JP4938011B2 - ファイル管理システム及び方法、並びに、携帯端末装置 - Google Patents

Description

本発明は、ファイル管理システム及び方法、並びに、携帯端末装置に関し、例えば、利用者端末装置において通信機能が利用できない環境にあり、作成した機密ファイルをファイルサーバに保存できない場合に、データを安全に保管する方法に関するものである。

従来、ユーザ端末の２次記憶装置に機密ファイルを保存する際に、ファイルを暗号化することにより機密データの持ち出しを規制していた。この方式では、もしファイルが持ち出されたとしても、暗号化されているため情報自体の持ち出しにはならない。例えば、特許文献１では、ＯＳのファイルＩ／Ｏ処理に割り込んで、自動的に暗号・復号化処理を行うことで、ユーザにとって利便性の高い自動ファイル暗号システムを実現している。更に、外部記憶媒体やプリンタへのアクセス制御を行うことにより、機密ファイル編集を行えて、かつ情報漏洩を防ぐことが可能となる。
特開平１１−１４９４１４号公報

しかしながら、例えば、モバイルＰＣに顧客情報等の機密データを暗号化して保存し、それを紛失した場合、暗号化しているから機密情報が漏れる危険性はないというだけでは、社会的に許されないのが最近の風潮である。従って、たとえ特許文献１に記載のようにファイルを暗号化していても、個人情報を紛失した場合、顧客に対しての謝罪はもちろんのこと、監督官庁への報告や公表の義務があり、機密情報の紛失事故は大きな問題となる。

本発明はこのような状況に鑑みてなされたものであり、機密データを紛失する恐れなく安全に保管することのできる手法を提供するものである。

上記課題を解決するために、本発明では、利用者端末装置（例えば、ＰＣ等）から携帯端末装置（例えば、携帯電話）に機密データを格納する際に、利用者端末装置と携帯端末装置間で認証を行い、正当な機器か確認される。そして、携帯端末装置内の任意のアプリケーション（機密データをメモリに格納するためのファイル管理用プロセスも含む）による携帯端末装置内の不揮発性メモリへの入出力要求がメモリアクセス制御ドライバによって捕捉され、不揮発性メモリ内の指定フォルダへのファイル管理用プロセス以外のプロセスからのアクセスを制限し、ファイル管理用プロセスのみが機密データにアクセスできるようにしている。これにより、不揮発性メモリ内の指定フォルダに保存されたデータを保護する。

即ち、本発明によるファイル管理システムは、利用者端末装置と携帯端末装置とを備え、それらの間の機密ファイルの転送を行うものである。そして、利用者端末装置は、携帯端末装置に対してアクセス要求を行い、機密ファイルの転送を実行するファイル転送制御手段を有する。また、携帯端末装置は、ファイル転送制御手段からのアクセス要求に応答して、利用者端末装置の認証を実行し、認証成功時に、ファイル転送制御手段から転送されてきた機密ファイルをメモリ（例えば、不揮発性メモリ）に格納するために、メモリへのアクセスを要求するファイル管理手段と、メモリへのアクセス要求に応答して、アクセス元がファイル管理手段の場合にのみ、機密ファイルがメモリに格納されるのを許可するメモリアクセス制御手段（メモリアクセス制御ドライバ）と、を有する。

さらに、本ファイル管理システムは、携帯端末装置に接続され、携帯端末装置のメモリに格納された機密ファイルの削除を要求するための遠隔削除制御手段を有している。そして、携帯端末装置におけるファイル管理手段は、遠隔削除制御手段からのファイル削除要求に応答して、メモリに格納されている機密ファイルを削除する。削除動作が完了すると、その旨が遠隔削除制御手段に通知される。

また、利用者端末装置におけるファイル転送制御手段は、携帯端末装置のメモリに格納された機密ファイルを利用者端末装置に転送させるための転送要求を携帯端末装置のファイル管理手段に出すと、ファイル管理手段は、その転送要求に応答して、機密ファイルをメモリから取得して、ファイル転送制御手段に送信する。

本発明は、本ファイル管理システムで使用される携帯端末装置をも提供する。この携帯端末装置は、利用者端末装置との間で機密ファイルの送受信を行うものであり、利用者端末装置からのアクセス要求に応答して、利用者端末装置の認証を実行し、認証成功時に、利用者端末装置から転送されてきた機密ファイルをメモリに格納するために、メモリへのアクセスを要求するファイル管理手段と、メモリへのアクセス要求に応答して、アクセス元がファイル管理手段の場合にのみ、機密ファイルがメモリに格納されるのを許可するメモリアクセス制御手段と、を備えることを特徴とする。

さらなる本発明の特徴は、以下本発明を実施するための最良の形態および添付図面によって明らかになるものである。

本発明によれば、利用者端末装置の通信機能が利用できず、ファイルサーバにアクセスできない環境でも、作成した機密データを紛失する恐れなく安全に保管することができるようになる。

