JP2009237813A - データ管理プログラム、データ管理装置、およびデータ管理方法 - Google Patents

Abstract

【課題】アクセス後の機密データに対しても機密性を担保し、機密性の向上を図ること。
【解決手段】データ管理装置１０４は、任意のデータの出力要求を受け付けると、出力要求をおこなった者に、当該データへのアクセス権があるかを判断し、アクセス権があると判断すると、出力先が存在するエリアに、当該データへのアクセス権がない者がいるかを判断する。そして、データ管理装置１０４は、データへのアクセス権がない者がいないと判断すると、出力先から当該データを出力させる。また、データ管理装置１０４は、データを出力中のエリアに、データへのアクセス権がない侵入者が侵入してきたことを検出すると、データの出力を遮断する。
【選択図】図１

Description

本発明は、データを一元管理して、入力端末から受け付けた任意のデータの出力要求に対して、当該データの出力を制御するデータ管理プログラム、データ管理装置、およびデータ管理方法に関する。

従来、利用者カードから読み出した顧客データに基づくアクティブ情報である第３種別情報と、貸出商品に添設された情報タグから読み出した商品を特定する第１種別情報とをリンクさせ、これを中央側のサーバ装置が吸い上げて、中央側のファイルを構成し、現場側の情報を記録内容に反映させる技術があった（たとえば、下記特許文献１を参照。）。

特開２００１−２４７２１１号公報

一般に、作業性と機密性はトレードオフの関係にあり、作業性を向上させれば機密性は低下し、作業性を低下させれば機密性は向上する。このため、上記のような従来技術などにおいては、機密データに対して、あらかじめアクセス権を設定し、アクセス権を有する者からのアクセスのみを可能とすることで、作業性と機密性とを担保している。

しかしながら、上記のアクセス権による機密性は、機密データへのアクセスを規制することのみによって担保されており、アクセス後に発生する情報漏洩についてはなんら考慮されていない。そのため、従来技術では、機密データへのアクセス後の機密性が著しく低下するといった問題があった。

すなわち、特定の者は業務上必要に応じて、機密データにアクセスし、当該機密データを出力させなければならないが、その際に、他の者（アクセス権を有さない者）にまで情報が漏洩する恐れがあった。たとえば、特定の者がディスプレイに機密データを表示させている際に、他の者にまでその内容を盗み見られる恐れがあった。

本発明は、上述した従来技術による問題点を解消するため、作業性を低下させることなく、アクセス後の機密データに対しても機密性を担保し、機密性の向上を図ることができるデータ管理プログラム、データ管理装置、およびデータ管理方法を提供することを目的とする。

上述した課題を解決し、目的を達成するため、第１の本データ管理プログラム、データ管理装置、およびデータ管理方法は、任意のデータの出力要求を受け付け、出力要求をおこなった者が、受け付けられたデータへのアクセス権があるか否かを判断し、出力要求によってデータが出力される出力先装置が存在するエリアを特定し、特定されたエリアに、データへのアクセス権がない者が存在するか否かを判断し、アクセス権があるか否かの判断と、特定されたエリアにデータへのアクセス権がない者が存在するか否かの判断との判断結果に基づいて、出力要求に応じて出力先装置からデータを出力するように制御することを要件とする。

また、上記データ管理プログラム、データ管理装置、およびデータ管理方法において、受け付けられたデータへのアクセス権ありと判断され、かつ、エリアに当該データへのアクセス権がない者が存在しないことが判断された場合、出力要求に応じて出力先からデータを出力させることとしてもよい。

また、上記データ管理プログラム、データ管理装置、およびデータ管理方法において、エリアへの侵入者を検出し、データが出力中であるか否かを判断し、データが出力中であると判断された場合、検出された侵入者がデータへのアクセス権があるか否かを判断し、検出された侵入者がデータへのアクセス権がないと判断された場合、データの出力を禁止するように制御することとしてもよい。

また、上記データ管理プログラム、データ管理装置、およびデータ管理方法において、検出された侵入者がデータへのアクセス権がないと判断された場合、出力先装置におけるデータの出力を終了させることとしてもよい。

また、上記データ管理プログラム、データ管理装置、およびデータ管理方法において、検出された侵入者がデータへのアクセス権がないと判断された場合、データを出力先に出力させているアプリケーションを終了させることとしてもよい。

また、上記データ管理プログラム、データ管理装置、およびデータ管理方法において、検出された侵入者がデータへのアクセス権がないと判断された場合、出力先となる表示画面においてデータを非表示にすることとしてもよい。

また、第２の本データ管理プログラム、データ管理装置、およびデータ管理方法は、データが出力される出力先装置が存在するエリアへの侵入者を検出し、データが出力中であるか否かを判断し、データが出力中であると判断された場合、検出された侵入者がデータへのアクセス権があるか否かを判断し、検出された侵入者がデータへのアクセス権がないと判断された場合、出力先装置へのデータの出力を禁止するように制御することを要件とする。

本データ管理プログラム、データ管理装置、およびデータ管理方法によれば、作業性を低下させることなく、アクセス後の機密データに対しても機密性を担保し、機密性の向上を図ることができるという効果を奏する。

以下に添付図面を参照して、本データ管理プログラム、データ管理装置、およびデータ管理方法の好適な実施の形態を詳細に説明する。

（データ管理装置の概要構成）
まず、本実施の形態のデータ管理システムの概要構成について説明する。図１は、本実施の形態のデータ管理システムの概要構成を示す説明図（その１）である。図１に示すように、本実施の形態のデータ管理システム１００は、入力端末１０１と、出力端末１０２と、認証装置１０３と、データ管理装置１０４とによって構成される。また、入力端末１０１と、出力端末１０２と、認証装置１０３と、データ管理装置１０４とは、ネットワーク１１０を介して接続される。

入力端末１０１は、たとえば、パーソナル・コンピュータなど、ネットワーク１１０を介してデータ管理装置１０４にアクセスし、任意のデータの出力要求をおこなう端末である。また、出力端末１０２は、たとえば、ディスプレイやプリンタなど、データ管理装置１０４の制御に従って、入力端末から受け付けられた出力要求に基づくデータの出力（たとえば、表示、印刷）をおこなう端末である。

