JP2004288083A

JP2004288083A - データ不正流出防止プログラムおよびデータ不正流出防止装置

Info

Publication number: JP2004288083A
Application number: JP2003081773A
Authority: JP
Inventors: Takeshi Iizuka; 健飯塚
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2003-03-25
Filing date: 2003-03-25
Publication date: 2004-10-14

Abstract

【課題】複写元において複写データの管理を行なう。
【解決手段】セキュリティ管理対象の電子データの複写を行なう際、原本データ記憶部１１に格納された対象のデータを読み出すと、複写データの有効期限を含む複写管理情報を生成し、原本データおよび原本データをコピーした複写データの双方に付加する（ステップＳ１）。次に、複写管理情報を参照し、複写データの有効期限内に複写先装置２０からコピーバックされたかどうかを監視し、データの不正持ち出しを検出する（ステップＳ２）。そして、コピーバックの予定日が過ぎてもコピーバックがなく、データの不正持ち出しと判定された場合、セキュリティ管理を行なっている管理者に判定結果を報知する（ステップＳ３）。
【選択図】図１

Description

【０００１】
【発明の属する技術分野】
本発明はデータ不正流出防止プログラムおよびデータ不正流出防止装置に関し、特にセキュリティ管理対象の電子データが不正に持ち出されることを防止するためのデータ不正流出防止プログラムおよびデータ不正流出防止装置に関する。
【０００２】
【従来の技術】
近年、モバイル・コンピューティングの発達により、携帯電話やＰＨＳとノート・パソコンやＰＤＡ（携帯情報端末）を使って、外出先から社内のシステムに接続して内部データを利用するといった電子データ（以下、単にデータとする）の利用方法が増えてきている。また、社外から接続しない場合でも、持ち運び可能なノート・パソコンやＰＤＡに社内システムのデータをコピーし、場所を移動したり、外部に持ち出したりするケースが増えてきている。
【０００３】
セキュリティを管理する管理者にとって、設置場所や使用者が特定される社内端末装置と異なり、外部からの接続によるデータの持ち出しや、設置場所が特定されない携帯機器にコピーされたデータを管理することは容易ではなく、データの不正流出が懸念されている。
【０００４】
このため、従来、データの不正流出防止を目的として、例えば、データの複写先データに複写管理情報を持たせ、有効期限経過後に再生を無効としたり、複写先のデータ自体を削除したりする仕組みがある（例えば、特許文献１参照）。
【０００５】
【特許文献１】
特開２０００−５００３２号公報（第８頁―第９頁、第８図）
【０００６】
【発明が解決しようとする課題】
しかし、従来、電子データの複写元で複写先の複写状況を管理することができないという問題がある。
【０００７】
従来のデータの不正流出防止方法は、複写先の複写データに複写管理情報を持たせ、複写データの有効期限チェック等の複写データ管理は、複写先において行なう仕組みであった。このため、複写元では複写管理情報を保持しておらず、複写元において複写データの管理を行なうことはできなかった。
【０００８】
このように、複写元において複写状況を管理することができないため、データが不正に持ち出されたことを検出することができず、結果として、複写元においてデータの不正流出を防止することができないという問題があった。
【０００９】
本発明はこのような点に鑑みてなされたものであり、複写元において複写データの管理を可能とし、データの不正流出を防止するデータ不正流出防止プログラムおよびデータ不正流出防止装置を提供することを目的とする。
【００１０】
【課題を解決するための手段】
本発明では上記課題を解決するために、図１に示すような処理をコンピュータに実行させるためのデータ不正流出防止プログラムが提供される。本発明に係るデータ不正流出防止プログラムは、セキュリティ管理対象の電子データの監視を行なうデータ不正流出防止装置１０に適用される。データ不正流出防止プログラムは、コンピュータに、以下の処理を実行させることができる。
【００１１】
コンピュータは、管理対象の電子データの複写要求があった場合、複写する電子データを原本データ記憶部１１より読み出し、この電子データの複写データの有効期限を含む複写管理情報を生成し、複写データに付加して複写先装置２０に送るとともに、複写元の原本データにも同じ情報を付加して原本データ記憶部１１に格納する（ステップＳ１）。次に、原本データ記憶部１１に格納された複写元データの複写管理情報に設定された有効期限を読み出し、有効期限内に複写先装置２０から複写データが戻ってきたかどうか（コピーバック）を監視することによって、データの不正持ち出しを検出する（ステップＳ２）。有効期限内にコピーバックがされなかった場合、データの不正持ち出しがあったと判定される。そして、データの不正持ち出しが検出された場合、これを管理者に報知する（ステップＳ３）。
【００１２】
このようなデータ不正流出防止プログラムをコンピュータで実行させると、管理対象の電子データを複写する場合、この電子データの複写データの有効期限を含む複写管理情報が生成され、複写元の原本データと複写先データの双方に付加される。データ不正流出防止装置１０では、生成された複写管理情報を参照し、有効期限内に複写先装置２０から複写データが戻ってくるかどうかを監視する。有効期限内に複写先装置２０から複写データがコピーバックされなかった場合、データの不正持ち出しがあったと判定され、これが報知される。このように、複写元のデータ不正流出防止装置１０は、複写時に生成される複写管理情報に基づいて複写データの不正流出の監視を行なうことができる。
【００１３】
また、上記課題を解決するために、電子データの複写の際に、前記電子データの複写データの有効期限を含む複写管理情報を生成し、複写元の複写元データおよび複写先へ送る前記複写データに付加する複写管理情報付加手段と、前記複写先から前記複写データが戻ってきた場合に前記複写元データ記憶手段に記憶されている前記複写元データを更新するとともに、前記有効期限が経過しても前記複写先から前記複写データが戻ってこない場合に不正持ち出しと判定する不正持ち出し検出手段と、不正持ち出しが検出された場合に管理者に報知する報知手段と、を具備することを特徴とするデータ不正流出防止装置、が提供される。
