"ユーザからセキュアな保管を指示された電子データについて、前記電子データを秘密分散により複数の非重要データに分割し、分割された前記各非重要データを分散保管する電子データ管理システムであって、ネットワークに接続された、前記電子データを格納するユーザの情報処理装置と、信頼できる第三者機関の情報処理システムである証明局とを有し、前記情報処理装置は、前記電子データのセキュアな保管の際に、所定の条件に従って、前記電子データに基づいて、秘密分散により、全てを集めることによって前記電子データを復元することが可能でありかつ単独では前記電子データを復元および推測することが不可能な1つ以上のキーデータと1つ以上の部分データとを生成し、また、前記部分データに基づいて、秘密分散により、任意のk個以上を集めることによって前記部分データを復元することが可能でありかつ単独では前記部分データを復元および推測することが不可能なn個k<nの分散データを生成する分割部と、前記電子データの復元の際に、少なくともk個の前記分散データに基づいて前記部分データを復元し、さらに復元した前記部分データと前記キーデータとから前記電子データを復元する復元部と、前記電子データのセキュアな保管の際には、前記分割部によって生成された前記キーデータを前記証明局に供託し、さらに前記分割部によって生成されたn個の前記分散データを所定の条件に従って選択したn個の外部のデータセンターにそれぞれ別個に分散保管し、前記電子データの復元の際には、対応する前記キーデータを前記証明局からユーザ認証を経て取得し、さらに少なくともk個の前記分散データを所定の条件に従って選択したk個の前記データセンターから取得し、取得した前記キーデータと前記分散データを前記復元部に受け渡す分散管理部とを有し、前記証明局は、前記情報処理装置から前記キーデータの供託および/または取得の要求を受けた際にユーザ認証を行う認証部と、前記情報処理装置から供託された前記キーデータを、前記電子データを保有する前記ユーザおよび前記電子データの識別情報と関連付けて管理し、さらに前記情報処理装置からの前記キーデータの供託および取得の処理の内容を履歴として記録するとともに、前記ユーザからの要求に対して、前記履歴に基づいて、指定された基準日時以降に前記ユーザに係る前記キーデータが取得されているか否かを判定し、取得されていないと判定した場合に、前記ユーザに係る前記電子データが漏洩していないことを証明する情報を発行する管理部とを有することを特徴とする電子データ管理システム。請求項1に記載の電子データ管理システムにおいて、前記証明局の前記管理部は、前記ユーザからの要求に対して、前記基準日時以降に前記ユーザに係る前記キーデータが取得されていると判定した場合に、前記履歴および前記各データセンターのアクセスログに基づいて、前記ユーザに係る前記キーデータおよび対応する少なくともk個の前記分散データが前記データセンターから、取得されている前記電子データの範囲を特定して出力することを特徴とする電子データ管理システム。ネットワークに接続された、電子データを格納するユーザの情報処理装置と、信頼できる第三者機関の情報処理システムである証明局とを有する電子データ管理システムにおいて、ユーザからセキュアな保管を指示された電子データについて、前記電子データを秘密分散により複数の非重要データに分割し、分割された前記各非重要データを分散保管する電子データ管理方法であって、前記電子データのセキュアな保管の際は、前記情報処理装置が、所定の条件に従って、前記電子データに基づいて、秘密分散により、全てを集めることによって前記電子データを復元することが可能でありかつ単独では前記電子データを復元および推測することが不可能な1つ以上のキーデータと1つ以上の部分データとを生成するステップと、前記キーデータを前記証明局に供託するステップと、前記部分データに基づいて、秘密分散により、任意のk個以上を集めることによって前記部分データを復元することが可能でありかつ単独では前記部分データを復元および推測することが不可能なn個k<nの分散データを生成するステップと、生成したn個の前記分散データを保管するn個の外部のデータセンターを所定の条件に従って選択するステップと、生成したn個の前記分散データを選択したn個の前記データセンターにそれぞれ別個に分散保管するステップとを実行し、前記電子データの復元の際は、前記情報処理装置が、前記電子データに対応する前記キーデータを前記証明局からユーザ認証を経て取得するステップと、少なくともk個の前記分散データを、所定の条件に従って選択したk個の前記データセンターから取得するステップと、取得した前記分散データに基づいて前記部分データを復元するステップと、復元した前記部分データと取得した前記キーデータとから前記電子データを復元するステップとを実行し、前記情報処理装置に保持されていた前記電子データについて漏洩していないことの証明を行う際は、前記証明局が、前記ユーザから前記証明を行う基準日時を取得するステップと、前記基準日時以降に前記ユーザに係る前記キーデータが取得されているか否かを、前記キーデータの供託および取得に係る処理の履歴に基づいて判定するステップと、前記基準日時以降に前記ユーザに係る前記キーデータが取得されていないと判定した場合に、前記ユーザに係る前記電子データが漏洩していないことを証明する情報を発行するステップとを実行することを特徴とする電子データ管理方法。