JP3958334B2 - 文書保護・編集システム及び鍵管理方法 - Google Patents

Description

この発明は、データ等の電子文書の機密情報保護と、その閲覧や編集等の利用権管理に関わるものである。

近年、企業などにおける機密情報保護への取り組みが活発化しており、具体的には、文書を暗号化し、暗号鍵の配布を制御することで、関係者以外の他者による閲覧を禁止する、機密情報保護技術が注目されている。
従来技術１として、上記の機密情報保護を実現するために、ディジタル著作権管理技術を応用することが考えられる。しかしながらディジタル著作権管理技術は著作権保護を目的としており、文学的な保護や、詳細コードの保護が目的であり、保護された文書に含まれる情報は内容を変更せずに引用することが求められているに過ぎない。従って機密情報の保護とは異なる思想であり、そのままでは閲覧拒否が出来ない。

従来技術２として、機密情報保護に関しては、以下の技術が特許文献１として提案されている。この特許文献１の「ディジタル著作物流通システム及び方法、ディジタル著作物再生装置及び方法、並びに記録媒体」によれば、文書データの編集及び暗号化を行う編集装置、暗号鍵及び利用権の管理／配布を行うチケットサーバ装置及び文書を閲覧する視聴装置から構成され、正当なチケットを配布された視聴装置のみが文書データを復号・表示することができる。さらに編集権限を与えられた場合は視聴装置内に復号された文書データを編集装置へ送り込むことが可能であり、編集装置で文書データを編集して新たな暗号化文書を作成し、暗号鍵及び利用権をチケットサーバへ登録する。
特開２０００−４８０７６号公報

従来の電子文書の機密情報保護管理は上記のように行なわれており、従来技術１の構成によれば、機密保護には適していないと同時に、内容の修正／変更を行う場合にはデータを再入力する必要があり、文書内容の修正などが頻繁に発生する文書データの場合は利用者の利便性を大きく損なう。
従来技術２の構成によれば、内容の修正／変更が可能であるが、暗号化文書作成時に全ての利用権及び利用ユーザを登録する必要がある。通常、企業などの組織内で作成された文書は文書等級などの文書運用規則に沿って管理され、利用権限は利用者の所属などに応じて付与される。従来技術２では文書作成者が利用ユーザを個別に指定するため、文書作成者が文書運用規則に対応する利用権及び利用者を個別に指定する必要がある。更に閲覧と編集とが同一レベルで管理されており、著作権の見地からは適当でも、一般の電子文書の管理には適していないという課題がある。
また文書存続期間中に利用者の所属が変更されると、利用権を再度指定及び登録しなければならず、煩雑であるという課題もある。

この発明は上記のような課題を解決するためになされたもので、文書の利用権限を制御管理し、正当な利用者に対してはそのレベルに応じて通常の文書と同様に自由な閲覧または編集を許可するとともに、組織内の文書運用規則に沿った利用権限の管理を行う文書保護・編集システムを得ることを目的とする。また、その中に含まれる鍵管理装置を得ることを目的とする。

この発明に係る鍵管理装置は、暗号化文書識別子と該暗号化文書の暗号鍵とを対応付けて記憶する暗号鍵記憶部と、
上記暗号化文書識別子と利用権限とを対応付けて記憶する権限セット記憶部と、
利用者の利用権限を設定したユーザグループ判定部と、
上記ユーザグループ判定部で設定された利用権限がある上記利用者からの上記暗号化文書識別子を用いた閲覧要求があると、上記暗号鍵記憶部と権限セット記憶部とを参照して、上記暗号化文書識別子に対応する利用権限とその暗号化文書の暗号鍵とを上記閲覧要求があった端末に送信する利用権発行部と、
上記ユーザグループ判定部で設定された利用権限がある上記利用者からの上記暗号化文書識別子を用いた編集要求があると、上記暗号鍵記憶部と権限セット記憶部とを参照して、上記設定された利用権限対応の新たな編集後暗号化文書の識別子と暗号鍵とをそれぞれ生成指示して、その生成データをそれぞれ上記暗号鍵記憶部と権限セット記憶部とに記憶し、上記生成データを上記編集要求があった端末に送信する暗号化情報発行部、とを備えた。

この発明における鍵管理装置は上記のように構成されており、グループにおける利用者資格で文書の利用権限を管理できるので、利用権の管理が容易であり、他の組織対応のシステムと整合した管理が可能になるという効果がある。更に、鍵管理装置を含む文書保護・編集システムも同様の効果が得られる。

実施の形態１．
一般の電子文書の閲覧及び編集管理に適し、十分な機密情報保護を行ない、かつ柔軟に他システムとも容易に融合する文書保護・編集システムを説明する。
図１は、本実施の形態における文書保護・編集システム及びそれに含まれる鍵管理装置の全体構成を示す図である。図において、システムは、鍵管理装置１、ネットワーク２、複数の文書端末３及び暗号化文書４からなり、文書端末３はネットワーク２を介して鍵管理装置１に接続されている。また文書端末３は、ネットワーク２又は記憶媒体など自由な方法で配布される暗号化文書４に対して入出力を行う能力を持つ。なお、暗号化文書４は、各種のメモリに記憶される。
鍵管理装置１は、暗号鍵記憶部１１、利用権記憶部１２、権限セット記憶部１３、鍵生成部１４、暗号化文書識別子生成部１５、利用権発行部１６及び暗号化情報発行部１７を備えているが、これらの暗号鍵記憶部１１と利用権記憶部１２と権限セット記憶部１３が図示の（）内表示のようにメモリに展開されており、また鍵生成部１４と暗号化文書識別子生成部１５と利用権発行部１６及び暗号化情報発行部１７は、詳しくは、図１の（）内表示で示すように、内部バスに接続されたメモリに、例えば、利用権発行機能プログラムを記憶させて、プロセッサ（ＣＰＵ）１０がこのプログラムを読み取って実行し、以下の図３，４等に示したフローチャートに従った動作を行う。この構成は、暗号化情報発行部１７等でも同様であり、更に、以下の各実施の形態における他の判定部、登録部の構成でも同様である。
文書端末３は、復号部３１、表示編集部３２及び暗号部３３、入出力部３５及び通信部３６、プロセッサ（ＣＰＵ）３７を備えており、これら復号部３１と表示編集部３２及び暗号部３３は、鍵管理装置１の各要素の詳細構成を説明したと同様に、機能プログラムをメモリに記憶させ、プロセッサ３７がこのプログラムを読み取って実行し、図３，４等に示す動作を行う。なお、表示編集部３２は、自身が以前に取り扱った暗号化文書４に関して、対応する暗号鍵記憶部１１、利用権記憶部１２、権限セット記憶部１３のデータを記憶している。しかし、この記憶することは必須事項ではない。また、後に説明するように、権限セット識別子により暗号化文書４の編集の可否は判定できる。
また暗号化文書４は記憶装置に記憶され、暗号化文書４自体は管理情報４１と暗号化データ４２とを備え、管理情報４１は、暗号化文書識別子４１１と鍵管理装置アドレス４１２とで構成される。暗号化文書４は、プロセッサ３７により入出力部３５経由で文書端末３に入力又は出力される。或いは、文書が取り込まれた別の文書端末から通信部３６経由で取り込まれる。

