JP6895147B2

JP6895147B2 - データ転送システム

Info

Publication number: JP6895147B2
Application number: JP2019017640A
Authority: JP
Inventors: 里奈入交; つかさ小川; 中村　敦史; 敦史中村
Original assignee: 中央コンピューターサービス株式会社
Priority date: 2019-02-04
Filing date: 2019-02-04
Publication date: 2021-06-30
Anticipated expiration: 2039-02-04
Also published as: JP2020126385A

Description

本発明は、データ転送システム、特に、第１コンピュータが接続された第１通信ネットワーク及び第２コンピュータが接続された第２通信ネットワークを通じて前記第２コンピュータから前記第１コンピュータへのデータ転送を実行するデータ転送システムに関する。

第１通信ネットワークに接続されたコンピュータへと、第２通信ネットワークに接続されたコンピュータからデータを転送するシステムがある。特許文献１のシステムでは、第２通信ネットワークに対応する外部ネットワーク（例えば、インターネット）を通じて持込申請端末からサーバ装置にデータが送信されると、第１通信ネットワークに対応する内部ネットワーク（例えば、ＬＧＷＡＮ（総合行政ネットワーク））を通じてサーバ装置が閲覧端末へと閲覧用のデータを送信する。なお、特許文献１では、転送対象となるデータには、持込申請端末において無害化処理が施されると共に、サーバ装置において元の形式と異なるデータ形式への変換処理が施される。

特開２０１８−０１８３１７号公報（図１）

特許文献１のサーバ装置は、外部ネットワークと接続されている。このため、このサーバ装置は、外部ネットワークを通じた不正侵入にさらされるおそれがある。一方で、特許文献１のサーバ装置は、高度のセキュリティが要求されるＬＧＷＡＮ等の内部ネットワークに接続される。しかしながら、サーバ装置が外部ネットワークからの攻撃に脆弱であると、内部ネットワーク側のセキュリティ要求を満たせないおそれがある。

本発明の目的は、通信ネットワークとの接続に高度なセキュリティが要求される場合にもその要求を満たしやすいデータ転送システムを提供することにある。

本発明の第1の観点に係るデータ転送システムは、第１コンピュータが接続された第１通信ネットワーク及び第２コンピュータが接続された第２通信ネットワークを通じて前記第２コンピュータから前記第１コンピュータへのデータ転送を実行するデータ転送システムであって、前記第１通信ネットワークと接続された第１リバースプロキシサーバと、前記第２通信ネットワークと接続された第２リバースプロキシサーバと、前記第２リバースプロキシサーバを介して前記第２コンピュータから転送されたデータを保存する対象データ保存手段と、転送対象となるデータに無害化処理を施す無害化処理手段と、前記第２リバースプロキシサーバを介して前記第２コンピュータから送信されたデータを前記対象データ保存手段に転送すると共に、前記対象データ保存手段に保存されたデータを前記第１リバースプロキシサーバを介して前記第１コンピュータに転送するアプリケーションサーバと、を備えており、前記無害化処理手段が無害化処理を施したデータが、前記第１リバースプロキシサーバを介して前記対象データ保存手段から前記第１コンピュータへと転送され、前記第１コンピュータと前記第１リバースプロキシサーバの間、及び、前記第２コンピュータと前記第２リバースプロキシサーバの間の通信と、前記第１リバースプロキシサーバ及び前記第２リバースプロキシサーバと前記アプリケーションサーバの間の通信とに互いに異なる通信プロトコルが用いられている。本発明の第２の観点に係るデータ転送システムは、第１コンピュータが接続された第１通信ネットワーク及び第２コンピュータが接続された第２通信ネットワークを通じて前記第２コンピュータから前記第１コンピュータへのデータ転送を実行するデータ転送システムであって、前記第１通信ネットワークと接続された第１リバースプロキシサーバと、前記第２通信ネットワークと接続された第２リバースプロキシサーバと、前記第２リバースプロキシサーバを介して前記第２コンピュータから転送されたデータを保存する対象データ保存手段と、転送対象となるデータに無害化処理を施す無害化処理手段と、を備えており、前記無害化処理手段が無害化処理を施したデータが、前記第１リバースプロキシサーバを介して前記対象データ保存手段から前記第１コンピュータへと転送され、前記第１コンピュータ及び前記第２コンピュータのいずれからも前記対象データ保存手段へのデータの転送が可能であり、前記第１コンピュータ及び前記第２コンピュータの一方から転送されたデータが、転送先のユーザを示す情報と共に前記対象データ保存手段に保存され、前記第１コンピュータ及び前記第２コンピュータの他方において、前記転送先のユーザによる転送の指示が入力された場合に、前記対象データ保存手段から前記他方へとデータが転送される。

本発明のデータ転送システムによると、第２コンピュータからのデータが、第２通信ネットワークと接続された第２リバースプロキシサーバを介して対象データ保存手段へと転送される。このため、第２通信ネットワーク側からは、第２リバースプロキシサーバと直接アクセスできても、対象データ保存手段側へは直接アクセスできない。したがって、第２通信ネットワーク側からの不正侵入に対して堅固なシステムが実現する。

一方で、第２通信ネットワーク側からの攻撃に堅固であるのみでは、通信ネットワークとの接続に伴うセキュリティの要求（例えば、第１通信ネットワークがＬＧＷＡＮである場合におけるセキュリティの要求）に応えられないおそれがある。それは、第２リバースプロキシサーバを設けるのみでは、必ずしも、第１通信ネットワーク側からの対象データ保存手段側への不正侵入による不正なデータ転送（例えば、第１通信ネットワーク側から第２通信ネットワーク側へのデータ流出）を防ぎやすいとはいえないからである。

そこで、本発明においては、対象データ保存手段から第１コンピュータへのデータ転送も、第１リバースプロキシサーバを介してなされる。このため、第１通信ネットワーク側からも、対象データ保存手段側へは直接アクセスできない。このように、第２通信ネットワーク側からの不正侵入のみならず、第１通信ネットワーク側からの不正侵入にも堅固なシステムとなっていることにより、高度なセキュリティが要求される場合にもその要求を満たしやすいシステムが実現する。

また、本発明においては、前記無害化処理手段が、前記第２リバースプロキシサーバを介して前記第２コンピュータから転送されたデータが前記第１リバースプロキシサーバに転送されるまでの間に当該データに前記無害化処理を施すことが好ましい。これによると、第２リバースプロキシサーバから第１リバースプロキシサーバまでのデータの転送経路のいずれかに無害化処理サーバが配置されることになる。したがって、第１通信ネットワーク側からも第２通信ネットワーク側からも無害化処理手段に直接アクセスできない。よって、無害化処理を目標とした攻撃に対しても堅固なシステムが実現する。

なお、上記第１の観点においては、第1コンピュータ又は第２コンピュータと第１リバースプロキシサーバ又は第２リバースプロキシサーバとの間の通信と、第１リバースプロキシサーバ又は第２リバースプロキシサーバとアプリケーションサーバ１１０の間の通信との２つに異なる通信プロトコルが用いられている。したがって、第１通信ネットワーク側又は第２通信ネットワークからのアプリケーションサーバ１１０への不正侵入を試みる場合には、２つの異なる通信プロトコルの通信に対してそれぞれ攻撃を成功させる必要が生じる。よって、アプリケーションサーバへの不正侵入に対して堅固なシステムが実現する。

また、上記第２の観点においては、転送先のユーザが転送の指示をコンピュータに入力してはじめて、データがそのコンピュータへと転送される。このため、転送先のユーザが所望のタイミングでコンピュータへのデータ転送を実行することが可能である。

また、本発明においては、前記他方から前記一方へと、返信のメッセージ及びファイルの少なくともいずれかを転送可能であることが好ましい。これによると、転送先のユーザが転送元のユーザへとメッセージやファイルを返信することが可能となる。

また、本発明においては、ユーザを示す情報と関連付けてメールアドレスを記憶するアドレス記憶手段と、前記アドレス記憶手段の記憶内容に基づいて、前記第１コンピュータ又は前記第２コンピュータからデータが転送されてきた旨を示す電子メールを、前記転送先のユーザに対応するメールアドレスに送信するメール送信手段と、を備えていることが好ましい。上記の通り、転送を実行するには転送先のユーザによる指示が必要である。一方、データが対象データ保存手段に転送されると、その旨の電子メールが転送先のユーザに対応するメールアドレスに送信される。このため、転送先のユーザはメール通知に基づいてデータ転送を指示できる。

