JP5632753B2 - ファイル格納制御システムと方法およびプログラム - Google Patents

Description

本発明は、コンピュータ装置におけるファイルのアクセス制御技術に係り、特に、ファイルを記憶装置に格納する際のセキュリティ確保を高信頼に行うのに好適な技術に関するものである。

コンピュータ装置においては、アクセス権限を持っているユーザが、重要なファイルを作成、移動または複写した場合に、想定外のフォルダに誤って格納してしまうケースが可能性として存在する。

ファイルのセキュリティを確保する技術には、暗号化処理技術がある。しかし、このようなファイルの暗号化技術の利用では、ファイルの誤配布は防止できない。また、暗号化技術では、ファイルの内容そのもののセキュリティは確保できているが、ファイルのタイトル（ファイル名）から内容を類推される恐れがある。

ファイルの誤操作の例としては、例えば、「（１）給与明細のＰＤＦファイルを従業員に配布するために、従業員各個人のみがアクセスできるフォルダに、配布する側が、誤って、他従業員の給与明細を格納し、個人情報が他者に渡る」というケース、あるいは、「（２）製造業の親会社が、仕入先別にフォルダを分け、設計図面、検査結果データ等をやり取りする場合、親会社側が誤って、他仕入先のデータを格納してしまい、機密情報が他社に渡る。」というケースがある。

従来、このようなファイルの誤操作を回避してセキュリティを確保する技術として、非特許文献１〜３において記載されている「アクセス制御マトリックス」と「アクセス制御リスト」を利用する技術がある。

アクセス制御マトリックスは、図５に示すように、ファイルに対するアクセスを制御する情報を「行」と「列」からなる表形式で管理するものであり、主体（ｓｕｂｊｅｃｔ：システムの中で能動的に振舞うもの、ユーザやユーザによって起動されたプロセスやトランザクションといったもの）を「行」のインデクスとし、対象（ｏｂｊｅｃｔ：保護の対象、主体によるアクセスに対して能動的に振舞うもの、主体が同時に対象になることもある）を「列」のインデクスとする行列で、主体Ｓと対象Ｘで定まるエントリに、主体Ｓが対象Ｘに対して許されている操作を列挙した表である。

エントリに記されていない操作は許されず、また、空のエントリは一切のアクセスが許されないことを示し、図５に示すアクセス制御マトリックスの例では、主体であるユーザＡｌｉｃｅが、対象であるファイルＡに対して許されているアクセスは、内容の読み出しと、内容の変更、および削除であり、さらに保護状態の変更も許されている。

これに対して、ユーザＢｏｂは、ファイルＡに対する読み出しが許されているが、既存データの変更は許されておらず、代わりに新たなデータの追加は許されている。

また、ユーザＣｈｒｉｓは、内容の読み出しは許されていないが、バックアップ業務はできるようになっている。また、ユーザＡｌｉｃｅとユーザＢｏｂは、プログラムＢの実行が許されているが、ユーザＣｈｒｉｓは許されていない。

サービスＶは、ユーザＡｌｉｃｅが起動、停止などの業務管理を担当しており、ユーザＢｏｂとユーザＣｈｒｉｓは、それを利用することのみ許されている。また、プロセスＰを停止できるのはユーザＡｌｉｃｅだけである、などが表現されている。

これに対して、アクセス制御リストは、対象ごとに定めた、その対象にアクセスする主体と、その主体に対して許すアクセスのリストであり、前述のアクセス制御マトリックスから、その対象に該当する「列」だけを取り出したものに相当する。

その対象に対するアクセスを許されていない主体に関する情報は不要（なければアクセス不許可）なので、管理すべきデータ量を小さくすることができる。

また、以下、図６に示すＵＮＩＸ（登録商標）のファイルシステムの例で説明するように、ファイルのアクセス制御管理技術を、簡略化してさらにデータ量の小型化を図ることもできる。

