JP4357214B2 - アクセス管理プログラム - Google Patents
アクセス管理プログラム Download PDFInfo
- Publication number
- JP4357214B2 JP4357214B2 JP2003159529A JP2003159529A JP4357214B2 JP 4357214 B2 JP4357214 B2 JP 4357214B2 JP 2003159529 A JP2003159529 A JP 2003159529A JP 2003159529 A JP2003159529 A JP 2003159529A JP 4357214 B2 JP4357214 B2 JP 4357214B2
- Authority
- JP
- Japan
- Prior art keywords
- content
- information
- access
- user
- rights
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Storage Device Security (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、コンテンツ情報のアクセス権限を管理するためのアクセス管理プログラムに関する。
【０００２】
【従来の技術】
従来、企業等の団体においては、社員等の各個人が文書情報や画像情報等のコンテンツ情報を作成する際に、各個人のパーソナルコンピュータ（以下、パソコンという）により作成している。
【０００３】
この種のコンテンツ情報を管理するため、上位の管理サーバにコンテンツ情報を登録し、各個人のパソコンが上位の管理サーバからコンテンツ情報を読出して編集し、編集後に上位の管理サーバに戻す方式が知られている。
なお、この方式とは異なるが、この出願の発明に関連する技術としては次のものがある。
【０００４】
【特許文献１】
特開２００２−１２３３２８号公報。
【０００５】
【発明が解決しようとする課題】
しかしながら、以上のような上位の管理サーバからコンテンツ情報を読み出す方式は、各個人のパソコンを外部に持出すと、コンテンツ情報の機密保護を図れない問題がある。
【０００６】
詳しくは、例えば自宅等に持ち帰ってコンテンツ情報を編集する場合は構わないが、退職した元社員が機密情報を含むコンテンツ情報にアクセスできる状況が問題となっている。
【０００７】
本発明は上記実情を考慮してなされたもので、上位の管理サーバに接続されるユーザ端末を外部に持ち出す場合でも、コンテンツ情報の機密保護を図り得るアクセス管理プログラムを提供することを目的とする。
【０００８】
【課題を解決するための手段】
第１の発明は、予めユーザの個別識別子とアクセス権利情報とを保持したセキュア記録媒体を着脱自在に保持し、且つ前記ユーザの操作によってコンテンツ情報を作成するためのユーザ端末に用いられ、前記コンテンツ情報のアクセス権限を管理するアクセス管理プログラムであって、前記ユーザ端末のコンピュータに、前記セキュア記録媒体からアクセス権利情報を読み出す機能、このアクセス権利情報に基づいて、前記コンテンツ情報のアクセスを許可する機能、前記アクセス権利情報を定期的又は不定期に更新するように、アクセス権利を管理する管理サーバと交信するための機能、この交信が一定期間できないとき、前記コンテンツ情報へのアクセスを不可とする機能、を実現させるためのアクセス管理プログラムである。
【０００９】
このように、ユーザ端末がコンテンツ情報にアクセスする際に、セキュア記録媒体内のアクセス権利情報を必要とし、且つ、アクセス権利を管理する管理サーバとの交信が一定期間できないときにはアクセスを不可とする構成により、上位の管理サーバに接続されるユーザ端末を外部に持ち出す場合でも、コンテンツ情報の機密保護を図ることができる。
【００１０】
【発明の実施の形態】
以下、本発明の各実施形態について図面を参照しながら説明するが、その前に、本明細書中の表記法を以下に示す。
ＩＤｍＡ：セキュア媒体ＭＡのシステム領域に格納された媒体識別子。
ＩＤｕ：個別識別子。ユーザＩＤであり、中央（管理）サーバが発行する。
Enc_id(ＩＤｍＡ，ＩＤｕ)：暗号化個別識別子であり、個別識別子ＩＤｕが媒体識別子ＩＤｍＡで暗号化されたもの。idは暗号方式を示す添字。
Ｋｃｉ：コンテンツＩＤが ｉのコンテンツ鍵情報。
Ｄｃｉ：コンテンツＩＤが ｉのコンテンツ属性情報。
Ｃｉ：コンテンツＩＤが ｉのコンテンツ情報。
Ｍｄｉ：コンテンツＩＤが ｉのコンテンツメタ情報。
ヘッダ情報：コンテンツ識別子ｉをもつ情報（例、Ｋｃｉ、Ｄｃｉ、Ｍｄｉ、Ｒｉ、Ｃｉ等）を互いに関係つける情報。なお、ヘッダ情報は、各情報を暗号化の有無によらずに関連付ける。
【００１１】
Enc_k（ＩＤｕ，Ｋｃｉ）：暗号化コンテンツ鍵であり、コンテンツ鍵Ｋｃｉが個別識別子ＩＤｕで暗号化されたもの。
【００１２】
Enc_c（Ｋｃｉ，Ｃｉ）：暗号化コンテンツと呼ぶ。コンテンツ鍵Ｋｃｉで暗号化された、コンテンツＩＤが ｉのコンテンツＣｉ。
【００１３】
Ｒｉ：コンテンツＩＤが ｉのコンテンツ操作に関わる権利。コンテンツ操作権利情報と呼ぶ。閲覧、二次加工（編集、改訂など）等の操作権利を示しており、メタ情報の一部。
【００１４】
Enc_k（ＩＤｕ，Ｒｉ）：暗号化コンテンツ操作権利情報。
【００１５】
（第１の実施形態）
図１は本発明の第１の実施形態に係るアクセス管理プログラムが適用された企業情報保護システムの構成を示す模式図であり、図２は同システムにおけるセキュア記録媒体の構成を示す模式図であり、図３は同システムにおけるユーザ端末の構成を示す模式図である。
【００１６】
この企業情報保護システムは、上位の管理サーバとしての中央サーバ１０と、複数のユーザ端末２０とがネットワークを介して接続可能となっている。
ここで、中央サーバ１０は、コンテンツ管理ＤＢ(database)１１、ユーザ管理ＤＢ１２、権利テーブルＤＢ１３、エージェント管理ＤＢ１４及び中央サーバエージェント１５を備えている。
【００１７】
コンテンツ管理ＤＢ１１は、中央サーバエージェント１５から読出／書込可能となっており、各ユーザ端末２０からの権利委譲に伴い、個別識別子ＩＤｕ毎にコンテンツＩＤｉ、コンテンツ属性情報Ｄｃｉ、メタ情報Ｍｄｉ、ヘッダ情報Ｈｄｉ、暗号化コンテンツ鍵Enc_k（ＩＤｕ，Ｋｃｉ）、暗号化コンテンツEnc_c（Ｋｃｉ，Ｃｉ）、暗号化コンテンツ操作権利Enc_k（ＩＤｕ，Ｒｉ）が記憶される。
【００１８】
ユーザ管理ＤＢ１２は、中央サーバエージェント１５から読出／書込可能となっており、各ユーザ毎に、所属する組織、役職（身分）とが記憶されている。
【００１９】
権利テーブルＤＢ１３は、中央サーバエージェント１５から読出／書込可能となっており、各ユーザ固有のコンテンツ操作権利情報をテーブル形式で示す個人権利テーブルと、組織固有のコンテンツ操作権利情報をテーブル形式で示す組織権利テーブルと、役職固有のコンテンツ操作権利情報をテーブル形式で示す役職権利テーブルとが記憶されている。
【００２０】
エージェント管理ＤＢ１４は、中央サーバエージェント１５から読出／書込可能となっており、ユーザ端末側のローカルエージェント固有のデバイス鍵と電子透かし情報とが記憶されている。この電子透かし情報は、ローカルエージェント２１が復号したコンテンツに入れるものである。
【００２１】
中央サーバエージェント１５は、各管理ＤＢ１１〜１４を管理しつつ、ユーザ端末２０を介してセキュア記録媒体ＭＡ内の権利委譲を受ける機能、ユーザ端末２０からの権利付与の要求に応じて権利を付与する機能、ユーザ端末２０を介してセキュア記録媒体ＭＡ内の暗号化されたコンテンツ操作権利情報Ｒｉを変更又は削除する機能などをもっている。
【００２２】
一方、ユーザ端末２０は、着脱自在に保持するセキュア記録媒体ＭＡに対して読出／書込可能なローカルエージェント２１を備えている。
なお、セキュア記録媒体ＭＡは、例えばＳＤメモリカードであり、システム領域１、保護領域２、ユーザデータ領域３及び図示しないコントローラ等を備えている。
【００２３】
システム領域１は、媒体製造時に、媒体固有の識別情報である媒体識別子ＩＤｍ及びＭＫＢ(Media Key Block)情報が書換不可に記憶された領域である。
【００２４】
保護領域２は、一般のユーザがデータに直接アクセスできない領域であり、セキュア記録媒体ＭＡに固有の媒体固有鍵Ｋmuにより、ユーザ固有の個別固有鍵ＩＤｕが暗号化されてなる暗号化個別識別子Enc（Ｋmu，ＩＤｕ）が記憶されている。ここで、媒体固有鍵Ｋmuは、後述するビューア部４０のデバイス鍵や、媒体識別子ＩＤｍ及びＭＫＢ情報に基づいて、ＭＫＢ処理などにより生成される媒体固有の鍵である。
【００２５】
ユーザデータ領域３は、一般のユーザがデータに直接アクセス可能な領域であり、ここでは、暗号化コンテンツ鍵Enc_k（ＩＤｕ，Ｋｃｉ）、暗号化コンテンツ操作権利情報Enc_k（ＩＤｕ，Ｒｉ）及び暗号化コンテンツEnc_c（Ｋｃｉ，Ｃｉ）が記憶されている。但し、ユーザデータ領域３は、これに限らず、ヘッダ情報Ｈｄｉ、メタ情報Ｍｄｉ、コンテンツ属性情報Ｄｃｉなど、任意の情報を記憶させることができる。
【００２６】
ローカルエージェント（アクセス管理プログラム）２１は、閲覧、編集、印刷、二次加工などの処理を制御する機能を有し、基本的には外部権利記録媒体からの権利、暗号鍵などの読出し機能と、コンテンツの暗号化、復号などを行う機能と、中央サーバ１０との権利の委譲、付与された権利行使などを行う機能と、コンテンツ操作権利Ｒｉを定期的又は不定期に更新するように、中央サーバ１０と交信するための機能と、中央サーバ１０との一定期間毎の交信が途絶えると、コンテンツ操作権利Ｒｉに関わらず、コンテンツの操作を不可とする機能とをもっている。
【００２７】
具体的にはローカルエージェント２１は、図３に示すように、暗復号部２２、ＭＫＢ処理部２２ａ、保護領域復号部２２ｂ、ユーザ領域復号部２２ｃ、コンテンツ復号部２２ｄ、コンテンツ暗号化部２２ｅ、権限委譲部２３、権利要求／付与部２４、権利比較部２５、コンテンツ操作部２６、ファイルシステム２７、メモリ２８を備えている。
