JP2008269544A - 利用対象情報管理装置及び利用対象情報管理方法ならびにそのプログラム - Google Patents

Abstract

【課題】持ち出されたデータの不正利用の責任の所在を明確にすることのできる利用対象情報管理装置を提供する。
【解決手段】持出パッケージデータを生成し、その持出パッケージデータを用いて利用対象情報の利用前のハッシュ値を生成する。そして利用前のハッシュ値を記憶する。また持出パッケージデータの持出許可を利用者の組織内端末へ通知する。そして、利用対象情報に対する利用時のハッシュ値と、利用対象情報の利用要求とを、組織外端末より受信すると、利用前のハッシュ値と、利用時のハッシュ値との比較に応じて、利用対象情報の組織外端末における利用可否を判定し、利用可と判定した場合には、組織外端末へ利用対象情報を復号する復号鍵と利用許可を示す情報とを送信する。
【選択図】図１

Description

本発明は、利用者の属する組織に接続された組織内端末と、前記組織に属さない組織外端末とで利用される利用対象情報を管理する利用対象情報管理装置及び利用対象情報管理方法ならびにそのプログラムに関する。

従来、外部に持ち出されるファイルの改竄等により不正にファイルが利用されることを防ぐ技術や、外部に持ち出されたファイルの第三者への漏洩を防ぐための技術が特許文献１〜特許文献３に開示されている。ここで、特許文献１の技術は、利用者が既存アプリケーションで作成された機密情報ファイルを、組織外部に持ち出して追加編集作業を行うことができるが、一旦格納された機密情報についてはファイル内部に閉じて第三者に漏洩することを防ぐ技術について開示されている。また、特許文献２の技術は、コンテンツの不正利用の効果的排除を可能とした技術について開示されている。また、特許文献３の技術は、暗号でプロテクトしたデータが不正に利用されることを防止する技術について開示されている。
特開２００６−１３９４７５号公報 特開２００３−５１８１６号公報 特開平１１−３９１５６号公報

ところで、外部に持ち出されるデータは、その持ち出した利用者自身によって改竄されて利用される可能性もあり、さらに、その外部に持ち出されたデータの不正利用が誰の責任によるものかを明確にすることが求められている。すなわち、外部に持ち出されるデータは改竄されるという問題があり、また、改竄されたデータが誰によって改竄されたかを特定することができないという問題がある。

本発明は、上記問題を解決すべくなされたもので、この発明は、外部に持ち出されたデータが改竄された場合に、当該データの不正利用を防止する利用対象情報管理装置及び利用対象情報管理方法ならびにそのプログラムを提供することを目的としている。

また、本発明は、外部に持ち出されたデータが、そのデータを持ち出した利用者自身によって改竄されることを防ぐと共に、持ち出されたデータの不正利用の責任の所在を明確にすることのできる利用対象情報管理装置及び利用対象情報管理方法ならびにそのプログラムを提供することを目的としている。

上記問題を解決するために、本発明は、端末装置に接続される利用対象情報管理装置であって、利用対象となる利用対象情報を暗号鍵により暗号化する暗号化手段と、前記暗号化手段により暗号化された前記利用対象情報と、前記暗号鍵に対応する復号鍵により前記暗号化された利用対象情報を復号して利用可能状態とする利用時処理プログラムと、からなる持出パッケージデータを生成する持出パッケージ生成手段と、前記持出パッケージデータから第１の改竄判定用情報を生成する改竄判定用情報生成手段と、持出パッケージデータを記憶する前記端末装置より、当該持出パッケージデータから生成された第２の改竄判定用情報を受信する改竄判定用情報受信手段と、前記第１の改竄判定用情報と前記第２の改竄判定用情報とに基づいて前記端末装置が記憶する持出パッケージデータの正当性を判定する正当性判定手段と、前記正当性判定手段において、前記持出パッケージデータが正当であると判定された場合に、前記端末装置に前記復号鍵を送信する復号鍵送信手段と、を備えることを特徴とする利用対象情報管理装置である。

また、本発明は、上記に記載の利用対象情報管理装置において、前記正当性判定手段が、前記第１の改竄判定用情報と前記第２の改竄判定用情報とが一致するか否かに基づいて前記端末装置の記憶する持出パッケージデータの正当性を判定することを特徴とする。

また、本発明は、上記に記載の発明において、前記第２の改竄判定用情報は、前記端末装置にて固有の改竄判定用情報暗号鍵（後述するユーザに予め割り当てられ、ユーザを特定可能な秘密鍵）によって暗号化されており、前記受信手段が受信する第２の改竄判定用情報に、前記改竄判定用情報暗号鍵に対応する改竄判定用情報復号鍵（後述するユーザに予め割り当てられ、ユーザを特定可能な公開鍵）を適用して復号できるか否かを判定し、復号できる場合に復号を行う改竄判定用情報復号手段を備え、前記正当性判定手段は、前記改竄判定用情報復号手段が前記第２の改竄判定用情報を復号できると判定した場合に、当該改竄判定用情報復号手段によって復号された前記第２の改竄判定用情報と、前記第１の改竄判定用情報とが一致するか否かを判定することを特徴とする。

また、本発明は、上記に記載の発明において、前記持出パッケージデータを受信する持出パッケージデータ受信手段（後述するファイル持出受付制御部１０７）と、前記受信した持出パッケージデータの送信元の端末装置が予め定められる特定の端末装置であるとき、当該持出パッケージデータに含まれるデータを読み出し、当該読み出したデータを前記復号鍵により復号して、その復号した利用対象情報を前記送信元の端末装置に送信する利用対象情報送信手段（後述するファイル持出受付制御部１０７）と、を備えることを特徴とする。

また、本発明は、上記に記載の発明において、前記暗号化手段が前記利用対象情報の暗号化に用いた暗号鍵に対応する復号鍵を、前記利用対象情報を示す情報に対応付けて記憶する復号鍵記憶手段（後述するディスク装置１０８）を備え、前記暗号化手段は、前記利用対象情報ごとに異なる暗号鍵を用いて暗号化を行い、または、前記利用対象情報が編集された場合には編集前の暗号鍵とは異なる暗号鍵を用いて暗号化を行い、暗号化の後に、当該用いた暗号鍵に対応する復号鍵を、前記利用対象情報を示す情報に対応付けて前記復号鍵記憶手段に記憶させ、前記復号鍵送信手段は、前記端末装置に前記復号鍵を送信する場合、前記利用対象情報に対応する復号鍵を前記復号鍵記憶手段から読み出して送信する
ことを特徴とする。

また、本発明は、利用者の属する組織に接続された組織内端末と、前記組織に属さない組織外端末とで利用される利用対象情報を管理する利用対象情報管理装置であって、暗号化された利用対象情報と利用時処理プログラムとによりデータ構成された持出パッケージデータを用いて生成された利用前の改竄判定用情報を記憶する改竄判定用情報記憶手段と、前記持出パッケージデータの持出許可を前記利用者の組織内端末へ通知する持出許可通知手段と、前記持出パッケージデータを用いて生成された前記利用対象情報の利用時の改竄判定用情報を組織外端末より受信する利用要求受付手段と、前記利用前の改竄判定用情報と、前記利用時の改竄判定用情報との比較に応じて、前記利用対象情報の前記組織外端末における利用可否を判定する利用可否判定手段と、前記利用対象情報を利用可と判定した場合には、前記組織外端末へ前記利用対象情報を復号する復号鍵を送信する利用許可手段と、を備えることを特徴とする利用対象情報管理装置である。

