JP2008278093A - 管理システム及びデータ管理方法 - Google Patents

Abstract

【課題】入退室が管理された施設外に持ち出されたデータの機密性を確保する。
【解決手段】管理システムは、端末装置が設けられた部屋などの各種施設に設けられる。施設への入口近傍には入室管理装置が設けられ、使用者が当該施設に入場する際に当該施設に対応するエリア情報をＩＣカードに書き込む。また、施設の出口近傍には退室管理装置が設けられ、使用者の退出時にＩＣカードに記憶されているエリア情報を消去する。さらに、施設内には端末装置が設けられる。端末装置は、データを記憶する記憶部と、データを記憶媒体に保存するデータ保存手段とを備える。端末装置内のデータが記憶媒体に保存される際には、まずＩＣカードからエリア情報が読み取られ、それを用いて暗号化鍵が生成される。そして、その鍵情報を用いて、保存すべきデータが暗号化された後、記憶媒体に保存される。
【選択図】図４

Description

本発明は、入退室が管理された施設内に設けられた端末装置に記憶されたデータの持ち出しを管理する管理システムに関する。

使用権限を有しない第三者によるコンピュータの不正使用を防止するためのセキュリティ技術として、ＩＣカード等の情報記憶媒体を用いたシステムが知られている。その一例では、コンピュータが使用される際に、予め本人を認証するためのＩＤ情報を記憶させたＩＣカード等の情報記憶媒体からＩＤ情報を読み取り、その読み取ったＩＤ情報に基づいた照合処理により本人認証を行い、その認証が成立した場合にコンピュータの使用を可能とする（例えば、特許文献１及び２を参照）。

特開２００２−４１４６９号公報 特開２００４−３０２８７５号公報

しかし、上記の手法では、使用権限を有する者であれば記憶媒体に機密データを保存して持ち出すことができてしまう。よって、使用権限を有する者が自己のアクセス権限を利用して情報漏洩の犯行に及ぶことを防止できなかった。

本発明は、以上の点に鑑みてなされたものであり、入退室が管理された施設外に持ち出されるデータの機密性を保持することを課題とする。

本発明の１つの観点では、使用者が所持する第１の記憶媒体を利用し、施設内に存在するデータの移動を管理する管理システムは、施設への入口近傍に設けられ、使用者が当該施設に入場する際に当該施設に対応するエリア情報を前記第１の記憶媒体に書き込む入場管理装置と、前記施設内に設けられ、データを記憶する記憶部と、前記記憶部内に記憶されているデータを第２の記憶媒体に保存するデータ保存手段と、を備える端末装置と、前記端末装置に接続され、前記入場管理装置より前記第１の記憶媒体へ書き込まれたエリア情報を読み取るエリア情報読取装置と、前記施設の出口近傍に設けられ、前記使用者の退出時に、前記第１の記憶媒体に記憶されているエリア情報を消去する退出管理装置と、を備え、前記端末装置は、前記第１の記憶媒体に記憶されているエリア情報を用いて鍵情報を生成する鍵生成手段と、前記記憶部に記憶されているデータを前記第２の記憶媒体に保存する際に、当該データを前記鍵情報により暗号化する暗号化手段と、を備える。

上記の管理システムは、端末装置が設けられた部屋などの各種施設に設けられる。施設への入口近傍には、入場管理装置が設けられ、使用者が当該施設に入場する際に当該施設に対応するエリア情報を第１の記憶媒体に書き込む。また、施設の出口近傍には、退出管理装置が設けられ、使用者の退出時に、第１の記憶媒体に記憶されているエリア情報を消去する。さらに、施設内には端末装置と、端末装置に接続されたエリア情報読取装置とが設けられる。端末装置は、データを記憶する記憶部と、データを第２の記憶媒体に保存するデータ保存手段とを備える。端末装置内のデータが記憶媒体に保存される際には、まずエリア情報読取装置により第１の記憶媒体からエリア情報が読み取られ、それを用いて鍵情報が生成される。そして、その鍵情報を用いて、保存すべきデータが暗号化された後、第２の記憶媒体に保存される。

これにより、第２の記憶媒体に保存された暗号化データは、エリア情報が無いと復号化することができない状態となっている。エリア情報は、施設への入場時に第１の記憶媒体に書き込まれるが、施設の退出時には消去されるので、基本的に施設外部でエリア情報を入手することはできない。よって、第２の記憶媒体に保存されたデータは施設外部では復号化できず、データの機密性が保証される。

