JP5730488B2 - 情報処理システム - Google Patents

Description

本発明は、電子情報の不正持ち出しを防止する情報処理システムに関する。詳しくは、他の情報処理装置に取り付けられる補助記憶装置に所定の電子情報を保存する場合に、電子情報を暗号化して補助記憶装置に一旦保存し、電子情報の重要度等に応じた判断と入力部により入力された承認情報に基づく判断とを行い、これらの判断結果に基づいて電子情報を復号化するための復号化鍵を他の情報処理装置に送信することにより、補助記憶装置に保存した暗号化された電子情報の復号化を可能とするものである。

近年、複写した電子情報（データ）を持ち運ぶことが可能な補助記憶装置として、ＵＳＢメモリ等のリムーバルディスクが広く利用されている。ＵＳＢメモリ等のリムーバルディスクは、小型化かつ大容量化が進んでおり、手軽な記憶媒体としてユーザに幅広く普及している。その一方で、ＵＳＢメモリ等は、小型ゆえに、簡単に持ち出すことができるので、紛失や盗難、不正持ち出しの危険性が高く、機密情報の漏洩に繋がりやすいという問題も発生している。

データの不正持ち出しの解決手段として、例えば、管理対象の電子データを複写する際、複写データの有効期限を複写元の原本データおよび複写先データの双方に付加し、複写データが複写先から戻ってくるかどうかを監視し、有効期限までに戻らなかった複写データを検出した場合に不正持ち出しと判定し、報知手段によって管理者に報知する不正流出防止装置が提案されている（特許文献１参照）。

また、正規にログインしていないユーザが電子データを不正に持ち出そうとしたとき、偽のデータを無尽蔵に転送するとともに、当該正規にログインしていないユーザに関する情報をログ情報として記録する電子データの持ち出し監視・牽制システムが提案されている（特許文献２参照）。

特開２００４−２８８０８３号公報 特開２００６−３０１７９８号公報

しかしながら、上記特許文献１および２に開示される不正持ち出し防止方法では以下のような問題がある。
（i）特許文献１に開示される不正持ち出し防止方法では、有効期限までに戻らなかった複写データを検出した場合、不正持ち出しと判定して管理者に報知するシステムとなっているが、データを複写した者が複写データを返却しない場合にはデータ自体はそのまま外部に持ち出された状態となってしまう。そのため、データを持ち出した者が悪意を持っている場合には、電子情報が外部に漏洩してしまい、データの外部への持ち出しを禁止するという、根本的な問題を解決することができないという問題がある。
（ii）特許文献２に開示される不正持ち出し防止方法では、正規の権限を持つ者が悪意を持っている場合、正規にログインできてしまうので、データの不正持ち出しが可能となってしまうという問題がある。
（iii）上記（i），（ii）のような場合においては、ＵＳＢメモリ等にデータを保存する際、データを暗号化する手法も行われているが、一般に復号化鍵は保存処理を行う者（暗号化を行う者）が生成するため、保存処理を行う者が悪意を持っている場合にはデータが不正に持ち出されてしまうという問題が依然として残ってしまう。

そこで、本発明は、上記課題に鑑みてなされたものであり、その目的は、ＵＳＢメモリ等の補助記憶装置による電子情報の不正持ち出しを確実に防止することを可能とした情報処理システムを提供することにある。

上記課題を解決するために、本発明に係る情報処理システムは、他の情報処理装置に着脱可能な補助記憶装置に保存される所定の電子情報を復号化する場合に用いる復号化鍵を他の情報処理装置に送信するか否かを判断する情報処理装置を備える情報処理システムであって、情報処理装置は、電子情報の種類を識別するための識別情報を蓄積するデータベースと、所定の電子情報を暗号化するための暗号化鍵と、暗号化した電子情報を復号化するための復号化鍵とを生成する鍵生成部と、鍵生成部により生成された暗号化鍵を用いて、他の情報処理装置により保存指示された電子情報を暗号化する暗号化部と、鍵生成部により生成された復号化鍵を他の情報処理装置に最終的に送信するか否かの可否を示す承認情報が入力される入力部と、データベースから取得した識別情報に基づいて復号化鍵を他の情報処理装置に送信するか否かを判断し、当該判断結果により復号化鍵を他の情報処理装置に送信すると判断した場合、当該復号化鍵を他の情報処理装置に送信し、当該判断結果により復号化鍵を他の情報処理装置に送信しないと判断した場合、入力部により入力される承認情報に基づいて復号化鍵を他の情報処理装置に送信するか否かの最終的な判断を行う制御部と、を備えるものである。

