JP5429157B2 - 機密情報漏洩防止システム及び機密情報漏洩防止方法 - Google Patents

Description

本発明は、機密情報漏洩防止システム、同システムを含む情報処理装置、機密情報漏洩防止方法、及び、同方法をコンピュータに実施させるためのプログラムに関する。

現在、例えば企業、官公庁、学校などの組織においては、情報共有を目的として、イントラネットと呼ばれる情報処理インフラストラクチャが整備されている。

イントラネットは任意の数のサーバと任意の数のクライアントとの集合であり、どちらもコンピュータシステムである。ここで、企業内のクライアントコンピュータと、そのコンピュータから接続可能なサーバとを備えたコンピュータシステムにおいて、機密文書ファイルを企業内のサーバで管理し、クライアントコンピュータでそれらの情報を共有して利用するケースがある。

この際、機密情報の漏洩防止を講ずる必要があり、種々の機密情報漏洩防止システムが提案されている。

そのような機密情報漏洩防止システムの一例が特開２００５−１６５９００号公報（特許文献１）に記載されている。

同公報に記載されている機密情報漏洩防止システムにおいては、機密情報は暗号ファイルとして、一般情報は平文ファイルとして保存し、機密情報を処理する実行環境と、一般情報を処理する実行環境とを分け、全てのアクセスの可否を次のポリシ（１）乃至（４）に従って判定し、必要に応じて、暗号処理を行う。（１）暗号ファイルを復号化する権限と、平文ファイルの書き込み権限とを、同一の実行環境にあるアクセス主体には与えない（２）暗号ファイルを復号化する権限を与えたアクセス主体には、常に暗号化を伴う書き込み権限を与える（３）暗号ファイルを復号化する権限と、ネットワークアクセスの権限とを、同一の実行環境にあるアクセス主体には与えない（４）ファイルのコピーや移動に使われるアクセス主体には、ファイルの暗号化権限も復号化権限も与えない。
特開２００５−１６５９００号公報

すなわち、特許文献１に記載されている機密情報漏洩防止システムは、機密情報を処理する実行環境と、一般情報を処理する実行環境とを、必要に応じて、切り替えることにより、情報の漏洩を防止することを特徴とするものである。

しかしながら、逆に、この特徴に起因して、特許文献１に記載されている機密情報漏洩防止システムは以下の二つの問題点を生じる。

第一の問題点は、ユーザは、機密情報を利用しているときに一般情報を利用しようとする場合や、一般情報を利用しているときに機密情報を利用しようとする場合に、情報の漏洩を防止するために、実行環境を切り替えなければならない。このため、ユーザには、実行環境を切り替える手間が生じ、その結果として、ユーザの使い勝手が悪くなる。

第二の問題点は、機密情報を処理する実行環境と、一般情報を処理する実行環境とを同時に実行可能にした場合であっても、いずれかの実行環境を利用する必要があり、機密情報を処理する実行環境を利用した場合、一般情報を処理する実行環境から機密情報にアクセス可能になってしまう。あるいは、一般情報を処理する実行環境を利用した場合、機密情報を利用することができない。

本発明は、上述した問題点を解決することが可能な情報漏洩防止システム、同システムを含む情報処理装置、機密情報漏洩防止方法、及び、同方法をコンピュータに実施させるためのプログラムを提供することを目的とする。

上記の目的を達成するため、本発明は、第一の態様として、制御対象アプリケーションの動作を制御するアプリケーション動作制御手段と、アプリケーションからデバイスへのアクセス処理の内容を判別する処理内容判別手段と、前記処理内容判別手段による判別結果、および前記アプリケーションがランチャプログラムにより起動されたアプリケーションであるか否かに応じて、前記アプリケーションが前記制御対象アプリケーションであるか否かを判定する制御対象判定手段と、前記制御対象判定手段による判定結果において前記アプリケーションが前記制御対象アプリケーションではない場合に、前記アプリケーションの前記デバイスへのアクセスを不許可とするアクセス制御手段と、を備えることを特徴とする機密情報漏洩防止システムを提供する。

さらに、本発明は、第二の態様として、記憶装置と、中央処理装置と、デバイス制御部と、情報記録装置と、を備える情報処理装置であって、前記記憶装置は、機密情報を扱うアプリケーションを起動させるランチャプログラムと、機密情報を扱う機密アプリケーションと、非機密情報を扱う通常アプリケーションと、ファイルへのアクセス権を定めたポリシと、前記情報処理装置の動作を管理するオペレーテングシステムと、上記の機密情報漏洩防止システムを実現するプログラムと、を記憶しており、前記デバイス制御部は前記情報処理装置に接続されるデバイスの動作を制御し、前記情報記憶装置は、機密情報を格納する機密情報格納領域と、非機密情報を格納する通常情報格納領域とを有している情報処理装置を提供する。

さらに、本発明は、第三の態様として、アプリケーションからデバイスへのアクセス処理の内容を判別する第一の過程と、前記第一の過程における判別結果に応じて、前記デバイスにアクセスしたアプリケーションを特定し、当該アプリケーションがランチャプログラムにより起動されたアプリケーションであるか否かにより、当該アプリケーションが制御対象アプリケーションであるか否かを判定する第二の過程と、前記第二の過程における判定結果において前記アプリケーションが前記制御対象アプリケーションではない場合に、前記アプリケーションの前記デバイスへのアクセスを不許可とする第三の過程と、を備えることを特徴とする機密情報漏洩防止方法を提供する。

