JP2008282164A - ファイルアクセス制御方法、ファイルアクセス制御システム、および、配布ファイル生成プログラム - Google Patents

Abstract

【課題】機密保護を要するファイルに対して、ファイルの一次配布時だけでなく、二次配布時や不正入手時などでもアクセス権チェックを実施し、情報の漏えいを防止する。
【解決手段】配布ファイルに制御プログラムを付加してファイル参照者のアクセス権チェックを、ファイル参照要求発生時に実施する。また、ファイル参照者のアクセス権に応じて、アクセス期限、コピー回数上限、アクセス回数上限を設定し、制御情報として配布ファイルに付加する。ファイルのコピー回数上限、アクセス回数上限を超えたファイルは、それ以上のコピー処理の禁止し、データの読み出しができないようにする。ファイルのアクセス期限を超えたときにも、その期限以降のデータの読み出しができないようにする。
【選択図】 図３

Description

本発明は、ファイルアクセス制御方法に係り、アクセス権が設定されたファイルに対して、二次配布などによる情報流出を防止するためのファイルのアクセス制御に用いて好適なファイルアクセス制御方法に関する。

従来、機密情報配布時は、ファイル内の機密部分を秘匿化し、必要に応じてアクセス権を設定することによって機密部分の表示・非表示の制御をおこなっていた。

特許文献１には、保護したいドキュメントに対して、電子ファイル管理装置が、保護ドキュメントを生成し、元のドキュメントと保護ドキュメントをドキュメントペアとして管理し、ユーザがそのファイルをアクセスしようとするときには、ＡＣＬ（アクセス権情報）に基づいて、その許否を判定する。例えば、特許文献１の図３に示される例では、ユーザがファイルを印刷しようとするときのシステムの動作が開示されている。

また、特許文献２には、アドレス対応表に、各メールアドレスに対してのアクセス権情報を保持し、あるメールアドレス宛てにファイルを送信するときに、そのメールアドレスのアクセス権に基づく秘匿化をおこなう。

特開２００４−１６４６０４号公報 特開２００４−３１０６３７号公報

上記従来技術は、機密保護を要するファイルに対して、ユーザのアクセス権をチェックしたり、予めファイルを受け取る者のアクセス権に基づいて情報の秘匿化をおこなうものであった。

しかしながら、特許文献１においては、ファイルは、電子管理装置で集中管理されており、ユーザがファイルを一次入手するときのみアクセス権のチェックを実行する。そのため、ファイルを入手した者が、不正コピーや情報漏えいをおこなうことがあり、ファイル配布者の意図するような不正コピー防止や情報漏えい防止などのファイルコントロールができないという問題点があった。

本発明は、上記問題点を解決するためになされたもので、その目的は、機密保護を要するファイルに対して、ファイルの一次配布時だけでなく、二次配布時や不正入手時などでもアクセス権チェックを実施し、情報の漏えいを防止することができるファイルアクセス制御方法、および、ファイルアクセス制御システムを提供することにある。

ファイルの一次入手時だけでなく、ファイル参照要求発生時にも、配布ファイルに制御プログラムを付加してファイル参照者のアクセス権チェックを実施する。また、ファイル参照者のアクセス権に応じて、アクセス期限、コピー回数上限、アクセス回数上限を設定し、制御情報として配布ファイルに付加する。

ファイルのアクセス期限は、そのファイル生成時からアクセス期限の終了に至るまで、常時チェックされる。

ファイルのコピー回数上限、アクセス回数上限は、そのファイルがコピーされるとき、アクセスされるときに、チェックされる。

そして、ファイルのアクセス期限は、そのファイル生成時からアクセス期限の終了に至るまで、常時チェックされる。

ファイルのコピー回数上限、アクセス回数上限を超えたファイルは、各々の操作をしたときには、一ずつ減らしていく。そして、ファイルのコピー回数上限が０になったときには、それ以上のコピー処理は禁止し、そのファイルのコピーができないようにする。

アクセス回数上限が０になったときには、データ部分を消滅させて、それ以降のデータの読み出しができないようにする。

また、ファイルのアクセス期限は、何らかのトリガーに基づいてファイルのアクセス期限を減じていき、０になったときには、データ部分を消滅させて、その期限以降のデータの読み出しができないようにする。

本発明によれば、機密保護を要するファイルに対して、ファイルの一次配布時だけでなく、二次配布時や不正入手時などでもアクセス権チェックを実施し、情報の漏えいを防止することができるファイルアクセス制御方法、および、ファイルアクセス制御システムを提供することができる。

以下、本発明に係る各実施形態を、図１ないし図１７を用いて説明する。

〔実施形態１〕
以下、本発明に係る第一の実施形態を、図１ないし図１０を用いて説明する。

先ず、図１および図２を用いて本発明の第一の実施形態に係るファイルアクセス制御方法を実行するためのシステム構成について説明する。
図１は、本発明の第一の実施形態に係るファイルアクセス制御方法を実行するためのシステム構成図である。
図２は、本発明に第一の実施形態に係るファイルアクセス制御方法を実行するためのシステムのハードウェア構成図である。

先ず、図２を用いて本発明に第一の実施形態に係るファイルアクセス制御方法を実行するためのシステムのハードウェア構成図を説明する。

図２に示されるように、本発明に第一の実施形態に係るファイルアクセス制御方法を実行するためのシステムは、メールサーバ００、ファイル配布端末３０、ファイル参照端末４０がネットワーク２０により接続された構成である。

なお、この図２では、メールサーバ００のハードウェア構成を詳細に説明したが、ファイル配布端末３０、ファイル参照端末４０も同様の構成を有している。特に、ファイル配布端末３０、ファイル参照端末４０も、ディスク装置などの記憶装置を有し、ファイルを格納することができる。

メールサーバ００は、ＣＰＵ０１、メモリ０２、入出力インタフェース０３、表示インタフェース０４、ネットワークインタフェース０５、周辺装置インタフェース０６がバスに接続された構成である。

