JP2018005742A - 情報処理装置及びプログラム - Google Patents

Abstract

【課題】データに対する操作が許可される許可対象として複数のユーザが含まれるグループを設定する場合と比較して、データに対して要求された操作の可否を制御する際の煩雑さを軽減する。【解決手段】ファイル管理装置１００は、データに対する操作履歴をデータ毎に記憶する操作情報取得部１１３，操作情報保持部１１４と、ユーザから、データに対するアクセス要求を受け付けた場合、データに対するアクセスを許可する条件を定めたアクセス許可条件に基づいて、データに対するアクセスを制御するアクセス制御部１１５と、制御手段がアクセスを許可したアクセス要求に対応するデータの操作履歴の共通条件を、新たなアクセス許可条件として設定する規則生成部１１８とを備える。【選択図】図３

Description

本発明は、情報処理装置及びプログラムに関する。

例えば、特許文献１には、データを分類してアクセス制御を行う方法であって、分類対象データ又はその属性から、分類の基準となる第１のデータを抽出し、解析して、分類対象データ又は第１のデータを含む所定の第１の部分が第１の分類カテゴリーに属する場合、分類対象データ又は所定の第１の部分へのアクションに対して第１のアクセス制御セットを適用して、ユーザ・アクションを可能又は不可能にする方法が開示されている。

また、例えば、特許文献２には、複数のユーザにより共有されるフォルダである共有フォルダへのアクセス権と、複数のユーザにより共有されるファイルに対するアクセス権とを同期させるポリシー管理装置であって、共有フォルダへのアクセス権の情報と、共有フォルダ配下のファイルに対するアクセス権の情報とを記憶し、共有フォルダのアクセス権の情報が変更されたことを検出した場合に、記憶されている共有フォルダ配下のファイルに対するアクセス権の情報を共有フォルダのアクセス権の情報に書き換えるポリシー管理装置が開示されている。

特開２０１２−１３７９７３号公報 特開２００７−３２８４００号公報

データに対して複数のユーザがアクセス可能（操作可能）な場合に、データに対するアクセス制御を行うことがある。このようなアクセス制御では、データに対する操作が許可される許可対象として、例えば、予め個々のユーザ又は複数のユーザが含まれるグループを設定することは広く実施されている。しかし、予め個々のユーザ又は複数のユーザが含まれるグループを許可対象とする場合、ユーザのアクセス権限の変更等により、個々のユーザ又はグループのアクセス制御を変更する等の煩雑さが発生する。
本発明は、データに対する操作が許可される許可対象として複数のユーザが含まれるグループを設定する場合と比較して、データに対して要求された操作の可否を制御する際の煩雑さを軽減することを目的とする。

請求項１に記載の発明は、データに対する操作履歴をデータ毎に記憶する操作履歴記憶手段と、ユーザから、前記データに対するアクセス要求を受け付けた場合、前記データに対するアクセスを許可する条件を定めたアクセス許可条件に基づいて、前記データに対するアクセスを制御する制御手段と、前記制御手段がアクセスを許可したアクセス要求に対応するデータの操作履歴の共通条件を、新たなアクセス許可条件として設定するアクセス設定手段とを備える情報処理装置である。
請求項２に記載の発明は、前記アクセス設定手段は、前記制御手段がアクセスを許可したアクセス要求に対応するデータの操作履歴に含まれる機器の情報が共通する場合に、当該操作履歴に含まれる当該機器の情報と新たに受け付けたアクセス要求における当該機器の情報とが共通であれば当該アクセス要求を許可するという条件を、新たなアクセス許可条件として設定することを特徴とする請求項１に記載の情報処理装置である。
請求項３に記載の発明は、前記アクセス設定手段は、前記制御手段がアクセスを許可したアクセス要求に対応するデータの操作履歴に含まれる操作日時が共通の期間内にある場合に、当該操作履歴に含まれる操作日時と新たに受け付けたアクセス要求の日時との差が当該共通の期間内であれば当該アクセス要求を許可するという条件を、新たなアクセス許可条件として設定することを特徴とする請求項１に記載の情報処理装置である。
請求項４に記載の発明は、前記アクセス要求に対する可否を指示する入力を受け付ける受付手段をさらに備え、前記アクセス設定手段は、前記受付手段が受け付けた入力により許可されたアクセス要求に対応するデータの操作履歴を対象として、新たなアクセス許可条件を設定することを特徴とする請求項１乃至３の何れか１項に記載の情報処理装置である。
請求項５に記載の発明は、暗号化データを復号するために用いられる鍵データに対する操作履歴を鍵データ毎に記憶する操作履歴記憶手段と、ユーザから、前記鍵データに対するアクセス要求を受け付けた場合、前記鍵データに対するアクセスを許可する条件を定めたアクセス許可条件に基づいて、前記鍵データに対するアクセスを制御する制御手段と、前記制御手段がアクセスを許可したアクセス要求に対応する鍵データの操作履歴の共通条件を、新たなアクセス許可条件として設定するアクセス設定手段とを備える情報処理装置である。
請求項６に記載の発明は、コンピュータに、データに対する操作履歴をデータ毎に記憶部に記憶させる機能と、ユーザから、前記データに対するアクセス要求を受け付けた場合、前記データに対するアクセスを許可する条件を定めたアクセス許可条件に基づいて、前記データに対するアクセスを制御する機能と、前記制御する機能によりアクセスを許可したアクセス要求に対応するデータの操作履歴の共通条件を、新たなアクセス許可条件として設定する機能とを実現させるためのプログラムである。

請求項１記載の発明によれば、データに対する操作が許可される許可対象として複数のユーザが含まれるグループを設定する場合と比較して、データに対して要求された操作の可否を制御する際の煩雑さを軽減することができる。
請求項２記載の発明によれば、過去の操作と共通する機器が用いられる場合に操作を許可することができるようになる。
請求項３記載の発明によれば、過去の操作から予め定められた期間内に行われた操作を許可することができるようになる。
請求項４記載の発明によれば、ユーザにより許可された過去の操作を基に、要求された操作を許可するか否かを決定できるようになる。
請求項５記載の発明によれば、データに対する操作が許可される許可対象として複数のユーザが含まれるグループを設定する場合と比較して、鍵データに対する配布要求の可否を制御する際の煩雑さを軽減することができる。
請求項６記載の発明によれば、データに対する操作が許可される許可対象として複数のユーザが含まれるグループを設定する場合と比較して、データに対して要求された操作の可否を制御する際の煩雑さを軽減することができる。