本発明の一実施形態に係るデータ転送システムの全体の構成を示す機能ブロック図である。図１の機能ブロックをゲートウェイセグメント、ＬＧＷＡＮ公開セグメント及び外部公開セグメントの詳細に関して部分的に示す図である。図１の委員会側ＰＣ及び学校側ＰＣのディスプレイに表示されるログイン画面に対応する画像である。図１の委員会側ＰＣのディスプレイに表示されるホーム画面の一例である。図１の委員会側ＰＣのディスプレイに表示されるフォルダの新規作成のための画面の一例である。フォルダが新規作成される際に図１のアプリケーションサーバが実行する処理を示すフロー図である。委員会側のユーザが作成したフォルダに対応する項目をホーム画面において学校側のユーザが選択した際に図１の学校側ＰＣのディスプレイに表示される画面の一例である。フォルダ作成者に対してフォルダの共有先から返信がなされる場合に図１のアプリケーションサーバが実行する処理を示すフロー図である。委員会側のユーザが作成したフォルダに対応する項目をホーム画面において委員会側のユーザが選択した際に図１の委員会側ＰＣのディスプレイに表示される画面の一例である。図１の委員会側ＰＣ及び学校側ＰＣのディスプレイに表示される無害化処理中のファイルの一覧画面の一例である。

以下、本発明の一実施形態に係るデータ転送システム１について、図１〜図１０を参照しつつ説明する。本実施形態において、データ転送システム１は、図１に示すように、教育委員会側に設置されたコンピュータ端末（以下、委員会側ＰＣという。本発明における第１コンピュータ）１１と、学校側に設置されたコンピュータ端末（以下、学校側ＰＣという。本発明における第２コンピュータ）２１との間でデータを転送するために使用される。データ転送システム１は、アプリケーションサーバ１１０、データベースサーバ１２０（本発明における対象データ保存手段）、無害化処理サーバ１０３（本発明における無害化処理手段）、リバースプロキシサーバ２０１、メール送信サーバ２０２、リバースプロキシサーバ３０１及びメール送信サーバ３０２を備えている。なお、リバースプロキシサーバとは、特定のサーバの代理としてクライアントとの間で通信するサーバをいう。本実施形態におけるリバースプロキシサーバ２０１及び３０１の具体的な機能については後述する。

委員会側ＰＣ１１、学校側ＰＣ２１、アプリケーションサーバ１１０、データベースサーバ１２０、無害化処理サーバ１０３、リバースプロキシサーバ２０１及び３０１並びにメール送信サーバ２０２及び３０２のそれぞれは、コンピュータを含むハードウェアと、データ転送システム１の各種機能を実現するようにハードウェアを機能させるプログラムを含むソフトウェアとを備えている。各コンピュータは、ＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）、ＲＯＭ（Ｒｅａｄ−ＯｎｌｙＭｅｍｏｒｙ）及びＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）等のメモリ装置、並びに、入出力インタフェース等の各種インタフェース等からなる。また、コンピュータには、ユーザ入力を受け付ける入力装置やディスプレイ等の出力装置、ハードディスク等の記録装置等が外部装置として接続されるか、内部装置として搭載されている。ソフトウェアは、メモリ装置やハードディスク等の記録装置に記録されたプログラムデータ等からなる。そして、コンピュータ等のハードウェアがソフトウェアに従って演算処理、入出力処理等の各種の情報処理を実行する。ソフトウェアに従ったハードウェアの機能により、以下において説明する委員会側ＰＣ１１、学校側ＰＣ２１、アプリケーションサーバ１１０、データベースサーバ１２０、無害化処理サーバ１０３、リバースプロキシサーバ２０１及び３０１並びにメール送信サーバ２０２及び３０２の各種の機能が実現される。

図１に示すように、アプリケーションサーバ１１０、データベースサーバ１２０及び無害化処理サーバ１０３は共通のセグメント（ゲートウェイセグメント１００）に属している。リバースプロキシサーバ２０１及びメール送信サーバ２０２は共通のセグメント（ＬＧＷＡＮ公開セグメント２００）に属している。リバースプロキシサーバ３０１及びメール送信サーバ３０２は共通のセグメント（外部ネットワーク公開セグメント３００）に属している。ゲートウェイセグメント１００とＬＧＷＡＮ公開セグメント２００とは、ファイアウォール（以下、ＦＷという。）１２を介して互いに隣接している。また、ゲートウェイセグメント１００と外部ネットワーク公開セグメント３００とは、ＦＷ１２を介して互いに隣接している。アプリケーションサーバ１１０並びにリバースプロキシサーバ２０１及び３０１は、互いに、ＦＷ１２を介して、ＴＣＰ／ＩＰ（ＴｒａｎｓｍｉｓｓｉｏｎＣｏｎｔｒｏｌＰｒｏｔｏｃｏｌ／ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ）に基づく通信を行う。アプリケーションサーバ１１０及び無害化処理サーバ１０３同士はＴＣＰ／ＩＰに基づく通信を行う。アプリケーションサーバ１１０及びデータベースサーバ１２０同士はＴＣＰ／ＩＰに基づく通信を行う。

ＬＧＷＡＮ公開セグメント２００は、ＬＧＷＡＮＮ１（本発明における第１通信ネットワーク）と、ＦＷ１２及びＬＧＷＡＮ接続用のルータ１３を介して接続している。ＬＧＷＡＮＮ１には複数の委員会側ＰＣ１１が接続している。外部ネットワーク公開セグメント３００は、ＦＷ１２及びインターネット接続用のルータ１４を介してインターネットＮ２（本発明における第２通信ネットワーク）と接続している。インターネットＮ２には、ＦＷ１２及びルータ１４を介して複数の学校側ＰＣ２１が接続している。

アプリケーションサーバ１１０、リバースプロキシサーバ２０１及び３０１、委員会側ＰＣ１１並びに学校側ＰＣ２１の相互の通信は、セキュリティ向上のため、以下の仕様に従っている。第１に、ゲートウェイセグメント１００に属するサーバは、ＬＧＷＡＮＮ１側にもインターネットＮ２側にも公開されていない。これに対し、ＬＧＷＡＮ公開セグメント２００に設置されたリバースプロキシサーバ２０１は、ＬＧＷＡＮＮ１に対してＩＰアドレスが公開されている。また、外部ネットワーク公開セグメント３００に設置されたリバースプロキシサーバ３０１は、インターネットＮ２に対してＩＰアドレスが公開されている。これにより、アプリケーションサーバ１１０は、委員会側ＰＣ１１及び学校側ＰＣ２１とは直接アクセスせず、リバースプロキシサーバ２０１又は３０１がその代理としてこれらのＰＣとアクセスする。委員会側ＰＣ１１は、リバースプロキシサーバ２０１の公開されたＩＰアドレス又はこれに対応するＵＲＬ（ＵｎｉｆｏｒｍＲｅｓｏｕｒｃｅＬｏｃａｔｏｒ）を用いて、リバースプロキシサーバ２０１との間で、ＬＧＷＡＮＮ１を介して、ＴＣＰ／ＩＰに基づく通信を実行する。委員会側ＰＣ１１においては、リバースプロキシサーバ２０１との通信にウェブブラウザアプリケーション（以下、ウェブブラウザという。）が用いられる。また、学校側ＰＣ２１は、リバースプロキシサーバ３０１の公開されたＩＰアドレス又はこれに対応するＵＲＬを用いて、リバースプロキシサーバ３０１との間でインターネットＮ２を介したＴＣＰ／ＩＰに基づく通信を実行する。学校側ＰＣ２１においては、リバースプロキシサーバ２０１との通信にウェブブラウザが用いられる。

