JP5456425B2 - コンテンツ認可装置 - Google Patents

Description

本発明は、コンテンツの外部持出しの可否を判定することを可能にする、コンテンツ認可装置に関するものである。

近年、営業秘密や個人情報を記憶したファイルが、ＵＳＢ（Universal Serial Bus）メモリ、ＣＤ（Compact Disc）等の持ち運び可能な記憶媒体（可搬媒体）にコピーされて持ち出され、可搬媒体の紛失や盗難によって情報が漏洩する事件が頻発し、社会問題にもなっている。
こうした情報漏洩を防止するために、特許文献１には、ファイルを可搬媒体にコピーする場合に、ファイルを自動的に暗号化して記憶する技術が開示されている。すなわち、暗号化して記憶することにより、可搬媒体を紛失等した場合であっても、復号鍵を知らない者は記憶された情報を見ることができず、情報漏洩の危険性を低下させることができる。
また、特許文献２には、電子メールによる情報漏洩を防止するために、クライアントＰＣ（Personal Computer）等が送信した電子メールをネットワーク上で受信し、電子メールの本文や添付ファイルを暗号化した電子メールを作成し、暗号化した電子メールを元の電子メールの送信先に送信する技術が開示されている。すなわち、暗号化することで、ネットワーク上で電子メールが傍受されても、復号鍵を知らない者は電子メールに記憶された情報を見ることができず、情報漏洩の危険性を低下させることができる。
さらに、電子メールの本文や添付ファイルに情報漏洩のリスクを推定させる所定の用語（例えば「極秘」、「個人情報」）が含まれているか等を判定することで電子メールの送信を禁止する、いわゆるメールフィルタリング技術がよく知られている。

特開２００１-２３０８０２号公報

特開２００７-２８１６２２号公報

しかしながら、特許文献１、特許文献２に開示された技術、およびメールフィルタリング技術のいずれの技術によっても、情報が漏洩する危険性は低くなるものの、意図的な情報漏洩を防止することはできない。例えば、特許文献１、特許文献２に開示された技術では、復号鍵を知っている者が職場内の秘密情報を電子メールに添付して自宅に送信し、自宅で復号化して第三者に送信するといったことを防止することはできない。また、職場内の秘密情報を自ら暗号化して電子メールに添付した場合、メールフィルタリング技術によっても、添付ファイルに情報漏洩のリスクを推定させる所定の用語が含まれているか否かを判定することができない。
従って真に求められているのは、持ち出してよいコンテンツ（ファイル等）を予め管理し、管理されていないコンテンツが持出せないようにすることである。

本発明の目的は、持出しを許可するコンテンツを管理することで、コンテンツの持出可否を判定可能な装置を提供することにある。

上記課題を解決するために、本発明に係る装置は、クライアントから持ち出そうとするコンテンツの指示を受け、当該コンテンツを暗号化したセキュアコンテンツを生成した後、当該セキュアコンテンツのハッシュデータを生成すると共に、前記持ち出そうとするコンテンツのデータ内容の一部または全部に基づいて生成したハッシュデータから成る持ち出し許可コンテンツ識別データを生成し、生成したセキュアコンテンツの前記ハッシュデータ及び前記持ち出し許可コンテンツ識別データを記憶手段の管理レコードに記憶させるセキュアコンテンツ作成手段と、
コンテンツの持ち出しを監視し、コンテンツの持ち出しを検出した場合、持ち出そうとするコンテンツのハッシュデータと一致する持ち出し許可コンテンツ識別データ及び前記セキュアコンテンツのハッシュデータのいずれかが前記記憶手段の前記管理レコードに記憶されていたならば、持ち出そうとするコンテンツについてそのセキュアコンテンツが作成済みであり、かつ持ち出しが許可されているコンテンツであると判定し、当該コンテンツの持ち出しを認可する認可手段とを備えたことを特徴とするコンテンツ認可装置。

本発明によれば、持出しを許可するコンテンツを管理することで、コンテンツの持出可否を判定可能な装置を提供することができる。

本発明に係る第１の実施形態における、コンテンツ認可システムのシステム構成図である。 第１の実施形態における、セキュアコンテンツ管理ファイルのデータ構成図である。 第１の実施形態における、クライアントが送信するメールのデータ構成図である。 第１の実施形態における、セキュアコンテンツ作成依頼手段の動作を示すフローチャートである。 第１の実施形態における、セキュアコンテンツ作成手段の動作を示すフローチャートである。 第１の実施形態における、ワークフローを使用してセキュアコンテンツを作成する際の操作を説明するフローチャートである。 第１の実施形態における、メール送受信手段のメール送信に係る動作を示すフローチャートである。 第１の実施形態における、フィルタリング手段の動作を示すフローチャートである。 第１の実施形態における、コンテンツ持出許可手段の動作を示すフローチャートである。 本発明に係る第２の実施形態における、コンテンツ認可システムのシステム構成図である。 第２の実施形態における、外部持出監視手段の動作を示すフローチャートである。 第２の実施形態における、外部持出監視手段の別の動作を示すフローチャートである。 第２の実施形態における、外部持出監視手段が表示する持出しコンテンツ確認画面の一例である。 第２の実施形態における、外部持出監視手段が表示するドライブ選択画面の一例である。 第３の実施形態における、ワークフローを使用してセキュアコンテンツを作成する際の操作等を説明するフローチャートである。

以下、本発明を実施する場合の第１の実施形態を、図面を用いて詳細に説明する。
なお、以降の説明および図面においては、電子メールを「メール」と略記する。また、以降の説明において「コンテンツ」とは、特に説明を付さない限り、文書ファイル、画像ファイル等のファイルのみならず、データベースの各レコード等も含め、閲覧、視聴、メール送受信あるいは外部記憶媒体へのコピー等の対象となりうる電子データ全てを意味する。さらに「セキュアコンテンツ」とは、コンテンツのうち、暗号化する等の方法により、容易に閲覧、視聴等できないようにしたコンテンツを意味する。

図１は、本発明に係る第１の実施形態におけるコンテンツ認可システムのシステム構成図である。
＜コンテンツ認可システムの全体的な構成および機能＞
この実施形態のコンテンツ認可システムは、コンテンツ認可サーバ１、クライアント３、フィルタリングサーバ４、メールサーバ５、ルータ６、クライアント７の各装置を、有線又は無線の通信回線により相互に通信可能に接続したシステムである。
なお、各装置は１台ずつ図示しているが、それぞれ２以上存在していても良い。また、各装置はそれぞれ１台ずつ存在する必要はなく、例えば、１台の装置が、フィルタリングサーバ４とメールサーバ５の両方の機能を備えるように構成することも可能である。さらに図１においては１台の装置が備えている複数の手段（例えばコンテンツ認可サーバ１のセキュアコンテンツ作成手段１１とコンテンツ持出認可手段１２）を別の装置上に分離して備えることもできる。

図１においては、コンテンツ認可サーバ１、クライアント３、フィルタリングサーバ４、メールサーバ５およびルータ６は、ＬＡＮ（Local Area Network）８によって互いに通信可能に接続されているが、接続方法はＬＡＮに限定されるものではなく、例えばＷＡＮ（Wide Area Network）によって接続されていてもよい。
また、図１においては、クライアント７がインターネット９によってＬＡＮ８と接続されているが、接続方法はインターネットに限定されるものではなく、例えば、クライアント７がＬＡＮ８とは別のＬＡＮに接続されており、ルータ６がこれらのＬＡＮを接続していても構わない。
以上のような構成により、クライアント３がクライアント７宛に送信したメールは、まずフィルタリングサーバ４が受信し、フィルタリングサーバ４はメールに添付されているコンテンツの送信可否をコンテンツ認可サーバ１に問い合わせた後で、受信したメールをメールサーバ５に送信し、メールサーバ５は受信したメールをルータ６経由でクライアント７に送信することができる。
すなわち、クライアント３がメール送信時に特別な処理を行うことなく、クライアント３が送信したメールに添付されたコンテンツの送信可否を自動的に判定し、送信が許されたコンテンツのみをメールの送信先に送信することができる。なお、以上の処理の過程において、クライアント３、クライアント７、フィルタリングサーバ４、メールサーバ５およびルータ６は、必要に応じて、図示していないがそれぞれが備える主記憶装置等に、送受信するメールを記憶する。

＜コンテンツ認可システムの各部の構成および機能＞
クライアント３が送信するメールに着目し、メールが送受信される順に沿って、各装置の構成・機能を説明する。
＜クライアント３の構成および機能＞
クライアント３はＰＣ（Personal Computer）等の装置であり、入力装置３５、表示装置３６、および記憶装置３７と通信可能に接続されている。入力装置３５はキーボード、マウス等の装置であり、クライアント３の操作者は入力装置３５を操作することで、クライアント３が実行するべき処理を指示することができる。
表示装置３６は液晶ディスプレイ、プリンタ等であり、クライアント３が実行した処理の結果等を表示、印刷する。
記憶装置３７は磁気ディスク等の装置であり、クライアント３に内蔵され又は外部接続される。記憶装置３７にはセキュアコンテンツ３９を含むコンテンツ３８が記憶されている。

