JP4208086B2 - 情報の機密性を管理する装置、および、その方法 - Google Patents

Description

本発明は、情報の機密度を管理する装置、およびその方法に関する。特に、本発明は、装置に記録された情報の中から機密情報を検出する装置、およびその方法に関する。

近年、個人情報などの機密情報の管理が重要な課題となってきており、それに関する法整備も進んできている。情報処理装置を用いて機密情報を管理するシステムを構築するためには、前提として、既に情報処理装置に記録されている情報のうちどの情報が機密情報であるのかを特定する必要がある。これに対し、従来、機密情報を含むファイルを検出する技術が提案されている（非特許文献１、２、および３を参照。）。これらの技術によれば、ある情報処理装置に記録されている情報のうち、個人情報等の機密情報を適切に検出することができる。
非特許文献４については後述する。

digiberry "My Privacy" related information, http://internet.watch.impress.co.jp/cda/news/2005/03/09/6780.html quality "eX PDS" webpage, http://www.quality.co.jp/products/eXPDS/ KLab "p-pointer" webpage ,http://p-pointer.klab.org/ MD5 Homepage (unofficial), http://userpages.umbc.edu/~mabzug1/cs/md5/md5.html

上記の技術は、１つの環境（例えば、単一の情報処理装置、または、１台のサーバ装置など）の中から機密情報を検出する技術である。従って、ある情報処理装置において機密情報が検出された場合に、他の情報処理装置においてそれと同一の情報が記録されていたとしても、当該他の情報処理装置においては独立にそれを検出し直さなければならない。このように、従来は、複数の情報処理装置から機密情報を効率的に検出することはできなかった。
なお、上記の発明の概要は、本発明の必要な特徴の全てを列挙したものではなく、これらの特徴群のサブコンビネーションもまた、発明となりうる。

上記課題を解決するために、本発明においては、情報の機密性を管理する装置であって、情報を、前記情報に対してアクセスした利用者を記録した履歴、または、前記情報に対するアクセスが許可された利用者を定めたアクセス権限に対応付けて記録する記録部と、前記情報を秘密に管理するか否かを示す管理情報を生成する生成部と、前記記録部に記録された前記履歴または前記アクセス権限から、前記情報をアクセスした利用者、または、前記情報に対するアクセスが許可された利用者を、前記情報にアクセスし得る利用者として選択する選択部と、選択された前記利用者に対応して設けられた装置に対し、生成された前記管理情報を前記情報の識別情報に対応付けて通知する通知部と、他の装置の通知部から、情報の管理情報を受信する受信部と、前記受信部によって受信された前記管理情報が、情報を秘密に管理するべき旨を示すことを条件として、受信した前記管理情報に対応する情報を秘密に管理する管理部とを備える装置、当該装置として情報処理装置を機能させる方法およびプログラムを提供する。
なお、上記の発明の概要は、本発明の必要な特徴の全てを列挙したものではなく、これらの特徴群のサブコンビネーションもまた、発明となりうる。

本発明によれば、複数の情報処理装置の各々に記録された機密情報を効率的に管理することができる。

以下、発明の実施の形態を通じて本発明を説明するが、以下の実施形態は特許請求の範囲にかかる発明を限定するものではなく、また実施形態の中で説明されている特徴の組み合わせの全てが発明の解決手段に必須であるとは限らない。

図１は、情報処理システム１０の全体構成を示す。情報処理システム１０は、情報処理装置２０−１〜Ｎと、サーバ装置６０とを備える。情報処理装置２０−１〜Ｎの各々は、通信ネットワーク３０を介して互いに接続され、通信ネットワーク３０を介してサーバ装置６０に接続されている。また、情報処理装置２０−１〜Ｎの各々は、他の情報処理装置とは独立した記憶装置（例えば後述する記録部２００）を有しており、その記憶装置内に情報を記録する。また、情報処理装置２０−１〜Ｎの各々は、互いに異なる利用者に対応して設けられており、異なる利用者によって利用されている。

ある情報処理装置（例えば、情報処理装置２０−１）は、利用者の指示に基づいて、記録している情報を秘密に管理するべきかを判断する。そして、情報処理装置２０−１は、その情報を秘密に管理するか否かを示す管理情報を生成して、その情報にアクセスし得る利用者の情報処理装置（例えば、情報処理装置２０−２）に通知する。この通知を受けた情報処理装置２０−２は、情報処理装置２０−１に記録されていた情報と一致する情報を記録しているか否かを判断する。

記録していれば、情報処理装置２０−２は、通知されたその管理情報に基づいて、記録しているその情報を秘密に管理するべきか否かを判断する。そして、情報処理装置２０−２は、その情報を秘密に管理するか否かを示す管理情報を生成して、他の情報処理装置（例えば、情報処理装置２０−３）に通知する。また、サーバ装置６０は、情報処理装置２０−１〜Ｎの各々において、情報を秘密に管理するべき管理情報が生成された回数を管理しており、情報処理装置２０−１〜Ｎの各々は、その回数に基づいて情報を秘密に管理するべきか否かを判断してもよい。

このように、本実施例に係る情報処理システム１０は、情報処理装置２０−１〜Ｎ、および、サーバ装置６０を互いに協調させることで、情報処理装置２０−１〜Ｎが各々独立に情報の機密性を管理する場合と比較し、機密情報を効率的に管理することを目的とする。

以降、情報処理装置２０−１〜Ｎの各々の機能を説明するにあたり、情報処理装置２０−１〜Ｎを代表して情報処理装置２０−２の機能を説明する。具体的には、情報処理装置２０−２が自ら情報の機密性を管理し、または、情報処理装置２０−１から通知を受けて情報の機密性を管理し、さらに、管理情報を情報処理装置２０−３に対して通知する処理を説明する。なお、これに代えて、また、これに加えて、情報処理装置２０−２は、情報処理装置２０−１以外の情報処理装置から通知を受けてもよいし、情報処理装置２０−３以外の情報処理装置に管理情報を通知してもよい。また、情報処理装置２０−１、および、情報処理装置２０−３〜Ｎの各々も、情報処理装置２０−２と略同一の機能を有するので、以降、相違点を除き説明を省略する。

図２は、情報処理装置２０−２の機能構成を示す。情報処理装置２０−２は、記録部２００と、生成部２１０と、選択部２２０と、通知部２３０と、受信部２４０と、比較部２５０と、管理部２６０とを有する。記録部２００は、少なくとも１つの情報の各々を、その情報に対してアクセスした利用者の履歴、または、その情報に対するアクセスが許可された利用者を定めたアクセス権限に対応付けて記録する。記録部２００は、記録している情報を、利用者の指示に応じて出力し、または、更新する。

ここで、記録部２００に記録されている情報とは、例えば、ファイルやフォルダなどの記憶装置に対する保存単位をいう。これに代えて、情報とは、電子メールの１通分など、ファイルとは独立して管理されているデータであってもよい。以降、記録部２００に記録されているこの情報を対象情報と呼ぶ。

