JP7011975B2 - 端末機器および管理サーバ - Google Patents

Description

本発明は、端末機器および管理サーバに関する。

ユーザは、パーソナルコンピュータ（ＰＣ）またはスマートフォンのような端末機器にデータを保存して国内外を自在に移動し、様々な場所で作業をすることができる。その一方、機密情報の持ち出しまたは端末機器の紛失などによる情報漏えいのリスクが高まっている。

ところで、会社、大学、官公庁などの組織では、情報漏えいを防止するために、データ（情報とも呼ぶ）の取扱規則を定めていることが多い。近年では、国や地域においても、データの取扱規則が定められて、施行されつつある。例えば、欧州連合（ＥＵ）では、ＥＵ一般データ保護規則（General Data Protection Regulation：GDPR）が定められ、ＥＵ圏内の市民に関連する個人情報の保護を義務づけている。この義務に違反すると制裁金が課せられる。日本も改正個人情報保護法が施行されており、この法律に違反すると罰則が科せられる。

したがって、端末機器のデータを保護して、各種規制に対応する必要がある。端末機器のデータを保護する技術として、特許文献１に記載の技術が知られている。特許文献１では、コンピュータ端末は予め暗号化したファイルを格納している。特許文献１では、コンピュータ端末の移動状態監視部により、コンピュータ端末が物理的に移動したと判断すると、コンピュータ端末に記憶されている操作ログ情報を検索し、復号化して使用されたファイルを検出する。そして、特許文献１では、復号化して使用されていたファイルを再び暗号化する。

特開２００９－１５７９１８号公報

特許文献１では、コンピュータ端末の姿勢の傾きやネットワークからの切断といった変化を検知した場合に、ファイルを再び暗号化して保護する。しかし、保護対象となるデータの種類、保護の方法は、各組織や各国の規制により異なることが多い。

特許文献１では、コンピュータ端末の状態のみに基づいてデータを保護するため、それぞれ内容の異なる複数の規制に対応してデータを適切に保護することが難しい。

本発明は、上述の課題に鑑みてなされたもので、その目的は、規制の変化に応じて情報を保護できるようにした端末機器および管理サーバを提供することにある。

上記課題を解決すべく、本発明に従う端末機器は、管理サーバと通信する通信部と、情報を記憶する記憶部と、通信部および記憶部を制御する制御部とを備え、制御部は、情報の取扱に関する規制の変化を示す所定の場合に、記憶部に記憶された情報のうち所定の情報に対して所定の処理を実施することにより保護する。

本発明によれば、規則の変化を示す所定の場合に、所定の情報に所定の処理を実施することにより保護することができる。

端末機器および管理サーバを含む情報保護システムの全体概要を示す説明図である。 端末機器の機能構成およびハードウェア構成を示すブロック図である。 管理サーバの機能構成を示すブロック図である。 地域の規制に応じて情報を保護する方法を示すフローチャートである。 初期設定処理を示すフローチャートである。 通知設定処理を示すフローチャートである。 端末機器の情報（データ）を退避させる処理のフローチャートである。 端末機器へ情報を復元する処理を示すフローチャートである。 取扱規則リストの構成例を示す図である。 規制用語の構成例を示す図である。 ユーザの移動予定を設定する予定設定リストの構成例を示す図である。 管理サーバに退避した端末機器の情報を管理するテーブル例である。 端末機器と管理サーバとの間で送受信される通信パケットの構成例を示す図である。 第２実施例に係り、端末機器および管理サーバを含む情報保護システムの機能構成を示すブロック図である。 端末機器の情報を保護する方法を示すフローチャートである。 初期設定処理を示すフローチャートである。 端末機器の情報を退避させる処理を示すフローチャートである。 端末機器へ情報を復元させる処理を示すフローチャートである。 規制対象位置リストの構成例を示す図である。

以下、図面に基づいて本発明の実施の形態を説明する。本実施形態は、端末機器に記憶された情報を、異なる規制に対応させて適切に保護できるようにした端末機器および管理サーバを提案する。すなわち、本実施形態では、情報保護（データ保護）の対象となるファイルの種類や情報保護のための対応策がそれぞれ異なる規制に対して、適切に対応することができる端末機器および管理サーバを提供する。例えば、端末機器は、規制情報と移動先の位置情報とを受け取り、それらの情報に基づいて、移動先の規制に応じた規制対象ファイルの抽出と、抽出された規制対象ファイルへのデータ保護とを行う。

これにより、本実施形態によれば、情報保護（データ保護）が必要なファイルや保護のための対応策が規制によって異なっている場合でも、端末機器の移動先に応じて端末機器内の情報を適切に保護することができる。したがって、端末機器の利便性および信頼性が向上する。

図１は、端末機器および管理サーバを含む情報保護システムの全体概要を示す説明図である。本実施例では、ユーザに所持される端末機器１０は、航空機等の移動手段３を介して、出発地１から目的地２へ移動し、その後出発地１へ戻る。本実施例では、出発地１と目的地２とは、情報に対する規制が異なるものとして説明する。例えば、出発地１の存在する国家と目的地２の存在する国家とが異なる場合、どのような情報を規制対象とし、規制対象の情報をどのように取り扱うかといった規制内容が相違する場合がある。

端末機器１０は、例えば、少なくとも通信機能と記憶機能と情報処理機能とを備えるコンピュータ端末である。端末機器１０は、例えば、ノート型パーソナルコンピュータ、タブレット型パーソナルコンピュータ、ウェアラブル型パーソナルコンピュータ、携帯情報端末、携帯電話（いわゆるスマートフォンを含む）のように構成される。端末機器１０には、例えば、文書ファイル、図形ファイル、画像ファイル、音声ファイルといった種々のファイルを格納することができる。これらファイルには、例えば、個人情報、営業機密情報、軍事情報といった規制対象となり得る情報が含まれる場合がある。以下の説明では、情報をデータと呼ぶ場合がある。

出発地１には、出発地側の管理サーバ２０－１が設けられている。目的地２には、目的地側の管理サーバ２０－２が設けられている。出発地１において、端末１０は、通信ネットワークＣＮ１を介して出発地側管理サーバ２０－１と双方向通信可能である。同様に、目的地２において、端末機器１０は、通信ネットワークＣＮ２を介して目的地側の管理サーバ２０－２と双方向通信可能である。通信ネットワークＣＮ１，ＣＮ２を特に区別しない場合、通信ネットワークＣＮと呼ぶ。管理サーバ２０－１，２０－２を特に区別しない場合、管理サーバ２０と呼ぶ。

ユーザは、出発地１から目的地２へ移動する際に、所持する端末機器１０に記憶されている情報のうち、出発地１において規制対象となる所定の情報を出発地側管理サーバ２０－１へ退避させる（Ｓ１）。

端末機器１０から管理サーバ２０へ情報を退避させるとは、端末機器１０内の移動対象の情報を管理サーバ２０へ転送して記憶させると共に、端末機器１０内から削除することを意味する。すなわち、規制対象となる所定の情報のうちの移動対象情報は、端末機器１０から管理サーバ２０へ移される。

規制対象となる所定の情報の全てを管理サーバ２０－１へ退避させる必要はなく、所定の情報の全部または一部を端末機器１０から削除してもよい。この場合、削除された情報はどこにも存在しなくなる。

ユーザは、出発前に所定の情報についての保護処理を完了すると、移動手段３を用いて目的地２へ向けて移動する（Ｓ２）。

ユーザは、端末機器１０と共に目的地２へ到着すると、端末機器１０に記憶されている情報のうち目的地２において規制対象となる所定の情報を、目的地側の管理サーバ２０－２へ退避させる（Ｓ３）。端末機器１０に記憶されている所定の情報の全てを管理サーバ２０－２へ退避させる必要はない。所定の情報のうちの全部または一部を端末機器１０から削除してもよい。