請求項3に記載の電子データ管理方法において、前記情報処理装置に保持されていた前記電子データについて漏洩していないことの証明を行う際に、前記証明局は、さらに、前記基準日時以降に前記ユーザに係る前記キーデータが取得されていると判定した場合に、前記履歴および前記各データセンターのアクセスログに基づいて、前記ユーザに係る前記キーデータおよび対応する少なくともk個の前記分散データが前記データセンターから、取得されている前記電子データの範囲を特定して出力するステップとを実行することを特徴とする電子データ管理方法。近年、ノート型PCPersonalComputerなどの携帯可能な情報処理端末が広く利用されるに従って、これらの端末自体の盗難や紛失等に伴う情報漏洩のリスクが高まっている。例えば、個人情報等を取り扱う企業などにおいては、従業員等がこれらの端末を紛失したような場合には、監督官庁への届出や報告等が必要となる場合がある。しかし、従来は実際の情報漏洩範囲については特定することができない場合がほとんどであり、紛失した時点で全てのデータが漏洩もしくはその可能性があると報告せざるを得なかった。これに対して、端末内の重要データを含むデータを外部のサーバ等に保管することで端末の紛失等のリスクを低減することが考えられる。特許文献1に記載された技術では、秘密分散された部分データ情報ブロックの全てを集めなければ元データを復元することができない。従って、部分データのうちの1つをいわゆる信頼できる第三者機関TrustedThirdParty、以下では単にTTPと記載する場合があるである証明局に供託しておくことで、元データの復元の際に必ず証明局を介在させることができ、セキュリティを向上させることができる。しかしながら、元データを復元する際には全ての部分データを集める必要があることから、部分データの紛失等、何らかの理由で部分データの少なくとも1つが取得不能となった場合は元データの復元が不可能になり、可用性に欠けるという課題がある。一方、非特許文献1などに記載された閾値秘密分散法や、それらを用いた特許文献2に記載された技術では、秘密分散された全ての部分データを集めなくとも閾値以上の個数を集めれば元データを復元することができる。しかしながら、例えば、部分データの一部を上記のような証明局に供託することを考えた場合、残りの部分データを閾値以上の個数集めればそれだけで元データを復元することが可能となり、証明局のようなTTPを介在させてセキュリティを向上させることが困難であるという課題がある。そこで本発明の目的は、電子データを秘密分散により複数の部分データに分割して分散管理する際に、TTPである証明局に部分データの一部を保管し、元の電子データの復元の際は、証明局に保管された部分データを必ず含む所定の数以上の部分データを集めれば元データを復元することができるものとする一方、端末の紛失等の際には情報漏洩の有無とその範囲を特定することが可能な電子データ管理システムおよび電子データ管理方法を提供することにある。本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述および添付図面から明らかになるであろう。本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、以下のとおりである。本発明の代表的な実施の形態による電子データ管理システムおよび当該システムを構成する情報処理装置および電子データ管理プログラムならびに当該電子データ管理システムにおける電子データ管理方法は、ユーザからセキュアな保管を指示された電子データについて、前記電子データを秘密分散により複数の非重要データに分割し、分割された前記各非重要データを分散保管するものであって、以下の特徴を有するものである。すなわち、電子データ管理システムは、ネットワークに接続された、前記電子データを格納するユーザの情報処理装置と、信頼できる第三者機関の情報処理システムである証明局とを有する。この前記情報処理装置は、前記電子データのセキュアな保管の際に、所定の条件に従って、前記電子データに基づいて、秘密分散により、全てを集めることによって前記電子データを復元することが可能でありかつ単独では前記電子データを復元および推測することが不可能な1つ以上のキーデータと1つ以上の部分データとを生成し、また、前記部分データに基づいて、秘密分散により、任意のk個以上を集めることによって前記部分データを復元することが可能でありかつ単独では前記部分データを復元および推測することが不可能なn個k<nの分散データを生成する分割部を有する。