JP2010160618A - 文書管理装置、文書管理システム、文書管理方法およびコンピュータプログラム - Google Patents

Abstract

【課題】文書管理装置で管理するフォルダやファイルには特定のユーザのみがアクセス権を持つ機密性の高い文書や個人情報も含まれる。異動等によりユーザアカウントを削除してしまった後でユーザのみがアクセスできる文書管理装置を提供する。
【解決手段】ユーザアカウントが削除された場合、削除されたユーザがアクセス権を有していたファイルを暗号化し、共用領域に保存する。ユーザには共用領域にアクセスするためのゲストアカウントや暗号化されたファイルを解くためのパスワード等を通知する。元のユーザはゲストアカウントで文書管理装置にログインすることでファイルを取得することができる。
【選択図】図１

Description

本発明は、ファイル管理機能、ユーザ管理機能およびネットワークを介したデータ送信機能を有する文書管理装置、文書管理システム、文書管理方法およびコンピュータプログラムに関する。

近年、様々なデータを格納し得るストレージの容量が増大しており、一般に広く文書管理装置が普及してきている。すなわち、企業等において、文書管理装置によって社内の文書を集中管理する機会が増えてきている。このような文書管理装置を利用するケースでは、企業等における同一部門内の複数のユーザ間で同一の文書管理装置を共同で使用することが多い。そして、文書管理装置で管理される各ユーザの業務や作業に関連するファイルやフォルダについては、アクセス制御が行われる。アクセス制御においては、ユーザ毎にアクセス権を割り当て、ある種のファイルについては限られた範囲の特定のユーザのみ利用可能にしたり、一定のグループ内でのみファイルを公開したりすることが可能である。一般にアクセス権を設定するのは、ファイルの作成者あるいは文書管理装置のシステム管理者である。

上述のアクセス制御によれば、各ユーザを識別するユーザアカウントと連動したユーザ本人のみが参照可能なフォルダを作成することも可能である。このようなフォルダは、たとえば、個人フォルダと呼ばれ、他のユーザに参照されないことから、機密性の高いファイルや重要度の高いファイル、さらにはユーザ個人に関する情報などが格納されることが多い。

このような状況にあって、あるユーザが、異動、転勤、退職等になった場合には、それまで利用していた文書管理装置の利用権限を抹消するのが通常である。すなわち、異動等になったユーザのユーザアカウントの登録は削除されることになる。この際に、当該ユーザ本人のみがアクセス可能となっているファイルやフォルダの取り扱いをどうするかが非常に重要となる。例えば、当該ユーザ本人のみがアクセス可能となっているファイルやフォルダをそのままの状態で残しておくと、誰もアクセスできないファイルやフォルダが残り、ストレージ容量が無駄に消費されることになる。

この点に関し、従来の文書管理装置では、たとえば、あるユーザアカウントを削除した際に、そのユーザアカウントのユーザが管理していたファイル等を全て削除してしまうという手法が提案されていた（特許文献１参照）。この手法によれば、当該ユーザによって管理されていたあらゆる文書等がすべて削除されるので、他のユーザによって参照されることも無いし、削除したファイル等が占めていた分のストレージ容量を別のファイル等の格納に利用することも可能である。しかし、ファイル等の削除を行った後に当該ファイルが必要になるケースや、誤ってユーザアカウントを削除してしまうことも考えられる。したがって、ユーザアカウントの削除に伴って対応する個人ファイル等を直ちに削除することは望ましくない。

また別の手法として、ユーザアカウントを削除した際に、そのユーザアカウントのユーザが管理していたファイルについてのアクセス権をシステム管理者や他のユーザに委譲するという手法も提案されている（たとえば、特許文献２参照）。しかし、個人情報など特に機密性の高い文書については他のユーザが一切参照できないようにすることが望ましく、この手法ではこのような要望には応えることができない。さらに、システム管理者にアクセス権を移譲しても、所望のファイルにアクセスするのに逐一システム管理者に依頼することが必要になる等、運用によってはシステム管理者を仲介してファイルを取得することはかなり煩雑なものになってしまう。

特開平３−１００８３８号公報 特開平８−１１５２４５号公報

上述のように、個人情報など機密性が特に高い文書ファイル等については、ユーザ本人以外は参照できないことが望ましい。また、ユーザアカウントを削除した後でも、少なくとも一定期間は個人ファイル等を残しておき、引き続き当該ユーザがアクセスできるような状態にしておきたいという要望がある。

すなわち、ユーザアカウントが削除された後、他のユーザはアクセスできないものの、一定期間は削除されたユーザ当事者に限りその管理下にあった文書ファイル等にアクセスすることができるようになれば、文書管理装置の利便性がさらに向上することになる。しかし、このような要望を満たすことのできる手法は未だ提案されていなかった。

本発明は、上記の課題を解決するために、以下の構成を備える。

本発明の文書管理装置は、ユーザアカウントおよびユーザの通知先情報の管理を行うユーザ管理手段と、フォルダおよび／またはファイルを管理し、フォルダおよび／またはファイルに対して設定されたアクセス権に従ってアクセス制御を行う文書管理手段と、ユーザ管理手段で特定のユーザアカウントが削除された場合に、特定のフォルダおよび／またはファイルを暗号化する暗号化手段と、ユーザアカウントを削除されたユーザが暗号化されたフォルダおよび／またはファイルにアクセスするための情報を通知先情報に従ってユーザに通知する通知手段とを備える。

