JP2008217604A - 情報管理システム、情報管理システムにおける情報アクセス管理装置及び情報アクセス管理装置に用いられるコンピュータプログラム - Google Patents

Abstract

【課題】データへのアクセス制御を、利用者及び複数の場所に応じて管理する情報管理システム及び情報アクセス管理装置を提供する。
【解決手段】情報アクセス管理装置８が、端末装置１から利用者情報と端末装置１の位置情報とを受信する受信手段２０と、利用者情報に基いて端末装置１の利用者のアクセス権限情報を出力する利用者調査手段３１と、位置情報に基いて端末装置１のアクセス環境情報を出力するアクセス環境調査手段３０と、アクセス権限情報とアクセス環境情報とを含みデータ記憶手段１８に記憶した情報へアクセスするための条件を記憶したセキュリティポリシ記憶手段１９と、アクセス権限情報とアクセス環境情報とを上記条件と比較して端末装置１の利用者のアクセス権限を決定し、この条件に従って情報へのアクセスを制御する情報アクセス制御手段とを備える。
【選択図】図１

Description

本発明は、例えば文書管理システム及び情報アクセス制御技術に用いて好適な情報管理システム、情報管理システムにおける情報アクセス管理装置及び情報アクセス管理装置に用いられるコンピュータプログラムに関する。

店舗やオフィス等の企業内では、正規従業員、一時従業員、パートタイム従業員やアルバイト、及び協力社外関係者の従業員が勤務しており、商品の価格や在庫状況等の経営情報や、顧客や従業員の個人データは、企業内に設けられた端末装置を用いてさまざまな種別の従業員によって閲覧される。企業内の場所によって、取り扱い可能なデータの種別は異なる。例えば個人データは、企業内の決められた領域にある端末装置により閲覧されるべきものであり、このデータは、同じ企業内であっても、すべての従業員が出入り自由なスペースに設けられた端末装置により閲覧されるべきものではない。個人データなどにアクセス可能な広範な権限を有する従業員にとっても、そのデータを閲覧してよい場所と閲覧すべきでない場所とがある。すなわち、データへのアクセス権限は、従業員の種別と場所とによって異なり、場所によって取り扱い可能なデータの種類は異なるようにする必要がある。

近年、不正を防止し、かつパートタイム従業員らに対して、それぞれのモチベーションを向上させるために、各パートタイム従業員に何らかの権限を与える管理手法が導入されている。例えば、パートタイム従業員に対して、出社する日時、勤務場所に応じて、顧客データへのアクセスなどの管理権限を付与することにより、正社員と同じく活躍の場を広げてもらおうというのである。

従来の情報管理システムは、管理するデータに対してアクセスの認証条件を付与しており、利用者ＩＤとパスワードとを利用したものが多い。また、パスワードの代わりとして生体情報を利用したものなどが出てきているが、これらのほとんどは、本人あるいはパスワードなどを知っている正規の利用者がデータを閲覧でき、そうでない者はデータを閲覧できないようにされているだけである。しかし、外出先や不特定多数の人がいる場所でのアクセスのように、利用者本人が不正な場所や安全性の低い場所でデータにアクセスするような状況へは対応できない。

これに対応する技術としては、不適切な場所からの管理文書へのアクセスの防止や、認証条件の簡便な設定を可能とする文書管理システムが提案されている（特許文献１参照）。特許文献１記載の文書管理システムは、ＧＰＳなどの位置情報取得の手段によって文書利用者の位置を測定し、その位置情報から利用者自身の場所を推測する。
特開２００６−１９５８８４号公報（図１）

しかしながら、今現在、一つの企業内環境においても、正規社員、一時社員、及び協力社外社員などが複雑に入り込んで勤務しており、データの機密レベルは企業内でも複数設定される必要がある。この機密レベルは、例えばフロア毎に設定されることも必要である。機密データにアクセスする権限があっても、その機密データを取り扱う場所などは、企業内において特定された場所であるべきであるが、特許文献１では社外環境において情報漏えいを防止することに主眼が置かれているため、機密データを取り扱う場所を細かく複数設定することは、特許文献１記載の文書管理方法では対処することができない。

また、企業内の業務を効果的かつ効率よく実施するために、一時的にデータに対する権限を昇格させて取り扱わせることも行われる。業務の実施のためには、遠隔会議などにより遠隔者が作成したデータに対して変更や修正をすることなどもある。この場合、重要なデータは閲覧のみであり編集はできないので業務効率が低下する。また、データヘアクセスする権限を有する者が、長期不在である場合はデータが必要になったときに、その権限を有する者以外の者がそのデータへまったくアクセスできなくなる。

そこで、本発明は、上記の課題に鑑み、データへのアクセス制御を、利用者及び複数の場所に応じて管理することが可能な情報管理システム、情報管理システムにおける情報アクセス管理装置及び情報アクセス管理装置に用いられるコンピュータプログラムを提供すること目的とする。

このような課題を解決するため、本発明の一態様によれば、端末装置と、この端末装置にネットワークを介して接続された情報アクセス管理装置とを備え、前記端末装置が、端末装置の利用者情報を出力する利用者情報出力手段と、端末装置の位置情報を出力する位置情報出力手段とを備え、前記情報アクセス管理装置が、情報を記憶するデータ記憶手段と、前記端末装置の利用者情報と位置情報を受信する受信手段と、前記利用者情報に基いて前記端末装置の利用者のアクセス権限情報を出力する利用者調査手段と、前記位置情報に基いて前記端末装置のアクセス環境情報を出力するアクセス環境調査手段と、少なくとも前記アクセス権限情報と前記アクセス環境情報とを含み前記データ記憶手段に記憶した情報へアクセスするための条件を記憶したセキュリティポリシ記憶手段と、前記アクセス権限情報と、前記アクセス環境情報とを、前記セキュリティポリシ記憶手段に記憶した前記条件と比較して前記端末装置の利用者のアクセス権限を決定し、前記条件に従って前記データ記憶手段に記憶した情報へのアクセスを制御する情報アクセス制御手段と、を備えたことを特徴とする情報管理システムが提供される。

また、本発明の別の一態様によれば、端末装置から利用者情報と、前記端末装置の位置情報とを受信する受信手段と、情報を記憶するデータ記憶手段と、前記利用者情報に基いて前記端末装置の利用者のアクセス権限情報を出力する利用者調査手段と、前記位置情報に基いて前記端末装置のアクセス環境情報を出力するアクセス環境調査手段と、少なくとも前記アクセス権限情報と前記アクセス環境情報とを含み前記データ記憶手段に記憶した情報へアクセスするための条件を記憶したセキュリティポリシ記憶手段と、前記アクセス権限情報と、前記アクセス環境情報とを、前記セキュリティポリシ記憶手段に記憶した前記条件と比較して前記端末装置の利用者のアクセス権限を決定し、前記条件に従って前記データ記憶手段に記憶した情報へのアクセスを制御する情報アクセス制御手段と、を備えたことを特徴とする情報アクセス管理装置が提供される。

また、本発明の別の一態様によれば、端末装置と、この端末装置にネットワークを介して接続された情報アクセス管理装置とを備えた情報管理システムに用いられる前記情報アクセス管理装置におけるコンピュータプログラムであって、コンピュータに、端末装置から利用者情報と、前記端末装置の位置情報とを受信するステップと、前記利用者情報に基いて前記端末装置の利用者のアクセス権限情報を出力するステップと、前記位置情報に基いて前記端末装置のアクセス環境情報を出力するステップと、少なくとも前記アクセス権限情報と前記アクセス環境情報とを含むデータ記憶手段に記憶された情報へアクセスするための条件を生成するステップと、前記アクセス権限情報と、前記アクセス環境情報とを、生成した前記条件と比較することにより前記端末装置の利用者のアクセス権限を決定するステップと、前記条件に従って前記データ記憶手段に記憶した情報へのアクセスを制御するステップと、を実行させることを特徴とするコンピュータプログラムが提供される。

