JP2005202888A - アクセス許可付与方法、アクセス許可処理方法、そのプログラム、およびコンピュータ装置 - Google Patents

Abstract

【課題】 ドキュメントファイルの管理責任者が明示的に許可を与えたときに、原則として禁止されているようなアクセスをセキュリティポリシーやＡＣＬを変更せずに許可できるようにすると共に、実際にアクセスする際に処理要件を適用できるようにし、ドキュメントのセキュリティを維持しつつドキュメントに対するアクセスを柔軟に許可する。
【解決手段】 ドキュメントに対するアクセスの許可を付与する方法であって、上記アクセスの許可を示す許可証を作成する工程と、上記許可証にアクセスの際の処理要件を含める工程とを備える。また、ドキュメントへのアクセスを処理する方法であって、上記ドキュメントへのアクセスを許可する許可証を確認する工程と、上記許可証に含まれる処理要件をアクセスの際に適用する工程とを備える。
【選択図】 図１

Description

本発明はアクセス許可付与方法、アクセス許可処理方法、そのプログラム、およびコンピュータ装置に関し、より詳しくはドキュメントのセキュリティを維持しつつドキュメントに対するアクセスを柔軟に許可することのできる技術に関するものである。

近年、文書や画像等の情報（以下、ドキュメントという）を取り扱うオフィス等においては、ドキュメントを紙に印刷する代わりにドキュメントファイルとして情報記録媒体へ電子的に記録しておく手法が主流となっている。

ドキュメントを電子的に記録すれば、紙資源を用いることなくドキュメントを記録できるため、省資源化を図れると共に、ドキュメントが印刷された紙を格納する必要がなくなり、省スペース化を実現できる。

また、ドキュメントを電子的に記録すれば、同一のドキュメントを多数人に対して同時に配布したり、遠隔地にいる者へネットワークを介してドキュメントを配布したりすることが可能となり、業務の効率化を図ることができる。

同一のドキュメントを多数人に対して同時に配布したり、遠隔地にいる者へネットワークを介してドキュメントを配布できるという、ドキュメントを電子的に記録する場合の長所は、ドキュメントが漏洩しやすくなるという問題の裏返しでもある。

オフィス等において取り扱われるドキュメントの中には、機密性を要するものも多数存在するため、ドキュメントの漏洩を防止するための対策を講じる必要がある。

かかる状況に鑑み、本発明者はこれまでにドキュメントファイルへのアクセスをセキュリティポリシー等に基づいてコントロールする技術を提案してきた（例えば、特願２００２−２９９７１２号「ドキュメントファイルの印刷制御方法、ドキュメントファイル印刷制御システム、ドキュメントファイル印刷制御プログラム、ドキュメントファイル保護方法、ドキュメントファイル印刷方法、ドキュメントファイル保護プログラム、ドキュメントファイル印刷プログラム及びコンピュータ装置」。）。

この技術は、ドキュメントファイルの内容へのアクセスが許可されるかどうかアクセスコントロールサーバに問い合わせ、アクセスが許可されればドキュメントファイルの内容を表示したり印刷したりすることを可能にするものである。特に、この技術では印刷の際にセキュリティを配慮した処理要件（印刷要件）を指定できるようにしている。
特開２００１−１３４５１５号公報 特開２００２−２１５３４６号公報

ところで、上述した技術の場合、アクセスの許可（許可する場合の処理要件を含む）や不許可は、セキュリティポリシーやＡＣＬ（Access Control List）に基づいて判断されているため、これらのセキュリティポリシーやＡＣＬの設定内容を変えない限り、あるドキュメントファイルについて権限のないユーザはどうあってもアクセスすることができない。

しかし、一般的にセキュリティポリシーというのは、「原則禁止、管理責任者の許可が必要」のような規定の仕方をするものであるため、普段アクセスが許可されていないユーザであっても、管理責任者の許可があればアクセスできるようにしたいというニーズがある。

かといって、管理責任者が許可するたびにセキュリティポリシーやＡＣＬを変更するのは危険である。すなわち、何が本来のセキュリティポリシーまたはＡＣＬであったのか分からなくなってしまう危険性があるだけでなく、セキュリティポリシーまたはＡＣＬそのものを変更してしまうのでは、管理責任者が許可した今回だけアクセスをさせたいというような状況に簡便に対応することができない。

また、そもそもセキュリティポリシー等はそう頻繁に変更するべきものではないともいえる。

一方、その都度に許可を与える仕組みとして、暗号化されたコンテンツを配布し、料金を支払った人にだけコンテンツの利用を許可する技術が開示されている（例えば、特許文献１参照。）。この技術をドキュメントのアクセスに適用すれば特定の人にアクセスの許可を与えることができるが、その許可したアクセスについてセキュリティを配慮した特別な処理要件を適用することができない。すなわち、許可さえもらえば無条件に処理してよいわけではなく、例えば機密文書の印刷許可を行うときには印刷ユーザ名を紙面に印字することを処理要件とするなど、機密情報の漏洩を抑止するための効果を狙った処理を行いたいが、特許文献１にそれらへの配慮は示唆されていない。

また、類似の技術として、印刷する際に両面印刷、集約印刷、印刷紙種等の印刷機能制限をかけたり、印刷枚数制限をかけたりするためにチケットを一箇所で発行し、そのチケットの提示がなければ印刷を許可しないようなシステムが開示されている（例えば、特許文献２参照。）。このシステムではユーザが利用できる印刷機能、枚数などを制限することはできるが、印刷する際にセキュリティを配慮した処理要件を適用することはできない。

本発明は上記の従来の問題点に鑑み提案されたものであり、その目的とするところは、ドキュメントファイルの管理責任者が明示的に許可を与えたときに、原則として禁止されているようなアクセスをセキュリティポリシーやＡＣＬを変更せずに許可できるようにすると共に、実際にアクセスする際に処理要件を適用できるようにし、ドキュメントのセキュリティを維持しつつドキュメントに対するアクセスを柔軟に許可することのできるアクセス許可付与方法、アクセス許可処理方法、そのプログラム、およびコンピュータ装置を提供することにある。

上記の課題を解決するため、本発明にあっては、請求項１に記載されるように、ドキュメントに対するアクセスの許可を付与する方法であって、上記アクセスの許可を示す許可証を作成する工程と、上記許可証にアクセスの際の処理要件を含める工程とを備えるようにしている。

これにより、ドキュメントファイルの管理責任者が明示的に許可を与えたときに、柔軟に許可証を発行することができる。なお、処理要件が許可証において規定されるため、ドキュメントのセキュリティを保つことができる。

また、請求項２に記載されるように、上記アクセスはドキュメントの印刷であるものとすることができる。

また、請求項３に記載されるように、上記許可証はアクセス可能な回数を指定したものであるものとすることができる。

また、請求項４に記載されるように、上記許可証はアクセス可能な期限を指定したものであるものとすることができる。

また、請求項５に記載されるように、上記処理要件はスタンプ印刷、機密印刷、地紋印刷、バーコード印刷のいずれかを含むものとすることができる。

また、請求項６に記載されるように、ドキュメントへのアクセスを処理する方法であって、上記ドキュメントへのアクセスを許可する許可証を確認する工程と、上記許可証に含まれる処理要件をアクセスの際に適用する工程とを備えるようにしている。

これにより、発行された許可証に基づいて実際のアクセスを行う際にセキュリティを配慮した処理要件を強制させることができる。

また、請求項７に記載されるように、ドキュメントに対するアクセスの許可を付与するプログラムであって、上記アクセスの許可を示す許可証を作成する手順と、上記許可証にアクセスの際の処理要件を含める手順とをコンピュータに実行させるアクセス許可付与プログラムとして構成することができる。

また、請求項８に記載されるように、ドキュメントへのアクセスを処理するプログラムであって、上記ドキュメントへのアクセスを許可する許可証を確認する手順と、上記許可証に含まれる処理要件をアクセスの際に適用する手順とをコンピュータに実行させるアクセス許可処理プログラムとして構成することができる。

また、請求項９に記載されるように、ドキュメントに対するアクセスの許可を付与するコンピュータ装置であって、上記アクセスの許可を示す許可証を作成する手段と、上記許可証にアクセスの際の処理要件を含める手段とを備えるコンピュータ装置として構成することができる。

また、請求項１０に記載されるように、ドキュメントへのアクセスを処理するコンピュータ装置であって、上記ドキュメントへのアクセスを許可する許可証を確認する手段と、上記許可証に含まれる処理要件をアクセスの際に適用する手段とを備えるコンピュータ装置として構成することができる。

本発明にあっては、ドキュメントファイルの管理責任者が明示的に許可を与えたときに、原則として禁止されているようなアクセスをセキュリティポリシーやＡＣＬを変更せずに許可することができ、また実際にアクセスする際に処理要件を適用できるようにしているので、ドキュメントのセキュリティを維持しつつドキュメントに対するアクセスを柔軟に許可することができるという効果がある。

〔許可証の形態〕
本発明において発行される許可証を、ドキュメントファイルの管理責任者による許可の形態から整理すると、以下の側面の組み合わせとなる。
Ａ．許可の与え方
（１）回数を限定した許可（切符・回数券タイプ）
（２）期間を限定した許可（定期券タイプ）
Ｂ．許可を与える対象
（１）ある特定のドキュメントファイルへのアクセス許可
（２）ある種別のドキュメントファイル群へのアクセス許可
Ｃ．許可する内容
（１）特定のアクセスを許可（例：処理要件付きで印刷を許可）
（２）特定のアクセスの要件解除を許可（例：印刷時の地紋出力要件を解除）
〔第１の実施形態〕
本発明を好適に実施した第１の実施形態について説明する。

図１に、本実施形態にかかるドキュメント保護・印刷システムの構成を示す。

本実施形態にかかるドキュメント保護・印刷システムは、配布者端末２０１、ユーザ端末２０２、プリンタ２０３およびアクセスコントロールサーバ２０４を有する。

配布者端末２０１およびユーザ端末２０２は、表示装置（例えば、ＬＣＤ）、入力装置（例えば、キーボード）、外部記録装置（例えば、ＦＤＤ、ＨＤＤ）などを備えたコンピュータ端末を適用できる。なお、配布者端末２０１にはドキュメント保護プログラム２１１が、ユーザ端末２０２にはドキュメント印刷プログラム２２１がそれぞれ実装されている。

ドキュメント保護プログラム２１１は、ドキュメントファイルに配布者端末２０１の使用者（配布者）の入力操作に応じて処理要件を設定するとともに、暗号化アルゴリズム（ＲＣ４、Ｔｒｉｐｌｅ ＤＥＳ、ＩＤＥＡなど）を用いてドキュメントファイルを暗号化し、保護ドキュメントを生成する処理を行うプログラムである。図２はドキュメント保護プログラム２１１の構成例を示したものであり、暗号化部２１１ａと暗号鍵取得部２１１ｂと属性付与部２１１ｃと属性登録部２１１ｄとを含んでいる。各部の機能については後の動作において説明する。

図１に戻り、ドキュメント印刷プログラム２２１は、ユーザ端末２０２の使用者（ユーザ）の入力操作に応じ、保護ドキュメントを復号するとともに処理要件の一部として設定されている印刷要件に応じた印刷処理をプリンタ２０３に実行させる処理を行うプログラムである。図３はドキュメント印刷プログラム２２１の構成例を示したものであり、復号部２２１ａと復号鍵取得部２２１ｂと印刷要件取得部２２１ｃと印刷処理部２２１ｄとを含んでいる。また、図４は図３における印刷処理部２２１ｄの構成例を示したものであり、要件処理部２２１ｅとドキュメント加工部２２１ｆとプリンタドライバ２２１ｇと警告表示部２２１ｈとログ記録部２２１ｉとを含んでいる。各部の機能については後の動作において説明する。

図１に戻り、アクセスコントロールサーバ２０４は、配布者がドキュメント保護プログラム２１１により保護ドキュメントを生成する際に保護ドキュメントに関する情報を取得して登録すると共に、ユーザがドキュメントにアクセス（例えば、印刷）しようとする場合に、ドキュメント印刷プログラム２２１からの要求に応じてアクセス制御リスト（Access Control List：ＡＣＬ）を参照し、ドキュメントにアクセスする権限があるか否か、処理要件がどのように設定されているかを取得するサーバである。また、アクセスコントロールサーバ２０４は、本発明の特徴的な機能の一つとして、ドキュメントの管理責任者からの要求を受けて許可証を発行し登録する機能も有している。

アクセスコントロールサーバ２０４には、ユーザ各人の認証用の情報（ユーザ名とパスワードとの組）が格納されたユーザデータベース２４１と、ユーザ各人ごとに設定された処理要件（印刷処理の要件を特に印刷要件という）を含むＡＣＬが登録されるＡＣＬデータベース２４２と、ドキュメントを指定して特定のユーザに発行された許可証を格納する許可証データベース２４３とが接続されている。

図５はアクセスコントロールサーバ２０４の構成例を示したものであり、属性ＤＢ登録部２０４ａとユーザ認証部２０４ｂとアクセス権限確認部２０４ｃと印刷要件取得送付部２０４ｄと許可証発行部２０４ｅと許可証確認部２０４ｆとを含んでいる。各部の機能については後の動作において説明する。

なお、ＡＣＬの構成例を図６に示す。ＡＣＬはユーザ名（User Name）、アクセスタイプ（Access Type）、許可情報（Permission）および処理要件（Requirement）をパラメータとして構成される。そして、このＡＣＬは、図７に示すように、後述するドキュメントＩＤ（Document ID）および暗号鍵（Key）と関連付けられて一つのレコードとしてＡＣＬデータベース２４２に記録保持される。

また、図８は許可証データベース２４３の構成例を示したものであり、ドキュメントを特定するドキュメントＩＤ（Document ID）と、アクセスを許可するユーザ名（User Name）と、許可証情報（Authorization）とから構成されている。同図の下段は許可証情報（Authorization）の構成例を示したものであり、アクセスの種類（例えば「印刷」）を示すアクセスタイプ（Access type）と、許可／不許可を示す許可情報（Permission）と、許可証のタイプを示す許可証タイプ（Azn type: Authorization type）と、許可証の条件を示すパラメータ（Parameter）と、印刷時等に強制される処理を示す処理要求（Requirements）とを含んでいる。許可証タイプが「Ticket」のものは許可の与え方を回数で指定するタイプ（切符・回数券タイプ）のもので、その許可証を使ってアクセスを行う場合にはパラメータ部に記載されている回数が１回減らされる。また、許可証タイプが「Pass」のものは許可の与え方を期限で指定するタイプ（定期券タイプ）のもので、パラメータ部に記載されている期限内であればアクセスが許可される。

なお、配布者の入力操作に応じてドキュメント保護プログラム２１１がドキュメントファイルに設定する印刷要件の例としては、地紋印刷（Background Dot Pattern：以下、ＢＤＰという）、機密印刷（Private Access：以下、ＰＡＣという）、電子透かし（Digital Watermark：以下、ＤＷＭという）の付加、バーコード付加（Embedding Barcode：以下、ＥＢＣという）、機密ラベルスタンプ（Security Label Stamp：以下、ＳＬＳという）などが挙げられる。