さらに、本発明は、第四の態様として、機密情報漏洩防止方法をコンピュータに実行させるためのプログラムであって、前記プログラムが行う処理は、アプリケーションからデバイスへのアクセス処理の内容を判別する第一の処理と、前記第一の処理における判別結果に応じて、前記デバイスにアクセスしたアプリケーションを特定し、当該アプリケーションがランチャプログラムにより起動されたアプリケーションであるか否かにより、当該アプリケーションが制御対象アプリケーションであるか否かを判定する第二の処理と、前記第二の処理における判定結果において前記アプリケーションが前記制御対象アプリケーションではない場合に、前記アプリケーションの前記デバイスへのアクセスを不許可とする第三の処理と、からなるものであるプログラムを提供する。

本発明に係る情報漏洩防止システム、同システムを含む情報処理装置、機密情報漏洩防止方法、及び、同方法をコンピュータに実施させるためのプログラムによって次の効果を得ることができる。

第１の効果は、機密アプリケーションと通常アプリケーションとを同時に利用した場合に、これら二つのアプリケーションの実行環境を切り替えることなく、双方のアプリケーションを利用することができる点である。

これは、本発明によれば、ランチャプログラムを利用して起動されたアプリケーションを機密アプリケーションとして、その動作を制御するため、機密アプリケーションの実行環境と通常アプリケーションの実行環境とを切り替える必要がなくなるためである。

第２の効果は、機密アプリケーションと通常アプリケーションとを同時に利用した場合に、通常情報（非機密情報）を処理する実行環境から機密情報へのアクセスを遮断することができる点である。

これは、本発明によれば、機密アプリケーションが保存するファイルパスを変更し、かつ、通常のアプリケーションから機密情報を参照することができないようにするためである。

本発明の第一の実施形態に係る機密情報漏洩防止システムのブロック図である。 本発明の第一の実施形態に係る機密情報漏洩防止システムを内部に含む情報処理装置のブロック図である。 本発明の第一の実施形態に係る機密情報漏洩防止システムを内部に含む情報処理装置の動作を示すフローチャートである。 ファイルアクセスに対する許可または禁止の決定を示すテーブルである。 ユーザ認証の画面の一例を示す図である。

符号の説明

１００ 情報処理装置、 １０１ ランチャプログラム、 １０２ 機密アプリケーション、 １０３ アプリケーション動作制御手段、 １０４ 通常アプリケーション、 １０５ アクセス制御部、 １０６ 処理内容判別手段、 １０７ 制御対象判定手段、 １０８ アクセス制御手段、 １０９ ＯＳ、 １１０ 記憶装置、 １１１ デバイス制御部、 １１２ 表示装置、 １１３ 入力装置、 １１４ 通信装置、 １１５ 情報記録装置、 １１６ 機密情報格納領域、 １１７ 通常情報格納領域、 １１８ ポリシ、 １１９ ネットワーク、 １２０ 中央処理装置、 １２１ 情報処理装置、 １３０ 通信線、 １５０ 機密情報漏洩防止システム

図１は、本発明の第一の実施形態に係る機密情報漏洩防止システム１５０を示すブロック図である。機密情報漏洩防止システム１５０は、制御対象アプリケーションの動作を制御するアプリケーション動作制御手段１０３と、アプリケーションからデバイスへのアクセス処理の内容を判別する処理内容判別手段１０６と、処理内容判別手段１０６による判別結果に応じて、アプリケーションが制御対象アプリケーションであるか否かを判定する制御対象判定手段１０７と、制御対象判定手段１０７による判定結果においてアプリケーションが制御対象アプリケーションではない場合に、アプリケーションのデバイスへのアクセスを不許可とするアクセス制御手段１０８と、を備えている。

図２は、本発明の第一の実施形態に係る機密情報漏洩防止システム１５０を内部に含む情報処理装置１００の更に詳細なブロック図である。

図２に示すように、情報処理装置１００は、記憶装置１１０と、中央処理装置（ＣＰＵ：Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１２０と、デバイス制御部１１１と、情報記録装置１１５と、これらを相互に電気的に接続する通信線１３０と、から構成されている。

記憶装置１１０は、ランチャプログラム１０１と、機密アプリケーション１０２と、通常アプリケーション１０４と、本発明の第一の実施形態に係る機密情報漏洩防止システム１５０と、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）１０９と、ポリシ１１８と、を格納している。

また、本実施形態に係る機密情報漏洩防止システム１５０は、アプリケーションの動作制御を行う機能であるアプリケーション動作制御手段１０３とファイルアクセス制御機能であるアクセス制御部１０５とから構成され、アクセス制御部１０５は、さらに、処理内容判別手段１０６と、制御対象判定手段１０７と、アクセス制御手段１０８と、から構成されている。

情報記録装置１１５は、機密情報格納領域１１６と、通常情報格納領域１１７と、を備えている。

情報処理装置１００は、表示装置１１２と、入力装置１１３と、通信装置１１４とにそれぞれ接続されている。表示装置１１２、入力装置１１３及び通信装置１１４は何れも情報処理装置１００に対する外部装置である。

ランチャプログラム１０１は、機密情報を扱うアプリケーションを起動する際に利用されるプログラムである。ランチャプログラム１０１により起動されたアプリケーションが機密アプリケーション１０２となる。

機密アプリケーション１０２が機密情報を扱うアプリケーションであるのに対して、通常アプリケーション１０４は通常情報を扱うアプリケーションである。

さらに、機密アプリケーション１０２がランチャプログラム１０１により起動されるのに対して、通常アプリケーション１０４は、通常通りに起動される、すなわち、ランチャプログラム１０１によらずに起動される。

なお、本明細書において、機密情報とは、権限を有する者以外には開示することが禁止されている情報を指し、通常情報とは機密情報以外の情報、すなわち、公開可能な情報を指す。

ランチャプログラム１０１により起動された機密アプリケーション１０２にはアプリケーション動作制御手段１０３が付加される。

アプリケーション動作制御手段１０３は制御対象アプリケーションである機密アプリケーション１０２の動作を制御する。

具体的には、アプリケーション動作制御手段１０３により、アプリケーションが実行する印刷、コピー＆貼り付け（ｃｏｐｙ＆ｐａｓｔｅ）、ネットワーク送信、通常アプリケーションとの通信などシステムコールの呼び出しをフックし、ポリシ１１８に応じて、システムコールの実行がブロックされる。

