JP4955304B2 - データ管理システム及び管理装置及びデータ管理方法及びプログラム - Google Patents

Description

本発明は、記憶媒体のデータのバックアップ・リストア技術に関し、特に、ＩＣカードのデータのバックアップ・リストア技術に関する。
ここで、リストアとは、バックアップしたデータの記憶媒体（ＩＣカード）への再書き込みのことである。

従来ＩＣカード内のデータのバックアップ・リストアを行う方式としてバックアップ対象データをバックアップ鍵で暗号化し、バックアップ鍵をセンターの公開鍵で暗号化して、センターまたはバックアップ用メディアに格納する方式が、特開２００３−８５０４８号公報「バックアップデータ管理システム、バックアップデータ管理方法、および情報処理装置、ならびにコンピュータ・プログラム」に開示されている。
また、カード内にのみ存在し、カード間で同一の共通暗号鍵を用いて、ＩＣカード内データのバックアップ・リストアでのデータの暗号・復号を行う方式が国際公開ＷＯ０２−００３２７１号公報「ＩＣカード、ＩＣカードのバックアップ方法及びリストア方法」に開示されている。
特開２００３−８５０４８号公報 国際公開ＷＯ０２−００３２７１号公報

従来の技術では、リストアを行うときの、リストア先メディアの認証が行われないため、センター側に存在するまたはユーザから送付されてきたメディアに対してリストアを行い、リストアされたカードをユーザへ送付する。そのため、リストア処理に時間がかかり、ユーザの利便性が低い。
また、カード間に共通の暗号鍵を利用する方式では、共通の暗号鍵があらかじめ入っているカードにしかリストアできない。

この発明は上記のような問題点を解決することを主な目的の一つとし、バックアップ先があらかじめ限定されること無く、かつ、不正な利用者へデータが漏洩することがないバックアップ・リストアを行うことを主な目的とする。

本発明に係るデータ管理システムは、
格納しているデータを、第２の記憶媒体の公開鍵を用いて暗号化して、第１の暗号化データとする第１の記憶媒体と、
第１の記憶媒体による第１の暗号化データを入力し、第１の暗号化データを第２の記憶媒体に対して出力し、第１の記憶媒体が格納しているデータを格納させる第３の記憶媒体の公開鍵を取得し、取得した第３の記憶媒体の公開鍵を第２の記憶媒体に対して出力し、第２の記憶媒体による第２の暗号化データを入力し、入力した第２の暗号化データを第３の記憶媒体に対して出力する管理装置と、
第１の暗号化データと第３の記憶媒体の公開鍵を入力し、入力した第１の暗号化データを自身の秘密鍵を用いて復号化し、復号化したデータを第３の記憶媒体の公開鍵を用いて暗号化して、第２の暗号化データとする第２の記憶媒体と、
前記管理装置を介して第２の暗号化データを入力し、入力した第２の暗号化データを自身の秘密鍵を用いて復号化する第３の記憶媒体とを有することを特徴とする。

本発明によれば、暗号化データが復元されるのは記憶媒体の内部のみであり、暗号化データが復元される先は管理下の記憶媒体に限定される。また、第２の記憶媒体における復号化及び暗号化を経るため、第１の記憶媒体から管理装置への第１の暗号化データの送信時には第３の記憶媒体を指定する必要がなく、管理装置から第２の記憶媒体への第１の暗号化データの送信時にリストア先となる第３の記憶媒体を選択すればよく、リストアに用いる記憶媒体を柔軟に選択することができる。

実施の形態１．
図１はこの発明の構成図である。
図１において、バックアップ元カード１００は、ユーザが使用するＩＣカードであり、バックアップするデータが入っているカードである。
リストア先カード３００は、バックアップしたデータをリストアするＩＣカードである。
サーバ装置４００は、暗号化データを保存するとともに、データのバックアップ・リストアを管理する。
組織用カード２００は、組織に対して割り当てられたＩＣカードである。
なお、各ＩＣカードは、カード内で秘密鍵、公開鍵を使用した暗号・復号処理を行うことが出来るものとする。

組織情報ＤＢ（データベース）８００に記憶されている組織情報４０００はサーバ装置４００から参照され、組織に属するＩＣカードのＩＤ、ＩＣカードの証明書、ＩＣカードの有効・無効情報などを持つ。
また、組織とは、会社の組織のような固定された構造を持つものだけではなく、同じ役職同士のようなロールや、ユーザ同士のグループのようなものでもよい。その場合、組織情報には、役職・役割の情報や、ユーザが作成したグループ情報などが格納される。また、組織情報の変更については、システム管理者が行うこととする。ユーザのグループに適用する場合は、ユーザがグループ情報の変更を行うことが出来るインタフェースを別途サーバに持つこととする。

カードリーダライタ装置５００は、バックアップ元カード１００のデータに対する書き込み・読み出しを行うカードリーダライタ装置であり、バックアップ元カード１００から暗号化データ１を読み出してサーバ装置４００に対して暗号化データ１（１０００）を送信する。
カードリーダライタ装置６００は、組織用カード２００のデータに対する書き込み・読み出しを行うカードリーダライタ装置であり、サーバ装置４００から暗号化データ１（１０００）とリストア先カード３００の公開鍵３０００を受信するとともに、サーバ装置４００に対して暗号化データ２（２０００）を送信する。
カードリーダライタ装置７００は、リストア先カード３００のデータに対する書き込み・読み出しを行うカードリーダライタ装置であり、サーバ装置４００から暗号化データ２（２０００）を受信し、リストア先カード３００に暗号化データ２（２０００）を書き込む。

本実施の形態において、バックアップ元カード１００は第１の記憶媒体の例であり、バックアップ元カード１００により暗号化された暗号化データ１（１０００）は第１の暗号化データの例である。
また、組織用カード２００は第２の記憶媒体の例であり、組織用カード２００により暗号化された暗号化データ２（２０００）は第２の暗号化データの例である。
また、リストア先カード３００は第３の記憶媒体の例である。
更に、サーバ装置４００は管理装置の例である。