生成部２１０は、対象情報に対するアクセスが許可されていない利用者からその対象情報を秘密に管理するか否かを示す管理情報を生成する。例えば、生成部２１０は、個人情報を検出する既存の方法によって記録部２００内から個人情報を検出して、検出されたその個人情報を含む対象情報を、秘密に管理するべきと判断してもよい。この場合、生成部２１０は、その対象情報を秘密に管理するべき旨を示す管理情報を生成する。ここで、対象情報を秘密に管理することとは、対象情報に対して機密情報としての適切な対処をすることをいう。具体的には、機密情報を管理する管理台帳にその対象情報を登録してもよいし、その対象情報を削除してしまってもよい。また、生成部２１０は、利用者の入力によって、対象情報を秘密に管理しなくてもよい旨の指示を取得してもよい。その場合、生成部２１０は、その旨を示す管理情報を生成してもよい。

選択部２２０は、記録部２００に記録された履歴またはアクセス権限に基づいて、その対象情報にアクセスし得る利用者を選択する。選択部２２０は、サーバ装置６０に記録されて何れかのデータベースに、記録部２００に記録された対象情報が含まれることを条件に、そのデータベースに対するアクセスを許可された利用者を更に選択してもよい。

通知部２３０は、選択されたその利用者によりその対象情報をその管理情報に応じて管理させるべく、その利用者に対し、生成されたその管理情報をその対象情報の識別情報に対応付けて通知する。ここで、対象情報の識別情報とは、例えば、対象情報であるファイルを一方向関数であるハッシュ関数に入力した結果得られるハッシュ値である。これらの通知の内容を通知５０として、図５において詳細に述べる。

以上、情報処理装置２０−２が管理情報を通知する起点となって、他の情報処理装置に管理情報を通知する機能を説明した。続いて、情報処理装置２０−２が情報処理装置２０−１から通知を受けて、それに基づいて更に情報処理装置２０−３に対して通知する場合の機能構成を説明する。

受信部２４０は、情報処理装置２０−１の通知部２３０から、対象情報の管理情報を、その対象情報のハッシュ値、および、既にその管理情報が通知された利用者の集合を示す通知情報に対応付けて受信する。比較部２５０は、受信部２４０によって対象情報の管理情報が受信されたことに応じ、記録部２００に記録されている情報のハッシュ値と、受信されたそのハッシュ値とを比較する。記録部２００に記録されている情報のハッシュ値は、記録部２００に予め記録されていてもよいし、比較の毎に比較部２５０によって生成されてもよい。生成部２１０は、比較部２５０により比較されたハッシュ値が一致することを条件に、受信された管理情報に基づいて、記録部２００に記録されている情報を秘密に管理するか否かを示す管理情報を生成する。例えば、生成部２１０は、利用者による確認のための入力を前提に、受信された管理情報と同一の管理情報を生成してもよい。具体的には、対象情報を秘密に管理するべき旨が通知されたのであれば、対象情報を秘密に管理するべき旨を示す管理情報を生成し、対象情報を秘密にしなくともよい旨を通知されたのであれば、対象情報を秘密にしなくともよい旨を示す管理情報を生成する。

選択部２２０は、記録部２００に記録された履歴またはアクセス権限に基づいて、その対象情報にアクセスし得る利用者を選択する。そして、選択部２２０は、選択したその利用者の集合から、通知情報によって示された利用者を除外する。通知部２３０は、受信したその通知情報に情報処理装置２０−２の利用者を加えた通知情報、および、その対象情報のハッシュ値に対応付けて、選択部２２０によって選択された利用者に対し、生成された管理情報を通知する。

管理部２６０は、比較部２５０による比較結果に基づいて、または、利用者の指示に基づいて、記録部２００に記録された対象情報を管理する。例えば、管理部２６０は、秘密に管理するべきと判断された対象情報を、秘密に管理するべき旨を示す管理情報に対応付けて記録してもよいし、秘密に管理するべきと判断された対象情報を記録部２００から削除してもよい。また、管理部２６０は、このような管理を、利用者の承諾を条件に行ってもよい。

図３は、記録部２００のデータ構造の具体例を示す（第１例）。本図においては、記録部２００が、電子メールのメールボックスとして機能する場合について、その具体例を説明する。記録部２００は、情報処理装置２０−２の利用者が受信した電子メールを対象情報として記録する。そして、記録部２００は、その電子メールの宛先および差出人を、その電子メールに対してアクセスした利用者の履歴、または、その電子メールに対するアクセス権限として記録する。

具体的なデータ構造として、記録部２００は、電子メール毎に、その宛先、その差出人、題名、添付ファイル、および、電子メールの本文を記録する。本図の例において、情報処理装置２０−２は、電子メールアドレスがＳＡＴＯ＠△△△．ＣＯＭである利用者に対応して設けられている。このため、記録部２００は、ＳＡＴＯ＠△△△．ＣＯＭを宛先とする電子メールを記録する。即ち例えば、記録部２００は、第１行目に、宛先がＳＡＴＯ＠△△△．ＣＯＭであり、カーボンコピーの送信先がＸＸＸ＠△△△．ＣＯＭであり、差出人がＺＺＺ＠△△△．ＣＯＭであり、題名が「名簿修正の件」であり、添付ファイルがＮＡＭＥ．ＴＸＴであり、電子メールの本文が「本日はありが・・・」で始まる電子メールを記録する。

ここで、差出人は、電子メール本文およびその添付ファイルを宛先の利用者に送信している。また、宛先の利用者は、その電子メール本文および添付ファイルを差出人から受信している。このため、この電子メールの差出人および宛先の利用者は、これらの電子メールおよび添付ファイルを既に参照したか、或いは、これらの電子メールおよび添付ファイルに対するアクセスが許可された状態にあると考えられる。従って、電子メールの差出人および宛先は、対象情報に対するアクセスの履歴、または、対象情報に対するアクセス権限としての役割を果たす。

図４は、記録部２００のデータ構造の具体例を示す（第２例）。本例において、記録部２００は、通信ネットワーク３０を介して他の情報処理装置からアクセス可能な記憶領域を有する。この記憶領域は、例えば、他の情報処理装置の利用者からアクセス可能に設定されたフォルダである。そして、記録部２００は、その記憶領域中に複数のファイルを記録する。具体的には、記録部２００は、フォルダ「ＳＡＬＥＳ＿ＩＮＦＯ」の中に、ファイル「ＤＯＣＡ．ＴＸＴ」およびファイル「ＤＯＣＢ．ＴＸＴ」を記録する。

そして、フォルダ「ＳＡＬＥＳ＿ＩＮＦＯ」には、そのフォルダのアクセス権限として、そのフォルダにアクセス可能な利用者のグループ名「ＳＡＬＥＳ＿ＧＲＯＵＰ（例えば営業部門），ＥＸＥＣＵＴＩＶＥ＿ＧＲＯＵＰ（例えば役員）」が設定されている。即ち、営業部門に属する社員および役員は、このフォルダ「ＳＡＬＥＳ＿ＩＮＦＯ」にアクセスできる。また、フォルダ「ＰＲＩＶＡＴＥ」には、そのフォルダのアクセス権限として、そのフォルダにアクセス可能な利用者のログインＩＤ「ＳＡＴＯ，ＸＸＸ，ＺＺＺ」が設定されている。即ち、ＳＡＴＯ、ＸＸＸ、および、ＺＺＺの３名が、このフォルダ「ＰＲＩＶＡＴＥ」にアクセスできる。

