JP4342584B2

JP4342584B2 - ファイルアクセス制御装置及びプログラム

Info

Publication number: JP4342584B2
Application number: JP2007280800A
Authority: JP
Inventors: 光司岡田; 竜朗池田; 正隆山田; 実西澤; 孝則中溝; 利夫岡本
Original assignee: Toshiba Corp; Toshiba Solutions Corp
Current assignee: Toshiba Corp; Toshiba Digital Solutions Corp
Priority date: 2007-10-29
Filing date: 2007-10-29
Publication date: 2009-10-14
Anticipated expiration: 2027-10-29
Also published as: WO2009057652A1; CN101578610A; US8863305B2; JP2009110198A; US20100043070A1; CN101578610B

Description

本発明は、文書ファイルを適切に保護するようにアクセス制御を実行するファイルアクセス制御装置及びプログラムに係り、例えば、文書ファイルに対する操作に基づいて、能動的な制御を実施でき、また、文書へのアクセス制御を変更し得るファイルアクセス制御装置及びプログラムに関する。

近年、特定の情報や処理に対するアクションを、権限情報に基づいて制御するアクセス制御技術の重要性が大きく高まってきている。このような技術としては、例えば、個人情報や承認処理に対するアクション要求を受けると、アクション要求者（アクセス主体、又はサブジェクト）が所有する権限情報と、権限情報とアクションの可否パターンを示したアクセス制御ルール又はアクセス制御ポリシに基づいて、当該アクションの実行可否を決定する方式がある。

アクセス制御ポリシとは、一般的に、アクセス制御ルールの集合として考えられる。アクセス制御ポリシは、標準的な記述仕様（例えば、非特許文献１を参照。）が公開されたこともあり、広く利用されてきている。なお、非特許文献１に記載の記述仕様では、付随的な要素として、責務（Obligation）を規定する要素が記述されている。この責務要素は、一般的に「〜しなければならない」という責務行為内容を記述することを想定している。しかしながら、非特許文献１には、責務要素の詳細な内容記述が規定されていない。また、非特許文献１には、責務を含めた場合のアクセス制御ポリシの取扱い、及び評価結果に対する処理方法が規定されていない。

一方、文書ファイルに対するアクセス制御方法には、権限情報をセキュリティ属性として付与する方式がある。この方式では、例えば、ファイルに対する権限情報を「閲覧許可」や「編集許可」といったアクション可否形式で記述し、権限情報をユーザに割り当てる。この種の権限情報は、アクセス制御マトリックス（Access Control Matrix）やアクセス制御リスト（Access Control List）として知られている。例えば特許文献１では、「セキュリティコンテナ」として文書ファイルに権限（ルール）を付与する方法が示されている。

しかしながら、アクション可否形式では、許可されるアクセス時間やアクセス場所といった条件や、より詳細な制限などの如き、詳細で柔軟なアクセス制御内容を記述することが困難となっている。近年、アクセス制御ポリシ又はライセンスの如きを必要とする分野、特に一般的な文書アプリケーションなどでは、より詳細なアクセス制御内容を記述可能なアクセス制御ポリシ形式のアクセス制御方式が必要とされるようになってきている。
Tim Moses, " eXtensible Access Control Markup Language（XACML） Version 2.0 ", [online], [2007年10月01日検索]、インターネット＜URL：http://docs.oasis-open.org/xacml/2.0/XACML-2.0-OS-NORMATIVE.zip＞特開２００５−５６４１８号公報

上記説明の背景技術により、より詳細なアクセス制御内容を記述できるようになってきているが、それは主に特定のアクセスに対して許可か否かを判断するに留まっている。しかしながら、本発明者の検討によれば、文書等に対する制御という観点からみれば、特定のアクセスに対して許可か否かを判断するだけではなく、より能動的な制御を行う必要があると考える。例えば、文書ファイルに有効期限が設定され、有効期限が切れた場合、単純にアクセスを禁止するだけではなく、当該文書ファイルを能動的に削除したいという要求が存在すると考察される。これは、単純に有効期限が切れた文書ファイルへのアクセスを禁止するだけでは、文書ファイルそのものは存在し続けるため、潜在的なリスクが残り続けることになるからである。

また、文書ファイルを操作する状況において、操作した時点で当該文書のステータスが遷移するため、権限を変更したい場合がある。具体的には、適切な承認を介して発行された正規文書を編集操作したとき、「正規文書」を示すステータスが「非正規文書」を示すステータスに遷移するため、取り扱いの権限を「印刷許可」から「印刷禁止」に変更したい場合がある。

しかしながら、従来のアクセス制御方式では、ステータスの遷移前後にかかわらず、文書アプリケーションを起動した時の権限を継続的に適用している。このため、編集後の非正規文書が「印刷許可」の取り扱い権限により印刷され、誤って配布される心配がある。

このように、従来のアクセス制御方式では、文書への操作に応じて、能動的な制御を実施したり、文書へのアクセス制御を変更できないという不都合がある。

本発明は上記実情を考慮してなされたもので、文書への操作に応じて、能動的な制御を実施でき、また、文書へのアクセス制御を変更し得るファイルアクセス制御装置及びプログラムを提供することを目的とする。

第１の発明は、文書内容と禁止型ポリシ及び責務型ポリシとを含む文書ファイルを記憶可能な記憶装置、ポリシ評価制御モジュール、文書アプリケーション部及び外部サービス部を備え、前記文書ファイルへのアクセスを制御するためのファイルアクセス制御装置であって、前記ポリシ評価制御モジュールとしては、前記文書アプリケーション部及び外部サービス部からそれぞれ実行可否情報を取得して保持する可否情報取得手段と、ユーザの操作内容に対応したイベント情報及び前記記憶装置内の文書ファイルが前記文書アプリケーション部から入力されると、予め決められた評価情報リストに基づいて、前記ユーザの認証結果及びユーザ属性情報を取得する認証結果取得手段と、前記評価情報リストに基づいて、前記可否情報取得手段から実行可否情報を取得すると、この実行可否情報、前記認証結果及び前記ユーザ属性情報からなる評価情報、前記イベント情報、前記禁止型ポリシ及び前記責務型ポリシを送出する手段と、前記送出された評価情報内の認証結果及びユーザ属性情報並びにイベント情報と、前記禁止型ポリシに予め記述された認証結果、ユーザ属性情報及びイベント情報とをそれぞれ比較し、比較結果がそれぞれ一致していれば、前記禁止型ポリシに予め記述された許可又は禁止を示す評価結果を送出する禁止型ポリシ評価手段と、前記評価情報内の実行可否情報、前記イベント情報及び前記評価結果と、前記責務型ポリシに予め記述された実行可否情報、前記イベント情報及び前記評価結果とをそれぞれ比較し、比較結果がそれぞれ一致していれば、前記責務型ポリシに予め記述された責務実行主体及び責務実行行為を含む制御情報を送出する責務型ポリシ評価手段と、前記制御情報を受けると、前記制御情報内の責務実行主体に基づいて、当該制御情報を前記責務実行主体に指定された主体に送出する制御管理手段と、前記指定された主体が文書アプリケーション制御手段の場合、前記制御管理手段から送出された制御情報内の責務実行行為に基づいて、前記文書アプリケーション部を制御する前記文書アプリケーション制御手段とを備えたファイルアクセス制御装置である。

（作用）
第１の発明は、予め操作に応じた制御情報を責務型ポリシとして文書ファイルに付与する。次に、文書ファイルに対する操作に応じて、ポリシ評価制御モジュールが文書ファイル内の責務型ポリシを評価及び実行する。責務型ポリシの実行には、責務実行行為に基づく文書アプリケーション部の制御が含まれる。従って、文書に対する操作に応じて、能動的な制御を実施でき、また、文書へのアクセス制御を変更することができる。