ユーザは、端末機器１０を用いて、例えば、文書作成、図形作成、設計、画像作成、撮影、録音録画、電子メール作成等の作業を行うことができる。そして、ユーザは、目的地２から出発地１へ戻る際に、端末機器１０に記憶されている情報のうち目的地２において規制対象となる所定の情報を管理サーバ２０－２へ退避させたり、あるいは消去させたりする（Ｓ４）。

ユーザは、目的地２における規制に沿って処理された端末機器１０を所持して、移動手段３により出発地１へ戻る（Ｓ５）。

ユーザが出発地１に戻ると、端末機器１０は管理サーバ２０－１に退避させていた情報を管理サーバ２０－１から取得する（Ｓ６）。管理サーバ２０に退避されていた情報を端末機器１０へ戻す処理を本実施例では復元処理と呼ぶ。管理サーバ２０－１は、端末機器１０へ情報を送信すると、その情報を管理サーバ２０－１から消去する。

その後、ユーザが再び出発地１から目的地２へ移動する場合、出発地１での規制に基づく保護処理が実施される（Ｓ１）。ユーザが目的地２へ到着すると、以前に目的地側の管理サーバ２０－２へ退避させていた情報が端末機器１０へ復元される。

出発地側での情報保護処理（Ｓ１）を実施するタイミングと、目的地側での情報保護処理（Ｓ３，Ｓ４）を実施するタイミングとは、以下に述べるように、複数の方法で決定することができる。

第１の方法は、ユーザからの指示により情報保護処理を実施する方法である。ユーザは、出発に際して端末機器１０に指示を与えることにより、出発地での規制にそって端末機器１０の情報の安全を確保することができる。

第２の方法は、ユーザが予め移動スケジュールを端末機器１０へ登録しておき、移動スケジュールに基づいて、端末機器１０が情報保護処理を実施する方法である。移動スケジュールは、端末機器１０内に保存されている必要はなく、図示せぬスケジュール管理サーバに記憶されていてもよい。端末機器１０は、スケジュール管理サーバと通信することにより、移動スケジュールを知ることができる。

例えば、端末機器１０は、移動スケジュールに記載された目的地２への出発時刻が到来すると、出発地１における情報保護処理（Ｓ１）を実行する。端末機器１０は、移動スケジュールに記載された目的地２への到着時刻が到来すると、目的地２における情報保護処理（Ｓ３）を実行する。端末機器１０は、移動スケジュールに記載された、目的地２から出発地１への帰還時刻が到来すると、目的地２から出発する際の情報保護処理（Ｓ４）を実行する。端末機器１０は、移動スケジュールに記載された、出発地１への帰還時刻が到来すると、管理サーバ２０－１に退避させていた情報を取得する（Ｓ６）。移動スケジュールに従って情報保護処理を実行する前に、ユーザの承諾を確認してもよい。ユーザが承諾した場合に情報保護処理を実行することにより、使い勝手が向上する。

第３の方法は、端末機器１０がＧＰＳ（Global Positioning System）等の位置測定機能と地図参照機能とを利用して、端末機器１０の現在位置に応じた情報保護処理を実行する方法である。端末機器１０は、例えば、出発地１の座標から所定距離以上離れた場合や、出発地１の存在する国家の国境に達した場合に、出発地１における情報保護処理（Ｓ１）を自動的に実行する。端末機器１０は、例えば、目的地２に到着した場合、または目的地２の存在する国家の国境に達した場合に、目的地２における情報保護処理（Ｓ３）を自動的に実行する。端末機器１０は、目的地２から出発地１へ戻る場合、目的地２の座標から所定距離以上離れた場合や、目的地２の存在する国家の国境に達した場合に、目的地２から出発する際の情報保護処理（Ｓ４）を自動的に実行する。端末機器１０は、出発地１の座標に到達した場合、または、出発地１の存在する国家の国境に達した場合に、管理サーバ２０－１に退避させていた情報を自動的に取り戻す（Ｓ６）。

上述した３つの方法を適宜組み合わせてもよい。出発地１での情報保護処理（Ｓ１）、目的地２に到着した際の情報保護処理（Ｓ３）、目的地２から出発する際の情報保護処理（Ｓ４）を、上述の３つの方法のいずれかにしたがって実施してもよい。位置測定機能は、ＧＰＳに限らない。例えば、端末機器１０にジャイロセンサ等を搭載することにより、位置を算出してもよい。端末機器１０は、地図情報を予め保持してもよいし、外部の図示せぬ地図情報提供サーバにアクセスして参照してもよい。

図１では、情報保護処理として、端末機器１０に記憶された所定の情報を管理サーバ２０へ退避させる方法と、管理サーバ２０へ退避させずに端末機器１０から消去させる方法を述べたが、これらに限られない。他の処理方法を情報保護処理の一つとして採用することもできる。

図１では、出発地１から目的地２へ移動し、目的地２から出発地１へ戻る場合を説明したが、これに限らず、出発地１から一つまたは複数の中継地を経由して目的地２へ移動してもよい。この場合、中継地を目的地と見立てて、中継地での規制に応じた情報保護処理を実行すればよい。往路と復路とで、経由地が異なってもよい。

図２は、端末機器１０の機能構成を示すブロック図である。図３は、管理サーバ２０の機能構成を示すブロック図である。図２，図３では、複数の端末機器１０－１，１０－２と、一つの管理サーバ２０とを示しているが、図１で述べたように、情報に対する規制の異なる地域や組織ごとに管理サーバ２０を設けることもできる。

図２および図３に示す端末機器用の情報保護システムは、図２に例示するように、複数の端末機器１０－１，１０－２と少なくとも一つの管理サーバ２０とを、通信ネットワークＣＮで接続することにより構成されている。

端末機器１０は、例えば、複数の処理部１０１～１１３と、複数の格納部１１４～１２０とを含む。図中では、「格納部」と処理部の「部」を省略して示す。

処理部としては、パケット通信部１０１、パケット取得部１０２、予定設定部１０３、取扱規則リスト取得部１０４、規制用語リスト取得部１０５、対処通知部１０６、規制用語比較部１０７、ファイル取得部１０８、同意画面出力部１０９、対処実行部１１０、取扱規則比較部１１１、端末機器データ復元部１１２、モード管理部１１３がある。

格納部としては、通信パケット格納部１１４、予定設定リスト格納部１１５、取扱規則リスト格納部１１６、規制用語リスト格納部１１７、機器識別子格納部１１８、ファイル格納部１１９、要処理ファイル格納部１２０がある。

パケット通信部１０１は、通信ネットワークＣＮと通信する機能である。パケット取得部１０２は、端末機器１０に入力される通信パケットを取得する機能である。予定設定部１０３は、端末機器１０のユーザによる移動予定設定（移動スケジュール）を受け付ける機能である。取扱規則リスト取得部１０４は、管理サーバ２０から取扱規則リストを取得する機能である。規制用語リスト取得部１０５は、管理サーバ２０から規制用語リストを取得する機能である。

対処通知部１０６は、ユーザに対してデータ保護対処方法（情報保護方法）を通知する機能である。規制用語比較部１０７は、判定対象の用語と規制用語リストに記載された規制用語とを比較する機能である。ファイル取得部１０８は、端末機器１０に記憶されているファイルを取得する機能である。同意画面出力部１０９は、ユーザからデータ保護対処方法の実行指示を受付ける機能である。対処実行部１１０は、データ保護対処方法を実行する機能である。取扱規則比較部１１１は、取扱規則を比較する機能である。

端末機器データ復元部１１２は、端末機器１０へデータを復元させる機能である。図中では、端末機器データを「端末データ」と略記している。モード管理部１１３は、動作モードを管理する機能である。

通信パケット格納部１１４は、パケット取得部１０２で取得した通信パケットを格納する機能である。予定設定リスト格納部１１５は、予定設定部１０３で受け付けた予定設定を格納する機能である。取扱規則リスト格納部１１６は、取扱規則リスト取得部１０４で取得した取扱規則リストを格納する機能である。規制用語リスト格納部１１７は、規制用語リスト取得部１０５で取得した規制用語リストを格納する機能である。機器識別子格納部１１８は、端末機器１０の識別情報（ID）を格納する機能である。ファイル格納部１１９は、ファイルを格納する機能である。格納されるファイルとしては、例えば、アプリケーションの実行に必要なファイル、アプリケーションによって生成されるファイル、ログファイル等がある。要処理ファイル格納部１２０は、データ保護対処方法による所定の処理（データ保護処理）が必要なファイル情報を格納する機能である。