【００１４】
このような不正流出防止装置では、管理情報付加手段は、管理対象の電子データを複写する際、複写データの有効期限を含む複写管理情報を複写元の原本データおよび複写先データの双方に付加する。複写管理情報が付加された複写元の原本データは、複写元データが記憶された原本データ記憶部１１に格納される。不正持ち出し検出手段は、複写データが複写先から戻ってくるかどうかを監視し、戻ってきた場合に原本データ記憶部１１に格納されている複写元の原本データを更新する。さらに、有効期限までに戻らなかった複写データを検出した場合、不正持ち出しと判定し、報知手段によって管理者に報知する。
【００１５】
【発明の実施の形態】
以下、本発明の実施の形態を図面を参照して説明する。まず、実施の形態に適用される発明の概念について説明し、その後、実施の形態の具体的な内容を説明する。
【００１６】
図１は、本発明の実施の形態に適用される発明の概念図である。本発明に係るデータ不正流出防止プログラムは、コンピュータに以下の処理を実行させることができ、このときコンピュータは、セキュリティ管理対象の電子データの持ち出しを監視し、不正流出を防止するデータ不正流出防止装置１０として機能する。
【００１７】
本発明にかかるデータ不正流出防止装置１０は、セキュリティ管理対象の電子データの複写を行なう際、原本データ記憶部１１に格納された対象のデータを読み出すと、複写データの有効期限を含む複写管理情報を生成し、原本データおよび原本データをコピーした複写データの双方に複写管理情報を付加する（ステップＳ１）。複写管理情報が付加された複写元の原本データは原本データ記憶部１１に格納され、同様に複写管理情報が付加された複写先の複写データは、複写先装置２０に送られる。
【００１８】
ここで、複写管理情報に設定されている有効期限は、例えば、複写データを複写元に戻す予定日であり、複写データを利用する利用者等によって設定される。このように、原本データより作成された複写データを作成後、複写データを原本データに戻す操作をコピーバックと呼ぶ。複写データを利用する利用者は、コピーバック予定日までに複写データを原本データに戻さなければならないとする。
【００１９】
次に、原本データ記憶部１１に格納されている複写元の原本データにも付加された複写管理情報を参照し、複写データのコピーバック予定日までに複写先装置２０からコピーバックされたかどうかを監視し、データの不正持ち出しを検出する（ステップＳ２）。予定日までにコピーバックがあれば、データの不正持ち出しは行なわれなかったと判定し、必要に応じてコピーバックされた複写データの内容を原本データに反映する等の更新処理を行なう。また、コピーバックがなく予定日が過ぎた場合、データの不正持ち出しが行なわれたと判定する。
【００２０】
次に、コピーバックの予定日が過ぎてもコピーバックがなく、データの不正持ち出しと判定された場合、セキュリティ管理を行なっている管理者に判定結果を報知する（ステップＳ３）。
【００２１】
以上の処理により、原本データを保有・管理するデータ不正流出防止装置１０では、セキュリティ管理対象のデータを複写先装置２０に複写する際に複写データおよび原本データに付加される複写管理情報に基づいて、複写データの管理を行なうことができる。また、複写管理情報に設定される有効期限に基づいて、複写データの不正持ち出しを検出し、管理者に報知することができる。
【００２２】
このように本発明によれば、原本データを保有する複写元側で複写データを監視し、データの不正持ち出しを防止することが可能となる。
なお、複写先装置２０においても、付加された複写管理情報に基づいて、複写データの有効期限をチェックし、有効期限を経過した複写データの利用を無効化することにより、データの不正流出を防止することができる。複写先装置２０における処理については、後述する。
【００２３】
以下、これらの機能を実装したデータ不正流出防止装置を用いて、所定のアプリケーションを実行するクライアント／サーバシステムにおいて、サーバが管理する原本ファイルがクライアントにコピーされる場合を例に採り、本発明の実施の形態を具体的に説明する。
【００２４】
図２は、本発明の実施の形態のシステム構成を示すブロック図である。本実施の形態では、原本ファイルを管理する複写元装置（サーバ）１００と、原本ファイルをコピーして利用する複写先装置（クライアント）２００とから構成される。
【００２５】
複写元装置１００は、セキュリティ管理対象の原本ファイルを監視するデータ不正流出防止装置であり、複写元の原本ファイルを記憶する原本ファイル記憶部１１０および複写されたコピーファイルを管理するための管理簿を記憶する管理簿記憶部１２０の記憶手段と、複写処理を制御する複写処理手段１３０、複写管理情報を付加する管理情報付加手段１４０、不正持ち出しを検出する不正持ち出し検出手段１５０、および不正持ち出しを報知する報知手段１６０の各処理手段と、を具備する。また、報知手段１６０は、モニタ１０８に接続する。
【００２６】
原本ファイル記憶部１１０は、複写元データ記憶手段であって、セキュリティ管理対象の電子データの原本ファイルを記憶する記憶手段である。管理対象の原本ファイルは、データ本体部とファイル管理に使用される管理情報部とから構成され、暗号化された状態で格納されている。
【００２７】
管理簿記憶部１２０は、セキュリティ管理対象の原本ファイルを管理するためのセキュリティ管理簿を記憶する記憶手段である。セキュリティ管理簿には、原本ファイルに関する管理情報の他、複写時に生成される複写管理情報の内容が転記されている。
【００２８】
複写処理手段１３０は、複写先装置２００との間のコピーファイル交換処理を制御する。複写時には、管理情報付加手段１４０の生成したコピーファイルを複写先装置２００に送信する。また、複写先装置２００よりコピーバックを取得した場合には、不正持ち出し検出手段１５０にこれを通知するとともに、原本ファイル記憶部１１０に格納されている原本ファイルをコピーバックにより取得したコピーファイルを用いて更新する。
【００２９】
