"分散的な環境おけるデータオブジェクトの制御をコンピュータで維持および管理する方法であって、各データオブジェクトのそれぞれに対応する制御ポリシーの識別子を付ける工程であって、各制御ポリシーが、i前記データオブジェクトにアクセスできるユーザの組の表示、ii前記組の各ユーザに付与される特権の表示iii前記制御ポリシーを決定または編集できるユーザの組の表示、のうちの少なくとも1つを含む、制御ポリシー識別子付加工程と、前記制御ポリシーをサーバ上に格納する、制御ポリシー格納工程と、ユーザがデータオブジェクトへのアクセスを要求すると、ユーザがその要求した方法でデータオブジェクトにアクセスできるユーザの前記組に属しているか否かを、データオブジェクトの対応する制御ポリシーに基づいてチェックする、チェック工程と、を備えたデータオブジェクトの制御のコンピュータでの維持および管理方法。請求項1において、さらに、ユーザがその要求した方法で前記データオブジェクトにアクセスできるユーザの前記組に属している場合に、前記ユーザによる前記データオブジェクトへのアクセスを許可する、アクセス許可工程を備えた、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項1において、制御ポリシーを制御ポリシーサーバ上に格納する前記制御ポリシー格納工程と、さらに、制御ポリシーサーバの利用可能性を決定する、利用可能性決定工程と、前記制御ポリシーサーバが利用不可能である場合は、前記データオブジェクトに対するアクセス権が有効である時間期間を決定する、時間期間決定工程と、前記ユーザに関する前記アクセス権が前記データオブジェクト対して依然有効である場合には、前記ユーザによる前記データオブジェクトへのアクセスを許可する、アクセス許可工程と、を備えた、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項3において、さらに、前記データオブジェクトを第2のユーザと共有する、共有工程を備えた、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項3において、前記データオブジェクトは前記サーバが利用不可能である間に生成される、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項1において、さらに、制御ポリシーを決定および編集できるユーザの表示と改変が許される事項の表示とに基づき、ユーザの組が制御ポリシーを決定および編集するためのインタフェースを提供する、インタフェース提供工程を備えた、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項1において、前記制御ポリシーは、さらに、装置の制約、場所の制約、アクセス時間の制約、およびネットワーク接続の制約のうちの1つまたは複数の表示を含む、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項1において、前記制御ポリシーは、さらに、データオブジェクトを前記制御ポリシーの外に移動できるユーザの表示と、データオブジェクトに前記制御ポリシーを割り当てできるユーザの表示とを含む、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項1において、前記制御ポリシー内におけるロールは、使用権限およびユーザリストのセットであり、前記制御ポリシー内の複数のロール内に登場するユーザの使用権限が集約される、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項1において、前記データオブジェクトが暗号化される、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項10において、前記データオブジェクトは、前記データオブジェクトに対応する制御ポリシーの鍵暗号鍵で暗号化されたコンテンツ暗号鍵で暗号化される、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項1において、さらに、前記データオブジェクトをその制御ポリシーから第2の制御ポリシーに移動する、移動工程を備えた、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項12において、前記第2の制御ポリシーは、データオブジェクトが保護されない状態と、ユーザがそのポリシーにデータオブジェクトを割り当てる特権を有している制御ポリシーとのうちの少なくとも1つである、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項12において、さらに、予め決められたイベントが発生したときに、データオブジェクトを1つの制御ポリシーから第2の制御ポリシーに移動する移動工程であって、前記第2の制御ポリシーは、ユーザがそのポリシーにデータオブジェクトを割り当てる特権を有する制御ポリシーと、データオブジェクトが保護されない状態とのうちの少なくとも1つである、移動工程を備えた、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項14において、前記予め決められたイベントが、前記制御ポリシーの生成者によって決定されるビジネスイベントである、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項14において、さらに、データオブジェクトの移動をアクティビティログに記録して、データオブジェクトの変更の監査を可能にする、記録工程を備えた、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項1において、制御ポリシーがビジネスプロセスにグループ化される、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項17において、ビジネスプロセスが階層的に体系化されている、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項18において、前記階層が、制御ポリシー間のデータオブジェクトの移動の範囲の限定に使用される、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項18において、1つのビジネスプロセスのデフォルトのポリシーが、前記階層の機能として他のビジネスプロセスに適用する、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項1において、さらに、ビジネスプロセスの1つまたは複数の制御ポリシー内で許可または拒絶されたアクティビティに基づき、ビジネスプロセスの監査またはフォレンジックを可能にする工程を備えた、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項1において、さらに、クライアントコンピュータ上に、認証されたユーザによってアクセスされたデータオブジェクトに対応する制御ポリシーの表示事項を表示する、表示工程を備えた、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項22において、さらに、クライアントによって、制御ポリシーを格納しているサーバから、前記ユーザが許可を有する制御ポリシーのリストを要求する、要求工程と、データオブジェクトの制御ポリシーの表示事項を、データオブジェクトを表示するウインドウのタイトルバーに位置するドロップダウンウインドウに表示する表示工程であって、このドロップダウンウインドウは、前記サーバから要求された制御ポリシーのリストを表示する、表示工程とを備えた、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項22において、前記ドロップダウンウインドウは、前記ユーザが前記データオブジェクトを移動できる移動先の制御ポリシーを示す、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項23において、前記ドロップダウンウインドウは、前記制御ポリシーのビジネスプロセス階層を示す、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項1において、1つまたは複数のデータオブジェクトが、同一の制御ポリシーを使用する、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項26において、さらに、第1のデータオブジェクトの少なくとも一部分を第2のデータオブジェクトに移動またはコピーする、移動またはコピー工程と、前記第1および第2のデータオブジェクトに対応する制御ポリシーに基づいて、前記第2のデータオブジェクト内の前記第1のデータオブジェクトの少なくとも一部分についての制御ポリシーを調整する、調整工程とを備えた、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項1において、さらに、データオブジェクトに対応する制御ポリシーを、このデータオブジェクトにアクセスすることなく変更する、変更工程を備えた、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項28において、前記データオブジェクトに対応する制御ポリシーを変更する変更工程が、さらに、複数の制御ポリシーを同様に変更することを含む、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項29において、前記複数の制御ポリシーが1つのビジネスプロセスの一部である、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項1において、さらに、データオブジェクトに対応する制御ポリシーについての情報を制御ポリシーサーバに記録する記録工程と、データオブジェクトに対応する制御ポリシーを変更する変更工程と、前記記録した情報に基づいて、元の制御ポリシー構成に復帰する復帰工程とを備えた、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項1において、さらに、データオブジェクトの対応する制御ポリシーに、予め決められた変更を適用する適用工程を備えた、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項32において、前記予め決められた変更は、前記制御ポリシーが関連付けられているビジネスプロセス内に示されている、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項1において、前記対応する制御ポリシーの前記表示が、さらに、ポリシー参照および対応する制御ポリシーを格納している制御ポリシーサーバの表示を含む、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項34において、制御ポリシーサーバの前記表示はユニフォームリソースロケータURLであり、前記ポリシー参照は前記制御ポリシーサーバにとって既知の数値である、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項1において、さらに、データオブジェクトをユーザの組に配布する配布工程を備えた、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項36において、さらに、ユーザによるデータオブジェクトへのアクセスの際に、対応する制御ポリシーに基づいて、要求した方法で前記データオブジェクトにアクセスできるユーザの組にそのユーザが属しているか否かをチェックするチェック工程を備えた、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項1において、さらに、データオブジェクトへのアクセス要求を記録し、アクティビティログに含める工程を備えた、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項38において、さらに、前記アクティビティログ内の前記データオブジェクトを、固有の文書識別子に基づいて特定する特定工程を備えた、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項1において、前記データオブジェクトが一時的なものであり、指定時間後にアクセス不可能になる、データオブジェクトの制御のコンピュータでの維持および管理方法。請求項1において、前記データオブジェクトが永久的なものであり、アクセス提示される際には常に復元可能である、データオブジェクトの制御のコンピュータでの維持および管理方法。