JPWO2008029723A1 - データ利用管理システム - Google Patents

Abstract

【課題】移動端末に格納された機密データを利用する場合に、機密データの管理者による対面での認可を強制するデータ利用管理システムを提供する。【解決手段】利用者移動端末２が、暗号化機密データの利用を要求する利用要求トークンを管理者移動端末１に近距離無線通信で送信等する。管理者移動端末１のユーザである機密データの管理者によって、利用者移動端末２による機密データの利用を認可操作が管理者移動端末２になされた場合に、管理者移動端末２は、機密データの利用の認可を示す認可トークンを権限管理サーバ３に送信する。権限管理サーバ３は、復号鍵を利用者移動端末２に送信する。利用者移動端末２は、受信した復号鍵で暗号化機密データを復号し、所定の利用方法で機密データを利用する。

Description

本発明は、データの利用を管理するデータ利用管理システム、方法、データ利用機器、プログラム、サーバ、データ管理機器、およびプログラムに関し、特に、移動端末に格納されたデータの利用を管理するデータ利用管理システム、方法、データ利用機器、プログラム、サーバ、データ管理機器、およびプログラムに関する。

携帯電話機や個人情報端末（ＰＤＡ：Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔ）等の移動端末に、電話帳やスケジュール等の個人データを記憶させたり、音楽や動画等の娯楽コンテンツを再生させたりする利用が普及している。

さらに、近年の移動端末の高機能化に伴い、ＳＤメモリカード（Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌ ｍｅｍｏｒｙ ｃａｒｄ）などの大容量ポータブルメモリデバイスを用いたり、有線ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）や無線ＬＡＮへの接続機能を用いたり、無線近接通信（例えば、Ｂｌｕｅｔｏｏｔｈ（登録商標）や赤外線通信）などを用いたりして、他の移動端末や、パーソナルコンピュータ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）、その他のデジタル家電等とデータを共有することが可能になった。今後は、データ共有機能を用いた顧客データの収集や共有等に応用されることが考えられる。

データを共有等する場合には、プライバシーや、著作権、守秘契約等にもとづいて、共有される個人データや、娯楽コンテンツ、顧客データ等の利用を、特定のユーザグループや機器のグループに制限することが求められる。

なお、特許文献１には、あるユーザグループにおいて、移動端末に格納されたあるメンバのデータへの他のメンバによるアクセス要求に応じて、そのデータを共有するシステムが記載されている。特許文献１に記載されているシステムは、アクセス要求を受けたメンバの移動端末が電源断などの理由で要求に応じられない場合に、既に当該データを共有している他の移動端末が当該アクセス要求を受けた移動端末の代理として、アクセス要求に応じる。

特許文献２には、あるユーザ（要求元ユーザ）が他のユーザ（要求先ユーザ）のデータへのアクセス要求を行った場合に、要求元ユーザと要求先ユーザとに予め付与されている属性証明書を参照し、当該属性証明書に記載されている所属グループが同じであった場合に当該アクセス要求に応じる利用管理方法が記載されている。

特許文献３には、ホームネットワークに有線または無線で接続され、登録されたＩＤを有し、所定の時間内にアクセスした複数のデジタル機器のみがホームサーバに格納されている同一の娯楽コンテンツを共有して、再生することができるシステムが記載されている。

特許文献４には、有線通信ネットワークまたは無線通信ネットワークにおいて、通信ネットワークへの接続に用いられるアクセススイッチ（基地局）の物理位置を予めサーバに登録しておき、移動端末がアクセススイッチに接続された場合に、移動端末のＩＤとアクセススイッチの物理位置との２要素にもとづいて、移動端末の認証を行うネットワークアクセス制御方法が記載されている。

特許文献５には、サーバに格納されているスケジュールや電話帳などの個人データを他のユーザと移動端末を介して共有する方法が記載されている。

具体的には、事前に、共有を要求するユーザ（要求元ユーザ）と要求されるユーザ（要求先ユーザ）との間で共有（開示）してよい部分的な個人データの範囲（例えば、電話帳であれば電話番号および氏名のみなど）をルールとして定義しておき、当該ルールと１対１に対応した電子メールアドレスを定義しておく。要求元ユーザは、移動端末を介して要求先ユーザの個人データへアクセス要求する場合に、所望の開示範囲に対応した電子メールアドレスに、アクセス要求と要求元ユーザＩＤとを送信する。当該アクセス要求を受信したサーバは、当該ルールを参照して、当該ルールで認められている範囲の個人データへのアクセスが要求されたときのみ、当該範囲の個人データを要求元ユーザに送信する。

特許文献６には、許諾発行装置が、デジタルコンテンツに対して許諾範囲を定義した情報を発行し、当該情報に対する電子署名を生成し、復号装置が、公開鍵および生成された電子署名にもとづいて当該情報の改竄を検知すると共に、暗号化されたデジタルコンテンツを当該情報が定義する許諾範囲に従って復号するシステムが記載されている。

特許文献７には、暗号化コンテンツと、暗号化された暗号化コンテンツの復号鍵とを配信し、所定の利用条件を満たした場合に、復号鍵を復号するシステムが記載されている。

特許文献８には、予め決定された優先順位に従って、データの出力先を決定する方法が記載されている。

特開２００３−１８９３６０号公報（段落００２６〜００５７、図１） 特開２００４−１５５０７号公報（段落００３８〜０２２７、図１） 特開２００４−３３４７５６号公報（段落００６４〜０１０１、図１） 特開２００５−３１１７８１号公報（段落００１３〜００５５、図１） 特開２００６−５３７４９号公報（段落００４８〜００６０、図１） 特開２００２−２２９４４７号公報（段落００３５〜００７３、図１） 特開２００３−８７２３７号公報（段落００５１〜０１４４、図１） 特開平５−３５５１９号公報（段落０００６〜０００８、図１）

しかし、特許文献１〜８に記載されているいずれの方法を用いても、移動端末に格納された個人データや、娯楽コンテンツ、顧客データなどの機密データの管理者（データ管理者）が、機密データの利用者（データ利用者）による機密データの利用を厳格に管理することはできない。

例えば、特許文献２，４，５に記載されている方法は、機密データを開示されたデータ利用者および機密データを共有したデータ利用者による機密データの利用の制御を行わない。そのため、データ利用者は、例えば、開示された機密データを移動端末に記憶させ、当該機密データをさらに他のユーザに開示することができる。つまり、特許文献２，４，５に記載されている方法は、機密データが、データ管理者の意に沿わない方法で利用されることを禁止することができない。

また、特許文献１に記載されているシステムは、機密データを再開示する相手を、事前に定義された特定のユーザグループのメンバに限定することができるが、データ利用者が、移動端末の表示手段に機密データを表示させたり、移動端末に他の機器へ機密データを送信させたりすることを防ぐことができない。

また、特許文献３に記載されているシステムは、データ利用者が所有する複数のデジタル機器が機密データを再生する場合に、デジタル機器の認証と機密データの伝送とをホームサーバが行っているが、そのようなホームサーバ機能を移動端末で実現することは、移動端末の処理能力や、機密データを伝送する通信ネットワーク帯域が不足するので困難である。

そこで、本発明は、移動端末による機密データの利用を厳格に管理するデータ利用管理システムを提供することを目的とする。

また、本発明は、データ管理者と、そのデータ管理者の近傍にいるデータ利用者とが機密情報を共有することができるデータ利用管理システムを提供することも目的とする。

本発明によるデータ利用管理システムは、暗号化されたデータである暗号化データを復号するための復号鍵を用いて、暗号化データを復号する復号手段と、暗号化データを識別する暗号化データ識別情報を含み、データの利用許諾を要求する利用要求データを生成して近距離無線通信で送信するか、または利用要求データを表示手段に表示させる利用要求手段とを含むデータ利用機器と、復号鍵、暗号化データ識別情報、および暗号化データの管理者を示す管理者識別情報を対応づけて記憶するデータベースと、復号鍵をデータ利用機器に送信する復号鍵送信手段とを含む権限管理手段と、データ利用機器から利用要求データを取得して、管理者識別情報、および利用要求データが含む暗号化データ識別情報を権限管理手段に送信する識別情報送信手段を含むデータ管理機器とを備え、権限管理手段の復号鍵送信手段は、データ管理機器から暗号化データ識別情報と管理者識別情報とを受信した場合に、データベースを参照して、受信した暗号化データ識別情報と管理者識別情報とに対応する復号鍵をデータ利用機器に送信することを特徴とする。

データベースには、データの利用方法を示す権限定義情報に、復号鍵と暗号化データ識別情報と管理者識別情報とが対応づけられて記憶され、復号鍵送信手段は、データ管理機器から暗号化データ識別情報と管理者識別情報とを受信した場合に、データベースを参照して、受信した暗号化データ識別情報と管理者識別情報とに対応する復号鍵と権限定義情報とをデータ利用機器に送信し、データ利用機器は、受信した権限定義情報が示す利用方法に従って、データを利用する利用制御手段を含んでもよい。

データベースには、データの利用方法および出力先を示す権限定義情報に、復号鍵と暗号化データ識別情報と管理者識別情報とが対応づけられて記憶され、復号鍵送信手段は、データ管理機器から暗号化データ識別情報と管理者識別情報とを受信した場合に、データベースを参照して、受信した暗号化データ識別情報と管理者識別情報とに対応する復号鍵と権限定義情報とをデータ利用機器に送信し、データ利用機器は、受信した権限定義情報が示す利用方法および出力先に従って、権限定義情報が示す出力先にデータを出力する利用制御手段を含んでもよい。

データ利用機器は、データの出力先の装置の認証を行い、認証結果に応じて、データを出力先の装置に出力する認証手段を含んでもよい。

認証手段は、データの出力先の装置から当該装置を示す情報を含む認証情報を受信し、受信した認証情報が所定の認証ルールを満たすと判断した場合に、データを装置に出力してもよい。

データ利用機器の利用要求手段は、データの利用者を示す利用者識別情報を含む利用要求データを生成し、データ管理機器は、利用要求データをデータ利用機器から取得するデータ取得手段と、データ取得手段が取得した利用要求データが含む暗号化データ識別情報と利用者識別情報とを表示し、データ利用機器によるデータの利用の諾否を示す指示を利用者に入力させる入出力手段とを含み、データ管理機器の識別情報送信手段は、入出力手段にデータ利用機器によるデータの利用を許諾する指示が入力された場合に、暗号化データ識別情報と管理者識別情報とを権限管理手段に送信してもよい。

データ利用機器の要求に応じて、データの利用者の属性を示す属性証明書を生成する属性証明書生成手段を備え、データ利用機器の利用要求手段は、属性証明書生成手段が生成した属性証明書を含む利用要求データを生成し、データ管理機器の入出力手段は、データ取得手段が取得した利用要求データが含む暗号化データ識別情報と利用者識別情報と属性証明書とを表示し、データ利用機器によるデータの利用の諾否を示す指示を利用者に入力させてもよい。

