JP2008160485A - 文書管理システム及び文書管理方法、文書管理サーバ、作業端末、並びにプログラム - Google Patents

Abstract

【課題】文書漏洩を高水準で抑止し、文書が仮に漏洩した場合にもその法的責任を明確にする履歴情報を管理することが可能な文書管理システムを提供する。
【解決手段】作業端末３には文書を暗号化して持たせる。作業端末３で文書を利用する場合、暗号鍵要求手段２４により文書管理サーバ２から暗号鍵の提供を受け復号し平文化する。文書管理サーバ２は、暗号鍵を提供した作業端末３のイベントを監視し、証拠性情報記憶手段８に保存する。文書を閉じる際には、作業端末３は、文書を暗号化して保存し平文文書及び暗号鍵は消去する。そして、文書管理サーバ２による監視も終了させる。作業端末３には、作業時以外は文書が暗号化して保存され、暗号鍵も残らないため文書漏洩を高水準で抑止できる。作業端末３のイベントが証拠性情報記憶手段８に保存されるため、文書が仮に漏洩した場合にもその法的責任を明確にできる。
【選択図】図２

Description

本発明は、秘密文書の管理を行う文書管理技術に関し、特に、管理文書の漏洩を抑止すると共に、当該管理文書にアクセスする者を監視することが可能な文書管理技術に関する。

組織内で管理されている管理文書を、出張先や自宅においてノートパソコン等の作業端末で利用する場合が多い。例えば、保険の外交などにおいて、顧客の事務所などにおいて保健サービスの説明を行う際に、顧客の個人情報を用いてシミュレーションを行う場合、顧客に関する個人情報をノートパソコン等に記憶させて出先に持ち出す必要がある。また、出張先や自宅に持ち帰って修正・加筆を行い翌日の仕事に間に合わせたい場合に、管理文書をノートパソコン等に記憶させて出張先や自宅に持ち出す必要がある。

このように、管理文書を外部に持ち出す場合には、漏洩に対するリスクが生じる。漏洩に対するリスクとしては、（１）組織の構成員が管理文書を意図的に漏洩させるリスク、（２）作業端末の盗難により管理文書が漏洩するリスク、（３）コンピュータ・ウイルスなどにより、ネットワーク経由で管理文書が漏洩するリスクなどが想定される。従って、これらのリスクを回避し、管理文書が外部に漏洩することを抑止する必要がある（情報漏洩の抑止）。

また、万一、管理文書の情報が外部に漏洩した場合、その情報漏洩のルートを追跡し、後に立証可能とする証拠を残すことで、組織としての管理責任や管理文書を持ち出した者の責任を明確にすることは、リスク管理の上で極めて重要である（証拠性情報の記録）。

管理文書の漏洩を防止する技術としては、シンクライアント（thin client）技術がある。シンクライアント・システムとは、組織の情報システムにおいて、その構成員が使う作業端末(クライアント)に最低限の機能しか持たせず、サーバ側でアプリケーションソフトやファイルなどの資源を管理するシステムをいう。このように、作業端末に、一切の管理文書を保存させないようにすることで、作業端末の盗難などにより管理文書が漏洩することを防止することができる。また、管理文書を用いて作業を行う際、すべてサーバ側に情報の要求を行うことが必要なため、サーバ側においてその管理文書にアクセスした者及びアクセス内容並びに作業内容を特定し、証拠性情報の記録を行うことが叶野である。更に、アプリケーションをサーバ側で管理するため、コンピュータ・ウイルスによる意図しない情報漏洩に関しても効果的に防止することができる。

また、同じく管理文書の漏洩を防止する技術としては、バーチャルマシン技術を挙げることができる。バーチャルマシン（仮想機械）では、一つのＯＳ内に別の仮想ＯＳを用意し、仮想ＯＳ内では、極めて厳重な情報管理を行うようにしたものである。この技術を用いれば、個人の持ち物のノートパソコンであっても、バーチャルマシンの中に入った情報は、極めて厳重に管理を行うことができる。

一方、文書管理技術ではないが、著作権のある音楽等のコンテンツの著作権保護を行う技術として、ＤＲＭ（Digital Rights Management）技術が広く用いられている。ＤＲＭ技術においては、使用者の再生権限をチェックしながら再生装置からコンテンツの再生を行うことによって、再生ソフトの管理や再生権限の管理が行われる。
特開２００５−２２２１５５号公報

しかしながら、上記シンクライアント技術では、ハードディスクなどの外部記憶装置を持たない特別な作業端末が必要とされる。従って、市販のノートパソコン等の作業端末や使い慣れた市販のアプリケーションソフトは使用することができず、利便性に欠けるという欠点がある。

また、バーチャルマシン技術は、バーチャルマシンをＯＳ上で動作させるため、一般に使用されているノートパソコン等の作業端末では非常に動作が遅く、使いづらいという欠点がある。従って、実用化までにはまだ時間を要し、現在はまだ研究段階にあるといえる。

また、ＤＲＭ技術は、著作権のあるコンテンツの保護に特化した技術であり、一般的には、コンテンツの編集までをも想定していない。すなわち、完成されたコンテンツをいかに保護・管理するかを主要な課題とする技術である。しかしながら、管理文書の作業端末での使用における文書管理を目的とする場合、管理文書の編集が作業端末において行われることを前提とする必要がある。従って、ＤＲＭ技術を、前記目的の文書管理の場合にそのまま適用することはできない。

ところで、シンクライアント技術、バーチャルマシン技術などは、いずれも、情報の漏洩に対して、これを徹底的に防止することを目的としている。しかしながら、情報漏洩を徹底的に防止しようとすると、管理システムも大がかりなものとなり、必然的に漏洩防止のためのコストが嵩む。従って、小規模な組織でこのような情報管理システムを導入することは困難な場合が多い。

一方で、用途によっては、一定レベルの管理文書の漏洩抑止効果があれば十分な場合や、できる限り低コストで一定の管理文書の漏洩抑止を行いたい場合がある。このような用途においては、管理文書の漏洩をある程度の高レベルで容易にできなくするとともに、仮に漏洩したとしても、どの範囲まで漏洩したのか、誰が漏洩させたのか、漏洩させた者に法的責任はあるのか、などといったことを特定できるだけの履歴情報を管理する技術が求められる。

そこで、本発明の目的は、管理文書の漏洩を一定の高水準で抑止するとともに、その管理文書が仮に漏洩した場合にもその法的責任を明確にする履歴情報を管理することが可能で、且つ、市販の作業端末やアプリケーションでの使用が可能で管理文書の修正等も可能な文書管理技術を提供することにある。