管理情報付加手段１４０は、複写の際に、コピーファイルの有効期限を含む複写管理情報を生成し、原本ファイル記憶部１１０に記憶された原本ファイルおよび原本ファイルを複写したコピーファイルに複写管理情報を付加し、暗号化する。この原本ファイルは、原本ファイル記憶部１１０に格納され、コピーファイルは、複写処理手段１３０経由で複写先装置２００へ送られる。また、管理簿記憶部１２０に格納された対象の原本ファイルに関するセキュリティ管理簿に、複写管理情報に設定されたコピーファイルの有効期限等の内容を記録する。以下の説明では、コピーファイルの有効期限は、複写先装置２００を用いてコピーファイルを利用する利用者が設定するコピーファイルを返却するコピーバック予定日とする。
【００３０】
不正持ち出し検出手段１５０は、管理簿記憶部１２０に格納されたセキュリティ管理簿を参照して、管理対象ファイルの不正持ち出しを検出する。不正持ち出し検出手段１５０では、セキュリティ管理簿に登録されたコピーバック予定日までに、複写先装置２００からファイルがコピーバックされたかどうかを監視する。そして、コピーバック予定日を過ぎているファイルについて、不正持ち出しが行なわれたと判定する。検出結果は、報知手段１６０に伝達する。
【００３１】
報知手段１６０は、不正持ち出しが検出された場合、モニタ１０８の画面に警告を表示し、管理者に通知する。
一方、複写先装置２００は、複写処理を制御する複写処理手段２１０、コピーファイルを記憶するコピーファイル記憶部２２０、コピーファイルを復号する復号手段２３０、およびコピーファイルが利用可能であるかどうかを判断する有効判断手段２４０を具備する。
【００３２】
複写処理手段２１０は、複写元装置１００との間のコピーファイル交換処理を制御する。複写時には、入力されたコピーファイルをコピーファイル記憶部２２０に格納する。また、コピーバック時には、最新のコピーファイルを複写元装置１００に送る。
【００３３】
コピーファイル記憶部２２０は、複写されたコピーファイルを記憶する記憶手段である。
復号手段２３０は、アプリケーションがコピーファイルを利用する際の読込要求により起動し、暗号化されたコピーファイルの復号を行なう。復号されたコピーファイルは、有効判断手段２４０へ送る。
【００３４】
有効判断手段２４０は、コピーファイルに付加された複写管理情報に設定されているコピーバック予定日を参照し、予定日が過ぎている場合には読み込みを拒否し、このコピーファイルを利用不可能とする。
【００３５】
このようなシステムの動作について説明する。なお、コピーファイルの利用者は、コピーバック予定日を設定し、その日までに複写元装置１００に対してコピーバックしなければならないとする。
【００３６】
複写元装置１００がセキュリティ管理する原本ファイルの複写時、複写元装置１００の管理情報付加手段１４０は、コピーファイルの有効期限であるコピーバック予定日を含む複写管理情報を生成し、原本ファイルおよびコピーファイルに付加する。続いて暗号化が施された後、原本ファイルは原本ファイル記憶部１１０に格納され、コピーファイルは複写処理手段１３０によって複写先装置２００に送られる。このとき、複写管理情報に基づいて、管理簿記憶部１２０に格納された対象の原本ファイルのセキュリティ管理簿も更新される。
【００３７】
複写先装置２００では、取得したコピーファイルをコピーファイル記憶部２２０に格納する。アプリケーションより利用要求があった場合、コピーファイル記憶部２２０より読み出されたコピーファイルは、復号手段２３０で復号され、有効判断手段２４０で有効であるかどうか確認される。コピーバック予定日前であれば、コピーファイルの利用は認められ、アプリケーションに引き渡されて利用される。
【００３８】
複写元装置１００側では、不正持ち出し検出手段１５０が、管理簿記憶部１２０に格納されたセキュリティ管理簿に基づいて監視を行なっており、コピーバック予定日前にコピーバックが行なわれた場合には、当該ファイルを監視対象から外す。ところが、コピーバック予定日が過ぎてもコピーバックされない場合には、不正持ち出しがあったと判定され、報知手段１６０によって、モニタ１０８にセキュリティ管理者に対する警告が表示される。
【００３９】
一方、複写先装置２００でコピーバック予定日を過ぎてコピーファイルを利用しようとした場合、有効判断手段２４０は、利用は無効であると判断し、当該コピーファイルを利用不可能とする。
【００４０】
このように本実施の形態では、原本ファイルを管理する複写元装置１００側でコピーファイルの有効期限を監視し、データの不正流出を検出してセキュリティ管理者に通知することができる。さらに、複写先装置２００においても、有効期限を過ぎたコピーファイルの利用は無効化される。従って、複写元装置１００および複写先装置２００双方でデータの不正流出を防止することが可能な仕組みが構成される。
【００４１】
なお、上記の説明では、複写元装置１００と複写先装置２００とを別装置としたが、同一装置とすることもできる。例えば、上位装置より取得したセキュリティ管理対象のコピーファイルを、さらに、他の装置に持ち出すことができるようなシステムでは、１台で複写元装置１００と複写先装置２００とを兼ねる。
【００４２】
ここで、複写元装置１００および複写先装置２００のハードウェア構成について説明する。図３は、本実施の形態に用いる複写元装置のハードウェア構成例を示すブロック図である。複写元装置１００は、ＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）１０１によって装置全体が制御されている。ＣＰＵ１０１には、バス１０７を介してＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）１０２、ハードディスクドライブ（ＨＤＤ：ＨａｒｄＤｉｓｋＤｒｉｖｅ）１０３、グラフィック処理装置１０４、入力インタフェース１０５および通信インタフェース１０６が接続されている。
【００４３】
ＲＡＭ１０２には、ＣＰＵ１０１に実行させるＯＳ（ＯｐｅｒａｔｉｎｇＳｙｓｔｅｍ）のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。また、ＲＡＭ１０２には、ＣＰＵ１０１による処理に必要な各種データが格納される。ＨＤＤ１０３には、ＯＳやアプリケーションプログラムが格納される。