復号鍵を用いて暗号化データを復号する復号手段と、暗号化データ識別情報を含み、データの利用許諾を要求する利用要求データを生成して近距離無線通信で送信するか、または利用要求データを表示手段に表示させる利用要求手段とを含む権限譲受機器を備え、データ利用機器は、権限譲受機器から利用要求データを取得した場合に、データを利用する権限を委譲する条件である再委譲条件に合致しているか否かを判断する権限再委譲手段と、データを権限譲受機器に利用させてよいか否かをデータ利用機器の利用者に判断させる入出力手段と、権限再委譲手段が権限の再委譲条件に合致していると判断し、入出力手段にデータを権限譲受機器に利用させてよいことを示す指示が入力された場合に、暗号化データ識別情報を含む再委譲認可データを権限管理手段に送信するデータ送信手段とを含み、権限管理手段の復号鍵送信手段は、再委譲認可データを受信した場合に、復号鍵を権限譲受機器に送信してもよい。

本発明によるデータ利用機器は、暗号化されたデータである暗号化データを復号するための復号鍵を用いて、暗号化データを復号する復号手段と、暗号化データを識別する暗号化データ識別情報を含み、データの利用許諾を要求する利用要求データを生成して近距離無線通信で送信して、または利用要求データを表示手段に表示させて、暗号化データの管理者にデータの利用を要求する利用要求手段とを備えたことを特徴とする。

データの利用方法を示す権限定義情報が示す利用方法に従って、データを利用する利用制御手段を含んでもよい。

他の機器から利用要求データを取得した場合に、データを利用する権限を委譲する条件である再委譲条件に合致しているか否かを判断する権限再委譲手段と、データを他の機器に利用させてよいか否かを利用者に判断させる入出力手段と、権限再委譲手段が権限の再委譲条件に合致していると判断し、入出力手段にデータを他の機器に利用させてよいことを示す指示が入力された場合に、暗号化データ識別情報を含む再委譲認可データを、復号鍵を送信する権限管理手段に送信するデータ送信手段とを含んでもよい。

本発明によるサーバは、暗号化されたデータである暗号化データを復号するための復号鍵、暗号化データを識別する暗号化データ識別情報、データの利用方法を示す権限定義情報、および暗号化データの管理者を示す管理者識別情報を対応づけて記憶するデータベースと、第１の移動機器から暗号化データ識別情報、および管理者識別情報を受信した場合に、データベースに記憶されている暗号化データ識別情報、および管理者識別情報に対応づけられた復号鍵、および権限定義情報を、第２の移動機器に送信する復号鍵送信手段とを備えたことを特徴とする。

本発明によるデータ管理機器は、データの利用許諾の要求を示し、暗号化データを識別する暗号化データ識別情報とデータの利用者を示す利用者識別情報とを含む利用要求データを、データを利用するデータ利用機器から取得するデータ取得手段と、データ取得手段が取得した利用要求データが含む暗号化データ識別情報と利用者識別情報とを表示し、データ利用機器によるデータの利用の諾否を示す指示を利用者に入力させる入出力手段とを備えたことを特徴とする。

データを暗号化して、暗号化データを生成する暗号化データ生成手段と、データ利用機器によるデータの利用方法を示す権限定義情報を生成する権限定義手段とを備えてもよい。

本発明によるデータ利用管理方法は、利用要求手段が、暗号化されたデータである暗号化データを識別する暗号化データ識別情報を含み、データの利用許諾を要求する利用要求データを生成して近距離無線通信で送信するか、または利用要求データを表示手段に表示させる利用要求ステップと、識別情報送信手段が、利用要求データを取得した場合に暗号化データの管理者を示す管理者識別情報、および利用要求データが含む暗号化データ識別情報を送信する識別情報送信ステップと、復号鍵送信手段が、識別情報送信ステップで送信された管理者識別情報、および暗号化データ識別情報を受信した場合に、復号鍵、暗号化データ識別情報、および管理者識別情報を対応づけて記憶するデータベースを参照して、受信した管理者識別情報、および暗号化データ識別情報に対応する復号鍵を送信する復号鍵送信ステップと、復号手段が、復号鍵送信ステップで送信された復号鍵を用いて、暗号化データを復号する復号ステップとを備えたことを特徴とする。

本発明によるプログラムは、コンピュータに、暗号化されたデータである暗号化データを復号するための復号鍵を用いて、暗号化データを復号する復号処理と、暗号化データを識別する暗号化データ識別情報を含み、データの利用許諾を要求する利用要求データを生成して近距離無線通信で送信して、または利用要求データを表示手段に表示させて、暗号化データの管理者にデータの利用を要求する利用要求処理とを実行させることを特徴とする。

本発明によるデータ管理プログラムは、コンピュータに、データの利用許諾の要求を示し、暗号化データを識別する暗号化データ識別情報とデータの利用者を示す利用者識別情報とを含む利用要求データを、データを利用するデータ利用機器から取得するデータ取得処理と、データ取得処理で取得した利用要求データが含む暗号化データ識別情報と利用者識別情報とを表示手段に表示し、利用者にデータ利用機器によるデータの利用の諾否を示す指示を入力手段に入力させる入出力処理とを実行させることを特徴とする。

本発明によれば、データ利用機器が利用要求データを近距離無線通信で送信等するので、データ利用者にデータ管理者と対面してデータの利用認可を受けさせ、データの利用を厳格に管理することができる。

データ利用機器が、受信した権限定義情報が示す利用方法に従って、データを利用する利用制御手段を含むように構成されている場合には、データ利用機器を用いたデータの利用方法を制限することができる。

データ利用機器が、受信した権限定義情報が示す利用方法および出力先に従って、権限定義情報が示す出力先にデータを出力する利用制御手段を含むように構成されている場合には、データ利用者が用いるデータ利用機器上でのデータ利用だけでなく、データ利用機器に接続される他の機器への出力についてもデータ管理者がその可否を指定することができる。

データ利用機器が、データの出力先の装置の認証を行う認証手段を含むように構成されている場合には、復号されたデータ（情報）が他の装置に漏洩することを未然に防ぐことができる。

データ利用機器の要求に応じて、データの利用者の属性を示す属性証明書を生成する属性証明書生成手段を備え、データ利用機器の利用要求手段が、属性証明書生成手段が生成した属性証明書を含む利用要求データを生成するように構成されている場合には、データ利用者の属性に応じて、データの利用管理を行うことができる。

データ利用機器が、権限再委譲手段が権限の再委譲条件に合致していると判断し、入出力手段にデータを権限譲受機器に利用させてよいことを示す指示が入力された場合に、暗号化データ識別情報を含む再委譲認可データを権限管理手段に送信するデータ送信手段を含むように構成されている場合には、権限譲受機器に、データを利用する権限を再委譲することができる。

本発明のデータ利用管理システムの第１の実施の形態の構成例を示すブロック図である。 権限管理手段の構成を説明する説明図である。 データ利用管理システムの第２の実施の形態における動作を説明するシーケンス図である。 本発明のデータ利用管理システムの第２の実施の形態の構成例を示すブロック図である。 管理者移動端末とデータ暗号化手段とが一体化された管理者移動端末の構成例を示すブロック図である。 本発明のデータ利用管理システムの第３の実施の形態における利用者移動端末の構成例を示すブロック図である。 機密データを外部出力装置に出力させる動作を説明するフローチャートである。 ユーザ入出力手段が表示するメニュー画面の一例を示す説明図である。 第３の実施の形態で用いられる表の例を示す説明図である。 利用方法とメニュー画面で表示される文字列と出力先インタフェースとの対応表の一例を示す説明図である。 利用方法とメニュー画面で表示される文字列と出力先インタフェースと出力先デバイスとの対応表の一例を示す説明図である。 第４の実施の形態の利用者移動端末と外部出力装置との構成例を示すブロック図である。 外部出力装置のプロファイル格納手段が記憶しているプロファイル情報の一例を示す説明図である。 認証ルールの例を示す説明図である。 機密データを外部出力装置に出力させる動作を説明するフローチャートである。 本発明のデータ利用管理システムの第５の実施の形態の構成例を示すブロック図である。 ＡＣ生成手段の一構成例を示す説明図である。 データ利用管理システムの第５の実施の形態における動作を説明するシーケンス図である。 属性データベースのディレクトリ構造の一例を示す説明図である。 属性証明書のフォーマットの一例を示す説明図である。 本発明のデータ利用管理システムの第６の実施の形態の構成例を示すブロック図である。 本発明の第６の実施の形態の動作を説明するシーケンス図である。 第２の権限証明書の構成例を示す説明図である。

符号の説明

１、５、６、１２０ 管理者移動端末
２、７ 利用者移動端末
３ 権限管理サーバ
４ データ暗号化手段
８ 外部出力装置
１０、２０ ユーザ入出力手段
１１、２１ 権限委譲手段
１２、２３ データ格納手段
１４ 第１のデータ利用者移動端末
１５ 第２のデータ利用者移動端末
２２ 利用制御手段
２４、２５ 証明書格納手段
３１ 権限管理手段
７１ 出力制御手段
９１ 出力装置認証手段
１００ 外部出力装置
１０１ プロファイル格納手段
１０２ 出力手段
１１０ 属性証明書サーバ
１１１ 属性データベース
１１２ ＡＣ生成手段
１１３ 鍵ペア格納手段
１２１ ＡＣ認証手段
１３１ ＡＣ取得手段
１４１ 第２の権限委譲手段
３１１ 機密データ情報格納手段

実施の形態１．
本発明のデータ利用管理システムの第１の実施の形態について、図面を参照して説明する。図１は、本発明のデータ利用管理システムの第１の実施の形態の構成例を示すブロック図である。

図１に示すデータ利用管理システムは、機密データを管理するデータ管理者に用いられる管理者移動端末（データ管理機器）１と、機密データを利用するデータ利用者に用いられる利用者移動端末（データ利用機器）２と、権限管理サーバ（サーバ）３と、データ暗号化手段４とを含む。

管理者移動端末１および利用者移動端末２は、例えば、ネットワークデバイスや２次元バーコード読み取りデバイスである通信手段（図示せず）をそれぞれ含む。ここで、ネットワークデバイスとは、他の機器とデータ通信を行うための通信手段であって、例えば、赤外線通信を行うためのデバイスや、Ｂｌｕｅｔｏｏｔｈで通信を行うためのデバイス、無線ＬＡＮターミナル、他の機器とＣＤＭＡ（Ｃｏｄｅ Ｄｉｖｉｓｉｏｎ Ｍｕｌｔｉｐｌｅ Ａｃｃｅｓｓ）方式で通信を行うためのデバイス、ＬＡＮにイーサネット（登録商標）接続するためのデバイス、インターネットを介して他の機器と通信を行うためのデバイスである。