本図の例において、あるフォルダに対するアクセス権限を有する利用者は、そのフォルダ内の全てのファイルにアクセスできる。このため、そのフォルダに対するアクセス権限が、そのフォルダに含まれるファイルに対するアクセス権限となる。即ち本図の例において、フォルダに対するアクセス権限は、そのフォルダに含まれるファイルに対するアクセス権限の役割を果たす。

図５は、通知５０のデータ構造の一例を示す。本図に例示するように、通知部２３０は、ＸＭＬ等のタグ付き文書として通知５０を送信する。そして、通知５０は、対象情報を秘密に管理するか否かを示す管理情報５００と、その対象情報の識別情報を示す識別情報５１０と、既にその管理情報が通知された利用者の集合を示す通知情報５２０とを含む。管理情報５００は、具体的には、対象情報を秘密に管理するべき旨を示すタグ＜ｓｅｎｓｉｔｉｖｅＤｏｃｕｍｅｎｔｓ＞である。

識別情報５１０は、具体的には、対象情報から一方向関数によって生成されるハッシュ値である。これにより、通信の傍受者や通知先の利用者から、その識別情報からその内容を推測されにくくすることができる。また、識別情報５１０は、対象情報それ自体のハッシュ値のみならず、対象情報を正規化したハッシュ値と、対象情報に含まれる項目毎にハッシュ値とを含んでもよい。本図の例において、対象情報それ自体のハッシュ値は、タグ＜ｏｒｉｇｉｎａｌＨａｓｈ＞によってタグ付けされている。また、対象情報を正規化したハッシュ値は、タグ＜ｎｏｒｍａｌｉｚｅｄＨａｓｈ＞によってタグ付けされている。また、項目毎のハッシュ値は、タグ＜ｒｏｃｏｒｄｓ＞によってタグ付けされている。

通知情報５２０は、具体的には、既にその管理情報を通知した利用者の識別情報のハッシュ値である。これにより、その対象情報を知っている／知り得る利用者が誰であるかという、対象情報自体と同様に重要な情報を漏洩しにくくすることができる。本図の例では、通知情報５２０内の１行目には、第１の利用者の識別情報（例えば、図３に示したメールアドレスであるＺＺＺ＠△△△．ＣＯＭ）のハッシュ値が記述されている。一方で、通知情報５２０内の２行目には、第２の利用者の識別情報（例えば、図３に示したメールアドレスであるＸＸＸ＠△△△．ＣＯＭ）のハッシュ値が記述されている。この例は、４名の利用者に対して既に管理情報が通知されたことを示す。

図６は、サーバ装置６０の機能構成を示す。サーバ装置６０は、データベース６００−１〜Ｎを記録しており、ＤＢアクセス部６１０と、生成回数管理部６２０とを有する。データベース６００−１〜Ｎの各々は、対応するカテゴリーの情報を記録する。例えば、データベース６００−１は、ある企業の営業部門の資料などの情報を記録しており、データベース６００−２は、開発部門の資料などの情報を記録しており、データベース６００−３は、経理部門の資料などの情報を記録する。データベース６００−１〜Ｎの各々には、そのデータベースに対するアクセスを許可された利用者を定めたアクセス権限が設定されている。

ＤＢアクセス部６１０は、情報処理装置２０−１〜Ｎの各々から受けた要求に応じ、データベース６００−１〜Ｎをアクセスしてアクセス結果を返す。この際、ＤＢアクセス部６１０は、アクセス権限に応じたアクセス制御を行う。また、生成回数管理部６２０は、情報処理装置２０−１〜Ｎの何れかにおいて、秘密に管理するべき旨を示す管理情報が生成された回数を、対象情報毎に管理する。即ち例えば、生成回数管理部６２０は、情報処理装置２０−１〜Ｎの何れかから受けた通知に基づいて、管理している回数を増加させる。また、生成回数管理部６２０は、管理しているその回数を、情報処理装置２０−１〜Ｎからの要求に応じて返答する。

図７は、情報処理装置２０−１が起点となって管理情報を通知する処理のフローチャートを示す。生成部２１０は、記録部２００に記録されている対象情報のリストを表示する（Ｓ７００）。例えば、生成部２１０は、記録部２００に記録されている対象情報の中から、個人情報を含む対象情報のみを検出し、検出された対象情報を表示してもよい。次に、生成部２１０は、表示したリストの中から利用者によって選択された対象情報を、秘密に管理するべき機密情報として選択する（Ｓ７１０）。

次に、生成部２１０は、選択されたその機密情報を正規化する。具体的には、生成部２１０は、記録部２００に記録されている機密情報のうち個人情報のみを検出し、検出されたその個人情報を正規化された機密情報として取り扱ってもよい。図１０にその具体例を示す。
図１０は、情報の正規化の具体例を示す（第１例）。（ａ）は、機密情報がテキストファイルである場合におけるその内容の具体例を示す。氏名「田中一郎」、住所「東京都港区」、および、電話番号「０３−１２３４−５６ＸＸ」が、連続して記述されている。

（ｂ）は、機密情報が表形式のファイルである場合におけるその内容の具体例を示す。氏名「田中一郎」が、「氏名」の列に記述され、住所「東京都港区」が、「住所」の列に記述され、電話番号「０３−１２３４−５６ＸＸ」が、「電話番号」の列に記述されている。生成部２１０は、これら何れの形式のファイルを正規化した場合であっても、同一の機密情報を生成することができる。（ｃ）は、正規化された機密情報の一例を示す。（ａ）および（ｂ）に示す個人情報は、（ｃ）において、「姓」、「名」、「住所」および「電話番号」の情報項目毎に区分されて記録される。

図７に戻る。次に、生成部２１０は、機密情報のハッシュ値を生成する（Ｓ７３０）。ハッシュ値は、機密情報それ自体について算出されてもよいし、正規化された機密情報について算出されてもよいし、情報項目毎に算出されてもよい。次に、生成部２１０は、その機密情報を秘密に管理するべき旨を示す管理情報を生成する（Ｓ７４０）。次に、選択部２２０は、記録部２００に記録された機密情報に対するアクセスの履歴またはアクセス権限に基づいて、その機密情報にアクセスし得る利用者を、その管理情報の通知先として選択する（Ｓ７５０）。

通知部２３０は、既にその管理情報が通知された利用者の集合を示す通知情報を生成する（Ｓ７６０）。本図の例において、この通知情報には、情報処理装置２０−１の利用者の識別情報のみが含まれる。この識別情報は、その利用者の電子メールアドレスのハッシュ値などの、一方向関数によって得られる情報であることが望ましい。これにより、誰が機密情報を有しているかという情報も、漏洩しにくくすることができ、機密情報を一層厳格に管理することができる。

そして、通知部２３０は、機密情報のハッシュ値を、それを秘密に管理するべき旨を示す管理情報、および、通知情報に対応付けて、選択部２２０によって選択された利用者に対して通知する。具体的には、この通知は、電子メールを自動的に送信することによって実現されてもよい。本図の例における通知先は、情報処理装置２０−２の利用者であるものとする。また、通知部２３０は、通知先が誰であるかに関わらず、サーバ装置６０に対してこれらの情報を更に通知してもよい。

