JP2009015766A - ユーザ端末、アクセス管理システム、アクセス管理方法、およびプログラム - Google Patents

Abstract

【課題】 ユーザ端末単独でファイルのアクセス制限を実行する場合でも、盗難に対して安全性を高めること。
【解決手段】 ユーザ端末１０は、持出要求があると、管理サーバ２０と接続してファイル１６のアクセス条件と有効期間を含む持出許可情報を取得して保持し、管理サーバ２０と接続不能な状況でファイル１６へのアクセス要求が発生すると、認証情報（Ｂ）を入力させ、入力された認証情報（Ｂ）が持出許可情報のアクセス条件に適合し、かつ、持出許可情報の有効期間内であればファイル１６へのアクセスを許可する。
【選択図】 図２

Description

本発明はユーザ端末、アクセス管理システム、アクセス管理方法、およびプログラムに関し、特に、ファイルのアクセス権管理を実行するユーザ端末、アクセス管理システム、アクセス管理方法、およびプログラムに関する。

ファイルへのアクセスを制限することにより、秘密情報を保持するファイルが誤って流出しても秘密情報の漏洩を防止することができる。例えば、特開２００５−１００１４１号公報は、クライアントＰＣに所定の管理サーバのアドレスを登録しておき、クライアントＰＣを起動する際に所定の管理サーバがＬＡＮ上に検出できなければシャットダウンする技術を記載している。

また、特開２００６−２５１９３２号公報は、管理サーバに登録されたセキュアデータ（アクセスレベル別のアクセス権情報を含むデータファイル）をホスト装置（本発明のユーザ端末に相当）で閲覧したり編集したりする操作を制限することを記載している。この管理サーバはホスト装置の要求で認証を行いセキュアデータのアクセスを制限する。また、ホスト装置は認証の履歴情報を保持しておき、管理サーバへ接続できない場合、履歴情報によって認証を行う。この他に、データを暗号化して保管するものとして特開２００６−３５２５６０号公報がある。

特開２００５−１００１４１号公報 特開２００６−２５１９３２号公報 特開２００６−３５２５６０号公報

特開２００５−１００１４１号公報の発明は、クライアントＰＣを所定のサーバと接続してファイルへのアクセスを制限することができる。しかしながら、特開平２００５−１００１４１号公報の発明は、所定のサーバと接続できない場合、ファイルにアクセスすることができないという問題点がある。

特開２００６−２５１９３２号公報の発明は、ホスト装置が管理サーバと接続できない場合、ホスト装置が保持する承認の履歴情報を使用して承認を実行することにより、上記問題点を解決できる。しかしながら、特開２００６−２５１９３２号公報の発明は、ホスト装置の盗難・紛失に対して安全性に欠けるという問題点がある。

特開２００６−２５１９３２号公報の発明は、ホスト装置が紛失したり盗まれたりした場合、アクセス権限のチェックに必要な認証情報を含んだ履歴情報がホスト装置に保持されている。第３者は時間をかけることにより、ホスト装置内に保持される認証情報の盗み出しに成功する確率を高くできる。一方、特開２００５−１００１４１号公報の発明は、認証情報をクライアントＰＣに保持しないので安全性に問題はない。

特開２００６−３５２５６０号公報の発明は暗号化の技術を記載しているのみで、サーバと接続できない場合でもファイルのアクセスを制限するという課題を解決することはできない。

本発明の目的は、上述した課題を解決するユーザ端末、アクセス管理システム、プログラム、およびアクセス管理方法を提供することにある。

本発明のユーザ端末は、持出要求があると、管理サーバに接続して、ファイルのアクセス条件と有効期間を含む持出許可情報を取得して保持し、前記管理サーバと接続不能な状況で前記ファイルへのアクセス要求が発生すると、認証情報（Ｂ）を入力させ、入力された認証情報（Ｂ）が前記持出許可情報のアクセス条件に適合し、かつ、持出許可情報の有効期間内であれば前記ファイルへのアクセスを許可することを特徴とする。

本発明のアクセス管理システムは、ユーザ端末と管理サーバを含むアクセス管理システムであって、前記ユーザ端末は、持出要求があると、前記管理サーバと接続してファイルのアクセス条件と有効期間を含む持出許可情報を取得して保持し、前記管理サーバと接続不能な状況で前記ファイルへのアクセス要求が発生すると、認証情報（Ｂ）を入力させ、入力された認証情報（Ｂ）が保持している持出許可情報のアクセス条件に適合し、かつ、持出許可情報の有効期間内であれば前記ファイルへのアクセスを許可することを特徴とする。

本発明のプログラムは、持出要求があると、管理サーバに接続して、ファイルのアクセス条件と有効期間を含む持出許可情報を取得して保持する手順と、
前記管理サーバと接続不能な状況で前記ファイルへのアクセス要求が発生すると、認証情報（Ｂ）を入力させ、入力された認証情報（Ｂ）が前記持出許可情報のアクセス条件に適合し、かつ、持出許可情報の有効期間内であれば前記ファイルへのアクセスを許可する手順とをコンピュータに実行させることを特徴とする。

本発明のアクセス管理方法は、持出要求があると、管理サーバに接続して、ファイルのアクセス条件と有効期間を含む持出許可情報を取得して保持しておき、
前記管理サーバと接続不能な状況で前記ファイルへのアクセス要求が発生すると、認証情報（Ｂ）を入力させ、入力された認証情報（Ｂ）が前記持出許可情報のアクセス条件に適合し、かつ、持出許可情報の有効期間内であれば前記ファイルへのアクセスを許可することを特徴とする。

本発明は、ユーザ端末単独でファイルのアクセス制限を実行する場合でも、高い安全性を得られるという効果がある。その理由は、本発明のユーザ端末は、認証情報を含んだ持出許可情報を必要な期間だけ保持するようにしたため、持出許可情報が登録されていないユーザ端末が盗難にあっても第３者に認証情報を盗まれることがないためである。

次に、本発明実施例について図面を参照して詳細に説明する。図１は本発明の第１の実施例であるユーザ端末１０の構成を示した図である。ユーザ端末１０は、パーソナルコンピュータや、ＰＤＡ（personal digital assistant）や、情報処理機能を備えた携帯電話機のような情報処理機器であり、特にユーザが携帯して外部へ持ち運べるものが本発明に適している。ユーザ端末１０は、入出力装置１１と通信装置１２とＣＰＵ１３と記憶装置１４とを含んでいる。

入出力装置１１は入力装置、出力装置、またはこれらの組み合わせで構成される。入力装置は例えばキーボードのようなキー入力装置とマウスのような位置入力装置の組合せで実現できる。出力装置は例えば表示装置であり、これに印刷装置を組み合わせることもできる。表示装置は、例えば液晶ディスプレイやＣＲＴ（cathode ray tube）ディスプレイで実現できる。

通信装置１２はＣＰＵ１３で実行されるプログラムの指示に従って、ネットワークを介して管理サーバとの間の通信を制御する。ＣＰＵ１３は中央処理装置（central processing unit）であり、記憶装置１４に保持されるプログラムを実行して記憶装置１４に保持されるデータを処理したりネットワークを介してデータを転送したりできる。

記憶装置１４は、補助記憶装置（例えば磁気ディスク装置）と主記憶装置とで構成され、端末制御部１５とファイル１６とを保持する。図示しないが、記憶装置１４はＯＳ（operating system）やアプリケーションプログラム群やデータ群を保持できる。記憶装置１４に保持される各情報は補助記憶装置に保持され、動作時にはその一部または全部が主記憶装置に転送されＣＰＵ１３からアクセスされる。

なお、図１では、ファイル１６としてファイル１６−１とファイル１６−２とファイル１６−３を示しているがファイル１６の数を限定するものではない。また、ファイル１６−１とファイル１６−２とファイル１６−３を区別しない場合、単にファイル１６と記載する。

ファイル１６は、ソフトウェアがアクセス管理可能なデータの単位でありファイルＩＤにより識別される。ファイル１６はデータ部１７とアクセス権情報部１８と持出許可情報部１９とを含む。なお、アクセス権情報部１８と持出許可情報部１９はファイル１６内部に置く必要はなく、ファイル１６と関連付けられていればファイル１６ではない記憶装置１４内に設けることもできる。

データ部１７は、ファイル１６に保持されるデータの集合であり、データとしてプログラムを含むこともできる。アクセス権情報部１８はアクセス権情報を保持する領域である。持出許可情報部１９は、ユーザ端末１０が管理サーバと接続できない状態で、ファイル１６へのアクセス制限を実行するための情報を含む持出許可情報を保持する領域である。