【００２８】
ここで、暗復号部２２は、セキュア記録媒体ＭＡの記録内容を復号して読出す機能と、ローカルエージェント２１による書込データを暗号化してセキュア記録媒体ＭＡに書込む機能をもっており、前述した各部２２ａ〜２２ｅを備えている。
【００２９】
ＭＫＢ処理部２２ａは、セキュア記録媒体ＭＡから読み出した媒体識別子ＩＤｍＡ及びＭＫＢ情報と、ローカルエージェント２１のデバイス鍵とに基づいて媒体固有鍵Ｋmuを生成し、この媒体固有鍵Ｋmuを保護領域復号部２２ｂに送出する機能をもっている。具体的にはＭＫＢ処理部２２ａは、ＳＤメモリカードに適用する場合、ＳＤメモリカードの再生装置の一部としての、鍵生成用の暗号化処理（ＭＫＢ処理、Ｃ２_Ｇ処理）に対応している。
【００３０】
保護領域復号部２２ｂは、ＭＫＢ処理部２２ａから受けた媒体固有鍵Ｋmuに基づいて、セキュア記録媒体ＭＡから読み出した暗号化個別識別子Enc（Ｋmu，ＩＤｕ）を復号し、得られた個別識別子ＩＤｕをユーザ領域復号部２２ｃに送出する機能をもっている。なお、保護領域復号部２２ｂは、後述するが個別識別子がコンテンツ操作権利情報を含む実施形態の場合、得られた個別識別子ＩＤｕを権利比較部２５に送出する機能を備えたものとする。
【００３１】
いずれにしても、具体的には保護領域復号部２２ｂは、ＳＤメモリカードに適用する場合、ＳＤメモリカードの再生装置の一部としての、保護領域読出用の相互認証・鍵交換処理（ＡＫＥ処理）、読出データの復号処理（Ｃ２_ＤＣＢＣ処理、Ｃ２_Ｄ処理）及び連接解除処理（‖処理）などに対応している。
【００３２】
ユーザ領域復号部２２ｃは、保護領域復号部２２ｂから受けた個別識別子ＩＤｕに基づいて、セキュア記録媒体ＭＡから読み出した暗号化コンテンツ鍵Enc（ＩＤｕ，Ｋｃｉ）を復号し、得られたコンテンツ鍵Ｋｃｉをコンテンツ復号部２２ｄ及びコンテンツ暗号化部２２ｅに送出する機能をもっている。
【００３３】
また、ユーザ領域復号部２２ｃは、同じく個別識別子ＩＤｕに基づいて、セキュア記録媒体ＭＡから読み出した暗号化コンテンツ操作権利Enc（ＩＤｕ，Ｒｉ）を復号し、得られたコンテンツ操作権利Ｒｉを権利比較部２５に送出する機能とをもっている。
【００３４】
具体的にはユーザ領域復号部２２ｃは、ＳＤメモリカードに適用する場合、ＳＤメモリカードの再生装置の一部としての、ユーザデータ領域３からの読出データの復号処理（Ｃ２_ＤＣＢＣ処理）に対応している。
【００３５】
コンテンツ復号部２２ｄは、ユーザ領域復号部２２ｃから受けたコンテンツ鍵Ｋｃに基づいて、セキュア記録媒体ＭＡ又はメモリ２８から読み出した暗号化コンテンツEnc（Ｋｃｉ，Ｃｉ）を復号し、得られたコンテンツ情報Ｃｉをコンテンツ操作部２６に出力する機能をもっている。
【００３６】
コンテンツ暗号化部２２ｅは、ユーザ領域復号部２２ｃから受けたコンテンツ鍵Ｋｃｉに基づいて、コンテンツ操作部２６から受けたコンテンツ情報Ｃｉを暗号化し、得られた暗号化コンテンツEnc（Ｋｃｉ，Ｃｉ）をセキュア記録媒体ＭＡ又はメモリ２８に書込む機能をもっている。
【００３７】
権利委譲部２３は、ユーザの操作により、コンテンツＣｉの権利委譲の際に、セキュア記録媒体ＭＡのユーザデータ領域３内の、コンテンツＣｉに対応する記録内容を中央サーバに送信する機能と、送信した記録内容のうち、少なくとも暗号化されている情報をセキュア記録媒体ＭＡから消去する機能とをもっている。
【００３８】
権利要求／付与部２４は、権利委譲部２３による権利委譲の後、ユーザの操作により、コンテンツＣｉの操作権利を中央サーバ１０に要求する機能と、この要求に応じて中央サーバから受けたデータをセキュア記録媒体ＭＡのユーザデータ領域３に書込む機能とをもっている。
【００３９】
権利比較部２５は、ユーザの操作により、コンテンツＣｉにアクセスする前に、セキュア記録媒体ＭＡから暗復号部２２を介して読み出したコンテンツ操作権利情報Ｒｉに基づいて、ユーザ固有のコンテンツ操作権利と、コンテンツ固有の操作権利とを比較し、操作内容毎に許可又は不許可をコンテンツ操作部２６に通知する機能をもっている。
【００４０】
コンテンツ操作部２６は、権利比較部２５からの通知内容に基づいて、ユーザの操作により、暗復号部２２から受けたコンテンツ情報Ｃｉを操作する機能と、操作後のコンテンツ情報Ｃｉを暗復号部２２を介してセキュア記録媒体ＭＡ又はメモリ２８に書込む機能をもっている。
【００４１】
ファイルシステム２７は、ローカルエージェント２１に用いられ、メモリ２８内の暗号化又は平文状態のコンテンツ情報を管理する機能をもっている。メモリ２８は、ファイルシステム２７に管理される記憶部である。
【００４２】
次に、以上のように構成された企業情報保護システムの動作を図４乃至図７の模式図を用いて説明する。なお、以下の説明は、「ローカルエージェントでのコンテンツ作成」、「再読出・編集・加工」、「権利委譲」、「権利付与要求」、「権利行使」、「権利の管理」及び「ローカルエージェントの正当性確認」の順に述べる。
【００４３】
（ローカルエージェント２１でのコンテンツ作成）
ユーザ端末２０は、ユーザの操作により、ローカル文書としてのコンテンツ情報Ｃｉを作成するため、ローカルエージェント２１を動作させる。
【００４４】
ローカルエージェント２１は、始めに、コンテンツ識別子ｉを生成する。このコンテンツ識別子ｉは、別の文書名とリンクされ、ユーザからは隠されている。なお、コンテンツ識別子ｉには、ユーザの個別識別子ＩＤｕと関係付けるデータが入っていると良い。この種のデータには、例えば、従業員番号、会員番号など個別識別子と対応したもの。後は、日付やシリアル番号等がある。
【００４５】
次に、ローカルエージェント２１は、コンテンツＣｉを作成すると共に、コンテンツ属性情報Ｄｃｉ、メタ情報Ｍｄｉ、操作権利情報Ｒｉ、ヘッダ情報Ｈｄｉを生成する。
【００４６】
ここで、コンテンツ属性情報Ｄｃｉ、メタ情報Ｍｄｉ及びヘッダ情報Ｈｄｉは、暗号化されずに、セキュア記録媒体ＭＡのユーザデータ領域３に格納され、ファイルシステム２７から参照可能となっている。
【００４７】
コンテンツ操作権利情報Ｒｉは、機密度に従って、ユーザが選択してもよく、又は予め決められていてもよい。このコンテンツ操作権利情報Ｒｉは、個別識別子ＩＤｕで暗号化され、セキュア記録媒体ＭＡのユーザデータ領域３に格納される。
【００４８】
続いて、ローカルエージェント２１は、コンテンツ鍵Ｋｃｉを内部で生成し、このコンテンツ鍵Ｋｃｉによりコンテンツ情報Ｃｉを暗号化し、得られた暗号化コンテンツEnc_c（Ｋｃｉ，Ｃｉ）を、例えばファイルシステム２７のメモリ２８に格納する。
【００４９】
また、ローカルエージェント２１は、個別識別子ＩＤｕでコンテンツ鍵Ｋｃｉを暗号化し、得られた暗号化コンテンツ鍵Enc_k（ＩＤｕ，Ｋｃｉ）を、例えばセキュア記録媒体ＭＡのユーザデータ領域３に格納する。なお、ローカルの非セキュア記憶部としてのメモリ２８に格納してもよい。
【００５０】
すなわち、ローカルエージェント２１は、コンテンツ情報Ｃｉを生成する際に、通常の関連情報の他に、参加権利情報Ｒｉを作成し、このＲｉを改ざんされないように暗号化してユーザデータ領域３に格納する。
【００５１】
（再読出・編集・加工）
ローカルエージェント２１は、ファイルシステム２７などを用い、セキュア記録媒体ＭＡのユーザデータ領域３内のヘッダ情報Ｈｄｉからメタ情報Ｍｄｉなどを参照して、所望のコンテンツ情報Ｃｉを特定する。なお、コンテンツ識別子ｉとは別の文書名を参照する。コンテンツ識別子ｉは、ユーザからは見えない。
【００５２】
図３及び図４に示すように、ローカルエージェント２１は、暗復号部２２により、対応するコンテンツ識別子ｉに基づいて、保護領域２内の暗号化個別識別子Enc_id（ＩＤｍＡ，ＩＤｕ)を読出し、復号により個別識別子ＩＤｕを得る。
【００５３】
次に、ローカルエージェント２１は、暗復号部２２により、個別識別子ＩＤｕに基づいてユーザデータ領域３内の暗号化コンテンツ操作権利Enc（ＩＤｕ，Ｒｉ）を復号し、得られたコンテンツ操作権利Ｒｉに基づいて、権利比較部２５が操作内容毎に、許可／不許可をコンテンツ操作部２６に通知する。
【００５４】
コンテンツ操作部２６は、この通知により、例えばコンテンツ情報Ｃｉの閲覧及び二次加工が許可されたとして、暗復号部２２を制御する。
【００５５】
暗復号部２２は、コンテンツ操作部２６の制御により、前述した復号処理を進める。すなわち、暗復号部２２は、個別識別子ＩＤｕに基づいて、ユーザデータ領域３内の暗号化コンテンツ鍵Enc_k（ＩＤｕ，Ｋｃｉ）からコンテンツ鍵Ｋｃｉを得て、最終的に暗号化コンテンツEnc_c（Ｋｃｉ，Ｃｉ）を復号し、コンテンツ情報Ｃｉをコンテンツ操作部２６に送出する。
【００５６】
コンテンツ操作部２６は、ユーザの操作により、コンテンツ操作権利に従って閲覧などを行う。なお、権利行使を確実にする観点から、操作権利が閲覧専用のコンテンツ情報Ｃｉであれば、例えばＰＤＦ(Portable Document Format)形式のようにイメージ化しておくとよい。
【００５７】
一方、編集、二次加工を操作権利に含むコンテンツ情報Ｃｉは、作成に用いたアプリケーション（ワープロソフト、表作成ソフト）２９の扱うファイル形式でコンテンツを表現すると良い。これにより、比較的簡単に、既存のアプリケーションとの整合性を確保できる。
【００５８】
権利行使が終了すれば、コンテンツ情報Ｃｉは、再び、コンテンツ鍵Ｋｃｉを用いて暗号化される。ここで、二次加工後の新たなコンテンツを保存する場合（ユーザが別の文書名で保存する場合）、新たなコンテンツ識別子ｊが生成され、前述したコンテンツ作成と同様の処理が行われる。
【００５９】
すなわち、新しいコンテンツは、ローカルエージェント２１の管理下に置くことができる。また、新しいコンテンツは、中央サーバ２０に権利委譲することもできる。基本的には、ローカルエージェント２１で管理後、中央サーバ１０へ権利委譲する。
【００６０】
（権利委譲）
作成したコンテンツ識別子ｉのコンテンツＣｉに関し、コンテンツ操作権利を中央サーバ１０に委譲する際には、ユーザの意志で中央サーバへ権利を委譲する場合と、中央サーバ１０がポーリングによってローカルエージェント２１と交信し、未だ権利委譲されていないコンテンツを定期的に吸い上げる場合とがある。