なお、管理者移動端末１の通信手段が含む赤外線通信やＢｌｕｅｔｏｏｔｈ等の近距離無線通信を行うためのデバイスは、利用者移動端末２との通信に用いられる。そして、利用者移動端末２の通信手段が含む赤外線通信やＢｌｕｅｔｏｏｔｈ等の近距離無線通信を行うためのデバイスは、管理者移動端末１との通信に用いられる。従って、管理者移動端末１と利用者移動端末２との通信は、データ利用者がデータ管理者の近傍に位置している場合（例えば、データ利用者とデータ管理者とが対面している状態。）に行われる。

また、管理者移動端末１の通信手段が含む赤外線通信やＢｌｕｅｔｏｏｔｈ等の近距離無線通信を行うためのデバイス、およびインターネットを介して他の機器と通信を行うためのデバイスは、データ暗号化手段４との通信に用いられる。

また、管理者移動端末１および利用者移動端末２の通信手段が含むインターネットを介して他の機器と通信を行うためのデバイスは、権限管理サーバ３との通信に用いられる。なお、管理者移動端末１および利用者移動端末２は、利用する暗号化データごとに、異なる権限管理サーバを用いてもよい。

管理者移動端末１は、ユーザ入出力手段（入出力手段）１０と、権限委譲手段（識別情報送信手段、データ取得手段）１１と、データ格納手段１２とを含む。

ユーザ入出力手段１０は、例えば、液晶ディスプレイデバイス（ＬＣＤ：Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）等の表示手段と、キーボード等の入力手段とを含む。ユーザ入出力手段１０は、機密データの利用の認可を求める画面を表示する。また、ユーザ入出力手段１０には、データ管理者によって、機密データの利用の認可や、データ格納手段１２に格納されている暗号化機密データのブラウジング（表示）や、他機器への送信などの指示が入力される。

権限委譲手段１１は、利用者移動端末２の権限委譲手段２１から情報を取得する。また、権限委譲手段１１は、ユーザ入出力手段１０に、データ管理者によって機密データの利用の認可操作がなされた場合に、暗号化機密データを識別する機密データＩＤ（暗号化データ識別情報）と、利用者移動端末２の利用者を識別するデータ利用者ＩＤ（利用者識別情報）と、管理者移動端末１の利用者を識別する管理者ＩＤ（管理者識別情報）とを含む情報である認可トークンを生成して、権限管理サーバ３に送信する。

データ格納手段１２は、例えば、フラッシュメモリやハードディスクなどの不揮発性記憶デバイスを含み、暗号化された機密データ（暗号化機密データ）を格納する。また、ユーザ入出力手段１０になされた操作に応じて、格納されている暗号化機密データの一覧データを作成し、ユーザ入出力手段１０を介してデータ管理者に提示したり、特定の暗号化機密データを他の移動端末に出力したりする。

また、データ格納手段１２として、ＳＤメモリカードやＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）キーが暗号化機密データを格納してもよい。また、データ格納手段１２は、赤外線通信や、Ｂｌｕｅｔｏｏｔｈ、インターネットを介した通信によって、データ暗号化手段４から暗号化機密データを受信して格納してもよい。

利用者移動端末２は、ユーザ入出力手段２０と、権限委譲手段（利用要求手段）２１と、利用制御手段（復号手段）２２と、データ格納手段２３と、証明書格納手段２４とを含む。

ユーザ入出力手段２０は、例えば、液晶ディスプレイデバイス等の表示手段と、キーボード等の入力手段とを含む。ユーザ入出力手段２０は、データ格納手段２３に格納されている暗号化機密データの一覧をデータ利用者に提示したり、データ利用者による利用要求操作を権限委譲手段２１に伝達したり、データ利用者によってなされた操作を利用制御手段２２に伝達したりする。

権限委譲手段２１は、データ利用者によってユーザ入出力手段２０になされた操作に応じて、機密データＩＤとデータ利用者ＩＤとを含み、データ格納手段２２に格納されている暗号化機密データの利用の要求を示す情報である利用要求データとして利用要求トークンを生成する。

利用制御手段２２は、例えば、復号プログラムや動画再生プログラムなどを格納した不揮発性記憶デバイス、当該不揮発性記憶デバイスに格納されているプログラムを実行するためのＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、および１次記憶デバイスを含む。

利用制御手段２２は、データ利用者によってユーザ入出力手段２０になされた操作に応じて、復号鍵を用いてデータ格納手段２３に格納されている暗号化機密データを復号し、復号済みデータ（機密データ）をユーザ入出力手段２０を介してデータ利用者に提示する。また、利用制御手段２２は、機密データの利用に必要な復号鍵を含む権限証明書を権限管理サーバ３からダウンロードまたは受信し、証明書格納手段２４に格納する。

データ格納手段２３は、例えば、フラッシュメモリやハードディスクアレイなどの不揮発性記憶デバイスを含み、暗号化機密データを格納する。また、データ利用者によってユーザ入出力手段１０になされた操作に応じて、格納されている暗号化機密データの一覧データを作成して、ユーザ入出力手段２０を介してデータ管理者に提示したり、暗号化機密データを他の移動端末などの機器へ送信したりする。

証明書格納手段２４は、例えば、フラッシュメモリやハードディスクアレイなどの不揮発性記憶デバイスを含み、権限証明書を格納する。また、証明書格納手段２４は、利用制御手段２２が機密データＩＤを指定して行った権原証明書の出力要求に応じて、当該機密データＩＤに対応する権限証明書を利用制御手段２２に出力する。

権限管理サーバ３は、権限管理手段（復号鍵送信手段）３１を含む。図２は、権限管理手段３１の構成を説明する説明図である。権限管理手段３１は、機密データ情報格納手段（データベース）３１１を含む。機密データ情報格納手段３１１は、例えば、データベースである。機密データ情報格納手段３１１は、暗号化機密データの復号鍵、機密データＩＤ、機密データの管理者を識別するデータ管理者ＩＤ、およびデータ利用者の利用権限を示す権限定義情報を含む権限データを格納する。

なお、権限定義情報は、例えば、データ利用者に許可する機密データの利用方法のリストである。

また、権限管理手段３１は、機密データＩＤ、データ利用者ＩＤ、権限定義情報、および復号鍵を含む権限証明書を生成して、利用者移動端末２に送信する。なお、権限管理手段３１は、利用者移動端末２の利用制御手段２２から権限証明書送信要求を受信した場合に、権限証明書を利用者移動端末２に送信してもよい。

データ暗号化手段４は、例えば、暗号化プログラムなどを格納した不揮発性記憶デバイス、当該不揮発性記憶デバイスに格納されているプログラムを実行するためのＣＰＵおよび１次記憶デバイスを含むコンピュータである。

データ暗号化手段４は、機密データを暗号化した暗号化機密データ、暗号化機密データを復号するための復号鍵、および暗号化機密データを識別する機密データＩＤを生成する暗号化データ生成手段４１と、権限定義情報を生成する権限定義手段４２と、機密データＩＤ、復号鍵、データ管理者ＩＤ、および権限定義情報を含む機密データ情報を生成して、権限管理サーバ３に送信する情報送信手段４３と、暗号化機密データを出力するデータ出力手段４４とを含む。

なお、データ出力手段４４は、例えば、ＳＤメモリカードや、ＵＳＢキー等のポータブルメモリデバイスのスロットであってもよいし、管理者移動端末１のデータ格納手段１２と赤外線通信や、Ｂｌｕｅｔｏｏｔｈ、インターネットを介した通信を行う通信手段であってもよい。

なお、暗号化データ生成手段４１は、乱数発生器を備えてランダムな復号鍵を生成してもよいし、他の信頼できる鍵生成サーバなどから復号鍵を取得してもよいし、他の方法で復号鍵を生成または取得してもよい。

なお、暗号化データ生成手段４１は、機密データＩＤの唯一性が保証される方法を用いて、生成した暗号化機密データを示す機密データＩＤを生成する。具体的には、例えば、ＲＦＣ（Ｒｅｑｕｅｓｔ Ｆｏｒ Ｃｏｍｍｅｎｔ）−４１２２（参考文献１）に記載されているＵｎｉｖｅｒｓａｌ Ｕｎｉｑｕｅ Ｉｄｅｎｔｉｆｉｅｒ（ＵＵＩＤ）を用いる。そして、暗号化手段４１は、機密データを暗号化した部分と、機密データＩＤを示す部分とを含む暗号化機密データを生成する。

［参考文献１］
Ｐ．Ｌｅａｃｈ、外２名、“ＲＦＣ−４１２２−Ａ Ｕｎｉｖｅｒｓａｌｌｙ Ｕｎｉｑｕｅ ＩＤｅｎｔｉｆｉｅｒ（ＵＵＩＤ） ＵＲＮ Ｎａｍｅｓｐａｃｅ”、［ｏｎｌｉｎｅ］、２００５年７月、Ｎｅｔｗｏｒｋ Ｗｏｒｋｉｎｇ Ｇｒｏｕｐ、［平成１８年８月２３日検索］、インターネット＜ＵＲＬ：http://rfc.sunsite.dk/rfc/rfc4122.html＞

また、権限定義手段４２は、生成した個々の暗号化機密データに応じた権限定義情報を生成してもよいし、機密データの利用を許可するデータ利用者に応じた権限定義情報を生成してもよい。

なお、利用者移動端末２は、コンピュータに、暗号化されたデータである暗号化データを復号するための復号鍵を用いて、暗号化データを復号する復号処理と、暗号化データを識別する暗号化データ識別情報を含み、データの利用許諾を要求する利用要求トークンを生成して近距離無線通信で送信して、または利用要求トークンを表示手段に表示させて、暗号化データの管理者にデータの利用を要求する利用要求処理とを実行させることを特徴とするデータ利用プログラムを搭載している。

また、管理者移動端末１は、コンピュータに、データの利用許諾の要求を示し、暗号化データを識別する暗号化データ識別情報とデータの利用者を示す利用者識別情報とを含む利用要求トークンをデータを利用するデータ利用機器から取得するデータ取得処理と、データ取得処理で取得した利用要求トークンが含む暗号化データ識別情報と利用者識別情報とを表示手段に表示し、利用者にデータ利用機器によるデータの利用の諾否を示す指示を入力手段に入力させる入出力処理とを実行させることを特徴とするデータ管理プログラムを搭載している。

次に、第１の実施の形態のデータ利用管理システムの動作について、図面を参照して説明する。図３は、データ利用管理システムの第１の実施の形態における動作を説明するシーケンス図である。

なお、本実施の形態ではデータ管理者が管理者移動端末１およびデータ暗号化手段４を用い、データ利用者が利用者移動端末２を用い、権利管理サービス事業者が権限管理サーバ３を運用する。

データ暗号化手段４の暗号化データ生成手段４１は、データ管理者の指示に従って、利用管理の対象となる機密データを暗号化した暗号化機密データ、その暗号化機密データを復号するための復号鍵、およびその暗号化機密データを識別する機密データＩＤを生成する（ステップＳ１０１）。データ暗号化手段４の権限定義手段４２は、データ管理者の指示に従って権限定義情報を生成する。