図２の上側に示す端末機器１０－２では、機能構成に代えて、ハードウェア構成を示している。端末機器１０は、マイクロプロセッサ（Central Processing Unit : CPU）１１と、メモリ１２と、ユーザインターフェース（UI）部１３と、通信部１４と、記憶装置１５とを備えており、これら回路は内部信号線１６により接続されている。

マイクロプロセッサ１１は、メモリ１２に記憶された所定のコンピュータプログラムを実行することにより、上述の機能１０１～１２０を実現する。マイクロプロセッサ１１は「制御部」の一例である。通信部１４は「通信部」の一例である。通信部１４は、通信ネットワークＣＮを介して、管理サーバ２０と通信する。記憶装置１５は「記憶部」の一例である。記憶装置１５は、端末機器１０の各格納部に対して記憶領域を提供する。同様に、管理サーバ２０の有する記憶装置は、管理サーバ２０の持つ各格納部に対して、記憶領域を提供する。

ユーザインターフェース部１３は、ユーザとの間で情報を入出力する機能である。ユーザインターフェース部１３は、例えば、ディスプレイ、プリンタ、音声合成装置等の情報出力機能と、キーボード、スイッチ、マウスのようなポインティングデバイス、音声入力装置、視線検出装置等の情報入力機能とがある。タッチパネルのように、情報の入力と出力とを同時に可能とする装置を用いてもよい。

なお、所定のコンピュータプログラムを持ち運び可能な記憶媒体に固定し、その記憶媒体からメモリに転送してもよい。または、所定のコンピュータプログラムを通信ネットワークＣＮを介してメモリへ転送してもよい。コンピュータプログラムの記憶先は、メモリに限らず、記憶装置でもよい。

端末機器１０－２ではハードウェア構成を示しているが、端末機器１０－２の機能構成は端末機器１０－１と同様である。端末機器１０－１および管理サーバ２０は、端末機器１０－２で述べたように、マイクロプロセッサ、メモリ、ユーザインターフェース部、通信部、記憶装置を含むコンピュータとして構成できる。管理サーバ２０の備えるマイクロプロセッサが、管理サーバ２０の有するメモリに記憶された所定のコンピュータプログラムを実行することにより、図３で述べる機能２０１～２１３が実現される。管理サーバ２０は、通信部から通信ネットワークＣＮを介して各端末機器１０と通信する。

図３を用いて、管理サーバ２０の機能構成を説明する。図３においても、「格納部」と処理部の「部」を省略している。

管理サーバ２０は、複数の処理部２０１～２０９と、複数の格納部２１０～２１３とを備える。処理部としては、パケット通信部２０１、パケット取得部２０２、取扱規則リスト生成部２０３、規制用語リスト生成部２０４、端末機器データ保存部２０５、単かつ機器復元データ生成部２０６、識別子比較部２０７、場所情報比較部２０８、端末機器データ削除部２０９がある。

格納部としては、通信パケット格納部２１０、取扱規則リスト格納部２１１、規制用語リスト２１２、端末機器データ格納部２１３がある。

パケット通信部２０１は、通信ネットワークＣＮを介して端末機器１０と通信する機能である。パケット取得部２０２は、管理サーバ２０に入力される通信パケットを取得する機能である。取扱規則リスト生成部２０３は、取扱規制リストの生成処理を受け付ける機能である。規制用語リスト生成部２０４は、規制用語リストの生成処理を受け付ける機能である。端末機器データ保存部２０５は、端末機器１０から受け取ったファイルを保存処理（退避処理）する機能である。端末機器復元データ生成部２０６は、端末機器１０へ復元させるファイルを生成する機能である。識別子比較部２０７は、端末機器１０から取得した機器識別子と登録済みの機器識別子とを照合して判定する機能である。場所情報比較部２０８は、端末機器１０から受け取ったファイルの使用場所に関する場所情報と取扱規則で定義された場所とを比較する機能である。端末機器データ削除部２０９は、端末機器１０から受け取ったファイルを管理サーバ２０から削除する機能である。

通信パケット格納部２１０は、パケット取得部２０２で取得した通信パケットを格納する機能である。取扱規則リスト格納部２１１は、取扱規則リスト生成部２０３で生成した取扱規則リストを格納する機能である。規制用語リスト格納部２１２は、規制用語リスト生成部２０４で生成した規制用語リストを格納する機能である。端末機器データ格納部２１３は、端末機器１０から受け取ったファイルを格納する機能である。

図４～図８を用いて、端末機器用の情報保護システムの動作を説明する。図４は、端末機器１０と管理サーバ２０とで実行される処理の全体を示すフローチャートである。この全体処理は、初期設定処理、通知設定処理、端末機器情報退避処理、端末機器情報復元処理を含んでいる。それらの処理については後述する。

最初に、端末機器１０と管理サーバ２０は、初期設定する（Ｓ１１））。初期設定処理の詳細は、図５で後述する。図４では、１台の端末機器について処理するかのように示しているが、複数の端末機器１０を同時に処理することもできる。

端末機器１０は、通知設定処理を行う（Ｓ１２）。通知設定処理の詳細は、図６で後述する。

端末機器１０は、ユーザから情報の退避について同意を得たか判断する（Ｓ１３）。すなわち、端末機器１０は、情報を管理サーバ２０へ退避させる前に、その退避についてユーザに確認する。例えば、ユーザの同意を求める画面を同意画面出力部１０９で生成してユーザインターフェース部１３から出力し、ユーザがユーザインターフェース部１３を介して同意を示す情報（信号）を入力した場合に、ユーザの同意（承認）が得られたと判断することができる。これ以外の方法でユーザの同意を確認してもよい。

端末機器１０は、情報の退避処理についてユーザの同意が得られていないと判定すると（Ｓ１３：ＮＯ）、同意が得られるまで待機する。一方、端末機器１０は、ユーザから同意を得られたと判定すると（Ｓ１３：ＹＥＳ）、端末機器内の所定の情報を管理サーバ２０へ退避させる処理を実行する（Ｓ１４）。

次に、端末機器１０は、帰還タイミングが到来したか判定する（Ｓ１５）。端末機器１０は、移動スケジュール（移動予定）を取得済であるため、出発時からの経過時刻が所定の時間になったときに帰還タイミングが到来したと判定できる。あるいは、現在時刻が、移動スケジュールに記載された出発予定時刻に一致したときに、帰還タイミングになったと判定することができる。

帰還タイミングが到来していない場合（Ｓ１５：ＮＯ）、端末機器１０は、帰還タイミングになるまで待機する。帰還タイミングになると（Ｓ１５：ＹＥＳ）、端末機器１０は通知設定処理を実行する（Ｓ１６）。

端末機器１０は、ステップＳ１４で退避させた情報（データ）を復元させることについて、ユーザの同意を得られたか判定する（Ｓ１７）。ステップＳ１３で述べたと同様の方法で、端末機器１０はユーザの同意を得られたか確認することができる（Ｓ１７）。

端末機器１０は、ユーザの同意を確認できるまで待機する（Ｓ１７：ＮＯ）。端末機器１０は、ユーザからの同意が得られたことを確認できると（Ｓ１７：ＹＥＳ）、端末機器１０から管理サーバ２０への情報退避処理を実行した後で（Ｓ１８）、管理サーバ２０に退避させていた情報の端末機器１０への復元処理を実行する（Ｓ１９）。

先に情報を退避させるのは、ステップＳ１４からステップＳ１７までの間に所定の情報（個人情報、営業秘密情報、軍事情報等）が端末機器１０に記憶されている可能性があるためである。