認証装置１０３は、公知の技術のため詳細な説明は省略するが、たとえば、あらかじめＩＤ情報が埋め込まれたＲＦＩＤ（Ｒａｄｉｏ Ｆｒｅｑｕｅｎｃｙ ＩＤｅｎｔｉｆｉｃａｔｉｏｎ）タグからＩＤ情報を読み込み、当該ＩＤ情報を利用して、認証をおこなう電子機器である。ここで、ＩＤ情報とは、個人を特定するために必要な個人ＩＤなどを含んだ情報である。

データ管理装置１０４は、入力端末１０１から受け付けた出力要求に対し、当該出力要求に基づくデータの出力が適切であるかを判断する。たとえば、データ管理装置１０４は、出力要求をおこなった者がそのデータ（出力要求されたデータ）へのアクセス権を有しているか、出力先が存在するエリアにいる者がそのデータへのアクセス権を有しているか、などを判断する。

そして、上記出力要求に基づく出力が適切であると判断された場合に、データ管理装置１０４は、出力端末１０２を制御して、出力要求に基づくデータを出力させる。さらに、データ管理装置１０４は、データの出力中にも、上記の判断（出力が適切であるかの判断）をおこなう。たとえば、データ管理装置１０４は、データの出力中に、そのデータへのアクセス権がない者（出力開始時にはいなかった者）が侵入してきた場合には、出力は不適切になったと判断し、出力端末１０２からの出力を中断させる。

図２は、本実施の形態のデータ管理システムの概要構成を示す説明図（その２）である。図２に示すように、たとえば、データ管理システム１００の各構成、入力端末１０１（１０１ａ〜１０１ｅ）と、出力端末１０２（１０２ａ〜１０２ｇ）と、認証装置１０３（１０３ａ，１０３ｂ）と、データ管理装置１０４とは、事務所２００内に設置される。

ここで、事務所２００に勤務する従業員は、あらかじめ、静脈認証などによって本人確認がされており、それぞれのＩＤ情報（固有の個人ＩＤ）が記憶されたＲＦＩＤタグ付きＩＣカード（たとえば、社員証である。以下、単に「ＩＣカード」という）を携帯している。

事務所２００内には、一般スペース２１０と、サーバ室２２０とが設けられている。ここで、一般スペース２１０は、すべての従業員が自由に立ち入り可能なスペースである。ここで、サーバ室２２０は、特定の従業員のみが入室可能なスペースである。ここで、特定の従業員とは、たとえば、データ管理装置１０４の管理者などのサーバ室２２０への入室が許可された従業員である。特定の従業員の個人ＩＤは、あらかじめ認証装置１０３に登録されている。

たとえば、特定の従業員は、サーバ室２２０のドア２２１の付近に設けられた認証装置１０３ａ，１０３ｂに自身のＩＣカードをかざす。認証装置１０３ａ，１０３ｂは、かざされたＩＣカードに埋め込まれたＩＤ情報を読み取り、当該ＩＤ情報に含まれる個人ＩＤが登録された（入室が許可された）個人ＩＤであるかの認証をおこなう。そして、認証装置１０３ａ，１０３ｂは、登録された個人ＩＤであると判断された場合には、サーバ室２２０のドア２２１を開錠する。これによって、特定の従業員は、サーバ室２２０内への入室が可能となる。また、認証装置１０３ａ，１０３ｂは、上記の認証結果およびそのときの日時を示す情報をデータ管理装置１０４へ送信する。

上記の事務所２００内に設置されたデータ管理システム１００において、たとえば、特定の従業員Ａが、業務上、或る機密データＸを閲覧する必要があり、サーバ室２２０内の入力端末１０１ｅ（パーソナル・コンピュータ）を操作し、データ管理装置１０４に、当該機密データＸを閲覧するための出力要求をおこなった。なお、この際に、従業員Ａは、出力先としてサーバ室２２０内の出力端末１０２ｅ（ディスプレイ）を指定した。

データ管理装置１０４は、上記の出力要求を受け付けると、出力要求をおこなった従業員Ａに、機密データＸへのアクセス権があるかを判断する。そして、従業員Ａに機密データＸへのアクセス権があると判断すると、出力先とされた出力端末１０２ｅが存在するエリア（すなわち、サーバ室２２０内）に、機密データＸへのアクセス権がない者がいるかを判断する。たとえば、このとき、データ管理装置１０４は、サーバ室２２０内には従業員Ａのみがいる（すなわち、機密データＸへのアクセス権がない者はいない）と判断すると、出力端末１０２ｅに機密データＸを表示させ、機密データＸを閲覧可能とする。

上記によって、従業員Ａが機密データＸを閲覧していると、つづいて、他の従業員Ｂが、サーバ室２２０へ入室してきた。ここで、従業員Ｂは、サーバ室２２０への入室は許可されているものの、機密データＸへのアクセス権はない従業員である。このとき、データ管理装置１０４は、認証装置１０３ａから送信された認証結果（従業員Ｂがドア２２１を解錠したという認証結果）に基づいて、従業員Ｂがサーバ室２２０内に入室したことを検出する。すなわち、データ管理装置１０４は、機密データＸを出力中の出力端末１０２ｅが存在するエリアに、当該機密データＸへのアクセス権がない従業員が侵入してきたことを検出する。

データ管理装置１０４は、当該エリアに、機密データＸへのアクセス権がない従業員が侵入してきたことを検出すると、機密データＸの出力が不適切になったと判断し、機密データＸの出力端末１０２ｅからの出力を中断させる。たとえば、データ管理装置１０４は、出力端末１０２ｅの電源をオフとし、出力（表示）を強制的に中断させる。

以上のように、本実施の形態のデータ管理システム１００は、入力端末１０１からデータ管理装置１０４へ任意のデータの出力要求をおこなう。データ管理装置１０４は、出力要求に対し、当該出力要求に基づく出力が適正であると判断した場合のみに、出力端末１０２を制御して、出力要求に基づくデータを出力させる。また、データの出力中にも、上記の判断をおこない、データの出力が不適切となった場合には、ただちに、データの出力を遮断する。

（データ管理装置のハードウェア構成）
つぎに、図１に示した本実施の形態のデータ管理装置１０４のハードウェア構成について説明する。図３は、本実施の形態のデータ管理装置のハードウェア構成を示すブロック図である。

