JP2011182352A - 電子メール処理装置、電子メール処理方法、および電子メール処理プログラム - Google Patents

Abstract

【課題】利用者の利便性を妨げず、電子メールによる情報漏えいを防ぐことが可能な電子メール処理装置、電子メール処理方法、および電子メール処理プログラムを提供する。
【解決手段】電子メール処理装置２０１は、送信すべき電子メールの送信元のセキュリティ属性を取得するためのセキュリティ属性取得部１９と、電子メールの送信先が信頼済みであるか否かを判定するための信頼性判定部１６と、送信先が信頼済みである場合には、電子メールのヘッダ領域に送信元のセキュリティ属性を書き込むためのヘッダ書き換え部１５と、送信先が信頼済みでない場合には、送信元のセキュリティ属性および電子メールの送信先が属するネットワークのセキュリティ属性に基づいて、電子メールの送信を許可すべきか否かを判断するための送信可否判断部１７とを備える。
【選択図】図４

Description

本発明は、電子メール処理装置、電子メール処理方法、および電子メール処理プログラムに関し、特に、電子メールによる情報漏えいを防ぐための電子メール処理装置、電子メール処理方法、および電子メール処理プログラムに関する。

電子メールの利用にあたっては、不注意その他の理由によって、正当な公開範囲の外における対象に機密情報を送信しないようにする必要がある。なお、公開範囲外の対象は、機密情報の開示が許されていない利用者、および信頼されていない電子メールサーバを含む。一度流出してしまった機密情報の回収はほとんどの場合不可能であり、大きな損失に繋がる可能性もある。

電子メールを介した情報漏えいの対策では、運用面での対策、および技術面での対策の双方を適切に組み合わせる必要がある。運用面での対策には、従業員の教育および電子メール利用ルールの策定などがある。技術面での対策には、従来、宛先による配信制御、文面によるフィルタ、および外部配信への再確認などがある。

電子メールを介した情報漏えいの対策の一例として、たとえば、特許文献１（特開２０００−２２７３９号公報）には、以下のような技術が開示されている。すなわち、電子メールを送付する際、メール転送フィルタが送信者アドレスおよび受信者アドレスをチェックする、すなわち二重にチェックする。これにより、アドレス記述に誤りがあったとしても、別のアドレス（送信先）に電子メールが送信されてしまうことがほとんどなく、電子メールの誤送を防止できる。このような技術を利用すれば、たとえば、組織外への電子メールの送信を許さないといった対策を講じることができる。しかしながら、機密情報を含んでいないことが明らかであるにも関わらず、組織外への電子メールの送信を禁止することは、利便性を大きく妨げる。

このような問題点を解決するために、たとえば、特許文献２（特開２００５−２７７９７６号公報）には、以下のような技術が開示されている。すなわち、メール送受信端末によって電子メールの送受信が行なわれ、送信メール保留装置によってメール送受信端末から受け付けた電子メールが一時的に保留される。そして、保留中の電子メールが送信保留中メールとして送信元のメール送受信端末に送信される。これにより、送信者に電子メールの内容の確認を容易に意識させるようにする。すなわち、特定の宛先（例えば組織外）への電子メールに対して、送信者が再度承認を行なうことにより、メールサーバが外部への電子メールを送信する。しかしながら、多かれ少なかれ利便性の妨げになる他、利用者の慣れによって対策が形骸化する危険性がある。

また、特許文献３（特開２００７−６０１５７号公報）には、以下のような技術が開示されている。すなわち、メール送受信装置は、配送を依頼された電子メールの送信先アドレスを取得する手段と、送信先アドレスとキーワードとが対応付けられて登録されている記憶手段から送信先アドレスと対応するキーワードを取得する手段と、電子メールの本文を検索してキーワードが含まれているか否かを確認する手段と、電子メールの本文にキーワードが含まれないことが確認された場合に、電子メールの配送を中止させる手段とを備える。すなわち、宛先情報ではなく、電子メールの本文および添付ファイルに対して、予め設定したキーワードを検査する。しかしながら、機密ファイルの内容が特定キーワードに対して適合するという保証がない場合、対策に抜け穴が生じる危険性がある。

また、特許文献４（特開２００５−１０９０６号公報）には、以下のような技術が開示されている。すなわち、異なる秘密区分のコンピュータネットワーク同士を連接して電子メールの送受信を行なう場合に、上記秘密区分に基づくラベルを電子メールに付与しておく。送信しようとする電子メールの取扱区分をラベルで判定するとともに送信先のコンピュータネットワークの取扱区分と比較する。送信可と判定されれば送信し、送信不可と判定されればエラーメールを送信者に返す。これにより、高位の秘密区分を持つ電子メールが、より低位の秘密区分を持つコンピュータネットワークへ漏えいすることを防ぐ。この技術では、電子メールを作成する際に利用者が機密レベル（例えば「極秘」、「秘」、「注意」など）を指定し、「極秘」ラベルが付された電子メールは、それよりも機密レベルの低いネットワークに宛てて送信することが不可能となる。しかしながら、利用者自身が機密ラベルを指定しなければならないため、悪意の内部者による情報漏えいを防げない他、利用者の慣れによって対策が形骸化する危険性がある。

また、特許文献５（特開２００６−７２６８５号公報）には、以下のような技術が開示されている。すなわち、メーラ送信部に、セキュリティ属性を設定するセキュリティ設定手段と、送信先がセキュリティメール対応の受信部であるかを問い合わせる送信先確認手段と、上記受信部へセキュリティメールを送信するセキュリティ対応送信手段とを設ける。また、メーラ受信部に、上記問い合わせがあったとき、セキュリティ対応応答を返す返答手段と、セキュリティ対応受信手段とを設ける。メーラ受信部は、メール転用禁止モードのセキュリティメールを受信すると、受信メールの印刷、コピー＆ペースト、および記憶部への格納等を禁止する。なお、関係者転送許可モードのセキュリティ属性を設け、関係者への転送を可能にするようにしてもよい。

また、特許文献６（特開２００７−１０２３３４号公報）には、以下のような技術が開示されている。すなわち、電子メールの送信元と送信先との間に管理サーバを設け、ドメインのツリー状の階層構造、ポリシー情報、送信不可指定ドメイン名、および同時送信可能ドメイン数等の、電子メールの送信の制約条件を管理サーバに保持しておく。送信元端末は、送信予定の電子メールのチェックを管理サーバに依頼する。管理サーバは、送信予定の電子メールが制約条件に適合するかどうかをチェックし、適合する場合は適合証明を送信元端末に返信する。送信元端末は、この適合証明をもとに送信予定の電子メールの送信処理を開始する。

