JP2007048216A - 文書管理装置、文書管理方法、文書管理プログラム、記憶媒体 - Google Patents

Abstract

【課題】 プリントスクリーン機能によって取得したデータに対するセキュリティ管理を可能にする。
【解決手段】 サーバと通信し、機密保持プログラムにより生成された電子データの機密を管理する文書管理装置は、機密保持プログラムが終了処理またはバックグランド処理に移行する場合に、表示部に表示されている、電子データに基づく画面イメージを削除させる画面イメージ削除部と、表示部に表示されている画面イメージの複製として登録されているオブジェクトを削除させるオブジェクト削除部とを備えることを特徴とする。
【選択図】 図１Ｂ

Description

本発明は、文書管理技術に関するものであり、特に、ネットワークを介して接続されたサーバ、出力装置、入力装置等で扱われる電子データに対してセキュリティ管理を行なう文書管理装置、文書管理方法等に関するものである。

近年では、ネットワークを経由して、パーソナルコンピュータ、サーバ、出力装置、入力装置等、様々な装置間で機密情報を含む電子データ（以下、「セキュアデータ」といい、セキュアデータの生成、編集等を行なう機密保持アプリケーションを「セキュアアプリケーション」という）が取り扱われている。これに伴い、例えば、出力装置からのセキュアデータの印刷出力や、個人で管理するパーソナルコンピュータへのセキュアデータの保存、ＵＳＢストレージへの保存や、その保存したセキュアデータの持ち出し等、セキュアデータが外部に流出される機会は増加している。

一旦、セキュアデータが外部に持ち出されると、その流出経路を特定することは、極めて困難であるため、情報漏洩を防ぐための手段として、文書管理技術（セキュリティ管理技術）が重要視され、様々な取り組みが行なわれている。

その取り組みとして、例えば、セキュアデータ自体を暗号化して、アクセス権を有する者のみに暗号化セキュアデータにアクセスすることを許可したり、ネットワークの伝送データを暗号化して送信者と受信者で解読キーを共有したり、印刷装置自体のアクセスをユーザＩＤやパスワードで管理し、認証が取れた場合のみ印刷が可能になるようなシステム管理技術が種々提案されている。

しかしながら、上述のシステム管理技術は局所的な処理（システムにおける部分的な処理を実行するためのセキュリティ管理）であるため、これを補うために様々の仕組み（セキュリティ管理技術）を組み合わせて全体的なセキュリティ管理を施す試みもなされている。この場合、アクセス権設定者の負荷が増大することとなり、アクセス権設定漏れによるセキュリティホールの発生により、アクセス権所有者は完全に情報漏洩を防ぐことは困難なものである。

このようなケースに対応して、ネットワークに接続されたパーソナルコンピュータ（ＰＣ）、入出力装置等で取り扱われるセキュアデータをセキュリティ管理サーバにて一元管理するセキュアドキュメントシステムという仕組み（セキュリティ管理技術）が注目されている。

セキュアドキュメントシステムの特徴は、暗号化されたセキュアデータを格納するデータベースと、アクセス権管理を行なうセキュリティ管理サーバとを有し、ネットワークに接続されたＰＣや入出力装置等が、暗号化されたセキュアデータにアクセスするには、セキュリティ管理サーバの認証を受けなければセキュアデータにアクセスできないというものである。

セキュアドキュメントシステムにおいて、暗号化されたセキュアデータへアクセスするには、セキュリティ管理サーバからの認証が不可欠となるためにセキュリティ管理サーバに、ＰＣや入出力装置等が接続されている必要がある。仮にセキュアデータがネットワーク外に持ち出されても、セキュリティ管理サーバからの認証が得られないために、セキュアデータに対する一切のアクセスは行なえないことになる。また、セキュアドキュメントシステムにおいて、セキュリティ管理サーバは、そのセキュアデータにアクセスするＰＣやアプリケーション、入出力装置等のアクセス状況やアクセス履歴を全て一元的に管理することができる。

しかしながら、このセキュアドキュメントシステムにおいて、セキュアデータにアクセスしたＰＣのプリントスクリーン機能（ディスプレイ表示画面のハードコピー機能）によって取得された画像データ等が、セキュアデータ以外のデータに挿入、添付されて、セキュアデータ以外の新たなデータ（セキュアデータを一部に含むデータ）が生成されると、このデータに対してはアクセス制限が働かなくなり、セキュアドキュメントシステムの管理対象外になってしまうとう問題点がある。

ここで、セキュアデータの複製を含むデータのセキュリティを管理する手法としては、特許文献１のようにセキュアデータを一部に含むデータに地紋を付する手法等が提案されており、地紋が変更されることによって改竄を検知することが可能になる。しかしながら、特許文献１の手法は、プリントスクリーン機能の利用を事実上制限することとなり、本来保護すべき、プリントスクリーン機能によって取得された画像が、セキュアデータ以外のデータに挿入、添付されて生成されるデータに対するセキュリティ管理からは外れてしまうものである。特許文献１の手法によるセキュリティ管理の下では、プリントスクリーン機能の利用が制限されることになり、ユーザの利便性は著しく制限されてしまうという問題点がある。
特開２００２−８４４１３号公報

本発明は、上記課題に鑑みてなされたものであり、下記の目的の少なくともひとつを達成することを目的とする。

すなわち、本発明は、セキュアドキュメントシステムにおいて、保護すべきデータを安全に管理し、当該データを漏洩や不正な利用等から保護することをひとつの目的とする。

更に、セキュアドキュメントシステムにおいて、プリントスクリーン機能の利便性を保ちながら、プリントスクリーン機能によって取得したデータに対するセキュリティ管理を可能にする文書管理技術の提供を別の目的とする。

上記の目的を達成するべく、本発明にかかる文書管理装置、文書管理方法等は主として以下の構成を備えることを特徴とする。

すなわち、サーバと通信し、機密保持プログラムにより生成された電子データの機密を管理する文書管理装置は、
前記機密保持プログラムが終了処理または待機処理に移行する場合に、表示手段に表示されている、前記電子データに基づく画面イメージを削除させる画面イメージ削除手段と、
前記表示手段に表示されている画面イメージの複製として登録されているオブジェクトを削除させるオブジェクト削除手段とを備えることを特徴とする。

また、サーバと通信し、機密保持プログラムにより生成された電子データの機密を管理する文書管理装置における文書管理方法は、
前記機密保持プログラムが終了処理または待機処理に移行する場合に、表示手段に表示されている、前記電子データに基づく画面イメージを削除させる画面イメージ削除工程と、
前記表示手段に表示されている画面イメージの複製として登録されているオブジェクトを削除させるオブジェクト削除工程とを備えることを特徴とする。

本発明によれば、セキュアドキュメントシステムにおいて、機密保持のための利用制限なくプリントスクリーン機能を利用可能にして、利便性を保ちながら、プリントスクリーン機能によって取得したデータに対する機密保持のための管理が可能になる。

[第１実施形態]
以下、添付図面に従って本発明の実施形態を説明する。

＜ハードウエア構成＞
図１Ａは本発明の実施形態にかかる文書管理装置４０のハードウエア構成を示すブロック図である。１はシステム・バスであり、これから説明する各構成要素はこのシステム・バス１に接続している。２はＣＰＵであり、文書管理装置４０におけるデータの機密保持のための管理（セキュリティ管理）等に関する全体的な処理を制御することが可能である。３はプログラム・メモリ（ＰＭＥＭ）で、ＣＰＵ２の全体的な制御の下、データの編集、セキュリティ管理等に関する各種処理を実行するプログラムを格納する。格納されている具体的なプログラムのモジュール構成としては、図１Ｂに示す各種アプリケーションモジュール１０１、貼り付けオブジェクト管理モジュール１０２、画面のハードコピー制御モジュール１０３等が含まれる。これらの説明は、図１Ｂを参照して後に説明する。ＣＰＵ２は、適宜、これらのプログラムを選択し、セキュリティ管理等のプログラムを読み込み実行する。