上記の管理システムの一態様では、前記端末装置は、前記第２の記憶媒体に保存するデータの使用場所に対応するエリア情報である使用場所エリア情報を決定する決定手段と、前記使用場所エリア情報を用いて鍵暗号化鍵を生成する鍵暗号化鍵生成手段と、前記鍵情報を前記鍵暗号化鍵により暗号化して暗号化鍵データを生成し、前記第２の記憶媒体に保存する暗号化鍵データ保存手段と、を備える。

この態様では、記憶媒体に記憶したデータを使用する使用場所が予め決まっている場合には、使用者がデータを第２の記憶媒体に保存する指示を行う際に、第２の記憶媒体に保存するデータの使用場所に対応するエリア情報である使用場所エリア情報が決定される。この使用場所エリア情報は、ユーザが自ら指定することもできるし、装置が自動で設定するように構成することもできる。そして、使用場所エリア情報を用いて鍵暗号化鍵が生成され、その鍵暗号化鍵により鍵情報を暗号化して暗号化鍵データが生成され、第２の記憶媒体に保存される。

これにより、記憶媒体に記憶された暗号化データを復号化するための鍵情報は、使用場所のエリア情報が無いと復元できないことになり、暗号化データは使用場所においてのみ復号化し使用することが可能となる。

本発明の他の観点では、使用者が所持する第１の記憶媒体を利用し、施設内に存在するデータの移動を管理するデータ管理方法は、前記使用者が前記施設に入場する際に当該施設に対応するエリア情報を前記第１の記憶媒体に書き込むエリア情報書込工程と、前記第１の記憶媒体からエリア情報を読み取り、当該エリア情報を用いて鍵情報を生成する鍵情報生成工程と、前記記憶部に記憶されている情報を第２の記憶媒体に保存する際に、当該情報を前記鍵情報により暗号化して保存する保存工程と、前記使用者が前記施設を退出する際に、前記第１の記憶媒体に記憶されているエリア情報を消去するエリア情報消去工程と、を備える。

この方法によっても、記憶媒体に保存された暗号化データは、エリア情報が無いと復号化することができない状態となっている。エリア情報は、施設への入場時に第１の記憶媒体に書き込まれるが、施設の退出時には消去されるので、施設外部でエリア情報を入手することはできない。よって、第２の記憶媒体に保存されたデータは施設外部では復号化できず、データの機密性が保証される。

以下、図面を参照して本発明を実施するための最良の形態について説明する。

本発明は、施設内に設けられた端末装置などに記憶されたデータが情報記憶媒体を利用して施設外部に持ち出される際に、そのデータの機密性を確保するものである。部屋などの施設内には所定の権限を有する使用者のみが入り、施設内の端末装置などを利用することができる。しかし、これだけでは、端末装置内のデータを記憶媒体に保存して持ち出すことを防止できない。そこで、本発明では、使用者がデータを記憶媒体に保存して外部へ持ち出す場合には（以下、このデータを「元データ」とも呼ぶ。）、入室している間のみ利用者に対して与えられる情報を用いて、元データを暗号化してから記憶媒体に保存する。これにより、施設の外部に持ち出された状態では、使用者は元データを復号化することができず、元データの機密性が確保される。以下、本発明の好適な実施形態を図面に基づいて説明する。

［第１実施形態］
第１実施形態に係る管理システムの概要を図１に示す。尚、本発明における施設には、例えば、部屋、ビル、ビル内のフロア、特定場所、特定エリア、特定領域、特定地域、などが含まれるが、第１実施形態の説明においては、一例として端末装置が設けられている部屋について説明する。

部屋１００の内部に設けられた端末装置であるパソコン１の使用権限を有する使用者２は、情報記憶媒体である非接触ＩＣカード３（以下、単に「ＩＣカード」と呼ぶ。）を所持している。この部屋１００の入口６の近傍には、入室管理装置４が備えられている。入室管理装置４により、入口６に設けられている自動ドア７の開閉状態がコントロールされている。

入室管理装置４は、ＩＣカード３との間で無線により情報の伝送が行えるように構成されており、ＩＣカード３に記憶されている情報の読み取りや、ＩＣカード３への情報の書き込みが可能である。また、パソコン１には、ＩＣカードリーダライタ９が備えられている。ＩＣカードリーダライタ９はＩＣカード３に記憶されている情報の読み取りや、ＩＣカード３への情報の書き込みが可能である。