また、本発明は、上述の利用対象情報管理装置において、前記利用要求受付手段は、前記改竄判定用情報の代わりに、前記改竄判定用情報に対して前記利用者の暗号鍵を適用して暗号化された署名情報を受信し、前記署名情報に基づいて前記利用時の改竄判定用情報を取得する改竄判定用情報取得手段を備えることを特徴とする。

また、本発明は、上述の利用対象情報管理装置において、前記持出パッケージデータを生成する持出パッケージ生成手段と、前記利用対象情報の利用終了の通知と暗号化された編集後の前記利用対象情報とを受ける利用終了通知受付手段と、を備え、前記持出パッケージ生成手段は、前記利用終了の通知を受けた場合には、前記持出パッケージデータの生成において用いた暗号化した暗号鍵とは異なる暗号鍵を用いて前記編集後の利用対象情報を暗号化し、当該暗号化された利用対象情報を格納する新たな持出パッケージデータを生成し、前記組織外端末へ送信することを特徴とする。

また、本発明は、上述の利用対象情報管理装置において、前記組織内端末において前記持出パッケージデータに格納された利用対象情報が利用される場合に、前記組織内端末より前記持出パッケージデータを受信して、当該持出パッケージデータに格納されている前記利用対象情報を復号して前記組織内端末へ返信する利用対象情報復号返信手段と、を備えることを特徴とする。

また、本発明は、端末装置に接続される利用対象情報管理装置の利用対象情報管理方法であって、利用対象となる利用対象情報を暗号鍵により暗号化するステップと、暗号化された前記利用対象情報と、前記暗号鍵に対応する復号鍵により前記暗号化された利用対象情報を復号して利用可能状態とする利用時処理プログラムと、からなる持出パッケージデータを生成するステップと、前記持出パッケージデータから第１の改竄判定用情報を生成するステップと、持出パッケージデータを記憶する前記端末装置より、当該持出パッケージデータから生成された第２の改竄判定用情報を受信するステップと、前記第１の改竄判定用情報と前記第２の改竄判定用情報とに基づいて前記端末装置が記憶する持出パッケージデータの正当性を判定するステップと、前記持出パッケージデータが正当であると判定された場合に、前記端末装置に前記復号鍵を送信するステップと、を含むことを特徴とする利用対象情報管理方法である。

また、本発明は、利用者の属する組織に接続された組織内端末と、前記組織に属さない組織外端末とで利用される利用対象情報を管理する利用対象情報管理装置の利用対象情報管理方法であって、前記利用対象情報管理装置の改竄判定用情報記憶手段が、暗号化された利用対象情報と利用時処理プログラムとによりデータ構成された持出パッケージデータを用いて生成された利用前の改竄判定用情報を記憶し、前記利用対象情報管理装置の持出許可通知手段が、前記持出パッケージデータの持出許可を前記利用者の組織内端末へ通知し、前記利用対象情報管理装置の利用要求受付手段が、前記持出パッケージデータを用いて生成された前記利用対象情報の利用時の改竄判定用情報を組織外端末より受信し、前記利用対象情報管理装置の利用可否判定手段が、前記利用前の改竄判定用情報と、前記利用時の改竄判定用情報との比較に応じて、前記利用対象情報の前記組織外端末における利用可否を判定し、前記利用対象情報管理装置の利用許可手段が、前記利用対象情報を利用可と判定した場合には、前記組織外端末へ前記利用対象情報を復号する復号鍵を送信することを特徴とする利用対象情報管理方法である。

また、本発明は、端末装置に接続される利用対象情報管理装置として用いられるコンピュータに、利用対象となる利用対象情報を暗号鍵により暗号化する手順、暗号化された前記利用対象情報と、前記暗号鍵に対応する復号鍵により前記暗号化された利用対象情報を復号して利用可能状態とする利用時処理プログラムと、からなる持出パッケージデータを生成する手順、前記持出パッケージデータから第１の改竄判定用情報を生成する手順、持出パッケージデータを記憶する前記端末装置より、当該持出パッケージデータから生成された第２の改竄判定用情報を受信する手順、前記第１の改竄判定用情報と前記第２の改竄判定用情報とに基づいて前記端末装置が記憶する持出パッケージデータの正当性を判定する手順、前記持出パッケージデータが正当であると判定された場合に、前記端末装置に前記復号鍵を送信する手順、を実行させるためのプログラムである。

また、本発明は、利用者の属する組織に接続された組織内端末と、前記組織に属さない組織外端末とで利用される利用対象情報を管理する利用対象情報管理装置のコンピュータに実行させるプログラムであって、暗号化された利用対象情報と利用時処理プログラムとによりデータ構成された持出パッケージデータを用いて生成された利用前の改竄判定用情報を記憶する改竄判定用情報記憶処理と、前記持出パッケージデータの持出許可を前記利用者の組織内端末へ通知する持出許可通知処理と、前記持出パッケージデータを用いて生成された前記利用対象情報の利用時の改竄判定用情報を組織外端末より受信する利用要求受付処理と、前記利用前の改竄判定用情報と、前記利用時の改竄判定用情報との比較に応じて、前記利用対象情報の前記組織外端末における利用可否を判定する利用可否判定処理と、前記利用対象情報を利用可と判定した場合には、前記組織外端末へ前記利用対象情報を復号する復号鍵を送信する利用許可処理と、をコンピュータに実行させるプログラムである。

本発明によれば、パッケージデータに基づいて生成された第１の改竄判定情報と、パッケージデータを記憶する端末装置より、当該パッケージデータから生成された第２の改竄判定用情報を受信し、第１の改竄判定用情報と第２の改竄判定用情報とに基づいて端末装置が記憶するパッケージデータの正当性を判定し、当該パッケージデータが正当であると判定された場合に、端末装置にパッケージデータに含まれる暗号化された利用対象情報を復号する復号鍵を送信する構成とした。
これにより、パッケージデータが改竄されている場合、すなわちパッケージデータに含まれる暗号化された利用対象情報、利用時処理プログラムの両方、あるいはいずれか一方が改竄されている場合には、端末装置に復号鍵を送信しないようにすることができ、改竄された場合に利用対象情報が不正利用されることを防ぐことが可能となる。

本発明によれば、持出パッケージデータに基づいて予め生成した利用前の改竄判定情報と、組織外端末から送信される持出パッケージデータに基づいて生成された利用時の改竄判定情報とを比較に応じて、持ち出しパッケージデータに格納されている持出データの復号用の暗号鍵を組織外端末へ送信する構成とした。
これにより、持出パッケージデータが改竄されている場合、すなわち持出パッケージデータに含まれる暗号化された利用対象情報、利用時処理プログラムの両方、あるいはいずれか一方が改竄されている場合、端末装置に復号鍵を送信しないようにすることができ、組織外端末装置において利用対象情報が不正利用されることを防ぐことが可能となる。