暗号鍵記憶部１１は、図２（ａ）に例を示すように、暗号化文書１、暗号化文書２等の暗号化文書ごとに、暗号化文書識別子と暗号鍵とその暗号化文書を作成した個人または組織の識別子とを対として記憶する。同様に利用権記憶部１２は、図２（ｂ）に例を示すように、暗号化文書ごとに暗号化文書識別子と権限セット識別子を対として記憶する。また権限セット記憶部１３には、図２（ｃ）に例を示すように、予め権限セット識別子と利用権限を対にして設定しておく。なお本実施の形態では、権限セットとして文書等級を用い、文書等級ごとに利用権限を設定する例を示している。利用権限としては一般に、閲覧権限、印刷権限、編集権限、コピー権限など文書操作に関わる権限と、これら権限の有効期間、回数などがあげられる。

次にこのシステムの動作を説明する。
暗号化文書利用時に鍵管理装置１及び文書端末３が行う図３の動作フローチャートを用いて、先ず暗号化文書利用時の動作を説明する。
暗号化された電子文書を閲覧する場合、利用者から電子文書の識別子（ＩＤ）を指定されると、文書端末３の復号部３１はステップＳ０８０１（以下、ステップの記述を省略する）で、暗号化文書の管理情報４１から暗号化文書識別子４１１及び鍵管理装置アドレス４１２を取り出す。次にＳ０８０２で、文書端末３内の暗号化文書識別子に対応する利用権限および暗号鍵が予め権限セット記憶部１３と暗号鍵記憶部１１に保存されているどうかを調べる。利用権限および暗号鍵が保存されており、かつその利用権限が有効な場合はＳ０８０５へ進み、保存されている暗号鍵及び利用権限を用いて文書データの復号及び表示を行う。この場合、以下に示す鍵管理装置との通信は行わない。
Ｓ０８０２で有効な利用権限及び暗号鍵が保存されていない場合は、Ｓ０８０３において暗号化文書識別子を鍵管理装置１へ送信する。
なお、文書端末３が暗号化文書４に対応したデータ（暗号鍵記憶部１１ないし権限セット記憶部１３にあるデータ）を記憶していない場合、Ｓ８０３ないしＳ８０４で鍵管理装置１に照合する動作は、以下の各実施の形態でも同様である。

鍵管理装置１では、Ｓ０８１１で文書端末３から暗号化文書識別子を受信し、利用権発行部１６が、利用権記憶部１２から受信した暗号化文書識別子に対応する文書等級をＳ０８１２で取り出す。更に利用権発行部１６はＳ０８１３で、権限セット記憶部１３から文書等級に対応する利用権限を取り出す。更に利用権発行部１６は、暗号鍵記憶部１１から受信した暗号化文書識別子に対応する暗号鍵をＳ０８１４で取り出し、取り出した利用権限及び暗号鍵を文書端末へＳ０８１５で送信する。
文書端末３は、鍵管理装置１から利用権限及び暗号鍵を受信し、受信した利用権限及び暗号鍵を暗号化文書識別子と関連付けて端末内にＳ０８０４で保存する。そして受信した暗号鍵を用いて暗号化データ４２をＳ０８０５で復号し、利用権限と共に表示編集部３２へ渡す。
なお、使用する暗号方式によっては、暗号化に用いる鍵と、復号に用いる鍵とが異なる場合がある。そうした場合も含めて、以下の各実施の形態では、「暗号鍵」というのは暗号化に用いる鍵と、復号に用いる鍵とがともに含まれているものとする。
表示編集部３２は利用権限にしたがって表示・編集などの操作を制御する。

次に暗号化文書作成時に鍵管理装置１及び文書端末３が行う図４の動作フローチャートを用いて、暗号化文書作成時の動作を説明する。
文書端末３の暗号部３３は、暗号化文書の編集権限が与えられていない場合は暗号文書作成を行わない。編集権限が与えられている場合は、利用者に対して文書等級の指定を要求する。そして利用者が文書等級を指定すると、この指定された文書等級を編集個人の識別子を付けて鍵管理装置１へＳ０９０１で送信する。
文書端末３から編集者ＩＤと文書等級をＳ０９１１で受信した鍵管理装置１は、暗号化情報発行部１７が、鍵生成部１４を呼び出して新たな暗号鍵をＳ０９１２で生成指示し、更に暗号化情報発行部１７は暗号化文書識別子生成部１５を呼び出して、新たな暗号化文書識別子を生成指示する。暗号化情報発行部１７は、この新たに生成された暗号化文書識別子及び受信した文書等級を利用権記憶部１２にＳ０９１３で追加し、新たな暗号化文書識別子及び新たな暗号鍵と個人識別子を暗号鍵記憶部１１にＳ０９１４で追加する。更に暗号化情報発行部１７は、新たな暗号化文書識別子、新たな暗号鍵及び鍵管理装置自身のネットワークアドレスを、Ｓ０９１５において文書端末３へ送信する。
文書端末３は鍵管理装置１から暗号化文書識別子、暗号鍵及び鍵管理装置アドレスをＳ０９０２で受信し、受信した暗号鍵を用いて文書データをＳ０９０３で暗号化し、受信した暗号化文書識別子及び鍵管理装置アドレスから作成した管理情報を付して、Ｓ０９０４で暗号化文書４を記憶する記憶装置などへ出力する。

