JP2010072992A - 文書管理システム、文書生成装置、文書利用管理装置、及びプログラム - Google Patents

Abstract

【課題】分離された２つのネットワーク間で、共通のセキュリティポリシーが設定された保護文書を利用できる技術を提供する。
【解決手段】マスタ側ネットワーク１のクライアント端末５０が生成する保護電子文書５００は、当該文書に設定されたセキュリティポリシーの内容を含む。スレーブ側ネットワーク２のクライアント端末６０で保護電子文書５００を利用する場合、スレーブセキュリティポリシーサーバ２０は、クライアント端末６０からの利用要求に応じて、保護電子文書５００に含まれるセキュリティポリシーと保護電子文書５００に関する情報とをデータベースに登録する。保護電子文書５００の利用制限は、スレーブセキュリティポリシーサーバ２０のデータベースにおいて、当該文書に関連づけて登録されたセキュリティポリシーに従って行われる。
【選択図】図１

Description

本発明は、文書管理システム、文書生成装置、文書利用管理装置、及びプログラムに関する。

テキストデータや画像データ、音声データ、各種のデータを含むマルチメディアデータなどの電子文書に対する利用制限を行う技術として、例えば、ＤＲＭ（Digital Rights Management）と呼ばれる技術がある。ＤＲＭでは、個々の電子文書に対して、ユーザ毎に利用権限が設定される。利用権限は、例えば、電子文書の利用が許される有効期間、及び各ユーザに対して許可又は禁止される操作の種類などを表す。また、電子文書に対して設定された利用権限の変更を行うこともある。また、ＤＲＭでは、利用権限の内容を表すポリシー（以下、セキュリティポリシーと呼ぶこともある）を予めサーバに登録しておき、複数の異なる電子文書について同一のポリシーを用いて利用制限を行うこともある。

また例えば、特許文献１には、電子文書だけでなく紙文書も含む複数の文書を同一のポリシーで管理する技術が開示されている。特許文献１に記載のシステムでは、複数の文書に対して統一的なポリシールールが設定され、このポリシールールを管理するセキュリティサーバにおいて文書に対する利用の可否を決定する。特許文献１に開示されるポリシールールは、電子文書及び紙文書の双方に対して用いられる。

特開２００５−３８３７１号公報

ところで、互いに独立した２つのネットワーク（例えば、ＬＡＮ（Local Area Network）やイントラネットなど）において、セキュリティポリシーが設定された文書である保護文書を共通して利用する場合が考えられる。例えば、異なる企業などの組織の間で授受される機密情報に関し、その機密情報を含む文書に対してセキュリティポリシーを設定して文書の利用制限を行う場合である。

独立した２つのネットワークにおいて保護文書を共通して利用する場合、保護文書に設定されたセキュリティポリシーに従った利用制限を行うためには、上述の２つのネットワークにおいて保護文書のセキュリティポリシーを共有する必要がある。

セキュリティポリシーを共有するために、例えば、２つのネットワーク間でセキュリティポリシーを送受信する通信手段を設けることが考えられる。例えば、２つのネットワークのそれぞれがファイアウォールを介してインターネットに接続されている場合であれば、一方のネットワークのファイアウォールのＤＭＺ（非武装地帯）にセキュリティポリシーを管理するサーバを設け、他方のネットワークから当該サーバにアクセスしてセキュリティポリシーを共有する。また例えば、２つのネットワークの間に、専用回線や電話回線などを通じてアクセスする経路を設け、この経路によりセキュリティポリシーを共有してもよい。しかしながら、各ネットワークの安全性を確保する観点からは、各ネットワークに対して他のネットワークからのアクセスを許可する通信手段を設けることは望ましくない。

独立した２つのネットワークが互いに通信する通信手段を有しない場合に、これら２つのネットワーク間でセキュリティポリシーを共有する方法の例として、共通のセキュリティポリシーを登録したポリシーサーバを各ネットワークに設け、各ネットワークにおける保護文書の利用の際に、そのネットワークに設けられたポリシーサーバに登録されたセキュリティポリシーを参照して保護文書の利用の可否を決定する方法が考えられる。この例では、セキュリティポリシーの内容が更新された場合に、各ポリシーサーバに登録されたセキュリティポリシーの内容を同期させる作業が必要となる。

このような同期作業は、例えば、一方のネットワークのポリシーサーバにおいて行われたセキュリティポリシーの更新に関する情報をＣＤやＤＶＤなどの移動可能な記憶媒体に記憶させ、他方のネットワークのポリシーサーバに更新情報を登録することで行われる。このような作業は、管理者などが手動で行うことになるため、セキュリティポリシーの更新が２つのネットワークのポリシーサーバに直ちに反映されるとは限らない。したがって、一方のネットワークにおいて更新後のセキュリティポリシーを設定した保護文書が生成されて、この保護文書を他方のネットワークで利用する場合に、当該他方のネットワークのポリシーサーバの同期作業が完了するまで、その保護文書について更新後のセキュリティポリシーに従って利用制限することができない場合がある。

本発明は、保護文書が生成されたネットワークにおいて管理されるセキュリティポリシーに関する情報を参照する通信手段を有しないネットワークにおいても、保護文書に設定されたセキュリティポリシーに従って利用制限できる技術を提供することを目的とする。

請求項１に係る発明は、文書生成装置と文書利用管理装置とを備え、前記文書生成装置は、利用制限の対象となる文書と、操作主体と当該操作主体に対して許可又は禁止される操作の種類との組を含む利用制限情報と、を特定する情報を含む保護文書生成指示に応じて、前記保護文書生成指示で特定された文書と、前記保護文書生成指示で特定された利用制限情報と、を含む保護文書を生成する保護文書生成手段、を備え、前記文書利用管理装置は、要求対象の前記保護文書を特定した利用要求に応じて、文書と当該文書の利用制限に用いられる前記利用制限情報とを関連づけて記憶する文書情報記憶手段を参照し、前記利用要求で特定された保護文書に含まれる文書が前記文書情報記憶手段に記憶されていない場合に、前記特定された保護文書に含まれる文書と前記特定された保護文書に含まれる前記利用制限情報とを関連づけて前記文書情報記憶手段に登録する文書情報登録手段と、前記特定された保護文書に含まれる前記利用制限情報が利用制限情報記憶手段に記憶されていない場合に、前記特定された保護文書に含まれる前記利用制限情報を前記利用制限情報記憶手段に登録する利用制限情報登録手段と、を備え、前記要求対象の前記保護文書の利用の可否は、前記利用制限情報記憶手段に記憶された利用制限情報のうち前記利用要求で特定された保護文書に含まれる文書と関連づけられた利用制限情報と、前記利用要求を行った要求者と、に基づいて決定され、前記文書生成装置は、前記文書情報記憶手段及び前記利用制限情報記憶手段に対する情報の登録を行わない、ことを特徴とする文書管理システムである。

請求項２に係る発明は、請求項１に係る発明において、前記文書利用管理装置は、前記利用制限情報記憶手段に記憶された利用制限情報を更新する更新手段、をさらに備える。

請求項３に係る発明は、請求項２に係る発明において、前記文書利用管理装置の前記更新手段は、前記利用制限情報記憶手段に記憶された利用制限情報のうちの少なくとも１つを特定する無効化指示に応じて、前記無効化指示で特定された利用制限情報が無効である旨を表す情報を前記利用制限情報記憶手段に記憶させ、前記利用要求で特定された保護文書に含まれる文書と関連づけられた前記利用制限情報が無効である旨を表す情報が前記利用制限情報記憶手段に記憶されている場合に、前記要求対象の前記保護文書の利用は許可されない。

請求項４に係る発明は、請求項２に係る発明において、前記文書生成装置において、前記保護文書生成指示は、さらに、前記保護文書生成指示で特定された前記利用制限情報の更新時刻を含み、前記保護文書生成手段が生成する前記保護文書は、さらに、前記保護文書生成指示に含まれる前記更新時刻を含み、前記文書利用管理装置において、前記更新手段は、前記利用制限情報記憶手段に記憶された利用制限情報を更新した場合に、当該利用制限情報の更新時刻を前記利用制限情報記憶手段に記憶させ、さらに、前記利用要求で特定された保護文書に含まれる前記更新時刻が、前記利用制限情報記憶手段に記憶された利用制限情報のうち前記利用要求で特定された保護文書に含まれる文書と関連づけられた利用制限情報の更新時刻よりも新しい場合に、前記利用制限情報記憶手段において、前記特定された保護文書に含まれる文書と関連づけられた利用制限情報を、前記特定された保護文書に含まれる前記利用制限情報に更新する。

請求項５に係る発明は、利用制限の対象となる文書と、操作主体と当該操作主体に対して許可又は禁止される操作の種類との組を含む利用制限情報と、を特定する情報を含む保護文書生成指示に応じて、前記保護文書生成指示で特定された文書と、前記保護文書生成指示で特定された利用制限情報と、を含む保護文書を生成する保護文書生成手段、を備えることを特徴とする文書生成装置である。

請求項６に係る発明は、利用制限の対象となる文書と、操作主体と当該操作主体に対して許可又は禁止される操作の種類との組を含む利用制限情報と、を特定する情報を含む保護文書生成指示に応じて、前記保護文書生成指示で特定された文書と、前記保護文書生成指示で特定された利用制限情報と、を含む保護文書を生成するステップ、をコンピュータに実行させることを特徴とするプログラムである。

請求項７に係る発明は、利用制限の対象となる文書と、操作主体と当該操作主体に対して許可又は禁止される操作の種類との組を含む利用制限情報と、を含む保護文書を特定した利用要求に応じて、文書と当該文書の利用制限に用いられる前記利用制限情報とを関連づけて記憶する文書情報記憶手段を参照し、前記利用要求で特定された保護文書に含まれる文書が前記文書情報記憶手段に記憶されていない場合に、前記特定された保護文書に含まれる文書と前記特定された保護文書に含まれる前記利用制限情報とを関連づけて前記文書情報記憶手段に登録する文書登録手段と、前記特定された保護文書に含まれる前記利用制限情報が利用制限情報記憶手段に記憶されていない場合に、前記特定された保護文書に含まれる前記利用制限情報を前記利用制限情報記憶手段に登録する利用制限情報登録手段と、を備え、前記利用要求で特定された保護文書の利用の可否は、前記利用制限情報記憶手段に記憶された利用制限情報のうち前記利用要求で特定された保護文書に含まれる文書と関連づけられた利用制限情報と、前記利用要求を行った要求者と、に基づいて決定される、ことを特徴とする文書利用管理装置である。