更に、この部屋１００の入口６の近傍には、退室管理装置５が設けられ、この退室管理装置５により自動ドア７の開閉状態がコントロールされている。また、退室管理装置５は、ＩＣカード３との間で無線により情報の伝送が行えるように構成され、ＩＣカード３に記憶されている情報の読み取りや、ＩＣカード３への情報の書き込みが可能である。

なお、部屋１００には、入口と出口を別々に設ける場合と、入口と出口を１つにして出入口とする場合とがあるが、図１には、１つの出入口を用いた場合が示されている。また、入室管理装置４と退室管理装置５を一体型に構成し、部屋の外部と内部を隔てる壁の一部に設けるようにしてもよい。

情報記憶媒体であるＩＣカード３は、例えば、カード基材の内部に非接触ＩＣチップが内蔵された構成を有している。非接触ＩＣチップは、例えば、非接触データキャリアや非接触スマートカードともいわれ、プラスチック等の基材にコイルパターンが形成されているものである。非接触ＩＣチップは、コイルと容量素子とにより共振回路を形成して一定周波数の電波を受信及び送信する。また、他の方式として、リーダライタからの搬送波の電磁誘導により電力伝送及びデータ伝送を行うようにしてもよい。

図２（Ａ）にＩＣカード３の構成を示す。ＩＣカード３は、送受信部３１と、制御部３２と、記憶部３３とを備える。送受信部３１は、コイルパターンなどからなり、入室管理装置４、退室管理装置５、ＩＣカードリーダライタ９などとの間で情報の送受信を行う。制御部３２はＩＣチップ内に設けられ、ＣＰＵなどにより構成される。また、記憶部３３はＩＣチップ内に設けられた記憶素子により構成される。記憶部３３には、使用者のＩＤ情報が記憶されているとともに、後述のようにエリア情報が一時的に書き込まれる。

次に、図２及び図３の機能ブロック図に基づいて、図１に示す各構成要素の構成を詳細に説明する。

図２（Ｂ）に入室管理装置４の機能構成を示す。入口６の近傍に設けられた入室管理装置４は、送受信部４１、制御部４２、記憶部４３、照合部４４、ドア開閉部４５、エリア情報書込部４６を有している。送受信部４１は、ＩＣカード３の送受信部３１と無線による情報の送受信を行う。

照合部４４は、ＩＣカード３から受信したＩＤ情報と、予め記憶部４３に記憶されている照合用のＩＤ情報とを照合する。照合部４４による照合処理によりＩＤ情報が一致した場合に、ドア開閉部４５が自動ドア７を開く。なお、記憶部４３には、ＩＤ情報の代わりに、ＩＤ情報以外の情報であってＩＤ情報と関係付けされた種々の情報を照合用の情報として記憶してもよい。

エリア情報書込部４６は、照合部４４による照合処理でＩＤ情報が一致した場合に、制御部４２を制御して入室管理装置４の送受信部４１からＩＣカード３に対してエリア情報を送信し、ＩＣカード３の記憶部３３にエリア情報の書き込みを行う。

エリア情報とは、施設毎に割り当てられたエリアの識別情報である。図１の例において部屋１００に対してエリア情報「Ａ−１００」が割り当てられているとすると、エリア情報書込部４６はＩＣカード３の記憶部３３にエリア情報Ａ−１００を書き込む。なお、エリア情報は必ずしも部屋番号などに限らず、各部屋に対して一意に割り当てられた情報であれば、乱数、所定の番号、所定の文字列、など種々の形態とすることができる。

図３（Ａ）に退室管理装置５の機能構成を示す。退室管理装置５は、送受信部５１、制御部５２、記憶部５３、照合部５４、ドア開閉部５５、エリア情報消去部５６を有している。送受信部５１は、ＩＣカード３の送受信部３１と無線による情報の送受信を行う。

照合部５４は、ＩＣカード３から受信したＩＤ情報と、予め記憶部５３に記憶されている照合用のＩＤ情報とを照合する。照合部５４による照合処理によりＩＤ情報が一致した場合に、ドア開閉部５５が自動ドア７を開く。これにより、使用者は退室可能となる。

エリア情報消去部５６は、照合部５４による照合処理によりＩＤ情報が一致した場合、ＩＣカード３に記憶されているエリア情報を消去する。具体的には、制御部５２及び送受信部５１を介してＩＣカード３へ信号を送信し、ＩＣカード３の記憶部３３内に記憶されているエリア情報を消去する。これにより、使用者が退室したときには、ＩＣカード３にはエリア情報は記憶されていない状態となる。