また、前記電子データの復元の際に、少なくともk個の前記分散データに基づいて前記部分データを復元し、さらに復元した前記部分データと前記キーデータとから前記電子データを復元する復元部を有する。また、前記電子データのセキュアな保管の際には、前記分割部によって生成された前記キーデータを前記証明局に供託し、さらに前記分割部によって生成されたn個の前記分散データを所定の条件に従って選択したn個の外部のデータセンターにそれぞれ別個に分散保管し、前記電子データの復元の際には、対応する前記キーデータを前記証明局からユーザ認証を経て取得し、さらに少なくともk個の前記分散データを所定の条件に従って選択したk個の前記データセンターから取得し、取得した前記キーデータと前記分散データを前記復元部に受け渡す分散管理部とを有する。また、前記証明局は、前記情報処理装置から前記キーデータの供託および/または取得の要求を受けた際にユーザ認証を行う認証部と、前記情報処理装置から供託された前記キーデータを、前記電子データを保有する前記ユーザおよび前記電子データの識別情報と関連付けて管理し、さらに前記情報処理装置からの前記キーデータの供託および取得の処理の内容を履歴として記録するとともに、前記ユーザからの要求に対して、前記履歴に基づいて、指定された基準日時以降に前記ユーザに係る前記キーデータが取得されていないと判定した場合に、前記ユーザに係る前記電子データが漏洩していないことを証明する情報を発行する管理部とを有することを特徴とするものである。本願において開示される発明のうち、代表的なものによって得られる効果を簡単に説明すれば以下のとおりである。本発明の代表的な実施の形態によれば、保管対象の電子データを、全てを集めなければ元の電子データを復元することができない2つ以上の部分データに分割し、その少なくとも1つをTTPである証明局にキーデータとして保管する。また、残余をk,n型の閾値秘密分散によりn個の分散データに分割して分散保管する。これにより、元の電子データの復元に際して証明局による認証を経てキーデータを取得することを義務付けることができ、セキュリティを向上させることができる。また、分散保管している分散データの一部が紛失や障害災害等により欠損した場合であっても柔軟に元の電子データを復元してデータの可用性を向上させることが可能となる。また、本発明の代表的な実施の形態によれば、分散保管する個々の分散データは非重要データであり、その一部または全部を第三者に取得されても元の電子データを復元することは不可能である。これにより、例えば、分散データを分散保管している外部のデータセンターの運用者等が悪意を持った場合であっても、元の電子データの情報が漏洩する心配はない。従って、外部のデータセンター等を分散保管に利用することが可能となり、電子データをセキュアに管理する手段を低コストで構築することが可能となる。また、上記のように、電子データを端末ではなく外部のデータセンターに分散保管し、その復元には証明局による認証を介在させ、さらに証明局ではそのアクセスログを保持しておく。これにより、端末を紛失等した際にも端末からのデータの直接の漏洩を回避することが可能となる。また、証明局およびデータセンターのアクセスログから情報漏洩の可能性がある範囲を正確に特定してそのアクセス状況を把握するとともに、情報漏洩がない場合はその旨の証明書を発行して、これを各種届出や監査等に利用することが可能となる。以下、本発明の実施の形態を図面に基づいて詳細に説明する。なお、実施の形態を説明するための全図において、同一部には原則として同一の符号を付し、その繰り返しの説明は省略する。本発明の一実施の形態である電子データ管理システムは、電子データをセキュリティを確保して保管する際に、秘密分散により当該電子データをそれだけでは意味のない元の電子データを復元推測できない非重要データである部分データに分割し、これらをそれぞれ外部のデータセンターに分散保管する機能を有するコンピュータシステムである。ここで、分割された部分データのうちの少なくとも1つは元の電子データを復元する際に必ず必要となるキーデータとし、これをTTPである証明局に供託する。これにより、元の電子データの復元に際して必ず証明局による認証を介在させてセキュリティを向上させることを可能とするものである。また、キーデータ以外の部分データを外部のデータセンターに分散保管する際に、k,n型の閾値秘密分散により分散データを生成してこれらを分散保管する。これにより、データセンターに分散保管された分散データの一部n-k個までが紛失や攻撃、障害災害等により欠損した場合であっても柔軟に元の電子データを復元することを可能とするものである。また、上記のように、電子データを端末ではなく外部のデータセンターに分散保管し、その復元には証明局による認証を介在させ、さらに証明局ではそのアクセスログを保持しておく。これにより、端末を紛失等した際にも端末からのデータの直接の漏洩を回避することを可能とする。また、証明局およびデータセンターのアクセスログから情報漏洩の可能性がある範囲を正確に特定してそのアクセス状況を把握するとともに、情報漏洩がない場合はその旨の証明書を発行して、これを各種届出や監査等に利用することを可能とするものである。