請求項８に係る発明は、利用制限の対象となる文書と、操作主体と当該操作主体に対して許可又は禁止される操作の種類との組を含む利用制限情報と、を含む保護文書を特定した利用要求に応じて、文書と当該文書の利用制限に用いられる前記利用制限情報とを関連づけて記憶する文書情報記憶手段を参照し、前記利用要求で特定された保護文書に含まれる文書が前記文書情報記憶手段に記憶されていない場合に、前記特定された保護文書に含まれる文書と前記特定された保護文書に含まれる前記利用制限情報とを関連づけて前記文書情報記憶手段に登録するステップと、前記特定された保護文書に含まれる前記利用制限情報が利用制限情報記憶手段に記憶されていない場合に、前記特定された保護文書に含まれる前記利用制限情報を前記利用制限情報記憶手段に登録するステップと、をコンピュータに実行させ、前記利用要求で特定された保護文書の利用の可否は、前記利用制限情報記憶手段に記憶された利用制限情報のうち前記利用要求で特定された保護文書に含まれる文書と関連づけられた利用制限情報と、前記利用要求を行った要求者と、に基づいて決定される、ことを特徴とするプログラムである。

請求項１、５、６、７、又は８に係る発明によると、保護文書を生成した装置で管理される利用制限情報を参照する通信手段を備えない装置においても、当該保護文書に設定された利用制限情報に従って当該保護文書の利用を制限できる。

請求項２に係る発明によると、更新前の利用制限情報を含む保護文書の利用について、対応する利用制限情報の更新後の内容に従って制限できる。

請求項３に係る発明によると、無効化された利用制限情報に関連づけられた保護文書の利用を許可しないようにすることができる。

請求項４に係る発明によると、保護文書に含まれる利用制限情報を用いて、利用制限情報記憶手段に登録済みの利用制限情報を更新することができる。

図１は、文書管理システムの概略構成の一例を示す図である。図１の例の文書管理システムは、マスタ側ネットワーク１及びスレーブ側ネットワーク２を含む。マスタ側ネットワーク１及びスレーブ側ネットワーク２は、それぞれ、イントラネットなどのネットワークＮ１，Ｎ２を介して互いに接続された装置により構成される。

マスタ側ネットワーク１を構成する装置は、マスタセキュリティポリシーサーバ１０、ユーザ認証サーバ３０、クライアント端末５０、及び画像形成装置７０を含む。スレーブ側ネットワーク２を構成する装置は、スレーブセキュリティポリシーサーバ２０、ユーザ認証サーバ４０、クライアント端末６０、及び画像形成装置８０を含む。

マスタセキュリティポリシーサーバ１０及びスレーブセキュリティポリシーサーバ２０は、本システムが取り扱う文書（電子文書及び紙文書）のセキュリティポリシーを管理する。ここで、「セキュリティポリシー」は、文書を利用する主体と、その主体に対して許可又は禁止される操作の種類と、の組み合わせを含む利用権限情報を指す。マスタセキュリティポリシーサーバ１０は、セキュリティポリシーの設定された文書の生成に関する機能を備える。スレーブセキュリティポリシーサーバ２０は、セキュリティポリシーの設定された文書の利用に関する機能を備える。

マスタ側ネットワーク１のクライアント端末５０は、マスタセキュリティポリシーサーバ１０と通信し、セキュリティポリシーの設定された電子文書を生成する。マスタ側ネットワーク１の画像形成装置７０は、マスタセキュリティポリシーサーバ１０と通信し、セキュリティポリシーの設定された紙文書を生成する。

なお、以下の説明では、セキュリティポリシーの設定された電子文書を「保護電子文書」と呼び、セキュリティポリシーの設定された紙文書を「保護紙文書」と呼ぶ。また、保護電子文書及び保護紙文書を総称して「保護文書」と言うこともある。

スレーブ側ネットワーク２のクライアント端末６０及び画像形成装置８０は、それぞれ、スレーブセキュリティポリシーサーバ２０と通信し、保護電子文書及び保護紙文書に対する操作を実行する。

図１には、マスタ側ネットワーク１及びスレーブ側ネットワーク２のそれぞれについて、１つのクライアント端末５０，６０及び１つの画像形成装置７０，８０を図示するが、マスタ側ネットワーク１及びスレーブ側ネットワーク２は、それぞれ、複数のクライアント端末５０，６０及び複数の画像形成装置７０，８０を備えていてよい。

図１の例の文書管理システムにおいて、マスタ側ネットワーク１とスレーブ側ネットワーク２とは互いに接続されていない。よって、マスタ側ネットワーク１が備える装置とスレーブ側ネットワーク２が備える装置との間で通信が行われることはない。したがって、マスタ側ネットワーク１のクライアント端末５０が生成した保護電子文書は、例えば、ＣＤやＤＶＤなどの移動可能な記憶媒体に記憶され、スレーブ側ネットワーク２のクライアント端末６０の設置位置まで移動させられて、クライアント端末６０において読み取られて利用される。

なお、マスタ側ネットワーク１とスレーブ側ネットワーク２とは、実際にはインターネットなどの通信手段を介して接続されていてもよい。しかしながら、双方のネットワークが接続されている場合であっても、以下で説明する実施形態の各例においてマスタ側ネットワーク１及びスレーブ側ネットワーク２のそれぞれで用いられる情報は、双方のネットワークを接続する通信手段を介して授受されることはないものとする。

以下、マスタ側ネットワーク１が備える各装置について説明する。

ユーザ認証サーバ３０は、文書管理システムのユーザとして予め登録されたユーザの認証情報を管理し、ユーザ認証を行うサーバである。マスタ側ネットワーク１が備えるクライアント端末５０及び画像形成装置７０などの装置は、後述のように、ユーザの認証に成功した場合に、当該ユーザの指示に従った処理を実行する。マスタ側ネットワーク１が備える装置は、ユーザの識別情報及びパスワードなどの認証情報の入力をユーザから受け付けると、受け付けた情報をユーザ認証サーバに送信してユーザ認証要求を行う。この要求に応じて、ユーザ認証サーバは、ユーザ認証を行い、その結果を要求元の装置に対して返信する。ユーザ認証サーバは、例えば、ＬＤＡＰ（Lightweight Directory Access Protocol）サーバやWindows（登録商標） Active Directoryなどのサーバにより実現される。

図２に、マスタセキュリティポリシーサーバ１０の内部構成の概略の例を示す。図２を参照し、マスタセキュリティポリシーサーバ１０は、セキュリティポリシーＤＢ（データベース）１００、文書情報ＤＢ１０２、指示受付部１０４、セキュリティポリシー作成部１０６、セキュリティポリシー更新部１０８、セキュリティポリシー一覧応答部１１０、及び保護文書登録部１１２を備える。

セキュリティポリシーＤＢ１００は、セキュリティポリシーに関する情報を記憶するデータベースである。図３に、セキュリティポリシーＤＢ１００のデータ内容の一例を示す。

図３を参照すると、セキュリティポリシーＤＢ１００には、各セキュリティポリシーの識別情報であるポリシーＩＤに関連づけて、ポリシー名、利用範囲、有効期間、許諾機能リスト、無効化フラグ、及び更新日時の各項目が登録される。ポリシーＩＤは、各セキュリティポリシーに対して付与される、文書管理システム内で一意な識別情報である。ポリシー名は、セキュリティポリシーに対して管理者などが付与する名称である。利用範囲は、文書の操作主体を表し、ユーザ認証サーバで管理されるユーザ又はユーザグループの識別情報により表される。有効期間は、対応する利用範囲で示されるユーザが、当該セキュリティポリシーの設定された保護文書を利用可能な期間を表す。許諾機能リストは、対応する利用範囲で示されるユーザに対して許可されている操作の種類を表す。操作の種類には、例えば、電子文書に対する操作として閲覧、編集、及び印刷などがあり、紙文書に対す操作としてコピー（複製）及びスキャン（スキャナで読み取って得られる画像データの保存）などがある。例えば、図３の例の表のポリシーＩＤ「0001」のセキュリティポリシーが設定された保護文書を、「ソフトウエア開発部」に所属するユーザであって当該保護文書の作成者でないユーザが利用する場合、当該保護文書が作成されてから１８０日以内であれば、「電子文書の閲覧」、「電子文書の印刷」、又は「紙文書のコピー」の操作の実行が許可される。無効化フラグは、セキュリティポリシーの有効又は無効を表す。セキュリティポリシーが有効であれば、そのセキュリティポリシーが設定された保護文書について、そのセキュリティポリシーに従った利用制限が行われる。セキュリティポリシーが無効であれば、そのセキュリティポリシーが設定された保護文書について、一切の利用が禁止される。図３の例の表において、無効化フラグの値「FALSE」は、対応するセキュリティポリシーが有効であることを示す。無効化フラグの値が「TRUE」であれば、対応するセキュリティポリシーが無効であることを表す。

図２の説明に戻り、文書情報ＤＢ１０２は、保護文書に関する情報を記憶するデータベースである。図４に、文書情報ＤＢ１０２のデータ内容の一例を示す。

図４を参照すると、文書情報ＤＢ１０２には、各保護文書の文書ＩＤに関連付けて、ポリシーＩＤ、作成者ＩＤ、及び作成日時が登録される。文書ＩＤは、各保護文書に対して付与される、本システム内で一意な識別情報である。文書ＩＤとして、例えば、ＵＵＩＤ（Universal Unique Identifier）を用いる。ポリシーＩＤは、対応する保護文書に対して設定されたセキュリティポリシーのポリシーＩＤである。このポリシーＩＤは、セキュリティポリシーＤＢ１００に登録されたポリシーＩＤのいずれかである。作成者ＩＤは、対応する保護文書を作成したユーザの識別情報である。作成日時は、対応する保護文書が作成された日時である。

なお、本実施形態の例の説明では、保護文書の「作成」とは、セキュリティポリシーの設定されていない（保護されていない）電子文書又は紙文書に対して、セキュリティポリシーを設定して保護電子文書又は保護紙文書を生成することを意味する。保護文書の「作成者」は、保護されていない文書に対するセキュリティポリシーの設定を指示したユーザであり、保護文書の「作成日時」は、保護されていない文書に対してセキュリティポリシーが設定された日時である。

また、本実施形態の例では、一旦、保護文書が作成されると、保護文書に対して操作が実行される前後で文書ＩＤは変更されない。保護文書に対する操作によって、電子文書から紙文書に、あるいは、紙文書から電子文書に、その保護文書の形態が変化しても文書ＩＤは変更されない。つまり、例えば、保護電子文書が編集されて新たな内容を含む保護電子文書が生成された場合、保護電子文書が印刷されて保護紙文書が生成された場合、保護紙文書がコピーされて新たな保護紙文書が生成された場合、又は、保護紙文書がスキャンされて保護電子文書が生成された場合などにおいて、各種の操作実行の前の保護文書と、当該操作の結果として生成される保護文書と、は同一の文書ＩＤを有する。

再び図２を参照し、指示受付部１０４は、セキュリティポリシーＤＢ１００へのセキュリティポリシーの（新規）登録又はセキュリティポリシーＤＢ１００に登録済みのセキュリティポリシーの更新についての管理者などによる指示を受け付ける。指示受付部１０４は、セキュリティポリシーの登録の指示を受け付けるとセキュリティポリシー作成部１０６に渡し、セキュリティポリシーの更新の指示を受け付けるとセキュリティポリシー更新部１０８に渡す。