以上のように、本鍵管理装置１を用いることで、例えば、図２の権限セットＡ級、Ｂ級、Ｃ級のように、文書運用規則に合わせて暗号化文書の利用権限を制御し、編集が許可された場合は文書データの自由な編集を行うことができる。また権限セット記憶部の変更のみで文書運用規則の変更に対処可能であり、利用者個人毎に、煩雑な利用権限の再登録を行う必要がない。
また、権限セットとして技術文書、設計図、営業文書などの文書種別を設定し、文書種別ごとの利用権限制御を行うこともできる。即ち他のシステムとの整合性が良く、管理が容易である。
更に、編集した場合も含めて各暗号化文書の作成者または作成部門を管理するので、責任が明確になり、管理が行き届く。

上記の実施の形態では、利用者で利用制限するのではなく、暗号化文書に付与された権限セットのみで利用権限を管理しているが、以下に利用者資格など、利用者の所属グループにおける権限に応じて利用権限を制御する形態を示す。
図５は、実施の形態１における他の鍵管理装置１ｂの構成図である。即ち、ユーザ識別子からユーザが所属するユーザグループと、その利用者資格によるユーザグループ識別子を判別するユーザグループ判定部１８ｂを備えている。また図６は、鍵管理装置１ｂの権限セット記憶部１３ｂに記憶されている権限セットを示す情報の構成例を示す図である。図６では、権限セット識別子１３１とユーザグループ識別子１３２の組から、利用権限１３３が決定される。なお、ここでは権限セットとして文書等級を、ユーザグループとしてユーザグループ識別子を定め、担当者、課長、部長等の職務規定で定める利用者資格を用いる例を示している。この他にも、設計文書に対する設計担当者、設計責任者、製造部門者や、又は文書取扱い規定で定める閲覧許可者、編集レベル１許可者、編集レベル２許可者、等の文書取扱い権限による利用者資格を用いてもよい。
その他のシステムの全体構成、文書端末３及び鍵管理装置１ｂ上の他の構成要素に関しては、実施の形態１で説明した要素と同様であるので、説明を省略する。

次に暗号化文書利用時の鍵管理装置１ｂ及び文書端末３の動作を示すフローチャートである図７を用いて、暗号化文書利用時の動作を説明する。
図において、利用者から電子文書利用の指示があると、文書端末３の復号部３１は、暗号化文書４の管理情報４１から暗号化文書識別子４１１及び鍵管理装置アドレス４１２をＳ１２０１で取り出す。次に、文書端末内暗号化文書識別子に対応する利用権限および暗号鍵が保存されているどうかをＳ１２０２で調べる。図６で有効な利用権限および図２で暗号鍵が保存されている場合は、保存されている暗号鍵及び利用権限を用いて文書データの復号及び表示をＳ１２０６で行う。有効な利用権限及び暗号鍵が保存されていない場合は、利用者に対してユーザグループ識別子の入力を要求し、入力された利用者資格と暗号化文書識別子を鍵管理装置１ｂへＳ１２０３で送信する。

鍵管理装置１ｂは、文書端末３から暗号化文書識別子及び利用者資格をＳ１２１１で受信し、ユーザグループ判定部１８ｂへ受信したユーザグループ識別子を渡して利用者資格をＳ１２１２で判定する。次に利用権記憶部１２から受信した暗号化文書識別子に対応する文書等級をＳ１２１３で取り出し、権限セット記憶部１３ｂから文書等級及び利用者資格が一致する利用権限をＳ１２１４で取り出す。ここで権限セット記憶部１３ｂに対応する利用権限が存在しない場合は、Ｓ１２１８で暗号鍵の配布を拒否する。
Ｓ１２１５で利用権限が存在する場合は、暗号鍵記憶部から受信した暗号化文書識別子に対応する暗号鍵をＳ１２１６で取り出し、取り出した利用権限及び暗号鍵を文書端末へＳ１２１７で送信する。
文書端末３は鍵管理装置１ｂから受信した利用権限及び暗号鍵を暗号化文書識別子と関連付けて端末内にＳ１２０４で保存し、受信した暗号鍵を用いて暗号化データ４２をＳ１２０６で復号する。鍵管理装置１ｂが暗号鍵配布を拒否した場合は、暗号化文書の利用をＳ１２０７で拒否する。

以上のように、ユーザグループとして担当者・課長・部長などの利用者資格ごとの利用権限を設定し、利用者の資格に応じた利用権限制御を行うことができる。また組織上のユーザ属性に対して権限を設定するので、人事異動などの際に利用権限の再登録を行う必要がない。
なお、ユーザグループ判定部は独自にユーザ管理を行ってもよいし、外部のユーザ管理システムに対して利用者の資格、所属部署などを問い合わせてもよい。
またユーザグループとして利用者が所属する部署を設定し、利用者所属部署に応じた利用権限制御を行うことも可能である。
またユーザ識別子として利用者端末のネットワークアドレスを、ユーザグループ識別子としてネットワークマスクを用いることができる。この場合には物理的な端末配置に応じた利用権限制御が可能であり、物理的なセキュリティが施された室内の端末でのみ編集を許可するなどの制御を行うことができる。

