JP5163205B2 - 電子メール監査プログラム及び電子メール監査装置 - Google Patents

Description

本発明は電子メール監査プログラム及び電子メール監査装置に関し、特に監査対象の利用者端末とやり取りされる電子メールをコンピュータに監査させるための電子メール監査プログラム及び電子メール監査装置に関する。

近年、電子メールは、業務の遂行に欠かせないツールとなっており、仕事の指示や連絡のためばかりでなく、各種資料などを添付ファイルとしてやり取りするために用いられている。しかし、以下のような問題点がある。

第１に、電子メールは個人対個人のやり取りであり、機密情報が流出してもわからないという問題点がある。この問題を解決する手段として、予め条件を設定し、その条件に合致するメールを送信させないフィルタリング手段がある。また、問題が生じた場合の原因究明や捜査を行うフォレンジック（forensics）対策として、メールアーカイブ（電子メールが蓄積されている電子メール保存装置）に送受信された全電子メールを保存するアーカイブ手段がある。さらに、送信前の電子メールを上司などの権限を有する者がチェックし、許可された電子メールのみ送信する承認手段もある。

第２に、電子メールがインターネットを経由して転送される途中で盗聴される危険性を有するという問題点がある。この問題を解決する手段として、電子メールを暗号化して送る暗号化手段がある。また、転送される途中でメールサーバに一時的に保存されるメールの閲覧を防止する手段として、平文で取得した電子メールを暗号化してサーバに保存する方法もある（たとえば、特許文献１参照）。
特開２００６−５３６１０号公報（図１）

しかし、従来の第１の問題点に対する解決手段と、第２の問題点に対する解決手段とは、相反しているという問題がある。
第２の問題を解決するためには、暗号化が必須であるが、暗号化された電子メールは復号されなければ内容がわからない。したがって、暗号化された電子メールに対しては、第１の問題に対する解決手段であるフィルタリング手段、アーカイブ手段、及び承認手段のいずれも機能しない。暗号化された電子メールは、内容がわからないためフィルタリングの条件と照合できない。メールアーカイブに保存された電子メールも、暗号化されたままでは後で内容を確認することができない。また、承認を行う上司も、暗号化された電子メールでは内容がわからず、適切かどうかを判断することはできない。

たとえば、送信者は平文で電子メールを送信することとし、電子メールを中継するメールゲートウェイサーバにおいて、平文で取得された電子メールに対しフィルタリング処理とアーカイブ処理を施し、その後で暗号化して送り出すようにすることは可能である。これは、内部から外部に向けて送信される電子メールに対しては一定の効果がある。しかしながら、外部から暗号化されて送られてきた電子メールに対処することはできないという問題点がある。

また、電子メールでのやり取りを行っている利用者のクライアント装置には、既に電子メールを暗号化する仕組みが搭載されているケースも多い。このようなケースでは、利用者は、クライアント装置での暗号化処理を中止する必要があり、暗号化する仕組みのための投資が無駄になってしまう。

さらに、電子メールを一時的に保管するメールサーバには平文の電子メールが保存されることとなる。このため、メールサーバが自由に閲覧可能である場合には、電子メールが閲覧されてしまう恐れもある。

本発明はこのような点に鑑みてなされたものであり、暗号化された電子メールを含む電子メールの監査を確実に行うことが可能な電子メール監査プログラム及び電子メール監査装置を提供することを目的とする。

上記課題を解決するために、監査対象の利用者端末とやり取りされる電子メールをコンピュータに監査させるための電子メール監査プログラム及び電子メール監査装置が提供される。この電子メール監査プログラムは、電子メール監査装置に適用され、コンピュータを、フィルタ処理手段、復号手段、保留手段、保存手段、として機能させる。フィルタ処理手段は、電子メールを取り込み、フィルタによって利用者端末から送信された電子メールの暗号化メールが検出されたときは、検出された暗号化メールの送信を保留する。また、利用者端末に暗号化メールが保留されたことを通知して復号鍵を要求する。復号手段は、送信が保留されている暗号化メールを、復号鍵を用いて復号して平文の復号メールに戻す。保留手段は、フィルタ処理手段によって保留された暗号化メールの復号鍵が利用者端末から取得されたら、復号手段によって暗号化メールを復号する。そして、利用者端末のメール送信を承認する権限を有する承認者の承認者端末からの参照要求に応じて復号メールを承認者端末に提供する。また、承認者端末から送信承認が指示されたときは暗号化メールの送信を再開する。承認者端末から送信却下が指示されたときは暗号化メールの送信を中止させる。保存手段は、送信が承認された暗号化メールと復号鍵とを取得し、復号鍵を暗号化メールに対応付けて暗号化メールとともに保存情報記憶手段に格納する。

開示の電子メール監査プログラム及び電子メール監査装置によれば、利用者端末から送信された電子メールが暗号化されていたときは、この暗号化メールの送信が保留され、利用者端末に通知して復号鍵が取得される。取得された復号鍵を用いて暗号化メールが復号され、承認者端末からの参照要求に応じて平文に復号された復号メールが提供される。そして、送信承認に応じて送信された暗号化メールは、復号鍵とともに保存情報記憶手段に格納される。

このように、承認者は、承認対象の電子メールが暗号化されていた場合であっても、平文に復号された復号メールに基づいて内容を確認し、承認するか否かを検討することができる。また、暗号化メールとともに復号鍵が保存されるので、必要なときに保存された暗号化メールを復号することができる。この結果、暗号化された電子メールを含む電子メールの監査を確実に行うことが可能となる。

以下、本発明の実施の形態を図面を参照して説明する。図１は、本発明の実施の形態に適用される発明の概念図である。
電子メール監査装置１は、フィルタ処理手段１ａ、保留手段１ｂ、復号手段１ｃ、送信手段１ｄ、保存手段１ｅ、及び保存情報記憶手段１ｆを有し、内部ネットワークに接続する利用者端末２、及び承認者端末３と、外部ネットワークに接続する外部利用者端末４とネットワークを介してデータ交換を行う。なお、電子メール監査装置１の各処理手段は、コンピュータが、電子メール監査プログラムを実行することにより、その処理機能が実現される。

ここで、利用者端末２は、外部利用者端末４との間で電子メールをやり取りしている。電子メール監査装置１は、内部ネットワークに接続する利用者端末２を監査対象とし、不適切な電子メールがやり取りされないようにチェックするとともに、送受信された電子メールを保存する監査処理を行う。なお、実際のシステムでは、利用者端末２、外部利用者端末４ともに複数存在する。また、承認者端末３は、暗号化された電子メールの送信を承認するか拒否するかを判断する権限を有する承認者の端末装置である。

電子メール監査装置１は、利用者端末２とやり取りされる電子メールが宛先に送信される前にすべて受信し、宛先に送信するか否かをチェックする。電子メールは、必要に応じて、利用者端末２または外部利用者端末４によって暗号化されている。暗号化は、電子メール本文、添付ファイル、または電子メール本文及び添付ファイルに対して行われる。特に断らない限り、以下の説明では、暗号化メールとは、電子メール本文、添付ファイル、または電子メール本文及び添付ファイルのいずれかについて暗号化が行われるものをいう。一方、暗号化されていない電子メール及び復号された電子メールは、復号メールまたは平文メールという。

以下、電子メール監査装置１の各処理手段について説明する。
フィルタ処理手段１ａは、利用者端末２に送受信される電子メールを受信する。フィルタ処理によって、利用者端末２から送信された暗号化メールが検出されたときは、検出された暗号化メールの送信を保留にし、保留手段１ｂへ通知する。また、暗号化メールの送信を保留にしたことを利用者端末２に通知し、復号鍵を要求する。また、フィルタ処理によって、利用者端末２を宛先とする暗号化メールが検出されたときも、検出された利用者端末２を宛先とする暗号化メールの送信を保留にし、保留手段１ｂへ通知するとともに、利用者端末２には、送信を保留したことを通知して復号鍵を要求する。利用者端末２から送信された暗号化メールの復号鍵は当然であるが、利用者端末２宛の暗号化メールについても復号鍵が暗号化メールの送信元から通知されているはずであるので、利用者端末２に復号鍵を要求する。