【００６１】
いずれにしても、ローカルエージェント２１が中央サーバ１０に権利を委譲するときの必要情報には、コンテンツ識別子ｉ毎に、コンテンツ属性情報Ｄｃｉ、メタ情報Ｍｄｉ、ヘッダ情報Ｈｄｉ、暗号化コンテンツ鍵Enc_k（ＩＤｕ，Ｋｃｉ）、暗号化コンテンツEnc_c（Ｋｃｉ，Ｃｉ）、暗号化コンテンツ操作権利Enc_k（ＩＤｕ，Ｒｉ）等がある。
【００６２】
従って、図５に示すように、ローカルエージェント２１の権利委譲部２３は、これら必要情報を中央サーバに送信する。なお、権利委譲の際に送信する情報のうち、暗号化された情報は、通信時にはセキュアな状態である。
【００６３】
また、中央サーバ１０では、個別識別子ＩＤｕが予め登録されているので、暗号化された情報を復号することができる。
【００６４】
一方、権利委譲部２３は、送信した情報のうち、暗号化された情報を権利委譲後、消去する。また、ヘッダ情報Ｈｄｉにおいては、Ｄｃｉ、Ｍｄｉをｉと関連つけて保存しても良いし、消去しても良い。
【００６５】
なお、このように中央サーバ１０に権利委譲をすると、ローカルにあった権利が消滅するので、コンテンツ情報Ｃｉにアクセスできなくなる。このため、権利委譲後は、中央サーバ１０から権利付与を受ける必要がある。
【００６６】
（権利付与要求）
ローカルエージェント２１の権利要求／付与部２４は、中央サーバ１０にアクセスし、所望のコンテンツを選択する。このとき、ユーザは、文書名やコンテンツ属性情報Ｄｃｉなどからコンテンツを選択する。
【００６７】
しかる後、ローカルエージェント２１は、対応するコンテンツ識別子ｉ及び媒体識別子ＩＤｍＡを中央サーバ１０に送る。なお、コンテンツ識別子ｉはコンテンツの特定に必要であり、媒体識別子ＩＤｍＡはユーザの特定に必要である。
【００６８】
中央サーバ１０は、中央サーバエージェント１５により、この受けた情報に基づいて、付与できる権利の情報として、暗号化コンテンツ操作権利Enc_k（ＩＤｕ，Ｒｉ）、暗号化コンテンツ鍵Enc_k（ＩＤｕ，Ｋｃｉ）、必要に応じて暗号化コンテンツEnc_k（Ｋｃｉ，Ｃｉ）を作成する。場合によって、中央サーバエージェント１５は、コンテンツ権利行使ルールの改定、ユーザ属性の更新なども行う。
【００６９】
しかる後、中央サーバ１０は、これら暗号化コンテンツ操作権利Enc_k（ＩＤｕ，Ｒｉ）、暗号化コンテンツ鍵Enc_k（ＩＤｕ，Ｋｃｉ）、暗号化コンテンツEnc_k（Ｋｃｉ，Ｃｉ）をユーザ端末２０に返信する。
【００７０】
ユーザ端末２０では、権限要求／付与部２４が暗号化コンテンツ操作権利Enc_k（ＩＤｕ，Ｒｉ）及び暗号化コンテンツ鍵Enc_k（ＩＤｕ，Ｋｃｉ）をセキュア記録媒体ＭＡのユーザデータ領域３に書込む。
【００７１】
また、権限要求／付与部２４は、暗号化コンテンツEnc_k（Ｋｃｉ，Ｃｉ）を例えばメモリ２８に格納する。
【００７２】
（権利行使）
権利行使は、前述した「再読出・編集・加工」の動作と同様である。但し、今回の権利行使は、権利委譲及び権利付与後なので、セキュア記録媒体ＭＡを紛失又は破損した場合でも、中央サーバ１０から権利を再付与してもらうことにより、コンテンツ情報Ｃｉにアクセス可能となる点が異なる。
【００７３】
（権利の管理）
中央サーバ１０は、ユーザ管理ＤＢ１２により、ユーザ管理を個人、所属組織、役職（身分）の３つの属性に基づいて行う。例えば、個人の権利を基本とし、所属組織、役職の２つで権利を拡大すればよい。ここで、組織変更、役職の変更などが生ずれば、行使できる権利が変化するので、権利を更新する必要がある。
【００７４】
権利更新の手法としては、ローカルエージェント２１が中央サーバ１０と交信したとき、権利確認をする方法が考えられる。
【００７５】
例えば、ローカルエージェント２１は、定期的に中央サーバ１０と交信し、一定期間交信が不可となると、コンテンツ情報Ｃｉのアクセスを停止する。権利再開は中央サーバ１０との交信と、行使できる権利の相互確認とが済んだ段階で行われる。
【００７６】
以上のような管理により、退社などでユーザの身分が大幅に低下し、権利行使が不能になった場合にも、セキュア記録媒体ＭＡにあるコンテンツ操作権利を行使できる旨の矛盾を軽減できる。また、正当な身分でありながら何らかの理由で中央サーバ１０との交信が不可となった場合に起こる障害を軽減できる。
【００７７】
仮に正当な身分を失ったユーザのユーザ端末２０が中央サーバ１０と接続した場合、中央サーバ１０はユーザ管理ＤＢ１２の参照により、ユーザの操作権利が無い旨を知るので、ユーザ側のコンテンツ操作権利Ｒｉを全て失効させることができ、もって、安全性を向上できる。
【００７８】
（ローカルエージェントの正当性確認）
また、中央サーバ１０は、ローカルエージェント２１に関し、正当性を確認できるし、また、失効させることもできる。
【００７９】
例えば、ローカルエージェント２１は、復号したコンテンツに電子透かしを入れる構成とし、この電子透かしにより、復号に携わったローカルエージェントのデバイス鍵に一意に関係付けられた情報がコンテンツに重畳されるようにする。
【００８０】
これにより、中央サーバ１０は、不当に出回ったコンテンツから電子透かしを検出し、エージェント管理ＤＢ１４の参照により、対象となるローカルエージェント２１を割り出し、該当するローカルエージェント２１のデバイス鍵を抹消する。
【００８１】
上述したように本実施形態によれば、ユーザ端末２０がコンテンツ情報Ｃｉにアクセスする際に、セキュア記録媒体ＭＡ内のコンテンツ操作権利Ｒｉを必要とし、且つ、一定期間、上位の中央サーバ１０との交信ができないときにはアクセスを不可とする構成により、上位の中央サーバ１０に接続されるユーザ端末を外部に持ち出す場合でも、コンテンツ情報Ｃｉの機密保護を図ることができる。
【００８２】
詳しくは、セキュア記録媒体ＭＡ内のコンテンツ操作権利Ｒｉを必要とすることにより、ユーザ以外の者から機密保護を図ることができる。また、一定期間、上位の中央サーバ１０との交信ができないときにはアクセスを不可とすることにより、時間の経過により操作権利を失ったユーザ自身から機密保護を図ることができる。
【００８３】
さらに、権利委譲により、コンテンツ情報Ｃｉの復号や操作に必要な情報が中央サーバ１０に管理されるので、不測の事態により、セキュア記録媒体ＭＡを紛失又は破損した際にも、中央サーバ１０から必要な情報を再付与できるので、不測の事態に対する安全性を向上させることができる。
【００８４】
（第２の実施形態）
次に、本発明の第２の実施形態に係る企業情報保護システムについて説明する。図８は本実施形態における権利比較部による権利の比較を説明するための模式図である。図示するように、コンテンツ操作権利Ｒｉは、４つの権利テーブルＴｃ，Ｔ１〜Ｔ３から構成されている。
【００８５】
ここで、コンテンツ権利テーブルＴｃは、コンテンツが許容する操作権利を操作項目毎に数値で示しており、閲覧がレベル３で可能、印刷がレベル３で可能、編集がレベル３で可能、二次加工がレベル０で可能（＝不可）となっている。
【００８６】
個人権利テーブルＴ１は、ユーザ個人の操作権利を操作項目毎に数値で示すものであり、各数値が他のテーブルとは独立に設定されている。
【００８７】
組織権利テーブルＴ２は、組織固有の操作権利を操作項目毎に数値で示すものであり、各数値が他のテーブルとは独立に設定されている。
【００８８】
役職権利テーブルＴ３は、役職固有の操作権利を操作項目毎に数値で示すものであり、各数値が他のテーブルとは独立に設定されている。
【００８９】
ここで、権利比較部２５は、コンテンツ毎に、コンテンツ操作権利Ｒｉから各テーブルＴｃ，Ｔ１〜Ｔ３を参照し、ユーザに関連する３つの権利テーブルＴ１〜Ｔ３に関し、各操作項目毎に最大値を抽出し、権利の最大値テーブルＴ４を作成する。
【００９０】
しかる後、権利比較部２５は、得られた最大値テーブルＴ４と、コンテンツ権利テーブルＴｃとに関し、各操作項目毎に数値を比較する。ここで、最大値テーブルＴ４のある操作項目の数値がコンテンツ権利テーブルＴｃの同じ操作項目の数値以上のとき（但し、０の場合を除く）には、その操作項目はコンテンツ操作権利が許可される。
【００９１】
図８に示す場合、閲覧、印刷及び編集はコンテンツ操作権利が許可されるため、ユーザの権利行使が可能である。二次加工は、コンテンツ権利テーブルの数値が０のため、最大値権利テーブルＴ４とは無関係に、コンテンツ操作権利が不許可とされるため、権利行使が不可である。
【００９２】
以下、権利比較部２５は、要求するコンテンツが複数あれば、各コンテンツ毎に上述した処理を行う。
【００９３】
ここで、コンテンツ操作権利Ｒｉは、定期的に中央サーバ１０から更新される。定期的にコンテンツ操作権利Ｒｉを変更することにより、ユーザの属性値が変更されたとき、速やかに対応することができる。
【００９４】
例えば、図９に示すように、ユーザが定年を迎えたが同じ企業グループで働く場合のように、既存の組織権利テーブルＴ２と役職権利テーブルＴ３とが無効となり、個人権利テーブルＴ１のみ有効に残る場合、権利比較部２５は、無効なテーブルの数値を０と扱って、前述同様に、各テーブルＴ１〜Ｔ３から得られる最大値権利テーブルＴ４を作成し、コンテンツ権利テーブルＴｃと比較する。
【００９５】
図９に示す場合、最大値権利テーブルＴ４の各数値がいずれもコンテンツ権利テーブルＴｃの各数値を下回るので、全ての操作項目で権利行使が不可となる。
【００９６】
上述したように本実施形態によれば、第１の実施形態の効果に加え、複数の権利テーブルＴｃ，Ｔ１〜Ｔ３に基づいて、個人、組織、役職などの属性により、権利行使できる操作項目を演算処理で求めることができる。
【００９７】
なお、本実施形態は、例えば図１０に示すように、変形してもよい。この変形例は、個別識別子ＩＤｕに、個人、組織、役職を記述するフィールドを設け、これを確認、変更する構成である。
【００９８】
このときには個人、組織、役職によって権利行使できるルールを記述した情報をセキュア記録媒体ＭＡのユーザデータ領域３に個別識別子ＩＤｕを用いて暗号化したものを格納させ、これを参照しながら、権利行使を行う。
