JP4645644B2 - セキュリティポリシー管理装置、セキュリティポリシー管理システム及びセキュリティポリシー管理プログラム - Google Patents

Description

本発明は、セキュリティポリシー管理装置、セキュリティポリシー管理システム及びセキュリティポリシー管理プログラムに関する。

現在、情報セキュリティに関する基本方針、すなわちセキュリティポリシー（以下、単に「ポリシー」とも言う）を策定し、そのセキュリティポリシーに従って電子文書や紙文書を管理している企業が少なくない。

このようなポリシーが設定されている電子文書あるいは紙文書に対し、印刷やスキャンなどの操作が行われることに伴い別の紙文書あるいは電子文書が新規に生成される場合、新規に作成された文書に文書ＩＤを新規に割り当てると共に、操作対象となった派生元の文書の文書ＩＤを合わせて記録する。これにより、派生により新たに生成された文書（以下、「派生文書」）がどのように生成（派生）されたのかの履歴を辿ることのできる技術が提案されている（例えば、特許文献１）。なお、文書プロファイルには、その文書のセキュリティ情報（機密度など）も合わせて記録される。

特開２００５−２５９１０８号公報

しかしながら、従来技術では、派生文書には、常に派生元の文書と同じセキュリティポリシーで保護されるため、派生文書のセキュリティを派生元の文書と異ならせるような柔軟な運用には対応できなかった。

本発明は、派生により新たに生成されたデータに対して派生元となるデータと異なるセキュリティポリシーを付与可能にすることを目的とする。

本発明に係るセキュリティポリシー管理装置は、ポリシーの設定対象となるデータがオリジナルデータか、既存データから派生して生成された派生データかの別を示すデータ種別情報毎にポリシーの設定内容が対応付けされたポリシー設定情報に、当該ポリシーの識別情報を対応付けして記憶するポリシー情報記憶手段と、ポリシーの設定対象となるデータの識別情報に、当該データがオリジナルデータの場合には当該データに付与するポリシーの識別情報を対応付け、当該データが派生データの場合には派生データである旨を識別する情報として派生元となるデータの識別情報を対応付けて記憶するデータ情報記憶手段と、データの識別情報が指定された検索要求に応じて、前記データ情報記憶手段を参照することにより検索要求に識別情報が指定されたデータに対応するポリシーの識別情報が取得できた場合は当該検索要求対象のデータをオリジナルデータと判定し、ポリシーの識別情報が取得できなかった場合は当該検索要求対象のデータを派生データと判定するとともに、当該派生データの識別情報に対応付けられている派生元となるオリジナルデータの識別情報を特定することによって当該特定したオリジナルデータの識別情報に対応付けられているポリシーの識別情報を取得し、取得したポリシーの識別情報及び検索要求対象のデータの種別に基づき前記ポリシー情報記憶手段を検索することによって特定したポリシーの設定内容を検索要求元へ返す検索手段と、を有することを特徴とする。

また、登録対象となるデータの識別情報及び当該データに対して付与するポリシーの識別情報を含むデータの登録要求を受け付けた場合、その登録要求に含まれているデータの識別情報とポリシーの識別情報を対応付けして前記データ情報記憶手段に登録する第１の登録手段と、登録対象となるデータの識別情報及び当該データの派生元となるデータの識別情報を含むデータの登録要求を受け付けた場合、その登録要求に含まれているデータの識別情報と派生元となるデータの識別情報を対応付けして前記データ情報記憶手段に登録する第２の登録手段と、を有することを特徴とする。

また、前記ポリシー情報記憶手段に記憶されたポリシー設定情報には、データ種別情報が派生データを示す場合の派生回数により異なるポリシーの設定内容が対応付けして含まれており、前記検索手段は、検索要求に識別情報が指定されたデータが派生データであると特定した場合、前記データ情報記憶手段に記憶されている当該派生データの派生元となるデータの識別情報からポリシーの識別情報が出現するまでに参照した派生元となるデータの識別情報の数をカウントすることにより当該派生データが生成されるまでに行われたオリジナルデータからの派生の回数を特定し、その特定した派生の回数、出現したポリシーの識別情報及び検索要求対象のデータの種別に基づき前記ポリシー情報記憶手段を検索することによって特定したポリシーの設定内容を検索要求元へ返すことを特徴とする。

本発明に係るセキュリティポリシー管理プログラムは、ポリシーの設定対象となるデータがオリジナルデータか、既存データから派生して生成された派生データかの別を示すデータ種別情報毎にポリシーの設定内容が対応付けされたポリシー設定情報に、当該ポリシーの識別情報を対応付けして記憶するポリシー情報記憶手段と、ポリシーの設定対象となるデータの識別情報に、当該データがオリジナルデータの場合には当該データに付与するポリシーの識別情報を対応付け、当該データが派生データの場合には派生データである旨を識別する情報として派生元となるデータの識別情報を対応付けて記憶するデータ情報記憶手段と、を有するセキュリティポリシーサーバコンピュータを、データの識別情報が指定された検索要求に応じて、前記データ情報記憶手段を参照することにより検索要求に識別情報が指定されたデータに対応するポリシーの識別情報が取得できた場合は当該検索要求対象のデータをオリジナルデータと判定し、ポリシーの識別情報が取得できなかった場合は当該検索要求対象のデータを派生データと判定するとともに、当該派生データの識別情報に対応付けられている派生元となるオリジナルデータの識別情報を特定することによって当該特定したオリジナルデータの識別情報に対応付けられているポリシーの識別情報を取得し、取得したポリシーの識別情報及び検索要求対象のデータの種別に基づき前記ポリシー情報記憶手段を検索することによって特定したポリシーの設定内容を検索要求元へ返す検索手段、として機能させる。

本発明に係るセキュリティポリシー管理システムは、セキュリティポリシーサーバコンピュータと、セキュリティポリシーの設定に用いるクライアントコンピュータと、を有し、前記セキュリティポリシーサーバコンピュータは、ポリシーの設定対象となるデータがオリジナルデータか、既存データから派生して生成された派生データかの別を示すデータ種別情報毎にポリシーの設定内容が対応付けされたポリシー設定情報に、当該ポリシーの識別情報を対応付けして記憶するポリシー情報記憶手段と、ポリシーの設定対象となるデータの識別情報に、当該データがオリジナルデータの場合には当該データに付与するポリシーの識別情報を対応付け、当該データが派生データの場合には派生データである旨を識別する情報として派生元となるデータの識別情報を対応付けて記憶するデータ情報記憶手段と、データの識別情報が指定された検索要求に応じて、前記データ情報記憶手段を参照することにより検索要求に識別情報が指定されたデータに対応するポリシーの識別情報が取得できた場合は当該検索要求対象のデータをオリジナルデータと判定し、ポリシーの識別情報が取得できなかった場合は当該検索要求対象のデータを派生データと判定するとともに、当該派生データの識別情報に対応付けられている派生元となるオリジナルデータの識別情報を特定することによって当該特定したオリジナルデータの識別情報に対応付けられているポリシーの識別情報を取得し、取得したポリシーの識別情報及び検索要求対象のデータの種別に基づき前記ポリシー情報記憶手段を検索することによって特定したポリシーの設定内容を検索要求元へ返す検索手段と、を有し、前記クライアントコンピュータは、データの識別情報を含む検索要求を前記セキュリティポリシーサーバコンピュータに送信する手段を有することを特徴とする。

請求項１記載の発明によれば、検索要求元においてオリジナルデータから派生した派生データに対してオリジナルデータとは異なるポリシーを設定させることができる。

請求項２記載の発明によれば、オリジナルデータと派生データとを区別してデータ管理することができる。

請求項３記載の発明によれば、検索要求元において派生データに対しても、派生回数によって異なるポリシーを設定させることができる。

請求項４記載の発明によれば、セキュリティポリシーサーバコンピュータに、検索要求元においてオリジナルデータから派生した派生データに対してオリジナルデータとは異なるポリシーを設定させることができる。

請求項５記載の発明によれば、クライアントコンピュータにおいてオリジナルデータから派生により生成された派生データに対してオリジナルデータとは異なるポリシーを設定させることができる。

以下、図面に基づいて、本発明の好適な実施の形態について説明する。

実施の形態１．
図１は、本発明に係るセキュリティポリシー管理システムの一実施の形態を示した全体構成図である。図１には、ユーザ認証サーバ２３、セキュリティポリシーサーバ３０、クライアントとなるパーソナルコンピュータ（ＰＣ）（以下、「クライアントＰＣ」）５０及び複合機４０がネットワークの一形態であるＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）２２に接続された構成が示されている。なお、図１には、クライアントＰＣ５０と複合機４０をそれぞれ１台ずつ示したが、それぞれ複数台をＬＡＮ２２に接続するよう構成してもよい。

図１において、ユーザ認証サーバ２３は、ユーザ認証を一元的に管理するサーバコンピュータである。クライアントＰＣ５０などの他の機器上では、ユーザを認証して、機器の利用ができるように制御されるが、その際、このユーザ認証サーバ２３に問い合わせる。ユーザ認証サーバ２３は、ＬＤＡＰ（Ｌｉｇｈｔｗｅｉｇｈｔ Ｄｉｒｅｃｔｏｒｙ Ａｃｃｅｓｓ Ｐｒｏｔｏｃｏｌ）サーバ、あるいは、Ｗｉｎｄｏｗｓ（登録商標） Ａｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙなどのサーバでよい。

セキュリティポリシーサーバ３０は、ポリシー切替装置として動作しつつ、本システム上で扱われるセキュリティで保護された電子文書及び紙文書（以下、「保護文書」と総称）に対するアクセス権を管理する役割を持つ。更に、それらの保護文書がどのように生成されたのかという派生関係を管理する役割を持つ。

クライアントＰＣ５０は、セキュリティポリシーサーバ３０と通信して、保護されていない文書にセキュリティポリシーを付与することによって保護された電子文書（以下、「保護電子文書」ともいう）を作成する。また、クライアントＰＣ５０上では、保護電子文書をセキュリティポリシー上で許可された範囲で、閲覧、印刷、編集などの処理を行う文書アプリケーションが動作する。

複合機４０は、複数の機能が搭載された画像処理装置の一形態である。本実施の形態における複合機４０は、基本機能として、プリンタとコピーの機能を有している。本システムでは、これらの基本機能に加え、コンピュータを内蔵していることからクライアントＰＣ５０と同様にクライアントコンピュータとしても動作可能であり、セキュリティポリシーサーバ３０と通信することで、ポリシー上許可された範囲で、保護電子文書の印刷、保護された紙文書（以下、「保護紙文書」ともいう）のコピー、スキャン等の機能を提供する。

ここで、本実施の形態において取り扱う保護文書について説明する。本実施の形態では、前述したように、セキュリティポリシーが付与され、操作が制限される文書を保護文書と呼ぶことにしている。保護文書は、電子文書、紙文書の２種類ある。いずれの場合も、セキュリティポリシーサーバ３０上では、特定のポリシーと対応付けられ、文書の識別情報（文書ＩＤ）が付与され管理される。

図２は、本実施の形態におけるセキュリティポリシーサーバ３０を形成するサーバコンピュータのハードウェア構成図である。本実施の形態におけるセキュリティポリシーサーバ３０は、従前から存在する汎用的なハードウェア構成で実現できる。すなわち、コンピュータは、図２に示したようにＣＰＵ１、ＲＯＭ２、ＲＡＭ３、ハードディスクドライブ（ＨＤＤ）４を接続したＨＤＤコントローラ５、入力手段として設けられたマウス６とキーボード７、及び表示装置として設けられたディスプレイ８をそれぞれ接続する入出力コントローラ９、通信手段として設けられたネットワークコントローラ１０を内部バス１１に接続して構成される

なお、性能的に差異はあるかもしれないが、ユーザ認証サーバ２３及びクライアントＰＣ５０もコンピュータで形成されることから、それぞれのハードウェア構成は、図２と同じように図示することができる。