ＣＰＵ０１は、メールサーバ００の各部を制御し、メモリ０２上のプログラムを実行する。メモリ０２は、いわゆる主記憶装置であり、一時的なデータを記憶したり、ディスク装置１１からロードされるプログラムを記憶する。

入出力インタフェース０３は、マウスやキーボードなどの入出力装置を接続するインタフェースである。

表示インタフェース０４は、表示装置１０を接続するインタフェースである。表示装置１０は、例えば、液晶ディスプレイ（ＬＣＤ：Liquid Crystal Display）であり、このメールサーバ００に関する必要な情報を表示する。

ネットワークインタフェース０５は、インターネットなどのネットワーク２０と接続するインタフェースである。

周辺装置インタフェース０６は、ディスク装置１１などの周辺装置を接続するためのインタフェースである。

ディスク装置１１には、メールデータや管理データ、必要なプログラムなどが記憶されている。

次に、図１を用いて本発明の第一の実施形態に係るシステム構成を機能面から説明する。

なお、図１でメールサーバのハードウェア構成は、必要なもののみ示してある
ディスク装置１１上には、セキュリティポリシー１０７、制御プログラム１０８、ファイル１２０、アクセス権設定済みファイル１２１、配布ファイル１２２が格納される。

セキュリティポリシー１０７は、後に詳説するように、アクセス権レベルに応じてファイルを制御するためのファイル制御情報と、ユーザのアクセス権レベルを規定する個人のアクセス権レベル一覧からなる。

制御プログラム１０８は、配布ファイル１２２に付加されるプログラムであり、ファイル参照者がファイルをアクセスしようとするときに、ファイル参照端末４０で実行される。

制御プログラム１０８は、アクセス期限チェック部２９１、コピー回数チェック部２９２、アクセス回数チェック部２９３から構成される。アクセス期限チェック部２９１は、アクセス期限の設定に基づいてファイルのデータ部分のアクセスを制御する部分である。コピー回数チェック部２９２は、コピー回数の設定に基づいてファイルのデータ部分のアクセスを制御する部分である。また、アクセス回数チェック部２９３は、アクセス回数の設定に基づいてファイルのデータ部分のアクセスを制御する部分である。なお、各々の部分の動作については、後に詳説する。

なお、本実施形態では、ファイルの読み出し、コピーについては必ずこの制御プログラム１０８を介しておこなうことにする。ＯＳが提供しているファイルのコピーコマンドのような事例は想定していない。

ファイル１２０は、ファイル配布者が配布しようとするデータのファイルであり、例えば、テキストデータ、ワープロデータ、グラフィック図面データなどである。

アクセス権設定済みファイル１２１は、ファイル１２０に属性としてアクセス権を設定したファイルであり、設定されたアクセス権よりも高いユーザに対してコピーやデータの参照を許可することを意味する。

配布ファイル１２２は、後に詳説するように、アクセス権設定済みファイル１２１に基づき生成される実行形式のファイルである。配布ファイル１２２は、データ部に制御部が追加された形式を有しており、セキュリティポリシーに従って、データ部分の扱いが決定される。

一方、メモリ０２には、配布ファイル生成部１０１、メールサーバプログラム１０６が記憶されている。これらは、通常、ディスク装置１１からメモリ０２上にロードされ、ＣＰＵ０１により実行される。

配布ファイル生成部１０１、メールサーバプログラム１０６は、いずれもコンピュータプログラムであり、ＣＰＵ０１により実行される。

メールサーバプログラム１０６は、電子メールの処理プログラムである。本実施形態では、ファイル配布者が、アクセス権設定済みファイル１２１をメールサーバプログラム１０６により添付ファイルとし配信を依頼する。

配布ファイル生成部１０１は、添付されたアクセス権設定済みファイル１２１から配布ファイル１２２を生成して、添付ファイルを配布ファイル１２２に置き換える。

そして、メールサーバプログラム１０６は、添付ファイルが配布ファイル１２２である電子メールを宛先アドレスに送信する。

配布ファイル生成部１０１は、照合処理部１０２、マスキング処理部１０３、セキュリティポリシー追加処理部１０４、および、制御プログラム追加処理部１０５よりなる。

照合処理部１０２は、アクセス権設定済みファイル１２１に設定されたアクセス権と、電子メールを送ろうとするアドレスの一覧を照合し、どのようなアクセス権を持ったファイルを生成するかを決定する。

マスキング処理部１０３は、アクセス権などに応じて、ファイルの情報を暗号化したり、機密を要する情報をダミーデータに置き換えたりするマスキング処理を実行する部分である。

セキュリティポリシー追加処理部１０４は、ファイルのデータ部に、セキュリティポリシー１０７を追加する。

制御プログラム追加処理部１０５は、ファイルのデータ部に、制御プログラム１０８を追加する。

次に、図３ないし図７を用いて本発明の第一の実施形態に係るファイルアクセス制御方法のファイルを配布する処理について説明する。
図３は、本発明の第一の実施形態に係るファイル１２０から配布ファイル１２２を生成する処理を説明する図である。
図４は、個人のアクセス権レベル一覧２６３の例を示す図である。
図５は、ファイルの制御情報２６２の例を示す図である
図６は、電子メールの宛先一覧、セキュリティポリシー、ファイルの制御情報の関係を説明するための図である。
図７は、本発明の第一の実施形態に係るファイルの配布処理の流れを説明するフローチャートである。

先ず、図４および図５を用いて、セキュリティポリシー１０７について説明する。

セキュリティポリシー１０７は、図４に示される個人のアクセス権レベル一覧２６３と図５に示されるファイルの制御情報２６２からなる。

個人のアクセス権レベル一覧２６３は、個人ＩＤ３０１、氏名３０２、メールアドレス３０３、職権３０４、アクセス権レベル３０５等の情報からなる。個人ＩＤだけでなく、グループＩＤ３０６を定義することも可能である。

アクセス権レベル３０５は、この個人ＩＤを有する個人にファイルのアクセスをどれくらい許可するかを表すレベルである。なお、この例では、アクセス権レベル３０５の数値が小さいときの方が、アクセス権レベルが高いものとしている。