４は通信制御部であり、１１３のネットワークインタフェース（Ｉ／Ｆ）における入出力データの制御を行なう。ネットワークインタフェース１１３から出力された信号は、通信回線１９を経由して、ネットワーク１１４上に接続するセキュリティ管理サーバ１１５の通信ポートに伝えられる。１１５はネットワーク１１４を介して接続するセキュリティ管理サーバを示している。ネットワーク１１４上で共有されている出力装置７（例えば、プリンタ）へのデータの出力や、セキュリティ管理サーバ１１５との間で行われるセキュアデータの保存と読み出しに関する処理は、ＣＰＵ２の全体的な制御の下、この通信制御部４を介して行われる。

５は画像データ等を入力するための入力装置であり、入力装置５から入力されたデータもネットワークインタフェース１１３に入力される。入力装置５の例として、スキャナやデジタルカメラ等が適用可能である。機密保持プログラム（以下、「セキュアプログラム」という。）は、入力装置５から入力された画像データ等を編集することが可能であり、編集された画像データ等は、セキュアデータとして保存される。

８は入力制御部であり、キーボード９、マウス１０等のポインティングデバイス（ＰＤ）が入力制御部８に接続する。操作者はキーボード９を操作することによりシステムの動作指令等を行なうことができる。例えば、操作者は、プリントスクリーン機能を利用した文書のセキュリティ管理に関する操作を行なうことができる。この際、キーボード９及びＰＤ１０は、ＣＲＴ１０７上に表示される電子文書ファイルに含まれる画像情報や文字データや数値データを選択、加工指示をしたり、電子データの印刷パラメータを設定するための操作が可能である。

１０６は表示制御部であり、ＣＲＴ１３に表示しようとするデータの位置、描画属性情報に対応した表示制御を行なうことが可能である。

１５、１６は、電子データ等を格納する記憶装置であり、例えば、例えば、１５をハードディスク（以下、「ＨＤ」と称す））、１６をＵＳＢストレージ等として構成することが可能である。記憶装置１５には、画像表示形成モジュール１０４（図１Ｂを参照）により形成された画像イメージを登録するグラフィックメモリ１０５、各種アプリケーションプログラムモジュール１０１（図１Ｂを参照）等の実行の際、使用されるアプリケーションデータ１０８、貼り付けオブジェクト管理モジュール１０２（図１Ｂを参照）により管理される各種画像（以降、「オブジェクト」と記述する。）を保存するオブジェクト保存メモリ１１０が含まれる。

本実施形態では記憶装置１５に上述のプログラム・メモリ（ＰＭＥＭ）３に格納した種々のプログラムを格納するようにしてもよい。

電子データや、各種アプリアプリケーションモジュール等を格納する記録媒体としては、フレキシブルディスクや、ＣＤ−ＲＯＭ、ＤＶＤ、メモリカード、光磁気ディスクなどのデバイスを用いることも可能である。

ここで、セキュリティ管理サーバ１１５とネットワーク１１４を介して接続する文書管理装置４０は、セキュアドキュメントシステムを構成する。このシステムにおいて、セキュリティ管理サーバ１１５は、文書管理装置４０で暗号化されたセキュアデータの保存及び登録の管理と、登録されたセキュアデータに対するアクセス権管理を行なうことができるものとする。ネットワーク１１４に接続された文書管理装置４０が、暗号化されたセキュアデータにアクセスするには、適時セキュリティ管理サーバ１１５からの認証を受ける必要がある。文書管理装置４０における暗号化としては、種々の暗号化技術を適用することが可能である。例えば、鍵暗号方式で用いられる秘密鍵や公開鍵による暗号化その他の暗号化技術が適用可能であるが、ここでは、その詳細な説明は省略する。

セキュリティ管理サーバ１１５と通信し、機密保持プログラム（セキュアアプリケーション）により生成された電子データ（セキュアデータ）の機密を管理する文書管理装置４０は、機密保持プログラムが終了処理または待機処理に移行する場合に、ＣＲＴ１０７に表示されている、電子データに基づく画面イメージを削除させる画面イメージ削除部と、ＣＲＴ１０７に表示されている画面イメージの複製として登録されているオブジェクトを削除させるオブジェクト削除部とを備える。この場合、ＣＰＵ２の制御の下、実行が制御されるセキュアアプリケーションは、画面イメージ削除部、オブジェクト削除部として機能することが可能である。待機処理とは、待機状態で処理をしたり、タスクの処理を中断してオペレーティングシステムからの指示を待つことである。待機状態とは、セキュアアプリケーションのタスクがオペレーティングシステムのウィンドウ切り換えプログラムで、選択状態になっていない場合に、既に受け付けていた処理を、当該タスクが、メインのタスクのバックグラウンドで処理する状態を含む。
＜ソフトウェアのモジュール構成＞
次に、本発明の実施形態にかかるソフトウェアのモジュール構成を説明する。図１Ｂは、本実施形態に適した文書管理装置４０（ホストコンピュータ）上で、ＣＰＵ２の制御の下に実行されるソフトウェアのモジュール構成を説明する図である。

各種アプリケーションモジュール１０１は、文書、帳票、画像等の編集を行なうことが可能なプログラムモジュールであり、電子データの機密保持のための処理を行なうセキュアアプリケーションは、この各種アプリケーションモジュール１０１に含まれる１種類のプログラムモジュールとして機能することができる。各種アプリケーションモジュール１０１は、一般的な動作として、文書管理装置４０の記憶装置１５からアプリケーションデータ１０８を取り出し、ユーザの編集、削除後の結果を記憶装置１５に保存することが可能である。

また、各種アプリケーションモジュール１０１に含まれるセキュアアプリケーションは、ネットワークＩ／Ｆ１１３を通して、ネットワーク１１４上に接続されているセキュリティ管理サーバ１１５と通信し、セキュリティ管理サーバ１１５の認証を受けて、セキュリティ管理サーバ１１５のデータベースから、セキュリティ管理に関するセキュアデータ１１６を取り出し、セキュアデータ１１６を復号化し、文書処理装置４０において、ユーザの編集、削除結果をセキュリティ管理サーバ１１５のデータベースに再度暗号化して保存することも可能である。各種アプリケーションモジュール１０１に含まれるセキュアアプリケーションにより文書管理装置４０で処理する電子データをセキュアデータとしてセキュリティ管理することが可能になる。

電子データの編集中において、アプリケーションデータ１０８およびセキュアデータ１１６は、各種アプリケーションモジュール１０１内において管理されている図示しないメモリ内にコピーされ、そのメモリ内でコピーされたデータが各種アプリケーションモジュール１０１によって編集（データの削除を含む）される。各種アプリケーションモジュール１０１は、全ての編集終了後にアプリケーションデータ１０８とセキュアデータ１１６とを、メモリ内で編集されたデータに書き換える。

例えば、各種アプリケーションモジュール１０１に含まれるセキュアアプリケーションは、終了処理に際して、メモリ内で編集されたデータをセキュアデータとして、セキュリティ管理サーバ１１５のデータベースに登録するために、登録指示を生成することが可能であり、編集されたセキュアデータは暗号化され、先に説明したネットワークＩ／Ｆ１１３を介してセキュリティ管理サーバ１１５に送信される。

登録指示を受けたセキュリティ管理サーバ１１５は、文書処理装置４０に対する認証処理を行ない、認証後に暗号化されて送信されたデータをセキュアデータとしてデータベースに格納する。

タスク制御モジュール１０９は、現在実行中でありユーザが操作可能なアプリケーションモジュールと、待機中のアプリケーションモジュールとの管理を行なうプログラムモジュールである。

各アプリケーションは、起動時にタスク制御モジュール１０９にアプリケーションが起動されたことを示すために、「アプリケーション名」、「ＩＤ」を登録する（図６Ｂを参照）。例えば、他のアプリケーションとして、画像表示形成モジュール１０４、画面のハードコピー制御モジュール１０３等は、「アプリケーション名」、「ＩＤ」のいずれかを参照することにより、そのアプリケーションがセキュアアプリケーションであるか、通常のアプリケーション（セキュリティ管理に関係しないアプリケーション）であるか、を判定することが可能である。