図３は、本実施の形態における複合機４０のハードウェア構成図である。複合機４０は、上記の通りコピー機能、スキャナ機能等各種機能を搭載した複合機であり、コンピュータを内蔵した装置である。図３において、ＣＰＵ２１は、ＲＯＭ１９に格納されたプログラムにしたがってスキャナ１４やプリンタエンジン１６等複合機４０に搭載された各種機構の動作制御を行う。アドレスデータバス１２は、ＣＰＵ２１の制御対象となる各種機構と接続してデータの通信を行う。操作パネル１３は、ユーザからの指示の受け付け、情報の表示を行う。スキャナ１４は、ユーザがセットした原稿を読み取り、電子データとしてＨＤＤ１５等に蓄積する。ＨＤＤ１５は、スキャナ１４を使用して読み取った電子文書などを格納する。親展ボックスもＨＤＤ１５に設けられる。プリンタエンジン１６は、ＣＰＵ２１で実行される制御プログラムからの指示に従い出力用紙上に画像を印字する。ネットワークインタフェース（Ｉ／Ｆ）１７は、ＬＡＮ２２を接続し、複合機４０が生成した電子データの送信、複合機４０宛に送信されてきた電子メールの受信、またブラウザ経由による複合機４０へのアクセスなどに利用される。ＲＡＭ１８は、プログラム実行時のワークメモリや電子データ送受信時の通信バッファとして利用される。ＲＯＭ１９は、複合機４０の制御や電子データの暗号、電子データの送受信に関する各種プログラムが格納されている。各種プログラムが実行されることで後述する各構成要素が所定の処理機能を発揮する。外部メディアインタフェース（Ｉ／Ｆ）２０は、ＵＳＢメモリ、フラッシュメモリ等の外部メモリ機器とのインタフェースである。

図４は、本実施の形態におけるセキュリティポリシーサーバ３０のブロック構成図である。図４には、セキュリティポリシー登録部３１、セキュリティポリシー一覧応答部３２、セキュリティポリシー検索部３３、セキュリティポリシーデータベース（ＤＢ）３５及び文書情報データベース（ＤＢ）３６が示されている。セキュリティポリシー登録部３１は、複合機４０及びクライアントＰＣ５０（以下、「外部機器」と総称）から送られてくる登録要求に応じて、その登録要求に指定されている文書ＩＤ、派生元文書ＩＤ、ポリシーＩＤ、ユーザＩＤ等を含むレコードを新規に生成し、文書情報データベース３６に登録する第１及び第２の登録手段である。なお、本実施の形態において、文書ＩＤは、外部においても衝突しないように生成される。つまり、ＵＵＩＤ（Ｕｎｉｖｅｒｓａｌｌｙ Ｕｎｉｑｕｅ ＩＤｅｎｔｉｆｉｅｒ）を使用しているので、データベース上に指定された文書ＩＤのデータが存在するかどうかをチェックしなくてもよい。もちろん、チェックするようにしてもよい。

本実施の形態において、セキュリティポリシー一覧応答というのは、外部機器が、文書にポリシーを付与する際、どのようなポリシーが付与可能なのかの一覧リストを問い合わせる機能である。セキュリティポリシー一覧応答部３２は、この問合せに対してセキュリティポリシーデータベース３５に登録されているポリシーデータを検索して、検索条件に合致するポリシーの一覧リストを作成して問合せ元に返す。セキュリティポリシー一覧応答部３２は、この問合せ（ポリシー一覧取得要求）に応じてポリシーの一覧リストを返す。なお、外部機器がセキュリティポリシーサーバ３０にポリシーを問い合わせる際、ポリシーを付与しようとしているユーザＩＤを指定するようにしてもよい。この場合は、予め決められた登録可能ユーザリストに、そのユーザが含まれているかどうかをチェックしたり、あるいは、ポリシー毎にそのポリシーの登録を許されているユーザリストを設けて、それをチェックしたりするようにしてもよい。

本実施の形態において、セキュリティポリシー検索というのは、外部機器が、ポリシーがすでに設定されている文書に関するセキュリティポリシーの情報を問い合わせる機能である。この際、外部機器は、問い合わせたい文書の文書ＩＤ及び問い合わせているユーザのユーザＩＤを指定して問い合わせることになるが、セキュリティポリシー検索部３３は、この問合せ（検索要求）に応じて該当するポリシーを問合せ元に返す。

セキュリティポリシー検索部３３に含まれる対象文書判定部３４は、問い合わせられた文書（対象文書）がオリジナル文書であるか、あるいは派生文書であるかを判定する。

セキュリティポリシーサーバ３０は、セキュリティポリシー（誰にどういう権利を許可するのか）を管理するデータベースとしてセキュリティポリシーデータベース３５を、文書情報（どの文書がどのセキュリティポリシーに割り当てられているのか、いつ誰が作成したのか、など）を管理するデータベースとして文書情報データベースを、それぞれ保持する。以下、図５，６を用いて各データベース３５，３６の詳細について説明する。

図５は、本実施の形態におけるセキュリティポリシーデータベース３５のデータ構成例を示した図である。セキュリティポリシーデータベース３５には、ポリシーを識別するためのポリシーＩＤ及び当該ポリシーの名称に、対象文書毎に設定したポリシー設定情報が対応付けして登録される。対象文書には、ポリシーの設定対象となる文書がオリジナル文書か、あるいはオリジナル文書から派生した派生文書かの別を示す種別情報が設定される。そして、対象文書毎に設定されるポリシー設定情報には、利用範囲、利用範囲毎に設定される有効期間及び許諾機能リストが含まれる。利用範囲は、当該ポリシーの適用者を特定する適用者情報であり、ユーザ認証サーバ２３で管理されているユーザグループが設定される。各ユーザグループは少なくとも１人のユーザから構成される。有効期間は、当該ポリシーが付与された文書の有効期間である。有効期間の記述形式は、図５に例示した生成からの経過日数に限らず、有効期間の終期（日時）等種々の方法で設定可能である。許諾機能リストには、利用範囲に含まれる各ユーザに対して許可されている操作が設定される。図５によると、例えばポリシーＩＤ“０００１”の場合、例えば、ソフトウェア開発部に属していて、文書の作成者ではない人がこのポリシーが付与された保護文書にアクセスすると、その文書が作成されてから１８０日以内であれば、電子文書の閲覧・印刷及び紙文書のコピーが許可される、ということになる。また、オリジナル文書がコピーされて紙文書が生成された場合、その紙文書はオリジナル文書から派生した派生文書となる。図５によると、派生文書に対してポリシーＩＤ“０００１”のポリシーが適用される場合、許諾機能リストには、“−”と記述されているので（これは何も権利を有しないということを意味する）、作成者以外のユーザには、何ら権限が付与されていないため、ポリシーＩＤ“０００１”のポリシーが付与された派生文書に対してコピーやスキャンをしようとしても何もできない、ということを意味する。

図６は、本実施の形態における文書情報データベース３６のデータ構成例を示した図である。本実施の形態では、ポリシーの設定対象となるデータとして文書を取り扱うことにしているので、データ情報記憶手段として文書情報データベース３６を設けている。この文書情報データベース３６には、文書の識別子である文書ＩＤ（この例の場合は、ＵＵＩＤで表される）、当該文書の元となった（例えば、印刷元、コピー元など）文書の文書ＩＤが設定される派生元文書ＩＤ、当該文書が従っているセキュリティポリシーのポリシーＩＤ、文書名、文書のメディアタイプ（紙あるいは電子）、操作したユーザのユーザＩＤ、操作した（ポリシーを付与した）日時、対象文書が生成された際に行われた操作、がそれぞれ対応付けして登録される。例えば、図６において３行目の文書（文書ＩＤが“ＡＥＤ６”で始まるレコード）の場合、その文書の派生元の文書は、２行目の文書(文書ＩＤが“４ＦＢ６”で始まるレコード)であり、ポリシーＩＤは、その派生元の文書のポリシーＩＤ“０００２”である。なお、派生元の文書におけるレコードに派生元文書ＩＤが更に設定されていた場合は、上記と同様、派生元文書をたどっていき、派生元文書ＩＤが設定されてなくポリシーＩＤが設定されている文書のポリシーＩＤが、当該文書のポリシーＩＤとなる。

３行目の文書のメディアタイプは紙である。つまり、図５によると、３行目の文書は、ユーザＩＤ“ｆｘ２５６１５”が割り当てられたユーザが２００６年１０月３日１４時２３分に印刷した（派生元の文書を印刷して派生した）ことにより作成された紙文書であることがわかる。なお、このようなポリシー、文書情報のデータベースは既存技術で実現可能であり、文書毎にセキュリティポリシーが付与できるようなものであれば、図６に例示したデータ構成に限定されるものではない。

セキュリティポリシーサーバ３０における各構成要素３１〜３４は、セキュリティポリシーサーバ３０に搭載されたコンピュータと、コンピュータに搭載されたＣＰＵ１で動作するプログラムとの協調動作により実現される。また、各データベース３５，３６は、コンピュータに搭載されたＨＤＤ４にて実現される。

図７は、本実施の形態におけるクライアントＰＣ５０のブロック構成図である。一般のユーザが使用するクライアントＰＣ５０は、所定の文書処理アプリケーションが実行されることによって、電子文書の保護や、保護された電子文書をポリシー上で許可された権利の範囲内での編集や印刷等の動作を行う。クライアントＰＣ５０は、アプリケーションを実行するアプリケーション実行部５１、保護されていない電子文書を記憶する非保護文書記憶部５２及び保護されている電子文書を記憶する保護電子文書記憶部５３を有している。アプリケーション実行部５１は、セキュリティポリシーサーバ３０と通信して、後述する構成要素を含む文書処理アプリケーションを実行することによって、保護されていない電子文書の保護、保護された電子文書の閲覧、編集、印刷等の機能を提供する。

すなわち、保護電子文書生成部５４は、保護されていない電子文書にポリシーを設定して保護電子文書を生成する。文書ＩＤ生成部５５は、新たに生成される保護文書に対して割り当てる文書ＩＤを生成する。文書編集部５６は、ユーザ操作指示に従い各記憶部５２，５３から読み出された電子文書、あるいは外部から送られてきた電子文書に編集を施す。文書保持部５７は、編集された電子文書を一時保持する。他の構成要素がＲＡＭ３にロードされたソフトウェアにより実現されるのに対し、文書保持部５７は、ＲＡＭ３にて実現される。文書表示部５８は、閲覧、編集対象の電子文書をディスプレイ８に表示する。ユーザ認証部５９は、クライアントＰＣ５０の利用開始時にユーザ認証処理を実施する。保護文書印刷部６０は、保護文書の印刷を実行する。制御部６１は、各構成要素全体の動作制御を行いながら文書処理アプリケーションが持つ機能を提供する。制御部６１は、また各記憶部５２，５３に記憶された電子文書を読み込む文書読込部としても機能する。

クライアントＰＣ５０における各構成要素５４〜５６，５８〜６１は、クライアントＰＣ５０を構成するＰＣと、ＰＣに搭載されたＣＰＵ１で動作するプログラムとの協調動作により実現される。また、各記憶部５２，５３は、クライアントＰＣ５０に搭載されたＨＤＤ４にて実現される。

図８は、本実施の形態における複合機４０のブロック構成図である。複合機４０は、保護された電子文書の印刷、保護された紙文書のコピー・スキャンを提供する。複合機４０は、ユーザ認証部４１、保護電子文書生成部４２、画像保持部４３、保護紙文書生成部４４、文書ＩＤエンコード部４５、印刷部４６、文書ＩＤデコード部４７、制御部４８及び文書ＩＤ生成部４９を有している。ユーザ認証部４１は、複合機４０の利用開始時にユーザ認証処理を実施する。保護電子文書生成部４２は、スキャンにより読み取られた保護紙文書にポリシーを設定して保護電子文書を生成する。画像保持部４３は、生成された保護電子文書を一時保持する。他の構成要素がＲＡＭ３にロードされたソフトウェアにより実現されるのに対し、画像保持部４３は、ＲＡＭ３にて実現される。保護紙文書生成部４４は、文書ＩＤエンコード部４５及び印刷部４６と連携動作し、印刷部４６により印刷される保護紙文書を保護電子文書から生成する。文書ＩＤエンコード部４５は、保護電子文書に含まれている文書ＩＤデータを用紙上に印刷可能な画像データにエンコードする。印刷部４６は、生成された保護紙文書を印刷する。文書ＩＤデコード部４７は、スキャナ１４により読み取られた保護紙文書の読取画像データをデコードして文書ＩＤを抽出する。文書ＩＤ生成部４９は、新たに生成される保護文書に対して割り当てる文書ＩＤを生成する。制御部４８は、各構成要素の動作制御を行いながらスキャナ１４をはじめとするハードウェアと連携動作させ、詳細は後述するように複合機４０において新たに生成される保護文書へのポリシーの付与等ポリシーに関連する諸機能を提供する。

