JP5777630B2 - ドキュメント共有のための方法及び装置 - Google Patents

Description

本発明は、概して、通信システム、より具体的には、通信システム内で電子ドキュメントを共有するための方法及び装置に関する。

安全でないインターネットであろうと私的なイントラネットであろうと、ネットワーク環境において電子ドキュメントを共有する場合に、ドキュメント作成者が他のユーザ又は装置の選択グループとのみドキュメントを共有することを可能にすることが望ましい。そのような安全性は、電子ドキュメントが個人的な又は機密事項を扱う情報を含む場合に、特に望ましい。いくつかの方法が、共有電子ドキュメントへのアクセスを得るよう試みるユーザの身元を確認するために存在する（例えば、ユーザネーム及びポスワードの組み合わせ、及びパブリック／プライベートキーの組み合わせ）。

このような様々なセキュリティ方法によれば、しばしば、セキュリティ証明書を保有し及び／又は必要な証明書を電子ドキュメントへのアクセスを要求するユーザに送ることは、電子ドキュメントの作成者又は管理者にとって厄介である。更に、特定のユーザ（例えば、システム・アドミニストレータ）は、中央集権化されたドキュメント・レポジトリに記憶されている全てのドキュメントへのアクセスを有してよい。そのような保管場所は、しばしば、電子ドキュメントの共有において使用され、技術環境を保つために特定のユーザによって必要とされるアクセスは、また、その環境内で記憶されているドキュメントに不適切にアクセスするためにも使用されることがある。

ますます多くの電子ドキュメントが遠隔で記憶され、様々なサービスを通じたそのデータへのアクセスがますます重要になるほど、それらのドキュメントの内容を保護し、作者がアクセスを許可することを望む者にのみアクセスを認めることが、相応して重要になる。

本開示は、上記の方法及びシステムに関連する欠点及び問題の少なくとも一部を実質的に取り除く又は減らす安全なドキュメント共有のための方法及び装置を提供する。

一実施形態に従って、ドキュメント記憶システムにおいて電子ドキュメントを安全に共有するための方法は、作成ユーザから電子ドキュメントを受け取り、該電子ドキュメントに特有の暗号キーを生成し、暗号化された電子ドキュメントを生成するよう前記暗号キーを用いて前記電子ドキュメントを暗号化し、記憶のためにドキュメント・レポジトリに前記暗号化された電子ドキュメントを送ってよい。方法は、更に、前記暗号化された電子ドキュメントの記憶場所を一意に特定するよう構成されたリソース・ロケータを特定し、前記暗号キー及び前記リソース・ロケータを前記作成ユーザに送ってよい。方法は、更に、前記暗号キー及び前記リソース・ロケータを要求ユーザから受け取り、前記リソース・ロケータを用いて前記ドキュメント・レポジトリから前記暗号化された電子ドキュメントを取り出し、前記暗号キーを用いて前記暗号化された電子ドキュメントを復号化し、前記復号化された電子ドキュメントを前記要求ユーザに送ってよい。

また、アカウンタビリティ・ボールト（accountability vault）を有し、電子ドキュメントを安全に共有するドキュメント記憶システムが提供される。前記アカウンタビリティ・ボールトは、作成ユーザから電子ドキュメントを受け取り、該電子ドキュメントに特有の暗号キーを生成し、暗号化された電子ドキュメントを生成するよう前記暗号キーを用いて前記電子ドキュメントを暗号化し、記憶のためにドキュメント・レポジトリに前記暗号化された電子ドキュメントを送るよう構成されてよい。前記アカウンタビリティ・ボールトは、更に、前記暗号化された電子ドキュメントの記憶場所を一意に特定するよう構成されたリソース・ロケータを特定し、前記暗号キー及び前記リソース・ロケータを前記作成ユーザに送るよう構成されてよい。前記アカウンタビリティ・ボールトは、更に、前記暗号キー及び前記リソース・ロケータを要求ユーザから受け取り、前記リソース・ロケータを用いて前記ドキュメント・レポジトリから前記暗号化された電子ドキュメントを取り出し、前記暗号キーを用いて前記暗号化された電子ドキュメントを復号化し、前記復号化された電子ドキュメントを前記要求ユーザに送るよう構成されてよい。

