JP2005258606A - 情報漏洩監査機能付きネットワークシステム - Google Patents

Abstract

【課題】
情報が不正に組識の外部に流出することを防止すると同時に、情報が不正に流出したこと検知する手段を提供する。
【解決手段】
本発明は、ユーザ端末は、許可証付加装置が発行したの許可証を添付して、秘密情報を送信する。転送許可装置は、許可証をチェックし、正当な許可証でかつ送信状況と許可証の内容が一致し、かつ情報を送信する先での管理状況が適正である場合は、秘密情報を組識外に転送する。また、許可証付加装置の許可証を発行した記録と転送許可装置の許可証をチェックした記録は格納しておき、必要な時に、両者の記録を比較する。
【選択図】 図１

Description

本発明は組織などで扱う秘密情報が外部に漏洩することを防止するための技術に関する。

現在、故意や過失による企業内情報の漏洩が問題になっている。情報の漏洩を防止する手段としては、秘密レベルを表すラベルをファイルにつけ、管理対象ネットワークの外にファイルを送信する際には、ゲートウェイサーバで、ラベルをチェックする方法や、ファイルのエクスポート（ネットワークへの送信やリムーバブルメディアへの書き込み）処理を行うプログラムが秘密情報ファイルへアクセスすることを制限する方法がある（例えば、特許文献１参照）。

特開２００３−１７３２８４号公報

実際の秘密情報には、完全組織外秘のレベルや、特定の条件で開示可のレベルなど、様々な秘密レベルがある。従来の情報漏洩防止方法では、秘密情報を組織外に出さないことに重点が置かれているため、完全組織外秘のレベルの情報には有効であるが、特定の条件で開示可のレベルの情報に対しては適用し難いという課題がある。

また、現在、セキュリティシステムを監査する手段として、セキュリティに関する事象をログとして蓄積する方法がとられている。しかしながら、これらは「ログインの失敗」などの事象の蓄積が主であるため、このログからどの情報が漏洩したかどうかを判断することは難しいという課題がある。

さらに、一度情報を送信してしまった場合、送信先で情報が目的どおりに使用されていることを保障することも難しいという課題がある。

本発明は、上記課題のうち少なくとも一つを解決するものである。

本発明では、情報の受送信／管理に関して同じルール（以下、ポリシーと呼ぶ）で管理される組織内の情報を組織外に出力する際には、ファイルの送信を承認するプロセスと送信先で送信された情報を管理する仕組みがあることを確認するプロセスを実施する情報送信方法およびその装置／手段を提供する。該方法あるいはポリシーにより、情報のフローを制御し、かつ、情報漏洩を検知することが可能となる。

例えば、ある端末から送信された情報は、許可証付加装置が発行した許可証が添付されて秘密情報として転送許可装置に転送され、該転送許可装置では該許可証及び送信先機器における被送信情報の送信先機器の管理システムが正常に動作しているか否かをチェックされた後、該情報が転送される。ここで秘密情報とは、情報の配信先を管理する必要がある機密情報をさす。なお、上記では、送信対象の情報を秘密情報としたが、これに限られない他の情報であってもよい。

その結果、組織外に配置された情報転送機器が該情報の利用状況の履歴情報を格納する情報管理システムを配備しており、かつ、該許可証が正当であってかつ送信状況と許可証の内容が一致する場合は、秘密情報を組識外に転送するシステムを提供する。ここで、「利用状況」とは、組織外に配置された情報転送機器での情報の転送状況（どの情報をいつ、どの機器に転送したか）を記録したものである。また、「送信状況」とは転送許可装置が、情報を送信しようとする組織を指しており、許可証に記載された送信先が、この組織に入っている場合、「送信状況と許可証の内容が一致する」ことになる。

また、許可証付加装置が許可証を発行した記録と転送許可装置の許可証をチェックした記録を比較する、または、転送許可装置が情報送信先の情報管理システムから送信情報の利用状況の履歴情報を受領することで、送信情報の誤送信の有無、あるいは適正利用を図るシステムを提供する。

本発明のネットワークシステムでは、組織外における情報の不正な利用の防止と情報漏洩の監査が実現可能となり、秘密情報の利用機会を安全に拡大できる。

以下に本発明の実施の形態について説明する。

本実施例では、ポリシーとは、情報の送受信／管理に関して組織内の情報を組織外にエクスポート（送信、複写、出力）する際に、該情報（ファイル）の送信を承認するプロセスと、送信先機器（複数の機器を経由して、送信先機器に情報が送信される場合、該複数機器のうちのいずれかの機器も含む）において、受信情報を管理する仕組みがあるか否かを確認するプロセスとを有することを定めた規約とする。

以下、本実施例を、図面に基づいて説明する。図１は本実施形態における情報漏洩監査機能付きネットワークシステムの全体構成例である。

図中の１００は秘密情報を管理する情報管理装置、１０１はファイルを組織外にエクスポートしてよいか否かの判断を行い、エクスポート可能と判断した場合は、許可証を発行する許可証付加装置、１０２は、許可証付加方式判定モジュールモジュール１０４、リムーバブルメディア用転送許可モジュール１０８、ファイルをネットワーク上に送信又はリムーバブルメディアに複写するエクスポートプログラム１１７を搭載したユーザ端末、１０３はファイルを組織外のネットワークに転送する転送許可装置、１０５は情報漏洩の監査を行う監査装置、１３４は組織外にエクスポートした秘密情報を管理する組織外情報管理装置である。

１１２はファイルのエクスポートに関して、同じポリシーが適用される組織を、１３３は別のポリシーが適用される別組織を表す。つまり、組織１１２に属する機器と組織１３３に属する機器は、それぞれファイルのエクスポートに関して異なったポリシーが適用されて制御しているものである。転送認可装置は、他のポリシーで管理される組織と接続されるネットワークに接続され、ある組織から他の組織への転送を監視／管理する。

１１３、１１４、１３５は、LAN(Local Area Network)等のネットワークであり、１１３は、情報管理装置１００、許可証付加装置１０１、ユーザ端末１０２、監査装置１０５、転送許可装置１０３を接続する組織１１２内のネットワーク、１１４は組織１１２外のネットワーク、１３５は別組織１３３内のネットワークである。組織１１２内ネットワーク１１３と組織１１２外ネットワーク１１４の間に、転送許可装置１０３を配置し、組織１１２内ネットワーク１１３から組織１１２外ネットワーク１１４にエクスポートするファイルのデータは、転送許可装置１０３経由で組織１１２外ネットワーク１１４へ転送する。

また、図１は、情報管理装置１００、許可証付加装置１０１、ユーザ端末１０２、転送許可装置１０３、監査装置１０５、組織外情報管理装置１３４を各々一台づつで構成した場合を示しているが、二台以上で構成してもよい。また、これらの機能を有する機器のうち少なくとも２以上の機能を同一の機器内で実現することも可能である。この場合、その組み合わせは、任意に選択可能である 情報管理装置１００、許可証付加装置１０１、ユーザ端末１０２、転送許可装置１０３、監査装置１０５、組織外情報管理装置１３４は、ＣＰＵ、記憶装置、キーボードなどの入力装置、表示装置などの出力装置、ネットワークインターフェース等を備えた一般的な情報処理装置を用いることができる。