複合機４０における各構成要素４１〜４２，４４〜４９は、複合機４０に搭載されたコンピュータと、コンピュータに搭載されたＣＰＵ２１で動作するプログラムとの協調動作により実現される。また、画像保持部４３は、ＲＡＭ１８にて実現される。

また、本実施の形態で用いるプログラムは、通信手段により提供することはもちろん、ＣＤ−ＲＯＭやＤＶＤ−ＲＯＭ等のコンピュータ読み取り可能な記録媒体に格納して提供することも可能である。通信手段や記録媒体から提供されたプログラムはコンピュータにインストールされ、コンピュータのＣＰＵがインストールプログラムを順次実行することで各種処理が実現される。

図９は、本実施の形態において用いる保護電子文書のデータ構成例を示した図である。保護電子文書は、保護電子文書であることを示すヘッダ（予め決められた長さのバイト列）と、文書ＩＤ、暗号化された文書本体からなる。本実施の形態では、保護電子文書は、全ての電子文書に共通な暗号鍵によって暗号化されることを前提としているが、これは一例でありＤＲＭ技術のように文書毎に鍵を変えるようにしてもよい。また、文書ＩＤが他の文書の文書ＩＤと入れ替えられたりすることを防ぐため、電子文書全体に電子署名を付与したり、あるいは、ＨＭＡＣ（Ｋｅｙｅｄ−Ｈａｓｈｉｎｇ ｆｏｒ Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）などの値を付与したりしてもよい。いずれにしても本システムにおいては、全ての保護文書が識別子で識別され、それがポリシーで管理されているという以上の制約はない。

図１０，１１は、本実施の形態において用いる保護紙文書を用紙に印刷したときの例を示した模式図である。図１０は、文書が印刷された用紙の上下（ヘッダとフッタ）部分に、文書ＩＤをバーコードやＱＲコードなどで代表される特定のコードパターンで印刷する場合の例である。図１１は、文書ＩＤを、用紙などの印刷媒体２４に文書全体の背景として透かし２５により埋め込んだものである。いずれにしろ文書ＩＤを後から読み取れるように何らかの方法で紙自体に印字したものであればよい。

次に、本実施の形態における動作について、セキュリティポリシーサーバ３０、クライアントＰＣ５０、そして複合機４０の順に装置単位に説明する。

１．セキュリティポリシーサーバ３０の動作
セキュリティポリシーサーバ３０は、外部機器４０，５０に対して、セキュリティポリシーの登録、一覧応答、検索の３つの機能を提供する。以下それらの処理手順について説明する。

１．１ セキュリティポリシー登録
外部機器から文書ＩＤ、派生元文書ＩＤ、ポリシーＩＤ、文書名、メディアタイプ、この文書の作成操作した者のユーザＩＤ、作成操作をした日時のデータのうち登録に必要なデータが指定された登録要求が送られてくることによってセキュリティポリシー登録部３１が呼び出されると、セキュリティポリシー登録部３１は、そのデータを文書情報データベース３６に新規のレコードとして追加する。登録対象の文書が新規に作成されてポリシーが付与される場合、派生元となる文書は存在しないので、登録要求には、派生元文書ＩＤが含まれない状態で送られてくる。一方、文書の操作結果として文書が派生により生成された場合、登録要求には、派生元文書ＩＤが含まれるが、ポリシーＩＤは含まれない。文書の作成日時（操作日時）が指定されてこなかった場合、セキュリティポリシー登録部３１が文書情報データベース３６にデータ登録をするときの現在時刻を操作日時に設定してもよい。文書名は任意のパラメータであるため、登録要求に指定されなくてもよい。外部機器から送られてくるセキュリティポリシーの登録要求の例を図１２に示す。

１．２ セキュリティポリシー一覧応答
セキュリティポリシー一覧応答というのは、前述したように、外部機器が文書にポリシーを付与する際、どのようなポリシーが付与可能なのかの一覧リストを問い合わせる機能である。

外部機器からポリシー一覧取得要求が送られてくることによってセキュリティポリシー一覧応答部３２が呼び出されると、セキュリティポリシー一覧応答部３２は、セキュリティポリシーデータベース３５に登録されているポリシーデータが検索され、ポリシーの一覧リストを生成して要求送信元へ返す。仮に一覧リストが生成できなかった場合は、その旨（ＦＡＬＳＥ）を返すようにしてもよい。

なお、外部機器からセキュリティポリシーサーバ３０へ問い合わせる際、ユーザは、問合せ条件としてポリシーを付与しようとしているユーザＩＤ等を指定して問い合わせることで、その問合せ条件に合致したレコードのみが一覧リストに含まれるように指示することができる。セキュリティポリシー一覧応答部３２がポリシー一覧取得要求の送信元へ返す一覧リストの例を図１３に示す。

１．３ セキュリティポリシー検索
セキュリティポリシー検索というのは、前述したように、外部機器が、ポリシーがすでに設定されている文書に関するセキュリティポリシーの情報を問い合わせる機能である。このセキュリティポリシー検索処理については、図１４に示したフローチャートを用いて説明する。

外部機器からの検索要求によりセキュリティポリシー検索部３３が呼び出されると、セキュリティポリシー検索部３３は、まず、検索要求に指定されている文書ＩＤに基づき文書情報データベース３６を検索する（ステップ１０１）。該当するレコードが取得できた場合（ステップ１０２でＹ）、そのレコードに含まれているポリシーＩＤのエントリーをセキュリティポリシーデータベース３５から検索する（ステップ１０３）。ここで、取得したレコードにポリシーＩＤが設定されていない場合、ポリシーＩＤを取得できるまでレコードに含まれる派生元文書ＩＤをたどっていく。このようにして、ポリシーＩＤが取得できると（ステップ１０４でＹ）、セキュリティポリシー検索部３３に含まれる対象文書判定部３４は、文書情報データベース３６に登録されている当該文書ＩＤのレコードを参照して、当該文書がオリジナル文書か派生文書かの種別を判定する（ステップ１０５）。これは、当該文書ＩＤのレコードにポリシーＩＤが設定されていた場合はオリジナル文書、設定されていない場合は派生文書と判定できる。

ステップ１０３においてセキュリティポリシーデータベース３５に登録されている当該文書のポリシーのエントリーが特定できているので、セキュリティポリシー検索部３３は、そのエントリーの利用範囲を参照して検索要求に指定されているユーザＩＤのユーザが所属するユーザグループのみをフィルタリングして抽出する（ステップ１０６）。このとき、セキュリティポリシー検索部３３は、文書種別の判定結果に従い、セキュリティポリシーデータベース３５において、オリジナル文書であればオリジナル文書のエントリーを、派生文書であれば派生文書のエントリーを、以降の処理で参照することになる。従って、例えば、検索対象の文書が派生文書である場合であって、図５のポリシーＩＤ“０００１”において、問い合わせたユーザが作成者でなく、ソフトウェア開発部に属している場合は、派生文書におけるソフトウェア開発部のみを抽出することになる。作成者かどうかは、指定された文書の派生関係を辿ってオリジナル文書を特定し、そのオリジナル文書の文書ＩＤのレコードの操作者ＩＤが検索要求を送信したユーザのユーザＩＤと一致するかで判断する。なお、ソフトウェア開発部等ユーザがどのユーザグループに所属しているかは、ユーザグループと当該ユーザグループに属するユーザとの対応関係が定義されたユーザ情報データベース（図示せず）を参照することで特定するようにしてもよい。本実施の形態では、このように検索対象となった文書が派生文書であっても、オリジナル文書の作成者を作成者とみなす。もし、何も検索されなかった場合は、空（ＮＵＬＬ）を返すことになる。

ユーザが所属するユーザグループが抽出できた場合（ステップ１０７でＹ）、抽出できた各エントリーにつき有効期限のチェックを行う（ステップ１０８）。すなわち、抽出した各エントリーの利用範囲の項目に関して、文書ＩＤのエントリーの作成日時から、それぞれ有効期間満了日を生成する。もし、有効期間満了日が現在時刻より前だったら、抽出したエントリーの中から当該エントリーを削除する。エントリーが残った場合において（ステップ１０９でＹ）、許可リストを作成する（ステップ１１０）。１つのエントリーのみが残ればそのエントリーをそのまま許可リストとする。複数のエントリーが残った場合、その残った利用範囲の項目の許諾リストをマージして許可リストを作成する。また、有効期間満了日時は最も長いものを選択する。

以上のようにして作成した許可リストを検索結果として、検索要求送信元の外部機器に返す（ステップ１１１）。以上の処理の結果、検索要求送信元へ返すポリシー検索結果の例を図１５に示す。なお、以上の処理において該当するレコード、エントリーが存在しなかった場合（ステップ１０２でＮ，ステップ１０４でＮ，ステップ１０７でＮ，ステップ１０９でＮ）、その旨を示すエラー情報を作成して（ステップ１１２）、検索要求送信元の外部機器に返す（ステップ１１３）。

ところで、図５に示したセキュリティポリシーデータベース３５のデータ構成例では、対象文書をオリジナル文書と派生文書の２種類で識別していた。従って、このようなデータ構成を採用すると、派生文書の作成禁止にも容易に対応可能である。また、派生によって生成された文書に対しては、アクセス権を制限したいという場合もある。例えば、人事関係の書類を電子文書で記入して、マネージャが収集するような場合、記入済みの電子文書はマネージャのみが閲覧可能であることがセキュリティ上は望ましい。つまり、オリジナルの電子文書のフォームはグループ全員が編集できるが、編集して保存した結果として生成される派生文書は、グループのマネージャのみが閲覧可能である、というような文書の運用が考えられる。このような場合にも容易に対応可能である。

ただ、運用によっては、２回派生した場合（派生文書を派生元文書として更に派生文書を生成する場合）、３回派生した場合などと派生回数によって異なるポリシーを設定したい場合が考えられる。例えば、ある紙文書に対して、１世代だけのコピーは許可したいが、２世代目以降（つまり、コピーのコピー）は許可したくない、というような場合がある。図５に例示したように、対象文書をオリジナル文書と派生文書の２種類で識別するようにデータ構成した場合、派生文書であれば、派生文書の全てに一律の同じポリシーが適用されることになるため、派生回数によって異なるポリシーを設定したい場合に対応できない。従って、このような場合には、対象文書のサブパラメータとして派生回数を設け、文書の派生回数によって異なるポリシーが適用できるように構成してもよい。

また、文書からの派生には、１つの文書から複数の文書が派生により生成される場合（１つの文書の複数枚のコピー）、あるいは１つの文書から連鎖的な派生により生成される場合（１つの文書のコピーのコピー）、が考えられるが、このような派生の種類によっても異なるポリシーが適用できるようにしてもよい。なお、派生の深さは、文書情報データベース３６のポリシーＩＤが設定されたレコードにたどりつくまでの派生元文書ＩＤのたどる回数を数えることで容易に求められる。

２．クライアントＰＣ５０の動作
クライアントＰＣ５０は、所定の文書処理アプリケーションが実行されることによって、電子文書の保護や、保護された電子文書をポリシー上で許可された権利の範囲内での編集や印刷等の動作を行う。なお、保護されていない文書の印刷・編集などの処理に関しては従来の技術と同様であるので、説明を省略する。