ファイルの制御情報２６２は、アクセス権レベル３５１、コピー回数の上限３５２、読み出し回数の上限３５３、アクセス期限３５４の情報からなる。

アクセス権レベル３５１の示すアクセス権の個人に対して、コピー回数の上限３５２、読み出し回数の上限３５３、アクセス期限３５４の設定に基づきコピーと読み出しを制御することを意味している。

図５（ａ）に示す例は、配布ファイルに機密情報が含まれる場合、図５（ｂ）に示す例は、配布ファイルに機密情報が一切含まれない場合である。機密情報が一切含まれない場合は、従来どおり、アクセス期限、コピー回数、アクセス回数に制約をつけることなく、ファイルを配布することができる。

次に、図７のフローチャートに従い、本実施形態に係るファイルの配布処理の流れを、適宜他の図を参照して説明する。

先ず、ファイル配布者は、ファイル配布端末３０により、配布しようとする元データとなる図３のファイル１２０を作成し、ファイル配布端末３０のディスク装置に格納する（Ｓ４０１）。

次に、ファイル配布者は、ファイル配布端末３０の中にあるアクセス権設定プログラム（図示せず）により、ファイル１２０の属性としアクセス権レベルを設定して、アクセス権レベル設定済みファイル１２１を生成する（Ｓ４０２）。

次に、ファイル配布者は、ファイル配布端末より、Ｓ４０２によりアクセス権レベルを設定したアクセス権レベル設定済みファイル１２１を、電子メールに添付して、メールサーバプログラム１０６に、ネットワーク２０を介して、電子メールの送信処理を依頼する（Ｓ４０３）。

配布ファイル生成部１０１は、メールサーバ１０６から電子メールに添付ファイルとして添付されたアクセス権レベル設定済みファイル１２１を取り出し、ディスク装置１１に格納する（Ｓ４０４）。

配布ファイル生成部１０１は、常時起動しておいて電子メールの受信を監視して、添付ファイルのある電子メールを受信したことをトリガーとして、Ｓ４０４の処理を実行するようにする。

ファイル配布者は、そのファイルの制御情報が未登録であり、必要があるときには、ファイル配布端末３０より、図５に示されるファイルの制御情報２６２をディスク装置１１に登録しておく。ファイルの制御情報２６２は、既に説明したように、アクセス権レベル毎にコピー回数の上限、読み出し回数の上限、アクセス期限を設定したものである。

次に、配布ファイル生成部１０１の照合処理部１０２が、電子メールの宛先一覧の情報を取り出し、セキュリティポリシー１０７に従って、各々のアクセス権レベルを参照して照合処理を実施し（Ｓ４０５）、アクセス権レベル設定済みファイル１２１より生成されるファイルのアクセス権レベルを求める。

例えば、アクセス権レベル設定済みファイル１２１のアクセス権レベルが、２であるとする。このとき、図６に示すような宛先一覧情報を電子メールが有するとする。生成しなければならないファイルは、アクセス権レベルが２よりも高い、すなわち、アクセス権レベルが０、１、２のファイルである。また、図６に示す例では、宛先一覧情報には、アクセス権レベルが０、１、２である全ての場合が含まれているので、アクセス権レベルが０、１、２のファイルが全て生成されることになる。仮に、アクセス権レベルが１である個人ＩＤである「Ａ０１」、「Ｂ０１」が、電子メールの宛先一覧情報に含まれないときには、アクセス権レベル１のファイルは、生成されない。

個人のアクセス権レベル一覧２６３から取得したアクセス権レベル３０５に従い、必要なファイルの制御情報２６２が決定される。この例の場合には、宛先一覧情報に、アクセス権レベルが０、１、２、−９９のアクセス権レベルの個人がいるので、それに従って、アクセス権レベルが０、１、２、−９９のときの制御情報が付加される。

次に、Ｓ４０６の照合処理の結果に基づき、配布ファイル生成部１０１のマスキング処理部１０３が、アクセス権レベル３５１に応じたマスキング処理を、ファイル２０２に対しておこなう（Ｓ４０６）。

このとき、アクセス権レベルの数だけ、図３に示されるように、マスキング処理済みのファイル２０２が生成される。図６に示す例の場合には、アクセス権レベルが０、１、２のファイルが生成される。

次に、配布ファイル生成部１０１のセキュリティポリシー情報追加処理部１０４が、セキュリティポリシー情報１０７、すなわち、個人のアクセス権レベル一覧２６３とファイルの制御情報２６２を、マスキング処理済みのファイル２０２に付加する（Ｓ４０７）。

また、配布ファイル生成部１０１の制御プログラム追加処理部１０５が、制御プログラム１０８を、マスキング処理済みのファイル２０２にセキュリティポリシー情報１０７が付加されたファイルに、さらに付加し（Ｓ４０８）、ディスク装置に格納する。これが、実際に配布する実行形式の配布ファイル１２２である。配布ファイル１２２の形式は、図３に示されるようになる。

そして、メールサーバプログラム１０６は、配布ファイル生成部１０１が生成した配布ファイル１２２を取り出し、電子メールの添付ファイルとして、電子メールを宛先アドレスに送信する（Ｓ４０９）。

ファイル参照者は、ファイル参照端末４０により電子メールと、その添付ファイルを受信し、ファイル参照端末４０のディスク装置に格納する。

なお、二次配布など、既に、ファイルに制御部が付加されている実行形式ファイルを配布する場合には、図７のＳ４０４からＳ４０８のステップを実施しない。すなわち、アクセス期限、コピー回数の上限、アクセス回数の上限は、配布ファイル生成部１０１でファイルが生成された時点からの情報が引き継がれる。

次に、図８を用いて本発明の第一の実施形態に係るファイルアクセス制御方法のファイルを参照する処理について説明する。

図８は、ファイルの参照処理の流れを説明するフローチャートである。

ファイル参照者は、ファイル参照端末４０上で、ディスク装置に格納されている配布ファイル１２２を操作し、読み出し要求をおこなう（Ｓ４５１）。

配布ファイル１２２は、実行形式ファイルなどで、ファイルを開くと、配布ファイル１２２内の制御プログラム１０８が実行される。配布ファイル１２２内の制御プログラム１０８は、宛先一覧、ログイン情報、メールのアカウント情報等からファイル参照者のユーザ情報等を取得する（Ｓ４５２）。