以下、本実施形態にかかるドキュメント保護・印刷システムの動作について説明する。最初にシステム全体の動作について説明する。

図１において、配布者は、配布者端末２０１を操作してこれにドキュメントファイルを実装しておく。例えば、入力装置を用いて配布者がドキュメントファイルを作成してもよいし、外部記録装置を用いて情報記録媒体に記録されたドキュメントファイルを読み取らせても良い。

ドキュメントファイルにセキュリティを設定する場合、配布者は配布者端末２０１の入力装置を操作してドキュメントファイルをドキュメント保護プログラム２１１に受け渡す。ドキュメントファイルを取得したドキュメント保護プログラム２１１は、ＡＣＬの設定を配布者に要求する。例えば、ドキュメント保護プログラム２１１は、配布者端末２０１の表示装置にメッセージを表示するなどして、ＡＣＬの設定を要求する。図９はＡＣＬの設定を要求する画面の例を示したものであり、ユーザ名、アクセス許可、印刷要件の設定が行えるようになっている。すなわち、ＡＣＬのエントリとなるグループまたはユーザを追加し、そのグループまたはユーザに割り当てるアクセス権限を指定する。その際、必要に応じて印刷要件を指定することができ、印刷要件として設定可能なものの中から選択（チェック）を行い、更に補足情報が必要なものについては入力を行う。図ではウォーターマークの文字列として「ＣＯＮＦＩＤＥＮＴＩＡＬ」を指定している。そして、暗号化ボタンを押すことにより設定内容が取り込まれる。なお、この画面では保護するドキュメントファイルを指定することもできるようになっている。

配布者が配布者端末２０１の入力装置を介してＡＣＬを設定すると、ドキュメント保護プログラム２１１はこれを取得する。

ＡＣＬを取得したドキュメント保護プログラム２１１は、ドキュメントファイルごとに固有のドキュメントＩＤ（Document ID）と暗号化および復号に使用する暗号鍵（Key）とを生成し、ＡＣＬをこれらに関連付けてアクセスコントロールサーバ２０４へ送信し、ＡＣＬデータベース２４２への登録を要求する。

また、ドキュメント保護プログラム２１１は、暗号鍵を用いて暗号化したドキュメントファイルに対してドキュメントＩＤを付加して保護ドキュメントを生成する。

配布者は、ドキュメント保護プログラム２１１が生成した保護ドキュメントをユーザに受け渡す。

ここで、保護ドキュメントを生成した後に、何らかの理由でＡＣＬに設定したユーザとは異なるユーザにアクセスを許可したり、あるいは設定した制限を軽減してアクセスさせたりしたい状況が発生した場合、管理責任者はアクセスコントロールサーバ２０４に対して許可証の発行処理を行う。すなわち、アクセスコントロールサーバ２０４は操作する者（管理責任者）に対してユーザ名およびパスワードを求め、許可証を発行する権限があるか否かをユーザデータベース２４１を参照して確認する。権限が確認された場合、ドキュメントＩＤ、ユーザ名（アクセスを許可する相手）、アクセスタイプ、許可情報、許可証タイプ、パラメータ、印刷要件を管理責任者から受け取り、許可証データベース２４３に登録する。

ユーザがドキュメントを印刷しようとする場合には、ユーザ端末２０２に保護ドキュメントを実装する。例えば、情報記録媒体に記録された保護ドキュメントを外部記録装置を用いてユーザ端末２０２に読み取らせても良いし、ユーザ端末２０２が配布者端末２０１と通信可能である場合には、通信網を介して配布者端末２０１から保護ドキュメントを取得するようにしてもよい。

ユーザが、ユーザ端末２０２の入力装置を介してドキュメント印刷プログラム２２１に対して印刷を指示すると、印刷を要求されたドキュメント印刷プログラム２２１は、ユーザを認証するために必要となるユーザ名とパスワードの入力をユーザに要求する。例えば、ドキュメント印刷プログラム２２１は、ユーザ端末２０２の表示装置にメッセージを表示するなどして、ユーザ名とパスワードの入力を要求する。図１０はユーザ名（ユーザＩＤ）とパスワードを要求する画面の例を示したものであり、キーボード等によって入力が行えるようになっている。

ドキュメント印刷プログラム２２１は、ユーザから入力されたユーザ名とパスワードとをアクセスコントロールサーバ２０４へ送信して、ユーザ認証を要求する。

アクセスコントロールサーバ２０４は、ドキュメント印刷プログラム２２１から受け渡されたユーザ名とパスワードとを用いてユーザ認証を行い、ユーザを特定する。

ユーザを特定すると、アクセスコントロールサーバ２０４は、許可証データベース２４３およびＡＣＬデータベース２４２を参照し、ドキュメントファイルを印刷する権限がユーザにあるか否かや、ユーザがドキュメントファイルを印刷する際には、どのような印刷要件が設定されているかを取得する。

ユーザにドキュメントファイルを印刷する権限がある場合、アクセスコントロールサーバ２０４は、その旨を示す認証情報とともに、保護ドキュメントを復号するための暗号鍵とユーザがドキュメントファイルを印刷する際の印刷要件とをユーザ端末２０２を介してドキュメント印刷プログラム２２１に通知する。

アクセスコントロールサーバ２０４から認証情報とともに、暗号鍵と印刷要件とを取得したドキュメント印刷プログラム２２１は、暗号鍵を用いて保護ドキュメントを復号してドキュメントファイルに復元する。

そしてドキュメント印刷プログラム２２１は、印刷要件を満たすようにプリンタ２０３に印刷処理を実行させる。例えば、ドキュメントファイルに前述したＢＤＰが印刷要件として設定されている場合には、ドキュメントの内容とともに地紋画像を印刷する。

これにより、ドキュメントファイルを印刷する際に、配布者がユーザ各人に対して設定した印刷要件を強制することが可能となる。

なお、ユーザが印刷要件について意識していない場合があると共に、印刷要件によっては特定のプリンタでないと処理できないものもあるため、印刷の実行前にその旨の情報がユーザに提供されることが望ましい。図１１はユーザ端末２０２の表示装置上に表示される確認画面の例を示したものであり、印刷要件と利用できるプリンタとが表示され、使用するプリンタを選択することができるようになっている。

次に、ドキュメントを保護する際のドキュメント保護プログラム２１１およびアクセスコントロールサーバ２０４の動作、許可証を発行する際のアクセスコントロールサーバ２０４の動作、および保護ドキュメントをドキュメントファイルに復元して印刷する際のドキュメント印刷プログラム２２１およびアクセスコントロールサーバ２０４の動作についてさらに詳しく説明する。

図１２に、ドキュメント保護プログラム２１１が保護ドキュメントを生成する際の動作を示す。ドキュメント保護プログラム２１１は、配布者端末２０１の入力装置における配布者の入力操作によってドキュメントファイルとＡＣＬとを取得すると、ドキュメントファイルを暗号化および復号するための暗号鍵を生成する。そして、ドキュメント保護プログラム２１１は、生成した暗号鍵を用いてドキュメントファイルを暗号化して、暗号化ドキュメントを生成する。

さらにドキュメント保護プログラム２１１は、ドキュメントファイルごとに固有のドキュメントＩＤを暗号化ドキュメントに添付して保護ドキュメントを生成する。

保護ドキュメントを生成した後、ドキュメント保護プログラム２１１は配布者端末２０１の通信機能を用いて、暗号鍵とＡＣＬとドキュメントＩＤとをアクセスコントロールサーバ２０４へ送信し、これらの登録をアクセスコントロールサーバ２０４に要求する。

暗号鍵とＡＣＬとドキュメントＩＤとをドキュメント保護プログラム２１１から受け渡されたアクセスコントロールサーバ２０４は、図７に示したように、これらを関連付けて一つのレコードとしてＡＣＬデータベース２４２に記録保持する。

上記の動作を図２および図５に基づいてさらに詳しく説明する。

まず、図２において、ドキュメント保護プログラム２１１の暗号化部２１１ａは、配布者から引き渡されたドキュメントファイルに対し、暗号鍵取得部２１１ｂが生成した暗号鍵を用いて暗号化を行い、この暗号化ドキュメントを属性付与部２１１ｃに渡す。

属性付与部２１１ｃはドキュメントＩＤを生成し、暗号化部２１１ａから渡された暗号化ドキュメントにドキュメントＩＤを付与して保護ドキュメントとして出力する。

また、属性登録部２１１ｄは配布者からＡＣＬを受け取るとともに、暗号鍵取得部２１１ｂから暗号鍵を、属性付与部２１１ｃからドキュメントＩＤをそれぞれ受け取り、アクセスコントロールサーバ２０４に対してこれらのドキュメントＩＤ、暗号鍵、ＡＣＬを渡して登録を要求する。

次いで、図５において、アクセスコントロールサーバ２０４の属性ＤＢ登録部２０４ａは、渡されたドキュメントＩＤ、暗号鍵、ＡＣＬをＡＣＬデータベース２４２に登録する。

なお、上記の例においてはドキュメントＩＤの生成や暗号鍵の生成をドキュメント保護プログラム２１１が行う場合を示したが、これらの処理はアクセスコントロールサーバ２０４や不図示のサーバなどで行っても良い。

また、配布者端末２０１とアクセスコントロールサーバ２０４との間が専用回線ではなくネットワークを介して接続されており、暗号鍵などを送信する際に盗聴される懸念がある場合には、ＳＳＬ（Secure Socket Layer）を用いて通信を行えばよい。

ドキュメント保護プログラム２１１がアクセスコントロールサーバ２０４と通信する際のプロトコルは、どのようなものを用いてもよい。例えば、分散オブジェクト環境を導入し、Ｊａｖａ（Ｒ）ＲＭＩ（Remote Method Invocation）やＳＯＡＰ（Simple Object Access Protocol）をベースとして情報を送受信するようにしても良い。その場合、アクセスコントロールサーバ２０４は、例えば「register(String docId, byte[] key, byte[] acl)」のようなメソッドを実装するようにしてもよい。ＳＯＡＰであれば、ＨＴＴＰＳの上でＳＯＡＰプロトコルをやりとりし、ＲＭＩであればＳＳＬベースのSocketFactoryを用いてＲＭＩを実行するようにすれば、ネットワーク上でのセキュリティを確保できる。

次に、許可証を発行する際のアクセスコントロールサーバ２０４の動作について説明する。

図５において、アクセスコントロールサーバ２０４のユーザ認証部２０４ｂは管理責任者から本人のユーザ名およびパスワードを入力し、ユーザデータベース２４１を参照して許可証を発行する権限があるか否かを確認する。権限が確認された場合、許可証発行部２０４ｅは管理責任者からドキュメントＩＤ、ユーザ名（アクセスを許可する相手）、アクセスタイプ、許可情報、許可証タイプ、パラメータ、印刷要件を受け取り、許可証データベース２４３に登録する。

次に、ドキュメント印刷プログラム２２１が保護ドキュメントを印刷する際の動作について説明する。

図１３に、保護ドキュメントを印刷する際のドキュメント印刷プログラム２２１およびアクセスコントロールサーバ２０４の動作の流れを示す。

ドキュメント印刷プログラム２２１は、ユーザ端末２０２の入力装置におけるユーザの入力操作によって保護ドキュメントとユーザ名とパスワードとを取得すると、保護ドキュメントに添付されているドキュメントＩＤを取得する。

そして、ユーザ名とパスワードとドキュメントＩＤとアクセスタイプ（ユーザが要求する処理を示す情報。ここでは、保護ドキュメントを印刷しようとするので、“print”となる。）とをアクセスコントロールサーバ２０４へ送信して、アクセス権限があるか否かのチェックを要求する。なお、図１４はアクセスコントロールサーバ２０４へのＳＯＡＰによる問い合わせの例を示す図であり、ユーザ名（userId）とドキュメントＩＤ（docId）とアクセスタイプ（accessType）とを渡してアクセスが許可されているかを問い合わせるＳＯＡＰメッセージ（isAllowed）を送付し、その結果（isAllowedResponse）を受け取っている例である。結果には、許可されているということ（allowedがtrue）と要件（requirements）とが含まれている。

アクセスコントロールサーバ２０４は、ドキュメント印刷プログラム２２１からユーザ名とパスワードとドキュメントＩＤとアクセスタイプとを取得すると、ユーザデータベース２４１に登録されている情報を参照し、ユーザ認証を行う。換言すると、アクセスコントロールサーバ２０４は、ユーザデータベース２４１に登録されている情報を参照し、ドキュメント印刷プログラム２２１から取得した情報に含まれるユーザ名とパスワードとを組としたものが、ユーザデータベース２４１に組として登録されているか否かを判断する。

ユーザ認証に失敗した場合（換言すると、ドキュメント印刷プログラム２２１から受け渡された情報に含まれるユーザ名とパスワードとを組としたものがユーザデータベース２４１に登録されていない場合）、アクセスコントロールサーバ２０４は、許可情報（ユーザが要求する処理を許可するか否かを示す情報）を「不許可」としてユーザ端末２０２へ送信し、ドキュメント印刷プログラム２２１へ受け渡す。なお、この場合は「エラー」とした許可情報をドキュメント印刷プログラム２２１へ受け渡すようにしてもよい。

一方、ユーザ認証に成功した場合、アクセスコントロールサーバ２０４は、許可証データベース２４３に格納されているレコードのうち、ドキュメント印刷プログラム２２１から取得した情報に含まれるドキュメントＩＤ、ユーザ名、アクセスタイプが一致するレコードを読み出す。許可証のレコードが読み出せた場合、その許可証が回数を指定するタイプである場合には、そのレコードから許可情報と印刷要件を取得し、パラメータの示す回数を１回分だけ減じ、許可証データベース２４３の該当レコードを更新する。また、パラメータの示す回数がゼロになった場合には該当レコードを削除する。一方、その許可証が期限を指定するタイプである場合には、現在日時がパラメータの示す期限内であるか否かを判断し、期限内であればそのレコードから許可情報と印刷要件を取得する。また、期限内でなければ該当レコードを削除する。

一方、許可証のレコードが取り出せなかった場合、ＡＣＬデータベース２４２に格納されているレコードのうち、ドキュメント印刷プログラム２２１から取得した情報に含まれるドキュメントＩＤに関するレコードを読み出す。

アクセスコントロールサーバ２０４は、読み出したレコードに含まれるＡＣＬを取得し、ドキュメント印刷プログラム２２１から取得したユーザ名およびアクセスタイプに基づいて、ＡＣＬから許可情報および印刷要件を取得する。換言すると、アクセスコントロールサーバ２０４は、ユーザ名とアクセスタイプとに基づいて、予めＡＣＬに設定されている許可情報と印刷要件とを取得する。

許可証もしくはＡＣＬから取得した許可情報が「許可」である場合、アクセスコントロールサーバ２０４は、レコードに格納されている暗号鍵と印刷要件とを許可情報とともにユーザ端末２０２へ送信してドキュメント印刷プログラム２２１に受け渡す。

一方、許可証もしくはＡＣＬから取得した許可情報が「不許可」である場合、アクセスコントロールサーバ２０４は、許可情報のみをユーザ端末２０２へ送信してドキュメント印刷プログラム２２１に受け渡す。