本発明に係る文書管理システムは、
管理対象である電子化された文書（以下「管理文書」という。）の秘密管理を行う文書管理システムであって、
文書管理サーバと、
前記文書管理サーバとネットワークを介して接続される一乃至複数の作業端末と、
を備え、
前記文書管理サーバは、
前記各管理文書を暗号化又は復号するための暗号鍵を記憶する暗号鍵記憶手段と、
前記各作業端末で実行されるイベントのうち所定の種類のイベント及びそれを実行したプロセスを特定する情報である証拠性情報を記憶する証拠性情報記憶手段と、
前記各作業端末を使用する使用者を認証するための認証情報を記憶する認証情報記憶手段と、
監視状態にない前記作業端末からの前記認証情報を受信した場合、当該認証情報を前記認証情報記憶手段に記憶された当該作業端末の認証情報と照合するともに、両者が一致した場合には、当該作業端末に認証確認信号を送信するサーバ側認証手段と、
前記認証確認信号を送信された作業端末から特定の管理文書の鍵要求を受信した場合、当該作業端末に対して、前記暗号鍵記憶手段に記憶された当該管理文書の暗号鍵（以下「初期復号鍵」という。）、及び当該管理文書を再暗号化する際の暗号鍵（以下「次期暗号鍵」という。）を、送信する暗号鍵送信手段と、
前記認証確認信号を送信した作業端末又は前記初期復号鍵及び次期暗号鍵を送信した作業端末を、監視状態に設定するサーバ側監視化手段と、
監視状態にある前記作業端末から受信される前記各証拠性情報を前記証拠性情報記憶手段に保存する証拠性情報収集手段と、
監視状態にある前記作業端末から管理文書の再暗号化の証拠性情報を受信した場合、当該作業端末の監視状態を解除する監視解除手段と、を備え、
前記各作業端末は、
暗号化された前記管理文書（以下「暗号化管理文書」という。）を記憶する文書記憶手段と、
前記管理サーバから受信する暗号鍵を一時的に記憶する暗号鍵一時記憶手段と、
前記文書記憶手段に記憶された前記管理文書を開く際に、前記文書管理サーバに対し認証情報を送信する端末側認証手段と、
前記文書管理サーバから認証確認情報を受信した場合において、前記文書管理サーバに対して鍵要求を送信する暗号鍵要求手段と、
前記文書管理サーバから初期復号鍵及び次期暗号鍵を受信した場合、前記次期暗号鍵を前記暗号鍵一時記憶手段に保存するとともに、前記初期復号鍵により前記暗号化管理文書を復号して平文化した管理文書（以下「平文管理文書」という。）を作成する文書復号手段と、
前記認証確認情報を受信した場合又は前記初期復号鍵及び次期暗号鍵を受信した場合に、自己を監視状態に設定する端末側監視化手段と、
自己が監視状態にある場合、当該作業端末で実行されるすべてのイベントのうち所定の種類のイベント及びそれを行ったプロセスの情報である証拠性情報を収集する証拠性情報取得手段と、
前記証拠性情報を前記文書管理サーバに送信する証拠性情報送信手段と、
監視状態において前記管理文書を閉じる場合、前記暗号鍵一時記憶手段に記憶された次期暗号鍵により前記平文管理文書を暗号化して暗号化管理文書を作成し前記文書記憶手段に保存するとともに、前記次期暗号鍵及び前記平文管理文書を消去し監視状態を解除する再暗号化手段と、を備えたことを特徴とする。

この構成によれば、まず、管理文書は暗号化された状態で、暗号化管理文書として作業端末の文書記憶手段に記憶されている。この状態においては、復号鍵がない限り管理文書を第三者が閲覧することはできないため、管理文書の秘密性は保たれる。使用者が、作業端末から管理文書を用いて作業を行う場合、まず、端末側認証手段が文書管理サーバに対して自己の認証情報を送信する。このとき当該作業端末はまだ監視状態にはない。サーバ側認証手段は、監視状態にない作業端末から認証情報を受信すると、当該認証情報に基づいて使用者の認証が行われる。認証に成功すると、作業端末に認証確認信号が送信される。次いで、作業端末で認証確認情報を鍵要求手段が受信された場合において、鍵要求手段が文書管理サーバに鍵要求を送信すると、文書管理サーバの暗号鍵送信手段は、当該作業端末に初期復号鍵と次期暗号鍵を送信する。作業端末では、端末側監視化手段が、認証確認情報を受信した場合又は初期復号鍵と次期暗号鍵を受信した場合に、自己を監視状態に設定する。監視状態に設定されると、証拠性情報監視手段は、作業端末で実行される全てのイベントのうちの所定の種類のイベント及びそれを行ったプロセスの情報である証拠性情報を収集し、証拠性情報送信手段がこれを文書管理サーバに送信する。これにより、監視状態にある間は、作業端末は文書管理サーバに監視された状態とされる。文書管理サーバでは、サーバ側監視化手段が認証確認信号を送信した作業端末又は初期復号鍵及び次期暗号鍵を送信した作業端末を監視状態に設定し、その監視状態に設定された作業端末から送信されてくる証拠性情報を、証拠性情報収集手段が証拠性情報記憶手段に保存する。これにより、管理文書に対して作業端末でなされた操作が文書管理サーバに検証可能な状態で保存される。

監視状態において、作業端末の文書復号手段が、受信した初期復号鍵を用いて暗号化管理文書を復号し、平文管理文書を生成する。これにより、作業端末で管理文書を利用することができるが、管理文書を利用している間は、文書管理サーバにおいてイベントの監視が行われる。管理文書を閉じる場合には、作業端末の再暗号化手段が、次期暗号鍵により平文管理文書を暗号化して暗号化管理文書を作成し文書記憶手段に保存するとともに、次期暗号鍵及び前記平文管理文書を消去し監視状態を解除する。また、文書管理サーバの監視解除手段は、監視状態にある作業端末から管理文書の再暗号化の証拠性情報を受信すると、当該作業端末の監視状態を解除する。これにより、作業端末には再暗号化された管理文書が残るが、この再暗号化された管理文書の復号鍵は作業端末側にはないため、管理文書の秘密性は確保される。

このように、作業端末が監視状態にある間に限り、管理文書を作業端末で利用することができ、作業端末が監視状態にない間は、管理文書は暗号化され、作業端末側にその復号鍵が残らない。また、管理文書の暗号鍵は、全て文書管理サーバが管理する。従って、暗号鍵の保管に関しても安全性が保障される。故に、管理文書の漏洩を一定の高水準で抑止することが可能となる。

また、作業端末が監視状態にある間に管理文書が仮に漏洩した場合にも、作業端末で行われたイベントに関する証拠性情報が、文書管理サーバに検証可能な履歴として残されるため、その漏洩の法的責任を明確にすることができる。

更に、作業端末が監視状態にある間は、管理文書を平文化して利用することができるので、市販の作業端末やアプリケーションでの使用が可能で管理文書の修正等も可能となる。

ここで、「文書」とは、文字で記載された文書に限定されるものではなく、図画、写真等も含む一般的な書面を意味する。「イベント」とは、オブジェクト指向プログラミングにおいて、オブジェクトに特定の現象が発生した時に発する信号をいい、例えば、「文書を開く」、「文書を閉じる」、「ファイルを別名保存する」、「文書を印刷する」、「文書の一部をコピーする」等の処理が実行されるときに動作の指示信号として発せられるＡＰＩ（Application Program Interface）信号のようなものをいう。
「認証情報」とは、作業端末を使用する使用者が本人であることを識別するための情報をいい、使用者ＩＤやパスワード等が用いられる。
「所定の種類のイベント」とは、管理文書の秘密管理のために監視が必要とされる種類のイベントをいい、例えば、「管理文書の保存」、「管理文書のコピー」、「管理文書の削除」、「管理文書の印刷」、「暗号化管理文書の復号」、「管理文書の再暗号化」等のイベントが考えられる。