また、本発明によれば、利用者が外部に持出パッケージデータを持ち出して利用した場合には、再度持出パッケージデータが生成される。これにより利用者は持出パッケージデータを利用する度に、署名情報を生成することとなる。そして、利用対象情報管理装置側ではその署名情報の確認において利用者の公開鍵で復号してハッシュ値を取得して、そのハッシュ値と予め記憶しているハッシュ値とを比較して利用対象情報の改竄を判定することとなる。そのため、利用対象情報の利用の度に、復号に用いた公開鍵からその利用対象情報を利用した利用者を確認できることとなる。また、これにより、外部に持ち出された利用対象情報の不正利用の有無を、その利用対象情報の利用のたびに判定するので、その不正の責任が誰にあるのかを明確にすることができる。

また、本発明によれば、持出パッケージデータを組織内端末に再度持ち込んだ際に、その持出パッケージデータの署名情報を用いて再度、当該持出パッケージデータが改竄されていないか否かを判定することとなるので、既に持ち出された利用対象情報を組織内で安全に利用することが可能となる。

以下、本発明の一実施形態による利用対象情報管理システムを図面を参照して説明する。図１は同実施形態による利用対象情報管理システムの構成を示すブロック図である。この図において、符号１はファイル持出管理サーバ（利用対象情報管理装置）である。また、２は組織内端末である。また、３は組織外端末である。また、４は管理者端末である。ファイル持出管理サーバ１は組織内ＬＡＮ（Local Area Network）を介して組織内端末２と管理者端末４とが接続されている。また、ファイル持出管理サーバ１はインターネット等の外部ネットワークを介して組織外端末３と接続されている。ここで、組織内端末２は利用者の属する組織のネットワーク内に接続された端末であり、組織外端末３は利用者が属する組織のネットワーク以外のネットワークに接続された端末である。なお、利用者の属する組織とは会社である場合や部署である場合、部署内のグループである場合など様々であるが、組織内・組織外は管理者が自由に設定することができるものとする。例えば、会社内であっても利用者が通常利用する端末をその利用者の属する組織内の端末、その他の全ての端末を組織外の端末とするようにしてもよい。

図２は利用対象情報管理システムにおける処理概要を示す図である。
この図が示すように、まずドキュメントファイル（以下、持出データともいう）などを外部に持ち出す利用者は、そのファイルの持出申請をファイル持出管理サーバ１へ送信する。そして、ファイル持出管理サーバ１では、ドキュメントファイルを共通鍵で暗号化して、そのドキュメントファイルを利用する際に端末が処理するためのプログラムを格納したアクセス制御ソフトにそのドキュメントファイルを格納する。これを持出パッケージデータとする。また、ファイル持出管理サーバ１は、持出パッケージデータを用いて利用前の改竄判定用情報を生成する。そして、持出パッケージデータは、利用者の端末に送信され、持出用メディア（CD-ROMなどの携帯型記録媒体）に格納され外部に持ち出される。また、持出用メディアに格納された持出パッケージデータは、組織外端末３にコピーされる。そして、その持出パッケージデータの利用時には、組織外端末３が、持出パッケージデータの改竄の有無の確認を行うために、持出パッケージデータを用いて利用時の改竄判定用情報を生成し、さらに、その情報を利用者の秘密鍵で暗号化した署名情報を生成して、ファイル持出管理サーバ１へ送信する。そして、ファイル持出管理サーバ１が、署名情報を復号化して利用時の改竄判定用情報を生成し、利用前の改竄判定用情報と利用時の改竄判定用情報とに基づいて改竄の有無を判定し、改竄がなければドキュメントファイルの復号鍵（共通鍵）を組織外端末３へ送信する。そして、組織外端末３では持出パッケージデータに格納されているドキュメントファイルを共通鍵で復号化して利用する。

ここで、アクセス制御ソフトとは、例えば、前述したドキュメントファイルがワードプロセッサソフトウェアなどによって生成されたものである場合、ワードプロセッサソフトウェアなどにおいて公開されるＡＰＩ（Application Interface）を利用して、予めインストールされたワードプロセッサソフトウェアなどが起動されて動作する際に、ワードプロセッサソフトウェアなどの印刷機能を不可にしたり、編集機能を不可にしたりする制限などの指定を行うソフトウェアである。
なお、上記の機能制限の他の構成として、組織外端末３のＭＡＣアドレスやＧＰＳ(Global Positioning System)を通じて取得される組織外端末３の位置情報などの情報に基づいて上述した編集機能や印刷機能などの制限を行う構成の他、そもそもワードプロセッサソフトウェアなどを起動させないように制限を行う構成も含むものとする。
また、アクセス制御ソフトとして、印刷機能を不可にしたり、編集機能を不可にしたりする機能制限などの改良が加えられたワードプロセッサソフトウェアなど自体を含むように構成してもよい。

図３は利用対象情報管理システムに属する各装置の機能ブロック図である。
この図で示すように、ファイル持出管理サーバ１には、他の端末と情報を送受信する通信装置１０１、サーバ内の各処理部を制御するＣＰＵ（central processing unit）１０２、メインメモリ１０３、履歴管理部１０４、利用者認証部１０５、持出承認−持出パッケージ生成部１０６、ファイル持出受付制御部１０７、ディスク装置１０８を備えている。なお、ディスク装置１０８には「ユーザＩＤ−パスワード情報」、「利用条件情報」、「利用履歴情報」、「ユーザ公開情報」が格納される。

前述した、ファイル持出管理サーバ１の通信装置１０１は、組織内端末２や組織外端末３、及び管理者端末４との通信の送受信を行う。また、履歴管理部１０４は、図４に示す利用履歴情報を生成してディスク装置１０８に記録する処理を行う。また、利用者認証部１０５は、ディスク装置１０８の「ユーザＩＤ−パスワード情報」を参照して、組織内端末２や組織外端末３を用いてファイル持出管理サーバ１へアクセスする利用者の認証の処理を行う。また、持出承認−持出パッケージ生成部１０６は、持出パッケージデータの生成及び端末への持出許可に関する処理を行う。また、ファイル持出受付制御部１０７は、通信装置１０１で受信される持出パッケージデータに格納されている持出データに対する利用要求情報に応じた処理を行う。

組織内端末２は他の装置と情報を送受信する通信装置２０１、キーボードやマウスなどの情報入力装置２０２、持出パッケージデータを作成する持出パッケージ作成制御ソフト部２０３、持出パッケージデータのハッシュ値の算出や署名情報を生成するデータハッシュ化−署名生成部２０４、ディスプレイ２０５、メディア入出力装置２０６、ＣＰＵ２０７、メインメモリ２０８、ディスク装置２０９を備えている。なお、ディスク装置２０９には、「持出パッケージデータ」、利用者の「利用者秘密鍵」などが記録されている。

前述した、組織内端末２の通信装置２０１は、ファイル持出管理サーバ１との間の情報の通信を行う。また、持出パッケージ作成制御ソフト部２０３は、ファイル持出管理サーバ１が持出パッケージデータを作成する際に、当該ファイル持出管理サーバ１と連携して処理を行い、また、組織内端末２内で持出パッケージデータが利用される際の制御を行う。データハッシュ化−署名生成部２０４は、持出パッケージデータのハッシュ値の生成と、そのハッシュ値を利用者の秘密鍵で暗号化して署名情報を生成する処理を行う。メディア入出力装置２０６は、ＵＳＢ（Universal Serial Bus）メモリなどの持出用メディア（記録媒体）からのデータの読み込み、または、その持出用メディア（記録媒体）へのデータの書き込みを行う。

