JP5631251B2

JP5631251B2 - 情報漏洩防止方法

Info

Publication number: JP5631251B2
Application number: JP2011079468A
Authority: JP
Inventors: 若菜坂井
Original assignee: Hitachi Solutions Ltd
Current assignee: Hitachi Solutions Ltd
Priority date: 2011-03-31
Filing date: 2011-03-31
Publication date: 2014-11-26
Anticipated expiration: 2031-03-31
Also published as: JP2012215973A

Description

本発明は、企業、団体等の各種組織内における機密情報を外部に持ち出して編集する必要が生じた場合でも、持ち出した機密情報が組織外の第３者に漏洩しないように編集することができる情報漏洩防止方法およびシステムに関するものである。

た個人情報保護法により情報漏洩対策は企業等の組織にとって重要な課題になっている。
その対策として、社外に漏らしてはならない情報については、基本的には、リムーバブルメディアや携帯型コンピュータに記憶させて社外に持ち出すことを禁止し、やむを得ず社外に持ち出す場合には暗号化することを強制するようにしたシステムが開発されている。
しかしながら、暗号化して持ち出したとしても、例えば出張先のホテルのパーソナルコンピュータにリムーバブルメディアから読み出した機密情報を置き忘れた場合、機密情報が漏洩してしまう危険性がある。
そこで、リムーバブルメディアに記憶させる情報については特有の暗号アルゴリズムによって自動的に暗号化し、リムーバブルメディアから読み出して編集した機密情報については当該リムーバブルメディアのみ保存可能とし、復号処理時には認証サーバによる確認が必須というシステムが提案されている（特許文献１参照）。

特開２００７−１１５１１号公報上記システムによれば、リムーバブルメディア自体を紛失したとしても、リムーバブルメディア特有の暗号アルゴリズムによって機密情報が暗号化されているし、リムーバブルメディアから読み出した機密情報については当該リムーバブルメディア以外には保存することができないので、例えばホテルのパーソナルコンピュータで編集したとしてもそのパーソナルコンピュータに機密情報を置き忘れてしまい、第３者に漏洩してしまう危険性がない。また、ＵＳＢメモリに保存した暗号化文書ファイルを開く際には、パスワード認証を実施するため、リムーバブルメディアを紛失した場合でも暗号化文書ファイルを開くことができない。さらに、組織鍵認証を実施するため、組織が認証したリムーバブルメディア以外では復号プログラムを起動できず、平文の文書が組織外のコンピュータに保存されて漏洩してしまうことを防止することができる。

しかし、前記特許文献１では、リムーバブルメディアからコピーされた復号プログラムやハードディスク内に復号された機密情報の平文、新たに機密情報として保存された文書ファイルの平文を削除する処理がない。そのため、使用した環境にはデータが残ったままの状態になり、利用したコンピュータから機密情報を第３者に漏洩してしまう危険性を含んでいる。

本発明の目的は、リムーバブルメディア使用後、リムーバブルメディアからコピーされた復号プログラムおよびハードディスク内に残っている機密情報の平文を削除する技術を提供することにある。

上記目的を達成するために、本発明は、機密情報を管轄する組織に特有の組織鍵を埋め込んだ暗号化機密情報の復号プログラムを記憶させたリムーバブルメディアを作成し、そのリムーバブルメディアに記憶した復号プログラムを前記組織内のコンピュータに組み込む場合に当該復号プログラムに埋め込んだ組織鍵が前記組織に特有の組織鍵に該当するかを前記組織の認証サーバにおいて認証し、前記組織鍵が前記組織に特有の組織鍵に該当する場合にのみ前記復号プログラムの組み込みを許可する第１のステップと、
前記組織内のコンピュータに組み込んだ前記復号プログラムを起動する場合に、当該復号プログラムに埋め込んだ組織鍵が前記組織に特有の組織鍵に該当するかを前記組織の認証サーバにおいて認証し、前記組織鍵が前記組織に特有の組織鍵に該当する場合にのみ当該復号プログラムを起動させる第２のステップとを備える情報漏洩防止方法において、
前記起動された前記復号プログラムによって復号された機密情報の平文の前記コンピュータでの編集処理後の保存操作時に、保存対象の平文を暗号化して前記リムーバブルメディアの保存すると共に、前記コンピュータ内から保存対象の平文を削除する第３のステップと、前記リムーバブルメディアの取り外しの際に、当該リムーバブルメディアから前記組織内のコンピュータに組み込んだ前記復号プログラムを削除する第４のステップと、前記復号プログラムを削除する際に当該復号プログラムが組み込まれていた前記組織内のコンピュータのマックアドレス、ＩＰアドレス等の環境情報を収集し、当該リムーバブルメディア内に保存する第５のステップと、前記環境情報を保存したリムーバブルメディアに埋め込んだ復号プログラムを前記組織内のコンピュータに組み込む際に、当該コンピュータの環境情報と当該リムーバブルメディア内に保存した環境情報とが一致するかを比較し、一致する場合には前記組織鍵の認証を前記認証サーバで行うことなく前記復号プログラムの組み込みを許可する第６のステップとを備えることを特徴とする。

