JPWO2012039178A1 - データ配信装置、データ配信システム、クライアント装置、データ配信方法、データ受信方法、プログラムおよび記録媒体 - Google Patents

Abstract

データ配信先からの情報漏洩を防止するための手段を提供する。データ配信サーバ２０は、クライアントの環境に対応させて、与えられるポリシーに応じてプロセスによるリソースへのアクセスを制御するアクセス制御機構と、配信パッケージに含まれる配信データを保護される記憶領域に展開する展開部とを該クライアント上で実現するためのアクセス制御実施モジュール１３２〜１３８を記憶するデータベース１３０と、配信データ１２４と、該配信データ１２４に対して指定されるセキュリティ・ポリシー１２２とを記憶するデータベース１２０と、配信データの受け取りを要求するクライアント３０Ｂの環境を検出する環境検出部１４４と、配信データ１６２と、セキュリティ・ポリシー１６４と、クライアント３０Ｂの環境に対応したアクセス制御実施モジュール１６６とを含む配信パッケージ１６０を送信する送信部１５０とを含む。

Description

本発明は、情報漏洩対策技術に関し、より詳細には、データ配信先からの情報漏洩を防止するためのデータ配信装置、データ配信システム、クライアント装置、データ配信方法、データ受信方法、プログラムおよび記録媒体に関する。

近年、社内外での設計コラボレーションやＯＥＭ（Original Equipment Manufacturing）のグローバル化に伴い、開発・製造拠点の海外展開が盛んである。また、クラウド・コンピューティングの普及により、拠点間、発注者および受注者間の地理的ギャップが狭まり、ネットワークを介した技術データの流通がますます活発となっている。それに伴い、貴重な技術データが不正に流出してしまうリスクが飛躍的に高まり、データセキュリティ対策、トレーサビリティ確保の重要性が高まっている。

特に下請けや孫請けへの発注作業が頻繁に発生する製造業では、受注者側からの設計・製造データの２次漏洩防止が大きな課題である。一部の業務は、クラウドサービスを介して外部委託することが可能となったが、３次元ＣＡＤ（Computer Aided Design）、ＮＣ加工（Numerical Control machining）、医療分野など、ローカル端末での処理が必要な業務も数多く残り、受注者側のローカル端末上への機密データの保存を許さなければならない場合も多い。

受注者側のローカル端末に保存された機密データは、通常、発注者の管理を離れてしまうため、不正に利用されたり、または流出してしまうことを防止するための技術的手段を講じることが望まれる。特に契約期間満了後は、受注者側のローカル端末に保存された機密データが利用不能となることが望ましい。上述のような技術的手段としては、例えば特開２００９−２６０４６号公報（特許文献１）は、ストレージや入出力インタフェースのデバイス・ドライバに対して発行された読み込み命令または書き込み命令をフィルタリングすることで、ストレージ・デバイスに対するアクセスを制限する技術について言及する。

特許文献１は、さらに、データ配布先の組織から第三者へのデータの２次流出を実現することを目的として、データの配布先コンピュータに備えられた仮想化手段により非配布データの実行環境から隔離された配布データ専用の実行環境を構築するためのオペレーティング・システムおよびアプリケーションから成る配布データ処理専用の実行環境構築イメージファイルから、オペレーティング・システムおよびアプリケーションのインストールを実行し、当該配布先コンピュータに備えられた仮想化手段により非配布データの実行環境から隔離された配布データ処理専用の実行環境を構築することを特徴とする、データの２次流出防止方法を開示する。

特開２００９−８６８４０号公報（特許文献２）は、同様に、情報処理装置に備えられた仮想化手段により、ユーザがアクセスするオペレーティング・システム環境から隔離して構築されたデータ管理用のオペレーティング・システムおよび所定のアプリケーションからなる管理者用環境を備え、ユーザがアクセスするオペレーティング・システム環境が、キーボードなどの入力情報を管理用環境に送信し、その返答として表示画面の情報を管理用環境から受信する方法でアプリケーションを操作する手段を備えることを特徴とする、情報処理装置を開示する。

商用のＤＲＭ（Digital Rights Management）製品としては、アプリケーション・プログラム内部にアクセス制御機能を実装するソフトウェア・アプリケーションも提供されている。例えば、Ｍｉｃｒｏｓｏｆｔ（登録商標）社のＲＭＳ（Rights Management Services）（非特許文献１）およびＡｄｏｂｅ（登録商標）社のＬｉｖｅＣｙｃｌｅ（登録商標）Ｒｉｇｈｔｓ Ｍａｎａｇｅｍｅｎｔ ＥＳ２（非特許文献２）は、アプリケーション自身が、文書ごとに定められた編集権限や印刷権限などのセキュリティ・ポリシーを解釈し、閲覧や編集、コピー、印刷などの種々の操作を制限する技術である。

特開２００９−２６０４６号公報 特開２００９−８６８４０号公報

" Windows Rights Management Services"、[online]、［２０１０年９月１０日検索］、インターネット<URL; http://www.microsoft.com/windowsserver2003/technologies/rightsmgmt/default.mspx> " Adobe LiveCycle Rights Management ES2"、[online]、［２０１０年９月１０日検索］、インターネット<URL; http://www.adobe.com/products/livecycle/rightsmanagement/>

しかしながら、上記特許文献１および特許文献２に開示される従来技術では、通常の実行環境から隔離された配布データ処理専用の実行環境を構築するための仮想化手段を配布先コンピュータが備えている必要があり、利用可能な環境が制限される。あるいは、配布先のコンピュータに通常の実行環境から隔離された配布データ処理専用の実行環境を構築するためにオペレーティング・システムおよびアプリケーションをインストールする必要があり、配信先に負担をかけてしまう。さらに、操作者は、配布データを扱うだけでなく、メール送受信やウェブ・ページの閲覧など多くの作業を同時に進めることが一般的であるが、仮想化技術を利用する構成では、仮想ＯＳ間を頻繁に行き来する煩雑さも無視できない。

また、上記非特許文献１および非特許文献２に開示される技術のように、アプリケーション内部にアクセス制御機能を実装する技術では、残念ながら、保護できるアプリケーションが限定されるため、利用可能なデータの種類が限定される。したがって、すべての業務アプリケーションが対応しない限り、業務全体を包括的に管理することができない。

本発明は、上記従来技術の問題点に鑑みてなされたものであり、本発明は、配信データに関しアクセス制御を実行する適切なアクセス制御機構を同梱した配信パッケージの形態でデータ配信することにより、種々のデータの情報フローを制御し、ひいては、配信先の利用環境に制限および過剰な作業負担をかけずに、配信先からの情報漏洩を防止することができるデータ配信装置およびデータ配信システムを提供することを目的とする。

本発明の他の目的は、上記データ配信装置から配信パッケージを受信するクライアント装置、上記データ配信装置またはデータ配信システムが実行するデータ配信方法、上記クライアント装置が実行するデータ受信方法、上記データ配信装置またはデータ配信システムを実現するためのプログラム、および上記プログラムを格納する記録媒体を提供することである。

本発明は、上記従来技術の不都合に鑑みてなされたものであり、本発明は、以下の特徴を有する、配信パッケージを提供するためのデータ配信装置、複数のコンピュータからなるデータ配信システムを提供する。

本発明のデータ配信装置またはデータ配信システムは、クライアントの環境に対応させて、与えられるポリシーに応じてプロセスによるリソースへのアクセスを制御するアクセス制御機構と、配信パッケージに含まれる配信データを保護記憶領域に展開する展開部とを該クライアント上で実現するためのアクセス制御実施プログラムを記憶するプログラム記憶部を備える。本データ配信装置またはデータ配信システムは、配信データの受け取りを要求する要求元クライアントの環境を検出し、配信対象となる配信データと、該配信データに対して指定されるセキュリティ・ポリシーとを読み出して、上記配信データと、上記セキュリティ・ポリシーと、上記要求元クライアントの環境に対応したアクセス制御実施プログラムとを含む配信パッケージを要求元クライアントに送信する。

さらに本発明によれば、上記配信パッケージを受信するクライアント装置を提供することができる。本クライアント装置は、上記データ配信装置に対し、配信データの受取要求を送信する要求送信部と、当該クライアント装置の環境を記述した環境情報を送信する環境情報送信部とを備える。さらにまた、本発明では、上記データ配信装置またはデータ配信システムが実行するデータ配信方法、上記クライアント装置が実行するデータ受信方法、上記データ配信装置またはデータ配信システムを実現するためのプログラム、および上記プログラムを格納する記録媒体を提供することができる。

上記構成によれば、配信データの登録者は、配信先の作業環境に一定のセキュリティ・ポリシーを課した上で、当該配信データを配信先に引き渡すことができる。配信データは、配信先ローカル環境に保存されることになるが、ローカル環境に存在する配信データに対しては、上記アクセス制御機構により、セキュリティ・ポリシーに従って稼働プロセスによるリソースへのアクセスが制御され、その流通可能な範囲が制限される。これにより、例えば取引先企業への正式な情報提供の後の意図しないデータ流出による情報漏洩、いわゆる２次漏洩を防止することができる。さらに、上記構成によれば、配信先へのわずらわしい特殊な制御ソフトウェアの強制的な導入および設定が不要であり、種々データ、種々のアプリケーションに適用することができる。