クライアント３は図示していないがＣＰＵ（Central Processing Unit）および主記憶装置を備えており、ＣＰＵは、主記憶装置上に各種プログラム（例えば、メール送受信プログラム）をローディングし、その命令コードを実行することで各種の処理を実行する。クライアント３だけでなく、フィルタリングサーバ４、メールサーバ５、コンテンツ認可サーバ１およびクライアント７も同様である。
以上のようなプログラム実行にかかわる技術は周知であるので、各図面および以降の説明においては、プログラム実行に係る説明が煩雑になるのを避けるため、メール送受信プログラムをメール送受信手段３２というように、各種プログラムについてあたかもハードウェアが存在するかのように記載し、各手段が処理を実行するかのように記載する。なお、実際に各手段（例えばメール送受信手段３２）を電子装置または電子装置とファームウェアの組合せで構成することも可能である。

クライアント３は、セキュアコンテンツ作成依頼手段３１およびメール送受信手段３２を備えている。
セキュアコンテンツ作成依頼手段３１（セキュアコンテンツ作成依頼プログラム）は、コンテンツ認可サーバ１に対して、クライアント３の操作者が入力装置３５を使用して指定したコンテンツを暗号化等するように依頼し、暗号化等の処理が行われたセキュアコンテンツ３９を記憶装置３７に記憶する。
メール送受信手段３２は前述したようにメール送受信プログラムであり、いわゆるメーラー（電子メールクライアント）である。メール送受信手段３２は、送信メールをまずフィルタリングサーバ４に送信するように設定されている。このような設定は、例えば、メール送受信プログラムの環境設定時に、送信サーバとして、フィルタリングサーバ４のＩＰ（Internet Protocol）アドレスを設定することで可能である。
なお、コンテンツ３８は、記憶装置３７に記憶されているコンテンツ全体を総称しているに過ぎず、「コンテンツ３８」という特別なファイルやデータベースを備える必要はない。同様にセキュアコンテンツ３９は、コンテンツ認可サーバ１によって暗号化等の処理が施されたセキュアコンテンツ全体を総称しているに過ぎず、「セキュアコンテンツ３９」という特別なファイルやデータベースを備える必要はない。

＜フィルタリングサーバ４の構成および機能＞
フィルタリングサーバ４はＰＣ等の装置であり、フィルタリング手段４１を備えている。
フィルタリング手段４１は、フィルタリングプログラムであり、一般的なフィルタリングプログラムと同様に、クライアント３からメールを受信し、受信したメールの本文等に情報漏洩のリスクを推定させる所定の用語（例えば「極秘」、「個人情報」）が含まれているかどうかを判定することで当該メールの送信可否を判定し、送信可と判定したメールをメールサーバ５に送信する。
また、本発明に係るフィルタリング手段４１は、上述した機能に加えて、クライアント３から受信したメールにコンテンツが添付されているかを判定し（メールに添付されているコンテンツは、「添付ファイル」というのが一般的であるが、以下の説明では用語を「コンテンツ」に統一するために「添付コンテンツ」という。）、メールに添付されているコンテンツの送信可否をコンテンツ認可サーバ１に問い合わせ、コンテンツ認可サーバ１が送信可と回答した場合にのみ当該メールをメールサーバ５に送信する。なお、本機能については、後にフローチャートを参照しつつ詳述する。

＜メールサーバ５の構成および機能＞
メールサーバ５はＰＣ等の装置であり、メール送信手段５１を備えている。
メール送信手段５１は、メール送信プログラムであり、例えばＳＭＴＰ（Simple Mail Transfer Protocol）サーバ（プログラム）である。メール送信手段５１は、フィルタリングサーバ４から受信したメールをメールの送信先（例えばクライアント７）に送信する。
なお、このような機能を備えたメールサーバ５はよく知られているため、これ以上の説明は行わない。

＜ルータ６の構成および機能＞
ルータ６は、ＬＡＮ８に接続された装置以外に送信されるメールを、インターネット９に送信する。逆に、このような機能を備えている装置であれば良く、必ずしもルータである必要はない。
インターネット９に送信されたメールは、図示していないが各種通信装置を経由して送信先（例えばクライアント７）が受信する。

＜クライアント７の構成および機能＞
クライアント７はクライアント３と同様、ＰＣ等の装置であり、入力装置７３、表示装置７４と通信可能に接続されている。入力装置７３はキーボード、マウス等の装置であり、クライアント７の操作者は入力装置７３を操作することで、クライアント７が実行するべき処理を指示することができる。
表示装置７３は液晶ディスプレイ、プリンタ等であり、クライアント７が実行した処理の結果等を表示、印刷する。クライアント７はクライアント３と同様、メール送受信手段７１（メール送受信プログラム）を備えており、メール送受信手段７１はクライアント７を送信先とするメールを受信する。
また、クライアント７は復号化処理手段７２（復号化処理プログラム）を備えている。復号化処理手段７２は、入力装置７３から入力された復号鍵等を使用して、受信したメールに添付されている、暗号化等の処理が行われたコンテンツを復号し、復号結果を表示装置７４に表示する。

＜コンテンツ認可サーバ１の構成および機能＞
コンテンツ認可サーバ１の構成および機能については、これまでの説明の中でも触れているが、ここで構成および機能をまとめて説明する。
コンテンツ認可サーバ１はＰＣ等の装置であり、記憶装置２と通信可能に接続されている。記憶装置２は磁気ディスク等の装置であり、コンテンツ認可サーバ１に内蔵され又は外部接続される。なお、記憶装置２は、コンテンツ認可サーバ１に直接接続されている必要はない。例えば図示していないがコンテンツ認可サーバ１とは別にＬＡＮ８にファイルサーバを接続し、記憶装置２がこのファイルサーバに接続されていてもよい。記憶装置２と、図示していないがコンテンツ認可サーバ１の主記憶装置等は、コンテンツ認可サーバ１の記憶手段として機能する。
コンテンツ認可サーバ１はＰＣ等の装置であり、セキュアコンテンツ作成手段１１（セキュアコンテンツ作成プログラム）、およびコンテンツ持出認可手段１２（コンテンツ持出認可プログラム）を備えている。もちろん、セキュアコンテンツ作成手段１１を備えたサーバと、コンテンツ持出認可手段１２を備えたサーバを別の装置として構成することも可能である。

セキュアコンテンツ作成手段１１は、クライアント３のセキュアコンテンツ作成依頼手段３１から、指定コンテンツに対する暗号化等の処理要求を受信すると、指定コンテンツに暗号化等の処理を行い、暗号化等の処理が行われたセキュアコンテンツ２１を記憶装置２に記憶するとともに、セキュアコンテンツ作成依頼手段３１に暗号化等の処理が行われたセキュアコンテンツ２１を送信する。また、記憶装置２に記憶したセキュアコンテンツ２１について、ファイル名等をセキュアコンテンツ管理ファイル２２に記憶して管理する。
なお、セキュアコンテンツ２１は、セキュアコンテンツ作成手段１１によって暗号化等の処理が施されたセキュアコンテンツ全体を総称しているに過ぎず、「セキュアコンテンツ２１」という特別なファイルやデータベースを備える必要はない。
コンテンツ持出認可手段１２は、フィルタリングサーバ４のフィルタリング手段４１から、メールに添付されているコンテンツの送信可否問い合わせを受信し、セキュアコンテンツ管理ファイル２２等を参照してコンテンツの送信可否を判定し、判定結果をフィルタリング手段４１に送信する。
セキュアコンテンツ作成手段１１およびコンテンツ持出認可手段１２の機能については、後にフローチャートを参照しつつ詳述する。

＜コンテンツ認可システムの構成および機能についての補足説明＞
次に、クライアント３にメールが送信された場合を例として、各装置の構成・機能を補足説明する。
メールサーバ５にはＰＯＰ（Post Office Protocol）サーバ（プログラム）をさらに備えることもできる。あるいは、メールサーバ５とは別にＰＯＰサーバ（プログラム）を備えた装置をＬＡＮ８に接続してもよい。このようにする場合、ルータ６がインターネット９から受信したクライアント３を送信先とするメールは、メールサーバ５に送信され、メールサーバ５のＰＯＰサーバ（プログラム）は、クライアント３のメール送受信手段３２からの要求に応じて、受信したメールをクライアント３に送信する。クライアント３の操作者は、入力装置３５によりメール送受信手段３２を操作することで、表示装置３６にメールの本文等を表示させることができる。

