JP2011198321A - ファイル管理システム - Google Patents

Abstract

【課題】電子署名が施された電子ファイルの保管及びバックアップを行なうときに、バックアップ時点で改竄されていない状態の電子ファイルをバックアップしたことが保証されるファイル管理システムを提供する。
【解決手段】署名済みファイルを記憶するデータ保管装置１の電子署名済みデータ１１１と、署名済みファイルをバックアップしたバックアップファイルを記憶するバックアップ装置２のバックアップデータ２１１と、署名済みファイルの電子署名を検証して検証結果を出力する署名検証部２２１とを有し、バックアップを行なうためにバックアップ対象の署名済み電子ファイルをデータ保管装置１からバックアップ装置２へ送信すると、バックアップ装置２では署名検証部２２１にて受信した署名済みファイルの署名検証を行い、検証成功時には署名済みファイルに対するバックアップファイルを生成してバックアップデータ２１１へ記憶させる。
【選択図】 図１

Description

本発明は、署名済み電子ファイルを保存し、電子ファイルの改竄が検知されたときにバックアップファイルから改竄される前の電子ファイルを復元することができるファイル管理システムに関する。

従来、ファイル管理システムは、電子ファイルを保管するデータ保管装置と、データ保管装置に保管された電子ファイルのバックアップファイルを保管するバックアップ装置とから構成される。ユーザーによってデータ保管装置に電子ファイルが保存されると、データ保管装置の電子ファイルをコピーすることによりバックアップ装置にもバックアップファイルが生成される。電子ファイルの改竄を検知可能な状態にするために、電子ファイルは電子署名を施した署名済み電子ファイルの形で保管され、署名検証を行なうことにより改竄の有無を検知する。そして、データ保管装置の電子ファイルに対して改竄を検知すると、バックアップ装置のバックアップファイルを改竄される前の電子ファイルとみなしてデータ保管装置の電子ファイルの復元を行なうというファイル管理システムが提案されている（特許文献１）。

特開２００８−０９７３０１号公報

しかしながら、データ保管装置とバックアップ装置は独立した装置であるため、バックアップの実行タイミングによっては、バックアップを実行する前にデータ保管装置の電子ファイルが改竄され、この改竄された電子ファイルをコピーしてバックアップ装置のバックアップファイルを生成してしまうことがある。このため、改竄される前の電子ファイルの存在を必ずしも保証できないという課題があった。なぜなら、例えば、ミラーリングの手法によって自動的又は定期的にバックアップを行なうファイル管理システムの場合、データ保管装置に保管されているバックアップ対象となる電子ファイルが改竄されたことに気づかず、改竄後の電子ファイルにてバックアップ装置のバックアップファイルを上書き保存され、改竄前の電子ファイルを復元できないことがあるからである。

本発明の目的は、データ保管装置からバックアップ装置へバックアップするときに、改竄されていないことが担保された電子ファイルをバックアップするファイル管理システムを提供することである。

かかる課題を解決するために、本発明は、電子署名が施された署名済みファイルを保管し、バックアップを行なうファイル管理システムにおいて、署名済みファイルを記憶する第１の記憶手段と、署名済みファイルをバックアップするときに生成されるバックアップファイルを記憶する第２の記憶手段と、署名済みファイルの電子署名を検証し、検証結果を出力する署名検証手段と、第１の記憶手段に保管された前記署名済みファイルを第２の記憶手段へバックアップを行うとき、署名検証手段にて当該署名済みファイルの署名検証を行い、署名検証に成功すると、署名済みファイルに対するバックアップファイルを生成して第２の記憶手段へ記憶するバックアップ管理手段と、を有することを特徴とするファイル管理システムを提供する。これにより、バックアップの直前に署名済み電子ファイルの署名検証を行なって検証ＯＫになった電子ファイルを保存することができる。