図３と図４はアクセス権情報の一例を示した図である。アクセス権情報はファイル１６を作成した者により設定され、最初に設定された後は変更されることなく使用される。ただし、特別な事情により変更する場合でも、ファイル１６の作成者や特別な権限を持った管理者によってのみ変更が可能なように保護されるべきである。

アクセス権情報は、ファイル１６を識別するためのファイルＩＤと、ファイル１６へのアクセスが許可されたユーザＩＤと、ユーザＩＤ毎に許可されたアクセス種別を含む。ファイルＩＤはアクセス権情報に対して１つ登録される。一方、ユーザＩＤとアクセス種別は互いに関連付けられアクセス権情報に登録される。ユーザＩＤとアクセス種別はそのファイル１６のアクセスが許可されたユーザＩＤ数に応じて登録される。なお、ユーザＩＤはユーザを識別するために各ユーザに割り付けられた情報である。アクセス種別は、ファイル１６に対し許可された操作内容（読み出し、書込、実行など）を示す情報である。

例えば、図３で示したアクセス権情報には、ファイルＩＤとして“ＦＩＬＥ０１”が登録され、ユーザＩＤとして“００９０７８”と“００９０８８”と“Ｇ００９０”が登録されている。また、それぞれのユーザＩＤに関連付けられてアクセス種別の“Ｒ、Ｗ”と“Ｒ”と“Ｒ”とが登録されている。ユーザＩＤの“Ｇ００９０”はグループＩＤとして定義されたものであるが、アクセス権情報においてグループＩＤはユーザＩＤと見なされる。

アクセス種別の“Ｒ”は読み出し許可を示し、アクセス種別の“Ｗ”は書込許可を示している。以降の説明ではアクセス種別に応じたアクセス権の制限を実行するが、アクセス種別を区別せずに、ファイル１６へのアクセスを制限するように制御することもできる。その場合、アクセス種別は本発明の構成から除外することができる。

図３のアクセス権情報は、ユーザＩＤ＝“００９０７８”のユーザに対して、ファイルＩＤ＝“ＦＩＬＥ０１”のファイル１６に対して読み出し（Ｒ）と書込（Ｗ）を許可している。また、図３のアクセス権情報は、ユーザＩＤ＝“００９１８８”またはグループＩＤ＝“Ｇ００９０”を有するユーザに対して、ファイルＩＤ＝“ＦＩＬＥ０１”のファイル１６に対して読み出し（Ｒ）のみ許可している。ユーザＩＤがユーザ個人に所有されるのに対して、グループＩＤは複数のユーザに対して所有される。

図４のアクセス権情報は、ユーザＩＤ＝“００９１８８”またはグループＩＤ＝“Ｇ００９０”を有するユーザに対して、ファイルＩＤ＝“ＦＩＬＥ０２”のファイル１６に対し実行（Ｅ）が許可されていることを示している。この場合、“ＦＩＬＥ０２”のデータ部１７はプログラムを含んでいる。

図５は、持出許可情報の一例を示した図であり、括弧内は具体例の情報を示している。持出許可情報は復号情報と暗号持出情報と暗号化されていない平文有効期間を含む。暗号持出情報は、平文持出情報をユーザＩＤとパスワードを暗号鍵として暗号化した情報である。従って、ユーザ端末１０が紛失や盗難にあっても、持出許可情報に含まれるパスワード等の認証情報が漏洩しにくくなっている。

平文持出情報は、アクセス権限の確認のために使用され、ユーザＩＤ、パスワード、アクセス種別、ファイルＩＤ、端末ＩＤを含むアクセス条件と、有効期間とを含む。有効期間は、持出許可情報が有効に動作する期間を規定する情報である。パスワードはユーザＩＤと対応づけて設定され、ユーザ本人を証明するための情報である。例えば、パスワードは文字や数字を並べた文字列とすることができるが、数字だけで構成してもよい。端末ＩＤは、ユーザ端末１０を識別する情報であり、ユーザ端末１０内の所定の記憶手段（記憶装置１４内でもよい）に格納されている。

復号情報は、持出許可情報部１９に登録された暗号持出情報を復号する方法を規定する情報である。復号情報は、例えば、暗号持出情報を復号するためのプログラムとすることもできる。平文有効期間は、暗号化されていない有効期間の情報であり、復号鍵となるユーザＩＤとパスワードがなくても知ることができる。

端末制御部１５はユーザ端末１０における本発明の動作を実行するプログラムである。動作内容は後述する第２の実施例の動作の説明で詳細に説明する。なお、第１の実施例で得られる効果は、後述の第２の実施例で得られる効果と同じであるため、ここでは効果の説明を省略する。

動作の概要について説明すると、端末制御部１５は、持出要求があると、外部に設置される管理サーバに接続して持出許可要求を送信する。端末制御部１５は、管理サーバが持ち出し可能と判断した場合に、平文有効期間とアクセス条件を含んだ持出許可情報を、管理サーバから取得して持出許可情報部１９に保持する。

その後、管理サーバと接続不能な状況でファイル１６へのアクセス要求が発生すると、端末制御部１５はアクセスの可否を判断する。アクセスの可否を判断するために、端末制御部１５はユーザＩＤとパスワードを含む認証情報（Ｂ）を入力させ、入力された認証情報（Ｂ）がアクセス条件に適合し、有効期限内であればファイル１６へのアクセスを許可する。

図２は本発明の第２の実施例であるアクセス管理システムの構成を示したブロック図である。本発明の第２の実施例のアクセス管理システムはユーザが使用するユーザ端末１０とアクセス管理機能を備えた管理サーバ２０とこれらを接続するネットワーク２９を含む。なお、図２のユーザ端末１０の構成は図１のユーザ端末１０と同じであり、図２の各構成要素は図１と同名で同符号としている。

図２ではユーザ端末１０が１台接続される構成を示しているが、複数接続させることができる。また、ユーザ端末１０の構成は、図１のユーザ端末１０と同じ構成なので、詳細な説明は省略する。

ネットワーク２９は、ユーザ端末１０と管理サーバ２０とを接続する通信手段であり、その実現方法は限定しない。例えば、ネットワーク２９は企業内のＬＡＮ（local area network）で実現することができる。また、ネットワーク２９は電話網やインターネットを含むＷＡＮ（wide area network）で実現することもできる。

管理サーバ２０は、例えばサーバ機能を持ったコンピュータであり、通信装置２２とＣＰＵ２３と記憶装置２４とを含んでいる。管理サーバ２０は、必要に応じて入出力装置１１と同様な入出力装置を含めることもできる。

通信装置２２はＣＰＵ２３で実行されるプログラムの指示に従って、ネットワーク２９を介してユーザ端末１０との間の通信を制御する。ＣＰＵ２３は中央処理装置（central processing unit）であり、記憶装置２４に保持されるプログラムを実行して記憶装置２４に保持されるデータを処理したりネットワーク２９を介してデータを転送したりする。

記憶装置２４は補助記憶装置（例えば磁気ディスク装置）と主記憶装置とで構成され、サーバ制御部２５と認証情報部２６と暗号情報部２７を含む。図示しないが、記憶装置２４はＯＳ（operating system）やアプリケーションソフトウェア群やデータ群も保持する。記憶装置２４に保持される各情報は補助記憶装置に保持され、動作時にはその一部または全部が主記憶装置に転送されＣＰＵ２３からアクセスされる。

サーバ制御部２５は管理サーバ２０における本発明の動作を実行するプログラムである。動作内容は後述する動作の説明で詳細に説明する。サーバ制御部２５の主な動作内容は、ユーザ端末１０からの持出許可要求を受けると認証情報部２６を参照して持ち出しの可否を判断し、持ち出し可能ならば持出許可情報を生成して返送することである。

認証情報部２６は持ち出しの可否を判断するための認証情報を保持する領域である。認証情報は、ユーザＩＤとパスワードとグループＩＤとを対応づけた情報である。ただし、本発明において、グループＩＤは必須ではなく、認証情報部２６から除外することもできる。

図６は認証情報の一例を示した図である。図６では、ユーザＩＤ＝“００９０７８”のユーザはパスワードとして“ＰＷ９０７８”が割り当てられ、グループＩＤとして“Ｇ００９０”が割り当てられていることを示している。また、ユーザＩＤ＝“００９０７９”のユーザはパスワードとして“ＰＷ９０７９”が割り当てられ、グループＩＤとして“Ｇ００９０”に加えて“Ｇ００９９”が割り当てられていることを示している。

本発明では、グループＩＤ“Ｇ００９０”を所属部署に対応させ、“Ｇ００９９”を管理職などの資格に対応させて定義することができる。従って、本発明は、各部署内で共有するファイル１６にはその部署に対応したグループＩＤをアクセス権限として設定することができる。また、本発明は、グループＩＤを全く使用しない構成としてもかまわない。