本開示の特定の実施形態の技術的利点には、ネットワーク環境において複数のユーザの間でドキュメントを共有する安全な手段を提供することがある。より具体的には、このアプローチは、ドキュメント記憶システム内で共有されるドキュメントの内容が、ドキュメント記憶システムへの高度なアクセスを有するアドミニストレータ又は他のユーザによるビューから保護されることを可能にする。更に、作成ユーザは、どの他のユーザが電子ドキュメントの内容へのアクセスを許可され得るのかを決定することにおいて、増大した柔軟性及び制御を与えられる。他の技術的利点は、以下の図、記載、及び特許請求の範囲から当業者に容易に理解されるであろう。更に、具体的な利点が先に列挙されているが、様々な実施形態は、列挙されている利点の全て若しくは一部を有してよく、又はそのような利点を全く有さなくてよい。

本発明及びその利点のより完全な理解のために、添付の図面に関連して以下の記載を参照されたい。

本開示の特定の実施形態に従う電子ドキュメント共有システムの略ブロック図である。 本開示の特定の実施形態に従うドキュメント記憶システムの様々な機能構成要素を表す略ブロック図である。 本開示の特定の実施形態に従ってネットワーク環境において電子ドキュメントを共有するための方法の例のフローチャートを表す。

図１は、本開示の特定の実施形態に従う電子ドキュメント共有システム１００の略ブロック図である。表される実施形態に従って、電子ドキュメント共有システム１００は、ドキュメント記憶システム１０８と通信し且つ他のユーザ１０６と通信する複数のユーザ１０６を含む。ドキュメント記憶システム１０８は、幾つかの実施形態において、アカウンタビリティ・ボールト１０２及びドキュメント・レポジトリ１０４を有する。

本開示の目的のために、「電子ドキュメント」又は「ドキュメント」は、電子ドキュメント共有システム１００のユーザ１０６が記憶し及び／又は電子ドキュメント共有システム１００の他のユーザ１０６と共有したいと望むあらゆるファイル、オブジェクトコード、実行可能コード、データレコード、又はその他電子的に記録されているデータ構造であってよい。例えば、実例として、テキストファイル、スプレッドシート、電子メール、医療記録、画像、及び他の電子データがある。更に、電子ドキュメント共有システム１００のユーザ１０６は、エンドユーザとして行動する人物、又は電子ドキュメント共有システム１００にアクセスするためにそのような人物に使用される装置（例えば、パーソナルコンピュータ、キオスク、又はモバイルコンピュータ装置）をいう。

一般的に、電子ドキュメント共有システム１００の構成要素は、ユーザ１０６によって編集された電子ドキュメントを安全に記憶し、それにより、ユーザ１０６及び他の認証ユーザ１０６は、適切な暗号キーを認証ユーザにのみ与えて、ドキュメント記憶システム１０８内に暗号キーを記憶しないように、後にその電子ドキュメントにアクセスすることができる。ユーザ１０６は、ドキュメント作成し、そのドキュメントを何らかの適切なネットワーク（例えば、インターネット又は私的なイントラネット）を介してドキュメント記憶システム１０８へ送ってよい。次いで、ドキュメント記憶システム１０８のアカウンタビリティ・ボールト１０２は、図２を参照して以下でより詳細に記載されるように、適切な暗号化スキームを用いて電子ドキュメントを暗号化してよい。暗号化されると、次いで、電子ドキュメントはドキュメント・レポジトリ１０４に記憶されてよい。ドキュメント・レポジトリ１０４は、ネットワーク・ドキュメント共有システムにおける使用に適したa何らかの適切なデータベース及び／又はデータベース管理システム（例えば、オラクル・データベース又はＩＢＭのＤＢ２）であってよい。

また、アカウンタビリティ・ボールト１０２は、ドキュメント作成したユーザ（「作成ユーザ」）へ、リソース・ロケータとともに電子ドキュメントのための暗号キーを送ってよい。作成ユーザは、実際に電子ドキュメントを作成したユーザ１０６、又はドキュメントを作成した若しくは別なふうにドキュメントへのアクセスを得たユーザ１０６であってよく、この場合に、ドキュメント記憶システム１０８にドキュメントを記憶したいと望む。

