JP6428011B2 - セキュリティ管理装置及びプログラム - Google Patents

Description

本発明は、セキュリティ管理装置及びプログラムに関する。

電子情報の漏洩を防止するために、配布された電子データのアクセス権を制限する方法が知られている。しかしながら、この方法はそもそもサーバに接続できないとアクセス権を確認できない。

サーバに接続することを前提とせず、オフラインでもアクセス権を制限するために、配布文書に期限を設定し、期限を徒過した場合に当該文書を開けないようにする方法もある。しかしながら、この方法はＰＤＦ等の特定フォーマットと、期限管理の仕組みに対応した閲覧アプリケーションの組み合わせが前提となる。

特許文献１には、ＯＳやプロセスを変更することなく、アクセス権限のないユーザに対するリソースの操作を制限するために、ＯＳが管理しているコンピュータリソースに対するプロセスまたはＯＳからの操作要求をコンピュータリソースにアクセスする前に捕捉し、捕捉した操作要求によって指定されるコンピュータリソースに対するアクセス権限があるか否かを判定し、アクセス権限がなければ当該操作要求を拒否するか、コンピュータリソースの内容に応じて課金することによって許可することが記載されている。

特許文献２には、ＯＳレベルでＤＲＭ（デジタル著作権管理）機能を実現するために、ＯＳは、所定のアプリケーションがコンテンツ格納手段に格納されるＤＲＭコンテンツを読み込もうとした場合にＤＲＭコンテンツに対応するＤＲＭチケット情報を適用することにより、ＤＲＭコンテンツのデータの復号を行うことが記載されている。

特許文献３には、意図しないファイルの移動・コピーの操作が行われた場合にも実データを持ち出せないようにするために、ファイルサーバが、セキュリティ管理対象となるデータファイルを実データファイルと操作用データファイルに分離して管理し、実データファイルをクライアントから直接アクセスできないセキュリティ領域に記憶しておき、クライアントが実データファイルのアクセスをファイルサーバに要求すると、ファイルサーバは実データファイルにアクセスしてレスポンスを返すことが記載されている。

特開２００３−４４２９７号公報 特開２００５−３４６１５０号公報 特開２００９−２４５３２５号公報

コンピュータリソースに対するプロセスまたはＯＳからの操作要求をコンピュータリソースにアクセスする前に捕捉し、捕捉した操作要求によって指定されるコンピュータリソースに対するアクセス権限があるか否かを判定する構成や、ＤＲＭコンテンツを読み込もうとした場合にＤＲＭコンテンツに対応するＤＲＭチケット情報を適用する構成では、その仕組みが複雑になる。

他方、実データファイルと操作用データファイルに分離して管理し、クライアントがサーバ上の実データに間接的にアクセスする構成は、仕組み自体は比較的簡易であるものの、実データを格納するサーバにアクセスする必要があり、オフラインでアクセス権を制限することはできない。

従って、特定のアプリケーションやサーバ接続等に依存することなく、より簡易に電子データのアクセス権を制限し、特に電子データの意図しない二次配布を制限できる技術が望まれる。

本発明の目的は、特定のアプリケーションに依存せず、かつ、ネットワークないしサーバにアクセスすることを前提とせずに、配布された電子データの二次配布を制限できる装置及びプログラムを提供することにある。

請求項１記載の発明は、操作ユーザの操作に応じ、前記操作ユーザと異なる特定ユーザの権限で電子データをファイルシステム上の前記操作ユーザの領域と異なる特定ユーザの領域に格納する手段と、操作ユーザの操作に応じ、前記特定ユーザの権限で前記特定ユーザの領域にアクセスして前記特定ユーザの領域に格納されている前記電子データを表示し、かつ前記電子データの前記特定ユーザの領域以外への格納を禁止する手段とを備えるセキュリティ管理装置である。

請求項２記載の発明は、前記格納する手段は、操作ユーザの操作に応じて起動されるアプリケーションランチャーと、前記アプリケーションランチャーにより前記特定ユーザの権限で起動され、前記特定ユーザの権限で前記電子データを前記特定ユーザの領域に格納するアプリケーションデスクトップとを備える請求項１記載のセキュリティ管理装置である。

