JP4539240B2

JP4539240B2 - ファイル管理システム、およびファイル管理サーバ

Info

Publication number: JP4539240B2
Application number: JP2004254839A
Authority: JP
Inventors: 信浩市田
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2004-09-01
Filing date: 2004-09-01
Publication date: 2010-09-08
Anticipated expiration: 2024-09-01
Also published as: JP2006072664A

Description

本発明は、機密情報の漏洩を防ぐファイル管理システム、およびファイル管理サーバに関する。

近年、企業等の外部への情報の漏洩の防止に関して、関心が高まっている。従来の一般的なＯＳ（ＯｐｅｒａｔｉｎｇＳｙｓｔｅｍ）が実装しているファイルシステムでは、コンピュータが内蔵している記憶手段が記憶しているファイルのコピーや、参照、持ち出しを容易に行うことができる。このため、一度企業等の外部に持ち出されたファイルは、コピーや、参照等を容易に行うことができるため、情報の漏洩を防止することは非常に難しい。

そのため、最近では、企業等は、ファイルごとに暗号化したり、パスワードによってファイルを保護したりする等の対応を行っているが、そのような対応を行うには、使用者の操作や知識が必要となり、暗号キーの管理、パスワードの管理などが必要になる。また、企業等の内部の通常の業務で使用する場合でも、使用者は、暗号解読操作や、パスワードの入力などをファイルを使用するたびに行う必要があり不便である。

そこで、クライアントシステムにはキャッシュデータとして暗号化されたデータを記憶し、クライアントシステムのユーザがデータを必要とするときにサーバシステムから復号のためのキーを入手して暗号化データの復号を行うシステムが提案されている（例えば、特許文献１参照。）。

また、サーバ側がアクセス要求側の要求に応じて暗号化キーを発行し、アクセス要求側は、暗号化キーを用いて、サーバのデータベースに登録されているデータを復号して参照するシステムが提案されている（例えば、特許文献２参照。）。

特開平１１−２１２８７４号公報（段落００２９〜００５８、図１）特開２００３−２７１４３８号公報（段落００１９〜００７９、図１）

特許文献１に記載されているシステムでは、クライアントシステムにおいて記憶されるデータを暗号化されたデータとし、復号のためのキーを管理するサーバシステムは、クライアントシステムを認証できたときに復号のためのキーをクライアントシステムに配布することによって、クライアントシステムにおけるデータの秘匿性を高めている。しかし、クライアントシステムが第三者に渡って、かつ、第三者が認証のためのパスワードを知った場合には、第三者は容易に暗号化されたデータの復号に成功してしまう。

そこで、本発明は、機密情報のファイルの情報（データ）の第三者への漏洩を確実に防止し、ファイルの情報の秘匿性をより高めることができるファイル管理システム、およびファイル管理サーバを提供することを目的とする。

本発明によるファイル管理システムは、通信ネットワーク内に存在するクライアント端末と通信可能であって、クライアント端末が有するファイル記憶手段に記憶されるファイルのファイル名、クライアント端末名、クライアント端末における当該ファイルの格納場所を示す情報、および当該ファイルの各操作の許可者を含む情報であるファイル管理情報を記憶するためのファイル管理情報記憶手段を有するファイル管理サーバを備えたファイル管理システムであって、ファイル管理サーバは、クライアント端末の使用者を認証する認証情報を登録する認証情報登録手段と、クライアント端末がファイル属性を機密にした暗号化されたファイルを作成してファイル記憶手段に格納した場合に、ファイルを示す情報とファイルを復号するための暗号解読キーとを、ファイル管理情報としてファイル管理情報記憶手段に記憶させるファイル情報登録手段と、クライアント端末がファイルの操作を開始するときにクライアント端末の使用者を認証するとともに、ファイルの操作中に定期的にクライアント端末の使用者を認証する認証手段とを含み、クライアント端末は、ファイルの操作中に、ファイル管理サーバに当該ファイルを示す情報を定期的に送信する送信手段を含み、認証手段は、クライアント端末がファイルの操作を開始するときに認証が成功した場合に、暗号解読キーをクライアント端末に送信し、認証手段は、ファイルの操作中に、ファイル管理情報記憶手段に記憶されているファイル管理情報のうち、送信手段が送信したファイルを示す情報によって示されるファイルのファイル管理情報に含まれる当該ファイルの各操作の許可者によってファイルの操作が行われているか否かをクライアント端末から受信した操作の内容を示す情報および認証情報にもとづいて判定することにより定期的にクライアント端末の使用者を認証し、認証に失敗した場合には、クライアント端末のファイルの操作を禁止する処理を実行し、ファイル情報登録手段は、クライアント端末がファイルの操作として暗号化されたファイルの複写を行った場合に、複写後の暗号化されたファイルの管理情報として複写元のファイルの暗号解読キーと同じ暗号解読キーをファイル管理情報記憶手段に記憶させ、クライアント端末がファイルの操作として暗号化されたファイルの移動を行った場合に、ファイル管理情報記憶手段に記憶されているファイル管理情報を更新することを特徴とする。

通信ネットワークは、ネットワーク外からアクセスすることができない閉じたネットワークであってもよい。

認証情報登録手段は、クライアント端末の使用者に許可したファイル操作の内容を示す情報を、ファイル管理情報としてファイル管理情報記憶手段に記憶させてもよく、認証手段は、ファイル管理情報にもとづいて、ファイル操作の内容に応じてファイル操作を許可するか否かを判定してもよい。そのような構成によれば、クライアント端末の使用者に応じて、許容するファイルの操作を設定することができる。

認証手段は、クライアント端末がファイルの操作としてファイルの参照または更新を行っているときに、当該操作を許可するか否かを判定してもよい。そのような構成によれば、ファイルの参照または更新を行っているときに認証を行うので、ファイルを他のコンピュータで参照または更新しようとしても認証手段から暗号解読キーを受信することができず、ファイルを他のコンピュータで参照または更新することを防ぐことができる。

認証手段は、暗号化ファイルの操作中に認証に失敗した場合には、クライアント端末のファイルの操作を禁止する処理を実行してもよい。

クライアント端末におけるファイル記憶手段は、少なくともファイル属性を示す情報を含むクライアント側ファイル管理情報を記憶してもよく、クライアント端末は、定期的に、ファイル管理情報記憶手段が記憶しているファイル管理情報の内容とクライアント側ファイル管理情報の内容とを整合させる処理を実行するファイル管理情報整合手段を含んでもよい。そのような構成によれば、クライアント端末が有するファイル記憶手段が記憶しているクライアント側ファイル管理情報と、ファイル管理サーバが有するファイル管理情報記憶手段が記憶しているファイル管理情報との内容を整合させることができる。

複数のファイル管理サーバを備えてもよく、クライアント端末におけるファイル記憶手段に格納されたファイルに関するファイル管理情報は、いずれか１つのファイル管理サーバにおけるファイル管理情報記憶手段に記憶されてもよい。そのような構成によれば、ファイル管理情報を複数のファイル管理情報記憶手段に分散して記憶させることができるため、ファイル管理サーバおよびファイル管理情報記憶手段の負荷を分散させることができる。

本発明によるファイル管理サーバは、通信ネットワーク内に存在するクライアント端末と通信可能であって、クライアント端末が有するファイル記憶手段に記憶されるファイルのファイル名、クライアント端末名、クライアント端末における当該ファイルの格納場所を示す情報、および当該ファイルの各操作の許可者を含む情報であるファイル管理情報を記憶するためのファイル管理情報記憶手段を有するファイル管理サーバであって、クライアント端末の使用者を認証する認証情報を登録する認証情報登録手段と、クライアント端末がファイル属性を機密にした暗号化されたファイルを作成してファイル記憶手段に格納した場合に、ファイルを示す情報とファイルを復号するための暗号解読キーとを、ファイル管理情報としてファイル管理情報記憶手段に記憶させるファイル情報登録手段と、クライアント端末がファイルの操作を開始するときにクライアント端末の使用者を認証するとともに、ファイルの操作中に定期的にクライアント端末の使用者を認証する認証手段とを含み、認証手段は、クライアント端末がファイルの操作を開始するときに認証が成功した場合に、暗号解読キーをクライアント端末に送信し、認証手段は、ファイルの操作中に、ファイル管理情報記憶手段に記憶されているファイル管理情報のうち、当該ファイルを示す情報を定期的に送信するクライアント端末の送信手段が送信したファイルを示す情報によって示されるファイルのファイル管理情報に含まれる当該ファイルの各操作の許可者によってファイルの操作が行われているか否かをクライアント端末から受信した操作の内容を示す情報および認証情報にもとづいて判定することにより定期的にクライアント端末の使用者を認証し、認証に失敗した場合には、クライアント端末のファイルの操作を禁止する処理を実行し、ファイル情報登録手段は、クライアント端末がファイルの操作として暗号化されたファイルの複写を行った場合に、複写後の暗号化されたファイルの管理情報として複写元のファイルの暗号解読キーと同じ暗号解読キーをファイル管理情報記憶手段に記憶させ、クライアント端末がファイルの操作として暗号化されたファイルの移動を行った場合に、ファイル管理情報記憶手段に記憶されているファイル管理情報を更新することを特徴とする。

本発明によれば、クライアントコンピュータにおいて、データの漏洩を防止し、データの秘匿性を確保することができる。

実施の形態１．
本発明の第１の実施の形態について、図面を参照して説明する。図１は、本発明の第１の実施の形態の一構成例を示すブロック図である。

本発明の第１の実施の形態は、例えば企業内の機密情報を含む機密情報ファイル５０１を記憶する記憶手段（ファイル記憶手段）２０１と接続されたクライアントコンピュータ１０１、機密情報のファイル５０２を記憶する記憶手段２０２と接続されたクライアントコンピュータ１０２、機密情報のファイル５０３を記憶する記憶手段２０３と接続されたクライアントコンピュータ１０３、機密情報の各ファイルの情報を記憶する記憶手段（ファイル管理情報記憶手段）２００と接続され、クライアントコンピュータ１０１とクライアントコンピュータ１０２とクライアントコンピュータ１０３とに機密情報の各ファイルの操作を許可するファイル管理サーバ１００、およびファイル管理サーバ１００とクライアントコンピュータ１０１とクライアントコンピュータ１０２とクライアントコンピュータ１０３とを接続する通信ネットワーク３００を含む。

