JP2006163508A - 情報処理装置 - Google Patents

Abstract

【課題】 ユーザが復号された情報を利用している間にクライアント端末が盗難される事で、利用中の情報を第三者に不正に利用される事があった。
【解決手段】 情報を利用するにあたり、情報処理端末が監視サーバに接続されているか否か確認する。接続されている時には、情報の復号化又は暗号化する事を許可される。また、復号化又は暗号化した情報を継続的に利用している間にも、監視サーバに接続されているか否か接続状況を監視しておき、接続が切断された場合には、利用中の情報を即時に利用出来ないようにすると共に、更なる情報の復号化又は暗号化を禁止する。
【選択図】 図４

Description

本発明は、情報の秘匿性を確保する情報セキュリティシステムにおける情報処理装置に関する。

近年、個人情報などの情報が第三者に盗難される事による被害が拡大している。

情報の流通過程における盗難や、情報を記憶したクライアント端末そのものが盗難される事で、秘匿性の高い情報が第三者に不正に利用される。

前者の盗難による情報の不正利用を防止する為に、暗号化された情報をネットワーク上で流通させる事が知られている。このようにすると、ネットワーク上で情報が不正に盗難されたとしても、第三者による情報の不正利用を防止出来る。例えば、あるユーザがファイルサーバからファイルをクライアント端末にダウンロードする場合、ファイルサーバは、暗号化したファイルを、ネットワークを介してクライアント端末に送信する。クライアント端末では、暗号化されたファイルを、ネットワークを介して受信し、当該ファイルを復号鍵に基づいて復号する。このようにして、ユーザは、ファイルを利用する事が可能となる。

一方、後者の盗難による情報の不正利用を防止する為に、クライアント端末では、暗号化されたファイルしか保存出来ないようにし、当該暗号化されたファイルを利用する際に、利用者を認証し、認証された場合にのみ、当該暗号化されたファイルを復号するようにする事が特許文献１に開示されている。このようにすると、クライアント端末が盗難され、不正に操作された場合でも、第三者は、暗号化されたファイルを復号する事が出来ず、情報の不正利用を防止出来る。
特開平１０−１０５４７０号公報

しかしながら、クライアント端末に記憶された暗号化されたファイルが正常な手順で復号された後、クライアント端末で利用されている状態で、当該クライアント端末が盗難された場合には、第三者でも当該復号化されたファイルを利用する事が可能となる。つまり、ファイルが利用されている間にクライアント端末が盗難された場合には、当該ファイルのセキュリティを確保する事は出来ない。

本発明は、このような課題に鑑みなされたものであって、ユーザが情報を利用している間にクライアント端末を盗難されたとしても、情報のセキュリティを確保する事の出来る情報処理装置を提供する事を目的とする。

上記課題を解決する為に、本発明では、クライアント端末が盗難されたと判断出来る時に、現に利用されている情報を利用出来なくすると共に、それ以後、その情報の利用を禁止すれば、第三者による情報の不正利用を防止出来る事に着目した。

即ち、本発明の情報処理装置は、監視サーバとネットワークを介して接続可能に構成されてなる情報処理装置であって、前記監視サーバと接続情報を送受信する事で、前記監視サーバとの接続状況を判定する接続状況監視部と、前記監視サーバとの接続がされていると判定された場合、情報の利用を許可し、前記監視サーバとの接続がされていないと判定された場合、前記利用を許可された情報が利用中であれば、当該情報の利用を禁止する情報利用可否判定部と、を備える事を特徴とする。

本発明は、上記のように、情報を利用するにあたり、情報を利用するクライアント端末が監視サーバに接続されているか否か確認する。接続されている時には、情報の利用が許可される。また、利用が許可された情報が利用されている間にも、監視サーバに接続されているか否か接続状況を監視しておき、接続が切断された場合には、情報を利用するアプリケーションを停止させるなど、利用中の情報を利用出来ないようにすると共に、更なる情報の利用を禁止する。従って、ユーザが情報を利用している間にクライアント端末を盗難されたとしても、不正な利用を防止する事が出来、情報のセキュリティを確保する事が出来る。

本発明の情報処理装置によれば、情報を利用するにあたり、情報を利用するクライアント端末が監視サーバに接続されているか否か確認する。接続されている時には、情報の利用が許可される。また、利用が許可された情報が利用されている間にも、監視サーバに接続されているか否か接続状況を監視しておき、接続が切断された場合には、情報を利用するアプリケーションを停止させるなど、利用中の情報を利用出来ないようにすると共に、更なる情報の利用を禁止する。従って、ユーザが情報を利用している間にクライアント端末を盗難されたとしても、不正な利用を防止する事が出来、情報のセキュリティを確保する事が出来る。

以下、本発明の実施例を図面に基づいて説明する。

本発明の実施例に係る情報セキュリティシステムの処理態様を、図１乃至図１７を用いて説明する。

図１は、本発明の実施例による、インターネット、電話回線網及びＬＡＮ等のネットワーク４を介して相互接続された認証サーバ２、情報処理端末３、及びファイルサーバ５からなる情報セキュリティシステム１の構成を示している。

認証サーバ２は、図２に示すように、ＣＰＵ、ＲＡＭ、ＲＯＭ、磁気記憶装置、及び各種インタフェースなどによって構成されている。磁気記憶装置には、図３に示すような通信制御部２１、ユーザ管理データベース２２、暗号／復号鍵データベース２３、ユーザ認証部２４、暗号／復号鍵取得部２５、及びユーザ状態送出部２６などの機能を実現するためのプログラムやデータベースがインストールされている。これらのプログラム及びデータベースは、必要に応じてＲＡＭにロードされ、ＣＰＵによって実行される。認証サーバ２として、サーバコンピュータ、ワークステーション、パーソナルコンピュータなどのコンピュータが用いられる。

本実施例の認証サーバ２は、図３に示すように、通信制御部２１、ユーザ管理データベース２２、暗号／復号鍵データベース２３、ユーザ認証部２４、暗号／復号鍵取得部２５、及びユーザ状態送出部２６で構成されている。

通信制御部２１は、情報の送受信を制御するものである。

ユーザ管理データベース２２は、ユーザ識別子毎に、パスワードやユーザの所属するグループ等のユーザ情報やユーザのログイン状況を記憶するものである。ここで、本実施例におけるグループとは、例えば、ユーザの属するプロジェクト、グループ、部、課などの事である。

