JP5390327B2 - 文書管理システム及び文書管理方法 - Google Patents

Description

本発明は、文書管理システム及び文書管理方法に係り、特に、文書情報等のコンテンツを暗号化して記憶すると共に、前記コンテンツを取得することができる者を限定することによりコンテンツへのアクセスの制限を行うようにした文書管理システム及び文書管理方法に関する。

近年、情報セキュリティに対する意識の高まりから、特に、機密文書を大量に保有する企業等の組織では、文書の管理や保護を効率的に実現することのできるシステムが求められている。

このような要求を解決することができるようにした技術として、文書を文書ファイルとして電子化してコンピュータシステムで処理することができるようにしたものを暗号化によって保護し、当該文書に対する利用者の権限をサーバ側で制御・管理することができるようにした文書保護システムが一般化しており、効果を上げている。

前述のような文書保護システムに関する従来技術として、例えば、特許文献１等に記載された技術が知られている。この従来技術は、クライアントＰＣ(Personal Computer）に文書ファイルを暗号化して記憶し、文書管理サーバに前述の文書ファイルの復号鍵、アクセス権限リスト等を記憶しておき、前述の文書ファイルを参照する場合、まず、利用者が文書管理サーバにアクセスして参照権限の認証を行った上で復号鍵を取得することができるようにしたものである。

このような文書管理システムの最大の特徴は、被管理文書に対する利用者の操作権限を文書管理サーバが一元管理しているため、サーバ側で利用者の権限を制御できるという点にある。この特徴により、前述の文書管理システムは、被保護文書の配布後に任意の利用者の操作権限を変更することができるため、機密文書に対する情報漏えいのリスクを低減することができる。

特表２００７-５１１８２１号公報

前述した従来技術による文書管理システムにおいて、利用者の操作権限を文書管理サーバにより一元管理するということは、逆に言えば、被管理文書ファイルの参照が可能な利用者等を設定・変更する管理者が存在するということである。具体的には、例えば、文書ファイルを暗号化する際に、利用者の一覧リストを参照して、前述の被管理文書ファイルの参照等を行うことのできる者を管理者が選択することになる。

ところで、大きな機器・設備については、１つの企業内で全ての部品等を設計することができず、部品等の設計を他企業等に発注することも多い。このような場合に、機器・設備全体の設計図面等についても、暗号化した上で発注先の設計者が参照できるようにする必要があるが、発注元で前述の設計図面等を暗号化する際に、これを参照する可能性のある全ての発注先設計者等が判らないことが多い。また、そもそも発注先において誰が設計作業を行うかは発注先が決めるべきことであり、発注先設計者等の一覧を発注元で参照することができること自体、好ましいことではない。

すなわち、文書ファイルの管理者であっても、前述した被管理文書ファイルの参照等を行うことのできる者を決定できない場合がある。

機器・設備の設計に係わらず、例えば、プログラムの一部を他企業に発注する場合や、広告・宣伝の企画を他企業に発注する場合等、様々な場合に前述したと同様な問題が発生する。また、１つの企業内において複数の部署が共同して作業を行う際、利用者の一覧を表示することはできても、ある部署が管理している文書ファイルを他の部署の誰に参照等を行わせるかは、文書を管理している前述の部署では決定することができないことも多い。

さらに、前述したような問題は、文書ファイルに限定されるものではなく、画像ファイル等へのアクセスにおいても同様に発生することになる。

本発明の目的は、前述したような点に鑑み、文書ファイル等の管理者が文書ファイル等の参照等を行うことができる者を決定できない場合であっても、管理している文書ファイル等へのアクセス制限を適切に行うことが可能な文書管理システム及び文書管理方法を提供することにある。

上記目的を達成するため、本発明は、文書情報を含むコンテンツを暗号化して記憶しておき、当該コンテンツを取得することができる者を限定することにより当該コンテンツへのアクセスの制限を行う文書管理システムにおいて、利用者が暗号化した前記コンテンツを保持している１又は複数の第１のクライアントと、鍵ファイルを有して前記第１のクライアント内に保持されている暗号化された前記コンテンツに対するアクセス権限を管理するコンテンツ管理サーバと、暗号化した前記コンテンツを参照する利用者を前記コンテンツ管理サーバに登録する第２のクライアントと、をネットワークにより通信可能に接続して構成され、前記第２のクライアントは、操作者の指示に従って、自クライアントが持つ利用者登録・変更処理手段及び前記コンテンツ管理サーバが持つ利用者管理処理手段を使用し、当該コンテンツ管理サーバ内の利用者ファイルに前記コンテンツを暗号化すると共に、暗号化した当該コンテンツを参照する複数の利用者を登録し、前記第１のクライアントは、操作者である利用者の指示により自クライアントが持つアクセス権限登録・変更処理手段及び前記コンテンツ管理サーバが持つアクセス権限管理処理手段を使用し、暗号化した前記コンテンツを参照させたい１又は複数の利用者を、所定のアクセス権限ＩＤと対にして当該コンテンツ管理サーバ内のアクセス権限ファイルに登録し、更に、自クライアントが持つコンテンツ暗号化処理手段及び当該コンテンツ管理サーバが持つコンテンツ管理処理手段を使用し、当該利用者に参照させたい前記コンテンツを暗号化して暗号化コンテンツとして自クライアントに接続されている記憶装置に記憶すると共に、所定のコンテンツＩＤとアクセス権限ＩＤとを対にして、当該コンテンツ管理サーバ内のコンテンツ管理ファイルに記憶し、当該暗号化コンテンツを参照させたい１又は複数の利用者が使用する他の第１のクライアントに送信し、送信されてきた前記暗号化コンテンツを受信した前記他の第１のクライアントは、送信されてきた当該暗号化コンテンツを参照する際、自クライアントが持つコンテンツ参照プログラム処理手段が、参照しようとしている当該暗号化コンテンツのコンテンツＩＤを前記コンテンツ管理サーバが持つアクセス制御処理手段に送信し、前記アクセス制御処理手段は、送信されてきた前記コンテンツＩＤによって前記コンテンツ管理ファイルから前記アクセス権限ＩＤを取得し、当該アクセス権限ＩＤによって前記アクセス権限ファイルの参照可能な利用者を取得し、参照しようとしている前記暗号化コンテンツの前記コンテンツＩＤを送信してきた前記他の第１のクライアントの利用者の認証を行い、当該他の第１のクライアントのコンテンツ参照処理手段に復号鍵と共に認証に成功したことを送信し、当該コンテンツ参照処理手段による当該暗号化コンテンツの復号化表示を行わせることを特徴とする。

本発明によれば、文書ファイル等の管理者が当該文書ファイル等を参照等できる者を決定することができない場合であっても、当該文書ファイル等へのアクセス制限を適切に行うことが可能となる。

本発明の第１の実施形態による文書管理システムの構成例を示すブロック図である。 本発明の第１の実施形態における鍵ファイルのデータ構成を示す図である。 本発明の第１の実施形態における利用者ファイルのデータ構成を示す図である。 本発明の第１の実施形態におけるアクセス権限ファイルのデータ構成を示す図である。 本発明の第１の実施形態におけるコンテンツ管理ファイルのデータ構成を示す図である。 本発明の第１の実施形態における暗号化コンテンツのデータ構成を示す図である。 本発明の第１の実施形態による文書管理システムでの利用者登録の動作を説明するフローチャートである。 本発明の第１の実施形態による文書管理システムでのアクセス権限登録の動作を説明するフローチャートである。 本発明の第１の実施形態による文書管理システムでのコンテンツ暗号化の動作を説明するフローチャートであ。 本発明の第１の実施形態による文書管理システムでのコンテンツ参照の動作を説明するフローチャートである。 本発明の第１の実施形態による文書管理システムでのコンテンツ再暗号化の動作を説明するフローチャートである。 本発明の第１の実施形態による文書管理システムでのコンテンツ失効の動作を説明するフローチャートである。 再暗号化されたファイルの参照等を禁止できるようにした本発明の第１の実施形態におけるコンテンツ管理ファイルのデータ構成を示す図である。 本発明の第１の実施形態における利用者登録・変更の処理を行う際のログイン画面（利用者認証画面）の例を示す図である。 本発明の第１の実施形態における利用者登録・変更の処理を行う際の利用者登録画面の例を示す図である。 本発明の第１の実施形態におけるアクセス権限登録の処理を行う際のアクセス権限登録画面の例を示す図である。 本発明の第１の実施形態におけるコンテンツ暗号化の処理を行う際のメニュー画面の例を示す図である。 本発明の第１の実施形態におけるコンテンツ暗号化の処理を行う際のコンテンツ暗号化画面の例を示す図である。 本発明の第１の実施形態におけるコンテンツ再暗号化の処理を行う際のコンテンツ再暗号化画面の例を示す図である。 本発明の第１の実施形態におけるコンテンツ失効処理を行う際のコンテンツ失効画面の例を示す図である。 本発明の第２の実施形態による文書管理システムの構成を示すブロック図である。 本発明の第２の実施形態における契約ファイルのデータ構成を示す図である。 本発明の第２の実施形態における利用者ファイルのデータ構成を示す図である。 本発明の第２の実施形態による文書管理システムでの処理動作の概要を説明するフローチャートである。 本発明の第２の実施形態による文書管理システムで契約管理プログラムが契約レコードを作成する動作を説明するフローチャートである。 契約管理プログラムが契約レコードを作成する際の契約画面の例を示す図である。 本発明の第３の実施形態による文書管理システムの構成を示すブロック図である。 本発明の第３の実施形態における窓口担当者ファイルのデータ構成を示す図である。 本発明の第３の実施形態による文書管理システムでのサービスの利用に係わる運用の処理動作について説明するフローチャートである。 本発明の第３の実施形態での窓口担当者登録の動作を説明するフローチャートである。 本発明の第３の実施形態での窓口担当者承認の動作を説明するフローチャートである。 本発明の第３の実施形態における窓口担当者登録処理を行う際の窓口担当者登録画面の例を示す図である。 本発明の第３の実施形態における窓口担当者承認処理を行う際の窓口担当者承認画面の例を示す図である。

以下、本発明による文書管理システム及び文書管理方法の実施形態を図面により詳細に制御する。なお、以下に説明する本発明の実施形態において、「コンテンツ」とは、特に、説明を付さない限り、文書ファイル、画像ファイル等のファイルのみならず、データベース全体や、データベースの各レコード等も含め、閲覧、視聴、メール送受信あるいは外部記憶媒体へのコピー等の対象となりうる電子データ全てを意味する。

図１は本発明の第１の実施形態による文書管理システムの構成例を示すブロック図である。

＜文書管理システムの全体的な構成及び機能＞
第１の実施形態による文書管理システムは、図１に示すように、コンテンツ管理サーバ１と、クライアント３と、クライアント４との各装置を、有線または無線の通信回線により相互に通信可能に接続して構成されている。

なお、図１には、各装置を１台ずつ示しているが、それぞれ２以上存在していてもよい。また、各装置は、それぞれ１台ずつ存在する必要はなく、例えば、クライアント３とクライアント４とは１台で両方の機能を備えるように構成することも可能である。さらに、図１においては１台の装置が備えている複数のプログラム（例えば、クライアント４のアクセス権限登録・変更プログラム４１、コンテンツ暗号化プログラム４２及びコンテンツ参照プログラム４３）を別の装置上に分離して備えることもできる。

図１において、コンテンツ管理サーバ１、クライアント３及びクライアント４は、ＬＡＮ（Local Area Network）９及びインターネット９１によって互いに通信可能に接続されているが、インターネット９１を介さず、ＬＡＮ９のみによって接続されていてもよいし、また、例えば、ＷＡＮ（Wide Area Network）によって接続されていてもよい。

前述において、クライアント３は、アクセス制限の対象となるコンテンツの参照等を行う可能性のある利用者をコンテンツ管理サーバ１に登録することができる。また、クライアント４は、コンテンツ管理サーバ１の機能を使用して、クライアント４に記憶しているコンテンツを暗号化し、アクセス制限をかけることができる。さらに、クライアント４は、暗号化したコンテンツを復号化して利用者に参照させることもできる。

なお、図１において、利用者を登録するクライアント３と、コンテンツの暗号化等を行うクライアント４とを別装置としているが、前述したように、１つの装置が両方の機能を備えてもよい。また、クライアント４が暗号化したコンテンツを参照する別の装置が、ＬＡＮ９、インターネット９１に接続されていてもよい。従って、クライアント４が暗号化したコンテンツを電子メール等で前述の別装置に送信し、その別装置から参照することが可能である。

また、第１の実施形態による文書管理システムの全体は、例えば、１つの企業内に構築することもできる。この場合、コンテンツ管理サーバ１と同一敷地内に設置した装置（クライアント３等）は、ＬＡＮ９によってコンテンツ管理サーバ１と接続され、一方、他の地域等に設置した装置は、インターネット９１経由でＶＰＮ(Virtual Private Network）接続すればよい。

一方、前述のコンテンツ管理サーバ１を、例えば、同一企業グループに属する複数企業が共同で利用することも可能である。この場合、例えば、前述の企業グループには属さないサービス事業者がコンテンツ管理サーバ１を設置・運営し、前述の企業グループに属する各企業は、クライアント３等の装置を、インターネット９１経由でコンテンツ管理サーバ１とＶＰＮ(Virtual Private Network）接続すればよい。

＜文書管理システムの各部の構成及び機能＞
以下、コンテンツ管理サーバ１、クライアント３及びクライアント４の構成・機能を説明する。

＜コンテンツ管理サーバ１の構成及び機能＞
コンテンツ管理サーバ１は、ＰＣ等の装置であり、図示していないが、ＣＰＵ(Central Processing Unit）、主記憶装置等を備えて構成されている。主記憶装置には、コンテンツ管理サーバ１の起動時等の所定のタイミングで、図示していないが外部記憶装置に記憶された利用者管理プログラム１１、アクセス権限管理プログラム１２、コンテンツ管理プログラム１３及びアクセス制御プログラム１４がローディングされ、各プログラムに記憶されている命令コードがＣＰＵによって実行される。

なお、前述のようなプログラム実行にかかわる技術は周知であるので、各図面及び以降の説明においては、プログラム実行に係る説明が煩雑になるのを避けるため、「利用者管理プログラム１１がファイルを参照する」といったように、各種プログラムが処理実行の主体であるかのように記載する。また、コンテンツ管理サーバ１の主記憶装置には、ＯＳ（Operating System）等もローディングされ、ＣＰＵは、随時必要に応じてＯＳの命令コードを実行するが、このような技術も周知であるので、以下では特に説明が必要な場合を除きＯＳ等の処理については触れない。

コンテンツ管理サーバ１は、ＰＣ本体内部に格納されるかまたは外部に存在する記憶装置２と通信可能に接続されている。記憶装置２には、鍵ファイル２１、利用者ファイル２３、アクセス権限ファイル２５及びコンテンツ管理ファイル２６が記憶されている。以下に、各プログラムの機能に触れつつ、これらのファイルの目的、記憶内容等を説明する。

鍵ファイル２１は、コンテンツを暗号化するための暗号鍵と、当該暗号鍵によって暗号化されたコンテンツを復号化するための復号鍵とを対にして記憶しているファイルである。システム全体で１つの暗号鍵及び１つの復号鍵だけを使用する場合には、１組の暗号鍵と復号鍵とだけを記憶しておけばよいし、そうしたほうがシステムの機能等を単純にすることができるが、本発明の第１の実施形態では、暗号鍵と復号鍵との対を１以上記憶しておき、コンテンツを暗号化する際に使用する暗号鍵を選択することができるようにした方式を採用することとしている。このため、鍵ファイル２１には、暗号鍵と復号鍵との対を識別するためのＩＤ（Identifier）も記憶されている。このようにすることにより、ある暗号鍵に対応する復号鍵が漏洩し、あるいは、推定演算により知られてしまっても、別の暗号鍵を用いて暗号化されたコンテンツを復号化することはできないので、システムの秘匿性を向上させることができる。また、暗号鍵と復号鍵とを同一の鍵にすることも可能であり、このようにすればシステムをより単純にすることもできるが、一方、暗号鍵と復号鍵とを分けることにより、暗号鍵を知られても復号化する事ができずシステムの秘匿性を向上させることができる。

なお、コンテンツ管理サーバ１は、鍵ファイル２１を作成・更新等するプログラムも備えているが、このプログラムの機能は、本発明とは直接関係がないため、図示していない。

利用者ファイル２３は、コンテンツを暗号化したり、暗号化したコンテンツを復号化したりする必要がある利用者のアカウント、パスワード等を記憶しているファイルである。利用者ファイル２３の内容は、コンテンツ管理サーバ１がクライアント３からの利用者登録要求を受けると、利用者管理プログラム１１により登録される。

コンテンツ管理ファイル２６は、暗号化したコンテンツを参照する等のコンテンツへのアクセスが、どの利用者に許可されているかを管理するファイルである。この目的を達成するためには、暗号化したコンテンツを一意に識別可能なコンテンツＩＤと対に、アクセスが許可されている利用者の一覧を記憶すればよい。しかし、複数のコンテンツについて、同じ利用者にアクセスを許可する場合も多く、その場合、コンテンツ管理ファイル２６にアクセスが許可されている利用者の一覧を記憶すると、暗号化されたコンテンツ毎に同じ内容が重複して記憶されることになり、記憶装置の容量を冗長に使用することになる。そのため、第１の実施形態では、アクセス権限ファイル２５に、アクセス権限ＩＤと対にして、アクセスが許可されている利用者の一覧を記憶し、コンテンツ管理ファイル２６には、アクセス権限ＩＤを記憶する方式を採用している。

アクセス権限ファイル２５の内容は、アクセス権限管理プログラム１２により、クライアント４からのアクセス権限登録要求を受けて登録される。また、コンテンツ管理ファイル２６は、コンテンツ管理プログラム１３により、クライアント４からのコンテンツ暗号化要求を受けて作成され、アクセス制御プログラム１４により、クライアント４からのコンテンツ参照要求を受けて参照される。

前述で説明した各プログラムは、例えば、ＷＥＢアプリケーションとし、図示していないがapache等のＷＥＢサーバ配下で動作するようにしてもよい。このようにすることにより、後述するクライアント３の利用者登録・変更プログラム３１等の機能をＷＥＢブラウザによって実現することが可能になり、クライアント３への特別なプログラムのインストール等の作業が発生しないようにすることができる。