【００４４】
グラフィック処理装置１０４には、モニタ１０８が接続されており、ＣＰＵ１０１からの命令に従って画像をモニタ１０８の画面に表示させる。入力インタフェース１０５には、キーボード１０９ａとマウス１０９ｂが接続されており、キーボード１０９ａやマウス１０９ｂから送られてくる信号を、バス１０７を介してＣＰＵ１０１に送信する。
【００４５】
通信インタフェース１０６は、ネットワーク４０に接続されており、ネットワーク４０を介して、例えば、複写先装置２００との間でデータの送受信を行なう。
【００４６】
以上のようなハードウェア構成によって、本実施の形態の処理機能を実現することができる。なお、図３には、複写元装置１００のハードウェア構成について示したが、複写先装置２００のハードウェア構成も同様である。
【００４７】
次に、データ不正流出防止プログラムとＯＳやアプリケーション等のプログラムとの関係について説明する。
まず、複写元側のデータ不正流出防止プログラムについて説明する。図４は、本発明の実施の形態の複写元装置側のプログラム構成を示した図である。図２と同じものには同じ番号を付し、説明は省略する。
【００４８】
本発明に係るデータ不正流出防止プログラム１８０は、システムが提供するＯＳ１７０と一体化して動作する。例えば、コピー要求があった場合、データ不正流出防止プログラム１８０が起動され、管理簿記憶部１２０のセキュリティ管理簿を参照し、要求ファイルがセキュリティ管理対象であるかどうかに応じて、原本ファイル記憶部１１０に格納されたファイルの複写処理を実行させる。
【００４９】
複写処理について説明する。図５は、本発明の実施の形態の複写元装置のコピー動作を示した図である。（ａ）は要求されたファイルがセキュリティ管理対象でない場合、（ｂ）は要求されたファイルがセキュリティ管理対象の場合の動作を示した図である。
【００５０】
コピー要求されたファイルがセキュリティ管理対象外の場合、（ａ）に示したように、ＯＳ１７０によるコピー機能が実行されて原本ファイル記憶部１１０に格納された原本ファイルのデータ本体部が単純にコピーされる。
【００５１】
要求されたファイルがセキュリティ管理対象であれば、（ｂ）に示したように、ＯＳ１７０によるファイルコピーを実行する直前に、データ不正流出防止プログラム１８０によって複写管理情報が付加され、ＯＳ１７０によるファイルコピー機能が実行される。
【００５２】
このように、ＯＳレベルでファイルを制御するため、利用者は、データ不正流出防止プログラム１８０のセキュリティ管理を無視して、ファイルのコピー／移動を行なうことができない。
【００５３】
続いて、複写先側のデータ不正流出防止プログラムについて説明する。図６は、本発明の実施の形態の複写先装置側のプログラム構成を示した図である。図２と同じものには同じ番号を付し、説明は省略する。
【００５４】
本発明にかかる複写先側のデータ不正流出防止プログラムは、アプリケーション２６０にプラグイン２５０として組み込まれる。コピーファイル２２１は、複写管理情報が付加され、暗号化された状態でコピーファイル記憶部２２０に格納されている。この状態で、アプリケーション２６０からコピーファイル２２１の読み込み要求が行なわれると、プラグイン２５０として組み込まれたデータ不正流出防止プログラムは、予め設定された復号キー２７０を用いて対象のコピーファイル２２１を復号し、コピーファイルの有効期限をチェックする処理をコンピュータに実行させる。そして、有効と認められた場合には、復号されたコピーファイル２２１からデータ本体２２２を取り出し、アプリケーション２６０の利用を許可する。
【００５５】
このように、プラグイン２５０によりファイルのチェック処理が行なわれるため、アプリケーション２６０は、セキュリティ管理対象の有無に関わらず、同じ処理を行なうことができる。
【００５６】
上記の説明のようなシステムによって、管理者は、管理対象の電子データの管理および不正流出防止を、複写元装置１００の支援を受けながら行なうことができる。以下、手順に従って各処理を詳細に説明する。
【００５７】
まず、セキュリティ管理者によって、対象となるファイルが指定される。図７は、本発明の実施の形態におけるセキュリティ管理対象の指定処理について示した図である。図２、図３と同じものには同じ番号を付し、説明は省略する。
【００５８】
セキュリティ管理者は、管理簿記憶部１２０に格納されたセキュリティ管理簿をモニタ１０８に表示させ、キーボード１０９ａまたはマウス１０９ｂを用いて管理対象のファイルの指定を行なう。コンピュータは、入力信号に応じて、セキュリティ管理簿に新たなファイルを登録し、管理簿記憶部１２０に格納する。このとき、セキュリティ管理対象外データとして管理されていた指定の原本ファイルには、セキュリティ管理対象のファイル属性が設定される。これにより、セキュリティ管理を行なうための管理情報が指定の原本ファイルに付加され、暗号化される。なお、セキュリティ管理対象外からセキュリティ管理対象への変更は、ファイルの属性を変更するだけであり、ファイルの保存場所（ディレクトリ）は、変更されない。
【００５９】
管理簿記憶部１２０に格納されるセキュリティ管理簿について説明する。
図８は、本発明の実施の形態におけるセキュリティ管理簿を構成する項目を示している。セキュリティ管理簿は、管理対象とするファイルが保存されている場所（ディレクトリ）を示す「保存場所」と、管理対象とする「ファイル名」の他、セキュリティ管理に関する管理情報と、コピー時に生成されるコピー情報とから構成される。
【００６０】
管理情報は、セキュリティ管理を開始した日時を示す「開始日時」、セキュリティ管理を解除した日時を示す「解除日時」、およびセキュリティ管理を指示した管理者名を示す「管理者名」の項目から成り、セキュリティ管理対象となった時点で生成される。
【００６１】
コピー情報は、ファイルをコピーした日時を示す「コピー日時」、ファイルをコピーした担当者を示す「担当者名」、ファイルのコピー先を示す「コピー先識別名」、コピーした原本ファイルを管理場所に戻す予定日を示す「コピーバック予定日」、およびコピーした原本ファイルを管理場所に戻した日時を示す「コピーバック日時」の項目からなり、「コピーバック日時」を除く項目は、コピー実行時に生成される。
【００６２】