暗号情報部２７は、持出許可情報を生成する際に実行する暗号化の方法を規定する暗号情報と、持出許可情報を複合する複合情報とを保持する領域である。サーバ制御部２５は暗号情報部２７に保持される暗号情報に従って暗号化処理を実行し、持出許可情報を生成する。なお、この暗号化処理で、サーバ制御部２５はユーザＩＤとパスワードを暗号鍵として使用する。

次に本発明の第２の実施例の動作を説明する。本発明は、管理サーバ２０と接続できない状況においても、セキュリティを確保してファイル１６をアクセスできるようにするものである。そこで、本発明の動作は、持ち出し前に持出許可情報を取得する動作（（１）持出許可動作）と、管理サーバ２０と未接続の状況でファイル１６をアクセスする動作（（２）アクセス動作）に分けられる。まず、図７のシーケンス図を参照して持出許可動作について説明する。

（１）持出許可動作の説明
まず、ユーザはユーザ端末１０を所定の場所から持ち出してファイル１６をアクセスしたい場合、入出力装置１１を操作して持ち出したいファイル１６を特定し持出要求を指示する。この状況ではユーザ端末１０と管理サーバ２０がネットワーク２９で接続されているものとする。具体的な持出要求の指示方法については特に限定しない。端末制御部１５はユーザから持出要求の指示が入力されたことを検出すると（Ｓ５１／Ｙｅｓ）、管理サーバ２０に接続要求を発行する（Ｓ５２）。

管理サーバ２０は、接続要求したユーザ端末１０と接続可能ならば接続応答を返送する（Ｓ５７）。この場合、ユーザ端末１０と管理サーバ２０はネットワーク２９を介して接続されているので、正常な状態であれば管理サーバ２０は接続応答する。端末制御部１５は、接続応答を確認すると（Ｓ５３／Ｙｅｓ）、要求入力画面（図示しない）を表示し、入力に従って、持出許可要求を管理サーバ２０へ送信する（Ｓ５４）。

要求入力画面は、図示しないが、ユーザが持ち出し対象のファイル１６を指定する操作と、ユーザがユーザＩＤとパスワードと有効期間を入力する操作を支援する機能を持つ。ユーザが要求入力画面でファイル１６を指定するための操作をすると、端末制御部１５はファイル１６を特定し、特定したファイル１６のアクセス権情報部１８からアクセス権情報を読み出し、持出許可要求に付加する。また、ユーザが要求入力画面で認証情報（Ａ）と有効期間を入力するよう操作すると、端末制御部１５は入力された認証情報（Ａ）と有効期間を持出許可要求に付加する。認証情報（Ａ）はユーザＩＤ（Ａ）とパスワード（Ａ）を含む。さらに、端末制御部１５は端末ＩＤを所定の記憶手段から読み出して持出許可要求に付加する。

サーバ制御部２５は、持出許可要求とともに、入力された認証情報（Ａ）および有効期間と、端末ＩＤ（Ａ）とアクセス権情報を受信する。持出許可要求を受信すると、サーバ制御部２５は、入力されたユーザＩＤ（Ａ）をキーとして認証情報部２６から対応するパスワードを読み出し、読み出したパスワードと入力されたパスワード（Ａ）が一致すれば、認証成功と判断する（Ｓ５８）。認証失敗ならば（Ｓ５８／Ｎｏ）、サーバ制御部２５は持出許可要求を否認する持出否認応答をユーザ端末１０に返送する（Ｓ６２）。

端末制御部１５は持出否認応答を受信すると、入出力装置１１の表示装置に持ち出しが否認されたことを知らせるメッセージを表示する（Ｓ５５）。ユーザはメッセージの表示により持ち出しが否認されたことを知る。サーバ制御部２５が持出否認応答に“パスワード不一致”という否認理由の情報を付加すれば、端末制御部１５はメッセージに“パスワードが正しくありません”という表現を入れることができる。これにより、ユーザはユーザＩＤかパスワードを誤入力した可能性に気が付き、再度持出許可要求の操作を実行できる。

認証成功ならば（Ｓ５８／Ｙｅｓ）、サーバ制御部２５は入力されたユーザＩＤ（Ａ）が受信したアクセス権情報に登録されているか判断し、入力されたユーザＩＤ（Ａ）が受信したアクセス権情報に登録されている場合、ユーザＩＤ権限有りと判断する（Ｓ５９）。ユーザＩＤ権限無しならば（Ｓ５９／Ｎｏ）、サーバ制御部２５は入力されたユーザＩＤ（Ａ）をキーとして認証情報部２６から対応するグループＩＤを読み出し、読み出したグループＩＤが受信したアクセス権情報に登録されているか判断する（Ｓ６０）。読み出したグループＩＤが受信したアクセス権情報に登録されている場合、サーバ制御部２５はグループＩＤ権限有りと判断する。

グループＩＤ権限無しならば（Ｓ６０／Ｎｏ）、サーバ制御部２５は持出否認応答をユーザ端末１０に返送する（Ｓ６２）。例えば、サーバ制御部２５が持出否認応答に“ＩＤ登録なし”という否認理由の情報を付加すれば、端末制御部１５は持出否認応答を受信した際、“ファイルへのアクセスが許可されていません”というメッセージを表示することができる（Ｓ５５）。

ユーザＩＤ権限有り（Ｓ５９／Ｙｅｓ）、または、グループＩＤ権限有り（Ｓ６０／Ｙｅｓ）ならば、サーバ制御部２５は受信した有効期間が規則に適合するかチェックする（Ｓ６１）。例えば、規則で有効期間の最長が１週間となっている場合、サーバ制御部２５は受信した有効期間が１週間以内であれば適合と判断し、１週間を超えていれば不適合と判断する。例えば、規則で有効期間の５日前にならないと持出要求をできない場合、サーバ制御部２５は持出許可要求日が受信した有効期間の１０以内であれば適合と判断し、５日より前であれば不適合と判断する。なお、規則の設定方法は特に制限しない。

サーバ制御部２５は、受信した有効期間が規則に適合しなければ（Ｓ６１／Ｎｏ）、持出否認応答をユーザ端末１０に返送する（Ｓ６２）。サーバ制御部２５は、受信した有効期間が規則に適合すれば（Ｓ６１／Ｙｅｓ）、持出許可情報を生成し持出許可応答に付して返送する（Ｓ６３）。ここで、サーバ制御部２５は、以下のようにして持出許可情報を生成する。

サーバ制御部２５は、受信したアクセス権情報からファイルＩＤとアクセス種別を読み出し、認証情報部２６から受信したユーザＩＤ（Ａ）に対応するグループＩＤを読み出す。サーバ制御部２５は読み出したグループＩＤと受信したユーザＩＤ（Ａ）に、それぞれ対応するアクセス種別を、受信したアクセス権情報から読み出す。サーバ制御部２５は、読み出したそれぞれのアクセス種別を論理和演算し、論理和演算結果を持出許可情報のアクセス種別とする。

例えば、ユーザＩＤに対応するアクセス種別が“Ｗ”で、グループＩＤに対応するアクセス種別が“Ｒ”であれば、サーバ制御部２５は持出許可情報のアクセス種別を論理和演算して“Ｒ、Ｗ”とする。また、ユーザＩＤ権限無しで、グループＩＤにアクセス種別が“Ｒ”の権限がある場合、サーバ制御部２５は、持出許可情報のアクセス種別を“Ｒ”とする。ユーザＩＤにアクセス種別“Ｒ”の権限がありグループ権限無しの場合も、サーバ制御部２５は、持出許可情報のアクセス種別を“Ｒ”とする。

サーバ制御部２５は、受信したユーザＩＤ（Ａ）、パスワード（Ａ）、および端末ＩＤと、生成したアクセス種別を含んだアクセス条件を生成し、これに受信した有効期間を合わせて平文持出情報を生成する。サーバ制御部２５はさらに暗号情報部２７の暗号化情報に基づいて受信したユーザＩＤ（Ａ）およびパスワード（Ａ）を暗号鍵として、平文持出情報を暗号化し暗号持出情報を生成する。サーバ制御部２５は、生成した暗号持出情報と、暗号情報部２７から読み出した復号情報と、有効期間とを合わせて持出許可情報を生成する。

次に、持出許可応答を受信すると、端末制御部１５は、持出許可応答に付された持出許可情報を該当ファイル１６の持出許可情報部１９に格納する（Ｓ５６）。持出否認応答を受信すると、端末制御部１５は、入出力装置１１の表示装置に持ち出しが否認されたことを知らせるメッセージを表示する（Ｓ５５）。メッセージの内容はその原因がユーザに分かるようにすることが望ましいが、限定しない。