分散的な環境におけるデータオブジェクトの制御を維持および管理するコンピュータ実装されたクライアントであって、各データオブジェクトのそれぞれに対応する制御ポリシーをチェックし、対応する各制御ポリシーのポリシー参照を決定するポリシーチェッカーであって、各制御ポリシーは、少なくとも、このデータオブジェクトにアクセスできるユーザの組の表示、このユーザの組に付与される特権の表示、および前記制御ポリシーを決定または編集できるユーザの組の表示を含む、ポリシーチェッカーと、前記ポリシーサーバを前記決定されたポリシー参照に接続する通信モジュールと、要求した方法で前記データオブジェクトにアクセスできるユーザの組にそのユーザが属している場合には、前記ユーザによる前記データオブジェクトへのアクセスを許可するユーザインタフェースとを備えた、コンピュータ実装されたクライアント。請求項42において、さらに、前記データオブジェクトについてアクセス権限が有効である時間期間を前記ポリシーチェッカーに示す時間要素を備えた、コンピュータ実装されたクライアント。分散的な環境におけるデータオブジェクトの制御を維持および管理するコンピュータ実装されたサーバであって、格納された一式の制御ポリシーであって、各制御ポリシーは、少なくとも、このデータオブジェクトにアクセスできるユーザの組の表示、このユーザの組に付与される特権の表示、および前記制御ポリシーを決定または編集できるユーザの組の表示を含む、一式の制御ポリシーと、制御ポリシー参照を受け取ると、これに応答して制御ポリシーについての情報を返すように構成された通信モジュールとを備えた、コンピュータ実装されたサーバ。データオブジェクトをコンピュータで保護する方法であって、コンテンツ暗号鍵でデータオブジェクトを暗号化するデータオブジェクト暗号化工程と、データオブジェクトに対応する制御ポリシーの鍵暗号鍵で、前記コンテンツ暗号鍵を暗号化するコンテンツ暗号鍵暗号化工程とを備えた、データオブジェクトのコンピュータでの保護方法。請求項45において、さらに、前記データオブジェクトに対応する制御ポリシータグを記録する記録工程を備えた、データオブジェクトのコンピュータでの保護方法。請求項46において、さらに、前記暗号化されたコンテンツ暗号鍵を前記制御ポリシータグに格納する格納工程する工程を備えた、データオブジェクトのコンピュータでの保護方法。請求項47において、さらに、前記制御ポリシータグに格納された前記コンテンツ暗号鍵を、キャッシュされた鍵暗号鍵で復号化するコンテンツ暗号鍵復号化工程と、前記復号化されたコンテンツ暗号鍵で前記データオブジェクトを復号化するデータオブジェクト復号化工程とを備えた、データオブジェクトのコンピュータでの保護方法。請求項46において、前記制御ポリシータグが前記データオブジェクトに取り付けられる、データオブジェクトのコンピュータでの保護方法。請求項46において、前記データオブジェクトは読み出し専用である、データオブジェクトのコンピュータでの保護方法。請求項46において、前記制御ポリシータグが制御ポリシーサーバで作成される、データオブジェクトのコンピュータでの保護方法。請求項46において、前記制御ポリシータグがクライアントで作成される、データオブジェクトのコンピュータでの保護方法。請求項46において、制御ポリシーの前記鍵暗号鍵に有効期間が関連付けられている、データオブジェクトのコンピュータでの保護方法。請求項53において、さらに、制御ポリシーの期限切れの鍵暗号鍵を自動的に置換する置換工程を備えた、データオブジェクトのコンピュータでの保護方法。請求項54において、制御ポリシーの期限切れの鍵暗号鍵を自動的に置換する置換工程が、さらに、近い将来の鍵、現在の鍵、最近に期限切れした鍵、および制御ポリシーサーバから受け取った古い鍵のうちの少なくとも1つを含む復号化鍵の組から適切な鍵を選択する選択工程を備えた、データオブジェクトのコンピュータでの保護方法。請求項46において、さらに、第2の暗号鍵で暗号化された前記コンテンツ鍵の第2の複製を、前記制御ポリシータグに格納する格納工程を備えた、データオブジェクトのコンピュータでの保護方法。請求項56において、前記第2の暗号鍵は制御ポリシーサーバの鍵暗号鍵である、データオブジェクトのコンピュータでの保護方法。請求項56において、さらに、制御ポリシーサーバの鍵暗号鍵を使用して、前記制御ポリシーの期限切れの鍵暗号鍵でのデータオブジェクトへのアクセスを可能にする工程を備えた、データオブジェクトのコンピュータでの保護方法。請求項46において、さらに、前記制御ポリシータグの完全性を改ざんから保護する保護工程を備えた、データオブジェクトのコンピュータでの保護方法。請求項59において、前記制御ポリシータグの完全性を改ざんから保護する保護工程は、さらに、制御ポリシータグのフィールド全体についてセキュアハッシュを使用する工程を備えた、データオブジェクトのコンピュータでの保護方法。請求項46において、さらに、制御ポリシーサーバについて、データオブジェクトに対応する制御ポリシーの変更をチェックするチェック工程を備えた、データオブジェクトのコンピュータでの保護方法。請求項61において、前記制御ポリシータグが、制御ポリシーサーバのユニフォームリソースロケータおよび制御ポリシーロケータを含む、データオブジェクトのコンピュータでの保護方法。請求項61において、さらに、データオブジェクトへのユーザのさらなるアクセスを防止する制御ポリシーへの変更を検出すると、このデータオブジェクトへのそのユーザのアクセスを無効にする工程を備えた、データオブジェクトのコンピュータでの保護方法。請求項45において、さらに、前記制御ポリシーの鍵暗号鍵を制御ポリシーサーバに格納する格納工程を備えた、データオブジェクトのコンピュータでの保護方法。請求項64において、前記ポリシーが、少なくとも、データオブジェクトにアクセスできるユーザの組の表示、このユーザの組に付与される特権の表示、および前記制御ポリシーを決定または編集できるユーザの組の表示を含み、さらに、前記ユーザが制御ポリシー内で前記データオブジェクトにアクセスできるユーザの組に属すると示された場合に、前記制御ポリシーの鍵暗号鍵に対する復号化鍵および前記ユーザについての特権の表示を、前記ユーザにより回復する回復工程を備えた、データオブジェクトのコンピュータでの保護方法。請求項65において、制御ポリシーの前記鍵暗号鍵の回復が、ユーザが認証されているか否かを判断する判断工程を備えた、データオブジェクトのコンピュータでの保護方法。請求項65において、さらに、ユーザがデータオブジェクトにアクセスできる時間期間の表示を格納する格納工程と、前記時間期間の経過後に、データオブジェクトへのユーザのアクセスを無効にする無効工程とを備えた、データオブジェクトのコンピュータでの保護方法。請求項67において、さらに、データオブジェクトを復号化する復号化工程と、ユーザによるこのデータオブジェクトへのアクセスを許可する許可工程とを備えた、データオブジェクトのコンピュータでの保護方法。請求項67において、さらに、前記時間期間の経過後に、前記制御ポリシーの鍵暗号鍵を破壊する破壊工程を備えた、データオブジェクトのコンピュータでの保護方法。請求項45において、さらに、データオブジェクトが変更されたときに常に、前記コンテンツ暗号鍵を変更する変更工程を備えた、データオブジェクトのコンピュータでの保護方法。請求項46において、さらに、期限切れの制御ポリシータグを自動的に置換する置換工程を備えた、データオブジェクトのコンピュータでの保護方法。請求項71において、前記制御ポリシータグが、長さフィールドおよびバージョンフィールドのうちの少なくとも1つを有する、データオブジェクトのコンピュータでの保護方法。請求項72において、前記期限切れの制御ポリシータグを置換する置換工程が、さらに、制御ポリシーのバージョンが現在のバージョンと一致しない場合に、前記制御ポリシータグを制御ポリシーサーバに送る工程を備えた、データオブジェクトのコンピュータでの保護方法。オーセンティカ社のような手法は、保護データオブジェクトの所有者が、保護データオブジェクトを収集または再配布の必要なしに、配布情報の使用を制御して使用情報を動的に変更することを可能にするが、協働的な環境における使用権限の行使および管理に関する問題については、完全な解決策ではない。詳細には、協働的な環境についての解決策は、既存の協働モデルに無理なく適合するようにして、協働の生成物の保護に焦点を合わせる必要がある。例えば、民間企業においては、協働作業によって、すべて同一使用権限によって保護される複数の文書が生成されることが頻繁にあり、したがって真に協働的な解決策は、一式の使用権限の下での複数の文書の容易なグループ化を可能しなければならない。さらに、多くの場合、協働作業において生成された派生的な作品も協働の使用権限によって保護されると予測され、それらの権限についての変更は、作品を新しい協働の設定に移すための既存のプロセスと一致することが予想される。最後に、現在の権限管理システムのすべて、特に発行専用配布モデルに焦点を合わせた権限管理システムでは、協働的な対話を含むデータオブジェクトを適正に保護するために、保護文書の生成、変更、および配布を厳重に管理しすぎている。適正な解決策は、著作者の保持する権限と所有者の保持する権限との間を明示的に区別しなければならない。任意、必須、またはロールに基づくアクセス制御のモデルを含むこの分野におけるさまざまな技法および発明、ならびにDRMデジタル著作権管理関連の技法が、前記要件のうちの1つまたは別の要件に対応してきた。しかし、本発明の実施形態は、動的、分散的、かつ協働的な環境を対象とする権限管理システムに関する必要なすべての形態に対応する独自の手法を提供する。本発明の構成は、ユーザによって動的、分散的、かつ協働的な環境で起草、アクセス、および変更されるデータオブジェクト全体にわたる制御を維持および管理する方法およびシステムを含む。データオブジェクトは、デジタル形式で符号化され、コンピュータ構造内にカプセル化されているあらゆるオーディオ、グラフィック、ビデオ、または著述作品であって、例えば、ソフトウェアプログラムによってアクセスおよび操作可能であるファイル、メッセージ、または共有メモリオブジェクトなどである。分散的および協働的な環境contextとは、1人または複数のユーザからなるグループが、少なくとも間欠的な接続を有しているコンピュータのネットワーク上で、特定の共通目的を達成するために、1つまたは複数のデータオブジェクトの集合に個々にまたは協働的に取り組む環境のことをいう。本発明においては、この共通目的をビジネスプロセスと称する。ビジネスプロセスにおいては、異なる一式の権限および責任を有するユーザのクラスが存在しうる。本発明においては、それらのクラスをロールと称する。本発明では、システムの特性がビジネスプロセスの寿命の間に変化しうる場合に、環境が動的であると考える。例えば、システムはビジネスプロセスの最中に、あるロールに属するユーザの組の変更を可能にし、あるいはあるデータオブジェクトに付された制御の種類の変更を可能にできる。本発明は、保護データオブジェクトの発行および変更を、それらデータオブジェクトの使用を制御しているポリシーの所有権および操作から分離している。データオブジェクトに関する制御は、特定のロールに属するコンピュータユーザによって作動されるソフトウェアプログラムが、オブジェクトにアクセスして操作できる方法を記述する一式のルールよって指定される。本発明においては、これらのルールを使用権限と称する。制御ポリシーは、使用権限が許可される条件を記載する署名付きの表明である。制御ポリシーは、少なくとも、データオブジェクトにアクセスできるユーザのリスト、それらアクセスを有するユーザの権限、および制御ポリシーを定義または編集できるユーザの追加リストを含んでいる。さらに、本発明におけるポリシーは、その制御のもとにあるオブジェクトに適用する補足的な特性を定義して、それらオブジェクトの信頼性、完全性、および秘密性を保証できる。先のパラグラフで述べたとおり、本発明において使用される用語の制御は、通常は、無許可ユーザおよびそれらユーザのアプリケーションによるアクセスに対抗する保護を意味する。本発明の別の目的は、ビジネスプロセス内への可視性を得るシステムおよび方法を提供することにある。そのような可視性を、それらのデータオブジェクトの実際のデジタル表現の暗号化またはその他の変更によってデータオブジェクトを保護する上でのリスクを犯すことなく、達成できる。制御が保護を含んでいなければ、悪意のある相手、すなわち保護データオブジェクトを保護された環境の外から操作する者に対抗して、確実に制御を維持することを保証できないことは明白である。しかし、この制御レベルは、企業がデータオブジェクトを平文に維持すると同時に、ビジネスプロセス内への可視性を望むようなビジネス状況において、依然として望まれる。本発明の別の目的は、制御ポリシーを1つまたは複数の中央サーバに格納する方法およびシステムを提供することにある。