請求項３記載の発明は、コンピュータを、操作ユーザの操作に応じ、前記操作ユーザと異なる特定ユーザの権限で電子データをファイルシステム上の前記操作ユーザの領域と異なる特定ユーザの領域に格納する手段と、操作ユーザの操作に応じ、前記特定ユーザの権限で前記特定ユーザの領域にアクセスして前記特定ユーザの領域に格納されている前記電子データを表示し、かつ前記電子データの前記特定ユーザの領域以外への格納を禁止する手段として機能させるプログラムである。

請求項１，３記載の発明によれば、特定のアプリケーションに依存せず、かつ、ネットワークないしサーバにアクセスすることを前提とせずに、配布された電子データの二次配布を制限できる。

請求項２記載の発明によれば、配布された電子データの二次配布をアプリケーションランチャーを利用することにより制限できる。

実施形態のシステム構成図である。 実施形態のダウンロード処理フローチャートである。 実施形態のダウンロード処理の模式図である。 実施形態のダウンロード処理の詳細フローチャートである。 実施形態のファイルシステム説明図である。 実施形態のアクセス管理テーブル説明図である。 実施形態の閲覧処理フローチャートである。 実施形態の閲覧処理の模式図である。 実施形態の閲覧処理の詳細フローチャートである。

以下、図面に基づき本発明の実施形態について説明する。

図１は、本実施形態におけるセキュリティ管理装置を備えるシステム構成図である。システムは、セキュリティ管理装置として機能するクライアント１０と、データ配信サーバ２０を備え、これらがネットワーク１００を介して接続される。

クライアント１０は、ハードウェア構成として、一般的なコンピュータの構成、すなわち、ＣＰＵと、メモリと、入力装置と、表示装置と、入出力インタフェースを備える。また、クライアント１０は、機能ブロックとして、図に示すように、アプリケーションランチャー１２と、アプリケーションデスクトップ１４と、データ管理部１６と、ファイルシステム１８を備える。

アプリケーションランチャー１２は、クライアント１０を操作するユーザとは別の特定のユーザ権限で、アプリケーションデスクトップ１４を起動するモジュールである。

アプリケーションデスクトップ１４は、特定のユーザ権限で動作し、クライアント１０を操作するユーザがアクセスできない特定領域に、データ配信サーバ２０からダウンロードした電子データ（以下、これをファイルと称する）を格納し、あるいは特定領域に格納されたファイルを閲覧するモジュールである。

データ管理部１６は、クライアント１０を操作するユーザ毎に、ダウンロードしたファイルと、その付加情報を管理するモジュールである。データ管理部１６は、特に、ダウンロードしたファイルをユーザ及びダウンロード元と関連付けてテーブル形式で記憶する。

ファイルシステム１８は、ユーザ毎にアクセス権限を管理可能なモジュールである。本実施形態において、ファイルシステムにはクライアント１０の操作ユーザの領域とは別にアプリ定義ユーザ領域が設けられる。

アプリケーションランチャー１２、アプリケーションデスクトップ１４、及びファイルシステム１８は、ＣＰＵがプログラムメモリに記憶されている処理プログラムを読み出して実行することで実現される。データ管理部１６は、ＣＰＵの制御の下でデータを記憶するメモリで実現される。プログラムメモリに記憶されている処理プログラムは、クライアント１０を構成するコンピュータをセキュリティ管理装置として機能させるプログラムといえる。

本実施形態における特徴の一つは、アプリケーションデスクトップ１４が、特定のユーザ権限、すなわちクライアント１０を操作する操作ユーザとは別の特定のユーザ権限で動作すること、及びアプリケーションデスクトップ１４が、クライアント１０を操作する操作ユーザがアクセスできない特定領域にファイルを格納することにある。他方、データ配信サーバ２０は、アプリケーションデスクトップ１４からのアクセスに基づいて、格納されているファイルをクライアント１０に配信する。

図２は、本実施形態の処理フローチャートであり、ファイルをダウンロードする処理フローチャートである。

まず、クライアント１０の操作ユーザが、クライアント１０を操作してアプリケーションランチャー１２を起動する（Ｓ１０１）。クライアント１０の操作ユーザがクライアント１０にＩＤ及びパスワードを入力してログインしたことをトリガとしてアプリケーションランチャー１２を自動的に起動してもよく、あるいは操作ユーザがクライアント１０にログインした後に所定の操作（メニューからアプリケーションランチャー１２を選択する等）をすることで起動してもよい。