本発明に係る情報処理システムにおいては、他の情報処理装置から補助記憶装置への電子情報の保存指示が送信されると、鍵生成部では電子情報を暗号化するための暗号化鍵と、暗号化した電子情報を復号化するための復号化鍵が生成される。そして、暗号化部では、暗号化鍵が用いられて指定データが暗号化され、この暗号化された電子情報が補助記憶装置に保存される。

制御部では、暗号化部により暗号化された電子情報に対応した識別情報がデータベースから取得され、取得された識別情報に基づいて復号化鍵を他の情報処理装置に送信するか否かが判断される。さらに、入力部では、制御部により判断された結果に基づいて復号化鍵を他の情報処理装置に送信して良いか否かを示す承認情報が入力される。承認情報は例えば管理者により入力される。制御部では、入力部により入力された承認情報に基づいて復号化鍵を最終的に他の情報処理装置に送信するか否かが判断される。制御部により復号化鍵を他の情報処理装置に送信すると判断された場合には、復号化鍵が他の情報処理装置に送信される。

他の情報処理装置の復号化部では、情報処理装置から送信された復号化鍵が用いられて、補助記憶装置に保存されている暗号化された電子情報が復号化される。復号化された電子情報は、補助記憶装置に保存される。一方、制御部により復号化鍵を他の情報処理装置に送信しないと判断された場合には復号化鍵が廃棄される。

なお、本発明において補助記憶装置とは、情報処理装置から取り外して持ち運び可能な記憶装置を意味しており、例えば、外付け用のハードディスク、ＵＳＢメモリやＳＤカード、フロッピー（登録商標）ディスク等のリムーバブルディスク等を含むものである。

本発明によれば、データベースに蓄積される電子情報を補助記憶装置に保存をする場合に、電子情報に対応付けられた識別情報による判断に加えて、さらに最終的な判断を示す承認情報に基づいて復号化鍵を他の情報処理装置に送信するか否かを判断するので、より確実に電子情報の不正持ち出しを防止することができる。その結果、悪意ある者による電子情報の情報漏洩を防止できる。

本発明の一実施形態に係る情報処理システムの構成例を示す図である。 担当者用ＰＣのブロック構成例を示す図である。 データベースサーバのブロック構成例を示す図である。 データベースの構成例を示す図である。 管理者用ＰＣの構成例を示す図である。 復号化鍵の送信許可の可否を示す管理テーブル構成例を示す図である。 情報処理システムの動作の一例を示すフローチャートである。

以下、発明を実施するための最良の形態（以下実施の形態とする）について説明する。
［情報処理システムの構成例］
本発明に係る情報処理システム５００は、担当者用ＰＣ２０に装着されたＵＳＢメモリ５０にデータベース２０６のデータ（電子情報）を保存する場合に、一旦データを暗号化してＵＳＢメモリ５０に保存し、管理者用ＰＣ３０により指定データの機密度および重要度が低いと判断した場合にのみ復号化鍵Ｋｄを担当者用ＰＣ１０に送信することにより、暗号化されたデータの復号化を可能とするものである。情報処理システム５００は、図１に示すように、担当者Ａ用のＰＣ１０Ａ（以下、担当者Ａ用のＰＣ１０ＡをＰＣ１０Ａと呼ぶ）、担当者Ｂ用のＰＣ１０Ｂ（以下、担当者Ｂ用のＰＣ１０ＢをＰＣ１０Ｂと呼ぶ）、担当者Ｃ用のＰＣ１０Ｃ（以下、担当者Ｃ用のＰＣ１０ＣをＰＣ１０Ｃと呼ぶ）とデータベースサーバ２０と管理者用ＰＣ３０とを備えている。担当者Ａ用ＰＣ１０Ａ，１０Ｂ，１０Ｃ、データベースサーバ２０および管理者用ＰＣ３０のそれぞれは、ＬＡＮケーブル４０を介して電気的に接続されている。なお、担当者Ａ用ＰＣ１０Ａ，１０Ｂ，１０Ｃ（以下、担当者Ａ用ＰＣ１０Ａ，１０Ｂ，１０Ｃを担当者用ＰＣ１０と呼ぶ場合もある）は他の情報処理装置の一例を構成し、データベースサーバ２０は第１の情報処理装置の一例を構成し、管理者用ＰＣ３０は第２の情報処理装置の一例を構成している。