図８は、情報処理装置２０−２が管理情報を転送する処理のフローチャートを示す。受信部２４０は、情報処理装置２０−１の通知部２３０から、機密情報の管理情報をその機密情報のハッシュ値に対応付けて受信する（Ｓ８００）。受信部２４０は、機密情報それ自体のハッシュ値ではなく、正規化された機密情報のハッシュ値を受信してもよい。また、受信部２４０は、その機密情報に含まれる複数の情報項目の各々に対応する複数のハッシュ値の各々を受信してもよい。また、受信部２４０は、その機密情報に含まれる情報項目のうち予め定められた情報項目のみについてのハッシュ値を受信してもよい。この場合、受信部２４０は、そのハッシュ値に対応付けて、そのハッシュ値を算出する対象となった情報項目の識別情報を受信してもよい。この識別情報は、例えば、個人情報の項目のタイトル（例えば、住所、電話番号、氏名など）である。

比較部２５０は、受信部２４０によって機密情報の管理情報が受信されたことに応じ、記録部２００に記録されている対象情報のハッシュ値と、受信されたそのハッシュ値をと比較する（Ｓ８１０）。具体的には、比較部２５０は、記録部２００に記録されているファイルを正規化し、正規化されたファイルのハッシュ値と、受信されたハッシュ値とを比較する。更に詳細には、記録部２００に記録されているファイルを、予め定められた基準ファイル形式に変換し、変換されたファイルのハッシュ値と、受信されたハッシュ値とを比較してもよい。また、比較部２５０は、記録部２００に記録されている対象情報のうち個人情報を検出し、検出された個人情報のハッシュ値と、受信されたハッシュ値とを比較してもよい。

例えば、図１０にその詳細を示す。比較部２５０は、テキスト形式のファイルであっても、表形式のファイルであっても、予め定められた個人情報記録用のファイル形式に変換することによって対象情報を正規化してもよい。この場合には、テキスト形式のファイルに様々な情報が記述されている場合であっても、個人情報のみが検出されて、正規化後のファイルに記録される。図１１に更に他の例を示す。

図１１は、情報の正規化の具体例を示す（第２例）。（ａ）は、ある情報処理システムにログインするためのパスワードを変更する画面の表示例を示し、（ｂ）は、他の情報処理システムにログインするためのパスワードを変更する画面の表示例を示す。これらの画面の表示は、情報処理システムによって異なっている。比較部２５０は、言語処理技術に基づき、これらの画面に表示された情報を正規化する。例えば、これらの画面は、何れも、パスワードが変更された旨の情報を表示しており、変更されたパスワードはｙｙｙｙであることを示している。また、比較部２５０は、同義語辞書などを用いて、「パスワード」および「Password」が共にパスワードを示す表現であることを検出してもよい。これにより、（ｃ）に示すように、ＩＤおよび変更されたパスワードの情報を、正規化された情報として得ることができる。

更に他の例として、比較部２５０は、記録部２００に記録された対象情報について、情報項目毎にハッシュ値を算出し、算出された各々のハッシュ値と、受信した各々のハッシュ値とを項目毎に比較してもよい。図１２にその具体例を示す。
図１２は、Ｓ８１０において、情報のハッシュ値が一致するか否かを比較する処理の具体例を示す。（ａ）は、受信部２４０によって受信されたハッシュ値について、そのハッシュ値を算出する対象となった機密情報の具体例を示す。この機密情報の内容は、情報処理装置２０−２において実際には参照できない。本図では、説明のためにこの内容の例を示している。

（ｂ）は、記録部２００に記録されている対象情報の具体例を示す。（ａ）および（ｂ）に示すように、機密情報および対象情報は、共に、同一の姓、住所、および電話番号を含んでいる。一方で、機密情報は、斉藤一郎氏の姓として「ＳＡＩＴＯ」を含むのに対し、対象情報は、斉藤一郎氏の姓として「ＳＡＩＴＯＵ」を含む。このように、機密情報と対象情報とが同一の情報を含んでいると推測される場合であっても、その表記の違いによって情報が異なる場合がある。

また、斉藤二郎氏の運転免許ＩＤは、機密情報には含まれる一方で、対象情報には含まれていない。個人情報は、その用途によって必要な項目が異なる場合があり、本例のように同一人物であっても記録されている項目が異なる場合がある。本例における比較部２５０は、このような相違を吸収するべく、情報項目毎にハッシュ値を算出し、算出されたハッシュ値を比較対象とする。例えば、比較部２５０は、姓、名、住所、電話番号、および、運転免許ＩＤの各々の情報項目についてハッシュ値を算出して、それらの情報項目について受信したハッシュ値の各々と比較する。

この結果、斉藤一郎氏については、「姓」が異なることから、全５つの項目のうち４つの項目が一致すると判断される。また、斉藤二郎氏についても、「運転免許ＩＤ」が異なることから、全５つの項目のうち４つの項目が一致すると判断される。そして、比較部２５０は、予め定められた基準の数以上の項目についてハッシュ値が一致することを条件に、これらの機密情報および対象情報が一致すると判断する。例えば、当該予め定められた基準の数を４とすれば、比較部２５０は、斉藤一郎氏についても斉藤二郎氏についても一致する項目の数が４であるから、これらの機密情報および対象情報が一致すると判断することができる。

これに代えて、比較部２５０は、記録部２００に記録された対象情報のうち、予め定められた情報項目についてハッシュ値を算出し、算出されたハッシュ値と、受信したハッシュ値とを比較してもよい。この予め定められた情報項目は、受信部２４０によって受信された情報項目の識別情報によって識別されてもよいし、予め定められていてもよい。即ち例えば、電話番号の表記は統一されており、かつ、個人が複数の電話番号を持つことが稀であるという仮定の下、比較部２５０は、電話番号の情報項目についてのハッシュ値を算出し、算出されたハッシュ値と、受信したハッシュ値とを比較してもよい。

これに加えて、比較部２５０は、情報項目毎に対象情報を正規化してもよい。例えば、電話番号は０３−１２３４−５６ＸＸと表記される場合もあれば、（０３）１２３４−５６ＸＸと表記される場合もある。比較部２５０は、このように表記の異なる複数の電話番号表記を、何れか１つの予め定められた表記に変換することによって、電話番号の情報項目を正規化する。そして、比較部２５０は、正規化された情報項目を比較の対象とする。更に他の例として、上述の斉藤という姓は、ローマ字表記として「ＳＡＩＴＯ」と表記される場合もあれば、「ＳＡＩＴＯＵ」と表記される場合もある。比較部２５０は、このように表記の異なる複数のローマ字表記を、予め定められた「ＳＡＩＴＯ」という表記に変換することによって、姓の情報項目を正規化する。そして、比較部２５０は、正規化された姓を比較の対象とする。以上の例示のように、情報項目毎の正規化によれば、情報の一致を判断する精度を一層高めることができる。

図８に戻る。生成部２１０は、比較部２５０により比較されたハッシュ値が一致するか否かを判断する（Ｓ８２０）。例えば、ハッシュ値が情報項目毎に生成された場合には、生成部２１０は、予め定められた基準の数以上の項目についてハッシュ値が一致することを条件に、これらのハッシュ値が一致すると判断してもよい。

