JP4012945B1 - 管理システムおよび管理プログラム - Google Patents

Abstract

【課題】電子ファイルの内容や所定プログラムの動作に伴って生成される情報が輸出規制対象国や地域などで利用者の知らないうちに流出・漏洩してしまうのを確実に防止する。
【解決手段】利用者端末１０において電子ファイルの開封要求や所定プログラムの起動要求が行なわれた時に、管理サーバ２０が、その時点での利用者端末１０の所在位置および利用者端末１０の動作環境を確認し、その所在位置が所定位置条件を満たし且つその動作環境が所定環境条件を満たしている場合、当該利用者端末１０での電子ファイルの開封や所定プログラムの起動を許可する。
【選択図】図１

Description

本発明は、パーソナルコンピュータ（ＰＣ）等の情報処理装置（利用者端末，サーバ等）に保有される電子ファイルに対するアクセスや情報処理装置の動作を管理する技術に関する。

近年、個人情報の保護の意識の高まりに伴い、個人情報の不用意な流出・漏洩や個人情報の不正利用などを確実に防止することが望まれている。特に、個人情報保護法の施行に伴って、個人情報取扱事業者は、個人情報の流出・漏洩や不正利用をより確実に防止する必要が生じている。ここで、個人情報とは、単体もしくは組合せによって特定の個人を識別することのできる情報で、例えば氏名，生年月日，連絡先（住所，居所，電話番号，電子メールアドレス等）などが含まれる。各種企業内で保存されて取り扱われる顧客情報，取引先情報などが個人情報に該当する場合が多い。

このような個人情報は、当然、企業にとっては秘匿性の高い機密情報に該当するが、企業にとっての機密情報としては、個人情報のほかにも、発表前の新製品，特許出願前の技術，経営戦略などに係る情報が該当する。なお、システム監査学会によれば、機密情報とは、情報資産の中で、許可した者以外に開示したり、目的外に利用された場合、経営資源としての価値を損なうおそれのある情報と定義されている。

上述のような個人情報や機密情報の流出・漏洩や不正利用を確実に防止するためには、集中管理システムを導入し、これらの個人情報や機密情報を一元的に管理することが望ましい。しかしながら、現実には、企業内において、顧客情報，取引先情報などの個人情報は、社員個人によって利用される複数の利用者端末〔パーソナルコンピュータ（以下、ＰＣと略記する場合がある）〕や各部署のサーバに、ばらばらに分散して保存されている場合が多い。より具体的には、個々の社員が各自の業務都合で自分のＰＣに個人情報（顧客情報等）を保存していたり、中央データベース、あるいは、各社員によって独自に収集された個人情報のサブセットがＰＣにまちまちに存在していたりする。

そこで、下記特許文献１では、特定の個人を識別可能な個人情報を含む電子ファイルを個人情報ファイルとして探索する技術、および、探索された個人情報ファイルを管理する技術が開示されている。この特許文献１においては、個人情報の探索結果に基づいて個人情報ファイルである可能性の高いファイルに対し４段階のＰマークが付与され、個人情報ファイルである可能性が極めて高いファイル（Ｐマークのランクが“Ｐ４”のファイル）を、ファイルアクセス管理サーバの管理下に置いている。つまり、そのファイルは、ファイルアクセス管理サーバによって管理される所定の暗号鍵で暗号化されるとともにアクセス権限（例えば閲覧権限等）を設定された上でやり取りされる。そして、利用者が暗号化ファイルの内容を閲覧しようとする場合、その利用者によってユーザ識別情報（ユーザＩＤ）およびパスワードが入力され、これらのユーザＩＤおよびパスワードに基づきファイルアクセス管理サーバにおいて利用者が正当な登録者であるか否かが判定され、正当な登録者であると判定されると復号鍵が利用者の端末へ送信され、その復号鍵を用いて暗号化ファイルが復号化されて元のファイルが復元され、利用者は閲覧等のアクセスを行なえるようになっている。
特許第３７０５４３９号公報

ところで、ドキュメント等の電子ファイルを取り扱う利用者端末（ＰＣ）は、どこへでも持ち運ぶことが可能であり、もちろん、輸出規制対象国〔例えばキャッチオール規制の対象とならないホワイト国（２００６年５月現在で２６カ国）以外の国〕や、利用者の所属する企業が許可しない国／地域に持ち込むことも可能である。そのような国や地域で、輸出規制対象の技術等に関するドキュメント等を含む電子ファイルを開いて閲覧したり、輸出規制対象の技術等に係るプログラムを起動して実行したりすることは、輸出規制対象の技術等が輸出規制対象国や地域で流出する機会を生じさせることになるため好ましくない。従って、予め規定された国や地域において、特定の電子ファイルの開封や特定のプログラムの起動を禁止できるようにすることが望まれている。

一方、ドキュメント等の電子ファイルを取り扱う利用者端末（ＰＣ）において、利用者は、各種ソフトウエアのインストール／アンインストールを行なったりインストールされている各種ソフトウエア（例えばスパイウエア対策ソフトウエア，セキュリティソフトウエア等）の動作設定の変更を行なったりすることにより、予め設定された動作環境を自ら変更することができる。また、インターネットアクセス時に利用者の意志に関係なくプラグインソフトウエアやスパイウエアなどが利用者端末にインストールされて、予め設定された動作環境が変更されてしまうこともある。

このように動作環境（セキュリティソフトウエアやセキュリティ設定）が変更された状態で、上記特許文献１のごとくアクセス権限設定と暗号化とで守られた電子ファイルがユーザＩＤおよびパスワードによる本人認証に応じて復号化されて開かれると、その瞬間を突く悪質なプログラムによるキャプチャなどにより、電子ファイルの内容を盗まれ、個人情報や機密情報の流出・漏洩や不正利用を招くおそれがある。このとき、その盗みの行為自体に利用者は気がつかないことが多い。

本発明は、このような課題に鑑み創案されたもので、利用者端末において電子ファイルを開封する直前や所定プログラムを起動する直前に、利用者端末の所在位置を確認するとともに、利用者端末の動作環境が電子ファイルを開封したり所定プログラムを起動したりしても安全な状態であるか否かを確認し、その所在位置が所定条件（例えば輸出規制対象国内ではない）を満たす場合であって、且つ、その動作環境が安全な状態である場合のみ、電子ファイルの開封や所定プログラムの起動を許可することにより、電子ファイルの内容や所定プログラムの動作に伴って生成される情報が、輸出規制対象国や地域などで利用者の知らないうちに流出・漏洩してしまうのを確実に防止することを目的としている。

上記目的を達成するために、本発明の管理システム（請求項１）は、利用者端末と、該利用者端末と通信可能に接続され、該利用者端末での電子ファイルに対するアクセスを管理する管理サーバとをそなえ、該利用者端末が、該利用者端末において利用者が前記電子ファイルを開封する際に当該電子ファイルの開封要求を入力する開封要求入力手段と、前記開封要求を該管理サーバに送信する開封要求送信手段と、該開封要求入力手段による開封要求の入力時における該利用者端末にインストールされているソフトウエア資源に関する情報を含む環境情報を収集する環境情報収集手段と、該環境情報収集手段によって収集された前記環境情報を該管理サーバに送信する環境情報送信手段とをそなえて構成されるとともに、該管理サーバが、該利用者端末から前記開封要求を受信する開封要求受信手段と、該利用者端末から前記環境情報を受信する環境情報受信手段と、該開封要求受信手段によって前記開封要求を受信した時点における該利用者端末の所在位置を検出する位置検出手段と、該位置検出手段によって検出された前記所在位置が予め定められた所定位置条件を満たしているか否かを判定する位置判定手段と、該環境情報受信手段によって受信された前記環境情報に基づいて、該利用者端末における動作環境が、前記電子ファイルの開封が可能な予め定められた所定環境条件を満たしているか否かを判定する環境判定手段と、該位置判定手段によって前記所在位置が前記所定位置条件を満たしていると判定され且つ該環境判定手段によって該利用者端末における前記動作環境が前記所定環境条件を満たしていると判定された場合に該利用者端末での前記電子ファイルの開封を許可する一方、前記所在位置が前記所定位置条件を満たしていないと判定された場合もしくは前記動作環境が前記所定環境条件を満たしていないと判定された場合に該利用者端末での前記電子ファイルの開封を禁止する開封許否手段とをそなえて構成され、該利用者端末の該環境情報収集手段が、該利用者端末の起動時に前記環境情報を収集するとともに、該利用者端末の起動後には前記環境情報の変更分を記録し、該利用者端末の該環境情報送信手段が、前記起動時に該環境情報収集手段によって収集された前記起動時の環境情報を該管理サーバに送信するとともに、該開封要求入力手段による開封要求の入力時もしくは該起動要求入力手段による起動要求の入力時には、該環境情報収集手段によって記録された、その開封要求の入力時もしくは起動要求の入力時における前記環境情報の変更分を該管理サーバに送信し、該管理サーバの該環境判定手段が、該環境情報受信手段によって受信された前記起動時の環境情報と前記開封要求の入力時もしくは前記起動要求の入力時の環境情報の変更分とに基づいて、前記開封要求の入力時もしくは前記起動要求の入力時の該利用者端末における前記動作環境が前記所定環境条件を満たしているか否かを判定する、ことを特徴としている。

このような管理システムにおいて、前記電子ファイルが、該管理サーバによって管理される所定の暗号鍵で暗号化された暗号化ファイルであり、該管理サーバの該開封許否手段が、該位置判定手段によって前記所在位置が前記所定位置条件を満たしていると判定され且つ該環境判定手段によって該利用者端末における前記動作環境が前記所定環境条件を満たしていると判定された場合に、前記暗号化ファイルを復号化する復号鍵を該利用者端末に送信する復号鍵送信手段として構成され、該利用者端末が、該管理サーバから送信された前記復号鍵を受信する復号鍵受信手段と、該復号鍵受信手段によって受信された前記復号鍵を用いて前記暗号化ファイルを復号化する復号化手段とをさらにそなえて構成されていてもよいし（請求項２）、該位置検出手段が、該開封要求受信手段によって前記開封要求を受信した時点における該利用者端末の接続環境から該利用者端末の所在国を前記所在位置として検出し、前記所定位置条件が、前記所在位置として検出された前記所在国が予め指定された所定の国であってもよい（請求項３）。

また、本発明の管理システム（請求項４）は、利用者端末と、該利用者端末と通信可能に接続され、該利用者端末の動作を制御して管理する管理サーバとをそなえ、該利用者端末が、該利用者端末において利用者が所定プログラムを起動する際に当該所定プログラムの起動要求を入力する起動要求入力手段と、前記起動要求を該管理サーバに送信する起動要求送信手段と、該起動要求入力手段による起動要求の入力時における該利用者端末にインストールされているソフトウエア資源に関する情報を含む環境情報を収集する環境情報収集手段と、該環境情報収集手段によって収集された前記環境情報を該管理サーバに送信する環境情報送信手段とをそなえて構成されるとともに、該管理サーバが、該利用者端末から前記起動要求を受信する起動要求受信手段と、該利用者端末から前記環境情報を受信する環境情報受信手段と、該起動要求受信手段によって前記起動要求を受信した時点における該利用者端末の所在位置を検出する位置検出手段と、該位置検出手段によって検出された前記所在位置が予め定められた所定位置条件を満たしているか否かを判定する位置判定手段と、該環境情報受信手段によって受信された前記環境情報に基づいて、該利用者端末における動作環境が、前記所定プログラムの起動が可能な予め定められた所定環境条件を満たしているか否かを判定する環境判定手段と、該位置判定手段によって前記所在位置が前記所定位置条件を満たしていると判定され且つ該環境判定手段によって該利用者端末における前記動作環境が前記所定環境条件を満たしていると判定された場合に該利用者端末での前記所定プログラムの起動を許可する一方、前記所在位置が前記所定位置条件を満たしていないと判定された場合もしくは前記動作環境が前記所定環境条件を満たしていないと判定された場合に該利用者端末での前記所定プログラムの起動を禁止する起動制御手段とをそなえて構成されていることを特徴としている。