アプリケーションランチャー１２を起動すると、アプリケーションランチャー１２は、操作ユーザと異なる特定のユーザ権限、すなわちアプリ定義ユーザ権限で、アプリケーションデスクトップ１４を起動する（Ｓ１０２）。アプリ定義ユーザは、クライアント１０の操作ユーザとは無関係に定義されたユーザで、アプリケーションデスクトップ１４専用のユーザである。このアプリ定義ユーザは、例えばシステム管理者（アドミニストレータ）が予め定義しておくことができ、クライアント１０の操作ユーザがこれを知ることはできない。

アプリケーションデスクトップ１４は、アプリ定義ユーザ権限で、データ配信サーバ２０にアクセスし、データ配信サーバ２０から所望のファイルをダウンロードしてアプリ定義ユーザ領域に保存する（Ｓ１０３）。クライアント１０の操作ユーザは、アプリケーションデスクトップ１４上でデータ配信サーバ２０を選択し、データ配信サーバ２０に格納されている複数のファイルの中から所望のファイルを選択してダウンロードするが、アプリケーションデスクトップ１４は、あくまでアプリ定義ユーザ権限でデータ配信サーバ２０にアクセスしてファイルをダウンロードしており、従ってダウンロードしたファイルも、クライアント１０の操作ユーザとは別個のアプリ定義ユーザ領域に格納する。なお、このアプリ定義ユーザ領域には、後述するようにクライアント１０の操作ユーザ毎のフォルダが作成されており、クライアント１０の操作ユーザがアプリケーションデスクトップからファイルをダウンロードした場合、当該ファイルは、アプリ定義ユーザ領域内の、操作ユーザのフォルダに格納される。

図３は、図２の処理フローチャートを模式的に示す。図３における数字は、図２の各ステップＳ１０１〜Ｓ１０３に対応している。

クライアント１０のファイルシステムには、ＯＳ等のシステムが稼動するために割り当てられた、システム及び共有の領域が存在するとともに、ユーザ毎の領域が存在する。ユーザ毎の領域には、さらにユーザＡ領域、ユーザＢ領域、ユーザＣ領域、・・・（図では簡略化のため、ユーザＡ領域及びユーザＢ領域のみを示す）が存在するとともに、これとは別にアプリ定義ユーザ領域が存在する。

クライアント１０の操作ユーザがユーザＡであるとすると、ユーザＡがユーザＡ領域を用いてアプリケーションランチャー１２を起動すると、アプリケーションランチャー１２は、ユーザＡ領域とは異なるアプリ定義ユーザ領域を用い、アプリ定義ユーザ権限でアプリケーションデスクトップ１４を起動する。操作ユーザであるユーザＡからは、このアプリ定義ユーザ領域は見えず、ユーザＡは、アプリケーションデスクトップ１４がアプリ定義ユーザ権限で起動したことを意識することはない。

アプリケーションデスクトップ１４では、ユーザＡは、データ配信サーバ２０にアクセスし、データ配信サーバ２０に格納されたファイルにアクセスしてダウンロードすることができる。アプリケーションデスクトップ１４は、データ配信サーバ２０からダウンロードしたファイルを、アプリ定義ユーザ領域内に格納する。アプリ定義ユーザ領域には、アプリ定義ユーザ権限でユーザ毎のフォルダが形成されており、アプリケーションデスクトップ１４でユーザＡがファイルをダウンロードすると、アプリケーションデスクトップ１４は、当該ファイルをアプリ定義ユーザ領域内のユーザＡフォルダに格納する。

図３において、エリア５０は、ユーザＡの権限で動作するアプリケーションエリアであることを示し、アプリ定義ユーザ領域には直接アクセスできない。但し、アプリケーションランチャー１２は、図３の矢印で示すように、アプリ定義ユーザ領域にアクセス可能である。エリア６０は、アプリ定義ユーザの権限で動作するアプリケーションエリアであることを示し、アプリ定義ユーザ領域にアクセス可能である。

図４は、図２におけるＳ１０３の詳細フローチャートである。

アプリケーションデスクトップ１４は、クライアント１０の操作ユーザであるユーザＡの操作に基づき、アプリ定義ユーザ権限でデータ配信サーバ２０に接続する（Ｓ１０３１）。