あるいは、上記の課題を解決する手段として、以下の構成を備える。即ち、フォルダおよび／またはファイルを管理可能な情報機器と文書管理装置とがネットワークを介して接続された文書管理システムであって、文書管理装置は、ユーザアカウントおよびユーザへの通知先情報の管理を行うユーザ管理手段と、フォルダおよび／またはファイルを管理し、フォルダおよび／またはファイルに対して設定されたアクセス権に従ってアクセス制御を行う文書管理手段と、ユーザ管理手段で特定のユーザアカウントが削除された場合に、ユーザアカウントを削除されたユーザがアクセス権を有したフォルダおよび／またはファイルを暗号化する暗号化手段と、暗号化手段で暗号化されたフォルダおよび／またはファイルを情報機器に送信し、暗号化されたフォルダおよび／またはファイルにユーザアカウントを削除されたユーザがアクセスするための情報を通知先情報に従ってユーザに通知する通知手段とを備える。

本願発明によれば、文書管理装置にアクセスするためのユーザアカウントが削除された場合に、当該削除対象ユーザがアクセス権を有していたファイルやフォルダに対して暗号化処理を施し共用フォルダに保存する。そして、削除対象ユーザに、当該暗号化されたファイルにアクセスするための情報を通知する。

これにより、ユーザアカウントを削除した後も、当該削除されたユーザアカウントのユーザ（あるいはその許可を得た者）は、その管理下にあったファイル等に一定条件下でアクセスすることができる。

また、ユーザアカウントの削除後も記憶領域に残されたままになる個人ファイル等に対して、暗号化処理を施すことで機密性も保持される。

さらに、残しておいた対象ファイル等を一定期間の経過で削除することで、ストレージの容量を過度に圧迫することも防ぐことができる。

加えて、システム管理者に逐一所望のファイル取得を依頼する必要がなくなるので、そのためにユーザやシステム管理者がこれまで必要としたであろう手間や時間といった負担を軽減することができる。

本発明に係る文書管理装置の一例について、図１に示す機能ブロック図を用いて簡潔に説明する。文書管理装置は、メインコントローラー１０、ユーザ管理部２０、ファイル管理部３０、暗号化部４０、通信部５０、ユーザインタフェース部６０から成る。メインコントローラー１０は、主にＬＡＮ１１、通信インタフェース１２、ＣＰＵ１３、ＨＤＤ１４、ＲＯＭ１５およびＲＡＭ１６から構成される。

ＬＡＮ１１は、外部装置（図示しない）との間でデータのやり取りを行うためのネットワークである。ＬＡＮ１１を通じた外部装置との間での様々なデータのやりとりは、通信インタフェース１２を介してなされる。また、通信インタフェース１２は、ＳＭＢ、ＷｅｂＤＡＶ、ＦＴＰ、Ｅ−Ｍａｉｌなど各種プロトコルをサポートしている。

ＣＰＵ１３は、文書管理装置全体の動作を制御するものであり、ＲＯＭ１５に格納された、あるいはＨＤＤ１４からＲＡＭ１６にロードされたプログラムを実行する。

ＨＤＤ１４は、ＣＰＵ１３が動作するためのシステムワークメモリであり、各種のデータ等が格納される。

ＲＯＭ１５は、ブートＲＯＭであり、システムのブートプログラムが格納されている。ＲＡＭ１６は、ＣＰＵ１３が動作するための主メモリ、ワークエリア等として機能する。

メインコントローラー１０は、ユーザ管理部２０、ファイル管理部３０、暗号化部４０、通信部５０およびユーザインタフェース部６０といった各部を制御する。

ユーザ管理部２０は、ユーザアカウントの登録、発行、更新、削除といった文書管理装置を利用するユーザの管理を行う。ユーザ管理部２０は、ユーザ情報を記憶しておくためのユーザ管理テーブル１００を有している（ユーザ管理テーブル１００については後述する。）。通常、ユーザ管理テーブルは、ＨＤＤ１４上に保存されている。

文書管理部３０は、各ユーザによって作成・編集がなされたフォルダやファイルの管理を行う。文書管理部３０は、フォルダやファイルを、たとえば図３に示すようなツリー構造で管理しており、フォルダやファイルごとに設定されるアクセス権に従ってアクセス制御を行う。なお、各種のフォルダやファイルは、ＨＤＤ１４上に保存されている。

暗号化部４０は、フォルダやファイルの暗号化を行う。

通信部５０は、ＬＡＮ１１を介して接続された外部機器（たとえば、後述するファイルサーバの他、パーソナルコンピュータ（ＰＣ）、ＭＦＰなど）との通信を行う。また、通信内容によって通信インタフェース１２のプロトコルを切り替える制御なども行う。なお、ＬＡＮ１１はネットワークの例示であり、インターネットやＷＡＮあるいはこれらの組み合わせなどでもよい。

ユーザインタフェース部６０は、タッチキーを備えたディスプレイ等から成り、ユーザからの指示の受付けや各種のデータ表示などを行う。

以上、本発明に係る文書管理装置の概要を簡潔に説明した。次に、ユーザ管理部と文書管理部についてさらに詳しく説明する。

（ユーザ管理部）
ユーザ管理部２０におけるユーザ管理処理について説明する。
まず、メインコントローラー１０が、ＲＯＭ１５に格納されたプログラムを読み込み、ＣＰＵ１３を動作させる。ＣＰＵ１３は、ユーザ管理部２０を通して、ＨＤＤ１４上にあるユーザ管理テーブル１００を読み込み、ＲＡＭ１６に一時格納する。同時に、ＣＰＵ１３は、後述のシステム管理者等による新規ユーザの登録、ユーザ情報の変更に伴う更新や削除などの指示に従って、ＲＡＭ１６に一時格納されているユーザ管理テーブル１００の内容を更新する。なお、上記指示はユーザインタフェース部６０を介してなされる。更新処理が終わると、ＣＰＵ１３は、ＲＡＭ１６の更新されたユーザ管理テーブル１００の内容に従って、ＨＤＤ１４上のユーザ管理テーブル１００の内容を更新する。新たなユーザがユーザ管理テーブルに登録されると、新規のユーザアカウントを発行する。