本実施形態における情報管理装置１００、許可証付加装置１０１、ユーザ端末１０２、転送許可装置１０３、監査装置１０５の機能は、記憶装置に格納されたプログラムをＣＰＵが実行することによって実現される。このプログラムは予め記憶装置に格納されていてもよいし、必要なときに、記憶媒体から、または通信媒体を経由して他の情報処理装置から導入されてもよい。１１１は、組織１１２外に持ち出すことができるＦＤ、ＣＤ等のリムーバブルメディアを表す。

次に、情報管理装置１００、許可証判定メカニズム１０４、許可証付加装置１０１、転送許可装置１０３、リムーバブルメディア用転送許可モジュール１０８について説明する。

情報管理装置１００は、秘密情報ファイル１１８を格納し、アクセス制御モジュール１１９によって、秘密情報ファイル１１８に対するアクセスを制御することで秘密情報を管理する。秘密情報ファイル１１８に対するアクセスを制御する技術としては、特開２００１−３３７８６４記載のアクセス制御システムなどがある。このシステムでは、特定のファイルへのアクセスを特定のユーザが特定のプログラムを用いた場合のみ許可するといったアクセス制御ポリシーを定義しておき、ファイルにアクセスがあった場合、前記アクセス制御ポリシーに従ってアクセスの可否を判断する。アクセス制御モジュール１１９は、この技術を用いることで実現できる。

本実施形態では、さらに、許可証付加方式判定モジュール１０４を起動する起動モジュール１２０を設ける。起動モジュール１２０は、アクセス制御モジュール１１９がエクスポートプログラム１１７による秘密情報ファイル１１８へのアクセスを可能と判断した場合、許可証付加方式判定モジュール１０４を起動する。

許可証付加方式判定モジュール１０４は、許可証付加装置１０１に許可証要求メッセージを送信し、その応答として許可証を受信する。そして、受信した許可証をファイルに添付する。許可証要求メッセージには、エクスポートしたいファイルを指定する情報とエクスポートが許可される条件項目に対する値が含まれる。図３に示すように、本実施例では、条件項目を、送信元情報、送信先情報、目的、時間とした場合で説明する。エクスポートが許可される条件項目は、予め、組織１１２内で決めておく。

また、ファイルそのものを許可証要求メッセージに含めて、許可証付加装置１０１に送ってもよい。ファイル毎に、異なる許可証付加装置に許可証要求メッセージを送信するようにしてもよい。この場合、図２に示すように、ファイルと、このファイルのエクスポート時に必要な許可証を発行する許可証付加装置の対応リスト２００を設ける。許可証付加方式判定モジュール１０４は、このリストを参照して、エクスポートしようとしているファイルに必要な許可証の要求先を検索し、該当する許可証付加装置に許可証要求メッセージを送信する。

別組織１３３においては、転送許可装置１０３からエクスポートされた情報を組織外情報管理装置１３４で受信し、該組織１３３内のネットワーク１３５に情報を配信する。組織外情報管理装置１３４は、配信記録を装置内で生成／保持する機能を有するとともに、転送許可装置１０３からの配信記録送付要求に応答する機能を有する。前記の機能を実現するソフトウェアは安全に管理するために、ハードウェアトークン１３６に格納されており、組織外情報管理装置１３４は、前記ハードウェアトークン１３６を利用できるようにするためのハードウェアトークンインターフェース１３７を持つ。ここで、ハードウェアトークン１３６は、図１３に示すようなデバイスであり、メモリ部１５０１とコントローラ部１５０２により構成される耐タンパ性を備えた可搬記憶デバイスである。組織外情報管理装置１３４はハードウェアトークンインタフェース１３７を介してハードウェアトークン１３６のメモリ部１５０１に格納された前記ソフトウェアを読み出して実行する機能を持つ。前記ソフトウェアの書き換えは、ハードウェアトークン１３６のコントローラ部１５０２により制御されており、認証に成功した正当な権利者以外は書き換えられないようになっている。

図２に、ファイルと許可証付加装置の対応リスト２００の一実施形態を示す。一列目にファイルが格納されている情報管理装置名２０１、二列目にファイル名２０２、三列目に許可証付加装置の名前２０３が格納されている。本実施形態では、ファイルを指定する情報として、ファイルが格納されている情報管理装置名とファイル名（またはディレクトリ名）、許可証付加装置を指定するパラメータとして装置名を用いているが、他のパラメータを用いてもよい。

また、ファイルと許可証付加装置の対応リスト２００は、許可証付加方式判定モジュール１０４が搭載されているユーザ端末１０２に搭載しても、ネットワークで接続される別の機器に搭載し、許可証付加方式判定モジュール１０４からネットワークを介してアクセスできるように構成してもよい。

次に、許可証付加装置１０１について説明する。許可証付加装置１０１は、エクスポート許可リスト１２１と、許可証付加モジュール１２２と、許可証ログファイル保存装置１２３、ログ収集インターフェース（許可証付加装置内）１２４で構成できる。エクスポート許可リスト１２１を、ネットワークで接続される別の機器に搭載し、許可証付加装置１０１からネットワークを介してアクセスできるように構成してもよい。

エクスポート許可リスト１２１は、組織１１２内で決められたエクスポートが許可されるファイルの条件を格納する。図３にエクスポート許可リストの一実施形態を示す。一列目にファイルが格納されている情報管理装置名３０４、二列目にファイル名３０５、三列目に許可される送信元３０６、四列目に許可される送信先３０７、５列目に許可される目的３０３、６列目に時間３０８が格納されている。

本実施形態では、エクスポートを許可するファイル３０１を指定するパラメータとして、ファイルが格納されている情報管理装置名３０４とファイル名３０５、許可条件３０２を指定するパラメータとして、送信元３０６、送信先３０７、目的３０３、許可される時間３０８を用いているが、他のパラメータを用いてもよい。

許可証付加モジュール１２２は、許可証付加方式判定モジュール１０４が送信した許可証要求メッセージを受信し、許可証要求メッセージの内容から、指定されたファイルをエクスポートしてよいかを判断する。エクスポートを許可する場合は、許可証を作成し、許可証要求メッセージの送信元に許可証を返信する。エクスポート不可と判断した場合は、エラー情報を許可証要求メッセージの送信元に返してもよい。

エクスポートを許可するか否かの判断処理は、エクスポート許可リスト１２１を参照して行う。判断は、人間が行っても、許可証付加モジュール１２２が行ってもよい。判断を人間が行う場合は、判断をファイルの管理者等に促すためメッセージを許可証付加装置１０１の出力装置を用いて出力する。このとき、許可証要求メッセージの内容とエクスポート許可リスト１２１の内容をともに出力してもよい。エクスポートを許可するか否かの判断処理を許可証付加モジュール１２２が行う場合は、許可証要求メッセージの内容とエクスポート許可リスト１２１を比較して、許可証要求メッセージが指定するファイルが、エクスポート許可リスト１２１内にあり、エクスポート許可条件３０２を満たすかどうかを判断する。該条件が満たされた場合、許可証が発行される。