以上説明したように本発明によれば、文書への操作に応じて、能動的な制御を実施でき、また、文書へのアクセス制御を変更できる。

以下、本発明の各実施形態について図面を用いて説明する。なお、以下の各装置は、装置毎に、ハードウェア構成、又はハードウェア資源とソフトウェアとの組合せ構成のいずれでも実施可能となっている。組合せ構成のソフトウェアとしては、予めネットワーク又は記憶媒体から対応する装置のコンピュータにインストールされ、対応する装置の機能を実現させるためのプログラムが用いられる。

（第１の実施形態）
図１は本発明の第１の実施形態に係るファイルアクセス制御装置が適用されたファイルアクセス制御システムの構成例を示す模式図である。このファイルアクセス制御システムは、認証サーバ装置１０、鍵管理サーバ装置２０、ポリシ設定装置３０及びファイルアクセス制御装置４０が互いにネットワークを介して接続されている。なお、認証サーバ装置１０及び鍵管理サーバ装置２０は、必須ではなく、例えばファイルアクセス制御装置４０内でユーザ認証及び鍵管理を実行する場合などには省略可能となっている。この場合、ファイルアクセス制御装置４０は、後述する認証用記憶装置１１、ユーザ認証部１３、鍵管理用記憶装置２１及び鍵管理部２３を付加した構成とすればよく、さらに各記憶装置１１，２１を、後述する記憶装置４１に含めた構成としてもよい。

ここで、認証サーバ装置１０は、図２に示すように、認証用記憶装置１１、セキュア通信部１２及びユーザ認証部１３を備えている。

認証用記憶装置１１は、ユーザ認証部１３から読出／書込可能であり、予めユーザ認証を行うための認証情報とユーザ属性情報とを互いに関連付けて保存している。認証情報は、例えばパスワードや認証鍵といったユーザ認証に用いる情報である。ユーザ属性情報とは、ユーザの個人名や、ユーザの属するグループ（ロール）の情報である。グループ（ロール）とは、例えば会社における役職、部門や、任意に設定されたユーザグループである。

セキュア通信部１２は、ユーザ認証部１３と、ポリシ設定装置３０又はファイルアクセス制御装置４０との間に安全な通信路を確保して両者を通信可能とする機能とをもっている。なお、セキュア通信部１２はユーザ認証部１３に含めてもよい。安全な通信路の確保は、例えば、ＳＳＬ（secure socket layer）やＩＰｓｅｃ（IP security protocol）等の暗号通信プロトコル等により実現可能であり、これは他のセキュア通信部２２，３２，４３でも同様である。

ユーザ認証部１３は、ポリシ設定装置３０からセキュア通信部１２を介して認証情報及びユーザ属性情報を受けると、当該認証情報とユーザ属性情報とを互いに関連付けて認証用記憶装置１１に書き込む機能と、ファイルアクセス制御装置４０からセキュア通信部１２を介してユーザ認証要求を受けると、セキュア通信部１２を介してファイルアクセス制御装置４０のユーザとの間でユーザ認証を行い、その認証結果やユーザ属性情報をセキュア通信部１２からポリシ評価制御モジュール４４に送信する機能を備えている。なお、認証情報およびユーザ属性情報は、ポリシ設定装置３０から受け取る以外にも、例えば、認証サーバ装置が備える図示しない入力装置を介してサーバ管理者により入力されても良いし、その他手段により入力されても良い。

鍵管理サーバ装置２０は、図３に示すように、鍵管理用記憶装置２１、セキュア通信部２２及び鍵管理部２３を備えている。

鍵管理用記憶装置２１は、鍵管理部２３から読出／書込可能であり、文書特定情報と鍵情報とを互いに関連付けて保存している。文書特定情報は、例えばファイル名のように、文書ファイルを特定可能な情報である。鍵情報は、例えば共通鍵暗号方式の鍵情報であり、文書ファイルの暗号化に用いた鍵情報である。

セキュア通信部２２は、鍵管理部２３と、ポリシ設定装置３０又はファイルアクセス制御装置４０との間に安全な通信路を確保して両者を通信可能とする機能とをもっている。なお、セキュア通信部２２は鍵管理部２３に含めてもよい。

鍵管理部２３は、ポリシ設定装置３０からセキュア通信部１２を介して文書特定情報及び鍵情報を受けると、当該文書特定情報と鍵情報とを互いに関連付けて鍵管理用記憶装置２１に書き込む機能と、ファイルアクセス制御装置４０からセキュア通信部２２を介して鍵送信要求を受けると、鍵送信要求内の文書特定情報に基づいて、鍵管理用記憶装置２１から読み出した鍵情報をセキュア通信部２２からファイルアクセス制御装置４０に送信する機能をもっている。

ポリシ設定装置３０は、図４に示すように、ポリシ設定用記憶装置３１、セキュア通信部３２、通信部３３及びポリシ設定部３４を備えている。

ポリシ設定用記憶装置３１は、ポリシ設定部３４から読出／書込可能であり、文書ファイル、共通鍵及び署名鍵を保存している。この署名鍵は、ポリシ設定装置３０の署名鍵（ポリシ設定装置３０の秘密鍵）でもよく、ユーザ端末の署名鍵（ユーザ端末の秘密鍵）でもよい。

セキュア通信部３２は、ポリシ設定部３４と、認証サーバ装置１０又は鍵管理サーバ装置２０との間に安全な通信路を確保して両者を通信可能とする機能とをもっている。なお、セキュア通信部３２はポリシ設定部３４に含めてもよい。

通信部３３は、ポリシ設定部３４と、ファイルアクセス制御装置４０との間で通信を実行する機能をもっている。

ポリシ設定部３４は、文書ポリシ設定者の操作により、セキュア通信部３２を介して認証情報及びユーザ属性情報を認証サーバ装置１０に送信する機能と、文書ポリシ設定者の操作により、セキュア通信部３２を介して文書特定情報及び鍵管理情報を鍵管理サーバ装置２０に送信する機能と、文書ポリシ設定者の操作により、ポリシ設定用記憶装置３１内の文書ファイルのアクセス制御ポリシを文書ポリシ設定者により入力された値又は予め決められた値に設定する機能と、文書ポリシ設定者の操作により、ポリシ設定用記憶装置３１内の文書ファイルを通信部３３からファイルアクセス制御装置４０に送信する機能とをもっている。

また、ポリシ設定部３４は、文書内容を暗号化する機能、又は文書内容及びアクセス制御ポリシを分離できない形式で暗号化する機能を備えていても良い。分離できない形式で暗号化するとは、例えば文書内容とアクセス制御ポリシを併せて暗号化することである。ポリシ設定部３４は、（暗号化された）文書内容及びアクセス制御ポリシの改竄を防ぐために、ポリシ設定用記憶装置３１に記憶されているポリシ設定装置３０の署名鍵（ポリシ設定装置３０の秘密鍵）によりデジタル署名を生成する機能を備えていても良い。

ここで、文書ファイルの具体例を図５に示す。文書ファイルｄ１０は文書内容ｄ１１、アクセス制御ポリシｄ１２、セキュリティ情報ｄ１５を含んでいる。

文書内容ｄ１１は、文書特定情報としてのファイル名、所謂文書内容であるテキスト、書式、マクロなどの情報が含まれる。また、文書の情報だけではなく、図面やプログラムなどの情報が含まれていても良く、文書アプリケーション特有の制御情報を含んでいても良い。また、文書内容ｄ１１は文書属性を含んでもよい。文書属性としては、例えば、作成者（個人名／作成部門）、所有者（文書管理責任部門）、作成日時（最終編集日時）、機密区分（極秘、秘、社外秘、公開）、ステータス情報（正規、ドラフト）、開示情報（開示、非開示）、有効期限、取り扱い関係者、などが適宜使用可能となっている。この文書属性は、後述する責務型ポリシｄ１４の制御情報に基づき、更新される場合がある。