［担当者用ＰＣの構成例］
担当者用ＰＣ１０は、図２に示すように、ＣＰＵ(Central Processing Unit)１００とＲＯＭ(Read Only Memory)１０２とＲＡＭ(Random Access Memory)１０４と操作部１０６とＵＳＢインタフェース１０９と復号化部１１０と表示部１１２と通信部１１４とを有している。ＣＰＵ１００、ＲＯＭ１０２、ＲＡＭ１０４、操作部１０６、ＵＳＢインタフェース１０９、復号化部１１０、表示部１１２および通信部１１４のそれぞれは、バス１１６を介して互いに電気的に接続されている。

ＲＯＭ１０２は、担当者用ＰＣ１０を動作させるためのプログラムを記憶する。ＲＡＭ１０４は、ＲＯＭ１０２から読み出したプログラム等の一時的な格納領域として用いられる。ＣＰＵ１００は、ＲＯＭ１０２に記憶されているプログラムを読み出してプログラムに応じた処理を実行する。通信部１１４は、入出力インタフェースとして機能し、ＬＡＮケーブル４０を介してデータベースサーバ２０および管理者用ＰＣ３０のそれぞれに接続されている（図１参照）。

ＵＳＢインタフェース１０８には、ＵＳＢメモリ５０が着脱可能に取り付けられる。ＵＳＢメモリ５０は、補助記憶装置の一例であり、持ち運び可能な記憶媒体であって、所定の記憶容量を有する。後述する説明では、担当者用ＰＣ１０側に復号化の機能を持たせているが、ＵＳＢメモリ５０側に復号化の機能を持たせても良い。補助記憶装置としては、ＵＳＢメモリ５０の他にも、例えばＳＤメモリカードやコンパクトフラッシュ（登録商標）、フロッピー（登録商標）ディスク、光ディスク等のリムーバルメディア、外付け用のハードディスク等を用いることもできる。

復号化部１１０は、ＣＰＵ１００からの復号化指示に基づいて、ＵＳＢメモリ５０から読み出された暗号化データを管理者用ＰＣ３０から送信された復号化鍵Ｋｄを用いて復号化する。復号化処理の機能をＵＳＢメモリ５０側に持たせた場合には、管理者用ＰＣ３０から復号化鍵Ｋｄが供給されると、復号化鍵Ｋｄが担当者用ＰＣ１０からＵＳＢメモリ５０に供給され、ＵＳＢメモリ５０内部において復号化鍵Ｋｄが用いられて暗号化データの復号化が行われる。

表示部１１２は、例えば液晶ディスプレイや有機ＥＬ(Electroluminescence)ディスプレイ等から構成され、担当者がデータベース２０６に蓄積されている保存したいデータを指定するための操作画面等を表示する。操作部１０６は、例えばキーボードやマウス等から構成され、担当者により保存指示された指定データに基づく選択情報を受け付けてＣＰＵ１００に供給する。

ＣＰＵ１００は、表示部１１２の操作画面においてデータベース２０６に保存されている所定データの保存命令が担当者により入力されると、入力された保存命令（選択情報）をＬＡＮケーブル４０を介してデータベースサーバ２０に送信する。また、ＣＰＵ１００は、データベースサーバ２０から保存指示に対応した暗号化データが送信されると、暗号化データを担当者用ＰＣ１０に装着されているＵＳＢメモリ５０に保存する。また、ＣＰＵ１００は、管理者用ＰＣ３０から復号化鍵ＫｄがＬＡＮケーブル４０を介して送信されると、復号化部１１０に復号化鍵Ｋｄを供給すると共に、ＵＳＢメモリ５０に保存されている暗号化データを読み出して復号化部１１０に供給する。さらに、ＣＰＵ１００は、復号化部１１０による復号化処理が完了すると、復号化された復号化データをＵＳＢインタフェース１０８を介してＵＳＢメモリ５０に供給する。

