JP2007065953A - データ管理システム及びデータ管理のための消滅プログラム - Google Patents

Abstract

【課題】 機密情報の漏洩を防ぎ、予期しないデータ紛失を防ぐことができるデータ管理システム及びデータ管理のための消滅プログラムを提供する。
【解決手段】 データ提供元の自己消滅型ファイル生成装置１００において、データ１０５の消滅条件を設定し、その消滅条件を含んだ消滅プログラムを生成する。さらに、その消滅プログラムをデータに添付した自己消滅型ファイル１０４を生成し、提供先の端末装置１０６へ提供する。提供先の端末装置１０６では、適宜自己消滅型ファイル１０４の解凍処理等を行い、データ１０５´と消滅プログラム１１３を得る。消滅プログラム１１３は、自身に含まれる消滅条件に基づいて、データ１０５´を消滅させる。その際、提供先の端末装置１０６で警告メッセージを表示したり、操作情報や端末の環境等の情報を所定の連絡先へ送信したり、所定の条件を満たす場合には消滅を解除したりすることも可能となる。
【選択図】 図１

Description

本発明は、データ管理システム及びデータ管理のための消滅プログラムに関する。

自己消滅型のデータ管理のためのシステムに関するものには、以下のような技術がある。
特許文献１には、「データ発信者がデータ受信者に対して提供する情報である配信データ１１に、配信データ１１を利用する機能を有するデータ利用手段１２と、自らもしくは自らを含むシステム全体を消滅させる機能を持つ自己消滅手段１３とを一体化した自己消滅型データ配信システム１として送信し、データ受信者が自己消滅型データ配信システム１を用いて配信１１データを利用すると、自己消滅手段１３が作動し、自己消滅型データ配信システム１が消滅することにより、配信データのセキュリティを高める」と記載されている。ここでは、配信されたデータを提供先で再生した場合、もしくは再生途中で停止した場合に、自己消滅手段が作動して自己消滅型データ配信システム自体を消滅させる技術が開示されている。

特許文献２には、「このコンテンツのレンタル方法は、ネットワークに接続されるクライアント端末から受信したコンテンツの指定と期間又は回数の指定とを含む貸出要求に応答して、指定されたコンテンツの内容を表すコンテンツデータを読み出すと共に、顧客に関する情報と指定された期間又は回数に関する情報とを含む管理データを格納するステップと、指定された期間又は回数の満了に伴ってクライアント端末において自己消去するソフトウェアにコンテンツデータを組み込んで、クライアント端末に送信するステップと、少なくともレンタルされたコンテンツと指定された期間又は回数とに基づいてレンタル料金を徴収するステップとを具備する。」と記載されている。ここでは、レンタルシステムにおいて、貸出期間又は回数の満了に応じて自己消去するソフトウェアの仕組みが開示されている。
特開２００２−１９６９８４号公報（要約） 特開２００４−２５２７２２号公報（要約）

しかしながら、特許文献１と２は、予めデータの管理者が決めたルールに基づくシステム乃至方法を用いるという点で以下のような問題がある。
例えば、機密情報を含むデータを保存した媒体を紛失し、そのデータが第三者に参照された場合、あるいはそのデータが利用者によって別の記憶領域にコピーされた場合等には、自己消滅型データ配信システムが充分に機能せず、機密情報を含むデータが流出する可能性がある。また、提供者自身で消滅条件を設定することができないため、予期しないデータ紛失が生じる場合もある。

本発明は、前記問題に鑑みて、機密情報を第三者から守ることで情報の漏洩を防ぎ、また、消滅条件を提供者が設定可能なため、予期しないデータ紛失を防ぐことができるデータ管理システム及びデータ管理のための消滅プログラムを提供することを課題とする。

本発明による解決手段の一つは、データの提供者によって予め設定された条件に基づきデータを消滅させる仕組みを提供したことである。

本発明によれば、機密情報を第三者から守ることで情報の漏洩を防ぎ、また、消滅条件を提供者が設定可能なため、予期しないデータ紛失を防ぐことができる。

本発明を実施するための最良の形態（以下「実施形態」とする）を詳細に説明する。
本実施形態の説明では、「データ管理システム」を適宜「システム」と省略する。また、本実施形態で扱う「データ」とは、文章（表を含む），数値，音声，画像，プログラム等を含んだ概念であり、「データの消滅」とは、当該データのデータ部分のうち、所定の部分（例えば文書データであればその１〜２ページのみ、表計算データであれば特定のシートのみ等）について削除（上書）する、あるいは当該データのファイルそのものを削除することを意味する。