また、アプリケーション動作制御手段１０３は、ファイルの書き込み時においても、システムコールの呼び出しをフックし、ファイルの書き込み先が機密情報格納領域１１６に変更されるようにファイルパスを変更する。ファイルの読み出し時には、アプリケーション動作制御手段１０３は、機密情報格納領域１１６からファイルを読み出す。また、機密情報格納領域１１６にファイルが存在しない場合には、アプリケーション動作制御手段１０３は、通常情報格納領域１１７からファイルを読み出す。

上述のように、アクセス制御部１０５は、処理内容判別手段１０６と制御対象判定手段１０７とアクセス制御手段１０８とから構成される。

処理内容判別手段１０６はアプリケーションからデバイスへのアクセス処理の内容を判別する。具体的には、処理内容判別手段１０６は、アプリケーションが情報記録装置１１５にアクセスするためにファイルやディレクトリを開いた際に、書き込みフラグが付いているか否かを判別する。

制御対象判定手段１０７は、処理内容判別手段１０６による判別結果に応じて、デバイスにアクセスしたアプリケーションを特定し、当該アプリケーションが制御対象アプリケーションすなわち機密アプリケーション１０２であるか否かを判定する。具体的には、制御対象判定手段１０７は、処理内容判別手段１０６により書き込みフラグが付いていると判別された要求のうち、機密アプリケーション１０２からの要求、つまり、アプリケーション動作制御手段１０３が付加されたアクセスであるか否かを判定する。

アクセス制御手段１０８は、制御対象判定手段１０７において、機密アプリケーション１０２ではない、つまり、通常アプリケーション１０４であると判定されたアプリケーションからの機密情報格納領域１１６へのアクセスの要求を遮断する。

ＯＳ１０９は、例えば、Ｍｉｃｒｏｓｏｆｔ（登録商標）社のＷｉｎｄｏｗｓ（登録商標）からなる。

記憶装置１１０と中央処理装置１２０と、デバイス制御部１１１と、情報記録装置１１５とを相互に電気的に接続する通信線１３０は、例えば、バスからなる。

デバイス制御部１１１は、ハードディスクその他のハードウェアを制御する制御機構である。

情報記録装置１１５は、ハードディスクその他の記録装置からなり、機密情報格納領域１１６と通常情報格納領域１１７とを有している。

機密情報格納領域１１６は、機密アプリケーション１０２が読み書きを行う機密情報を記録する。

通常情報格納領域１１７は、通常アプリケーション１０４が読み書きを行う通常情報を記録する。また、必要な場合にのみ、機密アプリケーション１０２が通常情報格納領域１１７から読み出しを行う。

ポリシ１１８は、ポリシ情報として、ファイル書き込み時の変更先のパスを記憶しているとともに、印刷、通常アプリケーションとの通信、ネットワーク送信、コピー＆貼り付けの許可または禁止を定める情報を記憶している。

表示装置１１２は、例えば、液晶表示装置その他のディスプレイからなり、デバイス制御部１１１により、その動作が制御される。

入力装置１１３は、キーボードやマウス等の入力機構であり、デバイス制御部１１１により、その動作が制御される。

通信装置１１４は、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）などを利用した通信を行う通信機構であり、デバイス制御部１１１により、その動作が制御される。通信装置１１４は、さらに、ネットワーク１１９を介して、他の情報処理装置１２１と通信可能であるように構成されている。

なお、記憶装置１１０には複数のシェル（図示せず）が格納されている。ここに、シェルとは、ファイルのコピー、移動、名称変更または削除、プログラムの起動及び終了などについて、ＯＳ１０９がユーザに提供するユーザインターフェースを実現するソフトウェアモジュール（プログラム）である。

複数のシェルが実行されている場合には、表示装置１１２及び入力装置１１３を通じて同時に利用可能なユーザインターフェースは、いずれか一つのシェルと当該シェルから起動されたプログラムとが提供するユーザインターフェースだけである。換言すれば、表示装置１１２を介してユーザが見ることができるシェル（プログラム）、すなわち、可視のシェルは常に一つだけである。なお、この可視のシェルから起動されたプログラムが提供するユーザインターフェースも可視となる。

ユーザが、他のシェル（当該シェルから起動されたプログラムがある場合には、そのプログラムも含む）が提供するユーザインターフェースを利用するときには、入力装置１１３を介して、現在可視となっているシェルを他のシェルに切り替えるためのシステムコールをＯＳ１０９に発信する。

図２に示すように、記憶装置１１０には、処理内容判別手段１０６、制御対象判定手段１０７及びアクセス制御手段１０８からなるアクセス制御部１０５と、アプリケーション動作制御手段１０３とが格納されている。これは、ＣＰＵ１２０に実行されることによって、情報処理装置１００において、これらの各手段１０６、１０７、１０８及び１０３を具現化するプログラムが記憶装置１１０に格納されていることを示している。

また、記憶装置１１０に格納されているプログラムやデータは、情報処理装置１００が利用可能な記憶媒体や通信媒体を介して、他の装置から情報記録装置１１５に格納することが可能である。これらのプログラムやデータは、必要時に、記憶装置１１０に出力される。

図３は、本発明の第一の実施形態に係る機密情報漏洩防止システム１５０を内部に含む情報処理装置１００の動作を示すフローチャートである。

以下、図３を参照して、本発明の第一の実施形態に係る機密情報漏洩防止システム１５０を内部に含む情報処理装置１００の動作を説明する。

ユーザが入力装置１１３を介して起動コマンドを入力することにより、ＣＰＵ１２０は情報処理装置１００を起動させる。

次いで、ユーザは機密アプリケーション１０２または通常アプリケーション１０４を起動させる（ステップＳ２０１）。この場合、機密アプリケーション１０２を起動させる場合には、機密アプリケーション１０２はランチャプログラム１０１を経由して起動され、機密アプリケーション１０２には、アプリケーション動作制御機能としてのアプリケーション動作制御手段１０３が付加される。