セキュリティポリシー作成部１０６は、セキュリティポリシーの新規作成及び新規作成したセキュリティポリシーのセキュリティポリシーＤＢ１００への登録を行う。セキュリティポリシー作成部１０６は、新規作成されるセキュリティポリシーに対してポリシーＩＤを付与し、このポリシーＩＤを含むレコードをセキュリティポリシーＤＢ１００において新規生成する。そして、指示受付部１０４を介して取得される指示に従って、セキュリティポリシーＤＢ１００において新規生成したレコードの各項目（図３参照）の値を登録する。なお、本例のセキュリティポリシー作成部１０６は、新規生成したレコードの更新日時の項目に、そのレコードを生成した日時を設定するものとする。

セキュリティポリシー更新部１０８は、セキュリティポリシーＤＢ１００に登録済みのセキュリティポリシーの更新を行う。例えば、セキュリティポリシー更新部１０８は、指示受付部１０４を介して取得される指示に従って、更新対象として指定されたポリシーＩＤのセキュリティポリシーＤＢ１００中のレコードの各項目の値を変更する。例えば、指定されたポリシーＩＤのセキュリティポリシーを無効化する指示を受けた場合、そのポリシーＩＤに関連づけられた無効化フラグを「FALSE」から「TRUE」に書き換える。なお、無効化フラグの値は、一度「TRUE」に設定されると、「FALSE」に書き換えられることはないものとする。あるいは、管理者などからの指示に従って、例えば、利用範囲、有効期間、又は許諾機能リストの値を変更してもよい。また、セキュリティポリシー更新部１０８は、更新指示に従って、指定されたポリシーＩＤのセキュリティポリシーＤＢ１００中のレコードの各項目の値を変更すると、当該レコードの更新日時の値を現在の日時に書き換える。

セキュリティポリシー一覧応答部１１０は、クライアント端末５０又は画像形成装置７０などの外部装置からの要求に応じて、セキュリティポリシーＤＢ１００に登録されたセキュリティポリシーの一覧を返す処理を行う。例えば、図３の例の表に示されるセキュリティポリシーＤＢ１００のデータ内容を含むリストを要求元の外部装置に返す。

保護文書登録部１１２は、外部装置からの要求に応じて、外部装置で作成された保護文書に関する情報を文書情報ＤＢ１０２に登録する処理を行う。保護文書登録部１１２は、例えば、保護文書の文書ＩＤ、保護文書に設定されたセキュリティポリシーのポリシーＩＤ、保護文書の作成者の作成者ＩＤ、及び保護文書の作成日時を含む登録要求を外部装置から受けて、文書情報ＤＢ１０２において新たにレコードを生成し、新規生成したレコードの各項目（図４参照）の値を、登録要求に含まれる各項目の値に設定する。

図５は、マスタ側ネットワーク１のクライアント端末５０の内部構成の概略の例を示すブロック図である。クライアント端末５０は、入力受付部５２、表示部５４、及び文書保護アプリケーション５６を備える。

入力受付部５２は、キーボードやマウスなどの入力装置（図示しない）を介してユーザにより入力された情報を受け付け、受け付けた入力情報を文書保護アプリケーション５６の制御部５６０に渡す。

表示部５４は、ユーザに対して提示される情報を表示する。

文書保護アプリケーション５６は、保護されていない電子文書に対してセキュリティポリシーを設定して保護電子文書を生成する。文書保護アプリケーション５６は、制御部５６０、ユーザ認証部５６２、文書保持部５６４、保護電子文書生成部５６６、文書ＩＤ生成部５６８、及び登録処理部５７０を備える。

制御部５６０は、入力受付部５２を介して取得される指示に応じて、文書保護アプリケーション５６の各部の処理を制御する。制御部５６０は、また、表示部５４に表示させる情報の内容を制御する。

ユーザ認証部５６２は、入力受付部５２及び制御部５６０を介して取得したユーザＩＤ及び認証情報を用いてユーザ認証サーバ３０に対してユーザ認証の要求を行い、この要求に応じてユーザ認証サーバから返される認証結果を制御部５６０に渡す。

文書保持部５６４は、セキュリティポリシーを設定する対象である保護されていない電子文書を保持しておく一時記憶手段である。

保護電子文書生成部５６６は、文書保持部５６４に保持された電子文書に対して、制御部５６０から指示されたセキュリティポリシーを設定した保護電子文書を生成する。

保護電子文書生成部５６６が生成する保護電子文書のデータ構造の一例を図６に示す。図６を参照し、保護電子文書５００は、ヘッダ情報５０２、文書情報５０４、ポリシー情報５０６、及び文書本体５０８を含む。ヘッダ情報５０２は、当該文書が保護電子文書であることを表す情報である。文書情報５０４は、文書ＩＤ生成部５６８により生成された文書ＩＤ、保護電子文書５００の作成を指示したユーザのＩＤ（作成者ＩＤ）、及び保護電子文書５００の作成日時を含む。ポリシー情報５０６は、制御部５６０から指示されたセキュリティポリシーの内容を含む。例えば、図３の例の表の１つのポリシーＩＤに対応するレコードの表す内容がポリシー情報５０６として保護電子文書５００に含まれる。文書本体５０８は、文書保持部５６４に保持された電子文書の暗号化データである。本実施形態の例では、保護電子文書５００の文書本体５０８は、本システムで管理される保護電子文書５００のすべてについて共通な暗号鍵によって暗号化される。他の例では、保護電子文書５００ごとに異なる暗号鍵を用いて文書本体５０８を暗号化してもよい。また、保護電子文書５００の改ざんを防ぐため、保護電子文書５００の全体に電子署名を付与したり、あるいは、メッセージ認証の技術で用いられるＨＭＡＣ（Keyed-Hashing for Message Authentication Code）などの値を付与したりしても良い。

再び図５を参照し、文書ＩＤ生成部５６８は、保護電子文書生成部５６６からの依頼に応じて、新たな文書ＩＤを生成し、生成した文書ＩＤを保護電子文書生成部５６６に渡す。

登録処理部５７０は、保護電子文書生成部５６６が生成した保護電子文書５００をマスタセキュリティポリシーサーバ１０に登録するための処理を行う。登録処理部５７０は、例えば、保護電子文書５００に含まれる文書情報５０４と保護電子文書５００に含まれるポリシー情報５０６中のポリシーＩＤとを含む登録要求をマスタセキュリティポリシーサーバ１０に対して行う。

次に、図７を参照し、マスタ側ネットワーク１の画像形成装置７０について説明する。図７に、画像形成装置７０の概略構成の例を示す。画像形成装置７０は、保護されていない紙文書をスキャナ読み取りしてセキュリティポリシーを設定し、保護紙文書を生成する。

図７を参照し、画像形成装置７０は、画像データ受付部７１、入力受付部７２、表示部７４、印刷部７６、及び文書保護機能７８を備える。

画像データ受付部７１は、画像形成装置７０で処理される画像データの入力を受け付ける。画像データ受付部７１は、例えば、スキャナ読み取りされた紙文書の画像データの入力を受け付けて文書保護機能７８の制御部に渡す。

入力受付部７２は、図示しない操作パネルの入力ボタンなどを介してユーザから入力される情報を受け付ける。入力受付部７２は、受け付けた入力情報を文書保護機能７８の制御部に渡す。

表示部７４は、ユーザに対して提示される情報を表示する。表示部７４は、例えば、液晶ディスプレイなどの表示装置により実現される。

印刷部７６は、画像データを紙媒体に印刷する。印刷部７６は、一般的なプリンタの印刷機能を実現する装置であってよい。

文書保護機能７８は、保護されていない紙文書に対してセキュリティポリシーを設定して保護紙文書を生成する。文書保護機能７８は、制御部７８０、ユーザ認証部７８２、画像保持部７８４、保護紙文書生成部７８６、文書ＩＤ生成部７８８、及び登録処理部７９０を備える。

制御部７８０は、文書保護機能７８の各部の処理を制御する。制御部７８０は、また、表示部７４に表示させる情報の内容を制御する。

ユーザ認証部７８２は、入力受付部７２及び制御部７８０を介して取得したユーザＩＤ及び認証情報を用いてユーザ認証サーバ３０に対してユーザ認証の要求を行い、この要求に応じてユーザ認証サーバ３０から返される認証結果を制御部７８０に渡す。

画像保持部７８４は、セキュリティポリシーを設定する対象の保護されていない紙文書をスキャナ（図示しない）で読み取った画像データを保持しておく一時記憶手段である。

保護紙文書生成部７８６は、画像保持部７８４に保持された画像データについて、文書ＩＤ生成部７８８に対して文書ＩＤの生成を依頼し、生成された文書ＩＤを受け取る。さらに、当該画像データについて、制御部７８０から指示されたセキュリティポリシーを設定し、印刷部７６に対して保護紙文書の印刷を指示することで保護紙文書７００を生成する。

保護紙文書生成部７８６が生成する保護紙文書７００は、例えば図８に示すように、文書情報を表す機械可読コード７０２と、ポリシー情報を表す機械可読コード７０４と、画像保持部７８４に保持された画像データである文書本体７０６と、が印刷された紙文書であってよい。文書情報及びポリシー情報の内容は、保護電子文書に関して上記で説明した文書情報及びポリシー情報と同様である。機械可読コードは、例えば、バーコードやＱＲコードなど、情報処理装置により読み取り可能な符号である。保護紙文書の態様は、図８の例に限らず、例えば、文書本体の背景として、文書情報及びポリシー情報を透かし様に埋め込んで印刷したものであってもよい。保護紙文書は、文書情報及びポリシー情報を、情報処理装置により読み取り可能な方法で用紙に印刷したものであれば、その具体的な態様は上記の例に限られない。

再び図７を参照し、文書ＩＤ生成部７８８は、保護紙文書生成部７８６からの依頼に応じて、新たな文書ＩＤを生成し、生成した文書ＩＤを保護紙文書生成部７８６に渡す。

登録処理部７９０は、保護紙文書生成部７８６が生成した保護紙文書をマスタセキュリティポリシーサーバ１０に登録するための処理を行う。登録処理部７９０は、例えば、保護紙文書の文書情報と当該保護紙文書のポリシー情報のポリシーＩＤとを含む登録要求をマスタセキュリティポリシーサーバ１０に対して行う。

なお、図７には、画像形成装置７０の保護紙文書の生成に関連する機能を示すが、画像形成装置７０は、保護紙文書の生成に関連しない他の図示しない機能を備えていてよい。例えば、画像形成装置７０は、保護されていない紙文書について、保護紙文書を生成することなくコピー又はスキャンする機能を備えていてよい。また例えば、クライアント端末などからの印刷指示を受けて、保護されていない電子文書を印刷する機能を備えていてもよい。

以上、マスタ側ネットワーク１が備える各装置について説明した。以下、スレーブ側ネットワーク２が備える各装置について説明する。

スレーブ側ネットワーク２が備えるユーザ認証サーバ４０は、マスタ側ネットワーク１のユーザ認証サーバ３０と同様のサーバであってよい。マスタ側ネットワーク１及びスレーブ側ネットワーク２それぞれのユーザ認証サーバ３０，４０には、保護文書の利用を制御する対象のユーザに関する情報をそれぞれ登録しておく。