（システム構成）
図１は本発明の実施形態に係るシステムの全体構成図である。
データを提供する側である提供元は、演算装置としての自己消滅型ファイル生成装置１００，データの入出力等を行う入出力装置１１０，記憶装置としての自己消滅情報データベース１０３を含んだ構成となっており、それらは所定の通信手段である回路網１１１を介して互いに接続されている。なお、自己消滅型ファイル生成装置１００、入出力装置１１０、及び自己消滅情報データベース１０３は同一装置内に装備されてもよい。
自己消滅型ファイル生成装置１００は、消滅条件設定モジュール１２１，プログラム生成モジュール１２２及び自己消滅型ファイル生成モジュール１２３を含んで構成される。各モジュールの機能については、後記する図６を参照して詳しく説明する。

データを受け取る側である提供先は、一般的なコンピュータである端末装置１０６を備える。この端末装置１０６は、図示しないＣＰＵ（Central Processing Unit），ハードディスクドライブ，入出力装置等を含んで構成される。ただし、端末装置１０６は必ずしも一つの単体装置として構成される必要はない。
端末装置１０６は、経路１１２を介して提供元の入出力装置１１０と接続される。経路１１２におけるデータの提供とは、例えば有線・無線による送信や、記憶媒体による直接の受け渡し等に相当する。

（システム処理概要）
本システムの処理概要を図１に沿って説明する。
まず、提供元の入出力装置１１０が各データ（１０５₁，１０５₂，１０５₃）について、自己消滅型ファイル生成装置１００内の消滅条件設定モジュール１２１を用いて消滅条件の設定を行い、自己消滅情報データベース１０３に消滅条件を保存する。なお、消滅条件の設定の際に、データそれぞれにＩＤが付与されて管理される。ここではデータ１０５₁にはデータＩＤ１、データ１０５₂にはデータＩＤ２、データ１０５₃にはデータＩＤ３が付与されている。この消滅条件の設定内容及びデータＩＤについては、後記する図３を参照して説明する。
次に、プログラム生成モジュール１２２が、自己消滅情報データベース１０３に保存されている消滅条件を用いて消滅プログラムを生成する。続いて、自己消滅型ファイル生成モジュール１２３が、生成された消滅プログラムと、データ１０５（１０５₁〜１０５₃）とを含んで圧縮した自己消滅型圧縮ファイル１０４を生成する。この生成した自己消滅型圧縮ファイル１０４は、例えば自己解凍ＥＸＥ形式でなるファイルでもよい。
入出力装置１１０は、生成した自己消滅型圧縮ファイル１０４を、経路１１２を介して提供先へ提供する。

提供先の端末装置１０６は、図示しない入出力装置等によって受け取った自己消滅型圧縮ファイル１０４´を、利用者のマウスのダブルクリック等による操作で解凍し、データ１０５´（１０５₁´〜１０５₃´）を得る。その際、各データ（１０５₁´，１０５₂´，１０５₃´）を消滅させる機能を持つ消滅プログラム１１３も生成され、提供元で消滅条件を設定した管理者の指定するフォルダに保管される。なお、この消滅プログラム１１３は、提供先のデータの利用者からは参照不可にしておくことが望ましい。
そして、この消滅プログラム１１３が動作する際は、該プログラム内に含まれる消滅条件に基づき、消滅対象である各データ（１０５₁´，１０５₂´，１０５₃´）に対して消滅処理を行う。

図２は、図１に示した本発明の実施形態の変形例であり、図１の自己消滅型圧縮ファイル１０４の替わりに、各データ（１０５₁´，１０５₂´，１０５₃´）に消滅プログラムを含めた、消滅プログラムを含むデータ２０１（２０１₁〜２０１₃）を生成し、提供する。なお、消滅プログラムはマクロによって実行されてもよい。
なお、図２の例においては消滅プログラムがデータ２０１に含まれるため、提供先の端末装置１０６は、提供された消滅プログラムを含むデータ２０１´（２０１₁´，２０１₂´，２０１₃´）をそのまま使用することができる。

以下の説明の中では、図１における自己消滅型圧縮ファイル１０４及び図２における消滅プログラムを含むデータ２０１を「自己消滅型ファイル」と適宜記載する。

（データ消滅方法）
本実施形態におけるデータの消滅方法は、通常のファイル削除とは異なり、例えばＮＳＡ（米国家安全保障局：National Security Agency）標準等による方式でデータ領域の上書きを行い、ＨＤＤ（Hard Disk Drive）修復業者等でも修復できないようにしてもよい。

