JP2007233818A - 電子フォーム、並びに電子文書生成装置、プログラム及び方法 - Google Patents

Abstract

【課題】ひな形となる電子文書から新たな電子文書を生成するにあたり、電子文書中の複数のフィールドに代入された値に対するセキュリティ保護設定を容易化する。
【解決手段】フォームの各フィールドに値を代入して電子文書を作成する（Ｓ２１０，Ｓ２１２）。このとき、各フィールドが、セキュリティ保護の設定がなされたフィールドであるか否かが調べられ（Ｓ２１４）、保護設定されたフィールドに対しては、閲覧権限をもつユーザの公開鍵によって暗号化が行われるとともに、暗号化についての情報がメタデータとして埋め込まれる（Ｓ２１８，Ｓ２２０）。
【選択図】図５

Description

本発明は、電子文書を作成するための技術、特に、作成する電子文書のセキュリティを確保するための技術に関する。

下記特許文献１には、電子帳票に関するセキュリティ技術が開示されている。この技術では、電子帳票のフォームの各フィールドに対するアクセス制御パラメータをフォームに付加することで、フォームに対する不正な入力を防止している。しかしながら、この技術は、電子帳票の生成過程におけるセキュリティ向上をめざしたものにすぎず、フォームから電子帳票が生成された後におけるアクセス制御を意図したものではない。

下記特許文献２に記載された技術では、文書サーバ等から取得した電子文書のフィールド毎のセキュリティレベルが、ディレクトリサービス等から取得される。そして、取得したセキュリティレベルを、ユーザのセキュリティレベルと比較して、フィールドのユーザ開示の可否を判定し、開示不可とされたフィールドについては、伏せ字等の編集を行って印刷する技術が開示されている。しかし、この技術では、フィールドに対するセキュリティをレベル設定により行っているため、個々のユーザに対するセキュリティ設定が困難となる。例えば、１０万人のユーザのうちの２０人分の個人情報が含まれている電子文書を作成し、各個人情報を他のユーザに見せないようにするためには、２０のレベルではなく、１０万のレベルを設定しなければならない。

一方、ユーザの操作権限（読み込み、書き込み、コピー、印刷など）を記したセキュリティポリシを用いて、電子文書を管理する技術が知られている。図１２は、この技術の概略を説明する図であり、電子文書を作成する電子文書生成者２００、セキュリティポリシを管理するポリシ管理サーバ２０２、作成された電子文書を利用する電子文書利用者２０４、およびユーザ認証を行うユーザ認証サーバ２０６の間で行われる処理の様子を示している。

電子文書生成者２００は、まず、新たな電子文書２０８を生成する（Ｓ５００）。そして、この電子文書２０８に付与するセキュリティポリシを、ポリシ管理サーバ２０２に登録されているセキュリティポリシの中から選択するか、新たに作成し、生成した電子文書２０８と対応づけてポリシ管理サーバ２０２に登録する（Ｓ５０２）。生成した電子文書２０８は、電子文書利用者２０４に対し、電子メールによる送信や、ダウンロードなどの手段によって、配布される（Ｓ５０４）。ただし、配布される電子文書２１０は、ポリシ管理サーバ２０２に登録されたセキュリティポリシと対応づけられているため、アクセス制限のための「鍵」がかけられた状態となっている。電子文書利用者２０４が、配布された電子文書２１０にアクセスする際には、まず、ユーザ認証サーバ２０６でユーザ認証が行われ（Ｓ５０６）、ついで、ポリシ管理サーバ２０２への問い合わせによって、操作権限が確かめられる（Ｓ５０８）。これにより、所定の権限がある場合に限り、電子文書利用者２０４は、電子文書２１０を利用することが可能となる。

この技術では、電子文書とセキュリティポリシとが別管理されるため、電子文書の配布後においても、管理者の側でセキュリティポリシを変更することができる。すなわち、いつ、だれが、どの電子文書に、何をしうるかについて管理することが可能となる。しかし、この技術では、電子文書の生成時にユーザがセキュリティポリシを設定する必要があるため、適切なセキュリティポリシが設定されない虞があり、また、特に大量の電子文書を生成する場合にユーザ負担が増大する問題もある。

特開２０００−３０６０２６号公報 特開２００１−３２５２４９号公報

本発明の目的は、ひな形となる電子文書から新たな電子文書を生成するにあたり、電子文書中の複数のフィールドに代入された値に対するセキュリティ保護設定を容易化する技術を確立することにある。