本実施例では、許可証は、許可証付加装置を識別する情報と許可証を識別する情報（例えば、シリアル番号）と許可される内容（ファイル情報、送信元情報、送信先情報、目的、使用時間など）と許可証付加装置のディジタル署名で構成する。本実施例では、ディジタル署名を用いるが、ディジタル署名以外の、許可証付加装置と転送許可装置で使用することを決めた秘匿性のあるアルゴリズムであればよい。また、透かし技術等を用いて、許可証をファイルに埋めこんでもよい。

許可証付加モジュール１２２は、作成した許可証の情報と許可証を生成した時刻を、許可証ログファイル保存装置１２３に保存する。エクスポート不可と判断した場合は、エラー情報を許可証要求メッセージの送信元に返信してもよい。

ログ収集インターフェース（許可証付加装置内）１２４は、監査装置１０５から送信されたログ収集要求を受信した場合、許可証ログファイル保存装置１２３内に格納した過去に許可証を発行した履歴情報を監査装置１０５に送信する。

次に、本実施形態における転送許可装置１０３について説明する。転送許可装置１０３は、許可証の検証に必要な情報を格納する許可証検証用データベース１２５、転送許可モジュール１２６、転送許可ログファイル保存装置１２７、ログ収集インターフェース（転送許可装置内）１２８で構成される。許可証の検証に必要な情報を格納するデータベース１２５を、ネットワークで接続される別の機器に搭載し、転送許可装置１０３からネットワークを介してアクセスできるように構成してもよい。

本実施例では、許可証検証用データベース１２５に、許可証付加装置１０１の公開鍵を格納されており、許可証付加装置１０１の識別子を検索キーとして、該許可証付加装置１０１に対応する公開鍵を検索して入手することができるようにする。ここで、公開鍵の真正性を保障するために、許可証検証用データベース１０１には公開鍵に電子署名を付与した公開鍵証明書を格納するようにしてもよい。転送許可モジュール１２６は、エクスポートプログラム１１７が組織外ネットワーク１１４に送信することを意図して送信したファイルを受信し、受信したファイルに添付された許可証が改ざんされていないことを、許可証検証用データベース１２５を検索して入手した許可証付加装置１０１の公開鍵を用いて検証する。さらに、転送許可モジュール１２６は、図６に示すシーケンスで組織外情報管理装置１３４と通信を行い、転送実施モジュール１３８が稼動していることを確認する。この確認は、シーケンス９０８で管理状況の問合せを行い、シーケンス９０９で管理状況の返答があることと、該シーケンスを実行する際にあわせて転送許可装置１０３と組織外情報管理装置１３４の間で相互認証を行うことで実現することができる。なお、相互認証には、例えばISO/IEC9798で示されるような共通鍵を用いた方法が利用可能であるが、この際組織外情報管理装置１３４では共通鍵をハードウェアトークン１３６のコントローラ部１５０２に保持し、コントローラ部内で認証用データを作成するようにする。

本実施例では、許可証が示す許可証付加装置の公開鍵を許可証検証用データベース１２５から取得し、それを用いて許可証が改ざんされたものでないことを検証する。有効な許可証である場合は、許可証の内容と、ファイルの送信状況が一致するかどうかを調べる。一致する場合は、ファイルを組織外ネットワーク１１４に転送する。

この時、許可証を添付したままファイルを転送しても、許可証を外して転送しても構わない。許可証を添付したままファイルを転送する場合、許可証が添付されていることによって、ファイルが組織から正規にエクスポートされたものであることを証明できる。許可証を外してファイルを転送する場合、不正な解析に許可証が利用されることを防止できる。また、許可証をチェックした転送許可装置の識別情報を、転送するファイルに付加してもよい。さらに、ファイルを暗号化してから転送してもよい。ここで、転送許可装置の識別情報としては、例えば機器が使用するIPアドレスを利用してもよい。

また、許可証の内容と送信状況が一致しない場合は、送信者が許可証を取得した後に不正に送信先を変更した可能性があるため、ファイルを破棄して、許可証の内容にあわせて、ファイルの送信先等を書き直して転送してもよい。また、転送するか否かの判断を行った後、結果を本システムの管理者に通知してもよい。転送許可モジュール１２６は、添付された許可証のコピーまたは同等の情報と転送するか否かを判断した時刻を、転送許可ログファイル保存装置１２７に保存する。ログ収集インターフェース（転送許可装置内）１２８は、監査装置１０５から送信されたログ収集要求を受信した場合、転送許可ログファイル保存装置１２７に格納した履歴情報を監査装置１０５に送信する。

次に、本実施例における組織外情報管理装置１３４について説明する。組織外情報管理装置１３４は、ハードウェアトークンインターフェース１３７、転送実施モジュール１３８、転送実施ログファイル保存装置１３９、ログ収集インターフェース（組織外情報管理装置）１４０で構成される。本実施例では、転送実施モジュール１３８が転送許可装置１０３よりエクスポートされた情報を受信し、送信者側があらかじめ設定したアクセス制御ポリシーにしたがってネットワーク１３５に情報を転送する。このとき、転送実施ログファイル保管装置１３９に情報を転送したことを記録する。アクセス制御ポリシーは、さまざまなタイプのものを利用することが可能である。例えば、情報の作成元とエクスポート先の組み合わせに応じて転送の可否を判断させる方法や、インターネット上で、Webサイトの運営者とサイトの訪問者の間で個人情報をやり取りするための技術仕様であるP3P技術を利用して、エクスポート先の個人情報に対する取扱を明記したプライバシーポリシーを問合せ、許可証内に記載された使用目的と一致しているかどうかを判断させるようにしてもよい。アクセス制御ポリシーに違反していて情報の転送を許可しなかった場合には、許可しなかった理由を記載したメッセージ、許可証、転送情報を送信元機器に返送するようにしてもよい。なお、上記アクセス制御ポリシーは、組織１１２以外のユーザが改ざんすることを防ぐために、ハードウェアトークンの耐タンパ領域を利用するものとする。これには、ポリシーリストそのものか、ポリシーリストのハッシュ値を耐タンパ領域に格納することにより実現することができる。

本実施例では、転送許可モジュール１２６と転送実施モジュール１３８が相互認証を実施し、双方の機器がなりすましされていないことを確認する。これは、例えば転送許可モジュール１２６から転送実施モジュール１３８に対してTCPコネクションを張り、暗号技術を利用することにより実現することができる。例えば、転送許可モジュール１２６が公開鍵を有し、転送実施モジュール１３８が該公開鍵に対応する秘密鍵を有する公開鍵暗号方式により相互認証可能である。ここで、転送実施モジュール１３８においては、秘密鍵をコピーして偽の転送実施モジュールを稼動することができないようにすることが必要である。このため、転送実施モジュール１３８は、耐タンパ性をもつハードウェアトークン１３６中に格納しておくこととする。