＜セキュアコンテンツ管理ファイル２２のデータ構成・機能の説明＞
図２は、セキュアコンテンツ管理ファイル２２のデータ構成図である。
セキュアコンテンツ管理ファイル２２には、各セキュアコンテンツ２１にそれぞれ対応するセキュアコンテンツ管理レコード２２０が記憶される。すなわち、セキュアコンテンツ作成手段１１がセキュアコンテンツ２１を１つ作成するたびに、セキュアコンテンツ管理レコード２２０が１レコード作成される。従って、未だセキュアコンテンツ２１が１つも作成されていない場合には、セキュアコンテンツ管理レコード２２０は存在しない（言い方を変えれば０レコード存在する）。
セキュアコンテンツ管理レコード２２０は、日時２２１、利用者ＩＤ２２２、管理者ＩＤ２２３、コンテンツ名２２４、原本ハッシュ２２５、セキュアコンテンツハッシュ２２６、および有効／無効フラグ２２７の各データ項目から構成される。

日時２２１には、セキュアコンテンツ作成手段１１がセキュアコンテンツ２１を作成した日時が、例えば”20081014131011”（２００８年１０月１４日１３時１分１１秒）というように設定される。
利用者ＩＤ２２２には、セキュアコンテンツ２１の作成を依頼したクライアント３の操作者を識別するＩＤ（Identifier）が例えば”user1”というように設定される。
管理者ＩＤ２２３には、セキュアコンテンツ２１の作成を認可した所定の管理者を識別するＩＤが例えば”admin1”というように設定される。
コンテンツ名２２４には、セキュアコンテンツ２１を作成した際の、元のコンテンツのファイル名やデータベースのレコードＩＤ等が設定される。
原本ハッシュ２２５には、セキュアコンテンツ２１を生成した際の、元のコンテンツのデータ内容の一部または全部に基づいて生成したデータ（例えば、いわゆるハッシュ値）が設定される。コンテンツからハッシュ値を生成する方法としては、さまざまな方法が知られており、適時方法を選択すればよい。また、いわゆるハッシュ関数を使用するのでなく、例えば元のコンテンツの先頭２００バイトを格納してもよい。すなわち、同一内容のコンテンツであることをある程度の確実性で判定可能な値が設定されていればよい。

セキュアコンテンツハッシュ２２６には、作成したセキュアコンテンツ２１のデータ内容の一部または全部に基づいて生成したデータ（例えば、いわゆるハッシュ値）が設定される。原本ハッシュ２２５と同様、コンテンツからハッシュ値を生成する方法としては、さまざまな方法が知られており、適時方法を選択すればよい。また、いわゆるハッシュ関数を使用するのでなく、例えばセキュアコンテンツ２１の先頭２００バイトを格納してもよい。すなわち、同一内容のコンテンツであることをある程度の確実性で判定可能な値が設定されていればよい。
なお、以降の説明においては、いわゆるハッシュ関数を使用する場合だけでなく、前述した先頭２００バイトを使用するような場合も含め、元のコンテンツやセキュアコンテンツ２１のデータ内容の一部または全部に基づいて生成したデータを「ハッシュ値」と記載する。

後述するように、フィルタリングサーバ４のフィルタリング手段４１はメールに添付されたコンテンツからハッシュ値を生成して、コンテンツ認可サーバ１のコンテンツ持出認可手段１２に送信する。そして、コンテンツ持出認可手段１２は、いずれかのセキュアコンテンツ管理レコード２２０のセキュアコンテンツハッシュ２２６に、受信したハッシュ値と一致する値が設定されている場合には、添付コンテンツの送信を許可する。従って、セキュアコンテンツ２１からハッシュ値を生成する方法としては、いずれの方法を使用してもよいが、フィルタリング手段４１がメールに添付されたコンテンツからハッシュ値を生成する方法に合わせなければならない。
有効／無効フラグ２２７は、当該セキュアコンテンツ管理レコード２２０が有効であるかを判別するフラグであり、“有効”または“無効”を表す値が設定される（以下、この値を「有効」または「無効」と記載する。）。有効／無効フラグ２２７に無効が設定されている場合、当該セキュアコンテンツ管理レコード２２０に対応するセキュアコンテンツ２１をメールに添付することが禁止される。

＜メールのデータ構成の説明＞
図３は、クライアント３が送信するメールのデータ構成図である。
メールは、通常知られている通り、メールヘッダ３０１、本文３０２、および添付コンテンツ３０３（一般にいう「添付ファイル」である。）から構成される。添付コンテンツ３０３は添付されない場合もあるし、２以上が添付されている場合もある。

＜コンテンツ認可システムの動作＞
以上で、本発明に係る第１の実施形態におけるコンテンツ認可システムの構成および機能の説明を終了し、以下、フローチャートを参照しつつ、本発明に係る第１の実施形態におけるコンテンツ認可システムの動作を説明する。

＜セキュアコンテンツ作成に係る動作＞
図４は、セキュアコンテンツ作成依頼手段３１の動作を示すフローチャートである。
クライアント３の操作者は、入力装置３５を操作してセキュアコンテンツ作成依頼手段３１を起動する。
セキュアコンテンツ作成依頼手段３１は処理を開始すると、表示装置３６にログイン画面を表示し、クライアント３の操作者によって入力された利用者ＩＤ等をセキュアコンテンツ作成手段１１に送信し、セキュアコンテンツ作成手段１１にログインする（Ｓ４０１）。
セキュアコンテンツ作成依頼手段３１は、セキュアコンテンツ作成手段１１にログイン後、クライアント３の操作者によって処理終了が指示されるまで、以降の処理を行う（Ｓ４０２）。
セキュアコンテンツ作成依頼手段３１は、表示装置３６にコンテンツを指定するように促すメッセージを表示し（Ｓ４０３）、クライアント３の操作者によって指定されたコンテンツ３８および指定されたコンテンツ３８のコンテンツ名（ファイル名、データベースのレコードＩＤ等）を、クライアント３の操作者によって入力された利用者ＩＤとともにセキュアコンテンツ作成手段１１に送信して、セキュアコンテンツ作成手段１１にセキュアコンテンツの作成を依頼する（Ｓ４０４）。
セキュアコンテンツ作成依頼手段３１は、セキュアコンテンツ作成手段１１からセキュアコンテンツを受信すると（Ｓ４０５）、受信したセキュアコンテンツをセキュアコンテンツ３９として記憶装置３７に格納する（Ｓ４０６）。

図５は、セキュアコンテンツ作成手段１１の動作を示すフローチャートである。なお、クライアント３からのログインに係る動作は、一般的なログイン処理と変わるところがないので記載を省略している。
セキュアコンテンツ作成手段１１は、コンテンツ認可サーバ１がセキュアコンテンツ作成依頼手段３１から、セキュアコンテンツの作成依頼を受信すると起動される。
セキュアコンテンツ作成手段１１は処理を開始すると、セキュアコンテンツ作成依頼手段３１が送信した利用者ＩＤ、コンテンツおよびコンテンツ名を受信し（Ｓ５０１）、受信したコンテンツに暗号化等の処理を行うことでセキュアコンテンツを作成し、セキュアコンテンツ２１として記憶装置２に格納する（Ｓ５０２）。

次に、セキュアコンテンツ作成手段１１は、セキュアコンテンツ管理レコード２２０を作成し、セキュアコンテンツ管理ファイル２２に格納する（Ｓ５０３）。このとき、日時２２１には、セキュアコンテンツ作成手段１１がセキュアコンテンツを作成した日時を、利用者ＩＤ２２２には、受信した利用者ＩＤを、コンテンツ名２２４には、受信したコンテンツ名を、有効／無効フラグ２２７には有効を、それぞれ設定する。また、受信したコンテンツおよび作成したセキュアコンテンツから、それぞれハッシュ値を生成して、それぞれ原本ハッシュ２２５およびセキュアコンテンツハッシュ２２６に設定する。なお、管理者ＩＤ２２３には、空白値を設定する。
次に、セキュアコンテンツ作成手段１１は、作成したセキュアコンテンツをセキュアコンテンツ作成依頼手段３１に送信し（Ｓ５０４）、処理を終了する。

なお、後述するように、コンテンツの持出可否はセキュアコンテンツ管理レコード２２０を参照することで判定可能である。従って、作成したセキュアコンテンツは必ずしも記憶装置２に格納する必要はなく、セキュアコンテンツ作成依頼手段３１に送信した後に削除してもよい。情報漏洩を防止するためには、むしろその方が好ましい。作成したセキュアコンテンツを記憶装置２に格納する主な目的は、クライアント３の操作者が誤ってセキュアコンテンツ３９を削除したような場合に備えたバックアップのためである。