かかるファイル管理システムにおいて、バックアップ管理手段は、署名済みファイルの署名検証に失敗すると、署名済みファイルに対して改竄検知の警告を出力するとともに、バックアップファイルを生成して前記第２の記憶手段へ記憶することを禁止するのが好ましい。これにより、バックアップの直前に署名済み電子ファイルの署名検証を行って検証ＮＧになった電子ファイルのバックアップを禁止することができ、存在するバックアップファイルはバックアップ時点で検証ＯＫであることを保証することができる。

かかるファイル管理システムにおいて、更に、第２の記憶手段に保管されたバックアップファイルを用いて前記第１の記憶手段の署名済みファイルをリストアするリストア管理手段を有し、リストア管理手段は、リストアの要求を受けると署名検証手段にてバックアップファイルの署名検証を行い、署名検証に成功すると、当該バックアップファイルにより対応する署名済みファイルをリストアするのが好ましい。これにより、真正性を保って改竄される前の署名済みファイルをバックアップファイルから復元することができる。

本発明によれば、バックアップ装置にバックアップされた署名済み電子ファイルは、バックアップ時点で改竄されていない状態の電子ファイルでバックアップされたことが保証されるファイル管理システムを提供することができる。これにより、データ保管装置の署名済み電子ファイルで改竄が検知されたとしても、バックアップ装置の署名済み電子ファイルから改竄される前の状態の電子ファイルに復元することが可能となる。

本発明によるファイル管理システムの構成図である。 データ保管装置のバックアップ実行ルールを説明するための図である。 バックアップ装置のバックアップ状況記録を説明するための図である。 本発明によるファイル管理システムのフローチャートである。 データ保管装置のバックアップ時の処理フローチャートである。 バックアップ装置のバックアップ時の処理フローチャートである。 データ保管装置のリストア時の処理フローチャートである。 バックアップ装置のリストア時の処理フローチャートである。

以下、本発明によるファイル管理システムの実施の形態を、図面を参照して説明する。

図１は、本発明によるファイル管理システムの構成図である。図１に示すファイル管理システムは、署名済み電子ファイルを含む保管対象の電子ファイルを保管するデータ保管装置１と、データ保管装置１の電子ファイルのバックアップファイルを保管するバックアップ装置２と、ネットワーク３を介してデータ保管装置１に接続されデータ保管装置１にアクセス可能なユーザー端末４とからなる。以降の説明において、電子ファイルとは、署名済み電子ファイル及び署名なし電子ファイルの両方を示す総称で用いる。

データ保管装置１は、ネットワーク３を通じてユーザー端末４に電子ファイルの新規保存や参照、復元、削除などのサービスを提供する。また、バックアップ装置２に電子ファイルのバックアップファイルを保管させる。このため、ネットワーク３を通じてユーザー端末４との通信及びバックアップ装置２との通信を行なう通信インタフェース（Ｉ／Ｆ）部１３と、データ保管装置１の各種制御を行なう制御部１２と、記憶部１１と、を有する。

記憶部１１は、ＲＯＭ、ＲＡＭ、磁気ハードディスク等の記憶装置であり、各種プログラムや各種データを記憶し、署名済み電子ファイルを記憶する電子署名済みデータ１１１と、電子ファイルのバックアップを実行する所定の条件を設定したバックアップ実行ルール１１２を記憶する。

電子署名済みデータ１１１は、バックアップ対象として保管される電子ファイルが記憶されている領域の一部であり、署名済み電子ファイルが記憶される領域である。

バックアップ実行ルール１１２は、バックアップを開始する駆動条件（時刻やイベント等）とバックアップを行なう対象（ファイルやフォルダ）をあらかじめ設定するものであり、設定された駆動条件が満たされたときにバックアップが開始される。