図２は、ユーザ管理テーブル１００の一例を示している。図２に示されるように、ユーザ管理テーブル１００は、ユーザＩＤ、パスワード、ユーザ名、E−ｍａｉｌアドレスといったユーザ別に整理されたユーザ情報により構成される。本明細書においては、これらユーザ情報のうちユーザを識別するための情報であって文書管理装置を利用するための権限有無の確認（後述のログイン認証）に用いられる情報（たとえば、ユーザＩＤとパスワード）を、ユーザアカウントと呼ぶ。なお、ユーザアカウントの内容は、ユーザＩＤとパスワードに限られるものではなく、これらに別の情報を付加してもよいし、逆にユーザＩＤのみとしてもよい。すなわち、文書管理装置を利用するための権限有無の確認に用いられる情報であれば、ユーザアカウントとなり得る。ユーザ管理テーブル１００で管理されるこれらユーザの属性を示す情報は、ユーザＩＤ、パスワード、ユーザ名、Ｅ−Ｍａｉｌアドレスに限られず、たとえば、登録日などの情報をさらに含んでもよい。本実施例においては、ユーザ管理テーブル１００は文書管理装置内のＨＤＤ１４上に保持されており、これを参照しているが、ＬＡＮ１１を通して参照可能な他の装置で管理されているユーザ管理テーブル１００を利用することも可能である。

ユーザ管理部２０では、ログイン認証も行われる。ログイン認証とは、ユーザが実際に文書管理装置を利用しようとする場面において、当該ユーザの利用権限の有無を確認する手続である。たとえば、これから文書管理装置を利用しようとするユーザに、ユーザインタフェース部６０を介してユーザＩＤとパスワードを入力させ、所定の認証を通過した場合に限り文書管理装置を利用できるようにするものである。無事にログイン認証を通過すれば、ユーザは文書管理装置の利用が可能となるが、まったく自由にファイル等へのアクセスが可能になるわけではない。当該ユーザに与えられたアクセス権の内容に基づいて、ファイル等へのアクセス制限を受けることになる（アクセス制御の詳細については後述する）。

なお、ログイン認証は、既知の方法が適用可能である。既知のログイン認証の例としては、たとえば、ユーザＩＤとパスワードのみを要求する認証、ＩＣカードを用いる認証、機器外の認証サーバを利用する認証、認証要求を出さずにログイン認証を通過させる認証などがある。

以上に加え、後述するゲストアカウントの発行など、ユーザ管理部においては、文書管理装置を利用するユーザの管理に必要な処理が行われる。

（文書管理部）
次に、文書管理部３０におけるフォルダやファイルの管理処理について説明する。

図３は、フォルダやファイルがいわゆるツリー構造によって管理されている様子を示した概念図である。文書管理部３０は、一般的なファイルサーバと同様に、管理対象のフォルダとファイルを、たとえば図3に示すようなツリー構造で管理している。ここで、フォルダ１１１は、ユーザ毎に割り当てられるフォルダであり、機密性の高い重要なファイルや個人情報などが格納され得る個人フォルダである。図２の例では、ユーザＡ、ＢおよびＣに対してそれぞれ個人フォルダ１１１が割り当てられている。そして、ユーザＣが作成した機密文書ファイル１１２が、ユーザＣの個人フォルダ１１１に属する様子が示されている。フォルダ１１０は上位個人フォルダであり、フォルダ１２０は共用フォルダであり、フォルダ１３０はグループフォルダである。上位個人フォルダ１１０には、ユーザ毎に割り当てられるすべての個人フォルダ１１１が属するフォルダである。共用フォルダ１２０は、文書管理装置にログイン可能なすべてのユーザがアクセスできるフォルダであり、通常、共同で使用するフォルダやファイルなどが属するフォルダである。グループフォルダ１３０は、同一部署内など一定範囲のユーザが共同で使用するフォルダであり、たとえば、他部署へは開示できないような一定程度の機密性が要求される文書などの管理に利用される。なお、フォルダはディレクトリと呼ばれることもある。

メインコントローラー１０は、ＲＯＭ１５に格納されたプログラムを読み込み、ＣＰＵ１３を動作させる。ＣＰＵ１３は、ユーザからのファイルやフォルダの生成、移動、複製、編集、削除などの指示に従い、文書管理部３０を通して、ＨＤＤ１４上にあるフォルダやファイルを、上記ツリー構造において管理する。なお、上記ユーザの指示は、ユーザインタフェース部６０を介してなされる。

また、文書管理部３０は、予め設定されたアクセス権の内容に従って、ファイルやフォルダに対するユーザのアクセス制御も行う。ここでアクセス権は、たとえば、図４に示すようなアクセス権テーブル１４０で管理される。図４のアクセス権テーブル１４０において、アクセス権の種類は、ファイルの閲覧が可能なリード権（ｒ）、ファイルの閲覧に加え新たな書込みなどの編集も可能なライト権（ｗ）、ファイルの実行が可能な実行権（ｘ）の３種類から成る。なお、アクセス権は上記３種類に限られるものではなく、任意の内容とすることができる。