なお、記憶手段２０１が記憶するファイルは、機密情報のファイル５０１に限定されるものではなく、記憶手段２０１は、複数の機密情報のファイルや、通常の情報のファイルを記憶可能である。同様に、記憶手段２０２および記憶手段２０３も、複数の機密情報のファイルや、通常の情報のファイルを記憶可能である。クライアントコンピュータ１０１，１０２，１０３には、ＯＳとして例えばＵＮＩＸ（登録商標）やＷｉｎｄｏｗｓ（登録商標）が実装されている。また、クライアントコンピュータ１０１，１０２，１０３には、例えばＵＮＩＸやＷｉｎｄｏｗｓの元で動作するソフトウェアであるファイルシステムが搭載されている。以下の説明において、クライアントコンピュータ１０１，１０２，１０３におけるファイルの管理に関わる動作は、具体的には、ファイルシステムにもとづいて動作するＣＰＵの動作である。さらに、以下に説明する動作を実現するためのファイルシステムを、例えばＵＮＩＸやＷｉｎｄｏｗｓにおける標準的なファイルシステムに組み込むことができる。なお、ファイル管理サーバ１００にも、ファイルシステムが実装されている。以下に説明するファイル管理サーバ１００の動作は、ファイル管理サーバ１００に実装されているファイルシステムで実現される。

記憶手段２０１，２０２，２０３は、対応するクライアントコンピュータ１０１，１０２，１０３に接続されているが、クライアントコンピュータ１０１，１０２，１０３に内蔵されていてもよい。記憶手段２０１，２０２，２０３がクライアントコンピュータ１０１，１０２，１０３に接続されている場合には、クライアントコンピュータおよび記憶手段が、記憶手段を有するクライアント端末を構成する。また、記憶手段２００はファイル管理サーバ１００に接続されているが、ファイル管理サーバ１００に内蔵されていてもよい。記憶手段２００がファイル管理サーバ１００に内蔵されている場合には、記憶手段２００およびファイル管理サーバ１００が、ファイル管理情報記憶手段を有するファイル管理サーバを構成する。

なお、ファイル管理情報整合手段は、各クライアントコンピュータのＣＰＵによって実現される。また、認証情報登録手段、ファイル情報登録手段、および認証手段は、ファイル管理サーバ１００のＣＰＵによって実現される。

記憶手段２０１は、記憶している各ファイルのファイル名や、作成日時、ファイル格納場所、ファイル属性等の情報を含むファイル情報を記憶する管理領域を有する。ファイル属性として、読み取り可能や書き込み可能などの一般的属性の他に、機密情報である旨を示す属性もある。ファイル属性として機密情報である旨を示す属性が設定された場合に、その属性に対応するファイルは機密情報のファイルとなる。同様に、記憶手段２０２および記憶手段２０３も、管理領域を有する。また、記憶手段２０１は、クライアントコンピュータ１０１や使用者を識別する情報であるユーザ認証情報を記憶している。ユーザ認証情報とは、例えば、クライアントコンピュータ１０１のＭＡＣアドレスや、ユーザＩＤ、パスワード等である。同様に、記憶手段２０２および記憶手段２０３も、クライアントコンピュータ１０２またはクライアントコンピュータ１０３や使用者を識別する情報であるユーザ認証情報をそれぞれ記憶している。

ファイル管理サーバ１００がアクセス可能な記憶手段２００は、記憶手段２０１、記憶手段２０２、および記憶手段２０３が記憶している機密情報のファイルについてのファイル情報と、暗号化された機密情報のファイルを復号するキーである暗号解読キーと、各クライアントコンピュータを識別する情報であるユーザ認証情報とを対応づけて記憶している。ファイル管理情報は、機密情報の各ファイルのファイル名（クライアントコンピュータ名およびクライアントコンピュータにおけるファイルの格納場所を示す情報を含む。）、ファイルの所有者名、ファイルの作成日時や更新日時、ファイルの各操作の許可者、ファイルの操作の有効期限、ファイル属性、ファイルのアクセスログ、ファイル管理情報の更新履歴等を含む情報である。なお、記憶手段２００において、暗号解読キーは、ファイル管理情報に含まれていてもよい。また、クライアント側の記憶手段２０１，２０２，２０３もファイル管理情報を記憶する。クライアント側のファイル管理情報は、少なくとも、ファイル属性を含む。ファイル管理サーバ１００が機密情報のファイルのファイル属性の変更を許可する場合には、クライアントコンピュータにおけるファイルシステムが、クライアント側のファイル管理情報を変更する。

図２は、記憶手段２００に記憶されるファイル管理情報の一例を示す説明図である。図２に示す例では、それぞれのファイルのファイル管理情報は、ファイル名、ファイルの所有者、ファイル属性、ファイルの作成日時および更新日時、ファイルに対する各アクセスの種類（例えば、参照、更新、コピー、属性変更、削除）のそれぞれについての許可された者、ファイルに対する各アクセスの種類の有効期限、暗号解読キー、アクセスログ、およびファイル管理更新履歴を含む。

クライアントコンピュータ１０１，１０２，１０３は、使用者の操作に従って、記憶手段２０１、記憶手段２０２または記憶手段２０３が記憶しているファイルの内容の表示等の操作を行う。また、クライアントコンピュータ１０１，１０２，１０３は、機密情報のファイルの操作を開始するときに、各記憶手段が記憶しているユーザ認証情報、機密情報のファイルを示す情報（ファイルを特定するための情報、ファイル名など）および操作の内容を示す情報とを、通信ネットワーク３００を介してファイル管理サーバ１００に送信する。

ファイル管理サーバ１００は、各クライアントコンピュータから受信した機密情報のファイルを示す情報に対応するファイル管理情報が含む各操作の許可者が、各クライアントコンピュータから受信した操作の内容を示す情報およびユーザ認証情報と合致しているか否かのユーザ認証処理を行い、機密情報のファイルの操作を許可するか否か、すなわち各クライアントコンピュータのユーザが機密情報のファイルに対するアクセス権限を有しているか否かを判定する。ファイル管理サーバ１００は、機密情報のファイルの操作を許可すると判定した場合には、記憶手段２００が記憶している暗号解読キーを各クライアントコンピュータに通信ネットワーク３００を介して送信する。

さらに、クライアントコンピュータ１０１，１０２，１０３は、機密情報のファイル（具体的には、復号されたファイル）をアクセスしているときに、所定のタイミングで、各記憶手段が記憶しているユーザ認証情報を通信ネットワーク３００を介してファイル管理サーバ１００に送信する。所定のタイミングとは、機密情報のファイルを操作中における、例えば、１分間隔等である。ファイル管理サーバ１００の負担を軽くするために、クライアントコンピュータ１０１，１０２，１０３は、ユーザ認証情報に加えて、機密情報のファイルを示す情報（ファイルを特定するための情報、ファイル名など）と、操作の内容を示す情報とを、ファイル管理サーバ１００に送信することが好ましい。ファイル管理サーバ１００は、各クライアントコンピュータから受信した情報にもとづいて、各クライアントコンピュータのユーザが機密情報のファイルに対するアクセス権限を有しているか否か確認し、アクセス権限を有していないと判定した場合には、ファイル管理サーバ１００は、機密情報のファイルを操作しているクライアントコンピュータのファイルシステムに対してファイルの操作を禁止する指示を送信する。クライアントコンピュータのファイルシステム（具体的には、ファイルシステムのソフトウェアに従って動作するＣＰＵ）は、アクセスを禁止する指示を受信すると、ファイルの操作をできない状態に制御する。

なお、通信ネットワーク３００は、例えば、ＬＡＮ（ＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）等を含む閉じたネットワークであるイントラネットである。閉じたネットワークとは、ネットワークの外部からネットワーク内部に存在する機器等をアクセスできないようなネットワークを意味する。

ファイル管理サーバ１００は、コンピュータに、クライアントコンピュータまたはクライアントコンピュータの使用者を認証する認証情報を登録させる認証情報登録処理と、クライアントコンピュータがファイル属性を機密にした暗号化されたファイルを作成してクライアントコンピュータに接続された記憶手段に格納した場合に、ファイルを示す情報とファイルを復号するための暗号解読キーとを、ファイル管理情報としてファイル管理サーバに接続された記憶手段に記憶させるファイル情報登録処理と、クライアントコンピュータがファイルの操作を開始するときにクライアントコンピュータまたはクライアントコンピュータの使用者を認証させるとともに、ファイルの操作中に定期的にクライアントコンピュータまたはクライアントコンピュータの使用者を認証させる認証処理とを実行させ、認証処理で、クライアントコンピュータがファイルの操作を開始するときに認証が成功した場合に、暗号解読キーをクライアントコンピュータに送信させ、認証処理で、ファイルの操作中に、当該ファイルを示す情報を定期的に送信するクライアントコンピュータの送信手段が送信したファイルを示す情報にもとづいて、定期的にクライアントコンピュータまたはクライアントコンピュータの使用者を認証し、認証に失敗した場合には、クライアントコンピュータのファイルの操作を禁止することを特徴とするファイル管理プログラムを搭載している。

なお、認証情報登録処理で、クライアントコンピュータまたはクライアントコンピュータの使用者に許可したファイル操作の内容を示す情報を、ファイル管理情報としてファイル管理サーバに接続された記憶手段に記憶させてもよく、認証処理で、ファイル管理情報にもとづいて、ファイル操作の内容に応じてファイル操作を許可するか否かを判定させてもよい。

次に、本発明の第１の実施の形態の動作について、図面を参照して説明する。

クライアントコンピュータ１０１は、使用者の操作に従って、予めクライアントコンピュータ１０１のＭＡＣアドレスや、ユーザＩＤ、パスワード等のユーザ認証情報を通信ネットワーク３００を介してファイル管理サーバ１００に送信する。ファイル管理サーバ１００は、受信したユーザ認証情報を記憶手段２００に記憶させることによって、ユーザ登録を行う。また、例えば、ファイル管理サーバ１００は、ファイル管理サーバ１００の管理者の操作に従って、クライアントコンピュータ１０１の使用者が機密情報のファイルの作成を許可される者であるか否かの情報を記憶手段２００に記憶させる。