このような管理システムにおいて、前記所定プログラムが、該管理サーバによって管理される所定の暗号鍵で暗号化された暗号化ファイルとして該利用者端末に保有されており、該管理サーバの該起動制御手段が、該位置判定手段によって前記所在位置が前記所定位置条件を満たしていると判定され且つ該環境判定手段によって該利用者端末における前記動作環境が前記所定環境条件を満たしていると判定された場合に、前記暗号化ファイルを復号化する復号鍵を該利用者端末に送信する復号鍵送信手段として構成され、該利用者端末が、該管理サーバから送信された前記復号鍵を受信する復号鍵受信手段と、該復号鍵受
信手段によって受信された前記復号鍵を用いて前記暗号化ファイルを復号化する復号化手段とをさらにそなえて構成されていてもよいし（請求項５）、該位置検出手段が、該起動要求受信手段によって前記起動要求を受信した時点における該利用者端末の接続環境から該利用者端末の所在国を前記所在位置として検出し、前記所定位置条件が、前記所在位置として検出された前記所在国が予め指定された所定の国であってもよい（請求項６）。

なお、上述のごとき請求項１〜請求項６の管理システムにおいて、該管理サーバが、該位置判定手段によって該利用者端末の前記所在位置が前記所定位置条件を満たしていないと判定された場合もしくは該環境判定手段によって該利用者端末における前記動作環境が前記所定条件を満たしていないと判定された場合に、その旨を該利用者端末の利用者もしくは管理者に対して通知する通知手段をさらにそなえて構成されていてもよい（請求項７）。
また、上述のごとき請求項４〜請求項６の管理システムにおいて、該利用者端末の該環境情報収集手段が、該利用者端末の起動時に前記環境情報を収集するとともに、該利用者端末の起動後には前記環境情報の変更分を記録し、該利用者端末の該環境情報送信手段が、前記起動時に該環境情報収集手段によって収集された前記起動時の環境情報を該管理サーバに送信するとともに、該開封要求入力手段による開封要求の入力時もしくは該起動要求入力手段による起動要求の入力時には、該環境情報収集手段によって記録された、その開封要求の入力時もしくは起動要求の入力時における前記環境情報の変更分を該管理サーバに送信し、該管理サーバの該環境判定手段が、該環境情報受信手段によって受信された前記起動時の環境情報と前記開封要求の入力時もしくは前記起動要求の入力時の環境情報の変更分とに基づいて、前記開封要求の入力時もしくは前記起動要求の入力時の該利用者端末における前記動作環境が前記所定環境条件を満たしているか否かを判定してもよい（請求項８）。
そして、上述のごとき請求項１〜請求項８の管理システムにおいて、前記環境情報が、該利用者端末にインストールされている全てのソフトウエアに関する情報であり、該管理サーバの該環境判定手段が、該環境情報受信手段によって前記環境情報として受信された前記ソフトウエアに関する情報に基づいて、該利用者端末にインストールされているソフトウエアが前記所定環境条件を満たしているか否かを判定してもよい（請求項９）。

一方、本発明の管理プログラム（請求項１０）は、上述したル管理システム（請求項１）を構築するためのプログラムであって、利用者端末としてのコンピュータを、上述した開封要求入力手段，開封要求送信手段，環境情報収集手段および環境情報送信手段として機能させるとともに、管理サーバとしてのコンピュータを、開封要求受信手段，環境情報受信手段，位置検出手段，位置判定手段，環境判定手段および開封許否手段として機能させることを特徴している。

また、本発明の管理プログラム（請求項１１）は、上述したル管理システム（請求項４）を構築するためのプログラムであって、利用者端末としてのコンピュータを、上述した起動要求入力手段，起動要求送信手段，環境情報収集手段および環境情報送信手段として機能させるとともに、管理サーバとしてのコンピュータを、起動要求受信手段，環境情報受信手段，位置検出手段，位置判定手段，環境判定手段および起動制御手段として機能させることを特徴している。

上述した本発明の管理システムおよび管理プログラムによれば、利用者端末において電子ファイルを開封もしくは所定プログラムを起動すべく利用者が電子ファイルの開封要求や所定プログラムの起動要求を入力すると、その要求入力時点での利用者端末における動作環境に関する環境情報（例えばソフトウエア資源に関する情報）が収集されて開封要求もしくは起動要求とともに管理サーバに送信され、この管理サーバにおいて、電子ファイルを開封する直前または所定プログラムを起動する直前に、利用者端末の所在位置（所在国）を検出・確認するとともに、利用者端末の動作環境が電子ファイルを開封したり所定プログラムを起動したりしても安全な状態であるか否か（所定環境条件を満たすか否か）
を確認し、その所在位置が所定位置条件を満たし、且つ、その動作環境が安全な状態である場合のみ、電子ファイルの開封や所定プログラムの起動を許可する。これにより、電子ファイルの内容や所定プログラムの動作に伴って生成される情報が、輸出規制対象国や地域などで利用者の知らないうちに流出・漏洩してしまうのを確実に防止することができる。

このとき、電子ファイルや所定プログラムを管理サーバによって管理される所定の暗号鍵で暗号化された暗号化ファイルとすれば、電子ファイルの開封許可／禁止の対応、もしくは、所定プログラムの起動許可／禁止は、復号鍵を利用者端末に送信するか否かの切換によって極めて容易に行なうことができる。

また、利用者端末の所在位置が所定位置条件を満たしていないと判定された場合にはその旨が利用者端末の利用者もしくは管理者に対して通知されるので、利用者は利用者端末の所在位置が不適切であることを認識し、その電子ファイル（所定プログラム）の利用について注意を払うことが可能になるほか、管理者は、利用者が不適切な場所で電子ファイルの開封（所定プログラムの起動）を行なおうとしたことを認識し、それに応じた対処（利用者に対する警告等）をとることが可能になる。

同様に、利用者端末における動作環境が所定環境条件を満たしていないと判定された場合にはその旨が利用者端末の利用者もしくは管理者に対して通知されるので、利用者や管理者は動作環境の不備等を認識してその不備等に対して直ちに対処をとることが可能になり、利用者端末の動作環境を、情報の流出・漏洩の起こらない、より安全な状態に改善することができる。

さらに、利用者端末の起動時に環境情報を収集して管理サーバに送信しておき、以後、利用者端末では環境情報の変更分のみを記録し、電子ファイルの開封要求入力時もしくは所定プログラムの起動要求入力時にその時点での環境情報の変更分を管理サーバに送信することにより、各要求の入力時に利用者端末の環境情報の全てを収集する必要がなく、また、各要求の入力時には環境情報の変更分を送信するだけでよく、環境情報の収集および送信を極めて効率よく行なうことができる。

以下、図面を参照して本発明の実施の形態を説明する。
〔１〕本実施形態の管理システムの構成
図１は本発明の一実施形態としての管理システムの構成を示すブロック図で、この図１に示すように、本実施形態の電子ファイル管理システム１は、複数の利用者端末１０と、各利用者端末１０での電子ファイルに対するアクセスを管理するとともに各利用者端末１０の動作（本実施形態では、後述する所定プログラムの起動）を制御して管理する管理サーバ２０とをそなえて構成され、各利用者端末１０と管理サーバ２０とはネットワーク３０を介して相互に通信可能に接続されている。ここで、ネットワーク３０は、社内ＬＡＮ（Local Area Network）のみならずインターネット，公衆回線網，基地局などを含み、全世界に亘るものである。

利用者端末１０は、利用者によって使用・携帯されるパーソナルコンピュータ等であり、この利用者端末１０の記憶部（ハードディスク等；図示略）には、本システム１（管理サーバ２０）の管理対象である電子ファイルが保有されている。
ここで、本システム１（管理サーバ２０）の管理対象である電子ファイルは、管理サーバ２０によって管理される所定の暗号鍵で暗号化されているものとする。より具体的に説明すると、管理対象の電子ファイルは、予め、完成文書ファイル〔ここでは改竄操作の困難なＰＤＦ（Portable Document Format）ファイル〕に変換され、さらに、そのＰＤＦフ
ァイルを管理サーバ２０によって管理される所定の暗号鍵で暗号化して作成された暗号化ファイルとして、利用者端末１０に保有されている。このように暗号化ファイルに変換する際に、その暗号化ファイル（管理対象の電子ファイル）に対するアクセス権限（例えば、閲覧，注釈，印刷，コピーのほか、ＰＤＦファイルに格納されたファイルの取出しや、取り出されたファイルの編集，添付などのアクセスの中から選択されたものを実行する権限）の設定が行なわれる。管理サーバ２０では、管理対象の電子ファイル（暗号化ファイル）を特定するファイル識別情報（ファイルＩＤ）と、そのファイルに対するアクセス権限を与えられた利用者を特定する利用者識別情報（利用者ＩＤ）と、その利用者について予め登録されたパスワード（指紋等の生体情報であってもよい）とが対応付けられ、記憶部（ハードディスク等；図示略）に保存される。

また、本システム１（管理サーバ２０）の管理対象である所定プログラムも、管理サーバ２０によって管理される所定の暗号鍵で暗号化されているものとする。より具体的に説明すると、管理対象の所定プログラムは、管理サーバ２０によって管理される所定の暗号鍵で暗号化された暗号化ファイルとして、利用者端末１０に保有されていてもよいし、ＰＤＦファイルのコンテナ機能を用いＰＤＦファイルに所定プログラムを添付・格納した状態でそのＰＤＦファイルを管理サーバ２０によって管理される所定の暗号鍵で暗号化して作成された暗号化ファイルとして、利用者端末１０に保有されていてもよい。この場合も、管理サーバ２０では、管理対象の所定プログラム（暗号化ファイル）を特定するファイル識別情報（ファイルＩＤ）と、そのファイルに対するアクセス権限を与えられた利用者を特定する利用者識別情報（利用者ＩＤ）と、その利用者について予め登録されたパスワード（指紋等の生体情報であってもよい）とが対応付けられ、記憶部（ハードディスク等；図示略）に保存されている。なお、管理対象の所定プログラムは、特定のアプリケーションプログラムであってもよいし、利用者端末１０のＯＳ（Operating System）であってもよい。

そして、本実施形態の利用者端末１０は、予めインストールされているプログラムをＣＰＵ（Central Processing Unit；図示略）で実行することにより、開封要求入力手段１
１，起動要求入力手段１２，環境情報収集手段１３，開封要求送信手段１４，起動要求送信手段１５，環境情報送信手段１６，復号鍵受信手段１７および復号化手段１８として機能するように構成されている。

開封要求入力手段１１は、利用者端末１０において利用者が管理対象の電子ファイルを開封する際に当該電子ファイルの開封要求を入力するもので、また、起動要求入力手段１２は、利用者端末１０において利用者が管理対象の所定プログラムを起動する際に当該所定プログラムの起動要求を入力するもので、これらの開封要求入力手段１１および起動要求入力手段１２は、共通の、例えばマウス等の入力インターフェイスデバイスによって構成されている。