【００９９】
個人は個別識別子ＩＤｕで代用できる。既存の組織から所属が離れると中央サーバ１０からは削除される。組織、役職も変更があれば改訂される。個人識別子ＩＤｕは、一旦付与されれば、その資格を失わない限り変更はない。
【０１００】
権利比較部２５は、個別識別子ＩＤｕの属性から、各権利テーブルＴ１〜Ｔ３が有効か否かを確認する。具体的には、各権利テーブルＴ１〜Ｔ３に付加された有効レベルとの比較を行う。
【０１０１】
例えば図１０に示す場合、組織に特有な組織権利テーブルＴ２の有効レベルは１、個人の持つ組織レベルは２なので、この組織権利テーブルＴ２は有効となる。一方、図１１に示す場合、組織権利テーブルＴ２の有効レベルは３、個人の持つ組織レベルは２なので、この組織権利テーブルＴ２は無効となる。
【０１０２】
特に、管理サーバからの接続がなされない、企業ネットワークから切り離された状態での企業情報管理をより一層、安全にするために、請求項４では、付与された権利を一時的に制限することを実現する。企業情報が広範囲に漏洩するケースは暗号化を解かれた平文となった情報が、ファイルや印刷物として流出する場合である。係る事態を未然に防止するためには、閲覧以外の権利の行使を一時停止することが望ましい。この実現は、最低限の権利行使である権利テーブルＴ１だけに一時的に制限することで達せられる。ユーザが文書閲覧など機密の対象となる情報にアクセスする場合にはローカルエージェント２１は中央サーバ１０に対し、対応するコンテンツ識別子ｉ及び媒体識別子ＩＤｍＡを送信する。しかし、企業ネットワークに接続されていないため、中央サーバ１０からの応答はない。係る条件を検出した際、ローカルエージェント２１は権利テーブルＴ１に従った権利行使に切り替える。もちろん、企業内ネットワークに接続された状態に戻ると、ローカルエージェント２１は中央サーバ１０との交信が確立され行使できる権利の相互確認とが済んだ段階で、付与された範囲の権利執行に戻る。
【０１０３】
なお、上記各実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記録媒体に格納して頒布することもできる。
【０１０４】
また、この記録媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記録媒体であれば、その記憶形式は何れの形態であっても良い。
【０１０５】
また、記録媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が本実施形態を実現するための各処理の一部を実行しても良い。
【０１０６】
さらに、本発明における記録媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記録媒体も含まれる。
【０１０７】
また、記録媒体は１つに限らず、複数の媒体から本実施形態における処理が実行される場合も本発明における記録媒体に含まれ、媒体構成は何れの構成であっても良い。
【０１０８】
尚、本発明におけるコンピュータは、記録媒体に記憶されたプログラムに基づき、本実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。
【０１０９】
また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
【０１１０】
なお、本願発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。更に、異なる実施形態に亘る構成要素を適宜組合せてもよい。
【０１１１】
【発明の効果】
以上説明したように本発明によれば、上位の管理サーバに接続されるユーザ端末を外部に持ち出す場合でも、コンテンツ情報の機密保護を図ることができる。
【図面の簡単な説明】
【図１】 本発明の第１の実施形態に係るアクセス管理プログラムが適用された企業情報保護システムの構成を示す模式図である。
【図２】 同実施形態におけるセキュア記録媒体の構成を示す模式図である。
【図３】 同実施形態におけるユーザ端末の構成を示す模式図である。
【図４】 同実施形態における動作を説明するための模式図である。
【図５】 同実施形態における動作を説明するための模式図である。
【図６】 同実施形態における動作を説明するための模式図である。
【図７】 同実施形態における動作を説明するための模式図である。
【図８】 本発明の第２の実施形態における権利比較部による権利の比較を説明するための模式図である。
【図９】 同実施形態における権利の比較を説明するための模式図である。
【図１０】 同実施形態における権利の比較を説明するための模式図である。
【図１１】 同実施形態における権利の比較を説明するための模式図である。
【図１２】 同実施形態における権利の比較を説明するための模式図である。
【符号の説明】
ＭＡ…セキュア記録媒体、１…システム領域、２…保護領域、３…ユーザデータ領域、１０…中央サーバ、１１…コンテンツ管理ＤＢ、１２…ユーザ管理ＤＢ、１３…権利テーブルＤＢ、１４…エージェント管理ＤＢ、１５…中央サーバエージェント、２０…ユーザ端末、２１…ローカルエージェント、２２…暗復号部、２２ａ…ＭＫＢ処理部、２２ｂ…保護領域復号部、２２ｃ…ユーザ領域復号部、２２ｄ…コンテンツ復号部、２２ｅ…コンテンツ暗号化部、２３…権限委譲部、２４…権利要求／付与部、２５…権利比較部、２６…コンテンツ操作部、２７…ファイルシステム、２８…メモリ。
【発明の属する技術分野】
本発明は、コンテンツ情報のアクセス権限を管理するためのアクセス管理プログラムに関する。
【０００２】
【従来の技術】
従来、企業等の団体においては、社員等の各個人が文書情報や画像情報等のコンテンツ情報を作成する際に、各個人のパーソナルコンピュータ（以下、パソコンという）により作成している。
【０００３】
この種のコンテンツ情報を管理するため、上位の管理サーバにコンテンツ情報を登録し、各個人のパソコンが上位の管理サーバからコンテンツ情報を読出して編集し、編集後に上位の管理サーバに戻す方式が知られている。
なお、この方式とは異なるが、この出願の発明に関連する技術としては次のものがある。
【０００４】
【特許文献１】
特開２００２−１２３３２８号公報。
【０００５】
【発明が解決しようとする課題】
しかしながら、以上のような上位の管理サーバからコンテンツ情報を読み出す方式は、各個人のパソコンを外部に持出すと、コンテンツ情報の機密保護を図れない問題がある。
【０００６】
詳しくは、例えば自宅等に持ち帰ってコンテンツ情報を編集する場合は構わないが、退職した元社員が機密情報を含むコンテンツ情報にアクセスできる状況が問題となっている。
【０００７】
本発明は上記実情を考慮してなされたもので、上位の管理サーバに接続されるユーザ端末を外部に持ち出す場合でも、コンテンツ情報の機密保護を図り得るアクセス管理プログラムを提供することを目的とする。
【０００８】
【課題を解決するための手段】
第１の発明は、予めユーザの個別識別子とアクセス権利情報とを保持したセキュア記録媒体を着脱自在に保持し、且つ前記ユーザの操作によってコンテンツ情報を作成するためのユーザ端末に用いられ、前記コンテンツ情報のアクセス権限を管理するアクセス管理プログラムであって、前記ユーザ端末のコンピュータに、前記セキュア記録媒体からアクセス権利情報を読み出す機能、このアクセス権利情報に基づいて、前記コンテンツ情報のアクセスを許可する機能、前記アクセス権利情報を定期的又は不定期に更新するように、アクセス権利を管理する管理サーバと交信するための機能、この交信が一定期間できないとき、前記コンテンツ情報へのアクセスを不可とする機能、を実現させるためのアクセス管理プログラムである。
【０００９】
このように、ユーザ端末がコンテンツ情報にアクセスする際に、セキュア記録媒体内のアクセス権利情報を必要とし、且つ、アクセス権利を管理する管理サーバとの交信が一定期間できないときにはアクセスを不可とする構成により、上位の管理サーバに接続されるユーザ端末を外部に持ち出す場合でも、コンテンツ情報の機密保護を図ることができる。
【００１０】
【発明の実施の形態】
以下、本発明の各実施形態について図面を参照しながら説明するが、その前に、本明細書中の表記法を以下に示す。
ＩＤｍＡ：セキュア媒体ＭＡのシステム領域に格納された媒体識別子。
ＩＤｕ：個別識別子。ユーザＩＤであり、中央（管理）サーバが発行する。
Enc_id(ＩＤｍＡ，ＩＤｕ)：暗号化個別識別子であり、個別識別子ＩＤｕが媒体識別子ＩＤｍＡで暗号化されたもの。idは暗号方式を示す添字。
Ｋｃｉ：コンテンツＩＤが ｉのコンテンツ鍵情報。
Ｄｃｉ：コンテンツＩＤが ｉのコンテンツ属性情報。
Ｃｉ：コンテンツＩＤが ｉのコンテンツ情報。
Ｍｄｉ：コンテンツＩＤが ｉのコンテンツメタ情報。
ヘッダ情報：コンテンツ識別子ｉをもつ情報（例、Ｋｃｉ、Ｄｃｉ、Ｍｄｉ、Ｒｉ、Ｃｉ等）を互いに関係つける情報。なお、ヘッダ情報は、各情報を暗号化の有無によらずに関連付ける。
【００１１】
Enc_k（ＩＤｕ，Ｋｃｉ）：暗号化コンテンツ鍵であり、コンテンツ鍵Ｋｃｉが個別識別子ＩＤｕで暗号化されたもの。
【００１２】
Enc_c（Ｋｃｉ，Ｃｉ）：暗号化コンテンツと呼ぶ。コンテンツ鍵Ｋｃｉで暗号化された、コンテンツＩＤが ｉのコンテンツＣｉ。
【００１３】
Ｒｉ：コンテンツＩＤが ｉのコンテンツ操作に関わる権利。コンテンツ操作権利情報と呼ぶ。閲覧、二次加工（編集、改訂など）等の操作権利を示しており、メタ情報の一部。
【００１４】
Enc_k（ＩＤｕ，Ｒｉ）：暗号化コンテンツ操作権利情報。
【００１５】
（第１の実施形態）
図１は本発明の第１の実施形態に係るアクセス管理プログラムが適用された企業情報保護システムの構成を示す模式図であり、図２は同システムにおけるセキュア記録媒体の構成を示す模式図であり、図３は同システムにおけるユーザ端末の構成を示す模式図である。
【００１６】
この企業情報保護システムは、上位の管理サーバとしての中央サーバ１０と、複数のユーザ端末２０とがネットワークを介して接続可能となっている。