本発明によれば、リムーバブルメディア使用後にコピーされた復号プログラムおよびコンピュータのハードディスク内に復号された機密情報の平文が必ず削除されるため、一度使用したから環境から機密情報が漏洩してしまうのを防止することができる。

本発明を適用した情報システムの実施の形態を示すシステム構成図である。組織内のクライアントコンピュータの概要を示すブロック図である。組織外のクライアントコンピュータの概要を示すブロック図である。リムーバブルメディアとして使用するＵＳＢメモリの構成を示す機能ブロック図である。組織内の認証サーバの概要を示すブロック図である。ＵＳＢメモリによって文書を暗号化して持ち出す例を示す図である。ＵＳＢメモリによって持ち出した文書を自宅コンピュータで編集する利用形態を示す図である。ＵＳＢメモリからクライアントコンピュータに復号プログラムをコピーし、そのコピーした復号プログラムの利用形態を示す図である。ＵＳＢメモリを用いた文書操作履歴を記録する契機を示す図である。ＵＳＢメモリを用いた復号履歴を記録する契機を示す図である。コピーされた復号プログラムの削除を示す図であるＵＳＢメモリに保存された復号プログラムコピーツールによって復号プログラムをクライアントコンピュータにコピーする手順を示すフローチャートである。復号プログラムによって暗号化文書ファイルを復号する手順を示すフローチャートである。ＵＳＢメモリ内の文書を暗号化して保存したり、暗号化文書を編集可能に復号する手順を示すフローチャートである。図１４の続きを示すフローチャートである。ＵＳＢメモリを引き抜く際に復号した平文の文書ファイルおよび復号プログラムを削除する手順を示すフローチャートである。同じマシンに復号プログラムをインスト―ルする場合の手順を示すフローチャートである。ＵＳＢメモリ内の文書操作制御プログラムによって暗号化文書を復号した際にファイル操作メニューが変更されることを説明する図である。復号プログラムによって暗号化文書を復号する際に表示されるファイル操作メニューの例を示す図である。

以下、本発明を図面に基づき詳細に説明する。
図１は、本発明を適用した情報システムの実施の形態を示すシステム構成図であり、組織内のクライアントコンピュータ１２〜１４を起動する場合に、それぞれのクライアントコンピュータが当該組織に属する正当なコンピュータであるかを認証する認証サーバ１１が存在している。
各クライアントコンピュータ１２〜１４のユーザは、必要に応じて、リムーバブルメディアであるＵＳＢメモリ１５に機密情報を記憶させて組織外部に持ち出し、組織外のクライアントコンピュータ（例えば自宅のコンピュータ）１６で文書等の編集作業を行うことができる。

図２は、組織内のクライアントコンピュータ１２〜１４の内部構成の概要を示すブロック図であり、キーボード２１、マウス２２、ディスプレイ２３、ＣＰＵ２４、ハードディスク２５を備え、ハードディスク２５内には、文書作成プログラム２５１、情報入出力監視プログラム２５２、復号プログラム２５３が記憶されている。
文書作成プログラム２５１は、文書、表計算などの機能を備えたものである。
情報入出力監視プログラム２５２は、機密情報の外部持ち出しを監視するものであり、組織のセキュリティポリシーに従い、リムーバブルメディアへの格納抑止、印刷抑止、画面コピー抑止などの機能を設定することにより、機密情報の外部漏洩を防止する。
復号プログラム２５３は、ＵＳＢメモリ１５に予め記憶させた復号プログラムのコピーであり、ＵＳＢメモリ１５内の復号プログラムに埋め込んだ組織鍵が認証サーバ１１で管理している組織鍵に該当する場合にのみ、ＵＳＢメモリ１５からハードディスク２５内にコピーされる。
コピーされた場合には、当該ハードディスクの属性（例えばシリアル番号、シリンダ構成など）２５３１、組織鍵２５３２、パスワード２５３３、コピー元のＵＳＢメモリ１５のデバイス属性２５３４が埋め込まれ、コピーしたコンピュータ以外では起動できないようにされる。この復号プログラム２５３には、起動に際して認証サーバ１１での認証を受けるための認証処理２５３５、復号履歴を記録するための復号履歴記録処理２５３６が含まれている。
このクライアントコンピュータ１２〜１４には、ＵＳＢメモリ１５との間でデータを入出力するＵＳＢポートを備えている。

図３は、組織外のクライアントコンピュータ１６の内部構成の概要を示すブロック図であり、キーボード３１、マウス３２、ディスプレイ３３、ＣＰＵ３４、ハードディスク３５を備え、ハードディスク３５内には、文書作成プログラム３５１が記憶されている。また、ＵＳＢメモリ１５との間でデータを入出力するＵＳＢポートを備えている。