ＵＮＩＸ（登録商標）では、ファイルには所有者（ｏｗｎｅｒ）が対応付けられており、この所有者（ｏｗｎｅｒ）は、アクセス制御情報を更新することができる。また、ユーザグループという概念があり、アクセス制御に用いられる。

図６の例では、「ｌｏｇｉｎ」という名前のファイルの所有者が「ｒｏｏｔ」であり、ユーザグループが「ｂｉｎ」であることを示している。左端の「−ｒｗｘｒ−ｘｒ−ｘ」という文字列は、モードビットあるいはファイルパーミッションと呼ばれ、このファイルに対するアクセス制御情報を表している。

例えば、この文字列「−ｒｗｘｒ−ｘｒ−ｘ」の２文字目から４文字目までが、所有者（ｒｏｏｔ）に許された操作を表しており、「ｒ」はｒｅａｄ、すなわち、読み出しが許されていることを表し、「ｗ」はｗｒｉｔｅ、すなわち、書き込み・変更が可能であることを示している。さらに「ｘ」は実行が許されていることを示している。

文字列「−ｒｗｘｒ−ｘｒ−ｘ」の続く５文字から７文字までの３文字が、ユーザグループ「ｂｉｎ」に属するユーザに対するアクセス制御情報を表しており、６文字目の「−」は「ｗ」がないこと、すなわち、書き込み・変更ができないことを表している。

また、文字列「−ｒｗｘｒ−ｘｒ−ｘ」の最後の８文字目から１０文字目までの３文字は、それ以外のユーザに対するアクセス制御情報を表しており、グループ「ｂｉｎ」に属するユーザに対するものと同じく、書き込み・変更が許されていないことがわかる。

このように、従来技術では、アクセス権限設定により、「誰が」「どうする（追加・削除・上書き等）」を制約することができる。しかし、このような従来のアクセス権限設定技術では、アクセス権限を持っているユーザが、想定外のフォルダに誤って格納してしまうことは、防止できない。

土居範久、他著、「情報セキュリティ事典」、株式会社共立出版、２００３年７月、ｐ．３４６−３４８ Ｒｏｓｓ Ａｎｄｅｒｓｏｎ著、「情報セキュリティ技術大全」、株式会社 日経ＢＰ社、２００２年９月９日、ｐ．５２−５７ 「経済産業省 特許庁 標準技術集 クライアント上の情報セキュリティ技術 アクセス制御マトリックス」、［online］、［平成２３年１月０７日検索］、インターネット＜ＵＲＬ：http://www.jpo.go.jp/shiryou/s_sonota/hyoujun_ｇijutsu/info_sec_tech/c-2-1.html＞

解決しようとする問題点は、従来の技術では、アクセス権限設定により、「誰が」「どうする（追加・削除・上書き等）」を制約することができるが、アクセス権限を持っているユーザが、想定外のフォルダに誤って格納してしまうことを防止することができない点である。

本発明の目的は、これら従来技術の課題を解決し、ファイルの作成者が、意図しないフォルダにファイルを保存し、これを参照する権限のない者に参照されてしまうといった誤操作を防ぐことで、ファイル単位のセキュリティ確保を可能とすることである。

上記目的を達成するため、本発明では、ファイルを格納するフォルダに対して操作に関しての制約を設定する。すなわち、管理対象の各フォルダに対して、当該フォルダに格納許可するファイルの属性（名称等のキーワード）を定義した情報（プロパティ情報）を登録しておき、当該フォルダへのファイルの格納時には、定義内容をチェックし、当該ファイルの当該フォルダへの格納が許可されているか否かを判別し、許可されていれば、当該ファイルの当該フォルダへの格納を行う。このように、アクセス権限を持っているユーザ（「誰が」を制約済み）のファイル操作に対して、制約を行うことにより、誤操作を防止する。尚、制約条件としては、予め、プロパティ情報として設定し、その制約条件を満たさずにファイルをフォルダに保存しようとしたときには警告を出力する、もしくは、保存できない状態となるようにする。そのプロパティ情報としては、例えば、「いつ」を制約する情報、すなわち、ファイル作成もしくは更新日付について、絶対日付範囲、または、操作日からみて、相対日付範囲内にない時には、不許可とする情報、あるいは、「どこで」を制約する情報、すなわち、ファイル操作を行っているＰＣ（パーソナルコンピュータ）等のコンピュータ端末装置の識別名が設定されていない時には、不許可とする情報、あるいは、「なにを」を制約する情報、すなわち、ファイル名称もしくはファイル識別子に、事前に決められたキー文字列が含まれていないときには、不許可とする情報等を用いる。

