JP6951768B2 - 情報制御プログラム、情報制御システム、及び情報制御方法 - Google Patents

Description

本発明は、情報制御プログラム、情報制御システム、及び情報制御方法に関し、特に、データファイルの情報が漏洩することを防ぐための情報制御プログラム、情報制御システム、及び情報制御方法に関する。

高速処理が可能な情報機器が普及し、ネットワーク設備も普及する中、デジタル情報に対するセキュリティ対策の重要度が増している。組織において、機密情報の一元管理への要求は高まる一方であり、組織で管理するストレージサーバやオンラインストレージサーバのセキュリティについての対策が進められている（例えば、特許文献１）。

特開２０１６−１８４９１１号公報

しかしながら、情報を、閲覧したり、編集したりするためのアプリケーションプログラムの機能は多様化し、複雑化しており、サーバ上でそのようなアプリケーションプログラムを実行することが困難となる場合がある。そのため、サーバ上の情報を閲覧、編集を行うためには、情報をユーザの端末にダウンロードすることが多くなってきている。情報をユーザの端末にダウンロードした状況でのセキュリティ対策に対する要求が高まっている。

また、従来のセキュリティ対策は、アプリケーションプログラム自体や、オペレーティングシステム自体の制御を変更することにより実現するものである。そのため、従前使用していたアプリケーションプログラムをそのまま活用することができなかったり、新たなセキュリティ対策プログラムをインストールする必要があったりする。

本発明は、上記の事情に鑑みてなされたもので、従前使用していたアプリケーションプログラムをそのまま使用することができると共に、新たなセキュリティ対策プログラムをインストールすることなく、データファイルをユーザの端末上で閲覧、編集する際のセキュリティ対策を向上させる
情報制御プログラム、情報制御システム、及び情報制御方法
を提供することを例示的課題とする。

上記の課題を解決するために、本発明は以下の構成を有する。

（１）オペレーティングシステムと当該オペレーティングシステム上で実行可能であってデータファイルを生成すると共に任意の情報格納領域を保存先として保存することが可能なアプリケーションプログラムとの間で送受信される送受信情報に対し、所定の変更を加える機能を有する情報制御プログラムであって、前記所定の変更を加える機能として、所定の暗号鍵を用いた暗号化が実施されていない前記データファイルを保存することを制限する保存制限機能と、前記データファイルの前記保存先を、前記情報格納領域のうち所定領域以外を指定することを制限する保存先制限機能と、前記所定領域に保存された前記データファイルを、前記所定の暗号鍵を用いて復号する復号機能と、を有する情報制御プログラム。

本発明の更なる目的又はその他の特徴は、以下添付図面を参照して説明される好ましい実施の形態によって明らかにされるであろう。

本発明によれば、従前使用していたアプリケーションプログラムをそのまま使用することができると共に、新たなセキュリティ対策プログラムをインストールすることなく、データファイルをユーザの端末上で閲覧、編集する際のセキュリティ対策を向上させる
情報制御プログラム、情報制御システム、及び情報制御方法
を提供することができる。

ユーザ端末１１の内部構成を示す模式図 情報制御プログラム２の実装形態を示す模式図 情報制御プログラム２の機能の概要を説明する概念図 情報制御プログラム２の処理を示すフローチャート 情報制御プログラム２の他の処理を示すフローチャート 情報制御プログラム２の更に他の処理を示すフローチャート 情報管理マネージャー４１の画面表示例を示す模式図 情報制御システム１の概要を示す概念図 情報管理マネージャー４１の他の画面表示例を示す模式図 運用管理マネージャー４３の画面表示例を示す模式図 書類配布承認処理の概要を示すフロー図 システム管理マネージャー４５の画面表示例を示す模式図 ユーザ端末１１の登録処理の概要を示すフロー図 ライセンス認証処理の概要を示すフロー図

［実施形態１］
以下、本発明の情報制御プログラム２の一実施形態である実施形態１について、図面を参照しながら説明する。実施形態１では、アプリケーションプログラム（以下、「アプリ」と記載することがある）３として、文書作成アプリケーションを対象とした情報制御プログラム２について説明する。アプリケーションプログラム３は、文書作成アプリケーションに限定されず、表計算アプリケーション、画像作成アプリケーション、電子メール送受信アプリケーション、ソーシャルネットワーキングサービス（ＳＮＳ）アプリケーション等、オペレーティングシステム４と連係して実行可能な各種プログラムであってもよい。実施形態１において、アプリ３が文書作成アプリケーションである場合、データファイルは、文書作成アプリケーションが生成する文書ファイル（以下、「ファイル」と記載することがある）５１等である。なお、アプリ３を動作させ、制御するためにアプリ３やＯＳ４によって生成される各種設定情報ファイル等は、データファイルには含まれないものとすることができる。アプリ３は、データファイルを生成し、生成したデータファイルを、任意の情報格納領域を保存先として指定して保存する機能を有する。

オペレーティングシステム（以下、「ＯＳ」と記載することがある）４としては、アプリ３を実行することが可能なものである限り、制限されない。情報制御プログラム２は、ＯＳ４と、アプリ３との間の送受信情報５０に対し、所定の変更を加える。情報制御プログラム２は、ＯＳ４と、複数のアプリ３との間の送受信情報５０に対し、所定の変更を加えることができる。ＯＳ４とアプリ３との間で送受信される送受信情報５０とは、アプリ３やＯＳ４が、送信したり、受信したりする各種指示や指令等の制御情報５３や、データファイル等の情報である。

図１は、ユーザ端末１１の内部構成を示す模式図である。ユーザ端末１１は、ユーザＵが使用するコンピュータ端末であり、表示装置２９、入力装置３０等を備え、本体内部に記憶装置２１、中央処理装置（ＣＰＵ）２２等を備えている。実施形態１においては、所定領域２０は、情報格納領域である記憶装置２１内に配置されている。所定領域２０が配置される場所は、記憶装置２１内に限定されず、ユーザ端末１１と相互通信可能に接続されたサーバ端末１３の記憶装置２３内であってもよい。このとき、ユーザ端末１１とサーバ端末１３とは、ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ）等の暗号化手段により秘匿状態で通信可能であることが好ましい。コンピュータ端末としては、ユーザＵが使用可能なデスクトップ型、ノート型等のパーソナルコンピュータや、スマートフォン、タブレット端末等のモバイル端末等であってもよい。記憶装置２１には、情報制御プログラム２、アプリ３、ＯＳ４、情報管理マネージャー４１等のプログラムが記憶されている。これらのプログラムをＣＰＵ２２が実行することにより、ＣＰＵ２２を各種手段として機能させることができる。各種手段としては、例えば、ＣＰＵ２２が情報制御プログラム２を実行することにより、情報取得手段Ｍ１、情報変更手段Ｍ２、情報送信手段Ｍ３、保存制限手段Ｍ４、保存先制限手段Ｍ５、復号手段Ｍ６、複製制限手段Ｍ７、画像複製制限手段Ｍ８、印刷制限手段Ｍ９、通信制限手段Ｍ１０、確認手段Ｍ１１等の各種手段としてＣＰＵ２２を機能させることができる。

図２は、情報制御プログラム２の実装形態を示す模式図である。アプリ３は、ＯＳ４と連係して動作し、アプリ３からＯＳ４へ向けて、ＯＳ４からアプリ３へ向けて、各種のファイル５１や制御情報５３を含む送受信情報５０が送信されている。送信された送受信情報５０は、アプリ３又はＯＳ４が受信する。情報制御プログラム２は、アプリ３とＯＳ４との間で送受信されるファイル５１や制御情報５３を取得し、監視、制御することができる。このようなプログラムがアプリケーションプログラムとオペレーティングシステムの間に挿入され、その間で送受信される情報を監視、制御する技術は、ＡＰＩ（アプリケーション・プログラム・インターフェース）フックや、システムコールフック等と称されることがある。情報制御プログラム２は、上述のように、アプリ３とＯＳ４との間で送受信される送受信情報５０を監視、制御するものであるため、従前使用していたアプリ３をそのまま使用できる。また、ＯＳ４の各種制御自体には変更を加えるものではないため、情報制御プログラム２はＯＳ４へインストールする必要がない。

以下、情報制御プログラム２がアプリ３とＯＳ４の間に挿入され、その間で送受信される情報を監視し、制御することを、「情報制御プログラム２がアプリ３を制御する」と表現することとする。情報制御プログラム２が有する各種機能については後述する。図２に示す情報管理マネージャー４１は、情報制御プログラム２、アプリ３の起動やアプリ３の機能の一部を制御するプログラムであり、ＯＳ４と連係して動作するプログラムである。情報管理マネージャー４１が有する各種機能についても後述する。

図３は、情報制御プログラム２の機能の概要を説明する概念図である。情報制御プログラム２は、以下に説明するように、アプリ３を制御することができる。なお、図３においては、アプリ３は情報制御プログラム２によって制御されている状態を示している。図３において、他のアプリは情報制御プログラム２によって制御されていない状態を示している。