図４は、組織内の機密情報を必要に応じて外部に持ち出す際に使用するＵＳＢメモリ１５の内部構成を示す機能ブロック図であり、第１の記憶領域４１と第２の記憶領域４２を備え、第１の記憶領域４１には、文書操作制御プログラム４１１、復号プログラム４１２、復号プログラムコピーツール４１３、復号プログラム削除プログラム４１５が記憶されている。また、第２の記憶領域４２には暗号化文書ファイル４２１が記憶されるようになっている。
文書操作制御プログラム４１１は、当該ＵＳＢメモリ１５に記憶させる機密情報を暗号化する機能と記憶した機密情報を復号する機能を備え、さらに文書の操作履歴を暗号化ログファイル４１４に記録する操作履歴記録処理を備えている。また、復号された文書ファイルを削除する復号文書削除処理４１１５も備えている。
この文書操作制御プログラム４１１は、例えばクライアントコンピュータ１２に当該ＵＳＢメモリ１５を装着し、第２の記憶領域４２に記憶させた暗号化文書ファイル４２１を編集する場合に、暗号化文書ファイル４２１を一旦復号し、その復号した平文の文書ファイルの内容を文書作成プログラム２５１の文書編集画面に表示させるが、その際に、表示させた文書内容を別のファイル名で保存したり、印刷することができないように文書編集画面のメニューを変更する。

すなわち、文書作成プログラム２５１の文書編集画面におけるファイル操作メニューには、通常、図１８（ａ）に例示しているように、新規作成、開く、閉じる、上書き保存、名前を付けて保存、印刷、終了などのメニュー項目があるが、文書操作制御プログラム４１１は復号した平文の文書ファイルの内容を文書作成プログラム２５１の文書編集画面に表示させる場合には、ファイル操作メニューのメニュー項目を図１８（ｂ）に示すように、インポート、開く、閉じる、削除、ＵＳＢメモリに保存、終了といったメニュー項目に変更する。表示させた文書内容を別のファイル名で保存したり、印刷することを抑止するために、編集後の文書内容の保存先はＵＳＢメモリ１５しか指定できないようにし、編集後の文書内容を当該文書操作制御プログラム４１１に特有の暗号アルゴリズムで暗号化して第２の記憶領域４２に保存させる。また、復号した文書ファイルの手動削除を可能にさせる。
さらに、文書操作制御プログラム４１１には、当該ＵＳＢメモリ１５のデバイス属性（例えばシリアル番号やバージョン、シリンダ数など）４１１２が埋め込まれており、デバイス属性が一致しない他のＵＳＢメモリに対して、復号した文書内容を保存できないようにしている。
さらに、文書操作制御プログラム４１１を起動するためのパスワード４１１３と組織鍵４１１４が埋め込まれており、ユーザが入力したパスワードがパスワード４１１３と一致しない場合には、起動しないようになっている。これにより、ＵＳＢメモリ１５自体を紛失した場合でも記憶した暗号化文書ファイル４２１が外部に漏洩する危険性はない。

復号プログラム４１２は、復号プログラムコピーツール４１３によって組織内のクライアントコンピュータ１２〜１４にコピーされて使用されるものであり、コピー先のコンピュータ内で暗号化文書ファイル４２１を復号し、ハードディスク内に保存可能にするものである。
この復号プログラム４１２は、起動に際して、認証サーバ１１の認証を受けるための認証処理（図２の２５３５に相当）と復号履歴記録処理（図２の２５３６に相当）を含んでいる。
また、他のＵＳＢメモリ１５内の文書操作制御プログラム４１１で暗号化した暗号化文書ファイル４２１については復号できないようにするために、同じＵＳＢメモリ１５内の文書操作制御プログラム４１１に埋め込んだデバイス属性４１１２と同じデバイス属性４１２３が埋め込まれている。
さらに、復号プログラム４１２を起動するためのパスワード４１２４と組織鍵４１２５が埋め込まれており、ユーザが入力したパスワードと組織鍵がパスワード４３２２と組織鍵４３２３に一致しない場合には、起動しないようになっている。
これによって、組織鍵が異なる他のＵＳＢメモリに記憶された暗号化文書ファイル４２１を復号できないようになっている。

復号プログラムコピーツール４１３にも、同様に、同じＵＳＢメモリ１５内の文書操作制御プログラム４１１に埋め込んだデバイス属性４１１２と同じデバイス属性４１３１が埋め込まれている。さらに、復号プログラムコピーツール４１３を起動するためのパスワード４１３２と組織鍵４１３３が埋め込まれており、ユーザが入力したパスワードと組織鍵がパスワード４１３２と組織鍵４１３３に一致しない場合には、起動するころが不可能で、組織外のクライアントコンピュータにコピーできないようになっている。
なお、各プログラム４１１，４１２，４１３に埋め込まれるデバイス属性、パスワード、組織鍵は全てＵＳＢメモリ１５に固有の暗号鍵によって暗号化されている。
また、復号プログラムコピーツール４１３は、復号プログラムのコピー履歴をコピーログファイル４１３６に記録するコピー履歴保存処理４１３４も含んでいる。コピーログファイル４１３６は、復号プログラム削除プログラム４１５でも使用される。