次いで、アクセス制御部１０５のアクセス制御手段１０８はポリシ１１８にアクセスし、ポリシ１１８からポリシ情報を取得する（ステップＳ２０２）。

ポリシ情報の取得後、アクセス制御部１０５の処理内容判別手段１０６は、ユーザから要求されたアプリケーションの動作がどのような動作であるのかの判別を行う（ステップＳ２０３）。

具体的には、アクセス制御部１０５の処理内容判別手段１０６は、ユーザから要求されたアプリケーションの動作が、ファイルへのアクセス、プリント（印刷）、他のアプリケーションとの間の通信、ネットワークへのアクセス並びにコピー＆貼り付けの何れであるのかを判別する。

ユーザから要求されたアプリケーションの動作がファイルへのアクセスであると処理内容判別手段１０６により判別された場合（ステップＳ２０４）、制御対象判定手段１０７は、当該アプリケーションが機密アプリケーション１０２であるか否かを判定する（ステップＳ２０５）。

例えば、制御対象判定手段１０７は、当該アプリケーションがランチャプログラム１０１により起動されたか否かによって、あるいは、アプリケーション動作制御手段１０３が付加されているか否かによって、当該アプリケーションが機密アプリケーション１０２であるか否かを判定する。

当該アプリケーションが機密アプリケーション１０２である場合には（ステップＳ２０５のＹＥＳ）、アクセス制御手段１０８はアプリケーション動作制御手段１０３に対してファイルパス変更信号を送信する。

アクセス制御手段１０８からファイルパス変更信号を受信したアプリケーション動作制御手段１０３は、ファイルへの書き込みが要求されている場合には、ファイルへの書き込み先が機密情報格納領域１１６に変更されるようにファイルパスを変更する（ステップＳ２０６）。

ファイルパスの変更は、例えば、特開２００６−１２７１２７号公報に記載されている方法を用いることができる。

以後、後述する図４に示すアクセスポリシに従ってファイルアクセスの処理がなされる（ステップＳ２０７）。

当該アプリケーションが機密アプリケーション１０２ではない場合、すなわち、当該アプリケーションが通常アプリケーション１０４である場合には（ステップＳ２０５のＮＯ）、図４に示すアクセスポリシに従ってファイルアクセスの処理がなされる（ステップＳ２０７）。

ユーザから要求されたアプリケーションの動作がプリント（印刷）であると処理内容判別手段１０６により判別された場合（ステップＳ２０８）、制御対象判定手段１０７は、当該アプリケーションが機密アプリケーション１０２であるか否かを判定する（ステップＳ２０９）。

当該アプリケーションが機密アプリケーション１０２ではない場合、すなわち、当該アプリケーションが通常アプリケーション１０４である場合には（ステップＳ２０９のＮＯ）、その印刷処理が実行される（ステップＳ２１１）。

当該アプリケーションが機密アプリケーション１０２である場合には（ステップＳ２０９のＹＥＳ）、アクセス制御手段１０８は、既に取得したポリシ情報（ステップＳ２０２）に従って、プリント（印刷）処理が許可されているか、または、禁止されているかを判定する（ステップＳ２１０）。

なお、図３に示したフローチャートにおいては、アプリケーションの起動（ステップＳ２０１）に続いて、ポリシの取得（ステップＳ２０２）が行われているが、ポリシの取得は、プリント（印刷）処理が許可されているか、または、禁止されているかの判定（ステップＳ２１０）を行う前の段階であれば、任意の段階で行うことが可能である。

プリント（印刷）処理が禁止されている場合には（ステップＳ２１０のＹＥＳ）、アクセス制御手段１０８はその印刷処理をブロックする（ステップＳ２１２）。

プリント（印刷）処理が禁止されていない場合には（ステップＳ２１０のＮＯ）、プリント（印刷）処理が実行される（ステップＳ２１１）。

ユーザから要求されたアプリケーションの動作が他のアプリケーションとの間における通信であると処理内容判別手段１０６により判別された場合（ステップＳ２１３）、制御対象判定手段１０７は、当該アプリケーションが機密アプリケーション１０２であるか否かを判定する（ステップＳ２１４）。

当該アプリケーションが機密アプリケーション１０２ではない場合、すなわち、当該アプリケーションが通常アプリケーション１０４である場合には（ステップＳ２１４のＮＯ）、他のアプリケーションとの間の通信処理が実行される（ステップＳ２１６）。

当該アプリケーションが機密アプリケーション１０２である場合には（ステップＳ２１４のＹＥＳ）、アクセス制御手段１０８は、既に取得したポリシ情報（ステップＳ２０２）に従って、他のアプリケーションとの間の通信処理が許可されているか、または、禁止されているかを判定する（ステップＳ２１５）。

他のアプリケーションとの間の通信処理が禁止されている場合には（ステップＳ２１５のＹＥＳ）、アクセス制御手段１０８は他のアプリケーションとの間の通信処理をブロックする（ステップＳ２１７）。

他のアプリケーションとの間の通信処理が禁止されていない場合には（ステップＳ２１５のＮＯ）、他のアプリケーションとの間の通信処理が実行される（ステップＳ２１６）。

ユーザから要求されたアプリケーションの動作がネットワークへのアクセスであると処理内容判別手段１０６により判別された場合（ステップＳ２１８）、制御対象判定手段１０７は、当該アプリケーションが機密アプリケーション１０２であるか否かを判定する（ステップＳ２１９）。