環境情報収集手段１３は、開封要求入力手段１１によって管理対象の電子ファイルに対する開封要求が入力された時点もしくは起動要求入力手段１２によって管理対象の所定プログラムに対する起動要求が入力された時点での、利用者端末１０にインストールされているソフトウエア資源に関する情報を含む環境情報（資産情報／インベントリ情報／実行環境情報）を収集するものである。開封しようとしている電子ファイルあるいは起動しようとしている所定プログラムが管理対象であるか否かについては、その電子ファイルまたは所定プログラムが上述したような暗号化ファイルであるか否かに基づいて認識することができる。つまり、暗号化ファイルである場合には管理対象の電子ファイルまたは所定プログラムであると認識できる。

環境情報収集手段１３によって収集される環境情報には、管理サーバ２０（後述する環
境判定手段２６）での判定に際して必要な情報（例えば、利用者端末１０にインストールされている全てのソフトウエアに関する情報）が含まれていれば十分であるが、環境情報収集手段１３は、例えば、以下のような、利用者端末１０におけるハードウエア資源やソフトウエア資源に関する情報を収集することが可能である。

ハードウエア資源に関する情報としては、例えば、コンピュータ名／ＯＳ／ＣＰＵ／ＣＰＵスピード／キーボードタイプ／物理メモリ／利用可能メモリ／ビデオカード／解像度／プリンタ／スワップサイズ／ドメイン名／ログオンユーザ名／モデル名／ネットワークカード／ＭＡＣアドレス／ＩＰアドレス／ネットマスク／デフォルトゲートウェイ／ＤＮＳサーバ／ソケットバージョン／ローカルドライブ毎の総容量や空き容量／ＢＩＯＳバージョン／ＢＩＯＳメーカ／マシンメーカ／マシン名／マシンシリアルマシンＵＵＩＤ／マザーボードメーカ名／マザーボード名／ＣＰＵ ＩＤなどに関する情報が挙げられる。

ソフトウエア資源に関する情報としては、利用者端末１０に保有されているソフトウエア（各種アプリケーションプログラム）に関する情報（例えば、製品名，詳細バージョン，ファイルサイズ，ファイル更新日など）が挙げられる。ＯＳのセキュリティホールを修復するためのセキュリティパッチ更新ソフトウエア〔例えば“Windows (登録商標) Update”等〕を利用者端末１０が保有している場合には、セキュリティパッチの更新情報（最
新であるか否か）も収集される。また、ウイルス対策ソフトウエア〔例えば“Norton AntiVilus (登録商標)”等〕を利用者端末１０が保有している場合には、そのウイルス対策
ソフトウエアにおけるウイルス定義ファイルの更新情報（最新であるか否か）も収集される。さらに、セキュリティパッチ更新ソフトウエア，ウイルス対策ソフトウエア，スパイウエア対策ソフトウエア等のセキュリティソフトウエアを利用者端末１０が保有している場合には、その設定状況（セキュリティ設定；オン／オフ状態など）も収集される。

開封要求送信手段１４は、利用者端末１０において利用者が管理対象の電子ファイルを開封すべく開封要求入力手段１１から開封要求を利用者端末１０に入力すると、その電子ファイルの開封要求を、その電子ファイルのファイルＩＤとともに、ネットワーク３０を通じて管理サーバ２０に送信するものである。このとき、上述したように、開封しようとしている電子ファイルが管理対象の電子ファイルであるか否かは、その電子ファイルが上述したような暗号化ファイルであるか否かに基づいて認識することができる。つまり、開封対象の電子ファイルが暗号化ファイルである場合には管理対象の電子ファイルであると認識できる。

なお、本実施形態の利用者端末１０では、利用者が開封要求入力手段１１から開封要求を利用者端末１０に入力すると、開封要求送信手段１４が開封要求を送信するのに先立って、利用者端末１０のディスプレイ（図示略）を通じて利用者に対し利用者ＩＤおよびパスワード（もしくは生体情報）の入力が要求され、利用者は、その要求に応じ、キーボード等（図示略；生体情報については生体センサ）を用いて利用者ＩＤおよびパスワード（もしくは生体情報）を利用者認証情報として入力するようになっている。ここで、入力された利用者認証情報は、開封要求送信手段１４により、開封要求やファイルＩＤとともにネットワーク３０を通じて管理サーバ２０に送信されるようになっている。

起動要求送信手段１５は、利用者端末１０において利用者が管理対象の所定プログラムを起動すべく起動要求入力手段から起動要求を利用者端末１０に入力すると、その所定プログラムの起動要求を、その所定プログラムのファイルＩＤとともに、ネットワーク３０を通じて管理サーバ２０に送信するものである。このとき、上述したように、起動しようとしているプログラムが管理対象の所定プログラムであるか否かは、そのプログラムが上述したような暗号化ファイルであるか否かに基づいて認識することができる。つまり、起動対象のプログラムが暗号化ファイルである場合には管理対象の所定プログラムであると
認識できる。

この起動要求送信手段１５についても上述した開封要求送信手段１４と同様、利用者が起動要求入力手段１２から起動要求を利用者端末１０に入力すると、起動要求送信手段１５が起動要求を送信するのに先立ち、利用者端末１０のディスプレイ（図示略）を通じて利用者に対し利用者ＩＤおよびパスワード（もしくは生体情報）の入力が要求され、利用者は、その要求に応じ、キーボード等（図示略；生体情報については生体センサ）を用いて利用者ＩＤおよびパスワード（もしくは生体情報）を利用者認証情報として入力するようになっている。ここで、入力された利用者認証情報は、起動要求送信手段１５により、起動要求やファイルＩＤとともにネットワーク３０を通じて管理サーバ２０に送信されるようになっている。

環境情報送信手段１６は、上述のごとく環境情報収集手段１３によって収集された環境情報を、上述のごとく利用者によって入力された利用者認証情報（利用者ＩＤおよびパスワード／生体情報）や、開封対象の電子ファイルのファイルＩＤもしくは起動対象の所定プログラムのファイルＩＤとともに、ネットワーク３０を通じて管理サーバ２０に送信するものである。

このとき、開封要求送信手段１４と環境情報送信手段１６とを一体的に構成し、上述した開封要求および環境情報を、上述した利用者認証情報や開封対象の電子ファイルのファイルＩＤとともに、まとめて送信するように構成してもよい。同様に、起動要求送信手段１５と環境情報送信手段１６とを一体的に構成し、上述した起動要求および環境情報を、上述した利用者認証情報や起動対象の所定プログラムのファイルＩＤとともに、まとめて送信するように構成してもよい。

なお、環境情報収集手段１３による環境情報の収集動作および環境情報送信手段１６による環境情報の送信動作は、管理対象の電子ファイルの開封要求入力時もしくは管理対象の所定プログラムの起動要求入力時に全て行なってもよいが、以下のように行なってもよい。つまり、環境情報収集手段１３は、利用者端末１０の起動時（電源投入立ち上げ時）に環境情報を収集するとともに、利用者端末１０の起動後には環境情報の変更分のみを収集・記録するように構成し、環境情報送信手段１２は、利用者端末１０の起動時に、環境情報収集手段１１によって収集された起動時の環境情報を管理サーバ２０に送信し、開封要求入力手段１１による管理対象の電子ファイルに対する開封要求の入力時もしくは起動要求入力手段１２による管理対象の所定プログラムに対する起動要求の入力時に、環境情報収集手段１３によって起動後に収集・記録された、開封／起動直前（開封要求入力時／起動要求入力時）までの環境情報の変更分のみを管理サーバ２０に送信するように構成してもよい。この場合、利用者端末１０の起動時に管理サーバ２０に送信された環境情報は、管理サーバ２０において、例えば上記記憶部（データベース）において、利用者端末１０を特定する情報に対応付けられて保存されることになる。

復号鍵受信手段１７は、後述するごとく管理サーバ２０（位置判定手段２５，環境判定手段２６）において利用者が正当な利用者であることが認証され且つ利用者端末１０の所在位置が予め定められた所定位置条件を満たしていると判定され且つ前記環境情報（動作環境）が所定環境条件を満たしていると判定された場合に管理サーバ２０（開封許否手段２７もしくは起動制御手段２８）からネットワーク３０を通じて送信されてきた復号鍵（後述）を受信するものである。

ただし、利用者が正当な利用者ではないと判断された場合もしくは利用者端末１０の所在位置が予め定められた所定位置条件を満たしていないと判定された場合もしくは前記環境情報（動作環境）が所定環境条件を満たしていないと判定された場合、復号鍵受信手段
１７は、管理サーバ２０（通知手段２９）からネットワーク３０を通じて送信されてきたエラー通知を受信することになる。エラー通知を受信した場合には、利用者端末１０のディスプレイ等を通じ利用者に対するエラー通知が行なわれるように構成されている。
復号化手段１８は、復号鍵受信手段１７によって受信された復号鍵を用いて、管理対象の電子ファイル（暗号化ファイル）または管理対象の所定プログラム（暗号化ファイル）を復号化するものである。

また、本実施形態の管理サーバ２０は、予めインストールされているプログラムをＣＰＵ（Central Processing Unit；図示略）で実行することにより、開封要求受信手段２１
，起動要求受信手段２２，環境情報受信手段２３，位置検出手段２４，位置判定手段２５，環境判定手段２６，開封許否手段２７，起動制御手段２８および通知手段２９として機能するように構成されている。

開封要求受信手段２１は、利用者端末１０からネットワーク３０を通じて開封要求を、上述したファイルＩＤや利用者認証情報とともに受信するものである。
起動要求受信手段２２は、利用者端末１０からネットワーク３０を通じて起動要求を、上述したファイルＩＤや利用者認証情報とともに受信するものである。
環境情報受信手段２３は、利用者端末１０からネットワーク３０を通じて環境情報を、上述したファイルＩＤや利用者認証情報とともに受信するものである。

位置検出手段２４は、開封要求受信手段２１によって開封要求を受信した時点もしくは起動要求受信手段２２によって起動要求を受信した時点における利用者端末１０の所在位置を検出するものである。より具体的に、本実施形態において、位置検出手段２４は、開封要求受信手段２１によって開封要求を受信した時点もしくは起動要求受信手段２２によって起動要求を受信した時点における利用者端末１０の接続環境から利用者端末１０の所在国を前記所在位置として検出するものである。位置検出手段２３は、利用者端末１０の接続環境として、例えば、利用者端末１０が最初に接続されたアクセスポイントやプロバイダ等のグローバルＩＰアドレスを参照することにより、利用者端末１０の所在国を検出することが可能である。

なお、利用者端末１０がＧＰＳ（Global Positioning System）機能を有している場合
には、そのＧＰＳ機能によって得られた利用者端末１０の所在地情報（緯度・経度情報）を、ネットワーク３０を通じて利用者端末１０から受信することにより、位置検出手段２４は、その緯度・経度情報から利用者端末１０の所在位置／所在国を検出するように構成してもよい。

位置判定手段２５は、開封要求受信手段２１もしくは起動要求受信手段２２によって受信されたファイルＩＤや利用者認証情報に基づいて、利用者端末１０で管理対象の電子ファイルを開封しようとしている利用者、もしくは、利用者端末１０で管理対象の所定プログラムを起動しようとしている利用者が正当な利用者であるか否かの利用者認証判定を行なうとともに、位置検出手段２５によって検出された所在位置が予め定められた所定位置条件を満たしているか否かの位置判定を行なうものである。