［データベースサーバの構成例］
データベースサーバ２０は、図３に示すように、ＣＰＵ２００とＲＯＭ２０２とＲＡＭ２０４とデータベース２０６と暗号化部２１０と鍵生成部２１２と通信部２１４とを有している。なお、ＲＯＭ２０２とＲＡＭ２０４等の構成および動作は、上述した担当者用ＰＣ１０のＲＯＭ１０２およびＲＡＭ１０４等と共通するため、説明を省略する。ＣＰＵ２００、ＲＯＭ２０２、ＲＡＭ２０４、データベース２０６、暗号化部２１０、鍵生成部２１２および通信部２１４のそれぞれは、バス２１６を介して互いに電気的に接続されている。通信部２１４は、入出力インタフェースとして機能し、ＬＡＮケーブル４０を介して担当者用ＰＣ１０および管理者用ＰＣ３０に接続されている（図１参照）。

データベース２０６は、所定の部門における、例えば売り上げ情報やお客様情報等の部門管理情報を蓄積するものである。各部門管理情報には、図４に示すように、機密度および重要度のレベルを示す識別情報Ａが対応付けられている。例えば、売り上げ情報には識別情報「Ａ１」が対応付けられ、お客様情報には識別情報「Ａ２」が対応付けられている。本例では、識別情報Ａに割り当てられる数字が大きいほど情報の機密度および重要度が高いものとする。したがって、売り上げ情報よりもお客様情報の方が機密度および重要度が高い情報となる。この部門管理情報と識別情報Ａとの対応付け作業や更新作業等は、アクセス制限が設けられ、所定の権限を有する者（例えば管理者）によって行われる。なお、上述した例では、売り上げ情報やお客様情報毎に識別情報Ａを割り当てていたが、それよりもさらに下位の、例えば氏名、住所、口座番号等の情報毎に識別情報Ａを設定することもできる。

鍵生成部２１２は、担当者用ＰＣ１０から所定データの保存指示が供給されると、担当者により保存指定された指定データを暗号化するための暗号化鍵Ｋｅと、暗号化したデータを復号化するための復号化鍵Ｋｄとを指定データに応じて生成する。暗号化鍵Ｋｅと復号化鍵Ｋｄとは、共通したものであっても良いし、異なるものであっても良い。暗号化鍵Ｋｅと復号化鍵Ｋｄとを異なるものとすれば、復号化鍵Ｋｄは管理者用ＰＣ３０に送信されてデータベースサーバ２０には残らないので、データベースサーバ２０に不正アクセスされた場合でも、復号化鍵Ｋｄが漏洩することを防止できる。鍵生成部２１２は、生成した暗号化鍵Ｋｅを暗号化部２１０に供給し、復号化鍵Ｋｄを通信部２１４に供給する。

暗号化部２１０は、ＣＰＵ２００からの暗号化処理の指示に基づいて、鍵生成部２１２から供給された暗号化鍵Ｋｅを用いてデータベース２０６から読み出した指定データの暗号化を行う。暗号方式としては、例えばＤＥＳ（Data Encryption Standard）やＡＥＳ（Advanced Encryption Standard）等が用いられる。なお、暗号化処理はＣＰＵ２００により行うこともできる。

ＣＰＵ２００は、担当者用ＰＣ１０から指定データの保存指示が供給されると、指定データをデータベース２０６から読み出して暗号化部２１０に供給すると共に、読み出した指定データの暗号化を行う暗号化指示を暗号化部２１０に供給する。また、ＣＰＵ２００は、指定データの暗号化部２１０による暗号化が完了したら、指定データの保存処理要求を発した担当者用ＰＣ１０に暗号化された暗号化データを通信部２１４を介して供給する。さらに、ＣＰＵ２００は、指定データの暗号化が完了したら、保存指示された指定データに対応付けられた識別情報Ａをデータベース２０６から読み出して取得し、鍵生成部２１２から供給された復号化鍵Ｋｄと識別情報Ａとを通信部２１４を介して管理者用ＰＣ３０に送信する。このとき、担当者用ＰＣ１０のログイン時に入力されたユーザＩＤを取得し、取得したユーザＩＤを復号化鍵Ｋｄおよび識別情報Ａと共に管理者用ＰＣ３０に送信しても良い。このユーザＩＤは、後述するように、特定の個人に対してのみデータの持ち出しを禁止する場合等に利用される。