図５は、認証サーバ１１の内部構成の概要を示すブロック図であり、キーボード５１、マウス５２、ディスプレイ５３、ＣＰＵ５４、ハードディスク５５、メモリ５６を備え、メモリ５６内には、組織内のクライアントコンピュータ１２〜１４のユーザが正当なユーザであるか、さらにＵＳＢメモリ１５が組織内で認定した正当なＵＳＢメモリであるかを認証するための認証プログラム５６１が記憶されている。
この認証処理は、ハードディスク５５内に記憶した組織鍵やユーザパスワードに基づいて実施される。

図６〜図８は、ＵＳＢメモリ１５により機密情報を外部に持ち出して編集したり、編集した機密情報を組織内のクライアントコンピュータで復号して使用する場合の利用形態の一例を示す図である。
図６は、組織内のクライアントコンピュータ１２の文書作成プログラム２５１で作成した文書６１をＵＳＢメモリ１５に格納して持ち出す場合を示した図である。
文書６１をＵＳＢメモリ１５に格納して持ち出す場合、ＵＳＢメモリ１５を組織内のクライアントコンピュータ１２のＵＳＢポートに装着し、ＵＳＢメモリ１５内の文書操作制御プログラム４１１を起動し、この文書操作制御プログラム４１１のメニュー操作により持ち出したい文書６１を選択し、ＵＳＢメモリ１５内に取り込む。そして、メニュー操作により、取り込んだ文書６１を暗号化してＵＳＢメモリ１５の第２の記憶領域４２に暗号化文書として保存する。
保存した暗号化文書６２は、組織内の他のクライアントコンピュータ１３，１４や組織外のクライアントコンピュータ１６のＵＳＢポートにＵＳＢメモリ１５を装着し、文書操作制御プログラム４１１を起動することにより、文書操作制御プログラム４１１の復号機能によって復号して編集することができる。但し、編集した文書の保存先は当該ＵＳＢメモリ１５に限定される。

図７は、組織内部のクライアントコンピュータ１２で作成してＵＳＢメモリ１５に暗号化して記憶させた文書７３を組織外の自宅のクライアントコンピュータ１６で編集する場合の例を示す図である。
暗号化文書７３を組織外の自宅のクライアントコンピュータ１６で編集する場合、ＵＳＢメモリ１５を自宅のクライアントコンピュータ１６のＵＳＢポートに装着し、ＵＳＢメモリ１５内の文書操作制御プログラム４１１を起動し、この文書操作制御プログラム４１１のメニュー操作により編集対象の暗号化文書７３を選択し、文書操作制御プログラム４１１の復号機能によって復号させ、自宅のクライアントコンピュータ１６の文書作成プログラム３５１を文書操作制御プログラム４１１によって起動し、文書作成プログラム３５１の文書編集画面内に、復号した文書内容を展開し、編集可能にする。
編集後の文書の保存先はＵＳＢメモリ１５に限定され、自宅のクライアントコンピュータ１６に文書７２として保存することはできない。
なお、自宅のクライアントコンピュータ１６で作成した文書７１については、暗号化してＵＳＢメモリ１５に格納して持ち出し、組織内のクライアントコンピュータ１２〜１４で編集することができる。

図８は、ＵＳＢメモリ１５に格納した暗号化文書を復号して組織内のクライアントコンピュータ１２のハードディスク内に保存する場合の例を示す図である。
まず、図８（ａ）に示すように、ＵＳＢメモリ１５内に記憶された復号プログラムコピーツール４１３を起動し、復号プログラム４１２を組織内のクライアントコンピュータ１２にコピーする。このとき、コピー履歴記録処理４１３４によってコピーログファイル４１３６にコピー履歴が格納される。
このコピー操作に際しては、パスワードと組織鍵の認証を認証サーバ１１において行い、正当なパスワードと組織鍵が入力された場合にのみコピーが許可される。
コピーされた復号プログラム４１２に対しては、コピー先のハードディスク２５の属性（図２の２５３１に相当）が埋め込まれると共に、組織鍵４１３３、パスワード４１３２、デバイス属性４１３１（図２の２５３２、２５３３、２５３４に相当）が復号プログラムコピーツール４１３によって組み込まれる。
ＵＳＢメモリ１５内の暗号化文書８２を復号して組織内のクライアントコンピュータ１２のハードディスク内に保存する場合、コピーされた復号プログラム４１２を起動し、図１６に示すような画面１６０１を表示させ、その中のファイルメニューから「暗号化ファイルを開く」を選択し、復号対象の暗号化文書８２を指定し、復号プログラム４１２によって平文の文書８１として復号させる（図８（ｂ））。
この復号プログラム４１２を起動する場合にも、パスワードと組織鍵の認証を認証サーバ１１において行い、正当なパスワードと組織鍵が入力された場合にのみ復号が許可される。

