JP4662138B2

JP4662138B2 - 情報漏洩防止方法及びシステム

Info

Publication number: JP4662138B2
Application number: JP2005189012A
Authority: JP
Inventors: 茂佐々木; 隆志西出
Original assignee: Hitachi Solutions Ltd
Current assignee: Hitachi Solutions Ltd
Priority date: 2005-06-28
Filing date: 2005-06-28
Publication date: 2011-03-30
Anticipated expiration: 2025-06-28
Also published as: JP2007011511A

Description

本発明は、企業、団体等の各種組織内における機密情報を外部に持ち出して編集する必要が生じた場合でも、持ち出した機密情報が組織外の第３者に漏洩しないように編集することができる情報漏洩防止方法およびシステムに関するものである。

２００５年度から施行された個人情報保護法により情報漏洩対策は企業等の組織にとって重要な課題になっている。
その対策として、社外に漏らしてはならない情報については、基本的には、リムーバブルメディアや携帯型コンピュータに記憶させて社外に持ち出すことを禁止し、やむを得ず社外に持ち出す場合には暗号化することを強制するようにしたシステムが開発されている。
また、下記の特許文献１に開示されているように、リムーバブルメディアに格納された情報を使用する場合には、リムーバブルメディアの個別情報を参照するメモリシステムが提案されている。
特開２０００−１１２８２４

しかしながら、リムーバブルメディアに格納された暗号化機密情報を復号する復号プログラムについては、組織の許可を得ることなくユーザの自由意志で任意のコンピュータに組み込むことができ、組み込み先のコンピュータを限定していない。
したがって、任意のコンピュータに組織の許可を得ずに復号プログラムを組み込んだ場合、リムーバブルメディアから読み出した機密情報の平文が組織外の任意のコンピュータのハードディスク内に残り、組織外に漏洩してしまうという危険性を含んでいる。

本発明の目的は、組織内における機密情報を外部に持ち出して編集する必要が生じた場合でも、持ち出した機密情報が組織外のコンピュータから漏洩しないように編集することができる情報漏洩防止方法を提供することにある。

上記目的を達成するために、本発明は、機密情報を管轄する組織に特有の組織鍵を埋め込んだ暗号化機密情報の復号プログラムおよび文書操作制御プログラムを記憶させたリムーバブルメディアを作成し、そのリムーバブルメディアに記憶した復号プログラムを前記組織内のコンピュータに組み込む場合に当該復号プログラムに埋め込んだ組織鍵が前記組織に特有の組織鍵に該当するかを前記組織の認証サーバにおいて認証し、前記組織鍵が前記組織に特有の組織鍵に該当する場合にのみ前記復号プログラムの組み込みを許可する第１のステップと、前記組織内のコンピュータに組み込んだ前記復号プログラムを起動する場合に、当該復号プログラムに埋め込んだ組織鍵が前記組織に特有の組織鍵に該当するかを前記組織の認証サーバにおいて認証し、前記組織鍵が前記組織に特有の組織鍵に該当する場合にのみ当該復号プログラムを起動させる第２のステップと、前記リムーバブルメディアに記憶させた暗号化機密情報を前記起動した復号プログラムによって復号し、その復号した機密情報を前記コンピュータの文書作成プログラムにより編集する際に、編集した機密情報の保存先として前記リムーバブルメディア以外は選択できないように前記文書操作制御プログラムによって前記文書作成プログラムの文書編集メニューを変更する第３のステップと、を備えることを特徴とする。
また、前記第３のステップにおいて、前記復号プログラムによって暗号化機密情報を復号する際に、前記文書操作制御プログラム及び復号プログラムに予め埋め込まれた属性情報が当該リムーバブルメディアに固有の属性情報と同一あるか否かを判定し、同一であった場合のみ前記暗号化機密情報を復号し、同一でなければエラー処理するステップをさらに備えることを特徴する。
また、前記第３のステップにおいて、前記文書操作制御プログラム及び復号プログラムに予め埋め込まれた属性情報が当該リムーバブルメディアに固有の属性情報と同一であった場合に前記暗号化機密情報を復号した後、前記復号プログラムが前記コンピュータに組み込まれる際に前記復号プログラムに埋め込まれた前記コンピュータのハードディスク属性と当該コンピュータのハードディスク属性とが同一であるか否かを判定し、同一であった場合には当該リムーバブルメディアに格納された文書操作履歴情報を収集し、その収集した文書操作履歴情報を前記認証サーバに送信し、同一でなければエラー処理するステップをさらに備えることを特徴とする。
また、本発明に係る情報漏洩システムは、機密情報を管轄する組織に特有の組織鍵を埋め込んだ暗号化機密情報の復号プログラムおよび文書操作制御プログラムを記憶させたリムーバブルメディアを作成し、そのリムーバブルメディアに記憶した復号プログラムを前記組織内のコンピュータに組み込む場合に当該復号プログラムに埋め込んだ組織鍵が前記組織に特有の組織鍵に該当するかを前記組織の認証サーバにおいて認証し、前記組織鍵が前記組織に特有の組織鍵に該当する場合にのみ前記復号プログラムの組み込みを許可する第１の手段と、前記組織内のコンピュータに組み込んだ前記復号プログラムを起動する場合に、当該復号プログラムに埋め込んだ組織鍵が前記組織に特有の組織鍵に該当するかを前記組織の認証サーバにおいて認証し、前記組織鍵が前記組織に特有の組織鍵に該当する場合にのみ当該復号プログラムを起動させる第２の手段と、前記リムーバブルメディアに記憶させた暗号化機密情報を前記起動した復号プログラムによって復号し、その復号した機密情報を前記コンピュータの文書作成プログラムにより編集する際に、編集した機密情報の保存先として前記リムーバブルメディア以外は選択できないように前記文書作成プログラムの文書編集メニューを変更する第３の手段と、を備えることを特徴とする。
また、前記第３の手段が、前記復号プログラムによって暗号化機密情報を復号する際に、前記文書操作制御プログラム及び復号プログラムに埋め込まれた属性情報が当該リムーバブルメディアに固有の属性情報と同一あるか否かを判定し、同一であった場合のみ前記暗号化機密情報を復号し、同一でなければエラー処理する手段をさらに備えることを特徴する。
また、前記第３の手段が、前記文書操作制御プログラム及び復号プログラムに予め埋め込まれた属性情報が当該リムーバブルメディアに固有の属性情報と同一であった場合に前記暗号化機密情報を復号した後、前記復号プログラムが前記コンピュータに組み込まれる際に前記復号プログラムに埋め込まれた前記コンピュータのハードディスク属性と当該コンピュータのハードディスク属性とが同一であるか否かを判定し、同一であった場合には当該リムーバブルメディアに格納された文書操作履歴情報を収集し、その収集した文書操作履歴情報を前記認証サーバに送信し、同一でなければエラー処理する手段をさらに備えることを特徴とする。