次に、アプリケーションデスクトップ１４は、ログインダイアログ等をデスクトップ上に表示して、ユーザＡの認証を行う（Ｓ１０３２）。ユーザＡは、データ配信サーバ２０にアクセスするためのＩＤ及びパスワードを入力することで認証を行う。勿論、他の認証方法を用いてもよい。

ユーザＡの認証に成功すると、次に、アプリケーションデスクトップ１４は、データ配信サーバ２０に格納されている複数のファイルから所望のファイルを選択してダウンロードする（Ｓ１０３３）。ダウンロードしたファイルを、例えば「データ１．pdf」とする。アプリケーションデスクトップは、ダウンロードしたファイルを、アプリ定義ユーザ領域内にあるユーザＡフォルダに格納する（Ｓ１０３４）。

次に、アプリケーションデスクトップ１４は、データ管理部１６に記憶されているアクセス管理テーブルに、新たにダウンロードしたファイルを登録する（Ｓ１０３５）。さらに、データ配信サーバ２０からダウンロードしたファイル「データ１．pdf」の閲覧期限を取得し（Ｓ１０３６）、アクセス管理テーブルに取得した閲覧期限を登録する（Ｓ１０３７）。なお、Ｓ１０３６〜Ｓ１０３７は付加的な処理であって必須ではない。データ配信サーバ２０に格納されているファイルに閲覧期限が存在しない場合、Ｓ１０３６及びＳ１０３７の処理は不要である。

図５は、クライアント１０のファイルシステム１８の構成図である。クライアント１０には、予めユーザＡ、ユーザＢ、アプリ定義ユーザが登録されているものとする。図３でも説明したように、ユーザ毎の領域として、登録ユーザ毎の領域があり、ユーザＡ領域、ユーザＢ領域、アプリ定義ユーザ領域が存在する。アプリ定義ユーザ領域には、ユーザデータダウンロードフォルダが作成され、このフォルダ内にユーザＡフォルダ、ユーザＢフォルダが作成される。認証されたユーザＡがデータ配信サーバ２０から「データ１．pdf」ファイルをダウンロードすると、アプリケーションデスクトップ１４はアプリ定義ユーザ領域のユーザデータダウンロードフォルダ内のユーザＡフォルダに当該「データ１．pdf」ファイルを格納する。また、ユーザＡがさらにデータ配信サーバ２０から「データ２．doc」ファイルをダウンロードすると、同様に、アプリケーションデスクトップ１４はアプリ定義ユーザ領域のユーザデータダウンロードフォルダ内のユーザＡフォルダに当該「データ２．doc」ファイルを格納する。

他方、クライアント１０の操作ユーザであるユーザＢがアプリケーションランチャー１２を駆動してアプリケーションデスクトップ１４を起動し、データ配信サーバ２０にアクセスしてデータ配信サーバ２０から「データ３．xls」をダウンロードすると、アプリケーションデスクトップ１４はアプリ定義ユーザ領域のユーザデータダウンロードフォルダ内のユーザＢフォルダに当該「データ３．xls」ファイルを格納する。

ここで、ユーザＡがアプリケーションデスクトップ１４を経由せずに、「データ１．pdf」ファイルを開くべく閲覧アプリケーションを起動したとしても、ユーザＡ領域のアプリケーションはアプリ定義ユーザ領域にアクセスできないため、「データ１．pdf」ファイルを開くことができない。従って、ダウンロードしたファイルを二次配布することもできない。

図６は、データ管理部１６に記憶されるアクセス登録テーブルの一例である。アクセス管理テーブルのフィールドには、ＩＤ、ユーザ識別子、ファイルパス名、ダウンロード元、及び閲覧期限が存在する。アクセス管理テーブルには、１行に１つのファイルの情報が登録され、ファイルごとに操作ユーザのユーザ識別子を登録する。ファイル毎に操作ユーザのユーザ識別子を登録するのは、クライアント１０を複数の操作ユーザが共有する場合に、だれがダウンロードしたファイルであるかを特定するためである。ファイルパス名は、アプリ定義ユーザ領域内にあるため、操作ユーザから見ることはできない。ダウンロード元は、閲覧時の付加的な処理で閲覧期限等の属性情報を更新する際に、その情報の取得先として用いられる。閲覧期限は、そのファイルを開くことのできる期限であり、期限が設定されていない場合は無期限として処理する。勿論、期限が設定されていない場合にダウンロード直後の一回だけ許可することも可能であり、システムのセキュリティポリシーとして任意に設定可能である。