図３において、データ管理装置１０４は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）３０１と、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）３０２と、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）３０３と、ハードディスクドライブ３０４と、ハードディスク３０５と、光ディスクドライブ３０６と、光ディスク３０７と、ディスプレイ３０８と、Ｉ／Ｆ（インターフェース）３０９と、キーボード３１０と、マウス３１１と、スキャナ３１２と、プリンタ３１３と、を備えている。また、各構成部はバス３００によってそれぞれ接続されている。

ここで、ＣＰＵ３０１は、コンピュータ装置の全体の制御を司る。ＲＯＭ３０２は、ブートプログラムなどのプログラムを記憶している。ＲＡＭ３０３は、ＣＰＵ３０１のワークエリアとして使用される。ハードディスクドライブ３０４は、ＣＰＵ３０１の制御にしたがってハードディスク３０５に対するデータのリード／ライトを制御する。ハードディスク３０５は、ハードディスクドライブ３０４の制御で書き込まれたデータを記憶する。

光ディスクドライブ３０６は、ＣＰＵ３０１の制御にしたがって光ディスク３０７に対するデータのリード／ライトを制御する。光ディスク３０７は、光ディスクドライブ３０６の制御で書き込まれたデータを記憶したり、光ディスク３０７に記憶されたデータをデータ管理装置１０４に読み取らせたりする。

また、光ディスク３０７として、ＣＤ（Ｃｏｍｐａｃｔ Ｄｉｓｋ）、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）、ＭＯ（Ｍａｇｎｅｔｏ Ｏｐｔｉｃａｌ）、メモリーカードなどを採用することができる。ディスプレイ３０８は、カーソル、アイコンあるいはツールボックスをはじめ、文書、画像、機能情報などのデータを表示する。このディスプレイ３０８は、たとえば、ＣＲＴ（Ｃａｔｈｏｄｅ Ｒａｙ Ｔｕｂｅ）、ＴＦＴ（Ｔｈｉｎ Ｆｉｌｍ Ｔｒａｎｓｉｓｔｏｒ）液晶ディスプレイ、プラズマディスプレイなどを採用することができる。

Ｉ／Ｆ３０９は、通信回線を通じてインターネットなどのネットワーク３１４に接続され、このネットワーク３１４を介して他の装置に接続される。そして、Ｉ／Ｆ３０９は、ネットワーク３１４と内部のインターフェースを司り、外部装置からのデータの入出力を制御する。Ｉ／Ｆ３０９には、たとえば、モデムやＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）アダプタなどを採用することができる。

キーボード３１０は、文字、数字、各種指示などの入力のためのキーを備え、データの入力をおこなう。また、タッチパネル式の入力パッドやテンキーなどであってもよい。マウス３１１は、カーソルの移動や範囲選択、あるいはウィンドウの移動やサイズの変更などをおこなう。ポインティングデバイスとして同様に機能を備えるものであれば、トラックボールやジョイスティックなどであってもよい。

スキャナ３１２は、画像を光学的に読み取り、コンピュータ装置内に画像データを取り込む。なお、スキャナ３１２は、ＯＣＲ（Ｏｐｔｉｃａｌ Ｃｈａｒａｃｔｅｒ Ｒｅａｄｅｒ）機能を持たせてもよい。また、プリンタ３１３は、画像データや文書データを印刷する。プリンタ３１３には、たとえば、レーザプリンタやインクジェットプリンタを採用することができる。

（データ管理装置の機能的構成）
つぎに、本実施の形態のデータ管理装置１０４の機能的構成について説明する。図４は、本実施の形態のデータ管理装置の機能的構成を示すブロック図である。図４において、データ管理装置１０４は、受付部４０１と、記憶部４０２と、主制御部４０３と、検出部４０４と、出力制御部４０５とを備える。これら各機能部４０１〜４０５は、データ管理装置１０４の記憶部４０２に記憶された当該機能部４０１〜４０５に関するプログラムをＣＰＵ３０１に実行させることにより、または、Ｉ／Ｆ３０９により、当該機能を実現することができる。

また、各機能部４０１〜４０５からの出力データは上記記憶部４０２に保持される。また、図４中矢印で示した接続先の機能は、接続元の機能からの出力データを記憶部４０２から読み込んで、当該機能に関するプログラムをＣＰＵ３０１に実行させるものとする。

受付部４０１は、任意のデータの出力要求を受け付ける機能を有する。ここで、出力要求とは、任意データを出力（たとえば、ディスプレイに表示、プリンタから印刷）させるための要求指示である。なお、出力要求に含まれる情報については、図５を用いて後述する。たとえば、受付部４０１は、利用者が入力端末１０１（たとえば、パーソナル・コンピュータ）のキーボードやマウスなどを操作することによって入力される出力要求を、ネットワーク１１０を介して受け付ける。

記憶部４０２は、各種情報を記憶する機能を有する。たとえば、記憶部４０２に記憶される情報としては、前述したように、各機能部４０１〜４０５にそれぞれの機能を実現させるためのそれぞれの機能に関するプログラムや、受付部４０１によって受け付けられた出力要求に対する出力が適切であるかを判断するための各種情報などがある。

ここで、出力要求に対する出力が適切であるかを判断するための各種情報には、たとえば、それぞれの従業員の行動履歴に関する情報（たとえば、従業員Ｂがサーバ室２２０へ入室したことを示す情報。図６を参照）、それぞれのデータへのアクセス権照合リスト（たとえば、従業員Ｂの機密データＸへのアクセス権を示す情報。図７を参照）、動作履歴に関する情報（たとえば、従業員Ｂがサーバ室２２０へ入室したため、出力端末１０２ｅの電源をオフとしたことを示す情報。図９を参照）などがある。

主制御部４０３は、受付部４０１によって受け付けられた出力要求と、記憶部４０２に記憶された各種情報を利用して、受付部４０１によって受け付けられた出力要求に基づくデータの出力が適切であるか否かを判断する機能を有する。具体的には、主制御部４０３は、第１の判断部４０３ａと、特定部４０３ｂと、第２の判断部４０３ｃと、第３の判断部４０３ｄと、第４の判断部４０３ｅとを備え、これらの機能によって、受付部４０１によって受け付けられた出力要求に基づくデータの出力が適切であるかを判断する。