情報制御プログラム２は、ＣＰＵ２２を、情報取得手段Ｍ１、情報変更手段Ｍ２と、情報送信手段Ｍ３として機能させる。情報取得手段Ｍ１は、アプリ３とＯＳ４との間で送受信される送受信情報５０であるファイル５１や制御情報５３を取得する機能を有する。情報変更手段Ｍ２は、情報取得手段Ｍ１によって取得された送受信情報５０に対し、所定の変更を加える機能を有する。情報送信手段Ｍ３は、情報変更手段Ｍ２によって所定の変更が加えられた送受信情報５０を、アプリ３又はＯＳ４へ向けて送信する機能を有する。情報送信手段Ｍ３は、アプリ３からＯＳ４へ送信され、情報変更手段Ｍ２によって所定の変更が加えられた送受信情報５０をＯＳ４へ向けて送信し、ＯＳ４からアプリ３へ送信され、情報変更手段Ｍ２によって所定の変更が加えられた送受信情報５０をアプリ３へ向けてする機能を有する。また、情報送信手段Ｍ３は、アプリ３からＯＳ４へ送信され、情報変更手段Ｍ２によって所定の変更が加えられた送受信情報５０をアプリ３へ向けて返送することもでき、ＯＳ４からアプリ３へ送信され、情報変更手段Ｍ２によって所定の変更が加えられた送受信情報５０をＯＳ４へ向けて返送することもできる。情報変更手段Ｍ２が有する、保存制限手段Ｍ４、保存先制限手段Ｍ５、復号手段Ｍ６、複製制限手段Ｍ７、画像複製制限手段Ｍ８、印刷制限手段Ｍ９、通信制限手段Ｍ１０、確認手段Ｍ１１が有する各機能について、更に具体的に説明する。

＜保存制限手段Ｍ４＞
保存制限手段Ｍ４は、所定の暗号鍵５５を用いた暗号化が実施されていないデータファイル（ファイル５１）を保存することを制限する機能を有する。すなわち、保存制限手段Ｍ４は、所定の暗号鍵５５を用いた暗号化が実施されたファイル５１に対してのみ保存することを許可する機能を有する。

アプリ３によって生成されたファイル５１を保存するために、アプリ３はファイル５１を保存する指令を含む制御情報５３（保存指令５３ａ）をＯＳ４へ向けて送信する。情報制御プログラム２は、保存指令５３ａを情報取得手段Ｍ１によって取得する。保存指令５３ａには、ファイル５１の属性情報（プロパティ）や、保存先の情報（パス）、暗号鍵の情報等が含まれる。ここで、保存制限手段Ｍ４は、保存指令５３ａに含まれる情報のうち、暗号鍵の情報を強制的に所定の暗号鍵５５へと変更する機能を有する。これにより、アプリ３によるファイル５１の保存動作において、ファイル５１に暗号鍵が設定されなかった場合も、任意の暗号鍵が設定されていた場合も、強制的に所定の暗号鍵５５で暗号化されることになる。保存制限手段Ｍ４は、所定の暗号鍵５５を用いて、ファイル５１を暗号化する。なお、暗号化処理は、情報制御プログラム２又はＯＳ４が行うよう構成されていてもよい。

ここで、所定の暗号鍵５５は、情報制御プログラム２が実行中にアクセス可能な情報格納領域に記憶された情報であることが好ましい。情報制御プログラム２が実行中にアクセス可能な情報格納領域とは、情報制御プログラム２が、情報制御プログラム２の実行中に、アクセス可能な端末の記憶装置に位置する格納領域である。情報制御プログラム２がアクセス可能な端末としては、情報制御プログラム２及びアプリ３が配置され、ユーザＵが使用するユーザ端末１１や、ユーザ端末１１と相互通信可能に接続されたサーバ端末１３等が挙げられる。

所定の暗号鍵５５は、情報制御プログラム２や、後述するシステム管理マネージャー４５、又は他のプログラムによりランダムに自動的に生成されたものであることが好ましい。所定の暗号鍵５５の鍵長は、特に制限されないが、１２８ビット以上であることが好ましく、２５６ビット程度であることが更に好ましい。所定の暗号鍵５５の暗号化方式も特に制限されないが、例えばＡＥＳ（Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ）方式等を採用することができる。なお、所定の暗号鍵５５としては、セキュリティの強度は低下するが、システム管理者やユーザＵ等が予め任意に設定した文字列とすることもできる。保存制限手段Ｍ４は、所定の暗号鍵５５を用いてファイル５１を暗号化する際、ファイル５１のデータの末尾に、所定の暗号鍵５５で暗号化されたファイルであるか否かの情報、保存制限手段Ｍ４によって暗号化されたファイルであるか否かの情報等を識別情報として付加することができる。

＜保存先制限手段Ｍ５＞
保存先制限手段Ｍ５は、ファイル５１の保存先を、情報格納領域（記憶装置２１）のうち所定領域２０以外を指定することを制限する機能を有する。すなわち、保存先制限手段Ｍ５は、ファイル５１の保存先として、所定領域２０が指定されている場合のみ、保存することを許可する機能を有する。保存先制限手段Ｍ５は、ファイル５１の保存先として、所定領域２０が指定されていない場合、エラーメッセージを表示装置２９に表示させることができる。これにより、ユーザＵに対してエラーを報知することができる。

ここで、所定領域２０は、記憶装置２１の中に設けられる記憶領域である。記憶装置２１は、ユーザＵが使用し、ＯＳ４及びアプリ３が起動されるユーザ端末１１が備える記憶装置２１とすることができる。所定領域２０は、後述するように、情報管理マネージャー４１のユーザインターフェース（ＵＩ）により、ファイルフォルダの形式で表示させることができる。

所定領域２０に格納されたファイル５１は、複製されてもよい。そして、複製されたファイル５１は、ユーザ端末１１と通信可能に接続された他の端末の記憶装置内へ格納されてもよい。ユーザ端末１１と通信可能に接続された他の端末としては、イントラネットやインターネットを介して通信可能に接続されたストレージサーバ等のサーバ端末１３等であってもよい。これにより、サーバ端末１３の記憶装置２３に格納されたファイル５１を、複数のユーザＵ間や、ユーザＵが使用する複数のユーザ端末間で共有することができる。共有されるファイル５１は、そのファイル５１が生成されたユーザ端末１１以外の他のユーザ端末において閲覧、編集する場合、ファイル５１をサーバ端末１３の記憶装置２３内から他のユーザ端末の記憶装置内に複製してもよい。以下、ユーザ端末１１の記憶装置２１とサーバ端末１３の記憶装置２３との間で、各端末の記憶装置に格納されている情報を同一内容にすることを「同期させる」ということがある。なお、サーバ端末１３の記憶装置２３や他のユーザ端末の記憶装置に複製されたファイル５１は、依然、所定の暗号鍵５５によって暗号化されたままであり、所定の暗号鍵５５の情報を保有しているユーザ端末においてのみ、復号が可能である。

＜復号手段Ｍ６＞
復号手段Ｍ６は、所定領域２０に保存されたファイル５１を、所定の暗号鍵５５を用いて復号する機能を有する。情報制御プログラム２によって送受信情報５０が変更されて保存されたファイル５１は、所定の暗号鍵５５を用いて暗号化処理されており、かつ、所定領域２０に保存されている。そのため、このようなファイル５１は、復号手段Ｍ６により、所定の暗号鍵５５を用いて復号することができる。なお、復号手段Ｍ６は、ファイル５１と共に、ファイル５１を復号するための所定の暗号鍵５５をアプリ３又はＯＳ４へ向けて送信し、アプリ３又はＯＳ４によって復号処理が実行されてもよい。

＜複製制限手段Ｍ７＞
複製制限手段Ｍ７は、ファイル５１の情報の一部を複製し、かつ複製したファイル５１の情報の一部をアプリ３以外のプログラムが読み込み可能な状態で保存することを制限する機能を有する。すなわち、複製制限手段Ｍ７は、ファイル５１の情報の一部を複製した場合に、アプリ３のみが読み込み可能な状態で保存することが許可され、アプリ３以外のプログラムが読み込み可能な状態で保存することが制限される。

例えば、ファイル５１に格納されている文書を、アプリ３を用いて編集する際に、ファイル５１の情報の一部として文書の一部を複製（コピー）し、同文書内の別の場所に複製した文書の一部を貼り付ける（ペースト）ような状況が想定される。このとき、複製された文書の一部は、ＯＳ４の機能（コピーアンドペースト機能）により、アプリ３を含む任意のプログラムが読み込み可能な状態で記憶装置２１の領域（例えばクリップボード）に保存される場合がある。その場合において、複製制限手段Ｍ７は、複製した文書の一部がアプリ３以外の任意のプログラムによって読み取られる状態で保存されることを制限する機能を有する。