リソース・ロケータは、ユーザ１０６が電子ドキュメントを見つけること又は該電子ドキュメントへのアクセスを要求することを可能にする、電子ドキュメントに関連するリファレンスであってよい。幾つかの実施形態において、ドキュメント記憶システム１０８は、夫々の電子ドキュメントが一意のＵＲＬ（Uniform Resource Locator）を割り当てられたドキュメント・レポジトリ１０４に記憶されることで、ウェブで可能であってよい。このＵＲＬを標準的なウェブブラウザに入力することで、ユーザ１０６は、特定の電子ドキュメントへのアクセスを要求することができる。幾つかの実施形態において、暗号キー及びリソース・ロケータは、テキストフォーマットにおいてユーザ１０６へ送られる。このような伝達は、ユーザ１０６が、使い勝手が良い態様で他のユーザ１０６とこの情報を共有することを可能にすることができる。ドキュメント記憶システム１０８とユーザ１０６との間、又はユーザ１０６と他のユーザ１０６との間のキー及びリソース・ロケータの伝達は、如何なる適切なフォーマットにあってもよい（例えば、電子メール又はＳＭＳ）。

幾つかの構成において、リソース・ロケータ及び暗号キーを単一の通信ラインにまとめることが、最も有効である。他の構成において、リソース・ロケータ及び暗号キーを別個の伝達に分けることが、より安全であると考えられる。最大限の効率性を好む構成においては、単一の伝達（例えば、単一のＵＲＬ）が好ましい。例えば、ユーザ１０６へ伝えられるＵＲＬは、場所＋リソース・ロケータ＋暗号キーの形をとってよい。上記のウェブで可能な環境において、これは：
http://web_host/retrieve_document?doc_id=1234&key=19da301afe0231823
の、例となる形をとってよい。

この例において、「web_host」は、データベース記憶システム１０８のネットワーク位置であってよく、「retrieve_document」は、所望の電子ドキュメントを取り出すために使用されるデータベース記憶システム１０８で実行可能なプロセスの名称であってよく、「doc_id」は、所望の電子ドキュメントに特有のリソース・ロケータであってよく、“1234”は、リソース・ロケータの値であってよく、「key」は、「retrieve_document」プロセスによって使用される暗号キーの識別表示であってよく、「19da301afe0231823」は、所望の電子ドキュメントに特有の暗号キーの値であってよい。この例は、単に図１の理解を助けるためにのみ与えられており、少しも本開示の教示を限定するよう解釈されるべきではない。

他の例において、ユーザ１０６は、ユーザ１０６がドキュメント記憶システム１０８に電子ドキュメントを記憶する場合に、リソース・ロケータ及び暗号キーを受け取るべき他のユーザ１０６を特定することができる。情報を提供されると、アカウンタビリティ・ボールト１０２は、幾つかの実施形態において、ユーザ１０６が予め特定していた他のユーザへ直接にリソース・ロケータ及び暗号キーを送ってよい。この伝達は、上記のユーザ１０６への伝達と同じ形をとってよい。

リソース・ロケータ及び暗号キーを保有するユーザ１０６は、適切な時点で、そのリソース・ロケータ及び暗号キーに関連する電子ドキュメントを取り出そうとしてドキュメント記憶システム１０８とコンタクトをとってよい。幾つかの実施形態において、アカウンタビリティ・ボールト１０２は、ユーザ１０６からリソース・ロケータ及び暗号キーを受け取り、特定されたドキュメントをドキュメント・レポジトリ１０４から取り出し、暗号キーを用いてドキュメントを復号化してよい。復号化されると、アカウンタビリティ・ボールト１０２は、暗号化されていないドキュメントを要求ユーザ１０６へ送ってよい。

重要なことには、開示される実施形態では、暗号キーは、記憶されている電子ドキュメントの暗号化及び復号化を実行するのに必要とされる範囲を除いて、決してドキュメント記憶システム１０８内に記憶されない。これは、ドキュメント記憶システム１０８内に記憶される電子ドキュメントの内容の安全性における改善を可能にする。例えば、ドキュメント記憶システム１０８に関して高度な特権を有するアドミニストレータ又は他のユーザは、ドキュメント・レポジトリ１０４に記憶されている暗号化された電子ドキュメントを読み出すことができない。