＜クライアント３の構成及び機能＞
クライアント３は、ＰＣ等の装置であり、入力装置３５及び表示装置３６と通信可能に接続されている。入力装置３５は、キーボード、マウス等の装置であり、クライアント３の操作者は、入力装置３５を操作することにより、クライアント３が実行するべき処理を指示することができる。

表示装置３６は、液晶ディスプレイ、プリンタ等であり、クライアント３が実行した処理の結果等を表示、印刷する。

クライアント３は、図示していないがＣＰＵ及び主記憶装置を備えており、利用者登録・変更プログラム３１が主記憶装置にローディングされ、ＣＰＵによって実行される。

利用者登録・変更プログラム３１は、クライアント３の操作者が入力装置３５を使用して入力した利用者のアカウント等を利用者管理プログラム１１に送信して、利用者ファイル２３に登録するように依頼する。

＜クライアント４の構成及び機能＞
クライアント４は、ＰＣ等の装置であり、入力装置４５、表示装置４６及び記憶装置４６と通信可能に接続されている。入力装置３５は、キーボード、マウス等の装置であり、クライアント４の操作者は、入力装置４５を操作することにより、クライアント４が実行するべき処理を指示することができる。

表示装置４６は、液晶ディスプレイ、プリンタ等であり、クライアント４が実行した処理の結果等を表示、印刷する。

記憶装置４６は、磁気ディスク等の装置であり、クライアント４に内蔵されまたは外部接続される。記憶装置４６には、図示していないが暗号化する前のコンテンツや、暗号化した後のコンテンツである暗号化コンテンツ４９が記憶されている。ここで、暗号化コンテンツ４９とは、特定のファイル等を意味するものではなく、後述するコンテンツ暗号化プログラム４２が暗号化したコンテンツ一般を意味している。従って、暗号化コンテンツ４９は、１以上存在する場合もあれば、存在していない場合もある。なお、暗号化コンテンツ４９には、暗号化する前のコンテンツ内容を暗号化した結果だけでなく、暗号化コンテンツ４９を一意に識別可能なコンテンツＩＤ等が記憶されている。

クライアント４は、図示していないがＣＰＵ及び主記憶装置を備えており、アクセス権限登録・変更プログラム４１、コンテンツ暗号化プログラム４２及びコンテンツ参照プログラム４３が主記憶装置にローディングされ、ＣＰＵによって実行される。

アクセス権限登録・変更プログラム４１は、クライアント４の操作者が入力装置４５を使用して入力した利用者一覧等をアクセス権限管理プログラム１２に送信して、アクセス権限ファイル２５に登録するように依頼する。

コンテンツ暗号化プログラム４２は、クライアント４の操作者が入力装置４５を使用して指定したコンテンツ暗号化要求をコンテンツ管理プログラム１３に送信して、コンテンツ管理ファイル２６を作成すると共に、暗号鍵を送信するように依頼する。そして、コンテンツ暗号化プログラム４２は、コンテンツ管理プログラム１３が送信した暗号鍵を使用してコンテンツを暗号化し、暗号化コンテンツ４９を作成して、記憶装置４６に記憶する。

コンテンツ参照プログラム４３は、クライアント４の操作者が入力装置４５を使用して指定した暗号化コンテンツ４９についての参照要求をアクセス制御プログラム１４に送信し、クライアント４の操作者が当該暗号化コンテンツ４９の参照権限を持っているか否かを判定して、参照権限を持っている場合に、復号鍵を送信するように依頼する。そして、コンテンツ参照プログラム４３は、アクセス制御プログラム１４が送信した復号鍵を使用してコンテンツを復号化し、コンテンツ内容を表示装置４６に表示する。

＜文書管理システムの機能についての補足説明＞
次に、前述迄に説明した各構成を前提に、本発明の第１の実施形態による文書管理システムにおける基本的なアクセス制御方法について、一例を挙げて説明する。

いま、ある企業において、ａ、ｂ、ｃ、ｄ、ｅの５名がコンテンツを暗号化し、あるいは、暗号化したコンテンツを参照する必要が生じたとする。なお、鍵ファイル２１は既に作成済みであるとする。

まず、クライアント３の操作者（ａ〜ｅのうちの１名でもよいし、それ以外の者でもよい）は、利用者登録・変更プログラム３１及び利用者管理プログラム１１を使用して、ａ、ｂ、ｃ、ｄ、ｅの５名を利用者ファイル２３に登録する。

次に、クライアント４の操作者である利用者ａは、アクセス権限登録・変更プログラム４１及びアクセス権限管理プログラム１２を使用して、暗号化コンテンツを参照させたい利用者ｂ、ｃを、所定のアクセス権限ＩＤと対にしてアクセス権限ファイル２５に登録する。

そして、利用者ａは、コンテンツ暗号化プログラム４２及びコンテンツ管理プログラム１３を使用して、利用者ｂ、ｃに参照させたい設計図面ファイル（記憶装置４７に記憶されている）を、暗号化して暗号化コンテンツ４９として記憶装置４７に記憶すると共に、所定のコンテンツＩＤとアクセス権限ＩＤとを対にして、コンテンツ管理ファイル２６に記憶する。

利用者ａは、電子メール送信、ファイル転送等により、暗号化コンテンツ４９を利用者ｂ、ｃに送信する。

利用者ｂ、ｃが、各利用者のクライアント４のコンテンツ参照プログラム４３によって送信された暗号化コンテンツ４９を参照しようとすると、コンテンツ参照プログラム４３は、参照しようとしている暗号化コンテンツ４９のコンテンツＩＤ等をアクセス制御プログラム１４に送信する。アクセス制御プログラム１４は、送信されたコンテンツＩＤによってコンテンツ管理ファイル２６のアクセス権限ＩＤを取得し、そのアクセス権限ＩＤによってアクセス権限ファイル２５の参照可能な利用者を取得する。利用者ｂ、ｃは、参照可能な利用者として登録されているので、アクセス制御プログラム１４は、コンテンツ参照プログラム４３に復号鍵と共に認証に成功したことを送信し、コンテンツ参照プログラム４３は、暗号化コンテンツ４９を復号化して、表示装置４６に表示する。

前述したように、本発明の第１の実施形態では、暗号化コンテンツ４９を作成する際に、コンテンツ管理サーバ１に、参照等が可能な利用者を登録することにより、登録された利用者は、暗号化コンテンツ４９の参照等が可能になる。一方、登録されていない利用者は、暗号化コンテンツ４９の参照等を行うことができない。従って、利用者ａが誤って利用者ｄに暗号化コンテンツ４９を送信した場合でも、利用者ｄは、暗号化コンテンツ４９の参照等を行うことができず、情報漏洩を防止することができる。

＜各ファイルのデータ構造＞
図２は本発明の第１の実施形態における鍵ファイル２１のデータ構成を示す図である。

鍵ファイル２１は、前述したように、コンテンツを暗号化するための暗号鍵と、この暗号鍵によって暗号化されたコンテンツを復号化するための復号鍵とを対にして記憶しているファイルであり、１以上の鍵レコード２１０を記憶して構成されている。

鍵レコード２１０は、鍵レコードを一意に識別することが可能な鍵ＩＤ２１１、コンテンツの暗号鍵である暗号化鍵２１２及び暗号化鍵２１２によって暗号化したコンテンツの復号鍵である復号化鍵２１３から構成される。

図３は本発明の第１の実施形態における利用者ファイル２３のデータ構成を示す図である。

利用者ファイル２３は、コンテンツを暗号化したり、暗号化したコンテンツを復号化したりする必要がある利用者のアカウント、パスワード等を記憶しているファイルであり、１以上の利用者レコード２３０を記憶して構成されている。

利用者レコード２３０は、利用者を一意に識別することが可能な利用者ＩＤ（アカウントＩＤ）２３１、利用者がログインする際に使用するパスワード２３２、利用者登録等の利用者管理操作を行う権限を有しているか否かを示す利用者管理権限有無２３３及びコンテンツを暗号化する権限を有しているか否かを示す暗号化権限有無２３４から構成される。

利用者管理権限有無２３３、及び暗号化権限有無２３４には、権限があることを示す値“権限有”、または、権限がないことを示す値“権限無”が設定されている。

利用者管理権限有無２３３に“権限有”が設定されている場合、その利用者は、利用者登録・変更プログラム３１を使用することができ、“権限無”が設定されている場合、その利用者は、利用者登録・変更プログラム３１を使用することができない。

暗号化権限有無２３４に“権限有”が設定されている場合、その利用者は、コンテンツ暗号化プログラム４２を使用することができ、“権限無”が設定されている場合、その利用者は、コンテンツ暗号化プログラム４２を使用することができない。本発明の第１の実施形態は、このように、利用者毎に暗号化権限の有無を設定することができるようにすることにより、コンテンツを配布する権限のない者には、暗号化権限有無２３４に“権限無”を設定しておくことが可能になる。従って、本発明の第１の実施形態による文書管理システムを、例えば、暗号化されていないコンテンツの外部記憶装置へのコピーや電子メールでの送信等、暗号化されていないコンテンツの外部持出を制限するシステムと併用することにより、暗号化権限のない利用者は、コンテンツを外部に持出すことができなくなり、さらに強固に情報漏洩を防止することができる。

なお、前述したように、利用者登録・変更プログラム３１を使用することができるのは、利用者レコード２３０の利用者管理権限有無２３３に“権限有”が設定されている利用者だけなので、利用者レコード２３０が１レコードも作成されていない状態では、誰も利用者登録・変更プログラム３１を使用して利用者レコード２３０を作成することができない。従って、本発明の第１の実施形態による文書管理システムを構築する際には、利用者管理権限有無２３３に“権限有”が設定されている利用者レコード２３０を、少なくとも１レコード作成しておく必要がある。

図４は本発明の第１の実施形態におけるアクセス権限ファイル２５のデータ構成を示す図である。

アクセス権限ファイル２５は、アクセス制御で使用するために、利用者のアクセス権限を定義しておくためのファイルであり、１以上のアクセス権限レコード２５０を記憶して構成されている。

アクセス権限レコード２５０は、アクセス権限を一意に識別することが可能なアクセス権限ＩＤ２５１、該アクセス権限を適用する暗号化コンテンツを作成する際に使用する鍵レコード２１０を一意に識別することが可能な鍵ＩＤ２５２及びアクセス権限を適用する暗号化コンテンツの参照等を行うことができる利用者を一意に識別することが可能な利用者ＩＤ２５３から構成される。利用者ＩＤ２５３は、ｎ個（ｎは１以上の整数）設定される。

図５は本発明の第１の実施形態におけるコンテンツ管理ファイル２６のデータ構成を示す図である。

コンテンツ管理ファイル２６は、暗号化したコンテンツを参照する等のそのコンテンツへのアクセスが、どの利用者に許可されているかを管理するファイルであり、コンテンツの暗号化を行う都度、コンテンツ管理レコード２６０が１レコード作成される。従って、一度も暗号化を行っていない場合、コンテンツ管理レコード２６０は存在しない。

コンテンツ管理レコード２６０は、暗号化コンテンツ４９を一意に識別することが可能なコンテンツＩＤ２６１、暗号化コンテンツ４９の名称（例えば、文書ファイル名）である暗号化コンテンツ名２６２及び該暗号化コンテンツ４９に適用されるアクセス権限レコード２５０を一意に識別することが可能なアクセス権限ＩＤ２６３から構成される。

図６は本発明の第１の実施形態における暗号化コンテンツ４９のデータ構成を示す図である。

暗号化コンテンツ４９は、暗号化コンテンツ４９を一意に識別することが可能なコンテンツＩＤ４９１、暗号化コンテンツ４９を作成した利用者の利用者ＩＤ４９２、アクセス制限４９３及びコンテンツの内容を暗号化したコンテンツ内容４９４から構成される。

ここで、アクセス制限４９３には、その暗号化コンテンツ４９の参照等を行うことが可能な期間、印刷の可否、コピーの可否等、その暗号化コンテンツ４９に係わるアクセスを制限する情報が設定される。このアクセス制限４９３は、コンテンツ暗号化プログラム４２を使用して暗号化コンテンツ４９を作成する際に指定してもよいし、暗号化コンテンツ４９を作成した後で、別のプログラム（図示していない）を使用して作成・変更してもよい。なお、本発明の第１の実施形態においては、図１に示していない別プログラムを使用して設定・変更等するという前提とし、アクセス制限４９３についてはこれ以上の説明を省略する。

＜アクセス制御システムの動作＞
以上で、本発明の第１の実施形態による文書管理システムの構成及び機能の説明を終了し、次に、フローチャートを参照しながら、第１の実施形態による文書管理システムの動作を説明する。

＜利用者登録・変更に係る動作＞
図７は本発明の第１の実施形態による文書管理システムでの利用者登録の動作を説明するフローチャートである。

クライアント３の操作者（利用者）は、入力装置３５を操作して利用者登録・変更プログラム３１を起動する。

なお、前述したように、クライアント３に特別な利用者登録・変更プログラム３１を備えるのでなく、例えば、ＷＥＢブラウザによって同様の機能を実現することも可能である。また、利用者登録・変更プログラム３１に限らず、アクセス権限登録・変更プログラム４１、コンテンツ暗号化プログラム４２等についても、例えばＷＥＢブラウザによって同様の機能を実現することも可能である。その場合には、クライアント３等の操作者（利用者）は、各プログラムを起動するのでなく、入力装置３５等によってＷＥＢブラウザを操作して、各処理に対応するＵＲＬをＷＥＢサーバに送信すればよい。

（１）利用者登録・変更プログラム３１は、処理を開始すると、表示装置３６にログイン画面（利用者認証画面）を表示し、クライアント３の操作者によって入力された利用者ＩＤ及びパスワードを利用者管理プログラム１１に送信し（Ｓ７０１）、図には明示していないが、利用者管理プログラム１１からの認証成否を受信するまで待つ（ステップＳ７０１）。

図１４はログイン画面（利用者認証画面）の例を示す図であり、ここで、ステップＳ７０１の処理で表示装置３６に表示されるログイン画面の例について説明する。図示ログイン画面（利用者認証画面）Ｄ１４００は、利用者ＩＤの入力欄Ｄ１４０１、パスワードの入力欄Ｄ１４０２、ＯＫボタンＤ１４０３、キャンセルボタンＤ１４０４により構成される。

クライアント３の操作者が、利用者ＩＤの入力欄Ｄ１４０１及びパスワードの入力欄Ｄ１４０２に、自操作者の利用者ＩＤ及びパスワードを入力し、ＯＫボタンＤ１４０３をマウス等でクリックすると、利用者登録・変更プログラム３１は、入力された利用者ＩＤ及びパスワードを利用者管理プログラム１１に送信する。一方、図７には明示していないが、クライアント３の操作者が、キャンセルボタンＤ１４０４をマウス等でクリックすると、利用者登録・変更プログラム３１は処理を終了する。

（２）利用者管理プログラム１１は、利用者登録・変更プログラム３１から送信されてきた利用者ＩＤ及びパスワードを受信すると、受信した利用者ＩＤの認証を行う。具体的には、受信した利用者ＩＤが利用者ファイル２３に登録されており（受信した利用者ＩＤが利用者ＩＤ２３１に設定されている利用者レコード２３０が存在し）、受信したパスワードがその利用者のものであり（受信した利用者ＩＤが利用者ＩＤ２３１に設定されている利用者レコード２３０のパスワード２３２と、受信したパスワードが同一であり）、かつ、その利用者が利用者管理権限を有している（受信した利用者ＩＤが利用者ＩＤ２３１に設定されている利用者レコード２３０の利用者管理権限有無２３３に“権限有”が設定されている）場合に、認証成功とし、前述したいずれかの条件を満たさない場合に認証失敗とする。利用者管理プログラム１１は、「認証成功」または「認証失敗」の処理結果を利用者登録・変更プログラム３１に送信する（ステップＳ７５０）。

（３）利用者登録・変更プログラム３１は、利用者管理プログラム１１から認証の結果を受信すると、「認証成功」か「認証失敗」かを判定し、「認証失敗」であった場合、ログイン画面に認証失敗した旨のメッセージを表示する等により、クライアント３の操作者にパスワード修正の入力を促す（ステップＳ７０２）。

なお、前述したステップＳ７０１、Ｓ７５０及びＳ７０２の処理で説明したログイン画面の表示、サーバにおける認証実施等の利用者認証処理は、プログラムの使用に先立って一般的に行われる処理であり、本発明の第１の実施形態においても、利用者管理プログラム１１に限らず、後述するアクセス権限登録・変更プログラム４１、コンテンツ暗号化プログラム４２、コンテンツ参照プログラム４３及び契約管理プログラム１５を使用する場合にも、まず、前述したような利用者認証処理が行われる。このように、一般的な処理をそれぞれの動作説明で詳述すると、説明が煩雑に過ぎるため、以降の動作説明においては、各利用者認証処理の特徴だけを説明するにとどめることとする。

（４）ステップＳ７０２の判定で、「認証成功」であった場合、利用者登録・変更プログラム３１は、表示装置３６に利用者登録画面を表示し、クライアント３の操作者によって入力された利用者ＩＤ等を利用者管理プログラム１１に送信し、図７には明示していないが、利用者管理プログラム１１から処理結果を受信するまで待つ（ステップＳ７０３）。

図１５は利用者登録画面の例を示す図であり、ここで、ステップＳ７０３の処理で表示装置３６に表示される利用者登録画面の例について説明する。図示利用者登録画面Ｄ１５００は、利用者ＩＤの入力欄、パスワードの入力欄、利用者が利用者管理権限を有するか否かを選択するラジオボタン、暗号化権限を有するか否かを選択するラジオボタン、ＯＫボタン、キャンセルボタンを有して構成されている。

クライアント３の操作者は、利用者ファイル２３に登録したい利用者の利用者ＩＤ、パスワードを利用者登録画面Ｄ１５００の各入力欄に入力し、自利用者が利用者管理権限、暗号化権限をそれぞれ有するか否かをラジオボタンによって選択する。利用者登録・変更プログラム３１は、ＯＫボタンがクリックされると、入力された利用者ＩＤ、パスワード、利用者管理権限及び暗号化権限を利用者管理プログラム１１に送信する。一方、図７には明示していないが、クライアント３の操作者が、キャンセルボタンをマウス等でクリックすると、利用者登録・変更プログラム３１は、処理を終了する。