当該アプリケーションが機密アプリケーション１０２ではない場合、すなわち、当該アプリケーションが通常アプリケーション１０４である場合には（ステップＳ２１９のＮＯ）、ネットワークへのアクセスが実行される（ステップＳ２２１）。

当該アプリケーションが機密アプリケーション１０２である場合には（ステップＳ２１９のＹＥＳ）、アクセス制御手段１０８は、既に取得したポリシ情報（ステップＳ２０２）に従って、ネットワークへのアクセスが許可されているか、または、禁止されているかを判定する（ステップＳ２２０）。

ネットワークへのアクセスが禁止されている場合には（ステップＳ２２０のＹＥＳ）、アクセス制御手段１０８はネットワークへのアクセスをブロックする（ステップＳ２２２）。

ネットワークへのアクセスが禁止されていない場合には（ステップＳ２２０のＮＯ）、ネットワークへのアクセスが実行される（ステップＳ２２１）。

ユーザから要求されたアプリケーションの動作がコピー＆貼り付けであると処理内容判別手段１０６により判別された場合（ステップＳ２２３）、制御対象判定手段１０７は、当該アプリケーションが機密アプリケーション１０２であるか否かを判定する（ステップＳ２２４）。

当該アプリケーションが機密アプリケーション１０２ではない場合、すなわち、当該アプリケーションが通常アプリケーション１０４である場合には（ステップＳ２２４のＮＯ）、コピー＆貼り付けが実行される（ステップＳ２２６）。

当該アプリケーションが機密アプリケーション１０２である場合には（ステップＳ２２４のＹＥＳ）、アクセス制御手段１０８は、既に取得したポリシ情報（ステップＳ２０２）に従って、コピー＆貼り付けが許可されているか、または、禁止されているかを判定する（ステップＳ２２５）。

コピー＆貼り付けが禁止されている場合には（ステップＳ２２５のＹＥＳ）、アクセス制御手段１０８はコピー＆貼り付けをブロックする（ステップＳ２２７）。

コピー＆貼り付けが禁止されていない場合には（ステップＳ２２５のＮＯ）、コピー＆貼り付けが実行される（ステップＳ２２６）。

次いで、アクセス制御部１０５の処理内容判別手段１０６はユーザから要求されたアプリケーションの全ての動作が終了したか否かを判定する（ステップＳ２２８）。

ユーザから要求されたアプリケーションの全ての動作が終了していない場合には（ステップＳ２２８のＮＯ）、アクセス制御部１０５の処理内容判別手段１０６はユーザから要求されたアプリケーションの動作が何れの動作であるかを判定し（ステップＳ２０３）、以後、ポリシ情報に応じて、その動作の許否が決定される。

ユーザから要求されたアプリケーションの全ての動作が終了した場合には（ステップＳ２２８のＹＥＳ）、処理を終了する（ステップＳ２２９）。

図４は、ステップＳ２０７において、アクセス制御部１０５のアクセス制御手段１０８が行うファイルアクセスに対する許可または禁止の決定を示すテーブルである。

ユーザから要求されたアプリケーションの動作がファイルへのアクセス（ステップＳ２０４）である場合、アクセス制御部１０５の処理内容判別手段１０６はそのファイルアクセス要求がファイルへの書き込み要求であるか、あるいは、ファイルからの読み出し要求であるかを判定するとともに、要求対象が機密情報格納領域１１６であるか、あるいは、通常情報格納領域１１７であるかを判定する。

さらに、アクセス制御部１０５の制御対象判定手段１０７は、ユーザが指定したアプリケーションが機密アプリケーション１０２であるか、あるいは、通常アプリケーション１０４であるかを判定する。

ユーザからの要求が（１）ファイルへの書き込み要求であるか、あるいは、ファイルからの読み出し要求であるか、（２）要求対象が機密情報格納領域１１６であるか、あるいは、通常情報格納領域１１７であるか、さらに、（３）ユーザが指定したアプリケーションが機密アプリケーション１０２であるか、あるいは、通常アプリケーション１０４であるかによって、アクセス制御手段１０８の決定の内容が異なる。

ユーザからの要求がファイルへの書き込み要求であり、要求対象が機密情報格納領域１１６であり、かつ、ユーザが指定したアプリケーションが機密アプリケーション１０２である場合には、アクセス制御部１０５のアクセス制御手段１０８は、アクセスポリシ（１）に示すように、機密アプリケーション１０２による機密情報格納領域１１６への書き込み要求を許可する。

ユーザからの要求がファイルへの書き込み要求であり、要求対象が通常情報格納領域１１７であり、かつ、ユーザが指定したアプリケーションが機密アプリケーション１０２である場合には、アクセス制御部１０５のアクセス制御手段１０８は、アクセスポリシ（２）に示すように、機密アプリケーション１０２による通常情報格納領域１１７への書き込み要求を禁止する。ただし、この場合には、アプリケーション動作制御手段１０３により、ファイルパスが変更されるため、要求それ自体が存在し得ない。

ユーザからの要求がファイルへの書き込み要求であり、要求対象が機密情報格納領域１１６であり、かつ、ユーザが指定したアプリケーションが通常アプリケーション１０４である場合には、アクセス制御部１０５のアクセス制御手段１０８は、アクセスポリシ（３）に示すように、通常アプリケーション１０４による機密情報格納領域１１６への書き込み要求を禁止する。

ユーザからの要求がファイルへの書き込み要求であり、要求対象が通常情報格納領域１１７であり、かつ、ユーザが指定したアプリケーションが通常アプリケーション１０４である場合には、アクセス制御部１０５のアクセス制御手段１０８は、アクセスポリシ（４）に示すように、通常アプリケーション１０４による通常情報格納領域１１７への書き込み要求を許可する。