図３は、図１における自己消滅情報データベースに保存される消滅条件の一例である。
自己消滅情報データベース１０３に保存される各データの消滅条件に関する情報は、「データＩＤ」，「自己消滅型ファイルを生成してからの経過時間」，「提供先でファイルオープンしてからの経過時間」，「提供先でのアクセス種別と回数」，及び「パスワード違いの回数」で構成される。図３に沿って、適宜図１を参照しながら説明する。

「データＩＤ」はキー項目であり、データ毎に付される固有のＩＤである。これにより、それぞれのデータ毎に異なる消滅条件を設定できる。「自己消滅型ファイルを生成してからの経過時間」は、自己消滅型ファイル生成モジュール１２３が自己消滅型ファイルを生成してから経過した時間である。「提供先でファイルオープンしてからの経過時間」は、提供先の端末装置１０６が各データ（１０５₁´，１０５₂´，１０５₃´）をオープンしてから経過した時間である。「提供先でのアクセス種別と回数」は、提供先の端末装置１０６において消滅対象となっている各データ（１０５₁´，１０５₂´，１０５₃´）のファイルにアクセスした種別とその制限回数である。ここで、ファイルアクセスの種類としては、ファイルオープンだけでなく、例えば、コピー，印刷，画面ハードコピー，移動，変更，メール添付，実行等を消滅条件として設定してもよい。さらに、その種別に対しての制限回数をこの項目で設定できる。「パスワード違いの回数」は、提供先の端末装置１０６において各データ（１０５₁´，１０５₂´，１０５₃´）のファイルを開く際にパスワード要求を行った場合、認証できるまでに利用者がパスワードを入力した回数である。

以上の情報は、それぞれの項目に１つだけ設定されてもよいし、複数の項目に情報が設定されていてもよい。複数の項目に情報が入力されている場合は、ＡＮＤ条件もしくはＯＲ条件等で当該データを消滅させるタイミングを設定してもよい。さらに、図３の項目以外にも、他にも様々な項目で設定可能である。
また、図２の変形例でも、同様に実施することができる。

図４は、提供元の入出力装置において消滅条件を設定する画面例である。ここで設定した情報は、図３の自己消滅情報データベース１０３に保存される。

経過時間について、「自己消滅型ファイルを生成してからの経過時間」に「３日１２時間３０分」と設定した場合、自己消滅型ファイルを生成してから３日と１２時間３０分が経過すると、消滅プログラムによって当該データは消滅する。
経過時間について、「提供先でファイルオープンしてからの経過時間」に「３分」と設定した場合、当該データを提供先の端末装置１０６でオープンしてから３分後に消滅プログラムによって当該データは消滅する。

なお、ここで時間の認識方法としては、例えばインターネット接続可能であれば、ＮＴＰ（Network Time Protocol）サーバを利用して時間の経過を認識する方法がある。これに対して、スタンドアロン環境等、提供先での時間経過の把握が困難な場合には、経過時間の基準を保管するエリアを消滅プログラム内に確保し、相対的な時間経過の累積で時間の経過を把握する方法を採用してもよい。さらに、端末装置１０６のマシン日付及び時刻が逆行する等の（不正）操作を感知した場合は、消滅プログラムによって提供先の端末装置１０６に警告メッセージ表示等を行って利用者に通知し、当該データを消滅させてもよい。

アクセス回数について、「提供先でのアクセス種別と回数」に「オープン、３回」と設定した場合、提供先の端末装置１０６で当該データを３回オープンすると消滅プログラムによって当該データは消滅する。
「パスワード違いの回数」に３回と設定した場合、消滅プログラム等のパスワード入力画面でパスワード不一致が３回発生すると、消滅プログラムによって当該データは消滅する。

図５は、図１における消滅プログラム内に保管される、消滅対象となっているデータの保存先情報の一例である。この保存先情報は、「データＩＤ」をキーとして「ファイル名」と「データ保存先」を項目とする。「データＩＤ」はデータ毎のＩＤであり図３で示した自己消滅情報データベース１０３の「データＩＤ」とリンクされている。「ファイル名」は各データのファイル名である。「データ保存先」は自己消滅型圧縮ファイル１０４´が解凍されて得られた各データ（１０５₁´，１０５₂´，１０５₃´）がそれぞれ保存されている場所を示すアドレスである。消滅プログラム１１３がデータを消滅する際は、このアドレスを用いる。なお、図２の方法をとった場合は、消滅するデータ自身に消滅プログラムが含まれるため、この情報は不要である。

