JP5905936B2 - 情報転送装置及び情報転送方法 - Google Patents

Description

本発明は、２台のコンピュータ間、例えば異なる業務システムにそれぞれ所属する２台の端末間での電子情報の転送を所定のセキュリティポリシーに従って実行する技術に関する。

特許文献１には、異なる業務システムにそれぞれ所属する２台のコンピュータ間で、セキュリティポリシーに従って情報を転送する手段が開示されている。この特許文献１では、送信側と受信側を同時に接続していないと情報の転送ができないため、ＵＳＢメモリに代表されるリムーバブルメディア等のように外部への情報持ち出しの危険性を生じさせずに、安全に情報の転送ができる。また、送信側と受信側が明確に区別されているため、情報伝送の一方向性を保障することができる。

特開２０１３−１０９６３４号公報

特許文献１に記載される装置は、「２台の端末を装置に同時接続する」と言う制約が安全な情報転送の前提となっている。リムーバブルメディアを利用する場合は、一旦リムーバブルメディア内に情報が保存されるため、セキュリティ管理区域外への持ち出しが可能となってしまう。特許文献１の発明であれば、送信端末から受信端末への情報転送を厳密に管理することができる。

しかし、特許文献１の装置は接続された装置を識別していないため、次のようなセキュリティ管理の課題が生じていた。
（１）どの端末からどの端末へデータを転送したかを記録することができない。
（２）利用端末の制限もできないため、持ち出しが容易なノートパソコン等へも情報の転送が可能であり、そこから管理区域外へ情報を持ち出すことが可能。
（３）特許文献１の装置は情報転送が一方向のみに行われることを特徴としているが、送信側と受信側の接続を物理的に差し替えることで逆方向への転送が可能。

また、特許文献１の装置は利用ユーザを識別していないため、次のようなセキュリティ管理の課題が生じていた。
（４）誰が情報の送受信を行ったかを管理することが困難。
情報転送におけるセキュリティを確保するには、どの端末で情報の送受信が行われたかを管理することも重要であるが、加えて誰がその送受信を行ったかを管理することも同様に重要である。

このように、特許文献１の装置は端末やユーザを識別しないため、セキュリティ管理のため次のような運用上の課題が生じていた。
（５）装置単位でしか転送ポリシーを設定することができず、細かく転送ポリシーを管理するには、ポリシー設定の違う装置を物理的に管理する必要があった。例えば、職位の高いユーザの転送ポリシーを緩和したい場合は、職位ごと個別に装置を用意しなければならなかった。

そこで、本発明は、上記課題を解決するために、特許文献１に記載される装置や方法よりセキュリティ能力を高めるとともに、セキュリティ管理を柔軟に行える情報転送装置及び情報転送方法を提供することを目的とする。

本発明は、特許文献１に記載される装置の機能に端末認証及びユーザ認証の機能を追加することとした。

具体的には、本発明に係る情報転送装置は、複数のコンピュータ間での電子情報の転送を制約するセキュリティポリシーに従って実行する情報転送装置であって、
転送対象である電子情報を転送する転送手段と、
前記コンピュータを識別する端末情報と前記コンピュータを使用するユーザを識別するユーザ情報の少なくとも一方である外部情報を保持するとともに、及び前記セキュリティポリシーを前記外部情報と関連付けて保持するポリシー保持手段と、
前記電子情報の送信側と受信側の前記外部情報を取得し、取得した前記外部情報に対応する前記セキュリティーポリシーが前記ポリシー保持手段に保持されている場合に前記外部情報を認証し、該セキュリティポリシーに基づいて前記電子情報の転送可否を判定して前記転送手段に指示する判定手段と、
を備える。

また、本発明に係る情報転送方法は、複数のコンピュータ間での電子情報の転送を制約するセキュリティポリシーに従って実行する情報転送方法であって、
転送対象である電子情報を転送する転送手順と、
前記コンピュータを識別する端末情報と前記コンピュータを使用するユーザを識別するユーザ情報の少なくとも一方である外部情報を保持するとともに、及び前記セキュリティポリシーを前記外部情報と関連付けて保持するポリシー保持手順と、
前記電子情報の送信側と受信側の前記外部情報を取得し、取得した前記外部情報に対応する前記セキュリティーポリシーが前記ポリシー保持手段に保持されている場合に前記外部情報を認証し、該セキュリティポリシーに基づいて前記電子情報の転送可否を判定して前記転送手順に適用する判定手順と、
を備える。

特許文献１の装置に、端末認証機能とユーザ認証機能を付加することで、転送に利用できる端末やユーザを制限したり、端末ユーザごとに転送できる制約を変えたりすることができる。このため、よりセキュリティを高めた情報転送制御を行うことができ、また、識別された端末・ユーザごとにデータ転送ポリシーを設定可能にすることで、きめ細かな転送の制御が可能となる。

従って、本発明は、特許文献１に記載される装置や方法よりセキュリティ能力を高めるとともに、セキュリティ管理を柔軟に行える情報転送装置及び情報転送方法を提供することができる。

本発明に係る情報転送装置は、前記電子情報が送信側の前記コンピュータのプリンタドライバで生成された印刷データの場合に送信側の前記コンピュータから前記印刷データに係る追加情報をアプリ情報として取得し、前記電子情報が送信側の前記コンピュータの記憶部に保存されるファイルデータの場合に前記ファイルデータのファイル種別をアプリ情報として取得するアプリ情報取得手段をさらに備え、
前記判定手段は、前記セキュリティポリシーの他に前記アプリ情報取得手段で取得した前記アプリ情報も電子情報の転送可否の判定に使用することを特徴とする。
特許文献１の装置では、転送できる電子情報が印刷データに限られていたが、本発明では、コンピュータ内に記憶されているファイルを直接転送することができる。

本発明に係る情報転送装置は、前記電子情報の送信側と受信側の前記コンピュータとの接続を監視し、前記コンピュータのいずれか一方との接続が切断されたとき、前記転送手段に存在する前記電子情報を削除する指示し、前記電子情報の送信側と受信側の前記外部情報の認証を解除する接続状態判定手段をさらに備える。
送信側又は受信側の接続が切れた場合は、直ちにデータを削除するため、情報転送の条件として「２台の端末を装置に同時接続する」を保証することができ、セキュリティ性を高めることができる。

本発明に係る情報転送装置の前記転送手段は、前記電子情報を双方向に転送可能とすることを特徴とする。
双方向にセキュリティ管理をすることができ、送信側と受信側の接続を物理的に差し替えてもセキュリティ管理が可能となる。

本発明に係る情報転送装置は、前記複数のコンピュータとの間で仮想プライベートネットワーク（ＶＰＮ）を構築し、前記外部情報を前記ＶＰＮを介して前記判定手段へ通知し、前記転送手段と前記コンピュータとの間を前記ＶＰＮを介して前記電子情報を転送するＶＰＮ構築手段をさらに備えることを特徴とする。
インターフェースポートを増やさずに、情報転送時のセキュリティ管理ができるコンピュータ数を増やすことができる。

本発明は、特許文献１に記載される装置や方法よりセキュリティ能力を高めるとともに、セキュリティ管理を柔軟に行える情報転送装置及び情報転送方法を提供することができる。

