JP4734941B2 - カプセル化サーバ - Google Patents

Description

本発明は、端末装置で利用されるデータをデータ管理サーバで管理するシステムにおいて端末装置とデータ管理サーバとの間でやりとりされるデータにカプセル化処理を施す技術に関する。

インターネット環境の普及に伴い、自社の社内ネットワークをインターネットに接続し、インターネットを介して企業間でデータの授受を行う企業が増加している。例えば、電子メールやＷｅｂ（ｈｔｔｐ）でデータの授受が行われる。これにより、企業間における情報交換を迅速に行うことができる。その反面、機密情報の漏洩問題も急速に顕在化してきている。特に機密データがデジタルデータの状態で漏洩してしまうと、容易にコピーが可能であるため、一旦、漏洩してしまうとその被害は甚大になる可能性が高く、機密情報の漏洩対策が必須となっている。

ネットワーク上においてデジタルデータを保護する技術として、例えば、特許文献１に記載の技術を挙げることができる。特許文献１には、プロクシーサーバを介して文書情報を送受信するシステムにおいて、送信側が文書を暗号化してサーバに送信し、サーバが暗号化された文書を一旦復号してから受信側用の鍵で暗号化し、そして受信側に送信する技術が記載されている。

また、ネットワーク上においてデジタルデータを保護する技術として、ＳＳＬ（secure sockets layer）やＩＰｓｅｃ（IP security protocol）などの伝送技術、ｓ／ｍｉｍｅやＰＧＰなどの暗号化技術がある。しかし、これらの技術は伝送経路上を保護するために効果的であるものの、正しいアクセス権を持ったユーザが生のデジタルデータを取得し、そのユーザが手に入れたデジタルデータを不正に横流しする危険性が残されている。

デジタルデータの横流しを防止する技術として、ＤＲＭ（Digital Rights Management）技術が登場した。ＤＲＭ技術では、デジタルコンテンツに対して一種の暗号化であるカプセル化が施され、正しい権利を有する利用者のみがそのデジタルコンテンツを利用することができる。つまり、ＤＲＭを用いると、デジタルコンテンツそのものが暗号化され、たとえ正しいアクセス権を持ったユーザであっても、そのユーザは生のデジタルデータを取得することができない。このため、正しい権利を持ったユーザによるコンテンツの横流しなどの不正利用を防ぐことができる。このＤＲＭ技術は、コンテンツの利用の権利を正しく購入した利用者のみに利用できるようにとの目的から、主として音声や動画といったコンシューマ向けの市場において注目されていた。

一方で、前述のように最近では企業が扱うデジタル情報でも機密情報の漏洩の問題が顕在化しており、正しいアクセス権を持つ社員による不正なデータの横流しというコンシューマ市場と同様の問題を抱えている。そこで、ＤＲＭ技術をビジネス向けに利用したり、電子メールの暗号化を自動で行ったりする製品が登場してきている。

特表２００３−５０２８８２号公報

しかしながら、ＤＲＭ技術を利用する場合においても、機密情報の漏洩の問題が残される。つまり、デジタルデータをカプセル化するかどうかはユーザの判断に委ねられているため、例えば、文書の送信者が手動でカプセル化を行ってから、文書管理システムなどに格納して管理する必要があった。すなわち、文書をカプセル化するというステップをユーザに強いることになる。このように、カプセル化する作業がユーザに任されているために、例えば、急いでいたりあるいは面倒であると感じるユーザは、カプセル化を行わずに文書を共有してしまう可能性が残されていた。

これに対し、カプセル化を自動的に行う技術が考えられる。つまり、文書を保管するサーバ側のフォルダに権利情報を設定しておき、その文書サーバにファイル（文書）が格納される時にファイルをカプセル化するというものである。この技術により、自動的にファイルはカプセル化されるため、カプセル化するというステップをユーザに強いることは回避される。しかしながら、自動的にファイルをカプセル化すると、例えば、あるＡという文書をこのフォルダに格納する場合その文書は格納した時点で暗号化されるため、後に文書Ａを編集しなおした場合、編集後の文書を暗号化して再度格納しなければならない。そして、編集前のオリジナル文書と編集後の文書が文書サーバに共存する場合、どの文書がオリジナル文書でどの文書が編集後の文書なのかをユーザが管理しておかねばならないという煩雑さが生じることになる。

このような事情から、文書データの重要度などに応じて確実にカプセル化処理を施し、また、文書データの編集などを考慮した適切なタイミングでカプセル化処理を施すことが望まれていた。

さらに、多くの企業では企業内のネットワークシステムを既に保有しているため、新しいシステムに乗り換えることはコスト面での問題がある。このため、既に保有しているネットワーク資源を有効に利用できることが望まれている。

そこで、本発明は、データに対して確実かつ適切なタイミングでカプセル化処理を施すことを目的とする。また、既に保有しているネットワーク資源を有効に利用することを目的とする。

上記目的を達成するために、本発明の好適な態様であるカプセル化サーバは、端末装置で利用されるデータをデータ管理サーバで管理するシステムにおいて端末装置とデータ管理サーバとの間のデータのやりとりを中継するカプセル化サーバであって、データ管理サーバに記憶されたデータが端末装置へダウンロードされる際に、または、データ管理サーバへ記憶されるデータが端末装置からアップロードされる際に、端末装置または当該端末装置を利用するユーザに対して付与された利用条件によってカプセル化が要求されている場合、ダウンロードまたはアップロードされるデータにカプセル化処理を施す、ことを特徴とする。