２．１ 保護電子文書の生成
この保護電子文書の生成処理については、図１６に示したフローチャートを用いて説明する。

クライアントＰＣ５０を使用しているユーザが、キーボード７等の入力手段を用いて保護されていない電子文書を指定した保護指示要求を入力すると、制御部６１は、それを受け付ける（ステップ２０１）。そして、クライアントＰＣ５０にログインしたときに入力したユーザＩＤ及びパスワード、あるいは入力要求を別途したことに応じてユーザが入力したユーザＩＤ及びパスワードをユーザ認証部５９に渡すと、ユーザ認証部５９は、その入力された情報が正しいかどうかを外部のユーザ認証サーバ２３に問い合わせて確認する（ステップ２０２）。ユーザ認証に成功すれば（ステップ２０３でＹ）、ユーザＩＤを保持する。失敗した場合は（ステップ２０３でＮ）、その旨をディスプレイ８に表示し（ステップ２１０）、処理を中断する。

ユーザ認証成功後、制御部６１は、保護されていない電子文書を文書保持部５７に登録することで保持させた後、保護電子文書生成部５４を呼び出す。保護電子文書生成部５４は、ポリシー一覧取得要求をセキュリティポリシーサーバ３０へ送信することによりセキュリティポリシーの一覧を取得する（ステップ２０４）。なお、送信したポリシー一覧取得要求に応じてセキュリティポリシーサーバ３０側において実行される処理については、「１．２ セキュリティポリシー一覧応答」において前述したとおりである。ポリシーの一覧リストが取得できると、制御部６１は、文書表示部５８に、取得したポリシーの一覧リストをユーザに理解可能な形式で表示させ（例えば、ポリシー名のドロップダウンによるリスト表示等）、これによりユーザに適用したいポリシーを選択させる。ポリシーが選択されると、制御部６１は、それを受け付ける（ステップ２０５）。続いて、保護電子文書生成部５４は、文書ＩＤ生成部５５に文書ＩＤを生成させ（ステップ２０６）、その文書ＩＤ、ポリシーＩＤ、ユーザＩＤ(操作者ＩＤ)、メディアタイプ（ここでは“電子”）、作成日時（現在時刻）、操作（ここでは“作成”）の各パラメータを含む登録要求を生成し、セキュリティポリシーサーバ３０へ送信することによって保護電子文書の登録指示を出す（ステップ２０７）。なお、送信した登録要求に応じてセキュリティポリシーサーバ３０側において実行される処理については、「１．１ セキュリティポリシー登録」において前述したとおりである。

ここで、登録指示に応じてセキュリティポリシーサーバ３０から返信されてきた処理結果により登録処理が成功した旨を認識すると（ステップ２０８でＹ）、制御部６１は、保護されていない文書を予め決められた暗号鍵で暗号化し、付与された文書ＩＤを関連付けして、保護電子文書として保護電子文書記憶部５３に書込保存する（ステップ２０９）。

なお、認証に失敗した場合（ステップ２０３でＮ）、登録処理に失敗した旨がセキュリティポリシーサーバ３０から返信されてきた場合（ステップ２０８でＮ）、制御部６１は、エラー情報をディスプレイ８に表示するなどしてユーザにその旨を知らせる（ステップ２１０）。

２．２ 保護電子文書の閲覧
次に、保護電子文書の閲覧処理については、図１７に示したフローチャートを用いて説明する。

クライアントＰＣ５０を使用しているユーザが、保護電子文書の閲覧のためにキーボード７等の入力手段を用いて保護電子文書を指定して文書処理アプリケーションを起動する。このユーザ操作に応じて保護電子文書の閲覧が要求されると、制御部６１は、その要求を受け付け（ステップ２１１）、保護電子文書生成処理と同様にユーザ認証部５９にユーザ認証を実行させる（ステップ２１２）。ユーザ認証成功後（ステップ２１２でＹ）、制御部６１は、指定された保護電子文書の文書ＩＤを保護電子文書記憶部５３から読み取り（ステップ２１４）、その文書ＩＤ及びユーザ認証に用いたユーザＩＤの各パラメータを含む検索要求を生成し、セキュリティポリシーサーバ３０へ送信する（ステップ２１５）。なお、送信した検索要求に応じてセキュリティポリシーサーバ３０側において実行される処理については、「１．３ セキュリティポリシー検索」において前述したとおりである。

ここで、検索要求に応じてセキュリティポリシーサーバ３０から検索結果がない旨などのエラー情報が送られてくると（ステップ２１６でＮ）、制御部６１は、「指定した文書に対するアクセス権がありません」などのエラーメッセージをディスプレイ８に表示して終了する（ステップ２２１）。一方、セキュリティポリシーサーバ３０から検索結果として許可リストが送られてくると（ステップ２１６でＹ）、その許可リストを参照し、「電子文書の閲覧」が含まれているもののみにフィルタリングする（ステップ２１７）。図１５の例の場合は、Ｏｐｅｒａｔｉｏｎタグ内に“Ｖｉｅｗ”が含まれているもののみを抽出する。また、許可リストが許諾機能リストをマージして作成されている場合には、“Ｖｉｅｗ”の有無を確認することになる。ここで、“Ｖｉｅｗ”が含まれていなければ（ステップ２１８でＮ）、当該ユーザには、指定された保護電子文書に対する閲覧権が付与されていないと判断して、「指定した文書の閲覧権はありません」というエラーをディスプレイ８に表示する（ステップ２２１）。

“Ｖｉｅｗ”が含まれている場合（ステップ２１８でＹ）、制御部６１は、続いてフィルタリングにより残った検索結果を参照して、有効期間が満了していないものがあるかどうかをチェックする。なお、セキュリティポリシーサーバ３０側で有効期間の満了しているものは返さないようにしているので、この処理は、念のための処理である。有効期間満了前のものが無ければ（ステップ２１９でＮ）、「指定した文書の権利は有効期間を過ぎています」というエラーメッセージを表示して終了する（ステップ２２１）。

有効期間満了前のものが存在すれば（ステップ２１９でＹ）、閲覧権があるものと判断されるので、制御部６１は、予め決められた復号鍵で文書本体を復号し、その結果を文書ＩＤと共に文書保持部５７に一時格納し、文書表示部５８を呼びだして、文書をディスプレイ８に表示させる（ステップ２２０）。

２．３ 保護電子文書の編集
次に、保護電子文書の編集処理については、図１８に示したフローチャートを用いて説明する。なお、編集の際には、既に文書が文書処理アプリケーションで開かれていることを仮定している。すなわち、閲覧の処理が行われて文書保持部５７に文書がすでに読み込まれている状態から、以下に説明する編集処理が始まるものとする。

クライアントＰＣ５０で保護電子文書を開いているユーザにより、保護電子文書の編集が要求されると、制御部６１は、その要求を受け付ける（ステップ２３１）。そして、制御部６１は、保護電子文書から文書ＩＤを読み取り（ステップ２３２）、その文書ＩＤ及びユーザ認証に用いたユーザＩＤの各パラメータを含む検索要求を生成し、セキュリティポリシーサーバ３０へ送信する（ステップ２３３）。なお、送信した検索要求に応じてセキュリティポリシーサーバ３０側において実行される処理については、「１．３ セキュリティポリシー検索」において前述したとおりである。

ここで、検索要求に応じてセキュリティポリシーサーバ３０から検索結果がない旨などのエラー情報が送られてくると（ステップ２３４でＮ）、制御部６１は、「指定した文書に対するアクセス権がありません」などのエラーメッセージをディスプレイ８に表示して終了する（ステップ２３９）。一方、セキュリティポリシーサーバ３０から検索結果として許可リストが送られてくると（ステップ２３４でＹ）、その許可リストを参照し、「電子文書の編集」が含まれているもののみにフィルタリングする（ステップ２３５）。図１５の例の場合は、Ｏｐｅｒａｔｉｏｎタグ内に“Ｅｄｉｔ”が含まれているもののみを抽出する。また、許可リストが許諾機能リストをマージして作成されている場合には、“Ｅｄｉｔ”の有無を確認することになる。ここで、“Ｅｄｉｔ”が含まれていなければ（ステップ２３６でＮ）、当該ユーザには、指定された保護電子文書に対する編集権が付与されていないと判断して、「指定した文書の編集権はありません」というエラーをディスプレイ８に表示する（ステップ２３９）。

“Ｅｄｉｔ”が含まれている場合（ステップ２３６でＹ）、制御部６１は、続いてフィルタリングにより残った検索結果を参照して、有効期間が満了していないものがあるかどうかをチェックする。なお、セキュリティポリシーサーバ３０側で有効期間の満了しているものは返さないようにしているので、この処理は、念のための処理である。有効期間満了前のものが無ければ（ステップ２３７でＮ）、「指定した文書の権利は有効期間を過ぎています」というエラーメッセージを表示して終了する（ステップ２３９）。

有効期間満了前のものが存在すれば（ステップ２３７でＹ）、編集権があるものと判断されるので、制御部６１は、文書編集部５６を呼び出して、保護電子文書の編集をユーザに許可する（ステップ２３８）。

なお、文書を開く（閲覧する）際に、セキュリティポリシーサーバ３０に保護電子文書のポリシーを問い合わせたら、その結果をＲＡＭ３上に保持しておくようにしてもよい。こうすれば、ステップ２３３で許可リストを問い合わせる必要はなく、ＲＡＭ３に保持しておいたポリシーを参照すればすむ。

２．４ 保護電子文書の印刷
次に、保護電子文書の印刷処理については、図１９に示したフローチャートを用いて説明する。なお、印刷の際には、編集の場合と同様に文書が文書アプリケーションによってすでに開かれていることを仮定している。すなわち、閲覧の処理が行われて文書保持部５７に文書がすでに読み込まれている状態から、以下に説明する印刷処理が始まるものとする。

クライアントＰＣ５０で保護電子文書を開いているユーザにより、保護電子文書の印刷が要求されると、制御部６１は、その印刷要求を受け付け（ステップ２４１）、ユーザにより指定された保護電子文書の印刷指示を保護文書印刷部６０に出す（ステップ２４２）。印刷指示を受けた保護文書印刷部６０は、文書保持部５７に保持されている保護電子文書を読み出して印刷イメージに変換し、文書ＩＤ、ユーザＩＤと共に、保護電子文書を、ユーザにより指定された複合機４０に送信することで印刷を実行させる（ステップ２４３）。複合機４０は、保護電子文書を受け付けることによって印刷を開始することになるが、この処理については、追って説明する。

ところで、本実施の形態では、印刷処理の実行可否の権利確認を複合機４０側にて行うようにしているので、文書処理アプリケーション側では権利確認処理を行う必要はない。しかし、このようにすると、文書データを複合機４０に送ってからでないと、印刷権の有無が確認できないので、クライアントＰＣ５０から複合機４０へのデータ通信が無駄になる場合が発生しうる。そこで、本実施の形態においては、文書データを送信する前に、送信文書の印刷権があるかどうかを確認するようにしてもよい。この印刷時においてクライアントＰＣ５０側において行う権利確認処理を図２０に示したフローチャートを用いて説明する。なお、図１９と同じ処理には同じステップ番号を付ける。

クライアントＰＣ５０で保護電子文書を開いているユーザにより、保護電子文書の印刷が要求されると、制御部６１は、その印刷要求を受け付ける（ステップ２４１）。そして、制御部６１は、印刷対象の保護電子文書から文書ＩＤを読み取り（ステップ２４４）、その文書ＩＤ及びユーザ認証に用いたユーザＩＤの各パラメータを含む検索要求を生成し、セキュリティポリシーサーバ３０へ送信する（ステップ２４５）。なお、送信した検索要求に応じてセキュリティポリシーサーバ３０側において実行される処理については、「１．３ セキュリティポリシー検索」において前述したとおりである。

