０３（実データ４０５）を更新し、サーバ側復号化プログラム３０３に、前記更新した実データファイル２０３（実データ４０５）の暗号化処理を行わせる。そして、ステップＳ６０９に処理を進める。
【００７８】
次に、ステップＳ６０９では、サーバ側データ参照プログラム３０２は、クライアント側データ参照プログラム３００にＩ／Ｏ要求のレスポンスを返す。なお、Ｉ／Ｏ要求が「書き込み」の場合は、書き込み成功の可否情報をレスポンスとして返す。一方、Ｉ／Ｏ要求が「読み込み」の場合、読み込んだ実データをレスポンスとして返す。そして、クライアント側データ参照プログラム３００は、サーバ側データ参照プログラム３０２からのレスポンスを受け取って、クライアント側のアプリケーションに渡す。即ち、Ｉ／Ｏ要求が「読み込み」の場合、クライアント側データ参照プログラム３００は、Ｓ６０７，Ｓ６０９によりサーバ側データ参照プログラム３０２から返送される「実データ」を受け取って、クライアント側のアプリケーションに渡すこととなる。これにより、クライアント側のアプリケーション上に実データが表示されることになる。ただし、上述したように、アプリケーションを実行するユーザの制限により、この実データを別名で保存したり、クリップボードを介してコピーして他のアプリケーション上に貼り付けたりすることはできないように構成されている。
【００７９】
以上示したように、クライアント側のデータ参照プログラム３００は、操作用データファイル２０２を用いて実データファイル２０３に対応するアプリケーションを起動し、該アプリケーションと実データファイル２０３にアクセスしているサーバ側のデータ参照プログラム３０２との間を中継するものである。
【００８０】
以下、図７を参照して、本実施形態のデータ登録処理について説明する。
【００８１】
図７は、本発明におけるデータ登録処理の一例を示すフローチャートである。なお、このフローチャートのＳ７０１〜Ｓ７０４，Ｓ７０９，Ｓ７１０のステップは、管理用クライアント２０４ｂのＣＰＵ１０１が外部メモリ１１１に格納されるプログラムをＲＡＭ１０３にロードして実行することにより実現される。また、Ｓ７０４〜Ｓ７０８のステップは、ファイルサーバ２００のＣＰＵ１０１が外部メモリ１１１に格納されるプログラムをＲＡＭ１０３にロードして実行することにより実現される。
【００８２】
まず、ユーザがデータ管理機能を使用する操作を行うと、ステップＳ７０１において、管理用クライアント２０４ｂのＣＰＵ１０１は、管理用クライアント２０４ｂに設定されているデータ登録プログラム３０１を起動する。
【００８３】
次に、ステップＳ７０２において、管理用クライアント２０４ｂのＣＰＵ１０１が実行するクライアント側データ登録プログラム３０１（以下、クライアント側データ登録プログラム３０１）は、管理用クライアント２０４ｂのディスプレイ１１０にセキュリティレベル設定画面８００（図８）を表示する。
【００８４】
次に、ステップＳ７０３において、クライアント側データ登録プログラム３０１は、セキュリティレベル設定画面８００を介してなされる操作者からのアクセス可能な端末の設定、及び、管理対象にするファイルの選択を受け付ける。
【００８５】
次に、クライアント側データ登録プログラム３０１は、セキュリティレベル設定画面８００を介してなされる操作者からの登録ボタン８０４のクリック指示を受け付けると、ステップＳ７０４に処理を進め、対象データ（Ｓ７０３で設定された利用可能な端末の情報、選択された管理対象にするファイル（実データ））をファイルサーバ２００のデータ登録プログラム３０４に送信する。
【００８６】
ステップＳ７０５において、ファイルサーバ２００のＣＰＵ１０１が実行するサーバ側データ登録プログラム３０４（以下、サーバ側データ登録プログラム３０４）は、クライアント側データ登録プログラム３０１から送信された対象データを受信し、該対象データ内の実データを暗号化プログラム３０５により暗号化させる。
【００８７】
次に、ステップＳ７０６において、暗号化プログラム３０５は、ステップＳ７０５で暗号化した実データ（実データファイル２０３）を記憶装置２０１内の非共有領域（クライアントからアクセスできない領域）へ保存する。
【００８８】
次に、ステップＳ７０７において、サーバ側データ登録プログラム３０４は、ステップＳ７０６で記憶装置２０１内の非共有領域へ保存した実データファイル２０３に対応する操作用データファイル２０２を作成する。
【００８９】
次に、ステップＳ７０８において、サーバ側データ登録プログラム３０４は、クライアント側データ登録プログラム３０１に、ステップＳ７０７で作成した操作用データファイル２０２を返信する。
【００９０】
そして、ステップＳ７０９において、クライアント側データ登録プログラム３０１は、サーバ側データ登録プログラム３０４から返信された操作用データファイル２０２を受信し、該受信した操作用データファイル２０２を、Ｓ７０３で選択された対象ファイルと同じディレクトリ（同じ保存場所）に保存する。
【００９１】