さらに、転送許可モジュール１２６は、ログ収集要求をログ収集インターフェース（組織外情報管理装置）１４０に送信し、転送実施モジュール１３８が実行した過去の情報転送ログを収集し、転送許可装置が転送時に収集した転送先の履歴情報と比較した上で情報をエクスポートするか否か決定してもよい。過去の情報転送ログとは、転送実施モジュール１３８が転送許可装置１０３から送信されたデータをどの機器に転送したかを示す履歴情報であり、転送許可装置１０３のログ１２７に格納された情報の送信元１０２が指定した送信先のの履歴情報と比較される。なお、ログ収集インターフェース（組織外情報管理装置）１４０は、監査装置１０５が送信したログ収集要求を受信した場合、転送実施ログファイル保存装置１３９の情報を監査装置１０５に送信する。

許可証を添付したまま情報をエクスポートする場合、許可証内に情報を開示できる期限を記載しておき、転送実施モジュール１３８は、該開示期限をチェックした上で、転送処理を制御してもよい。

次に、ユーザ端末内のリムーバブルメディア用転送許可モジュール１０８について説明する。ユーザ端末内のリムーバブルメディア用転送許可モジュール１０８は、リムーバブルメディア複写許可モジュール１３０、複写許可ログファイル保存装置１３１、ログ収集インターフェース（ユーザ端末内）１３２で構成される。リムーバブルメディア複写許可モジュール１３０は、エクスポートプログラム１１７が、リムーバブルメディア１１１に複写しようとするファイルに許可証が添付されているか否かを調べ、許可証が添付されている場合は、リムーバブルメディア１１１に複写を行う。許可証が添付されていない場合は、複写は行われず、複写できない旨のメッセージが図示しない出力手段に表示される。また、添付された許可証のコピーまたは同等の情報と複写の可否を判断した時刻を、複写許可ログファイル保存装置１３１に保存する。許可証が添付されているか否かの調査では、許可証の内容を検証してもよい。

ログ収集インターフェース（ユーザ端末内）１３２は、監査装置１０５が送信したログ収集要求を受信した場合、複写許可ログファイル保存装置１３１の情報を監査装置１０５に送信する。

次に、図１の実施形態で、ユーザ端末１０２から組織外のネットワーク１１４にいるユーザにファイルを送信するときの全体の処理フローを図４、図５、図６を用いて説明する。

図４に示すように、まず、ファイルの発信元ユーザは、エクスポートプログラム１１７に対して、ファイルのエクスポートを要求する（ステップ７００）。エクスポートプログラム１１７は、１１８に格納されたエクスポートするファイルにアクセスし、該ファイル情報を受信する（ステップ７０１）。

ファイルの発信元ユーザがエクスポートプログラムを利用する権限を持っている正当なアクセスの場合、情報管理装置１００内の起動モジュール１２０が許可証付加方式判定モジュール１０４を起動する（ステップ７０２）。該ファイルの発信元ユーザがエクスポートプログラムを利用する権限を持っているか否かは、予め規定されていても、随時定義されてもよい。

許可証付加方式判定モジュール１０４は、ファイルと許可証付加装置の対応リスト２００を参照して、ファイルのエクスポートに必要な許可証を発行する許可証付加装置を調べ（ステップ７０３）、該当する許可証付加装置１０１に許可証要求メッセージ７１２を送信し、許可証を要求する（ステップ７０５）。

次に、図５に示すように、許可証付加装置１０１内の許可証付加モジュール１２２は、許可証要求メッセージ７１２を受信すると（ステップ８０５）、許可証要求メッセージ７１２で指定されるファイルをエクスポートしてよいかをエクスポート許可リスト１２１を参照して判断する（ステップ８００）。エクスポートが可能な場合は許可証を生成（ステップ８０１）する。エクスポート不可の場合は、エラーメッセージの作成などのエラー設定を行う（ステップ８０２）。その後、許可証またはエラーメッセージ７１３を許可証付加方式判定モジュール１０４に送信し（ステップ８０３）、作成した許可証の情報を許可証ログファイル保存装置１２３に保存する（ステップ８０４）。許可証付加方式判定モジュール１０４は、許可証付加装置１０１からの応答を受信すると（ステップ７０６）、許可証を受信することができたか否かを判断する（ステップ７０７）する。

失敗の場合（ステップ７１９）、エクスポートプログラム１１７は、エラー処理を行う（ステップ７１０）。この時、ファイルをエクスポートすることができない事を示すエラーメッセージを表示してもよい。

成功の場合は（ステップ７２０）、図６に示すように、許可証をファイルに添付する（ステップ７０８）。エクスポートプログラム１１７は、許可証が添付されたファイルをネットワークに送信できる形式にしてエクスポートする（ステップ７０９）。

ここで、ユーザ端末は、ファイルと許可証要求メッセージを許可証付加装置に送信し、許可証を発行可能と判断された場合、許可証が付加されたファイルを転送許可装置に送信する構成としてもよい。

許可証付加方式判定モジュール１０４は、許可証を付加する情報の重要度に応じて、複数の許可証付加装置１０１に許可証要求メッセージ７１２を送信してもよい。

転送許可装置１０３の転送許可モジュール１２６は、エクスポートプログラム１１７がエクスポートしたファイルを受信すると（ステップ９００）、ファイルに許可証が添付しているか否かをチェック（ステップ９０７）する。ファイルに許可証が添付されている場合は、許可証が有効であり、許可証の内容とファイルの送信状況が一致するか否かをチェックする（ステップ９０１）。ここで許可証の有効性は、許可証に付与されたディジタル署名を検証することにより確認することができる。また、転送許可モジュール１２６は、許可証に記載された送信先情報と、実際にこれから送信する通信相手を確認することにより、許可証の内容とファイルの送信状況が一致するか否かを確認することができる。さらに組織外情報管理装置１３４に対して管理状況の問合せを実施し（ステップ９０８）、前記組織外情報管理装置１３４より管理状況の返答を受け取った上で（ステップ９０９）、送信先の管理状況が適切かどうか確認する（ステップ９１０）。許可証が有効であり、許可証の内容とファイルの送信状況が一致し、かつ送信先の管理状況が適切である場合は、転送可と判断し、ファイルを送信先に転送する（ステップ９０２）。また、添付された許可証のコピーまたは同等の情報と転送の可否を判断した時刻を転送許可ログファイル保存装置１２７に保存する（ステップ９０３）。受け取りユーザは、転送許可装置から転送されたファイルを受信する（ステップ９０６）。

ステップ９０７で、許可証が添付されていない場合と、ステップ９０１で、許可証が無効、又は、許可証の内容とファイルの送信状況が一致しない場合は、転送不可と判断し、エラー処理を行う（ステップ９０４）。このとき、ユーザ端末にエラーメッセージを送信してもよい。エクスポートプログラム１１７は、ファイルのエクスポートに失敗したことをユーザに知らせるためのメッセージをユーザ端末の表示装置を使用して表示してもよい（ステップ９０５）。

