JP6705695B2 - ファイル管理システム及び方法 - Google Patents

Description

本発明は、管理者が付与したラベルを用いた強制アクセス制御の環境下でユーザの利便性を向上させる技術に関する。

企業や官公庁・自治体では、パソコンなどを使ったIT環境が普及し、電子的な文書を扱う業務が一般的になっている。これらの電子的な文書には、経営計画資料、研究開発資料、住民情報が記載された資料や申請書など機密性の確保が必要なものが含まれている。機密性を確保するためには、電子的な文書の開示範囲及び取扱制限のポリシーを決めて、そのポリシーを実施することが重要である。

例えば、特許文献１には、文書への操作に応じて能動的な制御を行うことができ、文書へのアクセス制御を変更し得るファイルアクセス制御に関する技術が記載されている。

特許第４３４２５８４号公報

ところで、ファイルを多数のユーザが共有するファイルマネジメントシステムにおいて、管理者がすべてのファイルにラベルを付与し、この付与されたラベルに従って各ファイルへのアクセスが制御される強制アクセス制御という制御方式がある。この環境においては、ファイルが更新されると、管理者がこのファイルに改めてラベルを付け直すまで、システムのユーザはこのファイルにアクセスできない。

しかしながら、緊急事態などでは、他のユーザが更新されたファイルに早急にアクセスできるようにしたい場合がある。このようなときでも、セキュリティレベルを一定以上に保つことが重要である。

そこで、本発明の目的は、強制アクセス制御の環境下でユーザの利便性を向上させることである。

本発明の一つの実施態様に従うファイル管理システムは、管理者によって付与されたラベルに従ってファイルへのアクセスが制限される強制アクセス制御環境を有する。このファイル管理システムは、ユーザの指示に基づくファイル更新要求を受け付ける受付手段と、前記更新要求に係るユーザに付与されたユーザ権限、前記更新要求に係るファイルに管理者から付与されたラベル及び更新の緊急度に基づいて、前記更新要求に係るファイルの自動更新を許可するか否かを判定する判定手段と、前記判定手段による判定の結果、自動更新が許可されたときは、前記更新要求に係るファイルに仮ラベルを付与する仮ラベル付与手段と、を備える。

好適な実施態様では、前記更新要求に係るファイルに対して仮ラベルを付与したことを前記管理者へ通知するための情報を出力する通知手段をさらに備えてもよい。

好適な実施態様では、前記通知手段は、前記判定手段による判定の結果、自動更新が許可されないときは、ファイル更新要求を受け付けたことを前記管理者へ通知するための情報を出力してもよい。

好適な実施態様では、前記ユーザに付与されたユーザ権限は職責に応じたランクを有し、前記管理者から付与されたラベルは前記ファイルの重要度または機密度に応じたランクを有し、前記仮ラベル付与手段は、前記ユーザ権限が所定以上のランクであり、かつ、前記ファイルの重要度または機密度が所定以下であるときに仮ラベルの付与を許可してもよい。

好適な実施態様では、前記判定手段は、予め定められたポリシーに従って、前記更新要求に係るファイルの自動更新を許可するか否かを判定してもよい。

好適な実施態様では、前記管理者から前記更新要求に係るファイルのラベル情報を受け付けて、前記更新要求に係るファイルに正ラベルを付与する正ラベル付与手段をさらに備えてもよい。

第１の実施形態に係る情報共有システムの全体構成図である。 ハードウェア構成例である。 ラベル管理データベース、仮ラベル可否ポリシー、仮ラベル設定ポリシーを示す。 ユーザ権限管理データベース、アクセス制御ポリシーを示す。 ファイル更新の全体フロー図である。 ラベル取得処理の一つの実施態様を示すフロー図である。 ラベル更新処理の一つの実施態様を示すフロー図である。 仮ラベル付与処理の手順を示すフローチャートである。 第２の実施形態に係るファイル共有システム９００の構成図である。 アクセス制御エンフォーサにおけるメソッドの一例を示す。