図９は、スレーブセキュリティポリシーサーバ２０の内部構成の概略の例を示すブロック図である。スレーブセキュリティポリシーサーバ２０は、セキュリティポリシーＤＢ２００、文書情報ＤＢ２０２、セキュリティポリシー検索部２０４、保護文書登録部２０６、指示受付部２０８、セキュリティポリシー更新部２１０、セキュリティポリシー登録部２１２を備える。

セキュリティポリシーＤＢ２００は、セキュリティポリシーに関する情報を記憶するデータベースである。セキュリティポリシーＤＢ２００のデータ構造は、マスタセキュリティポリシーサーバ１０のセキュリティポリシーＤＢ１００のデータ構造と同様である。

文書情報ＤＢ２０２は、保護文書に関する情報を記憶するデータベースである。文書情報ＤＢ２０２のデータ構造は、マスタセキュリティポリシーサーバ１０の文書情報ＤＢ１０２のデータ構造と同様である。

セキュリティポリシー検索部２０４は、クライアント端末６０及び画像形成装置８０などの外部装置からのポリシー検索要求に応じて、保護文書の利用を望むユーザに対して当該保護文書に設定されたセキュリティポリシーにより許可される操作の種類を検索する。また、セキュリティポリシー検索部２０４は、利用される保護文書が文書情報ＤＢ２０２に登録されていなければ、保護文書登録部２０６に指示して当該保護文書の文書情報を登録させる。セキュリティポリシー検索部２０４は、さらに、利用される保護文書中のポリシー情報が表すセキュリティポリシーとセキュリティポリシーＤＢ２００に登録されたセキュリティポリシーとの比較の結果に応じて、セキュリティポリシー登録部２１２又はセキュリティポリシー更新部２１０に対して、登録処理又は更新処理の指示を出す。

保護文書登録部２０６は、セキュリティポリシー検索部２０４からの指示に従って、文書情報ＤＢ２０２に未登録の保護文書の文書情報を文書情報ＤＢ２０２に登録する処理を行う。

指示受付部２０８は、セキュリティポリシーＤＢ２００に登録されたセキュリティポリシーの更新についての管理者などによる指示を受け付ける。なお、本実施形態の例のスレーブセキュリティポリシーサーバ２０では、管理者の指示に従ってセキュリティポリシーＤＢ２００にセキュリティポリシーを新規登録することはない。

セキュリティポリシー更新部２１０は、セキュリティポリシーＤＢ２００に登録済みのセキュリティポリシーの更新を行う。セキュリティポリシー更新部２１０は、例えば、指示受付部２０８を介して取得した指示に従って、マスタセキュリティポリシーサーバ１０のセキュリティポリシー更新部１０８に関して上述した処理と同様に、セキュリティポリシーＤＢ２００中のセキュリティポリシーを更新する。スレーブセキュリティポリシーサーバ２０のセキュリティポリシー更新部２１０は、さらに、セキュリティポリシー検索部２０４からの指示に従ってセキュリティポリシーの更新を行うこともある。

セキュリティポリシー登録部２１２は、セキュリティポリシー検索部２０４からの指示に従って、セキュリティポリシーＤＢ２００に未登録のセキュリティポリシーを登録する処理を行う。

図１０を参照し、スレーブ側ネットワーク２のクライアント端末６０について説明する。図１０は、クライアント端末６０の構成の概略の例を示すブロック図である。図１０に例示するクライアント端末６０は、入力受付部６２、表示部６４、及び保護文書利用アプリケーション６６を備える。

入力受付部６２及び表示部６４は、それぞれ、マスタ側ネットワーク１のクライアント端末５０に関して上記で説明した入力受付部５２及び表示部５４と同様のものであってよい。

保護文書利用アプリケーション６６は、保護電子文書に対する各種の操作を行う。保護文書利用アプリケーション６６は、制御部６６０、ユーザ認証部６６２、文書保持部６６４、文書情報・ポリシー情報保持部６６６、文書操作部６６８、及び印刷要求部６７０を備える。

制御部６６０は、保護文書利用アプリケーション６６の各部の処理を制御する。制御部６６０は、また、表示部６４に表示させる情報の内容を制御する。制御部６６０は、例えば、入力受付部６２を介して保護電子文書に対する操作の指示をユーザから受けた場合に、スレーブセキュリティポリシーサーバ２０に対してポリシー検索要求を行い、その検索結果に応じて、当該保護電子文書に対する操作の実行の可否を決定する。

ユーザ認証部６６２は、入力受付部６２及び制御部６６０を介して取得したユーザＩＤ及び認証情報を用いてユーザ認証サーバに対してユーザ認証の要求を行い、この要求に応じてユーザ認証サーバから返される認証結果を制御部６６０に渡す。

文書保持部６６４は、操作の対象として指定された保護電子文書に含まれる文書本体を保持しておく一時記憶手段である。

文書情報・ポリシー情報保持部６６６は、操作の対象として指定された保護電子文書に含まれる文書情報及びポリシー情報を保持しておく一時記憶手段である。

文書操作部６６８は、保護電子文書に対する各種の操作を実行する。文書操作部６６８は、制御部６６０が保護電子文書に対する操作の実行を許可した場合にのみ当該操作を実行する。

印刷要求部６７０は、文書操作部６６８が保護電子文書の印刷を実行する場合に、画像形成装置に対して印刷要求を出す。

図１１に、スレーブ側ネットワーク２の画像形成装置８０の構成の概略の例を示す。図１１に例示する画像形成装置８０は、画像データ受付部８１、入力受付部８２、表示部８４、印刷部８６、及び保護文書利用機能８８を備える。

画像データ受付部８１、入力受付部８２、表示部８４、及び印刷部８６は、それぞれ、マスタ側ネットワーク１の画像形成装置７０に関して上記で説明した画像データ受付部７１、入力受付部７２、表示部７４、及び印刷部７６と同様のものであってよい。

保護文書利用機能８８は、例えば、保護電子文書の印刷、保護紙文書のスキャン、及び保護紙文書のコピーなど、保護文書に対する操作を行う。保護文書利用機能８８は、制御部８８０、ユーザ認証部８８２、文書情報・ポリシー情報デコード部８８４、画像保持部８８６、文書情報・ポリシー情報保持部８８８、保護電子文書生成部８９０、及び保護紙文書生成部８９２を備える。

制御部８８０は、保護文書利用機能８８の各部の処理を制御する。制御部８８０は、また、表示部８４に表示させる情報の内容を制御する。制御部８８０は、例えば、処理対象の保護文書についてスレーブセキュリティポリシーサーバ２０に対してポリシー検索要求を行い、その検索結果に応じて、当該保護文書に対する操作の実行の可否を決定する。

ユーザ認証部８８２は、入力受付部８２及び制御部８８０を介して取得したユーザＩＤ及び認証情報を用いてユーザ認証サーバ４０に対してユーザ認証の要求を行い、この要求に応じてユーザ認証サーバ４０から返される認証結果を制御部８８０に渡す。

文書情報・ポリシー情報デコード部８８４は、保護紙文書をスキャナ（図示しない）で読み取って得られる画像データに含まれる文書情報及びポリシー情報を表す符号を処理して、文書情報及びポリシー情報の内容を取得する。

画像保持部８８６は、保護文書中の文書本体の画像データを保持しておく一時記憶手段である。

文書情報・ポリシー情報保持部８８８は、保護文書中の文書情報及びポリシー情報を保持しておく一時記憶手段である。

保護電子文書生成部８９０は、スキャナで読み取られた保護紙文書に対応する保護電子文書を生成する。

保護紙文書生成部８９２は、保護紙文書をコピーした結果の保護紙文書、又は、保護電信文書を印刷した結果の保護紙文書を生成する処理を行う。

以下、文書管理システムの動作について説明する。

図１２は、マスタ側ネットワーク１のクライアント端末５０において実行される保護電子文書生成処理の手順の例を示すフローチャートである。クライアント端末５０が備える文書保護アプリケーション５６の制御部５６０は、例えば、保護されていない電子文書を指定した保護電子文書作成指示を、入力受付部５２を介してユーザから受けた場合に、図１２に例示する手順の処理を開始する。

まず、ユーザ認証処理が行われる（ステップＳ１０）。例えば、制御部５６０は、ユーザＩＤ及びパスワードの入力を促す情報を表示部に表示させ、ユーザが入力したユーザＩＤ及びパスワードを、入力受付部５２を介して取得し、ユーザ認証部５６２にユーザ認証処理を実行させる。ユーザ認証部５６２は、入力受付部５２及び制御部５６０を介して取得したユーザＩＤ及びパスワードを含む認証要求をユーザ認証サーバ３０に対して行い、ユーザ認証サーバ３０からの認証結果を制御部５６０に渡す。

ユーザ認証に失敗すれば（ステップＳ１２でＮＯ）、以降の処理を行うことなく図１２の手順の処理を終了する。ユーザ認証に成功すると（ステップＳ１２でＹＥＳ）、制御部５６０は、保護対象の電子文書を取得する（ステップＳ１４）。例えば、保護電子文書作成指示で指定された電子文書を図示しない記憶装置から取得する。制御部５６０は、取得した保護対象の電子文書を文書保持部５６４に記憶させる。

次に、制御部５６０は、マスタセキュリティポリシーサーバ１０から設定可能なセキュリティポリシーの一覧を取得し、取得した一覧を表示部５４に表示させることでユーザに提示する（ステップＳ１６）。ステップＳ１６では、制御部５６０は、例えば、マスタセキュリティポリシーサーバ１０に対してセキュリティポリシーの一覧を要求する。この要求に応じて、マスタセキュリティポリシーサーバ１０のセキュリティポリシー一覧応答部１１０は、セキュリティポリシーＤＢ１００に登録されたセキュリティポリシーのうち、有効であるもの（図３の例の表の無効化フラグが「FALSE」であるもの）の一覧をクライアント端末５０に返す。ステップＳ１６で、制御部５６０は、保護電子文書作成指示を行ったユーザのユーザＩＤとともにマスタセキュリティポリシーサーバ１０に対する要求を行ってもよい。この例では、マスタセキュリティポリシーサーバ１０のセキュリティポリシー一覧応答部１１０は、当該ユーザＩＤに応じて応答の内容を変更する。例えば、保護文書の作成を許可されたユーザのリストをマスタセキュリティポリシーサーバ１０の記憶装置（図示しない）に予め記憶しておき、クライアント端末５０から受け取ったユーザＩＤが当該リストに含まれている場合にのみセキュリティポリシーの一覧を返すものとしてよい。あるいは、例えば、セキュリティポリシーＤＢ１００において、各セキュリティポリシーについて、当該セキュリティポリシーを設定した保護文書の作成が許可されているユーザのリストを記憶しておき、クライアント端末５０から受け取ったユーザＩＤのユーザが設定可能なセキュリティポリシーの一覧を返してもよい。