（５）利用者管理プログラム１１は、利用者登録・変更プログラム３１から送信されてきた利用者ＩＤ等を受信すると、受信した利用者ＩＤ等の登録処理を行う。具体的には、まず、受信した利用者ＩＤ、パスワード、利用者管理権限有無及び暗号化権限有無のチェックを行う（例えば、受信した利用者ＩＤが利用者ＩＤ２３１に設定されている利用者レコード２３０が、すでに利用者ファイル２３に存在する場合にエラーと判定する）。そして、利用者管理プログラム１１は、正常と判定した場合、受信した利用者ＩＤ、パスワード、利用者管理権限有無及び暗号化権限有無を、それぞれ利用者管理レコード２３０の利用者ＩＤ２３１、パスワード２３２、利用者管理権限有無２３３及び暗号化権限有無２３４に設定し、その利用者管理レコード２３０を利用者管理ファイル２３に追加する。利用者管理プログラム１１は、「エラー」または「正常」の処理結果を利用者登録・変更プログラム３１に送信する（ステップＳ７６０）。

なお、本発明の第１の実施形態では、利用者管理プログラム１１が、利用者認証処理（ステップＳ７５０の処理）と登録処理（ステップＳ７６０の処理）との２つの処理を行っている。よく知られているように、例えば、利用者登録・変更プログラム３１が送信する（入力された利用者ＩＤ等から構成される）メッセージに種別を付与し、利用者管理プログラム１１がメッセージの種別に応じて異なる処理を実行するようにすることができる。一方、利用者認証処理（ステップＳ７５０の処理）は、利用者管理プログラム１１ではなく、図示していないが利用者認証プログラムが行うようにすることもできる。また、前述では、利用者管理プログラム１１が常に利用者登録・変更プログラム３１からの受信を待っているように説明したが、例えば、ＷＥＢアプリケーションが利用者登録・変更プログラム３１からのメッセージの受信を検出して、メッセージの種別を判定して、利用者認証プログラムまたは利用者管理プログラム１１を起動するようにすることも可能である。前述の各実現方法は、利用者管理プログラム１１に限らず、後述するアクセス権限管理プログラム１２等にも採用することができる。

（６）利用者登録・変更プログラム３１は、利用者管理プログラム１１から登録処理実施処理の結果を受信すると、「登録処理成功」か「登録処理失敗」かを判定し、「登録処理成功」であった場合、ここでの処理を終了し、「登録処理失敗」であった場合、利用者登録画面に登録が失敗した旨のメッセージを表示する等により、クライアント３の操作者に修正入力を促し、ステップＳ７０３からの処理を繰り返す（ステップＳ７０４）。

前述では、利用者を登録する場合の利用者登録・変更プログラム３１等の動作を説明したが、本発明の第１の実施形態では、利用者ファイル２３の利用者レコード２３０の更新、削除等を可能にすることにより、登録した利用者情報の変更（例えば、パスワードの変更）、利用者の削除等も同様に実現することができる。この場合には、認証に成功した場合（図７のステップＳ７０２の判定でＹＥＳの場合）、図示していないが、利用者登録、利用者情報変更または利用者削除のいずれかを選択するメニュー画面を表示し、利用者登録・変更プログラム３１等が、選択された各処理を実行するようにすればよい。また、パスワードだけは、その利用者自身が、図示していない別のプログラム用いて変更することができるようにしてもよい。

＜アクセス権限登録・変更に係る動作＞
図８は本発明の第１の実施形態による文書管理システムでのアクセス権限登録の動作を説明するフローチャートであり、次に、これについて説明する。

クライアント４の操作者（利用者）は、入力装置４５を操作してアクセス権限登録・変更プログラム４１を起動する。

（１）アクセス権限登録・変更プログラム４１は、処理を開始すると、図示していないが、表示装置４６にログイン画面（利用者認証画面）を表示し、クライアント４の操作者によって入力された利用者ＩＤ及びパスワードをアクセス権限管理プログラム１２に送信し、アクセス権限管理プログラム１２から認証成否を受信するまで待つ。なお、アクセス権限管理プログラム１２は、入力された利用者ＩＤ及びパスワードが利用者ファイル２３に登録されており、当該利用者が暗号化権限を有している場合に、認証成功とする。アクセス権限登録・変更プログラム４１は、アクセス権限管理プログラム１２から「認証成功」を受信すると、表示装置４６にアクセス権限登録画面を表示し、クライアント４の操作者によって入力されたアクセス権限ＩＤ等をアクセス権限管理プログラム１２に送信し、図には明示していないが、アクセス権限管理プログラム１２から処理結果を受信するまで待つ（ステップＳ８０１）。

図１６はアクセス権限登録画面の例を示す図であり、ここで、ステップＳ８０１の処理で表示装置３６に表示されるアクセス権限登録画面の例について説明する。図示アクセス権限登録画面Ｄ１６００は、アクセス権限ＩＤの入力欄Ｄ１６０１、鍵ＩＤの入力欄Ｄ１６０２及び利用者ＩＤ一覧の表示・選択欄Ｄ１６０３、ＯＫボタン、キャンセルボタンを有して構成されている。利用者ＩＤ一覧の表示・選択欄Ｄ１６０３には、利用者ファイル２３に登録されている全ての利用者ＩＤが、チェックボタンＤ１６０４と対にして、必要に応じてスクロール表示される。

クライアント４の操作者は、マウスでクリックする等の操作により、アクセス権限ファイル２３に登録したい１以上の利用者の利用者ＩＤに対応するチェックボタンＤ１６０４を選択状態にし（図１６に示す例ではusr2とusr3とのチェックボタンＤ１６０４を選択している）、アクセス権限ＩＤの入力欄Ｄ１６０１にアクセス権限を一意に識別可能なＩＤを入力し（例えば、“usr2_20090728” のように、クライアント４の操作者の利用者ＩＤと操作年月日とを組み合わせればよい）、鍵ＩＤの入力欄Ｄ１６０２に暗号鍵・復号鍵として使用したい鍵レコード２１０の鍵ＩＤ２１１（例えば“key1”）を入力する。なお、本発明は、前述した利用者登録・変更において、利用者レコード２３０に利用者氏名、所属部署等も設定できるようにし、利用者ＩＤ一覧の表示・選択欄Ｄ１６０３に利用者氏名、所属部署等も表示することにより、利用者の選択を容易にするようにすることができる。

アクセス権限登録・変更プログラム４１は、ＯＫボタンがクリックされると、入力されたアクセス権限ＩＤ、鍵ＩＤ及び利用者ＩＤをアクセス権限管理プログラム１２に送信する。一方、図８には明示していないが、クライアント４の操作者が、キャンセルボタンをマウス等でクリックすると、アクセス権限登録・変更プログラム４１は処理を終了する。

（２）アクセス権限管理プログラム１２は、アクセス権限登録・変更プログラム４１から送信されてきたアクセス権限ＩＤ等を受信すると、受信したアクセス権限ＩＤ等の登録処理を行う。具体的には、アクセス権限管理プログラム１２は、まず、受信したアクセス権限ＩＤ、鍵ＩＤ及び利用者ＩＤのチェックを行う（例えば、受信したアクセス権限ＩＤが、アクセス権限ＩＤ２５１に設定されているアクセス権限レコード２５０が既に存在する場合にエラーと判定する）。そして、アクセス権限管理プログラム１２は、正常と判定した場合、受信したアクセス権限ＩＤ（図１６に示す例では“usr2_20090728”)、鍵ＩＤ（図１６に示す例では“key1”）及び利用者ＩＤ（図１６に示すの例では“usr2”及び“usr3”）を、それぞれアクセス権限レコード２５０のアクセス権限ＩＤ２５１、鍵ＩＤ２５２及び利用者ＩＤ２５３に設定し、そのアクセス権限レコード２５０をアクセス権限ファイル２５に追加する。その後、アクセス権限管理プログラム１２は、「エラー」または「正常」の処理結果をアクセス権限登録・変更プログラム４１に送信する（ステップＳ８６０）。

（３）アクセス権限登録・変更プログラム４１は、アクセス権限管理プログラム１２から登録処理実施処理の結果を受信すると、「登録処理成功」か「登録処理失敗」かを判定し、「登録処理成功」であった場合、ここでの処理を終了し、「登録処理失敗」であった場合、アクセス権限登録画面Ｄ１６００に登録を失敗した旨のメッセージを表示するし、クライアント４の操作者に修正入力を促して、ステップＳ８０１からの処理を繰り返す（ステップＳ８０２）。

前述では、アクセス権限を登録する場合のアクセス権限登録・変更プログラム４１等の動作を説明したが、本発明は、登録したアクセス権限の変更（例えば、利用者ＩＤの変更）、アクセス権限の削除等も、アクセス権限レコード２５０の更新、削除等を可能にすることにより、同様に実現することができる。この場合、図示していないが、認証が成功した場合に、アクセス権限登録、アクセス権限変更またはアクセス権限削除のいずれかを選択するメニュー画面を表示し、アクセス権限登録・変更プログラム４１等が、選択された各処理を実行するようにすればよい。

＜コンテンツ暗号化に係る動作＞
図９は本発明の第１の実施形態による文書管理システムでのコンテンツ暗号化の動作を説明するフローチャートであり、次に、これについて説明する。

クライアント４の操作者（利用者）は、入力装置４５を操作してコンテンツ暗号化プログラム４２を起動する。

（１）コンテンツ暗号化プログラム４２は、処理を開始すると、図示していないが、表示装置４６にログイン画面（利用者認証画面）を表示し、クライアント４の操作者によって入力された利用者ＩＤ及びパスワードをコンテンツ管理プログラム１３に送信し、コンテンツ管理プログラム１３から認証成否を受信するまで待つ。なお、コンテンツ管理プログラム１３は、入力された利用者ＩＤ及びパスワードが利用者ファイル２３に登録されており、当該利用者が暗号化権限を有している場合に、認証成功とする。コンテンツ暗号化プログラム４２は、コンテンツ管理プログラム１３から「認証成功」を受信すると、表示装置４６にメニュー画面を表示する（ステップＳ９０１）。

図１７はメニュー画面の例を示す図であり、ここで、ステップＳ９０１の処理で表示装置４６に表示されるメニュー画面の例について説明する。図示メニュー画面Ｄ１７００には、「暗号化」、「再暗号化」、「失効」のいずれかを選択可能なラジオボタンが表示されていると共に、ＯＫボタン、キャンセルボタンが表示されている。

クライアント４の操作者は、マウスによりクリックする等の操作により、「暗号化」、「再暗号化」または「失効」に対応するラジオボタンを選択状態にする。図１７に示す例では「暗号化」が選択されている。

（２）コンテンツ暗号化プログラム４２は、ＯＫボタンがクリックされると、ラジオボタンによりコンテンツの「暗号化」が指定されたか否かを判定し、「暗号化」が指定されていなかった場合、暗号化以外の処理を行う。なお、この暗号化以外の処理とは、図１１及び図１２を使用して後述するコンテンツ再暗号化処理、コンテンツ失効処理である（ステップＳ９０２）。

前述において、図９には明示していないが、クライアント４の操作者が、キャンセルボタンをマウスによりクリックすると、コンテンツ暗号化プログラム４２は、ここでの処理を終了する。

（３）ステップＳ９０２の判定で、「暗号化」が指定されていた場合、コンテンツ暗号化プログラム４２は、表示装置４６にコンテンツ暗号化画面を表示し、クライアント４の操作者によって入力された暗号化対象コンテンツをコンテンツ管理プログラム１３に送信する。すなわち、コンテンツ暗号化プログラム４２は、後述するコンテンツ暗号化画面のＯＫボタンがクリックされると、クライアント４の操作者が入力したアクセス権限ＩＤ及び暗号化コンテンツ名をコンテンツ管理プログラム１３に送信する。そして、コンテンツ暗号化プログラム４２は、図９には明示していないが、コンテンツ管理プログラム１３から処理結果を受信するまで待つ。また、コンテンツ暗号化プログラム４２は、図９には明示していないが、クライアント４の操作者が、キャンセルボタンをマウスによりクリックすると、ここでの処理を終了する（ステップＳ９０３）。

図１８はコンテンツ暗号化画面の例を示す図であり、ここで、ステップＳ９０３の処理で表示装置４６に表示されるコンテンツ暗号化画面の例について説明する。図示コンテンツ暗号化画面Ｄ１８００には、暗号化の対象コンテンツ、暗号化コンテンツ名及びアクセス権限ＩＤの入力欄が表示され、また、参照ボタンＤ１８０１が表示される。

クライアント４の操作者は、暗号化対象コンテンツの入力欄に、暗号化したいコンテンツ（設計図面、予算資料等）を一意に識別可能な値を入力する。図１８に示す例では“c:\etc\file1”(cドライブのetc フォルダのfile1)と、コンテンツの絶対パスを入力しているが、この例に限らず、コンテンツを一意に識別可能な値であればよい。例えば、スプレッドシートの一部だけを暗号化したい場合には、当該スプレッドシートファイルの絶対パスに加え、暗号化対象とする行列の範囲を指定すればよい。また、暗号化対象コンテンツの入力欄を直接入力するのでなく、参照ボタンＤ１８０１のクリックにより、参照可能なドライブ、フォルダ及びファイルのツリー構造図を表示し、その構造図に表示されたファイルを選択することにより、選択したファイルの絶対パスが暗号化対象コンテンツの入力欄に入力されるようにしてもよい。

クライアント４の操作者は、暗号化コンテンツ名の入力欄に、コンテンツを暗号化して作成するコンテンツ（暗号化コンテンツ）の名称を入力する。図１８に示す例では“encriptedfile1”と、ファイル名を入力しており、この場合、暗号化コンテンツは、暗号化対象コンテンツの入力欄に入力したフォルダ内（図１８に示す例では“c:\etc”）または予め決められている所定のフォルダ内に記憶すればよい。一方、暗号化コンテンツ名の入力欄に絶対パスを入力するようにしてもよいし、暗号化コンテンツを作成した後で、記憶するフォルダを指定するようにしてもよい。

クライアント４の操作者は、アクセス権限ＩＤの入力欄に、コンテンツの暗号化に使用する鍵ＩＤ及び暗号化コンテンツを参照等を行うことが可能な利用者ＩＤが設定されているアクセス権限レコード２５０のアクセス権限ＩＤ２５１を入力する。図１８に示す例では“usr2_20090728”と、「アクセス権限登録・変更等に係る動作」で例示したアクセス権限ＩＤを入力している。なお、アクセス権限ＩＤについても、参照ボタンを表示し、参照ボタンがクリックされると、コンテンツ暗号化プログラム４２がアクセス権限の一覧を表示し、この一覧の中からアクセス権限を選択できるようにしてもよい。

（４）コンテンツ管理プログラム１３は、コンテンツ暗号化プログラム４２から送信されてきたアクセス権限ＩＤを受信すると、暗号化コンテンツの管理処理を行う。具体的には、まず、受信したアクセス権限ＩＤのチェックを行い、エラーと判定した場合（例えば、受信したアクセス権限ＩＤがアクセス権限ＩＤ２５１に設定されているアクセス権限レコード２５０が存在しない場合にエラーと判定する）、「エラー」の処理結果をコンテンツ暗号化プログラム４２に送信する。

一方、コンテンツ管理プログラム１３は、正常と判定した場合は、暗号化コンテンツを一意に識別可能なコンテンツＩＤ（例えば、１から始まる通番）を生成し、次に、生成したコンテンツＩＤ、受信した暗号化コンテンツ名及びアクセス権限ＩＤを、それぞれコンテンツ管理レコード２６０のコンテンツＩＤ２６１、暗号化コンテンツ名２６２及びアクセス権限ＩＤ２６３に設定し、そのコンテンツ管理レコード２６０をコンテンツ管理ファイル２６に追加する。そして、コンテンツ管理プログラム１３は、受信したアクセス権限ＩＤがアクセス権限ＩＤ２５１に設定されているアクセス権限レコード２５０の鍵ＩＤ２５２を取得し、鍵ＩＤ２５２が鍵ＩＤ２１１に設定されている鍵レコード２１０の暗号化鍵２１２を取得し、「正常」の処理結果と、生成したコンテンツＩＤ及び取得した暗号化鍵２１２をコンテンツ暗号化プログラム４２に送信する（ステップＳ９６０）。

（５）コンテンツ暗号化プログラム４２は、コンテンツ管理プログラム１３からのコンテンツ管理処理の実施結果を受信すると、コンテンツ管理処理が正常であったか、エラーであったかを判定し、エラーであった場合、コンテンツ暗号化画面に暗号化に失敗した旨のメッセージを表示して、クライアント４の操作者に修正入力を促し、ステップ９０３からの処理に戻って処理を繰り返す（ステップＳ９０４）。

（６）ステップＳ９０４の判定で、コンテンツ管理処理が正常に行われていた場合、コンテンツ暗号化プログラム４２は、受信した暗号化鍵を使用して、コンテンツ暗号化画面Ｄ１８００の暗号化対象コンテンツ入力欄で指定されたコンテンツを暗号化する。そして、コンテンツ暗号化プログラム４２は、受信したコンテンツＩＤ、クライアント４の操作者の利用者ＩＤ及び暗号化したコンテンツを、それぞれ暗号化コンテンツファイル４９のコンテンツＩＤ４９１、暗号化利用者ＩＤ４９２及びコンテンツ内容４９４に設定し、暗号化コンテンツファイル４９を記憶装置４７に格納する。なお、アクセス制限４９３には、初期値、すなわち、参照期間等の制限をかけないことを示す値を設定してもよいし、例えば、コンテンツ暗号化画面等でアクセス制限を指定させ、指定された内容が設定されるようにしてもよい（ステップＳ９０５）。

前述において、指定されたコンテンツを暗号化する場合、単に元のコンテンツ内容を暗号化してもよい。このようにすることにより、コンテンツ暗号化プログラム４２の処理は比較的簡易になる。しかし、この場合、暗号化コンテンツを参照するためには単に暗号化されたコンテンツ内容を復号化するだけでは足りず、元のコンテンツのファイル形式（ＰＤＦ（Portable Document Format）、３次元ＣＡＤ（Computer Aided Design）で使われるＸＶＬ(eXtensible Virtual world description Language）形式（ＸＶＬは登録商標）、文書ファイル形式、表ファイル形式等）に従ってコンテンツ内容を解析して表示することが必要になる。例えば、元のコンテンツがＰＤＦファイルであった場合、そのＰＤＦファイルのファイル形式に従って、どのようなテキストや図形等が文書のどの位置に配置されるかを解析してコンテンツ内容を表示しなければならない。その結果、暗号化コンテンツを参照するプログラムの処理が複雑になるか、または、それぞれのファイル形式を処理可能な各プログラムを改造して、コンテンツ内容を復号化できるようにする必要がある。