組織１１２が大きい場合は、組織を複数のサブ組織に分割し、サブ組織のネットワークの出入口にも転送許可装置１０３および組織外情報管理装置１３４を設置してもよい。この場合、組織内の他のサブ組織に対する情報のエクスポートには、サブ組織のネットワークの出入口に設置された転送許可装置１０３が他のサブ組織に設置された組織外情報管理装置１３４の管理状況を確認するとともに、許可証のチェックを実施し、組織１１２外への情報のエクスポートでは、組織１１２の出入口の転送許可装置が、他組織に設置された組織外情報管理装置１３４の管理状況を確認するとともに、許可証のチェックをするよう、役割分担を行うことが可能になり、転送許可装置１０３の負荷を分散することができる。

次に、ユーザが、エクスポートプログラム１１７を利用して、秘密情報をリムーバブルメディア１１１に複写する場合について図７を用いて説明する。

ファイルの複写を要求するユーザは、エクスポートプログラム１１７を利用して、ファイルの複写を要求する（ステップ５００）。エクスポートプログラム１１７は、エクスポートするファイルにアクセスする（ステップ５０７）。図中７２２から７２３までの処理は、図４、図５と同じである。７２３の後、エクスポートプログラム１１７は、ファイル書き込みを要求する（ステップ５０１）。リムーバブルメディア複写許可モジュール１３０は、ファイルに許可証が添付されているかをチェックする（ステップ５０２）。添付されている場合は、ファイルをリムーバブルメディアに書き込む（ステップ５０３）。また、添付された許可証のコピーまたは同等の情報と複写の可否を判断した時刻を、複写許可ログファイル保存装置１３１に保存する（ステップ５０６）。

ステップ５０２で許可証が添付されていない場合は、エラー処理を行う（ステップ５０４）。エクスポートプログラムは、ファイルの複写に失敗したことをユーザに知らせるためのメッセージをユーザ端末の表示装置を使用して表示してもよい（ステップ５０５）。

前述の処理フローでは、許可証付加装置１０１で、エクスポートの可否を判断し、許可証を発行する例を説明したが、秘密性の低い情報のファイルに対しては、ファイルに自己署名をつけるだけで、送信できるようにしてもよい。これは、ファイルと許可証付加装置のリスト２００の許可証付加装置名２０３にユーザ端末名を設定し、ユーザ端末内に自己署名を付加する機能を、転送許可装置内または転送許可装置からネットワークを介してアクセスできる機器内に自己署名でエクスポートすることができるファイルのリストを設けることで実現できる。

次に、図８を用いて、監査装置１０５の処理を説明する。監査を行いたいユーザは、監査装置１０５の入力装置やネットワークインターフェース等を用いて監査の開始を要求する（ステップ１０００）。監査対象の監査要求待ち状態（ステップ１００１）状態にある監査装置１０５は、監査の対象となる許可証付加装置、転送許可装置、ユーザ端末、組織外情報管理装置１３４にログ収集要求を送る。各装置のログ収集インターフェースは、ログ収集要求を受信する（ステップ１００７）と、ログ情報を監査装置に送信する（ステップ１００８）。

監査装置１０５は各装置のログ情報を取得する（ステップ１００２）と、転送許可装置１０３とリムーバブルメディア用転送許可モジュール１０８が、ファイルの送信（または複写）の可否の判断に使用した許可証が、許可証付加装置１０１が作成したものであるかどうかを検証するために、転送許可ログファイル保存装置１２７と複写許可ログファイル保存装置１３１に保存されている許可証の情報が、許可証ログファイル保存装置１２４に保存されている許可証の情報と一致するかを調べる（ステップ１００４）。一致しない場合、許可証が添付されたファイルは、組織１１２から不正にエクスポートされたと判断することができる。すなわち、情報漏洩を検知することができる。

さらに、許可証付加装置１０１で作成した許可証が実際に使用されたか否かを調べるために、許可証ログファイル保存装置１２３に保存されている許可証の情報が、転送許可ログファイル保存装置１２７又は複写許可ログファイル保存装置１３１に保存されている許可証の情報と一致するかをチェックしてもよい。こうすることで、許可証の過剰発行を検知することができ、許可証の悪用を防止できる。その後、チェックの結果を出力し（ステップ１００５）し、監査処理を終了する（ステップ１００６）。

監査装置１０５は、表示装置を利用して、図９、図１０に示すような対話型のユーザインターフェースを設けてもよい。図９は、監査条件の設定画面、図１０は監査結果表示画面の例である。監査時間１１００では、監査処理を行う頻度と時間（図９では、毎日、２０：００）を設定し、監査対象１１０１で、監査対象とする転送許可装置名を、監査対象期間１１０２で、監査を行う転送許可装置のログデータの範囲を指定している。図９の例では、保存ボタン１１０３が押下されると、毎日２０：００に監査開始を要求し（ステップ１０００）、図８に示す監査処理を行う。図１０に示す監査対象期間１２００では、監査を行った転送許可装置のログデータの範囲を、許可証発行期間１２０１は、監査対象期間１２００に有効になる許可証を発行した期間を示している。

不正許可証一覧１２０２は、許可証の整合性のチェック（ステップ１００４で）、許可証ログファイル保存装置１２１に保存されている許可証と一致しなかった転送許可ログファイル保存装置１０３に保存されている許可証のリストである。図１０では、転送許可装置Xfer_server_Aの転送許可ログファイル保存装置内には、UserXからUserYへの転送を許可したファイル（server_C のC：\document\tec2\xfile1.doc）には、permit_server_2が発行した許可証No.９８８１の許可証が付けられていたことを示す情報があるが、permit_server_2の許可証ログファイル保存装置には、許可証No.９８８１に該当する許可証の情報がないことを示している。こうすることで、許可証No.９８８１が添付されていたファイル（この場合、server_CのC：\document\tec2\xfile1.doc）は、不正に組織１１２からエクスポートされたことがわかる。

また、設定マネージャ機能を監査装置に、設定エージェント機能を、許可証付加装置１０１、ユーザ端末１０２、転送許可装置１０３に、持たせることもできる。設定マネージャ機能は、認証やディジタル署名、暗号化等の技術を用いて、他から侵害されないセキュアな通信路を設定エージェント機能との間に確立して、ファイルと許可証付加装置の対応リスト２００、エクスポート許可リスト１２１、許可証検証用データベース１２５に登録する情報を配布または登録されている情報を収集する。設定エージェント機能は、配布された情報を各々のリストまたはデータベースに登録、または登録内容を設定マネージャに送信を行う。こうすることで各々のリストやデータベースを一元管理することができる。また、監査結果に基づいた、各々のリストやデータベースの内容の確認や再設定がしやすくなる。

また、監査装置１０５と転送許可装置１０３は、サービス業者によって管理され、サービス業者が、情報転送状況の監査レポートを作成するようにしてもよい。

次に、図１１を用いて、１つの大きな組織（例えば会社）が複数の小さな組織（例えば支店）から構成されるような組織が階層構造になっている環境に本実施例を適用した場合について説明する。なお、図１の構成要素と同じ機能を有するものには同じ番号を付している。