そして、制御プログラム１０８が、ファイル参照者のユーザ情報と、配布ファイル１２２内の個人のアクセス権レベル一覧２６３を照合し、そのファイル参照者のアクセス権レベルを求める（Ｓ４５３）。例えば、メールのアカウントと個人ＩＤが一致するときには、ファイル参照者のメールのアカウントが「Ａ０２」のときには、アクセス権レベルは、２である。

次に、制御プログラム１０８は、Ｓ４５３のステップで求められたファイル参照者のアクセス権レベルに基づいて、参照すべきファイル（データ部２０３にあるファイルのいずれか）を決定する（Ｓ４５４）。

そして、制御プログラム１０８は、そのアクセス権レベルに該当するエントリのファイルの制御情報２６２の読み出し回数の上限３５３を１減じて（Ｓ４５５）、ファイル参照者のアクセス権に応じたファイルの読み出しを実行する（Ｓ４５６）。

次に、図９を用いて本発明の第一の実施形態に係るファイルアクセス制御方法のファイルをコピーする処理について説明する。
図９は、ファイルのコピー処理の流れを説明するフローチャートである。

ファイル参照者は、ファイル参照端末４０上で、配布ファイル１２２を操作し、コピー要求をおこなう（Ｓ４６１）。

次のＳ４６２とＳ４６３のステップは、図８のＳ４５２とＳ４５３のステップと同様である。

すなわち、配布ファイル１２２内の制御プログラム１０８が実行し、配布ファイル１２２内の制御プログラム１０８は、宛先一覧、ログイン情報、メールのアカウント情報等からファイル参照者のユーザ情報等を取得する（Ｓ４６２）。

そして、制御プログラム１０８が、ファイル参照者のユーザ情報と、配布ファイル１２２内の個人のアクセス権レベル一覧２６３を照合し（Ｓ４６３）、そのファイルをコピーしようとする者のアクセス権レベルを求める。

そして、制御プログラム１０８は、そのアクセス権レベルに該当するエントリのファイルの制御情報２６２のコピー回数の上限３５２を１減じて（Ｓ４６４）、コピー処理を実行する（Ｓ４６５）。

コピーされてできるコピー先のファイルは、制御部とデータ部を全て含んだものであり、コピーされるファイルのデータ部２０３は、コピー元のデータ部２０３の全て（図３の例では、アクセス権レベル０〜Ｘ）がコピーされる。また、コピーした時点のコピー元とコピー先のファイルの制御情報２６２は、同じ値であり、共にコピー回数の上限３５２もＳ４６４を実行した値を有している。

次に、図１０ないし図１２を用いて制御プログラム１０８の動作とファイルの制御情報の関係について説明する。
図１０は、アクセス期限チェックとファイルの制御情報２６２の関係を示す図である。
図１１は、コピー回数とファイルの制御情報２６２の関係を示す図である。
図１２は、アクセス回数とファイルの制御情報２６２の関係を示す図である。

制御プログラム１０８は、図１により説明したように、アクセス期限チェック部２９１、コピー回数チェック部２９２、アクセス回数チェック部２９３から構成される。

アクセス期限チェック部２９１は、アクセス権レベルごとに設定されたアクセス期限３５４のチェックを実施する。ファイル生成時から時限装置として機能し、期限チェックを開始する。ファイル生成時に設定されたアクセス期限３５４を超えた時点で、制御プログラム１０８が、配布ファイル１２２のデータ部２０３の対応するアクセス権レベルのファイルを消滅させる。これにより、二次配布により機密情報が漏えいしても、ある期間を過ぎればデータ部が消滅するため、漏えいの範囲・被害を局所化することが可能となる。

図１０（ａ）に示す例では、ファイル生成時のアクセス期限３５４は、「８００００秒」である。そして、図１０（ｂ）に示すように、ファイル生成から１００００秒経過したときには、アクセス期限３５４は、「７００００秒」になり、図１０（ｃ）に示すように、ファイル生成から８００００秒経過したときには、アクセス期限３５４は、「０秒」になる。そして、図１０（ｃ）に示す状態になったときには、アクセス権レベルＸのファイルを消滅させる。

なお、アクセス期限のチェックは、ＯＳのタスクのスケジュール機能に登録しておき、一定時間ごとにおこなって、アクセス期限３５４の領域を書き換えるようにしてもよいし、ファイル参照者があるアクセス権レベルのファイルを参照しようとするときに、アクセス期限が切れているかをチェックして、アクセス期限が切れているとき、すなわち、ファイル生成時からそのファイル参照時の時間が、アクセス期限３５４に設定された値と等しいか大きくなったときにファイルを消滅させてもよい。

コピー回数チェック部２９２は、アクセス権ごとに設定されたファイルのコピー回数をチェックし、アクセス権ごとに設定されたコピー回数の上限３５２を超えるコピーを禁止する。上限値チェックは、コピー要求発生時に実施する。コピーが実施されれば、コピー回数の上限を１減ずる。コピー回数が最初に設定されたコピー回数の上限に達したとき、すなわち、コピー回数の上限３５３が「０」の値となった場合、制御プログラム１０８が、配布ファイル１２２のデータ部２０３にコピー禁止の設定をする。

したがって、これ以降のファイルの読み出しはできるが、コピーはできないようになる。これにより、情報の漏えい、２次配布、複製物の作成が、通常のファイルと異なり、無条件にできなくなる。

図１１（ａ）に示す例では、ファイル生成時のコピー回数の上限３５２は、「２」である。そして、図１１（ｂ）に示すように、１回目のコピー回数実施後には、コピー回数の上限３５２は、「１」になり、図１１（ｃ）に示すように、１回目のコピー回数実施後には、コピー回数の上限３５２は、「０」になる。そして、図１１（ｃ）に示す状態になったときには、アクセス権レベルＸのファイルにコピー禁止の設定をする。