本発明によれば、データへのアクセス制御を、利用者及び複数の場所に応じて管理することができる。

以下、本発明の実施の形態に係る情報管理システム、情報アクセス管理装置及びコンピュータプログラムについて、図１乃至図１５を参照しながら説明する。尚、各図において同一箇所については同一の符号を付すとともに、重複した説明は省略する。

（第１の実施形態）
図１は本発明の第１の実施形態に係る情報管理システムの構成図である。本実施形態に係る情報管理システムは管理するデータとして文書データを取扱い、利用者端末装置１と、この利用者端末装置１と同じ構成を有する利用者端末装置６と、これらの利用者端末装置１、６に接続されたネットワーク７と、このネットワーク７を介して利用者端末装置１、６との間で文書データの入出力のアクセス権限を制御する情報アクセス管理装置８と、を備えている。

利用者端末装置１は、情報アクセス管理装置８との間で文書データの出力の要求やアクセス権限の委譲の要求に関するデータを送受信する情報処理端末２と、利用者端末装置１の操作者が正規の利用者であることを認識する利用者認識部３と、利用者端末装置１の存在する位置情報を無線により取得する位置センサ部４と、利用者端末装置１に固有な情報を鍵情報として耐タンパ性を有するメモリ領域に保持するとともに、利用者端末装置１が正規の端末で安全であることを管理する鍵管理部５とを搭載している。

利用者認識部３には、ＩＣカードないしは無線タグ等のセキュリティチップやＲＦモジュールが用いられており、セキュリティチップと利用者自身に付けられた無線タグとによって、利用者端末装置１及び利用者が対にされている。利用者が端末の近くにいる場合には、利用者認識部３から送信された利用者認識信号を、利用者自身に付けられた無線タグが受信すると、無線タグから返信信号が送信され、この返信信号を利用者認識部３が受信することにより、利用者が予め設定された正規な利用者かどうかを利用者認識部３は判断する。正規な利用者である場合は、その利用者はこの端末を操作することができ、利用者がこの端末から離れた場合には、利用者認識部３は、利用者自身に付けられた無線タグからの返信信号を受信することができなくなるため、端末に対するすべての操作がロックされ、端末の操作が使用不能にされる。利用者認識部３は利用者情報（利用者ＩＤ）を出力する利用者情報出力手段としても機能する。

位置センサ部４は位置情報出力手段として機能する。位置センサ部４が取得する位置情報について述べると、利用者端末装置１は、図２に示すように、利用者が移動可能な範囲である端末ゾーン９内に設けられた位置センサアンテナ１０、１１、１２、１３から送信されるそれぞれの電波に含まれるゾーンＩＤを受信し、このゾーンＩＤを用いて利用者の位置を計測している。電波は、ゾーン信号発信器９ａから発信された信号をゾーンＩＤとして含み、また、それぞれの位置センサアンテナ１０〜１３から、一定のゾーン１４、１５、１６、１７を保ちつつ送信されている。位置センサ部４は、いずれかの位置センサアンテナ１０〜１３から発信される電波を受信し、これらの電波に含まれるゾーンＩＤによって、利用者端末装置１の置かれているゾーンがどのゾーンであるのかを判断する。この例では、各ゾーンを示すＩＤが、位置センサアンテナ１０〜１３から利用者端末装置１へ送信される。なお、利用者端末装置１が利用者端末装置１、６を表す情報を送信し、利用者端末装置１、６の近くにある位置センサアンテナがこの情報を受信するようにして、利用者端末装置１、６の置かれているゾーンを判断するようにもできる。

また、位置情報出力手段としては、利用者端末装置１にＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍｓ）機能を搭載し、ＧＰＳ衛星から受信した信号によって利用者端末装置１の位置情報を算出し出力するようにすることもできる。また、ネットワークにおけるＩＰアドレスを取得し出力する方法や、無線ＬＡＮにおけるホットスポット情報を取得し出力する方法を採用しても良い。

鍵管理部５の機能は、ＣＰＵ（中央演算装置）、ＲＯＭ、ＲＡＭ、ＩＣ、ＬＳＩ等によって実現される。そして、利用者端末装置１が正規の端末であることを証明する端末固有の鍵と、端末内のプログラムの管理値を記憶しており、要求に応じてこれらを出力する機能を持つ。

これにより、利用者認識部３及び位置センサ部４は、ネットワーク７からデータの要求を受信した場合には、その要求された情報、例えば、利用者認識情報（利用者情報）、位置情報としてのゾーンＩＤ、固有鍵情報を情報アクセス管理装置８に送信する。利用者端末装置１、６が置かれている位置（ゾーン）は、共有空間、安全空間、公共空間及び準安全空間のいずれかであることが情報アクセス管理装置８によって把握される。

また、図１の情報アクセス管理装置８は、文書データを保持する文書データベース１８（データ記憶手段）と、この文書データに対する利用者毎のアクセス権限（アクセス権限情報）及びゾーン毎のアクセス権限（アクセス環境情報）を含み、文書データへアクセスするための条件を記述したセキュリティポリシデータを記憶するポリシデータ保持部（セキュリティポリシ記憶手段）１９と、利用者端末装置１から送信された利用者認識情報とゾーンＩＤとを含むアクセス要求を受信するアクセス受付部２０と、複数の利用者の間で文書データに関する権限を委譲するための更新可能な権限委譲データを記憶する権限委譲データ記憶部２１と、利用者端末装置１の利用者の権限を決定して文書アクセスの指示を出力するとともに、権限委譲データに沿って利用者端末装置１の利用者の文書データへのアクセス権限を変更するポリシ比較判定部２２と、文書データベース１８に保持された文書データへの入出力操作を制御する文書入出力部２３と、端末、人及び場所の各要素に基づいて出力の許可を与えようとする文書データの種別や文書データの印刷又は保存などの文書データへの操作に関する権限を決定するための認証データを保持する認証データ保持部２４と、ＣＰＵ２５、ＲＡＭ２６、入出力機器２７及びＲＯＭ２８からなり情報アクセス管理装置８の全体をコントロールするデータ処理ユニット２９と、を備える。アクセス受付部２０、ポリシ比較判定部２２は利用者端末装置６についての処理をも行う。

これにより、アクセス受付部２０においてネットワーク７とのインターフェース処理が行われ、情報アクセス管理装置８はこのアクセス受付部２０を通じて利用者端末装置１、６と交信可能になっている。

これらに加えて、情報アクセス管理装置８には、利用者端末装置１の位置を検査してこの利用者端末装置１のアクセス環境を表すＺＯＮＥ値（アクセス環境情報）を出力するアクセス環境調査部３０（アクセス環境調査手段）と、利用者端末装置１、６から送信された利用者情報（利用者ＩＤ）を用いて利用者端末装置１の利用者が正規の利用者であるか否かを調べて利用者が正規であるかどうかを表すＩＤＬＶ値（アクセス権限情報）を出力する利用者調査部３１（利用者調査手段）と、アクセス要求のあった時間又は時刻を調べて文書データベース１８へのアクセス時間又はアクセス時刻を表すＴＩＭＥ値を出力するアクセス時間調査部３２と、アクセスしている利用者端末装置が安全か否かを調査してその利用者端末装置が安全かどうかを表すＴＥＲＭ値を出力するアクセス端末調査部３３と、ＩＤＬＶ値、ＴＥＲＭ値、ＴＩＭＥ値、ＺＯＮＥ値といったデータからなり、アクセス制御の基にされるセキュア値を生成するアクセス権生成部３４とが設けられている。