暗号／復号鍵データベース２３は、グループ毎に、当該グループで参照又は作成されるファイルを復号化又は暗号化する際に利用される復号鍵及び暗号鍵を記憶するものである。つまり、本実施例では、ファイルを暗号化する暗号鍵、暗号化されたファイルを復号する復号鍵をグループ内で共通のものとし、グループ毎に設定するようになっている。このようにすれば、個人で異なる鍵を管理する煩わしさを解消出来ると共に、暗号化したファイルの共有化が可能となる。

ユーザ認証部２４は、ユーザ管理データベース２２を参照して、ユーザが予め登録されているか否か判定するものである。つまり、ユーザ認証を行うものである。また、ユーザ認証に成功した場合、その旨、ユーザ管理データベース２２に記憶させるものである。

暗号／復号鍵取得部２５は、ユーザ認証部２４で認証されたユーザが属するグループに対応する暗号鍵及び復号鍵を暗号／復号鍵データベース２３から取得し、取得した暗号鍵及び復号鍵を情報処理端末３に送信するように通信制御部２１に依頼するものである。つまり、認証に成功したユーザに対して、当該ユーザの属するグループ内で共通の暗号鍵や復号鍵の利用を許可する事になる。

ユーザ状態送出部２６は、ユーザ認証が成功して認証サーバ２にログイン中である旨を情報処理端末３の備える表示装置に表示させるものである。

情報処理端末３は、認証サーバ２と同様に、図２に示すように、ＣＰＵ、ＲＡＭ、ＲＯＭ、磁気記憶装置、および各種インタフェースなどによって構成されている。磁気記憶装置には、図４に示すような通信制御部３１、ファイル管理情報記憶部３２、ファイル記憶部３３、ファイル管理部３４、暗号／復号鍵記憶部３５、ユーザ認証依頼部３６、暗号／復号鍵格納部３７、ファイル参照／更新部３８、暗号／復号化部３９及び接続状況監視部４０などの機能を実現するためのプログラムやデータベースがインストールされている。これらのプログラムおよびデータベースは、必要に応じてＲＡＭにロードされ、ＣＰＵによって実行される。情報処理端末３として、ワークステーション、パーソナルコンピュータなどのコンピュータやＰＤＡや携帯電話機などが用いられる。

情報処理端末３は、図４に示すように、通信制御部３１、ファイル管理情報記憶部３２、ファイル記憶部３３、ファイル管理部３４、暗号／復号鍵記憶部３５、ユーザ認証依頼部３６、暗号／復号鍵格納部３７、ファイル参照／更新部３８、暗号／復号化部３９及び接続状況監視部４０で構成されている。

通信制御部３１は、情報の送受信を制御するものである。

ファイル管理情報記憶部３２は、ファイル毎に、ファイルの属するグループ名やファイル格納場所等のファイル属性を記憶するものである。

ファイル記憶部３３は、暗号化されたファイルを格納するものである。ここで、ファイル記憶部３３は、階層構造になっており、ファイル管理情報記憶部３２のファイル格納場所と対応するようになっている。

ファイル管理部３４は、ファイル管理情報記憶部３２を参照して、ファイル記憶部３３から暗号化されたファイルを取得するものである。また、後述するファイル参照／更新部３８の指示により、暗号化されたファイルの更新、削除等のファイル操作や、ファイルを新規に作成した場合、ファイル記憶部３３に当該ファイルを格納すると共に、当該ファイルのファイル属性をファイル管理情報記憶部３２に格納するものである。

暗号／復号鍵記憶部３５は、認証サーバ２から受信した暗号鍵及び復号鍵をグループ毎に記憶するものである。つまり、認証サーバ２から暗号鍵及び復号鍵を受信するのは、ユーザ認証に成功した場合のみである為、ユーザ認証を成功した場合のみ、暗号鍵及び復号鍵が暗号／復号鍵記憶部３５に記憶される事になる。

ユーザ認証依頼部３６は、認証サーバ２のユーザ認証部２４を起動するように、通信制御部３１に依頼するものである。

暗号／復号鍵格納部３７は、通信制御部３１で受信した暗号鍵及び復号鍵を、暗号／復号鍵記憶部３５に格納するものである。

ファイル参照／更新部３８は、ファイル管理部３４に、ファイル操作やファイルの新規作成の依頼をするものである。具体的には、ファイル管理部３４が取得した暗号化されたファイルを、復号するように後述する暗号／復号化部３９に依頼し、復号されたファイルを更新する場合には、当該ファイルを暗号化して保存するように暗号／復号化部３９に依頼する。また、ファイル参照／更新部３８は、公知の文書作成ツールの機能も有しており、復号されたファイルの参照や更新をする事が出来る。更に、ネットワーク４を介して、後述するファイルサーバ５のファイル管理部５４に対して、ファイル管理部３４に対する依頼と同様の依頼をするものである。

暗号／復号化部３９は、暗号／復号鍵記憶部３５を参照して、ファイル参照／更新部３８から依頼されたファイルを暗号化又は復号化するものである。

接続状況監視部４０は、情報処理端末３と認証サーバ２との接続の状況を監視するものである。即ち、認証サーバ２のユーザ管理データベース２２を参照して、認証サーバ２と情報処理端末３との接続状況を逐一監視し、接続が切断されたと判断した場合には、暗号／復号鍵記憶部３５に記憶したレコードを削除すると共に、既に利用しているファイルの利用を強制的に停止するものである。つまり、本実施例の情報処理端末３は、認証サーバ２と接続されている間に限り、暗号化されたファイルへのファイル操作が可能となっている。暗号／復号鍵記憶部３５からレコードを削除すると、ファイル参照／更新部３８に、文書作成ツール機能の提供を停止するように指示をする。つまり、本実施例の情報処理端末３は、認証サーバ２との接続が切断されると、暗号化されたファイルの復号が出来なくなるだけでなく、接続中に復号されたファイルの参照や更新も出来ないようにするものである。