実施の形態２．
上記実施の形態１では、暗号化文書作成時に利用権限を決定しているが、次に暗号化文書の種別に応じて異なる権限セットを指定する例を示す。
図８は本実施の形態における文書保護・編集システム全体の構成を示す図である。即ち１つ以上の文書管理システム５がネットワーク２を介して鍵管理装置１ｃに接続されている。また図８において、本実施の形態における鍵管理装置１ｃの構成も示されている。即ち鍵管理装置１ｃは、利用権登録部１９を備え、ネットワーク２を介して文書管理システム５と接続されている。その他の構成要素は実施の形態１と同様であるので、詳細な説明を省略する。

次に暗号化文書作成時の鍵管理装置１ｃ及び文書端末３の動作フローチャートを示す図９を用いて、暗号化文書作成時の動作を説明する。
利用者からの利用指示を受けた文書端末３の暗号部３３は、暗号化文書の編集権限が与えられていない場合は、暗号文書作成を禁止する。また編集権限が与えられている場合は、鍵管理装置１ｃに対して暗号化情報をＳ１５０１で要求する。
文書端末３から暗号化情報要求をＳ１５１１で受信した鍵管理装置１ｃは、鍵生成部１４を呼び出して新たな暗号鍵を生成し、さらに暗号化文書識別子生成部１５を呼び出して新たな暗号化文書識別子をＳ１５１２で生成する。新たな暗号化文書識別子及び新たな暗号鍵を暗号鍵記憶部１１にＳ１５１３で追加し、新たな暗号化文書識別子、新たな暗号鍵及び鍵管理装置自身のネットワークアドレスを、Ｓ１５１４で文書端末へ送信する。
文書端末３は、鍵管理装置１ｃから暗号化文書識別子、暗号鍵及び鍵管理装置アドレスをＳ１５０２で受信し、受信した暗号鍵を用いて文書データをＳ１５０３で暗号化し、受信した暗号化文書識別子及び鍵管理装置アドレスから作成した管理情報を付して、記憶装置などへＳ１５０４で出力する。

次に文書登録時の文書管理システム５及び鍵管理装置１の動作フローチャートを示す図１０を用いて、文書管理システムの暗号化文書登録時の動作を説明する。
ユーザは文書内容に対応する文書管理システムに対して、暗号化文書の登録処理を開始する。この登録指示により、文書管理システム５は、ユーザに対して暗号化文書名、暗号化文書識別子及び権限セット識別子の指定をＳ１６０１で要求する。ここで権限セット識別子は、文書管理システムが管理対象とする文書種別に応じたものを使用する。次に、ユーザにより指定された暗号化文書識別子及び権限セット識別子を鍵管理装置へＳ１６０２で送信する。
鍵管理装置１ｃは暗号化文書識別子及び権限セット識別子をＳ１６１１で受信し、利用鍵登録部１９は、受信した暗号化文書識別子及び権限セット識別子を利用権記憶部１２にＳ１６１２で記憶させる。

以上のように図面、仕様書、営業文書など文書種別ごとに独自の文書管理システムを使用し、それぞれに独自の利用権限制御を行うことができる。

上記実施の形態２における図８の構成では、編集権限を与えられたユーザは暗号化文書作成にあたって新たな利用権限の自由な設定を許しているが、次に新たな暗号化文書の利用権限が、元となった暗号化文書の利用権限を超えないように制御する例を示す。
構成は実施の形態２で述べたものと同様であるので、詳細説明を省略する。

以下、暗号化文書作成時の鍵管理装置１ｃ及び文書端末３の動作フローチャートを示す図１１を用いて暗号化文書作成時の動作を説明する。
利用者からの指示を受けた文書端末３の暗号部３３は、暗号化文書の編集権限が与えられていない場合は暗号文書作成を禁止する。編集権限が与えられている場合は、復号部３１から元となった暗号化文書を復号する際に読み出した暗号化文書識別子をＳ１７０１で得る。さらに利用者に対して権限セット識別子の指定を要求し、利用者から指定された権限セット識別子及び元暗号化文書の暗号化文書識別子を鍵管理装置へＳ１７０２で送信する。

文書端末３から権限セット識別子及び元暗号化文書識別子を受信した鍵管理装置１ｃは、利用権記憶部１２から元暗号化文書識別子に対応する権限セットをＳ１７１１で取り出し、権限セット記憶部１３を参照して元文書に与えられた利用権限と新たに指定された利用権限の内容をＳ１７１３で比較する。新たな利用権限が元文書の利用権限を超える場合は、暗号化情報の配布をＳ１７１８で拒否する。
新たな利用権限が元文書の利用権限を超えない場合は、鍵生成部１４を呼び出して新たな暗号鍵を生成し、さらに暗号化文書識別子生成部１５を呼び出して新たな暗号化文書識別子をＳ１７１４で生成する。新たな暗号化文書識別子及び受信した権限セット識別子を利用権記憶部１２にＳ１７１５で追加し、新たな暗号化文書識別子及び新たな暗号鍵を暗号鍵記憶部１１にＳ１７１６で追加する。さらに、新たな暗号化文書識別子、新たな暗号鍵及び鍵管理装置自身のネットワークアドレスを、Ｓ１７１７で文書端末へ送信する。
文書端末３は鍵管理装置１ｃから暗号化文書識別子、暗号鍵及び鍵管理装置アドレスをＳ１７０３で受信し、受信した暗号鍵を用いて文書データをＳ１７０５で暗号化し、受信した暗号化文書識別子及び鍵管理装置アドレスから作成した管理情報を付して、記憶装置などへＳ１７０６で出力する。鍵管理装置が暗号化情報の配布を拒否した場合は、暗号化文書の作成をＳ１７０７で拒否する。