具体的には、複製制限手段Ｍ７は、他のプログラムによって読み取られないよう文書の一部の情報を暗号化した状態で記憶装置２１に保存することができる。ここで「他のプログラム」としては、情報制御プログラム２によって制御されていないプログラムとすることができる。すなわち、情報制御プログラム２によって制御されているプログラム（アプリ３）であれば、それらプログラム（アプリ３）間で文書の一部の複製及び貼り付け（コピーアンドペースト）可能とすることができる。上述の他のプログラムにおいては、暗号化された文書の一部を貼り付けることになるため、当該文書の一部の情報は解読不能である。複製制限手段Ｍ７は、暗号化された文書の一部を、他のプログラムにおいて編集中の文書に貼り付けようとする場合、当該他のプログラムへ注意喚起情報を送信し、ユーザに対して上述の文書の一部を貼り付けることができない旨、注意喚起することができる。また、複製制限手段Ｍ７は、コピーアンドペースト機能を用いて、文書の一部を複製すること自体、又は記憶装置２１に保存すること自体を制限するよう構成することもできる。

＜画像複製制限手段Ｍ８＞
画像複製制限手段Ｍ８は、ファイル５１の情報に基づいて表示装置２９に表示されるファイル５１の画像情報を複製することを制限する機能を有する。ここで、ファイル５１の情報に基づいて表示装置２９に表示されるファイル５１の画像情報とは、アプリ３等を実行した際に表示装置２９に表示されるファイル５１の文書の画像データ等である。そして、そのような画像情報を複製する機能としては、例えば、画面キャプチャー機能が上げられる。画面キャプチャー機能としては、具体的には、プリントスクリーンやスクリーンショット等がある。

画像複製制限手段Ｍ８は、ユーザ端末１１における画面キャプチャー機能の実行を指令する信号の入力を無効にする機能を有する。具体的には、画像複製制限手段Ｍ８は、ユーザ端末１１の入力装置３０であるキーボードに配置されたプリントスクリーンキー等の押下による入力信号を無効にすることができる。

画像複製制限手段Ｍ８は、また、画面キャプチャー機能を有するアプリ３の起動指令信号を監視し、この起動指令信号を取得した場合に、スクリーンセーバーを起動させる機能を有していてもよい。ここで、画面キャプチャー機能を有するアプリ３は、例えば、サーバ端末１３の記憶装置２３に格納された画面キャプチャー機能を有するアプリのリスト（以下、「画面キャプチャーアプリリスト」という）に登録しておくことができる。画像複製制限手段Ｍ８は、画面キャプチャーアプリリストに登録されたアプリの起動指令信号を取得した場合に、スクリーンセーバーを起動させることができる。サーバ端末１３に格納された画面キャプチャーアプリリストは、複数のユーザ端末１１間で共有することができる。

画像複製制限手段Ｍ８は、上述の条件に従ってスクリーンセーバーを起動させることにより、表示装置２９にファイル５１の画像情報を表示させない。ここで、スクリーンセーバーとは、ファイル５１等の画像情報を表示装置２９に表示させる代わりに、他の情報（画像等）を表示装置２９に表示させる機能である。これにより、ファイル５１の画像情報を、画面キャプチャー機能による画像取得から、また、表示装置２９の表示画面をカメラ等により撮影することから、守ることができる。

画像複製制限手段Ｍ８は、スクリーンセーバーにより表示される情報として、画面キャプチャー機能を有するアプリの終了をユーザＵに対して促すメッセージを採用することができる。画像複製制限手段Ｍ８は、ユーザＵが画面キャプチャー機能を有するアプリを終了させると、スクリーンセーバーを終了させ、元の画像情報を表示させることができる。元の画像情報とは、すなわち、ファイル５１の画像情報等である。

情報制御プログラム２によって制御されているプログラム（アプリ３）自体が画面キャプチャー機能を有している場合がある。そのような場合、当該アプリ３が画面キャプチャー指令を送出すると、情報取得手段Ｍ１が当該画面キャプチャー指令を取得し、画像複製制限手段Ｍ８は、すべての画面キャプチャー指令を制限する。これにより、アプリ３が画面キャプチャー機能を有している場合であっても、画像複製制限手段Ｍ８により画面キャプチャー処理を制限することができる。

＜印刷制限手段Ｍ９＞
印刷制限手段Ｍ９は、ファイル５１の情報を印刷することを制限する機能を有する。すなわち、印刷制限手段Ｍ９は、アプリ３やＯＳ４のプリントアウト機能により生成された印刷指令に基づき、ファイル５１に含まれる文書の情報等を用紙等に印刷することを制限する機能を有する。

具体的には、情報取得手段Ｍ１が、印刷先としてのプリンタの指定情報を含む印刷指令を取得すると、印刷制限手段Ｍ９は、印刷先拒否リストを参照する。印刷先拒否リストには、予め、印刷先として許可しないプリンタ等の情報が格納されている。プリンタ等の情報としては、プリンタ名、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス、ＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレス等とすることができる。印刷先拒否リストは、複数のユーザ端末１１間で共有できるよう、サーバ端末１３等に配置することができる。なお、印刷制限手段Ｍ９が参照するリストは、印刷先拒否リストではなく、印刷先として許可するプリンタ等の情報が格納された印刷先許可リストであったり、印刷先として指定可能なすべてのプリンタの情報と、各プリンタの印刷先として許可の可否の情報とが関連付けられて格納された印刷先リスト等であったりしてもよい。

印刷制限手段Ｍ９は、印刷指令に含まれるプリンタの指定情報と、印刷先拒否リストに格納されているプリンタ等の情報とを照合する。プリンタの指定情報と、印刷先拒否リスト内のプリンタの情報とが一致した場合、印刷制限手段Ｍ９は、印刷指令をブロックし、エラー情報を印刷指令の送信元（アプリ３やＯＳ４）へ向けて送信し、ユーザＵに対して指定されたプリンタでのプリントアウトが禁止されている旨、警告することができる。

＜通信制限手段Ｍ１０＞
情報制御プログラム２は、特定の条件の下、ファイル５１の情報をユーザ端末１１以外の他の端末へ送信することを制限する通信制限手段Ｍ１０を有する。通信制限手段Ｍ１０は、外部送信制限手段Ｍ１０ａ、送信先制限手段Ｍ１０ｂ、又はその両方の手段を有する。

＜外部送信制限手段Ｍ１０ａ＞
外部送信制限手段Ｍ１０ａは、暗号化されていないファイル５１を、当該暗号化されていないファイル５１が保存されているユーザ端末１１とは異なる他の端末へ向けて、ユーザ端末１１が備える通信機能を用いて送信することを制限する機能を有する。ここで、暗号化されていないファイル５１とは、所定の暗号鍵５５を用いて暗号化されていないファイルや、所定の暗号鍵５５を用いて暗号化されていたが所定の暗号鍵５５を用いて復号された状態のファイル等である。ファイル５１が所定の暗号鍵５５を用いて暗号化されているか否かは、例えば、ファイル５１のデータの末尾に付加された識別情報を確認することで判断することができる。すなわち、暗号化されていないファイルは、所定の暗号鍵５５の情報がなくとも解読できる状態にある。ユーザ端末１１が備える通信機能としては、例えば、電子メールの場合のＳＭＴＰ（Ｓｉｍｐｌｅ Ｍａｉｌ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）や、ＨＴＴＰ（Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）等のプロトコルを用いた通信機能を挙げることができる。外部送信制限手段Ｍ１０ａは、暗号化されていないファイル５１の、ユーザ端末１１とは異なる他の端末へ向けての送信指令をブロックすることができる。

＜送信先制限手段Ｍ１０ｂ＞
送信先制限手段Ｍ１０ｂは、ファイル５１を所定の送信先以外の送信先へ送信することを制限する機能を有する。

具体的には、情報取得手段Ｍ１が、送信先の指定情報を含む送信指令を取得すると、送信先制限手段Ｍ１０ｂは、送信先拒否リストを参照する。送信先拒否リストには、予め、送信先として許可しない送信先の情報が格納されている。送信先の情報としては、電子メールアドレスや、ＨＴＴＰアドレス、ＳＮＳ（Ｓｏｃｉａｌ Ｎｅｔｗｏｒｋｉｎｇ Ｓｅｒｖｉｃｅ）アプリを介した送信の場合は送信相手の識別情報等を挙げることができる。印刷先拒否リストは、複数のユーザ端末１１間で共有できるよう、サーバ端末１３等に配置することができる。なお、送信先制限手段Ｍ１０ｂが参照するリストは、送信先拒否リストではなく、送信先として許可する送信先の情報が格納された送信先許可リストであったり、送信先として指定可能なすべての送信先の情報と、送信先として許可の可否の情報とが関連付けられて格納された送信先リスト等であったりしてもよい。

印刷制限手段Ｍ９は、印刷指令に含まれるプリンタの指定情報と、印刷先拒否リストに格納されているプリンタ等の情報とを照合する。プリンタの指定情報と、印刷先拒否リスト内のプリンタの情報とが一致した場合、印刷制限手段Ｍ９は、印刷指令をブロックし、エラー情報を印刷指令の送信元（アプリ３やＯＳ４）へ向けて送信し、ユーザＵに対して指定されたプリンタでのプリントアウトが禁止されている旨、警告することができる。