なお、データ配信サーバ２０については以下の通りである。

データ配信サーバ２０は、アプリケーションデスクトップ１４からのアクセスに限定してファイルのダウンロードを許可する。不特定のクライアントからのダウンロードを許可すると、ユーザ名とパスワードを知っていれば、操作ユーザ自身のユーザ領域にダウンロードできてしまうからである。勿論、特別なプロトコルを使用した専用のデータ配信サーバ２０を用いることも可能であるが、アプリケーションデスクトップ１４専用ユーザを用意して、そのユーザでアクセスしたときのみダウンロードを許可することで汎用のデータ配信サーバ２０を利用することができる。

図７は、ダウンロードしたファイルの閲覧処理フローチャートである。

まず、クライアント１０の操作ユーザは、アプリケーションランチャー１２を起動する（Ｓ２０１）。

アプリケーションランチャー１２は、操作ユーザとは異なるアプリ定義ユーザ権限でアプリケーションデスクトップ１４を起動する（Ｓ２０２）。

アプリケーションデスクトップ１４は、ダウンロードされてアプリ定義ユーザ領域に格納されているファイルの一覧を表示する。操作ユーザが、一覧表示されたファイルの中から所望のファイルを選択して特定の操作、例えばダブルクリック等を行うと、この操作ユーザの操作に基づき、アプリ定義ユーザ権限で操作ユーザにより選択された閲覧アプリケーションを起動し、この閲覧アプリケーションでファイルを開く（Ｓ２０３）。本実施形態において、閲覧アプリケーションは操作ユーザとは異なるアプリ定義ユーザ権限で起動され、この権限の範囲内で動作する点に留意されたい。

図８は、図７の処理フローチャートを模式的に示す。図８における数字は、図７の各ステップＳ２０１〜Ｓ２０３に対応している。

図３において説明したように、クライアント１０のファイルシステムには、ＯＳ等のシステムが稼動するために割り当てられた、システム及び共有の領域が存在するとともに、ユーザ毎の領域が存在する。ユーザ毎の領域には、さらにユーザＡ領域、ユーザＢ領域、ユーザＣ領域、・・・（図では簡略化のため、ユーザＡ領域及びユーザＢ領域のみを示す）が存在するとともに、これとは別にアプリ定義ユーザ領域が存在する。

クライアント１０の操作ユーザがユーザＡであるとすると、ユーザＡがユーザＡ領域を用いてアプリケーションランチャー１２を起動すると、アプリケーションランチャー１２は、ユーザＡ領域とは異なるアプリ定義ユーザ領域を用い、アプリ定義ユーザ権限でアプリケーションデスクトップ１４を起動する。操作ユーザであるユーザＡからは、このアプリ定義ユーザ領域は見えず、ユーザＡは、アプリケーションデスクトップ１４がアプリ定義ユーザ権限で起動したことを意識することはない。

アプリケーションデスクトップ１４では、アプリ定義ユーザ領域内のユーザ毎のフォルダのうち、操作ユーザに対応するフォルダに格納されているファイルを一覧表示する。操作ユーザが、一覧表示されたファイルのうち閲覧を希望するファイルを選択すると、アプリケーションデスクトップ１４は、当該ファイルを開くための閲覧アプリケーションをアプリ定義ユーザ権限で起動する。操作ユーザは、この閲覧アプリケーションによりファイルの内容を確認できる。

図９は、図７におけるＳ２０３の詳細フローチャートであり、「データ１．pdf」ファイルを開く場合の処理である。

アプリケーションデスクトップ１４は、アクセス管理テーブルから「データ１．pdf」ファイルのレコードを取得する（Ｓ２０３１）。ファイルのレコードには、図６で説明したように、ユーザ識別子、ファイルパス名、ダウンロード元、及び閲覧期限が含まれている。

次に、アプリケーションデスクトップ１４は、データ配信サーバ２０と接続可能か否かを判定し（Ｓ２０３２）、接続できる場合にデータ配信サーバ２０に接続して「データ１．pdf」ファイルの閲覧期限を取得する（Ｓ２０３３）。なお、アプリケーションデスクトップ１４は、アクセス管理テーブルから取得したレコードに含まれるダウンロード元の情報に基づいてデータ配信サーバ２０を特定できる。