そして、委員会側ＰＣ１１又は学校側ＰＣ２１とリバースプロキシサーバ２０１又は３０１との間では第１の通信プロトコルが用いられているのに対し、アプリケーションサーバ１１０とリバースプロキシサーバ２０１又は３０１との間では、第１の通信プロトコルと異なる第２の通信プロトコルが用いられている。第１及び第２の通信プロトコルとしては、ＨＴＴＰ（ＨｙｐｅｒｔｅｘｔＴｒａｎｓｆｅｒＰｒｏｔｏｃｏｌ）、ＨＴＴＰＳ（ＨｙｐｅｒｔｅｘｔＴｒａｎｓｆｅｒＰｒｏｔｏｃｏｌＳｅｃｕｒｅ）等、ＨＴＭＬ（ＨｙｐｅｒＴｅｘｔＭａｒｋｕｐＬａｎｇｕａｇｅ）で記述されたデータファイル（以下、ＨＴＭＬファイルという。）を送信するための複数の通信プロトコルのうち、互いに異なる任意の２つが用いられてよい。このように、委員会側ＰＣ１１又は学校側ＰＣ２１とリバースプロキシサーバ２０１又は３０１との間の通信に用いられるプロトコルと、リバースプロキシサーバ２０１又は３０１とアプリケーションサーバ１１０との間の通信に用いられるプロトコルとが互いに異なっている。これにより、前者の通信におけるセッションと後者の通信におけるセッションとが互いに明確に分断される。したがって、アプリケーションサーバ１１０への侵入を試みる場合には、ＬＧＷＡＮＮ１側から及びインターネットＮ２側からのいずれの侵入経路においても、２段階の侵入を成功させる必要が生じる。このため、アプリケーションサーバ１１０への不正な侵入が困難になっている。

以下、アプリケーションサーバ１１０、データベースサーバ１２０及び無害化処理サーバ１０３の構成及び機能について説明する。これらは、データ転送システム１におけるメインの処理であるデータ転送処理を実行する。本実施形態においては、転送対象となるデータは、転送元と転送先の間で交わされるメッセージ及び転送対象となるデータファイル（以下、ファイルという。）を含んだフォルダとして管理される。本実施形態において、フォルダの種類には、「通知フォルダ」「調査フォルダ」「様式等共有フォルダ」の３つがある。「通知フォルダ」は、転送先に対して通知を行うときに使用される。「調査フォルダ」は、転送先に対して調査を依頼したいときに使用される。「様式等共有フォルダ」は、転送先に対して書類の様式等を共有したいときに使用される。各フォルダは、転送元のユーザによって指定された他のユーザに共有される。共有先のユーザは、後述の通り、フォルダ内のメッセージを閲覧したり、ファイルをダウンロードしたりすることができる。共有先のユーザは、本データ転送システム１のユーザとして登録されている者が対象となる。本実施形態においては、教育委員会側の職員ユーザ及び学校側のユーザの両方が対象である。ユーザは、「校長」、「教頭」、「事務」及び「一般」の４者に分類される。「一般」は、一般教員に対応する。

データベースサーバ１２０は、図２に示すように、フォルダの内容を示すフォルダデータ１２１をフォルダごとに管理している。フォルダデータ１２１は、フォルダの作成日、期限日、フォルダの種類、転送対象となるファイル及びメッセージを示すデータ、並びに、フォルダの作成者及び共有先を示すユーザＩＤのデータを含んでいる。また、フォルダデータ１２１は、フォルダの状況を示すデータを含んでいる。フォルダの状況を示すデータは、確認済みか否かを示すデータ、返信済みか否かを示すデータ及び完了済みか否かを示すデータを含んでいる。フォルダの状況のデフォルトは、確認済みでなく、返信済みでなく、且つ完了済みでない。また、データベースサーバ１２０は、ユーザＩＤ、その他のユーザに関する情報を示すユーザデータ１２２を、登録されたユーザごとに管理している。ユーザデータ１２２は、ユーザ名、教育委員会側・学校側の別、教育委員会名／学校名、学校側のユーザである場合の校長、教頭、一般及び事務の別、並びに、メールアドレスを示すデータを含んでいる。

無害化処理サーバ１０３は、転送対象となるファイルに無害化処理を施すサーバである。本実施形態の無害化処理は、例えば、ファイル中に含まれるマクロ等のプログラムを削除すること等により、ファイルの転送先において元のファイルに含まれたマルウェアによる被害が発生するリスクを低下させる処理をいう。その他、特定のファイル形式のファイルをテキスト形式のファイルに変換する処理が無害化処理に含まれていてもよい。本実施形態では、インターネットＮ２を介して転送された学校側ＰＣ２１からのファイルのみに無害化処理が施される。無害化処理サーバ１０３は、アプリケーションサーバ１１０から受け取ったファイルに無害化処理を施すと共に、無害化処理が完了した場合、無害化処理済みのファイルをアプリケーションサーバ１１０に送信する。

アプリケーションサーバ１１０は、リバースプロキシサーバ２０１又は３０１を介して委員会側ＰＣ１１又は学校側ＰＣ２１から送信された要求に基づいてデータ転送処理を実行する。かかるデータ転送処理を実行するための機能部として、アプリケーションサーバ１１０は、図２に示すように、転送処理管理部１１１及び無害化処理管理部１１２を有している。

転送処理管理部１１１は、フォルダデータ１２１の生成、更新等のデータベースサーバ１２０への指示や、リバースプロキシサーバ２０１及び３０１との間のファイルの転送処理等を実行する。また、転送処理管理部１１１は、委員会側ＰＣ１１及び学校側ＰＣ２１においてウェブブラウザを用いて表示されるテキストや画像等を示すＨＴＭＬファイル及び画像ファイル等を生成し、これらのＰＣへと送信する。データの生成に当たっては、データベースサーバ１２０が管理しているフォルダデータ１２１及びユーザデータ１２２や、アプリケーションサーバ１１０内の記憶装置に保存されたデータが用いられる。生成されるＨＴＭＬファイルは、例えば、フォルダの共有先の候補となるユーザのリストや、内容確認・返信の対象となるフォルダの情報等を、マウス等のポインティングデバイスを用いて選択可能に送信先のＰＣのディスプレイに表示させるためのデータを含んでいる。ユーザのリストやフォルダの情報は、フォルダデータ１２１及びユーザデータ１２２から取得される。かかるＨＴＭＬファイルに基づいて送信先のＰＣのディスプレイに表示される画面の具体例は後述の通りである（図４、図５及び図７参照）。送信先のＰＣにおいては、ディスプレイの画面表示に基づいて、フォルダの共有先となるユーザや内容確認・返信の対象となるフォルダ等をユーザが選択する。その選択結果は、当該ＰＣからリバースプロキシサーバ２０１又は３０１を介してアプリケーションサーバ１１０に送信される。転送処理管理部１１１は、送信された選択結果が示すユーザやフォルダに関してフォルダデータ１２１の生成や更新、データ転送等の処理を実行する。かかる処理の具体例については後述の通りである（図６及び図８参照）。また、転送処理管理部１１１は、送信された選択結果が示すユーザに対応するメールアドレスを宛先としたメールを送信するようにメール送信サーバ２０２及び３０２に指示する。メールアドレスはユーザデータ１２２に基づいて取得される。委員会側のユーザに関してはメール送信サーバ２０２に指示が送られ、学校側のユーザに関してはメール送信サーバ３０２に指示が送られる。メール送信サーバ２０２及び３０２は、アプリケーションサーバ１１０からの送信指示に基づいて委員会側及び学校側のユーザへとメールを送信する。委員会側ユーザ及び学校側ユーザ宛てに送信されるメールは、いずれもテキストメッセージのみを含み、添付ファイルは含まない。

無害化処理管理部１１２は、学校側ＰＣ２１からアプリケーションサーバ１１０へとファイルが転送された際に、そのファイルを無害化処理サーバ１０３に送信する。また、無害化処理管理部１１２は、無害化処理サーバ１０３によって無害化処理が施されたファイルを無害化処理サーバ１０３から受信する。無害化処理が施されたファイルは、転送処理管理部１１１を通じてデータベースサーバ１２０にフォルダデータ１２１の一部として保存される。