以上説明したように、データの消滅方法としては次の３つの方法が考えられる。
（１）消滅対象のデータとは別に、消滅プログラムを提供する（図１）
（２）消滅対象のデータに消滅プログラムを内蔵する（図２）
（３）消滅対象のデータとは別に消滅プログラムを提供し、かつ自己消滅対象データに消滅プログラムを内蔵する（図１と図２を併合）
前記した（２）の方法を採用すれば、自己消滅型ファイルの保存先を管理する必要がなく、例えば、提供先の端末装置から他の記憶媒体へデータが移動された場合でも、データに内蔵されている消滅プログラムが機能することで、データを消滅させることができる。しかしながら、提供先のデータが、情報を更新できない環境に保存されてしまうと、消滅処理が実行されない可能性がある。その場合には、利用者が対象のデータを移動乃至コピーする際に利用者にパスワード等の認証要求を行い、それが認証された場合のみ、移動乃至コピー等の処理を実行させるようにしても良い。
前記した（２）及び（３）の方法を採用すれば、消滅プログラムがデータを削除しきれない可能性もなくなるので、データ消滅の確実性が増す。なお、前記した（２）及び（３）の場合において、データとは別に用意したプログラムで消去できずに結果としてデータに内蔵したプログラム（例えばデータを記載した文書ファイルに内蔵したマクロ等）の方で消滅した場合、自己のデータのみを削除（上書）するので、消滅プログラムと空データ自体は残ることになるが、データ部分は削除されているので情報が流出することはなく、機密を保護することが可能である。

（フロー説明）
図６は、図１における自己消滅型ファイルの生成、提供、データの消滅までの処理フローである。この処理について、図６を用いて、図１を適宜参照しながら説明する。

まず、提供元において、入出力装置１１０が自己消滅型ファイル生成装置１００の消滅条件設定モジュール１２１を用いてデータ１０５についての消滅条件を設定し、設定した消滅条件を自己消滅情報データベース１０３に保存する（Ｓ３０１）。消滅条件としては、図３，図４で説明したとおり経過時間、アクセス回数、認証エラー回数等を設定できる。

次に、プログラム生成モジュール１２２が、データ１０５と自己消滅情報データベース１０３から抽出した消滅条件とを用いて、消滅プログラムを生成する（Ｓ３０２）。なお、ここで消滅プログラムを直ちに生成せずに、ステップＳ３０１において消滅条件を適宜自己消滅情報データベース１０３に保存しておくことで、消滅プログラムを必要な時に生成できるようにしてもよい。
続いて、ステップＳ３０２において生成した消滅プログラムと、対象となるデータとを用いて、自己消滅型ファイル生成モジュール１２３が、自己消滅型ファイル（自己消滅型圧縮ファイル１０４）を生成する（Ｓ３０３）。

提供元の入出力装置１１０は、ステップＳ３０３で生成した自己消滅型ファイルを提供先に提供する（Ｓ３０４）。

提供先の端末装置１０６は、提供元からの自己消滅型ファイルを受け取り、適宜解凍処理を行うことで、データ１０５´及び消滅プログラム１１３を得る。
提供先の端末装置１０６において、消滅プログラム１１３は、各データの経過時間や各データに対する端末装置１０６の処理（データの経過時間、アクセス回数、認証エラー回数等）が自身に保管されている消滅条件の範囲以上か否かを判定する（Ｓ３０５）。

ステップＳ３０５において、消滅条件の範囲未満である間（Ｓ３０５→Ｎｏ）、必要に応じて、経過時間やパスワード違いの回数等を、消滅プログラム１１３の所定領域内に保存し（Ｓ３０６）、消滅プログラム１１３は当該データを消滅せずにステップＳ３０５，Ｓ３０６の処理を繰り返す。

一方、ステップＳ３０５において消滅条件の範囲以上となった場合（Ｓ３０５→Ｙｅｓ）は、ステップＳ３０７の処理に進む。
ステップＳ３０７では、消滅プログラム１１３が、自身に保管している各データの保存先情報を用いて当該データを消滅させる。このとき、端末装置１０６に警告メッセージを表示させてもよい。
なお、図２の変形例でも、以上で説明した解凍処理や保存先情報を用いる処理が不要となる他は、ほぼ同様の処理で実現できる。

図７〜図１４は、消滅プログラムによって端末装置の画面に表示されるメッセージ画面例である。
図７，図８は、消滅条件について、ファイルオープン回数を３回と設定したデータを、提供先の端末装置で３回オープンした場合の画面例である。
図７は、データ「（秘）○□△についての画期的解決方法・・・」がオープンされた画面５０１と、警告メッセージ５０２「ファイルのオープン回数が３回に達しました。ファイルクローズ後に本データは削除されます。」が表示されている。
しかし、この場合、提供先の利用者は、ファイルクローズ前に例えば当該データの画面ハードコピー，別名保存，印刷，メール送信等様々な手段によってデータを保存することも可能である。そのため、利用者の保存を禁止したい場合は、利用者によるファイルのクローズを待たずにデータを削除してもよい。