本発明に係る情報転送装置を備える情報転送システムを説明する図である。 本発明に係る情報転送装置が保持するポリシー情報（端末テーブル）を説明する図である。 本発明に係る情報転送装置が保持するポリシー情報（ユーザテーブル）を説明する図である。 本発明に係る情報転送装置が保持するポリシー情報（転送制約テーブル）を説明する図である。 本発明に係る情報転送装置が保持するポリシー情報（関連付けテーブル）を説明する図である。 本発明に係る情報転送装置が行う送信認証判定を説明するフローである。 本発明に係る情報転送装置が行うフィルタ処理を説明するフローである。 本発明に係る情報転送装置が行う転送制約チェックを説明するフローである。 本発明に係る情報転送装置が行う受信認証判定を説明するフローである。 本発明に係る情報転送装置が保持するポリシー情報（関連付けテーブル）を説明する図である。 本発明に係る情報転送装置が行う送信認証判定を説明するフローである。 本発明に係る情報転送装置が行う受信認証判定を説明するフローである。 本発明に係る情報転送装置が保持するポリシー情報（関連付けテーブル）を説明する図である。 本発明に係る情報転送装置が行う送信認証判定を説明するフローである。 本発明に係る情報転送装置が行う受信認証判定を説明するフローである。 本発明に係る情報転送装置が保持するポリシー情報（送信側関連付けテーブル）を説明する図である。 本発明に係る情報転送装置が保持するポリシー情報（受信側関連付けテーブル）を説明する図である。 本発明に係る情報転送装置が行う送信認証判定を説明するフローである。 本発明に係る情報転送装置が行う受信認証判定を説明するフローである。 本発明に係る情報転送装置を備える情報転送システムを説明する図である。 本発明に係る情報転送装置を備える情報転送システムを説明する図である。 本発明に係る情報転送装置が保持するポリシー情報（関連付けテーブル）を説明する図である。 本発明に係る情報転送装置を備える情報転送システムを説明する図である。 本発明に係る情報転送装置を備える情報転送システムを説明する図である。 本発明に係る情報転送装置を備える情報転送システムを説明する図である。

添付の図面を参照して本発明の実施形態を説明する。以下に説明する実施形態は本発明の実施例であり、本発明は、以下の実施形態に制限されるものではない。なお、本明細書及び図面において符号が同じ構成要素は、相互に同一のものを示すものとする。

（実施形態１）
本実施形態のブリッジモジュール３５１は、複数のコンピュータ間での電子情報の転送を制約するセキュリティポリシーに従って実行する情報転送装置であって、
転送対象である電子情報を転送する転送手段と、
前記コンピュータを識別する端末情報と前記コンピュータを使用するユーザを識別するユーザ情報の少なくとも一方である外部情報を保持するとともに、及び前記セキュリティポリシーを前記外部情報と関連付けて保持するポリシー保持手段と、
前記電子情報の送信側と受信側の前記外部情報を取得し、取得した前記外部情報に対応する前記セキュリティーポリシーが前記ポリシー保持手段に保持されている場合に前記外部情報を認証し、該セキュリティポリシーに基づいて前記電子情報の転送可否を判定して前記転送手段に指示する判定手段と、
を備える。

図１は、ブリッジモジュール３５１を備える情報転送システムを説明する図である。この情報転送システムは、送信端末１５１と受信端末２５１とをブリッジモジュール３５１で接続する。本実施形態では、ブリッジモジュール３５１と送信端末１５１及び受信端末２５１とは、ＵＳＢにより接続されている。ＵＳＢ以外にも、イーサネット（登録商標）などの別の通信インターフェースを用いて接続を行ってもよい。図１ではブリッジモジュール３５１と送信端末１５１及び受信端末２５１とが複数の矢印線で結ばれているが、これは情報の流れを表しているもので、物理的には単一の接続（ケーブル）で情報の送受信を行う。

ブリッジモジュール３５１は、ポリシー保持部３０１、アプリ情報受信部３０３、ポリシー選定部３０４、リアルタイムクロック３０６、転送情報受信部３０８、転送情報保持部３１１、アプリ情報解析部３１３、送信認証管理部３１４、フィルタ部３１５、転送履歴管理部３１６、受信認証管理部３１７、及び端末接続状態判定部３１８を備える。前記転送手段は、転送情報受信部３０８、フィルタ部３１５、及び転送情報保持部３１１が担う。前記ポリシー保持手段は、ポリシー保持部３０１が担う。前記判定手段は、ポリシー選定部３０４、リアルタイムクロック３０６、送信認証管理部３１４、転送履歴管理部３１６、及び受信認証管理部３１７が担う。

ブリッジモジュール３５１は、特許文献１に記載される装置（ブリッジモジュール３００）に端末認証及びユーザ認証の機能を追加したものである。以下の説明では、特に説明の無い場合、ブリッジモジュール３５１は、特許文献１のブリッジモジュール３００と同じ動作をするものとする。

特許文献１では、送信端末において業務アプリケーションから仮想プリンタ（プリンタドライバ）１０１に対して印刷を実行することで情報の転送が行われる。印刷によってプリンタドライバ１０１では印刷データが生成され、印刷データは転送情報送信部１０２を介してブリッジモジュール３００に送信される。並行して、プリンタドライバ１０１からの印刷のトリガーを受けたアプリ情報送信部１０３は追加情報を業務アプリケーションから収集してブリッジモジュールのアプリ情報受信部３０３に送信する。ここで、「追加情報」とは、印刷情報に係る追加の情報であって、例えば、「仮想プリンタ（プリンタドライバ）によって印刷された情報を転送できるか」等の情報である。

ブリッジモジュール３０１は、この印刷による情報転送機能に加えて、ファイルを印刷せずに直接転送する機能も追加している。具体的には、ブリッジモジュール３０１は、前記電子情報が送信側の前記コンピュータのプリンタドライバで生成された印刷データの場合に送信側の前記コンピュータから前記印刷データに係る追加情報をアプリ情報として取得し、前記電子情報が送信側の前記コンピュータの記憶部に保存されるファイルデータの場合に前記ファイルデータのファイル種別をアプリ情報として取得するアプリ情報取得手段をさらに備える。前記判定手段は、前記セキュリティポリシーの他に前記アプリ情報取得手段で取得した前記アプリ情報も電子情報の転送可否の判定に使用する。前記アプリ情報取得手段は、アプリ情報受信部３０３及びアプリ情報解析部３１３が担う。

業務アプリケーションで利用される情報はほとんどの場合、ファイルとしてＨＤＤ等のストレージ上に保存されているため、印刷するだけでなく、ファイルを直接送信することができればより便利である。ユーザがファイル送信アプリケーションのＵＩを使って送信したいファイルを指定すると、ファイル送信アプリケーションからファイル読込機能部１０４にファイルパスが受け渡される。ファイル読込機能部１０４は引き渡されたパスのファイルを読み込み、転送情報送信部１０２に読み込んだファイルデータを受け渡す。転送情報送信部１０２は印刷された場合と同様にしてファイルデータをブリッジモジュール３５１の転送情報受信部３０８に送信する。ファイル送信アプリケーションは、ユーザがファイルを指定する機能だけを持てばよいので、例えばファイルパスを引数に取るコマンドラインアプリケーションでも十分である。また、ファイル読込機能部１０４にファイル指定機能を持たせれば、ファイル送信アプリケーションを省くことも可能である。