以下、本発明の第１の実施形態に係るファイル管理システムを含む情報共有システムについて、図面を参照して説明する。本実施形態に係るファイル管理システムは、管理者がファイルの内容に応じたラベルを付与し、ラベルに従って各ファイルへのアクセスを制御する強制アクセス制御を行う。さらに、本実施形態に係るファイル管理システムは、強制アクセス制御の環境下において、緊急時などを想定して自動的に仮ラベルを付与する機能を有する。

図１は、本実施形態に係る情報共有システム１の全体構成図である。

情報共有システム１は、少なくとも２つ以上のファイル閲覧用のユーザ端末１００（１００−１、１００−Ｎ）と、情報共有サーバ１１０と、ＣＤＣ（Ｃｒｏｓｓ Ｄｏｍａｉｎ Ｃｏｍｐｏｎｅｎｔ）管理装置１６０とを有し、それらが通信ネットワーク１９０を介して接続されている。

通信ネットワーク１９０は、例えば、公衆網、インターネット、ＩＳＤＮ、専用線、ＬＡＮなどの有線網や移動通信用基地局や通信用人工衛星を利用した無線網などの通信ネットワークで実現できる。

本実施形態では、ＣＤＣ管理装置１６０及び情報共有サーバ１１０がファイルデータベース１１８に保存されているファイルへのアクセス制御を行うファイル管理システムとして機能する。

図２は、ＣＤＣ管理装置１６０、ユーザ端末１００、及び情報共有サーバ１１０のハードウェア構成例である。

これらの装置は、中央演算装置（ＣＰＵ）２０２、キーボードやマウスなどの入力装置２１０、ハードディスクなどの外部記憶装置２０６や、揮発性の半導体メモリ（ＲＡＭ）２０４などの記憶装置、ＣＲＴディスプレイ、液晶ディスプレイ、プリンタなどの出力装置２１２、光磁気メディアなどの記憶媒体２１６を読み書きするための外部メディアインタフェース２１４、通信用の通信インタフェース２０８、がバスなどの内部通信線２５０で接続された構成を持つ汎用的なコンピュータ機器を用いて実現できる。もちろん、コンピュータ機器に限るわけではなく、ユーザに対する入力装置と出力装置、そして通信装置を備えた計算機であれば使用可能である。

各装置は、予め装置に設定された通信先相手となる他の装置アドレスを用いて、通信先と接続し、通信を行うことができる。また、各装置は、ブロードキャスト通信やマルチキャスト通信などを使って、複数の装置と同報的な通信を行ってもよい。さらに、パブリッシュ/サブスクライブ型の通信のように、位置透過型の通信を行ってもよい。

後述する各装置の各機能や各処理部は、それぞれの中央演算処理装置２０２が外部記憶装置２０６に格納されたプログラムを実行することにより、具現化される。また、各プログラムは、予め各外部記憶装置２０６に格納されていても良いし、必要に応じて、当該装置が利用可能な、着脱可能な記憶媒体２１６や通信媒体である通信ネットワーク１９０上を伝搬する搬送波やデジタル信号を介して、他の装置から導入されても良い。

図１に戻ると、ユーザ端末１００は、ＰＣ側共有部１０１を有する。ＰＣ側共有部１０１は、ユーザからの操作に応じて、情報共有サーバ１１０及びＣＤＣ管理装置１６０へリクエストを送信し、そのリクエストに対する応答を受信して、ユーザが閲覧可能な形で出力する。

情報共有サーバ１１０は、アクセス制御エンフォーサ部１１４と、ファイルデータベース１１８とを有する。

アクセス制御エンフォーサ部１１４は、ファイルデータベース１１８に保存されているファイルへのアクセスを制御する。例えば、アクセス制御エンフォーサ部１１４は、ユーザからの要求に応じてファイルデータベース１１８からファイルを読み出ししたり、ファイルデータベース１１８へファイルを書き込んだりする。

ファイルデータベース１１８は、ファイルを保存する。

ＣＤＣ管理装置１６０は、認証部１６４と、ラベル管理部１６６と、ユーザ権限管理部１６７と、アクセス制御ポリシー管理部１６８と、ラベル管理データベース６０２と、仮ラベル可否ポリシー６０３と、仮ラベル設定ポリシー６０４と、更新依頼データベース６０５と、ユーザ権限管理データベース６０７と、アクセス制御ポリシー６０９とを有する。