[システム構成]図1は、本発明の一実施の形態である電子データ管理システムの構成例の概要について示した図である。図1において、電子データ管理システム1は、例えば、インターネット等のネットワーク400に接続された1台以上のユーザ端末100と、ネットワーク400に接続された証明局200とからなる。ネットワーク400には、ユーザ端末100からネットワーク400を介してアクセスすることが可能な外部の複数のデータセンター300が接続されている。ユーザ端末100は、例えば、PC等によって構成され、図示しない記憶装置等に格納された電子データのうちユーザから指示されたものについて、秘密分散により部分データに分割し、証明局200およびデータセンター300に分散保管することでセキュアな保管を行う情報処理装置である。ユーザ端末100は、ソフトウェアプログラムによって実装された分割部110、分散管理部120、復元部130およびインタフェース部140の各部と、データベースやファイルテーブル等からなる分散状況121、および分散先情報151、設定情報152の各テーブルを有する。分割部110は、後述するインタフェース部140を介してユーザからセキュアな保管を指示された電子データに基づいて、設定情報152の設定内容に従って秘密分散により証明局200に供託する1つ以上のキーデータおよびデータセンター300に分散保管する複数の分散データを生成する。これらの手順の詳細については後述する。分散管理部120は、電子データの分散保管の際に、分割部110によって生成されたキーデータおよび分散データを、分散先情報151および設定情報152の内容に基づく所定の条件に従って証明局200およびデータセンター300に送信して分散保管するとともに、その状況を分散状況121に記録して管理する。また、後述する復元部130による電子データの復元の際に、分散状況121の内容に基づいて、証明局200およびデータセンター300からキーデータおよび必要な分散データを収集して復元部130に受け渡す。復元部130は、インタフェース部140を介してユーザから参照や編集等の利用を指示された電子データについて、対応するキーデータおよび分散データを分散管理部120を介して取得し、取得したキーデータおよび分散データから元の電子データを復元する。これらの手順の詳細についても後述する。インタフェース部140は、ユーザ端末100における画面表示等のユーザインタフェースやデータの送受信などの入出力機能を有する。ユーザは、例えば、一般的なOSOperatingSystemが有するファイル管理用の画面等を利用して、電子データ管理システム1の機能を利用することができる。例えば、ファイル管理用の画面において重要情報を有する電子データを特定のフォルダ等にドラッグドロップなどの簡易な操作により移動する。これをトリガとして、分割部110および分散管理部120は、自動的に当該電子データを秘密分散により分割し、証明局200およびデータセンター300にユーザに意識させずにセキュアに保管することができる。また、例えば、ユーザは、ファイル管理用の画面において特定のフォルダにて管理され、セキュアに保管されている電子データを参照したり編集したり等の操作を行うことができる。これをトリガとして、分散管理部120および復元部130は、自動的に証明局200およびデータセンター300から必要なデータを収集し、元の電子データを当該フォルダに復元することができる。証明局200は、信頼できる第三者機関TTPの情報処理システムであり、例えば、PCやサーバ等によって構成され、ユーザ端末100から送信されて供託されたキーデータを管理するとともに、ユーザ端末100が紛失等した場合に、ユーザ端末100が保持していた電子データに対する不正なアクセスや漏洩がないことの証明を行う。この証明局200は、ソフトウェアプログラムによって実装された認証部210および管理部220の各部と、キーデータ管理221およびアクセスログ222の各データベースを有する。認証部210は、ユーザ端末100からキーデータを取得する要求を受けた際に、要求の許否を判定するためにユーザID/パスワード等によるユーザ認証を行う。ユーザ認証を行うために、ユーザ端末100のインタフェース部140は、ユーザからセキュアに保管されている電子データの参照や編集の要求を受ける際に、ユーザID/パスワードの入力を要求する画面を表示するようにしてもよい。また、参照や編集等の電子データの復元時だけでなく、電子データをセキュアに保管する際にも、電子データから分割されたキーデータを証明局200に供託するためにユーザ認証を行うようにしてもよい。管理部220は、ユーザ端末100から供託されたキーデータを、ユーザユーザIDおよび元の電子データの識別情報ファイル名やID等と関連付けてキーデータ管理221によって管理する。