データ暗号化手段４の情報送信手段４３は、生成した暗号化機密データを管理者移動端末１に送信する（ステップＳ１０２）。管理者移動端末１は、受信した暗号化機密データをデータ格納手段１２に格納する（ステップＳ１０３）。

データ暗号化手段４の情報送信手段４３は、権利管理サーバ３に、機密データＩＤと復号鍵とデータ管理者ＩＤと権限定義情報とを含む機密データ情報を送信する（ステップＳ１０４）。機密データ情報を受信した権利管理サーバ３は、データベースの１レコードに、機密データ情報に記載された機密データＩＤと復号鍵とデータ管理者ＩＤと権限定義情報との組を、権限データとして登録する（ステップＳ１０５）。

管理者移動端末１の権限委譲手段１１は、ユーザ入出力手段１０に入力されたデータ管理者の指示に従って、データ格納手段１２に格納されている暗号化機密データを、利用者移動端末２に送信する（ステップＳ１０６）。具体的には、管理者移動端末１の権限委譲手段１１は、例えば、通信ネットワークを介して特定または不特定の利用者移動端末２にプッシュ配信（マルチキャストやブロードキャスト）してもよいし、任意のファイルサーバを介して利用者移動端末２に暗号化機密情報をダウンロードさせてもよい。また、管理者移動端末１のデータ格納手段１２および利用者移動端末２のデータ格納手段２３が、ＳＤメモリカードやＵＳＢキーなどのポータブルメモリデバイスによって実現されている場合には、暗号化機密データを格納した当該デバイスが、管理者移動端末１のデータ管理者によって、利用者移動端末２のデータ利用者に手渡されてもよい。

利用者移動端末２の権限委譲手段２１は、管理者移動端末１の権限委譲手段１１が送信した暗号化機密データを、データ格納手段２３に格納する。

データ利用者が機密データを利用する場合の動作について説明する。

利用者移動端末２の権限委譲手段２１は、データ格納手段２３に格納されている暗号化機密データを示す機密データＩＤとデータ利用者ＩＤとを含み、その暗号化機密データの利用の要求を示す利用要求トークンを生成し（ステップＳ１０７）、生成した利用要求トークンをデータ管理者の管理者移動端末１に送信する（ステップＳ１０８）。

ここで、データ利用者に後述する認可処理をデータ管理者と対面して行わせるために、利用要求トークンの送信は、赤外線通信やＢｌｕｅｔｏｏｔｈ等の近距離無線通信によって行われる。なお、利用者移動端末２の権限委譲手段２１は、利用要求トークンを２次元バーコードに符号化した画像をユーザ入出力手段２０に表示させ、管理者移動端末１が含む２次元バーコード読み取りデバイスに、その画像を読み取らせてもよい。

利用要求トークンを取得した管理者移動端末１の権限委譲手段１１は、利用要求情報をユーザ入出力手段１０に表示させ（ステップＳ１０９）、データ管理者に認可処理を行わせる。なお、利用要求情報には、利用要求トークンが含む機密データＩＤおよびデータ利用者ＩＤが含まれる。また、認可処理とは、データ管理者が、データ利用者による機密データの利用を認可するために、管理者移動端末１のユーザ入出力手段１０に指示を入力する処理である。

管理者移動端末１の権限委譲手段１１は、ユーザ入出力手段１０に、データ管理者からデータ利用者による機密データの利用を認可する指示が入力された場合に、利用要求トークンが含む機密データＩＤおよびデータ利用者ＩＤと、データ管理者ＩＤとを含む認可トークンを生成し（ステップＳ１１０）、生成した認可トークンを権利管理サーバ３に送信する（ステップＳ１１１）。なお、データ管理者が、データ利用者による機密データの利用を認可しない場合には、管理者移動端末１は処理を終了する。

認可トークンを受信した権限管理サーバ３の権限管理手段３１は、機密データ情報格納手段３１１（データベース）のレコードを走査（参照）し、受信した認可トークンが含む機密データＩＤとデータ管理者ＩＤとの組に合致するレコードが存在する場合に、当該レコードに登録されている権限定義情報を参照して、機密データＩＤ、データ利用者ＩＤ、権限定義情報、および復号鍵が記載された権限証明書を生成する（ステップＳ１１２）。

権限管理サーバ３の権限管理手段３１は、生成した権限証明書を、利用者移動端末２の利用制御手段２２に送信する（ステップＳ１１３）。なお、権限管理サーバ３の権限管理手段３１は、ステップＳ１１２（権限証明書の生成）とステップＳ１１３（権限証明書の送信）とを連続して実行しなくてもよい。例えば、権限管理サーバ３の権限管理手段３１は、ステップＳ１１２（権限証明書の生成）の後、利用者移動端末２の利用制御手段２２が、権限管理サーバ３の権限管理手段３１に権限証明書の送信を要求して、権限証明書をダウンロードするようにしてもよい。

権限証明書を受信した利用者移動端末２の利用制御手段２２は、受信した権限証明書を証明書格納手段２４に格納すると共に、受信した権限証明書に記載されている復号鍵を用いて、データ格納部２３に格納されている暗号化機密データを復号し（ステップＳ１１４）、ユーザ入出力部２０に入力される操作に応じて、復号された機密データの利用処理を実行する（ステップＳ１１５）。

ここで、利用者移動端末２の利用制御手段２２が行う機密データの利用処理は、権限証明書に記載された権限定義情報によって許可された利用方法に限定される。例えば、再生操作に対して予め操作ＩＤ「ｐｌａｙ」が割り当てられ、「ｐｌａｙ」のみが権限定義情報によって許可されている場合、利用制御手段２２は、「ｐｌａｙ」に相当する操作（例えば、ユーザ入出力部２０を介した機密データの表示）のみを受け付け、その他の操作を全て拒否する。

本実施の形態では、データ利用者が機密データを利用するためには、利用者移動端末２から近接通信（近距離無線通信等）によって送信等される利用要求トークンをデータ管理者が用いる管理者移動端末１が受信しなければならない。そのため、データ管理者とデータ利用者との対面による機密データの利用管理を実現することができる。

従って、例えば、ある保守作業員（データ利用者）がある顧客（データ管理者）と同じ構内で機密として保護すべき顧客データを取り扱う場合に、保守作業員は、当該顧客との対面の下で認可をうける必要があるので、保守作業員が構外で当該顧客データを利用するという不正利用を未然に防止することができる。

また、保守作業員（データ利用者）が持ち歩く利用者移動端末２に格納された機密データは予め暗号化されているので、保守作業員が移動中に利用者移動端末２を紛失したり、盗難されたりしても、顧客データの外部漏洩を防止することができる。

なお、権限定義情報が権限証明書の有効期限の条件を示す情報を含み、利用者移動端末２の利用制御手段２２が権限定義情報が示す権限証明書の有効期限を随時確認してもよい。具体的には、例えば、データ利用者に対して発行される権限証明書に数分など短い時間で失効するように有効期限に関する条件を記載しておき、データ利用者が用いる利用者移動端末２の利用制御手段２２が、権限証明書の有効期限を随時確認してもよい。

そのように構成した場合には、例えば、娯楽コンテンツ（機密データ）の購入者（データ管理者）が近接した空間内にいる友人など（データ利用者）と、購入者が所有する娯楽コンテンツ（機密データ）を一時的に共有することができる。

なお、データ利用者ＩＤは、利用者移動端末２が備えるＳＩＭ（Ｓｕｂｓｃｒｉｂｅｒ Ｉｄｅｎｔｉｔｙ Ｍｏｄｕｌｅ）や、ＵＳＩＭ（Ｕｎｉｖｅｒｓａｌ ＳＩＭ）等の不揮発性メモリに記憶されている。

また、データ管理者ＩＤは、管理者移動端末１が備えるＳＩＭや、ＵＳＩＭ（Ｕｎｉｖｅｒｓａｌ ＳＩＭ）等の不揮発性メモリに記憶されている。また、データ暗号化手段４は、予めデータ管理者ＩＤを記憶している。

なお、データ暗号化手段４が権限定義手段４２を備える代わりに、権限管理サーバ３が権限定義手段４２を備えてもよく、データ暗号化手段４を実現するコンピュータに入力されたデータ管理者の指示に従って、当該コンピュータにインターネット等の通信ネットワークを介して接続された権限管理サーバ３の権限定義手段４２が、権限定義情報を生成してもよい。

実施の形態２．
次に、本発明のデータ利用管理システムの第２の実施の形態について、図面を参照して説明する。図４は、本発明のデータ利用管理システムの第２の実施の形態の構成例を示すブロック図である。

図４に示すデータ利用管理システムは、図１に示す第１の実施の形態のデータ利用管理システムの管理者移動端末１および権限管理サーバ３に代えて、管理者移動端末５を含む。その他の構成要素は第１の実施の形態のデータ利用管理システムの各構成要素と同様なため、図１と同じ符号を付し、説明を省略する。

管理者移動端末５は、図１に示す第１の実施の形態の管理者移動端末１の各構成要素に加えて、権限委譲手段１１にローカル配線によって接続された権限管理手段３１を含む点が、図１に示す第１の実施の形態の管理者移動端末１と異なる。

各構成要素の動作は、第１実施の形態における動作と同様であるが、本実施の形態では、データ管理者が、第１実施形態における権限管理サービス事業者の役割を兼ねる。

本実施の形態によれば、権限管理サーバ３が不要になるので、データ利用管理システムの構築および導入がより容易になるという効果を奏する。

なお、管理者移動端末５とデータ暗号化手段４とが一体化されていてもよい。図５は、管理者移動端末５とデータ暗号化手段４とが一体化された管理者移動端末６の構成例を示すブロック図である。

そのように構成した場合には、データ管理者は、ＰＤＡやノート型パーソナルコンピュータなどの高機能な移動端末を管理者移動端末６として用いて、機密データの作成、配布、および利用管理を一貫して行うことができる。

実施の形態３．
次に、本発明のデータ利用管理システムの第３の実施の形態について説明する。本発明のデータ利用管理システムの第３の実施の形態の構成は、図１に示す第１の実施の形態のデータ利用管理システムの利用者移動端末２に代えて、外部出力装置８に接続された利用者移動端末７を含む。その他の構成要素は、第１の実施の形態における各構成要素と同様なため、図１と同じ符号を付し、説明を省略する。図６は、本発明のデータ利用管理システムの第３の実施の形態における利用者移動端末７の構成例を示すブロック図である。

図６に示す利用者移動端末７は、図１に示す第１の実施の形態の利用者移動端末２の構成要素に加えて、利用制御手段２２に接続された出力制御手段７１を含む。また、出力制御手段７１には、外部出力装置８が接続されている。

出力制御手段７１は、利用制御手段２２から出力装置指示情報と復号された機密データとが入力された場合に、出力装置指示情報で指定された外部出力装置８へ機密データを送信する。

