JP4963103B2 - 情報処理システム、情報処理装置、その制御方法及びプログラム - Google Patents

Description

本発明は、ストレージデバイスに対するデータの書出し制御を可能とする技術に関するものである。

近年、コンピュータ端末に、着脱（取り外し）可能な記録媒体（ＣＤ−ＲＷやＵＳＢメモリ等）にデータを書き込む（記憶）ことで、当該データを持ち運びすることが出来るようになってきていると共に、当該記録媒体を紛失等することにより、情報が漏洩する可能性が高まってきている。

そこで、このような情報漏洩を防ぐため、着脱可能な記録媒体にデータを全く記録させないようにコンピュータで制限することが考えられるが、一切、当該記録媒体を使用できないのは、利便性に欠ける。

これを解決するために、一時的に当該記録媒体を使用できるように制御する仕組みが提案されている（例えば、特許文献１参照）。

特開２００６−３０９２９６号公報

しかしながら、上記従来技術では、一時的に記録媒体に出力できるようにしたとしても、期間内であれば、何度でも、不必要なデータを大量に持ち出すことが可能となり、機密情報等が漏洩する恐れが高い。

そこで、一時的に記録媒体にデータを出力する場合に、不要なデータを持ち出させないようにする必要がある。

本発明の目的は、所定のプロセスからのみ、データを出力できるようにすることで、不要なデータの書き出しを防ぐ仕組みを提供することにある。

本発明の情報処理システムは、書出し要求されたデータのストレージデバイスへの書出しの可否を制御する情報処理装置と、データの書出しが許可される条件が規定されたデータ書出しポリシーを保持する管理サーバとが通信回線を介して接続される情報処理システムであって、前記情報処理装置は、データの書出しが許可される条件が規定されたデータ書出しポリシーを前記管理サーバから取得する取得手段と、前記取得手段で取得された前記データ書出しポリシーが記憶される記憶領域に対するアクセスを禁止するための拒否条件を設定する禁止条件設定手段と、前記記憶領域へのアクセスを許可する許可条件として前記記憶領域へのアクセスを許可する所定のプロセスを示す情報を設定するプロセス許可設定手段と、前記禁止条件設定手段により設定された拒否条件、及び前記プロセス許可設定手段により設定された許可条件に従って、前記記憶領域に対するアクセスの可否を制御する制御手段と、前記制御手段による制御処理により前記所定のプロセスからのみアクセスが許可されている前記記憶領域に、前記取得手段で取得したデータ書出しポリシーを記憶する記憶手段と、前記記憶手段で記憶されたデータ書出しポリシーに従って、前記ストレージデバイスに対するデータの書出しの可否を前記所定のプロセスにより判定する書出し可否判定手段と、前記所定のプロセスによって前記ストレージデバイスに対するデータの書出しが行われるのか否かを判定するプロセス判定手段と、前記書出し可否判定手段により前記ストレージデバイスに対するデータの書出しが可能と判定され、且つ、前記プロセス判定手段により前記所定のプロセスによって前記ストレージデバイスに対するデータの書出しが行われると判定された場合、前記ストレージデバイスに対応する書出しドライバへの前記データの出力を許可する出力許可手段と、を備えることを特徴とする。
本発明の情報処理装置は、書出し要求されたデータのストレージデバイスへの書出しの可否を制御する情報処理装置であって、データの書出しが許可される条件が規定されたデータ書出しポリシーを取得する取得手段と、前記取得手段で取得された前記データ書出しポリシーが記憶される記憶領域に対するアクセスを禁止するための拒否条件を設定する禁止条件設定手段と、前記記憶領域へのアクセスを許可する許可条件として前記記憶領域へのアクセスを許可する所定のプロセスを示す情報を設定するプロセス許可設定手段と、前記禁止条件設定手段により設定された拒否条件、及び前記プロセス許可設定手段により設定された許可条件に従って、前記記憶領域に対するアクセスの可否を制御する制御手段と、前記制御手段による制御処理により前記所定のプロセスからのみアクセスが許可されている前記記憶領域に、前記取得手段で取得したデータ書出しポリシーを記憶する記憶手段と、前記記憶手段で記憶されたデータ書出しポリシーに従って、前記ストレージデバイスに対するデータの書出しの可否を前記所定のプロセスにより判定する書出し可否判定手段と、前記所定のプロセスによって前記ストレージデイスに対するデータの書出しが行われるのか否かを判定するプロセス判定手段と、前記書出し可否判定手段により前記ストレージデバイスに対するデータの書出しが可能と判定され、且つ、前記プロセス判定手段により前記所定のプロセスによって前記ストレージデバイスに対するデータの書出しが行われると判定された場合、前記ストレージデバイスに対応する書出しドライバへの前記データの出力を許可する出力許可手段と、を備えることを特徴とする。
本発明の情報処理装置の制御方法は、書出し要求されたデータのストレージデバイスへの書出しの可否を制御する情報処理装置の制御方法であって、前記情報処理装置の取得手段が、データの書出しが許可される条件が規定されたデータ書出しポリシーを取得する取得工程と、前記情報処理装置の禁止条件設定手段が、前記取得手段で取得された前記データ書出しポリシーが記憶される記憶領域に対するアクセスを禁止するための拒否条件を設定する禁止条件設定工程と、前記情報処理装置のプロセス許可設定手段が、前記記憶領域へのアクセスを許可する許可条件として前記記憶領域へのアクセスを許可する所定のプロセスを示す情報を設定するプロセス許可設定工程と、前記情報処理装置の制御手段が、前記禁止条件設定手段により設定された拒否条件、及び前記プロセス許可設定手段により設定された許可条件に従って、前記記憶領域に対するアクセスの可否を制御する制御工程と、前記情報処理装置の記憶手段が、前記制御手段による制御処理により前記所定のプロセスからのみアクセスが許可されている前記記憶領域に、前記取得手段で取得したデータ書出しポリシーを記憶する記憶工程と、前記情報処理装置の書出し可否判定手段が、前記記憶手段で記憶されたデータ書出しポリシーに従って、前記ストレージデバイスに対するデータの書出しの可否を前記所定のプロセスにより判定する書出し可否判定工程と、前記情報処理装置のプロセス判定手段が、前記所定のプロセスによって前記ストレージデバイスに対するデータの書出しが行われるのか否かを判定するプロセス判定工程と、前記情報処理装置の出力許可手段が、前記書出し可否判定手段により前記ストレージデバイスに対するデータの書出しが可能と判定され、且つ、前記プロセス判定手段により前記所定のプロセスによって前記ストレージデバイスに対するデータの書出しが行われると判定された場合、前記ストレージデバイスに対応する書出しドライバへの前記データの出力を許可する出力許可工程と、を備えることを特徴とする。
本発明のプログラムは、書出し要求されたデータのストレージデバイスへの書出しの可否を制御する情報処理装置で実行されるプログラムあって、データの書出しが許可される条件が規定されたデータ書出しポリシーを取得する取得手段と、前記取得手段で取得された前記データ書出しポリシーが記憶される記憶領域に対するアクセスを禁止するための拒否条件を設定する禁止条件設定手段と、前記記憶領域へのアクセスを許可する許可条件として前記記憶領域へのアクセスを許可する所定のプロセスを示す情報を設定するプロセス許可設定手段と、前記禁止条件設定手段により設定された拒否条件、及び前記プロセス許可設定手段により設定された許可条件に従って、前記記憶領域に対するアクセスの可否を制御する制御手段と、前記制御手段による制御処理により前記所定のプロセスからのみアクセスが許可されている前記記憶領域に、前記取得手段で取得したデータ書出しポリシーを記憶する記憶手段で記憶されたデータ書出しポリシーに従って、前記ストレージデバイスに対するデータの書出しの可否を前記所定のプロセスにより判定する書出し可否判定手段と、前記所定のプロセスによって前記ストレージデバイスに対するデータの書出しが行われるのか否かを判定するプロセス判定手段と、前記書出し可否判定手段により前記ストレージデバイスに対するデータの書出しが可能と判定され、且つ、前記プロセス判定手段により前記所定のプロセスによって前記ストレージデバイスに対するデータの書出しが行われると判定された場合、前記ストレージデバイスに対応する書出しドライバへの前記データの出力を許可する出力許可手段として前記情報処理装置を機能させることを特徴とする。

本発明によれば、所定のプロセスからのみデータを出力できるようにし、不要なデータの書き出しを防ぐことが可能となる。

以下、本発明の実施の形態について図面を参照しながら説明する。
図１は、本実施の形態に係るデバイス制限システムの構成を概略的に示すブロック図である。図１に示す如く、本実施形態に係るデバイス制限システムは、クライアント端末１０１と、管理者端末１０２と、管理サーバ１０３とが、ＬＡＮ等のネットワーク（通信回線）１０４を介して相互に通信可能に接続された構成となっている。なお、図１に示すデバイス制限システムは、本発明の情報処理システムの一構成例である。

クライアント端末１０１と、管理者端末１０２と、管理サーバ１０３とは、コンピュータ等の情報処理装置で構成される。

クライアント端末１０１は、ユーザが利用する端末である。このクライアント端末１０１には、エージェントプログラムとフィルタドライバがインストールされている。クライアント端末１０１は、管理サーバ１０３から配布される監視ポリシーにより、端末に接続されているデバイス（ハードディスクやＵＳＢメモリ等）を制御する機能や操作ログを管理サーバ１０３に送信する機能を有している。

管理者端末１０２は、管理者が利用する端末である。この管理者端末１０２は、端末にインストールされているＷＥＢブラウザを通じて管理サーバ１０３に接続し、システムの設定や状態を操作、閲覧する機能を有している。

管理サーバ１０３は、クライアント情報や監視ポリシー等のシステム情報を保持する管理サーバである。管理サーバ１０３は、管理者端末１０２に対してシステム設定画面を提供する機能やクライアント端末１０１からの操作ログを受信する機能、監視ポリシーを配布する機能を有している。

また、クライアント端末１０１、管理者端末１０２、管理サーバ１０３は、それぞれ複数台あっても構わない。

図２は、図１におけるクライアント端末１０１、管理者端末１０２、管理サーバ１０３の情報処理装置のハードウェア構成を概略的に示すブロック図である。

図２において、２０１はＣＰＵ２０１であり、システムバス２０４に接続される各デバイスやコントローラを統括的に制御する。

また、ＲＯＭ２０２あるいは外部メモリ２１１には、ＣＰＵ２０１の制御プログラムであるＢＩＯＳ(Basic Input / Output System)やオペレーティングシステムプログラム（以下、ＯＳ）や、サーバ或いは各クライアントの実行する機能を実現するために必要な後述する各種プログラム等が記憶されている。

ＲＡＭ２０３は、ＣＰＵ２０１の主メモリ、ワークエリア等として機能する。
ＣＰＵ２０１は、処理の実行に際して必要なプログラム等をＲＡＭ２０３にロードして、プログラムを実行することで各種動作を実現するものである。

また、入力コントローラ（入力Ｃ）２０５は、キーボード２０９や不図示のマウス等のポインティングデバイスからの入力を制御する。

ビデオコントローラ（ＶＣ）２０６は、ディスプレイ２１０への表示を制御する。ディスプレイは、ＣＲＴディスプレイでも液晶ディスプレイ等でも構わない。

メモリコントローラ（ＭＣ）２０７は、ブートプログラム、ブラウザソフトウエア、各種のアプリケーション、フォントデータ、ユーザファイル、編集ファイル、各種データ等を記憶するハードディスク（ＨＤ）やフロッピー（登録商標）ディスク（登録商標）（ＦＤ）或いはＰＣＭＣＩＡカードスロットにアダプタを介して接続されるコンパクトフラッシュ（登録商標）メモリ等の外部メモリ２１１へのアクセスを制御する。

通信Ｉ／Ｆコントローラ（通信Ｉ／ＦＣ）２０８は、ネットワーク１０５を介して、外部機器と接続・通信するものであり、ネットワークでの通信制御処理を実行する。例えば、ＴＣＰ／ＩＰを用いたインターネット通信等が可能である。

なお、ＣＰＵ２０１は、例えばＲＡＭ２０３内の表示情報領域へアウトラインフォントの展開（ラスタライズ）処理を実現することにより、ディスプレイ２０１上での表示を可能としている。また、ＣＰＵ２０１は、ディスプレイ２１０上の不図示のマウスカーソル等でユーザ指示可能とする。