複数のアプリケーションモジュールが起動されている場合、タスク制御モジュール１０９の管理により、実行可能となるアプリケーションモジュールは１つとなり、それ以外のアプリケーションモジュールは待機状態として管理される。また、現在実行中のアプリケーションが終了する場合、終了となるアプリケーションは、タスクを削除する指示をタスク制御モジュール１０９に出力する。また、実行中の状態から一時停止、あるいは一時停止状態から実行を再開する場合、アプリケーションは、その旨をタスク制御モジュール１０９に指示することにより、タスク制御モジュール１０９は、アプリケーションの起動状態を管理する。

文書処理装置４０上で複数のアプリケーションモジュールが起動されているとき、ユーザはＣＲＴ１０７の画面をキーボード９やマウス１０で指定することにより実行するアプリケーションを指定することが可能である。更に、ユーザの操作により、新規のアプリケーションモジュールが起動される場合、タスク制御モジュール１０９は、そのアプリケーションモジュールを実行中とし、その他の起動中のアプリケーションモジュールを待機状態とすることも可能である。

各種アプリケーションモジュール１０１は、画面表示形成モジュール１０４および表示制御部１０６を通じてＣＲＴ１０７にアプリケーションデータ１０８あるいはセキュアデータ１１６の表示をさせることができる。ユーザはＣＲＴ１０７を見ながら各種入力装置１１２、例えば、キーボード９やマウス１０を用いてデータの編集を行なうことが可能である。ユーザが各種入力装置１１２を操作した結果は、ユーザ入力制御モジュール１１１を通じて各種アプリケーションモジュール１０１に入力情報としてフィードバックされる。各種アプリケーションモジュール１０１は、ユーザ入力制御モジュール１１１からフィードバックされる入力情報に基づいて、データの内容を変更し、その変更結果を画面表示形成モジュール１０４に入力する。

各種アプリケーションモジュール１０１は、更に、各種画像（以降、「オブジェクト」と記述する。）を貼り付けオブジェクト管理モジュール１０２に登録し、または、そのオブジェクトを消去するための指示を出力ことが可能である。貼り付けオブジェクト管理モジュール１０２は、登録されたオブジェクトを、外部記憶装置制御部１４の制御の下、オブジェクト保存メモリ１１０等に一時保存する。貼り付けオブジェクト管理モジュール１０２は、オブジェクトの登録のほかに、オブジェクト保存メモリ１１０からオブジェクトの取り出し、そのオブジェクトの削除が可能である。また、各種アプリケーションモジュール１０１は、任意のタイミングで、オブジェクトの登録、取り出し、削除に関する指示を貼り付けオブジェクト管理モジュール１０２に出力することが可能である。

貼り付けオブジェクト管理モジュール１０２は、更に、画面のハードコピー制御モジュール１０３から入力されるオブジェクトの登録も可能である。ユーザが各種入力装置１１２を介して、プリントスクリーン機能（画面のハードコピー機能）の実行を指示すると、ユーザ入力制御モジュール１１１は、画面のハードコピー制御モジュール１０３に、ユーザの指示を入力情報として入力する。画面のハードコピー制御モジュール１０３は、表示制御部１０６を通じて、ＣＲＴ１０７に現在表示されている画像データ等を取得し、取得した画像データ等を、貼り付けオブジェクト管理１０２にオブジェクトとしての登録を指示する。貼り付けオブジェクト管理モジュール１０２は、登録の指示を受けて、そのオブジェクトをオブジェクト保存メモリ１１０等に保存する。

各種アプリケーション１０１は、画面のハードコピー制御モジュール１０３により取得された画像データ等のオブジェクトを、登録されているオブジェクト保存メモリ１１０等から貼り付けオブジェクト管理モジュール１０２を通して取り出すことも可能である。

画面表示形成モジュール１０４は、各種アプリケーションモジュール１０１から受けた要求を元に、ＣＲＴ１０７に表示するための画像データを展開し（画面イメージ）、画像イメージをグラフィックメモリ１０５に登録する。このとき、画面表示形成モジュール１０４は、「アプリケーション名」または「ＩＤ」等に基づいて、要求元のアプリケーションがセキュアアプリケーションか通常のアプリケーションかを判定し、セキュアアプリケーションからの要求の場合、通常のアプリケーションからの要求と区別することができるように、画面イメージを展開して、グラフィックメモリ１０５に登録することができる。

図１Ｃは、グラフィックメモリ１０５に展開された、画面イメージ（１０５１〜１０５３）の例を示す図である。セキュアアプリケーションからの要求に基づいて展開された画面イメージには、識別情報（例えば、識別子「Ｓ」）１０５４が付され、他の画面イメージ（１０５２、１０５３）と区別することができる。

表示制御部１０６は、画面のハードコピー制御モジュール１０３からＣＲＴ画像の取り出しを指示されたときには、グラフィックメモリ１０５に展開されている画面イメージ（ＣＲＴ画像）を取り出し、取り出した画面イメージ（ＣＲＴ画像）を画面のハードコピー制御モジュール１０３に出力することができる。

表示制御部１０６は、グラフィックメモリ１０５に展開されている画面イメージを取り出す場合、指定された画面イメージに識別情報１０５４が付されている画面イメージを、セキュアアプリケーションによる画面イメージとして判定することができる。

次に、プリントスクリーン機能の説明を図２及び図３の参照により説明する。

図２及び図３は、プリントスクリーン機能を利用したオブジェクトの貼り付けに関する操作の手順を説明する図である。

図２（ａ）において、ＣＲＴ１０７に表示された画像（２０１ａ、２０１ｂ）はキーボード９上の一部である３０２（図３を参照）に配置されたプリントスクリーンキー３０４を押下することにより、貼り付けオブジェクト管理モジュール１０２が管理するオブジェクト保存メモリ１１０等にオブジェクトとして保存される（２０４）。

図２（ｂ）は、セキュアアプリケーションの表示画面２０５を例示する図であり、ユーザは、係る表示画面２０５において、編集のプルダウンメニュー２０６から「貼り付け」２０７の操作を選択すると、セキュアアプリケーションは、貼り付けオブジェクト管理モジュール１０２を通じて、オブジェクト保存メモリ１１０に保存されているオブジェクト２０４を取得し、アプリケーションデータを書き換えて、図２（ｂ）の２０８に示すように、表示画面２０５上に、プリントスクリーン機能により取得された画像（オブジェクト）を貼り付ける。

同様に、セキュアアプリケーションの表示画面の保存、終了に関する操作は図３（ｂ）に示すプルダウンメニュー３１１の「保存」３１２、「終了」３１３のいずれかの項目をマウス１０、キーボード９等でユーザが選択することにより実行される。また、図３（ｂ）において、３１２は「終了」処理を実行するショートカットボタンであり、このボタンを押下することによりプルダウンメニュー３１１における「終了」処理と同様な動作を行なわせることも可能である。

セキュアアプリケーションが、プリントスクリーン機能によりハードコピー等されたデータを貼り付けて新たに生成するデータは、文書管理装置４０及びセキュリティ管理サーバ１１５において、セキュアデータとして、セキュリティ管理の対象となる。

（画面表示、画面イメージの保存と貼り付けに関する処理）
図９Ａは、ソフトウエアモジュールの処理の流れを概略的に説明するフローチャートであり、セキュアアプリ-ケーションは、セキュリティ管理サーバ１１５に保存されているセキュアデータの取り出しを要求すると（Ｓ９０１）、セキュリティ管理サーバ１１５は、認証後、指定されたセキュアデータを送出する（Ｓ９１１）。

セキュアアプリケーションは、暗号化されているセキュアデータの復号後、セキュアデータの編集、削除が可能になる（Ｓ９０２）。次に、セキュアアプリケーションは、画面表示に関する指示を画面表示形成モジュール１０４に出力する（Ｓ９０３）。ここで、ＣＲＴ１０７への画面表示に関する処理工程の詳細な流れを、図９Ａとの対応を図りつつ図４（ａ）のブロック図を参照して説明する。尚、本処理の具体的な内容は、ＣＰＵ２の全体的な制御の下、各プログラムモジュールの実行に基づくものである。