図９（ａ）は、文書操作制御プログラム４１１による文書の操作（文書編集、保存操作）の履歴を記録する例を示す図である。ＵＳＢメモリ１５の文書操作制御プログラム４１１によって組織内のクライアントコンピュータ１２内の文書９１を開いた場合と、暗号化文書９２として保存した場合に、その操作履歴が組織内のクライアントコンピュータ１２の情報入出力監視プログラム２５２に送信され、ＵＳＢメモリ１５を用いた文書の出入りが集中管理される。

図９（ｂ）は、自宅のクライアントコンピュータ１６内の文書９３をＵＳＢメモリ１５の文書操作制御プログラム４１１によって操作した場合の履歴を記録する例を示す図である。ＵＳＢメモリ１５の文書操作制御プログラム４１１によって自宅のクライアントコンピュータ１６内の文書９３を開いた場合と、暗号化文書９４として保存した場合に、文書操作制御プログラム４１１内の操作履歴記録処理４１１１によって暗号化ログファイル４１４に操作履歴が格納される。

図１０（ａ）は、組織内のクライアントコンピュータ１２にコピーされた復号プログラム４１２を起動した際に、ＵＳＢメモリ１５の暗号化ログファイル４１４に記録しておいた操作履歴を情報入出力監視プログラム２５２に送信して記録する例を示す図である。復号プログラム４１２を起動すると、当該復号プログラム４１２はＵＳＢメモリ１５内の暗号化ログファイル４１４に記録された操作履歴を読み込み、情報入出力監視プログラム２７２に送信する。この後、暗号化ログファイル４１４内の操作履歴の情報を削除する。

図１０（ｂ）は、組織内のクライアントコンピュータ１２にコピーされた復号プログラム４１２を起動してＵＳＢメモリ１５内の暗号化文書１０１を復号した際に、その復号履歴を情報入出力監視プログラム２５２に送信して記録する例を示す図である。復号プログラム４１２は暗号化文書１０１を平文の文書１０２として復号したならば、その操作履歴を情報入出力監視プログラム２５２に送信して情報入出力監視プログラム２５２に一括管理させる。

図１１は、ＵＳＢメモリ１５を引き抜く際、組織内のクライアントコンピュータ１２にコピーされた復号プログラムを削除する例を示す図である。
復号プログラム削除プログラム４１５はＵＳＢメモリ１５内のコピーログファイル４１３６から履歴情報を読み込み、コピーした復号プログラムを削除する。
図１２は、ＵＳＢメモリ１５内の復号プログラム４１２を組織内のクライアントコンピュータ１２〜１４にコピーするための復号プログラムコピーツール４１３の処理を示すフローチャートである。
復号プログラム４１２を組織内のクライアントコンピュータ１２にコピーする場合、ＵＳＢメモリ１５をクライアントコンピュータ１２のＵＳＢポートに装着した後、復号プログラムコピーツール４１３を起動する。
起動された復号プログラムコピーツール４１３は、まず、ユーザが当該ＵＳＢメモリ１５内のプログラムの正当な使用権限を有しているかを確認するためにパスワードの入力を促す。
ユーザによってパスワードが入力されたならば、これを受付け、復号プログラムコピーツール４１３内に埋め込んだパスワード４１３２と一致するか否かによってパスワードの認証を行い（ステップ１２０１、１２０２）、一致していた場合には認証成功とした後、復号プログラムコピーツール４１３内に埋め込んである組織鍵４１３３を読み出し、この組織鍵４１３３の認証要求を認証サーバ１１に送信する（ステップ１２０３）。
認証サーバ１１のデータベース５５には、組織内で使用する組織鍵が記憶されているので、認証サーバ１１は復号プログラムコピーツール４１３から送られてきた組織鍵４１３３とデータベース５５に記憶された組織鍵とが一致するか否かによって組織鍵４１３３の認証を行い、その結果を復号プログラムコピーツール４１３に返す。

図13は復号プログラムの処理を示すフローチャートである。
復号プログラムコピーツール４１３は、認証サーバ１１からの認証結果が「認証成功」であった場合（ステップ１２０４）、クライアントコンピュータ１２における復号プログラム４１２のコピー先の指定をユーザから受付け（ステップ１２０５）、その指定されたコピー先に復号プログラム４１２をコピーする（ステップ１２０６）。
この後、図８で説明したように、コピー履歴を保存し（ステップ１２０７）、図２のようにコピーした復号プログラム２５３に対して、コピー先のハードディスク属性２５３１と組織鍵２５３２（４３３３と同じ）およびパスワード２５３３（４３３２と同じ）、デバイス属性２５３４（４３３１と同じ）を埋め込む（ステップ１２０８）。
なお、パスワード認証および組織鍵認証が成功しなかった場合には、エラー表示し（ステップ１２０８）、復号プログラム４１２のコピーを行わない。