マスタセキュリティポリシーサーバ１０から取得されて表示部５４に表示されたセキュリティポリシーの一覧から、ユーザは、保護対象の電子文書に設定するセキュリティポリシーを選択する。制御部５６０は、入力受付部５２を介して、ユーザによるセキュリティポリシーの選択指示を取得する（ステップＳ１８）。

制御部５６０は、保護電子文書生成部５６６に対して、ユーザの選択指示で指定されたセキュリティポリシーを渡すとともに、保護電子文書の生成を指示する。この指示を受けた保護電子文書生成部５６６は、文書ＩＤ生成部５６８に対し、新規な文書ＩＤの生成を依頼する。この依頼に応じて文書ＩＤ生成部５６８は文書ＩＤを生成し（ステップＳ２０）、生成した文書ＩＤを保護電子文書生成部５６６に渡す。

そして、保護電子文書生成部５６６は、文書ＩＤ生成部５６８から取得した文書ＩＤ、制御部５６０から受け取ったセキュリティポリシーのポリシーＩＤ、作成指示を行ったユーザのユーザＩＤ（作成者ＩＤ）、及び現在時刻（作成日時）を登録処理部５７０に渡す。登録処理部５７０は、保護電子文書生成部５６６から受け取った情報をマスタセキュリティポリシーサーバ１０に対して送信するとともに、保護文書の登録要求を行う（ステップＳ２２）。この登録要求に応じて、マスタセキュリティポリシーサーバ１０の保護文書登録部１１２は、文書情報ＤＢ１０２において、当該登録要求に含まれる情報を各項目の値として有するレコードを新規登録する。

次に、保護電子文書生成部５６６は、予め定められた暗号鍵を用いて、文書保持部５６４に保持された保護対象の電子文書を暗号化する（ステップＳ２４）。そして、暗号化された電子文書を文書本体とし、文書情報（文書ＩＤ、作成者ＩＤ、及び作成日時）及び制御部５６０から取得したセキュリティポリシーの内容であるポリシー情報を含む保護電子文書を生成する（ステップＳ２６）。例えば、図４の例の表の２行目のレコードに対応する保護電子文書が生成された場合、その保護電子文書は、文書情報として、文書ＩＤ「40ffaaa4-0fb6-4634-85bf-bba45bc941b5」、作成者ＩＤ「fx12345」、及び作成日時「2007年1月20日10:00」を含み、ポリシー情報として、図３の例の表のポリシーＩＤ「0001」のレコードが表す情報を含む。制御部５６０は、保護電子文書生成部５６６が生成した保護電子文書を、例えば、図示しない記憶装置に記憶させる。ステップＳ２６が終了すると図１２の例の手順の処理は終了する。

次に図１３を参照し、マスタ側ネットワーク１の画像形成装置７０において実行される保護紙文書生成処理の手順の例を説明する。図１３において、図１２の例のフローチャートと同様の処理ステップには同様の符号を付す。画像形成装置７０が備える文書保護機能７８の制御部７８０は、例えば、画像形成装置７０の自動原稿送り装置（図示しない）又はスキャナの原稿読み取り用のプラテン（図示しない）に保護されていない紙文書が配置された状態で、保護紙文書作成指示を、入力受付部７２を介してユーザから受けた場合に、図１３に例示する手順の処理を開始する。

図１３を参照し、ユーザ認証処理（ステップＳ１０）及びユーザ認証の成否の判定（ステップＳ１２）は、図１２における同一符号の処理ステップと同様に行われる。

ユーザ認証が失敗した場合（ステップＳ１２でＮＯ）、以降の処理を行わずに処理を終了する。

ユーザ認証が成功した場合（ステップＳ１２でＹＥＳ）、制御部７８０は、画像データ受付部７１に対して、保護されていない紙文書のスキャナによる読み取りを行うよう指示し、画像データ受付部７１から当該紙文書を読み取った画像データを取得する（ステップＳ３０）。制御部７８０は、取得した画像データを画像保持部７８４に記憶させる。

そして、保護紙文書生成部７８６、文書ＩＤ生成部７８８、及び登録処理部７９０は、図１２のステップＳ１６〜ステップＳ２２について説明した処理と同様に、設定可能ポリシーの一覧提示（ステップＳ１６）、ポリシー指定受付（ステップＳ１８）、文書ＩＤ生成（ステップＳ２０）、及び保護文書登録要求（ステップＳ２２）を行う。その後、保護紙文書生成部７８６は、文書情報及びポリシー情報を機械可読コードに変換する（ステップＳ３２）。

その後、保護紙文書生成部７８６は、印刷部７６に対して、文書情報及びポリシー情報を表す機械可読コードと画像保持部７８４に保持された画像データとを用紙に印刷することを指示し、この指示に従って印刷部７６が印刷を行うことで、保護紙文書が生成される（ステップＳ３４）。ステップＳ３４が終了すると、図１３の例の手順の処理は終了する。

図１２の例の手順の処理により生成された保護電子文書及び図１３の例の手順の処理で生成された保護紙文書は、それぞれ、スレーブ側ネットワーク２のクライアント端末６０及び画像形成装置８０で利用される。保護文書の利用は、クライアント端末６０又は画像形成装置８０からの要求に応じて当該保護文書に関してスレーブセキュリティポリシーサーバ２０が行うポリシー検索処理の結果に応じて制限される。

図１４及び図１５を参照し、スレーブ側ネットワーク２のスレーブセキュリティポリシーサーバ２０が実行するポリシー検索処理の手順の例を説明する。ポリシー検索処理は、例えば、クライアント端末６０又は画像形成装置８０で利用される保護文書に設定されたセキュリティポリシーに関する情報について問い合わせる要求（ポリシー検索要求）を、クライアント端末６０又は画像形成装置８０からスレーブセキュリティポリシーサーバ２０が受けた場合に行われる。以下の説明において、ポリシー検索要求は、保護文書の利用を望むユーザのユーザＩＤ、当該保護文書中の文書情報、及び当該保護文書中のポリシー情報を含むものとする。

ポリシー検索要求を受けたスレーブセキュリティポリシーサーバ２０のセキュリティポリシー検索部２０４は、図１４に例示する手順の処理を開始する。

図１４を参照し、まず、セキュリティポリシー検索部２０４は、ポリシー検索要求から、ユーザＩＤ、文書情報、及びポリシー情報を抽出する（ステップＳ４０）。そして、抽出した文書情報に含まれる文書ＩＤのレコードを文書情報ＤＢ２０２から検索する（ステップＳ４２）。この検索に成功すると（ステップＳ４４でＹＥＳ）、セキュリティポリシー検索部２０４は、文書情報ＤＢ２０２からの検索結果のレコード中のポリシーＩＤを対象ポリシーＩＤとして設定する（ステップＳ４６）。

ステップＳ４２の検索に失敗すると（ステップＳ４４でＮＯ）、セキュリティポリシー検索部２０４は、ポリシー検索要求から抽出した文書情報（文書ＩＤ、作成者ＩＤ、作成日時）とポリシー検索要求から抽出したポリシー情報中のポリシーＩＤとを保護文書登録部２０６に渡すとともに、これらの情報を含むレコードを文書情報ＤＢ２０２に登録することを指示する。この指示を受けた保護文書登録部２０６は、文書情報ＤＢ２０２において新規にレコードを生成し、セキュリティポリシー検索部２０４から受け取った文書情報及びポリシーＩＤを、新規生成したレコードの各項目（図４参照）の値として設定する（ステップＳ４８）。その後、セキュリティポリシー検索部２０４は、ポリシー検索要求から抽出したポリシー情報に含まれるポリシーＩＤを対象ポリシーＩＤとして設定する（ステップＳ５０）。

ステップＳ４６又はステップＳ５０で対象ポリシーＩＤが設定されると、セキュリティポリシー検索部２０４は、対象ポリシーＩＤのレコードをセキュリティポリシーＤＢ２００から検索する（ステップＳ５２）。ステップＳ５２の後、処理は図１５のステップＳ５４に進む。

図１５を参照し、図１４のステップＳ５２の検索に成功すると（ステップＳ５４でＹＥＳ）、セキュリティポリシーＤＢ２００からの検索結果のレコードの無効化フラグの値を判定する（ステップＳ５６）。無効化フラグの値が「TRUE」に設定されていれば（ステップＳ５６でＮＯ）、ポリシー検索結果を「NULL（なし）」に設定する（ステップＳ６８）。無効化フラグの値が「FALSE」に設定されていれば（ステップＳ５６でＹＥＳ）、セキュリティポリシーＤＢ２００において対象ポリシーＩＤのレコードの内容を更新するか否かを決定する（ステップＳ５８）。この決定は、例えば、セキュリティポリシーＤＢ２００からの検索結果のレコードの更新日時と、ポリシー検索要求から抽出したポリシー情報に含まれる更新日時と、を比較することで行う。ポリシー検索要求から抽出したポリシー情報の更新日時の方が新しい場合は、セキュリティポリシーＤＢ２００の該当レコードを更新することを決定し、そうでない場合は更新しないことを決定する。

対象ポリシーＩＤのレコードの更新を行わないことを決定すると（ステップＳ５８でＮＯ）、セキュリティポリシー検索部２０４は、セキュリティポリシーＤＢ２００からの検索結果のレコードの内容を対象ポリシー情報として設定する（ステップＳ６０）。

対象ポリシーＩＤのレコードの更新を行うことを決定すると（ステップＳ５８でＹＥＳ）、セキュリティポリシー検索部２０４は、ポリシー検索要求から抽出したポリシー情報をセキュリティポリシー更新部２１０に渡すとともに、該当するレコードの更新を指示する。この指示を受けたセキュリティポリシー更新部２１０は、セキュリティポリシーＤＢ２００において、対象ポリシーＩＤのレコードの各項目の値を、セキュリティポリシー検索部２０４から取得したポリシー情報（つまり、ポリシー検索要求から抽出されたポリシー情報）に含まれる値に書き換えることで、該当するレコードの更新を行う（ステップＳ７０）。その後、セキュリティポリシー検索部２０４は、ポリシー検索要求から抽出したポリシー情報を対象ポリシー情報として設定する（ステップＳ７４）。

以上、セキュリティポリシーＤＢ２００からの対象ポリシーＩＤのレコードの検索（図１４のステップＳ５２）に成功した場合（ステップＳ５４でＹＥＳ）の処理手順を説明した。対象ポリシーＩＤのレコードの検索に失敗した場合は（ステップＳ５４でＮＯ）、セキュリティポリシー検索部２０４は、ポリシー検索要求から抽出したポリシー情報をセキュリティポリシー登録部２１２に渡すとともに、このポリシー情報に対応するレコードをセキュリティポリシーＤＢ２００に登録することを指示する。この指示を受けたセキュリティポリシー登録部２１２は、セキュリティポリシーＤＢ２００において新規レコードを生成し、新規レコードの各項目の値を、セキュリティポリシー検索部２０４から受け取ったポリシー情報に含まれる値に設定する（ステップＳ７２）。その後、セキュリティポリシー検索部２０４は、ポリシー検索要求から抽出したポリシー情報を対象ポリシー情報として設定する（ステップＳ７４）。