図３（Ｂ）にパソコン１の機能構成を示す。パソコン１は、制御部１２、記憶部１３、エリア情報判定部１４、パソコンロック制御部１５、暗号鍵生成部１６、暗号化／復号化部１７、記憶媒体ドライブ１８を備える。また、パソコン１はＩＣカードリーダライタ９に接続されている。

記憶媒体ドライブ１８は、パソコン１の記憶部１３に記憶されているデータを記憶媒体Ｍに保存する。記憶媒体Ｍとしては、例えばＭＯ、ＣＤ−Ｒ、ＤＶＤ−Ｒなどが挙げられる。また、記憶媒体Ｍとして、ＨＤ、ＵＳＢメモリなどを使用することもでき、その場合には記憶媒体ドライブ１８は不要となる。

エリア情報判定部１４は、制御部１２を制御し、ＩＣカードリーダライタ９からＩＣカード３に対して信号を送信する。こうして、ＩＣカード３の記憶部３３に記憶されているエリア情報を読み取り、そのエリア情報が正規のエリア情報であるか否かを判定する。具体的には、エリア情報判定部１４は、ＩＣカード３に記憶されているエリア情報が、その部屋１００のエリア情報「Ａ−１００」であるか否かを判定する。

ＩＣカード３から読み取ったエリア情報が正しいとエリア情報判定部１４が判定した場合に、パソコンロック制御部１５は、パソコン１のロックを解除し、使用可能な状態にする。また、パソコン１の使用が終了された場合に、再度、パソコン１を、その使用ができないロック状態に制御する。

暗号鍵生成部１６は、ＩＣカード３に記憶されているエリア情報を用いて暗号鍵を生成する。具体的には、暗号鍵生成部１６は、制御部１２及びＩＣカードリーダライタ９によりＩＣカード３から読み取ったエリア情報を用いて、暗号鍵を生成する。なお、暗号鍵の生成方法は既知の各種の方法とし、好適には共通鍵暗号方式で対応することができるが、本発明では特に制限はない。また、エリア情報に加えて、他の情報も用いて暗号鍵を生成することができる。ここで、他の情報とは、例えばパソコン１がネットワークに接続されている場合にサーバから取得した特定の情報や、パソコン１にセットアップされたセキュリティソフトウェアから取得した情報などとすることができる。

暗号化／復号化部１７は、データを記憶媒体Ｍへ保存する際には、暗号鍵生成部１６が生成した暗号鍵を用いて、利用者が記憶媒体Ｍに保存しようとしたデータ、即ち元データを暗号化する。この様子を図４に模式的に示す。具体的に、使用者が図示しない入力部を操作することにより記憶部１３に記憶されている元データ６１の保存を指示すると、暗号化／復号化部１７は、暗号鍵生成部１６が生成した暗号鍵７１を用いて、元データ６１を暗号化し、暗号化データ６２を生成する。そして、制御部１２は、記憶媒体ドライブ１８を制御することにより、暗号化データ６２を記憶媒体Ｍに保存する。また、暗号化／復号化部１７は、記憶媒体Ｍに保存されている暗号化データ６２を使用する際には、暗号化データ６２を、暗号鍵７１を用いて復号化して元データ６１を生成する。

このようにして記憶媒体Ｍに記憶された暗号化データ６２は、暗号鍵７１が無いと復号化できない状態となっている。ここで、前述のように、部屋１００への入室時に入室管理装置４によりＩＣカード３に書き込まれたエリア情報は、部屋１００の退室時に退室管理装置５によりＩＣカード３から消去される。つまり、部屋１００の外部では、使用者はエリア情報を取得することができず、暗号鍵７１を生成することができない。よって、部屋１００の外部では、記憶媒体Ｍに保存されている暗号化データ６２を復号化することができず、元データ６１の機密性は確保される。

一方、記憶媒体Ｍに記憶された暗号化データ６２は、暗号鍵７１を用いて復号化が可能であるので、使用者が部屋１００内にいる場合には、そのＩＣカードに保存されているエリア情報に基づいて暗号鍵７１を生成し、暗号化データ６２を復号化することができる。つまり、部屋１００の中では暗号化データ６２を利用することができる。例えば、部屋１００内のあるパソコン１から記憶媒体Ｍに保存した暗号化データ６２を、部屋１００内の他のパソコン１で復号化し、使用することができる。