ここで、中央サーバ１０は、コンテンツ管理ＤＢ(database)１１、ユーザ管理ＤＢ１２、権利テーブルＤＢ１３、エージェント管理ＤＢ１４及び中央サーバエージェント１５を備えている。
【００１７】
コンテンツ管理ＤＢ１１は、中央サーバエージェント１５から読出／書込可能となっており、各ユーザ端末２０からの権利委譲に伴い、個別識別子ＩＤｕ毎にコンテンツＩＤｉ、コンテンツ属性情報Ｄｃｉ、メタ情報Ｍｄｉ、ヘッダ情報Ｈｄｉ、暗号化コンテンツ鍵Enc_k（ＩＤｕ，Ｋｃｉ）、暗号化コンテンツEnc_c（Ｋｃｉ，Ｃｉ）、暗号化コンテンツ操作権利Enc_k（ＩＤｕ，Ｒｉ）が記憶される。
【００１８】
ユーザ管理ＤＢ１２は、中央サーバエージェント１５から読出／書込可能となっており、各ユーザ毎に、所属する組織、役職（身分）とが記憶されている。
【００１９】
権利テーブルＤＢ１３は、中央サーバエージェント１５から読出／書込可能となっており、各ユーザ固有のコンテンツ操作権利情報をテーブル形式で示す個人権利テーブルと、組織固有のコンテンツ操作権利情報をテーブル形式で示す組織権利テーブルと、役職固有のコンテンツ操作権利情報をテーブル形式で示す役職権利テーブルとが記憶されている。
【００２０】
エージェント管理ＤＢ１４は、中央サーバエージェント１５から読出／書込可能となっており、ユーザ端末側のローカルエージェント固有のデバイス鍵と電子透かし情報とが記憶されている。この電子透かし情報は、ローカルエージェント２１が復号したコンテンツに入れるものである。
【００２１】
中央サーバエージェント１５は、各管理ＤＢ１１〜１４を管理しつつ、ユーザ端末２０を介してセキュア記録媒体ＭＡ内の権利委譲を受ける機能、ユーザ端末２０からの権利付与の要求に応じて権利を付与する機能、ユーザ端末２０を介してセキュア記録媒体ＭＡ内の暗号化されたコンテンツ操作権利情報Ｒｉを変更又は削除する機能などをもっている。
【００２２】
一方、ユーザ端末２０は、着脱自在に保持するセキュア記録媒体ＭＡに対して読出／書込可能なローカルエージェント２１を備えている。
なお、セキュア記録媒体ＭＡは、例えばＳＤメモリカードであり、システム領域１、保護領域２、ユーザデータ領域３及び図示しないコントローラ等を備えている。
【００２３】
システム領域１は、媒体製造時に、媒体固有の識別情報である媒体識別子ＩＤｍ及びＭＫＢ(Media Key Block)情報が書換不可に記憶された領域である。
【００２４】
保護領域２は、一般のユーザがデータに直接アクセスできない領域であり、セキュア記録媒体ＭＡに固有の媒体固有鍵Ｋmuにより、ユーザ固有の個別固有鍵ＩＤｕが暗号化されてなる暗号化個別識別子Enc（Ｋmu，ＩＤｕ）が記憶されている。ここで、媒体固有鍵Ｋmuは、後述するビューア部４０のデバイス鍵や、媒体識別子ＩＤｍ及びＭＫＢ情報に基づいて、ＭＫＢ処理などにより生成される媒体固有の鍵である。
【００２５】
ユーザデータ領域３は、一般のユーザがデータに直接アクセス可能な領域であり、ここでは、暗号化コンテンツ鍵Enc_k（ＩＤｕ，Ｋｃｉ）、暗号化コンテンツ操作権利情報Enc_k（ＩＤｕ，Ｒｉ）及び暗号化コンテンツEnc_c（Ｋｃｉ，Ｃｉ）が記憶されている。但し、ユーザデータ領域３は、これに限らず、ヘッダ情報Ｈｄｉ、メタ情報Ｍｄｉ、コンテンツ属性情報Ｄｃｉなど、任意の情報を記憶させることができる。
【００２６】
ローカルエージェント（アクセス管理プログラム）２１は、閲覧、編集、印刷、二次加工などの処理を制御する機能を有し、基本的には外部権利記録媒体からの権利、暗号鍵などの読出し機能と、コンテンツの暗号化、復号などを行う機能と、中央サーバ１０との権利の委譲、付与された権利行使などを行う機能と、コンテンツ操作権利Ｒｉを定期的又は不定期に更新するように、中央サーバ１０と交信するための機能と、中央サーバ１０との一定期間毎の交信が途絶えると、コンテンツ操作権利Ｒｉに関わらず、コンテンツの操作を不可とする機能とをもっている。
【００２７】
具体的にはローカルエージェント２１は、図３に示すように、暗復号部２２、ＭＫＢ処理部２２ａ、保護領域復号部２２ｂ、ユーザ領域復号部２２ｃ、コンテンツ復号部２２ｄ、コンテンツ暗号化部２２ｅ、権限委譲部２３、権利要求／付与部２４、権利比較部２５、コンテンツ操作部２６、ファイルシステム２７、メモリ２８を備えている。
【００２８】
ここで、暗復号部２２は、セキュア記録媒体ＭＡの記録内容を復号して読出す機能と、ローカルエージェント２１による書込データを暗号化してセキュア記録媒体ＭＡに書込む機能をもっており、前述した各部２２ａ〜２２ｅを備えている。
【００２９】
ＭＫＢ処理部２２ａは、セキュア記録媒体ＭＡから読み出した媒体識別子ＩＤｍＡ及びＭＫＢ情報と、ローカルエージェント２１のデバイス鍵とに基づいて媒体固有鍵Ｋmuを生成し、この媒体固有鍵Ｋmuを保護領域復号部２２ｂに送出する機能をもっている。具体的にはＭＫＢ処理部２２ａは、ＳＤメモリカードに適用する場合、ＳＤメモリカードの再生装置の一部としての、鍵生成用の暗号化処理（ＭＫＢ処理、Ｃ２_Ｇ処理）に対応している。
【００３０】
保護領域復号部２２ｂは、ＭＫＢ処理部２２ａから受けた媒体固有鍵Ｋmuに基づいて、セキュア記録媒体ＭＡから読み出した暗号化個別識別子Enc（Ｋmu，ＩＤｕ）を復号し、得られた個別識別子ＩＤｕをユーザ領域復号部２２ｃに送出する機能をもっている。なお、保護領域復号部２２ｂは、後述するが個別識別子がコンテンツ操作権利情報を含む実施形態の場合、得られた個別識別子ＩＤｕを権利比較部２５に送出する機能を備えたものとする。
【００３１】
いずれにしても、具体的には保護領域復号部２２ｂは、ＳＤメモリカードに適用する場合、ＳＤメモリカードの再生装置の一部としての、保護領域読出用の相互認証・鍵交換処理（ＡＫＥ処理）、読出データの復号処理（Ｃ２_ＤＣＢＣ処理、Ｃ２_Ｄ処理）及び連接解除処理（‖処理）などに対応している。
【００３２】
ユーザ領域復号部２２ｃは、保護領域復号部２２ｂから受けた個別識別子ＩＤｕに基づいて、セキュア記録媒体ＭＡから読み出した暗号化コンテンツ鍵Enc（ＩＤｕ，Ｋｃｉ）を復号し、得られたコンテンツ鍵Ｋｃｉをコンテンツ復号部２２ｄ及びコンテンツ暗号化部２２ｅに送出する機能をもっている。
【００３３】
また、ユーザ領域復号部２２ｃは、同じく個別識別子ＩＤｕに基づいて、セキュア記録媒体ＭＡから読み出した暗号化コンテンツ操作権利Enc（ＩＤｕ，Ｒｉ）を復号し、得られたコンテンツ操作権利Ｒｉを権利比較部２５に送出する機能とをもっている。
【００３４】
具体的にはユーザ領域復号部２２ｃは、ＳＤメモリカードに適用する場合、ＳＤメモリカードの再生装置の一部としての、ユーザデータ領域３からの読出データの復号処理（Ｃ２_ＤＣＢＣ処理）に対応している。
【００３５】
コンテンツ復号部２２ｄは、ユーザ領域復号部２２ｃから受けたコンテンツ鍵Ｋｃに基づいて、セキュア記録媒体ＭＡ又はメモリ２８から読み出した暗号化コンテンツEnc（Ｋｃｉ，Ｃｉ）を復号し、得られたコンテンツ情報Ｃｉをコンテンツ操作部２６に出力する機能をもっている。
【００３６】
コンテンツ暗号化部２２ｅは、ユーザ領域復号部２２ｃから受けたコンテンツ鍵Ｋｃｉに基づいて、コンテンツ操作部２６から受けたコンテンツ情報Ｃｉを暗号化し、得られた暗号化コンテンツEnc（Ｋｃｉ，Ｃｉ）をセキュア記録媒体ＭＡ又はメモリ２８に書込む機能をもっている。
【００３７】
権利委譲部２３は、ユーザの操作により、コンテンツＣｉの権利委譲の際に、セキュア記録媒体ＭＡのユーザデータ領域３内の、コンテンツＣｉに対応する記録内容を中央サーバに送信する機能と、送信した記録内容のうち、少なくとも暗号化されている情報をセキュア記録媒体ＭＡから消去する機能とをもっている。
【００３８】
権利要求／付与部２４は、権利委譲部２３による権利委譲の後、ユーザの操作により、コンテンツＣｉの操作権利を中央サーバ１０に要求する機能と、この要求に応じて中央サーバから受けたデータをセキュア記録媒体ＭＡのユーザデータ領域３に書込む機能とをもっている。
【００３９】
権利比較部２５は、ユーザの操作により、コンテンツＣｉにアクセスする前に、セキュア記録媒体ＭＡから暗復号部２２を介して読み出したコンテンツ操作権利情報Ｒｉに基づいて、ユーザ固有のコンテンツ操作権利と、コンテンツ固有の操作権利とを比較し、操作内容毎に許可又は不許可をコンテンツ操作部２６に通知する機能をもっている。
【００４０】
コンテンツ操作部２６は、権利比較部２５からの通知内容に基づいて、ユーザの操作により、暗復号部２２から受けたコンテンツ情報Ｃｉを操作する機能と、操作後のコンテンツ情報Ｃｉを暗復号部２２を介してセキュア記録媒体ＭＡ又はメモリ２８に書込む機能をもっている。
【００４１】
ファイルシステム２７は、ローカルエージェント２１に用いられ、メモリ２８内の暗号化又は平文状態のコンテンツ情報を管理する機能をもっている。メモリ２８は、ファイルシステム２７に管理される記憶部である。
【００４２】
次に、以上のように構成された企業情報保護システムの動作を図４乃至図７の模式図を用いて説明する。なお、以下の説明は、「ローカルエージェントでのコンテンツ作成」、「再読出・編集・加工」、「権利委譲」、「権利付与要求」、「権利行使」、「権利の管理」及び「ローカルエージェントの正当性確認」の順に述べる。
【００４３】
（ローカルエージェント２１でのコンテンツ作成）
ユーザ端末２０は、ユーザの操作により、ローカル文書としてのコンテンツ情報Ｃｉを作成するため、ローカルエージェント２１を動作させる。
【００４４】
ローカルエージェント２１は、始めに、コンテンツ識別子ｉを生成する。このコンテンツ識別子ｉは、別の文書名とリンクされ、ユーザからは隠されている。なお、コンテンツ識別子ｉには、ユーザの個別識別子ＩＤｕと関係付けるデータが入っていると良い。この種のデータには、例えば、従業員番号、会員番号など個別識別子と対応したもの。後は、日付やシリアル番号等がある。
【００４５】
次に、ローカルエージェント２１は、コンテンツＣｉを作成すると共に、コンテンツ属性情報Ｄｃｉ、メタ情報Ｍｄｉ、操作権利情報Ｒｉ、ヘッダ情報Ｈｄｉを生成する。
【００４６】
ここで、コンテンツ属性情報Ｄｃｉ、メタ情報Ｍｄｉ及びヘッダ情報Ｈｄｉは、暗号化されずに、セキュア記録媒体ＭＡのユーザデータ領域３に格納され、ファイルシステム２７から参照可能となっている。