本発明の第１の実施形態によるデータ配信サーバを含むデータ処理システムの概略図。 本発明の第１の実施形態によるデータ配信サーバにおいて実現される機能ブロック図。 本発明の第１の実施形態で用いられるセキュリティ・ポリシーのデータ構造を例示する図。 本発明の第１の実施形態で用いられるセキュリティ・ポリシーにおける一部のデータ構造を例示する図。 本発明の第１の実施形態によるデータ配信サーバにおけるパッケージ登録部が実行する、パッケージ登録処理を示すフローチャート。 本発明の第１の実施形態によるデータ配信サーバにおけるパッケージ配信部が実行する、パッケージ配信処理を示すフローチャート。 本発明の第１の実施形態においてクライアント装置に配信される配信パッケージの詳細な機能ブロック図。 本発明の第１の実施形態によるクライアント装置が実行する、アクセス制御実施処理を示すフローチャート。 本発明の第１の実施形態による、アクセス制御モジュールが起動されたクライアント装置上で実現される機能ブロック図。 図１に示すデータ処理システムにおいて、発注者、１次受注者および２次受注者間で行われる業務の流れを示す図。 本発明の第２の実施形態によるデータ配信サーバにおいて実現される機能ブロック図。 本発明の第２の実施形態においてクライアント装置に配信される配信パッケージの詳細な機能ブロック図。 本発明の第２の実施形態によるクライアント装置が実行する、アクセス制御実施処理を示すフローチャート。

以下、本発明について実施形態をもって説明するが、本発明は、後述する実施形態に限定されるものではない。以下説明する実施形態では、データ配信装置として、配信対象となるデータ（以下、配信データという。）をパッケージ化して配信するサーバ機能を実装するデータ配信サーバを一例として説明する。

図１は、本発明の第１の実施形態によるデータ配信サーバを含むデータ処理システムの概略図を示す。本データ処理システム１０は、データをパッケージ化して配信するサーバ機能を実装するデータ配信サーバ２０と、ネットワーク１２を介して上記データ配信サーバ２０に接続される１以上のクライアント装置３０と含む。ネットワーク１２は、特に限定されるものではないが、例えば、ＴＣＰ／ＩＰおよびイーサネット（登録商標）によるＬＡＮ（Local Area Network）、ＶＰＮ（Virtual Private Network）や専用線を使用するＷＡＮ（Wide Area Network）、インターネットを含む。

図１に示すデータ処理システム１０は、例示として、データ配信サーバ２０を介してクライアント装置３０間でデータ授受を行い、各クライアント装置３０においてローカル作業を行いながら、全体の業務を遂行するための業務システムとして構成されている。図１には、クライアント装置３０として、配信データを用いた業務を発注する発注者が利用する発注者端末３０ａと、１次受注者端末３０ｂと、２次受注者端末３０ｃとが示されている。１次受注者端末３０ｂは、発注者の依頼に従い配信データを用いて担当業務を遂行する１次受注者が利用する端末である。一方、２次受注者端末３０ｃは、発注者の依頼に従って担当業務を遂行する１次受注者から、さらにその担当業務の一部の業務を請け負う２次受注者が利用する端末である。

クライアント装置３０は、概ね、タワー型、デスクトップ型、ラップトップ型またはタブレット型のパーソナル・コンピュータ、ワークステーション、ネットブック、ＰＤＡ（Personal Data Assistance）などの汎用コンピュータとして構成される。クライアント装置３０は、より具体的には、シングルコア・プロセッサまたはマルチコア・プロセッサなどの中央演算装置（ＣＰＵ）、キャッシュ・メモリ、ＲＡＭ、ネットワーク・インタフェース・カード（ＮＩＣ）、ストレージ・デバイスなどを備え、Ｗｉｎｄｏｗｓ（登録商標）、ＵＮＩＸ（登録商標）、Ｌｉｎｕｘ（登録商標）、Ｍａｃ ＯＳ（登録商標）、ＡＩＸ（登録商標）などの適切なＯＳの制御のもと動作する。本実施形態では、クライアント装置３０は、好ましくは、ウィンドウ・システムなどのデスクトップ環境を提供するグラフィカル・ユーザ・インタフェース（以下、ＧＵＩと参照する）ベースのＯＳを搭載する。本実施形態のクライアント装置３０は、また、上記ＯＳ上で動作するウェブ・ブラウザを実装する。

データ配信サーバ２０は、概ね、パーソナル・コンピュータ、ワークステーション、ラックマウント型またはブレード型のサーバ、ミッドレンジ・コンピュータ、メインフレームなどの汎用コンピュータとして構成される。データ配信サーバ２０は、より具体的には、シングルコアまたはマルチコア・プロセッサなどのＣＰＵ、キャッシュ・メモリ、ＲＡＭ、ＮＩＣ、ストレージ・デバイスなどを備え、Ｗｉｎｄｏｗｓ（登録商標）、ＵＮＩＸ（登録商標）、Ｌｉｎｕｘ（登録商標）などの適切なオペレーティング・システム（以下、ＯＳとして参照する。）の制御のもと動作する。

上記データ配信サーバ２０は、上記発注者端末３０ａから発注業務に必要なデータの登録要求を受信すると、当該業務に必要なデータを受注者に配信可能に登録する。一方、発注業務を請け負う受注者が操作する１次受注者端末３０ｂまたは２次受注者端末３０ｃからデータの受取要求を受信すると、データ配信サーバ２０は、適切なユーザ認証を行った上で、上記業務に必要なデータを端末に配信する。同様に、１次受注者が担当業務の一部を２次受注者に発注する際には、データ配信サーバ２０は、配信データまたは配信データを加工して生成された２次データの一部または全部を１次受注者端末３０ｂから受け取り、２次受注者端末３０ｃに配信することができる。本実施形態のデータ配信サーバ２０は、例えばウェブ・アプリケーションとして、上述のようなデータを引き受けて配信する機能を実装する。

配信対象となる配信データは、特に限定されるものではないが、ワードプロセッサ、表計算、作図、プレゼンテーション、データベース管理システム、その他、ＤＴＰ（Desktop Publishing）、数値解析ソフト、ＣＡＤ、ＮＣ加工、ＣＴ（コンピュータ断層撮影）、ＭＲＩ（核磁気共鳴画像法）など種々のアプリケーションで使用される種々のファイルや、テキストファイル、ドキュメントファイル、音声ファイル、動画ファイルなどの汎用フォーマットのファイルなどを含む。また、配信データは、データ配信サーバ２０が接続するデータベースから所定のクエリにより抽出された照会結果を含むファイルであってもよい。

データ配信サーバ２０は、クライアント装置３０からの配信データの受取要求に対応して、要求元クライアント装置３０に配信データをパッケージ化して配信する。配信データは、そのままのファイルとしてクライアント装置３０に配信されてしまうと、通常、独立して自由に流通可能となる。このため、配信データが機密情報を含む場合、仮に暗号化を施せることができるとしても、データセキュリティ対策上望ましいとは言えない。そこで、本実施形態では、データ配信サーバ２０は、詳細は後述するが、所定のセキュリティ・ポリシーに応じてアクセス制御を実行するアクセス制御機構を配信パッケージに同梱して配信する。

本実施形態において配信データに同梱されるアクセス制御機構は、ＯＳとアプリケーションとの中間レベルに配置され、ユーザコンテキストに応じて柔軟に、プロセス単位、ユーザ単位およびファイル単位のきめ細かい粒度のアクセス制御を実施することができる。本実施形態のアクセス制御機構は、例えば、許可されないデータの保存、プリント、データ作業中のクリップボードを介したプロセス間のコピー・アンド・ペーストおよびプリント・スクリーンによる画面コピーなどのリソースへのアクセスを禁止することができる。以下、本発明の実施形態による、アクセス制御機構を同梱する配信パッケージを用いたデータ配信処理について、より詳細に説明する。

図２は、本発明の第１の実施形態によるデータ配信サーバにおいて実現される機能ブロックを示す。図２に示すデータ配信サーバ２０の機能ブロック１００は、所定のセキュリティ・ポリシーが適用された状態で配信データを配信可能に登録するパッケージ登録部１１０と、登録者によって登録されたセキュリティ・ポリシー１２２および配信データ１２４を記憶する登録者用データベース１２０とを含む。

ここで、配信データを登録する側の利用者を「登録者」と参照し、登録された配信データを受け取る側の利用者を「受取者」と参照し、以下、登録者および受取者の二者間のデータ配信処理について説明する。つまり、図１で説明した発注者、１次受注者および２次受注者は、それぞれ、登録者または受取者となり得る。また、以下の説明では、特に断らない限り、データ処理システム１０の利用者は、それぞれ操作するクライアント装置３０を用いて、当該データ処理システム１０にログインし、所定のユーザ認証を通過しているものとして説明する。

登録者用データベース１２０は、本実施形態のデータ記憶部を構成し、登録者となり得る利用者が配信データを登録するための記憶領域を提供する。登録者用データベース１２０は、例えば各利用者それぞれに対してデータベースが用意される。

登録者側のクライアント装置３０（以下、登録者端末３０Ａと参照する。）は、データ配信サーバ２０に対し、配信データのパッケージ登録要求を送信する。このパッケージ登録要求は、配信データと、この配信データに対して指定するセキュリティ・ポリシー（以下、登録者が指定したセキュリティ・ポリシーを登録者指定ポリシーと参照する。）と、この配信データの配信を許可する配信先を記述する配信先情報とを含むことができる。

配信データは、例えば、登録者端末３０Ａのウェブ・ブラウザを介してアップロードが指定され、登録者端末３０Ａのローカル記憶領域から読み出されて、データ配信サーバ２０へと送信される。セキュリティ・ポリシーは、同様にウェブ・ブラウザを介して各項目が入力され、入力された各項目の値が例えばＸＭＬ（eXtensible Markup Language）ファイルとして構成され、データ配信サーバ２０へと送信される。上記配信データをアップロード指示するためのアップロード・フォームやセキュリティ・ポリシーを設定するためのＧＵＩは、例えば、登録者端末３０Ａのウェブ・ブラウザが解釈可能にウェブ・ページとして提供される。