以上説明したように持出許可動作が実行される。ステップＳ５１〜Ｓ５６は端末制御部１５で実行され、ステップＳ５７〜Ｓ６３はサーバ制御部２５で実行される。持出許可動作が実行されると、ユーザは持出許可情報を管理サーバ２０から取得して、該当するファイル１６の持出許可情報部１９に格納できる。持出許可情報を格納することにより、ユーザ端末１０が管理サーバ２０に接続できない状況においても、有効期間内であれば、ユーザは該当するファイル１６をアクセスできるようになる。この動作については（２）アクセス動作の説明に詳しく記載する。

上記の持出許可動作を具体例で説明する。ユーザＩＤ＝“００９０７８”のユーザがファイルＩＤ＝“ＦＩＬＥ０１”のファイル１６−１を持ち出す場合を具体例として説明する。このときＦＩＬＥ０１に設定されたアクセス権情報は図３の内容であり、認証情報は図６の内容であるとする。ユーザ端末１０と管理サーバ２０は図２のようにネットワーク２９で接続されているものとする。

まず、ユーザは入出力装置１１を操作して、ファイルＩＤ＝“ＦＩＬＥ０１”のファイル１６−１に対する持出要求を指示する。端末制御部１５は接続要求を送る（Ｓ５２）。サーバ制御部２５は接続応答を返送する（Ｓ５７）。端末制御部１５は、接続応答を確認すると（Ｓ５３／Ｙｅｓ）、ユーザによるユーザＩＤ（Ａ）とパスワード（Ａ）と有効期間の入力を待って、持出許可要求を管理サーバ２０へ送信する（Ｓ５４）。

このとき、ユーザは入出力装置１１の入力装置を操作して、ユーザＩＤ（Ａ）＝“００９０７８”と、パスワード（Ａ）＝“ＰＷ９０７８”と、有効期間＝“２００７／０７／０７〜２００７／０７／１０”を入力する。端末制御部１５は、入力された上記のユーザＩＤ（Ａ）とパスワード（Ａ）と有効期間を持出許可要求に付加する。また端末制御部１５は、ファイル１６−１のアクセス権情報部１８から図３に示すアクセス権情報を読み出して持出許可要求に付加する。また端末制御部１５は所定の記憶手段から端末ＩＤ＝“ＴＥＲＭ０１”を読み出して持出許可要求に付加する。

サーバ制御部２５は、受信したユーザＩＤ＝“００９０７８”をキーにして認証情報部２６を検索し、パスワード＝“ＰＷ９０７８”とグループＩＤ＝“Ｇ００９０”を読み出す。読み出したパスワード＝“ＰＷ９０７８”と、受信したパスワード＝“ＰＷ９０７８”とは一致するので、サーバ制御部２５は認証成功と判断する（Ｓ５８／Ｙｅｓ）。

受信したアクセス権情報にはユーザＩＤ＝“００９０７８”が登録されているので、サーバ制御部２５はユーザＩＤ権限有りと判断する（Ｓ５９／Ｙｅｓ）。持出許可要求日が２００７／０７／０３であれば、有効期間の５日前以内という規則に適合し、有効期間も４日であり１週間以内という規則に適合する（Ｓ６１／Ｙｅｓ）ので、サーバ制御部２５は有効期間適合と判断する。以上からサーバ制御部２５は持ち出し可否の判断を持ち出し可能と判断し、図５に示すような持出許可情報を生成し持出許可応答を返送する（Ｓ６３）。

このとき、サーバ制御部２５は、ユーザＩＤ＝“００９０７８”とパスワード＝“ＰＷ９０７８”を暗号鍵とし、暗号情報部２７に保持される暗号情報に従って平文持出情報を暗号化する。このとき、平文持出情報は図５に示す通り、ユーザＩＤ＝“００９０７８”、パスワード＝“ＰＷ９０７８”アクセス種別＝“Ｒ、Ｗ”、有効期間＝“２００７／０７／０７〜２００７／０７／１０”、ファイルＩＤ＝“ＦＩＬＥ０１”、端末ＩＤ＝“ＴＥＲＭ０１”を含む。

このときのアクセス種別について説明する。ユーザＩＤ＝“００９０７８”のユーザは、グループＩＤ＝“Ｇ００９０”を持つ。グループＩＤ＝“Ｇ００９０”に設定されたアクセス種別は“Ｒ”である。ユーザＩＤ＝“００９０７８”に設定されたアクセス種別は“Ｒ、Ｗ”である。これらの論理和を演算すると持出許可情報のアクセス種別は“Ｒ、Ｗ”となる。

以上のように、ユーザＩＤ＝“００９０７８”のユーザは“ＦＩＬＥ０１”のファイル１６−１に対してアクセス種別が読み出し（Ｒ）と書込（Ｗ）の持出許可情報の取得ができる。また、ユーザＩＤ＝“００９１８８”のユーザは“ＦＩＬＥ０１”のファイル１６−１に対してアクセス種別が読み出し（Ｒ）のみの持出許可情報の取得ができる。

この他の例として、ユーザＩＤ＝“００９０７９”のユーザは“ＦＩＬＥ０１”のファイル１６−１に対してアクセス種別が読み出し（Ｒ）のみの持出許可情報の取得ができる。それは、図３の“ＦＩＬＥ０１”のアクセス権情報によって、ユーザＩＤ＝“００９０７９”に対してアクセスを拒否されるが、グループＩＤ＝“Ｇ００９０”に対しては“Ｒ”のアクセスが許可されるからである。

（２）アクセス動作の説明
まず、ユーザはファイル１６のアクセスを希望する場合、入出力装置１１を操作してアクセスしたいファイル１６とアクセス種別（Ｒ／Ｗ／Ｅ）を指定しアクセス指示する。具体的な指示方法については限定しない。端末制御部１５はユーザからファイル１６へのアクセス指示が操作されたことを検出すると（Ｓ７１／Ｙｅｓ）、管理サーバ２０に接続要求を発行する（Ｓ７２）。

具体的な指示方法の一例を示す。ユーザがアプリケーションプログラム（以降アプリケーションという）を起動し、アプリケーション上で開きたいファイル１６を指定すれば、アプリケーションがファイル１６の読み出し（Ｒ）を実行する。また、ユーザがファイル１６への書込を指示すれば、アプリケーションがファイル１６への書込（Ｗ）を実行する。

アプリケーションから読み出しや書込などのアクセス要求を受けると、ＯＳは端末制御部１５に対してアクセス権の確認を要求できる。この確認要求には、ファイルＩＤとアクセス種別が含まれる。端末制御部１５はＯＳから確認要求を受けることにより、ユーザからファイル１６にアクセスが指示されたことを検出できる。端末制御部１５は、ＯＳから確認要求を受けると、図８の動作を実行し、要求アクセスに対して許可か拒否の応答を返すことができる。

アクセス拒否の応答を受けると、ＯＳはアクセス要求を実行せずに、アクセスが拒否されたことをアプリケーションに通知できる。読み出しに対してアクセスが許可されれば、ＯＳは読み出したファイルをアプリケーションに返すことができる。書込に対してアクセスが許可されれば、ＯＳはアプリケーションから指示された書込データをファイル１６に書き込み終了を通知することができる。

上述の手順により、本発明のユーザ端末１０は、機密情報を保持するファイル１６へのアクセスを制限できる。上述のＯＳやアプリケーションの動作は、一例であり、これ以外の動作によりアクセス権を確認して、機密情報を保持するファイル１６へのアクセスを制限することもできる。

まず、管理サーバ２０が接続応答する場合の動作について説明する。管理サーバ２０はユーザ端末１０から接続要求を受信すると接続応答を返送する（Ｓ８６）。端末制御部１５は接続応答を確認すると（Ｓ７３／Ｙｅｓ）、認証情報（Ｂ）の入力を指示する（Ｓ８３）。ファイル１６を指定する情報とユーザから指示されるアクセス種別について、端末制御部１５は、上記のようにアプリケーションから受け取るようにしている。ただし、必要ならば、端末制御部１５は、認証情報（Ｂ）と同時に入力を指示して入力させることもできる。

認証情報（Ｂ）はユーザＩＤ（Ｂ）とパスワード（Ｂ）を含む。図示しないが、端末制御部１５は、ユーザが入出力装置１１を操作して、認証情報（Ｂ）を入力するための入力画面を表示装置に表示する。ユーザは、入力画面を見て入力装置を操作し、認証情報（Ｂ）を入力する。