次に、ステップＳ７１０において、クライアント側データ登録プログラム３０１は、対象ファイルがサーバ上に唯一存在するようにするため、Ｓ７０３で選択された対象ファイル（クライアント側に存在）を削除し、データ登録処理を完了する。
【００９２】
即ち、上記Ｓ７０９，Ｓ７１０の処理により、クライアント２０４ａ側の実データファイルがファイルサーバ２００で作成された操作用データファイル２０２に置き換えられることとなる。
【００９３】
なお、操作用データファイル２０２は、複製可能であり、この操作用データファイルを複製して他のユーザに渡したり、他のユーザから閲覧可能な場所に格納することも可能である。これにより、複製又は共有された操作用データファイルを用いて、複数ユーザで、実データファイル２０３（唯一）を参照することもできる。
【００９４】
図８は、本発明の実施形態のセキュリティレベル設定画面（データ登録画面）８００を示す図であり、図７のステップＳ７０２で表示される。
【００９５】
図８に示すセキュリティレベル設定画面８００において、８０１は、現在ファイルサーバ２００を利用可能なマシン名、ＭＡＣアドレスの一覧であり、対象ファイルを利用可能なマシン名（対象ファイルにアクセス可能なマシン名）を選択するためのものである。
【００９６】
８０２は、現在ログインしているユーザのアカウントである。
【００９７】
８０３は、選択ボタンである。この選択ボタン８０３は、対象ファイルを選択するためのものであり、ユーザはこのボタンを押下（クリック）して、ファイルサーバ２００に登録するファイル（対象ファイル）を選択する。
【００９８】
８０４は、登録ボタンである。この登録ボタン８０４は、対象ファイルをファイルサーバ２００に登録するためのものであり、ユーザがこのボタンを押下（クリック）することにより、対象ファイルがファイルサーバ２００の送信されてセキュリティが保護された状態で登録される。
【００９９】
８０５は、キャンセルボタンであり、ユーザがこのボタンを押下（クリック）することにより、クライアント側データ登録プログラム３０１は、セキュリティレベル設定画面８００を閉じて、データ登録処理を中止するように制御する。
【０１００】
なお、ファイルサーバ２００に登録されたデータに対して、編集権限を持つユーザを設定することも可能である。
【０１０１】
また、本実施形態では、図８に示したセキュリティレベル設定画面（データ登録画面）８００において、上記利用可能な端末等を設定する構成について説明した。しかし、利用可能な端末や編集権限を持つユーザの管理は、テキストファイルなどで管理者が直接行なうことも可能である。この際は、操作用ファイルはあらかじめ管理者によって作成されている必要がある。
【０１０２】
以下、図９を参照して、クライアント２０４ａのＯＳに登録されるユーザ権限について説明する。
【０１０３】
図９は、クライアント２０４ａのＯＳに登録されるユーザ権限の一例を示す図である。
【０１０４】
図９において、９０１はログインユーザである。このログインユーザ９０１は、通常、クライアント２０４ａを使用していて、クライアント２０４ａに対するファイルの書き込み権限，クリップボードの使用権限を持っている。
【０１０５】
９０２は管理者である。この管理者９０２は、クライアント２０４ａを管理していて、クライアント２０４ａに対するファイルの書き込み権限，クリップボードの使用権限を持っている。
【０１０６】
９０３は降格ユーザである。この降格ユーザ９０３は、操作ファイルを通じてファイルを開く際に用いられ、クライアント２０４ａに対する書き込み権限，クリップボードの使用権限を持っていない。よって、降格ユーザ９０３によりアプリケーションが起動された場合、該アプリケーションで閲覧されているデータを、クライアント２０４ａの外部メモリ１１１に別名で保存したり、クリップボードを介して別のアプリケーション上に貼り付けたりすることはできない。
【０１０７】
なお、降格ユーザ９０３にも、制限付きでクリップボードの使用権限を持たせ、上記対象データに関連付けられたアプリケーション内でのみクリップボードを使用可能にするように制御してもよい。即ち、クライアント２０４ａのＣＰＵ１０１は、上記アプリケーション上のデータをクリップボードを介して上記アプリケーション内の別の場所にコピーすることは許可する。しかし、クライアント２０４ａのＣＰＵ１０１は、上記アプリケーション上のデータをクリップボードを介して別のアプリケーションにコピーする操作を検知したら、そのメッセージをフック（横取り）して、コピーさせないように制御してもよい。また、クライアント２０４ａのＣＰＵ１０１は、アクティブウィンドウが、上記アプリケーションから他のアプリケーションに変わったタイミングで、クリップボード内のデータをクリアするように制御してもよい。
【０１０８】
このように、実データにアクセスする際、プロセスの実行ユーザ権限を下げることで、ファイルを開いた状態からの保存先を指定してもアクセス権限エラーとなる状態にしておくことにより、実データの意図しないコピーを禁止することができる。
【０１０９】