ここで、検索要求に応じてセキュリティポリシーサーバ３０から検索結果がない旨などのエラー情報が送られてくると（ステップ２４６でＮ）、制御部６１は、「指定した文書に対する印刷権がありません」などのエラーメッセージをディスプレイ８に表示して終了する（ステップ２５０）。一方、セキュリティポリシーサーバ３０から検索結果として許可リストが送られてくると（ステップ２４６でＹ）、その許可リストを参照し、「電子文書の印刷」が含まれているもののみにフィルタリングする（ステップ２４７）。図１５の例の場合は、Ｏｐｅｒａｔｉｏｎタグ内に“Ｐｒｉｎｔ”が含まれているもののみを抽出する。また、許可リストが許諾機能リストをマージして作成されている場合には、“Ｐｒｉｎｔ”の有無を確認することになる。ここで、“Ｐｒｉｎｔ”が含まれていなければ（ステップ２４８でＮ）、当該ユーザには、指定された保護電子文書に対する印刷権が付与されていないと判断して、「指定した文書の印刷権はありません」というエラーをディスプレイ８に表示する（ステップ２５０）。

“Ｐｒｉｎｔ”が含まれている場合（ステップ２４８でＹ）、制御部６１は、続いてフィルタリングにより残った検索結果を参照して、有効期間が満了していないものがあるかどうかをチェックする。なお、セキュリティポリシーサーバ３０側で有効期間の満了しているものは返さないようにしているので、この処理は、念のための処理である。有効期間満了前のものが無ければ（ステップ２４９でＮ）、「指定した文書の権利は有効期間を過ぎています」というエラーメッセージを表示して終了する（ステップ２５０）。

有効期間満了前のものが存在すれば（ステップ２４９でＹ）、印刷権があるものと判断されるので、制御部６１は、ユーザにより指定された保護電子文書の印刷指示を保護文書印刷部６０に出す（ステップ２４２）。保護文書印刷部６０は、この印刷指示に応じて文書保持部５７に保持されている保護電子文書を読み出して印刷イメージに変換し、文書ＩＤ、ユーザＩＤと共に、保護電子文書を、ユーザにより指定された複合機４０に送信することで印刷を実行させる（ステップ２４３）。

２．５ 保護電子文書の保存
本実施の形態において文書処理アプリケーションが開いている保護電子文書をファイルに保存（上書き、別名など）する際、「一時保存」と「確定保存」という２種類の保存方法をユーザに提供している。

「一時保存」は、派生処理を行わない保存方法である。つまり、文書の編集者が、編集を施した文書を、編集前の文書に対する派生文書として管理させずに、施した編集内容を保存したい場合に用いる。本実施の形態では、オリジナル文書及び派生文書に関する情報を、文書情報データベース３６を用いることによって当該文書をシステムの管理対象とすることになるが、「一時保存」を選択すると、文書に対して編集した内容をシステムからの管理対象外とし、個人使用の状態のまま保存しておくことができる。従って、一時保存した文書に対するポリシーは、オリジナル文書のポリシーがそのまま引き継がれる。「一時保存」は、例えば、編集中でありまだ完成されていないフォームを内部に一時的に保存する場合などに用いられる。

一方、「確定保存」は、編集が施された文書を派生文書として保存する方法である。つまり、保存された文書は、オリジナル文書ではなく、編集前の文書に対する派生文書となる。これにより、確定保存した文書に対するポリシーは、派生文書のポリシーが適用される。「確定保存」は、例えば、フォームが完成したことにより内容を確定させたいために保存する場合などに用いられる。

なお、一時保存した文書は、文書処理アプリケーションを用いて開いた後、確定保存すれば、当該文書は、当該文書に関する情報は文書情報データベース３６に登録されて、派生文書として管理される。

最初に、保護電子文書の一時保存処理について、図２１に示したフローチャートを用いて説明する。

まず、ユーザが文書処理アプリケーション上で所定の一時保存ボタンをクリック等により選択すると、制御部６１は、そのユーザ操作に応じた保存要求を受け付ける（ステップ２５１）。そして、制御部６１は、文書保持部５７に保存されている電子文書に文書ＩＤが付与されていたら、保護電子文書であると判断し、予め決められた暗号鍵で文書本体を暗号化し、そして文書ＩＤを付与して、保護電子文書ファイルを保護電子文書記憶部５３に保存する（ステップ２５２）。

続いて、保護電子文書の確定保存処理について、図２２に示したフローチャートを用いて説明する。確定保存処理では、文書の保存の際に文書を派生させるので、文書ファイルを生成する時に文書ＩＤを付け直してから文書情報データベース３６に登録する必要がある。

すなわち、ユーザが文書処理アプリケーション上で所定の一時保存ボタンをクリック等により選択すると、制御部６１は、そのユーザ操作に応じた保存要求を受け付ける（ステップ２６１）。そして、制御部６１は、文書保持部５７に保存されている電子文書に文書ＩＤが付与されていたら、保護電子文書であると判断し、文書ＩＤ生成部５５に文書ＩＤを生成させ（ステップ２６２）、元の文書ＩＤ（派生元文書ＩＤ）、新たに生成した文書ＩＤ、ユーザＩＤ(操作者ＩＤ)、メディアタイプ（ここでは“電子”）、作成日時（現在時刻）、操作（ここでは“編集”）の各パラメータを含む登録要求を生成し、セキュリティポリシーサーバ３０へ送信することによって保護電子文書の登録指示を出す（ステップ２６３）。なお、送信した登録要求に応じてセキュリティポリシーサーバ３０側において実行される処理については、「１．１ セキュリティポリシー登録」において前述したとおりである。また、文書保持部５７に保存されている電子文書の文書ＩＤを新たに生成した文書ＩＤで書き換えておく。

ここで、登録指示に応じてセキュリティポリシーサーバ３０から返信されてきた処理結果により登録処理が成功した旨を認識すると（ステップ２６４でＹ）、制御部６１は、保護されていない文書を予め決められた暗号鍵で暗号化し、付与された文書ＩＤを関連付けして、保護電子文書として保護電子文書記憶部５３に書込保存する（ステップ２６５）。

なお、登録処理に失敗した旨がセキュリティポリシーサーバ３０から返信されてきた場合（ステップ２６４でＮ）、制御部６１は、エラー情報をディスプレイ８に表示するなどしてユーザにその旨を知らせる（ステップ２６６）。

ここで説明した保護電子文書の保存において、文書を保存する操作を、印刷やコピーなどの操作と同様に独立した権限として取り扱うようにしてもよい。この場合、文書処理アプリケーションは、保存処理を実施する前に、編集処理の場合と同様に権利の確認を行うことになる。

３．複合機４０の動作
複合機４０は、保護された電子文書の印刷、保護された紙文書のコピー・スキャンを提供する。なお、ここでは、保護された紙文書以外の通常の紙文書のコピーやスキャンなどについては従来と同じ処理がなされるだけであるので、説明を省略している。

３．１ 保護電子文書の印刷
この保護電子文書の印刷処理については、図２３に示したフローチャートを用いて説明する。

「２．４ 保護電子文書の印刷」において説明したように、ユーザにより保護電子文書の印刷が要求されると、複合機４０には、クライアントＰＣ５０から複合機４０において印字可能な印刷イメージが文書ＩＤ及びユーザＩＤと共に送られる。制御部４８は、印刷要求を受け付けると（ステップ３０１）、その印刷要求に含まれている文書ＩＤ及びユーザＩＤの各パラメータを含む検索要求を生成し、セキュリティポリシーサーバ３０へ送信する（ステップ３０２）。なお、送信した検索要求に応じてセキュリティポリシーサーバ３０側において実行される処理については、「１．３ セキュリティポリシー検索」において前述したとおりである。

ここで、検索要求に応じてセキュリティポリシーサーバ３０から検索結果がない旨などのエラー情報が送られてくると（ステップ３０３でＮ）、制御部４８は、「指定した文書に対する印刷権がありません」などのエラーメッセージを操作パネル１３に表示したり、あるいはエラーログをＨＤＤ１５に記録したりして処理を終了する（ステップ３０９）。一方、セキュリティポリシーサーバ３０から検索結果として許可リストが送られてくると（ステップ３０３でＹ）、その許可リストを参照し、「電子文書の印刷」が含まれているもののみにフィルタリングする（ステップ３０４）。図１５の例の場合は、Ｏｐｅｒａｔｉｏｎタグ内に“Ｐｒｉｎｔ”が含まれているもののみを抽出する。また、許可リストが許諾機能リストをマージして作成されている場合には、“Ｐｒｉｎｔ”の有無を確認することになる。ここで、“Ｐｒｉｎｔ”が含まれていなければ（ステップ３０５でＮ）、当該ユーザには、指定された保護電子文書に対する印刷権が付与されていないと判断して、「指定した文書の印刷権はありません」というエラーを操作パネル１３に表示したりする（ステップ３５１）。

“Ｐｒｉｎｔ”が含まれている場合（ステップ３０５でＹ）、制御部４８は、続いてフィルタリングにより残った検索結果を参照して、有効期間が満了していないものがあるかどうかをチェックする。なお、セキュリティポリシーサーバ３０側で有効期間の満了しているものは返さないようにしているので、この処理は、念のための処理である。有効期間満了前のものが無ければ（ステップ３０６でＮ）、「指定した文書の権利は有効期間を過ぎています」というエラーメッセージを表示して終了する（ステップ３５１）。

有効期間満了前のものが存在すれば（ステップ３０６でＹ）、印刷権があるものと判断されるので、制御部４８は、画像保持部４３に印刷イメージと文書ＩＤ、ユーザＩＤを一時格納し、保護紙文書生成部４４を呼び出す。保護紙文書生成部４４は、文書ＩＤ生成部４９に文書ＩＤを新たに生成させると、その生成した文書ＩＤをバーコードなどのコードパターンの画像イメージに変換するように文書ＩＤエンコード部４５に指示する。そして、保護紙文書生成部４４は、その文書ＩＤの画像イメージを、印刷対象の保護電子文書の印刷イメージのヘッダ部及び／又はフッタ部に合成することによって印刷する合成画像を生成する（ステップ３０７）。そして、印刷部４６は、生成された合成画像を印刷する（ステップ３０８）。このようにして保護電子文書が印刷されたときの用紙の模式図は、図１０に示されている。もちろん、文書ＩＤを透かしとして生成し、図１１に例示したように印刷してもよい。

続いて、制御部４８は、元の文書ＩＤ（派生元文書ＩＤ）、新たに生成された文書ＩＤ、ユーザＩＤ(操作者ＩＤ)、メディアタイプ（ここでは“紙”）、作成日時（現在時刻）、操作（ここでは“印刷”）の各パラメータを含む登録要求を生成し、セキュリティポリシーサーバ３０へ送信することによって保護電子文書の登録指示を出す（ステップ３０９）。なお、送信した登録要求に応じてセキュリティポリシーサーバ３０側において実行される処理については、「１．１ セキュリティポリシー登録」において前述したとおりである。

ここで、登録指示に応じてセキュリティポリシーサーバ３０から返信されてきた処理結果により登録処理が成功した旨を認識することによって（ステップ３１０でＹ）、処理の正常終了を確認する。一方、登録処理に失敗した旨がセキュリティポリシーサーバ３０から返信されてきた場合（ステップ３１０でＮ）、制御部４８は、エラー情報を操作パネル１３に表示したり、エラーログをＨＤＤ１５に記録したりして処理を終了する（ステップ３５１）。

３．２ 保護紙文書のコピー
この保護電子文書のコピー処理については、図２４に示したフローチャートを用いて説明する。

ユーザが複合機４０のプラテン、あるいはＡＤＦ（Ａｕｔｏ Ｄｏｃｕｍｅｎｔ Ｆｅｅｄｅｒ）上に保護紙文書を置き、操作パネル１３に表示された「保護文書のコピー」のボタンを押す。ユーザによる押下操作によりコピー指示を受け付けると（ステップ３１１）、制御部４８は、操作パネル１３にユーザ認証ダイアログを表示し、ユーザにユーザＩＤとパスワードの入力を求める。ユーザが入力すると、その入力されたユーザＩＤ及びパスワードをユーザ認証部４１に渡す。そして、ユーザ認証部４１は、その入力された情報が正しいかどうかを外部のユーザ認証サーバ２３に問い合わせて確認する（ステップ３１２）。ユーザ認証に成功すれば（ステップ３１３でＹ）、ユーザＩＤを保持する。失敗した場合は（ステップ３１３でＮ）、その旨を操作パネル１３に表示して（ステップ３２６）、処理を中断する。