また、特許文献７（特開２００９−１６９６６１号公報）には、セキュアＯＳに設定されたセキュリティポリシーによってリソースのアクセス制御を実施している情報処理装置が開示されている。

特開２０００−２２７３９号公報 特開２００５−２７７９７６号公報 特開２００７−６０１５７号公報 特開２００５−１０９０６号公報 特開２００６−７２６８５号公報 特開２００７−１０２３３４号公報 特開２００９−１６９６６１号公報

電子メールによる情報漏えいの対策としては、機密情報を含んでいないメッセージに対
して配送先を制限しないこと、および機密情報を含むメッセージに対して配送先を制限することが必要である。これらを実現し、かつ特許文献１〜特許文献７に記載の技術を超えて情報漏えいを防ぐことを可能とする技術が望まれる。

この発明は、上述の課題を解決するためになされたもので、その目的は、利用者の利便性を妨げず、電子メールによる情報漏えいを防ぐことが可能な電子メール処理装置、電子メール処理方法、および電子メール処理プログラムを提供することである。

上記課題を解決するために、この発明のある局面に係わる電子メール処理装置は、送信すべき電子メールの送信元のセキュリティ属性を取得するためのセキュリティ属性取得部と、上記電子メールの送信先が信頼済みであるか否かを判定するための信頼性判定部と、上記送信先が信頼済みである場合には、上記電子メールのヘッダ領域に上記送信元のセキュリティ属性を書き込むためのヘッダ書き換え部と、上記送信先が信頼済みでない場合には、上記送信元のセキュリティ属性および上記電子メールの送信先が属するネットワークのセキュリティ属性に基づいて、上記電子メールの送信を許可すべきか否かを判断するための送信可否判断部と、上記ヘッダ書き換え部によってヘッダ領域が書き込まれた上記電子メール、および上記送信可否判断部によって送信が許可された上記電子メールを上記送信先へ送信するための送信処理部とを備える。

またこの発明の別の局面に係わる電子メール処理装置は、送信元から電子メールを受信するための受信処理部と、上記電子メールを保存するためのメールスプール部と、上記電子メールの送信元が信頼済みであるか否かを判定し、上記送信元が信頼済みである場合には、上記電子メールを上記メールスプール部に保存するための信頼性判定部と、上記送信元が信頼済みでない場合には、上記電子メールのヘッダ領域に上記送信元が属するネットワークのセキュリティ属性を書き込んで上記メールスプール部に保存するためのヘッダ書き換え部と、上記電子メールの受信要求を受けるための受信要求受付部と、上記電子メールの受信要求元のセキュリティ属性を取得するためのセキュリティ属性取得部と、上記メールスプール部から上記受信要求に対応する上記電子メールを取り出し、取り出した上記電子メールのヘッダ領域に書き込まれたセキュリティ属性、および上記セキュリティ属性取得部の取得したセキュリティ属性に基づいて、上記受信要求を許可すべきか否かを判断するための受信可否判断部とを備える。

上記課題を解決するために、この発明のある局面に係わる電子メール処理方法は、（ａ）送信すべき電子メールの送信元のセキュリティ属性を取得するステップと、（ｂ）上記電子メールの送信先が信頼済みであるか否かを判定するステップと、（ｃ）上記送信先が信頼済みである場合には、上記電子メールのヘッダ領域に上記送信元のセキュリティ属性を書き込むステップと、（ｄ）上記送信先が信頼済みでない場合には、上記送信元のセキュリティ属性および上記電子メールの送信先が属するネットワークのセキュリティ属性に基づいて、上記電子メールの送信を許可すべきか否かを判断するステップと、（ｅ）上記（ｃ）のステップにおいてヘッダ領域が書き込まれた上記電子メール、または上記（ｄ）のステップにおいて送信が許可された上記電子メールを上記送信先へ送信するステップとを含む。

またこの発明の別の局面に係わる電子メール処理方法は、（ａ）送信元から電子メールを受信するステップと、（ｂ）上記電子メールの送信元が信頼済みであるか否かを判定し、上記送信元が信頼済みである場合には、上記電子メールを保存するステップと、（ｃ）上記送信元が信頼済みでない場合には、上記電子メールのヘッダ領域に上記送信元が属するネットワークのセキュリティ属性を書き込んで保存するステップと、（ｄ）上記電子メールの受信要求を受けるステップと、（ｅ）上記電子メールの受信要求元のセキュリティ
属性を取得するステップと、（ｆ）上記受信要求に対応する上記保存された電子メールのヘッダ領域に書き込まれたセキュリティ属性、および上記（ｅ）のステップにおいて取得したセキュリティ属性に基づいて、上記受信要求を許可すべきか否かを判断するステップとを含む。

上記課題を解決するために、この発明のある局面に係わる電子メール処理プログラムは、（ａ）送信すべき電子メールの送信元のセキュリティ属性を取得するステップと、（ｂ）上記電子メールの送信先が信頼済みであるか否かを判定するステップと、（ｃ）上記送信先が信頼済みである場合には、上記電子メールのヘッダ領域に上記送信元のセキュリティ属性を書き込むステップと、（ｄ）上記送信先が信頼済みでない場合には、上記送信元のセキュリティ属性および上記電子メールの送信先が属するネットワークのセキュリティ属性に基づいて、上記電子メールの送信を許可すべきか否かを判断するステップと、（ｅ）上記（ｃ）のステップにおいてヘッダ領域が書き込まれた上記電子メール、または上記（ｄ）のステップにおいて送信が許可された上記電子メールを上記送信先へ送信するステップとをコンピュータに実行させる。

またこの発明の別の局面に係わる電子メール処理プログラムは、（ａ）送信元から電子メールを受信するステップと、（ｂ）上記電子メールの送信元が信頼済みであるか否かを判定し、上記送信元が信頼済みである場合には、上記電子メールを保存するステップと、（ｃ）上記送信元が信頼済みでない場合には、上記電子メールのヘッダ領域に上記送信元が属するネットワークのセキュリティ属性を書き込んで保存するステップと、（ｄ）上記電子メールの受信要求を受けるステップと、（ｅ）上記電子メールの受信要求元のセキュリティ属性を取得するステップと、（ｆ）上記受信要求に対応する上記保存された電子メールのヘッダ領域に書き込まれたセキュリティ属性、および上記（ｅ）のステップにおいて取得したセキュリティ属性に基づいて、上記受信要求を許可すべきか否かを判断するステップとをコンピュータに実行させる。