本発明に係る文書管理方法は、文書管理サーバと、
前記文書管理サーバとネットワークを介して接続される一乃至複数の作業端末と、
を備え、
前記文書管理サーバは、
管理対象である電子化された管理文書を暗号化又は復号するための暗号鍵を記憶する暗号鍵記憶手段と、
前記各作業端末で実行されるイベントのうち所定の種類のイベント及びそれを実行したプロセスを特定する情報である証拠性情報を記憶する証拠性情報記憶手段と、
前記各作業端末を使用する使用者を認証するための認証情報を記憶する認証情報記憶手段と、を具備し、
前記作業端末は、暗号化された管理文書である暗号化管理文書を記憶する文書記憶手段と、
前記管理サーバから受信する暗号鍵を一時的に記憶する暗号鍵一時記憶手段と、
を具備したシステムにおいて、管理文書の秘密管理を行う文書管理方法であって、
前記作業端末において、前記文書記憶手段に記憶された前記管理文書を開く際に、前記文書管理サーバに対し認証情報を送信する認証情報送信ステップと、
前記文書管理サーバにおいて、前記作業端末からの前記認証情報を受信すると、当該認証情報を前記認証情報記憶手段に記憶された当該作業端末の認証情報と照合するともに、両者が一致した場合には、当該作業端末に認証確認信号を送信するサーバ側認証ステップと、
前記作業端末において、前記文書管理サーバから認証確認情報を受信した場合において、前記文書管理サーバに対して鍵要求を送信する鍵要求ステップと、
前記文書管理サーバにおいて、前記鍵要求を受信すると、当該作業端末に対して、前記暗号鍵記憶手段に記憶された当該管理文書の初期復号鍵、及び当該管理文書を再暗号化する際の次期暗号鍵を、送信する暗号鍵送信ステップと、
前記作業端末において、前記文書管理サーバから初期復号鍵及び次期暗号鍵を受信すると、前記次期暗号鍵を前記暗号鍵一時記憶手段に保存するとともに、前記初期復号鍵により前記暗号化管理文書を復号して平文化した平文管理文書を作成する文書復号手段と、
前記作業端末において、前記認証確認情報を受信したとき又は前記初期復号鍵及び次期暗号鍵を受信したときに、自己を監視状態に設定する端末側監視化ステップと、
前記文書管理サーバにおいて、前記認証確認信号を送信した作業端末又は前記初期復号鍵及び次期暗号鍵を送信した作業端末を、監視状態に設定するサーバ側監視化ステップと、
監視状態に設定された前記作業端末において、当該作業端末で実行されるすべてのイベントのうち所定の種類のイベント及びそれを行ったプロセスの情報である証拠性情報を、前記文書管理サーバに逐次送信する証拠性情報監視ステップと、
前記文書管理サーバにおいて、監視状態にある前記作業端末から受信される前記各証拠性情報を前記証拠性情報記憶手段に保存する証拠性情報収集ステップと、
監視状態に設定された前記作業端末において、前記管理文書を閉じる場合、前記暗号鍵一時記憶手段に記憶された次期暗号鍵により前記平文管理文書を暗号化して暗号化管理文書を作成し前記文書記憶手段に保存するとともに、前記次期暗号鍵及び前記平文管理文書を消去し監視状態を解除する再暗号化手段と、
監視状態にある前記作業端末から管理文書の再暗号化の証拠性情報を受信した場合、当該作業端末の監視状態を解除する監視解除ステップと、
を備えたことを特徴とする。

本発明に係る文書管理サーバは、文書管理サーバと、
前記文書管理サーバとネットワークを介して接続される一乃至複数の作業端末と、
を備え、前記作業端末で利用される管理対象である電子化された管理文書の秘密管理を行う文書管理システムにおいて使用される文書管理サーバであって、
前記各管理文書を暗号化又は復号するための暗号鍵を記憶する暗号鍵記憶手段と、
前記各作業端末で実行されるイベントのうち所定の種類のイベント及びそれを実行したプロセスを特定する情報である証拠性情報を記憶する証拠性情報記憶手段と、
前記各作業端末を使用する使用者を認証するための認証情報を記憶する認証情報記憶手段と、
監視状態にない前記作業端末からの前記認証情報を受信した場合、当該認証情報を前記認証情報記憶手段に記憶された当該作業端末の認証情報と照合するともに、両者が一致した場合には、当該作業端末に認証確認信号を送信するサーバ側認証手段と、
前記認証確認信号を送信された作業端末から特定の管理文書の鍵要求を受信した場合、当該作業端末に対して、前記暗号鍵記憶手段に記憶された当該管理文書の初期復号鍵、及び当該管理文書を再暗号化する際の次期暗号鍵を、送信する暗号鍵送信手段と、
前記認証確認信号を送信した作業端末又は前記初期復号鍵及び次期暗号鍵を送信した作業端末を、監視状態に設定するサーバ側監視化手段と、
監視状態にある前記作業端末から受信される前記各証拠性情報を前記証拠性情報記憶手段に保存する証拠性情報収集手段と、
監視状態にある前記作業端末から管理文書の再暗号化の証拠性情報を受信した場合、当該作業端末の監視状態を解除する監視解除手段と、
を備えたことを特徴とする。

この構成によれば、上記本発明に係る文書管理システムに使用することが可能な文書管理サーバを提供することができる。

本発明に係る作業端末は、文書管理サーバと、
前記文書管理サーバとネットワークを介して接続される一乃至複数の作業端末と、
を備え、前記作業端末で利用される管理対象である電子化された管理文書の秘密管理を行う文書管理システムにおいて使用される作業端末であって、
暗号化された前記管理文書（以下「暗号化管理文書」という。）を記憶する文書記憶手段と、
前記管理サーバから受信する暗号鍵を一時的に記憶する暗号鍵一時記憶手段と、
前記文書記憶手段に記憶された前記管理文書を開く際に、前記文書管理サーバに対し認証情報を送信する端末側認証手段と、
前記文書管理サーバから認証確認情報を受信した場合において、前記文書管理サーバに対して鍵要求を送信する暗号鍵要求手段と、
前記文書管理サーバから初期復号鍵及び次期暗号鍵を受信した場合、前記次期暗号鍵を前記暗号鍵一時記憶手段に保存するとともに、前記初期復号鍵により前記管理文書を復号して平文化した平文管理文書を作成する文書復号手段と、
前記認証確認情報を受信した場合又は前記初期復号鍵及び次期暗号鍵を受信した場合に、自己を監視状態に設定する端末側監視化手段と、
自己が監視状態にある場合、当該作業端末で実行されるすべてのイベントのうち所定の種類のイベント及びそれを行ったプロセスの情報である証拠性情報を収集する証拠性情報取得手段と、
前記証拠性情報を前記文書管理サーバに送信する証拠性情報送信手段と、 監視状態において前記管理文書を閉じる場合、前記暗号鍵一時記憶手段に記憶された次期暗号鍵により前記平文管理文書を暗号化して暗号化管理文書を作成し前記文書記憶手段に保存するとともに、前記次期暗号鍵及び前記平文管理文書を消去し監視状態を解除する再暗号化手段と、
を備えたことを特徴とする。