本発明を実現するためのプログラムは外部メモリ２１１に記録されており、必要に応じてＲＡＭ２０２にロードされることによりＣＰＵ２０１によって実行されるものである。さらに、本発明に係わるプログラムが用いる各種データ及び各種テーブルは外部メモリ２１１に格納されており、これらについての詳細な説明は後述する。

図３は、図１におけるクライアント端末１０１のモジュール構成を概略的に示すブロック図である。

まず、クライアント端末１０１は、オペレーティングシステム３０８と、そのオペレーティングシステムで動作するプログラムである、設定用プログラム３０１、一時書き込みプログラム３０２、制御・通信サービスプログラム３０３、印刷監視モジュール３１０、フィルタドライバ(ファイルシステム)３０４、フィルタドライバ（ＣＤ−ＲＷ／ＤＶＤライティング）３０５、ファイルシステムドライバ３０６、ＣＤ−ＲＷ／ＤＶＤライティングドライバ３０７、プリンタドライバ３１３、デバイス３０９で構成される。

また、クライアント端末１０１は、通信回線を介してプリンタ３１４と相互に通信可能に接続している。プリンタ３１４は、クライアント端末１０１からの印刷指示に応じて、印刷出力することができる。

設定用プログラム３０１は、エージェントプログラムを停止するための停止画面や各種申請を行なう申請画面等、ユーザ操作画面を提供する。

一時書き込みプログラム３０２は、一時書き込み機能によりデバイスの一時利用が許可された場合、クライアント端末１０１に接続されたデバイスへファイルを書き出す機能を提供する。

制御・通信サービスプログラム３０３は、常駐プログラムとして動作し、フィルタドライバ（ファイルシステム）３０４とフィルタドライバ（ＣＤ−ＲＷ／ＤＶＤライティング）３０５に対する動作設定、管理サーバ１０３から監視ポリシーを取得する機能や操作ログを送信する機能を提供する。

印刷監視モジュール３１０は、制御・通信サービスプログラム３０３内で呼び出されるモジュールで、印刷の実行を制御する機能を提供する。

また、印刷監視モジュール３１０を含む制御・通信サービスプログラム３０３と、設定用プログラム３０１と、一時書き込みプログラム３０２とから、エージェントプログラム３１１は構成される。

フィルタドライバ（ファイルシステム）３０４は、ハードディスクやＵＳＢメモリ、フロッピー（登録商標）ドライブ、共有フォルダのデバイスに対するファイル操作を監視し、制御・通信サービスプログラム３０３より設定された動作条件に基づいて、操作を禁止する機能を提供する。

フィルタドライバ（ＣＤ−ＲＷ／ＤＶＤライティング）３０５は、ＣＤ−Ｒ、ＣＤ−ＲＷ、ＤＶＤ等の光ディスクに対する操作を監視し、制御・通信サービスプログラム３０３より設定された動作条件に基づいて、操作を禁止する機能を提供する。

また、フィルタドライバ３１２は、フィルタドライバ（ファイルシステム）３０４とフィルタドライバ（ＣＤ−ＲＷ／ＤＶＤライティング）３０５とから構成される。

ファイルシステムドライバ３０６は、オペレーティングシステム３０８が外部メモリ２１１を制御するための機能を提供する。

ＣＤ−ＲＷ／ＤＶＤライティングドライバ３０７は、オペレーティングシステム３０８がＣＤ−Ｒ、ＣＤ−ＲＷ、ＤＶＤ等の光ディスクを制御するための機能を提供する。

プリンタドライバ３１３は、オペレーティングシステム３０８がプリンタ３１４を制御するための機能を提供する。

プリンタ３１４は、字データや画像データ、図形データ等を紙やＯＨＰシート等に印刷する装置を意味する。

デバイス３０９は、内蔵ハードディスク等クライアント端末１０１に内蔵されているデバイスやネットワーク上に接続されている共有フォルダ、または、ＵＳＢメモリ、フロッピー（登録商標）ディスク、光ディスク等の取り外し可能な記憶媒体を意味する。

図４は、図１における管理者端末１０２のモジュール構成を概略的に示すブロック図である。

管理者端末１０２は、オペレーティングシステム４０３とそのオペレーティング上で動作するプログラムであるＷＥＢブラウザアプリケーション４０１、電子メール受信アプリケーション４０２で構成される。また、これらのプログラム（４０１、４０２、４０３）は、図２に示す外部メモリ２１１に格納される。

管理者は、このＷＥＢブラウザアプリケーション４０１を利用して管理サーバ１０３へ接続し、システム情報の設定や閲覧を行う機能を提供する。

また、電子メール受信アプリケーション４０２は、管理サーバ１０３からの電子メールを受信する機能を提供する。

図５は、図１における管理サーバ１０３のモジュール構成を概略的に示すブロック図である。

管理サーバ１０３は、オペレーティングシステム５０５とそのオペレーティング上で動作するプログラムであるログ受信プログラム５０１、ＷＥＢサーバ５０２、管理用ＷＥＢアプリケーション５０３、データベース５０４で構成される。また、これらのプログラム（５０１乃至５０５）は、図２に示す外部メモリ２１１に格納される。

ログ受信プログラム５０１は、クライアント端末１０１からの操作ログを受信し、データベースに格納する機能を提供する。

管理用ＷＥＢアプリケーション５０３は、ＷＥＢサーバ５０２上で動作し、管理者端末１０２にインストールされているＷＥＢブラウザアプリケーション４０１からの要求に対して、設定画面やシステム情報、操作ログ情報を提供する機能とクライアント端末１０１からの監視ポリシー取得要求に対して、監視ポリシーを配布する機能を提供する。

次に、データベース５０４は、設定されたシステム情報の保存やクライアント端末１０１から送信された操作ログを保存する機能を提供する。

また、図３乃至図５に示した各モジュールは、図２の２１１に示すハードディスクやフロッピー（登録商標）ディスクに格納される。

図６は、本実施形態におけるデバイス制限システムの処理手順の一例を示すフローチャートである。

まず、図６に示すステップＳ６０１乃至ステップＳ６１１の処理は、クライアント端末１０１のＣＰＵ２０１が、外部メモリ２１１等の記憶手段に格納された制御・通信サービスプログラム３０３や設定用プログラム３０１、印刷監視モジュール３１０をＲＡＭ２０３にロードして実行することにより実現される。

次に、図６に示すステップＳ６２１乃至ステップＳ６２５の処理は、管理サーバ１０３のＣＰＵ２０１が、外部メモリ２１１等の記憶手段に格納された管理用ＷＥＢアプリケーション５０３をＲＡＭ２０３にロードして実行することにより実現される。

また、図６に示すステップＳ６２６とステップＳ６２７の処理は、管理サーバ１０３のＣＰＵ２０１が、外部メモリ２１１等の記憶手段に格納されたログ受信プログラム５０１をＲＡＭ２０３にロードして実行することにより実現される。

最後に、図６に示すステップＳ６５１乃至ステップＳ６５３の処理は、管理者端末１０２のＣＰＵ２０１が、外部メモリ２１１等の記憶手段に格納されたＷＥＢブラウザアプリケーション４０１と電子メール受信アプリケーション４０２をＲＡＭ２０３にロードして実行することにより実現される。

次に、図６に示すフローチャートの各ステップについて説明する。
はじめに、ステップＳ６５１、ステップＳ６５２とステップＳ６２１、ステップＳ６２２の監視ポリシー作成処理について説明する。

まず、管理者端末１０２のＣＰＵ２０１は、管理者による画面操作に基づいて、ＷＥＢブラウザアプリケーション４０１を起動し、ディスプレイにＷＥＢブラウザを表示する。
そして、管理者端末１０２のＷＥＢブラウザアプリケーション４０１は、管理サーバ１０３の管理用ＷＥＢアプリケーション５０３に接続し、承認情報（ユーザＩＤやパスワード）を送信する（ステップＳ６５１）。

次に、管理サーバ１０３の管理用ＷＥＢアプリケーション５０３は、管理者端末１０２から送信された認証情報を受信し、認証処理を実行する（ステップＳ６２１）。ここでいう認証処理とは、ＩＤとパスワードによる認証やスマートカード等の認証デバイスによる認証を意味する。

次に、認証処理が成功した場合、管理サーバ１０３の管理用ＷＥＢアプリケーションは、管理者端末１０２に、監視ポリシー（図１０）を入力するための監視ポリシー設定画面（図９）の情報（ＷＥＢブラウザに表示するための表示情報）を送信する。

そして、管理者端末１０２のＷＥＢブラウザアプリケーション４０１は、当該監視ポリシー設定画面の情報を受信すると、当該情報に基づいてＷＥＢブラウザに監視ポリシー設定画面（図９）を表示する。

また、認証処理が失敗した場合、管理サーバ１０３の管理用ＷＥＢアプリケーションは、管理者端末１０２に、承認に失敗した旨のエラーメッセージを表示するための表示情報（ＷＥＢブラウザに表示するための表示情報）を送信する。

そして、管理者端末１０２のＣＰＵ２０１は、当該表示情報を受信すると、当該情報に基づいて承認に失敗した旨のエラーメッセージ（不図示）をＷｅｂブラウザに表示する。

なお、監視ポリシー設定画面（図９）には、ポリシーセット名（監視ポリシー名）（０９０１）、コメントの入力欄（０９０２）、ローカルデバイスへのアクセス制御及びログを取得するか否かを設定する入力欄（０９０３、０９０４、０９０５、０９０６、０９０７）、印刷の制御と操作ログを取得するか否かを設定する入力欄（０９０８）、共有フォルダへのアクセス制御と操作ログを取得するか否かを設定する入力欄（０９０９）が表示される。

ここで、ローカルデバイスの一例として、フロッピー（登録商標）ディスク、リムーバブルディスク、ローカルハードディスク、光ディスクを示しているが、これ以外の記憶媒体を設定するようにしても構わない。

次に、光ディスクへのアクセス制御とログを取得するか否かを設定する入力欄（０９０６、０９０７）に関して簡単に説明する。

０９０６は、パケットライトによる光ディスクへのアクセス制御とログを取得するか否かを設定するための入力欄（ＣＤ、ＤＶＤ（パケットライト））である。０９０７は、ライティングソフトによる光ディスクへのアクセス制御とログを収集するか否かを設定するための入力欄（ＣＤ／ＤＶＤライティングソフト）である。

以下に、図９の監視ポリシー設定画面を用いて、どのように、アクセス制御とログを収集するか否かを設定するかについて説明する。

まず、０９０３の入力欄を例に、ローカルデバイスへのアクセス制御及びログを取得するか否かを設定する方法について説明する。

０９０３の入力欄には、ログに関して、「Ｒｅａｄ」、「Ｗｒｉｔｅ」、「Ｄｅｌｅｔｅ」、「Ｒｅｎａｍｅ」のチェックボックスが表示されている。

図９の例では、フロッピー（登録商標）ディスクに関して、これら全てのチェックボックスにチェックされている。これは、フロッピー（登録商標）ディスクに記憶されているデータを「読み込んだ」場合、フロッピー（登録商標）ディスクにデータを「記憶させた（書き込んだ）」場合、フロッピー（登録商標）ディスクに記憶されたデータを「消去した」場合、フロッピー（登録商標）ディスクに記憶されている「データの名称（ファイル名等）を変えた」場合には、ともにそのログを操作ログとして収集（取得）する設定であることを示している。また、チェックボックスにチェックされていない項目については、当該項目に該当する操作をしたとしても、当該操作に関するログを取得しないことを示している。

また、０９０３の入力欄には、アクセス制御に関して、「あり」、「リードオンリー」、「全て禁止」のラジオボタンが表示されている。

図９の例では、「リードオンリー」が選択されており、これはフロッピー（登録商標）ディスクに記憶されたデータを読み込むことのみを許可している設定を示している。即ち、フロッピー（登録商標）ディスクにデータを書き込む（記憶させる）ことや、フロッピー（登録商標）ディスクに記憶されたデータを消去したり、当該データの名称（ファイル名）を変更すること等はできない設定となっている。

また、０９０４、０９０５、０９０６に関しては、フロッピー（登録商標）ディスクではなく、リムーバブルディスクやローカルディスク、光ディスク等へのアクセス制御及び、ログを収集するか否かを同様に設定することができる。