具体例を示す。図９は、本発明の実施の形態におけるセキュリティ管理簿の一例を示している。
例えば、ファイルＡは、保存場所が「場所１」であり、管理情報からセキュリティ管理を開始した日時が「２００２年４月１日」、管理者は「管理者Ａ」、セキュリティ管理が継続されていることがわかる。また、コピー情報からファイルＡは、コピーされていないことがわかる。
【００６３】
また、例えば、ファイルＤは、保存場所が「場所３」であり、セキュリティ管理を開始した日時が「２００２年６月２４日」、管理者は「管理者Ａ」、セキュリティ管理が継続されていることがわかる。また、コピー情報から、「２００２年８月２５日」に「担当者Ｘ」により「端末Ｚ」からコピーされ、コピーバック予定日が「２００２年８月３０日」でコピーバックされたのは「２００２年８月３０日」であることがわかる。さらに、「２００２年１０月１０日」に、再び「担当者Ｘ」により「端末Ｚ」からコピーされ、コピーバック予定日は「２００２年１０月２０日」であることがわかる。
【００６４】
次に、原本ファイルについて説明する。図１０は、本発明の実施の形態における原本ファイルの構成図である。（ａ）はセキュリティ管理対象外の状態、（ｂ）はセキュリティ管理対象の状態、（ｃ）はコピーが実施された状態、の原本ファイルを示している。
【００６５】
セキュリティ管理対象外の状態の原本ファイル３００は、（ａ）に示したように、データ本体３０１のみで構成されている。
続いて、セキュリティ管理対象に指定されると、原本ファイル３００は、（ｂ）に示したように、データ本体３０１にセキュリティ管理のための管理情報３０２が付加された構成の原本ファイル３００ａとなる。原本ファイル３００ａは、暗号化されて原本ファイル記憶部１１０に格納される。
【００６６】
さらに、コピーが実施されると、原本ファイル３００ａは、（ｃ）に示したように、データ本体３０１と管理情報３０２に、複写管理情報であるコピー情報３０３が付加された構成の原本ファイル３００ｂとなる。原本ファイル３００ｂは、暗号化されて原本ファイル記憶部１１０に格納される。
【００６７】
管理情報３０２およびコピー情報３０３について説明する。図１１は、本発明の実施の形態においてファイルに付加される管理情報およびコピー情報を構成する項目を示している。
【００６８】
管理情報は、セキュリティ管理対象となった時点で生成されるセキュリティ管理簿の管理情報と同一の情報が付加されたもので、「開始日時」、「解除日時」、「管理者名」の項目から成る。
【００６９】
コピー情報は、ファイルコピーが行なわれた時点で生成されるセキュリティ管理簿のコピー情報と同一の「コピー日時」、「担当者名」、「コピー先識別名」「コピーバック予定日」、「コピーバック日時」の項目と、ファイルが何回目のコピーであるかを示すファイルをコピーした「回数」の項目がある。コピー情報は、コピーを行なう毎に生成され、付加されていく。
【００７０】
次に、コピー動作について説明する。図１２は、本発明の実施の形態におけるコピー実行時に生成されるファイルを示した図である。図１０と同じものには同じ番号を付し、説明は省略する。
【００７１】
上記の説明のように、セキュリティ管理対象に指定されると、原本ファイル３００ａは、データ本体３０１に管理情報３０２が付加され、暗号化されて原本ファイル記憶部１１０に格納される。
【００７２】
そして、ユーザからのコピー要求があると、原本ファイル記憶部１１０から原本ファイル３００ａが読み出され、さらに、コピー作成時に生成されるコピー情報が添付されたセキュリティ情報３０４がデータ本体３０１に付加され、暗号化された後、原本ファイル３００ｂとして原本ファイル記憶部１１０に格納される。また、コピーされた子コピーファイル３００ｃは、原本ファイル３００ｂがコピーされた、データ本体３０１にセキュリティ情報３０４が付加され暗号化された状態でユーザに引き渡される。なお、原本ファイル３００ａから子コピーファイル３００ｃが生成された時点でのコピー回数は、１回目になる。
【００７３】
コピーは、原本ファイルから子コピーが作成される場合ばかりでなく、子コピーファイルがコピーされる場合もある。図１３は、本発明の実施の形態における子コピーファイルのコピー実行時に生成されるファイルを示した図である。
【００７４】
子コピーファイル３００ｃは、コピーされたデータ本体３０１と１回目のコピー情報を含むセキュリティ情報３０４とから構成されている。ユーザから子コピーファイル３００ｃのコピー要求があると、子コピーファイル３００ｃのセキュリティ情報３０４に、孫コピー作成時のコピー情報（２回目）の情報がさらに添付されたセキュリティ情報３０５が生成され、データ本体３０１に付加されて、暗号化された子コピーファイル３００ｄが生成され、保存される。また、子コピーファイル３００ｄからコピーされた孫コピーファイル３００ｅは、データ本体３０１に２回目の子コピー情報を含むセキュリティ情報３０５が付加され暗号化された状態でユーザに引き渡される。
【００７５】
このように、コピーが繰り返されるごとに、コピー情報が付加される。コピー情報が追加型で付加されるため、コピー情報を解析すれば、コピーの履歴を得ることができる。
【００７６】
ここで、複写元装置によるセキュリティ管理簿を用いたファイルのセキュリティ管理について説明する。図１４は、本発明の実施の形態における不正持ち出し検出処理が参照するセキュリティ管理簿の一例である。
【００７７】
不正持ち出し検出手段１５０は、コピー情報に基づき、コピーバック予定日を過ぎてもコピーバックがないファイルが存在する場合には、不正持ち出しと判定する。
【００７８】
図１４の例で説明すると、ファイルＤに関する「２００２年８月２５日」のコピー情報１２１では、コピーバック予定日「２００２年８月３０日」に対して、同日にコピーバックがされている。すなわち、このコピーに関しては、問題はない。一方、ファイルＤに関する「２００２年１０月１０日」のコピー情報１２２では、コピーバック予定日「２００２年１０月２０日」であるが、コピーバックはされていない。このため、コピーバック予定日の「２００２年１０月２０日」中にコピーバックがない場合、不正持ち出しが発生したと判定される。
【００７９】
次に、コピーされたファイルを使用する複写先装置の動作について説明する。複写先装置では、データ不正流出防止プログラムは、コピーファイルを利用するアプリケーションにプラグインとして組み込まれている。以下、このプラグインの処理機能について説明する。