ファイルサーバ５は、認証サーバ２と同様に、図２に示すように、ＣＰＵ、ＲＡＭ、ＲＯＭ、磁気記憶装置、及び各種インタフェースなどによって構成されている。磁気記憶装置には、図５に示すような通信制御部５１、ファイル管理情報記憶部５２、ファイル記憶部５３、及びファイル管理部５４などの機能を実現するためのプログラムやデータベースがインストールされている。これらのプログラムおよびデータベースは、必要に応じてＲＡＭにロードされ、ＣＰＵによって実行される。ファイルサーバ５として、サーバコンピュータ、ワークステーション、パーソナルコンピュータなどのコンピュータが用いられる。

ファイルサーバ５は、図５に示すように、通信制御部５１、ファイル管理情報記憶部５２、ファイル記憶部５３、及びファイル管理部５４で構成されている。

通信制御部５１は、情報の送受信を制御するものである。

ファイル管理情報記憶部５２は、ファイル毎に、ファイルの属するグループ名やファイル格納場所等のファイル属性を記憶するものである。

ファイル記憶部５３は、暗号化されたファイルを記憶するものである。ここで、ファイル記憶部５３は、階層構造になっており、ファイル管理情報記憶部５２のファイル格納場所と対応するようになっている。

ファイル管理部５４は、ファイル管理情報記憶部５２を参照して、ファイル記憶部５３から暗号化されたファイルを取得するものである。また、情報処理端末３のファイル参照／更新部３８の指示により、暗号化されたファイルの更新、削除等のファイル操作や、ファイルを新規に作成した場合、ファイル記憶部５３に当該ファイルを格納すると共に、当該ファイルのファイル属性をファイル管理情報記憶部５２に格納するものである。つまり、ファイルサーバ５は、情報処理端末３のファイル管理情報記憶部３２、ファイル記憶部３３、及びファイル管理部３４と同様の構成をしている事になる。ファイルを利用するユーザにとっては、情報処理端末３のファイル記憶部３３に格納されたファイルを利用するか、又は、ネットワーク４を介して、ファイルサーバ５のファイル記憶部５３に格納されたファイルを利用するか、の違いである。

本実施例では、上記のように、情報処理端末３及びファイルサーバ５に夫々ファイル管理情報記憶部、ファイル記憶部、及びファイル管理部を構成するように説明するが、情報処理端末３及びファイルサーバ５夫々に同時に備える必要もなく、例えば、情報処理端末３にのみ、ファイル管理情報記憶部３２、ファイル記憶部３３、及びファイル管理部３４を備えるように構成し、ファイルサーバ５を情報セキュリティシステム１の構成から除外しても良い。また逆に、ファイルサーバ５にのみ、ファイル管理情報記憶部５２、ファイル記憶部５３、及びファイル管理部５４を備えるように構成し、情報処理端末３の構成から、ファイル管理情報記憶部３２、ファイル記憶部３３、及びファイル管理部３４を除外しても良い。

次に、ユーザが、情報処理端末３を利用して、ファイルサーバ５のファイル記憶部５３又は情報処理端末３のファイル記憶部３３に格納されている暗号化されたファイルを復号して、ファイル参照／更新部３８の文書作成ツール機能を利用して当該復号されたファイルを参照したり、更新したりする際の処理について説明をする。尚、本実施例では、このような処理を、説明の便宜上、３つの処理に分けて説明をする。

図６は、本実施例における情報セキュリティシステム１の第１の処理である、ユーザ認証処理をフローチャートで示したものである。

ユーザが情報処理端末３の備えるキーボードやマウス等の入力装置を用いて、ユーザ認証依頼部３６を起動すると、ユーザ認証依頼部３６は、認証サーバ２のユーザ認証部２４を起動するように、通信制御部３１に指示をする（Ｓ６−１）。

ユーザ認証部２４は、起動されると、図７に例示するようなユーザ認証画面を、情報処理端末３の備える表示装置に表示するように通信制御部２１に指示をする（Ｓ６−２）。

図７に例示するユーザ認証画面は、ユーザＩＤ入力フィールド、パスワード入力フィールド、グループ入力フィールド、及びログインボタンで構成されている。

ユーザＩＤ入力フィールドは、ユーザが情報処理端末３の備える入力装置を用いて、ユーザ識別子を入力するフィールドである。

パスワード入力フィールドは、ユーザが情報処理端末３の備える入力装置を用いて、ユーザ識別子に対応するパスワードを入力する領域である。

グループ入力フィールドは、ユーザが情報処理端末３の備える入力装置を用いて、ユーザ識別子及びパスワードに対応するユーザの属するグループ名を入力する領域である。

ログインボタンは、ユーザが情報処理端末３の備える入力装置を用いて、選択した際、ユーザＩＤ入力フィールド、パスワード入力フィールド、及びグループ入力フィールドに入力された夫々の情報を取得して、当該情報をユーザ認証部２４に送出する処理を実行するものである。

ここで、本実施例におけるグループとは、ユーザの所属するグループの事である。ユーザは、必ず1つのグループに属するものでもなく、複数のグループに所属していても良い。また、本実施例のユーザ認証画面では、ユーザにグループを入力させるようにしているが、ユーザ識別子及びパスワードのみ入力させ、当該組み合わせに対応するグループにログインするように構成しても良い。この場合、ユーザが複数のグループに属する場合、どのグループにログインするか選択させるように構成しても良い。また、ユーザにより、ユーザ識別子の入力がなされた際、当該ユーザの所属するグループの一覧を作成して、当該一覧からグループを選択させ、その後にパスワードの入力を求めるようにしても良い。

本実施例では、ユーザにより、ユーザＩＤ入力フィールドに「ＡＡＡ」、パスワード入力フィールドに「ＢＢＢ」、及びグループ入力フィールドに「鉄道プロジェクト」と入力されたものとして、以下説明をする。

ユーザにより、ユーザＩＤ入力フィールドに「ＡＡＡ」、パスワード入力フィールドに「ＢＢＢ」、及びグループ入力フィールドに「鉄道プロジェクト」と入力され、ログインボタンが選択されると、ユーザ認証部２４は、ユーザ管理データベース２２を参照して、入力された情報が登録されているかどうか検索する（Ｓ６−３）。