本実施の形態では、バックアップ元カード１００（第１の記憶媒体）が、格納しているデータを組織用カード２００の公開鍵を用いて暗号化して暗号化データ１（１０００）（第１の暗号化データ）とし、サーバ装置４００に対して出力する。
サーバ装置４００（管理装置）では、バックアップ元カード１００による暗号化データ１（１０００）を入力し、暗号化データ１（１０００）を組織用カード２００に対して出力し、バックアップ元カード１００の格納データを格納させるリストア先カード３００の公開鍵３０００を取得し、取得した公開鍵３０００を組織用カード２００に対して出力する。
そして、組織用カード２００（第２の記憶媒体）は、暗号化データ１（１０００）とリストア先カード３００の公開鍵３０００を入力し、入力した暗号化データ１（１０００）を自身の秘密鍵を用いて復号化し、復号化したデータを公開鍵３０００を用いて暗号化して暗号化データ２（２０００）（第２の暗号化データ）とし、暗号化データ２（２０００）をサーバ装置４００に対して出力する。
また、サーバ装置４００では、組織用カード２００による暗号化データ２（２０００）を入力し、入力した暗号化データ２（２０００）をリストア先カード３００に対して出力する。
リストア先カード３００（第３の記憶媒体）では、サーバ装置４００を介して暗号化データ２（２０００）を入力し、入力した暗号化データ２（２０００）を自身の秘密鍵を用いて復号化する。
このような処理により、バックアップ先があらかじめ限定されること無く、かつ、不正な利用者へデータが漏洩することがないバックアップ・リストアを行うことが可能となる。
なお、各要素の動作の詳細な説明は後述する。

次に、図２を用いて、本実施の形態に係るサーバ装置４００（管理装置）の内部構成例を説明する。
通信部４０１は、受信部４０１１と送信部４０１２に大別される。
受信部４０１１では、バックアップ元カード１００からの暗号化データ１（１０００）を受信し、組織用カード２００からの暗号化データ２（２０００）を受信する。
また送信部４０１２は、暗号化データ１（１０００）及び公開鍵３０００を組織用カード２００に送信し、暗号化データ２（２０００）をリストア先カード３００に送信する。
受信部４０１１は、第１の暗号化データ入力部及び第２の暗号化データ入力部の例であり、送信部４０１２は、第１の暗号化データ出力部、第２の暗号化データ出力部及び公開鍵出力部の例である。
データ格納部４０２は、受信部４０１１により受信された暗号化データ１（１０００）及び暗号化データ２（２０００）を格納する。
制御部４０３は、サーバ装置４００全体の制御を行う。
組織情報照合部４０４は、組織情報ＤＢ８００の組織情報４０００を照合し、バックアップ元カード１００が対象とする組織（対象組織）、すなわちバックアップ元カード１００が所属する組織のカードをリストア先カード３００とし、当該リストア先カード３００の公開鍵を取得する。組織情報照合部４０４は公開鍵取得部の例である。

次に、本実施の形態及び以下に述べる実施の形態に示すサーバ装置４００のハードウェア構成例を説明する。
図１１は、本実施の形態及び以下に述べる実施の形態に示すサーバ装置４００のハードウェア資源の一例を示す図である。
図１１において、サーバ装置４００は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。ＣＰＵ９１１は、バス９１２を介して、例えば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）９１３、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）９１４、通信ボード９１５、表示装置９０１、キーボード９０２、マウス９０３、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。更に、ＣＰＵ９１１は、ＦＤＤ９０４（Ｆｌｅｘｉｂｌｅ Ｄｉｓｋ Ｄｒｉｖｅ）、コンパクトディスク装置９０５（ＣＤＤ）、プリンタ装置９０６、スキャナ装置９０７と接続していてもよい。また、磁気ディスク装置９２０の代わりに、光ディスク装置、メモリカード読み書き装置などの記憶装置でもよい。
ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３、ＦＤＤ９０４、ＣＤＤ９０５、磁気ディスク装置９２０の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置あるいは記憶部の一例である。
通信ボード９１５、キーボード９０２、スキャナ装置９０７、ＦＤＤ９０４などは、入力部、入力装置の一例である。
また、通信ボード９１５、表示装置９０１、プリンタ装置９０６などは、出力部、出力装置の一例である。

通信ボード９１５は、図１に示すように、カードリーダライタ装置５００等に接続されている。例えば、通信ボード９１５は、ＬＡＮ（ローカルエリアネットワーク）、インターネット、ＷＡＮ（ワイドエリアネットワーク）などに接続されていても構わない。
磁気ディスク装置９２０には、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。プログラム群９２３のプログラムは、ＣＰＵ９１１、オペレーティングシステム９２１、ウィンドウシステム９２２により実行される。

上記プログラム群９２３には、本実施の形態及び以下に述べる実施の形態の説明において「〜部」、「〜手段」として説明している機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
ファイル群９２４には、本実施の形態及び以下に述べる実施の形態の説明において、「〜の判定結果」、「〜の計算結果」、「〜の処理結果」、「〜の評価結果」等として説明している情報やデータや信号値や変数値やパラメータが、「〜ファイル」や「〜データベース」の各項目として記憶されている。「〜ファイル」や「〜データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリになどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示などのＣＰＵの動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示のＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリ、レジスタ、キャッシュメモリ、バッファメモリ等に一時的に記憶される。
また、以下で説明するフローチャート、シーケンス図の矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ９１４のメモリ、ＦＤＤ９０４のフレキシブルディスク、ＣＤＤ９０５のコンパクトディスク、磁気ディスク装置９２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ等の記録媒体に記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体によりオンライン伝送される。

また、本実施の形態及び以下に述べる実施の形態の説明において「〜部」、「〜手段」として説明しているものは、「〜回路」、「〜装置」、「〜機器」、「手段」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。すなわち、「〜部」、「〜手段」として説明しているものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。すなわち、プログラムは、本実施の形態及び以下に述べる実施の形態の「〜部」、「〜手段」としてコンピュータを機能させるものである。あるいは、本実施の形態及び以下に述べる実施の形態の「〜部」、「〜手段」の手順や方法をコンピュータに実行させるものである。

このように、本実施の形態及び以下に述べる実施の形態に示すサーバ装置４００は、処理装置たるＣＰＵ、記憶装置たるメモリ、磁気ディスク等、入力装置たるキーボード、マウス、通信ボード等、出力装置たる表示装置、通信ボード等を備えるコンピュータであり、上記したように「〜部」、「〜手段」として示された機能をこれら処理装置、記憶装置、入力装置、出力装置を用いて実現するものである。

次に動作について説明する。
前述したように、ＩＣカードは、カード内で秘密鍵、公開鍵を使用した暗号・復号処理を行うことが出来るものを使用する。
ペアを作ったカード（正、副）間でのバックアップ・リストアを、組織用カードを介することで、多対多のバックアップ・リストアを可能とする。
バックアップ元カード１００―組織用カード２００、組織用カード２００―リストア先カード３００間でペアを作成し、バックアップ・リストアを実施する。