０９０７には、ライティングソフトにより、光ディスクへのデータの書き込みを許可するか否かを設定するチェックボックスと、ライティングソフトにより光ディスクにアクセスした場合に、ログを収集するか否かを設定するチェックボックスとが表示されている。

当該光ディスクへのデータの書き込みを許可するか否かを設定するチェックボックスに、チェックがされていれば、ライティングソフトにより光ディスクへのデータの書き込みを許可する。ログを収集するか否かを設定するチェックボックスにチェックがされていれば、ライティングソフトにより光ディスクにアクセスした場合に、ログを収集する設定がされていることを示している。また、これらの項目にチェックが付されていなければ、当該チェックされた項目の設定はされていないことを示す。

また、０９０８には、プリンタへの印刷を禁止するか否かを設定するためのチェックボックスと、プリンタへの印刷指示を行った場合に、その操作のログを収集するか否かを設定するためのチェックボックスとが表示されている。

図９の例では、０９０８に表示された、ログを収集するか否かを設定するためのチェックボックスにチェックされているため当該ログをすることを設定していることを示している。また、プリンタへの印刷を禁止するか否かを設定するためのチェックボックスにチェックがされていれば、プリンタへの印刷を禁止する設定がされていることを示し、チェックされていなければ、プリンタへの印刷を許可する設定がされていることを示している。

上述した「監視ポリシー（図１０）」とは、監視ポリシー設定画面（図９）で入力された、フロッピー（登録商標）ディスク、リムーバブルディスク、ローカルハードディスク、光ディスク、ネットワークドライブに対する読み込み命令、書き込み命令、ファイル名の変更命令、データ削除命令を禁止するか否かの設定やプリンタに対する印刷命令を禁止するか否かの設定、そして、上記命令をログとして記録するかを定義した情報である。

次に、監視ポリシー設定画面（図９）を用いて、管理者により監視ポリシー（図１０）が入力され、監視ポリシーの作成ボタン（０９１０）が押下される。すると、管理者端末１０２のＷＥＢブラウザアプリケーション４０１は、入力した監視ポリシーと監視ポリシー名、監視ポリシーの説明を管理サーバ１０３に送信する（ステップＳ６５２）。

次に、管理サーバ１０３の管理用ＷＥＢアプリケーション５０３は、監視ポリシーと監視ポリシー名、監視ポリシーの説明を受信し（ステップＳ６２２）、監視ポリシーテーブル（図１１）に格納する（ステップＳ６２３）。

ここで、監視ポリシーテーブルには、監視ポリシーを特定するための監視ポリシーＩＤ、監視ポリシー名、監視ポリシーの説明、監視ポリシーの作成時刻と監視ポリシーが格納される。

また、監視ポリシーは、監視ポリシーテーブルに格納される際、文字列に変換され、FD_CTRLプロパティにはフロッピー（登録商標）ディスクのアクセス制御設定、FD_LOGプロパティにはフロッピー（登録商標）ディスクの操作ログ設定、RM_CTRLプロパティにはリムーバブルディスクのアクセス制御設定、RM_LOGプロパティにはリムーバブルディスクの操作ログ設定、HD_CTRLプロパティにはローカルハードディスクのアクセス制御設定、HD_LOGプロパティにはローカルハードディスクの操作ログ設定、PCD_CTRLプロパティにはパケットライトによる光ディスクへのアクセス制御設定、PCD_LOGプロパティにはパケットライトによる光ディスクへの操作ログ設定、WCD_CTRLプロパティにはライティングソフトによる光ディスクへのアクセス制御設定、WCD_LOGプロパティにはライティングソフトによる光ディスクの操作ログ設定、PRT_CTRLプロパティには印刷の制御設定、PRT_LOGプロパティには印刷の操作ログ設定、NET_CTRLプロパティにはネットワークドライブへのアクセス制御設定、NET_LOGプロパティにはネットワークドライブの操作ログ設定が格納される。

以上の処理により、ステップＳ６５１、ステップＳ６５２とステップＳ６２１、ステップＳ６２２の監視ポリシー作成処理が完了する。

次に、ステップＳ６０１、ステップＳ６０２とステップＳ６２３のインストール処理について説明する。

まず、クライアント端末１０１のＣＰＵ２０１は、管理者の画面操作に基づいて、クライアント端末１０１にエージェントプログラム３１１とフィルタドライバ３１２をインストールする（ステップＳ６０１）。ここで、エージェントプログラム３１１とは、図３に示した設定用プログラム３０１、一時書き込みプログラム３０２、制御・通信サービスプログラム３０３、印刷監視モジュール３１０を意味する。

また、フィルタドライバ３１２とは、図３に示したフィルタドライバ（ファイルシステム）３０４とフィルタドライバ（ＣＤ−ＲＷ/ＤＶＤライティング）３０５を意味する。
次に、インストールが完了すると、クライアント端末１０１のＣＰＵ２０１は、設定用プログラム３０１を起動し、管理サーバ１０３のＩＰアドレス等のネットワーク情報を設定するための画面（不図示）を表示する。

そして、当該画面を用いて管理者によりネットワーク情報を入力されると、クライアント端末１０１の設定用プログラム３０１は、当該入力されたネットワーク情報を、制御・通信サービスプログラム３０３に通知する。

次にクライアント端末１０１の常駐プログラムである制御・通信サービスプログラム３０３は、通知されたクライアント情報（図７）を管理サーバ１０３の管理用ＷＥＢアプリケーション５０３に送信する（ステップ６０２）。

ここで、クライアント情報（図７）とは、当該クライアント端末１０１が接続されたドメインの名称（ドメイン名）、当該クライアント端末１０１に設定登録されたユーザ名やＩＰアドレス、コンピュータ名を含む情報である。

なお、このクライアント情報は、ステップＳ６２４の監視ポリシーの取得処理で、クライアント情報テーブルから監視ポリシーＩＤを取得するために利用する。

そして、管理サーバ１０３の管理用ＷＥＢアプリケーション５０３は、クライアント情報を受信し、クライアント情報テーブル（図８）にクライアント情報を格納する（ステップＳ６２１）。

ここで、クライアント情報テーブルには、エージェントプログラム３１１を識別するためのエージェントＩＤ、クライアント端末１０１のドメイン名、コンピュータ名とＩＰアドレス、クライアント端末１０１にログインしているユーザ名と、クライアント端末１０１に適用する監視ポリシーのＩＤ（監視ポリシーＩＤ）が格納される。

また、上記監視ポリシーＩＤは、ステップＳ６２２で作成した監視ポリシーＩＤが格納される。これにより、クライアント情報テーブルの監視ポリシーＩＤを参照することで、クライアント端末１０１に適用されている監視ポリシーを知ることができる。

なお、上記実施形態では、クライアント端末１０１に対して監視ポリシーを適用したが、クライアント端末１０１にログインするユーザに対して監視ポリシーを適用することも可能である。また、クライアント端末やユーザをグルーピングすることにより、グループ単位で監視ポリシーを適用、管理することも可能である。

以上の処理により、ステップＳ６０１、ステップＳ６０２とステップＳ６２３のインストール処理が完了する。

なお、上記実施形態では、管理者の画面操作に基づいてエージェントプログラム３１１とフィルタドライバ３１２をインストールしたが、ディレクトリサービスを利用して自動的にインストールすることも可能である。

次に、ステップＳ６０３、ステップＳ６０４とステップＳ６２４の監視ポリシー適用処理について説明する。

まず、クライアント端末１０１の常駐プログラムである制御・通信サービスプログラム３０３は、管理サーバ１０３に対して監視ポリシー取得要求（図２８）を送信する。

ここで、監視ポリシー取得要求とは、図２８に示すように、当該クライアント端末１０１が接続されたドメインの名称（ドメイン名）、当該クライアント端末１０１のコンピュータ名、当該クライアント端末１０１のユーザ名、問い合わせの内容を識別する問い合わせ種別ＩＤ、エージェントプログラムを識別するエージェントＩＤを含む情報である。

また、ステップＳ６０３の監視ポリシー取得要求の送信処理は、クライアント端末１０１の制御・通信サービスプログラム３０３が、管理者の画面操作に基づいて実行するか、または、制御・通信サービスプログラム３０３が、予め設定された間隔で定期的に実行する。或いは、クライアント端末１０１の起動時に監視ポリシー取得要求を送信するようにしてもよい。

次に、管理サーバ１０３の管理用ＷＥＢアプリケーション５０３は、監視ポリシー取得要求を受信し、エージェントＩＤ、ドメイン名、ユーザ名、コンピュータ名をキーに、クライアント情報テーブル（図８）を参照し、監視ポリシーＩＤを取得する。

さらに、取得した監視ポリシーＩＤをキーに監視ポリシーテーブル（図１１）を参照し、監視ポリシー（１１０１）を取得し、クライアント端末１０１の制御・通信サービスプログラム３０３へ監視ポリシーを返信する（ステップＳ６２４）。

クライアント端末１０１は、当該監視ポリシーを受信（取得）すると（ステップＳ６０３）、後述するエージェントプログラムのアクセス制御処理（図１４）を実行する。

当該アクセス制御処理（図１４）は、エージェントプログラムからのアクセスを許可設定する処理である。

次に、監視ポリシーを受信したクライアント端末１０１の制御・通信サービスプログラム３０３は、監視ポリシー適用処理（図１２）を実行する（ステップＳ６０４）。ステップＳ６０４は、本発明のデータ持出設定手段の一処理例である。

以下、図１２を参照して、監視ポリシー適用処理を説明する。
なお、図１２のステップＳ１２０１乃至ステップＳ１２０３の処理は、クライアント端末１０１のＣＰＵ２０１が、外部メモリ２１１等の記憶手段に格納された制御・通信サービスプログラム３０３をＲＡＭ２０３にロードして実行することにより実現される。

はじめに、クライアント端末１０１の常駐プログラムである制御・通信サービスプログラム３０３は、受信した監視ポリシーをクライアント端末１０１の外部メモリ２１１にファイル形式で保存する（ステップＳ１２０１）。

なお、ここで保存したファイルは、監視ポリシーファイル（図１３）と呼ばれ、ファイル内の各プロパティは、図１３に示すように、先に説明した監視ポリシーテーブルの監視ポリシー（１１０１）と同じ値を意味する。なお、監視ポリシーファイルは、本発明のデータ持出ポリシーの一例である。

次に、クライアント端末１０１の制御・通信サービスプログラム３０３は、外部メモリ２１１に格納されている監視ポリシーファイル（図１３）を参照し、印刷処理の実行を許可、または拒否するかを定義した情報を、印刷監視モジュール３１０に設定する。

そして、印刷監視モジュール３１０は、印刷処理の実行を監視する（ステップＳ１２０２）。

さらに、クライアント端末１０１の制御・通信サービスプログラム３０３は、外部メモリ２１１に格納されている監視ポリシーファイル（図１３）を参照する。そして、クライアント端末１０１の制御・通信サービスプログラム３０３は、監視ポリシーで禁止しているデバイスのパスと禁止するファイル操作をフィルタドライバ３１２が保持する拒否条件（図３９）に設定する（ステップＳ１２０３）。

ここで、拒否条件（図３９）とは、フィルタドライバ３１２がアクセス制御を行うファイルパスと、そのファイルに対して実行される読み込み命令、書き込み命令、ファイル名の変更命令、削除命令のうち、どの命令を禁止するかを定義した情報が格納される。

具体的には、監視ポリシー設定画面（図９）のフロッピー（登録商標）ディスクのアクセス制御９０９のように、アクセス制御がリードオンリー（読み込み操作のみ許可）に設定されている場合、拒否条件には、フロッピー（登録商標）ディスクドライブのパスとそのパスに対する書き込み命令、ファイル名の変更命令、削除命令の禁止が登録される。これにより、フロッピー（登録商標）ディスクに格納されているファイルに対して、任意のプログラムから書き込み命令が実行された場合、フィルタドライバ３１２により、操作を禁止することができる。

また、この拒否条件は、図４２に示すようにフロッピー（登録商標）ディスク、リムーバブルディスク、ローカルハードディスク、ＣＤ・ＤＶＤドライブ、ネットワークドライブ毎に設定される。また、全ての文字列を意味する＊（アスタリスク）等ワイルドカード文字を使用して、ファイルパスを設定することも可能である。