保留手段１ｂは、フィルタ処理手段１ａが送信を保留した電子メールの保留を継続し、フィルタ処理手段１ａからの通知に応じて利用者端末２から復号鍵が入力されるのを待つ。復号鍵が取得されたら、フィルタ処理手段１ａが送信を保留した暗号化メールと、復号鍵とを復号手段１ｃに引き渡し、暗号化メールの復号を依頼する。復号できたときは、暗号化メールと、この復号鍵と、復号手段１ｃによって復号された復号メールとを、承認者端末３を介して暗号化メールの送信が承認または拒否されるまで一時記憶手段に保存して管理する。承認者が、電子メールの送信を承認するため、承認者端末３を介して承認待ちの電子メールを要求したときは、承認待ちとなっている暗号化メールを承認者端末３へ送信する。承認者が、暗号化メールの内容確認のため、承認者端末３を介して暗号化メールに対応する復号メールの参照要求を行ったときは、該当する復号メールを承認者端末３に提供する。復号メールは、暗号化メールとともに自動的に送られるとしてもよい。承認者端末３では、取得した復号メールを表示画面に表示させる。これにより、承認者は、内容を理解して承認または拒否を決定することができる。なお、復号手段１ｃによって暗号化メールが復号されていない場合は、参照要求を拒否し、この暗号化メールに対する承認手続きを開始させない。そして、承認者端末３を介して送信承認が通知されたときは、送信手段１ｄに対し、暗号化メールを送り、送信するように指示する。また、保存手段１ｅに対し、暗号化メールとともに、復号鍵と、復号メールと、を送る。また、承認者端末３を介して承認却下が通知されたときは、暗号化メールの送信を中止し、一時記憶手段に格納された情報を削除する。なお、暗号化メールが利用者端末２を宛先とするものであれば、承認を待たずに送信再開を許可するとしてもよい。この場合、暗号化メールが復号された後、すぐに上記の送信承認の処理が開始される。保存手段１ｅに、暗号化メールと、復号鍵、及び暗号化メールに対応する復号メールとが送られることは同様である。

復号手段１ｃは、保留手段１ｂから復号鍵を取得したら、この復号鍵を用いてフィルタ処理手段１ａが送信を保留にした暗号化メールを平文に復号する。そして、平文に戻された復号メールを保留手段１ｂに引き渡す。なお、取得された復号鍵によって暗号化メールが復号できないときは、保留手段１ｂにその旨を伝える。

送信手段１ｄは、取得した暗号化メールを宛先に向けて送信する。送信元が利用者端末２で、宛先が外部利用者端末４であるときは、外部利用者端末４に向けて送信される。送信先が利用者端末２であれば、利用者端末２に向けて暗号化メールが送信される。

保存手段１ｅは、送信された暗号化メールと、その復号メール及び復号鍵と、を保留手段１ｂから取得する。そして、平文の復号メールを用いて、後で検索するときに用いるインデックスを作成する。たとえば、復号メールからキーワードを抽出し、インデックスとする。暗号化メール、復号鍵、及びインデックスは、圧縮処理などを施した後、保存情報記憶手段１ｆに格納して管理する。

保存情報記憶手段１ｆには、利用者端末２が送受信した電子メールがインデックスとともに保存されている。この電子メールが暗号化メールである場合には、さらに、復号鍵も保存される。保存情報記憶手段１ｆに蓄積された情報は、監査者が監査を行うときに参照される。保存情報記憶手段１ｆには、利用者端末２に送受信された電子メールがすべて格納されている。暗号化された電子メールについても、復号された平文に基づいてインデックスが作成されているので、暗号化されていない電子メールと同様に、インデックスを用いて検索を行うことができる。また、復号鍵も保存されているので必要に応じて暗号化された電子メールを復号し、電子メールの内容を確認することができる。

このような構成の電子メール監査装置１の動作、及び電子メール監査方法について説明する。
まず、利用者端末２から送信される暗号化メールについて説明する。

利用者端末２を送信元とする電子メールは相手先に受信される前に、電子メール監査装置１に受信される。フィルタ処理手段１ａは、受信した電子メールの中に利用者端末２から送信された暗号化メールが検出されれば、暗号化メールの送信を保留し、利用者端末２に送信を保留したことを通知して復号鍵を要求する。そして、処理を保留手段１ｂへ引き継ぐ。保留手段１ｂは、送信保留の通知に応じて利用者端末２から通知された復号鍵を受け取ると、復号手段１ｃに復号鍵を提供して暗号化メールを平文に復号させ、復号メールを得る。取得した復号鍵で暗号化メールが復号できない場合は、復号できるまで復号鍵を繰り返し要求する。復号メールが取得できたら、暗号化メール、復号メール、及び復号鍵を一時記憶手段に保管し、承認者端末３からの指示を待つ。このとき、承認者端末３から送信される承認対象の電子メールの参照要求に応じて、暗号化メール及び復号メールを提供する。復号メールを取得した承認者端末３は、電子メールの内容を平文で承認者に提示することができる。承認者は平文で記述された電子メールの内容を理解し、送信承認または承認却下の判断を行うことができる。承認者端末３を介して送信承認が指示されたとき、保留手段１ｂは、暗号化メールを送信手段１ｄに送り、送信先に暗号化メールを送信させる。また、暗号化メール、復号鍵、及び復号メールを保存手段１ｅへ送る。保存手段１ｅでは、平文の復号メールに基づいて暗号化メールのインデックスを生成し、生成したインデックス、復号鍵、及び暗号化メールを保存情報記憶手段１ｆに格納して管理する。一方、承認者端末３を介して承認却下が指示されたときは、保留手段１ｂは、暗号化メールの送信を中止する。

次に、外部利用者端末４から利用者端末２を宛先として送信される暗号化メールについて説明する。利用者端末２を宛先とする電子メールは、利用者端末２に受信される前に、電子メール監査装置１に受信される。フィルタ処理手段１ａでは、暗号化メールが検出されれば、利用者端末２への送信を保留する。そして、利用者端末２に対し、送信を保留したことを通知して復号鍵を要求する。保留手段１ｂによって、暗号化メールが復号されるまでの処理は、上記の利用者端末２が送信元の場合と同じである。利用者端末２が送信先の電子メールでは、暗号化メールが復号され、平文の復号メールが得られたら、承認を待たずに利用者端末２への送信を再開する。これにより、利用者端末２へ暗号化メールが送信される。また、保存手段１ｅへは、暗号化メール、復号鍵、及び暗号化メールに対応する平文の復号メールを送る。これにより、保存手段１ｅでは、利用者端末２が宛先の電子メールが暗号化されている場合も、平文に復号された復号メールに基づいてインデックスを作成し、生成したインデックス、復号鍵、及び暗号化メールを保存情報記憶手段１ｆに格納して管理することができる。

以上の処理手順が実行されることにより、暗号化メールは、利用者端末２から送信される場合も、利用者端末２に送信される場合も、電子メール監査装置１で一旦保留され、暗号化メールを復号する復号鍵が取得される。また、取得された復号鍵を用いて暗号化メールが復号される。そして、利用者端末２から送信された暗号化メールであれば、承認者が送信を承認した後、相手側に送信される。このとき、承認者は、必要であれば復号メールを参照することができる。また、送受信された暗号化メールは、この暗号化メールに対応する復号メールに基づいてインデックスが作成され、作成されたインデックスと復号鍵とが付加されて保存される。したがって、暗号化メールについても、その内容に応じたインデックスが作成される。

このように、承認者は暗号化メールの内容を確認して外部への送信を承認することが可能である。また、保存情報記憶手段１ｆに格納される暗号化メールを監査する監査者は、インデックスを用いて暗号化メールを容易に検索できるばかりでなく、必要に応じて復号して内容を確認することができる。この結果、暗号化された電子メールを含む電子メールの監査を確実に行うことが可能となる。