外部出力装置８は、例えば、プロジェクタ、ＬＣＤ、プリンタ、およびスピーカ等のデータ出力装置である。

次に、第３の実施の形態のデータ利用管理システムの動作について、図面を参照して説明する。なお、本実施の形態において、利用者移動端末７に権限証明書が送信されるまでの各構成要素の動作は、図３に示す第１の実施の形態のステップＳ１０１からステップＳ１１３までの各構成要素の動作と同様なため、説明を省略する。

図７は、機密データを外部出力装置８に出力させる動作を説明するフローチャートである。なお、本例では、機密データを「ｐｌａｙ」および「ｐｒｉｎｔ」に利用することを許可することが権限証明書に記載されているものとする。また、利用方法「ｐｌａｙ」は「端末で表示」に対応し、利用方法「ｐｒｉｎｔ」は「プリンタ印刷」に対応するものとする。

権限証明書を受信した利用者移動端末７の利用制御手段２２は、受信した権限証明書を証明書格納手段２４に格納する。そして、利用制御手段２２は権限証明書に記載された権限定義情報にもとづいて、メニュー画面をユーザ入出力手段２０に表示させ（ステップＳ２０１）、機密データの利用方法をデータ利用者に選択させる（ステップＳ２０２）。

図８は、ユーザ入出力手段２０が表示するメニュー画面の一例を示す説明図である。図８に示す例では、ユーザ入出力手段２０が表示するメニュー画面を用いて、データ利用者に、機密データを端末に表示させるのか、またはプリンタに印刷させるのかを選択させる。

なお、利用方法とメニュー画面で表示される文字列とを対応づける表は、予め利用制御手段２２が備える読出し専用メモリに格納されていてもよいし、権限証明書に記載されていてもよい。図９（ａ）は、利用制御手段２２が備える読出し専用メモリに格納されている利用方法とメニュー画面で表示される文字列とを対応づける表の一例を示す説明図である。図９（ｂ）は、権限証明書に記載されている利用方法とメニュー画面で表示される文字列とを対応づける表の一例を示す説明図である。図９（ａ）および図９（ｂ）に示す例では、利用方法「ｐｒｉｎｔ」はメニュー文字列「プリンタ印刷」に対応し、利用方法「ｐｌａｙ」はメニュー文字列「端末で表示」に対応していることを示している。

なお、利用制御手段２２は、利用方法とメニュー画面で表示される文字列と出力先インタフェースとの対応表が記憶されている不揮発性メモリを含む。図１０は、利用方法とメニュー画面で表示される文字列と出力先インタフェースとの対応表の一例を示す説明図である。図１０に示す例では、利用方法「ｐｒｉｎｔ」はメニュー文字列「プリンタ印刷」および出力先インタフェース「出力制御手段」に対応し、利用方法「ｐｌａｙ」はメニュー文字列「端末で表示」および出力先インタフェース「ユーザ入出力手段」に対応していることを示している。

利用制御手段２２は、データ利用者によって選択された利用方法に対応する出力先インタフェースが、ユーザ入出力手段２０であるのか、または出力制御手段７１であるのかを、利用方法とメニュー画面で表示される文字列と出力先インタフェースとの対応表を参照して決定する（ステップＳ２０３）。

例えば、図８に示すメニュー画面において、「端末で表示」メニューが選択された場合に、利用制御手段２２は、不揮発性メモリが記憶している対応表を参照して、出力先インタフェースがユーザ入出力手段２０であると決定する。また、図８に示すメニュー画面において、「プリンタ印刷」メニューが選択された場合に、利用制御手段２２は、不揮発性メモリが記憶している対応表を参照して、出力先インタフェースが出力制御手段７１であると決定する。

利用制御手段２２は、暗号化機密データを、権限証明書に記載された復号鍵を用いて復号しながら（ステップＳ２０４）、平文の機密データ（暗号化されていない機密データ）を、ステップＳ２０３で決定した出力先インタフェースに出力する（ステップＳ２０５）。

出力先インタフェースがユーザ入出力手段２０である場合、ユーザ入出力手段２０は、入力された平文の機密データを表示してデータ利用者に提示する。出力先インタフェースが出力制御手段７１である場合、出力制御手段７１は、平文の機密データを、適切な外部出力装置８に出力する。

なお、外部出力装置８が複数ある場合には、利用制御手段２２は、利用方法とメニュー画面で表示される文字列と出力先インタフェースと出力先デバイスとの対応表が記憶されている不揮発性メモリを含んでいてもよい。図１１は、利用方法とメニュー画面で表示される文字列と出力先インタフェースと出力先デバイスとの対応表の一例を示す説明図である。図１１に示す例では、利用方法「ｐｒｉｎｔ」は、メニュー文字列「プリンタ印刷」、出力先インタフェース「出力制御手段」および出力先デバイス「プリンタ」に対応し、利用方法「ｐｌａｙ」は、メニュー文字列「端末で表示」、出力先インタフェース「ユーザ入出力手段」および出力先デバイス「ＬＣＤ」に対応していることを示している。

本実施の形態では、利用者移動端末７を用いて機密データを利用する場合だけでなく、外部出力装置８を用いて機密データを利用する場合もデータ管理者による認可を必要とするので、より機密データの安全性を高めることができる。

実施の形態４．
次に、本発明のデータ利用管理システムの第４の実施の形態について説明する。第４の実施の形態のデータ利用管理システムは、第３の実施の形態の利用者移動端末７に代えて、外部出力装置１００に接続された利用者移動端末９を含む。

図１２は、第４の実施の形態の利用者移動端末９と外部出力装置１００との構成例を示すブロック図である。図１２に示す例では、利用者移動端末９が出力装置認証手段（認証手段）９１を含む点が第３の実施の形態の利用者移動端末７と異なり、外部出力装置１００がプロファイル格納手段１０１と出力手段１０２とを含む点が第３の実施の形態の外部出力装置８と異なる。

その他の構成要素は、第１の実施の形態における各構成要素、および第３の実施の形態における各構成要素と同様なため、図１または図６と同じ符号を付し、説明を省略する。

外部出力装置１００は、プロファイル格納手段１０１と出力手段１０２とを含む。プロファイル格納手段１０１は、外部出力装置１００のプロファイル情報を格納している記憶手段（例えば、不揮発性メモリ。）を含み、利用者移動端末９から受信したプロファイル送信要求に応じて、記憶手段が格納しているプロファイル情報を利用者移動端末９に送信する。なお、プロファイル情報（認証情報）は、機器（外部出力装置１００）を特定する機器ＩＤと、機器が有する機能などを示す属性情報とを含む。属性情報は、例えば、プリンタやディスプレイなどの機器種別や、データを恒久的または一時的に格納できるストレージを備えるか否かというフラグ、さらに別の機器への接続機能を持つか否かのフラグを含む。

出力手段１０２は、利用者移動端末９から入力された機密データを介して出力する出力デバイスであり、例えば、印刷ドラムを含む印刷手段や、ＬＣＤである。

図１３は、外部出力装置１００のプロファイル格納手段１０１が記憶しているプロファイル情報の一例を示す説明図である。図１３に示す例では、外部出力装置１００を識別する機器ＩＤ（属性名は「ｉｄ」）が「ＰＲ０００１０１」（属性値）であり、外部出力装置１００の機器種別（属性名は「ｔｙｐｅ」）が「ＰＲＩＮＴＥＲ」（属性値）であることを示している。

また、図１３に示す例では、外部出力装置１００がデータを恒久的または一時的に格納する格納手段を備えていないことをフラグで示し（つまり、属性名「ｈａｓＳｔｏｒａｇｅ」の属性値が「ＦＡＬＳＥ」）、外部出力装置１００が他の機器への接続機能を有していないことをフラグで示している（つまり、属性名「ｈａｓＥｘｔｅｒｎａｌＯｕｔｐｕｔ」の属性値が「ＦＡＬＳＥ」）。

利用者移動端末９の出力装置認証手段９１は、外部出力装置１００から受信したプロファイル情報と、認証基準（認証ルール）とを照合して得られる認証結果に応じて、出力制御手段７１が出力した機密データを外部出力装置１００へ送信する。なお、出力装置認証手段９１は、認証ルールを予め記憶している記憶手段（例えば、不揮発性メモリ）を含む。

図１４は、認証ルールの例を示す説明図である。図１４に示す認証ルールでは、属性名と属性値との組に関する述語が表現されている。なお、属性名は機器ＩＤを含んでもよい。

図１４の第１行目に示す例では、出力装置の機器種別（属性名は「ｔｙｐｅ」）が「ＰＲＩＮＴＥＲ」（属性値）であり、出力装置がデータを恒久的または一時的に格納する格納手段を備えていないことをフラグで示され（つまり、属性名「ｈａｓＳｔｏｒａｇｅ」の属性値が「ＦＡＬＳＥ」）、出力装置が他の機器への接続機能を有していないことがフラグで示されているプロファイル情報は（つまり、属性名「ｈａｓＥｘｔｅｒｎａｌＯｕｔｐｕｔ」の属性値が「ＦＡＬＳＥ」）、認証ルールを満たすことを表している。

次に、第４の実施の形態のデータ利用管理システムの動作について、図面を参照して説明する。なお、本実施の形態において、利用者移動端末７に権限証明書が送信されるまでの各構成要素の動作は、図３に示す第１の実施の形態のステップＳ１０１からステップＳ１１３までの各構成要素の動作と同様なため、説明を省略する。

図１５は、機密データを外部出力装置１００に出力させる動作を説明するフローチャートである。なお、本例では、外部出力装置１００はプリンタであり、機密データを「ｐｌａｙ」および「ｐｒｉｎｔ」に利用することを許可することが権限証明書に記載されているとする。また、利用方法「ｐｌａｙ」は「端末で表示」に対応し、利用方法「ｐｒｉｎｔ」は「プリンタ印刷」に対応するとする。

権限証明書を受信した利用者移動端末７の利用制御手段２２は、受信した権限証明書を証明書格納手段２４に格納する。そして、利用制御手段２２は権限証明書に記載された権限定義情報を読み取って、メニュー画面をユーザ入出力手段２０に表示させ（ステップＳ３０１）、機密データの利用方法をデータ利用者に選択させる（ステップＳ３０２）。

利用制御手段２２は、データ利用者によって選択された利用方法に対応する出力先インタフェースが、ユーザ入出力手段２０であるのか、または出力制御手段７１であるのかを、利用方法とメニュー画面で表示される文字列と出力先インタフェースとの対応表を参照して決定する（ステップＳ３０３）。本例では、出力先インタフェースが出力制御手段７１であると決定されたとする。

利用制御手段２２は、暗号化機密データを権限証明書に記載された復号鍵を用いて復号しながら（ステップＳ３０４）、平文の機密データを、出力制御手段７１を介して出力装置認証手段９１に出力する。