【００４７】
コンテンツ操作権利情報Ｒｉは、機密度に従って、ユーザが選択してもよく、又は予め決められていてもよい。このコンテンツ操作権利情報Ｒｉは、個別識別子ＩＤｕで暗号化され、セキュア記録媒体ＭＡのユーザデータ領域３に格納される。
【００４８】
続いて、ローカルエージェント２１は、コンテンツ鍵Ｋｃｉを内部で生成し、このコンテンツ鍵Ｋｃｉによりコンテンツ情報Ｃｉを暗号化し、得られた暗号化コンテンツEnc_c（Ｋｃｉ，Ｃｉ）を、例えばファイルシステム２７のメモリ２８に格納する。
【００４９】
また、ローカルエージェント２１は、個別識別子ＩＤｕでコンテンツ鍵Ｋｃｉを暗号化し、得られた暗号化コンテンツ鍵Enc_k（ＩＤｕ，Ｋｃｉ）を、例えばセキュア記録媒体ＭＡのユーザデータ領域３に格納する。なお、ローカルの非セキュア記憶部としてのメモリ２８に格納してもよい。
【００５０】
すなわち、ローカルエージェント２１は、コンテンツ情報Ｃｉを生成する際に、通常の関連情報の他に、参加権利情報Ｒｉを作成し、このＲｉを改ざんされないように暗号化してユーザデータ領域３に格納する。
【００５１】
（再読出・編集・加工）
ローカルエージェント２１は、ファイルシステム２７などを用い、セキュア記録媒体ＭＡのユーザデータ領域３内のヘッダ情報Ｈｄｉからメタ情報Ｍｄｉなどを参照して、所望のコンテンツ情報Ｃｉを特定する。なお、コンテンツ識別子ｉとは別の文書名を参照する。コンテンツ識別子ｉは、ユーザからは見えない。
【００５２】
図３及び図４に示すように、ローカルエージェント２１は、暗復号部２２により、対応するコンテンツ識別子ｉに基づいて、保護領域２内の暗号化個別識別子Enc_id（ＩＤｍＡ，ＩＤｕ)を読出し、復号により個別識別子ＩＤｕを得る。
【００５３】
次に、ローカルエージェント２１は、暗復号部２２により、個別識別子ＩＤｕに基づいてユーザデータ領域３内の暗号化コンテンツ操作権利Enc（ＩＤｕ，Ｒｉ）を復号し、得られたコンテンツ操作権利Ｒｉに基づいて、権利比較部２５が操作内容毎に、許可／不許可をコンテンツ操作部２６に通知する。
【００５４】
コンテンツ操作部２６は、この通知により、例えばコンテンツ情報Ｃｉの閲覧及び二次加工が許可されたとして、暗復号部２２を制御する。
【００５５】
暗復号部２２は、コンテンツ操作部２６の制御により、前述した復号処理を進める。すなわち、暗復号部２２は、個別識別子ＩＤｕに基づいて、ユーザデータ領域３内の暗号化コンテンツ鍵Enc_k（ＩＤｕ，Ｋｃｉ）からコンテンツ鍵Ｋｃｉを得て、最終的に暗号化コンテンツEnc_c（Ｋｃｉ，Ｃｉ）を復号し、コンテンツ情報Ｃｉをコンテンツ操作部２６に送出する。
【００５６】
コンテンツ操作部２６は、ユーザの操作により、コンテンツ操作権利に従って閲覧などを行う。なお、権利行使を確実にする観点から、操作権利が閲覧専用のコンテンツ情報Ｃｉであれば、例えばＰＤＦ(Portable Document Format)形式のようにイメージ化しておくとよい。
【００５７】
一方、編集、二次加工を操作権利に含むコンテンツ情報Ｃｉは、作成に用いたアプリケーション（ワープロソフト、表作成ソフト）２９の扱うファイル形式でコンテンツを表現すると良い。これにより、比較的簡単に、既存のアプリケーションとの整合性を確保できる。
【００５８】
権利行使が終了すれば、コンテンツ情報Ｃｉは、再び、コンテンツ鍵Ｋｃｉを用いて暗号化される。ここで、二次加工後の新たなコンテンツを保存する場合（ユーザが別の文書名で保存する場合）、新たなコンテンツ識別子ｊが生成され、前述したコンテンツ作成と同様の処理が行われる。
【００５９】
すなわち、新しいコンテンツは、ローカルエージェント２１の管理下に置くことができる。また、新しいコンテンツは、中央サーバ２０に権利委譲することもできる。基本的には、ローカルエージェント２１で管理後、中央サーバ１０へ権利委譲する。
【００６０】
（権利委譲）
作成したコンテンツ識別子ｉのコンテンツＣｉに関し、コンテンツ操作権利を中央サーバ１０に委譲する際には、ユーザの意志で中央サーバへ権利を委譲する場合と、中央サーバ１０がポーリングによってローカルエージェント２１と交信し、未だ権利委譲されていないコンテンツを定期的に吸い上げる場合とがある。
【００６１】
いずれにしても、ローカルエージェント２１が中央サーバ１０に権利を委譲するときの必要情報には、コンテンツ識別子ｉ毎に、コンテンツ属性情報Ｄｃｉ、メタ情報Ｍｄｉ、ヘッダ情報Ｈｄｉ、暗号化コンテンツ鍵Enc_k（ＩＤｕ，Ｋｃｉ）、暗号化コンテンツEnc_c（Ｋｃｉ，Ｃｉ）、暗号化コンテンツ操作権利Enc_k（ＩＤｕ，Ｒｉ）等がある。
【００６２】
従って、図５に示すように、ローカルエージェント２１の権利委譲部２３は、これら必要情報を中央サーバに送信する。なお、権利委譲の際に送信する情報のうち、暗号化された情報は、通信時にはセキュアな状態である。
【００６３】
また、中央サーバ１０では、個別識別子ＩＤｕが予め登録されているので、暗号化された情報を復号することができる。
【００６４】
一方、権利委譲部２３は、送信した情報のうち、暗号化された情報を権利委譲後、消去する。また、ヘッダ情報Ｈｄｉにおいては、Ｄｃｉ、Ｍｄｉをｉと関連つけて保存しても良いし、消去しても良い。
【００６５】
なお、このように中央サーバ１０に権利委譲をすると、ローカルにあった権利が消滅するので、コンテンツ情報Ｃｉにアクセスできなくなる。このため、権利委譲後は、中央サーバ１０から権利付与を受ける必要がある。
【００６６】
（権利付与要求）
ローカルエージェント２１の権利要求／付与部２４は、中央サーバ１０にアクセスし、所望のコンテンツを選択する。このとき、ユーザは、文書名やコンテンツ属性情報Ｄｃｉなどからコンテンツを選択する。
【００６７】
しかる後、ローカルエージェント２１は、対応するコンテンツ識別子ｉ及び媒体識別子ＩＤｍＡを中央サーバ１０に送る。なお、コンテンツ識別子ｉはコンテンツの特定に必要であり、媒体識別子ＩＤｍＡはユーザの特定に必要である。
【００６８】
中央サーバ１０は、中央サーバエージェント１５により、この受けた情報に基づいて、付与できる権利の情報として、暗号化コンテンツ操作権利Enc_k（ＩＤｕ，Ｒｉ）、暗号化コンテンツ鍵Enc_k（ＩＤｕ，Ｋｃｉ）、必要に応じて暗号化コンテンツEnc_k（Ｋｃｉ，Ｃｉ）を作成する。場合によって、中央サーバエージェント１５は、コンテンツ権利行使ルールの改定、ユーザ属性の更新なども行う。
【００６９】
しかる後、中央サーバ１０は、これら暗号化コンテンツ操作権利Enc_k（ＩＤｕ，Ｒｉ）、暗号化コンテンツ鍵Enc_k（ＩＤｕ，Ｋｃｉ）、暗号化コンテンツEnc_k（Ｋｃｉ，Ｃｉ）をユーザ端末２０に返信する。
【００７０】
ユーザ端末２０では、権限要求／付与部２４が暗号化コンテンツ操作権利Enc_k（ＩＤｕ，Ｒｉ）及び暗号化コンテンツ鍵Enc_k（ＩＤｕ，Ｋｃｉ）をセキュア記録媒体ＭＡのユーザデータ領域３に書込む。
【００７１】
また、権限要求／付与部２４は、暗号化コンテンツEnc_k（Ｋｃｉ，Ｃｉ）を例えばメモリ２８に格納する。
【００７２】
（権利行使）
権利行使は、前述した「再読出・編集・加工」の動作と同様である。但し、今回の権利行使は、権利委譲及び権利付与後なので、セキュア記録媒体ＭＡを紛失又は破損した場合でも、中央サーバ１０から権利を再付与してもらうことにより、コンテンツ情報Ｃｉにアクセス可能となる点が異なる。
【００７３】
（権利の管理）
中央サーバ１０は、ユーザ管理ＤＢ１２により、ユーザ管理を個人、所属組織、役職（身分）の３つの属性に基づいて行う。例えば、個人の権利を基本とし、所属組織、役職の２つで権利を拡大すればよい。ここで、組織変更、役職の変更などが生ずれば、行使できる権利が変化するので、権利を更新する必要がある。
【００７４】
権利更新の手法としては、ローカルエージェント２１が中央サーバ１０と交信したとき、権利確認をする方法が考えられる。
【００７５】
例えば、ローカルエージェント２１は、定期的に中央サーバ１０と交信し、一定期間交信が不可となると、コンテンツ情報Ｃｉのアクセスを停止する。権利再開は中央サーバ１０との交信と、行使できる権利の相互確認とが済んだ段階で行われる。
【００７６】
以上のような管理により、退社などでユーザの身分が大幅に低下し、権利行使が不能になった場合にも、セキュア記録媒体ＭＡにあるコンテンツ操作権利を行使できる旨の矛盾を軽減できる。また、正当な身分でありながら何らかの理由で中央サーバ１０との交信が不可となった場合に起こる障害を軽減できる。
【００７７】
仮に正当な身分を失ったユーザのユーザ端末２０が中央サーバ１０と接続した場合、中央サーバ１０はユーザ管理ＤＢ１２の参照により、ユーザの操作権利が無い旨を知るので、ユーザ側のコンテンツ操作権利Ｒｉを全て失効させることができ、もって、安全性を向上できる。
【００７８】
（ローカルエージェントの正当性確認）
また、中央サーバ１０は、ローカルエージェント２１に関し、正当性を確認できるし、また、失効させることもできる。
【００７９】
例えば、ローカルエージェント２１は、復号したコンテンツに電子透かしを入れる構成とし、この電子透かしにより、復号に携わったローカルエージェントのデバイス鍵に一意に関係付けられた情報がコンテンツに重畳されるようにする。
【００８０】
これにより、中央サーバ１０は、不当に出回ったコンテンツから電子透かしを検出し、エージェント管理ＤＢ１４の参照により、対象となるローカルエージェント２１を割り出し、該当するローカルエージェント２１のデバイス鍵を抹消する。
【００８１】
上述したように本実施形態によれば、ユーザ端末２０がコンテンツ情報Ｃｉにアクセスする際に、セキュア記録媒体ＭＡ内のコンテンツ操作権利Ｒｉを必要とし、且つ、一定期間、上位の中央サーバ１０との交信ができないときにはアクセスを不可とする構成により、上位の中央サーバ１０に接続されるユーザ端末を外部に持ち出す場合でも、コンテンツ情報Ｃｉの機密保護を図ることができる。
【００８２】