バックアップの手順は、図３に示す通りである。
図３及び後述する図４、図８、図９では説明の簡略化のため、カードリーダライタ装置５００、６００、７００の表示は省略しているが、図１に示すように、各ＩＣカードとサーバ装置間の通信はカードリーダライタ装置を介して行われている。
図３において、バックアップ元カード１００内のデータを、バックアップ元カード１００の中で組織用カード２００の公開鍵で暗号化し、暗号化データ１（１０００）を作成し、暗号化データ１（１０００）をカードリーダライタ装置５００を介してサーバ装置４００へ送付する。
サーバ装置４００では、受信部４０１１が、暗号化データ１（１０００）をバックアップ元カード１００から受け取り（第１の暗号化データ入力ステップ）、暗号化データ１（１０００）をディスクなどで構成されるデータ格納部４０２に保存する。

次に、リストアの手順は、図４に示すように、サーバ装置４００の送信部４０１２からカードリーダライタ装置６００を介して暗号化データ１（１０００）を組織用カード２００へ送信する（第１の暗号化データ出力ステップ）。
そして、組織用カード２００では、受け取った暗号化データ１（１０００）を組織用カード２００の秘密鍵を用いてデータを復号する。
次に、サーバ装置４００では、組織情報照合部４０４にて組織情報４０００を参照し、リストア先カード３００の公開鍵３０００を組織情報から取得し（組織情報に公開鍵が含まれている）（公開鍵取得ステップ）、送信部４０１２がリストア先カード３００の公開鍵３０００をカードリーダライタ装置６００を介して組織用カード２００へ送る（公開鍵出力ステップ）。
次に、組織用カード２００内で、復号されていたデータをリストア先カード３００の公開鍵３０００で暗号化して暗号化データ２（２０００）とする。組織用カード２００内で復号されていたデータは削除する。暗号化データ２（２０００）はカードリーダライタ装置６００を介してサーバ装置４００へ送られる。
サーバ装置４００では、受信部４０１１が暗号化データ２（２０００）を受け取り（第２の暗号化データ入力ステップ）、受け取った暗号化データ２（２０００）をカードリーダライタ装置７００を介してリストア先カード３００に送信する（第２の暗号化データ出力ステップ）。
そして、リストア先カード３００において、リストア先カード３００の秘密鍵を使用して暗号化データ２（２０００）を復号し、元のデータを復元する。

このように、本実施の形態に係るバックアップリストア方式では、ＩＣカード内で公開鍵暗号の暗号化複合化を行うことが出来るＩＣカードと、組織情報と、暗号化されたデータを保存するサーバと、組織用のＩＣカードから成り、組織情報を用いてリストア先を制御する。
そして、バックアップ・リストアの処理を行う際、データが復元されるのはカードの内部のみであり、復元される先は組織情報により組織に属しているカードに限定され、リストア先のカードはバックアップ時にあらかじめ指定する必要がない。このため、複数のカードに対して、リストア用のカードが１枚しかない場合でも、任意のバックアップ情報をリストア先へリストアすることが出来、リストア用カードの枚数を減らすことが出来る。

このように、本実施の形態では、格納しているデータを、第２の記憶媒体の公開鍵を用いて暗号化して第１の暗号化データとする第１の記憶媒体と、第１の記憶媒体による第１の暗号化データを入力し、第１の暗号化データを第２の記憶媒体に対して出力し、第１の記憶媒体が格納しているデータを格納させる第３の記憶媒体の公開鍵を取得し、取得した第３の記憶媒体の公開鍵を第２の記憶媒体に対して出力し、第２の記憶媒体による第２の暗号化データを入力し、入力した第２の暗号化データを第３の記憶媒体に対して出力する管理装置と、第１の暗号化データと第３の記憶媒体の公開鍵を入力し、入力した第１の暗号化データを自身の秘密鍵を用いて復号化し、復号化したデータを第３の記憶媒体の公開鍵を用いて暗号化して第２の暗号化データとする第２の記憶媒体と、前記管理装置を介して第２の暗号化データを入力し、入力した第２の暗号化データを自身の秘密鍵を用いて復号化する第３の記憶媒体とを有するデータ管理システムについて説明した。

また、本実施の形態では、前記第１の記憶媒体、前記第２の記憶媒体及び前記第３の記憶媒体は、それぞれ、複数の組織の組織ごとに存在し、対象とする対象組織に対応付けられており、前記第１の記憶媒体は、格納しているデータを、対象組織が共通する第２の記憶媒体の公開鍵を用いて暗号化して第１の暗号化データとし、前記管理装置は、第１の暗号化データを前記第１の記憶媒体と対象組織が共通する第２の記憶媒体に対して出力し、前記第１の記憶媒体と対象組織が共通する第３の記憶媒体の公開鍵を取得し、取得した第３の記憶媒体の公開鍵を前記第１の記憶媒体と対象組織が共通する第２の記憶媒体に対して出力し、前記第１の記憶媒体と対象組織が共通する第２の記憶媒体による第２の暗号化データを入力し、入力した第２の暗号化データを前記第１の記憶媒体と対象組織が共通する第３の記憶媒体に対して出力することを説明した。

また、本実施の形態では、暗号化及び復号化が可能な複数の記憶媒体を管理する管理装置であって、第１の記憶媒体により第２の記憶媒体の公開鍵を用いて暗号化された第１の記憶媒体が格納しているデータを、第１の暗号化データとして入力する第１の暗号化データ入力部と、第１の暗号化データを、第２の記憶媒体に対して出力する第１の暗号化データ出力部と、第１の記憶媒体が格納しているデータを格納させる第３の記憶媒体の公開鍵を取得する公開鍵取得部と、第３の記憶媒体の公開鍵を第２の記憶媒体に対して出力する公開鍵出力部と、第２の記憶媒体により第２の記憶媒体の秘密鍵を用いて第１の暗号化データから復号されたデータが第２の記憶媒体により第３の記憶媒体の公開鍵を用いて暗号化された後のデータを、第２の暗号化データとして入力する第２の暗号化データ入力部と、第２の暗号化データを、第３の記憶媒体に対して出力する第２の暗号化データ出力部とを有する管理装置について説明した。

