JP4717464B2 - 情報処理装置、情報処理方法及びプログラム - Google Patents

Description

本発明は、情報処理装置、情報処理方法及びプログラムに関する。

近年、ネットワークを経由して様々なＰＣ（パーソナル コンピュータ）や入出力装置（印刷装置や複合機など）で電子文書が取り扱われ、プリンタでの印刷や配布、個人ＰＣへの保存やＵＳＢストレージへの保存や持ち出し等、機密情報が外部に流出されうる機会が増え、さらに流出経路の特定も困難になってきている。そのため情報漏洩を防ぐセキュリティが重要視され、様々な取り組みが行われている。

その取り組みとして、例えば電子文書自体を暗号化しアクセス権を有する利用者のみアクセス出来る仕組みや、ネットワークの伝送データを暗号化して送信者と受信者で解読キーを共有する仕組みや、印刷装置自体のアクセスをユーザＩＤやパスワードで管理し、認証が取れた場合のみ印刷する仕組みなどが存在する。

しかしながら、上記の仕組みは局所的な処理に対するセキュリティであり、様々な仕組みを組み合わせてもアクセス権設定者の負荷が増大するという問題がある。また、上記の仕組みの組み合わせ方によっては、設定漏れによるセキュリティホールが発生するという問題がある。更に、アクセス権所有者が電子文書を持ち出すこと等による情報漏洩を防ぐことは困難であった。

そのため、ネットワークに接続されたＰＣ、入出力装置およびそこで取り扱われる電子文書をセキュリティ管理サーバにて一元管理するセキュアドキュメントシステムという仕組みが注目されている。このセキュアドキュメントシステムとして、例えば、暗号化された電子文書に対するアクセス権管理を行うセキュリティ管理サーバを有し、ネットワークに接続されたＰＣや入出力装置が暗号化された電子文書にアクセスする為には適時セキュリティ管理サーバから認証を得なければならないというものが開示されている（例えば、特許文献１参照）。

これにより、暗号化された電子文書へアクセスするにはセキュリティ管理サーバに接続されている必要があり、仮に電子文書をネットワーク外に持ち出されても認証が得られないため一切のアクセスは行えず、また、その電子文書にアクセスするＰＣおよびアプリケーション、入出力装置のアクセス状況やアクセス履歴を全て一元的に管理することが出来る。

特開２００４−２８０２２７号公報

しかしながら、特許文献１に記載のセキュアドキュメントシステムの特性である暗号化された電子文書へアクセスするにはセキュリティ管理サーバに接続されている必要がある。このため、会議室での打合せや出張先のようにセキュリティ管理サーバに接続出来ない環境であっても、暗号化された電子文書へアクセスしたいという要求に対しては応えることが出来ないという問題がある。

本発明は、上述した事情を考慮してなされたもので、管理サーバに接続出来ない環境であっても、セキュアデータにアクセスすることを可能とし、かつ、セキュアデータの秘匿性（セキュリティ）を維持することを可能とすることを目的とする。

この発明は、上述した課題を解決すべくなされたもので、管理サーバから仮アクセス権が有効な日時、セキュアデータにアクセスできる回数、及び編集の禁止又は印刷の禁止が定められた制限情報が付与された仮アクセス権を取得し、取得した仮アクセス権を格納するセキュアデータを処理する情報処理装置であって、管理サーバからセキュアデータに対する作業認証が取得できるか否かを判別する第１判別手段と、前記第１判別手段で管理サーバから作業認証が取得できないと判別された場合、セキュアデータに仮アクセス権が存在するか判別する第２判別手段と、前記第２判別手段でセキュアデータに仮アクセス権が存在しないと判定された場合、セキュアデータへのアクセスを不可とし、前記第２判別手段でセキュアデータに仮アクセス権が存在すると判定された場合、セキュアデータの編集時にセキュアデータの仮データ部に実データ部に対する編集差分内容及び処理履歴を格納する格納手段と、前記第１判別手段で管理サーバから作業認証が取得できると判別された場合、セキュアデータの仮データ部にデータが存在するか判別する第３判別手段と、前記第３判別手段でセキュアデータの仮データ部にデータが存在すると判定された場合、セキュアデータの実データ部に仮データの前記編集差分内容を反映させ、前記仮データ部の前記処理履歴を管理サーバに送信し、前記仮データ部のデータをクリアし、前記実データ部を変更し、前記第３判別手段でセキュアデータの仮データ部にデータが存在しないと判定された場合、セキュアデータの実データ部を変更する変更手段と、を有する。