以上のように、いったん暗号化文書に含まれる情報に対して与えられた利用権限を、編集及び新たな暗号化文書の作成を通して維持することが可能である。

実施の形態３．
本実施の形態では、組織単位又は文書種別等に応じた独自の利用権限で管理する場合を説明する。
図１２は本実施の形態における利用権管理システムの全体構成を示す図である。システムは、鍵管理装置１、ネットワーク２、１つ以上の文書端末３及び１つ以上の利用権管理装置６からなり、鍵管理装置１、利用権管理装置６及び文書端末３はネットワーク２を介して相互に接続されている。文書端末３は、ネットワーク又は記憶媒体など自由な方法で配布される暗号化文書に対する入出力を行う能力を持つ。

次に同じく図１２に内部構成を示す鍵管理装置１ｄと、その利用権管理装置記憶部１８の内部に記憶された情報例を示す図１３を用いて、鍵管理装置１ｄの詳細な構成について説明する。鍵管理装置１ｄは、暗号鍵記憶部１１、鍵生成部１４と、利用権管理装置記憶部１８、利用権発行部１６及び暗号化情報発行部１７からなる。利用権管理装置記憶部１８は、図１３に示すように、利用権管理装置の識別子とそのネットワークアドレスが登録される。暗号鍵記憶部１１については図２と同様であるので説明を省略する。
次に図１２における、利用権管理装置６の詳細な構成について説明する。利用権管理装置６は利用権記憶部６１、権限セット記憶部６２、暗号化文書識別子生成部６３、利用権生成部６４及び利用権登録部６５からなる。利用権記憶部６１及び権限セット記憶部６２は、図２における同名のそれらと同様であるので説明を省略する。また文書端末３については図１と同様であるので説明を省略する。

次に暗号化文書利用時の鍵管理装置１ｄと利用権管理装置６及び文書端末３の動作フローチャートを示す図１４及び暗号化文書４ｄの詳細構成を示す図１２を用いて、暗号化文書利用時の動作を説明する。
図１４において、利用者からの利用指示により、Ｓ２２０１で文書端末３の復号部３１は、暗号化文書の管理情報４１から暗号化文書識別子４１１、鍵管理装置アドレス４１２及び利用権管理装置識別子４１３を取り出す。次に、文書端末内暗号化文書識別子に対応する利用権限および暗号鍵が保存されているどうかをＳ２２０２で調べる。有効な利用権限および暗号鍵が保存されている場合は、保存されている暗号鍵及び利用権限を用いて文書データの復号及び表示をＳ２２０５で行う。有効な利用権限及び暗号鍵が保存されていない場合は、暗号化文書識別子及び利用権管理装置識別子を鍵管理装置１ｄへＳ２２０３で送信する。

鍵管理装置１ｄは、文書端末３から暗号化文書識別子及び利用権管理装置識別子をＳ２２１１で受信し、利用権管理装置記憶部１８から受信した利用権管理装置識別子に対応する利用権管理装置のアドレスをＳ２２１２で決定し、文書端末３から受信した暗号化文書識別子及び文書端末アドレスを利用権管理装置６の利用権生成部６４へＳ２２１３で送信する。
利用権管理装置６の利用権生成部６４は、鍵管理装置１ｄから暗号化文書識別子及び端末アドレスをＳ２２２１で受信し、利用権記憶部６１から受信した暗号化文書識別子に対応する権限セット識別子をＳ２２２２で取り出す。さらに権限セット記憶部６２から権限セット識別子に対応する利用権限をＳ２２２３で取り出し、鍵管理装置１ｄへ送信する。
鍵管理装置１ｄは、これを利用権管理装置６から利用権限をＳ２２１４で受信する。次に文書端末３から受信した暗号化文書識別子に対応する暗号鍵を暗号鍵記憶部１１から取り出し、利用権限とともに文書端末へ送信する。
文書端末３は鍵管理装置１ｄから利用権限及び暗号鍵を受信し、受信した利用権限及び暗号鍵を暗号化文書識別子と関連付けて端末内にＳ２２０４で保存する。そして受信した暗号鍵を用いて暗号化データ４２をＳ２２０５で復号し、利用権限とともに表示編集部３２へ渡す。表示編集部３２は利用権限にしたがって表示・編集などの操作を制御する。

次に暗号化文書作成時の鍵管理装置１と利用権管理装置６及び文書端末３の動作フローチャートである図１５及び図１２を用いて、暗号化文書作成時の動作を説明する。
利用者からの文書作成の指示を受けた文書端末３は、その暗号部３３が、指示された暗号化文書の編集権限が与えられていない場合は、暗号文書作成を禁止する。編集権限が与えられている場合は、鍵管理装置１ｄへ利用権管理装置識別子をＳ２３０１で送信する。
鍵管理装置１ｄは、文書端末３から利用権管理装置識別子をＳ２３１１で受信し、利用権管理装置記憶部１８から受信した利用権管理装置識別子に対応する利用権管理装置のアドレスをＳ２３１２で決定し、端末アドレスを利用権管理装置６の利用権登録部６５へＳ２３１３で送信する。
鍵管理装置１ｄから端末アドレスを受信した利用権管理装置６の利用権登録部６５は、文書端末３に対して権限セット識別子をＳ２３２２で要求する。
要求を受信した文書端末３は、利用者に対して権限セット識別子の指定を要求し、指定された権限セット識別子を利用権管理装置６へＳ２３０３で送信する。

権限セット識別子を受信した利用権管理装置６は、暗号化文書識別子生成部６３を呼び出して新たな暗号化文書識別子をＳ２３２４で生成し、生成した暗号化文書識別子及び権限セット識別子を利用権記憶部６１へ追加し、暗号化文書識別子を鍵管理装置１ｄへＳ２３２６で送信する。
暗号化文書識別子を受信した鍵管理装置は、鍵生成部１４を呼び出して新たな暗号鍵をＳ２３１５で生成し、暗号化文書識別子及び暗号鍵を暗号鍵記憶部１１にＳ２３１６で追加する。さらに暗号化文書識別子、暗号鍵、鍵管理装置自身のネットワークアドレス及び利用権管理装置識別子を文書端末へＳ２３１７で送信する。
文書端末３は、鍵管理装置１ｄから暗号化文書識別子、暗号鍵、鍵管理装置アドレス及び利用権管理装置識別子をＳ２３０４で受信し、受信した暗号鍵を用いて文書データをＳ２３０５で暗号化し、受信した暗号化文書識別子、鍵管理装置アドレス及び利用権管理装置識別子から作成した管理情報を付して、記憶装置などへＳ２３０６で出力する。