本発明によれば、利用者の利便性を妨げず、電子メールによる情報漏えいを防ぐことができる。

本発明の実施の形態に係る電子メール送受信システムにおいて利用者が電子メールを送信する場合を示す図である。 本発明の実施の形態に係る電子メール送受信システムにおいて利用者が電子メールを受信する場合を示す図である。 本発明の実施の形態に係る電子メール処理装置の概略構成図である。 本発明の実施の形態に係る電子メール処理装置が提供する制御構造を示すブロック図である。 本発明の実施の形態に係る電子メール処理装置が電子メールの送信処理を行なう際の動作手順を示すフローチャートである。 本発明の実施の形態に係る電子メール処理装置が電子メールの受信処理を行なう際の動作手順を示すフローチャートである。 本発明の実施の形態に係る電子メール処理装置が利用者からの電子メール受信要求を処理する際の動作手順を示すフローチャートである。

［概要］
本発明の実施の形態の主な特徴は、オペレーティングシステム（ＯＳ）の強制アクセス制御（Mandatory Access Control:MAC）機能によって管理されている利用者のセキュリテ
ィ属性情報に基づいて、利用者の電子メール送受信の制御を行なう点にある。これにより、不必要に利用者の利便性を妨げることなく、電子メールに対して一貫性のある情報漏えい対策を取ることができる。

［装置構成］
以下、本発明の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。

図１は、本発明の実施の形態に係る電子メール送受信システムにおいて利用者が電子メールを送信する場合を示す図である。

図１を参照して、電子メール送受信システム３０１は、電子メール処理装置２０１と、利用者端末２０２とを備える。電子メール処理装置２０１は、ネットワーク通信部１１と、強制アクセス制御部１３と、電子メールサーバソフト２１とを含む。利用者端末２０２は、ネットワーク通信部３１と、認証部３２と、電子メール端末ソフト４１とを含む。

利用者は、電子メールを送信する際に利用者端末２０２にログインし、電子メール端末ソフト４１を利用してネットワーク接続経由で電子メール処理装置２０１に接続し、電子メールの配送を要求する。電子メール処理装置２０１は、利用者に対して電子メールサーバ機能すなわち電子メールの送受信機能を提供する。

利用者端末２０２および電子メール処理装置２０１では、強制アクセス制御部３３および１３がそれぞれ動作している。

強制アクセス制御部は、たとえばセキュアＯＳが提供する機能であり、以下の（１）〜（３）の機能を提供する。すなわち、（１）システム内のすべてのプロセス、およびファイル等の資源に適切なセキュリティ属性を関連付け、（２）特定のセキュリティ属性間において許可される操作の組すなわちセキュリティポリシーを保持し、（３）その他のコンポーネントの問い合わせに対して、要求のあった操作の実行可否を返す。

強制アクセス制御部の持つべきセキュリティポリシーに関しては特定の仮定を置かないが、ここでは、説明のため、Ｂｉｂａセキュリティモデルに準じたセキュリティポリシーが適用されるものとする。

すなわち、セキュリティ属性の間には上下関係（機密度間の上限関係）が定義されている。そして、以下の２つの条件に反する操作を拒絶する。すなわち、読み出し操作の際、読み出し側の機密度は資源の機密度よりも高い、という条件と、書き込み操作の際、書き込み側の機密度は資源の機密度と等しい、という条件である。

一般に、ＳＥＬｉｎｕｘ（Security-Enhanced Linux）モジュールなど、強制アクセス制御機能を備えたＯＳでは、システムコール処理の際に利用者のセキュリティ属性と資源のセキュリティ属性との組に対して、たとえばリードまたはライトといった操作の実行が可能か否かを強制アクセス制御部に問い合わせ、その結果に基づいてアクセス制御を行なう（技術１）。

利用者が端末（本発明の実施の形態では利用者端末２０２）にログインする際、すべての操作に先立って、認証装置（本発明の実施の形態では認証部３２）による識別および認証が行なわれる。この時、認証装置は利用者に応じたセキュリティ属性を付加する。以降、同一セッション内で動作するプロセスは、このセキュリティ属性を継承する。利用者に対して複数のセキュリティ属性を提示して選択させることも可能であるが、１セッション
が持つことができるのは単一のセキュリティ属性である。

この前提条件および上記技術１により、以下の２つの事柄を保証することができる。すなわち、（１）利用者の実行したソフトウェアには、利用者自身の機密度よりも機密度の高い情報は存在しない。（２）利用者の実行したソフトウェアでは、利用者自身の機密度よりも機密度の低い資源に情報を書き出すことができない。

ネットワーク通信装置（本発明の実施の形態ではネットワーク通信部１１，３１）は接続端点プロセスのセキュリティ属性を互いに相手側ネットワーク通信装置に送信する。このため、接続相手先は接続元プロセスのセキュリティ属性を知ることができる（技術２）。

本発明の実施の形態に係る電子メールサーバソフト２１は、ネットワーク通信部１１を利用して、電子メールを送信しようとする電子メール端末ソフト４１のセキュリティ属性を取得する。このセキュリティ属性は、利用者の参照可能資源の機密度と一致する。

次に、電子メールサーバソフト２１は、強制アクセス制御部１３に問い合わせを行なうことにより、先の手順で取得した電子メール端末ソフト４１のセキュリティ属性と、送信先ネットワークの機密度（セキュリティ属性）との組に対して、電子メールの送信が許可されているか否かを検証する。

強制アクセス制御部１３が「許可」を返した場合、電子メールの送信は成功する。一方、強制アクセス制御部１３が「禁止」を返した場合、電子メールサーバソフト２１は電子メールを破棄する。

たとえば、利用者が『部外秘』のセキュリティ属性を持っている場合、当該セッションでは『部外秘』および『公開』の２つのレベルの情報を参照できる。したがって、当該セッションにおいて送信された電子メールは『部外秘』の情報を含む可能性がある。

この場合、電子メールサーバソフト２１は、当該セッションにおいて送信された電子メールを『部外秘』ネットワークにのみ送信可能であり、当該電子メールが仮に『公開』ネットワークに宛てられていた場合にはこれを破棄する。

一方、利用者が『公開』のセキュリティ属性を持っている場合、当該セッションでは『公開』レベルの情報を参照できる。したがって、当該セッションにおいて送信された電子メールには『部外秘』の情報は含まれない。

この場合、電子メールサーバソフト２１は、当該セッションにおいて送信された電子メールを『部外秘』および『公開』双方のネットワークに送信可能である。

『部外秘』ネットワークへ電子メールを送信した後、利用者端末２０２における強制アクセス制御部３３の制御により、電子メール端末ソフト４１は、送信した電子メールを、その送信時のセッションの機密レベルに一致するファイルにしか保存することができない。したがって、利用者が機密度の低いセッションによって利用者端末２０２に再度ログインしたとしても、一度ファイルに保存した『部外秘』電子メールを外部に再送信することはできない。