更に、本実施の形態では、前記第１の記憶媒体、前記第２の記憶媒体及び前記第３の記憶媒体は、それぞれ、複数の組織の組織ごとに存在し、対象とする対象組織に対応付けられており、前記第１の暗号化データ入力部は、前記第１の記憶媒体により前記第１の記憶媒体と対象組織が共通する第２の記憶媒体の公開鍵を用いて暗号化された第１の暗号化データを入力し、前記第１の暗号化データ出力部は、前記第１の暗号化データを、前記第１の記憶媒体と対象組織が共通する第２の記憶媒体に対して出力し、前記公開鍵取得部は、
前記第１の記憶媒体と対象組織が共通する第３の記憶媒体の公開鍵を取得し、前記公開鍵出力部は、前記第１の記憶媒体と対象組織が共通する第３の記憶媒体の公開鍵を前記第１の記憶媒体と対象組織が共通する第２の記憶媒体に対して出力し、前記第２の暗号化データ入力部は、前記第１の記憶媒体と対象組織が共通する第２の記憶媒体による第２の暗号化データを入力し、前記第２の暗号化データ出力部は、前記第２の暗号化データを、前記第１の記憶媒体と対象組織が共通する第３の記憶媒体に対して出力することを説明した。

実施の形態２．
以上の実施の形態１では、組織用カードを用いてＩＣカード内のデータをバックアップ・リストアするようにしたものであるが、次にリストア時にユーザ認証を行う実施の形態を示す。

図５は、本実施の形態に係るサーバ装置４００（管理装置）の構成例を示しており、ユーザ認証部４０５が追加されている点以外は、図２と同じである。
ユーザ認証部４０５は、データのバックアップ時、リストア時のどちらか、または両方で使用する。認証の方法は、ユーザＩＤ／パスワード、指紋など、既存の認証方法を使用する。また、ＩＣカード自身を認証するため、ＩＣカード内の秘密鍵とサーバが持つＩＣカードの公開鍵を使用して相互認証を行ってもよい。
なお、他の要素、すなわち、バックアップ元カード１００、組織用カード２００、リストア先カード３００、カードリーダライタ装置５００、カードリーダライタ装置６００、カードリーダライタ装置７００、組織情報ＤＢ８００は図１と同様であり、また、動作についてもユーザ認証部４０５によるユーザ認証が追加される点を除けば、図３及び図４に示すものと同様である。

本実施の形態に係るバックアップ・リストア方式は、ユーザ認証手段を持ち、バックアップ時やリストア時にユーザ認証を行う。
このため、ユーザ認証をバックアップ前に行うことにより、バックアップを正規のユーザが行っているか否かを区別することが出来る。また、ユーザ認証をリストア時に行うことにより、リストアの操作をオンラインで行う場合など、ユーザがリストア操作を行い、システムの管理者が直接ユーザを確認できない場合に、不正にＩＣカードを取得したユーザがリストアを行うことが出来ず、不正にデータを取得することを防ぐことが出来る。

実施の形態３．
以上の実施の形態では、データをＩＣカードの公開鍵で暗号化し、復号するときはＩＣカード内の秘密鍵で復号していた。公開鍵・秘密鍵による暗号・復号処理は、時間がかかる処理であるため、データ量が多い場合には向かない。
本実施の形態では、暗号化自身は共通鍵暗号で行い、共通鍵暗号の鍵情報のみを公開鍵・秘密鍵を用いて暗号化する。

図６は、本実施の形態に係るシステム構成を示している。
バックアップ元カード１００、組織用カード２００、リストア先カード３００、サーバ装置４００、カードリーダライタ装置５００、カードリーダライタ装置６００、カードリーダライタ装置７００、組織情報ＤＢ８００は図１と同様であるが、本実施の形態では、図１の暗号化データ１（１０００）及び暗号化データ２（２０００）という二つの暗号化データの代わりに単一の暗号化データ１５００が送受信されるとともに、公開鍵３０００に加えて鍵１（５０００）と鍵２（６０００）という二つの鍵が送受信される。

ここで、本実施の形態に係る動作を概説する。
バックアップ元カード１００（第１の記憶媒体）は、格納しているデータを自身の暗号鍵で暗号化して暗号化データ１５００とするとともに、組織用カード２００の公開鍵を用いて前記暗号鍵を暗号化して鍵１（５０００）（第１の鍵）とする。
そして、サーバ装置４００（管理装置）は、バックアップ元カード１００からの暗号化データ１５００と鍵１（５０００）を入力し、鍵１（５０００）のみを組織用カード２００に対して出力し、リストア先カード３００の公開鍵３０００を取得し、取得したリストア先カード３００の公開鍵３０００を組織用カード２００に対して出力する。
組織用カード２００（第２の記憶媒体）では、鍵１（５０００）とリストア先カード３００の公開鍵３０００を入力し、入力した鍵１（５０００）を自身の秘密鍵を用いて復号化してバックアップ元カード１００の暗号鍵を得て、バックアップ元カード１００の暗号鍵をリストア先カード３００の公開鍵３０００を用いて暗号化して、鍵２（６０００）（第２の鍵）とする。そして、鍵２（６０００）をサーバ装置４００に送信する。
サーバ装置４００では、組織用カード２００による鍵２（６０００）を入力し、入力した鍵２（６０００）と暗号化データ１５００とをリストア先カード３００に対して出力する。
リストア先カード３００（第３の記憶媒体）では、サーバ装置４００から鍵２（６０００）と暗号化データ１５００とを入力し、入力した鍵２（６０００）を自身の秘密鍵を用いて復号化してバックアップ元カード１００の暗号鍵を得て、バックアップ元カード１００の暗号鍵を用いて暗号化データ１５００を復号化する。

図７は、本実施の形態に係るサーバ装置４００（管理装置）の構成例である。
通信部４０１、受信部４０１１、送信部４０１２、データ格納部４０２、制御部４０３、組織情報照合部４０４は、それぞれ、図２に示したものと同様であるが、本実施の形態では、受信部４０１１は第１の鍵入力部及び第２の鍵入力部の例であり、送信部４０１２は第１の鍵出力部、第２の鍵出力部及び公開鍵出力部の例である。
また、データ格納部４０２には、暗号化データ１５００、鍵１（５０００）、鍵２（６０００）が格納される。

本実施の形態に係るバックアップの動作は図８に示す通りである。
バックアップ元カード１００内で、ランダムに暗号化の鍵を生成する。生成した暗号鍵を使い、バックアップ元カード１００内のデータを暗号化し、暗号化データ１５００を作成する。暗号鍵は、組織用カード２００の公開鍵を用いて暗号化し、暗号化された鍵１（５０００）を作成する。バックアップ元カード１００は、暗号化データ１５００と暗号化された鍵１（５０００）をサーバ装置４００へ送信する。
サーバ装置４００では、受信部４０１１が暗号化データ１５００と鍵１（５０００）をバックアップ元カード１００からカードリーダライタ装置５００を介して受信し（第１の鍵入力ステップ）、受信した暗号化データ１５００と鍵１（５０００）をディスクなどで構成されるデータ格納部４０２に保存する。

