JP3959441B2 - 管理システム，管理サーバおよび管理プログラム - Google Patents

Description

本発明は、携帯電話等の端末装置（携帯端末）を用いて、電子データを、電子メールの本文、もしくは、電子メールに添付した電子ファイルとして送信する際に、その電子データや同電子データの送受信を管理する技術に関する。

一般的な電子メールシステムでは、通常、そのシステムに登録されている利用者であれば、誰でも、電子メールを他の利用者に対して送信することができるようになっている。しかし、電子メールの利用が一般化するに伴い、企業内やグループ内だけでなく企業間やグループ間での電子メールのやり取りが多くなり、対外的な機密保護が必要とされてきている。

そこで、例えば下記特許文献１では、電子メールシステムの利用者が電子メールを外部の電子メールシステムに発信する場合、電子メールの発信者情報を利用者受発信制限情報データベースに発信可能と登録されている利用者の場合に限り、その電子メールを外部へ転送する電子メール利用者制限システムが開示されている。

また、下記特許文献２では、誤った相手先へのメール発信や無駄なメールの発信を未然に防止してシステム資源の有効活用をはかることを目的として、メール発信者がメール発信時に指定した相手先が妥当なものであるかをシステム管理者が事前に登録したメール発信者と指定可能な相手先を管理する宛先管理簿を参照してチェックし、宛先管理簿に登録済の相手先へのみメール発信を可能とした電子メールシステムが開示されている。
特開２０００−３３９２３８号公報 特開昭６３−１４６５３８号公報

しかしながら、上記特許文献１，２に開示されたシステムにおいて、電子メールの発信者情報を利用者受発信制限情報データベースに発信可能と設定されていない利用者や、宛先管理簿に登録されていない相手先には、電子メールの内容や電子メールに添付された電子ファイルの内容に関係なく、常に、電子メールの送信も電子メールに電子ファイルを添付して送信することも制限されてしまう。このような制限を行なうことで、対外的な機密保護は実現されるが、電子メールを誰にでも送信することができず、利便性を損なう場合も生じてしまう。

このため、送信対象の電子データが個人情報や顧客情報や機密情報といった対外的な機密保護／漏洩防止をはかるべき情報（管理対象情報）を含む場合に限り送信先を制限することにより、対外的な機密保護／漏洩防止を確実に実現する一方で、そのような情報を含まない電子データについては誰にでも送信できるようにして利便性をも確保できるようにすることが望まれている。

本発明は、このような状況に鑑み創案されたもので、端末装置から電子データを送信する際に、個人情報や顧客情報や機密情報といった管理対象情報を含む電子データについては送信先を制限して機密保護／漏洩防止を確実に実現しながら、管理対象情報を含まない電子データについては送信先の制限無く送信できるようにして利便性を確保することを目的としている。

上記目的を達成するために、本発明の管理システム（請求項１）は、電子データの送受信機能を有する端末装置と、該端末装置において前記電子データの送受信機能を利用する際に該端末装置と接続されて前記電子データおよび当該電子データの送受信を管理する管理サーバとをそなえ、該管理サーバは、該端末装置が前記電子データを送信する際に前記電子データに管理対象情報が含まれているか否かを判定する判定手段と、該判定手段により前記電子データに管理対象情報が含まれていると判定された場合には前記電子データの送信先が該管理サーバに登録された宛先情報の中から指定されていれば前記電子データの送信を許可する一方で前記電子データの送信先が該管理サーバに登録された宛先情報の中から指定されていなければ前記電子データの送信を禁止するように、前記電子データの送信を管理・制御する制御手段と、該判定手段により前記管理対象情報が含まれていると判定された前記電子データとしての電子ファイルを送信する際に当該電子ファイルを暗号化し暗号化ファイルとして前記送信先へ送信する暗号化手段と、該判定手段により前記管理対象情報が含まれていると判定された前記電子データとしての電子メールの本文は電子ファイルとして電子メールに添付すれば送信可能である旨を該端末装置に通知する通知手段とをそなえて構成されていることを特徴としている。

このような管理システムにおいて、該管理サーバが、前記送信先における受信者が当該暗号化ファイルを開く際に前記送信先からの受信者認証情報に基づいて前記受信者が正当な受信者であるか否かを認証する受信者認証手段と、該受信者認証手段により前記受信者が正当な受信者であることが認証された場合に当該暗号化ファイルを復号化する復号鍵を前記送信先に送信する復号鍵送信手段とをさらにそなえて構成されていてもよいし（請求項２）、前記管理対象情報が含まれている前記電子データとしての電子ファイルに、前記管理対象情報が含まれている旨を示すフラグを付与するフラグ付与手段をさらにそなえ、該管理サーバの該判定手段が、前記電子ファイルにおける前記フラグの有無に基づいて前記電子ファイルに管理対象情報が含まれているか否かを判定してもよい（請求項３）。

この場合、該管理サーバが、該判定手段により前記電子ファイルに前記フラグが付与されていないと判定された場合に当該電子ファイルにおける管理対象情報を探査する探査手段をさらにそなえて構成され、該フラグ付与手段が、該探査手段による探査結果に応じて前記フラグを当該電子ファイルに付与してもよい（請求項４）。また、該管理サーバの該探査手段が、前記電子データとしての電子メールの本文における管理対象情報を探査し、該管理サーバの該判定手段が、該探査手段による探査結果に基づいて当該電子メールの本文に管理対象情報が含まれているか否かを判定し、該管理サーバの該制御手段が、該判定手段により当該電子メールの本文に前記管理対象情報が含まれていると判定された場合に当該電子メールの送信を禁止してもよい（請求項５）。

さらに、該端末装置が、音声もしくは画像による通話機能を有するとともに端末識別情報を含む利用者情報を保持する識別モジュールを内蔵し、該端末装置と該管理サーバとを接続する際に該端末装置の通話機能により音声もしくは画像として得られる、該端末装置の利用者についての認証用生体情報に基づいて、該端末装置の利用者が登録者であるか否かを判定し、該利用者の生体認証を行なう生体認証手段をさらにそなえ、該管理サーバが、該端末装置から接続要求を受けると、該端末装置の該識別モジュールに保持されている前記端末識別情報に基づいて、該端末装置が登録端末であるか否かを判定し、該端末装置の端末認証を行なう端末認証手段と、該生体認証手段によって該利用者が登録者であることが認証され、且つ、該端末認証手段によって該端末装置が登録端末であることが認証された場合に、該端末装置と該管理サーバとの間に仮想専用線を設定し該端末装置と該管理サーバとの間を接続する接続する接続手段とをさらにそなえて構成されていてもよい（請求項６）。この場合、該生体認証手段を、該端末装置にそなえ、前記認証用生体情報と、該端末装置の該識別モジュールに予め登録されている登録生体情報とを照合して比較することにより、該利用者の生体認証を行ない、当該生体認証の結果を該管理サーバに通知するように構成してもよい（請求項７）。

一方、本発明の管理サーバ（請求項８）は、端末装置において電子データの送受信機能を利用する際に該端末装置と接続されて前記電子データおよび当該電子データの送受信を管理するものであって、該端末装置が前記電子データを送信する際に前記電子データに管理対象情報が含まれているか否かを判定する判定手段と、該判定手段により前記電子データに管理対象情報が含まれていると判定された場合には前記電子データの送信先が該管理サーバに登録された宛先情報の中から指定されていれば前記電子データの送信を許可する一方で前記電子データの送信先が該管理サーバに登録された宛先情報の中から指定されていなければ前記電子データの送信を禁止するように、前記電子データの送信を管理・制御する制御手段と、該判定手段により前記管理対象情報が含まれていると判定された前記電子データとしての電子ファイルを送信する際に当該電子ファイルを暗号化し暗号化ファイルとして前記送信先へ送信する暗号化手段と、該判定手段により前記管理対象情報が含まれていると判定された前記電子データとしての電子メールの本文は電子ファイルとして電子メールに添付すれば送信可能である旨を該端末装置に通知する通知手段とをそなえて構成されていることを特徴としている。

また、本発明の管理プログラム（請求項９）は、端末装置において電子データの送受信機能を利用する際に該端末装置と接続されて前記電子データおよび当該電子データの送受信を管理する管理サーバとして、コンピュータを機能させるものであって、該端末装置が前記電子データを送信する際に前記電子データに管理対象情報が含まれているか否かを判定する判定手段、該判定手段により前記電子データに管理対象情報が含まれていると判定された場合には前記電子データの送信先が該管理サーバに登録された宛先情報の中から指定されていれば前記電子データの送信を許可する一方で前記電子データの送信先が該管理サーバに登録された宛先情報の中から指定されていなければ前記電子データの送信を禁止するように、前記電子データの送信を管理・制御する制御手段、該判定手段により前記管理対象情報が含まれていると判定された前記電子データとしての電子ファイルを送信する際に当該電子ファイルを暗号化し暗号化ファイルとして前記送信先へ送信する暗号化手段、および、該判定手段により前記管理対象情報が含まれていると判定された前記電子データとしての電子メールの本文は電子ファイルとして電子メールに添付すれば送信可能である旨を該端末装置に通知する通知手段として、該コンピュータを機能させることを特徴としている。

上述した本発明によれば、送信対象の電子データに管理対象情報（例えば個人情報や顧客情報や機密情報など）が含まれていると判定された場合には送信先が管理サーバに登録された宛先情報の中から指定されていれば電子データの送信を許可する一方で送信先が管理サーバに登録された宛先情報の中から指定されていなければ電子データの送信を禁止し、また、送信対象の電子データに管理対象情報が含まれていないと判定された際には電子データの送信を許可するように、電子データの送信が管理・制御されるので、端末装置から電子データを送信する際に、管理対象情報を含む電子データについては送信先を制限して機密保護／漏洩防止を確実に実現しながら、管理対象情報を含まない電子データについては送信先の制限無く送信でき利便性が確保される。

このとき、管理サーバがメールサーバとして機能するものであって且つ企業内等の電子メールシステムを構成するものであるとすると、その管理サーバに属する端末装置（例えば企業が社員に貸与する携帯電話等）から電子メールにより電子データを送信する際、端末装置は管理サーバに接続され、その電子データは必ず管理サーバ（メールサーバ）を経由することになり、電子データに管理対象情報が含まれているか否かの判定を確実に行なうことができる。また、管理対象情報が含まれている場合、送信先が企業内等に属する管理サーバに登録された宛先情報の中から指定された場合には、企業等によって認められた送信先（社員や守秘契約者等）への送信であるものと判断され、当該電子データの送信が
許可される一方、当該電子データの送信先が送信先が企業内等に属する管理サーバに登録された宛先情報の中から指定されていない場合（例えば、端末装置において個人的に登録された宛先情報の中から指定された場合）には、私用の送信であると判断され、当該電子データの送信が禁止されるので、管理対象情報を含む電子データがむやみに私用で送信されて個人情報や機密情報が外部に漏洩するのを確実に防止することができ、セキュリティのさらなる強化をはかることができる。一方、管理対象情報が含まれていない場合には、送信先に関係なく、通常通り、電子データは送信先に送信されるので、電子メールとしての利便性が確保されることになる。

このような管理システムにおいて、管理対象情報が含まれている電子データとしての電子ファイルに、管理対象情報が含まれている旨を示すフラグを付与しておくことにより、電子ファイルに管理対象情報が含まれているか否かが、そのフラグによって極めて容易に判定することができる。この場合、管理サーバが、フラグが付与されていない電子ファイルに対しては、適宜、その電子ファイルにおける管理対象情報の探査を行ない、その探査結果に応じてフラグを当該電子ファイルに付与することにより、電子ファイルに管理対象情報が含まれている旨を示すフラグを確実に付与することできる。また、管理サーバが、電子メールの本文における管理対象情報を探査し、その探査結果に基づいて当該電子メールの本文に管理対象情報が含まれているか否かを判定し、電子メールの本文に管理対象情報が含まれていると判定された場合にこの電子メールの送信を禁止することにより、電子ファイルだけでなく電子メールの本文によって管理対象情報が漏洩することを確実に防止することができる。さらに、その本文は電子ファイルとして電子メールに添付すれば送信可能である旨を端末装置に通知することにより、端末装置の利用者は、状況を認識し、セキュリティを確保した状態で電子データを送信することができる。

また、管理サーバが、管理対象情報が含まれていると判定された電子ファイルを送信する際に当該電子ファイルを暗号化し暗号化ファイルとして送信先に送信し、正当な受信者に対してのみ、その暗号化ファイルの復号鍵を提供するように構成することで、万一、送信先で暗号化ファイルが流出したとしても、暗号化ファイルは正当な利用者しか解凍して参照することができず、セキュリティのさらなる強化をはかることができる。

さらに、端末装置が、例えば携帯電話であって、音声もしくは画像による通話機能を有するとともに端末識別情報を含む利用者情報を保持する識別モジュールを内蔵している場合、この端末装置と管理サーバとを接続する際に端末装置の通話機能により音声もしくは画像として得られる、端末装置の利用者についての認証用生体情報（例えば声紋，虹彩，顔の輪郭，顔のパターン等）に基づいて、生体認証手段により利用者の生体認証を行なうとともに、端末装置の識別モジュール〔例えばＳＩＭ（Subscriber Identify Module）／ＵＩＭ（User Identify Module）チップ等〕に保持されている端末識別情報に基づいて、端末認証手段により端末装置の端末認証を行ない、利用者が登録者であることが認証され且つ携帯端末が登録端末であることが認証されると、端末装置と管理サーバとの間に仮想専用線（ＶＰＮ；Virtual Private Network）が設定される。これにより、利用者の生体
情報を得る生体センサを新たに追加して設けることなく、携帯端末、例えば携帯電話が本来有している、音声や画像による通話機能を用いて取得される認証用生体情報を利用して利用者の生体認証が行なわれ、その生体認証の結果と、携帯端末に内蔵された識別モジュールを利用して行なわれた端末認証の結果とに応じて、携帯端末と管理サーバとの間の仮想専用線の設定制御が行なわれるので、携帯電話等の携帯端末から管理サーバにアクセスを行なう際のセキュリティを大幅に強化することができる。

この場合、上述した生体認証手段を、端末装置にそなえ、認証用生体情報と、端末装置の識別モジュール（例えばＳＩＭ／ＵＩＭチップ）に予め登録されている登録生体情報とを照合・比較して利用者の生体認証を行ない、その生体認証の結果を管理サーバに通知す
ることにより、生体認証が端末装置側で行なわれるので、管理サーバ側の負荷を大きくすることなく生体認証を考慮した管理・制御を行なうことができる。特に、生体認証を定期的に行なう場合に有効である。

以下、図面を参照して本発明の実施の形態を説明する。
〔１〕本実施形態の管理システムの構成
図１は本発明の一実施形態としての管理システム（管理サーバおよび携帯電話）の構成を示すブロック図で、この図１に示すように、本実施形態の管理システム１は、少なくとも、携帯電話１０，管理サーバ２０，イントラネット３０，ネットワーク４０および基地局５０をそなえて構成されている。

携帯電話（端末装置）１０は、例えばイントラネット３０をもつ企業等に所属する社員等によって所持されて利用され、ＨＴＴＰによるＷｅｂページの閲覧が可能なもので、音声や画像（テレビ電話）による通話機能と、電子メールを電子データとして送受信したり当該電子メールに電子ファイルを添付し電子データとして送受信したりする送受信機能（電子メール機能）とを有するとともに、端末識別情報（加入者／利用者識別情報）を含む利用者情報を保持する識別モジュール（図１の符号１３参照）を内蔵している。この携帯電話１０の詳細な機能構成については図１を参照しながら後述する。

管理サーバ２０は、携帯電話１０からのイントラネット３０に対するリモートアクセス要求（社外からのアクセス要求）に応じて、携帯電話１０とイントラネット３０との間の接続状態、つまり仮想専用線（ＶＰＮ；Virtual Private Network）の設定・解除を管理
・制御するイントラネット接続制御サーバとしての機能と、上記イントラネット３０をもつ企業等における電子メールシステムを構成し携帯電話１０が上記電子メール機能により送受信する電子メールを管理するメールサーバとしての機能と、携帯電話１０において前記電子データの送受信機能（つまり電子メール機能）を利用する際に携帯電話１０と接続されて前記電子データ（電子メールやこの電子メール添付される電子ファイル）および当該電子データの送受信を管理する機能とを併せもつもので、その詳細な機能構成については図１を参照しながら後述する。