このように、第１実施形態では、パソコン１のデータが部屋の外部に持ち出される場合には、部屋１００の中でしか入手することができないエリア情報を利用して暗号化がなされるので、部屋の外部に持ち出されたデータの機密性を確保することが可能となる。

以上の構成において、ＩＣカード３は本発明の第１の記憶媒体に相当し、記憶媒体Ｍは第２の記憶媒体に相当する。入室管理装置４は入場管理装置に相当し、退室管理装置５は退出管理装置に相当し、パソコン１は端末装置に相当する。また、暗号鍵生成部１６は鍵生成手段及び鍵暗号化鍵生成手段に相当し、暗号化／復号化部１７は暗号化手段に相当し、制御部１２及び記憶媒体ドライブ１８は暗号化鍵データ保存手段に相当する。また、暗号鍵７１は本発明における鍵情報に相当する。

次に、使用者が部屋１００へ入りパソコン１を使用する際の各処理について説明する。

まず、入室管理処理について説明する。図５は、使用者が部屋１００へ入室する際の入室管理処理のフローチャートである。この処理は、入室管理装置４により実行される。まず、使用者２が入室管理装置４にＩＣカード３を近づけると、入室管理装置４の送受信部４１はＩＣカード３からＩＤ情報を読み取る（ステップＳ１０）。次に、照合部４４は、記憶部４３に予め記憶されたＩＤ情報と、ＩＣカード３から読み取ったＩＤ情報とを照合し（ステップＳ１１）、両者が一致する場合（ステップＳ１１；Ｙｅｓ）、エリア情報書込部４６がエリア情報をＩＣカード３に書き込む（ステップＳ１２）とともに、ドア開閉部４５がドア７を開く（ステップＳ１３）。こうして、使用者２は部屋１００へ入ることができる。使用者２が部屋１００内にいるときには、ＩＣカード３にエリア情報が書き込まれた状態となっている。なお、ステップＳ１１でＩＤ情報が一致しない場合、使用者２は部屋へ入ることができない。

次に、退出管理処理について説明する。図６は、退室管理処理のフローチャートである。この処理は、退室管理装置５により実行される。退出しようとする使用者２がＩＣカード３を退室管理装置５に近づけると、退室管理装置５の送受信部５１はＩＣカード３からＩＤ情報を読み取る（ステップＳ１５）。次に、照合部５４は、記憶部５３に記憶されているＩＤ情報と、ＩＣカード３から読み取ったＩＤ情報とを照合し（ステップＳ１６）、両者が一致する場合（ステップＳ１６；Ｙｅｓ）、エリア情報消去部５６はＩＣカード３内のエリア情報を消去し（ステップＳ１７）、ドア開閉部５５はドア７を開く（ステップＳ１８）。こうして、使用者２は部屋１００を出ることができる。使用者２が部屋を出たときには、ＩＣカード３内にはエリア情報が記憶されていない状態となっている。なお、ステップＳ１６でＩＤ情報が一致しない場合、使用者２は部屋１００を出ることができない。

次に、パソコン１で行われる暗号化処理について説明する。図７は暗号化処理のフローチャートである。この処理はパソコン１によって実行される。まず、使用者２がパソコン２を操作して、パソコン１に記憶されている特定のデータ（元データ）を記憶媒体Ｍへ保存する指示を入力すると（ステップＳ１０１；Ｙｅｓ）、パソコン１に接続されたＩＣカードリーダライタ９はＩＣカード３からエリア情報を読み取る（ステップＳ１０２）。次に、暗号鍵生成部１６は読み取ったエリア情報を用いて暗号鍵７１を生成し（ステップＳ１０３）、暗号化／復号化部１７は生成された暗号鍵７１を用いて元データ６１を暗号化して暗号化データ６２を生成する（ステップＳ１０４）。そして、制御部１２は記憶媒体ドライブ１８を制御して暗号化データ６２を記憶媒体Ｍに保存する（ステップＳ１０５）。こうして、元データ６１は、暗号化された状態で記憶媒体Ｍに保存される。

次に、図８に示すようにパソコン１で行われる復号化処理について説明する。この処理は、部屋１００内のパソコン１によって実行される。即ち、エリア情報が記憶されたＩＣカード３を有する使用者２がパソコン１を操作することにより実行される。