＜セキュアコンテンツ作成による効果＞
以上のようにしてセキュアコンテンツ２１を作成し、作成したセキュアコンテンツ２１をセキュアコンテンツ管理レコード２２０で管理することによって、以下のような効果を得ることができる。
まず、セキュアコンテンツ管理レコード２２０のセキュアコンテンツハッシュ２２６には、作成したセキュアコンテンツ２１のハッシュ値が記憶されている。このため、後述するように、クライアント３の操作者がコンテンツ３８をメールに添付して送信した場合、添付したコンテンツのハッシュ値を生成し、生成したハッシュ値がいずれかのセキュアコンテンツハッシュ２２６と一致するかを判定することで、セキュアコンテンツ２１が作成されたコンテンツであるか否かを判定することができる。そして、セキュアコンテンツ２１が作成されたコンテンツのみ、送信可とすることが可能になる。
すなわち、メールに添付可能なコンテンツはセキュアコンテンツ２１が作成されたコンテンツのみに限定されるので、逆にメールにコンテンツを添付したい場合には、セキュアコンテンツ２１を作成せざるをえない。そして、セキュアコンテンツ２１を作成すると、セキュアコンテンツ管理レコード２２０の利用者ＩＤ２２２に作成を依頼した操作者が設定される。従って、メールに添付してはならないコンテンツについてセキュアコンテンツ２１を作成すると、その履歴が残ってしまう。そのため、メールに添付してはならないコンテンツについてセキュアコンテンツ２１を作成するという行為が抑止され、コンテンツの外部持出しを効果的に制限することができる。

また、セキュアコンテンツ２１が作成されたコンテンツであるか否かの判定は、ハッシュ値（すなわちコンテンツの内容）を比較することにより行われるので、例えば、セキュアコンテンツ２１を作成した後でコンテンツ名を変更したような場合に、再度セキュアコンテンツ２１を作成する必要がない。
一方、セキュアコンテンツ２１を作成した後でコンテンツの内容を変更した場合（例えば、当初はコンテンツに含まれていなかった秘密情報を追加した場合）コンテンツ名が同一であっても、生成されるハッシュ値は変わるので、メールに添付して送信することを防止できる。
例えば、メールに添付してもよいコンテンツそのものを、コンテンツ認可サーバ１の記憶装置２に記憶しておき、メールに添付されているコンテンツと比較することで持出可否を判定することも可能である。しかしながら、この方法による場合、メールに添付してもよいコンテンツを記憶するための記憶容量が必要となり、また、コンテンツの比較に要する処理時間も長くなる。さらに、メールに添付してもよいコンテンツがまとまって記憶されることになるので、コンテンツ認可サーバ１の記憶装置２からの情報漏洩という、新たな情報漏洩リスクが生じることになる。
一方、本発明による方法では、コンテンツ認可サーバ１の記憶装置２には元のコンテンツおよびセキュアコンテンツのハッシュ値（すなわち小容量のデータ）を記憶すればよい。従って、持出可否の判定に要する処理時間も短く、また、ハッシュ値としてセキュアコンテンツの一部分、あるいはいわゆるハッシュ関数が生成する不可逆的な値を使用することで、コンテンツ認可サーバ１の記憶装置２からの情報漏洩を防止することができる。

次に、セキュアコンテンツ２１が作成されたコンテンツについてはセキュアコンテンツ管理レコード２２０が作成されるので、暗号化する等の方法により、容易に閲覧、視聴等できないようにされているコンテンツ（セキュアコンテンツ）を容易に把握することができる。
例えば、コンテンツ認可サーバ１に表示装置とセキュアコンテンツ管理レコード２２０の一覧を表示するプログラムを備えることによって、セキュアコンテンツ２１に記憶されているセキュアコンテンツのコンテンツ名２２３、作成日時２２０、利用者ＩＤ２２１等を一覧表示することができる。従って、コンテンツ認可サーバ１の操作者は、上記の一覧表示を確認することで、メール送信される可能性があるコンテンツがどのコンテンツであるかを確認することができる。

また、後述するように、有効／無効フラグ２２７が有効であるコンテンツのみをメール送信時に添付可能とし、コンテンツ認可サーバ１にセキュアコンテンツ管理レコード２２０を更新可能なプログラムを備えることによって、上記の一覧表示にメール送信してはならないコンテンツが含まれている場合、有効／無効フラグ２２７を無効に変更することで、当該コンテンツがメールに添付されて送信されることを防止することができる。あるいは、このような送信してはならないコンテンツについて頻繁にセキュアコンテンツ２１を作成している利用者ＩＤ２２２を検出して警告するといったことも可能になる。
さらに、セキュアコンテンツ管理レコード２２０が作成されるたびに、所定の管理者に作成したセキュアコンテンツ管理レコード２２０の設定内容をメール送信し、管理者の注意を喚起することも可能である。

＜セキュアコンテンツ作成の他の方法＞
以上のとおり、セキュアコンテンツ２１を作成し、作成したセキュアコンテンツ２１をセキュアコンテンツ管理レコード２２０で管理することによってさまざまな効果を得ることができる。しかしながら、これまでに説明した方法では、コンテンツ認可システムの機能上は、セキュアコンテンツ作成手段１１にログイン可能な操作者であれば、いかなるコンテンツ３８についてもセキュアコンテンツ２１を作成することが可能である。例えば、メールに添付してはならないコンテンツに対してセキュアコンテンツ２１を作成したことが管理者に知られても構わないと考える操作者の行為を防止することはできない。また、過誤により、メールに添付してはならないコンテンツに対してセキュアコンテンツ２１を作成するという行為を防止することもできない。
従って、コンテンツ認可サーバ１の操作者が、そのようなセキュアコンテンツ２１が作成されていることを見逃した場合には、送信してはならないコンテンツが送信されてしまう。
そこで、セキュアコンテンツ２１作成に係る操作について、いわゆるワークフロー化を行い、所定の管理者が承認したコンテンツのみ、セキュアコンテンツ２１の作成を可能としてもよい。
なお、以降の説明において「ワークフロー」とは、電子化された申請書や通知書をあらかじめ決められた作業手順（決裁ルート）に従い、集配信し、決裁処理を行うことを意味する。

図６は、ワークフローを使用してセキュアコンテンツ２１を作成する際の操作を説明するフローチャートである。
なお、ワークフローを使用してセキュアコンテンツ２１を作成する場合、セキュアコンテンツ作成手段１１が、ワークフロー機能を備えていてもよいし、図１に示した装置のほかにワークフローサーバを備えてもよい（以下、図６の説明において、ワークフロー機能を備えたセキュアコンテンツ作成手段１１、またはワークフロー機能を備えたワークフローサーバを「ワークフロー製品」という）。
まず、セキュアコンテンツを作成しようとするクライアント３の操作者（以下、図６の説明において「利用者」という。）は、ワークフロー製品にログイン後、コンテンツ３８のうちのいずれかのコンテンツを指定してセキュアコンテンツ作成申請を行う（Ｓ６０１）。
セキュアコンテンツ作成申請が行われると、所定の管理者（以下、図６の説明において「システム管理者」という。）が操作するクライアント３に、ワークフロー製品によって、セキュアコンテンツ作成申請が行われたという通知がなされる。

システム管理者は、ワークフロー製品によって表示装置３６に表示される利用者の利用者ＩＤが、予め作成しておいたセキュアコンテンツ作成を許可する利用者の一覧中に存在するか確認することで、利用者からのセキュアコンテンツ作成申請を許可してよいか判断する（Ｓ６０２）。
システム管理者は、当該利用者からのセキュアコンテンツ作成申請を許可してはいけないと判断した場合、ワークフロー製品に却下を指示する（Ｓ６０３でＮＯの場合）。この却下指示によって当該コンテンツについてのセキュアコンテンツ作成申請は終了する。
システム管理者は、当該利用者からのセキュアコンテンツ作成申請を許可してよいと判断した場合（Ｓ６０３でＹＥＳの場合）、利用者が申請したコンテンツの内容を表示装置３６に表示して、メールに添付して送信することを許可してよいコンテンツであるかを判断する（Ｓ６０４）。
システム管理者は、例えば営業秘密に係るコンテンツであるため許可してはいけないと判断した場合、ワークフロー製品に却下を指示する（Ｓ６０５でＮＯの場合）。この却下指示によって当該コンテンツについてのセキュアコンテンツ作成申請は終了する。

システム管理者は、許可してよいと判断した場合（Ｓ６０５でＹＥＳの場合）、セキュアコンテンツ作成手段１１に、セキュアコンテンツを作成するように指示する（Ｓ６０６）。
具体的には、例えば、ワークフロー製品に、セキュアコンテンツ作成手段１１を起動してセキュアコンテンツを作成するように指示する。そして、ワークフロー製品は、セキュアコンテンツ作成手段１１を起動し、セキュアコンテンツ作成手段１１に、セキュアコンテンツ作成申請を行った利用者の利用者ＩＤ、システム管理者の利用者ＩＤ、セキュアコンテンツ作成申請の対象となっているコンテンツおよびコンテンツ名を通知する。
この場合のセキュアコンテンツ作成手段１１の動作は図５で説明した動作と殆ど同じであるが、Ｓ５０３においてワークフロー製品から通知されたシステム管理者の利用者ＩＤをセキュアコンテンツ管理レコード２２０の管理者ＩＤ２２３に設定する点が異なる。