データ配信サーバ２０から閲覧期限を取得すると、アプリケーションデスクトップ１４は、アクセス管理テーブルの「データ１．pdf」ファイルの閲覧期限を更新する（Ｓ２０３４）。データ配信サーバ２０に接続しない場合、あるいは接続不可である場合、閲覧期限は更新しない。

次に、アプリケーションデスクトップ１４は、適宜更新した閲覧期限と現在の日時とを比較して、閲覧期限内か否かを判定する（Ｓ２０３５）。閲覧期限内であれば、アプリケーションデスクトップは「データ１．pdf」のファイル形式に応じた閲覧アプリケーションをアプリ定義ユーザ権限で起動して「データ１．pdf」ファイルを開く（Ｓ２０３６）。閲覧期限内でなければ、閲覧アプリケーションを起動することなく期限切れを表示する（Ｓ２０３７）。閲覧期限が存在しない場合には、システムのセキュリティポリシーに従ってファイルの閲覧を許可もしくは制限する。

閲覧アプリケーションで「データ１．pdf」ファイルを開いた場合において、ユーザＡがその閲覧アプリケーションのメニューから「保存」あるいは「名前を付けて保存」等を選択した場合でも、閲覧アプリケーションはアプリ定義ユーザ権限で起動しているため、その保存先はあくまでアプリ定義ユーザ領域内のフォルダであり、これ以外の領域に保存することはできない。従って、ユーザＡは「データ１．pdf」ファイルを自由に開いて閲覧することはできても、その二次配布は制限される。

このように、本実施形態では、操作ユーザと異なるアプリ定義ユーザ権限でアプリケーションデスクトップ１４を起動し、データ配信サーバ２０からダウンロードしたファイルを操作ユーザがアクセス不可のアプリ定義ユーザ領域に格納し、アプリ定義ユーザ権限においてダウンロードしたファイルの閲覧を許可するように構成したので、特定のアプリケーションに依存することなく、ダウンロードしたファイルの二次配布を制限できる。また、データ配信サーバ２０からファイルをダウンロードした後は、当該データ配信サーバ２０にアクセスすることなくその二次配布を制限することができる（図９において、Ｓ２０３２でデータ配信サーバ２０に接続するのは閲覧期限を更新するためであり、データ配信サーバ２０に接続しなくてもファイルの閲覧を制限できる）。

本実施形態では、クライアント１０の操作ユーザとは異なるアプリ定義ユーザの領域に保護すべきファイル若しくは電子データを格納するため、アプリ定義ユーザのユーザ名やパスワードは、操作ユーザが不知である必要がある。システムの管理者（アドミニストレータ）は全てのユーザ領域を閲覧することができるため、クライアント１０の操作ユーザに管理者権限を付与しないことも当然である。また、図３あるいは図８に示すように、クライアント１０の操作ユーザの領域であるユーザＡ領域あるいはユーザＢ領域と、アプリ定義ユーザ領域は別個に設ける必要があり、アプリ定義ユーザ領域を共有領域に設けないことも当然である。

以上、本発明の実施形態について説明したが、本発明はこれに限定されるものではなく、種々の変更が可能である。

例えば、本実施形態では、クライアント１０の操作ユーザの操作に基づいてアプリケーションランチャー１２を起動し、このアプリケーションランチャー１２からアプリケーションデスクトップ１４を起動するように構成しているが、アプリケーションランチャー１２を経由することなく、アプリ定義ユーザ権限でアプリケーションデスクトップ１４を起動してもよい。なお、「アプリケーションランチャー」は、アプリ定義ユーザ権限で動作するアプリケーションデスクトップを起動するモジュールないしアプリケーションとして定義され得、この定義に該当する任意のモジュールないしアプリケーションは「アプリケーションランチャー」に含まれる。