本実施の形態に係るリストアの手順は図９に示す通りである。
サーバ装置４００では、送信部４０１２が、暗号化された鍵１（５０００）をカードリーダライタ装置６００を介して組織用カード２００へ送信し（第１の鍵出力ステップ）、組織用カード２００内で組織用カード２００の秘密鍵を用いて鍵１（５０００）を復号する。
次に、サーバ装置４００では、組織情報照合部４０４にて組織情報４０００を参照し、リストア先カード３００の公開鍵３０００を組織情報から取得し（組織情報に公開鍵が含まれている）（公開鍵取得ステップ）、送信部４０１２がリストア先カード３００の公開鍵３０００をカードリーダライタ装置６００を介して組織用カード２００へ送る（公開鍵出力ステップ）。
次に、組織用カード２００では、リストア先カード３００の公開鍵３０００を用いて、復号された鍵を暗号化し、鍵２（６０００）を作成する。この鍵２（６０００）はカードリーダライタ装置６００を介してサーバ装置４００へ送られる。
サーバ装置４００では、受信部４０１１が鍵２（６０００）を受け取り（第２の鍵入力ステップ）、送信部４０１２が、暗号化データ１５００と鍵２（６０００）をカードリーダライタ装置７００を介してリストア先カード３００に送信する（第２の鍵出力ステップ）。
次に、リストア先カード３００内で、リストア先カード３００の秘密鍵を用いて暗号化された鍵２（６０００）を復号する。復号された鍵を用いて、暗号化データ１５００を復号する。

このように、本実施の形態に係るバックアップリストア方式では、公開鍵と共通鍵を組み合わせ、データは共通鍵で暗号化し、共通鍵の鍵を公開鍵で暗号化する。
このため、バックアップ・リストア処理にて、公開鍵・秘密鍵のみを用いる場合よりも、共通鍵を組み合わせることで、データが多い場合にデータの暗号・復号の処理にかかる時間を短くすることが出来る。

このように、本実施の形態では、格納しているデータを自身の暗号鍵で暗号化して暗号化データとするとともに第２の記憶媒体の公開鍵を用いて前記暗号鍵を暗号化して第１の鍵とする第１の記憶媒体と、第１の記憶媒体による暗号化データと第１の鍵を入力し、第１の鍵を第２の記憶媒体に対して出力し、第１の記憶媒体が格納しているデータを格納させる第３の記憶媒体の公開鍵を取得し、取得した第３の記憶媒体の公開鍵を第２の記憶媒体に対して出力し、第２の記憶媒体による第２の鍵を入力し、入力した第２の鍵と暗号化データとを第３の記憶媒体に対して出力する管理装置と、第１の鍵と第３の記憶媒体の公開鍵を入力し、入力した第１の鍵を自身の秘密鍵を用いて復号化して第１の記憶媒体の暗号鍵を得て、第１の記憶媒体の暗号鍵を第３の記憶媒体の公開鍵を用いて暗号化して、第２の鍵とする第２の記憶媒体と、前記管理装置を介して第２の鍵と暗号化データとを入力し、入力した第２の鍵を自身の秘密鍵を用いて復号化して第１の記憶媒体の暗号鍵を得て、第１の記憶媒体の暗号鍵を用いて暗号化データを復号化する第３の記憶媒体とを有するデータ管理システムについて説明した。

また、前記第１の記憶媒体、前記第２の記憶媒体及び前記第３の記憶媒体は、それぞれ、複数の組織の組織ごとに存在し、対象とする対象組織に対応付けられており、前記第１の記憶媒体は、格納しているデータを自身の暗号鍵で暗号化して暗号化データとするとともに、対象組織が共通する第２の記憶媒体の公開鍵を用いて前記暗号鍵を暗号化して前記第１の鍵とし、前記管理装置は、前記第１の鍵を前記第１の記憶媒体と対象組織が共通する第２の記憶媒体に対して出力し、前記第１の記憶媒体と対象組織が共通する第３の記憶媒体の公開鍵を取得し、取得した第３の記憶媒体の公開鍵を前記第１の記憶媒体と対象組織が共通する第２の記憶媒体に対して出力し、前記第１の記憶媒体と対象組織が共通する第２の記憶媒体による第２の鍵を入力し、前記第２の鍵と前記暗号化データを前記第１の記憶媒体と対象組織が共通する第３の記憶媒体に対して出力することを説明した。

また、本実施の形態では、暗号化及び復号化が可能な複数の記憶媒体を管理する管理装置であって、第１の記憶媒体により第１の記憶媒体の暗号鍵を用いて暗号化された第１の記憶媒体が格納しているデータを暗号化データとして入力するとともに、第１の記憶媒体により第２の記憶媒体の公開鍵を用いて暗号化された前記暗号鍵を第１の鍵として入力する第１の鍵入力部と、第１の鍵を第２の記憶媒体に対して出力する第１の鍵出力部と、第１の記憶媒体が格納しているデータを格納させる第３の記憶媒体の公開鍵を取得する公開鍵取得部と、第３の記憶媒体の公開鍵を第２の記憶媒体に対して出力する公開鍵出力部と、第２の記憶媒体により第２の記憶媒体の秘密鍵を用いて第１の鍵から復号された第１の記憶媒体の暗号鍵が第２の記憶媒体により第３の記憶媒体の公開鍵を用いて暗号化された後の暗号鍵を、第２の鍵として入力する第２の鍵入力部と、暗号化データと第２の鍵とを、第３の記憶媒体に対して出力する第２の鍵出力部とを有する管理装置について説明した。

また、前記第１の記憶媒体、前記第２の記憶媒体及び前記第３の記憶媒体は、それぞれ、複数の組織の組織ごとに存在し、対象とする対象組織に対応付けられており、前記第１の鍵入力部は、第１の記憶媒体により前記第１の記憶媒体と対象組織が共通する第２の記憶媒体の公開鍵を用いて暗号化された第１の鍵を入力し、前記第１の鍵出力部は、前記第１の鍵を、前記第１の記憶媒体と対象組織が共通する第２の記憶媒体に対して出力し、前記公開鍵取得部は、前記第１の記憶媒体と対象組織が共通する第３の記憶媒体の公開鍵を取得し、前記公開鍵出力部は、前記第１の記憶媒体と対象組織が共通する第３の記憶媒体の公開鍵を前記第１の記憶媒体と対象組織が共通する第２の記憶媒体に対して出力し、前記第２の鍵入力部は、前記第１の記憶媒体と対象組織が共通する第２の記憶媒体による第２の鍵を入力し、前記第２の鍵出力部は、前記暗号化データと前記第２の鍵とを、前記第１の記憶媒体と対象組織が共通する第３の記憶媒体に対して出力することを説明した。