図２は、バックアップ実行ルール１１２の一例である。駆動条件とバックアップ対象が対応付けて登録されている。例えば、駆動条件が「毎日ＡＭ１：００」、バックアップ対象が「Ｄ：￥ｓｉｇｎｅｄ−ｄａｔａ−１」というレコードが登録されている。これは、毎日午前１時になると「Ｄ：￥ｓｉｇｎｅｄ−ｄａｔａ−１」のフォルダ内に置かれた電子ファイル全てのバックアップを開始する、というバックアップ実行ルールである。また、駆動条件が「対象フォルダでファイル追加・修正発生」、バックアップ対象が「Ｄ：￥ｓｉｇｎｅｄ−ｄａｔａ−２￥ｄｏｃｐｏｏｌ」というレコードが登録されている。これは、「Ｄ：￥ｓｉｇｎｅｄ−ｄａｔａ−２￥ｄｏｃｐｏｏｌ」に新たな電子ファイルが追加されたり、電子ファイルに修正が発生したりすると、その都度その電子ファイルに対してバックアップする、というバックアップ実行ルールである。

制御部１２は、バックアップトリガ部１２１と、データ送信部１２２と、リストア操作部１２３を有する。

バックアップトリガ部１２１は、記憶部１１のバックアップ実行ルール１１２の駆動条件が満たしたときに、データ送信部１２２にバックアップ対象のバックアップ要求を送信して、バックアップを開始させる。

データ送信部１２２は、バックアップ要求を受信すると、指定されたバックアップ対象の電子ファイルを記憶部１１から読み出し、通信Ｉ／Ｆ部１３を介してバックアップ装置２へ送信する。また、データ送信部１２２は、ユーザー端末４から電子ファイルの参照要求を受信すると、指定された電子ファイルを記憶部１１から読み出し、通信Ｉ／Ｆ部１３を介してユーザー端末４へ送信する。

リストア操作部１２３は、データ保管装置１のリストア処理を行う。バックアップ装置２からリストア対象（バックアップされたファイルやフォルダ）の一覧を取得し、その一覧の中からリストア対象を設定してリストア要求を送信する。リストア要求にもとづいて送信されるバックアップ装置２に保管されているバックアップファイルを受信し、記憶部１１の電子ファイルをリストアする。なお、リストア対象として、ユーザー端末４の操作者によって一覧表示から選択指示された電子ファイルを設定しても、データ保管装置１が定期的に改竄検出処理を行なって検知した改竄された電子ファイルを設定してもよい。

通信Ｉ／Ｆ部１３は、バックアップ装置２及びユーザー端末４との通信を行なうインタフェースである。

バックアップ装置２は、データ保管装置１の電子ファイルのバックアップファイルを保管する。このため、データ保管装置１との通信を行なう通信インタフェース（Ｉ／Ｆ）部２３と、バックアップ装置２の各種制御を行なう制御部２２と、記憶部２１と、を有する。

記憶部２１は、ＲＯＭ、ＲＡＭ、磁気ハードディスク等の記憶装置であり、各種プログラムや各種データを記憶し、電子ファイルをバックアップして生成されるバックアップファイルを記憶するバックアップデータ２１１と、バックアップ状況の記録であるバックアップ状況記録２１２を記憶する。

バックアップデータ２１１は、データ保管装置１から受信した電子ファイルのバックアップファイルを記憶する領域である。

バックアップ状況記録２１２は、バックアップファイルをバックアップデータ２１１へ記憶するときに作成されるもので、バックアップ元のデータ保管装置１の電子ファイルとバックアップ先のバックアップ装置２のバックアップファイルとバックアップ時刻が対応付けられて記憶される。また、リストア対象一覧の要求があったときやリストア要求があったときに参照される。