図４では、ユーザを、オーナー、グループ、その他の３つに区分し、ファイル毎にそれぞれ異なる内容のアクセス権が設定されている様子が示されている。ここで、オーナーとは当該ファイルを作成したユーザ本人であり、グループとは任意に設定された一定範囲のユーザであり、その他とはオーナーでもグループでもないユーザを意味する。図４に示した例では、Ｆｉｌｅ １は、オーナー、グループおよびその他の全区分のユーザが、リード、ライトおよび実行の３種類すべてについてアクセス権を有している。これに対し、Ｆｉｌｅ ２は、オーナーのみがリード、ライト、実行の３つすべてについてアクセス権を有しており、グループやその他のユーザは、リード権すら与えられていない。さらに、Ｆｉｌｅ ３は、オーナー、グループおよびその他の全区分のユーザについて、リード権のみが与えられている。したがって、たとえば、ファイル ２が共用フォルダに格納されていた場合、オーナー以外はリード権すら有さないため、オーナー以外のユーザはファイル ２の内容を見ることはできない。ただし、共用フォルダに格納されていれば、ファイルの存在自体は他のユーザに知られてしまうことになるため、ファイル ２のようなファイルは通常個人フォルダで管理される。

なお、図4のアクセス権テーブルの例では、対象をファイルのみとしているが、フォルダについても同様のアクセス権テーブルが存在し得る。アクセス権は、通常、対象となるファイルあるいはフォルダを作成したユーザ自身によって設定され、設定内容の変更も当該ユーザのみが行い得る。すなわち、個人フォルダは、たとえば、フォルダのオーナーであるユーザ自身がアクセス権の設定を変更することで容易に生成できる。また、ユーザアカウントの生成と連動し、新規のユーザ登録を行う際にユーザ毎に個人フォルダを生成することもできる。

あまり複雑なアクセス制御を必要としない場合には、たとえば、グループフォルダを一切使用しないといったことも可能である。その場合は、たとえば、共用フォルダのみを用いたり、あるいは共用フォルダと個人フォルダのみを用いるなどすればよい。また、共用フォルダの利用に際しては、たとえばアクセスの度に、フォルダごとのパスワード認証を行うようにしてもよい。

さらに、フォルダやファイルの管理についてあらゆる権限を持つ、システム管理者と呼ばれるスーパーユーザを設定してもよい。システム管理者は、文書管理装置を管理する上で必要な権限、すなわち、全フォルダ、全ディレクトリ、全ファイルに対する、リード、ライト、実行すべてのアクセス権を持つ者である。ただし、このようなシステム管理者の設定は任意である。

次に、本発明のポイントである、ユーザアカウントを削除した後に、当該ユーザアカウントを削除されたユーザが自己の管理化にあったファイルにアクセスするための方法について説明する。

（ユーザアカウント削除後にファイルにアクセスするための方法）
上述のような文書管理装置において、ユーザアカウントを削除した後も、一定の条件下で当該ユーザの支配下にあったファイルにアクセスするための方法について述べる。

あるユーザが部署を異動したり、支社に転勤になったり、あるいは退職する場合、当該ユーザの文書管理装置上のユーザアカウントは、通常、異動等の時期に併せシステム管理者等によって削除される。そして、そのまま何等の手当てもしなければ、削除されたユーザアカウントが割り当てられていたユーザは、以後、上述のログイン認証をパスすることができず、文書管理装置を一切利用できなくなる。本発明では、ユーザアカウントを削除した後も、たとえば、自己のみがアクセス権を有していたファイル等へのアクセスを実現できるよう、以下のような方法が採用される。

図５は、本実施例に係る処理フローを表した図である。

まず、ステップ１００で、異動等により文書管理装置への一般的な利用権限を与えておく必要がなくなった特定のユーザに対応するユーザアカウントが削除される。具体的には、ユーザ管理部２０がユーザ管理テーブル１００から、削除対象となるユーザのユーザアカウント情報（本実施例の場合は、ユーザＩＤとパスワード）を削除する。

ユーザアカウントを削除すると、ユーザ管理部２０は、ユーザ管理テーブル１００を参照し、当該削除対象のユーザのＥ−Ｍａｉｌアドレスを通知先情報として取得し、ＲＡＭ１６に格納する（Ｓ１０１）。通知先情報を取得後は、ユーザ名やＥ−Ｍａｉｌアドレスももはや不要となるため、これら削除対象ユーザに関する一切の情報をユーザ管理テーブル１００から抹消する。ただし、再度の異動等に備えユーザ名など一部情報を残したままにしておいてもよい。

次に、ステップ１０２で、文書管理部が、削除対象のユーザがアクセス権を有していたファイルやフォルダを、アクセス権テーブル１４０を参照して検索する（なお、簡単化のため、以下、ファイルに限定して説明を行うが、フォルダについても同様である。）。そして、この検索処理を、当該削除対象ユーザがアクセス権を持っていたすべてのファイルが見つかるまで繰り返す（Ｓ１０３）。

すべてのファイルが見つかると、ステップ１０４に進む。ステップ１０４で、暗号化部４０は、見つかったファイルに対し、暗号化ＰＤＦへの変換処理を行う。なお、暗号化ＰＤＦの詳しい変換処理方法については、本発明のポイントではないため説明を省略する。