ここで、管理サーバ２０は、上述の通り電子メールシステムを構成し、この管理サーバ２０に属する携帯電話１０は企業等から社員に貸与され、携帯電話１０から電子メールにより電子データを送受信する際、携帯電話１０は必ず管理サーバ２０に接続され、送信対象の電子データ（電子メール本文や電子メールに添付される電子ファイル）は必ず管理サーバ２０を経由するようになっている。

ネットワーク４０は、イントラネット３０をもつ企業等の外部にそなえられた、インターネットや公衆電話網などの公衆回線網であり、基地局５０は、ネットワーク４０に接続され、携帯電話１０と送受信を行なうものであり、携帯電話１０と管理サーバ２０との間の通信は、基地局５０およびネットワーク４０を介して行なわれるとともに、携帯電話１０とイントラネット３０との間の通信は、基地局５０，ネットワーク４０および管理サーバ２０を介して行なわれる。

そして、本実施形態の携帯電話１０は、図１に示すように、少なくともマイク１１，カメラ１２，ＳＩＭ／ＵＩＭチップ１３，送受信手段１４および生体認証手段１５をそなえて構成され、イントラネット３０に対するリモートアクセス要求（企業等にそなえられたイントラネット３０に対する外部からのアクセス要求）や、電子メールの送受信要求や、後述する暗号化ファイルについての認証要求を行なう際には、まず基地局５０およびネットワーク４０を介して管理サーバ２０に対して接続要求を行なうように構成されている。

ここで、マイク１１は、携帯電話１０が通常有している音声通話機能を実現すべく、利用者の声（音声）を収集するためのものであり、カメラ１２は、写真撮影機能（静止画像撮影機能）やテレビ電話機能（動画像撮影機能）をもつ携帯電話１０が通常有しているもので、通話中に利用者の顔画像を撮像しうるものである。

ＳＩＭ（Subscriber Identify Module）／ＵＩＭ（User Identify Module）チップ（識別モジュール）１３は、携帯電話１０に着脱自在に内蔵され、携帯電話１０の加入者情報もしくは利用者情報を保存する集積回路を含んで構成され、例えばＩＳＯ７８１６に準拠したものである。このＳＩＭ／ＵＩＭチップ１３には、携帯電話１０（加入者／利用者）を特定しうる端末識別情報（加入者／利用者識別情報）と、携帯電話１０の加入者／利用者の登録生体情報とが保存されている。この登録生体情報は、生体認証を行なうべく、予め採取された加入者／利用者の生体情報から抽出された生体特徴情報（例えば声紋，虹彩，顔の輪郭，顔のパターンなどの特徴点情報）である。このＳＩＭ／ＵＩＭチップ１３を他の携帯電話１０に差し替えることで、その携帯電話１０を、ＳＩＭ／ＵＩＭチップ１３に情報登録された加入者／利用者のものとして利用することが可能になっている。

送受信手段１４は、携帯電話１０にそなえられる一般的な送受信機能を果たすもので、基地局５０とやり取りすることにより、基地局５０やネットワーク４０を介して、他の携帯電話１０や管理サーバ２０やイントラネット３０との間で各種情報、例えば、各種要求に関する情報や、音声通話時の音声情報や、テレビ電話使用時の音声情報／画像情報や、電子メール情報（電子メールの本文や電子メールに添付される電子ファイルを含む）や、接続要求時の各種認証情報などの送受信を行なうものである。

生体認証手段１５は、携帯電話１０が社外からイントラネット３０に対するリモートアクセス要求を行なった際に携帯電話１０のマイク１１やカメラ１２により音声や画像として得られる、携帯電話１０の利用者についての認証用生体情報（例えば声紋，虹彩，顔の輪郭，顔のパターンなど）に基づいて、携帯電話１０の利用者が登録者であるか否かを判定し、利用者の生体認証を行なうものである。この生体認証手段１５は、携帯電話１０がイントラネット３０に接続されアクセスを行なっている期間中、定期的（一定時間毎）に生体認証を行なうようにも構成されている。

ここで、生体認証手段１５が生体認証を行なう際には、マイク１１やカメラ１２を用いて認証用生体情報（声や顔画像）を入力するように、携帯電話１０の液晶画面上等の表示により、携帯電話１０の利用者に対して要求する。このとき、生体認証手段１５による生体認証は、１種類の生体情報についてのみ行なってもよいし、複数種類の生体情報について行なってもよい。

また、生体認証手段１５は、要求に応じて入力された認証用生体情報と、携帯電話１０のＳＩＭ／ＵＩＭチップ１３に予め登録・保存されている登録生体情報とを照合して比較することにより、利用者の生体認証を行ない、その生体認証の結果を、送受信手段１４，基地局５０およびネットワーク４０を介して管理サーバ２０に通知するようになっている。このとき、実際には、認証用生体情報から特徴点情報等が抽出され、その抽出された特徴点情報と、登録生体情報として登録されている特徴点情報とが照合・比較される。

さらに、携帯電話１０には、この携帯電話１０を生体認証手段１５として機能させるアプリケーションプログラムが、利用者によって、もしくは、管理サーバ２０からネットワーク４０および基地局５０を介して、予めインストールされており、携帯電話１０におけるＣＰＵ（Central Processing Unit）等がそのアプリケーションプログラムを実行する
ことにより、生体認証手段１５としての機能が実現される。

そして、本実施形態の管理サーバ２０は、送受信手段２０１，データベース２０２，端末認証手段２０３，ソフトウエア認証手段２０４，資産認証手段２０５，接続手段２０６，電子メール管理手段２０７，判定手段２０８，個人情報探索手段２０９／２０９Ａ，フラグ付与手段２１０，通知手段２１１，暗号化手段２１２，受信者認証手段２１３および復号鍵送信手段２１４をそなえて構成されている。

送受信手段２０１は、管理サーバ２０にそなえられる一般的な送受信機能を果たすもので、ネットワーク４０を介して他の端末やサーバとの間で各種情報の送受信を行なったり、ネットワーク４０や基地局５０を介して携帯電話１０との間で各種情報の送受信を行なうものである。

データベース２０２は、端末認証手段２０３やソフトウエア認証手段２０４や資産認証手段２０５による認証処理時に必要となる登録情報を、例えば端末識別情報（加入者／利用者識別情報）に対応付けて予め登録・保存するものである。このデータベース２０２としては、接続制御サーバ２０内のハードディスク等を用いてもよいし、接続制御サーバ２０の外付け記憶装置を用いてもよいし、イントラネット３０に接続された他のサーバ等における記憶装置を用いてもよい。

端末認証手段２０３は、携帯電話１０から接続要求を受けると、後述するごとく接続要求とともに携帯電話１０から送られてくる端末識別情報（加入者／利用者識別情報；ＳＩＭ／ＵＩＭチップ１３から読み出されたもの）に基づいて、携帯電話１０が予め正当な端末として登録された登録端末であるか否かを判定し、携帯電話１０の端末認証を行なうものである。その際、端末認証手段２０３は、例えば、携帯電話１０からの端末識別情報をキーにしてデータベース２０２を検索し、その端末識別情報がデータベース２０２に登録されていれば、登録端末であると判定するようになっている。なお、上記接続要求は、リモートアクセス要求，電子メール送受信要求，暗号化ファイル認証要求などに先立って携帯電話１０から送信されるもので、携帯電話１０と管理サーバ２０の間、もしくは、携帯電話１０とイントラネット３０との間にＶＰＮを設定して、これらの間を接続するための要求である。

ソフトウエア認証手段２０４は、携帯電話１０からイントラネット３０に対するリモートアクセス要求を受けると、携帯電話１０にインストールされている全てのソフトウエア（ログイン時ソフトウエア）に関する情報を携帯電話１０から収集するとともに、当該携帯電話１０が管理サーバ２０もしくはイントラネット３０に最後に接続されていた時にインストールされていた全てのソフトウエア（ログオフ時ソフトウエア）に関する情報をデータベース２０２から読み出し、これらのログイン時ソフトウエアとログオフ時ソフトウエアとの対照をとりこれらのソフトウエアが一致する否かを判定し、ソフトウエア認証を行なうものである。

なお、ソフトウエア認証手段２０４によるソフトウエアの一致判定に際しては、各ソフトウエアを特定する情報（製品名，製品番号等）が一致するか否かの判定と、各ソフトウエアのバージョン情報が一致するか否かの判定とが行なわれ、全てのソフトウエア製品が一致するだけでなく各ソフトウエア製品のバージョンも一致した場合に、ログイン時ソフトウエアとログオフ時ソフトウエアとが一致したものと判定するようになっている。

また、本実施形態の管理システム１においては、携帯電話１０が管理サーバ２０もしくはイントラネット３０に接続された後に管理サーバ２０もしくはイントラネット３０との接続（ＶＰＮの設定）を解除する際には、その時点で携帯電話１０にインストールされている全てのソフトウエア（ログオフ時ソフトウエア）に関する情報が収集されてデータベ
ース２０２に登録される。

資産認証手段２０５は、携帯電話１０から接続要求を受けると、その携帯電話１０から資産情報を収集し、収集された資産情報に基づいて携帯電話１０における資産が予め設定された接続条件を満たしているか否かを判定し、その携帯電話１０の資産認証を行なうものである。
ここで、収集される資産情報は、一部、ソフトウエア認証手段２０４において収集されるログイン時ソフトウエアに関する情報と重複するが、この資産情報（インベントリ情報／実行環境情報）には、携帯電話１０におけるハードウエア資源やソフトウエア資源に関する情報が含まれる。

ハードウエア資源に関する情報としては、例えば、コンピュータ名／ＯＳ／ＣＰＵ／ＣＰＵスピード／キーボードタイプ／物理メモリ／利用可能メモリ／ビデオカード／解像度／プリンタ／スワップサイズ／ドメイン名／ログオンユーザ名／モデル名／ネットワークカード／ＭＡＣアドレス／ＩＰアドレス／ネットマスク／デフォルトゲートウェイ／ＤＮＳサーバ／ソケットバージョン／ローカルドライブ毎の総容量や空き容量／ＢＩＯＳバージョン／ＢＩＯＳメーカ／マシンメーカ／マシン名／マシンシリアルマシンＵＵＩＤ／マザーボードメーカ名／マザーボード名／ＣＰＵ ＩＤなどに関する情報が挙げられる。

また、ソフトウエア資源に関する情報としては、携帯電話１０に保有されているソフトウエア（各種アプリケーションプログラム）に関する情報（例えば、製品名，詳細バージョン，ファイルサイズ，ファイル更新日など）が挙げられる。特に、ＯＳのセキュリティホールを修復するためのセキュリティパッチ更新ソフトウエア〔例えば“Windows(登録商標) Update”等〕をクライアントが保有している場合には、セキュリティパッチの更新情報（最新であるか否か）も収集される。さらに、ウイルス対策ソフトウエア〔例えば“Norton AntiVilus(登録商標)”等〕をクライアントが保有している場合には、そのウイルス対策ソフトウエアにおけるウイルス定義ファイルの更新情報（最新であるか否か）も収集される。

そして、資産認証手段２０５での判定基準として用いられる接続条件としては、例えば、下記のような条件[10]もしくは条件[20]が設定される。
[10]携帯電話１０における資産が、管理サーバ２０やイントラネット３０を含むシステムの運用に必要なソフトウエアを含み且つ、ネットワーク運用上の問題を生じさせるソフトウエアを含んでいないこと。なお、この条件[10]の具体例としては、以下のような条件[11]〜[15]が挙げられる。
[11]携帯電話１０における資産がシステムの運用に必要なソフトウエア、例えば、システムの安全な運用に必要となる、セキュリティパッチ更新ソフトウエアやウイルス対策ソフトウエアを含んでいること。
[12]携帯電話１０における資産がシステムの運用に影響を与え障害発生要因となりうるソフトウエアを含んでいないこと。
[13]携帯電話１０における資産が違法性のあるソフトウエア（例えば著作権法上問題のあるファイル交換ソフトウエア等）を含んでいないこと。
[14]携帯電話１０における資産が公序良俗に反するソフトウエアを含んでいないこと。
[15]携帯電話１０における資産（例えばＯＳを含む各種ソフトウエア）における設定情報（例えばユーザ名，パスワード等）として、企業等のセキュリティポリシ上、認められていないものが含まれていないこと。

[20]セキュリティパッチ更新ソフトウエア，ウイルス対策ソフトウエアおよび所定バージョンの基本ソフトウエア（ＯＳ）がソフトウエア資源として接続対象端末にインストー
ルされ、且つ、ファイル交換ソフトウエアを含む違法性のあるソフトウエアがソフトウエア資源として携帯電話１０にインストールされておらず、且つ、携帯電話１０のハードウエア資源が一定の基準を満たしていること。

接続手段２０６は、生体認証手段１５によって利用者が登録者であることが認証され（携帯電話１０から通知される生体認証結果）、且つ、端末認証手段２０３によって携帯電話１０が登録端末であることが認証され、且つ、ソフトウエア認証手段２０４によって携帯電話１０のログイン時ソフトウエアとログオフ時ソフトウエアとが一致していることが認証され、且つ、資産認証手段２０５によって携帯電話１０における資産が前記接続条件を満たしていることが認証された場合に、携帯電話１０と管理サーバ２０もしくはイントラネット３０との間に仮想専用線（ＶＰＮ）を設定するように制御するものである。

このとき、接続手段２０６は、携帯電話１０の接続要求がイントラネット３０に対するリモートアクセス要求に先立つものである場合には認証後に携帯電話１０とイントラネット３０との間に仮想専用線（ＶＰＮ）を設定し携帯電話１０とイントラネット３０との間を接続する一方、携帯電話１０の接続要求が電子メール送受信要求あるいは暗号化ファイル認証要求に先立つものである場合には認証後に携帯電話１０と管理サーバ２０との間に仮想専用線（ＶＰＮ）を設定する。

また、本実施形態の接続手段２０６は、携帯電話１０がイントラネット３０に接続されアクセスを行なっている期間中、携帯電話１０（生体認証手段１５）から定期的に通知される生体認証結果を参照し、生体認証手段１５によって利用者が登録者ではないと判断された場合には、直ちに携帯電話１０とイントラネット３０との間の仮想専用線（ＶＰＮ）の設定を解除して切断するように制御する機能も果たす。

さらに、資産認証手段２０５が、セキュリティパッチ更新ソフトウエアにより最新のセキュリティパッチが携帯電話１０の基本ソフトウエアに適用されているか否かを判定し、この資産認証手段２０５によって最新のセキュリティパッチが適用されていないと判定された場合、接続手段２０６が、セキュリティパッチ更新ソフトウエアにセキュリティパッチの更新を実行させてから、携帯電話１０と管理サーバ２０もしくはイントラネット３０との間に仮想専用線（ＶＰＮ）を設定するように構成されている。

またさらに、資産認証手段２０５が、ウイルス対策ソフトウエアによりウイルス定義ファイルが最新のものに更新されているか否かを判定し、この資産認証手段２０５によってウイルス定義ファイルが最新のものに更新されていないと判定された場合、制御手段２６が、ウイルス対策ソフトウエアにウイルス定義ファイルの更新を実行させてから、携帯電話１０と管理サーバ２０もしくはイントラネット３０との間に仮想専用線（ＶＰＮ）を設定するように構成されている。

一方、電子メール管理手段（制御手段）２０７は、携帯電話１０から電子メール送受信要求を受け、電子メールの一般的な送受信管理等を行なうとともに、本実施形態では、特に、後述するごとく判定手段２０８による判定結果や電子メールの送信先に応じて電子メール（電子データ）の送信を管理・制御するものである。この電子メール管理手段２０７は、送信対象の電子メールの送信先が管理サーバ２０に予め登録された登録された宛先情報の中から指定されているか否かを判断する機能も有している。その判断は、送信対象の電子メールに対し設定済みの送信先メールアドレスをキーとして管理サーバ２０における登録簿を検索することによって行なってもよいし、携帯電話１０と管理サーバ２０とがＶＰＮ接続された後に利用者が携帯電話１０を通じて管理サーバ２０における登録簿から送信先メールアドレスを選択・指定したか否かに基づいて行なってもよい。