第１の判断部４０３ａは、出力要求をおこなった者が、受付部４０１によって受け付けられたデータへのアクセス権があるか否かを判断する機能を有する。たとえば、第１の判断部４０３ａは、出力要求に含まれる、当該出力要求をおこなった者を示す個人ＩＤ（たとえば、従業員Ａを示す情報）および出力対象となる対象データを示す対象データＩＤ（たとえば、機密データＸを示す情報）と、記憶部４０２に記憶されたアクセス権照合リストとを照合し、出力要求をおこなった者が、出力対象となる対象データへのアクセス権があるかを判断する。ここで、アクセス権照合リストとは、それぞれの従業員が、どのデータへ、どのようなアクセス権があるかを示すリストである。

特定部４０３ｂは、出力要求によってデータが出力される出力先が存在するエリアを特定する機能を有する。たとえば、特定部４０３ｂは、出力要求に含まれる、出力させる出力端末を示す出力先情報（たとえば、出力端末１０２ｅを示す情報）と、記憶部４０２に記憶された出力先リスト（図８を参照）とを照合し、出力要求によってデータが出力される出力先が存在するエリアを特定する。ここで、出力先リストとは、それぞれの出力端末が、どのエリアに存在しているかを示すリストである。

第２の判断部４０３ｃは、特定部４０３ｂによって特定されたエリアに、データへのアクセス権がない者が存在するか否かを判断する機能を有する。たとえば、第２の判断部４０３ｃは、記憶部４０２に記憶された従業員の行動履歴に関する情報と、特定されたエリアを示す情報と、アクセス権照合リストとを利用して、特定されたエリアに、データへのアクセス権がない者が存在するか否かを判断する。すなわち、第２の判断部４０３ｃは、特定されたエリアにいる従業員全員分のアクセス権を照合し、全員がデータへのアクセス権を有しているかを判断する。

第３の判断部４０３ｄは、出力先においてデータが出力中であるか否かを判断する機能を有する。たとえば、第３の判断部４０３ｄは、それぞれの出力端末１０２の状態を常時監視して、後述する出力制御部４０５の制御に従って、所定の出力端末（たとえば、出力端末１０２ｅ）によって、データ（たとえば、機密データＸ）が出力中（たとえば、表示中）であるか否かを判断する。

第４の判断部４０３ｅは、第３の判断部４０３ｄによってデータが出力中であると判断された場合、後述する検出部４０４によって検出された侵入者が、データへのアクセス権があるか否かを判断する機能を有する。たとえば、第４の判断部４０３ｅは、前述した行動履歴に関する情報、アクセス権照合リスト、出力中のエリアを示す情報を利用して、侵入者が、データへのアクセス権があるか否かを判断する。

検出部４０４は、データを出力中のエリアへの侵入者を検出する機能を有する。たとえば、検出部４０４は、行動履歴に関する情報を利用して、データを出力中のエリアへの侵入者を検出する。また、検出部４０４は、侵入者を検出すると、同時に、当該侵入者の個人ＩＤも検出する。

出力制御部４０５は、第１の判断部４０３ａおよび第２の判断部４０３ｃによって判断された判断結果に基づいて、出力要求に応じて出力先装置からデータを出力するように制御する機能を有する。たとえば、出力制御部４０５は、第１の判断部４０３ａによって出力要求をおこなった者がアクセス権ありと判断され、かつ、第２の判断部４０３ｃによって特定されたエリアにデータへのアクセス権がない者が存在しないことが判断された場合、出力要求に応じて出力先装置からデータを出力させるように制御する。

また、出力制御部４０５は、第３の判断部４０３ｄによってデータが出力中であると判断され、かつ、第４の判断部４０３ｅによって侵入者のデータへのアクセス権がないと判断された場合には、データの出力を禁止するように出力先を制御する機能を有する。たとえば、このとき、出力制御部４０５は、出力先装置におけるデータの出力を終了させる。すなわち、出力先の出力端末の電源をオフとする。また、たとえば、出力制御部４０５は、データを出力先装置に出力させているアプリケーションを終了させてもよい。また、たとえば、出力制御部４０５は、出力先装置となるディスプレイの表示画面において前記データを非表示にしてもよい。

なお、入力端末１０１（たとえば、パーソナル・コンピュータ）、出力端末１０２（たとえば、ディスプレイやプリンタ）、認証装置１０３のハードウェア構成、および機能的構成については、公知の技術であるため説明を省略する。

（各種情報の内容）
つぎに、上記の各種情報の内容について説明する。図５は、出力要求の内容を示す説明図である。たとえば、従業員は、入力端末１０１を操作して、出力要求をデータ管理装置１０４へ送信する。データ管理装置１０４は、出力要求を受け付けると、当該出力要求を記憶部４０２に記憶する。たとえば、図５に示すように、出力要求５００は、個人ＩＤ５０１と、対象データＩＤ５０２と、出力先情報５０３とを含んだ情報である。

出力要求５００の個人ＩＤ５０１は、それぞれの従業員と一意に対応し、出力要求をおこなった従業員を識別可能な情報である。たとえば、個人ＩＤ５０１の「０００１」は、出力要求をおこなった者が、従業員Ａであることを示している。対象データＩＤ５０２は、データ管理装置１０４に記憶されたそれぞれのデータと一意に対応し、出力対象とされたデータを識別可能な情報である。たとえば、対象データＩＤ５０２の「０００ＸＸＸ」は、出力対象とされたデータが、機密データＸであることを示している。

出力先情報５０３は、データ管理システム１００内のそれぞれの出力端末１０２（１０２ａ〜１０２ｇ）と一意に対応し、データを出力させる出力端末を識別可能な情報である。たとえば、出力先情報５０３の「１０２ｅ」は、対象データＩＤが示すデータ（機密データＸ）を出力させる出力端末が、出力端末１０２ｅ（サーバ室２２０内のディスプレイ）であることを示している。

図６は、行動履歴に関する情報の内容を示す説明図である。たとえば、従業員が認証装置１０３ａ，１０３ｂによって認証を受けると、当該認証装置１０３ａ，１０３ｂは、認証結果をデータ管理装置１０４へ送信する。データ管理装置１０４は、認証装置１０３ａ，１０３ｂからの認証結果を受信すると、当該認証結果を行動履歴に関する情報として記憶部４０２に記憶する。たとえば、図６に示すように、行動履歴に関する情報６００は、個人ＩＤ６０１と、行動日時６０２と、行動内容６０３とを含んだ情報である。