ここで、図８にユーザ管理データベース２２の構成例を示す。

図８に例示するユーザ管理データベース２２は、ユーザ識別子フィールド、パスワードフィールド、所属グループフィールド、及びログイン有無フィールドで構成されている。

ユーザ識別子フィールドは、ユーザ識別子を記憶するフィールドである。

パスワードフィールドは、ユーザ識別子に対応するパスワードを記憶するフィールドである。

所属グループフィールドは、ユーザ識別子及びパスワードに対応するグループ名を記憶するフィールドである。

ログイン有無フィールドは、ユーザ認証に成功した場合に、ログイン成功の旨を記憶するフィールドである。

例えば、図８の例では、ユーザ識別子「ＸＸＸ」であるユーザのパスワードは、「ＹＹＹ」であり、当該ユーザは、「鉄道プロジェクト」、「金融プロジェクト」、及び「特許グループ」に属している事が分かる。更に、ユーザ識別子「ＡＡＡ」であるユーザは、パスワードが「ＢＢＢ」であれば、「鉄道プロジェクト」に属しており、パスワードが「ＤＤＤ」であれば、「金融プロジェクト」に属している事が分かる。このように、属するグループ毎にパスワードを異ならせる事も出来、例えパスワードが第三者に不正に取得されたとしても、被害は当該パスワードに対応するグループのみであり、他のグループに影響を与える事はない。また、ユーザ識別子「ＡＡＡ」であるユーザは、「鉄道プロジェクト」にログインしている事が分かる。

ユーザ認証部２４は、ユーザ認証画面に入力された情報がユーザ管理データベース２２に登録されていると判断すると、ユーザ認証に成功したとみなし、Ｓ６−５の処理を実行する（Ｓ６−４ ＯＫ）。一方、ユーザ認証画面に入力された情報がユーザ管理データベース２２に登録されていないと判断すると、ユーザ認証に失敗したとみなし、処理を終了する（Ｓ６−４ ＮＧ）。

本実施例では、ユーザ認証画面に入力された情報は、ユーザ識別子「ＡＡＡ」、パスワード「ＢＢＢ」、及び所属グループ「鉄道プロジェクト」であった。図８に例示したユーザ管理データベース２２を参照すると、当該入力された情報は既に登録されており、ユーザ認証に成功する。ユーザ認証に成功すると、ユーザ識別子、パスワード、及び所属グループに対応するログイン有無フィールドに、図８に例示するように「ログイン中」を格納する。

次に、ユーザ認証部２４は、ユーザ認証に成功すると、暗号／復号鍵取得部２５を起動する（Ｓ６−５）。

暗号／復号鍵取得部２５は、起動されると、暗号／復号鍵データベース２３を参照し、所属グループに対応する暗号鍵及び復号鍵を取得する。

ここで、図９に暗号／復号鍵データベース２３の構成例を示す。

図９に例示する暗号／復号鍵データベース２３は、所属グループフィールド、復号鍵フィールド、及び暗号鍵フィールドで構成されている。

所属グループフィールドは、ユーザの所属するグループ名を記憶するフィールドである。

復号鍵フィールドは、グループ毎に、グループに属する暗号化されたファイルを復号可能な復号鍵を記憶するフィールドである。

暗号鍵フィールドは、グループ毎に、グループに属するファイルを暗号する暗号鍵を記憶するフィールドである。ここで、暗号鍵に基づいて暗号化されたファイルは、この暗号鍵に対応する復号鍵フィールドに記憶された復号鍵で復号する事が可能となっている。

図９に例示した暗号／復号鍵データベース２３を参照すると、ユーザ認証画面に入力されたグループ名「鉄道プロジェクト」に対応する復号鍵及び暗号鍵は、夫々、「ＡＢＣ」及び「ＤＥＦ」である。従って、暗号／復号鍵取得部２５は、復号鍵及び暗号鍵として、「ＡＢＣ」及び「ＤＥＦ」を取得する事になる。

ここで、ユーザの所属するグループが複数であった場合や、ユーザ認証画面に入力されたグループ名が複数であった場合には、対応する復号鍵及び暗号鍵を夫々取得するようにしても良い。例えば、ユーザ識別子が「ＸＸＸ」であるユーザであれば、３つの所属グループに属している。従って、夫々の所属グループに対応する復号鍵及び暗号鍵を取得する事になる。

暗号／復号鍵取得部２５は、所属グループに対応する復号鍵及び暗号鍵を取得すると、所属グループ名、取得した復号鍵及び暗号鍵を情報処理端末３に送出するように、通信制御部２１に依頼する。