端末機器１０内に蓄積された所定の情報を保護処理した後で、ステップＳ１４で管理サーバ２０に退避させていた情報を端末機器１０へ転送させる。その情報は管理サーバ２０から消去される。

図５は、図４中の初期設定処理（Ｓ１１）の詳細を示すフローチャートである。最初に、端末機器１０は、動作モードを初期モードに設定する（Ｓ３１）。端末機器１０の動作モードを初期モードに設定できない場合、または、初期モードに設定されないままで以降の処理が実行されようとした場合、ステップＳ３１以降の処理を中止してもよい。

端末機器１０は、管理サーバ２０に取扱規則リクエストを送信する（Ｓ３２）。リクエストおよびレスポンスの構成例は、図１３で後述する。

管理サーバ２０は、端末機器１０からリクエストを受信すると、取扱規則リスト格納部２１１から端末機器１０の移動状況に応じた取扱規則リストを取得し（Ｓ３３）、取得した取扱規則リストをレスポンスとして端末機器１０に送信する（Ｓ３４）。移動状況に応じた取扱規則リストとは、例えば、端末機器１０がどの場所から出発するのかのか、端末機器１０がどの場所へ到着するのかといった状況に即した取扱規則リストである。

端末機器１０は、管理サーバ２０から受信した取扱規則リストを取扱規則リスト格納部１１６へ格納し（Ｓ３５）、管理サーバ２０に対して規制用語のリクエストを送信する（Ｓ３６）。

管理サーバ２０は、端末機器１０からのリクエストを受信すると、規制用語リスト格納部２１２から規制用語リストを取得し（Ｓ３７）、取得した規制用語リストをレスポンスとして端末機器１０へ送信する（Ｓ３８）。

端末機器１０は、管理サーバ２０から受信した規制用語リストを規制用語リスト格納部１１７へ格納する（Ｓ３９）。端末機器１０は、ユーザから出発予定情報が入力されたか判断する（Ｓ４０）。出発予定を示す情報は、予定設定部１０３を介してユーザから設定される。

出発予定情報には、例えば、端末機器１０の往路移動開始予定の日時、現在位置の情報（例えば、国名、地域名、組織名など）、往路移動終了予定の日時、往路移動先の位置情報（例えば、国名、地域名、組織名など）を含めることができる。出発予定情報は、例示列挙した情報の全てを含む必要はない。出発予定情報は、例示列挙した情報以外の情報を含んでもよい。端末機器１０は、ユーザから出発予定情報が入力されるまで、待機する（Ｓ４０：ＮＯ）。端末機器１０は、出発予定情報が入力されたと判断すると（Ｓ４０：ＹＥＳ）、出発予定情報を予定設定リスト格納部１１５へ格納する（Ｓ４１）。

端末機器１０は、ユーザから帰着予定情報が入力されたか判断する（Ｓ４２）。帰着予定情報は、予定設定部１０３を介してユーザから設定される。帰着予定情報は、例えば、端末機器１０の復路移動開始予定の日時、移動開始位置の情報（例えば、国名、地域名、組織名など）、復路移動終了予定の日時、復路移動先の位置情報（例えば、国名、地域名、組織名など）を含むことができる。出発予定情報と同様に、例示列挙した情報以外の構成でもよい。

端末機器１０は、帰着予定情報が入力されるまで待機する（Ｓ４２：ＮＯ）。端末機器１０は、帰着予定情報が入力されたと判断すると（Ｓ４２：ＹＥＳ）、帰着予定情報を予定設定リスト格納部１１５へ格納する（Ｓ４３）。端末機器１０は、動作モードを初期モードから運用モードへ設定変更する（Ｓ４４）。

ステップＳ３２とステップＳ３６の順番は逆でもよいし、同時であってもよい。

図６は、端末機器１０により実行される通知設定処理のフローチャートである。端末機器１０は、予定設定リスト格納部１１５に格納された予定設定リストから、出発地情報を取得する（Ｓ５１）。予定設定リストには、日時情報、位置情報、分類情報（例えば、出発、到着など）を記載することができる。端末機器１０は、規制用語リスト格納部１１７から規制用語リストを取得する（Ｓ５２）。

規制用語リストには、例えば、規制用語、規制対象となる所在情報（例えば、国名、地域名、組織名など）、規制用語の含まれるカテゴリ（例えば、個人情報、機密情報、営業秘密情報、技術ノウハウ情報、軍事情報、プライバシー情報等）を記載される。これ以外の構成でもよい。

端末機器１０は、出発位置情報が規制用語リストに含まれる所在情報と一致するか判断する（Ｓ５３）。一致すると判断した場合（Ｓ５３：ＹＥＳ）、端末機器１０は、所在情報に紐づいた規制用語を取得する（Ｓ５４）。一致しないと判断すると（Ｓ５３：ＮＯ）、端末機器１０は、後述するステップＳ６０へ移る。

端末機器１０は、ファイル格納部１１９からファイルを取得し（Ｓ５５）、取得したファイルに規制用語が含まれているか判断する（Ｓ５６）。端末機器１０は、取得したファイルに規制用語が含まれると判断した場合（Ｓ５６：ＹＥＳ）、規制用語に紐づいた所在情報と、カテゴリ情報と、ファイルの所在（例えば、端末機器１０内におけるファイル存在位置を指定する絶対パス、デスクトップなど）と、出発位置情報とを要処理ファイル格納部１２０へ格納する（Ｓ５７）。端末機器１０は、取得したファイルに規制用語が含まれないと判断すると（Ｓ５６：ＮＯ）、ステップＳ５７をスキップし、後述のステップＳ５８へ移る。

端末機器１０は、ファイル格納部１１９内の全てのファイルをチェックしたか判断する（Ｓ５８）。端末機器１０は、未チェックのファイルがあると判断すると（Ｓ５８：ＮＯ）、ステップＳ５５へ戻る。端末機器１０は、ファイル格納部１１９内の全ファイルについてチェックしたと判断すると（Ｓ５８：ＹＥＳ）、規制用語リストに記載された全ての規制用語でチェックしたか判断する（Ｓ５９）。

端末機器１０は、未チェックの規制用語があると判断すると（Ｓ５９：ＮＯ）、ステップＳ５４へ戻る。端末機器１０は、ステップＳ５２で取得した規制用語リストに記載された全ての規制用語をチェックしたと判断すると（Ｓ５９：ＹＥＳ）、予定設定リスト格納部１１５に格納された予定設定リストから、目的地情報を取得する（Ｓ６０）。

端末機器１０は、目的地が規制用語リストに含まれる所在情報と一致するか判断する（Ｓ６１）。端末機器１０は、一致すると判断すると（Ｓ６１：ＹＥＳ）、所在情報に紐づいた規制用語を取得する（Ｓ６２）。端末機器１０は、一致しないと判断すると（Ｓ６１：ＮＯ）、後述するステップＳ６８へ移る。

端末機器１０は、ファイル格納部１１９からファイルを取得し（Ｓ６３）、取得したファイルに規制用語が含まれているか判断する（Ｓ６４）。端末機器１０は、取得したファイルに規制用語が含まれていると判断すると（Ｓ６４：ＹＥＳ）、規制用語に紐づいた所在情報と、カテゴリ情報と、ファイルの所在と、目的地情報とを要処理ファイル格納部１２０へ格納する（Ｓ６５）。端末機器１０は、取得したファイルに規制用語が含まれないと判断すると（Ｓ６４：ＮＯ）、ステップＳ６５をスキップし、後述するステップＳ６７へ移る。

端末機器１０は、ファイル格納部１１９に格納された全てのファイルをチェックしたか判断する（Ｓ６６）。端末機器１０は、未チェックのファイルがあると判断すると（Ｓ６６：ＮＯ）、ステップＳ６３へ戻る。

端末機器１０は、全てのファイルをチェックしたと判断すると（Ｓ６６：ＹＥＳ）、規制用語リストに記載された全ての規制用語でチェックしたか判断する（Ｓ６７）。端末機器１０は、未チェックの規制用語があると判断した場合（Ｓ６７：ＮＯ）、ステップＳ６２へ戻る。端末機器１０は、全ての規制用語をチェックしたと判断した場合（Ｓ６７：ＹＥＳ）、情報の消去についての同意をユーザに求める画面を同意画面出力部１０９から出力させる（Ｓ６８）。以上で通知処理が終了する。