なお、前述した持出パッケージ作成制御ソフト部２０３、データハッシュ化−署名生成部２０４は、組織内端末２に予め記憶されているファイル持出ソフトが起動されることで生成される機能部である。

組織外端末３は他の装置と情報を送受信する通信装置３０１、キーボードやマウスなどの情報入力装置３０２、持出パッケージ作成制御ソフト部３０３、データハッシュ化−署名生成部３０４、ディスプレイ３０５、メディア入出力装置３０６、ＣＰＵ３０７、メインメモリ３０８、ディスク装置３０９を備えている。なお、ディスク装置３０９には持出パッケージデータや利用者秘密鍵が格納される。

前述した、組織外端末３の通信装置３０１はファイル持出管理サーバ１との間の情報の通信を行う。また、持出パッケージ作成制御ソフト部３０３は、組織内端末３内で持出パッケージデータが利用される際の制御を行う。また、データハッシュ化−署名生成部３０４は、持出パッケージデータのハッシュ値の生成と、そのハッシュ値を利用者の秘密鍵で暗号化して署名情報を生成する処理を行う。メディア入出力装置３０６はＵＳＢメモリなどの持出用メディア（記録媒体）からのデータの読み込み、または、その持出用メディア（記録媒体）へのデータの書き込みを行う。
なお、組織外端末３は、組織内のネットワークに接続された場合には組織内端末として動作することもできるため、組織内端末２と同様に、ファイル持出管理サーバ１が持出パッケージデータを作成する際に当該ファイル持出管理サーバ１と連携した処理を行うようにしてもよい。

なお、前述した持出パッケージ作成制御ソフト部３０３、データハッシュ化−署名生成部３０４は、持出パッケージデータが起動されることで生成される機能部である。

管理者端末４は、他の装置と情報を送受信する通信装置４０１、キーボードやマウスなどの情報入力装置４０２、ＣＰＵ４０３、メインメモリ４０４、ディスプレイ４０５、ディスク装置４０６を備えている。

次に、ファイル持出管理サーバが記憶する情報について説明する。
図４はファイル持出管理サーバが記憶する利用履歴情報のデータ例を示す図である。
利用履歴情報には、「利用日時」、「操作種別閲覧」、「対象データ」、「利用ユーザＩＤ」、「ＭＡＣアドレス」、「利用ネットワーク」の項目があり、ファイル持出管理サーバ１のディスク装置１０８は、利用履歴情報として、図４に示すように、利用日時、操作種別（閲覧など）、対象データ（持出データ）、利用ユーザＩＤ、ＭＡＣアドレス、利用ネットワークなどの情報を対応付けて記憶する。

図５はファイル持出管理サーバが記憶するユーザ公開鍵情報のデータ例を示す図である。
ユーザ公開情報には、「ユーザＩＤ」、「公開鍵」の項目があり、ファイル持出管理サーバ１のディスク装置１０８は、ユーザ公開鍵情報として、図５に示すように、ユーザＩＤと公開鍵とを対応付けて記憶する。

図６はファイル持出管理サーバが記憶するユーザＩＤ−パスワード情報のデータ例を示す図である。
ユーザＩＤ−パスワード情報には、「ユーザＩＤ」、「アカウント名」、「パスワード」、「ＭＡＣアドレス」、「メールアドレス」、「公開鍵情報（公開場所）」の項目があり、ファイル持出管理サーバ１のディスク装置１０８は、ユーザＩＤ、パスワード情報として、図６に示すように、ユーザＩＤ、アカウント名、パスワードを対応付けて記憶するとともに、さらにユーザの利用する端末のＭＡＣアドレス、メールアドレス、公開鍵情報を対応付けて記憶する。

例えば、組織内端末２のユーザ及び組織外端末３のユーザごとに、図６のそれぞれの項目に該当する情報が予め記憶されている。なお、「公開鍵情報（公開場所）」は、インターネット等で公開されるサーバのＵＲＩ(Universal Resource Identifier)が設定され、当該ＵＲＩに接続することで当該ユーザの公開鍵が取得可能とされる。

図７はファイル持出管理サーバが記憶する利用条件情報のデータ例を示す図である。
利用条件情報には、「持出パッケージハッシュ情報」、「ハッシュ情報作成日時」、「利用ユーザＩＤ」、「アクセス許可日時」、「アクセス種別、回数」、「ＭＡＣアドレス」、「利用ネットワーク」、「住所」、「電話番号」の項目があり、ファイル持出管理サーバ１のディスク装置１０８は、利用条件情報として、持出パッケージハッシュ情報、ハッシュ情報作成日時、利用者ＩＤ、アクセス許可日時、アクセス種別・回数、ＭＡＣアドレス、利用ネットワーク、住所、電話番号などを対応付けて記憶する。

図８は利用対象情報管理システムにおける処理フローを示す第１の図である。
図９は利用対象情報管理システムにおける処理フローを示す第２の図である。
図１０は利用対象情報管理システムにおける処理フローを示す第３の図である。
次に図８〜図１０を用いて利用対象情報管理システムにおける処理フローを説明する。

（持出パッケージデータの準備段階）
まず、図８よりファイルを持ち出したいと希望するユーザは、組織内端末に予め備えられているファイル持出ソフトを起動する（ステップＳ１０１）。これにより、持出パッケージ作成制御ソフト部２０３、データハッシュ化−署名生成部２０４の機能が組織内端末２に構成される。

そして、持出データ（例えば、ワードプロセッサソフトにより生成されるドキュメントファイルなどの利用対象情報）の指定と持出条件を指定して（ステップＳ１０２）、持出要求を組織内端末２に入力することで、組織内端末２は持出要求情報と持出データとをファイル持出管理サーバ１へ送信する（ステップＳ１０３）。するとファイル持出管理サーバ１は、持出要求情報と持出データとを管理者端末へ送信する（ステップＳ１０４）。管理者端末４においては、持出要求情報と持出データとを受信すると、その持出データの内容の確認を管理者より受けるために持出データの情報や持出要求を行っているユーザの情報（持出要求情報等に格納されている）を画面に表示する（ステップＳ１０５）。次に、管理者が承認または否認の情報を管理者端末４に入力する。そして、管理者端末４は判断結果（承認ｏｒ否認）をファイル持出管理サーバ１へ通知する（ステップＳ１０６）。

次に、ファイル持出管理サーバ１は、判断結果の通知を受けるとその結果が承認ＯＫかＮＧ（否認）かを判断し（ステップＳ１０７）、ＮＧであれば組織内端末２へ否認の情報を通知する。また、ＯＫであればファイル持出管理サーバ１は、受信した持出データを共通鍵Ａで暗号化して、持出情報を生成しその持出情報をディスク装置１０８に登録しておく（ステップＳ１０８）。また、ファイル持出管理サーバ１は、暗号化した持出データを含む持出パッケージデータを生成し、その持出パッケージデータとともに署名要求を示す情報を組織内端末２へ送信する（ステップＳ１０９）。
なお、上述したように、持出パッケージデータとは持出データとその持出データを組織外部で利用するために組織外端末３で動作する利用時処理プログラム、すなわち前述したアクセス制御ソフト及び当該アクセス制御ソフトに含まれる組織外端末３で起動されることで持出パッケージ作成制御ソフト部３０３及びデータハッシュ化−署名生成部３０４の機能を構成するソフトウェアとが一体となったデータである。
また、ファイル持出管理サーバ１は、ハッシュ関数を用いて持出パッケージデータのハッシュ値Ａを算出し、利用ユーザＩＤに対応付けてそのハッシュ値Ａ（利用前の改竄判定用情報）を利用条件情報としてディスク装置１０８へ登録する（ステップＳ１１０）。この時ハッシュ情報（ハッシュ値）作成日時も共に登録する。