セキュアアプリケーションを含む各種アプリケーションモジュール１０１から画像表示形成モジュール１０４に画面表示、または画面表示の変更指示（Ｓ４０１）が入力されると、画面表示形成モジュール１０４は、画面表示、または画面表示の変更指示を出力したアプリケーションがセキュアアプリケーションであるか判定する（図９ＡのＳ９１３）。そして、グラフィックメモリ１０５に画面表示、または画面表示の変更指示（Ｓ４０１）に応じた画面イメージの登録、更新を行なう（Ｓ４０２、図９ＡのＳ９１４）。この場合、画像表示形成モジュール１０４は、セキュアアプリケーションから指示を受けた場合、展開する画面イメージに識別情報を付して、グラフィックメモリ１０５に登録する（図１Ｃを参照）。

その後、変更指示を受けた場合、画像表示形成モジュール１０４は、表示制御部１０６にグラフィックメモリ１０５の内容が変更されたことを通知する（Ｓ４０３）。

画面表示形成モジュール１０４から、グラフィックメモリ１０５の内容が変更されたことの通知を受信した表示制御部１０６は、グラフィックメモリ１０５より画面イメージを取り出し（Ｓ４０４）、その画面イメージをＣＲＴ１０７に表示する（Ｓ４０５、図９ＡのＳ９１６）。

以上の処理によりＣＲＴ１０７への画面表示、画面表示の変更に関する処理が終了する。

（プリントスクリーン機能の実行）
次に、図４（ｂ）のブロック図を参照して、プリントスクリーン機能が実行された場合の画面イメージの保存に関する処理工程の流れを、図９Ａとの対応を図りつつ説明する。

まず、ユーザによるキーボード９の操作（図３のボタン３０３の押下）により、プリントスクリーン機能の実行（画面のハードコピー実行）が指示されると（Ｓ４１０、図９ＡのＳ９２０−Ｙｅｓ）、画面のハードコピー制御モジュール１０３は、表示制御部１０６に画面イメージの取り出しを指示する（Ｓ４１１）。表示制御部１０６は、指示を受けて、グラフィックメモリ１０５より、指示に対応する画像イメージを取り出し（Ｓ４１２、図９ＡのＳ９１８）、その後、表示制御部１０６は、取り出した画面イメージを画面のハードコピー制御モジュール１０３に出力する（Ｓ４１３、図９ＡのＳ９１９）。

画面のハードコピー制御モジュール１０３は、表示制御部１０６より出力された画面イメージを受け取ると、その画面イメージにセキュアアプリケーションによる画面イメージであることを示す識別情報が付されているか判定する（図９ＡのＳ９２１）。

そして、取得した画面イメージを貼り付けオブジェクトとして登録を行なうために、その画面イメージを貼り付けオブジェクト管理モジュール１０２に登録指示を出力する（Ｓ４１４、図９ＡのＳ９２２）。ここで、画面イメージに識別情報が付されている場合、画面のハードコピー制御モジュール１０３は、識別情報を付したオブジェクトとして、オブジェクト保存メモリ１１１に登録するように、貼り付けオブジェクト管理モジュール１０２に画面イメージを、登録指示と共に出力する。

図１Ｄは、オブジェクト保存メモリ１１１に登録された、貼り付けオブジェクト（１０６１〜１０６３）の例を示す図である。セキュアアプリケーションによる画面イメージに基づいて登録された貼り付けオブジェクトには、識別情報（例えば、識別子「Ｓ」）１０６４が付され、他の貼り付けオブジェクト（１０６２、１０６３）と区別することができる。

貼り付けオブジェクト管理モジュール１０２は、表示制御部１０６から出力に基づいて、オブジェクト保存メモリ１１１、またはＨＤに出力されてきた画面イメージを保存して、オブジェクトの登録を行なう（図１Ｄを参照、Ｓ４１５、図９ＡのＳ９２３）。

以上の処理により、プリントスクリーン機能が実行された場合、画面イメージの取得と、その画面イメージを貼り付けオブジェクトとして、オブジェクト管理メモリ１１１に保存する処理が終了する。

（セキュアアプリケーションの終了処理）
次に、各種アプリケーションモジュール１０１に含まれるセキュアアプリケーション５０２の終了処理の流れを図５のブロック図、図９Ａのフローチャートを参照して説明する。尚、本処理の具体的な内容は、ＣＰＵ２の全体的な制御の下、各プログラムモジュールの実行に基づくものである。

まず、ユーザが図３（ｂ）で説明した方法により、キーボード９やマウス１０等の各種入力装置１１２を介して、セキュアアプリケーション５０２の終了を指示すると、この指示はユーザ入力制御モジュール１１１に入力される。これを受けて、ユーザ入力制御モジュール１１１は、セキュアアプリケーション５０２にアプリケーションの終了指示を出力する（Ｓ５０１）。

終了指示をセキュアアプリケーション５０２は受け取ると（図９ＡのＳ９０４）、セキュアアプリケーション５０２は、セキュアアプリケーションによる画面表示をＣＲＴ１０７から全て削除するように画面表示形成モジュール１０４に指示する（Ｓ５０２、図９ＡのＳ９０５）。

この指示を受けた、画面表示形成モジュール１０４は、グラフィックメモリ１０５に展開した画面イメージの全て、または、識別情報が付されている画面イメージを削除する旨を表示制御部１０６に入力する（図９ＡのＳ９１５）。そして、表示制御部１０６は、削除された画面イメージに基づき、ＣＲＴ１０７の画面表示を全て削除する（図９ＡのＳ９２６）。

セキュアアプリケーション５０２の終了の際、待機中の他のアプリケーションは存在しない場合（図９ＡのＳ９０６−Ｎｏ）、次に、セキュアアプリケーション５０２は、画面表示の削除指示の後、貼り付けオブジェクト管理モジュール１０２に対し、オブジェクト保存メモリ１１０またはＨＤに保存されているオブジェクト削除するように指示する（Ｓ５０３、図９ＡのＳ９０７）。

貼り付けオブジェクト管理モジュール１０２は、オブジェクトの削除指示を受けると、オブジェクト保存メモリ１１０またはＨＤ内のオブジェクトを全て削除する（Ｓ５０４、図９ＡのＳ９２４）。

ここで、画面表示の削除を先に行なうのは重要な手順である。仮に、オブジェクトの削除指示を先に行なった場合、次に、画面表示の削除を行なうまでの間にプリントスクリーン機能が実行されて、セキュアアプリケーションが表示した画面イメージが、貼り付けオブジェクトとして消されずに残ってしまうこともあり、係るデータの登録を防止するためである。

また、オブジェクトの削除は、オブジェクト保存メモリ１１０、ＨＤ等に登録されている全てのオブジェクトの削除に限定されるものではなく、例えば、セキュアアプリケーション５０２が扱ったデータ（画面イメージの複製）として登録されているオブジェクトのみを削除することも可能である。この場合、セキュアアプリケーション５０２は、オブジェクトの削除指示を、セキュアアプリケーションによる画面イメージに基づいて登録されたオブジェクトにのみに限定して削除指示を出力する。この削除指示を受けた貼り付けオブジェクト管理モジュール１０２は、識別情報が付されているオブジェクトのみ（例えば、図１Ｄの１０６１）を削除する。これにより、機密保持の対象となる一部のオブジェクトのみを削除ことが可能になる。

オブジェクトの削除が終了したら、更に、セキュアアプリケーション５０２は、セキュアアプリケーション５０２が処理中であったデータ（セキュアデータ）を暗号化して（図９ＡのＳ９０８）、セキュリティ管理サーバ１１５のデータベースに保存するために、セキュアデータの登録指示を生成し（Ｓ５０５−１、図９ＡのＳ９０９）、ネットワークＩ／Ｆ１１３を通じてセキュリティ管理サーバ１１５に登録指示を出力する（Ｓ５０５−２）。この登録指示を受けて、セキュリティ管理サーバ１１５は、認証後、係るセキュアデータをデータベース１１６に登録する（図９ＡのＳ９１２）。

セキュアアプリケーション５０２は、以上の処理の終了後に、タスク制御モジュール１０９で管理されている、現在実行中のアプリケーションモジュールの中からセキュアアプリケーション５０２のタスクを削除するように指示する（Ｓ５０６、図９ＡのＳ９１０）。