本発明によれば、管理サーバに接続出来ない環境であっても、セキュアデータにアクセスすることを可能とし、かつ、セキュアデータの秘匿性（セキュリティ）を維持することを可能とすることができる。

以下、図面を参照して本発明の実施形態について詳細に説明する。
（第一の実施形態）
まず、本発明の第一の実施形態としてホスト装置（情報処理装置）とセキュリティ管理サーバから構成される文書管理システム（データ管理システム）について説明する。本実施形態における文書管理システムは、セキュアドキュメントシステムを構築している。

図１は、本発明の第一の実施形態における文書管理システムの概略構成を示す図である。図１に示す文書管理システムは、セキュア出力装置５と、セキュアアプリケーション３を搭載するホスト装置１と、セキュア入力装置６と、セキュア出力装置５に接続されたセキュリティ管理サーバ４により構成される。また、ホスト装置１、セキュア出力装置５、及びセキュア入力装置６は、ネットワーク７に接続されセキュアデータ２にアクセスすることが出来る。ここで、セキュアデータ２とは、例えば暗号化されて特定ユーザにのみアクセスを許可された文書データであり、本実施形態ではネットワーク７上で複数のセキュアデータ２を参照できるとする。

尚、図１においてはセキュア出力装置５にセキュリティ管理サーバ４が直接接続されている構成であるが、これに限定されるものではなく、セキュリティ管理サーバ４は、ネットワーク７に接続されていても、セキュア入力装置６やホスト装置１に接続されていてもよい。また、図１においてはホスト装置１、セキュア出力装置５、及びセキュア入力装置６が、ネットワーク７に接続されている構成であるが、これに限定されるものではなく、ホスト装置１、セキュア出力装置５、及びセキュア入力装置６のいずれか一つが接続されている構成でもよい。この場合、また、セキュアアプリケーション３は必ずしもホスト装置１に搭載されている必要はなく、セキュア出力装置５やセキュア入力装置６に搭載されていてもよい。

上述したセキュアアプリケーション３を搭載するホスト装置１、セキュア出力装置５、及びセキュア入力装置６は、暗号化された文書データであるセキュアデータ２にセキュリティ管理サーバ４からの認証情報を元にアクセス出来る機能を有する。なお、セキュリティ管理サーバ４はセキュリティ管理データ８を格納しており、認証発行の際のアクセス権確認等は、このセキュリティ管理データ８を参照して行う。

図２は、本実施形態における文書管理システムのセキュアデータ２の内部構造例を示す図である。図２に示すように、セキュアデータ２は暗号化されており、少なくともデータＩＤ部２−１と実データ部２−２の２種類の領域を持つ。このデータＩＤ部２−１は、セキュリティ管理サーバ４で管理される単位でデータＩＤ部２−１が割り当てられ、必ずしもセキュアデータ２のファイル名と１対１に対応する必要はなく、ファイル名が同じであっても異なるデータＩＤが割り当てうる。実データ部２−２は文書、画像、映像等が有り得るが、セキュアデータ２自体が暗号化されているため、セキュアアプリケーション３（ホスト装置１）、セキュア出力装置５、セキュア入力装置６、及びセキュリティ管理サーバ４以外の装置やアプリケーションでは実データ部２−２にアクセス（又は復号化や再生）することは出来ない。

図３は、本実施形態における文書管理システムのセキュリティ管理サーバ４に格納されたセキュリティ管理データ８の一例を示す図である。セキュリティ管理サーバ４には、セキュアデータ２に１対１で対応されたセキュリティ管理データ８が格納されている。図３に示すように、セキュリティ管理データ８は、データＩＤ部３−１、アクセス権管理部３−２、アクセスログ格納部３−３と基本的には３種類の領域を持つ。本実施形態のセキュリティ管理データ８は、文書管理システム内に存在するデータＩＤが割り当てられた全てのセキュアデータ２と同じ数だけ存在する。

データＩＤ部３−１は、セキュアデータ２のデータＩＤ部２−１に対応している。アクセス権管理部３−２は、セキュアデータ２に対するアクセス権を管理する情報を格納する。アクセスログ格納部３−３は、セキュアアプリケーション３、セキュア出力装置５、及びセキュア入力装置６のセキュアデータ２に対するアクセス状況をログとして格納する。