本発明の別の目的は、電子文書中に多数のユーザの秘密管理されるべき情報が含まれる場合に、そのセキュリティ保護設定を容易化することにある。

本発明の電子フォームは、作成される電子文書の書式を定めた電子フォームであって、値を代入することのできる一つまたは複数の可変フィールドと、可変フィールドに代入された値に対するユーザの操作権限を定めた権限情報と、を含む。

電子フォームは、書式を定義する電子データである。言い換えれば、電子フォームは、電子文書を作成する際のひな形となる原電子文書であり、書式データ、フォームデータ、フォームなどと呼ばれる場合もある。ここで、電子文書とは、電子データによって表現された文書である。また、文書とは、書類一般を広く指し、文字からなる書類はもとより、表あるいは画像からなる書類も含まれる。電子フォームにより定められる書式は、特に限定されるものではなく、文書の文言、表組み、レイアウトなど様々なものが対象となる。

可変フィールドは、電子フォームに一つまたは複数設けられる領域であり、ここには個別の電子文書を生成する際に値が代入される。可変フィールド代入される値は、文字（例えば、氏名、住所、商品名、ＵＲＬ）や数値（例えば、日付、数量、値段）はもちろんのこと、画像（例えば、顔写真、商品の写真）や音声データなどであってもよい。なお、電子フォームには、通常、可変フィールドの他に、固定フィールドとでも呼ぶべき領域が設けられる。固定フィールドは、作成する電子文書に共通して設定されるべき文字やレイアウトなどの書式が設定されたものである。

権限情報は、電子文書の作成により可変フィールドに代入された値に対する操作権限を管理する情報である。操作権限とは、その値に対してユーザ（ユーザグループも含む）が行う処理の可否を定める情報をいい、具体的には、その値の読み込み（参照や表示）、書き換え（変更）、電子的コピー、紙媒体への印刷、外部装置や外部ユーザへの送信などに関する権限を例示することができる。なかでも読み込みは、様々な操作を行う上での基本的な処理であり、読み込み権限を管理する利点は大きい。なお、権限情報は、電子フォームのメタデータなどの形式で、電子フォーム中に設定される。

この電子フォームを用いた場合には、電子文書の作成にあたって、可変フィールドに代入した値のセキュリティ保護を簡易に行うことが可能となる。すなわち、可変フィールドに設定された権限情報に基づいて、作成した電子文書の可変フィールドに対する操作権限を設定することで、適切なセキュリティ設定を行えるようになる。

本発明の電子文書生成装置は、前記電子フォームの可変フィールドに値を代入する代入手段と、可変フィールドに代入された値に対し、前記権限情報に基づいて、権限を持たないユーザによる操作を防止する処理を施す防止処理手段と、を備え、これにより電子フォームに基づく新たな電子文書を作成する。

電子文書生成装置は、ワークステーション、ＰＣ、複合機（プリンタなどの複数の画像処理機能を備えた装置）などの演算機能を備えたハードウエアと、その動作を規定するソフトウエアとを用いて構築することができる。この電子文書精製装置は、物理的に分離した複数のハードウエアにより構成されるものであってもよい。代入手段は、作成する電子文書に応じた値を可変フィールドに代入する手段である。また、防止処理手段は、可変フィールドに代入された値に対するセキュリティ設定を行う手段である。具体的には、電子フォームにおいて可変フィールドに設定されていた権限情報に基づいて、権限を持たないユーザによる操作を防止する処理を施す。この操作防止処理は、暗号化やデジタル署名等の方式により行うことができる。例えば、暗号化を行う場合には、権限をもつユーザの公開鍵を使用したり、権限をもつユーザのみが取得可能なパスワードを使用したりして行えばよい。この場合、暗号化は、典型的には可変フィールド内の値のみに対して行われるが、例えば、その値が代入された可変フィールド自体に対して行われてもよい。また、操作防止処理は、典型的には可変フィールドを単位として行われるが、複数の可変フィールドにおいて操作権限をもつユーザが共通する場合には、これらの可変フィールに対してまとめて行われてもよい。この電子文書生成装置を用いることで、電子フォームの可変フィールドに設定された操作情報を反映した電子文書を、容易に生成することが可能となる。特に、多くの可変フィールドを含む場合に、この利点は大きなものとなる。