ステップＳ６０又はステップＳ７４で対象ポリシー情報が設定されると、セキュリティポリシー検索部２０４は、ポリシー検索要求から抽出したユーザＩＤ（以下、要求者ＩＤと呼ぶ）のユーザに対する許諾機能リストを生成する（ステップＳ６２）。

ステップＳ６２で、セキュリティポリシー検索部２０４は、例えば、対象ポリシー情報に含まれる利用範囲のうち、要求者ＩＤに該当するものを検索する。例えば、対象ポリシー情報が図３の例の表のポリシーＩＤ「0001」のセキュリティポリシーである場合、対象ポリシー情報には、利用範囲として、「所属組織名：ソフトウエア開発部」、「開発委託先：UserA，UserB」、及び「作成者」が設定されている。この例において、要求者ＩＤのユーザが「ソフトウエア開発部」に所属し、かつ、要求者ＩＤが作成者ＩＤと異なる場合、利用範囲「所属組織名：ソフトウエア開発部」が検索される。このとき、要求者ＩＤのユーザの所属グループに関する情報は、例えば、ユーザ認証サーバに問い合わせて取得すればよい。対象ポリシー情報の利用範囲から要求者ＩＤに該当するものを検索すると、検索された利用範囲に関連づけられた有効期間を確認し、現在時刻が当該有効期間内であるか否かを判定する。例えば、ポリシー検索要求から抽出した文書情報に含まれる作成日時から現在時刻までの経過時間が有効期間として設定された期間内であるか否かを判定すればよい。有効期間内であれば、検索された利用範囲に関連づけられた許諾機能リストを、要求者ＩＤのユーザに対する許諾機能リストとする。ポリシーＩＤ「0001」である対象ポリシー情報から利用範囲「所属組織名：ソフトウエア開発部」が検索される上述の例では、ポリシー検索要求中の文書情報の作成日時から、対応する有効期間「１８０日間」内であれば、当該利用範囲に対応する許諾機能リスト（「電子文書の閲覧」、「電子文書の印刷」、及び「紙文書のコピー」）を要求者ＩＤに対する許諾機能リストとする。

ステップＳ６２で、要求者ＩＤに該当する利用範囲が対象ポリシー情報から検索されなかった場合、又は、検索された利用範囲の有効期間が経過している場合は、要求者ＩＤに対する許諾機能リストをNULLに設定する。

ステップＳ６２で、要求者ＩＤに該当する利用範囲が対象ポリシー情報に複数含まれる場合は、例えば、有効期間内である利用範囲のそれぞれに関連づけられた許諾機能リストに含まれる操作の種類のすべてを含むリストを要求者ＩＤに対する許諾機能リストとする。例えば、対象ポリシー情報のポリシーＩＤが「0001」であり、要求者ＩＤが作成者ＩＤと同一であり、かつ、要求者ＩＤのユーザが「ソフトウエア開発部」に所属している場合、該当する利用範囲「所属組織名：ソフトウエア開発部」及び「作成者」のそれぞれに関連づけられた許諾機能リストに含まれる操作の種類のすべて（電子文書の閲覧・編集・印刷、紙文書のコピー・スキャン）を含むリストを要求者ＩＤに対する許諾機能リストとする。他の例では、該当する複数の利用範囲に関連づけられた許諾機能リストについて、ＡＮＤ条件で統合したリストを要求者ＩＤに対する許諾機能リストとしてもよい。例えば、ポリシーＩＤ「0001」の対象ポリシー情報で要求者ＩＤに該当する利用範囲が「所属組織名：ソフトウエア開発部」及び「作成者」の２つである上述の例の場合、２つの利用範囲のそれぞれに関連づけられた許諾機能リストの両方に含まれる操作の種類（「電子文書の閲覧」、「電子文書の印刷」、及び「紙文書のコピー」）を要求者ＩＤに対する許諾機能リストとしてもよい。

セキュリティポリシー検索部２０４は、ステップＳ６２で生成した許諾機能リストをポリシー検索結果として設定する（ステップＳ６４）。

ステップＳ６４又はステップＳ６８でポリシー検索結果を設定すると、セキュリティポリシー検索部２０４は、ポリシー検索要求の要求元のクライアント端末６０又は画像形成装置８０に対して、ポリシー検索結果を返す（ステップＳ６６）。ステップＳ６６の後、ポリシー検索処理は終了する。

図１６は、スレーブ側ネットワーク２のクライアント端末６０において、保護電子文書に対する操作を実行する場合に行われる処理の手順の例を示すフローチャートである。クライアント端末６０の保護文書利用アプリケーション６６の制御部６６０は、例えば、入力受付部６２を介して、保護電子文書を指定した操作指示をユーザから受けた場合に、図１６に例示する手順の処理を開始する。

図１６を参照し、ユーザ認証処理（ステップＳ１０）及びユーザ認証の成否の判定（ステップＳ１２）は、図１２及び図１３のステップＳ１０，Ｓ１２と同様に行われる。

ユーザ認証が失敗した場合（ステップＳ１２でＮＯ）、エラー処理（ステップＳ９２）を行って処理を終了する。エラー処理では、制御部６６０は、例えば、ユーザ認証に失敗した旨を表示部６４に表示させる。

ユーザ認証が成功した場合（ステップＳ１２でＹＥＳ）、制御部６６０は、操作対象として指定された保護電子文書を取得する（ステップＳ８０）。そして、制御部６６０は、保護電子文書から文書情報及びポリシー情報を抽出し、抽出した文書情報及びポリシー情報と、操作指示を行ったユーザのユーザＩＤと、を含むポリシー検索要求をスレーブセキュリティポリシーサーバ２０に対して行う（ステップＳ８２）。これに応じて、スレーブセキュリティポリシーサーバ２０では、図１４及び図１５を参照して説明したポリシー検索処理が行われる。そして、制御部６６０は、スレーブセキュリティポリシーサーバ２０から返されるポリシー検索結果を取得し（ステップＳ８４）、ユーザからの操作指示で指定された操作の種類がポリシー検索結果に含まれるか否かを判定することで、その操作の実行の可否を決定する（ステップＳ８６）。

指定された操作の種類がポリシー検索結果に含まれていれば、操作の実行を許可することを決定し（ステップＳ８６でＹＥＳ）、制御部６６０は、予め定められた復号鍵を用いて、保護電子文書に含まれる暗号化された文書本体を復号し、その結果のデータを文書保持部６６４に記憶させる（ステップＳ８８）。また、制御部６６０は、保護電子文書に含まれる文書情報及びポリシー情報を文書情報・ポリシー情報保持部６６６に記憶させる。そして、制御部６６０は、文書操作部６６８に対して指定された操作の実行を指示し、文書操作部６６８は、当該操作を実行する（ステップＳ９０）。

ステップＳ９０で実行される操作の例を以下で説明する。例えば、指定された操作が閲覧であれば、文書操作部６６８は、文書保持部６６８に保持された復号済みの文書本体を表示部６４に表示させる。編集操作の実行を指示された場合、文書操作部６６８は、文書保持部６６８に保持された文書本体を表示部６４に表示させるとともに、入力受付部６２及び制御部６６０を介してユーザによる編集を受け付けて、文書保持部６６４に保持された文書本体において受け付けた編集内容を反映させる。さらに、編集の後に入力受付部６２及び制御部６６０を介してユーザから保護電子文書の「保存」を指示されると、文書操作部６６８は、文書保持部６６４内の文書本体のデータを予め定められた暗号鍵で暗号化する。そして、その暗号化後のデータを文書本体として含み、かつ、文書情報・ポリシー情報保持部６６６に保持された文書情報及びポリシー情報を含む保護電子文書を生成する。

また例えば、指示された操作の種類が印刷である場合、ステップＳ９０で、文書操作部６６８は、文書保持部６６４に保持された文書本体と、文書情報・ポリシー情報保持部６６６に保持された文書情報及びポリシー情報と、を印刷要求部６７０に渡し、印刷要求部６７０は、渡された文書本体、文書情報、及びポリシー情報を含む印刷要求を画像形成装置８０に対して行う。この印刷要求を受けた画像形成装置８０において、保護文書利用機能８８の制御部８８０は、印刷要求中の文書情報及びポリシー情報を文書情報・ポリシー情報デコード部８８４により機械可読コードに変換し、かつ、印刷要求中の文書本体の画像データを画像保持部８８６に渡した上で、保護紙文書生成部８９２に保護紙文書の生成を指示する。保護紙文書生成部８９２は、印刷部８６に対し、画像保持部８８６に保持された画像データと、機械可読コードに変換された文書情報及びポリシー情報と、を用紙に印刷する指示を出し、この指示に従って印刷部８６は印刷を実行する。これにより、クライアント端末６０からの印刷要求に従って保護電子文書を印刷した結果の保護紙文書が生成される。

図１６の例のフローチャートの説明に戻り、ステップＳ８６で、指定された操作の種類がポリシー検索結果に含まれていなければ、制御部６６０は、操作の実行を許可しないことを決定し（ステップＳ８６でＮＯ）、エラー処理（ステップＳ９２）を行って処理を終了する。ここでのエラー処理では、例えば、指定された操作の実行が許可されていない旨を表す情報が表示部６４に表示される。

以上、図１６を参照して説明した保護電子文書の利用に関する処理では、ユーザが保護電子文書の印刷操作を指示した場合に、クライアント端末６０において印刷操作の実行の可否を決定する。他の例では、保護電子文書の印刷操作が指示された場合に、クライアント端末６０ではなく画像形成装置８０で印刷操作の実行の可否を決定してもよい。本例の場合、クライアント端末６０が備える保護文書利用アプリケーション６６の制御部６６０は、例えば、図１６の例の手順の処理において、操作対象の保護電子文書の取得（ステップＳ８０）の後に、指示された操作の種別が印刷であるか否かを判定し、印刷であれば、印刷要求部６７０を制御して、操作対象（印刷対象）の保護電子文書と印刷指示を行ったユーザのユーザＩＤとを含む印刷要求を画像形成装置８０に対して行う。この印刷要求に応じて、画像形成装置８０が備える保護文書利用機能８８の制御部８８０は、印刷要求に含まれる保護電子文書及びユーザＩＤを用いて、図１６の例の手順のステップＳ８２，Ｓ８４と同様に、スレーブセキュリティポリシーサーバ２０に対するポリシー検索要求及びそのポリシー検索結果の取得を行う。そして、取得したポリシー検索結果である許諾機能リストに印刷操作が含まれていれば、制御部８８０は、印刷要求中の保護電子文書の暗号化された文書本体の復号処理と、文書情報・ポリシー情報デコード部８８４による文書情報及びポリシー情報の機械可読コードへの変換と、を行った上で、保護紙文書生成部８９２を制御して印刷を実行する。ポリシー検索結果に印刷操作が含まれていなければ、制御部８８０は、印刷操作を実行しない。なお、本例において、クライアント端末６０において指示された操作の種別が印刷でない場合は、クライアント端末６０の保護文書利用アプリケーション６６で図１６の例の手順のステップＳ８２以降の処理が行われる。