アクセス回数チェック部２９３は、アクセス権ごとに設定されたファイルの読み出し回数をチェックし、読み出し回数の上限３５３を超えるアクセスを禁止する。アクセス回数のチェックは、読み出し要求発生時に実施する。読み出しを実施しようとするときに、読み出し回数の上限３５３が０になったときには、配布ファイル１２２のデータ部２０３の対応するアクセス権レベルのファイルを消滅させる。これにより、配布ファイル１２２を二次配布しても読み出し回数が限定されるため、情報漏えいを防止することができる。

図１２（ａ）に示す例では、ファイル生成時の読み出し回数の上限３５３は、「４」である。そして、図１２（ｂ）に示すように、１回目のアクセス実施後には、読み出し回数の上限３５３は、「３」になり、図１２（ｃ）に示すように、４回目のコピー回数実施後には、読み出し回数の上限３５３は、「０」になる。そして、図１２（ｃ）に示す状態になったときには、アクセス権レベルＸのファイルを消滅させる。

〔実施形態２〕
以下、本発明に係る第二の実施形態を、図１３ないし図１６を用いて説明する。

先ず、図１３を用いて本発明の第二の実施形態に係るファイルアクセス制御方法を実行するためのシステム構成について説明する。
図１３は、本発明の第二の実施形態に係るファイルアクセス制御方法を実行するためのシステム構成図である。

第一の実施形態では、ファイル配布者は、電子メールの添付ファイルとしてファイルを配布する方法をとったが、本実施形態は、ファイル配布者は、配布するファイルを、Ｗｅｂサーバにアップロードし、ファイル参照者は、そのファイルをＷｅｂサーバからダウンロードする例である。

本実施形態は、ファイル配布者が配布しようとする元のファイルを実行形式の配布ファイルに変換するのは、第一の実施形態のメールサーバ００の代わりに、Ｗｅｂサーバ５０でなされる。

Ｗｅｂサーバ５０のハードウェア構成は、第一の実施形態のメールサーバ００と同様である。

Ｗｅｂサーバ５０も、第一の実施形態と同様に、ファイル配布端末３０、ファイル参照端末４０がネットワーク２０により接続された構成である。

ディスク装置１１上には、セキュリティポリシー１０７、制御プログラム１０８、ファイル１２０、アクセス権設定済みファイル１２１、配布ファイル１２２に、加えて、個人認証データ１３０が格納される。

セキュリティポリシー１０７、制御プログラム１０８、ファイル１２０、アクセス権設定済みファイル１２１、配布ファイル１２２については、第一の実施形態と同様である。

個人認証データ１３０は、ファイル参照者がダウンロードするときに、認証するためのデータである。

一方、メモリ０２には、配布ファイル生成部１０１ａ、Ｗｅｂサーバプログラム１５１が記憶されている。これらは、通常、ディスク装置１１からメモリ０２上にロードされ、ＣＰＵ０１により実行される。

配布ファイル生成部１０１ａ、Ｗｅｂサーバプログラム１５１は、いずれもコンピュータプログラムであり、ＣＰＵ０１により実行される。

Ｗｅｂサーバプログラム１５１は、ＨＴＭＬ文書や画像などの情報を蓄積しておき、ネットワークにより接続されたクライアントからの要求に応じて送信するプログラムである。本実施形態では、ファイル配布者が、アクセス権設定済みファイル１２１をＷｅｂサーバにアップロードし、ファイル参照者は、必要な配布ファイルをダウンロードする。

配布ファイル生成部１０１ａは、第一の実施形態の配布ファイル生成部１０１と同様の機能を有するが、Ｗｅｂサーバ上で動作することが異なっている。

本実施形態の配布ファイル生成部１０１ａは、ファイル配布者がアクセス権設定済みファイル１２１をＷｅｂサーバにアップロードしたことをトリガーとして起動するようにしてもよいし、Ｗｅｂサーバの管理者が明示的に起動してもよい。

配布ファイル生成部１０１ａは、照合処理部１０２ａ、マスキング処理部１０３、セキュリティポリシー追加処理部１０４、および、制御プログラム追加処理部１０５よりなる。

照合処理部１０２ａは、アクセス権設定済みファイル１２１に設定されたアクセス権と、個人認証をおこなったファイル参照者のアクセス権レベルを照合し、どのようなアクセス権を持ったファイルを生成するかを決定する。

マスキング処理部１０３、セキュリティポリシー追加処理部１０４、制御プログラム１０８は、第一の実施形態と同様である。

次に、図１４ないし図１７を用いて本発明の第二の実施形態に係るファイルアクセス制御方法のファイルを配布する処理について説明する。
図１４は、本発明の第二の実施形態に係るファイル１２０から配布ファイル１２２を生成する処理を説明する図である。
図１５は、個人認証データとセキュリティポリシーの制御情報の関係を説明するための図である。
図１６は、本発明の第二の実施形態に係るファイルの配布処理の流れを説明するフローチャートである。
図１７は、Ｗｅｂサーバ５０における認証処理からダウンロードの手順を説明するフローチャートである。

先ず、ファイル配布者は、ファイル配布端末３０により、配布しようとする元データとなる図１４のファイル１２０を作成し、ファイル配布端末３０のディスク装置に格納する（Ｓ４７１）。

次に、ファイル配布者は、ファイル配布端末３０の中にあるアクセス権設定プログラム（図示せず）により、ファイル１２０の属性としアクセス権レベルを設定して、アクセス権レベル設定済みファイル１２１を生成する（Ｓ４７２）。

次に、ファイル配布者は、ファイル配布端末より、Ｓ４７２によりアクセス権レベルを設定したアクセス権レベル設定済みファイル１２１を、ネットワーク２０を介して、Ｗｅｂサーバ５０にアップロードする（Ｓ４７３）。

ここで、配布ファイル生成部１０１は、常時起動しておいてＷｅｂサーバ５０にアップロードされたことを監視するようにしてもよいし、Ｗｅｂサーバ５０の管理者が、以下の処理をするときに明示的に起動するようにしてもよい。