出力装置認証手段９１は、外部出力装置１００にプロファイル送信要求を送信する（ステップＳ３０５）。

プロファイル送信要求を受信した外部出力装置１００は、プロファイル格納手段１０１に予め格納されているプロファイル情報を出力装置認証手段９１に送信する（ステップＳ３０６）。

出力装置認証手段９１は、プロファイル格納手段１０１からプロファイル情報を受信する。そして、出力装置認証手段９１は、プロファイル情報が含む機器ＩＤや属性情報と、記憶手段が記憶している認証ルールとにもとづいて、外部出力装置１００が出力装置として適正であるか否かを判定する（ステップＳ３０７）。

出力装置認証手段９１は、外部出力装置１００が機密データを得るに不適切であると判定した場合（ステップＳ３０７のＮ）、入力された機密データの外部出力装置１００への送信を遮断する（ステップＳ３０８）。

出力装置認証手段９１は、外部出力装置１００が適正であると判定した場合（ステップＳ３０７のＹ）、機密データを外部出力装置１００に送信する（ステップＳ３０９）。

なお、出力装置認証手段９１は、機密データの盗聴を防ぐために、外部出力装置１００との間でＳｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ（ＳＳＬ）などの暗号化通信路を確立してもよい。

機密データを受信した外部出力装置１００の出力手段１０２は、機密データを出力する（ステップＳ３１０）。

本実施の形態では、出力装置認証手段９１が、プロファイル情報にもとづいて外部出力装置１００が機密情報の出力装置として適正であるか否かの認証動作を行うので、例えば、録画機能つきのパーソナルコンピュータや、他の移動端末への平文の機密データの漏洩を未然に防止することができる。

実施の形態５．
次に、本発明のデータ利用管理システムの第５の実施の形態について、図面を参照して説明する。図１６は、本発明のデータ利用管理システムの第５の実施の形態の構成例を示すブロック図である。

図１６に示すデータ利用管理システムは、属性証明書（ＡＣ：Ａｔｔｒｉｂｕｔｅ Ｃｅｒｔｉｆｉｃａｔｅ）サーバ１１０を含み、図１に示す第１の実施の形態のデータ利用管理システムの管理者移動端末１に代えて、管理者移動端末１２０を含み、図１に示す第１の実施の形態のデータ利用管理システムの利用者移動端末２に代えて、利用者移動端末１３を含む。その他の構成要素は第１の実施の形態のデータ利用管理システムの各構成要素と同様なため、図１と同じ符号を付し、説明を省略する。

図１６に示すように、属性証明書サーバ１１０は、属性データベース１１１と、ＡＣ生成手段（属性証明書生成手段）１１２とを含む。

属性データベース１１１には、データ利用者ＩＤに対応づけられ、データ利用者の所属などを示す属性名と属性値との組が１つ以上格納されており、ＡＣ生成手段１１２からデータ利用者ＩＤが入力された場合に、入力されたデータ利用者ＩＤに対応する属性名と属性値との組のリストを出力する。

ＡＣ生成手段１１２は、データ利用者の移動端末１３からデータ利用者ＩＤを受信した場合に、受信したデータ利用者ＩＤに対応する属性名と属性値との組のリストを属性データベース１１１から取得し、取得したリストを記載し、データ利用者の属性を示す属性証明書を生成して、利用者移動端末１３に送信する。

なお、ＡＣ生成手段１１２は、鍵ペア格納手段１１３を含む。図１７は、ＡＣ生成手段１１２の一構成例を示す説明図である。鍵ペア格納手段１１３は、属性証明書にデジタル署名を行うサーバまたは事業者である属性オーソリティの公開鍵と秘密鍵との組を格納している。

利用者移動端末１３は、ＡＣ取得手段１３１を含む。ＡＣ取得手段１３１は、権限委譲手段２１による利用要求トークン生成時に、属性証明書を権限委譲手段２１に出力する。権限委譲手段２１は、属性証明書を含む利用要求トークンを生成して、管理者移動端末１２０に送信する。

管理者移動端末１２０は、ＡＣ認証手段１２１を含む。ＡＣ認証手段１２１は、データ利用者が用いる利用者移動端末１３から受信した利用要求トークンに含まれる属性証明書に記載された属性名と属性値との組のリストを抽出して、権限委譲手段１１に出力する。

次に、第５の実施の形態のデータ利用管理システムの動作について、図面を参照して説明する。図１８は、データ利用管理システムの第５の実施の形態における動作を説明するシーケンス図である。

データ暗号化手段４の暗号化データ生成手段４１は、データ管理者の指示に従って、利用管理の対象となる機密データを暗号化した暗号化機密データ、その暗号化機密データを復号するための復号鍵、およびその暗号化機密データを識別する機密データＩＤを生成する（ステップＳ４０１）。データ暗号化手段４の権限定義手段４２は、データ管理者の指示に従って権限定義情報を生成する。

データ暗号化手段４の情報送信手段４３は、生成した暗号化機密データを管理者移動端末１２０に送信する（ステップＳ４０２）。管理者移動端末１２０は、受信した暗号化機密データをデータ格納手段１２に格納する（ステップＳ４０３）。

データ暗号化手段４の情報送信手段４３は、権利管理サーバ３に、機密データＩＤと復号鍵とデータ管理者ＩＤと権限定義情報とを含む機密データ情報を送信する（ステップＳ４０４）。機密データ情報を受信した権利管理サーバ３は、データベースの１レコードに、機密データ情報に記載された機密データＩＤと復号鍵とデータ管理者ＩＤと権限定義情報との組を、権限データとして登録する（ステップＳ４０５）。

管理者移動端末１２０の権限委譲手段１１は、ユーザ入出力手段１０に入力されたデータ管理者の指示に従って、データ格納手段１２に格納されている暗号化機密データを、利用者移動端末２に送信する（ステップＳ４０６）。利用者移動端末１３の権限委譲手段２１は、管理者移動端末１２０の権限委譲手段１１が送信した暗号化機密データを、データ格納手段２３に格納する。

利用者移動端末１３の権限委譲手段２１は、ＡＣ取得手段１３１に属性証明書の取得を要求する。ＡＣ取得手段１３１は、権限委譲手段２１の要求に応じて、データ利用者ＩＤを含み、属性証明書の送信の要求を示す属性証明書要求を生成する（ステップＳ４０７）。

ＡＣ取得手段１３１は、所定の属性オーソリティが運用する権限証明書サーバ１１０に、属性証明書要求を送信する（ステップＳ４０８）。

属性証明書要求を受信した権限証明書サーバ１１のＡＣ生成手段１１２は、属性証明書要求に含まれるデータ利用者ＩＤを抽出し、抽出したデータ利用者ＩＤをキーとして、属性データベース１１１に属性情報（属性名と属性値との０以上の組から成る系列）の検索を要求する。

属性データベース１１１は、データ利用者ＩＤを検索キーとして属性情報を検索して抽出し（ステップＳ４０９）、抽出した属性情報をＡＣ生成手段１１２に出力する。なお、属性データベース１１１のスキーマ（構造）は属性オーソリティの任意の構造でよいが、データ利用者ＩＤと複数の属性情報とを関連づけて登録および検索できる構造であることが必要である。

図１９は、属性データベース１１１のディレクトリ構造の一例を示す説明図である。属性データベース１１１は、例えば、データ利用者の組織（図１９におけるｏ）、部署（図１９におけるｏｕ）、および氏名（図１９におけるｃｎ）の組合せをデータ利用者ＩＤとして取り扱う。図１９に示すディレクトリ構造の例では、Ｔａｒｏ Ｎｉｃｈｉｄｅｎのデータ利用者ＩＤは、「ｃｎ＝Ｔａｒｏ Ｎｉｃｈｉｄｅｎ，ｏｕ＝ＡＢＣ ｌａｂｏｒａｔｏｒｙ，ｏ＝ＮＥＣ」で表され、組織や部署などにもとづくディレクトリ構造を用いて管理される。

そして、属性情報を取得したＡＣ生成手段１１２は、鍵ペア格納手段１１３に格納されている属性オーソリティの公開鍵と秘密鍵とのペアを用いて、取得した属性情報に列記されているデータにデジタル署名を施した属性証明書を生成する（ステップＳ４１０）。なお、属性証明書のフォーマットとして、ＲＦＣ−３２８１（参考文献２）に記載されている属性証明書フォーマットを用いることが好ましい。

図２０は、属性証明書のフォーマットの一例を示す説明図である。図２０に示す例では、データ利用者（図２０におけるｈｏｌｄｅｒ）の属性について、属性オーソリティ（図２０におけるＩｓｓｕｅｒ）が属性証明書にデジタル署名を施すことにより、その正当性を裏付けるフォーマットになっている。なお、図２０において、サブジェクト名とは、データ利用者ＩＤに相当する。なお、図２０は、参考文献３に記載されている。

また、属性証明書要求および属性証明書のフォーマットとして、参考文献４に記載されているＯＡＳＩＳ（Ｏｒｇａｎｉｚａｔｉｏｎ ｆｏｒ ｔｈｅ Ａｄｖａｎｃｅｍｅｎｔ ｏｆ Ｓｔｒｕｃｔｕｒｅｄ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｔａｎｄａｒｄｓ）の技術標準であるＳｅｃｕｒｉｔｙ Ａｓｓｅｒｔｉｏｎ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ（ＳＡＭＬ）を用いてもよい。

［参考文献２］
Ｓ．Ｆａｒｒｅｌｌ、外１名、“ＲＦＣ−３２８１−Ａｎ Ｉｎｔｅｒｎｅｔ Ａｔｔｒｉｂｕｔｅ Ｃｅｒｔｉｆｉｃａｔｅ Ｐｒｏｆｉｌｅ ｆｏｒ Ａｕｔｈｏｒｉｚａｔｉｏｎ”、ｐｐ．７−２１、［ｏｎｌｉｎｅ］、２００２年４月、Ｎｅｔｗｏｒｋ Ｗｏｒｋｉｎｇ Ｇｒｏｕｐ、［平成１８年８月２３日検索］、インターネット＜ＵＲＬ：http://rfc.sunsite.dk/rfc/rfc3281.html＞
［参考文献３］
“ＰＫＩ関連技術解説”、図９−３、［ｏｎｌｉｎｅ］、２００５年６月、独立行政法人
情報処理推進機構セキュリティセンター情報セキュリティ技術ラボラトリー、［平成１８年８月２３日検索］、インターネット＜ＵＲＬ：http://www.ipa.go.jp/security/pki/091.html＞
［参考文献４］
Ｊｏｈｎ Ｋｅｍｐ、外４名、“Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｎｔｅｘｔ ｆｏｒ ｔｈｅ ＯＡＳＩＳ Ｓｅｃｕｒｉｔｙ Ａｓｓｅｒｔｉｏｎ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ（ＳＡＭＬ） Ｖ２．０”、［ｏｎｌｉｎｅ］、２００５年３月、ＯＡＳＩＳ（Ｏｒｇａｎｉｚａｔｉｏｎ ｆｏｒ ｔｈｅ Ａｄｖａｎｃｅｍｅｎｔ ｏｆ Ｓｔｒｕｃｔｕｒｅｄ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｔａｎｄａｒｄｓ）、［平成１８年８月２３日検索］、インターネット＜ＵＲＬ：http://www.japanpkiforum.jp/shiryou/SAML/saml-authn-context-2.0-os.pdf＞