なお、クライアント側データ登録プログラム３０１，サーバ側データ登録プログラム３０４を用いて、ファイルサーバ２００で暗号化されて管理されている実データファイル２０３をファイルサーバ２００上のセキュリティ領域に複製できるように構成してもよい。この複製機能を用いることにより、ファイルサーバ２００で管理されているデータを用いて別バージョンのデータをファイルサーバ２００上に作成すること等も可能となる。
【０１１０】
なお、クライアント２０４ａ、管理用クライアント２０４ｂは、複数あってもよい。
【０１１１】
また、ファイルサーバ２００、クライアント２０４ａ、管理用クライアント２０４ｂのいずれか複数又は全てが同一の装置上に実装されていてもよい。
【０１１２】
なお、上述した各種データの構成及びその内容はこれに限定されるものではなく、用途や目的に応じて、様々な構成や内容で構成されることは言うまでもない。
【０１１３】
以上、一実施形態について示したが、本発明は、例えば、システム、装置、方法、プログラム若しくは記録媒体等としての実施態様をとることが可能であり、具体的には、複数の機器から構成されるシステムに適用しても良いし、また、一つの機器からなる装置に適用しても良い。
【０１１４】
以上説明したように、本実施形態によれば、利用者から参照可能な操作用データファイルと、実データを分けて管理することで、利用者がコピー、移動可能なファイルは、操作用データファイルとし、ファイルを開いた場合のみ、実データにアクセス可能な仕組みとする。
【０１１５】
また、実データにアクセスする際に、プロセスの実行ユーザ権限を下げることで、ファイルを開いた状態からの保存先を指定してもアクセス権限エラーとなる状態にしておくことで、意図しないデータのコピーをできないようにする。
【０１１６】
したがって、意図しないファイルの移動・コピーの操作が行われた場合にも、実データを持ち出せないようにすることで情報漏洩を防止することができる等の効果を奏する。
【０１１７】
以下、図１０に示すメモリマップを参照して本発明に係るセキュリティ管理システムを構成する各装置で読み取り可能なデータ処理プログラムの構成について説明する。
【０１１８】
図１０は、本発明に係るセキュリティ管理システムを構成する各装置（ファイルサーバ２００，クライアント２０４ａ，管理用クライアント２０４ｂ）で読み取り可能な各種データ処理プログラムを格納する記録媒体（記憶媒体）のメモリマップを説明する図である。
【０１１９】
なお、特に図示しないが、記録媒体に記憶されるプログラム群を管理する情報、例えばバージョン情報，作成者等も記憶され、かつ、プログラム読み出し側のＯＳ等に依存する情報、例えばプログラムを識別表示するアイコン等も記憶される場合もある。
【０１２０】
さらに、各種プログラムに従属するデータも上記ディレクトリに管理されている。また、インストールするプログラムやデータが圧縮されている場合に、解凍するプログラム等も記憶される場合もある。
【０１２１】
本実施形態における図５，図６，図７に示す機能が外部からインストールされるプログラムによって、ホストコンピュータにより遂行されていてもよい。そして、その場合、ＣＤ−ＲＯＭやフラッシュメモリやＦＤ等の記録媒体により、あるいはネットワークを介して外部の記録媒体から、プログラムを含む情報群を出力装置に供給される場合でも本発明は適用されるものである。
【０１２２】
なお、上述したサーバ側のプログラムとクライアント側のプログラムが同一の装置上で実行される場合も本発明に含まれるものである。
【０１２３】
また、サーバ２００側で実データファイル２０３に対応するアプリケーションを起動し、サーバ２００が、該サーバ２００側で実行しているアプリケーションとクライアント２０４との間を中継するように構成してもよい。この際、クライアント２０４側では、ウェブブラウザや専用のプログラムにより実データファイル２０３の閲覧等が可能である。しかし、クライアント２０４側で閲覧されている実データファイル２０３の内容は、クリップボードにコピーしたり、クライアント２０４のローカルに保存できないような形式でクライアント２０４側で表示されているものとする。即ち、実データファイル２０３の内容をクリップボードにコピーしたり、クライアント２０４のローカルに保存できないような形式でサーバ２００が生成してクライアント２０４へ送信する構成とする。
【０１２４】
以上のように、前述した実施形態の機能を実現するソフトウェアのプログラムコードを記録した記録媒体を、システムあるいは装置に供給し、そのシステムあるいは装置のコンピュータ（又はＣＰＵやＭＰＵ）が記録媒体に格納されたプログラムコードを読出し実行することによっても、本発明の目的が達成されることは言うまでもない。
【０１２５】
この場合、記録媒体から読み出されたプログラムコード自体が本発明の新規な機能を実現することになり、そのプログラムコードを記憶した記録媒体は本発明を構成することになる。
【０１２６】
プログラムコードを供給するための記録媒体としては、例えば、フレキシブルディスク，ハードディスク，光ディスク，光磁気ディスク，ＣＤ−ＲＯＭ，ＣＤ−Ｒ，ＤＶＤ−ＲＯＭ，磁気テープ，不揮発性のメモリカード，ＲＯＭ，ＥＥＰＲＯＭ，シリコンディスク等を用いることができる。