一致することを条件に（Ｓ８２０）、生成部２１０は、受信された管理情報に基づいて、対象情報を秘密に管理するべきか否かを利用者に問合せる（Ｓ８３０）。この問合せの画面の表示例を図９に示す。
図９は、Ｓ８３０において、管理情報を生成するべきかを問合せる画面の表示例を示す。この例のように、生成部２１０は、ハッシュ値の一致した対象情報を一覧してもよい。即ち、ファイル「ＤＯＣＡ．ＴＸＴ」のハッシュ値と、受信したハッシュ値とが一致したので、生成部２１０は、ファイル「ＤＯＣＡ．ＴＸＴ」を利用者に対して表示する。更に、ファイル「ＤＯＣＢ．ＴＸＴ」のハッシュ値と、受信したハッシュ値とが一致したので、生成部２１０は、ファイル「ＤＯＣＢ．ＴＸＴ」を利用者に対して表示する。

生成部２１０は、ファイル名などの対象情報等に加えて、更に、その対象情報に含まれる個人情報の割合等の情報を表示してもよい。これにより、利用者による機密情報の選択を支援することができる。更に、生成部２１０は、ハッシュ値の一致した対象情報を、その対象情報を秘密に管理するべき旨を示す管理情報が生成された回数の多い順に優先して表示してもよい。例えば、ＤＯＣＡ．ＴＸＴが秘密に管理された回数は５回であり、ＤＯＣＢ．ＴＸＴが秘密に管理されたことは無く、これらの回数は情報処理装置２０−１〜Ｎの累計である。この回数は、例えば、サーバ装置６０の生成回数管理部６２０によって管理されている。これにより、利用者は、他の利用者の意見を参考に、情報を秘密に管理するべきか否かを判断できる。

図８に戻る。その対象情報を秘密に管理する旨の指示を利用者から入力したことを条件に（Ｓ８４０：ＹＥＳ）、生成部２１０は、その入力に基づいて、その旨の管理情報を生成する（Ｓ８５０）。また、生成部２１０は、その対象情報を削除するべき旨を示す管理情報を受信したことを条件に、当該情報を削除するべき旨を示す管理情報を生成してもよい。

次に、管理部２６０は、記録部２００に記録された対象情報の管理を開始する（Ｓ８６０）。例えば、管理部２６０は、その対象情報を、秘密に管理するべき旨を示す管理情報に対応付けて記録してもよい。他の例として、管理部２６０は、受信部２４０によって管理情報が受信されてから予め定められた期間が経過されたことを更に条件として、その情報を記録部２００から削除してもよい。また、受信部２４０によって受信された管理情報が、対象情報を削除する旨の指示を含むことを条件に、管理部２６０は、その対象情報を削除してもよい。また、管理部２６０は、情報処理装置２０−２の利用者が、電子メールである対象情報のカーボンコピーを受信したことを条件として、その対象情報を記録部２００から削除してもよい。好ましくは、管理部２６０は、これらの処理を、利用者の承諾を条件に行う。

次に、通知部２３０は、管理情報を、対象情報のハッシュ値に対応付けて、他の情報処理装置に対して通知する（Ｓ８７０）。

図１３は、Ｓ８７０における処理の具体例を示す。選択部２２０は、記録部２００に記録された履歴またはアクセス権限に基づいて、それらに対応する対象情報にアクセスし得る利用者を通知先として選択する（Ｓ１３００）。そして、選択部２２０は、選択したその利用者の集合から、通知情報５２０によって示された利用者を除外する（Ｓ１３１０）。選択部２２０は、受信した通知情報５２０に情報処理装置２０−２の利用者を追加した新たな通知情報を生成する（Ｓ１３２０）。そして、選択部２２０は、生成したこの通知情報を、選択した当該利用者の情報処理装置に通知する（Ｓ１３３０）。この通知は、必ずしも通知先の情報処理装置を特定したものでなくともよい。例えば、選択部２２０は、通知先の利用者を宛先とした電子メールによってこの通知情報を通知してもよい。

図１４は、Ｓ１４００における処理の具体例を示す。選択部２２０は、記録部２００に記録された履歴またはアクセス権限に基づいて、それらに対応する対象情報にアクセスし得る利用者を通知先として選択する（Ｓ１４００）。この選択の処理には、以下の２つの形態が考えられる。
（１）電子メールの利用
記録部２００は、情報処理装置２０−２の利用者が受信した電子メールを対象情報として記録し、その電子メールの宛先または差出人を履歴として記録する。送信した電子メールや受信した電子メールは、送信者や受信者の情報処理装置に履歴として残されている場合が多い。従って、電子メールが機密情報を含む場合には、その送信者や受信者もその機密情報を有している可能性が高い。このため、選択部２２０は、その電子メールの宛先または差出人を、その電子メールにアクセスし得る利用者として選択する。
（２）共用可能な記憶領域の利用
記録部２００は、通信ネットワークを経由して他の情報処理装置からアクセス可能な記憶領域を有している。そして、記録部２００は、その記憶領域中に対象情報を記録する。このような記憶領域に対しては、その記憶領域に対するアクセスが許可された利用者を定めるアクセス権限が設定されている。このアクセス権限によってアクセスが許可された利用者は、その記憶領域中に記録された機密情報をアクセスする可能性がある。このため、選択部２２０は、その記憶領域に対して設定されたアクセス権限に基づいて、その記憶領域に対するアクセスが許可された利用者を通知先として選択する。

選択部２２０は、更に他の利用者を選択するべく、次の処理を行ってもよい。まず、選択部２２０は、サーバ装置６０に記録された何れかのデータベースに、対象情報と同一の情報が記録されているか否かを判断する（Ｓ１４１０）。記録されていることを条件に（Ｓ１４１０：ＹＥＳ）、選択部２２０は、サーバ装置６０内のそのデータベースに対するアクセス権限に基づいて、そのデータベースに対してアクセスし得る利用者を選択する（Ｓ１４２０）。

図１５は、本実施例の変形例において、情報処理装置２０−１〜Ｎの各々が管理情報を通知する処理のフローチャートを示す。この変形例において、情報処理装置２０−１〜Ｎの各々の機能構成は、図２に示す構成と略同一であるので説明を省略する。また、この変形例においては、図８に示した処理とは異なり、情報処理装置２０−１〜Ｎの各々が互いに情報の機密性を通知し合うのではなく、情報処理装置２０−１〜Ｎの各々がサーバ装置６０に対して機密性を通知する。また、情報処理装置２０−１〜Ｎの各々が、他の情報処理装置によって判断された機密性の通知をサーバ装置６０から受ける。以下、具体的に述べる。

生成部２１０は、記録部２００に記録されている対象情報のリストを表示する（Ｓ７００）。例えば、生成部２１０は、記録部２００に記録されている対象情報の各々について、その対象情報を秘密に管理するべき旨を示す管理情報が生成された回数を、サーバ装置６０から受信する。そして、生成部２１０は、記録部２００に記録されている対象情報の各々を、当該対象情報を秘密に管理するべき旨を示す管理情報が生成された回数の多い順または管理された頻度の高い順に優先して表示する。