この構成によれば、上記本発明に係る文書管理システムに使用することが可能な作業端末を提供することができる。

本発明に係るプログラムは、コンピュータに読み込んで実行させることにより、コンピュータを上述の文書管理サーバとして機能させることを特徴とする。

また、本発明に係るプログラムは、コンピュータに読み込んで実行させることにより、コンピュータを上述の作業端末として機能させることを特徴とする。

以上のように、本発明によれば、作業端末が監視状態にある間に限り、管理文書を作業端末で利用することができ、作業端末が監視状態にない間は管理文書は暗号化され、作業端末側に復号鍵が残らないため、管理文書の漏洩を一定の高水準で抑止することが可能となる。

また、作業端末が監視状態にある間に管理文書が仮に漏洩した場合にも、作業端末で行われたイベントに関する証拠性情報が、文書管理サーバに検証可能な履歴として残されるため、その漏洩の法的責任を明確にすることができる。

更に、作業端末が監視状態にある間は、管理文書を平文化して利用することができるので、市販の作業端末やアプリケーションでの使用が可能で管理文書の修正等も可能となる。

以下、本発明を実施するための最良の形態について、図面を参照しながら説明する。

図１は、本発明の実施例１に係る文書管理システム１の構成を表す図である。

本実施例に係る文書管理システム１は、１台の文書管理サーバ２と、１乃至複数の作業端末３を備えており、文書管理サーバ２と各作業端末３とがインターネット等のネットワーク４により接続されている。作業端末３としては、市販のパーソナルコンピュータ、ノートパソコン、ＰＤＡなどが使用される。

本実施例１における文書管理システム１は、文書管理サーバ２及び各作業端末３において実行させるコンピュータ・プログラムとして提供される。そして、それらのコンピュータ・プログラムを文書管理サーバ２及び各作業端末３において実行することによって、文書管理システム１が機能的に実現される。

文書管理システム１は、管理対象である電子化された管理文書を管理するシステムである。各管理文書は、文書管理システム１に保存されているとともに、必要に応じて、使用者が作業端末３に暗号化された管理文書を保存して持ち出すことができる。作業端末３に保存された各管理文書は、公開鍵暗号方式によって暗号化されており、暗号鍵は文書管理システム１において保存・管理される。また、各管理文書には、固有の文書ＩＤが割り当てられている。ここで、「文書ＩＤ」とは、ある管理文書を他の管理文書と識別するための識別コードである。

図２は、図１の文書管理システム１の機能構成を表したブロック図である。

文書管理サーバ２は、管理文書記憶手段５、暗号鍵記憶手段６、認証情報記憶手段７、証拠性情報記憶手段８、サーバ側認証手段９、文書機密属性認定手段１０、暗号化判定手段１１、暗号鍵送信手段１２、配布履歴記憶手段１３、サーバ側監視化手段１４、証拠性情報収集手段１５、監視解除手段１６、アクセス権記憶手段１７、アクセス権管理手段１８、及びサーバ側定常監視手段１９を備えている。

アクセス権記憶手段１７は、各使用者に対するアクセス権限に関する情報を記憶する。ここで、「アクセス権限」とは、文書管理システム１において、ファイルやシステム等を利用する権限をいう。アクセス権限は、多段階のレベルによって指定されており、アクセス権限のレベルによって利用可能な管理文書の種類、及び管理文書ファイルに対して行うことができる操作が限定される。

管理文書記憶手段５には、組織で管理する管理文書及びその機密属性に関する情報が保存されている。ここで、「機密属性」とは、管理文書にアクセスすることができる者を制限するために、その管理文書の機密度を表す属性であり、アクセス権限のレベルによって指定されている。

暗号鍵記憶手段６には、管理文書を文書管理サーバ２の作業端末３により持ち出して使用する際に、当該管理文書を暗号化又は復号する暗号鍵が記憶されている。

認証情報記憶手段７には、各作業端末３を使用する使用者を認証するための認証情報（ＩＤ，パスワード等）を記憶する記憶手段である。

証拠性情報記憶手段８は、管理文書が作業端末３において使用された際に、その使用をした者，管理文書の操作（追加，変更，保存、コピー等）を行ったプロセス，管理文書に対して行われた操作（イベント）の種類及びその操作時刻等の、管理文書に関する情報の流れ及び情報を流す主体に関する立証可能な情報（以下「証拠性情報」という。）を記憶する。

これら、アクセス権記憶手段１７、管理文書記憶手段５、暗号鍵記憶手段６、認証情報記憶手段７、及び証拠性情報記憶手段８は、磁気ディスク装置等の外部記憶装置により構成されている。

サーバ側認証手段９は、作業端末３から、その作業端末３の使用者の認証情報が送信されてきた場合に、その認証情報に基づいて使用者の認証を行う。

アクセス権管理手段１８は、認証された使用者のアクセス権をアクセス権記憶手段１７から索出する。

文書機密属性認定手段１０は、作業端末３において開こうとしている管理文書の機密属性の認定を行う。

暗号化判定手段１１は、管理文書の暗号鍵の選択を行う。

暗号鍵送信手段１２は、作業端末３に対して、暗号鍵記憶手段６に記憶された当該作業端末３で開こうとしている管理文書の暗号鍵（初期復号鍵）、及び当該管理文書を再暗号化する際の暗号鍵（次期暗号鍵）を、当該作業端末３に送信する。

配布履歴記憶手段１３は、文書管理サーバ２が作業端末３に暗号鍵を送信した場合に、その送信履歴を証拠性情報記憶手段８に保存する。

サーバ側監視化手段１４は、文書管理サーバ２が作業端末３に初期復号鍵及び次期暗号鍵を送信した場合に、文書管理サーバ２を、当該作業端末３を監視する監視状態とする。以下、文書管理サーバ２の監視状態における一連のインタラクティブな操作を「監視セッション」という。

サーバ側定常監視手段１９は、文書管理サーバ２が監視セッションにある場合ときに、作業端末３との間で一定の時間間隔で信号を交信することによって、作業端末３が文書管理サーバ２と接続状態にあることを監視する。このとき、サーバ側定常監視手段１９が作業端末３に送信する監視信号を「定常監視要求」、定常監視要求に対して作業端末３からサーバ側定常監視手段１９へ送信される応答信号を「定常監視応答」という。

証拠性情報収集手段１５は、監視状態にある作業端末３から送信される各証拠性情報を、証拠性情報記憶手段８に保存する。

監視解除手段１６は、監視状態にある作業端末３から管理文書の再暗号化の証拠性情報を受信した場合、当該作業端末３の監視状態を解除する。

一方、各作業端末３は、暗号鍵一時記憶手段２２、端末側認証手段２３、暗号鍵要求手段２４、文書復号手段２５、端末側監視化手段２６、証拠性情報取得手段２７、証拠性情報送信手段２８、ソフトウェアシステム２９、再暗号化手段３０、イベントルール記憶手段３１、異常イベント検出手段３２、強制セッション終了手段３３、端末側定常監視手段３４、及びアクセス管理手段３５を備えている。