詳しくは、セキュア記録媒体ＭＡ内のコンテンツ操作権利Ｒｉを必要とすることにより、ユーザ以外の者から機密保護を図ることができる。また、一定期間、上位の中央サーバ１０との交信ができないときにはアクセスを不可とすることにより、時間の経過により操作権利を失ったユーザ自身から機密保護を図ることができる。
【００８３】
さらに、権利委譲により、コンテンツ情報Ｃｉの復号や操作に必要な情報が中央サーバ１０に管理されるので、不測の事態により、セキュア記録媒体ＭＡを紛失又は破損した際にも、中央サーバ１０から必要な情報を再付与できるので、不測の事態に対する安全性を向上させることができる。
【００８４】
（第２の実施形態）
次に、本発明の第２の実施形態に係る企業情報保護システムについて説明する。図８は本実施形態における権利比較部による権利の比較を説明するための模式図である。図示するように、コンテンツ操作権利Ｒｉは、４つの権利テーブルＴｃ，Ｔ１〜Ｔ３から構成されている。
【００８５】
ここで、コンテンツ権利テーブルＴｃは、コンテンツが許容する操作権利を操作項目毎に数値で示しており、閲覧がレベル３で可能、印刷がレベル３で可能、編集がレベル３で可能、二次加工がレベル０で可能（＝不可）となっている。
【００８６】
個人権利テーブルＴ１は、ユーザ個人の操作権利を操作項目毎に数値で示すものであり、各数値が他のテーブルとは独立に設定されている。
【００８７】
組織権利テーブルＴ２は、組織固有の操作権利を操作項目毎に数値で示すものであり、各数値が他のテーブルとは独立に設定されている。
【００８８】
役職権利テーブルＴ３は、役職固有の操作権利を操作項目毎に数値で示すものであり、各数値が他のテーブルとは独立に設定されている。
【００８９】
ここで、権利比較部２５は、コンテンツ毎に、コンテンツ操作権利Ｒｉから各テーブルＴｃ，Ｔ１〜Ｔ３を参照し、ユーザに関連する３つの権利テーブルＴ１〜Ｔ３に関し、各操作項目毎に最大値を抽出し、権利の最大値テーブルＴ４を作成する。
【００９０】
しかる後、権利比較部２５は、得られた最大値テーブルＴ４と、コンテンツ権利テーブルＴｃとに関し、各操作項目毎に数値を比較する。ここで、最大値テーブルＴ４のある操作項目の数値がコンテンツ権利テーブルＴｃの同じ操作項目の数値以上のとき（但し、０の場合を除く）には、その操作項目はコンテンツ操作権利が許可される。
【００９１】
図８に示す場合、閲覧、印刷及び編集はコンテンツ操作権利が許可されるため、ユーザの権利行使が可能である。二次加工は、コンテンツ権利テーブルの数値が０のため、最大値権利テーブルＴ４とは無関係に、コンテンツ操作権利が不許可とされるため、権利行使が不可である。
【００９２】
以下、権利比較部２５は、要求するコンテンツが複数あれば、各コンテンツ毎に上述した処理を行う。
【００９３】
ここで、コンテンツ操作権利Ｒｉは、定期的に中央サーバ１０から更新される。定期的にコンテンツ操作権利Ｒｉを変更することにより、ユーザの属性値が変更されたとき、速やかに対応することができる。
【００９４】
例えば、図９に示すように、ユーザが定年を迎えたが同じ企業グループで働く場合のように、既存の組織権利テーブルＴ２と役職権利テーブルＴ３とが無効となり、個人権利テーブルＴ１のみ有効に残る場合、権利比較部２５は、無効なテーブルの数値を０と扱って、前述同様に、各テーブルＴ１〜Ｔ３から得られる最大値権利テーブルＴ４を作成し、コンテンツ権利テーブルＴｃと比較する。
【００９５】
図９に示す場合、最大値権利テーブルＴ４の各数値がいずれもコンテンツ権利テーブルＴｃの各数値を下回るので、全ての操作項目で権利行使が不可となる。
【００９６】
上述したように本実施形態によれば、第１の実施形態の効果に加え、複数の権利テーブルＴｃ，Ｔ１〜Ｔ３に基づいて、個人、組織、役職などの属性により、権利行使できる操作項目を演算処理で求めることができる。
【００９７】
なお、本実施形態は、例えば図１０に示すように、変形してもよい。この変形例は、個別識別子ＩＤｕに、個人、組織、役職を記述するフィールドを設け、これを確認、変更する構成である。
【００９８】
このときには個人、組織、役職によって権利行使できるルールを記述した情報をセキュア記録媒体ＭＡのユーザデータ領域３に個別識別子ＩＤｕを用いて暗号化したものを格納させ、これを参照しながら、権利行使を行う。
【００９９】
個人は個別識別子ＩＤｕで代用できる。既存の組織から所属が離れると中央サーバ１０からは削除される。組織、役職も変更があれば改訂される。個人識別子ＩＤｕは、一旦付与されれば、その資格を失わない限り変更はない。
【０１００】
権利比較部２５は、個別識別子ＩＤｕの属性から、各権利テーブルＴ１〜Ｔ３が有効か否かを確認する。具体的には、各権利テーブルＴ１〜Ｔ３に付加された有効レベルとの比較を行う。
【０１０１】
例えば図１０に示す場合、組織に特有な組織権利テーブルＴ２の有効レベルは１、個人の持つ組織レベルは２なので、この組織権利テーブルＴ２は有効となる。一方、図１１に示す場合、組織権利テーブルＴ２の有効レベルは３、個人の持つ組織レベルは２なので、この組織権利テーブルＴ２は無効となる。
【０１０２】
特に、管理サーバからの接続がなされない、企業ネットワークから切り離された状態での企業情報管理をより一層、安全にするために、請求項４では、付与された権利を一時的に制限することを実現する。企業情報が広範囲に漏洩するケースは暗号化を解かれた平文となった情報が、ファイルや印刷物として流出する場合である。係る事態を未然に防止するためには、閲覧以外の権利の行使を一時停止することが望ましい。この実現は、最低限の権利行使である権利テーブルＴ１だけに一時的に制限することで達せられる。ユーザが文書閲覧など機密の対象となる情報にアクセスする場合にはローカルエージェント２１は中央サーバ１０に対し、対応するコンテンツ識別子ｉ及び媒体識別子ＩＤｍＡを送信する。しかし、企業ネットワークに接続されていないため、中央サーバ１０からの応答はない。係る条件を検出した際、ローカルエージェント２１は権利テーブルＴ１に従った権利行使に切り替える。もちろん、企業内ネットワークに接続された状態に戻ると、ローカルエージェント２１は中央サーバ１０との交信が確立され行使できる権利の相互確認とが済んだ段階で、付与された範囲の権利執行に戻る。
【０１０３】
なお、上記各実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記録媒体に格納して頒布することもできる。
【０１０４】
また、この記録媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記録媒体であれば、その記憶形式は何れの形態であっても良い。
【０１０５】
また、記録媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が本実施形態を実現するための各処理の一部を実行しても良い。
【０１０６】
さらに、本発明における記録媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記録媒体も含まれる。
【０１０７】
また、記録媒体は１つに限らず、複数の媒体から本実施形態における処理が実行される場合も本発明における記録媒体に含まれ、媒体構成は何れの構成であっても良い。
【０１０８】
尚、本発明におけるコンピュータは、記録媒体に記憶されたプログラムに基づき、本実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。
【０１０９】
また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
【０１１０】
なお、本願発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。更に、異なる実施形態に亘る構成要素を適宜組合せてもよい。
【０１１１】
【発明の効果】
以上説明したように本発明によれば、上位の管理サーバに接続されるユーザ端末を外部に持ち出す場合でも、コンテンツ情報の機密保護を図ることができる。
【図面の簡単な説明】
【図１】 本発明の第１の実施形態に係るアクセス管理プログラムが適用された企業情報保護システムの構成を示す模式図である。
【図２】 同実施形態におけるセキュア記録媒体の構成を示す模式図である。
【図３】 同実施形態におけるユーザ端末の構成を示す模式図である。
【図４】 同実施形態における動作を説明するための模式図である。
【図５】 同実施形態における動作を説明するための模式図である。
【図６】 同実施形態における動作を説明するための模式図である。
【図７】 同実施形態における動作を説明するための模式図である。
【図８】 本発明の第２の実施形態における権利比較部による権利の比較を説明するための模式図である。
【図９】 同実施形態における権利の比較を説明するための模式図である。
【図１０】 同実施形態における権利の比較を説明するための模式図である。
【図１１】 同実施形態における権利の比較を説明するための模式図である。
【図１２】 同実施形態における権利の比較を説明するための模式図である。
【符号の説明】
ＭＡ…セキュア記録媒体、１…システム領域、２…保護領域、３…ユーザデータ領域、１０…中央サーバ、１１…コンテンツ管理ＤＢ、１２…ユーザ管理ＤＢ、１３…権利テーブルＤＢ、１４…エージェント管理ＤＢ、１５…中央サーバエージェント、２０…ユーザ端末、２１…ローカルエージェント、２２…暗復号部、２２ａ…ＭＫＢ処理部、２２ｂ…保護領域復号部、２２ｃ…ユーザ領域復号部、２２ｄ…コンテンツ復号部、２２ｅ…コンテンツ暗号化部、２３…権限委譲部、２４…権利要求／付与部、２５…権利比較部、２６…コンテンツ操作部、２７…ファイルシステム、２８…メモリ。
Claims (4)
- 予めユーザの個別識別子及びアクセス権利情報を保持したセキュア記録媒体を着脱自在に保持し、且つ前記ユーザの操作によってコンテンツ情報を作成するためのユーザ端末に用いられ、前記コンテンツ情報のアクセス権限を管理するアクセス管理プログラムであって、
前記ユーザ端末のコンピュータに、
前記セキュア記録媒体からアクセス権利情報を読み出す機能、
このアクセス権利情報に基づいて、前記コンテンツ情報へのアクセスを許可する機能、