図１３は、組織内のクライアントコンピュータ１２にコピーした復号プログラム２５３を起動してＵＳＢメモリ１５内の暗号化文書を復号する場合の復号プログラム２５３の処理を示すフローチャートである。
ＵＳＢメモリ１５内の暗号化文書を復号する場合、組織内のクライアントコンピュータ１２にコピーした復号プログラム２５３を起動する。
起動された復号プログラム２５３は、まず、ユーザが復号プログラム２５３の正当な使用権限を有しているかを確認するためにパスワードの入力を促す。
ユーザによってパスワードが入力されたならば、これを受付け、復号プログラム２５３内に埋め込んだパスワード２５３３と一致するか否かによってパスワードの認証を行い（ステップ１３０１、１３０２）、一致していた場合には認証成功とした後、復号プログラム２５３内に埋め込んである組織鍵２５３２を読み出し、この組織鍵２５３２の認証要求を認証サーバ１１に送信する（ステップ１３０３）。
認証サーバ１１のデータベース５５には、組織内で使用する組織鍵が記憶されているので、認証サーバ１１は復号プログラム２５３から送られてきた組織鍵２５３２とデータベース５５に記憶された組織鍵とが一致するか否かによって組織鍵２５３２の認証を行い、その結果を復号プログラム２５３に返す。

復号プログラム２５３は、認証サーバ１１からの認証結果が「認証成功」であった場合（ステップ１３０４）、当該復号プログラム２５３のコピー元の復号プログラム４１２と対になっている文書操作プログラム４１１のデバイス属性と当該復号プログラム２５３に埋め込んだデバイス属性２５３４が同じかどうかを判定し（ステップ１３０５）、同じでない場合には、他のデバイス属性のＵＳＢメモリが装着されていることになるので、エラー表示し（ステップ１３１２）、処理を終了する。
しかし、デバイス属性が一致している場合には、当該復号プログラム２５３のコピー元となった正当なＵＳＢメモリ１５が装着されているものと認定し、次に、当該復号プログラム２５３に埋め込まれたハードディスク属性２５３１が当該クライアントコンピュータのハードディスク属性と一致するかどうかを判定し（ステップ１３０６）、同じでない場合には、他のハードディスク上に不正にコピーされたものであるものと認定し、エラー表示し（ステップ１３１２）、処理を終了する。
しかし、ハードディスク属性が同じであった場合には、次に、図１０（ａ）で説明したように、ＵＳＢメモリ１５内の暗号化ログファイル４１４に格納された文書操作履歴情報を収集し、かつ収集元の暗号化ログファイル４１４の操作履歴情報を削除し（ステップ１３０７）、収集した操作履歴情報を認証サーバ１１に送信する（ステップ１３０８）。

次に、図１９のような画面１９０１をクライアントコンピュータ１２のディスプレイ２３に表示させ、ファイルメニューの「暗号化ファイルを開く」から復号対象の暗号化文書ファイル名の指定を受付け（ステップ１３０９）、その指定された暗号化文書ファイルを復号する（ステップ１３１０）。
この後、図１０（ｂ）で説明したように、暗号化文書ファイルを復号したことを示す操作履歴を認証サーバ１１に送信する（ステップ１３１１）。
復号プログラム２５３によって復号された平文の文書はハードディスク内に保存し、文書作成プログラム２５１によって任意の編集を行うことができる。

図１４及び図１５は、ＵＳＢメモリ１５内の文書操作制御プログラム４１１によって平文の文書をＵＳＢメモリ１５内に暗号化して保存したり、暗号化文書ファイルを復号して編集する場合の手順を示すフローチャートである。
まず、ＵＳＢメモリ１５を組織内のクライアントコンピュータ１２のＵＳＢポートに装着した後、当該ＵＳＢメモリ１５内の文書操作制御プログラム４１１を起動する。
起動された文書操作制御プログラム４１１は、まず、ユーザが文書操作制御プログラム４１１の正当な使用権限を有しているかを確認するためにパスワードの入力を促す。
ユーザによってパスワードが入力されたならば、これを受付け、文書操作制御プログラム４１１内に埋め込んだパスワード４１１３と一致するか否かによってパスワードの認証を行い（ステップ１４０１、１４０２）、一致していた場合には認証成功とした後、文書操作制御プログラム４１１内に埋め込んであるデバイス属性４１１２読み出し、このデバイス属性４１１２とＵＳＢメモリ１５に固有情報として設定してあるデバイス属性とが同じであるかを調べ（ステップ１４０３）、同じでない場合には、当該文書制御プログラム４１１は他のＵＳＢメモリから不正にコピーされたものであるものと認定し、エラー表示し（ステップ１４０７）、処理を終了する。