ファイル配布者は、そのファイルの制御情報が未登録であり、必要があるときには、ファイル配布端末３０より、図５に示されるファイルの制御情報２６２をディスク装置１１に登録しておく。ファイルの制御情報２６２は、既に説明したように、アクセス権レベル毎にコピー回数の上限、読み出し回数の上限、アクセス期限を設定したものである。

次に、配布ファイル生成部１０１ａの照合処理部１０２が、個人認証データ１３０の情報を取り出し、セキュリティポリシー１０７に従って、各々のアクセス権レベルを参照して照合処理を実施し（Ｓ４７４）、アクセス権レベル設定済みファイル１２１より生成されるファイルのアクセス権レベルを求める。

例えば、アクセス権レベル設定済みファイル１２１のアクセス権レベルが、２であるとする。このとき、図１５に示すような個人認証データ１３０をＷｅｂサーバ５０のディスク装置１１に格納されているとする。生成しなければならないファイルは、アクセス権レベルが２よりも高い、すなわち、アクセス権レベルが０、１、２のファイルである。

個人のアクセス権レベル一覧２６３から取得したアクセス権レベル３０５に従い、必要なファイルの制御情報２６２が決定される。この例の場合には、個人認証データ１３０に、アクセス権レベルが０、１、２、−９９のアクセス権レベルの個人がいるので、アクセス権レベルが−９９の場合を除き、その他のアクセス権レベルが０、１、２のときの制御情報が用いられる。

次に、Ｓ４７４の照合処理の結果に基づき、配布ファイル生成部１０１ａのマスキング処理部１０３が、アクセス権レベル３５１に応じたマスキング処理を、アクセス権レベル設定済みファイル１２１に対しておこなう（Ｓ４７５）。

このとき、アクセス権レベルの数だけ、図１４に示されるように、マスキング処理済みのファイルが生成される。図１５に示す例の場合には、アクセス権レベルが０、１、２のファイルが生成される。なお、Ｗｅｂサーバ５０の場合には、ファイル参照者がＷｅｂにダウンロードしようとするときに、個人認証を要求すると、その個人のアクセス権レベルが分かるので、メールサーバ００の場合とは違い、別々の配布ファイル１２２として生成することにする。

次に、配布ファイル生成部１０１ａのセキュリティポリシー情報追加処理部１０４が、セキュリティポリシー情報１０７、すなわち、個人のアクセス権レベル一覧２６３とファイルの制御情報２６２を、マスキング処理済みのファイル２７１、２７２、２７３の各々に付加する（Ｓ４７６）。

また、配布ファイル生成部１０１ａの制御プログラム追加処理部１０５が、制御プログラム１０８を、マスキング処理済みのファイル１２１にセキュリティポリシー情報１０７が付加された各々のファイル２７１、２７２、２７３に、さらに付加し、ディスク装置に格納する（Ｓ４７７）。これが、実際にダウンロードされることにより配布される実行形式の配布ファイル１２２である。配布ファイル１２２の形式は、図１４に示されるようになる。

そして、Ｗｅｂサーバ５０は、個人認証データ１３０に基づいて、認証をおこない、ＯＫならそのファイル参照者のアクセス権レベルに対応した配布ファイル１２２をダウンロードさせる（Ｓ４７８）。認証処理からダウンロードの手順は、次に詳細に説明する。

なお、二次配布など、既に、ファイルに制御部が付加されている実行形式ファイルを配布する場合には、図７のＳ４７４からＳ４７７のステップを実施しない。すなわち、アクセス期限、コピー回数の上限、アクセス回数の上限は、配布ファイル生成部１０１ａでファイルが生成された時点からの情報が引き継がれる。

次に、図１７を用いて認証処理からダウンロードの手順を説明する。

ファイル参照者が、ファイル参照端末４０から、Ｗｅｂサーバ５０に配布ファイル１２２のダウンロードを要求する（Ｓ４８１）。

Ｗｅｂサーバ５０は、ファイル参照者に対して認証ダイアローグなどにより認証を要求する（Ｓ４８２）。

認証結果がＮＧのときには、認証拒否するメッセージをファイル参照端末４０に出力し（Ｓ４８４）、処理を終了する。

認証結果がＯＫのときには、図１５に示されるように、認証したファイル参照者に対応するアクセス権レベルのファイルを取り出し（Ｓ４８５）、そのファイルをダウンロードさせる（Ｓ４８６）。

ダウンロードされると、ファイル参照端末４０のディスク装置に格納される。

図１４に示される例では、ファイル参照者の個人ＩＤが、「Ａ０２」であるととすると、アクセス権レベルが２の配布ファイル２８４がダウンロードされる。

ダウンロード実行後に、ファイル参照者が、ディスク装置からその配布ファイルを読み出すときの処理、および、コピーするときの処理は、第一の実施形態と同様である。

本発明の第一の実施形態に係るファイルアクセス制御方法を実行するためのシステム構成図である。 本発明に第一の実施形態に係るファイルアクセス制御方法を実行するためのシステムのハードウェア構成図である。 本発明の第一の実施形態に係るファイル１２０から配布ファイル１２２を生成する処理を説明する図である。 個人のアクセス権レベル一覧２６３の例を示す図である。 ファイルの制御情報２６２の例を示す図である 電子メールの宛先一覧、セキュリティポリシー、ファイルの制御情報の関係を説明するための図である。 本発明の第一の実施形態に係るファイルの配布処理の流れを説明するフローチャートである。 ファイルの参照処理の流れを説明するフローチャートである。 ファイルのコピー処理の流れを説明するフローチャートである。 アクセス期限チェックとファイルの制御情報２６２の関係を示す図である。 コピー回数とファイルの制御情報２６２の関係を示す図である。 アクセス回数とファイルの制御情報２６２の関係を示す図である。 本発明の第二の実施形態に係るファイルアクセス制御方法を実行するためのシステム構成図である。 本発明の第二の実施形態に係るファイル１２０から配布ファイル１２２を生成する処理を説明する図である。 個人認証データとセキュリティポリシーの制御情報の関係を説明するための図である。 本発明の第二の実施形態に係るファイルの配布処理の流れを説明するフローチャートである。 Ｗｅｂサーバ５０における認証処理からダウンロードの手順を説明するフローチャートである。