図６のステップＳ５１～Ｓ５９，Ｓ６８は、図４中のステップＳ１２に示す出発時の通知設定処理に対応する。図６のステップＳ６０～Ｓ６７，Ｓ６８は、図４中のステップＳ１６に示す帰還時の通知設定処理に対応する。

図７は、端末機器１０と管理サーバ２０が行う、端末機器の情報を退避させる処理のフローチャートである。

端末機器１０は、要処理ファイル格納部１２０に格納された要処理ファイルを取得し（Ｓ７１）、取扱規則リスト格納部１１６から取扱規則を取得する（Ｓ７２）。上述の通り、取扱規則には、例えば、カテゴリ（例えば、個人情報、軍事情報、営業秘密情報、技術ノウハウ情報、プライバシー情報等）と、使用可能場所と、使用可能場所から逸脱したときの対処策とが記載されている。これ以外の構成でもよい。

端末機器１０は、取扱規則に紐づいたカテゴリが要処理ファイルに紐づいたカテゴリに一致するか判断する（Ｓ７３）。端末機器１０は、カテゴリが一致しないと判断した場合（Ｓ７３：ＮＯ）、ステップＳ７２へ戻る。

端末機器１０は、カテゴリが一致すると判断した場合（Ｓ７３：ＹＥＳ）、取扱規則に紐づけられた使用可能場所が、要処理ファイルに紐づけられた所在情報に一致するか判断する（Ｓ７４）。端末機器１０は、所在（場所）が一致しないと判断すると（Ｓ７４：ＮＯ）、ステップＳ７２へ戻る。端末機器１０は、所在が一致すると判断すると（Ｓ７４：ＹＥＳ）、取扱規則に紐づけられた逸脱時の対処策に、管理サーバ２０への退避が含まれているか判断する（Ｓ７５）。端末機器１０は、サーバ２０への退避が対処案として含まれないと判断した場合（Ｓ７５：ＮＯ）、ステップＳ７６をスキップし、後述するステップＳ７７へ移る。

端末機器１０は、サーバ２０への情報の退避が対処案に含まれていると判定すると（Ｓ７５：ＹＥＳ）、機器識別子格納部１１８から機器識別子を取得する（Ｓ７６）。機器識別子としては、例えばＭＡＣアドレスを用いることができる。これに限らず、機器製造番号、管理番号、型番等で端末機器１０を特定してもよい。そして、端末機器１０は、管理サーバ２０へ退避リクエストを送信する（Ｓ７７）。この退避リクエストには、退避させるファイル（所定の情報のうち退避対象の情報を含むファイル）が含まれている。

管理サーバ２０は、端末機器１０からの退避リクエストを受領すると、端末機器１０から受信したファイルを端末機器データ格納部２１３へ格納する（Ｓ７８）。

端末機器１０は、管理サーバ２０への退避以外の対処策を実施する（Ｓ７７）。退避以外の対応案（対処案）として、例えば、ファイル格納部１１９からのファイル削除を挙げることができる。これに限らず、例えば、ファイルを読み出し不能に破壊したり、ファイルを読み書きできないように記憶装置を制御するといった処理でもよい。

端末機器１０は、要処理ファイル格納部１２０に格納された全てのファイルについて処理したか判断する（Ｓ８０）。端末機器１０は、未処理ファイルがあると判断した場合（Ｓ８０：ＮＯ）、ステップＳ７１へ戻る。端末機器１０は、全てのファイルについて処理した場合（Ｓ８０：ＹＥＳ）、本処理を終了する。ステップＳ７３とステップＳ７４の実行順序は問わない。

図８は、端末機器１０と管理サーバ２０が行う、端末機器情報復元処理のフローチャートである。

端末機器１０は、予定設定リスト格納部１１５に格納された予定設定リストから帰着地情報を取得する（Ｓ９１）。帰着地とは、帰還先であり、具体的には図１に示す出発地１である。

端末機器１０は、機器識別子格納部１１８から端末機器１０の機器識別子を取得し（Ｓ９２）、管理サーバ２０へ復元リクエストを送信する（Ｓ９３）。

管理サーバ２０は、端末機器１０からの復元リクエストを受信すると、端末機器データ格納部２１３に格納された端末機器データを取得する（Ｓ９４）。端末機器データには、例えば機器識別子、ファイルとファイルが含む規制用語のカテゴリ（例えば、個人情報、軍事情報、プライバシー情報など）、ファイルの所在を含むことができる。

管理サーバ２０は、復元リクエストに含まれている機器識別子と、端末機器データに紐づいた機器識別子とが一致するか判断する（Ｓ９５）。管理サーバ２０は、識別子が一致しないと判断すると（Ｓ９５：ＮＯ）、後述のステップＳ１０３へ移動する。管理サーバ２０は、識別子が一致すると判断すると（Ｓ９５：ＹＥＳ）、取扱規則リスト格納部２１１に格納された取扱規則を取得する（Ｓ９６）。

管理サーバ２０は、ステップＳ９６で取得した取扱規則に紐づいたカテゴリと端末機器データに紐づいたカテゴリとが一致するか判断する（Ｓ９７）。管理サーバ２０は、カテゴリが一致しないと判断した場合（Ｓ９７：ＮＯ）、ステップＳ９６へ戻る。管理サーバ２０は、カテゴリが一致すると判断すると（Ｓ９７：ＹＥＳ）、復元リクエスト内の帰着地情報に紐づいた帰着地の位置情報と、取扱規則に紐づいた使用可能場所とが一致するか判断する（Ｓ９８）。管理サーバ２０は、場所が一致すると判断すると（Ｓ９８：ＹＥＳ）、端末機器１０にレスポンスを送信する（Ｓ９９）。レスポンスには、その端末機器１０から退避されていた情報が含まれている。

管理サーバ２０は、端末機器データ格納部２１３から、レスポンスとして送信された端末機器データを削除する（Ｓ１００）。管理サーバ２０は、場所が一致しないと判断した場合（Ｓ９８：ＮＯ）、後述のステップＳ１０２へ移る。

端末機器１０は、管理サーバ２０から受信した端末機器データを、ファイル格納部１１９へ格納する（Ｓ１０１）。

管理サーバ２０は、全ての取扱規則をチェックしたか判断する（Ｓ１０２）。管理サーバ２０は、未チェックの取扱規則があると判断すると（Ｓ１０２：ＮＯ）、ステップＳ９６へ戻る。管理サーバ２０は、全ての取扱規則をチェックしたと判断すると（Ｓ１０２：ＹＥＳ）、全ての端末機器データをチェックしたか判断する（Ｓ１０３）。管理サーバ２０は、全チェックの端末機器データがあると判断すると（Ｓ１０３：ＮＯ）、ステップＳ９４へ戻る。管理サーバ２０は、全ての端末機器データをチェックした場合（Ｓ１０３：ＹＥＳ）、本処理を終了する。

図９は、端末機器１０の取扱規則リスト格納部１１６および管理サーバ２０の取扱規則リスト格納部２１１に格納される、取扱規則の構成を示す説明図である。ここでは、端末機器１０側の符号１１６を用いて説明する。管理サーバ２０側の取扱規則リストとして述べる場合、図９中の符号「１１６１」～「１１６３」は、符号「２１１１」～「２１１３」となる。

取扱規則リストは、例えば、規制用語の分類情報を示すカテゴリ１１６１と、使用が許された位置情報を示す使用可能場所１１６２と、使用が許された位置から外れた場合の対処を示す逸脱時対処策１１６３とを含む。取扱規則リストの構成は、図９に示す例に限定されない。