実施の形態４．
以上の実施の形態では、１つの組織内でのデータのバックアップ・リストアを行うものであったが、本実施の形態では、対象組織に関連する関連組織、例えば、上位の組織の情報を使うことで、組織にまたがるバックアップ・リストアを行う。
図１０に本実施の形態のシステム構成を示す。
なお、サーバ装置内の構造は、図１０では省略している。
図１０において、バックアップ元カード１００１はＡ課に属し、リストア先カード３００１はＢ課に属している。また、Ａ課とＢ課は同一の部に属しているとする。
Ａ課、Ｂ課、部には、それぞれの組織のカードとして、Ａ課のカード２００１、Ｂ課のカード２００３、部のカード２００２がある。また、それぞれのサーバ装置４４１、４４２、４４３が存在する。組織情報には、部にＡ課、Ｂ課が属し、Ａ課にバックアップ元が属し、Ｂ課にリストア先が属しているという情報が入っている。

次に動作について説明する。
Ａ課に属するバックアップ元カード１００１の内容を、Ｂ課に属するリストア先カード３００へバックアップ・リストアする場合について考える。
バックアップ元カード１００１内のデータを、前記実施の形態１又は３のバックアップの手順にて、Ａ課のカード２００１へバックアップする。次に、Ａ課のカード２００１に入ったデータを、前記実施の形態１又は３のバックアップ手順にて、部のカード２００２へバックアップする。次に、部のカード２００２に入ったデータを、前記実施の形態１又は３のリストア手順にて、Ｂ課のカード２００３へリストアする。次に、Ｂ課のカード２００３に入ったデータを前記実施の形態１又は３のリストア手順にて、リストア先カード３００１へリストアする。

このように、本実施の形態に係るバックアップリストア方式では、上位の組織を経由することで、別組織へのリストアが可能となり、バックアップ元のデータを組織をまたがってリストア先へリストアすることが出来る。

本実施の形態では、第１の記憶媒体、第２の記憶媒体及び第３の記憶媒体は、それぞれ、複数の組織の組織ごとに存在し、対象とする対象組織に対応付けられるとともに、対象組織の関連組織とも対応付けられており、第１の記憶媒体は、格納しているデータを、対象組織が共通する第２の記憶媒体の公開鍵を用いて暗号化して、第１の暗号化データとし、管理装置は、第１の暗号化データを前記第１の記憶媒体と対象組織が共通する第２の記憶媒体に対して出力し、前記第１の記憶媒体の対象組織の関連組織を対象組織としている第３の記憶媒体の公開鍵を取得し、取得した第３の記憶媒体の公開鍵を前記第１の記憶媒体と対象組織が共通する第２の記憶媒体に対して出力し、前記第１の記憶媒体と対象組織が共通する第２の記憶媒体による第２の暗号化データを入力し、入力した第２の暗号化データを前記第１の記憶媒体の対象組織の関連組織を対象組織としている第３の記憶媒体に対して出力するデータ管理システムについて説明した。

また、第１の記憶媒体、第２の記憶媒体及び第３の記憶媒体は、それぞれ、複数の組織の組織ごとに存在し、対象とする対象組織に対応付けられるとともに、対象組織の関連組織とも対応付けられており、前記第１の記憶媒体は、格納しているデータを自身の暗号鍵で暗号化して暗号化データとするとともに、対象組織が共通する第２の記憶媒体の公開鍵を用いて前記暗号鍵を暗号化して前記第１の鍵とし、管理装置は、前記第１の鍵を前記第１の記憶媒体と対象組織が共通する第２の記憶媒体に対して出力し、前記第１の記憶媒体の対象組織の関連組織を対象組織としている第３の記憶媒体の公開鍵を取得し、取得した第３の記憶媒体の公開鍵を前記第１の記憶媒体と対象組織が共通する第２の記憶媒体に対して出力し、前記第１の記憶媒体と対象組織が共通する第２の記憶媒体による第２の鍵を入力し、前記第２の鍵と前記暗号化データとを前記第１の記憶媒体の対象組織の関連組織を対象組織としている第３の記憶媒体に対して出力するデータ管理システムについて説明した。

また、本実施の形態では、第１の記憶媒体、第２の記憶媒体及び第３の記憶媒体は、それぞれ、複数の組織の組織ごとに存在し、対象とする対象組織に対応付けられており、第１の暗号化データ入力部が、前記第１の記憶媒体により前記第１の記憶媒体と対象組織が共通する第２の記憶媒体の公開鍵を用いて暗号化された第１の暗号化データを入力し、第１の暗号化データ出力部が、前記第１の暗号化データを、前記第１の記憶媒体と対象組織が共通する第２の記憶媒体に対して出力し、公開鍵取得部が、前記第１の記憶媒体の対象組織の関連組織を対象組織としている第３の記憶媒体の公開鍵を取得し、公開鍵出力部が、前記第１の記憶媒体の対象組織の関連組織を対象組織としている第３の記憶媒体の公開鍵を前記第１の記憶媒体と対象組織が共通する第２の記憶媒体に対して出力し、第２の暗号化データ入力部が、前記第１の記憶媒体と対象組織が共通する第２の記憶媒体による第２の暗号化データを入力し、前記第２の暗号化データ出力部が、前記第２の暗号化データを、前記第１の記憶媒体の対象組織の関連組織を対象組織としている第３の記憶媒体に対して出力する管理装置について説明した。

また、本実施の形態では、第１の記憶媒体、第２の記憶媒体及び第３の記憶媒体は、それぞれ、複数の組織の組織ごとに存在し、対象とする対象組織に対応付けられるとともに、対象組織の関連組織とも対応付けられており、第１の鍵入力部が、前記第１の記憶媒体により前記第１の記憶媒体と対象組織が共通する第２の記憶媒体の公開鍵を用いて暗号化された第１の鍵を入力し、第１の鍵出力部が、前記第１の鍵を、前記第１の記憶媒体と対象組織が共通する第２の記憶媒体に対して出力し、公開鍵取得部が、前記第１の記憶媒体の対象組織の関連組織を対象組織としている第３の記憶媒体の公開鍵を取得し、公開鍵出力部は、前記第１の記憶媒体の対象組織の関連組織を対象組織としている第３の記憶媒体の公開鍵を前記第１の記憶媒体と対象組織が共通する第２の記憶媒体に対して出力し、第２の鍵入力部が、前記第１の記憶媒体と対象組織が共通する第２の記憶媒体による第２の鍵を入力し、前記第２の鍵出力部が、前記暗号化データと前記第２の鍵とを、前記第１の記憶媒体の対象組織の関連組織を対象組織としている第３の記憶媒体に対して出力する管理装置について説明した。