アクセスコントロールサーバ２０４から許可情報を受け渡されたドキュメント印刷プログラム２２１は、取得した許可情報を参照し、「不許可」である場合には、ユーザ端末２０２の表示装置にメッセージを表示するなどして、要求された処理を実行できないことをユーザに通知する。

一方、取得した許可情報が「許可」である場合には、許可情報と共に受け渡された暗号鍵を用いて、保護ドキュメントのうちの暗号化ドキュメントの部分を復号してドキュメントファイルに復元する。

また、ドキュメント印刷プログラム２２１は、許可情報と共に取得した印刷要件を満足するようにプリンタドライバを設定し（例えば、ＰＡＣが指定されていれば機密印刷モードに設定する）、プリンタ２０３にドキュメントの印刷処理を実行させる。なお、必要があれば、ユーザ端末２０２の表示装置にメッセージを表示するなどして、印刷パラメータの設定をユーザに要求するようにしてもよい。

アクセスコントロールサーバ２０４から取得した印刷要件を満足する印刷をプリンタ２０３では実行できない場合、換言すると、プリンタ２０３が許可証もしくはＡＣＬに設定されていた印刷要件を満たす機能を備えていない場合には、その旨を示すメッセージを表示装置に表示させるなどしてユーザに通知し、印刷は行わずに処理を終了する。

なお、上記の例ではアクセスコントロールサーバ２０４がアクセスの許可／不許可の判断をする際に同時に許可証の確認をし、その許可証の使用可能回数を消費するやり方になっているが、これを一度に処理せず、個別の処理に分離しても良い。例えば、ドキュメント印刷プログラム２２１からアクセスコントロールサーバ２０４への最初の問い合わせでは単にＡＣＬをベースにした権限確認を行い、次にドキュメント印刷プログラム２２１が許可証が発行されているかどうかの問い合わせをアクセスコントロールサーバ２０４に対して行い、許可証が発行されていればその許可証を使用するかどうかドキュメント印刷プログラム２２１がユーザに確認し、ユーザが許可証の使用を要求した場合にはドキュメント印刷プログラム２２１がアクセスコントロールサーバ２０４にその許可証の消費を通知する、というように分離して処理しても良い。

上記の動作を図３〜図５に基づいてさらに詳しく説明する。

まず、図３において、ドキュメント印刷プログラム２２１の復号鍵取得部２２１ｂはアクセスコントロールサーバ２０４に対してアクセス権の確認を行う。

確認の問い合わせを受けたアクセスコントロールサーバ２０４は、図５において、ユーザ認証部２０４ｂがユーザデータベース２４１を参照してユーザ認証を行い、認証結果をドキュメント印刷プログラム２２１に通知する。また、ユーザ認証に成功した場合、許可証確認部２０４ｆが許可証データベース２４３を参照して許可情報および複合鍵を取得し、許可証が存在しなかった場合にはアクセス権限確認部２０４ｃがＡＣＬデータベース２４２を参照して許可情報および復号鍵を取得する。そして、印刷要件取得送付部２０４ｄが許可証データベース２４３もしくはＡＣＬデータベース２４２から印刷要件を取得し、ドキュメント印刷プログラム２２１に通知する。なお、図５ではいったん認証結果を返してから再び認証結果を渡すようにしているが、これを一度に実行してもよい。また、許可情報、復号鍵および印刷要件を別々に返すようにしているが、これらを一度に返すようにしてもよい。

図３において、復号鍵取得部２２１ｂはアクセス権の確認ができた場合にアクセスコントロールサーバ２０４から復号鍵を得て、これを復号部２２１ａに渡す。また、印刷要件取得部２２１ｃはアクセスコントロールサーバ２０４から印刷要件を取得し、印刷処理部２２１ｄに渡す。

復号部２２１ａは復号鍵取得部２２１ｂから取得した復号鍵を用いて保護ドキュメントを復号し、ドキュメントファイルを得て印刷処理部２２１ｄに渡す。

次いで、図４において、印刷処理部２２１ｄの要件処理部２２１ｅは、受け取った印刷要件の内容に応じて複数の処理を行う。すなわち、前述したＢＤＰ、ＥＢＣ、ＳＬＳのようにドキュメントファイルそのものを加工する必要がある処理についてはドキュメント加工部２２１ｆに加工情報を与えてドキュメントファイルの加工を行わせ、加工済みのドキュメントファイルをプリンタドライバ２２１ｇに渡し、印刷データをプリンタ２０３に与えて印刷を行う。また、ＰＡＣのようにプリンタドライバに特別な設定を行う必要がある処理についてはプリンタドライバ２２１ｇに印刷設定を行う。さらに、ユーザに対して警告メッセージを表示する必要がある場合には警告表示部２２１ｈに警告メッセージを渡し、表示装置に表示を行わせる。また、印刷のログを残す必要がある場合にはログ記録部２２１ｉにログ情報を渡し、リモートサーバ等にログデータを登録させる。

以上の動作によって、ユーザごとに異なるアクセス権や印刷要件を設定することが可能となると共に、ユーザごと、ドキュメントごとに明示的に許可証を発行してアクセスを許可することができるようになり、許可する際に印刷要件などの処理要件を強制することができる。また、上記のようにサーバ側で許可証を管理する仕組みにすることで、発行した許可証レコードを後から変更できるような機能を更に加えれば、許可証を発行した後でもその許可証を無効にすることが容易にできるようになる。

また、サーバ側で許可証を管理する仕組みが必須であるわけではない。許可証データベース２４３に格納されている許可証をユーザに渡してアクセスの際に提示させるようなモデルにしてもよい。その場合には許可証が改ざん・偽造される恐れがあるため、図８に示した許可証の構成に加えてその許可証の改ざん等を検出するためのメッセージ認証子のフィールドを加え、その許可証が提示された際にメッセージ認証子の正当性を確認するような処理を行うようにしてもよい。ここで、メッセージ認証子の生成方法の例としては、図８に示すデータに対してSHA-1やMD5といったハッシュアルゴリズムによりハッシュ値を計算し、許可証発行元だけが持つ秘密鍵によりそのハッシュ値を暗号化したもの等がある。更に、許可証の再利用を防ぐためにシリアル番号のフィールドを追加するようにして、すでに使用された許可証でないかどうか、シリアル番号で確認するような処理を行うようにしてもよい。

なお、本実施形態にかかるドキュメント保護・印刷システムが上記のような手法でドキュメントファイルを保護していることを知っている者は、ドキュメント印刷プログラム２２１に成りすますプログラムをコンピュータ端末に実行させて暗号鍵を不正に入手し、保護ドキュメントを復号することも可能ではある。この場合は、ＡＣＬとして設定されている印刷要件を強制されることなく、保護ドキュメントを印刷できてしまうこととなる。

このため、単に暗号鍵のみを用いてドキュメントファイルを暗号化するのではなく、ドキュメント保護プログラム２１１の内部に埋め込まれた秘密鍵と暗号鍵とを合わせたもの（排他的論理和を取ったもの）でドキュメントファイルを暗号化することが好ましい。 この場合は、ドキュメント印刷プログラム２２１にも同一の秘密鍵を埋め込んでおくことで、配布者が設定した印刷要件を印刷時に強制するドキュメント印刷プログラム２２１のみが、保護ドキュメントを復号して印刷することが可能となる。

図１５および図１６は上述したような内部に秘密鍵を埋め込んでおくタイプの構成例を示したものであり、図１５はドキュメント保護プログラム２１１の構成例を示し、図１６はドキュメント印刷プログラム２２１の構成例のうち復号に関係する部分のみを示している。なお、この例は、単に内部に秘密鍵を埋め込んでおくだけではなく、乱数を導入して不正アクセスに対しより強化している。

図１５において、ドキュメント保護プログラム２１１は暗号化部２１１ａと暗号鍵取得部２１１ｂと属性付与部２１１ｃと属性登録部２１１ｄとパラメータ取得部２１１ｅとを含んでいる。

動作にあっては、パラメータ取得部２１１ｅはパラメータ（kp）を生成し、暗号鍵取得部２１１ｂに渡す。なお、パラメータ（kp）はドキュメント保護プログラム２１１の内部に保持しておくか、要求があった場合に生成するようにする。

暗号鍵取得部２１１ｂはパラメータ取得部２１１ｅからパラメータ（kp）を受け取った上で、二つの乱数（kd）（ks）を生成し、暗号鍵（k）を式k=H{ks,kp,kd}あるいはk=D{kd,D{ks,kp}}で計算して生成し、暗号鍵（k）を暗号化部２１１ａに、乱数（kd）を属性付与部２１１ｃに、乱数（ks）を属性登録部２１１ｄにそれぞれ渡す。なお、H{data1,data2,・・}はdata1,data2,・・のハッシュ値を計算することを意味し、D{data,key}はkeyでdataを復号することを意味している。

暗号化部２１１ａは配布者から引き渡されたドキュメントファイル（doc）に対し、暗号鍵取得部２１１ｂから取得した暗号鍵（k）を用いて暗号化を行い、暗号化されたドキュメント（enc）を属性付与部２１１ｃに渡す。式で示せばenc=E{doc,k}となる。なお、E{data,key}はkeyでdataを暗号化することを意味している。

次いで、属性付与部２１１ｃはドキュメントＩＤ（id）を生成し、暗号化されたドキュメント（enc）にそのドキュメントＩＤ（id）と暗号鍵取得部２１１ｂから渡された乱数（kd）を付与して保護ドキュメント（enc+id+kd）を出力する。また、属性付与部２１１ｃは生成したドキュメントＩＤ（id）を属性登録部２１１ｄに渡す。

属性登録部２１１ｄは、属性付与部２１１ｃから渡されたドキュメントＩＤ（id）と暗号鍵取得部２１１ｂから渡された乱数（ks）と配布者から取得したＡＣＬ（attr）とをアクセスコントロールサーバ２０４に通知し、登録を要求することになる。

復号にあっては、図１６において、復号鍵取得部２２１ｂは保護ドキュメントから乱数（kd）を取得するとともに、パラメータ取得部２２１ｊからドキュメント印刷プログラム２２１の内部に保持してある、あるいは要求に応じて生成したパラメータ（kp）を取得し、さらにアクセスコントロールサーバ２０４から乱数（ks）を取得し、暗号化の場合と同様に式k=H{ks,kp,kd}あるいはk=D{kd,D{ks,kp}}で計算して復号鍵（暗号鍵）（k）を得る。

そして、復号部２２１ａは暗号化されたドキュメント（enc）を復号鍵（k）で復号し、ドキュメントファイル（doc）を得る。

図１５および図１６は、アクセスコントロールサーバ２０４に登録される乱数（ks）と保護ドキュメント内の乱数（kd）とドキュメント保護プログラム２１１もしくはドキュメント印刷プログラム２２１内から取得されるパラメータ（kp）とに基づいて暗号鍵（復号鍵）（k）を生成する方式であるが、こうすることでアクセスコントロールサーバ２０４が悪意のあるユーザによって不正アクセスされて乱数（ks）が知られてしまった場合であっても、乱数（kd）やパラメータ（kp）が知られなければ保護ドキュメントを復号できないことになる。なお、アクセスコントロールサーバ２０４が不正アクセスされないように十分にガードされている環境にあっては、乱数（ks）をそのまま暗号鍵（復号鍵）（k）として使用してもよい。

一方、これまで説明してきた第１の実施形態では、印刷要件をアクセスコントロールサーバ２０４にのみ格納するものとしてきたが、そのような形式に限定されず、保護ドキュメントに含めるようにしてもよい。例えば、ユーザによらずドキュメントファイルに対して必ず指定するような印刷要件については保護ドキュメントの中に含めるようにしてもよい。

図１７は、印刷要件を保護ドキュメントに含める第一印刷要件と、アクセスコントロールサーバ２０４に格納される第二印刷要件とに分けた場合のドキュメント印刷プログラム２２１の構成例を示したものであり、印刷要件取得部２２１ｃにおいてアクセスコントロールサーバ２０４から第二印刷要件を取得するとともに、復号部２２１ａにおいて保護ドキュメントから第一印刷要件を取得し、第一印刷要件および第二印刷要件に基づいて印刷処理部２２１ｄで印刷処理を行うようにしている。その他は図３に示したドキュメント印刷プログラム２２１と同様である。

また、本実施形態においては、ドキュメント印刷プログラム２２１は、ドキュメントファイルの印刷に関する処理のみを行っているが、ドキュメント印刷プログラム２２１は、ドキュメントファイルの内容をユーザに提示したり、ドキュメントファイルを編集する機能を備えていても良い。例えば、Adobe Acrobat（Ｒ）のPlug-inとしてポータブルドキュメントファイル（Portable Document Format：ＰＤＦ File）の表示、編集および印刷の機能を実現することが可能である。

〔第２の実施形態〕
本発明を好適に実施した第２の実施形態について説明する。

上記第１の実施形態においては、配布者がドキュメントファイルに対してＡＣＬを設定する必要がある。このため、多数のユーザにドキュメントを配布しようとする場合は、各ユーザごとに印刷要件を個別に設定することはドキュメントファイルの配布者がＡＣＬを作成するための負担が大きくなってしまう。一方、ドキュメントファイルの内容がビジネス文書などである場合は、これをどのように保護するかは、配布者が独自に決定するのではなく、所属する組織（企業や団体など）のセキュリティポリシー（秘密管理規則）に基づいて決定することとなる。よって、ドキュメント保護・印刷システムが配布者の所属する組織のセキュリティポリシーに従ってドキュメントファイルを保護できれば、配布者がＡＣＬを設定しなくても良くなる。本発明の第２の実施形態では、配布者の所属する組織のセキュリティポリシーに従ってドキュメントを保護するドキュメント保護・印刷システムに対し、許可証の作成および適用を行う機能を付加したものについて説明する。

図１８に、本実施形態にかかるドキュメント保護・印刷システムの構成を示す。

本実施形態にかかるドキュメント保護・印刷システムは、配布者端末３０１、ユーザ端末３０２、プリンタ３０３およびアクセスコントロールサーバ３０４を有する。

配布者端末３０１およびユーザ端末３０２は、表示装置（例えば、ＬＣＤ）、入力装置（例えば、キーボード）、外部記録装置（例えば、ＦＤＤ、ＨＤＤ）などを備えたコンピュータ端末を適用できる。なお、配布者端末３０１にはドキュメント保護プログラム３１１が、ユーザ端末３０２にはドキュメント印刷プログラム３２１がそれぞれ実装されている。

ドキュメント保護プログラム３１１は、ドキュメントファイルに配布者端末３０１の使用者（配布者）の入力操作に応じて印刷要件を設定するとともに、暗号化アルゴリズム（ＲＣ４、Ｔｒｉｐｌｅ ＤＥＳ、ＩＤＥＡなど）を用いてドキュメントファイルを暗号化し、保護ドキュメントを生成する処理を行うプログラムである。図１９はドキュメント保護プログラム３１１の構成例を示したものであり、暗号化部３１１ａと暗号鍵取得部３１１ｂと属性付与部３１１ｃと属性登録部３１１ｄとを含んでいる。各部の機能については後の動作において説明する。