図１７は、スレーブ側ネットワーク２の画像形成装置８０において、保護紙文書に対する操作を実行する場合に行われる処理の手順の例を示すフローチャートである。図１７において、図１６の例のフローチャートと同様の処理ステップには同様の符号を付す。画像形成装置８０が備える保護文書利用機能８８の制御部は、例えば、画像形成装置８０の自動原稿送り装置（図示しない）又はスキャナの原稿読み取り用プラテン（図示しない）に保護紙文書が配置された状態で、操作指示（ここでは、コピー指示又はスキャン指示）をユーザから入力受付部８２を介して受けた場合に、図１７に例示する手順の処理を開始する。

図１７を参照し、ユーザ認証処理（ステップＳ１０）及びユーザ認証の成否の判定（ステップＳ１２）は、図１６のステップＳ１０，Ｓ１２と同様に行われる。

ユーザ認証が失敗した場合（ステップＳ１２でＮＯ）、エラー処理（ステップＳ９２）を行って処理を終了する。

ユーザ認証が成功した場合（ステップＳ１２でＹＥＳ）、制御部８８０は、画像データ受付部８１に対して、保護紙文書のスキャナによる読み取りを行うよう指示し、画像データ受付部８１から当該保護紙文書を読み取った画像データを取得する（ステップＳ１００）。そして、取得した画像データから、文書情報を表す機械可読コード及びポリシー情報を表す機械可読コードを抽出し、抽出した機械可読コードを文書情報・ポリシー情報デコード部８８４にデコードさせて、文書情報及びポリシー情報の内容を取得する（ステップＳ１０２）。取得された文書情報及びポリシー情報は、文書情報・ポリシー情報保持部８８８に記憶される。また、保護紙文書を読み取った画像データ中の文書本体に想到する部分は、画像保持部８８６に記憶される。

デコードに失敗すると（ステップＳ１０４でＮＯ）、エラー処理（ステップＳ９２）の後、処理を終了する。

デコードに成功すると（ステップＳ１０４でＹＥＳ）、取得された文書情報及びポリシー情報と、操作指示を行ったユーザのユーザＩＤと、を含むポリシー検索要求をスレーブセキュリティポリシーサーバ２０に対して行う（ステップＳ８２）。その後、図１６の例のステップＳ８４，Ｓ８６と同様に、ポリシー検索結果を取得して（ステップＳ８４）、操作実行の可否を決定する（ステップＳ８６）。

操作実行を許可しないことを決定すると（ステップＳ８６でＮＯ）、エラー処理（ステップＳ９２）を行って処理を終了する。

操作実行を許可することを決定すると（ステップＳ８６でＹＥＳ）、制御部８８０は、指定された操作の種類を判定する（ステップＳ１０６）。

操作の種類がスキャンであれば、制御部８８０は、保護電子文書生成部８９０に保護電子文書の生成を指示する。この指示を受けた保護電子文書生成部８９０は、画像保持部８８６に保持されたデータを予め定められた暗号鍵で暗号化する（ステップＳ１０８）。そして、この暗号化されたデータを文書本体として含み、かつ、文書情報・ポリシー情報保持部８８８に保持された文書情報及びポリシー情報を含む保護電子文書を生成する（ステップＳ１１０）。これにより、スキャナで読み取られた保護紙文書に対応する保護電子文書が生成される。生成された保護電子文書は、例えば、スキャン操作の指示を出したユーザが利用可能な情報処理装置（図示しない）が備える記憶装置（図示しない）に記憶される。

操作の種類がコピーであれば、制御部８８０は、保護紙文書生成部８９２に保護紙文書の生成を指示する。この指示を受けた保護紙文書生成部８９２は、文書情報・ポリシー情報保持部８８８に保持された文書情報及びポリシー情報を機械可読コードに変換する（ステップＳ１１２）。そして、文書情報及びポリシー情報の機械可読コードと共に画像保持部８８６に保持されたデータを印刷することを印刷部８６に指示し、この指示に従って印刷部８６が印刷処理を実行することで、保護紙文書が生成される（ステップＳ１１４）。これにより、スキャナで読み取られた保護紙文書のコピーである保護紙文書が生成される。

以上、図１４〜図１７を参照して説明した処理の例では、スレーブセキュリティポリシーサーバ２０は、保護文書の利用を望むユーザに対して許可されている操作の種類のリストをクライアント端末６０又は画像形成装置８０に対して送信し、操作の実行の可否の決定は、クライアント端末６０又は画像形成装置８０で行われる。他の例では、スレーブセキュリティポリシーサーバ２０で操作の実行の可否を決定してクライアント端末６０又は画像形成装置８０に返してもよい。本例の場合、クライアント端末６０又は画像形成装置８０は、ユーザから指示された操作の種類をさらに含むポリシー検索要求をスレーブセキュリティポリシーサーバ２０に送信し、スレーブセキュリティサーバ２０は、受信した操作の種類とポリシー検索結果（図１５のステップＳ６４，Ｓ６８で取得）とに基づいて操作の実行の可否を決定する。

以上で説明した実施形態の例によると、保護文書自体が当該文書に対して設定されたセキュリティポリシーの内容を含む。スレーブ側ネットワーク２では、保護文書の生成において参照されたマスタセキュリティポリシーサーバ１０のセキュリティポリシーＤＢ１００にアクセスすることなく、その保護文書に含まれるセキュリティポリシーを用いて、その保護文書の利用を制限する。また、スレーブセキュリティポリシーサーバ２０において、保護文書から抽出したセキュリティポリシーをセキュリティポリシーＤＢ２００に登録する。保護文書から抽出されたセキュリティポリシーがスレーブセキュリティポリシーサーバ２０のセキュリティポリシーＤＢ２００に登録された後は、そのセキュリティポリシーに関連づけられた保護文書の利用制限は、セキュリティポリシーＤＢ２００に登録されたセキュリティポリシーを参照して行われる。したがって、例えば、セキュリティポリシーＤＢ２００において、あるポリシーＩＤのセキュリティポリシーを無効化すると（無効化フラグを「TRUE」に設定すると）、そのポリシーＩＤに関連づけられた保護文書の利用は許可されなくなる（図１５のステップＳ５６，Ｓ６８参照）。また例えば、セキュリティポリシーＤＢ２００において、あるポリシーＩＤのセキュリティポリシーが更新されると、そのポリシーＩＤに関連づけられた保護文書であって更新前のセキュリティポリシーの内容を含む保護文書について、セキュリティポリシーＤＢ２００に登録された更新後のセキュリティポリシーに従って利用制限が行われる（図１４のステップＳ５２，図１５のステップＳ５４，Ｓ５６，Ｓ５８，Ｓ６０参照）。

一方、上述の実施形態の例のシステムにおいて、スレーブセキュリティポリシーサーバ２０のセキュリティポリシーＤＢ２００に登録済みのセキュリティポリシーの内容について、マスタセキュリティポリシーサーバ１０において更新が行われ、更新後の内容のセキュリティポリシーを含む保護文書が生成されることも起こり得る。この場合、更新後のセキュリティポリシーを含む保護文書をスレーブ側ネットワーク２で利用するときには、当該保護文書に関連づけられたポリシーＩＤのセキュリティポリシーＤＢ２００中のレコードの更新時刻と、当該保護文書に含まれるセキュリティポリシーの更新時刻と、を比較すると当該保護文書に含まれる更新時刻の方が新しいことから、セキュリティポリシーＤＢ２００の該当レコードを更新することが決定される（図１５のステップＳ５８でＹＥＳ）。そして、セキュリティポリシーＤＢ２００の当該ポリシーＩＤのレコードが当該保護文書に含まれるセキュリティポリシーの内容に更新され（図１５のステップＳ７０）、当該保護文書の利用制限において、当該保護文書に含まれる更新後のセキュリティポリシーが用いられる（図１５のステップＳ７４，Ｓ６２〜Ｓ６６）。

上述の実施形態の例では、保護文書は、当該文書に設定されたセキュリティポリシーだけを表すポリシー情報を含む。他の例では、保護文書は、当該文書に設定されたセキュリティポリシーだけでなく、マスタセキュリティポリシーサーバ１０のセキュリティポリシーＤＢ１００におけるセキュリティポリシーの更新を表す情報をさらに含んでいてもよい。例えば、マスタセキュリティポリシーサーバ１０は、保護文書に対して設定可能なセキュリティポリシーの一覧をクライアント端末５０又は画像形成装置７０に送信するときに、前回のセキュリティポリシーの一覧の送信時刻から現在時刻までの間にセキュリティポリシーＤＢ１００において更新されたセキュリティポリシーの内容も共に送信する。そして、クライアント端末５０又は画像形成装置７０において、文書に設定するセキュリティポリシーを含むポリシー情報に加えて、更新されたセキュリティポリシーの内容を表すポリシー更新情報を含む保護文書を生成する。このような保護文書をスレーブ側ネットワーク２のクライアント端末６０又は画像形成装置８０において利用する際には、クライアント端末６０又は画像形勢装置８０は、上述のポリシー検索要求と共に、保護文書中のポリシー更新情報をスレーブセキュリティポリシーサーバ２０に送信する。ポリシー更新情報を受信したスレーブセキュリティポリシーサーバ２０は、そのポリシー更新情報に従って、セキュリティポリシーＤＢ２００を更新する。

また、上述の実施形態の例では、利用範囲で表される操作主体に対して許可される操作の種類を許諾機能リストとして設定するセキュリティポリシーを用いる。セキュリティポリシーの設定の他の例では、本システムで保護文書に対して実行される操作の種類のすべてについて、それぞれ、許可又は禁止を明示的に設定しておいてもよい。あるいは、例えば、セキュリティポリシーにおいて、操作主体に対して禁止される操作の種類のリストを設定しておき、このリストに含まれない種類の操作の実行を許可するものとしてもよい。

また、上述の実施形態の例では、セキュリティポリシーの有効性を表す情報として、「TRUE」及び「FALSE」のいずれかの値を取る無効化フラグを用いる。他の例では、セキュリティポリシーの有効性を表す情報として、「有効」、「無効」、及び「一時停止（復帰可能な無効化）」の３種類の状態を表す変数を用いてもよい。この例では、一旦「無効」に設定されたセキュリティポリシーが「有効」に変更されることはないが、「一時停止」に設定されたセキュリティポリシーは、再び「有効」に設定され得る。