判定手段２０８は、携帯電話１０が電子メール（電子データ）を送信する際にその電子メール（電子メールの本文や電子メールに添付された電子ファイル）に管理対象情報（個人情報や顧客情報や各種機密情報が考えられるが、本実施形態では管理対象情報が個人情報である場合について説明する）が含まれているか否かを判定するものである。この判定手段２０８は、後述するごとく、フラグ付与手段２１０によって電子ファイルにフラグが設定されているか否かによって送信対象の電子メールに管理対象情報が含まれているか否かの判定（フラグが設定されている場合に含まれていると判定；電子ファイルが個人情報ファイルに該当するものであるか否かの判定）を行なうほか、電子ファイルにフラグが設定されていないと判定された場合には、後述する個人情報探索手段２０９に当該電子ファイルにおける個人情報探索を実行させて、その探索によって得られた結果（個人情報ファイルの判定結果）に基づいて電子ファイルに管理対象情報が含まれているか否かを判定するとともに、電子メールの本文に対しても、後述する個人情報探索手段２０９に個人情報探索を実行させて、その探索によって得られた結果（本文が個人情報ファイルに相当する内容を含んでいるか否かの判定結果）に基づいて電子メールの本文に管理対象情報が含まれているか否かを判定するように構成されている。

個人情報探索手段（探査手段）２０９／２０９Ａは、前述した通り、判定手段２０８により電子ファイルにフラグが付与されていないと判定された場合に当該電子ファイルにおける個人情報を探査するほか、電子メールの本文における個人情報も探査するものである。特に、これらの個人情報探索手段２０９／２０９Ａは、いずれも、管理サーバ２０に予めインストールされた個人情報探索プログラムを実行することにより、電子メールに添付される電子ファイルにおける個人情報要素を探索して当該電子ファイルが個人情報ファイルに相当するものであるか否かを判定するとともに、電子メールの本文における個人情報要素を探索してその本文が個人情報ファイルに相当するものであるか否かを判定するものである。なお、個人情報探索手段２０９および２０９Ａの詳細な構成については、それぞれ図２および図３を参照しながら後述する。

本実施形態において、個人情報ファイル（個人情報集合体）は、個人情報を含むレコードを所定数以上保有しているものであり、個人情報は、前述した通り、単体もしくは組合せによって特定の個人を識別することのできる情報（各種個人情報要素）、例えば氏名，生年月日，連絡先（住所，居所，電話番号，メールアドレス）などを含むものである。なお、個人情報としては、これら以外に、役職名，住民基本台帳番号，口座番号，クレジットカード番号，免許証番号，パスポート番号なども挙げられる。

フラグ付与手段２１０は、管理対象情報が含まれている電子ファイル（本実施形態では個人情報探索手段２０９／２０９Ａによって個人情報ファイルに相当すると判定された電子ファイル）に、管理対象情報が含まれている旨を示すフラグ（当該電子ファイルが個人情報ファイルに相当する旨を示すフラグ）を付与するものであり、判定手段２０８は、上述したごとく、このように電子ファイルに付与されうるフラグの有無に基づいて当該電子ファイルに管理対象情報が含まれているか否か、つまり当該電子ファイルが個人情報ファイルに相当するものであるか否かを判定するようになっている。

そして、電子メール管理手段（制御手段）２０７は、図６を参照しながら後述するごとく、判定手段２０８により送信対象の電子メール（本文や電子ファイル）に管理対象情報（個人情報）が含まれていると判定された場合には当該電子メールの送信先が管理サーバ２０に登録された宛先情報の中から指定されていれば当該電子メールの送信を許可する一方で当該電子メールの送信先が管理サーバ２０に登録された宛先情報（登録簿）の中から指定されていなければ当該電子メールの送信を禁止し、また、判定手段２０８により当該電子データに管理対象情報が含まれていないと判定された際には当該電子メールの送信を許可するように、電子メールの送信を管理・制御するようになっている。なお、電子ファ
イルが個人情報ファイルに相当すると判定されたが電子メールの本文に個人情報が含まれていないと判定された場合には、電子ファイルを添付せずに電子メールの本文のみを送信するようにしてもよい。

通知手段２１１は、電子メールの送信を完了した場合にはその旨を携帯電話１０に通知するほか、判定手段２０８（個人情報探索手段２０９／２０９Ａ）によって添付対象の電子ファイルが個人情報ファイルに相当すると判定された場合には、その旨と当該電子ファイルの送信を禁止した旨を通知するものである。さらに、通知手段２１１は、その本文を含む電子メールの送信を禁止した旨を通知するとともに、判定手段２０８により管理対象情報が含まれていると判定された電子メールの本文は電子ファイルとして電子メールに添付すれば送信可能である旨を携帯電話１０に通知する機能も有している。なお、この通知手段２１１としての機能は、前述した送受信手段２０１が併せもっていてもよい。

暗号化手段２１２は、判定手段２０８により管理対象情報が含まれていると判定された電子ファイル（フラグを付与された、個人情報ファイルに相当する電子ファイル）を送信する際に当該電子ファイルを暗号化し暗号化ファイルとして電子メールに添付し、電子メール管理手段２０７によって送信先に送信させるものである。より具体的に、暗号化手段２１２は、送信対象の電子ファイルを完成文書ファイル〔ここでは改竄操作の困難なＰＤＦ（Portable Document Format）ファイル〕に変換した後、そのＰＤＦファイルを、管理サーバ２０によって管理される所定の暗号鍵で暗号化して暗号化ファイルを作成するものである。このとき、暗号化動作と併せて、当該暗号化ファイルにアクセスする送信先の利用者について、当該暗号化ファイルへのアクセス権限（例えば、閲覧，注釈，印刷，コピーのほか、ＰＤＦファイルに格納されたファイルの取出しや、取り出されたファイルの編集，添付などのアクセスの中から選択されたものを実行する権限）の設定が行なわれる。なお、電子ファイルをＰＤＦファイルに変換するＰＤＦ化処理は、ＰＤＦドライバを管理サーバ２０において起動することにより実行され、そのＰＤＦ化処理によって、電子ファイルがＰＤＦ化され、ＰＤＦファイルが生成されるようになっている。

受信者認証手段２１３は、電子メールの送信先における受信者（利用者）が当該暗号化ファイルを開く際に送信先の端末装置（図示略；携帯電話であってもよいしパーソナルコンピュータであってもよい）からの受信者認証情報（暗号化ファイルを解凍するための復号鍵の送信要求に対応する認証要求に含まれる）に基づいて前記受信者が正当な受信者であるか否かを認証するものである。その際、受信者認証情報に含まれる利用者ＩＤに対応する装置ＩＤおよび利用者認証情報（パスワード，生体特徴情報）がデータベース２０２から読み出される。そして、受信者認証手段２１３は、送信先の端末装置（受信者の端末装置）からの受信者認証情報に含まれる利用者認証情報（パスワード，生体特徴情報）とデータベース２０２から読み出された利用者認証情報とを比較し、これらが一致した場合に受信者が正当な受信者であることを認証する。

復号鍵送信手段２１４は、受信者認証手段２１３により暗号化ファイルにアクセスしようとしている受信者が正当な受信者であることが認証された場合に当該暗号化ファイルを復号化する復号鍵を、その受信者の端末装置に送信するものである。なお、ここでは、受信者の端末装置には、管理サーバ２０にアクセスするための機能（受信者認証情報を含む暗号化ファイル認証要求を管理サーバ２０に対して送信する機能）や、管理サーバ２０から受信した復号鍵を用いて暗号化ファイルを復号化する機能が予めさなえられているものとする。これらの機能は、予めインストールされた所定のアプリケーションプログラムを実行することによって実現される。また、受信者認証手段２１３により利用者認証情報が不一致であると判断された場合には、受信者が正当な受信者ではないと判断され、復号鍵送信手段２１４は、復号鍵の送信に代わって、受信者の端末装置に対するエラー通知を行なうようになっている。

図２は本実施形態における個人情報探索手段の機能構成の第１例（符号２０９参照）を示すブロック図で、この図２に示すように、個人情報探索手段２０９は、検疫テーブル２２４を有するとともに、抽出手段２２１，計数手段２２２および判定手段２２３としての機能を有しており、これらの機能は、ＣＰＵ（図示略）が個人情報探索プログラムを実行することによって実現される。なお、検疫テーブル２２４は、上記個人情報探索プログラムに含まれるもので、個人情報ファイルを判定するための基準となる各種情報を保持している。

ここで、抽出手段２２１は、探索対象である電子メールに添付される電子ファイル（以下、探索対象という）や電子メールの本文を抽出してテキストファイルにするテキスト抽出エンジンとして機能するものである。
計数手段２２２は、探索対象に含まれる文字もしくは文字列と、個人情報において特徴的に出現する文字もしくは文字列として検疫ファイル２２４に予め設定された特徴文字もしくは特徴文字列とを照合し、前記特徴文字もしくは前記特徴文字列が当該ファイルにおいて出現する回数を計数するものである。なお、検疫ファイル２２４の具体例を図８に示し、計数手段２２２の動作については、この図８を参照しながら後述する。

判定手段２２３は、計数手段２２２による計数結果（計数値，判定値）に基づいて、当該ファイルが個人情報ファイルであるか否かを判定するとともに、本実施形態では、その計数結果に基づいて、探索対象のＰマーク（プライバシレベルマーク；個人情報ファイルである可能性の高さを示すレベルで、後述する判定値によって決定されるレベル）を決定し、そのＰマークに基づいて探索対象が個人情報ファイルに相当するものであるか否かを判定し、その判定結果を判定手段２０８やフラグ付与手段２１０に出力するものである。Ｐマークの詳細説明については、図３に示す第２判定手段１３６の機能説明と併せて行なう。

図３は本実施形態における個人情報探索手段の機能構成の第２例（符号２０９Ａ参照）を示すブロック図で、この図３に示すように、個人情報探索手段２０９Ａは、検疫テーブル２３７を有するとともに、抽出手段２３１，切出手段２３２，第１判定手段２３３，文字判定手段２３４，照合手段２３５および第２判定手段２３６としての機能を有しており、これらの機能も、ＣＰＵが個人情報探索プログラムを実行することで実現される。なお、検疫テーブル２３７も、上記個人情報探索プログラムに含まれるもので、個人情報ファイルを判定するための基準となる各種情報を保持している。

ここで、第１判定手段２３３，文字判定手段２３４，照合手段２３５および第２判定手段２３６が、個人情報ファイル判定手段として機能する。本実施形態の個人情報ファイル判定手段は、後述するごとく、切出手段１３２によって後述するごとく切り出された文字区間における文字列が個人情報要素であるか否かを判定し、個人情報要素であると判定された文字列の数（計数結果）に基づいて探索対象が個人情報ファイルに相当するものであるか否かを判定するものである。

抽出手段２３１は、探索対象のテキストデータ〔例えばＣＳＶ（Comma Separated Value）形式のデータ〕を抽出し、ファイルバッファ（図示略）に格納するもので、前記テキ
スト抽出エンジンとして機能するものである。なお、上記ファイルバッファには、２バイトコード文字（全角文字）がファイルバッファの終端で欠けないように取り込まれる。また、切出手段２３２によってファイルバッファから後述するデータ整形用バッファ（図示略）へデータが切り出されて取り込まれると、その分だけデータが上記ファイルバッファに取り込まれるようになっている。

切出手段２３２は、抽出手段２３１によって抽出されたテキストデータから、所定の区切り位置で区切られた文字区間を切り出して、判定対象／照合対象として後述するバッファ（図示略）に順次書き出すものである。
ここで、上記所定の区切り位置としては、予め設定された区切り文字の出現位置、もしくは、１バイトコード文字と２バイトコード文字との境界位置（半角文字／ＡＳＣＩＩ文字のあとに全角文字が続く部分もしくは全角文字のあとに半角文字／ＡＳＣＩＩ文字が続く部分）、もしくは、全角算用数字「０」〜「９」と全角算用数字およびハイフンを除く文字との境界位置が含まれている。また、区切り文字は、データの区切りであるデリミタ（delimiter）、具体的には、半角スペース，半角カンマ（半角カンマ＋半角スペースも
半角カンマと見なす），タブ文字（半角），ＣＲ（Carrige Return），ＬＦ（Line Feed
）のほか、「：（コロン）」，「；（セミコロン）」，「＞」，「｝」，「］」とする。

切出手段２３２は、ファイルバッファからテキストデータをデータ整形用バッファへ１文字ずつ切り出して取り込み、上述した区切り位置が出現すると、その区切り位置で取り込みを終了する。このときも２バイトコード文字（全角文字）がデータ整形用バッファの終端で欠けないようにデータ取込みを行なう。これにより、本実施形態では、例えば「佐藤太郎09012341234東京都港区」や「佐藤太郎sato@xxxx.com東京都港区」のごとく全角文字で記載された住所や氏名などと半角文字で記載された電話番号や電子メールアドレスなどの文字列とがテキストデータにおいて区切り文字によって区切られることなく混在する場合や、例えば「佐藤太郎０９０１２３４１２３４東京都港区」のごとく全角文字で記載された住所や氏名などと全角文字で記載された電話番号などの数字列とがテキストデータにおいて区切り文字によって区切られることなく混在する場合であっても、住所，氏名，電話番号，電子メールアドレスなどの個人情報要素毎に文字区間「佐藤太郎」，「09012341234」，「東京都港区」，「sato@xxxx.com」，「０９０１２３４１２３４」を切り出すことが可能になる。

このようにデータ整形用バッファに取り込まれたデータ（判定対象の文字区間）は、データ整形用バッファからデータ解析用バッファ（図示略）へ取り込まれるが、その際、その文字区間からは、英数文字，カタカナ，ひらがな，漢字以外の記号等が取り除かれる。このとき除去されるもの（不要文字）としては、例えば、半角スペース，全角スペースのほか、半角ハイフン，全角ハイフン，アンダバー，括弧記号，！，＃，＄，％，＝，＋，＊，？，￥，／，｜などの記号文字が定義される。本実施形態では、切出手段１１２が、上述のような不要文字を除去する機能を有しているものとする。

第１判定手段２３３は、上記データ解析用バッファに取り込まれた文字列、つまり、切出手段１３２によって切り出され不要文字を除去された文字区間における文字列（以下、単に文字列という）が、氏名以外の個人情報要素（具体的に本実施形態では電話番号，電子メールアドレス，住所のうちのいずれか一つ）に該当するか否かを判定すべく、電話番号判定手段２３３ａ，電子メールアドレス判定手段２３３ｂおよび住所判定手段２３３ｃとしての機能をそなえている。なお、本実施形態の第１判定手段２３３では、判定処理の負荷の軽いものから順に、つまり電話番号，電子メールアドレス，住所の順で、上記文字列の判定処理を行なっている。また、第１判定手段２３３は、上記データ解析用バッファに取り込まれたデータのサイズをチェックし、そのサイズが３バイト以下の場合、そのデータを個人情報と判断せず、判定処理を行なわないようにしてもよい。

電話番号判定手段２３３ａは、上記文字列が電話番号に該当するか否かを判定するもので、上記文字列が検疫テーブル２３７に設定されている電話番号判定条件を満たす場合、上記文字列が電話番号に該当するものと判定し、その旨を第２判定手段１３６に通知し、上記文字列に対する第１判定手段２３３による判定処理を終了させるものである。本実施形態において、電話番号判定条件は、上記文字列が９〜１１桁の半角数字もしくは全角数
字の連続であり、且つ、１文字目（先頭文字）が「０」で２文字目が「０」以外であることとする。

電子メールアドレス判定手段２３３ｂは、電話番号判定手段２３３ａによって上記文字列が電話番号に該当しないと判定された場合に、上記文字列が電話メールアドレスに該当するか否かを判定するもので、上記文字列が検疫テーブル２３７に設定されている電子メールアドレス判定条件を満たす場合、上記文字列が電子メールアドレスに該当するものと判定し、その旨を第２判定手段２３６に通知し、上記文字列に対する第１判定手段２３３による判定処理を終了させるものである。

本実施形態において、電子メールアドレス判定条件は、上記文字列中に「一文字以上のＡＳＣＩＩ」＋「@（アットマーク）」＋「一文字以上のＡＳＣＩＩ」＋「．（ドット）
」＋「一文字以上のＡＳＣＩＩ」となる文字列が含まれており、且つ、当該文字列の最後の文字が半角の英字であることとする。この場合、最短の電子メールアドレスは例えば「a@a.a」となり、また、例えば「123@45.67」のごとく英字以外の文字（例えば数字）で終わるような文字列は電子メールアドレスでないと判定されることになる。なお、上記電子メールアドレス判定条件によれば、５バイトに満たないデータは電子メールアドレスの判定対象にならず、判定処理を行なわない。