図１８に戻り、ドキュメント印刷プログラム３２１は、ユーザ端末３０２の使用者（ユーザ）の入力操作に応じ、保護ドキュメントを復号するとともに設定されている印刷要件に応じた印刷処理をプリンタ３０３に実行させる処理を行うプログラムである。図２０はドキュメント印刷プログラム３２１の構成例を示したものであり、復号部３２１ａと復号鍵取得部３２１ｂと印刷要件取得部３２１ｃと印刷処理部３２１ｄとを含んでいる。また、図２１は図２０における印刷処理部３２１ｄの構成例を示したものであり、要件処理部３２１ｅとドキュメント加工部３２１ｆとプリンタドライバ３２１ｇと警告表示部３２１ｈとログ記録部３２１ｉとを含んでいる。各部の機能については後の動作において説明する。

図１８に戻り、アクセスコントロールサーバ３０４は、配布者がドキュメント保護プログラム３１１により保護ドキュメントを生成する際に保護ドキュメントに関する情報を取得して登録すると共に、ユーザがドキュメントにアクセス（例えば、印刷）しようとする場合に、ドキュメント印刷プログラム３２１からの要求に応じてＡＣＬを参照し、ドキュメントにアクセスする権限があるか否か、処理要件がどのように設定されているかを取得するサーバである。また、アクセスコントロールサーバ３０４は、本発明の特徴的な機能の一つとして、ドキュメントの管理責任者からの要求を受けて許可証を発行し登録する機能も有している。

アクセスコントロールサーバ３０４には、ユーザ各人の認証用の情報（ユーザ名とパスワードとの組）およびユーザの階級を示す情報が格納されたユーザデータベース３４１と、ユーザ各人ごとに設定された処理要件を含むＡＣＬがセキュリティ属性に応じて複数登録されているＡＣＬデータベース３４２と、各保護ドキュメントにどのようなセキュリティ属性が設定されているかを示す情報およびその保護ドキュメントを復号するための暗号鍵が関連付けられて登録されるセキュリティ属性データベース３４３と、ドキュメントあるいはドキュメント群を指定して特定のユーザに発行された許可証を格納する許可証データベース３４４とが接続されている。

図２２はアクセスコントロールサーバ３０４の構成例を示したものであり、属性ＤＢ登録部３０４ａとユーザ認証部３０４ｂとアクセス権限確認部３０４ｃと印刷要件取得送付部３０４ｄと許可証発行部３０４ｅと許可証確認部３０４ｆとを含んでいる。各部の機能については後の動作において説明する。

なお、セキュリティ属性に応じたＡＣＬの例をあげると、「第一設計室用ＡＣＬ」、「第二設計室用ＡＣＬ」のように小組織に応じたＡＣＬである。ＡＣＬの構成例を図２３に示すが、ＡＣＬはユーザ名（User Name）、アクセスタイプ（Access Type）、許可情報（Permission）および処理要件（Requirement）をパラメータとして構成される。そして、このＡＣＬは、ＡＣＬデータベース３４２内ではセキュリティ属性ごとに登録されている。

また、図２４は許可証データベース３４４の構成例を示したものであり、ドキュメントまたはドキュメント群を特定する部分として、ドキュメントを特定するドキュメントＩＤ（Document ID）と、技術関連、人事関連等の文書カテゴリ（Category）と、極秘、秘、社外秘、公開等の機密レベル（Level）とを含み、その他に、アクセスを許可するユーザ名（User Name）と、許可証情報（Authorization）とを含んでいる。同図の下段は許可証情報（Authorization）の構成例を示したものであり、アクセスの種類（例えば「印刷」）を示すアクセスタイプ（Access type）と、許可／不許可を示す許可情報（Permission）と、許可証のタイプを示す許可証タイプ（Azn type: Authorization type）と、許可証の条件を示すパラメータ（Parameter）と、印刷時等に強制される処理を示す処理要求（Requirements）とを含んでいる。許可証タイプが「Ticket」のものは許可の与え方を回数で指定するタイプ（切符・回数券タイプ）のもので、その許可証を使ってアクセスを行う場合にはパラメータ部に記載されている回数が１回減らされる。また、許可証タイプが「Pass」のものは許可の与え方を期限で指定するタイプ（定期券タイプ）のもので、パラメータ部に記載されている期限内であればアクセスが許可される。

以下、本実施形態にかかるドキュメント保護・印刷システムの動作について説明する。最初にシステム全体の動作について説明する。

配布者は、配布者端末３０１を操作してこれにドキュメントファイルを実装しておく。例えば、入力装置を用いて配布者がドキュメントファイルを作成してもよいし、外部記録装置を用いて情報記録媒体に記録されたドキュメントファイルを読み取らせても良い。

ドキュメントファイルにセキュリティを設定する場合、配布者は配布者端末３０１の入力装置を操作してドキュメントファイルをドキュメント保護プログラム３１１に受け渡す。ドキュメントファイルを取得したドキュメント保護プログラム３１１は、セキュリティ属性の設定を配布者に要求する。例えば、ドキュメント保護プログラム３１１は、配布者端末３０１の表示装置にメッセージを表示するなどして、セキュリティ属性の設定を要求する。図２５はセキュリティ属性の設定を要求する画面の例を示したものであり、文書カテゴリ（技術関連、人事関連等）および機密レベル（極秘、秘、社外秘、公開等）の設定がプルダウンメニュー等から選択することにより行えるようになっている。なお、図２５の画面では保護するドキュメントファイルを指定することもできるようになっている。

配布者が配布者端末３０１の入力装置を介してドキュメントファイルにセキュリティ属性を設定すると、ドキュメント保護プログラム３１１はこれを取得する。

セキュリティ属性を取得したドキュメント保護プログラム３１１は、ドキュメントファイルごとに固有のドキュメントＩＤを生成し、暗号化および復号に使用する暗号鍵とセキュリティ属性とをこれに関連付けてアクセスコントロールサーバ３０４へ送信し、セキュリティ属性データベース３４３への登録を要求する。

また、ドキュメント保護プログラム３１１は、暗号鍵を用いて暗号化したドキュメントファイルに対してドキュメントＩＤを付加して保護ドキュメントを生成する。

配布者は、ドキュメント保護プログラム３１１が生成した保護ドキュメントをユーザに受け渡す。

ここで、保護ドキュメントを生成した後に、何らかの理由でＡＣＬに設定した条件（セキュリティ属性）とは異なる条件で特定のユーザにアクセスを許可したり、あるいは設定した制限を軽減してアクセスさせたりしたい状況が発生した場合、管理責任者はアクセスコントロールサーバ３０４に対して許可証の発行処理を行う。すなわち、アクセスコントロールサーバ３０４は操作する者（管理責任者）に対してユーザ名およびパスワードを求め、許可証を発行する権限があるか否かをユーザデータベース３４１を参照して確認する。権限が確認された場合、ドキュメントＩＤ（ドキュメント群を指定する場合はセキュリティ属性）、ユーザ名（アクセスを許可する相手）、アクセスタイプ、許可情報、許可証タイプ、パラメータ、印刷要件を管理責任者から受け取り、許可証データベース３４４に登録する。

ユーザがドキュメントを印刷しようとする場合には、ユーザ端末３０２に保護ドキュメントを実装する。例えば、情報記録媒体に記録された保護ドキュメントを外部記録装置を用いてユーザ端末に読み取らせても良いし、ユーザ端末３０２が配布者端末３０１と通信可能である場合には、通信網を介して配布者端末３０１から保護ドキュメントを取得するようにしてもよい。

ユーザが、ユーザ端末３０２の入力装置を介してドキュメント印刷プログラム３２１に対して印刷を指示すると、印刷を要求されたドキュメント印刷プログラム３２１は、ユーザを認証するために必要となるユーザ名とパスワードの入力をユーザに要求する。例えば、ドキュメント印刷プログラム３２１は、ユーザ端末３０２の表示装置にメッセージを表示するなどして、ユーザ名とパスワードの入力を要求する。図２６はユーザ名（ユーザＩＤ）とパスワードを要求する画面の例を示したものであり、キーボード等によって入力が行えるようになっている。

ドキュメント印刷プログラム３２１は、ユーザから入力されたユーザ名とパスワードとをアクセスコントロールサーバ３０４へ送信して、ユーザ認証を要求する。

アクセスコントロールサーバ３０４は、ドキュメント印刷プログラム３２１から受け渡されたユーザ名とパスワードとを用いてユーザ認証を行い、ユーザを特定する。

ユーザを特定すると、アクセスコントロールサーバ３０４は、セキュリティ属性データベース３４３を参照し、保護ドキュメントに設定されているセキュリティ属性の種類を特定する。その後、アクセスコントロールサーバ３０４は、許可証データベース３４４を参照し、ドキュメントファイルを印刷する権限がユーザにあるか否かや、ユーザがドキュメントファイルを印刷する際には、どのような印刷要件が設定されているかを取得する。この時、最初はドキュメントＩＤ、ユーザ名、アクセスタイプの一致する許可証が存在するか否かを調べ、存在しない場合は文書カテゴリ、機密レベル、ユーザ名、アクセスタイプの一致する許可証が存在するか否かを調べる。更に、合致する許可証が存在しない場合は、ＡＣＬデータベース３４２に登録されているＡＣＬのうち、保護ドキュメントに設定されているセキュリティ属性に該当するものを参照し、ドキュメントファイルを印刷する権限がユーザにあるか否かや、ユーザがドキュメントファイルを印刷する際には、どのような印刷要件が設定されているかを取得する。

ユーザにドキュメントファイルを印刷する権限がある場合、アクセスコントロールサーバ３０４は、印刷が許可されていることを示す許可情報とともに、保護ドキュメントを復号するための暗号鍵とユーザがドキュメントファイルを印刷する際の印刷要件とをユーザ端末３０２へ送信し、ドキュメント印刷プログラム３２１に受け渡す。

アクセスコントロールサーバ３０４から許可情報とともに、暗号鍵と印刷要件とを取得したドキュメント印刷プログラム３２１は、暗号鍵を用いて保護ドキュメントを復号してドキュメントファイルに復元する。

そしてドキュメント印刷プログラム３２１は、印刷要件を満たすようにプリンタ３０３に印刷処理を実行させる。例えば、ドキュメントファイルに前述したＢＤＰが印刷要件として設定されている場合には、ドキュメントの内容とともに地紋画像を印刷する。

これにより、ドキュメントファイルを印刷する際に、予め設定されたセキュリティ属性に応じた印刷要件を強制することが可能となる。

なお、ユーザが印刷要件について意識していない場合があると共に、印刷要件によっては特定のプリンタでないと処理できないものもあるため、印刷の実行前にその旨の情報がユーザに提供されることが望ましい。図２７はユーザ端末３０２の表示装置上に表示される確認画面の例を示したものであり、印刷要件と利用できるプリンタとが表示され、使用するプリンタを選択することができるようになっている。

次に、ドキュメントを保護する際のドキュメント保護プログラム３１１およびアクセスコントロールサーバ３０４の動作、許可証を発行する際のアクセスコントロールサーバ３０４の動作、および保護ドキュメントをドキュメントファイルに復元して印刷する際のドキュメント印刷プログラム３２１およびアクセスコントロールサーバ３０４の動作についてさらに詳しく説明する。

図２８に、ドキュメント保護プログラム３１１が保護ドキュメントを生成する際の動作を示す。ドキュメント保護プログラム３１１は、配布者端末３０１の入力装置における配布者の入力操作によってドキュメントファイルとそのセキュリティ属性とを取得すると、ドキュメントファイルを暗号化および復号するための暗号鍵を生成する。そして、ドキュメント保護プログラム３１１は、生成した暗号鍵を用いてドキュメントファイルを暗号化し、暗号化ドキュメントを生成する。

さらにドキュメント保護プログラム３１１は、ドキュメントファイルごとに固有のドキュメントＩＤを暗号化ドキュメントに添付して保護ドキュメントを生成する。

保護ドキュメントを生成した後、ドキュメント保護プログラム３１１は配布者端末３０１の通信機能を用いて、暗号鍵とセキュリティ属性とドキュメントＩＤとをアクセスコントロールサーバ３０４へ送信し、これらの登録をアクセスコントロールサーバ３０４に要求する。

暗号鍵とセキュリティ属性とドキュメントＩＤとをドキュメント保護プログラム３１１から受け渡されたアクセスコントロールサーバ３０４は、これらを関連付けて一つのレコードとしてセキュリティ属性データベース３４３に登録し、記録保持する。

上記の動作を図１９および図２２に基づいてさらに詳しく説明する。

まず、図１９において、ドキュメント保護プログラム３１１の暗号化部３１１ａは、配布者から引き渡されたドキュメントファイルに対し、暗号鍵取得部３１１ｂが生成した暗号鍵を用いて暗号化を行い、この暗号化ドキュメントを属性付与部３１１ｃに渡す。

属性付与部３１１ｃはドキュメントＩＤを生成し、暗号化部３１１ａから渡された暗号化ドキュメントにドキュメントＩＤを付与して保護ドキュメントとして出力する。

また、属性登録部３１１ｄは配布者からセキュリティ属性を受け取るとともに、暗号鍵取得部３１１ｂから暗号鍵を、属性付与部３１１ｃからドキュメントＩＤをそれぞれ受け取り、アクセスコントロールサーバ３０４に対してこれらのドキュメントＩＤ、暗号鍵、セキュリティ属性を渡して登録を要求する。

次いで、図２２において、アクセスコントロールサーバ３０４の属性ＤＢ登録部３０４ａは、渡されたドキュメントＩＤ、暗号鍵、セキュリティ属性をセキュリティ属性データベース３４３に登録する。

なお、上記の例においてはドキュメントＩＤの生成や暗号鍵の生成をドキュメント保護プログラム３１１が行う場合を示したが、これらの処理はアクセスコントロールサーバ３０４や不図示のサーバなどで行っても良い。

また、配布者端末３０１とアクセスコントロールサーバ３０４との間が専用回線ではなくネットワーク網を介して接続されており、暗号鍵など送信する際に盗聴される懸念がある場合には、ＳＳＬ（Secure Socket Layer）を用いて通信を行えばよい。

ドキュメント保護プログラム３１１がアクセスコントロールサーバ３０４と通信する際のプロトコルは、どのようなものを用いてもよい。例えば、分散オブジェクト環境を導入し、Ｊａｖａ（Ｒ）ＲＭＩ（Remote Method Invocation）やＳＯＡＰ（Simple Object Access Protocol）をベースとして情報を送受信するようにしても良い。その場合、アクセスコントロールサーバ３０４は、例えば「register(String docId, byte[] key, byte[] acl)」のようなメソッドを実装するようにしてもよい。ＳＯＡＰであれば、ＨＴＴＰＳの上でＳＯＡＰプロトコルをやりとりし、ＲＭＩであればＳＳＬベースのSocketFactoryを用いてＲＭＩを実行するようにすれば、ネットワーク上でのセキュリティを確保することができる。