アクセス制御ポリシｄ１２には、文書ポリシ設定者が設定する文書へのアクセス制御条件が記述される。具体的には、アクセス制御ポリシｄ１２は、禁止型ポリシｄ１３と、責務型ポリシｄ１４との２種類のポリシが記述される。

禁止型ポリシｄ１３とは、『「アクセス主体（Suject）」は、「操作（action）」を許可（禁止）』という形式のルール集合である。ここで「アクセス主体」とは、操作を行う主体であり、例えばユーザやロールなどである。ここで「操作」とは、文書の新規作成、閲覧（文書を開く）、編集、印刷、複写、当該文書内容の全体または一部の複製などの操作である。よって禁止型ポリシｄ１３は、例えば、『ユーザAは、閲覧を許可』や、『作成部門以外は、編集を禁止』などのルールが記述される。

一方、責務型ポリシｄ１４とは、『「条件」が成り立つ場合は、「制御」を実施』という形式のルール集合である。ここで「条件」とは、ユーザの認証可否や文書属性の有無、環境情報（例えば、時間情報）の状態などであり、さらに複数の条件がＡＮＤ（論理積）やＯＲ（論理和）で結合された条件集合でも良い。「制御」とは、文書アプリケーション、外部サービスの制御やアクセス制御ポリシの変更などの制御である。外部サービスの詳細については後述する。

ここで、責務型ポリシｄ１４について図６〜図８に示す例を参照しながら説明する。責務型ポリシｄ１４においては、例えば、以下の要素を用いて責務内容（前記責務型ポリシにおける「制御」に当たる）を表現可能となっている。“subject”（主体）、“action”（行為）、“resource”（リソース）、“environment”（環境）、“complement”（補体）などである。

“subject”（主体）は責務の実行主体を示し、“action”（行為）は責務の実行内容を示す。“resource”（リソース）は責務の実行客体を示し、“environment”（環境）は責務を実行すべき環境を示す。“complement”（補体）は、責務の行為内容を補足する。

これら要素を、非特許文献１に記載のＸＡＣＭＬＶ２．０を利用して記述したポリシ例を図６に示す。

図６中、責務（Obligation）要素の属性割当て（AttributeAssignment）要素として、責務内容を表現している。責務を構成する要素を属性割当て要素の属性ＩＤ（AttributeID）属性値として表現している。属性ＩＤ属性値“subject”を持つ属性割当て要素は、責務を実行すべき主体を示している。明示的に指定されている場合には、指定された責務主体が実行しなければならないことを示している。（暗黙的に）省略されている場合は、評価を要求した主体が責務主体にあたる。記述例では、サービス名称を文字列表現している。より特定した形式にする場合には、データ型（DataType）属性値を指定したい形式に対応した値にすればよい。これは、以降の責務要素の各属性割当て要素においても同様である。

属性ＩＤ属性値“action”を持つ属性割当て要素は、責務の実行すべき行為を示している。原則的に、この属性は、明示的に指定されることが望ましい。また、属性ＩＤ属性値“subject”を持つ属性割当て要素と同様に、行為名称を文字列表現しており、より特定した形式にする場合には、データ型属性値を指定したい形式に対応した値にすればよい。この例では、データ型属性値を“DeleteFile”としており、ファイルを削除することを指定している。削除対象となるファイルは、属性ＩＤ属性値“resource”を持つ属性割当て要素を指定していないため、リクエスト要求に含まれるリソース要素と同一のリソースと解釈する。ＵＲＩ(Uniform Resource Identifier)形式などで明示的に指定した場合は、指定されたリソース（ファイル）が削除対象となる。その場合は、属性ＩＤ属性値“resource”を持つ属性割当て要素として定義すればよい。

属性ＩＤ属性値“environment”を持つ属性割当て要素は、この記述例では省略しているが、責務の実行環境を指定する必要がある場合に記述してもよい。例えば、特定日（「2007年10月01日」）に責務を実行させたい場合は、図７に示すように記述する。

属性ＩＤ属性値“complement”を持つ属性割当て要素は、この記述例では省略している。属性ＩＤ属性値“action”を持つ属性割当て要素を補足する内容がある場合に記載される。例えば、属性ＩＤ属性値“action”を持つ属性割当て要素が、特定の機能を制限する行為を示す値を持つとき、制限する機能を示すために利用する。例えば、下記のような例では、属性ＩＤ属性値“action”を持つ属性割当て要素で、機能を制限することを示す“DisableFunctions”値を定義したとすると、制限する機能内容を属性ＩＤ属性値“complement”を持つ属性割当て要素で定義することができる。図８に示す例では、“Print”値により「印刷」機能を制限することを示している。

また、図６〜図８に示す例では、責務の実行契機（前記責務型ポリシの「条件」に当たる）は、ＸＡＣＭＬＶ２．０で規定されている通りのものを利用している（責務要素のFulfillOn属性）。

図６〜図８に示す表記は、ＸＡＣＭＬＶ２．０の記法を拡張して、本実施形態で必要なポリシを表記できることを示した一例である。このため、他のポリシ表記法を用いたり、例と同様にＸＡＣＭＬＶ２．０を利用したりする場合でも、本実施形態で必要な要素を表現できるのであれば、例に示したものと異なる表現を用いてもよい。

一方、セキュリティ情報ｄ１５には、文書内容ｄ１１等が暗号化されているか否かを示す暗号状態情報と、暗号化に用いたアルゴリズムを特定可能な暗号化アルゴリズム特定情報、暗号化に用いた鍵を特定可能な鍵特定情報が記述される。さらに、セキュリティ情報ｄ１５には、ポリシ設定部３４により生成されたデジタル署名と、このデジタル署名を検証する検証鍵を特定可能な検証鍵特定情報が記述されても良い。このとき、暗号状態情報、暗号化アルゴリズム特定情報、鍵特定情報、検証鍵特定情報そのものがセキュリティ情報として含まれていない場合であっても、これらの暗号状態情報、暗号化アルゴリズム特定情報、鍵特定情報、検証鍵特定情報が図示しない保管サーバ装置や鍵管理サーバ装置２０の各記憶装置に記憶されている場合にそれらの記憶場所を指定する取得先アドレス情報（URLやURIなど）を暗号状態情報、暗号化アルゴリズム特定情報、鍵特定情報、検証鍵特定情報に代えてセキュリティ情報に含まれていても構わない。この場合、暗号状態情報、暗号化アルゴリズム特定情報、鍵特定情報、検証鍵特定情報がそれぞれ変更した場合であっても、図示しないサーバ装置や鍵管理サーバ２０内部で変更しておけば構わない。

続いて、ファイルアクセス制御装置４０について説明する。

ファイルアクセス制御装置４０は、図９に示すように、記憶装置４１、通信部４２、セキュア通信部４３、ポリシ評価制御モジュール４４、文書アプリケーション部４５及び外部サービス部４６を備えている。

記憶装置４１は、各部４２〜４６から読出／書込可能であり、文書ファイルｄ１０を記憶するものである。

通信部４２は、ポリシ設定装置３０と通信するものであり、ポリシ設定装置３０から受けた文書ファイルｄ１０を記憶装置４１に書き込む機能をもっている。なお、通信部４２は外部サービス部４６に含めてもよい。