本発明の電子文書生成装置の一態様においては、前記電子フォームと対応づけられこの電子フォーム自体に対する操作権限を定めたセキュリティポリシ情報に基づいて、生成した電子文書自体に対する操作権限を定めるセキュリティポリシ情報を、この電子文書と対応づけてこの電子文書とは別に設定する設定部を備える。セキュリティポリシ情報とは、対応する電子文書自体に対する操作権限を設定した情報である。操作権限の例としては、読み込み、書き込み、コピー、印刷などの電子文書の直接操作にかかる権限や、印刷した文書をスキャンする権限、さらにはセキュリティポリシ情報を変更する権限などを挙げることができる。セキュリティポリシ情報は、電子フォームにかかるセキュリティポリシ情報に基づいて設定される。すなわち、設定されるセキュリティポリシ情報の少なくとも一部は、電子フォームのセキュリティポリシ情報の少なくとも一部を反映させて作成される。設定されるセキュリティポリシ情報は、生成された電子文書と対応づけされ、さらにこの電子文書とは別に設定される。つまり、セキュリティポリシ情報は、電子文書とは一体化はされず、別途生成される。したがって、ポリシ管理サーバなどで別管理することが可能となる。

この構成によれば、新しい電子文書のセキュリティポリシ情報は、ひな形となった電子フォームのセキュリティポリシ情報に基づいて生成されるため、ユーザがセキュリティポリシ情報を設定する負担を軽減することができる。特に、多くの種類の電子フォームが生成される場合に、この利点は大きなものとなる。また、このセキュリティポリシ情報は、生成する電子文書とは別に管理されるため、電子文書を配布した後にも、セキュリティポリシ情報の変更等が容易に行える。

なお、電子フォームにかかるセキュリティポリシに基づいて、生成した電子文書自体に対するセキュリティポリシ情報を設定する態様としては、電子フォームに対するセキュリティポリシ情報の一部または全部をコピーする態様や、電子フォームに対するセキュリティポリシ情報の一部または全部を継承させる態様を例示できる。ここで、継承とは、オブジェクト指向プログラミングで用いられる概念と同様の概念をいう。すなわち、原電子文書のセキュリティポリシ情報の一部または全部を基底クラスとみなし、生成する電子文書のセキュリティポリシ情報は、基底クラスを参照した派生クラスとして設定される。これにより、原電子文書のセキュリティポリシ情報が、生成する電子文書のセキュリティポリシ情報として、そのまま取り込まれる。生成する電子文書のセキュリティポリシ情報に対しては、必要に応じて、原電子文書のセキュリティポリシ情報に付加する情報や変更する情報を設定してもよい。なお、継承の設定は、様々に行うことができる。一例としては、新たな電子文書のセキュリティポリシ内で、原電子文書のセキュリティポリシを参照する態様が挙げられる。また、別の例としては、新たな電子文書に原電子文書の識別情報を記憶させることで、新たな電子文書と原電子文書のセキュリティポリシとを直接的に対応づける態様が挙げられる。継承を行った場合には、原電子文書のセキュリティポリシ情報とひもづけされるため、原電子文書のセキュリティポリシ情報の変更が、即座に、電子文書のセキュリティポリシ情報に反映されることとなる。したがって、元電子文書から生成された各種の電子文書を、一斉に無効化するような操作も容易に行えるようになる。

図１は、本実施の形態にかかる電子文書管理システム１０の概略構成を説明する図である。この電子文書管理システム１０は、クライアント１２、処理サーバ１４、ディレクトリサービス１６、ポリシ管理サーバ１８、ユーザ認証サーバ２０、データベース２２、画像形成装置２４、及びリポジトリ２６を含んでいる。

クライアント１２は、ユーザが使用する端末装置である。クライアント１２は、ユーザの指示に基づいて処理サーバ１４に対しリクエストを発行し、オンデマンドで電子文書の生成、保存、印刷などを行わせる。クライアント１２は、ＰＣ（パーソナルコンピュータ）や複合機（プリンタ機能やスキャナ機能などの複数の画像処理機能を備えた装置）の他、ネットワークに接続された様々な装置によっても構成されうる。

処理サーバ１４は、当該システムの制御と処理の中心をなす装置であり、ＰＣや画像形成装置などを用いて構築される。処理サーバ１４は、クライアント１２から入力されるリクエストを実行するため、本システムの各構成要素に処理を行わせたり、自らも電子文書を生成したりする。例えば、処理サーバ１４は、リポジトリ２６から取得したフォーム２８とデータベース２２から検索した情報とを組み合わせて電子文書の作成を行う。また、生成した電子文書のクライアント１２への送信、画像形成装置２４での印刷、あるいはリポジトリ２６への保存なども行う。なお、こうした処理過程では、ユーザ認証サーバ２０にアクセスしてユーザ認証を行うとともに、ポリシ管理サーバ１８にアクセスして電子文書のセキュリティポリシの登録や確認を行ったり、ディレクトリサービス１６にアクセスして電子文書の各フィールドに対する暗号化や復号化などを行ったりして、必要なセキュリティを確保している。