住所判定手段２３３ｃは、電子メールアドレス判定手段２３３ｂによって上記文字列が電子メールアドレスに該当しないと判定された場合に、上記文字列が住所（居所）に該当するか否かを判定するもので、上記文字列が検疫テーブル２３７に設定されている住所判定条件を満たす場合、上記文字列が住所に該当するものと判定し、その旨を第２判定手段１３６に通知するものである。

本実施形態において、住所判定条件は、上記文字列中に「１文字以上１３文字以下の全角文字」＋「市」または「区」または「郡」＋「一文字以上の全角文字または半角文字」となる文字列が含まれており、且つ、当該文字列の先頭文字が日本全国における４７都道府県名もしくは市区郡名の頭文字と一致することとする。これにより、例えば「受入区分名」といった「区」を途中に含む文字列であるが住所とは全く関係の無い文字列を誤って住所として判定することがなくなる。このとき、ＣＰＵの演算処理能力が十分に高い場合には、上記文字列に加え、郵便番号に対応する７桁の数字が含まれていることを住所判定条件に加えてもよい。なお、上記住所判定条件によれば、５バイトに満たないデータは電子メールアドレスの判定対象にならず、判定処理を行なわない。

文字判定手段２３４は、第１判定手段２３３によって上記文字列が電話番号，電子メールアドレス，住所のうちのいずれにも該当しないと判定された場合に、その文字列が、検疫テーブル２３７に設定されている文字判定条件を満たすか否か、具体的には、上記文字列における文字の数が所定範囲内であり且つその文字列における文字が全て漢字であるか否か、さらに、上記文字列の先頭文字が、日本人に多い苗字上位所定数に属する苗字の頭文字と一致するか否かを判定するものである。

本実施形態において、文字判定条件は、上述したように、上記文字列における文字の数が所定範囲内であり且つその文字列における文字が全て漢字であることであるが、ここで、上記所定範囲は、氏名の文字数として一般的（適切）な数の範囲、例えば２以上６以下に設定される。より具体的には、文字判定手段２３４による判定条件は、上記文字列が、４バイト〜１２バイトの２バイトコード文字であり、且つ、0x889F〜0xEEECの範囲内のデータ（Shift-JISの漢字領域）であり、且つ、第２バイトは0x40〜0x7Eまたは0x80〜0xFC
（Shift-JISの仕様）であり、先頭文字が、日本人に多い苗字上位３０００個に属する苗
字の頭文字と一致することである。上位３０００個の苗字を対象とすることで、日本人の
８割以上を網羅することができる。

照合手段２３５は、第１判定手段２３３によって電話番号，電子メールアドレス，住所のうちのいずれにも該当しないと判定された文字区間であって、さらに文字判定手段２３４によって上記所定範囲内であり且つ全ての文字が漢字であると判定された文字区間について、当該文字区間に含まれる文字／文字列と氏名において出現し得ない文字／文字列として予め設定された不適切文字／不適切文字列とを照合することにより、当該文字区間が不適切文字／不適切文字列を含むか否かを判定し、その照合判定結果を第２判定手段１３６に通知するものである。

ここで、不適切文字／不適切文字列は、検疫テーブル２３７に予め設定されており、例えば、東京，大阪，名古屋，横浜，九州，北海道，京都，首都，個人，学園，店，株，県，大学，学院，東証，研究，管理，総務，経理，営業，統括，製薬，販売，学校，教育，専門，建築，機械，法人，工場，製，技術，商，図書，不明，次長，公開，出版，広告，放送，対象，卸売，小売，企画，人事，情報，部門，社長，取締，部長，課長，係長，役員，本社，支社，事業，業務，教務，精密，石油，運輸，経営，戦略，資材，技師，電気，生産，税務，広報，運送，主任，電算，財務，事務，開発，政策，制作，経済，産業，金融，銀行，調査，英語，品質，保証，設備，担当，主席，主事，監査，支援，設計，保険，金庫，事業，代表，交通，第一，第二，第三，第四，第五，第六，第七，第八，第九，特販，施設，氏名，郵便，名前，名称，市役，所属，特色，幼稚，基督，協会，教会，組合，教団，商工，全国，支部，連絡，議会，生活，消費，推進，市役所，区役所，総合，修正，機能，概要，構成，企業，組織，関連，削除，文書，期限，有効，整備といった、一般的な氏名において出現し得ない文字／文字列、つまり、氏名としては不適切な文字／文字列である。

第２判定手段２３６は、第１判定手段２３３における電話番号判定手段２３３ａ，電子メールアドレス判定手段２３３ｂおよび住所判定手段２３３ｃによる判定結果と照合手段２３５による照合判定結果とに基づいて、対象ファイルが個人情報ファイルであるか否かを判定するものである。

より具体的に説明すると、第２判定手段２３６は、電話番号判定手段２３３ａ，電子メールアドレス判定手段２３３ｂおよび住所判定手段２３３ｃからの判定結果の通知を受け電話番号，電子メールアドレス，住所のそれぞれに該当すると見なされた文字区間の数を計数するとともに、照合手段２３５からの照合判定結果を受け、照合手段２３５によって不適切文字／不適切文字列を含まないと判定された文字区間を氏名に該当するものと見なし、その数を計数する。

そして、第２判定手段２３６は、電話番号，電子メールアドレス，住所，氏名のそれぞれについての計数結果（４つの計数値；電話番号数，電子メールアドレス数，住所数，氏名数）に基づいて、これらの計数値が大きくなるほど大きくなる判定値を算出する。例えば、第２判定手段２３６は、４つの計数値の総和を上記判定値として算出してもよいし、電話番号，電子メールアドレス，住所，氏名のそれぞれについて重み係数を予め設定しておき、各個人情報要素についての重み係数と計数値との乗算結果の総和を上記判定値として算出してもよく、上記判定値の算出手法は種々考えられる。

上述のような判定値が算出されると、第２判定手段２３６は、その判定値に基づいて、判定対象ファイルが個人情報ファイルであるか否かを判定する。具体的には、前記判定値が所定閾値を超えた場合に判定対象ファイルが個人情報ファイルであると判定する。このような判定を行なう際に、第２判定手段２３６は、さらに、判定値の大きさに応じたＰマーク（プライベートレベルマーク）を、判定対象ファイルに付与して判定値とともに出力
し、ランク付けを行なう。このＰマークは、前述した通り、判定対象ファイルが個人情報ファイルである可能性の高さを示すレベルであり、判定値が大きいほどＰマークは高いランクに設定される。

例えば、前記判定値が１０以上となった場合、探索対象（添付対象の電子ファイルもしくは電子メールの本文）が個人情報ファイルに相当するものであると判定する。また、前記判定値が１０以上１００未満である場合、Ｐマークとして“Ｐ１”を付与し、前記判定値が１００以上１０００未満である場合、Ｐマークとして“Ｐ２”を付与し、前記判定値が１０００以上１００００未満である場合、Ｐマークとして“Ｐ３”を付与し、前記判定値が１００００以上である場合、Ｐマークとして“Ｐ４”を付与する。なお、個人情報ファイルを判定するための所定閾値やＰマークを決定するための基準値は、管理サーバ２０において適宜設定されるものとする。また、ここではＰマークを“Ｐ１”〜“Ｐ４”の４つにランク分けしているが、ランク分けの数はこれに限定されるものではない。

〔２〕本実施形態の管理システムの動作
次に、上述のごとく構成された本実施形態の管理システム１の動作について、図４〜図１１を参照しながら説明する。
まず、図４に示すフローチャート（ステップＳ１０〜Ｓ３０）に従って、本実施形態における携帯電話（端末装置）１０の動作を説明する。

携帯電話１０の利用者が、この携帯電話１０からイントラネット３０に対するリモートアクセス要求あるいは電子メール送信要求を行なうと、まず管理サーバ２０に対する接続要求が発生することになり、この接続要求が有ると（ステップＳ１０のＹＥＳルート）、携帯電話１０上で液晶画面における画面表示や音声通知などによって、利用者に対し所定の生体情報（例えば声，虹彩，顔の輪郭やパターンなど）の入力が要求される（ステップＳ１１）。その要求に応じて、利用者は、携帯電話１０のマイク１１やカメラ１２を用いて所定の生体情報を入力する。このとき、生体情報として声紋を要求される場合には、利用者はマイク１１を通じて自分の声を入力し、生体情報として虹彩を要求される場合には、利用者はカメラ１２を通じて自分の目の画像を入力し、生体情報として顔の輪郭やパターンを要求される場合には、利用者はカメラ１２を通じて自分の顔画像を入力することになる。

所定の生体情報が入力されると（ステップＳ１２のＹＥＳルート）、生体認証手段１５により、携帯電話１０のマイク１１やカメラ１２を通じて入力された認証用生体情報から生体特徴情報（特徴点情報）が抽出され、抽出された認証用生体特徴情報と、携帯電話１０の利用者について予め抽出されＳＩＭ／ＵＩＭチップ１３に登録されている登録生体情報（登録生体特徴情報）とが照合・比較され、携帯電話１０の利用者が登録者であるか否かが判定され、利用者の生体認証が行なわれる（ステップＳ１３）。なお、所定時間経過しても所定の生体情報が入力されない場合（ステップＳ１２のＮＯルートが所定時間継続した場合）、利用者に対するエラー通知を行なった後、ステップＳ１０に戻る。

生体認証手段１５による生体認証の結果は、ＳＩＭ／ＵＩＭチップ１３から読み出された端末識別情報（加入者／利用者識別情報），接続要求および当該接続要求の発行要因となった要求の種別（リモートアクセス要求／電子メール送信要求）とともに、送受信手段１４により、基地局５０およびネットワーク４０を介して管理サーバ２０に通知される（ステップＳ１４）。この後、携帯電話１０は、管理サーバ２０による仮想専用線（ＶＰＮ）の設定待ち状態となる。

そして、管理サーバ２０側において、図５〜図７を参照しながら後述するごとく、生体認証，端末認証，ソフトウエア認証および資産認証の全てについてＯＫ判定となった場合
には、管理サーバ２０により携帯電話１０と管理サーバ２０もしくはイントラネット３０との間にＶＰＮが設定され携帯電話１０と管理サーバ２０もしくはイントラネット３０との間が接続されると（ステップＳ１５のＹＥＳルート）、携帯電話１０は、接続先がイントラネット３０である場合（つまり接続要求の発行要因となった要求がイントラネット３０に対するリモートアクセス要求である場合；ステップＳ１７の“イントラネット”ルート）、イントラネット３０に対するリモートアクセスを開始することになり（ステップＳ１８）、また、接続先が管理サーバ２０である場合（つまり接続要求の発行要因となった要求が電子メール送信である場合；ステップＳ１７の“管理サーバ（電子メール送信）”ルート）、電子メールの送信を開始することになる（ステップＳ２７）。

一方、管理サーバ２０側において、生体認証，端末認証，ソフトウエア認証および資産認証のうちの一つでもＮＧ判定となった場合には、携帯電話１０と管理サーバ２０もしくはイントラネット３０との間にＶＰＮは設定されず（ステップＳ１５のＮＯルート）、携帯電話１０上で液晶画面における画面表示や音声通知などによって、ＶＰＮの設定を行なえなかった旨（リモートアクセス要求／電子メール送信要求が管理サーバ２０によって拒絶された旨）が利用者に対して通知されてから（ステップＳ１６）、ステップＳ１０に戻る。

ステップＳ１８で携帯電話１０によるイントラネット３０に対するリモートアクセスを開始した後には、常時、携帯電話１０とイントラネット３０との接続が継続されているか否かが認識され（ステップＳ１９）、その接続が継続されなくなった場合（ステップＳ１９のＮＯルート）、ステップＳ１０に戻る。その接続が継続されている場合（ステップＳ１９のＹＥＳルート）、リモートアクセスを開始してから所定周期（一定時間の自然数倍の時間）経過したか否かを判断し（ステップＳ２０）、所定周期経過していない場合（ステップＳ２０のＮＯルート）、ステップＳ１８に戻る。

所定周期経過した場合（ステップＳ２０のＹＥＳルート）、ステップＳ１１と同様、携帯電話１０上で液晶画面における画面表示や音声通知などによって、利用者に対し所定の生体情報の入力が要求される（ステップＳ２１）。その要求に応じて、利用者が、携帯電話１０のマイク１１やカメラ１２を用いて所定の生体情報を入力すると（ステップＳ２２のＹＥＳルート）、ステップＳ１３と同様、生体認証手段１５により、携帯電話１０のマイク１１やカメラ１２を通じて入力された認証用生体情報から生体特徴情報（特徴点情報）が抽出され、抽出された認証用生体特徴情報と、携帯電話１０の利用者について予め抽出されＳＩＭ／ＵＩＭチップ１３に登録されている登録生体情報（登録生体特徴情報）とが照合・比較され、携帯電話１０の利用者が登録者であるか否かが判定され、利用者の生体認証が行なわれる（ステップＳ２３）。なお、所定時間経過しても所定の生体情報が入力されない場合（ステップＳ２２のＮＯルートが所定時間継続した場合；図５のステップＳ４９のＹＥＳルートからステップＳ５０参照）、ＶＰＮの設定が解除されるとともに利用者に対するエラー通知を行なった後、ステップＳ１０に戻る。

生体認証手段１５による生体認証の結果は、送受信手段１４により基地局５０およびネットワーク４０を介して管理サーバ２０に通知される（ステップＳ２４）。この生体認証結果の通知に応じて、管理サーバ２０によってＶＰＮの設定が解除された場合（生体認証結果がＮＧであった場合；ステップＳ２５のＮＯルート；図５のステップＳ４７のＮＯルートからステップＳ５０参照）、利用者に対するエラー通知を行なった後、ステップＳ１０に戻る。一方、生体認証結果の通知に応じて、管理サーバ２０によってＶＰＮの設定が継続された場合（生体認証結果がＯＫであった場合；ステップＳ２５のＹＥＳルート；図５のステップＳ４７のＹＥＳルートからステップＳ４８参照）、ステップＳ１８に戻る。

このように、本実施形態では、携帯電話１０がイントラネット３０に接続されこのイン
トラネット３０とのリモートアクセス状態が継続されている間、携帯電話１０においてステップＳ２１〜Ｓ２５の処理が定期的（所定周期毎）に実行され、利用者が登録者ではないと判断された場合（生体認証結果がＮＧの場合）には直ちに携帯電話１０とイントラネット３０との間のＶＰＮの設定が解除されて切断されるようになっている。

ステップＳ２７で携帯電話１０から電子メールの送信が行なわれると、電子メール（本文および添付ファイルを含む）が管理サーバ２０へ送られる。そして、管理サーバ２０側において図６を参照しながら後述する手順で、当該電子メールの送信の許可／禁止が判定され、送信が許可され送信を完了すると、携帯電話１０は、管理サーバ２０から送信完了通知を受け（図６のステップＳ６４，Ｓ７４参照；ステップＳ２８の“送信完了”ルート）、その送信完了通知の内容が、携帯電話１０上で液晶画面における画面表示や音声通知などにより利用者に対し通知されてから（ステップＳ２９）、ステップＳ１０に戻る。一方、管理サーバ２０で電子メール（本文もしくは添付ファイル）の送信が禁止されると、携帯電話１０は、管理サーバ２０からエラー通知を受け（図６のステップＳ６７，Ｓ６９，Ｓ７６；ステップＳ２８の“エラー”ルート）、そのエラー通知の内容が、携帯電話１０上で液晶画面における画面表示や音声通知などにより利用者に対し通知されてから（ステップＳ３０）、ステップＳ１０に戻る。

次に、図５〜図７に示すフローチャート（ステップＳ３１〜Ｓ８２）に従って、本実施形態における管理サーバ（メールサーバ）２０の動作について説明する。
管理サーバ２０において、携帯電話１０や各種端末装置から接続要求を当該接続要求の発行要因となった要求の種別（リモートアクセス要求／電子メール送信要求／暗号化ファイル認証要求），生体認証結果および端末識別情報（加入者／利用者識別情報）とともに受けると（ステップＳ３１のＹＥＳルート）、生体認証結果を参照し、利用者が登録者ではない場合（生体認証結果がＮＧの場合；ステップＳ３２のＮＯルート）、仮想専用線（ＶＰＮ）の設定が拒否され、その旨が、送受信手段２０１によりネットワーク４０および基地局５０を通じて携帯電話１０に通知されてから（ステップＳ４１）、ステップＳ３１に戻る。