本発明によれば、暗号化機密情報の復号プログラムを組織内のコンピュータに組み込む場合に、当該組織の認証サーバの認証を受けて組み込むため、組織Ａの暗号化機密情報を記憶したリムーバブルメディアの暗号化機密情報については、組織Ａ以外のコンピュータでは復号することができなくなり、組織外部のコンピュータから機密情報が漏洩してしまうのを防止することができる。

以下、本発明を図面に基づき詳細に説明する。
図１は、本発明を適用した情報システムの実施の形態を示すシステム構成図であり、組織内のクライアントコンピュータ１２〜１４を起動する場合に、それぞれのクライアントコンピュータが当該組織に属する正当なコンピュータであるかを認証する認証サーバ１１が存在している。
各クライアントコンピュータ１２〜１４のユーザは、必要に応じて、リムーバブルメディアであるＵＳＢメモリ１５に機密情報を記憶させて組織外部に持ち出し、組織外のクライアントコンピュータ（例えば自宅のコンピュータ）１６で文書等の編集作業を行うことができる。

図２は、組織内のクライアントコンピュータ１２〜１４の内部構成の概要を示すブロック図であり、キーボード２１、マウス２２、ディスプレイ２３、ＣＰＵ２４、ハードディスク２５を備え、ハードディスク２５内には、文書作成プログラム２５１、情報入出力監視プログラム２５２、復号プログラム２５３が記憶されている。
文書作成プログラム２５１は、文書、表計算などの機能を備えたものである。
情報入出力監視プログラム２５２は、機密情報の外部持ち出しを監視するものであり、組織のセキュリティポリシーに従い、リムーバブルメディアへの格納抑止、印刷抑止、画面コピー抑止などの機能を設定することにより、機密情報の外部漏洩を防止する。
復号プログラム２５３は、ＵＳＢメモリ１５に予め記憶させた復号プログラムのコピーであり、ＵＳＢメモリ１５内の復号プログラムに埋め込んだ組織鍵が認証サーバ１１で管理している組織鍵に該当する場合にのみ、ＵＳＢメモリ１５からハードディスク２５内にコピーされる。
コピーされた場合には、当該ハードディスクの属性（例えばシリアル番号、シリンダ構成など）２５３１、組織鍵２５３２、パスワード２５３３、コピー元のＵＳＢメモリ１５のデバイス属性２５３４が埋め込まれ、コピーしたコンピュータ以外では起動できないようにされる。この復号プログラム２５３には、起動に際して認証サーバ１１での認証を受けるための認証処理２５３５、復号履歴を記録するための復号履歴記録処理２５３６が含まれている。
このクライアントコンピュータ１２〜１４には、ＵＳＢメモリ１５との間でデータを入出力するＵＳＢポートを備えている。

図３は、組織外のクライアントコンピュータ１６の内部構成の概要を示すブロック図であり、キーボード３１、マウス３２、ディスプレイ３３、ＣＰＵ３４、ハードディスク３５を備え、ハードディスク３５内には、文書作成プログラム３５１が記憶されている。また、ＵＳＢメモリ１５との間でデータを入出力するＵＳＢポートを備えている。