本発明によれば、アクセス権限設定として、「誰が」「どうする（追加・削除・上書き）」のみの制約に限られず、「いつ」「どこで」「なにを」に関する制約をも確保することができ、権限のあるファイル作成者が、意図しないフォルダにファイルを保存し、これを参照する権限のない者に参照されてしまう等の不具合を防ぐことが可能となる。

本発明のファイル格納制御システムに係る構成例を示すブロック図である。 図１における格納プロパティ情報の構成例を示す説明図である。 図１における格納プロパティ情報の具体例を示す説明図である。 図１におけるファイル格納制御システムの本発明に係る処理動作例を示すフローチャートである。 従来のファイル操作制御技術で用いるアクセス制御マトリックスの具体例を示す説明図である。 従来のファイル操作制御技術で用いるアクセス制御リストの具体例を示す説明図である。

以下、図を用いて本発明を実施するための形態例を説明する。図１において、１はファイルをフォルダ（Ａ，Ｂ）別に格納するファイル記憶装置、２はパーソナルコンピュータ等からなるコンピュータ装置（図中「ＰＣ」と記載）、３はユーザが作成した格納プロパティ情報４を格納するプロパティ記憶装置（図中「格納プロパティ情報」と記載）である。

コンピュータ装置２は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）や主メモリ、表示装置、入力装置、外部記憶装置等を有するコンピュータ構成からなり、光ディスク駆動装置等を介してＣＤ−ＲＯＭ等の記憶媒体に記録されたプログラムやデータを外部記憶装置内にインストールした後、この外部記憶装置から主メモリに読み込みＣＰＵで処理することにより、本発明に係るファイル格納制御方法に係る処理を実行する本発明のファイル格納制御システムとしてのファイル格納制御処理部５の機能を実装する。

このファイル格納制御処理部５は、プログラムされたコンピュータ処理を実行する機能として、制約条件記憶処理部５ａと許可判別処理部５ｂおよび格納処理部５ｃを有し、ファイルのフォルダへの格納を制御することで、従来のアクセス権限の設定である「誰が」「どうする（追加・削除・上書き）」のみの制約に限られず、「いつ」「どこで」「なにを」に関する制約をも確保することで、権限のあるファイル作成者が、意図しないフォルダにファイルを保存し、これを参照する権限のない者に参照されてしまう等の不具合を防ぐことができる。

すなわち、制約条件記憶処理部５ａでは、フォルダ毎に、当該フォルダに格納を許可するファイルの識別情報を１つの項目として含む格納制約条件情報をプロパティ記憶装置３に格納し、許可判別処理部５ｂでは、ファイルのフォルダへの格納処理時に、プロパティ記憶装置３において記憶された格納制約条件情報としての格納プロパティ情報４を参照して、当該ファイルの当該フォルダへの格納が許可されているか否かを判別し、格納処理部５ｃにおいては、許可判別処理部５ｂの判別結果に応じて、当該ファイルの当該フォルダへの格納処理を制御する。

尚、格納制約条件情報としては、例えば、図２および図３に示すように、フォルダ名（Ａ）に対応付けて、ファイルの識別情報（ファイル名）と共に、ファイルの作成日（作成日）、ファイルの更新日（更新日）、コンピュータ装置の識別情報（端末名）の各項目を含む。