しかし、デバイス属性が同じである場合には、正当なＵＳＢメモリであるものと認定し、次に、文書操作制御プログラム４１１内に埋め込んである組織鍵４３１４を読み出し、その組織鍵４１１４の認証要求を認証サーバ１１に送信する（ステップ１４０４）。
認証サーバ１１のデータベース５５には、組織内で使用する組織鍵が記憶されているので、認証サーバ１１は文書操作制御プログラム４１１から送られてきた組織鍵４１１４とデータベース５５に記憶された組織鍵とが一致するか否かによって組織鍵４１１４の認証を行い、その結果を文書操作制御プログラム４１１に返す。
文書操作制御プログラム４１１は、認証サーバ１１からの認証結果が「認証成功」であった場合（ステップ１４０５）、ＵＳＢメモリ１５を装着したクライアントコンピュータは組織内のクライアントコンピュータであるものと認定し、そうでない場合には組織外のクライアントコンピュータであるものと認定する。
そして、これらの認定結果を受けて、暗号化文書ファイルを開いた際のファイルメニューを変更する。すなわち、クリップボードへのコピー禁止、クリップボードへの画面コピー禁止、印刷抑止、マクロ機能抑止が可能になるようにファイル操作メニュー項目を変更し、かつ保存先はＵＳＢメモリに限定されるようにメニュー項目を追加する（ステップ１４０６）。
これにより、ＵＳＢメモリ１５による暗号化文書の持ち出しが可能な状態になる。

次に、ファイル操作のメニューを表示し（ステップ１５０８）、操作対象のメニューを受付ける（ステップ１５０９）。
操作対象のメニューが暗号化ファイルの読み込みであった場合（ステップ１５１０）、ＵＳＢメモリ１５内の暗号化文書ファイルの一覧を取得して表示し（ステップ１５１１）、その中の暗号化文書ファイルの指定を受付ける（ステップ１５１２）。そして、指定された暗号化文書ファイルをＵＳＢメモリ１５から読み出し（ステップ１５１３）、復号機能によって復号し、ファイル操作メニュー項目が変更された文書作成プログラム２５１の文書編集画面に展開して表示させる（ステップ１５１４）。
そして、このときに復号した暗号化文書ファイルの操作履歴を認証サーバ１１に送信する（ステップ１５１５）。

一方、ユーザによって選択されたファイル操作メニューがクライアントコンピュータ１２の文書作成プログラム２５１によって作成した平文の文書ファイルを読み込むメニュー項目であった場合（ステップ１５１６）、その平文文書ファイルの指定操作を受付け（ステップ１５１７）、指定された平文文書ファイルをハードディスク２５内から読み出し（ステップ１５１８）、ファイル操作メニュー項目が変更された文書作成プログラム２５１の文書編集画面に展開して表示させる（ステップ１５１９）。
そして、このときに表示した文書ファイルの操作履歴を認証サーバ１１に送信する（ステップ１５２０）。
編集画面に表示した文書の編集が終了し、ユーザによってＵＳＢメモリ１５への保存操作が指定された場合には（ステップ１５２１）、編集後の文書を暗号化してＵＳＢメモリ１５内に保存させる（ステップ１５２２）。そして、保存した暗号化文書ファイルに関する操作履歴情報を認証サーバ１１に送信する（ステップ１５２３）。その後、保存が完了したクライアントコンピュータ１２内のファイル削除が選択された場合には（ステップ１５２４）、ファイル削除後（ステップ１５２５）、処理を終了する。

なお、図１５では、組織内のクライアントコンピュータ１２にＵＳＢメモリを装着し、文書を暗号化して保存したり、暗号化された文書を開いて編集する場合について説明したが、コンピュータ自身を起動する場合に、認証サーバ１１による認証を受けて起動されるようになっている携帯型コンピュータを組織外に持ち出してＵＳＢメモリを使用する場合も全く同様の手順でＵＳＢメモリ１５を使用することができる。
また、組織外のコンピュータ１６にＵＳＢメモリ１５を装着した場合でも、文書操作制御プログラム４１１による暗号化保存だけが許されるため、例えば社内で作成した文書ファイルをＵＳＢメモリ１５に保存して自宅に持ち帰り、自宅のコンピュータで編集したとしても、自宅のコンピュータに社内の機密情報を置き忘れてしまうことがなくなり、自宅コンピュータから機密情報が漏洩してしまうのを未然に防止することができる。