一方、指定されたコンテンツを暗号化する場合、元のコンテンツ内容を所定のファイル形式（例えばＰＤＦ）に変換した上で、暗号化してもよい。このようにすることにより、コンテンツ暗号化プログラム４２の処理が比較的複雑になるが、暗号化コンテンツを参照するプログラムの処理を簡易なものとすることができる。

＜コンテンツ参照に係る動作＞
図１０は本発明の第１の実施形態による文書管理システムでのコンテンツ参照の動作を説明するフローチャートであり、次に、これについて説明する。

クライアント４の操作者（利用者）は、入力装置４５を操作してコンテンツ参照プログラム４３を起動する。前述したように、コンテンツ参照プログラム４３は、様々なファイル形式を解析することができる機能を有していてもよいし、それぞれのファイル形式毎に異なるプログラムであってもよい。また、コンテンツ参照プログラム４３は、プログラムのアイコンをダブルクリックして起動してもよいし、暗号化コンテンツ４９をダブルクリックすると、その暗号化コンテンツ４９のファイル形式に対応したコンテンツ参照プログラム４３が起動されるようにすることもできる。

（１）コンテンツ参照プログラム４３は、処理を開始すると、参照コンテンツ（復号化すべきコンテンツ）を読込む。より詳細には、コンテンツ参照プログラム４３は、暗号化コンテンツ４９のダブルクリックによってコンテンツ参照プログラム４３が起動された場合、その暗号化コンテンツ４９を読込む。一方、コンテンツ参照プログラム４３のアイコンをダブルクリックする等の方法で起動された場合、図示していないが表示装置４６に参照コンテンツの指定を促すメッセージを表示し、クライアント４の操作者が指定したコンテンツを読込む（ステップＳ１００１）。

（２）コンテンツ参照プログラム４３は、読込んだコンテンツが暗号化コンテンツであるか否か（コンテンツ暗号化プログラム４２が暗号化したコンテンツであるか否か）を判定する。この判定を行うためには、例えば、暗号化コンテンツ４９の拡張子を所定の値（例えば“xvx”)にする、暗号化コンテンツ４９の先頭部分に暗号化コンテンツであることを示す値（例えば“encrypted content”)を設定しておく等、様々な方法を単独あるいは組合せて使えばよい（ステップＳ１００２）。

（３）コンテンツ参照プログラム４３は、ステップＳ１００２の判定で、読込んだコンテンツが暗号化コンテンツではなかった場合、コンテンツ内容を解析して、表示装置４６に表示して、ここでの処理を終了する（ステップＳ１００３）。

（４）一方、コンテンツ参照プログラム４３は、ステップＳ１００２の判定で、読込んだコンテンツが暗号化コンテンツであった場合、図示していないが、表示装置４６にログイン画面（利用者認証画面）を表示し、クライアント４の操作者に、利用者ＩＤ及びパスワードの入力を促す。そして、コンテンツ参照プログラム４３は、コンテンツＩＤ４９１、入力された利用者ＩＤ及びパスワードをアクセス制御プログラム１４に送信し、アクセス制御プログラム１４からの処理結果を受信することができるまで待つ（ステップＳ１００４）。

（５）アクセス制御プログラム１４は、コンテンツ参照プログラム４３から装置されてきて受信した利用者ＩＤ及びパスワードが利用者ファイル２３に登録されている場合に認証成功とし、そうでない場合に認証失敗として、「認証成功」または「認証失敗」をコンテンツ参照プログラム４３に送信する。そして、アクセス制御プログラム１４は、認証が成功した場合、受信したコンテンツＩＤのチェックを行いエラーと判定した場合（例えば、受信したコンテンツＩＤがコンテンツＩＤ２６１に設定されているコンテンツ管理レコード２６０が存在しない場合、エラーと判定する）、「エラー」の処理結果をコンテンツ参照プログラム４３に送信する。また、アクセス制御プログラム１４は、コンテンツＩＤのチェックで正常と判定した場合、受信したコンテンツＩＤがコンテンツＩＤ２６１に設定されているコンテンツ管理レコード２６０のアクセス権限ＩＤ２６３を取得し、そのアクセス権限ＩＤ２６３がアクセス権限ＩＤ２５１に設定されているアクセス権限レコード２５０を取得する。そして、アクセス制御プログラム１４は、受信した利用者ＩＤがアクセス権限レコード２５０の利用者ＩＤ２５３に設定されていない場合、「エラー」の処理結果をコンテンツ参照プログラム４３に送信する。また、アクセス制御プログラム１４は、受信した利用者ＩＤがアクセス権限レコード２５０の利用者ＩＤ２５３に設定されていた場合、アクセス権限レコード２５０の鍵ＩＤ２５２を取得し、その鍵ＩＤ２５２が鍵ＩＤ２１１に設定されている鍵レコード２１０の復号化鍵２１３を取得し、「正常」の処理結果と、取得した復号化鍵２１３をコンテンツ参照プログラム４３に送信する（ステップＳ１０６０）。

（６）コンテンツ参照プログラム４３は、アクセス制御プログラム１４からの処理結果を受信すると、その処理結果がクライアント４の操作者が当該暗号化コンテンツ４９の参照権限を有している「正常」か否かを判定し、アクセス制御プログラム１４から「認証失敗」または「エラー」を受信していた場合、暗号化コンテンツ４９のコンテンツ内容４９４を復号化することなく処理を終了する。なお、処理を終了するのでなく、例えば表示装置４６にエラーメッセージを表示し、他のコンテンツの選択を促すようにしてもよい（ステップＳ１００５）。

（７）コンテンツ参照プログラム４３は、ステップＳ１００５の判定で、クライアント４の操作者が当該暗号化コンテンツ４９の参照権限を有している「正常」を受信していた場合、クライアント４の操作者が暗号化コンテンツ４９の参照権限を有しているので、受信した復号化鍵を使用して、暗号化コンテンツ４９のコンテンツ内容４９４を復号化し、ファイル形式に応じた解析を行って表示装置４６に表示する。なお、参照権限ありと判断した場合であっても、アクセス制限４９３に設定された参照可能期間を超えている等の理由でコンテンツ内容４９４の表示を行わないようにすることもできる。また、コンテンツ参照プログラム４３は、コンテンツ内容４９４を表示した場合も、アクセス制限４９３に設定された印刷可否、コピー可否等を参照して、クライアント４の操作者による当該操作を禁止することもできる（ステップＳ１００６）。

＜文書管理システムの基本的な機能による効果＞
前述までに説明した文書管理システムは、そのアクセス制御の基本的な機能により、企業等において作成された設計図面等のファイルを、暗号化権限を有する者だけが暗号化し、そのファイルを参照する必要がある者だけに復号化権限を与えることができる。従って、誤って復号化権限を有しないものに暗号化ファイルを送信した場合でも、受信者は暗号化ファイルを参照することができず、情報漏洩を防止することができる。

また、復号化権限を誰に与えるかは暗号化ファイル毎に変更することが可能になっているので、暗号化ファイルの参照を真に必要とするものだけに復号化権限を与えることができる。

さらに、前述の文書管理システムは、復号化権限を有する者が暗号化ファイルをダブルクリックし、利用者ＩＤとパスワードとを入力するという簡易な操作で暗号化ファイルを参照することができるし、システムを、例えば、シングルサインオンと組み合わせることにより、暗号化ファイルを参照する際の利用者ＩＤとパスワードとの入力も不要にすることができる。すなわち、前述の文書管理システムは、復号化権限を有する者が、ファイルが暗号化されていることすら知らないままそのファイルの参照等を行うことが可能である。

しかし、１つの企業内において複数の部署が共同して作業を行う際、他の部署を含む利用者の一覧を表示することはできても、ある部署が管理している文書ファイルを他部署の誰に参照等させるかは、文書ファイルを管理している部署では決定することができないことも多い。特に、コンテンツ管理サーバ１を複数企業が共同で利用するような場合、この問題の解決はより重要になる。このような場合、以下に説明するファイル再暗号化機能を利用することができる。

＜コンテンツ再暗号化に係る動作＞
図１１は本発明の第１の実施形態による文書管理システムでのコンテンツ再暗号化の動作を説明するフローチャートであり、次に、これについて説明する。コンテンツ再暗号化の動作は、メニュー画面の表示を初めとして大部分が前述で説明したコンテンツ暗号化の動作と重複するため、本発明の第１の実施形態は、コンテンツ再暗号化もコンテンツ暗号化プログラム４２を操作して行うという前提としている。よって、以下の説明でもコンテンツ暗号化と重複する細部の説明は省略する。また、コンテンツ再暗号化の動作は、暗号化コンテンツ４９の読み込みに係わる処理等、コンテンツ参照と類似する部分もあり、コンテンツ参照と重複する細部の説明も省略する。なお、コンテンツ暗号化プログラム４２とは別のプログラムがコンテンツ再暗号化を行うようにすることも可能である。

クライアント４の操作者（利用者）は、入力装置４５を操作してコンテンツ暗号化プログラム４２を起動する。

（１）コンテンツ暗号化プログラム４２は処理を開始すると、図示していないが、表示装置４６にログイン画面（利用者認証画面）を表示し、クライアント４の操作者によって入力された利用者ＩＤ及びパスワードをコンテンツ管理プログラム１３に送信し、コンテンツ管理プログラム１３から認証成否を受信するまで待つ。なお、コンテンツ管理プログラム１３は、入力された利用者ＩＤ及びパスワードが利用者ファイル２３に登録されており、当該利用者が暗号化権限を有している場合に、認証成功とする。コンテンツ暗号化プログラム４２は、コンテンツ管理プログラム１３から「認証成功」を受信すると、表示装置４６に図１７に示して説明したようなメニュー画面を表示する（ステップＳ１１０１）。

（２）コンテンツ暗号化プログラム４２は、クライアント４の操作者（利用者）がメニュー画面から必要な入力を行い、ＯＫボタンをクリックすると、コンテンツの「再暗号化」が指定されたか否かを判定し、「再暗号化」が指定されていなかった場合、再暗号化以外の処理を行う。なお、再暗号化以外の処理とは、図９を参照して説明したコンテンツ暗号化の処理、図１２を使用して後述するコンテンツ失効処理である。また、図１１には明示していないが、クライアント４の操作者が、メニュー画面のキャンセルボタンをマウス等でクリックすると、コンテンツ暗号化プログラム４２は、ここでの処理を終了する（ステップＳ１１０２）。

（３）ステップＳ１１０２の判定で、「再暗号化」が指定されていた場合、コンテンツ暗号化プログラム４２は、表示装置４６にコンテンツ再暗号化画面を表示し、クライアント４の操作者によって入力された再暗号化対象コンテンツ等をコンテンツ管理プログラム１３に送信し、図１１には明示していないが、コンテンツ管理プログラム１３からの処理結果を受信することができるまで待つ（ステップＳ１１０３）。

図１９はコンテンツ再暗号化画面の例を示す図であり、ここで、ステップＳ１１０３の処理で表示装置４６に表示されるコンテンツ再暗号化画面の例について説明する。図示コンテンツ再暗号化画面Ｄ１９００は、前述で説明したコンテンツ暗号化画面Ｄ１８００と同様に、再暗号化の対象コンテンツ、暗号化コンテンツ名及びアクセス権限ＩＤの入力欄が表示され、また、再暗号化対象コンテンツの参照ボタン、ＯＫボタン、キャンセルボタンが表示されて構成される。

クライアント４の操作者は、再暗号化対象コンテンツの入力欄に、他の利用者から送信された暗号化コンテンツであって、自部署等の利用者に参照させる必要があるコンテンツを一意に識別可能な値を入力する。図１９に示す例では、“c:\etc\encriptedfile1 ”と、図１８に示す例で他の利用者“usr2”が暗号化し、クライアント４の操作者（“usr3”とする。）に送信してきたコンテンツの絶対パスを入力している。

クライアント４の操作者は、暗号化コンテンツ名の入力欄に“encriptedfile2”のように、コンテンツを暗号化して作成したコンテンツ（暗号化コンテンツ）の名称を入力する。クライアント４の操作者は、アクセス権限ＩＤの入力欄に“usr3_20090729 ”のように、コンテンツの暗号化に使用する鍵ＩＤ及び暗号化コンテンツを参照等を行うことが可能な利用者ＩＤが設定されているアクセス権限レコード２５０のアクセス権限ＩＤ２５１を入力する。

ステップＳ１１０３の処理として、コンテンツ暗号化プログラム４２は、コンテンツ再暗号化画面のＯＫボタンがクリックされると、再暗号化対象コンテンツの入力欄で指定された再暗号化対象コンテンツを読み込み、読み込んだコンテンツが暗号化コンテンツであるかどうか（コンテンツ暗号化プログラム４２が暗号化したコンテンツであるかどうか）を判定し、図示していないが、暗号化コンテンツでない場合、コンテンツ再暗号化画面にエラーメッセージを表示する等により、クライアント４の操作者に修正入力等を促す。

また、コンテンツ暗号化プログラム４２は、読み込んだコンテンツが暗号化コンテンツであった場合、暗号化コンテンツ４９の暗号化利用者ＩＤ４９２が、クライアント４の操作者の利用者ＩＤと一致するか否かを判定し、一致する場合、図示していないが、コンテンツ再暗号化画面にエラーメッセージを表示する等により、クライアント４の操作者に修正入力等を促す。暗号化コンテンツ４９の暗号化利用者ＩＤ４９２には暗号化を行った利用者の利用者ＩＤが設定されているので、これが当該クライアント４の操作者の利用者ＩＤと一致するということは、暗号化を行った利用者自身が再暗号化を行うという一見無意味な操作を行おうとしていることになり、暗号化権限を有さない利用者が暗号化権限を有する利用者になりすましている可能性がある。そのため、前述したように、このような操作をエラーとしている。なお、当該クライアント４の操作者が実際に当該暗号化コンテンツ４９の暗号化を行った利用者である場合は、暗号化する前のコンテンツを指定して、コンテンツ暗号化を行えばよい。

次に、コンテンツ暗号化プログラム４２は、再暗号化対象コンテンツの入力欄で指定された暗号化コンテンツ４９のコンテンツＩＤ４９１、入力されたアクセス権限ＩＤ及び暗号化コンテンツ名をコンテンツ管理プログラム１３に送信する。また、図１１には明示していないが、クライアント４の操作者が、キャンセルボタンをマウス等でクリックすると、コンテンツ暗号化プログラム４２は、ここでの処理を終了する（以上、ステップＳ１１０３）。

（４）コンテンツ管理プログラム１３は、コンテンツ暗号化プログラム４２から送信されてきたコンテンツＩＤ等を受信すると、再暗号化コンテンツの管理処理を行う。具体的には、まず、受信したコンテンツＩＤ等のチェックを行いエラーと判定した場合（例えば、受信したコンテンツＩＤがコンテンツＩＤ２６１に設定されているコンテンツ管理レコード２６０が存在しない場合にエラーと判定する）、「エラー」の処理結果をコンテンツ暗号化プログラム４２に送信する。また、コンテンツ管理プログラム１３は、受信したコンテンツＩＤ等のチェックで正常と判定した場合、暗号化コンテンツを一意に識別可能なコンテンツＩＤを生成し、生成したコンテンツＩＤ、受信した暗号化コンテンツ名及びアクセス権限ＩＤを、それぞれコンテンツ管理レコード２６０のコンテンツＩＤ２６１、暗号化コンテンツ名２６２及びアクセス権限ＩＤ２６３に設定し、当該コンテンツ管理レコード２６０をコンテンツ管理ファイル２６に追加する。そして、コンテンツ管理プログラム１３は、受信したコンテンツＩＤがコンテンツＩＤ２６１に設定されているコンテンツ管理レコード２６０のアクセス権限ＩＤ２６３を取得し、当該アクセス権限ＩＤ２６３がアクセス権限ＩＤ２５１に設定されているアクセス権限管理レコード２５０の鍵ＩＤ２５２を取得し、取得した鍵ＩＤ２５２が鍵ＩＤ２１１に設定されている鍵レコード２１０の復号化鍵２１３を取得する。また、コンテンツ管理プログラム１３は、受信したアクセス権限ＩＤがアクセス権限ＩＤ２５１に設定されているアクセス権限レコード２５０の鍵ＩＤ２５２を取得し、鍵ＩＤ２５２が鍵ＩＤ２１１に設定されている鍵レコード２１０の暗号化鍵２１２を取得し、「正常」の処理結果、生成したコンテンツＩＤ、取得した復号化鍵２１３及び取得した暗号化鍵２１２をコンテンツ暗号化プログラム４２に送信する（ステップＳ１１６０）。

（５）コンテンツ暗号化プログラム４２は、コンテンツ管理プログラム１３からコンテンツ管理処理の結果を受信すると、コンテンツ管理処理の結果が「成功」か「エラー」かを判定し、コンテンツ管理処理の結果が「エラー」であった場合、コンテンツ暗号化画面に暗号化に失敗した旨のメッセージを表示して、クライアント４の操作者に修正入力等を促し、ステップＳ１１０３からの処理を繰り返す（ステップＳ１１０４）。

（６）ステップＳ１１０４の判定で、コンテンツ管理プログラム１３からのコンテンツ管理処理の結果が「正常」であった場合、受信した復号化鍵を使用して、コンテンツ再暗号化画面Ｄ１９００の再暗号化対象コンテンツ入力欄で指定されたコンテンツを復号化し、復号化したコンテンツを受信した暗号化鍵を使用して再度暗号化する。そして、受信したコンテンツＩＤ、クライアント４の操作者の利用者ＩＤ及び再度暗号化したコンテンツを、それぞれ暗号化コンテンツファイル４９のコンテンツＩＤ４９１、暗号化利用者ＩＤ４９２及びコンテンツ内容４９４に設定し、暗号化コンテンツファイル４９を記憶装置４７に格納する。なお、アクセス制限４９３には、初期値、すなわち、参照期間等の制限をかけないことを示す値を設定してもよいし、例えば、コンテンツ暗号化画面等でアクセス制限を指定し、指定した内容を設定するようにしてもよい（ステップＳ１１０５）。