図２は、本開示の特定の実施形態に従うドキュメント記憶システム１０８の様々な機能構成要素を表す略ブロック図である。表されるドキュメント記憶システム１０８は、アカウンタビリティ・ボールト１０２と、ドキュメント・レポジトリ１０４と、ポリシー・エンジン１０６と、監視エンジン１１０とを有してよい。ドキュメント記憶システム１０８の様々な構成要素は、幾つかの実施形態において、コンピュータ読出可能な媒体に記憶されて、ドキュメント記憶システム１０８のプロセッサによって実行可能なソフトウェアプログラムであってよい。記載の明りょうさのために、図２は、別個のモジュールとして構成要素を表す。幾つかの実施形態においては、構成要素は、スタンドアローン型のソフトウェアプログラムであってよい。なお、構成要素は、また、より大きなソフトウェアプログラムのコンポーネント若しくはサブルーチン、又はハードコードされたコンピュータ読出可能な媒体、及び／あるいは、所望の機能を実行するよう構成されるソフトウェアモジュールの何らかのハードウェアであってもよい。

アカウンタビリティ・ボールト１０２は、図１を参照して先により詳細に記載されたように、ユーザ１０６からの伝達に応答して電子ドキュメントを暗号化及び復号化するよう構成されてよい。幾つかの実施形態において、暗号キーを生成するためにアカウンタビリティ・ボールト１０２によって使用される暗号化アルゴリズムは、電子ドキュメントに特有の暗号キーを生成するよう構成され且つランダムに発生した如何なる暗号化アルゴリムであってもよい。ＡＥＳ（Advanced Encryption Standard）は、そのような暗号化アルゴリムのよく知られている例を提供する。

幾つかの実施形態において、暗号化されたドキュメントは、ドキュメント・レポジトリ１０４に記憶される。ドキュメント・レポジトリ１０４は、如何なるコンピュータ読出可能なメモリであってもよい（例えば、オラクル・データベース又はＩＢＭのＤＢ２のような、ネットワーク・ドキュメント共有システムにおける使用に適したデータベース及び／又はデータベース管理システム）。幾つかの実施形態において、ユーザ１０６は、また、特定の電子ドキュメントに適用可能な特定のポリシーを予め定義してよい。このようなポリシーは、例えば、ドキュメントへのアクセスを有してよいユーザ１０６の組を定義してよい。かかるポリシーの追加は、手違いによって又はドキュメントの作成者の意志に反してリソース・ロケータ及び暗号キーを受け取ったユーザ１０６にアクセスを認めないことによって、電子ドキュメントの内容の安全性を改善するのを助けることができる。また、所定のポリシーは、ユーザ１０６の特定の所定の属性、例えば、物理的な場所（例えば、ＩＰアドレス）、要求マシンにインストールされている特定のソフトウェア（例えば、厳格なアンチウィルスソフトウェア）、バイオメトリック識別子、又はユーザ１０６のその他適切な属性に関して、特定のドキュメントへのアクセスを定義してよい。

幾つかの実施形態において、ドキュメント記憶システム１０８は、監視エンジン１１０を更に有してよい。ドキュメント記憶システム１０８の幾つかの構成に関し、可能な限り安全に電子ドキュメントを記憶することが必要である又は望まれることがある。アカウンタビリティ・ボールト１０２による意図しない不正な変更を防ぐよう、ドキュメント記憶システム１０８のアドミニストレータは、アカウンタビリティ・ボールト１０２の周期的な監視を行いたいと望むことがある。幾つかの実施形態において、この監視は、特定の時点におけるアカウンタビリティ・ボールト１０２の状態（アカウンタビリティ・ボールト１０２の「スナップショット（snapshot）」）を、後の時点でとられた同じスナップショットと比較することを含んでよい。許されない不一致が比較において現れた場合は、ドキュメント記憶システム１０８は、不正な変更が起こったかもしれないことを示すエラーメッセージを送ってよい。そのような伝達は、作成ユーザ若しくは要求ユーザ、又はドキュメント記憶システム１０８のアドミニストレータ等のその他ユーザ１０６を対象としてよい。あるいは、伝達は、電子ファイル又は他の記録メカニズムにログインされてよい。