図４は、組織内の機密情報を必要に応じて外部に持ち出す際に使用するＵＳＢメモリ１５の内部構成を示す機能ブロック図であり、第１の記憶領域４３と第２の記憶領域４４を備え、第１の記憶領域４３には、文書操作制御プログラム４３１、復号プログラム４３２、復号プログラムコピーツール４３３が記憶されている。また、第２の記憶領域４４には暗号化文書ファイル４４１が記憶されるようになっている。
文書操作制御プログラム４３１は、当該ＵＳＢメモリ１５に記憶させる機密情報を暗号化する機能と記憶した機密情報を復号する機能を備え、さらに文書の操作履歴を暗号化ログファイル４３４に記録する操作履歴記録処理を備えている。
この文書操作制御プログラム４３１は、例えばクライアントコンピュータ１２に当該ＵＳＢメモリ１５を装着し、第２の記憶領域４４に記憶させた暗号化文書ファイル４４１を編集する場合に、暗号化文書ファイル４４１を一旦復号し、その復号した平文の文書ファイルの内容を文書作成プログラム２５１の文書編集画面に表示させるが、その際に、表示させた文書内容を別のファイル名で保存したり、印刷することができないように文書編集画面のメニューを変更する。

すなわち、文書作成プログラム２５１の文書編集画面におけるファイル操作メニューには、通常、図１５（ａ）に例示しているように、新規作成、開く、閉じる、上書き保存、名前を付けて保存、印刷、終了などのメニュー項目があるが、文書操作制御プログラム４３１は復号した平文の文書ファイルの内容を文書作成プログラム２５１の文書編集画面に表示させる場合には、ファイル操作メニューのメニュー項目を図１５（ｂ）に示すように、インポート、開く、ＵＳＢメモリに保存、閉じる、終了といったメニュー項目に変更し、表示させた文書内容を別のファイル名で保存したり、印刷することを抑止するために、編集後の文書内容の保存先はＵＳＢメモリ１５しか指定できないようにし、編集後の文書内容を当該文書操作制御プログラム４３１に特有の暗号アルゴリズムで暗号化して第２の記憶領域４４に保存させる。
さらに、文書操作制御プログラム４３１には、当該ＵＳＢメモリ１５のデバイス属性（例えばシリアル番号やバージョン、シリンダ数など）４３１２が埋め込まれており、デバイス属性が一致しない他のＵＳＢメモリに対して、復号した文書内容を保存できないようにしている。
さらに、文書操作制御プログラム４３１を起動するためのパスワード４３１３と組織鍵４３１４が埋め込まれており、ユーザが入力したパスワードがパスワード４３１３と一致しない場合には、起動しないようになっている。これにより、ＵＳＢメモリ１５自体を紛失した場合でも記憶した暗号化文書ファイル４４１が外部に漏洩する危険性はない。

復号プログラム４３２は、復号プログラムコピーツール４３３によって組織内のクライアントコンピュータ１２〜１４にコピーされて使用されるものであり、コピー先のコンピュータ内で暗号化文書ファイル４４１を復号し、ハードディスク内に保存可能にするものである。
この復号プログラム４３２は、起動に際して、認証サーバ１１の認証を受けるための認証処理４３２１（図２の２５３４に相当）と復号履歴記録処理（図２の２５３５に相当）を含んでいる。
また、他のＵＳＢメモリ１５内の文書操作制御プログラム４３１で暗号化した暗号化文書ファイル４４１については復号できないようにするために、同じＵＳＢメモリ１５内の文書操作制御プログラム４３１に埋め込んだデバイス属性４３１２と同じデバイス属性４３２１が埋め込まれている。
さらに、復号プログラム４３２を起動するためのパスワード４３２２と組織鍵４３２３が埋め込まれており、ユーザが入力したパスワードと組織鍵がパスワード４３２２と組織鍵４３２３に一致しない場合には、起動しないようになっている。
これによって、組織鍵が異なる他のＵＳＢメモリに記憶された暗号化文書ファイル４４１を復号できないようになっている。

復号プログラムコピーツール４３３にも、同様に、同じＵＳＢメモリ１５内の文書操作制御プログラム４３１に埋め込んだデバイス属性４３１２と同じデバイス属性４３３１が埋め込まれている。さらに、復号プログラムコピーツール４３３を起動するためのパスワード４３３２と組織鍵４３３３が埋め込まれており、ユーザが入力したパスワードと組織鍵がパスワード４３３２と組織鍵４３３３に一致しない場合には、起動するころが不可能で、組織外のクライアントコンピュータにコピーできないようになっている。
なお、各プログラム４３１，４３２，４３３に埋め込まれるデバイス属性、パスワード、組織鍵は全てＵＳＢメモリ１５に固有の暗号鍵によって暗号化されている。

図５は、認証サーバ１１の内部構成の概要を示すブロック図であり、キーボード５１、マウス５２、ディスプレイ５３、ＣＰＵ５４、ハードディスク５５、メモリ５６を備え、メモリ５６内には、組織内のクライアントコンピュータ１２〜１４のユーザが正当なユーザであるか、さらにＵＳＢメモリ１５が組織内で認定した正当なＵＳＢメモリであるかを認証するための認証プログラム５６１が記憶されている。
この認証処理は、ハードディスク５５内に記憶した組織鍵やユーザパスワードに基づいて実施される。