さらに、図２，図３に示すように、格納制約条件情報として、各項目（作成日、更新日、端末名、ファイル名）毎に、当該項目で不許可となる際に出力する通知情報としてエラー情報と警告情報を含み、格納処理部５ｃは、許可判別処理部５ｂが許可されていると判別すると、当該ファイルを当該フォルダに格納し、許可判別処理部５ｂが許可されていないと判別し、不許可とされた当該項目に対応付けられた通知情報がエラー情報であれば、当該エラー情報を出力して、当該ファイルの当該フォルダへの格納処理を停止し、許可判別処理部５ｂが許可されていないと判別し、不許可とされた当該項目に対応付けられた通知情報が警告情報であれば、当該警告情報を出力して、操作者から入力される許可もしくは不許可の指示に応じて当該ファイルの当該フォルダへの格納処理を実行もしくは停止する。

以下、これらの図１〜図３および図４を用いて、このようなコンピュータ端末装置２による処理動作の説明を、より具体的に行う。

図１において、コンピュータ端末装置２は、ファイル格納制御処理部５における制約条件記憶処理部５ａにより、オンラインもしくは記憶メディアを介してユーザが作成した格納プロパティ情報４をプロパティ記憶装置３に格納する。

そして、コンピュータ端末装置２において、ユーザ操作等に応じてファイルを作成して「Ａフォルダ」に保存しようとすると、常駐もしくはイベントトリブンで起動されるタスクとしてのファイル格納制御処理部５における許可判別処理部５ｂにより、プロパティ記憶装置３にアクセスして、格納プロパティ情報４を読み込み、参照して、当該ファイルの当該フォルダへの格納の可否（許可、不許可）を判別する。

許可判別処理部５ｂが許可するとの判別結果を出力すれば、格納処理部５ｃにより、当該ファイルを当該Ａフォルダに格納する。

格納プロパティ情報４としては、下記の格納制約条件情報が格納されているものとする。

当該フォルダへの格納を許可するファイルの作成日もしくは更新日付、および、それぞれについての、絶対日付範囲、または、操作日からみた相対日付範囲。

当該フォルダへの格納を許可する操作端末の識別情報（ファイル名）。

当該ファイル記憶装置１（ファイルシステム）のディレクトリに対して格納するファイルのファイル名に含まれておくべきキー文字列。

尚、格納プロパティ情報４は、予めＧＵＩ／ＣＵＩインターフェースもしくはＣＳＶ等のファイルを用い、ユーザで登録できる仕組みとする。

このような格納プロパティ情報４は、図２に示す格納プロパティレコードの構成となっており、制約をかけるフォルダ（フォルダ名）に対してのみ、格納プロパティ情報にエントリする構成とする。

制約をかける項目を「プロパティ名」として持ち、作成日、更新日の各項目（プロパティ）に関しては、相対日で判定するか、絶対日付で判定するかを識別するサブプロパティを設定する。

また、項目「値」には、格納するファイルの名称・属性と対比する値ならびに条件式を設定する。条件式には、ワイルドカードを表す記号「＊」や、論理和、論理積等の論理式、等号、不等号、括弧等の条件式を設定できるものとする。

また、項目「アクション」では、制約条件にかかり、格納できないと判定された場合に、警告として取り扱うのか、エラーとして格納を拒否するのかを設定する。

このような格納プロパティレコードの設定例を図３において示しており、この図３に示す設定例を用いて、本発明に係る処理動作を、図４を用いて説明する。

ステップ４０１において、ファイル格納操作として、端末「ＰＣ００１」から、「Ａフォルダ」に対して、日付が「２０１０／０７／０２」である本日に作成、更新したファイル「第２設計部予算数値．ＴＸＴ」、を格納する場合、図３に示すように、格納プロパティレコードに「Ａフォルダ」がエントリされているため、制約判定の対象となる（ステップ４０２）。