図３は、バックアップ状況記録２１２の一例である。バックアップ元ファイルにはデータ保管装置１における保存場所のアドレスが、バックアップ先ファイルにはバックアップ装置２における保存場所のアドレスが示されている。例えば、バックアップ元ファイル「Ｄ：￥ｓｉｇｎｅｄ−ｄａｔａ−１￥ａａａ．ｔｘｔ」は、バックアップ実行ルール１１２の駆動条件「毎日ＡＭ１：００」のレコードに基づき、バックアップ先ファイル「Ｅ：￥ｂａｃｋｕｐ￥ｓｉｇｎｅｄ−ｄａｔａ−１￥ａａａ．ｔｘｔ」にバックアップ時刻「２０１０／０３／０３ ０１：００」にバックアップされたということが登録されている。同様に、バックアップ元ファイル「Ｄ：￥ｓｉｇｎｅｄ−ｄａｔａ−２￥ｄｏｃｐｏｏｌ￥ｄｏｃ１．ｄｏｃ」は、駆動条件「対象フォルダでファイル追加・修正発生」に基づき、バックアップ先ファイル「Ｅ：￥ｂａｃｋｕｐ￥ｓｉｇｎｅｄ−ｄａｔａ−２￥ｄｏｃｐｏｏｌ￥ｄｏｃ１．ｄｏｃ」にバックアップ時刻「２０１０／０３／０５ ０９：３０」にバックアップされたということが登録されている。

制御部２２は、署名検証部２２１と、バックアップ管理部２２２と、リストア管理部２２３を有する。

署名検証部２２１は、署名済み電子ファイルを入力とし、署名検証を行なって、署名検証結果を出力する。署名検証は、署名済み電子ファイルの改竄の有無を判定するとともに、電子署名に用いられた電子証明書の有効性を、当該電子証明書を発行した認証局（不図示）から取得する電子証明書失効リスト（ＣＲＬ：Ｃｅｒｆｉｃａｔｅ Ｒｅｖｏｃａｔｉｏｎ Ｌｉｓｔ）を用いて確認する処理である。なお、ＣＲＬは通信Ｉ／Ｆ部２３を介して定期的に取得する。改竄を検知すると、検証ＮＧを出力する。改竄を検知しなければ、電子証明書に用いられた電子証明書がＣＲＬに記載されて「有効性に問題あり」と判定されても、検証ＯＫを出力してもよい。

バックアップ管理部２２２は、バックアップ装置２のバックアップ処理を行なう。データ保管装置１からバックアップ対象の電子ファイルを受信し、受信した電子ファイルが署名済み電子ファイルであれば署名検証部で署名検証を実行させ、署名検証が正常（成功）ならば、電子ファイルをバックアップファイルとしてバックアップデータ２１１へ書き込む。検証が異常（失敗）ならば、データ保管装置１へバックアップ失敗の応答をする。バックアップ時の状況は、バックアップ状況記録２１２へ書き込む。受信した電子ファイルが署名済み電子ファイルではないときは、受信した電子ファイルをそのままバックアップファイルとしてバックアップデータ２１１へ書き込む。

リストア管理部２２３は、バックアップ装置２のリストア処理を行なう。データ保管装置１からリストア対象一覧の要求を受信すると、バックアップ状況記録２１２を読み出して、リストア対象の一覧を生成して送信する。また、データ保管装置１からリストア要求を受信すると、リストア要求で指定された電子ファイルに対応したバックアップファイルをバックアップ状況記録２１２に基づいてバックアップデータ２１１から読み出す。バックアップファイルが署名済み電子ファイルであれば署名検証部２２１で署名検証を行ない、検証が正常（成功）であれば、読み出したバックアップファイルをデータ保管装置１へ送信する。検証が異常（失敗）ならば、データ保管装置１へリストア異常応答を行う。読み出したバックアップファイルが署名済み電子ファイルでなければ、読み出したバックアップファイルをそのままデータ保管装置１へ送信する。