＜セキュアコンテンツ作成の他の方法による効果＞
以上に説明したワークフローによる方法によれば、クライアント３にセキュアコンテンツ作成依頼手段３１といった特別なプログラムを備えることなく、一般的なワークフロー製品を使用することで、セキュアコンテンツ２１を作成することができる。
また、所定の管理者が許可したコンテンツ３８のみがセキュアコンテンツ２１として作成されるので、メールに添付してはならないコンテンツに対してセキュアコンテンツ２１が作成すること、すなわち送信してはならないコンテンツが送信されてしまうことをさらに効果的に防止することができる。
ただし、所定の管理者による確認等が必要となるため、運用上の負担は増大する。従って、いずれの方法によってセキュアコンテンツを作成するかについては、送信してはならないコンテンツが送信されてしまうことによるリスクと、運用上の負担を考慮して決定すべきである。
なお、ワークフロー製品はさまざまな機能を持つものが存在している。上述したワークフローによる方法は一例に過ぎず、セキュアコンテンツ２１を作成する際の操作は、ワークフロー製品の機能に合わせて適時選択すればよい。

＜セキュアコンテンツ作成についての纏め＞
さらに、セキュアコンテンツ２１は、ワークフロー製品ではなく、その他の任意の方法で作成することができる。本質的に重要なのは、メールに添付可能なコンテンツ、より一般的にいえば外部持出しを許可するコンテンツについて、外部持出しを許可するコンテンツのデータ内容の一部または全部に基づいて生成したデータが生成されて記憶されており、従って当該データは、コンテンツ名が変更されたような場合でも、外部持出しを許可したコンテンツを識別可能なデータとして使用することができるということである。

＜メール送信に係る動作＞
図７は、メール送受信手段３２の、メール送信に係る動作を示すフローチャートである。
クライアント３の操作者は、入力装置３５を操作してメール送受信手段３２を起動する。
メール送受信手段３２は処理を開始すると、クライアント３の操作者によって処理終了が指示されるまで、以降の処理を行う（Ｓ７０１）。
メール送受信手段３２は、メールを作成する（Ｓ７０２）。具体的には、表示装置３６にメール作成画面を表示し、クライアント３の操作者によってメール作成画面に入力されたメール送信先、メール本文等を、図３に示すメールヘッダ３０１、本文３０２に設定し、クライアント３の操作者によって指定されたセキュアコンテンツ３９を添付コンテンツ３０３に設定する。
なお、メール送受信手段３２は、暗号化等の処理が施されていないコンテンツ３８を添付コンテンツ３０３に設定することもできるが、その場合は後述するように、フィルタリング手段４１が送信許可されていないコンテンツであると判断し、メール送信が中止される。
次に、メール送受信手段３２は、作成したメールをフィルタリング手段４１に送信する（Ｓ７０３）。

図８は、フィルタリング手段４１の動作を示すフローチャートである。
フィルタリング手段４１は、フィルタリングサーバ４がメール送受信手段３２からメールを受信すると起動される。
フィルタリング手段４１は処理を開始すると、メール送受信手段３２が送信したメールのメール本文３０２等に不適切な文字が含まれていないか等を判定する（Ｓ８０１）。この処理は、いわゆるメールフィルタリング処理であり、さまざまな方法が知られているので、ここでは以上の説明にとどめる。
次に、フィルタリング手段４１は添付コンテンツ３０３がメールに設定されているかを判定し（Ｓ８０２）、設定されていない場合（Ｓ８０２でＮＯの場合）は処理を終了し、設定されている場合（Ｓ８０２でＹＥＳの場合）は、以降の処理を行う。
フィルタリング手段４１は添付コンテンツ３０３のハッシュ値を生成する（Ｓ８０３）。
ここで、ハッシュ値生成方法は前述したように、セキュアコンテンツ作成手段１１がセキュアコンテンツ２１のハッシュ値を生成する方法と合わせる必要がある。すなわち同一の処理手順である必要はないが、各コンテンツについて、セキュアコンテンツ作成手段１１とフィルタリング手段４１は同一のハッシュ値を生成する必要がある。また、メールに複数の添付コンテンツ３０３が設定されている場合、全ての添付コンテンツ３０３について、それぞれハッシュ値を生成する。

フィルタリング手段４１は添付コンテンツ３０３の送信可否を判定する（Ｓ８０４）。具体的には、添付コンテンツ３０３について生成したハッシュ値をコンテンツ持出認可手段１２に送信して、添付コンテンツ３０３の送信可否を問い合わせ、コンテンツ持出認可手段１２が送信可（すなわち持出し可）と回答した場合に、添付コンテンツ３０３が送信可であると判定する。逆に、コンテンツ持出認可手段１２が送信不可（すなわち持出不可）と回答した場合に、添付コンテンツ３０３が送信不可であると判定する。なお、メールに複数の添付コンテンツ３０３が設定されている場合は、それぞれについて送信可否の問い合わせを行う。
フィルタリング手段４１は、添付コンテンツ３０３が送信可であると判定した場合（Ｓ８０５でＹＥＳの場合）、メールをメールサーバ５に送信し（Ｓ８０６）、添付コンテンツ３０３が送信不可であると判定した場合（Ｓ８０５でＮＯの場合）、メールを送信せずに処理を終了する（Ｓ８０７）。
なお、メールに複数の添付コンテンツ３０３が設定されている場合、いずれかの添付コンテンツ３０３について送信不可である場合に、メールを送信しないようにしてもよい。送信することが許されないコンテンツを添付しているということは、例えばメール本文３０２にもフィルタリング手段４１が検出できなかった不適切な文字等が存在する可能性もある。従って、このようにすることで、後述する方法に比べて、不適切なメールの送信をより効果的に防止できる。

一方、複数のコンテンツを添付し、そのうちの１つの添付コンテンツ３０３が送信不可である場合にまでメール送信を中止すると、業務に不都合が発生する可能性もある。従って、メールに複数の添付コンテンツ３０３が設定されており、いずれかの添付コンテンツ３０３について送信不可である場合には、メール送信を中止するのでなく、送信不可の添付コンテンツ３０３のみを削除してメールを送信するようにしてもよい。
さらに、メールに添付コンテンツ３０３が１つ設定されており、その添付コンテンツ３０３について送信不可である場合にも、添付コンテンツ３０３を削除してメール本文３０２は送信するようにしてもよい。このようにする場合、前述した方法に比べて、不適切なメール送信の防止という効果はやや低下するものの、業務上の不都合が発生する可能性も低くすることができる。
なお、メール送信を中止する場合、あるいは、送信不可の添付コンテンツ３０３のみを削除してメールを送信する場合、メールの送信元や、所定のシステム管理者等に、不適切なコンテンツが送信されようとしていたことを通知するメールを送信してもよい。

図９は、コンテンツ持出認可手段１２の動作を示すフローチャートである。
コンテンツ持出認可手段１２は、コンテンツ許可サーバ４がフィルタリング手段４１から、添付コンテンツ３０３についての送信可否の問い合わせを受信すると起動される。
コンテンツ持出認可手段１２は処理を開始すると、フィルタリング手段４１が送信したハッシュ値を受信し（Ｓ９０１）、セキュアコンテンツ管理レコード２２０のハッシュ値と比較する（Ｓ９０２）。具体的には、いずれかのセキュアコンテンツ管理レコード２２０のセキュアコンテンツハッシュ２２６に、受信したハッシュ値と同一の値が設定されているか否かを判定する。
コンテンツ持出認可手段１２は、上記の条件を満たし、かつ有効／無効フラグ２２７に有効が設定されているセキュアコンテンツ管理レコード２２０が存在する場合（Ｓ９０３でＹＥＳの場合）、フィルタリング手段４１に“持出し可”を送信し（Ｓ９０４）、存在しない場合は（Ｓ９０３でＮＯの場合）フィルタリング手段４１に“持出不可”を送信して（Ｓ９０５）、処理を終了する。