本発明の実施の形態では、配送先のネットワークだけでなく、配送先の利用者に応じて配送の制御を行なうことも可能である。このような構成の場合、配送先のメールサーバが信頼済みである場合に限り、電子メールサーバソフト２１は、利用者のセキュリティ属性
を電子メールのヘッダ領域に設定し、当該電子メールを信頼済みであるメールサーバに転送する。

ここで、「信頼済みである（trusted）」とは、電子メール処理装置２０１がセキュリティ上信頼できると確認した装置およびネットワーク等を意味する。たとえば、相手先のメールサーバが本発明を適用しており、かつ正当な管理下にあり、電子メール処理装置２０１がそれを何らかの手段、たとえばサーバ証明書によってこれらを確認している場合、当該メールサーバは「信頼済み」である。

図２は、本発明の実施の形態に係る電子メール送受信システムにおいて利用者が電子メールを受信する場合を示す図である。

図２を参照して、本発明の実施の形態に係る電子メールサーバソフト２１は、異なるネットワークから送信された電子メールを受け取り、当該電子メールを一時的にサーバ内に蓄積する。この際、電子メール処理装置２０１は、受信した電子メールのヘッダ領域に送信元ネットワークのセキュリティ属性を設定する。また、送信元電子メールサーバが「信頼済み」である場合には、「信頼済み」メールサーバが電子メールのヘッダ領域に付加したセキュリティ属性を変更しない。

次に、送信時と同様、利用者は電子メール処理装置２０１に接続し、自らに宛てられた電子メールを受信する。

この際、電子メールサーバソフト２１は、ネットワーク通信部１１を用いて接続元の電子メール端末ソフト４１のセキュリティ属性を取得する。これは、利用者の参照可能資源の機密度と一致する。

次に、電子メールサーバソフト２１は、強制アクセス制御部１３に問い合わせを行い、先の手順で取得した接続元のセキュリティ属性と、送信先ネットワークの機密度（セキュリティ属性）との組に対して、電子メールの受信が許可されているか否かを検証する。

強制アクセス制御部１３が「許可」を返した場合、電子メールの受信は成功する。一方、強制アクセス制御部１３が「禁止」を返した場合、利用者は電子メールを受信することができない。

たとえば、『部外秘』ネットワークより送信された電子メールを、『公開』のセキュリティ属性を持っている利用者が受信することはできない。一方、利用者が『部外秘』のセキュリティ属性を持っている場合には、電子メールサーバソフト２１は、当該電子メールを利用者の元に送信する。

『部外秘』ネットワークから電子メールを受信した後、利用者端末２０２側における強制アクセス制御部３３の制御により、電子メール端末ソフト４１は、受信した電子メールを、その受信時のセッションの機密レベルに一致するファイルにしか保存することができない。したがって、利用者が機密度の低いセッションによって利用者端末２０２に再度ログインしたとしても、一度ファイルに保存した『部外秘』電子メールを外部に再送信することはできない。

本発明の実施の形態に係る電子メール処理装置は、典型的には、汎用的なアーキテクチャを有するコンピュータを基本構造としており、予めインストールされたプログラムを実行することで各種機能を提供する。一般的に、このようなプログラムは、フレキシブルディスク（Flexible Disk）およびＣＤ−ＲＯＭ（Compact Disk Read Only Memory）などの
記録媒体に格納されて、あるいはネットワークなどを介して流通する。

本発明の実施の形態に係るプログラムは、ＯＳ等の他のプログラムの一部に組み込まれて提供されるものであってもよい。この場合でも、本発明の実施の形態に係るプログラム自体は、上記のような組み込み先の他のプログラムが有するモジュールを含んでおらず、当該他のプログラムと協働して処理が実行される。すなわち、本発明の実施の形態に係るプログラムとしては、このような他のプログラムに組み込まれた形態であってもよい。

なお、代替的に、プログラムの実行により提供される機能の一部もしくは全部を専用のハードウェア回路として実装してもよい。

図３は、本発明の実施の形態に係る電子メール処理装置の概略構成図である。図３を参照して、電子メール処理装置２０１は、演算処理部であるＣＰＵ（Central Processing Unit）１０１と、たとえば後述するメールスプール部１２に対応するメインメモリ１０２およびハードディスク１０３と、入力インターフェイス１０４と、表示コントローラ１０５と、データリーダ／ライタ１０６と、通信インターフェイス１０７とを備える。これらの各部は、バス１２１を介して互いにデータ通信可能に接続される。

ＣＰＵ１０１は、ハードディスク１０３に格納された電子メールサーバソフト２１等のプログラム（コード）をメインメモリ１０２に展開し、これらを所定順序で実行することにより、各種の演算を実施する。メインメモリ１０２は、典型的には、ＤＲＡＭ（Dynamic Random Access Memory）などの揮発性の記憶装置であり、ハードディスク１０３から読み出されたプログラムに加えて、各種の演算処理結果を示すデータなどを保持する。また、ハードディスク１０３は不揮発性の磁気記憶装置であり、ＣＰＵ１０１で実行されるプログラムに加えて、各種設定値などが格納される。このハードディスク１０３にインストールされるプログラムは、後述するように、記録媒体１１１に格納された状態で流通する。なお、ハードディスク１０３に加えて、あるいはハードディスク１０３に代えて、フラッシュメモリなどの半導体記憶装置を採用してもよい。

入力インターフェイス１０４は、ＣＰＵ１０１とキーボード１０８、マウス１０９および図示しないタッチパネルなどの入力部との間のデータ伝送を仲介する。すなわち、入力インターフェイス１０４は、ユーザが入力部を操作することで与えられる操作指令などの外部からの入力を受け付ける。

表示コントローラ１０５は、表示部の典型例であるディスプレイ１１０と接続され、ディスプレイ１１０での表示を制御する。すなわち、表示コントローラ１０５は、ＣＰＵ１０１による画像処理の結果などをユーザに対して表示する。ディスプレイ１１０は、たとえばＬＣＤ（Liquid Crystal Display）またはＣＲＴ（Cathode Ray Tube）である。