パッケージ登録部１１０は、より詳細には、パッケージ登録要求を受領するパッケージ登録要求受領部１１２と、データ・ポリシー取得部１１４と、登録処理１１６とを含む。データ・ポリシー取得部１１４は、パッケージ登録要求にかかる配信データ、登録者指定ポリシーおよび配信先情報を取得する。また、データ・ポリシー取得部１１４は、パッケージ登録要求にかかる配信データが、他の配信データの２次データ（ここでは、その配信データが加工されて生成されたデータをいう。）である場合には、元の配信データに指定されたポリシーを取得し、登録者指定ポリシーにマージすることができる。登録処理部１１６は、取得された配信データ１２４、登録者指定ポリシー１２２および配信先情報を上記登録者用データベース１２０に記憶し、配信データを配信可能に登録する。

なお、説明する実施形態では、配信データ、登録者指定ポリシーおよび配信先情報は共に、登録者端末３０Ａからデータ配信サーバ２０へ送信されるので、データ・ポリシー取得部１１４は、登録者端末３０Ａから送信されるこれらのデータを例えばＨＴＴＰプロトコルに従って受信する。しかしながら、配信データ、登録者指定ポリシーおよび配信先の指定方法は特に限定されるものではない。

他の実施形態では、配信データ、登録者指定ポリシーおよび配信先またはこれらのいずれか一方をデータ配信サーバ２０側に予め保存し、配信データ、登録者指定ポリシーまたは配信先情報を識別する識別子を登録者端末３０Ａからデータ配信サーバ２０へ渡すよう構成してもよい。この場合、データ・ポリシー取得部１１４は、データ配信サーバ２０がアクセス可能な記憶領域から、識別子で識別されるデータを読み出す。さらに他の実施形態では、配信データ、登録者指定ポリシーおよび配信先情報またはこれらのいずれか一方をネットワーク上のリソースとして準備し、配信データ、登録者指定ポリシーまたは配信先情報が保存されているＵＲＩ（Universal Resource Identifier）を登録者端末３０Ａからデータ配信サーバ２０へ渡すよう構成してもよい。この場合、データ・ポリシー取得部１１４は、ＵＲＩで識別されるリソースからこれらのデータを取得する。

セキュリティ・ポリシーは、パッケージに同梱される配信データに対する、コンピュータ内プロセス間およびコンピュータ間またはこれらの一方における情報フロー制御を規定する。ここで、情報フロー制御とは、特定のコンピュータ内のプロセス間および相互接続されたコンピュータ間で情報が流通できる領域を規制することをいう。セキュリティ・ポリシーは、例示すると、配信データまたはその２次データの読み出し、該データのリムーバブル・メディアへの保存、該データのローカル・ドライブの保護されていない記憶領域への保存、該データのプリント、該データを開いている状態でのクリップボードを介したプロセス間のコピー・ペースト、該データのウィンドウがアクティブな状態でのクリップボードを介した画面コピーなどの禁止または許可などを規定する。

図３および図４は、本発明の第１の実施形態で用いられるセキュリティ・ポリシーのデータ構造を例示する図である。セキュリティ・ポリシーのフォーマットは特に限定されるものではないが、図３は、ＸＭＬ形式で記述されたセキュリティ・ポリシーを例示する。図３中、「Ｒｕｌｅ（Ｇｒｏｕｐ１）」で示されるＲｕｌｅタグ間の部分は、ひとまとまりのポリシーを表し、図３の例では、「メモ帳」に対するポリシーが記述されている。

Ｓｕｂｊｅｃｔｓタグ間には、Ｓｕｂｊｅｃｔタグによってポリシーを適用する主体（プロセス）が指定される。図３の例では、プロセス「ｎｏｔｅｐａｄ．ｅｘｅ」が主体として指定されている。Ｒｅｓｏｕｒｃｅｓタグ間には、Ｒｅｓｏｕｒｃｅタグによって、上記主体（プロセス）によるリソースへのアクセスに対するポリシーが記述される。図３の例では、プロセス「ｎｏｔｅｐａｄ．ｅｘｅ」による、リソース「クリップボード」に対するアクセス「書き込み」、リソース「プリンタ」へのアクセス「プリント指令」、リソース「リムーバブル・メディア」へのアクセス「書き込み」をそれぞれ禁止する旨が記述されている。Ｏｂｌｉｇａｔｉｏｎｓタグ間には、Ｒｅｓｏｕｒｃｅタグによって、プロセス終了時またはプロセス稼働中に課せられる義務が記述される。

図４は、ＸＭＬ形式で記述された他のセキュリティ・ポリシーにおける一部のデータ構造を例示する。図４（Ａ）に示す例では、ファイルマネージャ（Ｗｉｎｄｏｗｓ（登録商標）エクスプローラ）に対するポリシーが記述され、プロセス「ｅｘｐｌｏｒｅｒ．ｅｘｅ」が主体として指定されている。図４中、「％ＬＤＭＲＯＯＴ％」は、後述する配信パッケージを展開する保護されたフォルダ（以下、保護フォルダという。）を意味し、Ｒｅｓｏｕｒｃｅｓタグ間には、Ｒｅｓｏｕｒｃｅタグによって、プロセス「ｅｘｐｌｏｒｅｒ．ｅｘｅ」による、リソース「保護フォルダ」へのすべて（＊．＊）のアクセス「書き込みおよび読み出し」を禁止する旨が記述されている。なお、他の例では、保護フォルダ内の特定の拡張子を有するファイル、特定のファイルを対象としたアクセスを制御する記述とすることもできる。

図４（Ｂ）に示す例では、すべての任意のプロセス間のコピー・アンド・ペーストについてのポリシーが記述されている。Ｓｕｂｊｅｃｔｓタグ間には、ＡｎｙＳｕｂｊｅｃｔタグによって任意のプロセスに対するポリシーであることが記述され、Ｒｅｓｏｕｒｃｅｓタグ間には、Ｒｅｓｏｕｒｃｅタグによって、任意のプロセスによる、他のプロセスが書き込んだクリップボードの内容の読み出しを禁止する旨が記述されている。またＯｂｌｉｇａｔｉｏｎｓタグ間には、Ｒｅｓｏｕｒｃｅタグによってクリップボードが指定され、Ｏｂｌｉｇａｔｉｏｎタグにより、終了時にクリップボードをクリーンナップすることが義務として課されている。なお、プロセス終了時またはプロセス稼働中に課せられる義務としては、その他、操作ログ記録の強制などがある。

図３および図４に例示されるようなセキュリティ・ポリシーによって、クライアント装置３０上で動作するプロセスによるリソースへのアクセスが制御される。その結果として、プロセス間のデータの流通が制御され、さらに、リムーバブル・メディア、保護されていないフォルダ、ＦＴＰ（File Transfer Protocol）などの他のプロセスを介した当該クライアント装置から外部のコンピュータへのデータの流通が制御される。その他、ウェブ・ブラウザのプロセスに対し、配信データおよびその２次データのうちのデータ配信サーバ２０に配信先から再登録できる範囲をセキュリティ・ポリシー内に記述することにより、当該データ配信システムを介した直接的な配信先以降の外部コンピュータへのデータの流通を制御することもできる。なお、図３および図４に示したセキュリティ・ポリシーは、Ｗｉｎｄｏｗｓ（登録商標）用のものを例示するが、他のＯＳについても同様に記述することができる。

配信先情報は、配信データの配信先として許可されるクライアント装置３０または利用者を特定する情報を含む。配信先情報は、例えば、配信が許可される利用者を識別するユーザＩＤ、配信が許可されるクライアント端末を識別するクライアントＩＤ、配信が許可される利用者またはクライアントのグループを識別するグループＩＤ、配信が許可されるクライアント装置３０固有に与えられる固有識別子（ＯＳシリアルナンバー、マシンＵＵＩＤ（Universally Unique IDentifier）、マシンシリアルナンバーなど）、配信が許可されるクライアント装置３０に割り当てされたＩＰアドレス、配信が許可されるクライアント装置３０のＮＩＣに割り当てされたＭＡＣアドレス、配信が許可されるクライアント群に割り当てされるＩＰアドレスの範囲、またはこれらの組み合わせを含むことができる。

再び図２を参照すると、配信データ、登録者指定ポリシーおよび配信先情報が登録者用データベース１２０に登録されると、当該配信データの配信パッケージが配信可能な状態となる。データ配信サーバ２０の機能ブロック１００は、配信パッケージに同梱するアクセス制御実施モジュール（以下、実施モジュールという場合がある。）を記憶する実施モジュール・データベース１３０と、配信可能に登録された配信データをアクセス制御実施モジュールと同梱してパッケージ化して配信するパッケージ配信部１４０とをさらに含む。

アクセス制御実施モジュールは、後述するアクセス制御機構をクライアント装置上に実現し、クライアント装置上で上記セキュリティ・ポリシーに従ったアクセス制御を実施するためのプログラムであり、ＯＳの種類に依存する。このため、実施モジュール・データベース１３０は、ＯＳの種類毎に上記アクセス制御実施モジュールを記憶する。特定ＯＳ用のアクセス制御実施モジュールとしては、例えば、Ｗｉｎｄｏｗｓ（登録商標）用１３２、Ｌｉｎｕｘ（登録商標）用１３４、ＭＡＣ ＯＳ（登録商標）用１３６、ＡＩＸ（登録商標）用１３８のものがそれぞれ準備される。なお、実施モジュール・データベース１３０は、本実施形態のプログラム記憶部を構成する。

受取者側のクライアント装置３０（以下、受取者端末３０Ｂと参照する。）は、データ配信サーバ２０にアクセスし、所望の配信データを識別する配信データＩＤとともに、パッケージ受取要求を送信する。ここで、配信データＩＤは、例えば電子メールなどの別の手段により登録者側から受取者側へ送信することができ、利用者は、電子メール中の配信データをダウンロードするウェブ・ページへの直接リンクをクリックすることにより、データ配信サーバ２０に対し、所望の配信データのＩＤを含むパッケージ受取要求を送信することができる。あるいは、配信データＩＤは、当該利用者が受取可能な配信データを一覧表示するウェブ・ページに含めて受取者側へ送信することができ、この場合に利用者は、一覧表示された配信データのうちから所望のものを選択することにより、データ配信サーバ２０に対し、所望の配信データＩＤを含むパッケージ受取要求を送信することができる。