カテゴリ１１６１としては、例えば、個人情報、軍事情報、プライバシー情報、機密情報、営業秘密情報、技術ノウハウ情報等がある。使用可能場所１１６２としては、例えば国名、地域名、組織名、部署名、住所等がある。逸脱時の対処策１１６３としては、例えば、「管理サーバへ退避させた情報を端末機器から削除する」、「情報を管理サーバへ退避させずに、端末機器から削除する」等がある。

図１０は、端末機器１０の規制用語リスト格納部１１７および管理サーバ２０の規制用語リスト格納部２１２に格納される、規制用語の構成を示す説明図である。ここでは、端末機器１０側の符号１１７を用いて説明する。管理サーバ２０側の取扱規則リストとして述べる場合、図１０中の符号「１１７１」～「１１７３」は、符号「２１２１」～「２１２３」となる。

規制用語リストは、例えば、規制対象となる位置情報を示す所在情報１１７１と、規制対象となる規制用語１１７２と、規制用語の分類情報を示すカテゴリ１１７３とを含むことができる。規制用語リストの構成は、図１０に示す例に限定されない。

所在情報１１７１には、例えば国名、地域名、組織名、部署名、住所等がある。

規制用語１１７２には、例えば氏名、識別番号、所在地データ、メールアドレス、オンライン識別子（ＩＰアドレスなど）、人種、民族、政治的思想、宗教的思想、哲学的思想、遺伝データ、生体データ、核、原子力、化学物質、微生物、毒、ロケット、ミサイル、ロボット、無人航空機、暗号、米国の輸出管理規則に定められた情報（All items in the United States, All U.S. origin items wherever located）、社外秘、Confidential等がある。

カテゴリ１１７３には、例えば、規制用語１１７２の分類情報である、個人情報、軍事情報、プライバシー情報、機密情報等が含まれる。

例えば、氏名、識別番号、所在地データ、メールアドレス、オンライン識別子は、「個人情報」のカテゴリに分類される。人種、民族、政治的思想、宗教的思想、哲学的思想、遺伝データ、生体データは、「プライバシー情報」のカテゴリに分類される。核、原子力、化学物質、微生物、毒、ロケット、ミサイル、ロボット、無人航空機、暗号は、「軍事情報」のカテゴリに分類される。社外秘、Confidentialは、「機密情報」のカテゴリに分類される。これらの分類方法以外の方法を用いてもよい。各地域、各国家、各組織のそれぞれにおける規制に合わせて規制用語リストを設定すればよい。

図１１は、端末機器１０の予定設定リスト格納部１１５に格納される、予定設定の構成を示す説明図である。

予定設定リストは、例えば、端末機器１０の移動開始日時や移動終了日時を示す日時情報１１５１と、端末機器１０の移動開始場所や移動終了場所の位置情報を示す所在情報１１５２と、移動の分類を示す分類１１５３とを含む。移動の分類には、「出発」、「到着」がある。さらに、「中継」、「帰還（帰着）」等を加えてもよい。予定設定リストの構成は図１１に示す例に限られない。

図１２は、管理サーバ２０の端末機器データ格納部２１３に格納される端末機器データの構成を示す説明図である。

端末機器データは、例えば、端末機器１０の識別情報を示す機器識別子２１３１と、端末機器１０から送信されたファイルを特定するファイル２１３２と、ファイルが含む規制用語のカテゴリを示すカテゴリ２１３３とを含む。

機器識別子２１３１としては、例えば、ＭＡＣ（Media Access Control）アドレス、機器製造番号、管理番号、型番等がある。ファイル２１３２は、例えば、端末機器１０におけるファイルの所在を示す情報（例えば、端末機器１０におけるファイル所在の絶対パス）と、ファイルデータ本体とを含む。カテゴリ２１３３は、図１０で述べた規制用語１１７２のカテゴリ１１７３と同じである。端末機器データの構成は、図１２に示す例に限定されない。

図１３は、端末機器１０と管理サーバ２０との間で情報を交換するために用いられる通信パケットの構成例を示す。通信パケットは、端末機器１０の通信パケット格納部１１４、および管理サーバ２０の通信パケット格納部２１０に格納される、リクエストおよびレスポンスに用いられる。リクエストには、取扱規則リクエスト、規制用語リクエスト、退避リクエスト、復元リクエストがある。

通信パケットは、送信元機器または受信先機器を特定するアドレス情報Ｄ１１と、パケットのサイズを示すサイズＤ１２と、パケットのバイナリデータを示すパケットデータＤ１３とを含む。通信パケットの構成は、図１３に示す例に限定されない。

このように構成される本実施例によれば、情報保護（データ保護）が必要なファイルや保護のための対応策が規制によって異なっている場合でも、端末機器１０の移動先に応じて、端末機器１０内の情報を適切に保護することができる。したがって、端末機器１０の利便性および信頼性が向上する。

本実施例によれば、情報保護処理（逸脱時の対処案）を実施する際に、ユーザの同意を確認するため、不必要な保護が実行されたり、不適切なタイミングで情報保護が実行されたりするのを防止できる。

本実施例によれば、端末機器１０は管理サーバ２０から取扱規則リストおよび規制用語リストを適宜取得できるため、法規制の変更にも柔軟に対応することができる。

図１４～図１９を用いて第２実施例を説明する。以下、第１実施例との相違を中心に述べる。本実施例の端末機器１０ａは、位置を検出することにより、情報保護処理を自動的に実施する。

図１４は、端末機器用の情報保護システムの全体構成図である。本システムは、第１実施例で述べたと同様に、端末機器１０ａと、管理サーバ２０ａと、通信ネットワークＣＮとを備える。図１４では、端末機器１０ａを１つだけ示すが、管理サーバ２０ａは複数の端末機器１０ａの情報を管理することができる。

本実施例に係る端末機器１０ａは、図１で述べた構成要素１０１～１０８，１１０～１１３，１１４，１１６～１１９に加えて、位置情報取得部１２１と、規制対象位置リスト取得部１２２と、位置情報比較部１２３と、位置情報格納部１２４と、規制対象位置リスト格納部１２５とを備える。本実施例に係る端末機器１０ａは、図１で述べた、予定設定部１０３と、対処通知部１０６と、同意画面出力部１０９と、予定設定リスト格納部１１５と、要処理ファイル格納部１２０を備えていない。

位置情報取得部１２１は、端末機器１０ａの位置情報を取得する機能である。規制対象位置リスト取得部は、規制対象位置リストを取得する機能である。位置情報比較部１２３は、位置情報を比較する機能である。

位置情報格納部１２４は、位置情報取得部１２１で取得した位置情報を格納する機能である。規制対象位置リスト格納部１２５は、規制対象位置リスト取得部１２２で取得した規制対象位置リストを格納する機能である。

管理サーバ２０ａは、図１で述べた構成要素２０１～２１４に加えて、規制対象位置リストを生成する規制対象位置リスト生成部２１４と、生成された規制対象位置リストを格納する規制対象位置リスト格納部２１５とを含む。

図１５～図１８を用いて、本システムの処理フローを説明する。図１５は、全体概要を示すフローチャートである。ステップＳ１１１～Ｓ１１３は、出発時の情報保護処理を示しており、ステップＳ１１４～Ｓ１１６は到着時の情報保護処理を示している。

端末機器１０ａと管理サーバ２０ａは、初期設定を行う（Ｓ１１１）。端末機器１０ａは、端末機器１０ａがユーザにより起動されたかどうかを判断する（Ｓ１１２）。端末機器１０ａの図示せぬ電源ボタンがユーザによって押下された場合に、端末機器１０ａが起動されたことを検知できる。端末機器１０ａは、ユーザにより起動されていないと判断した場合（Ｓ１１２：ＮＯ）、起動されるまで待機する。端末機器１０ａがユーザにより起動されたと判断すると（Ｓ１１２：ＹＥＳ）、端末機器１０ａと管理サーバ２０ａとは端末機器の情報を退避させる処理を実行する（Ｓ１１３）。