また、図３に示すように、アクセス権管理部３−２には通常、管理者等が設定したアクセス権管理テーブル３−４がリンクされている。このアクセス権管理テーブル３−４にはユーザＩＤ３−５毎のアクセス許可種別３−６が登録されている。セキュリティ管理サーバ４は、アクセス権管理部３−２にリンクされるアクセス権管理テーブル３−４の情報を基に、アクセス権を定める。なお、アクセス許可種別３−６とは、ユーザＩＤで特定されるユーザに可能な（又は許可する）処理内容に関する情報である。具体的には、各ユーザに対して、セキュアデータ２の編集、コピー、表示や印刷といった処理を可能とするか否かに関する情報である。

図４は、本実施形態における文書管理システムのセキュリティ管理サーバ４と、セキュアアプリケーション３、セキュア出力装置５、及びセキュア入力装置６との間で行われる認証処理の概要を示す図である。

図４において、ユーザが編集や印刷等、暗号化されたセキュアデータ２に対して作業を行いたい場合、ユーザは、セキュアアプリケーション３あるいはセキュア出力装置５やセキュア入力装置６に行いたい作業に対する作業指示４−１を入力する。具体的には、作業指示４−１として、作業内容４−２に関する情報と、該当セキュアデータ２を指示すると共に、ユーザを特定するユーザＩＤ４−３も合わせて指定する。尚、以下の説明では、セキュアアプリケーション３を備えるホスト装置１のユーザが、作業指示４−１を入力したとして、セキュアアプリケーション３の処理として説明する。もちろん、図４に示すようにセキュア出力装置５やセキュア入力装置６でも、同様の処理が可能である。

次に、セキュアアプリケーション３は、ユーザの入力によりユーザＩＤ４−３、セキュアデータ２を特定する情報（以下、第１の情報とする）、作業内容４−２を受けると、第１の情報により特定されたセキュアデータ２のデータＩＤ部２−１からデータＩＤを抽出する（４−４）。次に、セキュアアプリケーション３は、セキュリティ管理サーバ４に作業認証依頼を行う（４−５）。このときセキュアアプリケーション３は、作業内容４−２、ユーザＩＤ４−３、及び上記（４−４）の処理で抽出されたデータＩＤ４−６を、セキュリティ管理サーバ４に渡す。

セキュリティ管理サーバ４は、それらの情報と、セキュリティ管理データ８のアクセス権管理部３−２からアクセス権を確認する（４−７）。作業内容４−２に対してアクセス権が適切であればアクセス許可を行い（４−８）、セキュアアプリケーション３に認証キー４−９を発行する。

認証キー４−９を受信することで認証が受けられたセキュアアプリケーション３は、該当セキュアデータに対して作業内容４−２に応じた作業を行い（４−１０）、作業完了通知を行う（４−１１）。この作業完了通知は、ユーザとセキュリティ管理サーバ４の両方に対して行われる処理であり、セキュアアプリケーション３は、セキュリティ管理サーバ４へはユーザＩＤ４−３、データＩＤ４−６、及び作業完了通知４−１２を送信する。これにより、セキュリティ管理サーバ４は、セキュリティ管理データ８のアクセスログ格納部３−３において、アクセスログの更新を行う（４−１３）。また、セキュアアプリケーション３は、ユーザには作業管理通知４−１２の情報を通知し、作業を施したセキュアデータ２を発行することで、ユーザが指示した作業が完了する（４−１４）。

次に、図２に示したセキュアデータ２に対して、本実施形態の特徴となる仮アクセス権（利用制限情報）を埋め込んだセキュアデータ２について説明する。尚、本実施形態においてユーザは、ネットワーク７上に存在する複数のセキュアデータ２の内、任意のセキュアデータ２に対して仮アクセス権を埋め込むことができるとする。

図５は、本実施形態の文書管理システムにおけるセキュアデータ２の内部構造の一例を示す図である。図５のセキュアデータ２を構成するデータＩＤ部２−１、実データ部２−２は図２で示したものと同様である。また、図５のセキュアデータ２は、図２と比べて仮アクセス権格納部５−１が存在する点に特徴がある。仮アクセス権格納部５−１に格納される情報は、図３のアクセス権管理テーブル３−４におけるユーザＩＤ３−５とアクセス許可種別３−４と同様の情報であり、該当セキュアデータ２に対しユーザ毎にどのような処理を行うことが出来るかを示す情報である。

この仮アクセス権格納部５−１に格納する情報（以下、仮アクセス権とする）は、セキュアアプリケーション３あるいはセキュア入出力装置５，６がセキュリティ管理サーバ４に要求することにより入手し、セキュアデータ２に格納するものである。仮アクセス権は、セキュリティ管理サーバ４がアクセス権管理テーブル３−４の情報を元に作成、発行するものであるが、基本的にはアクセス許可種別３−６に対し制限情報を付与したものである。その制限情報とは、その仮アクセス権が有効な日時、セキュアデータ２にアクセス出来る回数、編集の禁止や印刷の禁止等を定めた情報である。すなわち、仮アクセス権とは、有限のアクセス権とも言うことが出来る。