行動履歴に関する情報６００の個人ＩＤ６０１は、それぞれの従業員と一意に対応し、所定の行動（後述の行動内容６０３によって示される行動）をおこなった従業員を識別可能な情報である。たとえば、個人ＩＤ６０１中の「０００１」は、所定の行動をおこなった者が、従業員Ａであることを示している。行動日時６０２は、所定の行動をおこなった際の日時を示す情報である。たとえば、行動日時６０２中の「２００８／０１／３０ １３：２７：３６」は、個人ＩＤ「０００１」を有する従業員Ａが、所定の行動を、２００８年１月３０日の１３時２７分３６秒におこなったことを示している。

行動内容６０３は、上記の所定の行動の内容を示す情報である。たとえば、行動内容「サーバ室入室」は、サーバ室２２０へ入室したという行動内容を示す情報である。同様に、行動内容「サーバ室退室」は、サーバ室２２０から退室したという行動内容を示す情報である。上記のサーバ室入室／サーバ室退室は、たとえば、認証装置１０３ａによって認証を受けた際に「サーバ室入室」となり、認証装置１０３ｂによって認証を受けた際に「サーバ室退室」となる。

図７は、アクセス権照合リストの内容を示す説明図である。前述したように、それぞれの従業員には、あらかじめ、それぞれのデータに対するアクセス権が設定される。たとえば、図７に示すように、アクセス権照合リスト７００は、個人ＩＤ７０１と、データＩＤ７０２と、アクセス権７０３とを含んでいる。

アクセス権照合リスト７００の個人ＩＤ７０１は、それぞれの従業員と一意に対応し、アクセス権が設定される従業員を識別可能な情報である。たとえば、個人ＩＤ７０１中の「０００１」は、アクセス権が設定される従業員が、従業員Ａであることを示している。データＩＤ７０２は、データ管理装置１０４に記憶されたそれぞれのデータと一意に対応し、アクセス権が設定されるデータを識別可能な情報である。たとえば、データＩＤ７０２中の「０００ＸＸＸ」は、当該アクセス権が機密データＸに対するアクセス権であることを示している。

アクセス権７０３は、個人ＩＤ７０１によって示される個人の、データＩＤ７０２によって示されるデータへのアクセス権を示す情報である。たとえば、アクセス権７０３中の「閲覧のみ可」は、個人ＩＤ７０１中の「０００１」によって示される従業員Ａの、データＩＤ中の「０００ＸＸＸ」によって示される機密データＸへの、アクセス権を示している。すなわち、従業員Ａは、機密データＸの閲覧のみが許可されている（編集や削除などは許可されていない）。

図８は、出力先リストの内容を示す説明図である。前述したように、それぞれの出力端末１０２ａ〜１０２ｇには、あらかじめ、それぞれの出力端末１０２ａ〜１０２ｇが存在するエリアを示す情報が設定される。たとえば、図８に示すように、出力先リスト８００は、出力端末ＩＤ８０１と、存在エリア８０２とを含んでいる。

出力端末ＩＤ８０１は、それぞれの出力端末１０２ａ〜１０２ｇと一意に対応し、それぞれの出力端末１０２ａ〜１０２ｇを識別可能な情報である。たとえば、出力端末ＩＤ８０１中の「１０２ｅ」は、当該出力端末ＩＤに対応する出力端末が、出力端末１０２ｅであることを示している。存在エリア８０２は、それぞれの出力端末１０２ａ〜１０２ｇが存在するエリアを示す情報である。たとえば、存在エリア８０２中の「２２０」は、当該出力端末ＩＤによって示される出力端末１０２ｅが、サーバ室２２０内に存在することを示している。

図９は、動作履歴に関する情報の内容を示す説明図である。データ管理装置１０４は、いずれかの入力端末１０１、または出力端末１０２において、或る動作（たとえば、従業員の操作に基づく動作）が実行されると、当該動作の履歴を記憶部４０２に記憶する。たとえば、図９に示すように、動作履歴に関する情報９００は、発生日時９０１と、個人ＩＤ９０２と、動作端末９０３と、動作内容９０４とを含んだ情報である。

発生日時９０１は、所定の動作（動作内容９０４によって示される動作）が発生した日時を示す情報である。たとえば、発生日時９０１中の「２００８／０１／３０ １３：２８：５６」は、所定の動作が発生した日時が２００８年１月３０日の１３時２８分５６秒であることを示している。

個人ＩＤ９０２は、それぞれの従業員と一意に対応し、所定の動作を実行させた従業員を識別可能な情報である。たとえば、個人ＩＤ９０２中の「０００１」は、所定の動作を実行させた従業員が従業員Ａであることを示している。なお、個人ＩＤ９０２中の「（＊）」は、データ管理装置１０４が自動的に実行させた動作であることを示している。

動作端末９０３は、所定の動作が実行された端末（入力端末１０１または出力端末１０２）を示す情報である。たとえば、動作端末９０３中の「１０２ｅ」は、所定の動作を実行された端末が、出力端末１０２ｅであることを示している。動作内容９０４は、実行された動作の内容を示す情報である。たとえば、動作内容９０４中の「閲覧」は、動作端末９０３によって示される端末（出力端末１０２ｅ）に、所定のデータ（たとえば、出力要求に基づくデータ）を表示させた（閲覧可能とさせた）ことを示している。また、たとえば、動作内容９０４中の「アプリ強制終了」は、所定のデータを出力させているアプリケーションを強制的に終了させたことを示している。

（データ管理装置の処理手順）
つぎに、本実施の形態のデータ管理装置の処理手順について説明する。図１０は、本実施の形態のデータ管理装置の処理手順を示すフローチャートである。なお、図１０に示すフローチャートは、たとえば、或る従業員が、入力端末１０１によって、データ管理装置１０４に任意のデータの出力要求をおこなった場合に開始される。

図１０に示すように、まず、データ管理装置１０４は、任意のデータの出力要求を受け付ける（ステップＳ１００１）。たとえば、データ管理装置１０４は、受付部４０１によって、入力端末１０１から送信された出力要求（図５を参照）を受け付ける。