本実施の形態に係るファイル管理システムの全体構成例を示した図である。 本実施の形態に係るファイル管理装置のハードウェア構成例を示す図である。 本実施の形態に係るファイル管理装置の機能構成例を示したブロック図である。 （ａ）は、操作情報の一例を示す図である。（ｂ）は、要求情報の一例を示す図である。 アクセス制御部による操作可否判定の処理手順の一例を示したフローチャートである。 （ａ）〜（ｅ）は、規則生成部が操作可否規則を生成する処理の一例を説明するための図である。 （ａ）〜（ｃ）は、規則生成部が操作可否規則を生成する処理の一例を説明するための図である。 規則生成部による操作可否規則の生成手順の一例を示したフローチャートである。 ユーザの操作入力に基づいて操作可否を決定する処理手順の一例を示したフローチャートである。 （ａ）は、鍵に対する操作情報の一例を示す図である。（ｂ）は、鍵に対する要求情報の一例を示す図である。（ｃ）は、鍵により暗号化されたデータの構成例を示す図である。

以下、添付図面を参照して、本発明の実施の形態について詳細に説明する。
＜システム構成＞
まず、本実施の形態に係るファイル管理システム１の全体構成について説明する。図１は、本実施の形態に係るファイル管理システム１の全体構成例を示した図である。図示するように、このファイル管理システム１は、ファイル管理装置１００と端末装置２００ａ〜２００ｃとがネットワーク３００を介して接続されることにより構成されている。
なお、図１では、端末装置２００ａ〜２００ｃを示したが、これらを区別する必要がない場合には、端末装置２００と称する。また、図１には、３つの端末装置２００しか示していないが、４つ以上の端末装置２００を設けても良い。

情報処理装置の一例としてのファイル管理装置１００は、端末装置２００による操作の対象となる電子ファイル（以下、単に「ファイル」と称する）を管理するコンピュータ装置である。ファイル管理装置１００としては、サーバ装置等のＰＣ（Personal Computer）が例示される。詳しくは後述するが、このファイル管理装置１００は、保持しているファイルに対する取得や編集、閲覧等の操作要求を端末装置２００から受け付ける。また、ファイル管理装置１００は、ファイルに対する操作要求を受け付けた場合に、要求された操作の可否（即ち、要求された操作を許可するか否か）を判定する処理を行う。

端末装置２００は、ユーザが使用するコンピュータ装置である。端末装置２００としては、ＰＣ、携帯端末、ファクシミリ機能を備えた画像形成装置が例示される。この端末装置２００は、例えば、ユーザの操作入力に従って、ファイル管理装置１００に保持されているファイルに対する取得や編集、閲覧等の操作を要求する。

ネットワーク３００は、ファイル管理装置１００と端末装置２００との間の情報通信に用いられる通信手段であり、例えば、インターネット、公衆回線、ＬＡＮ（Local Area Network）等である。

＜ファイル管理装置のハードウェア構成＞
次に、本実施の形態に係るファイル管理装置１００のハードウェア構成について説明する。図２は、本実施の形態に係るファイル管理装置１００のハードウェア構成例を示す図である。図示するように、ファイル管理装置１００は、演算手段であるＣＰＵ（Central Processing Unit）１０１と、記憶手段であるメインメモリ１０２及び磁気ディスク装置１０３とを備える。

ここで、ＣＰＵ１０１は、ＯＳ（Operating System）やアプリケーション等の各種プログラムを実行し、ファイル管理装置１００の各種機能を実現する。また、メインメモリ１０２は、各種プログラムやその実行に用いるデータ等を記憶する記憶領域である。また、磁気ディスク装置１０３は、各種プログラムに対する入力データや各種プログラムからの出力データ等を記憶する記憶領域である。
さらに、ファイル管理装置１００は、外部との通信を行うための通信インタフェース（通信Ｉ／Ｆ）１０４と、ビデオメモリやディスプレイ等からなる表示機構１０５と、キーボードやマウス等の入力デバイス１０６とを備える。

＜ファイル管理装置の機能構成＞
次に、本実施の形態に係るファイル管理装置１００の機能構成について説明する。図３は、本実施の形態に係るファイル管理装置１００の機能構成例を示したブロック図である。
ファイル管理装置１００は、操作の対象となるファイルを保持するファイル保持部１１１と、端末装置２００との間で通信を行う通信部１１２と、ファイルに対して実行された操作の情報（以下、操作情報と称する）を取得する操作情報取得部１１３と、取得した操作情報を保持する操作情報保持部１１４とを備える。
また、ファイル管理装置１００は、ファイルに対して要求された操作（ファイルに対するアクセス）を制御するアクセス制御部１１５と、ファイルに対して要求された操作の可否を決定するための規則（以下、操作可否規則と称する）を保持する規則保持部１１６と、許可された操作に基づいてファイルに対する処理を行うファイル処理部１１７と、操作可否規則を生成する規則生成部１１８と、ユーザからの操作入力を受け付ける入力受付部１１９とを備える。

ファイル保持部１１１は、端末装置２００による操作の対象となるファイルを保持する。このファイル保持部１１１には、端末装置２００から送信されたファイルが保持されるが、保持されるファイルには、例えば、ＣＤ−ＲＯＭ等の記録媒体に格納して提供されたファイル等が含まれても良い。

通信部１１２は、端末装置２００との間で通信を行い、端末装置２００に対する情報の送受信を行う。具体的には、例えば、通信部１１２は、ファイル保持部１１１へ新たに追加するファイルを端末装置２００から受信したり、ファイル保持部１１１に保持されるファイルに対する取得や編集、閲覧等の要求を端末装置２００から受け付けたりする。