このシステムでは、カプセル化サーバにおいて、ユーザに対して付与された利用条件に応じて、ダウンロードまたはアップロードされるデータにカプセル化処理が施される。このシステムで扱われるデータは、例えば、文書データ、画像データ、音声データなどのデジタルコンテンツである。利用条件は、例えば、データの作成者などによって予めカプセル化サーバに登録される。そして、この利用条件には、例えばそのデータの重要度などに応じて、カプセル化を必要とするかどうかを指定する条件が含まれている。また、利用条件は、例えばユーザごとあるいはユーザグループごとに設定される。このため、カプセル化するという条件でのみデータの利用が許可されたユーザに対しては、ユーザがデータをダウンロードしようとしたとき、あるいは、データをアップロードしようとしたときに、確実にカプセル化処理が施される。また、カプセル化サーバは、例えば、データ管理サーバと端末装置との間に設けることができるため、既に保有しているネットワーク資源を有効に利用することができる。

望ましくは、端末装置を利用するユーザとカプセル化が要求されるデータとを対応付けたダウンロード条件テーブルを記憶する手段と、データ管理サーバに記憶されたデータが端末装置へダウンロードされる際に、前記ダウンロード条件テーブルにおいて当該端末装置を利用するユーザと当該データとが対応付けられている場合、当該データにカプセル化処理を施す手段と、を有する、ことを特徴とする。

望ましくは、端末装置を利用するユーザとデータ格納領域とを対応付けたアップロード条件テーブルを記憶する手段と、データ管理サーバへ記憶されるデータが端末装置からアップロードされる際に、前記アップロード条件テーブルにおいて当該端末装置を利用するユーザと当該データの格納先であるデータ格納領域とが対応付けられている場合、当該データにカプセル化処理を施す手段と、を有する、ことを特徴とする。

望ましくは、カプセル化処理を施したデータを保存しておき、後に当該データがダウンロードまたはアップロードされる際にカプセル化処理が必要な場合、既に保存されているカプセル化処理後のデータを利用する、ことを特徴とする。

また上記目的を達成するために、本発明の好適な態様であるプログラムは、端末装置で利用されるデータをデータ管理サーバで管理するシステムにおいて端末装置とデータ管理サーバとの間のデータのやりとりを中継するカプセル化サーバとしてコンピュータを機能させるためのプログラムにおいて、コンピュータを、端末装置を利用するユーザとカプセル化が要求されるデータとを対応付けたダウンロード条件テーブルを記憶する手段、データ管理サーバに記憶されたデータが端末装置へダウンロードされる際に、前記ダウンロード条件テーブルにおいて当該端末装置を利用するユーザと当該データとが対応付けられている場合、当該データにカプセル化処理を施す手段、端末装置を利用するユーザとデータ格納領域とを対応付けたアップロード条件テーブルを記憶する手段、データ管理サーバへ記憶されるデータが端末装置からアップロードされる際に、前記アップロード条件テーブルにおいて当該端末装置を利用するユーザと当該データの格納先であるデータ格納領域とが対応付けられている場合、当該データにカプセル化処理を施す手段、として機能させることを特徴とする。

本発明により、データに対して確実かつ適切なタイミングでカプセル化処理が施される。例えば、カプセル化するという条件でのみデータの利用が許可されたユーザに対しては、ユーザがデータをダウンロードしようとしたとき、あるいは、データをアップロードしようとしたときに、確実にカプセル化処理が施される。また、カプセル化サーバは、例えば、データ管理サーバと端末装置との間に設けることができるため、既に保有しているネットワーク資源を有効に利用することができる。

以下、本発明の好適な実施形態を図面に基づいて説明する。

図１には、本発明の好適な実施形態が示されており、図１は、本発明に係るカプセル化サーバ（フロントエンドカプセル化サーバ１００）を利用した文書管理システムの全体構成図である。

図１の文書管理システムは、フロントエンドカプセル化サーバ１００、複数の端末装置２００Ａ，２００Ｂ、文書管理サーバ３００、アクセスチケット／カプセル鍵発行サーバ４００が、互いにＬＡＮ（local area network）５００を介して接続されたシステムである。

文書管理サーバ３００は、端末装置２００Ａ，２００Ｂの要求に応じて、文書管理サーバ３００によって管理された文書データを端末装置２００Ａ，２００Ｂへ提供する。ただし、端末装置２００Ａ，２００Ｂと文書管理サーバ３００との間の文書データなどのやりとりは、フロントエンドカプセル化サーバ１００を介して行われる。例えば、ＩＰアドレスを制限することなどにより、端末装置２００Ａ，２００Ｂは、フロントエンドカプセル化サーバ１００を介してのみ文書管理サーバ３００へ接続可能なシステム構成とする。また、この際、ＳＳＬ（Secure Socket Layer）などの通信路を暗号化する手段を使用するとより安全にシステムを構成できる。

本発明のカプセル化サーバ（フロントエンドカプセル化サーバ１００）が扱うデータは文書データに限定されない。文書データに換えて、例えば、画像データ、音声データなどを扱うことも可能であるが、本実施形態では、文書データを例としてデータのやりとりを説明する。