すなわち、ユーザ端末100からの要求に基づいて、供託されたキーデータの情報をキーデータ管理221に記録したり、キーデータ管理221から対象のキーデータの情報を取得してキーデータをユーザ端末100に送信したりといった処理を行う。さらに、これらの処理の内容を履歴としてアクセスログ222に記録する。また、ユーザ端末100が紛失等した場合に、ユーザからの要求に基づいて、ユーザ端末100に保持されていた電子データに対する不正なアクセスや漏洩がないことの証明を行う。すなわち、ユーザ端末100が紛失等して以降、ユーザ端末100に保持されていた電子データに対応するキーデータが取得されていないことを証明する。また、キーデータが取得されている場合は、アクセスログ222および各データセンター300のアクセスログに基づいて、情報漏洩の可能性のある元の電子データの範囲を特定して出力する。データセンター300は、複数のサーバ群が運用管理される施設であり、外部の運営者等により運営される、一般的なデータセンターとしての固定的な設備を備えた実データセンターであってもよいし、例えばAmazonEC2登録商標などを利用した、クラウドコンピューティング環境における仮想的なデータセンターであってもよい。なお、データセンター300に自社が運営するプライベートなデータセンターを含んでもよいことは当然である。また、本実施の形態では、証明局200を独立したサーバ等によって構成しているが、データセンター300のいずれかに証明局200を実装する構成としてもよい。また、証明局200を複数有する構成であってもよい。[電子データの分散手法]図2は、電子データ管理システム1における電子データの分散手法の例について概要を示した図である。ユーザ端末100では、インタフェース部140を介してユーザからセキュアな保管を指示された電子データについて、まず、秘密分散により2分割して、部分データ1101と部分データ2102の2つの部分データを生成する。部分データ1101および部分データ2102は秘密分散により生成されるため、それぞれは単独では意味のない元の電子データの内容を復元推測できない非重要データであり、全てを集めて初めて元の電子データが復元可能となるものである。秘密分散の手法は特に限定されず、例えば特許文献1に記載されているような手法により生成された情報ブロックであってもよいし、非特許文献1に記載されているようなk,n閾値秘密分散法等を用いてk=n=2として生成されたものであってもよい。部分データ1101および部分データ2102のうちのいずれか一方図2の例では部分データ1101をキーデータ201として証明局200に供託する。このキーデータ201は、元の電子データを復元する際には必ず必要となるものである。なお、図2の例では、元の電子データを2つに分割し、その一方をキーデータ201として証明局200に供託しているが、元の電子データを2つ以上に分割し、キーデータ201を複数有するようにしてセキュリティをさらに強化してもよい。この場合は、複数のキーデータ201を別個の証明局200に供託するのが望ましい。また、キーデータ201としない部分データ2102のほうが複数生成されるように分割してもよい。部分データ1101をキーデータ201とする一方で、他方の部分データ2102を、k,n型の閾値秘密分散k<nにより秘密分散して分散データ103を生成する。これにより、任意のk個を集めれば部分データ2102を復元することが可能なn個の分散データ103を生成することができる図2の例では、例えばk=3、n=4。各分散データ103も秘密分散により生成されるため、各分散データ103は単独では意味のない非重要データである。ここでも秘密分散の手法は特に限定されず、例えば、非特許文献1に記載されているようなk,n閾値秘密分散法等を用いてk<nとして生成された分散データ103であってもよい。また、特許文献1に記載されているような手法においてもk,n型の秘密分散を行って分散データ103を得ることが可能である。図3は、特許文献1に記載されているような手法によって部分データ2102から分散データ103を得る手法の例について概要を示した図である。図3の例では、特許文献1に記載されているような手法により、部分データ2102をnCn-k1個図3の例では4C2=6でありA~Fの6個の分割片情報ブロックもしくは情報エレメントに分割した状態を示している。ここで、各分割片を組み合わせることによって、任意のk個図3の例では3個を集めれば部分データ2102を復元することが可能となるn個図3の例では4個の分散データ103を生成するk,n=3,4。このとき、本実施の形態では、各分割片がそれぞれn-k1個図3の例では2個の異なる分散データ103に、分割片毎に異なる組み合わせで含まれるように冗長化する。図3の表は、上記の条件を満たす分割片と分散データ103の組み合わせの一例を示している。これに基づいて、分割片A、B、Cを含むものと、分割片A、D、Eを含むものと、分割片B、D、Fを含むものと、分割片C、E、Fを含むものの4個の分散データ103を生成する。