ディレクトリサービス１６は、ＬＤＡＰなどによりユーザ情報を管理するサーバによって構成され、問い合わせに応じて、その情報を提示するサービスを行うものである。管理するユーザ情報としては、氏名、所属、連絡先などの一般情報の他、公開鍵暗号方式に基づく公開鍵情報（証明書情報）などを挙げることができる。

ポリシ管理サーバ１８は、電子文書に対応づけられたセキュリティポリシを格納する装置である。また、ユーザ認証サーバ２０は、当該システムにアクセスするユーザを、公開鍵暗号方式などの認証システムに基づいて認証するためのサーバである。そして、データベース２２には、文字、数値、イメージ、サウンドなどの各種データが格納される。

画像形成装置２４は、プリンタや複合機などからなる装置であり、処理サーバ１４からの指示に基づいて電子文書の印刷を行う。また、リポジトリ２６は、ユーザのリクエストによって作成された電子文書を格納したり、電子文書を作成する際のひな形データであるフォーム２８を格納したりする。

図２は、処理サーバ１４の構成例を説明する図である。処理サーバ１４には、内部および外部とのデータ転送を行うネットワーク４０が設けられている。そして、ネットワーク４０には、記憶装置４２、表示装置４４、入力装置４６、システム制御部４８、ネットワーク制御部５０及び電子文書作成部５２が接続されている。

記憶装置４２は、半導体メモリやハードディスクなどからなる装置であり、電子文書やプログラムなどの短・長期的な記憶を行う。表示装置４４は液晶ディスプレイやＣＲＴなどからなり、電子文書や指示内容などの表示を行う。また、入力装置４６はキーボードやタッチパネルなどからなり、ユーザからの指示を受け付ける。入力装置４６は、図１に示したクライアントを兼ねるものであっても良い。システム制御部４８は、入力装置４６あるいはネットワーク４０を通じてユーザから入力される指示を受け付けて、処理サーバ１４の各構成要素の動作を制御する。そして、ネットワーク制御部５０は、ネットワーク４０へのデータ転送タイミングなどを制御する。電子文書作成部５２は、図１に示したフォーム２８を利用して新たな電子文書を生成するものである。電子文書の生成にあたっては、必要なセキュリティ設定が行われる。なお、処理サーバ１４は、生成した電子文書が後に他のユーザに読み込まれる場合などにおいて、セキュリティ設定に基づく操作制御を行う機能なども備える。

図１と図２に示した電子文書管理システム１０の各構成要素は、様々に実装することができる。例えば、一台の高性能な複合機を用いて、電子文書管理システム１０を構築することが可能であるし、直接接続あるいはネットワーク接続されたＰＣや複合機などを用いて、電子文書管理システム１０を構築することもできる。また、例えば、リポジトリ２６を複数の装置の記憶装置に分散配置するなど、任意の構成要素を複数の装置に分散させることも可能である。

次に、図３乃至図６を用いて、図１に示した電子文書管理システム１０の動作について説明する。電子文書管理システム１０は、フォームに基づいて、新たな電子文書を作成する電子文書生成装置として機能する他、生成した新たな電子文書へのアクセスを管理する電子文書管理装置としても機能する。以下では、図３乃至図５を用いて電子文書の生成過程について説明し、図６を用いて電子文書の管理過程について説明する。

図３は、電子文書管理システム１０において、フォームに基づいて電子文書を生成する過程を説明するシーケンス図である。ここでは、クライアント１２、処理サーバ１４、ユーザ認証サーバ２０、ポリシ管理サーバ１８及びデータベース２２、及びディレクトリサービス１６にわけて、処理の過程を図示している。

クライアント１２は、処理サーバ１４にアクセスするにあたり、ユーザ認証を受ける（Ｓ１０）。具体的には、まず、クライアント１２から処理サーバ１４にユーザ名等が送られ、処理サーバ１４からユーザ認証サーバ２０に認証の請求がなされる。ユーザ認証サーバ２０では、認証の確認を行い、その結果や関連するユーザ情報を処理サーバ１４に返す（Ｓ１２）。続いて、電子文書の作成作業が開始され、クライアント１２から処理サーバ１４に対して、選択するフォームの情報が送られる（Ｓ１４）。処理サーバ１４では、このフォームをリポジトリから取り出し（Ｓ１６）、ポリシ管理サーバ１８に対して、このユーザがこのフォームに基づいて新たな電子文書を作成する権限があるか否かを問い合わせる（Ｓ１８）。ポリシ管理サーバ１８では、格納したセキュリティポリシに基づいて権限を調査し、権限がある場合には、その旨を回答するとともに、電子文書に設定された鍵（例えば、パスワード設定や暗号化によって実現される）を解くデータ等を送信する。