通信Ｉ／Ｆ部２３は、データ保管装置１との通信を行なうインタフェースである。

ネットワーク３は、データ保管装置１及びユーザー端末４に接続され、インターネット等の広域通信網あるいは閉域通信網などのＩＰ網である。

ユーザー端末４は、キーボードやテンキー、マウス等の入力部（不図示）や、液晶ディスプレイ（ＬＣＤ）などの表示部（不図示）を有し、ユーザーが作成した電子ファイルのデータ保管装置１への保管操作、データ保管装置１へ保管された電子ファイルに対する参照操作やリストア操作などをネットワーク３を介して行ない、データ保管装置１から送信される操作画面や電子ファイルを表示する。

次に、図４を参照し、図１のファイル管理システムの処理フローについて説明する。なお、以下に説明する処理フローは、制御部１２、制御部２２で実行されるプログラムによって制御される。

図４（１）は、図１のファイル管理システムのバックアップ処理のフローを説明する図である。まず、データ保管装置１のバックアップトリガ部１２１が、バックアップ実行ルール１１２に基づいてバックアップの処理を開始する（ステップＳ１１）。データ送信部１２２は、記憶部１１からバックアップ対象の電子ファイルを読み出し、電子ファイルと電子ファイルの保存場所のアドレスとを含んで構成されるバックアップ対象データを、バックアップ装置２へ送信する（ステップＳ１２）。バックアップ装置２のバックアップ管理部２２２は、受信したバックアップ対象データ中の電子ファイルが署名済み電子ファイルであれば、署名検証部２２１に署名検証を行なわせる（ステップＳ１３）。その後、バックアップ管理部２２２は、電子ファイルの種類と署名検証結果に基づいてバックアップを実行するか否か判定してバックアップ処理を行なう（ステップＳ１４）。バックアップ装置２は、データ保管装置１へバックアップの結果を送信する（ステップＳ１５）。データ保管装置１は、受信した結果に応じて警告等を出力し（ステップＳ１６）、バックアップ処理は終了する。

図４（２）は、図１のファイル管理システムのリストア処理のフローを説明する図である。まず、データ保管装置１のリストア操作部１２３が、ユーザー端末４の要求等に基づいてリストアの処理を開始する（ステップＳ２１）。次に、リストアが可能なファイルの一覧を取得するため、データ保管装置１からバックアップ装置２へ、リストア対象一覧要求を送信する（ステップＳ２２）。バックアップ装置２のリストア管理部２２３は、受信したリストア対象一覧要求に基づき、バックアップ状況記録２１２を参照して、リストア対象一覧を作成する（ステップＳ２３）。そして、作成したリストア対象一覧をデータ保管装置１へ送信する（ステップＳ２４）。リストア操作部１２３は、受信したリストア対象一覧からリストア対象を設定し（ステップＳ２５）、リストア対象一覧で使用される電子ファイル識別子を含むリストア要求を送信する（ステップＳ２６）。リストア管理部２２３は、リストア対象として指定された電子ファイル識別子から特定されるバックアップファイルを読み出し、そのバックアップファイルが署名済み電子ファイルであれば、署名検証部２２１に署名検証を行なわせる（ステップＳ２７）。その後、リストア管理部２２３は、電子ファイルの種類と署名検証結果に基づいて、データ保管装置１へ、リストア対象データの送信又はリストア異常の応答を行なう（ステップＳ２８）。リストア操作部１２３は、受信した応答に基づき、リストアを実行し（ステップＳ２９）、リストア処理を終了する。

次に、図５及び図６を参照し、図１のファイル管理システムのデータ保管装置１及びバックアップ装置２のバックアップの処理フローについて詳細を説明する。

図５は、データ保管装置１におけるバックアップの処理を説明するフローチャートである。

バックアップ実行ルール１１２に基づいてバックアップトリガ部１２１が送信するバックアップ要求を、データ送信部１２２が受信するところから、データ保管装置１のバックアップの処理が開始する（ステップＳ４１）。データ送信部１２２は、バックアップ要求を受信すると、記憶部１１からバックアップ対象の電子ファイルを読み出す（ステップＳ４２）。次に、読み出した電子ファイルをデータ保管装置１における保存場所のアドレスと共にバックアップ装置２へ通信Ｉ／Ｆ部１３を介して送信する（ステップＳ４３）。