ファイル作成日は本日であり、図３に示す格納プロパティ情報との対比において、「操作日の−２日前＜本日＜操作日の１日後」であるため、格納時の制約を受けない（ステップ４０３）。

さらに、ファイル更新日は「２０１０／０７／０２」であり、図３に示す格納プロパティ情報との対比において、「２０１０／０７／０２＞＝２０１０／０７／０１」であるため、格納時の制約を受けない（ステップ４０４）。

また、操作端末の端末名は「ＰＣ００１」であり、図３に示す格納プロパティ情報との対比において、前方「ＰＣ」部分が一致しているため、格納時の制約を受けない（ステップ４０５）。

しかし、ファイル名称は「第２設計部予算数値．ＴＸＴ」であり、図３に示す格納プロパティ情報との対比において、部分一致しなければならない「第１設計部」をファイル名にもっていないので、制約条件にかかる（ステップ４０６）。

この場合、図３に示す格納プロパティ情報における項目「アクション」には、「警告」と設定されているので（ステップ４０７）、コンピュータ端末装置２の表示装置等に対して警告を出力する（ステップ４０８）。

コンピュータ端末装置２の操作者が警告に対し、格納取消を指示した場合（ステップ４０９）、ファイルの格納はキャンセルされてファイル格納操作取り消しとなるが（ステップ４１１）、格納継続を指示した場合には（ステップ４０９）、判定結果に関わらず、当該ファイルをＡフォルダに格納する（ステップ４１０）。

以上、図１〜図４を用いて説明したように、本例では、ファイル個々に対して、予め、各フォルダへの格納を許可する条件として、「いつ」、「どこで」、「なにを」の視点から制約を設け、条件を満たすファイルのみを当該フォルダに格納できるように制御する。

これにより、ファイル格納時におけるファイル単位のセキュリティ確保を図ることができ、権限のあるファイル作成者が、意図しないフォルダにファイルを保存し、これを参照する権限のない者に参照されてしまう等の不具合を防ぐことが可能となる。

尚、本発明は、図１〜図４を用いて説明した例に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能である。例えば、本例では、ファイル格納制御処理部５をコンピュータ端末装置２内に設けた構成としているが、ファイル格納制御処理部５をコンピュータ端末装置２以外のコンピュータ装置に設け、ネットワークを介して、複数のコンピュータ端末装置におけるフィアルのフォルダへの格納処理を制御する構成としても良い。

また、本発明に係るファイル格納制御処理部５の機能を、オペレーティングシステムに内蔵もしくは、その外付けとして機能するファイルやフォルダを管理するツールに内蔵もしくはアドオンとして機能させる構成としても良い。

あるいは、本発明に係るファイル格納制御処理部５の機能を、Ｗｅｂブラウザで操作可能なファイル管理システムに内蔵もしくはアドオンとして機能させる構成としても良い。

また、図１においては、ファイル記憶装置１とプロパティ記憶装置３をそれぞれ個別の記憶装置としているが、ファイル格納制御処理部５をコンピュータ端末装置２内に設ける構成であれば、ファイル記憶装置１とプロパティ記憶装置３を同じ記憶装置で構成することでも良い。

また、本例のコンピュータ構成に関しても、キーボードや光ディスクの駆動装置の無いコンピュータ構成としても良い。また、本例では、光ディスクを記録媒体として用いているが、ＦＤ（Ｆｌｅｘｉｂｌｅ Ｄｉｓｋ）等を記録媒体として用いることでも良い。また、プログラムのインストールに関しても、通信装置を介してネットワーク経由でプログラムをダウンロードしてインストールすることでも良い。

１：ファイル記憶装置、２：コンピュータ端末装置、３：プロパティ記憶装置、４：格納プロパティ情報、５：ファイル格納制御処理部、５ａ：制約条件記憶処理部、５ｂ：許可判別処理部、５ｃ：格納処理部。