図８は図７に消滅を解除する機能を加えた場合の画面例である。図７における警告メッセージ５０２の替わりに図８では警告メッセージ６０１「ファイルのオープン回数が３回に達しました。１分後に本データは削除されます。削除を解除するには１分以内に、以下の欄にパスワードを入力してください。」が表示されている。この場合、利用者は入力欄６０２にパスワードを入力して削除を免れるようにすることができる。
また、セキュリティ強化のために、削除までの時間を短く設定したり、利用者に応じてパスワードの入力をできなくしたりする等の設定をしてもよい。
図７，図８のようにファイルのオープン回数でデータを消滅する方法は、機密保持の目的以外にも、サンプルプログラム及び試供製品の配布等にも適用できる。また、多数回のアクセスをさせたくない重要データ等の保護にも好適である。

図９は、消滅条件について、「提供先でファイルオープンしてからの経過時間」を３分と設定したデータに対し、提供先の端末装置でファイルをオープンしてから３分経過した場合の画面例である。
警告メッセージ７０１「ファイルのオープン後、３分経過しましたので、本データは削除されます。」が表示されている。ここで、図８同様に消滅処理を利用者が解除できるように消滅を解除する機能を設けてもよい。
このような経過時間の設定による消滅は、提供先の利用者本人が内容を確認するためだけのデータの伝達等に適用できる。

図１０は、提供先で使用される端末装置でデータのファイルを開く際に、消滅プログラムによって表示されるログイン画面の画面例である。利用者はログイン画面８０１で入力欄８０２に所定のユーザＩＤを入力し、入力欄８０３に所定のパスワードを入力し、ＯＫボタン８０４を押下して、ユーザＩＤとパスワードが認証された場合には当該データのファイルが開く。このとき、ネットワーク接続されている環境であれば、利用者に入力されたユーザＩＤとパスワードをホスト等に確認し、その際にメッセージ８０５を表示させてもよい。

この処理は、例えばホスト側でデータのパスワードを変更する等の処置を行うことで、万が一データを紛失して、そのデータが第三者に渡ったとしても、変更済みパスワードを知らされなければデータのファイルを開けなくなるので、機密保持の強化に有効である。
あるいは、通信機能を必要としないスタンドアロンの装置であっても、パスワードの管理にハッシュ関数を用いる等、装置単体の機能範囲でパスワードを保護し、ファイルを開けなくすることも可能である。
また、パスワード認証以外に、生体認証やカード認証機能等を用いてもよい。

また、ネットワーク接続環境であれば、データを消滅させた場合に、利用者の操作情報及び端末情報等の消滅状況を、所定の連絡先、例えば情報管理部門等の所定の機関へ通知することも可能である。その際には、予め消滅プログラム内に、通知先である所定の連絡先のＩＰ（Internet Protocol）アドレスやＵＲＬ（Uniform Resource Locator）、あるいはメールアドレス等を保管しておき、端末装置の通信機能を利用して情報を送信する。

図１１は、データ消滅後に、情報管理部門に相当する緊急対策センタへ通知することを利用者へ警告する画面例である。ここでは警告メッセージ９０１「ユーザＩＤまたはパスワードが３回認証エラーとなりました。本操作情報を緊急対策センタに通知し、本データは削除されます。」が表示されると同時に、消滅状況の情報が所定の機関（ここでは緊急対策センタ）に通知され、データは消滅する。この処理は、ネットワーク接続されている環境で有効に機能し、セキュリティをより強固にすることができる。

図１５は、所定の連絡先や機関（図１１では緊急対策センタ）に送信され、ネットワーク上の情報公開可能な領域に展開された消滅状況の情報の一例である。情報の項目としては、「データＩＤ」，「削除ファイル名」，「削除年月日時間」，「使用者（ＩＰアドレス）」，「使用端末（資産番号）」，「消滅原因」，「場所」等が考えられるが、もちろん、他の項目を含んでもよい。このうち「場所」は、当該データを提供された端末装置１０６の位置を示し、住所の他、緯度経度，マップコード等の情報でもよい。「場所」情報の採取方法は図１３を参照しながら後記する。
図１１の例において所定の連絡先や機関へ送信された情報は、図１５のようにデータベース化されることで、例えばＨＰ，電子掲示板，共有ファイル，関係者へのメール配信等で、情報の展開が自動的に行われてもよい。この展開機能により、情報の管理者はデータの消滅状況をよりタイムリーかつ正確に把握できる。そのため、機密情報及び個人情報の管理をより徹底して実施可能となる。