図６〜図８は、ＵＳＢメモリ１５により機密情報を外部に持ち出して編集したり、編集した機密情報を組織内のクライアントコンピュータで復号して使用する場合の利用形態の一例を示す図である。
図６は、組織内のクライアントコンピュータ１２の文書作成プログラム２５１で作成した文書６１をＵＳＢメモリ１５に格納して持ち出す場合を示した図である。
文書６１をＵＳＢメモリ１５に格納して持ち出す場合、ＵＳＢメモリ１５を組織内のクライアントコンピュータ１２のＵＳＢポートに装着し、ＵＳＢメモリ１５内の文書操作制御プログラム４３１を起動し、この文書操作制御プログラム４３１のメニュー操作により持ち出したい文書６１を選択し、ＵＳＢメモリ１５内に取り込む。そして、メニュー操作により、取り込んだ文書６１を暗号化してＵＳＢメモリ１５の第２の記憶領域４４に暗号化文書として保存する。
保存した暗号化文書６２は、組織内の他のクライアントコンピュータ１３，１４や組織外のクライアントコンピュータ１６のＵＳＢポートにＵＳＢメモリ１５を装着し、文書操作制御プログラム４３１を起動することにより、文書操作制御プログラム４３１の復号機能によって復号して編集することができる。但し、編集した文書の保存先は当該ＵＳＢメモリ１５に限定される。

図７は、組織内部のクライアントコンピュータ１２で作成してＵＳＢメモリ１５に暗号化して記憶させた文書７３を組織外の自宅のクライアントコンピュータ１６で編集する場合の例を示す図である。
暗号化文書７３を組織外の自宅のクライアントコンピュータ１６で編集する場合、ＵＳＢメモリ１５を自宅のクライアントコンピュータ１６のＵＳＢポートに装着し、ＵＳＢメモリ１５内の文書操作制御プログラム４３１を起動し、この文書操作制御プログラム４３１のメニュー操作により編集対象の暗号化文書７３を選択し、文書操作制御プログラム４３１の復号機能によって復号させ、自宅のクライアントコンピュータ１６の文書作成プログラム３５１を文書操作制御プログラム４３１によって起動し、文書作成プログラム３５１の文書編集画面内に、復号した文書内容を展開し、編集可能にする。
編集後の文書の保存先はＵＳＢメモリ１５に限定され、自宅のクライアントコンピュータ１６に文書７２として保存することはできない。
なお、自宅のクライアントコンピュータ１６で作成した文書７１については、暗号化してＵＳＢメモリ１５に格納して持ち出し、組織内のクライアントコンピュータ１２〜１４で編集することができる。

図８は、ＵＳＢメモリ１５に格納した暗号化文書を復号して組織内のクライアントコンピュータ１２のハードディスク内に保存する場合の例を示す図であり、まず、図８（ａ）に示すように、ＵＳＢメモリ１５内に記憶された復号プログラムコピーツール４３３を起動し、復号プログラム４３２を組織内のクライアントコンピュータ１２にコピーする。
このコピー操作に際しては、パスワードと組織鍵の認証を認証サーバ１１において行い、正当なパスワードと組織鍵が入力された場合にのみコピーが許可される。
コピーされた復号プログラム４３２に対しては、コピー先のハードディスク２５の属性（図２の２５３１に相当）が埋め込まれると共に、組織鍵４３３３、パスワード４３３２、デバイス属性４３３１（図２の２５３２、２５３３、２５３４に相当）が復号プログラムコピーツール４３３によって組み込まれる。
ＵＳＢメモリ１５内の暗号化文書８２を復号して組織内のクライアントコンピュータ１２のハードディスク内に保存する場合、コピーされた復号プログラム４３２を起動し、図１６に示すような画面１６０１を表示させ、その中のファイルメニューから「暗号化ファイルを開く」を選択し、復号対象の暗号化文書８２を指定し、復号プログラム４３２によって平文の文書８１として復号させる（図８（ｂ））。
この復号プログラム４３２を起動する場合にも、パスワードと組織鍵の認証を認証サーバ１１において行い、正当なパスワードと組織鍵が入力された場合にのみ復号が許可される。

図９（ａ）は、文書操作制御プログラム４３１による文書の操作（文書編集、保存操作）の履歴を記録する例を示す図であり、ＵＳＢメモリ１５の文書操作制御プログラム４３１によって組織内のクライアントコンピュータ１２内の文書９１を開いた場合と、暗号化文書９２として保存した場合に、その操作履歴が認証サーバ１１の情報入出力監視プログラム２７２に送信され、ＵＳＢメモリ１５を用いた文書の出入りが集中管理される。

図９（ｂ）は、自宅のクライアントコンピュータ１６内の文書９３をＵＳＢメモリ１５の文書操作制御プログラム４３１によって操作した場合の履歴を記録する例を示す図であり、ＵＳＢメモリ１５の文書操作制御プログラム４３１によって自宅のクライアントコンピュータ１６内の文書９３を開いた場合と、暗号化文書９４として保存した場合に、文書操作制御プログラム４３１内の操作履歴記録処理４３１１によって暗号化ログファイル４３４に操作履歴が格納される。