なお、以上の実施の形態では、ＩＣカードのデータの読み書きを行うカードリーダライタ装置を介して、サーバ装置からＩＣカードへの暗号化データの読み書き、鍵データの読み書きを行っていたが、サーバ装置にＩＣカード読み書き用のインタフェースを設け、サーバ装置が直接ＩＣカードの読み書きを行ってもよい。

また、以上の説明では、記憶媒体としてＩＣカードを例にして説明したが、これに限らず、内部での暗号化処理、復号化処理が可能であれば、どのような記憶媒体でも以上の実施の形態に示したパックアップ・リストア方式を適用可能である。

実施の形態１に係るシステム構成例を示す図。 実施の形態１に係るサーバ装置の構成例を示す図。 実施の形態１に係るバックアップ動作の例を示すシーケンス図。 実施の形態１に係るリストア動作の例を示すシーケンス図。 実施の形態２に係るサーバ装置の構成例を示す図。 実施の形態３に係るシステム構成例を示す図。 実施の形態３に係るサーバ装置の構成例を示す図。 実施の形態３に係るバックアップ動作の例を示すシーケンス図。 実施の形態３に係るリストア動作の例を示すシーケンス図。 実施の形態４に係るシステム構成例を示す図。 実施の形態１−４に係るサーバ装置のハードウェア構成例を示す図。

符号の説明

１００ バックアップ元カード、２００ 組織用カード、３００ リストア先カード、４００ サーバ装置、４０１ 通信部、４０２ データ格納部、４０３ 制御部、４０４ 組織情報照合部、４０５ ユーザ認証部、５００ カードリーダライタ装置、６００ カードリーダライタ装置、７００ カードリーダライタ装置、８００ 組織情報ＤＢ、１０００ 暗号化データ１、１５００ 暗号化データ、２０００ 暗号化データ２、３０００ 公開鍵、４０００ 組織情報、４０１１ 受信部、４０１２ 送信部、５０００ 鍵１、６０００ 鍵２。

Claims (9)