ファイルを直接送信する場合は、印刷データのように転送に関する業務アプリケーションからの追加情報を受け取ることができない。そのため、ファイルデータが転送されてきた場合は、アプリ情報解析部３１３が転送情報受信部３０８から転送に関する情報（又はファイルデータ）を受け取り、ファイル種別（該当する業務アプリケーション種別）を判定してアプリ情報受信部３０３に通知する。ファイル種別の判定方法は、拡張子から判定したり、ファイルのヘッダを解析したりするなど、公知の方法を利用する。

特許文献１では、ポリシー保持部３０１には情報転送に関するルールのみ登録されている。本実施例では、それらの情報に加えて接続端末とユーザに関する情報もポリシー保持部３０１が保持している。図２〜５にポリシー保持部３０１で保持されているポリシー情報の詳細を示す。ただし、図２〜５はポリシー情報の表現方法の一つであり、同じ情報を違うテーブル構造で保持することも可能である。

図２の「ポリシー情報（端末）」に示すテーブルでは端末を特定する情報が保持されている。本実施形態では、端末のホスト名と端末に搭載されたネットワークカードのＭＡＣアドレスを利用して端末を特定するため、管理用ＩＤ、ホスト名、ＭＡＣアドレスの情報が保持されている。本実施形態ではＭＡＣアドレスは重複して登録できないものとしている。

図３の「ポリシー情報（ユーザ）」に示すテーブルでは、ログイン用のユーザ名とパスワードが保持されている。本実施形態ではユーザ名は重複して登録できないものとしている。

図４の「ポリシー情報（転送制約情報）」に示すテーブルでは、転送に関する制約情報が保持されている。各制約の組を管理する管理ＩＤと各種制約情報が含まれる。制約には「転送可能な時間帯」「一日に転送可能な最大回数」「仮想プリンタ（プリンタドライバ）によって印刷された情報を転送できるか」「ファイル送信で転送できるファイル種別」等が含まれる。

図５の「ポリシー情報（関連付けテーブル）」では、送信側端末、ユーザ、転送設定及び受信許可端末の関連付けを行う情報を保持している。例えば、送信側端末管理ＩＤが「１」、ユーザ管理ＩＤが「１」、転送制約管理ＩＤが「２」、受信許可端末管理ＩＤが「２，３」の場合、管理ＩＤ「１」の端末から管理ＩＤ「１」のユーザがファイルを送信するときには、管理ＩＤ「２」の転送制約が適用され、管理ＩＤ「２」又は「３」の端末が受信できることを意味する。本実施形態では、送信側端末管理ＩＤとユーザ管理ＩＤの同じペアは重複して登録できないものとしている。

ポリシー保持部３０１の情報は、業務などの状況に合わせて書き換える必要がある。この書き換えは、例えば、ブリッジモジュール内にフラッシュメモリーカードを内蔵するようにして、このフラッシュメモリーカードにポリシー保持部３０１の情報を保持させておけば、フラッシュメモリーカードの差し替えによりポリシー保持部３０１の書き換えを実現できる。また、別の方法としては、ポリシー保持部３０１書き換え用のＵＳＢインターフェース（このインターフェースは送信側ＵＳＢインターフェースや受信側ＵＳＢインターフェースを共用してもよいし、別途設けてもよい。またＵＳＢ以外のインターフェースを用いてもよい。）を設け、このＵＳＢインターフェースに書き換えを行う端末を接続して書き換えてもよい。この場合は、図１の機能図に描かれていないが、ポリシー書き換え端末からの要請でポリシーの書き換えを行う「ポリシー書き換え部」がブリッジモジュール内に必要になる。加えて、ポリシー書き換え端末内にもポリシーを書き換えるための、機能部が必要となる。

情報転送時の端末認証及びユーザ認証は次の様に実行される。業務アプリケーションまたはファイル送信アプリケーションから送信処理を行うと、プリンタドライバ１０１またはファイル読込機能部１０４から転送すべきデータが転送情報送信部１０２に受け渡される。転送情報送信部１０２はブリッジモジュール３５１にデータを転送する際に、並行して送信認証部１０５の機能呼び出しも行う。送信認証部１０５は端末認証とユーザ認証に必要な情報（認証情報）を収集しブリッジモジュール３５１に送信する。本実施形態では、端末認証に必要な情報として送信端末のホスト名と送信端末に搭載されたネットワークカードのＭＡＣアドレス一覧を収集し送信する。ユーザ認証に必要な情報は、ユーザ名とパスワードの入力欄を持つダイアログを画面上に表示してユーザに情報を入力させ、その情報をブリッジモジュールに送信する。ユーザ認証に必要な情報の収集方法としては、ダイアログを出してユーザに入力を促す以外に、例えば端末にログイン中のユーザ情報を利用する方法もある。

認証情報が送信認証管理部３１４に渡されると、送信認証管理部３１４はポリシー選定部３０４に認証情報を渡して送信認証判定を依頼する。図６は、ポリシー選定部３０４における送信認証判定の処理フローである。ポリシー選定部３０４は、認証情報のホスト名とＭＡＣアドレスをもって端末テーブル（図２）を検索する（ステップＳ０１）。ポリシー選定部３０４は、端末テーブルの端末管理ＩＤが見つかれば（ステップＳ０２で“Ｙｅｓ”）、認証情報のユーザ名とパスワードでユーザテーブル（図３）を検索する（ステップＳ０３）。ポリシー選定部３０４は、ユーザテーブルのユーザ管理ＩＤが見つかれば（ステップＳ０４で“Ｙｅｓ”）、端末管理ＩＤ（送信側端末管理ＩＤ列）とユーザ管理ＩＤ（ユーザ管理ＩＤ列）で関連付けテーブル（図５）を検索する（ステップＳ０５）。ポリシー選定部３０４は、関連付けテーブルに端末管理ＩＤとユーザ管理ＩＤに該当する行がある場合（ステップＳ０６で“Ｙｅｓ”）、該当の転送制約管理ＩＤ、ユーザ管理ＩＤ、及び受信許可端末管理ＩＤリストをポリシー選定部３０４に記憶させる（ステップＳ０７）。そして、ポリシー選定部３０４は、送信認証管理部３１４に認証成功を通知する（ステップＳ０８）。一方、ポリシー選定部３０４は、端末テーブルの端末管理ＩＤが見つからない場合（ステップＳ０２で“Ｎｏ”）、ユーザテーブルのユーザ管理ＩＤが見つからない場合（ステップＳ０４で“Ｎｏ”）、あるいは関連付けテーブルに端末管理ＩＤとユーザ管理ＩＤに該当する行がない場合（ステップＳ０６で“Ｎｏ”）、送信認証管理部３１４に認証失敗を通知する（ステップＳ０９）。

この時、送信認証判定と同時にポリシー選定も合わせて行われる。処理の結果、送信認証管理部３１４には認証の成功／失敗が通知される。さらに、選定された転送制約情報とユーザ管理ＩＤと受信許可端末管理ＩＤリストがポリシー選定部３０４に記憶される。