なお、上記の説明では、フィルタ処理手段１ａは、暗号化された電子メールを検出し、送信を保留させるとしたが、送信を保留させる条件は任意に設定することができる。たとえば、承認の対象とする電子メールを特定するための情報や、検出された場合に実行する処理などをフィルタルールとして予め登録しておく。フィルタ処理手段１ａでは、受信された電子メールからフィルタルールに適合するものを検出し、検出された電子メールを対象として指示された処理を実行する。この場合も、対象の電子メールが暗号化メールであれば、復号鍵を取得して復号し、復号された平文に基づいてインデックスを作成し、復号鍵とともに保存情報記憶手段１ｆに格納して管理する。また、暗号化されていない電子メールに対しては、その電子メールに基づいてインデックスを作成し、電子メールとともに保存情報記憶手段１ｆに格納して管理する。

以下、実施の形態を、添付ファイルを有するメールを処理対象とするメールシステムを例に図面を参照して詳細に説明する。また、以下の説明では、電子メールを単にメールと表記する。

図２は、実施の形態のシステム構成例を示す図である。
実施の形態のメールシステムは、内部ネットワーク５０に接続するメール監査サーバ１０、メールサーバ２０、及び利用者端末３０ａ，３０ｂ，３０ｃが、ファイアウォール６０を介してＤＭＺ（DeMilitarized Zone）にあるメールゲートウェイサーバ４０と、外部のインターネット７０に接続する。外部のインターネット７０には、メールの送受信先になる外部端末８０が接続する。

メールサーバ２０は、メールボックスを管理し、利用者端末３０ａ，３０ｂ，３０ｃから送信されたメールを宛先に送信するとともに、利用者端末３０ａ，３０ｂ，３０ｃ宛に届いたメールを要求があるまで一時的に保管しておく。利用者端末３０ａ，３０ｂ，３０ｃは、メールの送受信を行う利用者の端末である。また、メール送信の承認を行う権限を有する承認者の端末も含まれる。メールゲートウェイサーバ４０は、外部のインターネット７０に接続する外部端末８０と、内部ネットワーク５０に接続される利用者端末３０ａ，３０ｂ，３０ｃとの間でやり取りされる電子メールを中継する。

メール監査サーバ１０は、電子メール監査装置であり、内部ネットワーク５０に接続する監査対象の利用者端末３０ａ，３０ｂ，３０ｃとやり取りされるメールのうち処理対象となるメールを抽出するフィルタ機能、承認されるまで送信を保留する承認機能とともに、送受信されたメールを保存するアーカイブ機能を有する。

ここで、メール監査サーバ１０のハードウェア構成について説明する。図３は、メール監査サーバのハードウェア構成例を示すブロック図である。
メール監査サーバ１０は、ＣＰＵ（Central Processing Unit）１０１によって装置全体が制御されている。ＣＰＵ１０１には、バス１０７を介してＲＡＭ（Random Access Memory）１０２、ハードディスクドライブ（ＨＤＤ：Hard Disk Drive）１０３、グラフィック処理装置１０４、入力インタフェース１０５、通信インタフェース１０６が接続されている。

ＲＡＭ１０２には、ＣＰＵ１０１に実行させるＯＳ（Operating System）のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。また、ＲＡＭ１０２には、ＣＰＵ１０１による処理に必要な各種データが格納される。ＨＤＤ１０３には、ＯＳやアプリケーションのプログラムが格納される。グラフィック処理装置１０４には、モニタ１０８が接続されており、ＣＰＵ１０１からの命令に従って画像をモニタ１０８の画面に表示させる。入力インタフェース１０５には、キーボード１０９ａやマウス１０９ｂが接続されており、キーボード１０９ａやマウス１０９ｂから送られてくる信号を、バス１０７を介してＣＰＵ１０１に送信する。通信インタフェース１０６は、内部ネットワーク５０に接続されており、内部ネットワーク５０を介してメールサーバ２０や端末との間でデータの送受信を行う。

このようなハードウェア構成によって、本実施の形態の処理機能を実現することができる。なお、図３には、メール監査サーバ１０のハードウェア構成を示したが、メールサーバ２０、利用者端末３０ａ，３０ｂ，３０ｃ、メールゲートウェイサーバ４０、外部端末８０のハードウェア構成も同様である。

次に、ソフトウェア構成について説明する。図４は、メール監査サーバのソフトウェア構成例を示した図である。
メール監査サーバ１０は、記憶部１１０、受信部１２０、フィルタ処理部１３０、暗号化／復号処理部１４０、保留部１５０、保存部１６０、及び送信部１７０を有する。

記憶部１１０は、監査処理のために必要な情報が格納されるメモリである。図の例では、フィルタ条件を定義したフィルタルール１１１、ユーザに関する情報が設定されるユーザ情報１１２、メールを管理するためのメール管理情報１１３、及び保留処理時に一時的に情報を保存する保留テーブル１１４が設けられる。各情報の詳細は後述する。

受信部１２０は、内部ネットワーク５０を流れるメールを受信し、装置内へ取り込む。 フィルタ処理部１３０は、受信されたメールをフィルタルール１１１に基づいてフィルタリングし、保留が必要なメールであるかどうかを判断する。保留が必要なメールであれば、メールの送信元あるいは宛先の利用者端末にメールが保留されたことを通知し、このメールを保留要として保留部１５０へ送る。そのまま送信してよいメールであれば、保存部１６０へ送る。なお、必要に応じて、暗号化されたメールを暗号化／復号処理部１４０によって復号し、復号された平文メールをフィルタリング処理するとしてもよい。

暗号化／復号処理部１４０は、暗号用または復号用の鍵またはパスワード（以下、パスワードとする）を用いて、入力された添付ファイルを暗号化、あるいは復号する。
保留部１５０は、鍵／パスワード受取部１５１と、保留メール管理部１５２とを有する。鍵／パスワード受取部１５１は、フィルタ処理部１３０が送信の保留を通知した利用者端末から、復号に用いるパスワードを受け取る。そして、パスワードを受け取ったら、フィルタ処理部１３０から取得した暗号化された添付ファイルとともにパスワードを暗号化／復号処理部１４０へ送り、添付ファイルを復号する。このとき、暗号化／復号処理部１４０が添付ファイルを復号できなかった場合は、復号できるまで繰り返し利用者端末に復号鍵を要求する。こうして、復号された添付ファイルを受け取ったら、メール本文、暗号化された添付ファイルとともに、取得したパスワード及び復号された添付ファイルを保留テーブル１１４に一時的に格納する。保留メール管理部１５２は、ユーザ情報１１２及びメール管理情報１１３に基づき、保留メールの送信を承認する権限を有する承認者の承認者端末と情報を交換し、送信が保留されているメールについて、送信を承認するか却下するのかを承認者が決定するための支援を行う。添付ファイルが暗号化された添付ファイルであり、復号された添付ファイルの参照要求が承認者端末より取得されたときは、復号された添付ファイルを承認者端末へ送信する。また、添付ファイルが暗号化されていない添付ファイルであれば、暗号化／復号処理部１４０を用いて添付ファイルを暗号化する。なお、暗号化を行うか否かは、フィルタルールに設定しておいてもよい。そして、承認者端末を介して承認者から保留メールの送信を承認するという指示が入力されたときは、保留テーブル１１４に格納されるメール本文、暗号化された添付ファイル、パスワード、復号された添付ファイルを保存部１６０に引き渡す。承認が拒否されたときは、送信が保留されているメールを破棄する。