この仮アクセス権は、セキュアアプリケーション３、セキュア出力装置５、及びセキュア入力装置６が、セキュリティ管理サーバ４から認証が取れない状況（例えば通信できない状況）にてセキュアデータ２対して処理可能とするために必要である。つまり、セキュリティ管理サーバ４から認証の取れる状況下でセキュアアプリケーション３は、セキュリティ管理サーバ４から仮アクセス権を取得し、仮アクセス権をセキュアデータ２の仮アクセス権格納部５−１に格納する。これにより、セキュリティ管理サーバ４に接続し認証を取ることの出来ない環境（会議室や出張先等でネットワークに接続できない環境）においてもセキュアデータ２に含まれる仮アクセス権格納部５−１の仮アクセス権の条件を満たすことで、セキュアデータ２にアクセスすることが出来る。

尚、仮アクセス権は、必ずしもアクセス権管理テーブル３−４の全てユーザＩＤ３−５に対するアクセス許可種別に関する情報を含む必要はなく、必要に応じたユーザに対するアクセス許可種別に関する情報（仮アクセス権）のみを格納することも可能である。また、セキュアデータ２に対して仮アクセス権を埋め込むか否かをユーザが選択するタイミングとしては、例えば、セキュアデータ２の編集後の保存時に仮アクセス権を付与するか否かをユーザに選択させるようにしてもよい。また、セキュアデータ２を作成して保存する際にも、仮アクセス権を付与するか否かをユーザに選択させるようにしてもよい。

図６は、本実施形態の文書管理システムにおけるセキュアデータ処理を示すフローチャートである。尚、以下の説明においては、セキュアアプリケーション３がセキュアデータ２に対する処理として説明するが、セキュア出力装置５及びセキュア入力装置６においても同様の処理が可能である。また、図４の処理（４−４）、（４−５）に対応する部分には、その旨を明示している。

図６に示すように、ユーザからセキュアデータ２に対する作業指示４−１を受けると、セキュアアプリケーション３は、ステップＳ６−１において、セキュアデータ２のデータＩＤ部２−１からデータＩＤを抽出し（４−４）、セキュリティ管理サーバ４へ作業認証依頼を発行する（４−５）。

次に、ステップＳ６−２において、セキュアアプリケーション３は、セキュリティ管理サーバ４から認証が取得できるか否かを判断する。このセキュリティ管理サーバ４から認証が取得できるか否かとは、セキュリティ管理サーバ４と通信可能であるか否かの判断である。ここで、認証を取得できると判断した場合には、セキュアアプリケーション３は、図４に示す処理と同様に、セキュリティ管理サーバ４から認証キーを入手し（ステップＳ６−３）、その認証キーに従ったアクセス権限を設定する（ステップＳ６−４）。これにより、ステップＳ６−８において、セキュアアプリケーション３は、アクセス権限に従って作業内容４−２に応じたセキュアデータ２への編集や印刷、表示といった処理を行う。

また、通信不可能等の原因でセキュリティ管理サーバ４から認証が取得できないと判断した場合、セキュアアプリケーション３は、ステップＳ６−５において、セキュアデータ２の仮アクセス権格納部５−１に仮アクセス権が存在するか否かを判断する。ここで、仮アクセス権が存在しないと判断した場合には、セキュアアプリケーション３は、セキュアデータ２へのアクセスを不可とする。このため、ユーザはセキュアデータ２に対する編集処理等を行うことは出来ない。また、仮アクセス権が存在すると判断した場合は、セキュアアプリケーション３は、ステップＳ６−７において、その仮アクセス権に応じたアクセス権限を設定する。以上により、上述したように、ステップＳ６−８において、セキュアアプリケーション３は、アクセス権限に従って作業内容４−２に応じたセキュアデータ２への編集や印刷、表示といった処理を行う。

このように、ユーザからのセキュアデータ２に対する作業指示４−１に対して、セキュアアプリケーション３は、ステップＳ６−４又はＳ６−７で設定したアクセス権限を優先して、そのアクセス権限に従った範囲内で作業内容４−２に応じた処理を行う。以上に説明したように、本実施形態の文書管理システムにおいては、セキュリティ管理サーバ４に接続出来ない環境であっても、セキュアデータ２にアクセスが可能であり、かつ、仮アクセス権で制限することでセキュアデータ２に対するセキュリティを維持することが可能である。また、仮アクセス権は、セキュリティ管理サーバ４が発行するものであるので、セキュアデータ２に対するセキュリティ管理サーバ４による一元管理を行うことができる。