暗号鍵一時記憶手段２２は、文書管理サーバ２から受信する暗号鍵を一時的に記憶する。暗号鍵一時記憶手段２２は、ＳＲＡＭやＤＲＡＭなどの揮発性のメモリで構成される。

端末側認証手段２３は、管理文書を開く際に、文書管理サーバ２に対し自己の認証情報を送信する。

暗号鍵要求手段２４は、文書管理サーバ２から認証確認情報を受信した場合、文書管理サーバ２に対して鍵要求を送信する。

文書復号手段２５は、文書管理サーバ２から初期復号鍵及び次期暗号鍵を受信した場合、次期暗号鍵を暗号鍵一時記憶手段２２に保存するとともに、初期復号鍵により管理文書を復号して平文化し平文管理文書を作成する。

端末側監視化手段２６は、初期復号鍵及び次期暗号鍵を受信した場合に、当該作業端末３を監視状態に設定する。以下、作業端末３の監視状態における一連のインタラクティブな操作を「監視セッション」という。

端末側定常監視手段３４は、作業端末３が監視セッションにある場合ときに、文書管理サーバ２との間で一定の時間間隔で信号を交信することによって、文書管理サーバ２が作業端末３と接続状態にあることを監視する。

証拠性情報取得手段２７は、管理文書が当該作業端末３において使用された際に、当該管理文書の操作（追加，変更，保存、コピー等）を行ったプロセス，当該管理文書に対して行われた操作（イベント）の種類及びその操作時刻等の証拠性情報を取得する。この証拠性情報取得手段２７は、アプリケーション監視手段２７ａ、管理文書アクセス監視手段２７ｂ、及びイベント監視手段２７ｃを備えている。

アプリケーション監視手段２７ａは、起動されている各アプリケーション・ソフトウェア４４を監視し、各アプリケーション・ソフトウェア４４内で発生する各イベントの情報を取得する。

管理文書アクセス監視手段２７ｂは、ファイルシステム４３を監視し、管理文書に対するアクセスのイベントを取得する。

イベント監視手段２７ｃは、ＯＳ４１とデバイスドライバ４２、デバイスドライバ４２とアプリケーション・ソフトウェア４４、又はファイルシステム４３とアプリケーション・ソフトウェア４４の間のＡＰＩ（Application Program Interface）を監視し、所定の種類のイベント及びそれを行ったプロセスの情報である証拠性情報を収集する。

証拠性情報送信手段２８は、証拠性情報取得手段２７が取得する証拠性情報を、文書管理サーバ２に送信する。

ソフトウェアシステム２９は、作業端末３における一般のコンピュータ・プログラム（本発明に係る文書管理システム１に係るプログラム以外のプログラム）によって機能的に実現されたシステムである。ソフトウェアシステム２９は、ＯＳ４１、デバイスドライバ４２、ファイルシステム４３、及びアプリケーション・ソフトウェア４４から成り立っている。

ＯＳ（Operating System）４１は、キーボード入力や画面出力といった入出力機能やディスクやメモリの管理など、多くのアプリケーション・ソフトウェア４４から共通して利用される基本的な機能を提供し、作業端末３全体を管理するソフトウェアである。

デバイスドライバ４２は、周辺機器（プリンタ，スキャナ，マウス等）やアプリケーション・ソフトウェア４４を動作させるためのソフトウェアであって、ＯＳ４１が周辺機器やアプリケーション・ソフトウェア４４を制御するための橋渡しを行なうものである。

ファイルシステム４３は、記憶装置に記録されているデータを管理するシステムである。ファイルシステム４３は、暗号化された管理文書を記憶する文書記憶手段４３ａを備えている。

アプリケーション・ソフトウェア４４は、文書の作成、数値計算など、ある特定の目的のために設計されたソフトウェア（応用ソフト）である。

再暗号化手段３０は、監視セッションが終了すると、次期暗号鍵を使用して、平文化された管理文書を再暗号化してファイルシステム４３の文書記憶手段４３ａに保存するとともに、平文化された管理文書を削除する。

イベントルール記憶手段３１は、管理文書に対して行われたイベントが、証拠性情報として収集すべき種類のものであるか否か、そのイベントが管理文書に対して行われる操作として許可されたもの（許可イベント）であるか否か、また、使用者のアクセス権限において許可されたもの（権限内イベント）であるか否か等のイベントの関する規則（以下「イベントルール」という。）を記憶する。例えば、管理文書に対しては「上書き」「別名保存」「削除」の操作は許されていないので、イベントルールにおいては、これらのイベントに対しては許可イベントではないとされる。

異常イベント検出手段３２は、証拠性情報取得手段２７が収集するイベントに対して、イベントルールを参照し、そのイベントが管理文書に対して行われる操作として許可されたものでない場合や使用者のアクセス権限において許可されたものでない場合に、異常イベントとして警報信号を出力する。

強制セッション終了手段３３は、異常イベント検出手段３２が警報信号を出力した場合、強制的に監視セッションを終了するとともに、

アクセス管理手段３５は、使用者のアクセス権限に基づいて、管理文書に対して行われる操作の制限を行う。例えば、アクセス権限が低い場合には、管理文書の「閲覧」操作のみに制限し、「上書き」、「別名保存」、「削除」等の動作は禁止するというような制限を行う。具体的には、アクセス管理手段３５は、ソフトウェアシステム２９で発行される各イベントを監視し、特性のイベントに対しては実行を禁止することによって、操作の制限を行う。

以上のように構成された本実施例に係る文書管理システム１について、以下その動作を説明する。

図３は、文書管理システム１の動作を表すフローチャートである。

まず、ステップＳ１において、作業端末３を使用する使用者は、作業端末３を文書管理サーバ２に回線接続し、次いで作業端末３から当該使用者の認証情報を入力する。ここで、「認証情報」としては、一般的には、当該使用者の使用者ＩＤ及びパスワードが用いられる。端末側認証手段２３は、入力された認証情報を、文書管理サーバ２に送信する。

ステップＳ１０１において、文書管理サーバ２のサーバ側認証手段９は、作業端末３から認証情報を受信する。

ステップＳ１０２において、サーバ側認証手段９は、受信した当該認証情報（以下「受信認証情報」という。）が認証情報記憶手段７に保存された認証情報と一致するか否かを判定する。もし、認証情報記憶手段７に保存された認証情報に受信認証情報と一致するものがない場合、サーバ側認証手段９は、作業端末３に認証拒否情報を送信し（Ｓ１０３）、文書管理サーバ２の動作を終了させる。

一方、ステップＳ１０２において、認証情報記憶手段７に保存された認証情報に受信認証情報と一致するものがあった場合、サーバ側認証手段９は、作業端末３に認証確認情報を送信する（Ｓ１０４）。そして、サーバ側監視化手段１４は、文書管理サーバ２側において監視セッションを開始し、サーバ側定常監視手段１９による定常監視が開始される。