まず、使用者２が記憶媒体Ｍを記憶媒体ドライブ１８に挿入し、記憶媒体Ｍに記憶されている暗号化データ６２にアクセスすると（ステップＳ２０１）、ＩＣカードリーダライタ９はＩＣカード３からエリア情報を読み取り（ステップＳ２０２）、暗号鍵生成部１６は読み取ったエリア情報を使用して暗号鍵７１を生成する（ステップＳ２０３）。そして、暗号化／復号化部１７は生成された暗号鍵７１を用いて、記憶媒体Ｍに記憶されている暗号化データ６２を復号化する（ステップＳ２０４）。こうして、暗号化データ６２から元データ６１を復元することができる。

以上説明したように、本実施形態では、パソコン１から記憶媒体Ｍにデータが保存される際には、常に暗号化／復号化部１７が暗号鍵７１を用いて暗号化を行ってから記憶媒体Ｍに保存する。これにより、元データ６１は常に暗号化された状態で部屋１００の外部へ持ち出されることになる。部屋１００の外部へ持ち出された暗号化データ６２は、前述のようにエリア情報を利用して生成された暗号鍵７１が無ければ復号化することができない。よって、部屋１００の外部で元データが不正に使用されることが防止できる。

［第２実施形態］
第１実施形態では、記憶媒体Ｍに保存された暗号化データは、保存行為が行われた部屋１００のエリア情報が無ければ復号化することができない。即ち、記憶媒体Ｍに保存した暗号化データは、その部屋自体、又は、同一のエリア情報が設定された別の部屋以外では使用することができない。これに対し、第２実施形態では特定の部屋においては、記憶媒体Ｍに保存した暗号化データを利用可能とする手法を提供するものである。

図９は、第２実施形態によるデータの暗号化／復号化の手順を模式的に示す。いま、ある使用者２が部屋Ａ内の端末装置に記憶された元データを記憶媒体Ｍに保存し、別の部屋Ｂで使用する状況を想定する。部屋Ａのエリア情報を「Ａ−１０２」とし、部屋Ｂのエリア情報を「Ｂ−２０３」と仮定する。

使用者２は、第１実施形態と同様に入室管理装置４を利用して部屋Ａに入り、パソコン１を操作してパソコン１内に記憶されている元データ６１を記憶媒体Ｍに保存する指示を入力する。このとき、パソコン１は、まず第１実施形態と同様に、ＩＣカード３に記憶されているエリア情報「Ａ−１０２」を用いて暗号鍵７１を生成し、暗号鍵７１を用いて元データ６１を暗号化して暗号化データ６２を生成する。これに加えて、第２実施形態では、パソコン１は、元データ６１を使用する場所のエリア情報（以下、「使用場所エリア情報」と呼ぶ。）を用いて暗号鍵７２を生成する（以下、この鍵を「鍵暗号化鍵」と呼び、暗号鍵７１と区別する。）。具体的に本例では、パソコン１は、使用場所である部屋Ｂのエリア情報「Ｂ−２０３」を用いて鍵暗号化鍵７２を生成する。そして、パソコン１は、その鍵暗号化鍵７２を用いて暗号鍵７１を暗号化して暗号化鍵データ７５を生成し、暗号化データ６２と暗号化鍵データ７５とを記憶媒体Ｍに保存する。

記憶媒体Ｍに記憶されたデータを部屋Ｂで使用する場合、使用者２は第１実施形態と同様に入室管理装置４を使用して部屋Ｂに入り、その際ＩＣカード３に部屋Ｂのエリア情報「Ｂ−２０３」が記憶される。使用者２は、部屋Ｂのパソコン１に付属するＩＣカードリーダライタ９にＩＣカード３を近づける。これにより、パソコン１のロックが解除されるとともに、ＩＣカード３内からパソコン１にエリア情報「Ｂ−２０３」がコピーされる。次に、使用者２が記憶媒体Ｍを記憶媒体ドライブ１８にセットし、暗号化データ６２へのアクセスを行うと、パソコン１はまずエリア情報「Ｂ−２０３」を用いて鍵暗号化鍵７２を生成し、これを用いて記憶媒体Ｍ内の暗号化鍵データ７５を復号化して暗号鍵７１を復元する。続いてパソコン１は暗号鍵７１を用いて暗号化データ６２を復号化して元データ６１を復元する。こうして、使用者２は、部屋Ｂにおいて、記憶媒体Ｍに記憶されている元データ６１を使用することができる。