本発明の別の目的は、制御ポリシーを編集できるユーザの表示およびそれらのユーザが実行できる変更の種類に基づいて、制御ポリシーを編集する方法およびシステムを提供することにある。制御ポリシーの変更は、制御ポリシーを格納しているサーバ上で実行される。本発明の別の目的は、1つまたは複数の制御ポリシーを一時的に変更し、次いで将来のある時点において元の設定に自動的に復帰させる方法およびシステムを提供することにある。本発明の別の目的は、1つのボタンのクリックで実行し、その後別のボタンのクリックで元に戻すことができる1つまたは複数のあらかじめ設定された一時的な変更を有する方法およびシステムを提供することにある。本発明の別の目的は、各データオブジェクトに1つのすなわち、それぞれの制御ポリシーの識別名を付与する方法およびシステムを提供することにある。本発明においては、その識別名がデータオブジェクトに付与されている制御ポリシーを、そのデータオブジェクトを保護する制御ポリシーと称する。さらに、そのようなデータオブジェクトを、保護データオブジェクトと称する。本発明の別の目的は、複数のデータオブジェクトが同一制御ポリシーを参照できるようにすることにある。本発明の別の目的は、制御ポリシーの識別名が、そのネーム空間において実際の制御ポリシー識別子を定義しているサーバを特定する方法およびシステムを提供することにある。好ましい実施形態においては、データオブジェクトに付されたポリシー参照は、サーバのURLおよびサーバにとって既知の数値を含んでいる。本発明の別の目的は、制御ポリシーによって保護されるデータオブジェクトの生成、アクセス、または変更を試みるユーザが、データオブジェクトに関してそのアクションを実行する権限を有していることを、ポリシーサーバに間欠的に接続される可能性のあるクライアントによってチェックする、方法およびシステムを提供することにある。ユーザが権限を有している場合、クライアントは要求されたアクションの続行を許可する。ユーザが権限を有していない場合、クライアントは適切なエラーメッセージによって応答する。言い換えると、ビジネスプロセス手法によって提供される保護は、所有され、極秘の、または別の慎重を期するデータオブジェクトを、ディスクに格納される間、または通信リンクを介して伝送される間に、保護するだけでなく、データオブジェクトが許可ユーザのソフトウェアアプリケーションによって操作される際およびアプリケーション間の通信例えば、マイクロソフト社のWindows登録商標オペレーティングシステムにおけるクリップボード操作の際にもこれらデータオブジェクトを保護する。本発明の別の目的は、装置、場所、アクセス時間、またはネットワーク接続の制約を特定する条件を含む制御ポリシーを有する方法およびシステムを提供することにある。本発明の別の目的は、制御ポリシーの編集を許可されたユーザが、このポリシーによって保護されているすべてのデータオブジェクトに物理的または電子的にアクセスすることなく、ポリシーを変更できる方法およびシステムを提供することにある。本発明の別の目的は、保護データオブジェクトの正式の1つまたは複数の複製だけを、データオブジェクトを保護する制御ポリシーの変更の権限を有さないユーザのコンピュータ装置または媒体上に置くことができる方法およびシステムを提供することにある。本発明の一実施形態においては、保護データオブジェクトを他のユーザに配布する前に、保護データオブジェクトをポリシーサーバに登録する概念は存在しない。これは、オフラインである可能性のある許可ユーザの装置上でデータオブジェクトの生成および変更を含む協働的作業をサポートするのに必要とされる本発明の主要な側面である。本発明の別の目的は、許可ユーザが彼らの作業しているクライアントが指定された制御ポリシーのサーバとの接続を失っている場合であっても、新しい保護データオブジェクトを生成できるようにする方法およびシステムを提供することにある。この状況における許可ユーザは、制御ポリシーの下でデータオブジェクトを生成する権限を有するユーザである。好ましい実施形態においては、ユーザは、ある程度最近のポリシーサーバへのアクセスを有する必要があり、ここでの最近とは、そのポリシーについて指定されたキャッシュの時間切れ期間内を意味している。本発明の別の目的は、2人またはそれ以上の許可ユーザが保護データオブジェクトを閲覧し、新規または既存の保護データオブジェクトについて協働的に作業する方法およびシステムであって、それらユーザのクライアントのうちの1以上が協働的データオブジェクトを保護する制御ポリシーの単一または複数のサーバへの接続を失う場合でも、そのような協働的な作業が可能である方法およびシステムを提供することにある。保護データオブジェクトは、サーバに接続されているときには未だ閲覧されていなくてもよい。共有のデータオブジェクトは新しく生成、すなわち、ユーザがサーバとの接続を有していないときに生成されてよい。本発明の別の目的は、ポリシーサーバの記憶装置が、決められた制御ポリシーの数に比例して拡大収縮する方法およびシステムを提供することにある。記憶装置は、固有の保護データオブジェクトの数に応じて拡大収縮すべきではなく、それら保護データオブジェクトの複製の数に応じて拡大収縮すべきでもない。本発明の別の目的は、制御ポリシーをビジネスプロセスにグループ化する方法およびシステムを提供することにある。本発明の別の目的は、制御ポリシーに含まれる1つまたは複数のロールを定義することによって制御ポリシーを構成する方法およびシステムを提供することにある。各ロールは、それぞれの一式の使用権限およびユーザのリストを含む。本発明の別の目的は、1つの制御ポリシーに含まれる複数のロールに登場するユーザの使用権限を集約する方法およびシステムを提供することにある。本発明の別の目的は、ビジネスプロセスおよびそれらが包含する制御ポリシーを管理生成、編集、および削除する特権を有するユーザと、制御ポリシーの1つまたは複数のロールのユーザのリストのみを変更する特権を有するユーザとを区別する方法およびシステムを提供することにある。本発明の別の目的は、データオブジェクトについての制御ポリシーの識別名を変更できる方法およびシステムを提供することにある。この変更により、データオブジェクトをそのシステムによって管理されないようにしてもよい。本発明の別の目的は、適正な使用権限を有するユーザがデータオブジェクトについての制御ポリシーの識別子を変更できる方法およびシステムを提供することにある。オブジェクトの制御ポリシー識別子を非管理または同等の状態に変更することによって、ユーザに、データオブジェクトを被保護にする権限を付与することもできる。本発明の別の目的は、データオブジェクトを制御ポリシーの外に移動できるユーザのリストと、ポリシーをデータオブジェクトに割り当てることができるユーザの別個のリストとを決定する制御ポリシーを有する方法およびシステムを提供することにある。これらのアクションは両方とも、データオブジェクトに付された制御ポリシー識別子の変更を含む。これらのリストについて、ユーザをまったく含まない時点が存在してもよい。本発明の別の目的は、手動で移動および割り当てを行なう権限を有するユーザに対して、制御ポリシー間のデータオブジェクトの移動を自動化する方法およびシステムを提供することにある。この構成の好ましい実施形態は、ツールを既存の電子ビジネスプロセスのソフトウェアコンポーネントに統合することを含む。本発明の別の目的は、ビジネスプロセスの管理者が制御ポリシー間のデータオブジェクトの自動移動を生じさせるイベントを決定できる方法およびシステムを提供することにある。本発明の別の目的は、ビジネスプロセスを階層方式に体系化する方法およびシステムを提供することにある。そのような階層を用いて、制御ポリシー間のデータオブジェクトの移動の範囲を制限できる。さらに、階層を用いて、単一の位置にある複数のビジネスプロセスに共通の制御ポリシーまたは他の特性を決定できる。本発明の別の目的は、保護データオブジェクトの制御ポリシーを表示および変更する方法およびシステム例えば、グラフィカルユーザインタフェースを提供することにある。一実施形態においては、これは、データオブジェクトを表示するウインドウのタイトルバーに位置するドロップダウンウインドウとして実現される。このドロップダウンウインドウは、ドロップレットコントロールと称される。ユーザがドロップレットコントロールをクリックすると、ウインドウが開き、ユーザにより選択される複数のポリシーおよびオプションが表示される。本発明の別の目的は、ユーザがドロップレットコントロールを起動したときに、ユーザが現在のデータオブジェクトを移動できる可能な制御ポリシーのリストを表示する方法およびシステムを提供することにある。本発明の別の目的は、ユーザがデータオブジェクトの起動されたドロップレットコントロールウインドウ内で新しい制御ポリシーを選択したときに、データオブジェクトの制御ポリシーを変更する方法およびシステムを提供することにある。本発明の別の目的は、起動されたドロップレットコントロールウインドウ内にビジネスプロセスの制御ポリシーの階層構造を表示する方法およびシステムを提供することにある。本発明の別の目的は、データオブジェクトをコンテンツ暗号化鍵CEKで暗号化する方法およびシステムであって、このCEKは、データオブジェクトに関連付けられた制御ポリシーの鍵暗号化鍵KEKで暗号化される。本発明の別の目的は、制御ポリシーによって保護されるデータオブジェクトを一時的または永久的なオブジェクトのいずれとして取り扱うべきかを指示する方法およびシステムを提供することにある。一時的なデータオブジェクトは、将来の特定の指定された時間までアクセス可能であり、その時間後に、アクセス不可能および復元不可能になる。永久的なデータオブジェクトは、権限管理システムまたはそのエージェントに提示されたときには、常にアクセス可能または復元可能である。本発明の別の目的は、制御ポリシーによって保護されるデータオブジェクトのすべてを、将来の指定時間よりも前に強制的にアクセス不可能かつ復元不可能にする方法およびシステムを提供することにある。ビジネスプロセスの管理者は、計画よりも早くアクセスを永久的に無効にすることができる。本発明の別の目的は、制御ポリシー識別子を、おそらくは暗号化された保護データオブジェクトのビットと共に格納されるデータ構造内に記録する方法およびシステムを提供することにある。好ましい実施形態においては、このデータ構造を制御ポリシータグCPTと称する。本発明の別の目的は、CPTを保護データオブジェクトの開始端または終端に付ける方法およびシステムを提供することにある。本発明の別の目的は、保護データオブジェクトのCPTを、クライアントまたはサーバ装置上のいずれかの上に構成する方法およびシステムを提供することにある。本発明の別の目的は、CEKをCPT内に安全に格納する方法およびシステムを提供することにある。CPTがCEKを含んでいるため、クライアントはキャッシュしたポリシーおよび鍵KEK情報のみを用いて、オフラインで保護データオブジェクトにアクセスできる。本発明の別の目的は、保護データオブジェクトの有効期限切れのCPTを自動的に置換する方法およびシステムを提供することにある。CPTの期限切れは、CPTフォーマットが変更されることによって、あるいはCPTの制御ポリシーKEKが期限切れとなるすなわち、その有効期限を越えることによって生じる。本発明の別の目的は、権限管理システムの信頼できるクライアントは古いCPTフォーマットを解釈するためのコードを必要としない方法およびシステムを提供することにある。本発明の別の目的は、制御ポリシーが読み出し専用のまたは読み出し専用コンピュータ媒体上に格納されたデータオブジェクトを保護することを示す方法およびシステムを提供することにある。本発明の別の目的は、無許可ユーザにデータオブジェクトを保護しているシステムにアクセスしたことを通告する方法およびシステムを提供することにある。好ましい実施形態は、CPTにテキストメッセージを含む。本発明の別の目的は、改ざんに対してCPTの完全性を守る方法およびシステムを提供することにある。好ましい実施形態は、CPTのフィールド全体にわたりセキュアハッシュsecurehashを使用する。本発明の別の目的は、データオブジェクトのCEKがCPT内に格納されている間、そのCEKの秘密性を守る方法およびシステムを提供することにある。好ましい実施形態は、CEKを制御ポリシーのKEKで暗号化する。暗号化されたCEKは、データオブジェクトが変更されたときにランダムなシード値を用いてCEKを変更することによって、既知平文攻撃すなわち、2つの類似文書の同一部分を知ることに基づく攻撃に対して保護される。本発明の別の目的は、サーバおよびクライアント通信をネットワークに基づく攻撃に対して保護する方法およびシステムを提供することにある。好ましい実施形態は、クライアントとサーバとの間の通信に、ハイパーテキストトランスファプロトコルオーバセキュアソケットレイヤーHTTPS接続を使用する。