認証部１６４は、ユーザ端末１００からファイルへアクセスしようとするユーザの認証を行う。

ラベル管理部１６６は、ラベルの更新要求に係るユーザに付与されたユーザ権限、更新要求に係るファイルに管理者から付与されたラベル及び更新の緊急度に基づいて、更新要求に係るファイルの自動更新を許可するか否かを判定してもよい。ラベル管理部１６６は、自動更新が許可されたときは、ラベルの更新要求に係るファイルに仮ラベルを付与してもよい。

ラベル管理部１６６は、ファイルに付与されるラベルの管理を行う。ラベル管理部１６６は、例えば、管理者の指示に従って、ファイルにラベル（正ラベル）を付与する。また、ラベル管理部１６６は、管理者の指示によらず、ファイルに仮ラベルを自動付与する。ここで、仮ラベルとは、ファイルに対して管理者が正規の手続きでラベルを付与するまでの間に、一時的に使用されるラベルのことである。管理者が付与するラベルは、正ラベルである。

ラベル管理部１６６は、管理者による正ラベル付与を実現するインタフェースを提供する。例えば、ラベル管理部１６６は、管理者から更新要求に係るファイルのラベル情報を受け付けて、更新要求に係るファイルに正ラベルを付与してもよい。

ラベル管理部１６６は、アクセス制御エンフォーサ部１１４からの問い合わせに対して、ラベル情報を返す。

ラベル管理部１６６は、予め定められたポリシーに従って、更新要求に係るファイルの自動更新を許可するか否かを判定してもよい。ラベル管理部１６６は、ユーザ権限が所定以上のランクであり、かつ、ファイルの重要度または機密度が所定以下であるときに仮ラベルの付与を許可するようにしてもよい。ラベル管理部１６６は、例えば、自動更新要求をしたユーザに自動更新権限が与えられているときに、仮ラベルを付与するようにしてもよい。

ラベル管理部１６６は、自動更新が許可されないときは、ファイル更新要求を受け付けたことを管理者へ通知するための情報を出力してもよい。ラベル管理部１６６は、ラベルの更新要求に係るファイルに対して仮ラベルを付与したことを管理者へ通知するための情報を出力してもよい。

ラベル管理部１６６は、自動更新権限が与えられていないユーザからの要求は管理者へ通知され、自動更新を許可しないようにしてもよい。ラベル管理部１６６は、ラベル自動更新条件６０２４で自動更新が許可されていない基底ファイルに対しては、仮ラベルを付与しなくてよい。

ラベル管理部１６６は、更新の緊急度が高いときは、仮ラベルを付与した場合もそうでない場合も、管理者に緊急通報するようにしてもよい。また、ラベル管理部１６６は、更新の緊急度が高いときは、配布限定フラグを「ＯＮ」にして、限定的に共有を許可するようにしてもよい。

ラベル管理部１６６によって付与された仮ラベルは、有効期間が予め定められていてもよいし、管理者が正ラベルを付与したときに無効となるようにしてもよい。有効期間が予め定められている場合、その有効期間が過ぎた仮ラベルは自動的に無効となり、それ以降そのファイルへのあらゆるアクセスが禁止されるようにしてもよい。有効期間は、例えば、１時間、３時間、１日、１週間などでよい。

ラベル管理部１６６は、ユーザに自動更新権限があり、かつ、基底ファイルも事項更新可能であるときは、ユーザのクリアランス及びファイルのラベルにより定まる仮ラベル可否ポリシー６０３及び更新緊急度に基づいて仮ラベルを付与するか否かを判定してもよい。付与される仮ラベルは、仮ラベル設定ポリシー６０４に従って定まってもよい。

ユーザ権限管理部１６７は、ユーザへ権限の付与、変更などのユーザ権限の管理を行う。例えば、ユーザ権限管理部１６７は、ユーザＩＤを含むユーザ権限の照会を受けると、ユーザ権限管理データベース６０７を参照してユーザ権限の有無を回答するようにしてもよい。