位置判定手段２５による上記利用者認証判定に際しては、受信手段２１／２２によって受信されたファイルＩＤに対応する登録利用者ＩＤが上記記憶部（データベース）から読み出され、読み出された登録利用者ＩＤの中に受信手段２１／２２によって受信された利用者ＩＤが含まれているか否かを調べ、含まれている場合には、その登録利用者ＩＤに対応する登録パスワードが上記記憶部（データベース）から読み出される。そして、位置判定手段２５は、受信手段２１／２２によって受信されたパスワードと、上記記憶部から読み出された登録パスワードとを比較し、これらが一致した場合に利用者が正当な利用者で
あることを認証する。登録利用者ＩＤの中に受信利用者ＩＤが含まれていない場合やパスワードが不一致であった場合、利用者は正当な利用者ではないと判定される。なお、上記利用者認証判定は、ここでは位置判定手段２５において実行するものとして説明したが、後述する環境判定手段２６において実行してもよいし、その利用者認証判定専用の手段において実行するように構成してもよい。

位置判定手段２５による位置判定に際し、上記所定位置条件としては、例えば、位置検出手段２４によって前記所在位置として検出された所在国が予め指定された所定の国であることが設定される。より具体的に、予め指定された所定の国としては、例えば、経済産業省によって規定された「キャッチオール規制」（輸出貿易管理令別表第１、外国為替令別表のそれぞれ１６の項参照）の対象とならない「ホワイト国」２６ヵ国（アルゼンチン，オーストラリア，オーストリア，ベルギー，カナダ，チェコ，デンマーク，フィンランド，フランス，ドイツ，ギリシャ，ハンガリー，アイルランド，イタリア，大韓民国，ルクセンブルク，オランダ，ニュージーランド，ノルウェー，ポーランド，ポルトガル，スペイン，スウェーデン，スイス，イギリス，アメリカ；「輸出貿易管理令別表第４の２に掲げる地域」）を設定することができる。大量破壊兵器等に関する条約に加盟し、輸出管理レジームに全て参加し、キャッチオール制度を導入している国については、これらの国から大量破壊兵器の拡散が行なわれるおそれがないことが明白であり、俗称でこれらの国は「ホワイト国」と呼ばれている。

なお、上記所定位置条件は、上述のように、所在国が上述のような所定の国であることであってもよいが、利用者端末１０がＧＰＳ機能を有している場合には、利用者端末１０が、緯度・経度情報によって指定される、より限定された場所や領域に存在することを上記所定条件として設定してもよい。

環境判定手段２６は、環境情報受信手段２１によって受信された環境情報に基づいて、開封要求または起動要求を送信してきた利用者端末１０における動作環境が予め定められた所定環境条件を満たしているか否かの動作環境判定を行なうものである。
この環境判定手段２６による動作環境判定に際し、上記所定環境条件としては、例えば、下記のような条件[10]〜[40]のうちの少なくとも一つが用いられる。ただし、これらの条件は、いずれも、利用者端末１０での電子ファイル開封直前や所定プログラム起動直前に、利用者端末１０の動作環境が、電子ファイルを開封しても、あるいは、所定プログラムを起動しても、電子ファイルの内容や所定プログラムの動作に伴って生成される情報が流出・漏洩することのない安全な状態であることを、ある程度、保証するものである。

[10]利用者端末１０の環境情報収集手段１３によって収集される環境情報が、利用者端末１０にインストールされている全てのソフトウエアに関する情報である場合には、利用者端末１０において、ポリシで定められた必要なソフトウエアがインストールされていること、ポリシで定められたセキュリティ設定（オン設定になっていること）やセキュリティソフトウエア（セキュリティパッチ更新ソフトウエア，ウイルス対策ソフトウエア，スパイウエア対策ソフトウエア等）が外されていないことや、ポリシで定められたソフトウエア以外の不必要なソフトウエアがインストールされていないこと。

[20]利用者端末１０における資産が、ネットワーク３０の運用に必要なソフトウエアを含み且つ、ネットワーク運用上の問題を生じさせるソフトウエアを含んでいないこと。この条件[20]の具体例としては、以下のような条件[21]〜[25]が挙げられる。
[21]利用者端末１０における資産がネットワーク３０の運用に必要なソフトウエア、例えば、ネットワーク３０の安全な運用に必要となる、セキュリティパッチ更新ソフトウエアやウイルス対策ソフトウエアを含んでいること。
[22]利用者端末１０における資産がネットワーク３０の運用に影響を与え障害発生要
因となりうるソフトウエアを含んでいないこと。
[23]利用者端末１０における資産が違法性のあるソフトウエア（例えば著作権法上問題のあるファイル交換ソフトウエア等）を含んでいないこと。
[24]利用者端末１０における資産が公序良俗に反するソフトウエアを含んでいないこと。
[25]利用者端末１０における資産（例えばＯＳを含む各種ソフトウエア）における設定情報（例えばユーザ名，パスワード等）として、企業等のセキュリティポリシ上、認められていないものが含まれていないこと。

[30]セキュリティパッチ更新ソフトウエア，ウイルス対策ソフトウエアおよび所定バージョンの基本ソフトウエア（ＯＳ）がソフトウエア資源として利用者端末１０にインストールされ、且つ、ファイル交換ソフトウエア，スパイウエア等（情報漏洩を招くおそれのあるソフトウエア）がソフトウエア資源として接続対象端末にインストールされておらず、且つ、利用者端末１０のハードウエア資源が一定の基準を満たしていること。

[40]利用者端末１０が、情報漏洩対策を十分に施されたものであること。この条件[40]の具体例としては、以下のような条件[41]〜[43]が挙げられる。
[41]データを暗号化して第三者の閲覧を防止するためのデータ暗号化ソフトウエア〔例えばDataKeyServer（登録商標；クオリティ社），秘文Advanced Edition（登録商標；
日立ソフト）など〕を保有していること。
[42]ネットワーク３０を介して匿名でファイルを共有する、例えばWinMX，Winny等のごときPeer to Peerファイル共有ソフトウエア（このようなソフトウエアは重要データの流出経路となるおそれがある）を保有していないこと。
[43]ソフトウエアのみでＶＰＮ（Virtual Private Network）を構築可能とする、例
えばSoftEther（登録商標；三菱マテリアル社），Emotion Link（登録商標；フリービッ
ト社）等のソフトウエア（このようなソフトウエアは、企業ネットワークのファイヤウォールを通過することができるため、情報漏洩およびウイルス拡散の経路となる可能性がある）を保有していないこと。

なお、管理対象の電子ファイル（暗号化ファイル）あるいは管理対象の所定プログラム（暗号化ファイル）に対し重要度が予め設定されている場合、つまり、重要度がファイルＩＤに対応付けられて上記記憶部（データベース）に設定されている場合、環境判定手段２６による動作環境判定時に、ファイルＩＤに対応する重要度を上記記憶部（データベース）から読み出し、その重要度が高重要度である場合に位置判定手段２５による利用者認証判定および位置判定と環境判定手段２６による動作環境判定とを行なう一方、読み出された重要度が高重要度でない場合（低重要である場合）には、位置判定手段２５による位置判定と環境判定手段２６による動作環境判定とを行なわず位置判定手段２５による利用者認証判定のみを行なうようにしてもよい。ここで、重要度は、電子ファイルの内容が例えば機密性の高い情報であるか否かあるいは多くの個人情報を含んでいるか否かに応じて設定される。

また、利用者端末１０が上述したように起動時の環境情報を送信してから管理対象の電子ファイルの開封要求入力時もしくは管理対象の所定プログラムの起動要求入力時に環境情報の変更分のみを送信する場合、環境判定手段２６は、上記記憶部（データベース）から、環境情報の変更分を送信してきた利用者端末１０に対応付けられた起動時の環境情報を読み出し、読み出された起動時の環境情報と開封時に環境情報受信手段２３によって受信された環境情報の変更分とから、電子ファイルの開封直前もしくは所定プログラム起動直前の利用者端末１０における環境情報を得て、その環境情報に基づいて利用者端末１０の動作環境が前記所定環境条件を満たしているか否かを判定することになる。

開封許否手段２７は、位置判定手段２５によって開封要求を行なった利用者が正当な利用者であることが認証され且つ前記所在位置が前記所定位置条件を満たしていると判定され、さらに環境判定手段２６によって利用者端末１０における動作環境が前記所定環境条件を満たしていると判定された場合に利用者端末１０での電子ファイルの開封を許可する一方、位置判定手段２４によって開封要求を行なった利用者が正当な利用者でないと判定された場合または前記所在位置が前記所定位置条件を満たしていないと判定された場合、もしくは、環境判定手段２６によって前記動作環境が前記所定環境条件を満たしていないと判定された場合に利用者端末１０での電子ファイルの開封を禁止するものである。

より具体的に、本実施形態の開封許否手段２７は、管理対象の電子ファイルである暗号化ファイルを復号化する復号鍵を、ネットワーク３０を通じて利用者端末１０に送信する復号鍵送信手段として機能することにより、利用者端末１０での電子ファイルの開封を許可する一方、その復号鍵の送信を行なわないことにより、利用者端末１０での電子ファイルの開封を禁止している。

起動制御手段２８は、位置判定手段２５によって起動要求を行なった利用者が正当な利用者であることが認証され且つ前記所在位置が前記所定位置条件を満たしていると判定され、さらに環境判定手段２６によって利用者端末１０における動作環境が前記所定環境条件を満たしていると判定された場合に利用者端末１０での所定プログラムの起動を許可する一方、位置判定手段２４によって起動要求を行なった利用者が正当な利用者でないと判定された場合または前記所在位置が前記所定位置条件を満たしていないと判定された場合、もしくは、環境判定手段２６によって前記動作環境が前記所定環境条件を満たしていないと判定された場合に所定プログラムの起動を禁止するものである。

より具体的に、本実施形態の起動制御手段２８も、管理対象の所定プログラムである暗号化ファイルを復号化する復号鍵を、ネットワーク３０を通じて利用者端末１０に送信する復号鍵送信手段として機能することにより、利用者端末１０での所定プログラムの起動を許可する一方、その復号鍵の送信を行なわないことにより、利用者端末１０での所定プログラムの起動を禁止している。

通知手段２９は、位置判定手段２４によって起動要求を行なった利用者が正当な利用者でないと判定された場合または前記所在位置が前記所定位置条件を満たしていないと判定された場合、もしくは、環境判定手段２６によって前記動作環境が前記所定環境条件を満たしていないと判定された場合に、その旨を、利用者端末１０の利用者やシステム管理者に対しエラー（アラート）として通知するものである。その際、利用者認証判定でエラーが生じたのか、位置判定でエラーが生じたのか、動作環境判定でエラーが生じたのかも合わせて通知されるほか、位置判定でエラーが生じた場合には、条件を満たさなかった理由等がメッセージ表示されるように通知され、また、動作環境判定でエラーが生じた場合には、条件を満たさなかった環境情報がメッセージ表示されるように通知される。

上述のような構成により、利用者が正当な利用者として認証され且つ利用者端末１０の所在位置が所定位置条件を満たし且つ利用者端末１０の動作環境がポリシで定めた通りで異常がない場合は、そのまま電子ファイルを開くことができる。利用者端末１０の所在位置に問題がある場合やポリシで定めているセキュリティ設定やセキュリティソフトウエアが外されている場合に、その旨のメッセージが管理サーバ２０や利用者端末１０で表示され、電子ファイルを開いたり所定プログラムを起動したりすることができないようになっている。しかも、その際にはシステム管理者等に対しアラートを出力される。