符号の説明

００…メールサーバ
１０１…配布ファイル生成部（メールサーバ）
１０２…照合処理部（メールサーバ）
１０３…マスキング処理部
１０４…セキュリティポリシー追加処理部
１０５…制御プログラム追加処理部
１０６…メールサーバプログラム
１０７…セキュリティポリシー
１０８…制御プログラム
１０９…配布ファイル
３０…ファイル配布端末
４０…ファイル参照端末
５０…Ｗｅｂサーバ
１０１ａ…配布ファイル生成部（Ｗｅｂサーバ）
１０２ａ…照合処理部（Ｗｅｂサーバ）
１３０…個人認証データ
１５１…Ｗｅｂサーバプログラム
１２０…元データのファイル
１２１…アクセス権レベル設定済みファイル
１２２…配布ファイル
２０２…マスキング処理実施済みのアクセス権レベルのファイル群
２６２…ファイルの制御情報
２６３…個人のアクセス権レベル一覧

Claims (7)

1. ファイル配布端末から電子メールにファイルを添付して、ディスク装置を備えるメールサーバを介して、前記ファイルを添付された電子メールをファイル参照端末に送信することより配布されるファイルのファイルアクセス制御方法において、
   前記ファイル配布端末が、第一のファイルにアクセス権レベルを設定し、第二のファイルを生成し、前記ファイル配布端末のディスク装置に格納するステップと、
   前記ファイル配布端末が、前記第二のファイルを電子メールの添付ファイルとして、前記第二のファイルが添付された電子メールを、宛先アドレスを指定して前記メールサーバに送信するステップと、
   前記メールサーバ内の配布ファイル生成部が、送信する電子メール宛先情報を参照し、前記ファイルに設定されたアクセス権レベルに基づいて、前記第二のファイルから一つ以上のアクセス権レベルに対応した第三のファイルを生成し、前記メールサーバ内のディスク装置に格納するステップと、
   前記メールサーバ内の配布ファイル生成部が、前記第三のファイルに、制御プログラムと、アクセス権レベル毎にファイルの制御方法が定義されたファイルの制御情報と、ユーザ毎のアクセス権レベルを定義した個人のアクセス権レベルとを付加して、実行形式の第四のファイルを生成し、前記メールサーバ内のディスク装置に格納するステップと、
   前記メールサーバが、前記宛先アドレスに基づいて、前記第四のファイルを添付した電子メールを、前記ファイル参照端末に送信するステップと、
   前記ファイル参照端末が、前記電子メールと、その電子メールに添付された第四のファイルを受信し、前記ファイル参照端末のディスク装置に格納するステップと、
   前記ファイル参照端末が、前記電子メールに添付された第四のファイルを実行することによりアクセスするステップとを有し、
   前記第四のファイルのアクセス時には、前記ファイル参照端末上で、前記制御プログラムが実行され、前記制御プログラムは、ファイルを参照しようとする者のユーザ情報を取得し、そのユーザ情報と前記ファイルの制御情報よりそのファイルを参照しようとする者のアクセス権レベルを取得し、前記ファイルの制御情報に定義されたそのアクセス権レベルに基づいた制御方法により、前記第四のファイルのアクセスを制御することを特徴とするファイルアクセス制御方法。
2. 前記第四のファイルに付加したファイルの制御情報により、そのファイルのアクセス期限を設定し、期限を超えときに、前記制御プログラムは、前記第四のファイルのデータ部を消滅させることを特徴とする請求項１記載のファイルアクセス制御方法。
3. 前記第四のファイルに付加したファイルの制御情報により、そのファイルのコピーを許可する残り回数を設定し、前記制御プログラムは、前記第四のファイルをコピーするたびに、前記コピーを許可する残り回数を１減じ、０になったときに、前記制御プログラムは、前記第四のファイルのコピーを禁止することを特徴とする請求項１記載のファイルアクセス制御方法。
4. 前記第四のファイルに付加したファイルの制御情報により、そのファイルの読み出しの残り回数を設定し、前記制御プログラムは、前記第四のファイルを読出すたびに、前記読み出しの残り回数を１減じ、０になったときに、前記制御プログラムは、前記第四のファイルのデータ部を消滅させることを特徴とする請求項１記載のファイルアクセス制御方法。
5. ファイル配布端末から、ディスク装置を備えるＷｅｂサーバにファイルをアップロードして、前記Ｗｅｂサーバにアップロードされたファイルをファイル参照端末よりダウンロードすることより配布するファイルのファイルアクセス制御方法において、
   前記ファイル配布端末が、第一のファイルにアクセス権レベルを設定し、第二のファイルを生成し、前記ファイル配布端末のディスク装置に格納するステップと、
   前記ファイル配布端末が、前記Ｗｅｂサーバに前記第二のファイルをアップロードするステップと、
   前記Ｗｅｂサーバ内の配布ファイル生成部が、ファイルをダウンロードさせるための認証に用いる個人認証データを参照し、前記ファイルに設定されたアクセス権レベルに基づいて、前記第二のファイルから一つ以上のアクセス権レベルに対応した第三のファイルを生成し、前記Ｗｅｂサーバのディスク装置に格納するステップと、
   前記Ｗｅｂサーバ内の配布ファイル生成部が、あるアクセス権レベルに対応した前記第三のファイルに、制御プログラムと、そのアクセス権レベルのファイルの制御方法が定義されたファイルの制御情報と、ユーザ毎のアクセス権レベルを定義した個人のアクセス権レベルとを付加して、実行形式の第四のファイルを生成し、前記Ｗｅｂサーバのディスク装置に格納するステップと、
   前記Ｗｅｂサーバが、前記ファイル参照端末からファイルを参照する者を認証するステップと、
   前記Ｗｅｂサーバが、認証結果に基づき、そのファイルを参照する者のアクセス権レベルを求め、そのファイルを参照する者のアクセス権レベルに対応した第四のファイルをダウンロードさせるステップと、
   前記ファイル参照端末が、前記第四のファイルをダウンロードして、前記ファイル参照端末のディスク装置に格納するステップと、