情報を退避させる処理の終了後に、再び端末機器１０ａは、端末機器１０ａがユーザにより起動されたかどうかを判断する（Ｓ１１４）。端末機器１０ａは、ユーザにより起動されるまで待機する（Ｓ１１４：ＮＯ）。端末機器１０ａがユーザにより起動されたと判断されると（Ｓ１１４：ＹＥＳ）、端末機器１０ａと管理サーバ２０ａとは端末機器の情報を退避させる処理を行う（Ｓ１１５）。そして、端末機器１０ａと管理サーバ２０ａとは、端末機器へ情報を復元させる処理を実行する（Ｓ１１６）。

図１６は、初期設定処理のフローチャートである。端末機器１０ａは、動作モードを初期モードに設定する（Ｓ１２１）。端末機器１０ａは、管理サーバ２０ａへ取扱規則リクエストを送信する（Ｓ１２２）。

管理サーバ２０ａは、端末機器１０ａからリクエストを受信すると、取扱規則リスト格納部２１１から取扱規則リストを取得し（Ｓ１２３）、取得した取扱規則リストをレスポンスとして端末機器１０ａへ送信する（Ｓ１２４）。

端末機器１０ａは、管理サーバ２０ａから受信した取扱規則リストを、取扱規則リスト格納部１１６に格納する（Ｓ１２５）。端末機器１０ａは、管理サーバ２０ａへ規制用語リクエストを送信する（Ｓ１２６）。

管理サーバ２０ａは、端末機器１０ａからリクエストを受信すると、規制用語リスト格納部２１２から規制用語リストを取得し（Ｓ１２７）、取得した規制用語リストをレスポンスとして端末機器１０ａへ送信する（Ｓ１２８）。

端末機器１０ａは、管理サーバ２０ａから受信した規制用語リストを、規制用語リスト格納部１１７に格納する（Ｓ１２９）。端末機器１０ａは、管理サーバ２０ａに規制対象位置リクエストを送信する（Ｓ１３０）。

管理サーバ２０ａは、端末機器１０ａからリクエストを受信すると、規制対象位置リスト格納部２１５から規制対象位置リストを取得し（Ｓ１３１）、取得した規制対象位置リストをレスポンスとして端末機器１０ａに送信する（Ｓ１３２）。

端末機器１０ａは、管理サーバ２０ａから受信した規制対象位置リストを、規制対象位置リスト格納部１２５に格納する（Ｓ１３３）。最後に端末機器１０ａは、動作モードを運用モードに設定する（Ｓ１３４）。なお、ステップＳ１２２，Ｓ１２６，Ｓ１３０の送信順序は問わない。全てのリクエストをまとめて送信してもよい。

図１７は、端末機器の情報を退避させる処理を示すフローチャートである。端末機器１０ａは、位置情報を取得する（Ｓ１４）。位置情報として、例えばＧＰＳ、無線ＬＡＮのアクセスポイント、携帯電話回線の基地局やエリア情報、無線ＩＣタグを用いた位置情報等を用いることができる。

端末機器１０ａは、規制対象位置リスト格納部１２５から規制対象位置リストを取得する（Ｓ１４２）。規制対象位置リストには、それぞれの規制が適用される位置情報（例えばＧＰＳ）と、それに対応する所在（例えば、国名、地域名、組織名など）とが記載されている。

端末機器１０ａは、位置情報取得部１２１で取得した位置情報が、規制対象位置リストに記載された位置情報に該当するか判断する（Ｓ１４３）。該当なしと判断した場合（Ｓ１４３：ＮＯ）、本処理を終了する。

端末機器１０ａは、該当ありと判断した場合（Ｓ１４３：ＹＥＳ）、規制用語リスト格納部１１７に格納された規制用語と、それに紐づいた所在情報と、規制用語の分類を示すカテゴリとを取得する（Ｓ１４４）。

端末機器１０ａは、ファイル格納部１１９からファイルを取得し（Ｓ１４５）、取得したファイルに規制用語が含まれるかどうか判断する（Ｓ１４６）。端末機器１０ａは、規制用語が含まれないと判断した場合（Ｓ１４６：ＮＯ）、後述のステップＳ１５４へ移動する。

端末機器１０ａは、ステップＳ１４５で取得したファイルに規制用語が含まれると判断すると（Ｓ１４６：ＹＥＳ）、取扱規則リスト格納部１１６に格納された取扱規則を取得する（Ｓ１４７）。取扱規則には、規制用語の分類を示すカテゴリと、使用可能場所と、使用可能場所から外れた場合の逸脱時対処策とが記載されている。

端末機器１０ａは、規制用語に紐づいたカテゴリと取扱規則に紐づいたカテゴリとが一致するか判断する（Ｓ１４８）。端末機器１０ａは、カテゴリが一致しないと判断すると（Ｓ１４８：ＮＯ）、ステップＳ１４７へ戻る。端末機器１０ａは、カテゴリが一致すると判断すると（Ｓ１４８：ＹＥＳ）、規則用語に紐づいた所在情報と取扱規則に紐づいた使用可能場所とが一致するか判断する（Ｓ１４９）。

端末機器１０ａは、所在情報と使用可能場所とが一致しないと判断した場合（Ｓ１４９：ＮＯ）、ステップＳ１４７へ戻る。端末機器１０ａは、所在情報と使用可能場所とが一致すると判断した場合（Ｓ１４９：ＹＥＳ）、取扱規則に紐づいた逸脱時対処策に、管理サーバ２０ａへの退避が含まれているか判断する（Ｓ１５０）。端末機器１０ａは、逸脱時の対処案にサーバへの退避が含まれていないと判断した場合（Ｓ１５０：ＮＯ）、ステップＳ１５１をスキップし、後述のステップＳ１５２へ移動する。

端末機器１０ａは、逸脱時の対処案にサーバ２０ａへの退避が含まれていると判断した場合（Ｓ１５０：ＹＥＳ）、機器識別子格納部１１８から端末機器１０ａの機器識別子を取得する（Ｓ１５１）。

端末機器１０ａは、管理サーバ２０ａへ退避リクエストを送信する（Ｓ１５２）。端末機器１０ａは、管理サーバ２０ａへの退避以外の対処策としてのデータ消去を実施する（Ｓ１５３）。データ消去以外の処理を採用してもよい。

管理サーバ２０ａは、端末機器１０ａから受信した端末機器１０ａの情報を端末機器データ格納部２１３へ格納する（Ｓ１５４）。

端末機器１０ａは、ファイル格納部１１９に格納された全てのファイルをチェックしたか判断する（Ｓ１５５）。未チェックのファイルがあると判断すると（Ｓ１５５：ＮＯ）、ステップＳ１４５へ戻る。端末機器１０ａは、全てのファイルをチェックしたと判断すると（Ｓ１５５：ＹＥＳ）、規制用語リスト格納部１１７に格納された全ての規制用語をチェックしたか判断する（Ｓ１５６）。端末機器１０ａは、未チェックの規制用語があると判断した場合（Ｓ１５６：ＮＯ）、ステップＳ１４４へ戻る。端末機器１０ａは、全ての規制用語をチェックした場合（Ｓ１５６：ＹＥＳ）、本処理を終了する。なお、ステップＳ１４８とＳ１４９の順序は問わない。

図１８は、端末機器へ情報を復元させる処理を示すフローチャートである。端末機器１０ａは、位置情報取得部１２１から位置情報を取得する（Ｓ１６１）。端末機器１０ａは、機器識別子格納部１１８から機器識別子を取得し（Ｓ１６２）、管理サーバ２０ａへ復元リクエストを送信する（Ｓ１６３）。

管理サーバ２０ａは、端末機器１０ａからリクエストを受信すると、端末機器データ格納部２１３から端末機器データを取得する（Ｓ１６４）。

管理サーバ２０ａは、端末機器１０ａから受信した機器識別子と端末機器データに紐づいた機器識別子とが一致するか判断する（Ｓ１６５）。管理サーバ２０ａは、機器識別子が一致しないと判断すると（Ｓ１６５：ＮＯ）、後述のステップＳ１７１へ移る。管理サーバ２０ａは、機器識別子が一致すると判断すると（Ｓ１６５：ＹＥＳ）、取扱規則リスト格納部２１１から取扱規則を取得する（Ｓ１６６）。