なお、各アクセス制御の項目（なし、リードオンリー、全て禁止）に対応する禁止命令を図４０に示す。

また、ファイルドライバ３１２は、拒否条件の他に、許可条件（図３８）を保持する。この許可条件とは、フィルタドライバ３１２がアクセス制御を行うファイルパスと、そのファイルに対して実行される読み込み命令、書き込み命令、ファイル名の変更命令、削除命令のうち、どの命令を許可するかを定義した情報が格納される。

また、この許可条件は、ファイルパスの代わりに、プロセスＩＤを登録することにより、そのプロセスが実行するファイル操作命令を制御することも可能である。

具体的には、図１４のステップＳ１４０４のように、制御・通信サービスプログラム３０３のプロセスＩＤが、許可条件に登録された場合（図４３）、制御・通信サービスプログラム３０３から実行されるファイル操作命令は、拒否条件に登録されているフォルダやファイルに対しても、常に実行が許可される。

以上の処理により、図１２に示す監視ポリシー適用処理が完了する。これにより、クライアント端末１０１において、監視ポリシーで禁止しているファイル操作が実行された場合、フィルタドライバ３１２がファイル操作を中断させることが可能となる。

なお、ステップＳ１２０１で保存した監視ポリシーファイルは、エージェントプログラムが格納されているフォルダと同じフォルダに格納される。このフォルダは、クライアント端末１０１のフィルタドライバ（ファイルシステム）３０４によって、エージェントプログラム以外のプログラムからアクセスを禁止している。その為、他のプログラムからフォルダ内のファイルを閲覧することや情報を書き込むことはできない。

以下、図１４を参照して、エージェントプログラムフォルダのアクセス制御処理を説明する。なお、図１４のステップＳ１４０１乃至ステップＳ１４０４の処理は、クライアント端末１０１のＣＰＵ２０１が、外部メモリ２１１等の記憶手段に格納された制御・通信サービスプログラム３０３をＲＡＭ２０３にロードして実行することにより実現される。

まず、クライアント端末１０１の常駐プログラムである制御・通信サービスプログラム３０３は、エージェントプログラムが格納されているフォルダのパスを取得する（ステップＳ１４０１）。

そして、フィルタドライバ（ファイルシステム）３０４が保持する拒否条件（図３９）に、ステップＳ１４０１で取得したエージェントプログラムのパスと、そのパスに対する読み込み命令、書き込み命令、ファイル名変更命令、削除命令の禁止を設定する（ステップＳ１４０２）。

次に、クライアント端末１０１の制御・通信サービスプログラム３０３は、自身のプロセスＩＤを取得する（ステップＳ１４０３）。

そして、フィルタドライバ（ファイルシステム）３０４が保持する許可条件に、ステップＳ１４０３で取得したプロセスＩＤと、そのプロセスに対する読み込み命令、書き込み命令、ファイル名変更命令、削除命令の許可を設定する（ステップＳ１４０４）。

以上の処理により、図１４に示すエージェントプログラムフォルダのアクセス制御処理が完了する。これにより、他のプログラムが、監視ポリシーファイルおよびエージェントプログラムを操作することができない。

以上の処理により、ステップＳ６０３、ステップＳ６０４とステップＳ６２４の監視ポリシー適用処理が完了する。

次に、ステップＳ６０５からステップＳ６０８とステップＳ６０１０のデバイス操作が行われた場合の処理について説明する。

まず、クライアント端末１０１のＣＰＵ２０１は、ユーザの画面操作により、ファイルやプリンタ等のデバイスに対して、アクセス命令を実行する（ステップＳ６０６）。

もし、実行した命令が、プリンタ操作の場合、クライアント端末１０１の印刷監視モジュール３１０がプリンタ操作のアクセス制御を実行する（図１５）。

一方、ファイル操作の場合、フィルタドライバ３１２がファイル操作のアクセス制御を実行する（図１６）。

はじめに、図１５を参照して印刷を実行した場合の処理を説明する。なお、図１５のステップＳ１５０１乃至ステップＳ１５０４の処理は、クライアント端末１０１のＣＰＵ２０１が、外部メモリ２１１等の記憶手段に格納された制御・通信サービスプログラム３０３と印刷監視モジュール３０１をＲＡＭ２０３にロードして実行することにより実現される。

はじめに、クライアント端末１０１の印刷監視モジュール３０１は、印刷操作を検知し、制御・通信サービスプログラム３０３に通知する（ステップＳ１５０１）。

次に、クライアント端末１０１の常駐プログラムである制御・通信サービスプログラム３０３は、印刷監視モジュール３０１からの通知を受けて、外部メモリ２１１に格納されている監視ポリシーを参照し、印刷の実行が禁止されているかを判断する（ステップＳ１５０２）。

印刷が禁止されていない場合、制御・通信サービスプログラム３０３は、印刷監視モジュール３０１に対して、印刷操作の許可命令を通知する。

そして、印刷監視モジュール３０１は、処理をオペレーティングシステム３０８に渡し、印刷処理を実行する（ステップＳ１５０３）。

逆に、印刷が禁止されている場合、制御・通信サービスプログラム３０３は、印刷監視モジュール３０１に対して、印刷操作の禁止命令を通知する。

そして、印刷監視モジュール３０１は、印刷の実行命令をオペレーティングシステム３０８に渡さず、印刷を実行したプログラムに印刷失敗の情報を送信し、印刷を中断させる（ステップＳ１５０４）。
以上の処理が、印刷を実行した場合の処理となる。

以下、図１６を参照してファイル操作を実行した場合の処理を説明する。なお、図１６のステップＳ１６０１乃至ステップＳ１６０７の処理は、クライアント端末１０１のＣＰＵ２０１が、外部メモリ２１１等の記憶手段に格納されたフィルタドライバ３１２をＲＡＭ２０３にロードして実行することにより実現される。

また、ステップＳ６０１の説明でも触れたが、ここでいうフィルタドライバ３１２とは、図３に示したフィルタドライバ（ファイルシステム）３０４とフィルタドライバ（ＣＤ−ＲＷ/ＤＶＤライティング）３０５を意味する。フィルタドライバ（ＣＤ−ＲＷ/ＤＶＤライティング）３０５は、光ディスクに対するファイル操作を制御するのに対し、フィルタドライバ（ファイルシステム）３０４は、フロッピー（登録商標）ディスク、リムーバブルディスク、ローカルハードディスク、ネットワークドライブに対するファイル操作を制御する。

上記フィルタドライバ（ファイルシステム）３０４とフィルタドライバ（ＣＤ−ＲＷ/ＤＶＤライティング）３０５は、制御対象のデバイスが違うことを除いて、同様の処理を行うため、ここでは、フィルタドライバ３１２として説明する。

はじめに、クライアント端末１０１のフィルタドライバ３１２は、ファイル操作が実行されたことを検知する（ステップＳ１６０１）。

次に、クライアント端末１０１のフィルタドライバ３１２は、実行されたファイル操作が、自らが保持する許可条件に一致するか判定する（ステップＳ１６０２、ステップＳ１６０３）。

具体的には、操作の対象ファイルまたはプロセスが、許可条件に登録したファイルまたはプロセスと同じであるかを判断する。そして、許可条件で登録したファイルまたはプロセスと同じ場合、ファイル操作命令が許可条件で許可した命令であるかを比較し、判断を行う。

次に、許可条件に一致する場合、クライアント端末１０１のフィルタドライバ３１２は、操作を中止せず、下位ドライバへ情報を送信し処理を完了する（ステップＳ１６０７）。

逆に、許可条件に一致しない場合、クライアント端末１０１のフィルタドライバ３１２は、ファイル操作の内容が拒否条件（図３９）に一致するかチェックを実行する（Ｓ１６０４）。

具体的には、操作の対象ファイルが、拒否条件に登録したファイルと同じであるかを判断する。そして、拒否条件で登録したファイルと同じ場合、ファイル操作命令が拒否条件で禁止している命令であるかを比較し、判断を行う。

次に、拒否条件に一致しない場合、クライアント端末１０１のフィルタドライバ３１２は、下位ドライバへ情報を送信し、処理を完了する（ステップＳ１６０７）。

一方、ステップＳ１７０５において、拒否条件に一致する場合、クライアント端末１０１のフィルタドライバは、検知したファイル操作を中断する（ステップＳ１６０６）。
以上の処理が、ファイル操作を実行した場合の処理となる。

次に、ステップＳ６０８、ステップＳ６０９およびステップＳ６２６、ステップＳ６２７の処理の操作ログの記録処理について説明する。

まず、クライアント端末１０１の常駐プログラムである制御・通信サービスプログラム３０３は、外部メモリ２１１に格納されている監視ポリシーファイルを参照し、操作ログを記録するか判定する（ステップＳ６０８）。

操作ログを記録する場合、クライアント端末１０１の制御・通信サービスプログラム３０３は、管理サーバ１０３のログ受信プログラム５０１に、操作ログ（図１７）を送信する（ステップＳ６０９）。

ここで、操作ログ（図１７）とは、エージェントプログラムを特定するエージェントＩＤ、操作ログ発生時刻、操作ログが発生したクライアント端末１０１のコンピュータ名、ドメイン名、ＩＰアドレス、ＭＡＣアドレスや操作ログの種類を識別するイベントＩＤ、操作が許可、または禁止されたのかを意味する詳細イベントＩＤ、操作が実行されたデバイス情報を格納するデバイスＩＤ、操作対象のファイルのファイル名、ファイルサイズ、出力先ファイルパス、実行プロセス名、印刷ページ数、印刷実行時間、印刷実行プリンタ名、印刷実行プリンタのポート番号、印刷ファイル名を含む情報を意味する。

また、操作ログの印刷ページ数、印刷実行時間、印刷実行プリンタ名、印刷実行プリンタのポート番号、印刷ファイル名は、印刷を実行した場合にのみ記録される。

一方、操作ログのファイル名、ファイルサイズ、出力ファイルパスは、ファイル操作を実行した場合にのみ記録される。

次に、管理サーバ１０３のログ受信プログラム５０１は、操作ログ（図１７）を受信する（ステップＳ６２６）。そして、管理サーバ１０３のログ受信プログラム５０１は、操作ログを操作ログテーブル（図１８）に格納する（ステップＳ６２７）。

一方、操作ログを送信しない場合、クライアント端末１０１の制御・通信サービスプログラム３０３は、ステップＳ６０９の処理を実行せず、次のステップに進む。

以上の処理により、ステップＳ６０８、ステップＳ６０９とステップＳ６２６、ステップＳ６２７の処理の操作ログの記録処理が完了する。

なお、上記ステップＳ６０３〜６１０の処理は、オペレーティングシステム３０８が終了するか、ユーザの画面操作に基づいて、クライアント端末１０１のＣＰＵ２０１がエージェントプログラムを停止するまで実行する。

次に、ステップＳ６１１のエージェントプログラム停止処理について説明する。
まず、クライアント端末１０１の設定用プログラム３０１は、ユーザの操作に基づいて、エージェントプログラムの停止命令が実行されると、エージェントプログラムの停止処理を実行する（ステップＳ６１１）。

以下、図３７を参照して、エージェントプログラムの停止処理について説明する。
なお、図３７のステップＳ３７０１の処理は、クライアント端末１０１のＣＰＵ２０１が、外部メモリ２１１等の記憶手段に格納された設定用プログラム３０１をＲＡＭ２０３にロードして実行することにより実現される。

また、図３７のステップＳ３７０２からステップＳ３７０５の処理は、クライアント端末１０１のＣＰＵ２０１が、外部メモリ２１１等の記憶手段に格納された制御・通信サービスプログラム３０３をＲＡＭ２０３にロードして実行することにより実現される。

まず、クライアント端末１０１の設定用プログラム３０１は、パスワード入力画面（不図示）を表示する（ステップＳ３７０１）。

そして、クライアント端末１０１の設定用プログラム３０１は、ユーザによりパスワード入力画面を用いてパスワードが入力された後、常駐プログラムである制御・通信サービスプログラム３０３に対して、エージェントプログラムの停止命令とパスワードを通知する（ステップＳ３７０２）。

次に、制御・通信サービスプログラム３０３は、予め決められたパスワードと設定用プログラム３０１から通知されたパスワードが一致しているか比較する（ステップＳ３７０３）。