以下、データ転送システム１によって実行されるデータ転送処理の実装例について説明する。委員会側ＰＣ１１及び学校側ＰＣ２１のそれぞれにおいては、これらのＰＣと接続されたディスプレイに、ウェブブラウザの機能によって文字や画像等が表示される。これらの表示は、上記の通り、アプリケーションサーバ１１０の転送処理管理部１１１から送信されるＨＴＭＬファイルや画像データ等に基づいて実行される。図３〜図５、図７、図９及び図１０は、委員会側ＰＣ１１及び学校側ＰＣ２１のいずれかに接続された又は搭載されたディスプレイにおいて実行される画面表示の一例である。委員会側又は学校側のユーザは、ディスプレイの画面表示に基づき、マウスやキーボード等の入力デバイスを使用して各種の情報や指示を委員会側ＰＣ１１又は学校側ＰＣ２１に入力する。入力された情報や指示は、ウェブブラウザの機能により、リバースプロキシサーバ２０１又は３０１を介してアプリケーションサーバ１１０に送信される。

図３の画像ＩＭ０は、ログインのための情報入力画面の一例である。この画面は、委員会側ＰＣ１１又は学校側ＰＣ２１において、ＵＲＬを指定したリバースプロキシサーバ２０１又は３０１へのアクセスが開始された際に最初にディスプレイに表示される。画像ＩＭ０において、画像Ｌ１〜Ｌ３は、マウス等のポインティングデバイスを用いて選択可能である。画像Ｌ１及びＬ２は、ログインＩＤ及びパスワードを入力するためのコントロールの画像である。本実施形態では、ログインＩＤとしてユーザＩＤが用いられるが、ユーザＩＤとは別の文字列等がログインＩＤとして用いられてもよい。画像Ｌ１及びＬ２のコントロールにユーザＩＤ及びパスワードがキーボード等を用いて入力された状態で画像Ｌ３が選択されると、入力されたユーザＩＤ及びパスワードがリバースプロキシサーバ２０１又は３０１を介してアプリケーションサーバ１１０に送信される。アプリケーションサーバ１１０は、データベースサーバ１２０のユーザデータ１２２を照会した結果に基づき、送信されたユーザＩＤ及びパスワードを認証する。

ユーザＩＤ及びパスワードの認証が成功すると、ログインが実行された委員会側ＰＣ１１又は学校側ＰＣ２１のディスプレイにホーム画面が表示される。ホーム画面は、委員会側ＰＣ１１及び学校側ＰＣ２１のいずれにおいても同様のレイアウトで表示される。図４の画像ＩＭ１は、委員会側ＰＣ１１のディスプレイに表示されるホーム画面の一例である。画像ＩＭ１は、他のユーザと共有されたフォルダの情報を示す領域Ａ１〜Ａ３、更新履歴を示す文字等を含んだ領域Ａ４等を含んでいる。領域Ａ１には教育委員会側のユーザとの間で共有された調査フォルダ及び通知フォルダに関する情報が表示される。領域Ａ２には、学校側のユーザとの間で共有された調査フォルダ及び通知フォルダに関する情報が表示される。領域Ａ３には、共有された様式等共有フォルダに関する情報が表示される。例えば、画像ＩＭ１には、フォルダに関する情報を示す項目Ｆ１〜Ｆ６が含まれている。各項目は、フォルダ名、フォルダの種類、フォルダの作成日、期限日、共有メンバー（共有先）の人数、フォルダの状況、及び作成者の各情報を含んでいる。フォルダの状況は、図４に示すように、「共有メンバー」の欄において、２つの数字に表されている。左側の数字はフォルダの内容を確認済みとした共有先の人数を、右側の数字は返信済みの共有先の人数を示している。

画像ＩＭ１において、画像Ｂ１〜Ｂ５のコントロール及び項目Ｆ１〜Ｆ６は、マウス等のポインティングデバイスを用いて選択可能である。画像Ｂ１は、フォルダを新規作成するためのコントロールの画像である。画像Ｂ２は、フォルダに関する情報の表示態様を選択するためのコントロールの画像である。画像Ｂ３は、返信済み又は完了済みにしたフォルダに関する情報を表示するか否かを選択するためのコントロールの画像である。画像Ｂ４は、無害化処理中のファイルを一覧で表示するためのコントロールの画像である。画像Ｂ５は、システムからログアウトするためのコントロールの画像である。画像Ｂ１、Ｂ３及びＢ４のコントロールが選択された場合のＰＣにおける処理や動作については後述する。

ユーザが画像Ｂ１のコントロールを選択すると、フォルダの新規作成のための情報を入力する画面がディスプレイに表示される。図５の画像ＩＭ２は、一例として、教育員会側のユーザが学校側のユーザを主な共有先として調査フォルダを作成する場合の画面を示す。委員会側のユーザは、画像ＩＭ２を用いてフォルダの新規作成の処理を実行する。なお、学校側のユーザが新規作成の処理を実行する場合にも同様の処理となるので、以下においては、委員会側ＰＣ１１において処理が実行される場合及び学校側ＰＣ２１において処理が実行される場合の両方を想定して説明する。

画像ＩＭ２は、ポインティングデバイスを用いて選択したりキーボード等を用いて情報を入力したりすることが可能なコントロールの画像Ｂ１１〜Ｂ２１を含んでいる。ユーザは、画像Ｂ１１〜Ｂ１９のコントロールを選択して情報を入力した後で、画像Ｂ２０のコントロールを選択することにより、新たにフォルダを作成できる。なお、画像Ｂ２１のコントロールを選択すると、フォルダの新規作成をキャンセルできる。

画像Ｂ１１のコントロールは、新規作成するフォルダの種類を選択するためのものである。画像Ｂ１２のコントロールは、フォルダの名称を入力するためのコントロールである。画像Ｂ１３のコントロールは、画像Ｂ１１のコントロールにおいて「調査フォルダ」が選択された場合に、調査に対する回答期限を入力するためのものである。画像Ｂ１４のコントロールは、フォルダの共有相手に向けたメッセージを入力するためのものである。画像Ｂ１５のコントロールは、共有対象となるファイルのファイル名を入力するためのものである。なお、画像Ｂ１６の「削除」ボタンを選択すると、入力されたファイル名が削除される。画像Ｂ１７のコントロールは、ドラッグ＆ドロップの操作によってファイルの選択を行える領域である。画像Ｂ１７のコントロールに含まれる「ファイルを選択」とのボタンを選択すると、標準のダイアログボックスを用いてファイルを選択することも可能である。画像Ｂ１８及びＢ１９のコントロールは、共有相手を選択するためのものである。画像Ｂ１８のコントロールには「全選択」「全解除」「全校長」「全教頭」「全一般」「全事務」の各ボタンが含まれている。これらのうち、「全選択」ボタン画像を選択すると、候補となるユーザ全員を選択できる。「全校長」ボタンを選択すると、候補となるユーザのうち、校長ユーザ全員を選択できる。「全教頭」ボタンを選択すると、候補となるユーザのうち、教頭ユーザ全員を選択できる。「全一般」ボタンを選択すると、候補となるユーザのうち、一般ユーザ全員を選択できる。「全事務」ボタンを選択すると、候補となるユーザのうち、事務ユーザ全員を選択できる。画像Ｂ１９のコントロールは、選択されたユーザを表示するためのものである。画像Ｂ１９は、共有先の候補となるユーザのリストの表示と、リスト中の各項目の前に配置されたチェックボックスの画像とを含んでいる。画像Ｂ１８のコントロールにおいてユーザが選択されると、選択されたユーザに対応する画像Ｂ１９のチェックボックスにチェックマークが表示される。また、各チェックボックスはポインティングデバイスを用いて選択可能なコントロールでもある。チェックボックスを選択すると、そのチェックボックスに対応するユーザの選択状態を切り替えることができる。図５は、一例として、教育委員会側の一ユーザと各校の校長ユーザが選択された状態を示している。