図１には、フロントエンドカプセル化サーバ１００内部の機能構成が示されている。フロントエンドカプセル化サーバ１００は、ＣＰＵ、メモリ、ハードディスクなどの図示しないハードウェア構成を備えている。そして、このハードウェア構成をフロントエンドカプセル化サーバ１００として機能させるためのソフトウェア（プログラム）とハードウェア構成とが協働することによって、図１に示すカプセル化処理部１１０、アクセスチケット要求部１２０、ダウンロード条件テーブル記憶部１３０、アップロード条件テーブル記憶部１４０の各機能を実現する。例えば主としてＣＰＵとメモリとによって、カプセル化処理部１１０、アクセスチケット要求部１２０の機能が実現され、また、例えばハードディスク内部の記憶領域をダウンロード条件テーブル記憶部１３０、アップロード条件テーブル記憶部１４０として利用する。

ちなみに、フロントエンドカプセル化サーバ１００は、必ずしも一台の装置で実現されるとは限らない。機能の一部、例えば、ダウンロード条件テーブル記憶部１３０、アップロード条件テーブル記憶部１４０がＬＡＮ５００などを介して装置外部に設けられてもよい。また、後に詳述するアクセスチケット／カプセル鍵発行サーバ４００内部の機能構成の一部あるいは全てをフロントエンドカプセル化サーバ１００内に取り込むことも可能である。例えば、フロントエンドカプセル化サーバ１００の機能とアクセスチケット／カプセル鍵発行サーバ４００の機能を一台の装置で実現してもよい。

端末装置２００Ａ，２００Ｂは、文書管理サーバ３００によって管理される文書データを利用する各ユーザが使用する装置である。端末装置２００Ａ，２００Ｂの代表例はコンピュータであるが、ＰＤＡ（personal digital assistance）などの携帯情報端末であってもよい。

アクセスチケット／カプセル鍵発行サーバ４００は、要求に応じて、アクセスチケットやカプセル鍵をフロントエンドカプセル化サーバ１００へ発行する。

一般に、文書管理を行うサーバには、例えば、文書データに代表される種々のデジタルデータをグループ間などで共有するためのソフトウェアが搭載されている。そして、ユーザがコンピュータなどを利用してサーバにアクセスするためには、専用のソフトウェアを用いる場合が多かった。これに対し、本実施形態の文書管理サーバ３００は、端末装置２００Ａ，２００Ｂから、例えばＷｅｂブラウザによって、フロントエンドカプセル化サーバ１００を介して、アクセスすることができる。このため、Ｗｅｂブラウザの機能を有する端末装置２００Ａ，２００Ｂに対して、文書管理サーバ３００へアクセスするための特別なソフトウェアを強いることがない。

また、一般の文書管理システムでは、ユーザが自分のユーザＩＤでサーバにログインしてサーバが管理する文書フォルダへアクセスし、必要な文書データを取り出し（ダウンロード）あるいは格納（アップロード）する。文書データには、例えばそのデータの作成者によってカプセル化処理が施される。さらに、文書データや文書フォルダには、アクセス権が付与される。アクセス権には、文書データを利用するユーザに対して付与された利用条件などが含まれている。これにより、例えば、カプセル化された文書データを取得したユーザの操作を制限する機能などが実現される。

本実施形態においても、文書データや文書フォルダに対してカプセル化処理が施されてアクセス権が付与される。ただし、本実施形態においては、フロントエンドカプセル化サーバ１００内に設けられたカプセル化処理部１１０によって、文書データに対してカプセル化処理が行われる。

図２は、本実施形態におけるアクセス権を説明するための図であり、図２には、アクセス権の設定画面の一例が示されている。アクセス権は、文書データに対して設定され、その文書データを利用するユーザの操作など制限するものであり、例えば、文書データの管理者（その文書データの作成者など）によって設定、変更される。設定されたアクセス権に関するアクセス権データは、フロントエンドカプセル化サーバ（図１の符号１００）に記憶される。このため、例えば、文書データの管理者が利用する端末装置の画面上に図２の設定画面が表示され、端末装置を介して行われるアクセス権の設定や変更操作に応じてフロントエンドカプセル化サーバ内に記憶されたアクセス権データが設定、変更される。なお、フロントエンドカプセル化サーバの画面上に図２の設定画面が表示され、文書データの管理者がフロントエンドカプセル化サーバを直接操作して、アクセス権データの設定、変更を行う構成でもよい。

図２に示す設定画面は、「カタログ．ｄｏｃ」という文書データに対するアクセス権の設定画面である。例えば、アクセス権設定の初期画面上に、文書管理サーバが管理する複数の文書データのファイル名が付されたアクセス権設定ボタンが用意され、その中の「カタログ．ｄｏｃ」文書データのアクセス権設定ボタンを押すことで、図２の画面に遷移する。

図２の設定画面において、「ユーザ名」は、その文書データ（カタログ．ｄｏｃ）を利用するユーザのユーザＩＤである。「管理」「カプセル化」は、各ユーザに対して与えられたアクセス権の項目であり、○印はその権利が設定されていることを意味し、空欄はその権利が設定されていないことを意味している。例えば、「ＵｓｅｒＡ」には、「管理」の権利が設定されており、「カプセル化」は設定されていない。