まず、使用者が、クライアントコンピュータ１０１を操作して、機密情報のファイル５０１を作成する際の動作について説明する。図３は、本発明の第１の実施の形態において、機密情報のファイル５０１を作成する際の動作を説明するフローチャートである。使用者が、機密情報のファイル５０１を作成しようとするときに、クライアントコンピュータ１０１のファイルシステムは、使用者の操作に従って、ファイル管理サーバ１００に接続し（ステップＳ１０１）、ユーザ認証情報と、機密情報のファイル５０１の作成を行うことを示す情報とを通信ネットワーク３００を介してファイル管理サーバ１００に送信する。ファイル管理サーバ１００は、ユーザ認証情報と、機密情報のファイル５０１の作成を行うことを示す情報とを受信すると、記憶手段２００が記憶しているユーザ認証情報と、クライアントコンピュータ１０１の使用者に許可する操作を示す情報とを比較し、クライアントコンピュータ１０１の使用者に、機密情報のファイル５０１の作成を許可するか否かを決定する（ステップＳ１０２）。

具体的には、ファイル管理サーバ１００が受信したユーザ認証情報と、記憶手段２００が記憶しているユーザ認証情報とが合致し、ファイル管理サーバ１００が受信した機密情報のファイル５０１の作成を行うことを示す情報と、記憶手段２００が記憶しているクライアントコンピュータ１０１の使用者に許可する操作を示す情報とを比較して、記憶手段２００が記憶しているクライアントコンピュータ１０１の使用者に許可する操作を示す情報が、機密情報のファイルの作成を行うことを含んでいれば、クライアントコンピュータ１０１の使用者に、機密情報のファイル５０１の作成を許可する。そして、ファイル管理サーバ１００は、機密情報のファイル５０１の作成を許可することを示す情報を、通信ネットワーク３００を介してクライアントコンピュータ１０１に送信する。

また、ファイル管理サーバ１００が受信したユーザ認証情報と、記憶手段２００が記憶しているユーザ認証情報とが合致しなかったり、ファイル管理サーバ１００が受信した機密情報のファイル５０１の作成を行うことを示す情報と、記憶手段２００が記憶しているクライアントコンピュータ１０１の使用者に許可する操作を示す情報とを比較して、記憶手段２００が記憶しているクライアントコンピュータ１０１の使用者に許可する操作を示す情報が、機密情報のファイルの作成を行うことを含んでいなかったりした場合、クライアントコンピュータ１０１の使用者に、機密情報のファイル５０１の作成を許可しない。そして、ファイル管理サーバ１００は、機密情報のファイル５０１の作成を許可しないことを示す情報を、通信ネットワーク３００を介してクライアントコンピュータ１０１に送信する。クライアントコンピュータ１０１におけるファイルシステムは、受信した機密情報のファイル５０１の作成を許可しないことを示す情報を表示手段（図示せず）に表示させる（ステップＳ１０３）。

クライアントコンピュータ１０１におけるファイルシステムは、機密情報のファイル５０１の作成を許可することを示す情報を受信すると、使用者の操作に従って、暗号化した機密情報のファイル５０１を作成する（ステップＳ１０４）。クライアントコンピュータ１０１は、作成した機密情報のファイル５０１を記憶手段２０１に記憶させ、記憶手段２０１の管理領域に、作成したファイルが機密情報である旨を示すファイル属性を設定する。

クライアントコンピュータ１０１におけるファイルシステムは、作成した機密情報のファイル５０１のファイル情報と、暗号化した機密情報のファイル５０１を復号する暗号解読キーとを、通信ネットワーク３００を介してファイル管理サーバ１００に送信する（ステップＳ１０５）。ファイル管理サーバ１００は、受信したファイル情報と暗号解読キーとを対応づけて記憶手段２００に記憶させる。

また、ファイル管理サーバ１００は、ファイル情報と暗号解読キーとを対応づけて記憶手段２００に記憶させると、ファイル情報と暗号解読キーとの登録に成功したことを示す情報を、通信ネットワーク３００を介してクライアントコンピュータ１０１に送信する（ステップＳ１０６）。クライアントコンピュータ１０１におけるファイルシステムは、受信したファイル情報と暗号解読キーとの登録に成功したことを示す情報を表示手段に表示させる。

なお、ファイル管理サーバ１００は、記憶手段１００が磁気ディスクで実現されている場合にディスク書込エラーが発生したときなど、ファイル情報と暗号解読キーとの登録に失敗した場合には、ファイル情報と暗号解読キーとの登録に失敗したことを示す情報を、通信ネットワーク３００を介してクライアントコンピュータ１０１に送信する。クライアントコンピュータ１０１におけるファイルシステムは、受信したファイル情報と暗号解読キーとの登録に失敗したことを示す情報を表示手段に表示させる。そして、クライアントコンピュータ１０１におけるファイルシステムは、記憶手段２０１が記憶している機密情報のファイル５０１を削除する（ステップＳ１０７）。

なお、クライアントコンピュータ１０１におけるファイルシステムは、使用者の操作に従って、機密情報であること以外のファイル属性（読み取り専用、書き換え可能、実行形式ファイルなど）や各アクセスを許可する者を示す情報をファイル管理サーバ１００に送信する。ファイル管理サーバ１００は、それらの情報をファイル管理情報として記憶手段２００に記憶させる（図２参照）。一般に、機密情報のファイルの作成者は、そのファイルに対する全ての種類のアクセスが可能であるように、アクセスを許可する者に自身も含めるが、自身のアクセスを制限するようにしてもよい。また、ここでは、クライアントコンピュータ１０１の動作について説明したが、クライアントコンピュータ１０２，１０３も同様に動作する。

次に、クライアントコンピュータ１０１〜１０３の使用者が、クライアントコンピュータ１０１〜１０３を操作して、機密情報のファイル５０１を参照する際の動作について説明する。図４は、本発明の第１の実施の形態において、機密情報のファイル５０１を参照する際の動作を説明するフローチャートである。ここでは、クライアントコンピュータ１０１の動作を例にする。

クライアントコンピュータ１０１におけるファイルシステムは、使用者の操作に従って、ファイル管理サーバ１００に接続し（ステップＳ２０１）、ユーザ認証情報と、機密情報のファイル５０１の参照を行うことを示す情報と、参照する機密情報のファイル５０１を示す情報とを通信ネットワーク３００を介してファイル管理サーバ１００に送信する。ファイル管理サーバ１００は、それらの情報と受信すると、受信した情報と、記憶手段２００が記憶しているユーザ認証情報、および機密情報のファイル５０１のファイル管理情報が含むファイルの参照の許可者の情報とを比較し、クライアントコンピュータ１０１の使用者に、機密情報のファイル５０１の参照を許可するか否かを決定する（ステップＳ２０２）。

具体的には、ファイル管理サーバ１００は、受信したユーザ認証情報と記憶手段２００が記憶しているユーザ認証情報とが合致し、かつ、受信したユーザ認証情報が示す使用者が、機密情報のファイル５０１のファイル管理情報が示すファイルの参照の許可者に含まれていれば、機密情報のファイル５０１の参照を許可する。そして、ファイル管理サーバ１００は、機密情報のファイル５０１の参照を許可することを示す情報と、機密情報のファイル５０１の暗号解読キーとを、通信ネットワーク３００を介してクライアントコンピュータ１０１に送信する（ステップＳ２０３）。

また、ファイル管理サーバ１００が受信したユーザ認証情報と、記憶手段２００が記憶しているユーザ認証情報とが合致しなかったり、使用者が、ファイルの参照の許可者に含まれていなかったりした場合には、機密情報のファイル５０１の参照を許可しない（ステップＳ２０４）。そして、ファイル管理サーバ１００は、機密情報のファイル５０１の参照を許可しないことを示す情報を、通信ネットワーク３００を介してクライアントコンピュータ１０１に送信する。

また、クライアントコンピュータ１０１が、例えば、通信ネットワーク３００やファイル管理サーバ１００等の障害によって、機密情報のファイル５０１の参照を許可することを示す情報や暗号解読キーを受信することができなかった場合（ステップＳ２０５）、クライアントコンピュータ１０１におけるファイルシステムは、機密情報のファイル５０１を参照することができないことを示す情報を表示手段に表示させる（ステップＳ２０６）。

クライアントコンピュータ１０１におけるファイルシステムは、通信ネットワーク３００を介してファイル管理サーバ１００から機密情報のファイル５０１の参照を許可することを示す情報と、暗号解読キーとを受信すると、暗号解読キーをメモリ（図示せず）に記憶させる。クライアントコンピュータ１０１におけるファイルシステムは、メモリが記憶している暗号解読キーを用いて、記憶手段２０１が記憶している機密情報のファイル５０１を復号し、機密情報のファイル５０１の内容を表示手段に表示させたり、復号したファイルをアプリケーションプログラムに引き渡したりする（ステップＳ２０７）。すなわち、使用者が、機密情報のファイル５０１を参照できる状態にする。

クライアントコンピュータ１０１におけるファイルシステムは、機密情報のファイル５０１を参照できる状態にしてから、所定の時間（例えば、１分間）が経過すると（ステップＳ２０８）、ファイル管理サーバ１００に接続し（ステップＳ２０９）、ユーザ認証情報と、機密情報のファイル５０１の参照を行うことを示す情報（機密情報のファイル５０１の参照を行っていることを示す情報）と、参照されている機密情報のファイル５０１を示す情報とを通信ネットワーク３００を介してファイル管理サーバ１００に送信する。

ファイル管理サーバ１００は、それら情報を受信すると、受信した情報と、記憶手段２００記憶しているユーザ認証情報、および機密情報のファイル５０１のファイル管理情報が含むファイルの参照の許可者の情報とを比較し、クライアントコンピュータ１０１の使用者に、機密情報のファイル５０１の参照を許可するか否かを決定する（ステップＳ２１０）。