次に、生成部２１０は、表示したリストの中から利用者によって選択された対象情報を、秘密に管理するべき機密情報として選択する（Ｓ１５１０）。次に、生成部２１０は、選択されたその機密情報を正規化する（Ｓ１５２０）。正規化の具体例は図１０で述べた通りである。次に、生成部２１０は、機密情報のハッシュ値を生成する（Ｓ１５３０）。ハッシュ値は、機密情報それ自体について算出されてもよいし、正規化された機密情報について算出されてもよいし、情報項目毎に算出されてもよい。次に、生成部２１０は、その機密情報を秘密に管理するべき旨を示す管理情報を生成する（Ｓ１５４０）。そして、通知部２３０は、機密情報のハッシュ値を、それを秘密に管理するべき旨を示す管理情報に対応付けて、サーバ装置６０に対して通知する（Ｓ１５５０）。
以上、本実施例によっても、各々の利用者が他の利用者の判断結果を参考にしながら、情報の機密性を効率よく判断することができる。

図１６は、サービス提供者が本実施例または変形例の機能を実装するサービスの流れを示す。サービス提供者は、以上に説明した機能を、情報処理システム１０内の情報処理装置２０−１〜Ｎおよびサーバ装置６０に対して実装する（Ｓ１６００）。例えば、サービス提供者は、一の装置が実行することでこれらのうち少なくとも一つの機能を実現するプログラムを、当該一の装置に対してインストールしてもよい。その後、サービス提供者は、利用者の指示に応じ、ハッシュ値の比較対象となる予め定められた情報項目を、他の情報項目に変更する（Ｓ１６１０）。例えば、サービス提供者は、比較部２５０の機能を実装し直すことにより、比較対象となる情報項目を住所から電話番号に変更してもよい。また、サービス提供者は、利用者の指示に応じ、対象情報と機密情報とが一致すると判断される基準となる、情報項目が一致する数の基準を変更する。例えば、この基準の数を３つから２つに減らすことにより、機密情報と疑われるより多くの対象情報を利用者に表示し、セキュリティを強化することができる。

図１７は、本実施例またはその変形例において、情報処理装置２０−１として機能する情報処理装置３００のハードウェア構成の一例を示す。情報処理装置３００は、ホストコントローラ１０８２により相互に接続されるＣＰＵ１０００、ＲＡＭ１０２０、及びグラフィックコントローラ１０７５を有するＣＰＵ周辺部と、入出力コントローラ１０８４によりホストコントローラ１０８２に接続される通信インターフェイス１０３０、ハードディスクドライブ１０４０、及びＣＤ−ＲＯＭドライブ１０６０を有する入出力部と、入出力コントローラ１０８４に接続されるＢＩＯＳ１０１０、フレキシブルディスクドライブ１０５０、及び入出力チップ１０７０を有するレガシー入出力部とを備える。

ホストコントローラ１０８２は、ＲＡＭ１０２０と、高い転送レートでＲＡＭ１０２０をアクセスするＣＰＵ１０００及びグラフィックコントローラ１０７５とを接続する。ＣＰＵ１０００は、ＢＩＯＳ１０１０及びＲＡＭ１０２０に格納されたプログラムに基づいて動作し、各部の制御を行う。グラフィックコントローラ１０７５は、ＣＰＵ１０００等がＲＡＭ１０２０内に設けたフレームバッファ上に生成する画像データを取得し、表示装置１０８０上に表示させる。これに代えて、グラフィックコントローラ１０７５は、ＣＰＵ１０００等が生成する画像データを格納するフレームバッファを、内部に含んでもよい。

入出力コントローラ１０８４は、ホストコントローラ１０８２と、比較的高速な入出力装置である通信インターフェイス１０３０、ハードディスクドライブ１０４０、及びＣＤ−ＲＯＭドライブ１０６０を接続する。通信インターフェイス１０３０は、ネットワークを介して外部の装置と通信する。ハードディスクドライブ１０４０は、情報処理装置３００が使用するプログラム及びデータを格納する。ＣＤ−ＲＯＭドライブ１０６０は、ＣＤ−ＲＯＭ１０９５からプログラム又はデータを読み取り、ＲＡＭ１０２０又はハードディスクドライブ１０４０に提供する。

また、入出力コントローラ１０８４には、ＢＩＯＳ１０１０と、フレキシブルディスクドライブ１０５０や入出力チップ１０７０等の比較的低速な入出力装置とが接続される。ＢＩＯＳ１０１０は、情報処理装置３００の起動時にＣＰＵ１０００が実行するブートプログラムや、情報処理装置３００のハードウェアに依存するプログラム等を格納する。フレキシブルディスクドライブ１０５０は、フレキシブルディスク１０９０からプログラム又はデータを読み取り、入出力チップ１０７０を介してＲＡＭ１０２０またはハードディスクドライブ１０４０に提供する。入出力チップ１０７０は、フレキシブルディスク１０９０や、例えばパラレルポート、シリアルポート、キーボードポート、マウスポート等を介して各種の入出力装置を接続する。

情報処理装置３００に提供されるプログラムは、フレキシブルディスク１０９０、ＣＤ−ＲＯＭ１０９５、又はＩＣカード等の記録媒体に格納されて利用者によって提供される。プログラムは、入出力チップ１０７０及び/又は入出力コントローラ１０８４を介して、記録媒体から読み出され情報処理装置３００にインストールされて実行される。プログラムが情報処理装置３００等に働きかけて行わせる動作は、図１から図１５において説明した情報処理装置２０−１における動作と同一であるから、説明を省略する。

以上に示したプログラムは、外部の記憶媒体に格納されてもよい。記憶媒体としては、フレキシブルディスク１０９０、ＣＤ−ＲＯＭ１０９５の他に、ＤＶＤやＰＤ等の光学記録媒体、ＭＤ等の光磁気記録媒体、テープ媒体、ＩＣカード等の半導体メモリ等を用いることができる。また、専用通信ネットワークやインターネットに接続されたサーバシステムに設けたハードディスク又はＲＡＭ等の記憶装置を記録媒体として使用し、ネットワークを介してプログラムを情報処理装置３００に提供してもよい。

以上の実施例および変形例によれば、複数の情報処理装置を相互に接続された今日一般的な環境において、各々の情報処理装置に分散して記録された機密情報を効率的に管理することができる。また、機密性の管理情報の通知先は、情報のアクセス権限などに基づいて定められるので、情報の機密性を厳格に維持し、かつ、ネットワークトラフィックを削減することができる。更に、実施例においては、機密性の管理情報を各々の情報処理装置が相互に交換するので、ネットワークトラフィックをサーバ装置に集中しにくくすることができる。

以上、本発明を実施の形態を用いて説明したが、本発明の技術的範囲は上記実施の形態に記載の範囲には限定されない。上記実施の形態に、多様な変更または改良を加えることが可能であることが当業者に明らかである。その様な変更または改良を加えた形態も本発明の技術的範囲に含まれ得ることが、特許請求の範囲の記載から明らかである。