パッケージ配信部１４０は、より詳細には、パッケージ受取要求を受領するパッケージ受取要求受領部１４２と、環境検出部１４４と、適用ポリシー決定部１４６と、パッケージ化処理部１４８と、送信処理部１５０とを含む。環境検出部１４４は、要求元の受取者端末３０Ｂが使用するＯＳの種類などを記述した環境情報を取得し、受取者端末３０Ｂの環境を検出する。ここで、受取者端末３０Ｂの環境とは、受取者端末３０Ｂを構成するＯＳの種類を含むものであり、より広義には、ＯＳ、ブラウザ、アプリケーションなどのソフトウェアおよびドライブなどのハードウェアの組み合わせと、それぞれの構成状態や設定を含む総体をいう。

受取者端末３０Ｂが使用するＯＳは、例えば、ＨＴＴＰリクエスト中に申告されるユーザ・エージェントの識別名により、簡便に判定することができる。また、ＯＳの種類以外の詳細な環境を検出するために、ユーザの許諾を得てクライアント装置３０のシステム情報を収集してデータ配信サーバ２０へ送信するアプレット等のプログラムを受取者端末３０Ｂへ提供し、当該プログラムを経由して環境情報を取得することもできる。この場合、環境検出部１４４は、受取者端末３０Ｂのシステム情報が記述された環境情報を受取者端末３０Ｂから取得する。

上記システム情報としては、コンピュータ名、ＯＳシリアルナンバー、マシンＵＵＩＤ、マシンシリアルナンバーなどのクライアントを識別する情報や、システムがインストールされたボリュームや他のボリュームのドライブ番号、Ｗｉｎｄｏｗｓ（登録商標）ディレクトリ、システムディレクトリ、プログラムディレクトリなどのドライブ構成、主要なフォルダの暗号化属性、ローカルプリンタ名などローカルのリソース情報などを含むことができる。クライアントを識別する情報は、例えば、配信許可を与えるクライアントを制限する場合や配信パッケージを展開可能なマシンを制限する場合に用いることができる。ドライブ構成は、配信データを展開する保護フォルダを作成するパスを決定する際に使用することができ、暗号化属性は、保護フォルダを作成する場合に、保護フォルダ内のファイルに別途暗号化を施す必要があるかを判定する際に使用することができる。

適用ポリシー決定部１４６は、登録者用データベース１２０内の登録者指定ポリシーを、上記環境検出部１４４が検出した受取者端末３０Ｂの環境に適合するように適宜修正し、実際に配信パッケージ内に同梱するセキュリティ・ポリシー（以下、受取者適用ポリシーという。）を決定する。このような受取者端末３０Ｂの環境に適合させるための修正としては、上述した配信データを展開するフォルダのパス、プロセスのファイル名、ＯＳ特有のポリシーの修正を挙げることができる。例えば、ファイルマネージャは、Ｗｉｎｄｏｗｓ（登録商標）ではＷｉｎｄｏｗｓ（登録商標）エクスプローラであるが、Ｍａｃ ＯＳ（登録商標）ではＦｉｎｄｅｒ、ＵＮＩＸ（登録商標）やＬｉｎｕｘ（登録商標）ではＤｏｌｐｈｉｎやＮａｔｉｌｕｓとなることから、ＯＳの種類に応じてポリシーを適用するプロセスに関する情報を修正することができる。

パッケージ化処理部１４８は、登録者用データベース１２０内の配信データと、適用ポリシー決定部１４６が決定した受取者適用ポリシーと、実施モジュール・データベース１３０内の環境に適合したアクセス制御実施モジュールとを取得し、好ましくは少なくとも配信データを暗号化した上で、これらをパッケージ化した配信データを生成する。配信パッケージ１６０は、配信データ１６２、受取者適用ポリシー１６４およびアクセス制御実施モジュール１６６が同梱された、例えば実行形式のファイルとして提供される。送信処理部１５０は、配信データの受取要求元の受取者端末３０Ｂに対し、上記生成した配信パッケージ１６０を送信する。

配信パッケージ内の配信データの暗号化に使用する暗号鍵は、例えば受取者端末３０Ｂの個人証明書の公開鍵を用いることができる。しかしながら、暗号鍵は特に限定されるものではなく、本実施形態では、データ配信サーバ２０および受取者端末３０Ｂ間で予めまたは事後的に交換された共通鍵を使用することもできる。また、暗号化方式としては、特に限定されるものではなく、種々の共通鍵暗号方式、公開鍵暗号方式を採用することができる。また、説明する実施形態では、データ配信サーバ２０においてパッケージ化する際に配信データを暗号化するものとして説明してきたが、他の実施形態では、登録者端末３０Ａ側で配信データ自体を暗号化しておくこともできる。この場合も同様に、受取者端末３０Ｂの公開鍵や、登録者端末３０Ａおよび受取者端末３０Ｂ間で予めまたは事後的に交換された共通鍵を使用することができる。

図２に示したデータ配信サーバ２０の機能ブロック１００は、ＨＤＤなどのコンピュータ可読な記録媒体からプログラムを読み出し、メモリ上にプログラムを展開し、プログラムを実行し、各ハードウェア資源を動作制御することによって実現される。

以下、図５および図６を参照して、パッケージ登録要求およびパッケージ受取要求に対応する処理について、より詳細に説明する。図５は、本発明の第１の実施形態によるデータ配信サーバにおけるパッケージ登録部が実行する、パッケージ登録処理を示すフローチャートである。図５に示す処理は、クライアント装置３０からデータ配信サーバ２０へパッケージ登録要求が発行されたことに応答して、ステップＳ１００から開始される。

ステップＳ１０１では、パッケージ登録部１１０は、クライアント装置３０から発行されたパッケージ登録要求を受領する。ステップＳ１０２では、パッケージ登録部１１０は、要求にかかる配信データ、登録者指定ポリシーおよび配信先情報を取得する。ステップＳ１０３では、パッケージ登録部１１０は、継承すべきポリシーがあるか否かを判定する。ここでは、要求にかかる配信データが他の配信データの２次データであることが判明した場合、継承すべきポリシーがあると判定される。ステップＳ１０３で、継承すべきポリシーがあると判定された場合（ＹＥＳ）には、ステップＳ１０４へ処理が進められる。ステップＳ１０４では、パッケージ登録部１１０は、親となる配信データに指定されるセキュリティ・ポリシーを取得し、当該登録要求にかかる登録者指定ポリシーにマージして、ステップＳ１０５へ処理を進める。一方、ステップＳ１０３で、継承すべきポリシーが存在しないと判定された場合（ＮＯ）には、ステップＳ１０５へ処理が直接進められる。

ステップＳ１０５では、パッケージ登録部１１０は、配信データ、登録者指定ポリシーおよび配信先情報を登録者用データベース１２０に記憶し、配信パッケージを配信可能に登録する。ステップＳ１０６では、パッケージ登録部１１０は、パッケージ登録要求に対するアクノレッジを返答し、パッケージ登録処理が成功裡に完了した旨を通知する。

図６は、本発明の第１の実施形態によるデータ配信サーバにおけるパッケージ配信部が実行する、パッケージ配信処理を示すフローチャートである。図６に示す処理は、クライアント装置３０からデータ配信サーバ２０へパッケージ受取要求が発行されたことに応答して、ステップＳ２００から開始される。ステップＳ２０１では、パッケージ配信部１４０は、クライアント装置３０からパッケージ登録要求を受領する。ステップＳ２０２では、パッケージ配信部１４０は、クライアント装置３０からＯＳの種類、ドライブ情報などを含む環境情報を取得し、クライアント装置３０の環境を検出する。

ステップＳ２０３では、パッケージ配信部１４０は、受取要求にかかる配信データに関連付けられた登録者用データベース１２０内の配信先情報を参照して、要求元に配信を許可できるか否かを判定する。ステップＳ２０３で、要求元に配信を許可することができないと判定された場合（ＮＯ）には、ステップＳ２０７へ処理が分岐させられ、本処理を終了させる。ここでは、配信先情報内の配信が許可される条件に合致しない利用者またはクライアントからの要求が排除される。一方、ステップＳ２０３で、要求元に配信を許可できると判定された場合（ＹＥＳ）には、ステップＳ２０４へ処理が進められる。

ステップＳ２０４では、パッケージ配信部１４０は、受取要求にかかる配信データに関連付けられる登録者指定ポリシーを取得し、上記環境情報に従って、実施モジュール・データベース１３０が記憶する１以上のアクセス制御実施モジュールのうちから、受取要求元の環境に対応するアクセス制御実施モジュールを決定するとともに、受取要求元の環境に対応して登録者指定ポリシーを適宜修正して、受取者適用ポリシーを決定する。ステップＳ２０５では、パッケージ配信部１４０は、受取要求にかかる配信データを取得し、暗号化した上で、決定された実施モジュールと、暗号化された配信データと、決定された受取者適用ポリシーとをパッケージ化し、配信パッケージを生成する。ステップＳ２０６では、パッケージ配信部１４０は、受取要求元のクライアント装置３０に対し、上記生成した配信パッケージを送信し、ステップＳ２０７で本処理を終了する。

以下、配信パッケージを受信したクライアント側の処理について説明する。図７は、本発明の第１の実施形態においてクライアント装置に配信される配信パッケージの詳細な機能ブロックを示す図である。図７に示す配信パッケージは、配信データ１６２と、受取者適用ポリシー１６４と、アクセス制御実施モジュール１６６とを含む。実施モジュール１６６は、より詳細には、アクセス制御機構注入部１７０と、保護領域作成部１７２と、データ展開部１７４と、再パッケージ化部１７６と、保護領域削除部１７８と、アクセス制御機構１９０とをクライアント装置３０上に実現するためのプログラム・コードを含む。