消滅条件については、図３で説明した項目以外にも、以下のような設定が可能である。
図１２は、提供先で使用される端末装置のＩＰアドレスが指定されたものか否かを判別して警告メッセージを表示する画面例である。警告メッセージ１２０１「本データは、アクセスを認められていないＩＰアドレスを有する装置からアクセスを受けました。本データは削除されます。」を表示し、当該データを消滅させることもできる。
ここでの認証としては、ＩＰアドレス以外にＭＡＣ（Media Access Control）アドレス、ドメイン（指定・拒否）等を使用することもできる。ドメイン（指定・拒否）の例として、例えば“＊．ｏｆｆｉｃｅ−ｔｏ．ｃｏ．ｊｐ”は許可するが、“＊．ｏｆｆｉｃｅ．ｃｏ．ｊｐ”は許可しない、等の条件指定方法がある。なお、＊は正規表現で任意の文字列の意味である。

図１３は、提供先で使用される端末装置の現在地が、指定された場所か否かをＧＰＳ（Global Positioning System）等の情報から検知して判別し、警告メッセージを表示する画面例である。警告メッセージ１３０１「本データは、アクセスを認められていない場所からアクセスを受けました。本データは削除されます。」を表示し、当該データを消滅させることもできる。

図１４は、提供先で使用される端末装置の環境が、指定された環境か否かを検知して判別し、警告メッセージを表示する画面例である。警告メッセージ１４０１「本データは、アクセスを認められていない環境を有する装置からアクセスを受けました。本データは削除されます。」を表示し、当該データを消滅させることもできる。
指定された環境の例としては、端末装置のネットワーク接続環境、付属装置、内蔵されているプログラム、ログインユーザ情報等がある。

本実施形態の方法によれば、提供元が設定した条件でデータを消滅することができるので、予期しないデータ紛失を防ぎながらも、機密データの流出に歯止めをかけることが可能となる。例えば、ＰＣ（Personal Computer）に保存されている機密データを所定時間経過後に自動的に消去させるよう設定しておけば、データ紛失に気づくのが遅れて、そのＰＣが悪意のある第三者に渡った場合でも、機密を守る可能性を高めることができる。
またＵＳＢ（Universal Serial Bus）フラッシュメモリ等に機密データを保存して紛失した場合でも、所定の条件の元でデータが消滅すれば、情報漏洩の危険性が減り、情報セキュリティの強化が図れる。

さらに、データ処理業者に個人情報を渡す場合や、アウトソーシング等で営業秘密を業者に渡す場合でも、本実施形態の方法による自己消滅型ファイルが利用できる。情報を提供された業者側でデータの損失が発生した場合に、その状況によってはデータ提供側の責任が重くなる可能性もある。このような場合、提供するデータが自己消滅型ファイルであれば、所定の条件に基づいて消滅するので、個人情報の保護及び機密情報の保全に効果がある。

本発明は自己完結型の機能であるため、消滅プログラムがあれば機能する。そのため、提供先で利用する端末装置に新たにプログラム等をインストールする必要がない。

（実施例１：ファイルサーバ装置）
図１６は本実施形態を、ファイルサーバ装置を利用して行う場合の実施例である。
提供先の端末装置１６０３が、図示しない入出力装置及び回線網を介して、提供元のファイルサーバ装置１６００上の電子ファイルであるデータ１０５（１０５₁〜１０５₃）にアクセスしダウンロード要求１６０２を送信する。前記動作に伴い、指定されたデータ１０５と、予め消滅条件設定モジュール１２１によって設定され、自己消滅情報データベース１０３に保存されていた消滅条件とを用いて、プログラム生成モジュール１２２が消滅プログラムを生成する。さらに、そのプログラムを用いて自己消滅型ファイル生成モジュール１２３が自己消滅型圧縮ファイル１０４を生成し、生成した自己消滅型圧縮ファイル１０４を提供先の端末装置１６０３に送信する。

なお、ここでの説明では、消滅プログラムを生成するタイミングをファイルサーバ装置へのデータダウンロード要求時としたが、例えば、ファイルサーバ装置へデータをアップロードした際に行ってもよい。その場合は前記タイミングで生成した消滅プログラムあるいは自己消滅型ファイルを、適宜サーバ装置のハードディスクやデータベース等に保存しておく。それらを生成・保存するタイミングは、ネットワークの負荷、処理の負荷、時間、データの用途等使用状況に応じて決定することが望ましい。