ユーザ認証成功後、制御部４８は、保護紙文書をスキャンして画像を読み込み（ステップ３１４）、その画像イメージのヘッダおよびフッタ部の画像イメージを文書ＩＤデコード部４７にデコードさせることによって文書ＩＤを取得する（ステップ３１５）。なお、文書ＩＤが透かしにより保護紙文書に組み込まれている場合には、透かしをデコードすることになる。文書ＩＤのデコードに失敗して取得できなかった場合は（ステップ３１６でＮ）、その旨を操作パネル１３に表示し（ステップ３２６）、処理を中断する。

文書ＩＤのデコードに成功した場合（ステップ３１６でＹ）、制御部４８は、そのデコードした文書ＩＤ及びユーザ認証に用いたユーザＩＤの各パラメータを含む検索要求を生成し、セキュリティポリシーサーバ３０へ送信する（ステップ３１７）。なお、送信した検索要求に応じてセキュリティポリシーサーバ３０側において実行される処理については、「１．３ セキュリティポリシー検索」において前述したとおりである。

ここで、検索要求に応じてセキュリティポリシーサーバ３０から検索結果がない旨などのエラー情報が送られてくると（ステップ３１８でＮ）、制御部４８は、「コピー権がありません」などのエラーメッセージを操作パネル１３に表示して終了する（ステップ３２６）。一方、セキュリティポリシーサーバ３０から検索結果として許可リストが送られてくると（ステップ３１８でＹ）、その許可リストを参照し、「紙文書のコピー」が含まれているもののみにフィルタリングする（ステップ３１９）。図１５の例の場合は、Ｏｐｅｒａｔｉｏｎタグ内に“Ｃｏｐｙ”が含まれているもののみを抽出する。また、許可リストが許諾機能リストをマージして作成されている場合には、“Ｃｏｐｙ”の有無を確認することになる。ここで、“Ｃｏｐｙ”が含まれていなければ（ステップ３２０でＮ）、当該ユーザには、指定された保護電子文書に対するコピー権が付与されていないと判断して、「コピー権はありません」というエラーを操作パネル１３に表示して終了する（ステップ３２６）。

“Ｃｏｐｙ”が含まれている場合（ステップ３２０でＹ）、制御部４８は、続いてフィルタリングにより残った検索結果を参照して、有効期間が満了していないものがあるかどうかをチェックする。なお、セキュリティポリシーサーバ３０側で有効期間の満了しているものは返さないようにしているので、この処理は、念のための処理である。有効期間満了前のものが無ければ（ステップ３２１でＮ）、「権利は有効期間を過ぎています」というエラーメッセージを表示して終了する（ステップ３２６）。

有効期間満了前のものが存在すれば（ステップ３２１でＹ）、コピー権があるものと判断されるので、制御部４８は、画像保持部４３に印刷イメージと文書ＩＤ、ユーザＩＤを一時格納し、保護紙文書生成部４４を呼び出す。保護紙文書生成部４４は、文書ＩＤ生成部４９に文書ＩＤを新たに生成させると、その生成した文書ＩＤをバーコードなどのコードパターンの画像イメージに変換するように文書ＩＤエンコード部４５に指示する。そして、保護紙文書生成部４４は、その文書ＩＤの画像を、印刷対象の保護電子文書の印刷画像のヘッダ部及び／又はフッタ部に合成することによって印刷する合成画像を生成する（ステップ３２２）。そして、印刷部４６は、生成された合成画像を印刷する（ステップ３２３）。このようにして保護電子文書が印刷されたときの用紙の模式図は、図１０に示されている。もちろん、コピー対象の保護紙文書に文書ＩＤが透かしとして形成されている場合は、図１１に例示したように文書ＩＤを透かし２５として印刷する。このようにして、保護紙文書がコピーされる。本実施の形態では、特に文書ＩＤの読取画像をそのままコピー印刷するのではなく、いったんデコードし、そしてコピー印刷時に再度エンコードするようにしたので、紙文書に印刷した文書ＩＤデータは劣化しない。

続いて、制御部４８は、元の文書ＩＤ（派生元文書ＩＤ）、新たに生成された文書ＩＤ、ユーザＩＤ(操作者ＩＤ)、メディアタイプ（ここでは“紙”）、作成日時（現在時刻）、操作（ここでは“コピー”）の各パラメータを含む登録要求を生成し、セキュリティポリシーサーバ３０へ送信することによって保護電子文書の登録指示を出す（ステップ３２４）。なお、送信した登録要求に応じてセキュリティポリシーサーバ３０側において実行される処理については、「１．１ セキュリティポリシー登録」において前述したとおりである。

ここで、登録指示に応じてセキュリティポリシーサーバ３０から返信されてきた処理結果により登録処理が成功した旨を認識することによって（ステップ３２５でＹ）、処理の正常終了を確認する。一方、登録処理に失敗した旨がセキュリティポリシーサーバ３０から返信されてきた場合（ステップ３２５でＮ）、制御部４８は、エラー情報を操作パネル１３に表示したり、エラーログをＨＤＤ１５に記録したりして処理を終了する（ステップ３２６）。

３．３ 保護紙文書のスキャン
保護紙文書をスキャンすると、紙文書のイメージが電子化されることになるが、スキャン処理では、そのイメージを保護電子文書として生成する必要がある。保護紙文書のコピー処理においては、印刷媒体に印刷を行うことになるが、この保護電子文書のスキャン処理は、印刷媒体に印刷を行う代わりに電子データをいずれかの記憶手段に保存することになること以外は、基本的な処理内容は共通である。この保護電子文書のスキャン処理については、図２５に示したフローチャートを用いて説明する。

ユーザが複合機４０のプラテン、あるいはＡＤＦ上に保護紙文書を置き、操作パネル１３に表示された「保護文書のスキャン」のボタンを押す。ユーザによる押下操作によりスキャン指示を受け付けると（ステップ３３１）、制御部４８は、操作パネル１３にユーザ認証ダイアログを表示し、ユーザにユーザＩＤとパスワードの入力を求める。ユーザが入力すると、その入力されたユーザＩＤ及びパスワードをユーザ認証部４１に渡す。そして、ユーザ認証部４１は、その入力された情報が正しいかどうかを外部のユーザ認証サーバ２３に問い合わせて確認する（ステップ３３２）。ユーザ認証に成功すれば（ステップ３３３でＹ）、ユーザＩＤを保持する。失敗した場合は（ステップ３３３でＮ）、その旨を操作パネル１３に表示して（ステップ３４６）、処理を中断する。

ユーザ認証成功後、制御部４８は、保護紙文書をスキャンして画像を読み込み（ステップ３３４）、その画像イメージのヘッダおよびフッタ部の画像イメージを文書ＩＤデコード部４７にデコードさせることによって文書ＩＤを取得する（ステップ３３５）。なお、文書ＩＤが透かしにより保護紙文書に組み込まれている場合には、透かしをデコードすることになる。文書ＩＤのデコードに失敗して取得できなかった場合は（ステップ３３６でＮ）、その旨を操作パネル１３に表示し（ステップ３４６）、処理を中断する。

文書ＩＤのデコードに成功した場合（ステップ３３６でＹ）、制御部４８は、そのデコードした文書ＩＤ及びユーザ認証に用いたユーザＩＤの各パラメータを含む検索要求を生成し、セキュリティポリシーサーバ３０へ送信する（ステップ３３７）。なお、送信した検索要求に応じてセキュリティポリシーサーバ３０側において実行される処理については、「１．３ セキュリティポリシー検索」において前述したとおりである。

ここで、検索要求に応じてセキュリティポリシーサーバ３０から検索結果がない旨などのエラー情報が送られてくると（ステップ３３８でＮ）、制御部４８は、「スキャン権がありません」などのエラーメッセージを操作パネル１３に表示して終了する（ステップ３４６）。一方、セキュリティポリシーサーバ３０から検索結果として許可リストが送られてくると（ステップ３３８でＹ）、その許可リストを参照し、「紙文書のスキャン」が含まれているもののみにフィルタリングする（ステップ３３９）。図１５の例には含まれていないが、Ｏｐｅｒａｔｉｏｎタグ内に“Ｓｃａｎ”が含まれていれば、その含まれているもののみを抽出する。また、許可リストが許諾機能リストをマージして作成されている場合には、“Ｓｃａｎ”の有無を確認することになる。ここで、“Ｓｃａｎ”が含まれていなければ（ステップ３４０でＮ）、当該ユーザには、指定された保護電子文書に対するスキャン権が付与されていないと判断して、「スキャン権はありません」というエラーを操作パネル１３に表示して終了する（ステップ３４６）。

“Ｓｃａｎ”が含まれている場合（ステップ３４０でＹ）、制御部４８は、続いてフィルタリングにより残った検索結果を参照して、有効期間が満了していないものがあるかどうかをチェックする。なお、セキュリティポリシーサーバ３０側で有効期間の満了しているものは返さないようにしているので、この処理は、念のための処理である。有効期間満了前のものが無ければ（ステップ３４１でＮ）、「権利は有効期間を過ぎています」というエラーメッセージを表示して終了する（ステップ３４６）。

有効期間満了前のものが存在すれば（ステップ３４１でＹ）、スキャン権があるものと判断されるので、制御部４８は、画像保持部４３に読取画像と文書ＩＤ、ユーザＩＤを一時格納し、保護電子文書生成部４２を呼び出す。保護電子文書生成部４２は、文書ＩＤ生成部４９に文書ＩＤを新たに生成させると、画像保持部４３に格納した保護紙文書の画像イメージから文書ＩＤ画像を削除した後、予め決められた暗号鍵で暗号化し、その暗号化した電子文書画像のヘッダ部及び／又はフッタ部に、生成された文書ＩＤを合成することによって保存対象の保護電子文書を生成する（ステップ３４２）。そして、複合機４０のユーザがアクセス可能な場所、例えば当該ユーザの親展ボックスなどに格納する（ステップ３４３）。保護紙文書のスキャン処理においても、コピー処理と同様、文書ＩＤの読取画像をそのまま保存対象とするのではなく、いったんデコードし、そして再度エンコードするようにしたので、紙文書に印刷した文書ＩＤデータは劣化しない。なお、保護電子文書生成部４２における詳細な処理は、基本的にクライアントＰＣ５０における保護電子文書生成部５４の処理と同じである。このため、図８では、保護電子文書生成処理に関連する構成要素を省略している。

続いて、制御部４８は、元の文書ＩＤ（派生元文書ＩＤ）、新たに生成された文書ＩＤ、ユーザＩＤ(操作者ＩＤ)、メディアタイプ（ここでは“紙”）、作成日時（現在時刻）、操作（ここでは“スキャン”）の各パラメータを含む登録要求を生成し、セキュリティポリシーサーバ３０へ送信することによって保護電子文書の登録指示を出す（ステップ３４４）。なお、送信した登録要求に応じてセキュリティポリシーサーバ３０側において実行される処理については、「１．１ セキュリティポリシー登録」において前述したとおりである。

ここで、登録指示に応じてセキュリティポリシーサーバ３０から返信されてきた処理結果により登録処理が成功した旨を認識することによって（ステップ３４５でＹ）、処理の正常終了を確認する。一方、登録処理に失敗した旨がセキュリティポリシーサーバ３０から返信されてきた場合（ステップ３４５でＮ）、制御部４８は、エラー情報を操作パネル１３に表示したり、エラーログをＨＤＤ１５に記録したりして処理を終了する（ステップ３４６）。