その後、バックアップ装置２からの応答を待つ（ステップＳ４４）。バックアップ装置２からの応答を受信すると（ステップＳ４４−Ｙｅｓ）、応答の内容をＮＧ応答かＯＫ応答かの判定処理をする（ステップＳ４５）。判定の結果、ＮＧ応答であれば（ステップＳ４６−Ｙｅｓ）、バックアップ対象としてバックアップ装置２へ送った電子ファイルがバックアップできなかった旨の警告を出力し（ステップＳ４７）、処理を終了する。判定の結果、ＮＧ応答でなければ（ステップＳ４６−Ｎｏ）、処理を終了する。

図６は、バックアップ装置２におけるバックアップの処理を説明するフローチャートである。

データ保管装置１からバックアップ管理部２２２がバックアップ対象データとして、電子ファイルをデータ保管装置１における保存場所のアドレスと共に受信するところから、バックアップ装置２のバックアップ処理が開始する（ステップＳ５１）。次に、受信した電子ファイルのデータ種別を判定する（ステップＳ５２）。このとき、バックアップ管理部２２２は、受信した電子ファイルに電子署名が施されているかを判定する。受信した電子ファイルが署名済み電子ファイルである場合は(ステップＳ５３−Ｙｅｓ）、署名検証部２２１において当該署名済み電子ファイルの署名検証を行なう（ステップＳ５４）。バックアップ管理部２２２は、署名検証部２２１が出力した署名検証結果を判定し、検証ＯＫであれば（ステップＳ５５−Ｙｅｓ）、バックアップ処理を行なう（ステップＳ５６）。このとき、バックアップ管理部２２２は、受信した電子ファイルをバックアップデータ２１１へバックアップファイルとして保存し、タイマ（図示せず）から現在時刻をバックアップ時刻として取得し、受信した電子ファイルのデータ保管装置１における保存場所のアドレスとバックアップファイルの保存場所のアドレスとバックアップ時刻とを対応付けて、バックアップ状況記録２１２へ記憶する。その後、バックアップが完了した旨のデータ保管装置１へ送信するＯＫ応答を作成し（ステップＳ５７）、作成したＯＫ応答にて結果を送信し（ステップＳ５８）、処理を終了する。

また、ステップＳ５５において、バックアップ管理部２２２は、署名検証部２２１が出力した署名検証結果が検証ＮＧであれば（ステップＳ５５−Ｎｏ）、バックアップ処理を行なわず、署名検証ＮＧによりバックアップが完了しなかった旨のデータ保管装置１へ送信するＮＧ応答を作成し（ステップＳ５９）、作成したＮＧ応答にて結果を送信し（ステップＳ５８）、処理を終了する。

ステップＳ５２において、受信した電子ファイルが署名済み電子ファイルでない場合は（ステップＳ５３−Ｎｏ）、ステップＳ５６へ進み、バックアップ処理を行ない（ステップＳ５６）、ＯＫ応答を生成し（ステップＳ５７）、ＯＫ応答で結果を送信し（ステップＳ５８）、処理を終了する。