ここで、文書管理サーバ２側では、以下のような定常監視動作が実行される。まず、サーバ側定常監視手段１９は、作業端末３に対して定常監視要求を送信する（Ｓ１２０）。次に、そして、作業端末３側から定常監視応答が送信されてくるまでの時間（応答時間）を計測する（Ｓ１２１）。応答時間が所定の時間（要求時間）以下であれば、再びステップＳ１２０に戻る。応答時間が要求時間を超えた場合には、作業端末３が回線切断されたと判断し、文書管理サーバ２の監視セッションを終了し、文書管理サーバ２における異常終了処理を行い、文書管理サーバ２の動作を終了する。ここで、文書管理サーバ２における異常終了処理とは、作業端末３の回線が切断された時刻と、そのときの使用者の使用者ＩＤ，作業端末３で使用されている管理文書のＩＤ等の必要な証拠性情報を、証拠性情報記憶手段８に保存する処理である。

尚、文書管理サーバ２においては、ステップＳ１０５〜Ｓ１１４（後述）の間、上述の定常監視処理が他の処理と平行して実行される。

一方、ステップＳ２において、作業端末３の端末側認証手段２３は、文書管理サーバ２から送信される前記認証確認情報又は前記認証拒否情報を受信する。そして、ステップＳ３において、端末側認証手段２３は、認証拒否情報を受信した場合、認証不成功と判断し、終了する。一方、認証確認情報を受信した場合には、認証成功と判断し、次のステップＳ４において、端末側監視化手段２６は、作業端末３側において監視セッションを開始し、端末側定常監視手段３４による定常監視が開始される。また、このとき同時に、作業端末３におけるイベント監視も開始される。

ここで、作業端末３側では、以下のような定常監視動作が実行される。まず、端末側監視化手段２６は、文書管理サーバ２から定常監視要求を受信すると文書管理サーバ２に対して定常監視応答を送信する（Ｓ２１）。次に、そして、文書管理サーバ２側から再び定常監視要求が送信されてくるまでの時間（応答時間）を計測する（Ｓ２２）。応答時間が所定の時間（要求時間）以下であれば、再びステップＳ２１に戻る。応答時間が要求時間を超えた場合には、文書管理サーバ２が回線切断されたと判断し、作業端末３の監視セッションを終了し、作業端末３における異常終了処理を行い、作業端末３の動作を終了する。ここで、作業端末３における異常終了処理とは、後述のステップＳ１１〜Ｓ１３の処理をいう。

また、作業端末３におけるイベント監視は次のようにして実行される。まず、証拠性情報取得手段２７は、ソフトウェアシステム２９でイベントが発行された場合、そのイベント（以下「発行イベント」という。）の種類、発行イベントが発行された時刻、及び発行イベントを実行したプロセスを特定する情報を取得する（Ｓ３１）。ここで、「プロセス」とは、ＯＳ４１からメモリ領域などの割り当てを受けて処理を実行しているプログラムをいう。「プロセスを特定する情報」とは、プロセスＩＤのように、あるプロセスを他のプロセスから識別することができる情報をいう。次に、証拠性情報取得手段２７は、イベントルール記憶手段３１を参照し、発行イベントは監視対象のイベントであるか否かを判定する（Ｓ３２）。監視対象でなければステップＳ３１に戻る。もし発行イベントが監視対象のイベントであった場合、証拠性情報送信手段２８は、発行イベントの種類、発行イベントが発行された時刻、及び発行イベントを実行したプロセスを特定する情報を、文書管理サーバ２に送信する（Ｓ３３）。次に、異常イベント検出手段３２は、イベントルール記憶手段３１を参照し、発行イベントが管理文書に対して行われる操作として許可されたもの（許可イベント）であるか、また、使用者のアクセス権限において許可されたもの（権限内イベント）であるかを検査する。もし、発行イベントが許可イベントであり且つ権限内イベントである場合、その発行イベントは実行され、ステップＳ２１に戻る。一方、もし、発行イベントが許可イベントではないか又は権限内イベントではない場合、異常イベント検出手段３２は、その発行イベントの実行を禁止する。そして、作業端末３における異常終了処理を行い、作業端末３の動作を終了する。ここで、作業端末３における異常終了処理とは、後述のステップＳ１１〜Ｓ１３の処理をいう。

尚、作業端末３においては、ステップＳ４〜Ｓ１３（後述）の間、上述の定常監視処理及びイベント監視処理が他の処理と平行して実行される。

上記ステップＳ４の処理が終わると、次に、ステップＳ５において、使用者は、作業端末３において、作業を行おうとする管理文書（以下「対象文書」という。）を、文書記憶手段４３ａに記憶された管理文書の中から選択し、対象文書を開く指示を入力する。対象文書を開く指示が入力されると、暗号鍵要求手段２４は、文書管理サーバ２に対して、作業文書の文書ＩＤとともに暗号鍵要求を送信する。

ステップＳ１０６において、文書管理サーバ２が、文書ＩＤ及び暗号鍵要求を受信する。ステップＳ１０７において、文書機密属性認定手段１０は、文書ＩＤに基づき管理文書記憶手段５を検索し、対象文書に対する機密属性を索出する。そして、使用者のアクセス権限と対象文書の機密属性を比較して、当該使用者が当該対象文書にアクセスする権限があるか否かを検査する。もし、当該使用者が当該対象文書にアクセスする権限がない場合、文書機密属性認定手段１０は、作業端末３に対しアクセス拒否情報を送信し（Ｓ１０８）、終了する。一方、当該使用者が当該対象文書にアクセスする権限がある場合には、ステップＳ１０９において、暗号化判定手段１１は、対象文書の暗号鍵（初期復号鍵）を暗号鍵記憶手段６から索出する。また、暗号化判定手段１１は、当該対象文書を再暗号化する際の暗号鍵（次期暗号鍵）を生成する。そして、暗号鍵送信手段１２は、初期復号鍵、次期暗号鍵、及び使用者のアクセス権限の情報を、作業端末３に送信する。配布履歴記憶手段１３は、送信した初期復号鍵及び次期暗号鍵、送信先の作業端末３の特定情報、使用者ＩＤを、配布履歴情報として、タイムスタンプ及び電子署名を付加した上で証拠性情報記憶手段８に保存する。

ステップＳ７において、暗号鍵要求手段２４は、文書管理サーバ２から初期復号鍵、次期暗号鍵、及び使用者のアクセス権限の情報を受信すると、初期復号鍵及び次期暗号鍵を暗号鍵一時記憶手段２２に保存する。次いで、ステップＳ８において、文書復号手段２５は、初期復号鍵を用いて対象文書を復号し平文化し、これを文書記憶手段４３ａに保存する。以下、平文化された対象文書を「平文化対象文書」という。

使用者は、平文化対象文書に対して、当該平文化対象文書を閉じる指示が入力されるまで、作業端末３において閲覧や編集を行うことができる（Ｓ９，Ｓ１０）。但し、平文化対象文書に対して閲覧や編集を行う際には、アクセス管理手段３５により、アクセス権限に応じて使用者の操作が制限される。