本発明の別の目的は、ビジネスプロセスの1つまたは複数の制御ポリシー内で許可および拒絶されたアクティビティに基づいて、ビジネスプロセスの監査またはフォレンジックを可能にする方法およびシステムを提供することにある。本発明の別の目的は、CPT内に保持された固有の文書識別子に基づいてアクティビティログ内のデータオブジェクトを識別する方法およびシステムを提供することにある。本発明の別の目的は、ユーザログイン時にクライアントがサーバにアクセスして、そのユーザ名が挙げられている制御ポリシーを取得してキャッシュできるようにする方法およびシステムを提供することにある。この実施形態により、間欠的な接続、保護データオブジェクトのオフラインでの使用、および制御ポリシーにおいて名称が挙げられている他のユーザとのオフラインでの協働など、協働的かつ分散的な環境において生じる問題に対応する。本発明の別の目的は、クライアントがサーバによりキャッシュされたポリシーを確認するポーリングの頻度を変更する方法およびシステムを提供することにある。この頻度の設定は、アクセスを許可する前に、クライアントがキャッシュポリシーを常に確認する必要があるように設定できる。本発明の別の目的は、ネットワークアクセスが復元されたときに、クライアントがキャッシュされたポリシーを確認および更新できる方法およびシステムを提供することにある。本発明の別の目的は、サーバがクライアントに対し彼らのキャッシュされたポリシーを更新するよう促す方法およびシステムを提供することにある。本発明の別の目的は、キャッシュされた制御ポリシーの有効期間を指定する方法およびシステムを提供することにある。本発明の別の目的は、制御ポリシーのKEKの有効期限を指定する方法およびシステムを提供することにある。本発明の別の目的は、サーバがクライアントに制御ポリシーのKEKの履歴の一部を供給できる方法およびシステムを提供することにある。保護データオブジェクト内の期限切れポリシーKEKの使用は、クライアントがオブジェクトにアクセスする前にサーバと交信することを強制しない。たとえユーザがオンラインで保護データオブジェクトにアクセスしなくても、オフラインのアクセスがデータオブジェクトの制御ポリシーのキャッシュの時間切れ期間内に行なわれている限りは、ユーザは期限切れのKEKを理由にアクセスを拒否されることはない。本発明の前記の目的、特徴および利点、ならびに他の目的、特徴および利点は、添付の図面に示されている本発明の好ましい実施の形態についての以下のさらに詳しい説明から、明らかになるであろう。添付の図面においては、同一の参照符号は異なる図であっても同一部分を示す。図面は必ずしも縮尺通りではなく、本発明の原理を示すことに重点がおかれている。本発明の好ましい実施形態を以下に説明する。本発明は、ビジネスの重要なプロセスを反映する構造において体系化された使用権限の集中管理から出発する。図1は、本発明の一実施形態において使用されるポリシーの体系化構造10を示している。ビジネスプロセス12は、特定のビジネス結果の達成に向けて系統的に誘導される制御段階またはアクティビティに基づく前進的に継続する手順を表わしている。階層的体系化構造10内のビジネスプロセス12は、1つまたは複数の制御ポリシー14を保有するコンテナとして作用する。制御ポリシー14は、保護データオブジェクトを誰がどのように使用できるのかを管理する使用ルールを指定している。ポリシーは、典型的には、ビジネスプロセスにおける段階およびアクティビティを表わしており、データのクラス分け例えば、企業秘密、幹部専用等をサポートするのに充分な順応性を有する。保護データオブジェクト文書として図示されているのそれぞれは、ビジネスプロセス12内の単一の制御ポリシー14に関連付けられ、この制御ポリシー14の制御下にある。制御ポリシー14のそれぞれは、1つまたは複数のロール16を指定している。ロール16は、ユーザの組すなわち、グループ、およびポリシー14によって管理されるデータについてのユーザの権限を記述している。図1の体系化構造10を使用し、本発明の以下の実施形態によって、体系化構造はそれ自体のデータオブジェクトの使用および流れの制御を維持して、権限管理動作をデータオブジェクトの複製への物理的アクセスから分離できる。例えば、一式のデータオブジェクトが与えられ、それらのすべてが単一の制御ポリシーによって保護されると仮定する。なお、この一式のデータオブジェクトは、1つのデータオブジェクだけを含んでいてもよい。本発明および本発明の好ましい実施形態は、制御ポリシーの変更がエンドユーザに伝達され、最終的に、次にユーザが変更されたポリシーによって保護されたデータオブジェクトにアクセスするときに、制御ポリシーの変更を認識することを保証する。この保証は、変更時に保護データオブジェクトの所有者がオブジェクトのいずれかまたはすべての複製にアクセスすることが現実的でなく、あるいは不可能である場合でさえも、維持される。好ましい実施形態では、多数のユーザが種々のコンピュータ装置または記憶媒体上で保護データオブジェクトの個々の複製を変更し、それらコンピュータ装置または記憶媒体のいくつかがオンラインではなく、あるいは保護データオブジェクトの所有者によってアクセス不可能である動的、分散的、および協働的な環境において、本発明が保護データオブジェクトの透過的な使用をサポートする方法を説明する。この説明は、本発明が情報の著作者と所有者の区別をサポートすることを明瞭に示す。さらに、本発明はポリシーとデータオブジェクトの結合を攻撃しようと試みる敵対者に対する防御を備えていることも示す。データオブジェクトを保護すると同時に、ポリシーモデルの制約内でそれら保護データオブジェクトを生成し、変更し、配布する能力を提供する必要がある、動的、分散的、かつ協働的な環境の例として、投資銀行において銀行家とリサーチアナリストの間の情報の明確かつ監査可能な分離を要求する規則であるNASD2711に準拠したデータオブジェクトの管理および保護を望む企業を考える。図2~図5は、そのような動的、分散的、かつ協働的なプロセスにおける仮想の工程を列挙している。NASD2711のビジネスプロセス150は3つの制御ポリシー14、すなわちバックグラウンドリサーチ152図2、業界再調査154図3および4、ならびに発行156図5を含む。VPコンプライアンスが、このビジネスプロセスを所有し、そのすべての側面を管理する。図2のバックグラウンドリサーチポリシー152に対して、VPコンプライアンスは、2つのロール、すなわちアナリストおよびディレクターを設置する。アナリストロールに挙げられた各人は、バックグラウンドリサーチポリシー内でレポートを作成し、読み出しでき、書き込むことができる。ディレクターロールに挙げられた各人は、レポートを読み出すことができ書き込みはできない、そのようなレポートの複製を業界再調査ポリシー154に移すことができる。図2に示した例は、NASD2711ビジネスプロセス150によって保護および制御されるビッグモーター社BigMotorCoについてのアナリストレポートの生成を示している。図が示すとおり、アナリストは、このポリシー152内でレポートデータオブジェクトに関してドラフトを作成し、協働でき共同で作成でき、レポートが完成したとき、それをロールディレクターのメンバーであるリサーチディレクターに送り、審査し、最終的にコンプライアンスに移す。バックグラウンドリサーチポリシー152の下でのロールのいずれにも挙げられていない者は、このポリシーによって保護されているレポートにアクセスできない。図3は、このビジネスプロセス150の動的業界再調査部分154の最初の部分を示している。業界再調査は、3つのロールを有するポリシーを含む。すなわち、ディレクターロールは、このポリシー154の保護データオブジェクトを読み出すことができ、データオブジェクトをポリシー154内に移すことができる。コンプライアンスロールは、保護データオブジェクトを読み出すことができ、データオブジェクトの複製を発行ポリシー156図5に移すことができ、さらに、外部再調査者ロールの構成員を管理できる。外部再調査者ロールは、保護データオブジェクトを編集できる。コンプライアンスロールのメンバーであるVPコンプライアンスは、業界再調査ポリシー154のディレクターロールのメンバーであるリサーチディレクターから保護データオブジェクトを受け取ったとき、外部再調査者ロールの構成員を編成して、BMCoの最高財務責任者および自動車関連の投資銀行家が保護されたアナリストレポートを監査して編集できるようにする。外部再調査者ロールのメンバーらは、協働的な相互活動を行ない、更新したデータオブジェクトをVPコンプライアンスに送り返す。次にVPコンプライアンスは、図4に示すとおりBMCoの最高財務責任者および自動車関連の投資銀行家を外部再調査者ロールの構成員からしたがって、業界再調査ポリシー154から削除し、彼らが業界再調査ポリシーの下で保護されているレポート対象のデータオブジェクトを閲覧できないようにすることができる。このような削除は、本発明の動的な性質の一態様を示している。図5では、NASD2711ビジネスプロセス150に制約されるビッグモーター社アナリストレビューの各段階を経てアナリストレポートの進行を完了する。図5は、発行ポリシー156内の3つのロールを示しており、それらはすべて、保護データオブジェクトの読み出しは可能であるが、書き込みはできない。さらに、コンプライアンスロールは、データオブジェクトをポリシー156に移すことができ、ディレクターロールは、閲覧者ロールの構成員を管理できる。コンプライアンスロールのVPコンプライアンスが、アナリストのレポートの複製を発行ポリシー156に移すとき、ディレクターロールのリサーチディレクターが、必要な参加者例えば、販売グループおよびBMCoの最高財務責任者を閲覧者ロールに追加し、保護されるアナリストレポートを外界から利用可能にする。図6のブロック図は、本発明の実施形態の主要な構造的な構成要素、およびそれら構造的な構成要素間の主な相互作用を示す。ユーザ20は権限管理対応アプリケーション21を使用して、保護データオブジェクト32を操作する。保護データオブジェクト32は、暗号化されたデータオブジェクト22およびタグ23を含んでいる。実施形態によっては、データオブジェクト32が暗号化されていなくてもよい。クライアントエージェント26内のリファレンスモニタ24が、権限管理対応アプリケーション21による、保護データオブジェクト32のデータに対する操作要求を捕捉する。このモニタは、保護データオブジェクト32のタグ23を使用し、ユーザ20に対してこのデータオブジェクト22を保護するポリシー内の使用権限を得る。クライアントエージェント26はポリシーサーバ29上のポリシーマネージャ27と通信して、タグ23によって特定されている制御ポリシーの詳細を取得する必要がある。ユーザ20が要求操作を実行する権限を有すると仮定すると、クライアントエージェント26内の暗号エンジン25が、データオブジェクト22について要求された操作について適切な暗号化操作を実行する。この操作の実行に必要な暗号鍵は、ポリシーサーバ29上の鍵マネージャ28から、制御ポリシーの要求および応答作用の一部として最初に得られている。ポリシーサーバ29に格納されている制御ポリシーは、適切に許可されたユーザ30によって、ポリシーサーバ29上のポリシーマネージャ27と相互作用するポリシー管理アプリケーション31を使用して、生成および編集される。特定の実施形態においては、複数のポリシーサーバを使用できる。複数のサーバは、信頼性の向上および負荷平衡を目的として使用できる。特定の実施形態においては、クライアントエージェント26は、ポリシーサーバ29との間で間欠的に接続されていてもよい。本発明は、変更された使用権限について、影響されるデータオブジェクトの複製への適時の伝達をサポートするが、適時の定義は、ポリシーの管理を許可されているユーザ30によって設定される。例えば、特定の商業的状況においては、適時とは、使用権限の変更後のデータオブジェクトへのすべてのアクセスが新しい権限によって管理されることを意味することもある。商業環境が保護データオブジェクトへの制限されたオフラインアクセスを要求するような別の状況においては、適時とは、権限管理システムのローカルエージェントがオンラインに復帰したときに使用権限が更新されることを意味することもある。権限管理対応アプリケーション図6のクライアントアプリケーション21は、ポリシーサーバ29上に格納されたポリシーを行使するために、権限管理システムのクライアントエージェント26と協働する権限管理対応アプリケーションとして示されている。このような権限管理対応アプリケーションを生成するのに多くの方法が存在する。クライアントエージェント26と直接相互作用するようにアプリケーション21をコード化することができる。