生体認証結果を参照し、利用者が登録者であることが認証された場合（生体認証結果がＯＫの場合；ステップＳ３２のＹＥＳルート）、端末認証手段２０３による端末認証が行なわれる（ステップＳ３３）。つまり、接続要求とともに携帯電話１０から通知された端末識別情報（加入者／利用者識別情報；ＳＩＭ／ＵＩＭチップ１３から読み出されたもの）をキーにしてデータベース２０２が検索され、その端末識別情報がデータベース２０２に登録されているか否かが判断される。その結果、端末識別情報がデータベース２０２に登録されていない場合（端末認証結果がＮＧの場合；ステップＳ３４のＮＯルート）、携帯電話１０が登録端末ではないと判断され、仮想専用線（ＶＰＮ）の設定が拒否され、その旨が、送受信手段２０１によりネットワーク４０および基地局５０を通じて携帯電話１０に通知されてから（ステップＳ４１）、ステップＳ３１に戻る。

端末識別情報がデータベース２０２に登録されている場合（端末認証結果がＯＫの場合；ステップＳ３４のＹＥＳルート）、携帯電話１０が登録端末であると判断され、ソフトウエア認証手段２０４によるソフトウエア認証が行なわれる（ステップＳ３５）。つまり、携帯電話１０にインストールされている全てのソフトウエア（ログイン時ソフトウエア）に関する情報が携帯電話１０から収集されるとともに、携帯電話１０が管理サーバ２０もしくはイントラネット３０に最後に接続されていた時にインストールされていた全てのソフトウエア（ログオフ時ソフトウエア）に関する情報がデータベース２０２から読み出され、これらのログイン時ソフトウエアとログオフ時ソフトウエアとの対照をとりこれらのソフトウエアが一致する否かが判定される。その結果、ログイン時ソフトウエアとログオフ時ソフトウエアとが一致していない場合（ソフトウエア認証結果がＮＧの場合；ステ
ップＳ３６のＮＯルート）、仮想専用線（ＶＰＮ）の設定が拒否され、その旨が、送受信手段２０１によりネットワーク４０および基地局５０を通じて携帯電話１０に通知されてから（ステップＳ４１）、ステップＳ３１に戻る。

ログイン時ソフトウエアとログオフ時ソフトウエアとが一致している場合（ソフトウエア認証結果がＯＫの場合；ステップＳ３６のＹＥＳルート）、資産認証手段２０５による試算認証が行なわれる（ステップＳ３７）。つまり、携帯電話１０から資産情報が収集され、収集された資産情報に基づいて携帯電話１０における資産が予め設定されたイントラネット接続条件を満たしているか否かが判定される。その結果、携帯電話１０における資産が予め設定された接続条件を満たしていない場合（資産認証結果がＮＧの場合；ステップＳ３８のＮＯルート）、より具体的には例えばセキュリティパッチ更新ソフトウエアにより最新のセキュリティパッチが携帯電話１０の基本ソフトウエアに適用されていない場合やウイルス対策ソフトウエアによりウイルス定義ファイルが最新のものに更新されていない場合、キュリティパッチの更新やウイルス定義ファイルの更新がメンテナンスとして実行される（ステップＳ３９）。

この後、そのメンテナンスによって携帯電話１０における資産が接続条件を満たしているか否かを判定し（ステップＳ４０）、満たしていない場合（ステップＳ４０のＮＯルート）、仮想専用線（ＶＰＮ）の設定が拒否拒否され、その旨が、送受信手段２０１によりネットワーク４０および基地局５０を通じて携帯電話１０に通知されてから（ステップＳ４１）、ステップＳ３１に戻る。

これに対し、ステップＳ３９のメンテナンスによって携帯電話１０における資産が接続条件を満たした場合（ステップＳ４０のＹＥＳルート）や、ステップＳ３８で携帯電話１０における資産が接続条件を満たしていると判定された場合（資産認証結果がＯＫの場合；ステップＳ３８のＹＥＳルート）、接続手段２０６は、当該接続要求の発行要因となった要求の種別（要求内容）がリモートアクセス要求／電子メール送信要求／暗号化ファイル認証要求のいずれであるかを判断する（ステップＳ４２）。

要求内容がイントラネット３０に対するリモートアクセス要求である場合（ステップＳ４２の“イントラネットアクセス”ルート）、接続手段２０６によって、携帯電話１０とイントラネット３０との間に仮想専用線（ＶＰＮ）が設定される（ステップＳ４２）。
ＶＰＮの設定後は、常時、携帯電話１０から切断要求があったか否かを判断し（ステップＳ４４）、切断要求があった場合（ステップＳ４４のＹＥＳルート）、接続手段２０６によって、携帯電話１０とイントラネット３０との間のＶＰＮの設定が解除され、携帯電話１０とイントラネット３０との間が切断されてから（ステップＳ４５）、ステップＳ３１に戻る。

切断要求がない場合（ステップＳ４４のＮＯルート）、携帯電話１０から定期的な生体認証結果の通知があったか否かを判断し（ステップＳ４６）、生体認証結果の通知があった場合（ステップＳ４６のＹＥＳルート）、その生体認証結果を参照し、利用者が登録者であることが認証された場合（生体認証結果がＯＫの場合；ステップＳ４７のＹＥＳルート）、ＶＰＮの設定が継続され（ステップＳ４８）、ステップＳ４４に戻る。また、生体認証結果を参照し、利用者が登録者ではない場合（生体認証結果がＮＧの場合；ステップＳ４７のＮＯルート）、ＶＰＮの設定が解除されるとともに、その旨（イントラネット接続拒否）が、送受信手段２０１によりネットワーク４０および基地局５０を通じて携帯電話１０に通知されてから（ステップＳ５０）、ステップＳ３１に戻る。

一方、携帯電話１０から定期的な生体認証結果の通知がない場合（ステップＳ４６のＮＯルート）、前回、定期的な生体認証結果の通知を受けてから所定時間だけ経過したか否
かを判断し（ステップＳ４９）、所定時間経過していない場合（ステップＳ４９のＮＯルート）には、ステップＳ４８へ移行しＶＰＮの設定が継続される。また、所定時間経過している場合（ステップＳ４９のＹＥＳルート）、ステップＳ５０へ移行し、ＶＰＮの設定が解除されるとともに、その旨（イントラネット接続拒否）が、送受信手段２０１によりネットワーク４０および基地局５０を通じて携帯電話１０に通知されてから、ステップＳ３１に戻る。

次に、図６に示すフローチャート（ステップＳ５１〜Ｓ７６）に従って、要求内容が電子メール送信要求である場合（図５のステップＳ４２の“電子メール送信”ルート）の管理サーバ２０の動作について説明する。この場合、まず、接続手段２０６によって、携帯電話１０と管理サーバ２０との間に仮想専用線（ＶＰＮ）が設定され（ステップＳ５１）、管理サーバ２０は、送信対象の電子メールを受信する。なお、この送信対象の電子メールは、携帯電話１０側で作成されたものであってもよいし、携帯電話１０と管理サーバ２０との間にＶＰＮを設定した後、携帯電話１０からの指示に応じてＷｅｂメール機能により管理サーバ２０側で作成されたものであってもよい。

送信対象の電子メールを受信／作成すると、電子メール管理手段２０７により、その電子メールに電子ファイル（添付ファイル）が添付されているか否かが判定され（ステップＳ５２）、添付されている場合（ステップＳ５２のＹＥＳルート）、判定手段２０８により、その添付ファイルにフラグ（個人情報ファイルに相当するものであることを示すフラグ）が設定・付与されているか否かが判定される（ステップＳ５３）。添付ファイルにフラグが設定されている場合（ステップＳ５３のＹＥＳルート）、ステップＳ５７へ移行する。

添付ファイルにフラグが設定されていない場合（ステップＳ５３のＮＯルート）、個人情報探索手段２０９／２０９Ａにより、図８〜図１１を参照しながら後述する手順で、当該添付ファイルが個人情報ファイルに相当するものであるか否かの判定（ファイル内探索）が実行され（ステップＳ５４）、そのファイル内探索の結果、当該添付ファイルが個人情報ファイルに相当すると判定された場合（つまり、添付ファイルが管理対象情報を含む管理対象であると判定された場合；ステップＳ５５のＹＥＳルート）、フラグ付与手段２１０により当該添付ファイルにフラグが設定・付与される（ステップＳ５６）。

この後、さらに、個人情報探索手段２０９／２０９Ａにより、図８〜図１１を参照しながら後述する手順で、電子メールの本文が個人情報ファイルに相当するものであるか否かの判定（本文内探索）が実行され（ステップＳ５７）、その本文内探索の結果、当該本文が個人情報ファイルに相当しないと判定された場合（ステップＳ５８のＮＯルート）、電子メール管理手段２０７は、当該電子メールの送信先が管理サーバ２０に予め登録された登録された宛先情報の中から指定されているか否かを判断する（ステップＳ５９）。

送信先が登録済みのものであれば（ステップＳ５９のＹＥＳルート）、当該電子メールの送信が許可される（ステップＳ６０）。つまり、添付ファイルが管理対象（個人情報ファイルに相当）であり且つ電子メール本文が個人情報ファイルに相当せず且つ送信先が管理サーバ２０に登録されている場合に、送信許可されるが、さらに、添付ファイルを、暗号化手段２１２により、ＰＤＦファイルに変換してから管理サーバ２０で管理される所定の暗号鍵で暗号化し（ステップＳ６１）、その暗号化ファイルを電子メールに添付してから（ステップＳ６２）、電子メール管理手段２０７（送受信手段２０１）により登録済み送信先に送信する（ステップＳ６３）。送信を完了すると、その旨が、通知手段２１１（送受信手段２０１）によりネットワーク４０および基地局５０を通じて携帯電話１０に通知された後（ステップＳ６４）、携帯電話１０と管理サーバ２０との間のＶＰＮの設定が解除され、携帯電話１０と管理サーバ２０との間が切断されてから（ステップＳ６５）、
図５のステップＳ３１に戻る。

また、ステップＳ５９において送信先が登録済みのものでないと判断された場合（ステップＳ５９のＮＯルート）、つまり添付ファイルが管理対象（個人情報ファイルに相当）であり且つ電子メール本文が個人情報ファイルに相当しないが、送信先が管理サーバ２０に登録されていない場合には、当該電子メールの送信が禁止され（ステップＳ６６）、その禁止理由を含むエラー通知が、通知手段２１１（送受信手段２０１）によりネットワーク４０および基地局５０を通じて携帯電話１０に通知された後（ステップＳ６７）、携帯電話１０と管理サーバ２０との間のＶＰＮの設定が解除され、携帯電話１０と管理サーバ２０との間が切断されてから（ステップＳ６５）、図５のステップＳ３１に戻る。

また、ステップＳ５８において電子メールの本文が個人情報ファイルに相当すると判定された場合（ステップＳ５８のＹＥＳルート）、つまり添付ファイルが管理対象（個人情報ファイルに相当）であり且つ電子メール本文も個人情報ファイルに相当する場合には、当該電子メールの送信が禁止され（ステップＳ６８）、その禁止理由を含むエラー通知が、通知手段２１１（送受信手段２０１）によりネットワーク４０および基地局５０を通じて携帯電話１０に通知された後（ステップＳ６９）、携帯電話１０と管理サーバ２０との間のＶＰＮの設定が解除され、携帯電話１０と管理サーバ２０との間が切断されてから（ステップＳ６５）、図５のステップＳ３１に戻る。なお、ステップＳ６９での通知に際しては、電子メールの本文は電子ファイルとして電子メールに添付すれば送信可能である旨も併せて通知される。

一方、ステップＳ５２で当該電子メールに電子ファイルが添付されていないと判定された場合（ステップＳ５２のＮＯルート）、もしくは、ステップＳ５５において添付ファイルが個人情報ファイルに相当しないと判定された場合（つまり、添付ファイルが管理対象情報を含まないと判定された場合；ステップＳ５５のＮＯルート）、ステップＳ５７と同様、個人情報探索手段２０９／２０９Ａにより、図８〜図１１を参照しながら後述する手順で、電子メールの本文が個人情報ファイルに相当するものであるか否かの判定（本文内探索）が実行され（ステップＳ７０）、その本文内探索の結果、当該本文が個人情報ファイルに相当しないと判定された場合（ステップＳ７１のＮＯルート）、当該電子メールの送信が許可される（ステップＳ７２）。つまり、電子ファイルが添付されておらず且つ電子メール本文が個人情報ファイルに相当しないと判定された電子メールや、電子ファイルは添付されているが個人情報ファイルに相当しないと判定され且つ電子メール本文が個人情報ファイルに相当しないと判定された電子メールは、そのまま送信が許可され、電子メール管理手段２０７（送受信手段２０１）により送信される（ステップＳ７３）。送信を完了すると、その旨が、通知手段２１１（送受信手段２０１）によりネットワーク４０および基地局５０を通じて携帯電話１０に通知された後（ステップＳ７４）、携帯電話１０と管理サーバ２０との間のＶＰＮの設定が解除され、携帯電話１０と管理サーバ２０との間が切断されてから（ステップＳ６５）、図５のステップＳ３１に戻る。

また、ステップＳ７１で電子メールの本文が個人情報ファイルに相当すると判定された場合（ステップＳ７１のＹＥＳルート）、つまり、電子ファイルが添付されておらず且つ電子メール本文が個人情報ファイルに相当すると判定された電子メールや、個人情報ファイルに相当しない電子ファイルを添付され且つ電子メール本文が個人情報ファイルに相当すると判定された電子メールは、いずれも送信が禁止され（ステップＳ７５）、その禁止理由を含むエラー通知が、通知手段２１１（送受信手段２０１）によりネットワーク４０および基地局５０を通じて携帯電話１０に通知された後（ステップＳ７６）、携帯電話１０と管理サーバ２０との間のＶＰＮの設定が解除され、携帯電話１０と管理サーバ２０との間が切断されてから（ステップＳ６５）、図５のステップＳ３１に戻る。なお、ステップＳ７６での通知に際しては、電子メールの本文は電子ファイルとして電子メールに添付
すれば送信可能である旨も併せて通知される。

次に、図７に示すフローチャート（ステップＳ７７〜Ｓ８２）に従って、暗号化ファイルを添付された電子メールの送信先である端末装置（受信者端末）からの要求内容が暗号化ファイル認証要求である場合（図５のステップＳ４２の“暗号化ファイル認証”ルート）の管理サーバ２０の動作について説明する。この場合、まず、接続手段２０６によって、受信者端末と管理サーバ２０との間に仮想専用線（ＶＰＮ）が設定され（ステップＳ７７）、その後、管理サーバ２０において、受信者端末から受信者認証情報（暗号化ファイルを解凍するための復号鍵の送信要求に対応する認証要求に含まれる）が受信され、受信された受信者認証情報に基づいて前記受信者が正当な受信者であるか否かの認証が実行される（ステップＳ７８）。

その際、受信者認証情報に含まれる利用者ＩＤに対応する装置ＩＤおよび利用者認証情報（パスワード，生体特徴情報）がデータベース２０２から読み出され、受信者認証手段２１３により、送信先の端末装置（受信者の端末装置）からの受信者認証情報に含まれる利用者認証情報（パスワード，生体特徴情報）とデータベース２０２から読み出された利用者認証情報とが比較される。

これらの認証情報が一致した場合に受信者が正当な受信者であることを認証し（ステップＳ７９のＹＥＳルート）、復号鍵送信手段２１４により、当該暗号化ファイルを復号化するための復号鍵が、当該受信者の端末装置に送信されてから（ステップＳ８０）、携帯電話１０と管理サーバ２０との間のＶＰＮの設定が解除され、当該者受信者の端末装置と管理サーバ２０との間が切断されてから（ステップＳ８１）、図５のステップＳ３１に戻る。復号鍵を受信した端末装置においては、その復号鍵を用いて暗号化ファイルが元の電子ファイルに復号化され、その電子ファイルに対するアクセス（閲覧等）が可能になる。

一方、認証情報が一致しない場合に受信者が正当な受信者ではないと判断し（ステップＳ７９のＮＯルート）、復号鍵送信手段２１４により、復号鍵の送信に代え、認証に失敗した旨が当該受信者の端末装置にエラー通知として通知されてから（ステップＳ８２）、携帯電話１０と管理サーバ２０との間のＶＰＮの設定が解除され、当該受信者の端末装置と管理サーバ２０との間が切断されてから（ステップＳ８１）、図５のステップＳ３１に戻る。