これにより、4個の分散データ103のうち任意の3個を集めれば、A~Fの全ての分割片をそれぞれ少なくとも1個以上得ることができ、部分データ2102を復元することが可能となる。生成したn個の分散データ103は、図2に示すように、それぞれ異なる外部のデータセンター300図2の例では、データセンター300a、b、d、eの4つを選択して、これらに分散して保管する。分散データ103は、それぞれ単独では意味を持たない非重要データとなっているため、安心して外部のデータセンター300に保管することができる。また、第三者によって分散データ103をk個以上集められた場合であっても、これらからは部分データ2102しか復元することができない。元の電子データを復元するには証明局200から認証を経てキーデータ201を取得する必要があるため、さらに強固なセキュリティを確保することができる。また、データセンター300に保管した分散データ103は、少なくともk個以上集めれば部分データ2102を復元することができる。すなわち、n-k個までであれば、紛失や攻撃等による欠損に耐えることができ、また、データセンター300の障害災害等に対してシステムの切り替え等を行わずに元の電子データを復元することができる可用性を有する。従って、これらのデータセンター300をそれぞれ地域的に離散したロケーションに設けることによって、電子データ管理システム1は、電子データのセキュアな保管に加えて、いわゆるBCPBusinessContinuityPlan:事業継続計画を実現するためのディザスタリカバリシステムとして機能することも可能となる。[分散時の処理フロー]図4は、電子データ管理システム1における電子データの分散時の処理の流れの例を示したフローチャートである。ユーザ端末100において、インタフェース部140を介してユーザからセキュアな保管を指示された電子データについて、まず、分割部110が、上述したような手法により元の電子データを秘密分散により2分割して2つの部分データを生成するS01。次に、分割部110は、部分データのいずれか一方部分データ1101をキーデータ201として、インタフェース部140等を介して証明局200に送信して供託するS02。証明局200にアクセスするためのネットワークアドレスやホスト名等の情報は、例えば、ユーザ端末100の設定情報152に予め設定しておく。複数の証明局200から選択してキーデータ201を供託するようにしてもよい。キーデータ201の供託を要求された証明局200は、認証部210によりユーザ端末100に対してユーザID/パスワード等の認証情報の入力を要求してもよい。認証が成功し、キーデータ201の供託を許可する場合は、管理部220により、キーデータ201の情報をユーザおよび元の電子データの識別情報と関連付けてキーデータ管理221に記録する。また、当該処理内容をアクセスログ222に履歴として記録する。次に、分割部110は、キーデータ201としなかったもう一方の部分データ部分データ2102を、上述したようなk,n型の閾値秘密分散k<nの手法により秘密分散してn個の分散データ103を生成するS03。秘密分散に係るkおよびnのパラメータ値については、例えば、ユーザ端末100の設定情報152に予め設定しておく。これにより、ユーザが電子データをセキュアに保管する際にこれらの条件を意識する必要がなく、利便性を向上させることができる。なお、これらの設定内容をユーザにより変更可能としたり、ユーザが電子データをセキュアに保管する要求を行う際にオプションとして都度指定可能としたりすることで柔軟性を確保してもよい。次に、分散管理部120が、分割部110によって生成されたn個の分散データ103を分散保管する先のデータセンター300を選択するS04。ここで、分散先となるデータセンター300の情報は、例えば、ユーザ端末100の分散先情報151に予め設定しておく。分散先情報151には、例えば、ユーザ毎にアクセス可能なデータセンター300のグループがリストとして優先順に設定されており、リスト中の上位からn個のデータセンター300を分散先として選択する。リスト中の優先順位は、例えば、各データセンター300の稼働率過去のアクセスの成功率やアクセス時のレスポンスタイムなどのパフォーマンス情報に基づいて、良好なものから優先的にアクセスされるように動的に変更するようにしてもよい。アクセス可能なデータセンター300が追加された場合は、ユーザ端末100が当該データセンター300にアクセスした際などに都度分散先情報151のリストが更新されるようにしておく。次に、分散管理部120は、n個の分散データ103を、分散先情報151から選択されたn個の分散先のデータセンター300にそれぞれ送信して保管するS05。各データセンター300では、分散データ103を通常通り保管してアクセスログを記録するだけで特別な処理は要求されない。なお、分散先のデータセンター300から、例えば、サービス停止やディスクフル、タイムアウトなど、分散データ103の保管が不能である旨の応答が返された場合は、分散先情報151のリストにおける未選択のデータセンター300のうち、次順位のデータセンター300を選択して保管するものとする。