ステップＳ１００１において、出力要求を受け付けたのち、データ管理装置１０４は、当該出力要求をおこなった者が、ステップＳ１００１によって受け付けられたデータへのアクセス権があるか否かを判断する（ステップＳ１００２）。たとえば、データ管理装置１０４は、上記の出力要求と、前述のアクセス権照合リスト（図７を参照）とに基づき、第１の判断部４０３ａによって、出力要求をおこなった者が、受け付けられたデータへのアクセス権があるか否かを判断する。ステップＳ１００２において、出力要求をおこなった者が、データへのアクセス権がないと判断された場合（ステップＳ１００２：Ｎｏ）には、データ管理装置１０４は、そのまま、一連の処理を終了する。

一方、ステップＳ１００２において、出力要求をおこなった者が、データへのアクセス権があると判断された場合（ステップＳ１００２：Ｙｅｓ）には、データ管理装置１０４は、当該出力要求によってデータが出力される出力先（出力端末１０２）が存在するエリアを特定する（ステップＳ１００３）。たとえば、データ管理装置１０４は、上記の受け付けた出力要求と、前述の出力先リスト（図８を参照）とに基づき、特定部４０３ｂによって、データが出力される出力先（出力端末１０２）が存在するエリアを特定する。

ステップＳ１００３において、データが出力される出力先が存在するエリアを特定したのち、データ管理装置１０４は、特定されたエリアに、出力要求によって受け付けられたデータへのアクセス権がない者が存在するか否かを判断する（ステップＳ１００４）。たとえば、データ管理装置１０４は、上記の特定されたエリアと、前述の行動履歴に関する情報（図６を参照）と、前述のアクセス権照合リスト（図７を参照）とに基づき、第２の判断部４０３ｃによって、特定されたエリアに、出力要求によって受け付けられたデータへのアクセス権がない者が存在するか否かを判断する。

ステップＳ１００４において、特定されたエリアに、出力要求によって受け付けられたデータへのアクセス権がない者がいると判断された場合（ステップＳ１００４：Ｙｅｓ）には、データ管理装置１０４は、そのまま、一連の処理を終了する。

一方、ステップＳ１００４において、特定されたエリアに、出力要求によって受け付けられたデータへのアクセス権がない者がいないと判断された場合（ステップＳ１００４：Ｎｏ）には、データ管理装置１０４は、出力要求に基づく出力端末１０２に、出力要求に基づくデータを出力させる出力指示を送信する（ステップＳ１００５）。たとえば、データ管理装置１０４は、出力制御部４０５によって、出力要求に基づく出力端末１０２（たとえば、出力端末１０２ｅ）に、出力要求に基づくデータ（たとえば、機密データＸ）を出力させる出力指示を送信する。

ステップＳ１００５において、出力端末１０２に出力指示を送信したのち、データ管理装置１０４は、記憶部４０２に記憶された動作履歴に関する情報を更新する（ステップＳ１００６）。なお、動作履歴に関する情報の内容については、図８を用いて説明したとおりである。

ステップＳ１００６において、動作履歴に関する情報を更新したのち、データ管理装置１０４は、データの出力を終了させる出力終了要求を受け付けたか否かを判断する（ステップＳ１００７）。たとえば、データ管理装置１０４は、受付部４０１によって、入力端末１０１から送信される出力終了要求を受け付けたか否かを判断する。

ステップＳ１００７において、出力終了要求を受け付けたと判断された場合（ステップＳ１００７：Ｙｅｓ）には、データ管理装置１０４は、出力終了要求に基づいて、記憶部４０２に記憶された動作履歴に関する情報を更新し（ステップＳ１００８）、一連の処理を終了する。

一方、ステップＳ１００７において、出力終了要求を受け付けていないと判断された場合（ステップＳ１００７：Ｎｏ）には、データ管理装置１０４は、データを出力中のエリアへの侵入者が検出されたか否かを判断する（ステップＳ１００９）。たとえば、データ管理装置１０４は、出力中のエリア（出力要求に基づくエリア）と、前述の行動履歴に関する情報（図６を参照）とに基づき、検出部４０４によって、データを出力中のエリア（たとえば、サーバ室２２０内）への侵入者が検出されたか否かを判断する。

ステップＳ１００９において、データを出力中のエリアへの侵入者が検出されたと判断された場合（ステップＳ１００９：Ｙｅｓ）には、データ管理装置１０４は、検出された侵入者に、出力中のデータへのアクセス権があるか否かを判断する（ステップＳ１０１０）。たとえば、データ管理装置１０４は、上記によって検出された侵入者と、出力中のデータ（出力要求に基づくデータ）と、アクセス権照合リスト（図７を参照）に基づき、出力中のデータへのアクセス権があるか否かを判断する。また、ステップＳ１００９において、データを出力中のエリアへの侵入者が検出されないと判断された場合（ステップＳ１００９：Ｎｏ）には、データ管理装置１０４は、ステップＳ１００７に復帰して、上記の処理を繰り返す。

ステップＳ１０１０において、侵入者に、出力中のデータへのアクセス権がないと判断された場合（ステップＳ１０１０：Ｎｏ）には、データ管理装置１０４は、データを出力中の出力端末１０２に、データの出力を遮断させる出力遮断指示を送信する（ステップＳ１０１１）。たとえば、データ管理装置１０４は、出力制御部４０５によって、データを出力中の出力端末１０２に、出力遮断指示を送信する。

ステップＳ１０１１において、出力遮断指示を送信したのち、データ管理装置１０４は、記憶部４０２に記憶された動作履歴に関する情報を更新し（ステップＳ１０１２）、ステップＳ１００７に復帰して、上記の処理を繰り返す。

一方、ステップＳ１０１０において、侵入者に、出力中のデータへのアクセス権があると判断された場合（ステップＳ１０１０：Ｙｅｓ）には、データ管理装置１０４は、そのまま、ステップＳ１００７に復帰して、上記の処理を繰り返す。

以上に説明したように、本実施の形態のデータ管理装置１０４によれば、入力端末１０１から受け付けた出力要求に対し、当該出力要求に基づくデータの出力が適切であるかを判断し、適切であると判断された場合のみに、出力要求に基づくデータを出力端末１０２から出力させることができる。これにより、データ管理装置１０４は、たとえば、データが出力される出力端末１０２が存在するエリアに、出力されるデータへのアクセス権がない者がいる場合にはデータを出力させないため、出力時（すなわち、アクセス後）に発生する情報漏洩を防止し、機密性の向上を図ることができる。