ここで、全てのデータに関してではなく、所定の条件に合致したデータを選定して自己消滅型ファイルを生成することもできる。この処理はファイル選定モジュール１６０８によって行われ、その方法は、例えばデータのファイル名の一覧で選定されるようにしてもよく、他にも、ファイル名の一部，属性，サイズ，及び作成者等、一定の条件を満たすもので選定されるようにしてもよい。この機能については、図１８を用いて後記する。

端末装置１６０３は、ファイルサーバ装置１６００から受信した自己消滅型圧縮ファイル１０４´を解凍して自己消滅対象となるデータ１０５´（１０５₁´，１０５₂´，１０５₃´）と、これらのデータを消滅させる消滅プログラム１１３を得る。自己消滅対象のデータ１０５´の消滅については、前記のとおりである。

（実施例２：メールサーバ装置）
図１７は本実施形態を、メールサーバ装置を利用して行う場合の実施例である。
提供元において、メール送信者が端末装置１７０１を用いてメールを作成し、データ１０５（１０５₁〜１０５₃）をメールに添付して、メールを送信する。メールサーバ装置１７００は回路網１１１を介してこれを受信する。ここで、受信したメールに添付されているデータ１０５について、図１６と同様に、ファイル選定モジュール１６０８が予め設定されている条件に基づいて選定してもよい。選定条件に合致したデータは、自己消滅型ファイル生成モジュール１２３が図１６と同様に、当該データを用いて自己消滅型圧縮ファイル１０４を生成する。生成した自己消滅型圧縮ファイル１０４をメールに添付し、提供先である端末装置１７０３へ送信する。

メール受信側である提供先の端末装置１７０３は、メールの添付ファイルとして、自己消滅型圧縮ファイル１０４´を受信する。端末装置１７０３がこのファイルを解凍すると、データ１０５´（１０５₁´〜１０５₃´）となって復元され、さらに、これらのデータを消滅させる消滅プログラム１１３を得る。

図１８は、図１６のファイルサーバ装置１６００及び図１７のメールサーバ装置１７００の、ファイル選定モジュール１６０８で用いられる、自己消滅型ファイルを生成するデータの選定条件を入力する画面例である。
ファイル名１８０１には「営業情報＊」，「秘密＊」，「機密＊」が指定してあるので、例えば「営業情報１月分」，「機密人事」等の名称のデータが該当する。ファイル属性１８０２は「読み取り専用」が指定してあるので、読み取り専用に設定されているデータが該当する。
送信先１８０３は、「＊＠ｓｙａｇａｉ．ｃｏ．ｊｐ」，「＊＠ｇａｉｂｕ．ｎｅ．ｊｐ」が指定してあるので、例えば“ａａａ＠ｓｙａｇａｉ．ｃｏ．ｊｐ”，“ｚｚｚ＠ｇａｉｂｕ．ｎｅ．ｊｐ”等の送信先が該当する。メール件名１８０４には、「＊秘密＊」，「＊機密＊」が指定してあるので、例えば「売上秘密情報」，「画期的発明に関する機密１」等のメールの件名が該当する。

なお、図１６の例でも図１７の例でも、図１における自己消滅型圧縮ファイル１０４を生成する替わりに、図２のように消滅プログラムを含むデータ２０１を生成してもよい。また、これらの選定条件は、ファイルサーバ装置１６００及びメールサーバ装置１７００の図示しない入出力装置から入力されるのに限らず、他の端末装置から回線網などを介して入力されてもよい。
その他についても、本発明の趣旨を逸脱しない範囲で変形可能である。

このように、本実施形態の方法によれば、様々な状況における機密データ等の予測しない流出を減少させることが可能である。

本発明に係るデータ管理システムの構成例を示した図である。 図１における変形例を示した図である。 消滅条件の設定例を示す図である。 消滅条件の設定画面の一例を示す図である。 消滅対象となるデータの保存先情報の一例を示す図である。 本発明に係る自己消滅型データ管理システムの処理フロー図である。 警告メッセージ（オープン回数）の画面例である。 警告メッセージ（削除解除）の画面例である。 警告メッセージ（経過時間）の画面例である。 消滅プログラムによるログイン画面例である。 警告メッセージ（緊急対策センタ通知）の画面例である。 警告メッセージ（ＩＰアドレス）の画面例である。 警告メッセージ（場所）の画面例である。 警告メッセージ（環境）の画面例である。 データの消滅状況を蓄積するデータベース例である。 本発明に係るデータ管理システムのファイルサーバ装置による実施例を示す構成図である。 本発明に係るデータ管理システムのメールサーバ装置による実施例を示す構成図である。 図１６，図１７における消滅対象データ選定条件の設定画面例である。