具体的には、ファイル管理サーバ１００は、受信したユーザ認証情報と記憶手段２００が記憶しているユーザ認証情報とが合致し、かつ、受信したユーザ認証情報が示す使用者が、機密情報のファイル５０１のファイル管理情報が示すファイルの参照の許可者に含まれていれば、機密情報のファイル５０１の参照の継続を許可する。そして、ファイル管理サーバ１００は、機密情報のファイル５０１の参照を許可することを示す情報（機密情報のファイル５０１の参照の継続を許可する情報）を、通信ネットワーク３００を介してクライアントコンピュータ１０１に送信する。

また、ファイル管理サーバ１００が受信したユーザ認証情報と、記憶手段２００が記憶しているユーザ認証情報とが合致しなかったり、使用者が、ファイルの参照の許可者に含まれていなかったりした場合には、機密情報のファイル５０１の参照をの継続を許可しない（ステップＳ２１１）。そして、ファイル管理サーバ１００は、機密情報のファイル５０１の参照を許可しないことを示す情報を、通信ネットワーク３００を介してクライアントコンピュータ１０１に送信する。

クライアントコンピュータ１０１におけるファイルシステムは、機密情報のファイル５０１の参照を許可しないことを示す情報を受信したり、通信ネットワーク３００との接続が切断されたりして機密情報のファイル５０１の参照を許可することを示す情報を所定の時間以上受信しなかったりすると、機密情報のファイル５０１の内容を参照することを禁止し、メモリが記憶している暗号解読キーを削除する。すると、クライアントコンピュータ１０１の使用者は、機密情報のファイル５０１の内容を参照することができなくなる。なお、機密情報のファイル５０１の内容を参照することを禁止するために、ファイルシステムは、表示手段に表示されているファイルの内容を消去したり、アプリケーションプログラムからのファイルへの参照をできないようにしたりする。

次に、クライアントコンピュータ１０１〜１０３の使用者が、クライアントコンピュータ１０１〜１０３を操作して、機密情報のファイル５０１の内容を更新する際の動作について説明する。図５は、本発明の第１の実施の形態において、機密情報のファイル５０１の内容を更新する際の動作を説明するフローチャートである。ここでは、クライアントコンピュータ１０１の動作を例にする。

クライアントコンピュータ１０１におけるファイルシステムは、使用者の操作に従って、ファイル管理サーバ１００に接続し（ステップＳ３０１）、ユーザ認証情報と、機密情報のファイル５０１の内容の更新を行うことを示す情報と、内容を更新する機密情報のファイル５０１を示す情報とを通信ネットワーク３００を介してファイル管理サーバ１００に送信する。ファイル管理サーバ１００は、それらの情報を受信すると、受信した情報と、記憶手段２００が記憶しているユーザ認証情報、および機密情報のファイル５０１のファイル管理情報が含むファイルの内容の更新の許可者の情報とを比較し、クライアントコンピュータ１０１の使用者に、機密情報のファイル５０１の内容の更新を許可するか否かを決定する（ステップＳ３０２）。

具体的には、ファイル管理サーバ１００は、受信したユーザ認証情報と記憶手段２００が記憶しているユーザ認証情報とが合致し、かつ、受信したユーザ認証情報が示す使用者が、機密情報のファイル５０１のファイル管理情報が示すファイルの更新の許可者に含まれていれば、機密情報のファイル５０１の更新を許可する。そして、ファイル管理サーバ１００は、機密情報のファイル５０１の内容の更新を許可することを示す情報と、機密情報のファイル５０１の暗号解読キーとを、通信ネットワーク３００を介してクライアントコンピュータ１０１に送信する（ステップＳ３０３）。

また、ファイル管理サーバ１００が受信したユーザ認証情報と、記憶手段２００が記憶しているユーザ認証情報とが合致しなかったり、使用者が、ファイルの更新の許可者に含まれていなかったりした場合には、機密情報のファイル５０１の内容の更新を許可しない（ステップＳ３０４）。そして、ファイル管理サーバ１００は、機密情報のファイル５０１の内容の更新を許可しないことを示す情報を、通信ネットワーク３００を介してクライアントコンピュータ１０１に送信する。

また、クライアントコンピュータ１０１が、例えば、通信ネットワーク３００やファイル管理サーバ１００等の障害によって、機密情報のファイル５０１の参照を許可することを示す情報や暗号解読キーを受信することができなかった場合（ステップＳ３０５）、クライアントコンピュータ１０１におけるファイルシステムは、機密情報のファイル５０１の内容を更新することができないことを示す情報を表示手段に表示させる（ステップＳ３０６）。

クライアントコンピュータ１０１は、通信ネットワーク３００を介してファイル管理サーバ１００から機密情報のファイル５０１の内容の更新を許可することを示す情報と、暗号解読キーとを受信すると、暗号解読キーをメモリに記憶させる。クライアントコンピュータ１０１におけるファイルシステムは、メモリが記憶している暗号解読キーを用いて、記憶手段２０１が記憶している機密情報のファイル５０１を復号し、機密情報のファイル５０１の内容を表示手段に表示させる。例えばクライアントコンピュータ１０１におけるアプリケーションプログラム（具体的には、アプリケーションプログラムに従って動作するＣＰＵ）は、使用者の操作に従って、機密情報のファイル５０１の内容を更新する（ステップＳ３０７）。

クライアントコンピュータ１０１は、機密情報のファイル５０１の内容の更新が開始されてから、所定の時間（例えば、１分間）が経過すると（ステップＳ３０８）、ファイル管理サーバ１００に接続し（ステップＳ３０９）、ユーザ認証情報と、機密情報のファイル５０１の内容の更新を行うことを示す情報（機密情報のファイル５０１の内容の更新を行っていることを示す情報）と、内容が更新されている機密情報のファイル５０１を示す情報とを通信ネットワーク３００を介してファイル管理サーバ１００に送信する。

ファイル管理サーバ１００は、それら情報を受信すると、受信した情報と、記憶手段２００が記憶しているユーザ認証情報、および機密情報のファイル５０１のファイル管理情報が含むファイルの内容の更新の許可者の情報とを比較し、クライアントコンピュータ１０１の使用者に、機密情報のファイル５０１の内容の更新を継続して許可するか否かを決定する（ステップＳ３１０）。

具体的には、ファイル管理サーバ１００は、受信したユーザ認証情報と記憶手段２００が記憶しているユーザ認証情報とが合致し、かつ、受信したユーザ認証情報が示す使用者が、機密情報のファイル５０１のファイル管理情報が示すファイルの更新の許可者に含まれていれば、クライアントコンピュータ１０１の使用者に、機密情報のファイル５０１の内容の更新の継続を許可する。そして、ファイル管理サーバ１００は、機密情報のファイル５０１の内容の更新を許可することを示す情報を、通信ネットワーク３００を介してクライアントコンピュータ１０１に送信する。また、ファイル管理サーバ１００は、記憶手段２００がファイル管理領域に記憶しているファイルの変更の履歴であるファイル管理更新履歴に、機密情報のファイル５０１の内容を更新したことを記憶させてもよい。

また、ファイル管理サーバ１００が受信したユーザ認証情報と、記憶手段２００が記憶しているユーザ認証情報とが合致しなかったり、使用者が、ファイルの更新の許可者に含まれていなかったりした場合には、クライアントコンピュータ１０１の使用者に、機密情報のファイル５０１の内容の更新の継続を許可しない（ステップＳ３１１）。そして、ファイル管理サーバ１００は、機密情報のファイル５０１の内容の更新を許可しないことを示す情報を、通信ネットワーク３００を介してクライアントコンピュータ１０１に送信する。

クライアントコンピュータ１０１におけるファイルシステムは、機密情報のファイル５０１の内容の更新を許可しないことを示す情報を受信したり、通信ネットワーク３００との接続が切断されたりして機密情報のファイル５０１の内容の更新を許可することを示す情報を所定の時間以上受信しなかったりすると、機密情報のファイル５０１の内容を更新することを禁止し、メモリが記憶している暗号解読キーを削除する。すると、クライアントコンピュータ１０１の使用者は、機密情報のファイル５０１の内容を参照して、更新することができなくなる。なお、機密情報のファイル５０１の内容を更新することを禁止するために、ファイルシステムは、表示手段に表示されているファイルの内容を消去したり、アプリケーションプログラムからのファイルへの参照をできないようにしたりする。

次に、クライアントコンピュータ１０１〜１０３の使用者が、クライアントコンピュータ１０１〜１０３を操作して、機密情報のファイル５０１をコピーする際の動作について説明する。図６は、本発明の第１の実施の形態において、機密情報のファイル５０１をコピーする際の動作を説明するフローチャートである。ここでは、クライアントコンピュータ１０１の動作を例にする。

クライアントコンピュータ１０１におけるファイルシステムは、使用者の操作に従って、ファイル管理サーバ１００に接続し（ステップＳ４０１）、ユーザ認証情報と、機密情報のファイル５０１のコピーを行うことを示す情報と、コピーする機密情報のファイル５０１を示す情報とを通信ネットワーク３００を介してファイル管理サーバ１００に送信する。ファイル管理サーバ１００は、それらの情報を受信すると、受信した情報と、記憶手段２００が記憶しているユーザ認証情報、および機密情報のファイル５０１のファイル管理情報が含むファイルのコピーの許可者の情報とを比較し、クライアントコンピュータ１０１の使用者に、機密情報のファイル５０１のコピーを許可するか否かを決定する（ステップＳ４０２）。

具体的には、ファイル管理サーバ１００は、受信したユーザ認証情報と記憶手段２００が記憶しているユーザ認証情報とが合致し、かつ、受信したユーザ認証情報が示す使用者が、機密情報のファイル５０１のファイル管理情報が示すファイルのコピーの許可者に含まれていれば、機密情報のファイル５０１のコピーを許可する。そして、ファイル管理サーバ１００は、機密情報のファイル５０１のコピーを許可することを示す情報と、機密情報のファイル５０１の暗号解読キーとを、通信ネットワーク３００を介してクライアントコンピュータ１０１に送信する（ステップＳ４０３）。

また、ファイル管理サーバ１００が受信したユーザ認証情報と、記憶手段２００が記憶しているユーザ認証情報とが合致しなかったり、使用者が、ファイルのコピーの許可者に含まれていなかったりした場合には、機密情報のファイル５０１のコピーを許可しない（ステップＳ４０４）。そして、ファイル管理サーバ１００は、機密情報のファイル５０１のコピーを許可しないことを示す情報を、通信ネットワーク３００を介してクライアントコンピュータ１０１に送信する。