このセキュア値は、情報アクセス管理装置８のアクセスをコントロールするためのデータでもある。セキュア値を表すデータは、例えば図３の符号３５で表されるような構造を有し、ＩＤＬＶ値３６、ＴＥＲＭ値３７、ＴＩＭＥ値３８、ＺＯＮＥ値３９の各データからなる。これらのデータの詳細については、図４にＩＤＬＶ値を、図５にＴＥＲＭ値を、図６にＴＩＭＥ値を、図７にＺＯＮＥ値をそれぞれ示す。

図４のＩＤＬＶ値（アクセス権限情報）については、複数のＩＤＬＶ値に応じて権限レベルが記憶されている。権限レベルに応じてそれぞれ、文書データの情報種別、及び文書データへの操作の権限の可否データが記憶されている。自分が文書データのオーナーである場合には、その文書データの編集が可能になるように設定される。

図５のＴＥＲＭ値（アクセス端末情報）によって、各端末装置は、正規の利用者が特定されて安全であると判断された正規端末装置や、複数の利用者に利用されうるが安全であると判断された正規端末装置等に分類されている。

図６のＴＩＭＥ値（アクセス時間情報）によって、アクセスされた時刻が、予め計画されている時間もしくは時間帯内であるか、又は計画外の時間もしくは時間帯であるかが判断される。

図７のＺＯＮＥ値（アクセス環境情報）については、空間の種別を店舗の例により説明する。複数のＺＯＮＥ値に対応してそれぞれの場所（アクセス環境）がアクセス環境記憶手段に定義されている。アクセス環境調査部３０は、それぞれの場所にて利用者端末装置１、６が取得した位置情報に対応するＺＯＮＥ値４〜０のうちのいずれかのＺＯＮＥ値をアクセス環境記憶手段から読み出して、読み出したＺＯＮＥ値を出力する。

なお、本実施の形態では、情報アクセス管理装置８が位置センサ部４によって取得された位置情報をそのままアクセス環境情報として出力しており、位置情報をアクセス環境情報として同じデータのまま出力しているが、位置情報と異なるデータをアクセス環境情報として出力しても良い。例えばＧＰＳ機能を利用した場合は、ＧＰＳ衛星から受信した信号によって緯度経度からなる位置情報を利用者端末装置１又は６が出力し、また、アクセス環境記憶手段が緯度経度を含む複数の位置情報とこれらの位置情報に対応づけされたアクセス環境情報とを記憶し、アクセス環境調査部３０がこの対応づけされたデータを読み出すことによって、緯度経度からなる位置情報に対応するアクセス環境情報「１〜４」を出力することもできる。

ＺＯＮＥ値「４」に対応するアクセス環境としての安全空間は事務所であり、この事務所では、売り上げデータや、商品の単価、原価、粗利等の情報や、経理データ等が取り扱われており、顧客からの受注業務も行われている。安全空間は社内の特定の人物のみ立ち入りを許される場所である。ＺＯＮＥ値「３」に対応する準安全空間はバックヤードであり、バックヤードでは商品の加工や商品への値札の張り替え等の作業が行われる。この準安全空間への立ち入りを社内従業員は許されている。ＺＯＮＥ値「２」に対応する共有空間は、設計情報や商品価格を社外関係者に説明するための打ち合わせスペースや休憩所である。ＺＯＮＥ値「１」に対応する公共空間は不特定多数の人物がいるような売り場である。このように複数の位置情報に対応して複数のセキュリティレベルが記憶可能であるから、利用者のアクセス場所に基づいたセキュリティレベルを複数設定可能となる。

ＩＤＬＶ値データは、利用者端末装置１又は６から送信された利用者ＩＤをキーとして認証データ保持部２４がアクセスされることにより得られる。ＴＥＲＭ値データとＴＩＭＥ値データとは、アクセス時間調査部３２とアクセス端末調査部３３において調査されたそれぞれの値と比較されることにより得られる。従って、本実施形態に係る情報アクセス管理装置８は、ＩＤＬＶ値、ＴＥＲＭ値、ＺＯＮＥ値の各データに基づいて、人、端末及び場所に応じた文書データへのアクセス権限を変更可能になっている。

位置情報は、利用者端末装置１、６から送信されてくるものである。この位置情報を得る動作を図８のフローチャートに示す。つまり、利用者端末装置１は、情報アクセス管理装置８からの位置要求信号を受信すると（ステップＡ１）、Ｙｅｓルートを通り、位置センサ部４を駆動して（ステップＡ２）、位置センサ部４が正常であるかどうかを判定する（ステップＡ３）。位置センサ部４が正常でない場合にはＮｏルートを通り、利用者端末装置１はゾーンＩＤを０に設定し（ステップＡ４）、位置センサ部４が正常である場合にはＹｅｓルートを通り、利用者端末装置１はゾーン信号を受信する（ステップＡ５）。利用者端末装置１は、そのゾーン信号の中に含まれるゾーンＩＤから、自身がどのような空間に存在しているかを判別して（ステップＡ６）、ゾーンＩＤに１〜４を設定する（ステップＡ７）。利用者端末装置１の位置センサ部４は、位置情報としてこのゾーンＩＤを情報アクセス管理装置８に送信する（ステップＡ８）。利用者端末装置６が位置情報を得る動作も図８のフローチャートと同じである。

情報アクセス管理装置８は、利用者端末装置１、６から送信されたゾーンＩＤを受信すると、ゾーンＩＤ（位置情報）をもとにＺＯＮＥ値（アクセス環境情報）を取得しセキュア値を構成するデータの一つに設定する。

また、認証データ保持部２４は、図９に示すような構成の認証データを記憶している。この認証データは、エントリキーである利用者ＩＤ４０、元々保有するアクセス権限のレベルを示す権限レベル４１、通常利用者が利用する時間帯を示す利用許可時間帯４２、利用者が利用登録した端末装置に固有な値を示す端末鍵４３、誰かに対して権限を委譲する状態になっているか否かをフラグによって示す権限委譲有無４４、及び権限を委譲するときの相手に与える権限を示す委譲レベル４５からなる。利用者端末装置１又は６からの利用者ＩＤをキーとして、権限レベル４１、利用許可時間帯４２、端末鍵４３、権限委譲有無４４及び委譲レベル４５の各内容を表すデータが入出力される。

認証データ保持部２４は、利用者の文書データへのアクセス権限を決めており、例えば文書データの種別、印刷や保存などの操作を決めている。しかし、アクセスする端末の安全性や、環境の安全性は、考慮されていないので、これらは、本実施形態に係る情報アクセス管理装置８によってカバーされることになる。得られたＩＤＬＶ値（アクセス権限情報）、ＴＥＲＭ値（アクセス端末情報）、ＴＩＭＥ値（アクセス時間情報）、ＺＯＮＥ値（アクセス環境情報）はアクセス権生成部３４に加えられ、これらの値はセキュア値として取り扱われる。

また、利用者が、委譲処理を要求するために、権限を委譲するためのコマンドを発行した場合には、アクセス権生成部３４は、認証データ保持部２４の権限委譲有無４４に権限委譲フラグとして１を設定するとともに、認証データ保持部２４へ委譲レベル４５を入力する。また、権限の委譲処理が発生した場合には権限委譲データ記憶部２１も更新される。