次に、図６のステップＳ５４，Ｓ５７，Ｓ７０において、図２に示す個人情報探索手段２０９によって行なわれる処理、つまり図２に示す個人情報探索手段２０９の動作（第１探索手法）について、図８〜図１０を参照しながら説明する。ここで、図８は図２に示す個人情報探索手段２０９において用いられる検疫テーブル２２４の具体例を示す図、図９はタイトルヘッダの具体例を示す図、図１０は図２に示す個人情報探索手段２０９の動作（第１探索手法）を説明するためのフローチャートである。

本実施形態の個人情報探索手段２０９では、以下のように、住所，電話番号，メールアドレス，氏名の出現頻度を数値化し、個人情報ファイルの特定を行なっている。
より具体的には、個人情報探索手段２０９の計数手段２２２によって、まず、判定対象ファイルに含まれる文字もしくは文字列と個人情報において特徴的に出現する文字／文字列として予め設定された特徴文字／特徴文字列とを照合し、特徴文字／特徴文字列が判定対象ファイルにおいて出現する回数を計数している。ただし、本実施形態では、文字列による照合・認識を行なうと処理部（ＣＰＵ）にかかる負荷が極めて大きくなるので、１文字ずつの照合・認識を行なうものとする。従って、検疫テーブル２２４には、図８を参照しながら後述するごとく、特徴文字が１文字ずつ設定されている。なお、処理部の演算処理能力が十分に高い場合には文字列による照合・認識を行なってもよい。

そして、判定対象ファイル（テキストファイル）から抽出された文字を、１文字ずつ、検疫テーブル２２４における特徴文字と照合し、これらが一致する場合には、その特徴文字が出現したものと判断して、その特徴文字のカウント値を“１”カウントアップする。このようにして対象ファイルに含まれる全ての文字における、特徴文字の出現回数を計数してから、その計数結果に基づいて個人情報ファイルの特定（対象ファイルが個人情報ファイルであるか否かの判定）を行なっている。

ここで、検疫テーブル２２４に予め設定される特徴文字について具体的に説明する。
一般的な個人情報では、通常、住所が必須となる。そこで、図８に示すように、日本国内の住所において特徴的に出現する文字を特徴文字として検疫テーブル１２４に設定登録しておく。例えば、住所情報には“都”，“道”，“府”，“県”，“市”，“区”，“町”，“村”，“郡”などが含まれている可能性が高く、“東京都”の場合、“東”，“京”の文字は通常文書中にも出現するが住所情報の場合、“都”と組合わせて出現することになるので、“都”の出現回数を住所数として見なすことが可能になる。同様に“府”や“県”や“道”も住所の見なし情報となるほか、“＠”についてはメールアドレスの見なし情報として用いることが可能になる。

図８に示す検疫テーブル２２４では、以下のような特徴文字およびポイントが設定されている。
(1)住所の見なし情報（特徴文字）として“東”，“京”，“都”，“大”，“阪”，
“府”，“北”，“海”，“道”が設定され、これらの特徴文字の計数値の合計が住所ポイント１として計数・算出される。

(2)住所の見なし情報（特徴文字）として、住所ポイント１以外の府県名、つまり“山
”，“形”，“神”，“奈”，“川”，“埼”，“玉”，…，“福”，“岡”，“県”などが設定され、これらの特徴文字の計数値の合計が住所ポイント２として計数・算出される。
(3)住所の見なし情報（特徴文字）として“市”，“区”，“町”，“村”，“郡”が
設定され、これらの特徴文字の計数値の合計が住所ポイント３として算出される。

(4)メールアドレスの見なし情報（特徴文字）として“＠”が設定され、この“＠”の
計数値がメールアドレスポイントとして用いられる。
(5)電話番号の見なし情報（特徴文字列）として、“Ｎ”（数字，ハイフンからなる所
定桁数の数字列）が設定され、その計数値が電話番号ポイントとして用いられる。より具体的には、電話番号は“090-XXXX-XXXX”，“03-XXXX-XXXX”，“048-XXX-XXXX”という
ように、携帯電話局番や市外局番に対応する特定の数字列“090”，“03”，“048”の後に８桁もしくは７桁の数字列が連続する構成となっており、このような数字列が出現した場合に電話番号ポイントを“１”カウントアップする。このとき、数字列中におけるハイフンの有無に関係なくカウントアップを行なう。

(6)氏名の見なし情報（特徴文字）として、例えば日本国内における苗字のベスト５０
に含まれる文字“佐”，“藤”，“田”，“中”，“高”，“橋”，…，“山”，“田”が設定され、これらの特徴文字の計数値の合計が氏名ポイントとして算出される。
(7)検疫合計ポイントとして、上述した項目(1)〜(6)の各ポイントの合計値が計数・算
出される。
ここで、図８中において、「」には、各特徴文字の出現回数を示す計数値、もしくは、各ポイント（出現回数の合計値）が書き込まれ、最大、例えば１千万程度まで計数可能になっている。

また、上述のような検疫テーブル２２４を用いて得られた計数結果（出現回数）に基づいて各都道府県名の出現率を算出する際に、重複文字が存在する場合の取扱について説明する。例えば“東京都”と“京都府”とがテキストファイルに混在する場合、“都”が重複するため、“都”の計数値には“東京都”の計数値に“京都府”のカウントが混ざることになる。“京都府”の“府”は“大阪府”の“府”と重複するので、まず“大阪”の出現率を算定し、その出現率を“府”の出現率から減算すれば、“京都府”の出現率を予測することが可能になる。このようにして予測された“京都府”の出現率を“都”の出現率から減算することにより、“東京都”の出現率とすることができる。また、県名と市名とが重複するような場合（例えば大阪府大阪市）、“大阪”の出現率が２倍になるが、郵政省管理で公開されている日本の住所録に基づいて都道府県名別の重複率を算定し、算定された重複率に基づいて出現率の調整を行なうことにより、実際の出現率を推定することが可能である。

さらに、都道府県表示が無い場合の取扱について説明する。データファイルにおいて、都道府県名について図９に示すようなタイトルヘッダを用いる場合や、政令指定都市の住所表示や郵便番号を使用した住所表示では、“都”，“道”，“府”，“県”の出現率が極端に低下することになる。その代わり県名等の名称出現率が高くなるので、名称出現率から、データファイルが住所情報を含む個人情報ファイルであることの特定を行なうことが可能になる。

なお、上述した検疫テーブル２２４では、住所，メールアドレス，電話番号，氏名において特徴的に出現する文字／文字列を特徴文字／特徴文字列として設定しているが、本発明は、これらに限定されるものでなく、生年月日，役職名，個人識別情報（例えば、住民基本台帳番号，口座番号，クレジットカード番号，免許証番号，パスポート番号など）において特徴的に出現する文字／文字列を特徴文字／特徴文字列として設定してもよい。

そして、個人情報探索手段２０９の判定手段２２３によって、上述した検疫テーブル２２４を用いて得られた計数結果に基づき、判定対象ファイルが個人情報ファイルである度合いを示す判定値が算出される。その判定値としては、(a)検疫テーブル２２４の検疫合
計ポイント（上記項目(7)参照）の値をそのまま用いてもよいし、(b)特徴文字／特徴文字列の出現率が高いほど大きくなる判定ポイントを前記判定値として算出してもよいし、(c)特徴文字／特徴文字列毎に得られた計数結果に基づいて判定対象ファイルにおける特徴
文字／特徴文字列の出現パターンを求め、求められた出現パターンと特徴文字／特徴文字列の出現パターンとして予め設定された特徴出現パターンとの一致の度合いを示す一致度を前記判定値として算出してもよいし、(d)これら３種類の判定値のうちの２以上を組み
合わせ、２以上の判定値を所定関数に代入して算出された値を前記判定値として用いてもよい。

このとき、判定対象ファイルに複数種類の情報（例えば住所，メールアドレス，電話番号，氏名の４種類）に係る特徴文字／特徴文字列が存在している場合、判定対象ファイル中に１種類の情報に係る特徴文字／特徴文字列が存在している場合よりも、前記判定値が大きくなるように、計数結果に対する重み付けを行なう。つまり、判定対象ファイル中に、個人を特定しうる複数種類の情報が含まれている場合には、その判定対象ファイルが個人情報ファイルである可能性は、個人を特定しうる情報が１種類だけ含まれている場合よりも高いと考えられるので、その判定対象ファイルについての判定値（重要度）が大きくなるように重み付けを行なう。また、その情報の種類数が多いほど、判定値が大きくなるように重み付けを行なうようにしてもよい。これにより、より確実に個人情報ファイルを特定することが可能になる。

上述のような判定値が算出されると、個人情報探索手段２０９の判定手段２２３によっ
て、その判定値に基づいて、判定対象ファイルが個人情報ファイルであるか否かを判定する。例えば、前記判定値が所定閾値を超えた場合に判定対象ファイルが個人情報ファイルであると判定する。このような判定を行なう際に、本実施形態では、前述した通り、判定値の大きさに応じたＰマーク（プライベートレベルマーク）を判定対象ファイルに付与してランク付けを行なっている。このＰマークは、前述した通り、判定対象ファイルが個人情報ファイルである可能性の高さを示すレベルであり、判定値が大きいほどＰマークは高いランクに設定される。

上述した個人情報探索手段２０９によって実行される個人情報探索（個人情報ファイル特定）の一連の手順を、図１０に示すフローチャート（ステップＳ９１〜Ｓ９５）に従って説明する。
図１０に示すように、管理サーバ２０の処理部（図示略）において、図６のステップＳ５４，Ｓ５７，Ｓ７０で個人情報探索プログラムが実行されると、探索対象の電子ファイルもしくは電子メールの本文が、抽出手段２２１（テキスト抽出エンジン）によりテキストファイルに変換される（ステップＳ９１）。

そして、テキストファイルから抽出された文字を、１文字ずつ、検疫テーブル２２４における特徴文字と照合し、これらが一致する場合には、その特徴文字が出現したものと判断して、計数手段２２２により、その特徴文字のカウント値を“１”カウントアップする（ステップＳ９２）。このようにして判定対象ファイルに含まれる全ての文字における、特徴文字の出現回数を計数してから、その計数結果に基づいて、判定手段２２３により、判定対象ファイルが個人情報ファイルである度合いを示す判定値（例えば上記項目(a)〜(d)参照）を算出する（ステップＳ９３）。

ステップＳ８３で算出された判定値に基づいて、上述したように、判定手段２２３により、検索対象が個人情報ファイルに相当するものであるか否かの判定を行なう（ステップＳ９４）。個人情報ファイルの判定結果は、判定手段２０８やフラグ付与手段２１０に通知される（ステップＳ９５）。

次に、図６のステップＳ５４，Ｓ５７，Ｓ７０において、図３に示す個人情報探索手段２０９Ａによって行なわれる処理、つまり図３に示す個人情報探索手段２０９Ａの動作（第２探索手法）について、図１１に示すフローチャート（ステップＳ１０１〜Ｓ１１５）に従って説明する。
図１１に示すように、管理サーバ２０の処理部（ＣＰＵ）において、図６のステップＳ５４，Ｓ５７，Ｓ７０で個人情報探索プログラムが実行されると、探索対象の電子ファイルもしくは電子メールの本文から抽出手段２３１によりテキストデータが抽出され、上記ファイルバッファに取り込まれる（ステップＳ１０１）。

このようにファイルバッファに取り込まれたテキストからは、切出手段２３２により、文字区間が、上述した所定の区切り位置で区切られて切り出され、判定対象／照合対象として上記データ整形用バッファを経由して上記データ解析用バッファに順次書き出される（ステップＳ１０２）。文字区間の切り出しに際し、前述したように、切出手段２３２により、文字区間からは、英数文字，カタカナ，ひらがな，漢字以外の不要文字、例えば半角スペース，全角スペースのほか、半角ハイフン，全角ハイフン，アンダバー，括弧記号，！，＃，＄，％，＝，＋，＊，？，￥，／，｜などの記号文字が除去される。

そして、切出手段２３２によって切り出され記号文字を除去された文字区間における文字列（以下、単に文字列という）が、電話番号，電子メールアドレス，住所のうちのいずれか一つに該当するか否かを、電話番号判定手段２３３ａ，電子メールアドレス判定手段２３３ｂおよび住所判定手段２３３ｃによって順次判定する（ステップＳ１０３，Ｓ１０
５，Ｓ１０７）。

まず、電話番号判定手段２３３ａにより、上記文字列が電話番号に該当するか否かが判定される（ステップＳ１０３）。その際、上記文字列が検疫テーブル２３７に設定されている電話番号判定条件を満たしていれば、つまり上記文字列が９〜１１桁の半角数字もしくは全角数字の連続であり、且つ、１文字目（先頭文字）が「０」で２文字目が「０」以外であれば、上記文字列が電話番号に該当するものと判定され（ステップＳ１０３のＹＥＳルート）、その旨が第２判定手段２３６に通知され、この第２判定手段２３６において、電話番号の出現回数に対応する計数値が１だけカウントアップされ（ステップＳ１０４）、ステップＳ１１２の処理へ移行する。

上記文字列が電話番号に該当しないと判定された場合（ステップＳ１０３のＮＯルート）、電子メールアドレス判定手段２３３ｂにより、上記文字列が電話メールアドレスに該当するか否かが判定される（ステップＳ１０５）。その際、上記文字列が検疫テーブル２３７に設定されている電子メールアドレス判定条件を満たしていれば、つまり上記文字列中に「一文字以上のＡＳＣＩＩ」＋「@（アットマーク）」＋「一文字以上のＡＳＣＩＩ
」＋「．（ドット）」＋「一文字以上のＡＳＣＩＩ」となる文字列が含まれており、且つ、当該文字列の最後の文字が半角の英字であれば、上記文字列が電子メールアドレスに該当するものと判定され（ステップＳ１０６のＹＥＳルート）、その旨が第２判定手段２３６に通知され、この第２判定手段２３６において、電子メールアドレスの出現回数に対応する計数値が１だけカウントアップされ（ステップＳ１０６）、ステップＳ１１２の処理へ移行する。

上記文字列が電子メールアドレスに該当しないと判定された場合（ステップＳ１０５のＮＯルート）、住所判定手段２３３ｃにより、上記文字列が住所（居所）に該当するか否かが判定される（ステップＳ１０７）。その際、上記文字列が検疫テーブル２３７に設定されている住所判定条件を満たしていれば、つまり上記文字列中に「１文字以上１３文字以下の全角文字」＋「市」または「区」または「郡」＋「一文字以上の全角文字または半角文字」となる文字列が含まれており、且つ、当該文字列の先頭文字が日本全国における４７都道府県名もしくは市区郡名の頭文字と一致していれば、上記文字列が住所に該当するものと判定され（ステップＳ６８のＹＥＳルート）、その旨が第２判定手段２３６に通知され、この第２判定手段２３６において、住所（居所）の出現回数に対応する計数値が１だけカウントアップされ（ステップＳ１０８）、ステップＳ１１２の処理へ移行する。

上記文字列が住所に該当しないと判定された場合（ステップＳ１０７のＮＯルート）、つまり第１判定手段２３３によって上記文字列が電話番号，電子メールアドレス，住所のうちのいずれにも該当しないと判定された場合、文字判定手段２３４により、その文字列が、検疫テーブル２３７に設定されている文字判定条件（文字数が２以上６以下であり且つ全ての文字が漢字であり且つ上記文字列の先頭文字が日本人に多い苗字上位所定数に属する苗字の頭文字と一致すること）を満たすか否かが判定される（ステップＳ１０９）。この文字判定条件を満たさない場合（ステップＳ１０９のＮＯルート）、ステップＳ１１２の処理へ移行する。

一方、この文字判定条件を満たす場合（ステップＳ１０９のＹＥＳルート）、照合手段２３５により、当該文字区間（上記文字列）に含まれる文字／文字列と検疫テーブル２３７に設定されている氏名についての不適切文字／不適切文字列とが照合され、当該文字区間に不適切文字／不適切文字列が含まれるか否かが判定される（ステップＳ１１０）。当該文字区間に、一つでも不適切文字／不適切文字列と一致する文字／文字列が存在した場合（ステップＳ１１０のＹＥＳルート）には、その時点で不適切文字／不適切文字列との照合処理を直ちに終了し、ステップＳ１１２の処理へ移行する。