Claims (5)

1. プログラムされたコンピュータ処理により、ファイルのフォルダへの格納を制御するファイル格納制御システムであって、
   フォルダ毎に、当該フォルダに格納を許可するファイルの識別情報を１つの項目として含む格納制約条件情報を記憶装置に格納する制約条件記憶処理手段と、
   ファイルの上記フォルダへの格納処理時に、上記記憶装置に記憶された格納制約条件情報を参照して、当該ファイルの当該フォルダへの格納が許可されているか否かを判別する許可判別処理手段と、
   該許可判別処理手段の判別結果に応じて、当該ファイルの当該フォルダへの格納処理を制御する格納処理手段と
   を有し、
   上記格納制約条件情報は、各項目毎に、当該項目で不許可となる際に出力する通知情報としてエラー情報と警告情報を含み、
   上記格納処理手段は、
   上記許可判別処理手段が許可されていると判別すると、当該ファイルを当該フォルダに格納し、
   上記許可判別処理手段が許可されていないと判別し、不許可とされた当該項目に対応付けられた通知情報がエラー情報であれば、当該エラー情報を出力して、当該ファイルの当該フォルダへの格納処理を停止し、
   上記許可判別処理手段が許可されていないと判別し、不許可とされた当該項目に対応付けられた通知情報が警告情報であれば、当該警告情報を出力して、操作者から入力される許可もしくは不許可の指示に応じて当該ファイルの当該フォルダへの格納処理を実行もしくは停止する
   ことを特徴とするファイル格納制御システム。
2. 請求項１に記載のファイル格納制御システムであって、
   上記格納制約条件情報は、上記ファイルの識別情報と共に、ファイルの作成日、ファイルの更新日、端末の識別情報の各項目を含む
   ことを特徴とするファイル格納制御システム。
3. コンピュータを、請求項１または請求項２のいずれかに記載のファイル格納制御システムにおける各手段として機能させるためのプログラム。
4. コンピュータ装置により、ファイルのフォルダへの格納を制御するシステムのファイル格納制御方法であって、
   プログラムされたコンピュータ処理を実行する手段として、制約条件記憶処理手段と許可判別処理手段および格納処理手段を有し、
   上記制約条件記憶処理手段は、フォルダ毎に、当該フォルダに格納を許可するファイルの識別情報を１つの項目として含む格納制約条件情報を記憶装置に格納し、
   上記許可判別処理手段は、ファイルの上記フォルダへの格納処理時に、上記記憶装置に記憶された格納制約条件情報を参照して、当該ファイルの当該フォルダへの格納が許可されているか否かを判別し、
   上記格納処理手段は、
   上記許可判別処理手段の判別結果に応じて、当該ファイルの当該フォルダへの格納処理を制御し、
   上記格納制約条件情報は、各項目毎に、当該項目で不許可となる際に出力する通知情報としてエラー情報と警告情報を含み、
   上記格納処理手段は、
   上記許可判別処理手段が許可されていると判別すると、当該ファイルを当該フォルダに格納し、
   上記許可判別処理手段が許可されていないと判別し、不許可とされた当該項目に対応付けられた通知情報がエラー情報であれば、当該エラー情報を出力して、当該ファイルの当該フォルダへの格納処理を停止し、
   上記許可判別処理手段が許可されていないと判別し、不許可とされた当該項目に対応付けられた通知情報が警告情報であれば、当該警告情報を出力して、操作者から入力される許可もしくは不許可の指示に応じて当該ファイルの当該フォルダへの格納処理を実行もしくは停止する
   ことを特徴とするファイル格納制御方法。
5. 請求項４に記載のファイル格納制御方法であって、
   上記格納制約条件情報は、上記ファイルの識別情報と共に、ファイルの作成日、ファイルの更新日、端末の識別情報の各項目を含むことを特徴とするファイル格納制御方法。

Images