図１の「フィルタ部３１５」は、特許文献１の「フィルタ／リライト部３１０」と「テキスト抽出部３０９」に該当する部分である。特許文献１のテキスト抽出部３０９では、フィルタ／リライト部３１０の前準備として、仮想プリンタ（プリンタドライバ１０１）で生成された印刷データからテキストを抽出している。本実施形態では、このテキスト抽出機能をフィルタ部３１５に持たせている。つまり、フィルタ部３１５が必要とするテキスト情報はフィルタ部３１５が受け取った転送データを自ら解析してフィルタリングを行っている。特許文献１とは違い、本実施形態では仮想プリンタで生成された印刷データだけでなく、ファイルデータを直接送信できるため、フィルタ部３１５ではファイルデータの形式に合わせて解析を行う必要がある。ファイルデータの解析はファイルの形式が判明していれば、公知の仕様を元に解析することができる。また、特許文献１では、フィルタ／リライト部３１０はフィルタ機能だけでなく情報を書き換えるリライト機能も持っていたが、本実施形態のフィルタ部３１５はリライト機能を省きフィルタ機能だけとした。

図１の「転送情報保持部３１１」は、特許文献１の「転送情報保持部３１１」と「ファイルサービス部３１２」に該当する部分である。特許文献１では、「フィルタ／リライト部３１０」を通過した情報は「転送情報保持部３１１」に保持され、受信端末からのアクセスに対して「ファイルサービス部３１２」が保持された情報を提供する。本実施形態では、「転送情報保持部３１１」に特許文献１の「ファイルサービス部３１２」の機能を合わせて持たせ、情報の保持だけでなく情報提供も行う。

ブリッジモジュール３０１は、前記電子情報の送信側と受信側の前記コンピュータとの接続を監視し、前記コンピュータのいずれか一方との接続が切断されたとき、前記転送手段に存在する前記電子情報を削除する指示し、前記電子情報の送信側と受信側の前記外部情報の認証を解除する接続状態判定手段をさらに備える。前記接続状態判定手段は、端末接続状態判定部３１８が担う。

図１の「端末接続状態判定部３１８」は、特許文献１の「転送先接続状態判定部３０７」に該当する部分である、送信端末と受信端末が接続されていることを常時監視し、接続状態情報をフィルタ部３１５と転送情報保持部３１１に供給する。本実施形態では各端末とブリッジモジュールはＵＳＢで接続されているため、ＵＳＢの接続状態検知機能を用いて端末接続状態判定部３１８を実現できる。例えば、受信端末２５１がブリッジモジュール３５１から物理的に切り離された場合、端末接続状態判定部３１８は、それを直ちに検出し、転送情報保持部３１１及びフィルタ部３１５に通知するとともに、転送情報保持部３１１が保持する転送データを削除する。さらに、フィルタ部３１５は、受信端末２５１がブリッジモジュール３５１から物理的に切り離されたことを送信端末１５１の転送情報送信部１０２に通知する。そして、転送情報送信部１０２は自身が保持する転送データを削除する。
また、送信端末１５１がブリッジモジュール３５１から物理的に切り離された場合、あるいは送信端末１５１及び受信端末２５１の双方がブリッジモジュール３５１から物理的に切り離された場合、上述のように端末接続状態判定部３１８は、それを直ちに検出し、転送情報保持部３１１が保持する転送データを削除する。一方、ブリッジモジュール３５１と送信端末１５１との間が切断されているので、フィルタ部３１５は接続切断の情報を転送情報送信部１０２へ通知することができない。このため、送信端末１５１はＵＳＢの接続状態検知機能を用いてブリッジモジュール３５１との接続が物理的に切り離されたことを検知し、転送情報送信部１０２が保持する転送データを削除する。
このようにブリッジモジュール３５１と送信端末１５１と受信端末２５１の接続を監視することで、「２台の端末を装置に同時接続する」という転送条件を保証できる。

なお、送信端末１５１と受信端末２５１のどちらかまたは両方が認証の解除等でブリッジモジュール３５１から切り離された場合、ブリッジモジュール３５１が接続が切れたことを転送情報送信部１０２に通知してもよい。転送情報送信部１０２は端末が切り離された情報を通知された場合は保持している転送データを削除し、「２台の端末を装置に同時接続する」条件を保証する。

転送情報受信部３０８で受信した転送データは、フィルタ部３１５に渡される。フィルタ部３１５は、送信認証管理部３１４からの送信認証成否情報とポリシー選定部３０４からの転送制約情報とリアルタイムクロック３０６からの時刻情報と端末接続状態判定部３１８からの端末接続状態情報を取得し、さらに転送履歴管理部３１６に対して情報の読み書きを行って転送データのフィルタリングを行う。転送履歴管理部３１６には転送回数や転送データ量などが記録され、それらの記録と転送制約情報がフィルタ部３１５で比較される。

図７及び図８は、フィルタ部３１５が行うフィルタ処理のフローである。
フィルタ部３１５は送信認証管理部３１４から送信認証成否の情報を取得する（ステップＳ１１）。送信認証が成功している場合（ステップＳ１２で“Ｙｅｓ”）、フィルタ部３１５は端末接続状態判定部３１８から端末接続状態を取得する（ステップＳ１３）。送信端末と受信端末は接続されている場合（ステップＳ１４で“Ｙｅｓ”）、フィルタ部３１５はポリシー選定部３０４から供給される転送制約情報を元に、転送制約チェックをする（ステップＳ１５）。ステップＳ１５の詳細は図８で説明する。転送制約チェックが許可になった場合（ステップＳ１６で“Ｙｅｓ”）、フィルタ部３１５は転送データを転送情報保持部３１１に引き渡す。その際にフィルタ部３１５はデータ保持時間を設定する（ステップＳ１７）。その後、フィルタ部３１５は、送信端末１５１の転送情報送信部１０２に送信成功を通知し（ステップＳ１８）、転送履歴管理部３１６に今回の転送に関する情報を記録する（ステップＳ１９）。一方、フィルタ部３１５は、ステップＳ１２、ステップＳ１４、ステップＳ１６のいずれかで“Ｎｏ”となった場合、転送情報受信部３０８から送られてきた転送データを破棄する（ステップＳ２０）。そして、フィルタ部３１５は、送信端末１５１の転送情報送信部１０２に送信失敗を通知する（ステップＳ２１）。