〔２〕本実施形態の管理システムの作用
次に、上述のごとく構成された本実施形態の電子ファイル管理システム１の動作につい
て、図２および図３を参照しながら説明する。なお、図２は本実施形態の電子ファイル管理システム１における利用者端末１０の動作を説明するためのフローチャート、図３は本実施形態の電子ファイル管理システム１における管理サーバ２０の動作を説明するためのフローチャートである。

まず、図２に示すフローチャート（ステップＳ１１〜Ｓ３０）に従って、本実施形態の電子ファイル管理システム１における利用者端末１０の動作について説明する。
利用者端末１０の利用者が、電子ファイルを開封すべくマウス等を操作して開封要求手段１１から利用者端末１０に開封要求を入力すると（ステップＳ１１のＹＥＳルート）、利用者端末１０において、その開封対象の電子ファイルが管理対象の電子ファイル（管理サーバ２０によって管理される暗号鍵で暗号化されたファイル）であるか否かが判断され（ステップＳ１２）、管理対象でなければ（ステップＳ１２のＮＯルート）、その電子ファイルは暗号化されておらずそのまま開封される（ステップＳ１３）。

開封対象の電子ファイルが管理対象の電子ファイル（暗号化ファイル）であれば（ステップＳ１２のＹＥＳルート）、環境情報収集手段１３により、管理対象の電子ファイルの開封直前の利用者端末１０における動作環境に関する環境情報（資産情報／インベントリ情報／実行環境情報；例えば、利用者端末１０にインストールされている全てのソフトウエアに関する情報）が収集される（ステップＳ１４）。なお、利用者端末１０の起動時（電源投入立ち上げ時）に、起動時の環境情報が環境情報収集手段１３により既に収集され環境情報送信手段１６により管理サーバ２０に送信されて登録されている場合には、起動後から開封直前までの環境情報の変更分が環境情報収集手段１１により収集される。

また、利用者端末１０において利用者が管理対象の電子ファイルを開封する際には、環境情報の収集と並行して、利用者端末１０のディスプレイ（図示略）を通じて利用者に対し利用者ＩＤおよびパスワード（もしくは生体情報）の入力が要求され、利用者は、その要求に応じ、キーボード等（図示略；生体情報については生体センサ）を用いて利用者ＩＤおよびパスワード（もしくは生体情報）を利用者認証情報として入力する（ステップＳ１４）。

そして、利用者によって入力された利用者認証情報は、開封要求送信手段１４により、電子ファイルの開封要求および開封対象の電子ファイル（暗号化ファイル）のファイルＩＤとともに、ネットワーク３０を通じて管理サーバ２０に送信されるとともに、環境情報収集手段１３によって収集された環境情報（もしくは変更分）も、利用者によって入力された利用者認証情報や開封対象の電子ファイルのファイルＩＤとともに（もしくは、上記開封要求と対応付けが可能な情報とともに、つまり、送信する環境情報が当該開封要求を送信した利用者端末１０の環境情報であることが管理サーバ２０側で判別可能な情報とともに）、環境情報送信手段１６により、ネットワーク３０を通じて管理サーバ２０に送信される（ステップＳ１５）。

この後、利用者端末１０は、管理サーバ２０からの応答（判定結果）待ち状態となり（ステップＳ１６）、管理サーバ２０からの応答を復号鍵受信手段１７によって受信すると（ステップＳ１６のＹＥＳルート）、その応答内容として復号鍵を受信しているか否かを判断する（ステップＳ１７）。管理サーバ２０で利用者が正当な利用者であることが認証され且つ開封要求入力時点での利用者端末１０の所在位置（所在国）が所定位置条件を満たしていると判定され且つ開封要求入力時点での前記環境情報（動作環境）が所定環境条件を満たしていると判定された場合には、復号鍵が受信され（ステップＳ１７のＹＥＳルート）、復号鍵受信手段１７によって受信された復号鍵を用いて、復号化手段１８により、暗号化ファイル（管理対象の電子ファイル）が復号化され（ステップＳ１８）、管理対象の電子ファイルが開封される（ステップＳ１９）。

一方、管理サーバ２０で利用者が正当な利用者ではないと判断された場合もしくは前記所在位置（所在国）が所定位置条件を満たしていないと判定された場合もしくは前記環境情報（動作環境）が所定環境条件を満たしていないと判定された場合、エラー通知が受信され（ステップＳ１７のＮＯルート）、利用者端末１０のディスプレイ等を通じ利用者に対するエラー通知が行なわれる（ステップＳ２０）。その際、利用者認証判定でエラーが生じたのか、位置判定でエラーが生じたのか、動作環境判定でエラーが生じたのかも合わせて通知されて表示されるほか、位置判定でエラーが生じた場合には、条件を満たさなかった理由等がメッセージ表示されるとともに、動作環境判定でエラーが生じた場合には、条件を満たさなかった環境情報がメッセージ表示される。

また、利用者端末１０の利用者が、所定プログラムを起動すべくマウス等を操作して起動要求入力手段１２から利用者端末１０に起動要求を入力すると（ステップＳ１１のＮＯルートからステップＳ２１のＹＥＳルート）、利用者端末１０において、その起動対象のプログラムが管理対象の所定プログラム（管理サーバ２０によって管理される暗号鍵で暗号化されたファイル）であるか否かが判断され（ステップＳ２２）、管理対象でなければ（ステップＳ２２のＮＯルート）、そのプログラムは暗号化されておらずそのまま起動される（ステップＳ２３）。

起動対象のプログラムが管理対象の所定プログラム（暗号化ファイル）であれば（ステップＳ２２のＹＥＳルート）、開封要求時と同様に、環境情報収集手段１３により、管理対象の電子ファイルの開封直前の利用者端末１０における動作環境に関する環境情報（資産情報／インベントリ情報／実行環境情報；例えば、利用者端末１０にインストールされている全てのソフトウエアに関する情報）が収集されるとともに、この環境情報の収集と並行して、利用者端末１０のディスプレイ（図示略）を通じて利用者に対し利用者ＩＤおよびパスワード（もしくは生体情報）の入力が要求され、利用者は、その要求に応じ、キーボード等（図示略；生体情報については生体センサ）を用いて利用者ＩＤおよびパスワード（もしくは生体情報）を利用者認証情報として入力する（ステップＳ２４）。

そして、利用者によって入力された利用者認証情報は、起動要求送信手段１５により、所定プログラムの起動要求および起動対象の所定プログラム（暗号化ファイル）のファイルＩＤとともに、ネットワーク３０を通じて管理サーバ２０に送信され、さらに、環境情報収集手段１３によって収集された環境情報（もしくは変更分）も、利用者によって入力された利用者認証情報や開封対象の電子ファイルのファイルＩＤとともに（もしくは、上記起動要求と対応付けが可能な情報とともに、つまり、送信する環境情報が当該起動要求を送信した利用者端末１０の環境情報であることが管理サーバ２０側で判別可能な情報とともに）、環境情報送信手段１６により、ネットワーク３０を通じて管理サーバ２０に送信される（ステップＳ２５）。

この後、利用者端末１０は、管理サーバ２０からの応答（判定結果）待ち状態となり（ステップＳ２６）、管理サーバ２０からの応答を復号鍵受信手段１７によって受信すると（ステップＳ２６のＹＥＳルート）、その応答内容として復号鍵を受信しているか否かを判断する（ステップＳ２７）。管理サーバ２０で利用者が正当な利用者であることが認証され且つ起動要求時点での利用者端末１０の所在位置（所在国）が所定条件を満たしていると判定され且つ起動要求入力時点での前記環境情報（動作環境）が所定環境条件を満たしていると判定された場合には、復号鍵が受信され（ステップＳ２７のＹＥＳルート）、復号鍵受信手段１７によって受信された復号鍵を用いて、復号化手段１８により、暗号化ファイル（管理対象の所定プログラム）が復号化され（ステップＳ２８）、起動対象の所定プログラムが起動される（ステップＳ２９）。

一方、管理サーバ２０で利用者が正当な利用者ではないと判断された場合もしくは前記所在位置（所在国）が所定条件を満たしていないと判定された場合もしくは前記環境情報（動作環境）が所定環境条件を満たしていないと判定された場合、エラー通知が受信され（ステップＳ２６のＮＯルート）、開封要求時と同様に、利用者端末１０のディスプレイ等を通じ利用者に対するエラー通知が行なわれる（ステップＳ３０）。その際、利用者認証判定でエラーが生じたのか、位置判定でエラーが生じたのか、動作環境判定でエラーが生じたのかも合わせて通知されて表示されるほか、位置判定でエラーが生じた場合には、条件を満たさなかった理由等がメッセージ表示されるとともに、動作環境判定でエラーが生じた場合には、条件を満たさなかった環境情報がメッセージ表示される。

ついで、図３に示すフローチャート（ステップＳ３１〜Ｓ４２）に従って、本実施形態の電子ファイル管理システム１における管理サーバ２０の動作について説明する。
管理サーバ２０において、利用者端末１０からネットワーク３０を通じ、開封要求受信手段２１により、開封要求，ファイルＩＤおよび利用者認証情報が受信されるとともに、環境情報受信手段２３により、この開封要求に対応する環境情報（もしくは変更分）が受信されると（ステップＳ３１のＹＥＳルート）、位置検出手段２４により、開封要求受信手段２１によって開封要求を受信した時点（開封要求入力時点）における利用者端末１０の接続環境から利用者端末１０の所在国が所在位置として検出される（ステップＳ３２）。

この後、位置判定手段２５において、開封要求受信手段２１によって受信されたファイルＩＤや利用者認証情報に基づいて、利用者端末１０で管理対象の電子ファイルを開封しようとしている利用者が正当な利用者であるか否かの利用者認証判定が実行されるとともに、位置検出手段２４によって検出された所在位置が所定条件を満たしているか否か（本実施形態では、所在国が予め指定された所定の国であるか否か）の位置判定が実行される（ステップＳ３３）。

このとき、位置判定手段２５による上記利用者認証判定に際しては、上述した通り、開封要求受信手段２１によって受信されたファイルＩＤに対応する登録利用者ＩＤが上記記憶部（データベース）から読み出され、読み出された登録利用者ＩＤの中に開封要求受信手段２１によって受信された利用者ＩＤが含まれている場合、その登録利用者ＩＤに対応する登録パスワードが上記記憶部（データベース）から読み出され、読み出された登録パスワードと、開封要求受信手段２１によって受信されたパスワードとが比較され、これらが一致した場合に利用者が正当な利用者であることを認証する。

また、位置判定手段２５による利用者認証判定および位置判定と並行して、環境判定手段２６において、環境情報受信手段２３によって受信された環境情報に基づいて、利用者端末１０における動作環境が予め定められた所定条件を満たしているか否かの動作環境判定が実行される（ステップＳ３４）。

この環境判定手段２６による上記動作環境判定に際しては、環境情報受信手段２３によって受信された環境情報に基づいて、例えば、利用者端末１０にインストールされているソフトウエアが、上述した条件を満たしているか否かを判断する。その条件を満たしている場合、利用者端末１０での電子ファイル開封直前に、利用者端末１０の動作環境が、電子ファイルを開封しても電子ファイルの内容が流出・漏洩することのない安全な状態であることが保証されることになる。