操作履歴記憶手段の一例としての操作情報取得部１１３は、ファイル保持部１１１に保持されるファイルに対して実行された操作に関する操作情報を取得する。ここで取得する操作情報は、ファイル保持部１１１に保持されるファイルに対して端末装置２００が要求して許可された操作の情報であり、上述したように、例えば、ファイルの取得や編集、閲覧等の操作に関する情報が含まれる。また、操作情報には、例えば、ファイル保持部１１１へのファイルの追加やファイル保持部１１１内でのファイルの移動等の操作に関する情報も含まれる。

付言すると、操作情報は、ファイルに対して端末装置２００が要求して実行された操作の操作履歴として捉えることができる。また、操作情報は、ファイルに対して端末装置２００が要求して実行された操作に用いられる通信に関する情報として捉えることもできる。操作情報取得部１１３は、このような操作情報を、操作毎に、及び、操作対象となるファイル毎に取得し、操作情報保持部１１４に保持（記憶）させる。

操作履歴記憶手段の一例としての操作情報保持部１１４は、操作情報取得部１１３が取得した操作情報を保持する。操作情報は、操作対象となるファイルと対応付けて保持されており、操作対象のファイル毎に保持（記憶）される。

制御手段の一例としてのアクセス制御部１１５は、ファイル保持部１１１に保持されるファイルに対する操作の要求を端末装置２００から受け付けた場合に、操作可否規則に基づいて操作可否を判定する。具体的には、アクセス制御部１１５は、ファイル保持部１１１に保持されるファイルに対する操作の要求を端末装置２００から受け付けた場合に、このファイルに対応して操作情報保持部１１４に保持されている操作情報と、ファイルに対する操作要求の情報（以下、要求情報と称する）とを比較する。そして、アクセス制御部１１５は、比較結果に対して操作可否規則を適用して、要求された操作を許可するか否かを判定する。本実施の形態では、データに対するアクセスを許可する条件を定めたアクセス許可条件の一例として、操作可否規則が用いられる。
なお、操作可否規則は、ファイル保持部１１１に保持されるファイル毎に定められるものではなく、複数のファイルで共通の規則として定められる。

規則保持部１１６は、操作可否規則を保持する。操作可否規則は、例えば、ユーザにより予め定められたり、規則生成部１１８により新たに生成されたりすることにより、規則保持部１１６に保持される。

ファイル処理部１１７は、端末装置２００から要求されて許可された操作に基づいて、ファイルに対する処理を実行する。例えば、端末装置２００からファイルを取得することが要求され、その要求が許可された場合、ファイル処理部１１７は、要求されたファイルを端末装置２００へ送信する。また、例えば、端末装置２００からファイルを閲覧することが要求され、その要求が許可された場合、ファイル処理部１１７は、要求されたファイルを閲覧可能な状態にする。

アクセス設定手段の一例としての規則生成部１１８は、複数のファイルに対して過去に許可された操作（即ち、実際に実行された操作）の共通性を基に、操作可否規則を生成する。言い換えると、規則生成部１１８は、複数のファイルに対する操作情報間の関係により、操作可否規則を生成する。この操作可否規則の生成処理は、例えば、操作可否規則を生成することをユーザが選択することにより実行されたり、例えば１週間毎など定期的に実行されたりする。生成された操作可否規則は、規則保持部１１６に保持される。

受付手段の一例としての入力受付部１１９は、例えば入力デバイス１０６により、ユーザからの操作入力を受け付ける。例えば、後述するように、入力受付部１１９は、要求された操作を許可する旨の入力や要求された操作を拒否する旨の入力など、要求された操作の可否を指示する入力をユーザから受け付ける。

なお、図３に示すファイル管理装置１００を構成する各機能部は、ソフトウェアとハードウェア資源とが協働することにより実現される。具体的には、ＣＰＵ１０１が、操作情報取得部１１３、アクセス制御部１１５、ファイル処理部１１７、規則生成部１１８、入力受付部１１９等を実現するプログラムを、例えば磁気ディスク装置１０３からメインメモリ１０２に読み込んで実行することにより、これらの機能部が実現される。また、通信部１１２は、例えば通信Ｉ／Ｆ１０４により実現される。さらに、ファイル保持部１１１、操作情報保持部１１４、規則保持部１１６は、例えば磁気ディスク装置１０３により実現される。

＜操作情報及び要求情報の説明＞
次に、操作情報及び要求情報について説明する。図４（ａ）は、操作情報の一例を示す図である。また、図４（ｂ）は、要求情報の一例を示す図である。
まず、図４（ａ）に示す操作情報の項目について説明する。
「対象データＩＤ」は、端末装置２００による操作の対象となったファイルの対象データＩＤを示す。ここで、対象データＩＤとは、ファイル保持部１１１に保持されているファイルに付与されているＩＤであり、対象データＩＤは、ファイル保持部１１１に保持されているファイルを一意に識別するために各ファイルのそれぞれに付与される。「操作種別」は、端末装置２００が行った操作の種別である。

「ＩＰアドレス」は、ファイル操作の際の通信にて用いられた機器のＩＰ（Internet Protocol）アドレスである。このＩＰアドレスは、ファイル操作を行う端末装置２００のＩＰアドレスの場合もあれば、例えば、企業のネットワークから外部へアクセスする際に固定で割り当てられるＩＰアドレス等の場合もある。「ＭＡＣアドレス」は、ファイル操作の際の通信にて用いられた機器のＭＡＣ（Media Access Control）アドレスである。このＭＡＣアドレスは、ファイル操作を行う端末装置２００のＭＡＣアドレスの場合もあれば、例えば、端末装置２００とファイル管理装置１００との通信にて経由される機器のＭＡＣアドレス等の場合もある。

「通信経路」は、ファイル操作を行う端末装置２００とファイル管理装置１００との間の通信経路であり、経由される機器の情報が含まれる。「通信日時」は、ファイル操作の際の通信が発生した日時である。「ユーザ情報」は、ファイル操作の際の通信にて認証されたユーザの情報であり、例えば、認証されたユーザのメールアドレス等の情報が含まれる。「位置情報」は、ファイル操作を行う端末装置２００の物理的な位置情報であり、例えば、端末装置２００のＧＰＳ（Global Positioning System）座標の情報である。「機器種別」は、ファイル操作を行う端末装置２００の機器種別であり、例えば、ＰＣ、携帯端末、ファクシミリ機能を備えた画像形成装置等である。