アクセス権の項目のうち「管理」はその文書データを管理する権限があるかどうかを示している。図２に示す例では「ＵｓｅｒＡ」は「カタログ．ｄｏｃ」文書データのアクセス権を変更することができる。つまり、「ＵｓｅｒＡ」は、例えば、図２に示す設定画面によって「カタログ．ｄｏｃ」文書データのアクセス権の変更（ユーザ名の追加や削除、○印の追加や削除など）を行うことができる。

さらに、本実施形態においては、アクセス権の項目として「カプセル化」が設けられている。「カプセル化」の項目は、さらに複数の項目によって構成されている。「カプセル化」の項目のうち「適用」は、そのユーザがその文書データにアクセスする際にカプセル化処理が必要かどうかを示している。例えば「ＵｓｅｒＢ」に対しては「適用」が設定されているため、「ＵｓｅｒＢ」が「カタログ．ｄｏｃ」文書データにアクセスする際には「カタログ．ｄｏｃ」文書データに対して、フロントエンドカプセル化サーバにおいてカプセル化処理が施される。「カプセル化」内の他の項目の設定がなされていない場合には、カプセル化処理された文書データに対する閲覧のみの権利を有するという意味とする。

「カプセル化」の項目のうち「印刷」は、カプセル化された文書データを印刷する権利があるかどうかを示しており、「適用」が設定されている場合に設定可能となる。つまり「適用」および「印刷」の二つの項目が共に設定（○印）の場合に、印刷が有効となる。また、「カプセル化」の項目のうち「編集」は、カプセル化された文書データに対して編集する権利があるかどうかを示しており、「適用」が設定されている場合に設定可能となる。

さらに、「カプセル化」の項目のうち「有効期限」は、カプセル化された文書に対して設定された権利をいつまで行使できるかの期限を示すものであり、また、「回数」は、カプセル化された文書に対して設定された権利を何回行使できるかを示すものである。「有効期限」および「回数」についても、「適用」が設定されている場合に設定可能となる。なお、「有効期限」と「回数」は、文書管理サーバから文書データを取得する期限や回数を設定するものではなく、文書管理サーバからフロントエンドカプセル化サーバを介してダウンロードした文書データを利用（閲覧や印刷など）する際の制限である。

以上のことから、図２に示す設定状態において、各ユーザは次のような権利を持っていることになる。ＵｓｅｒＡは、管理の権限を持っている。ＵｓｅｒＢは、カプセル化の適用、カプセル化の印刷の権利を持っている。カプセル化が適用されているため、ＵｓｅｒＢがこの文書データをダウンロードする際にはカプセル化が実行される。また、ＵｓｅｒＢは、カプセル化された文書データに対して２００４／１０／１まで印刷が可能である。

ＧｒｏｕｐＺには、カプセル化の適用が付与されている。ユーザ名にグループＩＤが設定されている場合、そのグループに属するユーザに対してアクセス権が適用される。ＧｒｏｕｐＺには、カプセル化が適用されているので、ＧｒｏｕｐＺに属するユーザがこの文書データをダウンロードする際にはカプセル化が実行される。また、ＧｒｏｕｐＺに属するユーザは、カプセル化された文書データに対して、５回までの閲覧が可能である。

本実施形態では、複数の文書データの各々に対して設定されたアクセス権に基づいて、フロントエンドカプセル化サーバ（図１の符号１００）においてダウンロード条件テーブルが作成される。

図３は、ダウンロード条件テーブルを説明するための図である。ダウンロード条件テーブルは、端末装置を利用するユーザとカプセル化が要求されるデータとを対応付けたテーブルである。フロントエンドカプセル化サーバは、複数の文書データの各々に対して設定されたアクセス権に基づいて、ダウンロード条件テーブルを生成する。図３に示す例では、ユーザＢに対して、共通フォルダ内の「カタログ．ｄｏｃ」文書データをダウンロードする際にカプセル化処理が必要であり、カプセル化された文書データに対して閲覧の権限が与えられていることを示している。さらに、ユーザＢには、カプセル化された「事業構想．ｄｏｃ」文書データに対する閲覧と編集の権限が与えられている。

また、対象データ名としてフォルダ名のみが示されている場合には、そのフォルダ内の全ての文書データが対象となることを意味する。例えば、ユーザＣに対しては、「閲覧」フォルダ内の全てのカプセル化された文書データに対する閲覧と印刷の権限が与えられている。ダウンロード条件テーブルにおいて、ユーザとデータとが対応付けられている場合、そのデータをそのユーザへダウンロードする際に、フロントエンドカプセル化サーバによってカプセル化処理が施される。

なお、ダウンロード条件テーブルに示されていないユーザに対してはカプセル化の処理は行われない。したがって、図３の例では、ダウンロード条件テーブルに示されていないＧｒｏｕｐＸのメンバーに対しては、文書データへのアクセス権が設定されていれば、カプセル化は行われないで、生の文書データがダウンロードされる。ＧｒｏｕｐＸのメンバーのアクセスを防止したい場合は、文書管理サーバ（図１の符号３００）側のアクセス権設定で、ＧｒｏｕｐＸにアクセスを許可しないように設定すればよい。つまり、フロントエンドカプセル化サーバのアクセス権設定は、あくまでも、文書管理サーバでアクセスを許可されたユーザがデータを取得する場合に、そのデータをカプセル化するかどうかの条件を付与するものである。

本実施形態においては、ダウンロード条件テーブルによってカプセル化が要求されている場合、ユーザがその文書データをダウンロードする際に、フロントエンドカプセル化サーバにおいてカプセル化処理が行われる。そこで、以下、本実施形態において、文書データがダウンロードされるまでの処理について説明する。なお、以下において、図１に示した部分には図１の符号を付して説明する。