本発明の第１の実施形態によるファイル管理システムの概略構成を示す図である。 利用者端末から携帯電話に機密データをコピーする処理を説明するためのフローチャートである。 携帯管理サーバから携帯電話内の機密データを遠隔削除する処理を説明するためのフローチャートである。 携帯管理サーバの管理ページ画面を表した図である。 携帯電話内アプリケーションから機密データへのアクセスに対する制御処理を説明するためのフローチャートである。 本発明の第２の実施形態によるファイル管理システムの概略構成を示す図である。 利用者端末から携帯電話内の機密データにアクセス時の処理を説明するためのフローチャートである。

符号の説明

１００…ファイルサーバ
１０１…利用者端末
１０２…携帯電話
１０３…携帯管理サーバ
１０４…インターネット
１０５…ＵＳＢケーブル
１０６…電話回線網
１０７…ＯＳ
１０８…アプリケーション
１０９…ファイル転送クライアント
１１０…外部媒体書込み制御ドライバ
１１１…２次記憶装置書込み制御ドライバ
１１３…ファイル管理サービス
１１４…メモリアクセス制御ドライバ
１１５…機密データ
１１６…記憶用メモリ
１１７…管理ページ
１１８…Ｗｅｂサーバ
１１９…遠隔削除サービス
１２０…２次記憶装置
１２１…メモリ（キャッシュメモリ）

以下、添付図面を参照して本発明の実施形態について説明する。ただし、本実施形態は本発明を実現するための一例に過ぎず、本発明を限定するものではないことに注意すべきである。

前述のように機密情報の紛失事故は大きな問題となることから、モバイルＰＣ等の紛失の危険性があるＰＣでは、機密情報の利用・閲覧はさせても、保存はさせたくないというニーズが大きい。ところが、特許文献１に記載のような自動ファイル暗号システムではこのニーズに答えることができない。

そこで、本出願人は、このニーズに応えるために、利用者端末に一切データ保存を許さず、データの外部記憶媒体へのコピーや印刷を禁止する機能をソフトウェアで実装し、新たに作成した機密データはネットワーク先にあるファイルサーバに保管させることで、機密データの漏洩・紛失防止と、ファイルサーバ集約を図るシステムを考案し、特許出願している（特願２００６−２３８５７４）。

しかしながら、このシステムの大きな課題として、オフィス外など通信が利用できない環境では、ネットワーク先のファイルサーバにアクセスできず、機密データを利用できない問題があった。

本実施形態に係るシステムによれば、通信が利用できずにファイルサーバにアクセスできない環境でも、作成した機密データを紛失する恐れなく安全に保管することができる。

＜第１の実施形態＞
（１）データ管理システムの構成
図１は、本発明の第１の実施形態によるデータ管理システムの概略構成を示す図である。図１に示されるように、データ管理システムは、ファイルサーバ１００と、利用者端末１０１と、携帯電話（携帯電話に限らず、通信機能を備えたＰＤＡ等の携帯端末であってもよい）１０２と、携帯管理サーバ１０３とで構成されている。また、ファイルサーバ１００と利用者端末１０１とがインターネット１０４を介して、さらに、携帯電話１０２と携帯管理サーバ１０３とが無線電話回線網１０６を介して、通信できるようになっている。

インターネット１０４が使用可能な環境の場合には、利用者端末１０１は、ファイルサーバ１００との通信を用いて機密データが管理されるが、使用不可能な環境の場合には、携帯電話１０２を用いて機密データを管理することが可能になっている。携帯電話を用いて機密データを管理できるようにするため、利用者端末１０１と携帯電話１０２との間は、ＵＳＢケーブルを接続することにより、シリアル通信が可能となっている。

利用者端末１０１は、２次記憶装置１２０と、キャッシュメモリ１２１と、図示しないＣＰＵやＭＰＵ等の処理制御部の制御に従って、ＯＳ１０７上で動作する、アプリケーション動作部１０８と、ファイル転送クライアント１０９と、外部媒体書込み制御ドライバ１１０と、２次記憶装置書込み制御ドライバ１１１と、を備えている。

アプリケーション動作部１０８は、各種アプリケーションを起動して動作させるものである。外部媒体書込み制御ドライバ１１０は、ＵＳＢメモリや外付けハードディスク等の外部記憶媒体への書き込み、及びプリンタへの出力を禁止している。また、２次記憶装置書込み制御ドライバ１１１は、ＯＳから２次記憶装置１２０へのＩ／Ｏ要求を監視し、２次記憶装置１２０からのデータの読み込みは許可するが、書き込みは禁止している。具体的には、書き込み時は、書き込みデータをメモリ１２１にキャッシュし、読み込み時には、２次記憶装置１２０から読み出したデータに対して、既にメモリ１２１内にキャッシュされているデータのうち、読み出しデータと重なる部分を上書きしてＯＳに転送する。これにより擬似的に（見かけ上）は２次記憶装置１２０に書き込みができているようになっているが、実際には書き込みデータは、２次記憶装置１２０にはまったく反映されず、電源ＯＦＦ時に消去される。この２つのドライバにより、利用者端末１０１で作成した機密データは外部に出力することもできず、２次記憶装置１２０に一切保存できない。したがって、この利用者端末１０１から機密データを持ち出すことができず、端末を紛失したとしても、機密データは全く保存されていないので、機密データの紛失事故にはならない。ただし、作成したデータが保存できないと不便なため、通常では、利用者端末１０１で作成した機密データは、インターネット１０４経由でファイルサーバ１００に保存できるようになっている。以上は、先願の特願２００６−２３８５７４にも記載されている内容である。