分散先情報151のリストに次順位のデータセンター300がなく、分散先のデータセンター300をn個確保できなかった場合は、当該電子データについてのセキュアな保管自体をエラーとしてこれまでの処理をロールバックし、インタフェース部140を介してユーザにその旨を通知するステップS04にて分散先のデータセンター300をn個選択できなかった場合も同様。ステップS05でn個の分散先のデータセンター300に分散データ103を保管した場合は、分散管理部120は、元の電子データの復元時に必要となる情報として、元の電子データに、キーデータ201と供託先の証明局200の情報、分散データ103に係るk、nのパラメータ値、および各分散データ103とそれぞれの分散先のデータセンター300の情報などを関連付けた分散管理情報を、分散状況121のエントリに追加してS06、処理を終了する。このとき、元の電子データの内容については、ユーザ端末100の図示しない記憶装置等から削除するものとする。OSの管理下のファイルシステム上では、例えば、ファイル名のみの空のファイル等を保持するようにして、外部のデータセンター300に分散保管したことをユーザから隠蔽するようにしてもよい。なお、元の電子データを記憶装置等から削除せずに保持したままにしておいてもよく、その場合は、データセンター300への分散保管により、即時復元が可能な簡易バックアップとしての機能を実現することができる。上記のフローチャートにおける処理順はこれに限ったものではなく、実装の制約等に応じて適宜変更することが可能である。例えば、ステップS02でのキーデータ201の証明局200への供託は、ステップS05での分散データ103のデータセンター300への分散保管と同じタイミングで行うようにしてもよい。また、例えば、ステップS04にて分散先のデータセンター300をn個選択してから、ステップS05で各データセンター300に分散保管するのではなく、分散先情報151のデータセンター300のリストから上位のものを順次取得して、当該データセンター300に分散データ103を逐次保管し、これをn回繰り返すようにしてもよい。[復元時の処理フロー]図5は、電子データ管理システム1における電子データの復元時の処理の流れの例を示したフローチャートである。ユーザ端末100において、ユーザにより、インタフェース部140を介して、セキュアに保管されている電子データを参照したり編集したり等の操作が要求された場合、まず、分散管理部120が、分散状況121から、対象の電子データに係る分散管理情報のエントリを取得するS11。次に、分散管理部120は、取得した分散管理情報の内容に基づいて、証明局200から対象の電子データに対応するキーデータ201を取得するS12。キーデータ201の取得を要求された証明局200は、認証部210によりユーザ端末100に対してユーザID/パスワード等の認証情報の入力を要求する。認証が成功し、キーデータ201の取得を許可する場合は、管理部220により、キーデータ管理221を参照して対象の電子データに対応するキーデータ201を取得して、ユーザ端末100に送信する。また、当該処理内容をアクセスログ222に履歴として記録する。また、分散管理部120は、対象の電子データに対応するn個の分散データ103のうちの少なくともk個以上を、分散先のデータセンター300から取得するS13。ここでは、ステップS11で取得した、対象の電子データに対応する分散管理情報の内容から復元の際の閾値kの値を取得する。さらに、分散管理情報にn個記録されている分散先のデータセンター300の情報からk個を選択して取得する。取得したk個のデータセンター300の情報によって特定される各データセンター300から順次分散データ103を取得する。このとき、サービス停止やタイムアウト等によりアクセスできないデータセンター300がある場合は、分散管理情報に記録されている他のデータセンター300から取得するようにアクセス先を切り替える。n個のデータセンター300全てを対象としてもk個以上の分散データ103を取得できなかった場合は、復元処理のエラーとしてこれまでの処理をロールバックし、インタフェース部140を介してユーザにその旨を通知する。分散管理部130が少なくともk個の分散データ103を取得した場合は、復元部130が、k個の分散データ103から部分データの一方図2における部分データ2102を復元するS14。次に、復元部130は、ステップS12で証明局200から取得したキーデータ201と、ステップS14で復元した部分データ2102から元の電子データを復元しS15、ユーザ端末100上の所定のフォルダ等に格納する。このとき、分散管理部120を介して分散状況121から対象の分散管理情報のエントリを削除してS16、処理を終了する。なお、分散時の処理と同様に、上記の処理順はこれに限ったものではなく、実装の制約等に応じて適宜変更することが可能である。