＜確認手段Ｍ１１＞
確認手段Ｍ１１は、所定領域２０に保存されたファイル５１が、所定の暗号鍵５５を用いて暗号化されたファイルであることを確認する機能を有する。

所定領域２０は、例えばユーザ端末１１の記憶装置２１に設けられる領域であり、アプリ３とＯＳ４との間の送受信情報５０に所定の変更を行うに過ぎない情報制御プログラム２は、所定領域２０の制御を行うことができない。そのため、所定領域２０には、情報制御プログラム２を実行することなく、保存されたデータファイルが格納されている状況が起こり得る。そのため、所定領域２０内に所定の暗号鍵５５での暗号化処理が行われておらず、所定の暗号鍵５５を用いての復号が不可能なファイルが存在し得る。そのような状況であっても、確認手段Ｍ１１によって、所定の暗号鍵５５での復号が可能なファイルであるか否かを、復号処理の前に確認することができる。

確認手段Ｍ１１は、上述のように保存制限手段Ｍ４によってファイル５１の末尾に付加された識別情報に基づいて、ファイル５１が、所定の暗号鍵５５を用いて暗号化されたファイルであるか否かや、保存制限手段Ｍ４によって暗号化されたファイルであるか否か等を識別することができる。確認手段Ｍ１１は、ファイル５１が所定の暗号鍵５５を用いて暗号化されたファイルであった場合、復号手段Ｍ６に処理を移行し、復号手段Ｍ６によりファイル５１が復号される。確認手段Ｍ１１が、ファイル５１が保存制限手段Ｍ４によって暗号化されたファイルでないと判断した場合、情報制御プログラム２は復号処理を行うことなくファイル５１をアプリ３又はＯＳ４へ送信することができる。確認手段Ｍ１１が、暗号化に用いられた暗号鍵を判別できない場合や、暗号化されているか否かが判別できない場合には、アプリ３へエラー情報を送信し、ユーザＵへ向けてエラーを報知することができる。

＜情報制御プログラム２の処理＞
次に、情報制御プログラム２による処理の流れについて説明する。図４〜図６は、情報制御プログラム２の処理を示すフローチャートである。以下、図４〜図６のフローチャート中の各ステップ（Ｓ）について説明する。情報取得手段Ｍ１がアプリ３とＯＳ４との間の送受信情報５０を取得する（Ｓ１）と、情報変更手段Ｍ２は、送受信情報５０に含まれる制御情報５３から、取得した送受信情報５０がどのような制御の種類に分類されるものであるかを判断する（Ｓ２）。なお、図４〜図６において、ステップＳ１及びステップＳ２は共通である。

図４のＳ２の判断において、制御がアプリ３からの保存指令（Ｓ２で制御の種類１）であった場合、保存制限手段Ｍ４は、ファイル５１を所定の暗号鍵５５を用いて暗号化する（Ｓ３）。次いで、保存先制限手段Ｍ５は、ファイル５１の保存先として所定領域２０が指定されているか否かを判断する（Ｓ４）。ファイル５１の保存先として所定領域２０が指定されていた場合（Ｓ４でＹＥＳ）、情報送信手段Ｍ３は、暗号化されたファイル５１をＯＳ４へ向けて送信し（Ｓ５）、処理が終了する。ファイル５１の保存先として所定領域２０が指定されていなかった場合（Ｓ４でＮＯ）、保存先制限手段Ｍ５はエラー情報を生成し、情報送信手段Ｍ３がエラー情報をアプリ３へ向けて送信し（Ｓ６）、処理が終了する。

図４のＳ２の判断において、制御がアプリ３からのコピー指令であった場合（Ｓ２で制御の種類２）、複製制限手段Ｍ７は、コピー機能によりコピーされた文書の一部を所定の暗号鍵５５を用いて暗号化し（Ｓ７）、情報送信手段Ｍ３は暗号化された文書の一部をＯＳ４へ向けて送信し（Ｓ８）、処理が終了する。

図４のＳ２の判断において、制御がアプリ３からのペースト指令であった場合（Ｓ２で制御の種類３）、複製制限手段Ｍ７は、ペースト指令に含まれるペースト先の指定情報として、情報制御プログラム２によって制御されたアプリ３上で開かれたファイル内であるか否かを判断する（Ｓ９）。ペースト先が、情報制御プログラム２によって制御されたアプリ３上で開かれたファイル内であった場合（Ｓ９でＹＥＳ）、複製制限手段Ｍ７は、コピーされた文書の一部であって、ステップＳ７において所定の暗号鍵５５を用いて暗号化された文書の一部を、所定の暗号鍵５５を用いて復号し、情報送信手段Ｍ３が復号された文書の一部をＯＳ４へ向けて送信する（Ｓ１０）。ペースト先が、情報制御プログラム２によって制御されたアプリ３上で開かれたファイル内でなかった場合（Ｓ９でＮＯ）、複製制限手段Ｍ７は、ペーストが禁止されている旨の警告情報を作成し、情報送信手段Ｍ３が当該警告情報をアプリ３へ向けて送信する（Ｓ１１）。

図５のＳ２の判断において、制御が画面キャプチャー機能を有するアプリの起動指令であった場合（Ｓ２で制御の種類４）、画像複製制限手段Ｍ８は、起動指令により起動されるアプリが画面キャプチャーアプリリストに登録されているか否かを判断する（Ｓ１２）。起動されるアプリが画面キャプチャーアプリリストに登録されていた場合（Ｓ１２でＹＥＳ）、画像複製制限手段Ｍ８は、当該アプリの終了をユーザＵに促すメッセージを表示するスクリーンセーバーを起動させる指令を生成し、情報送信手段Ｍ３が当該指令をＯＳ４へ向けて送信し（Ｓ１３）、処理が終了する。これにより、画面キャプチャー機能を有するアプリが起動されたとしても、表示装置２９にはスクリーンセーバーが表示されるため、ファイル５１の画像情報は表示されず、画面キャプチャー機能によって画像複製もされない。起動されるアプリが画面キャプチャーアプリリストに登録されていなかった場合（Ｓ１２でＮＯ）、画像複製制限手段Ｍ８は、起動指令に変更を加えることなく、情報送信手段Ｍ３が起動指令をそのままＯＳ４へ向けて送信し、処理が終了する。

図５のＳ２の判断において、制御が印刷指令であった場合（Ｓ２で制御の種類５）、印刷制限手段Ｍ９は、印刷先として指定されているプリンタが、印刷先拒否リストに登録されているか否かを判断する（Ｓ１４）。印刷制限手段Ｍ９が、印刷先として指定されているプリンタが、印刷先拒否リストに登録されていないと判断した場合（Ｓ１４でＮＯ）、情報送信手段Ｍ３が印刷指令をＯＳ４へ向けて送信し（Ｓ１５）、処理が終了する。印刷制限手段Ｍ９が、印刷先として指定されているプリンタが、印刷先拒否リストに登録されていると判断した場合（Ｓ１４でＹＥＳ）、印刷制限手段Ｍ９はエラー情報を生成し、情報送信手段Ｍ３が当該エラー情報をアプリ３へ向けて送信し（Ｓ１６）、処理が終了する。

図６のＳ２の判断において、制御が外部端末へ向けての送信指令であった場合（Ｓ２で制御の種類６）、外部送信制限手段Ｍ１０ａは、送信されるファイル５１が所定の暗号鍵５５で暗号化されているか否かを判断する（Ｓ１７）。外部送信制限手段Ｍ１０ａが、送信されるファイル５１が所定の暗号鍵５５で暗号化されていると判断した場合（Ｓ１７でＹＥＳ）、情報送信手段Ｍ３は、ファイル５１の外部端末へ向けての送信指令をＯＳ４へ向けて送信し、（Ｓ１８）処理が終了する。外部送信制限手段Ｍ１０ａが、送信されるファイル５１が所定の暗号鍵５５で暗号化されていないと判断した場合（Ｓ１７でＮＯ）、外部送信制限手段Ｍ１０ａは、エラー情報を生成し、情報送信手段Ｍ３が当該エラー情報をアプリ３へ送信し（Ｓ１９）、処理が終了する。

図６のＳ２の判断において、制御が外部の送信先へ向けての送信指令であった場合（Ｓ２で制御の種類７）、送信先制限手段Ｍ１０ｂは、送信先が送信先拒否リストに登録されているか否かを判断する（Ｓ２０）。送信先制限手段Ｍ１０ｂが、送信先が送信先拒否リストに登録されていないと判断した場合（Ｓ２０でＮＯ）、情報送信手段Ｍ３は、当該外部の送信先へ向けての送信指令を、ＯＳ４へ向けて送信し（Ｓ２１）、処理が終了する。送信先制限手段Ｍ１０ｂが、送信先が送信先拒否リストに登録されていると判断した場合（Ｓ２０でＹＥＳ）、送信先制限手段Ｍ１０ｂはエラー情報を生成し、情報送信手段Ｍ３が当該エラー情報をアプリ３へ向けて送信し（Ｓ２２）、処理が終了する。