ユーザからの要求がファイルからの読み出し要求であり、要求対象が機密情報格納領域１１６であり、かつ、ユーザが指定したアプリケーションが機密アプリケーション１０２である場合には、アクセス制御部１０５のアクセス制御手段１０８は、アクセスポリシ（５）に示すように、機密アプリケーション１０２による機密情報格納領域１１６からの読み出し要求を許可する。

ユーザからの要求がファイルからの読み出し要求であり、要求対象が通常情報格納領域１１７であり、かつ、ユーザが指定したアプリケーションが機密アプリケーション１０２である場合には、アクセス制御部１０５のアクセス制御手段１０８は、アクセスポリシ（６）に示すように、アクセス制御部１０５により機密情報格納領域１１６にファイルが存在しないことが確認された場合のみ許可し、アクセス制御部１０５により機密情報格納領域１１６にファイルが存在することが確認された場合には禁止される。

ユーザからの要求がファイルからの読み出し要求であり、要求対象が機密情報格納領域１１６であり、かつ、ユーザが指定したアプリケーションが通常アプリケーション１０４である場合には、アクセス制御部１０５のアクセス制御手段１０８は、アクセスポリシ（７）に示すように、通常アプリケーション１０４による機密情報格納領域１１６からの読み出し要求は禁止される。

ユーザからの要求がファイルからの読み出し要求であり、要求対象が通常情報格納領域１１７であり、かつ、ユーザが指定したアプリケーションが通常アプリケーション１０４である場合には、アクセス制御部１０５のアクセス制御手段１０８は、アクセスポリシ（８）に示すように、通常アプリケーション１０４による通常情報格納領域１１７からの読み出し要求は許可される。

次いで、本実施形態に係る機密情報漏洩防止システム１５０によって得られる効果について説明する。

本実施形態に係る機密情報漏洩防止システム１５０によれば、ランチャプログラム１０１を利用して起動された機密アプリケーション１０２の動作を制御することにより、機密アプリケーション１０２からの機密情報の漏洩を防止する。さらに、機密アプリケーション１０２が保存するファイルパスを変更し、その変更されたファイルパスへの通常アプリケーション１０４からのアクセスを遮断することにより、通常のアプリケーションからの機密情報の漏洩を防止している。

このため、機密情報を処理する実行環境と、通常情報を処理する実行環境とを同時に実現し、かつ、機密情報の漏洩を防止することができる。

本実施形態に係る機密情報漏洩防止システム１５０は上記の構成に限定されるものではなく、以下のように、種々の改変が可能である。以下、本実施形態に係る機密情報漏洩防止システム１５０の変更例を示す。

（第一の変更例）
本実施形態に係る機密情報漏洩防止システム１５０を含む情報処理装置１００においては、ランチャプログラム１０１を実行することにより、機密アプリケーション１０２が起動される。ランチャプログラム１０１の実行時において、表示装置１１２に認証画面を表示し、ユーザに対するユーザ認証を行うことが可能である。

図５はユーザ認証の画面の一例を示す。

ランチャプログラム１０１が起動されると、表示装置１１２の表示スクリーンには図５に示すような認証画面が表示される。

情報処理装置１００のユーザは、入力装置１１３を介して、認証画面に自己のユーザＩＤとパスワードとを入力する。

ＣＰＵ１２０は、入力されたユーザＩＤ及びパスワードと、予めユーザにより指定され、記憶されているユーザＩＤ及びパスワードとを比較し、両者が一致した場合のみ、以後のランチャプログラム１０１の実行を許可する。すなわち、真正なユーザＩＤ及びパスワードが入力された場合のみ、ランチャプログラム１０１を介して、機密アプリケーション１０２が起動される。

（第二の変更例）
本実施形態に係る機密情報漏洩防止システム１５０を含む情報処理装置１００においては、アプリケーション動作制御手段１０３は、ファイルの書き込み時には、ファイルの書き込み先が機密情報格納領域１１６に変更されるように、機密アプリケーション１０２が保存するファイルパスを変更する。

ファイルパスを変更する際、アプリケーション動作制御手段１０３は、変更後のファイルパスを暗号化することができる。変更後のファイルパスを暗号化した場合には、アプリケーション動作制御手段１０３は、ファイルの読み出し時において、ファイルパスを復号化する。

（第三の変更例）
第二の変更例において、アプリケーション動作制御手段１０３に代わってアクセス制御部１０５がファイルパスの暗号化及び復号化を行うことも可能である。

（第四の変更例）
本実施形態に係る機密情報漏洩防止システム１５０を含む情報処理装置１００においては、表示装置１１２、入力装置１１３及び通信装置１１４は情報処理装置１００に対する外部装置として配置されているが、情報処理装置１００は表示装置１１２、入力装置１１３及び通信装置１１４を構成要素として含むものとして構成することも可能である。

以下、本実施形態に係る機密情報漏洩防止システム１５０を含む情報処理装置１００の具体的な動作の説明を行う。

まず、ＯＳ１０９としてのＷｉｎｄｏｗｓ（登録商標）上で動作するアプリケーションを起動すると、機密ファイルのリストが表示される。これらのリストには、文書ファイルや表計算ファイルなど様々なものが含まれる。

それらの機密ファイルのうちの１つをダブルクリックすると、ランチャプログラム１０１を経由してアプリケーションが起動される。

起動されたアプリケーションは、機密ファイルの内容を表示し、メニューから、印刷、ネットワーク送信、コピー＆貼り付けその他の各種動作を利用することができるようになっている。

例えば、メニューで印刷を選択した場合、印刷がポリシ１１８により禁止されている場合には（ステップＳ２０８）、印刷禁止のメッセージが表示画面に表示され、印刷が禁止される。

また、ネットワーク送信、コピー＆貼り付けなども同様である。ネットワーク送信やコピー＆貼り付けがポリシ１１８により禁止されている場合には（ステップＳ２１６、Ｓ２２０）、ネットワーク送信またはコピー＆貼り付け禁止のメッセージが表示画面に表示され、ネットワーク送信またはコピー＆貼り付けが禁止される。