【００８０】
まず、セキュリティ管理対象のコピーファイルをアプリケーションで利用する場合について説明する。図１５は、本発明の実施の形態におけるセキュリティ管理対象ファイル利用時の動作を示した図である。図６と同じものには同じ番号を付し、説明は省略する。図の例では、正しい復号キーが提供されているとする。
【００８１】
セキュリティ管理対象のコピーファイル２２１は、データ本体２２２と、管理情報２２３とから成り、暗号化されている。アプリケーション２６０がコピーファイル２２１を利用しようとすると、プラグイン２５０が起動し、セキュリティ管理対象のコピーファイル２２１を読み込む。続いて、復号手段２３０によって復号キー２７０を用いた復号が行なわれる。次に、有効判断手段２４０によって復号されたコピーファイル２２１がチェックされ、有効と判断されるのでデータ本体２２２のみが抽出される。抽出されたデータ本体２２２は、アプリケーション２６０で利用される。アプリケーション２６０では、プラグイン２５０を通してデータ本体２２２だけが内部に読み込まれるため、通常どおり利用可能となる。なお、書き込みの場合も同様である。
【００８２】
次に、セキュリティ管理対象でないコピーファイルをアプリケーションで利用する場合について説明する。図１６は、本発明の実施の形態におけるセキュリティ管理対象外のファイル利用時の動作を示した図である。図６、図１５と同じものには同じ番号を付し、説明は省略する。
【００８３】
セキュリティ管理対象外のコピーファイル２２１ａは、データ本体２２２のみから構成されており、暗号化されていない。アプリケーション２６０がコピーファイル２２１ａを利用しようとすると、プラグイン２５０が起動し、セキュリティ管理対象外のコピーファイル２２１ａを読み込む。続いて、復号手段２３０によって復号キー２７０を用いた復号が行なわれるが、復号できないため、コピーファイル２２１ａをそのままアプリケーション２６０に引き渡す。もともと暗号化されていないため、データ本体２２２はアプリケーション２６０でそのまま利用可能となる。
【００８４】
次に、コピーバック予定日を過ぎてしまったファイルをアプリケーションで利用する場合について説明する。図１７は、本発明の実施の形態におけるセキュリティ管理対象のファイルをコピーバック予定日後に利用する場合の動作を示した図である。図６、図１５と同じものには同じ番号を付し、説明は省略する。
【００８５】
セキュリティ管理対象のコピーファイル２２１は、データ本体２２２と、管理情報２２３とから成り、暗号化されている。アプリケーション２６０がコピーファイル２２１を利用しようとすると、プラグイン２５０が起動し、セキュリティ管理対象のコピーファイル２２１を読み込む。続いて、復号手段２３０によって復号キー２７０を用いた復号が行なわれる。次に、有効判断手段２４０によって復号されたコピー情報の内容をチェックされる。コピー予定日とシステム日時が比較され、コピー予定日が過ぎていることが検出されるので、アプリケーション２６０へファイルが引き渡されない。このため、有効期限であるコピーバック予定日を過ぎたコピーファイルは、アプリケーション２６０で利用することができない。
【００８６】
次に、誤った復号キーが登録されている状態でファイルをアプリケーションで利用する場合について説明する。図１８は、本発明の実施の形態におけるセキュリティ管理対象のファイルの復号キーが誤っている場合の動作を示した図である。図６、図１５と同じものには同じ番号を付し、説明は省略する。
【００８７】
セキュリティ管理対象のコピーファイル２２１は、データ本体２２２と、管理情報２２３とから成り、暗号化されている。アプリケーション２６０がコピーファイル２２１を利用しようとすると、プラグイン２５０が起動し、セキュリティ管理対象のコピーファイル２２１を読み込む。続いて、復号手段２３０で復号処理が行なわれるが、復号キー２７１が誤っているため、復号することができない。このため、アプリケーション２６０へファイルを引き渡せない。このように、復号キーが誤っている場合にも、コピーファイルをアプリケーション２６０で利用することができない。なお、コピーファイルがセキュリティ管理対象外である場合、もともと暗号化されていないため、復号キー２７１が誤っていても、コピーファイルがアプリケーション２６０にそのまま引き渡される。
【００８８】
次に、プラグインが組み込まれていないアプリケーションでファイルを利用する場合について説明する。図１９は、本発明の実施の形態におけるセキュリティ管理対象のファイルをプラグインの組み込まれていないアプリケーションで利用する場合の動作を示した図である。図６、図１５と同じものには同じ番号を付し、説明は省略する。
【００８９】
セキュリティ管理対象のコピーファイル２２１は、データ本体２２２と、管理情報２２３とから成り、暗号化されている。アプリケーション２６０では、コピーファイル２２１を利用しようとするが、コピーファイル２２１は暗号化されているため、アプリケーション２６０では使用することができない。なお、コピーファイルがセキュリティ管理対象外である場合、もともと暗号化されていないため、プラグイン２５０がない状態でもコピーファイルがアプリケーション２６０にそのまま引き渡される。
【００９０】
以上の説明のように、複写先装置では、セキュリティ管理対象のコピーファイルの管理をプラグインで行なっており、プラグインと正しい復号キーを備え、コピーファイルが有効期限内でなければ、アプリケーションで利用することができない。一方、セキュリティ管理対象外のコピーファイルについては、どのような状態でもアプリケーションで利用することができる。このように、アプリケーション側に負担をかけることなく、ファイルのセキュリティを管理することが可能である。
【００９１】
なお、上記の処理機能は、セキュリティ管理対象の電子データを保管・管理するサーバコンピュータとこの電子データを持ち出して利用するクライアントコンピュータとによって実現することができる。その場合、元の電子データを管理する管理側のデータ不正流出防止装置が有すべき機能の処理内容を記述したサーバプログラム、および利用側のデータ不正流出防止装置が有すべき機能の処理内容を記述したクライアントプログラムが提供される。サーバプログラムをサーバコンピュータで実行することにより、管理側のデータ不正流出防止装置の処理機能がサーバコンピュータ上で実現される。また、クライアントプログラムをクライアントコンピュータで実行することにより、利用側のデータ不正流出防止装置の処理機能がクライアントコンピュータ上で実現される。