図４は、本実施形態の文書管理システムにおいて実行されるダウンロード処理を説明するためのフローチャートである。以下、本フローチャートに示す各ステップにおける処理を説明する。

（Ｓ４０１）まず、文書データの利用を望むユーザは、自身が利用する端末装置を利用してフロントエンドカプセル化サーバ１００を介して文書管理サーバ３００に接続し、文書データのダウンロード指示を行う。例えば、図２に示す設定画面においてユーザ名「ＵｓｅｒＢ」として登録されているユーザＢが、端末装置２００Ｂを利用して文書管理サーバ３００へ接続し、Ｗｅｂブラウザなどを利用して、文書データ「カタログ．ｄｏｃ」のダウンロード指示を行う。

（Ｓ４０２）ダウンロード指示を受けた文書管理サーバ３００は、ダウンロード要求された文書データをフロントエンドカプセル化サーバ１００に転送する。

（Ｓ４０３）文書データが転送されるとフロントエンドカプセル化サーバ１００は、ダウンロード条件テーブル記憶部１３０に記憶されているダウンロード条件テーブルを参照してその文書データに関するダウンロード条件を検索し、カプセル化が必要か否かを判断する。文書管理サーバ３００は、例えば、ユーザＢがサーバへ接続する際にユーザＢからユーザＩＤを取得しておく。そして、取得したユーザＩＤをフロントエンドカプセル化サーバ１００へ転送し、フロントエンドカプセル化サーバ１００はユーザＩＤをキーとして、そのユーザＩＤに対応するユーザがダウンロード条件テーブルに示されているか否かを調べる。例えば、図３に示す例では、ユーザＢと文書データ「カタログ．ｄｏｃ」とが対応付けられているため、ユーザＢに「カタログ．ｄｏｃ」文書データをダウンロードする際にはカプセル化が必要であると判断される。

（Ｓ４０４）カプセル化処理が必要な場合、フロントエンドカプセル化サーバ１００は、アクセスチケット／カプセル鍵発行サーバ４００からカプセル化処理に必要なカプセル鍵を取得する。カプセル化処理は、文書データに対する一種の暗号化処理であり、カプセル化処理では、暗号鍵に相当するカプセル鍵が利用される。このカプセル鍵は、アクセスチケット／カプセル鍵発行サーバ４００が発行する。

（Ｓ４０５）カプセル鍵を取得したフロントエンドカプセル化サーバ１００は、カプセル化処理部１１０において、取得したカプセル鍵で文書データに対してカプセル化処理を実行する。例えば、文書データ「カタログ．ｄｏｃ」に対して、取得したカプセル鍵Ｋでカプセル化処理を施す。

（Ｓ４０６）カプセル化処理が施されると、フロントエンドカプセル化サーバ１００のアクセスチケット要求部１２０は、ユーザＩＤ、カプセル鍵、利用条件を指定して、アクセスチケット／カプセル鍵発行サーバ４００にアクセスチケットの発行を依頼する。例えば、ユーザＢのユーザＩＤ（ＵｓｅｒＢ）、文書データ「カタログ．ｄｏｃ」のカプセル化処理に利用したカプセル鍵Ｋ、図３のダウンロード条件テーブルに示される利用条件（ユーザＢに対してカプセル化された文書データの閲覧のみが許可されている）を指定して利用条件に対応したアクセスチケットの発行を依頼する。

（Ｓ４０７）アクセスチケットの発行を依頼されたアクセスチケット／カプセル鍵発行サーバ４００は、ユーザＩＤをキーにして予め登録されているユーザ毎またはそのユーザが利用するハードウェア毎に割り当てられた鍵情報を検索する（以下、ユーザ個別鍵情報と呼ぶ）。ユーザ個別鍵情報は、ユーザが利用する端末装置やユーザが利用するＵＳＢキー、ＩＣカード、ＰＣなどのハードウェアに格納され、ユーザまたはそれらのハードウェア単位で発行される鍵情報であり、例えば、ユーザが本実施形態の文書管理システムの利用登録を行う際にアクセスチケット／カプセル鍵発行サーバ４００に登録される。アクセスチケット／カプセル鍵発行サーバ４００は、例えば、ユーザＢのユーザＩＤ（ＵｓｅｒＢ）をキーにして、ユーザＢが利用する端末装置２００Ｂのユーザ個別鍵情報を検索する。ユーザ個別鍵情報を検索したアクセスチケット／カプセル鍵発行サーバ４００は、ユーザ個別鍵情報、カプセル鍵の情報、利用条件からアクセスチケットを生成する。例えば、ユーザＢが利用する端末装置２００Ｂのユーザ個別鍵情報、文書データ「カタログ．ｄｏｃ」のカプセル化処理に利用したカプセル鍵Ｋの情報、図３のダウンロード条件テーブルに示される利用条件から、文書データ「カタログ．ｄｏｃ」に関するユーザＢのアクセスチケットを生成する。このように、アクセスチケットには、ユーザが利用するユーザ個別鍵情報とユーザの利用条件が反映される。