ところが、オフィス外で通信ができない場合を想定すると、その場合にはファイルサーバ１００にはアクセスできないので、作成したデータを保存できないという問題が生じる。この問題の解決として、携帯電話１０２に内蔵されている記憶用メモリ１１６に、ＵＳＢケーブル１０５経由でデータを保存できるようにする。

この動作を実現するために、携帯電話１０２は、機密データ１１５等が格納される記憶用メモリ（例えば不揮発性メモリ）１１６と、図示しない携帯電話のＣＰＵやＭＰＵ等の処理制御部の制御に従って携帯電話のＯＳ上で動作する、アプリケーション動作部１１２と、ファイル管理サービス１１３と、メモリアクセス制御ドライバ１１４と、を備えている。

利用者端末１０１と携帯電話１０２とがＵＳＢケーブル１０５を介して接続され、利用者端末１０１に対して、利用者から携帯電話１０２に機密データを保存するように指示がなされると、利用者端末１０１にあるファイル転送クライアント１０９はＵＳＢケーブル１０５経由で携帯電話１０２内部のファイル管理サービス１１３にアクセスし、機密データを転送する。このとき、メモリアクセス制御ドライバ１１４は、記憶用メモリ１１６へのＩ／Ｏを監視し、ファイル管理サービス１１３以外のプロセスからの機密データ１１５へのアクセスを禁止する。つまり、ファイル管理サービス１１３しか機密データ１１５の取り扱いができないようになっている。これにより、不正意思ある利用者が、携帯電話１０２内部のＷｅｂブラウザやメーラといったアプリケーション１１２を利用して機密データにアクセスし、携帯電話の外部にデータ漏洩する行為を禁止できるようになる。もし、機密データ１１５が保存されたままの状態で携帯電話１０２を紛失した場合、システム管理者が携帯管理サーバ１０３の遠隔削除サービス１１９を利用して、電話回線網１０６を使って、紛失した携帯電話１０２にアクセスし、ファイル管理サービス１１３に消去命令を発行して内部にある機密データ１１５を削除することでできる（削除動作の詳細は後述する）。この機能があることにより、携帯電話を失くした際にも、保存した機密データが紛失することは防げる。消去完了後はファイル管理サービス１１３よりファイル削除完了通知とともに、消去したファイルのリストが携帯管理サーバ１１９の遠隔削除サービスに送られる。そのため、管理者は確実にファイルが消去されたことを知ることができる。管理者は管理ページ１１７上で遠隔削除サービスを操作することができ、遠隔削除後の削除したファイルリストも閲覧することが可能である。

（２）機密データのコピー処理
図２は、利用者端末１０１から携帯電話１０２に機密データ１１５をコピーする際の処理を説明するためのフローチャートである。

まず初めに、ファイル転送クライアント１０９が起動時に起動チェック処理を行う（ステップＳ２００）。この起動チェックでは、利用者端末に２次記憶装置書込み制御ドライバ１１１が実行されており、機密情報紛失・漏洩対策のなされた利用者端末（ＰＣ）で、また、ファイル転送クライアント１０９が実行されていることが確認される。次に、ファイル転送クライアント１０９はファイル管理サービス１１３に対してアクセスを行う（ステップＳ２０１）。例えば、後述の相互認証がチャレンジ・レスポンス方式で行われる場合には、ファイル転送クライアント１０９からファイル管理サービス１１３へはチャレンジという所定の値（暗号鍵）が送信され、ステップＳ２０１のアクセスが実現される。そして、ファイル管理サービス１１３とファイル転送クライアント１０９とが相互に認証を行う（ステップＳ２０２）。この認証処理は、携帯電話及び利用者端末が、機密情報紛失・漏洩対策のなされた、正当なものであるかを確認するための処理である。相互認証については、例えば、ファイル管理サービス１１３は、ファイル転送クライアント１０９からのチャレンジを受け取り、それに所定の演算処理を施してデータ（レスポンス）を生成してファイル転送クライアント１０９に返送する。このレスポンスとファイル転送クラインアント１０９が自ら生成したレスポンスとを照合して認証が実行される。一方、ファイル管理サービス１１３もファイル転送クライアント１０９にチャレンジを送信し、同様な認証が実行される。このようにして相互認証が実行される。