ステップ１０４の暗号化処理が終わると、文書管理部３０は、変換された暗号化ＰＤＦを、すべてのユーザがアクセス可能な共用領域である共用フォルダに保存する（Ｓ１０５）。

続いて、ユーザ管理部２０は、ユーザアカウントを削除されたユーザのためのゲストアカウントを発行する（ステップ１０６）。ここでゲストアカウントとは、文書管理装置を一時的に利用するユーザのために用意されるユーザアカウントである。通常、ゲストアカウントは、出張や短期の異動で来ている者等に一時的に文書管理装置を利用する権限を与えるために予め一定数用意されていたり、あるいは必要に応じて一時的に発行されたりするものである。

次に、削除対象ユーザに対し、上記暗号化されたファイルにアクセスするための情報を通信部５０によってＥ−ｍａｉｌで通知する（Ｓ１０７）。すなわち、ステップ１０１で取得した通知先情報であるＥ−Ｍａｉｌアドレスを利用して当該アドレス宛に、ステップ１０６で発行したゲストアカウント、暗号化ＰＤＦの暗号を解くパスワードおよび共用フォルダの格納場所を示したファイルパスを送信する。ユーザは、自己のＰＣなど、Ｅ−ｍａｉｌを取得・閲覧できる任意の端末において当該通知を受け取る。通知を受け取ったユーザは、ゲストアカウントを利用して文書管理装置にログインし、ファイルパスと暗号化ＰＤＦのパスワードを使用して、自己がアクセス権を有していた機密性の高いファイルを取得して参照・編集することができる。

最後に、ユーザ管理部２０は、一定期間経過後に、共用フォルダからステップ１０４において暗号化された暗号化ＰＤＦを削除する（S１０８）。この削除処理は、一定期間の経過により自動的にファイルが削除されるようにすればよい。当該一定期間についてはデフォルトで、たとえば一週間と設定しておいてもよいし、あるいは削除対象ユーザの希望をその都度確認しユーザアカウントを削除する際に任意の期間をシステム管理者が設定してもよい。もちろん、システム管理者が一定期間経過後に手動で削除処理を行ってもよい。これにより、暗号化したファイルがいつまでも共用領域に存在したまま、ストレージ容量を圧迫してしまうという事態の発生を防ぐことができる。さらに、一定期間の経過に代えて、あるいは追加して、ゲストアカウントによる一定回数のログインがなされたことを条件に、自動削除されるようにしてもよい。

（本実施例の変形例）
ステップ１００とステップ１０１は、順序が逆でもよい。すなわち、先に削除対象ユーザのＥ−ｍａｉｌアドレスを取得してから、ユーザアカウントを削除するようにしてもよい。このような順序で処理を行う場合には、ユーザアカウントを削除する際には、通知先情報としてのＥ−ｍａｉｌアドレスは既に取得済みであるので、当該削除対象ユーザに関するすべての情報を一度に抹消することができる。

ステップ１０２において、個人フォルダへのアクセスさえ確保できれば十分な場合には、検索対象を当該削除対象ユーザの個人フォルダに限定してもよい。あるいは、アクセス権の内容を限定したり、特定のファイルのみを検索対象としてもよい。これにより、検索処理を含めたすべての処理が簡単化され、システムへの負荷が軽減できる。

ステップ１０４において、暗号化フォーマットには、既知の暗号化を適用すればよく、たとえば、ポリシーサーバと連携しユーザごとにポリシーが付与されたＰＤＦの動作を許可・制限するポリシー付ＰＤＦでもよい。さらには、パスワード付きの圧縮ファイルに変換するだけでもよい。また、ファイルに暗号化処理を行なう代わりに、一時的に利用可能な共用フォルダを作成し当該共用フォルダ自体にパスワードを付与してもよい。このように共用フォルダ自体を暗号化した場合には、ステップ１０７で通知される情報は、ゲストアカウント、暗号化された共用フォルダの暗号を解くためのパスワードおよび共用フォルダの格納場所を示したファイルパスとなる。

ステップ１０６において、ゲストアカウントは、条件付きでログインできる一時アカウントとしてもよい。このような一時アカウントはユーザ毎に異なるものでもよいし、共用で固定のアカウントとしてもよい。一時アカウントは、条件の達成により、自動的に無効化されるようにすることができる。条件とは、当該ゲストアカウントによる一定回数のログインや、一定の日数の経過などがあり得る。

ステップ１０７において、ユーザに通知する手段は、Ｅ−Ｍａｉｌでなくてもよい。たとえば、文書管理装置のリモートユーザインタフェース（図１において不図示）を介して通知してもよい。リモートユーザインタフェースは、ウェブ上に文書管理装置の情報を開示するウェブページであり、ユーザはブラウザを介して参照することができる。また、パーソナルコンピュータ上（ワークステーションなどを含む）で文書管理装置の情報や文書を取得したりすることを可能にする文書管理アプリケーションを介して通知してもよい。これらの場合には、ユーザ管理テーブル１００に、Ｅ−Ｍａｉｌアドレスに代わるユーザに一対一に対応した適切な情報をあらかじめ格納しておくことになる。そして、ステップ１０１において、Ｅ−Ｍａｉｌアドレスに代えて当該情報を取得しておき、ステップ１０６で、当該取得した情報を用いてユーザに通知すればよい。