［管理者用ＰＣの構成例］
管理者用ＰＣ３０は、図５に示すように、ＣＰＵ３００とＲＯＭ３０２とＲＡＭ３０４と記憶部３０６と表示部３０８と入力部３１０と通信部３１２とを有している。ＣＰＵ３００、ＲＯＭ３０２、ＲＡＭ３０４、記憶部３０６、表示部３０８、入力部３１０および通信部３１２のそれぞれは、バス３１４を介して互いに電気的に接続されている。なお、ＲＯＭ３０２とＲＡＭ３０４等の構成および動作は、上述した担当者用ＰＣ１０のＲＯＭ１０２およびＲＡＭ１０４等と共通するため、説明を省略する。通信部３１２は、入出力インタフェースとして機能し、ＬＡＮケーブル４０を介して担当者用ＰＣ１０およびデータベースサーバ２０のそれぞれに接続されている（図１参照）。

記憶部３０６は、データベースサーバ２０から送信された復号化鍵Ｋｄを担当者用ＰＣ１０に送信するか否かの可否を示す送信可否情報Ｐが記憶された管理テーブルＴＢを有している。管理テーブルＴＢには、図６に示すように、データベースサーバ２０から送信された識別情報Ａと、復号化鍵Ｋｄの担当者用ＰＣ２０への送信許可の可否を示す送信可否情報Ｐとが対応付けられて記憶されている。例えば、識別情報「Ａ１」にはデータの外部への持ち出し許可を示す「許可」情報が対応付けられ、識別情報「Ａ２」にはデータの外部への持ち出しの不許可（禁止）を示す「不許可」情報が対応付けられている。この管理テーブルＴＢは、権限のある管理者によってのみ更新や書き換えを行うことができるようにアクセス制限されている。

ＣＰＵ３００は、データベースサーバ２０から識別情報Ａおよび復号化鍵Ｋｄが送信されると、管理テーブルＴＢを参照して識別情報Ａに対応した送信可否情報Ｐを取得し、取得した送信可否情報Ｐに基づいて復号化鍵Ｋｄを担当者用ＰＣ１０に送信するか否かを判断する。例えば、ＣＰＵ３００は、管理テーブルＴＢから取得した送信可否情報Ｐが「許可」である場合には、復号化鍵Ｋｄを担当者用ＰＣ１０に送信しても良いと判断する。一方、管理テーブルＴＢから取得した送信可否情報Ｐが「不許可」である場合には、復号化鍵Ｋｄを担当者用ＰＣ１０に送信しないと判断する。

表示部３０８は、液晶ディスプレイや有機ＥＬディスプレイ等から構成され、管理者が復号化鍵Ｋｄの担当者用ＰＣ１０への送信を許可するか否かを選択するための選択画面等を表示する。例えば、選択画面に、保存指示された指定データの重要度や機密度のレベルを示す識別情報Ａを表示したり、担当者用ＰＣ１０にログインした担当者のユーザＩＤを表示したりする。この表示により管理者の復号化鍵Ｋｄを担当者用ＰＣ１０に送信するか否かの最終的な判断を支援できる。入力部３１０は、例えばキーボードやマウス等から構成され、選択画面において管理者により入力された復号化鍵Ｋｄの担当者用ＰＣ１０への送信を最終的に許可するか否かを示す承認情報（送信可、送信不可）を受け付けてＣＰＵ１００に供給する。

［情報処理システムの動作例］
次に、本発明に係る情報処理システム５００の動作の一例について説明する。以下の説明では、担当者Ａ用ＰＣ１０Ａのスロットに挿入したＵＳＢメモリ５０に、データベース２０６の所定データを保存する作業を行った場合における情報処理システム５００の動作例について説明する。