続いて、クライアント１２から処理サーバ１４に対し、フォームの各フィールドに値を代入するための条件が入力される（Ｓ２０）。処理サーバ１４では、入力された条件に基づいて、データベース２２からデータを抽出し、その結果を選択されたフォームの各フィールドに代入して、電子文書を作成する（Ｓ２２）。また、作成された電子文書の各フィールドを閲覧することのできるユーザが元のフォームに対して設定されていた場合には、ディレクトリサービス１６からそのユーザの公開鍵を取得して、代入した値の暗号化を行う（Ｓ２２）。そして、処理サーバ１４は、作成した電子文書に対し、識別情報を埋め込むとともに、元のフォームに設定されていたセキュリティポリシを継承したセキュリティポリシをこの識別情報の名の下に作成し、ポリシ管理サーバ１８に設定する（Ｓ２４）。すなわち、作成した電子文書に設定されたセキュリティポリシは、ひな形となったフォームのセキュリティポリシを参照し、その内容を自らの中に取り込むように設定される。また、必要に応じて、このセキュリティポリシに対応したセキュリティを確保するための鍵を、電子文書全体に設定する。こうして、元のフォームと同じ内容をもつセキュリティポリシが設定された電子文書が作成され、クライアント１２に出力される（Ｓ２６）。もちろん、この電子文書は、電子メールで第三者に送信されてもよいし、リポジトリに保存されたり、画像形成装置で印刷されたりしてもよい。

ここで、図４のフローチャートを用いて、図３に示した過程におけるユーザ指示の流れを確認する。ユーザは、クライアント１２を通じて、処理サーバ１４に対し電子文書の作成依頼を行い（Ｓ１００）、用意されたフォームの中から所望のフォームを選択する（Ｓ１０２）。そして、フォームのフィールドに対し、データを直接入力するか、あるいはデータベースに基づいて入力するための諸条件を設定する（Ｓ１０４）。この結果、電子文書が生成され、さらに、選択したフォームのセキュリティポリシを継承したセキュリティポリシがこの電子文書に設定される。また、フォームのフィールドに対し、代入したデータに対するセキュリティ設定が規定されていた場合には、自動的に対応する暗号化や電子署名などの処理が行われる。これらについては、ユーザは特に指示を行う必要はない。続いて、生成された電子文書に対し、ユーザがなんらかの処理を行う場合には、その旨の指示が処理サーバ１４になされる（Ｓ１０６）。例えば、電子文書を印刷したい場合には、印刷指示設定を行い、送信先の画像形成装置を指定して処理サーバに依頼する。また、リポジトリに保存したい場合には保存先リポジトリを選択し、メールで送信を行う場合には送信先アドレスを指定して、それぞれ処理サーバに依頼する。

図５のフローチャートは、図３に示した過程におけるシステム側の処理の流れを示している。電子文書作成処理では（Ｓ２００）、まず、ユーザ認証サーバ２０においてユーザ認証が行われ（Ｓ２０２，Ｓ２０４）、認証できない場合には処理を終了し（Ｓ２３０）、認証できた場合には、ユーザに使用するフォームを選択させる（Ｓ２０６）。フォームが選択されると、ポリシ管理サーバ１８に登録されたセキュリティポリシに基づいて、そのユーザに使用権限があるか否か検証され（Ｓ２０８）、権限がない場合には処理を終了し（Ｓ２３０）、ある場合にはフォームの各フィールドへのデータ入力条件をユーザに設定させる（Ｓ２１０）。そして、データベース２２から、この条件と一致するデータを取得してフィールドに代入する（Ｓ２１２）。続いて、フォームの各フィールドが保護フィールドであるか、すなわち、入力したデータに対する保護を行うべきフィールドであるか否かが、フォームのメタデータに基づいて検証される（Ｓ２１４）。保護設定がなされている場合には、そのフィールドを暗号化する鍵の設定を行う（Ｓ２１６）。具体的には、閲覧許可がなされたユーザ（targetと呼ぶ）の情報をディレクトリサービス１６に送信し、このユーザの公開鍵を取り寄せる（Ｓ２１８）。そして、この公開鍵を用いてフィールドを暗号化するとともに、公開鍵をメタ情報として電子文書に埋め込む（Ｓ２２０）。閲覧許可がなされたユーザがまだある場合には、ステップＳ２１８，Ｓ２２０の操作を繰り返す。