保存部１６０は、インデックス生成部１６１と、アーカイブ処理部１６２とを有する。保留部１５０から送られた添付ファイルは暗号化されており、メール本文及び暗号化された添付ファイルとともに、パスワードと復号された添付ファイルが保存部１６０に入力される。フィルタ処理部１３０から送られてきたメールにはパスワードが付加されておらず、メール本文と、付加されているときには添付ファイルが保存部１６０に入力される。インデックス生成部１６１は、メール本文、または添付ファイルからキーワードを抽出し、インデックスを生成する。処理対象が保留部１５０から送られてきた添付ファイル付きのメールであれば、メール本文と、復号された添付ファイルと、を用いてインデックスを生成する。アーカイブ処理部１６２は、メール本文と暗号化された添付ファイル、インデックス生成部１６１で生成されたインデックス、及びパスワードに圧縮処理や暗号化処理などのアーカイブ処理を施し、改ざん防止機能付きのアーカイブ５００へ保存する。また、メール本文と、暗号化された添付ファイルとを送信部１７０へ送る。フィルタ処理部１３０から送られてきたメールであれば、インデックス生成部１６１は、メール本文と、付加されているときには添付ファイルからインデックスを生成する。アーカイブ処理部１６２は、メール本文と、付加されているときには添付ファイルと、生成されたインデックスと、をアーカイブ処理し、アーカイブ５００へ保存する。そして、メール本文を送信部１７０へ送る。

送信部１７０は、受け取ったメール本文と、添付ファイルがあるときはその暗号化された添付ファイルと、を送信先へ送信する。
ここで、記憶部１１０に格納される各情報について説明する。

図５は、フィルタルールの一例を示した図である。
フィルタルール１１１０は、個々のフィルタルールを識別するためのＩＤ１１１０ａ、フィルタリングの条件１１１０ｂ、及び条件が成立したときの動作１１１０ｃの情報項目がある。図の例では、条件１１１０ｂには、「ｆｒｏｍ」、「ａｔｔａｃｈｍｅｎｔ」、「ｅｎｃｒｙｐｔｉｏｎ」についての条件が登録される。「ｆｒｏｍ」、「ａｔｔａｃｈｍｅｎｔ」、「ｅｎｃｒｙｐｔｉｏｎ」は、メール監査サーバ１０に入力されるメールをフィルタリングする要素の一例である。「ｆｒｏｍ」は、電子メールの送信元の属するネットワークを表す。「内部」は、内部ネットワーク、「外部」は外部ネットワークを表す。「ａｔｔａｃｈｍｅｎｔ」は、メールの添付ファイル有無を表す。添付ファイルがあるときは「有」、無いときは「無」となる。「ｅｎｃｒｙｐｔｉｏｎ」は、添付ファイルの暗号化状態を表す。暗号化されている場合は「有」、暗号化されていない場合は「無」となる。たとえば、ＩＤが１の例では、「内部ネットワークから送信され、暗号化された添付ファイルが付加されたメール」をフィルタリングすることを指示する。

動作は、条件によりフィルタリングされたメールに対する処理の指示であり、「保留」または「パス」と、「暗号化」がある。保留は、対応する条件に合致したメールを保留するという指示になる。パスは、対応する条件に合致したメールは、保留せずそのまま送信するという指示になる。なお、内部から外部へ送信されるときは、保留されたメールは、承認者が送信を承認するまで保留が継続される。一方、外部から内部へ送信されるときは、保留されたメールの復号キーが取得されるまで保留が継続される。暗号化は、添付ファイルを暗号化して送信するという指示を表す。

図６は、ユーザ情報の一例を示した図である。（Ａ）は、ユーザ情報の組織テーブル、（Ｂ）は、ユーザ情報のユーザテーブルを示している。
（Ａ）に示した組織テーブル１１２１は、ＩＤ１１２１ａ、組織名１１２１ｂ、及び親組織ＩＤ１１２１ｃの情報項目を有する。これらは、存在する組織と、その親子関係を示した情報である。たとえば、ＩＤが２の「第一営業課」は、ＩＤが１の「営業部」に属する。（Ｂ）に示したユーザテーブル１１２２は、ＩＤ１１２２ａ、ユーザ名１１２２ｂ、メールアドレス１１２２ｃ、所属組織ＩＤ１１２２ｄ、及び承認者フラグ１１２２ｅの情報項目を有する。ここで、所属組織ＩＤ１１２２ｄの数値は、組織テーブル１１２１のＩＤと同じである。また、承認者フラグ１１２２ｅは、対応するユーザが承認者であるかどうかを示し、承認者であるときは「１」、承認者でないときは「０」が設定される。

一般に、保留されたメールの送信を承認する権限は、直属の上司が持つことが多い。直属の上司であれば、業務内容も把握しており、正しい判断ができるからである。ここでも、直属の上司が承認者となることとして説明する。

すなわち、保留メール管理部１５２は、保留されたメールの承認権限は、誰が有するのかをユーザテーブル１１２２と組織テーブル１１２１とを用いて判断する。たとえば、保留メールの送信元が内部ネットワークであれば、メールアドレスなどに基づいてユーザテーブル１１２２からユーザ名を抽出する。そして、該当するユーザの所属組織ＩＤを取得し、この組織ＩＤの組織名に属し、かつ、承認者フラグが「１」のユーザを検出し、承認者とする。図の例では、ユーザテーブル１１２２のＩＤ２のユーザから送信されたメールは、同じ所属組織ＩＤであって承認者フラグが「１」のＩＤ１のユーザが承認者となる。また、承認者フラグが「１」のユーザが送受信するメールの承認者は、同じ組織に属し、承認者フラグが「１」に設定される他のユーザとしてもよいし、組織テーブル１１２１の親組織ＩＤを参照し、親組織に属する承認者を検索してもよい。

図７は、メール管理情報の一例を示した図である。図の例では、保留されているメールの管理とともに、アーカイブ５００に保存されているメールを管理するための情報も設定されている。

メール管理情報１１３０は、ＩＤ１１３０ａ、送信者１１３０ｂ、受信者１１３０ｃ、件名１１３０ｄ、受信日１１３０ｅ、添付１１３０ｆ、暗号化１１３０ｇ、暗号化パスワード１１３０ｈ、状態１１３０ｉ、及び格納先１１３０ｊの情報項目を有する。送信者１１３０ｂには、ＩＤ１１３０ａによって識別されるメールの送信元が設定される。受信者１１３０ｃには、同様に、メールの宛先であるメールの受信者が設定される。件名１１３０ｄには、メールの件名が抽出されて設定される。受信日１１３０ｅには、メール監査サーバ１０が受信した日付が設定される。添付１１３０ｆには、このメールに添付ファイルが付加されているかどうかが設定される。付加されていれば「１」、付加されていないときは「０」が設定される。暗号化１１３０ｇには、添付ファイルが暗号化されているかどうかが設定される。暗号化されていれば「１」、暗号化されていなければ「０」が設定される。暗号化パスワード１１３０ｈには、利用者端末から取得した暗号化された添付ファイルを復号するためのパスワードが設定される。状態１１３０ｉは、メールの状態を示している。「保留」は、保留部１５０によってメールが保留されていることを表す。「保存」は、メールは送信され、その情報はアーカイブ５００に保存されていることを表す。また、その情報の格納先は、格納先１１３０ｊに設定される。

また、図示はしないが、保留テーブル１１４には、メール本文、暗号化された添付ファイル、パスワード、及び復号された添付ファイルが、メール管理情報１１３０のＩＤ１１３０ａに対応付けて格納されている。たとえば、メール管理情報１１３０のＩＤ１のメールについては、このメールの本文（この例では、添付ファイルはない）が、ＩＤ１に対応付けて格納されている。

次に、上記のような構成のメールシステムの動作について説明する。以下、メール監査サーバ１０が、図５に示したフィルタルール１１１０に基づいて動作する場合について説明する。

前述のように、メール監査サーバ１０に入力されるメールは、「ｆｒｏｍ」、「ａｔｔａｃｈｍｅｎｔ」、「ｅｎｃｒｙｐｔｉｏｎ」の３要素によってフィルタリングされ、それぞれに対応する「動作」が実行される。