また、本実施形態では、アプリ定義ユーザ権限でアプリケーションデスクトップ１４を起動し、このアプリケーションデスクトップ１４からファイルをダウンロードしているが、必ずしも「デスクトップ」、すなわちグラフィカルユーザインタフェースを持つＯＳのデスクトップ環境である必要はなく、操作ユーザとは別のユーザ権限で動作し、データ配信サーバ２０にアクセスしてファイルをダウンロードして当該別のユーザ権限の管理下にある領域にダウンロードしたファイルを格納する機能を有するモジュールないしアプリケーションであれば任意のものを採用し得、「アプリケーションデスクトップ」には係るモジュールないしアプリケーションが含まれるものとする。

また、本実施形態では、ファイルをダウンロードする際にアプリケーションデスクトップ１４を起動するとともに、当該ファイルを閲覧する際にもアプリケーションデスクトップ１４を起動しているが、同一アプリ定義ユーザ権限で起動され、同一アプリ定義ユーザ領域に対してファイルを格納、読み出しする限り、必ずしも同一デスクトップである必要はない。

また、本実施形態では、処理プログラムによりクライアント１０をセキュリティ管理装置として機能させているが、クライアント１０を構成するコンピュータには、パーソナルコンピュータ（ＰＣ）以外にもタブレット端末やスマートフォン等の各種情報端末が含まれる。

さらに、本実施形態では、操作ユーザの操作に応じてアプリケーションランチャー１２が起動し、このアプリケーションランチャー１２によりアプリケーションデスクトップ１４を起動してアプリ定義ユーザ権限でデータ配信サーバ２０から電子データをダウンロードしてアプリ定義ユーザ領域に当該電子データを格納しているが、「ユーザ操作」には慣用的なキーボード操作やマウス操作、タッチパネル操作に限定されることはなく、例えば音声操作やジェスチャ操作、視線移動操作も含まれる。音声操作を例にとると、操作ユーザがクライアント１０に対して、「データ１をダウンロード」と音声で指示すると、クライアント１０のＣＰＵはアプリケーションランチャー１２を起動し、このアプリケーションランチャー１２によりアプリケーションデスクトップ１４を起動してアプリ定義ユーザ権限でデータ配信サーバ２０から「データ１」ファイルをダウンロードしてアプリ定義ユーザ領域に格納する。また、操作ユーザがクライアント１０に対して、「データ１を表示」と音声で指示すると、クライアント１０のＣＰＵはアプリケーションランチャー１２を起動し、このアプリケーションランチャー１２によりアプリケーションデスクトップ１４を起動してアプリ定義ユーザ領域に格納されている「データ１」ファイルを読み出して表示装置に表示する。アプリケーションデスクトップ１４はアプリ定義ユーザ領域に対して書き込み／読み出しが可能であるから、例えば操作ユーザが「データ１をユーザＡ領域に保存」と音声で指示してもこれを実行することができず、「実行不能」のメッセージ等を表示装置に表示してもよい。

１０ クライアント、１２ アプリケーションランチャー、１４ アプリケーションデスクトップ、１６ データ管理部、１８ ファイルシステム、２０ データ配信サーバ。

Claims (3)

1. 操作ユーザの操作に応じ、前記操作ユーザと異なる特定ユーザの権限で電子データをファイルシステム上の前記操作ユーザの領域と異なる特定ユーザの領域に格納する手段と、
   操作ユーザの操作に応じ、前記特定ユーザの権限で前記特定ユーザの領域にアクセスして前記特定ユーザの領域に格納されている前記電子データを表示し、かつ前記電子データの前記特定ユーザの領域以外への格納を禁止する手段と、
   を備えるセキュリティ管理装置。
2. 前記格納する手段は、
   操作ユーザの操作に応じて起動されるアプリケーションランチャーと、
   前記アプリケーションランチャーにより前記特定ユーザの権限で起動され、前記特定ユーザの権限で前記電子データを前記特定ユーザの領域に格納するアプリケーションデスクトップと、
   を備える請求項１記載のセキュリティ管理装置。
3. コンピュータを、
   操作ユーザの操作に応じ、前記操作ユーザと異なる特定ユーザの権限で電子データをファイルシステム上の前記操作ユーザの領域と異なる特定ユーザの領域に格納する手段と、
   操作ユーザの操作に応じ、前記特定ユーザの権限で前記特定ユーザの領域にアクセスして前記特定ユーザの領域に格納されている前記電子データを表示し、かつ前記電子データの前記特定ユーザの領域以外への格納を禁止する手段
   として機能させるプログラム。
   

Images