次に、組織内端末２は持出パッケージデータと署名要求を受信すると、ハッシュ関数を用いて持出パッケージデータのハッシュ値Ｂを算出する。なお、この時利用するハッシュ関数は、ファイル持出管理サーバ１が用いたハッシュ関数と同一であるものとする。そして算出されたハッシュ値Ｂを利用者の秘密鍵で暗号化する（ステップＳ１１１）。この暗号化された情報を署名情報と呼ぶこととする。次に、組織内端末２は署名情報をファイル持出管理サーバ１へ送信する（ステップＳ１１２）。

ファイル持出管理サーバ１では、署名情報を受信すると、利用者の公開鍵を利用して署名情報を復号化して、ハッシュ値Ｂを取得する（ステップＳ１１３）。そしてハッシュ値Ａとハッシュ値Ｂとを比較して同一か否か、つまり、値が一致するかを判定する（ステップＳ１１４）。ＮＧ（一致しない場合）であれば、ファイル持出管理サーバ１は、ＮＧの情報を組織内端末２へ通知する。また、ＯＫであれば、持出データの組織外への持出行為を承認し、持出許可を示す情報を組織内端末２へ通知する（ステップＳ１１５）。

組織内端末２では持出許可を示す情報を受信すると、その旨を画面に表示する。するとユーザは、組織内端末２を操作して持出パッケージデータを持出用メディア（ＣＤ−ＲＯＭやＵＳＢメモリ）へ保存する（ステップＳ１１６）。そして、ユーザは最初のステップで起動したファイル持出ソフトを終了させる（ステップＳ１１７）。

ここで、図８を用いて説明した各処理において、ステップＳ１０１、Ｓ１０２、Ｓ１０３、Ｓ１１６、Ｓ１１７に関連する組織内端末２の処理は、組織内端末２の持出パッケージ作成制御ソフト部２０３により行われる処理である。また、ステップＳ１１１、Ｓ１１２に関連する組織内端末２の処理は、組織内端末２のデータハッシュ化−署名生成部２０４により行われる処理である。また、ステップＳ１０４、Ｓ１０７〜Ｓ１１０、Ｓ１１３〜Ｓ１１５に関連するファイル持出管理サーバ１の各処理は、当該ファイル持出管理サーバ１の持出承認−持出パッケージ生成部１０６により行われる処理である。

（持出パッケージデータの利用段階）
次に、持出データの組織外端末における利用時の処理について説明する。
図９より、ユーザはＵＳＢメモリやＣＤ−ＲＯＭなどの持出用メディアに格納して持ち出した持出パッケージデータ中の持出データを利用する際には、まず、組織外端末３にて、持出パッケージデータを起動して、ファイル持出管理サーバ１へアクセスする。このとき、組織外端末３では、持出パッケージ作成制御ソフト部３０３及びデータハッシュ化−署名生成部３０４の機能が構成される（ステップＳ２０１）。また、この時ユーザは組織外端末３へユーザ認証情報（ユーザＩＤやアカウント名やパスワード）を入力する（ステップＳ２０２）。すると組織外端末３は認証情報（ユーザＩＤやアカウント名やパスワード）と利用要求を示す情報をセキュリティの高いＳＳＬ（Secure Socket Layer）通信などで送信する。そして、ファイル持出管理サーバ１は、認証情報で示される情報の組み合わせがディスク装置１０８のユーザＩＤ−パスワード情報に格納されている組み合わせと一致するか否かによって認証し、認証結果がＯＫかＮＧかを判定する（ステップＳ２０３）。そして、ＮＧであればその旨の情報を組織外端末３へ通知する。また、認証がＯＫであれば、持出パッケージデータ署名情報送信の要求をＳＳＬ通信により組織外端末３へ送信する（ステップＳ２０４）。

次に、組織外端末３は、持出パッケージデータとハッシュ関数とを用いて、持出パッケージデータのハッシュ値Ｃ（利用時の改竄判定用情報）を生成する。なお、このハッシュ関数は、上述の処理においてファイル持出管理サーバ１が利用したハッシュ関数と同一であるものとする。そして、組織外端末３は、ハッシュ値Ｃを利用者の秘密鍵で暗号化する。このハッシュ値Ｃが暗号化された情報を署名情報とする。そして、組織外端末３は署名情報をＳＳＬ通信でファイル持出管理サーバ１へ送信する（ステップＳ２０５）。

次に、ファイル持出管理サーバ１は、署名情報を利用者の公開鍵で復号してハッシュ値Ｃを取得する（ステップＳ２０６）。そして、ハッシュ値Ａとハッシュ値Ｃとが同一か否かを判定する（ステップＳ２０７）。ＮＧであれば組織外端末３へＮＧである旨を通知する。また、ＯＫであれば起動許可と共通鍵ＡとをＳＳＬ通信により組織外端末３へ送信する（ステップＳ２０８）。次に、組織外端末３は、持出パッケージデータに格納されている持出データの起動許可を画面等に表示する。すると、利用者は共通鍵Ａによる持出データの復号化を組織外端末３に指示し、組織外端末３が持出データを復号する（ステップＳ２０９）。これにより、利用者は組織外端末３を用いて外部での持出データの閲覧・編集を行うことができる。なお、持出データが利用されている間、組織外端末３は、その持出データの利用状況を確認し、その利用状況を示す利用情報をファイル持出管理サーバ１へ送信する。この利用情報には閲覧されたか、編集されたか、コピーされたか、印刷されたか等を示す情報である。ファイル持出管理サーバ１は利用情報を受信すると、その情報に基づいて利用履歴情報を登録する（ステップＳ２１０）。

また、利用者が組織外端末３に操作終了を指示すると、組織外端末３は上書き保存要求と暗号化した持出データとをＳＳＬ通信によりファイル持出管理サーバ１へ送信する（ステップＳ２１１）。すると、ファイル持出管理サーバ１は、共通鍵Ｂを用いて編集された持出データを暗号化し、上書き（編集の処理）の情報を履歴情報として登録する（ステップＳ２１２）。そして、暗号化した持出データを格納した持出パッケージデータを生成し、その持出パッケージデータと署名要求とをＳＳＬ通信により組織外端末３へ送信する（ステップＳ２１３）。また、ファイル持出管理サーバ１は、持出パッケージデータとハッシュ関数とを用いてハッシュ値Ａ’を生成し、利用条件情報としてディスク装置１０８に登録する（ステップＳ２１４）。つまり、ファイル持出管理サーバ１は、ディスク装置１０８で記憶しているハッシュ値Ａを、新たなハッシュ値Ａ’に更新している。