データリーダ／ライタ１０６は、ＣＰＵ１０１と記録媒体１１１の間のデータ伝送を仲介する。すなわち、記録媒体１１１は、電子メール処理装置２０１で実行されるプログラムなどが格納された状態で流通し、データリーダ／ライタ１０６は、この記録媒体１１１からプログラムを読み出す。また、データリーダ／ライタ１０６は、ＣＰＵ１０１の内部指令に応答して、電子メール処理装置２０１における処理結果などを記録媒体１１１へ書き込む。なお、記録媒体１１１は、たとえば、ＣＦ（Compact Flash）およびＳＤ（Secure Digital）などの汎用的な半導体記憶デバイス、フレキシブルディスク（Flexible Disk）などの磁気記憶媒体、またはＣＤ−ＲＯＭ（Compact Disk Read Only Memory）などの光学記憶媒体である。

通信インターフェイス１０７は、たとえばネットワーク通信部１１に対応し、ＣＰＵ１
０１とパーソナルコンピュータおよびサーバ装置などの間のデータ伝送を仲介する。通信インターフェイス１０７は、典型的には、イーサネット（登録商標）またはＵＳＢ（Universal Serial Bus）の通信機能を有する。なお、記録媒体１１１に格納されたプログラムを電子メール処理装置２０１にインストールする形態に代えて、通信インターフェイス１０７を介して配信サーバなどからダウンロードしたプログラムを電子メール処理装置２０１にインストールしてもよい。

また、電子メール処理装置２０１には、必要に応じてプリンタなどの他の出力装置が接続されてもよい。

［制御構造］
次に、電子メール処理装置２０１における各種機能を提供するための制御構造について説明する。

図４は、本発明の実施の形態に係る電子メール処理装置が提供する制御構造を示すブロック図である。

図４に示す電子メール処理装置２０１の各ブロックは、ハードディスク１０３に格納された電子メールサーバソフト２１等のプログラム（コード）などをメインメモリ１０２に展開して、ＣＰＵ１０１に実行させることで提供される。なお、図４に示すモジュールの一部もしくは全部がハードウェアに実装されているファームウェアによって提供される場合もある。あるいは、図４に示す制御構造の一部もしくは全部を専用ハードウェアおよび／または配線回路によって実現してもよい。

図４を参照して、電子メール処理装置２０１は、その制御構造として、ネットワーク通信部１１と、強制アクセス処理部１３と、送受信処理部１４と、ヘッダ書き換え部１５と、信頼性判定部１６と、送受信可否判断部１７と、受信要求受付部１８と、セキュリティ属性取得部１９とを備える。強制アクセス制御部１３は、前述のようなセキュリティポリシーを有する。また、電子メール処理装置２０１はメールスプール部１２を備える。

電子メール端末装置２０２は、利用者が電子メールを送受信する際に直接用いる装置である。外部電子メールサーバ装置２０３は、利用者が送信する電子メールの送信先であり、利用者が受信する電子メールの送信元である。

［動作］
次に、本発明の実施の形態に係る電子メール処理装置の動作について図面を用いて説明する。本発明の実施の形態では、電子メール処理装置２０１を動作させることによって、本発明の実施の形態に係る電子メール処理方法が実施される。よって、本発明の実施の形態に係る電子メール処理方法の説明は、以下の電子メール処理装置２０１の動作説明に代える。なお、以下の説明においては、適宜図４を参照する。

［送信処理］
まず、利用者が電子メールを送信するときの動作について説明する。図５は、本発明の実施の形態に係る電子メール処理装置が電子メールの送信処理を行なう際の動作手順を示すフローチャートである。

図５を参照して、利用者は、電子メール端末装置２０２を利用して、ネットワーク通信部３１，１１経由で電子メール処理装置２０１に電子メールを送信する。

電子メール処理装置２０１における送受信処理部１４は、ネットワーク通信部３１，１
１経由で電子メール端末装置２０２から電子メールを受け取る（ステップＳ２）。また、セキュリティ属性取得部１９は、送受信処理部１４が受け取った電子メールから電子メールの送信元のセキュリティ属性すなわち利用者のセキュリティ属性を取得する（ステップＳ４）。なお、セキュリティ属性取得部１９は、ネットワーク通信部１１から直接セキュリティ属性を取得してもよい。

次に、信頼性判定部１６は、送受信処理部１４から電子メールを取得し、送信先の外部電子メールサーバ装置２０３が信頼済みであるか否かを検証する（ステップＳ６）。ここで、信頼済みであるか否かを検証する方法は、種々の実装方法があり得る。

送信先の外部電子メールサーバ装置２０３が信頼済みである場合には（ステップＳ６でＹＥＳ）、ヘッダ書き換え部１５は、信頼性判定部１６から電子メールを取得し、利用者のセキュリティ属性を電子メールのヘッダ領域に書き込む。そして、ヘッダ書き換え部１５は、書き込み後の電子メールを送受信処理部１４経由でネットワーク通信部１１へ戻す。ネットワーク通信部１１は、ヘッダ書き換え部１５から戻された電子メールを外部電子メールサーバ装置２０３へ送信する（ステップＳ１２）。

一方、送信先の外部電子メールサーバ装置２０３が信頼済みでない場合には（ステップＳ６でＮＯ）、送受信可否判断部１７は、信頼性判定部１６から電子メールを取得し、利用者のセキュリティ属性と送信先ネットワークの機密度（セキュリティ属性）との組に対して電子メールの送信を許可すべきか否かを、強制アクセス制御部１３に対して問い合せる。ここで、電子メール処理装置２０１は、ネットワーク通信部１１を用いて各外部ネットワークの機密度を予め取得している。

強制アクセス制御部１３が『許可』を返した場合には（ステップＳ１０でＹＥＳ）、送受信可否判断部１７は、送受信処理部１４経由で電子メールをネットワーク通信部１１へ戻す。ネットワーク通信部１１は、送受信可否判断部１７から戻された電子メールを外部電子メールサーバ装置２０３へ送信する（ステップＳ１２）。

一方、強制アクセス制御部１３が『拒否』を返した場合には（ステップＳ１０でＮＯ）、送受信可否判断部１７は、電子メールを破棄し、ネットワーク通信部１１経由で利用者にエラーを返す（ステップＳ１４）。

［受信処理］
次に、電子メール処理装置２０１が電子メールを受け取る際の動作について説明する。図６は、本発明の実施の形態に係る電子メール処理装置が電子メールの受信処理を行なう際の動作手順を示すフローチャートである。

図６を参照して、外部電子メールサーバ装置２０３は、ネットワーク通信部１１経由で電子メール処理装置２０１に電子メールを送信する。

次に、送受信処理部１４は、ネットワーク通信部１１経由で外部電子メールサーバ装置２０３からの電子メールを受け取る（ステップＳ２２）。

次に、信頼性判定部１６は、送受信処理部１４から電子メールを取得し、送信元の外部電子メールサーバ装置２０３が信頼済みであるか否かを検証する（ステップＳ２４）。

次に、信頼性判定部１６は、外部電子メールサーバ装置２０３が信頼済みである場合には（ステップＳ２４でＹＥＳ）、メールスプール部１２に電子メールを保存する（ステップＳ２８）。