具体的には、図５に示したように、メール監査サーバ１０が受信するメールには、６種類ある。第１に、内部ネットワークから送信され、暗号化された添付ファイルが付加されたメールがある。これは、ＩＤの１の条件に適合する。第２に、内部ネットワークから送信され、暗号化されていない添付ファイルが付加されたメールがある。これは、ＩＤの２の条件に適合する。第３に、内部ネットワークから送信され、添付ファイルが付加されていないメールがある。これは、ＩＤの３の条件に適合する。第４に、外部ネットワークから送信され、暗号化された添付ファイルが付加されたメールがある。これは、ＩＤの４の条件に適合する。第５に、外部ネットワークから送信され、暗号化されていない添付ファイルが付加されたメールがある。これは、ＩＤの５の条件に適合する。第６に、外部ネットワークから送信され、添付ファイルが付加されないメールがある。これは、ＩＤの６の条件に適合する。

このうち、ＩＤが３、５、６の条件に該当するメールは、フィルタ処理部１３０でフィルタリングされた後、保留部１５０を経由せずに直接保存部１６０へ送られる。保存部１６０でアーカイブ処理が行われた後、送信部１７０によって送信先へ送信される。

ＩＤ１、２、４については、保留部１５０による処理が行われるので、図を用いて詳細に説明する。
図８は、フィルタルール（ＩＤ＝１）が適用される場合の処理を示した図である。

（Ａ）フィルタルール（ＩＤ＝１）は、内部ネットワークから送信され、暗号化された添付ファイルが付加されたメールに対して適用される。
内部ネットワークに接続する利用者端末２００から添付ファイルが暗号化された暗号化メール６００が送信され、メール監査サーバ１０に受信される。フィルタ処理部１３０は、フィルタルール（ＩＤ＝１）が適用されると判断し、暗号化メール６００を送信した利用者端末２００に対し、暗号化メール６００を保留したことを通知する（７１０）。そして、暗号化メール６００を保留部１５０へ引き渡す。通知を受けた利用者端末２００からパスワード６５０がメール監査サーバ１０に送られる。

保留部１５０は、パスワード６５０及び暗号化メール６００を暗号化／復号処理部１４０へ渡し、復号を依頼する。こうして、復号された平文メール６１０を得る。そして、利用者端末２００のユーザの上司である承認者の承認者端末３００から要求があったときは、暗号化メール６００とともに平文メール６１０を送付する。これにより、上司は、添付ファイルの内容の確認が可能となる。そして、送信が承認されたときには、承認者端末３００を介して承認７２０の指示が入力される。保留部１５０は、送信が承認された暗号化メール６００に、そのパスワード６５０と平文メール６１０を付加して保存部１６０へ送る。また、保留部１５０は、送信部１７０を介して暗号化メール６００を送信先に送信する。なお、送信部１７０への送信指示は、保存部１６０から行われてもよい。

保存部１６０では、受け取った平文メール６１０からインデックス６６０を作成する。暗号化メール６００に、パスワード６５０とインデックス６６０を付加し、圧縮処理などのアーカイブ処理を行って、アーカイブ５００へ格納する。なお、途中で生成された平文メール６１０も一緒にアーカイブ５００へ格納するとしてもよい。しかし、パスワード６５０が格納されているので、暗号化メール６００から平文メール６１０を生成することは可能であること、及び送信された原本を保存することがアーカイブの基本であること、などからここでは平文メール６１０はアーカイブしていない。また、図では、アーカイブ５００にまとめて保存するとしているが、セキュリティ確保のために、パスワード６５０は別に保存するとしてもよい。

アーカイブ５００には、暗号化メール６００とともに、パスワード６５０と、インデックス６６０が格納されているので、監査者は、監査者端末８００を介して容易に所望のメールを検索・抽出することができる。また、必要であれば、暗号化メール６００を復号し、内容を確認することもできる。

図９は、フィルタルール（ＩＤ＝２）が適用される場合の処理を示した図である。
（Ｂ）フィルタルール（ＩＤ＝２）は、内部ネットワークから送信され、暗号化されていない添付ファイルが付加されたメールに対して適用される。

内部ネットワークに接続する利用者端末２００から添付ファイルが暗号化されていない平文メール６１１が送信され、メール監査サーバ１０に入力される。フィルタ処理部１３０は、フィルタルール（ＩＤ＝２）が適用されると判断し、平文メール６１１を保留部１５０へ引き渡す。

保留部１５０は、利用者端末２００のユーザの上司である承認者の承認者端末３００から対象メールの参照要求があったときは、平文メール６１１を送付する。元々平文メール６１１なので、承認者はその内容を確認することができる。そして、承認者によって送信が承認されたときには、承認者端末３００を介して承認７２１の指示が入力される。保留部１５０は、送信が承認された平文メール６１１を暗号化／復号処理部１４０で暗号化する。たとえば、添付ファイルを自己復号形式ファイルに自動的に暗号化する。パスワード６５１は、予め添付ファイルの受信先と取り決められたパスワードを用いてもよいし、自動生成されたパスワードを後で通知するとしてもよい。保存部１６０へは、平文メール６１１に、パスワード６５１及び暗号化メール６０１を付加して送る。また、保留部１５０は、送信部１７０を介して暗号化メール６０１を送信先に送信する。なお、送信部１７０への送信指示は、保存部１６０から行われてもよい。

保存部１６０では、受け取った平文メール６１１からインデックス６６１を作成する。暗号化メール６０１に、パスワード６５１とインデックス６６１を付加し、圧縮処理などのアーカイブ処理を行って、アーカイブ５００へ格納する。なお、元の平文メール６１１をアーカイブ５００へ格納するとしてもよいことは、（Ａ）の場合と同様である。

アーカイブ５００には、暗号化メール６０１とともに、パスワード６５１と、インデックス６６１が格納されているので、監査者は、監査者端末８００を介して容易に所望のメールを検索・抽出することができる。また、必要であれば、暗号化メール６０１を復号し、内容を確認することもできる。

図１０は、フィルタルール（ＩＤ＝４）が適用される場合の処理を示した図である。
（Ｃ）フィルタルール（ＩＤ＝４）は、外部ネットワークから送信され、暗号化された添付ファイルが付加されたメールに対して適用される。

外部ネットワークに接続する外部利用者端末４００から添付ファイルが暗号化された暗号化メール６０２が送信され、メール監査サーバ１０に受信される。フィルタ処理部１３０は、フィルタルール（ＩＤ＝４）が適用されると判断し、暗号化メール６０２を受信する利用者端末２００に対し、暗号化メール６０２を保留したことを通知する（７１２）。そして、暗号化メール６０２を保留部１５０へ引き渡す。通知を受けた利用者端末２００からパスワード６５２がメール監査サーバ１０に送られる。

保留部１５０は、パスワード６５２及び暗号化メール６０２を暗号化／復号処理部１４０へ渡し、復号を依頼する。こうして、復号された平文メール６１２を得る。監査対象の利用者端末２００から送信されたメールではないので、承認は行わない。保留部１５０は、暗号化メール６０２に、そのパスワード６５２と平文メール６１２を付加して保存部１６０へ送る。また、保留部１５０は、送信部１７０を介して暗号化メール６０２をメールの宛先（利用者端末２００）に送信する。

保存部１６０では、受け取った平文メール６１２からインデックス６６２を作成する。暗号化メール６０２に、パスワード６５２とインデックス６６２を付加し、圧縮処理などのアーカイブ処理を行って、アーカイブ５００へ格納する。

アーカイブ５００には、暗号化メール６０２とともに、パスワード６５２と、インデックス６６２が格納されているので、監査者は、監査者端末８００を介して容易に所望のメールを検索・抽出することができる。また、必要であれば、暗号化メール６０２を復号し、内容を確認することもできる。

ここで、利用者端末２００におけるパスワード入力操作について説明する。
ユーザは、利用者端末２００上でメーラーを起動させ、暗号化メール６００を送信したとする。メール監査サーバ１０によって暗号化メールの送信は保留され、送信が保留されたことが通知される。メーラーは、通知されたメールを保留箱に振り分け、メール送信者に通知する。図１１は、メール一覧画面の一例を示した図である。