この指示を受けて、タスク制御モジュール１０９は、セキュアアプリケーション５０２のタスクを削除して処理を終了する。

以上の処理によりセキュアアプリケーション５０２の終了時には、画面表示の削除をし、更に、登録されているオブジェクトの削除を行なうため、セキュアアプリケーション以外のアプリケーションから、セキュアアプリケーション５０２で参照していた画面表示や、スクリーンプリント機能によりハードコピーした画面イメージのオブジェクトの使用ができなくなり、セキュアアプリケーション５０２が扱ったデータの機密保持を確保する（セキュリティを高める）ことが可能になる。

（待機中のアプリケーションが存在する場合の終了処理）
次に、図６Ａ、Ｂ、図９Ａ、Ｂを参照して、セキュアアプリケーション５０２の終了時に、待機中のアプリケーションとして、他のセキュアアプリケーション６０１が存在した場合の処理の流れについて説明する。尚、本処理の具体的な内容は、ＣＰＵ２の全体的な制御の下、各プログラムモジュールの実行に基づくものである。

セキュアアプリケーション５０２の終了を指示する入力がユーザ入力制御モジュール１１１に入力されると、ユーザ入力制御モジュール１１１は、セキュアアプリケーション５０２にアプリケーションの終了指示を出力する（Ｓ６０１）。

終了指示を受けたセキュアアプリケーション５０２は、セキュアアプリケーション５０２による画面表示をＣＲＴ１０７から全て削除するように画面表示形成モジュール１０４に指示する（Ｓ６０２）。この場合、画面表示の削除に関する処理は、図５で説明したステップＳ５０２の処理と同様である。

次に、セキュアプリケーション５０２は、タスク制御モジュール１０９に対して、待機中のアプリケーションの有無と、待機中のアプリケーションが存在する場合（Ｓ９２９）、そのアプリケーション名またはＩＤ等を送信するように指示する（Ｓ６０３、図９ＢのＳ９３０）。

この指示を受けて、タスク制御モジュール１０９は、待機中のアプリケーションを調査し（図９ＢのＳ９３５）、待機中のアプリケーションが存在する場合（Ｓ９３６−Ｙｅｓ）、そのアプリケーション名及びＩＤ等を、セキュアアプリケーション５０２に送信する（Ｓ６０４、図９ＢのＳ９３７）。一方、タスク制御モジュール１０９は、待機中のアプリケーションが存在しない場合、セキュアアプリケーション５０２に対して応答を返さない。セキュアアプリケーション５０２は、一定時間が経過した後、タスク制御モジュール１０９から応答がない場合、待機中のアプリケーションが無いものと判定することができる。

タスク制御モジュール１０９は、例えば、図６Ｂに示すような、タスク管理テーブル６０９によって各アプリケーションのタスクを管理することが可能である。タスク制御モジュール１０９は、タスク管理テーブル６０９を参照して、そのアプリケーション名、ＩＤ、識別情報（図６Ｂでは、セキュアアプリケーションを示す識別情報として「Ｓ」を付している）の登録により待機中のアプリケーションの有無を判定することができる。

図６Ｂの場合、アプリケーション名「Ｂ」、「Ｃ」、「Ｄ」が待機中であり、アプリケーション名「Ａ」は実行中である。アプリケーション名「Ａ」は、この場合、セキュアアプリケーション５０２を示している。タスク管理テーブル６０９において、セキュアアプリケーションには識別情報（「Ｓ」）が付加されており、この識別情報とアプリケーション名、ＩＤがタスク制御モジュール１０９からセキュアアプリケーション５０２に送信される。

尚、セキュアアプリケーションと通常アプリケーションとの識別は、識別情報に基づく判定に限定されるものではなく、アプリケーション名に基づいて、両者を識別することも可能である。この場合、タスク制御モジュール１０９は、アプリケーション名とＩＤをセキュアアプリケーション５０２に送信する。

セキュアアプリケーション５０２は、タスク制御モジュール１０９から送信された待機中のアプリケーション名、ＩＤ及び識別情報に基づいて、待機中のアプリケーションがセキュアアプリケーションであるか判定する（図９ＢのＳ９３１）。

待機中のアプリケーションが全てセキュアアプリケーションの場合（この場合、次に実行の対象となるアプリケーションも必ずセキュアアプリケーションとなる）、あるいは、待機中のアプリケーション中にセキュアアプリケーションが少なくとも１つ含まれており、現在実行中のセキュアアプリケーション５０２からの指示に基づいて、次に実行中にするべきアプリケーションとして、少なくとも１つ含まれているセキュアアプリケーション（例えば、図６Ａのセキュアアプリケーション６０１）を指定することが可能な場合（図９ＢのＳ９３１−Ｙｅｓ）、現在実行中のセキュアアプリケーション５０２は、貼り付けオブジェクト管理モジュール１０２に対してオブジェクトの削除指示を行なわない（図９ＢのＳ９３２）。

すなわち、セキュアアプリケーション５０２は、貼り付けオブジェクト管理モジュール１０２に対し、オブジェクト保存メモリ１１０またはＨＤに保存されているオブジェクトを削除するための指示を出力しない（この場合、図５のステップＳ５０３に対応した指示を、セキュアアプリケーション５０２は出力しないことになる）。これにより、オブジェクト保存メモリ１１０等に登録されているオブジェクトはそのまま登録された状態となる。

そして、処理を図９ＡのステップＳ９０８に処理を進め、セキュアアプリケーション５０２が処理中であったセキュアデータを保存するために、セキュアアプリケーション５０２は、セキュアデータの暗号化を行ない（図９ＡのＳ９０８）、暗号化したセキュアデータの登録指示を生成する（Ｓ６０５−１、図９ＡのＳ９０９）。そして、ネットワークＩ／Ｆ１１３を通じてセキュリティ管理サーバ１１５に登録指示を出力する（Ｓ６０５−２）。ここで、ステップＳ６０５−１、Ｓ６０５−２の処理は、図５における、ステップＳ５０５−１、Ｓ５０５−２の処理と対応する処理である。

そして、セキュアアプリケーション５０２は、セキュリティ管理サーバ１１５に対してセキュアデータの登録指示を出力後、タスク制御モジュール１０９で管理されている、現在実行中のアプリケーションモジュールの中からセキュアアプリケーション５０２のタスクを削除するように指示する（Ｓ６０６、図９ＡのＳ９１０）。

この指示を受けて、タスク制御モジュール１０９は、タスク管理テーブル６０９の中から、現在実行中であるアプリケーション（Ａ：セキュアアプリケーション５０２）の登録を削除する。そして、タスク制御モジュール１０９は、待機中のアプリケーション（例えば、Ｂ：セキュアアプリケーション６０１）を実行中のアプリケーションとしてタスクの管理を切り替える。

セキュアアプリケーション６０１が待機中の状態から実行中の状態に切り替えられた場合でも、従前に実行されていたセキュアアプリケーション５０２の処理に関連してオブジェクト保存メモリ１１０等に登録されているオブジェクトを参照し、そのオブジェクトを貼り付け、オブジェクトを一部に含む新たなセキュアデータとして管理することが可能である。また、新たに実行状態になった、セキュアアプリケーション６０１は、セキュリティ管理サーバ１１５の認証を受けることにより、先のセキュアアプリケーション５０２が登録したセキュアデータを利用することが可能である。

一方、待機中のアプリケーションが、セキュアアプリケーションでなく、通常アプリケーション（例えば、図６ＢのアプリケーションＢ、Ｃ）の場合（図９ＢのＳ９３１−Ｎｏ）、オブジェクトとして登録されているデータを、通常アプリケーションから参照できないようにするために、セキュアアプリケーション５０２は、貼り付けオブジェクト管理モジュール１０２に対して、登録されているオブジェクトの全て、または、識別情報の付されているオブジェクト（図１Ｄの１０６１）の削除指示を出力する（図９ＡのＳ９０７）。