続いて図８を用いてステップＳ１５の詳細を説明する。
フィルタ部３１５はポリシー選定部３０４から転送制約情報を取得する（ステップＳ３１）。フィルタ部３１５は、転送制約情報に「利用可能時間帯」が指定されているか否かを確認する（ステップＳ３２）。ステップ３２で“Ｙｅｓ”の場合、フィルタ部３１５はリアルタイムクロック３０６から現在時刻を取得する（ステップＳ４１）。そして、フィルタ部３１５は現在時刻が「利用可能時間帯」の範囲内か否かを判断する（ステップＳ４２）。ステップＳ３２で“Ｎｏ”又はステップＳ４２で“Ｙｅｓ”の場合、フィルタ部３１５は、転送制約情報に「１日毎最大転送回数」が０以上に設定されているか否かを確認する（ステップＳ３３）。ステップＳ３３で“Ｙｅｓ”の場合、フィルタ部３１５は転送履歴管理部３１６から本日の転送回数合計値を取得する（ステップＳ４３）。そして、フィルタ部３１５は今回の転送で本日の転送回数が「１日毎最大転送回数」を超えないか否かを判断する（ステップＳ４４）。ステップＳ３３で“Ｎｏ”又はステップＳ４４で“Ｎｏ”の場合、フィルタ部３１５は転送制約情報に「１日毎最大転送容量」が０以上に設定されているか否かを確認する（ステップＳ３４）。ステップＳ３４で“Ｙｅｓ”の場合、フィルタ部３１５は転送履歴管理部３１６から本日の転送回数合計値を取得する（ステップＳ４５）。そして、フィルタ部３１５は今回の転送で本日の転送回数が「１日毎最大転送回数」を超えないか否かを判断する（ステップＳ４６）。ステップＳ３４で“Ｎｏ”又はステップＳ４６で“Ｙｅｓ”の場合、フィルタ部３１５は転送データが印刷データか否かを判断する（ステップＳ３５）。ステップＳ３５で“Ｙｅｓ”の場合、フィルタ部３１５は転送制約情報で「印刷データ転送可否」が許可になっているか否かを判断する（ステップＳ４７）。ステップＳ３５で“Ｎｏ”又はステップＳ４７で“Ｙｅｓ”の場合、フィルタ部３１５は転送データがファイルデータか否かを確認する（ステップＳ３６）。ステップＳ３６で“Ｙｅｓ”の場合、フィルタ部３１５は転送制約情報で「ファイルデータ転送可否」が許可になっているか否かを判断する（ステップＳ４８）。ステップＳ３６で“Ｎｏ”又はステップＳ４８で“Ｙｅｓ”の場合、フィルタ部３１５は転送制約情報で「ファイル送信許可アプリ種別リスト」が全許可以外か否かを確認する（ステップＳ３７）。ステップＳ３７で“Ｙｅｓ”の場合、フィルタ部３１５はアプリ情報受信部３０３からアプリケーション種別を取得する（ステップＳ４９）。そして、フィルタ部３１５は「ファイル送信許可アプリ種別リスト」に転送データのアプリ種別が含まれているか否かを判断する（ステップＳ５０）。ステップＳ３７で“Ｎｏ”又はステップＳ５０で“Ｙｅｓ”の場合、フィルタ部３１５は転送制約情報で「送信禁止キーワードリスト」が設定されているか否かを確認する（ステップＳ３８）。ステップＳ３８で“Ｙｅｓ”の場合、フィルタ部３１５は転送データ内を「送信禁止キーワードリスト」のキーワードで検索する（ステップＳ５１）。そして、フィルタ部３１５は転送データ内に「送信禁止キーワードリスト」のキーワードが含まれるかを判断する（ステップＳ５２）。ステップＳ３８で“Ｎｏ”又はステップＳ５２で“Ｙｅｓ”の場合、フィルタ部３１５は転送を許可とする。一方、ステップＳ４２、ステップＳ４４、ステップＳ４６、ステップＳ４７、ステップＳ４８、ステップＳ５０、ステップＳ５２のいずれかで“Ｎｏ”の場合、フィルタ部３１５は転送を不許可とする。

フィルタ部３１５を通過し転送情報保持部３１１に保持された転送データは、そのままでは受信端末２５１には公開されない。受信端末２５１でブリッジモジュール３５１から転送データを受信するには、受信認証を行う必要がある。受信端末２５１で受信認証アプリケーションを起動すると受信認証部２０１に受信認証が依頼される。受信認証部２０１は、送信端末１５１の送信認証部１０５と同様に、端末認証に必要な情報を受信端末２５１から、ユーザ認証に必要な情報をユーザから収集しブリッジモジュール３５１に送信する。受信認証に必要な情報を受信したブリッジモジュールの受信認証管理部３１７は、ポリシー選定部３０４に受信認証を依頼する。ポリシー選定部３０４は送信認証判定が成功している必要があるため、送信認証より前に受信認証を行うことはできない。

図９は、ポリシー選定部３０４が行う受信認証部２０１の受信認証判定の処理フローである。
ポリシー選定部３０４は、ポリシー選定部３０４がポリシー選定は済んでいるか否かを確認する（ステップＳ６１）。ステップＳ６１で“Ｙｅｓ”の場合、ポリシー選定部３０４はホスト名とＭＡＣアドレスにより端末テーブル（図２）を検索する（ステップＳ６２）。該当する端末管理ＩＤを取得した場合（ステップＳ６３で“Ｙｅｓ”）、ポリシー選定部３０４は記憶している受信許可端末管理ＩＤリストに当該端末管理ＩＤが含まれるかを確認する（ステップＳ６４）。ステップＳ６４で“Ｙｅｓ”の場合、ポリシー選定部３０４は受信したユーザ名とパスワードでユーザテーブル（図３）を検索し、該当するユーザ管理ＩＤを取得する（ステップＳ６５）。該当するユーザＩＤを取得した場合（ステップＳ６６で“Ｙｅｓ”）、ポリシー選定部３０４は記憶しているユーザ管理ＩＤと当該ユーザ管理ＩＤとが一致するか否かを確認する（ステップＳ６７）。ステップＳ６７で“Ｙｅｓ”の場合、ポリシー選定部３０４は受信認証管理部３１７に認証成功を通知する（ステップＳ６８）。一方、ポリシー選定部３０４は、ポリシー選定が終了していない場合（ステップＳ６１で“Ｎｏ”）、端末テーブルの当該端末管理ＩＤが見つからない場合（ステップＳ６３で“Ｎｏ”）、受信許可端末管理ＩＤリストに当該端末管理ＩＤが見つからない場合（ステップＳ６４で“Ｎｏ”）、ユーザテーブルのユーザ管理ＩＤが見つからない場合（ステップＳ６６で“Ｎｏ”）、あるいはユーザ管理ＩＤと当該ユーザ管理ＩＤとが一致しない場合（ステップＳ６７で“Ｎｏ”）、受信認証管理部３１７に認証失敗を通知する（ステップＳ６９）。

受信認証より先に送信認証を行うことができない制限は、本実施形態で設定可能なポリシーが「送信したユーザが受信を行う」ことを前提としているためである。送信認証と受信認証を関連付けずに本発明を実施することも可能であり、その場合は受信認証と送信認証のどちらを先に行っても良い。その場合はポリシーのテーブル構成や各処理フローを変更する必要がある。

本実施形態ではユーザが受信認証アプリケーションを起動することで受信認証部２０１の機能を呼び出したが、受信認証アプリケーションを利用せずにユーザが受信認証部２０１を利用できるにしても良い。例えば、受信認証が必要になった時点でブリッジモジュール３５１が自動的に受信認証部２０１を呼び出すことで、受信認証部２０１が機能するようにしても良い。

受信認証管理部３１７は認証成功の通知をポリシー選定部３０４から受けると、転送情報保持部３１１に転送データの公開を依頼する。転送情報保持部３１１は受信認証管理部３１７からの通知を受けて、特許文献１と同様に仮想ＣＤ−ＲＯＭメディアに含まれる情報として受信端末２５１に情報を公開する。転送情報保持部３１１の持つ情報が変化した場合はＣＤ−ＲＯＭメディアの入れ替えとして受信端末２５１に通知する。受信端末２５１への転送情報の公開方法は他にもＷｅｂサーバとして見せる方法等もある。