続いて、端末制御部１５は、持出許可情報を消去する（Ｓ８４）。消去する持出許可情報はユーザ端末１０内の全てが対象となる。ただし、本実施例では無条件に全ての持出許可情報を消去するのではなく、アクセス当日が持出許可情報の平文有効期間の開始日以降という条件に適合する持出許可情報を消去するものとする。それは、有効期間前にユーザ端末１０を管理サーバ２０に接続した際に、使用前の持出許可情報が消去されるのを回避するためである。もちろん、本発明は無条件で消去することもできる。

また、図示しないが、端末制御部１５は、各持出許可情報の平文有効期間を毎日１回以上確認し、有効期間が過ぎていたら持出許可情報を消去する。端末制御部１５は平文有効期間の確認を、毎日定時に実行してもよいし、負荷の少ない時に随時実行するようにしてもよい。すなわち、有効期間内の場合、持出許可情報は消去されずに保持され、有効期間が過ぎた時点で消去される。

このように、ユーザが持ち出し先から帰った後、業務を行うためにユーザ端末１０を管理サーバ２０に接続すると、自動的に持出許可情報が消去される。また、持ち出し先から帰った後に、ユーザ端末１０が管理サーバ２０に接続されない場合や、持ち出し先から帰らない場合でも、有効期限が切れた時点で、自動的に持出許可情報が消去される。従って、ユーザは特別な操作をすることなく、盗難による認証情報の漏洩に対してユーザ端末１０を安全な状態に戻すことができる。

次に、端末制御部１５はアクセス権情報部１８からアクセス権情報（ファイルＩＤとユーザＩＤとアクセス種別を含む）を読み出し、所定の記憶手段から端末ＩＤを読み出す。端末制御部１５は入力されたユーザＩＤ（Ｂ）とパスワード（Ｂ）と、読み出したアクセス権情報と端末ＩＤと指示されたアクセス種別をアクセス権確認要求に付加して管理サーバ２０に送る（Ｓ８５）。

アクセス権確認要求を受信すると、サーバ制御部２５はユーザ認証を実行する（Ｓ８７）。サーバ制御部２５は、入力されたユーザＩＤ（Ｂ）をキーとして認証情報部２６からパスワードを読み出し、読み出したパスワードと入力されたパスワード（Ｂ）が一致すれば認証成功と判断する（Ｓ８７）。認証失敗ならば（Ｓ８７／Ｎｏ）、サーバ制御部２５はアクセス否認応答を返送する（Ｓ９２）。

認証成功ならば（Ｓ８６／Ｙｅｓ）、サーバ制御部２５は入力されたユーザＩＤ（Ｂ）が受信したアクセス権情報に登録されているか判断する（Ｓ８８）。入力されたユーザＩＤ（Ｂ）が受信したアクセス権情報に登録されている場合、サーバ制御部２５はユーザＩＤ権限有りと判断する。

ユーザＩＤ権限無しならば（Ｓ８８／Ｎｏ）、サーバ制御部２５は入力されたユーザＩＤをキーとして認証情報部２６からグループＩＤを読み出し、読み出したグループＩＤが受信したアクセス権情報に含まれているか判断する（Ｓ８９）。読み出したグループＩＤが受信したアクセス権情報に含まれている場合、サーバ制御部２５はグループＩＤ権限有りと判断する。グループＩＤ権限無しならば（Ｓ８９／Ｎｏ）、サーバ制御部２５はアクセス否認応答を返送する（Ｓ９２）。

ユーザＩＤ権限有り（Ｓ８８／Ｙｅｓ）、または、グループＩＤ権限有り（Ｓ８９／Ｙｅｓ）の場合、サーバ制御部２５は指示されたアクセス種別が受信したアクセス権情報に登録されているか判断する（Ｓ９０）。指示されたアクセス種別が受信したアクセス権情報に登録されていれば、サーバ制御部２５はアクセス種別権限有りと判断する。アクセス種別権限無しの場合（Ｓ９０／Ｎｏ）、サーバ制御部２５はアクセス否認応答を返送する（Ｓ９２）。

例えば、指示されたアクセス種別が読み出し（Ｒ）の場合、アクセス権情報のアクセス種別に“Ｒ”が設定されていれば、サーバ制御部２５はアクセス種別権限有りと判断する。同様に、指示されたアクセス種別が書込／実行の場合、アクセス権情報のアクセス種別にそれぞれ“Ｗ”／“Ｅ”が設定されていれば、サーバ制御部２５はアクセス種別権限有りと判断する。また、ユーザＩＤ権限とグループＩＤ権限の双方がある場合、少なくとも一方に指示されたアクセス種別が設定されていれば、サーバ制御部２５はアクセス種別の権限有りと判断する。

アクセス種別権限有りの場合（Ｓ９０／Ｙｅｓ）、サーバ制御部２５はアクセス可能と判断し、アクセス許可応答を返送する（Ｓ９１）。端末制御部１５は、アクセス許可応答を受信すると、ユーザのアクセス指示に対してアクセスを許可する（Ｓ８１）。これによりユーザはアクセス指示したファイル１６をアクセスすることができる。例えば、端末制御部１５が読み出しアクセスを許可することをＯＳに通知すると、ＯＳはファイル１６を読み出してアプリケーションに通知する。ユーザはアクセス要求したファイル１６に対してアプリケーションを実行することができる。

一方、端末制御部１５はアクセス否認応答を受信すると、ユーザのアクセス指示を拒否する（Ｓ８２）。例えば、端末制御部１５が読み出しアクセスを拒否することをＯＳに通知すると、ＯＳはファイル１６の読み出しを実行せずにアプリケーションにアクセス権がないため読み出せないことを通知する。アプリケーションはファイル１６の読み出しが失敗したことを表示する。こうして、本発明は、アクセス権のないファイル１６へのアクセスを禁止し、アクセスを制限することができる。

次に、管理サーバ２０が接続応答しない場合の動作を説明する。例えば、ユーザが持ち出し先でアプリケーションを実行してファイル１６をアクセスする場合がこの場合に含まれる。まず、端末制御部１５は予め決められた時間内に接続応答を確認でなかった場合（Ｓ７３／Ｎｏ）、入出力装置１１の表示装置に認証情報（Ｂ）（ユーザＩＤ（Ｂ）とパスワード（Ｂ）を含む）の入力を指示する入力画面を表示する（Ｓ７４）。ユーザは画面表示を見て、入出力装置１１の入力装置を操作し、認証情報（Ｂ）を入力する。

端末制御部１５は、指定されたファイル１６の持出許可情報を読み出し、入力された認証情報（Ｂ）を復号鍵とし、復号情報に基づいて暗号持出情報を復号する（Ｓ７５）。入力された認証情報（Ｂ）が正しければ暗号持出情報を復号して得られた平文持出情報は正しいものとなる。なお、指定されたファイル１６に持出許可情報がなければ端末制御部１５は要求アクセスを拒否する。

次に、端末制御部１５は入力された認証情報（Ｂ）（ユーザＩＤ（Ｂ）とパスワード（Ｂ））が平文持出情報のユーザＩＤとパスワードと一致するか比較して認証の成功／失敗を判断する（Ｓ７６）。ユーザＩＤとパスワードの双方とも一致すれば、端末制御部１５は認証成功と判断する。ユーザＩＤとパスワードの少なくとも一方が不一致ならば、端末制御部１５は認証失敗と判断し（Ｓ７６／Ｎｏ）、要求されたアクセス指示を拒否する（Ｓ８２）。

認証成功ならば（Ｓ７６／Ｙｅｓ）、端末制御部１５は、平文持出情報の有効期間にアクセス当日が含まれているか判断する（Ｓ７７）。端末制御部１５は、平文持出情報の有効期間にアクセス当日が含まれていれば有効期間内と判断する。有効期間内でなければ（Ｓ７７／Ｎｏ）、端末制御部１５は要求されたアクセス指示を拒否する（Ｓ８２）。

有効期間内であれば（Ｓ７７／Ｙｅｓ）、端末制御部１５は、アクセス指示されたアクセス種別が平文持出情報のアクセス権情報に登録されているか判断する（Ｓ７８）。アクセス指示されたアクセス種別が平文持出情報のアクセス権情報に登録されていれば、端末制御部１５はアクセス種別権限有りと判断する。アクセス種別権限がなければ（Ｓ７８／Ｎｏ）、端末制御部１５は要求されたアクセス指示を拒否する（Ｓ８２）。

アクセス種別権限が有れば（Ｓ７８／Ｙｅｓ）、端末制御部１５はファイルＩＤが正しいか判断する（Ｓ７９）。平文持出情報のファイルＩＤがアクセス権情報部１８のファイルＩＤと一致すれば、端末制御部１５はファイルＩＤが正しいと判断する。ファイルＩＤが不正ならば（Ｓ７９／Ｎｏ）、端末制御部１５は要求されたアクセス指示を拒否する（Ｓ８２）。