実施の形態２．
実施の形態１においては、図５に示したセキュリティポリシーデータベース３５のデータ構成を参照すれば明らかなように、派生した時に適用されるポリシーの定義を、１つのポリシーＩＤが割り振られる１つのポリシー定義の中にすべて（オリジナル文書用と派生文書用）記述するようにしていた。このようにポリシーを定義すると、セキュリティポリシーサーバ３０におけるセキュリティポリシー検索部３３は、指定された文書がオリジナル文書なのか派生文書なのか、また、派生文書なら何回派生したのか、更にはどのような操作によって派生したのか、ということなどを、文書情報データベース３６を検索しながら認識した後、設定されたポリシーのうちどの部分の権利を適用するかを特定する必要があった。そこで、本実施の形態においては、ポリシーの定義における派生文書のポリシーは、オリジナル文書とは別のポリシーとして定義し、文書が派生により生成されるときに付与されるポリシーＩＤを指定する。

このようにすると、クライアントＰＣ５０側では、文書が派生により生成されたときにクライアントＰＣ５０側で登録するポリシーのＩＤを、派生する毎に変える必要が生じてくるが、セキュリティポリシーサーバ３０では、文書に適用するポリシーの検索時に、対象となる文書がオリジナル文書か派生文書かという文書種別、更に派生の回数、操作内容などを参照する必要がないので、ポリシー検索処理を単純に行うことができるようになる。

図２６は、本実施の形態におけるセキュリティポリシーサーバ３０のブロック構成図である。実施の形態１とは、セキュリティポリシー検索部３３の構成が異なる。すなわち、実施の形態１で行っていた対象文書がオリジナル文書か派生文書かという文書種別の判定が不要になるので、対象文書判定部が不要となる。但し、セキュリティポリシーデータベース３５のデータ構成が実施の形態１と異なるので、セキュリティポリシー検索部３３の処理内容は、一部異なってくる。

図２７は、本実施の形態におけるセキュリティポリシーデータベース３５のデータ構成例を示した図である。実施の形態１で用いたデータ構成と比較すると、各ポリシーは、対象文書毎にポリシーは規定されないので「対象文書」のデータ項目はなくなっている。その代り、「派生時ポリシーＩＤ」いうデータ項目が追加されている。「派生時ポリシーＩＤ」には、文書が派生により生成された場合、その派生文書に指定すべきポリシーＩＤが設定される。図２７に示した設定例によると、例えば、ポリシーＩＤ“０００１”のポリシーが適用されたオリジナル文書あるいは派生文書を、ソフトウェア開発部に属するユーザがコピーすると、コピーにより新たに生成された紙文書には、ポリシーＩＤ“０００２”のポリシーが適用されることになる。

図２８は、本実施の形態におけるセキュリティポリシーデータベース３５の他のデータ構成例を示した図である。図２８に例示したデータ構成のように、派生により生成される文書に付与するポリシーを、行われる操作毎に細かく指定できるようにしてもよい。

図２９は、本実施の形態における文書情報データベース３６のデータ構成例を示した図である。実施の形態１と異なるのは、派生した文書に対してもポリシーＩＤが設定されていることである。従って、当該文書がオリジナル文書か派生文書かの別は、派生元文書ＩＤにデータが設定されているか否かによって判断する。

次に、本実施の形態における処理について説明するが、ここでは、実施の形態１と異なる処理についてのみ説明する。なお、以降の説明で用いるフローチャートにおいて、実施の形態１と同じ処理には、同じステップ番号を付ける。

１．セキュリティポリシーサーバ３０の動作
セキュリティポリシーサーバ３０は、外部機器４０，５０に対して、セキュリティポリシーの登録、一覧応答、検索の３つの機能を提供するが、本実施の形態では、検索の機能のみが実施の形態１と異なる。

１．１ セキュリティポリシー検索
本実施の形態におけるセキュリティポリシー検索処理については、図３０に示したフローチャートを用いて説明する。

外部機器からの検索要求によりセキュリティポリシー検索部３３が呼び出されると、セキュリティポリシー検索部３３は、まず、検索要求に指定されている文書ＩＤに基づき文書情報データベース３６を検索する（ステップ１０１）。該当するレコードが取得できた場合（ステップ１０２でＹ）、そのレコードに含まれているポリシーＩＤのエントリーをセキュリティポリシーデータベース３５から検索する（ステップ１０３）。エントリーが取得できた場合（ステップ１０４でＹ）、セキュリティポリシー検索部３３は、そのエントリーの利用範囲を参照して検索要求に指定されているユーザＩＤのユーザが所属するユーザグループのみをフィルタリングして抽出する（ステップ１０６）。例えば、図２７のポリシーＩＤ“０００１”において、問い合わせたユーザが作成者でなく、ソフトウェア開発部に属している場合は、派生文書におけるソフトウェア開発部のみを抽出することになる。作成者かどうかは、指定された文書の派生関係を辿ってオリジナル文書を特定し、そのオリジナル文書の文書ＩＤのレコードの操作者ＩＤが検索要求を送信したユーザのユーザＩＤと一致するかで判断する。本実施の形態では、このように検索対象となった文書が派生文書であっても、オリジナル文書の作成者を作成者とみなす。もし、何も検索されなかった場合は、空（ＮＵＬＬ）を返すことになる。

なお、ソフトウェア開発部等ユーザがどのユーザグループに所属しているかは、ユーザグループと当該ユーザグループに属するユーザとの対応関係が定義されたユーザ情報データベース（図示せず）を参照することで特定するようにしてもよい。また、本実施の形態におけるセキュリティポリシーデータベース３５には、実施の形態１と同様に、当該ポリシーの適用者を特定する適用者情報として利用範囲が設定されるが、仮に利用範囲に項目を設定しない場合、つまり全ユーザ共通にポリシーを設定する場合は、ポリシーＩＤには、１エントリーのみが対応付けられることになるため、ステップ１０３においてエントリーを検索する必要がなくなる。

ユーザが所属するユーザグループが抽出できた場合（ステップ１０７でＹ）、抽出できた各エントリーにつき有効期限のチェックを行う（ステップ１０８）。すなわち、抽出した各エントリーの利用範囲の項目に関して、文書ＩＤのエントリーの作成日時から、それぞれ有効期間満了日を生成する。もし、有効期間満了日が現在時刻より前だったら、抽出したエントリーの中から当該エントリーを削除する。エントリーが残った場合において（ステップ１０９でＹ）、許可リストを作成する（ステップ１１０）。１つのエントリーのみが残ればそのエントリーをそのまま許可リストとする。複数のエントリーが残った場合、その残った利用範囲の項目の許諾リストをマージして許可リストを作成する。また、有効期間満了日時は最も長いものを選択する。

以上のようにして作成した許可リストを検索結果として、検索要求送信元の外部機器に返す（ステップ１１１）。以上の処理において該当するレコード、エントリーが存在しなかった場合（ステップ１０２でＮ，ステップ１０４でＮ，ステップ１０７でＮ，ステップ１０９でＮ）、その旨を示すエラー情報を作成して（ステップ１１２）、検索要求送信元の外部機器に返す（ステップ１１３）。

以上の処理の結果、検索要求送信元へ返すポリシー検索結果の例を図３１に示す。図３１と、対応する実施の形態１の図１５とを比較すれば明らかなように、本実施の形態では、検索結果の中に派生時のポリシーＩＤ（図３１では“０００２”）が追加されている。

また、本実施の形態において用いるセキュリティポリシーデータベース３５が図２８に示したように操作毎にポリシーが設定できるように構成されている場合のポリシー検索結果の例を図３２に示す。

２．クライアントＰＣ５０の動作
本実施の形態におけるクライアントＰＣ５０の構成は、実施の形態１と同じでよい。厳密には、保護電子文書生成部５４の処理内容、具体的には文書が派生した場合に実施される処理が異なってくるのみである。クライアントＰＣ５０において、文書が派生するのは、電子文書の保存処理が実施されるときのみである。

２．１ 保護電子文書の保存
保護電子文書の保存処理においては、保存対象の文書ファイルが生成されたときに、その文書に対して文書ＩＤを付け直し、その文書の関連する情報をセキュリティポリシーサーバ５０に登録するが、その際、派生文書のポリシーに、セキュリティポリシーデータベース３５に登録されている当該ポリシーに指定された派生時ポリシーＩＤを設定することである。本実施の形態における保存処理のフローチャートは、実施の形態１における保護電子文書の確定保存処理のフローチャート（図２２）と同様に表すことができるので図２２を流用する。

ユーザが文書処理アプリケーション上で所定の保存ボタンをクリック等により選択すると、制御部６１は、そのユーザ操作に応じた保存要求を受け付ける（ステップ２６１）。そして、制御部６１は、文書保持部５７に保存されている電子文書に文書ＩＤが付与されていたら、保護電子文書であると判断し、文書ＩＤ生成部５５に文書ＩＤを生成させ（ステップ２６２）、元の文書ＩＤ（派生元文書ＩＤ）、新たに生成した文書ＩＤ、ユーザＩＤ(操作者ＩＤ)、メディアタイプ（ここでは“電子”）、作成日時（現在時刻）、操作（ここでは“編集”）に加えて派生時ポリシーＩＤの各パラメータを含む登録要求を生成し、セキュリティポリシーサーバ３０へ送信することによって保護電子文書の登録指示を出す（ステップ２６３）。なお、送信した登録要求に応じてセキュリティポリシーサーバ３０側において実行される処理については、実施の形態１の「１．１ セキュリティポリシー登録」において前述したとおりである。また、派生時ポリシーＩＤは、文書処理アプリケーションを用いて対象文書を開いたときに、ポリシー検索を行って得られた結果をＲＡＭ１８上に保存しておき、その中で指定されているものを用いるようにしてもよい。また、文書保持部５７に保存されている電子文書の文書ＩＤを新たに生成した文書ＩＤで書き換えておく。

ここで、登録指示に応じてセキュリティポリシーサーバ３０から返信されてきた処理結果により登録処理が成功した旨を認識すると（ステップ２６４でＹ）、制御部６１は、保護されていない文書を予め決められた暗号鍵で暗号化し、付与された文書ＩＤを関連付けして、保護電子文書として保護電子文書記憶部５３に書込保存する（ステップ２６５）。

なお、登録処理に失敗した旨がセキュリティポリシーサーバ３０から返信されてきた場合（ステップ２６４でＮ）、制御部６１は、エラー情報をディスプレイ８に表示するなどしてユーザにその旨を知らせる（ステップ２６６）。

ここで説明した保護電子文書の保存において、文書を保存する操作を、印刷やコピーなどの操作と同様に独立した権限として取り扱うようにしてもよい。この場合、文書処理アプリケーションは、保存処理を実施する前に、編集処理の場合と同様に権利の確認を行うことになる。

３．複合機４０の動作
複合機４０においては、保護文書に対する印刷、コピー、スキャンのいずれの処理でも派生文書の生成が行われる。実施の形態１と異なるのは、派生文書を登録する際、派生文書のポリシーに、セキュリティポリシーデータベース３５に登録されている当該ポリシーに指定された派生時ポリシーＩＤを設定することである。

３．１ 保護電子文書の印刷
本実施の形態における印刷処理は、実施の形態１に示したフローチャート（図２３）と同様に表すことができるので、このフローチャートを流用する。本実施の形態は、図２３におけるステップ３０９の処理が異なるのみであり、これ以外の処理については説明を省略する。

ステップ３０９において、制御部４８は、元の文書ＩＤ（派生元文書ＩＤ）、新たに生成された文書ＩＤ、操作（ここでは“印刷”）に加えて派生時ポリシーＩＤの各パラメータを含む登録要求を生成し、セキュリティポリシーサーバ３０へ送信することによって保護電子文書の登録指示を出す。なお、派生時ポリシーＩＤは、検索要求に応じてセキュリティポリシーサーバ３０から送られてきた許可リストに含まれている。

３．２ 保護紙文書のコピー
本実施の形態におけるコピー処理は、実施の形態１に示したフローチャート（図２４）と同様に表すことができるので、このフローチャートを流用する。本実施の形態は、図２４におけるステップ３２４の処理が異なるのみであり、これ以外の処理については説明を省略する。