   前記ファイル参照端末が、前記第四のファイルを実行することによりアクセスするステップとを有し、
   前記第四のファイルのアクセス時には、前記ファイル参照端末上で、前記制御プログラムが実行され、前記制御プログラムは、ファイルを参照しようとする者のユーザ情報を取得し、そのユーザ情報と前記ファイルの制御情報よりそのファイルを参照しようとする者のアクセス権レベルを取得し、前記ファイルの制御情報に定義されたそのアクセス権レベルに基づいた制御方法により、前記第四のファイルのアクセスを制御することを特徴とするファイルアクセス制御方法。
6. ファイル配布端末から電子メールにファイルを添付して、ディスク装置を備えるメールサーバを介して、前記ファイルを添付された電子メールをファイル参照端末に送信することより、配布されるファイルのファイルアクセス制御システムにおいて、
   前記ファイル配布端末は、第一のファイルにアクセス権レベルを設定し、第二のファイルを生成し、前記ファイル配布端末内のディスク装置に格納し、
   前記ファイル配布端末は、前記第二のファイルを電子メールの添付ファイルとして、前記第二のファイルが添付された電子メールを、宛先アドレスを指定して前記メールサーバに送信し、
   前記メールサーバ内の配布ファイル生成部は、送信する電子メール宛先情報を参照し、前記ファイルに設定されたアクセス権レベルに基づいて、前記第二のファイルから一つ以上のアクセス権レベルに対応した第三のファイルを生成し、前記メールサーバのディスク装置に格納し、
   前記メールサーバ内の配布ファイル生成部は、前記第三のファイルに、制御プログラムと、アクセス権レベル毎にファイルの制御方法が定義されたファイルの制御情報と、ユーザ毎のアクセス権レベルを定義した個人のアクセス権レベルとを付加して、実行形式の第四のファイルを生成し、前記メールサーバのディスク装置に格納し、
   前記メールサーバは、前記宛先アドレスに基づいて、前記第四のファイルを添付した電子メールを、前記ファイル参照端末に送信し、
   前記ファイル参照端末は、前記電子メールと、その電子メールに添付された第四のファイルを受信し、前記ファイル参照端末のディスク装置に格納し、
   前記ファイル参照端末は、前記電子メールに添付された第四のファイルを実行することによりアクセスし、
   前記第四のファイルのアクセス時には、前記ファイル参照端末上で、前記制御プログラムが実行され、前記制御プログラムは、ファイルを参照しようとする者のユーザ情報を取得し、そのユーザ情報と前記ファイルの制御情報よりそのファイルを参照しようとする者のアクセス権レベルを取得し、前記ファイルの制御情報に定義されたそのアクセス権レベルに基づいた制御方法により、前記第四のファイルのアクセスを制御し、
   前記第四のファイルに付加したファイルの制御情報により、そのファイルのアクセス期限を設定し、期限を超えときに、前記制御プログラムは、前記第四のファイルのデータ部を消滅させ、
   前記第四のファイルに付加したファイルの制御情報により、そのファイルのコピーを許可する残り回数を設定し、前記制御プログラムは、前記第四のファイルをコピーするたびに、前記コピーを許可する残り回数を１減じ、０になったときに、前記制御プログラムは、前記第四のファイルのコピーを禁止し、
   前記第四のファイルに付加したファイルの制御情報により、そのファイルの読み出しの残り回数を設定し、前記制御プログラムは、前記第四のファイルを読出すたびに、前記読み出しの残り回数を１減じ、０になったときに、前記制御プログラムは、前記第四のファイルのデータ部を消滅させることを特徴とするファイルアクセス制御システム。
7. ディスク装置を備えたメールサーバ上で実行される配布ファイル生成プログラムにおいて、
   前記配布ファイル生成プログラムは、アクセス権の設定された電子メールの添付ファイルを取得し、
   前記メールサーバの配布ファイル生成プログラムは、送信する電子メール宛先情報を参照し、前記ファイルに設定されたアクセス権レベルに基づいて、アクセス権の設定された電子メールの添付ファイルから、アクセス権レベルに対応してマスキングされたファイルを生成し、前記メールサーバのディスク装置に格納し、
   前記メールサーバ内の配布ファイル生成部は、アクセス権レベルに対応してマスキングされたファイルに、制御プログラムと、アクセス権レベル毎にファイルの制御方法が定義されたファイルの制御情報と、ユーザ毎のアクセス権レベルを定義した個人のアクセス権レベルとを付加して、実行形式の配布ファイルを生成し、前記メールサーバのディスク装置に格納し、
   前記実行形式の配布ファイルは、電子メールが参照される端末内のディスク装置に格納され、電子メールが参照される端末上で実行され、
   前記配布ファイルに付加された制御プログラムは、ファイルを参照しようとする者のユーザ情報を取得し、そのユーザ情報と前記ファイルの制御情報よりそのファイルを参照しようとする者のアクセス権レベルを取得し、前記ファイルの制御情報に定義されたそのアクセス権レベルに基づいた制御方法により、前記第四のファイルのアクセスを制御し、
   前記配布ファイルに付加したファイルの制御情報により、そのファイルのアクセス期限を設定し、期限を超えときに、前記制御プログラムは、前記配布ファイルのデータ部を消滅させ、
   前記配布ファイルに付加したファイルの制御情報により、そのファイルのコピーを許可する残り回数を設定し、前記制御プログラムは、前記配布ファイルをコピーするたびに、前記コピーを許可する残り回数を１減じ、０になったときに、前記制御プログラムは、前記配布ファイルのコピーを禁止し、
   前記配布ファイルに付加したファイルの制御情報により、そのファイルの読み出しの残り回数を設定し、前記制御プログラムは、前記配布ファイルを読出すたびに、前記読み出しの残り回数を１減じ、０になったときに、前記制御プログラムは、前記配布ファイルのデータ部を消滅させることを特徴とする配布ファイル生成プログラム。

Images