なお、コピー＆貼り付けの実施の時期については、ランチャプログラム１０１経由ではなく、通常の起動方法により、文書や表計算などのアプリケーション（機密アプリケーション１０２以外のアプリケーション）を事前に起動しておいても良いし、あるいは、機密アプリケーション１０２を起動した後であっても良い。

機密アプリケーション１０２が内容を編集した後に保存しようとする場合、アプリケーション動作制御手段１０３により、ファイル書き込み時の変更先のファイルパスが変更され、機密情報格納領域１１６に強制的に保存される。

例えば、編集後の内容を「Ｃ：￥機密文書．ｔｘｔ」に保存しようとした場合であっても、強制的に「Ｃ：￥ｓｅｃｒｅｔ￥機密文書．ｔｘｔ」に保存される。

機密アプリケーション１０２を介して、保存したファイルを開こうとした場合に、「Ｃ：￥」のファイルリストを表示すると、「Ｃ：￥ｓｅｃｒｅｔ￥機密文書．ｔｘｔ」に保存されているファイルが、アプリケーション動作制御手段１０３によって、ユーザには「Ｃ：￥機密文書．ｔｘｔ」として存在しているように見える。そのファイルを開こうとした場合、処理内容判別手段１０６、制御対象判定手段１０７及びアクセス制御手段１０８により、ファイルアクセスが許可され、ユーザは意識することなく、保存したファイルを参照することできる。

さらに、通常アプリケーション１０４を介して「Ｃ：￥ｓｅｃｒｅｔ」のファイルリストを表示しようとしても、処理内容判別手段１０６、制御対象判定手段１０７及びアクセス制御手段１０８によって、実体として存在する「Ｃ：￥ｓｅｃｒｅｔ￥機密文書．ｔｘｔ」に保存されているファイルの存在が隠蔽される。このため、通常アプリケーション１０４からは「機密文書．ｔｘｔ」を参照することはできない。

本発明の実施形態として、機密情報漏洩防止システムを取り上げたが、同システムを含む情報処理装置、機密情報漏洩防止方法、及び、同方法をコンピュータに実施させるためのプログラムによっても、本発明に係る機密情報漏洩防止システムと同様の効果を得ることができる。

すなわち、ランチャプログラムを利用して機密アプリケーション（機密情報を利用するアプリケーション）を起動すると、ランチャプログラムを利用して起動された機密アプリケーションには、アプリケーションの動作制御を行う機能が付加され、アプリケーションの動作（印刷、コピー＆貼り付け、ネットワーク送信、通常アプリケーションとの通信、ファイルアクセスのパスなど）が制御される。

また、同時に、アクセス制御機能が導入され、処理内容の解析やランチャプログラムを利用して起動されたアプリケーションか否かが判断され、機密アプリケーション１０２が保存したファイルへの通常アプリケーション１０４からのアクセスを遮断する。

以上により、機密アプリケーション１０２と通常アプリケーション１０４とを同時利用しても、実行環境を切り替えることなく、双方の同時利用が実現可能となるため、ユーザの利便性を確保することが可能となる。

なお、上記のプログラムは、様々な種類の記憶媒体に格納することが可能であり、また、通信媒体を介して伝達されることが可能である。ここで、記憶媒体には、例えば、フレキシブルディスク、ハードディスク、磁気ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＤＶＤ、ＲＯＭカートリッジ、バッテリバックアップ付きＲＡＭメモリカートリッジ、フラッシュメモリカートリッジ、不揮発性ＲＡＭカートリッジ等が含まれる。また、通信媒体には、電話回線等の有線通信媒体、マイクロ波回線等の無線通信媒体等が含まれ、インターネットも含まれる。

以上、実施の形態を参照して本願発明を説明したが、本願発明は上記によって限定されるものではない。本願発明の構成や詳細には、発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

この出願は、２００８年３月３日に出願された日本出願特願２００８−０５２７１３を基礎とする優先権を主張し、その開示の全てをここに取り込む。

本発明は、機密情報漏洩防止システム、同システムを含む情報処理装置、機密情報漏洩防止方法、及び、同方法をコンピュータに実施させるためのプログラムに適用することができる。

Claims (15)