【０１２７】
また、コンピュータが読み出したプログラムコードを実行することにより、前述した実施形態の機能が実現されるだけでなく、そのプログラムコードの指示に基づき、コンピュータ上で稼働しているＯＳ（オペレーティングシステム）等が実際の処理の一部又は全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。
【０１２８】
さらに、記録媒体から読み出されたプログラムコードが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書き込まれた後、そのプログラムコードの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵ等が実際の処理の一部又は全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。
【０１２９】
また、本発明は、複数の機器から構成されるシステムに適用しても、１つの機器からなる装置に適用してもよい。また、本発明は、システムあるいは装置にプログラムを供給することによって達成される場合にも適応できることは言うまでもない。この場合、本発明を達成するためのソフトウェアによって表されるプログラムを格納した記録媒体を該システムあるいは装置に読み出すことによって、そのシステムあるいは装置が、本発明の効果を享受することが可能となる。
【０１３０】
さらに、本発明を達成するためのソフトウェアによって表されるプログラムをネットワーク上のサーバ，データベース等から通信プログラムによりダウンロードして読み出すことによって、そのシステムあるいは装置が、本発明の効果を享受することが可能となる。
【０１３１】
なお、上述した各実施形態及びその変形例を組み合わせた構成も全て本発明に含まれるものである。
【０１３２】
以上、本発明によれば、セキュリティ管理対象のファイルを、利用者から直接アクセス（参照）可能な操作用データファイルと、利用者から直接アクセス（参照）不可能な実データファイルとに分けて管理することにより、利用者が移動やコピーが可能なファイルは操作用データファイルとし、この操作用データファイルを用いてサーバを介した場合のみ間接的に実データファイルにアクセス可能として、実データの意図しない移動やコピーを禁止して、実データの持ち出しをできないようにすることができる。
【図面の簡単な説明】
【０１３３】
【図１】本発明の一実施形態を示すセキュリティ管理システムのシステム構成図である。
【図２】図１に示した各端末のハードウエア構成を示すブロック図である。
【図３】図２に示した操作用データファイル、実データファイルの構成の一例を示すデータ構成図である。
【図４】図１に示した本発明のセキュリティ管理システムの機能ブロック図である。
【図５】本発明におけるデータアクセス（アプリケーション起動）処理の一例を示すフローチャートである。
【図６】図５のステップＳ５０７に示したデータアクセス（実データ参照、更新）処理の一例を示すフローチャートである。
【図７】本発明におけるデータ登録処理の一例を示すフローチャートである。
【図８】本発明の実施形態のセキュリティレベル設定画面（データ登録画面）を示す図である。
【図９】クライアントのＯＳに登録されるユーザ権限の一例を示す図である。
【図１０】本発明に係るセキュリティ管理システムを構成する各装置で読み取り可能な各種データ処理プログラムを格納する記録媒体（記憶媒体）のメモリマップを説明する図である。
【符号の説明】
【０１３４】
１０１    ＣＰＵ
１０２    ＲＯＭ
１０３    ＲＡＭ
１０４    システムバス
１０５    入力コントローラ
１０６    ビデオコントローラ
１０７    メモリコントローラ
１０８    通信Ｉ／Ｆコントローラ
１０９    キーボード（ＫＢ）
１１０    ディスプレイ
１１１    外部メモリ
２００    ファイルサーバ
２０１    記憶装置
２０２    操作用データファイル
２０３    実データファイル
２０４ａ    クライアント端末
２０４ｂ    管理用クライアント端末
３００    データ参照プログラム
３０１    データ登録プログラム
３０２    データ参照プログラム
３０３    復号化プログラム
３０４    データ登録プログラム
３０５    暗号化プログラム
【図１】
2009245325.tif 000003
【図２】
2009245325.tif 000004
【図３】
2009245325.tif 000005
【図４】
2009245325.tif 000006
【図５】
2009245325.tif 000007
【図６】
2009245325.tif 000008
【図７】
2009245325.tif 000009
【図８】
2009245325.tif 000010
【図９】
2009245325.tif 000011
【図１０】
2009245325.tif 000012