そして、一致している場合、フィルタドライバ３１２および印刷制御プログラム３１０に対して、停止命令を送信する（ステップＳ３７０４）。

さらに、制御・通信サービスプログラム３０３は、自らのプログラムを終了し、エージェントプログラムの停止処理を完了する（ステップＳ３７０５）。

以上の処理により、ステップＳ５１１のエージェントプログラム停止処理を完了する。なお、上記パスワードによる認証処理は、故意にエージェントプログラムを停止させ、デバイス制限機能を無効にすることを防ぐためである。

最後に、ステップＳ６２５とステップＳ６５３の監視ログ閲覧処理について説明する。
まず、管理者端末１０２のＣＰＵ２０１は、ＷＥＢブラウザアプリケーション４０１を起動し、ＷＥＢブラウザアプリケーション４０１に検索画面（不図示）を表示する。

そして、ユーザの画面操作により検索条件が入力されると、管理者端末１０２のＷＥＢブラウザアプリケーション４０１は、管理サーバ１０３の管理用ＷＥＢアプリケーション５０３に検索条件を送信する（ステップＳ６５３）。

次に、管理サーバ１０３の管理用ＷＥＢアプリケーション５０３は、操作ログテーブル（図１８）を参照し、検索条件に一致する操作ログを取得し、管理者端末１０２に送信する（ステップＳ６２５）。

そして、管理者端末１０２のＷＥＢブラウザアプリケーション４０１は、操作ログの内容を表示する。

以上の処理により、ステップＳ６２５とステップ６５３の監視ログ閲覧処理が完了する。以上が、本実施形態におけるデバイス制限システムの処理手順となる。

図１９は、本実施形態におけるデバイス制限システムの一時許可機能についての一例を示すフローチャートである。なお、以下に説明する処理は、監視ポリシーによって該当するストレージデバイスに対して要求されるデータの持ち出しが禁止されているが、申請者が一時的に当該データの持ち出しを行いたい場合に実行される処理である。

はじめに、図１９に示す各ステップを実行する装置について説明する。まず、図１９に示すステップＳ１９０１乃至ステップＳ１９１２の処理は、クライアント端末１０１のＣＰＵ２０１が、外部メモリ２１１等の記憶手段に格納された設定用プログラム３０１と制御・通信サービスプログラム３０３をＲＡＭ２０３にロードして実行することにより実現される。

そして、図１９に示すステップＳ１９１３乃至ステップＳ１９２３の処理は、クライアント端末１０１のＣＰＵ２０１が、外部メモリ２１１等の記憶手段に格納された一時書き込みプログラム３０２をＲＡＭ２０３にロードして実行することにより実現される。

次に、図１９に示すステップＳ１９８１乃至ステップＳ１９８６の処理は、管理者端末１０２のＣＰＵ２０１が、外部メモリ２１１等の記憶手段に格納されたＷＥＢブラウザアプリケーション４０１と電子メール受信アプリケーション４０２をＲＡＭ２０３にロードして実行することにより実現される。

また、図１９に示すステップＳ１９３１とステップＳ１９３２の処理は、管理サーバ１０３のＣＰＵ２０１が、外部メモリ２１１等の記憶手段に格納されたログ受信プログラム５０１をＲＡＭ２０３にロードして実行することにより実現される。

最後に、図１９に示すステップＳ１９５１乃至ステップＳ１９６６の処理は、管理サーバ１０３のＣＰＵ２０１が、外部メモリ２１１等の記憶手段に格納された管理用ＷＥＢアプリケーション５０３をＲＡＭ２０３にロードして実行することにより実現される。
以上が、図１９に示す各ステップを実行する装置である。

次に、図１９に示すフローチャートの各ステップについて説明する。
はじめに、ステップＳ１９０１からステップＳ１９０３およびステップＳ１９５１、ステップＳ１９５９の一時許可申請処理について説明する。

まず、クライアント端末１０１のＣＰＵ２０１は、申請者の画面操作に基づいて、設定用プログラム３０１を起動し、一時許可申請画面（図２０）を表示する（ステップＳ１９０１）。ここで、一時許可申請画面には、一時許可申請画面に申請者名（２００１）、申請理由（２００２）、管理者が承認した場合に通知する為の電子メールアドレス（２００３）（以降、承認通知メールアドレスと記述する）、ファイルを出力するＵＳＢメモリ等の記憶装置のシリアルＩＤ（２００５）を入力する項目が表示される。ここで、シリアルＩＤとは、記憶装置を識別可能な固有な情報である。ここでは、ファイルを出力する記憶装置としてＵＳＢメモリを例に説明する。

図２０に示す一時許可申請画面のシリアルＩＤの取得ボタン（２００６）がユーザによってクリックされるとファイルダイアログが表示される。このファイルダイアログには、１又は複数のドライブが表示される。そして、ＣＰＵ２０１は、当該表示された１又は複数のドライブの中から、ユーザにより、ＵＳＢメモリが接続されたドライブが選択（指定）されたことを認識すると、当該ＵＳＢメモリのシリアルＩＤ（２００５）をＯＳから取得する。

このように、ユーザにより、ＵＳＢメモリが接続されたドライブが指定されることにより、当該ＵＳＢメモリのシリアルＩＤを取得することができるが、ＵＳＢメモリのシリアルＩＤの入力欄（２００５）に、ユーザが直接、シリアルＩＤを入力しても構わない。

次に、申請者の画面操作により各項目が入力され、申請ボタン（２００４）が押下されると、クライアント端末１０１の設定用プログラム３０１は、入力された情報を制御・通信サービスプログラム３０３に通知する（ステップＳ１９０２）。

そして、常駐プログラムである制御・通信サービスプログラム３０３は、通知された情報にクライアント端末１０１のドメイン名、コンピュータ名とクライアント端末１０１にログインしているユーザ名、エージェントプログラムを識別するエージェントＩＤ、管理サーバ１０３への問い合わせを識別する問い合わせ種別ＩＤを追加し、申請情報（図２１）として、管理サーバ１０３に送信する（ステップＳ１９０３）。

次に、管理サーバ１０３の管理用ＷＥＢアプリケーション５０３は、送信された申請情報（図２１）を受信する（ステップＳ１９５１）。

そして、管理用ＷＥＢアプリケーション５０３は、受信した申請情報（図２１）を一時許可申請テーブル（図２２）に格納する（ステップＳ１９５９）。ここで、一時許可申請テーブルには、エージェントプログラムを識別するエージェントＩＤ、一時許可申請の処理状態を格納する申請状態、一時許可申請を行った時間、一時許可申請を行ったユーザ名、一時許可申請を行ったコンピュータとドメイン名、一時許可申請画面から入力された申請者名、申請理由、（利用したい）入力されたＵＳＢメモリのシリアルＩＤ、承認通知アドレスと承認処理を行った場合に格納される承認理由、承認時間を格納することができる。

以上の処理により、ステップＳ１９０１からステップＳ１９０３およびステップＳ１９５１、ステップＳ１９５９の一時許可申請処理が完了する。

次に、ステップＳ１９６０からステップＳ１９６６とステップＳ１９８１からステップＳ１９８６の一時許可申請の承認処理について説明する。

まず、管理サーバ１０３の管理用ＷＥＢアプリケーション５０３は、予め設定された管理の電子アドレスに電子メール（図２３）を送信する（以降、この電子メールを申請通知メールと記述する）（ステップＳ１９６０）。

次に、管理者端末１０２の電子メール受信アプリケーション４０２は、管理者の画面操作に基づいて、申請通知メールを受信する（ステップＳ１９８１）。

そして、管理者端末１０２のＣＰＵ２０１は、管理者の画面操作に基づいて、ＷＥＢブラウザアプリケーション４０１を起動し、管理サーバ１０３の管理用ＷＥＢアプリケーション５０３に接続する（ステップＳ１９８２）。

次に、管理サーバ１０３の管理用ＷＥＢアプリケーション５０３は、申請情報画面（図２４）を管理者端末１０２のＷＥＢブラウザアプリケーション４０１に送信する（ステップＳ１９６１）。

それを受けて、管理者端末１０２のＷＥＢブラウザアプリケーション４０１は、管理者申請情報画面（図２４）を表示する（ステップＳ１９８３）。

ここで、申請情報画面には、一時許可申請の情報（２４０１）と一時許可申請の許可、拒否（２４０２）や書き込み条件を入力する項目（２４０３）、承認理由を入力する項目２４０４が表示される。

なお、書き込み条件（２４０３）は、一時許可申請の許可、拒否（２４０２）で、許可設定が選択されるまで設定を入力することができない。

次に、管理者により、一時許可申請の許可、拒否（２４０２）が入力されると、一時許可管理者端末１０２のＷＥＢブラウザアプリケーション４０１は、一時許可申請の許可、拒否（２４０２）設定で、許可が選択されたか判定する（ステップＳ１９８４）。

そして、許可が選択された場合、管理者端末１０２のＷＥＢブラウザアプリケーション４０１は、書き込み条件（２４０３）の設定を入力可能にし、管理者は、申請情報画面に書き込み条件（２４０３）の設定を行う（ステップＳ１９８５）。

ここで、書き込み条件とは、図２５に示すようにデバイス利用を許可する期間、書き出し可能なファイルの数の上限値、書き出し可能なファイルサイズの上限値、ファイルの出力を許可するＵＳＢメモリのシリアルＩＤを含む情報を意味する。この条件に一致している場合にのみ一時書き込みプログラム３０２を使用して、デバイスにファイルを出力することができる。

なお、上記実施形態では、書き込み条件に図２５に示す条件を使用したが、特定のファイルやファイルの拡張子、所有者によってデバイスへのファイル出力を制限すること等の条件も設定可能である。例えば、図２０に示す一時許可申請画面で、データの書き込みを行いたいストレージデバイスを指定し、管理者に申請することができる。

次に、管理者端末１０２のＷＥＢブラウザアプリケーション４０１は、管理者により承認の実行ボタン（２４０５）が押下されると、承認情報を管理サーバ１０３の管理用ＷＥＢアプリケーション５０３に送信する（ステップＳ１９８６）。

ここで、承認情報とは、申請情報画面から設定された一時許可申請の許可（２４０２）、拒否と書き込み条件（２４０３）、承認理由（２４０４）を含む情報である。

次に、管理サーバ１０３の管理用ＷＥＢアプリケーション５０３は、承認情報を受信し、一時許可申請テーブル（図２２）の申請状態、承認時間、承認理由を更新する（ステップＳ１９６２）。

そして、管理サーバ１０３の管理用ＷＥＢアプリケーション５０３は、承認情報を基に、一時許可申請が許可されたかを判断する（ステップＳ１９６３）。

もし、一時許可申請が拒否された場合、管理サーバ１０３の管理用ＷＥＢアプリケーション５０３は、ステップＳ１９６４、ステップＳ１９６５の処理を行わず、次の処理に進む。

逆に、一時許可申請が許可された場合、管理サーバ１０３の管理用ＷＥＢアプリケーション５０３は、承認情報を元に一時ポリシーを作成する（ステップＳ１９６４）。

ここで、一時ポリシーとは、デバイスへのアクセスを一時的に許可する期間や一時書き込みプログラム３０２を使用して書き込みを実行できるファイルの数とファイルの最大サイズ、一時許可申請を実行したコンピュータ名、ドメイン名、ユーザ名、エージェントＩＤを含む情報である。

次に、ステップＳ１９６４で作成した一時ポリシーは、管理サーバ１０３の管理用ＷＥＢアプリケーション５０３により、一時ポリシーテーブル（図２６）に格納される（ステップＳ１９６５）。

ここで、一時ポリシーテーブルには、エージェントＩＤ、ポリシー作成時間、デバイスを一時利用できる有効期間、一時許可申請を行ったユーザ名、コンピュータ名、ドメイン名と一時ポリシーデータを格納することができる。

また、一時ポリシーテーブルの一時ポリシーデータは、ステップＳ１９８５で設定した有効期間(Expiredt)、書き込み可能なファイル数(FileCount)、最大ファイルサイズ(FileSize)、ファイルの出力を許可するＵＳＢメモリのシリアルＩＤ（USBID）、一時許可申請を実行したコンピュータ(ComputerName)、一時許可申請を実行したコンピュータが所属するドメイン(DomainName)、一時許可申請を実行したユーザ名(UserName)、一時許可申請を実行したエージェントプログラムのエージェントＩＤ(agentID)が格納される。