アクセス制御ポリシー管理部１６８は、アクセス制御ポリシー６０９を管理する。

更新依頼データベース６０５は、管理者に対するラベル付与の依頼が保存されるデータベースである。例えば、更新依頼データベース６０５にはユーザにより編集された編集後ファイルが保存される。編集後ファイルが更新依頼データベース６０５に保存されると、これが保存された編集後ファイルに対する管理者へのラベル付与の更新依頼となる。管理者への更新依頼は、仮ラベルが付与された場合と付与されない場合のいずれのケースも含まれる。

図３Ａは、ラベル管理データベース６０２の一例を示す。

ラベル管理データベース６０２は、ラベル情報を保持する。ラベル管理データベース６０２は、データ項目として、ハッシュ値６０２１と、コンテンツハッシュ６０２２と、ラベル６０２３と、ラベル自動更新条件６０２４と、配布限定フラグ６０２５とを有する。

ハッシュ値６０２１は、ファイルから算出されるハッシュ値で、本実施形態では各ファイルの識別子として用いられる。

コンテンツハッシュ６０２２は、ファイルの類似度を計るための特徴量であり、ファジーハッシュとも呼ばれる。

ラベル６０２３は、ファイルに付与されているラベルである。ラベルは、例えば、「レベル」と「区分」を有してもよい。「レベル」は、例えば、ファイルの重要度あるいは機密度（機密性の高さ）に対応するもので、高い順に「Ｈ（Ｈｉｇｈ）」「Ｍ（Ｍｉｄｄｌｅ）」「Ｌ（Ｌｏｗ）」でよい。「区分」はファイルの種類に対応するもので、例えば業務範囲に応じて定められるものでよく、ここでは「１」「２」「３」でよい。

ラベル自動更新条件６０２４は、ラベルを自動更新して仮ラベルを付与するための条件を示す。ラベル自動更新条件６０２４に合致する場合にラベルの自動更新を可能としてもよい。

配布限定フラグ６０２５は、ファイルを取得したユーザが再配布（コピー）できるか否かを示すフラグである。配布限定フラグ６０２５が「ＯＮ」であれば再配布が禁止されていて、「ＯＦＦ」であれば再配布可能である。

図３Ｂは、仮ラベル可否ポリシー６０３の一例を示す。

仮ラベル可否ポリシー６０３は、仮ラベル付与の可否レベルを定めるポリシーである。仮ラベル可否ポリシー６０３は、データ項目として、条件６０３１と、可否レベル６０３２とを有する。

条件６０３１は、例えば、ユーザのクリアランスと基底ファイルのラベルとで定まるようにしてもよい。

可否レベル６０３２は、条件６０３１を満たすときに定まる仮ラベルの付与の可否レベルである。ここでは、可否レベルは３段階（０＝不可、１＝限定可、２＝可）としてよい。

図３Ｃは、仮ラベル設定ポリシー６０４の一例を示す。

仮ラベル設定ポリシー６０４は、仮ラベルを決定するポリシーを示す。仮ラベル設定ポリシー６０４は、データ項目として条件６０４１と、仮ラベル６０４２とを有する。条件６０４１は、例えば、基底ファイルのラベルで定まる。仮ラベル６０４２は、条件６０４１を満たすときに定まる仮ラベルである。

図４Ａは、ユーザ権限管理データベース６０７の一例を示す。

ユーザ権限管理データベース６０７は、各ユーザに与えられる権限を記憶する。ユーザ権限管理データベース６０７は、同図に示すように、データ項目としてユーザＩＤ６０７１と、ユーザクリアランス６０７２と、自動更新権限６０７３とを有する。

ユーザクリアランス６０７２は、例えば、「レベル」と「区分」を有してもよい。「レベル」は、例えば、ユーザの職責に対応して定められるものでよく、上位の職責から順に「Ｈ（Ｈｉｇｈ）」「Ｍ（Ｍｉｄｄｌｅ）」「Ｌ（Ｌｏｗ）」でよい。「区分」は、例えば、ユーザの所属部署に対応して定められるものでよく、ここでは「１」「２」「３」でよい。一人のユーザに複数の区分を割り当てることもできる。

本実施形態では、ラベル６０２３の「レベル」及び「区分」と、ユーザクリアランス６０７２の「レベル」及び「区分」とは対応していてもよい。そして、ラベル６０２３の「区分」と、ユーザクリアランス６０７２の「区分」とが一致する場合、そのユーザがそのファイルにアクセス可能としてもよい。さらに、ユーザクリアランス６０７２の「レベル」がラベル６０２３の「レベル」と同じか上位であるときに、そのユーザがそのファイルにアクセス可能としてもよい。