なお、環境情報受信手段２３により、環境情報として変更分を受信した場合には、上述したごとく、環境判定手段２６により、上記記憶部（データベース）から、環境情報の変更分を送信してきた利用者端末１０に対応付けられた起動時の環境情報が読み出され、読
み出された起動時の環境情報と開封時に環境情報受信手段２３によって受信された環境情報の変更分とから、電子ファイルの開封直前の利用者端末１０における環境情報が得られ、その環境情報に基づいて利用者端末１０の動作環境が前記所定条件を満たしているか否かが判定される。

そして、位置判定手段２５によって利用者が正当な利用者であることが認証され且つ利用者端末１０の所在位置が前記所定条件を満たしていると判定された場合、さらに環境判定手段２６によって利用者端末１０における動作環境が前記所定条件を満たしていると判定された場合（ステップＳ３５のＹＥＳルート）、開封許否手段２７により、利用者端末１０での電子ファイルの開封が許可される。つまり、本実施形態では、開封許否手段２７の復号鍵送信手段としての機能を用いて、管理対象の電子ファイルである暗号化ファイルを復号化する復号鍵が、ネットワーク３０を通じて利用者端末１０に送信される（ステップＳ３６）。

一方、位置判定手段２５によって利用者が正当な利用者でないと判定された場合または利用者端末１０の所在位置が前記所定条件を満たしていないと判定された場合、もしくは、環境判定手段２６によって前記動作環境が前記所定条件を満たしていないと判定された場合、開封許否手段２７が復号鍵の送信を実行させないことにより、利用者端末１０での電子ファイルの開封が禁止され、代わって、通知手段２９により、その旨が、利用者端末１０の利用者やシステム管理者に対しエラー（アラート）として通知される（ステップＳ３７）。

また、管理サーバ２０において、利用者端末１０からネットワーク３０を通じ、起動要求受信手段２２により、起動要求，ファイルＩＤおよび利用者認証情報が受信されるとともに、環境情報受信手段２３により、この起動要求に対応する環境情報（もしくは変更分）が受信されると（ステップＳ３１のＮＯルートからステップＳ３８のＹＥＳルート）、位置検出手段２４により、起動要求受信手段２２によって起動要求を受信した時点（起動要求入力時点）における利用者端末１０の接続環境から利用者端末１０の所在国が所在位置として検出される（ステップＳ３９）。

この後、位置判定手段２５において、起動要求受信手段２２によって受信されたファイルＩＤや利用者認証情報に基づいて、開封要求受信時と同様に、利用者端末１０で管理対象の所定プログラムを起動しようとしている利用者が正当な利用者であるか否かの利用者認証判定が実行されるとともに、位置検出手段２４によって検出された所在位置が所定条件を満たしているか否か（本実施形態では、所在国が予め指定された所定の国であるか否か）の位置判定が実行される（ステップＳ４０）。

また、開封要求受信時と同様に、位置判定手段２５による利用者認証判定および位置判定と並行して、環境判定手段２６において、環境情報受信手段２３によって受信された環境情報に基づいて、利用者端末１０における動作環境が予め定められた所定条件を満たしているか否かの動作環境判定が実行される（ステップＳ４１）。

そして、位置判定手段２５によって利用者が正当な利用者であることが認証され且つ利用者端末１０の所在位置が前記所定条件を満たしていると判定された場合、さらに環境判定手段２６によって利用者端末１０における動作環境が前記所定条件を満たしていると判定された場合（ステップＳ４２のＹＥＳルート）、起動制御手段２８により、利用者端末１０での所定プログラムの実行が許可される。つまり、本実施形態では、起動制御手段２８の復号鍵送信手段としての機能を用いて、管理対象の所定プログラムである暗号化ファイルを復号化する復号鍵が、ネットワーク３０を通じて利用者端末１０に送信される（ステップＳ４３）。

一方、位置判定手段２５によって利用者が正当な利用者でないと判定された場合または利用者端末１０の所在位置が前記所定条件を満たしていないと判定された場合、もしくは、環境判定手段２６によって前記動作環境が前記所定条件を満たしていないと判定された場合、起動制御手段２８が復号鍵の送信を実行させないことにより、利用者端末１０での電子ファイルの開封が禁止され、代わって、通知手段２９により、その旨が、利用者端末１０の利用者やシステム管理者に対しエラー（アラート）として通知される（ステップＳ４４）。

〔３〕本実施形態の管理システムの効果
このように、上述した本発明の一実施形態としての管理システム１によれば、管理対象の電子ファイルや所定プログラム（暗号化ファイル）を開封／起動するためのアクセス権限確認（利用者認証）の際に、その暗号化ファイルを開こうとしている利用者端末（ＰＣ）１０の所在位置が予めポリシで設定した国であるか否かが、管理サーバ２０によって確認されるとともに、利用者端末（ＰＣ）１０の構成情報を確認し、予め決めた構成に足りないものがないか、それ以上に何か入っていないかが、管理サーバ２０によってチェックされる。そして、所在位置がポリシ（所定位置条件）で定めた国の場合で且つ構成情報がポリシ（所定環境条件）を満たす場合は、そのまま暗号化ファイルを復号化して開くことができるが、在位置がポリシで定めている国でない場合や構成情報がポリシを満たさない場合には、その旨のメッセージを表示し、暗号化ファイルを開くことができず、しかもその時にシステム管理者等へアラートが出力される。

つまり、本実施形態の管理システム１によれば、利用者端末１０において電子ファイルを開封もしくは所定プログラムを起動すべく利用者が電子ファイルの開封要求や所定プログラムの起動要求を入力すると、その要求入力時点での利用者端末１０における動作環境に関する環境情報（例えばソフトウエア資源に関する情報）が収集されて開封要求もしくは起動要求とともに管理サーバ２０に送信され、この管理サーバ２０において、電子ファイルを開封する直前または所定プログラムを起動する直前に、利用者端末１０の所在位置（所在国）を検出・確認するとともに、利用者端末の動作環境が電子ファイルを開封したり所定プログラムを起動したりしても安全な状態であるか否か（所定環境条件を満たすか否か；例えばセキュリティソフトウエアの有無やセキュリティ設定など）を確認することができる。

そして、その所在位置が所定位置条件〔例えば、輸出規制対象国内ではないこと／所定の国（いわゆるホワイト国）であること〕を満たし、且つ、その動作環境が安全な状態である場合のみ、電子ファイルの開封や所定プログラムの起動を許可することにより、電子ファイルの内容や所定プログラムの動作に伴って生成される情報が、輸出規制対象国や地域などで利用者の知らないうちに流出・漏洩してしまうのを確実に防止することができる。

このとき、管理対象の電子ファイルや所定プログラムを管理サーバ２０によって管理される所定の暗号鍵で暗号化された暗号化ファイルとすれば、電子ファイル（暗号化ファイル）の開封許可／禁止や、所定プログラムの起動許可／禁止の対応は、復号鍵を利用者端末１０に送信するか否かの切換によって極めて容易に行なうことができる。

また、利用者が正当な利用者でないと判定された場合、その旨が利用者端末１０の利用者もしくはシステム管理者に対して通知されるので、利用者やシステム管理者は利用者認証情報の入力の誤り等を認識して対処をとることが可能になる。
さらに、利用者端末１０の所在国（所在位置）が所定国内ではないと判定された場合には、その旨が利用者端末の利用者もしくは管理者に対して通知されるので、利用者は利用
者端末１０の所在位置が不適切であることを認識し、その電子ファイル（所定プログラム）の利用について注意を払うことが可能になるほか、管理者は、利用者が不適切な場所で電子ファイルの開封（所定プログラムの起動）を行なおうとしたことを認識し、それに応じた対処（利用者に対する警告等）をとることが可能になる。

同様に、利用者端末１０における動作環境が所定環境条件を満たしていないと判定された場合にはその旨が利用者端末１０の利用者もしくは管理者に対して詳細な情報とともに通知されるので、利用者や管理者は動作環境の不備等を認識してその不備等に対して直ちに対処をとることが可能になり、利用者端末１０の動作環境を、情報の流出・漏洩の起こらない、より安全な状態に改善することができる。

さらに、利用者端末１０の起動時に環境情報を収集して管理サーバ２０に送信しておき、以後、利用者端末１０では環境情報の変更分のみを記録し、電子ファイルの開封要求入力時もしくは所定プログラムの起動要求入力時にその時点での環境情報の変更分を管理サーバ２０に送信することにより、各要求の入力時に利用者端末１０の環境情報の全てを収集する必要がなく、また、各要求の入力時には環境情報の変更分を送信するだけでよく、環境情報の収集および送信を極めて効率よく行なうことができる。

また、管理対象の電子ファイル（暗号化ファイル）あるいは管理対象の所定プログラム（暗号化ファイル）に対し重要度を予め設定しておき、高重要度を設定された暗号化ファイルを管理サーバ２０（判定手段２５，２６）の判定対象とすることにより、個人情報や機密情報を含むような重要な電子ファイルのみを動作環境の条件判定対象として安全性を確保し、重要な電子ファイル以外については、動作環境の条件判定を省略し、電子ファイルの開封処理の高速化をはかることができる。

〔４〕その他
なお、本発明は上述した実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で種々変形して実施することができる。
また、上述した開封要求入力手段１１，起動要求入力手段１２，環境情報収集手段１３，開封要求送信手段１４，起動要求送信手段１５，環境情報送信手段１６，復号鍵受信手段１７，復号化手段１８，開封要求受信手段２１，起動要求受信手段２２，環境情報受信手段２３，位置検出手段２４，位置判定手段２５，環境判定手段２６，開封許否手段２７，起動制御手段２８および通知手段２９としての機能（各手段の全部もしくは一部の機能）は、コンピュータ（ＣＰＵ，情報処理装置，各種端末を含む）が所定のアプリケーションプログラム（管理プログラム）を実行することによって実現される。

そのプログラムは、例えばフレキシブルディスク，ＣＤ（ＣＤ−ＲＯＭ，ＣＤ−Ｒ，ＣＤ−ＲＷなど），ＤＶＤ（ＤＶＤ−ＲＯＭ，ＤＶＤ−ＲＡＭ，ＤＶＤ−Ｒ，ＤＶＤ−ＲＷ，ＤＶＤ＋Ｒ，ＤＶＤ＋ＲＷなど）等のコンピュータ読取可能な記録媒体に記録された形態で提供される。この場合、コンピュータはその記録媒体から管理プログラムを読み取って内部記憶装置または外部記憶装置に転送し格納して用いる。また、そのプログラムを、例えば磁気ディスク，光ディスク，光磁気ディスク等の記憶装置（記録媒体）に記録しておき、その記憶装置から通信回線を介してコンピュータに提供するようにしてもよい。

ここで、コンピュータとは、ハードウエアとＯＳ（オペレーティングシステム）とを含む概念であり、ＯＳの制御の下で動作するハードウエアを意味している。また、ＯＳが不要でアプリケーションプログラム単独でハードウェアを動作させるような場合には、そのハードウェア自体がコンピュータに相当する。ハードウエアは、少なくとも、ＣＰＵ等のマイクロプロセッサと、記録媒体に記録されたプログラムを読み取るための手段とをそなえている。上記の管理プログラムとしてのアプリケーションプログラムは、上述のような
コンピュータに、開封要求入力手段１１，起動要求入力手段１２，環境情報収集手段１３，開封要求送信手段１４，起動要求送信手段１５，環境情報送信手段１６，復号鍵受信手段１７，復号化手段１８，開封要求受信手段２１，起動要求受信手段２２，環境情報受信手段２３，位置検出手段２４，位置判定手段２５，環境判定手段２６，開封許否手段２７，起動制御手段２８および通知手段２９としての機能を実現させるプログラムコードを含んでいる。また、その機能の一部は、アプリケーションプログラムではなくＯＳによって実現されてもよい。