一方、信頼性判定部１６は、外部電子メールサーバ装置２０３が信頼済みでない場合には（ステップＳ２４でＮＯ）、電子メールをヘッダ書き換え部１５へ出力する。そして、ヘッダ書き換え部１５は、信頼性判定部１６から受けた電子メールのヘッダ領域に送信元の外部電子メールサーバ装置２０３の属するネットワークのセキュリティ属性を書き込み、メールスプール部１２に当該電子メールを保存する。

次に、利用者が電子メール処理装置２０１から電子メールを受信する際の動作について説明する。図７は、本発明の実施の形態に係る電子メール処理装置が利用者からの電子メール受信要求を処理する際の動作手順を示すフローチャートである。

図７を参照して、利用者は、電子メール端末装置２０２を利用して、ネットワーク通信部１１，３１経由で電子メール処理装置２０１から電子メールを受信する。

まず、電子メール処理装置２０１における受信要求受付部１８は、ネットワーク通信部１１経由で電子メール受信要求を受け取る（ステップＳ３２）。また、セキュリティ属性取得部１９は、受信要求受付部１８が受け取った電子メール受信要求から、受信要求元である利用者のセキュリティ属性を取得し、送受信可否判断部１７に渡す（ステップＳ３４）。なお、セキュリティ属性取得部１９は、ネットワーク通信部１１から直接セキュリティ属性を取得してもよい。

次に、受信要求受付部１８は、受信要求された電子メールをメールスプール部１２から取り出し、セキュリティ属性取得部１９に渡す（ステップＳ３６）。

次に、セキュリティ属性取得部１９は、取り出された電子メールのヘッダ領域から送信元のセキュリティ属性を取り出し、送受信可否判断部１７に渡す（ステップＳ３８）。

送受信可否判断部１７は、受信要求元のセキュリティ属性と送信元のセキュリティ属性との組に対して電子メールの受信を許可すべきか否かを、強制アクセス制御部１３に対して問い合わせる（ステップＳ４０）。

強制アクセス制御部１７が『許可』を返した場合には（ステップＳ４０でＹＥＳ）、送受信処理部１４は、セキュリティ属性取得部１９から取得した電子メールをネットワーク通信部１１経由で電子メール端末装置２０２へ送信する（ステップＳ４２）。

一方、強制アクセス制御部１７が『拒否』を返した場合には（ステップＳ４０でＮＯ）、送受信可否判断部１７は、ネットワーク通信部１１経由で利用者にエラーを返す（ステップＳ４４）。当該電子メールは、メールスプール部１２に再び保存される。

ところで、特許文献１〜特許文献７に記載の技術を超えて情報漏えいを防ぐことを可能とする技術が望まれている。

本発明の実施の形態では、電子メールの送信処理において、セキュリティ属性取得部１９は、送信すべき電子メールの送信元のセキュリティ属性を取得する。信頼性判定部１６は、電子メールの送信先が信頼済みであるか否かを判定する。ヘッダ書き換え部１５は、送信先が信頼済みである場合には、電子メールのヘッダ領域に送信元のセキュリティ属性を書き込む。送受信可否判断部１７は、送信先が信頼済みでない場合には、送信元のセキュリティ属性および電子メールの送信先が属するネットワークのセキュリティ属性に基づいて、電子メールの送信を許可すべきか否かを判断する。送受信処理部１４は、ヘッダ書き換え部１５によってヘッダ領域が書き込まれた電子メール、および送受信可否判断部１
７によって送信が許可された電子メールを送信先へ送信する。

このように、送信先が信頼済みであるか否かと、送信元のセキュリティ属性および送信先のセキュリティ属性の比較とに基づいて電子メールの送信を許可すべきか否かを決定する構成により、利用者に特段の操作、たとえば機密度の指定および宛先再確認を要求することなく、電子メールの送信処理においてさらに高度な情報漏えい対策を施すことができる。

すなわち、本発明の実施の形態に係る電子メール処理装置２０１における各構成要素のうち、送受信処理部１４、ヘッダ書き換え部１５、信頼性判定部１６、送受信可否判断部１７およびセキュリティ属性取得部１９からなる最小構成により、利用者の利便性を妨げず、電子メールによる情報漏えいを防ぐという本発明の目的を達成することが可能となる。

また、本発明の実施の形態では、電子メールの受信処理において、送受信処理部１４は、送信元から電子メールを受信する。信頼性判定部１６は、電子メールの送信元が信頼済みであるか否かを判定し、送信元が信頼済みである場合には、電子メールのヘッダ領域を書き換えないでメールスプール部１２に保存する。ヘッダ書き換え部１５は、送信元が信頼済みでない場合には、電子メールのヘッダ領域に送信元が属するネットワークのセキュリティ属性を書き込んでメールスプール部１２に保存する。受信要求受付部１８は、電子メールの受信要求を受ける。セキュリティ属性取得部１９は、電子メールの受信要求元のセキュリティ属性を取得する。受信可否判断部１７は、受信要求に対応するメールスプール部１２から取り出された電子メールのヘッダ領域に書き込まれたセキュリティ属性、および受信要求元のセキュリティ属性に基づいて、受信要求を許可すべきか否かを判断する。

このように、送信元が信頼済みであるか否かと、受信電子メールのヘッダ領域から取得したセキュリティ属性および受信要求元のセキュリティ属性の比較とに基づいて電子メールの受信要求を許可すべきか否かを決定する構成により、利用者に特段の操作、たとえば機密度の指定および宛先再確認を要求することなく、電子メールの受信処理においてさらに高度な情報漏えい対策を施すことができる。

すなわち、本発明の実施の形態に係る電子メール処理装置２０１における各構成要素のうち、メールスプール部１２、送受信処理部１４、ヘッダ書き換え部１５、信頼性判定部１６、受信可否判断部１７、受信要求受付部１８およびセキュリティ属性取得部１９からなる最小構成により、利用者の利便性を妨げず、電子メールによる情報漏えいを防ぐという本発明の目的を達成することが可能となる。

本発明の実施の形態による第１の効果は、機密情報を含んでいないメッセージに対して配送先を制限しないことである。その理由は、利用者のセキュリティ属性が機密情報へのアクセスを許可されていないものであるならば、ＯＳ等の強制アクセス制御機能との連携により、その利用者から送信される電子メールが機密情報を含んでいないことは自明であるからである。