次に、管理サーバ１０３の管理用ＷＥＢアプリケーション５０３は、承認通知メール（図２７）を申請者に送信し、一時許可申請の承認処理が完了したことを申請者に通知する（ステップＳ１９６６）。これにより、申請者は、一時許可申請が処理されたことを知ることができる。

以上の処理により、ステップＳ１９６０からステップＳ１９６６とステップＳ１９８１からステップＳ１９８６の一時許可申請の承認処理が完了する。

次に、ステップＳ１９０４からステップＳ１９０７とステップＳ１９５２からステップＳ１９５５の一時許可申請の処理状況確認処理について説明する。

まず、クライアント端末１０１の常駐プログラムである制御・通信サービスプログラム３０３は、管理サーバ１０３に対して、問い合わせ情報（図２８）を送信する（ステップＳ１９０４）。

ここで、問い合わせ情報とは、エージェントプログラムを識別するエージェントＩＤ、クライアント端末１０１のドメイン名とコンピュータ名、クライアント端末１０１にログインしているユーザ名、管理サーバ１０３への問い合わせを識別する問い合わせ種別ＩＤを含む情報をいう。

次に、管理サーバ１０３の管理用ＷＥＢアプリケーション５０３は、問い合わせ情報を受信する（ステップＳ１９５２）。

そして、管理用ＷＥＢアプリケーション５０３は、送信された問い合わせ情報のエージェントＩＤ、ドメイン名、ユーザ名、コンピュータ名をキーにして、一時許可申請テーブル（図２２）を参照する。そして、管理用ＷＥＢアプリケーション５０３は、該当する一時許可申請の処理状況を取得する（ステップＳ１９５３）。

次に、管理用ＷＥＢアプリケーション５０３は、クライアント端末１０１に一時許可申請の処理状況を返信する（ステップＳ１９５４）。

そして、管理用ＷＥＢアプリケーション５０３は、一時許可申請の処理状況が未承認または拒否されていた場合、クライアント端末１０１からの再度、問い合わせ情報が送信されるのを待つ。逆に、一時許可申請の処理状況が許可されていた場合、ステップＳ１９５６に進む（ステップＳ１９５５）。

次に、クライアント端末１０１の制御・通信サービスプログラム３０３は、一時許可申請の処理状況を受信する（ステップＳ１９０５）。

そして、一時許可申請の処理状況を受け取ったクライアント端末１０１の制御・通信サービスプログラム３０３は、結果画面（図２９）を表示する（ステップＳ１９０６）。

もし、受信した一時許可申請の処理状況が未承認だった場合、クライアント端末１０１の制御・通信サービスプログラム３０３は、一定時間経ってから、再度、問い合わせ情報を送信する。

また、一時許可申請の処理状況が承認処理され、一時許可申請が拒否された場合、クライアント端末１０１の制御・通信サービスプログラム３０３は、一時書き込みプログラム３０２を起動できないように、一時書き込みプログラム３０２の起動画面を無効にする（ステップＳ１９２３）。

一方、一時許可申請の処理状況が承認処理され、一時許可申請が許可された場合、クライアント端末１０１の制御・通信サービスプログラム３０３は、画面に申請が許可された旨のメッセージ（不図示）を表示する。

以上の処理により、ステップＳ１９０４からステップＳ１９０７とステップＳ１９５２からステップＳ１９５５の一時許可申請の処理状況確認処理が完了する。

次に、ステップＳ１９０８からステップＳ１９１０とステップＳ１９５６からステップＳ１９５８の一時ポリシー適用処理について説明する。

まず、クライアント端末１０１のＣＰＵ２０１は、申請者の画面操作に基づいて、設定用プログラム３０１を起動する。そして、設定用プログラム３０１は、申請者の画面操作に基づいて、一時ポリシーの取得命令を、常駐プログラムである制御・通信サービスプログラム３０３に通知する。

次に、通知を受けたクライアント端末１０１の制御・通信サービスプログラム３０３は、管理サーバ１０３に対して、一時ポリシーの配布要求（図３０）を送信する（ステップＳ１９０８）。

ここで、一時ポリシーの配布要求とは、エージェントプログラムを識別するエージェントＩＤ、クライアント端末１０１のコンピュータ名、ドメイン名、クライアント端末１０１にログインしているユーザ名、問い合わせの種類を識別するための問い合わせ識別ＩＤを含む情報をいう。

そして、管理サーバ１０３の管理用ＷＥＢアプリケーション５０３は、一時ポリシーの配布要求を受信する（ステップＳ１９５６）。

さらに、管理サーバ１０３の管理用ＷＥＢアプリケーション５０３は、受信した一時ポリシーの配布要求のエージェントＩＤ、ユーザ名、ドメイン名、コンピュータ名をキーに一時ポリシーテーブル（図２６）から一時ポリシーを取得する（ステップＳ１９５７）。

そして、一時ポリシー（図３１）をクライアント端末１０１の制御・通信サービスプログラム３０３に返信する（ステップＳ１９５８）。

次に、クライアント端末１０１の制御・通信サービスプログラム３０３は、一時ポリシーを受信する（ステップＳ１９０９）。なお、ステップＳ１９０９は、本発明の取得手段の一処理例である。

さらに、クライアント端末１０１の制御・通信サービスプログラム３０３は、一時ポリシーファイル（図３２）として、クライアント端末１０１の外部メモリ２１１にファイル形式で格納する（ステップＳ１９１０）。ステップＳ１９１０は、本発明の一時的データ持出設定手段の一処理例である。また、一時ポリシーファイルは、本発明の一時データ持出ポリシーの一例である。

なお、この一時ポリシーファイルは図６で説明した監視ポリシーファイルを保護する処理（図１４）と同様に、フィルタドライバ（ファイルシステム）３０４によって、エージェントプログラム以外からの一時ポリシーファイルの記録領域へのアクセスが禁止されている。他のプログラムからは、内容を閲覧したり、書き換えたりすることはできない。本処理は、本発明のデータ持出設定手段の一処理例である。

また、この一時ポリシーファイル（図３２）には、一時書き込みプログラム３０２を使用することができる期間（Expiredtプロパティ）、一時書き込みプログラム３０２を使用してデバイスに出力することができるファイルの数（FileCountプロパティ）、使用を許可したＵＳＢメモリのシリアルＩＤ（USBIDプロパティ）、一時書き込みプログラムを使用してデバイスに出力することができるファイルの最大のデータサイズ（FileSizeプロパティ）、エージェントプログラムを識別するエージェントＩＤ（AgentID）、一時許可申請を行ったクライアント端末１０１のコンピュータ名（ComputerNameプロパティ）、ドメイン名（DomainNameプロパティ）とユーザ名（UserNameプロパティ）が格納される。

以上の処理により、ステップＳ１９０８からステップＳ１９１０とステップＳ１９５６からステップＳ１９５８の一時ポリシー適用処理が完了する。

次に、ステップＳ１９１１とステップＳ１９１２の書き込みプログラムの使用許可判定処理について説明する。

まず、クライアント端末１０１の常駐プログラムである制御・通信サービスプログラム３０３は、クライアント端末１０１のユーザ名、ドメイン名、ユーザ名が、一時ポリシーファイルのComputerNameプロパティ、DomainNameプロパティ、UserNameプロパティと一致する一時ポリシーファイルを検索する。

そして、該当した一時ポリシーファイルに記述されているExpiredtプロパティを参照し、現在の時間が一時ポリシーファイルに定義されている有効期間内であるか判断する（ステップＳ１９１１）。

もし、有効期間外の場合、クライアント端末１０１の制御・通信サービスプログラム３０３は、一時書き込みプログラム３０２を起動できないように一時書き込みプログラム３０２の起動画面を無効にする（ステップＳ１９２３）。

逆に、有効期間内の場合、クライアント端末１０１の制御・通信サービスプログラム３０３は、一時書き込みプログラム３０２を起動可能なように、一時書き込みプログラム３０２の起動画面を有効にする（ステップＳ１９１２）。これにより、申請者は、一時書き込みプログラム３０３の起動が可能となる。

以上の処理により、ステップＳ１９１１とステップＳ１９１２の一時書き込みプログラム３０２の使用許可判定処理が完了する。次に、ステップＳ１９１２からステップＳ１９１８の一時書き込み処理について説明する。

まず、クライアント端末１０１のＣＰＵ２０１は、申請者の画面操作に基づいて、一時書き込みプログラム３０２を起動する（ステップＳ１９１３）。

次に、クライアント端末１０１の一時書き込みプログラム３０２は、書き込み設定画面（図３３）を表示する（ステップＳ１９１４）。ここで、書き込み設定画面（図３３）には、ファイルを出力するデバイスのパスを入力する項目（３３０１）とデバイスに書き出したいファイルパスを入力する項目（３３０２）が表示される。

そして、書き込み設定画面（図３３）を用いて、申請者によりファイルを出力するデバイスのパスとデバイスに書き出すファイルパスが入力され、書き込みボタン（３３０３）が押下される。すると、クライアント端末１０１の一時書き込みプログラム３０２は、書き込み条件の判定処理（図３４）を実行する。

以下、図３４を参照して書き込み条件の判定処理を説明する。
なお、図３４に示すステップＳ３４０１乃至ステップＳ３４０６の処理は、クライアント端末１０１のＣＰＵ２０１が、外部メモリ２１１等の記憶手段に格納された一時書き込みプログラム３０２をＲＡＭ２０３にロードして実行することにより実現される。

まず、クライアント端末１０１の一時書き込みプログラム３０２は、外部メモリ２１１に格納されている一時ポリシーファイルのExpiredtプロパティを参照する。そして、クライアント端末１０１の一時書き込みプログラム３０２は、現在の時刻が一時ポリシーで設定した有効期間を超えているか判定する（ステップＳ３４０１）。

もし、有効期間を超えている場合、書き込み条件に一致しないと判定する（ステップＳ３４０６）。逆に、有効期間を超えていない場合、ステップＳ３４０２へ進む。

次に、一時書き込みプログラム３０２は、外部メモリ２１１に格納されている一時ポリシーファイルのFileCountプロパティを参照する。そして、一時書き込みプログラム３０２は、一時書き込みプログラム３０２を使用して出力したファイルの数が、一時ポリシーで設定した上限値を超えているか判定する（ステップＳ３４０２）。

もし、設定した値を超えている場合、書き込み条件に一致しないと判定する（ステップＳ３４０６）。逆に、設定した値を超えていない場合、ステップＳ３４０３へ進む。

次に、一時書き込みプログラム３０２は、外部メモリ２１１に格納されている一時ポリシーファイルのFileSizeプロパティを参照する。そして、一時書き込みプログラム３０２は、書き込みを行うファイルのサイズが、一時ポリシーで設定した最大ファイルサイズを超えているか判定する（ステップＳ３４０３）。もし、最大ファイルサイズ以上の場合、書き込み条件に一致しないと判定する（ステップＳ３４０６）。

逆に、最大ファイルサイズ以下の場合、ステップＳ３４０４に進む。次に、ステップＳ３４０４において、一時書き込みプログラム３０２は、申請者により入力された、ファイルを出力するデバイスのパスから当該デバイスを特定する。そして、一時書き込みプログラム３０２は、ＯＳに対して当該デバイスのシリアルＩＤを取得するための要求を行い、ＯＳからシリアルＩＤを取得する。

そして、当該取得したシリアルＩＤと一時ポリシーに含まれているシリアルＩＤ（USBIDプロパティ）とが同一か否かを判定する（ステップＳ３４０４）。シリアルＩＤが一致しないと判定した場合、書き込み条件に一致しないと判定する（ステップＳ３４０６）。逆に、書き込み条件に一致すると、書き込み条件に一致すると判定する（ステップＳ３４０５）。以上の処理により、書き込み条件の判定処理が完了する。

また、特定のストレージデバイスに対してのみ、データの書き込みを許可するように制御する方法として、以下のような処理を、ステップＳ３４０１からステップＳ３４０４の間で、更に実行する。

一時ポリシーの書き込み条件に、管理者より許可されたストレージデバイスを識別する識別情報（例えば、シリアル番号等）が含まれている。この該識別情報と、クライアント端末と通信可能なストレージデバイスの識別情報とを比較し、同一の識別情報であると判定した場合は、ステップＳ３４０４の処理を実行し、同一でない場合は、ステップＳ３４０５の処理を実行する。