あるいは、一式の権限管理ライブラリを標準インタフェースでロードして使用するようにアプリケーション21をコード化することができる。次いで、クライアントエージェント26とのすべての相互作用を管理するこれらの権限管理ライブラリの一バージョンを実装できる。最後に、アプリケーション21を実行するシステムは、発明の名称コンテンツ保護エージェントを自動的かつ動的に一体化することによって非認証の使用からデジタルコンテンツを保護する方法METHODFORPROTECTINGDIGITALCONTENTFROMUNAUTHORIZEDUSEBYAUTOMATICALLYANDDYNAMICALLYINTEGRATINGACONTENTPROTECTIONAGENTのバーラBalaおよびスミスSmithによる2002年7月11日付の米国特許出願第10/194,655号に記載のとおり、クライアントエージェント26を、権限管理対応アプリケーションを生成するアプリケーションに挿入できる。前記の米国特許出願は、参照により本明細書に引用したものとする。一般に、図6に示したようなリファレンスモニタリングに基づくクライアント中心の処理は、アプリケーションが権限管理システムのトラストエージェントとなることを可能にし、したがってクライアント装置が権限管理システムの残りの部分から切断されても、指定された使用権限のローカルな行使を可能にする。動的な投入を採用する実施形態は、既存および新規のアプリケーションを即座に、権限管理システムに組み込むことを可能にする。ポリシーおよびポリシー管理以下に説明する実施形態においては、制御ポリシー14は、ポリシーによって保護データオブジェクトへのアクセスが許可されているユーザの少なくとも1つのリスト、この許可リスト内の各ユーザに与えられた権限のダイジェスト、現在の鍵暗号鍵KEK、および固有の識別子すなわち、タグ23に使用されているポリシーIDを含む。さらに、制御ポリシー14は、これらの特権についての条件を含むことができ、それら条件は、追加の装置、場所、アクセス時間、またはネットワーク接続の制約を指定できる。本発明は、前述のポリシーによって保護されたデータオブジェクトへのアクセスを許可されているユーザ20の集合と、制御ポリシーおよび周囲のビジネスプロセスを管理すなわち、生成、編集、および削除するユーザ30の集合とを区別する。なお、ユーザは両方のユーザ集合20、30のメンバーであってもよい。企業のビジネスプロセスのニーズに、より適切に対処するために、好ましい実施形態は3つの明示的な種類の管理者ユーザ、すなわち情報技術IT管理者、ビジネスプロセス所有者、およびビジネスロール管理者をサポートする。IT管理者は、図6のポリシーサーバ29への管理アクセスを有しているユーザである。彼らの役目は、ポリシーサーバが必要とするコンピュータインフラを維持することにあり、IT管理者は、ポリシー管理のビジネス関連の管理的側面については実行する必要はない。ビジネスプロセス所有者は、特定のビジネスプロセスを管理する権限を有するユーザである。ビジネスプロセス所有者は、所有しているビジネスプロセス内の制御ポリシー14のすべての側面を編集できるが、他のビジネスプロセスを変更することはできないこのユーザが、それら他のビジネスプロセスのビジネスプロセス所有者である場合を除く。ビジネスロール管理者は、特定の制御ポリシー14のロール内のユーザのリストを変更できるユーザである。ビジネスロール管理者は、ビジネスロール管理者が指名されたビジネスプロセスのビジネスプロセス所有者に与えられる特権の一部を有する。企業のビジネスプロセスのカテゴリー化をさらに容易にし、ビジネスプロセス管理の階層的特性を直接的に反映するために、好ましい一実施形態は、定義されたビジネスプロセスの階層的方式での体系化をサポートする。例えば、ツリーとして体系化されたビジネスプロセスの集合を考える。ツリーの根にあるビジネスプロセスは、最上位の環境を表わしており、ツリーの葉にあるビジネスプロセスは、根にあるビジネスプロセスの個々の構成要素である。付加的な内部ツリーノードを用いて、ビジネスプロセス全体内の主要なカテゴリーを表わすことができる。ツリーとして体系化されたこのような階層構造を用いて、階層構造のサブツリー内のビジネスプロセスのすべてを管理できるユーザを指定できる。同様に、指定されたユーザは、サブツリー内のロールのみを管理できる。図7は、図6のポリシー管理アプリケーション31のロジックを示している。このプロセスは、ステップ40で始まり、ここで、ユーザはポリシー管理アプリケーション31を開始し、ポリシーサーバ29に接続する。一実施形態においては、ポリシー管理アプリケーション31は、J2EEウェブアプリケーションである。ステップ41において、システムは、ユーザが許可された管理者であることを確認し、ユーザがどの種類の管理者であるかを特定し、ユーザがポリシーデータベースについて実行できる操作の種類を決定する。ユーザが、いずれのアクションの実行も許可されず、あるいはデータベースを閲覧することも許可されていない場合、ステップ42においてエラーメッセージが表示される。ステップ43は、ビジネスプロセス、それらの制御ポリシー、および許可ユーザが許可されたロールの表示を提示するが、この表示は許可ユーザの権限に応じて決まる。次いで、ステップ43は、ユーザがビジネスプロセスのデータベースを変更するアクションを選択するのを待つ。許可ユーザは、ステップ44に示されているとおり、ビジネスプロセス、制御ポリシー14、またはロールリストの生成もしくは編集を選択できる。ユーザによって実行された変更はすべて、ステップ46において記録され、確定される。次いで、この変更が、ステップ43においてユーザに表示される。変更を記録することによって、システムは、許可ユーザがポリシーサーバ29上のデータベースに関する先の変更を取り消すことを可能にする。詳細には、ステップ43はさらに、ステップ45に示されているとおり、ユーザが確定された一式の変更を元の状態に復帰させることを可能にする。このアクションも、ステップ46において記録および確定される。ステップ43~46は、ユーザがポリシー管理アプリケーション31を出るまで繰り返される。これらのステップはすべて、ポリシーサーバ29上の変更されたビジネスプロセスおよびポリシーによって保護される正確なデータオブジェクトにアクセスすることなく、またそれらデータオブジェクトについての認識なしで、実行できる。セキュリティノブsecurityknob本発明の好ましい一実施形態は前記ロールバック元の状態に復帰機能を用いて、動的に有効または無効にできるワンクリックのセキュリティ設定を実現できる。このワンクリックのセキュリティ設定を、俗称でセキュリティノブと称する。最も単純な場合においては、2つのセキュリティ警報、すなわち通常および停止を有するビジネスプロセスを考える。通常はデフォルトのセキュリティ状態であり、企業は、このビジネスプロセスの通常の日々のワークフローにおいて行使されるポリシーの範囲外の特別な考慮を払うことなく手続きを進める。ビジネスプロセスが攻撃下にあり、あるいは脆弱である例えば、特定され割り出された敵対者に対して脆弱であり、あるいは特定の重大な時間期間において政府規制の潜在的侵害について脆弱である際には、このビジネスプロセスが効果を発揮するように、セキュリティ担当者およびビジネスプロセス所有者は共にこのビジネスプロセスへの一式の変更を決定する。ビジネスプロセスの適切な一部に適用されると、これらの一式の変更は、システム停止のセキュリティ状態になる。この形態の主要な側面は、企業またはビジネスプロセス所有者が、この停止のセキュリティ状態に即座に、かつ一時的な時間期間だけ入りたいと望む可能性があるという点にある。脅威または無防備状態が過ぎ去ると、システムは、通常のセキュリティ状態に対して定義されたポリシー特徴に復帰すべきである。企業またはビジネスプロセス所有者が停止のセキュリティ状態に入るか、または出ることを望むたびにビジネスプロセスの各部分を編集するのでは、低速になり、エラーが発生しやすく、時間を要するであろう。この能力を実現するため、一実施形態は、セキュリティノブが所定の設定にされたときに自動的に適用される一式のログイベントを生成する。前記停止のセキュリティ状態のログイベントは、許可された管理者に現在のビジネスプロセスすなわち、通常のセキュリティ状態への変更を単に実行させ、システムにそれらの変更を適切なセキュリティ設定識別子すなわち、停止の下で記録および格納させ、さらにそれらの変更を決定した時点においては実際にデータベースに適用しないことによって、捕捉できる。停止から通常への移行のためのログイベントは、単に停止変更からの復帰に使用される。セキュリティ設定の整合性を保つため、システムはユーザに対し、例えば許可ユーザが通常のセキュリティ状態にあるビジネスプロセスについて変更を行なっているときに、さらに停止のセキュリティ状態を変更したいと望むか否かを問う。この2設定のセキュリティノブの例および具体化を、2よりも大きい任意の特定のnについて、n個の設定を有するセキュリティノブを実現する事例に拡張する方法は、当業者であれば理解できるであろう。ポリシー削除ポリシーが変更されるとき、システムは制御ポリシー14によって保護されるデータオブジェクト32のすべてにアクセスできないため、制御ポリシーを削除する際には注意する必要がある。第1に、削除されたポリシーによって保護されるあらゆるデータオブジェクト32は、その後に新しい制御ポリシーの一部となり現れるため、新しいポリシーの代わりに削除された制御ポリシーからの制御ポリシー識別子を再使用することはできない。さらに、特定の特権ユーザが削除された制御ポリシーからデータオブジェクトを回復できることが望まれることもある。好ましい実施形態においては、制御ポリシー14についての識別子として、完全に固有の識別子GUIDを使用して、2つの制御ポリシー14が決して同一識別子を得ることがないようにする。許可された管理者ユーザが制御ポリシーを削除するとき、システムは制御ポリシーをシステムから削除しおそらくは、このアクションおよび削除された情報を記録する、削除された制御ポリシーによって保護されるデータオブジェクトが、ユーザによるアクセスが許可されないデータオブジェクトとして現れるようにする。保護データオブジェクトの回復は、後述する災害時回復機構によりなされる。暗号化および制御ポリシータグCPTデータオブジェクト22全体にわたる継続的な保護および管理を保証するために、本発明の好ましい実施形態は、権限管理対応アプリケーションによってアクセスされていないときに、データオブジェクト22を暗号化する。暗号化データオブジェクト22のそれぞれに対し、システムは、制御ポリシータグCPTを付ける。図8は、図6の保護データオブジェクト32の制御ポリシータグ23の抽象的な表示である。CPTは、データオブジェクト22を暗号化するのに使用されるコンテンツ暗号鍵CEKを含んでいるCPTの全フィールドについては、後述する。CPTは、権限管理システムにおけるポリシーをデータオブジェクトに関連付ける機構でもある。暗号化されたまたは、暗号化可能なデータオブジェクト22とそのCPTの組み合わせは、保護データオブジェクト32と呼ばれる。各データオブジェクト22について、権限管理システムは擬似乱数を生成し、この疑似乱数を、データオブジェクト22を暗号化および復号化するための対称鍵として使用する。このプロセスは、各データオブジェクトの固有CEKを効果的に生成する。図8の制御ポリシータグ23は、識別情報、暗号化情報、および完全性情報を提供するフィールドを備えるデータ構造である。フィールドは、任意の順序で現れることができるが、クライアントエージェント26は常に、CPTのバージョンフィールド51および長さフィールド52を見出し解釈できなければならない。バージョンフィールド51は、使用されているCPT構造のバージョンを特定する。このフィールドにより、システム設計者は、将来的にCPTのフォーマットまたはコンテンツを変更でき、さらに古いCPT構造ならびに新しいCPT構造によって保護されたコンテンツにアクセスできる図14および以下の関連説明を参照。バージョンフィールド51は、コンテンツフィルタリングアプリケーションがデータオブジェクト32を本発明により暗号化され保護されたものとして識別するのに使用できる、マジックナンバーで開始できる。このマジックナンバーは、例えば、保護データオブジェクト32が暗号化されていることさらに、暗号化前のスキャンによりウイルスを含まないと予測されるを知るためのウイルス対策スキャンアプリケーションによって使用できる。長さフィールド52は、CPTのサイズをバイトで指定している。テキストメッセージフィールド53は、無許可ユーザまたは、権限管理システムの制御の下にないプログラムを実行しているユーザに、添付のデータオブジェクト32が保護されていること、およびどこでさらに詳しい情報を得ることができるのかを説明するオプションフィールドである。