（Ｓ４０８）フロントエンドカプセル化サーバ１００は、生成されたアクセスチケットを取得してそのアクセスチケットとカプセル化処理された文書データをユーザの端末装置へ提供する。例えば、文書データ「カタログ．ｄｏｃ」に関するユーザＢのアクセスチケットと、カプセル化処理された「カタログ．ｄｏｃ」の文書データが、端末装置２００Ｂによってダウンロードされる。

（Ｓ４０９）ユーザの端末装置は、アクセスチケットに基づいてカプセル化された文書データを復号する。例えば、ユーザＢの端末装置２００Ｂは、文書データ「カタログ．ｄｏｃ」に関するユーザＢのアクセスチケットに基づいて、カプセル化処理された「カタログ．ｄｏｃ」の文書データを復号（カプセル化の解除）する。アクセスチケットは、ハードウェア鍵情報に基づいて生成されているため、そのハードウェア鍵情報に対応したユーザＢのハードウェア、例えば、端末装置２００Ｂでのみ「カタログ．ｄｏｃ」文書データの復号が可能になる。また、アクセスチケットには利用条件が反映されているため、その利用条件によってユーザＢの操作に制限がかけられる。例えば、図３のダウンロード条件テーブルに示される利用条件によって、ユーザＢは「カタログ．ｄｏｃ」文書データの閲覧のみが可能になる。

このように、本実施形態によって、文書データに対して確実かつ適切なタイミングでカプセル化処理が施される。つまり、フロントエンドカプセル化サーバ１００において、文書のカプセル化が必要な場合に、ユーザが文書をダウンロードしようとしたときに確実にカプセル化処理が施される。ダウンロード時にカプセル化処理を実施するため、文書データが編集されていても編集後の文書データがカプセル化処理され、最新版の文書データの提供が容易であり、例えば文書データ作成者によるバージョン管理の負担などが軽減される。

本実施形態では、ユーザＩＤやカプセル鍵など指定して、アクセスチケット／カプセル鍵発行サーバ４００にアクセスチケットの発行を依頼している。これは、本実施形態において、ＤＲＭの技術としてアクセスチケット技術（特開平１０−２４７９０５号公報、特開平１０−２４７９０５号公報など参照）を用いているからである。一般に、アクセスチケットは、カプセル化のための暗号鍵（カプセル鍵）と、ユーザまたはハードウェア毎に発行され、ユーザが利用するＩＣカードやコンピュータなどのハードウェアに格納された鍵情報の二つの鍵情報から生成される。本実施形態では、アクセスチケット／カプセル鍵発行サーバ４００がアクセスチケットを発行する際に、ユーザ名をキーにしてデータベースからハードウェアの鍵情報を検索し、それと、カプセルの暗号鍵情報とからアクセスチケットを生成している。

なお、本発明におけるカプセル化の技術は、アクセスチケットに限定されない。つまり、カプセル化に用いるＤＲＭの技術として、アクセスチケットに代わる別の技術を利用してもよい。この場合、アクセスチケット／カプセル鍵発行サーバ４００に換えて、利用するＤＲＭ技術に対応したサーバなどを用意し、その技術に必要とされるデータのやり取りを適宜行うことになる。

また、本実施形態では、アクセスチケットがカプセル化処理された文書データとともにユーザの端末装置（クライアント側）へ提供されている。アクセスチケットと文書データをクライアント側へ提供するやり方にもいくつかのバリエーションが考えられる。例えば、はじめにアクセスチケットをクライアントサイドスクリプトに埋め込んで、クライアント環境に登録してから、カプセル化された文書データ本体をダウンロードする提供方法が挙げられる。また、アクセスチケットとカプセル化された文書データを一つのファイルに合成し、そのファイルをユーザが受け取ると、クライアントの端末装置上で、ヘルパアプリケーションが動作し、ヘルパアプリケーションがアクセスチケットとカプセル化された文書データを分離するという方法もある。

さらに、アクセスチケットと文書データを同時には配布せずに、例えば、カプセル化した文書データ内にアクセスチケットを取得するためのＷｅｂサーバのＵＲＬを記述しておき、アクセスチケットが必要な際にそのＵＲＬにＷｅｂブラウザがアクセスするという構成でもよい。その場合は、例えばユーザがカプセルを開く際にアクセスチケット／カプセル鍵発行サーバ４００のＵＲＬに接続し、ユーザがアクセスチケット／カプセル鍵発行サーバ４００からアクセスチケットを取得してもよい。

また、本実施形態では、フロントエンドカプセル化サーバ１００においてカプセル化処理が行われている。一般に比較的大きな文書データをカプセル化（暗号化）する処理は時間がかかり、サーバに対する負荷が大きい。そこで、サーバの負荷を軽減するために、カプセル化した文書データをフロントエンドカプセル化サーバ１００が、例えば所定期間だけ保存しておくとよい。これにより、後に同じ文書データを端末装置へ提供する際にカプセル化処理が必要な場合、既に保存されているカプセル化処理後の文書データを利用することができ、カプセル化処理に伴う負担を軽減することが可能になる。

本実施形態においては、ダウンロードされるタイミングのみではなく、アップロードされるタイミングにおいても文書データに対するカプセル化処理が可能である。アップロードされるタイミングでカプセル化処理が行われる場合、アップロード条件テーブルが利用される。