なお、上述の処理においては、持出パッケージデータのハッシュ値を生成して、そのハッシュ値と記憶しているハッシュ値とを比較して持出パッケージデータの改竄を判定しているが、これに限らず、持出パッケージデータやそれに格納されている持出データのままで、予め記憶している持出パッケージデータや持出データと比較して改竄を判定するようにしてもよい。また、署名情報の生成において利用者の秘密鍵を用いているが、これに限らず、利用者と管理者の共通鍵を利用するようにしてもよい。更に、上述の処理以外に、持出データの操作終了後に組織外端末３が自らハッシュ値Ａ’を生成し、当該ハッシュ値Ａ’のみを、利用者の秘密鍵や事前に管理者と共有された共通鍵によって暗号化してファイル管理サーバ１に送信することで、ファイル持出管理サーバ１がディスク装置１０８で記憶しているハッシュ値Ａを、受信した新たなハッシュ値Ａ’に更新するようにしてもよい。この場合ステップＳ２１３以降の処理における持出パッケージデータの新たな生成、及び生成した持出パッケージデータに関連する処理は行われないこととなる。

次に、組織外端末３においては持出パッケージデータと署名要求とを受信すると、持出パッケージデータとハッシュ関数とを用いてハッシュ値Ｂ’を生成し、その値を利用者の秘密鍵で暗号化する（ステップＳ２１５）。そして、この暗号化したデータを署名情報とする。そして、組織外端末３は署名情報をＳＳＬ通信によりファイル持出管理サーバ１へ送信する（ステップＳ２１６）。ファイル持出管理サーバ１では署名情報を受信すると、利用者の公開鍵で復号しハッシュ値Ｂ’を取得する（ステップＳ２１７）。そして、ハッシュ値Ａ’とハッシュ値Ｂ’の値が同一か否かを判定し（ステップＳ２１８）、同一でない場合にはＮＧを組織外端末３へ通知する。また、同一である場合にはＯＫと判定し、持出行為を承認し、持出許可を組織外端末３へ通知する（ステップＳ２１９）。また、組織外端末３においては、利用者の指示によって持出パッケージデータを持出用メディアに保存する（ステップＳ２２０）。そして、利用者は、ステップＳ２０１で起動した持出パッケージデータを終了させる（ステップＳ２２１）。なお、持出データの利用終了時のステップＳ２１６〜ステップＳ２１８の処理は行わないようにしても良い。つまり、ハッシュ値Ａ’の改竄判定用情報を更新して、その処理の後は持出行為を承認する処理へと移行するようにしても良い。

ここで、図９を用いて説明した各処理において、ステップＳ２０１、Ｓ２０２、Ｓ２０９、Ｓ２１１、Ｓ２２０、Ｓ２２１に関連する処理は、組織外端末３の持出パッケージ作成制御ソフト部３０３により行われる処理である。また、ステップＳ２０５、Ｓ２１５、Ｓ２１６に関連する処理は、組織外端末３のデータハッシュ化−署名生成部３０４により行われる処理である。また、ステップＳ２０３に関連するファイル持出管理サーバ１の処理は、当該ファイル持出管理サーバ１の利用者認証部１０５により行われる処理である。また、ステップＳ２０４、Ｓ２０６〜Ｓ２０８、Ｓ２１２〜Ｓ２１４、Ｓ２１７〜２１９に関連するファイル持出管理サーバ１の各処理は、当該ファイル持出管理サーバ１のファイル持出受付制御部１０７により行われる処理である。また、ステップＳ２１０に関連するファイル持出管理サーバ１の処理は、履歴管理部１０４により行われる処理である。

また、上述の処理によれば、利用者が外部に持出データを持ち出して利用した場合には、再度持出パッケージデータが生成される。これにより、利用者は持出パッケージデータを利用するたびに、署名情報を生成することとなる。そして、ファイル持出管理サーバ１側ではその署名情報の確認において利用者の公開鍵で復号してハッシュ値を取得して、そのハッシュ値と予め記憶しているハッシュ値とを比較して持出データの改竄を判定することとなるので、持出データの利用の度に、復号に用いた公開鍵からそのデータを利用する利用者を確認できることとなる。また、これにより、また外部に持ち出されたデータの不正利用の有無を、その持出データの利用のたびに判定するので、その不正の責任が誰にあるのかを明確にすることができる。

（持出パッケージデータの組織内端末による再利用）
次に、持出データを組織内へ持ち帰った際の処理について説明する。
利用者は、外部へ持出した持出パッケージデータをＵＳＢメモリ等の持出用メディアから組織内端末２へデータ移動させたとする。組織内端末２においては持出データを持出パッケージデータ内に格納しておく必要がないため、以下の処理を行う。図１０より、まず利用者がファイル持出ソフトを起動する（ステップＳ３０１）。すると組織内端末２はファイル持出管理サーバ１へアクセスする。そして、組織内端末２はユーザ認証情報の入力を利用者から受け付けて、認証情報と利用要求情報をファイル持出管理サーバ１へ送信する（ステップＳ３０２）。ファイル持出管理サーバ１は受信した認証情報を用いて認証を行い、認証結果がＯＫかＮＧかを判定する（ステップＳ３０３）。そして、ＮＧの場合にはその旨を組織内端末２へ送信する。また、認証結果がＯＫである場合には、ファイル持出管理サーバ１は持出パッケージデータの署名情報送信要求を組織内端末２へ送信する（ステップＳ３０４）。すると、組織内端末２は、持出パッケージデータとハッシュ関数とを用いてハッシュ値Ｃ’を生成する。このハッシュ関数についても上述のハッシュ値の算出に利用されたハッシュ関数と同一である。そして、組織内端末２はハッシュ値Ｃ’を利用者の秘密鍵で暗号化する。この暗号化されたハッシュ値Ｃ’を署名情報とする。そして、組織内端末２は署名情報をファイル持出管理サーバ１へ送信する（ステップＳ３０５）。

次に、ファイル持出管理サーバ１は受信した署名情報を利用者の公開鍵で復号しハッシュ値Ｃ’を取得する（ステップＳ３０６）。そして、ハッシュ値Ｃ’とハッシュ値Ａ’が同一か否かを判定する（ステップＳ３０７）。ハッシュ値Ｃ’とハッシュ値Ａ’とが同一でなければ（ＮＧの場合）、ファイル持出管理サーバ１は、組織内端末２へＮＧを通知する。また、ハッシュ値Ｃ’とハッシュ値Ａ’とが同一である場合には（ＯＫの場合）、そのＯＫを認証結果として組織内端末２へ通知する。すると組織内端末２は、持出パッケージデータをファイル持出管理サーバ１へ送信する（ステップＳ３０８）。するとファイル持出管理サーバ１は持出パッケージデータに格納されている持出データを共通鍵Ｂで復号化する（ステップＳ３０９）。そして、復号化した持出データを組織内端末２へ返信する（ステップＳ３１０）。組織内端末２は、復号された持出データを受信すると、その持出データをディスク装置２０９へ保存し（ステップＳ３１１）、持出パッケージデータを破棄する（ステップＳ３１２）。そしてユーザの操作に基づいてファイル持出ソフトを終了させる（ステップＳ３１３）。

ここで、図１０を用いて説明した各処理において、ステップＳ３０１、Ｓ３０２、Ｓ３０８、Ｓ３１１、Ｓ３１２、Ｓ３１３に関連する処理は、組織内端末２の持出パッケージ作成制御ソフト部２０３により行われる処理である。また、ステップＳ３０５に関連する処理は、組織内端末２のデータハッシュ化−署名生成部２０４により行われる処理である。また、ステップＳ３０３に関連するファイル持出管理サーバ１の処理は、当該ファイル持出管理サーバ１の利用者認証部１０５により行われる処理である。また、ステップＳ３０４〜Ｓ３０７、Ｓ３０９、Ｓ３１０に関連するファイル持出管理サーバ１の各処理は、当該ファイル持出管理サーバ１のファイル持出受付制御部１０７により行われているものとする。