上記実施形態では、ファイルのサイズや書き出すファイルの数を書き込み条件として説明したが、特定のファイルやファイルの拡張子、所有者を書き込み条件とすること等の条件も設定可能である。

次に、ステップＳ１９１５の処理で、判定結果が書き込み条件に一致しない場合、クライアント端末１０１の一時書き込みプログラム３０２は、書き込み処理を中断する（ステップＳ１９１６）。なお、ステップＳ１９１５の判定処理は、本発明の持出可否判定手段の一処理例である。

そして、一時書き込みプログラム３０２は、一時書き込みプログラム３０２を起動できないようにする為、一時書き込みプログラム３０２の起動画面を無効にし、処理を終了する（ステップＳ１９２３）。逆に、判定結果が条件に一致する場合、クライアント端末１０１の一時書き込みプログラム３０２は、ファイルの書き込み処理（図３５）を実行する（ステップＳ１９１７）。なお、ステップＳ１９１７は、本発明の出力許可手段の一処理例である。

以下、図３５を参照してファイルの書き込み手順を説明する。
なお、ステップＳ３５０１乃至ステップＳ３５０３の処理は、管理サーバ１０３のＣＰＵ２０１が、外部メモリ２１１等の記憶手段に格納された一時書き込みプログラム３０２をＲＡＭ２０３にロードして実行することにより実現される。

また、ステップＳ３５０４乃至ステップＳ３５１０の処理は、管理サーバ１０３のＣＰＵ２０１が、外部メモリ２１１等の記憶手段に格納されたフィルタドライバ（ファイルシステム）３０４をＲＡＭ２０３にロードして実行することにより実現される。

まず、クライアント端末１０１の一時書き込みプログラム３０２は、フィルタドライバ（ファイルシステム）３０４の許可条件（図３８）に、一時書き込みプログラム３０２のプロセスのＩＤを登録する。これにより、ファイル操作命令（読み込み命令、書き込み命令、ファイル名の変更命令、削除命令）を全て許可するように設定する（ステップＳ３５０１）。なお、ステップＳ３５０１は、本発明のプロセス許可設定手段の一処理例である。

図４４は、ステップＳ３５０１で一時書き込みプログラム３０２のプロセスＩＤである１００１が、許可条件に登録された場合の許可条件を示している。これにより、一時書き込みプログラム３０２からのファイル操作は、フィルタドライバ（ファイルシステム）３０４で全て許可される。

次に、クライアント端末１０１の一時書き込みプログラム３０２は、一時書き込み設定画面（図３３）の３３０１から入力されたファイルを出力するデバイスのフォルダに、３３０２で入力されたファイルをコピーする（ステップＳ３５０２）。

そして、ステップＳ３５０２の処理が実行されると、クライアント端末１０１のフィルタドライバ（ファイルシステム）３０４は、ファイル操作を検知する（ステップＳ３５０４）。

次に、クライアント端末１０１のフィルタドライバ（ファイルシステム）３０４は、検知したファイル操作の内容が、自らが保持する許可条件（図３８）に一致するか判定する（ステップＳ３５０５）。なお、ステップＳ３５０５は、本発明のプロセス判定手段の一処理例である。

具体的には、操作の対象ファイルまたはプロセスが、許可条件に登録したファイルまたはプロセスと同じであるかを判断する。そして、許可条件で登録したファイルまたはプロセスと同じである場合、ファイル操作命令が許可条件で禁止している命令であるかを比較し、判断を行う。

もし、許可条件に一致する場合、クライアント端末１０１のフィルタドライバ（ファイルシステム）３０４は、通常通り下位ドライバへ情報を送信する（ステップＳ３５１０）。

逆に、許可条件に一致しない場合、クライアント端末１０１のフィルタドライバ（ファイルシステム）３０４は、検知したファイル操作の内容が、自らが保持する拒否条件（図３９）に一致するか判定する（ステップＳ３５０７）。

具体的には、操作の対象ファイルが、拒否条件に登録したファイルと同じであるかを判断する。そして、拒否条件で登録したファイルと同じ場合、ファイル操作命令が拒否条件で禁止している命令であるかを比較し、判断を行う。

そして、拒否条件に一致しない場合、通常通り下位ドライバへ情報を送信する（ステップＳ３５１０）。

逆に、拒否条件に一致する場合、クライアント端末１０１の一時書き込みプログラム３０２は、ファイル操作を中断する（ステップＳ３５０９）。

なお、この一時書き込みプログラム３０２からのファイル書き込み処理において、ステップＳ３５０１で、許可条件に一時書き込みプログラム３０２のプロセスＩＤを登録している為、ステップＳ３５０７からステップＳ３５０９の処理は実行されることはない。

最後に、クライアント端末１０１の一時書き込みプログラム３０２は、ステップＳ３５０１で登録した許可条件のプロセスＩＤを削除し、許可条件をファイル書き込み処理実行前の状態に戻す（ステップＳ３５０３）。以上の処理により、ファイルの書き込み処理が完了する。

そしてファイルの書き込み処理完了後、クライアント端末１０１の一時書き込みプログラム３０２は、クライアント端末１０１の外部メモリ２１１に格納されている一時ポリシーファイルのFileCountプロパティの値を、デバイスに出力したファイル数だけ減算する（ステップＳ１９１８）。以上の処理により、ステップＳ１９１２からステップＳ１９１８の一時書き込み処理が完了する。

次に、ステップＳ１９１９とステップＳ１９３１、ステップＳ１９３２の操作ログ記録処理について説明する。

まず、クライアント端末１０１の一時書き込みプログラム３０２は、一時書き込みプログラム３０２で出力したファイルの操作ログ（図３６）を、管理サーバ１０３のログ受信プログラム５０１に送信する（ステップＳ１９１８）。

次に、管理サーバ１０３のログ受信プログラム５０１は、操作ログを受信する（ステップＳ１９３１）。

そして、ログ受信プログラム５０１は、操作ログを操作ログテーブル（図１８）に格納する（ステップＳ１９３２）。

以上の処理により、ステップＳ１９１９とステップＳ１９３１、ステップＳ１９３２の操作ログ記録処理が完了する。

次に、ステップＳ１９２０からステップＳ１９２３の書き込み条件判定処理について説明する。

まず、操作ログの送信が完了すると、クライアント端末１０１の一時書き込みプログラム３０２は、書き込み条件の判定処理（図４１）を実行する（ステップＳ１９２０）。

以下、図４１を参照して、書き込み条件の判定処理を説明する。
まず、クライアント端末１０１の一時書き込みプログラム３０２は、外部メモリ２１１に格納されている一時ポリシーファイルのExpiredtプロパティを参照する。そして、クライアント端末１０１の一時書き込みプログラム３０２は、現在の時刻が一時ポリシーで設定した有効期間を超えているか判定する（ステップＳ４１０１）。

もし、有効期間を超えている場合、書き込み条件に一致しないと判定する（ステップＳ４１０４）。逆に、有効期間を超えていない場合、ステップＳ４１０２へ進む。

次に、クライアント端末１０１の一時書き込みプログラム３０２は、外部メモリ２１１に格納されている一時ポリシーファイルのFileCountプロパティを参照する。そして、クライアント端末１０１の一時書き込みプログラム３０２は、一時書き込み処理を行ったファイルの数が、一時ポリシーで設定した上限値を超えているか判定する（ステップＳ４１０２）。

もし、設定した値を超えている場合、書き込み条件に一致しないと判定する（ステップＳ４１０４）。逆に、設定した値を超えていない場合、書き込み条件に一致していると判定する（ステップＳ４１０３）。
以上の処理により、書き込み条件の判定処理を完了する。

そして、ステップＳ１９１９で判定された結果、書き込み条件に一致しない場合、クライアント端末１０１の一時書き込みプログラム３０２は、一時書き込みプログラム３０２を起動できないように、一時書き込みプログラム３０２の起動画面を無効にする（ステップＳ１９２３）。

一方、書き込み条件に一致する場合、クライアント端末１０１の一時書き込みプログラム３０２は、管理者の画面操作に基づいて再度、一時書き込み処理が実行されるのを待つ（ステップＳ１９２２）。

以上の処理により、ステップＳ１９２０からステップＳ１９２３の書き込み条件判定処理が完了する。

なお、一時書き込みプログラム３０２は、書き込み条件に設定した期限またはファイルの出力回数の条件に一致しないか、申請者の画面操作によってエージェントプログラムが終了されるまで、一時書き込み処理を実行することができる。

以上の処理が、本実施形態におけるデバイス制限システムの一時許可機能の処理手順となる。

以上の構成により、本実施形態においては、デバイスの一時許可機能に二次的な制限や持ち出されたファイルの名前やサイズを記録する処理を実行するため、一時許可機能の不正利用を防止する仕組みを提供することができる。これにより、不正にデバイスの一時許可機能が利用され、情報漏洩が発生することを防止することができる。

なお、上述した各種データの構成及びその内容はこれに限定されるものではなく、用途や目的に応じて、様々な構成や内容で構成されることは言うまでもない。

以上、本発明の一実施形態について示したが、本発明は、例えば、システム、装置、方法、プログラムもしくは記録媒体等としての実施態様をとることが可能である。具体的には、複数の機器から構成されるシステムに適用しても良いし、また、一つの機器からなる装置に適用しても良い。

図１は、本発明の実施形態に係るデバイス制限システムのシステム構成を概略的に示すブロック図である。 図１における情報処理装置のハードウェア構成を概略的に示すブロック図である。 図１における情報処理装置（クライアント端末１０１）が備えるモジュールの構成を概略的に示すモジュール構成図である。 図１における情報処理装置（管理者端末１０２）が備えるモジュールの構成を概略的に示すモジュール構成図である。 図１における情報処理装置（管理サーバ１０３）が備えるモジュールの構成を概略的に示すモジュール構成図である。 デバイス制限システムの処理手順を示すフローチャート図である。 図６のステップＳ６０２で扱われる情報を概略的に示す図である。 図６のステップＳ６２３で扱われる情報を格納するデータベーステーブルの一例を概略的に示す図である。 図６のステップＳ６５２で表示される画面の一例を示す図である。 図６のステップＳ６５１で扱われる情報を概略的に示す図である。 図６のステップＳ６２２で扱われる情報を格納するデータベーステーブルの一例を概略的に示す図である。 図１における情報処理装置（クライアント端末１０１）が実行する監視ポリシー適用処理の手順を示すフローチャートである。 図１２のステップＳ１２０１で保存される監視ポリシーファイルの一例を概略的に示す図である。 図１２のステップＳ１２０１で実行する監視ポリシー保存処理の手順を示すフローチャートである。 図１における情報処理装置（クライアント端末）が実行する印刷時の処理手順を示すフローチャートである。 図１における情報処理装置（クライアント端末）が実行するファイル操作時の処理手順を示すフローチャートである。 図６のステップＳ６０９で扱われる情報の一例を概略的に示す図である。 図６のステップＳ６２７で扱われる情報を格納するデータベーステーブルの一例を概略的に示す図である。 本発明の実施形態におけるデバイス制限システムの一時許可機能の一例を示すフローチャートである。 図１９のステップＳ１９０１で表示される画面の一例を示す図である。 図１９のステップＳ１９０３で扱われる情報の一例を概略的に示す図である。 図１９のステップＳ１９５９で扱われる情報を格納するデータベーステーブルの一例を概略的に示す図である。 図１９のステップＳ１９６０で送信される電子メールの一例を示す図である。 図１９のステップＳ１９８３で表示される画面の一例を示す図である。 図１９のステップＳ１９８５で制限される条件の一例を概略的に示す図である。 図１９のステップＳ１９６５で扱われる情報を格納するデータベーステーブルの一例を概略的に示す図である。 図１９のステップＳ１９６６で送信される電子メールの一例を示す図である。 図１９のステップＳ１９０４で扱われる情報の一例を概略的に示す図である。 図１９のステップＳ１９０６で表示される画面の一例を示す図である。 図１９のステップＳ１９０８で扱われる情報の一例を概略的に示す図である。 図１９のステップＳ１９５８で扱われる情報の一例を概略的に示す図である。 図１９のステップＳ１９１０で保存される一時ポリシーファイルの一例を概略的に示す図である。 図１９のステップＳ１９１３で表示される画面の一例を示す図である。 図１における情報処理装置（クライアント端末）が実行する書き込み条件判定処理の手順を示すフローチャートである。 図１における情報処理装置（クライアント端末）が実行するファイル書き込み処理の手順を示すフローチャートである。 図１９のステップＳ１９１９で扱われる情報の一例を概略的に示す図である。 図１における情報処理装置（クライアント端末）が実行するエージェントプログラムの停止処理の手順を示すフローチャートである。 図１におけるフィルタドライバが保持する情報の一例を概略的に示す図である。 図１におけるフィルタドライバが保持する情報の一例を概略的に示す図である。 図９のアクセス制御を設定した場合に、図１のフィルタドライバの拒否条件に登録する禁止命令の対応表を示す図である。 図１９のステップＳ１９７０で実行される書き込み条件の判定処理手順を示すフローチャートである。 拒否条件の一例を概念的に示す図である。 許可条件の一例を概念的に示す図である。 ステップＳ３５０１で一時書き込みプログラムのプロセスＩＤが、許可条件に登録された場合の許可条件を示す図である。