また、クライアントコンピュータ１０１が、例えば、通信ネットワーク３００やファイル管理サーバ１００等の障害によって、機密情報のファイル５０１のコピーを許可することを示す情報や暗号解読キーを受信することができなかった場合（ステップＳ４０５）、クライアントコンピュータ１０１におけるファイルシステムは、機密情報のファイル５０１をコピーすることができないことを示す情報を表示手段に表示させる（ステップＳ４０６）。

クライアントコンピュータ１０１におけるファイルシステムは、通信ネットワーク３００を介してファイル管理サーバ１００から機密情報のファイル５０１のコピーを許可することを示す情報と、暗号解読キーとを受信すると、暗号解読キーをメモリに記憶させる。クライアントコンピュータ１０１におけるファイルシステムは、メモリが記憶している暗号解読キーを用いて、記憶手段２０１が記憶している機密情報のファイル５０１を復号し、表示手段に、参照コピーを行うのか、譲渡コピーを行うのかを使用者に選択させる画面を表示させる。参照コピーとは、コピーしたファイルの更新を行うことができないようにファイルを作成することをいう。また、譲渡コピーとは、コピーしたファイルの所有者を変更して、コピーしたファイルの更新を行うことができるようにファイルを作成することをいう。

使用者が、参照コピーを選択すると（ステップＳ４０７）、クライアントコンピュータ１０１は、機密情報のファイル５０１をコピーしたファイルを生成して（ステップＳ４０８）、記憶手段２０１に記憶させ、通信ネットワーク３００を介してファイル管理サーバ１００に、暗号解読キーと、参照コピーであることを示すファイル属性である参照属性を含むファイル情報とを送信する（ステップＳ４０９）。

使用者が、譲渡コピーを選択すると（ステップＳ４０７）、クライアントコンピュータ１０１におけるファイルシステムは、機密情報のファイル５０１をコピーしたファイルを生成して（ステップＳ４１０）、記憶手段２０１に記憶させ、通信ネットワーク３００を介してファイル管理サーバ１００に、暗号解読キーと、譲渡コピーであることを示すファイル属性である譲渡属性を含むファイル情報とを送信する（ステップＳ４１１）。

ファイル管理サーバ１００は、ファイル情報と暗号解読キーとを受信すると（ステップＳ４１２）、それらの情報を記憶手段２００にファイル管理情報として記憶させる。そして、登録に成功したことを示す情報をクライアントコンピュータ１０１に送信する（ステップＳ４１３）。ファイル管理サーバ１００は、記憶手段２００がファイル管理領域に記憶しているファイル管理更新履歴に、機密情報のファイル５０１をコピーしたことを記憶させてもよい。ファイル管理サーバ１００は、ファイル情報等を記憶させたことを示す情報を、通信ネットワーク３００を介してクライアントコンピュータ１０１に送信する。すると、クライアントコンピュータ１０１におけるファイルシステムは、コピーが完了したことを使用者に通知する。

なお、クライアントコンピュータ１０１におけるファイルシステムは、ファイル情報等の登録に失敗すると、登録に失敗したことを示す情報を通信ネットワーク３００を介してクライアントコンピュータ１０１に送信する。クライアントコンピュータ１０１におけるファイルシステムは、登録に失敗したことを示す情報を受信すると、生成したファイルを記憶手段２０１から削除する（ステップＳ４１４）。そして、クライアントコンピュータ１０１におけるファイルシステムは、コピーに失敗したことを表示手段に表示させて使用者に通知する。

このように、クライアントコンピュータ１０１におけるファイルシステムは、機密情報のファイル５０１をコピーするとともに、暗号解読キーと、参照属性または譲渡属性を含むファイル情報とをファイル管理サーバ１００に送信し、ファイル管理サーバ１００が、コピーしたファイルのファイル情報と暗号解読キーとを記憶手段２００に記憶させるため、クライアントコンピュータ１０１がコピーしたファイルの参照や更新を行う際には、上述した、機密情報のファイル５０１を参照したり更新したりする場合と同様の動作を行うことになる。従って、ファイル管理サーバ１００に接続することができない環境では、クライアントコンピュータ１０１がコピーしたファイルを参照したり更新したりすることができず、秘匿性を保つことができる。

次に、クライアントコンピュータ１０１〜１０３の使用者が、クライアントコンピュータ１０１〜１０３を操作して、機密情報のファイル５０１を移動する際の動作について説明する。ここでは、クライアントコンピュータ１０１の動作を例にする。図７は、本発明の第１の実施の形態において、機密情報のファイル５０１を移動する際の動作を説明するフローチャートである。ここで、機密情報のファイル５０１を移動するとは、記憶手段２０１が記憶している機密情報のファイル５０１を削除して記憶手段２０１内の別の領域に記憶させたり、機密情報のファイル５０１を記憶手段２０１から削除して他の記憶手段２０２，２０３に記憶させたりすることをいう。なお、ここでは、記憶手段２０１が記憶している機密情報のファイル５０１を削除して記憶手段２０１内の別の領域に記憶させる場合を例に説明する。

クライアントコンピュータ１０１におけるファイルシステムは、使用者の操作に従って、ファイル管理サーバ１００に接続し（ステップＳ５０１）、ユーザ認証情報と、機密情報のファイル５０１の移動を行うことを示す情報と、移動する機密情報のファイル５０１を示す情報とを通信ネットワーク３００を介してファイル管理サーバ１００に送信する。ファイル管理サーバ１００は、それらの情報を受信すると、受信した情報と、記憶手段２００が記憶しているユーザ認証情報、および機密情報のファイル５０１のファイル管理情報が含むファイルの移動の許可者の情報とを比較し、クライアントコンピュータ１０１の使用者に、機密情報のファイル５０１の移動を許可するか否かを決定する（ステップＳ５０２）。

具体的には、ファイル管理サーバ１００は、受信したユーザ認証情報と記憶手段２００が記憶しているユーザ認証情報とが合致し、かつ、受信したユーザ認証情報が示す使用者が、機密情報のファイル５０１のファイル管理情報が示すファイルの移動の許可者に含まれていれば、クライアントコンピュータ１０１の使用者に、機密情報のファイル５０１の移動を許可する。そして、ファイル管理サーバ１００は、機密情報のファイル５０１の移動を許可することを示す情報を、通信ネットワーク３００を介してクライアントコンピュータ１０１に送信する（ステップＳ５０３）。このとき、ファイル管理サーバ１００は、機密情報のファイル５０１の暗号解読キーを、通信ネットワーク３００を介してクライアントコンピュータ１０１に送信してもよい。

また、ファイル管理サーバ１００が受信したユーザ認証情報と、記憶手段２００が記憶しているユーザ認証情報とが合致しなかったり、使用者が、ファイルの移動の許可者に含まれていなかったりした場合には、クライアントコンピュータ１０１の使用者に、機密情報のファイル５０１の移動を許可しない（ステップＳ５０４）。そして、ファイル管理サーバ１００は、機密情報のファイル５０１の移動を許可しないことを示す情報を、通信ネットワーク３００を介してクライアントコンピュータ１０１に送信する。

また、クライアントコンピュータ１０１がは、例えば、通信ネットワーク３００やファイル管理サーバ１００等の障害によって、機密情報のファイル５０１の移動を許可することを示す情報を受信することができなかったりした場合（ステップＳ５０５）、機密情報のファイル５０１を移動することができないことを示す情報を表示手段に表示させる（ステップＳ５０６）。

クライアントコンピュータ１０１におけるファイルシステムは、通信ネットワーク３００を介してファイル管理サーバ１００から機密情報のファイル５０１の移動を許可することを示す情報を、メモリに記憶させる。また、暗号解読キーを受信した場合は、暗号解読キーをメモリに記憶させる。そして、クライアントコンピュータ１０１におけるファイルシステムは、メモリが記憶している暗号解読キーを用いて、記憶手段２０１が記憶している機密情報のファイル５０１を復号してもよい。

クライアントコンピュータ１０１は、通信ネットワーク３００を介してファイル管理サーバ１００から機密情報のファイル５０１の移動を許可することを示す情報を受信すると、使用者の操作に従って機密情報のファイル５０１を移動させる（ステップＳ５０７）。具体的には、クライアントコンピュータ１０１は、機密情報のファイル５０１を記憶手段２０１の別の記憶領域に記憶させ、元の機密情報のファイル５０１を記憶手段２０１から削除する。

クライアントコンピュータ１０１は、機密情報のファイル５０１を記憶手段２０１の別の記憶領域に記憶させると、機密情報のファイル５０１を移動させたことを示す情報と、機密情報のファイル５０１を記憶させた記憶領域を示す情報を含むファイル情報とを、通信ネットワーク３００を介してファイル管理サーバ１００に送信する（ステップＳ５０８）。ファイル管理サーバ１００は、機密情報のファイル５０１を移動させたことを示す情報と、機密情報のファイル５０１の移動先の記憶領域（格納場所）を示す情報を含むファイル情報とを受信すると、記憶手段２００が記憶している機密情報のファイル５０１のファイル管理情報を、機密情報のファイル５０１を記憶させた記憶領域を示す情報を含むファイル情報にもとづいて更新する。また、ファイル管理サーバ１００は、記憶手段２００がファイル管理領域に記憶しているファイル管理更新履歴に、機密情報のファイル５０１を移動したことを記憶させてもよい。

なお、ファイル管理サーバ１００は、ファイル管理情報の更新に失敗したりすると、ファイル管理情報の更新ができなかったことを示す情報を通信ネットワーク３００を介してクライアントコンピュータ１０１に送信する（ステップＳ５０９）。クライアントコンピュータ１０１におけるファイルシステムは、ファイル管理情報の更新ができなかったことを示す情報を受信すると、移動したファイルを元の記憶領域に記憶させ、移動先の記憶領域から機密情報のファイル５０１を削除する（ステップＳ５１１）。そして、クライアントコンピュータ１０１におけるファイルシステムは、移動に失敗したことを表示手段に表示させて使用者に通知する。