幾つかの実施形態において、アカウンタビリティ・ボールト１０２のスナップショットは、アカウンタビリティ・ボールト１０２の現在の状態を表すハッシュ値の形をとってよい。かかるハッシュ値は、幾つものよく知られている方法によって求められてよい。ハッシュ値は、アカウンタビリティ・ボールト１０２の関係する特定の部分（例えば、暗号キー発生器）又はアカウンタビリティ・ボールト１０２の全体を表すよう構成されてよい。複数の時点におけるハッシュ値は、次いで、互いに比較されてよい。ドキュメント記憶システム１０８の幾つかの構成において、制御値としてドキュメント記憶システム１０８のランタイムより前に第１のハッシュ値を生成することが、最も適切である。ランタイムの間、第２のハッシュ値が、この制御値との比較のために生成されてよい。第２のハッシュ値は、ドキュメント記憶システム１０８の特定の構成に従って、規則的なインターバルでとられてよい。

図３は、本開示の特定の実施形態に従ってネットワーク環境において電子ドキュメントを共有する方法３００の例のフローチャートを表す。方法３００は、ドキュメントを送り、そのドキュメントを暗号化し、リソース・ロケータ及び暗号キーを送り、リソース・ロケータ及び暗号キーを受け取り、ドキュメントを復号化し、暗号化されていないドキュメントを送る。

一実施形態に従って、方法３００は、望ましくは、ステップ３０２から始まる。本開示の教示は、ドキュメント記憶システム１０８の様々な構成において実施されてよい。そのようなものとして、方法３００の好ましい開始点及び方法３００を構成するステップ３０２〜３１６の順序は、選択される実施に依存してよい。更に、方法３００のステップは、図示されている順序以外の他の如何なる適切な順序においても実行されてよい。

ステップ３０２で、ドキュメント作成ユーザ１０６は、ドキュメント記憶システム１０８における記憶のために、電子ドキュメントを作成する。作成ユーザ１０６は、幾つかの実施形態において、電子ドキュメントを作成し、編集し、又は別なふうに変更してよい。次いで、作成ユーザ１０６は、単独で電子ドキュメントをドキュメント記憶システム１０８にアップロードし、あるいは、幾つかの実施形態では、ドキュメント記憶システム１０８に直接的に電子ドキュメントをセーブしてよい。ドキュメントを受け取った後、ドキュメント記憶システム１０８のアカウンタビリティ・ボールト１０２は、ステップ３０４で、暗号キーをドキュメントに割り当ててよい。暗号キーを割り当てた後、方法３００はステップ３０６に進んでよい。ステップ３０６で、アカウンタビリティ・ボールト１０２は、受け取った電子ドキュメントを暗号化してよい。暗号化した後、方法３００は次いでステップ３０８に進んでよい。ステップ３０８で、暗号化されたドキュメントは、図１及び２を参照して先により詳細に記載されたように、ドキュメント・レポジトリ１０４に記憶され、リソース・ロケータを割り当てられる。次いで、方法３００はステップ３１０に進んでよい。ステップ３１０で、リソース・ロケータ及び暗号キーは、ユーザ１０６へ送られる。幾つかの実施形態において、ドキュメント記憶システム１０８からリソース・ロケータ及び暗号キーを受け取るユーザ１０６は、作成ユーザ１０６、又は作成ユーザ１０６によって予め指定された他のユーザ１０６であってよい。リソース・ロケータ及び暗号キーを送った後、方法３００はステップ３１２に進んでよい。

ステップ３１２で、方法３００は、要求ユーザ１０６からドキュメント記憶システム１０８に記憶された電子ドキュメントに対する要求を受け取ってよい。この要求は、電子ドキュメントのリソース・ロケータと、電子ドキュメントを復号化するために必要な暗号キーとを含んでよい。この要求を受け取った後、方法３００はステップ３１４に進んでよい。ステップ３１４で、アカウンタビリティ・ボールト１０２は、ドキュメント・レポジトリ１０４から要求ドキュメントを取り出し、取り出されたドキュメントを、受け取った暗号キーを用いて復号化してよい。暗号キーが、取り出されたドキュメントのための適切な暗号キーでない場合は、復号化プロセスは不成功である。暗号化プロセスが成功である（すなわち、暗号キーが、取り出されたドキュメントにとって適切であった）場合は、方法３００はステップ３１６に進んでよい。ステップ３１６で、復号化された度九件とは、要求ユーザ１０６へ送られてよい。復号化されたドキュメントを要求ユーザ１０６へ送った後、方法３００は終了してよい。