図６のＳ２の判断において、制御の種類８としての「ＯＳ４からのファイル５１の情報の返送」とは、すなわち、アプリ３からＯＳ４へ向けてファイル５１を開く旨の要求をＯＳ４が受信した後、ＯＳ４からアプリ３へ向けて、ファイル５１の情報を返送するための制御情報５３を意味する。このファイル５１の情報をアプリ３が受信することで、アプリ３上で、ファイル５１を開くことができる。

情報取得手段Ｍ１がＯＳ４からのファイル５１の情報の返送との制御情報５３を含む送受信情報５０を取得した場合、復号手段Ｍ６は、ファイル５１を所定の暗号鍵５５を用いて復号する（Ｓ２３）。次いで、情報送信手段Ｍ３は、復号されたファイル５１をアプリ３へ向けて送信し（Ｓ２４）、処理が終了する。なお、ステップＳ２４の前に、ファイル５１が所定の暗号鍵５５を用いて暗号化されたファイルであるか否かを判断するステップが設けられていてもよい。

＜情報管理マネージャー４１＞
次に、情報管理マネージャー４１について説明する。情報管理マネージャー４１は、情報制御プログラム２を起動するための起動プログラムとして、また、情報制御プログラム２による制御をユーザＵが確認、操作するためのユーザインターフェースとしての機能を有する。ユーザＵは、情報管理マネージャー４１を介してファイル５１を開くことで、情報制御プログラム２が制御した状態のアプリ３でファイル５１を閲覧、編集することができる。

図７は、情報管理マネージャー４１の画面表示例を示す模式図である。図７において、ナビゲーション表示部４２ａには、共有フォルダＡに含まれる各フォルダがそれぞれフォルダアイコンでそのフォルダ名と共に階層表示される。共有フォルダＡ内には、書類フォルダ及び設定フォルダが格納されており、書類フォルダ内には、書庫１フォルダ、書庫２フォルダ、書庫３フォルダが格納されている。ここで、所定領域２０としての共有フォルダＡに格納されている情報は、サーバ端末１３の記憶装置２３に格納されている情報と同期させることができる。

図７において、書庫１フォルダが選択されており、詳細表示部４２ｂに、書庫１フォルダに格納されている文書ファイルがファイルアイコンでそのファイル名と共に表示されている。書庫１フォルダには、文書１ファイル、文書２ファイル、文書３ファイル、及び文書４ファイルが格納されている。各ファイルは、施錠された南京錠が描かれたファイルアイコンで表されており、共有フォルダＡ内で所定の暗号鍵５５を用いて暗号化された状態で保存されていることが分かる。

図７において、詳細表示部４２ｂの文書２ファイルが選択されており、メニュー４２ｄが展開された状態で表示されている。メニュー４２ｄとしては、「同期」、「開く」、「コピー」、「新規作成」、「名前変更」、「プロパティ」が選択、実行することが可能となっている。

メニュー４２ｄから「同期」が選択され、実行されると、ユーザ端末１１の記憶装置２１に格納されている情報と、サーバ端末１３の記憶装置２３に格納されている情報とを同期させることができる。このような同期の動作は、同期ボタン４２ｅを押下することでも実行させることができる。なお、メニュー４２ｄの各項目の実行や、各種ボタンの押下は、例えば、入力装置であるマウスのクリック（左クリック）等により実現することができる。

メニュー４２ｄから「開く」が実行されると、選択されている文書２ファイルが開かれる。具体的には、情報管理マネージャー４１は、アプリ３に、文書２ファイルを開く指令ａ１をＯＳ４へ向けて送信させる。この指令ａ１を情報取得手段Ｍ１によって取得した情報制御プログラム２は、指令ａ１に対し、文書２ファイルを復号する指令及び復号するための所定の暗号鍵５５の情報を付加した指令ａ２をＯＳ４へ向けて送信する。指令ａ２を受け取ったＯＳ４は、文書２ファイルを所定の暗号鍵５５を用いて復号し、復号された文書２ファイルの情報をアプリ３へ向けて送信する。

メニュー４２ｄから「コピー」が実行されると、文書２ファイルが複製される。情報管理マネージャー４１は、複製された文書２ファイルの情報を格納する領域をユーザＵに選択させる選択画面が表示させるよう構成されていてもよい。メニュー４２ｄから「新規作成」が実行されると、新たな文書ファイルが作成される。情報管理マネージャー４１は、新たに作成される文書ファイルの情報を格納する領域をユーザＵに選択させる選択画面が表示させるよう構成されていてもよい。メニュー４２ｄから「名前変更」が実行されると、文書２ファイルの名前が変更される。情報管理マネージャー４１は、変更される名前の情報をユーザＵに入力させる入力画面が表示されるよう構成されていてもよい。メニュー４２ｄから「プロパティ」が実行されると、文書２ファイルの属性情報が表示される。ここでいう属性情報とは、いわゆるプロパティ情報であり、例えば、文書２ファイルの名前、ファイルサイズ等である。

図７には、取り込みボタン４２ｃが表示されている。取り込みボタン４２ｃが押下されると、情報制御プログラム２によってアプリ３が制御され、所定の暗号鍵５５を用いて暗号化されたファイル５１以外のファイルは、所定の暗号鍵５５を用いて暗号化され、所定領域２０としての共有フォルダＡ内に記憶される。これらの処理は、情報管理マネージャー４１が中央処理装置２２に発揮させる機能により実現される。これにより、情報制御プログラム２による制御を介さずにアプリ３によって生成された従前のファイルを、情報制御プログラム２によって制御されたアプリ３によって生成されたファイル５１と同様に取り扱うことができることになる。

図７には、アプリ一覧ボタン４２ｆが表示されている。アプリ一覧ボタン４２ｆが押下されると、情報制御プログラム２によって制御可能なアプリケーションプログラムの一覧を表示する閲覧画面を表示するよう、情報管理マネージャー４１を構成することができる。情報制御プログラム２によって制御可能なアプリケーションプログラムとしては、アプリケーションプログラムとＯＳ４との間で、各種指令やデータファイル等の情報を送受信するものである限り、特に制限されない。

［実施形態２］
以下、本発明の情報制御システム１の一実施形態である実施形態２について説明する。実施形態２では、複数のユーザ端末１１が存在し、各ユーザ端末１１の記憶装置２１内に設けられた所定領域２０内の情報が、各ユーザ端末１１とインターネットを介して通信可能に接続されたサーバ端末１３内の情報と同期されている情報制御システム１について説明する。

図８は、情報制御システム１の概要を示す概念図である。図８中、複数のユーザ端末１１と、サーバ端末１３と、ライセンスサーバ１９とがインターネットＮを介して相互に通信可能に接続されている。ユーザ端末１１としては、実施形態１において説明したものと同様のものを用いることができる。ユーザ端末１１の記憶装置２１には、実施形態１に係る情報制御プログラム２が記憶されており、ユーザ端末１１は情報制御プログラム２の機能を実現することができる。サーバ端末１３としては、内部に記憶装置２３、中央処理装置２４や、通信装置等を備えるものを使用することができる。ライセンスサーバ１９についても、内部に記憶装置２３、中央処理装置２４や、通信装置等を備えるものを使用することができる。サーバ端末１３の記憶装置２３は、複数のユーザ端末１１からアクセス可能なクラウドストレージとして使用することができる。

図８において、ユーザ端末１１のうち、ユーザ端末１１ａ、１１ｂ、１１ｃ、１１ｄは、１つのグループ１２を構成している。所定領域２０として、各ユーザ端末１１の記憶装置２１内の領域の一部が設定され、各ユーザ端末１１に設定された所定領域２０内の情報は、サーバ端末１３の記憶装置２３内の領域の一部の情報と定期的に同期されるよう構成されている。

また、ユーザ端末１１ａ、１１ｂ、１１ｃ、１１ｄのそれぞれにおいて実行される情報制御プログラム２における所定の暗号鍵５５として、共通の暗号鍵が設定されている。なお、グループ１２とは異なる別のグループにおいては、所定の暗号鍵５５とは異なる暗号鍵が設定されている。これにより、グループ１２内のユーザ端末１１は、サーバ端末１３の所定領域２０を共有のクラウドストレージとして使用しつつ、情報制御プログラム２を実行することによってグループ１２内で保護された環境でファイル５１を共有することができる。情報制御プログラム２を実行することによって保護された環境とは、実施形態１において説明した保存制限手段Ｍ４、保存先制限手段Ｍ５、復号手段Ｍ６、複製制限手段Ｍ７、画像複製制限手段Ｍ８、印刷制限手段Ｍ９、その他の各手段によって実現される機能によって保護された環境である。