符号の説明

１０１：クライアント端末
１０２：管理者端末
１０３：管理サーバ
１０４：ネットワーク
３０１：設定用プログラム
３０２：一時書き込みプログラム
３０３：制御・通信サービスプログラム
３０４：フィルタドライバ（ファイルシステム）
３０５：フィルタドライバ（ＣＤ−ＲＷ／ＤＶＤライティングドライバ）
３０６：ファイルシステムドライバ
３０７：ＣＤ−ＲＷ／ＤＶＤライティングドライバ
３０８：オペレーティングシステム
３０９：デバイス
３１０：印刷監視プログラム
３１１：エージェントプログラム
３１２：フィルタドライバ
３１３：プリンタドライバ
３１４：プリンタ
４０１：ＷＥＢブラウザアプリケーション
４０２：電子メール受信アプリケーション
４０３：オペレーティングシステム
５０１：ログ受信プログラム
５０２：ＷＥＢサーバ
５０３：管理用ＷＥＢアプリケーション
５０４：データベース
５０５：オペレーティングシステム

Claims (14)

1. 書出し要求されたデータのストレージデバイスへの書出しの可否を制御する情報処理装置と、データの書出しが許可される条件が規定されたデータ書出しポリシーを保持する管理サーバとが通信回線を介して接続される情報処理システムであって、
   前記情報処理装置は、
   データの書出しが許可される条件が規定されたデータ書出しポリシーを前記管理サーバから取得する取得手段と、
   前記取得手段で取得された前記データ書出しポリシーが記憶される記憶領域に対するアクセスを禁止するための拒否条件を設定する禁止条件設定手段と、
   前記記憶領域へのアクセスを許可する許可条件として前記記憶領域へのアクセスを許可する所定のプロセスを示す情報を設定するプロセス許可設定手段と、
   前記禁止条件設定手段により設定された拒否条件、及び前記プロセス許可設定手段により設定された許可条件に従って、前記記憶領域に対するアクセスの可否を制御する制御手段と、
   前記制御手段による制御処理により前記所定のプロセスからのみアクセスが許可されている前記記憶領域に、前記取得手段で取得したデータ書出しポリシーを記憶する記憶手段と、
   前記記憶手段で記憶されたデータ書出しポリシーに従って、前記ストレージデバイスに対するデータの書出しの可否を前記所定のプロセスにより判定する書出し可否判定手段と、
   前記所定のプロセスによって前記ストレージデバイスに対するデータの書出しが行われるのか否かを判定するプロセス判定手段と、
   前記書出し可否判定手段により前記ストレージデバイスに対するデータの書出しが可能と判定され、且つ、前記プロセス判定手段により前記所定のプロセスによって前記ストレージデバイスに対するデータの書出しが行われると判定された場合、前記ストレージデバイスに対応する書出しドライバへの前記データの出力を許可する出力許可手段と、
   を備えることを特徴とする情報処理システム。
2. 書出し要求されたデータのストレージデバイスへの書出しの可否を制御する情報処理装置であって、
   データの書出しが許可される条件が規定されたデータ書出しポリシーを取得する取得手段と、
   前記取得手段で取得された前記データ書出しポリシーが記憶される記憶領域に対するアクセスを禁止するための拒否条件を設定する禁止条件設定手段と、
   前記記憶領域へのアクセスを許可する許可条件として前記記憶領域へのアクセスを許可する所定のプロセスを示す情報を設定するプロセス許可設定手段と、
   前記禁止条件設定手段により設定された拒否条件、及び前記プロセス許可設定手段により設定された許可条件に従って、前記記憶領域に対するアクセスの可否を制御する制御手段と、
   前記制御手段による制御処理により前記所定のプロセスからのみアクセスが許可されている前記記憶領域に、前記取得手段で取得したデータ書出しポリシーを記憶する記憶手段と、
   前記記憶手段で記憶されたデータ書出しポリシーに従って、前記ストレージデバイスに対するデータの書出しの可否を前記所定のプロセスにより判定する書出し可否判定手段と、
   前記所定のプロセスによって前記ストレージデイスに対するデータの書出しが行われるのか否かを判定するプロセス判定手段と、
   前記書出し可否判定手段により前記ストレージデバイスに対するデータの書出しが可能と判定され、且つ、前記プロセス判定手段により前記所定のプロセスによって前記ストレージデバイスに対するデータの書出しが行われると判定された場合、前記ストレージデバイスに対応する書出しドライバへの前記データの出力を許可する出力許可手段と、
   を備えることを特徴とする情報処理装置。
3. 前記書出し可否判定手段により、前記ストレージデバイスに対するデータの書出しを禁止すると判定された場合、前記出力許可手段は、前記ストレージデバイスに対応する書出しドライバへの前記データの出力を禁止することを特徴とする請求項２に記載の情報処理装置。
4. 前記プロセス判定手段により、前記ストレージデバイスに対するデータの書出しが前記所定のプロセスによるものではないと判定された場合、前記出力許可手段は、前記ストレージデバイスに対応する書出しドライバへの前記データの出力を禁止することを特徴とする請求項２又は３に記載の情報処理装置。
5. 前記拒否条件は、前記データ書出しポリシーが記憶された前記記憶領域のパスであることを特徴とする請求項２乃至４のいずれか１項に記載の情報処理装置。
6. 前記ストレージデバイスへのデータの書出し指示を検知する検知手段と、
   を更に備え、
   前記プロセス判定手段は、前記所定のプロセスによって、前記検知手段により書出し指示が検知されたデータの書出しが行われるのか否かを判定することを特徴とする請求項２乃至５のいずれか１項に記載の情報処理装置。
7. 前記書出し可否判定手段は、前記検知手段により、前記ストレージデバイスに対するデータの書出し指示が検知された場合に、前記書出し可否判定手段による書出し可否判定処理を実行することを特徴とする請求項６に記載の情報処理装置。
8. 前記データ書出しポリシーは、前記ストレージデバイスへの書出しを許可する期間を含み、
   前記書出し可否判定手段は、書出し指示された時刻が、前記データ書出しポリシーに含まれる、前記ストレージデバイスへの書出しを許可する期間内か否かを判定することにより、前記ストレージデバイスに対するデータの書出しの可否を判定することを特徴とする請求項２乃至７のいずれか１項に記載の情報処理装置。
9. 前記データ書出しポリシーは、前記ストレージデバイスへの書出しを許可する書出し回数を含み、
   前記書出し可否判定手段は、書出し指示された回数が、前記データ書出しポリシーに含まれる、前記ストレージデバイスへの書出しを許可する書出し回数内か否かを判定することにより、前記ストレージデバイスに対するデータの書出しの可否を判定することを特徴とする請求項２乃至８のいずれか１項に記載の情報処理装置。
10. 前記データ書出しポリシーは、前記ストレージデバイスへの書出しを許可するデータサイズを含み、
    前記書出し可否判定手段は、書出し指示されたデータのデータサイズが、前記データ書出しポリシーに含まれる、前記ストレージデバイスへの書出しを許可するデータサイズ内か否かを判定することにより、前記ストレージデバイスに対するデータの書出しの可否を判定することを特徴とする請求項２乃至９のいずれか１項に記載の情報処理装置。
11. 前記データ書出しポリシーは、前記ストレージデバイスを識別する識別情報を含み、
    前記書出し可否判定手段は、前記データ書出しポリシーに含まれる前記ストレージデバイスの識別情報に基づいて、前記書出し指示されたストレージデバイスに対するデータの書出し可否を判定することを特徴とする請求項２乃至１０のいずれか１項に記載の情報処理装置。
12. 前記取得手段は、前記データ書出しポリシーを取得するための申請を管理サーバに対して行い、前記管理サーバから前記データ書出しポリシーを取得することを特徴とする請求項２乃至１１のいずれか１項に記載の情報処理装置。
13. 書出し要求されたデータのストレージデバイスへの書出しの可否を制御する情報処理装置の制御方法であって、
    前記情報処理装置の取得手段が、データの書出しが許可される条件が規定されたデータ書出しポリシーを取得する取得工程と、
    前記情報処理装置の禁止条件設定手段が、前記取得手段で取得された前記データ書出しポリシーが記憶される記憶領域に対するアクセスを禁止するための拒否条件を設定する禁止条件設定工程と、
    前記情報処理装置のプロセス許可設定手段が、前記記憶領域へのアクセスを許可する許可条件として前記記憶領域へのアクセスを許可する所定のプロセスを示す情報を設定するプロセス許可設定工程と、
    前記情報処理装置の制御手段が、前記禁止条件設定手段により設定された拒否条件、及び前記プロセス許可設定手段により設定された許可条件に従って、前記記憶領域に対するアクセスの可否を制御する制御工程と、
    前記情報処理装置の記憶手段が、前記制御手段による制御処理により前記所定のプロセスからのみアクセスが許可されている前記記憶領域に、前記取得手段で取得したデータ書出しポリシーを記憶する記憶工程と、
    前記情報処理装置の書出し可否判定手段が、前記記憶手段で記憶されたデータ書出しポリシーに従って、前記ストレージデバイスに対するデータの書出しの可否を前記所定のプロセスにより判定する書出し可否判定工程と、
    前記情報処理装置のプロセス判定手段が、前記所定のプロセスによって前記ストレージデバイスに対するデータの書出しが行われるのか否かを判定するプロセス判定工程と、
    前記情報処理装置の出力許可手段が、前記書出し可否判定手段により前記ストレージデバイスに対するデータの書出しが可能と判定され、且つ、前記プロセス判定手段により前記所定のプロセスによって前記ストレージデバイスに対するデータの書出しが行われると判定された場合、前記ストレージデバイスに対応する書出しドライバへの前記データの出力を許可する出力許可工程と、
    を備えることを特徴とする制御方法。
14. 書出し要求されたデータのストレージデバイスへの書出しの可否を制御する情報処理装置で実行されるプログラムあって、
    データの書出しが許可される条件が規定されたデータ書出しポリシーを取得する取得手段と、
    前記取得手段で取得された前記データ書出しポリシーが記憶される記憶領域に対するアクセスを禁止するための拒否条件を設定する禁止条件設定手段と、
    前記記憶領域へのアクセスを許可する許可条件として前記記憶領域へのアクセスを許可する所定のプロセスを示す情報を設定するプロセス許可設定手段と、
    前記禁止条件設定手段により設定された拒否条件、及び前記プロセス許可設定手段により設定された許可条件に従って、前記記憶領域に対するアクセスの可否を制御する制御手段と、
    前記制御手段による制御処理により前記所定のプロセスからのみアクセスが許可されている前記記憶領域に、前記取得手段で取得したデータ書出しポリシーを記憶する記憶手段で記憶されたデータ書出しポリシーに従って、前記ストレージデバイスに対するデータの書出しの可否を前記所定のプロセスにより判定する書出し可否判定手段と、
    前記所定のプロセスによって前記ストレージデバイスに対するデータの書出しが行われるのか否かを判定するプロセス判定手段と、
    前記書出し可否判定手段により前記ストレージデバイスに対するデータの書出しが可能と判定され、且つ、前記プロセス判定手段により前記所定のプロセスによって前記ストレージデバイスに対するデータの書出しが行われると判定された場合、前記ストレージデバイスに対応する書出しドライバへの前記データの出力を許可する出力許可手段として前記情報処理装置を機能させることを特徴とするプログラム。

Images