続いて、作成した電子文書のセキュリティポリシがポリシ管理サーバ１８に登録される（Ｓ２２４）。登録されるセキュリティポリシとしては、通常、フォームに設定されたセキュリティポリシと同じものが用いられる。登録にあたっては、電子文書にはセキュリティポリシと対応づけられるための識別情報がメタデータとして保存され、登録されるセキュリティポリシにもこの識別情報が明記される。これにより、電子文書とセキュリティポリシとが相互に対応づけられることとなる。また、電子文書には、必要に応じてセキュリティの実効を確保するための暗号化がなされる。さらに、電子文書に対しては、元のフォームを識別するフォームＩＤがメタデータとして保存される（Ｓ２２６）。これは、このフォームＩＤに対応したセキュリティポリシを参照し、その内容を継承するための有効な手段の一つである。もちろん、電子文書にフォームＩＤを設定する代わりに、登録したセキュリティポリシにおいて、フォームのセキュリティポリシを参照し、その内容を継承する仕組みを設定してもよい。最後に、ユーザに指示に従い電子文書の配信等が行われる（Ｓ２２８）。

図６のフローチャートは、作成された電子文書を利用する場合の処理について説明するフローチャートである。電子文書に対するアクセスがなされる場合（Ｓ３００）、まず、ユーザ認証サーバ２０によるユーザ認証が行われる（Ｓ３０２，Ｓ３０４）。その結果、認証に失敗した場合には処理を終了し（Ｓ３１８）、認証に成功した場合には、ポリシ管理サーバ１８に対し、この電子文書についてのユーザ権限を確認する（Ｓ３０６）。具体的には、ポリシ管理サーバ１８では、電子文書に埋め込まれた識別情報に対応するセキュリティポリシを調べ、このユーザにこれから行う利用形態に対応した操作権限があるか否かを確認する（Ｓ３０８）。そして、権限がある場合には、電子文書の生成に用いられたフォームのセキュリティポリシを継承する設定となっているか否かが検査される（Ｓ３１０）。継承する場合には、電子文書のメタデータとして保存されているフォームＩＤを取り出して、ポリシ管理サーバに対応するフォームＩＤのセキュリティポリシがあるか確認する（Ｓ３１２）。フォームＩＤに対応するセキュリティポリシがある場合には、このセキュリティポリシの操作権限に従って電子文書へのアクセス（読み込みなど）が行われる（Ｓ３１４）。

アクセスにあたっては、電子文書のメタデータによって、各フィールドの暗号化の状況が確認される。そして、暗号化されたフィールドがあった場合には、メタデータから鍵情報などを取り出して解読し、対応する公開鍵による復号化などの処理を行う。また、暗号化されたフィールドを復号できない場合には、そのフィールドはアクセスできないものとして処理される（Ｓ３１６）。

続いて、図７乃至図１１を用いて、電子文書の作成と閲覧の過程を具体的に説明する。

図７は、電子フォームの例を、印刷イメージで表現した図である。図示したフォーム１００は、従業員に自宅から会社までの交通経路を確認する「交通経路確認依頼書」の作成に用いられるひな形データである。このフォーム１００には、定型的な文章１０２及び表１０４が予め設定されている。そして、この文章１０２及び表１０４中には、電子文書作成にあたって、値が代入されるべき複数の可変フィールドが設けられている。具体的には、文章１０２内には、期日ＸＸＸＸを入力する期日欄１０６や宛先ＹＹＹＹＹＹを入力する宛先欄１０８、さらには、作成日ＡＡＡＡ、作成者の所属部門ＢＢＢＢ及び作成者ＣＣＣＣを入力する作成者記載欄１１０の各可変フィールドが設けられている。これらの可変フィールドには、作成の実体に対応した日付等が入力される。また、表１０４内には、従業員の「氏名」「住所」「生年月日」「性別」「最寄り駅」「経路」を示す記載欄１１２，１１４，１１６，．．．の可変フィールドが設けられている。会社の総務担当者は、この欄に対し、従業員の個人情報を登録したデータベース中の適当なデータを対応づけて値を代入し、「交通経路確認依頼書」を作成する。

作成された交通経路確認依頼書は、各従業員に配信され、入力されたデータが適当か否かの確認を受ける。しかし、表１０４内の各可変フィールドに入力されるデータは個人情報であり、第三者に対して公開しないようにすることが望ましい。このための一案としては、複数の従業員の欄を設けたデータではなく、その従業員の情報のみが入力された電子文書を配布する態様が考えられる。しかし、次に説明するセキュリティ設定を行うことで、各可変フィールドに入力された個人情報の保護を図ることが可能となる。