ファイル管理サーバ１００は、ファイル管理情報の更新に成功すると、ファイル管理情報を更新したことを示す情報を通信ネットワーク３００を介してクライアントコンピュータ１０１に送信し、クライアントコンピュータ１０１におけるファイルシステムは、ファイル管理情報を更新したことを示す情報を受信すると、ファイル管理サーバ１００がファイル管理情報を更新したことを表示手段に表示させ、移動が完了したことを使用者に通知する（ステップＳ５１０）。

このように、クライアントコンピュータ１０１におけるファイルシステムは、機密情報のファイル５０１を移動するとともに、機密情報のファイル５０１を移動させたことを示す情報と、機密情報のファイル５０１の移動先の記憶領域を示す情報を含むファイル情報とをファイル管理サーバ１００に送信し、ファイル管理サーバ１００が、機密情報のファイル５０１を記憶させた記憶領域を示す情報を含むファイル情報にもとづいて、記憶手段２００にファイル管理情報を更新して記憶させるため、クライアントコンピュータ１０１が、移動したファイルの参照や更新を行う際には、上述した、機密情報のファイル５０１を参照したり更新したりする場合と同様の動作を行うことになる。従って、ファイル管理サーバ１００に接続することができない環境では、クライアントコンピュータ１０１は、移動したファイルを参照したり更新したりすることができず、秘匿性を保つことができる。

次に、クライアントコンピュータ１０１の使用者が、クライアントコンピュータ１０１を操作して、自身が作成した機密情報のファイル５０１の属性を機密情報から通常の情報に変更する際の動作について説明する。図８は、本発明の第１の実施の形態において、機密情報のファイル５０１の属性を機密情報から通常の情報に変更する際の動作を説明するフローチャートである。

クライアントコンピュータ１０１におけるファイルシステムは、使用者の操作に従って、ファイル管理サーバ１００に接続し（ステップＳ６０１）、ユーザ認証情報と、機密情報のファイル５０１の属性の変更を行うことを示す情報と、属性を変更する機密情報のファイル５０１を示す情報とを通信ネットワーク３００を介してファイル管理サーバ１００に送信する。ファイル管理サーバ１００は、それらの情報を受信すると、受信した情報と、記憶手段２００が記憶しているユーザ認証情報、および機密情報のファイル５０１のファイル管理情報が含むファイルの属性の変更の許可者の情報とを比較し、クライアントコンピュータ１０１の使用者に、機密情報のファイル５０１の属性の変更を許可するか否かを決定する（ステップＳ６０２）。

具体的には、ファイル管理サーバ１００は、受信したユーザ認証情報と記憶手段２００が記憶しているユーザ認証情報とが合致し、かつ、受信したユーザ認証情報が示す使用者が、機密情報のファイル５０１のファイル管理情報が示すファイルの属性の変更の許可者に含まれていれば、機密情報のファイル５０１の属性の変更を許可する。そして、ファイル管理サーバ１００は、機密情報のファイル５０１の属性の変更を許可することを示す情報を、通信ネットワーク３００を介してクライアントコンピュータ１０１に送信する（ステップＳ６０３）。

また、ファイル管理サーバ１００が受信したユーザ認証情報と、記憶手段２００が記憶しているユーザ認証情報とが合致しなかったり、使用者が、ファイルの属性の変更の許可者に含まれていなかったりした場合には、クライアントコンピュータ１０１の使用者に、機密情報のファイル５０１の属性の変更を許可しない（ステップＳ６０４）。そして、ファイル管理サーバ１００は、機密情報のファイル５０１の属性の変更を許可しないことを示す情報を、通信ネットワーク３００を介してクライアントコンピュータ１０１に送信する。

また、クライアントコンピュータ１０１は、例えば、通信ネットワーク３００やファイル管理サーバ１００等の障害によって、機密情報のファイル５０１の属性の変更を許可することを示す情報を受信することができなかったりした場合（ステップＳ６０５）、機密情報のファイル５０１の属性を変更することができないことを示す情報を表示手段に表示させる（ステップＳ６０６）。

クライアントコンピュータ１０１におけるファイルシステムは、通信ネットワーク３００を介してファイル管理サーバ１００から機密情報のファイル５０１の属性の変更を許可することを示す情報を、メモリに記憶させる。

クライアントコンピュータ１０１におけるファイルシステムは、通信ネットワーク３００を介してファイル管理サーバ１００から機密情報のファイル５０１の属性の変更を許可することを示す情報を受信すると、使用者の操作に従って機密情報のファイル５０１の属性を変更する（ステップＳ６０７）。具体的には、クライアントコンピュータ１０１は、使用者の操作に従って、記憶手段２０１のファイル管理領域において機密情報のファイル５０１が機密情報のファイルのファイル属性（機密情報である旨を示す属性）を解除する。

クライアントコンピュータ１０１におけるファイルシステムは、ファイル５０１のファイル属性を変更すると、ファイル５０１の変更後のファイル属性を示す情報を、通信ネットワーク３００を介してファイル管理サーバ１００に送信する（ステップＳ６０８）。ファイル管理サーバ１００は、変更後のファイル属性を示す情報を受信すると、記憶手段２００が記憶している機密情報のファイル５０１のファイル管理情報を、ファイル５０１の新たな属性を示す情報にもとづいて更新する（ステップＳ６０９）。また、ファイル管理サーバ１００は、記憶手段２００がファイル管理領域に記憶しているファイル管理更新履歴に、ファイル５０１の属性を変更したことを記憶させる。なお、ファイル管理サーバ１００は、記憶手段２００がファイル管理領域に記憶しているファイル５０１のファイル管理情報を削除する。

なお、ファイル管理サーバ１００は、ファイル管理情報の更新に失敗したりすると、ファイル管理情報を更新することができなかったことを示す情報を通信ネットワーク３００を介してクライアントコンピュータ１０１に送信する（ステップＳ６０９）。クライアントコンピュータ１０１におけるファイルシステムは、ファイル管理情報を更新することができなかったことを示す情報を受信すると、変更した属性を元の属性に戻して記憶手段２０１のファイル管理領域に記憶させる（ステップＳ６１１）。そして、クライアントコンピュータ１０１におけるファイルシステムは、属性の変更に失敗したことを表示手段に表示させて使用者に通知する。

ファイル管理サーバ１００は、ファイル管理情報の更新に成功すると、ファイル管理情報を更新したことを示す情報を通信ネットワーク３００を介してクライアントコンピュータ１０１に送信し、クライアントコンピュータ１０１におけるファイルシステムは、ファイル管理情報を更新したことを示す情報を受信すると、ファイル管理サーバ１００が、ファイル管理情報を更新したことを表示手段に表示させ、属性の変更が完了したことを使用者に通知する（ステップＳ６１０）。

このように、機密情報として管理する必要がなくなったファイルや、機密情報の属性のファイルを企業等の外部に提供する場合、機密情報のファイルの所有者である使用者が、機密情報の属性を変更することで、一般のＯＳのファイルシステムで通常のファイルとして扱うことが可能になり、ファイルの参照や、更新、コピー、移動等を行うことができるようになる。なお、通常のファイルを機密情報の属性のファイルに変更することも可能である。通常のファイルを機密情報の属性のファイルに変更する場合、機密情報のファイルの作成時と同様に、クライアントコンピュータ１０１は、通常のファイルを暗号化して記憶手段２０１に記憶させ、暗号解読キーをファイル管理サーバ１００に送信し、ファイル管理サーバ１００は、暗号解読キーを記憶手段２００に記憶させる。また、ここでは、ファイルの所有者である使用者が、機密情報の属性を変更する場合について説明したが、ファイルの所有者でない使用者が、機密情報の属性を変更することもできる。

次に、クライアントコンピュータ１０１の使用者が、クライアントコンピュータ１０１を操作して、機密情報のファイル５０１を削除する際の動作について説明する。図９は、本発明の第１の実施の形態において、機密情報のファイル５０１を削除する際の動作を説明するフローチャートである。

クライアントコンピュータ１０１は、使用者の操作に従って、ファイル管理サーバ１００に接続し（ステップＳ７０１）、ユーザ認証情報と、機密情報のファイル５０１の削除を行うことを示す情報と、削除する機密情報のファイル５０１を示す情報とを通信ネットワーク３００を介してファイル管理サーバ１００に送信する。ファイル管理サーバ１００は、それらの情報を受信すると、受信した情報と、記憶手段２００が記憶しているユーザ認証情報、および機密情報のファイル５０１のファイル管理情報が含むファイルの削除の許可者の情報とを比較し、クライアントコンピュータ１０１の使用者に、機密情報のファイル５０１の削除を許可するか否かを決定する（ステップＳ７０２）。

具体的には、ファイル管理サーバ１００は、受信したユーザ認証情報と記憶手段２００が記憶しているユーザ認証情報とが合致し、かつ、受信したユーザ認証情報が示す使用者が、機密情報のファイル５０１のファイル管理情報が示すファイルの削除の許可者に含まれていれば、クライアントコンピュータ１０１の使用者に、機密情報のファイル５０１の削除を許可する。

なお、ファイル管理サーバ１００が受信したユーザ認証情報と、記憶手段２００が記憶しているユーザ認証情報とが合致しなかったり、使用者が、ファイルの削除の許可者に含まれていなかったりした場合には、クライアントコンピュータ１０１の使用者に、機密情報のファイル５０１の削除を許可しない（ステップＳ７０３）。そして、ファイル管理サーバ１００は、機密情報のファイル５０１の削除を許可しないことを示す情報を、通信ネットワーク３００を介してクライアントコンピュータ１０１に送信する。

ファイル管理サーバ１００は、機密情報のファイル５０１の削除を許可する際に、記憶手段２００が記憶しているファイル管理更新履歴に機密情報のファイル５０１を削除することを記憶させ、ファイル管理更新履歴を除いて機密情報のファイル５０１のファイル管理情報を削除する（ステップＳ７０４）。ファイル管理サーバ１００は、機密情報のファイル５０１の削除を許可することを示す情報を、通信ネットワーク３００を介してクライアントコンピュータ１０１に送信する（ステップＳ７０５）。