1. 制御対象アプリケーションの動作を制御するアプリケーション動作制御手段と、
   アプリケーションからデバイスへのアクセス処理の内容を判別する処理内容判別手段と、
   前記処理内容判別手段による判別結果、および前記アプリケーションがランチャプログラムにより起動されたアプリケーションであるか否かに応じて、前記アプリケーションが前記制御対象アプリケーションであるか否かを判定する制御対象判定手段と、
   前記制御対象判定手段による判定結果において前記アプリケーションが前記制御対象アプリケーションではない場合に、前記アプリケーションの前記デバイスへのアクセスを不許可とするアクセス制御手段と、を備え、
   前記ランチャプログラムにより起動された前記アプリケーションには、前記ランチャプログラムによって、前記アプリケーション動作制御手段が付加され、
   前記アプリケーション動作制御手段は、前記ランチャプログラムにより起動されたアプリケーションを機密情報格納領域へのアクセス制御対象から外す、
   ことを特徴とする機密情報漏洩防止システム。
2. 前記ランチャプログラムにより起動された前記アプリケーションと、前記制御対象ではないアプリケーションとを同時に利用することができることを特徴とする請求項１に記載の機密情報漏洩防止システム。
3. 前記アプリケーション動作制御手段により、アプリケーションによる印刷、コピー及び貼り付け、ネットワーク送信、通常アプリケーションとの通信の動作について、システムコールの呼び出しをフックし、ポリシに応じて、システムコールの実行をブロックし、あるいは、前記アプリケーション動作制御手段により、アプリケーションによるファイルアクセスの動作について、システムコールの呼び出しをフックし、ファイルアクセスのファイルパスの変更を行うことを特徴とする請求項１または２に記載の機密情報漏洩防止システム。
4. 前記制御対象判定手段は、前記アプリケーション動作制御手段が付加されているか否かによって、前記アプリケーションが前記制御対象アプリケーションであるか否かを判定することを特徴とする請求項１に記載の機密情報漏洩防止システム。
5. 前記アプリケーション動作制御手段は、
   ファイルの書き込み時には、前記ファイルの書き込み先が前記機密情報格納領域に変更されるようにファイルパスを変更し、
   ファイルの読み出し時には、前記機密情報格納領域からファイルを読み出し、
   前記機密情報格納領域にファイルが存在しない場合には、通常情報格納領域からファイルを読み出すことを特徴とする請求項３に記載の機密情報漏洩防止システム。
6. 前記アクセス制御手段は、前記制御対象判定手段による判定結果において前記アプリケーションが前記制御対象アプリケーションである場合には、予め定められたポリシに従って、前記アプリケーションの前記デバイスへのアクセスの許可または不許可を決定することを特徴とする請求項１乃至５の何れか一項に記載の機密情報漏洩防止システム。
7. 記憶装置と、
   中央処理装置と、
   デバイス制御部と、
   情報記録装置と、
   を備える情報処理装置であって、
   前記記憶装置は、
   機密情報を扱うアプリケーションを起動させるランチャプログラムと、
   機密情報を扱う機密アプリケーションと、
   非機密情報を扱う通常アプリケーションと、
   ファイルへのアクセス権を定めたポリシと、
   前記情報処理装置の動作を管理するオペレーテングシステムと、
   請求項１乃至６の何れか一項に記載する機密情報漏洩防止システムを実現するプログラムと、
   を記憶しており、
   前記デバイス制御部は前記情報処理装置に接続されるデバイスの動作を制御し、
   前記情報記憶装置は、機密情報を格納する機密情報格納領域と、非機密情報を格納する通常情報格納領域とを有している情報処理装置。
8. アプリケーションからデバイスへのアクセス処理の内容を判別する第一の過程と、
   前記第一の過程における判別結果に応じて、前記デバイスにアクセスしたアプリケーションを特定し、当該アプリケーションがランチャプログラムにより起動されたアプリケーションであるか否かにより、当該アプリケーションが制御対象アプリケーションであるか否かを判定する第二の過程と、
   前記第二の過程における判定結果において前記アプリケーションが前記制御対象アプリケーションではない場合に、前記アプリケーションの前記デバイスへのアクセスを不許可とする第三の過程と、
   前記ランチャプログラムにより起動されたアプリケーションを機密情報格納領域へのアクセス制御対象から外す第四の過程と、
   を備えることを特徴とする機密情報漏洩防止方法。
9. 前記制御対象アプリケーションによる印刷、コピー及び貼り付け、ネットワーク送信、通常アプリケーションとの通信の動作について、システムコールの呼び出しをフックし、ポリシに応じて、システムコールの実行をブロックする過程をさらに備えることを特徴とする請求項８に記載の機密情報漏洩防止方法。
10. 前記制御対象アプリケーションによるファイルアクセスの動作について、システムコールの呼び出しをフックし、ファイルアクセスのファイルパスの変更を行う過程をさらに備えることを特徴とする請求項８に記載の機密情報漏洩防止方法。
11. 前記制御対象アプリケーションによるファイルの書き込み時には、前記ファイルの書き込み先が前記機密情報格納領域に変更されるようにファイルパスを変更する過程と、
    前記制御対象アプリケーションによるファイルの読み出し時には、前記機密情報格納領域からファイルを読み出す過程と、
    前記機密情報格納領域にファイルが存在しない場合には、通常情報格納領域からファイルを読み出す過程と、
    をさらに備えることを特徴とする請求項９または１０に記載の機密情報漏洩防止方法。
12. 機密情報漏洩防止方法をコンピュータに実行させるためのプログラムであって、
    前記プログラムが行う処理は、
    アプリケーションからデバイスへのアクセス処理の内容を判別する第一の処理と、
    前記第一の処理における判別結果に応じて、前記デバイスにアクセスしたアプリケーションを特定し、当該アプリケーションがランチャプログラムにより起動されたアプリケーションであるか否かにより、当該アプリケーションが制御対象アプリケーションであるか否かを判定する第二の処理と、
    前記第二の処理における判定結果において前記アプリケーションが前記制御対象アプリケーションではない場合に、前記アプリケーションの前記デバイスへのアクセスを不許可とする第三の処理と、
    前記ランチャプログラムにより起動されたアプリケーションを機密情報格納領域へのアクセス制御対象から外す第四の処理と、
    からなるものであるプログラム。
13. 前記制御対象アプリケーションによる印刷、コピー及び貼り付け、ネットワーク送信、通常アプリケーションとの通信の動作について、システムコールの呼び出しをフックし、ポリシに応じて、システムコールの実行をブロックする処理をさらに備えることを特徴とする請求項１２に記載のプログラム。
14. 前記制御対象アプリケーションによるファイルアクセスの動作について、システムコールの呼び出しをフックし、ファイルアクセスのファイルパスの変更を行う処理をさらに備えることを特徴とする請求項１２に記載のプログラム。
15. 前記制御対象アプリケーションによるファイルの書き込み時には、前記ファイルの書き込み先が前記機密情報格納領域に変更されるようにファイルパスを変更する処理と、
    前記制御対象アプリケーションによるファイルの読み出し時には、前記機密情報格納領域からファイルを読み出す処理と、
    前記機密情報格納領域にファイルが存在しない場合には、通常情報格納領域からファイルを読み出す処理と、
    をさらに備えることを特徴とする請求項１３または１４に記載のプログラム。

Images