ファイル転送クライアント１０９及びファイル管理サービス１１３は、互いに認証結果をチェックし（ステップＳ２０３）、認証が失敗した場合、それぞれのアクセス元にエラーを返す（ステップＳ２０６）。認証が成功した場合、ファイル転送クライアント１０９は、ファイル管理サービス１１３にコピーデータ（機密データ）を送信し（ステップＳ２０４）、ファイル管理サービス１１３が受信したコピーデータを記憶用メモリ１１６に書き込む（ステップＳ２０５）。このような処理を行うことにより、セキュリティ対策の行われた正当な利用者端末からしか、機密データを携帯電話１０２の記憶用メモリ１１６にコピーできないようにすることができる。また、セキュリティ対策の行われた正当な利用者端末１０１からしか、セキュリティ対策のされた携帯電話１０２に格納された機密データ１１５をアクセスできないようにすることができる。

なお、本実施形態においては、利用者が、インターネット１０４を介して、利用者端末１０１をファイルサーバ１００に接続しようとして失敗した場合に、図示しない処理制御手段（ＣＰＵ等）が接続失敗を検知し、図示しない表示画面に「ファイルサーバ１００に接続できない」及び「ＵＳＢケーブル１０５を介して携帯電話１０２に格納するべきである」旨のメッセージを表示する。そして、そのメッセージを受けて、利用者がＵＳＢケーブル１０５を介して携帯電話１０２を接続すると、処理制御手段が携帯電話１０２との接続を検知し、上述のステップステップＳ２００以下の処理を実行するようにしても良い。

（３）携帯電話内の機密データの遠隔削除処理
図３は、携帯管理サーバ１０３から携帯電話１０２内の機密データ１１５を遠隔削除する際の処理を説明するためのフローチャートである。この処理は、例えば、機密データ１１５を利用者端末１０１から携帯電話１０２にコピーしたが、その携帯電話１０２を紛失したり、盗難にあったりした場合に、安全に機密データ１１５を管理できるようにするためのものである。

図３において、携帯電話１０２内の機密データを削除したい場合、まず初めに、システム管理者は自身の端末装置を操作して携帯管理サーバ１０３の管理ページ１１７にアクセスする（ステップ３００）。そして、管理ページ１１７の内容が管理者の端末の画面上に表示される。次に、システム管理者は、登録された携帯電話リストにある遠隔削除ボタンを押して、対象となっている携帯電話１０２に格納されている機密データの削除が指示される（ステップＳ３０１）。

この削除指示を受けて、遠隔削除サービス１１９は、遠隔削除命令を、携帯電話１０２内部にあるファイル管理サービス１１３に携帯電話の電話回線網１０６を通じて送信する（ステップＳ３０２）。この通知を受け、ファイル管理サービス１１３は携帯電話１０２内蔵の記憶用メモリ１１６にある機密データ１１５をすべて削除する（ステップＳ３０３）。そして、削除したファイルリストと削除完了日時が携帯管理サーバ１０３に通知される（ステップＳ３０４）。最後に、遠隔削除サービス１１９は、遠隔削除完了通知を基に、管理ページ１１７を更新する（ステップＳ３０５）。

図４は、携帯管理サーバ１０３の管理ページ画面を表した図である。システム管理者が利用する携帯管理画面４００には管理テーブルがあり、電話番号４０３、電話利用者４０４、状態４０５、遠隔削除４０６の４つの欄で構成されている。各行はそれぞれ、あらかじめ登録されている携帯電話１０２に対応している。携帯電話１０２を紛失したときには、遠隔削除欄４０６の実行ボタンを押すことで、遠隔削除命令を送ることができ、携帯電話１０２内のファイル管理サービス１１３が遠隔削除命令を受けて、対応するファイルを削除する。削除が無事に終了すると、削除完了日時と削除したファイルリスト情報を含む遠隔削除管理通知がファイル管理サービス１１３から携帯管理サーバ１０３に送られる。遠隔削除完了の通知を受けると、携帯管理サーバ１０３では、通知の発行された携帯電話１０２に対応する行の各属性が変更された画面４０１が表示される。状態欄の「削除完了」の下にある「詳細」４０９をクリックすることにより、削除完了日時４０７と削除ファイル一覧４０８を表示した削除完了明細４０２が表示される。このページにより、確かに機密データ１１５が携帯電話１０２内部の記憶用メモリ１１６から消去されたことが確認できる。

以上のように基本的には紛失時に電話回線網経由の遠隔削除を行うが、電波の届かない場所で紛失する可能性もあるため、定期的に時限消去を行うオプションと組み合わせることも可能である。時限消去のポリシーとしては、毎日定時に消去するとか、ファイルコピー後、一定時間たつと消去する等がある。これにより、更なる強固なセキュリティを実現することができるようになる。