以上の処理によれば、実行状態から終了となるセキュアアプリケーション５０２と、待機中から実行状態になるセキュアアプリケーション６０１との間で、オブジェクト保存メモリ１１０等に保存されているオブジェクトやセキュリティ管理サーバ１１５に保存されているセキュアデータの共有が可能となり、データの機密保持を確保しつつ、ユーザの利便性を向上させることが可能になる。

（通常アプリケーションを新規に起動する場合の終了処理）
次に、新規に起動されるアプリケーションがセキュアアプリケーションではなく、通常アプリケーションである場合、現在実行中のアプリケーションであるセキュアアプリケーション５０２の終了処理の流れを図７のブロック図、図９Ｃのフローチャートを参照して説明する。尚、本処理の具体的な内容は、ＣＰＵ２の全体的な制御の下、各プログラムモジュールの実行に基づくものである。

ユーザにより、キーボード９、マウス１０等を介して通常アプリケーション７０２の起動が指示されると、その起動の指示は、ユーザ入力制御モジュール１１１に入力される。この入力を受けて、ユーザ入力制御モジュール１１１は、通常アプリケーション７０２に対して新規のアプリケーション起動を指示する（Ｓ７０１）。

新規のアプリケーション起動（Ｓ９３９）の指示を受けた通常アプリケーション７０２は、タスク制御モジュール１０９にタスクの登録を行なうよう指示を出力する（Ｓ０２）。この時、通常アプリケーション７０２は、そのアプリケーション名とＩＤをタスク制御モジュール１０９に通知する。

タスク制御モジュール１０９は、通常アプリケーション７０２からの通知に基づいて、タスク管理テーブル６０９に登録を行なう（Ｓ９４０）。そして、新規にアプリケーションの起動の指示を受けた通常アプリケーション７０２を、現在動作中のセキュアアプリケーション５０２に優先して動作させるために、タスク制御モジュール１０９は、現在動作中のセキュアアプリケーション５０２に一時停止の指示を出力すると共に、次に動作させるアプリケーション名とＩＤ等を通知する（Ｓ７０３、図９ＣのＳ９４１）。

セキュアアプリケーション５０２は、タスク制御モジュール１０９より送られてきたアプリケーション名とＩＤ等に基づいて、そのアプリケーションが通常アプリケーションであるか、セキュアアプリケーションであるか判定する。

上述の判定処理に基づいて、セキュアアプリケーション５０２は、次の動作対象となるアプリケーションが、通常アプリケーションであると判定した場合（図９ＣのＳ９４２―Ｎｏ：図６Ｂに示す、セキュアアプリケーションを示す識別情報（「Ｓ」）が付加されていない場合）、セキュアアプリケーション５０２は、セキュアアプリケーションによるＣＲＴ１０７の表示を変更するように画面表示形成モジュール１０４に指示する（Ｓ７０４、図９ＣのＳ９４３）。

ここで、画面表示形成モジュール１０４による表示の変更は、セキュアアプリケーションが待機中であることを示す必要があるので、完全な画面表示の削除は行なわない。表示の変更としては、例えば、画面表示に網掛けを付して、通常アプリケーションによる画面から参照できないようにしたり、セキュアアプリケーション５０２による画面表示をアイコン化して最小化表示することが可能である（図９ＣのＳ９４６）。

画面表示形成モジュール１０４による画面表示の変更処理の後、セキュアアプリケーション５０２は、貼り付けオブジェクト管理モジュール１０２に対して、オブジェクト保存メモリ１１０またはＨＤに保存されているオブジェクトを削除するように指示する（Ｓ７０５、図９ＣのＳ９４４）。

貼り付けオブジェクト管理モジュール１０２は、オブジェクトを削除する指示をセキュアアプリケーション５０２から受けると、オブジェクト保存メモリ１１０またはＨＤ内のオブジェクトを全て削除する（Ｓ７０６、図９ＣのＳ９４７）。

これにより、新規に起動される通常アプリケーション７０２は、オブジェクト保存メモリ１１０またはＨＤ内に登録されている一切のオブジェクト（セキュアアプリケーション５０２による画面イメージがプリントスクリーン機能によりハードコピー（複製）されたデータを含む）の参照することができなくなる。

尚、オブジェクトの削除は、図５のステップＳ５０４の場合と同様に、オブジェクト保存メモリ１１０、ＨＤ等に登録されている全てのオブジェクトの削除に限定されるものではなく、例えば、セキュアアプリケーションが扱ったデータに関するオブジェクトのみを削除することも可能である。この場合、セキュアアプリケーション５０２は、オブジェクトの削除指示を、セキュアアプリケーションによる画面イメージに基づいて登録されたオブジェクトにのみに限定して削除指示を出力する。この削除指示を受けた貼り付けオブジェクト管理モジュール１０２は、識別情報の付されているオブジェクトのみ（例えば、図１Ｄの１０６１）を削除する。これにより、機密保持の対象となる一部のオブジェクトのみを削除ことが可能になる。

オブジェクトの削除指示の出力後、セキュアアプリケーション５０２は、待機状態に移行可能であることをタスク制御モジュール１０９に通知する（Ｓ７０７、図９ＣのＳ９４５）。

セキュアアプリケーション５０２からの通知を受けて、タスク制御モジュール１０９は、セキュアアプリケーション５０２を待機状態とし、そして、通常アプリケーション７０２を、実行中のタスクに切り替える（図９ＣのＳ９４１）。

以降、ユーザは、通常アプリケーション７０２での操作が可能になるが、先に実行状態にあったセキュアアプリケーション５０２の画面は、網掛け処理やアイコン化（最小化）処理がされており参照することができない。また、オブジェクト保存メモリ１１０等に保存されていたオブジェクトは全て削除されているため、新たに起動した通常アプリケーション７０２の画面から参照することはできないことになる。

図７の例では、通常アプリケーション７０２を新規に起動する際の処理を説明したが、タスク管理テーブル６０９において待機中の通常アプリケーションを実行中に変更する場合も同様の処理が実行されることになる。

以上の処理により、セキュアアプリケーション５０２に基づく画面表示から取得されたオブジェクトは、通常アプリケーションで使用できなくなり、セキュアアプリケーション５０２に基づく情報の流出を防ぐことが可能になる。

待機中の状態として、セキュアアプリケーション５０２に基づく表示がＣＲＴ１０７の画面上に表示されたままとなると、通常アプリケーション７０２の動作中において、プリントスクリーン機能により、セキュアアプリケーション５０２に基づく画面表示がハードコピーされる可能性があり、表示画面のセキュリティ管理が困難になるが、本実施形態の場合、セキュアアプリケーション５０２に基づく表示を待機状態に移行する前に変更することにより（例えば、網掛けや、アイコン化して表示を最少化すること）、通常アプリケーション７０２の実行中に、待機中のセキュアアプリケーション５０２に基づく表示を参照したり、複製したり、印刷したりすることを防止することが可能になる。

（セキュアアプリケーションを新規に起動する場合の終了処理）
次に、新規に起動するアプリケーションが、セキュアアプリケーションである場合（図９ＣのＳ９４２−Ｙｅｓ）、現在実行中のアプリケーションであるセキュアアプリケーション５０２の終了処理の流れを図８のブロック図、図９Ｄのフローチャートを参照して説明する。尚、本処理の具体的な内容は、ＣＰＵ２の全体的な制御の下、各プログラムモジュールの実行に基づくものである。

ユーザにより、キーボード９、マウス１０等を介してセキュアアプリケーション８０２の起動が指示されると、その起動の指示は、ユーザ入力制御モジュール１１１に入力される。この入力を受けて、ユーザ入力制御モジュール１１１は、セキュアアプリケーション８０２に対して新規のアプリケーション起動を指示する（Ｓ８０１）。

新規のアプリケーション起動の指示を受けたセキュアアプリケーション８０２は、タスク制御モジュール１０９にタスクの登録を行なうよう指示を出力する（Ｓ８０２）。この時、セキュアアプリケ−ション８０２は、そのアプリケーション名とＩＤ及びセキュアアプリケ−ションであることを識別するための識別情報を通知する。