以上のように、複数の利用権管理装置により利用権限が制御される。これによって組織単位、文書種別などに応じた独自の利用権限制御を行うことができる。
なおＨＴＴＰプロトコルにおけるＵＲＬなど、多くの通信プロトコルでは、１つの装置が複数のネットワークアドレスを持つことができる。通信プロトコルとしてこのようなものを使用する場合は、鍵管理装置上の利用権発行部及び暗号化情報発行部に、個々の利用権管理装置に対応するネットワークアドレスを持たせることができる。このように構成した場合は、鍵管理装置アドレス自体が利用権管理装置識別子の役割を果たす。

上記の実施の形態では、利用者が暗号化文書作成時に使用する利用権管理装置６を指定したが、次に文書作成者が属するユーザグループによって使用する利用権管理装置６を自動的に決定する例を示す。
図１６は、本実施の形態における他の利用権管理装置記憶部１８ｅの構成を示す図である。その他の構成要素は既に述べた本実施の形態と同様であるので説明を省略する。なお鍵管理装置１ｅは、図１２では示していないが、鍵管理装置１ｄと同等の装置内に図５で１８ｂとして示したと同じユーザグループ判定部１８ｂ’により、利用者が入力したユーザ識別子（個人ＩＤ）からユーザグループ識別子としてのグループＩＤを検出して識別する。

次に暗号化文書作成時の鍵管理装置１ｅと利用権管理装置６及び文書端末３の動作フローチャートである図１７を用いて暗号化文書作成時の動作を説明する。
利用者から文書作成の指示を受けた文書端末３の暗号部３３は、暗号化文書の編集権限が与えられていない場合は、暗号文書作成を禁止する。編集権限が与えられている場合は、利用者に対して文書等級の指定を要求し、指定された文書等級を鍵管理装置１ｅへＳ２６０１で送信する。
鍵管理装置１ｅは、文書端末から文書作成者のユーザ識別子を受信し、ユーザグループ判定部１８ｂ’に受信したユーザ識別子を渡して作成者が属するユーザグループ識別子をＳ２６１１で得る。そして利用権管理装置記憶部１８からユーザグループ識別子に対応する利用権管理装置のアドレスをＳ２６１２で決定し、端末アドレスを利用権管理装置６の利用権登録部６５へＳ２６１３で送信する。

鍵管理装置１ｅから端末アドレスを受信した利用権登録部６５は、文書端末に対して権限セット識別子をＳ２６２２で要求する。
要求を受信した文書端末３は、利用者に対して権限セット識別子の指定を要求し、利用者から指定された権限セット識別子を利用権管理装置へＳ２３０３で送信する。
権限セット識別子を受信した利用権管理装置６ｄは、暗号化文書識別子生成部６３を呼び出して新たな暗号化文書識別子をＳ２６２４で生成し、生成した暗号化文書識別子及び権限セット識別子を利用権記憶部６１へ追加し、暗号化文書識別子を鍵管理装置１ｅへＳ２６２２６で送信する。
暗号化文書識別子を受信した鍵管理装置１ｅは、鍵生成部１４を呼び出して新たな暗号鍵をＳ２６１５で生成し、暗号化文書識別子及び暗号鍵を暗号鍵記憶部１１にＳ２６１６で追加する。さらに暗号化文書識別子、暗号鍵、鍵管理装置自身のネットワークアドレス及び利用権管理装置識別子を文書端末へＳ２６１７で送信する。
文書端末３は鍵管理装置１ｅから暗号化文書識別子、暗号鍵、鍵管理装置アドレス及び利用権管理装置識別子をＳ２６０４で受信し、受信した暗号鍵を用いて文書データをＳ２６０５で暗号化し、受信した暗号化文書識別子、鍵管理装置アドレス及び利用権管理装置識別子から作成した管理情報を付して、記憶装置などへＳ２６０６で出力する。

以上のように、常に作成者の所属部門などに対応する利用権管理装置によって暗号化文書の利用権限を制御することができ、文書作成部門による利用権限管が容易になる。
またユーザ識別子として利用者端末のネットワークアドレスを、ユーザグループ識別子としてネットワークマスクを用いることができ、物理的な端末配置に応じた利用権限制御が可能である。なおこのように構成した場合は、文書端末から鍵管理装置へユーザ識別子を送信する必要はない。

実施の形態４．
以上の各実施の形態においては、暗号化文書の保存を行うために鍵管理装置がシステムに接続されている必要があった。
本実施の形態においては、一時的に暗号化文書４を鍵管理装置に接続されていない環境に持ち出し、編集及び保存を行う例を示す。
図１８及び図１９は、本実施の形態における権限セット記憶部１３ｆ及び文書端末３ｆの構成を示す図である。権限セット記憶部１３ｆには、外部持ち出し用の権限セット識別子が設定されている。その他の構成要素については、上記各実施の形態における要素と同様であるので、詳細説明を省略する。