＜コンテンツ再暗号化機能による効果＞
文書管理システムに、前述で説明したコンテンツ再暗号化機能をも備えることにより、１つの企業内において複数の部署が共同して作業を行う際、各部署の管理責任者を定めておき、管理責任者が他部署との窓口担当者として互いに各部署のファイルを送受信し、各管理責任者が受信したファイルを当該部署内の誰に参照等させるかを決定することができるようになる。

例えば、ある部署において、利用者ａが作成した設計図面等のファイルを、他の部署が参照する必要がある場合、利用者ａは、当該他の部署の管理責任者であり暗号化権限を有しているｂを参照可能な利用者とするアクセス権限レコードを作成し、当該アクセス権限レコードを指定して設計図面ファイルを暗号化し、暗号化した設計図面ファイルを電子メール等で利用者ｂに送信する。利用者ｂは、自部署内の利用者ｃ、ｄに当該暗号化された設計図面ファイルを参照させたい場合、ｃ及びｄを参照可能な利用者とするアクセス権限レコードを作成し、当該アクセス権限レコードを指定して設計図面ファイルを再暗号化すればよい。

前述で説明したように、ある部署において作成した設計図面等のファイルの復号化権限を、その部署の参照する必要がある利用者と、他の部署の信頼の置ける管理責任者だけに与えることができる。従って、誤って、例えば、他の部署の管理責任者以外のものに暗号化ファイルを送信した場合でも、その受信者は暗号化ファイルの参照等を行うことができず、情報漏洩を防止することができる。また、暗号化ファイルを受信した管理責任者は、受信した暗号化ファイルを再暗号化し、自部署内の再暗号化ファイルを参照する必要がある利用者だけに復号化権限を与えることができる。従って、暗号化ファイルを受信した管理責任者が誤って復号化権限を有しないものに暗号化ファイルを送信した場合でも、その受信者は暗号化ファイルを参照することができず、情報漏洩を防止することができる。

さらに、ある部署が管理している設計図面等のファイルを他部署の誰に参照等させるか、ファイルを管理している部署では決定できない場合であっても、情報漏洩を防止しつつ、そのファイルを他部署の参照する必要のある利用者に参照等を行わせることができる。コンテンツ管理サーバ１を複数企業が共同で利用するような場合にも、同様の効果を得ることができる。

ところで、暗号化ファイルを作成して他の利用者に送信した後で、その暗号化ファイルの参照等を禁止したい場合がある。例えば、本来、他の利用者に見せてはいけない機密文書を誤って暗号化して送信してしまった場合、あるいは、設計図面等のファイルを暗号化して送信した後で設計不良に気づき設計図面を修正したため、修正前のファイルを参照されては困る場合等である。このような場合、以下に説明する失効処理によって、送信済み暗号化ファイルの参照等を行うことができないようにすることができる。

＜コンテンツ失効に係る動作＞
図１２は本発明の第１の実施形態による文書管理システムでのコンテンツ失効の動作を説明するフローチャートであり、次に、これについて説明する。コンテンツ失効の動作も、メニュー画面の表示を初めとして大部分がコンテンツ暗号化またはコンテンツ再暗号化と重複する動作となるため、本発明の第１の実施形態では、コンテンツ失効もコンテンツ暗号化プログラム４２を操作して行うという前提としている。よって、以下の説明でもコンテンツ暗号化またはコンテンツ再暗号化と重複する細部の説明は省略する。なお、コンテンツ暗号化プログラム４２とは別のプログラムがコンテンツ失効を行うようにすることも可能である。

クライアント４の操作者（利用者）は、入力装置４５を操作してコンテンツ暗号化プログラム４２を起動する。

（１）コンテンツ暗号化プログラム４２は、処理を開始すると、図示していないが、表示装置４６にログイン画面（利用者認証画面）を表示し、クライアント４の操作者によって入力された利用者ＩＤ及びパスワードをコンテンツ管理プログラム１３に送信し、コンテンツ管理プログラム１３から認証成否を受信するまで待つ。なお、コンテンツ管理プログラム１３は、入力された利用者ＩＤ及びパスワードが利用者ファイル２３に登録されており、当該利用者が暗号化権限を有している場合に、認証成功とする。そして、コンテンツ暗号化プログラム４２は、コンテンツ管理プログラム１３から「認証成功」を受信すると、表示装置４６に図１７に示してすでに説明したようなメニュー画面を表示する（ステップＳ１２０１）。

（２）クライアント４の操作者（利用者）は、ここでの処理の場合、表示されたメニュー画面の「失効」を指定し、その後にＯＫボタンをクリックする。従って、コンテンツ暗号化プログラム４２は、ＯＫボタンがクリックされると、コンテンツの「失効」が指定されたか否かを判定し、「失効」が指定されていなかった場合、失効以外の処理を行う。なお、失効以外の処理とは、すでに、図９及び図１１を参照して説明したコンテンツ暗号化、コンテンツ再暗号化の処理である。また、図１２には明示していないが、クライアント４の操作者が、キャンセルボタンをマウス等でクリックすると、コンテンツ暗号化プログラム４２は処理を終了する（ステップＳ１２０２）。

（３）ステップＳ１２０２の判定で、「失効」が指定されていた場合、コンテンツ暗号化プログラム４２は、表示装置４６にコンテンツ失効画面を表示し、クライアント４の操作者によって入力された失効対象コンテンツ等をコンテンツ管理プログラム１３に送信し、図には明示していないが、コンテンツ管理プログラム１３からの処理結果を受信することができるまで待つ（ステップＳ１２０３）。

図２０はコンテンツ失効画面の例を示す図であり、ここで、ステップＳ１２０３の処理で表示装置４６に表示されるコンテンツ失効画面の例について説明する。図示コンテンツ失効画面Ｄ２０００は、失効の対象となるコンテンツの入力欄と失効対象コンテンツの参照ボタン、ＯＫボタン、キャンセルボタンが表示されて構成それている。

クライアント４の操作者は、コンテンツ失効画面Ｄ２０００の失効対象コンテンツの入力欄に、自らが暗号化したコンテンツのうち他の利用者の参照等を禁止したいコンテンツを一意に識別可能な値を入力する。図２０に示す例では“c:\etc\encriptedfile1 ”と、図１８に示して説明した例で暗号化し、他の利用者に送信したコンテンツの絶対パスとを入力している。

ステップＳ１２０３の引き続く処理として、コンテンツ暗号化プログラム４２は、クライアント４の操作者が、コンテンツ失効画面Ｄ２０００の失効対象コンテンツの入力欄への入力を行った後、ＯＫボタンをクリックすると、失効対象コンテンツの入力欄入力にされて指定された失効対象コンテンツを読み込み、読み込んだコンテンツが暗号化コンテンツであるかどうか（コンテンツ暗号化プログラム４２が暗号化したコンテンツであるかどうか）を判定し、図示していないが、暗号化コンテンツでない場合には、コンテンツ再暗号化画面にエラーメッセージを表示して、クライアント４の操作者に修正入力等を促す。

また、コンテンツ暗号化プログラム４２は、読込んだコンテンツが暗号化コンテンツであった場合、当該暗号化コンテンツ４９の暗号化利用者ＩＤ４９２が、クライアント４の操作者の利用者ＩＤと一致するか否かを判定し、一致しない場合、他の利用者が暗号化したコンテンツの参照等を行うことができないようにしようとしているので、図示していないが、コンテンツ失効画面にエラーメッセージを表示して、クライアント４の操作者に修正入力等を促す。また、コンテンツ暗号化プログラム４２は、失効対象コンテンツの入力欄で指定された暗号化コンテンツ４９のコンテンツＩＤ４９１をコンテンツ管理プログラム１３に送信する。なお、図１２には明示していないが、クライアント４の操作者が、キャンセルボタンをマウス等でクリックすると、コンテンツ暗号化プログラム４２はここでの処理を終了する（以上、ステップＳ１２０３）。

（４）コンテンツ管理プログラム１３は、コンテンツ暗号化プログラム４２が送信してきたコンテンツＩＤを受信すると、失効コンテンツの管理処理を行い、失効コンテンツの管理処理の結果をコンテンツ暗号化プログラム４２に送信する。具体的には、まず、受信したコンテンツＩＤ等のチェックを行いエラーと判定した場合（例えば、受信したコンテンツＩＤがコンテンツＩＤ２６１に設定されているコンテンツ管理レコード２６０が存在しない場合、エラーと判定する）、「エラー」の処理結果をコンテンツ暗号化プログラム４２に送信する。また、コンテンツ管理プログラム１３は、受信したコンテンツＩＤ等のチェックを行い、正常と判定した場合、受信したコンテンツＩＤがコンテンツＩＤ２６１に設定されているコンテンツ管理レコード２６０を削除する。コンテンツ管理レコード２６０が削除されることにより、当該暗号化コンテンツの参照等を行おうとしてもエラーとなるので、以降、他の利用者が当該暗号化コンテンツの参照等を行うことを禁止することができる。

前述において、コンテンツ管理レコード２６０を削除するのでなく、例えば、コンテンツ管理レコード２６０のデータ項目として「失効フラグ」を設けてもよい。コンテンツ管理レコード２６０を作成する際に失効フラグを「オフ」に設定しておき、前述の失効処理時に失効フラグを「オン」にし、一方、コンテンツ参照処理において、アクセス制限プログラム１４が失効フラグの値を判定し、「オン」の場合には参照不可とすることにより、同様に、失効した暗号化コンテンツの参照等を禁止することができる。このようにすることにより、失効処理を取り消す処理（「オン」にした失効フラグを「オフ」に戻す処理）を備えることもできる。コンテンツ管理プログラム１３は、前述の処理が終了すると「正常」の処理結果をコンテンツ暗号化プログラム４２に送信する（ステップＳ１２６０）。

（５）コンテンツ暗号化プログラム４２は、コンテンツ管理プログラム１３からコンテンツ管理処理の結果を受信すると、コンテンツ管理処理の結果が「成功」か「エラー」かを判定し、コンテンツ管理処理の結果が「正常」であった場合、ここでの処理を終了し、コンテンツ管理処理の結果が「エラー」であった場合、コンテンツ暗号化画面に暗号化に失敗した旨のメッセージを表示して、クライアント４の操作者に修正入力等を促し、ステップＳ１２０３からの処理を繰り返す（ステップＳ１２０４）。

前述において、失効した暗号化コンテンツ４９は、誰にも参照等できない不要なコンテンツになるので、コンテンツ暗号化プログラム４２が削除してもよい。但し、前述したように、コンテンツ管理レコード２６０のデータ項目として「失効フラグ」を設け、失効処理を取り消す処理を備える場合には、削除せずに残しておき、削除するかどうかをクライアント４の操作者に委ねたほうが好ましい。

＜コンテンツ失効機能による効果＞
文書管理システムに、前述で説明したコンテンツ失効機能をも備えることにより、暗号化ファイルを作成して他の利用者に送信した後で、当該暗号化ファイルの参照等を禁止することができる。再暗号化ファイルについても同様である。

しかし、暗号化ファイルを例えば他部署の管理責任者に送信し、その他部署の管理責任者が前述の暗号化ファイルを再暗号化して自部署の利用者に参照等可能にした場合、元の暗号化ファイルを作成した利用者がその暗号化ファイルを失効させたとしても、再暗号化されたファイルの参照等を禁止することができない。このような場合、以下に説明するように、本発明の第１の実施形態における文書管理システムを多少変更すれば、元の暗号化ファイルを失効させることにより、再暗号化されたファイルの参照等も禁止することができる。

図１３は元の暗号化ファイルを失効させることにより、再暗号化されたファイルの参照等も禁止することを可能とした本発明の第１の実施形態におけるコンテンツ管理ファイル２６のデータ構成を示す図である。この図１３に示すコンテンツ管理ファイル２６のデータ構成は、図５により説明したコンテンツ管理レコード２６０のデータ項目に、原コンテンツＩＤ２６４を追加して構成されている。

原コンテンツＩＤ２６４は、暗号化コンテンツの管理処理（図９により説明したステップＳ９６０での処理）において、初期値（原コンテンツが存在しないことを示す）が設定され、再暗号化コンテンツの管理処理（図１１により説明したステップＳ１１６０の処理）において、再暗号化対象とするコンテンツのコンテンツＩＤが設定される。コンテンツ参照時のアクセス権限チェック処理（図１０により説明したステップＳ１０６０の処理）において、原コンテンツＩＤ２６４が初期値でないコンテンツの参照等が要求されている場合、原コンテンツＩＤ２６４が初期値であるコンテンツレコード２６０を検出するまで、原コンテンツＩＤ２６４がコンテンツＩＤ２６１に設定されているコンテンツ管理レコード２６０を次々に参照していく。そして、この処理の途中でコンテンツレコード２６０が存在しない場合、または、失効フラグが「オン」になっている場合、当該コンテンツに基づいて再暗号化されたコンテンツは全て失効したものとして、コンテンツの参照等を禁止することができる。

＜第２の実施形態による文書管理システム＞
前述までに説明した本発明の第１の実施形態は、１つの企業がコンテンツ管理サーバ１を利用する場合、あるいは、１つの企業グループが共同でコンテンツ管理サーバ１を利用する場合を例として説明した。技術的には、特に資本提携関係等がない複数の企業が共同でコンテンツ管理サーバ１を利用する場合であっても本発明の第１の実施形態による文書管理システムを使用することができるが、第１の実施形態のままでは、他の企業の利用者一覧を参照することが可能になる等の運用上の不都合もある。特に、サービス事業者がコンテンツ管理サーバ１を設置・運営し、互いに関係のない複数の企業にコンテンツ管理サービスを提供しようとする場合、各企業に係わる情報は、他企業には見えないようにする必要がある。

以下では、このような機能を備えた本発明の第２の実施形態による文書管理システムについて説明する。

＜本発明の第２の実施形態による文書管理システムの全体的な構成及び機能＞
図２１は本発明の第２の実施形態による文書管理システムの構成を示すブロック図である。

本発明の第２の実施形態による文書管理システムは、図２１に示すように、第１の実施形態による文書管理システムと同様に、コンテンツ管理サーバ１、クライアント３ａ、クライアント３ｂ、クライアント４ａの各装置が、有線または無線の通信回線により相互に通信可能に接続して構成されている。

そして、第２の実施形態は、サービス事業者がコンテンツ管理サーバ１を設置・運営しており、Ａ及びＢの２つの企業がコンテンツ管理サーバ１を利用しており、企業Ａの内部にクライアント３ａ及び４ａが、企業Ｂの内部にクライアント３ｂ及び図示していないがクライアント４ｂが設置されているとする。なお、クライアント３ａ及びクライアント３ｂは、第１の実施形態のクライアント３に、クライアント４ａ及びクライアント４ｂは、第２の実施形態のクライアント４に対応している。以降の説明では、特に区分する必要がない限り、クライアント３ａ及びクライアント３ｂをいずれもクライアント３と呼び、クライアント４ａ及びクライアント４ｂをいずれもクライアント４と呼ぶこととする。

なお、図２１に示す本発明の第２の実施形態は、第１の実施形態と同様に、各装置を１台ずつ図示しているが、それぞれ２以上存在していてもよい。また、各装置は、それぞれ１台ずつ存在する必要はなく、例えば、クライアント３とクライアント４は１台で両方の機能を備えるように構成すること等も可能である。このような構成により、本発明の第２の実施形態は、第１の実施形態と同様に、クライアント３が、アクセス制限の対象となるコンテンツの参照等を行う可能性のある利用者をコンテンツ管理サーバ１に登録することができる。また、クライアント４は、コンテンツ管理サーバ１の機能を使用して、クライアント４に記憶しているコンテンツを暗号化し、アクセス制限をかけることができる。さらに、クライアント４は、暗号化したコンテンツを復号化して参照することもできる。

＜第２の実施形態による文書管理システムの各部の構成及び機能＞
以下では、コンテンツ管理サーバ１、クライアント３及びクライアント４の構成・機能を第１の実施形態と異なる構成・機能に着目して説明する。

＜第２の実施形態のコンテンツ管理サーバ１の構成及び機能＞
コンテンツ管理サーバ１の主記憶装置には、第１の実施形態でのプログラムに加え、契約管理プログラム１５がローディングされる。また、コンテンツ管理サーバ１には、コンテンツ管理サーバ１の操作者が契約管理プログラム１５を使用しその処理結果等を確認することができるようにするため、キーボード、マウス等からなる入力装置１６及び液晶ディスプレイ、プリンタ等からなる表示装置１７が通信可能に接続されている。さらに、コンテンツ管理サーバ１に接続されている記憶装置２には、第１の実施形態での各ファイルに加え、契約ファイル２２が記憶されている。以下、契約管理プログラム１５の機能に触れつつ、契約ファイル２２の目的、記憶内容等を説明する。

契約ファイル２２は、コンテンツ管理サーバ１を利用する企業等（前述した例では企業Ａ及び企業Ｂ）を管理するためのファイルであり、各企業等におけるコンテンツ管理サーバ１の利用者数、各企業等の名称・住所等を記憶したファイルである。コンテンツ管理サーバ１を設置・運営しているサービス事業者は、契約ファイル２２の利用者数に基づいて利用料を算出し、それらの各企業に利用料の支払いを請求することができる。契約ファイル２２は、コンテンツ管理サーバ１の操作者が契約管理プログラム１５を使用して作成され、必要に応じて更新される。

なお、図示していないが、サービス事業者内部にコンテンツ管理サーバ１に加えて、クライアントＰＣをも設置し、入力装置１６及び表示装置１７を、前述のクライアントＰＣに接続し、このクライアントＰＣの操作者が契約管理プログラム１５を使用して契約ファイル２２を作成・更新することも可能である。

＜第２の実施形態でのクライント３及びクライアント４の構成及び機能＞
本発明の第２の実施形態でのクライント３及びクライアント４の構成及び機能は、第１の実施形態と特に相違はない。なお、図２１においてクライアント４にコンテンツ参照プログラム４３を記載していないが、コンテンツ参照プログラム４３の機能は第１の実施形態と同一であり、以降の説明では当該プログラムの機能を特に説明する必要がないため、記載を省略したにすぎない。

＜第２の実施形態での各ファイルのデータ構造＞
以下、第２の実施形態における各ファイルのデータ構造を、第１の実施形態と異なるデータ項目に着目して説明する。なお、鍵ファイル２１、アクセス制限ファイル２５及びコンテンツ管理ファイル２６のデータ構造は第１の実施形態の場合と同一である。