また、当該文字区間に不適切文字／不適切文字列が含まれていない場合（ステップＳ１１０のＮＯルート）、その照合判定結果が第２判定手段１３６に通知され、この第２判定手段１３６において、当該文字区間が氏名に該当するものと見なされ、氏名の出現回数に対応する計数値が１だけカウントアップされ（ステップＳ１１１）、ステップＳ１１２の処理へ移行する。

ステップＳ１１２では、対象ファイルから抽出されたテキストデータから未だ切り出されていない文字区間の有無が判定され、有る場合（ＹＥＳルート）には、ステップＳ１０２に戻り、上述と同様の処理（ステップＳ１０２〜Ｓ１１１）を繰り返し実行する。このようにして全ての文字区間がテキストデータから切り出され全ての文字区間に対する判定処理，照合処理，計数処理等を終了すると（ステップＳ１１２のＮＯルート）、第２判定手段２３６において、電話番号，電子メールアドレス，住所，氏名のそれぞれについての計数値に基づいて、上述した判定値が算出される（ステップＳ１１３）。

そして、第２判定手段２３６においては、ステップＳ１１３で算出された判定値に基づいて、上述したように、探索対象が個人情報ファイルに相当するものであるか否かが判定される（ステップＳ１１４）。個人情報ファイルの判定結果は、判定手段２０８やフラグ付与手段２１０に通知される（ステップＳ１１５）。

〔３〕本実施形態の管理システムの効果
このように本発明の一実施形態としての管理システム１および管理サーバ２０によれば、送信対象の電子メールに添付される電子ファイルが個人情報ファイルに相当すると判定され且つ電子メールの本文が個人情報を含まない場合には、その電子メールの送信先が管理サーバ２０に登録された宛先情報の中から指定されていれば、企業等によって認められた送信先（社員や守秘契約者等）への送信であるものと判断され、電子データの送信が許可され、電子ファイルが暗号化ファイルに変換され暗号化ファイルとして電子メールに添付されて送信される。

一方、送信対象の電子メールに添付される電子ファイルが個人情報ファイルに相当すると判定され且つ電子メールの本文が個人情報を含まない場合に、その電子メールの送信先が管理サーバ２０に登録された宛先情報の中から指定されていなければ（例えば、携帯電話１０側において個人的に登録された宛先情報の中から指定された場合）、私用の送信であると判断され、当該電子メールの送信が禁止される。

また、送信対象の電子メールに電子ファイルが添付されない場合や送信対象の電子メールに添付される電子ファイルが個人情報を含まない場合には、電子メールの本文が個人情報を含まない場合に限り電子データの送信が許可され、電子ファイルの暗号化や送信先の制限を行なうことなく、そのまま送信され、送信先に関係なく、通常通り、電子メールは送信先に送信される。

従って、携帯電話１０から電子メール（電子データ）を送信する際に、個人情報（管理対象情報）を含む電子データについては送信先が制限され機密保護／漏洩防止を確実に実現しながら、個人情報を含まない電子データについては送信先の制限無く送信でき利便性が確保される。特に、私用の送信で個人情報を含む電子メールが送信されるのを確実に禁止でき、管理対象情報を含む電子データがむやみに私用で送信されて個人情報や機密情報が外部に漏洩するのを確実に防止することができ、セキュリティのさらなる強化をはかることができる。

このとき、本実施形態では、管理サーバ２０がメールサーバとして機能するものであっ
て且つ企業内等の電子メールシステムを構成するものであり、その管理サーバ２０に属する携帯電話１０（例えば企業が社員に貸与する携帯電話等）から電子メールにより電子データを送信する際、携帯電話１０は管理サーバ２０に接続され、その電子データは必ず管理サーバ（メールサーバ）２０を経由することになり、電子データに個人情報（管理対象情報）が含まれているか否かの判定を確実に行なうことができる。

また、送信対象の電子メールの本文が個人情報ファイルに相当すると判定された場合には、そのまま送信すると個人情報が外部に流出することになるので、送信先に係らず、当該電子メールの送信が禁止される。従って、電子ファイルだけでなく電子メールの本文によって個人情報（管理対象情報）が漏洩することを確実に防止することができる。さらに、本実施形態では、その本文は電子ファイルとして電子メールに添付すれば送信可能である旨が携帯電話１０に通知されるので、携帯電話１０の利用者は、状況を認識し、セキュリティを確保した状態で電子データを再送信することができる。

さらに、本実施形態の管理システム１において、個人情報ファイルに相当する電子ファイルには、その旨を示すフラグが付与されており、判定手段２０８によって、電子ファイルが個人情報ファイル相当のものであるか否かを、そのフラグによって極めて容易に判定することができる。この場合、管理サーバ２０が、フラグが付与されていない電子ファイルに対しては、個人情報探索手段２０９／２０９Ａにより、適宜、その電子ファイルにおける管理対象情報の探査を行ない、その探査結果に応じてフラグを当該電子ファイルに付与することにより、電子ファイルに管理対象情報が含まれている旨を示すフラグを確実に付与することできる。

また、管理サーバ２０では、個人情報ファイル相当の電子ファイルを送信する際に当該電子ファイルを暗号化し暗号化ファイルとして送信先に送信し、正当な受信者に対してのみ、その暗号化ファイルの復号鍵を提供するように構成するので、万一、送信先で暗号化ファイルが流出したとしても、暗号化ファイルは正当な利用者しか解凍して参照することができず、セキュリティのさらなる強化をはかることができる。

ところで、本実施形態の管理システム１および管理サーバ２０によれば、携帯電話１０が管理サーバ２０に対する接続要求を行なった際に携帯電話１０の通話機能（マイク１１やカメラ１２）により音声や画像として得られる、携帯電話１０の利用者についての認証用生体情報（例えば声紋，虹彩，顔の輪郭，顔のパターン等）に基づいて、生体認証手段１５により利用者の生体認証が行なわれるとともに、管理サーバ２０において、携帯電話１０のＳＩＭ／ＵＩＭチップ１３に保持されている端末識別情報（加入者／利用者識別情報）に基づいて、端末認証手段２０３により携帯電話１０の端末認証が行なわれ、利用者が登録者であることが認証され且つ携帯電話１０が登録端末であることが認証されると、接続手段２０６により、携帯電話１０と管理サーバ２０もしくはイントラネット３０との間に仮想専用線（ＶＰＮ）が設定される。

これにより、利用者の生体情報を得る生体センサを新たに追加して設けることなく、携帯電話１０が本来有している、音声や画像による通話機能（マイク１１やカメラ１２）を用いて取得される認証用生体情報を利用して利用者の生体認証が行なわれ、その生体認証の結果と、携帯電話１０に内蔵されたＳＩＭ／ＵＩＭチップ１３を利用して行なわれた端末認証の結果とに応じて、携帯電話１０と管理サーバ２０もしくはイントラネット３０との間のＶＰＮ設定制御が行なわれるので、携帯電話１０から管理サーバ２０やイントラネット３０にアクセスを行なう際のセキュリティを大幅に強化することができる。

このとき、携帯電話１０がイントラネット３０に接続されアクセスを行なっている期間中、生体認証手段１５によって定期的に生体認証を行ない、利用者が登録者ではないと判
断された場合には直ちに携帯電話１０とイントラネット３０との間を切断することにより、正当な利用者および正当な携帯電話１０によってイントラネット３０への接続が行なわれた後に、その携帯電話１０を登録者以外の利用者が使用しようとしても、生体認証により正当な利用者でないことが判明し、直ちにイントラネット３０との接続状態が切断状態に切り換えられる。従って、正当な利用者以外の利用者による不正利用を確実に防止することができ、セキュリティのさらなる強化をはかることができる。

上述した生体認証手段１５を、携帯電話１０にそなえ、認証用生体情報と、携帯電話１０のＳＩＭ／ＵＩＭチップ１３に予め登録されている登録生体情報とを照合・比較して利用者の生体認証を行ない、その生体認証の結果を管理サーバ２０に通知することにより、生体認証が携帯電話１０側で行なわれるので、管理サーバ２０側の負荷を大きくすることなく生体認証を考慮した管理・制御を行なうことができる。特に、生体認証を定期的に行なう場合に有効である。

また、本実施形態では、携帯電話１０から接続要求を受けると、ソフトウエア認証手段２０４により、携帯電話１０におけるログイン時ソフトウエアと携帯電話１０が管理サーバ２０もしくはイントラネット３０に最後に接続されていた時にインストールされていたログオフ時ソフトウエアとの対照をとりこれらのソフトウエアが一致する否かを判定するソフトウエア認証を行ない、これらのソフトウエアが完全に一致したことを条件に加えることで、万一、生体認証や端末認証に必要な情報がネット上で盗まれ、第三者が本来の端末とは異なる携帯端末を用いて成りすましによる不正な接続を行なおうとしても、その成りすまし携帯端末に保有されるソフトウエアと、盗まれた情報に対応する携帯端末についてのログオフ時ソフトウエアとが完全に一致することはほとんどありえず、成りすまし携帯端末の管理サーバ２０やイントラネット３０への接続を確実に拒絶することが可能になり、セキュリティ性能を大幅に向上させることができる。

さらに、携帯電話１０からリモートアクセス要求を受けると、資産認証手段２０５により、携帯電話１０における資産情報に基づいて携帯電話１０における資産が予め設定された接続条件を満たしているか否かを判定し、携帯端末の資産認証を行ない、携帯電話１０における資産がイントラネット接続条件（一定の基準）を満たしていることを条件に加えることで、一定の基準を満たす資産を保有する携帯電話１０のみが管理サーバ２０やイントラネット３０に接続されることになり、システム運用上の問題が生じたり問題のある好ましくないソフトウエアがシステム（イントラネット３０等）内に取り込まれたりするのを確実に防止することができる。

このとき、携帯電話１０の資産が接続条件を満たしていない場合、管理サーバ２０の接続手段２０６により、その資産が一定の基準を満たすように携帯電話１０における資産のメンテナンスが実行された後、携帯電話１０と管理サーバ２０もしくはイントラネット３０とを接続するように制御されるので、携帯電話１０の資産が一定の基準を満たしていないために管理サーバ２０もしくはイントラネット３０との接続を一旦拒否されても、携帯電話１０を、一定の基準を満たす状態にしてから、管理サーバ２０もしくはイントラネット３０に接続することができる。

また、携帯電話１０の基本ソフトウエアに最新のセキュリティパッチが適用されていない場合やウイルス定義ファイルが最新のものに更新されていない場合、セキュリティパッチやウイルス定義ファイルの更新を実行してから携帯電話１０と管理サーバ２０もしくはイントラネット３０との間をＶＰＮ設定状態に切り換えるように制御されるので、ウイルス対策ソフトウエアの更新や基本ソフトウエアのセキュリティホールの修復を実行していない危険な携帯電話１０（非セキュアな携帯端末）がイントラネット３０に接続されるのを確実に防止することができる。また、携帯電話１０が非セキュアであるとしてイントラ
ネット３０との接続を一旦拒否されても、携帯電話１０をセキュアな状態にしてからイントラネット３０に安全に接続することができる。

一方、図６のステップＳ５４，Ｓ５７，Ｓ７０における個人情報探索に際して、個人情報探索手段２０９としての機能を用いることにより、探索対象の添付ファイルや電子メール本文における特徴文字や特徴文字列の出現回数に基づいて、探索対象が個人情報ファイルに相当するものであるか否かを判定することができ、個人情報ファイルに相当する電子データを確実に探索して洗い出すことができる。

また、特定の個人を識別可能な個人情報要素を所定数以上保有している探索対象（添付ファイルやメール本文）を個人情報ファイルに相当するものとして判定する場合、本実施形態の個人情報探索手段２０９Ａとしての機能を用いることにより、第２判定手段２３６において、電話番号，電子メールアドレス，住所のいずれにも該当せず且つ不適切文字／不適切文字列を含む文字区間は、個人情報に関するものではないと見なされる一方、電話番号，電子メールアドレス，住所のいずれにも該当せず且つ不適切文字／不適切文字列を含まない文字区間は、氏名に関するものであると見なされる。

従って、第１判定手段２３３において電話番号，電子メールアドレス，住所のいずれか一つに該当すると判定された文字区間については、その判定がなされた時点で判定処理を終了し、電話番号，電子メールアドレス，住所のいずれにも該当しないと判定された文字区間についてのみ不適切文字／不適切文字列との照合処理が行なわれ、さらに、照合手段２３５において不適切文字／不適切文字列が一つでも文字区間に含まれると判定された時点で、その照合処理を終了させることができるので、氏名リストに含まれる全ての氏名文字列との照合を行なう手法に比べ、氏名の照合処理を高速に行なえ、つまりは個人情報ファイルの判定処理を高速に行なうことが可能になる。

このとき、第１判定手段２３３において、判定処理の負荷の軽いものから順に、つまり電話番号，電子メールアドレス，住所の順で文字区間における文字列の判定処理を行なうことで、判定処理をより高速に効率良く実行することが可能になる。
また、第２判定手段２３６において不適切文字／不適切文字列を含まない文字区間を全て氏名に該当するものと見なすので、氏名についての不適切文字／不適切文字列を含まない電子ファイル、即ち、氏名情報を含む可能性が高く個人情報ファイルである可能性の高い電子ファイルを確実に判定することが可能になる。つまり、個人情報ファイルである可能性の高いファイル（疑わしいファイル）を確実に洗い出すことができる。

さらに、本実施形態では、文字判定手段２３４により、文字区間の文字数が１以上６以下であって且つその文字区間の文字が全て漢字であるか否かを判定し、この文字判定条件を満たす文字区間のみを照合手段２３５による照合対象としているので、照合手段２３５による照合対象の文字区間が、より氏名の可能性の高い文字区間に絞り込まれることになり、氏名の照合精度を向上させることができるとともに、氏名の照合処理を高速に行なうことができる。また、文字数が６を超える長い文字区間が、照合手段２３５による照合対象から除外されるので、氏名の照合処理のさらなる高速化、つまりは個人情報ファイルの判定処理のさらなる高速化に寄与することになる。

特に、本実施形態の個人情報探査手段２０９Ａによれば、切出手段２３２によりテキストデータから判定対象の文字区間として切り出す際、テキストデータ内の要素が明確な区切り文字によって区切られていない場合であっても、１バイトコード文字と２バイトコード文字との境界位置つまり半角文字と全角文字との境界位置（半角文字のあとに全角文字が続く部分もしくは全角文字のあとに半角文字が続く部分）や、全角算用数字と全角算用数字およびハイフンを除く文字との境界位置で、テキストデータが区切られて文字区間と
して切り出されることになる。

これにより、全角文字で記載された住所や氏名などと半角文字で記載された電話番号や電子メールアドレスなどの文字列とがテキストデータにおいて区切り文字によって区切られることなく混在する場合や、全角文字で記載された住所や氏名などと全角文字で記載された電話番号などの数字列とがテキストデータにおいて区切り文字によって区切られることなく混在する場合であっても、住所，氏名，電話番号，電子メールアドレスなどの個人情報要素毎に文字区間を切り出すことができる。従って、住所，氏名，電話番号，電子メールアドレスなどの個人情報要素の判定を確実に行なえるようになり、個人情報ファイルを効率よく短時間で確実に判定することができる。

また、電子メールアドレス判定手段２３３ｂによる電子メールアドレス判定条件として、判定対象の文字区間における文字列に「一文字以上のＡＳＣＩＩ文字」＋「@（アット
マーク）」＋「一文字以上のＡＳＣＩＩ文字」＋「.（ドット）」＋「一文字以上のＡＳ
ＣＩＩ文字」となる文字列が含まれており、且つ、当該文字列の最後の文字が半角の英字であることを設定することにより、「@（アットマーク）」を単価や単位の表示に用いて
いる文字列であって、「@（アットマーク）」のあとに「一文字以上の半角数字」＋「.（ドット）」＋「一文字以上の半角数字」となる数字列（例えば「123@45.67」）を、電子
メールアドレスとして誤って判定することを確実に防止することができる。従って、電子メールアドレスなどの個人情報要素の判定を確実に行なえるようになり、個人情報ファイルを効率よく短時間で確実に判定することができる。