アクセス制御機構１９０は、クライアント装置３０上で動作するプロセスによるＡＰＩ（Application Programming Interface）コールを監視し、アクセス制御をかけるライブラリとして構成される。このようなライブラリは、ダイナミック・リンク・ライブラリ（ＤＬＬ）、共有ライブラリ、シェアード・ライブラリとして参照される。アクセス制御機構注入部１７０は、アクセス制御機構１９０を機能させるために、クライアント装置３０上で動作する各プロセスにアクセス制御機構１９０を注入する。このプロセスに注入されたアクセス制御機構１９０は、以後、プロセスの主要なＡＰＩコールを監視し、受取者適用ポリシーに記述されたプロセス単位のポリシーに従い、当該プロセスによるリソースへのアクセスを制御する。

保護領域作成部１７２は、配信データを展開するための記憶領域（以下、保護領域という。）をクライアント装置３０のローカル・ドライブ上に作成する。ここで保護領域とは、暗号化により保護され、許可されないアクセスが排除されるよう保護される記憶領域をいう。この保護領域は、原則としてアクセスが禁止され、当該アクセス制御実施モジュール１６６のプロセスおよび受取者適用ポリシー内で例外的に許可されたプロセスのみが許可された方法によりアクセスすることが許可される。保護領域は、例えば、その配下のサブフォルダに同一の保護が適用される保護フォルダとして実装される。

データ展開部１７４は、配信パッケージ１６０内にパッケージされた配信データ１６２を復号し、上記作成された保護される記憶領域に展開し、上記許可されたプロセスによるアクセスを可能とする。なお、復号の際に用いる鍵は、暗号鍵に公開鍵を用いる場合は、受取者端末３０Ｂの個人証明書の秘密鍵を使用することができ、共通鍵を用いる場合には、登録者端末３０Ａおよび受取者端末３０Ｂ間またはデータ配信サーバ２０および受取者端末３０Ｂ間で予めまたは事後的に交換された鍵を用いることができる。

再パッケージ化部１７６は、ローカル作業が終了した際に、保護領域内のローカル・データを暗号化して再パッケージ化する。保護領域削除部１７８は、ローカル作業が終了した際に、再パッケージ化が完了した後、上記保護領域内のローカル・データを消去して、その保護領域自体を削除する。好ましくは、保護領域削除部１７８は、当該保護領域内のローカル・データをランダムな値で上書きして完全消去することができる。これにより、当該アクセス制御実施モジュール１６６のプロセス終了後は、クライアント装置３０のローカル・ドライブ内から機密性の高い、展開されたデータの痕跡が消去される。

図８は、本発明の第１の実施形態によるクライアント装置が実行する、アクセス制御実施処理を示すフローチャートである。なお、以下、Ｗｉｎｄｏｗｓ（登録商標）環境における処理を例に説明するが、他のＯＳであっても同様の処理により行うことができる。図８に示す処理は、クライアント装置３０上で配信パッケージ１６０（パッケージ内のアクセス制御実施モジュール１６６）が起動されたことに応答して、ステップＳ３００から開始される。

ステップＳ３０１では、アクセス制御実施モジュール１６６は、一時フォルダ内にアクセス制御機構１９０を実装するＤＬＬを展開する。ステップＳ３０２では、実施モジュール１６６は、クライアント装置３０上で稼働中のプロセスを列挙し、すべてのプロセスに対し当該アクセス制御機構１９０のＤＬＬを注入する（DLL Injection）。これにより、注入されたアクセス制御機構１９０のＤＬＬが、各プロセスによる主要ＡＰＩコールの監視を開始し、上述したプロセス単位のアクセス制御が実施される。

ステップＳ３０３では、アクセス制御実施モジュール１６６は、保護領域（保護フォルダ）を作成する。ステップＳ３０４では、実施モジュール１６６は、配信パッケージ１６０内の配信データ１６２を保護領域内に展開し、配信データを処理するためのアプリケーションを起動し、ステップＳ３０５で、終了条件が成立するまで（ＮＯの間）、当該ステップＳ３０５をループさせる。配信パッケージ１６０には、パッケージ内の配信データ１６２を編集するためのアプリケーション・ソフトウェアを指定することができ、これらのアプリケーションの稼働中は、上述したアクセス制御機構１９０が動作し、上述したプロセス単位のアクセス制御により、情報漏洩が防止される。一方、上記起動したアプリケーションがすべて終了した場合に、終了条件が成立したものと判定される。

ステップＳ３０５で、終了条件が成立したと判定された場合（ＹＥＳ）、ステップＳ３０６へ処理を進め、アクセス制御実施モジュール１６６は、保護領域内のローカル・データを再パッケージ化し、ステップＳ３０７で、保護領域内のローカル・データを消去して該保護領域を削除し、ステップＳ３０８で本プロセスを終了する。なお、上述した実施形態では、保護領域内のローカル・データを再パッケージするものとして説明したが、読取専用の配信データなどの場合は、再パッケージ化せずに展開データを削除するのみとしてもよい。

以下、図９を参照しながら、アクセス制御機構１９０の動作について説明する。図９は、本発明の第１の実施形態による、アクセス制御モジュールが起動されたクライアント装置上で実現される機能ブロックを示す図である。なお、以下、Ｗｉｎｄｏｗｓ（登録商標）環境における機能ブロックを例に説明する。

図９に示すように、アクセス制御実施モジュール１６６の動作により、クライアント装置３０上で動作する各アプリケーション・プログラム等のプロセス２１０にアクセス制御機構１９０のＤＬＬが注入される。アクセス制御機構１９０のＤＬＬは、プロセスの主要なＡＰＩコールを監視し、上記ポリシーに従って、ファイル１９２、プリント１９４、クリップボード１９６などの低レベルリソースへのアクセスを制御する。

また、アクセス制御機構１９０のＤＬＬは、セキュリティ・ポリシー内に、配信パッケージ内のデータに対する配信先以降の情報フロー制御を規定するポリシー（例えば、再発注可能なデータの範囲）が記述されている場合には、上述したＡＰＩコールを監視する仕組みを用いて、そのポリシーに従って、上記保護領域内の配信データまたはその２次データの一部または全部を配信データとする登録要求の可否を制御することができる。上記登録要求の可否は、ブラウザによるアップロード操作の許可または拒否により制御することができる。上記再発注可能なデータの範囲を規定するセキュリティ・ポリシーとしては、例えば、原則としてブラウザによるアップロード操作を禁止するとともに、所定条件に合致するアップロード先ＵＲＬに対して、配信データまたはその２次データの一部または全部を例外的に読み取り許可する旨の記述を含むことができる。

上記主要なＡＰＩとしては、Ｗｉｎｄｏｗｓ（登録商標）環境では、オペレーティング・システム２００が備える、ＧＤＩ３２．ｄｌｌ、Ｕｓｅｒ３２．ｄｌｌ、Ｋｅｒｎｅｌ３２．ｄｌｌなどのＤＬＬ２０２ａ〜２０２ｃに含まれ、例えば、ＣｒｅａｔｅＦｉｌｅ、ＤｅｌｅｔｅＦｉｌｅ、ＣｏｐｙＦｉｌｅ、ＳｔａｒｔＤｏｃ、ＳｅｔＣｌｉｐｂｏａｒｄＤａｔａ、ＧｅｔＣｌｉｐｂｏａｒｄＤａｔａ、ＣｒｅａｔｅＰｒｏｃｅｓｓなどのＷｉｎ３２ＡＰＩ関数を挙げることができる。また、アクセス制御機構１９０は、特定のＣＯＭ（Component Object Model）インタフェース２０４ａのメソッド・コールを監視し、高レベルリソースへのアクセスを制御することもできる。

配信パッケージ１６０に含まれる受取者適用ポリシー１６４は、ポリシー管理テーブル２３０としてメモリ上に展開され、アクセス制御機構１９０のＤＬＬは、ポリシー管理テーブル２３０を参照しながらアクセス制御を実施する。例えば、アプリケーション・プログラム２１０は、ＤＬＬ２０２のＡＰＩをコールして、保護領域２２０内のデータ２２２にアクセスするが、アクセス制御機構１９０は、このＡＰＩコールを通過させるか否かをポリシー管理テーブル内のエントリに応じて決定する。ポリシー管理テーブルは、静的なデータとすることもできるが、ウィンドウやプロセスの状態をポリシーにリアルタイムに反映するため、ＡＰＩおよびＣＯＭの呼び出し履歴やＯＳからアプリケーションへの通知メッセージをフィードバックする管理機構（図示せず。）を設けて、ポリシー管理テーブル２３０をユーザの作業状況に応じて動的に更新することが好ましい。

例えば、画面コピーを禁止する場合、アプリケーションの保護すべきファイルを表示するウィンドウが画面上に見えているか否かという点が重要となる。そこで、ウィンドウのアクティブ状態や可視状態を判定するために、上記管理機構は、ＷＭ＿Ｃｒｅａｔｅなどのウィンドウメッセージを監視し、ウィンドウクラス名やタイトル名、ウィンドウ属性などの情報から、どのファイルが表示され、どのファイルがアクティブになったかを判定し、イベントとして検出し、メモリ上のポリシー管理テーブル２３０を動的に更新することができる。