図４Ｂは、アクセス制御ポリシー６０９の一例を示す。アクセス制御ポリシー６０９は、データ項目として、ルール６０９１と、アクション６０９２と、判定６０９３とを有する。アクションに含まれ得リクエストメソッドは後述する（図１０参照）。アクセス制御ポリシー６０９は、ルール６０９１に定める条件のとき、判定６０９３が「ｏｋ」であれば、アクション６０９２に定めるメソッドの実行が許可されることを示す。本実施形態では、アクセス制御エンフォーサ部１１４がアクセス要求を受けたときに、アクセス制御ポリシーに従ってアクセスを許可するか否かを決定する。つまり、アクション１１０７に応じたＡＢＡＣ（Ａｔｔｒｉｂｕｔｅ ｂａｓｅｄ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）が実現される。

図５は、本実施形態において、ユーザがユーザ端末１００を操作してファイル更新を行う場合の全体フロー図である。全体フローは、ファイル取得、ラベル確認、ラベル更新、ファイル送信に分かれる。

＜ファイル取得＞
ユーザによるユーザ端末１００の操作に従って、ＰＣ側共有部１０１からアクセス制御エンフォーサ部１１４に対し、ファイル取得要求を送信する（Ｓ３０２）。ファイル取得要求は、例えば、ユーザＩＤ及びアクセスを希望するファイルの識別情報を含んでもよい。

アクセス制御エンフォーサ部１１４は、ユーザＩＤ及びアクセスを希望するファイルの識別情報に基づいて、アクセス権限をチェックする（Ｓ３０３）。例えば、アクセス制御エンフォーサ部１１４は、ユーザＩＤ及びアクセスを希望するファイルの識別情報をラベル管理部１６６及びユーザ権限管理部１６７へ送信して、アクセス権限の有無を照会してもよい。

アクセス権限があるときは、アクセス制御エンフォーサ部１１４が要求されたファイル本体を要求元へ送信する（Ｓ３０４）。

ユーザは、これにより所望のファイルを取得できる。

＜ラベル確認＞
ユーザによるユーザ端末１００の操作に従って、ＰＣ側共有部１０１がラベル管理部１６６に対してラベル取得を希望するファイルのハッシュ値を含むラベル確認要求を送信する（Ｓ３０５）。ハッシュ値は、所定のアプリケーションによってファイルから算出される。

ラベル管理部１６６は、ラベル確認要求に含まれるハッシュ値に基づいてラベル管理データベース６０２を検索し、ラベル６０２３を取得する（Ｓ３０６）。

ラベル管理部１６６は、取得したラベルを要求元へ送信する（Ｓ３０７）。

ユーザは、ユーザ端末１００において、アクセス制御エンフォーサ部１１４から取得したファイルを、所定のエディタ等で編集することができる。次に、この編集後のファイルに対するラベル更新及びファイル共有の手順を説明する。

＜ラベル更新＞
ユーザによるユーザ端末１００の操作に従って、ＰＣ側共有部１０１がラベル管理部１６６に対して編集後のファイルに対するラベル更新要求を送信する（Ｓ３０８）。ラベル更新要求には、編集後のファイル及び更新の緊急度が含まれている。

ラベル管理部１６６は、ラベル更新処理を行う（Ｓ３０９）。ラベル管理部１６６は、仮ラベルの付与が可能であるときは、仮ラベルを付与する自動更新処理を行ってもよい。ラベル自動更新処理の詳細は後述する。

ラベル管理部１６６は、ラベルの更新完了後、要求元へラベル更新の完了通知を送信する（Ｓ３１０）。

＜ファイル共有＞
ユーザによるユーザ端末１００の操作に従って、ＰＣ側共有部１０１がアクセス制御エンフォーサ部１１４に対してファイル共有の要求を送信する（Ｓ３１１）。このファイル共有の要求には、ユーザＩＤ及びユーザが共有を希望する編集後のファイルが添付される。