メール一覧画面２１００には、フォルダ一覧２１１０と、メール一覧２１２０とが表示される。メール一覧２１２０は、フォルダ一覧２１１０で選択されたディレクトリに振り分けられたメールが一覧表示される。ここでは、保留箱２１１１が操作され、保留箱に振り分けられたメールの一覧が表示されているとする。図の例では、メール監査サーバ１０の保留部１５０が送信を保留している、すなわちパスワードまたは承認者の承認を待っている状態のメールに加え、監査が終わっていないメールが表示されている。メール監査サーバ１０が保留していないメールは、一覧に表示しないようにしてもよい。

また、メール一覧２１２０には、「件名」「送信者」「受信者」「送信日」「サイズ」のメールに関する情報項目に加え、メールの監査状況を示す情報項目が表示されている。情報項目「パスワード待」の「パスワード待」は、このメールがユーザのパスワード入力を待っている状態であることを示す。情報項目「承認状態」の「未承認」は、承認者による承認を待っている状態であることを示す。情報項目「監査状態」の「未監査」は、監査者による監査を待っている状態であることを示す。

ここで、ユーザがメール一覧２１２０の「パスワード待」２１２１を操作すると、パスワード入力画面が展開される。
図１２は、パスワード入力画面の一例を示した図である。

パスワード入力画面２２００には、指示された「パスワード待」２１２１に対応するメールに関するメール情報２２０１が表示される。さらに、そのメールのオリジナルメール本文２２０３と、添付ファイル情報２２０４とが表示される。

パスワードの登録は、パスワード入力欄２２０２にパスワードを入力し、登録２２０５を操作することによって行う。登録２２０５が操作されると、利用者端末２００からパスワード入力欄２２０２に入力されたパスワードがメール監査サーバ１０に通知される。

以上、メール一覧からパスワード入力画面を展開し、パスワードを入力する例について説明したが、保留通知７１０をメール形式で利用者端末２００へ送付するとしてもよい。保留通知７１０のメールには、パスワード入力画面のＵＲＬ（Uniform Resource Locator）を記載しておく。ユーザがＵＲＬを操作することによって、パスワード入力画面２２００が展開されるとしてもよい。

次に、承認者端末３００からの承認指示について説明する。
承認者に対しては、メール監査サーバ１０から承認を依頼する通知が送られる。誰に対して依頼するのかは、組織テーブル１１２１及びユーザテーブル１１２２を参照して保留部１５０が決定する。通知には、承認を設定する承認画面のＵＲＬを記載しておく。このＵＲＬを操作することによって、承認画面が展開される。また、承認者端末３００に、図１１に示したようなメール一覧画面を表示させ、未承認２１２２が操作されたときに承認画面が展開されるとしてもよい。

図１３は、承認画面の一例を示した図である。図１２と同じものには同じ番号を付し、説明は省略する。
承認画面２３００は、パスワード入力画面２２００の表示に加え、承認者情報２３０１、承認・却下理由入力欄２３０２、送信承認２３０３、及び送信却下２３０４が表示される。また、パスワード（入力蘭）２２０２には入力できず、ユーザが登録したパスワードが表示されている。

承認者は、オリジナルメール本文２２０３、及び添付ファイル情報２２０４を確認し、承認するか否かを判断する。このとき、添付ファイル記号２３０５を操作すると、承認者端末３００からメール監査サーバ１０に対し平文メールが要求される。そして、承認者端末３００は、取得された平文メールに基づいて復号された添付ファイルの内容を表示する。承認者は、添付ファイルの内容を確認し、承認を行うことができる。送信を承認する場合は、送信承認２３０３を操作する。承認者端末３００からメール監査サーバ１０に承認指示が通知される。また、送信却下２３０４が操作されると、承認者端末３００からメール監査サーバ１０に、送信却下が通知される。必要であれば、承認・却下理由入力欄２３０２に理由を入力しておく。

以上のような表示画面が利用者端末２００または承認者端末３００に表示され、設定されたパスワードまたは承認通知がメール監査サーバ１０に送られる。保留部１５０は、受け取ったパスワードまたは承認通知に応じて処理を行う。

次に、メール監査サーバ１０において実行されるメールの監査方法について説明する。
図１４は、メールの監査処理の手順を示したフローチャートである。メールを受信し、処理が開始される。

［ステップＳ０１］ 取り込まれたメールが内部ネットワークに接続する利用者端末から送信されたものであるかどうかをチェックする。内部からのメールであれば、処理をステップＳ０２に進める。内部からのメールでなければ、図１５の分岐点Ａに処理を進める。

［ステップＳ０２］ 内部から送信されたメールであったときは、さらに、メールの添付ファイルが暗号化されているかどうかをチェックする。添付ファイルがあり、暗号化済みであるときは、処理をステップＳ０３に進める。添付ファイルがない場合、及び添付ファイルが暗号化されていない場合は、処理をステップＳ１１に進める。

［ステップＳ０３］ メールに添付ファイルがあり、暗号化済みであるときは、このメールの送信を保留にする。
［ステップＳ０４］ メールの送信者へ、メールを保留にしたことを通知し、パスワードを要求する。

［ステップＳ０５］ メールの送信者から取得したパスワードを登録する。
［ステップＳ０６］ ステップＳ０５で取得したパスワードで、メールの添付ファイルが復号できるかどうかを判定する。復号できるときは、処理をステップＳ０７に進める。復号できないときは、ステップＳ０４に戻って、パスワードの取得からの処理を行う。

［ステップＳ０７］ 承認者から、このメールの送信を承認するか否かの指示が通知されるのを待つ。通知が承認であったときは、処理をステップＳ０８に進める。承認却下であったときは、処理をステップＳ１０に進める。

［ステップＳ０８］ メール本文、添付ファイルが付加されていたときはメール本文に加えて、暗号化された添付ファイル、パスワード、及び復号された添付ファイルまたは暗号化されていない添付ファイルを取得する。メール本文、及び添付ファイルがある場合には復号された添付ファイルまたは暗号化されていない添付ファイルを用いてインデックスを作成する。そして、メール本文とインデックス、及び添付ファイルがある場合には暗号化された添付ファイルとパスワードを加え、アーカイブ処理を行う。アーカイブ５００には、メール本文とインデックス、添付ファイルがある場合にはこれに加えて、暗号化された添付ファイルとパスワードを含むアーカイブファイルが格納される。

［ステップＳ０９］ メールの送信先に対し、メール本文、添付ファイルがある場合にはメール本文と暗号化された添付ファイル、を送信して、処理を終了する。
［ステップＳ１０］ 承認が却下されたときは、送信者に送信が却下され、差し戻されたことを通知し、処理を終了する。

［ステップＳ１１］ メールが承認対象であるかどうかを判定する。図５のフィルタルールによれば、添付ファイルのないメールは承認対象とならない。承認対象であれば、処理をステップＳ１２に進める。承認対象でなければ、処理をステップＳ０８に進める。

［ステップＳ１２］ 承認対象（暗号化されていない添付ファイルが付加されたメール）であれば、このメールの送信を保留にする。
［ステップＳ１３］ 承認者から、このメールの送信を承認するか否かの指示が通知されるのを待つ。通知が承認であったときは、処理をステップＳ１４に進める。承認却下であったときは、処理をステップＳ１０に進める。

［ステップＳ１４］ パスワードを生成する。
［ステップＳ１５］ ステップＳ１４で生成されたパスワードを用いて添付ファイルを暗号化する。こうして、メール本文、暗号化されていない添付ファイル、及びパスワードに加えて暗号化された添付ファイルを取得し、処理をステップＳ０８に進める。

以上の処理手順が実行されることにより、添付ファイルが付加されたメールが内部ネットワークから送信されるときは、一旦送信が保留され、承認者によって承認された後、送信が再開される。

図１５は、外部から送信されたメールの監査処理の手順を示したフローチャートである。
図１４の分岐点Ａから続けて処理が開始される。具体的には、取得されたメールが外部ネットワークからのメールであったときに処理が開始される。

［ステップＳ２１］ メールの添付ファイルが暗号化されているかどうかをチェックする。添付ファイルがあり、暗号化済みであるときは、処理をステップＳ２２に進める。添付ファイルがない場合、及び添付ファイルが暗号化されていない場合は、処理をステップＳ２６に進める。