図７に示すように、ステップＳ１０で担当者Ａは、ＰＣ１０Ａの表示部１１２に表示された初期画面においてユーザＩＤおよびパスワードを入力する。続けて、ステップＳ１２で担当者Ａは、担当者Ａ用ＰＣ１０ＡのスロットにＵＳＢメモリ５０を挿入する。そして、ステップＳ１４で担当者Ａは、表示部１１２の操作画面において、ＵＳＢメモリ５０に保存したいデータベース２０６に蓄積されている所定のデータを選択する。ステップＳ１６でＰＣ１０ＡのＣＰＵ１００は、担当者Ａにより保存したいデータが選択されると、担当者Ａの選択したデータに基づく選択情報を生成してデータベースサーバ２０のＣＰＵ２００に供給する。

ステップＳ１８でデータベースサーバ２０の鍵生成部２１２は、ＰＣ１０Ａから選択情報が送信されると、指定データを暗号化するための暗号化鍵Ｋｅを生成すると共に、暗号化データを復号化するための復号化鍵Ｋｄを生成する。続けて、ステップＳ２０でデータベースサーバ２０の暗号化部２１０は、データベース２０６から読み出された指定データを、鍵生成部２１２により生成された暗号化鍵Ｋｅを用いて暗号化する。そして、ステップＳ２２でデータベースサーバ２０は、暗号化部２１０により暗号化された暗号化データをＬＡＮケーブル４０を介してＰＣ１０Ａに送信する。

ステップＳ２４でＰＣ１０Ａは、データベースサーバ２０から送信された暗号化データを、スロットに挿入されているＵＳＢメモリ５０に保存する保存処理を行う。これにより、ステップＳ２６において、ＵＳＢメモリ５０に暗号化データが保存される。この段階において、ＵＳＢメモリ５０には暗号化データが保存されるので、ＵＳＢメモリ５０をＰＣ１０Ａから取り外して他のＰＣで読み込み処理を行ったとしてもデータの解読は不可能となる。

ステップＳ２８でデータベースサーバ２０のＣＰＵ２００は、ＰＣ１０Ａから送信された選択情報から担当者Ａにより選択された指定データを取得し、取得した指定データに対応付けられた識別情報Ａをデータベース２０６から取得する。そして、ステップＳ３０でＣＰＵ２００は、データベース２０６から取得した識別情報Ａと鍵生成部２１２により生成された復号化鍵Ｋｄとを通信部２１４を介して管理者用ＰＣ３０に送信する。例えば、担当者Ａにより選択されたデータが「客単価」である場合には、データベース２０６を参照して識別情報「Ａ１」を取得し、取得した識別情報「Ａ１」を管理者用ＰＣ３０に送信する。また、担当者Ａにより選択されたデータが「口座番号」である場合には、データベース２０６を参照して識別情報「Ａ２」を取得し、取得した識別情報「Ａ２」を管理者用ＰＣ３０に送信する。

次に、ステップＳ３２で管理者用ＰＣ３０は、データベースサーバ２０から送信された識別情報Ａを用いて管理テーブルＴＢを参照して識別情報Ａに対応付けられた送信可否情報Ｐを取得し、取得した送信可否情報Ｐに基づいて復号化鍵ＫｄをＰＣ１０Ａに送信するか否かを判断する。つまり、担当者Ａにより保存指示された指定データの機密度および重要度が高いか否かを判断する。例えば、管理者用ＰＣ３０のＣＰＵ３００は、識別情報Ａが「Ａ１」である場合には管理テーブルＴＢから「許可」情報を取得し、識別情報Ａが「Ａ２」である場合には管理テーブルＴＢから「不許可」情報を取得することにより指定データの機密度および重要度が高いか否かを判断する。管理者用ＰＣ３０は、送信可否情報Ｐ（不許可）により指定データの機密度および重要度が高いと判断した場合にはステップＳ４０に進み、送信可否情報Ｐ（許可）により指定データの機密度および重要度が高くないと判断した場合にはステップＳ３４に進む。

続けて、指定データの機密度および重要度が高くないと判断した場合、ステップＳ３４で表示部３０８は、指定データの機密度および重要度のレベルを示す識別情報ＡやＰＣ１０Ａにログインしている担当者を示すユーザＩＤと、復号化鍵Ｋｄの送信の可否を選択するための選択ボタン（送信許可ボタン、送信不許可ボタン）とを選択画面に表示する。この選択画面に表示された情報は、管理者が復号化鍵ＫｄをＰＣ１０Ａに送信するか否かを最終的に判断する際の支援情報として用いられる。