また、転送情報保持部３１１はセキュリティを高めるために、データ保持時間を過ぎた転送データを削除する。転送情報保持部３１１は、リアルタイムクロック３０６の時刻を利用して、転送データの保持開始時刻と現在時刻を定期的に比較して、データ保持時間が過ぎていないかをチェックする。データ保持時間が過ぎた場合は、転送情報保持部３１１から転送データを削除する。受信認証とは本実施形態では、データ保持時間が０に設定されている場合は無期限として取り扱う。

本実施形態では、送信認証や受信認証を行った場合は、その後も送信端末や受信端末を切り離さない限り認証成功状態を維持している。そのため、一度送信認証や受信認証を行うと、その後は認証せずにファイルの転送が可能となる。セキュリティを高めたい場合、受信認証管理部３１７と送信認証管理部３１４が認証成功からの経過時間を管理し、一定時間が経過した場合は認証状態を解除するように実施することもできる。または、１つのデータを送信するごとに再認証を必要とするように実施することもできる。

いずれの場合でも、受信端末２５１と送信端末１５１のどちらかまたは両方とブリッジモジュール３５１の接続が切れた場合は、端末接続状態判定部３１８が即座に検出し、送信認証管理部３１４と受信認証管理部３１７に認証解除を通知するため、即座に認証が解除される。さらに、端末との接続が切れた場合は、端末接続状態判定部３１８から転送情報保持部３１１にも通知が行われ、転送情報保持部３１１で保持されている全ての転送データが削除される。このように、「２台の端末を装置に同時接続する」状態が無効になった場合は認証解除とデータ削除が行われるため、ポリシーに設定された特定の送信端末・受信端末の組み合わせ以外で情報を転送することはできない。

（実施形態２）
実施形態１では端末認証とユーザ認証をどちらも行ったが、端末認証だけで実施することもできる。

端末認証だけで送信認証を実施する場合は、図２、図４、図１０のテーブルを組み合わせてポリシーを表現し、図６の送信認証判定フローからユーザ認証に関わるステップを省いた図１１の送信認証判定フローにより処理を行う。また、受信認証を実施する場合は、図９の受信認証判定フローからユーザ認証に関わるステップを省いた図１２の受信認証判定フローにより処理を行う。

（実施形態３）
実施形態１では端末認証とユーザ認証をどちらも行ったが、ユーザ認証だけで実施することもできる。

ユーザ認証だけで送信認証を実施する場合は、図３、図４、図１３のテーブルを組み合わせてポリシーを表現し、図６の送信認証判定フローから端末認証に関わるステップを省いた図１４の送信認証判定フローにより処理を行う。また、受信認証を実施する場合は、図９の受信認証判定フローから端末認証に関わる部分を省いた図１５の受信認証判定フローにより処理を行う。

（実施形態４）
以上の実施形態では、受信認証可能なユーザは送信認証と同一のユーザで、受信認証可能な端末は関連付けテーブルで受信許可端末管理ＩＤに登録されている端末でなくてはならない。しかし、より柔軟に送信側と受信側を独立に認証する実施形態も可能である。つまり、本実施形態は、送信認認したユーザ・端末の組み合わせによって、受信認証可能なユーザ・端末の組み合わせが制限されない。

送信側・受信側で独立して認証する場合は、関連付けテーブルを送信側（図１６）と受信側（図１７）で分けて持つ必要がある。本実施形態では転送制約は送信認証時に決定されるものとしている。送信認証では、図２、図３、図４、図１６を組み合わせて、ポリシー選定部３０４が図１８の処理フローで送信認証判定を行う。送信認証が成功した場合に、ポリシー選定部３０４が記憶する情報は選定された転送制約のみである（ステップＳ０７ｃ）。受信認証では、送信側で認証した端末とユーザの組み合わせに依存せず、図２、図３、図１７のテーブルを組み合わせて、ポリシー選定部３０４が図１９の処理フローにより受信認証判定を行う。図１９の処理フローは、図９の処理フローのステップＳ６７の代替として、端末の管理ＩＤ（送信側端末管理ＩＤ列）とユーザの管理ＩＤ（ユーザ管理ＩＤ列）で受信側関連付けテーブル（図１７）を検索するステップＳ７１、及び該当する行が見つけたか否かを判定するステップＳ７２を行う。

ブリッジモジュール３５１をこの様に動作させることで、送信側と受信側でユーザを変えたい場合にも対応できる。また、受信認証・送信認証のどちらかだけの機能を無効化すれば、送信認証だけ行って受信認証を行わなかったり、受信認証だけ行って送信認証を行わなかったりすることもできる。ただし、転送制約は送信認証により選定されるので、送信認証を行わない場合はポリシーの選定ができなくなる。その場合は、特許文献１と同様にブリッジデバイスごとに唯一の転送制約を設定することになる。

（実施形態５）
図２０は、ブリッジモジュール３５２を備える情報転送システムを説明する図である。
図１で本発明のシステム構成例を示したが、認証管理機能及びフィルタリング機能を図２０の様に各端末側に割り振ることも可能である。一般的には、ブリッジデバイス内で機能を実現する難易度の方が端末側で実現するよりも高くなる場合が多いため、図２０の様に機能を端末側に移すことにより開発が容易になる。

図２０の情報転送システムは、送信端末１５２からブリッジモジュール３５２へ転送データが送信される前に、送信端末１５２でフィルタリングを行うため、転送制約に違反するデータが送信されないため効率的である。図１の情報転送システムでは、転送情報送信部１０２及び転送情報受信部３０８が他の機能部に情報を通知したりする機能を担っていたが、図２０の情報転送システムでは情報の送受信に特化している。そのため、送信端末１５２は、新たに「転送情報管理部１０６」を備え、送信認証部１０５への認証依頼、アプリ情報解析部３１３へのデータ供給、及びフィルタ部３１５から送信失敗が通知された時のエラー表示の機能を担っている。

（実施形態６）
以上の実施形態では通信の方向を片方向だけに制限していたが、構成を一部変えることによって、双方向通信も含めて通信の方向を自由に変更することができる。

図２１は、双方向通信を可能とする情報転送システムを説明する図である。図２１では、構成を単純化して表示するために、仮想プリンタ（プリンタドライバ）を介したデータ転送機能のみに関わる機能部は明示していないが、図１と同様に機能部を追加することで仮想プリンタによる転送機能も実現できる。

ブリッジモジュール３５３に接続された２台の端末（１５３、１５４）は設定によって送信も受信も可能なため、機能部は対称になっている。送信の場合も受信の場合も認証に必要な情報は共通である。このため、本実施形態では、図１で個別に設定していた送信認証部１０５と受信認証部２０１を併合して送受信認証部１０５ａとし、図１で個別に設定していた送信認証管理部３１４と受信認証管理部３１７を併合して送受信認証管理部３１４ａとしている。この実施形態では、送受信どちらも可能な端末・ユーザの組み合わせで一度認証した場合は、端末接続状態が変化するまでは、再認証なしで送信・受信とも可能である。