図２２は本発明の第２の実施形態における契約ファイル２２のデータ構成を示す図である。

契約ファイル２２は、前述したように、コンテンツ管理サーバ１を利用する企業等を管理するためのファイルであり、１以上の契約レコード２２０を記憶している。

契約レコード２２０は、契約ＩＤ２２１、パスワード２２２、契約利用者数２２３及び契約者名称・住所等２２４から構成されている。

契約ＩＤ２２１には、各企業が通信回線を経由してコンテンツ管理サーバ１を使用するという、サービス事業者が提供するサービスについての、サービス事業者と各企業間の契約を一意に識別可能なＩＤが設定される。そして、企業Ａが部署Ａ１及び部署Ａ２のそれぞれの従業員をサービス利用者として２つのサービス利用契約を締結し、企業Ｂが部署に関係なくその企業の従業員をサービス利用者として１つのサービス利用契約を締結している場合、契約ＩＤ２２１が異なる３つの契約レコード２２０が存在する。

パスワード２２２は、サービス契約に係わる企業や部署がサービス対象利用者を利用者ファイル２３に登録する際の認証用のパスワードである。すなわち、前述した第１の実施形態においては、サービス利用開始前に、利用者管理権限を有する少なくとも１の利用者を、利用者登録・変更プログラム３１を使用せずに利用者ファイル２３に登録する必要があるが、第２の実施形態においては、後述するように、サービス契約企業またはサービス契約部署は、サービス利用開始後に、契約ＩＤ２２１及びパスワード２２２を使用して、利用者管理権限を有する少なくとも１の利用者を利用者ファイル２３に登録することができる。

契約利用者数２２３には、サービス契約に係わる企業や部署においてサービスを利用できる者の最大数が設定される。後述するように、サービス契約に係わる企業や部署の登録済み利用者数が契約利用者数２２３に達している場合、それ以上の利用者を登録することはできない。

契約者名称・住所等２２４には、サービス契約に係わる企業や部署の名称、住所、請求書のあて先名称、連絡先電話番号等が設定される。

図２３は本発明の第２の実施形態における利用者ファイル２３のデータ構成を示す図である。

利用者ファイル２３は、第１の実施形態の場合と同様に、１以上の利用者レコード２３０を記憶しており、利用者ＩＤ２３１、パスワード２３２、利用者管理権限有無２３３及び暗号化権限有無２３４の設定内容は第１の実施形態と同一であるが、第２の実施形態ではデータ項目としてさらに契約ＩＤ２３５を備えている。

契約ＩＤ２３５には、その利用者がどの契約によってサービスを利用しているかを示す値が設定される。例えば、企業Ａがサービス事業者と契約を締結し、この契約に係わる契約レコードの契約ＩＤ２２１が“CompanyA_01” である場合、企業Ａの従業員に係わる利用者レコード２３０の契約ＩＤ２３５には、“CompanyA_01” が設定される。

なお、利用者ＩＤ２３１には、企業Ａ、企業Ｂ等の利用者全てを一意に識別可能な値を設定する必要があり、従って、企業間等での利用者ＩＤの重複を回避するため、例えば、利用者ＩＤ２３１としては、その利用者に係わる契約ＩＤから始まる文字列にする等、所定の規則に従った文字列とし、利用者登録時に入力された利用者ＩＤが当該所定に規則に従っているかどうか、利用者管理プログラム１１等を用いてエラーチェックする必要がある。しかし、このようにすると、利用者ＩＤが長くなり使用するのも不便である。そこで、前述したように利用者管理プログラム１１等をＷＥＢアプリケーションで実現する場合、契約レコード２２０に企業Ａ、企業Ｂ等に対応するドメイン名を設定しておき、契約ファイル２２を除く各ファイルの記憶空間をドメイン毎に分けるようにすればよい。

＜第２の実施形態による文書管理システムの動作＞
前述までで、第２の実施形態による文書管理システムの構成及び機能の説明を終了し、以下、サービスの利用に係わる運用フローチャート等を参照しつつ、第２の実施形態による文書管理システムの動作を説明する。なお、契約管理プログラム１５を除くと、各プログラムの動作は第１の実施形態と殆ど同一であるので、第１の実施形態との相違点を中心に説明する。

図２４は本発明の第２の実施形態による文書管理システムでの処理動作の概要を説明するフローチャートであり、次に、これについて説明する。

（１）まず、企業Ａがサービス事業者と、通信回線を経由してコンテンツ管理サーバ１を使用するというサービス契約を締結する（ステップＳ２４０１）。

（２）サービス事業者は、ステップＳ２４０１の処理で締結した契約に基づいて契約ＩＤを定め、企業Ａとの契約に係わる契約レコード２２０を契約管理プログラム１５を使用して作成する（ステップＳ２４０２）。

ここで、契約レコード２２０の作成処理の詳細について、図２５、図２６を参照して説明する。

図２５は本発明の第２の実施形態による文書管理システムで契約管理プログラム１５が契約レコード２２０を作成する動作を説明するフローチャート、図２６は契約管理プログラム１５が契約レコード２２０を作成する際の契約画面の例を示す図である。

（２−１）コンテンツ管理サーバ１の操作者は、入力装置１６を操作して契約管理プログラム１５を起動する。契約管理プログラム１５は、起動されて処理を開始すると、表示装置１７に図２６に示すような契約画面Ｄ２６００を表示し、図には明示していないが、ＯＫボタンまたはキャンセルボタンがクリックされるまで待つ（ステップＳ２５０１）。

契約画面Ｄ２６００は、図２６に例示するように、契約ＩＤ、パスワード、契約利用者数、契約者名、契約者住所の各入力欄と、ＯＫボタン、キャンセルボタンとを有して構成されている。コンテンツ管理サーバ１の操作者は、この契約画面Ｄ２６００を使用して、契約ファイル２２に登録したい契約ＩＤ（例えば“CompanyA_01”)、パスワード（例えば“passwd”）、契約利用者数（例えば“20”）、契約者名（例えば“Ａ社”）、契約者住所（例えば“神奈川県横浜市”）を各入力欄に入力する。

（２−２）契約管理プログラム１５は、ＯＫボタンがクリックされると、入力された契約ＩＤ等のエラーチェックを行い、エラーであって場合、契約画面にエラーメッセージを表示する等して、コンテンツ管理サーバ１の操作者に修正入力等を促し、ステップＳ２５０１からの処理を繰り返す。ここでのエラーチェックは、例えば、入力契約ＩＤが契約ＩＤ２２１に設定されている契約レコード２２０が既に存在する場合にエラーと判定する等とするものである。また、図２５には明示していないが、コンテンツ管理サーバ１の操作者が、キャンセルボタンをマウス等でクリックすると、契約管理プログラム１５は処理を終了する（ステップＳ２５０２）。

（２−３）ステップＳ２５０２のエラーチェックの処理で、エラーを検出しなかった場合、正常と判断して契約管理プログラム１５は、正常と判断して、入力された契約ＩＤ、パスワード、契約利用者数、契約者名、契約者住所をそれぞれ、契約レコード２２０の契約ＩＤ２２１、パスワード２２２、契約利用者数２２３、契約者名称・住所等２２４に設定し、当該契約レコード２２０を契約ファイル２２に追加してここでの処理を終了する（ステップＳ２５０３）。

前述では、契約ＩＤ等を登録する場合の契約管理プログラム１５の動作を説明したが、契約レコード２２０の更新、削除等を可能にすることにより、登録した契約情報の変更（例えば、契約利用者数の変更）、契約情報の削除等も同様に実現することができる。この場合、契約管理プログラム１５の起動後、ステップＳ２５０１の処理の前に、図示していないが、契約、契約変更または契約削除のいずれかを選択するメニュー画面を表示し、契約管理プログラム１５が、選択された各処理を実行するようにすればよい。また、パスワードだけは契約企業自身が、クライアント３を操作して、図示していない別のプログラムによって変更できるようにしてもよい。

（３）図２４の参照に戻って、サービス事業者は、契約レコード２２０を作成した後、企業Ａの契約担当者等にサービスを利用する準備ができたことを連絡する。そして、企業Ａの契約担当者等は、少なくとも１名の利用者管理権限を有する利用者を決め、当該利用者の利用者レコード２３０を作成する（ステップＳ２４０３）。

利用者レコード２３０は、利用者登録・変更プログラム３１によって、図７を参照してすでに説明した処理と同様の処理により作成される。以下、図７を参照して、既に説明した処理とは異なる処理を中心にして利用者レコード２３０の作成の動作を説明する。

（３−１）クライアント３の操作者（企業Ａの契約担当者等）は、入力装置３５を操作して利用者登録・変更プログラム３１を起動する。利用者登録・変更プログラム３１は、起動されて処理を開始すると、表示装置３６にログイン画面（利用者認証画面）を表示し、クライアント３の操作者によって入力された契約ＩＤ（利用者ＩＤ）及びパスワードを利用者管理プログラム１１に送信し、図には明示していないが、利用者管理プログラム１１から認証成否を受信するまで待つ。この場合のログイン画面（利用者認証画面）は、図１４で例示したものと同一のものでよい。ただし、利用者ＩＤの入力欄Ｄ１４０１には、企業Ａの契約ＩＤが入力される。

クライアント３の操作者がＯＫボタンＤ１４０３をマウス等でクリックすると、利用者登録・変更プログラム３１は、入力された利用者ＩＤ及びパスワードを利用者管理プログラム１１に送信する。一方、図７では明示していないが、クライアント３の操作者が、キャンセルボタンＤ１４０４をマウス等でクリックすると、利用者登録・変更プログラム３１は処理を終了する（ステップＳ７０１）。

（３−２）利用者管理プログラム１１は、利用者登録・変更プログラム３１から送信されてきた利用者ＩＤ及びパスワードを受信すると、受信した利用者ＩＤの認証を行う。具体的には、受信した利用者ＩＤが契約ファイル２２に登録されており（受信した利用者ＩＤが契約ＩＤ２２１に設定されている契約レコード２２０が存在するか）受信したパスワードが当該契約者のものである（受信した利用者ＩＤが契約ＩＤ２２１に設定されている契約レコード２２０のパスワード２２２と、受信したパスワードが同一である）場合、または、受信した利用者ＩＤが利用者ファイル２３に登録されており、受信したパスワードがその利用者のものであり、かつ、その利用者が利用者管理権限を有している場合に認証成功とし、前述のいずれかの条件をも満たさない場合に認証失敗とする。利用者管理プログラム１１は、「認証成功」または「認証失敗」の処理結果を利用者登録・変更プログラム３１に送信する。そして、「認証成功」の場合、クライアント３の操作者に係わる契約ＩＤ（操作者が契約レコード２２０によって認証された場合は契約ＩＤ２２１、利用者レコード２２０によって認証された場合は契約ＩＤ２３５）も利用者登録・変更プログラム３１に送信する（ステップＳ７５０）。

なお、前述したように利用者ＩＤとパスワードとの組み合わせが契約レコード２２０または利用者レコード２３０に登録されている場合に認証成功とすると、利用者ＩＤとして契約ＩＤと同一の値を付与した場合に、利用者管理権限を有していない利用者が利用者登録できる等の不都合が発生することになる。このような不都合を回避するためには、例えば、契約ＩＤは“contract”で始まる文字等、所定の規則に従った文字列とし、契約管理プログラム１５が、契約画面の契約ＩＤに前述の所定の規則に従っていない文字列が入力された場合エラーとし、一方、利用者登録・変更プログラム３１が、利用者登録画面の利用者ＩＤに前述の所定の規則に従った文字列が入力されている場合にエラーとすればよい。

（３−３）利用者登録・変更プログラム３１は、利用者管理プログラム１１から認証の結果を受信すると、「認証成功」か「認証失敗」かを判定し、「認証失敗」であった場合、ログイン画面に認証失敗した旨のメッセージを表示する等により、クライアント３の操作者にパスワード修正の入力を促す（ステップＳ７０２）。

（３−４）ステップＳ７０２の判定で、「認証成功」であった場合、利用者登録・変更プログラム３１は、図示しないが、表示装置３６に利用者登録、利用者情報変更または利用者削除のいずれかを選択するメニュー画面を表示し、選択された各処理を実行する。すなわち、メニュー画面で利用者登録が選択されると、利用者登録・変更プログラム３１は、表示装置３６に利用者登録画面を表示し、クライアント３の操作者によって入力された利用者ＩＤ等を利用者管理プログラム１１に送信し、図には明示していないが、利用者管理プログラム１１から処理結果を受信するまで待つ。

前述の処理における利用者登録画面は、図１５に示して説明したものと同一であってよい。クライアント３の操作者は、利用者ファイル２３に登録したい利用者の利用者ＩＤ、パスワードを各入力欄に入力し、利用者が利用者管理権限、暗号化権限をそれぞれ有するか否かを、ラジオボタンによって選択する。利用者登録・変更プログラム３１は、ＯＫボタンがクリックされると、入力等された利用者ＩＤ、パスワード、利用者管理権限、暗号化権限、及びクライアント３の操作者に係わる契約ＩＤを利用者管理プログラム１１に送信する。一方、図７には明示していないが、クライアント３の操作者が、キャンセルボタンをマウス等でクリックすると、利用者登録・変更プログラム３１は処理を終了する（ステップＳ７０３）。

（３−５）利用者管理プログラム１１は、利用者登録・変更プログラム３１から送信されてきた利用者ＩＤ等を受信すると、受信した利用者ＩＤ等の登録処理を行う。具体的には、まず、受信した利用者ＩＤ、パスワード、利用者管理権限有無、暗号化権限有無及び契約ＩＤのチェックを行う。そして、チェックの結果正常と判定した場合、利用者管理プログラム１１は、受信した利用者ＩＤ、パスワード、利用者管理権限有無、暗号化権限有無及び契約ＩＤを、それぞれ利用者管理レコード２３０の利用者ＩＤ２３１、パスワード２３２、利用者管理権限有無２３３、暗号化権限有無２３４及び契約ＩＤ２３５に設定し、その利用者管理レコード２３０を利用者管理ファイル２３に追加する。利用者管理プログラム１１は、「エラー」又は「正常」の処理結果を利用者登録・変更プログラム３１に送信する（ステップＳ７６０）。

（３−６）利用者登録・変更プログラム３１は、利用者管理プログラム１１から登録処理実施処理の結果を受信すると、「正常（登録処理成功）」か「エラー（登録処理失敗）」かを判定し、「正常」であった場合、ここでの処理を終了し、「エラー」であった場合、利用者登録画面に登録が失敗した旨のメッセージを表示する等により、クライアント３の操作者に修正入力を促し、ステップＳ７０３からの処理を繰り返す（ステップＳ７０４）。

（４）図２４の参照に戻って、企業Ａの契約担当者等が、前述のようにして利用者管理権限を有する利用者を利用者ファイル２３に登録した後、登録された利用者管理権限を有する利用者が、他の企業Ａの利用者を利用者ファイル２３に登録し、登録された利用者のうち暗号化権限を有する者が、アクセス権限を作成する。具体的には、図８を参照して説明したように、暗号化コンテンツを参照等させたい企業Ａの利用者の利用者ＩＤが設定されたアクセス権限レコード２５０を作成する。

なお、本発明の第２の実施形態では、アクセス権限登録画面（図１６のＤ１６００）の利用者ＩＤ一覧の表示・選択欄（Ｄ１６０３）に、利用者ファイル２３に登録されている全ての利用者ＩＤを表示するのでなく、クライアント４の操作者に係わる利用者レコード２３０の契約ＩＤ２３５を参照し、契約ＩＤ２３５に同一値が設定されている利用者ＩＤ２３１だけを表示すればよい。このようにすることで、企業Ａの利用者管理権限を有する利用者は、企業Ａの利用者だけを参照してアクセス権限ファイル２５に登録するようにできる（ステップＳ２４０４、Ｓ２４０５）。

（５）暗号化権限を有する利用者は、第１の実施形態の場合と同様にコンテンツを暗号化し、暗号化コンテンツ４９を作成する。なお、本発明の第２の実施形態において、コンテンツ管理プログラム１３は、コンテンツ暗号化プログラム４２から受信したアクセス権限ＩＤ（すなわち、当該暗号化権限を有する利用者がアクセス権限登録時に入力したアクセス権限）が、当該暗号化に使用可能かどうかのエラーチェックを行う。具体的には、受信したアクセス権限ＩＤがアクセス権限ＩＤ２５１に設定されているアクセス権限レコード２５０の利用者ＩＤ２５３を参照し、利用者レコード２３０の契約ＩＤ２３５に設定されている値が、当該暗号化権限を有する利用者の契約ＩＤ２３５と同一である場合に使用可能とし、異なる場合に使用不可とする。また、コンテンツ再暗号化においても、同様に、暗号化権限を有する利用者の契約ＩＤと当該利用者が指定したアクセス権限ＩＤに係わる契約ＩＤが一致しているかの判定を行う。このようにすることにより、企業Ａの利用者が作成したアクセス権限レコード２５０のアクセス権限ＩＤ２５１のみを、コンテンツ暗号化画面（図１８のＤ１８００）等のアクセス権限ＩＤに入力可能とすることができるので、企業Ａの利用者が作成した暗号化コンテンツが企業Ａ以外の利用者に参照されることはない（ステップＳ２４０６）。

（６）利用者レコード２３０及びアクセス権限レコード２５０に登録された企業Ａの利用者は、本発明の第１の実施形態の場合と同様に暗号化コンテンツを参照する（ステップＳ２４０７）。

＜第２の実施形態による文書管理システムによる効果＞
以上説明したように、本発明の第２の実施形態による文書管理システムは、各処理において操作者（利用者）の契約ＩＤを判定することにより、他企業や他部署等の利用者レコード２３０、アクセス権限レコード２５０を参照したり、使用したりすることができないようにしている。すなわち、契約ＩＤが同一の利用者間でのみ、暗号化コンテンツの参照を可能としている。従って、第２の実施形態のように複数の企業や部署が同一のコンテンツ管理サーバ１によるサービス提供を受ける場合でも、各企業や部署に係わる情報が、他企業や部署には見えないようにすることができ、情報漏洩を防止することができる。

＜第３の実施形態による文書管理システム＞
一般に、ある企業や部署が暗号化したコンテンツを他の企業や部署に参照させたい場合がある。このための方法として、既にコンテンツの再暗号について説明したが、第２の実施形態のように契約ＩＤが同一の利用者間でのみ、暗号化コンテンツの参照を可能とすると、情報漏洩の危険性は低くなるものの、ある企業や部署が暗号化したコンテンツを、契約ＩＤが異なる他の企業や部署の利用者に参照させることはできなくなる。