図７は、本実施形態の文書管理システムにおける、セキュアアプリケーション３、セキュア出力装置５、及びセキュア入力装置６が、セキュリティ管理サーバ４から仮アクセス権を入手し、セキュアデータ２に格納するまでの処理を示すフローチャートである。尚、以下の説明においては、セキュアアプリケーション３がセキュアデータ２に対する処理として説明するが、セキュア出力装置５及びセキュア入力装置６においても同様の処理が可能である。

セキュアアプリケーション３は、ユーザから持ち出し用セキュアデータ作成指示を受けると、該当セキュアデータ２のデータＩＤ部２−１からデータＩＤを抽出し、セキュリティ管理サーバ４へ仮アクセス権依頼を発行する（ステップＳ７−１）。この際、ユーザＩＤを更に指定して特定ユーザのみを対象としてもよい。これにより、セキュリティ管理サーバ４は、セキュリティ管理データ８を参照してアクセス許可種別３−６を基に仮アクセス権を生成しセキュアアプリケーション３へ返信する。次に、セキュアアプリケーション３は、セキュリティ管理サーバ４から仮アクセス権を入手する（ステップＳ７−２）。次に、セキュアアプリケーション３は、入手した仮アクセス権をセキュアデータ２の仮アクセス権格納部５−１に格納する。以上の処理のより、仮アクセス権が格納されたセキュアデータ２が、持ち出し用セキュアデータとして生成される。

（第二の実施形態）
上述した第一の実施形態ではセキュリティ管理サーバ４からの認証が取れない環境においても仮アクセス権を使用することによってセキュアデータ２に対する処理が可能となったが、仮アクセス権を用いて処理した内容を図３のセキュリティ管理データ８のアクセスログ格納部３−３に反映させていなかった。第一の実施形態ではアクセスログ格納部３−３に、単にセキュアデータ２が持ち出されて、その後、戻されたというアクセスログが残るだけである。特に、仮アクセス権を用いてセキュアデータ２が編集された場合に、その後、セキュリティ管理サーバ４に、編集後のセキュアデータ２を戻した時に、その編集内容を把握できなかった。第二の実施形態における文書管理システムにおいては、セキュリティ管理サーバ４において、仮アクセス権を用いて処理されたセキュアデータ２に関する編集履歴等の把握や管理を行うことができる。

図８は、第二の実施形態の文書管理システムにおけるセキュアデータの内部構造の一例を示したものである。図８のセキュアデータ２１は、図５のセキュアデータ２と比べて、仮データ部８−１が追加された点が異なり、それ以外のデータＩＤ部２−１、実データ部２−２、及び仮アクセス権格納部５−１は同様である。ここで便宜上、実データ部２−２を管理エリア、仮データ部８−１をＬｏｃａｌ（ローカル）エリアとして区別する。管理エリアは、セキュアアプリケーション３、セキュア出力装置５、及びセキュア入力装置６がセキュリティ管理サーバ４と接続され、認証が取れる状況でセキュアデータ２１に対する編集がなされる領域である。また、Ｌｏｃａｌエリアは、仮アクセス権を用いて編集された場合に編集の差分内容が格納されたり、仮アクセス権を用いて印刷処理等を行った場合はその作業履歴が格納されたりする領域である。

セキュアアプリケーション３、セキュア出力装置５、及びセキュア入力装置６が仮アクセス権を用いてセキュアデータ２１に対して処理する場合は、実データ部２−２のデータに仮データ部８−１の編集差分内容を反映したものをデータとして扱い、また編集作業や何らかの作業が行われた場合はその差分内容や作業履歴を仮データ部８−１に格納する。なお、既に編集差分内容が存在するセキュアデータ２１に対し、仮アクセス権を用いてさらに編集を行う場合は、既に存在する編集差分内容を変更して良い。

図９は、第二の実施形態の文書管理システムにおけるセキュアデータ処理を示すフローチャートである。尚、図９のステップＳ９−１からＳ９−７までの処理は、第一の実施形態において図６に示したステップＳ６−１からＳ６−７までの処理と同様であり、説明を省略する。尚、以下の説明においては、セキュアアプリケーション３がセキュアデータ２１に対する処理として説明するが、セキュア出力装置５及びセキュア入力装置６においても同様の処理が可能である。