図１０（ａ）は、組織内のクライアントコンピュータ１２にコピーされた復号プログラム４３２を起動した際に、ＵＳＢメモリ１５の暗号化ログファイル４３４に記録しておいた操作履歴を情報入出力監視プログラム２７２に送信して記録する例を示す図であり、復号プログラム４３２を起動すると、当該復号プログラム４３２はＵＳＢメモリ１５内の暗号化ログファイル４３４に記録された操作履歴を読み込み、情報入出力監視プログラム２７２に送信する。この後、暗号化ログファイル４３４内の操作履歴の情報を削除する。

図１０（ｂ）は、組織内のクライアントコンピュータ１２にコピーされた復号プログラム４３２を起動してＵＳＢメモリ１５内の暗号化文書１０１を復号した際に、その復号履歴を情報入出力監視プログラム２７２に送信して記録する例を示す図であり、復号プログラム４３２は暗号化文書１０１を平文の文書１０２として復号したならば、その操作履歴を情報入出力監視プログラム２７２に送信して情報入出力監視プログラム２７２に一括管理させる。

図１１は、ＵＳＢメモリ１５内の復号プログラム４３２を組織内のクライアントコンピュータ１２〜１４にコピーするための復号プログラムコピーツール４３３の処理を示すフローチャートである。
復号プログラム４３２を組織内のクライアントコンピュータ１２にコピーする場合、ＵＳＢメモリ１５をクライアントコンピュータ１２のＵＳＢポートに装着した後、復号プログラムコピーツール４３３を起動する。
起動された復号プログラムコピーツール４３３は、まず、ユーザが当該ＵＳＢメモリ１５内のプログラムの正当な使用権限を有しているかを確認するためにパスワードの入力を促す。
ユーザによってパスワードが入力されたならば、これを受付け、復号プログラムコピーツール４３３内に埋め込んだパスワード４３３２と一致するか否かによってパスワードの認証を行い（ステップ１１０１、１１０２）、一致していた場合には認証成功とした後、復号プログラムコピーツール４３３内に埋め込んである組織鍵４３３３を読み出し、この組織鍵４３３３の認証要求を認証サーバ１１に送信する（ステップ１１０３）。
認証サーバ１１のデータベース５５には、組織内で使用する組織鍵が記憶されているので、認証サーバ１１は復号プログラムコピーツール４３３から送られてきた組織鍵４３３３とデータベース５５に記憶された組織鍵とが一致するか否かによって組織鍵４３３３の認証を行い、その結果を復号プログラムコピーツール４３３に返す。

復号プログラムコピーツール４３３は、認証サーバ１１からの認証結果が「認証成功」であった場合（ステップ１１０４）、クライアントコンピュータ１２における復号プログラム４３２のコピー先の指定をユーザから受付け（ステップ１１０５）、その指定されたコピー先に復号プログラム４３２をコピーする（ステップ１１０６）。
この後、図２のようにコピーした復号プログラム２５３に対して、コピー先のハードディスク属性２５３１と組織鍵２５３２（４３３３と同じ）およびパスワード２５３３（４３３２と同じ）、デバイス属性２５３４（４３３１と同じ）を埋め込む（ステップ１１０７）。
なお、パスワード認証および組織鍵認証が成功しなかった場合には、エラー表示し（ステップ１１０８）、復号プログラム４３２のコピーを行わない。

図１２は、組織内のクライアントコンピュータ１２にコピーした復号プログラム２５３を起動してＵＳＢメモリ１５内の暗号化文書を復号する場合の復号プログラム２５３の処理を示すフローチャートである。
ＵＳＢメモリ１５内の暗号化文書を復号する場合、組織内のクライアントコンピュータ１２にコピーした復号プログラム２５３を起動する。
起動された復号プログラム２５３は、まず、ユーザが復号プログラム２５３の正当な使用権限を有しているかを確認するためにパスワードの入力を促す。
ユーザによってパスワードが入力されたならば、これを受付け、復号プログラム２５３内に埋め込んだパスワード２５３３と一致するか否かによってパスワードの認証を行い（ステップ１２０１、１２０２）、一致していた場合には認証成功とした後、復号プログラム２５３内に埋め込んである組織鍵２５３２を読み出し、この組織鍵２５３２の認証要求を認証サーバ１１に送信する（ステップ１２０３）。
認証サーバ１１のデータベース５５には、組織内で使用する組織鍵が記憶されているので、認証サーバ１１は復号プログラム２５３から送られてきた組織鍵２５３２とデータベース５５に記憶された組織鍵とが一致するか否かによって組織鍵２５３２の認証を行い、その結果を復号プログラム２５３に返す。