（４）機密データへのアクセス制御処理
図５は、携帯電話１０２内アプリケーション動作部１１２から機密データ１１５へのアクセスに対する制御処理を説明するためのフローチャートである。携帯電話１０２内のアプリケーション（１１２又は１１３）が機密データ１１５のオープンを指示すると（ステップＳ５００）、メモリアクセス制御ドライバ１１４はファイルオープンの関数の呼び出しをフックする（ステップＳ５０１）。そして、メモリアクセス制御ドライバ１１４は、アクセス元（１１２又は１１３）プロセスのプロセスＩＤとファイル管理サービス１１３のプロセスＩＤとを比較する（ステップＳ５０２）。ＩＤが一致した場合、メモリアクセス制御ドライバ１１４は、プロセスの機密ファイルへのオープンを許可する（ステップＳ５０４）。ＩＤが異なる場合、メモリアクセス制御ドライバ１１４は、プロセスの機密データ１１５へのオープンを禁止する（ステップ５０５）。この制御により、ファイル管理サービス１１３しか機密データ１１５にアクセスできない状況となり、不正意思ある利用者が携帯電話１０２内部のブラウザやメーラ等のアプリケーションを使って、機密データ１１５を漏洩できないようにすることができる。

＜第２の実施形態＞
（１）データ管理システムの構成
図６は、本発明の第２の実施形態におけるデータ管理システムの概略構成を示す図である。第２の実施形態は、既存ＰＣを利用した機密データの管理手法に係るものである。したがって、セキュリティレベルは、第１の実施形態よりは低いが、使い勝手はそれよりもいい。なお、本実施形態では、ユーザへの信頼を前提としている。

本実施形態のデータ管理システムにおいて、第１の実施形態との違いは、利用者端末６００が既存ＰＣであり、２次記憶装置６０８への書き込み制御や外部記憶媒体への書き込み制御は行っていない点にある。

図６に示されるように、データ管理システムは、利用者端末６００と、携帯電話（携帯電話に限らず、通信機能を備えたＰＤＡ等の携帯端末であってもよい）６０１と、携帯管理サーバ６０２と、を備えている。また、携帯電話６０１と携帯管理サーバ６０２とは、無線電話回線網６０４を介して通信できるようになっている。

利用者端末６００には、一般のアプリケーション６０６の他に、ファイル転送クライアント６０７がインストールされている。このツールを用いて、携帯電話６０１にあるファイル管理サービス６１０にアクセスして、利用者端末６００と携帯電話６０１間のデータ転送を行う。接続はＵＳＢケーブル経由で行う。利用者端末６００で作成した機密データ６１２は、携帯電話６０１に内蔵された記憶用メモリ６１３に保存して持ち歩くことができる。ファイル転送クライアント６０７からファイル管理サービス６１０にアクセスするには、ＩＤ・パスワード認証が必要となる。この認証に成功すれば、携帯電話６０１内部の機密データ６１２にアクセスすることができるし、機密データ６１２を携帯電話６０１に保存することもできる。ＩＤ・パスワード認証にすることで、特定ユーザのみ携帯電話６０１内の機密データ６１２にアクセスでき、また、保存することができるよう制限できる。ＩＤ・パスワード認証に限らず、生態認証やＩＣカード等のデバイス認証でも利用可能であり、認証方法の違いによって本発明の一般性は損なわれない。万が一機密データ６１２を保存した携帯電話６０１を紛失したときには、第１の実施形態と同様に、管理者により携帯管理サーバ６０２にアクセスし、遠隔削除サービス６１６を使って、携帯電話６０１内部の機密データ６１２を遠隔削除することが可能である。

（２）機密データへのアクセス制御処理
図７は、利用者端末６００から携帯電話６０１内の機密データ６１２にアクセス時の処理を説明するためのフローチャートである。最初、ファイル転送クライアント６０７から、ファイル管理サービス６１０へアクセスが発生すると（ステップＳ７００）、このアクセスを受けて、ファイル管理サービス６１０はファイル転送クライアント６０７経由で、利用者にＩＤ・パスワードの要求を行う（ステップＳ７０１）。その入力を受けて、ファイル管理サービス６１０は認証処理を行う（ステップＳ７０２）。認証が成功すれば、ファイル管理サービス６１０は、自身へのアクセスを許可し、ファイル転送処理を実行させる（ステップＳ７０３）。認証が失敗すれば、ファイル管理サービス６１０は、自身へのアクセスを拒否して処理を終了する（ステップＳ７０４）。

このように、第１の実施形態では、特定のＰＣからしか携帯電話に機密データを保存したり、読み込んだりすることはできないが、第２の実施形態では、ＩＤ・パスワード認証が成立すれば、不特定のＰＣから携帯電話内に機密データを保存、もしくはアクセスすることができるようになる。この実施形態により、例えば顧客先から重要データのコピーを携帯電話内に保存し、安全に自社に持ち帰るといった利用形態も可能となる。また、携帯電話へのデータ保存はパスワード認証で行い、データの読み出しは、ＰＣ認証を要求して特定ＰＣにしか読み込めないようにすることで、データの拡散を防止しつつ、不特定のＰＣからデータをコピーして安全に持ち歩くといった利用方法も実現できる。

さらに、強固なセキュリティ実現として、基本的には紛失時に電話回線網経由の遠隔削除を行うが、電波の届かない場所で紛失する可能性もあるため、定期的に時限消去を行うオプションと組み合わせることも可能である。時限消去のポリシーとしては、毎日定時に消去するとか、ファイルコピー後、一定時間経つと消去する等がある。