【００９２】
処理内容を記述したサーバプログラムやクライアントプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリなどがある。磁気記録装置には、ハードディスク装置（ＨＤＤ）、フレキシブルディスク（ＦＤ）、磁気テープなどがある。光ディスクには、ＤＶＤ（ＤｉｇｉｔａｌＶｅｒｓａｔｉｌｅＤｉｓｃ）、ＤＶＤ−ＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）、ＣＤ−ＲＯＭ（ＣｏｍｐａｃｔＤｉｓｃＲｅａｄＯｎｌｙＭｅｍｏｒｙ）、ＣＤ−Ｒ（Ｒｅｃｏｒｄａｂｌｅ）／ＲＷ（ＲｅＷｒｉｔａｂｌｅ）などがある。光磁気記録媒体には、ＭＯ（Ｍａｇｎｅｔｏ−Ｏｐｔｉｃａｌｄｉｓｋ）などがある。
【００９３】
サーバプログラムやクライアントプログラムを流通させる場合には、たとえば、各プログラムが記録されたＤＶＤ、ＣＤ−ＲＯＭなどの可搬型記録媒体が販売される。また、クライアントプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータからクライアントコンピュータにクライアントプログラムを転送することもできる。
【００９４】
サーバプログラムを実行するサーバコンピュータは、たとえば、可搬型記録媒体に記録されたサーバプログラムを、自己の記憶装置に格納する。そして、サーバコンピュータは、自己の記憶装置からサーバプログラムを読み取り、サーバプログラムに従った処理を実行する。なお、サーバコンピュータは、可搬型記録媒体から直接サーバプログラムを読み取り、そのサーバプログラムに従った処理を実行することもできる。
【００９５】
クライアントプログラムを実行するクライアントコンピュータは、たとえば、可搬型記録媒体に記録されたクライアントプログラムもしくはサーバコンピュータから転送されたクライアントプログラムを、自己の記憶装置に格納する。そして、クライアントコンピュータは、自己の記憶装置からクライアントプログラムを読み取り、クライアントプログラムに従った処理を実行する。なお、クライアントコンピュータは、可搬型記録媒体から直接クライアントプログラムを読み取り、そのクライアントプログラムに従った処理を実行することもできる。また、クライアントコンピュータは、サーバコンピュータからクライアントプログラムが転送される毎に、逐次、受け取ったクライアントプログラムに従った処理を実行することもできる。
【００９６】
さらに、電子データがクライアントコンピュータから他のクライアントコンピュータに持ち出されるシステムに適用される場合、データ不正流出防止装置には、サーバプログラムおよびクライアントプログラムが格納され、双方の処理機能を実行することができる。
【００９７】
（付記１）セキュリティ管理対象の電子データが不正に持ち出されることを防止するためのデータ不正流出防止プログラムにおいて、
コンピュータに、
前記電子データの複写の際に、前記電子データの複写データの有効期限を含む複写管理情報を生成し、複写元の複写元データおよび複写先へ送る前記複写データに付加する複写管理情報付加ステップと、
前記複写元において、前記複写管理情報を参照し、前記有効期限内に前記複写先から前記複写データが戻ってきたかどうかに基づき前記電子データの不正持ち出しを検出する不正持ち出し検出ステップと、
前記不正持ち出し検出ステップによって前記電子データの不正持ち出しが検出された場合に管理者に報知する報知ステップと、
を実行させることを特徴とするデータ不正流出防止プログラム。
【００９８】
（付記２）前記複写管理情報付加ステップは、前記複写管理情報と前記複写データとを暗号化して前記複写先へ送ることを特徴とする付記１記載のデータ不正流出防止プログラム。
【００９９】
（付記３）前記複写管理情報付加ステップは、前記複写管理情報として前記複写を実施した担当者情報を含む前記複写時の状況についての複写状況情報を具備することを特徴とする付記１記載のデータ不正流出防止プログラム。
【０１００】
（付記４）さらに、前記複写先において、
前記複写データに付加された前記複写管理情報を参照し、前記有効期限が経過しているかどうかを判断する有効判断ステップと、
前記有効判断ステップによって前記複写データの有効期限が過ぎていると判断された場合に前記複写データの利用を無効化する無効化ステップと、
を実行させることを特徴とする付記１記載のデータ不正流出防止プログラム。
【０１０１】
（付記５）前記複写管理情報付加ステップは、前記複写管理情報と前記複写データとを暗号化して前記複写先へ送り、
前記有効判断ステップは、前記暗号化された前記複写管理情報と前記複写データとを復号して有効判断を行ない、
前記無効化ステップは、前記複写データの有効期限が過ぎていると判断された場合に復号した前記複写データを利用させないことを特徴とする付記４記載のデータ不正流出防止プログラム。
【０１０２】
（付記６）セキュリティ管理対象の電子データが不正に持ち出されることを防止するデータ不正流出防止装置において、
前記電子データの複写の際に、前記電子データの複写データの有効期限を含む複写管理情報を生成し、複写元の複写元データおよび複写先へ送る前記複写データに付加する複写管理情報付加手段と、
前記複写元データを記憶する複写元データ記憶手段と、
前記複写先から前記複写データが戻ってきた場合に前記複写元データ記憶手段に記憶されている前記複写元データを更新するとともに、前記有効期限が経過しても前記複写先から前記複写データが戻ってこない場合に不正持ち出しと判定する不正持ち出し検出手段と、
前記不正持ち出しが検出された場合に管理者に報知する報知手段と、
を具備することを特徴とするデータ不正流出防止装置。
【０１０３】
（付記７）さらに、前記複写先である場合に、
前記複写元から取得した前記複写データを記憶する複写データ記憶手段と、
前記複写データの利用時に前記複写データに付与された前記複写管理情報を参照し、前記有効期限が経過しているかどうかを判断し、前記有効期限が過ぎている場合に、前記複写データの利用を無効化する有効判断手段と、