このフィールドは任意であり、実施形態によっては、操作の容易性ユーザに、権限管理システムの一部となることができる方法を知らせるよりも機密性を高めること無許可ユーザには情報を提供しないを選択できる。制御ポリシーIDフィールド54は、添付のデータオブジェクトを保護する制御ポリシー14を特定する。このフィールドは、完全な固有の識別子GUIDを含んでいる。さらに、制御ポリシーIDフィールド54は、そのネーム空間内でGUIDが知られているポリシーサーバ29を指定例えば、URLによってすることができる。オブジェクトIDフィールド55もオプションフィールドであり、各データオブジェクト22について固有識別子を指定する。保護データオブジェクト32はそれぞれ、コンテンツ暗号化鍵CEKと呼ばれる秘密鍵によって暗号化され、この鍵はCPT構造23内の少なくとも2つの場所、すなわち暗号化CEK56および57と記された場所に格納される。これら2つのフィールド56、57のうちの一方は、ポリシーサーバのKEKで暗号化されたCEKを含む。他方のフィールドは、制御ポリシーIDフィールド54内で特定されたポリシーの鍵暗号鍵KEKで暗号化されたCEKを含む。KEKは、対称鍵であっても、非対称鍵であってもよい。好ましい実施形態についての説明の残りの部分では、KEKが公開鍵/秘密鍵の対を含むと仮定する。別の実施形態は、ロールに基づくKEKをサポートする追加のKEKフィールドを含むことができる。このような方法では、管理者は、特定のロールについて固有の鍵特性例えば、短いオフラインアクセスなどを指定できる。本発明の実施形態は1つまたは複数の異なるコンテンツ暗号化アルゴリズムを使用できるため、暗号化アルゴリズムIDフィールド58は、データオブジェクトをCEKで暗号化するのに用いられる実際のアルゴリズムおよび別の定義可能な特性例えば、鍵長さを特定する。最後のフィールドである完全性チェックフィールド59を用いて、何者もCPT23内のフィールドを改ざんしていないことを保証する。完全性チェックフィールド59には、例えば、CPT全体のセキュアハッシュを含む。データオブジェクトが、タグ付けされているが暗号化はされていない場合、2つの暗号化CEKフィールド56および57ならびに暗号化アルゴリズムIDフィールド58はゼロにされる。制御ポリシー14は、保護データオブジェクト32の不可欠な部分と考えられ、コンピュータおよびそれらの内部構造体例えば、ファイルシステムおよびメモリバッファの間を移動するときでさえも、データオブジェクトに付随している。CPTは、制御ポリシーIDフィールド54によって管理している制御ポリシーを参照し、また制御ポリシーのKEKにより保護されるCEKを含んでいるが、本発明の権限管理システムの実施形態によって、許可ユーザがCPTを明示的に削除しない限り、暗号化データオブジェクト22とともに伝達される。本発明の明確な結論は、複数のデータオブジェクト32が単一の制御ポリシー14により、参照可能となり、かつ保護されることである。前述のCPT構造は、明らかにこの結論を裏付けている。さらに、この実施形態は、CPTの制御ポリシーIDフィール54内の値が文書を一意に特定しないこれは固有の文書識別子と異なることに重点をおいている。図6のポリシーサーバ29は、制御ポリシー14の詳細のみを格納し、データオブジェクト32と制御ポリシー14との間の関連付けは格納しない。このデータオブジェクトと制御ポリシーとの間の関連付けは、保護データオブジェクト32のCPT23にのみ格納される。この構成は、ポリシー14用に設けられたポリシーサーバ29の記憶領域が、定義される制御ポリシー14の数に比例して拡大縮小することを意味している。ポリシーサーバの記憶領域は、個々の保護データオブジェクトの数に影響されない。それら保護データオブジェクトの複製の数にも影響されない。本発明の好ましい実施形態は、データオブジェクト32の前に配置されたCPT23を備えるすなわち、保護データオブジェクト32のスキャンがこの保護データオブジェクトの第1バイトから開始されるときに、データオブジェクトよりも先にCPTを検知する。他の実施形態においては、CPTを保護データオブジェクト32の末端、または他の任意の明確な位置に置くことができる。好ましい実施形態により、図6のポリシーサーバ29およびクライアントエージェント26の両者がCPT23を構築できる。リファレンスモニタリング図9は、保護データオブジェクト32へのアクセス操作において、図6のリファレンスモニタ24が従うロジックを示す。ある特定の操作が行われると、まずステップ61においてリファレンスモニタ24は、その操作が保護データオブジェクト32にアクセスする操作であるか否かを判断する。このチェックは、データオブジェクト上のCPT23を探索することを含む。CPTが存在しない場合、リファレンスモニタ24は、ステップ62においてアプリケーション21の続行を許可する。CPT23が存在する場合、ステップ63においてモニタ24は、CPTのバージョンフィールド51をチェックし、CPTのバージョンが現在のバージョンであるか否かを判断する。CPT23が存在しない場合、リファレンスモニタはステップ64に進む。ステップ64については図14で説明する。モニタ24がCPT23を解釈できる場合、モニタは進行し、ステップ65において、フィールド59図8によりCPTの完全性をチェックする。CPTが改ざんされている場合、モニタ24は、ステップ66においてエラーメッセージを表示し、改ざんが無い場合、この保護データオブジェクト32についてのユーザの使用権限を決定するために、ステップ67においてCPT内の制御ポリシーID図8のフィールド54をユーザの認証信任状とともに使用する。一式の使用権限が決定されると、ステップ68においてモニタは、そのユーザが要求した操作を実行することを許可されているか否かを判断する。許可されていない場合、ステップ69においてモニタ24は、アプリケーション21が要求された操作を実行することを禁止し、適切なエラーメッセージを表示する。ユーザが、対応する関連付けられた制御ポリシー14の下で複数のロールに登場する場合、好ましい実施形態は、そのユーザを含むロールのそれぞれについての使用権限を集約する。この集約によって、ユーザの個々のロールの明確な権利をすべて含む一式の使用権限が得られる。明らかに、別の実施形態においては、別の集約方法を用いることができる。操作が許可される場合、ステップ70においてモニタ24は、CPTで特定される制御ポリシー14のKEKを使用し、対象の保護データオブジェクト32のコンテンツを暗号化および復号化するのに用いられたCEKを復号化する。特定の実施形態におけるステップ70の処理の間に発生する可能性のある、いくつかの例外的な状況は、以下のCPT更新および災害時回復に関連するセクションで説明される。最後に、復号化されたCEKが得られると、ステップ72においてモニタ24はこのCEKを使用して、読み出し操作時に暗号化されたコンテンツを復号化するか、あるいは書込み操作時に新しいコンテンツを暗号化する。クライアントエージェント26のアーキテクチャ図10は、本発明のクライアントのアーキテクチャの好ましい実施形態の詳細を示している。この実施形態は、図6のクライアントエージェント26を、クライアントハンドラプロセス82および統合バンドル84に分割している。ユーザ装置ごとに、クライアントハンドラプロセス82が1つずつ存在している。統合バンドル84は、ユーザの装置上で動作している各プロセス内にロードされる単一のダイナミックリンクライブラリとして実現できる。統合バンドル84は、リファレンスモニタ83および暗号エンジン85を含み、両者は図6においてすでに述べた24、25に相当する。クライアントハンドラプロセス82は、図6のポリシーサーバ29のローカルプロキシとして動作する。クライアントハンドラプロセス82は、図6のポリシーマネージャ27から受け取る制御ポリシー14をキャッシュし管理するポリシーサービスおよびキャッシュ86と、図6の鍵マネージャ28からのKEKを確実にキャッシュし管理する鍵サービスおよびキャッシュ87とを含む。この実施形態では、リファレンスモニタ83は、保護データオブジェクトのCEKをそのCPTから抽出する図9のステップ70ために、クライアントハンドラプロセス82内の鍵サービスおよびキャッシュ87にポリシーKEKを要求する。CEKが得られると、統合バンドル84は自身のメモリからKEKを取り消し、CEKを暗号エンジンに送る。クライアントハンドラプロセス82はさらに、各統合バンドル84からログ情報を収集し、そのログ情報を最終的に図6のポリシーサーバ29に送り返す、ログサービス88を含む。図11は、図10のクライアントハンドラプロセス82が従うロジックを示している。このハンドラは、ステップ90の出力端に表記されているいくつかのイベントのうちの1つを待機するイベントループ内にある。新しいユーザがクライアント装置にログインし、本人であることを立証すると、クライアントハンドラプロセス82は、ステップ91に記されているとおり、そのユーザに関するポリシーサーバ29上のすべてのポリシー14を要求する。ステップ92では、クライアントハンドラプロセス82は、一定のポーリング間隔で、ログインユーザに関する新たなポリシー14について、あるいはキャッシュしたポリシー14の変更について、ポリシーサーバ29をチェックする。いくつかの制御ポリシー14は、それらをどれだけ長くキャッシュでき、オフラインで使用できるかを記載している。そのようなポリシーが時間切れになったとき、ステップ93においてハンドラプロセス82は、期限切れしたポリシー14をポリシーサーバ29から再度取り出す。制御ポリシーKEKも期限切れになる可能性があり、この期限切れ状態に対する実施形態の取り扱いは、以下で期限切れKEKおよびCPT更新と表記されたセクションで説明される。好ましい実施形態は、このとき、3段階切替トグル基本、標準、および高と記されているを実装し、制御ポリシーKEKの有効期間およびキャッシュ時間切れ値を設定する。ポリシーKEKの有効期間およびキャッシュしたポリシーの時間切れまでの時間の長さは、低設定では中間設定よりも長い。これにより、KEKが損なわれるか、あるいは制御ポリシーが変更される場合により大きな危険性をもたらす。高設定は、最も高いレベルのセキュリティ、したがって最も低いレベルの危険性をもたらす。これはまた、ユーザがオフラインで作業できる時間期間がより短いことを意味する。本発明の実施形態のそれぞれは、制御ポリシーKEK有効期間およびキャッシュ時間切れ値を、それらのリスク許容レベルおよび保護データオブジェクト32のオフライン使用の必要性に応じて選択する。最後に、ポリシーサーバ29は、ステップ94に記されているとおり、オンラインのクライアントのハンドラプロセス82に対し、それらがキャッシュしているポリシーを削除して、リフレッシュするように促すことができる。オフラインのクライアントは、それらがキャッシュしているポリシー記憶を、再度接続したときにポリシーサーバ29と同期させる。ステップ91~94については、クライアントハンドラプロセス82はステップ95で、必要なネットワーク通信が形成されたことを確認するチェックを行なう。すべてに問題がない場合、ハンドラプロセス82はステップ96において、受け取った制御ポリシー14を安全な記憶装置にキャッシュする。クライアントが、ポリシーサーバ29とのネットワーク接続を有していなかった場合、ステップ97においてハンドラプロセス82は、その失敗したイベントを記録し、後にネットワーク接続が回復した後にステップ98および99で再実行する。期限切れKEKおよびCPT更新保護データオブジェクト32のCPT23は、本発明における唯一の構造体であり、データオブジェクト32を暗号化するのに用いられるCEKを含む。先に述べたとおり、CEKは、図8の制御ポリシーIDフィールド54で特定される制御ポリシー14のKEKで暗号化されている。KEKが有効でなくなることに伴うリスクを抑えるために、本システムは、そのような暗号鍵の寿命を制限する。しかし、これは制御ポリシーKEKが期限切れになると、フィールド内の保護データオブジェクト32にアクセスできなくなることを意味する。ポリシーのKEKが期限切れになったとき、システムは制御ポリシー14によって保護されるすべてのデータオブジェクトへのアクセスを持たないため、期限切れしたKEKによって保護されるデータオブジェクトへのアクセスを可能にし、最終的には、遅れてそれらデータオブジェクトのCPT23を制御ポリシーの現在のKEKで更新可能にする機構を有する必要がある。図6のポリシーサーバ29は、各制御ポリシーKEKの寿命の定義および管理を担当する。本発明の好ましい実施形態は、制御ポリシー14内の各KEKに固有の識別子を割り当てる。ポリシーサーバ29は、鍵マネージャ28を使用して、アクティブな制御ポリシー14のそれぞれについて現在のKEKを格納し、KEKの履歴を保持する。