ステップＳ３６で管理者用ＰＣ３０のＣＰＵ３００は、入力部３１０により入力された承認情報に基づいて復号化鍵ＫｄをＰＣ１０Ａに送信するか否かについての最終的な判断を行う。選択画面において管理者により送信許可ボタンが選択されると、管理者用ＰＣ３０のＣＰＵ３００は、入力部３１０から供給される送信許可を示す承認情報に基づいて、管理者による最終的な承認が得られたものとしてステップＳ３８に進む。一方、選択画面において管理者により送信不許可ボタンが選択されると、入力部３１０から供給される送信不許可を示す承認情報に基づいて、管理者による最終的な承認が得られないものとしてステップＳ４０に進む。この場合には指定データの機密性等が高いので、ステップＳ４０において指定データの復号化ができないように復号化鍵Ｋｄが廃棄される。なお、管理者の不在により承認情報が直ちに得られない場合には、例えば、管理者が常時携帯している携帯電話や携帯型ＰＣ等に、復号化鍵Ｋｄの送信の可否を選択するための情報を送信し、管理者の最終的な判断を得るようにすることもできる。

管理者の最終的な許可が得られたら、ステップＳ３８で管理者用ＰＣ３０は復号化鍵ＫｄをＬＡＮケーブル４０を介してＰＣ１０Ａに送信する。ステップＳ４２でＰＣ１０Ａは、管理者用ＰＣ３０から復号化鍵Ｋｄが送信されたら、ＵＳＢメモリ５０に保存された暗号化データを読み出してＲＡＭ１０４等に一時的に保存する。そして、ステップＳ４４において管理者用ＰＣから送信された復号化鍵Ｋｄを用いて暗号化されたデータの復号化を行う。データの復号化が完了したら、ステップＳ４６，Ｓ４８において再びＰＣ１０Ａのスロットに挿入されているＵＳＢメモリ５０に対して保存処理を行い、復号化したデータを保存する。

上述した例では、復号化処理を担当者Ａ用ＰＣ１０Ａ側で行ったが、ＵＳＢメモリ５０側で行うこともできる。また、復号化鍵に基づくパスワードを管理者用ＰＣ３０により生成し、生成したパスワードを復号化鍵Ｋｄの代わりに管理者用ＰＣ３０からＰＣ１０Ａに送信しても良い。この場合には、担当者用ＰＣ１０の表示部１１２の画面にパスワードを表示させ、パスワードが担当者Ａにより入力されたときに暗号化データを復号化し、ＵＳＢメモリ５０に保存する。

以上説明したように、本実施の形態によれば、指定されたデータを暗号化して一旦ＵＳＢメモリ５０に保存するため、この時点においてＵＳＢメモリ５０が不正に外部に持ち出されたとしても、データが解読されて不正に見られることを防止できる。また、このＵＳＢメモリ５０に保存された暗号化データの復号化を許可する場合には、管理者用ＰＣ３０により、管理テーブルＴＢを用いた送信可否判断と入力部３１０により入力される承認情報による送信可否判断との２段階の判断において復号化鍵Ｋｄの送信可否が判断されるので、機密度および重要度の高いデータの外部への流出（漏洩）を確実かつ簡易に防止することができる。また、管理者は、管理テーブルＴＢを用いた復号化鍵Ｋｄの送信可否の判断（支援）の後に、最終的な判断を行えば良いので、判断の際の負担軽減を図ることができる。さらに、データの保存を行う者（担当者）と復号化の判断を行う者（管理者用ＰＣ３０）が相違するので、担当者に悪意がある場合でも復号化鍵Ｋｄは取得できないので、データの持ち出しによる流出を確実に防止できる。

なお、本発明の技術範囲は、上述した実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲において、上述した実施形態に種々の変更を加えたものを含む。上述した実施の形態では、データベースサーバ２０と管理者用ＰＣ３０とをそれぞれ独立に設けていたが、データベースサーバ２０と管理者用ＰＣ３０とを一つの情報処理装置として構成することもできる。この場合には、装置が１台少なくて済み、通信部２１４，３１４等の構成要素も不要となるので、より低コスト化を図ったシステムを構築することができる。また、復号化鍵Ｋｄや識別情報Ａの送信も不要となるので、処理の高速化を図ることもできる。また、上記識別情報Ａは、機密度および重要度に限定されることない。また、機密度および重要度の何れか一方の情報を部門管理情報に対応付けることもできる。