符号の説明

１００ 自己消滅型ファイル生成装置
１０３ 自己消滅情報データベース
１０４ 自己消滅型圧縮ファイル
１０５，１０５´ データ
１０６ 端末装置（提供先）
１１０ 入出力装置
１１３ 消滅プログラム
１２１ 消滅条件設定モジュール
１２２ プログラム生成モジュール
１２３ 自己消滅型ファイル生成モジュール
２０１，２０１´ 消滅プログラムを含むデータ
５０２ 警告メッセージ
８０１ ログイン画面
１６００ ファイルサーバ装置
１６０３ 端末装置（提供先）
１６０８ ファイル選定モジュール
１７００ メールサーバ装置
１７０１ 端末装置（提供元）
１７０３ 端末装置（提供先）

Claims (13)

1. 所定の条件を満たすと、提供先に提供されるデータを消滅させるように機能する消滅プログラムを生成する手段と、
   前記データに前記消滅プログラムを添付してなるファイルを生成する手段と
   を備えることを特徴とするデータ管理システム。
2. 所定の条件を満たすと、提供先に提供されるデータを消滅させるように機能する消滅プログラムを生成する手段と、
   前記データに、前記消滅プログラムを含ませる手段と
   を備えることを特徴とするデータ管理システム。
3. 前記消滅プログラムを生成する手段が、
   前記データを提供された端末装置における前記データに対する操作が前記所定の条件に合致するか否かを判別し、その判別結果に基づいて当該データを消滅させる機能
   を備えた前記消滅プログラムを生成することを特徴とする請求項１または請求項２に記載のデータ管理システム。
4. 前記消滅プログラムを生成する手段が、
   前記データを提供された端末装置における所定の経過時間が、前記所定の条件の範囲以上か否かを判別し、その判別結果に基づいて当該データを消滅させる機能
   を備えた前記消滅プログラムを生成することを特徴とする請求項１または請求項２に記載のデータ管理システム。
5. 前記消滅プログラムを生成する手段が、
   前記データを提供された端末装置から入力された情報を用いて認証要求を行い、認証の結果が前記所定の条件に合致するか否かを判別し、その判別結果に基づいて当該データを消滅させる機能
   を備えた前記消滅プログラムを生成することを特徴とする請求項１または請求項２に記載のデータ管理システム。
6. 前記消滅プログラムを生成する手段が、
   前記データを提供された端末装置の環境を検知し、その検知した情報を用いて前記所定の条件に合致するか否かを判別し、その判別結果に基づいて当該データを消滅させる機能
   を備えた前記消滅プログラムを生成することを特徴とする請求項１または請求項２に記載のデータ管理システム。
7. 前記消滅プログラムを生成する手段が、
   当該データを消滅させる前に、前記端末装置において消滅を警告するメッセージを出力する機能
   を備えた前記消滅プログラムを生成することを特徴とする請求項３乃至請求項６のいずれか１項に記載のデータ管理システム。
8. 前記消滅プログラムを生成する手段が、
   少なくとも前記端末装置の操作情報または前記端末装置の環境に関する情報を、所定の連絡先へ通知する機能
   を備えた前記消滅プログラムを生成することを特徴とする請求項３乃至請求項７のいずれか１項に記載のデータ管理システム。
9. 前記所定の連絡先は、
   前記端末装置の前記消滅プログラムから通知された情報を、ネットワーク上の情報公開可能な領域に展開すること
   を実施することを特徴とする請求項８に記載のデータ管理システム。
10. 前記消滅プログラムを生成する手段が、
    当該データを消滅させる前に、所定の、消滅を解除するための条件を満たした場合には当該データの消滅を行わない機能
    を備えた前記消滅プログラムを生成することを特徴とする請求項１または請求項２に記載のデータ管理システム。
11. 前記データ管理システムに備えられる前記消滅プログラムを生成する自己消滅型ファイル生成装置を、ファイルサーバ装置で実現する
    ことを特徴とする請求項１乃至請求項１０のいずれか一項に記載のデータ管理システム。
12. 前記データ管理システムに備えられる前記消滅プログラムを生成する自己消滅型ファイル生成装置を、メールサーバ装置で実現する
    ことを特徴とする請求項１乃至請求項１０のいずれか一項に記載のデータ管理システム。
13. 提供先に提供されるデータに添付される、もしくは含まれる、データ管理のための消滅プログラムであって、
    前記データを消滅させるための所定の条件を保管し、
    前記データを提供された端末装置における前記データについての情報が、前記所定の条件に合致するか否かを判別し、その判別結果に基づいて当該データを消滅させる機能
    を前記端末装置としてのコンピュータに実行させることを特徴とするデータ管理のための消滅プログラム。

Images