権限委譲データ記憶部２１に記憶されるデータは、図１０に示すように、委譲者を示す委譲者ＩＤ４６、委譲者の委譲レベルを示す委譲レベル４７、権限の委譲先を示す被委譲者ＩＤ４８、被委譲者がどのようなアクセス環境にいる場合に委譲された権限を行使できるのかを決めるためのポリシデータテーブルのポリシ番号を示す要求ポリシ４９、権限を委譲する日時を示す委譲日５０、委譲時間５１といった内容を含む。権限委譲データ記憶部２１に対して利用者端末装置１、６からのアクセスがあった場合には、利用者ＩＤをキーとして権限委譲データ記憶部２１内を権限委譲データが検索され、検索された権限委譲データがポリシ比較判定部２２に現れる。

ポリシデータ保持部１９は、セキュア値３５（図３）の取り得る値に対して、文書データヘのアクセスや、データの印刷や保存などの操作の権限を定めたポリシデータを対応づけて記憶するものであり、このようなポリシは、ポリシデータ保持部１９においてポリシデータテーブルとして予め作成されている。ポリシデータテーブルの一例を図１１に示す。本実施形態に係る情報アクセス管理装置８は、３００種類のポリシデータを記憶しており、これによって、最大３００個のポリシを設定することが可能である。一例としてセキュア値がＩＤＬＶ＝４、ＴＥＲＭ=３、ＺＯＮＥ＝４、ＴＩＭＥ＝２を示す場合には、ポリシデータテーブルの中でポリシデータがポリシ比較判定部２２によって探索されてポリシ番号１が得られる。このポリシ番号１が示すポリシは、利用者が安全な場所におり、特定された端末を利用していることを表すため、その利用者から文書データへのアクセスがあった場合には、その利用者に予め付与された権限の全てが利用され得る。なお、権限委譲が無い限り、利用者に与えられた本来の権限を越えることはない。

ポリシ比較判定部２２は、アクセス権生成部３４にて得られたセキュア値とポリシデータ保持部１９からのデータとを比較して、利用者の権限を決定し、文書入出力部２３に対してポリシにあった文書アクセスを行うことの指示を与える。また、権限委譲データ記憶部２１の権限委譲データも考慮される。この権限委譲データの示す内容が、利用者が権限を委譲されており、かつ委譲者の指定するポリシに沿った端末環境を構築しているものである場合、アクセス権限の昇格などが行われる。

文書入出力部２３は、アクセス権限のある文書データの要求に対して文書データベース１８から文書データを取り出す。その他にも、文書入出力部２３は、ポリシデータ保持部１９のセキュリティポリシデータに準拠した印刷や保存などの文書データへの操作を制限するような、文書データの加工を行う機能をも有する。印刷制限や保存制限は、文書データのプロパティを設定することにより実現でき、これらの制限の設定は最近の電子文書フォーマット（アドビ社のアクロバット形式等）のファイルを閲覧するソフトウェアには既に用意されている機能である。最終的に得られた文書データは、アクセス受付部２０を通してアクセス元の利用者端末装置１又は６に送られることにより処理が完了する。

アクセス権生成部３４、ポリシ比較判定部２２及び文書入出力部２３は、アクセス権限と、アクセス環境とを、ポリシデータ保持部１９に記憶された条件としてのセキュリティポリシと比較して利用者端末装置１、６の利用者のアクセス権限を決定し、この条件に従って文書データベース１８に記憶された情報へのアクセスを制御する情報アクセス制御手段として機能する。

このような構成の情報アクセス管理装置８における文書データへのアクセスについての詳細を説明する。

図１２に、利用者端末装置１を利用した通常アクセスのシーケンスを示す。利用者端末装置１は、情報アクセス管理装置８に対してデータ要求を送信すると（ステップＢ１）、情報アクセス管理装置８は、利用者確認要求を利用者端末装置１に対して送信する（ステップＢ２）。

利用者端末装置１が情報アクセス管理装置８に対して利用者認識部３からの利用者ＩＤ（利用者情報）を送信すると（ステップＢ３）、情報アクセス管理装置８の利用者調査部３１は、認証データ保持部２４に記憶した認証データを参照し、この利用者ＩＤの有無を判定する（ステップＢ４）。この利用者ＩＤのエントリキーが認証データにある場合には、情報アクセス管理装置８は、利用者調査部３１からの権限レベル値４１（ＩＤＬＶ値）をアクセス権生成部３４に送信する（ステップＢ５）。情報アクセス管理装置８はアクセス時刻が認証データで許可された時間帯内であるか否かを判定し（ステップＢ６）、アクセス時刻が許可時間帯内である場合には、ＴＩＭＥ値をアクセス権生成部３４に送信する（ステップＢ７）。そして情報アクセス管理装置８は端末確認要求を利用者端末装置１に対して送信する（ステップＢ８）。

利用者端末装置１が情報アクセス管理装置８に対して鍵管理モジュール値を送信すると（ステップＢ９）、情報アクセス管理装置８は、認証データを参照し、この鍵管理モジュール値についての端末鍵（端末鍵証明書）の有無を判定する（ステップＢ１０）。端末鍵が認証データにある場合には、情報アクセス管理装置８はＴＥＲＭ値をアクセス権生成部３４に送信し（ステップＢ１１）、位置情報要求を利用者端末装置１に対して送信する（ステップＢ１２）。

利用者端末装置１が情報アクセス管理装置８に対して、位置センサ部４から出力された位置情報（ゾーンＩＤ）を送信すると（ステップＢ１３）、情報アクセス管理装置８のアクセス環境調査部３０は、受信した位置情報についてのＺＯＮＥ値（アクセス環境情報）をアクセス権生成部３４に送信する（ステップＢ１４）。

アクセス権生成部３４は、利用者調査部３１によって出力されたＩＤＬＶ値（アクセス権限情報）、アクセス環境調査部３０によって出力されたＺＯＮＥ値（アクセス環境情報）、ＴＩＭＥ値（アクセス時間情報）、及びＴＥＲＭ値（アクセス端末情報）から、セキュア値を設定する。

さらに、アクセス権生成部３４は、ポリシ比較判定部２２に対して、セキュア値を送信し（ステップＢ１５）、ポリシ比較判定部２２は、ポリシとして設定された値ないしはポリシデータであるポリシ設定値をポリシデータ保持部１９から読み出して、セキュア値とポリシデータとを比較し利用者の権限を判定する（ステップＢ１６）。すなわち、ＩＤＬＶ値（アクセス権限情報）と、ＺＯＮＥ値（アクセス環境情報）とに一致するセキュリティポリシデータをポリシデータ保持部１９に記憶しているか否かをポリシ比較判定部２２は判定する。同じＩＤＬＶ値であっても、ＺＯＮＥ値によってポリシデータは異なる。ポリシ比較判定部２２は、文書入出力部２３に対してファイル入出力制御を送信する（ステップＢ１７）。このように、利用者、端末、場所及び時間のそれぞれが、ポリシと比較され、データの出力が制御される。

文書入出力部２３は、文書データベース１８に保持された文書データを参照し、この文書データをポリシに併せて加工し（ステップＢ１８）、この加工された文書データを利用者端末装置１に対して送信する（ステップＢ１９）。