前記アクセス権利情報を定期的又は不定期に更新するように、アクセス権利を管理する管理サーバと交信するための機能、
この交信が一定期間できないとき、前記コンテンツ情報へのアクセスを不可とする機能、
を実現させるためのアクセス管理プログラム。 - 請求項１に記載のアクセス管理プログラムにおいて、
前記ユーザ端末のコンピュータに、
前記管理サーバに権利を委譲する際に、前記セキュア記録媒体のユーザデータ領域から前記アクセス権利情報を含む記録内容を当該管理サーバに送信する機能、
この送信した記録内容を前記セキュア記録媒体から消去する機能、
を実現させるためのアクセス管理プログラム。 - 請求項２に記載のアクセス管理プログラムにおいて、
前記ユーザ端末のコンピュータに、
前記権利を委譲した後に、前記管理サーバに権利付与を要求する機能、
前記権利付与の要求に応じて当該管理サーバから受けた新たなアクセス権利情報を含む複数の情報を前記セキュア記録媒体のユーザデータ領域に書込む機能、を実現させるためのアクセス管理プログラム。 - 請求項１に記載のアクセス管理プログラムにおいて、
付与された権利を前記ユーザ端末のコンピュータで執行する場合、アクセス権利を管理するコンピュータと交信を行い、交信ができない場合は予め定められた権利を一時停止とする機能、を実現させるためのアクセス管理プログラム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003159529A JP4357214B2 (ja) | 2003-06-04 | 2003-06-04 | アクセス管理プログラム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003159529A JP4357214B2 (ja) | 2003-06-04 | 2003-06-04 | アクセス管理プログラム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2004362237A JP2004362237A (ja) | 2004-12-24 |
| JP4357214B2 true JP4357214B2 (ja) | 2009-11-04 |
Family
ID=34052561
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003159529A Expired - Fee Related JP4357214B2 (ja) | 2003-06-04 | 2003-06-04 | アクセス管理プログラム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP4357214B2 (ja) |
Families Citing this family (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2006260471A (ja) * | 2005-03-18 | 2006-09-28 | Sony Corp | パッケージメディア提供システム及びパッケージメディア提供方法、並びにパッケージメディア制作装置 |
| JP2007272844A (ja) * | 2006-03-31 | 2007-10-18 | Brother Ind Ltd | 周辺装置およびデータ消去権限管理方法 |
| JP2009205673A (ja) * | 2008-02-01 | 2009-09-10 | Canon Electronics Inc | 記憶装置、情報処理装置、端末装置およびコンピュータプログラム |
| JP4957732B2 (ja) * | 2009-01-29 | 2012-06-20 | コニカミノルタビジネステクノロジーズ株式会社 | アクセス制限ファイル、制限ファイル生成装置、ファイル生成装置の制御方法、ファイル生成プログラム |
| JP5471168B2 (ja) * | 2009-08-26 | 2014-04-16 | 日本電気株式会社 | データ同期システム、データ同期装置、データ同期方法及びデータ同期用プログラム |
-
2003
- 2003-06-04 JP JP2003159529A patent/JP4357214B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2004362237A (ja) | 2004-12-24 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| KR100423797B1 (ko) | 디지털 정보 보안 방법 및 그 시스템 | |
| US20050262361A1 (en) | System and method for magnetic storage disposal | |
| US6289450B1 (en) | Information security architecture for encrypting documents for remote access while maintaining access control | |
| US5870467A (en) | Method and apparatus for data input/output management suitable for protection of electronic writing data | |
| US20060173787A1 (en) | Data protection management apparatus and data protection management method | |
| US20100043070A1 (en) | File-access control apparatus and program | |
| JP2003058840A (ja) | Ｒｆｉｄ搭載コンピュータ記録媒体利用の情報保護管理プログラム | |
| US8750519B2 (en) | Data protection system, data protection method, and memory card | |
| JP2006526851A (ja) | 動的、分散的および協働的な環境におけるデータオブジェクトの管理 | |
| US7650328B2 (en) | Data storage device capable of storing multiple sets of history information on input/output processing of security data without duplication | |
| JP2006114029A (ja) | データストレージに対する方法と装置 | |
| JP2008537191A (ja) | デジタル情報格納システム、デジタル情報保安システム、デジタル情報格納及び提供方法 | |
| JP4357214B2 (ja) | アクセス管理プログラム | |
| JP3983937B2 (ja) | 記憶媒体及び同媒体を使用したコンテンツ管理方法 | |
| KR100819382B1 (ko) | 디지털 정보 저장 시스템, 디지털 정보 보안 시스템,디지털 정보 저장 및 제공 방법 | |
| US20180083954A1 (en) | Method, system, login device, and application software unit for logging into docbase management system | |
| JP2003122615A (ja) | ファイル処理方法とこの方法にて利用可能なファイル処理装置 | |
| JPH0784852A (ja) | 情報の機密保護方式 | |
| JP2002190795A (ja) | 情報端末及び情報端末システム | |
| JP2007220134A (ja) | ライセンス委譲装置、記録媒体およびライセンス委譲方法 | |
| JP4974246B2 (ja) | ファイルの持ち出し監視システム | |
| JP2004312717A (ja) | データ保護管理装置およびデータ保護管理方法 | |
| CN111737722B (zh) | 内网终端间数据安全摆渡方法及装置 | |
| JP2003016724A (ja) | 情報管理方法 | |
| JP2009193495A (ja) | データ持出し制御システム |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20060410 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20090227 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20090414 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20090522 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20090707 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20090804 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120814 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120814 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120814 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130814 Year of fee payment: 4 |
|
| LAPS | Cancellation because of no payment of annual fees |