本発明の実施の形態による第２の効果は、機密情報を含むメッセージに対して配送先を制限できることである。第１の効果と同様の理由により、利用者のセキュリティ属性が機密情報へのアクセスを許可されているものであれば、その利用者から送信される電子メールは機密情報を含んでいる可能性があるからである。

また、本発明の実施の形態では、送受信可否判断部１７は、ＯＳの強制アクセス制御機
能を利用することにより、電子メールの送信を許可すべきか否かを判断し、また、電子メールの受信要求を許可すべきか否かを判断する。これにより、第３の効果が得られる。すなわち、機密情報と公開情報の識別に際して、利用者に特段の操作、たとえば機密度の指定および宛先再確認を要求しないことである。その理由は、ＯＳの機能を用いることにより、暗黙的かつ強制的に機密度の峻別を行なうことができるからである。

なお、本発明の実施の形態では、電子メールの送信先および送信元がそれぞれ電子メールの最終的な送信先および最初の送信元である場合について説明したが、これに限定するものではない。電子メールの最終的な送信先および最初の送信元に限らず、電子メールの中継を行なう送信先および送信元であっても本発明を適用することが可能である。

また、本発明の実施の形態に係る電子メール送受信システムでは、電子メール処理装置２０１がネットワーク通信部１１および強制アクセス制御部１３を含む構成であるとしたが、これに限定するものではなく、ネットワーク通信部１１および強制アクセス制御部１３が電子メール処理装置２０１とは独立した装置であってもよい。

また、本発明の実施の形態に係る電子メール送受信システムでは、利用者端末２０２がネットワーク通信部３１および認証部３２を含む構成であるとしたが、これに限定するものではなく、ネットワーク通信部３１および認証部３２が利用者端末２０２とは独立した装置であってもよい。

上記実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記説明ではなく特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

本発明によれば、利用者の利便性を妨げず、電子メールによる情報漏えいを防ぐことができる。したがって、本発明は、機密情報を取扱うシステムにおいて、利用者の誤操作および悪意による機密情報の漏えいを防止する用途に適用可能であるため、産業上の利用可能性を有している。

上記実施の形態の一部または全部は以下の付記のようにも記載されうるが、本発明の範囲は、以下の付記に限定されるものではない。

［付記１］
（ａ）送信すべき電子メールの送信元のセキュリティ属性を取得するステップと、
（ｂ）前記電子メールの送信先が信頼済みであるか否かを判定するステップと、
（ｃ）前記送信先が信頼済みである場合には、前記電子メールのヘッダ領域に前記送信元のセキュリティ属性を書き込むステップと、
（ｄ）前記送信先が信頼済みでない場合には、前記送信元のセキュリティ属性および前記電子メールの送信先が属するネットワークのセキュリティ属性に基づいて、前記電子メールの送信を許可すべきか否かを判断するステップと、
（ｅ）前記（ｃ）のステップにおいてヘッダ領域が書き込まれた前記電子メール、または前記（ｄ）のステップにおいて送信が許可された前記電子メールを前記送信先へ送信するステップとを含む、電子メール処理方法。

［付記２］
前記（ｄ）のステップにおいては、ＯＳの強制アクセス制御機能を利用することにより、前記電子メールの送信を許可すべきか否かを判断する、付記１に記載の電子メール処理方法。

［付記３］
（ａ）送信元から電子メールを受信するステップと、
（ｂ）前記電子メールの送信元が信頼済みであるか否かを判定し、前記送信元が信頼済みである場合には、前記電子メールを保存するステップと、
（ｃ）前記送信元が信頼済みでない場合には、前記電子メールのヘッダ領域に前記送信元が属するネットワークのセキュリティ属性を書き込んで保存するステップと、
（ｄ）前記電子メールの受信要求を受けるステップと、
（ｅ）前記電子メールの受信要求元のセキュリティ属性を取得するステップと、
（ｆ）前記受信要求に対応する前記保存された電子メールのヘッダ領域に書き込まれたセキュリティ属性、および前記（ｅ）のステップにおいて取得したセキュリティ属性に基づいて、前記受信要求を許可すべきか否かを判断するステップとを含む、電子メール処理方法。

［付記４］
前記（ｆ）のステップにおいては、ＯＳの強制アクセス制御機能を利用することにより、前記電子メールの受信要求を許可すべきか否かを判断する、付記３に記載の電子メール処理方法。

［付記５］
（ａ）送信すべき電子メールの送信元のセキュリティ属性を取得するステップと、
（ｂ）前記電子メールの送信先が信頼済みであるか否かを判定するステップと、
（ｃ）前記送信先が信頼済みである場合には、前記電子メールのヘッダ領域に前記送信元のセキュリティ属性を書き込むステップと、
（ｄ）前記送信先が信頼済みでない場合には、前記送信元のセキュリティ属性および前記電子メールの送信先が属するネットワークのセキュリティ属性に基づいて、前記電子メールの送信を許可すべきか否かを判断するステップと、
（ｅ）前記（ｃ）のステップにおいてヘッダ領域が書き込まれた前記電子メール、または前記（ｄ）のステップにおいて送信が許可された前記電子メールを前記送信先へ送信するステップとをコンピュータに実行させる、電子メール処理プログラム。

［付記６］
前記（ｄ）のステップにおいては、ＯＳの強制アクセス制御機能を利用することにより、前記電子メールの送信を許可すべきか否かを判断する、付記５に記載の電子メール処理プログラム。

［付記７］
（ａ）送信元から電子メールを受信するステップと、
（ｂ）前記電子メールの送信元が信頼済みであるか否かを判定し、前記送信元が信頼済みである場合には、前記電子メールを保存するステップと、
（ｃ）前記送信元が信頼済みでない場合には、前記電子メールのヘッダ領域に前記送信元が属するネットワークのセキュリティ属性を書き込んで保存するステップと、
（ｄ）前記電子メールの受信要求を受けるステップと、
（ｅ）前記電子メールの受信要求元のセキュリティ属性を取得するステップと、
（ｆ）前記受信要求に対応する前記保存された電子メールのヘッダ領域に書き込まれたセキュリティ属性、および前記（ｅ）のステップにおいて取得したセキュリティ属性に基づいて、前記受信要求を許可すべきか否かを判断するステップとをコンピュータに実行させる、電子メール処理プログラム。

［付記８］
前記（ｆ）のステップにおいては、ＯＳの強制アクセス制御機能を利用することにより、前記電子メールの受信要求を許可すべきか否かを判断する、付記７に記載の電子メール処理プログラム。