通信制御部３１は、認証サーバ２の通信制御部２１から所属グループ名、復号鍵、及び暗号鍵を受信すると、暗号／復号鍵格納部３７を起動する。

暗号／復号鍵格納部３７は、起動されると、受信した暗号鍵及び復号鍵を所属グループに対応付けて暗号／復号鍵記憶部３５に格納する（Ｓ６−６）。

ここで、図１０に暗号／復号鍵記憶部３５の構成例を示す。

図１０に例示する暗号／復号鍵記憶部３５は、所属グループフィールド、復号鍵フィールド、及び暗号鍵フィールドで構成されている。

所属グループフィールドは、グループ名を記憶するフィールドである。

復号鍵フィールドは、グループに対応付けられ、グループに属する暗号化されたファイルを復号可能な復号鍵を記憶するフィールドである。

暗号鍵フィールドは、グループに対応付けられ、グループに属するファイルを暗号可能な暗号鍵を記憶するフィールドである。

このように、暗号／復号鍵記憶部３５には、認証サーバ２にてユーザ認証が成功したユーザの所属するグループで利用される復号鍵及び暗号鍵の情報が記憶される事になる。

暗号／復号鍵格納部３７は、暗号／復号鍵記憶部３５に暗号鍵及び復号鍵を格納すると、認証サーバ２のユーザ状態送出部２６を起動するように通信制御部２１に依頼する。

ユーザ状態送出部２６は、起動されると、図１１に例示するようなログイン中画面を情報処理端末３の備える表示装置に表示する。

図１１に例示するログイン中画面は、ユーザＩＤ出力フィールド、グループ出力フィールド、及びログアウトボタンで構成される。

ユーザＩＤ出力フィールドは、ユーザ認証に成功したユーザのユーザ識別子を表示する領域である。

グループ出力フィールドは、ユーザ認証に成功したユーザの所属するグループ名を表示する領域である。

ログアウトボタンは、ユーザにより選択されると、後述するログアウト処理を実行するものである。

本実施例では、ユーザ認証に成功し、暗号／復号鍵記憶部３５に所属グループに対応する暗号鍵及び復号鍵を格納すると、図１１（ａ）に例示するように、情報処理端末３の表示装置にログイン中画面が表示される事になる。また、ユーザ識別子「ＸＸＸ」であるユーザが正常にユーザ認証された場合には、図１１（ｂ）に例示するように表示される事になる。つまり、ログイン中画面は、ログインしたユーザが、現在どのグループに属するファイルに対してアクセス出来るか示すものである。例えば、図１１（ａ）の例では、ユーザＩＤ「ＡＡＡ」であるユーザは、「鉄道プロジェクト」で利用される復号鍵及び暗号鍵を入手している事が分かる。また、図１１（ｂ）の例では、ユーザ「ＸＸＸ」であるユーザは、「鉄道プロジェクト」、「金融プロジェクト」、「特許グループ」夫々で利用される復号鍵及び暗号鍵を入手している事が分かる。

次に、ユーザが、情報処理端末３を利用して、ファイルサーバ５のファイル記憶部５３や情報処理端末３のファイル記憶部３３に格納されている暗号化されたファイルに対してファイル操作をする際の第２の処理について説明をする。

図１２は、本実施例における情報セキュリティシステム１の第２の処理である、ファイル参照／更新処理をフローチャートで示したものである。

まず、ユーザは、情報処理端末３の備えるキーボードやマウス等の入力装置を利用して、ファイル参照／更新部３８を起動する（Ｓ１２−１）。

次に、ファイル参照／更新部３８は、ファイル管理部３４又はファイル管理部５４を起動する。尚、本実施例では、ファイル管理部３４を起動した例で以下説明をする。

ファイル管理部３４は、起動されると、ファイル管理情報記憶部３２を参照して、ファイル属性情報を取得する。尚、ファイル管理部５４が起動された場合には、ファイル管理情報記憶部５２を参照して、ファイル属性情報を取得する事になる。

ここで、図１３に情報処理端末３のファイル管理情報記憶部３２の構成例を、図１４にファイルサーバ５のファイル管理情報記憶部５２の構成例を示す。

図１３及び図１４に例示するファイル管理情報記憶部３２及びファイル管理情報記憶部５２は、夫々、ファイル名フィールド、所属グループフィールド、及び格納場所フィールドで構成されている。

ファイル名フィールドは、ファイルの名称を記憶するフィールドである。尚、本実施例では、ファイルの名称で説明するが、これに限定するものでなく、ファイルを一意に識別出来るものであれば何でも良い。

所属グループフィールドは、ファイルの属するグループ名を記憶するフィールドである。

格納場所フィールドは、ファイルの格納場所を記憶するフィールドである。

図１３に示す例では、「鉄道プロジェクト計画書」というファイルは、「鉄道プロジェクト」というグループに属するものであり、このファイルは、ファイル記憶部３３の「鉄道プロジェクトフォルダ」に格納されている事を示している。同様に、「鉄道システム設計書」は、「鉄道プロジェクト」というグループに属し、「鉄道プロジェクトフォルダ」に格納されている事が分かる。また、「特許明細書」は、「特許グループ」というグループに属し、「特許グループフォルダ」に格納されている事が分かる。

また、図１４に示す例では、「鉄道プロジェクト予算書」というファイルは、「鉄道プロジェクト」に属するものであり、このファイルは、ファイル記憶部５３の「鉄道プロジェクトフォルダ」に格納されている事を示している。同様に、「金融プロジェクト予算書」は、「金融プロジェクト」というグループに属し、「金融プロジェクトフォルダ」に格納されている事が分かる。また、「特許出願件数管理書」は、「特許グループ」というグループに属し、「特許グループフォルダ」に格納されている事が分かる。

ファイル管理部３４は、ファイル管理情報記憶部３２からファイル属性情報を取得すると、情報処理端末３の備える表示装置に、図１５（ａ）に例示するような文書一覧画面を表示する。

ここで、図１５（ａ）は、ファイル管理情報記憶部３２に記憶された情報を編集して表示している例を示すものである。ユーザは、入力装置を用いて、文書一覧画面に表示されたファイル名を選択する事で、選択したファイルを操作する事が出来る。

尚、ファイル管理部５４が起動された場合では、ファイル管理部５４は、ファイル管理情報記憶部５２からファイル属性情報を取得し、情報処理端末３の備える表示装置に、図１５（ｂ）に例示するような文書一覧画面を表示する事になる。

本実施例では、ユーザにより、図１５（ａ）に例示する文書一覧画面の「鉄道プロジェクト計画書」が選択されたものとして、以下説明をする。

「鉄道プロジェクト計画書」が選択されると、ファイル管理部３４は、ファイル記憶部３３を参照して、該当するファイルを取得し、当該ファイルをファイル参照／更新部３８に送出する（Ｓ１２−２）。尚、上述のように、ファイル記憶部３３に記憶されているファイルは、全て暗号化されているものである。

ファイル参照／更新部３８は、ファイル管理部３４から暗号化されたファイル「鉄道プロジェクト計画書」を受け取ると、暗号／復号化部３９を起動する。

暗号／復号化部３９は、起動されると、暗号／復号鍵記憶部３５を参照し、ファイル管理部３４が受け取ったファイルの属するグループに対応する復号鍵を検索する（Ｓ１２−３）。

ファイルの属するグループに対応する復号鍵が存在すれば、Ｓ１２−４の処理を実行する（Ｓ１２−３ ＯＫ）。ファイルの属するグループに対応する復号鍵が存在しなければ、ユーザは、当該ファイルの属するグループに対して、認証サーバ２のユーザ認証がなされていない為、当該ファイルを操作する権利はない、とみなし、処理を終了する（Ｓ１２−３ ＮＧ）。

本実施例では、「鉄道プロジェクト計画書」は、「鉄道プロジェクト」に属している。図１０に例示した暗号／復号鍵記憶部３５を参照すると、「鉄道プロジェクト」に対応する復号鍵「ＡＢＣ」が存在する事が分かる。