具体例について述べると、経理部門に属する利用者は、経理データを、ＺＯＮＥ値「４」の安全空間ゾーンの経理部署に設けられた端末を用いれば閲覧、編集、保存、印刷の全操作をすることができるが、同じ利用者でも、同じデータを、ＺＯＮＥ値「３」の準安全空間ゾーンに設けられた端末を用いると、閲覧しかすることができず、ＺＯＮＥ値「２」の共有空間ゾーンの売り場に設けられた端末を用いると閲覧もできないようにすることができる。換言すれば、複数のアクセス環境に応じて許可する閲覧、編集、保存、印刷等のアクセス操作を段階的に設定しておくことで、本来全ての操作に対してアクセス権限を備えた利用者であっても、情報セキュリティ上のレベルが低いアクセス環境によっては閲覧操作のみが許可され、レベルが中間のアクセス環境によっては閲覧操作と印刷操作が許可され、レベルが高いアクセス環境によっては全ての操作が許可されるように、アクセス環境の情報セキュリティ上のレベルに応じてアクセス操作が段階的に制限されるように、文書データないしは情報の管理を行うことが可能になる。経理データへのアクセス権限は、変更可能である。すなわち、本発明の情報管理システムは、権限を委譲することができる。また、経理データへのアクセスは、経理部門に属する者以外の者に対して許可されていない。従って、利用者からの文書の出力要求に対して、必ずしも要求通りのデータが得られるとは限らないといえる。

次に、権限を委譲しようとする者（権限の委譲元者）が、利用者端末装置１を用いて、利用者端末装置６の利用者である権限を委譲される者（被委譲者）に対して権限を委譲する場合の処理について詳述する。図１３は本実施形態に係る情報管理システムにおける権限委譲時におけるデータアクセス方法を説明するためのシーケンスを示す図である。

利用者端末装置１が、権限委譲要求を情報アクセス管理装置８に対して送信すると、（ステップＣ１）、情報アクセス管理装置８は、アクセス時刻、利用者ＩＤ、端末状況及び場所等についての判定処理を行い（ステップＣ２）、セキュア値を算出するためのアクセス環境の各値を調査する（ステップＣ３）。

アクセス権生成部３４は、セキュア値を生成し、このセキュア値をポリシ比較判定部２２に対して送信し（ステップＣ４）、ポリシ比較判定部２２は、ポリシ設定値を読み出して、これらのセキュア値とポリシデータとを比較して利用者の権限を判定する（ステップＣ５）。この判定では、アクセス権生成部３４は、利用者端末装置６への権限の委譲が、セキュリティポリシに適合しているか否かを判定し（ステップＣ６）、この権限の委譲がセキュリティポリシに適合している場合には、アクセス受付部２０を介して利用者端末装置１に対して、委譲許可通知を送信する（ステップＣ７）
引き続き、利用者端末装置１は、委譲レベルなどの権限委譲データ入力を情報アクセス管理装置８に対して送信する（ステップＣ８）。情報アクセス管理装置８は、権限委譲データを更新し（ステップＣ９）、処理完了通知を利用者端末装置１に対して送信する（ステップＣ１０）。

権限委譲処理が完了した状態において、利用者端末装置６が、情報アクセス管理装置８に対してデータ要求を送信すると（ステップＣ１１）、情報アクセス管理装置８は、認証データの参照により、環境についての判定処理を行なう（ステップＣ１２）。ここで、権限委譲があった場合には、権限委譲の検出がポリシ比較判定部２２へも通知される。情報アクセス管理装置８は、アクセス環境の各値を調査し（ステップＣ１３）、アクセス権生成部３４は、セキュア値を生成しこのセキュア値をポリシ比較判定部２２に送信する（ステップＣ１４）。ポリシ比較判定部２２は、ポリシ設定値の読み出しにより、利用者の権限を判定し（ステップＣ１５）、委譲データの読み出しにより、権限委譲処理の続行について判定を行なう（ステップＣ１６）。ポリシ比較判定部２２は、権限を委譲すると判定すると、アクセス権限を変更するとともに、文書入出力部２３に対してファイル入出力制御を送信する（ステップＣ１７）。文書入出力部２３は、文書データベース１８の文書データを参照し、この文書データをポリシに併せて加工し（ステップＣ１８）、この加工された文書データを利用者端末装置６に対して送信する（ステップＣ１９）。このように、権限の委譲元者は利用者端末装置１を用いて、利用者端末装置６を利用する被委譲者に対して権限を委譲することができる。従って、本発明の情報管理システムは、所望のデータへのアクセス権限を、場所と人とに応じて移譲することができるといえる。

このようにして、本発明によれば、利用者及び端末装置の安全性と周囲環境の安全性とが考慮された文書情報へのアクセス制御を、利用者に意識させずに自動的に実施することが可能になる。また、権限の委譲を安全にかつ効果的に行うことができる。権限が与えられた利用者は、セキュリティポリシにしたがった場所でのみ権限を行使することができるので、その利用者の不注意による情報の漏えいが防止される。

また、本発明によれば、アクセス権を有する者であってもゾーンによっては文書へのアクセスが禁止されるため、利用者がアクセスする場所に応じてアクセスを禁止し、あるいはアクセスを制限することができる。従って、店舗など、不特定多数の人が存在する場所など、場所に応じたセキュリティの管理が行えるようになる。

（第２の実施形態）
情報アクセス管理装置８が人及び場所に応じて利用者端末装置１又は６に対して文書アクセスを許可した場合でも、社内従業員が、協力関係にある会社の従業員と商品について打ち合わせることがある。この場合は、社内従業員は、その商品についての全情報のうちの原価情報を協力会社の従業員に対して閲覧させることができるが、その商品の取り扱い手数料の情報をその従業員に対して閲覧させることはできない。本発明の第２の実施形態に係る情報アクセス管理装置は、例えば打ち合わせの場所において、データシートに記載される複数のデータ項目のうちの一部のデータ項目をマスクするようにしている。

以下に、本発明の第２の実施形態に係る情報管理システムを図１４を用いて説明する。

図１４は本発明の第２の実施形態に係る情報管理システムの構成図である。本実施形態に係る情報管理システムは、利用者端末装置１、６と、利用者端末装置１、６のそれぞれと接続されたネットワーク７と、これらの利用者端末装置１、６及びネットワーク７に接続された情報アクセス管理装置５２とを備えている。図１４に示すもののうちの上述した符号と同じ符号を有するものは第１の実施形態において説明したものと同じである。また、利用者端末装置１、６についての位置計測の方法も第１の実施形態でのそれらの位置計測の方法と同じである。

本実施形態に係る情報アクセス管理装置５２には、文書入出力部２３から出力される文書データの内容を検査して、セキュリティに反している内容を含む文書に対してマスク処理を行うマスク処理部５３が設けられており、このマスク処理された文書がアクセス受付部２０に入力される。

また、本実施形態に係る情報アクセス管理装置５２も、データ処理ユニット２９によって全体をコントロールされて、ネットワーク７とのインターフェース処理を行うアクセス受付部２０を通じて利用者端末装置１、６と交信可能にされている。これにより、情報アクセス管理装置５２においては、アクセス環境調査部３０が利用者端末装置１、６の位置を検査してＺＯＮＥ値を出力し、利用者調査部３１は利用者端末装置１、６から送信された利用者ＩＤ（利用者情報）を用いて利用者が正規利用者であるかを調べてＩＤＬＶ値を出力し、アクセス時間調査部３２はアクセス要求のあった時刻を調べてＴＩＭＥ値を出力し、アクセス端末調査部３３はアクセスしている端末が安全か否かを調査してＴＥＲＭ値を出力し、アクセス権生成部３４はＩＤＬＶ値、ＴＥＲＭ値、ＴＩＭＥ値、ＺＯＮＥ値等、アクセス制御の基になるセキュア値を生成する。本実施形態に係る情報アクセス管理装置５２によるセキュア値の生成方法も第１の実施形態におけるその方法と同じである。