なお、上述したようなＧＵＩのコンテキストに応じた動的なアクセス制御機構については、より詳細には、古市 実裕、工藤 道治、“ＧＵＩベースのコンピュータに適したアクセス制御ポリシー管理方法の提案”、情報処理学会論文誌、Ｖｏｌ．４９、Ｎｏ．９、ｐｐ．１−１１（２００８年９月）を参照することができる。なお、上述したアクセス制御機構１９０は、主要ＡＰＩおよびＣＯＭインタフェースを対象にしたＢｉｎａｒｙ Ｉｎｔｅｒｃｅｐｔｉｏｎをベースとしたものであるが、ＵＮＩＸ（登録商標）、ＭＡＣ ＯＳ（登録商標）などのＷｉｎｄｏｗｓ（登録商標）以外のＯＳ環境でも、同様に適用することができる。

以下、図１０を参照して、本実施形態のデータ配信サーバ２０が提供するデータ配信機能の利用態様を説明する。図１０は、図１を参照して説明したデータ処理システム１０において、発注者、１次受注者および２次受注者間で行われる業務の流れを示す図である。まず、発注者端末３０ａは、登録者端末として、データ配信サーバ２０に対し所定の１次受注者を配信先としたパッケージ登録要求を送信する。データ配信サーバ２０は、発注者端末３０ａから配信先情報、受注者用データ、受注者用ポリシーを受信し、発注者用データベース１２０Ａに記憶する。これにより、受注者用データが配信可能に登録される。

一方、１次受注者端末３０ｂは、受取者端末として、データ配信サーバ２０に対し、受注者用データのパッケージ受取要求を送信する。データ配信サーバ２０は、受取要求に対する応答として、１次受注者端末３０ｂに対し、受注者用データ、受注者用ポリシーおよび実施モジュールを含む１次受注者用配信パッケージ１６０Ａを送信する。その後、１次受注者端末３０ｂにおいて、１次受注者用配信パッケージ１６０Ａ内の受注者用データが展開され、アクセス制御機構による制御の下、受注者用データを対象としたローカル作業が行われる。

１次受注者端末３０ｂ側で受注した業務の一部をさらに下請け業者に発注する場合には、１次受注者端末３０ｂは、登録者端末として、データ配信サーバ２０に対し、保護領域内の上記受注者用データのうちの許可される少なくとも一部のデータ（以下、２次受注者用データという）と、１次受注者が２次受注者へ渡すデータに追加的に適用する追加ポリシーとを送信し、所定の２次受注者を配信先としたパッケージ登録要求を送信する。この場合、起源となる受注者用データの登録者指定ポリシーが継承され、２次受注者用ポリシーが構成される。

１次受注者から２次受注者へ再発注可能なデータは、大本の発注者側で指定する受注者用ポリシーに記述することができる。例えば、上記受注者ポリシーは、再発注を行うためのアップロード先ＵＲＬを対象とした、上記再発注可能なファイルの読み取りを例外的に許可する旨の記述を含むことができる。このように、本実施形態においては、発注者は、１次受注者以降の情報フロー制御を設定することが可能とされている。

１次受注者の一部業務を請け負う２次受注者端末３０ｃは、受取者端末として、データ配信サーバ２０に対し、２次受注者用データのパッケージ受取要求を送信し、２次受注者用データ、２次受注者用ポリシーおよび実施モジュールを含む２次受注者用配信パッケージ１６０Ｂを取得し、２次受注者用データを対象としたローカル作業を行う。

以降、作業後のデータを発注元に返却する必要がある場合には、２次受注者端末３０ｃは、データ配信サーバ２０に対し、受取者端末として、作業完了後再パッケージ化した配信パッケージを送信するとともに、１次受注者へのパッケージの返却要求を送信する。１次受注者端末３０ｂは、登録者端末として、２次受注者から返却された配信パッケージをデータ配信サーバ２０から受信する。同様に、１次受注者端末３０ｂは、データ配信サーバ２０に対し、受取者端末として、発注者へのパッケージの返却要求を送信する。発注者端末３０ａは、登録者端末として、１次受注者から返却された配信パッケージをデータ配信サーバ２０から受信する。

上述した本発明の第１の実施形態によれば、配信データの登録者は、配信先の作業環境に一定のセキュリティ・ポリシーを課した上で、当該配信データを配信先に引き渡すことができる。配信データは、配信先ローカル環境に保存されることになるが、ローカル環境に存在する配信データに対しては、上述したアクセス制御機構により、セキュリティ・ポリシーに従って稼働プロセスによるリソースへのアクセスが制御され、その流通可能な範囲が制限される。これにより、例えば取引先企業への正式な情報提供の後の意図しないデータ流出による情報漏洩、いわゆる２次漏洩を防止することができる。また、ローカル環境における作業が終了した後は、配信データをローカル環境から消去し、または消去後返却してもらうことも可能となる。

さらに、データ配信サーバ２０が配信先の環境を検出して、適切なアクセス制御実施モジュールを同梱してパッケージを配信するため、登録者は、データのパッケージング方法を気にする必要がなく、作業効率の向上を図ることが可能となる。また、上記実施形態によれば、配信先へのわずらわしい特殊な制御ソフトウェアの強制的な導入および設定が不要である。さらに、上述したアクセス制御実施モジュールは、稼働プロセスにライブラリを注入することによってアクセス制御を実現するという手法を採用しているため、原則として、種々のデータ、種々のアプリケーションに適用することができる。

上述した実施形態では、さらに、配信データの配信先以降の情報フロー制御についても一定のセキュリティ・ポリシーを課すことができるため、例えば、再発注可能なデータの範囲を大本の発注者側で制限をかけることができ、孫請け、さらにその下請けからの情報漏洩を好適に防止することができる。

受注者側のローカル端末に保存された機密情報は、特に契約期間満了後、消去または利用不能とされることが望ましい。以下、配信パッケージに有効期限を設定し、有効期限経過後は配信パッケージ内の配信データを利用不能とする第２の実施形態について説明する。なお、第２の実施形態によるデータ配信サーバ２０は、第１の実施形態と同様な構成を備えているため、以下、第１の実施形態との相違点を中心に説明する。また、第１の実施形態と同様の機能を有する機能部については、同一符番を付す。

図１１は、本発明の第２の実施形態によるデータ配信サーバにおいて実現される機能ブロック図を示す。図１１に示すデータ配信サーバ２０の機能ブロック１００は、パッケージ登録部１１０と、登録者用データベース１２０とを含む。

登録者端末３０Ａは、データ配信サーバ２０に対し、配信データのパッケージ登録要求を送信する。このパッケージ登録要求には、配信データ、登録者指定ポリシーおよび配信先情報に加えて、配信データに設定する有効期限が含まれる。有効期限は、セキュリティ・ポリシーと同様にウェブ・ブラウザを介して入力され、入力された各項目の値が例えばセキュリティ・ポリシーと同時にデータ配信サーバ２０へと送信される。上記有効期限を設定するためのＧＵＩは、例えば、登録者端末３０Ａのウェブ・ブラウザが解釈可能に、ウェブ・ページとして提供される。

パッケージ登録部１１０は、登録者端末３０Ａが送信するパッケージ登録要求を受領し、要求にかかる配信データ、登録者指定ポリシー、配信先情報および有効期限を取得し、適宜継承すべきポリシーを取得する。本実施形態のパッケージ登録部１１０は、さらに、当該配信パッケージの暗号化に使用する暗号鍵を取得する。この暗号鍵は、特に限定されるものではないが、データ配信サーバ２０が生成することができ、あるいは、登録者端末３０Ａから上記パッケージ登録要求とともに送信されてもよい。パッケージ登録部１１０は、暗号鍵に有効期限を設定して、配信先情報、登録者指定ポリシー１２２、配信データ１２４および期限付き暗号鍵１２６を登録者用データベース１２０に記憶して、配信データを配信可能に登録する。

データ配信サーバ２０の機能ブロック１００は、実施モジュール・データベース１３０と、パッケージ配信部１４０とをさらに含む。本実施形態のパッケージ配信部１４０は、より詳細には、パッケージ受取要求受領部１４２と、環境検出部１４４と、適用ポリシー決定部１４６と、パッケージ化処理部１４８と、送信処理部１５０とを含み、さらに、暗号鍵配信部１５２を含む。

パッケージ化処理部１４８は、少なくとも配信データを暗号化した上で、暗号化された配信データ、受取者適用ポリシー、アクセス制御実施モジュールをパッケージ化した配信データを生成する。送信処理部１５０は、配信データの受取要求元の受取者端末３０Ｂに対し、上記生成した配信パッケージ１６０を送信する。暗号鍵配信部１５２は、受取者端末３０Ｂ上で起動されたアクセス制御実施モジュール１６６からの鍵取得要求に応答し、登録者用データベース１２０から対応する期限付き暗号鍵を読み出し、期限が経過していなければ、受取者端末３０Ｂに提供する。期限が経過した後は、暗号鍵の提供を停止する。

以下、第２の実施形態における配信パッケージを受信したクライアント側の処理について説明する。図１２は、本発明の第２の実施形態においてクライアント装置に配信される配信パッケージの詳細な機能ブロックを示す図である。図１２に示す配信パッケージは、第１の実施形態と同様に、アクセス制御実施モジュール１６６と、配信データ１６２と、受取者適用ポリシー１６４とを含む。

第２の実施形態の実施モジュール１６６は、アクセス制御機構注入部１７０、保護領域作成部１７２、データ展開部１７４、再パッケージ化部１７６、保護領域削除部１７８、アクセス制御機構１９０に加え、さらに鍵取得部１８０および展開データ削除部１８２をクライアント装置３０上に実現するためのプログラム・コードを含む。

鍵取得部１８０は、データ配信サーバ２０と通信して、期限付き暗号鍵を取得する機能部である。データ展開部１７４は、配信パッケージ１６０内の配信データを上記取得した暗号鍵で復号し、上記作成された保護領域に展開する。展開データ削除部１８２は、上記保護領域内に展開したデータを定期的または不定期に削除する。この展開したデータの削除に連動して、鍵取得部１８０は、データ配信サーバ２０から再度期限付き暗号鍵を取得し、データ展開部１７４は、再度、配信パッケージ１６０内のデータを上記取得した暗号鍵で復号して、保護領域に展開する。なお、上記鍵取得部１８０、データ展開部１７４、および展開データ削除部１８２は、本実施形態の失効処理部を構成する。