図中１３０８、１３０９、１３１０は、それぞれファイルのエクスポートに関して、同じポリシーで管理される組織A、組織B、組織Cを表し、組織Bと組織Cは組織Aに含まれる。組織B１３０９、組織C１３１０内には、図１と同様に、それぞれ、情報管理装置１００、許可証付加装置１０１、ユーザ端末１０２、転送許可装置１３０３、監査装置１０５をネットワーク１１４、１３０５で接続して配置する。

組織A１３０８内には、組織Aの外のネットワーク１３０７にファイルをエクスポートすることを許可する許可証付加装置１３０１と組織Aの外のネットワーク１３０７にファイルをエクスポートすることの可否を判断して、転送を行う転送許可装置（組織A）１３０４、中継装置１３１１、監査装置１０５を配置する。許可証付加装置（組織A）１３０１、転送許可装置（組織A）１３０４、図１の許可証付加装置１０１、転送許可装置１０３と同じ機能を有する。

中継装置１３１１は、転送許可装置１３０３が転送したファイルを受信し、ファイルのエクスポート先が、上位の組織である組織Aの外部か内部かを判断し、組織Aの外部である場合は、ファイルを転送装置１３１１に転送し、組織Aの内部である場合は、エクスポート先にファイルを送る。

次に、このシステムの動作を、組織Bの情報管理装置１００内のファイルを、組織Bのユーザ端末１０２から組織Bの外にエクスポートする例で説明する。組織B内の動作は、転送許可装置の転送処理（図６ ９０２）以外、図４、図５、図６と同じである。

図１２に、転送許可装置の転送処理９０２からの動作を示す。転送許可装置１３０３は、ファイルを中継装置１３１１に転送する（ステップ１４００）。中継装置１３１１は、ファイルに必要な許可証を発行する許可証付加装置（組織A）１３０１に許可証を要求する（ステップ１４０１）。許可証付加装置（組織A）１３０１は、エクスポートの可否を判断し、エクスポート可能な場合は、許可証を生成し、中継装置１３１１に送信する。また、生成した許可証の情報と生成した時刻をログとして保存する（ステップ１４０２）。中継装置１３１１は、ファイルに許可証を添付して、ファイルの送信先にエクスポートする（ステップ１４０３）。転送許可装置は、許可証を検証し、許可証の内容とファイルの送信状況が一致する場合は、ファイルを組織Aの外のネットワーク１３０７に転送する。また、添付された許可証のコピーまたは同等の情報と転送の可否を判断した時刻を、ログとして保存する（ステップ１４０４）。受け取りユーザは、転送許可装置から転送されたファイルを受信する（ステップ１４０５）。

図１１では、組織が二階層になっている場合について説明したが、三階層以上の場合も同様である。本実施例では、中継装置１３１１を用いて、ファイルが外部に転送する度に、許可証を要求する方法を示したが、ファイルをエクスポートしたいユーザが属する組織の許可証付加装置（図１１では、許可証付加装置１３００）が、ファイルのエクスポートに必要な全ての許可証を、全て収集して送付してもよい。

これは、例えば以下の方法で実現でき、中継装置１３１１は不要である。許可証付加装置１０１のエクスポート許可リストに、図３に示すエクスポート許可リストに上位許可証付加装置名の格納する欄を追加し、この欄には、ファイルの送信先が、一つ上位の組織（図１１では組織A１３０８）の転送許可装置名（図１１では、許可証付加装置（組織A）１３０１の名前）を格納する。そして、許可証付加装置１０１は、上位許可証付加装置名の欄に値が格納されている場合、上位の許可証付加装置（図１１では、許可証付加装置１３０１）の許可証を取得し、これと許可証付加装置１０１の許可証を許可証の要求元に送信する。ユーザ端末１０２では、組織B内の許可証付加装置１０１の許可証と許可証付加装置１３０１の両方を添付してファイルをエクスポートする。そして、組織Bの転送許可装置１３０３と組織Aの転送許可装置１３０４は、それぞれ、自組織内の許可証付加装置（図１１では、許可証付加装置１０１、許可証付加装置１３０１が発行した許可証で、転送の可否を判断し、転送可能な場合は、自組織外のネットワークへファイルを転送する。

本発明の第２の形態として、許可証付加方式判定モジュール１０４は、許可証を付加する情報の重要度に応じて、情報の転送先あるいは許可証の添付方法等を用いた情報管理を制御する構成としてもよい。

ファイルと許可証付加装置の対応リストの項目および、許可証の記載事項として重要度記載欄を設け、許可証付加モジュールで許可証を付加する際に、情報の重要度を許可証の重要度記載欄に記載する。これには、例えば情報が格納してあったサーバやディレクトリ、送信者、受信者に応じて重要度を割り当ててもよい。さらに、許可証付加モジュールには、重要度に応じてどのような処理を行うかを定義するデータベース１６００を設け、あらかじめ定められた重要度以上の許可証を発行しようとする場合は、他の許可証付加モジュールに情報を転送し、そこでも許可証を添付させる。前記データベース１６００は、図１６に示すように、重要度レベルフィールド１６０１と、処理内容フィールド１６０２および許可証付加装置フィールド１６０３により構成されており、重要度ランクのフィールドを検索キーとして次に許可証要求メッセージを転送すべき転送許可装置を決定することができる。転送許可装置においては、エクスポートする情報の重要度と必要とされる許可証の枚数を定義したテーブルを準備し、送付されてきた情報に必要とされる枚数の許可証が添付されており、かつ添付された許可証が有効であることを確認し、条件を満たす場合は転送を実施するようにする。ここで、転送を行う条件は、重要度に応じて必要な枚数の許可証が添付されているかという条件以外に、重要度に応じて定められた転送許可装置が発行した許可証が添付されていることを確認するようにしてもよい。

特定の条件で組織外に開示することができる情報を扱う組織のネットワークに適用可能である。

情報漏洩監査機能付きネットワークシステムの全体構成例 ファイルと許可証付加装置の対応リストの構成例 エクスポート許可リストの構成例 エクスポートプログラム、情報管理装置、許可証付加方式判定モジュールの処理フロー 許可証付加装置の処理フロー エクスポートプログラム、転送許可装置の処理フロー リムーバブルメディア複写時の処理フロー 情報漏洩監査時の処理フロー 監査設定画面の表示例 監査結果画面の表示例 複数の組織に適用した場合の全体構成例 複数の組織に適用した場合の処理フロー ハードウェアトークンの構成例 第２の実施例におけるファイルと許可証付加装置の対応リストの追加項目構成例