次に、許可証を発行する際のアクセスコントロールサーバ３０４の動作について説明する。

図２２において、アクセスコントロールサーバ３０４のユーザ認証部３０４ｂは管理責任者から本人のユーザ名およびパスワードを入力し、ユーザデータベース３４１を参照して許可証を発行する権限があるか否かを確認する。権限が確認された場合、許可証発行部３０４ｅは管理責任者からドキュメントＩＤ（ドキュメント群を指定する場合はセキュリティ属性）、ユーザ名（アクセスを許可する相手）、アクセスタイプ、許可情報、許可証タイプ、パラメータ、印刷要件を受け取り、許可証データベース３４４に登録する。

次に、ドキュメント印刷プログラム３２１が保護ドキュメントを印刷する際の動作について説明する。

図２９に、ドキュメント印刷プログラム３２１が行う処理の内容を示す。また、図３０に、ドキュメント印刷プログラム３２１およびアクセスコントロールサーバ３０４の動作の流れを示す。

ドキュメント印刷プログラム３２１は、ユーザ端末３０２の入力装置におけるユーザの入力操作によって保護ドキュメントとユーザ名とパスワードとを取得すると、保護ドキュメントに添付されているドキュメントＩＤを取得する。

そして、ユーザ名とパスワードとドキュメントＩＤとアクセスタイプ（ユーザが要求する処理を示す情報。ここでは、保護ドキュメントを印刷しようとするので、“print”となる。）とをアクセスコントロールサーバ３０４へ送信して、アクセス権限があるか否かのチェックを要求する。なお、図３１はアクセスコントロールサーバ３０４へのＳＯＡＰによる問い合わせの例を示す図であり、ユーザ名（userId）とドキュメントＩＤ（docId）とアクセスタイプ（accessType）とを渡してアクセスが許可されているかを問い合わせるＳＯＡＰメッセージ（isAllowed）を送付し、その結果（isAllowedResponse）を受け取っている例である。結果には、許可されているということ（allowedがtrue）と要件（requirements）とが含まれている。

アクセスコントロールサーバ３０４は、ドキュメント印刷プログラム３２１からユーザ名とパスワードとドキュメントＩＤとアクセスタイプとを取得すると、ユーザデータベース３４１に登録されている情報を参照し、ユーザ認証を行う。換言すると、アクセスコントロールサーバ３０４は、ユーザデータベース３４１に登録されている情報を参照し、ドキュメント印刷プログラム３２１から取得した情報に含まれるユーザ名とパスワードとの組と一致するものが、ユーザデータベース３４１に登録されているか否かを判断する。

ユーザ認証に失敗した場合（換言すると、ドキュメント印刷プログラム３２１から受け渡された情報に含まれるユーザ名とパスワードとを組としたものがユーザデータベース３４１に登録されていない場合）、アクセスコントロールサーバ３０４は、許可情報（ユーザが要求する処理を許可するか否かを示す情報）を「不許可」としてユーザ端末３０２へ送信し、ドキュメント印刷プログラム３２１へ受け渡す。なお、この場合は「エラー」とした許可情報をドキュメント印刷プログラム３２１へ受け渡すようにしてもよい。

一方、ユーザ認証に成功した場合、アクセスコントロールサーバ３０４は、セキュリティ属性データベース３４３に登録されているレコードのうち、ドキュメント印刷プログラム３２１から取得した情報に含まれるドキュメントＩＤに関するレコードを読み出す。

アクセスコントロールサーバ３０４は、読み出したレコードに含まれるセキュリティ属性を取得する。

そして、アクセスコントロールサーバ３０４は、許可証データベース３４４を参照し、最初にドキュメントＩＤ、ユーザ名、アクセスタイプの一致する許可証が存在するか否かを調べ、存在しない場合はユーザ名、アクセスタイプに加え、セキュリティ属性データベース３４３から取得した文書カテゴリ、機密レベルの一致する許可証が存在するか否かを調べる。一致する許可証が取得できた場合は、その許可証が回数を指定するタイプである場合には、そのレコードから許可情報と印刷要件を取得し、パラメータの示す回数を１回分だけ減じ、許可証データベース３４４の該当レコードを更新する。また、パラメータの示す回数がゼロになった場合には該当レコードを削除する。一方、その許可証が期限を指定するタイプである場合には、現在日時がパラメータの示す期限内であるか否かを判断し、期限内であればそのレコードから許可情報と印刷要件を取得する。また、期限内でなければ該当レコードを削除する。

許可証データベース３４４に合致する許可証が存在しない場合、アクセスコントロールサーバ３０４は、ＡＣＬデータベース３４２に登録されているＡＣＬのうち、レコードから取得したセキュリティ属性に応じたＡＣＬを読み出して取得する。さらに、アクセスコントロールサーバ３０４は、ドキュメント印刷プログラム３２１から取得したユーザ名およびアクセスタイプに基づいて、ＡＣＬから許可情報および印刷要件を取得する。換言すると、アクセスコントロールサーバ３０４は、ユーザ名とアクセスタイプとに基づいて、予めＡＣＬに設定されている許可情報と印刷要件とを取得する。

許可証もしくはＡＣＬから取得した許可情報が「許可」である場合、アクセスコントロールサーバ３０４は、レコードに格納されている暗号鍵と印刷要件とを許可情報とともにユーザ端末３０２へ送信してドキュメント印刷プログラム３２１に受け渡す。

一方、許可証もしくはＡＣＬから取得した許可情報が「不許可」である場合、アクセスコントロールサーバ３０４は、許可情報のみをユーザ端末３０２へ送信してドキュメント印刷プログラム３２１に受け渡す。

アクセスコントロールサーバ３０４から許可情報を受け渡されたドキュメント印刷プログラム３２１は、取得した許可情報を参照し、「不許可」である場合には、表示装置にメッセージを表示するなどして、要求された処理を実行できないことをユーザに通知する。

一方、取得した許可情報が「許可」である場合には、許可情報と共に受け渡された暗号鍵を用いて、保護ドキュメントのうちの暗号化ドキュメントの部分を復号してドキュメントファイルに復元する。

また、ドキュメント印刷プログラム３２１は、許可情報と共に取得した印刷要件を満足するようにプリンタドライバを設定し（例えば、ＰＡＣが指定されていれば機密印刷モードに設定する）、プリンタ３０３にドキュメントの印刷処理を実行させる。なお、必要があれば、表示装置にメッセージを表示するなどして、印刷パラメータの設定をユーザに要求するようにしてもよい。

アクセスコントロールサーバ３０４から取得した印刷要件を満足する印刷をプリンタ３０３では実行できない場合、換言すると、プリンタ３０３が許可証もしくはＡＣＬに設定されていた印刷要件を満たす機能を備えていない場合には、ドキュメント印刷プログラム３２１は、その旨を示すメッセージを表示装置に表示させるなどしてユーザに通知し、印刷は行わずに処理を終了する。

なお、上記の例ではアクセスコントロールサーバ３０４がアクセスの許可／不許可の判断をする際に同時に許可証の確認をし、その許可証の使用可能回数を消費するやり方になっているが、これを一度に処理せず、個別の処理に分離しても良い。例えば、ドキュメント印刷プログラム３２１からアクセスコントロールサーバ３０４への最初の問い合わせでは単にＡＣＬをベースにした権限確認を行い、次にドキュメント印刷プログラム３２１が許可証が発行されているかどうかの問い合わせをアクセスコントロールサーバ３０４に対して行い、許可証が発行されていればその許可証を使用するかどうかドキュメント印刷プログラム３２１がユーザに確認し、ユーザが許可証の使用を要求した場合にはドキュメント印刷プログラム３２１がアクセスコントロールサーバ３０４にその許可証の消費を通知する、というように分離して処理しても良い。

上記の動作を図２０〜図２２に基づいてさらに詳しく説明する。

まず、図２０において、ドキュメント印刷プログラム３２１の復号鍵取得部３２１ｂはアクセスコントロールサーバ３０４に対してアクセス権の確認を行う。

確認の問い合わせを受けたアクセスコントロールサーバ３０４は、図２２において、ユーザ認証部３０４ｂがユーザデータベース３４１を参照してユーザ認証を行い、認証結果をドキュメント印刷プログラム３２１に通知する。また、ユーザ認証に成功した場合、アクセス権限確認部３０４ｃおよび許可証確認部３０４ｆがセキュリティ属性データベース３４３、許可証データベース３４４、ＡＣＬデータベース３４２を参照して許可情報および復号鍵を取得するとともに、印刷要件取得送付部３０４ｄが許可証データベース３４４もしくはＡＣＬデータベース３４２から印刷要件を取得し、ドキュメント印刷プログラム３２１に通知する。なお、図２２ではいったん認証結果を返してから再び認証結果を渡すようにしているが、これを一度に実行してもよい。また、許可情報、復号鍵および印刷要件を別々に返すようにしているが、これらを一度に返すようにしてもよい。

図２０において、復号鍵取得部３２１ｂはアクセス権の確認ができた場合にアクセスコントロールサーバ３０４から復号鍵を得て、これを復号部３２１ａに渡す。また、印刷要件取得部３２１ｃはアクセスコントロールサーバ３０４から印刷要件を取得し、印刷処理部３２１ｄに渡す。

復号部３２１ａは復号鍵取得部３２１ｂから取得した復号鍵を用いて保護ドキュメントを復号し、ドキュメントファイルを得て印刷処理部３２１ｄに渡す。

次いで、図２１において、印刷処理部３２１ｄの要件処理部３２１ｅは、受け取った印刷要件の内容に応じて複数の処理を行う。すなわち、前述したＢＤＰ、ＥＢＣ、ＳＬＳのようにドキュメントファイルそのものを加工する必要がある処理についてはドキュメント加工部３２１ｆに加工情報を与えてドキュメントファイルの加工を行わせ、加工済みのドキュメントファイルをプリンタドライバ３２１ｇに渡し、印刷データをプリンタ３０３に与えて印刷を行う。また、ＰＡＣのようにプリンタドライバに特別な設定を行う必要がある処理についてはプリンタドライバ３２１ｇに印刷設定を行う。さらに、ユーザに対して警告メッセージを表示する必要がある場合には警告表示部３２１ｈに警告メッセージを渡し、表示装置に表示を行わせる。また、印刷のログを残す必要がある場合にはログ記録部３２１ｉにログ情報を渡し、リモートサーバ等にログデータを登録させる。

以上の動作によって、ユーザごとに異なるアクセス権や印刷要件を設定することが可能となると共に、ユーザごと、ドキュメントごとに明示的に許可証を発行してアクセスを許可することができるようになり、許可する際に印刷要件などの処理要件を強制することができる。また、上記のようにサーバ側で許可証を管理する仕組みにすることで、発行した許可証レコードを後から変更できるような機能を更に加えれば、許可証を発行した後でもその許可証を無効にすることが容易にできるようになる。

また、サーバ側で許可証を管理する仕組みが必須であるわけではない。許可証データベース３４４に格納されている許可証をユーザに渡してアクセスの際に提示させるようなモデルにしてもよい。その場合には許可証が改ざん・偽造される恐れがあるため、図２４に示した許可証の構成に加えてその許可証の改ざん等を検出するためのメッセージ認証子のフィールドを加え、その許可証が提示された際にメッセージ認証子の正当性を確認するような処理を行うようにしてもよい。ここで、メッセージ認証子の生成方法の例としては、図２４に示すデータに対してSHA-1やMD5といったハッシュアルゴリズムによりハッシュ値を計算し、許可証発行元だけが持つ秘密鍵によりそのハッシュ値を暗号化したもの等がある。更に、許可証の再利用を防ぐためにシリアル番号のフィールドを追加するようにして、すでに使用された許可証でないかどうか、シリアル番号で確認するような処理を行うようにしてもよい。

なお、本実施形態にかかるドキュメント保護・印刷システムが上記のような手法でドキュメントファイルを保護していることを知っている者は、ドキュメント印刷プログラム３２１に成りすますプログラムをコンピュータ端末に実行させて暗号鍵を不正に入手し、保護ドキュメントを復号することも可能ではある。この場合は、設定されている印刷要件を強制されることなく、保護ドキュメントを印刷できてしまうこととなる。

このため、単に暗号鍵のみを用いてドキュメントファイルを暗号化するのではなく、ドキュメント保護プログラム３１１の内部に埋め込まれた秘密鍵と暗号鍵とを合わせたもの（排他的論理和を取ったもの）でドキュメントファイルを暗号化することが好ましい。 この場合は、ドキュメント印刷プログラム３２１にも同一の秘密鍵を埋め込んでおくことで、配布者が設定した印刷要件を印刷時に強制するドキュメント印刷プログラム３２１のみが、保護ドキュメントを復号して印刷することが可能となる。具体的には、第１の実施形態におけるものと同様に、図１５および図１６のように構成することができる。

同様に、第１の実施形態における図１７のように、印刷要件を保護ドキュメントに含める第一印刷要件と、アクセスコントロールサーバ３０４に格納される第二印刷要件とに分け、ユーザによらずドキュメントファイルに対して必ず指定するような印刷要件については保護ドキュメントの中に含めるようにしてもよい。

また、本実施形態においては、ドキュメント印刷プログラム３２１は、ドキュメントファイルの印刷に関する処理のみを行っているが、ドキュメント印刷プログラム３２１は、ドキュメントファイルの内容をユーザに提示したり、ドキュメントファイルを編集する機能を備えていても良い。例えば、Adobe Acrobat（Ｒ）のPlug-inとしてポータブルドキュメントファイル（Portable Document Format：ＰＤＦ File）の表示、編集および印刷の機能を実現することが可能である。

〔第３の実施形態〕
本発明を好適に実施した第３の実施形態について説明する。

上記本発明の第２の実施形態においては、配布者の所属する組織のセキュリティポリシーに従ってドキュメントを保護するドキュメント保護・印刷システムについて説明した。

しかし、第２の実施形態にかかるドキュメント保護・印刷システムは、配布者が所属する組織の規模が大きい場合は、その下位組織ごとに数多くのＡＣＬを予め定義して登録しておかなければならない。例えば、「第一設計室の技術文書用ＡＣＬ」、「第一設計室の契約書用ＡＣＬ」、「第二設計室の技術文書用ＡＣＬ」、「第二設計室の契約書用ＡＣＬ」のように、各ユーザを網羅するようにＡＣＬを予め定義しておく必要がある。

一般に、組織の掲げるセキュリティポリシーは総則的なものであり、誰にどのドキュメントファイルに対するアクセスを許可するかといったことまでを規定するものではない。

組織の掲げるセキュリティポリシーの例を図３２に示す。図３２に示すように、組織におけるセキュリティポリシーは、ドキュメントに対して機密レベル（Sensitivity）および分野（Category）を設定した上で、ドキュメントに対するアクセスを許可するユーザの階級（Level）や部門（Category）およびその印刷要件を設定したものであるといえる。

例えば、機密レベルが極秘（Top Secret）の人事関連（Human Resource）のドキュメントは、人事部の管理職のみが地紋印刷を条件として印刷可能という具合である。

本発明の第３の実施形態では、組織の掲げるセキュリティポリシーをそのままの形で電子的に記述したものをドキュメントファイルの保護に適用したドキュメント保護・印刷システムに対し、許可証の作成および適用を行う機能を付加したものについて説明する。