次に、ファイル等を管理可能な外部情報機器がＬＡＮ１１を介して文書管理装置に接続された文書管理システムにおける本発明の適用例について説明する。

図６は、本発明に係る文書管理システムの機能ブロック図であり、ＬＡＮ１１を介して文書管理装置とファイルサーバ１０００とが接続されている様子を示している。

文書管理装置の構成については、実施例１の場合と同様である。本実施例における文書管理装置の通信部５０は、通信インタフェース１２のプロトコルをファイルサーバ１０００のプロトコルに合わせてファイルの送信を行い得る。この場合のプロトコルとしては、たとえば、ＦＴＰ、ＳＭＢ、ＷｅｂＤＡＶなどがある。

ファイルサーバは、複数のユーザでファイルを共有しデータを一括管理できるサーバであり、たとえば、図３に示されるようなツリー構造でファイルの管理を行う。ファイルサーバ１０００で管理されるファイルは、文書管理装置の文書管理部３０によって、実施例１と同様なアクセス制御がなされる。また、ファイルサーバ１０００には、文書管理装置からの要求を受けて、ファイルを文書管理装置の通信部５０との間で送受信する通信部（不図示）も備わっている。

本システムにおける文書管理装置は、メインコントローラー１０によって制御され、実施例１の場合と基本的には同様の処理を行う。以下では、実施例1と異なる点を中心に説明する。

図７は、本実施例において文書管理装置が行う制御処理を表したフローチャートである。

まず、ステップ２００で、システム管理者が特定のユーザアカウントを削除する。その後、ステップ２０１において、ユーザ管理部２０は、ユーザ管理テーブル１００を参照して、後述のステップ２０６で必要となる情報を取得する。すなわち、削除対象ユーザに通知を行う際の通知先情報であるＥ−ｍａｉｌアドレスに加え、ファイルサーバ１０００のアドレスなど、後に当該ユーザがファイルサーバ１０００で管理されているファイルにアクセスする際に必要な情報を取得する。取得された情報はＲＡＭ１６に一時的に格納される。

次に、ステップ２０２、２０３で、文書管理部３０は、削除対象ユーザがアクセス権を有していたすべてのファイルを検索し、見つかったファイルを暗号化部４０で暗号化ＰＤＦに変換する（Ｓ２０４）。

そして、生成された暗号化ＰＤＦを、通信部５０が、通信インタフェース１２およびＬＡＮ１１を介してファイルサーバ１０００に送信する（Ｓ２０５）。この送信は、システム管理者の指示に基づいて行ってもよいし、暗号化ＰＤＦが完成した時点で自動的に送信してもよい。なお、暗号化ＰＤＦを受信したファイルサーバ１０００では、受け取った暗号化ＰＤＦを共用フォルダなどすべてのユーザがアクセス可能な共用領域に格納する。

次に、暗号化ＰＤＦの暗号を解くパスワード、ファイルサーバ１０００上のファイルパスなどの情報を削除対象ユーザに対して、Ｅ−Ｍａｉｌで通知する（Ｓ２０６）。

なお、ファイルを検索した結果、削除対象ユーザのみがアクセス権を持つファイルであった場合には当該ユーザ以外は中身を参照できないので、ステップ２０４の暗号化処理を行なわずにファイルをファイルサーバ１０００に送信してもよい。

本システムによれば、ユーザアカウントを削除されたユーザは、利用可能な任意の端末（ＰＣ等）からネットワークを介してファイルサーバにアクセスし、所望のファイルを参照することができる。したがって、本実施例においては、ファイルサーバへのアクセスさえ確保されればよく、文書管理装置にはアクセスする必要がなくなるので、実施例１におけるゲストアカウントの発行やその有効期間の管理などを行う必要がなくなる。

（その他の実施形態）
尚、本発明は、前述した実施形態の機能を実現するソフトウェアのプログラム（実施形態では図に示すフローチャートに対応したプログラム）を、システムあるいは装置に直接あるいは遠隔から供給する。そして、そのシステムあるいは装置のコンピュータが該供給されたプログラムコードを読み出して実行することによっても達成される場合を含む。

従って、本発明の機能処理をコンピュータで実現するために、該コンピュータにインストールされるプログラムコード自体も本発明を実現するものである。つまり、本発明は、本発明の機能処理を実現するためのコンピュータプログラム自体も含まれる。

その場合、プログラムの機能を有していれば、オブジェクトコード、インタプリタにより実行されるプログラム、ＯＳに供給するスクリプトデータ等の形態であっても良い。

プログラムを供給するための記録媒体としては、例えば、フロッピー（登録商標）ディスク、ハードディスク、光ディスクがある。また、更に、記録媒体としては、光磁気ディスク、ＭＯ、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＣＤ−ＲＷ、磁気テープ、不揮発性のメモリカード、ＲＯＭ、ＤＶＤ（ＤＶＤ−ＲＯＭ，ＤＶＤ−Ｒ）などがある。

その他、プログラムの供給方法としては、クライアントコンピュータのブラウザを用いてインターネットのホームページに接続する。そして、その接続先のホームページから本発明のコンピュータプログラムそのもの、もしくは圧縮され自動インストール機能を含むファイルをハードディスク等の記録媒体にダウンロードすることによっても供給できる。また、本発明のプログラムを構成するプログラムコードを複数のファイルに分割し、それぞれのファイルを異なるホームページからダウンロードすることによっても実現可能である。つまり、本発明の機能処理をコンピュータで実現するためのプログラムファイルを複数のユーザに対してダウンロードさせるＷＷＷサーバも、本発明に含まれるものである。