セキュア通信部４３は、認証サーバ装置１０及び鍵管理サーバ装置２０との間で安全な通信路を確保して両者を通信可能とする機能と、ポリシ評価制御モジュール４４から受けた鍵特定情報、検証鍵特定情報または上述した取得先アドレス情報に基づいて、図示しないサーバ装置又は鍵管理サーバ装置２０等から文書ファイルに対応した鍵情報やデジタル署名の検証鍵を取得してポリシ評価制御モジュール４４に送出する機能とをもっている。なお、セキュア通信部４３は、後述するポリシ評価制御モジュール４４内の復号・署名検証部４４ｂ及び評価情報取得部４４ｃに含めてもよい。

ポリシ評価制御モジュール４４は、文書アプリケーション部４５から入力されたイベント情報及び文書ファイルに基づいて、文書ファイルｄ１０に記述されたアクセス制御ポリシｄ１２を評価する機能と、その評価結果に基づいて、文書アプリケーション部４５と外部サービス部４６とを制御する機能と、当該評価結果に基づいて、記憶装置４１内の文書ファイルｄ１０の文書属性及びアクセス制御ポリシｄ１２を変更する機能とを備えた耐タンパなモジュールである。イベント情報とは、文書の新規作成、閲覧（文書を開く）、編集、印刷、複写、当該文書内容の全体または一部の複製などを命令する操作に応じたコマンド情報である。耐タンパとは、機能の実行の不正な改竄・攻撃に対して耐性を持っているという意味である。

さらに、ポリシ評価制御モジュール４４は、セキュア通信部４３を介して認証サーバ装置１０から認証結果やユーザ属性情報を取得する機能と、セキュア通信部４３を介して鍵管理サーバ装置２０から鍵情報を取得する機能と、文書アプリケーション部４５や外部サービス部４６の状態（制御が可能か否か）を取得する機能とを備えている。ポリシ評価制御モジュール４４は、一般的には文書アプリケーションのプラグインソフトウェアとして実装され、図示しない演算処理装置が当該プラグインソフトウェアのプログラムを実行することにより各機能を実現している。但し、ポリシ評価制御モジュール４４は、プラグインソフトウェアに限らず、プラグインではないソフトウェアのプログラムを実行することにより各機能を実現するものとしてもよい。さらに、ポリシ評価制御モジュール４４は、文書アプリケーションの提供ベンダや他のサービス提供ベンダ等が用意している特定Webサイトからダウンロードし、ファイルアクセス制御装置４０にインストールされることによって当該ファイルアクセス制御装置４０内に構成されることとしても良い。

文書アプリケーション部４５は、文書ファイルｄ１０への外部からの操作に対応するイベント情報及び文書ファイルをポリシ評価制御モジュール４４に入力する機能と、ポリシ評価制御モジュール４４に制御され、文書内容ｄ１１に対する操作を制御する機能と、イベント情報に基づいて文書内容ｄ１１に対する操作を実行する機能とをもっている。操作を制御する機能とは、操作を許可又は禁止するように制御する機能と、操作を実行するように制御する機能とがある。操作を許可又は禁止するように制御する機能には、例えば、文書内容ｄ１１の閲覧だけを許可する機能や、文書内容ｄ１１の印刷を禁止する機能がある。操作を実行するように制御する機能には、例えば、文書内容ｄ１１を削除する機能がある。なお、文書アプリケーション部４５は、耐タンパな文書アプリケーションプログラムを演算処理装置（図示せず）が実行することにより各機能を実現している。特に、文書アプリケーション部４５が文書ファイルｄ１０を操作する際、操作中の文書ファイルが外部から別途操作されないよう保護されていることが望ましい。これは、例えば文書ファイルを保護された形でメモリ上に複製し、その複製した文書ファイルに対して操作を行い、保存時にその操作結果を元の文書ファイルに反映させることで実現される。この場合、ポリシ評価制御モジュール４４へは、文書ファイルそのものの入力に代えて、メモリ上に複製された文書ファイルへのポインタが入力され、ポリシ評価制御モジュール４４ではこのメモリ上に複製された文書ファイルに対して操作を行う。

外部サービス部４６とは、文書アプリケーションが実行されるプラットフォーム上に備えられたサービス機能をもっている。ここで、サービス機能としては、例えば文書ファイルｄ１０の削除サービス機能や、メールサービス機能などが適用可能となっている。また、外部サービス部４６は、外部サービス用プログラムを演算処理装置（図示せず）が実行することにより各機能を実現している。

次に、ポリシ評価制御モジュール４４の内部構成を図１０に示す。ポリシ評価制御モジュール４４は、イベント制御部４４ａ、復号・署名検証部４４ｂ、評価情報取得部４４ｃ、責務実行可否情報取得部４４ｄ、禁止型ポリシ評価部４４ｅ、責務型ポリシ評価部４４ｆ、制御管理機能４４ｇ、文書アプリケーション制御部４４ｈ、文書ファイル制御部４４ｉ及び外部サービス制御部４４ｊを備えている。

イベント制御部４４ａは、文書アプリケーション部４５からイベント情報及び文書ファイルｄ１０が入力されると、イベント情報が「文書の閲覧（文書を開く）」であるか否かを判定する機能と、判定結果が「文書の閲覧」の場合には、文書ファイルｄ１０のセキュリティ情報ｄ１５に基づいて文書内容ｄ１１及びアクセス制御ポリシｄ１２が暗号化されているか否かを判定する機能と、当該セキュリティ情報ｄ１５がデジタル署名を含むか否かを判定する機能とをもっている。

イベント制御部４４ａは、判定の結果、文書内容ｄ１１等が暗号化されている場合、又はセキュリティ情報ｄ１５がデジタル署名を含む場合には、文書ファイルｄ１０を復号・署名検証部４４ｂに送出して復号処理及び署名検証処理を実行させる機能と、復号・署名検証部４４ｂの各処理が成功した場合には、復号された文書内容ｄ１１及びアクセス制御ポリシｄ１２を含む文書ファイルｄ１０及びイベント情報を評価情報取得部４４ｃに送出する機能とをもっている。ここで署名検証処理を簡単に説明すれば、セキュリティ情報ｄ１５にデジタル署名が含まれている場合に、ファイルアクセス制御装置４０が署名鍵（例えばポリシ設定装置３０の秘密鍵）に対する公開鍵を用いて署名検証（送信相手が正当な送信相手であるか否か、通信途中で当該文書内容ｄ１１が改竄等されていないかを判断）する処理がその一例である。

また、イベント制御部４４ａは、判定の結果、イベント情報が「文書の閲覧」ではなく「文書の保存」や「文書の印刷」である場合には、そのイベント情報が入力されている際に開いている文書ファイル及びイベント情報を評価情報取得部４４ｃに送出する機能をもっている。

なお、元々文書ファイルｄ１０が暗号化されず、デジタル署名が付与されない運用の場合には、セキュリティ情報ｄ１５、イベント制御部４４ａ及び復号・署名検証部４４ｂが省略される一方、文書アプリケーション部４５から入力されたイベント情報及び文書ファイルｄ１０が評価情報取得部４４ｃに入力される。

復号・署名検証部４４ｂは、イベント制御部４４ａから文書ファイルｄ１０を受けると、文書ファイルｄ１０のセキュリティ情報ｄ１５に基づいて文書内容ｄ１１及びアクセス制御ポリシｄ１２が暗号化されているか否かを判定する機能と、当該セキュリティ情報ｄ１５がデジタル署名を含むか否かを判定する機能と、判定の結果、文書内容ｄ１１等が暗号化されている場合、又はセキュリティ情報ｄ１５がデジタル署名を含む場合には、文書内容ｄ１１等を鍵情報に基づいて復号する機能と、検証鍵に基づいてデジタル署名を検証する機能と、復号結果及び検証結果をイベント制御部４４ａに送出する機能とをもっている。