符号の説明

１００…情報管理装置、１０１…許可証付加装置、１０２…ユーザ端末、1０３…転送許可装置、1０４…許可証付加方式判定モジュール、１０５…監査装置、１０８…リムーバブルメディア用転送許可モジュール、１１１…リムーバブルメディア、１１７…エクスポートプログラム、１１２…ファイルのエクスポートに関して、同じポリシーで管理される組織、１１３…組識１１２内のネットワーク、１１４…組識１１２外のネットワーク、１１７…エクスポートプログラム、１１８…秘密情報ファイル、１１９…アクセス制御モジュール、１２０…起動モジュール、１２１…エクスポート許可リスト、１２２…許可証付加モジュール、１２３…許可証ログファイル保存装置、１２４…ログ収集インターフェース（許可証付加装置内）、１２５…許可証検証用データベース、１２６…転送許可モジュール、１２７…転送許可ログファイル保存装置、１２８…ログ収集インターフェース（転送許可装置内）、１３０…リムーバブルメディア複写許可モジュール、１３１…複写許可ログファイル保存装置、１３２…ログ収集インターフェース（ユーザ端末内）、１３３…別組織のネットワーク、１３４…組織外情報管理装置、１３５…別組織１３３のネットワーク、１３６…ハードウェアトークン、１３７…ハードウェアトークンインターフェース、１３８…転送実施モジュール、１３９…転送実施モジュールの稼動ログ、１４０…ログ収集インターフェース（組織外情報管理装置内）、２００…ファイルと許可証付加装置の対応リスト、２０１…情報管理装置名、２０２…ファイル名、２０３…許可証付加装置名、３０１…ファイル、３０２…許可条件、３０３…目的、３０４…情報管理装置名、３０５…ファイル名、３０６…送信元、３０７…送信先、３０８…時間、５００…ファイルの複写を要求する工程、５０１…ファイル書き込みを要求する工程、５０２…許可証の添付の有無をチェックする工程、５０３…ファイルをリムーバブルメディアに書き込む工程、５０４…エラー処理をする工程、５０５…エラーを表示する工程、５０６…ログを保存する工程、５０７…エクスポートするファイルにアクセスする工程、７００…エクスポート要求工程、７０１…エクスポートするファイルにアクセスする工程、７０２…許可証付加方式判定モジュールを起動する工程、７０３…許可証付加装置の検索する工程、７０５…許可証付加装置に要求する工程、７０６…許可証付加装置からの応答を受信する工程、７０７…許可証を受信することができたか否かを判断する工程、７０８…許可証をファイルに添付する工程、７０９…エクスポートする工程、７１０…エラー処理を行う工程、７１２…許可証要求メッセージ、７１３…許可証またはエラーメッセージ、７１９…許可証を受信できなかった場合、７２０…許可証を受信した場合、７２２…７０２への遷移、７２３…７０８から遷移、８００…ファイルをエクスポートしてよいかを判断する工程、８０１…許可証を生成する工程、８０２…エラーを設定する工程、８０３…許可証付加方式判定モジュールに結果を送信する工程、８０４…ログを保存する工程、８０５…許可証要求メッセージを受信する工程、９００…ファイルを受信する工程、９０１…許可証の内容と送信状況が一致するかを判断する工程、９０２…ファイルを送信先に転送する工程、９０３…ログを保存する工程、９０４…エラー処理をする工程、９０５…エラーを表示する工程、９０６…ファイルを受信する工程、９０７…許可証の添付の有無をチェックする工程、９０８…管理状況を問い合わせる工程、９０９…管理状況を返答する工程、１０００…監査を要求する工程、１００１…監査要求待ち状態、１００２…ログ情報を取得する工程、１００４…許可証の整合性をチェックする工程、１００５…結果を出力する工程、１００６…監査処理の終了、１００７…ログ収集要求を受信する工程、１００８…ログ情報を監査装置に送信する工程、１１００…監査時間、１１０１…監査対象、１１０２…監査対象期間、１１０３…保存ボタン、１２００…監査対象期間、１２０１…許可証発行期間、１２０２…不正許可証一覧、１３０１…許可証付加装置（組織A）、１３０３…転送許可装置、１３０４…転送許可装置（組織A) 、１３０５…組識Ｃ内のネットワーク、１３０７…組織Aの外のネットワーク、１３０８…組識A、１３０９…組識B、１３１０…組識Ｃ、１３１１…中継装置、１４００…ファイルを中継装置に転送する工程、１４０１…許可証を要求する工程、１４０２…許可証を中継装置に送信する工程、１４０３…エクスポートする工程、１４０４…組識Aの外のネットワークに転送する工程、１４０５…ファイルを受信する工程

Claims (19)