また、本発明のプログラムを暗号化してＣＤ−ＲＯＭ等の記憶媒体に格納してユーザに配布し、所定の条件をクリアしたユーザに対し、インターネットを介してホームページから暗号化を解く鍵情報をダウンロードさせる。そして、その鍵情報を使用することにより暗号化されたプログラムを実行してコンピュータにインストールさせて実現することも可能である。

また、コンピュータが、読み出したプログラムを実行することによって、前述した実施形態の機能が実現される。また、そのプログラムの指示に基づき、コンピュータ上で稼動しているＯＳなどが、実際の処理の一部または全部を行ない、その処理によっても前述した実施形態の機能が実現され得る。

さらに、記録媒体から読み出されたプログラムが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書き込まれる。その後、そのプログラムの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部または全部を行ない、その処理によっても前述した実施形態の機能が実現される。

本発明の実施例１にかかる文書管理装置の機能ブロック図である。 ユーザ管理テーブルの一例を示した図である。 フォルダやファイルを管理するツリー構造を示した図である。 アクセス権テーブルの一例を示した図である。 実施例１に係る本発明の制御処理を示したフローチャートである。 本発明の実施例２にかかる文書管理システムの機能ブロック図である。 実施例２に係る本発明の制御処理を示したフローチャートである。

１０ メインコントローラー
１１ ＬＡＮ
１２ 通信インタフェース
１３ ＣＰＵ
１４ ＨＤＤ
１５ ＲＯＭ
１６ ＲＡＭ
２０ ユーザ管理部
３０ ファイル管理部
４０ 暗号化部
５０ 通信部
６０ ユーザインタフェース部
１００ ユーザ管理テーブル
１１０ 上位個人フォルダ
１１１ 個人フォルダ
１１２ 個人フォルダ内のファイル
１２０ 共用フォルダ
１３０ グループフォルダ
１４０ アクセス権テーブル
１０００ ファイルサーバ

Claims (19)