画像Ｂ２０が選択されると、画像Ｂ１１〜Ｂ１９のコントロールにおいて入力された情報が、リバースプロキシサーバ２０１又は３０１を介して委員会側ＰＣ１１又は学校側ＰＣ２１からアプリケーションサーバ１１０へと送信される。これに応じ、アプリケーションサーバ１１０の転送処理管理部１１１は、図６に示す処理を実行する。まず、アプリケーションサーバ１１０は、情報の送信元が委員会側ＰＣ１１であるか、学校側ＰＣ２１であるかを判定する（ステップＳ１１）。情報の送信元が委員会側ＰＣ１１である場合（ステップＳ１１、委員会側ＰＣ）には、転送処理管理部１１１は、受信した情報に基づいてフォルダデータ１２１を生成するようにデータベースサーバ１２０に指示する（ステップＳ１２）。データベースサーバ１２０は、これに基づいて、画像Ｂ１１〜Ｂ１９のコントロールにおいて入力された情報に対応するフォルダデータ１２１を生成する。次に、転送処理管理部１１１は、フォルダの共有先となるユーザに対し、フォルダが生成された旨を通知するメールを送信するようにメール送信サーバ２０２又は３０２に指示する（ステップＳ１３）。共有先となるユーザのメールアドレスは、データベースサーバ１２０のユーザデータ１２２から取得される。これに応じ、メール送信サーバ２０２又は３０２は、アプリケーションサーバ１１０から指示されたメールアドレスに向けて、指示された内容のメールを送信する。

一方、ステップＳ１１において、送信元が学校側ＰＣ２１であると判定された場合、アプリケーションサーバ１１０は、ステップＳ１４〜Ｓ１７に示すように、送信された情報中のファイルに無害化処理が施されてからデータベースサーバ１２０にそのファイルを格納する。まず、アプリケーションサーバ１１０の無害化処理管理部１１２は、受信した情報に含まれるファイルを無害化処理サーバ１０３に送信する（ステップＳ１４）。これに応じ、無害化処理サーバ１０３は、ファイルの無害化処理を開始する。次に、転送処理管理部１１１は、受信した情報に基づいてフォルダデータ１２１を生成するようにデータベースサーバ１２０に指示する（ステップＳ１５）。データベースサーバ１２０は、これに基づいて、画像Ｂ１１〜Ｂ１９のコントロールにおいて入力された情報に対応するフォルダデータ１２１を生成する。ただし、この段階ではファイルの無害化が完了していないため、新規に生成されたフォルダデータ１２１にはファイルが含まれていない。次に、無害化処理管理部１１２は、無害化処理サーバ１０３から無害化処理が完了した旨の通知を受信するまでデータ転送処理の進行を保留にする（ステップＳ１６、ＮＯ）。無害化処理サーバ１０３から無害化処理が完了した旨の通知を受信すると（ステップＳ１６、ＹＥＳ）、無害化処理管理部１１２が無害化処理後のファイルを無害化処理サーバ１０３から受信すると共に、転送処理管理部１１１がデータベースサーバ１２０のフォルダデータ１２１へと無害化処理後のファイルを格納するようにデータベースサーバ１２０に指示する（ステップＳ１７）。これに応じ、データベースサーバ１２０は、フォルダデータ１２１中に無害化済みのファイルを追加する。そして、アプリケーションサーバ１１０はステップＳ１３を実行する。

図６の処理が完了すると、委員会側ＰＣ１１及び学校側ＰＣ２１のうち、以上のように新規作成の処理が実行されたＰＣにおいては、ディスプレイの表示がホーム画面（例えば、図４の画像ＩＭ１）の表示に戻る。ホーム画面には、新規作成されたフォルダの項目が領域Ａ１及びＡ２のいずれか対応する方に追加される。一方、委員会側ＰＣ１１及び学校側ＰＣ２１のうち、新規作成されたフォルダの共有先のＰＣにおいては、新規作成されたフォルダの項目がホーム画面の領域Ａ１及びＡ２のいずれか対応する方に表示される。例えば、委員会側ＰＣ１１において共有先を学校側ユーザとして新規作成が実行されたフォルダは、委員会側ＰＣ１１のホーム画面には領域Ａ２に、学校側ＰＣ２１のホーム画面には領域Ａ１にそれぞれ表示される。なお、新規作成されたフォルダに関するファイルが無害化処理の対象となる場合には、共有先のＰＣのディスプレイにフォルダの項目が表示されるのは、無害化処理が完了してからとなる。

委員会側ＰＣ１１又は学校側ＰＣ２１のディスプレイに表示されたホーム画面（例えば、図４の画像ＩＭ１）において、フォルダの詳細情報を示す項目（例えば、図４の項目Ｆ１〜Ｆ６のいずれか）をユーザが選択すると、選択された項目がいずれであるかを示す情報が当該ＰＣからアプリケーションサーバ１１０に送信される。アプリケーションサーバ１１０は、選択された項目に応じたフォルダに対応するフォルダデータ１２１をデータベースサーバ１２０から取得すると共に、取得したフォルダデータ１２１に基づいてフォルダの詳細情報を示す画面を表示させるＨＴＭＬファイルを生成して当該ＰＣに送信する。当該ＰＣのディスプレイには、アプリケーションサーバ１１０から送信されたＨＴＭＬファイルに基づいてフォルダの詳細情報を示す画面が表示される。

図７の画像ＩＭ３は、フォルダの共有先のＰＣにおいて、受信したフォルダに対応する項目が選択された場合にディスプレイに表示される画面の一例を示す。特に、画像ＩＭ３は、委員会側のユーザが作成したフォルダに対応する項目をその共有先の学校側のユーザが選択した場合の画面を示す。学校側のユーザは、画像ＩＭ３を用いてフォルダの内容確認及び返信の処理を実行できる。なお、学校側のユーザが作成したフォルダの内容確認及び返信の処理を委員会側のユーザが実行する場合にも同様の処理となるので、以下においては、委員会側ＰＣ１１において処理が実行される場合及び学校側ＰＣ２１において処理が実行される場合の両方を想定して説明する。

画像ＩＭ３は、フォルダ作成者が入力したメッセージや回答期限日等の情報を表示した情報表示部Ｃ１及びフォルダ作成者や作成日等の情報を示す情報表示部Ｃ２を含んでいる。また、画像ＩＭ３は、ポインティングデバイスを用いて選択したりキーボード等を用いて情報を入力したりすることが可能なコントロールの画像Ｂ３１〜Ｂ４０を含んでいる。ユーザは、画像Ｂ３６〜Ｂ３９のコントロールを選択して情報を入力した後で、画像Ｂ４０のコントロールを選択することにより、フォルダの作成者に対して返信できる。

画像Ｂ３１のコントロールは、フォルダの新規作成時にデータベースサーバ１２０に保存されたファイルすべてを一度にダウンロードするためのものである。画像Ｂ３２及びＢ３３のコントロールは、フォルダの新規作成時にデータベースサーバ１２０に保存されたファイルをファイルごとにダウンロードするためのものである。画像Ｂ３１〜Ｂ３３のコントロールを選択すると、画像Ｂ３２及びＢ３３の左側に表示されたファイル名に対応するファイルを一括又は個別にダウンロードすることができる。画像Ｂ３１〜Ｂ３３のコントロールが選択されると、画像Ｂ３１〜Ｂ３３のコントロールのうち、選択されたコントロールに応じたファイルのダウンロードの要求が、リバースプロキシサーバ２０１又は３０１を介してアプリケーションサーバ１１０に送信される。これに応じ、アプリケーションサーバ１１０は、要求されたファイルをデータベースサーバ１２０から取得すると共に、リバースプロキシサーバ２０１又は３０１を介して委員会側ＰＣ１１又は学校側ＰＣ２１へと送信する。

画像Ｂ３４のコントロールが選択されると、その旨がリバースプロキシサーバ２０１又は３０１を介してアプリケーションサーバ１１０に送信される。これに応じ、アプリケーションサーバ１１０は、データベースサーバ１２０のフォルダデータ１２１におけるフォルダの状況を確認済みに更新する。画像Ｂ３５のコントロールが選択されると、ディスプレイの表示が図４に示すホーム画面の表示に戻る。

画像Ｂ３６のコントロールは、フォルダ作成者に返信するファイル名を入力するためのものである。画像Ｂ３７の「削除」ボタンを選択すると、画像Ｂ３６のファイル名が削除される。画像Ｂ３８のコントロールは、ドラッグ＆ドロップの操作によってファイルの選択を行える領域である。画像Ｂ３８のコントロールに含まれる「ファイルを選択」とのボタンを選択すると、標準のダイアログボックスを用いてファイルを選択することも可能である。画像Ｂ３９のコントロールは、フォルダ作成者に向けたメッセージを入力するためのものである。