図３３に、本実施形態にかかるドキュメント保護・印刷システムの構成を示す。

本実施形態にかかるドキュメント保護・印刷システムは、配布者端末４０１、ユーザ端末４０２、プリンタ４０３およびアクセスコントロールサーバ４０４を有する。

配布者端末４０１およびユーザ端末４０２は、表示装置（例えば、ＬＣＤ）、入力装置（例えば、キーボード）、外部記録装置（例えば、ＦＤＤ、ＨＤＤ）などを備えたコンピュータ端末を適用できる。なお、配布者端末４０１にはドキュメント保護プログラム４１１が、ユーザ端末４０２にはドキュメント印刷プログラム４２１がそれぞれ実装されている。

ドキュメント保護プログラム４１１は、ドキュメントファイルに配布者端末４０１の使用者（配布者）の入力操作に応じた処理要件を設定するとともに、暗号化アルゴリズム（ＲＣ４、Ｔｒｉｐｌｅ ＤＥＳ、ＩＤＥＡなど）を用いてドキュメントファイルを暗号化し、保護ドキュメントを生成する処理を行うプログラムである。ドキュメント保護プログラム４１１の内部構成は図１９に示した第２の実施形態におけるものと同様である。

ドキュメント印刷プログラム４２１は、ユーザ端末４０２の使用者（ユーザ）の入力操作に応じ、保護ドキュメントを復号するとともに設定されている印刷要件に応じた印刷処理をプリンタ４０３に実行させる処理を行うプログラムである。ドキュメント印刷プログラム４２１の内部構成は図２０および図２１に示した第２の実施形態におけるものと同様である。

アクセスコントロールサーバ４０４は、配布者がドキュメント保護プログラム４１１により保護ドキュメントを生成する際に保護ドキュメントに関する情報を取得して登録すると共に、ユーザがドキュメントを印刷しようとする場合に、ドキュメント印刷プログラム４２１からの要求に応じて自身が記録保持しているセキュリティポリシー４４４を参照し、ドキュメントを印刷する権限があるか否か、印刷要件がどのように設定されているかを取得するサーバである。また、アクセスコントロールサーバ４０４は、本発明の特徴的な機能の一つとして、ドキュメントの管理責任者からの要求を受けて許可証を発行し登録する機能も有している。

アクセスコントロールサーバ４０４には、ユーザ各人の認証用の情報（ユーザ名とパスワードとの組）が格納されたユーザデータベース４４１と、各保護ドキュメントにどのようなセキュリティ属性が設定されているかを示す情報およびその保護ドキュメントを復号するための暗号鍵が関連付けられて登録されるセキュリティ属性データベース４４３と、組織全体のセキュリティポリシーが格納されるセキュリティポリシー４４４と、ドキュメントあるいはドキュメント群を指定して特定のユーザに発行された許可証を格納する許可証データベース４４５とが接続されている。

図３４はアクセスコントロールサーバ４０４の構成例を示したものであり、属性ＤＢ登録部４０４ａとユーザ認証部４０４ｂとアクセス権限確認部４０４ｃと印刷要件取得送付部４０４ｄと許可証発行部４０４ｅと許可証確認部４０４ｆとを含んでいる。各部の機能については後の動作において説明する。

図３５に、アクセスコントロールサーバ４０４から参照されるセキュリティポリシー４４４の例を示す。

例えば、カテゴリが「技術（Technical）」で機密レベルが「マル秘（Secret）」のドキュメントファイルは、カテゴリが「技術（Technical）」で階級が「中（Medium）」又は「上（High）」のユーザに対して、閲覧は許可するがＲＡＤを要件とすること、印刷を許可するがＰＡＣとＢＤＰとＥＢＣとＲＡＤとを要件とすること、および、ハードコピーは許可しないことが規定されている。

アクセスコントロールサーバ４０４は、セキュリティポリシー４４４のデータをどのような形で記録保持していても構わない。なお、ＸＭＬ（eXtensible Markup Language）を用いれば、図３６に示すように、簡単に記述できる。

図３７に、ユーザデータベース４４１に登録される情報の例を示す。

図３７においてはユーザごとにカテゴリと階級とを別々の属性として管理する構造としているが、たとえば、Windows（Ｒ）Domainのユーザ管理機構を利用してユーザを管理するような場合には、グループアカウントとしてTechnical_Mediumのようなものを生成し、Ichiroというユーザをそのグループに所属させるようにしてもよい。所属グループの命名規則をこのように設定しておくことで、カテゴリと階級とを管理することが可能となる。

また、許可証データベース４４５は図２４に示した第２の実施形態のものと同様である。

以下、本実施形態にかかるドキュメント保護・印刷システムの動作について説明する。最初に、システム全体の動作について説明する。

図３３において、配布者は、配布者端末４０１を操作してこれにドキュメントファイルを実装しておく。例えば、入力装置を用いて配布者がドキュメントファイルを作成してもよいし、外部記録装置を用いて情報記録媒体に記録されたドキュメントファイルを読み取らせても良い。

ドキュメントファイルにセキュリティを設定する場合、配布者は配布者端末４０１の入力装置を操作してドキュメントファイルをドキュメント保護プログラム４１１に受け渡す。ドキュメントファイルを取得したドキュメント保護プログラム４１１は、セキュリティ属性の設定を配布者に要求する。例えば、ドキュメント保護プログラム４１１は、配布者端末４０１の表示装置にメッセージを表示するなどして、セキュリティ属性の設定を要求する。セキュリティ属性の設定を要求する画面は図２５に示した第２の実施形態におけるものと同様である。なお、ここでのセキュリティ属性とは、保護しようとするドキュメントがセキュリティ属性データベース４４３に登録されているセキュリティ属性のうちのいずれに該当するかを示す情報である。

配布者が配布者端末４０１の入力装置を介してドキュメントファイルにセキュリティ属性を設定すると、ドキュメント保護プログラム４１１はこれを取得する。

セキュリティ属性を取得したドキュメント保護プログラム４１１は、ドキュメントファイルごとに固有のドキュメントＩＤを生成し、復号に使用する暗号鍵とセキュリティ属性とをこれに関連付けてアクセスコントロールサーバ４０４へ送信し、登録する。

また、ドキュメント保護プログラム４１１は、暗号鍵を用いて暗号化したドキュメントファイルに対してドキュメントＩＤを付加して保護ドキュメントを生成する。

配布者は、ドキュメント保護プログラム４１１が生成した保護ドキュメントをユーザに受け渡す。

ここで、保護ドキュメントを生成した後に、何らかの理由でセキュリティ属性データベース４４３に登録した条件（セキュリティ属性）とは異なる条件で特定のユーザにアクセスを許可したり、あるいは設定した制限を軽減してアクセスさせたりしたい状況が発生した場合、管理責任者はアクセスコントロールサーバ４０４に対して許可証の発行処理を行う。すなわち、アクセスコントロールサーバ４０４は操作する者（管理責任者）に対してユーザ名およびパスワードを求め、許可証を発行する権限があるか否かをユーザデータベース４４１を参照して確認する。権限が確認された場合、ドキュメントＩＤ（ドキュメント群を指定する場合はセキュリティ属性）、ユーザ名（アクセスを許可する相手）、アクセスタイプ、許可情報、許可証タイプ、パラメータ、印刷要件を管理責任者から受け取り、許可証データベース４４５に登録する。

ユーザがドキュメントを印刷しようとする場合には、ユーザ端末４０２に保護ドキュメントを実装する。例えば、情報記録媒体に記録された保護ドキュメントを外部記録装置を用いてユーザ端末に読み取らせても良いし、ユーザ端末４０２が配布者端末４０１と通信可能である場合には、通信網を介して配布者端末４０１から保護ドキュメントを取得するようにしてもよい。

ユーザが、ユーザ端末４０２の入力装置を介してドキュメント印刷プログラム４２１に対して印刷を指示すると、印刷を要求されたドキュメント印刷プログラム４２１は、ユーザを認証するために必要となるユーザ名とパスワードの入力をユーザに要求する。例えば、ドキュメント印刷プログラム４２１は、ユーザ端末４０２の表示装置にメッセージを表示するなどして、ユーザ名とパスワードの入力を要求する。ユーザ名とパスワードの入力をユーザに要求する画面は図２６に示した第２の実施形態におけるものと同様である。

ドキュメント印刷プログラム４２１は、ユーザから入力されたユーザ名とパスワードとをアクセスコントロールサーバ４０４へ送信して、ユーザ認証を要求する。

アクセスコントロールサーバ４０４は、ドキュメント印刷プログラム４２１から受け渡されたユーザ名とパスワードとを用いてユーザ認証を行い、ユーザを特定する。

ユーザを特定すると、アクセスコントロールサーバ４０４は、セキュリティ属性データベース４４３を参照し、保護ドキュメントに設定されているセキュリティ属性の種類を特定する。

その後、アクセスコントロールサーバ４０４は、許可証データベース４４５を参照し、ドキュメントファイルを印刷する権限がユーザにあるか否かや、ユーザがドキュメントファイルを印刷する際には、どのような印刷要件が設定されているかを取得する。この時、最初はドキュメントＩＤ、ユーザ名、アクセスタイプの一致する許可証が存在するか否かを調べ、存在しない場合は文書カテゴリ、機密レベル、ユーザ名、アクセスタイプの一致する許可証が存在するか否かを調べる。更に、合致する許可証が存在しない場合、アクセスコントロールサーバ４０４は、ユーザデータベース４４１から取得したユーザの階級を示す情報とドキュメントに設定されているセキュリティ属性とに基づいて、セキュリティポリシー４４４を参照し、ドキュメントを印刷する権限がユーザにあるか否かや、ユーザがドキュメントファイルを印刷する際にはどのような印刷要件が設定されているのかを取得する。

ユーザにドキュメントファイルを印刷する権限がある場合、アクセスコントロールサーバ４０４は、印刷が許可されていることを示す許可情報とともに、保護ドキュメントを復号するための暗号鍵とユーザがドキュメントファイルを印刷する際の印刷要件とをユーザ端末４０２へ送信し、ドキュメント印刷プログラム４２１に受け渡す。

アクセスコントロールサーバ４０４から許可情報とともに、暗号鍵と印刷要件とを取得したドキュメント印刷プログラム４２１は、暗号鍵を用いて保護ドキュメントを復号してドキュメントファイルに復元する。

そしてドキュメント印刷プログラム４２１は、印刷要件を満たすようにプリンタ４０３に印刷処理を実行させる。例えば、ドキュメントファイルにＢＤＰが印刷要件として設定されている場合には、ドキュメントの内容とともに地紋画像を印刷する。

これにより、ドキュメントファイルを印刷する際に、予め設定されたセキュリティ属性に応じた印刷要件を強制することが可能となる。

ここで、ドキュメントを保護する際のドキュメント保護プログラム４１１およびアクセスコントロールサーバ４０４の動作、許可証を発行する際のアクセスコントロールサーバ４０４の動作、および保護ドキュメントをドキュメントファイルに復元して印刷する際のドキュメント印刷プログラム４２１およびアクセスコントロールサーバ４０４の動作についてさらに詳しく説明する。

図３８に、ドキュメント保護プログラム４１１が保護ドキュメントを生成する際の処理を示す。また、図３９に、ドキュメント保護プログラム４１１およびアクセスコントロールサーバ４０４の動作の流れを示す。

ドキュメント保護プログラム４１１は、配布者端末４０１の入力装置における配布者の入力操作によってドキュメントファイルとそのセキュリティ属性とを取得すると、ドキュメントファイルを暗号化および復号するための暗号鍵を生成する。そして、ドキュメント保護プログラム４１１は、生成した暗号鍵を用いてドキュメントファイルを暗号化して、暗号化ドキュメントを生成する。

さらに、ドキュメント保護プログラム４１１は、ドキュメントファイルごとに固有のドキュメントＩＤを暗号化ドキュメントに添付して保護ドキュメントを生成する。

保護ドキュメントを生成した後、ドキュメント保護プログラム４１１は、配布者端末４０１の通信機能を用いて、暗号鍵とセキュリティ属性とドキュメントＩＤとをアクセスコントロールサーバ４０４へ送信し、これらの登録をアクセスコントロールサーバ４０４に要求する。

暗号鍵とセキュリティ属性とドキュメントＩＤとをドキュメント保護プログラム４１１から受け渡されたアクセスコントロールサーバ４０４は、これらを一つのレコードとしてセキュリティ属性データベース４４３に記録保持する。より詳しくは、図３４におけるアクセスコントロールサーバ４０４の属性ＤＢ登録部４０４ａがセキュリティ属性データベース４４３への登録を行う。

なお、ドキュメント保護プログラム４１１がドキュメントＩＤを生成して暗号化ドキュメントに添付する場合を例に挙げたが、ＳＨＡ−１などのハッシュアルゴリズムを用いて暗号化ドキュメントファイルを生成した場合には、そのハッシュ値をドキュメントＩＤの代わりに用いてもよい。この場合は、保護ドキュメントにドキュメントＩＤを添付する必要はなく、後でドキュメントＩＤを取得したい時は、再度ハッシュ値を計算すれば良い。

また、上記の例においてはドキュメントＩＤの生成や暗号鍵の生成をドキュメント保護プログラム４１１が行う場合を示したが、これらの処理はアクセスコントロールサーバ４０４や不図示のサーバなどで行っても良い。

また、配布者端末４０１とアクセスコントロールサーバ４０４との間が専用回線ではなくネットワーク網を介して接続されており、暗号鍵など送信する際に盗聴される懸念がある場合には、ＳＳＬ（Secure Socket Layer）を用いて通信を行えばよい。

ドキュメント保護プログラム４１１がアクセスコントロールサーバ４０４と通信する際のプロトコルは、どのようなものを用いてもよい。例えば、分散オブジェクト環境を導入し、Ｊａｖａ（Ｒ）ＲＭＩ（Remote Method Invocation）やＳＯＡＰ（Simple Object Access Protocol）をベースとして情報を送受信するようにしても良い。その場合、アクセスコントロールサーバ４０４は、例えば「register(String docId, byte[] key, byte[] acl)」のようなメソッドを実装するようにしてもよい。ＳＯＡＰであれば、ＨＴＴＰＳの上でＳＯＡＰプロトコルをやりとりし、ＲＭＩであればＳＳＬベースのSocketFactoryを用いてＲＭＩを実行するようにすれば、ネットワーク上でのセキュリティを確保することができる。

次に、許可証を発行する際のアクセスコントロールサーバ４０４の動作について説明する。

図３４において、アクセスコントロールサーバ４０４のユーザ認証部４０４ｂは管理責任者から本人のユーザ名およびパスワードを入力し、ユーザデータベース４４１を参照して許可証を発行する権限があるか否かを確認する。権限が確認された場合、許可証発行部４０４ｅは管理責任者からドキュメントＩＤ（ドキュメント群を指定する場合はセキュリティ属性）、ユーザ名（アクセスを許可する相手）、アクセスタイプ、許可情報、許可証タイプ、パラメータ、印刷要件を受け取り、許可証データベース４４５に登録する。