図８は、図７に示したフォーム１００の中に埋め込まれるメタデータ１２０の例を説明する図である。ここでは、メタデータ１２０は、フォーム１００の表１０４における各従業員用の記載欄１１２，１１４，１１６，．．．のそれぞれに対して設定されている。メタデータ１２０は、ＸＭＬなどのマークアップ言語によって実装されており、メタデータであることを示す「ｍｄ」を接頭語として記載されている。そして、メタデータ１２０においては、暗号化を指示する情報は、暗号化されるべきフィールドを示すタグ「ｍｄ：ＥｎｃｒｙｐｔＦｉｅｌｄ」内に記載される。具体的には、ここには、フィールドに代入される情報を閲覧できるユーザが「ｔａｒｇｅｔ」として設定されている。図８の例では、フィールドに情報が入力される従業員を示す「ｏｗｎｅｒ」と、電子文書を作成する総務部の管理者のユーザＩＤを示す「２１０１」とが、ｔａｒｇｅｔとして設定されている。

図９は、図８に示したメタデータ１２０等に基づいて、図７に示したフォーム１００の文章１０２と表１０４が暗号化される様子を模式的に示した図である。ここでは、表１０４の各記載欄１１２，１１４，１１６，．．．がそれぞれ二つの公開鍵で暗号化されている。具体的には、記載欄１１２は、図８に示したｏｗｎｅｒというｔａｒｇｅｔに対応して、この欄の記載対象者（例えば佐藤さん）の公開鍵１３０で暗号化されるとともに、この暗号化とは別に、２１０１というｔａｒｇｅｔに対応して、総務の担当者の公開鍵１３２で暗号化される。公開鍵１３０，１３２で暗号化された結果は、それぞれ対応する秘密鍵を有する佐藤さんと総務の担当者によってのみ復号化することができる。同様にして、記載欄１１２は、記載対象者の公開鍵１３４と総務の担当者の公開鍵１３２で別々に暗号化される。さらに、こうして暗号化された表１０４と、暗号化されない文章１０２は、電子文書全体に設定されるセキュリティポリシに従い、鍵１４０によって暗号化されている。この鍵１４０は、例えば、この会社の従業員にのみ知らされたパスワードでもよいし、適当な公開鍵であってもよい。

図１０は、図９に示した暗号化の後に、作成された電子文書に埋め込まれるメタデータ１５０の例を示している。このメタデータ１５０は、図８に示したメタデータ１２０に対応して、記載欄１１２，１１４，１１６，．．．の各可変フィールドに設定されるものである。ここでは、「ＴａｒｇｅｔＵｓｅｒｓ」というタグで囲まれた中に、「ＵｓｅｒＩＤ」が３００１、「Ｋｅｙ」がＤＤＤＤであるとの記載と、「ＵｓｅｒＩＤ」が２１０１、「Ｋｅｙ」がＥＥＥＥであるとの記載がなされている。すなわち、メタデータ１２０におけるｏｗｎｅｒのｔａｒｇｅｔに対応して、佐藤さんのユーザＩＤである３００１とその公開鍵１３０であるＤＤＤＤが書き込まれ、メタデータ１２０における２１０１のｔａｒｇｅｔに対応して、総務の担当者のユーザＩＤである２１０１とその公開鍵１３２であるＥＥＥＥが書き込まれている。このメタデータ１５０を調べることにより、後に電子文書にアクセスするユーザは、各可変フィールドが暗号化されているか、誰が閲覧権限を有するかを把握することができる。

図１１は、図７に示したフォーム１００に対する値の代入と暗号化を経て作成された電子文書１６０を、従業員の一人である佐藤さんが閲覧した場合のイメージ図である。電子文書１６０は、フォーム１００と同様に、文章１０２と表１０４を含んでいる。ただし、文章１０２においては、「２００５／６／３０」なる期日１６２、「soumu@foo.var」なる宛先１６４、「２００５／６／１ 総務部 山田太郎」なる作成者記載１６６がなされている。そして、これらのフィールドでは、暗号化による保護がなされていないため、その値が表示されている。