タスク制御モジュール１０９は、セキュアアプリケーション８０２から送られた通知に基づいて、タスク管理テーブル６０９に登録を行なう。そして、新規にアプリケーションの起動の指示を受けたセキュアアプリケーション８０２を、現在動作中のセキュアアプリケーション５０２に優先して動作させるために、タスク制御モジュール１０９は、現在動作中のセキュアアプリケーション５０２に一時停止の指示を出力すると共に、次に動作させるアプリケーション名とＩＤ、識別情報等を通知する（Ｓ８０３）。

セキュアアプリケーション５０２は、タスク制御モジュール１０９より送られてきたアプリケーション名、ＩＤ及び識別情報に基づいて、そのアプリケーションがセキュアアプリケーションであるか、通常アプリケーションであるか判定する。

上述の判定処理に基づいて、セキュアアプリケーション５０２が、次の動作対象となるアプリケーションが、セキュアアプリケーション８０２であると判定した場合、セキュアアプリケーション５０２は、画像表示形成モジュール１０４及び貼り付けオブジェクト管理モジュール１０２に対して、表示の削除や網掛けやアイコン化（最少化）等の変更、オブジェクト保存メモリ１１０等に保存されているオブジェクトの削除の指示を行なわない（図９ＤのＳ９５０）。そして、貼り付けオブジェクト管理モジュール１０２に対して、登録されているオブジェクトの削除指示を行なわずに（図９ＣのＳ９５１）、待機状態に移行可能であることをタスク制御モジュール１０９に通知する（Ｓ８０４、図９ＤのＳ９５２）。

セキュアアプリケーション５０２からの通知を受けて、タスク制御モジュール１０９は、セキュアアプリケーション５０２を待機状態とし、新規に起動するセキュアアプリケーション８０２を、実行中（実行状態）のタスクに切り替える（図９ＤのＳ９５３）。

以降、ユーザは、セキュアアプリケーション８０２での操作が可能になるが、セキュアアプリケーション５０２に関する画面表示も最少化されることなく、ＣＲＴ１０７上に表示された状態としてタスク制御モジュール１０９は、セキュアアプリケーション５０２を待機させることが可能である。

実行状態から待機状態となるセキュアアプリケーション５０２と、新規に起動され実行状態になるセキュアアプリケーション８０２との間で、オブジェクト保存メモリ１１０等に保存されているオブジェクトやセキュリティ管理サーバ１１５に保存されているセキュアデータの共有が可能となり、更に、セキュアアプリケーション８０２から、セキュアアプリケーション５０２の表示画面を参照することができる。セキュアアプリケーション（５０２、８０２）同士であれば、ＣＲＴ１０７の画面内に並列して、それぞれのセキュアアプリケーションに基づく画面を表示させることが可能となるため（図１Ｅの１０７１はセキュアアプリケーション５０２の画面表示を示し、１０７２はセキュアアプリケーション８０２の画面表示を示す）、例えば、ユーザが一方の帳票画面を見ながら他方の文書を編集するといった操作が文書のセキュリティを維持したまま可能となり、ユーザの利便性を向上させることが可能になる。

ここで、１つのセキュアアプリケーション８０２が実行中、１つのセキュアアプリケーション５０２が待機中となる場合、セキュアアプリケーション５０２が待機中であっても、セキュアアプリケーション５０２の画面表示はＣＲＴ１０７上に表示されていることになるが、更に、図７で説明したように、新規に起動するアプリケーションとして、通常アプリケーションが後発的に起動される場合は、そのアプリケーション名、ＩＤに関する情報が、タスク制御モジュール１０９により、両セキュアアプリケーション５０２、８０２に通知される。

この通知を受けたセキュアアプリケーション５０２、８０２は、それぞれ、通常アプリケーションの起動の先立ち、画面表示のアイコン化（最少化）または網掛け表示等による変更（この変更は、図７のステップＳ７０４に対応する）を画像表示形成モジュール１０４に指示し、オブジェクト保存メモリ１１０に登録されているオブジェクトの削除を、貼り付けオブジェクト管理モジュール１０２に指示する（この削除は、図７のステップＳ７０５に対応する）。

そして、オブジェクト保存メモリ１１０に登録されているオブジェクトの削除指示の出力後、セキュアアプリケーション５０２、８０２は、待機状態に移行可能であることをタスク制御モジュール１０９に通知する。

セキュアアプリケーション５０２、８０２からの通知を受けて、タスク制御モジュール１０９は、セキュアアプリケーション５０２、８０２をそれぞれ待機状態とし、そして、新規に起動される通常アプリケーションを、実行中のタスクに切り替える。

ユーザは、後発的に起動された通常アプリケーションの操作が可能になるが、先に実行状態にあったセキュアアプリケーション８０２の画面及び待機状態となっていたセキュアアプリケーション５０２の画面は、網掛け処理やアイコン化（最小化）処理が施されているために参照することができない。また、オブジェクト保存メモリ１１０等に保存されていたオブジェクトは全て削除されているため、新たに起動した通常アプリケーションの画面から参照することはできないことになる。

尚、図８、図９Ｄで説明した処理は、セキュアアプリケーションを新規に起動する場合の終了処理を例として説明したが、セキュアアプリケーション５０２が待機中に移行する際、タスク管理モジュール１０９により次に実行状態に移行するプログラムとしてセキュアアプリケーション８０２が待機状態として管理されている場合であっても同様に適用することが可能である。

以上の処理により、セキュアアプリケーション５０２、８０２に基づく情報の参照、複製、印刷を防止し、セキュアデータの機密保持を確保することが可能になる。

[他の実施形態]
なお、本発明の目的は、前述した実施形態の機能を実現するソフトウェアのプログラムコードを記録した記憶媒体（または記録媒体）を、システムあるいは装置に供給し、そのシステムあるいは装置のコンピュータ（またはＣＰＵやＭＰＵ）が記憶媒体に格納されたプログラムコードを読み出し実行することによっても、達成されることは言うまでもない。

この場合、記憶媒体から読み出されたプログラムコード自体が前述した実施形態の機能を実現することになり、そのプログラムコードを記憶した記憶媒体は本発明を構成することになる。また、コンピュータが読み出したプログラムコードを実行することにより、前述した実施形態の機能が実現されるだけでなく、そのプログラムコードの指示に基づき、コンピュータ上で稼働しているオペレーティングシステム（ＯＳ）などが実際の処理の一部または全部を行ない、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。

さらに、記憶媒体から読み出されたプログラムコードが、コンピュータに挿入された機能拡張カードやコンピュータに接続された機能拡張ユニットに備わるメモリに書き込まれた後、そのプログラムコードの指示に基づき、その機能拡張カードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部または全部を行ない、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。

以上、実施形態例を詳述したが、本発明は、例えば、システム、装置、方法、プログラムもしくは記憶媒体等としての実施態様をとることが可能であり、具体的には、複数の機器から構成されるシステムに適用しても良いし、また、一つの機器からなる装置に適用しても良い。

尚、本発明は、前述した実施形態の機能を実現するソフトウェアのプログラムモジュール（図１Ｂ、図４乃至図８、図９Ａ乃至図９Ｄの処理工程に対応したプログラムモジュール）を、システムあるいは装置に直接あるいは遠隔から供給し、そのシステムあるいは装置のコンピュータが該供給されたプログラムコードを読み出して実行することによっても達成される場合を含む。

従って、本発明の機能処理をコンピュータで実現するために、該コンピュータにインストールされるプログラムコード自体も本発明を実現するものである。つまり、本発明は、本発明の機能処理を実現するためのコンピュータプログラム自体も含まれる。

その場合、プログラムの機能を有していれば、オブジェクトコード、インタプリタにより実行されるプログラム、ＯＳに供給するスクリプトデータ等の形態であっても良い。

プログラムを供給するための記録媒体としては、例えば、フロッピー（登録商標）ディスク、ハードディスク、光ディスク、光磁気ディスク、ＭＯ、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＣＤ−ＲＷ、磁気テープ、不揮発性のメモリカード、ＲＯＭ、ＤＶＤ（ＤＶＤ−ＲＯＭ，ＤＶＤ−Ｒ）などがある。