図５は、アップロード条件テーブルを説明するための図である。アップロード条件テーブルは、端末装置を利用するユーザとデータ格納領域とを対応付けたテーブルである。図５に示す例では、ユーザＢが、文書管理サーバ内の「閲覧」フォルダへ文書データをアップロードする際にカプセル化処理が必要であることを示している。また、ユーザＣが、文書管理サーバ内の「共通」フォルダへ文書データをアップロードする際にカプセル化処理が必要であることを示している。アップロード条件テーブルにおいて、ユーザとデータ格納領域とが対応付けられている場合、そのユーザがその格納領域へ文書データをアップロードする際に、フロントエンドカプセル化サーバによってカプセル化処理が施される。

以下、本実施形態において、文書データがアップロードされるまでの処理について説明する。なお、以下において、図１に示した部分には図１の符号を付して説明する。

図６は、本実施形態の文書管理システムにおいて実行されるアップロード処理を説明するためのフローチャートである。以下、本フローチャートに示す各ステップにおける処理を説明する。

（Ｓ６０１）まず、文書データのアップロードを望むユーザは、自身が利用する端末装置を使用してフロントエンドカプセル化サーバ１００を介して文書管理サーバ３００の格納領域へアクセスし、文書データのアップロード指示を行う。例えば、ユーザＢが、端末装置２００Ｂを利用して文書管理サーバ３００の「閲覧」フォルダへアクセスし、Ｗｅｂブラウザなどを利用して、文書データのアップロード指示を行う。

（Ｓ６０２）アップロード要求された文書データがユーザの端末装置からフロントエンドカプセル化サーバ１００に転送され、フロントエンドカプセル化サーバ１００がその文書データを取得する。

（Ｓ６０３）文書データが転送されるとフロントエンドカプセル化サーバ１００は、アップロード条件テーブル記憶部１４０に記憶されているアップロード条件テーブルを参照してその文書データに関するアップロード条件を検索し、カプセル化が必要か否かを判断する。文書管理サーバ３００は、例えば、ユーザＢがサーバへ接続する際にユーザＢからユーザＩＤを取得しておく。そして、取得したユーザＩＤをフロントエンドカプセル化サーバ１００へ転送し、フロントエンドカプセル化サーバ１００はユーザＩＤをキーとして、そのユーザＩＤに対応するユーザがアップロード条件テーブルに示されているか否かを調べ、さらに文書データの格納先であるデータ格納領域が対応付けらているかどうかを調べる。例えば、図５に示す例では、ユーザＢとデータ格納領域「閲覧」フォルダとが対応付けられているため、ユーザＢが「閲覧」フォルダに文書データをアップロードする際にはカプセル化が必要であると判断される。

（Ｓ６０４）カプセル化処理が必要な場合、フロントエンドカプセル化サーバ１００は、アクセスチケット／カプセル鍵発行サーバ４００からカプセル化処理に必要なカプセル鍵を取得する。カプセル化処理は、文書データに対する一種の暗号化処理であり、カプセル化処理では、暗号鍵に相当するカプセル鍵が利用される。このカプセル鍵は、アクセスチケット／カプセル鍵発行サーバ４００が発行する。

（Ｓ６０５）カプセル鍵を取得したフロントエンドカプセル化サーバ１００は、カプセル化処理部１１０において、取得したカプセル鍵で、アップロードされる文書データに対してカプセル化処理を実行する。

（Ｓ６０６）カプセル化処理が施されると、フロントエンドカプセル化サーバ１００は、指定されたデータ格納領域にカプセル化された文書データをアップロードする。例えば、ユーザＢによって要求されたカプセル化処理後の文書データを文書管理サーバ３００内の「閲覧」フォルダにアップロードする。

（Ｓ６０７）文書データがアップロードされると、文書管理サーバ３００は、フロントエンドカプセル化サーバ１００を介して、格納（アップロード）に成功した旨を示すステータスをユーザへ転送する。例えば、文書管理サーバ３００からユーザＢの端末装置２００Ｂへステータスが転送される。これにより、ユーザＢは、文書データがアップロードされたことを確認することができる。

このように、本実施形態によって、文書データをアップロードする際にカプセル化処理が施される。なお、アップロードされた文書データをダウンロードする手順については、図４を利用して説明したとおりであるが、アップロードの際に文書データにカプセル化が施されている場合には、ダウンロード時のカプセル化処理が省略される。アップロード時にカプセル化処理された文書データをダウンロードする際の手順例を挙げると次のようになる。

例えば、ユーザＣがフロントエンドカプセル化サーバ１００経由で文書管理サーバ３００に接続し、文書管理サーバ３００の「閲覧」フォルダにアクセスし、そこの文書データをダウンロードする指示を行う。次に、文書管理サーバ３００から、対象文書データがフロントエンドカプセル化サーバ１００に渡される。フロントエンドカプセル化サーバ１００は、自分で管理しているダウンロード条件テーブルを参照し、ユーザＣのダウンロード条件を確認する。この際、ユーザＣに対して対象文書データのカプセル化が要求されている場合にはカプセル化された文書データをユーザＣへ提供することになるが、その文書データがアップロードの際に既にカプセル化されている場合、ダウンロード時のカプセル化処理は省略され、既にカプセル化された文書データが利用される。そして、フロントエンドカプセル化サーバ１００は、ユーザＩＤ（ユーザＣ）、カプセル化の鍵、利用条件（閲覧／印刷など）を指定し、アクセスチケット／カプセル鍵発行サーバ４００にアクセスチケットの発行を依頼し、アクセスチケットを受け取る。フロントエンドカプセル化サーバ１００は、受け取ったアクセスチケットと、カプセル化された文書データをユーザＣへ提供する。