アクセス制御エンフォーサ部１１４は、ユーザＩＤ及び編集後のファイルに基づいて、更新権限をチェックする（Ｓ３１２）。例えば、アクセス制御エンフォーサ部１１４がラベル管理部１６６及びユーザ権限管理部１６７へファイルのラベル及びユーザのクリアランスを照会して、更新権限の有無をチェックしてもよい。

更新権限があれば、アクセス制御エンフォーサ部１１４が更新要求に係るファイルを更新し、送信元へ更新完了通知を送信する（Ｓ３１３）。

図６は、上述したラベル取得処理の一つの実施態様を示すフロー図である。ここでは、ユーザインタフェースとして、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ（登録商標）のエクスプローラの機能拡張を用いて実装した場合の例を示す。

ユーザがユーザ端末１００に対して、以下の操作を行う。すなわち、エクスプローラで一つのファイルが選択された状態でマウスが右クリックされると表示されるメニューにおいて、ユーザがラベル表示メニュー（拡張メニュー）を選択する（Ｓ４０１）。

この操作がされると、エクスプローラにより選択されているファイルのハッシュ値が演算されるようにしてもよい（Ｓ４０２）。ユーザ端末１００は、このハッシュ値を含むラベル確認要求をラベル管理部１６６へ送信する（Ｓ４０３、Ｓ３０５）。

ラベル管理部１６６は、ラベル確認要求に含まれるハッシュ値に基づいてラベル管理データベース６０２を検索する。ラベル確認要求に含まれるハッシュ値に対応するラベルがあればそれを取得し、ユーザ端末１００へ返信する（Ｓ４０９）。ラベル確認要求に含まれるハッシュ値に対応するラベルがなければユーザ端末１００へ「無効」を返信する（Ｓ４１０）。

ユーザ端末１００では、ラベル管理部１６６からの返信を受信して、エクスプローラの拡張機能を利用して受信した内容をダイアログで表示装置等に表示してユーザに提示してもよい（Ｓ４０４）。

なお、ユーザ端末１００が一旦取得したラベル情報は、再度の問い合わせを不要にするためにエクスプローラ拡張内にキャッシュされるようにしてもよい。

図７は、図５のラベル更新処理の一つの実施態様を示すフロー図である。ここでも、エクスプローラ機能拡張を用いた態様の例を示す。

ユーザがユーザ端末１００に対して、以下の操作を行う。すなわち、エクスプローラで一つのファイルが選択された状態でマウスが右クリックされると表示されるメニューにおいて、ユーザがラベル更新メニュー（拡張メニュー）を選択する（Ｓ５０１）。

この操作がされると、エクスプローラにより選択されている編集後のファイル及び更新の緊急度を含むラベル更新要求がラベル管理部１６６へ送信されるようにしてもよい（Ｓ５０２、Ｓ３０８）。

ラベル管理部１６６は、仮ラベル付与の可否を判定する。仮ラベルの付与が可能であれば、仮ラベルが付与される。仮ラベルの付与が不可能であるときは、管理者が正ラベルを付与する。ラベル更新の完了後、その旨がユーザ端末１００へ通知される（Ｓ５０３）。

図８は、ＣＤＣ管理装置１６０が行う仮ラベル付与処理の手順を示すフローチャートである。

まず、ラベル管理部１６６がユーザの指示に基づくラベル更新要求を受け付ける（Ｓ８０１）。ラベル更新要求には、例えば、ユーザＩＤ、編集後ファイル、及び更新緊急度を含んでもよい。

次に、ラベル管理部１６６は、ユーザ権限管理部１６７を介して、ラベル更新要求に含まれるユーザＩＤに基づいて、ユーザのクリアランス６０７２と自動更新権限６０７３とをユーザ権限管理データベース６０７から取得する（Ｓ８０２）。

ユーザに自動更新権限がなければ（Ｓ８０３：Ｎｏ）、ラベル管理部１６６が、編集後ファイルを更新依頼ＤＢ６０５へ保存して終了する（Ｓ８１２）。

一方、ユーザに自動更新権限があれば（Ｓ８０３：Ｙｅｓ）、ラベル管理部１６６が、所得した編集後ファイルのコンテンツハッシュを演算する（Ｓ８０４）。そして、ラベル管理部１６６がラベル管理データベース６０２を参照して、類似するコンテンツハッシュ６０２２を有する基底ファイルを特定する（Ｓ８０５）。ここでは、ファイルの内容（コンテンツ）が類似する二つのファイルのコンテンツハッシュが類似する値になるので、その性質を利用して、更新前の基底ファイルを特定する。