図３は、方法３００に関して行われるべき特定数のステップを開示するが、方法３００は、図３に表されるよりも多い又は少ないステップにより実行されてよい。例えば、幾つかの実施形態において、方法３００は、図２を参照して先により詳細に記載されたように、そのインテグリティを確かにするために、アカウンタビリティ・ボールト１０２を監視する更なるステップを含んでよい。他の実施形態では、方法３００は、図１及び２を参照して先により詳細に記載されたように、そのドキュメントに関連する所定のポリシーに対するドキュメント要求の照合を伴うステップを含んでよい。

更に、図３は、方法３００を構成する特定の順序のステップを開示するが、方法３００は、如何なる適切な順序においても完結されてよい。例えば、図示される方法３００の実施形態において、ドキュメント記憶システム１０８は、暗号化されたドキュメントを、要求ユーザ１０６からそのドキュメントに対する要求を受け取った後に、ドキュメント・レポジトリ１０４から取り出す。ドキュメント記憶システム１０８がより大きな容量のドキュメント要求を受け取る幾つかの構成においては、トランザクションの間に方法の他のステップを実行しながら、ドキュメント要求を統合して、同時にそれらの全てを取り出すことが、より効率的である。

ここで開示される方法及びシステムによれば、共有されるドキュメント・レポジトリに記憶されている電子ドキュメントの内容の安全性を保ち、様々なユーザ１０６の間でそれらのドキュメントを共有することに付随する特定の問題は、改善され、軽減され、又は除去され得る。例えば、ここで開示される方法及びシステムは、ドキュメント記憶システム１０８内で記憶されない、夫々の記憶されたドキュメントに特有の暗号キーを可能にし、それにより、ドキュメント記憶システム１０８のアドミニストレータ又は他の高度ユーザは、共有される電子ドキュメントの内容にアクセスすることができない。

Claims (14)