1. ユーザアカウントおよびユーザの通知先情報の管理を行うユーザ管理手段と、
   フォルダおよび／またはファイルを管理し、前記フォルダおよび／またはファイルに対して設定されたアクセス権に従ってアクセス制御を行う文書管理手段と、
   前記ユーザ管理手段で特定の前記ユーザアカウントが削除された場合に、特定の前記フォルダおよび／またはファイルを暗号化する暗号化手段と、
   前記ユーザアカウントを削除されたユーザが前記暗号化されたフォルダおよび／またはファイルにアクセスするための情報を前記通知先情報に従って前記ユーザに通知する通知手段と、
   を備えたことを特徴とする文書管理装置。
2. 前記文書管理手段が管理する前記フォルダには少なくとも共用フォルダを含み、
   前記暗号化手段が暗号化する前記特定のフォルダおよび／またはファイルは、前記ユーザアカウントを削除された前記ユーザが前記アクセス権を有した前記フォルダおよび／またはファイルであり、
   前記文書管理手段は、前記暗号化手段で暗号化されたフォルダおよび／またはファイルを前記共用フォルダに格納し、
   前記ユーザ管理手段は、前記ユーザアカウントを削除された前記ユーザのためにゲストアカウントを発行する、
   ことを特徴とする請求項１に記載の文書管理装置。
3. 前記文書管理手段は、前記ユーザ管理手段で特定の前記ユーザアカウントが削除された場合に共用フォルダを作成して、前記ユーザアカウントを削除された前記ユーザが前記アクセス権を有した前記フォルダおよび／またはファイルを前記共用フォルダに格納し、
   前記暗号化手段は、前記フォルダおよび／またはファイルが格納された前記共用フォルダを暗号化し、
   前記ユーザ管理手段は、前記ユーザアカウントを削除された前記ユーザのためにゲストアカウントを発行する、
   ことを特徴とする請求項１に記載の文書管理装置。
4. 前記文書管理手段は、前記暗号化されたフォルダおよび／またはファイルを、一定期間経過後または前記ゲストアカウントによって一定回数のログインがされた後に削除することを特徴とする請求項１乃至３のいずれか1項に記載の文書管理装置。
5. 前記ユーザ管理手段は、前記ゲストアカウントを、一定期間経過後または前記ゲストアカウントにより一定回数のログインがされた後に削除することを特徴とする請求項１乃至３のいずれか1項に記載の文書管理装置。
6. 前記暗号化手段による前記ファイルの暗号化は、暗号化ＰＤＦまたはポリシー付ＰＤＦへの変換であることを特徴とする請求項１または２に記載の文書管理装置。
7. 前記暗号化手段による暗号化は、パスワード付きの圧縮であることを特徴とする請求項１乃至３のいずれか1項に記載の文書管理装置。
8. 前記アクセス権は、リード権、ライト権、実行権であることを特徴とする請求項１乃至３のいずれか1項に記載の文書管理装置。
9. 前記暗号化されたフォルダおよび／またはファイルに前記ユーザアカウントを削除された前記ユーザがアクセスするための情報は、前記ゲストアカウント、前記暗号化されたフォルダおよび／またはファイルの暗号を解くパスワード、前記共用フォルダのファイルパスであることを特徴とする請求項２に記載の文書管理装置。
10. 前記暗号化された共用フォルダに前記ユーザアカウントを削除された前記ユーザがアクセスするための情報は、前記ゲストアカウント、前記暗号化された共用フォルダの暗号を解くパスワード、前記暗号化された共用フォルダのファイルパスであることを特徴とする請求項３に記載の文書管理装置。
11. 前記通知先情報は、Ｅ−Ｍａｉｌアドレスであることを特徴とする請求項１乃至１０のいずれか1項に記載の文書管理装置。
12. 前記通知手段は、リモートユーザインタフェースまたはパーソナルコンピュータ上で動作する文書管理アプリケーションを介して前記ユーザに通知することを特徴とする請求項１乃至１０のいずれか1項に記載の文書管理装置。
13. フォルダおよび／またはファイルを管理可能な情報機器と文書管理装置とがネットワークを介して接続された文書管理システムであって、
    前記文書管理装置は、
    ユーザアカウントおよびユーザへの通知先情報の管理を行うユーザ管理手段と、
    フォルダおよび／またはファイルを管理し、前記フォルダおよび／またはファイルに対して設定されたアクセス権に従ってアクセス制御を行う文書管理手段と、
    前記ユーザ管理手段で特定の前記ユーザアカウントが削除された場合に、前記ユーザアカウントを削除されたユーザが前記アクセス権を有した前記フォルダおよび／またはファイルを暗号化する暗号化手段と、
    前記暗号化手段で暗号化されたフォルダおよび／またはファイルを前記情報機器に送信し、前記暗号化されたフォルダおよび／またはファイルに前記ユーザアカウントを削除された前記ユーザがアクセスするための情報を前記通知先情報に従って前記ユーザに通知する通知手段と、
    を備えたことを特徴とするシステム。
14. 前記暗号化されたフォルダおよび／またはファイルに前記ユーザアカウントを削除された前記ユーザがアクセスするための情報は、前記暗号化されたフォルダおよび／またはファイルの暗号を解くパスワード、前記情報機器のファイルパスであることを特徴とする請求項１３に記載の文書管理システム。
15. ユーザ管理手段が、ユーザアカウントおよびユーザの通知先情報の管理を行うユーザ管理ステップと、
    文書管理手段が、フォルダおよび／またはファイルを管理し、前記フォルダおよび／またはファイルに対して設定されたアクセス権に従ってアクセス制御を行う文書管理ステップと、
    暗号化手段が、前記ユーザ管理ステップで特定の前記ユーザアカウントが削除された場合に、特定の前記フォルダおよび／またはファイルを暗号化する暗号化ステップと、
    通知手段が、前記ユーザアカウントを削除されたユーザが前記暗号化されたフォルダおよび／またはファイルにアクセスするための情報を前記通知先情報に従って前記ユーザに通知する通知ステップと、
    を備えたことを特徴とする文書の管理方法。
16. 文書管理装置とフォルダおよび／またはファイルを管理可能な情報機器とがネットワークを介して接続された文書管理システムにおける文書の管理方法であって、
    前記文書管理装置において、
    ユーザ管理手段が、ユーザアカウントおよびユーザへの通知先情報の管理を行うユーザ管理ステップと、
    文書管理手段が、フォルダおよび／またはファイルを管理し、前記フォルダおよび／またはファイルに対して設定されたアクセス権に従ってアクセス制御を行う文書管理ステップと、
    暗号化手段が、前記ユーザ管理ステップで特定の前記ユーザアカウントが削除された場合に、前記ユーザアカウントを削除されたユーザが前記アクセス権を有した前記フォルダおよび／またはファイルを暗号化する暗号化ステップと、
    通知手段が、前記暗号化ステップで暗号化されたフォルダおよび／またはファイルを前記情報機器に送信し、前記暗号化されたフォルダおよび／またはファイルに前記ユーザアカウントを削除された前記ユーザがアクセスするための情報を前記通知先情報に従って前記ユーザに通知する通知ステップと、
    を行うことを特徴とする文書の管理方法。
17. コンピュータを、
    ユーザアカウントおよびユーザの通知先情報の管理を行うユーザ管理手段、
    フォルダおよび／またはファイルを管理し、前記フォルダおよび／またはファイルに対して設定されたアクセス権に従ってアクセス制御を行う文書管理手段、
    前記ユーザ管理手段で特定の前記ユーザアカウントが削除された場合に、特定の前記フォルダおよび／またはファイルを暗号化する暗号化手段、
    前記ユーザアカウントを削除されたユーザが前記暗号化されたフォルダおよび／またはファイルにアクセスするための情報を前記通知先情報に従って前記ユーザに通知する通知手段、
    として機能させるためのコンピュータプログラム。
18. コンピュータを、
    ユーザアカウントおよびユーザへの通知先情報の管理を行うユーザ管理手段、
    フォルダおよび／またはファイルを管理し、前記フォルダおよび／またはファイルに対して設定されたアクセス権に従ってアクセス制御を行う文書管理手段、
    前記ユーザ管理手段で特定の前記ユーザアカウントが削除された場合に、前記ユーザアカウントを削除されたユーザが前記アクセス権を有した前記フォルダおよび／またはファイルを暗号化する暗号化手段、
    前記暗号化手段で暗号化されたフォルダおよび／またはファイルを情報機器に送信し、前記暗号化されたフォルダおよび／またはファイルに前記ユーザアカウントを削除された前記ユーザがアクセスするための情報を前記通知先情報に従って前記ユーザに通知する通知手段、
    として機能させるためのコンピュータプログラム。
19. コンピュータにより読み出し可能なプログラムを格納した記憶媒体であって、請求項１７または１８のいずれかに記載のコンピュータプログラムを格納したことを特徴とする記憶媒体。

Images