なお、以上の説明では、保護文書の生成が行われるマスタ側ネットワーク１に含まれる各装置は保護文書の利用に関する機能を含まず、保護文書の利用が行われるスレーブ側ネットワーク２に含まれる各装置は保護文書の生成に関する機能を含まない。２つの分離したネットワークのそれぞれにおいて、保護文書の生成に関する機能と利用に関する機能との両方を備える装置を設けてもよい。例えば、各ネットワークにおいて、上述のマスタセキュリティポリシーサーバ１０の各部の機能とスレーブセキュリティポリシーサーバ２０の各部の機能とを備えるセキュリティポリシーサーバ、上述の文書保護アプリケーション５６と保護文書利用アプリケーション６６とを備えるクライアント端末、及び、上述の文書保護機能７８と保護文書利用機能８８とを備える画像形成装置を設ける。本例の場合、２つのネットワークのそれぞれにおいて、セキュリティポリシーの新規作成・登録が行われ、そのセキュリティポリシーの設定された保護文書が生成される。そして、一方のネットワークで生成された保護文書の他方のネットワークでの利用が相互に行われる。

以上で説明した各種のサーバ（マスタセキュリティポリシーサーバ１０、スレーブセキュリティポリシーサーバ２０、ユーザ認証サーバ３０，４０）、及びクライアント端末５０，６０は、典型的には、汎用のコンピュータにて上述の各装置の各部の機能又は処理内容を記述したプログラムを実行することにより実現される。コンピュータは、例えば、ハードウエアとして、図１８に示すように、ＣＰＵ（中央演算装置）９０、メモリ（一次記憶）９１、各種Ｉ／Ｏ（入出力）インタフェース９２等がバス９３を介して接続された回路構成を有する。また、そのバス９３に対し、例えばＩ／Ｏインタフェース９２経由で、ＨＤＤ（ハードディスクドライブ）９４やＣＤやＤＶＤ、フラッシュメモリなどの各種規格の可搬型の不揮発性記録媒体を読み取るためのディスクドライブ９５が接続される。このようなドライブ９４又は９５は、メモリに対する外部記憶装置として機能する。実施形態の処理内容が記述されたプログラムがＣＤやＤＶＤ等の記録媒体を経由して、又はネットワーク経由で、ＨＤＤ９４等の固定記憶装置に保存され、コンピュータにインストールされる。固定記憶装置に記憶されたプログラムがメモリに読み出されＣＰＵにより実行されることにより、実施形態の処理が実現される。

文書管理システムの概略構成の例を示す図である。 マスタセキュリティポリシーサーバの内部構成の概略の例を示すブロック図である。 セキュリティポリシーＤＢのデータ内容の例を示す図である。 文書情報ＤＢのデータ内容の例を示す図である。 マスタ側ネットワークのクライアント端末の内部構成の概略の例を示すブロック図である。 保護電子文書のデータ構造の例を模式的に表す図である。 マスタ側ネットワークの画像形成装置の構成の概略の例を示すブロック図である。 保護紙文書の構成の例を模式的に表す図である。 スレーブセキュリティポリシーサーバの内部構成の概略の例を示すブロック図である。 スレーブ側ネットワークのクライアント端末の内部構成の概略の例を示すブロック図である。 スレーブ側ネットワークの画像形成装置の構成の概略の例を示すブロック図である。 保護電子文書生成処理の手順の例を示すフローチャートである。 保護紙文書生成処理の手順の例を示すフローチャートである。 ポリシー検索処理の部分的な手順の例を示すフローチャートである。 ポリシー検索処理の部分的な手順の例を示すフローチャートである。 保護電子文書を利用する処理の手順の例を示すフローチャートである。 保護紙文書を利用する処理の手順の例を示すフローチャートである。 コンピュータのハードウエア構成の例を示す図である。

符号の説明

１ マスタ側ネットワーク、２ スレーブ側ネットワーク、１０ マスタセキュリティポリシーサーバ、２０ スレーブセキュリティポリシーサーバ、３０，４０ ユーザ認証サーバ、５０，６０ クライアント端末、５２，６２，７２，８２ 入力受付部、５４，６４，７４，８４ 表示部、５６ 文書保護アプリケーション、６６ 保護文書利用アプリケーション、７０，８０ 画像形成装置、７１，８１ 画像データ受付部、７６，８６ 印刷部、７８ 文書保護機能、８８ 保護文書利用機能、９０ ＣＰＵ、９１ メモリ、９２ Ｉ／Ｏインタフェース、９３ バス、９４ ＨＤＤ、９５ ディスクドライブ、１００，２００ セキュリティポリシーＤＢ、１０２，２０２ 文書情報ＤＢ、１０４，２０８ 指示受付部、１０６ セキュリティポリシー作成部、１０８，２１０ セキュリティポリシー更新部、１１０ セキュリティポリシー一覧応答部、１１２，２０６ 保護文書登録部、２０４ セキュリティポリシー検索部、２１２ セキュリティポリシー登録部、５００ 保護電子文書、７００ 保護紙文書。

Claims (8)

1. 文書生成装置と文書利用管理装置とを備え、
   前記文書生成装置は、
   利用制限の対象となる文書と、操作主体と当該操作主体に対して許可又は禁止される操作の種類との組を含む利用制限情報と、を特定する情報を含む保護文書生成指示に応じて、前記保護文書生成指示で特定された文書と、前記保護文書生成指示で特定された利用制限情報と、を含む保護文書を生成する保護文書生成手段、を備え、
   前記文書利用管理装置は、
   要求対象の前記保護文書を特定した利用要求に応じて、文書と当該文書の利用制限に用いられる前記利用制限情報とを関連づけて記憶する文書情報記憶手段を参照し、前記利用要求で特定された保護文書に含まれる文書が前記文書情報記憶手段に記憶されていない場合に、前記特定された保護文書に含まれる文書と前記特定された保護文書に含まれる前記利用制限情報とを関連づけて前記文書情報記憶手段に登録する文書情報登録手段と、
   前記特定された保護文書に含まれる前記利用制限情報が利用制限情報記憶手段に記憶されていない場合に、前記特定された保護文書に含まれる前記利用制限情報を前記利用制限情報記憶手段に登録する利用制限情報登録手段と、を備え、
   前記要求対象の前記保護文書の利用の可否は、前記利用制限情報記憶手段に記憶された利用制限情報のうち前記利用要求で特定された保護文書に含まれる文書と関連づけられた利用制限情報と、前記利用要求を行った要求者と、に基づいて決定され、
   前記文書生成装置は、前記文書情報記憶手段及び前記利用制限情報記憶手段に対する情報の登録を行わない、
   ことを特徴とする文書管理システム。
2. 前記文書利用管理装置は、前記利用制限情報記憶手段に記憶された利用制限情報を更新する更新手段、をさらに備えることを特徴とする請求項１に記載の文書管理システム。
3. 前記文書利用管理装置の前記更新手段は、前記利用制限情報記憶手段に記憶された利用制限情報のうちの少なくとも１つを特定する無効化指示に応じて、前記無効化指示で特定された利用制限情報が無効である旨を表す情報を前記利用制限情報記憶手段に記憶させ、
   前記利用要求で特定された保護文書に含まれる文書と関連づけられた前記利用制限情報が無効である旨を表す情報が前記利用制限情報記憶手段に記憶されている場合に、前記要求対象の前記保護文書の利用は許可されない、
   ことを特徴とする請求項２に記載の文書管理システム。
4. 前記文書生成装置において、
   前記保護文書生成指示は、さらに、前記保護文書生成指示で特定された前記利用制限情報の更新時刻を含み、
   前記保護文書生成手段が生成する前記保護文書は、さらに、前記保護文書生成指示に含まれる前記更新時刻を含み、
   前記文書利用管理装置において、
   前記更新手段は、前記利用制限情報記憶手段に記憶された利用制限情報を更新した場合に、当該利用制限情報の更新時刻を前記利用制限情報記憶手段に記憶させ、さらに、前記利用要求で特定された保護文書に含まれる前記更新時刻が、前記利用制限情報記憶手段に記憶された利用制限情報のうち前記利用要求で特定された保護文書に含まれる文書と関連づけられた利用制限情報の更新時刻よりも新しい場合に、前記利用制限情報記憶手段において、前記特定された保護文書に含まれる文書と関連づけられた利用制限情報を、前記特定された保護文書に含まれる前記利用制限情報に更新する、
   ことを特徴とする請求項２に記載の文書管理システム。
5. 利用制限の対象となる文書と、操作主体と当該操作主体に対して許可又は禁止される操作の種類との組を含む利用制限情報と、を特定する情報を含む保護文書生成指示に応じて、前記保護文書生成指示で特定された文書と、前記保護文書生成指示で特定された利用制限情報と、を含む保護文書を生成する保護文書生成手段、
   を備えることを特徴とする文書生成装置。
6. 利用制限の対象となる文書と、操作主体と当該操作主体に対して許可又は禁止される操作の種類との組を含む利用制限情報と、を特定する情報を含む保護文書生成指示に応じて、前記保護文書生成指示で特定された文書と、前記保護文書生成指示で特定された利用制限情報と、を含む保護文書を生成するステップ、
   をコンピュータに実行させることを特徴とするプログラム。
7. 利用制限の対象となる文書と、操作主体と当該操作主体に対して許可又は禁止される操作の種類との組を含む利用制限情報と、を含む保護文書を特定した利用要求に応じて、文書と当該文書の利用制限に用いられる前記利用制限情報とを関連づけて記憶する文書情報記憶手段を参照し、前記利用要求で特定された保護文書に含まれる文書が前記文書情報記憶手段に記憶されていない場合に、前記特定された保護文書に含まれる文書と前記特定された保護文書に含まれる前記利用制限情報とを関連づけて前記文書情報記憶手段に登録する文書登録手段と、
   前記特定された保護文書に含まれる前記利用制限情報が利用制限情報記憶手段に記憶されていない場合に、前記特定された保護文書に含まれる前記利用制限情報を前記利用制限情報記憶手段に登録する利用制限情報登録手段と、を備え、
   前記利用要求で特定された保護文書の利用の可否は、前記利用制限情報記憶手段に記憶された利用制限情報のうち前記利用要求で特定された保護文書に含まれる文書と関連づけられた利用制限情報と、前記利用要求を行った要求者と、に基づいて決定される、
   ことを特徴とする文書利用管理装置。
8. 利用制限の対象となる文書と、操作主体と当該操作主体に対して許可又は禁止される操作の種類との組を含む利用制限情報と、を含む保護文書を特定した利用要求に応じて、文書と当該文書の利用制限に用いられる前記利用制限情報とを関連づけて記憶する文書情報記憶手段を参照し、前記利用要求で特定された保護文書に含まれる文書が前記文書情報記憶手段に記憶されていない場合に、前記特定された保護文書に含まれる文書と前記特定された保護文書に含まれる前記利用制限情報とを関連づけて前記文書情報記憶手段に登録するステップと、
   前記特定された保護文書に含まれる前記利用制限情報が利用制限情報記憶手段に記憶されていない場合に、前記特定された保護文書に含まれる前記利用制限情報を前記利用制限情報記憶手段に登録するステップと、
   をコンピュータに実行させ、
   前記利用要求で特定された保護文書の利用の可否は、前記利用制限情報記憶手段に記憶された利用制限情報のうち前記利用要求で特定された保護文書に含まれる文書と関連づけられた利用制限情報と、前記利用要求を行った要求者と、に基づいて決定される、
   ことを特徴とするプログラム。

Images