本実施の形態でも、アクセス権生成部３４、ポリシ比較判定部２２及び文書入出力部２３によって情報アクセス制御手段の機能が実現する。情報アクセス管理装置５２は、位置情報と異なるデータをアクセス環境情報として出力しても良い。利用者端末装置１や６がＧＰＳ機能を利用した場合は、ＧＰＳ衛星から受信した信号によって緯度経度からなる位置情報を利用者端末装置１又は６が出力し、アクセス環境調査部３０が、緯度経度からなる位置情報に対応するアクセス環境情報「１〜４」を出力することができる。

また、認証データ保持部２４に記憶されるデータも第１の実施形態の例と同じである。すなわち、認証データは、利用者ＩＤ、元々保有するアクセス権限のレベルを示す権限レベル、通常の利用者が利用する時間帯を示す利用許可時間帯、利用者が利用の登録をした端末装置に固有な値を示す端末鍵、誰かに対して権限を委譲する状態になっているか否かを示す権限委譲有無、権限を委譲するときの相手に与える権限を示す委譲レベルからできている。利用者端末装置１又は６からの利用者ＩＤをキーとして、権限レベル、利用許可時間帯、端末鍵、権限委譲有無及び委譲レベルの各内容を表すデータが入出力される。

認証データ保持部２４においても利用者の文書情報へのアクセス権限が決められており、文書の種別、印刷や保存などの操作が決められているが、アクセスする端末の安全性や、環境の安全性については考慮されていないので、やはり、本実施形態に係る情報管理システムはこれらをカバーすることになる。得られたＩＤＬＶ値（アクセス権限情報）、ＴＥＲＭ値（アクセス端末情報）、ＴＩＭＥ値（アクセス時間情報）、ＺＯＮＥ値（アクセス環境情報）はアクセス権生成部３４に加えられ、これらの値はセキュア値として取り扱われる。

また、利用者が権限を委譲するためのコマンドを発行した場合には、アクセス権生成部３４は、認証データ保持部２４に権限委譲フラグをたてるとともに委譲レベルを入力する。また、権限委譲処理が発生した場合には権限委譲データ記憶部２１の権限委譲データも更新される。権限委譲データ記憶部２１に対して利用者端末装置１、６からのアクセスがあった場合には、利用者ＩＤをキーとして権限委譲データ記憶部２１内を権限委譲データが検索され、検索された権限委譲データがポリシ比較判定部２２に現れる。

ポリシデータ保持部１９に記憶されたポリシデータにより、セキュア値の取り得る値に対して、文書データヘのアクセスや、データの印刷や保存などの操作の権限が定められ、本実施形態においても最大３００ポリシを設定することが可能である。セキュア値がＩＤＬＶ＝４、ＴＥＲＭ＝３、ＺＯＮＥ＝４、ＴＩＭＥ＝２を示すときには、安全な場所で、特定された端末を利用していると判断されるので、その利用者の権限の全てが利用できるようにされている。本実施形態に係る情報管理システムにおいても、権限委譲が無い限り、利用者本来の権限を越えることはないようにされている。情報アクセス管理装置５２も、ポリシデータ保持部１９に予めポリシデータテーブルとして作成されたポリシデータにしたがう。

ポリシ比較判定部２２は、アクセス権生成部３４にて得られたセキュア値と、ポリシデータ保持部１９から読み出されたデータとを比較して利用者の権限を決定し、文書入出力部２３にポリシにあった文書アクセスを行うことの指示を与える。また、情報アクセス管理装置５２は、権限委譲データ記憶部２１をも考慮している。利用者が権限を委譲されており、かつ委譲者の指定するポリシに沿った端末環境が構築されている場合には、アクセス権限の昇格などが行われる。文書入出力部２３はアクセス権限のある文書の要求に対して文書データベース１８から文書データを取り出すが、その他にも、ポリシデータ保持部１９のセキュリティポリシデータに準拠した印刷や保存などの文書操作を制限するような文書データの加工を行う機能を有する。文書データはマスク処理部５３に送られる。

このマスク処理部５３は、文書データ自身の内容を検査する。文書が適切に管理され、アクセス権限が正しく付与されている場合は問題は無いが、利用者が誤って機密文書のアクセス権限レベルを低く付した場合、あるいはアクセス権限レベルを付し忘れた場合には、内容に対する権限の無い利用者に対してデータが提供されてしまう恐れがある。この為、マスク処理部５３は、文書データの中身をスキャンして、問題のあるキーワードが記載されていないかどうかを検査する。キーワードとしては例えばＮＧワードが用いられる。マスク処理部５３は、文書データに含まれる文章の文節毎にＮＧワードの有無を検出する。

マスク処理部５３は、問題があった文書が存在する場合には、「機密情報の為該当箇所を削除」などのメッセージが利用者端末装置１、６に表示されるような処理や、問題のある部分のデータを塗りつぶすあるいは削除するなどの方法によって、文書データの該当部分に対して情報が漏えいしないようなマスクを掛けるようにする働きを行う。従って、マスク処理部５３は、情報アクセス制御手段によりアクセスを制御される情報のうち、情報をアクセスするためのセキュリティポリシと異なる内容を含む情報に対してマスク処理を行う。これにより、権限の設定ミスや管理ミスなどによって情報漏えいが発生することを防止することができる。マスク処理を行う具体例としては、例えば文書データ作成時にテキスト形式の文字データのうち、あらかじめマスクすべきマスク範囲箇所を指定しておき、マスク処理が必要な場合にマスク範囲箇所のデータを削除、又は別の文字データに変更することでマスク処理を行うことが考えられる。

最終的にマスク処理部５３により得られた文書データは、アクセス受付部２０を通してアクセス元の利用者端末装置１、６に送られることにより処理が完了する。

このようにして、本実施形態に係る情報アクセス管理装置５２によれば、文書データベース１８の文書を出力する要求が生じた場合に、利用者、端末の安全性、アクセス時刻、アクセス環境をセキュリティポリシと比較するため、文書の出力が安全に行われる。また、情報漏えいが防止され、文書を効率よく閲覧するためのアクセス権限の委譲を安全かつ容易に実施することが実現されるようになる。

また、本実施形態に係る情報アクセス管理装置５２によれば、やはり、データへのアクセス制御を、利用者及び複数の場所に応じて管理することができる。

（第３の実施形態）
第１の実施形態及び第２の実施形態においては、文書データが情報アクセス管理装置８（又は５２）の内部のデータベースに保持されていたが、第３の実施形態では文書データを情報アクセス管理装置８又は５２の外部の記憶装置に保持し、この記憶装置への利用者端末装置１、６からのアクセス要求を制御するようにもできる。

本発明の第３の実施形態に係る情報管理システムは、図１５に示すように、利用者端末装置１、６と、利用者端末装置１、６のそれぞれと接続された第１ネットワーク５４と、この第１ネットワーク５４に接続され利用者端末装置１及び６と通信可能な情報アクセス管理装置５５と、この情報アクセス管理装置５５に接続されたもう一つの第２ネットワーク５６と、この第２ネットワーク５６に接続され情報アクセス管理装置５５との間でデータの入出力が可能な文書サーバ５７とを備えている。