画像Ｂ４０のコントロールが選択されると、画像Ｂ３６〜Ｂ３９のコントロールにおいて入力された情報が、リバースプロキシサーバ２０１又は３０１を介して委員会側ＰＣ１１又は学校側ＰＣ２１からアプリケーションサーバ１１０へと送信される。これに応じ、アプリケーションサーバ１１０は、図８に示す処理を実行する。まず、アプリケーションサーバ１１０の転送処理管理部１１１は、情報の送信元が委員会側ＰＣ１１であるか、学校側ＰＣ２１であるかを判定する（ステップＳ２１）。情報の送信元が委員会側ＰＣ１１である場合（ステップＳ２１、委員会側ＰＣ）には、転送処理管理部１１１は、受信した情報をフォルダデータ１２１に追加するようにデータベースサーバ１２０に指示する（ステップＳ２２）。データベースサーバ１２０は、これに基づいて、画像Ｂ３６〜Ｂ３９のコントロールにおいて入力された情報を、これと対応するフォルダデータ１２１に追加する。

一方、ステップＳ２１において、送信元が学校側ＰＣ２１であると判定された場合、アプリケーションサーバ１１０は、ステップＳ２４〜Ｓ２７に示すように、送信された情報中のファイルに無害化処理を施してからデータベースサーバ１２０にそのファイルを格納する。まず、アプリケーションサーバ１１０の無害化処理管理部１１２は、受信した情報に含まれるファイルを無害化処理サーバ１０３に送信する（ステップＳ２４）。これに応じ、無害化処理サーバ１０３は、ファイルの無害化処理を開始する。次に、転送処理管理部１１１は、受信した情報のうち、ファイルを除いた部分をフォルダデータ１２１に追加するようにデータベースサーバ１２０に指示する（ステップＳ２５）。データベースサーバ１２０は、これに基づいて、画像Ｂ３８及びＢ３９のコントロールにおいて入力された情報を、対応するフォルダデータ１２１に追加する。次に、無害化処理管理部１１２は、無害化処理サーバ１０３から無害化処理が完了した旨の通知を受信するまでデータ転送処理の進行を保留にする（ステップＳ２６、ＮＯ）。無害化処理サーバ１０３から無害化処理が完了した旨の通知を受信すると（ステップＳ２６、ＹＥＳ）、無害化処理管理部１１２は、無害化処理後のファイルを無害化処理サーバ１０３から受信すると共に、転送処理管理部１１１がデータベースサーバ１２０のフォルダデータ１２１へと無害化処理後のファイルを格納するようにデータベースサーバ１２０に指示する（ステップＳ２７）。これに応じ、データベースサーバ１２０は、フォルダデータ１２１中に無害化済みのファイルを追加する。次に、転送処理管理部１１１は、フォルダ作成者である委員会側のユーザに対し、フォルダに返信がなされた旨を通知するメールを送信するようにメール送信サーバ２０２に指示する（ステップＳ２８）。フォルダ作成者のメールアドレスは、データベースサーバ１２０のユーザデータから取得される。これに応じ、メール送信サーバ２０２は、アプリケーションサーバ１１０から指示されたメールアドレスに向けて、指示された内容のメールを送信する。

図８の処理が完了すると、ディスプレイの表示がホーム画面（例えば、図４の画像ＩＭ１）の表示に戻る。ホーム画面においては、確認済みとなったフォルダに関する項目におけるフォルダの状況の表示が更新される。また、返信済みのフォルダの情報はホーム画面に表示されなくなる。なお、フォルダの情報が一旦表示されなくなったホーム画面（例えば、図４の画像ＩＭ１）において画像Ｂ３のコントロールを選択することで、返信済みのフォルダの情報を再びホーム画面に表示させることができる。

図９の画像ＩＭ４は、ホーム画面中、過去に作成したフォルダに対応する項目をそのフォルダ作成者が選択した場合にディスプレイに表示される画面の一例を示す。特に、画像ＩＭ４は、委員会側のユーザが作成したフォルダに対応する項目をそのユーザが選択した場合の画面を示す。委員会側のユーザは、画像ＩＭ４を用いて共有先からの返信内容を確認する処理を実行できる。なお、学校側のユーザが共有先からの返信内容を確認する処理を実行する場合にも同様の処理となるので、以下においては、委員会側ＰＣ１１において処理が実行される場合及び学校側ＰＣ２１において処理が実行される場合の両方を想定して説明する。

画像ＩＭ４は、フォルダの情報を表示する情報表示部Ｃ１１〜Ｃ１４を含んでいる。情報表示部Ｃ１１は、フォルダ作成者が入力したメッセージや回答期限日等の情報を表示している。情報表示部Ｃ１２は、フォルダ作成者や作成日等の情報を表示している。情報表示部Ｃ１３は、フォルダの共有先からの返信状況を表示している。情報表示部Ｃ１３は、画像中の「アイコン種別」に示すように、フォルダの状況を表す以下４種類のアイコンを含んでいる：確認済みであることを表す「既読」アイコン、確認済みでないことを表す「未読」アイコン、返信済みであることを表す「返信あり」アイコン、及び返信済みでないことを表す「返信なし」アイコン。情報表示部Ｃ１３の最上部において、「既読」アイコンの右側の数字は確認済みとした共有先の人数を、「返信あり」アイコンの右側の数字は返信済みとした共有先の人数を示している。また、「校長」や「教頭」の右側のアイコンは、共有先の各ユーザにおいて確認済みか否か及び返信済みか否かを示している。情報表示部Ｃ１４は、共有先との間でやり取りしたメッセージを表示している。

また、画像ＩＭ４は、ポインティングデバイスを用いて選択したりキーボード等を用いて情報を入力したりすることが可能なコントロールの画像Ｂ５１〜Ｂ６３を含んでいる。画像Ｂ５１のコントロールは、フォルダの新規作成時にデータベースサーバ１２０に保存されたファイルすべてを一度にダウンロードするためのものである。画像Ｂ５２及びＢ５３のコントロールは、フォルダの新規作成時にデータベースサーバ１２０に保存されたファイルをファイルごとにダウンロードするためのものである。画像Ｂ５１〜Ｂ５３のコントロールを選択すると、画像Ｂ５２及びＢ５３の左側に表示されたファイル名に対応するファイルを一括又は個別にダウンロードすることができる。これらのボタンが選択されると、画像Ｂ５１〜Ｂ５３のコントロールのうち、選択されたコントロールに応じたファイルのダウンロードの要求が、リバースプロキシサーバ２０１又は３０１を介してアプリケーションサーバ１１０に送信される。これに応じ、アプリケーションサーバ１１０は、要求されたファイルをデータベースサーバ１２０から取得すると共に、リバースプロキシサーバ２０１又は３０１を介して委員会側ＰＣ１１又は学校側ＰＣ２１へと送信する。

画像Ｂ５４及びＢ５５のコントロールは、フォルダの新規作成時にデータベースサーバ１２０に保存されたファイルをファイルごとに削除するためのものである。これらのボタンが選択されると、画像Ｂ５４及びＢ５５のコントロールのうち、選択されたコントロールに応じたファイルの削除の要求が、リバースプロキシサーバ２０１又は３０１を介してアプリケーションサーバ１１０に送信される。これに応じ、アプリケーションサーバ１１０は、要求されたファイルを削除するようにデータベースサーバ１２０に指示する。データベースサーバ１２０はそのファイルを削除する。

画像Ｂ５６のコントロールが選択されると、その旨がリバースプロキシサーバ２０１又は３０１を介してアプリケーションサーバ１１０に送信される。これに応じ、アプリケーションサーバ１１０は、データベースサーバ１２０のフォルダデータ１２１におけるフォルダの状況を完了済みに更新する。完了済みのフォルダの情報はホーム画面に表示されなくなる。なお、フォルダの情報が一旦表示されなくなったホーム画面（例えば、図４の画像ＩＭ１）において画像Ｂ３のコントロールを選択することで、完了済みのフォルダの情報を再びホーム画面に表示させることができる。