ラベル管理部１６６は、ラベル管理データベース６０２から、ステップＳ８０５で特定された基底ファイルのラベル６０２３及びラベル自動更新条件６０２４を取得する（Ｓ８０６）。

ラベル管理部１６６は、更新要求がラベル自動更新条件６０２４を満たすか否かを判定する（Ｓ８０７）。

ラベル自動更新条件６０２４が満たされないときは（Ｓ８０７：Ｎｏ）、ラベル管理部１６６が編集後ファイルを更新依頼ＤＢ６０５へ保存する（Ｓ８１３）。さらに、ラベル管理部１６６は、更新要求の更新緊急度が「緊急度高」である場合、管理者に対して電子メール等で緊急通報して、処理を終了する（Ｓ８１４）。

一方、上記のラベル自動更新条件６０２４が満たされたときは（Ｓ８０７：Ｙｅｓ）、ラベル管理部１６６は、仮ラベル可否ポリシー６０３を参照して可否レベル７１２を特定し、仮ラベル設定ポリシー６０４を参照して仮ラベル７１４を特定する（Ｓ８０８）。

ラベル管理部１６６は、可否レベル＝「２」または(可否レベル＝「１」かつ更新緊急度＝「緊急度高」)という条件を満たすか判断する（Ｓ８０９）。

この条件が満たされないときは（Ｓ８０９：Ｎｏ）、ラベル管理部１６６はステップＳ８１３以降の処理を行う。

一方、この条件が満たされるときは（Ｓ８０９：Ｙｅｓ）、ラベル管理部１６６が仮ラベルを付与する（Ｓ８１０）。つまり、ラベル管理部１６６がラベル管理データベース６０２を更新する。付与される仮ラベルは、ステップＳ８０８で特定された仮ラベルでよい。ここで、ラベル管理部１６６は、可否レベルが「１」の場合は、配布限定フラグ６０２５を「ＯＮ」としてもよい。

仮ラベルが付与された後、ラベル管理部１６６はステップＳ８１３以降の処理を行う。

これにより、強制アクセス制御環境において、所定の条件を満たす場合には、所定のポリシーに従って、編集後ファイルに自動的に仮ラベルを付与して、ファイルを自動更新することができる。このとき、ポリシーを適切に管理することで、ラベルの自動更新を採用しても一定以上のセキュリティレベルを確保することができる。

図９は、本発明の第２の実施形態に係るファイル共有システム９００の構成図である。本実施形態に係るファイル共有システム９００は、既存のファイルマネジメントシステム９０３を拡張して実現可能である。以下の説明では、第１の実施形態と共通の機能または構成については共通の符号を付して説明を省略する場合がある。

アクセス制御エンフォーサ部１１４は、ファイルマネジメントシステム９０３の上位システムとして機能する。すなわち、アクセス制御エンフォーサ部１１４は、ファイルマネジメントシステム９０３が行うデータベースサーバ９０４−９０６へのファイルの書き込み、読み出しを制御してもよい。

例えば、アクセス制御エンフォーサ部１１４は、ユーザがユーザ端末１００から機密ファイルを送信し、データベースに保存して共有しようとした場合、「送信ユーザのクリアランス及びラベル情報及びその他環境属性」に基づき、ファイル共有の可否をアクセス制御するようにしてよい。また、アクセス制御エンフォーサ部１１４は、ユーザがユーザ端末１００に機密ファイルを取得しようとした場合、「受信ユーザのクリアランス及びラベル情報及びその他環境属性」に基づき、ファイル取得の可否をアクセス制御するようにしてよい。さらに、アクセス制御エンフォーサ部１１４は、ラベルに合わせて、ファイルの保存先データベースを選ぶようにしてもよい。