復号・署名検証部４４ｂは、復号のための鍵情報をセキュリティ情報ｄ１５に基づいて鍵管理サーバ装置２０から取得する機能を有するが、これに限らず、別途異なる手段で鍵情報を取得しても良い。同様に、復号・署名検証部４４ｂは、検証のための検証鍵をセキュリティ情報ｄ１５に基づいて鍵管理サーバ装置２０等から取得する機能を有するが、これに限らず、別途異なる手段で検証鍵を取得しても良い。例えばデジタル署名の生成に用いた署名鍵がユーザの署名鍵の場合には、検証鍵はファイルアクセス制御装置４０の記憶装置４１から読み出すことにより、取得してもよい。復号・署名検証部４４ｂは、復号又は署名検証に失敗した場合には、処理を停止する。また、復号・署名検証部４４ｂは、文書内容ｄ１１のみが暗号化されている場合には、この時点では復号せずに、禁止型ポリシｄ１３又は責務型ポリシｄ１４が評価された後に復号しても良い。

評価情報取得部４４ｃは、予め決められた評価情報リストに記載の評価情報の種別、又は入力された文書ファイルｄ１０のアクセス制御ポリシｄ１２の評価に必要な評価情報を外部から取得する機能を備えている。評価情報リストとは、入力された文書ファイルｄ１０内のアクセス制御ポリシｄ１２の評価に必要か否かにかかわらず、アクセス制御ポリシｄ１２に記述される可能性をもつ全ての評価情報の種別が記載されたリストである。このような評価情報リストは、例えばプログラムコードの一部として記述される。

評価情報とは、例えば、ユーザの認証結果、ユーザ属性情報、時間情報、外部機能の実行可否情報、などが使用可能となっている。上記した禁止型ポリシの用語定義における「アクセス主体」を特定できる情報や同様に上記した責務型ポリシの用語定義における「条件」を評価するための情報に相当するものも同様に評価情報に含まれる。

評価情報取得部４４ｃは、イベント制御部４４ａから文書ファイル及びイベント情報を受けると、ユーザの認証結果及びユーザ属性情報を取得する場合、ユーザ認証の要求をセキュア通信部４３から認証サーバ装置１０に送信し、認証結果（成功又は失敗）及びユーザの属性情報を認証サーバ装置１０から取得する機能を備えている。

評価情報取得部４４ｃは、時間情報を取得する場合、外部から時間情報等を取得する機能を備えている。

評価情報取得部４４ｃは、実行可否情報を取得する場合、実行可否情報送出要求を責務実行可否情報取得部４４ｄに送出し、実行可否情報を責務実行可否情報取得部４４ｄから取得する機能と、所定時間経過後に更新後の実行可否情報を責務実行可否情報取得部４４ｄから取得する機能とをもっている。

また、評価情報取得部４４ｃは、文書ファイルｄ１０のアクセス制御ポリシｄ１２、イベント情報及び評価情報（例、ユーザの認証結果、ユーザ属性情報、時間情報、外部機能の実行可否情報、など）を禁止型ポリシ評価部４４ｅに送出する機能を備えている。

責務実行可否情報取得部４４ｄは、責務型ポリシｄ１４の制御実行に必要な外部機能の制御が可能か否かの実行可否情報を、文書アプリケーション制御部４４ｈ、文書ファイル制御部４４ｉ及び外部サービス制御部４４ｊから個別に取得して保持する機能と、評価情報取得部４４ｃから実行可否情報送出要求を受けると、これら実行可否情報を評価情報取得部４４ｃに送出する機能と、実行可否情報を更新した場合には更新後の実行可否情報を評価情報取得部４４ｃに送出する機能とをもっている。ここで、外部機能の制御としては、文書アプリケーション部４５や様々な外部サービス部４６、及び文書ファイルｄ１０の制御などが該当する。これら文書アプリケーション部４５、様々な外部サービス部４６のサービスが稼働している場合と稼働していない場合とによって、実行可否情報の結果も制御可能と制御不可能とに分かれることとなる。

責務実行可否情報取得部４４ｄは、ポリシ評価制御モジュール４４にイベント情報及び文書ファイルが入力された時点で実行可否情報を取得してもよく、評価情報取得部４４ｃから要求された時点で実行可否情報を取得してもよい。また、責務実行可否情報取得部４４ｄは、定期的に実行可否情報を更新してもよい。

禁止型ポリシ評価部４４ｅは、評価情報取得部４４ｃから入力されたイベント情報、評価情報に基づいて、アクセス制御ポリシｄ１２に記述された禁止型ポリシｄ１３を評価する機能と、評価の後、イベント情報、評価情報、禁止型ポリシｄ１３の評価結果（許可又は禁止）及びアクセス制御ポリシｄ１２に記載された責務型ポリシｄ１４を責務型ポリシ評価部へ送出する機能とをもっている。

禁止型ポリシｄ１３の評価とは、禁止型ポリシｄ１３に記述されたルールのうち、「操作」がイベント情報に一致し、「アクセス主体」が評価情報に含まれるアクセス主体を特定できる情報に一致するものに対して、その結果（許可又は禁止）を出力することである。具体的には、例えば、入力されたイベント情報が閲覧であり、禁止型ポリシに『ユーザＡは、閲覧を許可』というルールの記述がある場合は、評価情報としてユーザＡの認証結果が入力されており、その認証結果が成功の場合に、評価結果として許可を出力する。

補足すると、禁止型ポリシ評価部４４ｅは、禁止型ポリシｄ１３を評価するとき、取得した認証結果及びユーザ属性情報並びに入力されたイベント情報と、禁止型ポリシｄ１３に予め記述された認証結果、ユーザ属性情報及びイベント情報とをそれぞれ比較し、比較結果がそれぞれ一致していれば、禁止型ポリシｄ１３に予め記述された許可又は禁止を示す評価結果を送出する。なお、禁止型ポリシｄ１３は、一致するルールがない、またはルールが全くないということがないように記述されていることが望ましい。これは、例えば一致するルールがない場合に出力するデフォルト評価結果を禁止型ポリシｄ１３に記述することで実現される。

責務型ポリシ評価部４４ｆは、禁止型ポリシ評価部４４ｅから入力されたイベント情報、評価情報、禁止型ポリシ４４ｅの評価結果に基づいて、責務型ポリシｄ１４を評価する機能と、評価の後、実施する制御情報を制御管理部４４ｇへ出力する機能とをもっている。

責務型ポリシｄ１４の評価とは、責務型ポリシｄ１４に記述されたルールについて「条件」が満たされるか否を評価し、条件が満たされる場合にはその「制御情報」を出力することである。

具体的には、責務型ポリシｄ１４に『イベント情報が閲覧であり、かつ、禁止型ポリシの評価結果が許可であり、かつメールサービスが実行可ならば、メールでユーザ名を通知する』というルールの記述がある場合、イベント情報が「閲覧」で、かつ、禁止型ポリシｄ１３の評価結果が「許可」で、かつ、メールサービスの実行可否情報が「制御可能」であれば、「メールでユーザ名を通知する」という制御情報を制御管理部４４ｇへ出力する。

さらに、『日付が２００８年１月１日以降ならば、文書内容を消去する』というルールの記述がある場合、評価情報に含まれる時間情報が条件を満たすならば、「文書内容を消去」という制御情報を制御管理部４４ｇへ出力する。このとき、複数のルールで条件が満たされる場合は、全ての制御情報を制御管理部４４ｇへ出力する。