ファイルＩＤが正しければ（Ｓ７９／Ｙｅｓ）、端末制御部１５は端末ＩＤが正しいか判断する（Ｓ８０）。平文持出情報の端末ＩＤが所定の記憶手段に格納された端末ＩＤと一致すれば、端末制御部１５は端末ＩＤが正しいと判断する。端末ＩＤが不正ならば（Ｓ８０／Ｎｏ）、端末制御部１５は要求されたアクセス指示を拒否する（Ｓ８２）。

端末ＩＤが正しければ（Ｓ８０／Ｙｅｓ）、端末制御部１５は要求されたアクセス指示を許可する（Ｓ８１）。例えば、端末制御部１５がファイル１６への読み出しのアクセス指示を許可することをＯＳへ通知すると、ＯＳがファイル１６のデータ部１７へアクセスしてデータを読み出し、データをアプリケーションへ返す。アプリケーションはそのデータを取得することができるので、ユーザはアプリケーションを実行してファイル１６のデータを閲覧することができる。

一方、端末制御部１５がアクセス指示を拒否した場合（Ｓ８２）、ＯＳはアプリケーションに対してアクセス拒否を通知する。読み出しの場合、アプリケーションは目的のファイル１６のデータを取得できない。従って権限のない第３者にファイル１６の内容が漏洩することを抑止できる。書込の場合、目的のファイル１６のデータ部１７への書込が抑止され、データ部１７の内容は破壊されることなく保護される。

上記の動作を（１）持出許可動作の具体例に続けるようにして説明する。具体例はユーザＩＤ＝“００９０７８”のユーザがファイルＩＤ＝“ＦＩＬＥ０１”のファイル１６−１を２００７／０７／０８に読み出し（Ｒ）のアクセスをする場合である。この場合、ファイル１６−１に登録された持出許可情報は図５の通りである。また、ユーザ端末１０は持出許可情報を生成したのと同じユーザ端末１０であり、管理サーバ２０と接続できない状況にあるものとする。

まず、ユーザがユーザ端末１０を操作してアプリケーション上でファイルＩＤ＝“ＦＩＬＥ０１”の読み出しを指示すると、端末制御部１５はこの操作を検出し（Ｓ７１／Ｙｅｓ）、管理サーバ２０に接続要求を発行する（Ｓ７２）。ユーザ端末１０は管理サーバ２０と未接続なので、管理サーバ２０から接続応答は帰らない。従って、端末制御部１５は接続応答を確認できず（Ｓ７３／Ｎｏ）、入出力装置１１の表示装置にユーザＩＤ（Ｂ）とパスワード（Ｂ）の入力を指示する画面表示を行う（Ｓ７４）。

ユーザは画面表示を見て、入出力装置１１の入力装置を操作し、ユーザＩＤ＝“００９０７８”とパスワード＝“ＰＷ９０７８”を入力する。端末制御部１５は入力されたユーザＩＤ＝“００９０７８”とパスワード＝“ＰＷ９０７８”を復号鍵として持出許可情報部１９の復号情報に基づいて持出許可情報部１９の暗号持出情報を復号する（Ｓ７５）。

端末制御部１５は復号された平文持出情報のユーザＩＤ＝“００９０７８”とパスワード＝“ＰＷ９０７８”を読み出し、入力されたユーザＩＤ＝“００９０７８”とパスワード＝“ＰＷ９０７８”とそれぞれ比較し一致すなわち認証成功を確認する（Ｓ７６／Ｙｅｓ）。

端末制御部１５は、アクセス当日＝“２００７／０７／０８”が、平文持出情報の有効期間＝“２００７／０７／０７〜２００７／０７／１０”に含まれことを確認する（Ｓ７７／Ｙｅｓ）。端末制御部１５は平文持出情報のアクセス種別（Ｒ、Ｗ）に“Ｒ”が登録されていることを確認する（Ｓ７８／Ｙｅｓ）。

端末制御部１５は使用中のユーザ端末１０に設定された端末ＩＤ＝“ＴＥＲＭ０１”が、平文持出情報の端末ＩＤ＝“ＴＥＲＭ０１”と一致することを確認する（Ｓ７９／Ｙｅｓ）。端末制御部１５は読み出し対象のファイル１６−１のファイルＩＤ＝“ＦＩＬＥ０１”が、平文持出情報のファイルＩＤ＝“ＦＩＬＥ０１”と一致することを確認する（Ｓ８０／Ｙｅｓ）。端末制御部１５は以上の確認に成功したことにより、ファイル１６−１に対するアクセスが許可されると判断し、入力されたアクセス指示を許可する。

このように本発明により、ユーザは持ち出し先でもセキュリティを確保した上で、秘匿情報を格納したファイル１６をアクセスできるようになる。また、ユーザ端末１０が盗難されたり紛失したりした場合、ユーザ端末１０に認証情報が保持されていると、悪意のある第３者により認証情報を解読され盗まれる危険が発生する。

本発明では、管理サーバ２０と未接続の状況で、機密データを持つファイル１６をアクセスする場合、ユーザ端末１０は記憶装置１４に保持される持出許可情報を使用してアクセス制限する。持出許可情報は認証情報を含むが、本発明は持ち出しの前後の期間に限定して認証情報を持つ持出許可情報を保持し、保管期間も短期間に制限することを特徴とする。従って、本発明は、ユーザ端末１０が盗難されたり紛失したりしても、認証情報が解読される危険性を回避できる。

これに対して、特許文献２の発明はアクセスを許可するための情報として履歴情報を用いる。このため、特許文献２の発明は盗難された装置内に常に認証情報が保管されており、認証情報を解読されてしまう危険が本発明に比べて著しく大きくなっている。本発明は認証情報をユーザ端末１０内に保管する有効期間を制御することにより、認証情報を盗まれる危険性を大幅に改善している。

また、ユーザ端末１０は持ち出し先から帰って管理サーバ２０に接続すると自動的に持出許可情報を消去する。また、ユーザ端末１０は有効期間を過ぎると自動的に持出許可情報を消去する。また、持出許可情報は認証情報によって暗号化される。これらの機能により、本発明は、認証情報を盗まれる危険性をさらに改善している。

また、本発明は、グループのアクセス権限を反映した持出許可情報を生成するので、持ち出し先でもグループのアクセス権限でアクセスが可能である。また、本発明は、アクセス種別を持出許可情報に含ませているため、持ち出し先でも読み出しや書込に応じてアクセスを制限することができる。

次に本発明の第３の実施例であるアクセス管理システムについて説明する。図９は本発明の第３の実施例のアクセス管理システムの構成を示したブロック図である。第３の実施例は、第２の実施例の構成と比べて、承認端末４０が追加されている。第２の実施例は、主に、各ファイル１６に設定されたアクセス権情報に従って、持ち出しの可否を判断する。これに対して、第３の実施例ではさらに承認者の承認の有無によって持ち出しの可否を判断する。

管理サーバ３０は、管理サーバ２０の機能に承認者による承認を実行するための構成を追加したものである。そのために、管理サーバ３０は、承認者情報部３８を記憶装置３４に保持する。サーバ制御部３５は、サーバ制御部２５の機能に加えて、承認者による承認を実行するための動作を実行する機能を含む。これら以外の管理サーバ３０の構成要素は、管理サーバ２０の同名の構成要素と同じ機能であるので同じ符号を付し、説明は省略する。

承認者情報部３８は、記憶装置３４にある記憶領域であり、ユーザＩＤと承認者に関する情報とを関連付けた承認者情報を保持する。図１０は承認者情報部３８に保持される承認者情報の一例を示す図である。各承認者情報は、ユーザＩＤ、ユーザ名、所属、承認の必要性を示すフラグ、承認者名、および承認者アドレスを含んでいる。

図１０では承認者アドレスとして承認者が使用する端末のＩＰアドレスを使用しているが、これに限定するものではない。フラグはユーザがファイルを持ち出す場合に承認者の承認を必要とするか否か示すものであり、“１”ならば必要で“０”ならば不要であることを示す。例えば、承認の権限を持つ役職者自身は承認を必要としないのでフラグを“０”と設定することができる。

記憶装置３４は、サーバ制御部３５、認証情報部２６、暗号情報部２７、および承認者情報部３８の各記憶領域を含む。サーバ制御部３５は管理サーバ３０における本発明の動作を実行するプログラムである。動作内容は後述する。

承認端末４０は、例えばパーソナルコンピュータや、ＰＤＡや、情報処理機能を備えた携帯電話機のような情報処理機器であり、入出力装置４１と通信装置４２とＣＰＵ４３と記憶装置４４とを含んでいる。図２ではユーザ端末１０が１台接続される構成を示しているが、複数接続させることができる。入出力装置４１と通信装置４２とＣＰＵ４３は、それぞれユーザ端末１０の入出力装置１１と通信装置１２とＣＰＵ１３と同様の機能を持つ。