1. ネットワークシステムであって、
   端末と
   ファイルを格納するファイル管理手段と、
   許可証を付与する許可証発行手段と、
   前記端末と前記ファイル管理手段と前記許可証発行手段とを接続する第１のネットワークと、
   前記第１のネットワークと第２のネットワーク間に接続された転送許可手段とを有し、
   前記端末は前記ファイル管理手段に、該ファイル管理手段に格納されたファイルの転送要求を送信し、
   前記ファイル管理手段は前記端末に、前記ファイルを前記第２のネットワークへ送出するための許可証の発行要求送信要求を送信し、
   前記端末は、前記ファイルに対応する許可証を付与する許可証付加手段の対応リストに基づき、該当する許可証付加手段に許可証発行要求を送信し、
   前記許可証付加手段は、前記許可証発行要求の内容と前記第２のネットワークへのファイル送出許可リストの内容を比較し、送信可能と判断された場合、許可証を前記端末に送信し、
   前記端末は前記転送認可手段に、前記許可証を前記ファイルに添付して転送し、
   前記転送許可手段は、受信した前記ファイルに許可証が添付されているか否かを確認した後、前記ファイルの送信先に該ファイルを転送することを特徴とするネットワークシステム。
2. ネットワークシステムであって、
   端末と
   ファイルを格納するファイル管理手段と、
   許可証を付与する許可証発行手段と、
   前記端末と前記ファイル管理手段と前記許可証発行手段とを接続する第１のネットワークと、
   前記第１のネットワークと第２のネットワーク間に接続された転送許可手段とを有し、
   前記端末は前記ファイル管理手段に、該ファイル管理手段に格納されたファイルの転送要求を送信し、
   前記ファイル管理手段は前記端末に、前記ファイルを前記第２のネットワークへ送出するための許可証の発行要求送信要求を送信し、
   前記端末は、前記ファイルに対応する許可証を付与する許可証付加手段の対応リストに基づき、前記ファイルと該ファイルに該当する許可証付加手段に許可証発行要求を送信し、
   前記許可証付加手段は、前記許可証発行要求の内容と前記第２のネットワークへのファイル送出許可リストの内容を比較し、送信可能と判断された場合、許可証を前記ファイルに添付して前記転送認可手段に転送し、
   前記転送許可手段は、受信した前記ファイルに許可証が添付されているか否かを確認した後、前記ファイルの送信先に該ファイルを転送することを特徴とするネットワークシステム。
3. 請求項１または２のいずれか記載のネットワークシステムであって、
   前記第２のネットワークには他の管理手段が接続され、
   前記転送許可手段は、前記他の管理手段が正常に動作している場合に、前記ファイルを送信先に転送することを特徴とするネットワークシステム。
4. 請求項３記載のネットワークシステムであって、
   前記他の管理手段は、第３のネットワークに接続され、
   前記他の管理手段は、前記第２のネットワークを介して前記転送許可手段から送信されたファイルを前記第３のネットワークに接続された機器に転送する転送手段を格納する記憶手段を有することを特徴とするネットワークシステム。
5. 請求項１または２のいずれか記載のネットワークシステムであって、
   前記許可証発行要求にはファイルを指定する情報が含まれ、前記送出許可リストには少なくともファイル名を指定する情報、ファイルの送信元、ファイルの送信先情報が含まれることを特徴とするネットワークシステム。
6. 請求項１または２のいずれか記載のネットワークシステムであって、
   前記許可証付加手段は、許可証を電子透かしとして前記ファイルに埋めこむことを特徴とするネットワークシステム。
7. 請求項１または２のいずれか記載のネットワークシステムであって、
   前記転送許可手段は、前記許可証の有無を確認した後、当該許可証を外して転送することを特徴とするネットワークシステム。
8. 複数のサブネットワークシステムを有するネットワークシステムであって、
   各サブネットワークシステムは、請求項１または２のいずれかに記載のネットワークシステムで構成され、第１のサブネットネットワークシステムと第２のサブネットワークシステムは、それぞれ前記第１のサブネットネットワークシステムと第２のサブネットワークシステムが有する転送許可手段を介して上位ネットワークに接続され、該上位ネットワークは上位転送許可手段を介して外部ネットワークに接続されることを特徴とするネットワークシステム。
9. ネットワークシステムであって、
   記憶媒体接続インタフェースを有する端末と
   ファイルを格納するファイル管理手段と、
   許可証を付与する許可証発行手段と、
   前記端末と前記ファイル管理手段と前記許可証発行手段とを接続するネットワークとを有し、
   前記端末は前記ファイル管理手段に、該ファイル管理手段に格納されたファイルの転送要求を送信し、
   前記ファイル管理手段は前記端末に、前記ファイルを記憶媒体へ送出するための許可証の発行要求送信要求を送信し、
   前記端末は、前記ファイルに対応する許可証を付与する許可証付加手段の対応リストに基づき、該当する許可証付加手段に許可証発行要求を送信し、
   前記許可証付加手段は、前記許可証発行要求の内容と前記記憶媒体へのファイル送出許可リストの内容を比較し、送信可能と判断された場合、許可証を前記端末に送信し、
   前記端末は、前記ファイルに許可証を付加して、前記記憶媒体へファイルを転送することを特徴とするネットワークシステム。
10. 請求項１、２、または９のいずれか記載のネットワークシステムであって、
    前記第１のネットワークに接続された監査手段をさらに有し、
    前記許可証付加手段、前記転送許可手段、前記端末のいずれかに、当該機器内に格納された許可証の情報の送信要求を送付して、監査対象となる機器が格納した許可証の情報を収集し、
    前記端末が、前記ファイルの送信あるいは複写の可否の判断に使用した許可証の情報が、前記転送許可手段が格納した許可証の情報と一致するか否かを判定することを特徴とするネットワークシステム。
11. 請求項１０記載のネットワークシステムであって、
    さらに、前記許可証付加手段で作成した許可証の情報と、前記端末あるいは前記転送許可手段で格納されている許可証の情報と一致するか否かを判定することを特徴とするネットワークシステム。
12. ファイルを格納するファイル管理手段と、許可証を付与する許可証発行手段と、前記ファイル管理手段と前記許可証発行手段と、転送許可手段とにネットワークを介して接続されたコンピュータを、
    前記ファイル管理手段に格納されたファイルのアクセス要求を送信する手段と、
    前記ファイル管理手段から送信された許可証の発行要求送信要求に基づき、前記ファイルに対応する許可証を付与する許可証付加手段の対応リストを参照し、該当する許可証付加手段に許可証発行要求を送信する手段と、
    前記許可証付加手段から送信された許可証に前記ファイルを添付して前記転送許可手段に転送する手段として機能させるためのプログラム。
13. ファイルを格納するファイル管理手段と、許可証を付与する許可証発行手段とにネットワークを介して接続されたコンピュータを、
    前記ファイル管理手段に格納されたファイルのアクセス要求を送信する手段と、
    前記ファイル管理手段から送信された許可証の発行要求送信要求に基づき、前記ファイルに対応する許可証を付与する許可証付加手段の対応リストを参照し、該当する許可証付加手段に許可証発行要求を送信する手段と、
    前記許可証付加手段から送信された許可証に前記ファイルを添付して外部記憶媒体へ転送する手段として機能させるためのプログラム。
14. 端末と、ファイルを格納するファイル管理手段と、転送許可手段とにネットワークを介して接続されたコンピュータを、
    前記端末から送信された許可証の発行要求送信要求に基づき、当該許可証発行要求の内容とファイル送出許可リストの内容を比較し、送信可能と判断された場合、許可証を前記端末に送信する手段として機能させるためのプログラム。
15. 端末と、ファイルを格納するファイル管理手段と、転送許可手段とにネットワークを介して接続されたコンピュータを、
    前記端末から送信された許可証の発行要求送信要求に基づき、当該許可証発行要求の内容とファイル送出許可リストの内容を比較し、送信可能と判断された場合、許可証を前記転送許可手段に送信する手段として機能させるためのプログラム。
16. 端末と、ファイルを格納するファイル管理手段と、許可証を付与する許可証発行手段とにネットワークを介して接続されたコンピュータを、
    前記端末あるいは前記許可証付加手段から送信された前記ファイルに許可証が添付されているか否か確認する手段と、
    前記ファイルの送信先の機器が正常に動作しているか否かを確認する手段と、
    前記送信先の機器が正常に動作している場合に、前記ファイルを送信先に転送する手段として機能させるためのプログラム。
17. 端末と、ファイルを格納するファイル管理手段と、許可証を付与する許可証発行手段と、転送許可手段とにネットワークを介して接続されたコンピュータを、
    前記許可証付加手段、前記転送許可手段、前記端末のいずれかに、当該機器内に格納された許可証の情報の送信要求を送付して、監査対象となる機器が格納した許可証の情報を収集する手段と、
    前記端末が、前記ファイルの送信あるいは複写の可否の判断に使用した許可証の情報が、前記転送許可手段が格納した許可証の情報と一致するか否かを判定する手段ことを特徴として機能させるためのプログラム。
18. 請求項１６記載のプログラムであって、
    さらに、前記許可証付加手段で作成した許可証の情報と、前記端末あるいは前記転送許可手段で格納されている許可証の情報と一致するか否かを判定する手段として機能させるためのプログラム。
19. 請求項１または２のいずれか記載のネットワークシステムであって、
    複数の許可証発行手段を有し、
    前記転送許可手段は、前記情報に、前記複数の許可発行手段のうちの少なくとも２つから発行された許可証が添付されていることを確認した後、該情報を転送することを特徴とするネットワークシステム。
    

Images