補足すると、責務型ポリシ評価部４４ｆは、責務型ポリシｄ１４を評価するとき、取得した実行可否情報、イベント情報及び評価結果と、責務型ポリシに予め記述された実行可否情報、イベント情報及び評価結果とをそれぞれ比較し、比較結果がそれぞれ一致していれば、責務型ポリシｄ１４に予め記述された責務実行主体及び責務実行行為を含む制御情報を制御管理部４４ｇに送出する。

制御管理部４４ｇは、責務型ポリシ評価部４４ｆから制御情報を受けると、予め決められた順序に従い、この制御情報に記述された責務実行主体に基づいて、当該制御情報を文書アプリケーション制御部４４ｈ、文書ファイル制御部４４ｉ又は外部サービス制御部４４ｊに送出する機能をもっている。

文書アプリケーション制御部４４ｈは、制御管理部４４ｇから送出された制御情報内の責務実行行為に基づいて、文書アプリケーション部４５を制御する機能をもっている。ここで、制御とは、文書内容ｄ１１に対する操作に関する制御であり、例えば、文書内容ｄ１１の閲覧だけを許可する制御や、印刷を禁止する制御や、文書内容ｄ１１を消去する制御などである。さらに、文書アプリケーション制御部４４ｈは、責務実行可否情報取得部４４ｄから要求を受けると、文書アプリケーション部４５に対する制御を実行可能か否かの実行可否情報を当該文書アプリケーション部４５から取得して責務実行可否取得部４４ｄに送出する機能をもっている。

文書ファイル制御部４４ｉは、制御管理部４４ｇから送出された制御情報内の責務実行行為に基づいて、記憶装置４１内の文書ファイルｄ１０のアクセス制御ポリシｄ１２やセキュリティ情報ｄ１５を変更する機能をもっている。例えば、アクセス制御ポリシｄ１２のルール変更やセキュリティ情報ｄ１５の変更である。アクセス制御ポリシｄ１２のルール変更は、禁止型ポリシｄ１３又は責務型ポリシｄ１４のいずれを変更してもよい。セキュリティ情報ｄ１５の変更とは、例えば暗号化しないなどの変更や、鍵情報を変えて暗号化し直すなどの変更である。また、文書ファイル制御部４４ｉは、制御管理部４４ｇから送出された制御情報内の責務実行行為に基づいて、記憶装置４１内の文書ファイルｄ１０の文書内容ｄ１１における文書属性を変更する機能を更に備えてもよい。文書属性の変更としては、例えば、ステータス情報を“正規”から“ドラフト”に変える等がある。

外部サービス制御部４４ｊは、制御管理部４４ｇから送出された制御情報内の責務実行行為に基づいて、外部サービス部４６を制御する機能をもっている。ここで制御とは、例えばメールサービスであれば、メーラを強制的に起動させたり、メールを送信させたりするといった制御である。すなわち、外部サービス制御部４４ｊは、責務実行行為に基づいて、外部サービス部４６としてのメーラを強制的に起動させる機能を有してもよい。また、外部サービス制御部４４ｊは、この起動した又は以前から起動済みの当該メーラに対し、例えば、メールでユーザ名を通知するように制御を実行してもよい。通知先は、例えばポリシ設定装置３０等であるが、これに限らず、任意の通知先が責務実行行為に設定可能である。さらに、外部サービス制御部４４ｊは、各外部サービスに対する制御が実行可能であるか否かの実行可否情報を取得する機能を備えている。

なお、ポリシ評価制御モジュール４４に入力されたイベント情報が「保存」であり、かつ入力された文書ファイルのセキュリティ情報ｄ１５において暗号化が指定されている場合には、文書ファイルを再暗号化して保存することが望ましい。これは、ポリシ評価制御モジュール４４が、ポリシ設定部３４と同様な文書内容を暗号化する機能、又は文書内容及びアクセス制御ポリシを分離できない形式で暗号化する機能を備えることにより実現できる。

なお、以上のようなファイルアクセス制御装置４０は、例えば図１１に示すように、実現してもよい。ここで、前述した記憶装置４１は、プログラム実行時にはメモリ４１’に対応し、文書ファイルｄ１０の更新時にはメモリ４１’及び記憶装置４１”に対応する。なお、メモリ４１’はＲＡＭ等のメモリであり、記憶装置４１”はハードディスク装置等の補助記憶装置である。

前述した通信部４２及び外部サービス部４６は、通信部４２に対応する外部メールプログラムを含む外部サービスプログラム４６’、演算処理装置５０、通信部５１、入力部５２及び出力部５３により実現してもよい。なお、演算処理装置５０は、プログラムを実行して各機能を実現するものである。通信部５１はネットワークとファイルアクセス制御装置４０内との間の通信インタフェースである。入力部５２はキーボード等の入力装置である。但し、入力部は、入力装置が外部にある場合、外部の入力装置との間の入力インタフェースとしてもよい。出力部５３は液晶ディスプレイ等の表示装置である。但し、出力部５３は、表示装置が外部にある場合、外部の表示装置との間の出力インタフェースとしてもよい。また、出力部５３は、外部のプリンタ装置に接続される場合、プリンタ装置との間の出力インタフェースを更に備えてもよい。

前述したセキュア通信部４３及びポリシ評価制御モジュール４４は、ポリシ評価制御プログラム４４’、通信部５１及び演算処理装置５０により実現してもよい。

前述した文書アプリケーション部４５は、文書アプリケーションプログラム４５’、演算処理装置５０、入力部５２及び出力部５３により実現してもよい。

次に、以上のように構成されたファイルアクセス制御システムの動作を図１２及び図１３のフローチャートを用いて説明する。

（準備）
予め認証サーバ装置１０においては、ポリシ設定装置３０から受けた認証情報とユーザ属性情報とが互いに関連付けられて認証用記憶装置１１に書き込まれているとする。

続いて、ポリシ設定装置３０においては、文書内容ｄ１１にアクセス制御ポリシｄ１２を設定するとする。

ポリシ設定装置３０においては、ポリシ設定部３４が、文書ポリシ設定者の操作により、ポリシ設定用記憶装置３１内の文書ファイルｄ１０のアクセス制御ポリシｄ１２を文書ポリシ設定者により入力された値又は予め決められた値に設定する。

このとき、ポリシ設定部３４は、ポリシ設定用記憶装置３１内の共通鍵に基づいて、文書内容ｄ１１及びアクセス制御ポリシｄ１２を暗号化するとする。また、ポリシ設定部３４は、暗号化した文書内容ｄ１１及びアクセス制御ポリシｄ１２に対し、ポリシ設定用記憶装置３１内の署名鍵によりデジタル署名を生成する。

さらに、ポリシ設定部３４は、暗号状態情報、暗号化アルゴリズム特定情報、鍵特定情報、デジタル署名及び検証鍵特定情報を含むセキュリティ情報ｄ１５を作成する。また、ポリシ設定部３４は、暗号化した文書内容ｄ１１及びアクセス制御ポリシｄ１２と、セキュリティ情報ｄ１５とからなる文書ファイルｄ１０をポリシ設定用記憶装置３１に書き込む。

次に、ポリシ設定装置３０においては、ポリシ設定部３４が、文書ポリシ設定者の操作により、セキュア通信部３２を介して文書特定情報及び鍵管理情報を鍵管理サーバ装置２０に送信する。

鍵管理サーバ装置２０においては、鍵管理部２３が、ポリシ設定装置３０からセキュア通信部１２を介して文書特定情報及び鍵情報を受けると、当該文書特定情報と鍵情報とを互いに関連付けて鍵管理用記憶装置２１に書き込む。