復号プログラム２５３は、認証サーバ１１からの認証結果が「認証成功」であった場合（ステップ１２０４）、当該復号プログラム２５３のコピー元の復号プログラム４３２と対になっている文書操作プログラム４３１のデバイス属性と当該復号プログラム２５３に埋め込んだデバイス属性２５３４が同じかどうかを判定し（ステップ１２０５）、同じでない場合には、他のデバイス属性のＵＳＢメモリが装着されていることになるので、エラー表示し（ステップ１２１２）、処理を終了する。
しかし、デバイス属性が一致している場合には、当該復号プログラム２５３のコピー元となった正当なＵＳＢメモリ１５が装着されているものと認定し、次に、当該復号プログラム２５３に埋め込まれたハードディスク属性２５３１が当該クライアントコンピュータのハードディスク属性と一致するかどうかを判定し（ステップ１２０６）、同じでない場合には、他のハードディスク上に不正にコピーされたものであるものと認定し、エラー表示し（ステップ１２１２）、処理を終了する。
しかし、ハードディスク属性が同じであった場合には、次に、図１０（ａ）で説明したように、ＵＳＢメモリ１５内の暗号化ログファイル４３４に格納された文書操作履歴情報を収集し、かつ収集元の暗号化ログファイル４３４の操作履歴情報を削除し（ステップ１２０７）、収集した操作履歴情報を認証サーバ１１に送信する（ステップ１２０８）。

次に、図１６のような画面１６０１をクライアントコンピュータ１２のディスプレイ２３に表示させ、ファイルメニューの「暗号化ファイルを開く」から復号対象の暗号化文書ファイル名の指定を受付け（ステップ１２０９）、その指定された暗号化文書ファイルを復号する（ステップ１２１０）。
この後、図１０（ｂ）で説明したように、暗号化文書ファイルを復号したことを示す操作履歴を認証サーバ１１に送信する（ステップ１２１１）。
復号プログラム２５３によって復号された平文の文書はハードディスク内に保存し、文書作成プログラム２５１によって任意の編集を行うことができる。

図１３及び図１４は、ＵＳＢメモリ１５内の文書操作制御プログラム４３１によって平文の文書をＵＳＢメモリ１５内に暗号化して保存したり、暗号化文書ファイルを復号して編集する場合の手順を示すフローチャートである。
まず、ＵＳＢメモリ１５を組織内のクライアントコンピュータ１２のＵＳＢポートに装着した後、当該ＵＳＢメモリ１５内の文書操作制御プログラム４３１を起動する。
起動された文書操作制御プログラム４３１は、まず、ユーザが文書操作制御プログラム４３１の正当な使用権限を有しているかを確認するためにパスワードの入力を促す。
ユーザによってパスワードが入力されたならば、これを受付け、文書操作制御プログラム４３１内に埋め込んだパスワード４３１３と一致するか否かによってパスワードの認証を行い（ステップ１３０１、１３０２）、一致していた場合には認証成功とした後、文書操作制御プログラム４３１内に埋め込んであるデバイス属性４３１２読み出し、このデバイス属性４３１２とＵＳＢメモリ１５に固有情報として設定してあるデバイス属性とが同じであるかを調べ（ステップ１３０３）、同じでない場合には、当該文書制御プログラム４３１は他のＵＳＢメモリから不正にコピーされたものであるものと認定し、エラー表示し（ステップ１３０７）、処理を終了する。

しかし、デバイス属性が同じである場合には、正当なＵＳＢメモリであるものと認定し、次に、文書操作制御プログラム４３１内に埋め込んである組織鍵４３１４を読み出し、その組織鍵４３１４の認証要求を認証サーバ１１に送信する（ステップ１３０４）。
認証サーバ１１のデータベース５５には、組織内で使用する組織鍵が記憶されているので、認証サーバ１１は文書操作制御プログラム４３１から送られてきた組織鍵４３１４とデータベース５５に記憶された組織鍵とが一致するか否かによって組織鍵４３１４の認証を行い、その結果を文書操作制御プログラム４３１に返す。
文書操作制御プログラム４３１は、認証サーバ１１からの認証結果が「認証成功」であった場合（ステップ１３０５）、ＵＳＢメモリ１５を装着したクライアントコンピュータは組織内のクライアントコンピュータであるものと認定し、そうでない場合には組織外のクライアントコンピュータであるものと認定する。
そして、これらの認定結果を受けて、暗号化文書ファイルを開いた際のファイルメニューを変更する。すなわち、クリップボードへのコピー禁止、クリップボードへの画面コピー禁止、印刷抑止、マクロ機能抑止が可能になるようにファイル操作メニュー項目を変更し、かつ保存先はＵＳＢメモリに限定されるようにメニュー項目を追加する（ステップ１３０６）。
これにより、ＵＳＢメモリ１５による暗号化文書の持ち出しが可能な状態になる。

次に、ファイル操作のメニューを表示し（ステップ１３０８）、操作対象のメニューを受付ける（ステップ１３０９）。
操作対象のメニューが暗号化ファイルの読み込みであった場合（ステップ１３１０）、ＵＳＢメモリ１５内の暗号化文書ファイルの一覧を取得して表示し（ステップ１３１１）、その中の暗号化文書ファイルの指定を受付ける（ステップ１３１２）。そして、指定された暗号化文書ファイルをＵＳＢメモリ１５から読み出し（ステップ１３１３）、復号機能によって復号し、ファイル操作メニュー項目が変更された文書作成プログラム２５１の文書編集画面に展開して表示させる（ステップ１３１４）。
そして、このときに復号した暗号化文書ファイルの操作履歴を、上述のステップ１３０５により組織内のクライアントコンピュータであると認定された場合は、認証サーバ１１に送信し、組織外のクライアントコンピュータであると認定された場合は、ＵＳＢメモリ１５内に格納する（ステップ１３１５）。