図１６は、ＵＳＢメモリ１５が引き抜かれる際、組織内のクライアントコンピュータ１２にコピーされた復号プログラムを削除する手順を示すフローチャートである。
ＵＳＢメモリ１５の取り外しが選択された場合、取り外し処理の実行前に、復号プログラムと、復号プログラムによって復号されたデータを起動させるためのアプリケーションの終了を実行する旨をユーザに通知し、インストールされていたクライアントコンピュータ１２のマックアドレス、ＩＰアドレス、起動日時、マシンの環境情報の収集を実施する（ステップ１６０１）。
収集したそれぞれの情報を差し込まれているＵＳＢメモリ内に保存のための書き込みを実施する（ステップ１６０２）、
次に、復号プログラム４１２と起動していたアプリケーションの終了確認と、ＵＳＢメモリに環境情報が保存されたかどうかを確認する（ステップ１６０３）。
次に、ＵＳＢメモリから削除プログラムを起動する（ステップ１６０４）。
次に、削除プログラムにより、組織内のクライアントコンピュータ１２から復号プログラム４１２を削除する（ステップ１６０５）。
削除処理後にＵＳＢメモリの取り外し処理を実行し、処理を終了する（ステップ１６０６）。

図１７は一度利用した環境で、再度、復号プラグロムをインストール、環境を再構築する場合の処理を示すフローチャートである。
まず、USBメモリをクライアントに差し込む（ステップ１７０１）。そして、利用しようとするUSBメモリ内に過去に利用したPCの環境情報を呼び出し、差し込んだPCの環境情報と比較する（ステップ１７０２）。
ステップ１７０２で比較した環境情報が一致する場合、認証せずに復号プログラムのインストールを行う（ステップ１７０３）。
環境情報と一致しない場合は過去に復号プログラムがインストールされてないものと判断し、
図１２以降の処理に移行する（ステップ１７０４）。

以上のように、本実施形態においては、ＵＳＢメモリに組織内の機密情報を暗号化して持ち出しを許可し、外部での編集を可能にする一方で、編集後の文書の保存先をＵＳＢメモリに制限し、かつ暗号化して保存するため、組織外のコンピュータで文書を編集したとしてもそのコンピュータ内に機密情報を置き忘れてしまうことがなくなり、組織外のコンピュータから機密情報が漏洩してしまうのを未然に防止することができる。
また、ＵＳＢメモリに保存した暗号化文書ファイルを開く際のパスワード認証や組織鍵認証を実施するため、ＵＳＢメモリを紛失した場合でも暗号化文書ファイルを開くことができないし、組織が認証したＵＳＢメモリ以外では復号プログラムを起動できず、平文の文書が組織外のコンピュータに保存されて漏洩してしまうことを防止することができる。
さらにリムーバブルメディア使用後、リムーバブルメディアからコピーされた復号プログラムおよびハードディスク内に残っている機密情報の平文の削除処理を行うため、利用した環境から機密情報が第３者に漏洩してしまうことを防止することができる。

１１認証サーバ
１２〜１４組織内のクライアントコンピュータ
１５ＵＳＢメモリ
１６組織外のクライアントコンピュータ
２５１文書作成プログラム
２５２復号プログラム
２５３１ハードディスク属性
２５３２組織鍵
２５３３パスワード
２５３４デバイス属性
４１１文書操作制御プログラム
４１２復号プログラム
４１３復号プログラムコピーツール
４１４暗号化ログファイル
４１１暗号化文書ファイル

Claims

機密情報を管轄する組織に特有の組織鍵を埋め込んだ暗号化機密情報の復号プログラムを記憶させたリムーバブルメディアを作成し、そのリムーバブルメディアに記憶した復号プログラムを前記組織内のコンピュータに組み込む場合に当該復号プログラムに埋め込んだ組織鍵が前記組織に特有の組織鍵に該当するかを前記組織の認証サーバにおいて認証し、前記組織鍵が前記組織に特有の組織鍵に該当する場合にのみ前記復号プログラムの組み込みを許可する第１のステップと、
前記組織内のコンピュータに組み込んだ前記復号プログラムを起動する場合に、当該復号プログラムに埋め込んだ組織鍵が前記組織に特有の組織鍵に該当するかを前記組織の認証サーバにおいて認証し、前記組織鍵が前記組織に特有の組織鍵に該当する場合にのみ当該復号プログラムを起動させる第２のステップとを備える情報漏洩防止方法において、
前記起動された前記復号プログラムによって復号された機密情報の平文の前記コンピュータでの編集処理後の保存操作時に、保存対象の平文を暗号化して前記リムーバブルメディアの保存すると共に、前記コンピュータ内から保存対象の平文を削除する第３のステップと、前記リムーバブルメディアの取り外しの際に、当該リムーバブルメディアから前記組織内のコンピュータに組み込んだ前記復号プログラムを削除する第４のステップと、前記復号プログラムを削除する際に当該復号プログラムが組み込まれていた前記組織内のコンピュータのマックアドレス、ＩＰアドレス等の環境情報を収集し、当該リムーバブルメディア内に保存する第５のステップと、前記環境情報を保存したリムーバブルメディアに埋め込んだ復号プログラムを前記組織内のコンピュータに組み込む際に、当該コンピュータの環境情報と当該リムーバブルメディア内に保存した環境情報とが一致するかを比較し、一致する場合には前記組織鍵の認証を前記認証サーバで行うことなく前記復号プログラムの組み込みを許可する第６のステップとを備えることを特徴とする情報漏洩防止方法。