なお、コンテンツ持出認可手段１２が、セキュアコンテンツハッシュ２２６だけでなく、原本ハッシュ２２５を参照するようにしてもよい。
具体的には、例えばフィルタリング手段４１は、図８のＳ８０３〜Ｓ８０４において、添付コンテンツ３０３のハッシュ値を生成せずに、添付コンテンツ３０３をコンテンツ持出認可手段１２に送信する。そして、コンテンツ持出認可手段１２は、Ｓ９０１において、ハッシュ値ではなく添付コンテンツ３０３を受信して添付コンテンツ３０３からハッシュ値を生成する。そして、Ｓ９０２において、生成したハッシュ値と一致するセキュアコンテンツ管理レコード２２０が存在しない場合、添付コンテンツ３０３にセキュアコンテンツ作成手段１１と同様な暗号化等の処理を行ってハッシュ値を生成し、生成したハッシュ値と一致するセキュアコンテンツ管理レコード２２０が存在するか判定する。
このようにすることで、セキュアコンテンツ２１が作成されているコンテンツの原本（暗号化等の処理を行う前のコンテンツ）がメールに添付されている場合にも送信可とすることができる。
なお、このようにする場合には、Ｓ９０４において“持出し可”の回答に加えて、暗号化等の処理を施したセキュアコンテンツもフィルタリング手段４１に送信し、フィルタリング手段４１は添付コンテンツ３０３をコンテンツ持出認可手段１２から受信したセキュアコンテンツに置き換える必要がある。

＜一般的なコンテンツ持出制御への適用＞
第１の実施形態ではコンテンツをメールに添付する場合について、不適切なコンテンツが送信されないようにする方法を説明したが、本発明の適用範囲はメール送信に限られるものではなく、例えば、コンテンツを可搬媒体（リムーバブルメディア）にコピーする場合にも適用可能である。
図１０は、本発明に係る第２の実施形態における、コンテンツ認可システムのシステム構成図である。
第１の実施形態との相違点は、クライアント３が入力装置３５等に加えて、可搬媒体３４と通信可能に接続されていること、および、セキュアコンテンツ作成依頼手段３１等に加えて、外部持出監視手段３３（外部持出監プログラム）を備えていることである。
可搬媒体３４は例えばＵＳＢメモリ、ＤＶＤ等のメディアであり、クライアント３の操作者は入力装置３５を操作して、記憶装置３７に記憶されているコンテンツ３８を可搬媒体３４にコピーすることができる。
外部持出監視手段３３は、コンテンツ３８を可搬媒体３４にコピーしようとする際、コピー可否を判定し、コピー不可の場合にはコピー処理を中止させる。

図１１は、外部持出監視手段３３の動作を示すフローチャートである。
図示していないが、クライアント３のＯＳ（Operating System）は、コピーが行われようとしていることを検出すると、外部持出監視手段３３を起動する。なお、このような処理は通常のＯＳが備える機能によって実現することが可能である。
外部持出監視手段３３は処理を開始すると、コンテンツ３８を持ち出そうとしているか（コンテンツ持出しであるか）を判定する（Ｓ１１０１）。具体的には、コンテンツ３８のコピー先が可搬媒体３４である場合に、コンテンツ３８を持ち出そうとしていると判定する。
外部持出監視手段３３はコンテンツ持出しではないと判定した場合（Ｓ１１０１でＮＯの場合）は処理を終了し、その結果、コピー処理が続行される。一方、外部持出監視手段３３はコンテンツ持出しであると判定した場合（Ｓ１１０１でＹＥＳの場合）は、以降の処理を行う。
外部持出監視手段３３は持ち出そうとしているコンテンツ３８のハッシュ値を生成する（Ｓ１１０２）。ここで、ハッシュ値生成方法は、セキュアコンテンツ作成手段１１がセキュアコンテンツ２１のハッシュ値を生成する方法と合わせる必要がある。すなわち同一の処理手順である必要はないが、各コンテンツについて、セキュアコンテンツ作成手段１１と外部持出監視手段３３は同一のハッシュ値を生成する必要がある。

外部持出監視手段３３はコンテンツ３８の持出可否を判定する（Ｓ１１０３）。具体的には、持ち出そうとしているコンテンツ３８について生成したハッシュ値をコンテンツ持出認可手段１２に送信して、持出可否を問い合わせ、コンテンツ持出認可手段１２が持出し可と回答した場合に、持ち出そうとしているコンテンツ３８が持出し可であると判定する。逆に、コンテンツ持出認可手段１２が持出不可と回答した場合に、持出不可であると判定する。
外部持出監視手段３３は、持ち出そうとしているコンテンツ３８が持出し可であると判定した場合（Ｓ１１０４でＹＥＳの場合）は処理を終了し、その結果、コピー処理が続行される。一方、外部持出監視手段３３は、持ち出そうとしているコンテンツ３８が持出不可であると判定した場合（Ｓ１１０４でＮＯの場合）、可搬媒体３４へのコピーによる持出しを中止させて（Ｓ１１０５）処理を終了する。
なお、可搬媒体３４へのコピーにおいても、メール送信と同様に、セキュアコンテンツ２１が作成されているコンテンツの原本（暗号化等の処理を行う前のコンテンツ）を持ち出そうとした場合、コピーしようとしているコンテンツからセキュアコンテンツを作成して、作成したセキュアコンテンツをコピーすることも可能である。

以上に説明したとおり、各コンテンツがコピーされようとしていることを外部持出監視手段３３が検出することで、可搬媒体３４への持出可否を制御することができる。例えばＰＣにＵＳＢメモリを装着し、ＰＣのハードディスクに記憶されたファイルを一つ一つＵＳＢメモリにコピー操作するような場合には、コピー操作を行うたびに持出可否が制御される。従って、コピー操作を行った利用者は自分がコピーしようとしたファイルの持出しが許されているか否かを知ることができる。
しかしながら、上記の例においても、利用者が複数のファイルを纏めてＵＳＢメモリにコピー操作するような場合がある。このとき、コピー操作しようとしているファイルに持出しが許されていないファイルが含まれている場合、外部持出監視手段３３は次のいずれかの動作を行うべきである。
（１）持出しが許可されているファイルも含め、全てのファイルについてコピー処理を中止させる。
（２）持出しが許可されているファイルだけコピー処理を続行させる。
ここで上記のどちらの動作を行う場合にも、利用者が持出しの認可を得るために、持出しが許されていないファイルがどのファイルであるか、利用者に知らせる必要がある。そして、持ち出そうとしているファイルの持出可否は、コピー操作のできるだけ早い段階で利用者に知らせる方が好ましい。

以下、利用者にコンテンツ毎の持出可否表示を行う場合の外部持出監視手段３３の動作を説明する。
図１２は、この場合の外部持出監視手段３３の動作を示すフローチャートである。
外部持出監視手段３３はクライアント３の起動時に起動され、表示装置３６にコンテンツ持出し仮想フォルダを表示する（Ｓ１２０１）。
コンテンツ持出し仮想フォルダは、例えば図１３のＤ１３０２に示すように、表示装置３６のいわゆるデスクトップ（Ｄ１３０１）上に、あたかもフォルダであるかのように表示される。実際には、記憶装置３７にコンテンツ持出し仮想フォルダは記憶されておらず、利用者がマウスのドラッグ操作等によってコンテンツのコピー操作を行うことができるようにするために表示している仮想のフォルダである。
なお、図１３にはデスクトップ（Ｄ１３０１）上にコンテンツ持出し仮想フォルダを表示する例を示しているが、例えばデスクトップ（Ｄ１３０１）上に表示された論理ドライブ（図示していない）をダブルクリックしたときに、論理ドライブに含まれるフォルダのツリー表示中に表示しても良い。

外部持出監視手段３３は、利用者が持出し対象コンテンツを指定するまで待ち続ける（Ｓ１２０２でＮＯの場合）。例えば利用者がマウス（入力装置３５）を操作して、１以上のコンテンツ３８を選択し、選択したコンテンツ３８をコンテンツ持出し仮想フォルダにドラッグした場合、外部持出監視手段３３は、利用者が持出し対象コンテンツを指定したと判断する。
外部持出監視手段３３は、利用者が持出し対象コンテンツを指定したと判断すると（Ｓ１２０２でＹＥＳの場合）、各コンテンツ３８の持出可否を判定して、持出しコンテンツ確認画面を表示する（Ｓ１２０３）。
コンテンツ３８の持出可否の判定方法は図１１で説明したとおりであり、持出し対象として指定されたコンテンツ（例えばコンテンツ持出し仮想フォルダにドラッグされたコンテンツ）全てについて、持出可否の判定を行う。

図１３に、このとき外部持出監視手段３３が表示する持出しコンテンツ確認画面の一例（Ｄ１３０３）を示す。
持出しコンテンツ確認画面（Ｄ１３０３）には、持出し対象として指定されたコンテンツの名称（Ｄ１３０５）が絶対パス表記によって表示され、各コンテンツについての持出し可否が、○（持出し可）または×（持出し不可）の記号（Ｄ１３０４）によって表示される。
これらの表示より、利用者は自分が持ち出そうとしているコンテンツの持出し可否を一目で知ることができる。さらに利用者は、表示されているコンテンツの名称（Ｄ１３０５）部分をマウスでクリックする等の操作により、持出し可と表示されているコンテンツのうち１以上のものを持出し対象として指定することができる。
また、持出しコンテンツ確認画面には「ＯＫ」（Ｄ１３０６）および「キャンセル」（Ｄ１３０７）のボタンが表示され、利用者はいずれかのボタンをマウスでクリックすることで、持出し操作を続行するか、中止するかを選択することができる。