図１３は、本発明の第２の実施形態によるクライアント装置が実行する、アクセス制御実施処理を示すフローチャートである。図１３に示す処理は、クライアント装置３０上で配信パッケージ１６０（実施モジュール１６６）が起動されたことに応答して、ステップＳ４００から開始される。

ステップＳ４０１では、実施モジュール１６６は、一時フォルダ内にアクセス制御機構１９０を実装するＤＬＬを展開し、ステップＳ４０２で、クライアント装置３０上で稼働中のプロセスを列挙し、すべてのプロセスに対し当該アクセス制御機構１９０のＤＬＬを注入する。ステップＳ４０３では、実施モジュール１６６は、保護領域を作成し、ステップＳ４０４では、データ配信サーバ２０と通信して、期限付き暗号鍵の取得を試みる。

ステップＳ４０５では、実施モジュール１６６は、鍵の取得に成功したか否かを判定する。ステップＳ４０５で、鍵の取得に失敗したと判定された場合（ＮＯ）には、ステップＳ４１２へ処理を分岐させ、本プロセスを終了させる。一方、ステップＳ４０５で、鍵の取得に成功したと判定された場合（ＹＥＳ）には、ステップＳ４０６へ処理を分岐させる。

ステップＳ４０６では、実施モジュール１６６は、配信パッケージ１６０内の配信データ１６２を保護領域内に展開し、アプリケーションを起動する。ステップＳ４０７では、実施モジュール１６６は、例えば一定期間が経過したか否かを判定する。ステップＳ４０７で、一定期間が未だ経過していない判定された場合（ＮＯ）には、ステップＳ４０９へ処理を進め、終了条件が成立するまで（ステップＳ４０９でＮＯの間）ステップＳ４０７へのループを繰り返す。一方、ステップＳ４０７で、一定期間が経過したと判定された場合（ＹＥＳ）には、ステップＳ４０８へ処理が進められる。ステップＳ４０８では、実施モジュール１６６は、保護領域内のデータを一旦削除し、ステップＳ４０４へ処理をループさせる。

一方、ステップＳ４０９で、終了条件が成立したと判定された場合（ＹＥＳ）、ステップＳ４１０へ処理を進め、実施モジュール１６６は、保護領域内のデータを再パッケージ化し、ステップＳ４１１で、保護領域を削除し、ステップＳ４１２で本プロセスを終了する。

上述したステップＳ４０４〜ステップＳ４０９のループにより、定期的に保護領域内のデータの削除、鍵の再取得および再展開が繰り返され、鍵の有効期限が経過した時点で鍵が取得不能となるため、期限満了後は、配信パッケージ内のデータが利用不能となる。なお、上述した第２の実施形態では、展開したデータを削除するものとして説明してきたが、上書可能な配信データの場合は、上記データの削除に代えて、保護領域内の現在のローカル・データと配信パッケージの配信時点における配信データとの差分を他の記憶領域に待避する構成としてもよい。

上述した第２の実施形態によれば、配信データが利用可能な制限することができる。これにより、例えば契約期間満了後、受注者のローカル端末に保存された機密データを利用不能とし、契約期間満了の不正利用または流出を防止することができる。

以上説明したように、上記実施形態によれば、配信データに関しアクセス制御を実行するアクセス制御機構を同梱した配信パッケージの形態でデータ配信することにより、データの情報フローを制御し、ひいては、配信先の利用環境に制限および過剰な作業負担をかけずに、配信先からの情報漏洩を防止することができるデータ配信装置およびデータ配信システムを提供することができる。さらに上記実施形態によれば、上記データ配信装置またはデータ配信システムから配信パッケージを受信するクライアント装置、上記データ配信装置が実行するデータ配信方法、上記クライアント装置が実行するデータ受信方法、上記データ配信装置を実現するためのプログラム、および上記プログラムを格納する記録媒体を提供することができる。

なお、上述までの実施形態では、単一のコンピュータとして構成されるデータ配信サーバ２０を例に説明してきたが、他の実施形態では、複数のコンピュータからなるコンピュータ・システム上に、上記データ配信機能をクラウドサービスとして実装する構成を採用することができる。

また、上述までの実施形態では、登録された配信データは、受取者端末３０Ｂからの受取要求に応答して配信パッケージとして配信されるものとして説明してきた。しかしながら、製造業における下請け業者においては、インターネットに接続できない環境も想定されるため、物理的な記録媒体を介した配信パッケージの提供方法を確保することが好ましい場合もある。そこで、他の実施形態では、登録者側で、データ配信サーバ２０からパッケージ化された配信パッケージを取得し、ＣＤ−ＲやＵＳＢフラッシュ、ＳＤカードなどのような記録媒体に書き出すことができる。この場合、当該記録媒体を郵送等することにより、所望の相手先にセキュリティ・ポリシーを適用した配信パッケージを提供することもできる。この場合、暗号鍵は、郵送、口頭または他の手段で伝達すればよい。

さらに上述した実施形態は、データ配信を行うデータ処理システムを例に説明してきたが、スケジュール管理、プロジェクト管理、タスク管理、ワークフロー管理などの種々の機能を備えるコラボレーション・システムとして実装することもできる。さらに、他の実施形態では、電子文書等をセキュアに配信するコンテンツ管理システムとして実装してもよい。

本発明の上記機能は、アセンブラ、Ｃ、Ｃ＋＋、Ｊａｖａ（登録商標）、ＪａｖａＢｅａｎｓ（登録商標）、Ｊａｖａ（登録商標）Ａｐｐｌｅｔ、ＪａｖａＳｃｒｉｐｔ（登録商標）、Ｐｅｒｌ、Ｒｕｂｙなどのレガシープログラミング言語またはオブジェクト指向プログラミング言語などで記述された装置実行可能なプログラムにより実現でき、ＲＯＭ、ＥＥＰＲＯＭ、ＥＰＲＯＭ、フラッシュメモリ、フレキシブルディスク、ＣＤ−ＲＯＭ、ＣＤ−ＲＷ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＤＶＤ−ＲＷ、ブルーレイディスク、ＳＤカード、ＭＯなど装置可読な記録媒体に格納して頒布または伝送して頒布することができる。

これまで本発明を、特定の実施形態および実施例をもって説明してきたが、本発明は、特定の実施形態または実施例に限定されるものではなく、他の実施形態、追加、変更、削除など、当業者が想到することができる範囲内で変更することができ、いずれの態様においても本発明の作用・効果を奏する限り、本発明の範囲に含まれるものである。

１０…データ処理システム、１２…ネットワーク、２０…データ配信サーバ、３０…クライアント装置、１００…機能ブロック、１１０…パッケージ登録部、１１２…登録要求受領部、１１４…データ・ポリシー取得部、１１６…登録処理、１２０…登録者用データベース、１２２…登録者指定ポリシー、１２４…配信データ、１２６…期限付き暗号鍵、１３０…実施モジュール・データベース、１３２〜１３８…実施モジュール、１４０…パッケージ配信部、１４２…パッケージ受取要求受領部、１４４…環境検出部、１４６…適用ポリシー決定部、１４８…パッケージ化処理部、１５０…送信処理部、１５２…暗号鍵配信部、１６０…配信パッケージ、１６２…配信データ、１６４…受取者適用ポリシー、１６６…アクセス制御実施モジュール、１７０…アクセス制御機構注入部、１７２…保護領域作成部、１７４…データ展開部、１７６…再パッケージ化部、１７８…保護領域削除部、１８０…鍵取得部、１８２…展開データ削除部、１９０…アクセス制御機構、１９２…ファイル、１９４…プリント、１９６…クリップボード、２００…ＯＳ、２０２…ＤＬＬ、２０４…ＣＯＭインタフェース、２１０…アプリケーション・プロセス、２２０…保護領域、２２２…データ、２３０…ポリシー管理テーブル

Claims (20)