図１０は、アクセス制御エンフォーサ部１１４の一つの実施態様におけるメソッドの一例を示す。

アクセス制御エンフォーサ部１１４は、リクエストメソッド１０００として、ＧＥＴ（ファイル取得）１００１、ＭＫＣＯＬ（ファイル作成）１００２、ＣＯＰＹ（ファイルコピー）１００３、ＭＯＶＥ（ファイル移動）１００４、ＰＲＯＦＩＮＤ（プロパティ情報取得）１００５を有し、それぞれの具体的な処理の内容が定義される。なお、処理３において、「配布限定フラグ」がＯＮであるファイルに関する配布回数を制御してもよい。

上述した実施形態によれば、強制アクセス制御の環境下で自動的に仮ラベルを付与することにより、ユーザの利便性を向上させることができる。この際、仮ラベル付与のポリシーを適切に管理したり、仮ラベルの有効期間を適切に設定したりすることで、一定のセキュリティレベルを維持できる。

上述した本発明の実施形態は、本発明の説明のための例示であり、本発明の範囲をそれらの実施形態にのみ限定する趣旨ではない。当業者は、本発明の要旨を逸脱することなしに、他の様々な態様で本発明を実施することができる。

１００ ユーザ端末
１１４ アクセス制御エンフォーサ部
１１８ ファイルデータベース
１６６ ラベル管理部
１６７ ユーザ権限管理部
６０２ ラベル管理データベース
６０３ 仮ラベル可否ポリシー
６０４ 仮ラベル設定ポリシー
６０７ ユーザ権限管理データベース
６０９ アクセス制御ポリシー

Claims (7)

1. 管理者によって付与されたラベルに従ってファイルへのアクセスが制限される強制アクセス制御環境を有するファイル管理システムにおいて、
   ユーザの指示に基づくラベルの更新要求を受け付ける受付手段と、
   前記更新要求に係るユーザに付与されたユーザ権限、前記更新要求に係るファイルに管理者から付与されたラベル及び前記更新要求に係るファイルの更新の緊急度に基づいて、前記更新要求に係るファイルの自動更新を許可するか否かを判定する判定手段と、
   前記判定手段による判定の結果、自動更新が許可されたときは、前記更新要求に係るファイルに仮ラベルを付与する仮ラベル付与手段と、を備えるファイル管理システム。
2. 前記更新要求に係るファイルに対して仮ラベルを付与したことを前記管理者へ通知するための情報を出力する通知手段をさらに備える、請求項１記載のファイル管理システム。
3. 前記通知手段は、前記判定手段による判定の結果、自動更新が許可されないときは、ファイル更新要求を受け付けたことを前記管理者へ通知するための情報を出力する、請求項２記載のファイル管理システム。
4. 前記ユーザに付与されたユーザ権限は職責に応じたランクを有し、
   前記管理者から付与されたラベルは前記ファイルの重要度または機密度に応じたランクを有し、
   前記仮ラベル付与手段は、前記ユーザ権限が所定以上のランクであり、かつ、前記ファイルの重要度または機密度が所定以下であるときに仮ラベルの付与を許可する、請求項１〜３のいずれかに記載のファイル管理システム。
5. 前記判定手段は、予め定められたポリシーに従って、前記更新要求に係るファイルの自動更新を許可するか否かを判定する、請求項１〜４のいずれかに記載のファイル管理システム。
6. 前記管理者から前記更新要求に係るファイルのラベル情報を受け付けて、前記更新要求に係るファイルに正ラベルを付与する正ラベル付与手段をさらに備える、請求項１〜５のいずれかに記載のファイル管理システム。
7. 管理者によって付与されたラベルに従ってファイルへのアクセスが制限される強制アクセス制御環境を有するファイル管理システムが行う方法であって、
   受付手段がユーザの指示に基づくラベルの更新要求を受け付け、
   判定手段が、前記更新要求に係るユーザに付与されたユーザ権限、前記更新要求に係るファイルに管理者から付与されたラベル及び前記更新要求に係るファイルの更新の緊急度に基づいて、前記更新要求に係るファイルの自動更新を許可するか否かを判定し、
   仮ラベル付与手段が、前記判定手段による判定の結果、自動更新が許可されたときは、前記更新要求に係るファイルに仮ラベルを付与する、ファイル管理方法。

Images