外部持出監視手段３３は、持出しコンテンツ確認画面の「ＯＫ」または「キャンセル」のボタンがクリックされるまで待ち続ける（Ｓ１２０４でＮＯの場合）。そして図示していないが「キャンセル」ボタン（Ｄ１３０７）がクリックされると、持出し操作の中止が指示されたと判断し、持出しコンテンツ確認画面を閉じて（デスクトップ（Ｄ１３０１）から消去して）、再び、利用者が持出し対象コンテンツを指定するまで待ち続ける（Ｓ１２０２）。
一方、「ＯＫ」ボタン（Ｄ１３０６）がクリックされると、持出し操作の続行が指示されたと判断し、デスクトップ（Ｄ１３０１）上にドライブ選択画面を表示する（Ｓ１２０５）。なお、以降の処理では、前述したように、コンテンツの名称（Ｄ１３０５）部分をマウスでクリックする等の操作により選択されたコンテンツを、持出し対象コンテンツとする。

図１４に、外部持出監視手段３３が表示するドライブ選択画面（Ｄ１４０１）の一例を示す。
ドライブ選択画面（Ｄ１４０１）には、クライアント３がアクセス可能な論理ドライブのうち、可搬媒体に割り付けられている論理ドライブ名の一覧（Ｄ１４０２）が表示される。
利用者は、表示されている論理ドライブ名部分のいずれか一つをマウスでクリックする等の操作により、持出し対象コンテンツをコピーすべき可搬媒体を指定することができる。
また、ドライブ選択画面には「ＯＫ」（Ｄ１４０３）および「キャンセル」（Ｄ１４０４）のボタンが表示され、利用者はいずれかのボタンをマウスでクリックすることで、持出し操作を続行するか、中止するかを選択することができる。

外部持出監視手段３３は、ドライブ選択画面の「ＯＫ」または「キャンセル」のボタンがクリックされるまで待ち続ける（Ｓ１２０６でＮＯの場合）。そして図示していないが「キャンセル」ボタン（Ｄ１４０４）がクリックされると、持出し対象コンテンツの再選択が指示されたと判断し、ドライブ選択画面を閉じて（デスクトップ（Ｄ１３０１）から消去して）、再び、持出しコンテンツ確認画面の「ＯＫ」または「キャンセル」のボタンがクリックされるまで待ち続ける（Ｓ１２０４）。
一方、「ＯＫ」ボタン（Ｄ１４０３）がクリックされると、持出し操作の続行が指示されたと判断し、以降の処理を行う（Ｓ１２０６でＹＥＳの場合）。

次に、外部持出監視手段３３は、持出し対象コンテンツの各々について内容の改竄が行われていないか判定する（Ｓ１２０７）。というのは、例えば、営業秘密等を含まないコンテンツを作成して記憶装置３７に記憶し、当該コンテンツについて持出しの認可を受け、コンテンツ持出し仮想フォルダにドラッグして、コンテンツ確認画面に持出し可として表示させた後で、当該コンテンツに営業秘密等を追記することが可能であり、コンテンツ確認画面を表示した後で上記のように改竄されたコンテンツの持出しを防止する必要があるためである。
具体的には、外部持出監視手段３３は、コンテンツの持出可否の判定（Ｓ１２０３）を行う際に計算した各コンテンツのハッシュ値を記憶しておき、ドライブ選択画面の「ＯＫ」ボタンがクリックされた後で、持出し対象コンテンツのハッシュ値を再度計算し、予め記憶しておいたハッシュ値と一致するかどうか判定する。
そして、ハッシュ値が一致する場合は持出し対象コンテンツの内容が改竄されていないと判断して（Ｓ１２０７でＮＯの場合）、対象コンテンツを選択した論理ドライブに対応する可搬媒体にコピーする（Ｓ１２０８）。

一方、ハッシュ値が一致しない場合は持出し対象コンテンツの内容が改竄されたと判断して（Ｓ１２０７でＹＥＳの場合）、デスクトップ上にエラー画面を表示する（Ｓ１２０８）。
なお、コンテンツ確認画面を表示後、ドライブ選択画面の「ＯＫ」ボタンをクリックするまでの時間が長くなるほど、上述した改竄の危険性は高まる。また、コンテンツ確認画面を表示後、長時間が経過すると、その間に持出し認可が無効にされるということもありえる。
そこで、外部持出監視手段３３がコンテンツ確認画面を表示後の経過時間を判定し、所定時間（例えば１５分）が経過してもドライブ選択画面の「ＯＫ」ボタンがクリックされない場合、コンテンツ確認画面およびドライブ選択画面を閉じて、再び、利用者が持出し対象コンテンツを指定するまで待ち続ける（Ｓ１２０２）ようにしても良い。

以上、コンテンツ３８をメールに添付して送信する、あるいは可搬媒体にコピーする場合について説明したが、例えばコンテンツ３８をＷＥＢサーバにアップロードする場合にも、持出し許可されたコンテンツのみをアップロード可能にすることもできる。
具体的には、例えば、クライアント３にファイル転送手段を備え、当該ファイル転送手段がメール送信時と同様にＷＥＢサーバへのアップロード時に、コンテンツ３８の持出し可否を判定すればよい。

ところで、これまで説明した各処理においては、コンテンツの同一性を判定する場合に、ハッシュ値を比較している（例えば、図９のＳ９０２の処理）。ハッシュ値が異なればコンテンツが同一であることはありえず、また、一般にはハッシュ値が同一であればコンテンツの内容が同一であると考えてよいからである。しかしながら、今後、ますます記憶装置の容量が増加し、記憶装置に記憶されるコンテンツの数も増大するはずであり、異なる内容のコンテンツに対して同一のハッシュ値が計算されることも現実に発生する可能性がある。
そこで、コンテンツの同一性を判定する場合に、ハッシュ値を比較するだけでなく、コンテンツのサイズ（バイト数等）を比較しても良い。具体的には、ハッシュ値とサイズの両方が一致した場合に同一のコンテンツと判定し、いずれかが異なれば異なるコンテンツと判定すればよい。このようにすることで、コンテンツの同一性の判断をより正確に行うことが可能になる。

ところで、既に図６を用いて説明したように、第１の実施形態及び第２の実施形態の実施形態において、セキュアコンテンツ２１を作成する際にワークフローを使用することができる。そして、図６を使用して説明したワークフローにおいては、セキュアコンテンツを作成しようとするクライアント３の操作者によってセキュアコンテンツ作成申請が行われると（図６のＳ６０１）、所定の管理者が操作するクライアント３に、ワークフロー製品によって、セキュアコンテンツ作成申請が行われたという通知がなされるものの、セキュアコンテンツ作成申請を許可するか否かの判断は当該管理者に委ねられている。このため、セキュアコンテンツ作成申請を行った操作者が誰であるかに拘わらず、またコンテンツの機密性の程度に拘わらず、全て当該管理者が申請者やコンテンツの内容を確認してセキュアコンテンツ作成申請を許可するか否かを判断して（図６のＳ６０２、Ｓ６０４）、ワークフロー製品に許可又は却下の指示を行わなければならない。
このため、セキュアコンテンツ作成申請の許可又は却下を行う管理者の負担は大きくなる。例えば、企業における重要な決定等を行うような機密度の高いコンテンツを日常取り扱っている部署であれば、このように管理者の負荷を大きくしてでも情報漏洩の危険性を低減させる必要がある。一方、さほど気密度の高いコンテンツが存在しないような部署においては、管理者の負担をできるだけ小さくする工夫が必要となる。
そのための一方法として、図６を使用して説明したワークフローの一部を変更し、セキュアコンテンツ作成申請を許可するか否かの判断の一部をフィルタリングサーバ４で行うことが可能である。