ステップＳ１０において、平文化対象文書を閉じる指示が入力されると、以下のステップＳ１１〜Ｓ１３の監視セッション終了処理が行われる。

まず、ステップＳ１１において、再暗号化手段３０は、暗号鍵一時記憶手段２２に記憶された次期暗号鍵を用いて、平文化対象文書の暗号化を行う。次いで、ステップＳ１２において、暗号化した対象文書（以下「再暗号化対象文書」という。）を文書記憶手段４３ａに保存するとともに、文書記憶手段４３ａに記憶されている平文化対象文書を消去する。最後に、ステップＳ１３において、証拠性情報取得手段２７及び証拠性情報送信手段２８は、イベント監視処理を終了すると共に、端末側定常監視手段３４は端末側の定常監視処理を終了する。

一方、文書管理サーバ２においては、作業端末３においてイベント監視処理が実行されている観は、作業端末３から、逐次、証拠性情報が送信されてくる。上述のステップＳ３３において、作業端末３から文書管理サーバ２に証拠性情報が送信されると、ステップＳ１１１において、文書管理サーバ２の証拠性情報収集手段１５が証拠性情報を受信する。そして、ステップＳ１１２において、証拠性情報収集手段１５は、受信した証拠性情報に、タイムスタンプと電子署名を付加して、証拠性情報記憶手段８に保存する。このステップＳ１１１，Ｓ１１２の操作を、作業端末３における対象文書に対する作業が終了するまで繰り返す（Ｓ１１３）。尚、作業端末３における対象文書に対する作業が終了したか否かは、再暗号化対象文書の保存のイベントに係る証拠性情報を検出することで、判定することができる。

ステップＳ１３において、作業端末３において対象文書に対する作業が終了すると、ステップＳ１１４において、監視解除手段１６は、サーバ側定常監視手段１９の定常監視処理を中止させるとともに、作業端末３の回線接続のログアウト処理を行い、終了する。

図１は、本発明の実施例１に係る文書管理システムの構成を表す図である。 図１の文書管理システム１の機能構成を表したブロック図である。 文書管理システム１の動作を表すフローチャートである。

符号の説明

１ 文書管理システム
２ 文書管理サーバ
３ 作業端末
４ ネットワーク
５ 管理文書記憶手段
６ 暗号鍵記憶手段
７ 認証情報記憶手段
８ 証拠性情報記憶手段
９ サーバ側認証手段
１０ 文書機密属性認定手段
１１ 暗号化判定手段
１２ 暗号鍵送信手段
１３ 配布履歴記憶手段
１４ サーバ側監視化手段
１５ 証拠性情報収集手段
１６ 監視解除手段
１７ アクセス権記憶手段
１８ アクセス権管理手段
１９ サーバ側定常監視手段
２２ 暗号鍵一時記憶手段
２３ 端末側認証手段
２４ 暗号鍵要求手段
２５ 文書復号手段
２６ 端末側監視化手段
２７ 証拠性情報取得手段
２７ａ アプリケーション監視手段
２７ｂ 管理文書アクセス監視手段
２７ｃ イベント監視手段
２８ 証拠性情報送信手段
２９ ソフトウェアシステム
３０ 再暗号化手段
３１ イベントルール記憶手段
３２ 異常イベント検出手段
３３ 強制セッション終了手段
３４ 端末側定常監視手段
３５ アクセス管理手段
４１ ＯＳ
４２ デバイスドライバ
４３ ファイルシステム
４３ａ 文書記憶手段
４４ アプリケーション・ソフトウェア

Claims (6)