従って、基本的には契約ＩＤが同一の利用者間でのみ、暗号化コンテンツの参照を可能としつつ、契約ＩＤが異なる利用者にも暗号化したコンテンツを参照させることができるようにする必要がある。

以下、契約ＩＤが異なる利用者にも暗号化コンテンツを参照させる機能を備えた文書管理システムの第３の実施形態について説明する。

＜第３の実施形態による文書管理システムの全体的な構成及び機能＞
図２７は本発明の第３の実施形態による文書管理システムの構成を示すブロック図である。

本発明の第３の実施形態による文書管理システムは、図２７に示すように、第２の実施形態による文書管理システムと同様に、コンテンツ管理サーバ１、クライアント３ａ、クライアント３ｂ、クライアント４ａの各装置が、有線または無線の通信回線により相互に通信可能に接続して構成されている。

そして、第３の実施形態においても、第２の実施形態と同様に、サービス事業者がコンテンツ管理サーバ１を設置・運営しており、Ａ及びＢの２つの企業がコンテンツ管理サーバ１を利用しており、企業Ａの内部にクライアント３ａ及び４ａが、企業Ｂの内部にクライアント３ｂ及び図示していないがクライアント４ｂが設置されているものとする。なお、クライアント３ａ及びクライアント３ｂは、第１の実施形態でのクライアント３に、クライアント４ａ及びクライアント４ｂは、第１の実施形態でのクライアント４に対応している。以降の説明では、特に区分する必要がない限り、クライアント３ａ及びクライアント３ｂをいずれもクライアント３と、クライアント４ａ及びクライアント４ｂをいずれもクライアント４と呼ぶこととする。

なお、図２７に示す本発明の第３の実施形態は、第１の実施形態と同様に、各装置を１台ずつ備えて構成されるとして図示しているが、それぞれ２以上存在していてもよい。また、各装置は、それぞれ１台ずつ存在する必要はなく、例えば、クライアント３とクライアント４とは１台で両方の機能を備えるように構成する等も可能である。

このように構成により、本発明の第３の実施形態は、第１の実施形態、第２の実施形態の場合と同様に、クライアント３が、アクセス制限の対象となるコンテンツを参照等する可能性のある利用者をコンテンツ管理サーバ１に登録することができる。また、クライアント４は、コンテンツ管理サーバ１の機能を使用して、クライアント４に記憶しているコンテンツを暗号化し、アクセス制限をかけることできる。さらに、クライアント４は、暗号化したコンテンツを復号化して参照することもできる。

＜第３の実施形態による文書管理システムの各部の構成及び機能＞
以下、コンテンツ管理サーバ１、クライアント３及びクライアント４の構成・機能を第２の実施形態と異なる構成・機能に着目して説明する。

＜第３の実施形態でのコンテンツ管理サーバ１の構成及び機能＞
コンテンツ管理サーバ１の主記憶装置ローディングされるプログラムは、第２の実施形態と同一であるが、後述するように一部の機能が異なる。また、記憶装置２には第２の実施形態での各ファイルに加え、窓口担当者ファイル２４が記憶されている。以下、利用者管理プログラム１１の機能に触れつつ、窓口担当者ファイル２４の目的、記憶内容等を説明する。

窓口担当者ファイル２４は、コンテンツ管理サーバ１を使用する各企業や各部署において、他の企業や部署が暗号化したコンテンツを受信し、当該企業や部署内の利用者が当該コンテンツを参照等することができるようにする特別な利用者を登録するファイルである。例えば、ある企業Ａが別の企業Ｂに機器設計の一部を発注する場合、企業Ａ、企業Ｂともにコンテンツ管理サーバ１に係わるサービス事業者とサービス利用契約を締結し、企業Ｂの契約担当者は、企業Ｂとサービス事業者間の当該サービス契約についての窓口担当者を決めて、利用者管理プログラム１１等により窓口担当者ファイル２４に窓口担当者を登録する。企業Ａの利用者は、企業Ａとサービス事業者間の当該サービス契約についての企業Ａの利用者に加え、企業Ｂの窓口担当者にも、暗号化したコンテンツの参照権限等を付与することができる。そして、企業Ｂの窓口担当者は、受信した暗号化コンテンツを再暗号化し、企業Ｂの利用者に参照させることができる。このようにして、企業Ａの利用者は、窓口担当者以外の企業Ｂの利用者を知ることなく、必要な者に暗号化コンテンツを参照させることができる。

なお、企業Ａが企業Ｂに複数の異なる機器設計を発注するような場合、機器設計毎に、サービス事業者とサービス利用契約を締結して、契約ＩＤ及び窓口担当者を異なるものにすることもできるし、いずれの機器設計についても同一サービス利用契約とし、窓口担当者も同一にすることもできる。

＜第３の実施形態でのクライント３及びクライアント４の構成及び機能＞
第３の実施形態でのクライント３及びクライアント４の構成及び機能は、第２の実施形態の場合と特に相違はない。なお、図２７において、クライアント４にコンテンツ参照プログラム４３を記載していないが、これはコンテンツ参照プログラム４３の機能は第１の実施形態、第２の実施形態の場合と同一であり、以降の説明では当該プログラムの機能を特に説明しないため、記載を省略したにすぎない。

＜第３の実施形態での各ファイルのデータ構造＞
以下、第３の実施形態における各ファイルのデータ構造を、第２の実施形態と異なるデータ項目に着目して説明する。なお、鍵ファイル２１、アクセス制限ファイル２５及びコンテンツ管理ファイル２６のデータ構造は第２の実施形態の場合と同一である。

図２８は本発明の第３の実施形態における窓口担当者ファイル２４のデータ構成を示す図である。

窓口担当者ファイル２４は、前述したように、コンテンツ管理サーバ１を利用する企業等において、他企業等から暗号化コンテンツを受信し再暗号化して当該企業等の利用者に参照させる窓口担当者を登録するファイルである。窓口担当者レコード２４０は、１つの契約ＩＤ毎に１レコード存在するか、または、当該契約ＩＤについては存在しないかのいずれかである。

窓口担当者レコード２４０は、利用者ＩＤ２４１、契約ＩＤ２４２及び承認有無２４３から構成される。

利用者ＩＤ２４１には、当該窓口担当者の利用者レコード２３０の利用者ＩＤ２３１と同一の値が設定される。

契約ＩＤ２４２には、暗号化コンテンツを作成し、当該窓口担当者に当該暗号化コンテンツの参照等を許可する企業等の契約ＩＤが設定される。

承認有無２４３には、当該窓口担当者に暗号化コンテンツの参照等を許可する企業等が、当該窓口担当者を承認済みであることを示す値（“承認済み”）または未承認であることを示す値（“未承認”）が設定される。

＜第３の実施形態による文書管理システムの動作等＞
以上で、第３の実施形態による文書管理システムの構成及び機能の説明を終了し、次に、第３の実施形態による文書管理システムでのサービスの利用に係わる運用の処理動作について説明する。なお、各プログラムの動作は第２の実施形態の場合と殆ど同一であるので、第２の実施形態との相違点を中心に説明する。

図２９は本発明の第３の実施形態による文書管理システムでのサービスの利用に係わる運用の処理動作について説明するフローチャートであり、次に、これについて説明する。

（１）まず、企業Ａがサービス事業者と、通信回線を経由してコンテンツ管理サーバ１を使用するというサービス契約（以下、この契約を「契約Ａ」という。）を締結する（ステップＳ２９０１）。

（２）サービス事業者は、この契約に基づいて契約ＩＤを定め、第２の実施形態で説明したと同様に、企業Ａとの当該契約に係わる契約レコード２２０を作成する（ステップＳ２９０２）。

（３）サービス事業者は、契約レコード２２０を作成した後、企業Ａの契約担当者等にサービスを利用する準備ができたことを連絡する。そして、企業Ａの契約担当者等は、少なくとも１名の利用者管理権限を有する利用者を決め、第２の実施形態で説明したと同様に、当該利用者の利用者レコード２３０を作成する（ステップＳ２９０３）。

（４）企業Ａの契約担当者等が、利用者管理権限を有する利用者を利用者ファイル２３に登録した後、当該利用者管理権限を有する利用者が、企業Ａの他の利用者を利用者ファイル２３に登録する（Ｓ２９０４）。

（５）ここで、企業Ａが設計業務等の一部を企業Ｂに委託することを決め、企業Ａの利用者が暗号化したコンテンツをＢ社の利用者に参照させる必要が発生したとする。その場合、企業Ｂも、サービス事業者と、通信回線を経由してコンテンツ管理サーバ１を使用するというサービス契約（以下、この契約を「契約Ｂ」という。）を締結する（ステップＳ２９０５、Ｓ２９０６）。

（６）サービス事業者は、この契約に基づいて契約ＩＤを定め、第２の実施形態で説明したと同様に、企業Ｂとの当該契約に係わる契約レコード２２０を作成する（ステップＳ２９０７）。

（７）サービス事業者は、契約レコード２２０を作成した後、企業Ｂの契約担当者等にサービスを利用する準備ができたことを連絡する。そして、企業Ｂの契約担当者等は、少なくとも１名の利用者管理権限を有する利用者を決め、第２の実施形態で説明したように、当該利用者の利用者レコード２３０を作成する（ステップＳ２９０８）。

（８）企業Ｂの契約担当者等が、利用者管理権限を有する利用者を利用者ファイル２３に登録した後、当該利用者管理権限を有する利用者が、企業Ｂの他の利用者を利用者ファイル２３に登録する（ステップＳ２９０９）。

（９）また、企業Ｂの契約担当者等または当該利用者管理権限を有する利用者は、契約Ａについての企業Ｂの窓口担当者を決め、窓口担当者レコード２４０を作成し、窓口担当者レコード２４０を窓口担当者ファイル２４に登録する。窓口担当者レコード２４０は、利用者登録・変更プログラム３１によって作成される（ステップＳ２９１０）。

図３０は第３の実施形態での窓口担当者登録の動作を説明するフローチャートであり、ここで、窓口担当者登録の動作について説明する。窓口担当者登録の動作は、図７を参照して説明した利用者登録の動作と重複する部分があるので、以下では、利用者登録と異なる動作を中心に説明する。

（９−１）クライアント３の操作者（企業Ｂの契約担当者等又は利用者管理権限を有する利用者）は、入力装置３５を操作して利用者登録・変更プログラム３１を起動する。利用者登録・変更プログラム３１は、起動されると処理を開始し、図示していないが、表示装置３６にログイン画面（利用者認証画面）を表示し、クライアント３の操作者によって入力された利用者ＩＤ（契約Ｂの契約ＩＤ又は利用者管理権限を有する利用者の利用者ＩＤ）及びパスワードを利用者管理プログラム１１に送信し、利用者管理プログラム１１から認証成否を受信するまで待つ。この場合のログイン画面（利用者認証画面）は、図１４に示して説明したものと同じである。クライアント３の操作者がログイン画面Ｄ１４００に利用者ＩＤ及びパスワード入力した後、ＯＫボタンＤ１４０３をマウス等でクリックすると、利用者登録・変更プログラム３１は、図示していないが、入力された利用者ＩＤ及びパスワードを利用者管理プログラム１１に送信する。一方、クライアント３の操作者が、キャンセルボタンＤ１４０４をマウス等でクリックすると、利用者登録・変更プログラム３１は処理を終了する。

利用者管理プログラム１１は、利用者登録・変更プログラム３１が送信した利用者ＩＤ及びパスワードを受信すると、図示していないが、受信した利用者ＩＤの認証を行い、「認証成功」の処理結果とクライアント３の操作者に係わる契約ＩＤまたは「認証失敗」の処理結果を利用者登録・変更プログラム３１に送信する。

利用者登録・変更プログラム３１は、利用者管理プログラム１１から「認証成功」を受信すると、図示していないが、表示装置３６に利用者登録、利用者情報変更、利用者削除、窓口担当者登録または窓口担当者承認のいずれかを選択するメニュー画面を表示し、選択された各処理を実行する。一方、「認証失敗」を受信すると、ログイン画面に認証失敗した旨のメッセージを表示する等し、クライアント３の操作者にパスワードの修正入力等を促す。メニュー画面で窓口担当者登録が選択されると、利用者登録・変更プログラム３１は、表示装置３６に図３２に例示するような窓口担当者登録画面Ｄ３２００を表示し、クライアント３の操作者によって入力された利用者ＩＤ等を利用者管理プログラム１１に送信し、図には明示していないが、利用者管理プログラム１１から処理結果を受信するまで待つ。

また、クライアント３の操作者は、窓口担当者ファイル２４に登録したい利用者の利用者ＩＤと、暗号化コンテンツを作成し当該窓口担当者に送信する他企業等の契約ＩＤ（この例では契約Ａの契約ＩＤ）を各入力欄に入力する。利用者登録・変更プログラム３１は、ＯＫボタンがクリックされると、入力された利用者ＩＤ、契約ＩＤ（契約Ａの契約ＩＤ）及びクライアント３の操作者に係わる契約ＩＤ（契約Ｂの契約ＩＤ）を利用者管理プログラム１１に送信する。一方、図３０には明示していないが、クライアント３の操作者が、キャンセルボタンをマウス等でクリックすると、利用者登録・変更プログラム３１は処理を終了する（ステップＳ３００１）。

（９−２）利用者管理プログラム１１は、利用者登録・変更プログラム３１から送信されてきた利用者ＩＤ等を受信すると、受信した利用者ＩＤ等の登録処理を行う。具体的には、まず、受信した利用者ＩＤ及び契約ＩＤ（契約Ａ及び契約Ｂの契約ＩＤ）のチェックを行う（例えば、受信した契約ＩＤ（契約Ａの契約ＩＤ）が契約ＩＤ２２１に設定されている契約レコード２３０が存在しない場合、又は受信した利用者ＩＤと契約ＩＤ（契約Ｂの契約ＩＤ）がそれぞれ利用者ＩＤ２３１と契約ＩＤ２３５に設定されている利用者レコード２３０が存在しない場合はエラーと判定する）。そして、正常と判定した場合、受信した利用者ＩＤ及び契約ＩＤを、それぞれ窓口担当者レコード２４０の利用者ＩＤ２４１契約ＩＤ２４２に設定し、承認有無２４３に“未承認”を設定して、当該窓口担当者レコード２４０を窓口担当者ファイル２４に追加する。利用者管理プログラム１１は、「エラー」又は「正常」の処理結果を利用者登録・変更プログラム３１に送信する（ステップＳ３０６０）。

（９−３）利用者登録・変更プログラム３１は、利用者管理プログラム１１から登録処理の実施結果を受信すると、登録処理が成功か否か、すなわち、「正常」か、「エラー」かを判定し、「正常」であった場合、ここでの処理を終了し、「エラー」であった場合、窓口担当者登録画面に登録を失敗した旨のメッセージを表示する等し、クライアント３の操作者に修正入力等を促し、ステップＳ３００１からの処理を繰り返す（ステップＳ３００２）。

なお、前述では窓口担当者を登録する処理を説明したが、利用者登録と同様に、利用者登録・変更プログラム３１が窓口担当者変更、窓口担当者削除等の機能も備えるように構成してもよい。

（10）図２９の参照に戻って、企業Ｂの契約担当者等または利用者管理権限を有する利用者は、前述のようにして契約Ａに係わる窓口担当者を窓口担当者ファイル２４に登録した後、企業Ａの（契約Ａに係わる）契約担当者等または利用者管理権限を有する利用者に、当該窓口担当者の利用者ＩＤを連絡する。そして、企業Ａの（契約Ａに係わる）契約担当者等または利用者管理権限を有する利用者は、連絡された利用者ＩＤを承認する。具体的には承認は、利用者登録・変更プログラム３１等によって窓口担当者レコード２４０の承認有無２４３に“承認済み”を設定することにより行われる（ステップＳ２９１１）。

図３１は第３の実施形態での窓口担当者承認の動作を説明するフローチャートであり、ここで、窓口担当者承認の動作について説明する。窓口担当者承認の動作は、図７を参照して説明した利用者登録の動作と重複する部分があるので、以下では、利用者登録と異なる動作を中心に説明する。

（10−１）クライアント３の操作者（企業Ａの契約担当者等又は利用者管理権限を有する利用者）は、入力装置３５を操作して利用者登録・変更プログラム３１を起動する。利用者登録・変更プログラム３１は、起動されると処理を開始し、図示していないが、表示装置３６にログイン画面（利用者認証画面）を表示し、クライアント３の操作者によって入力された利用者ＩＤ（契約Ａの契約ＩＤ又は利用者管理権限を有する利用者の利用者ＩＤ）及びパスワードを利用者管理プログラム１１に送信し、利用者管理プログラム１１から認証成否を受信するまで待つ。この場合のログイン画面（利用者認証画面）は、図１４に示して説明したものと同じである。クライアント３の操作者がログイン画面Ｄ１４００に利用者ＩＤ及びパスワード入力した後、ＯＫボタンＤ１４０３をマウス等でクリックすると、利用者登録・変更プログラム３１は、図示していないが、入力された利用者ＩＤ及びパスワードを利用者管理プログラム１１に送信する。一方、クライアント３の操作者が、キャンセルボタンＤ１４０４をマウス等でクリックすると、利用者登録・変更プログラム３１は処理を終了する。

利用者管理プログラム１１は、利用者登録・変更プログラム３１が送信した利用者ＩＤ及びパスワードを受信すると、図示していないが、受信した利用者ＩＤの認証を行い、「認証成功」の処理結果とクライアント３の操作者に係わる契約ＩＤまたは「認証失敗」の処理結果を利用者登録・変更プログラム３１に送信する。

利用者登録・変更プログラム３１は、利用者管理プログラム１１から「認証成功」を受信すると、図示していないが、表示装置３６に利用者登録、利用者情報変更、利用者削除、窓口担当者登録または窓口担当者承認のいずれかを選択するメニュー画面を表示し、選択された各処理を実行する。一方、「認証失敗」を受信すると、ログイン画面に認証失敗した旨のメッセージを表示する等し、クライアント３の操作者にパスワードの修正入力等を促す。メニュー画面で窓口担当者承認が選択されると、利用者登録・変更プログラム３１は、表示装置３６に図３３に例示するような窓口担当者承認画面Ｄ３３００を表示し、クライアント３の操作者によって入力された利用者ＩＤ等を利用者管理プログラム１１に送信し、図には明示していないが、利用者管理プログラム１１から処理結果を受信するまで待つ。