ステップＳ９−７の次の処理として、セキュアアプリケーション３は、ステップＳ９−８において、仮アクセス権に従って処理を行う際、編集時にはセキュアデータ２１の仮データ部８−１に実データ部２−２のデータに対する編集差分内容を格納し、更に、行った処理の処理履歴を仮データ部８−１に格納する。

また、ステップＳ９−４でセキュリティ管理サーバ４から入手した認証キーに従ったアクセス権限が設定された次の処理として、セキュアアプリケーション３は、セキュアデータ２の仮データ部８−１に編集差分内容や処理履歴といったデータが存在するか否かを判断する（ステップＳ９−９）。ここで、上記データが存在しないと判断した場合は、セキュアアプリケーション３は、ステップＳ９−１３に進み、セキュアデータ２に対する処理を行う。また、上記データが存在すると判断した場合は、セキュアアプリケーション３は、ステップＳ９−１０に進み、仮データ部８−１の編集差分内容を実データ部２−２のデータに反映させる処理を行う。次に、ステップＳ９−１１において、セキュアアプリケーション３は、処理履歴をセキュリティ管理サーバ４に送信する。次に、ステップＳ９−１２において、セキュアアプリケーション３は、仮データ部８−１の情報をクリア（削除）する。次に、ステップＳ９−１３に進み、セキュアアプリケーション３は、セキュアデータ２に対する処理を行う。

以上に説明したように、本実施形態の文書管理システムによれば、セキュリティ管理サーバ４に接続出来ない環境であっても、事前に仮アクセス権を入手することでセキュアデータ２に対する処理を行うことが可能となり利便性が増す。また仮アクセス権はセキュリティ管理サーバ４から入手することで、ネットワーク非接続環境も含めたセキュリティ管理の一元化が維持でき、さらに仮アクセス権に何らかの制限（アクセス可能な期間やアクセス可能な回数の制限など）を付けること等により、セキュリティ性を高め情報漏洩を防ぐことが可能となる。

また、上述した実施形態において図１に示したセキュアアプリケーション３、セキュア出力装置５、及びセキュア入力装置６が行う図９の各処理は、各処理の機能を実現する為のプログラムをメモリから読み出してＣＰＵ（中央演算装置）が実行することによりその機能を実現させるものである。図１０は、図１に示したホスト装置（情報処理装置）１のハードウェア構成例を示すブロック図である。図１０に示すようにホスト装置１は、ＣＰＵ１０、ＲＯＭ１２、ＲＡＭ１３、入力装置１４、表示装置１５、ハードディスク（ＨＤ）１８、外部記憶装置１９、及び通信装置２０から構成される。

尚、セキュア出力装置５、及びセキュア入力装置６のハードウェア構成も、図１０に示すホスト装置１のハードウェア構成とほぼ同様であるが、異なる点としては、セキュア出力装置５は、例えば印刷処理を行うハードウェア（プリンタ）を更に備え、セキュア入力装置６は、例えばスキャナ処理を行うハードウェア（スキャナ）を更に備える構成となる。ここで、プリンタは、文書データやイメージデータを印刷処理するための装置である。スキャナは、原稿である紙文書を読み取ってデジタル画像データ化する等の処理を行う装置である。

図１０において、ＣＰＵ１０は、例えばマイクロプロセッサであり、種々のプログラムを読み込み実行することで画像処理、文字処理、検索処理のための演算、論理判断等を行い、バス１１を介してバス１１に接続された各構成要素を制御する。バス１１は、バスであり、ＣＰＵ１０の制御対象である各構成要素を指示するアドレス信号、コントロール信号を転送する。また、各構成要素間のデータ転送を行う。

ＲＡＭ１３は、ＣＰＵ１０が読み書き可能なランダムアクセスメモリであって、各構成要素からの各種データの一次記憶として利用されるメモリである。ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１２は、読出し専用の不揮発性メモリである。ＲＯＭ１２は、例えばＣＰＵ１０が起動時に実行するブートプログラムを記憶する。具体的には、ＣＰＵ１０は、システム起動時にブートプログラムを実行すると、ハードディスク１８に記憶された制御プログラムやセキュアアプリケーション３のプログラムなどをＲＡＭ１３にロードして実行する。

入力装置１４は、キーボードや、マウス等で構成される。表示装置１５は、例えば液晶ディスプレイやＣＲＴ等である。ハードディスク１８は、ＣＰＵ１０により実行されるプログラム等を格納する記録媒体である。外部記憶装置１９は、例えばＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）メモリデバイス、ＩＣカード等のホスト装置１に着脱可能な記録媒体に対するインタフェースを有する装置である。尚、外部記憶装置１９は、上記構成に限定されるものではなく、例えばフレキシブルディスクやＣＤ、ＤＶＤ等のディスク状の記録媒体を設置してアクセスするためのドライブ等を備える構成でもよい。通信装置２０は、ネットワークコントローラであり、ネットワーク７と接続されており、ネットワーク７を介して外部との通信を行う装置である。