次に、図７及び図８を参照し、図１のファイル管理システムのデータ保管装置１及びバックアップ装置２のリストアの処理フローについて詳細を説明する。

図７は、データ保管装置１におけるリストアの処理を説明するフローチャートである。

ユーザー端末４からリストア操作画面起動された場合、又は、データ保管装置１において定期的に改竄検知処理を行うなどして改竄を検知した場合に、データ保管装置１のリストア処理は開始する。まず、リストア操作部１２３は、バックアップ装置２へリストア可能な電子ファイルの一覧であるリストア対象一覧要求を送信する（ステップS６１）。その後、バックアップ装置２からのリストア対象一覧の受信を待つ（ステップＳ６２）。バックアップ装置２からのリストア対象一覧を受信すると（ステップＳ６２−Ｙｅｓ）、リストア対象を設定する（ステップＳ６３）。このとき、ユーザー端末４からのリストア操作画面起動により処理が開始した場合は、受信したリストア対象一覧に基づき、選択画面をユーザー端末４へ表示させ、選択画面の中からリストアする電子ファイルとリストア先をユーザーに選択させることにより、リストア対象を設定する。また、データ保管装置１において定期的に改竄検知処理を行うなどして改竄を検知した場合には、受信したリストア対象一覧の中から、改竄検知した電子ファイルに対応する電子ファイルを特定し、リストア対象に設定する。

次に、ステップＳ６３で設定したリストア対象のリストア要求をバックアップ装置２へ送信する（ステップＳ６４）。その後、バックアップ装置２からの応答を待つ（ステップＳ６５）。バックアップ装置２からの応答を受信すると（ステップＳ６５−Ｙｅｓ）、リストア対象データとしてリストア対象の電子ファイルを含む正常応答を受信したか否かを判定する（ステップＳ６６）。正常応答であれば（ステップＳ６６−Ｙｅｓ）、リストア対象データ中の電子ファイルを使い、ステップＳ６３において設定したリストア対象のリストアを実行し（ステップＳ６７）、処理を終了する。正常応答でなければ（ステップＳ６６−Ｎｏ）、バックアップ装置２のバックアップデータ２１１に保存されたバックアップファイルに異常がある旨を出力して（ステップＳ６８）、処理を終了する。

図８は、バックアップ装置２におけるリストアの処理を説明するフローチャートである。

データ保管装置１からリストア管理部２２３がリストア対象一覧要求を受信するところから、バックアップ装置２のリストア処理が開始する（ステップＳ７１）。リストア対象一覧要求を受信すると、リストア管理部２２３は、バックアップ状況記録２１２を参照し、リストア可能な電子ファイルの一覧であるリストア対象一覧を作成する（ステップＳ７２）。そして、作成したリストア対象一覧をデータ保管装置１へ送信する（ステップＳ７３）。リストア対象一覧を送信後、データ保管装置１から送信したリストア対象一覧に基づくリストア要求を待つ（ステップＳ７４）。

データ保管装置１からリストア要求を受信すると（ステップＳ７４−Ｙｅｓ）、リストア管理部２２３は、リストア要求に基づきリストア対象を特定し、データ保管装置１へ送信するリストア対象データを構成することになるバックアップファイルをバックアップデータ２１１から取得する（ステップＳ７５）。ここで、取得したリストア対象のバックアップファイルが、電子署名が施されているかを判定する（ステップＳ７６）。リストア対象のバックアップファイルが署名済み電子ファイルである場合は(ステップＳ７６−Ｙｅｓ）、署名検証部２２１において当該署名済み電子ファイルの署名検証を行なう（ステップＳ７７）。リストア管理部２２３は、署名検証部２２１が出力した署名検証結果を判定し、検証ＯＫであれば（ステップＳ７８−Ｙｅｓ）、リストアＯＫと取得したバックアップファイルを含むリストア対象データをデータ保管装置１へ送信してリストア正常応答を行い（ステップＳ７９）、処理を終了する。

また、ステップＳ７８において、リストア管理部２２３は、署名検証部２２１が出力した署名検証結果が検証ＮＧであれば（ステップＳ７８−Ｎｏ）、取得したバックアップファイルを含むリストア対象データを送信する代わりに、署名検証ＮＧによるリストア異常応答をデータ保管装置１へ送信し（ステップＳ８０）、処理を終了する。

ステップＳ７６において、取得したリストア対象データが署名済み電子ファイルでない場合は（ステップＳ７６−Ｎｏ）、ステップＳ７９へ進み、リストア対象データをデータ保管装置１へ送信してリストア正常応答を行い、処理を終了する。