また、クライアント３の操作者は、窓口担当者として承認する利用者の利用者ＩＤ（企業Ｂの契約担当者等又は利用者管理権限を有する利用者から契約Ａに係わる窓口担当者として連絡された利用者ＩＤ）を入力欄に入力する。利用者登録・変更プログラム３１は、ＯＫボタンがクリックされると、入力された利用者ＩＤ及びクライアント３の操作者に係わる契約ＩＤ（契約Ａの契約ＩＤ）を利用者管理プログラム１１に送信する。一方、図３０には明示していないが、クライアント３の操作者が、キャンセルボタンをマウス等でクリックすると、利用者登録・変更プログラム３１は処理を終了する（ステップＳ３１０１）。

（10−２）利用者管理プログラム１１は、利用者登録・変更プログラム３１から送信されてきた利用者ＩＤ等を受信すると、受信した利用者ＩＤの承認処理を行う。具体的には、まず、受信した利用者ＩＤ及び契約ＩＤ（契約Ａの契約ＩＤ）のチェックを行う（例えば、受信した利用者ＩＤと契約ＩＤ（契約Ａの契約ＩＤ）が、それぞれ利用者ＩＤ２４１と契約ＩＤ２４２に設定されている窓口担当者レコード２４０が存在しない場合はエラーと判定する）。そして、正常と判定した場合、受信した利用者ＩＤに係わる窓口担当者レコード２４０（受信した利用者ＩＤと契約ＩＤ（契約Ａの契約ＩＤ）が、それぞれ利用者ＩＤ２４１と契約ＩＤ２４２に設定されている窓口担当者レコード２３０）の承認有無２４３に“承認済み”を設定して、当該窓口担当者レコード２４０を更新する。利用者管理プログラム１１は、「エラー」又は「正常」の処理結果を利用者登録・変更プログラム３１に送信する（ステップＳ３１６０）。

（10−３）利用者登録・変更プログラム３１は、利用者管理プログラム１１から承認処理の実施結果を受信すると、承認処理が成功か否か、すなわち、「正常」か、「エラー」かを判定し、「正常」であった場合、ここでの処理を終了し、「エラー」であった場合、窓口担当者登録画面に承認に失敗した旨のメッセージを表示する等し、クライアント３の操作者に修正入力等を促し、ステップＳ３１０１からの処理を繰り返す（ステップＳ３１０２）。

なお、前述では、窓口担当者を承認する処理を説明したが、窓口担当者登録と同様に、利用者登録・変更プログラム３１が窓口担当者承認取消等の機能を備えて構成されていてもよい。

前述したように本発明の第３の実施形態では、暗号化コンテンツを受信する側の企業等がまず窓口担当者を登録し、暗号化コンテンツを送信する側の企業等が当該窓口担当者を承認することにより、両方の企業等が信頼できる利用者を窓口担当者として登録することができる。なお、前述では、窓口担当者登録及び窓口担当者承認に必要なほぼ最小限度の機能のみを説明したが、例えば、利用者レコード２３０に利用者氏名、所属部署、職位、経験年数、業務経歴等も設定できるようにし、窓口担当者登録及び窓口担当者承認において、窓口担当者の利用者氏名、所属部署等を表示できるようにしてもよい。このようにすることにより、暗号化コンテンツを受信する側の企業等及び暗号化コンテンツを送信する側の企業等は、窓口担当者の職位等を参考にして窓口担当者としての信頼性を評価することができる。

（11）図２９の参照に戻って、企業Ａの契約担当者等が、前述のようにして窓口担当者を承認した後、企業Ａの（契約Ａに係わる）利用者のうち暗号化権限を有する者が、アクセス権限を作成する。具体的には、図８を参照して説明したように、暗号化コンテンツを参照等させたい企業Ａの利用者の利用者ＩＤ及び必要に応じて企業Ｂの（契約Ａに係わる）窓口担当者の利用者ＩＤが設定されたアクセス権限レコード２５０を作成する（ステップＳ２４０５）。

なお、本発明の第３の実施形態では、アクセス権限登録画面（図１６のＤ１６００）の利用者ＩＤ一覧の表示・選択欄（Ｄ１６０３）に、利用者ファイル２３に登録されている全ての利用者ＩＤを表示するのでなく、クライアント４の操作者に係わる利用者レコード２３０の契約ＩＤ２３５を参照し、契約ＩＤ２３５に同一値が設定されている利用者ＩＤ２３１を表示すると共に、これに加えて契約ＩＤ２４２に契約ＩＤ２３５と同一値が設定されている窓口担当者レコード２４０の利用者ＩＤ２４１を表示すればよい。このようにすることにより、企業Ａの利用者管理権限を有する利用者は、企業Ａの契約Ａに係わる利用者と企業Ｂの契約Ａに係わる窓口担当者だけを参照してアクセス権限ファイル２５に登録するようにすることができる。

（12）次に、企業Ａの（契約Ａに係わる）暗号化権限を有する利用者は、第２の実施形態の場合と同様に、コンテンツを暗号化し暗号化コンテンツ４９を作成する（Ｓ２９１３）。

なお、前述において、暗号化コンテンツ４９を作成する際に、コンテンツ暗号化プログラム４２と共に動作するコンテンツ管理プログラム１３は、第３の実施形態においても第２の実施形態の場合と同様に、コンテンツ暗号化プログラム４２から受信したアクセス権限ＩＤが、当該暗号化に使用可能かどうかのエラーチェックを行う。ただし、処理の内容が多少異なる。具体的には、コンテンツ管理プログラム１３は、受信したアクセス権限ＩＤが、アクセス権限ＩＤ２５１に設定されているアクセス権限レコード２５０の利用者ＩＤ２５３を参照し、利用者レコード２３０の契約ＩＤ２３５に設定されている値が、当該暗号化権限を有する利用者の契約ＩＤ２３５と同一である場合、または、窓口担当者レコード２４０の契約ＩＤ２４２に設定されている値が、当該暗号化権限を有する利用者の契約ＩＤ２３５と同一であり承認有無２４３が“承認済み”である場合に使用可能とし、異なる場合に使用不可とする。

また、コンテンツ再暗号化においても、同様に、暗号化権限を有する利用者の契約ＩＤと当該利用者が指定したアクセス権限ＩＤに係わる契約ＩＤが一致しているか否かの判定を行う。このようにすることにより、企業Ａの利用者が作成したアクセス権限レコード２５０のアクセス権限ＩＤ２５１のみを、コンテンツ暗号化画面（図１８のＤ１８００）等のアクセス権限ＩＤに入力可能とすることができるので、企業Ａの利用者が作成した暗号化コンテンツを参照等できるのは企業Ａの利用者及び企業Ｂの窓口担当者のみであり、その他の者に参照されることはない。

（13）利用者レコード２３０及びアクセス権限レコード２５０に登録された企業Ａの利用者及び企業Ｂの（契約Ａに係わる）窓口担当者は、第１の実施形態の場合と同様に、暗号化コンテンツを参照することができる（Ｓ２９１４）。

（14）そして、企業Ｂの（契約Ａに係わる）窓口担当者は、当該暗号化コンテンツを企業Ｂの利用者（企業Ａから受注した設計作業等を行う利用者）に参照等させるためのアクセス権限を作成する。具体的には、図８を参照して説明したように、暗号化コンテンツを参照等させたい企業Ｂの利用者の利用者ＩＤが設定されたアクセス権限レコード２５０を作成する。なお、例えば、企業Ｂからさらに企業Ｃに設計の一部を発注するような場合には、前述の説明と同様の方法で企業Ｃの（契約Ｂに係わる）窓口担当者を登録し、当該窓口担当者が設定されたアクセス権限レコード２５０を作成すればよい（ステップＳ２９１５）。

（15）次に、企業Ｂの（契約Ｂに係わる）暗号化権限を有する利用者は、前述の説明と同様にコンテンツを再暗号化し、暗号化コンテンツ４９を作成する。その後、利用者レコード２３０及びアクセス権限レコード２５０に登録された企業Ｂの利用者は、第１の実施形態の場合と同様に、当該暗号化コンテンツを参照することができるようになる（ステップＳ２９１６）。

＜第３の実施形態による文書管理システムによる効果＞
以上説明したように、第３の実施形態による文書管理システムは、各企業等とサービス事業者とのサービス利用契約毎に、暗号化コンテンツを作成する企業等が当該暗号化コンテンツの送信先とする窓口担当者を登録することができ、暗号化コンテンツを作成する企業等は、他企業等の当該窓口担当者を承認した上で、当該窓口担当者に当該暗号化コンテンツを参照等する権限を与えることができる。

従って、ある企業や部署が暗号化したコンテンツを他の企業や部署に参照させたい場合、契約ＩＤが同一の利用者間でのみ、暗号化コンテンツの参照を可能としつつ、さらに契約ＩＤが異なる他企業等の窓口担当者にも、当該窓口担当者を承認した上で、暗号化したコンテンツを参照させることができる。

＜サービス事業に係わる効果＞
本発明の第１の実施形態による文書管理システムでは、コンテンツ管理サーバ１を設置・運営するサービス事業者は、利用者ファイル２３に登録された利用者レコード２３０のレコード数等に基づいて、サービスを利用する企業や企業グループに、サービス利用料を請求することができる。

本発明の第２の実施形態による文書管理システムでは、内部の利用者に暗号化コンテンツを共有させる必要がある（すなわち内部のある利用者が作成した暗号化コンテンツを、内部の別の利用者に参照等させる必要がある）企業や部署等がそれぞれサービス利用契約を締結し、サービス利用契約毎に契約レコード２２０を作成し、当該サービス利用契約に基づいてサービスを利用する利用者の人数を契約利用者数２２３に設定しているので、サービス事業者は、契約利用者数２２３等に基づいて、サービスを利用する企業や部署に、サービス利用料を請求することができる。

本発明の第３の実施形態による文書管理システムでは、内部の利用者だけでなく、外部の利用者にも暗号化コンテンツを共有させる必要がある企業や部署等が、外部の利用者のうちの一部の者（第３の実施形態の例では１名）を窓口担当者として暗号化コンテンツを参照等する権限を付与可能にしつつ、それぞれサービス利用契約を締結し、サービス利用契約毎に契約レコード２２０を作成し、当該サービス利用契約に基づいてサービスを利用する利用者の人数を契約利用者数２２３に設定しているので、サービス事業者は、契約利用者数２２３等に基づいて、サービスを利用する企業や部署に、サービス利用料を請求することができる。すなわち、外部の利用者にも暗号化コンテンツを共有させる必要がある企業や部署等は、当該外部の利用者数に係わらず、内部の利用者数だけのサービス利用料を支払えば足りる。

１ コンテンツ管理サーバ
１１ 利用者管理プログラム
１２ アクセス権限管理プログラム
１３ コンテンツ管理プログラム
１４ アクセス制御プログラム
１５ 契約管理プログラム
１６ 入力装置
１７ 表示装置
２ 記憶装置
２１ 鍵ファイル
２２ 契約ファイル
２３ 利用者ファイル
２４ 窓口担当者ファイル
２５ アクセス権限ファイル
２６ コンテンツ管理ファイル
３（３ａ，３ｂ） クライアント
３１（３１ａ，３１ｂ） 利用者登録・変更プログラム
３５（３５ａ，３５ｂ） 入力装置
３６（３６ａ，３６ｂ） 表示装置
４（４ａ） クライアント
４１（４１ａ） アクセス権限登録・変更プログラム
４２（４２ａ） コンテンツ暗号化プログラム
４３ コンテンツ参照プログラム
４５（４５ａ） 入力装置
４６（４６ａ） 表示装置
４７ 記憶装置
４９ 暗号化コンテンツ
９ ＬＡＮ
９１ インターネット

Claims (5)

1. 文書情報を含むコンテンツを暗号化して記憶しておき、当該コンテンツを取得することができる者を限定することにより当該コンテンツへのアクセスの制限を行う文書管理システムにおいて、
   利用者が暗号化した前記コンテンツを保持している１又は複数の第１のクライアントと、鍵ファイルを有して前記第１のクライアント内に保持されている暗号化された前記コンテンツに対するアクセス権限を管理するコンテンツ管理サーバと、暗号化した前記コンテンツを参照する利用者を前記コンテンツ管理サーバに登録する第２のクライアントと、をネットワークにより通信可能に接続して構成され、
   前記第２のクライアントは、操作者の指示に従って、自クライアントが持つ利用者登録・変更処理手段及び前記コンテンツ管理サーバが持つ利用者管理処理手段を使用し、当該コンテンツ管理サーバ内の利用者ファイルに前記コンテンツを暗号化すると共に、暗号化した当該コンテンツを参照する複数の利用者を登録し、
   前記第１のクライアントは、操作者である利用者の指示により自クライアントが持つアクセス権限登録・変更処理手段及び前記コンテンツ管理サーバが持つアクセス権限管理処理手段を使用し、暗号化した前記コンテンツを参照させたい１又は複数の利用者を、所定のアクセス権限ＩＤと対にして当該コンテンツ管理サーバ内のアクセス権限ファイルに登録し、更に、自クライアントが持つコンテンツ暗号化処理手段及び当該コンテンツ管理サーバが持つコンテンツ管理処理手段を使用し、当該利用者に参照させたい前記コンテンツを暗号化して暗号化コンテンツとして自クライアントに接続されている記憶装置に記憶すると共に、所定のコンテンツＩＤとアクセス権限ＩＤとを対にして、当該コンテンツ管理サーバ内のコンテンツ管理ファイルに記憶し、当該暗号化コンテンツを参照させたい１又は複数の利用者が使用する他の第１のクライアントに送信し、
   送信されてきた前記暗号化コンテンツを受信した前記他の第１のクライアントは、送信されてきた当該暗号化コンテンツを参照する際、自クライアントが持つコンテンツ参照プログラム処理手段が、参照しようとしている当該暗号化コンテンツのコンテンツＩＤを前記コンテンツ管理サーバが持つアクセス制御処理手段に送信し、
   前記アクセス制御処理手段は、送信されてきた前記コンテンツＩＤによって前記コンテンツ管理ファイルから前記アクセス権限ＩＤを取得し、当該アクセス権限ＩＤによって前記アクセス権限ファイルの参照可能な利用者を取得し、参照しようとしている前記暗号化コンテンツの前記コンテンツＩＤを送信してきた前記他の第１のクライアントの利用者の認証を行い、当該他の第１のクライアントのコンテンツ参照処理手段に復号鍵と共に認証に成功したことを送信し、当該コンテンツ参照処理手段による当該暗号化コンテンツの復号化表示を行わせることを特徴とする文書管理システム。
2. 請求項１記載の文書管理システムにおいて、前記暗号化コンテンツを参照させたい利用者が、内部の利用者ではなく外部の利用者である場合、当該外部の利用者のうちの一部の者を窓口担当者として、前記暗号化コンテンツの参照を行う権限が付与されることを特徴とする文書管理システム。
3. 請求項１又は２記載の文書管理システムにおいて、前記コンテンツ管理サーバは、サービス事業者により設置・運営されていることを特徴とする文書管理システム。
4. 請求項３記載の文書管理システムにおいて、前記コンテンツ管理サーバを設置・運営しているサービス事業者は、前記暗号化コンテンツを参照可能な利用者の人数に基づいて、当該利用者が所属する企業、部署に対して、サービス利用料を請求することを特徴とする文書管理システム。
5. 文書情報を含むコンテンツを暗号化して記憶しておき、当該コンテンツを取得することができる者を限定することにより当該コンテンツへのアクセスの制限を行う文書管理システムにおける文書管理方法において、
   前記文書管理システムは、利用者が暗号化した前記コンテンツを保持している１又は複数の第１のクライアントと、鍵ファイルを有して前記第１のクライアント内に保持されている暗号化された前記コンテンツに対するアクセス権限を管理するコンテンツ管理サーバと、暗号化した前記コンテンツを参照する利用者を前記コンテンツ管理サーバに登録する第２のクライアントと、をネットワークにより通信可能に接続して構成されており、
   前記第２のクライアントは、操作者の指示に従って、自クライアントが持つ利用者登録・変更処理手段及び前記コンテンツ管理サーバが持つ利用者管理処理手段を使用し、当該コンテンツ管理サーバ内の利用者ファイルに前記コンテンツを暗号化すると共に、暗号化した当該コンテンツを参照する複数の利用者を登録し、
   前記第１のクライアントは、操作者である利用者の指示により自クライアントが持つアクセス権限登録・変更処理手段及び前記コンテンツ管理サーバが持つアクセス権限管理処理手段を使用し、暗号化した前記コンテンツを参照させたい１又は複数の利用者を、所定のアクセス権限ＩＤと対にして当該コンテンツ管理サーバ内のアクセス権限ファイルに登録し、更に、自クライアントが持つコンテンツ暗号化処理手段及び当該コンテンツ管理サーバが持つコンテンツ管理処理手段を使用し、当該利用者に参照させたい前記コンテンツを暗号化して暗号化コンテンツとして自クライアントに接続されている記憶装置に記憶すると共に、所定のコンテンツＩＤとアクセス権限ＩＤとを対にして、当該コンテンツ管理サーバ内のコンテンツ管理ファイルに記憶し、当該暗号化コンテンツを参照させたい１又は複数の利用者が使用する他の第１のクライアントに送信し、
   送信されてきた前記暗号化コンテンツを受信した前記他の第１のクライアントは、送信されてきた当該暗号化コンテンツを参照する際、自クライアントが持つコンテンツ参照プログラム処理手段が、参照しようとしている当該暗号化コンテンツのコンテンツＩＤを前記コンテンツ管理サーバが持つアクセス制御処理手段に送信し、
   前記アクセス制御処理手段は、送信されてきた前記コンテンツＩＤによって前記コンテンツ管理ファイルから前記アクセス権限ＩＤを取得し、当該アクセス権限ＩＤによって前記アクセス権限ファイルの参照可能な利用者を取得し、参照しようとしている前記暗号化コンテンツの前記コンテンツＩＤを送信してきた前記他の第１のクライアントの利用者の認証を行い、当該他の第１のクライアントのコンテンツ参照処理手段に復号鍵と共に認証に成功したことを送信し、当該コンテンツ参照処理手段による当該暗号化コンテンツの復号化表示を行わせることを特徴とする文書管理方法。

Images