サーバ端末１３は、中央処理装置２４と記憶装置２３とを備える。記憶装置２３内には、後述する配布申請リスト６１、配布承認リスト６２、利用許可端末リスト６３、登録端末リスト６４、画面キャプチャーアプリリスト６７、印刷先拒否リスト６８、送信先拒否リスト６９等が格納されていてもよい。

＜情報管理マネージャー４１＞
図９は、情報管理マネージャー４１の他の画面表示例を示す模式図である。図９に示す他の画面表示例は、図７に示す画面表示例と、メニュー４２ｄに「復号配布申請」、「暗号配布申請」の項目が追加されている点で異なっている。これら追加された項目以外の点については、図７についての説明と同様であるため、ここでは省略する。図９中、メニュー４２ｄの「復号配布申請」及び「暗号配布申請」は、以下に説明する情報管理マネージャー４１の情報配布手段Ｍ２１と、運用管理マネージャー４３の情報配布承認手段Ｍ３１とによって実現することができる。

＜情報配布手段Ｍ２１＞
情報管理マネージャー４１が有する情報配布手段Ｍ２１は、情報制御プログラム２によって制御されたアプリ３が生成したファイル５１を、所定の暗号鍵５５を有さないグループ１２外のユーザ（以下、「ユーザＵｘ」と記載する）へ配布するための機能を有する。これにより、ファイル５１をユーザＵｘと共有し、ユーザＵｘがファイル５１を閲覧したり、編集したりすることができる。

具体的には、情報配布手段Ｍ２１は、ＯＳ４が所定の暗号鍵５５で暗号化されたファイル５１を復号するために、ファイル５１を復号するための暗号鍵として所定の暗号鍵５５を設定する機能と、ＯＳ４が復号されたファイル５１をユーザＵｘが使用するユーザ端末１１ｘへ向けて送信するために、ユーザ端末１１ｘの記憶装置２１ｘを送信先として設定する機能と、を有する。

また、情報配布手段Ｍ２１は、ユーザ端末１１ｘへ送信する前のファイル５１の暗号鍵として、所定の暗号鍵５５とは異なる配布用暗号鍵５６を設定する機能を有していてもよい。情報配布手段Ｍ２１は、運用管理マネージャー４３から配布用暗号鍵５６を受信することができる。情報配布手段Ｍ２１によって設定された配布用暗号鍵５６を用いてＯＳ４によって暗号化されたファイル５１をグループ１２外のユーザ端末１１ｘへ向けて送信することにより、所定の暗号鍵５５をグループ１２外のユーザＵｘに開示することなく、暗号化された状態のファイル５１をグループ１２外のユーザＵｘへ配信することができる。なお、暗号化処理は、情報管理マネージャー４１が行うよう構成されていてもよい。以上の処理により「暗号配布申請」が実現される。なお、配布用暗号鍵５６による暗号化を伴わないファイル５１の配布が「復号配布申請」である。

配布用暗号鍵５６は、任意の文字列情報等であり、運用管理端末１５の記憶装置２５内に格納しておくことができる。配布用暗号鍵５６は、予め配布先であるユーザ端末１１ｘで生成されたものを、運用管理端末１５で記憶し、管理しておくことができる。配布用暗号鍵５６は、運用管理マネージャー４３の情報配布承認手段Ｍ３１により、配布申請を送信したユーザ端末１１へ配布される。なお、ユーザ端末１１において、ファイル５１が暗号化された後、配布用暗号鍵５６は破棄されるよう構成することができる。

＜運用管理マネージャー４３＞
次に、運用管理マネージャー４３について説明する。グループ１２のユーザ端末１１のうち、ユーザ端末１１ｄは、運用管理端末１５としての役割も有する。運用管理端末１５の記憶装置２５には、グループ１２を管理するためのプログラムとして、運用管理マネージャー４３が格納されている。運用管理マネージャー４３は、運用管理端末１５の中央処理装置２６に、グループ１２を管理するグループ管理機能を実現させるプログラムである。

運用管理マネージャー４３は、情報配布承認手段Ｍ３１を有している。情報配布承認手段Ｍ３１は、グループ１２内の他のユーザ端末１１から申請される配布申請を受信し、ユーザ端末１１ｄを使用するユーザＵｄによる承認の可否に基づき、その承認の可否の結果をユーザ端末１１へ送信する運用管理端末１５としての役割を有している。ユーザＵｄはグループ１２の管理者（運用管理者）であり、運用管理端末１５であるユーザ端末１１ｄを使用、管理している。

ここで、情報配布承認手段Ｍ３１は、グループ１２内のユーザ端末１１から送信される配布申請を受信する機能と、受信した配布申請をユーザＵｄに通知し、ユーザＵｄによる承認の可否についての入力を取得する機能と、配布申請の承認結果をユーザ端末１１へ向けて送信する機能と、を有している。また、配布申請が暗号配布申請であった場合、情報配布承認手段Ｍ３１は、配布用暗号鍵５６をユーザ端末１１へ向けて送信する機能を有していてもよい。

図１０は、運用管理マネージャー４３の画面表示例を示す模式図である。図１０において、ナビゲーション表示部４３ａには、グループ１２に含まれるユーザ端末１１がそれぞれ端末のアイコンでその端末名と共に表示される。グループ１２に含まれるユーザ端末１１のうち、ＰＣ３及びＰＣ６の端末のアイコンに、「！」（エクスクラメーションマーク）が付されている。これは、ＰＣ３及びＰＣ６から配布申請が発行されていることを通知するものである。ＰＣ３のユーザは「ユーザｘ」であり、ＰＣ６のユーザは「ユーザｙ」である。

図１０において、ナビゲーション表示部４３ａのユーザ端末「ＰＣ６」が選択されており、詳細表示部４３ｂには、ユーザ端末「ＰＣ６」の所定領域２０に格納されており、配布申請された文書２が表示されている。図１０において、文書２が選択されており、メニュー４３ｃが展開された状態で表示されている。メニュー４３ｃでは、「申請内容」、「同期」、「開く」、「履歴」を選択、実行することが可能となっている。このうち、「同期」及び「開く」は、図７のメニュー４２ｄにおける説明と同様であるため、ここでは省略する。

メニュー４３ｃから「申請内容」が実行されると、情報配布承認手段Ｍ３１によって申請内容が、承認ボタン及び却下ボタンと共に表示される。情報配布承認手段Ｍ３１は、運用管理者であるユーザＵｄが判断した、承認ボタンの押下又は却下ボタンの押下の入力結果を取得する。情報配布承認手段Ｍ３１は、承認又は却下の承認結果を、配布申請を送信したユーザ端末１１へ返信する。ここで、配布申請が「暗号配布申請」であった場合、情報配布承認手段Ｍ３１は、配布申請を送信したユーザ端末１１へ向けて配布用暗号鍵５６を送信する。メニュー４３ｃから「履歴」が実行されると、運用管理マネージャー４３は、文書２に関する過去の承認申請の履歴を表示することができる。

図１１は、書類配布承認処理の概要を示すフロー図である。図１１では、ユーザ端末１１から暗号配布申請が生成され、運用管理端末１５によってその暗号配布申請が承認される処理について説明している。図１１において、ユーザ端末１１の情報管理マネージャー４１において文書ａの配布申請が実行されると、サーバ端末１３の記憶装置２３に格納された配布申請リスト６１に文書ａの所在情報が登録される（Ｓ１０１）。運用管理マネージャー４３は配布承認処理を開始し（Ｓ１０２）、運用管理マネージャー４３の画面表示において、ユーザ端末１１のアイコンに「！」が付され、ユーザ端末１１から配布申請が発行されたことを運用管理者であるユーザＵｄへ通知する（Ｓ１０３）。ユーザＵｄが配布申請を承認すると、運用管理マネージャー４３によって、配布申請リスト６１から文書ａの登録が削除され（Ｓ１０４）、文書ａの所在情報と配布用暗号鍵５６が、サーバ端末１３の配布承認リスト６２へ登録される（Ｓ１０５）。情報管理マネージャー４１は、配布承認リスト６２から配布用暗号鍵５６を取得し（Ｓ１０６）、文書ａを、配布用暗号鍵５６を用いて暗号化した上で、配布先へ向けて送信する。

＜システム管理マネージャー４５＞
次に、システム管理マネージャー４５について説明する。システム管理マネージャー４５は、システム管理端末１７の記憶装置２７に格納され、中央処理装置２８に、所定の暗号鍵５５を管理する機能や、情報制御システム１を利用可能な端末を登録する機能を実現させるプログラムである。システム管理端末１７としては、複数のユーザ端末１１のうち、１つ又は複数をシステム管理端末として登録、設定してもよい。

図１２は、システム管理マネージャー４５の画面表示例を示す模式図である。図１２において、ナビゲーション表示部４５ａには、情報制御システム１に含まれる各グループがそれぞれのグループアイコンで、グループ名と共に表示されており、そのうち、グループ１が展開表示され、グループ１に含まれる各ユーザ端末１１が、それぞれの端末アイコンで、端末名と共に表示されている。図１２では、複数のユーザ端末１１のうち、ＰＣ１が選択され、詳細表示部４５ｂに、ＰＣ１に関する属性情報等が表示されている。詳細表示部４５ｂには、具体的には、「利用登録許可中」、「管理者端末」、「利用可能ユーザ」、「アクセスログ」等のＰＣ１に関する情報が表示されている。