情報アクセス管理装置５５は、第１ネットワーク５４に接続され利用者端末装置１、６との間でデータを送受信する第１データ送受信部５８と、第１ネットワーク５４に接続された利用者端末装置１、６から第２ネットワーク５６に接続された文書サーバ５７へのアクセスを切り替え制御するアクセススイッチ（アクセススイッチ手段）５９と、このアクセススイッチ５９及び第２ネットワーク５６に接続され文書サーバ５７とデータの入出力が可能な第２データ送受信部６０とを備えている。文書サーバ５７は、文書データを保持するデータ記憶手段でもある。本実施の形態では、アクセス権生成部３４、ポリシ比較判定部２２及びアクセススイッチ５９が協働することにより、情報アクセス制御手段の機能が実現する。情報アクセス制御手段は、ＩＤＬＶ値（アクセス権限情報）と、ＺＯＮＥ値（アクセス環境情報）とを、アクセス条件であるセキュリティポリシと比較して、文書サーバ５７が安全に利用されると判断した場合には利用者端末装置１、６からのアクセス要求を文書サーバ５７へ伝えるように、利用者端末装置１、６から文書サーバ５７へのアクセスを切り替え制御する。これら以外のもので図１５に示すもののうちの上述した符号と同じ符号を有するものは第１の実施形態において説明したものと同じである。また、利用者端末装置１、６についての位置計測の方法も、第１の実施形態及び第２の実施形態でのそれらの位置計測の方法と同じである。

情報アクセス管理装置５５は、データ処理ユニット２９によって全体をコントロールされており、利用者のアクセス権限、端末の安全性、利用環境の安全性、アクセス要求時刻、権限の委譲によるアクセス権限の変化などを総合的に判断し、セキュリティポリシに沿った内容でアクセススイッチ５９を制御する。利用者端末装置１、６からの文書サーバ５７へのアクセス要求が通過する順番は、第１ネットワーク５４、第１データ送受信部５８、アクセススイッチ５９、第２データ送受信部６０、第２ネットワーク５６、文書サーバ５７である。

情報アクセス管理装置５５では、第１データ送受信部５８にて受信されたデータをアクセス受付部２０が受け取ってこのデータを検査する。アクセス受付部２０に接続されたアクセス環境調査部３０は利用者端末装置１、６の位置を検査してＺＯＮＥ値を出力し、利用者調査部３１は利用者端末装置１、６から送信された利用者ＩＤを用いて利用者が正規の利用者であるかを調べてＩＤＬＶ値を出力し、アクセス時間調査部３２はアクセス要求のあった時刻を調べてＴＩＭＥ値を出力し、アクセス端末調査部３３はアクセスしている端末が安全か否かを調査してＴＥＲＭ値を出力し、そしてアクセス権生成部３４はＩＤＬＶ値、ＴＥＲＭ値、ＴＩＭＥ値、ＺＯＮＥ値らアクセス制御の基になるセキュア値を生成する。セキュア値を生成する方法は第１の実施形態でのセキュア値の生成方法と同様である。

また、認証データ保持部２４の記憶する認証データは、利用者ＩＤ、元々保有するアクセス権限のレベルを示す権限レベル、通常利用者が利用する時間帯を示す利用許可時間帯、利用者が利用登録した端末装置固有の値を示す端末鍵、誰かに権限を委譲する状態になっているか否かを示す権限委譲有無、権限を委譲するときの相手に与える権限を示す委譲レベルからなる。利用者端末装置１又は６からの利用者ＩＤをキーとして、権限レベル、利用許可時間帯、端末鍵、権限委譲有無及び委譲レベルの各内容を表すデータが入出力される。

認証データ保持部２４においても利用者の文書情報へのアクセス権限が決められており、文書の種別、印刷や保存などの操作が決められているが、アクセスする端末の安全性や、環境の安全性については考慮されていないので、これらは本実施形態に係る情報アクセス管理装置５５によってカバーされる。得られたＩＤＬＶ値（アクセス権限情報）、ＴＥＲＭ値（アクセス端末情報）、ＴＩＭＥ値（アクセス時間情報）、ＺＯＮＥ値（アクセス環境情報）はアクセス権生成部３４に加えられ、これらの値はセキュア値として取り扱われる。

また、利用者が権限を委譲するためのコマンドを発行した場合には、アクセス権生成部３４は認証データ保持部２４に権限委譲フラグをたてるとともに委譲レベルを入力する。また、権限委譲処理が発生した場合には、アクセス権生成部３４によって権限委譲データ記憶部２１の権限委譲データも更新される。権限委譲データ記憶部２１に対して利用者端末装置１、６からのアクセスがあった場合には、利用者ＩＤをキーとして権限委譲データ記憶部２１内を権限委譲データが検索され、検索された権限委譲データがポリシ比較判定部２２に現れる。

本実施形態に係る情報アクセス管理装置５５も、セキュア値の取り得る値に対して文書データヘのアクセス権限を定めた３００種類のポリシデータによって最大３００ポリシを設定することが可能である。セキュア値がＩＤＬＶ＝４、ＴＥＲＭ＝、ＺＯＮＥ＝４、ＴＩＭＥ＝２を示すときには、利用者が安全な場所で、特定された端末を利用していると判断されるので、その利用者の権限の全てが利用できるようにされる。なお、権限委譲が無い限り、利用者本来の権限を越えることはない。このようなポリシはポリシデータ保持部１９にポリシデータテーブルとして予め作成される。

ポリシ比較判定部２２は、アクセス権生成部３４にて得られたセキュア値とポリシデータ保持部１９等のデータとを比較して、利用者の権限を決定して文書サーバ５７へのアクセスの可否に関するデータをアクセススイッチ５９に伝える。

アクセススイッチ５９は文書サーバ５７へのアクセスについての許可や遮断を行う。また、アクセス権の詳細は文書サーバ５７にも与えられ、これにより、文書サーバ５７における細かなアクセス制御を行うことも可能である。

また、第２ネットワーク５６に接続される機器は、文書サーバ５７のみならず、各種のネットワーク機器でもよい。これらに対する利用者端末装置１、６のアクセス制御を情報アクセス管理装置５５が行うことも可能である。

これにより、利用者のアクセス権限、端末の安全性、利用環境の安全性、アクセス要求時刻、権限の委譲によるアクセス権限の変化などを総合的に判断し、セキュリティポリシにそった内容で第２ネットワーク５６に接続されたネットワーク機器などを利用することができ、不注意による情報漏えいなどをなくすことができる。

このように、本実施形態に係る情報アクセス管理装置５５によれば、第１ネットワーク５４から、第２ネットワーク５６に接続された文書サーバ５７へのアクセス要求があると、利用者、端末の安全性、アクセス時間、アクセス環境がセキュリティポリシと比較され、文書サーバ５７が安全に利用されると判断された場合には、アクセススイッチ５９の動作により、第１ネットワーク５４からのアクセス要求が第２ネットワーク５６に伝えられて文書サーバ５７へのアクセスが行われる。

また、本実施形態に係る情報アクセス管理装置５５によれば、データへのアクセス制御を、利用者及び複数の場所に応じて管理することができる。

尚、本発明は上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。

また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。例えば、第２の実施形態で説明したマスク処理部５３を、第３の実施形態に係る情報アクセス管理装置５５に設けて構成することもできる。

また、本実施の形態では装置内部に発明を実施する機能が予め記録されている場合で説明をしたが、これに限らず同様の機能をネットワークから装置にダウンロードしても良いし、同様の機能を記録媒体に記憶させたものを装置にインストールしてもよい。記録媒体としては、ＣＤ−ＲＯＭ等プログラムを記憶でき、かつ装置が読み取り可能な記録媒体であれば、その形態は何れの形態であっても良い。またこのように予めインストールやダウンロードにより得る機能は装置内部のＯＳ（オペレーティング・システム）等と協働してその機能を実現させるものであってもよい。