さらに、本実施形態における記録媒体としては、上述したフレキシブルディスク，ＣＤ，ＤＶＤ，磁気ディスク，光ディスク，光磁気ディスクのほか、ＩＣカード，ＲＯＭカートリッジ，磁気テープ，パンチカード，コンピュータの内部記憶装置（ＲＡＭやＲＯＭなどのメモリ），外部記憶装置等や、バーコードなどの符号が印刷された印刷物等の、コンピュータ読取可能な種々の媒体を利用することもできる。

〔５〕付記
（付記１）
利用者端末と、
該利用者端末と通信可能に接続され、該利用者端末での電子ファイルに対するアクセスを管理する管理サーバとをそなえて構成される、
管理システムを構築する管理プログラムであって、
該利用者端末としてのコンピュータを、
該利用者端末において利用者が前記電子ファイルを開封する際に当該電子ファイルの開封要求を入力する開封要求入力手段、
前記開封要求を該管理サーバに送信する開封要求送信手段、
該開封要求入力手段による開封要求の入力時における該利用者端末にインストールされているソフトウエア資源に関する情報を含む環境情報を収集する環境情報収集手段、および、
該環境情報収集手段によって収集された前記環境情報を該管理サーバに送信する環境情報送信手段として機能させるとともに、
該管理サーバとしてのコンピュータを、
該利用者端末から前記開封要求を受信する開封要求受信手段、
該利用者端末から前記環境情報を受信する環境情報受信手段、
該開封要求受信手段によって前記開封要求を受信した時点における該利用者端末の所在位置を検出する位置検出手段、
該位置検出手段によって検出された前記所在位置が予め定められた所定位置条件を満たしているか否かを判定する位置判定手段、
該環境情報受信手段によって受信された前記環境情報に基づいて、該利用者端末における動作環境が、前記電子ファイルの開封が可能な予め定められた所定環境条件を満たしているか否かを判定する環境判定手段、および、
該位置判定手段によって前記所在位置が前記所定位置条件を満たしていると判定され且つ該環境判定手段によって該利用者端末における前記動作環境が前記所定環境条件を満たしていると判定された場合に該利用者端末での前記電子ファイルの開封を許可する一方、前記所在位置が前記所定位置条件を満たしていないと判定された場合もしくは前記動作環境が前記所定環境条件を満たしていないと判定された場合に該利用者端末での前記電子ファイルの開封を禁止する開封許否手段として機能させることを特徴とする、管理プログラム。

（付記２）
前記電子ファイルが、該管理サーバによって管理される所定の暗号鍵で暗号化された暗号化ファイルである場合、
該管理サーバとしてのコンピュータを該開封許否手段として機能させる際、当該コンピュータを、該位置判定手段によって前記所在位置が前記所定位置条件を満たしていると判定され且つ該環境判定手段によって該利用者端末における前記動作環境が前記所定環境条件を満たしていると判定された場合に、前記暗号化ファイルを復号化する復号鍵を該利用者端末に送信する復号鍵送信手段として機能させ、
該利用者端末としてのコンピュータを、
該管理サーバから送信された前記復号鍵を受信する復号鍵受信手段、および、
該復号鍵受信手段によって受信された前記復号鍵を用いて前記暗号化ファイルを復号化する復号化手段として機能させることを特徴とする、付記１記載の管理プログラム。

（付記３）
該位置検出手段が、該開封要求受信手段によって前記開封要求を受信した時点における該利用者端末の接続環境から該利用者端末の所在国を前記所在位置として検出し、
前記所定位置条件が、前記所在位置として検出された前記所在国が予め指定された所定の国であることを特徴とする、付記１または付記２に記載の管理プログラム。

（付記４）
利用者端末と、
該利用者端末と通信可能に接続され、該利用者端末の動作を制御して管理する管理サーバとをそなえて構成される、
管理システムを構築する管理プログラムであって、
該利用者端末としてのコンピュータを、
該利用者端末において利用者が所定プログラムを起動する際に当該所定プログラムの起動要求を入力する起動要求入力手段、
前記起動要求を該管理サーバに送信する起動要求送信手段、
該起動要求入力手段による起動要求の入力時における該利用者端末にインストールされているソフトウエア資源に関する情報を含む環境情報を収集する環境情報収集手段、および、
該環境情報収集手段によって収集された前記環境情報を該管理サーバに送信する環境情報送信手段として機能させるとともに、
該管理サーバとしてのコンピュータを、
該利用者端末から前記起動要求を受信する起動要求受信手段、
該利用者端末から前記環境情報を受信する環境情報受信手段、
該起動要求受信手段によって前記起動要求を受信した時点における該利用者端末の所在位置を検出する位置検出手段、
該位置検出手段によって検出された前記所在位置が予め定められた所定位置条件を満たしているか否かを判定する位置判定手段、
該環境情報受信手段によって受信された前記環境情報に基づいて、該利用者端末における動作環境が、前記所定プログラムの起動が可能な予め定められた所定環境条件を満たしているか否かを判定する環境判定手段、および、
該位置判定手段によって前記所在位置が前記所定位置条件を満たしていると判定され且つ該環境判定手段によって該利用者端末における前記動作環境が前記所定環境条件を満たしていると判定された場合に該利用者端末での前記所定プログラムの起動を許可する一方、前記所在位置が前記所定位置条件を満たしていないと判定された場合もしくは前記動作環境が前記所定環境条件を満たしていないと判定された場合に該利用者端末での前記所定プログラムの起動を禁止する起動制御手段として機能させることを特徴とする、管理プログラム。

（付記５）
前記所定プログラムが、該管理サーバによって管理される所定の暗号鍵で暗号化された
暗号化ファイルである場合、
該管理サーバとしてのコンピュータを該起動制御手段として機能させる際、当該コンピュータを、該位置判定手段によって前記所在位置が前記所定位置条件を満たしていると判定され且つ該環境判定手段によって該利用者端末における前記動作環境が前記所定環境条件を満たしていると判定された場合に、前記暗号化ファイルを復号化する復号鍵を該利用者端末に送信する復号鍵送信手段として構成され、
該利用者端末が、
該管理サーバから送信された前記復号鍵を受信する復号鍵受信手段と、
該復号鍵受信手段によって受信された前記復号鍵を用いて前記暗号化ファイルを復号化する復号化手段とをさらにそなえて構成されていることを特徴とする、付記４記載の管理プログラム。

（付記６）
該位置検出手段が、該起動要求受信手段によって前記起動要求を受信した時点における該利用者端末の接続環境から該利用者端末の所在国を前記所在位置として検出し、
前記所定位置条件が、前記所在位置として検出された前記所在国が予め指定された所定の国であることを特徴とする、付記４または付記５に記載の管理プログラム。

（付記７）
該管理サーバとしてのコンピュータを、
該位置判定手段によって該利用者端末の前記所在位置が前記所定位置条件を満たしていないと判定された場合もしくは該環境判定手段によって該利用者端末における前記動作環境が前記所定条件を満たしていないと判定された場合に、その旨を該利用者端末の利用者もしくは管理者に対して通知する通知手段として機能させることを特徴とする、付記１〜付記６のいずれか一項に記載の管理プログラム。

（付記８）
該利用者端末としてのコンピュータを該環境情報収集手段として機能させる際、当該コンピュータに、該利用者端末の起動時に前記環境情報を収集させるとともに、該利用者端末の起動後には前記環境情報の変更分を記録させ、
該利用者端末としてのコンピュータを該環境情報送信手段として機能させる際、当該コンピュータに、前記起動時に該環境情報収集手段によって収集された前記起動時の環境情報を該管理サーバに送信させるとともに、
該開封要求入力手段による開封要求の入力時もしくは該起動要求入力手段による起動要求の入力時には、該環境情報収集手段によって記録された、その開封要求の入力時もしくは起動要求の入力時における前記環境情報の変更分を該管理サーバに送信させ、
該管理サーバとしてのコンピュータを該環境判定手段として機能させる際、当該コンピュータに、該環境情報受信手段によって受信された前記起動時の環境情報と前記開封要求の入力時もしくは前記起動要求の入力時の環境情報の変更分とに基づいて、前記開封要求の入力時もしくは前記起動要求の入力時の該利用者端末における前記動作環境が前記所定環境条件を満たしているか否かを判定させることを特徴とする、付記１〜付記７のいずれか一項に記載の管理プログラム。

（付記９）
前記環境情報が、該利用者端末にインストールされている全てのソフトウエアに関する情報である場合、
該管理サーバとしてのコンピュータを該環境判定手段として機能させる際、当該コンピュータに、該環境情報受信手段によって前記環境情報として受信された前記ソフトウエアに関する情報に基づいて、該利用者端末にインストールされているソフトウエアが前記所定環境条件を満たしているか否かを判定させることを特徴とする、付記１〜付記８のいず
れか一項に記載の管理プログラム。

本発明の一実施形態としての管理システムの構成を示すブロック図である。 本実施形態の管理システムにおける利用者端末の動作を説明するためのフローチャートである。 本実施形態の管理システムにおける管理サーバの動作を説明するためのフローチャートである。

符号の説明

１ 管理システム
１０ 利用者端末
１１ 開封要求入力手段
１２ 起動要求入力手段
１３ 環境情報収集手段
１４ 開封要求送信手段
１５ 起動要求送信手段
１６ 環境情報送信手段
１７ 復号鍵受信手段
１８ 復号化手段
２０ 管理サーバ
２１ 開封要求受信手段
２２ 起動要求受信手段
２３ 環境情報受信手段
２４ 位置検出手段
２５ 位置判定手段
２６ 環境判定手段
２７ 開封許否手段（復号鍵送信手段）
２８ 起動制御手段（復号鍵送信手段）
２９ 通知手段
３０ ネットワーク

Claims (10)