その他、プログラムの供給方法としては、ホストコンピュータのブラウザを用いてインターネットのホームページに接続し、該ホームページから本発明のコンピュータプログラムそのもの、もしくは圧縮され自動インストール機能を含むファイルをハードディスク等の記録媒体にダウンロードすることによっても供給できる。また、本発明のプログラムを構成するプログラムコードを複数のファイルに分割し、それぞれのファイルを異なるホームページからダウンロードすることによっても実現可能である。つまり、本発明の機能処理をコンピュータで実現するためのプログラムファイルを複数のユーザに対してダウンロードさせるＷＷＷサーバも、本発明に含まれるものである。

また、本発明のプログラムを暗号化してＣＤ−ＲＯＭ等の記憶媒体に格納してユーザに配布し、所定の条件をクリアしたユーザに対し、インターネットを介してホームページから暗号化を解く鍵情報をダウンロードさせ、その鍵情報を使用することにより暗号化されたプログラムを実行してコンピュータにインストールさせて実現することも可能である。

また、コンピュータが、読み出したプログラムを実行することによって、前述した実施形態の機能が実現される他、そのプログラムの指示に基づき、コンピュータ上で稼動しているＯＳなどが、実際の処理の一部または全部を行ない、その処理によっても前述した実施形態の機能が実現され得る。

さらに、記録媒体から読み出されたプログラムが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書き込まれた後、そのプログラムの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部または全部を行ない、その処理によっても前述した実施形態の機能が実現される。

本発明の実施形態にかかる文書管理装置４０のハードウエア構成を示すブロック図である。 文書管理装置上で、実行されるソフトウェアのモジュール構成を説明する図である。 グラフィックメモリに展開された、画面イメージの例を示す図である。 オブジェクト保存メモリに登録された、貼り付けオブジェクトの例を示す図である。 待機中のセキュアアプリケーションの画面表示と、実行中のセキュアアプリケーションの画面表示とが、ＣＲＴ上に並列して表示されている状態を示す図である。 プリントスクリーン機能を利用したオブジェクトの貼り付けに関する操作の手順を説明する図である。 プリントスクリーン機能を利用したオブジェクトの貼り付けに関する操作の手順を説明する図である。 （ａ）は、ＣＲＴ１０７への画面表示に関する処理工程の流れを説明する図であり、（ｂ）は、プリントスクリーン機能が実行された場合の画面イメージの保存と貼り付けに関する処理工程の流れを説明する図である。 各種アプリケーションモジュール１０１に含まれるセキュアアプリケーションの終了処理の流れを説明する図である。 セキュアアプリケーションの終了時に、待機中のアプリケーションとして、他のセキュアアプリケーションが存在した場合の処理の流れについて説明する図である。 タスク制御モジュールが管理するタスク管理テーブルを示す図である。 新規に起動されるアプリケーションが通常アプリケーションである場合、現在実行中のアプリケーションであるセキュアアプリケーションの終了処理の流れを説明する図である。 新規に起動されるアプリケーションがセキュアアプリケーション８０２である場合、現在実行中のアプリケーションであるセキュアアプリケーション５０２の終了処理の流れを説明する図である。 ソフトウエアモジュールの処理の流れを概略的に説明するフローチャートである。 ソフトウエアモジュールの処理の流れを概略的に説明するフローチャートである。 ソフトウエアモジュールの処理の流れを概略的に説明するフローチャートである。 ソフトウエアモジュールの処理の流れを概略的に説明するフローチャートである。

Claims (14)

1. サーバと通信し、機密保持プログラムにより生成された電子データの機密を管理する文書管理装置であって、
   前記機密保持プログラムが終了処理または待機処理に移行する場合に、表示手段に表示されている、前記電子データに基づく画面イメージを削除させる画面イメージ削除手段と、
   前記表示手段に表示されている画面イメージの複製として登録されているオブジェクトを削除させるオブジェクト削除手段と
   を備えることを特徴とする文書管理装置。
2. プログラムの実行、待機を管理するタスク制御手段を更に備え、当該タスク制御手段により、他の機密保持プログラムが待機中として管理されている場合、
   前記オブジェクト削除手段は、前記画面イメージの複製として登録されているオブジェクトの削除を行なわない
   ことを特徴とする請求項１に記載の文書管理装置。
3. 前記画面イメージを形成する画面表示形成手段を更に備え、
   前記タスク制御手段により、機密保持プログラム以外のプログラムが待機中または、新たに起動するプログラムとして管理されている場合、
   画面イメージ削除手段は、前記表示手段に表示されている画面イメージの変更指示を画面表示形成手段に出力し、
   前記画面表示形成手段は、前記画面イメージの変更指示に基づき、当該画面イメージの変更表示処理を行なうこと
   を特徴とする請求項１または２に記載の文書管理装置。
4. 前記タスク制御手段により、他の機密保持プログラムのプログラムが待機中または、新たに起動するプログラムとして管理されている場合、
   前記画面表示形成手段は、前記待機処理に移行する機密保持プログラムの画面イメージと、前記他の機密保持プログラムの画面イメージと、を前記表示手段に表示させること
   を特徴とする請求項１乃至３のいずれかに記載の文書管理装置。
5. 画面イメージの複製をオブジェクトとして管理するオブジェクト管理手段を更に備え、
   当該オブジェクト管理手段は、前記オブジェクト削除手段の削除指示に基づいて、前記機密保持プログラムによる前記画面イメージとして登録されているオブジェクトのみ削除すること
   を特徴とする請求項１乃至４のいずれかに記載の文書管理装置。
6. 前記画面イメージの変更表示処理には、網掛け処理、アイコン化による画面の最小化処理が含まれることを特徴とする請求項３に記載の文書管理装置。
7. サーバと通信し、機密保持プログラムにより生成された電子データの機密を管理する文書管理装置における文書管理方法であって、
   前記機密保持プログラムが終了処理または待機処理に移行する場合に、表示手段に表示されている、前記電子データに基づく画面イメージを削除させる画面イメージ削除工程と、
   前記表示手段に表示されている画面イメージの複製として登録されているオブジェクトを削除させるオブジェクト削除工程と
   を備えることを特徴とする文書管理方法。
8. プログラムの実行、待機を管理するタスク制御工程を更に備え、当該タスク制御工程により、他の機密保持プログラムが待機中として管理されている場合、
   前記オブジェクト削除工程は、前記画面イメージの複製として登録されているオブジェクトの削除を行なわない
   ことを特徴とする請求項７に記載の文書管理方法。
9. 前記画面イメージを形成する画面表示形成工程を更に備え、
   前記タスク制御工程により、機密保持プログラム以外のプログラムが待機中または、新たに起動するプログラムとして管理されている場合、
   画面イメージ削除工程は、前記表示手段に表示されている画面イメージの変更指示を画面表示形成工程に出力し、
   前記画面表示形成工程は、前記画面イメージの変更指示に基づき、当該画面イメージの変更表示処理を行なうこと
   を特徴とする請求項７または８に記載の文書管理方法。
10. 前記タスク制御手段により、他の機密保持プログラムのプログラムが待機中または、新たに起動するプログラムとして管理されている場合、
    前記画面表示形成工程は、前記待機処理に移行する機密保持プログラムの画面イメージと、前記他の機密保持プログラムの画面イメージと、を前記表示手段に表示させること
    を特徴とする請求項７乃至９のいずれかに記載の文書管理方法。
11. 画面イメージの複製をオブジェクトとして管理するオブジェクト管理工程を更に備え、
    当該オブジェクト管理工程は、前記オブジェクト削除工程の削除指示に基づいて、前記機密保持プログラムによる前記画面イメージとして登録されているオブジェクトのみ削除すること
    を特徴とする請求項７乃至１０のいずれかに記載の文書管理方法。
12. 前記画面イメージの変更表示処理には、網掛け処理、アイコン化による画面の最小化処理が含まれることを特徴とする請求項９に記載の文書管理方法。
13. 請求項７乃至１２のいずれかに記載の文書管理方法をコンピュータに実行させることを特徴とする文書管理プログラム。
14. 請求項１３に記載の文書管理プログラムを格納したことを特徴とするコンピュータ可読の記憶媒体。

Images