具体的には、図４（ａ）に示す操作情報は、対象データＩＤ「１０３４２」のファイルに対する操作が行われたことを示す。操作種別は「登録」であり、ファイル保持部１１１へ新たにファイルが登録（追加）される操作であることを示す。また、機器種別は「ＦＡＸ−００３２」であり、ファイルの操作を行う端末装置２００が、ファクシミリ機能を備えた画像形成装置であることを示している。

次に、図４（ｂ）に示す要求情報の項目について説明する。
「対象データＩＤ」は、端末装置２００による操作要求の対象となったファイルの対象データＩＤを示す。「操作種別」は、端末装置２００が要求した操作の種別である。「ＩＰアドレス」は、操作要求の際の通信にて用いられた機器のＩＰアドレスである。「ＭＡＣアドレス」は、操作要求の際の通信にて用いられた機器のＭＡＣアドレスである。「通信経路」は、操作要求を行う端末装置２００とファイル管理装置１００との間の通信経路であり、経由される機器の情報が含まれる。「通信日時」は、操作要求の際の通信が発生した日時である。「ユーザ情報」は、操作要求の際の通信にて認証されたユーザの情報である。「位置情報」は、操作要求を行う端末装置２００の物理的な位置情報である。「機器種別」は、操作要求を行う端末装置２００の機器種別である。

具体的には、図４（ｂ）に示す要求情報は、図４（ａ）に示す例と同じ対象データＩＤ「１０３４２」のファイルに対する操作が要求されたことを示す。操作種別は「取得」であり、ファイルを取得する操作であることを示す。また、機器種別は「Ｍｏｂｉｌｅ−Ｄｅｖｉｃｅ」であり、操作要求を行った端末装置２００が携帯端末であることを示している。

なお、操作情報及び要求情報の各項目は、図４に示す項目に限られるものではない。例えば、操作情報に、操作対象のファイル種別、通信時に付与されたデータ、操作対象のファイルの論理的位置などの情報を含めても良い。操作対象のファイル種別とは、例えば、ファイルの拡張子の情報である。通信時に付与されたデータとは、例えば、ファイル管理装置１００と端末装置２００との間でやり取りされるクッキーの情報である。操作対象のファイルの論理的位置とは、ファイル保持部１１１内の位置であり、例えば、ファイルが格納されているフォルダの情報や、ファイルの移動先として指定されたフォルダの情報である。

＜アクセス制御部による操作可否判定の処理＞
次に、アクセス制御部１１５による操作可否判定の処理について説明する。ここでは、操作可否規則として、操作が要求されたファイルに対する過去の操作で用いられたＩＰアドレスの少なくとも１つが要求時のＩＰアドレスと一致すれば（共通であれば）、「可」（操作を許可）とし、過去の操作で用いられたＩＰアドレスの何れもが要求時のＩＰアドレスと一致しなければ、「否」（操作を拒否）とする、という規則が定められている場合について説明する。なお、この操作可否規則は、ファイル管理装置１００の管理者が事前に作成し、規則保持部１１６に保持されている。

この操作可否規則が適用される場合、アクセス制御部１１５は、操作が要求されたファイルと同一のファイルに対する操作情報を操作情報保持部１１４の中から検索する。次に、アクセス制御部１１５は、検索により取得した操作情報にて記録されているＩＰアドレスと、操作要求時の要求情報に含まれるＩＰアドレスとを比較する。そして、操作情報のＩＰアドレスの少なくとも１つが要求情報のＩＰアドレスと一致すれば、アクセス制御部１１５は、「可」と判断する。一方、操作情報のＩＰアドレスの何れもが要求情報のＩＰアドレスと一致しなければ、アクセス制御部１１５は「否」と判断する。

例えば、ファイルＡに対して操作を行う場合を例として説明する。初めに、端末装置２００からファイルＡが送信され、ファイル保持部１１１に登録（保持）される。ここで、ファイルＡが登録された際の操作情報が操作情報保持部１１４に保持される。次に、ファイルＡに対する操作が要求された場合、アクセス制御部１１５は、ファイルＡに対する操作情報として、ファイルＡ登録時の操作情報を取得する。そして、ファイルＡ登録時のＩＰアドレスと操作要求時のＩＰアドレスとを比較する。２つのＩＰアドレスが一致した場合、アクセス制御部１１５は、ファイルＡに対して要求された操作を許可する。一方、２つのＩＰアドレスが一致しない場合、アクセス制御部１１５は、ファイルＡに対して要求された操作を拒否する。
なお、ファイルＡに対する操作が許可された場合には、操作情報取得部１１４は、許可された操作に関する情報を操作情報として取得する。

また、ＩＰアドレスを用いた操作可否規則としては、上述した例のように、操作情報のＩＰアドレスと要求情報のＩＰアドレスとが一致すれば「可」とするような規則に限られるものではない。例えば、要求情報のＩＰアドレスが、操作情報のＩＰアドレスを基に定められた一定の範囲内のものであれば「可」とするような規則にしても良い。具体的には、例えば、操作情報のＩＰアドレスと第１オクテット〜第３オクテットは同一で、第４オクテットは任意のＩＰアドレスであれば「可」とするような規則にしても良い。この場合、例えば、ファイルＡ登録時のＩＰアドレスが「１２．３４．５６．７８」であれば、要求情報のＩＰアドレスが「１２．３４．５６．０」〜「１２．３４．５６．２５５」の範囲内の場合に「可」と判断される。

さらに説明すると、例えば、企業や企業内の部署などの組織では、機密保持の理由により、組織内のネットワークに複数の機器を接続したり、外部への通信についてはファイアウォール等の通信制御機器を通るようにしたりする場合がある。このような場合、例えばある組織内からファイル管理装置１００への通信では、発信元のＩＰアドレスが特定のＩＰアドレスや特定の範囲内のＩＰアドレスに限定されることが考えられる。そこで、上述したように、操作情報のＩＰアドレスと要求情報のＩＰアドレスとが一致すれば操作を許可するという操作可否規則を設定することにより、例えば、組織外からのアクセスが拒否されることとなり、ファイルが組織外へ流出することが抑制される。