暗号／復号化部３９は、暗号／復号鍵記憶部３５から復号鍵を取得し、当該復号鍵に基づいて暗号化されたファイルを復号し、復号したファイルをファイル参照／更新部３８に渡す（Ｓ１２−４）。

ファイル参照／更新部３８では、文書作成ツール機能を利用して、復号したファイルの内容を、情報処理端末３の備える表示装置に表示する（Ｓ１２−５）。ここで、文書表示画面の例を図１６に示す。図１６は、復号されたファイルをファイル参照／更新部３８の文書作成ツール機能を利用して表示装置に表示した例を示している。

このように、本実施例の情報セキュリティシステム１では、ユーザが認証サーバ２でユーザ認証されたグループに属するファイルを復号する事を許可するようになっている。例えば、Ｓ１２−２の処理で、図１５（ａ）に例示する「特許明細書」を選択された場合、当該「特許明細書」が属するグループは、「特許グループ」であり、Ｓ１２−３の処理で、図１０に例示する暗号／復号鍵記憶部３５から「特許グループ」に対応する復号鍵を取得しようとしても、「特許グループ」に関連する復号鍵は記憶されておらず、ファイル参照／更新処理は終了してしまう。従って、ユーザは、「特許明細書」に対してファイル操作をする事が出来ない。つまり、ユーザは、「鉄道グループ」に属するファイルに対してのみファイル操作を許可されている。

また、図１６に例示する「鉄道プロジェクト計画書」の内容にユーザが何らかの変更を加えて、「鉄道プロジェクト計画書」ファイルを更新する際には、再度、Ｓ１２−１乃至Ｓ１２−５の処理が実行される事になる。

即ち、ユーザにより、「鉄道プロジェクト計画書」の更新が指示されると（Ｓ１２−１）、ファイル参照／更新部３８は、ファイル管理部３４を起動する。そして、ファイル管理部３４では、「鉄道プロジェクト計画書」がどのグループに属するかファイル属性情報記憶部３２を参照してグループ名を取得する（Ｓ１２−２）。次に、暗号／復号化部３９は、所属グループに対応する暗号鍵を暗号／復号鍵記憶部３５を参照して取得し（Ｓ１２−３ ＯＫ）、取得した暗号鍵に基づいて、更新後の「鉄道プロジェクト計画書」を暗号化する（Ｓ１２−４）。最後に、ファイル管理部３４は、暗号化された更新後の「鉄道プロジェクト計画書」をファイル記憶部３３に保存する（Ｓ１２−５）。

このように、本実施例の情報セキュリティシステム１では、ユーザが予め認証サーバ２でユーザ認証されたグループに属するファイルにのみ暗号化する事を許可している。

次に、情報処理端末３と認証サーバ２との間の接続状況を監視する第３の処理について説明をする。

図１７は、本実施例における情報セキュリティシステム１の第３の処理である、接続状況監視処理をフローチャートで示したものである。

第１の処理でユーザ認証がなされた後、ログアウトされるまで、情報処理端末３と認証サーバ２との接続は継続される。第３の処理は、第１の処理でユーザ認証が成功し、かつ第１の処理が終了した事を契機として開始される。

第３の処理が開始されると、接続状況監視部４０が起動され、情報処理端末３と認証サーバ２との接続状態が監視される。例えば、図１１（ａ）に例示するログイン中画面のログアウトボタンをユーザが選択した場合（Ｓ１７−１ ＹＥＳ）、接続状況監視部４０は、ユーザ識別子「ＡＡＡ」のユーザがグループ「鉄道プロジェクト」に属するファイルに対するファイル操作をする必要がなくなった、即ち、ログアウトしたものと判断し、「鉄道プロジェクト」に関連するレコードを暗号／復号鍵記憶部３５から削除すると共に、ユーザ管理データベース２２のログイン有無フィールドの対応するレコードを削除する（Ｓ１７−２）。本実施例では、「鉄道プロジェクト」に関連するレコードが暗号／復号鍵記憶部３５から削除され、図１０に例示する暗号／復号鍵記憶部３５に記憶されているレコードは何もない事になる。更に、図８に例示する、ユーザ識別子「ＡＡＡ」、所属グループ「鉄道プロジェクト」に対応するログイン有無フィールドに格納されている「ログイン中」が空白で更新される事になる。この状態で、第２の処理を実行したとしても、暗号／復号鍵記憶部３５から復号鍵又は暗号鍵を取得する事は出来ず、ファイル記憶部３３に格納された暗号化されたファイルを復号する事や、利用しているファイルを暗号化して保存する事は出来ない。このように、情報処理端末３と認証サーバ２との間で接続がなされていなければ、ファイルを復号する事も暗号化する事も出来ない。

更に、接続状況監視部４０は、Ｓ１７−２の処理で、ログアウトしたグループに対応するレコードを暗号／復号鍵記憶部３５から削除した後、ログアウトしたグループに属するファイルの参照や更新が出来ないように、文書作成ツール機能を停止させるようにファイル参照／更新部３８に、依頼をする（Ｓ１７−３）。つまり、図１１（ａ）に例示するログイン中画面のログアウトボタンが選択された場合、図１６に例示する文書表示画面が強制的に終了する事になる。

また、本実施例の接続状況監視部４０は、継続的に認証サーバ２との接続を監視している。即ち、ユーザ管理データベース２２のログイン有無フィールドを継続的に監視している。図１１に例示するログイン中画面に出力されているユーザ識別子及びグループ名に対応する、ユーザ管理データベース２２のログイン有無フィールドに「ログイン中」が格納されているか否か判定する。格納されていれば、このユーザ識別子を有するユーザは、認証サーバ２に接続中であるとみなし（Ｓ１７−１ ＮＯ）、接続がなされていないと判断されるまでＳ１７−１の処理を継続する。また、格納されていなければ、接続がなされていない、つまり、認証サーバ２との接続が切断されているにも関わらずファイルの利用をしている、つまり不正利用である、と判断し（Ｓ１７−１ ＹＥＳ）、Ｓ１７−２及びＳ１７−３の処理を実行する。更に、情報処理端末３が物理的にネットワーク４に接続されていない場合には、接続状況監視部４０は、認証サーバ２のユーザ管理データベース２２を参照する事は出来ない。この場合にも、接続が切断されていると判断し（Ｓ１７−１ ＹＥＳ）、Ｓ１７−２及びＳ１７−３の処理を実行するようにする。