表１０４においては、欄１６８のみが表示され、他の欄は黒塗りされている。これは、閲覧者の佐藤さんが欄１６８のｏｗｎｅｒであり、この欄１６８を復号化できた一方、こ他の欄については閲覧権限がなく、復号化できなかったことによる。この表示により、佐藤さんは自身の交通経路を確認でき、また必要に応じてその変更をすることもできる。そして、佐藤さんに対しては他の従業員の個人情報が秘密にされる。さらに、佐藤さんが電子文書を印刷したり、ファイル転送した場合にも、暗号を復号化できない点に代わりはなく、他の従業員の個人情報が漏れることはない。なお、この交通経路確認依頼書が、総務の担当者によって読み込み、印刷、転送などされた場合には、その秘密鍵によって全員の情報が復号されることとなる。

以上においては、交通経路確認依頼書を例に挙げて、住所等の個人情報を保護するための設定を説明した。この例のように、複数の人物や組織の秘密情報が記載された電子文書に対しては、可変フィールド毎に操作権限を設定し、秘密情報のセキュリティを確保する上記態様が有効となる。また、この態様は、病院におけるカルテのように、ある人物や組織の秘密情報を複数の者に段階的に公開する場合にも有効である。例えばカルテの場合には、医師や看護士に対しては全てのフィールドが閲覧可能に設定され、会計事務員に対しては病名等のフィールドが閲覧不可能に設定され、第三者に対しては全フィールドが閲覧不可能に設定されるというように操作権限を設定すればよい。

電子文書管理システムの構成例の概略を示す図である。 処理サーバの構成例の概略を示す図である。 電子文書管理システムの動作例を示すシーケンス図である。 電子文書作成過程でのユーザ操作を説明するフローチャートである。 電子文書作成過程でのシステムの処理を説明するフローチャートである。 電子文書閲覧過程でのシステムの処理を説明するフローチャートである。 フォームの例を示す図である。 フォームに埋め込まれたメタデータの例を示す図である。 フォームから電子文書を作成する際の暗号化処理例を示す図である。 電子文書に埋め込まれたメタデータの例を示す図である。 電子文書を閲覧する場合の表示例を示す図である。 ポリシ管理サーバの役割の一例を説明する図である。

符号の説明

１０ 電子文書管理システム、１２ クライアント、１４ 処理サーバ、１６ ディレクトリサービス、１８ ポリシ管理サーバ、２０ ユーザ認証サーバ、２２ データベース、２４ 画像形成装置、２６ リポジトリ、２８ フォーム、４０ ネットワーク、４２ 記憶装置、４４ 表示装置、４６ 入力装置、４８ システム制御部、５０ ネットワーク制御部、５２ 電子文書作成部、１００ フォーム、１０２ 文章、１０４ 表、１０６ 期日欄、１０８ 宛先欄、１１０ 作成者記載欄、１１２，１１４，１１６， 記載欄、１２０，１５０ メタデータ、１３０，１３２，１３４ 公開鍵、１４０ 鍵、１６０ 電子文書、１６２ 期日、１６４ 宛先、１６６ 作成者記載、１６８ 欄。

Claims (5)

1. 作成される電子文書の書式を定めた電子フォームであって、
   値を代入することのできる一つまたは複数の可変フィールドと、
   可変フィールドに代入された値に対するユーザの操作権限を定めた権限情報と、
   を含む、ことを特徴とする電子フォーム。
2. 請求項１に記載の電子フォームの可変フィールドに値を代入する代入手段と、
   可変フィールドに代入された値に対し、前記権限情報に基づいて、権限を持たないユーザによる操作を防止する処理を施す防止処理手段と、
   を備え、
   これにより電子フォームに基づく新たな電子文書を作成する、ことを特徴とする電子文書生成装置。
3. 請求項２に記載の電子文書生成装置において、
   前記電子フォームと対応づけられこの電子フォーム自体に対する操作権限を定めたセキュリティポリシ情報に基づいて、生成した電子文書自体に対する操作権限を定めるセキュリティポリシ情報を、この電子文書と対応づけてこの電子文書とは別に設定する設定部を備える、ことを特徴とする電子文書生成装置。
4. コンピュータに対し、
   請求項１に記載の電子フォームの可変フィールドに値を代入する代入手順と、
   可変フィールドに代入された値に対し、前記権限情報に基づいて、権限を持たないユーザによる操作を防止する処理を施す防止処理手順と、
   を実行させ、
   これにより電子フォームに基づく新たな電子文書を作成させる、ことを特徴とする電子文書生成プログラム。
5. コンピュータが実行する方法であって、
   請求項１に記載の電子フォームの可変フィールドに値を代入する代入ステップと、
   可変フィールドに代入された値に対し、前記権限情報に基づいて、権限を持たないユーザによる操作を防止する処理を施す防止処理ステップと、
   を含み、
   これにより電子フォームに基づく新たな電子文書を作成する、ことを特徴とする電子文書生成方法。

Images