また、ここでは、機器の情報の一例としてのＩＰアドレスを用いた操作可否規則について説明したが、操作可否規則はＩＰアドレスを用いるものに限られず、操作情報及び要求情報の項目を用いたものであればどのようなものでも良い。例えば、操作情報に含まれる位置情報と要求情報の位置情報とが一致すれば「可」とするような操作可否規則を定めても良い。また、例えば、操作情報に含まれるＭＡＣアドレスと機器種別との組み合わせが、要求情報に含まれるＭＡＣアドレスと機器種別との組み合わせに一致すれば「可」とするような操作可否規則を定めても良い。

さらに、操作可否規則は複数のファイルに共通の規則として設定されるが、ファイル保持部１１１に保持される全ファイルに対して共通の規則とする構成に限られるものではない。例えば、企業毎に操作可否規則を設定して、同一の企業内で用いられるファイルに対して共通の操作可否規則を適用しても良い。また、例えば、企業内の部署毎に操作可否規則を設定して、同一の部署内で用いられるファイルに対して共通の操作可否規則を適用しても良い。

＜アクセス制御部による操作可否判定の処理手順＞
次に、アクセス制御部１１５による操作可否判定の処理手順について説明する。図５は、アクセス制御部１１５による操作可否判定の処理手順の一例を示したフローチャートである。

アクセス制御部１１５は、要求情報を受信すると（ステップ１０１）、変数ｉに１を代入する（ステップ１０２）。次に、アクセス制御部１１５は、規則保持部１１６に保持されている操作可否規則のうち、ｉ番目の操作可否規則がまだ選択されていないか否かを判定する（ステップ１０３）。ここで、操作可否規則は、例えば規則保持部１１６に保持された順番などの予め定められた規則に従った順番に並べられる。例えば、ｉ＝１の場合には、１番目の操作可否規則がまだ選択されていなければ、肯定の判断（Ｙｅｓ）がされる。

ステップ１０３で肯定の判断（Ｙｅｓ）がされた場合、アクセス制御部１１５は、操作要求されたファイルに対応する操作情報と、操作要求時の要求情報とを比較して、ｉ番目の操作可否規則を適用する（ステップ１０４）。そして、アクセス制御部１１５は、ｉ番目の操作可否規則を適用した結果、「可」とされるか否かを判定する（ステップ１０５）。ステップ１０５で肯定の判断（Ｙｅｓ）がされた場合、アクセス制御部１１５は、要求された操作を許可する（ステップ１０６）。操作が許可された後、ファイル処理部１１７は、許可された操作に基づいてファイルに対する処理を実行する。また、操作情報取得部１１３は、許可された操作に関する情報を操作情報として新たに操作情報保持部１１４に保持する。そして、本処理フローは終了する。

一方、ステップ１０５で否定の判断（Ｎｏ）がされた場合、アクセス制御部１１５は、変数ｉに１を足して（ステップ１０７）、ステップ１０３へ移行する。
また、ステップ１０３で否定の判断（Ｎｏ）がされた場合、規則保持部１１６に保持されている全ての操作可否規則において、「否」と判定されたこととなる。この場合、アクセス制御部１１５は、要求された操作を拒否し（ステップ１０８）、本処理フローは終了する。ここで、後述するように、アクセス制御部１１５は、操作を拒否するのではなく、ユーザへの問い合わせを行って、ユーザの操作入力に基づいて操作可否を決定しても良い。

また、図５に示す例では、少なくとも１つの操作可否規則により「可」とされた場合に操作を許可することとしたが、このような構成に限られるものではない。例えば、予め閾値を定めておき、閾値以上の数の操作可否規則により「可」とされた場合に操作を許可しても良い。さらに、例えば、少なくとも１つの操作可否規則により「否」とされた場合に操作を拒否しても良い。

このように、本実施の形態において、ファイル管理装置１００は、端末装置２００からファイルの操作が要求された場合、過去に許可された操作に関する操作情報を基に操作可否の判定を行う。そのため、ユーザによるファイルの使用形態に応じてファイルへのアクセス権限が制御され、ファイルの操作範囲が限定される。また、本実施の形態では、複数のファイルに共通の規則として操作可否規則が設定されるため、例えば、ファイル保持部１１１に保持される全てのファイル毎にユーザがアクセス権限を設定する構成と比較して、アクセス権限の設定が容易になり、ユーザが誤ってアクセス権限を設定することも抑制される。

＜操作可否規則の生成処理＞
次に、規則生成部１１８が操作可否規則を生成する処理について説明する。規則生成部１１８は、過去に許可された操作（即ち、操作が実行された操作）に関する操作情報の共通性を基に、操作可否規則を生成する。

図６及び図７は、規則生成部１１８が操作可否規則を生成する処理の一例を説明するための図である。
まず、規則生成部１１８は、操作情報保持部１１４に保持されている操作情報を取得する。ここでは、図６（ａ）〜（ｅ）に示す５つの操作情報が取得されたものとする。
次に、規則生成部１１８は、同一のファイル（対象データＩＤが同じファイル）に対する操作に関して、操作情報の各項目の一致、不一致を抽出する。例えば、規則生成部１１８は、対象データＩＤ「１０３４２」のファイルに対する操作として、図６（ａ）、（ｂ）の操作情報における各項目の一致、不一致を抽出する。同様に、対象データＩＤ「１０９８７」のファイルに対する操作として、図６（ｃ）〜（ｅ）の操作情報における各項目の一致、不一致を抽出する。

対象データＩＤ「１０３４２」のファイルについては、図７（ａ）に示すように、各項目の一致、不一致が抽出される。具体的には、ＩＰアドレスは「１２．３４．５６．７８」で一致する項目（以下、一致項目と称する）である。一方、ＭＡＣアドレスは、図６（ａ）の操作情報では「１１：２２：３３：４４：５５：６６」であるが、図６（ｂ）の操作情報では「１３：５７：２４：６８：９０：１１」であり、不一致の項目（以下、不一致項目と称する）である。同様に、通信経路、ユーザ情報、位置情報、機器種別の各項目は、不一致項目である。通信日時については、操作間の通信日時の差が計算される。即ち、２０１６年３月４日１１時１分５５秒から２０１６年３月５日１３時１２分３３秒までの期間として、「１日２時間１０分３８秒」が計算される。