この履歴は、制御ポリシー14についてこれまでに生成されたすべてのKEKを含むことができ、あるいはポリシー14について最も新しく期限切れしたKEKを限定数だけ含むことができる。図6のクライアントエージェント26が、保護データオブジェクト32のCEKを復号化するための正しいKEKを有するか否かを決定できるようにするために、図8の暗号化CEKフィールド56および57は、CEKを暗号化するのに使用されるKEK固有の識別子の平文の値を含む。許可ユーザのクライアントが、保護データオブジェクト32のCEKを復号化するのに必要なKEKを有している確率を高めるために、本発明の好ましい実施形態例えば、ポリシーサーバ29は、制御ポリシー14の現在のKEKだけでなく、制御ポリシーのKEKについて最も新しく格納された履歴の一部分も、クライアントエージェント26に配布する。配布される履歴の長さは、鍵マネージャ28によってポリシーサーバ29上に保持されている履歴の長さよりも短いか、あるいは等しい。次に、期限切れの制御ポリシーKEKによって暗号化されたCEKによって保護されるデータオブジェクト32にアクセスする試みについて、2つの事例を考える。さらに、後のセクションの表題災害回復およびCPTバージョン管理についての事例を考える。この事例は両方共、ポリシーサーバ29が期限切れのKEKについて完全な履歴を維持すると共に、最も新しく期限切れとなった鍵のうちの限定された数のみをクライアントエージェント26に配布していると仮定する。ポリシーサーバ29が期限切れになったKEKの完全な履歴をすべてのクライアントエージェント26に配布することは、現実的でない。図12は、現在および過去の3つの期限切れKEK125をクライアントエージェント26に配布する実施形態についてのシナリオを説明しており、この図は、KEKが鍵の対121a、bを含むと仮定している。第1の事例においては、期限切れの制御ポリシーKEKが、配布された履歴内のサーバ29によって送られた制御ポリシーKEKのうちの1つである場合は、クライアントエージェント26は、CEKを復号化し、このCEKを用いて保護データオブジェクト32にアクセスし、制御ポリシーの現在のKEKを使用する保護データオブジェクト32について新しいCPTを生成できる。これはすべて、ユーザが介入することなく、かつポリシーサーバ29と通信も行なうことなくなされ、したがってクライアントがオフラインである場合でも実現する。第2の事例は、期限切れのKEKがクライアントエージェント26に配布された履歴の一部ではない問題を解決する。この状態から回復するには、ポリシーサーバが保護データオブジェクト32の制御ポリシー14に関する期限切れKEKの完全な履歴を保持しているため、クライアントエージェント26はオンラインになって、ポリシーサーバ29と通信可能にならなければならない。好ましい実施形態においては、単に、クライアントエージェント26が対象の制御ポリシー14の特定の期限切れのKEKを要求するだけである。ポリシーサーバ29は、保存されている適切なKEKで応答すると、クライアントは前述のとおりに期限切れのKEKを配布された履歴内で見出す場合と同様に続行する。さらに、図12は、現在のKEKの期限切れのために、制御ポリシー14が現在のKEKを有していない時間が存在する可能性を示している。本発明の好ましい実施形態は、クライアントエージェント26がユーザごとの使用ルールおよび制御ポリシーの現在のKEKを要求したとき図11のステップ91にのみ、ポリシーについての新しいKEKを生成する。クライアントエージェント26が、図11のステップ91が完了するのに極めて長時間待たなくてもよいようにするために、ポリシーサーバ29は、あらかじめ生成した一式のKEKをキャッシュする。このKEKのキャッシュを使用して、現在のKEKを有さない制御ポリシー14に対するクライアントエージェント26の要求に応じ、新たな現在のKEKの要求を満足させる。あらかじめ生成されるKEKのキャッシュは、当業者にとって公知である単純な高低ウォーターマーク方式によって管理される。好ましい実施形態におけるこの手法は、ポリシーサーバ29が、長期間無活動である保護データオブジェクト32を有する制御ポリシー14について保存する必要がある、多数の未使用のKEKを生成しないことを保証する。保護データオブジェクトの持続性モデル本発明は、保護データオブジェクト32の2つの明確な持続性モデルをサポートする。一般に、制御ポリシー14の保護データオブジェクト32は、永久的または一時的な資産のいずれかであると考えられる。永久モデルにおいては、制御ポリシー14内の保護データオブジェクト32は、保護され、失われてはならない永久的資産であると考えられる。好ましい実施形態では、各保護データオブジェクト32のCEKをポリシーサーバ29の公開マスターKEKで暗号化することによって、このモデルを実現する。この暗号化された値が、暗号化CEKフィールドの一方に例えば、図8のフィールド56格納され、他方のフィールド図8のフィールド57は、図8のフィールド54内で特定された制御ポリシーの現在のKEKで暗号化されたCEKを含む。表題災害時回復およびCPTバージョン管理の次のセクションは、好ましい実施の形態が、秘密マスター鍵を使用して、保護データオブジェクト32のCEKを常に回復できる方法を説明している。ここでは、マスターKEKの有効期限が通常は制御ポリシーKEKに割り当てられるそれよりも長いという点を除き、ポリシーサーバ29のマスターKEKもまた有効期限を有しているとだけ述べておく。有効期間は、次のセクションで説明するとおり、マスターKEKの秘密部分がクライアントエージェント26に配布されることがないすなわち、ポリシーサーバ29においてのみ使用されるため、より長くすることができる。マスターKEKが有効期間を有しているため、好ましい実施形態は、同様に固有の識別子をポリシーサーバ29の生成されたマスターKEKのそれぞれに関連付け、この識別子が、図8のフィールド56に暗号化CEKと共に格納される。したがって、図8のフィールド56および57の格納場所に格納されるコンテンツは、同一である。一時モデルにおいては、制御ポリシー14内の保護データオブジェクト32は、ある所定の時間期間にわたって保護されなければならず、その後に破壊する必要がある一時的資産であると考えられる。破壊されるとは、保護データオブジェクト32の平文を回復することが理論的に不可能であることを意味する。好ましい実施形態は、CPT23内のCEKを、ポリシーサーバのマスターKEKで暗号化するのではなく、ポリシーマスターKEK図8のフィールド56で暗号化することによって、一時モデルを実現する。システムが保護データオブジェクト32のCEKをサーバのマスターKEKで暗号化することはない。ポリシーマスターKEKは、サーバマスターKEKと同一の属性をすべて有している例えば、極めて長い有効期間を有しており、サーバ29を離れることがなく、それが保存されている限りCEKの回復をサポートする。一時ポリシーの所有者は、そのポリシー14に関連するすべてのデータオブジェクトを永久的に破壊すべき時であると判断したとき、単にそのポリシーに関連するポリシーマスターKEKの記録されているすべての複製をポリシーサーバ29上において削除するように要求するだけでよい。災害時回復およびCPTバージョン制御本発明の実施形態が保護および回復しなければならない多くの種類の災害例えば、ポリシーの記憶の喪失およびバックアップからのこの記憶の回復が存在する。このセクションでは、本発明の災害時回復機構の2つの特有の側面に焦点を当てる。第1は、制御ポリシーKEKについて限られた履歴のみを維持するあるいは、ある種の破滅的な事象によって、1つまたは複数の制御ポリシー14について保存されたKEKのすべてが失われた実施形態に関する。第2は、CPTフォーマットの上位および下位互換性に関する、本発明によるサポートを説明する。この形態は、企業のセキュリティ空間の動的な特性に対処し、何年にもわたって参照されていない可能性のある保護データオブジェクト32のCPT23内に格納されているCEKをシステムが常に回復できることを保証するために、やはり必要である。図13は、図9のステップ70において図6のリファレンスモニタ24が従うロジックの拡張である。ここで、モニタ24は、保護データオブジェクト32図6のCEKをCPT23図6から取り出すことを試みる。クライアントエージェント26は、対象の制御ポリシー14について、現在のKEKおよび期限切れしたKEKのいくつかゼロでもよいを、すでに有している。モニタ24は、現在のKEKの固有の識別子を、CEKの暗号化に使用されたKEKの固有の識別子図8のフィールド57に保存されていると比較するステップ110。識別子が一致すると、モニタ24は、図13のステップ115に記載のとおり、暗号化されたCEKの復号化に進む。前述のとおり、制御ポリシーのKEKは期限切れになる可能性があり、この実施形態は、その発生を、格納されたKEKの固有の識別子のいずれもがCEKの暗号化に使用されたKEKの固有の識別子と一致しないことを検知することによって特定する。回復のために、ステップ111において、モニタ24がCPTを抽出し、それをポリシーサーバ29に、CEKを現在のポリシーKEKで暗号化するように求めるサーバへの要求と共に送信する。ステップ112においてサーバ29は、暗号化CEKと共に格納されている固有の識別子によって示されているとおり、適切なマスターKEKサーバまたはポリシーを使用することによってCEKを回復する。ステップ113においてサーバ29は、更新されたCPTをクライアントエージェント26に送り返す。ステップ114においてクライアントエージェント26は、受け取ったCPTからCEKを取り出し、新しいCEKを生成し、それを更新されたCPTに加え、さらに、保護データオブジェクト32が読み出し専用と表記されておらず、あるいは読み出し専用媒体に格納されていない場合、元のCPT23を置き換え、更新されたCPTを使用してステップ115に進む。クライアントは、データオブジェクト32に読み出し専用と表記されている場合、取り出したCPTをキャッシュしてもよい。好ましい実施形態は、CPTフォーマットのバージョン変更を、災害時回復問題として取り扱う。この手法により、この実施形態では、現在のCPTフォーマットを解釈する方法、および災害から回復する方法のみを知るコードを、クライアントエージェント26に配布できる。図14は、図6のリファレンスモニタ24が図9のステップ64に達したときに従うロジックを説明している。モニタ24は、保護データオブジェクト32図6のCPT23図6のバージョンがモニタ24のサポートするCPTのバージョンと一致しないときに、このロジックに達する。ステップ100においてクライアントエージェント26内のリファレンスモニタ24は、保護データオブジェクト32からCPT全体を取り出す。ステップ101においてクライアントエージェント26は、取り出したCPTをポリシーサーバ29に、CPTをクライアントエージェント26のサポートする指定のバージョンに変換することを求める要求と共に送る。ステップ102においてサーバ29は、CPTのバージョンフィールド51を使用して、適切なコンバータルーチンを選択し、このコンバータルーチンが、単純に所定のバージョンのCPTデータ構造内の各フィールドを指定のバージョンの各フィールドに写像する標準的な中間形態を使用すると予測される。サーバ29のみが、コンバータコードの全セットを有していればよいことに、注目すべきである。この変換において、ステップ103でサーバ29は、示された制御ポリシーKEKまたはマスターKEKを使用してCEKを復号化し、このCEKを現在の制御ポリシーKEKおよびマスターKEKで再度暗号化する。ステップ104においてサーバ29は、更新したCPTをクライアントエージェント26に送り返す。ステップ105においてクライアントは、現在のCEKを取り出し、CEKを新しくして受け取ったCPTを更新し、更新したCPTをキャッシュし、保護データオブジェクト32に読み出し専用と表記されておらず、あるいは読み出し専用媒体上に格納されていない場合は、元のCPTと置き換え、更新されたCPTを使用して図9のステップ65に進む。読み出し専用の保護データオブジェクトここまでの説明は、一般に、保護データオブジェクト32の生成および変更を含む協働的な環境を仮定していた。好ましい実施形態はさらに、文書の生成および配布についての発行専用モデルもサポートする。詳細には、好ましい実施形態により、ビジネスプロセス管理者は、制御ポリシー14についてのKEKが常に有効に保たれるべきであることを指示できる。このオプションは、制御ポリシー14によって保護されるデータオブジェクトが読み出し専用であり、あるいは読み出し専用のコンピュータ媒体上に格納されていることを、管理者が認識している場合に望ましい。