［ステップＳ２２］ メールに添付ファイルがあり、暗号化済みであるときは、このメールの送信（内部ネットワークの利用者端末から見ると受信）を保留にする。
［ステップＳ２３］ メールの受信者へ、メールを保留にしたことを通知し、パスワードを要求する。

［ステップＳ２４］ メールの受信者から取得したパスワードを登録する。
［ステップＳ２５］ ステップＳ２４で取得したパスワードで、メールの添付ファイルが復号できるかどうかを判定する。復号できるときは、処理をステップＳ２６に進める。復号できないときは、ステップＳ２３に戻って、パスワードの取得からの処理を行う。

［ステップＳ２６］ メール本文、またはメール本文と暗号化されていない添付ファイル、もしくはメール本文と暗号化された添付ファイルとパスワードと復号された添付ファイル、を取得してインデックスを作成する。メール本文のみの場合は、メール本文からインデックスを作成し、メール本文とインデックスをアーカイブ処理し、アーカイブ５００へ格納する。メール本文と暗号化されていない添付ファイルの場合は、メール本文と添付ファイルとからインデックスを作成し、メール本文と添付ファイルとインデックスとをアーカイブ処理し、アーカイブ５００へ格納する。メール本文、暗号化された添付ファイル、パスワード、復号された添付ファイルの場合には、メール本文と復号された添付ファイルからインデックスを作成する。そして、メール本文、暗号化された添付ファイル、インデックス、及びパスワードをアーカイブ処理し、アーカイブ５００に格納する。

［ステップＳ２７］ メールの宛先に対し、メール監査サーバ１０が受信した形のメール（メール本文のみのときはメール、添付ファイルがあるときはメール本文と添付ファイル、暗号化された添付ファイルがあるときはメール本文と暗号化された添付ファイル）を送信し、処理を終了する。

以上の処理手順が実行されることにより、暗号化された添付ファイルが付加されて外部ネットワークから送られてきたメールについても、そのパスワードと、復号した添付ファイルに基づくインデックスとが付加されてアーカイブされる。

なお、上記の処理機能は、コンピュータによって実現することができる。その場合、電子メール監査装置が有すべき機能の処理内容を記述したプログラムが提供される。そのプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリなどがある。磁気記録装置には、ハードディスク装置（ＨＤＤ）、フレキシブルディスク（ＦＤ）、磁気テープなどがある。光ディスクには、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ−ＲＡＭ、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）などがある。光磁気記録媒体には、ＭＯ（Magneto-Optical disk）などがある。

プログラムを流通させる場合には、たとえば、そのプログラムが記録されたＤＶＤ、ＣＤ−ＲＯＭなどの可搬型記録媒体が販売される。また、プログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することもできる。

プログラムを実行するコンピュータは、たとえば、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、自己の記憶装置に格納する。そして、コンピュータは、自己の記憶装置からプログラムを読み取り、プログラムに従った処理を実行する。なお、コンピュータは、可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することもできる。また、コンピュータは、サーバコンピュータからプログラムが転送されるごとに、逐次、受け取ったプログラムに従った処理を実行することもできる。

（付記１） 監査対象の利用者端末とやり取りされる電子メールをコンピュータに監査させるための電子メール監査プログラムにおいて、
コンピュータを、
前記電子メールを取り込み、フィルタによって前記利用者端末から送信された前記電子メールの暗号化メールが検出されたときは、前記暗号化メールの送信を保留するとともに、前記利用者端末に前記暗号化メールが保留されたことを通知して復号鍵を要求するフィルタ処理手段、
送信が保留されている前記暗号化メールを、前記復号鍵を用いて復号して平文の復号メールに戻す復号手段、
前記フィルタ処理手段によって保留された前記暗号化メールの前記復号鍵が前記利用者端末から取得されたら前記復号手段によって前記暗号化メールを復号し、前記利用者端末のメール送信を承認する権限を有する承認者の承認者端末からの参照要求に応じて前記復号メールを前記承認者端末に提供するとともに、前記承認者端末を介して送信承認が指示されたときは前記暗号化メールの送信を再開し、前記承認者端末から送信却下が指示されたときは前記暗号化メールの送信を中止させる保留手段、
送信が承認された前記暗号化メールと前記復号鍵とを取得し、前記復号鍵を前記暗号化メールに対応付けて、前記暗号化メールとともに保存情報記憶手段に格納する保存手段、
として機能させることを特徴とする電子メール監査プログラム。

（付記２） 前記保存手段が、さらに、前記暗号化メールが復号された前記復号メールを取得し、前記復号メールに基づいて前記暗号化メールの検索に使用されるインデックスを生成し、前記インデックスを前記暗号化メールに対応付けて前記保存情報記憶手段に格納する、
ことを特徴とする付記１記載の電子メール監査プログラム。

（付記３） 前記フィルタ処理手段が、フィルタによって前記利用者端末を宛先として送信された前記暗号化メールが検出されたときは、前記利用者端末を宛先とする暗号化メールの送信を保留するとともに、前記利用者端末に前記利用者端末を宛先とする暗号化メールが保留されたことを通知して復号鍵を要求し、
前記保留手段が、前記フィルタ処理によって保留された前記利用者端末を宛先とする暗号化メールに対応する復号鍵が前記利用者端末から取得されたら、前記復号手段によって前記利用者端末を宛先とする暗号化メールを復号するとともに、前記利用者端末を宛先とする暗号化メールの送信を再開し、
前記保存手段が、前記利用者端末を宛先とする暗号化メールが復号された復号メールを取得し、該復号メールに基づいて前記利用者端末を宛先とする暗号化メールの検索に使用される前記インデックスを生成し、該インデックスを、前記利用者端末を宛先とする暗号化メールに対応付けて前記保存情報記憶手段に格納する、
ことを特徴とする付記２記載の電子メール監査プログラム。

（付記４） 前記フィルタ手段は、フィルタによって前記利用者端末から送信された前記電子メールの添付ファイルが暗号化されていないことが検出されたときは、前記電子メールの送信を保留し、
前記保留手段が、承認者端末から送信承認が指示されたときは前記添付ファイルを暗号化し、前記添付ファイルが暗号化された前記電子メールを送信する、
ことを特徴とする付記１記載の電子メール監査プログラム。

（付記５） 前記フィルタ処理手段が、送信に承認が必要であると前記電子メールを特定する情報と、特定された前記電子メールに対する処理と、が登録されるフィルタルールに基づいて前記フィルタ処理を行い、検出された前記電子メールの送信を保留させるとともに前記利用者端末に通知する、
ことを特徴とする付記１記載の電子メール監査プログラム。

（付記６） 前記保留手段が、前記利用者端末から取得された前記復号鍵を用いて前記暗号化メールが復号できなかったときは、前記暗号化メールが復号されるまで前記利用者端末への復号鍵要求を繰り返し、前記暗号化メールの保留を継続させる、
ことを特徴とする付記１記載の電子メール監査プログラム。

（付記７） 前記フィルタ手段は、メール本文に添付される添付ファイルが暗号化されている電子メールを前記暗号化メールとする、ことを特徴とする付記１記載の電子メール監査プログラム。

（付記８） 監査対象の利用者端末とやり取りされる電子メールをコンピュータに監査させる電子メール監査装置において、
前記電子メールを取り込み、フィルタによって前記利用者端末から送信された前記電子メールの暗号化メールが検出されたときは、前記暗号化メールの送信を保留するとともに、前記利用者端末に前記暗号化メールが保留されたことを通知して復号鍵を要求するフィルタ処理手段と、
送信が保留されている前記暗号化メールを、前記復号鍵を用いて復号して平文の復号メールに戻す復号手段と、
前記フィルタ処理手段によって保留された前記暗号化メールの前記復号鍵が前記利用者端末から取得されたら前記復号手段によって前記暗号化メールを復号し、前記利用者端末のメール送信を承認する権限を有する承認者の承認者端末からの参照要求に応じて前記復号メールを前記承認者端末に提供するとともに、前記承認者端末を介して送信承認が指示されたときは前記暗号化メールの送信を再開し、前記承認者端末から送信却下が指示されたときは前記暗号化メールの送信を中止させる保留手段と、
送信が承認された前記暗号化メールと前記復号鍵とを取得し、前記復号鍵を前記暗号化メールに対応付けて、前記暗号化メールとともに保存情報記憶手段に格納する保存手段と、
を有することを特徴とする電子メール監査装置。