ＡＣ生成手段１１２は、生成した属性証明書を利用者移動端末１３に送信する（ステップＳ４１１）。

利用者移動端末１３のＡＣ取得手段１３１は、受信した属性証明書を権限委譲手段２１に出力する。権限委譲手段２１は、属性証明書を含む利用要求トークンを生成し（ステップＳ４１２）、データ管理者が用いる管理者移動端末１２０に送信する（ステップＳ４１３）。

利用要求トークンを受信した管理者移動端末１２０の権限委譲手段１１は、ＡＣ認証手段１２１を介して、属性証明書に記載された属性情報を抽出する。そして、権限委譲手段１１は、抽出した属性情報と、機密データＩＤおよびデータ利用者ＩＤを含む利用要求情報とをユーザ入出力手段１０に表示させ（ステップＳ４１４）、データ管理者に認可処理を行わせる。

管理者移動端末１２０の権限委譲手段１１は、ユーザ入出力手段１０に、データ管理者からデータ利用者による機密データの利用を認可する指示が入力された場合に、認可トークンを生成し（ステップＳ４１５）、生成した認可トークンを権利管理サーバ３に送信する（ステップＳ４１６）。

認可トークンを受信した権限管理サーバ３の権限管理手段３１は、機密データ情報格納手段３１１（データベース）のレコードを走査し、受信した認可トークンが含む機密データＩＤとデータ管理者ＩＤと組に合致するレコードが存在する場合に、当該レコードに登録されている権限定義情報を参照して権限証明書を生成する（ステップＳ４１７）。

権限管理サーバ３は、生成した権限証明書を、利用者移動端末１３の利用制御手段２２に送信する（ステップＳ４１８）。

権限証明書を受信した利用者移動端末１３の利用制御手段２２は、受信した権限証明書を証明書格納手段２４に格納すると共に、受信した権限証明書に記載されている復号鍵を用いて、データ格納部２３に格納されている暗号化機密データを復号し（ステップＳ４１９）、ユーザ入出力部２０に入力される操作に応じて、復号された機密データの利用処理を実行する（ステップＳ４２０）。

本実施の形態では、管理移動端末１２０を用いるデータ管理者に、データ利用者の所属組織などを示す属性情報を用いて機密データの利用認可の認証を行わせるので、例えば、退職直後の元保守作業員に機密データの利用を認可する場合等、対面による認可を行うことが困難な場合にも、データ管理者がデータ利用者の機密データの利用が適正であるか否かを適切に判断して、機密データ利用の認可を行うことができる。

なお、利用者移動端末１３が出力装置認証手段９１を含み、プロファイル格納手段１０１を含む外部出力装置１００に接続されていてもよい。そのように構成されている場合には、第４の実施の形態と同様な効果を奏することができる。

実施の形態６．
次に、本発明のデータ利用管理システムの第６の実施の形態について、図面を参照して説明する。図２１は、本発明のデータ利用管理システムの第６の実施の形態の構成例を示すブロック図である。

図２１に示す第６の実施の形態のデータ利用管理システムは、第１の実施の形態の管理者移動端末１に代えてデータ管理者から最初に権限証明書を取得する第１のデータ利用者が用いる第１のデータ利用者移動端末（データ利用機器）１４を含み、第１の実施の形態の利用者移動端末２に代えて第１のデータ利用者から権限証明書を取得する第２のデータ利用者が用いる第２のデータ利用者移動端末（権限譲受機器）１５を含む。

第１のデータ利用者移動端末１４は、第１の実施の形態における管理者移動端末１の構成に加えて、第２の権限委譲手段（権限再委譲手段、データ送信手段）１４１と証明書格納手段２５と含む。

第２の権限委譲手段１４１は、第２のデータ利用者が用いる第２のデータ利用者移動端末１５から利用要求トークンを取得した場合に、取得した利用要求トークンをユーザ入出力手段２０にデータ利用者へ提示させ、機密データ利用の権限の再委譲の認可処理を行わせる。そして、機密データ利用の権限の再委譲が認可された場合に、さらに、再委譲認可データとして、再委譲認可トークンを生成して、権限管理手段３１に入力（送信）する。なお、再委譲認可トークンは、機密データＩＤ、第２のデータ利用者のデータ利用者ＩＤ、および第１のデータ利用者のデータ利用者ＩＤを含む情報である。

なお、権限管理手段３１は、第１の実施の形態と同様に権限管理サーバ３に含まれていてもよいし、第１のデータ利用者移動端末１４に含まれていてもよい。証明書格納手段２５は、機密データＩＤ、データ利用者ＩＤ、権限定義情報、および復号鍵を含む権限証明書を格納する。

第２のデータ利用者移動端末１５は、第１の実施の形態における利用者移動端末２と同様の構成である。

次に、本発明の第６の実施の形態の動作について、図面を参照して説明する。図２２は、本発明の第６の実施の形態の動作を説明するシーケンス図である。

ここで、第１のデータ利用者はデータ管理者から既に暗号化機密データに対応する権限証明書を取得済みであるとする。すなわち、暗号化機密データが第１のデータ利用者移動端末１４のデータ格納手段２３に格納されており、その暗号化機密データに対応する権限証明書が第１のデータ利用者移動端末１４の証明書格納手段２４に格納されているとする。

なお、本実施の形態において、権限証明書は、機密データの利用権限を再委譲する際の条件を示す再委譲条件情報を含む。再委譲条件情報は、例えば、再委譲を認めるユーザＩＤのリスト、再委譲の可否を示す条件を示す情報、および再委譲先の適正に関する条件を示す情報を含み、データ管理者によって予め指定されている。再委譲先の適正に関する条件は、例えば、再委譲を認めるユーザＩＤのリストに、再移譲先のデータ利用者ＩＤが含まれていることである。

また、第２のデータ利用者移動端末１５に、第５の実施の形態における属性証明書サーバ１１０が接続されている場合には、第２のデータ利用者の属性証明書が利用要求トークンに含まれるので、再委譲先の適正に関する条件に、属性証明書が示す第２のデータ利用者の所属（属性）が含まれていてもよい。

第１のデータ利用者が用いる第１のデータ利用者移動端末１４のデータ格納手段１２は、暗号化機密データを第２のデータ利用者が用いる第２のデータ利用者移動端末１５のデータ格納手段２３に送信する（ステップＳ５０１）。暗号化機密データは第２のデータ利用者移動端末１５のデータ格納手段２３に格納される。

第２のデータ利用者が当該暗号化機密データを初めて利用する場合に、第２のデータ利用者移動端末１５の権限委譲手段（利用要求手段）２１は、データ利用者ＩＤと、暗号化機密データを識別する機密データＩＤとを含む利用要求トークンを生成し（ステップＳ５０２）、生成した利用要求トークンを第１のデータ利用者移動端末１４に送信する（ステップＳ５０３）。

なお、第１のデータ利用者に後述する権限委譲処理を第２のデータ利用者と対面して行わせるように、利用要求トークンの送信が行われることが望ましい。具体的には、例えば、赤外線通信やＢｌｕｅｔｏｏｔｈ等の近距離無線通信で利用要求トークンが送信されたり、第２のデータ利用者が、利用要求トークンを記憶しているＳＤメモリカードやＵＳＢバーを第１のデータ利用者に手渡したりされる。

また、例えば、第１の利用者移動端末１４が２次元バーコードを読み取る機能を有している場合には、第２の利用者移動端末１５の権限委譲手段２１は、２次元バーコードに符号化された利用要求トークンを示す画像をユーザ入出力手段２０に表示させ、第１の利用者移動端末１４に当該２次元バーコードを読み取らせてもよい。

利用要求トークンを受信した第１の利用者移動端末１４の第２の権限委譲手段１４１は、利用要求トークンが含む機密データＩＤをキーとして、証明書格納手段２５から対応する権限証明書を抽出し、抽出した権限証明書が含む再委譲条件情報にもとづいて、第２のデータ利用者への機密データを利用する権限の再委譲の可否を判定する（ステップＳ５０４）。第２の権限委譲手段１４１が権限の再委譲を認めないと判定した場合に、第１の利用者移動端末１４は、処理を終了する。

第２の権限委譲手段１４１は、第２のデータ利用者への権限証明書の再委譲を許可すると判断した場合に、利用要求トークンが含む機密データＩＤおよびデータ利用者ＩＤを含む利用要求情報をユーザ入出力手段（入出力手段）１０に表示させ、第１のデータ利用者に権限委譲処理を行わせる（ステップＳ５０５）。権限委譲処理とは、第２のデータ利用者による機密データの利用を認可して権限証明書を再委譲するために、第１のデータ利用者に、第１の利用者移動端末１４のユーザ入出力手段１０に指示を入力させる処理である。

第１の利用者移動端末１４の第２の権限委譲手段１４１は、ユーザ入出力手段１０に、第１のデータ利用者から第２のデータ利用者による機密データの利用を認可する指示が入力された場合に、機密データＩＤで特定される機密データに対応する再委譲認可トークンを生成し（ステップＳ５０６）、生成した再委譲認可トークンを権限管理手段３１に送信する（ステップＳ５０７）。なお、第１のデータ利用者が第２のデータ利用者による機密データの利用を認可しない場合には、第１の利用者移動端末１４は処理を終了する。

権限管理手段３１は、再委譲認可トークンを参照して、第２のデータ利用者に渡すべき権限証明書（以下、第２の権限証明書という）を生成し（ステップＳ５０８）、生成した第２の権限証明書を第２のデータ利用者が用いる第２の利用者移動端末１５に送信する（ステップＳ５１１）。

なお、第２の権限証明書は、データ管理者から第１のデータ利用者に対して発行された権限証明書（以下、第１の権限証明書という）に加えて、再委譲証明書が添付されている。図２３は、第２の権限証明書の構成例を示す説明図である。再委譲証明書は、機密データＩＤ、第２のデータ利用者のデータ利用者ＩＤ、および第１のデータ利用者のデータ利用者ＩＤを含む。第１の権限証明書は、暗号化機密データの復号鍵を含むので、第２の権限証明書は暗号化機密データの復号鍵を含む。

そして、第２の権限証明書を受信した第２の利用者移動端末１５の利用制御手段２２は、第２の権限証明書を証明書格納手段２４に格納すると共に、その第２の権限証明書が含む復号鍵を用いて、データ格納部２３に格納されている暗号化機密データを復号しながら（ステップＳ５１０）、ユーザ入出力部２０に入力される操作に応じて、復号された機密データの利用処理を実行する（ステップＳ５０９）。