以下、このようなワークフローを使用する第３の実施形態について説明する。
なお、第３の実施形態は、以下に説明する構成、機能等を除けば、第１の実施形態又は第２の実施形態と同じである。
図１５は、ワークフローを利用して自動判定機能を利用してセキュアコンテンツ２１を作成する際の操作及び各手段の動作を説明するフローチャートである。
本ワークフローにおいては、フィルタリングサーバ４のフィルタリング手段４１を利用して、セキュアコンテンツ２１を作成する場合に自動判定することができる。
なお、フィルタリング手段４１を利用してセキュアコンテンツ２１の作成を自動判定する場合、コンテンツ認可サーバ１がフィルタリング手段を備えていてもよい。
まず、セキュアコンテンツを作成しようとするクライアント３の操作者（以下、図１５の説明において「利用者」という。）は、ワークフロー製品にログイン後、コンテンツ３８のうちのいずれかのコンテンツを指定してセキュアコンテンツ作成申請を行う（Ｓ１５０１）。
ワークフロー製品は、予め作成されている自動判定でのセキュアコンテンツ作成を許可する利用者の一覧中に存在するか確認することで、利用者からのセキュアコンテンツ作成申請を許可してよいか判断する（Ｓ１５０２）。
なお、自動判定でのセキュアコンテンツ作成を許可する利用者の一覧は、図示していないが、例えば、当該ワークフロー製品が動作するサーバに接続されている記憶装置に、セキュアコンテンツ作成を許可する利用者の一覧ファイルを記憶しておき、利用者ごとに自動判定でのセキュアコンテンツ作成を許可するか否かのフラグを設ければよい。
自動判定でのセキュアコンテンツ作成を許可されていない利用者の場合、ワークフロー製品は自動判定での申請を却下し（Ｓ１５０３でＮＯの場合）、所定の管理者（以下、図１５の説明において「システム管理者」という。）が操作するクライアント３に、ワークフロー製品によって、セキュアコンテンツ作成申請が行われたという通知がなされる。

システム管理者は、ワークフロー製品によって表示装置３６に表示される利用者の利用者ＩＤが、予め作成しておいたセキュアコンテンツ作成を許可する利用者の一覧中に存在するか確認することで、利用者からのセキュアコンテンツ作成申請を許可してよいか判断する（Ｓ１５０８）。
システム管理者は、当該利用者からのセキュアコンテンツ作成申請を許可してはいけないと判断した場合、ワークフロー製品に却下を指示する（Ｓ１５０９でＮＯの場合）。この却下指示によって当該コンテンツについてのセキュアコンテンツ作成申請は終了する。
システム管理者は、当該利用者からのセキュアコンテンツ作成申請を許可してよいと判断した場合（Ｓ１５０９でＹＥＳの場合）、利用者が申請したコンテンツの内容を表示装置３６に表示して、メールに添付して送信することを許可してよいコンテンツであるかを判断する（Ｓ１５１０）。
システム管理者は、例えば営業秘密に係るコンテンツであるため許可してはいけないと判断した場合、ワークフロー製品に却下を指示する（Ｓ１５１１でＮＯの場合）。この却下指示によって当該コンテンツについてのセキュアコンテンツ作成申請は終了する。

自動判定でのセキュアコンテンツ作成を許可されている利用者の場合（Ｓ１５０３でＹＥＳの場合）、自動判定でのセキュアコンテンツ作成を継続するワークフローをランダムに選出する（Ｓ１５０４）。ランダムに選出される確率やユーザは予め指定し、変更することもできる。さらに、例えばランダム選出対象外と設定したユーザでも定期的に監査対象に含める、一時的にランダム選出対象から外したユーザの設定を元に戻し忘れることを防ぐため、ユーザ毎に指定期間経過すると自動的にランダム選出対象に強制する機能や、確率を強制的に変更する有効期間も備えている。
なお、ランダムに選出する確率や、予め指定された対象ユーザの一覧、有効期間は図示していないが、例えば当該ワークフロー製品が動作するサーバに接続されている記憶装置に、ランダム選出の対象者一覧ファイルと選出確率、期限を設定したファイルを記憶しておき、利用者ごとにランダム選出対象とするか否かのフラグと選出確率、有効期間を設ければよい。

選出対象となった場合（Ｓ１５０５でＹＥＳの場合）、システム管理者に通知され、システム管理者が利用者の確認を行う上述のフロー（Ｓ１５０８）に移る。
選出対象から外れた場合（Ｓ１５０５でＮＯの場合）、フィルタリングサーバ４のフィルタリング手段４１によってコンテンツの解析を行う（Ｓ１５０６）。
フィルタリングサーバ４のフィルタリング手段４１によって、例えば営業秘密に係るコンテンツを含んでいると判定された場合（Ｓ１５０７でＮＯの場合）、システム管理者に通知され、システム管理者が利用者の確認を行う上述のフロー（Ｓ１５０８）に移る。
フィルタリングサーバ４のフィルタリング手段４１で検出される要素をコンテンツに含んでいない場合（Ｓ１５０７でＹＥＳの場合）、セキュアコンテンツ作成手段１１に、セキュアコンテンツを作成するように指示する。

以上に説明した自動判定でのセキュアコンテンツ作成フローにより、予め許可された利用者は、フィルタリング手段で検出される要素を含まないコンテンツであれば、システム管理者による判断なしにセキュアコンテンツを作成することができ、利用者の待ち時間を短縮、またシステム管理者の負荷を軽減することができる。
さらに、予め指定された確率の範囲内で自動判定でのセキュアコンテンツ作成フローをランダムにシステム管理者による確認へ強制することで、自動判定でのセキュアコンテンツ作成フローの利用を許可された利用者への牽制や、フィルタリングサーバ４のフィルタリング手段の穴を検知する効果が期待できる。

＜まとめ＞
クライアント３の操作者がコンテンツ３８をメールに添付して送信する、あるいは可搬媒体にコピーする等、外部へのコンテンツ持出しを行おうとした場合、セキュアコンテンツ２１が作成されたコンテンツのみ、持出し可とすることが可能になる。すなわち、コンテンツの外部持出しを効果的に制限することができる。
また、セキュアコンテンツ管理レコード２２０を参照することで、外部持出可能なセキュアコンテンツを容易に把握することができるとともに、セキュアコンテンツ２１が作成された後であっても外部持出しを禁止することもできる。

１…コンテンツ認可サーバ、２…記憶装置、３…クライアント、４…フィルタリングサーバ、５…メールサーバ、６…ルータ、７…クライアント、８…ＬＡＮ、９…インターネット、１１…セキュアコンテンツ作成手段、１２…コンテンツ持出認可手段、２１…セキュアコンテンツ、２２…セキュアコンテンツ管理ファイル、３１…セキュアコンテンツ作成依頼手段、３２…メール送受信手段、３３…外部持出監視手段、３４…可搬媒体、３５…入力装置、３６…表示装置、３７…記憶装置、３８…コンテンツ、３９…セキュアコンテンツ、４１…フィルタリング手段、５１…メール送信手段、７１…メール送受信手段、７２…復号化処理手段、７３…入力装置、７４…表示装置。

Claims (6)

1. クライアントから持ち出そうとするコンテンツの指示を受け、当該コンテンツを暗号化したセキュアコンテンツを生成した後、当該セキュアコンテンツのハッシュデータを生成すると共に、前記持ち出そうとするコンテンツのデータ内容の一部または全部に基づいて生成したハッシュデータから成る持ち出し許可コンテンツ識別データを生成し、生成したセキュアコンテンツの前記ハッシュデータ及び前記持ち出し許可コンテンツ識別データを記憶手段の管理レコードに記憶させるセキュアコンテンツ作成手段と、
   コンテンツの持ち出しを監視し、コンテンツの持ち出しを検出した場合、持ち出そうとするコンテンツのハッシュデータと一致する持ち出し許可コンテンツ識別データ及び前記セキュアコンテンツのハッシュデータのいずれかが前記記憶手段の前記管理レコードに記憶されていたならば、持ち出そうとするコンテンツについてそのセキュアコンテンツが作成済みであり、かつ持ち出しが許可されているコンテンツであると判定し、当該コンテンツの持ち出しを認可する認可手段とを備えたことを特徴とするコンテンツ認可装置。
2. 前記認可手段は、複数のコンテンツの持ち出しを検出した場合、それぞれのコンテンツの持ち出しが可能かどうかを判定し、いずれかのコンテンツが持ち出し不可であると判定した場合、全てのコンテンツの持ち出しを不許可とすることを特徴とする請求項１に記載のコンテンツ認可装置。
3. 前記認可手段は、複数のコンテンツの持ち出しを検出した場合、それぞれのコンテンツの持ち出しが可能かどうかを判定し、いずれかのコンテンツが持ち出し不可であると判定した場合、持ち出し不可のコンテンツを削除して持ち出しを認可することを特徴とする請求項１に記載のコンテンツ認可装置。
4. 前記認可手段は、メールに添付する形式で複数のコンテンツの持ち出しを検出した場合、それぞれのコンテンツの持ち出しが可能かどうかを判定し、いずれのコンテンツについても持ち出し不可であると判定した場合、持ち出し不可のコンテンツを削除し、メール本文の送信を認可することを特徴とする請求項１に記載のコンテンツ認可装置。
5. 前記認可手段は、持ち出そうとするコンテンツのハッシュデータである前記持ち出し許可コンテンツ識別データに加え、当該コンテンツのデータサイズを参照し、コンテンツの異同を判定することを特徴とする請求項１に記載のコンテンツ認可装置。
6. 前記コンテンツの持ち出し先が、クライアントに接続した外部記憶媒体またはウェブサーバであることを特徴とする請求項１〜５のいずれかに記載のコンテンツ認可装置。

Images