[非漏洩証明時の処理フロー]図6は、電子データ管理システム1における電子データの非漏洩証明時の処理の流れの例を示したフローチャートである。ユーザ端末100が紛失等した場合に、証明局200は、ユーザ端末100に保持されていた電子データに対する不正なアクセスや漏洩がないことの証明を行う。すなわち、ユーザ端末100が紛失等して以降、ユーザ端末100に保持されていた電子データに対応するキーデータが取得されていないことを証明する。証明局200は、例えばネットワーク400等を介して、ユーザから電子データの非漏洩の証明要求を受けた場合、まず認証部210によりユーザID/パスワード等による認証を行うS21。次に、管理部220は、非漏洩の証明の基準となる基準日時を、ユーザからの入力等によって取得するS22。すなわち、対象のユーザがユーザ端末100を紛失等した日時を取得する。次に、管理部220は、アクセスログ222に基づいて、取得した基準日時以降に対象のユーザに関連するキーデータ201が取得されているか否かを判定するS23。取得されていないと判定されるものには、取得が試みられたがユーザ認証で拒否された等、取得できなかったものも含まれるものとする。ステップS23において基準日時以降にキーデータ201が取得されていない場合は、対応する元の電子データが復元されていることはない。従って、基準日時以降に情報漏洩はないと判断することができるため、管理部220は、その旨の情報を有する証明書を発行してS24、処理を終了する。証明書の具体的な内容や発行の手法等については特に制限はなく、例えば、証明局200によってデジタル署名されたメッセージを出力するなど種々の手法をとることができる。ステップS23において基準日時以降にキーデータ201が取得されている場合は、管理部220は、取得されたキーデータ201についてのアクセスログ222の該当箇所の内容を取得するS25。さらに、各データセンター300から、取得されたキーデータ201に対応する元の電子データから生成された分散データ103についてのアクセスログを取得するS26。次に、ステップS25およびS26で取得した、証明局200のアクセスログ222および各データセンター300のアクセスログに基づいて、情報漏洩の可能性のある元の電子データの範囲、すなわち、キーデータ201およびk個以上の分散データ103が取得されている元の電子データの範囲を特定して出力しS27、処理を終了する。なお、分散時、復元時の処理と同様に、上記の処理順はこれに限ったものではなく、実装の制約等に応じて適宜変更することが可能である。以上に説明したように、本発明の一実施の形態である電子データ管理システム1によれば、セキュアな保管の対象となる電子データを、秘密分散により2つ以上の部分データに分割し、その少なくとも1つをTTPである証明局200にキーデータ201として供託する。また、残余の部分データをk,n型の閾値秘密分散によりn個の分散データ103に分割して分散保管する。これにより、元の電子データの復元に際して証明局200による認証を経たキーデータ201の取得を義務付けることができ、セキュリティを向上させることができる。また、分散保管している分散データ103の一部が欠損した場合であっても柔軟に元の電子データを復元してデータの可用性を向上させることが可能となる。また、本実施の形態によれば、分散保管する分散データ103は非重要データであり、の一部または全部を第三者に取得されても元の電子データを復元することは不可能である。これにより、例えば、分散データ103を分散保管している外部のデータセンター300の運用者等が悪意を持った場合であっても、元の電子データの情報が漏洩する心配はない。従って、外部のデータセンター300等を分散保管に利用することが可能となり、電子データをセキュアに分散管理する手段を低コストで構築することが可能となる。また、電子データの分割および分散保管の処理や、分散データ103の収集および元の電子データの復元の処理をユーザから隠蔽して行うことが可能であり、ユーザが電子データのセキュアな保管に際してこれらを意識することを不要とし、利便性を向上させることができる。また、上記のように、電子データをユーザ端末100ではなく外部のデータセンター300に分散保管し、その復元には証明局200による認証を介在させ、さらに証明局200ではアクセスログ222を保持しておく。これにより、ユーザ端末100を紛失等した際にもユーザ端末100からのデータの直接の漏洩を回避することが可能となる。また、証明局200のアクセスログ222および各データセンター300のアクセスログから情報漏洩の可能性がある範囲を正確に特定してそのアクセス状況を把握するとともに、情報漏洩がない場合はその旨の証明書を発行して、これを各種届出や監査等に利用することが可能となる。以上、本発明者によってなされた発明を実施の形態に基づき具体的に説明したが、本発明は前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることはいうまでもない。"