画像Ｂ５７のコントロールは、当該フォルダを削除するためのものである。このコントロールが選択されると、その旨がアプリケーションサーバ１１０に送信される。アプリケーションサーバ１１０は、当該フォルダに対応するフォルダデータ１２１を削除するようにデータベースサーバ１２０に指示する。データベースサーバ１２０は、その指示に基づいてフォルダデータ１２１を削除する。当該フォルダが削除されると、画像ＩＭ１における画像Ｂ３のコントロールによる切り替えに関わらず、削除されたフォルダの情報がホーム画面に表示されなくなる。画像Ｂ５８のコントロールが選択されると、ディスプレイの表示が図４に示すホーム画面に戻る。画像Ｂ６２のコントロールは、返信元であるフォルダ共有先に向けたメッセージを入力するためのものである。画像Ｂ６３のコントロールが選択されると、画像Ｂ６２のコントロールに入力されたメッセージがリバースプロキシサーバ２０１又は３０１を介してアプリケーションサーバ１１０に送信される。アプリケーションサーバ１１０は、送信されたメッセージをフォルダデータ１２１に追加するようにデータベースサーバ１２０に指示する。データベースサーバ１２０は、対応するフォルダに応じたフォルダデータ１２１にメッセージを追加する。

画像Ｂ５９及びＢ６０のコントロールは、共有先のユーザから返信されたファイルを個別にダウンロードするためのものである。これらの画像に含まれる「校長」「教頭」等の記載を含む枠は、個別に選択可能となっている。これらのうちのいずれかの枠を選択すると、その枠に対応するユーザから返信されたファイルをダウンロードできる。また、画像Ｂ６１のコントロールは、共有先の全ユーザから返信されたファイルを一括でダウンロードするためのものである。画像Ｂ５９〜Ｂ６１のコントロールが選択されると、画像Ｂ５９〜Ｂ６１のコントロールのうち、選択されたコントロールに応じたファイルのダウンロードの要求が、リバースプロキシサーバ２０１又は３０１を介してアプリケーションサーバ１１０に送信される。これに応じ、アプリケーションサーバ１１０は、要求されたファイルをデータベースサーバ１２０から取得すると共に、リバースプロキシサーバ２０１又は３０１を介して委員会側ＰＣ１１又は学校側ＰＣ２１へと送信する。

以上は、主に調査フォルダに関して実行される一連の処理についての説明である。一方、通知フォルダに関しては、フォルダに含まれるメッセージ及びファイルに対し、フォルダの共有先においてファイルのダウンロードと確認済みの処理のみが実行可能である。つまり、フォルダに対して返信の処理がなされない他は、調査フォルダに関する上記の処理の内容と同様である。また、様式等共有フォルダに関しては、フォルダに含まれるファイルのダウンロードがフォルダの共有先において実行されるのみである。本明細書においては、説明が重複するのを避けるため、通知フォルダ及び様式等共有フォルダに関する処理についての詳細な説明を省略する。

委員会側ＰＣ１１又は学校側ＰＣ２１において、ホーム画面（例えば、図４の画像ＩＭ１）中、画像Ｂ４のコントロールをユーザが選択すると、無害化処理中のファイルの一覧がディスプレイに表示される。図１０の画像ＩＭ５は、ディスプレイに表示されるファイル一覧の一例である。画像ＩＭ５には、送信中のファイルと受信中のファイルとに分けて一覧が表示されている。一覧に含まれる各項目には、無害化処理中のファイルが含まれるフォルダの名称、フォルダの種類、無害化処理中のファイルの名称、ファイルの登録日及びフォルダ作成者の情報が含まれている。

以上説明した本実施形態によると、ゲートウェイセグメント１００に隣接した外部ネットワーク公開セグメント３００にリバースプロキシサーバ３０１が設置されている。これにより、学校側ＰＣ２１からのファイルは、リバースプロキシサーバ３０１を介して、ゲートウェイセグメント１００に設置されたアプリケーションサーバ１１０へと転送されることになる。リバースプロキシサーバ３０１のＩＰアドレスはインターネットＮ２側に公開されているが、ゲートウェイセグメント１００内のサーバ（例えば、アプリケーションサーバ１１０）のＩＰアドレスはインターネットＮ２側に公開されていない。つまり、インターネットＮ２側からの直接のアクセスはリバースプロキシサーバ３０１との間に限られ、ゲートウェイセグメント１００との間ではできない。したがって、データ転送システム１は、インターネットＮ２側からの不正侵入に対して堅固である。

一方で、ＬＧＷＡＮＮ１は、高度なセキュリティを確保した行政専用のネットワークである。このため、ＬＧＷＡＮＮ１と接続するシステムには高いセキュリティが要求される。したがって、インターネットＮ２側からの攻撃に堅固であるのみでは、ＬＧＷＡＮＮ１側のセキュリティの要求に応えられないおそれがある。例えば、外部ネットワーク公開セグメント３００にリバースプロキシサーバ３０１を設けるのみでは、必ずしも、ＬＧＷＡＮＮ１側からのゲートウェイセグメント１００への不正侵入による不正なデータ転送（例えば、ＬＧＷＡＮＮ１側からインターネットＮ２側へのデータ流出）を防ぎやすいとはいえないからである。

そこで、本実施形態に係るデータ転送システム１においては、ＬＧＷＡＮ公開セグメント２００にリバースプロキシサーバ２０１が設けられている。このため、ＬＧＷＡＮＮ１側からもゲートウェイセグメント１００には直接アクセスできない。このように、インターネットＮ２側からの不正侵入のみならず、ＬＧＷＡＮＮ１側からの不正侵入にも堅固なシステムとなっていることにより、ＬＧＷＡＮＮ１の高いセキュリティ要求を満たしやすいシステムが実現する。

また、本実施形態においては、無害化処理サーバ１０３がゲートウェイセグメント１００に設置されている。したがって、無害化処理サーバ１０３には、ＬＧＷＡＮＮ１側からもインターネットＮ２側からも直接アクセスできない。よって、無害化処理サーバ１０３を目標とした攻撃に対しても堅固なシステムが実現する。なお、無害化処理サーバ１０３は、リバースプロキシサーバ３０１からリバースプロキシサーバ２０１までファイルが転送される間に当該ファイルに無害化処理を施すようにデータ転送システム１に設けられていればよい。つまり、無害化処理サーバ１０３は、リバースプロキシサーバ３０１からリバースプロキシサーバ２０１までのファイルの転送経路のいずれかに配置されていれば、どのようにファイルに無害化処理を施してもよい。例えば、データベースサーバ１２０に一旦、ファイルが転送された後、当該ファイルがゲートウェイセグメント１００内の無害化処理サーバ１０３に転送され、無害化処理が施される構成であってもよい。

また、本実施形態においては、委員会側ＰＣ１１又は学校側ＰＣ２１とリバースプロキシサーバ２０１又は３０１との間の通信に用いられるプロトコルと、リバースプロキシサーバ２０１又は３０１とアプリケーションサーバ１１０との間の通信に用いられるプロトコルとが互いに異なっている。したがって、ＬＧＷＡＮＮ１又はインターネットＮ２からのアプリケーションサーバ１１０への不正侵入を試みる場合には、２つの異なる通信プロトコルの通信に対してそれぞれ攻撃を成功させる必要が生じる。よって、アプリケーションサーバ１１０への不正侵入に対して堅固なシステムが実現する。

また、本実施形態においては、新規作成されたフォルダの共有先のユーザが、そのフォルダの確認の処理（例えば、図７の画像ＩＭ３を用いた処理や図９の画像ＩＭ４を用いた処理）においてファイルのダウンロードを指示することで、共有先のユーザの委員会側ＰＣ１１又は学校側ＰＣ２１へとファイルがダウンロードされる。つまり、共有先のユーザが転送の指示を委員会側ＰＣ１１又は学校側ＰＣ２１に入力してはじめて、データがそのＰＣへと転送される。このため、共有先のユーザが所望のタイミングで委員会側ＰＣ１１又は学校側ＰＣ２１へのデータ転送を実行することが可能である。

また、本実施形態においては、フォルダが新規作成されると、メール送信サーバ２０２又は３０２を介してアプリケーションサーバ１１０からフォルダの共有先のユーザに対応するメールアドレスに、フォルダが新規作成された旨の電子メールが送信される。このため、共有先のユーザはメール通知に基づいて、フォルダの内容確認やファイルのダウンロードを実施できる。