本実施の形態では、例えば、保守業務や客先営業などにおいて、第１のデータ利用者（例えば、作業員または営業担当者）が預ったデータ管理者（例えば、顧客）の機密データを、休暇などの理由により第２のデータ利用者（例えば、代替の作業員または営業担当者）が業務として利用する場合に、顧客に特別な操作を行わせることなく、作業員または営業担当者同士で顧客からあたえられた権限を委譲することができるので、より運用性の高いデータ利用管理システムを構築することができる。

本発明は、保守作業員や営業担当者に携帯させる業務用端末に適用することができる。また、携帯電話機や、ＰＤＡ、ノート型パーソナルコンピュータなどの携帯端末上で動作するアプリケーションプログラムにも適用することができる。

また、本発明は、娯楽コンテンツのダウンロード販売において、コンテンツ購入者（データ管理者）が一時的に近傍に居る友人など（データ利用者）に当該娯楽コンテンツの試聴を認める口コミ型販促サービスにも適用することができる。

尚、本出願は、２００６年９月６日に出願された日本出願特願２００６−２４１９６３号を基礎とする優先権を主張し、その開示の全てをここに取り込む。

Claims (17)

1. 暗号化されたデータである暗号化データを復号するための復号鍵を用いて、前記暗号化データを復号する復号手段と、暗号化データを識別する暗号化データ識別情報を含み、データの利用許諾を要求する利用要求データを生成して近距離無線通信で送信するか、または前記利用要求データを表示手段に表示させる利用要求手段とを含むデータ利用機器と、
   復号鍵、暗号化データ識別情報、および暗号化データの管理者を示す管理者識別情報が対応づけられて記憶されているデータベースと、復号鍵を前記データ利用機器に送信する復号鍵送信手段とを含む権限管理手段と、
   前記データ利用機器から利用要求データを取得して、管理者識別情報、および前記利用要求データが含む暗号化データ識別情報を前記権限管理手段に送信する識別情報送信手段を含むデータ管理機器と
   を備え、
   前記権限管理手段の前記復号鍵送信手段は、前記データ管理機器から暗号化データ識別情報と管理者識別情報とを受信した場合に、前記データベースを参照して、受信した前記暗号化データ識別情報と前記管理者識別情報とに対応する復号鍵を前記データ利用機器に送信する
   ことを特徴とするデータ利用管理システム。
2. データベースには、データの利用方法を示す権限定義情報に、復号鍵と暗号化データ識別情報と管理者識別情報とが対応づけられて記憶され、
   復号鍵送信手段は、データ管理機器から暗号化データ識別情報と管理者識別情報とを受信した場合に、前記データベースを参照して、受信した前記暗号化データ識別情報と前記管理者識別情報とに対応する復号鍵と権限定義情報とをデータ利用機器に送信し、
   前記データ利用機器は、受信した権限定義情報が示す利用方法に従って、データを利用する利用制御手段を含む
   ことを特徴とする請求項１に記載のデータ利用管理システム。
3. データベースには、データの利用方法および出力先を示す権限定義情報に、復号鍵と暗号化データ識別情報と管理者識別情報とが対応づけられて記憶され、
   復号鍵送信手段は、データ管理機器から暗号化データ識別情報と管理者識別情報とを受信した場合に、前記データベースを参照して、受信した前記暗号化データ識別情報と前記管理者識別情報とに対応する復号鍵と権限定義情報とをデータ利用機器に送信し、
   前記データ利用機器は、受信した権限定義情報が示す利用方法および出力先に従って、前記権限定義情報が示す出力先にデータを出力する利用制御手段を含む
   ことを特徴とする請求項１に記載のデータ利用管理システム。
4. データ利用機器は、データの出力先の装置の認証を行い、認証結果に応じて、データを出力先の装置に出力する認証手段を含む
   ことを特徴とする請求項３記載のデータ利用管理システム。
5. 認証手段は、データの出力先の装置から当該装置を示す情報を含む認証情報を受信し、受信した認証情報が所定の認証ルールを満たすと判断した場合に、前記データを前記装置に出力することを特徴とする請求項４に記載のデータ利用管理システム。
6. データ利用機器の利用要求手段は、データの利用者を示す利用者識別情報を含む利用要求データを生成し、
   データ管理機器は、前記利用要求データをデータ利用機器から取得するデータ取得手段と、前記データ取得手段が取得した前記利用要求データが含む暗号化データ識別情報と利用者識別情報とを表示し、前記データ利用機器によるデータの利用の諾否を示す指示を利用者に入力させる入出力手段とを含み、
   前記データ管理機器の識別情報送信手段は、前記入出力手段に前記データ利用機器によるデータの利用を許諾する指示が入力された場合に、暗号化データ識別情報と管理者識別情報とを権限管理手段に送信する
   ことを特徴とする請求項１から請求項５のいずれかに記載のデータ利用管理システム。
7. データ利用機器からの要求に応じて、データの利用者の属性を示す属性証明書を生成する属性証明書生成手段を備え、
   前記データ利用機器の利用要求手段は、前記属性証明書生成手段が生成した前記属性証明書を含む利用要求データを生成し、
   データ管理機器の入出力手段は、データ取得手段が取得した前記利用要求データが含む暗号化データ識別情報と利用者識別情報と属性証明書とを表示し、前記データ利用機器によるデータの利用の諾否を示す指示を利用者に入力させる
   ことを特徴とする請求項６に記載のデータ利用管理システム。
8. 復号鍵を用いて暗号化データを復号する復号手段と、暗号化データ識別情報を含み、データの利用許諾を要求する利用要求データを生成して近距離無線通信で送信するか、または前記利用要求データを表示手段に表示させる利用要求手段とを含む権限譲受機器を備え、
   データ利用機器は、前記権限譲受機器から利用要求データを取得した場合に、データを利用する権限を委譲する条件である再委譲条件に合致しているか否かを判断する権限再委譲手段と、データを前記権限譲受機器に利用させてよいか否かを前記データ利用機器の利用者に判断させる入出力手段と、前記権限再委譲手段が前記権限の再委譲条件に合致していると判断し、前記入出力手段にデータを前記権限譲受機器に利用させてよいことを示す指示が入力された場合に、暗号化データ識別情報を含む再委譲認可データを権限管理手段に送信するデータ送信手段と
   を含み、
   前記権限管理手段の復号鍵送信手段は、前記再委譲認可データを受信した場合に、復号鍵を前記権限譲受機器に送信する
   ことを特徴とする請求項１から請求項７のいずれかに記載のデータ利用管理システム。
9. 暗号化されたデータである暗号化データを復号するための復号鍵を用いて、前記暗号化データを復号する復号手段と、
   暗号化データを識別する暗号化データ識別情報を含み、データの利用許諾を要求する利用要求データを生成して近距離無線通信で送信して、または前記利用要求データを表示手段に表示させて、暗号化データの管理者にデータの利用を要求する利用要求手段と
   を備えたことを特徴とするデータ利用機器。
10. データの利用方法を示す権限定義情報に従って、データを利用する利用制御手段を含むことを特徴とする請求項９に記載のデータ利用機器。
11. 他の機器から利用要求データを取得した場合に、データを利用する権限を委譲する条件である再委譲条件に合致しているか否かを判断する権限再委譲手段と、
    データを前記他の機器に利用させてよいか否かを利用者に判断させる入出力手段と、
    前記権限再委譲手段が前記権限の再委譲条件に合致していると判断し、前記入出力手段にデータを前記他の機器に利用させてよいことを示す指示が入力された場合に、暗号化データ識別情報を含む再委譲認可データを、復号鍵を送信する権限管理手段に送信するデータ送信手段とを含む
    ことを特徴とする請求項９または請求項１０に記載のデータ利用機器。
12. 暗号化されたデータである暗号化データを復号するための復号鍵、暗号化データを識別する暗号化データ識別情報、データの利用方法を示す権限定義情報、および暗号化データの管理者を示す管理者識別情報が対応づけられて記憶されるデータベースと、
    第１の移動機器から暗号化データ識別情報、および管理者識別情報を受信した場合に、前記データベースに記憶されている前記暗号化データ識別情報、および管理者識別情報に対応づけられた復号鍵、および権限定義情報を、第２の移動機器に送信する復号鍵送信手段と
    を備えたことを特徴とするサーバ。
13. データの利用許諾の要求を示し、暗号化データを識別する暗号化データ識別情報とデータの利用者を示す利用者識別情報とを含む利用要求データを、データを利用するデータ利用機器から取得するデータ取得手段と、
    前記取得した利用要求データに含まれている暗号化データ識別情報と利用者識別情報とを表示し、前記データ利用機器によるデータの利用の諾否を示す指示を利用者に入力させる入出力手段と
    を備えたことを特徴とするデータ管理機器。
14. データを暗号化して、暗号化データを生成する暗号化データ生成手段と、
    データ利用機器によるデータの利用方法を示す権限定義情報を生成する権限定義手段と
    を備えたことを特徴とする請求項１３に記載のデータ管理機器。
15. 利用要求手段が、暗号化されたデータである暗号化データを識別する暗号化データ識別情報を含み、データの利用許諾を要求する利用要求データを生成して近距離無線通信で送信するか、または前記利用要求データを表示手段に表示させる利用要求ステップと、
    識別情報送信手段が、利用要求データを取得した場合に暗号化データの管理者を示す管理者識別情報、および前記利用要求データが含む暗号化データ識別情報を送信する識別情報送信ステップと、
    復号鍵送信手段が、識別情報送信ステップで送信された管理者識別情報、および暗号化データ識別情報を受信した場合に、復号鍵、暗号化データ識別情報、および管理者識別情報を対応づけて記憶するデータベースを参照して、受信した前記管理者識別情報、および前記暗号化データ識別情報に対応する復号鍵を送信する復号鍵送信ステップと、
    復号手段が、前記復号鍵送信ステップで送信された復号鍵を用いて、暗号化データを復号する復号ステップと
    を備えたことを特徴とするデータ利用管理方法。
16. プログラムであって、前記プログラムはコンピュータに、
    暗号化されたデータである暗号化データを復号するための復号鍵を用いて、前記暗号化データを復号する復号処理と、
    暗号化データを識別する暗号化データ識別情報を含み、データの利用許諾を要求する利用要求データを生成して近距離無線通信で送信して、または前記利用要求データを表示手段に表示させて、暗号化データの管理者にデータの利用を要求する利用要求処理と
    を実行させるプログラム。
17. プログラムであって、前記プログラムはコンピュータに、
    データの利用許諾の要求を示し、暗号化データを識別する暗号化データ識別情報とデータの利用者を示す利用者識別情報とを含む利用要求データを、データを利用するデータ利用機器から取得するデータ取得処理と、
    前記データ取得処理で取得した前記利用要求データが含む暗号化データ識別情報と利用者識別情報とを表示手段に表示し、利用者に前記データ利用機器によるデータの利用の諾否を示す指示を入力手段に入力させる入出力処理と
    を実行させるプログラム。

Images