＜まとめ＞
以上に説明したように、本実施形態では、携帯電話の内蔵メモリに機密データを保存し、機密データへのアクセス制御を行うことにより、データ漏洩を防止している。また、携帯電話紛失時における遠隔削除機能により、機密データの紛失を防止する。

より詳細には、本実施形態によるファイル（データ）管理システムは、少なくとも利用者端末と携帯端末（携帯電話）とを備える。利用者端末では、ファイル転送クライアントが、携帯端末に対してアクセス要求を行い、機密ファイルの転送を実行する。一方、携帯端末では、ファイル転送クライアントらのアクセス要求に応答して、ファイル管理サービスが、利用者端末装置の認証（好ましくは、利用者端末と携帯端末との間の相互認証）を実行し、認証成功時に、ファイル転送クライアントから転送されてきた機密ファイルをメモリに格納するために、メモリへのアクセスを要求する。そして、メモリアクセス制御ドライバが、メモリへのアクセス要求に応答して、アクセス元がファイル管理サービスの場合にのみ、機密ファイルがメモリに格納されるのを許可するようにしている。また、メモリアクセス制御サービスは、機密ファイルがメモリに格納されている場合、メモリへのアクセス要求が出されたアクセス元が何かを判定し、アクセス元がファイル管理サービスで無い場合には、機密ファイルへのアクセスを禁止するようにしている。以上のような構成にすれば、正当な機器同士（利用者端末と携帯端末）でしか機密ファイル（データ）のやり取りができないので、機密データを通常の携帯電話に格納して持ち去ることを防止することができる。また、このような手法を用いれば、利用者端末がファイルサーバにアクセスできないような環境であっても、機密データを安全に取り扱うことができるようになる。さらに、携帯端末でも、特定のアプリケーション（ファイル管理サービス）によってのみ機密ファイルを取り扱うことができるので、メーラや文書作成ソフトウエアのような通常インストールされているアプリケーションからの機密データへのアクセスを禁止でき、データの機密性を担保することができる。

また、利用者端末のファイル転送クライアントを用いて、携帯端末のメモリに格納された機密ファイルを利用者端末装置に転送させる（戻す）ための転送要求をファイル管理サービスに出し、ファイル管理手段は、この転送要求に応答して、機密ファイルをメモリから取得して、ファイル転送クライアントに送信できるようになっている。これにより、一旦携帯端末で持ち出した機密データを利用者端末（機密データを作成した端末でなくてもよい）に、データの漏洩なしに安全に戻すことができる。また、これによって、ファイルサーバが使えない環境でも機密データを一時的に格納しておくことができるので、利用者にとっては非常に使い勝手のよいシステムが構築できる。

さらに、本ファイル管理システムは、携帯端末に接続され、携帯端末のメモリに格納された機密ファイルの削除を要求するための遠隔削除制御サービスを有する携帯端末用サーバを備えている。そして、ファイル管理サービスは、遠隔削除制御サービスからのファイル削除要求に応答して、メモリに格納されている機密ファイルを削除し、削除完了を遠隔削除制御サービスに通知する。これにより、機密データを格納した携帯端末を紛失したり、盗難されたりしても、機密データの漏洩を防止することができるようになる。

なお、利用者端末は、２次記憶装置と、一時的にデータを記憶するための揮発性メモリと、２次記憶装置に対するデータの読み出し／書込みを制御する２次記憶装置ドライバを有している。そして、２次記憶装置制御ドライバは、任意のアプリケーションによる２次記憶装置への入出力要求を捕捉し、揮発性メモリに書き込みデータを格納し、読み込みデータについては、揮発性メモリに格納された書込みデータのうち、重なりのある部分を上書きすることで、２次記憶装置にはデータは保存させないが、擬似的に書き込みを許す機能を備えている。これにより、２次記憶装置（例えば、ＨＤＤ）への書き込みが禁止されるので、更新された機密データが利用者端末に残ることは無く、情報の漏洩を防止することができる。ファイルサーバへのアクセスができる環境であれば、更新した機密データはファイルサーバに格納でき、ファイルサーバにアクセスできなければ、上述のように携帯端末に更新した機密データを安全に保管することができる。

本実施形態の機能は、ソフトウエアのプログラムコードによっても実現できる。この場合、プログラムコードを記録した記憶媒体をシステム或は装置に提供し、そのシステム或は装置のコンピュータ（又はＣＰＵやＭＰＵ）が記憶媒体に格納されたプログラムコードを読み出す。この場合、記憶媒体から読み出されたプログラムコード自体が前述した実施形態の機能を実現することになり、そのプログラムコード自体、及びそれを記憶した記憶媒体は本発明を構成することになる。このようなプログラムコードを供給するための記憶媒体としては、例えば、フロッピィ（登録商標）ディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、ハードディスク、光ディスク、光磁気ディスク、ＣＤ−Ｒ、磁気テープ、不揮発性のメモリカード、ＲＯＭなどが用いられる。