ポリシー保持部３０１では図２、図３、図４、図２２のテーブルを保持している。本実施形態では端末１５３と端末１５４を独立に認証している。つまり、端末１５３の認証と端末１５４の認証が依存しない。図２２の関連付けテーブルは、認証が可能な端末とユーザの組み合わせ及び、その組み合わせの場合に送信・受信がそれぞれ許可されるかの情報及び、送信が許可される場合は送信時の転送制約の情報が設定されている。これらの設定を変更することで、端末・ユーザの組み合わせごとに「送受信可能」「送信のみ可能」「受信のみ可能」が設定できる。

図１の情報転送システムでは、送信認証で選定された転送制約の情報はポリシー選定部３０４が保持していたが、本実施形態の情報転送システムでは、端末１５３と端末１５４で別々に転送制約を保持しているため、送受信認証管理部３１４ａが転送制約を保持している。送受信認証管理部３１４ａ−１は、フィルタ部３１５に「端末１５３の認証が成功して送信が許可されているか」及び「端末１５３の転送制約」の情報を供給し、転送情報保持部３１１に「端末１５３の認証が成功して受信が許可されているか」の情報を供給する。送受信認証管理部３１４ａ−２も同様に動作する。

ファイル送信時、転送情報送信部１０２から転送情報受信部３０８が転送データを受け取ると、フィルタ部３１５及びアプリ情報解析部３１３に転送データを受け渡す。この時に、フィルタ部３１５にはどちらの端末から受け取ったデータであるかの情報も受け渡す。転送情報受信部３０８は１つしか存在しないため、端末１５３と端末１５４とで排他的に動作するものとしている。ただし、並行して処理できるように作り込むことで、同時に転送処理を行うことも可能である。

フィルタ部３１５は、リアルタイムクロック３０６、転送履歴管理部３１６、アプリ情報受信部３０３、そして端末１５３からの転送データであれば送受信認証管理部３１４ａ−１と連携してフィルタリングを行い、フィルタリングに成功すればその転送データを転送情報保持部３１１に受け渡す。フィルタリングに失敗した場合は端末１５３の転送情報送信部１０２にエラーが通知される。端末１５３からの転送データをフィルタリングする場合は送受信認証管理部３１４ａ−２の情報は使われない。端末１５４から転送データが送信された場合も同様に動作する。

転送情報保持部３１１は、送受信認証管理部３１４ａ−１から「端末１５３の認証が成功して受信が許可された状態」の情報を供給された場合は、端末１５４に転送情報保持部３１１が保持している転送データを公開する。転送情報保持部３１１は、端末１５４からの転送データについても同様に動作する。

ブリッジモジュール３５３は、端末１５３の認証で送受信共に許可した場合は、端末１５３からの転送データを端末１５３で受信可能とする。この動作に問題がある場合、ブリッジモジュール３５３は、転送情報保持部３１１で端末１５３からの転送データを端末１５４のみに公開させてもよい。

端末接続状態判定部３１８は、端末の接続状態が変化した際に、それぞれの送受信認証管理部３１４ａの認証を解除させ、さらに転送情報保持部３１１が保持する転送データを消去させる。

（実施形態７）
実施形態６の情報転送システムは、対称に機能部を配置することで１対１の双方向通信を実現している。個々の端末に対応するように機能部を配置することで、端末を３台以上に拡張できる。図２３は、端末４台を接続する情報転送システムを説明する図である。図２３では、ほとんどの機能部の記載を省略し、本実施形態の説明に関係する機能部のみ表現している。図２３の情報転送システムでは、図２１の情報転送システムと同様に送受信認証管理部３１４ａを接続する端末ごとに設けているが、１つの送受信認証管理部３１４ａのみを配置して内部的に端末ごとの認証情報を管理する構成としてもよい。

図２３の情報転送システムは、実施形態６で説明したように動作することで図２１の情報転送システムと同様の動作をする。図２３の情報転送システムは、ポリシー保持部３０１が保持する転送制約に従い、端末１５３と端末１５５との間、及び端末１５４と端末１５６との間で転送データを転送してもよいし、端末１５３、端末１５４、端末１５５のいずれかを選択して端末１５６が転送データを転送してもよい。

（実施形態８）
以上の実施形態では、ブリッジモジュールと端末間の接続インターフェースは基本的にＵＳＢを利用しているものとしていた。ＵＳＢ以外の接続インターフェースを利用することもできるが、ブリッジモジュールで利用する接続インターフェースはブリッジモジュールと端末が論理的に一対一で接続でき、なおかつインターフェースの接続状態（接続・切断）を検出できる必要がある。ＵＳＢの場合は、ＵＳＢハブを挟んでホスト（端末）とデバイス（ブリッジモジュール）が接続され、さらに他のデバイスがハブに接続されていても、論理的にはデバイスとホストは一対一で接続される。また、ＵＳＢハブを介していても、デバイスが切り離されるとそれをホストで検出することができる。

ＵＳＢの代わりにイーサネット（登録商標）を利用することもできるが、イーサネット（登録商標）を利用する場合はハブを挟まずに物理的に直接接続する必要がある。イーサネット（登録商標）ハブを挟んだ場合は他の、ハブに他の端末が接続できてしまうため他の端末からブリッジモジュールにアクセス可能である。そのため、例えば、端末Ａとブリッジモジュールがイーサネット（登録商標）ハブを挟んで接続されており、なおかつ端末Ａ上で認証が成功していると、同じハブに接続された端末Ｂが認証せずにブリッジモジュールにアクセスできてしまう可能性がある。さらに、イーサネット（登録商標）ハブを挟んで接続されている場合は、接続状態の検出はブリッジモジュールとイーサネット（登録商標）ハブの間の接続状態しか検出できないため、ハブから端末が切断されてもイーサネット（登録商標）自体では検出できない（上位レイヤーのプロトコルを利用すれば可能）。

以上の制約から、ブリッジモジュールには接続する端末の数だけの物理的なインターフェースポートを用意しておく必要がある。しかし、３台以上の接続を可能とする情報転送システムで、例えば１０台分のインターフェースポートを用意しておくのは現実的ではない。

そこで、本実施形態では、イーサネット（登録商標）状に仮想的な一対一の接続を構築する。具体的には、本実施形態のブリッジモジュールは、前記複数のコンピュータとの間で仮想プライベートネットワーク（ＶＰＮ）を構築し、前記外部情報を前記ＶＰＮを介して前記判定手段へ通知し、前記転送手段と前記コンピュータとの間を前記ＶＰＮを介して前記電子情報を転送するＶＰＮ構築手段をさらに備える。仮想的に一対一の接続を実現することで、ブリッジモジュールにインターフェースポートを増加しなくとも複数の端末を接続することができる。

図２４は、本実施形態の情報転送システムを説明する物理接続図である。ブリッジモジュール３５５は、イーサネット（登録商標）ハブ３７０を利用して３台の端末（１６１〜１６３）と接続するため、ブリッジモジュール３５５は１つのイーサネット（登録商標）ポートを備えればよい。イーサネット（登録商標）の上ではＴＣＰ／ＩＰの通信も確立されている。図２４では、端末とブリッジモジュールが１つのイーサネット（登録商標）ハブを介して接続されているが、複数のハブを挟んでいたり、ルータを挟んでいたり、インターネットを介して接続されていてもよい。