また、対象データＩＤ「１０９８７」のファイルについては、図７（ｂ）に示すように、各項目の一致、不一致が抽出される。具体的には、ＩＰアドレス、ユーザ情報については、３つの操作情報の全てにおいて一致し、一致項目である。一方、ＭＡＣアドレス、通信経路、位置情報、機器種別の各項目は、不一致項目である。また、通信日時については、操作間の通信日時の差として、最初の通信日時から最後の通信日時までの期間が計算される。即ち、２０１６年４月１日１０時２分４３秒から２０１６年４月４日９時１８分２３秒までの期間として、「２日２３時間１５分４０秒」が計算される。

そして、規則生成部１１８は、各ファイルにおける一致項目、不一致項目の共通性に基づいて、操作可否規則を生成する。具体的には、例えば、ＩＰアドレスは、対象データＩＤ「１０９８７」のファイル、対象データＩＤ「１０３４２」のファイルの両方で一致項目である。そこで、規則生成部１１８は、図７（ｃ）に示すように、「ＩＰアドレスが一致」という条件を抽出する。一方、例えば、ＭＡＣアドレスは、対象データＩＤ「１０９８７」のファイル、対象データＩＤ「１０３４２」のファイルの両方で不一致項目である。そこで、規則生成部１１８は、図７（ｃ）に示すように、「ＭＡＣアドレスは不一致でも良い」という条件を抽出する。

さらに、ユーザ情報は、対象データＩＤ「１０９８７」のファイルでは一致項目であるが、対象データＩＤ「１０３４２」のファイルでは不一致項目である。ここで、仮に、操作可否規則を「ユーザ情報が一致」という条件にした場合、対象データＩＤ「１０３４２」のファイルでは不一致項目のため、過去の操作が許可されないことになる。そこで、このような場合、規則生成部１１８は、図７（ｃ）に示すように、「ユーザ情報は不一致でも良い」という条件を抽出する。

また、通信日時については、各ファイルにおいて計算された期間を包含するような共通の期間が抽出される。ここで、対象データＩＤ「１０３４２」のファイルでは、「１日２時間１０分３８秒」と計算され、対象データＩＤ「１０９８７」のファイルでは、「２日２３時間１５分４０秒」と計算されている。そのため、両者の期間を包含する共通の期間として、図７（ｃ）に示すように、「２日２３時間１５分４０秒」が抽出される。

その結果、規則生成部１１８は、図７（ｃ）に示すように、操作情報と要求情報とに適用される操作可否規則として、「ＩＰアドレスは一致、操作間の通信日時の差の最大は２日２３時間１５分４０秒、その他の項目は不一致でも良い」という規則を生成する。このような操作可否規則は、対象データＩＤ「１０３４２」のファイルに対する過去の操作（ここでは図６（ａ），（ｂ）の操作）も、対象データＩＤ「１０９８７」のファイルに対する過去の操作（ここでは図６（ｃ）〜（ｅ）の操作）も、全て許可するものである。

ここで、図７に示す例では、通信日時として、各ファイルの期間を包含する期間であって最短の期間である「２日２３時間１５分４０秒」を設定したが、より条件を緩和して、「２日２３時間１５分４０秒」よりも長い「３日」を設定しても良い。また、例えば、各ファイルの一致項目が「ＩＰアドレス」、「ＭＡＣアドレス」など２つ以上ある場合には、その全ての項目が一致することを条件としても良いが、より条件を緩和して、一部の項目が一致しその他の項目は不一致でも良いという条件を設定しても良い。さらに、例えば、ＩＰアドレスやＭＡＣアドレス等については、操作情報の値から一定の範囲内であれば良いという条件を設定しても良い。

また、図６及び図７に示す例において、規則生成部１１８は、対象データＩＤ「１０９８７」、対象データＩＤ「１０３４２」の２つのファイルの操作情報から操作可否規則を生成したが、３つ以上のファイルの操作情報から操作可否規則を生成しても良い。また、操作種別「登録」及び「編集」の操作情報を基に操作可否規則を生成したが、操作種別はこの２つに限定されず、例えば「取得」や「閲覧」の操作情報を用いて操作可否規則を生成しても良い。さらに、操作可否規則として、全ての操作種別に共通する規則を生成するのではなく、例えば、「編集」の操作情報を基に「編集」の操作のための規則を生成したり、「取得」の操作情報を基に「取得」の操作のための規則を生成したりして、操作種別毎に操作可否規則を生成しても良い。また、規則生成部１１８は、ファイル保持部１１１に保持される全てのファイルを対象にするのではなく、企業や部署などの同一の組織内で用いられるファイルに限定し、組織毎に操作可否規則を生成しても良い。

図８は、規則生成部１１８による操作可否規則の生成手順の一例を示したフローチャートである。
規則生成部１１８は、例えばユーザが選択したタイミングや定期的に、操作情報保持部１１４に保持されている操作情報を取得する（ステップ２０１）。次に、規則生成部１１８は、取得した操作情報のうちの同一ファイルに対する操作情報に対して、一致項目、不一致項目を抽出する（ステップ２０２）。次に、規則生成部１１８は、各ファイルの一致項目、不一致項目の共通性に基づいて、操作可否規則を生成する（ステップ２０３）。ここでは、各ファイルに対して過去に行われた操作が許可されるような操作可否規則が生成される。そして、規則生成部１１８は、生成した操作可否規則を新たに規則保持部１１６に保持させる（ステップ２０４）。そして、本処理フローは終了する。

このように、本実施の形態において、規則生成部１１８は、過去に行われた操作の操作情報に基づいて操作可否規則を生成する。このような構成により、例えば、ファイル毎にユーザがアクセス権限を設定する構成と比較して、ユーザがアクセス権限を設定する煩雑さが軽減される。また、ファイルに対して必要以上に操作が行われるリスクが低減される。