管理サーバ２０ａは、取扱規則に紐づいたカテゴリと端末機器データに紐づいたカテゴリとが一致するか判断する（Ｓ１６７）。管理サーバ２０ａは、カテゴリが一致しないと判断すると（Ｓ１６７：ＮＯ）、ステップＳ１６６へ戻る。

管理サーバ２０ａは、カテゴリが一致すると判断すると（Ｓ１６７：ＹＥＳ）、端末機器１０ａから受信した位置情報と取扱規則に紐づいた使用可能場所とが一致するか判断する（Ｓ１６８）。管理サーバ２０ａは、位置が一致しないと判断すると（Ｓ１６８：ＮＯ）、後述のステップＳ１７２へ移る。

管理サーバ２０ａは、位置が一致すると判断すると（Ｓ１６８：ＹＥＳ）、端末機器１０ａへレスポンスを送信する（Ｓ１６９）。管理サーバ２０ａは、レスポンスとして送信された端末機器データを、端末機器データ格納部２１３から削除する（Ｓ１７０）。

端末機器１０ａは、管理サーバ２０ａからレスポンスとして受信した端末機器データをファイル格納部１１９へ格納する（Ｓ１７１）。

管理サーバ２０ａは、全ての取扱規則をチェックしたか判断する（Ｓ１７２）。未チェックの取扱規則がある場合（Ｓ１７２：ＮＯ）、ステップＳ１６６へ戻る。管理サーバ２０ａは、全ての取扱規則をチェックしたと判断した場合（Ｓ１７２：ＹＥＳ）、全ての端末機器データをチェックしたか判断する（Ｓ１７３）。未チェックの端末機器データがあると判断した場合（Ｓ１７３：ＮＯ）、ステップＳ１６４へ戻る。管理サーバ２０ａは、全ての端末機器データをチェックしたと判断した場合（Ｓ１７３：ＹＥＳ）、本処理を終了する。

図１９は、端末機器１０ａの規制対象位置リスト格納部１２５と管理サーバ２０ａの規制対象位置リスト格納部２１５とに格納される規制対象位置リストの構成例を示す説明図である。

規制対象位置リストは、例えば、位置情報１２５１と、位置情報に一致する所在１２５２とを含む。

位置情報１２５１として、例えば、ＧＰＳ、無線ＬＡＮのアクセスポイント、携帯電話回線の基地局やエリア情報、無線ＩＣタグを用いた位置情報等を用いることができる。位置の記載は、個々の値ごとでもよいし、値の範囲でもよい。所在１２５２には、例えば、国名、地域名、組織名、部署名、住所等がある。規制対象位置リストの構成は、図１９に示す例に限定されない。

このように構成される本実施例も第１実施例と同様の作用効果を奏する。さらに本実施例では、移動スケジュールに基づくのではなく、位置情報を測定することにより、情報保護処理を自動的に実行することができる。したがって、本実施例では、さらにユーザの使い勝手を向上することができる。

なお、本発明は、上述の実施例に限定されるものではなく、その要旨の範囲内で様々な変形が可能である。

例えば、管理サーバは、取扱規則リストの生成機能、規制用語リストの生成機能、規制対象位置リストの生成機能を全て備えている必要はない。それら生成機能のうち一部または全部を外部装置（図示せず）から取得して管理サーバに格納させてもよい。

端末機器は、取扱規則リスト、規制用語リスト、規制対象位置リストを必ずしも管理サーバから受信する必要はない。図示せぬ他の装置からそれらのリストを受信して、端末機器内に保存してもよい。位置情報も同様に、端末機器は、図示せぬ外部装置から位置情報を取得してもよい。

ある実施例の構成の一部を他の実施例の構成に置き換えてもよい。ある実施例の構成に他の実施例の構成を加えてもよい。各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

各実施例で述べた構成は、それらの一部又は全部が、ハードウェアで構成されても、プロセッサでプログラムが実行されることにより実現されるように構成されてもよい。また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。

１：出発地、２：目的地、３：移動手段、１０，１０ａ：端末機器、２０，２０ａ：管理サーバ

Claims (8)

1. 端末機器に記憶された情報を管理する管理サーバであって、
   規制用語を記録した規制用語リストを格納する規制用語リスト格納部と、
   規制用語についての取扱規則を記録する取扱規則リストを格納する取扱規則リスト格納部と、
   前記端末機器から受領する所定の情報を格納する所定情報格納部とを、
   備えており、
   前記端末機器へ前記規制用語リストと前記取扱規則リストとを送信して記憶させ、
   前記端末機器が、前記規制用語リストと前記取扱規則リストとに基づいて、前記端末機器に記憶された情報のうち前記規制用語リストに記録された規制用語を含む所定の情報の退避を要求した場合には、前記所定の情報を前記端末機器から受領して保存し、前記端末機器内の前記所定の情報を消去させ、
   前記端末機器が前記所定の情報の取得を要求した場合には、前記保存した所定の情報を前記端末機器へ送信する、
   管理サーバ。
2. 情報に対する規制の異なる国または地域ごとに設けられる、
   請求項１に記載の管理サーバ。
3. 管理サーバと通信する端末機器であって、
   前記管理サーバは、規制用語を記録した規制用語リストを格納する規制用語リスト格納部と、規制用語についての取扱規則を記録する取扱規則リストを格納する取扱規則リスト格納部と、端末機器から受領する所定の情報を格納する所定情報格納部とを、備えており、
   制御部は、
   通信部を介して前記管理サーバから前記規制用語リストと前記取扱規則リストとを受信して記憶部に記憶し、
   前記規制用語リストと前記取扱規則リストとに基づいて、前記記憶部に記憶された情報のうち前記規制用語リストに記録された規制用語を含む所定の情報の退避を前記管理サーバへ要求し、
   前記管理サーバへ前記所定の情報を前記通信部から送信して保存させ、
   前記記憶部内の前記所定の情報を消去し、
   前記管理サーバに前記所定の情報を要求した場合には、前記管理サーバに保存された所定の情報を前記管理サーバから取得して前記記憶部に記憶する、
   端末機器。
4. 前記管理サーバは、情報に対する規制の異なる国または地域ごとに設けられる、
   請求項３に記載の端末機器。
5. 端末機器に記憶された情報を管理する管理サーバであって、
   所定の情報が規制対象となる位置を示す所在情報と、前記所定の情報が規制される場合の対処方法を示す情報とを前記端末機器へ送信して記憶させ、
   前記端末機器が、前記所在情報と前記対処方法を示す情報とに基づいて、前記端末機器に記憶された情報のうち前記所定の情報の退避を要求した場合には、前記所定の情報を前記端末機器から受領して保存し、前記端末機器内の前記所定の情報を消去させ、
   前記端末機器が前記所定の情報の取得を要求した場合には、前記保存した所定の情報を前記端末機器へ送信する、
   管理サーバ。
6. 情報に対する規制の異なる国または地域ごとに設けられる、
   請求項５に記載の管理サーバ。
7. 管理サーバと通信する端末機器であって、
   前記管理サーバは、所定の情報が規制対象となる位置を示す所在情報と、前記所定の情報が規制される場合の対処方法を示す情報とを記憶しており、
   制御部は、
   通信部を介して前記管理サーバから前記所在情報と前記対処方法を示す情報とを受信して記憶部に記憶し、
   前記所在情報と前記対処方法を示す情報とに基づいて、前記記憶部に記憶された情報のうち前記所定の情報の退避を前記管理サーバへ要求し、
   前記管理サーバへ前記所定の情報を前記通信部から送信して保存させ、
   前記記憶部内の前記所定の情報を消去し、
   前記管理サーバに前記所定の情報を要求した場合には、前記管理サーバに保存された所定の情報を前記管理サーバから取得して前記記憶部に記憶する、
   端末機器。
8. 情報に対する規制の異なる国または地域ごとに設けられる、
   請求項７に記載の端末機器。

Images