ＣＰＵ１０は、外部記憶装置１９を、上記ハードディスク１８と同様に利用することができる。ここで、外部の記録媒体の利用例としてＩＣカードの場合と、ＵＳＢストレージの場合について説明する。例えば、ＩＣカードにユーザを特定する情報であるユーザ情報を格納している場合に、ホスト装置１のセキュアアプリケーション３は、セキュリティ管理サーバ４に仮アクセス権を要求する際に、外部記憶装置１９によりＩＣカードからユーザ情報を参照して、そのユーザ情報をセキュリティ管理サーバ４に渡す。これにより、セキュリティ管理サーバ４は、そのユーザ情報で特定されるユーザのみ利用可能な仮アクセス権を生成して出力する。これにより、よりセキュアデータ２のセキュリティを向上できる。また、上記ＩＣカードの代わりに、ＵＳＢストレージに、仮アクセス権を格納しても同様の処理が可能である。

尚、上述した構成に限定されるものではなく、図１に示したセキュアアプリケーション３、セキュア出力装置５、及びセキュア入力装置６が行う図９の各処理の全部または一部の機能を専用のハードウェアにより実現してもよい。また、上述したメモリは、光磁気ディスク装置、フラッシュメモリ等の不揮発性のメモリや、ＣＤ−ＲＯＭ等の読み出しのみが可能な記録媒体、ＲＡＭ以外の揮発性のメモリ、あるいはこれらの組合せによるコンピュータ読み取り、書き込み可能な記録媒体より構成されてもよい。

また、図１に示したセキュアアプリケーション３、セキュア出力装置５、及びセキュア入力装置６が行う図９の各処理の機能を実現する為のプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより各処理を行っても良い。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。具体的には、記憶媒体から読み出されたプログラムが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書きこまれた後、そのプログラムの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含む。

また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。

また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記プログラムは、前述した機能の一部を実現する為のものであっても良い。さらに、前述した機能をコンピュータシステムに既に記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。

また、上記のプログラムを記録したコンピュータ読み取り可能な記録媒体等のプログラムプロダクトも本発明の実施形態として適用することができる。上記のプログラム、記録媒体、伝送媒体およびプログラムプロダクトは、本発明の範疇に含まれる。
以上、この発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。

本発明の第一の実施形態における文書管理システムの概略構成を示す図である。 本実施形態における文書管理システムのセキュアデータ２の内部構造例を示す図である。 本実施形態における文書管理システムのセキュリティ管理サーバ４に格納されたセキュリティ管理データ８の一例を示す図である。 本実施形態における文書管理システムで行われる認証処理の概要を示す図である。 本実施形態の文書管理システムにおけるセキュアデータ２の内部構造の一例を示す図である。 本実施形態の文書管理システムにおけるセキュアデータ処理を示すフローチャートである。 本実施形態の文書管理システムにおける、セキュリティ管理サーバ４から仮アクセス権を入手し、セキュアデータ２に格納するまでの処理を示すフローチャートである。 第二の実施形態の文書管理システムにおけるセキュアデータの内部構造の一例を示す図である。 第二の実施形態の文書管理システムにおけるセキュアデータ処理を示すフローチャートである。 図１に示したホスト装置（情報処理装置）１のハードウェア構成例を示すブロック図である。

符号の説明

１ ホスト装置
２ セキュアデータ
３ セキュアアプリケーション
４ セキュリティ管理サーバ
５ セキュア出力装置
６ セキュア入力装置
７ ネットワーク
８ セキュリティ管理データ
１０ ＣＰＵ（中央演算装置）
１２ ＲＯＭ
１８ ハードディスク
２１ セキュアデータ

Claims (4)