一方、ユーザによって選択されたファイル操作メニューがクライアントコンピュータ１２の文書作成プログラム２５１によって作成した平文の文書ファイルをＵＳＢメモリ１５に保存するメニュー項目であった場合（ステップ１３１６）、その平文文書ファイルの指定操作を受付け（ステップ１３１７）、指定された平文文書ファイルをハードディスク２５内から読み出し（ステップ１３１８）、ファイル操作メニュー項目が変更された文書作成プログラム２５１の文書編集画面に展開して表示させる（ステップ１３１９）。
そして、このときに表示した文書ファイルの操作履歴を、上述のステップ１３０５により組織内のクライアントコンピュータであると認定された場合は、認証サーバ１１に送信し、組織外のクライアントコンピュータであると認定された場合は、ＵＳＢメモリ１５内に格納する（ステップ１３２０）。
編集画面に表示した文書の編集が終了し、ユーザによってＵＳＢメモリ１５への保存操作が指定された場合には（ステップ１３２１）、編集後の文書を暗号化してＵＳＢメモリ１５内に保存させる（ステップ１３２２）。そして、保存した暗号化文書ファイルに関する操作履歴情報を、上述のステップ１３０５により組織内のクライアントコンピュータであると認定された場合は、認証サーバ１１に送信し、組織外のクライアントコンピュータであると認定された場合は、ＵＳＢメモリ１５内に格納して終了する（ステップ１３２３）。

なお、図１３および図１４では、組織内のクライアントコンピュータ１２にＵＳＢメモリを装着し、文書を暗号化して保存したり、暗号化された文書を開いて編集する場合について説明したが、コンピュータ自身を起動する場合に、認証サーバ１１による認証を受けて起動されるようになっている携帯型コンピュータを組織外に持ち出してＵＳＢメモリを使用する場合も全く同様の手順でＵＳＢメモリ１５を使用することができる。
また、組織外のコンピュータ１６にＵＳＢメモリ１５を装着した場合でも、文書操作制御プログラム４３１による暗号化保存だけが許されるため、例えば社内で作成した文書ファイルをＵＳＢメモリ１５に保存して自宅に持ち帰り、自宅のコンピュータで編集したとしても、自宅のコンピュータに社内の機密情報を置き忘れてしまうことがなくなり、自宅コンピュータから機密情報が漏洩してしまうのを未然に防止することができる。

以上のように、本実施形態においては、ＵＳＢメモリに組織内の機密情報を暗号化して持ち出しを許可し、外部での編集を可能にする一方で、編集後の文書の保存先をＵＳＢメモリに制限し、かつ暗号化して保存するため、組織外のコンピュータで文書を編集したとしてもそのコンピュータ内に機密情報を置き忘れてしまうことがなくなり、組織外のコンピュータから機密情報が漏洩してしまうのを未然に防止することができる。
また、ＵＳＢメモリに保存した暗号化文書ファイルを開く際には、パスワード認証を実施するため、ＵＳＢメモリ１５を紛失した場合でも暗号化文書ファイルを開くことができず、機密情報の漏洩を防止することができる。
さらに、組織鍵認証を実施するため、組織が認証したＵＳＢメモリ以外では復号プログラムを起動できず、平文の文書が組織外のコンピュータに保存されて漏洩してしまうことを防止することができる。

本発明を適用した情報システムの実施の形態を示すシステム構成図である。組織内のクライアントコンピュータの概要を示すブロック図である。組織外のクライアントコンピュータの概要を示すブロック図である。リムーバブルメディアとして使用するＵＳＢメモリの構成を示す機能ブロック図である。組織内の認証サーバの概要を示すブロック図である。ＵＳＢメモリによって文書を暗号化して持ち出す例を示す図である。ＵＳＢメモリによって持ち出した文書を自宅コンピュータで編集する利用形態を示す図である。ＵＳＢメモリからクライアントコンピュータに復号プログラムをコピーし、そのコピーした復号プログラムの利用形態を示す図である。ＵＳＢメモリを用いた文書操作履歴を記録する契機を示す図である。ＵＳＢメモリを用いた文書操作履歴を記録する契機を示す図である。ＵＳＢメモリに保存された復号プログラムコピーツールによって復号プログラムをクライアントコンピュータにコピーする手順を示すフローチャートである。復号プログラムによって暗号化文書ファイルを復号する手順を示すフローチャートである。ＵＳＢメモリ内の文書操作制御プログラムによって文書を暗号化して保存したり、暗号化文書を編集可能に復号する手順を示すフローチャートである。図１３の続きを示すフローチャートである。ＵＳＢメモリ内の文書操作制御プログラムによって暗号化文書を復号した際にファイル操作メニューが変更されることを説明する図である。復号プログラムによって暗号化文書を復号する際に表示されるファイル操作メニューの例を示す図である。

符号の説明

１１認証サーバ
１２〜１４組織内のクライアントコンピュータ
１５ＵＳＢメモリ
１６組織外のクライアントコンピュータ
２５１文書作成プログラム
２５２復号プログラム
２５３１ハードディスク属性
２５３２組織鍵
２５３３パスワード
２５３４デバイス属性
４３１文書操作制御プログラム
４３２復号プログラム
４３３復号プログラムコピーツール
４３４暗号化ログファイル
４４１暗号化文書ファイル