＜変形例＞
以上は、本発明の好適な実施形態についての説明であるが、本発明は上述の実施形態に限られるものではなく、課題を解決するための手段に記載された範囲の限りにおいて様々な変更が可能なものである。

例えば、上述の実施形態においては、委員会側ＰＣ１１又は学校側ＰＣ２１とリバースプロキシサーバ２０１又は３０１の間の通信と、リバースプロキシサーバ２０１又は３０１とアプリケーションサーバ１１０の間の通信とに異なる通信プロトコルが用いられている。しかし、これらの通信に共通の通信プロトコルが用いられていてもよい。

また、上述の実施形態においては、無害化処理サーバ１０３がゲートウェイセグメント１００内に設けられている。しかし、無害化処理を行う手段がゲートウェイセグメント１００外に設けられていてもよい。例えば、無害化処理サーバ１０３がインターネットＮ２と接続され、学校側ＰＣ２１及びリバースプロキシサーバ３０１とインターネットＮ２を介して通信するように設けられていてもよい。この場合、インターネットＮ２を介して学校側ＰＣ２１から無害化処理サーバ１０３へと送信されたファイルに無害化処理が施され、インターネットＮ２を介して無害化処理サーバ１０３からリバースプロキシサーバ３０１へと無害化済みのファイルが送信される。

また、上述の実施形態においては、アプリケーションサーバ１１０、データベースサーバ１２０及び無害化処理サーバ１０３が互いに独立したサーバとして構成されている。しかし、これらのサーバのうちの２つ又は３つにおける機能を兼ね備えたサーバがその代わりに設けられてもよい。例えば、アプリケーションサーバ１１０及びデータベースサーバ１２０の機能を兼ね備えたサーバがこれらの代わりに用いられる場合、かかるサーバは本発明におけるデータ保存手段に対応するものとなる。

また、上述の実施形態では、新規作成されたフォルダの共有先のユーザが、ファイルのダウンロードを指示することで、共有先のユーザの委員会側ＰＣ１１又は学校側ＰＣ２１へとファイルがダウンロードされる。しかし、例えば、学校側ＰＣ２１からリバースプロキシサーバ３０１を介して転送されたファイルへの無害化処理が完了したら自動的に、アプリケーションサーバ１１０がリバースプロキシサーバ２０１を介してＬＧＷＡＮＮ１に接続されたいずれかのコンピュータ又はサーバへと無害化処理済みのファイルを転送するようにデータ転送システム１が構成されてもよい。

また、データ転送システム１によって実行されるデータ転送処理の一実装例として、委員会側ＰＣ１１又は学校側ＰＣ２１のディスプレイに表示される画面の遷移がなされるたびに、委員会側ＰＣ１１又は学校側ＰＣ２１とアプリケーションサーバ１１０との間の通信に関して実行される通信セッションが一旦切断されるようにデータ転送システム１が構成されていてもよい。具体的には、例えば、図３の画像ＩＭ０の画面から図４の画像ＩＭ１の画面への遷移や、図４の画像ＩＭ１の画面から図５の画像ＩＭ２の画面への遷移等がなされるたびに、委員会側ＰＣ１１又は学校側ＰＣ２１とリバースプロキシサーバ２０１又は３０１の間の通信セッションと、リバースプロキシサーバ２０１又は３０１とアプリケーションサーバ１１０の間の通信セッションとが一旦切断された後、新規な通信セッションがそれぞれ開始されるようにデータ転送システム１が構成されていることが好ましい。この場合、新規な通信セッションにおいて、古い通信セッションとの連続性が確保される必要がある。このための仕様として、例えば、委員会側ＰＣ１１又は学校側ＰＣ２１においてログイン期間中に保持されたユーザＩＤ及びパスワードが画面の遷移のたびに、つまり、新規な通信セッションが開始されるたびに委員会側ＰＣ１１又は学校側ＰＣ２１からアプリケーションサーバ１１０へと送信され、アプリケーションサーバ１１０においてこれらの認証がなされる構成が採用されてもよい。これによると、アプリケーションサーバ１１０は、新規な通信セッションが古い通信セッションと同じユーザによることを把握できる。これに基づき、アプリケーションサーバ１１０は、新規なセッションにおけるデータ転送処理等を、古い通信セッションと同じユーザに関連した処理であって、古い通信セッションから連続した通信セッションにおける処理として実行する。

Ｎ１ＬＧＷＡＮ
Ｎ２インターネット
１１委員会側ＰＣ
２１学校側
１データ転送システム
１００ゲートウェイセグメント
１０３無害化処理サーバ
１１０アプリケーションサーバ
１２０データベースサーバ
２００ＬＧＷＡＮ公開セグメント
２０１リバースプロキシサーバ
２０２メール送信サーバ
３００外部ネットワーク公開セグメント
３０１リバースプロキシサーバ
３０２メール送信サーバ

Claims

第１コンピュータが接続された第１通信ネットワーク及び第２コンピュータが接続された第２通信ネットワークを通じて前記第２コンピュータから前記第１コンピュータへのデータ転送を実行するデータ転送システムであって、
前記第１通信ネットワークと接続された第１リバースプロキシサーバと、
前記第２通信ネットワークと接続された第２リバースプロキシサーバと、
前記第２リバースプロキシサーバを介して前記第２コンピュータから転送されたデータを保存する対象データ保存手段と、
転送対象となるデータに無害化処理を施す無害化処理手段と、
前記第２リバースプロキシサーバを介して前記第２コンピュータから送信されたデータを前記対象データ保存手段に転送すると共に、前記対象データ保存手段に保存されたデータを前記第１リバースプロキシサーバを介して前記第１コンピュータに転送するアプリケーションサーバと、を備えており、
前記無害化処理手段が無害化処理を施したデータが、前記第１リバースプロキシサーバを介して前記対象データ保存手段から前記第１コンピュータへと転送され、
前記第１コンピュータと前記第１リバースプロキシサーバの間、及び、前記第２コンピュータと前記第２リバースプロキシサーバの間の通信と、前記第１リバースプロキシサーバ及び前記第２リバースプロキシサーバと前記アプリケーションサーバの間の通信とに互いに異なる通信プロトコルが用いられていることを特徴とするデータ転送システム。
第１コンピュータが接続された第１通信ネットワーク及び第２コンピュータが接続された第２通信ネットワークを通じて前記第２コンピュータから前記第１コンピュータへのデータ転送を実行するデータ転送システムであって、
前記第１通信ネットワークと接続された第１リバースプロキシサーバと、
前記第２通信ネットワークと接続された第２リバースプロキシサーバと、
前記第２リバースプロキシサーバを介して前記第２コンピュータから転送されたデータを保存する対象データ保存手段と、
転送対象となるデータに無害化処理を施す無害化処理手段と、を備えており、
前記無害化処理手段が無害化処理を施したデータが、前記第１リバースプロキシサーバを介して前記対象データ保存手段から前記第１コンピュータへと転送され、
前記第１コンピュータ及び前記第２コンピュータのいずれからも前記対象データ保存手段へのデータの転送が可能であり、
前記第１コンピュータ及び前記第２コンピュータの一方から転送されたデータが、転送先のユーザを示す情報と共に前記対象データ保存手段に保存され、
前記第１コンピュータ及び前記第２コンピュータの他方において、前記転送先のユーザによる転送の指示が入力された場合に、前記対象データ保存手段から前記他方へとデータが転送されることを特徴とするデータ転送システム。
前記無害化処理手段が、前記第２リバースプロキシサーバを介して前記第２コンピュータから転送されたデータが前記第１リバースプロキシサーバに転送されるまでの間に当該データに前記無害化処理を施すことを特徴とする請求項１又は２に記載のデータ転送システム。
前記他方から前記一方へと、返信のメッセージ及びファイルの少なくともいずれかを転送可能であることを特徴とする請求項２に記載のデータ転送システム。
ユーザを示す情報と関連付けてメールアドレスを記憶するアドレス記憶手段と、
前記アドレス記憶手段の記憶内容に基づいて、前記第１コンピュータ又は前記第２コンピュータからデータが転送されてきた旨を示す電子メールを、前記転送先のユーザに対応するメールアドレスに送信するメール送信手段と、を備えていることを特徴とする請求項２又は４に記載のデータ転送システム。