クライアントコンピュータ１０１におけるファイルシステムは、通信ネットワーク３００を介してファイル管理サーバ１００から機密情報のファイル５０１の削除を許可することを示す情報を受信すると（ステップＳ７０６）、使用者の操作に従って機密情報のファイル５０１を削除する（ステップＳ７０８）。そして、クライアントコンピュータ１０１におけるファイルシステムは、記憶手段２０１のファイル管理領域において機密情報のファイル５０１が機密情報である旨のファイル属性を解除する。

そして、クライアントコンピュータ１０１におけるファイルシステムは、機密情報のファイル５０１を削除すると、機密情報のファイル５０１を削除したことを示す情報を、表示手段に表示させる。

なお、ファイル管理サーバ１００は、機密情報のファイル５０１のファイル管理情報を削除することができなかった場合、機密情報のファイル５０１を削除することができないことを示す情報を、通信ネットワーク３００を介してクライアントコンピュータ１０１に送信する。クライアントコンピュータ１０１におけるファイルシステムは、受信した機密情報のファイル５０１を削除することができないことを示す情報を表示手段に表示させる（ステップＳ７０７）。

なお、ステップＳ７０３およびステップＳ７０７の判定の結果、機密情報のファイル５０１を削除することができない場合であっても、クライアントコンピュータ１０１は、使用者の操作に従って、クライアントコンピュータ１０１が搭載しているＯＳのファイルシステムを用いて、機密情報のファイル５０１を強制的に削除してもよい。その場合、記憶手段２００が記憶しているファイル管理情報と、記憶手段２０１が記憶しているファイルとが合致しなくなってしまう。そのため、例えば、１日に１回等の予め決められた間隔で、記憶手段２００が記憶しているファイル管理情報と記憶手段２０１が記憶しているファイルとの整合を確認させる処理を行うことが好ましい。

次に、使用者が、クライアントコンピュータ１０１を操作して、記憶手段２００が記憶しているファイル管理情報と、記憶手段２０１，２０２，２０３が記憶しているファイル管理情報との整合を確認させる際の動作について説明する。図１０は、本発明の第１の実施の形態において、記憶手段２００が記憶しているファイル管理情報と、記憶手段２０１が記憶している内容との整合を確認させる際の動作を説明するフローチャートである。

クライアントコンピュータ１０１におけるファイルシステムは、使用者の操作に従って、ファイル管理サーバ１００に接続し（ステップＳ８０１）、ユーザ認証情報と、ファイル管理情報の整合の確認を行うことを示す情報とを通信ネットワーク３００を介してファイル管理サーバ１００に送信する。ファイル管理サーバ１００は、それらの情報を受信すると、受信した情報と、記憶手段２００が記憶しているユーザ認証情報とを比較し、ファイル管理情報の整合の確認を許可するか否かを決定する（ステップＳ８０２）。

具体的には、ファイル管理サーバ１００は、受信したユーザ認証情報と、記憶手段２００が記憶しているユーザ認証情報とが合致した場合には、ファイル管理情報の整合の確認を許可する。そして、ファイル管理サーバ１００は、ファイル管理情報の整合の確認を許可することを示す情報を、通信ネットワーク３００を介してクライアントコンピュータ１０１に送信する（ステップＳ８０３）。

クライアントコンピュータ１０１におけるファイルシステムは、通信ネットワーク３００を介してファイル管理サーバ１００からファイル管理情報の整合の確認を許可することを示す情報を、メモリに記憶させる。

また、ファイル管理サーバ１００が受信したユーザ認証情報と、記憶手段２００が記憶しているユーザ認証情報とが合致しなかった場合、クライアントコンピュータ１０１の使用者に、ファイル管理情報の整合の確認を許可しない（ステップＳ８０４）。そして、ファイル管理サーバ１００は、ファイル管理情報の整合の確認を許可しないことを示す情報を、通信ネットワーク３００を介してクライアントコンピュータ１０１に送信する。

ファイル管理サーバ１００は、通信ネットワーク３００を介してクライアントコンピュータ１０１にファイル管理情報の整合の確認を許可することを示す情報を送信すると、記憶手段２００が記憶しているファイル管理情報のうち、記憶手段２０１が記憶している機密情報のファイルに関するファイル管理情報を、クライアントコンピュータ１０１に送信する。

クライアントコンピュータ１０１におけるファイルシステムは、ファイル管理サーバ１００からファイル管理情報を受信すると、記憶手段２０１が記憶している機密情報のファイルのファイル管理情報と、受信したファイル管理情報とが合致するか否かの整合を確認する（ステップＳ８０５）。

クライアントコンピュータ１０１におけるファイルシステムは、記憶手段２０１が記憶している機密情報のファイルのファイル管理情報と、受信したファイル管理情報とが合致すると（ステップＳ８０６）、ファイル管理情報の整合の確認が終了したことを示す情報を表示手段に表示させる（ステップＳ８０７）。

クライアントコンピュータ１０１におけるファイルシステムは、記憶手段２０１が記憶している機密情報のファイルのファイル管理情報と、受信したファイル管理情報とが合致しない場合、記憶手段２０１が記憶している機密情報のファイルのファイル管理情報と、ファイル管理情報の修復依頼を示す情報とを、通信ネットワーク３００を介してファイル管理サーバ１００に送信する（ステップＳ８０８）。

ファイル管理サーバ１００は、ファイル管理情報の修復依頼を示す情報を受信すると、クライアントコンピュータ１０１から受信した機密情報のファイルのファイル管理情報に従って、記憶手段２００が記憶しているファイル管理情報を変更する（ステップＳ８０９）。なお、ファイル管理サーバ１００は、クライアントコンピュータ１０１の使用者が、変更するべきファイル管理情報のファイルの所有者であったり、変更するべきファイル管理情報のファイルの属性の変更の許可者であった場合にのみ記憶手段２００が記憶しているファイル管理情報を、記憶手段２０１が記憶している機密情報のファイルの内容を示す情報にもとづいて変更してもよい。

次に、機密情報のファイル５０１を、ファイル管理サーバ１００に接続することができない環境のクライアントコンピュータで、参照、更新、コピー、移動を行う場合について説明する。

機密情報のファイル５０１を、ファイル管理サーバ１００に接続することができない環境のクライアントコンピュータで、参照、更新、コピー、移動を行う場合、ファイル管理サーバ１００に接続することができない環境のクライアントコンピュータが接続可能なファイル管理サーバを新たに設け、クライアントコンピュータとファイル管理サーバとのそれぞれに、予め前述したファイル管理プログラムをインストールしておく。そして、ファイル管理サーバ１００に接続することができない環境において、参照、更新、コピー、移動を許可する機密情報のファイル５０１のみを、このファイル管理サーバに登録しておく。すると、ファイル管理サーバ１００に接続することができない環境のクライアントコンピュータにおいても認証および暗号解読キーの入手を行うことが可能となり、ファイル管理サーバ１００に接続することができない環境のクライアントコンピュータでも許可されたファイルのみ参照、更新、コピー、移動が可能となる。なお、こうした場合でも、機密情報のファイル５０１の操作の際には、クライアントコンピュータはファイル管理サーバに接続することが必要となるため、特定のユーザのみにユーザ認証を行うことや、ユーザのアクセスログを管理することにより不正アクセスによる情報漏洩を防ぐことができる。また、ファイル管理サーバ１００に接続することができない環境では、ファイル属性の変更、コピー等の一部の機能を制限または禁止してもよく、これにより不正使用を防止することが可能となる。

実施の形態２．
本発明の第２の実施の形態について、図面を参照して説明する。図１１は、本発明の第２の実施の形態の一構成例を示すブロック図である。

本発明の第２の実施の形態の構成は、ファイル管理サーバ１０４と、ファイル管理サーバ１０４に接続している記憶手段２０４とを含む点が第１の実施の形態と異なる。その他の点は第１の実施の形態の構成と同様なため、クライアントコンピュータ等には図１と同じ符号を付し、説明を省略する。

記憶手段２０１、記憶手段２０２、および記憶手段２０３は、各記憶手段が記憶している機密情報のファイルのファイル管理情報を、記憶手段２００および記憶手段２０４のどちらが記憶しているのかを示す情報を記憶している。

各クライアントコンピュータは、使用者の指示に従って各記憶手段が記憶している機密情報のファイルを操作する場合、機密情報のファイルのファイル管理情報を記憶手段２００および記憶手段２０４のどちらが記憶しているのかを示す情報にもとづいて、記憶手段２００または記憶手段２０４が記憶している機密情報のファイルのファイル管理情報を読み出し、読み出した機密情報のファイルのファイル管理情報にもとづいて機密情報のファイルの操作を行う。具体的には、例えば、記憶手段２０１が、記憶手段２０１が記憶している機密情報のファイル５０１のファイル管理情報を記憶手段２００が記憶していることを示す情報を記憶している場合、クライアントコンピュータ１０１は、使用者の指示に従って機密情報のファイル５０１の操作（作成、参照、更新、コピー、移動等）を行うとき、ファイル管理サーバ１００に接続する。そして、ファイル管理サーバ１００が、記憶手段１００が記憶している機密情報のファイル５０１のファイル管理情報を読み出してクライアントコンピュータ１０１と情報を送受信する。クライアントコンピュータ１０１とファイル管理サーバ１００との情報の送受信の際の動作は、第１の実施の形態における動作と同様なため説明を省略する。

ファイル管理サーバ１００および記憶手段２００と、ファイル管理サーバ１０４および記憶手段２０４とは、例えば、企業内のそれぞれの部門ごとに設置されてもよい。また、各クライアントコンピュータと各記憶手段とは、例えば、企業内のそれぞれの部門に設置されてもよい。そして、例えば、記憶手段２００は、Ａ部門に設置されている記憶手段が記憶している機密情報のファイルのファイル管理情報を記憶し、記憶手段２０４は、Ｂ部門に設置されている記憶手段が記憶している機密情報のファイルのファイル管理情報を記憶している。

以上、述べたように、この実施の形態によれば、ファイル管理サーバが複数設置されており、各部門ごとに機密情報のファイルのファイル管理情報の管理を行う構成にしたため、クライアントコンピュータが機密情報のファイルの作成、参照、更新、コピー、移動などの際に接続するファイル管理サーバの接続負荷を分散させることができる。そのため、各クライアントコンピュータのファイル操作時の応答速度を改善することができる。