電子メールアドレスにおいて“@”以降の最後の「.（ドット）」以降の文字列は、現在のところ、必ず、例えば“com”，“net”，“jp”などの英字列になっている。また、“@”は、一般に、単価や単位の表示に用いられることが多々ある。例えば、ある物品の１
個当たりの値段や重さを表示する際、“@100.00”とか“@10.55”というように“@”を用いる場合がある。このため、電子メールアドレス判定条件が、単に判定対象の文字区間における文字列に「一文字以上のＡＳＣＩＩ文字」＋「@（アットマーク）」＋「一文字以
上のＡＳＣＩＩ文字」＋「.（ドット）」＋「一文字以上のＡＳＣＩＩ文字」となる文字
列が含まれていることとすると、上記のような“@100.00”や“@10.55”を含む文字列も
電子メールアドレスとして誤って認識してしまうことになるが、文字列の最後の文字が半角の英字であることを電子メールアドレス判定条件に追加することで、上述のような数字列“@100.00”や“@10.55”を含む文字列を電子メールアドレスとして誤認識するのを確
実に防止することができるのである。

さらに、住所判定手段２３３ｃによる住所判定条件として、判定対象の文字区間における文字列に「一文字以上の全角文字」＋「市」または「区」または「郡」＋「一文字以上の全角文字または半角文字」となる文字列が含まれていることに加え、判定対象の文字区間の先頭文字と４７都道府県名もしくは市区郡名の頭文字との一致をみることで、「市」，「区」，「郡」を途中に含む文字列であるが住所とは全く関係の無い文字列を誤って住所として判定することがなくなり、４７都道府県名もしくは市区郡名の完全一致を判定する場合に比べ極めて短時間で、住所としての確度の高い文字区間を効率よく確実に判定することができる。

またさらに、文字判定手段２３４による文字判定条件（氏名判定条件）に、判定対象の文字列の先頭文字が、日本人に多い苗字上位所定数（例えば上位３０００種類）に属する苗字の頭文字と一致することを追加することにより、苗字の完全一致を判定する場合に比べ極めて短時間で、氏名としての確度の高い文字区間を効率よく確実に判定することができる。

〔４〕その他
なお、本発明は上述した実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で種々変形して実施することができる。
例えば、本実施形態では、携帯電話１０が本来有している音声や画像による通話機能（マイク１１，カメラ１２など）を用いて、携帯電話１０の利用者についての認証用生体情報（例えば声紋，虹彩，顔の輪郭，顔のパターン等）を得る場合について説明したが、携帯電話１０に、その携帯電話１０におけるセキュリティを確保するための指紋センサ等の生体センサが予めそなえられている場合には、生体認証手段１５が、その生体センサを用いて取得された生体情報（指紋等）に基づいて生体認証を行なうように構成してもよく、この場合も、上述した実施形態と同様の作用効果を得ることができる。

また、上述した実施形態では、携帯端末が携帯電話である場合について説明したが、本発明は、これに限定されるものではなく、音声や画像による通話機能〔例えばＩＰ（Internet Protocol）電話機能〕を有する携帯端末、例えばＰＤＡ（Personal Digital Assistants）などであってもよい。
さらに、生体認証手段１５として携帯電話１０を機能させるアプリケーションプログラムを、コンピュータを管理サーバ２０として機能させる管理プログラム（後述）に含めておき、管理サーバ２０から各携帯電話１０にインストールするように構成してもよい。

また、上述した実施形態では、電子メールの添付ファイルや本文が個人情報ファイルに相当するものであるか否かを判定する場合について説明したが、本発明は、企業内等で守秘情報（守秘義務のある情報；例えば顧客情報や機密情報など）を含むファイルに相当するか否かを判定する場合にも上述と同様に適用され、上記実施形態と同様の作用効果を得ることができ、守秘情報の不用意な流出・漏洩や守秘情報の不正利用などを確実に防止することができる。その場合、不適切文字や不適切文字列としては、その守秘情報において出現し得ない文字もしくは文字列を設定することになる。

さらに、上述した実施形態では、氏名の判定条件に、氏名において出現し得ない漢字／漢字列として予め設定された不適切文字／不適切文字列を判定対象の文字区間に含まないことを設定しているが、住所判定条件にも、住所において出現し得ない漢字／漢字列として予め設定された不適切文字／不適切文字列を判定対象の文字区間に含まないことをさらに追加してもよい。

またさらに、上述した実施形態では、氏名以外の個人情報要素が、電話番号，電子メールアドレス，住所の３要素である場合について説明したが、本発明は、これに限定されるものでなく、氏名以外の個人情報要素としては、例えば、生年月日，住民基本台帳番号，口座番号，クレジットカード番号，免許証番号，パスポート番号などを用いてもよい。

そして、上述した生体認証手段１５，送受信手段２０１，端末認証手段２０３，ソフトウエア認証手段２０４，資産認証手段２０５，接続手段２０６，電子メール管理手段２０７，判定手段２０８，個人情報探索手段２０９／２０９Ａ，フラグ付与手段２１０，通知手段２１１，暗号化手段２１２，受信者認証手段２１３および復号鍵送信手段２１４としての機能（各手段の全部もしくは一部の機能）は、コンピュータ（ＣＰＵ，情報処理装置，各種端末を含む）が所定のアプリケーションプログラム（管理プログラム）を実行することによって実現される。

そのプログラムは、例えばフレキシブルディスク，ＣＤ（ＣＤ−ＲＯＭ，ＣＤ−Ｒ，ＣＤ−ＲＷなど），ＤＶＤ（ＤＶＤ−ＲＯＭ，ＤＶＤ−ＲＡＭ，ＤＶＤ−Ｒ，ＤＶＤ−ＲＷ，ＤＶＤ＋Ｒ，ＤＶＤ＋ＲＷなど）等のコンピュータ読取可能な記録媒体に記録された形態で提供される。この場合、コンピュータはその記録媒体から管理プログラムを読み取っ
て内部記憶装置または外部記憶装置に転送し格納して用いる。また、そのプログラムを、例えば磁気ディスク，光ディスク，光磁気ディスク等の記憶装置（記録媒体）に記録しておき、その記憶装置から通信回線を介してコンピュータに提供するようにしてもよい。

ここで、コンピュータとは、ハードウエアとＯＳ（オペレーティングシステム）とを含む概念であり、ＯＳの制御の下で動作するハードウエアを意味している。また、ＯＳが不要でアプリケーションプログラム単独でハードウェアを動作させるような場合には、そのハードウェア自体がコンピュータに相当する。ハードウエアは、少なくとも、ＣＰＵ等のマイクロプロセッサと、記録媒体に記録されたプログラムを読み取るための手段とをそなえている。上記管理プログラムとしてのアプリケーションプログラムは、上述のようなコンピュータに、生体認証手段１５，送受信手段２０１，端末認証手段２０３，ソフトウエア認証手段２０４，資産認証手段２０５，接続手段２０６，電子メール管理手段２０７，判定手段２０８，個人情報探索手段２０９／２０９Ａ，フラグ付与手段２１０，通知手段２１１，暗号化手段２１２，受信者認証手段２１３および復号鍵送信手段２１４としての機能を実現させるプログラムコードを含んでいる。また、その機能の一部は、アプリケーションプログラムではなくＯＳによって実現されてもよい。

さらに、本実施形態における記録媒体としては、上述したフレキシブルディスク，ＣＤ，ＤＶＤ，磁気ディスク，光ディスク，光磁気ディスクのほか、ＩＣカード，ＲＯＭカートリッジ，磁気テープ，パンチカード，コンピュータの内部記憶装置（ＲＡＭやＲＯＭなどのメモリ），外部記憶装置等や、バーコードなどの符号が印刷された印刷物等の、コンピュータ読取可能な種々の媒体を利用することもできる。

本発明の一実施形態としての管理システム（管理サーバおよび携帯電話）の構成を示すブロック図である。 本実施形態における個人情報探索手段の機能構成の第１例を示すブロック図である。 本実施形態における個人情報探索手段の機能構成の第２例を示すブロック図である。 本実施形態における携帯電話（端末装置）の動作を説明するためのフローチャートである。 本実施形態における管理サーバの動作（接続・認証動作およびイントラネット接続動作）を説明するためのフローチャートである。 本実施形態における管理サーバの動作（電子メール管理動作）を説明するためのフローチャートである。 本実施形態における管理サーバの動作（暗号化ファイル管理動作）を説明するためのフローチャートである。 図２に示す個人情報探索手段において用いられる検疫テーブルの具体例を示す図である。 タイトルヘッダの具体例を示す図である。 図２に示す個人情報探索手段の動作（第１探索手法）を説明するためのフローチャートである。 図３に示す個人情報探索手段の動作（第２探索手法）を説明するためのフローチャートである。

符号の説明

１ 管理システム
１０ 携帯電話（端末装置）
１１ マイク（音声通話機能）
１２ カメラ（テレビ電話機能）
１３ ＳＩＭ／ＵＩＭチップ（識別モジュール）
１４ 送受信手段
１５ 生体認証手段
２０ 管理サーバ（メールサーバ）
２０１ 送受信手段
２０２ データベース
２０３ 端末認証手段
２０４ ソフトウエア認証手段
２０５ 資産認証手段
２０６ 接続手段
２０７ 電子メール管理手段（制御手段）
２０８ 判定手段
２０９ 個人情報探索手段（探査手段）
２１０ フラグ付与手段
２１１ 通知手段
２１２ 暗号化手段
２１３ 受信者認証手段
２１４ 復号鍵送信手段
２２１ 抽出手段
２２２ 計数手段
２２３ 判定手段
２２４ 検疫テーブル
２３１ 抽出手段
２３２ 切出手段
２３３ 第１判定手段
２３３ａ 電話番号判定手段
２３３ｂ 電子メールアドレス判定手段
２３３ｃ 住所判定手段
２３４ 文字判定手段
２３５ 照合手段
２３６ 第２判定手段
２３７ 検疫テーブル
３０ イントラネット
４０ ネットワーク
５０ 基地局

Claims (9)

1. 電子データの送受信機能を有する端末装置と、
   該端末装置において前記電子データの送受信機能を利用する際に該端末装置と接続されて前記電子データおよび当該電子データの送受信を管理する管理サーバとをそなえ、
   該管理サーバは、
   該端末装置が前記電子データを送信する際に前記電子データに管理対象情報が含まれているか否かを判定する判定手段と、
   該判定手段により前記電子データに管理対象情報が含まれていると判定された場合には前記電子データの送信先が該管理サーバに登録された宛先情報の中から指定されていれば前記電子データの送信を許可する一方で前記電子データの送信先が該管理サーバに登録された宛先情報の中から指定されていなければ前記電子データの送信を禁止するように、前記電子データの送信を管理・制御する制御手段と、
   該判定手段により前記管理対象情報が含まれていると判定された前記電子データとしての電子ファイルを送信する際に当該電子ファイルを暗号化し暗号化ファイルとして前記送信先へ送信する暗号化手段と、
   該判定手段により前記管理対象情報が含まれていると判定された前記電子データとしての電子メールの本文は電子ファイルとして電子メールに添付すれば送信可能である旨を該端末装置に通知する通知手段とをそなえて構成されていることを特徴とする、管理システム。
2. 該管理サーバが、
   前記送信先における受信者が当該暗号化ファイルを開く際に前記送信先からの受信者認証情報に基づいて前記受信者が正当な受信者であるか否かを認証する受信者認証手段と、
   該受信者認証手段により前記受信者が正当な受信者であることが認証された場合に当該暗号化ファイルを復号化する復号鍵を前記送信先に送信する復号鍵送信手段とをさらにそなえて構成されていることを特徴とする、請求項１記載の管理システム。
3. 前記管理対象情報が含まれている前記電子データとしての電子ファイルに、前記管理対象情報が含まれている旨を示すフラグを付与するフラグ付与手段をさらにそなえ、
   該管理サーバの該判定手段が、前記電子ファイルにおける前記フラグの有無に基づいて前記電子ファイルに管理対象情報が含まれているか否かを判定することを特徴とする、請求項１または請求項２に記載の管理システム。
4. 該管理サーバが、該判定手段により前記電子ファイルに前記フラグが付与されていないと判定された場合に当該電子ファイルにおける管理対象情報を探査する探査手段をさらにそなえて構成され、
   該フラグ付与手段が、該探査手段による探査結果に応じて前記フラグを当該電子ファイルに付与することを特徴とする、請求項３に記載の管理システム。
5. 該管理サーバの該探査手段が、前記電子データとしての電子メールの本文における管理対象情報を探査し、
   該管理サーバの該判定手段が、該探査手段による探査結果に基づいて当該電子メールの本文に管理対象情報が含まれているか否かを判定し、
   該管理サーバの該制御手段が、該判定手段により当該電子メールの本文に前記管理対象情報が含まれていると判定された場合に当該電子メールの送信を禁止することを特徴とする、請求項４に記載の管理システム。
6. 該端末装置が、音声もしくは画像による通話機能を有するとともに端末識別情報を含む利用者情報を保持する識別モジュールを内蔵し、
   該端末装置と該管理サーバとを接続する際に該端末装置の通話機能により音声もしくは画像として得られる、該端末装置の利用者についての認証用生体情報に基づいて、該端末装置の利用者が登録者であるか否かを判定し、該利用者の生体認証を行なう生体認証手段をさらにそなえ、
   該管理サーバが、
   該端末装置から接続要求を受けると、該端末装置の該識別モジュールに保持されている前記端末識別情報に基づいて、該端末装置が登録端末であるか否かを判定し、該端末装置の端末認証を行なう端末認証手段と、
   該生体認証手段によって該利用者が登録者であることが認証され、且つ、該端末認証手段によって該端末装置が登録端末であることが認証された場合に、該端末装置と該管理サーバとの間に仮想専用線を設定し該端末装置と該管理サーバとの間を接続する接続する接続手段とをさらにそなえて構成されていることを特徴とする、請求項１〜請求項５のいずれか一項に記載の管理システム。
7. 該生体認証手段が、該端末装置にそなえられ、前記認証用生体情報と、該端末装置の該識別モジュールに予め登録されている登録生体情報とを照合して比較することにより、該利用者の生体認証を行ない、当該生体認証の結果を該管理サーバに通知することを特徴とする、請求項６に記載の管理システム。
8. 端末装置において電子データの送受信機能を利用する際に該端末装置と接続されて前記電子データおよび当該電子データの送受信を管理する管理サーバであって、
   該端末装置が前記電子データを送信する際に前記電子データに管理対象情報が含まれているか否かを判定する判定手段と、
   該判定手段により前記電子データに管理対象情報が含まれていると判定された場合には前記電子データの送信先が該管理サーバに登録された宛先情報の中から指定されていれば前記電子データの送信を許可する一方で前記電子データの送信先が該管理サーバに登録された宛先情報の中から指定されていなければ前記電子データの送信を禁止するように、前記電子データの送信を管理・制御する制御手段と、
   該判定手段により前記管理対象情報が含まれていると判定された前記電子データとしての電子ファイルを送信する際に当該電子ファイルを暗号化し暗号化ファイルとして前記送信先へ送信する暗号化手段と、
   該判定手段により前記管理対象情報が含まれていると判定された前記電子データとしての電子メールの本文は電子ファイルとして電子メールに添付すれば送信可能である旨を該端末装置に通知する通知手段とをそなえて構成されていることを特徴とする、管理サーバ。
9. 端末装置において電子データの送受信機能を利用する際に該端末装置と接続されて前記電子データおよび当該電子データの送受信を管理する管理サーバとして、コンピュータを機能させる管理プログラムであって、
   該端末装置が前記電子データを送信する際に前記電子データに管理対象情報が含まれているか否かを判定する判定手段、
   該判定手段により前記電子データに管理対象情報が含まれていると判定された場合には前記電子データの送信先が該管理サーバに登録された宛先情報の中から指定されていれば前記電子データの送信を許可する一方で前記電子データの送信先が該管理サーバに登録された宛先情報の中から指定されていなければ前記電子データの送信を禁止するように、前記電子データの送信を管理・制御する制御手段、
   該判定手段により前記管理対象情報が含まれていると判定された前記電子データとしての電子ファイルを送信する際に当該電子ファイルを暗号化し暗号化ファイルとして前記送信先へ送信する暗号化手段、および、
   該判定手段により前記管理対象情報が含まれていると判定された前記電子データとしての電子メールの本文は電子ファイルとして電子メールに添付すれば送信可能である旨を該端末装置に通知する通知手段として、該コンピュータを機能させることを特徴とする、管理プログラム。

Images