１１ ネットワーク通信部
１２ メールスプール部
１３ 強制アクセス制御部
１４ 送受信処理部
１５ ヘッダ書き換え部
１６ 信頼性判定部
１７ 送受信可否判断部
１８ 受信要求受付部
１９ セキュリティ属性取得部
２１ 電子メールサーバソフト
３１ ネットワーク通信部
３２ 認証部
４１ 電子メール端末ソフト
１０１ ＣＰＵ
１０２ メインメモリ
１０３ ハードディスク
１０４ 入力インターフェイス
１０５ 表示コントローラ
１０６ データリーダ／ライタ
１０７ 通信インターフェイス
１０８ キーボード
１０９ マウス
１１０ ディスプレイ
１１１ 記録媒体
１２１ バス
２０１ 電子メール処理装置
２０２ 利用者端末
３０１ 電子メール送受信システム

Claims (8)

1. 送信すべき電子メールの送信元のセキュリティ属性を取得するためのセキュリティ属性取得部と、
   前記電子メールの送信先が信頼済みであるか否かを判定するための信頼性判定部と、
   前記送信先が信頼済みである場合には、前記電子メールのヘッダ領域に前記送信元のセキュリティ属性を書き込むためのヘッダ書き換え部と、
   前記送信先が信頼済みでない場合には、前記送信元のセキュリティ属性および前記電子メールの送信先が属するネットワークのセキュリティ属性に基づいて、前記電子メールの送信を許可すべきか否かを判断するための送信可否判断部と、
   前記ヘッダ書き換え部によってヘッダ領域が書き込まれた前記電子メール、および前記送信可否判断部によって送信が許可された前記電子メールを前記送信先へ送信するための送信処理部とを備える、電子メール処理装置。
2. 前記送信可否判断部は、ＯＳ（Operating System）の強制アクセス制御機能を利用することにより、前記電子メールの送信を許可すべきか否かを判断する、請求項１に記載の電子メール処理装置。
3. 送信元から電子メールを受信するための受信処理部と、
   前記電子メールを保存するためのメールスプール部と、
   前記電子メールの送信元が信頼済みであるか否かを判定し、前記送信元が信頼済みである場合には、前記電子メールを前記メールスプール部に保存するための信頼性判定部と、
   前記送信元が信頼済みでない場合には、前記電子メールのヘッダ領域に前記送信元が属するネットワークのセキュリティ属性を書き込んで前記メールスプール部に保存するためのヘッダ書き換え部と、
   前記電子メールの受信要求を受けるための受信要求受付部と、
   前記電子メールの受信要求元のセキュリティ属性を取得するためのセキュリティ属性取得部と、
   前記メールスプール部から前記受信要求に対応する前記電子メールを取り出し、取り出した前記電子メールのヘッダ領域に書き込まれたセキュリティ属性、および前記セキュリティ属性取得部の取得したセキュリティ属性に基づいて、前記受信要求を許可すべきか否かを判断するための受信可否判断部とを備える、電子メール処理装置。
4. 前記受信可否判断部は、ＯＳの強制アクセス制御機能を利用することにより、前記電子メールの受信要求を許可すべきか否かを判断する、請求項３に記載の電子メール処理装置。
5. （ａ）送信すべき電子メールの送信元のセキュリティ属性を取得するステップと、
   （ｂ）前記電子メールの送信先が信頼済みであるか否かを判定するステップと、
   （ｃ）前記送信先が信頼済みである場合には、前記電子メールのヘッダ領域に前記送信元のセキュリティ属性を書き込むステップと、
   （ｄ）前記送信先が信頼済みでない場合には、前記送信元のセキュリティ属性および前記電子メールの送信先が属するネットワークのセキュリティ属性に基づいて、前記電子メールの送信を許可すべきか否かを判断するステップと、
   （ｅ）前記（ｃ）のステップにおいてヘッダ領域が書き込まれた前記電子メール、または前記（ｄ）のステップにおいて送信が許可された前記電子メールを前記送信先へ送信するステップとを含む、電子メール処理方法。
6. （ａ）送信元から電子メールを受信するステップと、
   （ｂ）前記電子メールの送信元が信頼済みであるか否かを判定し、前記送信元が信頼済み
   である場合には、前記電子メールを保存するステップと、
   （ｃ）前記送信元が信頼済みでない場合には、前記電子メールのヘッダ領域に前記送信元が属するネットワークのセキュリティ属性を書き込んで保存するステップと、
   （ｄ）前記電子メールの受信要求を受けるステップと、
   （ｅ）前記電子メールの受信要求元のセキュリティ属性を取得するステップと、
   （ｆ）前記受信要求に対応する前記保存された電子メールのヘッダ領域に書き込まれたセキュリティ属性、および前記（ｅ）のステップにおいて取得したセキュリティ属性に基づいて、前記受信要求を許可すべきか否かを判断するステップとを含む、電子メール処理方法。
7. （ａ）送信すべき電子メールの送信元のセキュリティ属性を取得するステップと、
   （ｂ）前記電子メールの送信先が信頼済みであるか否かを判定するステップと、
   （ｃ）前記送信先が信頼済みである場合には、前記電子メールのヘッダ領域に前記送信元のセキュリティ属性を書き込むステップと、
   （ｄ）前記送信先が信頼済みでない場合には、前記送信元のセキュリティ属性および前記電子メールの送信先が属するネットワークのセキュリティ属性に基づいて、前記電子メールの送信を許可すべきか否かを判断するステップと、
   （ｅ）前記（ｃ）のステップにおいてヘッダ領域が書き込まれた前記電子メール、または前記（ｄ）のステップにおいて送信が許可された前記電子メールを前記送信先へ送信するステップとをコンピュータに実行させる、電子メール処理プログラム。
8. （ａ）送信元から電子メールを受信するステップと、
   （ｂ）前記電子メールの送信元が信頼済みであるか否かを判定し、前記送信元が信頼済みである場合には、前記電子メールを保存するステップと、
   （ｃ）前記送信元が信頼済みでない場合には、前記電子メールのヘッダ領域に前記送信元が属するネットワークのセキュリティ属性を書き込んで保存するステップと、
   （ｄ）前記電子メールの受信要求を受けるステップと、
   （ｅ）前記電子メールの受信要求元のセキュリティ属性を取得するステップと、
   （ｆ）前記受信要求に対応する前記保存された電子メールのヘッダ領域に書き込まれたセキュリティ属性、および前記（ｅ）のステップにおいて取得したセキュリティ属性に基づいて、前記受信要求を許可すべきか否かを判断するステップとをコンピュータに実行させる、電子メール処理プログラム。
   

Images