また、本実施の形態のデータ管理装置１０４によれば、出力要求をした者がアクセス権ありと判断され、かつ、出力先（出力端末１０２）が存在するエリアにデータへのアクセス権がない者が存在しないことが判断された場合に、データを出力するので、データへのアクセス権がない者への情報漏洩を防止して、機密性の向上を一層図ることができる。

さらに、本実施の形態のデータ管理装置１０４によれば、データ管理装置１０４は、データの出力中にも、上記の判断（出力が適切であるかの判断）をおこない、不適切となったと判断された場合には、データの出力を遮断させることができる。これにより、データ管理装置１０４は、たとえば、データ出力中の出力端末１０２が存在するエリアに、アクセス権がない侵入者が侵入した場合にはデータの出力をただちに遮断するので、刻々と変化する状況（たとえば、事務所２００内の従業員が動き回るような状況）にも早急に対応でき、機密性の向上を一層図ることができる。

なお、本実施の形態のデータ管理装置１０４では、それぞれの従業員の位置を、認証装置１０３ａ，１０３ｂの認証結果（すなわち、サーバ室２２０内への入室／退室）のみによって検出することとしたが、これに限らない。たとえば、それぞれの従業員にアクティブタグ付きＩＣカードを携帯させ、データ管理装置１０４は、当該アクティブタグから送信される情報に基づいて、それぞれの従業員の位置をリアルタイムに検出することとしてもよい。これによって、一層と高い汎用性を有するデータ管理システムを構築することができる。なお、アクティブタグから送信される情報に基づいて、従業員の位置を検出する技術などについては公知の技術であるため、ここでの説明は省略する。

なお、本実施の形態で説明したデータ管理方法は、あらかじめ用意されたプログラムをパーソナル・コンピュータやワークステーション等のコンピュータで実行することにより実現することができる。このプログラムは、ハードディスク、フレキシブルディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ等のコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行される。またこのプログラムは、インターネット等のネットワークを介して配布することが可能な媒体であってもよい。

上述した実施の形態に関し、さらに以下の付記を開示する。

（付記１）コンピュータを、
任意のデータの出力要求を受け付ける受付手段、
前記出力要求をおこなった者が、前記受付手段によって受け付けられたデータへのアクセス権があるか否かを判断する第１の判断手段、
前記出力要求によって前記データが出力される出力先装置が存在するエリアを特定する特定手段、
前記特定手段によって特定されたエリアに、前記データへのアクセス権がない者が存在するか否かを判断する第２の判断手段、
前記第１および第２の判断手段によって判断された判断結果に基づいて、前記出力要求に応じて前記出力先装置から前記データを出力するように制御する出力制御手段、
として機能させることを特徴とするデータ管理プログラム。

（付記２）前記出力制御手段は、
前記第１の判断手段によってアクセス権ありと判断され、かつ、前記第２の判断手段によって前記エリアに前記データへのアクセス権がない者が存在しないことが判断された場合、前記出力要求に応じて前記出力先装置から前記データを出力させることを特徴とする付記１に記載のデータ管理プログラム。

（付記３）前記コンピュータを、
前記エリアへの侵入者を検出する検出手段、
前記出力先装置から前記データが出力中であるか否かを判断する第３の判断手段、
前記第３の判断手段によって前記データが出力中であると判断された場合、前記検出手段によって検出された侵入者が、前記データへのアクセス権があるか否かを判断する第４の判断手段として機能させ、
前記出力制御手段は、
前記第４の判断手段によってアクセス権がないと判断された場合、前記データの出力を禁止するように制御することを特徴とする付記１または２に記載のデータ管理プログラム。

（付記４）前記出力制御手段は、
前記第４の判断手段によってアクセス権がないと判断された場合、前記出力先装置における前記データの出力を終了させることを特徴とする付記３に記載のデータ管理プログラム。

（付記５）前記出力制御手段は、
前記第４の判断手段によってアクセス権がないと判断された場合、前記データを前記出力先装置に出力させているアプリケーションを終了させることを特徴とする付記３に記載のデータ管理プログラム。

（付記６）前記出力制御手段は、
前記第４の判断手段によってアクセス権がないと判断された場合、前記出力先装置となる表示画面において前記データを非表示にすることを特徴とする付記３に記載のデータ管理プログラム。

（付記７）コンピュータを、
データが出力される出力先装置が存在するエリアへの侵入者を検出する検出手段、
前記データが出力中であるか否かを判断する第１の判断手段、
前記第１の判断手段によって前記データが出力中であると判断された場合、前記検出手段によって検出された侵入者が、前記データへのアクセス権があるか否かを判断する第２の判断手段、
前記第２の判断手段によってアクセス権がないと判断された場合、前記出力先装置への前記データの出力を禁止するように制御する出力制御手段、
として機能させることを特徴とするデータ管理プログラム。

（付記８）任意のデータの出力要求を受け付ける受付手段と、
前記出力要求をおこなった者が、前記受付手段によって受け付けられたデータへのアクセス権があるか否かを判断する第１の判断手段と、
前記出力要求によって前記データが出力される出力先装置が存在するエリアを特定する特定手段と、
前記特定手段によって特定されたエリアに、前記データへのアクセス権がない者が存在するか否かを判断する第２の判断手段と、
前記第１および第２の判断手段によって判断された判断結果に基づいて、前記出力要求に応じて前記出力先装置から前記データを出力するように制御する出力制御手段と、
を有することを特徴とするデータ管理装置。

（付記９）データが出力される出力先が存在するエリアへの侵入者を検出する検出手段と、
前記データが出力中であるか否かを判断する第１の判断手段と、
前記判断手段によって前記データが出力中であると判断された場合、前記検出手段によって検出された侵入者が、前記データへのアクセス権があるか否かを判断する第２の判断手段と、
前記第２の判断手段によってアクセス権がないと判断された場合、前記出力先装置への前記データの出力を禁止するように制御する出力制御手段と、
を有することを特徴とするデータ管理装置。