記憶装置４４は、ユーザ端末１０の記憶装置１４と同様に補助記憶装置と主記憶装置で構成され、承認制御部４５を含む。承認制御部４５は承認端末４０における本発明の動作を実行するプログラムである。承認制御部４５は、管理サーバ３０から承認要求を受けて承認画面を入出力装置４１の表示装置に表示し、承認者の入力内容である承認結果を返送する。詳細な動作内容については後述する。

図１１は本発明の第３の実施例の動作を示したシーケンス図である。図１１において、第２の実施例の動作を説明した図７と同じ動作内容のステップには、図７と同じ符号を付している。以下の説明では、図７の動作と異なる動作について説明を加える。図１１では図７の動作にステップＳ６４〜Ｓ６６の動作が追加されている。ステップＳ５１〜Ｓ６３の動作は図７と同じであり、第２の実施例の動作で説明した通りであるので説明は省略する。ただし、ステップＳ５７〜Ｓ６３の動作はサーバ制御部２５に代わってサーバ制御部３５により実行される。

ステップＳ６１で有効期間が適合すれば（Ｓ６１／Ｙｅｓ）、サーバ制御部３５は入力されたユーザＩＤ（Ａ）をキーとして承認者情報部３８から承認者情報を読み出す（Ｓ６４）。続いてサーバ制御部３５は承認要求を生成し、読み出した承認者情報に含まれるアドレスを宛先として承認要求を送信する（Ｓ６４）。ここで生成される承認要求は、ユーザ端末１０から受信したファイルＩＤ、アクセス種別、有効期間と、承認者情報に含まれるユーザ名、所属等の情報が含まれる。ただし、承認要求はこれらの全ての情報を含む必要はないし、別の情報を含むこともできる。

承認端末４０の承認制御部４５は、承認要求を受信すると承認画面を入出力装置４１の表示装置に表示し、承認結果が入力されると、承認者の承認結果を返送する（Ｓ６６）。図示しないが、例えば、承認制御部４５は、承認要求に含まれるファイルＩＤ、ユーザ名、アクセス種別、有効期間、所属等の情報を承認画面に表示することができ、また承認者が承認／否認を入力操作するためのアイコン等を表示することができる。承認者は、承認画面を見て持ち出しの可否を判断し、入出力装置４１の入力装置を操作して承認か否認の入力を行う。承認制御部４５は、承認の入力を検出すれば承認結果として承認応答を返送し、否認の操作を検出すれば承認結果として否認応答を返送する。

サーバ制御部３５は承認端末４０からの応答を確認する（Ｓ６５）。応答が承認応答であれば（Ｓ６５／Ｙｅｓ）、サーバ制御部３５は持出許可情報を生成し持出許可応答を持出許可要求元のユーザ端末１０に返送する（Ｓ６３）。応答が否認応答であれば（Ｓ６５／Ｎｏ）、サーバ制御部３５は持出否認応答を持出許可要求元のユーザ端末１０に返送する（Ｓ６２）。ステップＳ６２、Ｓ６３、Ｓ５５、Ｓ５６の動作内容は第２の実施例で説明した通りである。

また、認証失敗（Ｓ５８／Ｎｏ）の場合、ユーザＩＤ権限無し（Ｓ５９／Ｎｏ）かつグループＩＤ権限無し（Ｓ６０／Ｎｏ）の場合、または、有効期間不適合（Ｓ６１／Ｎｏ）の場合、サーバ制御部３５はステップＳ６４を実行せずにステップＳ６２を実行する。この場合サーバ制御部３５は持出否認応答を持出許可要求元のユーザ端末１０に返送する。

このように、第３の実施例では、第２の実施例の確認内容に加えて、承認者による承認の手順を追加しているので、より厳密に持ち出しの管理を実現できる。例えば第３者がユーザを装って持出許可情報を取得しようとしても、承認者が業務状況から不審と気づくことにより持出許可情報の不正取得を防止することができる。

次に、以上説明した第１〜第３の実施例の一部を変形した構成について説明する。持ち出し先でのアクセス種別の確認は、図８のステップＳ７８でのみ実行されるものとして説明したが、持出許可動作の手順中でも実行することができる。これを実現するために、ステップＳ５４でユーザは持ち出し先で実行を希望するアクセス種別を入力する。サーバ制御部２５またはサーバ制御部３５は、図８のステップＳ９０（アクセス種別の権限の確認を実行）と同じ動作を、図７または図１１のステップＳ６１（有効期間の適合確認）の後に追加することにより、持出許可動作にアクセス種別を追加することができる。また、サーバ制御部３５はステップＳ６４の承認要求に許可されたアクセス種別を付加し、ステップＳ６６で承認者がアクセス種別を限定できるようにすることもできる。

例えば、ユーザＩＤ＝００９０７８のユーザはファイルＩＤ＝ＦＩＬＥ０１のファイルに対して読み出し（Ｒ）と書込（Ｗ）のアクセスが可能である。ユーザがステップＳ５４で読み出し（Ｒ）のみを指示すれば、サーバ制御部２５またはサーバ制御部３５はアクセス種別を“Ｒ”とした持出許可情報を生成することができる。また、ユーザがステップＳ５４でアクセス種別の限定をしなかった場合でも、承認者がステップＳ６６で読み出し（Ｒ）のみ許可する操作をすることにより、サーバ制御部３５は書込を禁止したアクセス種別が“Ｒ”となる持出許可情報を生成することができる。

このようにアクセス種別を“Ｒ”とした持出許可情報を使用すれば、承認者は持ち出し先でのユーザのアクセスを読み出しのみに制限することができる。このように構成することにより、本発明は、持ち出し先でのアクセス権限を、管理サーバ２０接続時のアクセス権限と変えて、より強いセキュリティを実現することもできる。逆に、読み出し（Ｒ）のみ可能なユーザに対して、承認者が書込の権限をステップＳ６６で与えるようにすれば、ユーザは書込の権限を持った持出許可情報を取得することもできる。

また、第１〜第３の実施例では、アクセス権情報部１８と持出許可情報部１９を対応するファイル１６内に組み込む構成としているが、アクセス権情報部１８と持出許可情報部１９はファイル１６内に設ける必要はない。アクセス権情報部１８と持出許可情報部１９は、格納位置がファイル１６と関連付けられていれば記憶装置１４内の別の場所にそれぞれをまとめて配置することもできる。

本発明の第１の実施例のユーザ端末のブロック図である。 本発明の第２の実施例のアクセス管理システムのブロック図である。 本発明のアクセス権情報の一例である。 本発明のアクセス権情報の一例である。 本発明の持出許可情報の一例である。 本発明の認証情報の一例である。 本発明の第２の実施例の持出許可動作を示すシーケンス図である。 本発明の第２の実施例のアクセス動作を示すシーケンス図である。 本発明の第３の実施例のアクセス管理システムのブロック図である。 本発明の承認者情報の一例である。 本発明の第３の実施例の持出許可動作を示すシーケンス図である。

符号の説明

１０ ユーザ端末
１１ 入出力装置
１２ 通信装置
１３ ＣＰＵ
１４ 記憶装置
１５ 端末制御部
１６ ファイル
１７ データ部
１８ アクセス権情報部
１９ 持出許可情報部
２０ 管理サーバ
２２ 通信装置
２３ ＣＰＵ
２４ 記憶装置
２５ サーバ制御部
２６ 認証情報部
２７ 暗号情報部
２９ ネットワーク
３０ 管理サーバ
３４ 記憶装置
３５ サーバ制御部
３８ 承認者情報部
４０ 承認端末
４１ 入出力装置
４２ 通信装置
４３ ＣＰＵ
４４ 記憶装置
４５ 承認制御部

Claims (24)