また、プログラムコードの指示に基づき、コンピュータ上で稼動しているＯＳ（オペレーティングシステム）などが実際の処理の一部又は全部を行い、その処理によって前述した実施の形態の機能が実現されるようにしてもよい。 さらに、記憶媒体から読み出されたプログラムコードが、コンピュータ上のメモリに書きこまれた後、そのプログラムコードの指示に基づき、コンピュータのＣＰＵなどが実際の処理の一部又は全部を行い、その処理によって前述した実施の形態の機能が実現されるようにしてもよい。

また、実施の形態の機能を実現するソフトウエアのプログラムコードがネットワークを介して配信されることにより、システム又は装置のハードディスクやメモリ等の記憶手段又はＣＤ−ＲＷ、ＣＤ−Ｒ等の記憶媒体に格納され、そのシステム又は装置のコンピュータ（又はＣＰＵやＭＰＵ）が当該記憶手段や当該記憶媒体に格納されたプログラムコードを読み出して実行するようにしてもよい。

Claims (11)

1. 利用者端末装置と携帯端末装置とを備え、それらの間の機密ファイルの転送を行うファイル管理システムであって、
   前記利用者端末装置は、
   前記携帯端末装置に対してアクセス要求を行い、機密ファイルの転送を実行するファイル転送制御手段を有し、
   前記携帯端末装置は、
   前記ファイル転送制御手段からのアクセス要求に応答して、前記利用者端末装置の認証を実行し、認証成功時に、前記ファイル転送制御手段から転送されてきた前記機密ファイルをメモリに格納するために、前記メモリへのアクセスを要求するファイル管理手段と、
   前記メモリへのアクセス要求に応答して、アクセス元が前記ファイル管理手段の場合にのみ、前記機密ファイルが前記メモリに格納されるのを許可するメモリアクセス制御手段と、
   所定のアプリケーションを実行するアプリケーション動作部と、を有し、
   前記利用者端末装置の前記ファイル転送制御手段からの前記メモリへのアクセスは、前記携帯端末装置の前記ファイル管理手段を介して行われ、
   前記アプリケーション動作部からの前記メモリへのアクセスは、前記ファイル管理手段を介さずに行われ、
   前記メモリアクセス制御手段は、前記機密ファイルへのアクセス要求が出されたアクセス元が何かを判定し、前記アクセス元が前記ファイル管理手段の場合には前記機密ファイルへのアクセスを許可し、前記アクセス元が前記アプリケーション動作部の場合には前記機密ファイルへのアクセスを禁止することを特徴とするファイル管理システム。
2. さらに、前記携帯端末装置に接続され、前記携帯端末装置のメモリに格納された前記機密ファイルの削除を要求するための遠隔削除制御手段を有する携帯端末装置用サーバを備え、
   前記ファイル管理手段は、前記遠隔削除制御手段からのファイル削除要求に応答して、前記メモリに格納されている前記機密ファイルを削除し、削除完了を前記遠隔削除制御手段に通知することを特徴とする請求項１に記載のファイル管理システム。
3. 前記ファイル転送制御手段は、前記携帯端末装置のメモリに格納された前記機密ファイルを前記利用者端末装置に転送させるための転送要求を前記ファイル管理手段に出し、
   前記ファイル管理手段は、前記転送要求に応答して、前記機密ファイルを前記メモリから取得して、前記ファイル転送制御手段に送信することを特徴とする請求項１に記載のファイル管理システム。
4. 前記利用者端末装置は、さらに、
   ２次記憶装置と、
   一時的にデータを記憶するための揮発性メモリと、
   前記２次記憶装置に対するデータの読み出し／書込みを制御する２次記憶装置制御手段と、を有し、
   前記２次記憶装置制御手段は、任意のアプリケーションによる前記２次記憶装置への入出力要求を捕捉し、データ書き込み時は前記揮発性メモリに書き込みデータを格納し、データ読み込み時は前記２次記憶装置から読み込みデータに対して、既に前記揮発性メモリに格納されている前記書き込みデータのうち、前記読み込みデータと重なりのある部分を上書きすることで、書き込み時は２次記憶装置にはデータは保存させないが、擬似的に書き込みを許し、読み込み時は最新のデータを提示する機能を備え、
   前記利用者端末装置において作成したファイルを保存する際、通信が利用できない場合に、前記携帯端末装置にファイルを保管することを特徴とする請求項１乃至３の何れか１項に記載のファイル管理システム。
5. 利用者端末装置との間で機密ファイルの送受信を行う携帯端末装置であって、
   前記利用者端末装置からのアクセス要求に応答して、前記利用者端末装置の認証を実行し、認証成功時に、前記利用者端末装置から転送されてきた前記機密ファイルをメモリに格納するために、前記メモリへのアクセスを要求するファイル管理手段と、
   前記メモリへのアクセス要求に応答して、アクセス元が前記ファイル管理手段の場合にのみ、前記機密ファイルが前記メモリに格納されるのを許可するメモリアクセス制御手段と、