１０・・・担当者用ＰＣ、１０Ａ・・・担当者Ａ用ＰＣ、１０Ｂ・・・担当者Ｂ用ＰＣ、１０Ｃ・・・担当者Ｃ用ＰＣ、２０・・・データベースサーバ、３０・・・管理者用ＰＣ、５０・・・ＵＳＢメモリ、１０８・・・ＵＳＢインタフェース、１１０・・・復号化部、２００・・・ＣＰＵ、２０６・・・データベース、２１０・・・暗号化部、２１２・・・鍵生成部、２１４・・・通信部、３００・・・ＣＰＵ、３０６・・・記憶部、３０８・・・表示部、３１０・・・入力部、３１２・・・通信部、Ｋｅ・・・暗号化鍵、Ｋｄ・・・復号化鍵、ＴＢ・・・管理テーブル

Claims (5)

1. 他の情報処理装置に着脱可能な補助記憶装置に保存される所定の電子情報を復号化する場合に用いる復号化鍵を他の情報処理装置に送信するか否かを判断する情報処理装置を備える情報処理システムであって、
   前記情報処理装置は、
   前記電子情報の種類を識別するための識別情報を蓄積するデータベースと、
   前記所定の電子情報を暗号化するための暗号化鍵と、暗号化した前記電子情報を復号化するための復号化鍵とを生成する鍵生成部と、
   前記鍵生成部により生成された前記暗号化鍵を用いて、前記他の情報処理装置により保存指示された前記電子情報を暗号化する暗号化部と、
   前記鍵生成部により生成された前記復号化鍵を前記他の情報処理装置に最終的に送信するか否かの可否を示す承認情報が入力される入力部と、
   前記データベースから取得した前記識別情報に基づいて前記復号化鍵を前記他の情報処理装置に送信するか否かを判断し、当該判断結果により前記復号化鍵を前記他の情報処理装置に送信すると判断した場合、当該復号化鍵を前記他の情報処理装置に送信し、当該判断結果により前記復号化鍵を前記他の情報処理装置に送信しないと判断した場合、前記入力部により入力される前記承認情報に基づいて前記復号化鍵を前記他の情報処理装置に送信するか否かの最終的な判断を行う制御部と、
   を備えることを特徴とする情報処理システム。
2. 前記識別情報は、少なくとも前記電子情報の重要度および機密度のレベルの少なくとも一方を示す情報である
   ことを特徴とする請求項１に記載の情報処理システム。
3. 前記認証情報は、前記データベースに蓄積される前記識別情報に基づいて管理者により前記復号化鍵を送信するか否かが判断された情報である
   ことを特徴とする請求項１または２に記載の情報処理システム。
4. 前記復号化鍵を前記他の情報処理装置に送信するか否かを示す送信可否情報を、前記識別情報に対応付けて記憶するテーブルをさらに有し、
   前記制御部は、前記テーブルを参照して前記識別情報に対応付けられた送信可否情報を取得し、当該送信可否情報に基づいて前記復号化鍵を前記他の情報処理装置に送信するか否かを判断する
   ことを特徴とする請求項１から請求項３のいずれか一項に記載の情報処理システム。
5. 前記情報処理装置は、前記データベースと前記鍵生成部と前記暗号化部とを有する第１の情報処理装置と、前記制御部と前記入力部とを有する第２の情報処理装置とを備え、
   前記第１の情報処理装置は、
   前記暗号化部により暗号化された前記電子情報を前記他の情報処理装置を介して前記補助記憶装置に送信すると共に、前記復号化鍵および前記識別情報を前記第２の情報処理装置に送信する通信部を有し、
   前記第２の情報処理装置は、
   前記制御部により前記復号化鍵を前記他の情報処理装置に送信すると判断された場合に前記復号化鍵を前記他の情報処理装置に送信する通信部を有する
   ことを特徴とする請求項１から請求項４のいずれか一項に記載の情報処理システム。

Images