本発明の第１の実施形態に係る情報管理システムの構成図である。 本発明の第１の実施形態に係る端末装置のアクセス位置の計測方法を説明するための図である。 本発明の第１の実施形態に係る情報アクセス管理装置のセキュア値の一例を示す図である。 セキュア値（ＩＤＬＶ値）の詳細を示す図である。 セキュア値（ＴＥＲＭ値）の詳細を示す図である。 セキュア値（ＴＩＭＥ値）の詳細を示す図である。 セキュア値（ＺＯＮＥ値）の詳細を示す図である。 位置情報の出力方法を説明するためのフローチャートである。 認証データテーブルの一例を示す図である。 権限委譲データテーブルの一例を示す図である。 本発明の第１の実施形態に係るセキュリティポリシ記憶手段に記憶されるポリシデータテーブルの一例を示す図である。 本発明の第１の実施形態に係る端末装置から情報アクセス管理装置への通常時におけるデータアクセス方法を説明するためのシーケンスを示す図である。 本発明の第１の実施形態に係る情報アクセス管理装置における権限委譲時におけるデータアクセス方法を説明するためのシーケンスを示す図である。 本発明の第２の実施形態に係る情報管理システムの構成図である。 本発明の第３の実施形態に係る情報管理システムの構成図である。

符号の説明

１，６…利用者端末装置（端末装置）、２…情報処理端末、３…利用者認識部（利用者情報出力手段）、４…位置センサ部（位置情報出力手段）、５…鍵管理部、７…ネットワーク、８，５２，５５…情報アクセス管理装置、９…端末ゾーン、９ａ…ゾーン信号発信器、１０〜１３…位置センサアンテナ、１４〜１７…ゾーン、１８…文書データベース（データ記憶手段）、１９…ポリシデータ保持部（セキュリティポリシ記憶手段）、２０…アクセス受付部（受信手段）、２１…権限委譲データ記憶部、２２…ポリシ比較判定部（ポリシ比較判定手段、情報アクセス制御手段）、２３…文書入出力部（文書入出力制御手段、情報アクセス制御手段）、２４…認識データ保持部、２５…ＣＰＵ、２６…ＲＡＭ、２７…入出力機器、２８…ＲＯＭ、２９…データ処理ユニット、３０…アクセス環境調査部（アクセス環境調査手段）、３１…利用者調査部（利用者調査手段）、３２…アクセス時間調査部、３３…アクセス端末調査部、３４…アクセス権生成部（アクセス権生成手段、情報アクセス制御手段）、３５〜３９…セキュア値、４０…利用者ＩＤ（利用者情報）、４１…権限レベル、４２…利用許可時間帯、４３…端末鍵、４４…権限委譲有無、４５，４７…委譲レベル、４６…委譲者ＩＤ、４８…被委譲者ＩＤ、４９…要求ポリシ、５０…委譲日、５１…委譲時間、５３…マスク処理部（マスク処理手段）、５４…第１ネットワーク、５６…第２ネットワーク、５７…文書サーバ、５８…第１データ送受信部、５９…アクセススイッチ（アクセススイッチ手段）、６０…第２データ送受信部。

Claims (7)

1. 端末装置と、この端末装置にネットワークを介して接続された情報アクセス管理装置とを備え、
   前記端末装置が、
   端末装置の利用者情報を出力する利用者情報出力手段と、
   端末装置の位置情報を出力する位置情報出力手段とを備え、
   前記情報アクセス管理装置が、
   情報を記憶するデータ記憶手段と、
   前記端末装置の利用者情報と位置情報を受信する受信手段と、
   前記利用者情報に基いて前記端末装置の利用者のアクセス権限情報を出力する利用者調査手段と、
   前記位置情報に基いて前記端末装置のアクセス環境情報を出力するアクセス環境調査手段と、
   少なくとも前記アクセス権限情報と前記アクセス環境情報とを含み前記データ記憶手段に記憶した情報へアクセスするための条件を記憶したセキュリティポリシ記憶手段と、
   前記アクセス権限情報と、前記アクセス環境情報とを、前記セキュリティポリシ記憶手段に記憶した前記条件と比較して前記端末装置の利用者のアクセス権限を決定し、前記条件に従って前記データ記憶手段に記憶した情報へのアクセスを制御する情報アクセス制御手段と、を備えたことを特徴とする情報管理システム。
2. 前記情報アクセス管理装置は、複数のアクセス環境情報を記憶したアクセス環境記憶手段を備え、前記アクセス環境調査手段は、前記複数のアクセス環境情報から前記端末装置の位置情報に対応するアクセス環境情報を出力することを特徴とする請求項１記載の情報管理システム。
3. 前記情報アクセス制御手段によりアクセスを制御される情報のうちの前記条件と異なる内容を含む情報に対してマスク処理を行うマスク処理手段をさらに備えたことを特徴とする請求項１又は請求項２記載の情報管理システム。
4. 前記データ記憶手段が、第２のネットワークに接続された文書サーバに設けられて、
   前記情報アクセス制御手段が、前記アクセス権限情報と、前記アクセス環境情報とを、前記条件と比較して、前記文書サーバが安全に利用されると判断した場合には前記端末装置からのアクセス要求を前記文書サーバへ伝えるように、前記端末装置から前記文書サーバへのアクセスを切り替え制御することを特徴とする請求項１又は請求項２記載の情報管理システム。
5. 端末装置から利用者情報と、前記端末装置の位置情報とを受信する受信手段と、
   情報を記憶するデータ記憶手段と、
   前記利用者情報に基いて前記端末装置の利用者のアクセス権限情報を出力する利用者調査手段と、
   前記位置情報に基いて前記端末装置のアクセス環境情報を出力するアクセス環境調査手段と、
   少なくとも前記アクセス権限情報と前記アクセス環境情報とを含み前記データ記憶手段に記憶した情報へアクセスするための条件を記憶したセキュリティポリシ記憶手段と、
   前記アクセス権限情報と、前記アクセス環境情報とを、前記セキュリティポリシ記憶手段に記憶した前記条件と比較して前記端末装置の利用者のアクセス権限を決定し、前記条件に従って前記データ記憶手段に記憶した情報へのアクセスを制御する情報アクセス制御手段と、を備えたことを特徴とする情報アクセス管理装置。
6. 複数のアクセス環境情報を記憶したアクセス環境記憶手段を備え、前記アクセス環境調査手段は、前記複数のアクセス環境情報から前記端末装置の位置情報に対応するアクセス環境情報を出力することを特徴とする請求項５記載の情報アクセス管理装置。
7. 端末装置と、この端末装置にネットワークを介して接続された情報アクセス管理装置とを備えた情報管理システムに用いられる前記情報アクセス管理装置におけるコンピュータプログラムであって、
   コンピュータに、
   端末装置から利用者情報と、前記端末装置の位置情報とを受信するステップと、
   前記利用者情報に基いて前記端末装置の利用者のアクセス権限情報を出力するステップと、
   前記位置情報に基いて前記端末装置のアクセス環境情報を出力するステップと、
   少なくとも前記アクセス権限情報と前記アクセス環境情報とを含むデータ記憶手段に記憶された情報へアクセスするための条件を生成するステップと、
   前記アクセス権限情報と、前記アクセス環境情報とを、生成した前記条件と比較することにより前記端末装置の利用者のアクセス権限を決定するステップと、
   前記条件に従って前記データ記憶手段に記憶した情報へのアクセスを制御するステップと、を実行させることを特徴とするコンピュータプログラム。

Images