例えば、あるユーザが情報処理端末３を利用してユーザ認証を成功させ、ある暗号化されたファイルを復号し、復号したファイルを文書作成ツール機能を利用して参照しているとする。当該ファイルを参照している間に、ユーザは、ログアウト処理をする事を忘れ、離席し、その離席中に情報処理端末３が盗難されたとする。従来の情報処理端末３であれば、このような文書作成ツール機能で利用されている最中のファイルを不正に利用する事が出来た。しかしながら、本実施例では、情報処理端末３が、有線ＬＡＮに接続したものであり、物理的にＬＡＮから切断されて盗難された場合には、図１７のＳ１７−１の処理において、接続状況監視部４０は、認証サーバ２に接続する事が出来ず、Ｓ１７−２及びＳ１７−３の処理が実行される事になる。従って、ファイルの不正参照を防止する事が出来る。また、無線ＬＡＮに接続した情報処理端末３であれば、物理的にＬＡＮから切断せずとも盗難する事が可能である。このような場合、情報処理端末３を盗難されたユーザは、他の情報処理端末３を利用して認証サーバ２に接続し、ユーザ管理データベース２２の自身のユーザ識別子に対応するログイン有無フィールドを空白で更新する。つまり、認証サーバ２からログオフした事にする。このようにすると、盗難された情報処理端末３の接続状況監視部４０が図１７のＳ１７−１の処理を実行して、認証サーバ２のユーザ管理データベース２２のログイン有無フィールドを参照した際、ログイン情報が削除されている事を認識出来る。従って、不正なファイルの利用がなされているとみなし、Ｓ１７−２及びＳ１７−３の処理が実行される。つまり、ファイルの不正利用を防止する事が出来る。

このように、本実施例では、認証サーバ２で認証されると、継続的に認証サーバ２との接続状況を確認するようにし、接続されていないと判定された場合には、ファイルの復号化又は暗号化を出来ないようにすると共に、文書作成ツール機能を利用したファイルの参照又は更新といった、ファイル操作を出来ないように、既に利用中であるファイルを強制的に終了するようにしている。従って、ユーザが認証サーバ２にログイン中に情報処理端末３を盗難されたとしても第三者による不正なファイル参照、更新を防止する事が出来る。

上述のように、本実施例では、情報処理端末３と認証サーバ２との間で接続が切断されたタイミングで、文書作成ツール機能を利用してファイルを参照又は更新する事を出来ないようにしている。更に、情報処理端末３と認証サーバ２との間で接続が継続している間に限定してファイルの復号化や暗号化が許可される。従って、ユーザが認証サーバ２にログイン中に情報処理端末３を盗難されたとしても第三者による不正なファイル参照、更新を防止する事が出来る。

ここで、上記のようなファイルが、テキストファイルであり、文書作成ツール機能が、Ｍｉｃｒｏｓｏｆｔ（登録商標）のメモパッド（メモ帳）であり、当該テキストファイルを当該メモパッドで利用中に、認証サーバ２との接続がなされていないと判断された場合に、当該テキストファイルを削除したとしても、メモパッドでは、利用中のテキストファイルが削除された場合でも、利用中のテキストファイルの内容を表示したままであり、テキストファイルの利用中に情報処理端末３が盗難された場合には、第三者による不正なファイル参照を防止する事はできない。従って、上述のように、情報処理端末３と認証サーバ２との間で接続が切断されたタイミングで、文書作成ツール機能を利用したファイルの参照又は更新を出来ないようにする事は、ユーザが認証サーバ２にログイン中に情報処理端末３を盗難された場合でも第三者による不正なファイル参照、更新を防止する事が出来、セキュリティ確保の面で有効である。

また、本実施例の文書作成ツール機能は、参照しているファイルの内容をクリップボード等の一時記憶部にコピーする事を禁止する事も出来る。例えば、図１６に例示した「鉄道プロジェクト計画書」の内容をコピーし、情報処理端末３の備える一時記憶領域に格納する事を制限出来る。このようにすると、ファイルの内容を他のファイルに転用する事を防止する事が出来る。これは、ファイル毎にコピー可否を設定する事も出来、その設定に従って文書作成ツール機能がコピー可否を適宜判断する事になる。