1. 管理サーバから仮アクセス権が有効な日時、セキュアデータにアクセスできる回数、及び編集の禁止又は印刷の禁止が定められた制限情報が付与された仮アクセス権を取得し、取得した仮アクセス権を格納するセキュアデータを処理する情報処理装置であって、
   管理サーバからセキュアデータに対する作業認証が取得できるか否かを判別する第１判別手段と、
   前記第１判別手段で管理サーバから作業認証が取得できないと判別された場合、セキュアデータに仮アクセス権が存在するか判別する第２判別手段と、
   前記第２判別手段でセキュアデータに仮アクセス権が存在しないと判定された場合、セキュアデータへのアクセスを不可とし、前記第２判別手段でセキュアデータに仮アクセス権が存在すると判定された場合、セキュアデータの編集時にセキュアデータの仮データ部に実データ部に対する編集差分内容及び処理履歴を格納する格納手段と、
   前記第１判別手段で管理サーバから作業認証が取得できると判別された場合、セキュアデータの仮データ部にデータが存在するか判別する第３判別手段と、
   前記第３判別手段でセキュアデータの仮データ部にデータが存在すると判定された場合、セキュアデータの実データ部に仮データの前記編集差分内容を反映させ、前記仮データ部の前記処理履歴を管理サーバに送信し、前記仮データ部のデータをクリアし、前記実データ部を変更し、前記第３判別手段でセキュアデータの仮データ部にデータが存在しないと判定された場合、セキュアデータの実データ部を変更する変更手段と、
   を有する情報処理装置。
2. 前記第１判別手段で管理サーバから作業認証が取得できると判別された場合、前記管理サーバから作業認証を入手し、セキュアデータの実データ部に入手した作業認証に従ったアクセス権を設定する設定手段を更に有し、
   前記第３判別手段は、前記設定手段で実データ部にアクセス権が設定されたセキュアデータの仮データ部にデータが存在するか判別する請求項１記載の情報処理装置。
3. 管理サーバから仮アクセス権が有効な日時、セキュアデータにアクセスできる回数、及び編集の禁止又は印刷の禁止が定められた制限情報が付与された仮アクセス権を取得し、取得した仮アクセス権を格納するセキュアデータを処理する情報処理装置が実行する情報処理方法であって、
   管理サーバからセキュアデータに対する作業認証が取得できるか否かを判別する第１判別ステップと、
   前記第１判別ステップで管理サーバから作業認証が取得できないと判別された場合、セキュアデータに仮アクセス権が存在するか判別する第２判別ステップと、
   前記第２判別ステップでセキュアデータに仮アクセス権が存在しないと判定された場合、セキュアデータへのアクセスを不可とし、前記第２判別ステップでセキュアデータに仮アクセス権が存在すると判定された場合、セキュアデータの編集時にセキュアデータの仮データ部に実データ部に対する編集差分内容及び処理履歴を格納する格納ステップと、
   前記第１判別ステップで管理サーバから作業認証が取得できると判別された場合、セキュアデータの仮データ部にデータが存在するか判別する第３判別ステップと、
   前記第３判別ステップでセキュアデータの仮データ部にデータが存在すると判定された場合、セキュアデータの実データ部に仮データの前記編集差分内容を反映させ、前記仮データ部の前記処理履歴を管理サーバに送信し、前記仮データ部のデータをクリアし、前記実データ部を変更し、前記第３判別ステップでセキュアデータの仮データ部にデータが存在しないと判定された場合、セキュアデータの実データ部を変更する変更ステップと、
   を有する情報処理方法。
4. 管理サーバから仮アクセス権が有効な日時、セキュアデータにアクセスできる回数、及び編集の禁止又は印刷の禁止が定められた制限情報が付与された仮アクセス権を取得し、取得した仮アクセス権を格納するセキュアデータを処理するコンピュータに、
   管理サーバからセキュアデータに対する作業認証が取得できるか否かを判別する第１判別ステップと、
   前記第１判別ステップで管理サーバから作業認証が取得できないと判別された場合、セキュアデータに仮アクセス権が存在するか判別する第２判別ステップと、
   前記第２判別ステップでセキュアデータに仮アクセス権が存在しないと判定された場合、セキュアデータへのアクセスを不可とし、前記第２判別ステップでセキュアデータに仮アクセス権が存在すると判定された場合、セキュアデータの編集時にセキュアデータの仮データ部に実データ部に対する編集差分内容及び処理履歴を格納する格納ステップと、
   前記第１判別ステップで管理サーバから作業認証が取得できると判別された場合、セキュアデータの仮データ部にデータが存在するか判別する第３判別ステップと、
   前記第３判別ステップでセキュアデータの仮データ部にデータが存在すると判定された場合、セキュアデータの実データ部に仮データの前記編集差分内容を反映させ、前記仮データ部の前記処理履歴を管理サーバに送信し、前記仮データ部のデータをクリアし、前記実データ部を変更し、前記第３判別ステップでセキュアデータの仮データ部にデータが存在しないと判定された場合、セキュアデータの実データ部を変更する変更ステップと、
   を実行させるプログラム。

Images