持出データを組織内へ持ち帰った際の上記処理によれば、持出パッケージデータを組織内端末に再度持ち込んだ際に、その持出パッケージデータの署名情報を用いて再度、当該持出パッケージデータが改竄されていないか否かを判定することとなるので、既に持ち出された持出データを組織内で安全に利用することが可能となる。

なお、上記の実施形態の構成において、共通鍵Ａ及び共通鍵Ｂは、異なる共通鍵としているが、これらの共通鍵は同じであってもよい。
また、ファイル持出管理サーバ１にて用いられる共通鍵、すなわち上述した共通鍵Ａ、共通鍵Ｂが異なる場合には、予め複数の共通鍵がディスク装置１０８に記憶されており、持出承認−持出パッケージ生成部１０６が、持出データを暗号化する際に、ランダムに選択し、選択した共通鍵をディスク装置１０８のユーザＩＤ−パスワード情報に、ユーザＩＤに対応付けて記憶させるようにしてもよい。また、予め共通鍵を記憶させておくのではなく、利用する際に、ファイル持出管理サーバ１にて動的に共通鍵を生成するようにしてもよい。また、上記の実施形態では、持出データの暗号化にて、暗号鍵と復号鍵が同一の共通鍵を適用しているが、本発明は当該実施形態の構成には限られず、例えば、秘密鍵と公開鍵のような、暗号鍵と復号鍵が異なる組み合わせにて、持出パッケージデータを暗号鍵で暗号化し、ハッシュ値が一致して組織外端末３に鍵を送信する際に復号鍵を送信するようにしてもよい。

また、上記の実施形態の構成においては、ファイル持出管理サーバ１が組織内端末２から持出要求情報を受信したことを契機に持出パッケージデータを生成して、組織内端末２へ送信し、当該持出パッケージデータが組織外端末３へ持ち出される実施形態について説明しているが、組織内端末２を含めないシステム構成としてもよい。
例えば、ファイル持出管理サーバ１がＣＤ−ＲＯＭなどの記録媒体に格納された持出データを読み込んで、その持出データを格納した持出パッケージデータを生成し、当該持出パッケージデータのハッシュ値を生成して記憶しておき、持出パッケージデータを組織外端末３へ送信するようなシステムであってもよい。

また、上記の実施形態では、組織内端末２にインストールされているファイル持出ソフトが実行されることにより、持出パッケージ作成制御ソフト部２０３及びデータハッシュ化−署名生成部２０４が構成される実施の形態について説明したが、組織内端末２にてファイル持出ソフトを用いずに構成する実施形態としてもよい。
例えば、ウェブブラウザ等により組織内端末２からファイル持出管理サーバ１に接続し、持出データを当該ウェブブラウザにてファイル持出管理ソフト１に送信して、ファイル持出管理ソフト１に持出パッケージデータを生成させ、当該持出パッケージデータを利用するようにしてもよい。

また、上記の実施形態では、持出パッケージデータとは、持出データとアクセス制御ソフトが一体となったデータとし、アクセス制御ソフトには、持出パッケージ作成制御ソフト部３０３及びデータハッシュ化−署名生成部３０４の機能が含まれるとしているが、本発明は当該構成に限られず、アクセス制御ソフトに、持出パッケージ作成制御ソフト部３０３及びデータハッシュ化−署名生成部３０４の機能のうち図９のステップＳ２０１（起動）、Ｓ２０５（ハッシュ値の生成に係る処理の部分）、Ｓ２０９（共通鍵による復号）、Ｓ２２１（終了）の機能のみを備えさせるようにしてもよい。

また、上記の実施形態では、データハッシュ化−署名生成部２０４は、ファイル持出ソフトに備えられ、データハッシュ化−署名生成部３０４は、持出パッケージデータに備えられるようにしているが、これらの機能部の内、署名情報に関する処理を行う機能（ステップＳ２０５（署名情報の生成に係る処理の部分）、Ｓ２１５（署名情報の生成に係る処理の部分）、Ｓ２１６）については、ファイル持出ソフトや持出パッケージデータに備えず、別途インストールされた署名ソフトウェアを用いて、署名情報を生成するようにしてもよい。

また、上記の実施形態では、ディスク装置１０８の「ユーザＩＤ−パスワード情報」を参照して、ファイル持出管理サーバ１において認証が行われるように構成しているが、本発明は当該構成には限られず、例えば、組織外端末３から送信される電子証明書などにより認証を行なうようにしてもよい。

本発明に記載の暗号化手段と持出パッケージ生成手段と改竄判定用情報生成手段とは、上述した持出承認−持出パッケージ生成部１０６に対応する。また、本発明に記載の改竄判定用情報受信手段と正当性判定手段と復号鍵送信手段とは、上述したファイル持出受付制御部１０７に対応する。また、本発明に記載の利用時処理プログラムは、上述したアクセス制御プログラムに対応する。

また、本発明に記載の改竄判定用情報記憶手段は、上述したディスク装置１０８のユーザＩＤ−パスワード情報に対応する。また、本発明に記載の持出許可通知手段は、上述した持出承認−持出パッケージ生成部１０６に対応する。また、本発明に記載の利用要求受付手段と利用可否判定手段と利用許可手段とは、上述したファイル持出受付制御部１０７に対応する。また、本発明に記載の改竄判定用情報取得手段は、上述したファイル持出受付制御部１０７に対応する。また、本発明に記載の持出パッケージ生成手段は、上述した持出承認−持出パッケージ生成部１０６に対応する。また、本発明に記載の利用終了通知受付手段と利用対象情報復号送信手段は、上述したファイル持出受付制御部１０７に対応する。

なお、上述の各装置は内部に、コンピュータシステムを有している。そして、上述した処理の過程は、プログラムの形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータが読み出して実行することによって、上記処理が行われる。ここでコンピュータ読み取り可能な記録媒体とは、磁気ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、半導体メモリ等をいう。また、このコンピュータプログラムを通信回線によってコンピュータに配信し、この配信を受けたコンピュータが当該プログラムを実行するようにしても良い。

また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。

利用対象情報管理システムの構成を示すブロック図である。 利用対象情報管理システムにおける処理概要を示す図である。 利用対象情報管理システムに属する各装置の機能ブロック図である。 利用履歴情報のデータ例を示す図である。 ユーザ公開鍵情報のデータ例を示す図である。 ユーザＩＤ−パスワード情報のデータ例を示す図である。 利用条件情報のデータ例を示す図である。 利用対象情報管理システムにおける処理フローを示す第１の図である。 利用対象情報管理システムにおける処理フローを示す第２の図である。 利用対象情報管理システムにおける処理フローを示す第３の図である。

符号の説明

１・・・ファイル持出管理サーバ
２・・・組織内端末
３・・・組織外端末
４・・・管理者端末

Claims (9)