図１は、情報処理システム１０の全体構成を示す。 図２は、情報処理装置２０−２の機能構成を示す。 図３は、記録部２００のデータ構造の具体例を示す（第１例）。 図４は、記録部２００のデータ構造の具体例を示す（第２例）。 図５は、通知５０のデータ構造の一例を示す。 図６は、サーバ装置６０の機能構成を示す。 図７は、情報処理装置２０−１が起点となって管理情報を通知する処理のフローチャートを示す。 図８は、情報処理装置２０−２が管理情報を転送する処理のフローチャートを示す。 図９は、Ｓ８３０において、管理情報を生成するべきかを問合せる画面の表示例を示す。 図１０は、情報の正規化の具体例を示す（第１例）。 図１１は、情報の正規化の具体例を示す（第２例）。 図１２は、Ｓ８１０において、情報のハッシュ値が一致するか否かを比較する処理の具体例を示す。 図１３は、Ｓ８７０における処理の具体例を示す。 図１４は、Ｓ１４００における処理の具体例を示す。 図１５は、本実施例の変形例において、情報処理装置２０−１〜Ｎの各々が管理情報を通知する処理のフローチャートを示す。 図１６は、サービス提供者が本実施例または変形例の機能を実装するサービスの流れを示す。 図１７は、本実施例またはその変形例において、情報処理装置２０−１として機能する情報処理装置３００のハードウェア構成の一例を示す。

符号の説明

１０ 情報処理システム
２０ 情報処理装置
３０ 通信ネットワーク
５０ 通知
６０ サーバ装置
２００ 記録部
２１０ 生成部
２２０ 選択部
２３０ 通知部
２４０ 受信部
２５０ 比較部
２６０ 管理部
３００ 情報処理装置
５００ 管理情報
５１０ 識別情報
５２０ 通知情報
６００ データベース
６１０ ＤＢアクセス部
６２０ 生成回数管理部

Claims (24)