1. 管理対象である電子化された文書（以下「管理文書」という。）の秘密管理を行う文書管理システムであって、
   文書管理サーバと、
   前記文書管理サーバとネットワークを介して接続される一乃至複数の作業端末と、
   を備え、
   前記文書管理サーバは、
   前記各管理文書を暗号化又は復号するための暗号鍵を記憶する暗号鍵記憶手段と、
   前記各作業端末で実行されるイベントのうち所定の種類のイベント及びそれを実行したプロセスを特定する情報である証拠性情報を記憶する証拠性情報記憶手段と、
   前記各作業端末を使用する使用者を認証するための認証情報を記憶する認証情報記憶手段と、
   監視状態にない前記作業端末からの前記認証情報を受信した場合、当該認証情報を前記認証情報記憶手段に記憶された当該作業端末の認証情報と照合するともに、両者が一致した場合には、当該作業端末に認証確認信号を送信するサーバ側認証手段と、
   前記認証確認信号を送信された作業端末から特定の管理文書の鍵要求を受信した場合、当該作業端末に対して、前記暗号鍵記憶手段に記憶された当該管理文書の暗号鍵（以下「初期復号鍵」という。）、及び当該管理文書を再暗号化する際の暗号鍵（以下「次期暗号鍵」という。）を、送信する暗号鍵送信手段と、
   前記認証確認信号を送信した作業端末又は前記初期復号鍵及び次期暗号鍵を送信した作業端末を、監視状態に設定するサーバ側監視化手段と、
   監視状態にある前記作業端末から受信される前記各証拠性情報を前記証拠性情報記憶手段に保存する証拠性情報収集手段と、
   監視状態にある前記作業端末から管理文書の再暗号化の証拠性情報を受信した場合、当該作業端末の監視状態を解除する監視解除手段と、を備え、
   前記各作業端末は、
   暗号化された前記管理文書（以下「暗号化管理文書」という。）を記憶する文書記憶手段と、
   前記管理サーバから受信する暗号鍵を一時的に記憶する暗号鍵一時記憶手段と、
   前記文書記憶手段に記憶された前記管理文書を開く際に、前記文書管理サーバに対し認証情報を送信する端末側認証手段と、
   前記文書管理サーバから認証確認情報を受信した場合において、前記文書管理サーバに対して鍵要求を送信する暗号鍵要求手段と、
   前記文書管理サーバから初期復号鍵及び次期暗号鍵を受信した場合、前記次期暗号鍵を前記暗号鍵一時記憶手段に保存するとともに、前記初期復号鍵により前記暗号化管理文書を復号して平文化した管理文書（以下「平文管理文書」という。）を作成する文書復号手段と、
   前記認証確認情報を受信した場合又は前記初期復号鍵及び次期暗号鍵を受信した場合に、自己を監視状態に設定する端末側監視化手段と、
   自己が監視状態にある場合、当該作業端末で実行されるすべてのイベントのうち所定の種類のイベント及びそれを行ったプロセスの情報である証拠性情報を収集する証拠性情報取得手段と、
   前記証拠性情報を前記文書管理サーバに送信する証拠性情報送信手段と、
   監視状態において前記管理文書を閉じる場合、前記暗号鍵一時記憶手段に記憶された次期暗号鍵により前記平文管理文書を暗号化して暗号化管理文書を作成し前記文書記憶手段に保存するとともに、前記次期暗号鍵及び前記平文管理文書を消去し監視状態を解除する再暗号化手段と、
   を備えた文書管理システム。
2. 文書管理サーバと、
   前記文書管理サーバとネットワークを介して接続される一乃至複数の作業端末と、
   を備え、
   前記文書管理サーバは、
   管理対象である電子化された管理文書を暗号化又は復号するための暗号鍵を記憶する暗号鍵記憶手段と、
   前記各作業端末で実行されるイベントのうち所定の種類のイベント及びそれを実行したプロセスを特定する情報である証拠性情報を記憶する証拠性情報記憶手段と、
   前記各作業端末を使用する使用者を認証するための認証情報を記憶する認証情報記憶手段と、を具備し、
   前記作業端末は、暗号化された管理文書である暗号化管理文書を記憶する文書記憶手段と、
   前記管理サーバから受信する暗号鍵を一時的に記憶する暗号鍵一時記憶手段と、
   を具備したシステムにおいて、管理文書の秘密管理を行う文書管理方法であって、
   前記作業端末において、前記文書記憶手段に記憶された前記管理文書を開く際に、前記文書管理サーバに対し認証情報を送信する認証情報送信ステップと、
   前記文書管理サーバにおいて、前記作業端末からの前記認証情報を受信すると、当該認証情報を前記認証情報記憶手段に記憶された当該作業端末の認証情報と照合するともに、両者が一致した場合には、当該作業端末に認証確認信号を送信するサーバ側認証ステップと、
   前記作業端末において、前記文書管理サーバから認証確認情報を受信した場合において、前記文書管理サーバに対して鍵要求を送信する鍵要求ステップと、
   前記文書管理サーバにおいて、前記鍵要求を受信すると、当該作業端末に対して、前記暗号鍵記憶手段に記憶された当該管理文書の初期復号鍵、及び当該管理文書を再暗号化する際の次期暗号鍵を、送信する暗号鍵送信ステップと、
   前記作業端末において、前記文書管理サーバから初期復号鍵及び次期暗号鍵を受信すると、前記次期暗号鍵を前記暗号鍵一時記憶手段に保存するとともに、前記初期復号鍵により前記暗号化管理文書を復号して平文化した平文管理文書を作成する文書復号手段と、
   前記作業端末において、前記認証確認情報を受信したとき又は前記初期復号鍵及び次期暗号鍵を受信したときに、自己を監視状態に設定する端末側監視化ステップと、
   前記文書管理サーバにおいて、前記認証確認信号を送信した作業端末又は前記初期復号鍵及び次期暗号鍵を送信した作業端末を、監視状態に設定するサーバ側監視化ステップと、
   監視状態に設定された前記作業端末において、当該作業端末で実行されるすべてのイベントのうち所定の種類のイベント及びそれを行ったプロセスの情報である証拠性情報を、前記文書管理サーバに逐次送信する証拠性情報監視ステップと、
   前記文書管理サーバにおいて、監視状態にある前記作業端末から受信される前記各証拠性情報を前記証拠性情報記憶手段に保存する証拠性情報収集ステップと、
   監視状態に設定された前記作業端末において、前記管理文書を閉じる場合、前記暗号鍵一時記憶手段に記憶された次期暗号鍵により前記平文管理文書を暗号化して暗号化管理文書を作成し前記文書記憶手段に保存するとともに、前記次期暗号鍵及び前記平文管理文書を消去し監視状態を解除する再暗号化手段と、
   監視状態にある前記作業端末から管理文書の再暗号化の証拠性情報を受信した場合、当該作業端末の監視状態を解除する監視解除ステップと、
   を備えた文書管理方法。
3. 文書管理サーバと、
   前記文書管理サーバとネットワークを介して接続される一乃至複数の作業端末と、
   を備え、前記作業端末で利用される管理対象である電子化された管理文書の秘密管理を行う文書管理システムにおいて使用される文書管理サーバであって、
   前記各管理文書を暗号化又は復号するための暗号鍵を記憶する暗号鍵記憶手段と、
   前記各作業端末で実行されるイベントのうち所定の種類のイベント及びそれを実行したプロセスを特定する情報である証拠性情報を記憶する証拠性情報記憶手段と、
   前記各作業端末を使用する使用者を認証するための認証情報を記憶する認証情報記憶手段と、
   監視状態にない前記作業端末からの前記認証情報を受信した場合、当該認証情報を前記認証情報記憶手段に記憶された当該作業端末の認証情報と照合するともに、両者が一致した場合には、当該作業端末に認証確認信号を送信するサーバ側認証手段と、
   前記認証確認信号を送信された作業端末から特定の管理文書の鍵要求を受信した場合、当該作業端末に対して、前記暗号鍵記憶手段に記憶された当該管理文書の初期復号鍵、及び当該管理文書を再暗号化する際の次期暗号鍵を、送信する暗号鍵送信手段と、
   前記認証確認信号を送信した作業端末又は前記初期復号鍵及び次期暗号鍵を送信した作業端末を、監視状態に設定するサーバ側監視化手段と、
   監視状態にある前記作業端末から受信される前記各証拠性情報を前記証拠性情報記憶手段に保存する証拠性情報収集手段と、
   監視状態にある前記作業端末から管理文書の再暗号化の証拠性情報を受信した場合、当該作業端末の監視状態を解除する監視解除手段と、
   を備えた文書管理サーバ。
4. コンピュータに読み込んで実行させることにより、コンピュータを請求項３に記載の文書管理サーバとして機能させることを特徴とするプログラム。
5. 文書管理サーバと、
   前記文書管理サーバとネットワークを介して接続される一乃至複数の作業端末と、
   を備え、前記作業端末で利用される管理対象である電子化された管理文書の秘密管理を行う文書管理システムにおいて使用される作業端末であって、
   暗号化された前記管理文書（以下「暗号化管理文書」という。）を記憶する文書記憶手段と、
   前記管理サーバから受信する暗号鍵を一時的に記憶する暗号鍵一時記憶手段と、
   前記文書記憶手段に記憶された前記管理文書を開く際に、前記文書管理サーバに対し認証情報を送信する端末側認証手段と、
   前記文書管理サーバから認証確認情報を受信した場合において、前記文書管理サーバに対して鍵要求を送信する暗号鍵要求手段と、
   前記文書管理サーバから初期復号鍵及び次期暗号鍵を受信した場合、前記次期暗号鍵を前記暗号鍵一時記憶手段に保存するとともに、前記初期復号鍵により前記管理文書を復号して平文化した平文管理文書を作成する文書復号手段と、
   前記認証確認情報を受信した場合又は前記初期復号鍵及び次期暗号鍵を受信した場合に、自己を監視状態に設定する端末側監視化手段と、
   自己が監視状態にある場合、当該作業端末で実行されるすべてのイベントのうち所定の種類のイベント及びそれを行ったプロセスの情報である証拠性情報を収集する証拠性情報取得手段と、
   前記証拠性情報を前記文書管理サーバに送信する証拠性情報送信手段と、 監視状態において前記管理文書を閉じる場合、前記暗号鍵一時記憶手段に記憶された次期暗号鍵により前記平文管理文書を暗号化して暗号化管理文書を作成し前記文書記憶手段に保存するとともに、前記次期暗号鍵及び前記平文管理文書を消去し監視状態を解除する再暗号化手段と、
   を備えた作業端末。
6. コンピュータに読み込んで実行させることにより、コンピュータを請求項５に記載の作業端末として機能させることを特徴とするプログラム。

Images