1. 格納しているデータを自身の暗号鍵で暗号化して暗号化データとするとともに、第２の記憶媒体の公開鍵を用いて前記暗号鍵を暗号化して第１の鍵とする第１の記憶媒体と、
   第１の記憶媒体による暗号化データと第１の鍵を入力し、第１の鍵を第２の記憶媒体に対して出力し、第１の記憶媒体が格納しているデータを格納させる第３の記憶媒体の公開鍵を取得し、取得した第３の記憶媒体の公開鍵を第２の記憶媒体に対して出力し、第２の記憶媒体による第２の鍵を入力し、入力した第２の鍵と暗号化データとを第３の記憶媒体に対して出力する管理装置と、
   第１の鍵と第３の記憶媒体の公開鍵を入力し、入力した第１の鍵を自身の秘密鍵を用いて復号化して第１の記憶媒体の暗号鍵を得て、第１の記憶媒体の暗号鍵を第３の記憶媒体の公開鍵を用いて暗号化して、第２の鍵とする第２の記憶媒体と、
   前記管理装置を介して第２の鍵と暗号化データとを入力し、入力した第２の鍵を自身の秘密鍵を用いて復号化して第１の記憶媒体の暗号鍵を得て、第１の記憶媒体の暗号鍵を用いて暗号化データを復号化する第３の記憶媒体とを有し、
   前記管理装置は、
   前記第１の記憶媒体から入力した暗号化データを前記第２の記憶媒体に対して出力せず、
   前記第２の記憶媒体は、
   前記暗号化データを入力しないことを特徴とするデータ管理システム。
2. 前記第１の記憶媒体、前記第２の記憶媒体及び前記第３の記憶媒体には、対象とする対象組織があり、対象組織に対応付けられており、
   前記第１の記憶媒体は、
   格納しているデータを自身の暗号鍵で暗号化して暗号化データとするとともに、対象組織が共通する第２の記憶媒体の公開鍵を用いて前記暗号鍵を暗号化して前記第１の鍵とし、
   前記管理装置は、
   前記第１の鍵を前記第１の記憶媒体と対象組織が共通する第２の記憶媒体に対して出力し、前記第１の記憶媒体と対象組織が共通する第３の記憶媒体の公開鍵を取得し、取得した第３の記憶媒体の公開鍵を前記第１の記憶媒体と対象組織が共通する第２の記憶媒体に対して出力し、前記第１の記憶媒体と対象組織が共通する第２の記憶媒体による第２の鍵を入力し、前記第２の鍵と前記暗号化データを前記第１の記憶媒体と対象組織が共通する第３の記憶媒体に対して出力することを特徴とする請求項１に記載のデータ管理システム。
3. 前記第１の記憶媒体、前記第２の記憶媒体及び前記第３の記憶媒体には、対象とする対象組織があり、対象組織に対応付けられるとともに、対象組織の関連組織とも対応付けられており、
   前記第１の記憶媒体は、
   格納しているデータを自身の暗号鍵で暗号化して暗号化データとするとともに、対象組織が共通する第２の記憶媒体の公開鍵を用いて前記暗号鍵を暗号化して前記第１の鍵とし、
   前記管理装置は、
   前記第１の鍵を前記第１の記憶媒体と対象組織が共通する第２の記憶媒体に対して出力し、前記第１の記憶媒体の対象組織の関連組織を対象組織としている第３の記憶媒体の公開鍵を取得し、取得した第３の記憶媒体の公開鍵を前記第１の記憶媒体と対象組織が共通する第２の記憶媒体に対して出力し、前記第１の記憶媒体と対象組織が共通する第２の記憶媒体による第２の鍵を入力し、前記第２の鍵と前記暗号化データとを前記第１の記憶媒体の対象組織の関連組織を対象組織としている第３の記憶媒体に対して出力することを特徴とする請求項１に記載のデータ管理システム。
4. 暗号化及び復号化が可能な複数の記憶媒体を管理する管理装置であって、
   第１の記憶媒体により第１の記憶媒体の暗号鍵を用いて暗号化された第１の記憶媒体が格納しているデータを、暗号化データとして入力するとともに、第１の記憶媒体により第２の記憶媒体の公開鍵を用いて暗号化された前記暗号鍵を、第１の鍵として入力する第１の鍵入力部と、
   第１の鍵を、第２の記憶媒体に対して出力する第１の鍵出力部と、
   第１の記憶媒体が格納しているデータを格納させる第３の記憶媒体の公開鍵を取得する公開鍵取得部と、
   第３の記憶媒体の公開鍵を第２の記憶媒体に対して出力する公開鍵出力部と、
   第２の記憶媒体により第２の記憶媒体の秘密鍵を用いて第１の鍵から復号された第１の記憶媒体の暗号鍵が第２の記憶媒体により第３の記憶媒体の公開鍵を用いて暗号化された後の暗号鍵を、第２の鍵として入力する第２の鍵入力部と、
   暗号化データと第２の鍵とを、第３の記憶媒体に対して出力する第２の鍵出力部とを有し、
   前記第１の記憶媒体から入力した暗号化データを前記第２の記憶媒体に対して出力しないことを特徴とする管理装置。
5. 前記第１の記憶媒体、前記第２の記憶媒体及び前記第３の記憶媒体には、対象とする対象組織があり、対象組織に対応付けられており、
   前記第１の鍵入力部は、
   第１の記憶媒体により前記第１の記憶媒体と対象組織が共通する第２の記憶媒体の公開鍵を用いて暗号化された第１の鍵を入力し、
   前記第１の鍵出力部は、
   前記第１の鍵を、前記第１の記憶媒体と対象組織が共通する第２の記憶媒体に対して出力し、
   前記公開鍵取得部は、
   前記第１の記憶媒体と対象組織が共通する第３の記憶媒体の公開鍵を取得し、
   前記公開鍵出力部は、
   前記第１の記憶媒体と対象組織が共通する第３の記憶媒体の公開鍵を前記第１の記憶媒体と対象組織が共通する第２の記憶媒体に対して出力し、
   前記第２の鍵入力部は、
   前記第１の記憶媒体と対象組織が共通する第２の記憶媒体による第２の鍵を入力し、
   前記第２の鍵出力部は、
   前記暗号化データと前記第２の鍵とを、前記第１の記憶媒体と対象組織が共通する第３の記憶媒体に対して出力することを特徴とする請求項４に記載の管理装置。
6. 前記第１の記憶媒体、前記第２の記憶媒体及び前記第３の記憶媒体には、対象とする対象組織があり、対象組織に対応付けられるとともに、対象組織の関連組織とも対応付けられており、
   前記第１の鍵入力部は、
   前記第１の記憶媒体により前記第１の記憶媒体と対象組織が共通する第２の記憶媒体の公開鍵を用いて暗号化された第１の鍵を入力し、
   前記第１の鍵出力部は、
   前記第１の鍵を、前記第１の記憶媒体と対象組織が共通する第２の記憶媒体に対して出力し、
   前記公開鍵取得部は、
   前記第１の記憶媒体の対象組織の関連組織を対象組織としている第３の記憶媒体の公開鍵を取得し、
   前記公開鍵出力部は、
   前記第１の記憶媒体の対象組織の関連組織を対象組織としている第３の記憶媒体の公開鍵を前記第１の記憶媒体と対象組織が共通する第２の記憶媒体に対して出力し、
   前記第２の鍵入力部は、
   前記第１の記憶媒体と対象組織が共通する第２の記憶媒体による第２の鍵を入力し、
   前記第２の鍵出力部は、
   前記暗号化データと前記第２の鍵とを、前記第１の記憶媒体の対象組織の関連組織を対象組織としている第３の記憶媒体に対して出力することを特徴とする請求項４に記載の管理装置。
7. 前記管理装置は、
   暗号化データの入力前及び暗号化データの出力前の少なくともいずれかにおいて、前記第１の記憶媒体を利用するユーザ及び前記第３の記憶媒体を利用するユーザの少なくともいずれかのユーザ認証を行うことを特徴とする請求項４に記載の管理装置。
8. 暗号化及び復号化が可能な複数の記憶媒体を管理するデータ管理方法であって、
   第１の記憶媒体により第１の記憶媒体の暗号鍵を用いて暗号化された第１の記憶媒体が格納しているデータを、暗号化データとして入力するとともに、第１の記憶媒体により第２の記憶媒体の公開鍵を用いて暗号化された前記暗号鍵を、第１の鍵として入力する第１の鍵入力ステップと、
   第１の鍵を、第２の記憶媒体に対して出力する第１の鍵出力ステップと、
   第１の記憶媒体が格納しているデータを格納させる第３の記憶媒体の公開鍵を取得する公開鍵取得ステップと、
   第３の記憶媒体の公開鍵を第２の記憶媒体に対して出力する公開鍵出力ステップと、
   第２の記憶媒体により第２の記憶媒体の秘密鍵を用いて第１の鍵から復号された第１の記憶媒体の暗号鍵が第２の記憶媒体により第３の記憶媒体の公開鍵を用いて暗号化された後の暗号鍵を、第２の鍵として入力する第２の鍵入力ステップと、
   暗号化データと第２の鍵とを、第３の記憶媒体に対して出力する第２の鍵出力ステップとを有し、
   前記第１の記憶媒体から入力された暗号化データが前記第２の記憶媒体に対して出力されないことを特徴とするデータ管理方法。
9. 暗号化及び復号化が可能な複数の記憶媒体を管理するコンピュータに、
   第１の記憶媒体により第１の記憶媒体の暗号鍵を用いて暗号化された第１の記憶媒体が格納しているデータを、暗号化データとして入力するとともに、第１の記憶媒体により第２の記憶媒体の公開鍵を用いて暗号化された前記暗号鍵を、第１の鍵として入力する第１の鍵入力処理と、
   第１の鍵を、第２の記憶媒体に対して出力する第１の鍵出力処理と、
   第１の記憶媒体が格納しているデータを格納させる第３の記憶媒体の公開鍵を取得する公開鍵取得処理と、
   第３の記憶媒体の公開鍵を第２の記憶媒体に対して出力する公開鍵出力処理と、
   第２の記憶媒体により第２の記憶媒体の秘密鍵を用いて第１の鍵から復号された第１の記憶媒体の暗号鍵が第２の記憶媒体により第３の記憶媒体の公開鍵を用いて暗号化された後の暗号鍵を、第２の鍵として入力する第２の鍵入力処理と、
   暗号化データと第２の鍵とを、第３の記憶媒体に対して出力する第２の鍵出力処理とを実行させるとともに、
   前記第１の記憶媒体から入力された暗号化データを前記第２の記憶媒体に対して出力させないことを特徴とするプログラム。

Images