なお、各ファイル管理サーバが、接続している記憶手段がファイル管理情報を記憶している機密情報のファイルを示す情報を、互いに送受信してもよい。具体的には、記憶手段２００が機密情報のファイル５０１のファイル管理情報を記憶しており、記憶手段２０４が機密情報のファイル５０２のファイル管理情報を記憶している場合、ファイル管理サーバ１００は、記憶手段２００が機密情報のファイル５０１のファイル管理情報を記憶していることを示す情報をファイル管理サーバ２０４に送信し、ファイル管理サーバ２０４は、記憶手段２０４が機密情報のファイル５０２のファイル管理情報を記憶していることを示す情報をファイル管理サーバ１００に送信する。そして、クライアントコンピュータ１０１が、記憶手段１０１が記憶している機密情報のファイル５０１の操作の際に、ファイル管理サーバ２０４に接続すると、ファイル管理サーバ２０４は、記憶手段２００が機密情報のファイル５０１のファイル管理情報を記憶していることを示す情報にもとづいて、クライアントコンピュータ１０１が送信した情報をファイル管理サーバ１００に送信し、ファイル管理サーバ１００が送信した情報をクライアントコンピュータ１０１に送信する。すると、クライアントコンピュータの使用者は、機密情報のファイルの操作の際に接続するファイル管理サーバを意識することなく、機密情報のファイルを操作することができる。そのため、従来の一般的なＯＳのファイルシステムと同じ操作環境で機密情報のファイルを操作することが可能となり、利便性が向上する。

企業等の電子化されたデータの持ち出しや、コピーを防止するシステムに適用することができる。また、機密情報が格納されたノートＰＣ、大容量記録メディア等を企業等の外部に持ち出し、輸送等を行った際に盗難、紛失が発生した場合に機密情報が外部に流出することを防止するシステムにも適用することができる。また、ファイル管理プログラムをコンピュータにインストールして使用するだけでなく、ＩＣカード、ＬＳＩチップ、携帯電話機、ＰＤＡなどの情報機器、情報端末に適用して使用することも可能である。

本発明の第１の実施の形態の一構成例を示すブロック図である。サーバ側において記憶されるファイル管理情報の一例を示す説明図である。本発明の第１の実施の形態において、機密情報のファイルを作成する際の動作を説明するフローチャートである。本発明の第１の実施の形態において、機密情報のファイルを参照する際の動作を説明するフローチャートである。本発明の第１の実施の形態において、機密情報のファイルの内容を更新する際の動作を説明するフローチャートである。本発明の第１の実施の形態において、機密情報のファイルをコピーする際の動作を説明するフローチャートである。本発明の第１の実施の形態において、機密情報のファイルを移動する際の動作を説明するフローチャートである。本発明の第１の実施の形態において、機密情報のファイルの属性を機密情報から通常の情報に変更する際の動作を説明するフローチャートである。本発明の第１の実施の形態において、機密情報のファイルを削除する際の動作を説明するフローチャートである。本発明の第１の実施の形態において、ファイル管理情報と、記憶手段が記憶している内容との整合を確認させる際の動作を説明するフローチャートである。本発明の第２の実施の形態の一構成例を示すブロック図である。

符号の説明

１００、１０４ファイル管理サーバ
１０１、１０２、１０３クライアントコンピュータ
２００、２０１、２０２、２０３、２０４記憶手段
５０１、５０２、５０３ファイル

Claims

通信ネットワーク内に存在するクライアント端末と通信可能であって、クライアント端末が有するファイル記憶手段に記憶されるファイルのファイル名、クライアント端末名、クライアント端末における当該ファイルの格納場所を示す情報、および当該ファイルの各操作の許可者を含む情報であるファイル管理情報を記憶するためのファイル管理情報記憶手段を有するファイル管理サーバを備えたファイル管理システムにおいて、
前記ファイル管理サーバは、
前記クライアント端末の使用者を認証する認証情報を登録する認証情報登録手段と、
前記クライアント端末がファイル属性を機密にした暗号化されたファイルを作成して前記ファイル記憶手段に格納した場合に、前記ファイルを示す情報と前記ファイルを復号するための暗号解読キーとを、前記ファイル管理情報として前記ファイル管理情報記憶手段に記憶させるファイル情報登録手段と、
前記クライアント端末が前記ファイルの操作を開始するときに前記クライアント端末の使用者を認証するとともに、前記ファイルの操作中に定期的に前記クライアント端末の使用者を認証する認証手段とを含み、
前記クライアント端末は、前記ファイルの操作中に、前記ファイル管理サーバに当該ファイルを示す情報を定期的に送信する送信手段を含み、
前記認証手段は、前記クライアント端末が前記ファイルの操作を開始するときに認証が成功した場合に、前記暗号解読キーを前記クライアント端末に送信し、
前記認証手段は、前記ファイルの操作中に、前記ファイル管理情報記憶手段に記憶されているファイル管理情報のうち、前記送信手段が送信した前記ファイルを示す情報によって示されるファイルのファイル管理情報に含まれる当該ファイルの各操作の許可者によってファイルの操作が行われているか否かを前記クライアント端末から受信した操作の内容を示す情報および認証情報にもとづいて判定することにより定期的に前記クライアント端末の使用者を認証し、前記認証に失敗した場合には、前記クライアント端末の前記ファイルの操作を禁止する処理を実行し、
前記ファイル情報登録手段は、前記クライアント端末がファイルの操作として暗号化されたファイルの複写を行った場合に、複写後の暗号化されたファイルの管理情報として複写元のファイルの暗号解読キーと同じ暗号解読キーを前記ファイル管理情報記憶手段に記憶させ、前記クライアント端末がファイルの操作として暗号化されたファイルの移動を行った場合に、前記ファイル管理情報記憶手段に記憶されているファイル管理情報を更新する
ことを特徴とするファイル管理システム。
通信ネットワークは、ネットワーク外からアクセスすることができない閉じたネットワークである
請求項１記載のファイル管理システム。
認証情報登録手段は、クライアント端末の使用者に許可したファイル操作の内容を示す情報を、ファイル管理情報としてファイル管理情報記憶手段に記憶させ、
認証手段は、前記ファイル管理情報にもとづいて、ファイル操作の内容に応じて前記ファイル操作を許可するか否かを判定する
請求項１または請求項２記載のファイル管理システム。
認証手段は、クライアント端末がファイルの操作としてファイルの参照または更新を行っているときに、当該操作を許可するか否かを判定する
請求項３記載のファイル管理システム。
クライアント端末におけるファイル記憶手段は、少なくともファイル属性を示す情報を含むクライアント側ファイル管理情報を記憶し、
前記クライアント端末は、定期的に、ファイル管理情報記憶手段が記憶しているファイル管理情報の内容と前記クライアント側ファイル管理情報の内容とを整合させる処理を実行するファイル管理情報整合手段を含む
請求項１から請求項４のうちのいずれか１項に記載のファイル管理システム。
複数のファイル管理サーバを備え、
クライアント端末におけるファイル記憶手段に格納されたファイルに関するファイル管理情報は、いずれか１つのファイル管理サーバにおけるファイル管理情報記憶手段に記憶される
請求項１から請求項５のうちのいずれか１項に記載のファイル管理システム
通信ネットワーク内に存在するクライアント端末と通信可能であって、クライアント端末が有するファイル記憶手段に記憶されるファイルのファイル名、クライアント端末名、クライアント端末における当該ファイルの格納場所を示す情報、および当該ファイルの各操作の許可者を含む情報であるファイル管理情報を記憶するためのファイル管理情報記憶手段を有するファイル管理サーバにおいて、
前記クライアント端末の使用者を認証する認証情報を登録する認証情報登録手段と、
前記クライアント端末がファイル属性を機密にした暗号化されたファイルを作成して前記ファイル記憶手段に格納した場合に、前記ファイルを示す情報と前記ファイルを復号するための暗号解読キーとを、前記ファイル管理情報として前記ファイル管理情報記憶手段に記憶させるファイル情報登録手段と、
前記クライアント端末が前記ファイルの操作を開始するときに前記クライアント端末の使用者を認証するとともに、前記ファイルの操作中に定期的に前記クライアント端末の使用者を認証する認証手段とを含み、
前記認証手段は、前記クライアント端末が前記ファイルの操作を開始するときに認証が成功した場合に、前記暗号解読キーを前記クライアント端末に送信し、
前記認証手段は、前記ファイルの操作中に、前記ファイル管理情報記憶手段に記憶されているファイル管理情報のうち、前記ファイルを示す情報を定期的に送信する前記クライアント端末の送信手段が送信した前記ファイルを示す情報によって示されるファイルのファイル管理情報に含まれる当該ファイルの各操作の許可者によってファイルの操作が行われているか否かを前記クライアント端末から受信した操作の内容を示す情報および認証情報にもとづいて判定することにより定期的に前記クライアント端末の使用者を認証し、前記認証に失敗した場合には、前記クライアント端末の前記ファイルの操作を禁止する処理を実行し、
前記ファイル情報登録手段は、前記クライアント端末がファイルの操作として暗号化されたファイルの複写を行った場合に、複写後の暗号化されたファイルの管理情報として複写元のファイルの暗号解読キーと同じ暗号解読キーを前記ファイル管理情報記憶手段に記憶させ、前記クライアント端末がファイルの操作として暗号化されたファイルの移動を行った場合に、前記ファイル管理情報記憶手段に記憶されているファイル管理情報を更新する
ことを特徴とするファイル管理サーバ。
認証情報登録手段は、クライアント端末の使用者に許可したファイル操作の内容を示す情報を、ファイル管理情報としてファイル管理情報記憶手段に記憶させ、
認証手段は、前記ファイル管理情報にもとづいて、ファイル操作の内容に応じて前記ファイル操作を許可するか否かを判定する
請求項７記載のファイル管理サーバ。
認証手段は、クライアント端末がファイルの操作としてファイルの参照または更新を行っているときに、当該操作を許可するか否かを判定する
請求項７または請求項８記載のファイル管理サーバ。