一方、記憶媒体Ｍが部屋Ｂ以外の部屋、即ち、エリア情報がＢ−２０３ではない別の部屋内に設置されたパソコン１で記憶媒体Ｍに記憶されている暗号化データ６にアクセスしても、エリア情報が異なるため、暗号鍵７１を正しく復元することができず、暗号化データ６２を復元することができない。こうして、部屋Ａにおける暗号化時に決定されている特定の部屋以外で元データが復元されることが防止され、データの機密性が確保される。

図１０は、部屋Ａにて行われる暗号化処理のフローチャートである。この処理は、主として部屋Ａに設置されているパソコン１が実行する。まず、部屋Ａに入った使用者がパソコン１を操作してパソコン１に記憶されている元データを記憶媒体Ｍへ保存する指示を入力すると（ステップＳ３０１；Ｙｅｓ）、制御部１２はＩＣカードリーダライタ９を通じてＩＣカード３からエリア情報「Ａ−１０２」を読みとる（ステップＳ３０２）。次に、暗号鍵生成部１６はエリア情報「Ａ−１０２」を用いて暗号鍵７１を生成し（ステップＳ３０３）、その暗号鍵７１で元データ６１を暗号化して暗号化データ６２を生成する（ステップＳ３０４）。さらに、暗号鍵生成部１６は、使用場所である部屋Ｂのエリア情報に基づいて鍵暗号化鍵７２を生成し（ステップＳ３０５）、それを用いて暗号鍵７１を暗号化して暗号化鍵データ７５を生成する（ステップＳ３０６）。そして、制御部１８は、記憶媒体ドライブ１８を制御して、暗号化データ６２及び暗号化鍵データ７５を記憶媒体Ｍに保存する（ステップＳ３０７）。こうして、図９に示すように、記憶媒体Ｍに暗号化データ６２及び暗号化鍵データ７５が保存された状態となる。

なお、ステップＳ３０５においては使用場所のエリア情報を用いて鍵暗号化鍵を生成しているが、この際に使用場所のエリア情報を決定する方法はいくつか考えられる。第１の方法は、使用者２がその元データを使用する場所を自ら指定する方法である。上記の例では、使用者はその元データを使用する予定の部屋Ｂに対応するエリア情報を入力してデータの保存指示を行う。なお、パソコン１内に、各部屋とそのエリア情報との対応を示す情報が記憶されている場合には、使用者が使用場所である「部屋Ｂ」を指定することにより、パソコン１は部屋Ｂに対応するエリア情報「Ｂ−２０３」を取得できる。

第２の方法は、使用者が自ら入力することなく、自動的に使用場所のエリア情報を決定する方法である。例えば、部屋から持ち出すデータの属性、ファイル形式などによって、そのデータを使用できる部屋が予め決定されている場合には、パソコン１は、使用者が指定したデータの属性情報やファイル形式などに基づいて、使用場所のエリア情報を決定することができる。また、データを移動して作業することが許可されている部屋同士の関係が予め決まっている場合には、パソコン１は自動で使用場所のエリア情報を決定することができる。例えば、部屋Ａと部屋Ｂの間ではデータの相互使用が許可されている場合には、部屋Ａでデータを記憶媒体Ｍに保存する際に、部屋Ｂのエリア情報を用いて暗号鍵を暗号化すればよい。また、第３の方法として、パソコン１において実行される特定のプロセス毎に使用場所が決まっている場合には、そのプロセスに応じてエリア情報を自動的に決定することができる。

なお、パソコン１において、元データを記憶媒体Ｍに保存する際、第１実施形態のようにその部屋のエリア情報のみで暗号化するか、第２実施形態のように使用場所のエリア情報も用いて暗号化するかは、データの保存指示を行う際にユーザが自ら指定してもよいし、データの属性、種類、作業プロセスなどに応じてパソコン１が自動的に選択するようにしてもよい。

図１１に、上記のようにして記憶媒体Ｍに保存された暗号化データの復号化処理について説明する。この処理は部屋Ｂ側のパソコン１が実行する。

いま、使用者２が正しい手順で部屋Ｂに入り、ＩＣカード３には部屋Ｂのエリア情報「Ｂ−２０３」が記憶されているものとする。記憶媒体Ｍを記憶媒体ドライブ１８に挿入して復号化データ６２へのアクセスを行うと（ステップＳ４０１；Ｙｅｓ）、制御部１２はＩＣカード３からエリア情報「Ｂ−２０３」を読み取り（ステップＳ４０２）、暗号鍵生成部１６はそのエリア情報を用いて鍵暗号化鍵７２を生成する（ステップＳ４０３）。次に、暗号化／復号化部１７は、鍵暗号化鍵７２を用いて記憶媒体Ｍ内の暗号化鍵データ７５を復号化して暗号鍵７１を復元する（ステップＳ４０４）。そして、暗号化／復号化部１７は、暗号鍵７１を用いて暗号化データ６２を復号化して元データ６１を復元する（ステップＳ４０５）。こうして、記憶媒体Ｍに記憶された暗号化データ６２から元データ６１を復元し、使用することができる。