次に外部持ち出し処理時の鍵管理装置１ｆ及び文書端末３ｆの動作フローチャートを示す図２０を用いて暗号化文書の外部持ち出し処理時の動作を説明する。
利用者から文書の外部持ち出しを指示された文書端末３ｆは、暗号化文書の管理情報４１から暗号化文書識別子４１１、鍵管理装置アドレス４１２をＳ２９０１で取り出す。次にユーザに対して持ち出し条件の指定を要求し、入力された持ち出し条件と暗号化文書識別子を鍵管理装置１ｆへＳ２９０２で送信する。以下では持ち出し条件として持ち出し日数を指定した例を示す。
鍵管理装置１ｆは、持ち出し条件と暗号化文書識別子をＳ２９１１で受信し、権限セット記憶部１３から外部持ち出し用の利用権限をＳ２９１２で取り出す。取り出した利用権限に、受信した持ち出し条件に対応する有効期限をＳ２９１３で付加する。この例では、文書端末からの持ち出し条件受信日時＋持ち出し日数が有効期限となる。次に暗号鍵記憶部１１から暗号化文書識別子に対応する暗号鍵をＳ２９１４で取り出し、有効期限つきの利用権限とともに文書端末へＳ２９１５で送信する。
文書端末３ｆは、鍵管理装置１ｆから有効期限つきの利用権限及び暗号鍵を受信し、受信した利用権限及び暗号鍵を暗号化文書識別子と関連付けて端末内にＳ２９０３で保存する。

次に文書端末上の再暗号部３４の動作フローチャートを示す図２１を用いて暗号化文書の外部持ち出し中に行なう保存処理時の動作を説明する。
図において、利用者から保存処理を指示された文書端末３ｆの再暗号部３４は、保存を指定された文書を復号する際に使用した管理情報及び暗号鍵を、復号部３１からＳ３００１で取得する。取得した暗号鍵を用いて文書データを暗号化し、取得した管理情報を付して記憶装置などへ出力する。

以上のように、企業内で作成した暗号化文書を一時的に企業外へ持ち出し、文書内の情報は保護しつつ暗号化文書の編集を行うことができる。

実施の形態５．
上記の各実施の形態では、編集権限を与えられていない利用者は、暗号化文書の表示形態を全く変更することができないが、本実施の形態で、暗号化文書の編集を許しながら、編集結果の保存を禁止する例を示す。
本実施の形態における文書端末３は、図１と同様の構成をとるが、暗号部３３は保存権限を与えられない場合は暗号化文書の出力を拒否する。その他の構成要素は実施の形態１と同様であるので説明を省略する。

次に、編集許可かつ保存禁止という利用権限が与えられた場合の、文書端末３の動作を説明する。
文書端末３の表示編集部３２は、上記各実施の形態と同様に編集権限が与えられているので編集操作を許可するが、保存権限が与えられていないので、暗号部３３は編集結果を暗号化文書として出力することを拒否する。

以上のように、文書端末内での編集操作は許可しつつ、編集結果を暗号化文書として出力することを禁止することができる。これにより、表形式文書におけるソーティング・総計値算出など、文書内の情報利用に必要な編集操作を許可し、編集結果の保存を禁止することができる。

実施の形態６．
上記の各実施の形態では、各構成要素はソフトウェアまたはファームウェアを搭載したハードウェアで構成されているとしたが、汎用の計算機を用いて各要素の機能をシミュレートしたステップを備えた方法としてもよい。
その場合でも、各実施の形態における特徴が同様に得られる。
また上記の各説明では、鍵管理装置、文書端末、暗号化文書とその他の装置は、ネットワークに接続される構成を説明したが、鍵管理装置が直接、暗号化文書を記録した記録装置を持っていてもよいし、その他の装置を持っていてもよいし、更には文書端末の１つを内蔵していてもよい。

この発明の実施の形態１における文書保護・編集システム全体の構成と各装置・端末の構成を示すブロック図である。 実施の形態１における鍵管理装置の代表的な要素が記憶する情報例を示す図である。 実施の形態１における暗号化文書利用時の動作を示すフローチャートである。 実施の形態１における暗号化文書作成時の動作を示すフローチャートである。 この発明の実施の形態１における他の鍵管理装置の構成を示す図である。 実施の形態１における他の権限セット記憶部が記憶する情報例を示す図である。 実施の形態１における他の暗号化文書利用時の動作フローチャートである。 この発明の実施の形態２における文書保護・編集システム全体の構成を示すブロック図である。 実施の形態２における暗号化文書作成時の動作フローチャートを示す図である。 実施の形態２における暗号化文書登録時の動作フローチャートを示す図である。 実施の形態２における他の暗号化文書作成時の動作フローチャートを示す図である。 この発明の実施の形態３における文書保護・編集システムの構成を示す図である。 実施の形態３における利用権管理装置記憶部が記憶する情報例を示す図である。 実施の形態３における暗号化文書利用時の動作フローチャートを示す図である。 実施の形態３における暗号化文書作成時の動作フローチャートを示す図である。 実施の形態３における他の利用権管理装置記憶部が記憶する情報例を示す図である。 実施の形態３における他の暗号化文書作成時の動作フローチャートを示す図である。 この発明の実施の形態４における権限セット記憶部が記憶する情報例を示す図である。 実施の形態４における文書端末の構成を示す図である。 実施の形態４における文書持ち出し処理時の動作フローチャートを示す図である。 実施の形態４における再暗号部の動作フローチャートを示す図である。

符号の説明

１，１ｂ，１ｃ，１ｄ，１ｅ，１ｆ 鍵管理装置、２ ネットワーク、３，３ｆ 文書端末、４，４ｄ 暗号化文書、５ 文書管理システム、６ 利用権管理装置、１１ 暗号鍵記憶部、１２ 利用権記憶部、１３，１３ｂ，１３ｆ 権限セット記憶部、１４ 鍵生成部、１５ 暗号化文書識別子生成部、１６ 利用権発行部、１７ 暗号化情報発行部、１８，１８ｅ 利用権管理装置記憶部、１８ｂ，１８ｂ’ ユーザグループ判定部、１９ 利用権登録部、３１ 復号部、３２ 表示編集部、３３ 暗号部、３４ 再暗号部、４１ 管理情報、４１１ 暗号化文書識別子、４１２ 鍵管理装置アドレス、４１３ 利用権管理装置識別子、４２ 暗号化データ、６１ 利用権記憶部、６２ 権限セット記憶部、６３ 暗号化文書識別子生成部、６４ 利用権生成部、６５ 利用権登録部。

Claims (8)