1. 端末装置に接続される利用対象情報管理装置であって、
   利用対象となる利用対象情報を暗号鍵により暗号化する暗号化手段と、
   前記暗号化手段により暗号化された前記利用対象情報と、前記暗号鍵に対応する復号鍵により前記暗号化された利用対象情報を復号して利用可能状態とする利用時処理プログラムと、からなる持出パッケージデータを生成する持出パッケージ生成手段と、
   前記持出パッケージデータから第１の改竄判定用情報を生成する改竄判定用情報生成手段と、
   持出パッケージデータを記憶する前記端末装置より、当該持出パッケージデータから生成された第２の改竄判定用情報を受信する改竄判定用情報受信手段と、
   前記第１の改竄判定用情報と前記第２の改竄判定用情報とに基づいて前記端末装置が記憶する持出パッケージデータの正当性を判定する正当性判定手段と、
   前記正当性判定手段において、前記持出パッケージデータが正当であると判定された場合に、前記端末装置に前記復号鍵を送信する復号鍵送信手段と、
   を備えることを特徴とする利用対象情報管理装置。
2. 利用者の属する組織に接続された組織内端末と、前記組織に属さない組織外端末とで利用される利用対象情報を管理する利用対象情報管理装置であって、
   暗号化された利用対象情報と利用時処理プログラムとによりデータ構成された持出パッケージデータを用いて生成された利用前の改竄判定用情報を記憶する改竄判定用情報記憶手段と、
   前記持出パッケージデータの持出許可を前記利用者の組織内端末へ通知する持出許可通知手段と、
   前記持出パッケージデータを用いて生成された前記利用対象情報の利用時の改竄判定用情報を組織外端末より受信する利用要求受付手段と、
   前記利用前の改竄判定用情報と、前記利用時の改竄判定用情報との比較に応じて、前記利用対象情報の前記組織外端末における利用可否を判定する利用可否判定手段と、
   前記利用対象情報を利用可と判定した場合には、前記組織外端末へ前記利用対象情報を復号する復号鍵を送信する利用許可手段と、
   を備えることを特徴とする利用対象情報管理装置。
3. 前記利用要求受付手段は、前記改竄判定用情報の代わりに、前記改竄判定用情報に対して前記利用者の暗号鍵を適用して暗号化された署名情報を受信し、
   前記署名情報に基づいて前記利用時の改竄判定用情報を取得する改竄判定用情報取得手段を備える
   ことを特徴とする請求項２に記載の利用対象情報管理装置。
4. 前記持出パッケージデータを生成する持出パッケージ生成手段と、
   前記利用対象情報の利用終了の通知と暗号化された編集後の前記利用対象情報とを受ける利用終了通知受付手段と、を備え、
   前記持出パッケージ生成手段は、前記利用終了の通知を受けた場合には、前記持出パッケージデータの生成において用いた暗号化した暗号鍵とは異なる暗号鍵を用いて前記編集後の利用対象情報を暗号化し、当該暗号化された利用対象情報を格納する新たな持出パッケージデータを生成し、前記組織外端末へ送信する
   ことを特徴とする請求項２または請求項３に記載の利用対象情報管理装置。
5. 前記組織内端末において前記持出パッケージデータに格納された利用対象情報が利用される場合に、前記組織内端末より前記持出パッケージデータを受信して、当該持出パッケージデータに格納されている前記利用対象情報を復号して前記組織内端末へ返信する利用対象情報復号返信手段と、
   を備えることを特徴とする請求項２から請求項４に記載の利用対象情報管理装置。
6. 端末装置に接続される利用対象情報管理装置の利用対象情報管理方法であって、
   利用対象となる利用対象情報を暗号鍵により暗号化するステップと、
   暗号化された前記利用対象情報と、前記暗号鍵に対応する復号鍵により前記暗号化された利用対象情報を復号して利用可能状態とする利用時処理プログラムと、からなる持出パッケージデータを生成するステップと、
   前記持出パッケージデータから第１の改竄判定用情報を生成するステップと、
   持出パッケージデータを記憶する前記端末装置より、当該持出パッケージデータから生成された第２の改竄判定用情報を受信するステップと、
   前記第１の改竄判定用情報と前記第２の改竄判定用情報とに基づいて前記端末装置が記憶する持出パッケージデータの正当性を判定するステップと、
   前記持出パッケージデータが正当であると判定された場合に、前記端末装置に前記復号鍵を送信するステップと、
   を含むことを特徴とする利用対象情報管理方法。
7. 利用者の属する組織に接続された組織内端末と、前記組織に属さない組織外端末とで利用される利用対象情報を管理する利用対象情報管理装置の利用対象情報管理方法であって、
   前記利用対象情報管理装置の改竄判定用情報記憶手段が、暗号化された利用対象情報と利用時処理プログラムとによりデータ構成された持出パッケージデータを用いて生成された利用前の改竄判定用情報を記憶し、
   前記利用対象情報管理装置の持出許可通知手段が、前記持出パッケージデータの持出許可を前記利用者の組織内端末へ通知し、
   前記利用対象情報管理装置の利用要求受付手段が、前記持出パッケージデータを用いて生成された前記利用対象情報の利用時の改竄判定用情報を組織外端末より受信し、
   前記利用対象情報管理装置の利用可否判定手段が、前記利用前の改竄判定用情報と、前記利用時の改竄判定用情報との比較に応じて、前記利用対象情報の前記組織外端末における利用可否を判定し、
   前記利用対象情報管理装置の利用許可手段が、前記利用対象情報を利用可と判定した場合には、前記組織外端末へ前記利用対象情報を復号する復号鍵を送信する
   ことを特徴とする利用対象情報管理方法。
8. 端末装置に接続される利用対象情報管理装置として用いられるコンピュータに、
   利用対象となる利用対象情報を暗号鍵により暗号化する手順、
   暗号化された前記利用対象情報と、前記暗号鍵に対応する復号鍵により前記暗号化された利用対象情報を復号して利用可能状態とする利用時処理プログラムと、からなる持出パッケージデータを生成する手順、
   前記持出パッケージデータから第１の改竄判定用情報を生成する手順、
   持出パッケージデータを記憶する前記端末装置より、当該持出パッケージデータから生成された第２の改竄判定用情報を受信する手順、
   前記第１の改竄判定用情報と前記第２の改竄判定用情報とに基づいて前記端末装置が記憶する持出パッケージデータの正当性を判定する手順、
   前記持出パッケージデータが正当であると判定された場合に、前記端末装置に前記復号鍵を送信する手順、
   を実行させるためのプログラム。
9. 利用者の属する組織に接続された組織内端末と、前記組織に属さない組織外端末とで利用される利用対象情報を管理する利用対象情報管理装置のコンピュータに実行させるプログラムであって、
   暗号化された利用対象情報と利用時処理プログラムとによりデータ構成された持出パッケージデータを用いて生成された利用前の改竄判定用情報を記憶する改竄判定用情報記憶処理と、
   前記持出パッケージデータの持出許可を前記利用者の組織内端末へ通知する持出許可通知処理と、
   前記持出パッケージデータを用いて生成された前記利用対象情報の利用時の改竄判定用情報を組織外端末より受信する利用要求受付処理と、
   前記利用前の改竄判定用情報と、前記利用時の改竄判定用情報との比較に応じて、前記利用対象情報の前記組織外端末における利用可否を判定する利用可否判定処理と、
   前記利用対象情報を利用可と判定した場合には、前記組織外端末へ前記利用対象情報を復号する復号鍵を送信する利用許可処理と、
   をコンピュータに実行させるプログラム。

Images