1. 持出要求があると、管理サーバに接続して、ファイルのアクセス条件と有効期間を含む持出許可情報を取得して保持し、
   前記管理サーバと接続不能な状況で前記ファイルへのアクセス要求が発生すると、認証情報（Ｂ）を入力させ、入力された認証情報（Ｂ）が前記持出許可情報のアクセス条件に適合し、かつ、持出許可情報の有効期間内であれば前記ファイルへのアクセスを許可することを特徴とするユーザ端末。
2. 持出要求があると、認証情報（Ａ）を入力させ、認証情報（Ａ）を付した持出許可要求を前記管理サーバに送信し、
   前記持出許可情報の前記アクセス条件は認証情報（Ａ）を含むように生成され、
   認証情報（Ａ）を含む前記アクセス条件を取得し、
   前記入力された認証情報（Ｂ）と前記持出許可情報に含まれる認証情報（Ａ）とが一致した場合に前記アクセス条件に適合したと判断することを特徴とする請求項１のユーザ端末。
3. 前記認証情報（Ａ、Ｂ）はユーザを識別するユーザＩＤとパスワードを含むことを特徴とする請求項２のユーザ端末。
4. 前記有効期間以降に前記管理サーバに接続した際、前記持出許可情報を消去することを特徴とする請求項１ないし３のいずれかのユーザ端末。
5. 前記有効期間が過ぎた前記持出許可情報を消去することを特徴とする請求項１ないし３のいずれかのユーザ端末。
6. 持出要求があると、前記持出許可情報を有効としたい期間（Ａ）を入力させ、前記持出許可要求に付して送信し、
   入力された期間（Ａ）が予め決められた条件に適合している場合、入力された期間（Ａ）を期間情報として生成した持出許可情報を受信して保持することを特徴とする請求項１ないし５のいずれかのユーザ端末。
7. 前記認証情報（Ａ）を暗号鍵として暗号化された前前記持出許可情報を、記認証情報（Ｂ）を復号鍵として復号することを特徴とする請求項２または３のユーザ端末。
8. 前記アクセス権情報は前記ファイルへのアクセスを許可された前記ユーザＩＤを含み、前記ファイルと前記アクセス権情報を保持し、前記持出許可要求に前記アクセス権情報を付加して送信することを特徴とする請求項３のユーザ端末。
9. 前記アクセス権情報は、前記ファイルへのアクセスを許可された前記ユーザＩＤと、アクセス種別とを対応づけて含み、
   前記持出許可情報は、前記持出許可要求に付された認証情報（Ａ）に含まれるユーザＩＤが、前記アクセス権情報に含まれている場合に、前記アクセス種別を含んで生成され、
   前記アクセス要求が発生した際、前記認証情報（Ｂ）と前記認証情報（Ａ）とが一致し、かつ、前記アクセス要求のアクセス種別が前記持出許可情報に含まれる場合に前記アクセス条件に適合したと判断することを特徴とする請求項３のユーザ端末。
10. ユーザ端末と管理サーバを含むアクセス管理システムであって、
    前記ユーザ端末は、持出要求があると、前記管理サーバと接続してファイルのアクセス条件と有効期間を含む持出許可情報を取得して保持し、
    前記管理サーバと接続不能な状況で前記ファイルへのアクセス要求が発生すると、認証情報（Ｂ）を入力させ、入力された認証情報（Ｂ）が保持している持出許可情報のアクセス条件に適合し、かつ、持出許可情報の有効期間内であれば前記ファイルへのアクセスを許可することを特徴とするアクセス管理システム。
11. 前記ユーザ端末は、持出要求があると、認証情報（Ａ）を入力させ、認証情報（Ａ）を付した持出許可要求を前記管理サーバに送信し、
    前記管理サーバは、前記ファイルへのアクセス権情報と認証情報（Ａ）とに基づいて持出可否の確認を実行し、持出可能な場合に認証情報（Ａ）を前記アクセス条件に含んだ前記持出許可情報を生成して返送し、
    前記ユーザ端末は、前記入力された認証情報（Ｂ）と前記持出許可情報に含まれる認証情報（Ａ）とが一致した場合に前記アクセス条件に適合したと判断することを特徴とする請求項１０のアクセス管理システム。
12. 前記認証情報（Ａ、Ｂ）はユーザを識別するユーザＩＤとパスワードを含むことを特徴とする請求項１１のアクセス管理システム。
13. 前記有効期間以降に管理サーバに接続した際、前記持出許可情報を消去することを特徴とする請求項１０ないし１２のいずれかのアクセス管理システム。
14. 前記有効期間が過ぎた前記持出許可情報を消去することを特徴とする請求項１０ないし１２のいずれかのアクセス管理システム。
15. 前記ユーザ端末は、持出要求があると、前記持出許可情報を有効としたい期間（Ａ）を入力させ、前記持出許可要求に付して送信し、
    前記管理サーバは、入力された期間（Ａ）が予め決められた条件に適合している場合、入力された期間（Ａ）を前記有効期間として持出許可情報を生成することを特徴とする請求項１０ないし１４のいずれかのアクセス管理システム。
16. 前記管理サーバは、前記認証情報（Ａ）を暗号鍵として前記持出許可情報を暗号化し、
    前記ユーザ端末は、前記認証情報（Ｂ）を復号鍵として前記持出許可情報を復号することを特徴とする請求項１１または１２のアクセス管理システム。
17. 前記アクセス権情報は前記ファイルへのアクセスを許可されたユーザＩＤを含み、
    前記ユーザ端末は、前記ファイルと前記アクセス権情報を保持し、前記持出許可要求に前記アクセス権情報を付加して送信することを特徴とする請求項１２のアクセス管理システム。
18. 前記アクセス権情報は、前記ファイルへのアクセスを許可された前記ユーザＩＤと、アクセス種別とを対応づけて含み、
    前記持出許可情報は、前記持出許可要求に付された認証情報（Ａ）に含まれるユーザＩＤが、前記アクセス権情報に含まれている場合に、前記アクセス種別を含んで生成され、
    前記ユーザ端末は、前記アクセス要求が発生した際、前記認証情報（Ｂ）と前記認証情報（Ａ）とが一致し、かつ、前記アクセス要求のアクセス種別が前記持出許可情報に含まれる場合にアクセス条件に適合したと判断することを特徴とする請求項１２のアクセス管理システム。
19. 前記アクセス権情報は、前記ファイルへのアクセスを許可された前記ユーザＩＤとアクセス種別とを対応づけた情報、または、前記ファイルへのアクセスを許可された前記グループＩＤとアクセス種別とを対応づけた情報を少なくとも１つ含み、
    前記管理サーバは、前記ユーザＩＤ毎にグループＩＤを対応づけて保持する認証情報を有し、前記認証情報（Ａ）に含まれるユーザＩＤが、前記アクセス権情報に含まれる場合、または、前記認証情報（Ａ）に含まれるユーザＩＤに対応づけられたグループＩＤが、前記アクセス権情報に含まれる場合、前記ユーザＩＤに対応づけられたアクセス種別と前記グループＩＤに対応づけられたアクセス種別とに基づいて生成したアクセス種別を、前記アクセス条件に含めるように前記持出許可情報を生成することを特徴とする請求項１２のアクセス管理システム。
20. 前記管理サーバは、前記ユーザＩＤ毎に対応して承認端末を設定した承認情報を保持し、前記アクセス可能な場合、さらに前記承認情報を参照して要求元のユーザＩＤに対応した認証装置に接続して承認要求し、承認に成功すると前記持出許可情報を生成して返送し、
    前記承認装置は、承認要求を受けると承認の可否を入力させ、入力された承認結果を返送することを特徴とする請求項１２のアクセス管理システム。
21. 持出要求があると、管理サーバに接続して、ファイルのアクセス条件と有効期間を含む持出許可情報を取得して保持する手順と、
    前記管理サーバと接続不能な状況で前記ファイルへのアクセス要求が発生すると、認証情報（Ｂ）を入力させ、入力された認証情報（Ｂ）が前記持出許可情報のアクセス条件に適合し、かつ、持出許可情報の有効期間内であれば前記ファイルへのアクセスを許可する手順とをコンピュータに実行させることを特徴とするプログラム。
22. 持出要求があると、認証情報（Ａ）を入力させ、認証情報（Ａ）を付した持出許可要求を前記管理サーバに送信する手順をコンピュータに実行させ、
    前記持出許可情報に含まれる前記認証情報（Ａ）と前記入力された認証情報（Ｂ）とが一致した場合に前記アクセス条件に適合したと判断することを特徴とする請求項２１のプログラム。
23. 持出要求があると、管理サーバに接続して、ファイルのアクセス条件と有効期間を含む持出許可情報を取得して保持しておき、
    前記管理サーバと接続不能な状況で前記ファイルへのアクセス要求が発生すると、認証情報（Ｂ）を入力させ、入力された認証情報（Ｂ）が前記持出許可情報のアクセス条件に適合し、かつ、持出許可情報の有効期間内であれば前記ファイルへのアクセスを許可することを特徴とするアクセス管理方法。
24. 持出要求があると、認証情報（Ａ）を入力させ、認証情報（Ａ）を付した持出許可要求を前記管理サーバに送信し、
    前記持出許可情報の前記アクセス条件は認証情報（Ａ）を含むように生成され、
    前記入力された認証情報（Ｂ）と前記持出許可情報に含まれる認証情報（Ａ）とが一致した場合に前記アクセス条件に適合したと判断することを特徴とする請求項２３のアクセス管理方法。

Images