以上の実施例を含む実施形態に関し、更に以下の付記を開示する。
（付記１） 監視サーバとネットワークを介して接続可能に構成されてなる情報処理装置であって、
前記監視サーバと接続情報を送受信する事で、前記監視サーバとの接続状況を判定する接続状況監視部と、
前記接続状況に応じて、利用中の情報の利用可否を判定する情報利用可否判定部と、
を備える事を特徴とする情報処理装置。
（付記２） 監視サーバとネットワークを介して接続可能に構成されてなる情報処理装置であって、
前記監視サーバと接続情報を送受信する事で、前記監視サーバとの接続状況を判定する接続状況監視部と、
前記監視サーバとの接続がされていると判定された場合、情報の利用を許可し、前記監視サーバとの接続がされていないと判定された場合、前記利用を許可された情報が利用中であれば、当該情報の利用を禁止する情報利用可否判定部と、
を備える事を特徴とする情報処理装置。
（付記３） 監視サーバとネットワークを介して接続可能に構成されてなる情報処理装置であって、
前記監視サーバと接続情報を送受信する事で、前記監視サーバとの接続状況を判定する接続状況監視部と、
前記監視サーバとの接続がされていると判定された場合、情報を暗号化又は復号化して、当該情報の利用を可能とし、前記監視サーバとの接続がされていないと判定された場合、前記暗号化又は復号化された情報が利用中であれば、当該情報の利用を禁止する情報利用可否判定部と、
を備える事を特徴とする情報処理装置。
（付記４） 監視サーバとネットワークを介して接続可能に構成されてなる情報処理装置における情報の利用方法であって、
前記監視サーバと接続情報を送受信する事で、前記監視サーバとの接続状況を判定するステップと、
前記監視サーバとの接続がされていると判定された場合、情報の利用を許可し、前記監視サーバとの接続がされていないと判定された場合、前記利用を許可された情報が利用中であれば、当該情報の利用を禁止するステップと、
を実行する事を特徴とする情報処理装置における情報の利用方法。
（付記５） 監視サーバと情報処理端末とが互いにネットワークに接続された情報セキュリティシステムであって、
前記監視サーバは、
前記情報処理端末と接続情報を送受信する接続情報送受信部と、
前記情報処理端末から接続要求を受け付ける接続要求受信部を備え、
前記情報処理端末は、
前記監視サーバと接続情報を送受信する接続情報送受信部と、
前記監視サーバに接続要求を送出する接続要求部と、
前記接続情報の送受信の状況に基づいて、前記監視サーバとの接続状況を判定する接続状況監視部と、
前記接続状況監視部で、前記監視サーバとの接続がされていると判定された場合、情報の暗号化又は復号化、及び当該情報の利用を許可する情報利用部と、
前記接続状況監視部で、前記監視サーバとの接続がされていないと判定された場合、情報の暗号化又は復号化を禁止すると共に、前記情報利用部で利用が許可された情報が利用中であれば、当該情報の利用を禁止する情報利用制限部と、
を備える事を特徴とする情報セキュリティシステム。
（付記６） 前記監視サーバは、更に、復号鍵又は暗号鍵を記憶する鍵記憶部と、
前記接続要求受信部で、接続可と判定された前記情報処理端末に、前記鍵記憶部に記憶された前記復号鍵又は暗号鍵を送信する鍵送信部と、を有し、
前記情報処理端末は、更に、前記監視サーバから受信した復号鍵又は暗号鍵を一時的に記憶する鍵一時記憶部を有し、
前記情報利用部は、前記鍵一時記憶部を参照して、復号鍵又は暗号鍵を取得し、当該復号鍵又は暗号鍵に基づいて前記情報の復号化又は暗号化をし、
前記情報利用制限部は、前記鍵一時記憶部に格納された復号鍵又は暗号鍵を削除する事で、前記情報の復号化又は暗号化を出来ないようにする事を特徴とする付記５記載の情報セキュリティシステム。
（付記７） 前記監視サーバは、前記情報処理端末の接続状況を記憶する接続状況記憶部を備え、
前記接続状況記憶部は、前記情報処理端末の識別子又はユーザの識別子毎に接続状況を記憶し、
前記接続要求受信部は、接続可と判断した場合、前記接続状況記憶部に前記情報処理端末の識別子又はユーザの識別子に対応させて接続状況を格納し、
前記接続状況監視部は、前記接続状況記憶部を参照し、情報処理端末の識別子又はユーザの識別子に対応する接続状況が格納されていなければ、前記監視サーバとの接続がなされていないと判定する事を特徴とする付記５記載の情報セキュリティシステム。
（付記８） 前記情報は、当該情報の種類毎に分類されており、
前記鍵記憶部は、前記分類された情報の種類毎に前記復号鍵又は暗号鍵を記憶し、
前記鍵一時記憶部は、前記情報の種類毎に前記復号鍵又は暗号鍵を一時的に記憶し、
前記情報利用部は、復号化又は暗号化しようとする情報の種類に対応する復号鍵又は暗号鍵を前記鍵一時記憶部から取得する事を特徴とする付記６記載の情報セキュリティシステム。

情報セキュリティシステムの概要を示す全体構成図である。 認証サーバのハードウェア構成例を示す図である。 認証サーバの構成を示す図である。 情報処理端末の構成を示す図である。 ファイルサーバの構成を示す図である。 情報セキュリティシステムの第１の処理のフローチャートである。 ユーザ認証画面の表示例を示す図である。 ユーザ管理データベースのレコード構成例を示す図である。 暗号／復号鍵データベースのレコード構成例を示す図である。 暗号／復号鍵記憶部のレコード構成例を示す図である。 ログイン中画面の表示例を示す図である。 情報セキュリティシステムの第２の処理のフローチャートである。 ファイル管理情報記憶部（情報処理端末）のレコード構成例を示す図である。 ファイル管理情報記憶部（ファイルサーバ）のレコード構成例を示す図である。 文書一覧画面の表示例を示す図である。 文書表示画面の表示例を示す図である。 情報セキュリティシステムの第３の処理のフローチャートである。

符号の説明

１ 情報セキュリティシステム
２ 認証サーバ（監視サーバ）
３ 情報処理端末（情報処理装置）
４ ネットワーク
５ ファイルサーバ
２２ ユーザ管理データベース
２３ 暗号／復号鍵データベース
２５ 暗号／復号鍵取得部
２４ ユーザ認証部
３５ 暗号／復号鍵記憶部
３６ ユーザ認証依頼部
３８ ファイル参照／更新部（利用可否判定部）
３９ 暗号／復号化部（利用可否判定部）
４０ 接続状況監視部

Claims (3)

1. 監視サーバとネットワークを介して接続可能に構成されてなる情報処理装置であって、
   前記監視サーバと接続情報を送受信する事で、前記監視サーバとの接続状況を判定する接続状況監視部と、
   前記監視サーバとの接続がされていると判定された場合、情報の利用を許可し、前記監視サーバとの接続がされていないと判定された場合、前記利用を許可された情報が利用中であれば、当該情報の利用を禁止する情報利用可否判定部と、
   を備える事を特徴とする情報処理装置。
2. 監視サーバとネットワークを介して接続可能に構成されてなる情報処理装置であって、
   前記監視サーバと接続情報を送受信する事で、前記監視サーバとの接続状況を判定する接続状況監視部と、
   前記監視サーバとの接続がされていると判定された場合、情報を暗号化又は復号化して、当該情報の利用を可能とし、前記監視サーバとの接続がされていないと判定された場合、前記暗号化又は復号化された情報が利用中であれば、当該情報の利用を禁止する情報利用可否判定部と、
   を備える事を特徴とする情報処理装置。
3. 監視サーバとネットワークを介して接続可能に構成されてなる情報処理装置における情報の利用方法であって、
   前記監視サーバと接続情報を送受信する事で、前記監視サーバとの接続状況を判定するステップと、
   前記監視サーバとの接続がされていると判定された場合、情報の利用を許可し、前記監視サーバとの接続がされていないと判定された場合、前記利用を許可された情報が利用中であれば、当該情報の利用を禁止するステップと、
   を実行する事を特徴とする情報処理装置における情報の利用方法。