このように、本実施形態により、例えば、カプセル化するという条件でのみデータの利用が許可されたユーザに対しては、ユーザがデータをダウンロードしようとしたとき、あるいは、データをアップロードしようとしたときに、確実にカプセル化処理が施される。また、フロントエンドカプセル化サーバ１００は、例えば、データ管理サーバ３００と端末装置２００Ａ，２００Ｂとの間に設けることができるため、既に保有しているネットワーク資源を有効に利用することができる。

なお、既に保有しているネットワーク資源をさらに有効利用するためには、フロントエンドカプセル化サーバ１００の機能を、ＳＳＬ−ＶＰＮサーバに組み込む形態が望ましい。これにより、例えば、社内のＬＡＮ５００を介してアクセスするユーザに対しては、文書管理サーバ３００に直接アクセスする既存の環境を維持する一方、ＳＳＬ−ＶＰＮサーバ経由で社外からアクセスするユーザに対しては、ＳＳＬ−ＶＰＮサーバに組み込まれたフロントエンドカプセル化サーバ１００の機能によって、そこを通過する文書データに対して必要に応じてカプセル化処理を施す。この形態により、例えば、社内のユーザが、社内のＬＡＮ５００を介してアクセスする場合には文書管理サーバ３００に直接アクセスして生の文書データを扱うことを可能としつつ、そのユーザが社外からアクセスした場合のみカプセル化が必要でればカプセル化を行うので、既存の社内のネットワークシステムを維持しつつ、社外には安全なデータのみを流通させることができる。

以上、本発明の好適な実施形態を説明したが、上述した実施形態は、あらゆる点で単なる例示にすぎず、本発明の範囲を限定するものではない。例えば、図１では、フロントエンドカプセル化サーバ１００、複数の端末装置２００Ａ，２００Ｂ、文書管理サーバ３００、アクセスチケット／カプセル鍵発行サーバ４００が、互いにＬＡＮ５００を介して接続されたシステムを説明した。しかし、本発明は、図１のＬＡＮ５００に代えてインターネットを利用したネットワークシステムに適用されてもよい。もちろん、インターネットとＬＡＮ５００を組み合わせて各サーバと各端末装置とを接続する構成でもよい。

本発明に係るカプセル化サーバを利用した文書管理システムの全体構成図である。 本実施形態におけるアクセス権を説明するための図である。 ダウンロード条件テーブルを説明するための図である。 本実施形態におけるダウンロード処理を説明するためのフローチャートである。 アップロード条件テーブルを説明するための図である。 本実施形態におけるアップロード処理を説明するためのフローチャートである。

符号の説明

１００ フロントエンドカプセル化サーバ、１１０ カプセル化処理部、１２０ アクセスチケット要求部、１３０ ダウンロード条件テーブル記憶部、１４０ アップロード条件テーブル記憶部、３００ 文書管理サーバ、４００ アクセスチケット／カプセル鍵発行サーバ。

Claims (3)

1. 端末装置で利用されるデータをデータ管理サーバで管理するシステムにおいて端末装置とデータ管理サーバとの間のデータのやりとりを中継する暗号化サーバであって、
   端末装置を利用するユーザと暗号化が要求されるデータとを対応付けたダウンロード条件テーブルを記憶する手段と、
   データ管理サーバに記憶されたデータが端末装置へダウンロードされる際に、前記ダウンロード条件テーブルにおいて当該端末装置を利用するユーザと当該データとが対応付けられている場合、当該データに暗号化処理を施す手段と、
   端末装置を利用するユーザとデータ格納領域とを対応付けたアップロード条件テーブルを記憶する手段と、
   データ管理サーバへ記憶されるデータが端末装置からアップロードされる際に、前記アップロード条件テーブルにおいて当該端末装置を利用するユーザと当該データの格納先であるデータ格納領域とが対応付けられている場合、当該データに暗号化処理を施す手段と、
   を有する、
   ことを特徴とする暗号化サーバ。
2. 請求項１に記載の暗号化サーバにおいて、
   暗号化処理を施したデータを保存しておき、後に当該データがダウンロードまたはアップロードされる際に暗号化処理が必要な場合、既に保存されている暗号化処理後のデータを利用する、
   ことを特徴とする暗号化サーバ。
3. 端末装置で利用されるデータをデータ管理サーバで管理するシステムにおいて端末装置とデータ管理サーバとの間のデータのやりとりを中継する暗号化サーバとしてコンピュータを機能させるためのプログラムにおいて、
   コンピュータを、
   端末装置を利用するユーザと暗号化が要求されるデータとを対応付けたダウンロード条件テーブルを記憶する手段、
   データ管理サーバに記憶されたデータが端末装置へダウンロードされる際に、前記ダウンロード条件テーブルにおいて当該端末装置を利用するユーザと当該データとが対応付けられている場合、当該データに暗号化処理を施す手段、
   端末装置を利用するユーザとデータ格納領域とを対応付けたアップロード条件テーブルを記憶する手段、
   データ管理サーバへ記憶されるデータが端末装置からアップロードされる際に、前記アップロード条件テーブルにおいて当該端末装置を利用するユーザと当該データの格納先であるデータ格納領域とが対応付けられている場合、当該データに暗号化処理を施す手段、
   として機能させるためのプログラム。

Images