を具備することを特徴とする付記６記載のデータ不正流出防止装置。
【０１０４】
（付記８）セキュリティ管理対象の電子データが不正に持ち出されることを防止するデータ不正流出防止方法において、
前記電子データの複写の際に、前記電子データの複写データの有効期限を含む複写管理情報を生成し、複写元の複写元データおよび複写先へ送る前記複写データに付加し、
前記複写元において、前記複写管理情報を参照し、前記有効期限内に前記複写先から前記複写データが戻ってきたかどうかに基づき前記電子データの不正持ち出しを検出し、
前記不正持ち出し検出ステップによって前記電子データの不正持ち出しが検出された場合に管理者に報知する、
ことを特徴とするデータ不正流出防止方法。
【０１０５】
（付記９）さらに、前記複写先において、
前記複写データに付加された前記複写管理情報を参照し、前記有効期限が経過しているかどうかを判断し、
前記有効判断ステップによって前記複写データの有効期限が過ぎていると判断した場合に前記複写データの利用を無効化する、
ことを特徴とする付記８記載のデータ不正流出防止方法。
【０１０６】
【発明の効果】
以上説明したように本発明では、電子データの複写の際に複写元と複写先の双方に複写管理情報を持たせる。これにより、複写元でも複写データの管理を行なうことが可能となり、複写管理情報において設定された有効期限が過ぎても複写データが複写元に戻されなかった場合、データの不正な持ち出しがあったと判定し、自動的に管理者に通知される。
【０１０７】
このように、複写元において電子データの管理を行なうことが可能になったことにより、データの不正流出を防止することが可能となった。また、電子データの利用者にも、複写元においてデータの持ち出しが監視されているという意識が働くため、データの不正持ち出しの抑止効果を得ることもできる。
【図面の簡単な説明】
【図１】本発明の実施の形態に適用される発明の概念図である。
【図２】本発明の実施の形態のシステム構成を示すブロック図である。
【図３】本発明の実施の形態に用いる複写元装置のハードウェア構成例を示すブロック図である。
【図４】本発明の実施の形態の複写元装置側のプログラム構成を示した図である。
【図５】本発明の実施の形態の複写元装置のコピー動作を示した図である。
【図６】本発明の実施の形態の複写先装置側のプログラム構成を示した図である。
【図７】本発明の実施の形態におけるセキュリティ管理対象の指定処理について示した図である。
【図８】本発明の実施の形態におけるセキュリティ管理簿を構成する項目を示している。
【図９】本発明の実施の形態におけるセキュリティ管理簿の一例を示している。
【図１０】本発明の実施の形態における原本ファイルの構成図である。
【図１１】本発明の実施の形態においてファイルに付加される管理情報およびコピー情報を構成する項目を示している。
【図１２】本発明の実施の形態におけるコピー実行時に生成されるファイルを示した図である。
【図１３】本発明の実施の形態における子コピーファイルのコピー実行時に生成されるファイルを示した図である。
【図１４】本発明の実施の形態における不正持ち出し検出処理が参照するセキュリティ管理簿の一例である。
【図１５】本発明の実施の形態におけるセキュリティ管理対象ファイル利用時の動作を示した図である。
【図１６】本発明の実施の形態におけるセキュリティ管理対象外のファイル利用時の動作を示した図である。
【図１７】本発明の実施の形態におけるセキュリティ管理対象のファイルをコピーバック予定日後に利用する場合の動作を示した図である。
【図１８】本発明の実施の形態におけるセキュリティ管理対象のファイルの復号キーが誤っている場合の動作を示した図である。
【図１９】本発明の実施の形態におけるセキュリティ管理対象のファイルをプラグインの組み込まれていないアプリケーションで利用する場合の動作を示した図である。
【符号の説明】
１０データ不正流出防止装置
１１原本データ記憶部
２０複写先装置
１００複写元装置
１１０原本ファイル記憶部
１２０管理簿記憶部
１３０複写処理手段
１４０管理情報付加手段
１５０不正持ち出し検出手段
１６０報知手段
２００複写先装置
２１０複写処理手段
２２０コピーファイル記憶部
２３０復号手段
２４０有効判断手段

Claims

セキュリティ管理対象の電子データが不正に持ち出されることを防止するためのデータ不正流出防止プログラムにおいて、
コンピュータに、
前記電子データの複写の際に、前記電子データの複写データの有効期限を含む複写管理情報を生成し、複写元の複写元データおよび複写先へ送る前記複写データに付加する複写管理情報付加ステップと、
前記複写元において、前記複写管理情報を参照し、前記有効期限内に前記複写先から前記複写データが戻ってきたかどうかに基づき前記電子データの不正持ち出しを検出する不正持ち出し検出ステップと、
前記不正持ち出し検出ステップによって前記電子データの不正持ち出しが検出された場合に管理者に報知する報知ステップと、
を実行させることを特徴とするデータ不正流出防止プログラム。
さらに、前記複写先において、
前記複写データに付加された前記複写管理情報を参照し、前記有効期限が経過しているかどうかを判断する有効判断ステップと、
前記有効判断ステップによって前記複写データの有効期限が過ぎていると判断された場合に前記複写データの利用を無効化する無効化ステップと、
を実行させることを特徴とする請求項１記載のデータ不正流出防止プログラム。
セキュリティ管理対象の電子データが不正に持ち出されることを防止するデータ不正流出防止装置において、
前記電子データの複写の際に、前記電子データの複写データの有効期限を含む複写管理情報を生成し、複写元の複写元データおよび複写先へ送る前記複写データに付加する複写管理情報付加手段と、
前記複写元データを記憶する複写元データ記憶手段と、
前記複写先から前記複写データが戻ってきた場合に前記複写元データ記憶手段に記憶されている前記複写元データを更新するとともに、前記有効期限が経過しても前記複写先から前記複写データが戻ってこない場合に不正持ち出しと判定する不正持ち出し検出手段と、
前記不正持ち出しが検出された場合に管理者に報知する報知手段と、
を具備することを特徴とするデータ不正流出防止装置。