さらに説明すると、例えば、ファイルの編集操作がファイルの登録時から３日以内にしか行われていないという規則性がある場合について考える。この場合、規則生成部１１８は、ファイルの編集要求に対して、ファイルの登録操作から３日以内の場合には編集を可とし、３日を経過した後には編集を否とする規則を生成する。その結果、ファイルの登録から３日以内に編集が行われるような業務において、ユーザの過失や悪意によって通常とは異なるタイミングでファイルを編集するような要求が拒否される。そのため、このファイルに対して必要以上に操作が行われるリスクが低減される。ここで、３日間は、共通の期間の一例として捉えることができる。

なお、上述した例において、規則生成部１１８は、アクセス制御部１１５が操作可否規則を適用して許可した操作情報を基に操作可否規則を生成したが、アクセス制御部１１５によるアクセス制御の開始前に行われた操作の情報を用いて、操作可否規則を生成しても良い。

＜ユーザへの問い合わせ処理＞
次に、アクセス制御部１１５が操作を拒否する前にユーザへ問い合わせを行い、ユーザの操作入力に基づいて操作可否を決定する処理について説明する。なお、ここで問い合わせ先となるユーザは、例えば、端末装置２００を操作する操作者やファイル管理装置１００の管理者等が挙げられる。

図９は、ユーザの操作入力に基づいて操作可否を決定する処理手順の一例を示したフローチャートである。ステップ３０１〜ステップ３０７の処理は、図５のステップ１０１〜ステップ１０７の処理と同様であるため、ここでは説明を省略する。

ステップ３０３で否定の判断（Ｎｏ）がされた場合、規則保持部１１６に保持されている全ての操作可否規則において、「否」と判定されたこととなる。この場合、アクセス制御部１１５は、要求された操作について、図５のステップ１０８のように拒否するのではなく、操作可否をユーザへ問い合わせる処理を行う（ステップ３０８）。具体的には、アクセス制御部１１５は、例えば、操作可否の選択を促す画面を表示機構１０５に表示したり、ネットワーク３００を介して端末装置２００へ操作可否を選択するように通知したりして、ユーザへの問い合わせを行う。

次に、入力受付部１１９は、ユーザからの操作入力を受け付ける（ステップ３０９）。次に、アクセス制御部１１５は、ユーザの操作入力において、操作を「可」とする入力がされたか否かを判定する（ステップ３１０）。「可」の入力がされた場合（ステップ３１０でＹｅｓ）、ステップ３０６へ移行し、要求された操作が許可される。また、許可された操作に基づいてファイルに対する処理が実行される。そして、本処理フローは終了する。

一方、ステップ３１０において、「可」の入力がされなかった場合（ステップ３１０でＮｏ）、アクセス制御部１１５は、要求された操作を拒否し（ステップ３１１）、本処理フローは終了する。なお、「可」の入力がされなかった場合とは、例えば、ユーザにより「否」とする入力がされた場合や一定時間ユーザの入力がされなかった場合などが挙げられる。

このように、本実施の形態において、アクセス制御部１１５は、ユーザの操作入力に基づいて操作可否を決定する。そのため、例えば、外部のネットワークからファイルの閲覧を要求した場合に、過去に使用していないＩＰアドレスからの要求であるために操作可否規則を適用した結果では「否」と判定される場合であっても、ユーザの入力により閲覧を許可することができる。

また、規則生成部１１８は、ユーザの操作入力によって許可された操作の操作情報を対象として、操作可否規則を生成しても良い。例えば、ある企業において、特定のＩＰアドレスから登録されたファイルに対して、特定のＭＡＣアドレスからの閲覧要求のみについてユーザが「可」と入力する場合、その操作情報が蓄積される。その後、規則生成部１１８は、その蓄積された操作情報を基に図６〜８に示す処理を行うことにより、特定のＩＰアドレスから登録されたファイルに対して、特定のＭＡＣアドレスからの閲覧要求がされた場合に「可」とする操作可否規則が生成される。このように、ユーザの操作入力に応じた操作可否規則が生成されるため、ユーザが許可したい閲覧操作について、ユーザの入力がなくても許可されるようになる。

＜鍵に対する操作を対象とする例＞
本実施の形態において、ファイル保持部１１１にデータの暗号化／複合に用いる鍵（例えば、秘密鍵）のデータ（以下、単に「鍵」と称する）が保持されており、アクセス制御部１１５は、その鍵に対する操作の可否を決定することとしても良い。具体的には、ユーザが、鍵で暗号化されたデータを閲覧する場合、ファイル管理装置１００に対して鍵を配布するように要求する。配布要求が許可された場合、ファイル管理装置１００から端末装置２００へ鍵が配布される。そして、配布された鍵により、暗号化されたデータが複合されて閲覧可能になる。

なお、暗号化されたデータはどこに保存されていても良く、例えば、ファイル管理装置１００に保存されていても良いし、ファイル管理装置１００とは別の装置（例えば、ユーザが操作する端末装置２００や他のサーバ装置等）に保存されていても良い。

操作情報保持部１１４に保持される鍵に対する操作情報及び要求情報について説明する。図１０（ａ）は、鍵に対する操作情報の一例を示す図である。図１０（ｂ）は、鍵に対する要求情報の一例を示す図である。図１０（ｃ）は、鍵により暗号化されたデータの構成例を示す図である。

図１０（ａ）に示す操作情報において、「鍵ＩＤ」は、ファイル保持部１１１に保持されている鍵のうち、端末装置２００による操作対象となった鍵に付与されているＩＤである。この鍵ＩＤは、ファイル保持部１１１に保持されている鍵を一意に識別するために各鍵のそれぞれに付与されている。「鍵対象データＩＤ」は、鍵で複合されるデータに付与されているＩＤである。「操作種別」、「ＩＰアドレス」、「ＭＡＣアドレス」、「通信経路」、「通信日時」、「ユーザ情報」、「位置情報」、「機器種別」は、図４（ａ）に示す操作情報と同様であるため、ここでは説明を省略する。

具体的には、図１０（ａ）に示す操作情報は、鍵ＩＤ「２０００１」の鍵に対する操作が行われたことを示す。また、「鍵対象データＩＤ」は「１０３４２」、「１０３４３」、「１０３４４」で、「操作種別」は「鍵新規作成」である。そのため、この鍵は、鍵対象データＩＤ「１０３４２」、「１０３４３」、「１０３４４」の３つのデータの複合に用いられる鍵として、新規に作成（登録）されたことを示す。