図１２においては、「利用登録許可中」が選択され、利用登録許可に関するメニュー４５ｃが展開されて表示されている。メニュー４５ｃには、「利用許可・禁止」、「プロパティ」が、選択、実行可能に表示されている。「利用許可・禁止」が選択され、実行されると、ＰＣ１を情報制御システム１に組み込むことを許可（利用許可）するか、禁止するか（利用禁止）をシステム管理者であるユーザＵｅが選択可能に表示する選択画面が表示される。図１２においては、ＰＣ１は「利用登録許可中」であるが、上記選択画面でユーザＵｅが利用禁止を選択すると、ＰＣ１は情報制御システム１への登録が解除される。情報制御システム１への登録が解除されたＰＣ１では、所定の暗号鍵５５が削除されるため、所定の暗号鍵５５で暗号化されたファイル５１を閲覧、編集することができなくなる。「プロパティ」が選択、実行された場合、ＰＣ１に関する属性情報が表示される。

詳細表示部４５ｂに表示されている「管理者端末」とは、ＰＣ１が運用管理端末１５であることを表示するものである。また、「利用可能ユーザ」が選択されると、ＰＣ１を利用可能なユーザが一覧表示される。「アクセスログ」が選択されると、ＰＣ１へのアクセスログの一覧が表示される。

次に、ユーザ端末１１を情報制御システム１へ登録し、所定の暗号鍵５５をユーザ端末１１へ配布する処理について、図１３を参照しながら説明する。図１３は、ユーザ端末１１の登録処理の概要を示すフロー図である。システム管理マネージャー４５は、ユーザ端末１１を情報制御システム１へ登録する準備として、ユーザ端末１１の端末名の情報と共に、ライセンスキー５７（後述する）と、所定の暗号鍵５５とを、端末名に関連付けた状態で、サーバ端末１３の記憶装置２３に格納されている利用許可端末リスト６３に登録する（Ｓ２０１）。ユーザ端末１１において、情報管理マネージャー４１が初めて起動されると（Ｓ２０２）、情報制御プログラム２は、サーバ端末１３の利用許可端末リスト６３を参照し、ユーザ端末１１の端末名に関連付けられたライセンスキー５７及び所定の暗号鍵５５を、ユーザ端末１１の記憶装置２１へ記憶させる（Ｓ２０３）。その後、情報制御プログラム２は、利用許可端末リスト６３から、ユーザ端末１１に関する登録を削除する（Ｓ２０４）。そして、情報制御プログラム２は、サーバ端末１３の記憶装置２３に格納されている登録端末リスト６４に、ユーザ端末１１の端末名と共に、ユーザ端末１１に一意に割り当てられた物理アドレスであるＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスを登録する（Ｓ２０５）。システム管理マネージャー４５が登録端末リスト６４におけるユーザ端末１１の登録を確認することにより（Ｓ２０６）、ユーザ端末１１が情報制御システム１に登録されたことになる。

ここで、ライセンスキー５７は、情報制御システム１の導入にあたり、システム管理マネージャー４５からの要請によって、ライセンスサーバ１９が乱数値として発行する暗号鍵である。ライセンスキー５７は、システム管理マネージャー４５によって、システム管理端末１７の記憶装置２７に格納される。ライセンスキー５７は、情報制御システム１を構成する各端末間で共有する、システムや各端末の設定情報や、各端末間で通信される共有ファイルを暗号化するために用いられる。これにより、情報制御システム１を構成する各端末間での設定情報等が情報制御システム１内で保護されることになる。

次に、ライセンス認証処理について、図１４を参照しながら説明する。図１４は、ライセンス認証処理の概要を示すフロー図である。システム管理マネージャー４５は、ライセンス申請を開始し、ライセンス申請情報６５をライセンスサーバ１９へ送信する（Ｓ３０１）。ライセンス申請情報６５には、システム管理マネージャー４５又は情報制御システム１に一意に割り当てられたプロダクトキー５８と、システム管理端末１７の端末名、及びその物理アドレスと、が含まれる。ライセンスサーバ１９において、ライセンス申請情報６５を受信すると、ライセンス登録処理が開始される（Ｓ３０２）。ライセンス登録処理において、プロダクトキー５８の確認等が行われ、ライセンスが承認される（Ｓ３０３）。ライセンスが承認されると、ライセンス承認情報６６として、ライセンスコードや、ライセンスキー５７、ライセンス数等の情報が、ライセンスサーバ１９からシステム管理端末１７へ向けて送信される（Ｓ３０４）。これにより、システム管理端末１７及び情報制御システム１のライセンス認証が行われたことになる。

以上、本発明の好ましい実施の形態を説明したが、本発明はこれらに限定されるものではなく、その要旨の範囲内で様々な変形や変更が可能である。例えば、本発明は以下の趣旨を含むものとする。

（趣旨１）オペレーティングシステムと当該オペレーティングシステム上で実行可能であってデータファイルを生成すると共に任意の情報格納領域を保存先として保存することが可能なアプリケーションプログラムとの間で送受信される送受信情報に対し、所定の変更を加える機能を有する情報制御プログラムであって、前記所定の変更を加える機能として、所定の暗号鍵を用いた暗号化が実施されていない前記データファイルを保存することを制限する保存制限機能と、前記データファイルの前記保存先を、前記情報格納領域のうち所定領域以外を指定することを制限する保存先制限機能と、前記所定領域に保存された前記データファイルを、前記所定の暗号鍵を用いて復号する復号機能と、を有する情報制御プログラムを趣旨とする。

これによれば、従前使用していたアプリケーションプログラムをそのまま使用することができると共に、新たなセキュリティ対策プログラムをインストールすることなく、データファイルをユーザの端末上で閲覧、編集する際のセキュリティ対策を向上させることができる。

（趣旨２）前記データファイルに対して前記所定の暗号鍵を用いた暗号化が実施されていない場合に、前記データファイルを、前記所定の暗号鍵を用いて暗号化してもよい。

これによれば、所定の暗号鍵で暗号化が実施されていない場合であっても、強制的にデータファイルを所定の暗号鍵で暗号化を実施することができる。

（趣旨３）前記所定の変更を加える機能として、前記データファイルの情報の一部を複製し、かつ複製した前記データファイルの情報の一部を前記アプリケーションプログラム以外のプログラムが読み込み可能な状態で保存することを制限する複製制限機能を更に有するものであってもよい。

これによれば、ユーザ端末において、例えば、コピーアンドペースト等のアプリ以外の機能によってデータファイルの一部（又は全部）が複製されてしまうことを制限することができる。

（趣旨４）前記所定の変更を加える機能として、前記データファイルの情報に基づいて表示装置に表示される前記データファイルの画像情報を複製することを制限する画像複製制限機能を更に有するものであってもよい。

これによれば、ユーザ端末において、例えば、スクリーンショット等のアプリ以外の機能によってデータファイルの画像情報が複製されてしまうことを制限することができる。

（趣旨５）前記所定の変更を加える機能として、前記データファイルの情報を印刷することを制限する印刷制限機能を有するものであってもよい。

これによれば、ユーザ端末において、印刷機能によってデータファイルが複製されてしまうことを制限することができる。

（趣旨６）前記所定の変更を加える機能として、前記所定の暗号鍵を用いて暗号化されていない前記データファイル又は前記所定の暗号鍵を用いて復号された前記データファイルを、前記所定の暗号鍵を用いて暗号化されていない前記データファイル又は前記所定の暗号鍵を用いて復号された前記データファイルが保存されている端末とは異なる他の端末へ向けて送信することを制限する外部送信制限機能を有するものであってもよい。

これによれば、暗号化されていないデータファイルが、ユーザ端末以外の他の端末へ送信されてしまうことを制限することができる。

（趣旨７）前記所定の変更を加える機能として、前記データファイルを、所定の送信先以外の送信先へ送信することを制限する送信先制限機能を有するものであってもよい。

これによれば、特定の送信先にのみデータファイルの送信を制限することができる。
（趣旨８）前記所定の変更を加える機能として、前記所定領域に保存された前記データファイルが、前記所定の暗号鍵を用いて暗号化された前記データファイルであることを確認する確認機能を更に有するものであってもよい。

これによれば、所定領域に情報制御プログラムを介さずに保存されたファイルが紛れ込んだ場合であっても、ファイルが所定の暗号鍵５５を用いて復号できるものであるか否かを復号処理の前に確認することができる。

（趣旨９）本発明は、趣旨１から趣旨８のうちいずれか１つに記載の情報制御プログラムと、前記アプリケーションプログラムと、前記オペレーティングシステムと、前記データファイルを格納する前記所定領域と、を備える情報制御システムを趣旨とするものでもある。