（付記９） 監査対象の利用者端末とやり取りされる電子メールをコンピュータに監査させる電子メール監査方法において、
フィルタ処理手段が、前記電子メールを取り込み、フィルタによって前記利用者端末から送信された前記電子メールの暗号化メールが検出されたときは、前記暗号化メールの送信を保留するとともに、前記利用者端末に前記暗号化メールが保留されたことを通知して復号鍵を要求する手順と、
保留手段が、前記フィルタ処理手段によって保留された前記暗号化メールの前記復号鍵が前記利用者端末から取得されたら、前記復号鍵を用いて復号して平文の復号メールに戻す復号手段によって前記暗号化メールを復号し、前記利用者端末のメール送信を承認する権限を有する承認者の承認者端末からの参照要求に応じて前記復号メールを前記承認者端末に提供するとともに、前記承認者端末を介して送信承認が指示されたときは前記暗号化メールの送信を再開し、前記承認者端末から送信却下が指示されたときは前記暗号化メールの送信を中止させる手順と、
保存手段が、送信が承認された前記暗号化メールと前記復号鍵とを取得し、前記復号鍵を前記暗号化メールに対応付けて、前記暗号化メールとともに保存情報記憶手段に格納する手順と、
を行うことを特徴とする電子メール監査方法。

本発明の実施の形態に適用される発明の概念図である。 実施の形態のシステム構成例を示す図である。 メール監査サーバのハードウェア構成例を示すブロック図である。 メール監査サーバのソフトウェア構成例を示した図である。 フィルタルールの一例を示した図である。 ユーザ情報の一例を示した図である。 メール管理情報の一例を示した図である。 フィルタルール（ＩＤ＝１）が適用される場合の処理を示した図である。 フィルタルール（ＩＤ＝２）が適用される場合の処理を示した図である。 フィルタルール（ＩＤ＝４）が適用される場合の処理を示した図である。 メール一覧画面の一例を示した図である。 パスワード入力画面の一例を示した図である。 承認画面の一例を示した図である。 メールの監査処理の手順を示したフローチャートである。 外部から送信されたメールの監査処理の手順を示したフローチャートである。

符号の説明

１ 電子メール監査装置
１ａ フィルタ処理手段
１ｂ 保留手段
１ｃ 復号手段
１ｄ 送信手段
１ｅ 保存手段
１ｆ 保存情報記憶手段
２ 利用者端末
３ 承認者端末
４ 外部利用者端末

Claims (5)

1. 監査対象の利用者端末とやり取りされる電子メールをコンピュータに監査させるための電子メール監査プログラムにおいて、
   コンピュータを、
   前記電子メールを取り込み、フィルタによって前記利用者端末から送信された前記電子メールの暗号化メールが検出されたときは、前記暗号化メールの送信を保留するとともに、前記利用者端末に前記暗号化メールが保留されたことを通知して復号鍵を要求するフィルタ処理手段、
   送信が保留されている前記暗号化メールを、前記復号鍵を用いて復号して平文の復号メールに戻す復号手段、
   前記フィルタ処理手段によって保留された前記暗号化メールの前記復号鍵が前記利用者端末から取得されたら前記復号手段によって前記暗号化メールを復号し、前記利用者端末のメール送信を承認する権限を有する承認者の承認者端末からの参照要求に応じて前記復号メールを前記承認者端末に提供するとともに、前記承認者端末を介して送信承認が指示されたときは前記暗号化メールの送信を再開し、前記承認者端末から送信却下が指示されたときは前記暗号化メールの送信を中止させる保留手段、
   送信が承認された前記暗号化メールと前記復号鍵とを取得し、前記復号鍵を前記暗号化メールに対応付けて、前記暗号化メールとともに保存情報記憶手段に格納するとともに、前記暗号化メールが復号された前記復号メールを取得し、前記復号メールに基づいて前記暗号化メールの検索に使用されるインデックスを生成し、前記インデックスを前記暗号化メールに対応付けて前記保存情報記憶手段に格納する保存手段、
   として機能させることを特徴とする電子メール監査プログラム。
2. 前記フィルタ処理手段が、フィルタによって前記利用者端末を宛先として送信された前記暗号化メールが検出されたときは、前記利用者端末を宛先とする暗号化メールの送信を保留するとともに、前記利用者端末に前記利用者端末を宛先とする暗号化メールが保留されたことを通知して復号鍵を要求し、
   前記保留手段が、前記フィルタ処理手段によって保留された前記利用者端末を宛先とする暗号化メールに対応する復号鍵が前記利用者端末から取得されたら、前記復号手段によって前記利用者端末を宛先とする暗号化メールを復号するとともに、前記利用者端末を宛先とする暗号化メールの送信を再開し、
   前記保存手段が、前記利用者端末を宛先とする暗号化メールが復号された復号メールを取得し、該復号メールに基づいて前記利用者端末を宛先とする暗号化メールの検索に使用される前記インデックスを生成し、該インデックスを、前記利用者端末を宛先とする暗号化メールに対応付けて前記保存情報記憶手段に格納する、
   ことを特徴とする請求項１記載の電子メール監査プログラム。
3. 前記フィルタ処理手段は、フィルタによって前記利用者端末から送信された前記電子メールの添付ファイルが暗号化されていないことが検出されたときは、前記電子メールの送信を保留し、
   前記保留手段が、前記承認者端末から送信承認が指示されたときは前記添付ファイルを暗号化し、前記添付ファイルが暗号化された前記電子メールを送信する、
   ことを特徴とする請求項１または２記載の電子メール監査プログラム。
4. 前記フィルタ処理手段が、送信に承認が必要であると前記電子メールを特定する情報と、特定された前記電子メールに対する処理と、が登録されるフィルタルールに基づいて前記フィルタ処理を行い、検出された前記電子メールの送信を保留させるとともに前記利用者端末に通知する、
   ことを特徴とする請求項１乃至３のいずれかに記載の電子メール監査プログラム。
5. 監査対象の利用者端末とやり取りされる電子メールをコンピュータに監査させる電子メール監査装置において、
   前記電子メールを取り込み、フィルタによって前記利用者端末から送信された前記電子メールの暗号化メールが検出されたときは、前記暗号化メールの送信を保留するとともに、前記利用者端末に前記暗号化メールが保留されたことを通知して復号鍵を要求するフィルタ処理手段と、
   送信が保留されている前記暗号化メールを、前記復号鍵を用いて復号して平文の復号メールに戻す復号手段と、
   前記フィルタ処理手段によって保留された前記暗号化メールの前記復号鍵が前記利用者端末から取得されたら前記復号手段によって前記暗号化メールを復号し、前記利用者端末のメール送信を承認する権限を有する承認者の承認者端末からの参照要求に応じて前記復号メールを前記承認者端末に提供するとともに、前記承認者端末を介して送信承認が指示されたときは前記暗号化メールの送信を再開し、前記承認者端末から送信却下が指示されたときは前記暗号化メールの送信を中止させる保留手段と、
   送信が承認された前記暗号化メールと前記復号鍵とを取得し、前記復号鍵を前記暗号化メールに対応付けて、前記暗号化メールとともに保存情報記憶手段に格納するとともに、前記暗号化メールが復号された前記復号メールを取得し、前記復号メールに基づいて前記暗号化メールの検索に使用されるインデックスを生成し、前記インデックスを前記暗号化メールに対応付けて前記保存情報記憶手段に格納する保存手段と、
   を有することを特徴とする電子メール監査装置。
   

Images