1. クライアントの環境に対応させて、与えられるポリシーに応じてプロセスによるリソースへのアクセスを制御するアクセス制御機構と、配信パッケージに含まれる配信データを保護される記憶領域に展開する展開部とを該クライアント上で実現するためのアクセス制御実施プログラムを記憶するプログラム記憶部と、
   配信対象となる配信データと、該配信データに対して指定されるセキュリティ・ポリシーとを記憶するデータ記憶部と、
   前記配信データの受け取りを要求する要求元クライアントの環境を検出する環境検出部と、
   前記配信データと、前記セキュリティ・ポリシーと、前記要求元クライアントの前記環境に対応したアクセス制御実施プログラムとを含む配信パッケージを、前記要求元クライアントに送信する送信部と
   を含む、データ配信装置。
2. 配信データの登録要求に応答して、登録が要求される配信データと、該配信データに対する情報フロー制御を規定するセキュリティ・ポリシーと、該配信データの配信先の情報とを前記データ記憶部に記憶して、該配信データを登録する登録部をさらに含む、請求項１に記載のデータ配信装置。
3. 前記アクセス制御実施プログラムは、前記配信データを使用した作業の終了時に、前記保護される記憶領域内をデータ消去し、かつ前記保護される記憶領域を削除する領域削除部をさらにクライアント上で実現するためのコードを含む、請求項２に記載のデータ配信装置。
4. 前記配信データに対して指定される前記セキュリティ・ポリシーは、該配信データのうちの少なくとも一部に対する前記配信先以降の情報フロー制御を規定するポリシーを含み、
   前記アクセス制御機構は、前記保護される記憶領域内のローカル・データの少なくとも一部を配信データとする登録要求の可否を前記ポリシーに応じて制御し、
   前記登録部は、前記ローカル・データの少なくとも一部を配信データとする登録要求に応答して、前記ローカル・データの起源となる配信データに対して指定されたポリシーを継承するセキュリティ・ポリシーと、配信データとして前記ローカル・データの少なくとも一部とを前記データ記憶部に記憶させる、請求項３に記載のデータ配信装置。
5. 前記データ記憶部は、有効期限が設けられる鍵をさらに前記配信データに関連付けて記憶し、前記アクセス制御実施プログラムは、前記鍵の前記有効期限が経過した後、前記配信データおよび前記保護される記憶領域内のローカル・データへのアクセスを制限する失効処理部をさらにクライアント上で実現するためのコードを含む、請求項４に記載のデータ配信装置。
6. 前記失効処理部は、定期的または不定期に、前記保護される記憶領域内の前記ローカル・データを削除するか、または前記保護される記憶領域内の前記ローカル・データと前記配信パッケージの前記配信データとの差分を待避する機能部と、前記配信データに関連付けられる前記鍵の再取得する機能部と、再取得した前記鍵を用いて前記保護される記憶領域内にデータを復元する機能部とを含む、請求項５に記載のデータ配信装置。
7. 与えられるポリシーに応じて制御される前記プロセスによるリソースへのアクセスは、前記保護される記憶領域内の前記ローカル・データの読み出し、前記ローカル・データのリムーバブル・メディアへの保存、前記ローカル・データの保護されていない記憶領域への保存、前記ローカル・データのプリント、前記ローカル・データを開いている状態でのクリップボードへのコピー、前記ローカル・データを開いている状態でのクリップボードを介したプロセス間のコピー・ペースト、前記ローカル・データのウィンドウがアクティブな状態での画面コピー、および前記保護される記憶領域への書き込みのうちの少なくとも１つを含む、請求項６に記載のデータ配信装置。
8. 前記データ記憶部は、有効期限が設けられる鍵をさらに前記配信データに関連付けて記憶し、前記アクセス制御実施プログラムは、前記鍵の前記有効期限が経過した後、前記配信データおよび前記保護される記憶領域内のローカル・データへのアクセスを制限する失効処理部をさらにクライアント上で実現するためのコードを含む、請求項１に記載のデータ配信装置。
9. 前記失効処理部は、定期的または不定期に、前記保護される記憶領域内の前記ローカル・データを削除するか、または前記保護される記憶領域内の前記ローカル・データと前記配信パッケージの前記配信データとの差分を待避する機能部と、前記配信データに関連付けられる前記鍵の再取得する機能部と、再取得した前記鍵を用いて前記保護される記憶領域内にデータを復元する機能部とを含む、請求項８に記載のデータ配信装置。
10. 与えられるポリシーに応じて制御される前記プロセスによるリソースへのアクセスは、前記保護される記憶領域内のローカル・データの読み出し、前記ローカル・データのリムーバブル・メディアへの保存、前記ローカル・データの保護されていない記憶領域への保存、前記ローカル・データのプリント、前記ローカル・データを開いている状態でのクリップボードへのコピー、前記ローカル・データを開いている状態でのクリップボードを介したプロセス間のコピー・ペースト、前記ローカル・データのウィンドウがアクティブな状態での画面コピー、および前記保護される記憶領域への書き込みのうちの少なくとも１つを含む、請求項１に記載のデータ配信装置。
11. 前記クライアントの前記環境に応じて、前記配信データに対して指定されるセキュリティ・ポリシーを変更して、前記配信パッケージに含ませる適用ポリシーを決定する適用ポリシー決定部をさらに含む、請求項１に記載のデータ配信装置。
12. 複数のコンピュータからなる、配信パッケージを提供するためのデータ配信システムであって、
    クライアントの環境に対応させて、与えられるポリシーに応じてプロセスによるリソースへのアクセスを制御するアクセス制御機構と、配信パッケージに含まれる配信データを保護される記憶領域に展開する展開部とを該クライアント上で実現するためのアクセス制御実施プログラムを記憶するプログラム記憶部と、
    配信対象となる配信データと、該配信データに対して指定されるセキュリティ・ポリシーとを記憶するデータ記憶部と、
    前記配信データの受け取りを要求する要求元クライアントの環境を検出する環境検出部と、
    前記配信データと、前記セキュリティ・ポリシーと、前記要求元クライアントの前記環境に対応したアクセス制御実施プログラムとを含む配信パッケージを、前記要求元クライアントに送信する送信部と
    を含む、データ配信システム。
13. 配信パッケージを配信するデータ配信装置にネットワークを介して接続されるクライアント装置であって、
    前記データ配信装置に対し、配信データの受取要求を送信する要求送信部と、
    前記データ配信装置に対し、当該クライアント装置の環境を記述した環境情報を送信する環境情報送信部と、
    前記データ配信装置から、前記配信データと、該配信データに対して指定されるセキュリティ・ポリシーと、当該クライアント装置の前記環境に対応するアクセス制御実施プログラムであって、前記セキュリティ・ポリシーに応じてプロセスによるリソースへのアクセスを制御するアクセス制御機構と、前記配信データを保護される記憶領域に展開する展開部とを当該クライアント装置上で実現するためのアクセス制御実施プログラムとを含む配信パッケージを受信する受信部と
    を含む、クライアント装置。
14. １以上のコンピュータからなるコンピュータ・システムが実行する、配信パッケージを提供する方法であって、
    前記コンピュータ・システムが、クライアントから配信データの受取要求を受信するステップと、
    前記コンピュータ・システムが、前記クライアントの環境を検出するステップと、
    前記コンピュータ・システムが、配信対象となる配信データと、該配信データに対して指定されるセキュリティ・ポリシーとを読み出すステップと、
    前記コンピュータ・システムが、前記クライアントの前記環境に対応したアクセス制御実施プログラムであって、前記セキュリティ・ポリシーに応じてプロセスによるリソースへのアクセスを制御するアクセス制御機構と、前記配信データを保護される記憶領域に展開する展開部とを当該クライアント上で実現するためのアクセス制御実施プログラムを読み出すステップと、
    前記コンピュータ・システムが、前記配信データと、前記セキュリティ・ポリシーと、前記アクセス制御実施プログラムとを含む配信パッケージを前記クライアントに送信するステップと
    を含む、データ配信方法。
15. 前記コンピュータ・システムが、配信データの登録要求に応答して、登録要求された配信データと、該配信データに対する情報フロー制御を規定するセキュリティ・ポリシーと、該配信データの配信先の情報とを記憶して、該配信データを登録するステップさらに含む、請求項１４に記載のデータ配信方法。
16. 前記配信データに対して指定される前記セキュリティ・ポリシーは、該配信データのうちの少なくとも一部に対する前記配信先以降の情報フロー制御を規定するポリシーを含み、
    前記アクセス制御機構は、前記保護される記憶領域内のローカル・データの少なくとも一部を配信データとする登録要求の可否を前記ポリシーに応じて制御し、
    前記登録するステップは、前記コンピュータ・システムが、前記ローカル・データの少なくとも一部を配信データとする登録要求に応答して、前記ローカル・データの起源となる配信データに対して指定されたセキュリティ・ポリシーを、前記ローカル・データの少なくとも一部に対して指定されるセキュリティ・ポリシーに継承させるサブステップを含む、請求項１５に記載のデータ配信方法。
17. データ配信方法は、
    前記コンピュータ・システムが、前記クライアントからの鍵取得要求に応答して、前記配信データに関連付けて記憶される有効期限が設けられる鍵を読み出し、前記クライアントへ前記鍵を送信するステップをさらに含み、
    前記アクセス制御実施プログラムは、前記鍵の前記有効期限が経過した後、前記配信データおよび前記保護される記憶領域内のローカル・データへのアクセスを制限する失効処理部をさらにクライアント上で実現するためのコードを含む、請求項１６に記載のデータ配信方法。
18. 配信データを受信する方法であって、
    前記配信データを含む配信パッケージを配信するデータ配信装置にネットワークを介して接続されるクライアント装置が、前記データ配信装置に対し、前記配信データの受取要求を送信するステップと、
    前記クライアント装置が、前記データ配信装置に対し、当該クライアントの環境を記述した環境情報を送信するステップと、
    前記クライアント装置が、前記データ配信装置から、前記配信データと、該配信データに対して指定されるセキュリティ・ポリシーと、当該クライアント装置の前記環境に対応するアクセス制御実施プログラムであって、前記セキュリティ・ポリシーに応じてプロセスによるリソースへのアクセスを制御するアクセス制御機構と、前記配信データを保護される記憶領域に展開する展開部とを当該クライアント装置上で実現するためのアクセス制御実施プログラムとを含む配信パッケージを受信するステップと、
    前記クライアント装置が、前記アクセス制御機構を起動するステップと、
    前記クライアント装置が、前記保護される記憶領域に、前記配信パッケージに含まれる前記配信データを展開するステップと
    を含む、データ受信方法。
19. コンピュータ実行可能なプログラムであって、前記プログラムは、１以上のコンピュータからなるコンピュータ・システムに対し、
    クライアントの環境に対応させて、与えられるポリシーに応じてプロセスによるリソースへのアクセスを制御するアクセス制御機構と、配信パッケージに含まれる配信データを保護される記憶領域に展開する展開部とを該クライアント上で実現するためのアクセス制御実施プログラムを記憶するプログラム記憶部、
    配信対象となる配信データと、該配信データに対して指定されるセキュリティ・ポリシーとを記憶するデータ記憶部、
    前記配信データの受け取りを要求する要求元クライアントの環境を検出する環境検出部、および
    前記配信データと、前記セキュリティ・ポリシーと、前記要求元クライアントの前記環境に対応したアクセス制御実施プログラムとを含む配信パッケージを、前記要求元クライアントに送信する送信部
    を実現するためのプログラム。
20. 請求項１９に記載のプログラムをコンピュータ可読に記録する記録媒体。