次に、ドキュメント印刷プログラム４２１が保護ドキュメントを印刷する際の動作について説明する。図４０に、ドキュメント印刷プログラム４２１およびアクセスコントロールサーバ４０４の動作の流れを示す。

ドキュメント印刷プログラム４２１は、ユーザ端末４０２の入力装置におけるユーザの入力操作によって保護ドキュメントとユーザ名とパスワードとを取得すると、保護ドキュメントに添付されているドキュメントＩＤを取得する。

そして、ユーザ名とパスワードとドキュメントＩＤとアクセスタイプ（ユーザが要求する処理を示す情報。ここでは、保護ドキュメントを印刷しようとするので、“print”となる。）とをアクセスコントロールサーバ４０４へ送信して、アクセス権限があるか否かのチェックを要求する。

アクセスコントロールサーバ４０４は、ドキュメント印刷プログラム４２１からユーザ名とパスワードとドキュメントＩＤとアクセスタイプとを取得すると、ユーザデータベース４４１に登録されている情報を参照し、ユーザ認証を行う。換言すると、アクセスコントロールサーバ４０４は、ユーザデータベース４４１に登録されている情報を参照し、ドキュメント印刷プログラム４２１から取得した情報に含まれるユーザ名とパスワードとの組と一致するものが、ユーザデータベース４４１に登録されているか否かを判断する。

ユーザ認証に失敗した場合（換言すると、ドキュメント印刷プログラム４２１から受け渡された情報に含まれるユーザ名とパスワードとを組としたものがユーザデータベース４４１に登録されていない場合）、アクセスコントロールサーバ４０４は、許可情報を「不許可」としてユーザ端末４０２へ送信し、ドキュメント印刷プログラム４２１へ受け渡す。なお、この場合は「エラー」とした許可情報をドキュメント印刷プログラム４２１へ受け渡すようにしてもよい。

一方、ユーザ認証に成功した場合、アクセスコントロールサーバ４０４は、セキュリティ属性データベース４４３に登録されているレコードのうち、ドキュメント印刷プログラム４２１から取得した情報に含まれるドキュメントＩＤに関するレコードを読み出す。

そして、アクセスコントロールサーバ４０４は、許可証データベース４４５を参照し、最初にドキュメントＩＤ、ユーザ名、アクセスタイプの一致する許可証が存在するか否かを調べ、存在しない場合はユーザ名、アクセスタイプに加え、セキュリティ属性データベース４４３から取得した文書カテゴリ、機密レベルの一致する許可証が存在するか否かを調べる。一致する許可証が取得できた場合は、その許可証が回数を指定するタイプである場合には、そのレコードから許可情報と印刷要件を取得し、パラメータの示す回数を１回分だけ減じ、許可証データベース４４５の該当レコードを更新する。また、パラメータの示す回数がゼロになった場合には該当レコードを削除する。一方、その許可証が期限を指定するタイプである場合には、現在日時がパラメータの示す期限内であるか否かを判断し、期限内であればそのレコードから許可情報と印刷要件を取得する。また、期限内でなければ該当レコードを削除する。

許可証データベース４４５に合致する許可証が存在しない場合、アクセスコントロールサーバ４０４は、ユーザデータベース４４１からユーザの「階級」および「部門」を取得する。

そして、アクセスコントロールサーバ４０４は、読み出したレコードに基づいてドキュメントファイルに設定されているセキュリティ属性（すなわち、機密レベルおよびカテゴリ）を取得する。そして、自身が記録保持しているセキュリティポリシー４４４とレコードから読み出したセキュリティ属性に基づいて、ユーザがドキュメントに対してアクセスタイプで示される処理を行う場合の可否を示す許可情報とユーザがドキュメントを印刷する際の印刷要件を取得する。

許可証もしくはセキュリティポリシーから取得した許可情報が「許可」である場合、すなわちユーザにドキュメントファイルを印刷する権限がある場合は、アクセスコントロールサーバ４０４は、レコードに格納されていた暗号鍵と印刷要件とを許可情報とともにユーザ端末４０２へ送信して、ドキュメント印刷プログラム４２１に受け渡す。

一方、ユーザにドキュメントファイルを印刷する権限がない場合、すなわち許可情報が「不許可」である場合は、アクセスコントロールサーバ４０４は、許可情報のみをユーザ端末４０２へ送信してドキュメント印刷プログラム４２１に受け渡す。

上記のアクセスコントロールサーバ４０４における処理は、より詳しくは、図３４に示すように、ユーザ認証部４０４ｂがユーザデータベース４４１を参照してユーザ認証を行い、認証結果をアクセス権限確認部４０４ｃに通知する。また、ユーザ認証に成功した場合、アクセス権限確認部４０４ｃおよび許可証確認部４０４ｆがセキュリティ属性データベース４４３、許可証データベース４４５、およびセキュリティポリシー４４４を参照して許可情報および復号鍵を取得するとともに、印刷要件取得送付部４０４ｄが許可証データベース４４５もしくはセキュリティポリシー４４４から印刷要件を取得し、ドキュメント印刷プログラム４２１に通知する。なお、図３４では許可情報、復号鍵および印刷要件を別々に返すようにしているが、これらを一度に返すようにしてもよい。

次いで、ドキュメント印刷プログラム４２１は、許可情報と共に取得した印刷要件を満足するようにプリンタドライバを設定し（例えば、ＰＡＣが指定されていれば機密印刷モードに設定する）、プリンタ４０３にドキュメントファイルの印刷処理を実行させる。なお、必要があれば、表示装置にメッセージを表示するなどして、印刷パラメータの設定をユーザに要求するようにしてもよい。

アクセスコントロールサーバ４０４から取得した印刷要件を満足する印刷をプリンタ４０３では実行できない場合、換言すると、プリンタ４０３がセキュリティポリシー４４４として設定されていた印刷要件を満たす機能を備えていない場合には、その旨を示すメッセージを表示装置に表示させるなどしてユーザに通知し、印刷は行わずに処理を終了する。

なお、上記の例ではアクセスコントロールサーバ４０４がアクセスの許可／不許可の判断をする際に同時に許可証の確認をし、その許可証の使用可能回数を消費するやり方になっているが、これを一度に処理せず、個別の処理に分離しても良い。例えば、ドキュメント印刷プログラム４２１からアクセスコントロールサーバ４０４への最初の問い合わせでは単にセキュリティポリシー４４４をベースにした権限確認を行い、次にドキュメント印刷プログラム４２１が許可証が発行されているかどうかの問い合わせをアクセスコントロールサーバ４０４に対して行い、許可証が発行されていればその許可証を使用するかどうかドキュメント印刷プログラム４２１がユーザに確認し、ユーザが許可証の使用を要求した場合にはドキュメント印刷プログラム４２１がアクセスコントロールサーバ４０４にその許可証の消費を通知する、というように分離して処理しても良い。

以上の動作によって、ユーザごとに異なるアクセス権や印刷要件を設定することが可能となると共に、ユーザごと、ドキュメントごとに明示的に許可証を発行してアクセスを許可することができるようになり、許可する際に印刷要件などの処理要件を設定することができる。また、上記のようにサーバ側で許可証を管理する仕組みにすることで、発行した許可証レコードを後から変更できるような機能を更に加えれば、許可証を発行した後でもその許可証を無効にすることが容易にできるようになる。

また、サーバ側で許可証を管理する仕組みが必須であるわけではない。許可証データベース４４５に格納されている許可証をユーザに渡してアクセスの際に提示させるようなモデルにしてもよい。その場合には許可証が改ざん・偽造される恐れがあるため、図２４に示した許可証の構成に加えてその許可証の改ざん等を検出するためのメッセージ認証子のフィールドを加え、その許可証が提示された際にメッセージ認証子の正当性を確認するような処理を行うようにしてもよい。ここで、メッセージ認証子の生成方法の例としては、図２４に示すデータに対してSHA-1やMD5といったハッシュアルゴリズムによりハッシュ値を計算し、許可証発行元だけが持つ秘密鍵によりそのハッシュ値を暗号化したもの等がある。更に、許可証の再利用を防ぐためにシリアル番号のフィールドを追加するようにして、すでに使用された許可証でないかどうか、シリアル番号で確認するような処理を行うようにしてもよい。

なお、ドキュメントファイルを印刷する際に、ドキュメント印刷プログラム４２１が必ずアクセスコントロールサーバ４０４に対してセキュリティポリシーを問い合わせる方式とすると、ユーザ数の増加に伴いアクセスコントロールサーバ４０４の情報処理量が増え、負担が大きくなってしまう。

このため、アクセスコントロールサーバ４０４の機能の一部をドキュメント印刷プログラム４２１に移行してもよい。

例えば、ドキュメント印刷プログラム４２１は、ユーザ認証を行った上で、ドキュメントＩＤをアクセスコントロールサーバ４０４へ受け渡すと、セキュリティポリシーと暗号鍵とセキュリティ属性とをアクセスコントロールサーバ４０４から取得し、これを基に許可情報や印刷要件を判断して処理するようにしてもよい。

このようにすれば、アクセスコントロールサーバ４０４の情報処理量を減らし、システム動作上の負担を軽減できる。この場合は、セキュリティポリシーに基づいた判断をドキュメント印刷プログラム４２１が行うため、ドキュメントにセキュリティ属性を添付した後に暗号化して暗号化ドキュメントとし、ドキュメントＩＤを添付して保護ドキュメントとすることが好ましい。これにより、セキュリティ属性をアクセスコントロールサーバ４０４で管理する必要がなくなり、システム動作上のアクセスコントロールサーバ４０４の負担をさらに軽減できる。

なお、本実施形態にかかるドキュメント保護・印刷システムが上記のような手法でドキュメントファイルを保護していることを知っている者は、ドキュメント印刷プログラム４２１に成りすますプログラムをコンピュータ端末に実行させて暗号鍵を不正に入手し、保護ドキュメントを復号することも可能ではある。この場合は、セキュリティポリシーとして設定されている印刷要件を強制されることなく、保護ドキュメントを印刷できてしまうこととなる。

このため、単に暗号鍵のみを用いてドキュメントファイルを暗号化するのではなく、ドキュメント保護プログラム４１１の内部に埋め込まれた秘密鍵と暗号鍵とを合わせたもの（排他的論理和を取ったもの）でドキュメントファイルを暗号化することが好ましい。 この場合は、ドキュメント印刷プログラム４２１にも同一の秘密鍵を埋め込んでおくことで、配布者が設定した印刷要件を印刷時に強制するドキュメント印刷プログラム４２１のみが、保護ドキュメントを復号して印刷することが可能となる。具体的には、第１の実施形態におけるものと同様に、図１５および図１６のように構成することができる。

また、本実施形態においては、ドキュメント印刷プログラム４２１は、ドキュメントファイルの印刷に関する処理のみを行っているが、ドキュメント印刷プログラム４２１は、ドキュメントファイルの内容をユーザに提示したり、ドキュメントファイルを編集する機能を備えていても良い。例えば、Adobe Acrobat（Ｒ）のPlug-inとしてポータブルドキュメントファイル（Portable Document Format：ＰＤＦ File）の表示、編集および印刷の機能を実現することが可能である。

このように、本実施形態にかかるドキュメント保護・印刷システムによれば、予めセキュリティポリシーとして設定されている印刷要件をドキュメントを印刷する際に強制することができると共に、ユーザごと、ドキュメントごとに明示的に許可証を発行してアクセスを許可することができるようになり、許可する際に印刷要件などの処理要件を強制することができる。

図４１に、上記各実施形態において適用されるプリンタが備えるセキュリティ機能の一部を示す。これらについて第３の実施形態におけるシステム構成を例として具体的に説明する。

まず、印刷要件としてＰＡＣが設定されている場合のドキュメント印刷プログラム４２１の動作について説明する。ＰＡＣが設定されている場合のドキュメント印刷プログラム４２１の動作を図４２に示す。

（１）ドキュメント印刷プログラム４２１はＰＡＣが設定されているドキュメントファイルを印刷する際には、図４３に示すように、プリントダイアログを表示させた後に個人識別番号（Personal Identification Number：ＰＩＮ）を入力するダイアログをユーザ端末４０２の表示装置に表示させ、ユーザにＰＩＮの入力を要求する。

（２）ユーザ端末４０２の入力装置を用いてユーザがＰＩＮを入力すると、ドキュメント印刷プログラム４２１は、これをプリンタドライバに設定し、印刷を指示する。

プリンタドライバは、ドキュメントからPostscriptなどのＰＤＬ（Page Description Language）で記述された印刷データ（ＰＤＬデータ）を生成し、印刷部数や出力トレイなどの印刷ジョブ情報を記述したＰＪＬ（Print Job Language）データをＰＤＬデータの先頭に付加する。プリンタドライバはさらにＰＪＬデータの一部としてＰＩＮを付加し、そのＰＪＬデータ付きＰＤＬデータをプリンタ４０３に送る。

プリンタ４０３は、ＰＪＬデータ付きＰＤＬデータを受け取るとＰＪＬデータの内容を参照し、機密印刷用のＰＩＮが含まれている場合は印刷出力せずにプリンタ４０３内部の記憶装置（ＨＤＤなど）にＰＪＬデータ付きＰＤＬデータを保存する。ユーザがＰＩＮをプリンタ４０３のオペレーションパネルを介して入力すると、プリンタ４０３は入力されたＰＩＮをＰＪＬデータに含まれるＰＩＮと照合し、一致すればＰＪＬデータに含まれていた印刷ジョブ条件（部数、トレイなど）を適用しながらＰＤＬデータに従って印刷出力する。

（３）プリンタドライバにＰＩＮが設定できない、すなわち、プリンタ４０３が機密印刷をサポートしていない場合には、機密印刷をサポートしている別のプリンタを選択するようにユーザに通知し、ドキュメントを印刷せずに処理を終了する。

このようにすることで、印刷実行後、プリンタ４０３のオペレーションパネルにおいて印刷実行前に入力したものと同一のＰＩＮが入力されるまでドキュメントのプリントアウトがプリンタ４０３から出力されなくなる。このため、ドキュメントのプリントアウトがプリンタ４０３に不用意に放置されることがなくなり、プリントアウトによるドキュメントの漏洩を防止することが可能となる。さらに、ネットワーク上を流れるプリントデータを盗聴されないようにプリンタ４０３とのやりとりをＳＳＬで保護してもよい。

また、ドキュメント印刷プログラム４２１をWindows（Ｒ）Domainのユーザ管理と連動させて、ユーザに対してＰＩＮの入力を要求しないようにしてもよい。例えば、ＰＩＮをユーザに入力させるのではなく、Windows（Ｒ）Domainから現在ログオン中のユーザＩＤを取得し、プリントデータとともにユーザＩＤをプリンタ４０３へ送付するようにする。プリンタ４０３は、オペレーションパネルでユーザからのパスワード入力を受け、そのユーザＩＤとパスワードとでWindows（Ｒ）Domainのユーザ認証機構を用いてユーザ認証を行い、成功すればプリントアウトするようにしても良い。Windows（Ｒ）Domainに限定されず、予め導入されているユーザ管理と連動させることで、ユーザにとって面倒なＰＩＮ入力の手間を削減できる。