ステップ３２４において、制御部４８は、元の文書ＩＤ（派生元文書ＩＤ）、新たに生成された文書ＩＤ、ユーザＩＤ(操作者ＩＤ)、メディアタイプ（ここでは“紙”）、作成日時（現在時刻）、操作（ここでは“コピー”）に加えて派生時ポリシーＩＤの各パラメータを含む登録要求を生成し、セキュリティポリシーサーバ３０へ送信することによって保護電子文書の登録指示を出す。なお、派生時ポリシーＩＤは、検索要求に応じてセキュリティポリシーサーバ３０から送られてきた許可リストに含まれている。

３．３ 保護紙文書のスキャン
本実施の形態におけるスキャン処理は、実施の形態１に示したフローチャート（図２５）と同様に表すことができるので、このフローチャートを流用する。本実施の形態は、図２５におけるステップ３４４の処理が異なるのみであり、これ以外の処理については説明を省略する。

ステップ３４４において、制御部４８は、元の文書ＩＤ（派生元文書ＩＤ）、新たに生成された文書ＩＤ、ユーザＩＤ(操作者ＩＤ)、メディアタイプ（ここでは“紙”）、作成日時（現在時刻）、操作（ここでは“スキャン”）に加えて派生時ポリシーＩＤの各パラメータを含む登録要求を生成し、セキュリティポリシーサーバ３０へ送信することによって保護電子文書の登録指示を出す。なお、派生時ポリシーＩＤは、検索要求に応じてセキュリティポリシーサーバ３０から送られてきた許可リストに含まれている。

本発明に係るポリシー管理システムの一実施の形態を示した全体構成図である。 実施の形態１におけるセキュリティポリシーサーバを形成するサーバコンピュータのハードウェア構成図である。 実施の形態１における複合機のハードウェア構成図である。 実施の形態１におけるセキュリティポリシーサーバのブロック構成図である。 実施の形態１におけるセキュリティポリシーデータベースのデータ構成例を示した図である。 実施の形態１における文書情報データベースのデータ構成例を示した図である。 実施の形態１におけるクライアントＰＣのブロック構成図である。 実施の形態１における複合機のブロック構成図である。 実施の形態１において用いる保護電子文書のデータ構成例を示した図である。 実施の形態１において用いる保護紙文書を用紙に印刷したときの例を示した模式図である。 実施の形態１において用いる保護紙文書を用紙に印刷したときの他の例を示した模式図である。 実施の形態１において外部機器から送られてくるセキュリティポリシーの登録要求の例を示した図である。 実施の形態１におけるセキュリティポリシーサーバが生成するポリシー一覧リストの例を示した図である。 実施の形態１におけるセキュリティポリシー検索処理を示したフローチャートである。 実施の形態１におけるセキュリティポリシー検索処理により得られた検索結果の例を示した図である。 実施の形態１のクライアントＰＣにおける保護電子文書の生成処理を示したフローチャートである。 実施の形態１のクライアントＰＣにおける保護電子文書の閲覧処理を示したフローチャートである。 実施の形態１のクライアントＰＣにおける保護電子文書の編集処理を示したフローチャートである。 実施の形態１のクライアントＰＣにおける保護電子文書の印刷処理を示したフローチャートである。 実施の形態１のクライアントＰＣにおいて権利確認を行う場合の保護電子文書の印刷処理を示したフローチャートである。 実施の形態１のクライアントＰＣにおける保護電子文書の一時保存処理を示したフローチャートである。 実施の形態１のクライアントＰＣにおける保護電子文書の確定保存処理を示したフローチャートである。 実施の形態１の複合機における保護電子文書の印刷処理を示したフローチャートである。 実施の形態１の複合機における保護紙文書のコピー処理を示したフローチャートである。 実施の形態１の複合機における保護紙文書のスキャン処理を示したフローチャートである。 実施の形態２におけるセキュリティポリシーサーバのブロック構成図である。 実施の形態２におけるセキュリティポリシーデータベースのデータ構成例を示した図である。 実施の形態２におけるセキュリティポリシーデータベースの他のデータ構成例を示した図である。 実施の形態２における文書情報データベースのデータ構成例を示した図である。 実施の形態２におけるセキュリティポリシー検索処理を示したフローチャートである。 実施の形態２において図２７に示したセキュリティポリシーデータベースを利用した場合にセキュリティポリシー検索処理により得られた検索結果の例を示した図である。 実施の形態２において図２８に示したセキュリティポリシーデータベースを利用した場合にセキュリティポリシー検索処理により得られた検索結果の例を示した図である。

符号の説明

１，２１ ＣＰＵ、２，１９ ＲＯＭ、３，１８ ＲＡＭ、４，１５ ハードディスクドライブ（ＨＤＤ）、５ ＨＤＤコントローラ、６ マウス、７ キーボード、８ ディスプレイ、９ 入出力コントローラ、１０ ネットワークコントローラ、１１ 内部バス、１２ アドレスデータバス、１３ 操作パネル、１４ スキャナ、１６ プリンタエンジン、１７ ネットワークインタフェース（Ｉ／Ｆ）、２０ 外部メディアインタフェース（Ｉ／Ｆ）、２２ ＬＡＮ、２３ ユーザ認証サーバ、３０ セキュリティポリシーサーバ、３１ セキュリティポリシー登録部、３２ セキュリティポリシー一覧応答部、３３ セキュリティポリシー検索部、３４ 対象文書判定部、３５ セキュリティポリシーデータベース、３６ 文書情報データベース、４０ 複合機、４１，５９ ユーザ認証部、４２，５４ 保護電子文書生成部、４３ 画像保持部、４４ 保護紙文書生成部、４５ エンコード部、４６ 印刷部、４７ デコード部、４８，６１ 制御部、４９，５５ 文書ＩＤ生成部、５０ クライアントＰＣ、５１ アプリケーション実行部、５２ 非保護文書記憶部、５３ 保護電子文書記憶部、５６ 文書編集部、５７ 文書保持部、５８ 文書表示部、６０ 保護文書印刷部。

Claims (5)

1. ポリシーの設定対象となるデータがオリジナルデータか、既存データから派生して生成された派生データかの別を示すデータ種別情報毎にポリシーの設定内容が対応付けされたポリシー設定情報に、当該ポリシーの識別情報を対応付けして記憶するポリシー情報記憶手段と、
   ポリシーの設定対象となるデータの識別情報に、当該データがオリジナルデータの場合には当該データに付与するポリシーの識別情報を対応付け、当該データが派生データの場合には派生データである旨を識別する情報として派生元となるデータの識別情報を対応付けて記憶するデータ情報記憶手段と、
   データの識別情報が指定された検索要求に応じて、前記データ情報記憶手段を参照することにより検索要求に識別情報が指定されたデータに対応するポリシーの識別情報が取得できた場合は当該検索要求対象のデータをオリジナルデータと判定し、ポリシーの識別情報が取得できなかった場合は当該検索要求対象のデータを派生データと判定するとともに、当該派生データの識別情報に対応付けられている派生元となるオリジナルデータの識別情報を特定することによって当該特定したオリジナルデータの識別情報に対応付けられているポリシーの識別情報を取得し、取得したポリシーの識別情報及び検索要求対象のデータの種別に基づき前記ポリシー情報記憶手段を検索することによって特定したポリシーの設定内容を検索要求元へ返す検索手段と、
   を有することを特徴とするセキュリティポリシー管理装置。
2. 請求項１記載のセキュリティポリシー管理装置において、
   登録対象となるデータの識別情報及び当該データに対して付与するポリシーの識別情報を含むデータの登録要求を受け付けた場合、その登録要求に含まれているデータの識別情報とポリシーの識別情報を対応付けして前記データ情報記憶手段に登録する第１の登録手段と、
   登録対象となるデータの識別情報及び当該データの派生元となるデータの識別情報を含むデータの登録要求を受け付けた場合、その登録要求に含まれているデータの識別情報と派生元となるデータの識別情報を対応付けして前記データ情報記憶手段に登録する第２の登録手段と、
   を有することを特徴とするセキュリティポリシー管理装置。
3. 請求項１記載のセキュリティポリシー管理装置において、
   前記ポリシー情報記憶手段に記憶されたポリシー設定情報には、データ種別情報が派生データを示す場合の派生回数により異なるポリシーの設定内容が対応付けして含まれており、
   前記検索手段は、検索要求に識別情報が指定されたデータが派生データであると特定した場合、前記データ情報記憶手段に記憶されている当該派生データの派生元となるデータの識別情報からポリシーの識別情報が出現するまでに参照した派生元となるデータの識別情報の数をカウントすることにより当該派生データが生成されるまでに行われたオリジナルデータからの派生の回数を特定し、その特定した派生の回数、出現したポリシーの識別情報及び検索要求対象のデータの種別に基づき前記ポリシー情報記憶手段を検索することによって特定したポリシーの設定内容を検索要求元へ返すことを特徴とするセキュリティポリシー管理装置。
4. ポリシーの設定対象となるデータがオリジナルデータか、既存データから派生して生成された派生データかの別を示すデータ種別情報毎にポリシーの設定内容が対応付けされたポリシー設定情報に、当該ポリシーの識別情報を対応付けして記憶するポリシー情報記憶手段と、
   ポリシーの設定対象となるデータの識別情報に、当該データがオリジナルデータの場合には当該データに付与するポリシーの識別情報を対応付け、当該データが派生データの場合には派生データである旨を識別する情報として派生元となるデータの識別情報を対応付けて記憶するデータ情報記憶手段と、
   を有するセキュリティポリシーサーバコンピュータを、
   データの識別情報が指定された検索要求に応じて、前記データ情報記憶手段を参照することにより検索要求に識別情報が指定されたデータに対応するポリシーの識別情報が取得できた場合は当該検索要求対象のデータをオリジナルデータと判定し、ポリシーの識別情報が取得できなかった場合は当該検索要求対象のデータを派生データと判定するとともに、当該派生データの識別情報に対応付けられている派生元となるオリジナルデータの識別情報を特定することによって当該特定したオリジナルデータの識別情報に対応付けられているポリシーの識別情報を取得し、取得したポリシーの識別情報及び検索要求対象のデータの種別に基づき前記ポリシー情報記憶手段を検索することによって特定したポリシーの設定内容を検索要求元へ返す検索手段、
   として機能させるためのセキュリティポリシー管理プログラム。
5. セキュリティポリシーサーバコンピュータと、
   セキュリティポリシーの設定に用いるクライアントコンピュータと、
   を有し、
   前記セキュリティポリシーサーバコンピュータは、
   ポリシーの設定対象となるデータがオリジナルデータか、既存データから派生して生成された派生データかの別を示すデータ種別情報毎にポリシーの設定内容が対応付けされたポリシー設定情報に、当該ポリシーの識別情報を対応付けして記憶するポリシー情報記憶手段と、
   ポリシーの設定対象となるデータの識別情報に、当該データがオリジナルデータの場合には当該データに付与するポリシーの識別情報を対応付け、当該データが派生データの場合には派生データである旨を識別する情報として派生元となるデータの識別情報を対応付けて記憶するデータ情報記憶手段と、
   データの識別情報が指定された検索要求に応じて、前記データ情報記憶手段を参照することにより検索要求に識別情報が指定されたデータに対応するポリシーの識別情報が取得できた場合は当該検索要求対象のデータをオリジナルデータと判定し、ポリシーの識別情報が取得できなかった場合は当該検索要求対象のデータを派生データと判定するとともに、当該派生データの識別情報に対応付けられている派生元となるオリジナルデータの識別情報を特定することによって当該特定したオリジナルデータの識別情報に対応付けられているポリシーの識別情報を取得し、取得したポリシーの識別情報及び検索要求対象のデータの種別に基づき前記ポリシー情報記憶手段を検索することによって特定したポリシーの設定内容を検索要求元へ返す検索手段と、
   を有し、
   前記クライアントコンピュータは、
   データの識別情報を含む検索要求を前記セキュリティポリシーサーバコンピュータに送信する手段を有することを特徴とするセキュリティポリシー管理システム。

Images