1. 電子ドキュメントの暗号化及び復号化を行うアカウンタビリティ・ボールト及び監査エンジンを備えるドキュメント記憶システムにおいて前記電子ドキュメントを安全に共有するための方法であって、
   前記アカウンタビリティ・ボールトによって、
   作成ユーザに関連する電子ドキュメントに特有の暗号キーを生成し、
   暗号化された電子ドキュメントを生成するよう、前記暗号キーを用いて前記電子ドキュメントを暗号化し、
   前記暗号化された電子ドキュメントを記憶するよう構成されたドキュメント・レポジトリに前記暗号化された電子ドキュメントを送り、
   前記暗号化された電子ドキュメントの記憶場所を一意に特定するよう構成されたリソース・ロケータを特定し、
   前記暗号キー及び前記リソース・ロケータを前記作成ユーザに送り、前記暗号キーを送った後に、該暗号キーの記録が前記ドキュメント記憶システムに保持されないようにし、
   前記暗号キー及び前記リソース・ロケータを要求ユーザから受け取り、
   前記リソース・ロケータを用いて前記ドキュメント・レポジトリから前記暗号化された電子ドキュメントを取り出し、
   前記暗号キーを用いて前記暗号化された電子ドキュメントを復号化し、
   前記復号化された電子ドキュメントを前記要求ユーザに送り、
   前記監査エンジンによって、
   不正な変更を検出するよう周期的に前記アカウンタビリティ・ボールトを監査する
   方法。
2. 前記暗号キー及び前記リソース・ロケータを前記作成ユーザに送ることは、前記暗号キー及び前記リソース・ロケータの両方を単一のＵＲＬにおいて伝えることを含む、
   請求項１に記載の方法。
3. 前記暗号キー及び前記リソース・ロケータを前記作成ユーザに送ることは、テキストフォーマットにおいて伝えることを含む、
   請求項１に記載の方法。
4. 前記暗号キー及び前記リソース・ロケータを前記作成ユーザに送り、前記暗号キーを送った後に、該暗号キーの記録が前記ドキュメント記憶システムに保持されないようにすることは、前記ドキュメント記憶システムによって以前に保持された暗号キーの如何なるコピーも破棄することを含む、
   請求項１に記載の方法。
5. 前記ドキュメント記憶システムは、更にポリシー・エンジンを有し、
   前記ポリシー・エンジンによって、
   前記要求ユーザが前記電子ドキュメントにアクセスしてよいかどうかを定義する１以上の属性を有する所定のポリシーを前記作成ユーザから受け取り、
   前記要求ユーザが前記電子ドキュメントにアクセスしてよいかどうかを決定するよう、前記要求ユーザに関連する１以上の属性に前記所定のポリシーを適用する、
   請求項１に記載の方法。
6. 前記アカウンタビリティ・ボールトを監査することは、
   ランタイムより前に前記アカウンタビリティ・ボールトの第１のスナップショットをセーブし、
   ランタイムの間に前記アカウンタビリティ・ボールトの第２のスナップショットをセーブし、
   前記第１のスナップショットと前記第２のスナップショットとを比較し、
   前記第１のスナップショットと前記第２のスナップショットとが一致しない場合は、エラーメッセージを送る
   ことを含む、請求項１乃至５のうちいずれか一項に記載の方法。
7. 前記第１のスナップショット及び前記第２のスナップショットは、前記アカウンタビリティ・ボールトに関連するハッシュ値を有する、
   請求項６に記載の方法。
8. 電子ドキュメントを安全に共有するドキュメント記憶システムであって、
   アカウンタビリティ・ボールトと、不正な変更を検出するよう周期的に前記アカウンタビリティ・ボールトを監査するよう構成される監査エンジンとを有し、
   該アカウンタビリティ・ボールトは、
   作成ユーザに関連する電子ドキュメントに特有の暗号キーを生成し、
   暗号化された電子ドキュメントを生成するよう、前記暗号キーを用いて前記電子ドキュメントを暗号化し、
   当該アカウンタビリティ・ボールトに通信上結合され、前記暗号化された電子ドキュメントを記憶するよう構成されたドキュメント・レポジトリに前記暗号化された電子ドキュメントを送り、
   前記暗号化された電子ドキュメントの記憶場所を一意に特定するよう構成されたリソース・ロケータを特定し、
   前記暗号キー及び前記リソース・ロケータを前記作成ユーザに送り、前記暗号キーを送った後に、該暗号キーの記録が前記ドキュメント記憶システムに保持されないようにし、
   前記暗号キー及び前記リソース・ロケータを要求ユーザから受け取り、
   前記リソース・ロケータを用いて前記ドキュメント・レポジトリから前記暗号化された電子ドキュメントを取り出し、
   前記暗号キーを用いて前記暗号化された電子ドキュメントを復号化し、
   前記復号化された電子ドキュメントを前記要求ユーザに送る
   よう構成される、ドキュメント記憶システム。
9. 前記アカウンタビリティ・ボールトは、更に、前記暗号キー及び前記リソース・ロケータの両方を単一のＵＲＬにおいて送ることによって、前記暗号キー及び前記リソース・ロケータを前記作成ユーザに送るよう構成される、
   請求項８に記載のドキュメント記憶システム。
10. 前記アカウンタビリティ・ボールトは、更に、テキストフォーマットにおいて送ることによって、前記暗号キー及び前記リソース・ロケータを前記作成ユーザに送るよう構成される、
    請求項８に記載のドキュメント記憶システム。
11. 前記アカウンタビリティ・ボールトは、更に、前記ドキュメント記憶システムによって保持されている暗号キーの如何なるコピーも破棄するよう構成される、
    請求項８に記載のドキュメント記憶システム。
12. ポリシー・エンジンを更に有し、
    該ポリシー・エンジンは、
    前記要求ユーザが前記電子ドキュメントにアクセスしてよいかどうかを定義する１以上の属性を有する所定のポリシーを前記作成ユーザから受け取り、
    前記要求ユーザが前記電子ドキュメントにアクセスしてよいかどうかを決定するよう、前記要求ユーザに関連する１以上の属性に前記所定のポリシーを適用する
    よう構成される、請求項８に記載のドキュメント記憶システム。
13. 前記監査エンジンは、更に、
    ランタイムより前に前記アカウンタビリティ・ボールトの第１のスナップショットをセーブし、
    ランタイムの間に前記アカウンタビリティ・ボールトの第２のスナップショットをセーブし、
    前記第１のスナップショットと前記第２のスナップショットとを比較し、
    前記第１のスナップショットと前記第２のスナップショットとが一致しない場合は、エラーメッセージを送る
    よう構成される、請求項８乃至１２のうちいずれか一項に記載のドキュメント記憶システム。
14. 前記第１のスナップショット及び前記第２のスナップショットは、前記アカウンタビリティ・ボールトに関連するハッシュ値を有する、
    請求項１３に記載のドキュメント記憶システム。
    
    

Images