   所定のアプリケーションを実行するアプリケーション動作部と、を有し、
   前記携帯端末装置に対してアクセス要求を行い、機密ファイルの転送を実行する、前記利用者端末装置のファイル転送制御手段からの前記メモリへのアクセスは、前記ファイル管理手段を介して行われ、
   前記アプリケーション動作部からの前記メモリへのアクセスは、前記ファイル管理手段を介さずに行われ、
   前記メモリアクセス制御手段は、前記機密ファイルへのアクセス要求が出されたアクセス元が何かを判定し、前記アクセス元が前記ファイル管理手段の場合には前記機密ファイルへのアクセスを許可し、前記アクセス元が前記アプリケーション動作部の場合には前記機密ファイルへのアクセスを禁止することを特徴とする携帯端末装置。
6. 前記ファイル管理手段は、前記メモリに格納された前記機密ファイルの削除要求を携帯端末装置用サーバから受信し、前記ファイル削除要求に応答して、前記メモリに格納されている前記機密ファイルを削除し、削除完了を前記携帯端末装置用サーバに通知することを特徴とする請求項５に記載の携帯端末装置。
7. 前記ファイル管理手段は、前記利用者端末装置から、前記メモリに格納された前記機密ファイルを前記利用者端末装置に転送するように指示する転送要求を受信し、前記転送要求に応答して、前記機密ファイルを前記メモリから取得して、前記利用者端末装置に送信することを特徴とする請求項５に記載の携帯端末装置。
8. 利用者端末装置と携帯端末装置とを有するシステムにおける機密ファイルの転送を管理するファイル管理方法であって、
   前記利用者端末装置のファイル転送制御手段が、前記携帯端末装置に対してアクセス要求を行い、
   前記携帯端末装置のファイル管理手段が、前記ファイル転送制御手段からのアクセス要求に応答して、前記利用者端末装置の認証を実行し、認証成功時に、前記ファイル転送制御手段から転送されてきた前記機密ファイルをメモリに格納するために、前記メモリへのアクセスを要求し、
   前記携帯端末装置のメモリアクセス制御手段が、前記メモリへのアクセス要求に応答して、アクセス元が前記ファイル管理手段の場合にのみ、前記機密ファイルが前記メモリに格納されるのを許可し、
   前記携帯端末装置のアプリケーション実行部が、所定のアプリケーションを実行し、
   前記ファイル転送制御手段からの前記メモリへのアクセスは、前記携帯端末装置の前記ファイル管理手段を介して行われ、
   前記アプリケーション動作部からの前記メモリへのアクセスは、前記ファイル管理手段を介さずに行われ、
   前記メモリアクセス制御手段が、前記機密ファイルへのアクセス要求が出されたアクセス元が何かを判定し、前記アクセス元が前記ファイル管理手段の場合には前記機密ファイルへのアクセスを許可し、前記アクセス元が前記アプリケーション動作部の場合には前記機密ファイルへのアクセスを禁止することを特徴とするファイル管理方法。
9. 前記システムは、前記携帯端末装置に接続され、前記携帯端末装置のメモリに格納された前記機密ファイルの削除を要求するための遠隔削除制御手段を有する携帯端末装置用サーバを備え、
   前記ファイル管理手段が、前記遠隔削除制御手段からのファイル削除要求に応答して、前記メモリに格納されている前記機密ファイルを削除し、削除完了を前記遠隔削除制御手段に通知することを特徴とする請求項８に記載のファイル管理方法。
10. 前記ファイル転送制御手段が、前記携帯端末装置のメモリに格納された前記機密ファイルを前記利用者端末装置に転送するための転送要求を前記ファイル管理手段に出し、
    前記ファイル管理手段は、前記転送要求に応答して、前記機密ファイルを前記メモリから取得して、前記ファイル転送制御手段に送信することを特徴とする請求項８に記載のファイル管理方法。
11. 前記利用者端末装置は、さらに、
    ２次記憶装置と、
    一時的にデータを記憶するための揮発性メモリと、
    前記２次記憶装置に対するデータの読み出し／書込みを制御する２次記憶装置制御手段と、を有し、
    前記２次記憶装置制御手段は、任意のアプリケーションによる前記２次記憶装置への入出力要求を捕捉し、データ書き込み時は前記揮発性メモリに書き込みデータを格納し、データ読み込み時は前記２次記憶装置から読み込みデータに対して、既に前記揮発性メモリに格納されている前記書き込みデータのうち、前記読み込みデータと重なりのある部分を上書きすることで、書き込み時は２次記憶装置にはデータは保存させないが、擬似的に書き込みを許し、読み込み時は最新のデータを提示し、
    前記利用者端末装置において作成したファイルを保存する際、通信が利用できない環境の場合に、前記携帯端末装置にファイルを保管することを特徴とする請求項８乃至１０の何れか１項に記載のファイル管理方法。

Images