しかる後、ポリシ設定装置３０においては、文書ポリシ設定者の操作により、ポリシ設定用記憶装置３１内の文書ファイルｄ１０を通信部３３からファイルアクセス制御装置４０に送信する。

ファイルアクセス制御装置４０においては、通信部４２が、ポリシ設定装置３０から受けた文書ファイルｄ１０を記憶装置４１に書き込む。

以上により、ファイルアクセス制御装置４０において、文書ファイルｄ１０に対するファイルアクセス制御を実行するための準備が完了する。

（ファイルアクセス制御）
ファイルアクセス制御装置４０においては、図１２に示すように、文書操作者としてのユーザが文書アプリケーション部４５を介して文書ファイルｄ１０に操作を行う。

このとき、文書アプリケーション部４５は、操作内容に対応したイベント情報及び文書ファイルｄ１０をポリシ評価モジュール４４に入力する（ＳＴ１）。

ポリシ評価モジュール４４においては、イベント制御部４４ａが、入力されたイベント情報及び文書ファイルｄ１０を受けると、イベント情報が「文書の閲覧（文書を開く）」であるか否かを判定する（ＳＴ２）。

ステップＳＴ２の判定の結果、イベント情報が「文書の閲覧」ではない場合（ＳＴ２；ＮＯ）には、文書ファイル及びイベント情報を評価情報取得部４４ｃに送出し、ステップＳＴ６に進む。

一方、ステップＳＴ２の判定結果が「文書の閲覧」の場合（ＳＴ２；ＹＥＳ）には、イベント制御部４４ａは、文書ファイルｄ１０のセキュリティ情報ｄ１５に基づいて文書内容ｄ１１及びアクセス制御ポリシｄ１２が暗号化されているか否かを判定すると共に、当該セキュリティ情報ｄ１５がデジタル署名を含むか否かを判定する。

イベント制御部４４ａは、この判定の結果、文書内容ｄ１１等が暗号化されている場合、又はセキュリティ情報ｄ１５がデジタル署名を含む場合には、文書ファイルｄ１０を復号・署名検証部４４ｂに送出して復号処理及び署名検証処理を実行させる（ＳＴ３）。

復号・署名検証部４４ｂは、イベント制御部４４ａから文書ファイルｄ１０を受けると、文書ファイルｄ１０のセキュリティ情報ｄ１５に基づいて文書内容ｄ１１及びアクセス制御ポリシｄ１２が暗号化されているか否かを判定すると共に、当該セキュリティ情報ｄ１５がデジタル署名を含むか否かを判定する。

この判定の結果、文書内容ｄ１１等が暗号化されている場合、又はセキュリティ情報ｄ１５がデジタル署名を含む場合には、復号・署名検証部４４ｂは、セキュリティ情報ｄ１５内の鍵特定情報に基づいて鍵管理サーバ装置２０から共通鍵及び検証鍵を取得する。また、復号・署名検証部４４ｂは、この共通鍵に基づいて文書内容ｄ１１等を復号すると共に、検証鍵に基づいてデジタル署名を検証する。しかる後、復号・署名検証部４４ｂは、復号結果及び検証結果をイベント制御部４４ａに送出する。

イベント制御部４４ａは、復号・署名検証部４４ｂの各処理が成功した場合には、復号された文書内容ｄ１１及びアクセス制御ポリシｄ１２を含む文書ファイルｄ１０及びイベント情報を評価情報取得部４４ｃに送出する。

評価情報取得部４４ｃは、文書ファイルｄ１０及びイベント情報を受けると、予め決められた評価情報リストに記載された種別の評価情報を外部から取得する。

具体的には、評価情報取得部４４ｃは、ユーザの認証結果及びユーザ属性情報を取得する場合、ユーザ認証の要求をセキュア通信部４３から認証サーバ装置１０に送信し、認証結果（成功又は失敗）及びユーザの属性情報を認証サーバ装置１０から取得する。

評価情報取得部４４ｃは、時間情報を取得する場合、外部から時間情報等を取得する。

評価情報取得部４４ｃは、実行可否情報を取得する場合、実行可否情報送出要求を責務実行可否情報取得部４４ｄに送出し、実行可否情報を責務実行可否情報取得部４４ｄから取得する（ＳＴ４）。

これにより、評価情報取得部４４ｃは、ユーザの認証結果、ユーザ属性情報、時間情報、外部機能の実行可否情報からなる評価情報を取得する（ＳＴ５）。なお、評価情報取得部４４ｃは、評価情報リストに基づいて評価情報を取得する場合に限らず、アクセス制御ポリシｄ１２に記述された評価情報を取得するようにしてもよい。

いずれにしても評価情報を取得した後、評価情報取得部４４ｃは、文書ファイルｄ１０のアクセス制御ポリシｄ１２、イベント情報及び評価情報を禁止型ポリシ評価部４４ｅに送出する。

禁止型ポリシ評価部４４ｅは、評価情報取得部４４ｃから受けたイベント情報、評価情報に基づいて、アクセス制御ポリシｄ１２に記述された禁止型ポリシｄ１３を評価し（ＳＴ６）、評価の後、イベント情報、評価情報、禁止型ポリシｄ１３の評価結果（許可又は禁止）及びアクセス制御ポリシｄ１２に記載された責務型ポリシｄ１４を責務型ポリシ評価部へ送出する。

責務型ポリシ評価部４４ｆは、禁止型ポリシ評価部４４ｅから受けたイベント情報、評価情報、禁止型ポリシ４４ｅの評価結果に基づいて、責務型ポリシｄ１４を評価し（ＳＴ７）、評価の後、責務実行主体及び責務実行行為を含む制御情報を制御管理部４４ｇへ送出する。

制御管理部４４ｇは、この制御情報を受けると、予め決められた順序に従い、制御情報内の責務実行主体に基づいて、当該制御情報を文書アプリケーション制御部４４ｈ、文書ファイル制御部４４ｉ又は外部サービス制御部４４ｊに送出する（ＳＴ８）。

文書アプリケーション制御部４４ｈは、送出された制御情報内の責務実行行為に基づいて、文書アプリケーション部４５を制御する。

文書ファイル制御部４４ｉは、送出された制御情報内の責務実行行為に基づいて、記憶装置４１内の文書ファイルｄ１０のアクセス制御ポリシｄ１２やセキュリティ情報ｄ１５を変更する。

外部サービス制御部４４ｊは、送出された制御情報内の責務実行行為に基づいて、外部サービス部４６を制御する。

以下、ポリシ評価モジュール４４は、イベント制御部４４ａによりイベント情報が新たに入力されたか否かを判定し（ＳＴ９）、イベント情報が新たに入力されると（ＳＴ９；ＹＥＳ）、ステップＳＴ２以降の処理を繰り返す。

また、図１３に示すように、責務実行可否情報取得部４４ｄが定期的に実行可否情報を更新してもよい（ＳＴ１０）。これにより、例えば、外部サービス部４６の可否状態が変化しても対応することができる。

上述したように本実施形態によれば、ポリシ評価制御モジュール４４により、文書ファイルｄ１０に対する操作に応じてアクセス制御を変更・実施することができると共に、文書アプリケーション部４５や外部サービス部４６の処理も設定・制御することができる。

補足すると、予め操作に応じた制御情報を責務型ポリシｄ１４として文書ファイルｄ１０に付与し、文書ファイルｄ１０に対する操作に応じて、文書ファイルｄ１０内の責務型ポリシｄ１４を評価・実施する。この責務型ポリシｄ１４の実施には、文書アプリケーション部４５等の制御が含まれる。従って、文書に対する操作に応じて、能動的な制御を実施でき、また、文書へのアクセス制御を変更することができる。

なお、上記実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。

また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。

また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が上記実施形態を実現するための各処理の一部を実行しても良い。

さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶又は一時記憶した記憶媒体も含まれる。

また、記憶媒体は１つに限らず、複数の媒体から上記実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。

尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、上記実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。

また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。

なお、本願発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。更に、異なる実施形態に亘る構成要素を適宜組合せてもよい。

本発明の第１の実施形態に係るファイルアクセス制御装置が適用されたファイルアクセス制御システムの構成例を示す模式図である。同実施形態における認証サーバ装置の構成を示すブロック図である。同実施形態における鍵管理サーバ装置の構成を示すブロック図である。同実施形態におけるポリシ設定装置の構成を示すブロック図である。同実施形態に係る文書ファイルの構成例を示す模式図である。同実施形態における責務型ポリシを説明するための模式図である。同実施形態における責務型ポリシを説明するための模式図である。同実施形態における責務型ポリシを説明するための模式図である。同実施形態におけるファイルアクセス制御装置の構成を示すブロック図である。同実施形態におけるポリシ評価制御モジュールの構成を示すブロック図である。同実施形態におけるファイルアクセス制御装置のハードウェア資源とソフトウェアとの組合せ構成を示す模式図である。同実施形態における動作を説明するためのフローチャートである。同実施形態における動作の変形例を説明するためのフローチャートである。

符号の説明

１０…認証サーバ装置、１１…認証用記憶装置、１２，２２，３２，４３…セキュア通信部、１３…ユーザ認証部、２０…鍵管理サーバ装置、２１…鍵管理用記憶装置、２３…鍵管理部、３０…ポリシ設定装置、３１…ポリシ設定用記憶装置、３３，４２…通信部、３４…ポリシ設定部、４０…ファイルアクセス制御装置、４１…記憶装置、４４…ポリシ評価制御モジュール、４４ａ…イベント制御部、４４ｂ…復号・署名検証部、４４ｃ…評価情報取得部、４４ｄ…責務実行可否情報取得部、４４ｅ…禁止型ポリシ評価部、４４ｆ…責務型ポリシ評価部、４４ｇ…制御管理機能、４４ｈ…文書アプリケーション制御部、４４ｉ…文書ファイル制御部、４４ｊ…外部サービス制御部、４５…文書アプリケーション部、４６…外部サービス部、５０…演算処理装置、５１…通信部、５２…入力部、５３…出力部、ｄ１０…文書ファイル、ｄ１１…文書内容、ｄ１２…アクセス制御ポリシ、ｄ１３…禁止型ポリシ、ｄ１４…責務型ポリシ、ｄ１５…セキュリティ情報。

Claims

文書内容と禁止型ポリシ及び責務型ポリシとを含む文書ファイルを記憶可能な記憶装置、ポリシ評価制御モジュール、文書アプリケーション部及び外部サービス部を備え、前記文書ファイルへのアクセスを制御するためのファイルアクセス制御装置であって、
前記ポリシ評価制御モジュールは、
前記文書アプリケーション部及び外部サービス部からそれぞれ実行可否情報を取得して保持する可否情報取得手段と、
ユーザの操作内容に対応したイベント情報及び前記記憶装置内の文書ファイルが前記文書アプリケーション部から入力されると、予め決められた評価情報リストに基づいて、前記ユーザの認証結果及びユーザ属性情報を取得する認証結果取得手段と、
前記評価情報リストに基づいて、前記可否情報取得手段から実行可否情報を取得すると、この実行可否情報、前記認証結果及び前記ユーザ属性情報からなる評価情報、前記イベント情報、前記禁止型ポリシ及び前記責務型ポリシを送出する手段と、
前記送出された評価情報内の認証結果及びユーザ属性情報並びにイベント情報と、前記禁止型ポリシに予め記述された認証結果、ユーザ属性情報及びイベント情報とをそれぞれ比較し、比較結果がそれぞれ一致していれば、前記禁止型ポリシに予め記述された許可又は禁止を示す評価結果を送出する禁止型ポリシ評価手段と、
前記評価情報内の実行可否情報、前記イベント情報及び前記評価結果と、前記責務型ポリシに予め記述された実行可否情報、前記イベント情報及び前記評価結果とをそれぞれ比較し、比較結果がそれぞれ一致していれば、前記責務型ポリシに予め記述された責務実行主体及び責務実行行為を含む制御情報を送出する責務型ポリシ評価手段と、
前記制御情報を受けると、前記制御情報内の責務実行主体に基づいて、当該制御情報を前記責務実行主体に指定された主体に送出する制御管理手段と、
前記指定された主体が文書アプリケーション制御手段の場合、前記制御管理手段から送出された制御情報内の責務実行行為に基づいて、前記文書アプリケーション部を制御する前記文書アプリケーション制御手段と、
を備えたことを特徴とするファイルアクセス制御装置。
請求項１に記載のファイルアクセス制御装置において、
前記指定された主体がポリシ変更手段の場合、前記制御管理手段から送出された制御情報内の責務実行行為に基づいて、前記記憶装置内の文書ファイルの禁止型ポリシ又は責務型ポリシを変更する前記ポリシ変更手段、
を備えたことを特徴とするファイルアクセス制御装置。
請求項１又は請求項２に記載のファイルアクセス制御装置において、
前記指定された主体が外部サービス制御手段の場合、前記制御管理手段から送出された制御情報内の責務実行行為に基づいて、前記外部サービス部を制御する前記外部サービス制御手段、
を備えたことを特徴とするファイルアクセス制御装置。
文書内容と禁止型ポリシ及び責務型ポリシとを含む文書ファイルを記憶可能な記憶装置、ポリシ評価制御モジュール、文書アプリケーション部及び外部サービス部を備え且つ前記文書ファイルへのアクセスを制御するためのファイルアクセス制御装置に関し、前記ポリシ評価制御モジュールに用いられるプログラムであって、
前記ポリシ評価制御モジュールを、
前記文書アプリケーション部及び外部サービス部からそれぞれ実行可否情報を取得して保持する可否情報取得手段、
ユーザの操作内容に対応したイベント情報及び前記記憶装置内の文書ファイルが前記文書アプリケーション部から入力されると、予め決められた評価情報リストに基づいて、前記ユーザの認証結果及びユーザ属性情報を取得する認証結果取得手段、
前記評価情報リストに基づいて、前記可否情報取得手段から実行可否情報を取得すると、この実行可否情報、前記認証結果及び前記ユーザ属性情報からなる評価情報、前記イベント情報、前記禁止型ポリシ及び前記責務型ポリシを送出する手段、
前記送出された評価情報内の認証結果及びユーザ属性情報並びにイベント情報と、前記禁止型ポリシに予め記述された認証結果、ユーザ属性情報及びイベント情報とをそれぞれ比較し、比較結果がそれぞれ一致していれば、前記禁止型ポリシに予め記述された許可又は禁止を示す評価結果を送出する禁止型ポリシ評価手段、
前記評価情報内の実行可否情報、前記イベント情報及び前記評価結果と、前記責務型ポリシに予め記述された実行可否情報、前記イベント情報及び前記評価結果とをそれぞれ比較し、比較結果がそれぞれ一致していれば、前記責務型ポリシに予め記述された責務実行主体及び責務実行行為を含む制御情報を送出する責務型ポリシ評価手段、
前記制御情報を受けると、前記制御情報内の責務実行主体に基づいて、当該制御情報を前記責務実行主体に指定された主体に送出する制御管理手段、
前記指定された主体が文書アプリケーション制御手段の場合、前記制御管理手段から送出された制御情報内の責務実行行為に基づいて、前記文書アプリケーション部を制御する前記文書アプリケーション制御手段、
として機能させるためのプログラム。