図１０（ｂ）に示す要求情報において、「鍵ＩＤ」は、端末装置２００による配布要求の対象となった鍵の鍵ＩＤを示す。また、「鍵対象データＩＤ」は、複合が要求された暗号化データの鍵対象データＩＤを示す。具体的には、図１０（ｂ）に示す要求情報は、鍵対象データＩＤ「１０３４２」の暗号化データを復号するために、鍵ＩＤ「２０００１」の鍵の配布が要求されたことを示す。

図１０（ｃ）に示す暗号化データにおいて、「鍵対象データＩＤ」は、この暗号化データの鍵対象データＩＤを示し、「鍵ＩＤ」は、この暗号化データの複合に用いられる鍵の鍵ＩＤを示す。「鍵配布サービスＵＲＬ」は、鍵の配布元となるＵＲＬ（Uniform Resource Locator）を示し、本実施の形態では、ファイル管理装置１００の場所を示す。「内容情報」は、鍵により暗号化されている情報を示す。

ここで、アクセス制御部１１５は、端末装置２００から鍵の配布要求がされた場合に、図５に示す処理により、操作情報と要求情報とに基づいて鍵の配布を許可するか否かを判定する。また、規則生成部１１８は、鍵について蓄積された操作情報に基づいて図６〜８に示す処理を行うことにより、鍵を配布するか否か判定するための操作可否規則を生成する。さらに、規則生成部１１８は、ユーザの操作入力により許可された鍵の配布要求を基に操作可否規則を生成することで、鍵に関して、ユーザの操作入力に応じた操作可否規則を生成する。

なお、規則生成部１１８は、図６〜８に示す例において、同一のファイル（対象データＩＤが同じファイル）に対する操作に関して、操作情報の一致項目、不一致項目を抽出して操作可否規則を生成した。一方、規則生成部１１８は、鍵を対象として操作可否規則を生成する場合、同一の鍵（鍵ＩＤが同じ鍵）に対する操作に関して、操作情報の一致項目、不一致項目を抽出して操作可否規則を生成する。ここで、規則生成部１１８は、ユーザが複合したい暗号化データに着目して、鍵対象データＩＤが同一の暗号化データに対する操作に関して、操作情報の一致項目、不一致項目を抽出して操作可否規則を生成しても良い。

また、本実施の形態では、端末装置２００による操作対象が、ファイルや鍵である例を説明したが、操作の対象になるデータ（電子データ）であればどのようなものでも良い。例えば、複数のファイルを格納するフォルダを操作対象としても良く、この場合には、フォルダ毎に操作情報が取得される。

なお、本発明の実施の形態を実現するプログラムは、通信手段により提供することはもちろん、ＣＤ−ＲＯＭ等の記録媒体に格納して提供することも可能である。

以上、本発明の実施の形態について説明したが、本発明の技術的範囲は上記実施の形態に記載の範囲には限定されない。上記実施の形態に、種々の変更又は改良を加えたものも、本発明の技術的範囲に含まれることは、特許請求の範囲の記載から明らかである。

１００…ファイル管理装置、１１１…ファイル保持部、１１２…通信部、１１３…操作情報取得部、１１４…操作情報保持部、１１５…アクセス制御部、１１６…規則保持部、１１７…ファイル処理部、１１８…規則生成部、１１９…入力受付部、２００…端末装置

Claims (6)

1. データに対する操作履歴をデータ毎に記憶する操作履歴記憶手段と、
   ユーザから、前記データに対するアクセス要求を受け付けた場合、前記データに対するアクセスを許可する条件を定めたアクセス許可条件に基づいて、前記データに対するアクセスを制御する制御手段と、
   前記制御手段がアクセスを許可したアクセス要求に対応するデータの操作履歴の共通条件を、新たなアクセス許可条件として設定するアクセス設定手段と
   を備える情報処理装置。
2. 前記アクセス設定手段は、前記制御手段がアクセスを許可したアクセス要求に対応するデータの操作履歴に含まれる機器の情報が共通する場合に、当該操作履歴に含まれる当該機器の情報と新たに受け付けたアクセス要求における当該機器の情報とが共通であれば当該アクセス要求を許可するという条件を、新たなアクセス許可条件として設定すること
   を特徴とする請求項１に記載の情報処理装置。
3. 前記アクセス設定手段は、前記制御手段がアクセスを許可したアクセス要求に対応するデータの操作履歴に含まれる操作日時が共通の期間内にある場合に、当該操作履歴に含まれる操作日時と新たに受け付けたアクセス要求の日時との差が当該共通の期間内であれば当該アクセス要求を許可するという条件を、新たなアクセス許可条件として設定すること
   を特徴とする請求項１に記載の情報処理装置。
4. 前記アクセス要求に対する可否を指示する入力を受け付ける受付手段をさらに備え、
   前記アクセス設定手段は、前記受付手段が受け付けた入力により許可されたアクセス要求に対応するデータの操作履歴を対象として、新たなアクセス許可条件を設定すること
   を特徴とする請求項１乃至３の何れか１項に記載の情報処理装置。
5. 暗号化データを復号するために用いられる鍵データに対する操作履歴を鍵データ毎に記憶する操作履歴記憶手段と、
   ユーザから、前記鍵データに対するアクセス要求を受け付けた場合、前記鍵データに対するアクセスを許可する条件を定めたアクセス許可条件に基づいて、前記鍵データに対するアクセスを制御する制御手段と、
   前記制御手段がアクセスを許可したアクセス要求に対応する鍵データの操作履歴の共通条件を、新たなアクセス許可条件として設定するアクセス設定手段と
   を備える情報処理装置。
6. コンピュータに、
   データに対する操作履歴をデータ毎に記憶部に記憶させる機能と、
   ユーザから、前記データに対するアクセス要求を受け付けた場合、前記データに対するアクセスを許可する条件を定めたアクセス許可条件に基づいて、前記データに対するアクセスを制御する機能と、
   前記制御する機能によりアクセスを許可したアクセス要求に対応するデータの操作履歴の共通条件を、新たなアクセス許可条件として設定する機能と
   を実現させるためのプログラム。

Images