以上説明したように、第２実施形態によれば、データを使用することが許可されている部屋においては、記憶媒体に保存して持ち出したデータを使用することが可能となる一方で、それ以外の部屋では持ち出したデータの機密性が確保される。

［変形例］
上記の実施形態では、使用者が所持する第１の記憶媒体としてＩＣカードを用いた例が挙げられているが、本発明の適用はこれには限定されない。例えば、ＩＣタグ、ＩＣカード機能が搭載された携帯電話、ＰＤＡなどの端末装置など、通信機能及び記憶機能を有する各種の媒体、端末装置などを第１の記憶媒体として使用することが可能である。

第１実施形態に係る管理システムの概要を示すブロック図である。 ＩＣカード及び入室管理装置の機能構成を示すブロック図である。 退室管理装置及びパソコンの機能構成を示すブロック図である。 記憶媒体に保存されるデータの暗号化処理を模式的に示す。 入室管理処理のフローチャートである。 退室管理処理のフローチャートである。 第１実施形態による暗号化処理のフローチャートである。 第１実施形態による復号化処理のフローチャートである。 第２実施形態におけるデータの暗号化／復号化処理を模式的に示す。 第２実施形態による暗号化処理のフローチャートである。 第２実施形態による復号化処理のフローチャートである。

符号の説明

１ パソコン
３ ＩＣカード
４ 入室管理装置
５ 退室管理装置
９ ＩＣカードリーダライタ
１６ 暗号鍵生成部
１７ 暗号化／復号化部１７
１８ 記憶媒体ドライブ
Ｍ 記憶媒体

Claims (3)

1. 使用者が所持する第１の記憶媒体を利用し、施設内に存在するデータの移動を管理する管理システムであって、
   施設への入口近傍に設けられ、使用者が当該施設に入場する際に当該施設に対応するエリア情報を前記第１の記憶媒体に書き込む入場管理装置と、
   前記施設内に設けられ、データを記憶する記憶部と、前記記憶部内に記憶されているデータを第２の記憶媒体に保存するデータ保存手段と、を備える端末装置と、
   前記端末装置に接続され、前記入場管理装置より前記第１の記憶媒体へ書き込まれたエリア情報を読み取るエリア情報読取装置と、
   前記施設の出口近傍に設けられ、前記使用者の退出時に、前記第１の記憶媒体に記憶されているエリア情報を消去する退出管理装置と、を備え、
   前記端末装置は、
   前記第１の記憶媒体に記憶されているエリア情報を用いて鍵情報を生成する鍵生成手段と、
   前記記憶部に記憶されているデータを前記第２の記憶媒体に保存する際に、当該データを前記鍵情報により暗号化する暗号化手段と、を備えることを特徴とする管理システム。
2. 前記端末装置は、
   前記第２の記憶媒体に保存するデータの使用場所に対応するエリア情報である使用場所エリア情報を決定する決定手段と、
   前記使用場所エリア情報を用いて鍵暗号化鍵を生成する鍵暗号化鍵生成手段と、
   前記鍵情報を前記鍵暗号化鍵により暗号化して暗号化鍵データを生成し、前記第２の記憶媒体に保存する暗号化鍵データ保存手段と、を備えることを特徴とする請求項１に記載の管理システム。
3. 使用者が所持する第１の記憶媒体を利用し、施設内に存在するデータの移動を管理するデータ管理方法であって、
   前記使用者が前記施設に入場する際に当該施設に対応するエリア情報を前記第１の記憶媒体に書き込むエリア情報書込工程と、
   前記第１の記憶媒体からエリア情報を読み取り、当該エリア情報を用いて鍵情報を生成する鍵情報生成工程と、
   前記記憶部に記憶されているデータを第２の記憶媒体に保存する際に、当該データを前記鍵情報により暗号化して保存する保存工程と、
   前記使用者が前記施設を退出する際に、前記第１の記憶媒体に記憶されているエリア情報を消去するエリア情報消去工程と、を備えることを特徴とするデータ管理方法。

Images