1. 利用者端末と、
   該利用者端末と通信可能に接続され、該利用者端末での電子ファイルに対するアクセスを管理する管理サーバとをそなえ、
   該利用者端末が、
   該利用者端末において利用者が前記電子ファイルを開封する際に当該電子ファイルの開封要求を入力する開封要求入力手段と、
   前記開封要求を該管理サーバに送信する開封要求送信手段と、
   該開封要求入力手段による開封要求の入力時における該利用者端末にインストールされているソフトウエア資源に関する情報を含む環境情報を収集する環境情報収集手段と、
   該環境情報収集手段によって収集された前記環境情報を該管理サーバに送信する環境情報送信手段とをそなえて構成されるとともに、
   該管理サーバが、
   該利用者端末から前記開封要求を受信する開封要求受信手段と、
   該利用者端末から前記環境情報を受信する環境情報受信手段と、
   該開封要求受信手段によって前記開封要求を受信した時点における該利用者端末の所在位置を検出する位置検出手段と、
   該位置検出手段によって検出された前記所在位置が予め定められた所定位置条件を満たしているか否かを判定する位置判定手段と、
   該環境情報受信手段によって受信された前記環境情報に基づいて、該利用者端末における動作環境が、前記電子ファイルの開封が可能な予め定められた所定環境条件を満たしているか否かを判定する環境判定手段と、
   該位置判定手段によって前記所在位置が前記所定位置条件を満たしていると判定され且つ該環境判定手段によって該利用者端末における前記動作環境が前記所定環境条件を満たしていると判定された場合に該利用者端末での前記電子ファイルの開封を許可する一方、前記所在位置が前記所定位置条件を満たしていないと判定された場合もしくは前記動作環境が前記所定環境条件を満たしていないと判定された場合に該利用者端末での前記電子ファイルの開封を禁止する開封許否手段とをそなえて構成され、
   該利用者端末の該環境情報収集手段が、該利用者端末の起動時に前記環境情報を収集するとともに、該利用者端末の起動後には前記環境情報の変更分を記録し、
   該利用者端末の該環境情報送信手段が、前記起動時に該環境情報収集手段によって収集された前記起動時の環境情報を該管理サーバに送信するとともに、該開封要求入力手段による開封要求の入力時もしくは該起動要求入力手段による起動要求の入力時には、該環境情報収集手段によって記録された、その開封要求の入力時もしくは起動要求の入力時における前記環境情報の変更分を該管理サーバに送信し、
   該管理サーバの該環境判定手段が、該環境情報受信手段によって受信された前記起動時の環境情報と前記開封要求の入力時もしくは前記起動要求の入力時の環境情報の変更分とに基づいて、前記開封要求の入力時もしくは前記起動要求の入力時の該利用者端末における前記動作環境が前記所定環境条件を満たしているか否かを判定する、
   ことを特徴とする、管理システム。
2. 前記電子ファイルが、該管理サーバによって管理される所定の暗号鍵で暗号化された暗号化ファイルであり、
   該管理サーバの該開封許否手段が、該位置判定手段によって前記所在位置が前記所定位置条件を満たしていると判定され且つ該環境判定手段によって該利用者端末における前記動作環境が前記所定環境条件を満たしていると判定された場合に、前記暗号化ファイルを復号化する復号鍵を該利用者端末に送信する復号鍵送信手段として構成され、
   該利用者端末が、
   該管理サーバから送信された前記復号鍵を受信する復号鍵受信手段と、
   該復号鍵受信手段によって受信された前記復号鍵を用いて前記暗号化ファイルを復号化する復号化手段とをさらにそなえて構成されていることを特徴とする、請求項１記載の管理システム。
3. 該位置検出手段が、該開封要求受信手段によって前記開封要求を受信した時点における該利用者端末の接続環境から該利用者端末の所在国を前記所在位置として検出し、
   前記所定位置条件が、前記所在位置として検出された前記所在国が予め指定された所定の国であることを特徴とする、請求項１または請求項２に記載の管理システム。
4. 利用者端末と、
   該利用者端末と通信可能に接続され、該利用者端末の動作を制御して管理する管理サーバとをそなえ、
   該利用者端末が、
   該利用者端末において利用者が所定プログラムを起動する際に当該所定プログラムの起動要求を入力する起動要求入力手段と、
   前記起動要求を該管理サーバに送信する起動要求送信手段と、
   該起動要求入力手段による起動要求の入力時における該利用者端末にインストールされているソフトウエア資源に関する情報を含む環境情報を収集する環境情報収集手段と、
   該環境情報収集手段によって収集された前記環境情報を該管理サーバに送信する環境情報送信手段とをそなえて構成されるとともに、
   該管理サーバが、
   該利用者端末から前記起動要求を受信する起動要求受信手段と、
   該利用者端末から前記環境情報を受信する環境情報受信手段と、
   該起動要求受信手段によって前記起動要求を受信した時点における該利用者端末の所在位置を検出する位置検出手段と、
   該位置検出手段によって検出された前記所在位置が予め定められた所定位置条件を満たしているか否かを判定する位置判定手段と、
   該環境情報受信手段によって受信された前記環境情報に基づいて、該利用者端末における動作環境が、前記所定プログラムの起動が可能な予め定められた所定環境条件を満たしているか否かを判定する環境判定手段と、
   該位置判定手段によって前記所在位置が前記所定位置条件を満たしていると判定され且つ該環境判定手段によって該利用者端末における前記動作環境が前記所定環境条件を満たしていると判定された場合に該利用者端末での前記所定プログラムの起動を許可する一方、前記所在位置が前記所定位置条件を満たしていないと判定された場合もしくは前記動作環境が前記所定環境条件を満たしていないと判定された場合に該利用者端末での前記所定プログラムの起動を禁止する起動制御手段とをそなえて構成されていることを特徴とする、管理システム。
5. 前記所定プログラムが、該管理サーバによって管理される所定の暗号鍵で暗号化された暗号化ファイルとして該利用者端末に保有されており、
   該管理サーバの該起動制御手段が、該位置判定手段によって前記所在位置が前記所定位置条件を満たしていると判定され且つ該環境判定手段によって該利用者端末における前記動作環境が前記所定環境条件を満たしていると判定された場合に、前記暗号化ファイルを復号化する復号鍵を該利用者端末に送信する復号鍵送信手段として構成され、
   該利用者端末が、
   該管理サーバから送信された前記復号鍵を受信する復号鍵受信手段と、
   該復号鍵受信手段によって受信された前記復号鍵を用いて前記暗号化ファイルを復号化する復号化手段とをさらにそなえて構成されていることを特徴とする、請求項４記載の管理システム。
6. 該位置検出手段が、該起動要求受信手段によって前記起動要求を受信した時点における該利用者端末の接続環境から該利用者端末の所在国を前記所在位置として検出し、
   前記所定位置条件が、前記所在位置として検出された前記所在国が予め指定された所定の国であることを特徴とする、請求項４または請求項５に記載の管理システム。
7. 該管理サーバが、
   該位置判定手段によって該利用者端末の前記所在位置が前記所定位置条件を満たしていないと判定された場合もしくは該環境判定手段によって該利用者端末における前記動作環境が前記所定条件を満たしていないと判定された場合に、その旨を該利用者端末の利用者もしくは管理者に対して通知する通知手段をさらにそなえて構成されていることを特徴とする、請求項１〜請求項６のいずれか一項に記載の管理システム。
8. 前記環境情報が、該利用者端末にインストールされている全てのソフトウエアに関する情報であり、
   該管理サーバの該環境判定手段が、該環境情報受信手段によって前記環境情報として受信された前記ソフトウエアに関する情報に基づいて、該利用者端末にインストールされているソフトウエアが前記所定環境条件を満たしているか否かを判定することを特徴とする、請求項１〜請求項７のいずれか一項に記載の管理システム。
9. 利用者端末と、
   該利用者端末と通信可能に接続され、該利用者端末での電子ファイルに対するアクセスを管理する管理サーバとをそなえて構成される、
   管理システムを構築する管理プログラムであって、
   該利用者端末としてのコンピュータを、
   該利用者端末において利用者が前記電子ファイルを開封する際に当該電子ファイルの開封要求を入力する開封要求入力手段、
   前記開封要求を該管理サーバに送信する開封要求送信手段、
   該開封要求入力手段による開封要求の入力時における該利用者端末にインストールされているソフトウエア資源に関する情報を含む環境情報を収集する環境情報収集手段、および、
   該環境情報収集手段によって収集された前記環境情報を該管理サーバに送信する環境情報送信手段として機能させるとともに、
   該管理サーバとしてのコンピュータを、
   該利用者端末から前記開封要求を受信する開封要求受信手段、
   該利用者端末から前記環境情報を受信する環境情報受信手段、
   該開封要求受信手段によって前記開封要求を受信した時点における該利用者端末の所在位置を検出する位置検出手段、
   該位置検出手段によって検出された前記所在位置が予め定められた所定位置条件を満たしているか否かを判定する位置判定手段、
   該環境情報受信手段によって受信された前記環境情報に基づいて、該利用者端末における動作環境が、前記電子ファイルの開封が可能な予め定められた所定環境条件を満たしているか否かを判定する環境判定手段、および、
   該位置判定手段によって前記所在位置が前記所定位置条件を満たしていると判定され且つ該環境判定手段によって該利用者端末における前記動作環境が前記所定環境条件を満たしていると判定された場合に該利用者端末での前記電子ファイルの開封を許可する一方、前記所在位置が前記所定位置条件を満たしていないと判定された場合もしくは前記動作環境が前記所定環境条件を満たしていないと判定された場合に該利用者端末での前記電子ファイルの開封を禁止する開封許否手段として機能させ、
   さらに、該利用者端末としてのコンピュータの該環境情報収集手段が、該利用者端末の起動時に前記環境情報を収集するとともに、該利用者端末の起動後には前記環境情報の変更分を記録し、
   該利用者端末の該環境情報送信手段が、前記起動時に該環境情報収集手段によって収集された前記起動時の環境情報を該管理サーバに送信するとともに、該開封要求入力手段による開封要求の入力時もしくは該起動要求入力手段による起動要求の入力時には、該環境情報収集手段によって記録された、その開封要求の入力時もしくは起動要求の入力時における前記環境情報の変更分を該管理サーバに送信するように機能させ、
   該管理サーバとしてのコンピュータの該環境判定手段が、該環境情報受信手段によって受信された前記起動時の環境情報と前記開封要求の入力時もしくは前記起動要求の入力時の環境情報の変更分とに基づいて、前記開封要求の入力時もしくは前記起動要求の入力時の該利用者端末における前記動作環境が前記所定環境条件を満たしているか否かを判定するように機能させる、
   ことを特徴とする、管理プログラム。
10. 利用者端末と、
    該利用者端末と通信可能に接続され、該利用者端末の動作を制御して管理する管理サーバとをそなえて構成される、
    管理システムを構築する管理プログラムであって、
    該利用者端末としてのコンピュータを、
    該利用者端末において利用者が所定プログラムを起動する際に当該所定プログラムの起動要求を入力する起動要求入力手段、
    前記起動要求を該管理サーバに送信する起動要求送信手段、
    該起動要求入力手段による起動要求の入力時における該利用者端末にインストールされているソフトウエア資源に関する情報を含む環境情報を収集する環境情報収集手段、および、
    該環境情報収集手段によって収集された前記環境情報を該管理サーバに送信する環境情報送信手段として機能させるとともに、
    該管理サーバとしてのコンピュータを、
    該利用者端末から前記起動要求を受信する起動要求受信手段、
    該利用者端末から前記環境情報を受信する環境情報受信手段、
    該起動要求受信手段によって前記起動要求を受信した時点における該利用者端末の所在位置を検出する位置検出手段、
    該位置検出手段によって検出された前記所在位置が予め定められた所定位置条件を満たしているか否かを判定する位置判定手段、
    該環境情報受信手段によって受信された前記環境情報に基づいて、該利用者端末における動作環境が、前記所定プログラムの起動が可能な予め定められた所定環境条件を満たしているか否かを判定する環境判定手段、および、
    該位置判定手段によって前記所在位置が前記所定位置条件を満たしていると判定され且つ該環境判定手段によって該利用者端末における前記動作環境が前記所定環境条件を満たしていると判定された場合に該利用者端末での前記所定プログラムの起動を許可する一方、前記所在位置が前記所定位置条件を満たしていないと判定された場合もしくは前記動作環境が前記所定環境条件を満たしていないと判定された場合に該利用者端末での前記所定プログラムの起動を禁止する起動制御手段として機能させることを特徴とする、管理プログラム。

Images