本発明は、上記実施の形態に限定されるものではなく、幾多の変更及び変形が可能である。たとえば、署名済み電子ファイルは、電子署名が施されている場合について説明したが、電子署名を施すとともに、又は、電子署名を施す代わりに、ネットワーク３に接続されたタイムスタンプ局（図示せず）によるタイムスタンプが施されていてもよい。

また、署名検証部がバックアップ装置２にある場合を説明したが、署名検証部はバックアップ装置２に設ける必要はなく、データ保管装置１や別途接続される署名検証専用装置などが有する署名検証機能を使用してもよい。データ保管装置１が署名検証部を有する場合、データ保管装置１からバックアップ装置２へバックアップ対象の署名済み電子ファイルを送信する前に署名検証を行い、検証ＯＫのときのみ署名済み電子ファイルを送信してバックアップを行い、検証ＮＧのときは署名済み電子ファイルを送信せずに警告を出力してバックアップは行なわない。

また、データ保管装置１とバックアップ装置２と分けて構成されるファイル管理システムを説明したが、一装置のファイル管理装置であってもよい。このとき、電子署名済みデータ１１１とバックアップデータ２１１とは互いに独立して記憶部に設けられ、バックアップ処理は、電子署名済みデータ１１１の署名済み電子ファイルからバックアップデータ２１１へバックアップファイルを作成しようとするときに、署名済み電子ファイルの署名検証を行い、検証ＯＫのときのみ複製によりバックアップデータ２１１へバックアップファイルを作成してもよい。また、リストア処理は、バックアップデータ２１１のバックアップファイルから電子ファイルをリストアしようとするときに、バックアップファイルの電子署名の署名検証を行い、検証ＯＫのときのみ電子署名済みデータ１１１をバックアップファイルで上書きすればよい。

１・・・データ保管装置
１１・・・記憶部
１１１・・・電子署名済みデータ
１１２・・・バックアップ実行ルール
１２・・・制御部
１２１・・・バックアップトリガ部
１２２・・・データ送信部
１２３・・・リストア操作部
１３・・・通信Ｉ／Ｆ部
２・・・バックアップ装置
２１・・・記憶部
２１１・・・バックアップデータ
２１２・・・バックアップ状況記録
２２・・・制御部
２２１・・・署名検証部
２２２・・・バックアップ管理部
２２３・・・リストア管理部
２３・・・通信Ｉ／Ｆ部
３・・・ネットワーク
４・・・ユーザー端末

Claims (3)

1. 電子署名が施された署名済みファイルを保管し、バックアップを行なうファイル管理システムにおいて、
   署名済みファイルを記憶する第１の記憶手段と、
   前記署名済みファイルのバックアップファイルを記憶する第２の記憶手段と、
   署名済みファイルの電子署名を検証し、検証結果を出力する署名検証手段と、
   前記第１の記憶手段に保管された前記署名済みファイルを前記第２の記憶手段へバックアップを行うとき、前記署名検証手段にて当該署名済みファイルの署名検証を行い、署名検証に成功すると、前記署名済みファイルに対するバックアップファイルを生成して前記第２の記憶手段へ記憶するバックアップ管理手段と、
   を有することを特徴とするファイル管理システム。
2. 前記バックアップ管理手段は、前記署名済みファイルの署名検証に失敗すると、前記署名済みファイルに対して改竄検知の警告を出力するとともに、バックアップファイルを生成して前記第２の記憶手段へ記憶することを禁止することを特徴とする請求項１に記載のファイル管理システム。
3. 更に、前記第２の記憶手段に保管されたバックアップファイルを用いて前記第１の記憶手段の署名済みファイルをリストアするリストア管理手段を有し、
   前記リストア管理手段は、リストアの要求を受けると前記署名検証手段にてバックアップファイルの署名検証を行い、署名検証に成功すると、当該バックアップファイルにより対応する署名済みファイルをリストアすることを特徴とする請求項１または請求項２に記載のファイル管理システム。