システムが読み出し専用データオブジェクト32のCPT23を更新できない場合でも、読み出し専用データオブジェクトのオフライン閲覧可能時間の長さを制限するために、クライアントのポリシーキャッシュ86にある読み出し専用文書に関するポリシー14を期限切れにすることを望むことは、依然としてありうる。ポリシーの識別およびデータオブジェクトの移動図15は、好ましい実施形態が、コンピュータのウインドウに表示されたデータオブジェクトを現在保護している制御ポリシー14の名称を、どのように表示するのかを示している。対象の制御ポリシー名ここでは、ProductLaunchが、ドロップレットコントロール120と呼ばれるドロップダウン式のウインドウオブジェクトに表示される。有効にされると、このドロップダウンウインドウは、アクティブの制御ポリシー124を含むビジネスプロセスの名称122、ならびにユーザが保護データオブジェクトを移動できる他のビジネスプロセス12および制御ポリシー14を表示する。一実施形態においては、ActiveXWindowが、ドロップレットコントロール120をサポートする。その内容および階層は、以下でさらに説明するとおり、キャッシュ86、タグ23、および/またはクライアントハンドラ82を介してポリシーサーバ29から得られる。図16は、制御ポリシー14間でのデータオブジェクト文書で代表されるの移動に含まれるロジックを示している。1つの制御ポリシー14から別の制御ポリシーへの保護データオブジェクト32の移動は、図2~図5に関してすでに説明したとおり、動的、分散的、および協働的な環境の重要な側面である。詳細には、好ましい実施形態は、ビジネスプロセス12内またはビジネスプロセス12間の制御ポリシー14間の情報の流れを、ビジネスプロセス所有者すなわち、ビジネス管理者が指定できるようにする。ビジネスプロセス所有者が流れを決める一方で、許可ユーザは、保護データオブジェクトの実際の移動を実行する。移動は、通常のワークフローの一部としてしばしば生じる。ステップ130において許可ユーザは、権限管理対応アプリケーション21で文書を開く。これは、新規の文書データオブジェクト22であってよく、その場合には、ステップ132においてクライアントエージェント26は、ドロップレットコントロール120にデフォルトの未管理制御ポリシーを表示する。あるいは、これが既存の保護文書であってよく、その場合には、ステップ132でエージェント26は、文書22を保護している制御ポリシーの名称をドロップレットコントロール120に表示する。ステップ134においてユーザは、制御ポリシー14によって指定されたユーザ使用権限の範囲内で、開いた文書を編集し、さらに操作する。ロジックは、ステップ134からステップ134自体に戻るように流れ、このような編集がある長さの非特定の、長い時間期間にわたり継続できることを示している。ある時点において、ステップ136でユーザは、ドロップレットコントロール120を起動し、新しい制御ポリシー14を選択して、そのポリシーに保護文書を移動することを決定できる。選択の後、ステップ138においてエージェント26は、選択された制御ポリシーの識別子を内部に含む新しいCPT23を生成し、これを文書22にタグ付けする。制御ポリシー14に定められているならば、許可ユーザは、ステップ136において未管理の制御ポリシーを選択してもよく、その場合、ステップ138においてエージェント26は、新しいCPTを生成せず、既存のCPTを削除し、文書22を復号化する。ステップ138の後、ユーザは、新しい制御ポリシー14の制約の下で文書22の編集を続行できる。システムの各制御ポリシー14は、データオブジェクト22をその制御ポリシーによって実現される保護の外に移動する権限を有するユーザのリストを記録する。さらに、制御ポリシー14は、新しいデータオブジェクト22を制御ポリシーに割り当てる権限を有するユーザのリストを記録する。ユーザは、データオブジェクト22を現在の制御ポリシー14から新しい制御ポリシーに移動するには、現在の制御ポリシー14の送出側リストのメンバーでなければならず、新しい制御ポリシー14の指定先リストのメンバーでなければならない。移動の権限は必須ではなく、すなわち制御ポリシー14の送出側および指定先リストは、空白であってもよい。ただし、本発明の好ましい実施形態においては、制御ポリシー14内のロールのうちの少なくとも1つは、ユーザがデータオブジェクト22をポリシー14に割り当てできるようにしている。いずれのロールも割り当ての特権を有していない場合、ポリシー14は何ら意味を持たなくなるすなわち、関連付けられるオブジェクトが存在しない。指定先リストは、この特権がデータオブジェクトを制御ポリシー14に割り当てるために、最初だけ必要とされる理由から空白になってもよい。例えば、メンバーが、ポリシーの最初の生成およびポリシーへのデータオブジェクトの割り当ての際に、指定先の特権を有してもよい。この初期化の後、指定先の特権が削除され、ポリシー14は固定の一式のオブジェクトを管理する。一般に、好ましい実施形態は、ビジネスプロセス12の階層内の3種類の移動をサポートする図1。a許可ユーザには、単一のビジネスプロセス12内においてデータオブジェクト22とその制御ポリシー14との間の関連付けを変更する特権が付与される。bさらに、ユーザには、ビジネスプロセス12間でデータオブジェクト22を移動する特権が付与される。cさらに、ユーザには、データオブジェクト22を権限管理システムの外に移動する特権が付与される。この移動の結果として、データオブジェクト22は管理または保護されないことになる。上記の種類の移動は、前述のドロップレットコントロール120を通して、許可ユーザによって明示的に開始することができ、あるいは移動を、許可ユーザによってなされる他の何らかの電子的作用の副産物として、暗黙のうちに開始することもできる。この後者のカテゴリーを、自動移動と称する。データオブジェクト22に関連付けられたポリシー14は、マージ操作例えば、カット/ペースト操作を通して自動的に変更できる。本発明の好ましい実施形態は、マージ操作について以下の種類の自動移動を実現する。すなわち、保護データオブジェクト32が非管理のデータオブジェクトにペーストされる場合には、対象となるデータオブジェクトはペーストされたオブジェクトのポリシー14を引き継ぐ。保護データオブジェクト32が、別のポリシー14を有する保護データオブジェクトにペーストされる場合には、対象となるデータオブジェクトは自身のポリシーを維持し、ペーストの完了は、ソースのデータオブジェクトのポリシーが移動を許容しており、かつ対象のデータオブジェクトのポリシーが割り当てを許容している場合にのみ完了を許される。本発明の好ましい実施形態は、スタンドアロンの移動ツールを既存の電子ビジネスプロセスのソフトウェアコンポーネントに統合することによって、自動移動を実現する。例えば、あらかじめ設定された制御ポリシー14の下でデータオブジェクト32としてレポートを生成するためにスタンドアロンの移動ツールを使用するように、大きなデータベースシステム用のレポート生成部を改変できる。他の例としては、電子メールサービスを、スタンドアロンの移動ツールを一種のフィルタとして使用しすなわち、アンチウィルスフィルタとして利用されるこのようなインタフェースを活用し、電子メールの宛先または差出人フィールド内の個人またはグループに基づいてデータオブジェクトを1つの制御ポリシー14から別の制御ポリシーに自動的に移動するように構成できる。自動移動は、電子メールの差出人が適切な移動の権限を有している場合にのみ生じる。そのような実施形態は、さらに、デジタル署名を使用して、電子メールメッセージが確かに差出人フィールドに指定されている個人から届いたことを確認することを望むことができる。オフラインでの協働動的かつ分散的な環境における協働は、保護データオブジェクト32の唯一の正式の複製が、ポリシーサーバ29を離れて、フィールド内の、ビジネスプロセス所有者がアクセスできない場所に常駐できることを意味する。動的、分散的、かつ協働的な環境をサポートするシステムは、2人または、それ以上の許可ユーザが、オンラインおよびオフラインの両方で容易に保護データオブジェクト32を生成および共有できるようにしなければならない。本発明の好ましい実施形態は、そのような目標を、許可ユーザがごく最近にポリシーサーバ29にアクセスしていなくてはならないという唯一の基準によりサポートする。ここで最近とは、ユーザが希望する協働を管理する制御ポリシー14についてのキャッシュの時間切れの期間内を意味する。言い換えると、協働はあらかじめ定められたビジネスプロセス12によって推進され、あらかじめ登録されたデータオブジェクト32によって推進されるものではない。図17は、本発明に基づく権限管理システム200における2人のユーザ間の協働を示したフローチャートを表わしており、ここでは協働は、ポリシーサーバ29にとって未知である文書データオブジェクト22を介して生じている。ステップ140は、管理者がユーザAおよびBの両者をロールに含んでいる制御ポリシーPを生成することによって開始される。ステップ141においてユーザAおよびBは、ポリシーサーバ29が位置する企業のネットワークに接続されているユーザのラップトップにログインする。ステップ142において、ユーザのラップトップのクライアントハンドラプロセス82が、制御ポリシーPとそのKEKをキャッシュする。次いで、ステップ143においてユーザAおよびBは、企業のネットワークから離れ、ユーザのラップトップをオフラインのミーティングに持ち出す。この時点で、クライアントハンドラプロセス82は、キャッシュした制御ポリシー14の範囲内であらゆる協働的アクティビティを許可する準備ができており、すなわちクライアントハンドラプロセス82は、権限管理システム200のトラストエージェントとして機能する。オフラインの間、ステップ144においてユーザAは、機密のデータオブジェクトDこの例では、文書であるを生成し、制御ポリシーPで保護する。このアクションは、ユーザAがポリシーサーバ29に接続していない状態で生じる。ユーザAは、制御ポリシーPが自身のラップトップにキャッシュされているため、文書Dを生成して保護することができる。ステップ145においてユーザAは、文書Dの複製をユーザBに与える。ステップ146においてユーザBは、やはりポリシーサーバ29に接続していない状態で、自身のラップトップ上で保護文書Dを編集できる。文書Dまたは、制御ポリシーPによって保護された他のあらゆる文書に関するユーザAおよびBの協働は、期限切れが生じない限り、ステップ147において継続する。監査、フォレンジック、およびコンプライアンス本発明の好ましい実施形態は、図6のクライアントエージェント26によって監視および制御されたアクティビティ許可および拒否されたアクティビティの記録をサポートする。図10のログサービス88は、個々の権限管理対応アプリケーション21からログデータを収集し、それらデータをポリシーサーバ29に送り返す。その後、ビジネスプロセス所有者は、監査、フォレンジック、およびコンプライアンスなどのビジネス上の必要事項をサポートするために、収集された情報を検査し、調査できる。ビジネスプロセス12のデータオブジェクト32に関するアクティビティの監査は、特定されたデータオブジェクト32の暗号化を必ずしも必要としない。本発明の一実施形態においては、特定されたデータオブジェクト32が、単に管理されており保護されていなくてもよい。言い換えると、監査は、特定されたデータオブジェクト32がCPT23を有していることのみを必要とし、データオブジェクト32のコンテンツ22が暗号化されていることを必要としない。CPT23のオブジェクトIDフィールド55図8は、監査、フォレンジック、およびコンプライアンスを支援する。クライアントエージェント26が最初に保護データオブジェクト32を生成したときに、完全な固有の識別子が生成される。新しいデータオブジェクト32が既存の保護データオブジェクトから例えば名前をつけて保存コマンドによって作り出されたとき、新規および既存のデータオブジェクトを結び付けるログ記録が、それらのオブジェクト識別子55の値を使用して書かれる。そうでない場合、システム200は、新しい保護データオブジェクト32が最初から作られたか、あるいは非管理のデータオブジェクト22から作られたことを記録する。この例は、本発明の好ましい実施形態が、オブジェクト識別子を監査、フォレンジック、およびコンプライアンスの目的のためだけに使用することを強調している。この実施形態は、保護データオブジェクト32のオブジェクト識別子55を、制御ポリシー14または関連の使用ルールの決定には使用しない。以上、本発明を、本発明の好ましい実施の形態に関して詳細に示し説明してきたが、添付の特許請求の範囲に包含される本発明の範囲から逸脱することなく、これらの実施形態における形態および細部についてさまざまな変更が可能であることは、当業者であれば理解できるであろう。"