1. 情報の機密性を管理する装置であって、
   情報を、前記情報に対してアクセスした利用者を記録した履歴、または、前記情報に対するアクセスが許可された利用者を定めたアクセス権限に対応付けて記録する記録部と、
   前記情報を秘密に管理するか否かを示す管理情報を生成する生成部と、
   前記記録部に記録された前記履歴または前記アクセス権限から、前記情報をアクセスした利用者、または、前記情報に対するアクセスが許可された利用者を、前記情報にアクセスし得る利用者として選択する選択部と、
   選択された前記利用者に対応して設けられた装置に対し、生成された前記管理情報を前記情報の識別情報に対応付けて通知する通知部と、
   他の装置の通知部から、情報の管理情報を受信する受信部と、
   前記受信部によって受信された前記管理情報が、情報を秘密に管理するべき旨を示すことを条件として、受信した前記管理情報に対応する情報を秘密に管理する管理部と
   を備える装置。
2. 前記通知部は、前記情報の識別情報として、前記情報から一方向関数によって生成されるハッシュ値を通知する
   請求項１に記載の装置。
3. 前記受信部は、他の利用者に対応して設けられた他の前記装置の通知部から、情報の管理情報を当該情報のハッシュ値に対応付けて受信し、
   前記受信部によって情報の管理情報が受信されたことに応じ、前記記録部に記録されている情報のハッシュ値と、受信された前記ハッシュ値とを比較する比較部を更に備え、
   前記生成部は、前記比較部により比較されたハッシュ値が一致することを条件に、受信された管理情報に基づいて、前記記録部に記録されている前記情報を秘密に管理するべきか否かを示す前記管理情報を生成する
   請求項２に記載の装置。
4. 前記受信部は、情報の管理情報に対応付けて、既に前記管理情報が通知された利用者の集合を示す通知情報を更に受信し、
   前記選択部は、前記情報にアクセスし得る利用者として選択した利用者の集合から、前記通知情報によって示された利用者を除外し、
   前記通知部は、受信した前記通知情報に当該装置の利用者を加えた通知情報、および、前記情報のハッシュ値に対応付けて、前記選択部によって選択された前記利用者に対応して設けられた装置に対し、生成された前記管理情報を通知する
   請求項３に記載の装置。
5. 前記受信部は、情報の管理情報に対応付けて、既に前記管理情報が通知された利用者の識別情報のハッシュ値を前記通知情報として受信し、
   前記選択部は、選択した各々の前記利用者の識別情報のハッシュ値を算出し、算出された前記ハッシュ値が、前記受信部によって受信された何れかのハッシュ値と一致することを条件に、当該利用者を通知先から除外し、
   前記通知部は、受信した前記通知情報に当該装置の利用者の識別情報のハッシュ値を加えた通知情報を、前記情報のハッシュ値に対応付けて通知する
   請求項４に記載の装置。
6. 前記受信部によって受信された管理情報が、情報を秘密に管理するべき旨を示し、かつ、前記受信部によって前記管理情報が受信されてから予め定められた期間が経過されたことを更に条件として、前記情報を前記記録部から削除する管理部
   を更に備える請求項３に記載の装置。
7. 前記記録部は、当該装置の利用者が受信した電子メールを前記情報として記録し、前記電子メールの宛先を前記履歴として記録しており、
   前記管理情報が情報を秘密に管理するべき旨を示し、かつ、当該装置の利用者が、電子メールである前記情報のカーボンコピーを受信したことを更に条件として、前記情報を前記記録部から削除する管理部
   を更に備える請求項３に記載の装置。
8. 前記記録部は、前記情報としてファイルを記録しており、
   前記比較部は、前記記録部に記録されている前記ファイルを、予め定められた基準ファイル形式に変換し、変換された前記ファイルのハッシュ値と、受信された前記ハッシュ値とを比較する
   請求項３に記載の装置。
9. 前記記録部は、個人情報を含んだ前記情報を記録しており、
   前記比較部は、前記記録部に記録されている前記情報のうち個人情報を検出し、検出された個人情報のハッシュ値と、受信された前記ハッシュ値とを比較する
   請求項３に記載の装置。
10. 前記記録部は、複数の情報項目を含む前記情報を記録しており、
    前記受信部は、複数の情報項目の各々に対応する複数のハッシュ値の各々を受信し、
    前記比較部は、前記記録部に記録された前記情報について、情報項目毎にハッシュ値を算出し、算出された各々のハッシュ値と、受信した各々の前記ハッシュ値とを項目毎に比較し、
    前記生成部は、予め定められた基準の数以上の項目について前記ハッシュ値が一致することを条件に、受信した前記管理情報に基づいて、前記記録部に記録されている情報の管理情報を生成する
    請求項３に記載の装置。
11. 前記記録部は、複数の情報項目を含む前記情報を記録しており、
    前記受信部は、前記情報のうち予め定められた情報項目についてのハッシュ値を受信し、
    前記比較部は、前記記録部に記録された前記情報のうち、前記予め定められた情報項目についてハッシュ値を算出し、算出されたハッシュ値と、受信した前記ハッシュ値とを比較する
    請求項３に記載の装置。
12. 前記受信部は、前記ハッシュ値に対応付けて、更に、当該ハッシュ値を算出する対象となった情報項目の識別情報を受信し、
    前記比較部は、前記記録部に記録された前記情報のうち、受信された前記識別情報によって識別される前記情報項目についてハッシュ値を算出し、算出されたハッシュ値と、受信した前記ハッシュ値とを比較する
    請求項１１に記載の装置。
13. 前記受信部は、前記他の装置の通知部から、情報の管理情報として、当該情報を削除するべき旨を受信し、
    当該情報を削除するべき旨を受信し、かつ、前記比較部により比較されたハッシュ値が一致することを条件に、前記記録部に記録された前記情報を削除する管理部を更に備え、
    前記生成部は、当該情報を削除するべき旨を受信し、かつ、前記比較部により比較されたハッシュ値が一致することを条件に、当該情報を削除するべき旨を示す管理情報を生成する
    請求項３に記載の装置。
14. 前記記録部は、当該装置の利用者が受信した電子メールを前記情報として記録し、前記電子メールの宛先または差出人を前記履歴として記録しており、
    前記選択部は、前記電子メールの宛先または差出人を、前記情報にアクセスし得る利用者として選択する
    請求項１に記載の装置。
15. 前記記録部は、通信ネットワークを経由して他の前記装置からアクセス可能な記録領域を有し、前記記憶領域中に前記情報を記録しており、
    前記選択部は、前記記憶領域に対して設定されたアクセス権限に基づいて、前記記憶領域に対するアクセスが許可された利用者を選択する
    請求項１に記載の装置。
16. 当該装置は、少なくとも１つのデータベースを記録したサーバ装置に、通信ネットワークを介して接続されており、
    前記選択部は、前記サーバ装置に記録された何れかのデータベースに、前記記録部に記録された前記情報が含まれることを条件に、当該データベースに対するアクセスを許可された利用者を更に選択する
    請求項１に記載の装置。
17. 異なる利用者によって利用される複数の装置を備え、前記複数の装置に記録された情報の機密性を管理するシステムであって、
    前記複数の装置の各々が、
    情報を、前記情報に対してアクセスした利用者を記録した履歴、または、前記情報に対するアクセスが許可された利用者を定めたアクセス権限に対応付けて記録する記録部と、
    他の利用者に対応して設けられた他の前記装置から、情報を秘密に管理するか否かを示す管理情報を当該情報のハッシュ値に対応付けて受信する受信部と、
    前記受信部によって情報の管理情報が受信されたことに応じ、前記記録部に記録されている情報のハッシュ値と、受信された前記ハッシュ値とを比較する比較部と、
    前記比較部により比較されたハッシュ値が一致することを条件に、受信した前記管理情報に基づいて、前記記録部に記録されている情報を秘密に管理するか否かを示す管理情報を生成する生成部と、
    前記受信部によって受信された前記管理情報が、情報を秘密に管理するべき旨を示すことを条件として、受信した前記管理情報に対応する情報を秘密に管理する管理部と、
    前記記録部に記録された前記履歴または前記アクセス権限から、前記情報をアクセスした利用者、または、前記情報に対するアクセスが許可された利用者を、前記情報にアクセスし得る利用者として選択する選択部と、
    選択された前記利用者に対応して設けられた装置に対し、生成された前記管理情報を前記情報の識別情報に対応付けて通知する通知部と
    を有するシステム。
18. 前記記録部は、複数の前記情報を記録しており、
    前記複数の装置に通信ネットワークを介して接続され、前記複数の装置の何れかにおいて、秘密に管理するべき旨を示す管理情報が生成された回数を、情報毎に管理するサーバ装置を更に備え、
    前記通知部は、前記生成部によって生成された前記管理情報を、更に前記サーバ装置に対しても通知し、
    前記生成部は、記録された前記複数の情報を、前記サーバ装置によって管理された回数の多い順または管理された頻度の高い順に優先して表示し、表示された情報を秘密に管理するべきか否かを利用者に入力させ、利用者による入力に基づいて、当該情報の管理情報を生成する
    請求項１７に記載のシステム。
19. 情報の機密性を管理する装置によって、情報の機密性を管理する方法であって、
    前記装置は、情報を、前記情報に対してアクセスした利用者を記録した履歴、または、前記情報に対するアクセスが許可された利用者を定めたアクセス権限に対応付けて記録する記録部を有し、
    前記装置が、前記情報を秘密に管理するか否かを示す管理情報を生成する生成段階と、
    前記装置が、前記記録部に記録された前記履歴または前記アクセス権限から、前記情報をアクセスした利用者、または、前記情報に対するアクセスが許可された利用者を、前記情報にアクセスし得る利用者として選択する選択段階と、
    前記装置が、選択された前記利用者に対応して設けられた装置に対し、生成された前記管理情報を前記情報の識別情報に対応付けて通知する通知段階と、
    前記装置が、他の装置の通知部から、情報の管理情報を受信する受信段階と、
    前記装置が、前記受信段階によって受信された前記管理情報が、情報を秘密に管理するべき旨を示すことを条件として、受信した前記管理情報に対応する情報を秘密に管理する管理段階と
    を備える方法。
20. 前記通知段階において、前記装置は、前記情報の識別情報として、前記情報から一方向関数によって生成されるハッシュ値を通知する
    請求項１９に記載の方法。
21. 前記受信段階において、前記装置は、他の利用者に対応して設けられた他の前記装置の通知段階において通知される情報の管理情報を当該情報のハッシュ値に対応付けて受信し、
    前記装置が、前記受信段階によって情報の管理情報が受信されたことに応じ、前記記録部に記録されている情報のハッシュ値と、受信された前記ハッシュ値とを比較する比較段階を更に備え、
    前記生成段階において、前記装置は、前記比較段階により比較されたハッシュ値が一致することを条件に、受信された管理情報に基づいて、前記記録部に記録されている前記情報を秘密に管理するべきか否かを示す前記管理情報を生成する
    請求項２０に記載の方法。
22. 情報の機密性を管理する装置として、情報処理装置を機能させるプログラムであって、
    前記情報処理装置を、
    情報を、前記情報に対してアクセスした利用者を記録した履歴、または、前記情報に対するアクセスが許可された利用者を定めたアクセス権限に対応付けて記録する記録部と、
    前記情報を秘密に管理するか否かを示す管理情報を生成する生成部と、
    前記記録部に記録された前記履歴または前記アクセス権限から、前記情報をアクセスした利用者、または、前記情報に対するアクセスが許可された利用者を、前記情報にアクセスし得る利用者を選択する選択部と、
    選択された前記利用者に対応して設けられた装置に対し、生成された前記管理情報を前記情報の識別情報に対応付けて通知する通知部と、
    他の装置の通知部から、情報の管理情報を受信する受信部と、
    前記受信部によって受信された前記管理情報が、情報を秘密に管理するべき旨を示すことを条件として、受信した前記管理情報に対応する情報を秘密に管理する管理部と
    して機能させるプログラム。
23. 前記通知部は、前記情報の識別情報として、前記情報から一方向関数によって生成されるハッシュ値を通知する
    請求項２２に記載のプログラム。
24. 前記受信部は、他の利用者に対応して設けられた他の前記装置の通知部から、情報の管理情報を当該情報のハッシュ値に対応付けて受信し、
    当該プログラムは、前記情報処理装置を、前記受信部によって情報の管理情報が受信されたことに応じ、前記記録部に記録されている情報のハッシュ値と、受信された前記ハッシュ値とを比較する比較部として更に機能させ、
    前記生成部は、前記比較部により比較されたハッシュ値が一致することを条件に、受信された管理情報に基づいて、前記記録部に記録されている前記情報を秘密に管理するべきか否かを示す前記管理情報を生成する
    請求項２３に記載のプログラム。

Images