図２５は、本実施形態の情報転送システムの機能部を説明する図である。図２５では、ほとんどの機能部の記載を省略し、本実施形態の説明に関係する機能部のみ表現している。本実施形態の情報転送システムは、図２４の物理的な接続状態の上でＶＰＮ（仮想プライベートネットワーク）をブリッジモジュール３５５と端末（１６１〜１６３）の間で一対一に構築し、これを仮想的なインターフェースとする。

ブリッジモジュール３５５のＶＰＮ構築部３２０と各端末（１６１〜１６３）のＶＰＮ構築部１２０と間に一対一で仮想的な接続（ＶＰＮインターフェース通信路）５０が形成される。このＶＰＮインターフェース通信路５０を通して、送信認証情報や転送データの送受信が行われる。ＶＰＮインターフェース通信路５０を通過する情報は暗号化され、通信内容を傍受することができないようになっている。さらに、ＶＰＮ構築部３２０とＶＰＮ構築部１２０は定期的にＫｅｅｐ−Ａｌｉｖｅを送信し合ってＶＰＮインターフェースの接続が保たれていることを確認する。端末側のＶＰＮ構築部１２０で接続状態が変化した場合、その変化が端末接続状態判定部３１８により検出される。

上記の様に仮想的なインターフェースを利用することで、物理的なインターフェースポートを１つ用意するだけで、２台以上の接続に対応することができる。

［付記］
・用語の定義
「転送データ」：端末間で転送される「印刷データ」と「ファイルデータ」をまとめた表現である。
「情報」：上記転送データ以外に端末とブリッジモジュールとの間、もしくはブリッジモジュール内で送受信される情報。例えば、認証情報、端末情報、ユーザ情報、転送制約情報である。
「外部情報」：端末情報とユーザ情報の少なくとも一方の情報である。
「ポリシー情報」：転送制約情報と同じ意味である。

・本発明の特徴
特許文献１の機能に加えて、ポリシー情報に端末情報とユーザ情報を含める。データの送信時と受信時には、端末認証とユーザ認証を行う。そして、認証の成否はポリシーの情報を基に判定し、端末・ユーザの組ごとに転送制約を変更できるようにする。

１５１、１５２：送信端末
１５３〜１５６、１６１〜１６２：端末
２５１、２５２：受信端末
３５１〜３５５：ブリッジモジュール（情報転送装置）
３７０：イーサネット（登録商標）ハブ
１０１：プリンタドライバ
１０２：転送情報送信部
１０３：アプリ情報送信部
１０４：ファイル読込機能部
１０５：送信認証部
１０５ａ：送受信認証部
１０６：転送情報管理部
１２０：ＶＰＮ構築部
２０１：受信認証部
３０１：ポリシー保持部
３０３：アプリ情報受信部
３０４：ポリシー選定部
３０６：リアルタイムクロック
３０８：転送情報受信部
３１１：転送情報保持部
３１３：アプリ情報解析部
３１４：送信認証管理部
３１４ａ：送受信認証管理部
３１５：フィルタ部
３１７：受信認証管理部
３１８：端末接続状態判定部
３２０：ＶＰＮ構築部

Claims (6)

1. 複数のコンピュータ間での電子情報の転送を制約するセキュリティポリシーに従って実行する情報転送装置であって、
   転送対象である電子情報を転送する転送手段と、
   前記コンピュータを識別する端末情報と前記コンピュータを使用するユーザを識別するユーザ情報の少なくとも一方である外部情報を保持するとともに、及び前記セキュリティポリシーを前記外部情報と関連付けて保持するポリシー保持手段と、
   送信側の前記コンピュータから前記電子情報とともに前記外部情報を取得し、取得した前記外部情報に対応する前記セキュリティーポリシーが前記ポリシー保持手段に保持されている場合に前記外部情報を送信認証として認証し、前記外部情報にする対応する前記セキュリティーポリシーを前記ポリシー保持手段から選択して記憶した後、
   受信側の前記コンピュータの端末情報とユーザ情報を取得し、取得した前記端末情報と前記ユーザ情報に対応する前記セキュリティーポリシーが前記ポリシー保持手段に保持され、且つ記憶している前記セキュリティーポリシーと一致している場合に取得した前記端末情報と前記ユーザ情報を受信認証として認証し、
   該セキュリティポリシーに基づいて前記電子情報の転送可否を判定して前記転送手段に指示する判定手段と、
   を備える情報転送装置。
2. 前記電子情報が送信側の前記コンピュータのプリンタドライバで生成された印刷データの場合に送信側の前記コンピュータから前記印刷データに係る追加情報をアプリ情報として取得し、前記電子情報が送信側の前記コンピュータの記憶部に保存されるファイルデータの場合に前記ファイルデータのファイル種別をアプリ情報として取得するアプリ情報取得手段
   をさらに備え、
   前記判定手段は、前記セキュリティポリシーの他に前記アプリ情報取得手段で取得した前記アプリ情報も電子情報の転送可否の判定に使用する
   ことを特徴とする請求項１に記載の情報転送装置。
3. 前記電子情報の送信側と受信側の前記コンピュータとの接続を監視し、前記コンピュータのいずれか一方との接続が切断されたとき、前記転送手段に存在する前記電子情報を削除する指示し、前記電子情報の送信側と受信側の前記外部情報の認証を解除する接続状態判定手段
   をさらに備えることを特徴とする請求項１又は２に記載の情報転送装置。
4. 前記転送手段は、前記電子情報を双方向に転送可能とすることを特徴とする請求項１から３のいずれかに記載の情報転送装置。
5. 前記複数のコンピュータとの間で仮想プライベートネットワーク（ＶＰＮ）を構築し、前記外部情報を前記ＶＰＮを介して前記判定手段へ通知し、前記転送手段と前記コンピュータとの間を前記ＶＰＮを介して前記電子情報を転送するＶＰＮ構築手段をさらに備えることを特徴とする請求項１から４のいずれかに記載の情報転送装置。
6. 複数のコンピュータ間での電子情報の転送を制約するセキュリティポリシーに従って実行する情報転送方法であって、
   転送対象である電子情報を転送する転送手順と、
   前記コンピュータを識別する端末情報と前記コンピュータを使用するユーザを識別するユーザ情報の少なくとも一方である外部情報を保持するとともに、及び前記セキュリティポリシーを前記外部情報と関連付けて保持するポリシー保持手順と、
   送信側の前記コンピュータから前記電子情報とともに前記外部情報を取得し、取得した前記外部情報に対応する前記セキュリティーポリシーが前記ポリシー保持手段に保持されている場合に前記外部情報を送信認証として認証し、前記外部情報にする対応する前記セキュリティーポリシーを前記ポリシー保持手段から選択して記憶した後、
   受信側の前記コンピュータの端末情報とユーザ情報を取得し、取得した前記端末情報と前記ユーザ情報に対応する前記セキュリティーポリシーが前記ポリシー保持手段に保持され、且つ記憶している前記セキュリティーポリシーと一致している場合に取得した前記端末情報と前記ユーザ情報を受信認証として認証し、
   該セキュリティポリシーに基づいて前記電子情報の転送可否を判定して前記転送手順に適用する判定手順と、
   を備える情報転送方法。

Images