（付記１０）任意のデータの出力要求を受け付ける受付工程と、
前記出力要求をおこなった者が、前記受付工程によって受け付けられたデータへのアクセス権があるか否かを判断する第１の判断工程と、
前記出力要求によって前記データが出力される出力先装置が存在するエリアを特定する特定工程と、
前記特定工程によって特定されたエリアに、前記データへのアクセス権がない者が存在するか否かを判断する第２の判断工程と、
前記第１および第２の判断工程によって判断された判断結果に基づいて、前記出力要求に応じて前記出力先装置から前記データを出力する出力工程と、
を含むことを特徴とするデータ管理方法。

（付記１１）データが出力される出力先装置が存在するエリアへの侵入者を検出する検出工程と、
前記データが出力中であるか否かを判断する第１の判断工程と、
前記第１の判断工程によって前記データが出力中であると判断された場合、前記検出工程によって検出された侵入者が、前記データへのアクセス権があるか否かを判断する第２の判断工程と、
前記第２の判断工程によってアクセス権がないと判断された場合、前記出力先への前記データの出力を禁止する出力禁止工程と、
を含むことを特徴とするデータ管理方法。

本実施の形態のデータ管理システムの概要構成を示す説明図（その１）である。 本実施の形態のデータ管理システムの概要構成を示す説明図（その２）である。 本実施の形態のデータ管理装置のハードウェア構成を示すブロック図である。 本実施の形態のデータ管理装置の機能的構成を示すブロック図である。 出力要求の内容を示す説明図である。 行動履歴に関する情報の内容を示す説明図である。 アクセス権照合リストの内容を示す説明図である。 出力先リストの内容を示す説明図である。 動作履歴に関する情報の内容を示す説明図である。 本実施の形態のデータ管理装置の処理手順を示すフローチャートである。

符号の説明

４０１ 受付部
４０２ 記憶部
４０３ 主制御部
４０３ａ 第１の判断部
４０３ｂ 特定部
４０３ｃ 第２の判断部
４０３ｄ 第３の判断部
４０３ｅ 第４の判断部
４０４ 検出部
４０５ 出力制御部

Claims (8)

1. コンピュータを、
   任意のデータの出力要求を受け付ける受付手段、
   前記出力要求をおこなった者が、前記受付手段によって受け付けられたデータへのアクセス権があるか否かを判断する第１の判断手段、
   前記出力要求によって前記データが出力される出力先装置が存在するエリアを特定する特定手段、
   前記特定手段によって特定されたエリアに、前記データへのアクセス権がない者が存在するか否かを判断する第２の判断手段、
   前記第１および第２の判断手段によって判断された判断結果に基づいて、前記出力要求に応じて前記出力先装置から前記データを出力するように制御する出力制御手段、
   として機能させることを特徴とするデータ管理プログラム。
2. 前記出力制御手段は、
   前記第１の判断手段によってアクセス権ありと判断され、かつ、前記第２の判断手段によって前記エリアに前記データへのアクセス権がない者が存在しないことが判断された場合、前記出力要求に応じて前記出力先装置から前記データを出力させることを特徴とする請求項１に記載のデータ管理プログラム。
3. 前記コンピュータを、
   前記エリアへの侵入者を検出する検出手段、
   前記出力先から前記データが出力中であるか否かを判断する第３の判断手段、
   前記第３の判断手段によって前記データが出力中であると判断された場合、前記検出手段によって検出された侵入者が、前記データへのアクセス権があるか否かを判断する第４の判断手段として機能させ、
   前記出力制御手段は、
   前記第４の判断手段によってアクセス権がないと判断された場合、前記データの出力を禁止するように制御することを特徴とする請求項１または２に記載のデータ管理プログラム。
4. コンピュータを、
   データが出力される出力先装置が存在するエリアへの侵入者を検出する検出手段、
   前記データが出力中であるか否かを判断する第１の判断手段、
   前記第１の判断手段によって前記データが出力中であると判断された場合、前記検出手段によって検出された侵入者が、前記データへのアクセス権があるか否かを判断する第２の判断手段、
   前記第２の判断手段によってアクセス権がないと判断された場合、前記出力先装置への前記データの出力を禁止するように制御する出力制御手段、
   として機能させることを特徴とするデータ管理プログラム。
5. 任意のデータの出力要求を受け付ける受付手段と、
   前記出力要求をおこなった者が、前記受付手段によって受け付けられたデータへのアクセス権があるか否かを判断する第１の判断手段と、
   前記出力要求によって前記データが出力される出力先装置が存在するエリアを特定する特定手段と、
   前記特定手段によって特定されたエリアに、前記データへのアクセス権がない者が存在するか否かを判断する第２の判断手段と、
   前記第１および第２の判断手段によって判断された判断結果に基づいて、前記出力要求に応じて前記出力先装置から前記データを出力するように制御する出力制御手段と、
   を有することを特徴とするデータ管理装置。
6. データが出力される出力先装置が存在するエリアへの侵入者を検出する検出手段と、
   前記データが出力中であるか否かを判断する第１の判断手段と、
   前記第１の判断手段によって前記データが出力中であると判断された場合、前記検出手段によって検出された侵入者が、前記データへのアクセス権があるか否かを判断する第２の判断手段と、
   前記第２の判断手段によってアクセス権がないと判断された場合、前記出力先装置への前記データの出力を禁止するように制御する出力制御手段と、
   を有することを特徴とするデータ管理装置。
7. 任意のデータの出力要求を受け付ける受付工程と、
   前記出力要求をおこなった者が、前記受付工程によって受け付けられたデータへのアクセス権があるか否かを判断する第１の判断工程と、
   前記出力要求によって前記データが出力される出力先装置が存在するエリアを特定する特定工程と、
   前記特定工程によって特定されたエリアに、前記データへのアクセス権がない者が存在するか否かを判断する第２の判断工程と、
   前記第１および第２の判断工程によって判断された判断結果に基づいて、前記出力要求に応じて前記出力先装置から前記データを出力する出力工程と、
   を含むことを特徴とするデータ管理方法。
8. データが出力される出力先装置が存在するエリアへの侵入者を検出する検出工程と、
   前記データが出力中であるか否かを判断する第１の判断工程と、
   前記第１の判断工程によって前記データが出力中であると判断された場合、前記検出工程によって検出された侵入者が、前記データへのアクセス権があるか否かを判断する第２の判断工程と、
   前記第２の判断工程によってアクセス権がないと判断された場合、前記出力先装置への前記データの出力を禁止する出力禁止工程と、
   を含むことを特徴とするデータ管理方法。

Images