次に、印刷要件としてＥＢＣが設定されている場合のドキュメント印刷プログラム４２１の動作について説明する。

（１）ドキュメント印刷プログラム４２１は、ＥＢＣが設定されているドキュメントを印刷する際にドキュメントＩＤを示すバーコード画像データ（又は、二次元コード）のデータを生成する。

（２）ドキュメント印刷プログラム４２１は、生成したバーコード画像データをスタンプ画像としてプリンタドライバにセットし、プリンタ４０３に印刷を指示する。

（３）プリンタドライバにＥＢＣが設定できない、すなわち、プリンタ４０３がスタンプ機能をサポートしていない場合は、スタンプ機能をサポートしている他のプリンタを選択するようにユーザに通知し、印刷を行わずに処理を終了する。

このようにすることで、ドキュメントのプリントアウトの各ページにはバーコードが印刷されるため、このバーコードを識別できる複写機、ファックス、スキャナのみがバーコードをデコードすることでドキュメントＩＤを取得し、そのドキュメントＩＤを基にアクセスコントロールサーバ４０４でハードコピー、画像読み取り、ファックス送信などが許可されているか否かを判断することが可能となる。これにより、紙文書まで一貫したセキュリティ確保が可能となる。

次に、印刷要件としてＢＤＰが設定されている場合のドキュメント印刷プログラム４２１の動作について説明する。

（１）ドキュメント印刷プログラム４２１は、ＢＤＰが設定されているドキュメントを印刷する際に、印刷を要求しているユーザ名と印刷日時とを文字列として取得する（例えば、Ichiro,2002/08/04 23:47:10）。

（２）ドキュメント印刷プログラム４２１は、ドキュメントのプリントアウトを複写機で複写した際に、生成した文字列が浮き上がるように地紋画像を生成する。

（３）ドキュメント印刷プログラム４２１は、生成した地紋画像をスタンプとしてプリンタドライバにセットし、プリンタ４０３にドキュメントの印刷を指示する。

（４）プリンタドライバにＢＤＰが設定できない場合、すなわちプリンタ４０３が地紋印刷をサポートしていない場合には、地紋印刷をサポートしている別のプリンタを選択するようにユーザに通知し、印刷を行わずに処理を終了する。

このようにすることで、ドキュメントのプリントアウトの各ページには、印刷処理を実行したユーザ名と日時とが浮き出る地紋画像として印刷され、プリントアウトを複写機やスキャナ、ファックスで処理すると文字列が浮き出ることとなる。これ、ＥＢＣをサポートしていない複写機を使用する場合などに有効であり、ドキュメントのプリントアウトを複写することによる情報漏洩に対して抑止力を有する。

次に、印刷要件としてＳＬＳが設定されている場合のドキュメント印刷プログラム４２１の動作について説明する。

（１）ドキュメント印刷プログラム４２１は、ＳＬＳが設定されているドキュメントファイルを印刷する際に、予め用意された画像のうち、そのドキュメントの機密レベルに応じたもの（Top Secretならば「極秘」のマークなど）を選択する。

（２）選択した画像のデータを、スタンプとしてプリンタドライバにセットし、プリンタ４０３に印刷を指示する。

（３）プリンタドライバにＳＬＳをセットできない場合、すなわち、プリンタ４０３がＳＬＳをサポートしていない場合には、ラベルスタンプをサポートしている別のプリンタを選択するようにユーザに通知し、印刷を行わずに処理を終了する。

このようにすることで、ドキュメントファイルのプリントアウトには、自動的に「極秘」や「マル秘」がスタンプとして印刷されるため、ドキュメントが機密文書であることが明らかとなる。すなわち、プリントアウトを所持する者に管理上の注意を喚起することができる。

上記の各例は、あくまでも印刷要件の例であり、改ざん防止用の電子透かしを印刷するようにしたり、保護されているドキュメントは特殊な用紙に印刷する（印刷に使用する用紙トレイを特殊用紙のトレイに限定する）ようにしてもよい。

さらに付言すると、印刷要件には、機能を制限・禁止するものと、機能を強制的に使用させるもの、加えて通常の印刷条件指定などを含めることができる。機能を制限・禁止する例としては、機密文書原本と区別をするために特別なユーザのみカラーでの印刷を許可して、他のユーザはグレースケールでの印刷のみを許可するように制限するための印刷要件などである。機能を強制的に使用させる例としては、機密印刷モードを強制的に使用するような印刷要件や、ログを強制的に記録するような印刷要件、印刷紙面に印刷したユーザの名前を強制的に印字するような印刷要件、ウォーターマークを強制的に印刷する印刷要件、地紋を強制的に印刷する印刷要件などである。通常の印刷条件を指定する例としては、用紙設定としてＡ４を指定する印刷要件，再生紙トレイを使用する印刷要件，両面印刷を指定する印刷要件などである。

また、これまで印刷要件の表現形式としてＲＡＤ、ＰＡＣといったキーワードを用いて説明してきたが、そのようなキーワードでなくとも、例えば、プリンタドライバに設定する設定ファイルのデータそのものや、プリントデータに挿入するページ記述言語で表現したデータ、画面に表示する文字列そのもの、処理すべき要件の内容をスクリプト言語で記述したデータのようなものを用いて印刷要件を表現して規定するようにしても良い。すなわち、印刷要件の表現をキーワードのようなものに限定するものではない。

このように、プリンタ４０３がサポートする様々なセキュリティ機能を利用してセキュリティポリシーに沿った印刷要件を設定することによって、プリンタ４０３のセキュリティ機能を無駄なく活用して、プリントアウトに至るまで一貫したセキュリティの確保が可能となる。これは他の実施形態のシステム構成においても同様である。

一方、これまでの説明において、保護対象はドキュメント全体であるように記述してきたが、ドキュメントの中に保護対象となる部分（セグメントと呼ぶ）と、保護対象としない部分が混在していても良い。例えば、図４４に示すように、保護セグメントが複数保護ドキュメント内に存在していても良い。この場合、保護セグメントごとに異なるセグメントＩＤをつけ、これまでの説明におけるドキュメントＩＤをセグメントＩＤと読みかえれば、同じ原理で保護セグメントごとに印刷を含むアクセスの制御が可能になる。実際には、保護セグメントの先頭と末尾には、そこから保護セグメントが開始することを示しそこで保護セグメントが終了することを示すマーカのようなものをつける必要がある。そういったマーカの入れ方については、ＭＩＭＥのマルチパートセパレータなどの従来技術を用いることができる。

また、これまではドキュメント保護プログラムが配布者端末に配置されるような実施例に基づいて説明してきたが、ドキュメント保護プログラム本体はリモートサーバ上に配置するようにしても良い。例えば図３３の配布者端末４０１、ドキュメント保護プログラム４１１およびアクセスコントロールサーバ４０４の関係は、図４５に示すように変形することができる。このように配置することにより、ドキュメント保護プログラムがインストールされていない端末からでもリモートサーバにドキュメントと必要なパラメータを送付して保護ドキュメントを取得することができる。

なお、上述した各実施形態は、本発明の好適な実施の例であり、本発明はこれらに限定されることはない。

例えば、上記各実施形態においては、配布者端末とユーザ端末とが別個の装置である場合を例に説明を行ったが、これらは同一の装置を共用するような構成であっても構わない。

また、上記各実施形態では、ドキュメント印刷プログラムが実装されたユーザ端末を、ユーザが直接操作する場合を例に説明を行ったが、これに限定されるものではない。例えば、ドキュメント印刷プログラムがサーバに実装されており、ユーザがユーザ端末を操作しネットワーク網を介してドキュメント印刷プログラムを実行させる構成であってもよい。

また、ユーザ認証の方法は、ユーザ名とパスワードとを用いる方法に限定されることはなく、スマートカードを用いたＰＫＩベースの認証方法を適用してもよい。

このように、本発明は様々な変形が可能である。

さらに、上記の説明では「プリンタ」という用語が使われているが、これは狭義のプリンタ専用機に限らず、コピー、ファクシミリ、これらの複合・融合された機器等、すなわち印刷機能を有するすべての機器を意味するものである。

本発明を好適に実施した第１の実施形態にかかるドキュメント保護・印刷システムの構成を示す図である。 ドキュメント保護プログラムの構成例を示す図である。 ドキュメント印刷プログラムの構成例を示す図である。 印刷処理部の構成例を示す図である。 アクセスコントロールサーバの構成例を示す図である。 ＡＣＬの構成例を示す図である。 ＡＣＬデータベースに記録される情報の構造例を示す図である。 許可証データベースの構成例を示す図である。 ＡＣＬの設定を要求する画面の例を示す図である。 ユーザ名（ユーザＩＤ）とパスワードを要求する画面の例を示す図である。 ユーザ端末の表示装置上に表示される確認画面の例を示す図である。 第１の実施形態にかかるドキュメント保護プログラムの動作を示す図である。 第１の実施形態にかかるドキュメント印刷プログラムおよびアクセスコントロールサーバの動作の流れを示す図である。 アクセスコントロールサーバへのＳＯＡＰによる問い合わせの例を示す図である。 ドキュメント保護プログラムの構成例を示す図である。 復号の様子を示す図である。 ドキュメント印刷プログラムの構成例を示す図である。 本発明を好適に実施した第２の実施形態にかかるドキュメント保護・印刷システムの構成を示す図である。 ドキュメント保護プログラムの構成例を示す図である。 ドキュメント印刷プログラムの構成例を示す図である。 印刷処理部の構成例を示す図である。 アクセスコントロールサーバの構成例を示す図である。 ＡＣＬの構成例を示す図である。 許可証データベースの構成例を示す図である。 セキュリティ属性の設定を要求する画面の例を示す図である。 ユーザ名（ユーザＩＤ）とパスワードを要求する画面の例を示す図である。 ユーザ端末の表示装置上に表示される確認画面の例を示す図である。 第２の実施形態にかかるドキュメント保護プログラムおよびアクセスコントロールサーバの動作の流れを示す図である。 第２の実施形態にかかるドキュメント印刷プログラムの動作を示す図である。 第２の実施形態にかかるドキュメント印刷プログラムおよびアクセスコントロールサーバの動作の流れを示す図である。 アクセスコントロールサーバへのＳＯＡＰによる問い合わせの例を示す図である。 セキュリティポリシーの例を示す図である。 本発明を好適に実施した第３の実施形態にかかるドキュメント保護・印刷システムの構成を示す図である。 アクセスコントロールサーバの構成例を示す図である。 セキュリティポリシーを電子データとした場合のデータ構造を示す図である。 セキュリティポリシーを電子データとして記述した例を示す図である。 ユーザデータベースに記録される情報の構造例を示す図である。 第３の実施形態にかかるドキュメント保護プログラムの処理を示す図である。 第３の実施形態にかかるドキュメント保護プログラムおよびアクセスコントロールサーバの動作の流れを示す図である。 第３の実施形態にかかるドキュメント印刷プログラムおよびアクセスコントロールサーバの動作の流れを示す図である。 プリンタが備えるセキュリティ機能の例を示す図である。 ＰＡＣが設定されたドキュメントを印刷する際の処理を示す図である。 ＰＩＮ入力のダイアログを示す図である。 ドキュメントを複数のセグメントに分けて保護する場合の処理を示す図である。 ドキュメント保護プログラムをリモートサーバ上に配置した状態を示す図である。

符号の説明

２０１ 配布者端末
２０２ ユーザ端末
２０３ プリンタ
２０４ アクセスコントロールサーバ
２１１ ドキュメント保護プログラム
２２１ ドキュメント印刷プログラム
２４１ ユーザデータベース
２４２ ＡＣＬデータベース
２４３ 許可証データベース
２０４ａ 属性ＤＢ登録部
２０４ｂ ユーザ認証部
２０４ｃ アクセス権限確認部
２０４ｄ 印刷要件取得送付部
２０４ｅ 許可証発行部
２０４ｆ 許可証確認部
３０１ 配布者端末
３０２ ユーザ端末
３０３ プリンタ
３０４ アクセスコントロールサーバ
３４１ ユーザデータベース
３４２ ＡＣＬデータベース
３４３ セキュリティ属性データベース
３４４ 許可証データベース
３１１ ドキュメント保護プログラム
３２１ ドキュメント印刷プログラム
３０４ａ 属性ＤＢ登録部
３０４ｂ ユーザ認証部
３０４ｃ アクセス権限確認部
３０４ｄ 印刷要件取得送付部
３０４ｅ 許可証発行部
３０４ｆ 許可証確認部
４０１ 配布者端末
４０２ ユーザ端末
４０３ プリンタ
４０４ アクセスコントロールサーバ
４１１ ドキュメント保護プログラム
４２１ ドキュメント印刷プログラム
４４１ ユーザデータベース
４４３ セキュリティ属性データベース
４４４ セキュリティポリシー
４４５ 許可証データベース
４０４ａ 属性ＤＢ登録部
４０４ｂ ユーザ認証部
４０４ｃ アクセス権限確認部
４０４ｄ 印刷要件取得送付部
４０４ｅ 許可証発行部
４０４ｆ 許可証確認部

Claims (10)

1. ドキュメントに対するアクセスの許可を付与する方法であって、
   上記アクセスの許可を示す許可証を作成する工程と、
   上記許可証にアクセスの際の処理要件を含める工程とを備えたことを特徴とするアクセス許可付与方法。
2. 上記アクセスはドキュメントの印刷である請求項１に記載のアクセス許可付与方法。
3. 上記許可証はアクセス可能な回数を指定したものである請求項１または２のいずれか一項に記載のアクセス許可付与方法。
4. 上記許可証はアクセス可能な期限を指定したものである請求項１または２のいずれか一項に記載のアクセス許可付与方法。
5. 上記処理要件はスタンプ印刷、機密印刷、地紋印刷、バーコード印刷のいずれかを含む請求項１乃至４のいずれか一項に記載のアクセス許可付与方法。
6. ドキュメントへのアクセスを処理する方法であって、
   上記ドキュメントへのアクセスを許可する許可証を確認する工程と、
   上記許可証に含まれる処理要件をアクセスの際に適用する工程とを備えたことを特徴とするアクセス許可処理方法。
7. ドキュメントに対するアクセスの許可を付与するプログラムであって、
   上記アクセスの許可を示す許可証を作成する手順と、
   上記許可証にアクセスの際の処理要件を含める手順とをコンピュータに実行させることを特徴とするアクセス許可付与プログラム。
8. ドキュメントへのアクセスを処理するプログラムであって、
   上記ドキュメントへのアクセスを許可する許可証を確認する手順と、
   上記許可証に含まれる処理要件をアクセスの際に適用する手順とをコンピュータに実行させることを特徴とするアクセス許可処理プログラム。
9. ドキュメントに対するアクセスの許可を付与するコンピュータ装置であって、
   上記アクセスの許可を示す許可証を作成する手段と、
   上記許可証にアクセスの際の処理要件を含める手段とを備えたことを特徴とするコンピュータ装置。
10. ドキュメントへのアクセスを処理するコンピュータ装置であって、
    上記ドキュメントへのアクセスを許可する許可証を確認する手段と、
    上記許可証に含まれる処理要件をアクセスの際に適用する手段とを備えたことを特徴とするコンピュータ装置。

Images