1. 暗号化文書識別子と権限のランクを示した権限セットとを対応付けた利用権を記憶する利用権記憶部と、上記権限セットとユーザ資格と利用権限の内容とを対応付けた一覧表を記憶する権限セット記憶部と、外部からの上記暗号化文書識別子と上記権限セットとの対応を受付けて該受付けた暗号化文書識別子と権限セットを上記利用権記憶部に記憶する利用権登録部と、上記暗号化文書の利用可否の問合せがあると、利用者であるユーザが属するグループであるユーザグループにおけるユーザ資格による上記利用権限を、上記権限セット記憶部が記憶する一覧表により判定するユーザグループ判定部と、上記判定された利用者の利用権限対応の新たな編集後暗号化文書の識別子と利用権限との対応を生成して上記利用権記憶部に記憶指示する暗号化文書識別子生成部と、を備えた利用権管理装置と、
   上記暗号化文書識別子と該暗号化文書の暗号鍵とを対応付けて記憶する暗号鍵記憶部と、所定の利用権限がある上記利用者からの上記暗号化文書識別子を用いた閲覧要求があると、上記利用権管理装置に上記暗号化文書の利用可否を問合せて、該問合せで上記利用者の利用権限が適合と判定を得ると、上記暗号化文書識別子に対応する利用権限と該暗号化文書の暗号鍵とを上記閲覧要求があった端末に送信する利用権発行部と、所定の利用権限がある上記利用者からの上記暗号化文書識別子を用いた新たな編集要求があると、上記利用権管理装置に問合せて、該問合せで上記利用者の利用権限が適合と判定を得ると、上記新たな編集後暗号化文書の識別子に対応する暗号鍵を生成して、該生成データを上記編集要求があった端末に送信する暗号化情報発行部、とを備えた鍵管理装置と、で構成され、
   上記利用権管理装置は、上記新たな編集要求があると、該編集要求された文書に対して新たな権限セットの設定を上記利用者に要求し、該要求に対する上記利用者からの応答における文書の権限セットを上記利用権登録部で登録することを特徴とする文書保護・編集システム。
2. ユーザグループ判定部は、閲覧と編集の可否を、利用者資格に基いて判定するようにしたことを特徴とする請求項１記載の文書保護・編集システム。
3. 請求項１記載の利用権管理装置と、請求項１記載の鍵管理装置と、
   上記暗号化文書を対応する上記暗号鍵で復号する復号部と、上記復号した文書を表示して編集する表示編集部と、上記鍵管理装置に要求して得た上記新たな暗号鍵で上記編集した新たな編集後文書を暗号化する暗号部と、を備えた文書端末、とで構成されることを特徴とする文書保護・編集システム。
4. 利用権管理装置は、端末から所定の暗号化文書に対して要求があった利用権限が権限セット記憶部で記憶されている該暗号化文書の利用権限で示される権限と等しいか、またはそれより少ない場合に、該要求に対する許可を与えることを特徴とする請求項１記載の文書保護・編集システム。
5. 文書端末は、利用権管理装置に要求して権限セット記憶部にある権限セット情報を得て、該得た権限セット情報に基いて編集後の文書を暗号化する再暗号部を備えたことを特徴とする請求項３記載の文書保護・編集システム。
6. 利用権管理装置が行う、暗号化文書識別子と権限のランクを示した権限セットとを対応付けて利用権として記憶する利用権記憶ステップと、
   上記利用権管理装置が行う、上記権限セットとユーザ資格と利用権限の内容とを対応付けた一覧表を記憶する権限セット記憶ステップと、
   利用権登録部が行う、外部からの暗号化文書識別子と上記権限セットとの対応を受付けて該受付けた暗号化文書識別子と権限セットを上記権限セット記憶部に記憶する利用権限登録ステップと、
   ユーザグループ判定部が行う、利用者であるユーザが属するユーザグループにおけるユーザ資格による上記利用権限を、上記権限セット記憶部が記憶する一覧表により判定するユーザグループ判定ステップと、
   暗号化文書識別子生成部が行う、上記ユーザグループ判定ステップで上記判定された利用者の利用権限対応の新たな編集後暗号化文書の識別子と利用権限との対応を生成して上記権限セット記憶ステップで記憶指示する暗号化文書識別子生成ステップと、
   鍵管理装置が行う、上記暗号化文書識別子と該暗号化文書の暗号鍵とを対応付けて記憶する暗号鍵記憶ステップと、
   利用権発行部が行う、所定の利用権限がある上記利用者からの上記暗号化文書識別子を用いた閲覧要求があると、上記ユーザグループ判定部に上記暗号化文書の利用可否を問合せて、該問合せで上記利用者の利用権限が適合と判定を得ると、上記暗号化文書識別子に対応する利用権限と該暗号化文書の暗号鍵とを上記閲覧要求があった端末に送信する利用権発行ステップと、
   暗号化情報発行部が行う、所定の利用権限がある上記利用者からの上記暗号化文書識別子を用いた新たな編集要求があると、上記ユーザグループ判定部に上記暗号化文書の利用可否を問合せて、該問合せで上記利用者の利用権限が適合と判定を得ると、上記新たな編集後暗号化文書の識別子に対応する暗号鍵を生成して、該生成データを上記編集要求があった端末に送信する暗号化情報発行ステップと、を備えて、
   利用権管理装置は、上記新たな編集要求があると、該編集要求された文書に対して新たな権限セットの設定を上記利用者に要求し、該要求に対する上記利用者からの応答における文書の権限セットを上記利用権登録ステップで登録することを特徴とする鍵管理方法。
7. ユーザグループ判定部が行うユーザグループ判定ステップでは、閲覧と編集の可否を、利用者資格に基いて判定することを特徴とする請求項６記載の鍵管理方法。
8. 端末において、復号部が、上記暗号化文書を対応する上記暗号鍵で復号する復号ステップを備えたことを特徴とする請求項６記載の鍵管理方法。

Images