Claims

機密情報を管轄する組織に特有の組織鍵を埋め込んだ暗号化機密情報の復号プログラムおよび文書操作制御プログラムを記憶させたリムーバブルメディアを作成し、そのリムーバブルメディアに記憶した復号プログラムを前記組織内のコンピュータに組み込む場合に当該復号プログラムに埋め込んだ組織鍵が前記組織に特有の組織鍵に該当するかを前記組織の認証サーバにおいて認証し、前記組織鍵が前記組織に特有の組織鍵に該当する場合にのみ前記復号プログラムの組み込みを許可する第１のステップと、
前記組織内のコンピュータに組み込んだ前記復号プログラムを起動する場合に、当該復号プログラムに埋め込んだ組織鍵が前記組織に特有の組織鍵に該当するかを前記組織の認証サーバにおいて認証し、前記組織鍵が前記組織に特有の組織鍵に該当する場合にのみ当該復号プログラムを起動させる第２のステップと、
前記リムーバブルメディアに記憶させた暗号化機密情報を前記起動した復号プログラムによって復号し、その復号した機密情報を前記コンピュータの文書作成プログラムにより編集する際に、編集した機密情報の保存先として前記リムーバブルメディア以外は選択できないように前記文書操作制御プログラムによって前記文書作成プログラムの文書編集メニューを変更する第３のステップと、を備えることを特徴とする情報漏洩防止方法。
前記第３のステップにおいて、前記復号プログラムによって暗号化機密情報を復号する際に、前記文書操作制御プログラム及び復号プログラムに予め埋め込まれた属性情報が当該リムーバブルメディアに固有の属性情報と同一あるか否かを判定し、同一であった場合のみ前記暗号化機密情報を復号し、同一でなければエラー処理するステップをさらに備えることを特徴する請求項１に記載の情報漏洩防止方法。
前記第３のステップにおいて、前記文書操作制御プログラム及び復号プログラムに予め埋め込まれた属性情報が当該リムーバブルメディアに固有の属性情報と同一であった場合に前記暗号化機密情報を復号した後、前記復号プログラムが前記コンピュータに組み込まれる際に前記復号プログラムに埋め込まれた前記コンピュータのハードディスク属性と当該コンピュータのハードディスク属性とが同一であるか否かを判定し、同一であった場合には当該リムーバブルメディアに格納された文書操作履歴情報を収集し、その収集した文書操作履歴情報を前記認証サーバに送信し、同一でなければエラー処理するステップをさらに備えることを特徴とする請求項２に記載の情報漏洩防止方法。
機密情報を管轄する組織に特有の組織鍵を埋め込んだ暗号化機密情報の復号プログラムおよび文書操作制御プログラムを記憶させたリムーバブルメディアを作成し、そのリムーバブルメディアに記憶した復号プログラムを前記組織内のコンピュータに組み込む場合に当該復号プログラムに埋め込んだ組織鍵が前記組織に特有の組織鍵に該当するかを前記組織の認証サーバにおいて認証し、前記組織鍵が前記組織に特有の組織鍵に該当する場合にのみ前記復号プログラムの組み込みを許可する第１の手段と、
前記組織内のコンピュータに組み込んだ前記復号プログラムを起動する場合に、当該復号プログラムに埋め込んだ組織鍵が前記組織に特有の組織鍵に該当するかを前記組織の認証サーバにおいて認証し、前記組織鍵が前記組織に特有の組織鍵に該当する場合にのみ当該復号プログラムを起動させる第２の手段と、
前記リムーバブルメディアに記憶させた暗号化機密情報を前記起動した復号プログラムによって復号し、その復号した機密情報を前記コンピュータの文書作成プログラムにより編集する際に、編集した機密情報の保存先として前記リムーバブルメディア以外は選択できないように前記文書作成プログラムの文書編集メニューを変更する第３の手段と、を備えることを特徴とする情報漏洩防止システム。
前記第３の手段が、前記復号プログラムによって暗号化機密情報を復号する際に、前記文書操作制御プログラム及び復号プログラムに埋め込まれた属性情報が当該リムーバブルメディアに固有の属性情報と同一あるか否かを判定し、同一であった場合のみ前記暗号化機密情報を復号し、同一でなければエラー処理する手段をさらに備えることを特徴する請求項４に記載の情報漏洩防止システム。
前記第３の手段が、前記文書操作制御プログラム及び復号プログラムに予め埋め込まれた属性情報が当該リムーバブルメディアに固有の属性情報と同一であった場合に前記暗号化機密情報を復号した後、前記復号プログラムが前記コンピュータに組み込まれる際に前記復号プログラムに埋め込まれた前記コンピュータのハードディスク属性と当該コンピュータのハードディスク属性とが同一であるか否かを判定し、同一であった場合には当該リムーバブルメディアに格納された文書操作履歴情報を収集し、その収集した文書操作履歴情報を前記認証サーバに送信し、同一でなければエラー処理する手段をさらに備えることを特徴とする請求項５に記載の情報漏洩防止システム。