これによれば、情報制御プログラムによる機能を実現させるためのシステムを提供することができる。

（趣旨１０）前記所定領域が、前記アプリケーションプログラム及び前記オペレーティングシステムが起動する端末の記憶装置内に位置するものであってもよい。

これによれば、情報制御システムを単一の端末内で実現することができる。

（趣旨１１）前記所定領域に格納された前記データファイルを複製し、前記端末と通信可能に接続された他の端末の記憶装置内へ格納する複製手段を有するものであってもよい。

これによれば、情報制御システムを、情報制御プログラムが起動される複数の端末によって実現することができる。

（趣旨１２）本発明は、オペレーティングシステムと当該オペレーティングシステム上で実行可能であってデータファイルを生成すると共に任意の情報格納領域を保存先として保存することが可能なアプリケーションプログラムとの間で送受信される送受信情報に対し、所定の変更を加える情報制御方法であって、前記所定の変更が、所定の暗号鍵を用いた暗号化が実施されていない前記データファイルを保存することを制限することと、前記データファイルの前記保存先を、前記情報格納領域のうち所定領域以外を指定することを制限することと、前記所定領域に保存された前記データファイルを、前記所定の暗号鍵を用いて復号することと、を含む情報制御方法を趣旨とするものでもある。

（趣旨１３）情報制御方法は、前記データファイルに対して前記所定の暗号鍵を用いた暗号化が実施されていない場合に、前記データファイルを、前記所定の暗号鍵を用いて暗号化することを含むものであってもよい。

（趣旨１４）情報制御方法は、前記データファイルの情報の一部を複製し、かつ複製した前記データファイルの情報の一部を前記アプリケーションプログラム以外のプログラムが読み込み可能な状態で保存することを制限することを含むものであってもよい。

（趣旨１３）情報制御方法は、前記データファイルの情報に基づいて表示装置に表示される前記データファイルの画像情報を複製することを制限することを含むものであってもよい。

（趣旨１４）情報制御方法は、前記データファイルの情報を印刷することを制限することを含むものであってもよい。

（趣旨１５）前記所定の暗号鍵を用いて暗号化されていない前記データファイル又は前記所定の暗号鍵を用いて復号された前記データファイルを、前記所定の暗号鍵を用いて暗号化されていない前記データファイル又は前記所定の暗号鍵を用いて復号された前記データファイルが保存されている端末とは異なる他の端末へ向けて送信することを制限すること、を更に含むものであってもよい。

（趣旨１６）前記データファイルを、所定の送信先以外の送信先へ送信することを制限すること、を更に含むものであってもよい。

（趣旨１７）前記所定領域に保存された前記データファイルが、前記所定の暗号鍵を用いて暗号化された前記データファイルであることを確認すること、を更に含むものであってもよい。

１：情報制御システム ２：情報制御プログラム
３：文書作成アプリケーション（アプリ）
４：オペレーティングシステム（ＯＳ）
１０：端末 １１：ユーザ端末
１２：グループ １３：サーバ端末
１５：運用管理端末 １７：システム管理端末
１９：ライセンスサーバ ２０：所定領域
２１：記憶装置（ユーザ端末） ２２：中央処理装置（ユーザ端末）
２３：記憶装置（サーバ） ２４：中央処理装置（サーバ）
２５：記憶装置（運用管理端末） ２６：中央処理装置（運用管理端末）
２７：記憶装置（システム管理端末）
２８：中央処理装置（システム管理端末）
２９：表示装置 ４１：情報管理マネージャー
４２ａ、４３ａ：ナビゲーション表示部
４２ｂ、４３ｂ：詳細表示部 ４２ｃ：取り込みボタン
４２ｄ、４３ｃ：メニュー ４２ｅ：同期ボタン
４２ｆ：アプリ一覧ボタン
４３：運用管理マネージャー ４３ｄ：共有フォルダ一覧ボタン
４３ｅ：ユーザ一覧ボタン ４５：システム管理マネージャー
５０：送受信情報 ５１：文書ファイル
５３：制御情報 ５５：所定の暗号鍵
５６：配布用暗号鍵 ５７：ライセンスキー
５８：プロダクトキー ６１：配布申請リスト
６２：配布承認リスト ６３：利用許可端末リスト
６４：登録端末リスト ６５：ライセンス申請情報
６６：ライセンス承認情報
Ｍ１：情報取得手段 Ｍ２：情報変更手段
Ｍ３：情報送信手段 Ｍ４：保存制限手段
Ｍ５：保存先制限手段 Ｍ６：復号手段
Ｍ７：複製制限手段 Ｍ８：画像複製制限手段
Ｍ９：印刷制限手段 Ｍ１０：通信制限手段
Ｍ１０ａ：外部送信制限手段 Ｍ１０ｂ：送信先制限手段
Ｍ１１：確認手段 Ｍ２１：情報配布手段
Ｍ３１：情報配布承認手段
Ｎ：インターネット Ｕ：ユーザ

Claims (11)

1. オペレーティングシステムと当該オペレーティングシステム上で実行可能であってデータファイルを生成すると共に任意の情報格納領域を保存先として保存することが可能なアプリケーションプログラムとの間で送受信される送受信情報に対し、所定の変更を加える機能をコンピュータに実現させるための情報制御プログラムであって、
   前記所定の変更を加える機能が、
   所定の暗号鍵を用いた暗号化が実施されていない前記データファイルを保存することを制限する保存制限機能と、
   前記データファイルの前記保存先を、前記情報格納領域のうち所定領域以外を指定することを制限する保存先制限機能と、
   前記所定領域に保存された前記データファイルを、前記所定の暗号鍵を用いて復号する復号機能と、を含み、
   前記保存制限機能が、前記データファイルに対して暗号化が実施されていない場合、又は前記データファイルに対して前記所定の暗号鍵を用いた暗号化が実施されていない場合に、前記データファイルを、前記所定の暗号鍵を用いて暗号化する、情報制御プログラム。
2. 前記所定の変更を加える機能が、
   前記データファイルの情報の一部を複製し、かつ複製した前記データファイルの情報の一部を前記アプリケーションプログラム以外のプログラムが読み込み可能な状態で保存することを制限する複製制限機能を更に含む、請求項１に記載の情報制御プログラム。
3. 前記所定の変更を加える機能が、
   前記データファイルの情報に基づいて表示装置に表示される前記データファイルの画像情報を複製することを制限する画像複製制限機能を更に含む、請求項１又は請求項２に記載の情報制御プログラム。
4. 前記所定の変更を加える機能が、
   前記データファイルの情報を印刷することを制限する印刷制限機能を含む、請求項１から請求項３のうちいずれか１項に記載の情報制御プログラム。
5. 前記所定の変更を加える機能が、
   前記所定の暗号鍵を用いて暗号化されていない前記データファイル又は前記所定の暗号鍵を用いて復号された前記データファイルを、前記所定の暗号鍵を用いて暗号化されていない前記データファイル又は前記所定の暗号鍵を用いて復号された前記データファイルが保存されている端末とは異なる他の端末へ向けて送信することを制限する外部送信制限機能を含む、請求項１から請求項４のうちいずれか１項に記載の情報制御プログラム。
6. 前記所定の変更を加える機能が、
   前記データファイルを、所定の送信先以外の送信先へ送信することを制限する送信先制限機能を含む、請求項１から請求項５のうちいずれか１項に記載の情報制御プログラム。
7. 前記所定の変更を加える機能が、
   前記所定領域に保存された前記データファイルが、前記所定の暗号鍵を用いて暗号化された前記データファイルであることを確認する確認機能を更に含む、請求項１から請求項６のうちいずれか１項に記載の情報制御プログラム。
8. 請求項１から請求項７のうちいずれか１項に記載の情報制御プログラムと、
   前記アプリケーションプログラムと、
   前記オペレーティングシステムと、
   前記データファイルを格納する前記所定領域と、を備える情報制御システム。
9. 前記所定領域が、前記アプリケーションプログラム及び前記オペレーティングシステムが起動する端末の記憶装置内に位置する請求項８に記載の情報制御システム。
10. 前記所定領域に格納された前記データファイルを複製し、前記端末と通信可能に接続された他の端末の記憶装置内へ格納する複製手段を有する請求項９に記載の情報制御システム。
11. オペレーティングシステムと当該オペレーティングシステム上で実行可能であってデータファイルを生成すると共に任意の情報格納領域を保存先として保存することが可能なアプリケーションプログラムとの間で送受信される送受信情報に対し、請求項８から請求項１０のうちいずれか１項に記載の情報制御システムにより所定の変更を加える情報制御方法であって、
    前記所定の変更が、
    所定の暗号鍵を用いた暗号化が実施されていない前記データファイルを保存することを、前記情報制御システムにより制限することと、
    前記データファイルの前記保存先を、前記情報格納領域のうち所定領域以外を指定することを、前記情報制御システムにより制限することと、
    前記所定領域に保存された前記データファイルを、前記情報制御システムにより前記所定の暗号鍵を用いて復号することと、を含む情報制御方法。

Images